อัปเดต PDPA สำหรับ Agency ปี 2026: สิ่งที่เอเจนซีและฟรีแลนซ์ทำเว็บไซต์ต้องทบทวน

เอเจนซีที่รับดูแลข้อมูลลูกค้า เช่น ลิสต์ผู้ใช้ audience โฆษณา หรือ tracking pixel ต้องทบทวนสัญญากับลูกค้าว่ามีข้อกำหนดผู้ประมวลผลข้อมูล (DPA) ชัดเจนหรือไม่ มีการเปิดเผย sub-processor ที่ใช้จริงหรือไม่ และมีขั้นตอนจัดการข้อมูลเมื่อสัญญาสิ้นสุดหรือไม่ สิ่งเหล่านี้คือจุดที่มักตกหล่นในสัญญาเก่าและควรตรวจซ้ำทุก 3 เดือน

สัญญาเอเจนซีหลายฉบับที่เซ็นเมื่อปี 2022-2023 ยังเขียนแค่ประโยคกว้าง ๆ ว่า "เอเจนซีจะดูแลข้อมูลลูกค้าตามกฎหมายที่เกี่ยวข้อง" โดยไม่มีข้อกำหนดเรื่องบทบาทผู้ประมวลผลข้อมูลส่วนบุคคลแยกออกมาให้ชัดเจน ปัญหาคือเมื่อลูกค้าถามกลับว่า "ถ้าเกิดข้อมูลรั่วจากระบบของเอเจนซี ใครรับผิดชอบ" หรือ "ตอนเลิกจ้างแล้ว ข้อมูลลูกค้าที่เอเจนซีถืออยู่จะเป็นอย่างไร" สัญญาแบบนั้นตอบไม่ได้ นี่คือช่องโหว่เชิงปฏิบัติที่เอเจนซีและฟรีแลนซ์ทำเว็บไซต์ต้องกลับไปทบทวนตอนนี้ ไม่ใช่รอให้มีปัญหาเกิดก่อนแล้วค่อยแก้

ทำไมต้องทบทวนตอนนี้ ไม่ใช่ปีหน้า

เหตุผลเชิงปฏิบัติมีสามข้อ หนึ่งคือจำนวนเอเจนซีที่รับงานโฆษณาผ่านแพลตฟอร์มที่เก็บ audience data (Meta, Google, Line OA) เพิ่มขึ้นต่อเนื่อง และแพลตฟอร์มเหล่านี้ปรับนโยบายการส่งต่อข้อมูลบ่อยครั้ง สองคือลูกค้าองค์กรขนาดกลางถึงใหญ่เริ่มมี legal team ที่ตรวจสัญญาผู้ให้บริการภายนอกอย่างจริงจังมากขึ้น เอเจนซีที่ตอบคำถามเรื่องการประมวลผลข้อมูลไม่ได้ มีความเสี่ยงจะตกรอบคัดเลือกผู้ให้บริการตั้งแต่ขั้นแรก สามคือทีมงานเอเจนซีเปลี่ยนบ่อย freelance ที่เข้า-ออกโปรเจกต์ทำให้ knowledge เรื่องการจัดการข้อมูลกระจัดกระจาย ถ้าไม่มีเอกสารที่เป็นลายลักษณ์อักษร คนใหม่ที่เข้ามาจะไม่รู้ว่าเคยตกลงอะไรกับลูกค้ารายไหนไว้บ้าง

บทบาทที่เปลี่ยนไป: จากผู้รับเหมาเป็นผู้ประมวลผลข้อมูล

จุดที่ต้องทบทวนอันดับแรกคือความเข้าใจเรื่องบทบาทของเอเจนซีเอง ในงานส่วนใหญ่ที่เอเจนซีรับ เช่น ยิงโฆษณา ทำ CRM เก็บลิสต์ลูกค้า หรือดูแลเว็บไซต์ที่มีฟอร์มเก็บข้อมูล เอเจนซีทำหน้าที่เป็น ผู้ประมวลผลข้อมูลส่วนบุคคล (Data Processor) ตามคำสั่งของลูกค้าซึ่งเป็น ผู้ควบคุมข้อมูล (Data Controller) ไม่ใช่เจ้าของข้อมูลนั้นเอง ความแตกต่างนี้สำคัญเพราะกำหนดว่าใครต้องขอความยินยอมจากเจ้าของข้อมูล ใครแจ้งสิทธิ และใครรับผิดชอบเมื่อเกิดปัญหาในแต่ละจุด สิ่งที่หลายเอเจนซียังทำผิดคือปฏิบัติตัวเหมือนเป็นเจ้าของข้อมูลเอง เช่น นำลิสต์อีเมลจากโปรเจกต์หนึ่งไปใช้ทดสอบแคมเปญของลูกค้ารายอื่น หรือเก็บข้อมูล lead ไว้ในระบบกลางของเอเจนซีโดยไม่แยกตามเจ้าของสัญญา พฤติกรรมแบบนี้ทำให้เอเจนซีเปลี่ยนสถานะจากผู้ประมวลผลกลายเป็นผู้ควบคุมข้อมูลโดยไม่ตั้งใจ ซึ่งเพิ่มภาระหน้าที่ตามกฎหมายขึ้นทันที

สิ่งที่ต้องทบทวนในสัญญา DPA กับลูกค้า

สัญญาให้บริการ (Service Agreement) กับข้อตกลงประมวลผลข้อมูล (Data Processing Agreement หรือ DPA) ควรแยกเป็นคนละส่วนหรืออย่างน้อยมีภาคผนวกเฉพาะ สิ่งที่ต้องทบทวนคือสัญญาปัจจุบันระบุขอบเขตการประมวลผลชัดเจนหรือไม่ เช่น ประมวลผลข้อมูลอะไรบ้าง เพื่อวัตถุประสงค์ใด เก็บไว้นานเท่าไร และต้องปฏิบัติตามคำสั่งของลูกค้าเท่านั้น ไม่ใช่ใช้ดุลยพินิจของเอเจนซีเอง อีกจุดที่มักหายไปคือข้อกำหนดเรื่องมาตรการรักษาความปลอดภัยขั้นต่ำที่เอเจนซีต้องมี เช่น การเข้าถึงระบบต้องจำกัดเฉพาะทีมที่เกี่ยวข้อง การเก็บรหัสผ่านและ token ต้องเข้ารหัส และต้องแจ้งลูกค้าภายในระยะเวลาที่ตกลงกันหากเกิดเหตุการณ์ที่สงสัยว่าข้อมูลรั่วไหล เอเจนซีที่ยังใช้สัญญาแบบเทมเพลตทั่วไปจากหลายปีก่อนมักไม่มีข้อกำหนดเหล่านี้เลย

การเปิดเผย Sub-processor ที่เอเจนซีใช้จริง

เอเจนซีแทบทุกรายพึ่งพาเครื่องมือหรือผู้ให้บริการภายนอกในการทำงาน เช่น เครื่องมือส่งอีเมลอัตโนมัติ ระบบจัดการโฆษณา ผู้รับเหมาช่วงด้าน data analytics หรือแม้แต่ freelance ที่รับช่วงงานต่อ เมื่อเครื่องมือหรือคนเหล่านี้ต้องเข้าถึงข้อมูลลูกค้า พวกเขากลายเป็น sub-processor ในห่วงโซ่การประมวลผล จุดที่ต้องทบทวนคือเอเจนซีเคยแจ้งลูกค้าอย่างชัดเจนหรือไม่ว่าใช้ sub-processor รายใดบ้าง และมีกลไกแจ้งลูกค้าล่วงหน้าเมื่อจะเปลี่ยนหรือเพิ่ม sub-processor รายใหม่หรือไม่ ในทางปฏิบัติ วิธีที่ทำได้จริงคือทำรายการ sub-processor เป็นเอกสารแนบท้ายสัญญา ระบุชื่อผู้ให้บริการ ประเภทข้อมูลที่เข้าถึง และประเทศที่เซิร์ฟเวอร์ตั้งอยู่ แล้วอัปเดตทุกครั้งที่มีการเปลี่ยนแปลงเครื่องมือหลัก การไม่มีรายการนี้เลยเป็นจุดที่ลูกค้าองค์กรมักถามหาในการตรวจสอบผู้ให้บริการรอบใหม่

ข้อมูลลูกค้าเมื่อสัญญาสิ้นสุดหรือเปลี่ยนผู้ให้บริการ

อีกจุดที่สัญญาเก่ามักไม่ครอบคลุมคือขั้นตอนจัดการข้อมูลเมื่อความสัมพันธ์กับลูกค้าจบลง ไม่ว่าจะเป็นสิ้นสุดสัญญาปกติ หรือลูกค้าเปลี่ยนไปใช้เอเจนซีรายอื่น สิ่งที่ควรระบุไว้ล่วงหน้าคือเอเจนซีต้องลบข้อมูลหรือส่งคืนข้อมูลให้ลูกค้าภายในระยะเวลาเท่าไรหลังสิ้นสุดสัญญา และมีหลักฐานอะไรยืนยันว่าลบหรือส่งคืนแล้วจริง เช่น รายงานสรุปการลบจากระบบ หรือหนังสือยืนยันที่ลงนามโดยผู้รับผิดชอบ ในทางปฏิบัติ เอเจนซีจำนวนไม่น้อยยังเก็บข้อมูลบัญชีโฆษณาหรือ backup ฐานข้อมูลลูกค้าเก่าไว้ในระบบกลางเผื่อ "ลูกค้ากลับมาใช้บริการอีก" โดยไม่มีกำหนดเวลาลบที่ชัดเจน พฤติกรรมแบบนี้คือความเสี่ยงที่ต้องแก้ไข เพราะเมื่อไม่มีวัตถุประสงค์ในการประมวลผลต่อ การเก็บข้อมูลไว้เฉย ๆ ก็ไม่มีเหตุผลรองรับตามหลักการเก็บข้อมูลเท่าที่จำเป็น

ขอบเขตความรับผิดระหว่างผู้ควบคุมกับผู้ประมวลผล

คำถามที่เอเจนซีเจอบ่อยเมื่อเกิดปัญหาคือ "ถ้าเกิดเหตุ ใครรับผิด" คำตอบขึ้นอยู่กับต้นตอของปัญหา หากช่องโหว่เกิดจากระบบหรือกระบวนการทำงานของเอเจนซีเอง เช่น พนักงานเผลอส่งไฟล์ลิสต์ลูกค้าให้บุคคลภายนอกโดยไม่ได้รับอนุญาต ความรับผิดชอบส่วนใหญ่ตกอยู่ที่เอเจนซีในฐานะผู้ประมวลผล แต่หากคำสั่งของลูกค้าเองที่ไม่ชอบด้วยกฎหมายตั้งแต่ต้น เช่น สั่งให้เก็บข้อมูลบุคคลที่ไม่เคยให้ความยินยอมมาใช้ยิงโฆษณา ความรับผิดชอบในส่วนนั้นจะโยงกลับไปที่ลูกค้าในฐานะผู้ควบคุมข้อมูล จุดที่เอเจนซีควรทำให้ชัดในสัญญาคือการระบุว่าเอเจนซีมีสิทธิ์ปฏิเสธคำสั่งที่เห็นว่าไม่ชอบด้วยกฎหมาย และมีช่องทางบันทึกเป็นลายลักษณ์อักษรเมื่อทักท้วงลูกค้าไปแล้ว เพื่อใช้เป็นหลักฐานภายหลังหากเกิดข้อพิพาท

ข้อผิดพลาดที่พบบ่อยเมื่อทบทวนสัญญา

• ใช้สัญญาเทมเพลตเดียวกับทุกลูกค้าโดยไม่ปรับตามประเภทข้อมูลที่แต่ละโปรเจกต์เข้าถึงจริง
• ไม่เคยจัดทำรายการ sub-processor เป็นลายลักษณ์อักษร ทำให้ตอบลูกค้าไม่ได้เมื่อถูกถาม
• เก็บข้อมูลลูกค้าเก่าไว้ในระบบกลางหลังสัญญาสิ้นสุดโดยไม่มีกำหนดเวลาลบ
• ไม่แยกฐานข้อมูลลูกค้าแต่ละรายออกจากกัน ทำให้เสี่ยงนำข้อมูลไปใช้ข้ามโปรเจกต์โดยไม่ได้ตั้งใจ
• มอบหมายให้ freelance เข้าถึงข้อมูลลูกค้าโดยไม่มีข้อตกลงรักษาความลับหรือขอบเขตการเข้าถึงที่จำกัด

เช็กลิสต์ทบทวนก่อนต่อสัญญารอบใหม่

• สัญญาปัจจุบันมีข้อกำหนดผู้ประมวลผลข้อมูล (DPA) แยกจากสัญญาให้บริการทั่วไปหรือไม่
• มีรายการ sub-processor ที่อัปเดตล่าสุดและเคยแจ้งลูกค้าหรือไม่
• มีขั้นตอนลบหรือส่งคืนข้อมูลเมื่อสัญญาสิ้นสุด พร้อมหลักฐานยืนยันหรือไม่
• ทีมงานที่เข้าถึงข้อมูลลูกค้าเปลี่ยนบ่อยแค่ไหน และมีการจำกัดสิทธิ์การเข้าถึงตามบทบาทหรือไม่
• มีช่องทางบันทึกการทักท้วงคำสั่งลูกค้าที่อาจไม่ชอบด้วยกฎหมายหรือไม่
• เคยทดสอบขั้นตอนแจ้งเหตุข้อมูลรั่วไหลกับลูกค้าจริงหรือยัง

สรุป

การทบทวน PDPA สำหรับเอเจนซีในปี 2026 ไม่ใช่การเขียนนโยบายใหม่ทั้งหมด แต่คือการกลับไปดูสัญญาที่มีอยู่แล้วเติมส่วนที่ขาด โดยเฉพาะข้อกำหนดผู้ประมวลผลข้อมูล การเปิดเผย sub-processor และขั้นตอนจัดการข้อมูลเมื่อสัญญาจบ จุดเหล่านี้ไม่ใช่เรื่องซับซ้อนทางเทคนิค แต่เป็นเรื่องของการมีเอกสารและหลักฐานที่ตอบคำถามลูกค้าได้ทันทีเมื่อถูกถาม แนวทางในบทความนี้เป็นทิศทางปฏิบัติที่ดี ไม่ใช่การตีความข้อกฎหมายที่ใช้แทนคำแนะนำจากที่ปรึกษากฎหมายของแต่ละองค์กร

แหล่งข้อมูลอ้างอิง

อ้างอิงแนวทางจากสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (PDPC) ที่ pdpc.or.th เป็นหลัก และควรตรวจสอบประกาศหรือแนวปฏิบัติที่ออกใหม่ทุกครั้งก่อนปรับปรุงสัญญา เนื่องจากรายละเอียดการบังคับใช้อาจมีการปรับปรุงเป็นระยะ ดูรายละเอียดเพิ่มเติมเรื่องการทำสัญญาแบบเป็นขั้นตอนได้ที่ คู่มือวางระบบ PDPA สำหรับ Agency แบบเป็นขั้นตอน และภาพรวมอุตสาหกรรมอื่น ๆ ได้ที่ หมวดความรู้ธุรกิจและอุตสาหกรรม