การตั้งค่าความเป็นส่วนตัวใน GA4 สำหรับคลินิก โรงพยาบาล และธุรกิจสุขภาพ

Google Analytics 4 (GA4) เก็บข้อมูลพฤติกรรมผู้ใช้งานบนเว็บไซต์ได้ละเอียดกว่า Universal Analytics รุ่นเก่ามาก แต่ก็มาพร้อมความเสี่ยงด้านความเป็นส่วนตัวที่คลินิก โรงพยาบาล และธุรกิจสุขภาพต้องจัดการให้ถูกต้อง ทั้งเรื่องการเชื่อมกับ Consent Mode การตั้งค่าเก็บรักษาข้อมูล (data retention) การเปิด/ปิด Google Signals และสิทธิ์การลบข้อมูลของผู้ใช้งานรายบุคคล

บทความนี้สรุปการตั้งค่าความเป็นส่วนตัวที่สำคัญใน GA4 ที่ทีม IT และผู้ดูแลข้อมูลผู้ป่วยควรตรวจสอบให้ครบ พร้อมตารางเปรียบเทียบพฤติกรรมของ GA4 เมื่อมีและไม่มี Consent Mode และข้อผิดพลาดที่พบบ่อยจากการตรวจสอบเว็บไซต์จริง

GA4 ไม่ได้ตั้งค่าความเป็นส่วนตัวที่เข้มงวดที่สุดให้โดยอัตโนมัติ หลายการตั้งค่าสำคัญ เช่น อายุการเก็บข้อมูล และ Google Signals ต้องเข้าไปปรับด้วยตัวเองในหน้า Admin ของ GA4 Property

ทำไมคลินิก โรงพยาบาล และธุรกิจสุขภาพต้องใส่ใจการตั้งค่าความเป็นส่วนตัวใน GA4

GA4 เก็บ event-level data ที่ผูกกับผู้ใช้งานแต่ละคนได้ละเอียดกว่ารุ่นก่อนมาก ซึ่งหมายความว่าหากตั้งค่าไม่รัดกุม ข้อมูลที่เก็บอาจเกินความจำเป็นสำหรับวัตถุประสงค์ทางธุรกิจจริง สำหรับคลินิก โรงพยาบาล และธุรกิจสุขภาพ ธุรกิจสุขภาพเกี่ยวข้องกับข้อมูลที่มีความอ่อนไหวสูงกว่าธุรกิจทั่วไป การตั้งค่าความยินยอมและการติดตามบนเว็บไซต์จึงควรใช้มาตรฐานที่เข้มงวดกว่า และควรจำกัดการส่งข้อมูลไปยังผู้ให้บริการภายนอกเท่าที่จำเป็นจริง

ทีม IT และผู้ดูแลข้อมูลผู้ป่วยจึงควรตรวจสอบทั้งฝั่งการเก็บข้อมูล (สิ่งที่ GA4 บันทึกไว้) และฝั่งการควบคุมการเข้าถึง (ใครดูข้อมูลนี้ได้บ้าง) ไม่ใช่ปล่อยให้ค่าเริ่มต้นของ Google ทำงานไปเรื่อย ๆ โดยไม่มีใครตรวจสอบ

GA4 ต่างจาก Universal Analytics รุ่นเก่าอย่างไรในมุมความเป็นส่วนตัว

Universal Analytics รุ่นเก่าใช้โมเดลการเก็บข้อมูลแบบ session-based ที่ไม่ได้ผูกพฤติกรรมผู้ใช้งานแต่ละคนไว้ละเอียดเท่า GA4 ทำให้ความเสี่ยงด้านความเป็นส่วนตัวค่อนข้างจำกัด แต่ GA4 เปลี่ยนมาใช้โมเดล event-based ที่บันทึกพฤติกรรมทุกการกระทำผูกกับผู้ใช้งานรายคนได้ละเอียดกว่าเดิมมาก คลินิก โรงพยาบาล และธุรกิจสุขภาพที่ย้ายจาก Universal Analytics มาใช้ GA4 จึงต้องทบทวนการตั้งค่าความเป็นส่วนตัวใหม่ทั้งหมด ไม่ใช่ยกการตั้งค่าเดิมมาใช้ตรง ๆ

ความละเอียดที่เพิ่มขึ้นนี้ทำให้ GA4 มีประโยชน์ด้านการวิเคราะห์มากขึ้น แต่ก็หมายความว่าทีม IT และผู้ดูแลข้อมูลผู้ป่วยต้องรับผิดชอบมากขึ้นตามไปด้วยในการควบคุมว่าข้อมูลที่เก็บมานั้นสอดคล้องกับสิ่งที่แจ้งผู้ใช้งานไว้ในนโยบายความเป็นส่วนตัว และสอดคล้องกับความยินยอมที่ผู้ใช้งานให้ไว้จริงผ่าน Cookie Consent Banner

GA4 ที่เชื่อม Consent Mode กับที่ไม่เชื่อม ต่างกันอย่างไร

ตารางด้านล่างเปรียบเทียบพฤติกรรมของ GA4 ในสองสถานการณ์ เพื่อให้เห็นความสำคัญของการเชื่อม Consent Mode ให้ถูกต้อง

การตั้งค่าที่ต้องตรวจสอบใน GA4

อายุการเก็บรักษาข้อมูล (Data Retention)

GA4 อนุญาตให้ตั้งค่าอายุการเก็บข้อมูลระดับ user/event ได้ 2 เดือนหรือ 14 เดือน ค่าเริ่มต้นมักตั้งไว้ที่ 2 เดือนสำหรับ Property ใหม่ แต่บาง Property เก่าอาจยังตั้งไว้ที่ 14 เดือน ทีม IT และผู้ดูแลข้อมูลผู้ป่วยควรตรวจสอบว่าอายุการเก็บข้อมูลสอดคล้องกับระยะเวลาที่ระบุไว้ในนโยบายความเป็นส่วนตัวของเว็บไซต์หรือไม่

Google Signals ต้องเปิดโดยตั้งใจ ไม่ใช่ปล่อยไว้เฉย ๆ

Google Signals คือฟีเจอร์ที่เชื่อมข้อมูลจากบัญชี Google ของผู้ใช้งานเข้ากับข้อมูล GA4 เพื่อรายงานข้ามอุปกรณ์และรีมาร์เก็ตติ้ง ฟีเจอร์นี้เพิ่มความละเอียดของข้อมูลผู้ใช้งานอย่างมาก ทีม IT และผู้ดูแลข้อมูลผู้ป่วยควรพิจารณาว่าจำเป็นต้องเปิดใช้งานจริงหรือไม่ และหากเปิด ต้องแจ้งในนโยบายความเป็นส่วนตัวให้ชัดเจน

อย่าเปิด Google Signals เพียงเพราะเป็นฟีเจอร์ที่มีให้ใช้ฟรี หากยังไม่ได้ระบุการใช้งานฟีเจอร์นี้ไว้ในนโยบายความเป็นส่วนตัว ควรปิดไว้ก่อนจนกว่าจะปรับปรุงนโยบายให้ครบถ้วน

ขั้นตอนตรวจสอบสำหรับทีม IT และผู้ดูแลข้อมูลผู้ป่วย

1. เข้าหน้า Admin > Data Settings > Data Retention ตรวจสอบและปรับอายุการเก็บข้อมูลให้เหมาะสม
2. ตรวจสอบว่า Google Signals เปิดอยู่หรือไม่ และสอดคล้องกับนโยบายความเป็นส่วนตัวที่ประกาศไว้หรือไม่
3. เชื่อม GA4 เข้ากับ Google Consent Mode ผ่าน Tag Manager ให้ครบทั้ง 4 พารามิเตอร์
4. ทดสอบว่าเมื่อผู้ใช้งานปฏิเสธคุกกี้ Analytics แล้ว GA4 หยุดเก็บ event จริง
5. ตรวจสอบสิทธิ์การเข้าถึง GA4 Property ว่าจำกัดเฉพาะทีมที่จำเป็นต้องใช้งานจริง
6. เตรียมขั้นตอนรองรับคำขอลบข้อมูลผ่าน Data Deletion Requests หากมีผู้ใช้งานร้องขอ

การตรวจสอบและหลักฐานสำหรับคลินิก โรงพยาบาล และธุรกิจสุขภาพ

ควรเก็บภาพหน้าจอการตั้งค่า Data Retention และ Google Signals ไว้เป็นระยะ พร้อมวันที่ตรวจสอบ เพื่อใช้เป็นหลักฐานว่ามีการทบทวนการตั้งค่าอย่างสม่ำเสมอ ไม่ใช่ตั้งค่าครั้งเดียวแล้วไม่เคยกลับมาดูอีก

หากมีการเปลี่ยนแปลงทีมงานที่เข้าถึง GA4 Property ควรทบทวนรายชื่อผู้มีสิทธิ์เข้าถึงเป็นระยะ และถอดสิทธิ์คนที่ไม่ได้ใช้งานแล้วออกทันที เพื่อลดความเสี่ยงจากบัญชีที่ไม่มีใครดูแล

การดูแลระยะยาวสำหรับคลินิก โรงพยาบาล และธุรกิจสุขภาพ

Google ปรับเปลี่ยนฟีเจอร์และค่าเริ่มต้นของ GA4 อยู่เป็นระยะ ทีม IT และผู้ดูแลข้อมูลผู้ป่วยควรติดตามประกาศการเปลี่ยนแปลงของ Google อย่างน้อยปีละครั้ง และตรวจสอบว่าการตั้งค่าที่เคยปรับไว้ยังคงมีผลอยู่ เพราะบางครั้งการอัปเดตของ Google อาจรีเซ็ตค่าบางอย่างกลับไปเป็นค่าเริ่มต้น

BigQuery Export และ Custom Dimensions ต้องระวังอะไรบ้าง

เมื่อเชื่อม GA4 กับ BigQuery Export ข้อมูลระดับ event ดิบทั้งหมดจะถูกส่งออกไปเก็บไว้ในโปรเจกต์ BigQuery ของคลินิก โรงพยาบาล และธุรกิจสุขภาพ ซึ่งหมายความว่าข้อมูลที่เคยอยู่ภายใต้การควบคุมของ Google เพียงฝ่ายเดียว ตอนนี้กลายเป็นความรับผิดชอบของทีมภายในโดยตรง ทีม IT และผู้ดูแลข้อมูลผู้ป่วยจึงต้องดูแลสิทธิ์การเข้าถึงชุดข้อมูลใน BigQuery ให้รัดกุมไม่น้อยไปกว่าที่ตั้งไว้ใน GA4 เอง

Custom Dimensions และ Custom Events ที่ทีมสร้างขึ้นเองก็เป็นอีกจุดที่ต้องระวัง เพราะบางครั้งทีมพัฒนาอาจส่งข้อมูลที่ระบุตัวตนได้โดยตรง เช่น อีเมลหรือชื่อเต็มของผู้ใช้งาน เข้าไปเป็นค่าพารามิเตอร์ของ Event โดยไม่ได้ตั้งใจ ซึ่งขัดกับนโยบายของ Google เองที่ห้ามส่งข้อมูลที่ระบุตัวตนได้โดยตรง (PII) เข้าไปใน GA4 ควรตรวจสอบพารามิเตอร์ที่ส่งเข้าไปเป็นระยะเพื่อยืนยันว่าไม่มีข้อมูลลักษณะนี้หลุดเข้าไปในระบบ

การจัดการ User-ID และการเชื่อมข้อมูลข้ามอุปกรณ์

ฟีเจอร์ User-ID ของ GA4 ช่วยให้เชื่อมพฤติกรรมของผู้ใช้งานคนเดียวกันที่เข้าเว็บผ่านหลายอุปกรณ์เข้าด้วยกันได้ เช่น ดูจากมือถือก่อนแล้วมาซื้อผ่านคอมพิวเตอร์ ซึ่งมีประโยชน์มากสำหรับคลินิก โรงพยาบาล และธุรกิจสุขภาพในการวิเคราะห์เส้นทางลูกค้าที่แท้จริง แต่การเปิดใช้ User-ID หมายความว่าทีม IT และผู้ดูแลข้อมูลผู้ป่วยต้องมีระบบระบุตัวตนผู้ใช้งานภายในของตัวเอง (เช่น รหัสสมาชิกที่ไม่ใช่ข้อมูลส่วนบุคคลโดยตรง) และต้องแจ้งในนโยบายความเป็นส่วนตัวว่ามีการเชื่อมข้อมูลลักษณะนี้

ข้อควรระวังคือ User-ID ที่ส่งเข้า GA4 ต้องไม่ใช่ข้อมูลที่ระบุตัวตนได้โดยตรง เช่น อีเมลหรือเบอร์โทรศัพท์ ควรใช้รหัสอ้างอิงภายใน (internal identifier) แทน และหากผู้ใช้งานถอนความยินยอมภายหลัง ระบบควรมีกลไกหยุดส่ง User-ID ของบุคคลนั้นเข้า GA4 ด้วย ไม่ใช่แค่หยุดคุกกี้ฝั่ง Analytics เพียงอย่างเดียว

การนำไปใช้จริงร่วมกับระบบอื่น

การตั้งค่า GA4 ต้องทำงานร่วมกับ Google Consent Mode ที่เชื่อมสัญญาณจาก Banner ดูวิธีตั้งค่าที่ถูกต้องได้ที่ ภาพรวม Tracking & MarTech ทั้งหมด และภาพรวมการตั้งค่า Cookie Consent Banner ได้ที่ คู่มือ Cookie Consent Banner สำหรับ Healthcare

หากต้องการตรวจสอบว่าเว็บไซต์ของคุณตั้งค่าความเป็นส่วนตัวของ GA4 และเครื่องมือวัดผลอื่นครบถ้วนหรือยัง ลองใช้ เครื่องมือตรวจสอบเว็บไซต์ฟรีของ trusty

เช็กลิสต์ปฏิบัติ

• ตั้งค่า Data Retention ให้สั้นที่สุดเท่าที่ยังตอบโจทย์ธุรกิจ
• ตรวจสอบว่า Google Signals สอดคล้องกับนโยบายความเป็นส่วนตัวที่ประกาศไว้
• เชื่อม GA4 เข้ากับ Consent Mode ครบทั้ง 4 พารามิเตอร์
• ทดสอบว่า GA4 หยุดเก็บข้อมูลจริงเมื่อผู้ใช้งานปฏิเสธ
• ทบทวนสิทธิ์การเข้าถึง GA4 Property เป็นระยะ

ข้อผิดพลาดที่พบบ่อย

• ปล่อย Data Retention ไว้ที่ 14 เดือนโดยไม่มีเหตุผลทางธุรกิจรองรับ
• เปิด Google Signals โดยไม่ได้แจ้งในนโยบายความเป็นส่วนตัว
• ไม่เชื่อม GA4 เข้ากับ Consent Mode ทำให้ยังเก็บข้อมูลแม้ผู้ใช้งานปฏิเสธ
• ให้สิทธิ์เข้าถึง GA4 Property กว้างเกินความจำเป็น
• ไม่มีขั้นตอนรองรับคำขอลบข้อมูลจากผู้ใช้งาน

สรุป

การตั้งค่าความเป็นส่วนตัวใน GA4 สำหรับคลินิก โรงพยาบาล และธุรกิจสุขภาพต้องครอบคลุมทั้งอายุการเก็บข้อมูล การเปิด/ปิด Google Signals การเชื่อมกับ Consent Mode และการควบคุมสิทธิ์การเข้าถึง ทีม IT และผู้ดูแลข้อมูลผู้ป่วยควรตรวจสอบการตั้งค่าเหล่านี้เป็นระยะ ไม่ใช่ตั้งครั้งเดียวแล้วปล่อยผ่าน เพื่อให้ข้อมูลที่เก็บสอดคล้องกับสิ่งที่แจ้งผู้ใช้งานไว้จริง

แหล่งข้อมูลอ้างอิง

• Google Analytics Help — Data retention