วิธี Audit PDPA สำหรับ Agency ของร้านค้าออนไลน์และ E-commerce พร้อม Evidence ที่ควรเก็บ

Agency ที่ดูแลโฆษณาให้ร้านค้าออนไลน์เกือบทุกรายถือครองไฟล์รายชื่อลูกค้าเก่า ข้อมูลตะกร้าสินค้าที่ถูกทิ้งกลางคัน และข้อมูล Conversion จากระบบ CAPI ของลูกค้าไว้ในมือเป็นปกติของงาน แต่หลายทีมไม่เคยมีสัญญาที่ระบุชัดว่า Agency ทำหน้าที่เป็นผู้ประมวลผลข้อมูล (Data Processor) ตามคำสั่งของร้านค้าซึ่งเป็นผู้ควบคุมข้อมูล (Data Controller) ไม่ใช่เจ้าของข้อมูลเอง ปัญหานี้ไม่โผล่ออกมาให้เห็นตอนแคมเปญกำลังวิ่งดีอยู่ จนกว่าจะเกิดเหตุข้อมูลรั่วไหลจากบัญชีโฆษณาที่ Agency ใช้งาน หรือสัญญากับร้านค้าจบลงแล้วไม่มีใครตอบได้ว่า Custom Audience ที่เคยอัปโหลดไว้ในแพลตฟอร์มโฆษณาถูกลบไปแล้วจริงหรือไม่ การ Audit ที่ตรงจุดจึงต้องเจาะไปที่ตัวสัญญาและกระบวนการจริงเบื้องหลัง ไม่ใช่แค่ตรวจว่า Agency มี Privacy Policy ของตัวเองสวยงามครบถ้วน

การ Audit PDPA สำหรับ Agency ที่ดูแลข้อมูลลูกค้าร้านค้าออนไลน์ควรตรวจสี่เรื่องหลักเป็นรอบทุกหกเดือน คือความครบถ้วนของ DPA ที่ระบุบทบาท Agency เป็นผู้ประมวลผลข้อมูลไม่ใช่เจ้าของข้อมูล ทะเบียน Sub-processor เช่นระบบ CAPI Middleware หรือ CDP ภายนอกที่เปิดเผยต่อลูกค้าครบถ้วน กระบวนการลบหรือคืนข้อมูล Custom Audience และไฟล์รายชื่อลูกค้าเมื่อสัญญาสิ้นสุด และขอบเขตความรับผิดระหว่าง Agency กับลูกค้าเมื่อเกิดเหตุละเมิด แต่ละเรื่องต้องมีหลักฐานเก็บไว้ เช่น สำเนา DPA ที่ลงนามแล้ว ทะเบียน Sub-processor เวอร์ชันล่าสุด และบันทึกการลบ Custom Audience เมื่อจบสัญญา การ Audit นี้ช่วยให้ Agency เห็นช่องว่างก่อนที่ลูกค้าองค์กรหรือหน่วยงานกำกับดูแลจะเป็นคนพบเอง

เรื่องที่ 1: ตรวจความครบถ้วนของ DPA กับร้านค้าออนไลน์แต่ละราย

จุดเริ่มต้นของ Audit คือไล่ดูสัญญากับลูกค้าแต่ละรายว่ามี Data Processing Agreement (DPA) แนบอยู่จริงหรือไม่ และเนื้อหาระบุครบหรือไม่ว่า Agency ประมวลผลข้อมูลประเภทใดบ้าง เช่น รายชื่อและอีเมลลูกค้าที่เคยสั่งซื้อ ข้อมูลตะกร้าสินค้าที่ถูกทิ้งไว้ หรือข้อมูล Conversion แบบ Server-side เพื่อวัตถุประสงค์อะไร ตามคำสั่งของร้านค้าเท่านั้น ไม่ใช่ตามดุลยพินิจของ Agency เอง Agency หลายรายเซ็นสัญญาบริการทั่วไปที่พูดถึงงบโฆษณาและค่าบริการอย่างละเอียด แต่ไม่มีภาคผนวกเรื่องข้อมูลส่วนบุคคลเลย เพราะทีมขายที่ปิดดีลไม่รู้ว่าต้องขอเอกสารนี้เพิ่ม และทีม Legal ของทั้งสองฝ่ายไม่เคยถูกดึงเข้ามาคุยเรื่องนี้ตั้งแต่ต้น

วิธีตรวจที่ทำได้จริงคือสร้างตารางรายชื่อร้านค้าทั้งหมดที่ Agency ดูแลอยู่ พร้อมคอลัมน์ระบุว่ามี DPA หรือไม่ ลงนามเมื่อใด และครอบคลุมประเภทข้อมูลอะไรบ้าง เช่น ไฟล์รายชื่อลูกค้าเก่าสำหรับสร้าง Lookalike Audience หรือข้อมูล Loyalty Program ที่ร้านค้าส่งให้ ทีม Account Management ควรร่วมทบทวนตารางนี้กับผู้รับผิดชอบด้าน Privacy อย่างน้อยทุกหกเดือน และทุกครั้งที่ปิดดีลร้านค้าใหม่ ต้องได้ DPA ที่ลงนามก่อนเริ่มรับไฟล์ลูกค้าจริง ไม่ใช่ลงนามย้อนหลังหลังอัปโหลด Custom Audience ไปแล้ว

เรื่องที่ 2: ตรวจทะเบียน Sub-processor ในงานโฆษณา E-commerce

Agency ที่ดูแลร้านค้าออนไลน์แทบทุกรายใช้เครื่องมือภายนอกเพิ่มเติมนอกเหนือจากแพลตฟอร์มโฆษณาหลัก เช่น ระบบ CAPI Middleware ที่ช่วยส่งข้อมูล Conversion แบบ Server-side ระบบ CDP กลางที่รวมข้อมูลลูกค้าจากหลายช่องทาง หรือ Vendor วิเคราะห์พฤติกรรมตะกร้าสินค้าที่ Agency จ้างต่ออีกทอดหนึ่ง เครื่องมือเหล่านี้ล้วนเป็น Sub-processor ที่ได้รับข้อมูลของลูกค้าไปประมวลผลต่อ จุดที่ Agency พลาดบ่อยคือเพิ่มเครื่องมือใหม่เข้ามาในกระบวนการทำงานโดยไม่เคยแจ้งร้านค้า และไม่เคยปรับปรุงทะเบียน Sub-processor ให้ตรงกับความเป็นจริง เพราะทีม Media Buying เป็นคนตัดสินใจเลือกเครื่องมือเอง โดยไม่รู้ว่าต้องแจ้งฝ่าย Legal หรือลูกค้าก่อน

การ Audit ต้องตรวจว่าทะเบียน Sub-processor ที่แนบในสัญญาหรือแจ้งลูกค้าไว้ตรงกับเครื่องมือที่ทีมใช้งานจริงหรือไม่ และตรวจว่ามีกระบวนการแจ้งลูกค้าล่วงหน้าก่อนเพิ่ม Sub-processor รายใหม่หรือไม่ เช่น แจ้งผ่านอีเมลพร้อมระยะเวลาให้ร้านค้าคัดค้านได้ก่อนเริ่มใช้งานจริง หากร้านค้าไม่เคยได้รับแจ้งเลยว่า Agency ส่งข้อมูลลูกค้าของตนไปให้ Vendor วิเคราะห์ตะกร้าสินค้าภายนอก นี่คือช่องว่างที่ต้องแก้ก่อนเรื่องอื่น

เรื่องที่ 3: ตรวจกระบวนการจัดการข้อมูลเมื่อสัญญาสิ้นสุด

สิ่งที่ Agency ส่วนใหญ่ไม่เคยเตรียมไว้ล่วงหน้าคือขั้นตอนตอนสัญญากับร้านค้าจบลง ไม่ว่าจะเป็นการยกเลิกกลางคันหรือครบสัญญาตามกำหนด คำถามที่ต้องตอบได้คือ Custom Audience ที่เคยอัปโหลดไว้ในแพลตฟอร์มโฆษณา ไฟล์รายชื่อลูกค้าที่ใช้สร้าง Lookalike และข้อมูล Conversion ที่ส่งผ่าน CAPI Middleware จะถูกลบหรือคืนให้ร้านค้าภายในกรอบเวลาเท่าใด และมีหลักฐานยืนยันการลบจริงหรือไม่ Agency จำนวนมากปล่อยให้ Custom Audience ที่เคยอัปโหลดไว้ยังคงอยู่ในระบบต่อไปหลังเลิกจ้าง เพราะไม่มีใครมีหน้าที่ไปลบออกโดยเฉพาะ

การ Audit ต้องตรวจว่าสัญญาระบุกรอบเวลาการลบหรือคืนข้อมูลหลังสิ้นสุดสัญญาไว้ชัดเจนหรือไม่ เช่น สามสิบวันหลังสัญญาสิ้นสุด และต้องตรวจว่าทีม Operations มี Checklist ปิดงานร้านค้าที่รวมขั้นตอนลบ Custom Audience ออกจากแพลตฟอร์มโฆษณา ลบไฟล์รายชื่อลูกค้าจากระบบเก็บข้อมูลกลาง และแจ้ง Sub-processor ให้ลบข้อมูลตามด้วยหรือไม่ ควรเก็บภาพหน้าจอหรือรายงานยืนยันการลบไว้เป็นหลักฐาน แทนที่จะบอกร้านค้าด้วยปากเปล่าว่าลบแล้ว

เรื่องที่ 4: ตรวจขอบเขตความรับผิดระหว่าง Agency กับร้านค้าเมื่อเกิดเหตุละเมิด

เมื่อเกิดเหตุข้อมูลรั่วไหล คำถามแรกที่ต้องตอบคือความรั่วไหลนั้นเกิดจากระบบของ Agency เอง เช่น พนักงานดาวน์โหลดไฟล์รายชื่อลูกค้าลงเครื่องส่วนตัวแล้วทำหาย หรือเกิดจากคำสั่งของร้านค้าที่ไม่ชอบด้วยกฎหมายตั้งแต่แรก เช่น ร้านค้าส่งรายชื่อที่ซื้อมาจากบุคคลที่สามโดยไม่เคยขอความยินยอมมาให้ Agency ใช้ยิงโฆษณา สองสถานการณ์นี้มีขอบเขตความรับผิดต่างกัน และสัญญา DPA ที่ดีควรระบุไว้ล่วงหน้าว่าฝ่ายใดต้องแจ้งอีกฝ่ายภายในกี่ชั่วโมงเมื่อพบเหตุ ใครเป็นผู้ตัดสินใจแจ้งหน่วยงานกำกับดูแล และค่าใช้จ่ายในการเยียวยาจะแบ่งกันอย่างไรหากความรับผิดไม่ได้อยู่ฝ่ายเดียว

Agency จำนวนมากไม่เคยซ้อมสถานการณ์นี้เลย เพราะคิดว่าเรื่องแบบนี้เป็นหน้าที่ของร้านค้าที่เป็นเจ้าของข้อมูลอยู่แล้ว การ Audit ควรตรวจว่าสัญญาระบุขั้นตอนแจ้งเหตุไว้หรือไม่ และทีมภายในรู้หรือไม่ว่าถ้าพบความผิดปกติในระบบของตัวเอง ต้องแจ้งร้านค้ารายไหนก่อนภายในกี่ชั่วโมง

สิ่งที่ DPA ที่ดีควรระบุไว้อย่างละเอียด ไม่ใช่แค่มีชื่อเอกสารว่า DPA

Agency บางรายมีเอกสารชื่อ Data Processing Agreement แนบไว้จริง แต่เนื้อหาข้างในเป็นแค่ประโยคกว้าง ๆ หนึ่งย่อหน้าว่า Agency จะรักษาความลับของข้อมูลลูกค้า ซึ่งไม่เพียงพอสำหรับการพิสูจน์บทบาทผู้ประมวลผลข้อมูลเมื่อถูกตรวจสอบจริง สิ่งที่ควรมีอย่างละเอียดคือรายการประเภทข้อมูลที่ Agency จะได้รับ เช่น ข้อมูลอีเมลลูกค้า ข้อมูลตะกร้าสินค้า ข้อมูล Conversion วัตถุประสงค์ที่จำกัดเฉพาะงานโฆษณาตามสัญญา ระยะเวลาที่ Agency จะเก็บข้อมูลไว้ระหว่างสัญญา มาตรการรักษาความปลอดภัยขั้นต่ำที่ Agency ต้องมี เช่น การเข้ารหัสไฟล์รายชื่อลูกค้าและการจำกัดสิทธิ์เข้าถึงเฉพาะทีมที่ดูแลบัญชีนั้นจริง

อีกส่วนที่มักถูกมองข้ามคือสิทธิ์ของร้านค้าในการขอตรวจสอบ Agency เป็นระยะ เช่น ขอดูทะเบียน Sub-processor หรือขอรายงานสรุปมาตรการความปลอดภัยปีละครั้ง Agency ที่ยอมให้สิทธิ์นี้ไว้ล่วงหน้าในสัญญามักตอบคำถามร้านค้าขนาดใหญ่ได้เร็วกว่า และไม่ต้องมาเจรจาเรื่องขอบเขตการตรวจสอบกันใหม่ทุกครั้งที่ร้านค้าต้องการหลักฐาน โดยเฉพาะร้านค้าที่ขายผ่านหลายแพลตฟอร์มและมีทีมกฎหมายภายในที่ตรวจ Vendor ทุกรายในห่วงโซ่ รวมถึง Agency ที่ดูแลโฆษณาด้วย

เครื่องมือและวิธีติดตามผลระหว่างสองรอบ Audit

Agency หลายแห่งทำ Audit เสร็จแล้วเก็บรายงานไว้ในไฟล์เดียวโดยไม่มีใครเปิดดูซ้ำจนกว่าจะถึงรอบถัดไป วิธีที่ช่วยได้จริงคือแปลงรายการที่พบว่าต้องแก้ไขให้เป็นงานในระบบที่ทีม Operations ใช้ประจำอยู่แล้ว พร้อมระบุเจ้าของงานและกำหนดเวลาที่ชัดเจน แทนที่จะรอครบหกเดือนแล้วมาพบว่าเรื่องเดิมยังไม่ถูกแก้ อีกวิธีที่ Agency ขนาดกลางเริ่มใช้กันคือทำตารางติดตามสถานะ DPA ของร้านค้าทุกรายในที่เดียว เพื่อให้ทีมขายเห็นว่าร้านค้ารายใดยังไม่มี DPA ก่อนต่อสัญญารอบถัดไป

ตัวอย่าง: Agency ที่มี DPA ครบแต่ไม่เคยลบ Custom Audience หลังจบสัญญา

Agency ด้าน Performance Marketing รายหนึ่งดูแลโฆษณาให้ร้านค้าออนไลน์เครื่องสำอางมาสองปี มี DPA ที่ลงนามครบถ้วนตั้งแต่วันแรก แต่เมื่อร้านค้ายกเลิกสัญญาแล้วเปลี่ยนไปใช้ Agency เจ้าอื่น ทีมภายในไม่มีใครรับผิดชอบไปลบ Custom Audience ที่เคยอัปโหลดไว้ในแพลตฟอร์มโฆษณาออก เพราะ Checklist ปิดงานร้านค้าที่ใช้อยู่พูดถึงแค่การส่งมอบรายงานผลงานย้อนหลังและปิดใบแจ้งหนี้ ไม่เคยพูดถึงการลบข้อมูล ห้าเดือนต่อมาร้านค้ารายนี้ถูกลูกค้าปลายทางร้องเรียนว่ายังเห็นโฆษณาที่ใช้ข้อมูลของตนอยู่ทั้งที่ยกเลิกการเป็นสมาชิกไปแล้ว เมื่อตรวจสอบย้อนกลับพบว่า Custom Audience เดิมยังอยู่ในระบบของ Agency เก่า ทั้งที่สัญญาระบุไว้ว่าต้องลบภายในสามสิบวัน เหตุการณ์นี้ทำให้ร้านค้าต้องเสียเวลาชี้แจงกับลูกค้าปลายทางเพิ่มเติม ทั้งที่ DPA ต้นทางเขียนไว้ถูกต้องทุกอย่าง เพราะกระบวนการปฏิบัติจริงไม่เคยเชื่อมกับสิ่งที่สัญญาระบุไว้

ใครควรเป็นเจ้าของการ Audit นี้ใน Agency

ใน Agency ขนาดเล็กที่ยังไม่มีตำแหน่ง Privacy โดยเฉพาะ วิธีที่ทำได้จริงคือให้ Account Director ร่วมกับหัวหน้าทีม Media Buying ไล่สี่เรื่องข้างต้นทุกหกเดือน แล้วนำผลไปให้ที่ปรึกษากฎหมายภายนอกตรวจทานเฉพาะจุดที่ไม่มั่นใจ เมื่อ Agency โตขึ้นจนมีทีมกฎหมายหรือ Compliance ของตัวเอง บทบาทของ Audit ควรเปลี่ยนมาเป็นการประสานงานเชิงระบบ ดึงข้อมูลจากทีมขายเรื่องสัญญาลูกค้าใหม่ ทีม Media Buying เรื่อง Sub-processor ที่ใช้งานจริง และทีม Account Management เรื่องสถานะสัญญาที่กำลังจะสิ้นสุด แล้วรวบรวมเป็นรายงาน Audit ที่มีวันที่และผู้รับผิดชอบชัดเจนทุกรอบ

Evidence ที่ควรเก็บไว้จากการ Audit แต่ละรอบ

เพื่อให้ตอบคำถามร้านค้าขนาดใหญ่หรือผู้ตรวจสอบได้เร็ว Agency ควรเก็บสำเนา DPA ที่ลงนามแล้วของร้านค้าทุกราย ทะเบียน Sub-processor เวอร์ชันล่าสุดพร้อมวันที่แจ้งลูกค้า บันทึกการลบหรือคืนข้อมูล Custom Audience เมื่อสัญญาสิ้นสุดพร้อมภาพยืนยัน และบันทึกผลการซ้อมขั้นตอนแจ้งเหตุละเมิดในแต่ละรอบ หลักฐานเหล่านี้ไม่ได้ทำให้ Agency พ้นภาระหน้าที่ตามกฎหมาย ไปเสียทีเดียว แต่ช่วยแสดงให้เห็นว่า Agency มีกระบวนการตรวจสอบตัวเองอย่างจริงจัง ดูรายการตรวจก่อนเริ่มรับร้านค้าออนไลน์รายใหม่ได้ที่ เช็กลิสต์ PDPA สำหรับ Agency สำหรับ E-commerce และดูสิ่งที่ต้องทบทวนใหม่ในปี 2026 ได้ที่ อัปเดต PDPA สำหรับ Agency ปี 2026 สำหรับ E-commerce

ข้อผิดพลาดที่พบบ่อยเมื่อ Audit เฉพาะสัญญาไม่ใช่กระบวนการจริง

• เซ็นสัญญาบริการโฆษณาทั่วไปโดยไม่มีภาคผนวก DPA แนบเรื่องข้อมูลส่วนบุคคลเลย
• เพิ่มเครื่องมือหรือ Vendor ใหม่ เช่น CAPI Middleware เข้ามาในงานโดยไม่แจ้งร้านค้าและไม่ปรับทะเบียน Sub-processor
• ไม่มี Checklist ปิดงานร้านค้าที่รวมขั้นตอนลบ Custom Audience หรือไฟล์รายชื่อลูกค้าออกจากระบบ
• ไม่เคยตกลงล่วงหน้าว่าฝ่ายใดต้องแจ้งอีกฝ่ายภายในกี่ชั่วโมงเมื่อพบเหตุข้อมูลรั่วไหล

สรุป

การ Audit PDPA สำหรับ Agency ที่ดูแลข้อมูลลูกค้าร้านค้าออนไลน์ต้องมองข้ามหน้าเอกสารสัญญาไปตรวจว่ากระบวนการจริงเบื้องหลังทำตามที่สัญญาเขียนไว้หรือไม่ ทั้ง DPA ทะเบียน Sub-processor การจัดการข้อมูลเมื่อสัญญาสิ้นสุด และขอบเขตความรับผิดเมื่อเกิดเหตุ Agency ที่ทำ Audit แบบนี้เป็นรอบสม่ำเสมอจะไม่ต้องเจอสถานการณ์ที่ร้านค้าตรวจพบภายหลัง ว่าข้อมูลของลูกค้าตนยังค้างอยู่ในระบบที่ไม่ควรอยู่แล้ว ดูภาพรวมหัวข้ออื่นในหมวด Business, Industry and SEO เพิ่มเติมได้ที่ คลังความรู้ Business, Industry and SEO

แหล่งข้อมูลอ้างอิง

รายละเอียดเรื่องบทบาทผู้ควบคุมข้อมูลและผู้ประมวลผลข้อมูล รวมถึงข้อกำหนดเรื่องข้อตกลงการประมวลผลข้อมูล ควรตรวจสอบเทียบกับแนวปฏิบัติของ สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (PDPC) โดยตรง บทความนี้เป็นแนวทางเชิงปฏิบัติสำหรับทีม Account, Media Buying และ Privacy Team ไม่ใช่การตีความข้อกำหนดทางกฎหมายแทนหน่วยงานกำกับดูแล