สิทธิเจ้าของข้อมูลตาม PDPA: คลินิกรับมือคำขอจากผู้ป่วยอย่างไร
เมื่อผู้ป่วยขอใช้สิทธิตาม PDPA คลินิกต้องรู้ว่าสิทธิแต่ละข้อหมายถึงอะไร ตรวจสอบตัวตนอย่างไร และเมื่อไรปฏิเสธได้ บทความนี้วางขั้นตอนให้ทีมทำตามได้ทันที
วันหนึ่งอาจมีผู้ป่วยเดินมาที่เคาน์เตอร์แล้วพูดว่า "ขอสำเนาประวัติการรักษาทั้งหมดของผมหน่อย" หรือ "ช่วยลบเบอร์โทรของฉันออกจากรายชื่อส่งโปรโมชันด้วย" นี่คือการใช้สิทธิเจ้าของข้อมูลตาม พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 (PDPA) ซึ่งบังคับใช้เต็มรูปแบบตั้งแต่ 1 มิถุนายน 2565 คลินิกที่เตรียมขั้นตอนไว้จะตอบได้อย่างมืออาชีพ ส่วนคลินิกที่ไม่ได้เตรียมมักตอบแบบด้นสด ซึ่งเสี่ยงทั้งต่อความสัมพันธ์กับผู้ป่วยและต่อการปฏิบัติตามกฎหมาย
สิทธิเจ้าของข้อมูลมีอะไรบ้าง
ตารางนี้สรุปสิทธิหลักแบบภาษาง่าย พร้อมตัวอย่างสถานการณ์ในคลินิก (เป็นภาพรวมเพื่อความเข้าใจ เงื่อนไขและข้อยกเว้นของแต่ละสิทธิควรตรวจสอบกับข้อกฎหมายฉบับเต็มหรือนักกฎหมาย)
| สิทธิ | ความหมายโดยย่อ | ตัวอย่างในคลินิก |
|---|---|---|
| สิทธิได้รับแจ้ง | รู้ว่าคลินิกเก็บข้อมูลอะไร เพื่ออะไร เก็บนานเท่าไร | ผู้ป่วยถามว่าทำไมต้องสแกนบัตรประชาชน |
| สิทธิขอเข้าถึงและขอสำเนา | ขอดูหรือขอสำเนาข้อมูลของตนเอง | ขอสำเนาประวัติการรักษาเพื่อไปรักษาต่อที่อื่น |
| สิทธิขอรับหรือให้โอนข้อมูล | ขอรับข้อมูลในรูปแบบที่อ่านได้ด้วยเครื่องมืออัตโนมัติ ตามเงื่อนไขที่กฎหมายกำหนด | ขอข้อมูลในรูปแบบไฟล์ดิจิทัล |
| สิทธิขอแก้ไขให้ถูกต้อง | ขอแก้ข้อมูลที่ไม่ถูกต้องหรือไม่เป็นปัจจุบัน | เปลี่ยนที่อยู่ เบอร์โทร หรือแจ้งว่าชื่อสะกดผิด |
| สิทธิคัดค้าน | คัดค้านการเก็บหรือใช้ข้อมูลในบางกรณี | ไม่ต้องการรับข่าวสารการตลาด |
| สิทธิขอให้ระงับการใช้ | ขอให้หยุดใช้ข้อมูลชั่วคราวระหว่างตรวจสอบ | ระหว่างรอพิสูจน์ว่าข้อมูลที่โต้แย้งถูกหรือผิด |
| สิทธิขอให้ลบหรือทำลาย | ขอให้ลบหรือทำให้ไม่สามารถระบุตัวตนได้ ตามเงื่อนไข | ขอลบข้อมูลที่ให้ไว้เพื่อการตลาด |
| สิทธิถอนความยินยอม | ถอนความยินยอมที่เคยให้ไว้เมื่อใดก็ได้ | เคยยินยอมให้ใช้ภาพก่อนและหลังทำหัตถการ แล้วเปลี่ยนใจ |
สิทธิถอนความยินยอมเชื่อมโยงกับการขอความยินยอมโดยตรง ถ้ายังไม่แน่ใจว่าเรื่องใดต้องขอความยินยอม อ่านเพิ่มที่ ขอความยินยอมผู้ป่วยตาม PDPA
ขั้นตอนรับมือคำขอใช้สิทธิเจ้าของข้อมูลในคลินิก
- รับคำขอเป็นลายลักษณ์อักษร ไม่ว่าผู้ป่วยจะแจ้งที่เคาน์เตอร์ ทางโทรศัพท์ หรือข้อความ ให้บันทึกลงแบบฟอร์มหรือระบบ ระบุวันที่รับ ช่องทาง สิทธิที่ขอ และขอบเขตข้อมูล
- ยืนยันตัวตนผู้ขอ ตรวจบัตรประชาชนเมื่อมาด้วยตนเอง หากเป็นผู้แทน เช่น ผู้ปกครองของผู้เยาว์ หรือผู้รับมอบอำนาจ ต้องมีเอกสารแสดงอำนาจ ห้ามส่งประวัติการรักษาให้คนที่อ้างว่าเป็นญาติทางโทรศัพท์
- ส่งต่อผู้รับผิดชอบ กำหนดชื่อคนที่ดูแลเรื่องนี้ เช่น ผู้จัดการคลินิก หรือเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลหากคลินิกมีการแต่งตั้ง
- ตรวจสอบเงื่อนไขและข้อยกเว้น บางคำขออาจต้องปฏิเสธบางส่วนหรือทั้งหมดตามที่กฎหมายเปิดให้ เช่น เมื่อมีหน้าที่ตามกฎหมายที่ต้องเก็บข้อมูลไว้ หรือการเปิดเผยจะกระทบสิทธิของบุคคลอื่น
- ดำเนินการและตอบกลับภายในกรอบเวลา สำหรับคำขอเข้าถึงและขอสำเนา กฎหมายกำหนดให้ดำเนินการโดยไม่ชักช้า ภายในไม่เกิน 30 วันนับแต่ได้รับคำขอ คำขออื่นก็ควรตอบโดยไม่ชักช้าเช่นกัน ถ้าปฏิเสธ ต้องแจ้งเหตุผลให้ผู้ขอทราบ
- บันทึกผล ว่าทำอะไร เมื่อไร ใครเป็นผู้ดำเนินการ และเก็บหลักฐานการตอบกลับไว้
เคล็ดลับ: เตรียม "แบบฟอร์มคำขอใช้สิทธิ" หนึ่งหน้าไว้ที่เคาน์เตอร์ และเขียนบทพูดสั้น ๆ ให้พนักงาน เช่น "ยินดีค่ะ ขอให้กรอกแบบฟอร์มและขอดูบัตรประชาชน ผู้รับผิดชอบจะติดต่อกลับภายในกี่วัน" ทีมจะตอบได้มั่นใจและเหมือนกันทุกคน
กรณีที่คลินิกมักสับสน
ผู้ป่วยขอให้ลบประวัติการรักษาทั้งหมด
สิทธิขอให้ลบไม่ได้ใช้ได้ทุกกรณี เวชระเบียนเป็นข้อมูลที่คลินิกอาจมีหน้าที่ต้องเก็บรักษาตามกฎหมายหรือมาตรฐานวิชาชีพ และอาจจำเป็นต่อการรักษาในอนาคต สิ่งที่ควรทำคือแยกว่าข้อมูลส่วนไหนลบได้ เช่น ข้อมูลที่ใช้เพื่อการตลาด และส่วนไหนต้องเก็บไว้ พร้อมอธิบายเหตุผลอย่างสุภาพเป็นลายลักษณ์อักษร
ญาติขอดูข้อมูลแทนผู้ป่วยผู้ใหญ่
ญาติไม่ได้มีสิทธิเข้าถึงข้อมูลของผู้ป่วยที่บรรลุนิติภาวะโดยอัตโนมัติ ต้องมีความยินยอมหรือหนังสือมอบอำนาจจากผู้ป่วย หรือมีฐานทางกฎหมายรองรับ หากไม่แน่ใจควรปรึกษานักกฎหมายก่อนเปิดเผย
ขอแก้ผลวินิจฉัยที่ผู้ป่วยไม่เห็นด้วย
สิทธิขอแก้ไขมุ่งที่ข้อมูลข้อเท็จจริงที่ผิด เช่น ชื่อ ที่อยู่ วันเกิด ส่วนความเห็นทางการแพทย์ควรให้แพทย์ผู้รักษาพิจารณา หากแพทย์ยืนยันตามเดิม อาจบันทึกข้อโต้แย้งของผู้ป่วยแนบไว้แทนการแก้ข้อความเดิม และไม่ควรลบประวัติเดิมทิ้ง
เตรียมระบบให้พร้อมก่อนมีคำขอ
- รู้ว่าข้อมูลของผู้ป่วยหนึ่งคนอยู่ที่ไหนบ้าง ทั้งในระบบ ไฟล์สแกน แฟ้มกระดาษ แชต LINE และอีเมล
- สามารถดึงข้อมูลของผู้ป่วยรายบุคคลออกมาได้ครบในเวลาไม่นาน
- มีประกาศความเป็นส่วนตัว (Privacy Notice) ที่บอกช่องทางยื่นคำขอชัดเจน
- บันทึกการแก้ไขข้อมูลย้อนหลังได้ เพื่อแสดงว่าแก้อะไรตามคำขอ ดูเพิ่มที่ Audit log คืออะไร
- มีทะเบียนคำขอที่ใช้ติดตามกำหนดเวลาตอบกลับ
รายการงานด้าน PDPA ทั้งหมดของคลินิกสรุปไว้ใน PDPA คลินิกต้องทำอะไรบ้าง ข้อมูลทางการ แนวปฏิบัติ และประกาศล่าสุดติดตามได้ที่ สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (สคส.)
MACLINIC ช่วยเรื่องสิทธิเจ้าของข้อมูลอย่างไร
MACLINIC มีส่วนรับคำขอใช้สิทธิตาม PDPA เพื่อบันทึกและติดตามคำขอของผู้ป่วย มีการบันทึกความยินยอม และกำหนดระยะเวลาเก็บรักษาข้อมูลได้ ข้อมูลผู้ป่วยรวมอยู่ในแฟ้มเดียว ตั้งแต่ข้อมูลลงทะเบียน ซักประวัติ วินิจฉัย การสั่งยา ไปจนถึงเอกสารแนบ จึงรวบรวมเมื่อมีคำขอสำเนาได้ง่ายขึ้น เอกสารพิมพ์หรือบันทึกเป็น PDF ได้ และทุกการเปิดดู แก้ไข ลบ หรือส่งออกถูกบันทึกใน Audit log ทั้งนี้การพิจารณาว่าจะอนุมัติหรือปฏิเสธคำขอยังเป็นหน้าที่ของคลินิก ซึ่งควรปรึกษานักกฎหมายในกรณีที่ไม่ชัดเจน
สรุป
การรับมือคำขอใช้สิทธิเจ้าของข้อมูลให้ดีมีหัวใจอยู่ที่ขั้นตอนที่ชัด ได้แก่ รับคำขอเป็นลายลักษณ์อักษร ยืนยันตัวตน ตรวจเงื่อนไข ตอบภายในกรอบเวลา และบันทึกผลทุกครั้ง เมื่อทีมรู้ว่าต้องทำอะไร ผู้ป่วยจะรู้สึกว่าข้อมูลของเขาอยู่ในมือที่ไว้ใจได้ หากต้องการระบบที่ช่วยบันทึกความยินยอมและคำขอเหล่านี้ สมัครใช้งาน MACLINIC ได้เลย
