เก็บผลตรวจสุขภาพให้ครบ ปลอดภัย และรักษาความลับ

สถานประกอบกิจการอาจจัดตรวจสุขภาพครบทุกปี แต่ผลถูกส่งเป็นไฟล์เดียวถึงฝ่ายบุคคล วางไว้ในโฟลเดอร์ร่วมกับเงินเดือน แล้วคัดตัวเลขผิดปกติลงตารางที่หัวหน้างานเห็นชื่อทั้งหมด เมื่อพนักงานลาออก ไม่มีใครบันทึกวันเริ่มนับอายุเก็บและไม่มีหลักฐานว่ามอบสมุดสุขภาพแล้ว ระบบเช่นนี้มีข้อมูลมาก แต่ตอบไม่ได้ว่าเอกสารครบ ปลอดภัย และใช้เพื่อคุ้มครองคนจริงหรือไม่

การจัดการผลตรวจต้องทำสองหน้าที่พร้อมกัน คือรักษาหลักฐานตามกฎหมายและจำกัดการเปิดเผยเท่าที่จำเป็นต่อการดูแลสุขภาพกับการป้องกันอันตราย บทนี้ใช้กฎกระทรวงตรวจสุขภาพ พ.ศ. 2563 เป็นฐาน แล้วแปลงเป็นโครงแฟ้ม สิทธิ กระบวนการแจ้งผล การออกจากงาน และการควบคุมวงจรชีวิตข้อมูล

แยกข้อมูลสี่ชั้นก่อนกำหนดสิทธิ

ชั้นแรกคือผลดิบทางการแพทย์ เช่น ประวัติ อาการ ผลตรวจร่างกาย ภาพรังสี และค่าห้องปฏิบัติการ ข้อมูลนี้แพทย์กับบุคลากรสุขภาพใช้แปลผลและติดตามรายบุคคล ผู้บริหารหรือหัวหน้างานไม่จำเป็นต้องเห็นรายละเอียดเพื่อจัดงาน

ชั้นที่สองคือความเห็นของแพทย์เกี่ยวกับสภาวะสุขภาพที่มีผลต่อการทำงาน อาจระบุว่าทำงานได้ มีข้อจำกัด ต้องติดตาม หรือควรเปลี่ยนงาน โดยเปิดเฉพาะรายละเอียดที่นายจ้างต้องใช้ดำเนินการ ชั้นนี้เป็นสะพานจากการแพทย์ไปยังการจัดงาน แต่ยังไม่ควรแนบผลดิบทั้งหมด

ชั้นที่สามคือสมุดสุขภาพประจำตัวตามแบบ ซึ่งเชื่อมข้อมูลลูกจ้าง ประวัติงาน ปัจจัยเสี่ยง การตรวจ และบันทึกที่เกี่ยวข้อง กฎข้อ 6 ให้นายจ้างจัดสมุดสุขภาพ บันทึกผลตามผลของแพทย์ทุกครั้ง และอนุญาตให้ทำเป็นข้อมูลอิเล็กทรอนิกส์ได้ สมุดจึงเป็นระเบียนต่อเนื่อง ไม่ใช่ใบรับรองหนึ่งหน้าในแต่ละปี

ชั้นที่สี่คือข้อมูลรวมเพื่อการป้องกัน เช่น แนวโน้มสมรรถภาพปอดของกลุ่มสัมผัสฝุ่น หรือจำนวนผลที่ต้องติดตามตามพื้นที่ ข้อมูลนี้ควรลดการระบุตัวบุคคลเท่าที่ทำได้และใช้ร่วมกับข้อมูลหน้างาน รายละเอียดการเลือกกลุ่มกับตัวบ่งชี้อยู่ใน การเฝ้าระวังทางชีวภาพ

สร้างทะเบียนแฟ้มหนึ่งคนต่อหนึ่งเส้นเวลา

กำหนดรหัสบุคคลคงที่ที่ไม่เปลี่ยนเมื่อย้ายแผนก และผูกกับเลขพนักงานเดิมอย่างควบคุมได้ เปิดทะเบียนที่บอกว่าบุคคลใดสัมผัสปัจจัยใด ตรวจครั้งใด เอกสารอยู่ที่ไหน ใครเป็นผู้ตรวจ วันที่แจ้งผล วันสิ้นสุดการจ้าง และวันทบทวนเพื่อทำลาย ทะเบียนควรบอกสถานะโดยไม่คัดผลสุขภาพละเอียดมาไว้ซ้ำ

จัดชุดเอกสารตามเหตุการณ์ ได้แก่ก่อนเริ่มงาน รอบประจำปี เปลี่ยนงาน กลับเข้าทำงาน หลังเหตุสัมผัส และการติดตามผลผิดปกติ แต่ละชุดมีใบส่งตรวจ รายการปัจจัยเสี่ยง ผล ความเห็นแพทย์ หลักฐานแจ้งเจ้าตัว และการดำเนินการของนายจ้าง ใช้เลขครั้งตรวจเพื่อป้องกันไฟล์ชื่อ “ผลล่าสุด” หลายฉบับ

ตรวจความครบจากต้นทางสามฝ่าย ฝ่ายงานยืนยันปัจจัยเสี่ยง ฝ่ายบุคคลยืนยันรายชื่อกับสถานะจ้าง และหน่วยบริการยืนยันผลกับลายมือชื่อแพทย์ การขาดเอกสารต้องอยู่ในทะเบียนติดตาม ไม่ถือว่าการได้รับไฟล์สรุปจำนวนผู้ตรวจเท่ากับได้รับผลรายบุคคลครบ

คำนวณอายุเก็บจากวันสิ้นสุดการจ้าง

ข้อ 7 กำหนดให้นายจ้างเก็บบันทึกผลตรวจและข้อมูลสุขภาพที่เกี่ยวข้องไว้ ณ สถานประกอบกิจการ เพื่อให้พนักงานตรวจความปลอดภัยตรวจสอบได้ตลอดเวลา โดยเก็บไม่น้อยกว่า 2 ปีนับแต่วันสิ้นสุดการจ้างของแต่ละราย จุดเริ่มนับจึงเป็นวันสิ้นสุดการจ้าง ไม่ใช่วันตรวจ วันได้รับผล หรือสิ้นปีปฏิทิน

ข้อเดียวกันกำหนดระยะอย่างน้อย 10 ปีนับแต่วันสิ้นสุดการจ้างสำหรับผลตรวจของลูกจ้างที่ทำงานเกี่ยวกับปัจจัยเสี่ยงซึ่งอาจทำให้เกิดโรคมะเร็งจากการทำงานตามประกาศที่เกี่ยวข้อง หากคนหนึ่งมีหลายปัจจัย ให้ติดธงแต่ละชุดและใช้ระยะที่ยาวกว่าสำหรับข้อมูลที่เกี่ยวข้อง ไม่ลดทั้งแฟ้มเหลือ 2 ปีเพราะผลตรวจครั้งสุดท้ายเป็นปัจจัยทั่วไป

ตัวอย่างเช่น พนักงานตรวจครั้งสุดท้ายวันที่ 15 มีนาคม 2569 และสิ้นสุดการจ้างวันที่ 30 กันยายน 2571 อายุขั้นต่ำต้องเริ่มจากวันที่ 30 กันยายน 2571 ระบบควรคำนวณวันทบทวนตามระยะที่ใช้และเก็บหลักฐานเหตุผล การตั้งวันทำลายจากวันที่สร้างไฟล์จะเร็วเกินกฎหมายเมื่อพนักงานทำงานต่ออีกหลายปี

คำว่า “ไม่น้อยกว่า” เป็นระยะขั้นต่ำ องค์กรอาจมีเหตุให้เก็บนานขึ้นจากหน้าที่หรือสิทธิเรียกร้องอื่น แต่ควรกำหนดฐานและระยะอย่างมีเหตุผล ไม่ใช้คำว่าเก็บถาวรกับทุกแฟ้มเพราะสะดวก การตัดสินใจที่เกี่ยวกับกฎหมายข้อมูลส่วนบุคคลหรือข้อพิพาทเฉพาะควรให้ผู้รับผิดชอบด้านกฎหมายและข้อมูลขององค์กรตรวจร่วมกัน

แยกสิทธิการเปิดดูตามบทบาท

แพทย์และบุคลากรสุขภาพเข้าถึงผลดิบเท่าที่จำเป็นต่อการดูแล ผู้ประสานตรวจอาจเห็นรายชื่อ นัดหมาย และสถานะรับผล แต่ไม่ต้องเห็นการวินิจฉัย หัวหน้างานควรได้รับข้อจำกัดที่ต้องจัด เช่น งดสัมผัสสารหรือจำกัดการยก โดยไม่จำเป็นต้องรู้ชื่อโรค ผู้บริหารเห็นภาพรวมและงานแก้ระบบ

กำหนดสิทธิอ่าน เพิ่ม แก้ ดาวน์โหลด และส่งออกแยกกัน คนที่ตรวจสถานะนัดได้ไม่ควรดาวน์โหลดแฟ้มทั้งหมด ผู้ดูแลระบบเทคนิคอาจสำรองข้อมูลโดยไม่เปิดเนื้อหา ใช้บัญชีรายบุคคล ห้ามแชร์รหัส และทบทวนสิทธิเมื่อย้ายตำแหน่ง ลาออก หรือเปลี่ยนผู้รับจ้าง

เก็บประวัติการเข้าถึงที่บอกผู้ใช้ เวลา แฟ้ม และการกระทำ ตรวจหารูปแบบผิดปกติ เช่น ดาวน์โหลดหลายร้อยแฟ้มนอกเวลาหรือเปิดผลของบุคคลที่ไม่อยู่ในความรับผิดชอบ บันทึกนี้ต้องได้รับการคุ้มครองและมีผู้ทบทวน ไม่ใช่เปิดฟังก์ชันไว้โดยไม่มีใครดู

กรณีฉุกเฉินทางการแพทย์อาจต้องเปิดข้อมูลเร็ว ให้มีช่องทางยกระดับที่บันทึกเหตุ ผู้อนุมัติ ขอบเขต และการทบทวนภายหลัง ไม่ใช้บัญชีผู้ดูแลร่วมกันเป็นทางลัดสำหรับทุกเหตุ การเข้าถึงฉุกเฉินควรแคบและสิ้นสุดเมื่อเหตุหมด

เก็บกระดาษและไฟล์ด้วยมาตรฐานเดียวกัน

แฟ้มกระดาษอยู่ในตู้ล็อก ห้องควบคุมการเข้า และมีสมุดยืม คืนเอกสารเข้าที่ทันที ไม่วางกองรอคีย์บนโต๊ะส่วนกลาง ซองส่งภายในต้องปิดและระบุผู้รับ ไม่เขียนผลสุขภาพบนหน้าซอง เอกสารที่สแกนแล้วต้องตรวจความครบก่อนพิจารณาทำลายต้นฉบับตามนโยบาย

ระบบอิเล็กทรอนิกส์ใช้การยืนยันตัวตน การเข้ารหัสระหว่างส่งและขณะเก็บ การสำรอง การทดสอบกู้คืน การควบคุมรุ่น และบันทึกการเข้าถึง ประกาศกรมฯ ยืนยันว่าการจัดสมุดสุขภาพในรูปข้อมูลอิเล็กทรอนิกส์ถือว่าได้จัดทำตามแบบที่กำหนด แต่รูปแบบอิเล็กทรอนิกส์ยังต้องรักษาเนื้อหา ความครบ และการเรียกตรวจได้

อย่าเก็บสำเนากระจายหลายจุดโดยไม่มีทะเบียน อีเมลของผู้ประสาน ห้องสนทนา ไดรฟ์ส่วนตัว และเครื่องสแกนอาจเหลือไฟล์หลังย้ายเข้าระบบกลาง กำหนดช่องทางรับจากคลินิก จุดนำเข้า ผู้ตรวจความครบ และการลบสำเนาชั่วคราวอย่างปลอดภัย

ตั้งชื่อไฟล์ด้วยรหัสบุคคล ชนิดเอกสาร วันที่ และรุ่น หลีกเลี่ยงชื่อโรคในชื่อไฟล์ซึ่งอาจมองเห็นจากรายการโดยไม่เปิดเอกสาร ค่าดัชนีค้นหาควรมีเท่าที่จำเป็นและแยกจากสิทธิอ่านเนื้อหา

แจ้งผลแก่ลูกจ้างเป็นรายบุคคล

ข้อ 8 กำหนดให้นายจ้างแจ้งผลตรวจแก่ลูกจ้างตามกรอบเวลา โดยกรณีผลผิดปกติให้แจ้งภายใน 3 วันนับแต่วันที่ทราบผล และกรณีผลปกติภายใน 7 วันนับแต่วันที่ทราบผล ทะเบียนจึงต้องมีวันที่นายจ้างทราบผล วันที่แจ้ง ช่องทาง และหลักฐานรับ ไม่ใช้วันที่คลินิกตรวจเป็นจุดเริ่มโดยอัตโนมัติ

เลือกช่องทางที่ยืนยันตัวผู้รับและป้องกันคนอื่นเห็น เช่น ซองปิดมอบกับเจ้าตัว ระบบพอร์ทัลที่ยืนยันตัวตน หรือการนัดอธิบายโดยบุคลากรสุขภาพ หลีกเลี่ยงส่งตารางรวมทางอีเมล เรียกชื่อกับผลผ่านกลุ่มสนทนา หรือฝากหัวหน้างานแจกซองที่เปิดได้

ผลผิดปกติต้องมีคำอธิบาย ความหมาย ข้อจำกัด ขั้นตอนติดตาม และช่องทางถาม ไม่ส่งเพียงตัวเลขกับสีแดง การแจ้งโดยแพทย์หรือบุคลากรสุขภาพช่วยลดการตีความผิด ส่วนผู้ประสานเก็บเพียงสถานะแจ้งสำเร็จและงานนัด ไม่บันทึกรายละเอียดการสนทนาในตารางทั่วไป

หากติดต่อไม่ได้ ให้ใช้ช่องทางสำรองที่กำหนดและบันทึกความพยายาม โดยไม่เปิดเผยผลแก่บุคคลอ้างว่าเป็นญาติหรือหัวหน้า เว้นแต่มีฐานและขั้นตอนที่ถูกต้อง การเร่งตามกำหนดเวลาไม่ทำให้ข้ามการยืนยันตัวตนได้

ส่งข้อมูลให้นายจ้างเท่าที่ใช้คุ้มครองงาน

แพทย์ผู้ตรวจมีหน้าที่บันทึกความเห็นเกี่ยวกับสภาวะสุขภาพที่มีผลหรือเป็นอุปสรรคต่องาน รายละเอียดบทบาทอยู่ใน บทบาทแพทย์ผู้ตรวจสุขภาพ นายจ้างควรได้รับคำแนะนำเชิงหน้าที่ เช่น หลีกเลี่ยงสัมผัสสารหนึ่งชั่วคราว ห้ามทำงานบนที่สูง หรือปรับเวลางาน พร้อมรอบทบทวน โดยไม่ต้องรับประวัติส่วนตัวทั้งหมด

คำแนะนำต้องชัดพอให้ปฏิบัติได้ คำว่า “ควรระวัง” ไม่บอกฝ่ายงานว่าต้องเปลี่ยนอะไร ขณะเดียวกันไม่ควรระบุโรคเกินจำเป็น แพทย์ ผู้ปฏิบัติงาน และผู้จัดงานอาจหารือข้อจำกัดกับทางเลือกโดยใช้ความยินยอมและช่องทางที่เหมาะ แยกบันทึกประชุมจากแฟ้มทั่วไป

ข้อมูลรวมสำหรับ จป. และผู้บริหารควรแบ่งตามกลุ่มสัมผัส พื้นที่ หรืองานในระดับที่ไม่ทำให้เดาตัวคนได้ หากกลุ่มเล็กมาก ให้บุคลากรสุขภาพสรุปปัญหาและมาตรการโดยไม่เปิดตัวเลขรายคน เป้าหมายคือค้นสาเหตุและปรับระบบ ไม่ใช่ระบุว่าใครมีผลผิดปกติ

จัดการการแก้ไขและรุ่นเอกสาร

ผลจากห้องปฏิบัติการอาจถูกแก้หน่วย ชื่อ หรือค่าหลังตรวจยืนยัน เก็บฉบับเดิมพร้อมสถานะยกเลิก เหตุผล ผู้แก้ วันที่ และฉบับใหม่ ไม่เขียนทับจนย้อนกลับไม่ได้ สมุดสุขภาพที่บันทึกผิดให้ใช้วิธีแก้ที่ยังอ่านข้อมูลเดิมได้หรือประวัติรุ่นอิเล็กทรอนิกส์

เมื่อข้อมูลบุคคล เช่น ชื่อหรือตำแหน่งผิด ให้ตรวจหลักฐานและแก้ทุกระบบที่เกี่ยวข้องตามรายการ ไม่แก้เฉพาะหน้ารายงานจนทะเบียนกับแฟ้มแยกคนกัน หากการแก้มีผลต่อการแปลหรือความเหมาะสมกับงาน ให้แพทย์ทบทวนและแจ้งเจ้าตัวอีกครั้ง

เอกสารแนบจากคลินิกต้องตรวจว่าจำนวนหน้า รายชื่อ และรุ่นครบ การรับไฟล์ใหม่ชื่อเหมือนเดิมไม่ใช่หลักฐานว่าเป็นฉบับแก้ล่าสุด ใช้เลขรุ่นหรือเวลาและเก็บบันทึกการรับส่ง

มอบสมุดสุขภาพเมื่อสิ้นสุดการจ้าง

ข้อ 11 กำหนดให้นายจ้างมอบสมุดสุขภาพประจำตัวแก่ลูกจ้างซึ่งทำงานเกี่ยวกับปัจจัยเสี่ยงเมื่อสิ้นสุดการจ้าง กระบวนการพ้นสภาพจึงต้องมีรายการของหน่วยอาชีวอนามัย ไม่ปล่อยให้ฝ่ายบุคคลปิดเงินเดือนและบัญชีระบบก่อนตรวจว่าสมุดพร้อม

ตรวจชื่อ ประวัติงาน ปัจจัยเสี่ยง ผลทุกครั้ง และลายมือชื่อแพทย์ก่อนมอบ หากเป็นอิเล็กทรอนิกส์ ให้จัดรูปแบบที่เจ้าตัวเปิดอ่านและเก็บต่อได้ พร้อมอธิบายรหัสหรือวิธีเข้าถึงซึ่งไม่หมดอายุทันที บันทึกวันที่ วิธี ผู้มอบ และหลักฐานรับโดยไม่ทำสำเนาบัตรประชาชนเกินจำเป็น

การมอบสมุดแก่ลูกจ้างไม่ทำให้หน้าที่เก็บบันทึกของนายจ้างตามข้อ 7 หายไป ระบบจึงต้องเตรียมทั้งชุดสำหรับเจ้าตัวและชุดที่องค์กรเก็บตามระยะ อย่าส่งเอกสารต้นฉบับเพียงชุดเดียวแล้วทำให้สถานประกอบกิจการไม่มีหลักฐานให้ตรวจ

หากลูกจ้างไม่มารับ ให้มีขั้นตอนติดต่อ ส่งแบบปลอดภัย หรือเก็บรอรับตามนโยบาย พร้อมบันทึก อย่าส่งไฟล์สุขภาพไปยังอีเมลบริษัทที่ถูกปิดในวันเดียวกันหรือฝากกับเพื่อนร่วมงาน

ย้ายระบบ สำรอง และรับมือข้อมูลรั่ว

ก่อนย้ายระบบทำบัญชีจำนวนแฟ้ม ช่วงปี รูปแบบ สิทธิ และค่าแฮชหรือวิธีตรวจความครบ ทดลองกลุ่มเล็กแล้วเทียบหน้า เอกสาร และการค้นหา รักษาระบบเดิมแบบอ่านอย่างเดียวจนยืนยันระบบใหม่ และบันทึกสิ่งที่แปลงไม่ได้ การย้ายสำเร็จวัดจากการเปิดใช้และเรียกคืน ไม่ใช่จำนวนไฟล์ที่คัดลอก

สำรองอย่างน้อยแยกจากระบบหลักและทดสอบกู้คืนตามรอบ ใช้สิทธิและอายุเก็บเดียวกันกับสำเนาสำรอง ไม่ปล่อยเทปหรือดิสก์เก่าเกินรอบโดยไม่ทราบว่ามีผลของใคร การทดสอบควรจำลองกู้แฟ้มรายคนและช่วงเวลาที่พนักงานตรวจอาจขอ

มีขั้นตอนเมื่อส่งผิดคน บัญชีถูกเจาะ อุปกรณ์หาย หรือพบการเปิดดูผิดหน้าที่ เริ่มจากจำกัดเหตุ รักษาหลักฐาน ประเมินข้อมูลกับบุคคลที่ได้รับผล แจ้งทีมกฎหมายและผู้รับผิดชอบข้อมูล ดำเนินการแจ้งตามหน้าที่ที่ใช้กับองค์กร และแก้สาเหตุ หลีกเลี่ยงการลบประวัติการเข้าถึงเพื่อให้รายงานดูสะอาด

ทำลายเมื่อครบเงื่อนไขอย่างตรวจย้อนกลับได้

ระบบควรสร้างรายการถึงวันทบทวน ไม่ลบอัตโนมัติทันที ผู้รับผิดชอบตรวจวันสิ้นสุดการจ้าง ธงปัจจัยก่อมะเร็ง คดีหรือคำสั่งระงับทำลาย เอกสารที่ต้องมอบ และฐานเก็บอื่นก่อนอนุมัติ แยกผู้เสนอ ผู้ตรวจ และผู้อนุมัติเพื่อลดความผิดพลาด

กระดาษใช้การทำลายที่อ่านคืนไม่ได้และมีหลักฐานจากผู้รับจ้าง ไฟล์ต้องลบจากระบบหลัก จุดซิงก์ อุปกรณ์ชั่วคราว และจัดการสำเนาสำรองตามวงจรที่กำหนด การย้ายลงถังขยะคอมพิวเตอร์หรือฟอร์แมตเร็วไม่ยืนยันว่ากู้ไม่ได้ สื่อเก่าที่ขายหรือส่งซ่อมต้องผ่านกระบวนการลบหรือทำลายที่เหมาะกับความเสี่ยง

บันทึกการทำลายควรมีช่วงรหัสบุคคล ชนิดเอกสาร ฐานและระยะเก็บ วันที่ วิธี ผู้อนุมัติ ผู้ดำเนินการ และหลักฐาน โดยไม่คัดผลสุขภาพมาลงในบันทึกใหม่ เก็บบันทึกนี้ตามนโยบายเพื่อพิสูจน์ว่าทำลายตามกระบวนการ

รายการตรวจระบบข้อมูลสุขภาพ

• แยกผลดิบ ความเห็นแพทย์ สมุดสุขภาพ และข้อมูลรวมตามผู้ใช้
• มีทะเบียนแฟ้มรายบุคคลพร้อมปัจจัยเสี่ยง ครั้งตรวจ สถานะ และตำแหน่งเก็บ
• วันทบทวนคำนวณจากวันสิ้นสุดการจ้างและติดธงระยะ 2 หรือ 10 ปีถูกต้อง
• สิทธิอ่าน แก้ ดาวน์โหลด และส่งออกแยกตามบทบาท
• ประวัติการเปิดดูและการส่งออกได้รับการตรวจจริง
• กระดาษอยู่ในตู้และห้องควบคุม ส่วนไฟล์เข้ารหัส สำรอง และกู้คืนได้
• การแจ้งผลยืนยันตัวผู้รับ มีหลักฐานวันแจ้ง และมีช่องทางถาม
• หัวหน้างานได้รับข้อจำกัดที่จำเป็นโดยไม่รับผลดิบเกินหน้าที่
• การแก้ไขรักษาฉบับเดิม เหตุผล ผู้แก้ และรุ่นล่าสุด
• กระบวนการสิ้นสุดการจ้างมอบสมุดสุขภาพและยังรักษาชุดนายจ้างตามระยะ
• การย้ายระบบตรวจความครบ สิทธิ และการค้นคืนก่อนปิดระบบเดิม
• การทำลายผ่านการทบทวน อนุมัติ และมีหลักฐานโดยไม่สร้างข้อมูลสุขภาพซ้ำ

แฟ้มสุขภาพที่ดีต้องอยู่ครบเมื่อแพทย์ ลูกจ้าง หรือพนักงานตรวจมีเหตุใช้ และยังคงปิดสำหรับคนที่ไม่มีหน้าที่ ระยะเก็บจึงต้องทำงานร่วมกับสิทธิ การแจ้งผล การส่งมอบ การสำรอง และการทำลาย เมื่อองค์กรแยกข้อมูลตามวัตถุประสงค์และบันทึกทุกการเคลื่อนย้ายได้ ผลตรวจจะทำหน้าที่คุ้มครองสุขภาพโดยไม่กลายเป็นข้อมูลที่กระจายเกินควบคุม