เช็กลิสต์ PDPA สำหรับ Agency สำหรับเว็บไซต์ธุรกิจทั่วไปและ SME: ต้องตรวจอะไรบ้างก่อนเปิดใช้งาน

เจ้าของร้านขายเสื้อผ้าออนไลน์รายหนึ่งเล่าให้ฟังว่าปีที่แล้วจ้าง Agency มาทำแคมเปญโฆษณาช่วงเทศกาล ทุกอย่างดูเรียบร้อยดี ยอดขายขึ้น จนกระทั่งมีลูกค้าคนหนึ่งส่งข้อความมาถามว่าทำไมได้รับ SMS โฆษณาทั้งที่ไม่เคยให้เบอร์โทรกับร้านเลย เจ้าของร้านถึงเพิ่งรู้ว่า Agency ใช้ฐานข้อมูลเบอร์โทรที่ซื้อมาจากที่อื่นโดยไม่ได้แจ้งให้ทราบล่วงหน้า และไม่มีใครในร้านเคยตรวจสอบเรื่องนี้มาก่อนเลยตลอดการทำงานร่วมกัน เหตุการณ์แบบนี้ป้องกันได้ง่าย ๆ ด้วยเช็กลิสต์ที่ใช้ตรวจก่อนเปิดใช้งานทุกครั้ง

ทำไมต้องมีเช็กลิสต์ก่อนเปิดใช้งานแคมเปญหรือเว็บไซต์

เจ้าของกิจการ SME ส่วนใหญ่ไม่มีความรู้กฎหมายลึกซึ้ง และไม่มีเวลาไล่อ่านสัญญาทีละบรรทัด เช็กลิสต์จึงเป็นเครื่องมือที่ช่วยให้ตรวจสอบได้เร็ว ไม่ต้องอาศัยความรู้เฉพาะทาง เพียงไล่ทีละข้อแล้วทำเครื่องหมายว่าผ่านหรือไม่ผ่าน ก่อนอนุมัติให้ Agency เริ่มงานจริงหรือก่อนเว็บไซต์เปิดใช้งานต่อสาธารณะ เช็กลิสต์นี้แบ่งออกเป็นสี่ช่วงตามวงจรการทำงานจริงกับ Agency คือ ก่อนเริ่มงาน ระหว่างเว็บไซต์เปิดใช้งาน ระหว่างยิงแคมเปญ และก่อนเลิกจ้าง เพื่อให้ตรวจสอบได้ตรงจุดในแต่ละช่วงเวลา

เช็กลิสต์ก่อนเริ่มงานกับ Agency

• มีสัญญาประมวลผลข้อมูลส่วนบุคคลแยกจากสัญญาจ้างงานทั่วไปหรือไม่
• สัญญาระบุชัดว่า Agency เก็บข้อมูลอะไร เพื่อวัตถุประสงค์ใด และเก็บนานแค่ไหน
• Agency อธิบายแหล่งที่มาของฐานข้อมูลลูกค้าที่จะใช้ในแคมเปญได้ชัดเจนหรือไม่
• มีการระบุว่าเมื่อสิ้นสุดสัญญาแล้วข้อมูลจะถูกลบหรือส่งคืนอย่างไร
• Agency แจ้งหรือไม่ว่าจะใช้เครื่องมือหรือแพลตฟอร์มโฆษณาต่างประเทศตัวใดบ้าง

เช็กลิสต์เมื่อเว็บไซต์เปิดใช้งานจริง

• แบนเนอร์คุกกี้แสดงผลตั้งแต่ผู้ใช้เข้าเว็บไซต์ครั้งแรกหรือไม่
• ผู้ใช้สามารถกดปฏิเสธคุกกี้ที่ไม่จำเป็นได้ง่ายเท่ากับกดยอมรับหรือไม่
• ฟอร์มเก็บข้อมูลลูกค้า เช่น ฟอร์มสมัครสมาชิกหรือฟอร์มติดต่อ มีข้อความแจ้งวัตถุประสงค์การเก็บข้อมูลชัดเจนหรือไม่
• หน้านโยบายความเป็นส่วนตัวเข้าถึงง่ายจากทุกหน้าและเขียนด้วยภาษาที่เข้าใจง่ายหรือไม่
• มีช่องทางให้ลูกค้าติดต่อขอใช้สิทธิ เช่น ขอลบข้อมูลหรือขอเข้าถึงข้อมูล ที่ใช้งานได้จริงหรือไม่

เช็กลิสต์เมื่อยิงแคมเปญโฆษณา

• ฐานข้อมูลที่ใช้ยิงโฆษณาผ่านการขอความยินยอมจากเจ้าของข้อมูลมาแล้วหรือไม่
• ข้อความโฆษณาที่ส่งออกไปมีช่องทางให้ลูกค้ายกเลิกรับข่าวสารได้ง่ายหรือไม่
• Agency มีบันทึกหลักฐานการขอความยินยอมของฐานข้อมูลที่ใช้อยู่หรือไม่
• หากใช้ Custom Audience หรือ Lookalike Audience บนแพลตฟอร์มโฆษณา มีการตรวจสอบว่าไม่ละเมิดสิทธิของเจ้าของข้อมูลหรือไม่
• มีการทบทวนรายชื่อฐานข้อมูลเป็นระยะเพื่อลบรายชื่อที่ขอถอนความยินยอมแล้วหรือไม่

เช็กลิสต์ก่อนเลิกจ้าง Agency

ช่วงเลิกจ้างเป็นช่วงที่เจ้าของกิจการมักมองข้ามมากที่สุด เพราะสนใจแต่การหา Agency รายใหม่มาทำงานต่อ ทั้งที่ข้อมูลลูกค้าที่ Agency เดิมเคยเข้าถึงยังคงเป็นความเสี่ยงอยู่จนกว่าจะปิดช่องทางเข้าถึงให้เรียบร้อย

• มีหนังสือยืนยันจาก Agency ว่าจะลบหรือส่งคืนข้อมูลลูกค้าทั้งหมดภายในระยะเวลาที่กำหนดหรือไม่
• เปลี่ยนรหัสผ่านของระบบโฆษณาและเครื่องมือวิเคราะห์ข้อมูลทุกตัวที่ Agency เคยเข้าถึงแล้วหรือยัง
• ตรวจสอบว่าไม่มีพนักงานของ Agency คนใดยังมีสิทธิ์เข้าถึงบัญชีโฆษณาของธุรกิจหลงเหลืออยู่

ตัวอย่าง Evidence ที่ควรเก็บคู่กับเช็กลิสต์

การติ๊กผ่านเช็กลิสต์อย่างเดียวไม่พอ ควรแนบหลักฐานประกอบทุกข้อที่ทำได้ เพื่อให้ตรวจสอบย้อนหลังได้จริงหากมีข้อพิพาทเกิดขึ้น

• สำเนาสัญญาประมวลผลข้อมูลที่ลงนามแล้ว
• ภาพหน้าจอแบนเนอร์คุกกี้พร้อมวันที่ตรวจสอบ
• อีเมลยืนยันแหล่งที่มาของฐานข้อมูลลูกค้าจาก Agency
• บันทึกวันที่เปลี่ยนรหัสผ่านระบบโฆษณาเมื่อเลิกจ้าง Agency

เอกสารที่เกี่ยวข้องในชุดนี้

เช็กลิสต์นี้ใช้คู่กับ คู่มือ PDPA สำหรับ Agency ฉบับ SME เพื่อเข้าใจภาพรวมก่อนเริ่มตรวจ และ วิธี Audit PDPA สำหรับ Agency สำหรับขั้นตอนตรวจสอบเชิงลึกที่ควรทำอย่างน้อยปีละครั้ง หรือดูภาพรวมหมวดธุรกิจทั้งหมดได้ที่ ศูนย์ความรู้ Business, Industry & SEO

ข้อผิดพลาดที่พบบ่อยเมื่อใช้เช็กลิสต์นี้

• ติ๊กผ่านทุกข้อโดยไม่ขอ Evidence จาก Agency มายืนยันจริง
• ใช้เช็กลิสต์ครั้งเดียวตอนเริ่มงาน แล้วไม่เคยตรวจซ้ำตลอดอายุสัญญา
• มอบหมายให้พนักงานที่ไม่มีอำนาจตัดสินใจเป็นผู้ตรวจเช็กลิสต์ ทำให้แก้ปัญหาที่พบไม่ได้จริง

วิธีนำเช็กลิสต์นี้ไปใช้จริงในทีมเล็ก

ทีม SME ที่มีคนดูแลเว็บไซต์และการตลาดเพียงหนึ่งหรือสองคน ไม่จำเป็นต้องทำเช็กลิสต์ให้ซับซ้อน แนะนำให้พิมพ์รายการทั้งหมดไว้ในสเปรดชีตเดียว มีช่องระบุวันที่ตรวจ ผู้ตรวจ ผลลัพธ์ผ่านหรือไม่ผ่าน และลิงก์ไฟล์ Evidence แนบไว้ในแถวเดียวกัน เมื่อถึงรอบตรวจครั้งถัดไปก็เปิดไฟล์เดิมมาต่อได้ทันที ไม่ต้องเริ่มนับหนึ่งใหม่ทุกครั้ง วิธีนี้ยังช่วยให้เจ้าของกิจการเห็นภาพรวมได้เร็วว่าจุดไหนยังไม่ผ่านและต้องติดตามกับ Agency ต่อ

สำหรับธุรกิจที่มีหลายแคมเปญพร้อมกัน ควรแยกเช็กลิสต์ตามแคมเปญแทนที่จะใช้ชุดเดียวรวมกันทั้งหมด เพราะแต่ละแคมเปญอาจใช้ฐานข้อมูลลูกค้าคนละชุด หรือใช้เครื่องมือโฆษณาคนละแพลตฟอร์ม การแยกเช็กลิสต์ตามแคมเปญช่วยให้ตรวจสอบได้ละเอียดขึ้น และเมื่อเกิดปัญหาก็สามารถระบุได้ทันทีว่าปัญหานั้นมาจากแคมเปญไหนโดยไม่ต้องไล่ตรวจทั้งหมดใหม่

เมื่อพบว่าข้อใดในเช็กลิสต์ไม่ผ่าน ต้องทำอย่างไรต่อ

การพบว่าบางข้อไม่ผ่านไม่ได้แปลว่าต้องเลิกจ้าง Agency ทันที แต่ควรแจ้ง Agency เป็นลายลักษณ์อักษรพร้อมกำหนดระยะเวลาที่ชัดเจนให้แก้ไข เช่น เจ็ดวันสำหรับปัญหาเล็กน้อยอย่างข้อความแจ้งวัตถุประสงค์บนฟอร์ม หรือสามสิบวันสำหรับปัญหาที่ต้องปรับสัญญาใหม่ หากครบกำหนดแล้วยังไม่แก้ไข ควรระงับการใช้งานส่วนที่เกี่ยวข้องไว้ก่อน เช่น หยุดยิงแคมเปญที่ใช้ฐานข้อมูลที่ยังตรวจสอบแหล่งที่มาไม่ได้ จนกว่าจะได้รับการยืนยันที่ตรวจสอบได้จริง การกำหนดกรอบเวลาที่ชัดเจนแบบนี้ช่วยให้ทั้งสองฝ่ายเข้าใจตรงกันและป้องกันการปล่อยปัญหาค้างไว้นานเกินไปโดยไม่มีใครติดตาม

สรุปการใช้เช็กลิสต์ PDPA สำหรับ Agency

เช็กลิสต์นี้เหมาะสำหรับใช้ก่อนเริ่มงานทุกครั้งกับ Agency ใหม่ และควรนำมาทบทวนซ้ำเป็นระยะระหว่างสัญญา ไม่ใช่ใช้เพียงครั้งเดียวแล้วเก็บเข้าลิ้นชัก การใช้เช็กลิสต์คู่กับการเก็บ Evidence อย่างสม่ำเสมอ จะช่วยให้เจ้าของกิจการ SME ตรวจพบปัญหาได้ตั้งแต่เนิ่น ๆ ก่อนที่จะกลายเป็นเรื่องร้องเรียนจากลูกค้าเหมือนกรณีร้านขายเสื้อผ้าที่กล่าวถึงตอนต้น

แหล่งข้อมูลอ้างอิง

เช็กลิสต์นี้อ้างอิงแนวทางจากสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (PDPC) ซึ่งเป็นหน่วยงานกำกับดูแลหลักด้านการคุ้มครองข้อมูลส่วนบุคคลของประเทศไทย เจ้าของกิจการควรตรวจสอบประกาศและแนวปฏิบัติล่าสุดจากหน่วยงานนี้เป็นระยะ เนื่องจากรายละเอียดอาจมีการปรับปรุงเพิ่มเติม และหากมีข้อสงสัยเฉพาะกรณีของธุรกิจตัวเอง ควรปรึกษาที่ปรึกษากฎหมายที่มีความเชี่ยวชาญด้านนี้โดยตรง แทนการตีความประกาศราชการด้วยตัวเองเพียงลำพัง