เช็กลิสต์ Privacy Risk Assessment สำหรับคลินิก โรงพยาบาล และธุรกิจสุขภาพ: ต้องตรวจอะไรบ้างก่อนเปิดใช้งาน

เช็กลิสต์ฉบับนี้แบ่งเป็นสี่หมวดหลักและรวมกว่ายี่สิบข้อที่คลินิกควรไล่ตรวจก่อนเปิดใช้งานระบบใหม่ที่เกี่ยวข้องกับข้อมูลคนไข้ จากการตรวจสอบระบบด้านข้อมูลสุขภาพหลายแห่ง จุดที่มักถูกข้ามไปบ่อยที่สุดไม่ใช่ระบบหลักของคลินิก แต่เป็นช่องทางรองอย่างไลน์กลุ่มภายในหรือสเปรดชีตที่ทีมงานแชร์กันโดยไม่มีการควบคุมสิทธิ์การเข้าถึง เช็กลิสต์นี้จึงออกแบบให้ไล่ตรวจตั้งแต่จุดที่มองเห็นชัดไปจนถึงจุดที่มักถูกมองข้าม

ทำไมต้องใช้เช็กลิสต์นี้ก่อนเปิดใช้งาน

การประเมินความเสี่ยงที่ทำหลังเปิดใช้งานระบบไปแล้ว มักพบปัญหาที่แก้ไขยากกว่าการประเมินตั้งแต่ต้น เพราะข้อมูลคนไข้อาจถูกเก็บสะสมไว้แล้วในจุดที่ไม่ปลอดภัย การไล่ตรวจตามเช็กลิสต์นี้ก่อนเปิดใช้งานจริง ช่วยให้ทีมงานเห็นจุดเสี่ยงตั้งแต่ขั้นวางแผน และสามารถปรับแก้การออกแบบระบบได้ก่อนที่จะมีคนไข้ใช้งานจริง ซึ่งมีต้นทุนต่ำกว่าการรื้อระบบกลับมาแก้ไขภายหลังมาก

ใครควรเป็นผู้รับผิดชอบไล่ตรวจเช็กลิสต์นี้

เช็กลิสต์นี้ไม่จำเป็นต้องให้ฝ่ายกฎหมายหรือผู้เชี่ยวชาญด้านความเป็นส่วนตัวเป็นผู้ไล่ตรวจเพียงฝ่ายเดียว ในทางปฏิบัติ ทีมการตลาดหรือผู้ดูแลระบบที่เป็นเจ้าของโครงการมักเป็นผู้เริ่มไล่ตรวจในหมวดที่ 1 เพราะเป็นผู้รู้ดีที่สุดว่าระบบใหม่เก็บข้อมูลอะไรและส่งต่อไปที่ใด จากนั้นควรให้ผู้ดูแลข้อมูลหรือฝ่ายไอทีเข้ามาร่วมประเมินในหมวดที่ 2 และ 3 เพื่อให้คะแนนความเสี่ยงเชิงเทคนิคและออกแบบมาตรการควบคุมที่เหมาะสม การให้สองฝ่ายนี้ทำงานร่วมกันตั้งแต่ต้น แทนที่จะให้ฝ่ายใดฝ่ายหนึ่งไล่ตรวจเพียงลำพัง ช่วยให้ผลการประเมินครอบคลุมทั้งมุมมองเชิงธุรกิจและมุมมองเชิงเทคนิคไปพร้อมกัน และลดโอกาสที่จุดเสี่ยงบางจุดจะถูกมองข้ามเพราะขาดความเข้าใจในบางส่วนของระบบ

หมวดที่ 1: กำหนดขอบเขตและสำรวจจุดเก็บข้อมูล

• ระบุขอบเขตของระบบที่จะประเมิน เช่น เฉพาะระบบจองคิวใหม่ หรือทั้งคลินิก
• สำรวจว่าระบบเก็บข้อมูลอะไรบ้าง เช่น ชื่อ เบอร์โทร อาการเบื้องต้น หรือประวัติการรักษา
• ระบุช่องทางเก็บข้อมูลทั้งหมด รวมถึงฟอร์มออนไลน์ แชทบอท และไลน์กลุ่มภายใน
• ทำแผนที่ข้อมูลว่าแต่ละจุดส่งต่อข้อมูลไปที่ใดบ้าง เช่น จากฟอร์มไปสเปรดชีต แล้วส่งต่อให้ทีมพยาบาล
• ระบุผู้ให้บริการภายนอกที่เชื่อมต่อกับระบบ เช่น ระบบแล็บหรือระบบเวชระเบียนอิเล็กทรอนิกส์
• ตรวจสอบว่ามีข้อมูลใดที่ไม่จำเป็นต้องเก็บแต่ยังถูกเก็บอยู่โดยไม่มีเหตุผลชัดเจน

หมวดที่ 2: ให้คะแนนความเสี่ยงตามเกณฑ์ที่ชัดเจน

• กำหนดเกณฑ์ให้คะแนนโอกาสเกิดเหตุ เช่น ต่ำ ปานกลาง สูง ให้ชัดเจนก่อนเริ่มประเมิน
• กำหนดเกณฑ์ให้คะแนนผลกระทบต่อคนไข้หากเกิดปัญหาจริง โดยเฉพาะข้อมูลอาการและการวินิจฉัย
• ให้คะแนนแต่ละจุดเก็บข้อมูลตามเกณฑ์ทั้งสองด้านอย่างสม่ำเสมอ ไม่ใช้ความรู้สึกส่วนตัวตัดสิน
• บันทึกเหตุผลประกอบการให้คะแนนแต่ละจุด เพื่อให้ทบทวนย้อนหลังได้
• เปรียบเทียบคะแนนของแต่ละจุดเพื่อดูว่าจุดใดมีความเสี่ยงสูงสุด

หมวดที่ 3: จัดลำดับและติดตามมาตรการลดความเสี่ยง

• จัดลำดับจุดเสี่ยงจากคะแนนสูงไปต่ำ เพื่อกำหนดว่าจะแก้ไขจุดไหนก่อน
• กำหนดมาตรการลดความเสี่ยงที่ชัดเจนสำหรับแต่ละจุด เช่น จำกัดสิทธิ์การเข้าถึงหรือกำหนดระยะเวลาลบข้อมูล
• มอบหมายผู้รับผิดชอบและกำหนดเวลาที่ชัดเจนสำหรับแต่ละมาตรการ
• ติดตามว่ามาตรการที่วางไว้ถูกนำไปปฏิบัติจริงหรือไม่
• ทบทวนคะแนนความเสี่ยงซ้ำหลังดำเนินมาตรการแล้ว เพื่อดูว่าความเสี่ยงลดลงตามที่คาดไว้หรือไม่

หมวดที่ 4: เก็บเอกสารหลักฐาน

• เก็บแผนที่ข้อมูลฉบับล่าสุดที่ใช้ประกอบการประเมิน
• เก็บทะเบียนความเสี่ยงพร้อมวันที่ประเมินและรายชื่อผู้เข้าร่วม
• เก็บบันทึกเกณฑ์การให้คะแนนที่ใช้ในแต่ละรอบ
• เก็บแผนมาตรการลดความเสี่ยงพร้อมสถานะความคืบหน้าล่าสุด

ตัวอย่างการใช้เช็กลิสต์นี้ในสถานการณ์จริง

คลินิกแห่งหนึ่งกำลังจะเปิดใช้งานระบบนัดหมายออนไลน์ใหม่ที่เชื่อมกับแชทบอทให้คนไข้กรอกอาการเบื้องต้นก่อนเข้าพบแพทย์ ทีมงานเริ่มไล่ตรวจตามหมวดที่ 1 พบว่านอกจากฟอร์มจองคิวหลักแล้ว ยังมีการส่งต่อข้อมูลอาการไปยังไลน์กลุ่มของทีมพยาบาลด้วย ซึ่งเป็นจุดที่ไม่เคยมีใครระบุไว้ก่อนหน้านี้ เมื่อไล่ตรวจถึงหมวดที่ 2 และให้คะแนนตามเกณฑ์ พบว่าไลน์กลุ่มได้คะแนนความเสี่ยงสูงที่สุด เพราะมีสมาชิกในกลุ่มหลายคนที่ไม่ได้เกี่ยวข้องกับการดูแลคนไข้รายนั้นโดยตรง ทีมงานจึงกำหนดมาตรการในหมวดที่ 3 ให้เปลี่ยนจากการส่งข้อมูลผ่านไลน์กลุ่มมาเป็นระบบที่จำกัดสิทธิ์การเข้าถึงเฉพาะทีมที่เกี่ยวข้อง และสุดท้ายเก็บเอกสารตามหมวดที่ 4 ไว้เป็นหลักฐานว่าได้ประเมินและแก้ไขจุดเสี่ยงนี้ก่อนเปิดใช้งานระบบจริง ตัวอย่างนี้แสดงให้เห็นว่าจุดเสี่ยงที่ร้ายแรงที่สุดมักไม่ใช่ระบบหลักที่ออกแบบมาอย่างดี แต่เป็นช่องทางเสริมที่เพิ่มเข้ามาทีหลังโดยไม่มีการควบคุม

วิธีปรับเช็กลิสต์ให้เหมาะกับขนาดของคลินิก

คลินิกขนาดเล็กที่มีทีมงานไม่กี่คนอาจไม่จำเป็นต้องทำทุกข้อในเช็กลิสต์นี้อย่างละเอียดเท่าโรงพยาบาลขนาดใหญ่ แต่ควรเริ่มจากหมวดที่ 1 และ 2 ก่อน คือสำรวจจุดเก็บข้อมูลและให้คะแนนความเสี่ยงเบื้องต้น เพื่อรู้ว่าจุดใดต้องแก้ไขก่อน ส่วนโรงพยาบาลหรือธุรกิจสุขภาพขนาดใหญ่ที่มีหลายแผนกและหลายระบบเชื่อมต่อกัน ควรทำครบทั้งสี่หมวดอย่างละเอียด และอาจต้องแยกทำเช็กลิสต์เป็นรายแผนก เพราะแต่ละแผนกมักมีจุดเก็บข้อมูลและผู้ให้บริการภายนอกที่แตกต่างกัน ไม่ว่าจะเป็นคลินิกขนาดเล็กหรือโรงพยาบาลขนาดใหญ่ หลักการสำคัญคือเริ่มจากจุดที่มีความเสี่ยงสูงสุดก่อนเสมอ แทนที่จะไล่ตรวจตามลำดับที่สะดวกโดยไม่คำนึงถึงระดับความเสี่ยง

เมื่อไรเช็กลิสต์นี้ไม่พอ ต้องทำ DPIA แบบเต็มรูปแบบ

เช็กลิสต์นี้เหมาะสำหรับการประเมินความเสี่ยงเชิงป้องกันทั่วไป แต่หากผลการประเมินพบว่าโครงการใดมีคะแนนความเสี่ยงสูงต่อเนื่องในหลายจุด หรือเกี่ยวข้องกับการประมวลผลข้อมูลสุขภาพในขนาดใหญ่ เช่น ระบบที่เชื่อมโยงข้อมูลคนไข้จากหลายสาขาเข้าด้วยกัน คลินิกควรพิจารณาว่าโครงการนั้นเข้าข่ายต้องทำ DPIA แบบเต็มรูปแบบตามที่กฎหมายกำหนด ซึ่งมีรายละเอียดมากกว่าการประเมินความเสี่ยงเชิงป้องกันทั่วไป และควรปรึกษาผู้เชี่ยวชาญด้านกฎหมายเพิ่มเติมประกอบการตัดสินใจ

เนื้อหาเชิงลึกที่เกี่ยวข้อง

เช็กลิสต์นี้เป็นส่วนหนึ่งของหมวด Privacy Risk Assessment สำหรับธุรกิจสุขภาพ หากต้องการเข้าใจภาพรวมและนิยามก่อนเริ่มไล่ตรวจ แนะนำให้อ่าน คู่มือ Privacy Risk Assessment สำหรับคลินิกและธุรกิจสุขภาพ ก่อน และหากต้องการรายละเอียดเชิงปฏิบัติแต่ละขั้นตอน อ่านเพิ่มเติมได้ที่ วิธีทำ Privacy Risk Assessment แบบเป็นขั้นตอนสำหรับธุรกิจสุขภาพ ดูภาพรวมทั้งหมดของหมวดสิทธิและความเสี่ยงได้ที่ ศูนย์ความรู้ด้าน Rights, Incidents & Risk

ข้อผิดพลาดที่พบบ่อยเมื่อใช้เช็กลิสต์นี้

ข้อผิดพลาดที่พบบ่อยคือไล่ตรวจเฉพาะระบบหลัก แล้วข้ามช่องทางรองอย่างไลน์กลุ่มหรือสเปรดชีตที่ทีมงานแชร์กัน ทั้งที่จุดเหล่านี้มักเป็นจุดเสี่ยงจริงมากกว่าที่คิด อีกข้อคือให้คะแนนความเสี่ยงโดยไม่บันทึกเหตุผลประกอบ ทำให้ทบทวนย้อนหลังไม่ได้ว่าทำไมจึงให้คะแนนเช่นนั้น นอกจากนี้หลายทีมกำหนดมาตรการลดความเสี่ยงไว้แล้วแต่ไม่ติดตามว่าถูกนำไปปฏิบัติจริง และบางทีมใช้เช็กลิสต์นี้เพียงครั้งเดียวตอนเปิดระบบ แล้วไม่นำมาใช้ซ้ำเมื่อระบบมีการเปลี่ยนแปลงในภายหลัง

สรุป: เช็กลิสต์ช่วยให้ไม่พลาดจุดเสี่ยงที่มองข้ามได้ง่าย

เช็กลิสต์นี้ไม่ได้มีไว้แทนที่การประเมินความเสี่ยงเชิงลึก แต่ช่วยให้ทีมงานไล่ตรวจครบทุกหมวดอย่างเป็นระบบก่อนเปิดใช้งานระบบใหม่ ตั้งแต่การสำรวจขอบเขตข้อมูล การให้คะแนนตามเกณฑ์ที่ชัดเจน การจัดลำดับมาตรการลดความเสี่ยง จนถึงการเก็บเอกสารหลักฐาน การใช้เช็กลิสต์นี้อย่างสม่ำเสมอทุกครั้งที่มีระบบใหม่ ช่วยลดโอกาสมองข้ามจุดเสี่ยงที่อาจกระทบต่อคนไข้ได้มากกว่าการประเมินแบบไม่มีโครงสร้าง

แหล่งข้อมูลอ้างอิง

เนื้อหานี้อ้างอิงแนวคิดการประเมินความเสี่ยงด้านความเป็นส่วนตัวจาก NIST Privacy Framework คลินิกและธุรกิจสุขภาพควรตรวจสอบแนวปฏิบัติของสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (PDPC) ประกอบกันเสมอ เนื่องจากรายละเอียดเชิงกฎหมายในประเทศไทยอาจมีการปรับปรุงเป็นระยะ