วิธี Audit Data Subject Request ของคลินิก โรงพยาบาล และธุรกิจสุขภาพ พร้อม Evidence ที่ควรเก็บ

ถ้าวันนี้ผู้ตรวจสอบภายในเดินเข้ามาถามว่า "คลินิกของเรามีหลักฐานอะไรบ้างที่ยืนยันว่าคำขอใช้สิทธิของคนไข้ทุกเคสถูกจัดการตามกรอบเวลา" ทีมงานจะหยิบเอกสารอะไรมาแสดงได้ทันที คำถามนี้ฟังดูตรงไปตรงมา แต่คลินิกและโรงพยาบาลจำนวนมากตอบไม่ได้ทันที เพราะคำขอใช้สิทธิ (Data Subject Request หรือ DSAR) ที่คนไข้ยื่นเข้ามาผ่านหลายช่องทาง ทั้งหน้าเคาน์เตอร์ อีเมล ไลน์ และคอลเซ็นเตอร์ มักกระจัดกระจายอยู่ในระบบที่ไม่เชื่อมโยงกัน บทความนี้วางกรอบการตรวจสอบ (Audit) ระบบ Data Subject Request ของธุรกิจสุขภาพแบบเป็นขั้นตอน พร้อมตัวอย่าง Evidence ที่ผู้ตรวจสอบควรเรียกดูจริง

ทำไมธุรกิจสุขภาพต้อง Audit กระบวนการ Data Subject Request เป็นประจำ

ข้อมูลในเวชระเบียนเป็นข้อมูลที่มีความอ่อนไหวสูง เมื่อคนไข้ใช้สิทธิขอเข้าถึง ขอสำเนา ขอแก้ไข หรือขอให้ลบข้อมูลของตนเอง คลินิกและโรงพยาบาลมีหน้าที่ตอบสนองภายในกรอบเวลาที่กฎหมายคุ้มครองข้อมูลส่วนบุคคลกำหนด การตรวจสอบภายในอย่างสม่ำเสมอช่วยให้ทีมงานเห็นจุดที่ระบบยังไม่รัดกุม ก่อนที่จะกลายเป็นข้อร้องเรียนถึงหน่วยงานกำกับดูแล นอกจากนี้การมี Evidence ที่เป็นระบบยังช่วยให้ทีมกฎหมายและทีมบริหารตอบคำถามได้ทันทีเมื่อถูกสอบถามจากคนไข้หรือญาติ โดยไม่ต้องไล่ค้นอีเมลย้อนหลังเป็นสัปดาห์

ขอบเขตการตรวจสอบ 4 ด้านหลัก

การ Audit ที่ครอบคลุมควรแบ่งขอบเขตออกเป็น 4 ด้าน ได้แก่ ช่องทางรับคำขอและการบันทึกเข้าระบบ กระบวนการยืนยันตัวตนก่อนเปิดเผยข้อมูล กรอบเวลาตอบสนองและการติดตามสถานะ และสุดท้ายคือการบันทึกหลักฐานตลอดวงจรของแต่ละเคส แต่ละด้านมีความเสี่ยงต่างกัน และต้องใช้ตัวอย่าง Evidence คนละชุดในการตรวจสอบ

1. ช่องทางรับคำขอ (Intake Channels)

ผู้ตรวจสอบควรเริ่มจากการสำรวจว่าคลินิกเปิดรับคำขอผ่านช่องทางใดบ้าง เช่น แบบฟอร์มหน้าเว็บ อีเมลของแผนกข้อมูลคนไข้ เคาน์เตอร์เวชระเบียน หรือแชทไลน์ทางการ แล้วตรวจว่าทุกช่องทางถูกรวมเข้าสู่จุดบันทึกกลางจุดเดียวหรือไม่ ปัญหาที่พบบ่อยคือพนักงานหน้างานรับคำขอด้วยวาจาแล้วไม่บันทึกเข้าระบบ ทำให้นาฬิกาการนับเวลาตอบสนองไม่เริ่มเดินตั้งแต่วันแรกที่คนไข้ยื่นคำขอจริง

2. การยืนยันตัวตนก่อนเปิดเผยข้อมูล

เนื่องจากข้อมูลสุขภาพเป็นข้อมูลอ่อนไหว การเปิดเผยให้ผิดคนถือเป็นความเสี่ยงร้ายแรงกว่าธุรกิจทั่วไป ผู้ตรวจสอบต้องดูว่าคลินิกมีขั้นตอนยืนยันตัวตนที่เหมาะสมกับช่องทางหรือไม่ เช่น ขอบัตรประชาชนคู่กับใบนัดหมายในกรณีมาติดต่อด้วยตนเอง หรือใช้ OTP ยืนยันตัวตนในกรณียื่นคำขอผ่านออนไลน์ และกรณีที่ญาติยื่นคำขอแทนคนไข้ ต้องมีหนังสือมอบอำนาจหรือหลักฐานความสัมพันธ์ที่ตรวจสอบได้ก่อนเปิดเผยข้อมูลทุกครั้ง

3. กรอบเวลาตอบสนองและการติดตามสถานะ

ผู้ตรวจสอบควรสุ่มตัวอย่างเคสย้อนหลังอย่างน้อย 3 เดือน แล้วไล่ดูวันที่รับคำขอ วันที่ตอบกลับ และเหตุผลหากมีการขยายเวลา ระบบที่ดีควรมีการแจ้งเตือนอัตโนมัติเมื่อใกล้ครบกำหนด เพื่อไม่ให้ทีมงานพลาดกรอบเวลาโดยไม่รู้ตัว หากพบว่าเคสส่วนใหญ่ตอบช้ากว่ากำหนดโดยไม่มีเหตุผลบันทึกไว้ นั่นคือสัญญาณว่ากระบวนการภายในต้องได้รับการปรับปรุง

4. เหตุผลปฏิเสธคำขอที่ใช้ได้ตามกฎหมาย

ไม่ใช่ทุกคำขอที่ต้องได้รับการอนุมัติ บางกรณีธุรกิจสุขภาพมีสิทธิปฏิเสธได้ เช่น การเปิดเผยข้อมูลจะกระทบสิทธิของบุคคลที่สาม หรือข้อมูลนั้นอยู่ระหว่างกระบวนการทางกฎหมาย ผู้ตรวจสอบต้องตรวจว่าทุกครั้งที่ปฏิเสธคำขอ มีการบันทึกเหตุผลเป็นลายลักษณ์อักษรและแจ้งกลับผู้ร้องขอด้วยภาษาที่เข้าใจง่าย ไม่ใช่เพียงปิดเคสเงียบ ๆ โดยไม่มีคำอธิบาย

5. การเก็บหลักฐาน (Evidence Log)

หัวใจของการตรวจสอบคือหลักฐานที่ย้อนดูได้ทุกขั้นตอน ตั้งแต่วันที่รับคำขอ วิธียืนยันตัวตน ผู้รับผิดชอบแต่ละขั้น จนถึงวันที่ปิดเคส หากไม่มีบันทึกเหล่านี้ การตรวจสอบก็ทำได้เพียงเชื่อคำบอกเล่าของทีมงาน ซึ่งไม่เพียงพอเมื่อถูกร้องเรียนหรือถูกหน่วยงานกำกับดูแลเรียกตรวจ

ตัวอย่าง Evidence ที่ควรเก็บต่อหนึ่งเคส

ความแตกต่างของกระบวนการตรวจสอบตามประเภทคำขอ

คำขอใช้สิทธิของเจ้าของข้อมูลไม่ได้มีรูปแบบเดียว การขอเข้าถึงหรือขอสำเนาเวชระเบียนมีขั้นตอนตรวจสอบที่ต่างจากการขอแก้ไขข้อมูลที่ไม่ถูกต้อง หรือการขอให้ลบข้อมูลออกจากระบบ ผู้ตรวจสอบภายในจึงไม่ควรใช้เกณฑ์เดียวกันไล่ตรวจทุกเคสโดยไม่แยกประเภท คำขอเข้าถึงข้อมูลมักเน้นตรวจที่ความครบถ้วนของสำเนาที่ส่งมอบและการยืนยันตัวตนก่อนเปิดเผย ส่วนคำขอแก้ไขข้อมูลต้องตรวจว่ามีการอนุมัติจากผู้มีอำนาจทางการแพทย์ก่อนแก้ไขข้อมูลในเวชระเบียนหรือไม่ เพราะการแก้ไขข้อมูลทางคลินิกกระทบต่อการรักษาต่อเนื่อง ไม่ใช่แก้ไขได้ทันทีตามคำขอเพียงอย่างเดียว ในขณะที่คำขอให้ลบข้อมูลมักมีข้อจำกัดทางกฎหมายและข้อบังคับด้านเวชระเบียนที่กำหนดให้ต้องเก็บรักษาไว้ตามระยะเวลาขั้นต่ำ ผู้ตรวจสอบต้องดูว่าเมื่อปฏิเสธคำขอลบข้อมูลด้วยเหตุผลด้านกฎหมาย มีการอธิบายเหตุผลนี้ให้คนไข้เข้าใจอย่างชัดเจนหรือไม่

คำขอจากผู้เยาว์หรือผู้แทนโดยชอบธรรม

สถานพยาบาลจำนวนมากรับคำขอใช้สิทธิที่ยื่นโดยบิดามารดาแทนบุตรที่เป็นผู้เยาว์ หรือผู้ดูแลตามกฎหมายแทนผู้ป่วยที่ไม่สามารถตัดสินใจได้ด้วยตนเอง กรณีเหล่านี้ต้องมีการตรวจสอบสถานะผู้แทนโดยชอบธรรมอย่างรัดกุมกว่าคำขอทั่วไป ผู้ตรวจสอบควรสุ่มเคสประเภทนี้แยกออกมาต่างหาก แล้วตรวจว่าเอกสารยืนยันความสัมพันธ์ เช่น สูติบัตรหรือคำสั่งศาลแต่งตั้งผู้พิทักษ์ ถูกเก็บไว้ครบถ้วนก่อนเปิดเผยข้อมูลหรือไม่ กรณีที่พบบ่อยและมักถูกมองข้ามคือบิดามารดาที่แยกทางกันแล้วฝ่ายหนึ่งยื่นคำขอโดยอีกฝ่ายไม่ทราบ ซึ่งอาจมีประเด็นเรื่องสิทธิปกครองบุตรที่ต้องพิจารณาเพิ่มเติมก่อนเปิดเผยข้อมูล

บทบาทของแต่ละแผนกในกระบวนการรับคำขอ

ในโรงพยาบาลขนาดกลางถึงใหญ่ คำขอใช้สิทธิหนึ่งเคสมักเกี่ยวข้องกับมากกว่าหนึ่งแผนก เช่น แผนกเวชระเบียนเป็นผู้ค้นหาและจัดเตรียมข้อมูล แผนกการเงินอาจเกี่ยวข้องหากคำขอครอบคลุมข้อมูลการเรียกเก็บเงินหรือประวัติการเคลม แผนกไอทีต้องช่วยดึงข้อมูลจากระบบที่ไม่ได้อยู่ในแฟ้มกระดาษ และฝ่ายกฎหมายต้องเข้ามาพิจารณาเมื่อมีคำขอที่ซับซ้อนหรือมีความเสี่ยงด้านข้อพิพาท การตรวจสอบที่ดีควรมีตารางกำหนดบทบาทและความรับผิดชอบของแต่ละแผนกไว้ชัดเจน (RACI) เพื่อไม่ให้เคสค้างเพราะไม่รู้ว่าใครต้องดำเนินการขั้นต่อไป ผู้ตรวจสอบควรขอดูตารางนี้เป็นหนึ่งใน Evidence หลักของการตรวจสอบด้วย เพราะเป็นตัวชี้วัดว่าองค์กรออกแบบกระบวนการให้ทำงานข้ามแผนกได้จริงหรือเป็นเพียงเอกสารทฤษฎีที่ไม่มีใครทำตาม

เครื่องมือและระบบที่ช่วยให้การตรวจสอบทำได้ง่ายขึ้น

สถานพยาบาลที่ยังใช้สมุดบันทึกหรือไฟล์ Excel แยกตามแผนกในการติดตามคำขอมักตรวจสอบย้อนหลังได้ยากกว่าสถานพยาบาลที่ใช้ระบบตั๋วงาน (ticketing system) กลางที่บันทึกทุกขั้นตอนอัตโนมัติพร้อมประทับเวลา ผู้ตรวจสอบควรประเมินว่าระบบที่ใช้อยู่ปัจจุบันสามารถดึงรายงานสรุปเคสทั้งหมดในช่วงเวลาที่กำหนดได้โดยไม่ต้องรวบรวมข้อมูลด้วยมือหรือไม่ หากยังต้องใช้แรงงานคนไล่รวบรวมข้อมูลจากหลายแผนกทุกครั้งที่มีการตรวจสอบ นั่นเป็นสัญญาณว่าควรลงทุนในระบบกลางที่ลดภาระงานซ้ำซ้อนและลดโอกาสตกหล่นของเคส

การเก็บรักษาหลักฐานตรวจสอบในระยะยาว

Evidence ที่เก็บไว้สำหรับแต่ละเคสไม่ควรถูกลบทิ้งทันทีหลังปิดเคส เพราะอาจต้องใช้อ้างอิงย้อนหลังหากมีข้อร้องเรียนตามมาในภายหลัง สถานพยาบาลควรกำหนดระยะเวลาเก็บรักษาหลักฐานการดำเนินการคำขอใช้สิทธิให้สอดคล้องกับนโยบายเก็บรักษาเวชระเบียนขององค์กร และแยกพื้นที่จัดเก็บออกจากไฟล์งานประจำวันทั่วไป เพื่อไม่ให้หลักฐานสูญหายเมื่อมีการทำความสะอาดไฟล์เก่าตามรอบปกติ ผู้ตรวจสอบควรสอบถามว่าใครเป็นผู้รับผิดชอบดูแลพื้นที่จัดเก็บ Evidence นี้ และมีการสำรองข้อมูลไว้หรือไม่ในกรณีที่ระบบหลักมีปัญหา

การอบรมทีมงานหน้างานให้รู้จักคำขอใช้สิทธิ

ผู้ตรวจสอบควรตรวจสอบด้วยว่าเจ้าหน้าที่ที่ทำงานหน้าเคาน์เตอร์หรือรับสายคอลเซ็นเตอร์ได้รับการอบรมให้จำแนกคำขอใช้สิทธิออกจากคำถามทั่วไปหรือไม่ เพราะบ่อยครั้งคนไข้ไม่ได้ใช้คำว่า "ขอใช้สิทธิ" ตรง ๆ แต่พูดในลักษณะ "อยากได้สำเนาประวัติการรักษาไปใช้ที่อื่น" ซึ่งเข้าข่ายคำขอเข้าถึงข้อมูลเช่นกัน หากเจ้าหน้าที่ไม่รู้จักจำแนกประเภทคำร้องเหล่านี้ คำขออาจถูกมองว่าเป็นเรื่องธรรมดาและไม่ถูกบันทึกเข้าระบบตามขั้นตอนที่ถูกต้อง ผู้ตรวจสอบควรสุ่มสัมภาษณ์เจ้าหน้าที่หน้างานเพื่อประเมินความเข้าใจนี้ประกอบการตรวจสอบเอกสารด้วย

ขั้นตอนดำเนินการตรวจสอบสำหรับผู้ตรวจสอบภายใน

เริ่มจากการขอรายชื่อคำขอทั้งหมดในช่วงเวลาที่กำหนด แล้วสุ่มเลือกเคสจากทุกช่องทางรับคำขอในสัดส่วนที่ใกล้เคียงกัน จากนั้นไล่ตรวจทีละเคสตามขอบเขต 4 ด้านข้างต้น พร้อมบันทึกข้อสังเกตเป็นลายลักษณ์อักษร สุดท้ายสรุปผลเป็นรายงานที่ระบุจุดที่ผ่านเกณฑ์ จุดที่ต้องปรับปรุง และกำหนดเจ้าของงานที่รับผิดชอบแก้ไขแต่ละจุด การตรวจสอบลักษณะนี้ไม่ได้มีเป้าหมายเพื่อจับผิดทีมงาน แต่ช่วยลดความเสี่ยงในการดำเนินงานประจำวันของคลินิกและโรงพยาบาลในระยะยาว

ข้อผิดพลาดที่พบบ่อยระหว่างการตรวจสอบ

• รับคำขอด้วยวาจาหน้าเคาน์เตอร์แล้วไม่บันทึกเข้าระบบกลาง ทำให้นับเวลาผิดจากความเป็นจริง
• เปิดเผยข้อมูลให้ญาติโดยไม่ตรวจหนังสือมอบอำนาจ เพราะเข้าใจว่าเป็นครอบครัวเดียวกัน
• ไม่มีผู้รับผิดชอบชัดเจนเมื่อคำขอเกี่ยวข้องหลายแผนก เช่น เวชระเบียนกับการเงิน ทำให้เคสค้างระหว่างแผนก
• บันทึกเหตุผลปฏิเสธคำขอไว้ไม่ครบ ทำให้ตอบคำถามย้อนหลังไม่ได้เมื่อถูกทวงถาม
• ไม่มีการแจ้งเตือนก่อนครบกำหนด ทีมงานจึงรู้ตัวว่าตอบช้าเมื่อเลยกำหนดไปแล้ว

บทสรุป

การ Audit ระบบ Data Subject Request ของคลินิก โรงพยาบาล และธุรกิจสุขภาพ ไม่ใช่งานที่ทำครั้งเดียวจบ แต่ควรเป็นวงรอบต่อเนื่องที่ตรวจทั้งช่องทางรับคำขอ การยืนยันตัวตน กรอบเวลา และหลักฐานที่จัดเก็บไว้ การมี Evidence ที่ครบถ้วนช่วยลดความเสี่ยงเมื่อถูกร้องเรียนหรือถูกตรวจสอบจากภายนอก และช่วยให้ทีมงานหน้างานทำงานได้อย่างมั่นใจมากขึ้น แนวทางในบทความนี้เป็นจุดเริ่มต้นสำหรับการวางระบบตรวจสอบภายใน ทีมงานควรปรึกษาที่ปรึกษากฎหมายเพื่อปรับใช้ให้เหมาะกับบริบทของแต่ละสถานพยาบาล อ่านเพิ่มเติมเกี่ยวกับ วิธีวางระบบ Data Subject Request สำหรับธุรกิจสุขภาพแบบเป็นขั้นตอน และแนวทางรับมือเมื่อข้อมูลรั่วไหลที่ คู่มือ Data Breach สำหรับธุรกิจสุขภาพ ซึ่งเป็นกระบวนการที่มักถูกอ้างอิงร่วมกันในทางปฏิบัติ

แหล่งข้อมูลอ้างอิง

ข้อมูลเชิงหลักการในบทความนี้อ้างอิงแนวทางจากสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (PDPC) ทีมงานควรตรวจสอบประกาศและแนวปฏิบัติล่าสุดที่เว็บไซต์ทางการก่อนนำไปปรับใช้ในองค์กร รวมถึงดูภาพรวมกระบวนการทั้งหมดได้ที่ ศูนย์ความรู้ Rights, Incidents & Risk