7 ก.ย.64 - นพ.ธงชัย​ กีรติ​หั​ต​ถ​ยากร​ รอง​ปลัด​สาธารณสุข​ แถลงข่าวกรณีแฮกข้อมูลผู้ป่วยว่า มีรายงานข่าวว่ามีการขายข้อมูลของโรงพยาบาลเพชรบูรณ์​ ทางอินเทอร์เน็ต ​เมื่อวันที่ 5 ก.ย.2564 ซึ่งเราได้มีการตั้งคณะกรรมการในวันดังกล่าว เพื่อลงไปตรวจสอบข้อเท็จจริง​ รวมถึงประเมินความเสียหาย  จากการตรวจสอบพบว่าการขายข้อมูลดังกล่าวไม่ได้อยู่ในฐานข้อมูลหลัก ในการบริการปกติของโรงพยาบาล  โดยขณะนี้โรงพยาบาลสามารถดูแลคนไข้ได้อย่างปกติ

นพ.ธงชัย กล่าวว่า ทั้งนี้ฐานข้อมูลที่ได้ไปเป็นฐานข้อมูลที่เจ้าหน้าที่ได้มีการทำโปรแกรมขึ้นมาใหม่ ​เพื่ออำนวยความ​สะดวก​ในการดูแลคนไข้  ซึ่งเจ้าหน้าที่นำไปแปะไว้กับเซิร์ฟเวอร์​ เช่น แพทย์มีคนไข้รายหนึ่ง​นอนอยู่ที่โรงพยาบาล จะต้องมีการตรวจสอบชาร์ตว่าหลังจากโรงพยาบาล​แล้ว เพื่อสรุปชาร์ตการรักษา และระบุแพทย์คนใดที่ให้การรักษา  ซึ่งตรงนี้เป็นฐานข้อมูล​ผู้ป่วยอยู่ประมาณ 10,095 ราย  นอกจากนี้ มีอีกฐานข้อมูล ซึ่งเป็นฐานข้อมูลผู้ป่วย เบอร์โทรศัพท์ติดต่อ เพื่อใช้ในการนัดหมายผู้ป่วย  อีกส่วนเป็นฐานข้อมูลตารางเวรแพทย์  นอกจากนี้ยังมีฐานข้อมูลคำนวณราย​จ่าย​ในการผ่า​ตัด​มีทั้งหมด 692 ราย เพื่อใช้ในการจัดซื้ออุปกรณ์​ ต่างๆ  ซึ่งไม่เกี่ยวข้องกับฐานข้อมูลรายละเอียด​เกี่ยวกับการวินิจฉัยโรค​ การรักษา หรือผลแล็บ​ใดๆทั้งสิ้น

"ยืนยันว่าฐานข้อมูลทั้งหมดไม่ได้อยู่ในฐานข้อมูลของการรักษาพยาบาลทั่วๆไป​ของโรงพยาบาล​ เป็นฐานข้อมูลที่โรงพยาบาล​ได้สร้างเว็บ​เพจขึ้นมาอีกอันหนึ่ง แต่แปะอยู่ใน​เซิร์ฟเวอร์​เดียวกันกับของโรงพยาบาล ณ วันนี้ระบบของโรงพยาบาล​ยังสามารถดำเนินการได้ตามปกติ  เพราะฉะนั้นฐานข้อมูลทุกอย่างยังอยู่" นพ.ธงชัย กล่าว

นพ.ธงชัย ยังกล่าวอีกว่า อย่างไรก็ตาม ขณะนี้ได้มีการตรวจสอบเรื่องความเสี่ยง และแบ็คอัพข้อมูลทั้งหมด​ และเช็ก​ข้อมูลทั้งหมดว่า ยังมีอะไรซ่อนอยู่ในเว็บหรือเซิร์ฟเวอร์อีก​หรือไม่ โดยร่วมกับสำนักงานคณะกรรมการ​รักษาความมั่นคงปลอดภัยไซเบอ​ร์แห่งชาติ  กระทรวงดิจิตอล​ เพื่อเศรษฐกิจ​ และสังคม (ดีอี)​ กับกระทรวงสาธารณสุข​ จึงกราบขอโทษทุกท่าน

"ต้องกราบโทษทุกท่าน ทางโรงพยาบาลไม่ประสงค์ให้ใครมาแฮ็ก​ข้อมูลไปได้  ผู้บริหารทุกระดับได้รับทราบ และสั่งการให้ทางสธ. กระทรวงดีอี ลงไปช่วยเหลือ ดูแล และประเมินสถานการณ์​ทันที ในพื้นที่ว่ามีความสูญเสียอย่างไรบ้าง และเฝ้าระวังอย่างไรบ้าง โดยระบบของเรายังยืนยันกับทางรพ." นพ.ธงชัยกล่าว

ด้านนพ.อนันต์ กนกศิลป์​ ผอ.​ศูนย์​เทคโนโลยี​สารสนเทศ​ และการสื่อสาร​ สำนักงานปลัด สธ. กล่าวว่า ​ เซิร์ฟเวอร์​ของรพ.เพชรบูรณ์ ที่ถูกโจมตีเป็น​เซิร์ฟเวอร์​ที่แยกออกมาต่างหาก ใช้สำหรับการประสานงานภายในโรงพยาบาล ไม่ได้เกี่ยวข้องในการบริการผู้ป่วยโดยตรง และอยู่ภายใต้การปกป้องด้วย Fire wall ของโรงพยาบาล​ เพียงแต่ว่าโรงพยาบาล​ได้ใช้โปรแกรมที่เป็นโอเพ่นซอฟต์ ซึ่งอาจทำให้มีจุดอ่อน สามารถบุกรุกได้ จากการตรวจสอบเบื้องต้นไม่พบว่ามีการบุกรุกข้ามไปยังเซิร์ฟเวอร์​ตัวอื่น ทั้งนี้ เมื่อโรงพยาบาลเพชรบูรณ์​ ทราบเรื่อง ได้มีการตัดการเชื่อมต่อจากภายนอกทั้งหมด รวมถึงตรวจสอบความเสียหายเบื้องต้น ระบบการให้บริการยังสามารถทำได้ตามปกติ ทั้งนี้ จากการที่ข้อมูลรั่วไหลในครั้งนี้ ผู้กระทำการไม่ได้มีการเรียกร้องเงิน หรือทรัพย์สิน​ใดๆ เพียงแต่นำไปประกาศขายในเว็บไซต์​

ด้านนายสุทธิพงษ์ วสุโสภาพล รองเลขาธิการ​คณะกรรมการ​สุขภาพ​แห่งชาติ กล่าวว่า สำหรับการคุ้มครอง​ข้อมูล​ส่วนบุคคล​ด้านสุขภาพ มีพระราชบัญญัติ​ด้านสุขภาพ 2550 มาตรา 7 ซึ่งระบุว่าข้อมูลสุขภาพ​ของบุคคล​เป็นความลับส่วน​บุคคล ผู้ใดจะนำไปเปิดเผยที่จะทำให้ข้อมูลบุคคลนั้นเสียหายไม่ได้ เว้นแต่การเปิดเผยเป็นไปตาสความประสงค์​ของบุคคลนั้นโดยตรง แต่ในกรณีใดๆก็ตาม ผู้ใดจะอาศัยอำนาจตามสิทธิ​ของกฎหมาย​ว่าด้วยข้อมูลข่าวสาร​ทางราชการ​หรือกฎหมาย​อื่น เพื่อขอเอกสารข้อมูลด้านสุขภาพของบุคคลที่ไม่ใช่ของตนไม่ได้ เพื่อคุ้มครอง​องสิทธิ​ของผู้ป่วยและผู้รับบริการสุขภาพ จากกรณีดังกล่าว เห็นได้ชัดว่าอาจจะก่อให้เกิดความเสียหายกับผู้ป่วยได้ ดังนั้น การกระทำในลักษณะ​นี้​ ถ้าหากสร้างความเสียหายให้เกิดขึ้น ถือว่าเป็นการละเมิดสิทธิส่วนบุคคล ในมาตรา 49 ได้ระบุโทษขำคุกไม่เกิน 6 เดือน หรือปรับไม่เกิน 6 หมื่นบาท หรือทั้งจำทั้งปรับ ทั้งนี้ความผิดสามารถยอมความได้ โดยผู้เสียหายสามารถเจรจาไกล่เกลี่ย​กับผู้ละเมิดได้