PDPA คลินิกต้องทำอะไรบ้าง เช็กลิสต์ครบสำหรับเจ้าของคลินิก
ข้อมูลสุขภาพเป็นข้อมูลส่วนบุคคลที่มีความอ่อนไหว คลินิกจึงต้องดูแลเข้มกว่าธุรกิจทั่วไป บทความนี้สรุปสิ่งที่คลินิกต้องทำตาม PDPA เป็นเช็กลิสต์ที่ลงมือได้ทีละข้อ
นับตั้งแต่ พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 หรือ PDPA มีผลบังคับใช้เต็มรูปแบบเมื่อวันที่ 1 มิถุนายน 2565 คำถามที่เจ้าของคลินิกถามบ่อยที่สุดคือ "PDPA คลินิกต้องทำอะไรบ้าง" เพราะคลินิกเก็บข้อมูลผู้ป่วยแทบทุกประเภท ตั้งแต่ชื่อ เลขบัตรประชาชน เบอร์โทร ไปจนถึงข้อมูลสุขภาพ ซึ่งกฎหมายถือเป็นข้อมูลส่วนบุคคลที่มีความอ่อนไหว ต้องดูแลเข้มงวดกว่าข้อมูลทั่วไป บทความนี้สรุปสิ่งที่ควรทำเป็นเช็กลิสต์ที่ลงมือได้จริง เป็นแนวทางทั่วไปเพื่อเริ่มต้น สำหรับกรณีเฉพาะของคลินิกคุณ ควรปรึกษานักกฎหมายหรือผู้เชี่ยวชาญด้าน PDPA
ทำไม PDPA คลินิกจึงสำคัญกว่าธุรกิจทั่วไป
คลินิกมีบทบาทเป็น "ผู้ควบคุมข้อมูลส่วนบุคคล" คือผู้ตัดสินใจว่าจะเก็บข้อมูลอะไร เพื่ออะไร และใช้อย่างไร ส่วนผู้ให้บริการที่ประมวลผลข้อมูลตามคำสั่งของคลินิก เช่น ผู้ให้บริการระบบคลินิกออนไลน์ ห้องแล็บภายนอก หรือบริษัทรับทำบัญชี มักมีบทบาทเป็น "ผู้ประมวลผลข้อมูลส่วนบุคคล" ความรับผิดชอบหลักจึงอยู่ที่คลินิก
- ข้อมูลสุขภาพเป็นข้อมูลอ่อนไหว การเก็บและใช้ต้องมีฐานทางกฎหมายที่รัดกุมกว่าข้อมูลทั่วไป
- ผลกระทบเมื่อข้อมูลรั่วรุนแรง ทั้งต่อผู้ป่วยและความเชื่อมั่นต่อคลินิก
- มีผู้เกี่ยวข้องหลายฝ่าย แพทย์ พยาบาล พนักงานเคาน์เตอร์ แคชเชียร์ และผู้ให้บริการภายนอก ทุกจุดคือความเสี่ยง
- มีหน้าที่รักษาความลับตามวิชาชีพอยู่แล้ว PDPA เพิ่มกรอบเรื่องการแจ้ง การขอความยินยอม สิทธิของผู้ป่วย และมาตรการความปลอดภัย
เช็กลิสต์ PDPA คลินิก 10 ข้อ
| ข้อ | สิ่งที่ต้องทำ | หลักฐานที่ควรมี |
|---|---|---|
| 1 | สำรวจว่าคลินิกเก็บข้อมูลอะไร จากใคร เก็บที่ไหน ใครเข้าถึง | บันทึกรายการกิจกรรมการประมวลผล (ROPA) |
| 2 | กำหนดวัตถุประสงค์และฐานทางกฎหมายของแต่ละกิจกรรม | ตารางวัตถุประสงค์และฐานทางกฎหมาย |
| 3 | แจ้งผู้ป่วยด้วยประกาศความเป็นส่วนตัว | Privacy Notice ที่เคาน์เตอร์ เว็บไซต์ และ LINE OA |
| 4 | ขอความยินยอมในกรณีที่จำเป็น และเก็บหลักฐาน | แบบฟอร์มหรือบันทึกความยินยอมในระบบ |
| 5 | เก็บข้อมูลเท่าที่จำเป็น | แบบฟอร์มลงทะเบียนที่ตัดช่องที่ไม่จำเป็นออก |
| 6 | กำหนดสิทธิ์การเข้าถึงตามหน้าที่ | ตารางบทบาทและสิทธิ์ผู้ใช้ |
| 7 | มีมาตรการความปลอดภัยทางเทคนิคและการจัดการ | นโยบายรหัสผ่าน 2FA การสำรองข้อมูล บันทึกการเข้าถึง |
| 8 | ทำข้อตกลงกับผู้ประมวลผลข้อมูลภายนอก | สัญญาหรือข้อตกลงการประมวลผลข้อมูล (DPA) |
| 9 | มีช่องทางและขั้นตอนรับคำขอใช้สิทธิของผู้ป่วย | แบบฟอร์มคำขอและทะเบียนติดตาม |
| 10 | มีแผนรับมือเหตุละเมิดข้อมูล และกำหนดระยะเวลาเก็บรักษา | แผนรับมือเหตุ นโยบายระยะเวลาเก็บรักษา |
รายละเอียดที่มักพลาดในแต่ละข้อ
สำรวจข้อมูลให้ครบทุกจุด
หลายคลินิกนึกถึงแค่เวชระเบียน แต่ลืมข้อมูลที่กระจายอยู่ที่อื่น เช่น สมุดนัดหน้าเคาน์เตอร์ แชต LINE ส่วนตัวของพนักงาน รูปถ่ายก่อนและหลังทำหัตถการในโทรศัพท์ ภาพจากกล้องวงจรปิด และไฟล์ Excel ที่ส่งต่อกันทางอีเมล ทุกจุดเหล่านี้คือข้อมูลส่วนบุคคลที่ต้องอยู่ในการสำรวจ
ฐานทางกฎหมายไม่ได้มีแค่ความยินยอม
ความเข้าใจผิดที่พบบ่อยคือคิดว่าต้องขอความยินยอมสำหรับทุกอย่าง ในความเป็นจริง การประมวลผลข้อมูลสุขภาพเพื่อการวินิจฉัยและรักษาโดยผู้ประกอบวิชาชีพ อาจอาศัยข้อยกเว้นตามกฎหมายได้ ขณะที่การใช้ข้อมูลเพื่อการตลาดหรือเผยแพร่ภาพผู้ป่วยมักต้องขอความยินยอม รายละเอียดอ่านได้ที่ ขอความยินยอมผู้ป่วยตาม PDPA เมื่อไรต้องขอ
สิทธิ์การเข้าถึงต้องสอดคล้องกับหน้าที่
พนักงานเคาน์เตอร์ไม่จำเป็นต้องเห็นบันทึกการรักษาโดยละเอียด แคชเชียร์ต้องเห็นรายการค่าใช้จ่าย แต่อาจไม่ต้องเห็นผลวินิจฉัยทั้งหมด การให้ทุกคนใช้บัญชีเดียวกันหรือเห็นทุกอย่างเท่ากัน ขัดกับหลักการเข้าถึงเท่าที่จำเป็น และทำให้ตรวจสอบย้อนหลังไม่ได้ว่าใครเปิดดูข้อมูล การมี Audit log ช่วยตอบคำถามนี้ได้
รับมือเหตุละเมิดข้อมูลให้ทันเวลา
เมื่อเกิดเหตุข้อมูลรั่วไหลหรือถูกเข้าถึงโดยไม่ได้รับอนุญาต กฎหมายกำหนดให้ผู้ควบคุมข้อมูลแจ้งสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลภายใน 72 ชั่วโมงนับแต่ทราบเหตุ เว้นแต่เหตุนั้นไม่มีความเสี่ยงที่จะกระทบสิทธิและเสรีภาพของบุคคล และหากมีความเสี่ยงสูงต้องแจ้งเจ้าของข้อมูลด้วย คลินิกจึงควรเตรียมไว้ล่วงหน้าว่าใครเป็นผู้ประเมินเหตุ ใครเป็นผู้ติดต่อหน่วยงาน และต้องเก็บข้อมูลอะไรบ้าง
เคล็ดลับ: เริ่มจากสิ่งที่ทำได้ภายในสัปดาห์นี้ก่อน เช่น เลิกใช้บัญชีร่วมกัน เปิดยืนยันตัวตนสองชั้น และติดประกาศความเป็นส่วนตัวที่เคาน์เตอร์ แล้วค่อยทยอยทำเอกสารอย่าง ROPA และข้อตกลงกับผู้ให้บริการภายนอก
บุคลากรและเอกสารที่ต้องเตรียม
- ผู้รับผิดชอบด้าน PDPA ภายในคลินิก แม้คลินิกเล็กก็ควรมีคนดูแลเรื่องนี้ชัดเจน
- เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล (DPO) กฎหมายกำหนดให้ผู้ควบคุมข้อมูลบางกลุ่มต้องแต่งตั้ง DPO ตามเกณฑ์ที่คณะกรรมการประกาศ คลินิกควรตรวจสอบว่าเข้าเกณฑ์หรือไม่กับผู้เชี่ยวชาญ
- การอบรมพนักงาน เน้นเรื่องที่เกิดขึ้นจริง เช่น ห้ามถ่ายภาพหน้าจอข้อมูลผู้ป่วย ห้ามส่งข้อมูลผ่านแชตส่วนตัว และการยืนยันตัวตนก่อนให้ข้อมูลทางโทรศัพท์
- นโยบายระยะเวลาเก็บรักษา กำหนดว่าข้อมูลแต่ละประเภทเก็บนานเท่าไร โดยพิจารณาร่วมกับข้อกำหนดเรื่องเวชระเบียนและกฎหมายอื่นที่เกี่ยวข้อง
- การสำรองข้อมูลและแผนกู้คืน เพราะความพร้อมใช้งานของข้อมูลก็เป็นส่วนหนึ่งของความปลอดภัย อ่านเพิ่มที่ สำรองข้อมูลคลินิก
แนวปฏิบัติและประกาศล่าสุดติดตามได้จาก สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (สคส.)
ระบบคลินิกช่วยเรื่อง PDPA ได้อย่างไร
ระบบไม่ได้ทำให้คลินิก "ผ่าน PDPA" ได้เอง เพราะนโยบายและวินัยของทีมยังสำคัญที่สุด แต่ระบบที่ออกแบบมาดีช่วยให้ทำตามเช็กลิสต์ได้ง่ายขึ้นมาก MACLINIC มีเครื่องมือที่สอดคล้องกับข้อต่าง ๆ ข้างต้น ได้แก่
- แยกข้อมูลรายคลินิก และกำหนดสิทธิ์ตามบทบาท เจ้าของ แพทย์ เจ้าหน้าที่ แคชเชียร์
- เข้ารหัสเลขบัตรประชาชนในฐานข้อมูล และเก็บเอกสารแนบไว้นอกเว็บสาธารณะ
- Audit log บันทึกการเปิดดู แก้ไข ลบ ส่งออก และการเข้าสู่ระบบล้มเหลว
- ยืนยันตัวตนสองชั้นด้วยแอป Authenticator และหมดเวลาใช้งานอัตโนมัติ
- บันทึกความยินยอม รับคำขอใช้สิทธิตาม PDPA และกำหนดระยะเวลาเก็บรักษา
- สำรองข้อมูลทุกวัน และข้อมูลเป็นของคลินิก ส่งออกได้เสมอ
เรื่องการรับคำขอจากผู้ป่วย เช่น ขอสำเนาข้อมูลหรือขอแก้ไข อ่านขั้นตอนได้ที่ รับมือคำขอใช้สิทธิเจ้าของข้อมูล
สรุป
PDPA คลินิกไม่ใช่งานเอกสารที่ทำครั้งเดียวจบ แต่เป็นระบบงานที่ต้องดูแลต่อเนื่อง เริ่มจากรู้ว่ามีข้อมูลอะไรอยู่ที่ไหน กำหนดวัตถุประสงค์และฐานทางกฎหมาย แจ้งผู้ป่วยอย่างโปร่งใส จำกัดสิทธิ์การเข้าถึง วางมาตรการความปลอดภัย และเตรียมพร้อมรับคำขอและเหตุละเมิด ใช้เช็กลิสต์ในบทความนี้เป็นจุดตั้งต้น แล้วตรวจสอบรายละเอียดกับนักกฎหมายหรือ สคส. ตามความจำเป็น หากต้องการระบบคลินิกที่มีเครื่องมือด้านความปลอดภัยข้อมูลพร้อมใช้ สามารถ สมัครใช้งาน MACLINIC ได้
