Data Retention คืออะไร? คู่มือสำหรับคลินิก โรงพยาบาล และธุรกิจสุขภาพ

ทีมสำรวจความปลอดภัยข้อมูลหลายแห่งพบตัวเลขที่น่าสนใจซ้ำ ๆ กันในช่วงหลายปีที่ผ่านมา นั่นคือองค์กรด้านสุขภาพจำนวนไม่น้อยยังเก็บข้อมูลผู้ป่วยที่ยกเลิกใช้บริการไปแล้วเกินสิบปีไว้ในระบบโดยไม่มีเหตุผลทางธุรกิจรองรับ และหลายกรณีข้อมูลนั้นยังหลงเหลืออยู่ในระบบสำรองแม้จะถูกลบจากระบบหลักไปแล้ว ตัวเลขแบบนี้สะท้อนปัญหาเดียวกันที่พบซ้ำในคลินิก โรงพยาบาล และธุรกิจสุขภาพหลายขนาด นั่นคือมีนโยบายเขียนไว้ แต่ไม่มีกลไกที่ทำให้นโยบายนั้นเกิดขึ้นจริงในทุกระบบ

คู่มือนี้อธิบายภาพรวมของ Data Retention สำหรับธุรกิจสุขภาพตั้งแต่ต้นจนจบ ครอบคลุมทั้งการกำหนดระยะเวลา กลไกลบหรือทำนิรนาม ปัญหา backup ที่พบบ่อย และวิธีตรวจสอบต่อเนื่อง เพื่อให้ทีมงานที่ดูแลข้อมูลผู้ป่วยเห็นภาพรวมทั้งระบบก่อนลงลึกไปที่แต่ละเรื่องในบทความเฉพาะทาง

สำหรับผู้บริหารคลินิกและโรงพยาบาลที่ยังไม่เคยจับงานนี้มาก่อน คู่มือนี้เหมาะเป็นจุดเริ่มต้นที่สุด เพราะจะช่วยให้เห็นว่างาน Data Retention ไม่ใช่แค่การตั้งค่าระบบครั้งเดียว แต่เป็นกระบวนการที่ต้องอาศัยความร่วมมือจากหลายฝ่าย ทั้งทีมแพทย์ที่รู้ว่าข้อมูลชนิดใดยังจำเป็นต้องใช้ต่อ ทีมไอทีที่ดูแลระบบและ backup และทีมกฎหมายหรือเจ้าหน้าที่คุ้มครองข้อมูลที่ต้องยืนยันว่าระยะเวลาที่กำหนดสอดคล้องกับข้อบังคับที่เกี่ยวข้อง

Data Retention คือการกำหนดระยะเวลาที่องค์กรจะเก็บข้อมูลผู้ป่วยแต่ละประเภทไว้ และสิ่งที่ต้องทำเมื่อครบกำหนด ไม่ว่าจะเป็นการลบถาวร ทำให้เป็นข้อมูลนิรนาม หรือเก็บเข้าคลังจำกัดสิทธิ์เข้าถึง สำหรับธุรกิจสุขภาพงานนี้ต้องอ้างอิงทั้งข้อกำหนดทางกฎหมาย ความจำเป็นทางการแพทย์ และหลักการเก็บข้อมูลเท่าที่จำเป็นตาม PDPA โดยต้องครอบคลุมถึงระบบสำรอง (backup) ด้วย ไม่ใช่แค่ระบบหลักที่ใช้งานประจำวัน

Data Retention คืออะไร และต่างจาก Data Inventory กับ Data Mapping อย่างไร

หลายทีมสับสนระหว่างสามคำนี้เพราะฟังดูใกล้เคียงกัน แต่จริง ๆ แล้วตอบคำถามคนละข้อ Data Inventory ตอบคำถามว่าองค์กรมีข้อมูลอะไรอยู่บ้างและอยู่ที่ไหน เปรียบเหมือนบัญชีรายการสินค้าในคลัง Data Mapping ตอบคำถามว่าข้อมูลแต่ละชุดเดินทางจากระบบหนึ่งไปยังอีกระบบหนึ่งอย่างไร ผ่านมือใครบ้าง เปรียบเหมือนแผนที่เส้นทางเดินสินค้า ส่วน Data Retention ตอบคำถามที่ต่อยอดมาจากสองเรื่องแรก นั่นคือเมื่อรู้แล้วว่ามีข้อมูลอะไรและมันเดินทางไปที่ไหน จะเก็บมันไว้นานแค่ไหน แล้วเมื่อครบกำหนดจะทำอย่างไรกับมัน

ลำดับการทำงานที่สมเหตุสมผลคือเริ่มจาก Inventory เพื่อรู้ว่ามีข้อมูลอะไร ต่อด้วย Mapping เพื่อรู้ว่าข้อมูลไปที่ไหนบ้าง แล้วจึงมากำหนด Retention ว่าจะเก็บนานแค่ไหนในแต่ละจุดที่ข้อมูลไปถึง องค์กรที่ข้ามขั้นตอนแรกไปกำหนดระยะเวลาเก็บข้อมูลเลยมักพบว่าตารางที่เขียนไว้ไม่ครอบคลุมระบบทั้งหมดที่มีข้อมูลผู้ป่วยอยู่จริง เพราะไม่เคยรู้มาก่อนว่าข้อมูลชุดเดียวกันกระจายไปอยู่ในกี่ระบบ

ตัวอย่างที่เห็นได้ชัดคือโรงพยาบาลที่ทำ Data Mapping แล้วพบว่าข้อมูลผลตรวจแล็บของผู้ป่วยรายหนึ่งถูกส่งต่อไปยังสี่ระบบ คือระบบเวชระเบียนหลัก ระบบแล็บภายนอกที่รับตรวจ ระบบแจ้งผลผ่านแอปมือถือ และระบบสำรองข้อมูลรายวัน เมื่อรู้เส้นทางแบบนี้แล้ว การกำหนด Retention จึงต้องระบุระยะเวลาที่เหมาะสมสำหรับทั้งสี่จุด ไม่ใช่กำหนดแค่ระบบเวชระเบียนหลักแล้วคิดว่าครอบคลุมทั้งหมดแล้ว

ทำไม Data Retention ถึงสำคัญสำหรับคลินิก โรงพยาบาล และธุรกิจสุขภาพ

ข้อมูลสุขภาพเป็นข้อมูลอ่อนไหวที่มีความเสี่ยงสูงเมื่อรั่วไหลหรือถูกใช้ผิดวัตถุประสงค์ การเก็บข้อมูลไว้นานเกินความจำเป็นไม่ได้เพิ่มประโยชน์ทางการแพทย์เสมอไป แต่กลับเพิ่มพื้นผิวความเสี่ยง ยิ่งมีข้อมูลเก่าค้างอยู่ในระบบมากเท่าไร ยิ่งมีจุดที่อาจถูกโจมตีหรือเข้าถึงโดยไม่ได้รับอนุญาตมากขึ้นเท่านั้น หลักการเก็บข้อมูลเท่าที่จำเป็นตามแนวทาง PDPA จึงไม่ใช่แค่ข้อกำหนดทางกฎหมาย แต่เป็นแนวทางลดความเสี่ยงในทางปฏิบัติด้วย

ความเสี่ยงนี้ชัดเจนขึ้นเมื่อพิจารณาว่าข้อมูลผู้ป่วยมักถูกใช้เพื่อประกอบธุรกิจต่อเนื่อง เช่น กลุ่มธุรกิจประกันสุขภาพที่ขอเชื่อมข้อมูลการรักษาเพื่อประเมินความเสี่ยง หากคลินิกหรือโรงพยาบาลไม่มีนโยบาย Retention ที่ชัดเจน อาจส่งข้อมูลเก่าที่ควรถูกลบไปนานแล้วให้คู่สัญญาโดยไม่รู้ตัว การมีตารางระยะเวลาที่ชัดเจนช่วยให้ทีมงานตรวจสอบก่อนส่งข้อมูลออกไปทุกครั้งว่าข้อมูลชุดนั้นยังอยู่ในช่วงเวลาที่อนุญาตให้ใช้งานหรือควรถูกลบไปแล้ว

นอกจากความเสี่ยงด้านความปลอดภัย การมีนโยบาย Retention ที่ชัดเจนยังช่วยให้องค์กรตอบคำขอใช้สิทธิ์ของเจ้าของข้อมูลได้เร็วขึ้น เมื่อผู้ป่วยขอให้ลบข้อมูลของตน ทีมงานที่มีตารางระยะเวลาและรู้ว่าข้อมูลอยู่ในระบบใดบ้างจะดำเนินการได้เร็วกว่าทีมที่ต้องไล่หาข้อมูลทีละระบบโดยไม่มีแผนที่นำทาง

อีกมุมหนึ่งที่มักถูกมองข้ามคือต้นทุนการจัดเก็บ ยิ่งข้อมูลเก่าสะสมมากเท่าไร ค่าใช้จ่ายด้านพื้นที่จัดเก็บ ทั้งเซิร์ฟเวอร์ในองค์กรและพื้นที่คลาวด์ ก็เพิ่มขึ้นตามไปด้วย คลินิกและโรงพยาบาลหลายแห่งที่ทบทวนเรื่องนี้จริงจังพบว่าส่วนหนึ่งของค่าใช้จ่ายด้านไอทีมาจากการเก็บไฟล์เก่าที่ไม่มีใครใช้งานแล้วมานานหลายปี การมีนโยบาย Retention ที่ทำงานจริงจึงช่วยประหยัดต้นทุนไปพร้อมกับลดความเสี่ยงด้านความปลอดภัย

ขั้นตอนหลักของการทำ Data Retention ที่ใช้งานได้จริง

ขั้นตอนแรกคือจัดกลุ่มข้อมูลผู้ป่วยตามประเภทและระดับความอ่อนไหว เช่น ผลตรวจแล็บและภาพวินิจฉัยจัดเป็นกลุ่มความเสี่ยงสูง ข้อมูลนัดหมายทั่วไปจัดเป็นกลุ่มความเสี่ยงปานกลาง ขั้นตอนที่สองคือกำหนดระยะเวลาเก็บของแต่ละกลุ่มโดยอ้างอิงข้อกำหนดทางกฎหมายและความจำเป็นทางธุรกิจ ไม่ใช่กำหนดตามความเคยชิน ระยะเวลาที่เหมาะสมไม่จำเป็นต้องเท่ากันในทุกองค์กร โรงพยาบาลขนาดใหญ่ที่มีความเสี่ยงถูกฟ้องร้องสูงอาจเลือกเก็บนานกว่าคลินิกเล็กที่ให้บริการเฉพาะทางแบบครั้งเดียวจบ สิ่งสำคัญคือกระบวนการตัดสินใจต้องมีเหตุผลรองรับ ไม่ใช่ลอกตัวเลขจากองค์กรอื่นมาใช้โดยไม่พิจารณาบริบทของตัวเอง

ขั้นตอนที่สามคือออกแบบกลไกลบหรือทำนิรนามเมื่อครบกำหนด ซึ่งต้องตรวจสอบว่าระบบซอฟต์แวร์ที่ใช้อยู่รองรับการตั้งค่าลบอัตโนมัติหรือไม่ ถ้าไม่รองรับต้องมีคนรับผิดชอบตรวจด้วยมือตามปฏิทินที่กำหนด สำหรับข้อมูลที่ยังมีมูลค่าทางสถิติ เช่น ใช้วิเคราะห์แนวโน้มผู้ป่วยในภาพรวม อาจเลือกทำนิรนามแทนการลบทิ้งทั้งหมด แต่ต้องตรวจให้แน่ใจว่าฟิลด์ที่อาจใช้ระบุตัวตนได้ เช่น เลขบัตรประชาชนหรือวันเกิด ถูกลบออกจริง

ขั้นตอนที่สี่คือรวมระบบสำรอง (backup) เข้าไปในขอบเขตงาน เพราะข้อมูลที่ถูกลบจากระบบหลักแล้วอาจยังหลงเหลืออยู่ในสำเนาสำรองที่ทีมไอทีดูแลแยกต่างหาก ทีมงานควรเทียบรอบการทำลาย backup กับตารางระยะเวลาการเก็บข้อมูลหลักว่าสอดคล้องกันหรือไม่ และขั้นตอนสุดท้ายคือตั้งรอบตรวจสอบสม่ำเสมอพร้อมบันทึกหลักฐานทุกครั้งที่ตรวจ ไม่ว่าจะเป็นวันที่ตรวจ ผู้ตรวจ สิ่งที่พบ และการแก้ไขที่ทำ รายละเอียดเชิงปฏิบัติของแต่ละขั้นตอนอธิบายไว้ใน คู่มือวิธีวางระบบ Data Retention แบบเป็นขั้นตอน

ปัญหา Backup ที่หลุดรอด: จุดที่มักถูกมองข้าม

ปัญหาที่พบซ้ำที่สุดในธุรกิจสุขภาพคือการมีตารางระยะเวลาการเก็บข้อมูลที่ดูดีในเอกสาร แต่ระบบสำรองข้อมูลไม่เคยถูกนำมาพิจารณาด้วย ระบบสำรองที่ทำสำเนาย้อนหลังทุกวันหรือทุกสัปดาห์มักเก็บไฟล์เก่าไว้นานกว่าที่นโยบายกำหนดโดยไม่มีใครรู้ตัว เพราะทีมไอทีตั้งรอบ backup ขึ้นมาด้วยเหตุผลด้านความต่อเนื่องของระบบ ไม่ได้คิดถึงข้อกำหนดด้านความเป็นส่วนตัวตั้งแต่แรก

การมีนโยบายเขียนไว้อย่างเดียวไม่ได้ทำให้ข้อมูลถูกลบออกจากทุกที่ที่มันเดินทางไปถึงจริง ทีมงานต้องไล่ตรวจ backup แยกต่างหากว่ามีรอบทำลายไฟล์เก่าที่สอดคล้องกับนโยบายหลักหรือไม่ ปัญหานี้เป็นเรื่องจริงและพบบ่อย ไม่ใช่กรณีพิเศษ การยอมรับว่ามันเป็นความเสี่ยงที่ต้องจัดการต่อเนื่อง ดีกว่าการปล่อยผ่านโดยคิดว่าเมื่อลบจากระบบหลักแล้วทุกอย่างจบ

วิธีจัดการที่ใช้ได้ผลจริงคือทำเอกสารเปรียบเทียบง่าย ๆ ระหว่างระยะเวลาที่นโยบายหลักกำหนดกับรอบการเก็บของ backup แต่ละชุด ถ้าพบว่า backup เก็บย้อนหลังนานกว่าที่นโยบายอนุญาต ต้องตัดสินใจว่าจะปรับรอบ backup ให้สั้นลง หรือถ้ามีเหตุผลด้านความต่อเนื่องทางธุรกิจที่จำเป็นต้องเก็บนานกว่า ก็ต้องบันทึกเหตุผลนั้นไว้อย่างชัดเจนแทนที่จะปล่อยผ่านโดยไม่มีคำอธิบาย

ข้อผิดพลาดที่พบบ่อยในการทำ Data Retention สำหรับธุรกิจสุขภาพ

ข้อผิดพลาดที่พบบ่อยที่สุดคือการใช้ระยะเวลาเก็บข้อมูลเดียวกับข้อมูลทุกประเภทโดยไม่แยกตามความเสี่ยงและความจำเป็น รองลงมาคือการลืมนับข้อมูลที่อยู่ในมือผู้ให้บริการภายนอก เช่น แล็บ ระบบส่งข้อความนัดหมาย หรือผู้ให้บริการคลาวด์เก็บภาพทางการแพทย์ ซึ่งอาจเก็บข้อมูลผู้ป่วยไว้นานกว่าที่องค์กรตั้งใจโดยไม่มีใครตรวจสอบ

ข้อผิดพลาดอีกแบบที่พบในองค์กรขนาดใหญ่คือการมอบหมายงานนี้ให้แผนกไอทีรับผิดชอบเพียงฝ่ายเดียว ทั้งที่การกำหนดระยะเวลาเก็บข้อมูลต้องอาศัยความรู้ทางการแพทย์และกฎหมายควบคู่กัน ทีมไอทีอาจรู้วิธีตั้งค่าลบข้อมูลในระบบ แต่ไม่ใช่ผู้ที่ตัดสินใจได้ว่าข้อมูลประเภทใดยังจำเป็นต้องใช้ทางการแพทย์อยู่ การขาดความร่วมมือระหว่างแผนกจึงมักนำไปสู่การกำหนดระยะเวลาที่ไม่สอดคล้องกับความจำเป็นจริงของแต่ละฝ่าย

• กำหนดระยะเวลาเก็บข้อมูลตามความเคยชินโดยไม่มีเหตุผลทางกฎหมายหรือธุรกิจรองรับ
• ลืมนับข้อมูลที่อยู่ในมือผู้ให้บริการภายนอกเข้าไปในตารางระยะเวลาการเก็บ
• ไม่รวมระบบสำรอง (backup) เข้าไปในขอบเขตงานตั้งแต่ต้น
• ทำนิรนามข้อมูลไม่สมบูรณ์ ยังเหลือฟิลด์ที่ระบุตัวตนย้อนกลับได้อยู่
• ทบทวนตารางในเอกสารแต่ไม่เคยตรวจว่าระบบจริงทำงานตามนั้น

บทสรุป: มองภาพรวมก่อนลงมือทำแต่ละขั้นตอน

Data Retention สำหรับธุรกิจสุขภาพคืองานต่อเนื่องที่เชื่อมโยงกับ Data Inventory และ Data Mapping ที่ทำมาก่อนหน้า ไม่ใช่งานที่แยกทำคนเดียวโดยไม่อ้างอิงข้อมูลจากสองเรื่องนั้น การมีภาพรวมที่ชัดเจนตั้งแต่ต้นช่วยให้ทีมงานเห็นว่าต้องทำอะไรบ้าง เริ่มจากไหนก่อน และจะตรวจสอบความคืบหน้าอย่างไร คู่มือฉบับลึกแต่ละเรื่อง ไม่ว่าจะเป็นขั้นตอนปฏิบัติ การตรวจสอบประจำ เช็กลิสต์ก่อนเปิดใช้งาน หรืออัปเดตความเปลี่ยนแปลงรายปี ล้วนต่อยอดมาจากภาพรวมในหน้านี้ทั้งสิ้น

สำหรับองค์กรที่เพิ่งเริ่มต้น คำแนะนำที่ใช้ได้จริงคือไม่ต้องพยายามทำให้สมบูรณ์แบบทุกระบบตั้งแต่รอบแรก การเลือกเริ่มจากระบบที่มีความเสี่ยงสูงที่สุดหนึ่งระบบ ทำให้ครบทุกขั้นตอนจนเห็นผลจริงและมีหลักฐานรองรับ แล้วจึงขยายไปยังระบบถัดไปทีละชุด จะให้ผลลัพธ์ที่ตรวจสอบได้และยั่งยืนกว่าการเขียนนโยบายกว้าง ๆ ครอบคลุมทุกระบบพร้อมกันแต่ไม่มีระบบไหนถูกตรวจสอบจริงเลยสักระบบเดียว

แหล่งข้อมูลอ้างอิง

เนื้อหาในคู่มือนี้อ้างอิงหลักการวงจรชีวิตข้อมูลจาก NIST Privacy Framework ผู้ที่ต้องการลงลึกในแต่ละขั้นตอนสามารถอ่านต่อได้ที่ วิธีวางระบบ Data Retention แบบเป็นขั้นตอน และ เช็กลิสต์ Data Retention ก่อนเปิดใช้งาน ส่วนพื้นฐานก่อนหน้าดูได้ที่ คู่มือ Data Inventory สำหรับธุรกิจสุขภาพ และ คู่มือ Data Mapping สำหรับธุรกิจสุขภาพ ภาพรวมเสาหลักทั้งหมดอยู่ที่ หน้ารวม Data Governance