PDPA สำหรับ Agency คืออะไร? คู่มือสำหรับอสังหาริมทรัพย์และธุรกิจที่เก็บ Lead

Agency ที่รับดูแลเว็บไซต์และแคมเปญโฆษณาแทนเจ้าของโครงการอสังหาริมทรัพย์ มักไม่ใช่เจ้าของข้อมูลลูกค้าโดยตรง แต่กลับเป็นผู้ที่สัมผัสข้อมูลก่อนใคร ตั้งแต่ฟอร์มจองชมโครงการไปจนถึง Pixel ที่ติดตั้งเองบนเว็บไซต์ลูกค้า สถานะนี้ทำให้ Agency มีความรับผิดชอบด้านข้อมูลส่วนบุคคลที่แยกจากเจ้าของโครงการอย่างชัดเจน แม้จะไม่ได้เป็นเจ้าของแบรนด์ก็ตาม

คู่มือนี้อธิบายว่า PDPA เกี่ยวข้องกับงานของ Agency อสังหาริมทรัพย์อย่างไร ตั้งแต่บทบาทตามกฎหมาย ข้อมูลที่เก็บจริงในแต่ละขั้นตอน ไปจนถึงจุดที่ควรส่งต่อผู้เชี่ยวชาญก่อนที่จะกลายเป็นปัญหาระหว่างการทำงานร่วมกับลูกค้า

บทบาทของ Agency ในการประมวลผลข้อมูล

เมื่อ Agency สร้างฟอร์มเก็บ Lead ให้โครงการ ติดตั้ง Pixel โฆษณา หรือดูแล CRM แทนเจ้าของโครงการ Agency มักทำหน้าที่เป็นผู้ประมวลผลข้อมูลตามคำสั่งของเจ้าของโครงการ ขณะที่เจ้าของโครงการยังคงเป็นผู้กำหนดวัตถุประสงค์หลักของการเก็บข้อมูล อย่างไรก็ตาม หาก Agency นำข้อมูล Lead ไปใช้เพื่อวัตถุประสงค์อื่นของตัวเอง เช่น นำเบอร์โทรไปทำฐานข้อมูลลูกค้าสำหรับแคมเปญโครงการอื่น บทบาทของ Agency อาจเปลี่ยนไปเป็นผู้กำหนดวัตถุประสงค์ร่วมด้วย ซึ่งเป็นเรื่องที่ต้องพิจารณาเป็นรายกรณีและควรให้ผู้เชี่ยวชาญตรวจสัญญาระหว่างสองฝ่ายให้ชัดเจน

ความสับสนที่พบบ่อยคือ Agency คิดว่าตัวเองเป็นเพียงผู้รับจ้างทำเว็บไซต์ จึงไม่ต้องรับผิดชอบเรื่องข้อมูล ทั้งที่ในทางปฏิบัติ Agency เป็นผู้เขียนโค้ดฟอร์ม เป็นผู้เลือก Cookie Category และเป็นผู้ดูแล Server ที่เก็บข้อมูล Lead จริง

Governance ภายใน Agency ที่รับงานหลายโครงการพร้อมกัน

Agency ขนาดกลางมักดูแลเว็บไซต์ให้หลายโครงการพร้อมกัน แต่ละโครงการมีเจ้าของ มีระดับความยินยอม และมี Vendor Tracking ที่ต่างกัน หากไม่มีระบบแยกงานที่ชัดเจน พนักงานคนเดียวอาจสลับใช้ Tag Manager Container ผิดโครงการ หรือเผลอส่งรายชื่อ Lead ของโครงการหนึ่งไปให้ทีมขายของอีกโครงการโดยไม่ตั้งใจ

แนวทางที่ช่วยลดความเสี่ยงนี้คือกำหนดผู้รับผิดชอบหลักต่อโครงการอย่างชัดเจน แยก Workspace หรือบัญชีเข้าถึงเครื่องมือ Tracking ต่อโครงการแทนการใช้บัญชีรวมของ Agency และทำรายการ Vendor ที่ใช้ในแต่ละโครงการไว้เป็นเอกสารกลาง เพื่อให้พนักงานใหม่ที่เข้ามารับช่วงงานเห็นภาพรวมได้ทันทีโดยไม่ต้องถามคนเดิมที่อาจลาออกไปแล้ว

ความแตกต่างเมื่อทำงานกับ Developer ต่างชาติ

โครงการอสังหาริมทรัพย์บางแห่งมีบริษัทแม่อยู่ต่างประเทศ และต้องการให้ข้อมูล Lead ถูกส่งกลับไปยังทีมขายส่วนกลางที่อยู่นอกประเทศไทย กรณีนี้ Agency ควรตรวจก่อนว่าการส่งข้อมูลข้ามพรมแดนมีข้อกำหนดเพิ่มเติมที่ต้องปฏิบัติตามหรือไม่ และผู้รับข้อมูลปลายทางมีมาตรการดูแลข้อมูลที่สอดคล้องกับสิ่งที่แจ้งไว้กับลูกค้าในประเทศไทยหรือไม่

เรื่องนี้อยู่นอกเหนือขอบเขตที่ Agency จะประเมินเองได้ทั้งหมด แนวทางที่ปลอดภัยกว่าคือบันทึกข้อเท็จจริงเกี่ยวกับปลายทางที่ข้อมูลถูกส่งไปให้ครบ แล้วส่งต่อให้เจ้าของโครงการและที่ปรึกษากฎหมายเป็นผู้ตัดสินใจเรื่องเงื่อนไขการโอนข้อมูล แทนที่ Agency จะเขียนคำอธิบายเรื่องการโอนข้อมูลข้ามประเทศเองในหน้า Privacy Policy โดยไม่มีการตรวจทาน

ข้อมูลที่ Agency อสังหาริมทรัพย์เก็บจริง

ข้อมูลจากฟอร์มเว็บไซต์และ Landing Page

ชื่อ เบอร์โทร อีเมล และบางครั้งงบประมาณหรือช่วงเวลาที่สนใจซื้อ เป็นข้อมูลพื้นฐานที่ทุกแคมเปญเก็บ Agency ควรรู้ว่าฟอร์มแต่ละตัวที่ตัวเองสร้างส่งข้อมูลไปที่ไหนบ้าง ทั้ง CRM ของโครงการ Google Sheet สำรอง หรือระบบแจ้งเตือนผ่าน LINE ของทีมขาย

ข้อมูลจาก Call Tracking

หลายแคมเปญใช้เบอร์โทรเสมือนเพื่อวัดผลว่าสายที่โทรเข้ามาจากช่องทางโฆษณาใด การใช้ Call Tracking หมายความว่ามีการบันทึกหมายเลขผู้โทรเข้าและอาจมีการบันทึกเสียงสนทนาด้วย ซึ่งเป็นข้อมูลที่ต้องแจ้งผู้โทรก่อนเริ่มบันทึก ไม่ใช่ข้อมูลที่ Agency มองข้ามเพราะคิดว่าเป็นแค่เครื่องมือวัดผลการตลาด

ข้อมูลใน CRM ที่ Agency ดูแลแทนโครงการ

บางโครงการให้ Agency เป็นผู้ดูแล CRM ทั้งระบบ ทำให้ Agency เข้าถึงประวัติการติดต่อ สถานะการเจรจา และบางครั้งรวมถึงเอกสารประกอบการขอสินเชื่อที่ลูกค้าส่งมา จุดนี้ต้องมีการกำหนดสิทธิ์การเข้าถึงตามบทบาทของพนักงาน Agency แต่ละคน ไม่ใช่ให้ทุกคนในทีมเข้าถึงข้อมูลลูกค้าทั้งหมดได้เท่ากัน

วงจรชีวิตข้อมูลตั้งแต่เก็บ Lead จนถึงปิดการขาย

ข้อมูล Lead หนึ่งรายเดินทางผ่านหลายจุดสัมผัส เริ่มจากฟอร์มบนเว็บไซต์หรือโฆษณา ผ่าน Call Center คัดกรองเบื้องต้น ส่งต่อให้นายหน้าประจำโครงการ และอาจถูกส่งต่อไปยังธนาคารพันธมิตรหากลูกค้าต้องขอสินเชื่อ ทุกจุดส่งต่อควรมีการบันทึกว่าใครเป็นผู้รับข้อมูลถัดไป Agency ที่ดูแลระบบทั้งสายควรมีแผนผังนี้เป็นเอกสารที่ทีมภายในเข้าใจตรงกัน ไม่ใช่ความเข้าใจที่กระจัดกระจายอยู่ในหัวของแต่ละคน

เมื่อการขายจบลงไม่ว่าจะสำเร็จหรือไม่ ควรมีการกำหนดว่าข้อมูล Lead ที่ไม่ปิดการขายจะถูกเก็บไว้นานเท่าใดก่อนลบหรือทำให้ไม่สามารถระบุตัวตนได้ เพราะฐานข้อมูล Lead เก่าที่ไม่มีการใช้งานคือความเสี่ยงที่สะสมไว้โดยไม่มีประโยชน์ทางธุรกิจเพิ่มขึ้น

Cookie และ Tracking บนเว็บไซต์ที่ Agency ดูแล

เมื่อ Agency เป็นผู้ติดตั้ง Google Tag Manager และ Pixel โฆษณาเอง ควรตั้งค่า Default Consent State ก่อนที่ Tag ใด ๆ จะทำงาน แล้วอัปเดตสถานะหลังผู้ใช้เลือกในหน้า Cookie Banner ความผิดพลาดที่เกิดขึ้นบ่อยคือ Agency Copy Container จากโครงการอื่นมาใช้ทั้งชุด โดยไม่ได้ตรวจว่า Tag บางตัวเป็นของโครงการเดิมที่ไม่เกี่ยวข้องกับเว็บไซต์ใหม่เลย

Privacy Policy ที่ Agency ต้องเตรียมให้ตรงกับงานจริง

Agency ที่รับผิดชอบทั้งเว็บไซต์และแคมเปญ ควรช่วยเจ้าของโครงการตรวจว่า Privacy Policy ที่แสดงบนเว็บไซต์ตรงกับ Vendor และ Tracking ที่ Agency ติดตั้งจริงหรือไม่ ไม่ใช่ใช้ Template เดิมที่เขียนไว้ตั้งแต่เปิดโครงการแรกแล้วคัดลอกไปใช้กับทุกเว็บไซต์ถัดมา การร่าง Policy ควรเริ่มจากผลสแกนและข้อมูลที่ตรวจพบจริงเป็นจุดตั้งต้น แล้วให้เจ้าของโครงการหรือผู้เชี่ยวชาญตรวจทานเมื่อธุรกิจมีความซับซ้อน เช่น มีการขายทั้งในและต่างประเทศ

เมื่อไรต้องส่งต่อทนายหรือ DPO

Agency ควรส่งต่อผู้เชี่ยวชาญเมื่อพบสถานการณ์อย่างสัญญาการประมวลผลข้อมูลระหว่าง Agency กับเจ้าของโครงการยังไม่ชัดเจนว่าใครเป็นผู้ควบคุมหลัก เมื่อมีการโอนข้อมูลลูกค้าข้ามประเทศไปยังบริษัทแม่ของ Developer ต่างชาติ หรือเมื่อพบข้อมูลอ่อนไหวปะปนในฐานลูกค้า เช่น เอกสารทางการแพทย์ที่แนบมากับคำขอสินเชื่อเพื่อพิสูจน์รายได้พิเศษ สถานการณ์เหล่านี้เกินขอบเขตที่ทีมการตลาดหรือทีมไอทีจะตัดสินใจเองได้

ในทางปฏิบัติ Agency ไม่จำเป็นต้องรอผู้เชี่ยวชาญตรวจครบทุกจุดก่อนเริ่มทำงาน สิ่งที่ทำได้ทันทีคือแยกรายการความเสี่ยงเป็นสองกลุ่ม กลุ่มที่แก้ได้เองภายในทีม เช่น การจัดหมวด Cookie และการตั้งค่า Consent Mode กับกลุ่มที่ต้องรอความเห็นจากภายนอก เช่น เงื่อนไขสัญญาข้ามประเทศ แล้วเริ่มทำงานในกลุ่มแรกไปพร้อมกับรอผลจากกลุ่มที่สอง เพื่อไม่ให้โครงการทั้งหมดหยุดชะงักเพราะรอคำตอบเรื่องเดียว

คำถามที่พบบ่อย

Agency ต้องมี Privacy Policy ของตัวเองแยกจากโครงการหรือไม่

ควรมี เพราะ Agency เก็บข้อมูลของตัวเองด้วย เช่น ข้อมูลติดต่อของผู้ว่าจ้าง แยกจาก Policy ของโครงการอสังหาริมทรัพย์ที่ Agency เป็นผู้ดูแลเว็บไซต์ให้

ถ้า Agency แค่ทำเว็บไซต์แต่ไม่ได้ดูแล CRM ยังต้องรับผิดชอบเรื่องข้อมูลหรือไม่

ยังต้องรับผิดชอบในส่วนที่ตัวเองควบคุม เช่น โค้ดฟอร์มและ Cookie ที่ติดตั้ง แม้จะไม่ได้เป็นผู้ดูแล CRM ต่อจากนั้นก็ตาม ขอบเขตความรับผิดชอบควรระบุไว้ในสัญญาให้ชัดเจน

Call Tracking ที่บันทึกเสียงสนทนาต้องขอความยินยอมอย่างไร

โดยทั่วไปควรมีข้อความแจ้งก่อนเริ่มบันทึกเสียง เช่น ข้อความอัตโนมัติก่อนต่อสาย เพื่อให้ผู้โทรรับทราบว่ามีการบันทึก รายละเอียดที่ต้องใช้จริงควรตรวจกับผู้ให้บริการ Call Tracking และที่ปรึกษากฎหมายของธุรกิจ

Agency ควรลบฐานข้อมูล Lead เก่าเมื่อไร

ควรกำหนดระยะเวลาเก็บร่วมกับเจ้าของโครงการตั้งแต่ต้น เช่น Lead ที่ไม่มีการติดต่อกลับภายในระยะเวลาที่ตกลงกันควรถูกลบหรือทำให้ไม่สามารถระบุตัวตนได้ แทนที่จะเก็บไว้ไม่มีกำหนด

ทีมขายเปลี่ยนงานบ่อย ต้องส่งต่อความรู้เรื่องข้อมูลอย่างไร

ควรมีเอกสารสรุปเส้นทางข้อมูลและรายชื่อ Vendor ที่แยกจากตัวบุคคล เพื่อให้พนักงานใหม่เข้าใจภาพรวมได้จากเอกสารแทนการถามต่อจากคนเดิมที่อาจลาออกไปแล้ว การอบรมสั้น ๆ ตอนเริ่มงานเกี่ยวกับ Cookie Category และการตั้งค่า Consent ที่ Agency ใช้ก็ช่วยลดความผิดพลาดจากการสลับ Container ผิดโครงการได้เช่นกัน

เช็กลิสต์ปฏิบัติ

• ระบุในสัญญาว่า Agency มีบทบาทเป็นผู้ประมวลผลหรือผู้ควบคุมร่วมสำหรับงานแต่ละส่วน
• ทำแผนผังเส้นทางข้อมูล Lead ตั้งแต่ฟอร์มจนถึงนายหน้าและธนาคารพันธมิตร
• ตรวจว่า Google Tag Manager Container ที่ Copy มาไม่มี Tag ของโครงการอื่นหลงเหลืออยู่
• กำหนดสิทธิ์การเข้าถึง CRM ตามบทบาทของพนักงาน Agency แต่ละคน
• ตรวจว่า Privacy Policy บนเว็บไซต์ตรงกับ Vendor และ Pixel ที่ติดตั้งจริง
• กำหนดระยะเวลาเก็บฐานข้อมูล Lead ที่ไม่ปิดการขายร่วมกับเจ้าของโครงการ
• ตรวจข้อความแจ้งก่อนบันทึกเสียงในระบบ Call Tracking

ข้อผิดพลาดที่พบบ่อย

• คิดว่าตัวเองเป็นเพียงผู้รับจ้างทำเว็บไซต์จึงไม่ต้องรับผิดชอบเรื่องข้อมูล
• Copy Google Tag Manager Container จากโครงการอื่นทั้งชุดโดยไม่ตรวจ Tag ที่ไม่เกี่ยวข้อง
• ให้พนักงานทุกคนใน Agency เข้าถึงข้อมูลลูกค้าทั้งหมดใน CRM เท่ากัน
• ไม่มีเอกสารกำหนดว่า Agency กับเจ้าของโครงการใครเป็นผู้ควบคุมข้อมูลหลัก

สรุป

Agency ที่ทำงานด้านอสังหาริมทรัพย์มีบทบาทด้านข้อมูลส่วนบุคคลมากกว่าที่คิด เพราะเป็นผู้สัมผัสข้อมูล Lead ตั้งแต่จุดแรก การเข้าใจบทบาทของตัวเอง รู้ว่าเก็บข้อมูลอะไรจริง และรู้ว่าจุดใดต้องส่งต่อผู้เชี่ยวชาญ ช่วยลดความเสี่ยงในการทำงานร่วมกับลูกค้าได้ในระยะยาว อ่านขั้นตอนปฏิบัติต่อเนื่องได้ที่วิธีวางระบบ PDPA สำหรับ Agency แบบเป็นขั้นตอน หรือใช้เช็กลิสต์ก่อนเปิดใช้งานประกอบการตรวจงานจริง และดูหัวข้ออื่นในหมวดธุรกิจ อุตสาหกรรม และ SEO

แหล่งข้อมูลอ้างอิง

• สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (PDPC)