วิธี Audit Data Retention ของคลินิก โรงพยาบาล และธุรกิจสุขภาพ พร้อม Evidence ที่ควรเก็บ

การ Audit Data Retention ของคลินิกและโรงพยาบาลคือการตรวจว่าเวชระเบียนและข้อมูลผู้ป่วยแต่ละประเภทถูกลบหรือทำให้ไม่ระบุตัวตนตามกำหนดเวลาจริงหรือไม่ ไม่ใช่แค่ตรวจว่ามีนโยบายเขียนไว้ งานนี้ต้องตรวจทั้งระบบใช้งานหลักและระบบสำรองข้อมูลแยกจากกัน เพราะทั้งสองมักมีรอบการลบไม่ตรงกัน หลักฐานที่ต้องเก็บได้แก่บันทึกการลบ ใบรับรองการทำลายเอกสาร และผลการสุ่มตรวจย้อนหลัง

คลินิกและโรงพยาบาลจำนวนมากมีเวชระเบียนของผู้ป่วยที่เลิกมารับบริการไปแล้วสิบปีขึ้นไปยังคงอยู่ในระบบเดิมโดยไม่มีใครเคยตรวจสอบว่าครบกำหนดเก็บตามกฎหมายแล้วหรือยัง ปัญหานี้ไม่ได้เกิดจากความตั้งใจปกปิดข้อมูล แต่เกิดจากการไม่มีรอบตรวจสอบที่ชัดเจนว่าใครต้องตรวจอะไร เมื่อไหร่ และต้องเก็บหลักฐานอะไรไว้ยืนยัน ผลคือเมื่อผู้ตรวจสอบภายนอกหรือหน่วยงานกำกับดูแลถามหาหลักฐานว่าเวชระเบียนที่ครบกำหนดถูกจัดการอย่างไร หลายองค์กรตอบไม่ได้ทันที เพราะไม่มีใครเก็บบันทึกการลบไว้เป็นระบบ บางแห่งถึงขั้นต้องเปิดเซิร์ฟเวอร์เก่าที่ปลดระวางไปแล้วกลับมาดูอีกครั้งเพื่อยืนยันว่าข้อมูลที่ถูกถามถึงยังอยู่หรือถูกลบไปแล้ว ซึ่งเป็นกระบวนการที่ใช้เวลานานกว่าที่ควรจะเป็นมาก หากมีการบันทึกไว้ตั้งแต่แรกว่าใครลบอะไรเมื่อไหร่ บทความนี้วางขั้นตอนตรวจสอบที่ทำได้จริงและระบุหลักฐานที่ควรเก็บไว้ในแต่ละขั้น ปัญหาซ้ำอีกแบบหนึ่งที่พบบ่อยพอกันคือคลินิกเครือข่ายที่มีหลายสาขาใช้ระบบเวชระเบียนกลางร่วมกัน แต่แต่ละสาขายังมีแฟ้มกระดาษเก่าและไฟล์เอ็กเซลสำรองของตัวเองที่ไม่มีใครไปตรวจสอบว่าครบกำหนดลบแล้วหรือยัง เมื่อสำนักงานใหญ่ Audit เฉพาะระบบกลาง ข้อมูลที่ตกค้างอยู่ระดับสาขาก็จะไม่ถูกนับรวมอยู่ในผลการตรวจสอบเลย

Data Retention ของธุรกิจสุขภาพต่างจากงาน Data Inventory และ Data Mapping อย่างไร

การ Audit ที่กล่าวถึงในบทความนี้เจาะจงเรื่องระยะเวลาการเก็บและกลไกลบข้อมูล ไม่ใช่การตรวจว่าคลินิกมีข้อมูลอะไรอยู่บ้าง ซึ่งเป็นขอบเขตของ Data Inventory และไม่ใช่การตรวจเส้นทางที่ข้อมูลไหลไปยังระบบห้องแล็บ ร้านยา หรือบริษัทประกันสุขภาพที่เชื่อมต่อ ซึ่งเป็นขอบเขตของ Data Mapping สิ่งที่ Audit ฉบับนี้ตรวจคือ เมื่อเวชระเบียนของผู้ป่วยรายหนึ่งครบกำหนดเวลาที่กฎหมายวิชาชีพแพทย์หรือกฎหมายสถานพยาบาลกำหนดไว้แล้ว มีกลไกอะไรที่ทำให้ข้อมูลนั้นถูกลบหรือทำให้ไม่ระบุตัวตนจริงหรือไม่ และมีหลักฐานอะไรยืนยันว่าเกิดขึ้นจริง งานนี้ควรทำต่อจากการมีบัญชีข้อมูลและแผนที่การไหลของข้อมูลที่สมบูรณ์แล้ว เพราะการตรวจสอบต้องรู้ก่อนว่าเวชระเบียนแต่ละประเภทเก็บอยู่ในระบบใดบ้าง ไม่ใช่ตรวจแค่ระบบเวชระเบียนหลักระบบเดียว หากยังไม่เคยทำบัญชีข้อมูลหรือแผนที่การไหลของข้อมูลมาก่อน การ Audit ครั้งแรกอาจต้องใช้เวลามากกว่าปกติ เพราะต้องไล่สอบถามแต่ละแผนกทีละระบบว่ามีข้อมูลผู้ป่วยเก็บอยู่ที่ใดบ้าง แทนที่จะมีรายการอ้างอิงพร้อมใช้งานตั้งแต่ต้น

ทำไมธุรกิจสุขภาพต้อง Audit เรื่องนี้อย่างจริงจัง

เวชระเบียนเป็นข้อมูลอ่อนไหวที่มีมูลค่าสูงในตลาดมืดและมีผลกระทบต่อผู้ป่วยรุนแรงกว่าข้อมูลทั่วไปหากรั่วไหล คลินิกเฉพาะทางบางแห่งเก็บประวัติการรักษาโรคที่ผู้ป่วยต้องการปกปิดเป็นความลับสูงสุด หากข้อมูลเก่าที่ควรถูกลบไปแล้วนานหลายปีถูกเก็บไว้โดยไม่จำเป็นและเกิดเหตุรั่วไหล ความเสียหายต่อผู้ป่วยและชื่อเสียงของสถานพยาบาลจะมากกว่ากรณีข้อมูลใหม่ที่ยังอยู่ในช่วงเวลาที่มีเหตุผลทางการรักษารองรับ การ Audit ที่ทำอย่างสม่ำเสมอช่วยให้พบจุดตกค้างเหล่านี้ก่อนที่จะกลายเป็นเหตุการณ์ใหญ่ ไม่ใช่หลังจากมันเกิดขึ้นแล้ว นอกเหนือจากความเสี่ยงด้านชื่อเสียง สถานพยาบาลยังต้องรับมือกับคำร้องขอใช้สิทธิ์ของผู้ป่วยที่ต้องการให้ลบประวัติการรักษาเก่าที่ไม่มีความจำเป็นทางการแพทย์แล้ว หากไม่มีระบบตรวจสอบที่ชัดเจนว่าเวชระเบียนใดครบกำหนดหรือไม่ การตอบคำร้องแต่ละครั้งจะกลายเป็นการค้นหาด้วยมือที่ใช้เวลานานและเสี่ยงตกหล่น อีกมุมหนึ่งที่มักถูกมองข้ามคือต้นทุนการจัดเก็บ เวชระเบียนเก่าที่ไม่มีความจำเป็นทางการแพทย์แล้วยังกินพื้นที่จัดเก็บและทำให้การค้นหาข้อมูลผู้ป่วยปัจจุบันช้าลงโดยไม่จำเป็น การ Audit ที่ทำให้เห็นภาพว่าข้อมูลส่วนไหนควรลบได้แล้วจึงช่วยทั้งด้านความเสี่ยงและด้านประสิทธิภาพการทำงานไปพร้อมกัน

ขั้นตอน Audit Data Retention ที่ควรทำเป็นประจำ

• ตรวจสอบว่าระยะเวลาเก็บเวชระเบียนที่กำหนดไว้ในนโยบายสอดคล้องกับกฎหมายวิชาชีพแพทย์และกฎหมายสถานพยาบาลฉบับล่าสุดหรือไม่
• สุ่มดึงรายชื่อผู้ป่วยที่ครบกำหนดเก็บข้อมูลตามนโยบายมาตรวจว่าข้อมูลถูกลบหรือทำให้ไม่ระบุตัวตนแล้วจริงหรือไม่
• ตรวจสอบระบบสำรองข้อมูลแยกต่างหากจากระบบเวชระเบียนหลัก เพราะสำเนาสำรองมักมีรอบการลบที่ไม่ตรงกับระบบใช้งานจริง
• ตรวจสอบว่าห้องแล็บ ร้านยา หรือระบบเชื่อมต่อภายนอกที่เคยได้รับข้อมูลผู้ป่วยมีการลบข้อมูลตามระยะเวลาที่ตกลงกันไว้หรือไม่
• เก็บบันทึกการลบ วันที่ลบ ผู้รับผิดชอบ และวิธีการลบหรือทำให้ไม่ระบุตัวตนไว้เป็นเอกสารยืนยัน
• ทบทวนผลการตรวจสอบร่วมกับเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลอย่างน้อยปีละครั้ง

Evidence ที่ผู้ตรวจสอบควรเก็บไว้เสมอ

หลักฐานที่มีน้ำหนักที่สุดในการ Audit ไม่ใช่นโยบายที่เขียนไว้สวยงาม แต่คือร่องรอยการปฏิบัติจริงในระบบ ผู้ตรวจสอบที่มีประสบการณ์มักขอดูหลักฐานดิบก่อนเสมอ แทนที่จะยอมรับรายงานสรุปที่ทีมไอทีเตรียมมาให้ล่วงหน้า เพราะรายงานสรุปสามารถเขียนให้ดูดีได้ง่ายกว่าการแสดงบันทึกจริงในระบบที่ตรวจสอบย้อนกลับได้ ได้แก่ รายการบันทึกการลบข้อมูล (deletion log) ที่ระบุวันที่และผู้ดำเนินการ ใบรับรองการทำลายเอกสารกระดาษหรือสื่อบันทึกข้อมูลจากผู้รับจ้างทำลายเอกสาร ผลการสุ่มตรวจย้อนหลังพร้อมรายชื่อผู้ป่วยตัวอย่างที่ใช้ตรวจ และรายงานสรุปผลการตรวจสอบระบบสำรองข้อมูลในแต่ละรอบ เอกสารเหล่านี้ควรจัดเก็บแยกจากไฟล์นโยบาย เพื่อให้เมื่อหน่วยงานกำกับดูแลหรือผู้ตรวจสอบภายนอกร้องขอ สามารถแสดงได้ทันทีว่านโยบายถูกนำไปปฏิบัติจริง ไม่ใช่แค่มีอยู่บนกระดาษ บางองค์กรเลือกใช้ระบบติดตามงาน (ticketing system) เดิมที่มีอยู่แล้วมาบันทึกคำขอลบข้อมูลแต่ละครั้ง แทนการสร้างระบบใหม่ทั้งหมด ซึ่งช่วยลดต้นทุนและทำให้ผู้ตรวจสอบภายในเห็นภาพรวมของงานได้ง่ายขึ้นว่าคำขอลบแต่ละรายการถูกดำเนินการและปิดงานจริงหรือไม่ วิธีนี้ยังช่วยให้เห็นแนวโน้มได้ด้วยว่าคำขอลบใช้เวลาดำเนินการนานผิดปกติหรือไม่ ซึ่งเป็นสัญญาณเตือนล่วงหน้าว่ากระบวนการภายในเริ่มมีคอขวดที่ควรแก้ไขก่อนที่จะสะสมจนกลายเป็นปัญหาใหญ่

เช็กลิสต์ที่เกี่ยวข้องและงานถัดไปหลัง Audit

เมื่อ Audit เจอจุดที่ยังไม่ผ่าน ขั้นตอนถัดไปคือนำผลไปเทียบกับ เช็กลิสต์ Data Retention สำหรับธุรกิจสุขภาพ เพื่อวางแผนแก้ไขทีละจุดก่อนเปิดใช้งานระบบใหม่หรือปรับนโยบายใหม่ ภาพรวมทั้งหมดของแนวทาง Data Retention สำหรับธุรกิจสุขภาพดูได้ใน คู่มือ Data Retention สำหรับคลินิกและโรงพยาบาล ซึ่งอธิบายภาพรวมทั้งหมดตั้งแต่การกำหนดระยะเวลาเก็บไปจนถึงกลไกลบ งานด้านเส้นทางข้อมูลที่เกี่ยวข้องกันดูได้ใน คู่มือ Data Mapping สำหรับธุรกิจสุขภาพ เพราะการตรวจสอบ Retention ต้องอิงจากเส้นทางที่ข้อมูลไหลไปตามที่แผนที่นั้นระบุไว้

ความถี่ของการ Audit ที่เหมาะสมสำหรับธุรกิจสุขภาพ

คลินิกขนาดเล็กที่มีระบบไม่ซับซ้อนอาจ Audit ปีละครั้งก็เพียงพอ ตราบใดที่มีการมอบหมายผู้รับผิดชอบชัดเจนและไม่ปล่อยให้เลื่อนไปเรื่อย ๆ แต่โรงพยาบาลขนาดใหญ่ที่มีระบบเชื่อมต่อหลายสิบจุดควรตรวจถี่กว่านั้น เช่น ทุกไตรมาสสำหรับระบบที่มีความเสี่ยงสูง และควร Audit เพิ่มทันทีเมื่อมีการเปลี่ยนระบบเวชระเบียนหลัก เปลี่ยนผู้ให้บริการคลาวด์ หรือเพิ่มช่องทางเชื่อมต่อกับห้องแล็บและร้านยารายใหม่ เพราะจุดเปลี่ยนเหล่านี้เป็นช่วงที่ข้อมูลเก่ามีโอกาสตกค้างในระบบที่ถูกปลดระวางมากที่สุด และมักไม่มีใครนึกถึงจนกว่าจะมีเหตุการณ์เกิดขึ้นแล้ว การกำหนดปฏิทิน Audit ล่วงหน้าทั้งปีและมอบหมายผู้รับผิดชอบชัดเจนต่อแต่ละระบบ ช่วยให้งานนี้ไม่ถูกเลื่อนออกไปเรื่อย ๆ เมื่อทีมงานมีภารกิจเร่งด่วนอื่นแทรกเข้ามา ซึ่งเป็นสาเหตุที่พบบ่อยที่สุดของการที่ Audit ถูกทำเพียงครั้งเดียวแล้วไม่มีรอบถัดไป

บทบาทของเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลในกระบวนการ Audit

เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลของสถานพยาบาลควรเป็นผู้ทบทวนผลการ Audit ทุกรอบ ไม่ใช่แค่รับรายงานสรุปจากทีมไอที เพราะบางครั้งตัวเลขที่ทีมไอทีรายงานว่าลบสำเร็จอาจไม่ตรงกับความเป็นจริงหากเครื่องมือที่ใช้ตรวจนับไม่ครอบคลุมทุกระบบ การที่เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลสุ่มตรวจซ้ำเองบางส่วน หรือขอดูหลักฐานดิบแทนตัวเลขสรุป ช่วยให้มั่นใจได้มากขึ้นว่าผลการ Audit สะท้อนความเป็นจริง และช่วยสร้างวัฒนธรรมที่ทีมไอทีตระหนักว่าจะมีการตรวจสอบซ้ำอยู่เสมอ ไม่ใช่แค่รายงานผ่านๆ ไปในแต่ละปี

ข้อผิดพลาดที่พบบ่อยในการ Audit Data Retention ของธุรกิจสุขภาพ

• ตรวจสอบเฉพาะระบบเวชระเบียนหลัก แต่ลืมตรวจระบบสำรองข้อมูลและระบบสำรองสำหรับกู้คืนภัยพิบัติ
• ไม่มีการสุ่มตรวจจริง ใช้แค่การถามทีมไอทีปากเปล่าว่าลบแล้วหรือยัง โดยไม่ดูบันทึกจริง
• ไม่เก็บหลักฐานการลบไว้เป็นเอกสาร ทำให้เมื่อถูกถามภายหลังไม่มีอะไรยืนยัน
• ลืมตรวจสอบผู้ให้บริการภายนอกอย่างห้องแล็บหรือระบบเคลมประกันสุขภาพว่าลบข้อมูลตามที่ตกลงไว้หรือไม่
• Audit เพียงครั้งเดียวตอนเริ่มโครงการแล้วไม่ทำซ้ำ ทั้งที่ระบบและผู้ให้บริการเปลี่ยนแปลงตลอดเวลา

สรุป

การ Audit Data Retention ของธุรกิจสุขภาพต้องตรวจทั้งนโยบายและการปฏิบัติจริง ไม่ใช่แค่ดูว่ามีเอกสารเขียนไว้ถูกต้องหรือไม่ จุดที่ต้องระวังที่สุดคือระบบสำรองข้อมูลและผู้ให้บริการภายนอกที่มักถูกมองข้าม การเก็บหลักฐานการลบอย่างเป็นระบบไม่ได้ทำให้องค์กรปลอดภัยจากทุกความเสี่ยงในทันที แต่ทำให้เมื่อเกิดคำถามจากผู้ตรวจสอบหรือหน่วยงานกำกับดูแล องค์กรมีคำตอบและหลักฐานพร้อมนำเสนอ ไม่ต้องไล่หาข้อมูลย้อนหลังในภาวะกดดัน งานนี้ควรทำเป็นวงจรต่อเนื่อง ไม่ใช่โครงการที่จบแล้วจบเลย เพราะระบบเวชระเบียนและผู้ให้บริการภายนอกของสถานพยาบาลเปลี่ยนแปลงอยู่ตลอดเวลาตามการเติบโตของธุรกิจ

แหล่งข้อมูลอ้างอิง

เนื้อหานี้อ้างอิงแนวทางจาก NIST Privacy Framework ซึ่งเป็นกรอบการบริหารความเสี่ยงด้านข้อมูลส่วนบุคคลที่ใช้อ้างอิงในหลายประเทศ ควรตรวจสอบกฎหมายวิชาชีพแพทย์และกฎหมายสถานพยาบาลของไทยที่บังคับใช้อยู่จริงประกอบด้วยเสมอ เพราะระยะเวลาเก็บเวชระเบียนขั้นต่ำอาจแตกต่างกันไปตามประเภทของสถานพยาบาลและประกาศของหน่วยงานกำกับดูแลแต่ละแห่ง และควรมอบหมายให้ผู้รับผิดชอบติดตามความเปลี่ยนแปลงของประกาศเหล่านี้อย่างต่อเนื่อง แทนที่จะอ้างอิงจากฉบับเดิมที่เคยตรวจสอบไว้ตอนเริ่มโครงการเท่านั้น ดูภาพรวมของหมวด Data Governance เพิ่มเติมได้ที่ ศูนย์ความรู้ Data Governance ของ trusty