เช็กลิสต์ PDPA สำหรับ Agency สำหรับร้านค้าออนไลน์และ E-commerce: ต้องตรวจอะไรบ้างก่อนเปิดใช้งาน

เดือนที่แล้ว Agency แห่งหนึ่งเพิ่งปิดดีลร้านค้าออนไลน์เครื่องสำอางเจ้าใหม่ ทีม Media Buying รีบขอไฟล์รายชื่อลูกค้าเก่าจากฝ่ายร้านค้าเพื่ออัปโหลดเป็น Custom Audience ทันทีในวันที่สามของสัญญา เพราะอยากให้แคมเปญเริ่มวิ่งเร็วที่สุด ไม่มีใครถามว่าสัญญาที่เพิ่งเซ็นไปมีภาคผนวกเรื่องข้อมูลส่วนบุคคลแนบอยู่หรือไม่ สองเดือนต่อมาฝ่ายจัดซื้อของร้านค้าส่งอีเมลมาถามว่า ไฟล์ลูกค้าที่เคยส่งให้ตอนเริ่มโปรเจกต์ทดลองก่อนหน้านี้ถูกลบไปหรือยัง ไม่มีใครในทีมตอบได้ เพราะไม่เคยมีขั้นตอนบันทึกเรื่องนี้ไว้เลย เหตุการณ์แบบนี้เกิดขึ้นซ้ำในหลาย Agency ที่รีบเริ่มงานก่อนตรวจสอบพื้นฐานด้านข้อมูลให้ครบ เช็กลิสต์นี้จึงถูกวางไว้ให้ตรวจก่อนเปิดใช้งานจริงในแต่ละช่วงของความสัมพันธ์กับร้านค้า

เช็กลิสต์ PDPA สำหรับ Agency ก่อนเริ่มดูแลข้อมูลลูกค้าร้านค้าออนไลน์รายใหม่ควรครอบคลุมสามช่วง คือก่อนเซ็นสัญญาต้องมี DPA ที่ระบุบทบาท Agency เป็นผู้ประมวลผลข้อมูลชัดเจน ระหว่างดำเนินงานต้องมีทะเบียน Sub-processor ที่ตรงกับเครื่องมือจริงและแจ้งร้านค้าก่อนเพิ่มรายใหม่ และก่อนจบสัญญาต้องมีขั้นตอนลบหรือคืน Custom Audience กับไฟล์รายชื่อลูกค้าพร้อมหลักฐาน ทีมที่ข้ามช่วงใดช่วงหนึ่งไปมักต้องมาตามแก้ทีหลังตอนร้านค้าถามหาหลักฐานหรือปิดสัญญากะทันหัน

ช่วงที่ 1: ก่อนเซ็นสัญญากับร้านค้าออนไลน์รายใหม่

1. ตรวจว่าสัญญามีภาคผนวก Data Processing Agreement (DPA) แนบอยู่ ไม่ใช่แค่สัญญาบริการโฆษณาทั่วไป
2. ตรวจว่า DPA ระบุชัดว่า Agency ทำหน้าที่เป็นผู้ประมวลผลข้อมูลตามคำสั่งร้านค้า ไม่ใช่เจ้าของข้อมูลลูกค้า
3. ตรวจว่ามีรายการประเภทข้อมูลที่ Agency จะได้รับระบุไว้ชัดเจน เช่น อีเมลลูกค้า ข้อมูลตะกร้าสินค้า หรือข้อมูล Conversion แบบ Server-side
4. ตรวจว่าระบุวัตถุประสงค์การใช้ข้อมูลไว้จำกัดเฉพาะงานโฆษณาตามสัญญา ไม่เปิดกว้างให้ใช้เพื่อวัตถุประสงค์อื่น
5. ตรวจว่ามีการระบุมาตรการความปลอดภัยขั้นต่ำ เช่น การเข้ารหัสไฟล์รายชื่อลูกค้าและการจำกัดสิทธิ์เข้าถึงเฉพาะทีมที่ดูแลบัญชีนั้น

ช่วงนี้มักถูกข้ามเพราะทีมขายอยากปิดดีลให้เร็ว และมองว่าการขอเอกสารเพิ่มเป็นการทำให้ลูกค้าลำบากใจ แต่ในทางกลับกัน ร้านค้าที่มีทีมจัดซื้อหรือทีมกฎหมายภายในมักมองว่า Agency ที่เสนอ DPA ให้เองตั้งแต่ต้นเป็นสัญญาณของความเป็นมืออาชีพ ไม่ใช่ภาระเพิ่ม การตรวจทั้งห้าข้อในช่วงนี้ใช้เวลาไม่เกินหนึ่งชั่วโมงต่อดีลหนึ่งราย แต่ช่วยตัดปัญหาที่ต้องมาตามแก้ย้อนหลังซึ่งมักใช้เวลานานกว่าหลายเท่าตัว

ช่วงที่ 2: ระหว่างดำเนินงานและก่อนเพิ่มเครื่องมือใหม่

1. ตรวจว่าทะเบียน Sub-processor ที่แจ้งร้านค้าไว้ตรงกับเครื่องมือที่ทีมใช้งานจริง เช่น CAPI Middleware หรือ CDP กลาง
2. ก่อนเพิ่ม Vendor รายใหม่ในกระบวนการทำงาน ต้องแจ้งร้านค้าล่วงหน้าและให้เวลาคัดค้านก่อนเริ่มใช้งานจริง
3. ตรวจว่าไฟล์รายชื่อลูกค้าที่อัปโหลดเป็น Custom Audience ถูกจำกัดสิทธิ์เข้าถึงเฉพาะคนในทีมที่ดูแลบัญชีนั้นจริง ไม่ใช่ทั้งบริษัท
4. ตรวจว่ามีบันทึกวันที่และเหตุผลทุกครั้งที่มีการอัปโหลดหรือปรับปรุงไฟล์รายชื่อลูกค้าเป็น Custom Audience รอบใหม่

ช่วงระหว่างดำเนินงานเป็นจุดที่ทะเบียน Sub-processor มักคลาดเคลื่อนจากความเป็นจริงเร็วที่สุด เพราะทีม Media Buying มักทดลองเครื่องมือใหม่เพื่อแก้ปัญหาเฉพาะหน้า เช่น เปลี่ยน CAPI Middleware กลางแคมเปญเพื่อแก้ปัญหาข้อมูล Conversion ตกหล่น โดยไม่ทันคิดว่าต้องแจ้งร้านค้าก่อน วิธีที่ช่วยได้จริงคือกำหนดว่าการเปลี่ยนเครื่องมือใดที่แตะข้อมูลลูกค้าโดยตรงต้องผ่านการอนุมัติจากคนที่ดูแลเรื่อง Privacy ก่อนเสมอ ไม่ใช่ตัดสินใจโดยทีมเทคนิคฝ่ายเดียว

ช่วงที่ 3: ก่อนสัญญาสิ้นสุดหรือเปลี่ยน Agency

1. ตรวจว่าสัญญาระบุกรอบเวลาลบหรือคืนข้อมูลหลังสิ้นสุดสัญญาไว้ชัดเจน เช่น สามสิบวันหลังสัญญาสิ้นสุด
2. ตรวจว่ามี Checklist ปิดงานที่รวมขั้นตอนลบ Custom Audience ออกจากแพลตฟอร์มโฆษณาทุกแพลตฟอร์มที่เคยใช้
3. ตรวจว่าแจ้ง Sub-processor ทุกรายให้ลบข้อมูลของร้านค้านั้นตามไปด้วย ไม่ใช่ลบแค่ในระบบหลักของ Agency
4. เก็บภาพหน้าจอหรือรายงานยืนยันการลบไว้เป็นหลักฐาน แทนที่จะแจ้งร้านค้าด้วยปากเปล่าว่าลบแล้ว

ตัวอย่าง: สิ่งที่เกิดขึ้นเมื่อข้ามเช็กลิสต์ช่วงที่ 1

ร้านค้าออนไลน์เสื้อผ้าแฟชั่นรายหนึ่งเซ็นสัญญากับ Agency ใหม่โดยใช้เทมเพลตสัญญาทั่วไปที่ทีมขายของ Agency ส่งให้ ไม่มีใครในสองฝ่ายสังเกตว่าไม่มีภาคผนวก DPA แนบอยู่เลย สามเดือนต่อมาร้านค้าขยายไปขายผ่านแพลตฟอร์มองค์กรที่ต้องผ่านการตรวจสอบ Vendor ด้าน Privacy ก่อนอนุมัติ ทีมจัดซื้อของแพลตฟอร์มนั้นขอเอกสาร DPA ระหว่างร้านค้ากับ Agency โฆษณาทุกราย ร้านค้าจึงต้องรีบกลับมาขอให้ Agency เซ็น DPA เพิ่มเติมย้อนหลัง ซึ่งทำให้กระบวนการอนุมัติล่าช้าไปเกือบสามสัปดาห์ ทั้งที่ถ้าตรวจเช็กลิสต์ช่วงที่ 1 ตั้งแต่ต้น เรื่องนี้จะไม่เกิดขึ้นเลย

ทำไมเช็กลิสต์นี้ต้องใช้ควบคู่กับ Audit ประจำงวด

เช็กลิสต์นี้เน้นจุดตรวจก่อนเหตุการณ์เฉพาะ เช่น ก่อนรับร้านค้าใหม่หรือก่อนเพิ่มเครื่องมือใหม่ แต่ไม่ได้แทนที่การตรวจสอบเชิงลึกทั้งพอร์ตร้านค้าที่ควรทำเป็นรอบสม่ำเสมอ ทีมที่ใช้เช็กลิสต์นี้ครบทุกข้อในวันเซ็นสัญญา ยังต้องกลับมาทบทวนพอร์ตร้านค้าทั้งหมดเป็นระยะ เพราะสัญญาที่เคยผ่านเช็กลิสต์ถูกต้องในวันแรก อาจไม่ตรงกับความเป็นจริงอีกต่อไปเมื่อทีมเปลี่ยนเครื่องมือ หรือเพิ่ม Sub-processor ใหม่ระหว่างทาง ดูวิธี Audit เชิงลึกแบบเป็นระบบได้ที่ วิธี Audit PDPA สำหรับ Agency สำหรับ E-commerce

ใครควรเป็นคนไล่เช็กลิสต์นี้ในทีม

ในทีมขนาดเล็ก Account Director ที่ปิดดีลควรเป็นคนไล่เช็กลิสต์ช่วงที่ 1 ก่อนส่งสัญญาให้ลูกค้าเซ็น ส่วนช่วงที่ 2 ควรเป็นหน้าที่ของหัวหน้าทีม Media Buying ที่รู้ว่าเครื่องมือใดกำลังถูกใช้งานจริง และช่วงที่ 3 ควรผูกเข้ากับ Checklist ปิดงานที่ทีม Operations ใช้อยู่แล้ว เพื่อไม่ให้ขั้นตอนลบข้อมูลตกหล่นเวลาที่ทีมกำลังยุ่งกับการส่งมอบงานให้ Agency เจ้าใหม่ที่มารับช่วงต่อ เมื่อทีมโตขึ้นจนมีตำแหน่ง Privacy หรือ Compliance โดยเฉพาะ บทบาทนี้ควรย้ายมาอยู่ที่ตำแหน่งนั้นแทน แต่เช็กลิสต์เดิมยังใช้ได้เหมือนเดิม

ข้อผิดพลาดที่พบบ่อยเมื่อข้ามเช็กลิสต์นี้

• รีบอัปโหลดไฟล์รายชื่อลูกค้าเป็น Custom Audience ก่อนตรวจว่าสัญญามีภาคผนวก DPA หรือไม่
• เพิ่มเครื่องมือใหม่ในกระบวนการทำงานโดยไม่แจ้งร้านค้าและไม่ปรับทะเบียน Sub-processor
• ไม่มีใครในทีมรู้ว่าต้องลบ Custom Audience ตอนไหนหลังสัญญาสิ้นสุด
• ตอบร้านค้าด้วยปากเปล่าว่าลบข้อมูลแล้ว โดยไม่มีหลักฐานยืนยันเก็บไว้

สรุป

เช็กลิสต์ PDPA สำหรับ Agency ที่ดูแลร้านค้าออนไลน์ควรถูกไล่ตรวจในสามช่วง คือก่อนเซ็นสัญญา ระหว่างดำเนินงาน และก่อนสัญญาสิ้นสุด ทีมที่ผูกเช็กลิสต์นี้เข้ากับขั้นตอนทำงานปกติ เช่น ขั้นตอนปิดดีลและ Checklist ปิดงาน จะลดโอกาสที่ต้องมาตามแก้ปัญหาทีหลังตอนร้านค้าถามหาหลักฐานกะทันหัน ดูภาพรวมหัวข้ออื่นในหมวด Business, Industry and SEO เพิ่มเติมได้ที่ คลังความรู้ Business, Industry and SEO

แหล่งข้อมูลอ้างอิง

รายละเอียดเรื่องข้อกำหนดของข้อตกลงการประมวลผลข้อมูลและบทบาทผู้ประมวลผลข้อมูล ควรตรวจสอบเทียบกับแนวปฏิบัติของ สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (PDPC) โดยตรง เช็กลิสต์นี้เป็นแนวทางเชิงปฏิบัติสำหรับทีม Account และ Media Buying ไม่ใช่การตีความข้อกำหนดทางกฎหมายแทนหน่วยงานกำกับดูแล