บทนำและบริบทเชิงนโยบาย (Introduction and Policy Context)
ในยุคปัจจุบันที่เทคโนโลยีดิจิทัลเข้ามามีบทบาทสำคัญในการบริหารจัดการระบบสาธารณสุข การจัดเก็บ ประมวลผล และเชื่อมโยงข้อมูลสุขภาพของประชาชนมีความรวดเร็วและไร้พรมแดนมากยิ่งขึ้น สำนักงานสาธารณสุขจังหวัดศรีสะเกษ (สสจ.ศรีสะเกษ) ในฐานะหน่วยงานราชการส่วนภูมิภาคที่มีภารกิจหลักในการดูแลรักษาสุขภาพของประชาชนในพื้นที่ ควบคุมและป้องกันโรค และบริหารจัดการระบบสาธารณสุขในระดับจังหวัด มีความจำเป็นอย่างหลีกเลี่ยงไม่ได้ที่จะต้องเก็บรวบรวม ใช้ และเปิดเผยข้อมูลส่วนบุคคลของประชาชนผู้รับบริการ บุคลากรทางการแพทย์ และผู้ที่เกี่ยวข้องเป็นจำนวนมหาศาล
เพื่อเป็นการตอบสนองต่อนโยบายระดับชาติและปฏิบัติตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ (Personal Data Protection Act: PDPA) อย่างเคร่งครัด สำนักงานสาธารณสุขจังหวัดศรีสะเกษ จึงได้นำกรอบแนวคิดจากหนังสือสั่งการสำนักงานปลัดกระทรวงสาธารณสุข ที่ สธ ๐๒๑๒/ว ๑๒๔๒๐ เรื่อง แนวปฏิบัติการคุ้มครองข้อมูลส่วนบุคคล สำนักงานปลัดกระทรวงสาธารณสุข ฉบับที่ ๓ ลงวันที่ ๑๗ พฤษภาคม ๒๕๖๖ มาบูรณาการและปรับใช้ให้สอดคล้องกับบริบทการทำงานของพื้นที่จังหวัดศรีสะเกษ เอกสารฉบับนี้ถูกออกแบบมาเพื่อเป็น "คู่มือและแนวปฏิบัติมาตรฐาน (Standard Operating Procedures: SOPs)" ที่มีความสมบูรณ์แบบ ครอบคลุมทุกมิติของการบริหารจัดการข้อมูลส่วนบุคคล
ส่วนที่ ๑: วัตถุประสงค์และขอบเขตการบังคับใช้
การกำหนดแนวปฏิบัติฉบับนี้มีจุดมุ่งหมายเพื่อสร้างมาตรฐานการรักษาความมั่นคงปลอดภัยของข้อมูลส่วนบุคคลที่อยู่ในความครอบครองของ สสจ.ศรีสะเกษ ให้ทัดเทียมกับมาตรฐานสากล ครอบคลุมองค์ประกอบดังนี้:
๑.๑ ขอบเขตเชิงหน่วยงาน
- สำนักงานสาธารณสุขจังหวัด: ทุกกลุ่มงานภายในสำนักงาน (บริหาร, ยุทธศาสตร์, ส่งเสริมสุขภาพ, ฯลฯ)
- สำนักงานสาธารณสุขอำเภอ (สสอ.): ทุกแห่งในพื้นที่จังหวัด
- หน่วยบริการสุขภาพทุกระดับ: โรงพยาบาลศูนย์/ทั่วไป, รพช., รพ.สต., สถานีอนามัยเฉลิมพระเกียรติฯ
๑.๒ ขอบเขตเชิงบุคคล
บังคับใช้อย่างเด็ดขาดกับบุคคลที่เกี่ยวข้องกับการประมวลผลข้อมูลในนาม สสจ.ศรีสะเกษ ได้แก่:
ข้าราชการ, พนักงานราชการ, พนักงานกระทรวงสาธารณสุข, ลูกจ้าง, แพทย์, พยาบาล, นักวิชาการ, บุคคลภายนอก, ผู้รับจ้างช่วง (Outsource), นักศึกษาฝึกงาน หรือตัวแทนที่ได้รับมอบหมาย
ส่วนที่ ๒: การจำแนกประเภทข้อมูลส่วนบุคคล
สำนักงานฯ ดำเนินการจัดเก็บข้อมูลที่หลากหลายตามลักษณะภารกิจ โดยจำแนกประเภทข้อมูลและบริบทการจัดเก็บดังนี้
| กลุ่มเจ้าของข้อมูล | ข้อมูลทั่วไป | ข้อมูลอ่อนไหว (Sensitive) | วัตถุประสงค์หลัก |
|---|---|---|---|
| ๑. ผู้รับบริการและผู้ป่วย | ชื่อ-นามสกุล, เลข ปชช., ที่อยู่, เบอร์โทร, สิทธิการรักษา, ผู้ติดต่อฉุกเฉิน | ประวัติการรักษา (Medical Records), ข้อมูลวินิจฉัยโรค, ประวัติแพ้ยา, ผลแล็บ, ข้อมูลพันธุกรรม, ชีวภาพ | วินิจฉัย รักษาพยาบาล ส่งต่อผู้ป่วย (Referral) เบิกจ่าย เฝ้าระวังทางระบาดวิทยา |
| ๒. บุคลากรและเจ้าหน้าที่ | ชื่อ, ว/ด/ป เกิด, เลข ปชช., ประวัติการศึกษา/ทำงาน, บัญชีธนาคาร | ประวัติอาชญากรรม, ข้อมูลสุขภาพ (ผลตรวจร่างกาย, ลาป่วย), ข้อมูลชีวภาพ (สแกนนิ้ว/หน้า) | บริหารงานบุคคล จ่ายค่าตอบแทน จัดสวัสดิการ ปฏิบัติตามกม.แรงงาน |
| ๓. ผู้ประกอบการ/ผู้มาติดต่อ | ข้อมูลบัตร ปชช., เบอร์โทร, สัญญาจ้าง, ข้อมูลนิติบุคคล | ข้อมูลสุขภาพ (คัดกรองโรค), ข้อมูลชีวภาพ (CCTV ภายในสำนักงาน) | ทำธุรกรรม จัดซื้อจัดจ้าง ออกใบอนุญาตสถานพยาบาล/ร้านขายยา รักษาความปลอดภัย |
หมายเหตุ: ข้อมูลส่วนบุคคลที่มีความอ่อนไหว โดยเฉพาะประวัติการรักษาพยาบาล ถือเป็นข้อมูลระดับความลับสูงสุด (Top Secret) การเข้าถึงต้องถูกจำกัดสิทธิเฉพาะบุคลากรที่เกี่ยวข้องโดยตรงตามหลัก Need-to-Know Basis อย่างเคร่งครัด
ส่วนที่ ๓: ฐานความชอบด้วยกฎหมาย (Lawful Basis)
ฐานประโยชน์สาธารณะ (Public Task)
ใช้สำหรับภารกิจหลักอำนาจรัฐ เช่น การรวบรวมข้อมูลผู้ป่วยเพื่อเฝ้าระวังโรคติดต่อ หรือทำสถิติระดับจังหวัด โดยไม่ต้องขอความยินยอม
ฐานหน้าที่ตามกฎหมาย (Legal Obligation)
เช่น การจัดเก็บเวชระเบียนตาม พ.ร.บ.สถานพยาบาล หรือรายงานโรคติดต่ออันตรายตาม พ.ร.บ.โรคติดต่อ
ฐานป้องกันอันตราย (Vital Interest)
ใช้ในบริบทแพทย์ฉุกเฉิน ช่วยชีวิตผู้ป่วยที่ไม่รู้สึกตัว สามารถเข้าถึงประวัติเดิม กรุ๊ปเลือด แพ้ยา ได้ทันที
ฐานสัญญา (Contract)
พิจารณาอนุมัติสัญญาจ้างเหมาบริการ จัดซื้อจัดจ้าง หรือสัญญาจ้างบุคลากรเข้าปฏิบัติงาน
ฐานความยินยอม (Consent)
เมื่อไม่สามารถใช้ฐานอื่นได้ ต้องขอความยินยอมชัดแจ้ง เช่น นำข้อมูลสุขภาพไปทำวิจัยคลินิกนอกภารกิจหลัก การใช้คุกกี้บนเว็บ หรือภาพถ่ายประชาสัมพันธ์
ส่วนที่ ๔: การใช้และเปิดเผยข้อมูล
ภายในเครือข่ายบริการ (Domestic)
การส่งต่อผู้ป่วย (Referral) ข้าม รพ. ทำได้เพื่อการรักษาพยาบาล หากสร้างคลังข้อมูล (HDC) ต้องทำ Data Sharing Agreement (DPA) และผ่านความเห็นชอบจาก CDO/DPO
ภายนอกหน่วยงาน (Third Parties)
ไม่เปิดเผยเว้นแต่ตามกฎหมาย คำสั่งศาล หรือพนักงานสอบสวน ต้องผ่านการคัดกรองจากกลุ่มงานนิติการและ DPO ก่อนเสมอ
โอนข้อมูลไปต่างประเทศ
กรณีใช้ Cloud ต่างประเทศ ประเทศปลายทางต้องมีมาตรฐานที่เพียงพอ (Adequate Safeguards) หรือมี Standard Contractual Clauses ตามที่คณะกรรมการกำหนด
ส่วนที่ ๕: มาตรการรักษาความปลอดภัย
เชิงบริหารจัดการ (Administrative)
แบ่งระดับชั้นความลับของข้อมูล, จัดการสิทธิ์เข้าถึงตามบทบาท (Role-Based Access Control) ทบทวนสิทธิรายปี, และบังคับอบรมความตระหนักรู้แก่บุคลากร
เชิงเทคนิค (Technical)
มีระบบบันทึกการใช้งาน (Log), เข้ารหัสข้อมูล (Encryption & SSL), ติดตั้ง Firewall/Anti-virus, และระบบสำรอง/กู้คืนข้อมูล (Backup & DR)
เชิงกายภาพ (Physical)
ควบคุมการเข้าห้อง Server/เวชระเบียน (CCTV, Keycard), และใช้นโยบาย Clean Desk Policy ล็อคหน้าจอเมื่อไม่อยู่
ส่วนที่ ๖: วงจรชีวิต การจัดเก็บ และการลบทำลาย
ระยะเวลาจัดเก็บ
- เวชระเบียน: เก็บไว้อย่างน้อย ๕ ปี นับแต่รับบริการครั้งสุดท้าย (อาจขยายนานกว่านั้นสำหรับโรคเรื้อรัง)
- ข้อมูลบุคลากร: ตลอดอายุงาน และอาจเก็บต่อ ๑๐ ปีหลังสิ้นสุดสภาพ เพื่อรองรับข้อพิพาท/บำนาญ
- ผู้ประกอบการ: เก็บตราบเท่าที่ใบอนุญาตมีผล และบวกเวลาตามอายุความ
กระบวนการทำลายอย่างปลอดภัย
- เอกสารกระดาษ: เข้าเครื่องย่อย (Shredder) หรือทำลายโดยคณะกรรมการ
- ข้อมูลอิเล็กทรอนิกส์: ใช้ซอฟต์แวร์ลบถาวร (Secure Erase) หากฮาร์ดดิสก์เสียต้องทำลายเชิงกายภาพ
- ข้อยกเว้น: ระงับการทำลายหากมีข้อโต้แย้งทางกฎหมายหรือคดีความ
ส่วนที่ ๗: สิทธิของเจ้าของข้อมูลส่วนบุคคล
ผู้รับบริการและบุคลากรสามารถใช้สิทธิผ่าน "แบบฟอร์มคำร้องขอใช้สิทธิ" ที่จุดบริการ OSSC หรืออีเมล DPO
๑. สิทธิเพิกถอนความยินยอม
ถอนความยินยอมได้ตลอดเวลา โดยไม่กระทบการรักษาที่ผ่านมาแล้ว
๒. สิทธิในการเข้าถึง
ขอสำเนาเวชระเบียนหรือตรวจสอบข้อมูล หน่วยงานต้องดำเนินการภายใน ๓๐ วัน
๓. สิทธิโอนย้ายข้อมูล
ขอให้ส่งประวัติอิเล็กทรอนิกส์ไปยัง รพ. อื่นอัตโนมัติเพื่อการรักษาต่อเนื่อง
๔. สิทธิคัดค้าน
คัดค้านการประมวลผลที่ไม่ได้อยู่ในภารกิจสาธารณะโดยตรง
๕. สิทธิขอให้ลบ
ขอให้ลบข้อมูลได้ *(อาจถูกปฏิเสธหากขัด พ.ร.บ.สถานพยาบาล หรือกระทบการรักษา)*
๖. สิทธิระงับการใช้
ขอระงับชั่วคราวระหว่างรอพิสูจน์ความถูกต้องหรือตรวจสอบคำคัดค้าน
๗. สิทธิขอแก้ไข
นำหลักฐานมายื่นแก้ข้อมูลให้ถูกต้องและเป็นปัจจุบัน (เช่น เปลียนชื่อ)
๘. สิทธิร้องเรียน
ร้องเรียนต่อ สคส. หากพบว่า สสจ.ศรีสะเกษ ไม่ปฏิบัติตาม พ.ร.บ.
ส่วนที่ ๘: การกำกับดูแล Outsource
การว่าจ้างบริษัทภายนอก (Data Processor) ฝ่ายพัสดุและกลุ่มงานต้องดำเนินการ:
-
1
ประเมินความเสี่ยงก่อนจ้าง: ตรวจสอบว่ามีมาตรฐานความปลอดภัยเพียงพอ มีนโยบาย PDPA และ DPO ของตนเอง
-
2
ทำข้อตกลง DPA: ทุกสัญญาต้องแนบ Data Processing Agreement ห้ามนำข้อมูลไปใช้แสวงประโยชน์อื่น
-
3
การสิ้นสุดสัญญา: ผู้รับจ้างต้องคืนฐานข้อมูลทั้งหมดและทำลายทิ้ง พร้อมส่งหลักฐานยืนยัน
ส่วนที่ ๙: แผนเผชิญเหตุละเมิดข้อมูล
๑. รับแจ้งเหตุและประเมิน
แจ้ง DPO ทันทีที่พบเหตุ (เช่น รหัสหลุด) เพื่อจดบันทึก
๒. ระงับเหตุ (Containment)
IT ตัดเครือข่าย/ระงับบัญชี เพื่อไม่ให้ความเสียหายลุกลาม
๓. ประเมินความเสี่ยง
DPO ประเมินผลกระทบต่อสิทธิและเสรีภาพของประชาชน
๔. การแจ้งเตือน (ภายใน ๗๒ ชม.)
แจ้ง สคส. หากมีความเสี่ยง และแจ้งเจ้าของข้อมูลหากเป็นข้อมูลอ่อนไหว
๕. บันทึกหลักฐานและฟื้นฟู
ทำบันทึกการละเมิด ถอดบทเรียนเพื่อยกระดับมาตรการ
๑๐. การตรวจสอบและพัฒนา (Audit)
- DPO: ศูนย์กลางคือ กลุ่มงานพัฒนาคุณภาพและรูปแบบบริการ
- การตรวจสอบ: สุ่มตรวจการเข้าถึง ทำ DPIA รายงานผู้บริหารปีละ ๑ ครั้ง
- การอบรม: จัด Workshop & E-learning สร้างวัฒนธรรมองค์กร ลด Human Error
๑๑. การจัดการข้อมูลในอดีต
ข้อมูลก่อน PDPA บังคับใช้ สามารถจัดเก็บต่อได้ภายใต้วัตถุประสงค์เดิม หากประชาชนไม่ประสงค์ให้ใช้ สามารถร้องขอยกเลิกความยินยอมได้เสมอ (เว้นแต่ขัดกฎหมายการเก็บเวชระเบียน)
ติดต่อสอบถามและการใช้สิทธิ
ส่วนที่ ๑๒: การเปิดเผยนโยบายและช่องทางการติดต่อ
ผู้ควบคุมข้อมูลส่วนบุคคล
- ชื่อหน่วยงาน: สำนักงานสาธารณสุขจังหวัดศรีสะเกษ
- เลขที่ ๔๘๕ ม.๖ ถ.ศรีสะเกษ-กันทรลักษ์ ต.โพนข่า อ.เมือง จ.ศรีสะเกษ ๓๓๐๐๐
- ๐๔๕-๖๑๖๐๔๐ ถึง ๖
- ๐๔๕-๖๑๖๐๔๒, ๐๔๕-๖๑๖๐๔๗
- ssko2007@hotmail.com
เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล (DPO)
- ผู้รับผิดชอบหลัก: กลุ่มงานสุขภาพดิจิทัล
- ที่อยู่เดียวกันกับ สสจ.ศรีสะเกษ
- ๐๔๕-๖๑๖๐๔๐ ถึง ๖ ต่อ ๓๐๘
- yuparatp@moph.go.th