PDPA โรงพยาบาลและคลินิก ใครดูเวชระเบียนได้และใช้ภาพคนไข้ได้แค่ไหน

PDPA โรงพยาบาลคลินิกเกี่ยวข้องกับหลายจุดตั้งแต่ลงทะเบียน นัดหมาย ตรวจรักษา ส่งแล็บจนถึงเบิกประกัน ข้อมูลชุดเดียวอาจจำเป็นต่อทีมรักษา แต่เกินหน้าที่ของพนักงานการตลาด ระบบที่ดีต้องกำหนดทั้งฐานกฎหมายและสิทธิในหน้าจอที่แต่ละตำแหน่งเห็นจริง

สถานการณ์ที่ต้องแยกก่อนตัดสินใจ

กรณีต่อไปนี้เป็นตัวอย่างสมมติ ใช้อธิบายความแตกต่างของข้อเท็จจริง ไม่ใช่ข้อมูลลูกความหรือคำพิพากษา

• แพทย์ใช้ผลตรวจเพื่อรักษาคนไข้ ต้องตรวจเงื่อนไขกฎหมายและผู้เข้าถึงตามหน้าที่ ไม่จำเป็นต้องใช้ใบยินยอมการตลาดเป็นเงื่อนไขรักษา
• ญาติโทรถามผลตรวจและอ้างว่าเป็นผู้ชำระเงิน ยังต้องตรวจอำนาจและสิทธิผู้รับ ไม่ส่งเพียงเพราะตอบข้อมูลคนไข้ได้
• คลินิกขอใช้ภาพก่อนหลังรักษาเพื่อโฆษณา ต้องแยกจากการบันทึกเพื่อรักษาและประเมินกฎการโฆษณาที่เกี่ยวข้องด้วย

เริ่มแก้ปัญหาตามลำดับใด

ทำผังข้อมูลผู้ป่วยตามกระบวนการ แยกการรักษา เบิกจ่าย วิจัยและตลาด ตรวจฐานกับความลับวิชาชีพ กำหนดสิทธิและช่องทางส่งผล จากนั้นทดสอบกรณีญาติขอข้อมูลและกรณีส่งผิดคน

จัดข้อมูลสุขภาพตามหน้าที่ของผู้ใช้

การรักษาไม่ใช่ใบอนุญาตใช้ข้อมูลทุกวัตถุประสงค์

มาตรา 26 มีข้อยกเว้นที่เกี่ยวกับบริการสุขภาพเมื่อเข้าเงื่อนไข เช่น ความจำเป็นและการอยู่ในความรับผิดชอบของผู้ประกอบวิชาชีพหรือผู้มีหน้าที่รักษาความลับตามตัวบท ต้องวิเคราะห์กิจกรรมจริง การนำผลตรวจไปทำสื่อขายบริการหรือส่งให้พันธมิตรไม่ได้มีวัตถุประสงค์เดียวกับการรักษาโดยอัตโนมัติ

ความลับสุขภาพต้องพิจารณากฎหมายเฉพาะด้วย

มาตรา 7 ของพระราชบัญญัติสุขภาพแห่งชาติวางหลักความลับข้อมูลสุขภาพและเงื่อนไขการเปิดเผย จึงไม่ควรพิจารณาเพียง PDPA ฝ่ายที่รับคำขอจากญาติ บริษัทประกันหรือเจ้าหน้าที่ต้องตรวจผู้ขอ อำนาจ ขอบเขตและเหตุเปิดเผยเป็นรายกรณี หนังสือยินยอมกว้างที่ใช้มานานอาจไม่พออธิบายการส่งข้อมูลทุกชุด

สิทธิเปิดเวชระเบียนควรผูกกับงานและตรวจย้อนหลังได้

แยกข้อมูลที่พนักงานนัดหมายต้องใช้จากรายละเอียดวินิจฉัย ทีมการเงินอาจต้องข้อมูลเพื่อเบิกจ่ายตามหน้าที่ แต่ไม่ควรเปิดแฟ้มทั้งหมดโดยไม่มีเหตุ กำหนดการเข้าถึงกรณีเร่งด่วนและการตรวจบันทึกภายหลัง การตั้งรหัสร่วมหน้าห้องตรวจทำให้ระบุตัวผู้เปิดไม่ได้และเพิ่มความเสี่ยงเมื่อพนักงานออก

ภาพก่อนหลังรักษาต้องมีขอบเขตการใช้ชัด

ภาพอาจสื่อข้อมูลสุขภาพและระบุตัวได้แม้ไม่แสดงชื่อ ต้องแยกความจำเป็นเพื่อบันทึกการรักษาจากการเผยแพร่เป็นโฆษณา หากอาศัยความยินยอมให้กำหนดช่องทาง เนื้อหาและวิธีถอนอย่างเข้าใจได้ พร้อมตรวจข้อจำกัดโฆษณาสถานพยาบาลและวิชาชีพ การอนุญาตตาม PDPA ไม่แทนการอนุญาตหรือข้อห้ามของกฎหมายโฆษณา

ผู้ขายระบบกับ DPO เป็นหน้าที่ที่ต้องประเมินแยก

ระบบเวชระเบียน แล็บภายนอกและผู้รับจ้างสื่อมีบทบาทต่างกัน ต้องตรวจสัญญา การเข้าถึงและการแจ้งเหตุ สำหรับ DPO มาตรา 41(3) ใช้พิจารณาเมื่อกิจกรรมหลักเป็นการดำเนินการกับข้อมูลตามมาตรา 26 ไม่ควรใช้จำนวนพนักงานน้อยเป็นเหตุสรุปว่าไม่ต้องมี หรือใช้ผู้ขายซอฟต์แวร์แทนการประเมินหน้าที่ของสถานพยาบาล

ข้อกฎหมายที่ใช้และเงื่อนไขที่ต้องระวัง

PDPA มาตรา 26 กำหนดเงื่อนไขข้อมูลสุขภาพและข้อมูลอ่อนไหว มาตรา 37 เกี่ยวกับมาตรการความปลอดภัยกับเหตุละเมิด มาตรา 40 เกี่ยวกับผู้ประมวลผล และมาตรา 41(3) เกี่ยวกับ DPO เมื่อกิจกรรมหลักเป็นข้อมูลตามมาตรา 26 ต้องอ่านร่วมกับมาตรา 7 แห่งพระราชบัญญัติสุขภาพแห่งชาติ พ.ศ.2550 และกฎหมายวิชาชีพหรือสถานพยาบาลที่ใช้กับกิจกรรมนั้น

พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ.2562 ฉบับราชกิจจานุเบกษา เป็นตัวบทหลักที่ใช้อ้างอิงในบทความนี้

มาตรา 7 พระราชบัญญัติสุขภาพแห่งชาติ สำนักงานคณะกรรมการสุขภาพแห่งชาติ

เลนส์ทนายยอดทิพย์ธรรม: ถ้าพลาดแล้วต้องรับมืออะไร

ผลตรวจส่งผิดคนอาจทำให้เสียหายเกินกว่าการเปลี่ยนอีเมลรับข่าว ควรมีวิธียืนยันผู้รับและจัดการทันทีเมื่อผิดพลาด พร้อมประเมินหน้าที่แจ้งและผลกระทบตามข้อเท็จจริง การพิจารณาโทษหรือค่าเสียหายต้องดูองค์ประกอบ ไม่ใช้เพดานค่าปรับเป็นผลแน่นอนของทุกเหตุ

หลักฐานที่ควรเก็บก่อนข้อมูลเปลี่ยนไป

• รายการกิจกรรมสุขภาพกับฐานกฎหมายและผู้เข้าถึง
• คำแจ้งกับใบยินยอมแยกตามวัตถุประสงค์
• บันทึกเข้าถึงเวชระเบียนและการส่งผลตรวจ
• สัญญาระบบ แล็บและผู้รับจ้างที่รับข้อมูล
• ผลประเมิน DPO และขั้นตอนรับคำขอหรือแจ้งเหตุ

ให้เจ้าของงานระบุว่าเอกสารแต่ละฉบับใช้กับกระบวนการใด ใครเป็นผู้อนุมัติ และเริ่มใช้เมื่อใด เก็บหลักฐานการทำงานจริงประกอบแบบฟอร์ม เช่น ผลทดสอบสิทธิหรือบันทึกการส่งข้อมูล หากพบว่าเอกสารกับระบบไม่ตรงกัน ให้บันทึกช่องว่างและผู้รับผิดชอบแก้ไข ไม่เปลี่ยนบันทึกย้อนหลังให้ดูเหมือนปฏิบัติถูกต้องมาตั้งแต่ต้น

ก่อนส่งหลักฐานให้ผู้อื่น ตรวจว่ามีข้อมูลที่ไม่เกี่ยวข้องปะปนหรือไม่ สำเนาสำหรับตรวจอาจปกปิดส่วนที่ไม่จำเป็นได้ โดยรักษาต้นฉบับไว้ในพื้นที่จำกัดสิทธิ บันทึกผู้รับ วันที่ส่งและวัตถุประสงค์ หากมีข้อพิพาทต้องพิจารณาระยะเก็บและการพักทำลายเฉพาะส่วนที่เกี่ยวข้อง ไม่ใช้เหตุเตรียมคดีเป็นข้ออ้างเก็บข้อมูลทุกชุดไม่มีกำหนด

ญาติหรือบริษัทประกันอ้างว่าจ่ายเงิน จึงขอแฟ้มทั้งหมด

การเป็นผู้ชำระเงินยังต้องแยกจากอำนาจรับข้อมูลสุขภาพ ตรวจผู้ขอ เอกสารแสดงอำนาจและรายการที่จำเป็นต่อเรื่องนั้น เช่น เอกสารเบิกจ่ายอาจไม่ต้องมีรายละเอียดการรักษาที่ไม่เกี่ยวข้อง หากมีหนังสือยินยอม ให้ตรวจขอบเขต ผู้รับและวัตถุประสงค์จริง พร้อมกฎหมายสุขภาพที่ใช้ร่วมกัน เจ้าหน้าที่ควรส่งกรณีขัดแย้งให้ผู้รับผิดชอบพิจารณา ไม่ถ่ายแฟ้มให้ทั้งหมดเพียงเพื่อลดข้อโต้เถียงที่เคาน์เตอร์

แผนลงมือวันนี้ ภายใน 7 วันและ 30 วัน

ช่วงเวลานี้เป็นตัวอย่างแผนจัดงาน ไม่ใช่กำหนดตามกฎหมาย หากมีเหตุเร่งด่วน หนังสือกำหนดตอบหรืออายุความ ต้องดำเนินการตามกำหนดนั้นก่อน

ช่วงเวลา	สิ่งที่ควรทำ
วันนี้	ตรวจสิทธิเปิดแฟ้มและวิธีส่งผลตรวจให้ผู้รับ
ภายใน 7 วัน	แยกเอกสารการตลาดจากการรักษาและตรวจคำขอญาติ
ภายใน 30 วัน	ซ้อมเหตุส่งผลผิดคนและทบทวนบันทึกเข้าถึงตามความเสี่ยง

ข้อผิดพลาดที่ควรหลีกเลี่ยง

อย่าให้ผู้ป่วยยอมรับโฆษณาเป็นเงื่อนไขทั่วไปของการรักษา อย่าถือว่าปิดหน้าแล้วภาพไม่ระบุตัว และอย่าให้ผู้รับจ้างสื่อเข้าถึงเวชระเบียนเต็มเพื่อเลือกเรื่องทำคอนเทนต์

อ่านต่อและเตรียมเรื่องก่อนปรึกษา

อ่านภาพรวมในPDPA Audit-Ready หลักฐานที่องค์กรต้องมีเมื่อถูกตรวจหรือร้องเรียน แล้วนำมาเทียบกับเหตุการณ์และเอกสารของตน

เรื่องที่เกี่ยวข้องโดยตรงคือข้อมูลของผู้ตาย PDPA ไม่คุ้มครอง ทายาทขอข้อมูลได้แค่ไหน และตำรวจหรือหน่วยงานรัฐขอข้อมูลลูกค้า บริษัทส่งได้แค่ไหน

หากต้องพิจารณาขั้นตอนที่เชื่อมกัน อ่านองค์กรแบบใดต้องมี DPO ตรวจเกณฑ์มาตรา 41 ก่อนแต่งตั้งประกอบ

สำนักงานกฎหมายยอดทิพย์ธรรมช่วยตรวจขั้นตอนขอเวชระเบียน ขอบเขตผู้มีสิทธิเห็นข้อมูลและเงื่อนไขใช้ภาพคนไข้ พร้อมประเมินหน้าที่ DPO ผ่านบริการกฎหมาย PDPA โดยประเด็นที่เกี่ยวข้องสามารถประเมินร่วมกับกฎหมายแพ่ง และธุรกิจและสัญญา ก่อนนัดหมายปรึกษา ควรเตรียมลำดับเหตุการณ์ เอกสารที่ได้รับ และผลที่ต้องการให้อีกฝ่ายดำเนินการ เพื่อประเมินทางเลือกจากหลักฐานที่มีจริง

บทความโดยนายเอกราช ทิพย์แมม ดูข้อมูลผู้เขียนและทีมทนายความยอดทิพย์ธรรมประกอบการติดต่อ

ข้อกฎหมายที่เกี่ยวข้อง

• พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 มาตรา 26: ข้อมูลสุขภาพและข้อยกเว้นต้องครบเงื่อนไขตามกิจกรรม
• มาตรา 37 และ 40: ความปลอดภัย เหตุละเมิดและหน้าที่ผู้ประมวลผล
• มาตรา 41(3): หน้าที่ DPO เมื่อกิจกรรมหลักเป็นการดำเนินการกับข้อมูลตามมาตรา 26
• พ.ร.บ.สุขภาพแห่งชาติ พ.ศ. 2550 มาตรา 7: ความลับข้อมูลสุขภาพและข้อจำกัดการเปิดเผย

คำถามที่พบบ่อย

รักษาคนไข้ต้องขอความยินยอม PDPA ทุกครั้งไหม

ต้องตรวจฐานและข้อยกเว้นตามมาตรา 26 กับกฎหมายสุขภาพ ไม่ควรเหมาว่าต้องยินยอมทุกกิจกรรมหรือไม่ต้องเลย ฐานที่ใช้รักษาไม่ได้ครอบคลุมการนำภาพคนไข้ไปโฆษณาโดยอัตโนมัติ

ญาติที่จ่ายค่ารักษาขอแฟ้มทั้งหมดได้ไหม

ไม่อัตโนมัติ ต้องตรวจอำนาจและสิทธิผู้ขอ รวมทั้งความประสงค์ของผู้ป่วยกับกฎหมายที่เกี่ยวข้อง ควรระบุรายการเอกสารที่จำเป็นต่อเรื่องที่ขอ แทนการขอเวชระเบียนทุกหน้า

คลินิกเล็กไม่ต้องมี DPO ใช่ไหม

ต้องประเมินมาตรา 41 โดยเฉพาะกิจกรรมหลักเกี่ยวกับข้อมูลอ่อนไหว ไม่ใช้ขนาดคลินิกเป็นคำตอบเดียว การจ้างผู้ขายระบบเวชระเบียนไม่ได้แทนการพิจารณาหน้าที่ DPO ของสถานพยาบาล

ผู้เขียน นายเอกราช ทิพย์แมม คดีครอบครัว มรดก และหนี้สิน

สาขาที่เชี่ยวชาญ: ครอบครัว · มรดกและพินัยกรรม · หนี้สินและบังคับคดี

ดูประวัติทีมทนายความ →

บทความนี้เป็นความรู้กฎหมายทั่วไปเพื่อความเข้าใจเบื้องต้น ไม่ใช่คำปรึกษาทางกฎหมายเฉพาะคดี ผลทางกฎหมายขึ้นอยู่กับข้อเท็จจริง เอกสาร และพยานหลักฐานของแต่ละกรณี ควรปรึกษาทนายความเพื่อประเมินเรื่องของท่านโดยเฉพาะ