วิธีวางระบบ PDPA สำหรับ Agency สำหรับเว็บไซต์ธุรกิจทั่วไปและ SME แบบเป็นขั้นตอน

ถ้าเว็บไซต์และแคมเปญโฆษณาของธุรกิจอยู่ในมือ Agency ทั้งหมด แล้ววันหนึ่งลูกค้าถามว่า "ข้อมูลของฉันที่กรอกไว้ในเว็บไซต์ ใครเป็นคนดูแลและใช้ทำอะไรบ้าง" เจ้าของธุรกิจจะตอบได้ทันทีหรือไม่ คำถามง่าย ๆ แบบนี้คือจุดเริ่มต้นที่ทำให้ SME จำนวนมากตระหนักว่าตนเองไม่เคยวางระบบ PDPA สำหรับความสัมพันธ์กับ Agency ไว้เลย ทั้งที่ข้อมูลลูกค้าไหลผ่านมือ Agency อยู่ตลอดเวลา

ทำไม SME ที่ใช้บริการ Agency ต้องมีระบบ PDPA ของตัวเอง

หลายคนเข้าใจผิดว่าเมื่อจ้าง Agency แล้ว ความรับผิดชอบเรื่องข้อมูลส่วนบุคคลจะโอนไปอยู่ที่ Agency ทั้งหมด แต่ในทางกฎหมาย ธุรกิจที่เป็นเจ้าของข้อมูลลูกค้ายังคงมีสถานะเป็นผู้ควบคุมข้อมูล (Data Controller) ส่วน Agency เป็นเพียงผู้ประมวลผลข้อมูล (Data Processor) ที่ทำงานตามคำสั่ง ความหมายคือหาก Agency ทำข้อมูลรั่วไหลหรือใช้ข้อมูลผิดวัตถุประสงค์ ธุรกิจเจ้าของข้อมูลก็ยังต้องรับผิดชอบร่วมด้วย การมีระบบภายในของตัวเองจึงไม่ใช่ทางเลือก แต่เป็นสิ่งจำเป็นสำหรับ SME ทุกขนาด

นอกจากประเด็นความรับผิดชอบร่วมแล้ว การมีระบบยังช่วยให้ธุรกิจต่อรองกับ Agency ได้ดีขึ้นด้วย เพราะเมื่อธุรกิจรู้ว่าตนเองต้องการอะไรจากสัญญา จะสามารถระบุเงื่อนไขให้ Agency ปฏิบัติตามได้ชัดเจน แทนที่จะรับเงื่อนไขที่ Agency กำหนดมาฝ่ายเดียว และเมื่อธุรกิจขยายตัวจนต้องเปลี่ยนหรือเพิ่ม Agency ในอนาคต ระบบที่วางไว้ตั้งแต่ต้นจะช่วยให้การส่งต่องานและข้อมูลระหว่าง Agency เก่ากับใหม่ทำได้ราบรื่นกว่าการเริ่มนับหนึ่งใหม่ทุกครั้ง

ขั้นตอนที่ 1: ตรวจสอบและจัดทำสัญญาประมวลผลข้อมูล (DPA) กับ Agency

เริ่มจากขอสำเนาสัญญาที่มีอยู่กับ Agency ทุกรายมาตรวจว่ามีข้อกำหนดเกี่ยวกับข้อมูลส่วนบุคคลหรือไม่ หากไม่มี ให้ขอทำภาคผนวกเพิ่มเติมที่ระบุอย่างน้อยสี่เรื่อง คือ ขอบเขตและวัตถุประสงค์ในการประมวลผลข้อมูล ระยะเวลาที่ Agency จะเก็บข้อมูลไว้ มาตรการรักษาความปลอดภัยขั้นต่ำที่ Agency ต้องมี และหน้าที่แจ้งเหตุการณ์ข้อมูลรั่วไหลกลับมายังธุรกิจภายในกรอบเวลาที่ตกลงกัน ธุรกิจที่ยังไม่เคยมีสัญญาลักษณะนี้เลย ควรเริ่มจาก Agency รายที่เข้าถึงข้อมูลลูกค้ามากที่สุดก่อน เช่น Agency ที่ดูแลระบบ CRM หรือฐานข้อมูลสมาชิก

ตัวอย่างเช่น ร้านขายอุปกรณ์กีฬาออนไลน์แห่งหนึ่งใช้ Agency สามรายพร้อมกัน คือรายหนึ่งดูแลเว็บไซต์และระบบตะกร้าสินค้า อีกรายดูแลโฆษณาบนโซเชียลมีเดีย และอีกรายดูแลระบบส่งอีเมลโปรโมชัน เมื่อเจ้าของร้านไล่ตรวจสัญญาทั้งสามฉบับ พบว่ามีเพียงฉบับเดียวที่ระบุเรื่องข้อมูลส่วนบุคคลไว้บ้าง จึงต้องเจรจาขอภาคผนวกเพิ่มเติมกับอีกสองราย โดยเริ่มจาก Agency ที่ดูแลระบบส่งอีเมลก่อน เพราะเป็นรายที่เข้าถึงฐานข้อมูลลูกค้าทั้งหมดโดยตรง

ขั้นตอนที่ 2: ทำผังข้อมูลว่าไหลไปยัง Agency รายใดบ้าง (Data Flow Mapping)

ขั้นตอนนี้ไม่จำเป็นต้องซับซ้อน เริ่มจากตารางง่าย ๆ ที่มีสี่คอลัมน์คือ ชื่อ Agency ประเภทข้อมูลที่ส่งให้ วัตถุประสงค์การใช้งาน และช่องทางที่ส่งข้อมูล เช่น ส่งผ่านไฟล์ Excel ทางอีเมล หรือให้สิทธิ์เข้าระบบหลังบ้านโดยตรง เมื่อทำผังนี้เสร็จ เจ้าของธุรกิจจะเห็นภาพรวมทันทีว่ามี Agency กี่รายที่ถืออข้อมูลลูกค้าอยู่ และรายใดที่ควรได้รับการทบทวนสัญญาก่อนเป็นลำดับแรก

ขั้นตอนที่ 3: ปรับฟอร์มขอความยินยอมบนเว็บไซต์ให้ตรงกับสิ่งที่ Agency นำไปใช้จริง

ฟอร์มสมัครสมาชิกหรือฟอร์มติดต่อบนเว็บไซต์ต้องระบุวัตถุประสงค์การใช้ข้อมูลให้ตรงกับสิ่งที่เกิดขึ้นจริง หาก Agency นำอีเมลลูกค้าไปใช้ทำ Retargeting บนแพลตฟอร์มโฆษณา ฟอร์มต้องระบุวัตถุประสงค์นี้ไว้อย่างชัดเจน ไม่ใช่เขียนกว้าง ๆ ว่า "เพื่อการติดต่อสื่อสาร" เพียงอย่างเดียว แนะนำให้ทำงานร่วมกับ Agency ในการปรับข้อความฟอร์ม เพราะ Agency มักทราบดีว่าเครื่องมือที่ใช้งานจริงต้องการข้อมูลประเภทใดบ้าง อ่านตัวอย่างการตรวจสอบฟอร์มและสัญญาแบบละเอียดเพิ่มเติมได้ที่ เช็กลิสต์ PDPA สำหรับ Agency สำหรับ SME

ขั้นตอนที่ 4: ตั้งกระบวนการอนุมัติคำขอใช้ข้อมูลจาก Agency

แทนที่จะให้พนักงานคนใดคนหนึ่งกดตอบอนุมัติทางอีเมลตามความเคยชิน ควรกำหนดว่าคำขอใช้ข้อมูลลูกค้าในลักษณะใหม่ทุกครั้งต้องผ่านการตรวจสอบอย่างน้อยสามข้อก่อนอนุมัติ คือ วัตถุประสงค์ใหม่นี้อยู่ในขอบเขตที่ลูกค้าเคยให้ความยินยอมไว้หรือไม่ มีการระบุระยะเวลาการเก็บข้อมูลชุดนี้หรือไม่ และมีการบันทึกการอนุมัติไว้เป็นลายลักษณ์อักษรหรือไม่ ธุรกิจขนาดเล็กไม่จำเป็นต้องตั้งคณะกรรมการ เพียงกำหนดให้เจ้าของกิจการหรือผู้จัดการหนึ่งคนเป็นผู้อนุมัติและเก็บบันทึกไว้ก็เพียงพอ

ในทางปฏิบัติ วิธีที่ง่ายที่สุดคือสร้างสมุดบันทึกดิจิทัลรูปแบบตารางหนึ่งไฟล์ โดยมีคอลัมน์วันที่ขอ ชื่อ Agency ที่ขอใช้ข้อมูล วัตถุประสงค์ที่ระบุมา ผู้อนุมัติ และวันที่อนุมัติ เมื่อมีคำขอใหม่เข้ามาทางอีเมล ผู้อนุมัติเพียงกรอกข้อมูลลงในตารางนี้ก่อนตอบกลับ Agency วิธีนี้ใช้เวลาไม่ถึงห้านาทีต่อครั้ง แต่ทำให้ธุรกิจมีหลักฐานครบถ้วนหากถูกสอบถามภายหลังว่าเคยอนุมัติให้ใช้ข้อมูลชุดใดไปบ้าง และด้วยเหตุผลอะไร

ขั้นตอนที่ 5: วางแผนรับมือเหตุการณ์ข้อมูลรั่วไหลร่วมกับ Agency

ควรตกลงล่วงหน้ากับ Agency ว่าหากเกิดเหตุการณ์ข้อมูลรั่วไหลจากฝั่ง Agency จะต้องแจ้งธุรกิจภายในกี่ชั่วโมง และต้องแจ้งข้อมูลอะไรบ้าง เช่น จำนวนบันทึกข้อมูลที่ได้รับผลกระทบ ประเภทข้อมูลที่รั่วไหล และมาตรการที่ Agency ดำเนินการไปแล้ว การมีแผนนี้ล่วงหน้าช่วยให้ธุรกิจไม่ต้องเริ่มคิดขั้นตอนตั้งแต่ศูนย์ในช่วงเวลาที่กดดันที่สุด และช่วยให้แจ้งหน่วยงานกำกับดูแลตามกรอบเวลาที่กฎหมายกำหนดได้ทัน

ตัวอย่างขั้นตอนการซ้อมแผนแบบง่ายสำหรับ SME

ธุรกิจไม่จำเป็นต้องจัดซ้อมใหญ่โต เพียงนัดประชุมสั้น ๆ กับ Agency ปีละครั้งเพื่อทบทวนว่าเบอร์โทรและอีเมลติดต่อฉุกเฉินยังเป็นปัจจุบันหรือไม่ ใครในทีมของธุรกิจเป็นผู้รับแจ้งเหตุ และมีขั้นตอนแจ้งลูกค้าที่ได้รับผลกระทบอย่างไรหากจำเป็น การทบทวนสั้น ๆ นี้ช่วยลดความสับสนได้มากเมื่อเทียบกับการไม่เคยพูดคุยเรื่องนี้เลย

เครื่องมือและเทมเพลตที่ SME เริ่มใช้ได้ทันที

• แบบฟอร์มภาคผนวกสัญญา DPA อย่างง่าย สำหรับแนบท้ายสัญญาบริการเดิมกับ Agency
• ตารางผังข้อมูล (Data Flow Map) แบบ Excel ที่บันทึก Agency วัตถุประสงค์ และช่องทางส่งข้อมูล
• แบบฟอร์มบันทึกการอนุมัติคำขอใช้ข้อมูลใหม่จาก Agency พร้อมวันที่และผู้อนุมัติ
• เช็กลิสต์ตรวจฟอร์มขอความยินยอมบนเว็บไซต์ก่อนเผยแพร่ทุกครั้งที่มีการแก้ไข
• ผังขั้นตอนแจ้งเหตุการณ์ข้อมูลรั่วไหลระหว่างธุรกิจกับ Agency พร้อมกรอบเวลา

ข้อผิดพลาดที่พบบ่อยในการวางระบบ PDPA กับ Agency

• เริ่มทำสัญญา DPA เฉพาะกับ Agency รายใหม่ แต่ไม่ย้อนกลับไปแก้ไขสัญญากับ Agency เดิมที่ใช้งานมานาน
• ทำผังข้อมูลเสร็จแล้วเก็บไว้เฉย ๆ ไม่มีการทบทวนซ้ำเมื่อเปลี่ยน Agency หรือเพิ่มเครื่องมือใหม่
• มอบหมายให้พนักงานคนเดียวอนุมัติคำขอโดยไม่มีบันทึกเป็นลายลักษณ์อักษร ทำให้ตรวจสอบย้อนหลังไม่ได้
• ไม่เคยซ้อมแผนรับมือเหตุการณ์ข้อมูลรั่วไหลกับ Agency ทำให้เมื่อเกิดเหตุจริงทั้งสองฝ่ายสับสนเรื่องขั้นตอน

คำถามที่พบบ่อย

SME ที่มีพนักงานไม่ถึงสิบคนจำเป็นต้องทำทุกขั้นตอนนี้หรือไม่

ควรทำอย่างน้อยขั้นตอนที่ 1 และ 2 คือสัญญา DPA และผังข้อมูล เพราะเป็นพื้นฐานที่ป้องกันความเสี่ยงได้มากที่สุด ส่วนขั้นตอนอื่นสามารถทยอยทำตามความพร้อมของทีม

ถ้า Agency ปฏิเสธที่จะเซ็นภาคผนวกสัญญา DPA ควรทำอย่างไร

ควรพิจารณาว่า Agency รายนั้นเหมาะสมที่จะดูแลข้อมูลลูกค้าต่อไปหรือไม่ เพราะการปฏิเสธความรับผิดชอบด้านข้อมูลตั้งแต่ต้นเป็นสัญญาณความเสี่ยงที่ควรนำมาพิจารณาร่วมกับปัจจัยอื่นก่อนตัดสินใจต่อสัญญา

ต้องทำผังข้อมูลใหม่ทุกครั้งที่มีแคมเปญใหม่หรือไม่

ไม่จำเป็นต้องทำใหม่ทั้งหมด เพียงอัปเดตผังเดิมเมื่อมีการเพิ่มเครื่องมือหรือ Agency รายใหม่เข้ามาเกี่ยวข้องกับข้อมูลลูกค้า

ใช้เวลานานแค่ไหนกว่าจะวางระบบทั้งห้าขั้นตอนนี้เสร็จ

สำหรับ SME ที่มี Agency ไม่เกินสามราย ส่วนใหญ่ใช้เวลาประมาณสองถึงสี่สัปดาห์หากทำอย่างต่อเนื่อง โดยขั้นตอนที่ใช้เวลานานที่สุดมักเป็นการเจรจาแก้ไขสัญญากับ Agency เพราะต้องรอการตอบกลับและทบทวนเอกสารร่วมกัน ส่วนขั้นตอนการทำผังข้อมูลและตั้งกระบวนการอนุมัติภายในสามารถทำให้เสร็จได้ภายในหนึ่งสัปดาห์หากเจ้าของธุรกิจจัดสรรเวลาให้ชัดเจน

สรุป

การวางระบบ PDPA สำหรับความสัมพันธ์กับ Agency ไม่ใช่โครงการใหญ่ที่ต้องใช้ทีมกฎหมายเฉพาะทาง แต่เป็นชุดขั้นตอนที่เจ้าของกิจการหรือผู้ดูแลเว็บไซต์ทำเองได้ทีละขั้น เริ่มจากสัญญา DPA ผังข้อมูล ฟอร์มยินยอม กระบวนการอนุมัติ และแผนรับมือเหตุการณ์ข้อมูลรั่วไหล เมื่อทำครบทั้งห้าขั้นตอนแล้ว ธุรกิจจะตอบคำถามลูกค้าเรื่องการใช้ข้อมูลได้ทันทีโดยไม่ต้องเดาหรือรอถาม Agency อ่านภาพรวมทั้งหมดของหัวข้อนี้เพิ่มเติมได้ที่ คู่มือภาพรวม PDPA สำหรับ Agency สำหรับ SME

แหล่งข้อมูลอ้างอิง

เนื้อหานี้อ้างอิงแนวปฏิบัติทั่วไปจากสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (PDPC) เพื่อใช้เป็นแนวทางในการจัดระบบภายในธุรกิจ ไม่ใช่คำแนะนำทางกฎหมายเฉพาะกรณี ธุรกิจที่มีข้อสงสัยเฉพาะเจาะจงควรปรึกษาที่ปรึกษากฎหมายเพิ่มเติม