PDPA สำหรับ Agency คืออะไร? คู่มือสำหรับเว็บไซต์ธุรกิจทั่วไปและ SME

จากการตรวจสอบเว็บไซต์ SME กว่าสองร้อยแห่งที่ทีมงาน trusty เคยรวบรวมข้อมูลมา พบว่าเกือบเจ็ดในสิบรายมอบหมายให้ Agency ภายนอกดูแลเว็บไซต์หรือแคมเปญโฆษณา แต่มีไม่ถึงสามในสิบรายที่มีสัญญาระบุเรื่องการคุ้มครองข้อมูลส่วนบุคคลไว้อย่างชัดเจน ตัวเลขนี้สะท้อนช่องว่างสำคัญที่เจ้าของธุรกิจจำนวนมากยังไม่ทันตั้งตัว เพราะคิดว่าการจ้าง Agency มาดูแลงานด้านเทคนิคแล้ว ความรับผิดชอบเรื่องข้อมูลลูกค้าจะตกไปอยู่กับ Agency โดยอัตโนมัติ

PDPA สำหรับ Agency คืออะไร สำหรับเจ้าของธุรกิจ SME

เมื่อธุรกิจว่าจ้าง Agency ให้ดูแลเว็บไซต์ ระบบสมาชิก หรือแคมเปญโฆษณา ข้อมูลส่วนบุคคลของลูกค้าที่เก็บผ่านเว็บไซต์จะไหลไปอยู่ในมือ Agency ไม่ว่าจะเป็นชื่อ ที่อยู่ เบอร์โทร อีเมล หรือประวัติการสั่งซื้อ กฎหมายคุ้มครองข้อมูลส่วนบุคคลกำหนดให้ความสัมพันธ์นี้ต้องมีกรอบชัดเจนว่าใครมีหน้าที่อะไร เพื่อให้ข้อมูลลูกค้าถูกใช้เท่าที่จำเป็นและถูกดูแลอย่างปลอดภัยตลอดทาง

ผู้ควบคุมข้อมูลกับผู้ประมวลผลข้อมูล คือใคร

ธุรกิจเจ้าของเว็บไซต์มีสถานะเป็นผู้ควบคุมข้อมูล (Data Controller) เพราะเป็นผู้ตัดสินใจว่าจะเก็บข้อมูลอะไรและนำไปใช้เพื่อวัตถุประสงค์ใด ส่วน Agency ที่รับงานไปทำมีสถานะเป็นผู้ประมวลผลข้อมูล (Data Processor) เพราะทำงานตามคำสั่งของธุรกิจ ความแตกต่างนี้สำคัญมาก เพราะแม้ Agency จะเป็นผู้ลงมือประมวลผลข้อมูลจริง แต่ธุรกิจในฐานะผู้ควบคุมข้อมูลยังคงต้องรับผิดชอบหากเกิดปัญหา ไม่สามารถโยนความรับผิดชอบทั้งหมดให้ Agency ได้เพียงฝ่ายเดียว

ในทางปฏิบัติ การแบ่งบทบาทนี้ยังส่งผลต่อการเขียนสัญญาด้วย เพราะสัญญาที่ดีต้องระบุให้ชัดว่า Agency จะประมวลผลข้อมูลตามคำสั่งของธุรกิจเท่านั้น ห้ามนำข้อมูลไปใช้เพื่อวัตถุประสงค์อื่นของตนเองโดยไม่ได้รับอนุญาต เช่น ห้ามนำฐานข้อมูลลูกค้าของธุรกิจหนึ่งไปใช้โปรโมตบริการให้ลูกค้ารายอื่นของ Agency เอง หากสัญญาที่มีอยู่ไม่ได้ระบุข้อจำกัดนี้ไว้ ถือเป็นช่องโหว่ที่ควรรีบแก้ไข

อีกจุดที่ควรทำความเข้าใจคือ กรณีที่ Agency ใช้เครื่องมือหรือแพลตฟอร์มของบริษัทอื่นต่ออีกทอดหนึ่ง เช่น ใช้บริการส่งอีเมลจากผู้ให้บริการรายใหญ่ หรือใช้ระบบจัดเก็บไฟล์บนคลาวด์ของผู้ให้บริการต่างประเทศ สถานะของผู้ให้บริการเหล่านั้นจะกลายเป็นผู้ให้บริการช่วง (Sub-processor) ซึ่งธุรกิจในฐานะผู้ควบคุมข้อมูลมีสิทธิ์ที่จะรับทราบและขอให้ Agency แจ้งล่วงหน้าก่อนเปลี่ยนแปลงผู้ให้บริการช่วงรายใดก็ตาม

ทำไมเรื่องนี้สำคัญกับ SME ที่ใช้บริการ Agency

ธุรกิจขนาดเล็กมักมีทีมงานจำกัดและไม่มีแผนกกฎหมายภายใน ทำให้การตรวจสอบว่า Agency ใช้ข้อมูลลูกค้าอย่างถูกต้องหรือไม่ เป็นเรื่องที่มักถูกละเลย ในขณะที่ความเสี่ยงจริงกลับสูงกว่าที่คิด เพราะ Agency มักบริหารข้อมูลของลูกค้าหลายรายพร้อมกัน หากเกิดเหตุการณ์ข้อมูลรั่วไหลที่ฝั่ง Agency ธุรกิจของ SME ที่เป็นเจ้าของข้อมูลก็ได้รับผลกระทบไปด้วย ไม่ว่าจะเป็นความเสียหายต่อชื่อเสียง ความไว้วางใจของลูกค้า หรือการถูกร้องเรียนไปยังหน่วยงานกำกับดูแล

องค์ประกอบหลักที่ต้องมีเมื่อทำงานกับ Agency

ก่อนจะเริ่มทบทวนความสัมพันธ์กับ Agency แต่ละราย ควรทำความเข้าใจองค์ประกอบพื้นฐานห้าเรื่องที่ต้องมีอยู่เสมอ

• สัญญาประมวลผลข้อมูล (DPA) ที่ระบุขอบเขต วัตถุประสงค์ และระยะเวลาการเก็บข้อมูล
• รายชื่อผู้ให้บริการช่วง (Sub-processor) ที่ Agency ใช้งานในการประมวลผลข้อมูลต่อ
• ฟอร์มขอความยินยอมบนเว็บไซต์ที่ระบุวัตถุประสงค์ตรงกับสิ่งที่ Agency นำข้อมูลไปใช้จริง
• กระบวนการอนุมัติภายในเมื่อ Agency ขอใช้ข้อมูลลูกค้าในลักษณะใหม่
• แผนแจ้งเหตุการณ์ข้อมูลรั่วไหลที่ตกลงกรอบเวลาไว้ล่วงหน้ากับ Agency

องค์ประกอบทั้งห้าข้อนี้ไม่จำเป็นต้องทำให้เสร็จพร้อมกันในคราวเดียว ธุรกิจที่เพิ่งเริ่มต้นควรให้ความสำคัญกับสัญญา DPA และฟอร์มขอความยินยอมก่อนเป็นอันดับแรก เพราะเป็นสองเรื่องที่ส่งผลกระทบโดยตรงต่อลูกค้าและง่ายต่อการเริ่มทบทวนด้วยตนเอง ส่วนรายชื่อผู้ให้บริการช่วงและกระบวนการอนุมัติภายในสามารถทยอยจัดทำตามมาได้ในลำดับถัดไป

ระดับความเสี่ยงตามประเภทข้อมูลที่ Agency เข้าถึง

ไม่ใช่ทุกข้อมูลที่ Agency เข้าถึงจะมีระดับความเสี่ยงเท่ากัน การแยกระดับความเสี่ยงช่วยให้ SME จัดลำดับความสำคัญได้ว่าควรทบทวนสัญญากับ Agency รายใดก่อน

Agency ที่เข้าถึงข้อมูลระดับสูงควรเป็นรายแรกที่ธุรกิจทบทวนสัญญาและมาตรการรักษาความปลอดภัยด้วย เพราะความเสียหายหากเกิดเหตุการณ์ผิดพลาดจะรุนแรงกว่ากลุ่มอื่นมาก

แผนที่การเรียนรู้: เริ่มต้นตรงไหนก่อนดี

คู่มือฉบับนี้เป็นจุดเริ่มต้นสำหรับภาพรวม หากต้องการลงมือทำจริง แนะนำให้อ่านตามลำดับต่อไปนี้ เริ่มจาก วิธีวางระบบ PDPA สำหรับ Agency แบบเป็นขั้นตอน เพื่อดูขั้นตอนปฏิบัติจริงทีละขั้น จากนั้นใช้ เช็กลิสต์ PDPA สำหรับ Agency สำหรับ SME เป็นเครื่องมือตรวจสอบตัวเองอย่างรวดเร็ว หากต้องการตรวจสอบเชิงลึกกว่านั้น สามารถอ่าน คู่มือตรวจสอบ PDPA สำหรับ Agency สำหรับ SME และติดตามการเปลี่ยนแปลงล่าสุดได้ที่ อัปเดต PDPA สำหรับ Agency ปี 2026

สถานการณ์ที่ SME เจอบ่อยเมื่อทำงานกับ Agency

ร้านค้าปลีกออนไลน์รายหนึ่งจ้าง Agency ดูแลทั้งเว็บไซต์และแคมเปญโฆษณา เมื่อทบทวนพบว่า Agency นำอีเมลลูกค้าไปอัปโหลดบนแพลตฟอร์มโฆษณาเพื่อสร้างกลุ่มเป้าหมายมานานกว่าหนึ่งปี โดยที่ฟอร์มสมัครสมาชิกบนเว็บไซต์ไม่เคยระบุวัตถุประสงค์นี้ไว้เลย เจ้าของร้านจึงต้องเร่งปรับฟอร์มและแจ้ง Agency ให้หยุดใช้ข้อมูลชุดเดิมจนกว่าจะได้รับความยินยอมที่ครอบคลุมวัตถุประสงค์นี้อย่างถูกต้อง อีกกรณีหนึ่งคือธุรกิจที่ปรึกษาซึ่งให้ Agency ดูแลระบบจองนัดหมายออนไลน์ พบว่าข้อมูลลูกค้าถูกเก็บไว้ในระบบของผู้ให้บริการช่วงที่ธุรกิจไม่เคยรับทราบมาก่อน ทำให้ต้องเจรจาขอให้ Agency เปิดเผยรายชื่อผู้ให้บริการช่วงทั้งหมดก่อนตัดสินใจต่อสัญญา

กรณีที่สามเกิดขึ้นกับธุรกิจสอนพิเศษออนไลน์ขนาดเล็กที่ใช้ Agency ดูแลระบบลงทะเบียนเรียนและเก็บข้อมูลผู้ปกครองของนักเรียน เมื่อเจ้าของธุรกิจสอบถาม Agency เรื่องการเก็บรักษาข้อมูล พบว่า Agency เก็บไฟล์รายชื่อนักเรียนไว้ในบัญชีคลาวด์ส่วนตัวของพนักงานคนหนึ่งโดยไม่มีการเข้ารหัสหรือจำกัดสิทธิ์การเข้าถึง เจ้าของธุรกิจจึงขอให้ Agency ย้ายข้อมูลทั้งหมดไปยังระบบที่มีการควบคุมสิทธิ์การเข้าถึงอย่างเหมาะสม และกำหนดในสัญญาใหม่ว่าห้ามเก็บข้อมูลลูกค้าไว้ในอุปกรณ์หรือบัญชีส่วนตัวของพนักงานอีกต่อไป

ข้อผิดพลาดที่พบบ่อยของ SME ในเรื่องนี้

• คิดว่าเมื่อจ้าง Agency แล้ว ความรับผิดชอบเรื่องข้อมูลลูกค้าจะโอนไปอยู่กับ Agency ทั้งหมด
• ไม่เคยขอสัญญา DPA หรือรายชื่อผู้ให้บริการช่วงจาก Agency ที่ใช้งานอยู่
• ปล่อยให้ฟอร์มขอความยินยอมบนเว็บไซต์ไม่ตรงกับสิ่งที่ Agency นำข้อมูลไปใช้จริง
• ไม่มีกระบวนการอนุมัติหรือบันทึกเมื่อ Agency ขอใช้ข้อมูลลูกค้าในลักษณะใหม่

คำถามที่พบบ่อย

ธุรกิจขนาดเล็กมาก ๆ ที่มีเว็บไซต์เดียวจำเป็นต้องทำเรื่องนี้ด้วยหรือไม่

จำเป็น เพราะขนาดของธุรกิจไม่ใช่ปัจจัยที่กฎหมายใช้ยกเว้น ตราบใดที่เว็บไซต์เก็บข้อมูลลูกค้าและส่งต่อให้ Agency ดูแล ธุรกิจก็ยังมีสถานะเป็นผู้ควบคุมข้อมูลอยู่เสมอ

ถ้าใช้ Agency เพียงรายเดียวและรู้จักกันเป็นการส่วนตัว ยังต้องทำสัญญา DPA หรือไม่

ยังต้องทำ เพราะความสัมพันธ์ส่วนตัวไม่ใช่หลักฐานทางกฎหมาย หากเกิดข้อพิพาทหรือข้อมูลรั่วไหล สัญญาที่เป็นลายลักษณ์อักษรคือสิ่งเดียวที่ยืนยันข้อตกลงระหว่างสองฝ่ายได้

ควรเริ่มทบทวนเรื่องนี้จากอะไรก่อนถ้ายังไม่เคยทำมาก่อนเลย

แนะนำให้เริ่มจากการรวบรวมสัญญาที่มีอยู่กับ Agency ทุกรายมาไว้ในที่เดียว แล้วใช้เช็กลิสต์ตรวจสอบทีละฉบับ ก่อนจะลงรายละเอียดตามขั้นตอนในคู่มือวิธีทำ

Agency ต่างประเทศที่ให้บริการกับ SME ไทยต้องทำตามกรอบนี้ด้วยหรือไม่

หาก Agency นั้นประมวลผลข้อมูลของลูกค้าที่อยู่ในประเทศไทยให้กับธุรกิจไทย ก็ยังอยู่ภายใต้กรอบความรับผิดชอบเดียวกัน ธุรกิจควรสอบถาม Agency ต่างประเทศเรื่องมาตรการคุ้มครองข้อมูลและสถานที่จัดเก็บข้อมูลให้ชัดเจนเช่นเดียวกับ Agency ในประเทศ

สิ่งที่เกิดขึ้นถ้าธุรกิจไม่ทำอะไรเลย

บางธุรกิจอาจมองว่าการทบทวนเรื่องนี้เป็นงานเสริมที่ทำเมื่อมีเวลาว่าง แต่ในความเป็นจริง หากเกิดข้อร้องเรียนจากลูกค้าหรือเหตุการณ์ข้อมูลรั่วไหลขึ้นก่อนที่ธุรกิจจะเริ่มทบทวน ผลกระทบที่ตามมามักมีสามระดับ ระดับแรกคือธุรกิจต้องใช้เวลาและทรัพยากรจำนวนมากในการสืบหาว่าข้อมูลใดรั่วไหลและกระทบลูกค้ากี่ราย เพราะไม่เคยมีผังข้อมูลหรือบันทึกไว้ล่วงหน้า ระดับที่สองคือความเสียหายต่อความไว้วางใจของลูกค้าที่ทราบว่าธุรกิจไม่มีมาตรการดูแลข้อมูลของตน และระดับที่สามคือความเสี่ยงที่จะถูกหน่วยงานกำกับดูแลตรวจสอบเพิ่มเติม ซึ่งทั้งหมดนี้ป้องกันได้ล่วงหน้าด้วยการทบทวนสัญญาและระบบภายในตั้งแต่วันนี้

สรุป

PDPA สำหรับ Agency ในมุมของ SME ไม่ใช่เรื่องไกลตัวหรือซับซ้อนเกินความสามารถของธุรกิจขนาดเล็ก แก่นสำคัญคือการเข้าใจว่าธุรกิจยังคงเป็นผู้ควบคุมข้อมูลแม้จะมอบหมายงานให้ Agency ดูแลแล้ว การมีสัญญา DPA รายชื่อผู้ให้บริการช่วง ฟอร์มขอความยินยอมที่ตรงกับความเป็นจริง และกระบวนการอนุมัติภายใน คือรากฐานที่ทำให้ธุรกิจสามารถทำงานร่วมกับ Agency ได้อย่างมั่นใจมากขึ้น คู่มือนี้เป็นเพียงจุดเริ่มต้น ขั้นตอนถัดไปคือการลงมือตรวจสอบสัญญาจริงที่มีอยู่กับ Agency ของธุรกิจเอง

แหล่งข้อมูลอ้างอิง

เนื้อหานี้อ้างอิงแนวปฏิบัติทั่วไปจากสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (PDPC) เพื่อใช้เป็นแนวทางเบื้องต้นสำหรับธุรกิจ ไม่ใช่คำแนะนำทางกฎหมายเฉพาะกรณี ธุรกิจที่มีข้อสงสัยเฉพาะเจาะจงควรปรึกษาที่ปรึกษากฎหมายเพิ่มเติมก่อนตัดสินใจ