เช็กลิสต์ Data Subject Request สำหรับคลินิก โรงพยาบาล และธุรกิจสุขภาพ: ต้องตรวจอะไรบ้างก่อนเปิดใช้งาน

คลินิก โรงพยาบาล และธุรกิจสุขภาพจำนวนมากยังไม่มีขั้นตอนรองรับคำขอใช้สิทธิของเจ้าของข้อมูลส่วนบุคคล หรือ Data Subject Request (DSR) ที่เขียนไว้เป็นลายลักษณ์อักษร เมื่อผู้ป่วยหรือญาติเดินเข้ามาที่เคาน์เตอร์แล้วขอสำเนาเวชระเบียน ขอแก้ไขข้อมูลที่ผิด หรือขอให้ลบข้อมูลเก่าที่ไม่จำเป็น ทีมหน้างานจึงต้องตัดสินใจเฉพาะหน้าโดยไม่มีเกณฑ์อ้างอิง ผลที่ตามมาคือความล่าช้าเกินกรอบเวลาที่กฎหมายกำหนด การส่งข้อมูลให้ผิดคน หรือการปฏิเสธคำขอโดยไม่มีเหตุผลรองรับ ซึ่งทุกกรณีล้วนเป็นความเสี่ยงที่ป้องกันได้ด้วยเช็กลิสต์ที่ตรวจครบก่อนเปิดใช้งานจริง

เช็กลิสต์นี้ใช้กับใคร และครอบคลุมคำขอแบบไหนบ้าง

เช็กลิสต์นี้ออกแบบสำหรับทีมต้อนรับ ทีมเวชระเบียน เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล (DPO) และผู้บริหารของคลินิก โรงพยาบาล หรือธุรกิจสุขภาพที่มีข้อมูลผู้ป่วย ครอบคลุมคำขอ 5 ประเภทหลักตามสิทธิของเจ้าของข้อมูล ได้แก่ สิทธิขอเข้าถึงและขอสำเนาข้อมูล สิทธิขอแก้ไขข้อมูลให้ถูกต้อง สิทธิขอให้ลบหรือทำลายข้อมูล สิทธิขอให้โอนย้ายข้อมูล และสิทธิคัดค้านการประมวลผล แต่ละประเภทมีเงื่อนไขและข้อยกเว้นต่างกัน โดยเฉพาะเมื่อข้อมูลที่เกี่ยวข้องเป็นข้อมูลสุขภาพซึ่งจัดเป็นข้อมูลอ่อนไหวที่ต้องระวังเป็นพิเศษ

เช็กลิสต์ก่อนเปิดรับคำขอ (Pre-launch)

ช่องทางรับคำขอ

• มีช่องทางรับคำขออย่างน้อย 2 ช่องทาง เช่น แบบฟอร์มหน้าเคาน์เตอร์ อีเมลของ DPO และช่องทางออนไลน์ผ่านเว็บไซต์หรือแอปนัดหมาย
• ทุกช่องทางมีป้ายหรือข้อความแจ้งชัดเจนว่าใช้สำหรับยื่นคำขอใช้สิทธิ ไม่ปะปนกับช่องทางร้องเรียนบริการทั่วไป
• มีผู้รับผิดชอบตรวจสอบคำขอที่เข้ามาทุกช่องทางอย่างน้อยวันละ 1 ครั้ง เพื่อไม่ให้พลาดกรอบเวลา

แบบฟอร์มและหลักฐานยืนยันตัวตน

เนื่องจากข้อมูลที่เกี่ยวข้องเป็นข้อมูลสุขภาพ การยืนยันตัวตนต้องรัดกุมกว่าธุรกิจทั่วไป แบบฟอร์มควรมีช่องให้ระบุหมายเลขผู้ป่วย (HN) วันเดือนปีเกิด และแนบสำเนาบัตรประชาชนหรือเอกสารราชการที่มีรูปถ่าย หากคำขอมาจากตัวแทนหรือญาติต้องมีหนังสือมอบอำนาจหรือหลักฐานความสัมพันธ์ประกอบด้วยเสมอ

ผู้รับผิดชอบและสายอนุมัติ

• กำหนดชื่อบุคคลหรือตำแหน่งที่รับผิดชอบพิจารณาคำขอแต่ละประเภทให้ชัดเจน ไม่ปล่อยให้เป็นหน้าที่ลอยของใครก็ได้
• กำหนดผู้มีอำนาจอนุมัติกรณีต้องปฏิเสธคำขอ หรือกรณีต้องขยายเวลาตอบกลับ
• มีช่องทางส่งต่อกรณีคำขอซับซ้อนให้ DPO หรือฝ่ายกฎหมายพิจารณาร่วม

เช็กลิสต์ระหว่างดำเนินการคำขอ (In-process)

ตารางต่อไปนี้สรุปกรอบเวลาและประเด็นที่ต้องตรวจสอบสำหรับคำขอแต่ละประเภท เพื่อให้ทีมงานใช้เป็นข้อมูลอ้างอิงเร็วเมื่อมีคำขอเข้ามาจริง

หากคาดว่าจะดำเนินการไม่ทันภายในกรอบเวลาปกติ ต้องแจ้งผู้ยื่นคำขอเป็นลายลักษณ์อักษรก่อนครบกำหนด พร้อมระบุเหตุผลและระยะเวลาที่คาดว่าจะเสร็จ การขยายเวลาไม่ใช่การเลี่ยงหน้าที่ แต่ต้องมีบันทึกเหตุผลรองรับทุกครั้ง

เช็กลิสต์เฉพาะสำหรับข้อมูลสุขภาพ

เวชระเบียนที่มีข้อมูลบุคคลที่สามปนอยู่

เวชระเบียนหลายฉบับมีข้อมูลของบุคคลอื่นปนอยู่ เช่น ประวัติครอบครัวที่แพทย์บันทึกไว้ประกอบการวินิจฉัย หรือชื่อผู้ดูแลที่พาผู้ป่วยมาโรงพยาบาล ก่อนส่งสำเนาต้องมีขั้นตอนปกปิดหรือตัดข้อมูลส่วนนี้ออก ไม่ใช่ส่งสำเนาทั้งฉบับโดยไม่ตรวจสอบ

คำขอแทนผู้เยาว์หรือผู้ไร้ความสามารถ

• ตรวจสอบสถานะผู้ปกครองตามกฎหมายก่อนเปิดเผยข้อมูลของผู้เยาว์
• กรณีผู้ป่วยเป็นผู้ไร้ความสามารถ ต้องมีคำสั่งศาลหรือเอกสารแต่งตั้งผู้อนุบาลประกอบ
• บันทึกเหตุผลทุกครั้งที่อนุญาตให้บุคคลอื่นเข้าถึงข้อมูลแทนเจ้าของข้อมูลโดยตรง

คำขอเกี่ยวกับผู้ป่วยที่เสียชีวิต

สิทธิของเจ้าของข้อมูลตามกฎหมายคุ้มครองข้อมูลส่วนบุคคลเป็นสิทธิเฉพาะตัว แต่ในทางปฏิบัติทายาทหรือผู้จัดการมรดกมักมีคำขอเข้ามาเพื่อใช้ประกอบเรื่องประกันหรือมรดก คลินิกและโรงพยาบาลควรมีนโยบายแยกต่างหากว่าจะพิจารณาคำขอลักษณะนี้อย่างไร โดยยึดหลักฐานทางกฎหมายและเอกสารแสดงสิทธิของผู้ยื่นคำขอเป็นหลัก

ข้อมูลที่มาจากห้องแล็บหรือผู้ให้บริการภายนอก

ผลตรวจแล็บ ผลเอกซเรย์ หรือข้อมูลจากศูนย์บริการภายนอกที่ส่งเข้าระบบของคลินิก ต้องตรวจสอบว่าจะส่งต่อให้ผู้ป่วยได้เองหรือต้องประสานผู้ให้บริการภายนอกก่อน เพราะบางกรณีข้อมูลอยู่ภายใต้ข้อตกลงประมวลผลข้อมูลร่วมกันที่มีเงื่อนไขเฉพาะ

ข้อผิดพลาดที่พบบ่อยเมื่อทำเช็กลิสต์ Data Subject Request ไม่ครบ

ทีมงานที่เพิ่งเริ่มวางระบบมักพลาดในจุดเดิมซ้ำ ๆ ดังนี้

• ไม่มีการยืนยันตัวตนก่อนส่งข้อมูล ทำให้เสี่ยงส่งเวชระเบียนให้ผิดคน
• นับกรอบเวลาผิด เช่น เริ่มนับจากวันที่คำขอถูกส่งต่อถึงผู้รับผิดชอบ แทนที่จะนับจากวันที่ได้รับคำขอจริง
• ปฏิเสธคำขอด้วยวาจาโดยไม่บันทึกเหตุผลเป็นลายลักษณ์อักษร
• ไม่ตรวจสอบว่าเวชระเบียนมีข้อมูลบุคคลที่สามปนอยู่ก่อนส่งสำเนา
• ไม่มีบันทึกหลักฐานว่าใครเป็นผู้พิจารณาคำขอและพิจารณาเมื่อใด ทำให้ตรวจสอบย้อนหลังไม่ได้

เช็กลิสต์ไม่ได้มีไว้เพื่อลดความเสี่ยงให้เป็นศูนย์ แต่มีไว้เพื่อให้ทีมงานตัดสินใจได้เร็วขึ้นและมีหลักฐานรองรับการตัดสินใจนั้นทุกครั้ง

เช็กลิสต์การฝึกอบรมทีมหน้างานและการเก็บบันทึก

ต่อให้มีเช็กลิสต์ที่ครบถ้วน หากทีมหน้างานไม่เคยผ่านการอบรมวิธีใช้จริง เช็กลิสต์นั้นก็จะถูกทิ้งไว้เป็นเอกสารบนชั้นวาง คลินิกและโรงพยาบาลควรจัดอบรมสั้น ๆ ให้พนักงานต้อนรับ เจ้าหน้าที่เวชระเบียน และพยาบาลที่ต้องพบผู้ป่วยโดยตรง อย่างน้อยปีละ 1 ครั้ง โดยเน้นสถานการณ์จำลองที่พบบ่อย เช่น ญาติมาขอสำเนาเวชระเบียนแทนผู้ป่วยที่นอนพักรักษาตัวอยู่ หรือมีคนโทรมาขอผลตรวจทางโทรศัพท์โดยอ้างว่าเป็นคนไข้เอง การฝึกซ้อมสถานการณ์เหล่านี้ช่วยให้พนักงานตอบสนองได้ถูกต้องโดยไม่ต้องเปิดเอกสารเช็กลิสต์ทุกครั้ง

การเก็บบันทึกคำขอทั้งหมด

ทุกคำขอที่เข้ามา ไม่ว่าจะได้รับการอนุมัติ ปฏิเสธ หรือขยายเวลา ควรถูกบันทึกไว้ในทะเบียนเดียวกัน ประกอบด้วยวันที่ได้รับคำขอ ประเภทคำขอ ผู้ยื่นคำขอ ผู้พิจารณา ผลการพิจารณา และวันที่ตอบกลับจริง ทะเบียนนี้มีประโยชน์สองต่อ ต่อแรกคือช่วยให้ผู้บริหารเห็นภาพรวมว่าระบบทำงานได้ตรงตามกรอบเวลาหรือไม่ ต่อที่สองคือใช้เป็นหลักฐานหากถูกตรวจสอบจากหน่วยงานกำกับดูแลหรือถูกร้องเรียนภายหลัง การไม่มีทะเบียนนี้ไม่ได้แปลว่าคลินิกทำผิดกฎหมายเสมอไป แต่ทำให้พิสูจน์ความถูกต้องของกระบวนการทำงานได้ยากขึ้นมากเมื่อเกิดข้อพิพาท

การทบทวนเช็กลิสต์เป็นระยะ

เช็กลิสต์ที่เขียนไว้ครั้งเดียวแล้วไม่เคยทบทวนซ้ำ มักตกยุคเมื่อคลินิกเปลี่ยนระบบเวชระเบียนอิเล็กทรอนิกส์ เปลี่ยนผู้ให้บริการแล็บภายนอก หรือขยายสาขาใหม่ ควรกำหนดรอบทบทวนอย่างน้อยทุก 6 เดือน หรือทันทีที่มีการเปลี่ยนแปลงระบบงานที่เกี่ยวข้องกับข้อมูลผู้ป่วย เพื่อให้เช็กลิสต์สะท้อนสถานการณ์จริงของธุรกิจอยู่เสมอ

สรุป: เช็กลิสต์ที่ใช้ได้จริงก่อนเปิดรับคำขอ

ก่อนเปิดรับ Data Subject Request คลินิก โรงพยาบาล และธุรกิจสุขภาพควรตรวจครบทั้งช่องทางรับคำขอ ขั้นตอนยืนยันตัวตนที่รัดกุมพอสำหรับข้อมูลสุขภาพ ผู้รับผิดชอบและกำหนดเวลา รวมถึงกรณีเฉพาะอย่างคำขอแทนผู้เยาว์และผู้ป่วยที่เสียชีวิต เช็กลิสต์นี้ควรใช้คู่กับขั้นตอนรับมือเหตุละเมิดข้อมูลส่วนบุคคลที่มีอยู่แล้ว อ่านเพิ่มเติมได้ที่ คู่มือรับมือ Data Breach สำหรับธุรกิจสุขภาพ และดูภาพรวมทั้งหมดของกลุ่มหัวข้อสิทธิ เหตุการณ์ และความเสี่ยงได้ที่ ศูนย์ความรู้ด้านสิทธิ เหตุการณ์ และความเสี่ยง

แหล่งข้อมูลอ้างอิง

เนื้อหานี้อ้างอิงแนวทางจากสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (PDPC) ที่ pdpc.or.th โปรดตรวจสอบประกาศและแนวปฏิบัติล่าสุดของ PDPC ประกอบการปรับใช้จริงในองค์กร เนื่องจากแนวปฏิบัติอาจมีการปรับปรุงเป็นระยะ