Data Retention คืออะไร? คู่มือสำหรับองค์กรการเงิน ประกัน และธุรกิจที่มีความเสี่ยงสูง

Data Retention คือการกำหนดระยะเวลาที่องค์กรจะเก็บข้อมูลส่วนบุคคลแต่ละประเภทไว้ได้นานเท่าใด และต้องทำอะไรต่อเมื่อครบกำหนด เช่น ลบทิ้ง ทำให้ไม่ระบุตัวตน หรือย้ายเข้าคลังเก็บที่จำกัดสิทธิ์เข้าถึง สำหรับองค์กรการเงิน ประกัน และธุรกิจความเสี่ยงสูง ตารางเก็บรักษาข้อมูลต้องอิงทั้งกฎหมายเฉพาะธุรกิจและหลักการเก็บเท่าที่จำเป็นของ PDPA ไปพร้อมกัน งานนี้ต้องต่อยอดจาก Data Inventory และ Data Mapping ที่ทำให้รู้ก่อนว่ามีข้อมูลอะไรอยู่ที่ไหน

ทีมกฎหมายในสถาบันการเงินและบริษัทประกันจำนวนไม่น้อยเชื่อว่ายิ่งเก็บข้อมูลลูกค้าไว้นานเท่าไหร่ยิ่งปลอดภัยเท่านั้น เผื่อวันหนึ่งหน่วยงานกำกับดูแลย้อนกลับมาขอหลักฐานเก่าแล้วตอบไม่ได้ ความเข้าใจนี้กลับตรงข้ามกับหลักการที่ PDPA วางไว้ เพราะข้อมูลส่วนบุคคลที่เก็บเกินความจำเป็นไม่ได้เพิ่มความมั่นคง แต่เพิ่มพื้นผิวความเสี่ยงทุกครั้งที่มีเหตุข้อมูลรั่วไหลหรือถูกร้องขอสิทธิ์แบบกลุ่มก้อน ยิ่งฐานข้อมูลเก่าที่ไม่มีใครดูแลใหญ่ขึ้นเท่าไหร่ ต้นทุนของการตอบคำร้องหรือการสอบสวนก็ยิ่งบานปลายตามไปด้วย งาน Data Retention ที่ดีจึงไม่ใช่การเก็บให้นานที่สุด แต่คือการกำหนดว่าข้อมูลแต่ละประเภทควรอยู่นานเท่าไหร่ แล้วลบหรือทำให้ไม่ระบุตัวตนเมื่อหมดความจำเป็นจริง ๆ

Data Retention คืออะไร ต่างจาก Data Inventory และ Data Mapping อย่างไร

Data Retention หมายถึงการกำหนดระยะเวลาที่องค์กรจะเก็บรักษาข้อมูลส่วนบุคคลแต่ละหมวดไว้ได้นานเท่าใด และขั้นตอนที่ต้องทำเมื่อครบกำหนดเวลานั้น เช่น ลบทิ้งถาวร ทำให้ไม่สามารถระบุตัวตนได้อีก หรือย้ายเข้าคลังเก็บถาวรที่จำกัดสิทธิ์การเข้าถึงอย่างเข้มงวด งานนี้แตกต่างจาก Data Inventory ซึ่งเป็นบัญชีรายการที่บอกว่าองค์กรมีข้อมูลอะไรอยู่บ้างและเก็บไว้ที่ระบบใด และแตกต่างจาก Data Mapping ซึ่งติดตามเส้นทางที่ข้อมูลไหลจากระบบหนึ่งไปอีกระบบหนึ่งหรือส่งต่อให้ผู้ให้บริการภายนอก Data Retention เข้ามาทำงานเป็นขั้นถัดไปจากทั้งสองงานนั้น เพราะต้องรู้ก่อนว่ามีข้อมูลอะไรอยู่ที่ไหน และไหลไปที่ใดบ้าง จึงจะกำหนดระยะเวลาการเก็บที่เหมาะสมกับแต่ละปลายทางได้จริง ธุรกิจการเงินและกลุ่มประกันภัยมีความซับซ้อนเป็นพิเศษ เพราะข้อมูลชุดเดียวกันอาจต้องอยู่ภายใต้ระยะเวลาเก็บที่ต่างกันในแต่ละระบบ เช่น ข้อมูลธุรกรรมในระบบบัญชีอาจต้องเก็บตามอายุความทางบัญชี ขณะที่สำเนาเดียวกันในระบบการตลาดอาจต้องลบเร็วกว่านั้นมาก ความซับซ้อนนี้ยิ่งทวีคูณขึ้นเมื่อข้อมูลชุดเดียวกันถูกส่งต่อให้พันธมิตรทางธุรกิจหรือผู้รับประมวลผลภายนอก เพราะแต่ละฝ่ายอาจมีนโยบายเก็บข้อมูลของตัวเองที่ไม่ตรงกับองค์กรต้นทาง หากไม่มีสัญญาประมวลผลข้อมูลที่ระบุระยะเวลาเก็บไว้ชัดเจน ก็แทบเป็นไปไม่ได้ที่จะควบคุมว่าข้อมูลลูกค้าจะถูกลบเมื่อใดในทุกจุดที่มันไปถึง

ตัวอย่างสถานการณ์: เมื่อข้อมูลเก่าเก็บนานเกินจำเป็นกลายเป็นความเสี่ยง

ลองนึกภาพบริษัทประกันภัยขนาดกลางแห่งหนึ่งที่ย้ายระบบพิจารณาสินไหมมาใช้แพลตฟอร์มใหม่เมื่อสี่ปีก่อน ทีมไอทีคัดลอกฐานข้อมูลผู้เอาประกันเก่าทั้งหมดไปไว้ในระบบใหม่เพื่อความสะดวก แต่ไม่มีใครลบสำเนาเก่าที่อยู่ในเซิร์ฟเวอร์เดิมออก เมื่อเกิดเหตุการณ์เซิร์ฟเวอร์เก่าถูกเข้าถึงโดยไม่ได้รับอนุญาต ข้อมูลที่รั่วไหลออกไปกลับมีจำนวนมากกว่าที่ทีมกฎหมายคาดไว้หลายเท่า เพราะรวมถึงผู้เอาประกันที่กรมธรรม์หมดอายุไปแล้วนานกว่าสิบปีและไม่มีความจำเป็นทางธุรกิจใดที่ต้องเก็บข้อมูลไว้อีกต่อไป กรณีแบบนี้เกิดขึ้นซ้ำแล้วซ้ำเล่าในหลายองค์กร เพราะการย้ายระบบมักโฟกัสที่การนำข้อมูลเข้าไปใช้งานต่อ แต่ไม่มีขั้นตอนบังคับให้ลบระบบเดิมออกเมื่อภารกิจการย้ายเสร็จสิ้น

ทำไมองค์กรการเงิน ประกัน และธุรกิจความเสี่ยงสูงต้องมีตารางเก็บรักษาข้อมูลที่ชัดเจน

ธุรกิจในกลุ่มนี้มักอยู่ภายใต้กฎหมายเฉพาะที่กำหนดระยะเวลาเก็บเอกสารขั้นต่ำไว้อยู่แล้ว เช่น หลักฐานการทำธุรกรรมทางการเงิน หลักฐานยืนยันตัวตนลูกค้า หรือเอกสารประกอบการพิจารณาสินไหมของกลุ่มธุรกิจประกันภัย ตัวเลขเหล่านี้เป็นระยะขั้นต่ำที่ต้องเก็บให้ครบ แต่ไม่ได้แปลว่าเก็บได้ตลอดไปหลังพ้นช่วงนั้น หลักการเก็บเท่าที่จำเป็นของ PDPA กำหนดให้เมื่อพ้นระยะเวลาที่กฎหมายเฉพาะกำหนดหรือพ้นวัตถุประสงค์ทางธุรกิจแล้ว องค์กรต้องลบหรือทำให้ข้อมูลไม่สามารถระบุตัวตนได้ ปัญหาที่พบบ่อยในทางปฏิบัติคือทีมกฎหมายกำหนดกฎเกณฑ์ไว้ในนโยบายแล้ว แต่ทีมไอทีไม่มีกลไกลบข้อมูลตามกำหนดจริง ทำให้ข้อมูลลูกค้าเก่าหลายปีก่อนยังนอนอยู่ในฐานข้อมูลการตลาดหรือระบบสำรองข้อมูล เมื่อเกิดเหตุข้อมูลรั่วไหลหรือมีคำร้องขอใช้สิทธิ์แบบกลุ่มก้อน ข้อมูลที่ควรถูกลบไปนานแล้วกลับกลายเป็นส่วนหนึ่งของความเสียหายที่ต้องรายงานเพิ่มเติมโดยไม่จำเป็น

ขั้นตอนสร้างระบบ Data Retention สำหรับองค์กรความเสี่ยงสูง

การวางระบบเก็บรักษาข้อมูลที่ใช้งานได้จริงในองค์กรขนาดใหญ่มักผ่านลำดับขั้นต่อไปนี้

• รวบรวมระยะเวลาเก็บขั้นต่ำตามกฎหมายเฉพาะธุรกิจของแต่ละหมวดข้อมูล เช่น กฎหมายบัญชี กฎหมายควบคุมธุรกิจประกันภัย หรือประกาศของหน่วยงานกำกับดูแลภาคการเงิน
• จับคู่ระยะเวลาขั้นต่ำนั้นกับผลลัพธ์จากงาน Data Inventory และ Data Mapping เพื่อรู้ว่าแต่ละหมวดข้อมูลอยู่ในระบบใดบ้างและมีสำเนาอยู่ที่ไหนบ้าง
• กำหนดระยะเวลาการเก็บที่ชัดเจนต่อหมวดข้อมูล ไม่ใช่กำหนดแบบเหมารวมทั้งองค์กรเป็นตัวเลขเดียว
• ออกแบบกลไกลบหรือทำให้ไม่ระบุตัวตนแบบอัตโนมัติ แทนการพึ่งพาให้พนักงานจำมาลบเอง
• ตรวจสอบระบบสำรองข้อมูลแยกต่างหาก เพราะการลบในระบบใช้งานจริงไม่ได้แปลว่าสำเนาสำรองถูกลบตามไปด้วย
• จัดทำเอกสารตารางเก็บรักษาข้อมูลให้ผู้ตรวจสอบภายในหรือเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลเรียกดูได้ทุกเมื่อ

รายละเอียดเชิงปฏิบัติของแต่ละขั้นตอนอ่านเพิ่มเติมได้ใน วิธีสร้างระบบ Data Retention สำหรับองค์กรการเงินและประกัน

สิ่งที่ทีม Audit ควรตรวจสอบเป็นระยะ

การตรวจสอบ Data Retention ไม่ใช่งานที่ทำครั้งเดียวจบ เพราะระบบใหม่ถูกเพิ่มเข้ามาตลอดเวลา และผู้ให้บริการภายนอกบางรายอาจเปลี่ยนนโยบายการเก็บข้อมูลโดยไม่แจ้งล่วงหน้า ทีม Audit ควรสุ่มตรวจว่าข้อมูลที่ควรถูกลบไปแล้วตามตารางยังหลงเหลืออยู่ในระบบใดหรือไม่ ตรวจสอบว่าระบบสำรองข้อมูลมีรอบการลบที่สอดคล้องกับนโยบายหรือไม่ และเก็บหลักฐานการลบ เช่น รายการบันทึกการลบหรือใบรับรองการทำลายสื่อบันทึกข้อมูล ไว้เป็นหลักฐานย้อนหลัง ทีมตรวจสอบภายในควรกำหนดรอบตรวจสอบอย่างน้อยปีละครั้ง และควรทำเมื่อองค์กรมีการเปลี่ยนระบบหลักหรือเปลี่ยนผู้ให้บริการภายนอกรายใหญ่ด้วย เพราะจุดเปลี่ยนเหล่านี้เป็นช่วงที่ข้อมูลเก่ามีโอกาสตกค้างในระบบที่ถูกปลดระวางมากที่สุด การสัมภาษณ์เจ้าของระบบแต่ละแผนกสั้น ๆ ควบคู่กับการดูบันทึกจริงในฐานข้อมูลมักเผยให้เห็นช่องว่างที่เอกสารนโยบายเพียงอย่างเดียวมองไม่เห็น ทีม Audit บางองค์กรเลือกใช้วิธีสุ่มดึงข้อมูลลูกค้าที่ครบกำหนดเก็บมาตรวจเป็นล็อตเล็ก ๆ ทุกไตรมาส แทนการรอตรวจทั้งฐานข้อมูลปีละครั้ง เพราะการตรวจถี่ขึ้นในสเกลเล็กช่วยจับความผิดพลาดได้เร็วกว่าและแก้ไขได้ก่อนที่ปัญหาจะสะสมจนกลายเป็นความเสี่ยงใหญ่ รายการตรวจสอบแบบละเอียดสำหรับงาน audit ดูเพิ่มเติมได้ใน คู่มือ Audit Data Retention สำหรับองค์กรการเงิน

เช็กลิสต์ก่อนประกาศใช้ตารางเก็บรักษาข้อมูล

ก่อนประกาศใช้ตารางเก็บรักษาข้อมูลจริงในองค์กร ควรตรวจสอบว่าทุกหมวดข้อมูลมีระยะเวลาเก็บที่ระบุชัดเจน มีเจ้าของข้อมูลรับผิดชอบ มีกลไกลบที่ทดสอบแล้วว่าใช้งานได้จริง และมีการสื่อสารกับทุกทีมที่เกี่ยวข้องก่อนบังคับใช้ องค์กรขนาดใหญ่หลายแห่งพลาดตรงที่ประกาศนโยบายให้พนักงานอ่านผ่านอีเมลเพียงครั้งเดียว โดยไม่ได้ฝึกอบรมทีมที่ดูแลระบบให้เข้าใจว่าต้องตั้งค่าการลบอัตโนมัติอย่างไร ผลคือแม้นโยบายจะถูกต้องบนกระดาษ แต่ระบบจริงยังคงเก็บข้อมูลไว้เกินกำหนดเพราะไม่มีใครไปตั้งค่าให้ตรงกัน การทดสอบรันกลไกลบจริงในสภาพแวดล้อมทดสอบก่อนใช้งานจริงจึงเป็นขั้นตอนที่ไม่ควรข้าม รายการตรวจสอบทีละข้อสำหรับทีมกฎหมายและไอทีดูได้ใน เช็กลิสต์ Data Retention สำหรับองค์กรการเงิน ซึ่งลงรายละเอียดมากกว่าคู่มือภาพรวมนี้

อัปเดตปี 2026 อะไรเปลี่ยนไปที่ควรตรวจสอบซ้ำ

ระยะเวลาเก็บข้อมูลตามกฎหมายเฉพาะธุรกิจการเงินและประกันมีการทบทวนเป็นระยะจากหน่วยงานกำกับดูแล องค์กรควรตรวจสอบทุกปีว่าประกาศหรือแนวปฏิบัติที่อ้างอิงอยู่ยังเป็นฉบับล่าสุดหรือไม่ โดยเฉพาะกรอบแนวคิดอย่าง NIST Privacy Framework ที่ใช้ทบทวนแนวทางบริหารความเสี่ยงข้อมูลส่วนบุคคลอย่างต่อเนื่อง รายละเอียดสิ่งที่ต้องตรวจซ้ำในปี 2026 อ่านได้ใน อัปเดต Data Retention ปี 2026 สำหรับองค์กรการเงิน งานด้านการไหลของข้อมูลที่เกี่ยวข้องกันดูได้ใน วิธีทำ Data Mapping สำหรับองค์กรการเงิน เพราะตารางเก็บรักษาข้อมูลต้องอิงจากเส้นทางข้อมูลที่แผนที่นั้นเปิดเผยไว้

ข้อผิดพลาดที่พบบ่อยในการทำ Data Retention

ข้อผิดพลาดส่วนใหญ่ที่พบในองค์กรการเงินและประกันไม่ได้เกิดจากการไม่รู้ว่าควรทำอะไร แต่เกิดจากช่องว่างระหว่างนโยบายที่เขียนไว้กับสิ่งที่ระบบจริงทำ ทีมกฎหมายมักออกแบบกฎเกณฑ์ได้ถูกต้องตามหลักการ แต่ไม่มีกลไกติดตามว่าทีมไอทีนำไปปฏิบัติจริงหรือไม่ ยิ่งองค์กรมีระบบเก่าจำนวนมากที่สะสมมาหลายปี ช่องว่างนี้ก็ยิ่งขยายใหญ่ขึ้นตามลำดับ

• กำหนดระยะเวลาเก็บแบบเหมารวมเป็นตัวเลขเดียวทั้งองค์กร ทั้งที่แต่ละหมวดข้อมูลมีเหตุผลทางกฎหมายต่างกัน
• มีนโยบายเป็นลายลักษณ์อักษรแต่ไม่มีกลไกลบข้อมูลจริงในระบบ ทำให้นโยบายกับการปฏิบัติจริงห่างกันมาก
• ลืมตรวจสอบระบบสำรองข้อมูล ทำให้ข้อมูลที่ลบจากระบบใช้งานจริงแล้วยังคงอยู่ในไฟล์สำรองเก่าเป็นปี
• ไม่มีเจ้าของข้อมูลที่ชัดเจนต่อหมวดข้อมูล ทำให้เมื่อเกิดปัญหาไม่มีใครรับผิดชอบตรวจสอบ
• ไม่ทบทวนตารางเก็บรักษาข้อมูลเมื่อมีระบบใหม่หรือผู้ให้บริการภายนอกรายใหม่เข้ามา

สรุป

Data Retention สำหรับองค์กรการเงิน ประกัน และธุรกิจความเสี่ยงสูงคือการหาจุดสมดุลระหว่างข้อกำหนดทางกฎหมายที่บังคับให้เก็บข้อมูลไว้ระยะหนึ่ง กับหลักการเก็บเท่าที่จำเป็นของ PDPA ที่บังคับให้ลบเมื่อพ้นความจำเป็นนั้น งานนี้ต้องต่อยอดจากบัญชีข้อมูลและแผนที่การไหลของข้อมูลที่ทำไว้ก่อนหน้า แล้วแปลงเป็นตารางเก็บรักษาข้อมูลที่มีกลไกลบจริง ไม่ใช่แค่เอกสารนโยบายที่วางไว้เฉย ๆ องค์กรที่ทำเรื่องนี้อย่างจริงจังจะลดต้นทุนและความเสี่ยงเมื่อต้องตอบคำร้องหรือรับมือเหตุการณ์ข้อมูลรั่วไหลในอนาคต

แหล่งข้อมูลอ้างอิง

เนื้อหานี้อ้างอิงแนวทางจาก NIST Privacy Framework ซึ่งเป็นกรอบการบริหารความเสี่ยงด้านข้อมูลส่วนบุคคลที่ใช้อ้างอิงในหลายประเทศ โปรดตรวจสอบกฎหมายเฉพาะธุรกิจการเงินและประกันของไทยที่บังคับใช้อยู่จริงประกอบด้วยเสมอ เพราะระยะเวลาเก็บขั้นต่ำอาจแตกต่างกันไปตามประเภทธุรกิจและประกาศของหน่วยงานกำกับดูแลแต่ละแห่ง ทีมกฎหมายควรกำหนดผู้รับผิดชอบติดตามประกาศใหม่จากหน่วยงานกำกับดูแลอย่างต่อเนื่อง แทนที่จะตรวจสอบเพียงครั้งเดียวตอนเริ่มโครงการ เพราะระยะเวลาเก็บขั้นต่ำบางประเภทเคยถูกปรับเปลี่ยนมาแล้วในอดีตเมื่อมีการทบทวนกฎเกณฑ์ภาคการเงิน ดูภาพรวมของหมวด Data Governance เพิ่มเติมได้ที่ ศูนย์ความรู้ Data Governance ของ trusty