ข้อมูลสุขภาพเป็น "ข้อมูลส่วนบุคคลที่อ่อนไหว" ตามมาตรา 26 ของ พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ซึ่งมีข้อกำหนดเข้มกว่าข้อมูลทั่วไป คลินิกทุกขนาดอยู่ในข่ายนี้ บทความนี้สรุปเป็นภาษาปฏิบัติ — ไม่ใช่คำแนะนำทางกฎหมาย ควรให้ที่ปรึกษากฎหมายตรวจนโยบายของคลินิกก่อนใช้จริง
1. รู้ก่อนว่าเก็บข้อมูลอะไร เพื่ออะไร
ทำรายการข้อมูลที่คลินิกเก็บ (ชื่อ เลขบัตร ประวัติการรักษา ภาพถ่าย ผลแล็บ ข้อมูลการชำระเงิน ข้อมูลจาก LINE) และวัตถุประสงค์ของแต่ละอย่าง — เอกสารนี้เรียกว่า Record of Processing (RoP) เป็นฐานของทุกอย่างที่เหลือ
2. ฐานทางกฎหมาย: ไม่ใช่ทุกอย่างต้องขอความยินยอม
การเก็บประวัติเพื่อการรักษาพยาบาลโดยผู้ประกอบวิชาชีพ มีฐานทางกฎหมายเฉพาะ (มาตรา 26 (5)) ไม่ต้องขอความยินยอมแยก แต่สิ่งที่ ต้อง ขอความยินยอมชัดเจนคือการใช้ข้อมูลนอกเหนือการรักษา เช่น
- ส่งข้อความการตลาด/โปรโมชันผ่าน LINE หรือ SMS
- ใช้ภาพก่อน-หลังเพื่อการโฆษณา
- แชร์ข้อมูลกับพันธมิตร (ประกัน แล็บภายนอก) ในกรณีที่ไม่ใช่การส่งต่อเพื่อการรักษา
ความยินยอมต้องแยกตามวัตถุประสงค์ ถอนได้ง่ายเท่ากับที่ให้ และไม่เป็นเงื่อนไขของการรับบริการ
3. แจ้งผู้ป่วยด้วยประกาศความเป็นส่วนตัว
ประกาศ (Privacy Notice) ต้องบอกว่าเก็บอะไร เพื่ออะไร เก็บนานแค่ไหน ส่งต่อให้ใคร และผู้ป่วยมีสิทธิอะไร ติดที่จุดลงทะเบียนและใส่ในหน้าจอง/หน้าลงทะเบียนออนไลน์
4. มาตรการรักษาความปลอดภัยที่ระบบต้องมี
ประกาศคณะกรรมการฯ เรื่องมาตรการรักษาความมั่นคงปลอดภัย กำหนดให้มีการควบคุมการเข้าถึง การยืนยันตัวตน และการบันทึกกิจกรรม ในทางปฏิบัติกับระบบคลินิกหมายถึง
- สิทธิ์ตามบทบาท — พนักงานต้อนรับไม่ควรเปิดบันทึกการตรวจได้ แพทย์ไม่ควรเห็นข้อมูลการเงินทั้งหมด
- บันทึกการเข้าถึง (audit log) — ใครเปิดดูข้อมูลของใคร เมื่อไร จากเครื่องไหน เก็บแบบแก้ไขไม่ได้
- เข้ารหัสข้อมูลอ่อนไหว — ทั้งระหว่างส่ง (HTTPS) และในฐานข้อมูล เพื่อให้ข้อมูลที่รั่วอ่านไม่ได้
- ออกจากระบบอัตโนมัติ เมื่อไม่มีการใช้งาน และบังคับรหัสผ่านที่แข็งแรง
- แจ้งเตือนการเข้าถึงผิดปกติ เช่น เปิดดูประวัติจำนวนมากในเวลาสั้น ๆ
5. สิทธิของผู้ป่วยที่ต้องรองรับ
ขอดู ขอสำเนา ขอแก้ไข ขอลบ (ในขอบเขตที่กฎหมายวิชาชีพอนุญาต) และถอนความยินยอม — คลินิกต้องตอบภายใน 30 วัน ระบบที่ดีจะส่งออกข้อมูลของผู้ป่วยรายนั้นได้ในคลิกเดียว และบันทึกคำขอไว้เป็นหลักฐาน
6. เมื่อข้อมูลรั่ว
ต้องแจ้งสำนักงานคณะกรรมการฯ ภายใน 72 ชั่วโมง และแจ้งผู้ป่วยถ้ามีความเสี่ยงสูง — audit log คือสิ่งที่ทำให้รู้ว่ารั่วอะไร ของใคร และตั้งแต่เมื่อไร
เช็กลิสต์สั้น ๆ
- มี RoP และประกาศความเป็นส่วนตัว
- ขอความยินยอมแยกวัตถุประสงค์ ถอนได้ มีบันทึกว่าใครให้เมื่อไร
- ระบบแยกสิทธิ์ เข้ารหัส และมี audit log
- มีขั้นตอนตอบคำขอใช้สิทธิภายใน 30 วัน
- มีแผนรับมือเหตุข้อมูลรั่ว
ระบบช่วยได้ในข้อ 4–6 แต่ข้อ 1–3 เป็นเรื่องนโยบายของคลินิกที่ซอฟต์แวร์ทำแทนไม่ได้