วิธี Audit PDPA สำหรับ Agency ของอสังหาริมทรัพย์และธุรกิจที่เก็บ Lead พร้อม Evidence ที่ควรเก็บ

ทีม Compliance ภายในของเอเจนซี่แห่งหนึ่งเคย Audit ให้ลูกค้าทีละราย ใช้เวลารายละสองวัน เมื่อมีลูกค้าสิบสองรายพร้อมกัน กว่าจะตรวจครบทุกรายก็ผ่านไปเกือบเดือน และลูกค้ารายแรกที่ตรวจเสร็จไปแล้วก็เปลี่ยนแคมเปญใหม่จนผลตรวจเดิมไม่ทันสมัยอีกต่อไป ปัญหานี้แก้ได้ด้วยการ Audit ที่มองภาพรวมทั้งพอร์ตพร้อมกัน แทนที่จะไล่ทีละโครงการจนจบไม่ทัน

ชั้นที่ 1: ตรวจสัญญาและขอบเขตงานกับลูกค้าแต่ละราย

Agency ต้อง Audit กี่ชั้นตามแนวทางนี้ คำตอบคือสามชั้น เริ่มจากชั้นสัญญาก่อนเสมอ เพราะเป็นฐานที่กำหนดว่าเอเจนซี่มีสิทธิ์ทำอะไรกับข้อมูลลูกค้าแต่ละรายได้บ้าง ตรวจว่าสัญญาระบุขอบเขตการใช้ข้อมูล Lead ชัดเจนหรือไม่ ระบุว่าเมื่อจบสัญญาแล้วต้องลบข้อมูลหรือส่งคืนหรือไม่ และสัญญาที่เซ็นไว้ตรงกับสิ่งที่ทีมงานทำจริงในทางปฏิบัติหรือไม่ เพราะบางครั้งสัญญาเขียนไว้อย่างหนึ่งแต่ทีมมีเดียทำงานอีกอย่างเพราะไม่เคยอ่านสัญญาที่ฝ่ายขายเซ็นไว้

ตัวอย่างที่พบบ่อยคือสัญญาระบุว่าเอเจนซี่ต้องลบข้อมูล Lead ทั้งหมดภายในสามสิบวันหลังจบสัญญา แต่ในทางปฏิบัติทีมมีเดียยังเก็บไฟล์ Excel รายชื่อ Lead ของลูกค้ารายนั้นไว้ในโฟลเดอร์ส่วนกลางเพื่อใช้เป็นเคสตัวอย่างนำเสนองานใหม่ โดยไม่รู้ว่าเป็นการละเมิดข้อตกลงในสัญญาที่ฝ่ายขายเซ็นไว้ การตรวจชั้นสัญญาจึงต้องเทียบกับพฤติกรรมจริงของทีมงาน ไม่ใช่อ่านแค่ตัวอักษรในเอกสาร

ชั้นที่ 2: ตรวจเครื่องมือและสิทธิ์เข้าถึงที่เอเจนซี่ถือครอง

ชั้นนี้ตรวจว่าใครในทีมมีสิทธิ์เข้าถึงบัญชี GTM, Ads Manager และ CRM ของลูกค้าแต่ละราย และสิทธิ์นั้นจำกัดเฉพาะทีมที่ดูแลโครงการนั้นจริงหรือเปิดกว้างให้พนักงานทุกคนในเอเจนซี่เข้าถึงได้ทั้งหมด รวมถึงตรวจว่าบัญชีของลูกค้าที่จบสัญญาไปแล้วยังมีทีมงานเก่าเข้าถึงอยู่หรือไม่ ชั้นนี้มักเป็นจุดที่พบปัญหามากที่สุดเพราะเอเจนซี่มีพนักงานเข้าออกบ่อย แต่การถอนสิทธิ์เข้าถึงเครื่องมือของลูกค้าแต่ละรายมักไม่ได้อยู่ในกระบวนการ Offboarding มาตรฐาน

วิธีตรวจที่ทำได้จริงคือขอรายชื่อผู้ใช้งานทั้งหมดจากแต่ละแพลตฟอร์มโดยตรง แล้วเทียบกับรายชื่อทีมงานที่ยังทำงานอยู่ในปัจจุบัน แทนที่จะเชื่อความจำของหัวหน้าทีมว่าใครควรมีสิทธิ์บ้าง เพราะบัญชีของลูกค้าเก่าที่เอเจนซี่เลิกดูแลไปแล้วมักถูกลืมไว้เฉย ๆ โดยไม่มีใครนึกถึงจนกว่าจะมีการตรวจสอบแบบนี้เกิดขึ้น

ชั้นที่ 3: ตรวจผลงานที่ส่งมอบจริงให้ลูกค้าแต่ละราย

ชั้นสุดท้ายตรวจสิ่งที่ลูกค้าเห็นจริง คือ Landing Page ที่เปิดใช้งานอยู่ ฟอร์มเก็บ Lead ที่ใช้จริง และรายงานผลแคมเปญที่ส่งให้ลูกค้า ตรวจว่า Landing Page แต่ละหน้ามี Privacy Policy ที่ตรงกับข้อมูลที่เก็บจริง Cookie Banner ทำงานถูกต้อง และรายงานที่ส่งให้ลูกค้าไม่มีข้อมูลส่วนบุคคลของ Lead รายอื่นที่ไม่เกี่ยวข้องปนอยู่ในไฟล์เดียวกันโดยไม่ตั้งใจ

ทำตาราง Portfolio เพื่อดูภาพรวมทุกลูกค้าพร้อมกัน

ทำ Portfolio Audit เพื่ออะไร เป้าหมายคือให้ทีม Compliance เห็นสถานะของทุกลูกค้าในหน้าเดียว แทนที่จะเปิดไฟล์แยกทีละราย ตารางด้านล่างเป็นตัวอย่างรูปแบบที่ใช้งานได้จริง โดยให้คะแนนสถานะแต่ละชั้นเป็นผ่าน ต้องแก้ไข หรือยังไม่ได้ตรวจ

ตารางแบบนี้ช่วยให้หัวหน้าทีม Compliance สั่งให้แก้ไขเฉพาะช่องที่เป็นต้องแก้ไขก่อน แทนที่จะไล่ตรวจซ้ำทั้งพอร์ตทุกครั้งที่มีเวลา และเห็นทันทีว่าโครงการใดยังไม่เคยถูกตรวจเลย

ต้องเก็บ Evidence อะไรบ้างสำหรับส่งมอบให้ลูกค้าตรวจสอบย้อนหลัง

ต้องเก็บ Evidence อะไรบ้างสำหรับส่งมอบให้ลูกค้า เอเจนซี่ควรเก็บอย่างน้อยสี่อย่างต่อลูกค้าหนึ่งราย คือภาพหน้าจอ Consent ของ Landing Page แต่ละเวอร์ชันที่เคยเปิดใช้งาน รายชื่อพนักงานที่เคยมีสิทธิ์เข้าถึงบัญชีของลูกค้ารายนั้นพร้อมวันที่ให้และถอนสิทธิ์ สำเนาสัญญาหรือข้อตกลงที่ระบุขอบเขตการใช้ข้อมูล และบันทึกวันที่ส่งมอบไฟล์ Lead แต่ละครั้ง หลักฐานเหล่านี้ไม่ใช่แค่ไว้ป้องกันปัญหา แต่ยังใช้ตอบคำถามลูกค้าได้ทันทีเมื่อลูกค้าถามย้อนกลับว่าทำอะไรกับข้อมูลของเขาไปบ้าง

เมื่อใดควรให้ผู้เชี่ยวชาญภายนอกเข้ามาช่วย

การ Audit สามชั้นนี้เหมาะกับทีม Compliance ภายในเอเจนซี่ใช้ตรวจสอบตัวเองเป็นประจำ แต่หากเอเจนซี่รับงานลูกค้าต่างประเทศที่มีการโอนข้อมูลข้ามพรมแดน หรือเคยมีข้อพิพาทกับลูกค้าเรื่องการใช้ข้อมูล Lead ผิดวัตถุประสงค์ ควรให้ผู้เชี่ยวชาญด้านข้อมูลส่วนบุคคลภายนอกเข้ามาตรวจเพิ่มเติม โดยเฉพาะการตรวจสัญญาที่มีข้อกฎหมายซับซ้อนเกินกว่าที่ทีม Compliance ภายในจะตัดสินใจเองได้

ส่งมอบผลตรวจให้ลูกค้าอย่างไรโดยไม่เปิดเผยข้อมูลลูกค้ารายอื่น

เมื่อลูกค้ารายใดขอดูผลการตรวจ PDPA ของโครงการตนเอง เอเจนซี่ควรส่งเฉพาะแถวข้อมูลที่เกี่ยวข้องกับลูกค้ารายนั้นจากตาราง Portfolio ไม่ใช่ส่งไฟล์ทั้งชุดที่มีสถานะของลูกค้ารายอื่นปนอยู่ด้วย แม้จะดูเหมือนเป็นเรื่องเล็กน้อยแต่การเห็นชื่อโครงการของคู่แข่งในธุรกิจเดียวกันอยู่ในไฟล์เดียวกันอาจสร้างความไม่พอใจให้ลูกค้าได้ วิธีที่ปลอดภัยกว่าคือแยกไฟล์ส่งออกเฉพาะแถวของลูกค้ารายนั้นทุกครั้งก่อนส่ง หรือใช้ระบบที่กรองข้อมูลตามสิทธิ์ผู้ดูโดยอัตโนมัติแทนการคัดลอกจากตารางกลางด้วยมือ ซึ่งเป็นขั้นตอนที่ลดความเสี่ยงเรื่องมนุษย์คัดลอกผิดแถวได้มากกว่าการเตือนให้ระวังเฉย ๆ

trusty ช่วยขั้นตอนใดของ Audit นี้ได้บ้าง?

trusty สแกน Landing Page ของแต่ละโครงการเพื่อตรวจ Cookie Banner และ Script โฆษณาที่ทำงานก่อนหรือหลัง Consent ได้ ซึ่งช่วยในชั้นที่ 3 บางส่วน โดยเฉพาะเมื่อเอเจนซี่ดูแลหลายโครงการพร้อมกันและต้องการตรวจซ้ำเป็นระยะโดยไม่ต้องเปิดทุกหน้าด้วยมือ ส่วนชั้นที่ 1 เรื่องสัญญาและชั้นที่ 2 เรื่องสิทธิ์เข้าถึงเครื่องมือภายใน ยังเป็นงานที่ทีม Compliance ต้องตรวจเองเพราะเป็นข้อมูลที่ไม่ปรากฏบนเว็บไซต์สาธารณะ

ตัวอย่าง Finding ที่พบบ่อยในการ Audit สามชั้น

ตัวอย่างต่อไปนี้แสดงวิธีบันทึก Finding จากการ Audit สามชั้นในรูปแบบที่ทีมอื่นอ่านแล้วลงมือแก้ได้ทันที

Finding 1: บัญชี Ads Manager ของลูกค้าเก่ายังเปิดสิทธิ์ให้อดีตพนักงาน

สิ่งที่พบคือพนักงานที่ลาออกไปสี่เดือนก่อนยังมีสิทธิ์เข้าถึงบัญชี Ads Manager ของลูกค้าสามราย หลักฐานคือรายชื่อผู้ใช้งานที่ดึงจากแพลตฟอร์มโฆษณาโดยตรง ความเสี่ยงคือบุคคลที่ไม่มีความเกี่ยวข้องกับองค์กรแล้วยังเข้าถึงข้อมูลผู้ใช้และการตั้งค่าแคมเปญได้ ระดับความสำคัญคือรุนแรงสูงและแก้ง่าย ผู้รับผิดชอบคือทีมไอทีภายในเอเจนซี่ที่ดูแลกระบวนการ Offboarding

Finding 2: Landing Page เก่าที่ปิดแคมเปญแล้วยังเปิดใช้งานอยู่

สิ่งที่พบคือ Landing Page ของแคมเปญที่จบไปแล้วหกเดือนก่อนยังเปิดให้เข้าถึงได้และยังเก็บข้อมูลจากฟอร์มอยู่ หลักฐานคือ URL ที่ยังเข้าถึงได้จริงพร้อมภาพหน้าจอฟอร์มที่ยังทำงาน ความเสี่ยงคือเก็บข้อมูล Lead ต่อเนื่องโดยไม่มีใครติดตามหรือส่งต่อให้ลูกค้า ระดับความสำคัญคือรุนแรงสูงและแก้ง่าย ผู้รับผิดชอบคือทีมมีเดียที่ดูแลแคมเปญนั้น

Finding 3: รายงานผลแคมเปญมีอีเมลของ Lead ลูกค้ารายอื่นปนอยู่

สิ่งที่พบคือไฟล์รายงานสรุปผลที่ส่งให้ลูกค้า B มีแถวข้อมูลที่หลงเหลือจากไฟล์ต้นแบบของลูกค้า A ติดไปด้วยสามแถว หลักฐานคือไฟล์รายงานที่ส่งจริงเทียบกับฐานข้อมูล Lead ของลูกค้าแต่ละราย ความเสี่ยงคือข้อมูลส่วนบุคคลของลูกค้ารายหนึ่งถูกเปิดเผยให้ลูกค้าอีกรายเห็นโดยไม่ตั้งใจ ระดับความสำคัญคือรุนแรงสูงและแก้ง่าย ผู้รับผิดชอบคือทีมที่จัดทำรายงาน โดยควรเพิ่มขั้นตอนตรวจทานก่อนส่งทุกครั้ง

วางรอบตรวจ Portfolio ให้สม่ำเสมอ

เอเจนซี่ที่มีลูกค้าจำนวนมากควรแบ่งรอบตรวจแทนที่จะพยายามตรวจทุกลูกค้าพร้อมกันในครั้งเดียว เช่น แบ่งลูกค้าออกเป็นสี่กลุ่มแล้วตรวจกลุ่มละสัปดาห์หมุนเวียนตลอดเดือน ลูกค้าที่มีแคมเปญเปิดใหม่บ่อยหรือเคยพบ Finding ระดับรุนแรงสูงควรถูกจัดให้อยู่ในรอบตรวจที่ถี่กว่าลูกค้าที่แคมเปญนิ่งและไม่เคยพบปัญหา วิธีแบ่งรอบแบบนี้ช่วยให้ทีม Compliance ขนาดเล็กดูแลลูกค้าจำนวนมากได้โดยไม่ต้องเพิ่มคนตามสัดส่วนลูกค้าที่เพิ่มขึ้นทุกครั้ง

เช็กลิสต์ปฏิบัติ

• ตรวจสัญญาแต่ละลูกค้าว่าระบุขอบเขตการใช้ข้อมูล Lead ชัดเจนและตรงกับที่ทีมงานทำจริง
• ตรวจสิทธิ์เข้าถึงบัญชี GTM, Ads Manager และ CRM ของแต่ละลูกค้าว่าจำกัดเฉพาะทีมที่ดูแล
• ตรวจ Landing Page และ Privacy Policy ของแต่ละโครงการว่าตรงกับข้อมูลที่เก็บจริง
• ทำตาราง Portfolio สรุปสถานะทั้งสามชั้นของทุกลูกค้าไว้ในที่เดียว
• เก็บ Evidence สี่อย่างต่อลูกค้าหนึ่งรายให้พร้อมส่งมอบเมื่อลูกค้าขอตรวจสอบย้อนหลัง
• ถอนสิทธิ์เข้าถึงเครื่องมือของลูกค้าที่จบสัญญาให้เป็นส่วนหนึ่งของกระบวนการ Offboarding มาตรฐาน

ข้อผิดพลาดที่พบบ่อย

• ตรวจ Audit ทีละลูกค้าแบบแยกเดี่ยวจนตรวจไม่ทันเมื่อมีลูกค้าจำนวนมาก
• ถอนสิทธิ์เข้าถึงเครื่องมือของลูกค้าที่จบสัญญาไม่ครบ เพราะไม่ได้อยู่ในกระบวนการ Offboarding มาตรฐาน
• ส่งรายงานผลแคมเปญที่มีข้อมูล Lead ของลูกค้ารายอื่นปนอยู่ในไฟล์เดียวกันโดยไม่ตั้งใจ

สรุป

การ Audit PDPA สำหรับ Agency ที่รับงานอสังหาริมทรัพย์หลายโครงการพร้อมกันต้องมองเป็นสามชั้นคือสัญญา เครื่องมือ และผลงานที่ส่งมอบ แล้วรวมผลลงตาราง Portfolio เพื่อดูภาพรวมทั้งพอร์ตในหน้าเดียว การตรวจทีละลูกค้าแบบแยกเดี่ยวโดยไม่มีภาพรวมมักตรวจไม่ทันเมื่อจำนวนลูกค้าเพิ่มขึ้น

แหล่งข้อมูลอ้างอิง

• สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (PDPC)
• คู่มือ PDPA สำหรับ Agency สำหรับธุรกิจอสังหาริมทรัพย์
• เช็กลิสต์ PDPA สำหรับ Agency อสังหาริมทรัพย์: ต้องตรวจอะไรบ้าง
• ศูนย์ความรู้ Business, Industry & SEO