อัปเดต Data Retention ปี 2026: สิ่งที่คลินิก โรงพยาบาล และธุรกิจสุขภาพต้องทบทวน

ต้นเดือนมกราคม 2569 ทีมกำกับดูแลข้อมูลของโรงพยาบาลแห่งหนึ่งเปิดตารางนโยบาย Data Retention ที่ปรับปรุงล่าสุดเมื่อสามปีก่อน แล้วพบว่าเซิร์ฟเวอร์เก็บภาพอัลตราซาวด์ที่ถูกปลดระวางไปแล้วยังมีไฟล์ผู้ป่วยตั้งแต่ปี 2561 ค้างอยู่ ขณะที่แผนกไอทีก็เพิ่งรู้ตัวว่าฮาร์ดดิสก์สำรองชุดเก่ายังไม่เคยถูกลบตามรอบที่ตกลงกันไว้เลย เหตุการณ์แบบนี้เกิดขึ้นซ้ำ ๆ กับคลินิก โรงพยาบาล และธุรกิจสุขภาพที่ตั้งนโยบายไว้ครั้งเดียวแล้วปล่อยผ่านไม่เคยทบทวนซ้ำ

บทความนี้พาไล่ทีละจุดที่ควรหยิบขึ้นมาตรวจก่อนเข้าปี 2569 อย่างเต็มปี โดยอิงกรอบแนวคิดจาก NIST Privacy Framework ที่เน้นการทบทวนระยะเวลาการเก็บข้อมูลเป็นรอบ ไม่ใช่การตั้งไว้ครั้งเดียวแล้วจบ

การทบทวน Data Retention ปี 2569 สำหรับธุรกิจสุขภาพควรตรวจสามเรื่องหลัก คือ ระยะเวลาการเก็บข้อมูลแต่ละประเภทยังสอดคล้องกับข้อบังคับและความจำเป็นทางธุรกิจหรือไม่ กลไกการลบหรือทำข้อมูลนิรนามเมื่อครบกำหนดยังทำงานจริงในทุกระบบหรือไม่ และข้อมูลในระบบสำรอง (backup) ถูกนับรวมอยู่ในตารางทบทวนด้วยหรือเพิ่งถูกมองข้ามไป การปรับนโยบายให้ทันปี 2569 ไม่ต้องเขียนใหม่ทั้งหมด แต่ต้องมีหลักฐานว่าทีมตรวจสอบจริงและแก้จุดที่หลุดรอด

สิ่งที่เปลี่ยนไปและควรทบทวนใหม่ในปี 2569

ธุรกิจสุขภาพในปี 2569 มีช่องทางเก็บข้อมูลผู้ป่วยมากขึ้นกว่าตอนที่หลายแห่งเขียนนโยบาย Data Retention ครั้งแรก คลินิกเล็กที่เคยมีแค่แฟ้มกระดาษกับระบบนัดหมายพื้นฐาน วันนี้อาจมีทั้งระบบเวชระเบียนอิเล็กทรอนิกส์ แอปนัดหมายผ่านไลน์ ระบบแล็บภายนอกที่ส่งผลตรวจกลับมาทางอีเมล และระบบเก็บภาพถ่ายทางการแพทย์แยกต่างหาก แต่ละระบบมีอายุข้อมูลและความเสี่ยงต่างกัน การใช้ตารางระยะเวลาเดียวครอบคลุมทุกอย่างจึงไม่ตอบโจทย์อีกต่อไป

สิ่งที่ควรทบทวนก่อนคือรายการประเภทข้อมูลที่องค์กรเก็บอยู่จริงในวันนี้ ไม่ใช่รายการที่เขียนไว้เมื่อหลายปีก่อน หลายแห่งเพิ่มบริการทางไกล เช่น การปรึกษาแพทย์ผ่านวิดีโอคอล ซึ่งสร้างไฟล์บันทึกการสนทนาและข้อความแชทที่ไม่เคยมีอยู่ในตารางเดิม ถ้าไม่รู้ว่ามีข้อมูลชนิดใหม่เกิดขึ้น ก็ไม่มีทางกำหนดระยะเวลาการเก็บที่เหมาะสมให้มันได้

ตัวอย่างที่พบบ่อยคือคลินิกทันตกรรมที่เริ่มใช้ระบบสแกนฟันสามมิติเมื่อสองปีก่อน ไฟล์สแกนแต่ละชิ้นมีขนาดใหญ่และเก็บอยู่บนคลาวด์ของผู้ผลิตเครื่องสแกนโดยตรง ไม่ใช่บนเซิร์ฟเวอร์ของคลินิกเอง เมื่อทีมงานทบทวนตาราง Retention ปีนี้จึงพบว่าไม่มีใครเคยคุยกับผู้ผลิตเครื่องเลยว่าเขาเก็บไฟล์เหล่านี้ไว้นานแค่ไหนหลังคลินิกยกเลิกสัญญา และมีช่องทางให้คลินิกสั่งลบไฟล์เฉพาะรายผู้ป่วยได้หรือไม่ กรณีแบบนี้สะท้อนว่าการเพิ่มอุปกรณ์หรือระบบใหม่ทุกครั้งควรมาพร้อมคำถามเรื่องระยะเวลาการเก็บข้อมูลตั้งแต่วันแรก ไม่ใช่ค่อยมาคิดทีหลัง

อีกกรณีหนึ่งคือโรงพยาบาลขนาดกลางที่มีทั้งเวชระเบียนกระดาษเก่าจากยุคก่อนใช้ระบบดิจิทัล และเวชระเบียนอิเล็กทรอนิกส์ที่ใช้อยู่ปัจจุบัน สองชุดนี้มักมีระยะเวลาการเก็บต่างกันตามกฎหมายที่เกี่ยวข้อง แต่ทีมงานที่ทบทวนมักมองแค่ระบบดิจิทัล แล้วลืมไปว่าแฟ้มกระดาษเก่าที่เก็บไว้ในห้องเก็บเอกสารก็ต้องมีรอบตรวจและรอบทำลายเช่นกัน ไม่ใช่ปล่อยกองไว้เพราะไม่มีใครอยากจัดการ

จุดที่ทีมข้อมูลสุขภาพมักมองข้ามเมื่อทบทวนตาราง Retention

จุดแรกที่มักหลุดคือไฟล์ที่ถูกส่งออกไปให้ผู้ให้บริการภายนอก เช่น แล็บที่รับตรวจเลือด บริษัทส่งข้อความแจ้งเตือนนัดหมาย หรือระบบเรียกเก็บเงินประกันสุขภาพ ข้อมูลชุดเดียวกันอาจถูกคัดลอกไปอยู่ในระบบของผู้ให้บริการเหล่านี้โดยไม่มีใครในองค์กรรู้ว่าเขาเก็บไว้นานแค่ไหน การทบทวน Retention จึงต้องไล่ถามคู่สัญญาแต่ละรายด้วย ไม่ใช่มองแค่ระบบภายใน

จุดที่สองคือรายชื่อผู้ป่วยเก่าที่เคยยกเลิกบริการไปแล้วแต่ยังอยู่ในฐานข้อมูลการตลาด เช่น รายชื่อที่เคยรับข้อความส่งเสริมโปรแกรมตรวจสุขภาพประจำปี บางแห่งลบผู้ป่วยออกจากระบบเวชระเบียนหลักแล้ว แต่ลืมลบชื่อเดียวกันออกจากระบบส่งอีเมลการตลาดที่แยกกันดูแลคนละทีม

จุดที่สามคือเครื่องคอมพิวเตอร์เก่าและอุปกรณ์ที่เลิกใช้แล้วแต่ยังไม่ได้ทำลายฮาร์ดดิสก์อย่างถูกวิธี คลินิกหลายแห่งเปลี่ยนเครื่องคอมพิวเตอร์ประจำเคาน์เตอร์ทุกสามถึงสี่ปี แต่เครื่องเก่ากลับถูกเก็บไว้ในห้องเก็บของหรือขายต่อโดยไม่มีใครตรวจว่าไฟล์ผู้ป่วยที่เคยบันทึกไว้ในเครื่องถูกลบออกอย่างสมบูรณ์แล้วหรือไม่ การทบทวนปีนี้จึงควรรวมการตรวจสอบอุปกรณ์ที่ปลดระวางย้อนหลังด้วย ไม่ใช่มองแค่ระบบที่ยังใช้งานอยู่

กลไกการลบและปัญหา Backup ที่หลุดรอด

เมื่อครบกำหนดระยะเวลาที่ตั้งไว้ ขั้นตอนถัดไปคือการลบแบบปลอดภัยหรือทำข้อมูลนิรนามให้ไม่สามารถระบุตัวผู้ป่วยได้อีก แต่ในทางปฏิบัติ การลบข้อมูลออกจากระบบหลักหรือระบบที่ใช้งานประจำวันไม่ได้แปลว่าข้อมูลหายไปจากทุกที่ ระบบสำรองข้อมูล (backup) ที่ทำสำเนาย้อนหลังทุกคืนมักเก็บไฟล์เวชระเบียนเก่าไว้นานกว่าระยะเวลาที่นโยบายกำหนด เพราะทีมไอทีตั้งรอบ backup แยกจากทีมที่ดูแลนโยบายความเป็นส่วนตัว

ช่องว่างนี้เรียกกันว่า backup-retention drift และเป็นปัญหาที่พบบ่อยมากในธุรกิจสุขภาพที่มีระบบเก่าหลายชุดต่อกันมาเรื่อย ๆ การมีตารางระยะเวลาเก็บข้อมูลที่เขียนไว้สวยงามไม่ได้แปลว่าข้อมูลจะถูกลบออกจากทุกที่ที่มันเดินทางไปถึง ทีมงานต้องไล่ตรวจ backup แยกต่างหากว่ามีรอบทำลายไฟล์เก่าตามที่นโยบายกำหนดจริงหรือไม่ ไม่ใช่แค่เชื่อว่าเมื่อระบบหลักลบแล้วทุกอย่างจบ

อีกประเด็นที่ควรทบทวนคือความแตกต่างระหว่างการลบถาวรกับการทำข้อมูลนิรนาม สำหรับข้อมูลผู้ป่วยบางประเภทที่ยังมีมูลค่าทางสถิติ เช่น ข้อมูลใช้วิเคราะห์แนวโน้มโรคในชุมชน องค์กรอาจเลือกทำให้ไม่สามารถระบุตัวตนได้แทนการลบทิ้งทั้งหมด แต่ต้องมีหลักฐานว่ากระบวนการทำนิรนามนั้นทำได้จริงและย้อนกลับไปหาตัวผู้ป่วยไม่ได้อีก ไม่ใช่แค่ลบชื่อออกจากคอลัมน์เดียวแล้วเรียกว่านิรนามแล้ว เพราะเลขบัตรประชาชนหรือวันเกิดที่ยังติดอยู่ในไฟล์อาจทำให้ระบุตัวตนย้อนกลับได้อยู่ดี

ข้อควรระวังที่พบบ่อยเมื่อทบทวน Data Retention

ข้อควรระวังแรกคือการทบทวนแบบผิวเผิน อ่านผ่านตารางเดิมแล้วเซ็นอนุมัติโดยไม่ได้ไปดูระบบจริงว่าปฏิบัติตามหรือไม่ การทบทวนที่มีความหมายต้องมีคนเข้าไปสุ่มตรวจอย่างน้อยหนึ่งระบบว่าไฟล์ที่ควรถูกลบไปแล้วยังอยู่หรือไม่ ทีมที่ทำแบบนี้อย่างจริงจังมักพบว่าตัวเลขในตารางกับสิ่งที่เกิดขึ้นจริงในระบบต่างกันมากกว่าที่คาดไว้ตอนแรก โดยเฉพาะกับระบบที่ผ่านการเปลี่ยนผู้ดูแลไอทีมาแล้วหลายรอบ เพราะความรู้เรื่องรอบลบข้อมูลมักติดตัวไปกับคนที่ลาออก ไม่ได้ถูกส่งต่อเป็นเอกสารให้คนถัดไปดูแลต่อ

• ตั้งระยะเวลาเก็บข้อมูลตามความเคยชิน ไม่ได้อ้างอิงข้อกำหนดทางกฎหมายหรือความจำเป็นทางธุรกิจของแต่ละประเภทข้อมูลจริง
• ลืมนับรวมข้อมูลที่อยู่ในมือผู้ให้บริการภายนอก เช่น แล็บ หรือระบบส่งข้อความนัดหมาย
• ไม่มีคนรับผิดชอบตรวจสอบรอบ backup แยกจากทีมที่ดูแลนโยบายหลัก
• อัปเดตตารางในเอกสารแต่ไม่เคยไปตรวจว่าระบบจริงทำงานตามนั้น

บทสรุป: ทบทวนแล้วต้องมีหลักฐาน

การอัปเดต Data Retention ให้ทันปี 2569 ไม่ใช่การเขียนเอกสารใหม่ให้ดูทันสมัย แต่คือการไล่ตรวจว่าระยะเวลาที่กำหนดไว้ยังตรงกับประเภทข้อมูลที่มีอยู่จริงวันนี้ กลไกลบข้อมูลทำงานได้จริงในทุกระบบรวมถึง backup และมีหลักฐานเป็นลายลักษณ์อักษรว่าใครตรวจ ตรวจเมื่อไร พบอะไร แก้ไขอย่างไร เอกสารที่ตรวจสอบได้แบบนี้คือสิ่งที่ผู้ตรวจสอบหรือ DPO ต้องการเห็นมากกว่าตารางที่สวยแต่ไม่เคยถูกทดสอบกับระบบจริงเลย

สำหรับทีมที่เพิ่งเริ่มทบทวนเป็นครั้งแรก ไม่ต้องพยายามแก้ทุกจุดให้เสร็จในรอบเดียว การเลือกไล่ตรวจทีละระบบตามลำดับความเสี่ยง เช่น เริ่มจากระบบที่เก็บข้อมูลผู้ป่วยจำนวนมากที่สุดก่อน แล้วค่อยขยับไปยังระบบรอง จะทำให้เห็นผลเป็นรูปธรรมเร็วกว่าและมีหลักฐานความคืบหน้าให้แสดงต่อผู้บริหารหรือผู้ตรวจสอบได้ตั้งแต่เดือนแรกที่เริ่มทำ

แหล่งข้อมูลอ้างอิงสำหรับการทบทวน

กรอบแนวคิด NIST Privacy Framework เป็นจุดอ้างอิงที่ใช้เทียบได้ว่าการทบทวนระยะเวลาการเก็บข้อมูลของธุรกิจสุขภาพครอบคลุมประเด็นสำคัญครบหรือไม่ ทีมสามารถอ่านเพิ่มเติมเกี่ยวกับหลักการทำ Data Inventory และ Data Mapping ที่เป็นพื้นฐานก่อนกำหนดระยะเวลาเก็บข้อมูลได้ที่ คู่มือ Data Inventory สำหรับธุรกิจสุขภาพ และ คู่มือ Data Mapping สำหรับธุรกิจสุขภาพ ส่วนภาพรวมของ Data Retention ทั้งหมดดูได้ที่ คู่มือ Data Retention สำหรับธุรกิจสุขภาพ และภาพรวมเสาหลักด้าน Data Governance ทั้งหมดอยู่ที่ หน้ารวม Data Governance