Laws on Personal Health Information (November 23, 2018)
•
5 j'aime•1,477 vues
Presented at The Seventh National Conference on Medical Informatics and The Annual Meeting of the Thai Medical Informatics Association) (TMI-NCMedInfo 2018), Bangkok, Thailand on November 23, 2018
Recommandé
Recommandé
Contenu connexe
Tendances
Tendances (20)
Similaire à Laws on Personal Health Information (November 23, 2018)
Similaire à Laws on Personal Health Information (November 23, 2018) (20)
Plus de Nawanan Theera-Ampornpunt
Plus de Nawanan Theera-Ampornpunt (20)
Laws on Personal Health Information (November 23, 2018)
- 1. กฎหมายที่เกี่ยวข้องกับ ข้อมูลสุขภาพส่วนบุคคล นพ.นวนรรน ธีระอัมพรพันธุ์ 23 พ.ย. 2561www.SlideShare.net/Nawanan
- 2. Outline • Why Data Privacy Protection • Existing Laws • Problems • Draft Data Protection Act • How Hospitals Should Prepare
- 6. The Day We All WannaCry’ed http://www.mirror.co.uk/news/uk-news/ransomware-nhs-cyber-attack-live-10409420
- 10. User Security & Privacy So, two informaticians walk into a bar... The bouncer says, "What's the password." One says, "Password?" The bouncer lets them in. Credits: @RossMartin & AMIA (2012)
- 11. User Security
- 13. Existing Laws
- 14. Hippocratic Oath “...What I may see or hear in the course of treatment or even outside of the treatment in regard to the life of men, which on no account one must spread abroad, I will keep myself holding such things shameful to be spoken about...”
- 15. Relevant Ethical Principles Autonomy (หลักเอกสิทธิ์/ความเป็นอิสระของผู้ป่วย) Beneficence (หลักการรักษาประโยชน์สูงสุดของผู้ป่วย) Non-maleficence (หลักการไม่ทาอันตรายต่อผู้ป่วย) “First, Do No Harm.”
- 16. ประมวลกฎหมายอาญา มาตรา 323 ผู้ใดล่วงรู้หรือได้มาซึ่งความลับของผู้อื่นโดยเหตุที่เป็นเจ้าพนักงาน ผู้มีหน้าที่ โดยเหตุที่ประกอบอาชีพเป็นแพทย์ เภสัชกร คนจาหน่ายยา นางผดุง ครรภ์ ผู้พยาบาล...หรือโดยเหตุที่เป็นผู้ช่วยในการประกอบอาชีพนั้น แล้ว เปิดเผยความลับนั้นในประการที่น่าจะเกิดความเสียหายแก่ผู้หนึ่งผู้ใด ต้อง ระวางโทษจาคุกไม่เกินหกเดือน หรือปรับไม่เกินหนึ่งพันบาท หรือทั้งจาทั้งปรับ ผู้รับการศึกษาอบรมในอาชีพดังกล่าวในวรรคแรก เปิดเผยความลับของผู้อื่น อันตนได้ล่วงรู้หรือได้มาในการศึกษาอบรมนั้น ในประการที่น่าจะเกิดความ เสียหายแก่ผู้หนึ่งผู้ใดต้องระวางโทษเช่นเดียวกัน
- 17. ข้อบังคับแพทยสภา ว่าด้วยการรักษาจริยธรรม แห่งวิชาชีพเวชกรรม พ.ศ. 2549 วิชาชีพอื่นๆ ด้านสุขภาพ และคณะกรรมการประกอบโรคศิลปะ มีข้อบังคับใน ทานองเดียวกัน
- 19. พรบ.ข้อมูลข่าวสารของราชการ พ.ศ. 2540 “เปิดเผยเป็นหลัก ปกปิดเป็นข้อยกเว้น” มาตรา 15 ข้อมูลข่าวสารของราชการที่มีลักษณะอย่างหนึ่งอย่างใดดังต่อไปนี้ หน่วยงานของรัฐหรือเจ้าหน้าที่ของรัฐอาจมีคาสั่งมิให้เปิดเผยก็ได้ โดยคานึงถึง การปฏิบัติหน้าที่ตามกฎหมาย...ประกอบกัน... (5) รายงานการแพทย์หรือข้อมูลข่าวสารส่วนบุคคลซึ่งการเปิดเผยจะเป็นการ รุกล้าสิทธิส่วนบุคคลโดยไม่สมควร (6) ข้อมูลข่าวสารของราชการที่มีกฎหมายคุ้มครองมิให้เปิดเผย...
- 21. พรบ.สุขภาพแห่งชาติ พ.ศ. 2550 มาตรา 7 ข้อมูลด้านสุขภาพของบุคคล เป็นความลับส่วนบุคคล ผู้ใดจะ นาไปเปิดเผยในประการที่น่าจะทาให้บุคคลนั้นเสียหายไม่ได้ เว้นแต่การ เปิดเผยนั้นเป็นไปตามความประสงค์ของบุคคลนั้นโดยตรง หรือมีกฎหมาย เฉพาะบัญญัติให้ต้องเปิดเผย แต่ไม่ว่าในกรณีใด ๆ ผู้ใดจะอาศัยอานาจหรือ สิทธิตามกฎหมายว่าด้วยข้อมูลข่าวสารของราชการหรือกฎหมายอื่นเพื่อขอ เอกสารเกี่ยวกับข้อมูลด้านสุขภาพของบุคคลที่ไม่ใช่ของตนไม่ได้
- 22. ประกาศคณะกรรมการสุขภาพแห่งชาติ เรื่อง แนวทางปฏิบัติในการ ใช้งานสื่อสังคมออนไลน์ของผู้ปฏิบัติงานด้านสุขภาพ พ.ศ. 2559 http://www.ratchakitcha.soc.go.th/DATA/PDF/2560/E/088/12.PDF
- 23. ประกาศคณะกรรมการสุขภาพแห่งชาติ เรื่อง แนวทางปฏิบัติในการ ใช้งานสื่อสังคมออนไลน์ของผู้ปฏิบัติงานด้านสุขภาพ พ.ศ. 2559 http://www.ratchakitcha.soc.go.th/DATA/PDF/2560/E/088/12.PDF
- 24. ประกาศคณะกรรมการสุขภาพแห่งชาติ เรื่อง แนวทางปฏิบัติในการ ใช้งานสื่อสังคมออนไลน์ของผู้ปฏิบัติงานด้านสุขภาพ พ.ศ. 2559 http://www.ratchakitcha.soc.go.th/DATA/PDF/2560/E/088/12.PDF
- 25. กฎหมายเฉพาะ • พรบ.สถานพยาบาล พ.ศ. 2541 และที่แก้ไขเพิ่มเติม
- 26. กฎหมายเฉพาะ • พรบ.โรคติดต่อ พ.ศ. 2558
- 27. กฎหมายเฉพาะ • พรบ.สุขภาพจิต พ.ศ. 2551
- 28. กฎหมายเฉพาะ • พรบ.สุขภาพจิต พ.ศ. 2551
- 31. กฎหมายเฉพาะ • พรบ.ประกันสังคม พ.ศ. 2533
- 34. กฎหมายอื่น • พรบ.การรักษาความมั่นคงภายในราชอาณาจักร พ.ศ. 2551 • ไม่ปรากฏว่ามีบทบัญญัติให้อานาจในการเรียกบุคคลมารายงานตัวหรือมาให้ ถ้อยคาหรือส่งมอบเอกสารหรือหลักฐานใด หรือสั่งให้เปิดเผยข้อมูล ที่ชัดเจน
- 36. Situational Awareness: ระเบียบ สธ.
- 37. Problems
- 38. ตัวอย่าง Scenario ที่อาจมีปัญหา Disaster & Public Health Emergencies https://en.wikipedia.org/wiki/Hurricane_Katrina
- 39. ตัวอย่าง Scenario ที่อาจมีปัญหา https://en.wikipedia.org/wiki/Hurricane_Katrina Data Report to Central Offices • MOPH ICT • Service Plans • Disease Surveillance • Disease Registries
- 40. ตัวอย่าง Scenario ที่อาจมีปัญหา Claims, Reimbursements & Auditing
- 41. ตัวอย่าง Scenario ที่อาจมีปัญหา Training & Competency Assurance • การตรวจสอบของสภาวิชาชีพเพื่อควบคุมคุณภาพและมาตรฐานของการฝึกอบรม • การเรียนการสอน เช่น นักศึกษาแพทย์
- 42. ตัวอย่าง Scenario ที่อาจมีปัญหา Organizational Management • การจัดการความเสี่ยง และการพัฒนา คุณภาพภายในสถานพยาบาล • การวางแผนธุรกิจและการบริหารจัดการ ทั่วไปขององค์กร • การเปิดเผยให้กับ Outsource หรือ Business Associates
- 43. ตัวอย่าง Scenario ที่อาจมีปัญหา Research • การขอข้อมูลที่ระบุตัวตนได้โดยหน่วยงานส่วนกลาง เช่น สปสช., กรมสุขภาพจิต เพื่อการ ศึกษาวิจัยหรือวิเคราะห์วางแผน ที่ไม่มีบทบัญญัติให้อานาจในการขอข้อมูลไว้อย่างชัดเจน • การวิจัยจากข้อมูลที่ระบุตัวตนได้ แต่ไม่ feasible ที่จะขอความยินยอมจากผู้ป่วยโดยตรง (เช่น Big Data หรือเป็น Retrospective Study) • Tissue Biobank และข้อมูลที่เป็นประโยชน์ต่อการวิจัยแต่ไม่ได้ขอความยินยอมไว้ก่อน • การจัดทา Disease Registry
- 47. ตัวอย่าง Scenario ที่อาจมีปัญหา Public Administration • กรณีสถานการณ์ทางการเมือง มีผู้บาดเจ็บมารักษาที่สถานพยาบาล (รัฐ/เอกชน) และพนักงานเจ้าหน้าที่ขอรายชื่อผู้บาดเจ็บเพื่อ ดาเนินการสืบสวนสอบสวน/จับกุมหรือบริหารจัดการสถานการณ์
- 48. ปัญหาของกฎหมาย Health Information Privacy ในปัจจุบัน • เป็น sectoral privacy law จึงอาจมีมาตรฐานแตกต่างจาก sector อื่น • สถานพยาบาลของรัฐ ถูกกากับโดย พรบ.ข้อมูลข่าวสารของราชการ ด้วย แต่ไม่รวมสถานพยาบาลของเอกชน ทาให้มีมาตรฐานแตกต่างกัน รวมทั้ง สถานพยาบาลของรัฐเกิดความสับสนเกี่ยวกับกฎหมายหลายฉบับ ที่มี หลักการและบทบัญญัติแตกต่างกัน • ไม่มีบทบัญญัติบังคับให้สถานพยาบาลมีการจัดการเชิงระบบเพื่อคุ้มครอง Privacy อย่างชัดเจน (ยกเว้นตาม พรบ.ข้อมูลข่าวสารของราชการ ซึ่งไม่ จาเพาะต่อ Healthcare)
- 49. ปัญหาของกฎหมาย Health Information Privacy ในปัจจุบัน • กฎหมายเกี่ยวกับกองทุนและระบบประกันสุขภาพ เขียนอานาจ หน้าที่ในการต้องเปิดเผยข้อมูลสุขภาพของผู้ป่วยไม่ชัดเจน • ในสถานการณ์จริงบางกรณีไม่มีบทบัญญัติทางกฎหมายรองรับ • การขัดกันของกฎหมายบางฉบับในบางสถานการณ์ (เช่น สถานการณ์ฉุกเฉินที่มีกฎหมายให้อานาจรัฐไว้ค่อนข้างกว้างขวาง) ไม่ชัดเจน
- 50. ปัญหาของกฎหมาย Health Information Privacy ในปัจจุบัน • ปัญหาของ พรบ.สุขภาพแห่งชาติ มาตรา 7 • ไม่มีนิยามของ “ข้อมูลด้านสุขภาพของบุคคล” (เช่น Genetics information, ข้อมูล Dietary Requirements) • ไม่ชัดเจนว่า “ผู้ใด” ในกรณีหน่วยงาน/สถานพยาบาล (โดยเฉพาะที่อยู่ในสังกัด กรม/นิติบุคคลเดียวกัน เช่น รพ. ในสังกัดกรมการแพทย์) จะตีความอย่างไร • “ในประการที่น่าจะทาให้บุคคลนั้นเสียหาย” เป็น Subjective Value Judgment และขัดกับแนวคิด Privacy ทั่วไปที่มุ่งคุ้มครอง Privacy ของข้อมูล สุขภาพ โดยไม่สนใจความเสียหาย • การอ้างถึงกฎหมายว่าด้วยข้อมูลข่าวสารของราชการ สร้างความสับสน • เงื่อนไขข้อยกเว้นไม่ครอบคลุม (ต่างจาก HIPAA ที่ระบุไว้ชัดมาก) • ไม่ให้อานาจในการออกข้อยกเว้น • ไม่สอดคล้องกับบริบทของ Healthcare เช่น กรณีฉุกเฉิน หรือเพื่อประโยชน์ใน การรักษาผู้ป่วย
- 51. ปัญหาของกฎหมาย Health Information Privacy ในปัจจุบัน • ปัญหาของ พรบ.สุขภาพแห่งชาติ มาตรา 7 – ไม่รวมข้อมูลของผู้เสียชีวิต – การให้ความยินยอมแทนโดยญาติ ไม่ชัดเจน และมีปัญหาในทางปฏิบัติ – ไม่ให้อานาจในการออกหลักเกณฑ์ วิธีการ และเงื่อนไขในทางปฏิบัติ (เช่น การขอความ ยินยอมของผู้ป่วย) – มุ่งเน้นเรื่องการเปิดเผยข้อมูล แต่ไม่รวมเรื่องการเก็บรวบรวมและการใช้ข้อมูล – ไม่ได้กาหนดหลักการของ Sensitive Information – มุ่งเน้นเพียงด้าน Privacy แต่ไม่ได้กาหนดหลักเกณฑ์ วิธีการ และเงื่อนไขด้าน Security – ไม่ได้ Balance กับความเสี่ยงอีกด้าน คือ ให้ข้อมูลผู้ป่วยไม่ครบ เกิดความเสี่ยงในการวินิจฉัย รักษาโรค – ขาดเรื่อง Breach Notification
- 52. Draft Data Protection Act
- 53. Timeline ของการร่างกฎหมายโดยสังเขป • 6 ม.ค. 2558 ครม. อนุมัติหลักการร่างกฎหมายเพื่อรองรับการพัฒนาเศรษฐกิจดิจิทัลของ ประเทศ จานวน 8 ฉบับ • ก.ค. 2558 สานักงานคณะกรรมการกฤษฎีกาตรวจพิจารณาร่างเสร็จแล้ว (เรื่องเสร็จที่ 1135/2558) • 16 พ.ย. 2559 กระทรวง DE รับฟังความคิดเห็นเป็นการทั่วไป ณ โรงแรมเอทัส ลุมพินี • 15-17 ส.ค. 2560 กระทรวง DE รับฟังความคิดเห็นโดยการจัดประชุม Focus Group ร่วมกับ หน่วยงานภาครัฐ ภาคเอกชน ภาควิชาการ และภาคประชาสังคมที่เกี่ยวข้อง ณ กระทรวง DE • 24-30 ม.ค. 2561 กระทรวง DE รับฟังความคิดเห็นจากตัวแทนผู้มีส่วนได้เสีย ณ กระทรวง DE • 22 ม.ค. - 6 ก.พ. 2561 กระทรวง DE รับฟังความคิดเห็นผ่านเว็บไซต์และ e-mail • 22 พ.ค. 2561 ครม. อนุมัติหลักการร่าง พรบ.คุ้มครองข้อมูลส่วนบุคคล พ.ศ. .... • 5-20 ก.ย. 2561 กระทรวง DE รับฟังความคิดเห็นผ่านเว็บไซต์ (ประชุม 11 ก.ย. 2651)
- 54. ข้อดีของร่าง พรบ.คุ้มครองข้อมูลส่วนบุคคล ฉบับรับฟังความเห็น ก.ย. 2561 • เป็น General Privacy Law จึงแก้ปัญหาเรื่องช่องว่างในการบังคับใช้ และ มาตรฐานที่แตกต่างกันของ Sectoral Privacy Law ได้ • ครอบคลุมทั้งการเก็บรวบรวม การใช้ และการเปิดเผยข้อมูลส่วนบุคคล • กรรมการผู้ทรงคุณวุฒิในคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล มีการระบุความ เชี่ยวชาญด้านสุขภาพ (มาตรา 8) • ข้อมูลสุขภาพ ถือเป็น Sensitive Data (มาตรา 23) • มีบทบัญญัติที่ไม่ขัดกับกฎหมายเฉพาะ เช่น พรบ.สุขภาพแห่งชาติ (มาตรา 3) • Cover ทั้งเรื่อง Privacy และ Security • มีเรื่องการจัดการเชิงระบบขององค์กร • มีเรื่อง Breach Notification
- 59. • มีการประชุมคณะทางานไปแล้วทั้งสิ้น 1 ครั้ง เมื่อวันที่ 17 ก.ค. 2561 การดาเนินการของคณะทางานเตรียมการด้าน DP Image Source: Facebook Page ดร.พิเชฐ ดุรงคเวโรจน์ รัฐมนตรีว่าการกระทรวงดิจิทัลเพื่อเศรษฐกิจและสังคม (18 ก.ค. 2561)
- 61. ความคืบหน้าเกี่ยวกับร่างกฎหมาย DP • กระทรวง DE เปิดเผยร่าง พรบ.คุ้มครองข้อมูลส่วนบุคคล พ.ศ. .... สาหรับ รับฟังความคิดเห็น กันยายน 2561 เมื่อวันที่ 5 กันยายน 2561 (เป็นร่าง สุดท้ายที่จะเสนอ สนช. โดยไม่มีการแก้ไขอีก) • http://www.lawamendment.go.th/index.php/component/k2/ite m/download/797_357a33e481fdd7c3b02156da0a9002e6 • ร่างฯ ดังกล่าว มีการปรับเพิ่มหลักการของกฎหมายให้ใกล้เคียงกับ GDPR ของ EU อย่างมาก โดยมีรายละเอียดข้อกาหนดต่างๆ เพิ่มมากขึ้น ซึ่งจะ เป็นการคุ้มครองข้อมูลส่วนบุคคลที่ดีขึ้น และจะทาให้มีโอกาสได้รับการ รับรองจาก EU ให้ส่งข้อมูลจาก EU มาเก็บในไทยได้ แต่จะมี burden ต่อ หน่วยงานต่างๆ • แก้ไขการมีผลบังคับใช้ของข้อกาหนดในกฎหมาย จาก 1 ปี เป็น 180 วัน
- 62. ความคืบหน้าเกี่ยวกับร่างกฎหมาย DP • การรับฟังความคิดเห็นต่อร่างฉบับล่าสุด โดยกระทรวง DE เมื่อวันที่ 11 ก.ย. 2561 Image Source: Facebook Page กระทรวงดิจิทัลเพื่อเศรษฐกิจและสังคม (13 ก.ย. 2561)
- 65. ความเห็นของรามาธิบดี • ระยะเวลาก่อนมีผลบังคับใช้ สั้นเกินไป (180 วัน) ควรเป็น 1-2 ปี • ขาดบทบัญญัติที่ให้ออกข้อยกเว้นในกฎกระทรวงในภายหลังได้ ในกรณี ที่ไม่สามารถขอ informed consent ในบางกรณีได้ (นอกเหนือจาก กรณีที่บัญญัติไว้แล้ว เช่น ป้องกันระงับอันตรายต่อชีวิต ฯลฯ) เช่น กรณี retrospective study, risk management, audit & quality accreditation • ผลกระทบต่อข้อมูลที่เก็บไว้แล้วในอดีตถึงปัจจุบัน ให้ใช้ได้ตาม วัตถุประสงค์เดิม (หากไม่เคยแจ้งวัตถุประสงค์มาก่อน ต้องแจ้งใหม่ จะ เป็นภาระมาก)
- 66. How Hospitals Should Prepare
- 67. How to Prepare
- 68. How to Prepare
- 69. • อ่าน & ติดตามข่าว ร่าง พรบ. DP • Assess Impact ต่อองค์กร, มองหา Scenarios ที่อาจมีปัญหา • Voice & ถามประเด็นผ่านช่องทางต่างๆ • สร้างการรับรู้ในหมู่ผู้บริหาร + ตั้งคณะทางานวิเคราะห์และ เตรียมการภายในองค์กร • ศึกษา + เตรียมปรับ Informed Consent และระบบสารสนเทศ เพื่อรองรับ • Security Awareness Training • Cyber Drills & Exercises How to Prepare
- 72. Health Sector Security Awareness