วิธีวางระบบ Data Retention สำหรับคลินิก โรงพยาบาล และธุรกิจสุขภาพแบบเป็นขั้นตอน

ควรเก็บเวชระเบียนผู้ป่วยไว้นานแค่ไหนถึงจะพอ แล้วถ้าผู้ป่วยยกเลิกใช้บริการไปแล้วสิบปี ข้อมูลนั้นยังต้องอยู่ในระบบหรือไม่ คำถามแบบนี้เป็นสิ่งที่ผู้ดูแลข้อมูลของคลินิกและโรงพยาบาลจำนวนมากพิมพ์ค้นหาหรือถามเพื่อนร่วมงานอยู่บ่อยครั้ง เพราะไม่มีตัวเลขตายตัวข้อเดียวที่ใช้ได้กับข้อมูลทุกประเภท คำตอบสั้น ๆ คือ ต้องแยกตามประเภทข้อมูล อ้างอิงข้อกำหนดทางกฎหมายที่เกี่ยวข้องกับข้อมูลชนิดนั้น และมีเหตุผลทางธุรกิจรองรับ ไม่ใช่กำหนดระยะเวลาเดียวครอบคลุมทุกอย่างในองค์กร

บทความนี้ไล่ทีละขั้นตอนที่ทีมข้อมูลของคลินิก โรงพยาบาล และธุรกิจสุขภาพควรทำเพื่อวางระบบ Data Retention ที่ใช้งานได้จริง ไม่ใช่แค่เอกสารสวยงามที่ไม่มีใครทำตาม

การวางระบบ Data Retention สำหรับธุรกิจสุขภาพเริ่มจากจัดกลุ่มข้อมูลผู้ป่วยตามประเภทและความเสี่ยง กำหนดระยะเวลาเก็บของแต่ละกลุ่มโดยอ้างอิงข้อกำหนดทางกฎหมายและความจำเป็นทางธุรกิจ ออกแบบกลไกลบหรือทำนิรนามเมื่อครบกำหนด รวม backup เข้าไปในขอบเขตด้วย แล้วจึงตั้งรอบตรวจสอบสม่ำเสมอพร้อมบันทึกหลักฐานทุกครั้งที่ตรวจ

ขั้นตอนที่ 1: จัดกลุ่มข้อมูลผู้ป่วยตามประเภทและความเสี่ยง

ก่อนกำหนดระยะเวลาเก็บข้อมูลใด ๆ ต้องรู้ก่อนว่าองค์กรมีข้อมูลอะไรบ้าง งานนี้ต่อยอดมาจากงาน Data Inventory ที่สำรวจว่าข้อมูลประเภทไหนอยู่ในระบบใด แต่สำหรับ Data Retention ต้องจัดกลุ่มเพิ่มอีกชั้นตามระดับความอ่อนไหว เช่น ผลตรวจแล็บและภาพวินิจฉัยทางการแพทย์จัดเป็นกลุ่มความเสี่ยงสูง ข้อมูลนัดหมายทั่วไปจัดเป็นกลุ่มความเสี่ยงปานกลาง และข้อมูลติดต่อเพื่อการตลาดจัดเป็นอีกกลุ่มที่มีเหตุผลการเก็บต่างออกไปโดยสิ้นเชิง

คลินิกทันตกรรมขนาดกลางแห่งหนึ่งเริ่มงานนี้ด้วยการให้ทีมแอดมินหน้าเคาน์เตอร์ช่วยไล่รายการระบบที่ใช้งานอยู่ทั้งหมด ตั้งแต่โปรแกรมนัดหมาย ระบบเก็บภาพเอกซเรย์ฟัน จนถึงสเปรดชีตที่บัญชีใช้บันทึกยอดชำระเงิน แล้วจึงมาจัดกลุ่มร่วมกับแพทย์ผู้ดูแลว่าข้อมูลชุดไหนอ่อนไหวที่สุด ผลที่ได้คือรายการที่ชัดเจนกว่าการนั่งเดาเองในห้องประชุมโดยไม่มีคนหน้างานร่วมด้วย

โรงพยาบาลขนาดใหญ่ที่มีหลายแผนกมักต้องทำขั้นตอนนี้ละเอียดกว่าคลินิกเดี่ยว เพราะแต่ละแผนกอาจมีระบบของตัวเองแยกจากกัน เช่น แผนกรังสีวิทยามีระบบเก็บภาพสแกนแยกจากระบบเวชระเบียนกลาง แผนกเภสัชกรรมมีระบบบันทึกการจ่ายยาของตัวเอง การจัดกลุ่มจึงต้องมีตัวแทนจากแต่ละแผนกมาช่วยยืนยันว่าระบบของตนเก็บข้อมูลอะไรบ้าง ไม่ใช่ให้ทีมกลางเดาแทนทั้งหมด เพราะบางระบบเฉพาะทางอาจมีข้อมูลที่ทีมกลางไม่รู้จักด้วยซ้ำว่ามีอยู่

ขั้นตอนที่ 2: กำหนดระยะเวลาเก็บข้อมูลของแต่ละกลุ่ม

เมื่อจัดกลุ่มเสร็จแล้ว ขั้นตอนถัดมาคือกำหนดว่าแต่ละกลุ่มควรเก็บนานเท่าไร โดยดูจากสามมุมพร้อมกัน คือข้อกำหนดทางกฎหมายที่เกี่ยวข้องกับข้อมูลสุขภาพและบัญชี ความจำเป็นทางธุรกิจ เช่น ต้องใช้ประวัติเก่าเพื่อวินิจฉัยต่อเนื่อง และหลักการเก็บข้อมูลเท่าที่จำเป็นตามแนวทาง PDPA ที่ไม่ควรเก็บนานเกินความจำเป็นโดยไม่มีเหตุผลรองรับ

ทีมงานที่ทำเรื่องนี้จริงจังมักสร้างตารางง่าย ๆ ที่มีคอลัมน์ ประเภทข้อมูล ระยะเวลาเก็บ เหตุผลที่เลือกระยะเวลานั้น และระบบที่ข้อมูลอยู่ ตารางแบบนี้ไม่ต้องซับซ้อน แต่ต้องมีเหตุผลกำกับทุกแถว เพื่อให้เมื่อผู้ตรวจสอบถามว่าทำไมถึงเลือกเก็บสามปีไม่ใช่ห้าปี ทีมงานตอบได้ทันทีโดยไม่ต้องเดา

ตัวอย่างเช่น ข้อมูลผลตรวจแล็บอาจกำหนดให้เก็บยาวนานกว่าข้อมูลนัดหมายทั่วไป เพราะมีความจำเป็นทางการแพทย์ในการเทียบผลตรวจย้อนหลังเมื่อผู้ป่วยกลับมารักษาซ้ำ ขณะที่ข้อมูลติดต่อเพื่อการตลาด เช่น เบอร์โทรที่รับข้อความโปรโมชันตรวจสุขภาพประจำปี อาจกำหนดให้เก็บสั้นกว่ามากและต้องลบทันทีเมื่อผู้ป่วยขอถอนความยินยอมรับข้อความ การแยกเหตุผลแบบนี้ทำให้ตารางไม่ใช่แค่ตัวเลขลอย ๆ แต่ผูกกับเหตุผลการใช้งานจริงของแต่ละฝ่าย

ระยะเวลาที่เหมาะสมไม่จำเป็นต้องเท่ากันในทุกองค์กร โรงพยาบาลขนาดใหญ่ที่มีความเสี่ยงถูกฟ้องร้องสูงอาจเลือกเก็บเวชระเบียนนานกว่าคลินิกเล็กที่ให้บริการเฉพาะทางแบบครั้งเดียวจบ สิ่งที่สำคัญกว่าตัวเลขคือกระบวนการตัดสินใจต้องมีเหตุผลรองรับและถูกทบทวนเป็นระยะ ไม่ใช่ลอกตัวเลขจากองค์กรอื่นมาใช้โดยไม่พิจารณาบริบทของตัวเอง เพราะแต่ละแห่งมีลักษณะผู้ป่วยและความเสี่ยงทางกฎหมายที่ต่างกัน

ขั้นตอนที่ 3: ออกแบบกลไกลบหรือทำนิรนามเมื่อครบกำหนด

การกำหนดระยะเวลาไว้ในเอกสารอย่างเดียวไม่พอ ต้องมีกลไกจริงที่ทำให้ข้อมูลถูกลบหรือทำนิรนามเมื่อครบกำหนด สำหรับระบบที่มีผู้ให้บริการซอฟต์แวร์ดูแลอยู่ ควรสอบถามว่าระบบรองรับการตั้งค่าลบอัตโนมัติตามระยะเวลาหรือไม่ หากไม่มี ต้องกำหนดผู้รับผิดชอบและปฏิทินตรวจสอบด้วยมือแทน เพื่อไม่ให้ข้อมูลค้างอยู่เพราะไม่มีใครมาลบ

สำหรับข้อมูลที่ยังมีมูลค่าทางสถิติ เช่น ใช้วิเคราะห์แนวโน้มผู้ป่วยในภาพรวม อาจเลือกทำนิรนามแทนการลบทิ้งทั้งหมด แต่ต้องตรวจให้แน่ใจว่าฟิลด์ที่อาจใช้ระบุตัวตนได้ เช่น เลขบัตรประชาชน วันเกิด หรือที่อยู่ ถูกลบออกจริง ไม่ใช่แค่เอาชื่อออกแล้วเรียกว่านิรนามแล้วทั้งที่ยังโยงกลับไปหาตัวบุคคลได้อยู่

บางคลินิกเลือกใช้วิธีเก็บถาวรแบบจำกัดสิทธิ์เข้าถึงแทนการลบทันทีสำหรับข้อมูลที่อยู่ระหว่างพิจารณาข้อพิพาททางกฎหมายหรือข้อร้องเรียน วิธีนี้เรียกว่าการเก็บพักไว้ชั่วคราว (litigation hold) ซึ่งควรมีกำหนดเวลาสิ้นสุดชัดเจนและมีคนรับผิดชอบคอยตรวจว่าเมื่อคดีหรือข้อร้องเรียนจบแล้ว ข้อมูลนั้นถูกนำกลับเข้าสู่วงจรการลบตามปกติ ไม่ใช่ปล่อยให้ค้างอยู่ในสถานะพิเศษตลอดไปโดยไม่มีใครติดตาม

ขั้นตอนที่ 4: รวมระบบสำรอง (Backup) เข้าไปในขอบเขตงาน

ขั้นตอนนี้เป็นจุดที่หลายทีมมองข้าม เพราะคิดว่าเมื่อลบข้อมูลจากระบบหลักแล้วก็จบ แต่ในความเป็นจริง ระบบสำรองข้อมูลที่ทำสำเนาย้อนหลังทุกวันหรือทุกสัปดาห์มักเก็บไฟล์เก่าไว้นานกว่าที่นโยบายกำหนด ทีมไอทีและทีมดูแลนโยบายความเป็นส่วนตัวควรนั่งคุยกันตั้งแต่ต้นว่ารอบการทำลาย backup เก่าจะสอดคล้องกับตารางระยะเวลาการเก็บข้อมูลหลักอย่างไร ไม่ใช่ปล่อยให้สองทีมทำงานแยกกันโดยไม่รู้ว่าอีกฝ่ายตั้งค่าอะไรไว้

วิธีที่ใช้ได้ผลจริงในหลายองค์กรคือการทำเอกสารสั้น ๆ ระบุว่า backup แต่ละชุดเก็บย้อนหลังกี่รอบ รอบละกี่วัน และเมื่อไรจะถูกเขียนทับหรือทำลายอัตโนมัติ แล้วเทียบตัวเลขนี้กับระยะเวลาที่นโยบายหลักกำหนดไว้ ถ้า backup เก็บย้อนหลังนานกว่าที่นโยบายอนุญาต ต้องปรับรอบ backup ให้สั้นลง หรือถ้าจำเป็นต้องเก็บ backup นานกว่าด้วยเหตุผลด้านความต่อเนื่องทางธุรกิจ ก็ต้องระบุเหตุผลนั้นไว้ในเอกสารอย่างชัดเจนแทนที่จะปล่อยผ่านโดยไม่มีคำอธิบาย

ขั้นตอนที่ 5: ตั้งรอบตรวจสอบและบันทึกหลักฐาน

สุดท้ายคือการตั้งรอบตรวจสอบสม่ำเสมอ ไม่ใช่ทำครั้งเดียวแล้วจบ แนะนำให้ตรวจสอบระบบที่มีความเสี่ยงสูงทุกสามเดือน และระบบความเสี่ยงต่ำทุกหกเดือนถึงหนึ่งปี ทุกครั้งที่ตรวจควรบันทึกว่าใครตรวจ ตรวจวันไหน พบปัญหาอะไร และแก้ไขอย่างไร เอกสารแบบนี้คือสิ่งที่ทำให้เมื่อเกิดเหตุการณ์ต้องชี้แจงต่อผู้ตรวจสอบหรือหน่วยงานกำกับดูแล องค์กรมีร่องรอยการทำงานจริงให้แสดง ไม่ใช่แค่คำพูดว่าเราทำอยู่แล้ว

การมอบหมายผู้รับผิดชอบชัดเจนก็สำคัญไม่แพ้กัน หลายองค์กรกำหนดให้เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลหรือผู้ที่ได้รับมอบหมายเป็นผู้ลงชื่อรับรองผลการตรวจแต่ละรอบ เพื่อให้มีคนคนเดียวที่ติดตามภาพรวมทั้งหมดได้ แทนที่จะกระจายความรับผิดชอบไปหลายแผนกจนไม่มีใครรู้สึกว่าต้องเป็นเจ้าของงานนี้จริง ๆ

ข้อผิดพลาดที่พบบ่อยเมื่อวางระบบ Data Retention

ข้อผิดพลาดที่พบบ่อยที่สุดคือการกำหนดระยะเวลาเดียวใช้กับข้อมูลทุกประเภทโดยไม่แยกตามความเสี่ยง รองลงมาคือการลืมนับข้อมูลที่อยู่ในมือผู้ให้บริการภายนอก เช่น แล็บหรือระบบส่งข้อความนัดหมาย และการไม่รวม backup เข้าไปในขอบเขตงานตั้งแต่แรก ข้อผิดพลาดเหล่านี้มักไม่ถูกพบจนกว่าจะมีเหตุการณ์ต้องสืบค้นข้อมูลย้อนหลังจริง เช่น ผู้ป่วยขอใช้สิทธิ์ให้ลบข้อมูลของตน แล้วทีมงานถึงรู้ตัวว่ายังมีข้อมูลชุดเดียวกันหลงเหลืออยู่ในระบบที่ไม่มีใครนึกถึงมาก่อน

• กำหนดระยะเวลาเก็บข้อมูลตามความเคยชินโดยไม่มีเหตุผลทางกฎหมายหรือธุรกิจรองรับ
• ลืมสอบถามผู้ให้บริการภายนอกว่าเก็บข้อมูลผู้ป่วยไว้นานเท่าไรและมีกลไกลบตามคำขอหรือไม่
• ไม่มีคนรับผิดชอบตรวจรอบ backup แยกจากทีมที่ดูแลนโยบายหลัก
• ทำนิรนามข้อมูลไม่สมบูรณ์ ยังเหลือฟิลด์ที่ระบุตัวตนย้อนกลับได้
• เขียนตารางระยะเวลาไว้ในเอกสารแต่ไม่เคยตรวจว่าระบบจริงทำงานตามนั้น

บทสรุป

การวางระบบ Data Retention สำหรับธุรกิจสุขภาพไม่ใช่งานที่ทำครั้งเดียวจบ แต่เป็นวงจรที่ต้องจัดกลุ่มข้อมูล กำหนดระยะเวลา ออกแบบกลไกลบ รวม backup เข้ามา และตรวจสอบซ้ำเป็นรอบ ทีมที่ทำครบทุกขั้นตอนพร้อมบันทึกหลักฐานไว้ตลอดทางจะมีเอกสารที่ตอบคำถามผู้ตรวจสอบได้ทันที ต่างจากทีมที่มีแค่นโยบายสวยงามแต่ไม่เคยทดสอบกับระบบจริงเลย

สำหรับทีมที่เพิ่งเริ่มต้น แนะนำให้เลือกทำระบบที่มีความเสี่ยงสูงสุดก่อนหนึ่งระบบ ทำให้ครบทั้งห้าขั้นตอนจนเห็นผลจริง แล้วจึงค่อยขยายไปยังระบบอื่นทีละชุด วิธีนี้ใช้เวลานานกว่าการพยายามทำทุกระบบพร้อมกัน แต่ให้ผลลัพธ์ที่ตรวจสอบได้จริงตั้งแต่รอบแรก แทนที่จะได้เอกสารกว้าง ๆ ที่ยังไม่มีหลักฐานรองรับสักระบบเดียว

แหล่งข้อมูลอ้างอิง

แนวทางการกำหนดวงจรชีวิตข้อมูลและการทบทวนระยะเวลาการเก็บรักษาอ้างอิงหลักการจาก NIST Privacy Framework งานนี้ควรต่อยอดจากรากฐานของ Data Inventory สำหรับธุรกิจสุขภาพ ที่บอกว่าองค์กรมีข้อมูลอะไรอยู่ที่ไหน และ Data Mapping สำหรับธุรกิจสุขภาพ ที่บอกว่าข้อมูลแต่ละชุดเดินทางไปที่ไหนบ้าง ก่อนนำมากำหนดระยะเวลาเก็บที่เหมาะสมในหน้านี้ ดูภาพรวมทั้งหมดของเสาหลัก Data Governance ได้ที่ หน้ารวม Data Governance