เพื่อให้สอดคล้องกับมาตรฐานความปลอดภัยด้านสาธารณสุขและข้อกฎหมายคุ้มครองข้อมูลส่วนบุคคล ข้อมูลแต่ละประเภทต้องมีขั้นตอนการทำงาน (Workflow) ที่คัดแยกออกจากกันอย่างชัดเจน:

1. เอกสารเวชระเบียน (Medical Records)

มักเกิดความเสี่ยงจากการเปิดสิทธิ์ให้พนักงานเข้าถึงฐานข้อมูลที่กว้างเกินไป หรือพฤติกรรมการส่งต่อไฟล์ประวัติคนไข้ผ่านกลุ่มแชทแอปพลิเคชันทั่วไป คลินิกจึงควรจัดให้มีระบบการบริหารจัดการคำขอใช้สิทธิ (DSAR Management) ที่เป็นสัดส่วน เพื่อรองรับกรณีที่คนไข้มาใช้สิทธิตามกฎหมายอย่างเป็นระบบ

2. ภาพถ่ายก่อน-หลังการรักษา (Before-After Images)

จัดเป็นพื้นที่ที่มีระดับความเสี่ยงสูงที่สุดเนื่องจากเป็นจุดตัดสำคัญระหว่างการบันทึกทางการแพทย์และการทำโฆษณา คลินิกความงามหรือศัลยกรรมตกแต่งต้องระบุให้กิจกรรมนี้เป็นข้อปฏิบัติที่มีความเสี่ยงสูง (High-risk Workflow) โดยกำหนดให้พนักงานต้องตรวจสอบหนังสืออนุญาตที่เป็นลายลักษณ์อักษรก่อนส่งมอบไฟล์ภาพให้แก่ทีมโฆษณา

3. ข้อมูลประวัติการรักษาและพฤติกรรมสุขภาพ

เมื่อมีการดึงฐานข้อมูลการรักษาพยาบาลจากระบบหลังบ้านไปจัดหมวดหมู่เพื่อทำแคมเปญส่งเสริมการขาย (Segmentation) ข้อมูลเหล่านั้นจะมีความเสี่ยงทางกฎหมายทันที DPO ต้องกำกับดูแลให้มีการทำข้อมูลนิรนาม (Anonymization) เพื่อตัดการระบุตัวตนของคนไข้ทิ้งไป หรือตรวจสอบว่าแคมเปญดังกล่าวได้รับความยินยอมที่ครอบคลุมแล้วจริง ๆ