PDPA สำหรับคลินิก: สิ่งที่ต้องทำกับข้อมูลคนไข้ และระบบช่วยได้แค่ไหน

ข้อมูลสุขภาพจัดเป็นข้อมูลอ่อนไหวภายใต้ พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 (PDPA) ซึ่งมีข้อกำหนดเข้มกว่าข้อมูลทั่วไป คลินิกทุกขนาดอยู่ในข่ายบังคับ บทความนี้สรุปเป็นภาษาปฏิบัติ ไม่ใช่คำแนะนำทางกฎหมาย ควรปรึกษาผู้เชี่ยวชาญสำหรับกรณีของคุณ

หน้าที่หลักของคลินิก

1. แจ้งวัตถุประสงค์การเก็บข้อมูล (Privacy notice) ณ จุดลงทะเบียน
2. ขอความยินยอมสำหรับการใช้ที่นอกเหนือจากการรักษา เช่น การตลาด รูปก่อน-หลัง ข้อมูลใบหน้า
3. จำกัดการเข้าถึงเฉพาะผู้ที่จำเป็นต่องาน
4. เก็บรักษาอย่างปลอดภัยและกำหนดระยะเวลาเก็บ
5. ตอบสนองคำขอของเจ้าของข้อมูล เช่น ขอดู ขอแก้ไข
6. แจ้งสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลภายใน 72 ชั่วโมงเมื่อเกิดเหตุรั่วไหลที่มีความเสี่ยงสูง

ความเสี่ยงที่พบบ่อยในคลินิก

• พนักงานทุกคนใช้รหัสผ่านเดียวกัน
• พนักงานลาออกแล้วยังล็อกอินได้
• ส่งรูปคนไข้ผ่านแชทส่วนตัว
• แฟ้มกระดาษวางบนเคาน์เตอร์ที่คนอื่นเห็นได้
• ใช้ข้อมูลคนไข้ส่งโฆษณาโดยไม่ได้ขอความยินยอม

ระบบช่วยได้ตรงไหน

โปรแกรมคลินิกช่วยได้ในส่วน 'เทคนิค' ของ PDPA: การกำหนดสิทธิ์ตามบทบาท, Login 2 ชั้น, การเก็บบันทึกความยินยอมผูกกับประวัติ, audit log ว่าใครเปิดข้อมูลใคร, และการจำกัดให้เฉพาะแพทย์เห็นบันทึกทางการแพทย์ APSX มีทั้งหมดนี้ รวมถึงการยืนยันตัวตนคนไข้ก่อนเปิดข้อมูลใน LINE

สิ่งที่ระบบทำแทนไม่ได้

นโยบายภายใน การอบรมพนักงาน แบบฟอร์มความยินยอมที่ถูกต้อง สัญญากับผู้ประมวลผลข้อมูล และการแต่งตั้งผู้รับผิดชอบ ยังเป็นหน้าที่ของคลินิก ระบบเป็นเครื่องมือ ไม่ใช่ใบรับรอง

Checklist 30 นาที

• ทุกคนมีบัญชีของตัวเองและเปิด 2FA สำหรับเจ้าของ/ผู้จัดการ
• ปิดบัญชีพนักงานที่ลาออกแล้ววันนี้
• มีแบบฟอร์มความยินยอมสำหรับรูปถ่ายและการตลาด
• รู้ว่าข้อมูลเก็บที่ไหนและสำรองอย่างไร
• มีขั้นตอนเมื่อคนไข้ขอดูข้อมูลของตัวเอง