อัปเดต PDPA สำหรับ Agency ปี 2026: สิ่งที่ธุรกิจอสังหาริมทรัพย์และทีมเก็บ Lead ต้องทบทวน

ทีมการตลาดของโครงการคอนโดแห่งหนึ่งเพิ่งเปลี่ยน Agency ที่ดูแลแคมเปญ Lead Generation กลางปี และพบว่าฐานข้อมูลผู้สนใจเก่ากว่าสองพันรายชื่อถูกส่งต่อผ่านไฟล์ Excel ธรรมดาโดยไม่มีใครในทีมตรวจว่า Agency เดิมลบข้อมูลออกจากระบบของตัวเองไปแล้วหรือยัง เหตุการณ์แบบนี้เกิดขึ้นซ้ำ ๆ กับธุรกิจอสังหาริมทรัพย์และทีมที่เก็บ Lead เพราะความสัมพันธ์กับ Agency มักเปลี่ยนมือทุกปีตามรอบงบโฆษณา แต่ข้อกำหนดของ PDPA ที่เกี่ยวข้องกับ Agency ไม่ได้หยุดเปลี่ยนตามไปด้วย

เนื้อหานี้อัปเดตประเด็นที่โครงการอสังหาริมทรัพย์ ฝ่ายขาย และทีม Lead Generation ควรทบทวนเมื่อทำงานกับ Agency ในปี 2026 ครอบคลุมสถานะของ Agency ตามลักษณะงาน จุดที่ข้อมูลรั่วไหลบ่อยที่สุด และสิ่งที่ควรใส่ไว้ในสัญญาก่อนต่ออายุงานกับ Agency รายใหม่หรือรายเดิม โดยไม่ตัดสินฐานกฎหมายแทนองค์กร เพราะแต่ละสัญญามีรายละเอียดต่างกัน

Agency เป็น Processor หรือ Controller ร่วมกันแน่?

คำถามนี้เป็นจุดเริ่มต้นที่โครงการอสังหาริมทรัพย์มักข้ามไป ในทางปฏิบัติ Agency ที่รับบรีฟจากเจ้าของโครงการ ทำแคมเปญตามวัตถุประสงค์ที่กำหนด และส่งมอบ Lead กลับให้เจ้าของโครงการเท่านั้น มักถูกมองว่าทำหน้าที่ประมวลผลข้อมูลแทนองค์กร แต่ถ้า Agency นำฐานข้อมูล Lead ไปใช้ต่อเพื่อวัตถุประสงค์ของตัวเอง เช่น นำไปทำ Remarketing ให้ลูกค้ารายอื่นของ Agency เอง บทบาทนั้นอาจเปลี่ยนไปเป็นผู้กำหนดวัตถุประสงค์ร่วม ซึ่งมีผลต่อภาระหน้าที่ที่ต่างกัน

เรื่องนี้ไม่ควรปล่อยให้เป็นความเข้าใจปากเปล่า ควรเขียนระบุไว้ในสัญญาหรือ Brief ทุกแคมเปญว่า Agency ทำหน้าที่อะไร รับข้อมูลอะไรบ้าง และใช้ต่อได้เพียงใด ถ้าความสัมพันธ์ซับซ้อนหรือเกี่ยวข้องกับข้อมูลจำนวนมาก ควรให้ฝ่ายกฎหมายหรือที่ปรึกษาด้านข้อมูลส่วนบุคคลตรวจสอบร่างสัญญาอีกชั้นหนึ่งก่อนลงนาม

จุดที่ Lead รั่วไหลบ่อยที่สุดเมื่อทำงานกับ Agency

จากลักษณะงานของธุรกิจอสังหาริมทรัพย์และทีมเก็บ Lead จุดรั่วไหลที่พบซ้ำมีรูปแบบใกล้เคียงกันในหลายโครงการ

• ส่งไฟล์รายชื่อ Lead ผ่าน Excel หรืออีเมลธรรมดาระหว่างทีมขายกับ Agency โดยไม่จำกัดสิทธิ์เข้าถึง
• Agency ใหม่รับช่วงต่อแล้วยังใช้ Pixel หรือ Tag เดิมของ Agency เก่าที่ไม่มีใครปิดการใช้งาน
• Agency ใช้ Freelance หรือ Sub-agency ช่วยรันแคมเปญโดยไม่แจ้งเจ้าของโครงการล่วงหน้า
• แชร์รายชื่อ Lead ผ่านกลุ่มไลน์หรือแอปแชทภายในทีมงานเพื่อความสะดวก แต่ไม่มีใครลบออกภายหลัง

จุดร่วมของทั้งหมดนี้คือข้อมูลเดินทางออกนอกระบบหลักของโครงการ และไม่มีใครติดตามว่าเดินทางไปที่ไหนบ้าง การทำ Data Flow อย่างง่าย ๆ ระบุว่า Agency แต่ละรายรับข้อมูลผ่านช่องทางใด จึงเป็นจุดเริ่มต้นที่ช่วยลดความเสี่ยงได้จริง

สิ่งที่ควรอยู่ในสัญญาหรือข้อตกลงกับ Agency

สัญญาหรือข้อตกลงการทำงานกับ Agency ควรมีเงื่อนไขอย่างน้อยดังนี้ ระบุวัตถุประสงค์และขอบเขตข้อมูลที่ Agency เข้าถึงได้ ระบุว่า Agency ต้องแจ้งหากใช้ Sub-agency หรือ Freelance ช่วยงาน กำหนดวิธีส่งคืนหรือการลบข้อมูล Lead เมื่อสิ้นสุดสัญญา และกำหนดให้ Agency แจ้งเจ้าของโครงการทันทีหากพบเหตุการณ์ผิดปกติเกี่ยวกับข้อมูลที่ได้รับมอบหมาย

ควรหลีกเลี่ยงการใช้คำกว้าง ๆ เช่น "Agency จะดูแลข้อมูลอย่างเหมาะสม" โดยไม่ระบุรายละเอียด เพราะเมื่อเกิดปัญหาจริงจะไม่มีหลักฐานอ้างอิงว่าฝ่ายใดต้องรับผิดชอบส่วนใด ทีมกฎหมายภายในหรือที่ปรึกษาภายนอกควรมีส่วนร่วมตรวจร่างสัญญาฉบับมาตรฐานที่ใช้กับ Agency ทุกราย ไม่ใช่ตรวจเฉพาะรายที่มีปัญหาแล้ว

Tracking Script และ Pixel ที่ Agency ติดตั้งเอง

Agency ที่ดูแลแคมเปญโฆษณามักติดตั้ง Pixel และ Script ของแพลตฟอร์มโฆษณาเองผ่าน Google Tag Manager หรือฝังโค้ดตรงในหน้า Landing Page จุดที่ต้องตรวจคือ Script เหล่านี้เริ่มทำงานก่อนหรือหลังผู้เยี่ยมชมกดยินยอมบน Cookie Banner ถ้า Script ยิงข้อมูลออกไปก่อน Consent จะถือเป็นความเสี่ยงที่ต้องแก้ก่อนเปิดแคมเปญจริง ไม่ใช่แก้หลังพบปัญหา

trusty ช่วยตรวจพฤติกรรม Script ฝั่งไคลเอนต์บนหน้าที่เปิดให้สาธารณะเข้าถึงได้ และแสดงผลว่า Script ใดทำงานก่อนหรือหลัง Consent ตามการตั้งค่า Cookie Consent Banner ที่โครงการเปิดใช้งานจริง ผลตรวจนี้เป็นข้อมูลเบื้องต้นสำหรับทีมไปตรวจสอบต่อกับ Agency ไม่ใช่การตรวจสอบครบทุกหน้าหรือทุก Sub-agency ที่อาจฝังโค้ดแยกกัน

ต้องตรวจ Pixel ของ Agency ก่อนหรือหลัง Consent? คำตอบสั้น ๆ คือควรตรวจก่อนเปิดแคมเปญจริงเสมอ เพราะเมื่อแคมเปญเริ่มวิ่งแล้วผู้เข้าชม Landing Page อาจมาจากหลายช่องทางพร้อมกัน หากพบว่า Script ยิงก่อน Consent ทีมงานควรแจ้ง Agency ให้แก้ไขทันทีและบันทึกวันที่แก้ไขไว้เป็นหลักฐาน ไม่ใช่ปล่อยให้แคมเปญวิ่งต่อไปก่อนแล้วค่อยแก้ทีหลัง

trusty ช่วยตรวจ Script ที่ Agency ติดตั้งได้อย่างไร?

เมื่อโครงการเปิดใช้งาน Cookie Consent Banner ของ trusty ระบบจะตรวจพฤติกรรม Script ที่ทำงานบนหน้าเว็บสาธารณะเทียบกับสถานะ Consent ที่ผู้เยี่ยมชมเลือกจริง และแสดงเป็นรายการให้ทีมงานเห็นว่า Script ตัวใดยังทำงานอยู่แม้ผู้ใช้กด Reject All ทีมงานสามารถนำรายการนี้ไปตรวจสอบต่อกับ Agency ว่า Script นั้นมาจากแคมเปญใดและใครเป็นผู้ติดตั้ง

ข้อจำกัดที่ควรเข้าใจคือผลตรวจนี้ครอบคลุมเฉพาะหน้าที่เปิดให้สาธารณะเข้าถึงและ Script ที่ทำงานฝั่งไคลเอนต์เท่านั้น หาก Agency ส่งข้อมูลผ่านระบบฝั่งเซิร์ฟเวอร์โดยตรง หรือฝัง Script ไว้ในหน้าที่ต้อง Login ก่อนเข้าถึง การตรวจสอบส่วนนั้นต้องอาศัยการประสานงานกับฝ่ายไอทีหรือ Agency โดยตรง ไม่ใช่สิ่งที่การสแกนอัตโนมัติมองเห็นได้ทั้งหมด

ถ้าเปลี่ยน Agency กลางปีต้องทำอย่างไรกับข้อมูลเก่า?

เมื่อสัญญากับ Agency สิ้นสุดหรือมีการเปลี่ยนผู้ให้บริการกลางปีตามตัวอย่างในตอนต้น สิ่งที่ทีมงานควรทำก่อนอื่นคือขอให้ Agency เดิมยืนยันเป็นลายลักษณ์อักษรว่าได้ส่งคืนหรือลบข้อมูล Lead ที่เคยได้รับมอบหมายจากระบบของตัวเองแล้ว รวมถึงปิดการใช้งาน Pixel และบัญชีโฆษณาที่ผูกกับแคมเปญเก่า เพื่อไม่ให้ข้อมูลยังไหลเข้าระบบของ Agency เดิมโดยไม่มีใครรู้

ขั้นต่อมาคือปรับปรุงรายชื่อผู้ให้บริการในเอกสาร Privacy Policy และ Consent Log ให้ตรงกับ Agency รายใหม่ หากมีการโอนย้ายฐานข้อมูล Lead ให้ Agency ใหม่ดูแลต่อ ควรตรวจว่าผู้ที่เคยยินยอมไว้กับ Agency เดิมยังอยู่ในขอบเขตวัตถุประสงค์เดิมหรือไม่ กรณีที่วัตถุประสงค์เปลี่ยนไปมาก ควรพิจารณาแจ้งเจ้าของข้อมูลใหม่หรือขอความยินยอมเพิ่มเติมตามความเหมาะสมของแต่ละกรณี

ทำไมต้องทบทวนทุกไตรมาส ไม่ใช่ปีละครั้ง

ธุรกิจอสังหาริมทรัพย์เปิดแคมเปญใหม่บ่อยตามจังหวะการขายแต่ละเฟส และ Agency มักปรับทีมงานหรือเปลี่ยนเครื่องมือโฆษณาไปพร้อมกัน ทุกครั้งที่มีแคมเปญใหม่ อาจมีการติดตั้ง Pixel ใหม่หรือปรับ Tag ที่ไม่มีใครแจ้งฝ่ายไอทีของโครงการ การตรวจทานเพียงปีละครั้งจึงตามความเสี่ยงจริงไม่ทัน ทีมงานควรกำหนดรอบทบทวนตามความถี่ของแคมเปญ อย่างน้อยทุกไตรมาส และทุกครั้งที่เปลี่ยน Agency

ควรทบทวนสัญญากับ Agency บ่อยแค่ไหน? สำหรับหมวดนี้ที่มี Freshness Risk สูง คำแนะนำคือทบทวนทุกสามเดือนเป็นอย่างน้อย และเพิ่มรอบพิเศษทุกครั้งที่มีการเปิดแคมเปญใหญ่ เปลี่ยนทีมงาน Agency หรือเปลี่ยนแพลตฟอร์มโฆษณาหลัก เพราะเหตุการณ์เหล่านี้มักมาพร้อมกับการติดตั้ง Script หรือเครื่องมือใหม่ที่ยังไม่ผ่านการตรวจสอบ

เช็กลิสต์ปฏิบัติ

• ขอรายชื่อ Sub-agency หรือ Freelance ที่ Agency ใช้ทำงานจริงทั้งหมดก่อนเริ่มแคมเปญ
• ระบุใน Brief ทุกแคมเปญว่า Agency เก็บข้อมูลอะไรและนำไปใช้ต่ออย่างไร
• ตรวจ Landing Page และ Pixel ที่ Agency ติดตั้งก่อนเปิดแคมเปญจริง
• ทำข้อตกลงเรื่องการส่งคืนหรือการลบข้อมูล Lead เมื่อสิ้นสุดสัญญากับ Agency
• เก็บหลักฐาน Consent ของ Lead ที่มาจากแคมเปญของ Agency แยกตามรอบแคมเปญ
• นัดทบทวนสถานะ Agency ทุกไตรมาสหรือทุกครั้งที่เปลี่ยนทีมงาน Agency

ข้อผิดพลาดที่พบบ่อย

• ส่งไฟล์ Lead ผ่าน Excel หรืออีเมลโดยไม่เข้ารหัสหรือจำกัดสิทธิ์เข้าถึง
• ปล่อยให้ Agency ใหม่ใช้ Pixel เดิมของ Agency เก่าที่ยังไม่ได้ปิดการใช้งาน
• ไม่ระบุใน Privacy Policy ว่ามี Agency เป็นผู้ประมวลผลข้อมูลแทนองค์กร
• เปลี่ยน Agency แล้วไม่อัปเดตรายชื่อผู้ให้บริการหรือ Consent Log ให้ตรงกับผู้ให้บริการปัจจุบัน

สรุป

ความสัมพันธ์กับ Agency ของธุรกิจอสังหาริมทรัพย์เปลี่ยนบ่อยตามรอบแคมเปญ การทบทวนบทบาทของ Agency จุด Pixel ที่ติดตั้ง และเงื่อนไขการส่งคืนข้อมูลเมื่อจบสัญญาอย่างสม่ำเสมอ ช่วยลดความเสี่ยงที่ข้อมูล Lead จะตกค้างอยู่กับผู้ให้บริการที่เลิกทำงานด้วยแล้ว ธุรกิจที่มีแคมเปญซับซ้อนหรือใช้ Agency หลายรายพร้อมกันควรให้ทีมกฎหมายมีส่วนร่วมตรวจสัญญามาตรฐานอย่างต่อเนื่อง ไม่ใช่ตรวจเฉพาะเมื่อเกิดปัญหาแล้ว

แหล่งข้อมูลอ้างอิง

• สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (PDPC)
• Google Tag Platform — Consent Mode Documentation
• คู่มือ PDPA สำหรับ Agency สำหรับธุรกิจอสังหาริมทรัพย์
• เช็กลิสต์ PDPA สำหรับ Agency ก่อนต่อสัญญา
• ศูนย์ความรู้ Business, Industry & SEO