เช็กลิสต์ PDPA สำหรับ Agency สำหรับอสังหาริมทรัพย์และธุรกิจที่เก็บ Lead: ต้องตรวจอะไรบ้างก่อนเปิดใช้งาน

เอเจนซี่การตลาดแห่งหนึ่งรับงานโฆษณาให้โครงการอสังหาริมทรัพย์พร้อมกันหกโครงการ แต่ละโครงการมี Landing Page และฟอร์มเก็บ Lead แยกกัน ทีมกราฟิกสร้างหน้าเว็บใหม่ทุกสัปดาห์ตามแคมเปญโปรโมชัน แต่ไม่มีใครในทีมตรวจว่า Landing Page ใหม่แต่ละหน้ามี Privacy Policy ลิงก์อยู่หรือไม่ก่อนเปิดยิงโฆษณา เช็กลิสต์นี้ไล่ตามช่วงเวลาของโปรเจกต์แบบที่เอเจนซี่ทำงานจริง เพื่อไม่ให้ความเร็วของงานแลกมาด้วยจุดตรวจที่หลุดไป

ช่วงที่ 1: รับงานใหม่จากลูกค้า

เอเจนซี่ต้องตกลงอะไรกับลูกค้าก่อนเริ่มงานโครงการอสังหาริมทรัพย์ ก่อนเริ่มงานทุกโครงการ ควรสอบถามลูกค้าให้ชัดว่าเจ้าของข้อมูล Lead ที่เก็บได้คือใคร เอเจนซี่มีสิทธิ์ใช้ข้อมูลนั้นทำอะไรได้บ้างนอกเหนือจากส่งให้ลูกค้า และลูกค้ามี Privacy Policy ของตัวเองอยู่แล้วหรือต้องให้เอเจนซี่ช่วยจัดทำ คำถามเหล่านี้ควรตกลงเป็นลายลักษณ์อักษรตั้งแต่ต้น ไม่ใช่ตกลงปากเปล่าแล้วมาเข้าใจไม่ตรงกันภายหลัง

• สอบถามและบันทึกเป็นลายลักษณ์อักษรว่าใครเป็นเจ้าของข้อมูล Lead ที่เก็บได้
• ตกลงขอบเขตการใช้ข้อมูลของเอเจนซี่ให้ชัดตั้งแต่ก่อนเริ่มงาน
• ตรวจว่าลูกค้ามี Privacy Policy อยู่แล้วหรือต้องจัดทำใหม่ให้

ช่วงที่ 2: สร้าง Landing Page และติดตั้ง Tracking

ต้องตรวจอะไรเมื่อสร้าง Landing Page ใหม่ให้ลูกค้า เอเจนซี่ที่สร้างเว็บไซต์หรือ Landing Page ใหม่ให้ทุกครั้งต้องตรวจว่าหน้าเว็บมีลิงก์ Privacy Policy ที่ตรงกับข้อมูลที่ฟอร์มเก็บจริง Cookie Banner แสดงตัวเลือกปฏิเสธชัดเจน และ Pixel ที่ติดตั้งผ่าน GTM ถูกตั้งค่าให้ทำงานหลังผู้ใช้ยอมรับ Consent เท่านั้น จุดนี้เป็นจุดที่พลาดบ่อยเพราะทีมกราฟิกมักโฟกัสที่ความสวยงามและความเร็วในการเปิดตัวมากกว่าการตรวจ Consent

• ทุก Landing Page ใหม่มีลิงก์ Privacy Policy ที่ตรงกับข้อมูลที่ฟอร์มเก็บจริง
• Cookie Banner แสดงตัวเลือกปฏิเสธเทียบเท่าตัวเลือกยอมรับในทุกหน้าที่สร้างใหม่
• ตั้งค่า Pixel ผ่าน GTM ให้ทำงานเฉพาะหลังผู้ใช้ยอมรับ Consent หมวดการตลาด

ช่วงที่ 3: รันแคมเปญโฆษณาและเก็บ Lead

ระหว่างที่แคมเปญกำลังรัน เอเจนซี่ควรตรวจเป็นระยะว่า Lead ที่เก็บได้จากฟอร์มโฆษณามีข้อมูลตรงกับที่ Privacy Policy ระบุไว้หรือไม่ โดยเฉพาะเมื่อทีมมีเดียปรับแบบฟอร์มโฆษณาระหว่างแคมเปญเพื่อเพิ่มอัตราการกรอก บางครั้งการเพิ่มช่องกรอกใหม่ เช่น รายได้ต่อเดือน เกิดขึ้นโดยไม่มีใครแจ้งทีมที่ดูแล Privacy Policy

• ตรวจว่าฟอร์มโฆษณาที่ปรับระหว่างแคมเปญยังตรงกับ Privacy Policy ที่ประกาศไว้
• แจ้งทีมที่ดูแล Privacy Policy ทุกครั้งที่มีการเพิ่มช่องกรอกข้อมูลใหม่ในฟอร์มโฆษณา
• เก็บ Consent Log ของแต่ละ Lead พร้อมระบุว่ามาจากแคมเปญและวันที่ใด

ช่วงที่ 4: ส่งมอบ Lead และรายงานให้ลูกค้า

เมื่อส่งไฟล์รายชื่อ Lead ให้ลูกค้า เอเจนซี่ควรใช้ช่องทางที่มีการควบคุมการเข้าถึง ไม่ใช่แนบไฟล์ Excel ทั้งชุดในอีเมลแบบเปิด และควรลบสำเนาไฟล์ที่เก็บไว้ในเครื่องหรือไดรฟ์ส่วนตัวของทีมงานหลังส่งมอบเสร็จตามรอบที่ตกลงไว้กับลูกค้า ไม่ปล่อยให้ไฟล์เก่าค้างอยู่ในหลายที่โดยไม่มีใครดูแล

• ใช้ช่องทางที่ควบคุมการเข้าถึงในการส่งไฟล์รายชื่อ Lead ให้ลูกค้า ไม่แนบไฟล์เปิดในอีเมล
• กำหนดรอบลบสำเนาไฟล์ Lead ที่เก็บไว้ในเครื่องทีมงานหลังส่งมอบเสร็จ
• บันทึกว่าส่งมอบไฟล์ชุดใดให้ลูกค้าเมื่อใด เพื่อตรวจสอบย้อนหลังได้

ช่วงที่ 5: ปิดโครงการหรือส่งต่อให้ทีมอื่นดูแล

ต้องทำอะไรเมื่อจบสัญญากับลูกค้ารายหนึ่ง เอเจนซี่ควรมีขั้นตอนปิดสิทธิ์เข้าถึงระบบโฆษณาและ Landing Page ของโครงการนั้น ลบข้อมูล Lead ที่เก็บไว้ในระบบของเอเจนซี่เองตามที่ตกลงไว้ในสัญญา และปิดสิทธิ์เข้าถึงบัญชี GTM หรือ Ads Manager ที่เคยให้ทีมงานใช้ ไม่ปล่อยให้บัญชีเก่ายังเปิดอยู่หลังจบงานไปแล้วหลายเดือน

• ปิดสิทธิ์เข้าถึงบัญชีโฆษณาและ GTM ทันทีเมื่อจบสัญญากับลูกค้า
• ลบข้อมูล Lead ที่เก็บไว้ในระบบของเอเจนซี่ตามที่ตกลงในสัญญา
• ส่งมอบเอกสารและรหัสผ่านที่เกี่ยวข้องคืนให้ลูกค้าหรือทีมที่รับช่วงต่อ

ใครรับผิดชอบอะไรระหว่างเอเจนซี่กับลูกค้า

ความสับสนที่พบบ่อยที่สุดคือทั้งสองฝ่ายคิดว่าอีกฝ่ายเป็นคนตรวจ PDPA ให้ ตารางด้านล่างสรุปการแบ่งความรับผิดชอบที่ใช้งานได้จริงในโครงการอสังหาริมทรัพย์ทั่วไป แต่ควรปรับตามข้อตกลงจริงของแต่ละสัญญา

trusty ช่วยตรวจจุดใดในเช็กลิสต์นี้ได้บ้าง?

trusty สแกน Landing Page แต่ละหน้าที่เอเจนซี่สร้างเพื่อตรวจ Cookie Banner และ Script โฆษณาที่ทำงานก่อนหรือหลัง Consent ได้ ครอบคลุมจุดตรวจส่วนใหญ่ในช่วงที่ 2 และช่วงที่ 3 ส่วนกระบวนการภายในของเอเจนซี่ เช่น การส่งมอบไฟล์ให้ลูกค้าและการปิดสิทธิ์เข้าถึงหลังจบสัญญา เป็นกระบวนการที่ระบบสแกนอัตโนมัติมองไม่เห็นและต้องอาศัยเช็กลิสต์นี้ตรวจเอง

เมื่อทำงานหลายโครงการพร้อมกัน ต้องแยกอะไรบ้าง

เอเจนซี่ที่รับงานอสังหาริมทรัพย์หกโครงการพร้อมกันมีความเสี่ยงเฉพาะที่ SME เจ้าของเว็บไซต์เดียวไม่เจอ คือข้อมูล Lead ของโครงการหนึ่งอาจถูกนำไปใช้ผิดกับอีกโครงการโดยไม่ตั้งใจ เช่น ทีมมีเดียคัดลอกไฟล์รายชื่อผู้สนใจโครงการ A ไปใช้เป็นฐานยิงโฆษณา Retargeting ให้โครงการ B เพราะเห็นว่าเป็นกลุ่มเป้าหมายใกล้เคียงกัน ทั้งที่ลูกค้าโครงการ A ไม่เคยยินยอมให้ใช้ข้อมูลของตนกับโครงการอื่น สิ่งที่ควรทำคือแยกโฟลเดอร์และสิทธิ์เข้าถึงข้อมูล Lead ของแต่ละโครงการออกจากกันอย่างชัดเจน ไม่ใช้บัญชีโฆษณาหรือ Pixel ร่วมกันระหว่างโครงการที่เป็นคนละลูกค้า และตั้งชื่อไฟล์ให้ระบุโครงการชัดเจนเพื่อลดโอกาสหยิบผิดไฟล์เวลาทำงานเร่งด่วน

เช็กลิสต์ปฏิบัติ

• ตกลงเป็นลายลักษณ์อักษรว่าใครเป็นเจ้าของข้อมูล Lead ตั้งแต่ก่อนเริ่มงาน
• ทุก Landing Page ใหม่มีลิงก์ Privacy Policy ที่ตรงกับข้อมูลที่ฟอร์มเก็บจริง
• ตั้งค่า Pixel ให้ทำงานเฉพาะหลังผู้ใช้ยอมรับ Consent หมวดการตลาด
• ใช้ช่องทางที่ควบคุมการเข้าถึงในการส่งไฟล์รายชื่อ Lead ให้ลูกค้า
• ปิดสิทธิ์เข้าถึงบัญชีโฆษณาและลบข้อมูล Lead ตามสัญญาทันทีเมื่อจบงาน
• แจ้งทีมที่ดูแล Privacy Policy ทุกครั้งที่ปรับฟอร์มโฆษณาระหว่างแคมเปญ

ข้อผิดพลาดที่พบบ่อย

• เปิดยิงโฆษณา Landing Page ใหม่ก่อนตรวจว่ามีลิงก์ Privacy Policy ที่ตรงกับฟอร์มจริง
• ปล่อยให้บัญชีโฆษณาและ GTM ของลูกค้าเก่ายังเปิดสิทธิ์เข้าถึงอยู่หลังจบสัญญาไปแล้วหลายเดือน
• แนบไฟล์รายชื่อ Lead ทั้งชุดในอีเมลแบบเปิดแทนที่จะใช้ช่องทางที่ควบคุมการเข้าถึง

สรุป

เช็กลิสต์ PDPA สำหรับเอเจนซี่ที่รับงานอสังหาริมทรัพย์ต้องไล่ตามช่วงของโปรเจกต์ทั้งห้าช่วง เพราะเอเจนซี่ทำงานให้ลูกค้าหลายรายพร้อมกันและมีจุดส่งต่อข้อมูลระหว่างทีมมากกว่าเจ้าของเว็บไซต์ที่ดูแลเว็บเดียว การแบ่งความรับผิดชอบให้ชัดกับลูกค้าตั้งแต่ต้นช่วยลดความเสี่ยงที่ทั้งสองฝ่ายคิดว่าอีกฝ่ายจัดการให้แล้ว

แหล่งข้อมูลอ้างอิง

• สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (PDPC)
• คู่มือ PDPA สำหรับ Agency สำหรับธุรกิจอสังหาริมทรัพย์
• วิธี Audit PDPA สำหรับ Agency อสังหาริมทรัพย์พร้อม Evidence
• ศูนย์ความรู้ Business, Industry & SEO