Data Subject Request คืออะไร? คู่มือสำหรับคลินิก โรงพยาบาล และธุรกิจสุขภาพ

คลินิกทันตกรรมแห่งหนึ่งย่านรัชดาภิเษกได้รับข้อความในไลน์ทางการช่วงเช้าวันจันทร์ ผู้ป่วยรายหนึ่งเขียนมาสั้น ๆ ว่า อยากได้ประวัติการรักษาฟันของตัวเองทั้งหมดย้อนหลังสามปีเพื่อเอาไปให้หมอที่คลินิกใหม่ดู เจ้าหน้าที่หน้าเคาน์เตอร์อ่านข้อความแล้วก็อึ้งไปพักหนึ่ง เพราะไม่เคยมีใครสอนว่าเวลามีคนขอแบบนี้ต้องทำอย่างไร ต้องยืนยันตัวตนยังไงก่อนจะส่งไฟล์ประวัติการรักษาที่มีทั้งชื่อ เลขบัตรประชาชน และรายละเอียดการรักษาไปให้ทางไลน์ และมีกำหนดเวลาต้องตอบกลับภายในกี่วัน เหตุการณ์แบบนี้เกิดขึ้นบ่อยกว่าที่หลายคลินิกคิด และเป็นจุดเริ่มต้นที่ทำให้ธุรกิจสุขภาพต้องมีกระบวนการรองรับ Data Subject Request อย่างเป็นระบบ ไม่ใช่รอให้เกิดเหตุแล้วค่อยคิดหน้างาน

Data Subject Request คืออะไร สำหรับคลินิก โรงพยาบาล และธุรกิจสุขภาพ

Data Subject Request หรือคำขอใช้สิทธิของเจ้าของข้อมูลส่วนบุคคล คือคำขอที่ผู้ป่วย ลูกค้า หรือบุคคลที่ธุรกิจเก็บข้อมูลไว้ ยื่นมาเพื่อขอใช้สิทธิตามกฎหมายคุ้มครองข้อมูลส่วนบุคคลกับข้อมูลของตนเอง สิทธิหลักที่พบบ่อยในธุรกิจสุขภาพมีอย่างน้อยห้าประเภท ได้แก่ สิทธิขอเข้าถึงและขอสำเนาประวัติการรักษา สิทธิขอแก้ไขข้อมูลที่ไม่ถูกต้อง เช่น เบอร์โทรหรือที่อยู่ที่เปลี่ยนไป สิทธิขอลบข้อมูลเมื่อไม่มีเหตุจำเป็นต้องเก็บต่อ สิทธิขอโอนย้ายข้อมูลไปยังสถานพยาบาลอื่น และสิทธิคัดค้านการนำข้อมูลไปใช้ในบางวัตถุประสงค์ เช่น การส่งโปรโมชันทางการตลาด จุดที่ต้องแยกให้ชัดคือ Data Subject Request แตกต่างจากกรณีข้อมูลรั่วไหลหรือ Data Breach อย่างสิ้นเชิง เพราะกรณีข้อมูลรั่วไหลเป็นเหตุการณ์ที่ข้อมูลหลุดออกไปโดยไม่ได้ตั้งใจแล้วธุรกิจต้องตอบสนองเชิงรับ ในขณะที่ Data Subject Request เป็นคำขออันชอบธรรมจากบุคคลที่ธุรกิจต้องเตรียมกระบวนการรองรับไว้ล่วงหน้าและตอบสนองเชิงรุกภายในกรอบเวลาที่กำหนด ธุรกิจสุขภาพมีความอ่อนไหวเป็นพิเศษเพราะข้อมูลสุขภาพจัดเป็นข้อมูลส่วนบุคคลที่มีความละเอียดอ่อนตามกฎหมาย การจัดการคำขอจึงต้องระมัดระวังมากกว่าธุรกิจทั่วไป ทั้งเรื่องการยืนยันตัวตนก่อนเปิดเผยข้อมูล และการควบคุมว่าใครในทีมมีสิทธิเข้าถึงประวัติการรักษาของผู้ป่วยแต่ละราย

ช่องทางรับคำขอและการยืนยันตัวตนก่อนเปิดเผยข้อมูลสุขภาพ

ผู้ป่วยหรือญาติสามารถส่งคำขอเข้ามาได้หลายช่องทาง ทั้งหน้าเคาน์เตอร์ของโรงพยาบาลหรือคลินิก อีเมลที่ประกาศไว้ในนโยบายความเป็นส่วนตัว ไลน์ทางการที่ใช้นัดหมาย หรือแบบฟอร์มบนเว็บไซต์ สิ่งที่ธุรกิจสุขภาพต้องทำก่อนอื่นคือกำหนดให้ชัดว่าคำขอที่เข้ามาทางช่องทางใดบ้างถือเป็นคำขอที่ต้องบันทึกเข้าสู่กระบวนการอย่างเป็นทางการ เพราะถ้าไม่กำหนดไว้ คำขอที่มาทางแชทส่วนตัวของพนักงานอาจถูกมองข้ามหรือจัดการแบบไม่มีหลักฐาน ขั้นตอนที่สำคัญที่สุดก่อนเปิดเผยข้อมูลใด ๆ คือการยืนยันตัวตนผู้ขอ เพราะประวัติการรักษาเป็นข้อมูลที่หากส่งผิดคนจะสร้างความเสียหายรุนแรงกว่าข้อมูลทั่วไปมาก แนวทางที่ใช้ได้จริงคือให้ผู้ขอแสดงบัตรประชาชนหรือเอกสารยืนยันตัวตนที่ตรงกับข้อมูลในระบบเวชระเบียน หากเป็นการขอแทนผู้ป่วย เช่น ญาติขอแทนผู้ป่วยที่เสียชีวิตหรือผู้ป่วยที่ไม่สามารถยื่นคำขอเองได้ ต้องมีหนังสือมอบอำนาจหรือเอกสารแสดงความสัมพันธ์ประกอบ กรณีคำขอผ่านไลน์หรืออีเมล ควรมีขั้นตอนยืนยันตัวตนเพิ่มเติม เช่น ให้แจ้งข้อมูลที่ตรงกับระบบ อย่างวันเกิดหรือหมายเลขนัดหมายล่าสุด ก่อนส่งไฟล์ข้อมูลใด ๆ ออกไป และไม่ควรส่งประวัติการรักษาทั้งฉบับผ่านช่องทางที่ไม่มีการเข้ารหัส หากจำเป็นต้องส่งไฟล์ ควรใช้วิธีที่มีการป้องกันด้วยรหัสผ่านหรือให้มารับด้วยตนเองที่สถานพยาบาล

ขั้นตอนจัดการคำขอ ตั้งแต่รับเรื่องจนถึงปิดเคส

เมื่อได้รับคำขอและยืนยันตัวตนแล้ว ขั้นตอนถัดไปคือการบันทึกคำขอลงในระบบหรือทะเบียนกลาง ระบุวันที่รับคำขอ ประเภทสิทธิที่ขอใช้ ผู้รับผิดชอบ และกำหนดวันครบกำหนดตอบกลับ จากนั้นทีมที่เกี่ยวข้องต้องตรวจสอบว่าคำขอนั้นสามารถดำเนินการได้เต็มรูปแบบหรือมีเหตุผลที่ปฏิเสธหรือจำกัดสิทธิบางส่วนได้หรือไม่ เช่น กรณีขอลบข้อมูลที่กฎหมายกำหนดให้สถานพยาบาลต้องเก็บเวชระเบียนไว้ตามระยะเวลาขั้นต่ำที่กำหนด หรือกรณีการเปิดเผยข้อมูลอาจกระทบสิทธิของบุคคลที่สาม เช่น ประวัติที่มีข้อมูลของผู้ป่วยรายอื่นปะปนอยู่ในเอกสารเดียวกัน หากปฏิเสธคำขอบางส่วนหรือทั้งหมด ธุรกิจควรแจ้งเหตุผลเป็นลายลักษณ์อักษรกลับไปยังผู้ขอ ไม่ใช่เพียงเงียบหายไป เพราะการไม่ตอบสนองเลยเป็นความเสี่ยงที่สูงกว่าการปฏิเสธพร้อมเหตุผลที่ชัดเจน สำหรับกรณีที่ดำเนินการได้ ควรเตรียมข้อมูลในรูปแบบที่อ่านเข้าใจง่าย ตัดข้อมูลของบุคคลอื่นที่ปะปนอยู่ออกก่อนส่งมอบ และปิดเคสด้วยการบันทึกวันที่ส่งมอบพร้อมหลักฐานการยืนยันตัวตนที่ใช้ไว้ในระบบเดียวกัน

กรอบเวลาตอบสนองและเหตุผลปฏิเสธคำขอที่ทำได้จริง

ธุรกิจสุขภาพหลายแห่งเลือกกำหนดกรอบเวลาภายในองค์กรของตนเองให้ชัดเจน เช่น ตอบรับคำขอภายในสองถึงสามวันทำการ และดำเนินการให้แล้วเสร็จภายในสิบห้าถึงสามสิบวัน โดยพิจารณาจากความซับซ้อนของคำขอและปริมาณเอกสารที่ต้องรวบรวม การกำหนด SLA ภายในเช่นนี้ไม่ใช่ตัวเลขที่กฎหมายบังคับตายตัว แต่เป็นแนวทางบริหารความเสี่ยงที่ช่วยให้ทีมงานมีเป้าหมายชัดเจนและผู้ป่วยได้รับคำตอบในเวลาที่สมเหตุสมผล เหตุผลที่ใช้ปฏิเสธหรือขยายเวลาคำขอควรมีตัวอย่างที่กำหนดไว้ล่วงหน้า เช่น กฎหมายกำหนดให้ต้องเก็บเวชระเบียนไว้ตามระยะเวลาขั้นต่ำ คำขอซ้ำซ้อนกับคำขอเดิมที่เพิ่งดำเนินการเสร็จไปไม่นาน หรือคำขอที่กระทบสิทธิของบุคคลที่สามอย่างมีนัยสำคัญ สิ่งที่ควรหลีกเลี่ยงคือการปฏิเสธด้วยเหตุผลที่คลุมเครือ เช่น อ้างว่าไม่สะดวกโดยไม่มีเหตุผลรองรับ เพราะจะทำให้ผู้ป่วยรู้สึกว่าธุรกิจปิดกั้นสิทธิของตนโดยไม่มีเหตุผล และอาจนำไปสู่การร้องเรียนต่อหน่วยงานกำกับดูแล

การบันทึกหลักฐานและความเชื่อมโยงกับกรณี Data Breach

การบันทึกหลักฐานทุกขั้นตอนคือหัวใจของการบริหารความเสี่ยงในเรื่องนี้ ตั้งแต่วันที่รับคำขอ วิธีการยืนยันตัวตน ผู้รับผิดชอบ การตัดสินใจว่าดำเนินการหรือปฏิเสธ ไปจนถึงวันที่ปิดเคส ทั้งหมดควรเก็บไว้ในทะเบียนกลางที่แยกจากไฟล์ประวัติการรักษาโดยตรง เพื่อให้ตรวจสอบย้อนหลังได้ง่ายเมื่อมีการสอบถามหรือร้องเรียน ประเด็นที่ธุรกิจสุขภาพควรเชื่อมโยงเข้าด้วยกันคือความสัมพันธ์ระหว่างกระบวนการ Data Subject Request กับกระบวนการรับมือกรณีข้อมูลรั่วไหล เพราะในทางปฏิบัติ คำขอเข้าถึงข้อมูลบางครั้งเป็นสัญญาณแรกที่ทำให้ทีมพบว่ามีการเข้าถึงข้อมูลผิดปกติเกิดขึ้นก่อนหน้านั้น เช่น ผู้ป่วยแจ้งว่ามีคนอื่นรู้ข้อมูลการรักษาของตนทั้งที่ไม่เคยบอกใคร กรณีเช่นนี้ทีมที่ดูแล Data Subject Request ควรมีช่องทางส่งต่อเรื่องไปยังทีมรับมือเหตุการณ์ด้านความปลอดภัยข้อมูลทันที ไม่ปล่อยให้เป็นเพียงคำขอเข้าถึงข้อมูลธรรมดาที่ปิดเคสแล้วจบ การมีทะเบียนหลักฐานที่เชื่อมโยงกันยังช่วยลดความเสี่ยงในการถูกตั้งคำถามจากหน่วยงานกำกับดูแลในภายหลังได้อย่างมีนัยสำคัญ แม้จะไม่มีเครื่องมือใดที่ลดความเสี่ยงได้ทั้งหมด แต่การมีหลักฐานครบถ้วนช่วยให้ธุรกิจอธิบายกระบวนการทำงานของตนเองได้อย่างมีเหตุผลเมื่อถูกซักถาม

ข้อผิดพลาดที่พบบ่อยในการจัดการ Data Subject Request ของธุรกิจสุขภาพ

• ปล่อยให้พนักงานหน้าเคาน์เตอร์ตัดสินใจส่งประวัติการรักษาให้ผู้ขอทันทีโดยไม่มีขั้นตอนยืนยันตัวตนที่เป็นมาตรฐานเดียวกันทั้งองค์กร
• ไม่มีทะเบียนกลางบันทึกคำขอ ทำให้แต่ละแผนกจัดการคำขอแยกกันและไม่มีใครทราบภาพรวมว่ามีคำขอค้างอยู่กี่เรื่อง
• ส่งไฟล์ประวัติการรักษาทั้งฉบับผ่านไลน์หรืออีเมลส่วนตัวโดยไม่มีการป้องกันด้วยรหัสผ่านหรือการเข้ารหัส
• เพิกเฉยต่อคำขอที่ดูเหมือนไม่สำคัญ เช่น คำขอแก้ไขเบอร์โทร จนผู้ป่วยต้องทวงถามซ้ำหลายครั้ง
• ไม่แยกแยะระหว่างคำขอใช้สิทธิทั่วไปกับสัญญาณที่อาจบ่งชี้ว่ามีการเข้าถึงข้อมูลผิดปกติเกิดขึ้นก่อนหน้า
• ปฏิเสธคำขอโดยไม่แจ้งเหตุผลเป็นลายลักษณ์อักษร ทำให้ผู้ป่วยรู้สึกว่าถูกเพิกเฉย

สรุป แนวทางเริ่มต้นสำหรับธุรกิจสุขภาพ

Data Subject Request เป็นกระบวนการที่ธุรกิจสุขภาพหลีกเลี่ยงไม่ได้ เพราะผู้ป่วยมีสิทธิสอบถามและขอใช้สิทธิเกี่ยวกับข้อมูลของตนเองได้ตลอดเวลา สิ่งที่คลินิก โรงพยาบาล และธุรกิจสุขภาพทำได้เพื่อบริหารความเสี่ยงคือการกำหนดช่องทางรับคำขอที่ชัดเจน มีขั้นตอนยืนยันตัวตนที่รัดกุมก่อนเปิดเผยข้อมูลสุขภาพ กำหนดกรอบเวลาตอบสนองภายในองค์กร และเก็บบันทึกหลักฐานทุกขั้นตอนอย่างเป็นระบบ การเริ่มต้นที่ทำได้จริงคือเลือกช่องทางหลักสองถึงสามช่องทางที่ใช้รับคำขอ เขียนขั้นตอนยืนยันตัวตนให้พนักงานทุกคนเข้าใจตรงกัน และสร้างทะเบียนกลางแบบง่ายในสเปรดชีตก่อน แล้วค่อยพัฒนาระบบให้ซับซ้อนขึ้นตามขนาดขององค์กร ธุรกิจที่ต้องการตรวจสอบความพร้อมของตนเองอย่างละเอียดสามารถศึกษาแนวทางการตรวจสอบเพิ่มเติมได้จากคู่มือ Audit Data Subject Request สำหรับธุรกิจสุขภาพ และใช้เช็กลิสต์ประกอบการตรวจสอบ เพื่อไล่ทวนทีละขั้นตอน หรือดูคู่มือวิธีทำแบบขั้นตอน เพื่อเริ่มวางระบบใหม่ทั้งหมด และกลับไปดูภาพรวมของเสาหลักด้านสิทธิ เหตุการณ์ และความเสี่ยงได้ที่หน้ารวมความรู้ Rights, Incidents & Risk

แหล่งข้อมูลอ้างอิง

เนื้อหานี้อ้างอิงหลักการทั่วไปจากประกาศและแนวปฏิบัติของสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (PDPC) ธุรกิจสุขภาพควรตรวจสอบประกาศฉบับล่าสุดจากเว็บไซต์ทางการก่อนนำไปปรับใช้ และปรึกษาที่ปรึกษากฎหมายด้านสุขภาพเมื่อพบกรณีที่ซับซ้อนหรือมีข้อมูลของบุคคลที่สามเกี่ยวข้อง