ข้อมูลคนไข้กับระบบ AI สิ่งที่คลินิกต้องรู้เรื่อง PDPA
เมื่อคลินิกเริ่มพิจารณาระบบ AI ตอบแชท คำถามที่มักตามมาทันทีคือเรื่องข้อมูลคนไข้
เป็นความกังวลที่ถูกต้อง เพราะ ข้อมูลสุขภาพถือเป็นข้อมูลส่วนบุคคลที่มีความอ่อนไหวภายใต้ PDPA ซึ่งมีข้อกำหนดเข้มกว่าข้อมูลทั่วไป
บทความนี้รวบรวมประเด็นที่ควรพิจารณาและคำถามที่ควรถามผู้ขาย
หมายเหตุ บทความนี้เป็นข้อมูลทั่วไปเพื่อใช้เป็นจุดตั้งต้นในการพูดคุย ไม่ใช่คำแนะนำทางกฎหมาย คลินิกควรปรึกษาผู้เชี่ยวชาญด้านกฎหมายเพื่อประเมินสถานการณ์ของตัวเอง
อะไรนับเป็นข้อมูลอ่อนไหว
สิ่งที่คลินิกมักไม่ทันคิดคือข้อมูลอ่อนไหวไม่ได้อยู่แค่ในเวชระเบียน
ในกล่องข้อความแชทก็มี เมื่อคนไข้พิมพ์ว่า "มีสิวอักเสบที่คาง อยากปรึกษาเรื่องเลเซอร์" นั่นคือข้อมูลสุขภาพแล้ว
ข้อความในแชทของคลินิกจึงมักมีข้อมูลอ่อนไหวปะปนอยู่ตลอด ทั้งอาการที่คนไข้เล่า ยาที่ใช้อยู่ ประวัติการรักษาเดิม และรูปภาพที่ส่งมาให้ดู
ข้อสรุปที่ตามมา คือระบบใดก็ตามที่เข้าถึงกล่องข้อความของคลินิก กำลังประมวลผลข้อมูลอ่อนไหว ไม่ว่าจะเรียกตัวเองว่าระบบแชทหรือระบบเวชระเบียน
บทบาทที่ต้องแยกให้ชัด
ภายใต้ PDPA มีสองบทบาทหลักที่กำหนดความรับผิดชอบ
ผู้ควบคุมข้อมูล คือผู้ที่ตัดสินใจว่าจะเก็บข้อมูลอะไรและใช้ทำอะไร ในกรณีนี้คือคลินิก
ผู้ประมวลผลข้อมูล คือผู้ที่ประมวลผลตามคำสั่งของผู้ควบคุม ซึ่งมักเป็นผู้ให้บริการระบบ
สิ่งที่ควรมี คือข้อตกลงเป็นลายลักษณ์อักษรระหว่างสองฝ่าย ที่ระบุขอบเขตการประมวลผล มาตรการรักษาความปลอดภัย และสิ่งที่เกิดขึ้นเมื่อสิ้นสุดสัญญา
คลินิกจำนวนมากเซ็นสัญญาใช้ระบบโดยไม่มีเอกสารส่วนนี้เลย
คำถามที่ต้องถามผู้ขายก่อนเซ็น
แปดข้อนี้ควรได้คำตอบเป็นลายลักษณ์อักษร
1. ข้อมูลเก็บอยู่ที่ไหน อยู่ในประเทศไทยหรือต่างประเทศ ถ้าโอนออกนอกประเทศ มีมาตรการรองรับอย่างไร
2. ใครเข้าถึงข้อมูลได้บ้าง พนักงานของผู้ให้บริการเข้าถึงข้อความของคนไข้ได้หรือไม่ ในกรณีใดบ้าง และมีการบันทึกการเข้าถึงหรือไม่
3. ข้อมูลถูกนำไปใช้เทรนโมเดลหรือไม่ ข้อนี้สำคัญมากและควรถามให้ชัด ถ้าข้อมูลของคลินิกถูกนำไปใช้ปรับปรุงโมเดลที่ใช้ร่วมกับลูกค้ารายอื่น นั่นเป็นการใช้ข้อมูลนอกวัตถุประสงค์เดิมและควรมีข้อตกลงชัดเจน
4. เก็บข้อมูลไว้นานแค่ไหน และลบได้ตามคำขอหรือไม่
5. เมื่อเลิกใช้บริการแล้วข้อมูลเป็นอย่างไร ส่งออกได้ในรูปแบบใด และถูกลบเมื่อไหร่
6. มีมาตรการรักษาความปลอดภัยอะไรบ้าง การเข้ารหัส การควบคุมสิทธิ์ การสำรองข้อมูล
7. ถ้าเกิดเหตุข้อมูลรั่วไหล จะแจ้งคลินิกอย่างไรและภายในกี่ชั่วโมง
8. มีข้อตกลงการประมวลผลข้อมูลให้เซ็นหรือไม่
สิ่งที่คลินิกต้องทำเอง
ไม่ใช่ทุกอย่างเป็นความรับผิดชอบของผู้ให้บริการ
เก็บความยินยอมให้ถูกต้อง โดยเฉพาะถ้าจะใช้ข้อมูลเพื่อการตลาด เช่น การส่งข้อความชวนกลับมารักษาซ้ำ ควรแยกความยินยอมส่วนนี้จากความยินยอมเพื่อการรักษา
กำหนดสิทธิ์การเข้าถึงภายในคลินิก แอดมินทุกคนควรเห็นประวัติการรักษาของคนไข้ทุกคนหรือไม่ ระบบที่ดีควรกำหนดได้ว่าใครเห็นอะไร
มีช่องทางให้คนไข้ใช้สิทธิ์ ทั้งการขอดูข้อมูล ขอแก้ไข ขอลบ และการปฏิเสธการรับข้อความการตลาด
ระวังการส่งต่อข้อมูลในช่องทางที่ไม่ปลอดภัย ปัญหาที่พบบ่อยในคลินิกคือการส่งต่อเคสผ่านไลน์กลุ่มส่วนตัวของทีม ซึ่งมักไม่มีการควบคุมสิทธิ์และไม่มีบันทึกการเข้าถึง
ข้อสุดท้ายมักเป็นความเสี่ยงที่ใหญ่กว่าเรื่องระบบ AI เพราะเกิดขึ้นทุกวันในคลินิกจำนวนมากโดยไม่มีใครสังเกต
More patients, and a system that runs the day
Jib OS brings new patients in, answers every one of them, and keeps the day running. Built by HDmall.
Or see what Jib OS is →ประเด็นเฉพาะของระบบ AI
นอกจากเรื่องทั่วไปแล้ว มีสองเรื่องที่เกี่ยวกับ AI โดยเฉพาะ
ความโปร่งใสว่าคนไข้กำลังคุยกับใคร เป็นแนวปฏิบัติที่ดีที่จะไม่ทำให้คนไข้เข้าใจผิดว่ากำลังคุยกับบุคลากรทางการแพทย์ทั้งที่เป็นระบบอัตโนมัติ โดยเฉพาะเมื่อเป็นคำถามที่เกี่ยวกับสุขภาพ
การตัดสินใจอัตโนมัติ ระบบไม่ควรตัดสินใจเรื่องที่กระทบคนไข้อย่างมีนัยสำคัญโดยไม่มีคนเกี่ยวข้อง เช่น การปฏิเสธการรักษาหรือการประเมินความเหมาะสมทางการแพทย์
เคล็ดลับบริหารคลินิก ส่งตรงถึงอีเมลคุณ
เจ้าของและผู้บริหารคลินิกกว่า 20,000 คน รับข่าวสารจากเราอยู่แล้ว
สำหรับเจ้าของคลินิกและผู้ที่กำลังจะเปิด — วิธีให้คนไข้ใหม่เจอคลินิกบน Google และให้ AI อย่าง ChatGPT และ Claude แนะนำคลินิกของคุณ วิธีลดงานหน้าเคาน์เตอร์และคนไข้ไม่มาตามนัด และเรื่องที่คลินิกอื่นเจอมาก่อน
ส่งสัปดาห์ละครั้ง · ไม่มีสแปม ยกเลิกได้ทุกเมื่อ
คำถามที่พบบ่อย
ข้อความในแชทของคลินิกถือเป็นข้อมูลอ่อนไหวไหม
มักจะใช่ เพราะข้อความที่คนไข้ส่งมามักมีการบรรยายอาการ ยาที่ใช้อยู่ ประวัติการรักษา หรือรูปภาพที่เกี่ยวกับร่างกาย ซึ่งเข้าข่ายข้อมูลสุขภาพ คลินิกจำนวนมากมองว่ากล่องข้อความเป็นเพียงช่องทางติดต่อทั่วไป ทั้งที่ในทางปฏิบัติมีข้อมูลอ่อนไหวปะปนอยู่เกือบทุกวัน
ใช้ระบบ AI ตอบแชทผิด PDPA ไหม
ไม่ผิดโดยตัวมันเอง แต่ต้องมีฐานทางกฎหมายที่ถูกต้องและมาตรการรองรับที่เหมาะสม สิ่งที่ทำให้เกิดปัญหามักไม่ใช่การใช้ AI แต่คือการไม่มีข้อตกลงการประมวลผลข้อมูลกับผู้ให้บริการ การไม่กำหนดสิทธิ์การเข้าถึงภายในคลินิก และการไม่ได้แจ้งคนไข้ว่าข้อมูลถูกใช้อย่างไร
ต้องถามอะไรผู้ขายระบบก่อนเซ็นสัญญา
อย่างน้อยควรได้คำตอบเป็นลายลักษณ์อักษรว่าข้อมูลเก็บที่ไหน ใครเข้าถึงได้ ข้อมูลถูกนำไปใช้เทรนโมเดลที่ใช้ร่วมกับลูกค้ารายอื่นหรือไม่ เก็บไว้นานเท่าไหร่ เมื่อเลิกใช้บริการข้อมูลถูกลบอย่างไร และมีข้อตกลงการประมวลผลข้อมูลให้เซ็นหรือไม่ ข้อที่เกี่ยวกับการเทรนโมเดลเป็นข้อที่คลินิกมักไม่ได้ถามและควรถาม
ส่งข้อความชวนคนไข้กลับมารักษาซ้ำได้ไหม
ต้องมีฐานทางกฎหมายที่เหมาะสม การติดต่อเพื่อการตลาดกับการติดต่อเพื่อการดูแลต่อเนื่องทางการแพทย์อยู่คนละหมวด และควรแยกความยินยอมให้ชัดตั้งแต่ตอนรับบริการ พร้อมมีช่องทางให้คนไข้ปฏิเสธการรับข้อความได้ง่าย ควรปรึกษาผู้เชี่ยวชาญเพื่อกำหนดว่าข้อความแต่ละแบบอยู่ในหมวดใด
ส่งต่อเคสกันในไลน์กลุ่มของทีมมีปัญหาไหม
เป็นความเสี่ยงที่พบบ่อยและมักถูกมองข้าม เพราะกลุ่มแชทส่วนตัวมักไม่มีการควบคุมสิทธิ์ ไม่มีบันทึกว่าใครเข้าถึงเมื่อไหร่ และข้อมูลยังอยู่ในเครื่องของทุกคนแม้พนักงานจะลาออกไปแล้ว การย้ายการส่งต่อเคสเข้าไปในระบบที่กำหนดสิทธิ์ได้จึงลดความเสี่ยงลงอย่างมีนัยสำคัญ
ควรบอกคนไข้ไหมว่ากำลังคุยกับ AI
เป็นแนวปฏิบัติที่ดี โดยเฉพาะเมื่อบทสนทนาเกี่ยวข้องกับสุขภาพ เพราะไม่ควรทำให้คนไข้เข้าใจผิดว่ากำลังคุยกับบุคลากรทางการแพทย์ วิธีที่หลายคลินิกใช้คือระบุไว้ในข้อความแรกว่าเป็นผู้ช่วยอัตโนมัติและสามารถขอคุยกับเจ้าหน้าที่ได้ทุกเมื่อ ซึ่งนอกจากโปร่งใสแล้วยังลดความคาดหวังที่ไม่ตรงกันด้วย