Presented at the Thai Medical Informatics Association Annual Conference and The National Conference on Medical Informatics (TMI-NCMedInfo 2016) on November 25, 2016.

1. 1
Personal Healthcare and
Patient Privacy
นพ.นวนรรน ธีระอัมพรพันธุ์
25 พ.ย. 2559
http://www.slideshare.net/nawanan

2. 2
2546 แพทยศาสตรบัณฑิต
2554 Ph.D. (Health Informatics), Univ. of Minnesota
อาจารย์ ภาควิชาเวชศาสตร์ชุมชน
คณะแพทยศาสตร์โรงพยาบาลรามาธิบดี
ความสนใจ: Health IT, Social Media, Security & Privacy
nawanan.the@mahidol.ac.th
SlideShare.net/Nawanan
Nawanan Theera-Ampornpunt
แนะนำตัว
www.facebook.com/InformaticsRound

3. 3
Outline
• Personal Healthcare
• กฎหมายและ Case Studies Security/Privacy
กับข้อมูลผู้ป่วย

4. 4
Personal Healthcare

5. 5
• Richard Davies deBronkart Jr.
• Cancer survivor & blogger
• Found proper cancer treatment
through online social network
after diagnosis
• Activist for participatory
medicine & patient engagement
through information technology
Meet E-Patient Dave
http://www.epatientdave.com/

6. 6
• Not “Electronic” Patient
• Engaged
• Equipped
• Empowered
• Educated
• Enlightened
• Etc.
Dave’s E-Patient Definition
From Dr. Danny Sands’ tutorial presentation at AMIA2013

7. 7
Personal Health Records (PHRs)
• “An electronic application through which individuals can
access, manage and share their health information, and
that of others for whom they are authorized, in a private,
secure, and confidential environment.” (Markle Foundation, 2003)
• “A PHR includes health information managed by the
individual... This can be contrasted with the clinician’s
record of patient encounter–related information [a
paperchart or EHR], which is managed by the clinician
and/or health care institution.” (Tang et al., 2006)

8. 8
Types of PHRs
• Patient portal from a provider’s EHRs (“tethered”
PHRs)
• Online PHRs
– Stand-alone
– Can be integrated with EHRs from multiple providers
(unidirectional/bidirectional data sharing)
• Stand-alone PHRs
– PC-based applications
– USB Drive
– CD-ROM or other data storage devices
– Paper

9. 9
Ideal PHRs
The “Hub and Spoke” Model
(Kaelber et al., 2008)

10. 10
PHR’s “Break the Glass” Emergency Access

11. 11
ความฝันอันสูงสุด...
My Life-Long Dream...

12. 12
Hospital A Hospital B
Clinic C
Government
Lab Patient at Home
“ATM in Healthcare”
Health Information Exchange (HIE)

13. 13
เรื่องจริงที่น่าผิดหวัง...

14. 14
ปัจจัยหนึ่งในการขับเคลื่อน Health
Information Exchange และ PHRs &
Personal Healthcare ให้สาเร็จ:
Trust in the System by Patients and
Providers --> Privacy

15. 15
กฎหมำยและ Case Studies
ด้ำน Patient Privacy

16. 16
Case Study #1: Privacy & Hoax
http://news.sanook.com/1262964/

17. 17
Case Study #2: ภัย Privacy กับโรงพยำบำล
http://usatoday30.usatoday.com/life/people/2007-10-10-clooney_N.htm

18. 18
Case Study #3: Privacy

19. 19
Security/Privacy
กับข้อมูลผู้ป่วย

20. 20
Security & Privacy
http://en.wikipedia.org/wiki/A._S._Bradford_House

21. 21
Case Study #4: Privacy
http://pantip.com/topic/35330409/

22. 22
หลักจริยธรรมที่เกี่ยวกับ Privacy
• Autonomy (หลักเอกสิทธิ์/ความเป็นอิสระของผู้ป่วย)
• Beneficence (หลักการรักษาประโยชน์สูงสุดของผู้ป่วย)
• Non-maleficence (หลักการไม่ทาอันตรายต่อผู้ป่วย)
“First, Do No Harm.”

23. 23
Hippocratic Oath
...
What I may see or hear in the course of
treatment or even outside of the treatment
in regard to the life of men, which on no
account one must spread abroad, I will keep
myself holding such things shameful to be
spoken about.
...
http://en.wikipedia.org/wiki/Hippocratic_Oath

24. 24
กฎหมำยที่เกี่ยวข้องกับ Privacy
• พรบ.สุขภาพแห่งชาติ พ.ศ. 2550
• มาตรา 7 ข้อมูลด้านสุขภาพของบุคคล เป็นความลับส่วน
บุคคล ผู้ใดจะนาไปเปิดเผยในประการที่น่าจะทาให้บุคคลนั้น
เสียหายไม่ได้ เว้นแต่การเปิดเผยนั้นเป็นไปตามความประสงค์
ของบุคคลนั้นโดยตรง หรือมีกฎหมายเฉพาะบัญญัติให้ต้อง
เปิดเผย แต่ไม่ว่าในกรณีใด ๆ ผู้ใดจะอาศัยอานาจหรือสิทธิ
ตามกฎหมายว่าด้วยข้อมูลข่าวสารของราชการหรือกฎหมาย
อื่นเพื่อขอเอกสารเกี่ยวกับข้อมูลด้านสุขภาพของบุคคลที่ไม่ใช่
ของตนไม่ได้

25. 25
ประมวลกฎหมำยอำญำ
• มาตรา 323 ผู้ใดล่วงรู้หรือได้มาซึ่งความลับของผู้อื่นโดยเหตุที่เป็น
เจ้าพนักงานผู้มีหน้าที่ โดยเหตุที่ประกอบอาชีพเป็นแพทย์ เภสัชกร
คนจาหน่ายยา นางผดุงครรภ์ ผู้พยาบาล...หรือโดยเหตุที่เป็นผู้ช่วย
ในการประกอบอาชีพนั้น แล้วเปิดเผยความลับนั้นในประการที่
น่าจะเกิดความเสียหายแก่ผู้หนึ่งผู้ใด ต้องระวางโทษจาคุกไม่เกิน
หกเดือน หรือปรับไม่เกินหนึ่งพันบาท หรือทั้งจาทั้งปรับ
• ผู้รับการศึกษาอบรมในอาชีพดังกล่าวในวรรคแรก เปิดเผย
ความลับของผู้อื่น อันตนได้ล่วงรู้หรือได้มาในการศึกษาอบรมนั้น
ในประการที่น่าจะเกิดความเสียหายแก่ผู้หนึ่งผู้ใดต้องระวางโทษ
เช่นเดียวกัน

26. 26
คำประกำศสิทธิและข้อพึงปฏิบัติของผู้ป่วย
7. ผู้ป่วยมีสิทธิได้รับกำรปกปิดข้อมูลของตนเอง เว้นแต่
ผู้ป่วยจะให้ควำมยินยอมหรือเป็นกำรปฏิบัติตำมหน้ำที่
ของผู้ประกอบวิชำชีพด้ำนสุขภำพเพื่อประโยชน์โดยตรง
ของผู้ป่วยหรือตำมกฎหมำย

27. 27
ข้อควำมจริง บน
• "อาจารย์ครับ เมื่อวาน ผมออก OPD เจอ คุณ
... คนไข้... ที่อาจารย์ผ่าไปแล้ว มา ฉายรังสีต่อ
ที่... ตอนนี้ Happy ดี ไม่ค่อยปวด เดินได้สบาย
คนไข้ฝากขอบคุณอาจารย์อีกครั้ง -- อีกอย่าง
คนไข้ช่วงนี้ไม่ค่อยสะดวกเลยไม่ได้ไป กทม.
บอกว่าถ้าพร้อมจะไป Follow-up กับอาจารย์
ครับ"
Case Study #5: ข้อมูลผู้ป่วย บน Social Media

28. 28
แนวทำงกำรคุ้มครอง Privacy
• Informed consent
• Privacy culture
• User awareness building & education
• Organizational policy & regulations
 Enforcement
 Ongoing privacy & security assessments,
monitoring, and protection

29. 29
Case Study #6: Enforcement
Uniform Enforcement:
เรื่องเล่ำเกี่ยวกับ
ควำมน่ำรัก น่ำศรัทธำของผู้บริหำร
(ท่ำน ศ. นพ.รัชตะ รัชตะนำวิน)

30. 30
Line เสี่ยงต่อกำรละเมิด Privacy ผู้ป่วยได้อย่ำงไร?
• ข้อมูลใน Line group มีคนเห็นหลายคน
• ข้อมูลถูก capture หรือ forward ไป share ต่อได้
• ข้อมูล cache ที่เก็บใน mobile device อาจถูกอ่านได้
(เช่น ทาอุปกรณ์หาย หรือเผลอวางเอาไว้)
• ข้อมูลที่ส่งผ่าน network ไม่ได้เข้ารหัส
• ข้อมูลที่เก็บใน server ของ Line ทางบริษัทเข้าถึงได้ และ
อาจถูก hack ได้
• มีคนเดา Password ได้

31. 31
ทำงออกสำหรับกำร Consult Case ผู้ป่วย
• ใช้ช่องทางอื่นที่ไม่มีการเก็บ record ข้อมูล ถ้าเหมาะสม
• หลีกเลี่ยงการระบุหรือ include ชื่อ, HN, เลขที่เตียง หรือ
ข้อมูลที่ระบุตัวตนผู้ป่วยได้ (รวมทั้งในภาพ image)
• ใช้ app ที่ปลอดภัยกว่า
• Limit คนที่เข้าถึง
(เช่น ไม่คุยผ่าน Line group)
• ใช้อย่างปลอดภัย (Password, ดูแลอุปกรณ์ไว้กับตัว,
เช็ค malware ฯลฯ)

32. 32
Case Study #7: Passwords
Keylogger Attack:
เรื่องเล่ำจำกกิจกรรมชมรม
สมัยเป็นนักศึกษำแพทย์

33. 33
User Account Security
So, two informaticians
walk into a bar...
The bouncer says,
"What's the password."
One says, "Password?"
The bouncer lets them
in.
Credits: @RossMartin & AMIA (2012)

34. 34
What’s the Password?
Unknown Internet sources, via
http://pikabu.ru/story/interesno_kakoy_zhe_u_nikh_parol_4274737,
via Facebook page “สอนแฮกเว็บแบบแมวๆ”

35. 35
Case Study #8: Password ท่องง่ำย (แต่ก็ Hack ง่ำย)
Dictionary Attack:
เรื่องเล่ำจำกกำรเรียน
กำร Hack ระบบ ที่ USA

36. 36
Case Study #9: เรียกค่ำไถ่
Ransomware

37. 37
เครือข่ำยด้ำน IT ในองค์กร
Ramathibodi Computer
Emergency Readiness Team
(RamaCERT)

38. 38
Case Study #10: แชร์ไฟล์
File Sharing:
เรื่องเล่ำจำกชีวิต
นักศึกษำแพทย์รำมำธิบดี
(ที่อยำกรู้อยำกเห็น)

39. 39
http://pantip.com/topic/33678081
https://www.facebook.com/photo.php?fbid=971229119583658&set=a.37957656541558
6.90794.100000897364762&type=1&theater
Case Study #11: Selfie มีประเด็น

40. 40http://www.matichon.co.th/news_detail.php?newsid=1429341430
Case Study #12: ดูหมิ่นผู้ป่วย

41. 41
Case Study #13: ละเมิดผู้รับบริกำร
Disclaimer (นพ.นวนรรน): นาเสนอเป็น
กรณีศึกษาเพื่อการเรียนรู้เรื่อง Social Media
เท่านั้น ไม่มีเจตนาดูหมิ่น หรือทาให้ผู้ใด
เสียหาย และไม่มีเจตนาสร้างประเด็นทาง
การเมือง
ชื่อ สัญลักษณ์ หรือเครื่องหมายของบุคคล
หรือองค์กรใด เป็นเพียงการให้ข้อมูลแวดล้อม
เพื่อการทาความเข้าใจกรณีศึกษาเท่านั้น ไม่ใช่
การใส่ความว่าผู้นั้นกระทาการใด อันจะทาให้
ผู้นั้นเสียชื่อเสียง ถูกดูหมิ่น หรือถูกเกลียดชัง
โปรดใช้วิจารณญาณในการอ่านเนื้อหา

42. 42
http://manager.co.th/Entertainment/Vie
wNews.aspx?NewsID=9580000076405
Case Study #14: ละเมิดผู้รับบริกำร

43. 43
Case Study #15: มั่วนิ่ม เรื่องกฎหมำย

44. 44
กฎหมำยที่เกี่ยวข้องกับ Privacy
• พรบ.สุขภาพแห่งชาติ พ.ศ. 2550
• มาตรา 7 ข้อมูลด้านสุขภาพของบุคคล เป็นความลับส่วน
บุคคล ผู้ใดจะนาไปเปิดเผยในประการที่น่าจะทาให้บุคคลนั้น
เสียหายไม่ได้ เว้นแต่การเปิดเผยนั้นเป็นไปตามความประสงค์
ของบุคคลนั้นโดยตรง หรือมีกฎหมายเฉพาะบัญญัติให้ต้อง
เปิดเผย แต่ไม่ว่าในกรณีใด ๆ ผู้ใดจะอาศัยอานาจหรือสิทธิ
ตามกฎหมายว่าด้วยข้อมูลข่าวสารของราชการหรือกฎหมาย
อื่นเพื่อขอเอกสารเกี่ยวกับข้อมูลด้านสุขภาพของบุคคลที่ไม่ใช่
ของตนไม่ได้