ข้อมูลคนไข้ที่ไหลผ่านกล่องแชท คลินิกต้องระวังอะไรบ้าง

คลินิกส่วนใหญ่ระวังเรื่องเวชระเบียนอย่างดี แต่กล่องแชทที่แอดมินเปิดอยู่ทั้งวันกลับถูกมองว่าเป็นแค่ช่องทางคุยเล่น ทั้งที่ในนั้นมีทั้งอาการ รูปถ่าย เบอร์โทร และบางทีก็มีผลตรวจ

เขียนจากงานตั้งค่าและทดสอบระบบตอบแชทให้สถานพยาบาล ไม่ใช่คำแนะนำทางกฎหมาย และยังไม่ผ่านการทบทวนโดยนักกฎหมายหรือผู้ตรวจสอบภายนอก เรื่องที่เกี่ยวกับกฎหมายให้ยึดตามหน่วยงานที่กำกับโดยตรงในแหล่งอ้างอิงท้ายบทความ

บทความนี้ไล่ให้เห็นจุดเสี่ยงที่เจอจริงในงานตอบแชทของสถานพยาบาล เพื่อให้คุยกับที่ปรึกษาของคลินิกได้ตรงจุดขึ้น ส่วนการตีความข้อกฎหมายควรถามคนที่ดูแลเรื่องนี้ให้คลินิกโดยตรง

ในกล่องแชทของคลินิกมีอะไรอยู่บ้าง

ลองเลื่อนดูข้อความย้อนหลังสองสัปดาห์ แล้วจะเห็นว่ามีอย่างน้อยสี่ชนิดนี้ปนกันอยู่

• ข้อมูลติดต่อ — ชื่อ เบอร์โทร บางทีมีที่อยู่และวันเกิด
• ข้อมูลสุขภาพ — อาการที่คนไข้เล่ามาเอง ยาที่กินอยู่ โรคประจำตัว ประวัติการรักษาที่อื่น
• รูปถ่าย — รูปหน้า รูปฟัน รูปแผล รูปผลตรวจ ซึ่งคนไข้ส่งมาเองโดยไม่มีใครขอ
• ข้อมูลการเงิน — สลิปโอนเงิน เลขบัญชี บางทีมีรูปบัตรประชาชนที่ส่งมาเพื่อใช้สิทธิ์

ข้อมูลสุขภาพเป็นข้อมูลที่ต้องดูแลเข้มกว่าข้อมูลทั่วไป และมันเข้ามาอยู่ในกล่องแชทตั้งแต่ข้อความแรกโดยที่ไม่มีใครตั้งใจให้เป็นแบบนั้น

จุดที่คลินิกมักพลาดโดยไม่ตั้งใจ

ทุกคนในทีมเห็นทุกห้อง

บัญชีไลน์หรือเพจของคลินิกมักถูกใช้ร่วมกันหมด ใครเข้าเวรก็เปิดดูได้ทุกบทสนทนา รวมถึงเรื่องที่ไม่เกี่ยวกับงานของคนคนนั้นเลย ทางที่ควรทำคือให้สิทธิ์เท่าที่จำเป็น และมีทะเบียนว่าตอนนี้ใครเข้าถึงได้บ้าง — ที่สำคัญคือถอนสิทธิ์คนที่ลาออกไปแล้วจริง ๆ ซึ่งเป็นข้อที่ถูกลืมบ่อยที่สุด

ข้อมูลถูกก๊อปออกไปนอกระบบ

แคปหน้าจอส่งเข้ากลุ่มไลน์ของทีม ก๊อปเบอร์ลงไฟล์ตารางส่วนตัว ถ่ายรูปหน้าจอส่งให้คุณหมอดู ทั้งหมดนี้เกิดขึ้นทุกวันเพราะมันสะดวก และทำให้ข้อมูลคนไข้ไปอยู่ในที่ที่คลินิกตามไม่ได้แล้ว

เก็บทุกอย่างไว้ตลอดกาล

ไม่มีใครเคยลบอะไรออกจากกล่องแชทเลย ข้อมูลของคนที่ทักมาถามครั้งเดียวเมื่อสามปีก่อนยังอยู่ครบ ทั้งที่คลินิกไม่มีเหตุผลอะไรจะเก็บมันไว้แล้ว การมีกำหนดว่าเก็บอะไรไว้นานแค่ไหนแล้วทำตามจริง ช่วยลดความเสียหายตอนเกิดเรื่องได้มาก

ส่งผลตรวจในแชท

คนไข้ขอผลในแชทเพราะสะดวกที่สุด แต่คนที่ทักมาจากบัญชีนั้นเป็นเจ้าของผลจริงหรือเปล่า ไม่มีใครยืนยันได้จากในแชท นี่คือเหตุผลที่ศูนย์ตรวจสุขภาพหลายแห่งตั้งกฎแข็ง ๆ ว่าไม่ส่งผลผ่านแชทไม่ว่ากรณีใด

ระบบตอบแชทอัตโนมัติทำให้เรื่องนี้แย่ลงหรือดีขึ้น

ขึ้นอยู่กับว่าระบบถูกตั้งมายังไงล้วน ๆ ถ้าตั้งไม่ดีมันคือช่องทางรั่วเพิ่มอีกช่องหนึ่ง แต่ถ้าตั้งดี มันช่วยได้จริงในสามเรื่อง

• ถามเท่าที่ต้องใช้ — ระบบที่ตั้งไว้ดีจะเก็บแค่ชื่อ เบอร์ติดต่อ เรื่องที่สนใจ และเวลาที่สะดวก ซึ่งเป็นชุดที่ทีมต้องใช้นัดจริง ไม่ได้ไล่ถามประวัติสุขภาพที่ยังไม่จำเป็นในขั้นตอนนี้
• ไม่พาบทสนทนาไปในทางที่ไม่ควร — ไม่วินิจฉัย ไม่ฟันธงจากรูปที่ส่งมา ไม่แนะนำยา สามข้อนี้นอกจากเป็นเรื่องความปลอดภัยของคนไข้แล้ว ยังเป็นการไม่ชวนให้คนไข้ส่งข้อมูลอ่อนไหวเพิ่มเข้ามาโดยไม่จำเป็นด้วย ถ้าคลินิกจะให้ระบบขอรูปหน้าเพื่อประเมินเบื้องต้น ต้องแจ้งวัตถุประสงค์และขอความยินยอมก่อนทุกครั้ง
• คำตอบชุดเดียวกันทุกครั้ง — เรื่องที่ห้ามพูดถูกกำหนดไว้ที่เดียวและใช้เหมือนกันทุกกะ ไม่ขึ้นกับว่าคืนนั้นใครเข้าเวรและกำลังเหนื่อยแค่ไหน

เส้นชุดนี้เป็นเส้นเดียวกับที่เขียนไว้ในบทความ คลินิกให้ AI ตอบแชทได้แค่ไหน — ตั้งแต่วันติดตั้ง ไม่ใช่ค่อยมาเติมทีหลังตอนเกิดเรื่องแล้ว

คำถามที่ควรถามผู้ให้บริการก่อนเซ็น

1. ข้อมูลบทสนทนาเก็บไว้ที่ไหน และเก็บนานแค่ไหน — ขอคำตอบเป็นตัวหนังสือ ไม่ใช่คำพูด
2. ใครในทีมของผู้ให้บริการเข้าถึงบทสนทนาได้บ้าง และเข้าถึงตอนไหน — งานซัพพอร์ตบางอย่างต้องเปิดดู เรื่องนี้ไม่ผิด แต่ต้องรู้ว่าใครและเมื่อไหร่
3. เลิกใช้บริการแล้วข้อมูลถูกลบไหม ขอสำเนากลับมาได้ไหม
4. ระบบเอาข้อมูลของคลินิกไปใช้ทำอย่างอื่นหรือเปล่า — คำตอบที่ควรได้ยินคือไม่ และควรอยู่ในสัญญา
5. บัญชีไลน์และเพจยังเป็นของคลินิกใช่ไหม — ถ้าย้ายผู้ให้บริการวันหนึ่ง ฐานลูกค้าต้องย้ายไปกับคลินิก

สามอย่างที่ทำได้เลยอาทิตย์นี้ โดยยังไม่ต้องซื้ออะไร

• ไล่ดูว่าตอนนี้ใครเข้าถึงกล่องแชทของคลินิกได้บ้าง แล้วถอนสิทธิ์คนที่ไม่ได้อยู่กับคลินิกแล้ว
• ตกลงกับทีมให้ชัดว่าเรื่องไหนคุยในแชทได้ เรื่องไหนต้องให้โทรกลับ โดยเฉพาะเรื่องผลตรวจกับเรื่องอาการ
• เพิ่มข้อความสั้น ๆ ในข้อความต้อนรับว่าคลินิกเก็บข้อมูลอะไรไว้ใช้ทำอะไร และถ้าเป็นเรื่องอาการให้เข้ามาพบแพทย์ ไม่ต้องเล่าละเอียดในแชท

ข้อสุดท้ายมีผลมากกว่าที่คิด เพราะคนไข้จำนวนมากส่งข้อมูลอ่อนไหวมาเองตั้งแต่ข้อความแรก โดยไม่มีใครขอ การบอกไว้ตั้งแต่ต้นว่าไม่ต้องเล่าละเอียด ช่วยลดปริมาณข้อมูลที่คลินิกต้องรับผิดชอบลงได้ทันทีโดยไม่เสียเงินสักบาท

แหล่งอ้างอิงและอ่านเพิ่ม

1. สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (สคส.) — PDPCตัวบทกฎหมาย ประกาศ และแนวปฏิบัติตาม พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562
2. พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 — ราชกิจจานุเบกษาตัวบทฉบับประกาศ (PDF)