ตรวจสอบภายใน VS ข้อมูลคนไข้…เส้นแบ่งอยู่ตรงไหนระหว่าง “ความจำเป็น” กับ “ความเป็นส่วนตัว”
โดย ดร.ณัฏฐ์ ธนวนกุล
วิทยากรหลักสูตรผู้ตรวจประเมิน DPAC
กรรมการและประธานฝ่ายพัฒนามาตรฐานวิชาชีพ สมาคม TPDPA
เคยไหมครับ?
เพิ่งกลับจากออกหน่วยตรวจสุขภาพเคลื่อนที่ ยังไม่ทันได้พัก แผนกตรวจสอบภายใน (Internal Audit: IA) ก็ส่งหนังสือมาขอข้อมูลเพื่อตรวจสอบการดำเนินงาน
หลายคนที่ทำงานหน้างานอาจสะดุดใจทันที
“นี่เป็นข้อมูลผู้ป่วยนะ มีทั้งผลตรวจทางห้องปฏิบัติการ โรคประจำตัว และประวัติสุขภาพ จะส่งให้ทั้งหมดได้จริงหรือ แล้ว PDPA จะว่าอย่างไร?”
คำถามนี้ไม่มีคำตอบง่าย ๆ ว่า “ได้” หรือ “ไม่ได้” เพราะขึ้นอยู่กับวัตถุประสงค์ของการใช้ข้อมูล ความจำเป็นของการตรวจสอบ และมาตรการคุ้มครองข้อมูลที่องค์กรกำหนด
สิ่งสำคัญจึงไม่ใช่การถามว่า “IA มีสิทธิ์ดูข้อมูลผู้ป่วยหรือไม่” แต่ควรถามว่า
“IA จำเป็นต้องใช้ข้อมูลอะไร จึงจะเพียงพอต่อการตรวจสอบ โดยไม่เปิดเผยข้อมูลเกินความจำเป็น“
IA ตรวจอะไรในการออกหน่วยตรวจสุขภาพ?
หน้าที่ของฝ่ายตรวจสอบภายใน คือการประเมินระบบควบคุมภายใน การบริหารความเสี่ยง และธรรมาภิบาลขององค์กร เพื่อสร้างความเชื่อมั่นว่าการดำเนินงานเป็นไปอย่างถูกต้อง โปร่งใส และมีประสิทธิภาพ บรรลุวัตถุประสงค์ในแต่ละด้านตามที่ตั้งใจไว้
สำหรับการออกหน่วยตรวจสุขภาพเคลื่อนที่ ประเด็นที่ IA มักตรวจสอบ เช่น
- มีการออกหน่วยตามแผนจริงหรือไม่
- จำนวนผู้รับบริการสอดคล้องกับรายงานและการเบิกจ่ายหรือไม่?
- วัสดุ อุปกรณ์ และน้ำยาที่ใช้สัมพันธ์กับจำนวนผู้รับบริการหรือไม่?
- การบันทึกข้อมูลและการใช้ทรัพยากรเป็นไปตามระเบียบหรือไม่?
จะเห็นได้ว่า เป้าหมายหลักของ IA คือการประเมิน “ระบบ กระบวนการ และการควบคุมภายใน” ไม่ใช่การรับรู้รายละเอียดทางการแพทย์ของผู้ป่วยแต่ละราย เว้นแต่ข้อมูลดังกล่าวจะมีความจำเป็นต่อวัตถุประสงค์ของการตรวจสอบในกรณีเฉพาะ
แล้ว PDPA กำหนดไว้อย่างไร?
ข้อมูลสุขภาพ เช่น ผลตรวจทางห้องปฏิบัติการ ผลการวินิจฉัย หรือโรคประจำตัว เป็น ข้อมูลส่วนบุคคลที่มีความอ่อนไหว (Sensitive Personal Data) ตาม พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ซึ่งกฎหมายกำหนดให้ได้รับการคุ้มครองเป็นพิเศษ
อย่างไรก็ตาม PDPA “ไม่ได้ห้าม” การเข้าถึงข้อมูลสุขภาพโดยเด็ดขาด หากการดำเนินการนั้นมีฐานทางกฎหมายที่เหมาะสม มีวัตถุประสงค์ที่ชัดเจน และมีมาตรการรักษาความมั่นคงปลอดภัยของข้อมูล
หัวใจสำคัญของกฎหมาย คือ การใช้ข้อมูล “เท่าที่จำเป็น (Data Minimization)” และเปิดเผยข้อมูล “เฉพาะผู้ที่จำเป็นต้องใช้ (Need-to-know)” เพื่อบรรลุวัตถุประสงค์ที่กำหนดไว้
ดังนั้น หากการตรวจสอบสามารถดำเนินการได้โดยใช้ข้อมูลสรุป หรือข้อมูลที่ลดการระบุตัวบุคคล ก็ควรเลือกใช้แนวทางดังกล่าวก่อนการเปิดเผยข้อมูลสุขภาพที่ระบุตัวบุคคล
แล้วเราควรปฏิบัติอย่างไร?
- เริ่มจากข้อมูลสรุปก่อน
หากวัตถุประสงค์ของการตรวจสอบสามารถใช้ ข้อมูลสรุปได้ เช่น จำนวนผู้รับบริการ รายงานการใช้วัสดุ รายงานการเงิน หรือสถิติการให้บริการ ก็ควรใช้ข้อมูลระดับสรุปก่อน โดย ไม่จำเป็นต้องเปิดเผยข้อมูลรายบุคคล
- หากจำเป็นต้องตรวจสอบรายบุคคล ให้เปิดเผยข้อมูลเท่าที่จำเป็น
ในบางกรณี เช่น การตรวจสอบข้อร้องเรียน การตรวจสอบความผิดปกติ หรือการยืนยันจำนวนผู้รับบริการ อาจมีความจำเป็นต้องตรวจสอบข้อมูลรายบุคคล
กรณีเช่นนี้ ควรพิจารณาใช้มาตรการลดการเปิดเผยข้อมูล เช่น
- ปกปิดข้อมูลระบุตัวตนบางส่วน (Masking)
- ใช้รหัสแทนตัวบุคคล (Pseudonymization) เมื่อเหมาะสม
- ตัดข้อมูลสุขภาพที่ไม่เกี่ยวข้องกับวัตถุประสงค์ของการตรวจสอบออก
- จำกัดผู้มีสิทธิ์เข้าถึงข้อมูลเฉพาะผู้ที่จำเป็น (Least Privilege)
หากมีความจำเป็นต้องตรวจสอบข้อมูลต้นฉบับที่มีข้อมูลสุขภาพ ควรดำเนินการตามระเบียบขององค์กร กำหนดขอบเขตการเข้าถึงให้ชัดเจน และสามารถ ปรึกษาเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล (DPO) เพื่อให้มั่นใจว่าการดำเนินการเป็นไปตามกฎหมายและนโยบายขององค์กร
- ใช้ช่องทางที่ปลอดภัยในการส่งข้อมูล
การส่งข้อมูลควรใช้ระบบที่องค์กรกำหนด เช่น
- ระบบจัดเก็บเอกสารภายในที่มีการกำหนดสิทธิ์การเข้าถึง
- ระบบที่มีการเข้ารหัสข้อมูล
- ระบบที่สามารถตรวจสอบประวัติการเข้าถึงข้อมูล (Audit Log)
- ควรหลีกเลี่ยงการส่งข้อมูลผู้ป่วยผ่านช่องทางที่องค์กรไม่สามารถควบคุมความปลอดภัยของข้อมูลได้ หรือช่องทางที่ไม่เป็นไปตามนโยบายขององค์กร
บทสรุป
การตรวจสอบภายในกับการคุ้มครองข้อมูลส่วนบุคคล ไม่ใช่เรื่องที่ขัดแย้งกัน หากทุกฝ่ายยึดหลักเดียวกัน คือ
- ใช้ข้อมูลตามวัตถุประสงค์ (Purpose Limitation)
- ใช้และเปิดเผยข้อมูลเท่าที่จำเป็น (Data Minimization)
- เปิดเผยเฉพาะผู้ที่จำเป็นต้องใช้ข้อมูล (Need-to-know)
- กำหนดสิทธิ์การเข้าถึงเฉพาะผู้ที่เกี่ยวข้อง (Least Privilege)
กล่าวโดยสรุป IA มีหน้าที่ตรวจสอบความถูกต้องของระบบ กระบวนการ และการควบคุมภายใน ไม่ใช่การเข้าถึงข้อมูลสุขภาพของผู้ป่วยโดยไม่มีเหตุจำเป็น ขณะเดียวกัน หน่วยงานเจ้าของข้อมูลก็ไม่ควรปฏิเสธการให้ข้อมูลที่จำเป็นต่อการตรวจสอบ หากมี ฐานทางกฎหมาย รองรับและ มีมาตรการคุ้มครองข้อมูล ที่เหมาะสม
เมื่อทั้งสองฝ่ายเข้าใจบทบาทของกันและกัน การตรวจสอบก็จะช่วยยกระดับ ความโปร่งใสขององค์กร ขณะที่ข้อมูลส่วนบุคคลของผู้ป่วยก็ยังได้รับการคุ้มครองอย่างเหมาะสม อันเป็นรากฐานสำคัญของ ธรรมาภิบาล และ ความเชื่อมั่นในระบบบริการสุขภาพ
แหล่งที่มา >> https://www.facebook.com/share/p/1BGzaA25ia/
อยากตรวจประเมิน PDPA แต่ไม่รู้จะเริ่มต้นยังไง
หลักสูตร “ผู้ตรวจประเมินการคุ้มครองข้อมูลส่วนบุคคล” Data Protection Auditor Certification (DPAC) รุ่นที่ 5
เผยแพร่: 7 สิงหาคม 2569
อัปเดตล่าสุด: 7 สิงหาคม 2569
ช่องทางติดต่อ:
Facebook: PDPA Thailand
Line OA: @pdpathailand
Email: [email protected]
Website: www.pdpathailand.com
