วิธี Audit PDPA สำหรับ E-commerce ของร้านค้าออนไลน์และ E-commerce พร้อม Evidence ที่ควรเก็บ

เช้าวันจันทร์ ทีมซัพพอร์ตของร้านค้าออนไลน์เครื่องใช้ไฟฟ้าขนาดกลางแห่งหนึ่งได้รับอีเมลจากลูกค้าที่ซื้อสินค้าเพียงครั้งเดียวเมื่อแปดเดือนก่อนแล้วไม่เคยกลับมาซื้อซ้ำอีกเลย ลูกค้าขอให้ลบข้อมูลส่วนตัวทั้งหมดออกจากระบบ ทีมเปิดฐานข้อมูลหลักแล้วลบบัญชีได้ทันที แต่เมื่อหัวหน้าทีมถามต่อว่าข้อมูลที่อยู่จัดส่งกับข้อมูลบัตรที่เคยใช้ผูกกับ Payment Gateway ถูกลบไปด้วยหรือยัง ไม่มีใครในทีมตอบได้ชัดเจน เพราะร้านใช้ระบบชำระเงินสามเจ้าที่สลับกันตามช่วงโปรโมชัน และไม่เคยมีใครไล่ตรวจว่าข้อมูลลูกค้าคนหนึ่งอาจกระจายอยู่ในระบบไหนบ้างหลังการสั่งซื้อ เหตุการณ์เล็ก ๆ นี้เป็นจุดเริ่มต้นที่ทำให้ร้านตัดสินใจวาง Audit PDPA เฉพาะสำหรับธุรกิจ E-commerce ขึ้นมาแยกจากเช็กลิสต์เว็บไซต์ทั่วไปที่เคยใช้

การ Audit PDPA สำหรับร้านค้าออนไลน์ควรตรวจห้าเรื่องหลักทุกหกเดือน คือขอบเขตข้อมูลที่เก็บตอน Checkout เทียบกับที่จำเป็นจริง เส้นแบ่งระหว่างสิ่งที่ PDPA กำกับกับสิ่งที่มาตรฐาน PCI-DSS กำกับสำหรับข้อมูลบัตร ระยะเวลาการเก็บที่อยู่จัดส่งและประวัติคำสั่งซื้อของออร์เดอร์ที่สำเร็จกับที่ถูกยกเลิก การจัดการข้อมูลของลูกค้าที่ซื้อแบบ Guest Checkout และการแยกความยินยอมรับการตลาดออกจากการยืนยันคำสั่งซื้อให้ชัดเจน แต่ละเรื่องต้องมีหลักฐานเก็บไว้ เช่น บันทึกช่องข้อมูลที่เก็บจริงในฟอร์ม Checkout นโยบายการลบข้อมูลบัตรที่ผ่าน Payment Gateway และ Log ความยินยอมรับข่าวสารที่แยกจากการสั่งซื้อ การ Audit นี้ไม่ได้ทำให้ภาระทางกฎหมายของร้านค้าหมดไปทั้งหมด แต่ช่วยให้ทีมเห็นช่องว่างก่อนที่ลูกค้าหรือหน่วยงานกำกับดูแลจะเป็นคนพบเอง

เรื่องที่ 1: ตรวจขอบเขตข้อมูลที่เก็บตอน Checkout เทียบกับที่จำเป็นจริง

ร้านค้าออนไลน์จำนวนมากออกแบบฟอร์ม Checkout ครั้งเดียวตั้งแต่เริ่มเปิดร้าน แล้วไม่เคยกลับมาทบทวนว่าช่องข้อมูลที่ขอยังจำเป็นอยู่หรือไม่ การ Audit ต้องไล่ทีละช่องในฟอร์ม ตั้งแต่ชื่อ เบอร์โทร อีเมล ที่อยู่จัดส่ง ไปจนถึงช่องเสริมอย่างวันเกิดหรือเพศที่บางร้านใส่ไว้เพื่อทำการตลาดในอนาคตทั้งที่ไม่จำเป็นต่อการทำธุรกรรมเลย หลักการเก็บข้อมูลเท่าที่จำเป็นหมายความว่าถ้าช่องข้อมูลใดไม่ได้ใช้ประมวลผลคำสั่งซื้อหรือจัดส่งสินค้าโดยตรง ต้องมีเหตุผลแยกต่างหากรองรับว่าทำไมถึงเก็บ และควรทำเป็นช่องเลือกได้ไม่บังคับกรอก การ Audit ที่ดีควรเทียบฟอร์ม Checkout กับรายงานฐานข้อมูลจริงว่าช่องที่เก็บไว้ตรงกับที่ประกาศในนโยบายความเป็นส่วนตัวหรือไม่ เพราะหลายร้านเพิ่มช่องข้อมูลใหม่ทีหลังโดยไม่ได้อัปเดตนโยบายให้ตรงกัน

เรื่องที่ 2: ตรวจเส้นแบ่งระหว่าง PDPA กับมาตรฐาน PCI-DSS สำหรับข้อมูลบัตร

จุดที่ทีม E-commerce สับสนบ่อยที่สุดคือคิดว่าถ้าทำตาม PDPA แล้วข้อมูลบัตรเครดิตของลูกค้าจะปลอดภัยไปด้วย ทั้งที่สองเรื่องนี้เป็นคนละมาตรฐานกัน PDPA กำกับเรื่องฐานทางกฎหมายในการเก็บและใช้ข้อมูลส่วนบุคคลโดยรวม ส่วนมาตรฐาน PCI-DSS เป็นข้อกำหนดเฉพาะทางด้านความปลอดภัยของข้อมูลบัตรชำระเงินที่ธุรกิจซึ่งรับชำระด้วยบัตรต้องปฏิบัติตามแยกต่างหาก การ Audit ต้องตรวจว่าร้านค้าเก็บเลขบัตรเต็มไว้ในระบบตัวเองหรือไม่ เพราะถ้ายังคงเก็บอยู่ นอกจากต้องดูแลตาม PDPA แล้วยังต้องผ่านมาตรฐาน PCI-DSS แยกอีกชุด ร้านที่ฉลาดส่วนใหญ่เลือกให้ Payment Gateway เป็นผู้เก็บข้อมูลบัตรแทนทั้งหมด แล้วเก็บฝั่งร้านค้าไว้แค่ผลการทำธุรกรรมและเลขอ้างอิง ซึ่งช่วยลดภาระทั้งสองด้าน แต่ก็ยังต้องตรวจว่าสัญญากับ Payment Gateway ระบุขอบเขตการใช้ข้อมูลลูกค้าต่อของฝั่งผู้ให้บริการไว้ชัดเจนหรือไม่

เรื่องที่ 3: ตรวจระยะเวลาเก็บที่อยู่จัดส่งและประวัติคำสั่งซื้อ

ออร์เดอร์ที่สำเร็จกับออร์เดอร์ที่ถูกยกเลิกกลางทางควรมีนโยบายเก็บข้อมูลที่ต่างกัน ออร์เดอร์ที่สำเร็จมักต้องเก็บประวัติไว้ตามรอบบัญชีหรือเพื่อรองรับการเคลมสินค้า แต่ออร์เดอร์ที่ลูกค้ากรอกที่อยู่แล้วยกเลิกกลางทางก่อนชำระเงินไม่มีเหตุผลที่ต้องเก็บที่อยู่นั้นไว้นาน การ Audit ต้องดึงรายงานว่าระบบตั้งค่าลบข้อมูลออร์เดอร์ที่ค้างอยู่ในสถานะยังไม่ชำระเงินไว้กี่วัน และมีการรันจริงตามที่ตั้งไว้หรือไม่ ร้านค้าจำนวนมากตั้งค่าไว้ในเอกสารว่าจะลบทุกสามสิบวัน แต่ระบบจริงไม่เคยรัน Job ลบอัตโนมัติ ทำให้ที่อยู่และเบอร์โทรของลูกค้าที่ไม่เคยซื้อจริงค้างอยู่ในฐานข้อมูลเป็นปี

เรื่องที่ 4: ตรวจการจัดการข้อมูลของลูกค้าที่ซื้อแบบ Guest Checkout

ร้านค้าออนไลน์ส่วนใหญ่เปิดให้ซื้อแบบ Guest Checkout เพื่อลดขั้นตอนและเพิ่มยอดขาย แต่การ Audit มักมองข้ามกลุ่มนี้เพราะคิดว่าลูกค้าที่ไม่ได้สมัครสมาชิกไม่มีสิทธิ์อะไรเป็นพิเศษ ซึ่งไม่ถูกต้อง ลูกค้า Guest Checkout ยังคงมีสิทธิ์ขอเข้าถึงหรือขอลบข้อมูลเช่นเดียวกับสมาชิก เพียงแต่ร้านต้องมีวิธียืนยันตัวตนที่เหมาะสมเพราะไม่มีบัญชีผูกไว้ การ Audit ต้องตรวจว่าทีมซัพพอร์ตมีขั้นตอนรับคำขอจากลูกค้ากลุ่มนี้หรือไม่ เช่น ให้ยืนยันด้วยเลขคำสั่งซื้อและอีเมลที่ใช้ตอนสั่งซื้อ และต้องตรวจว่าข้อมูล Guest Checkout ไม่ถูกดึงไปรวมกับฐานข้อมูลการตลาดโดยอัตโนมัติเพียงเพราะกรอกอีเมลไว้ตอนสั่งซื้อ

เรื่องที่ 5: ตรวจการแยกความยินยอมรับการตลาดออกจากการยืนยันคำสั่งซื้อ

จุดที่พบบ่อยที่สุดในการตรวจร้านค้าออนไลน์คือฟอร์ม Checkout ที่ผูกช่องติ๊กรับข่าวสารไว้กับปุ่มยืนยันคำสั่งซื้อปุ่มเดียวกัน ทำให้ลูกค้าต้องรับอีเมลโฆษณาโดยอัตโนมัติเพียงเพราะต้องการซื้อสินค้าให้เสร็จ การ Audit ต้องตรวจว่าช่องความยินยอมรับการตลาดเป็นช่องแยกที่ไม่ติ๊กไว้ล่วงหน้า และลูกค้าสามารถสั่งซื้อสำเร็จได้แม้ไม่ติ๊กรับข่าวสารเลย เพราะการยืนยันคำสั่งซื้อใช้ฐานสัญญา ส่วนการรับอีเมลโปรโมชันต้องใช้ฐานความยินยอมที่แยกกันโดยสิ้นเชิง ร้านที่รวมสองเรื่องนี้ไว้ด้วยกันมักเจอปัญหาลูกค้าร้องเรียนว่าไม่เคยสมัครรับข่าวสารแต่กลับได้รับอีเมลโฆษณาต่อเนื่องหลังสั่งซื้อเพียงครั้งเดียว

ตรวจสัญญากับ Payment Gateway และบริษัทขนส่งที่รับข้อมูลลูกค้าต่อ

ทุกคำสั่งซื้อบนร้านค้าออนไลน์ต้องส่งข้อมูลลูกค้าออกไปนอกระบบของตัวเองอย่างน้อยสองจุดเสมอ คือ Payment Gateway ที่รับข้อมูลเพื่อประมวลผลการชำระเงิน และบริษัทขนส่งที่รับชื่อ เบอร์โทร และที่อยู่เพื่อนำสินค้าไปส่ง การ Audit ที่ครบถ้วนต้องตรวจว่าสัญญาการใช้งานกับผู้ให้บริการทั้งสองกลุ่มระบุขอบเขตการใช้ข้อมูลลูกค้าไว้ชัดเจนหรือไม่ เช่น Payment Gateway นำข้อมูลไปวิเคราะห์พฤติกรรมการซื้อของลูกค้าเพื่อขายบริการอื่นต่อได้หรือไม่ และบริษัทขนส่งเก็บที่อยู่ลูกค้าไว้นานเท่าใดหลังส่งสินค้าสำเร็จ ร้านค้าจำนวนมากเลือกผู้ให้บริการตามค่าธรรมเนียมเป็นหลักโดยไม่เคยอ่านเงื่อนไขการใช้ข้อมูลอย่างละเอียด

ตัวอย่าง: ร้านค้าออนไลน์ที่แยกความยินยอมชัดแต่ลืมลบข้อมูลบัตรเก่า

ร้านค้าออนไลน์เครื่องสำอางแบรนด์หนึ่งภูมิใจว่าออกแบบฟอร์ม Checkout ได้ดี เพราะแยกช่องรับข่าวสารออกจากปุ่มยืนยันคำสั่งซื้อชัดเจนตามคำแนะนำที่เคยอ่านมา จนกระทั่งเปลี่ยน Payment Gateway ใหม่แล้วทีมไอทีพบว่าระบบเก่ายังเก็บเลขบัตรบางส่วนของลูกค้ากว่าสามพันรายไว้ในฐานข้อมูลตัวเองตั้งแต่ช่วงที่ยังไม่ได้ผูกกับ Gateway ที่ได้มาตรฐาน PCI-DSS เต็มรูปแบบ ทีมต้องเร่งประสานงานลบข้อมูลชุดนั้นและแจ้งฝ่ายกฎหมายให้ประเมินความเสี่ยงก่อนที่จะเปิดใช้ระบบใหม่ เหตุการณ์นี้สะท้อนว่าการแยกความยินยอมด้านการตลาดให้ถูกต้องเป็นเพียงหนึ่งในหลายเรื่องที่ต้อง Audit ไม่ใช่ทั้งหมดของภาพ เพราะข้อมูลบัตรชำระเงินเป็นอีกมิติที่ต้องตรวจแยกต่างหากเสมอ

ตรวจการเก็บ Log คำสั่งซื้อที่เชื่อมกับระบบบัญชีและคลังสินค้า

ร้านค้าออนไลน์ที่เติบโตเกินระดับหนึ่งมักเชื่อมระบบ Checkout เข้ากับซอฟต์แวร์บัญชีและระบบจัดการคลังสินค้าแยกจากกัน ทำให้ข้อมูลลูกค้าคนเดียวกันไปปรากฏอยู่ในสามระบบพร้อมกันโดยที่แต่ละทีมไม่รู้ว่าอีกฝั่งเก็บอะไรไว้บ้าง การ Audit ต้องไล่ตามเส้นทางข้อมูลว่าเมื่อออร์เดอร์หนึ่งสำเร็จ ชื่อและที่อยู่ลูกค้าถูกส่งต่อไปที่ระบบบัญชีเพื่อออกใบกำกับภาษีอย่างไร และระบบคลังสินค้าเก็บข้อมูลผู้รับสินค้าไว้นานเท่าใดหลังจัดส่งเสร็จ หลายร้านพบว่าทีมบัญชีเก็บสำเนาใบกำกับภาษีที่มีข้อมูลลูกค้าไว้ในโฟลเดอร์ที่พนักงานเข้าถึงได้กว้างเกินความจำเป็น ทั้งที่ระบบ Checkout หลักมีการจำกัดสิทธิ์เข้าถึงอย่างรัดกุมแล้ว การ Audit ที่ครบถ้วนจึงต้องรวมระบบรอบข้างเหล่านี้เข้าไปด้วย ไม่ใช่ตรวจแค่หน้าเว็บไซต์ที่ลูกค้าเห็น เพราะช่องโหว่ส่วนใหญ่ที่พบจริงมักซ่อนอยู่ในระบบหลังบ้านที่ทีมพัฒนาเว็บไซต์ไม่ได้เป็นผู้ดูแลโดยตรง

ใครควรเป็นเจ้าของการ Audit นี้ในทีม E-commerce

ในร้านค้าขนาดเล็กที่เจ้าของดูแลทั้งการตลาดและระบบเอง วิธีที่ทำได้จริงคือไล่ตรวจห้าเรื่องข้างต้นทุกหกเดือนด้วยตัวเอง โดยอาจให้ทีมไอทีของ Payment Gateway ช่วยยืนยันว่าฝั่งร้านไม่ได้เก็บข้อมูลบัตรเต็มไว้เอง เมื่อร้านโตขึ้นจนมีทีม Performance Marketing แยกจากทีมพัฒนาระบบ บทบาทของ Audit ควรเปลี่ยนเป็นการประสานงานร่วมกัน ให้ทีมการตลาดรายงานทุกครั้งที่ปรับฟอร์ม Checkout หรือเพิ่มช่องเก็บข้อมูลใหม่ ทีมพัฒนาระบบตรวจสอบว่าการตั้งค่าลบข้อมูลอัตโนมัติยังทำงานถูกต้อง และรวบรวมเป็นรายงาน Audit ที่มีวันที่และผู้รับผิดชอบชัดเจนทุกรอบ ดูขั้นตอนตั้งค่าตั้งแต่ต้นได้ที่ วิธีทำ PDPA สำหรับ E-commerce

Evidence ที่ควรเก็บไว้จากการ Audit แต่ละรอบ

เพื่อให้ตอบคำถามลูกค้าหรือผู้ตรวจสอบได้เร็ว ทีมควรเก็บภาพหน้าจอฟอร์ม Checkout พร้อมรายการช่องข้อมูลที่เก็บจริงในแต่ละช่วงเวลา เอกสารยืนยันว่าฝั่งร้านไม่ได้เก็บเลขบัตรเต็มไว้เองหรือมีมาตรการรองรับ PCI-DSS หากยังเก็บอยู่ รายงานผลการรัน Job ลบข้อมูลออร์เดอร์ที่ค้างชำระเงิน และ Log ความยินยอมรับข่าวสารที่แยกจากการยืนยันคำสั่งซื้อของลูกค้าแต่ละราย หลักฐานเหล่านี้ไม่ได้แปลว่าร้านค้าปฏิบัติตามกฎหมายครบทุกข้อโดยอัตโนมัติ แต่ช่วยแสดงให้เห็นว่าร้านมีกระบวนการตรวจสอบตัวเองอย่างจริงจัง ดูรายการตรวจก่อนเปิดใช้งานฟีเจอร์ใหม่ได้ที่ เช็กลิสต์ PDPA สำหรับ E-commerce และดูสิ่งที่ต้องทบทวนเมื่อกฎเกณฑ์เปลี่ยนแปลงได้ที่ อัปเดต PDPA สำหรับ E-commerce ปี 2026

ข้อผิดพลาดที่พบบ่อยเมื่อ Audit เฉพาะหน้าฟอร์มไม่ใช่ข้อมูลเบื้องหลัง

• คิดว่าการแยกช่องรับข่าวสารออกจากปุ่มยืนยันคำสั่งซื้อแล้วคือทำครบทุกเรื่อง ทั้งที่ข้อมูลบัตรและที่อยู่ยังไม่เคยถูกตรวจแยก
• เข้าใจผิดว่าทำตาม PDPA แล้วข้อมูลบัตรเครดิตของลูกค้าจะปลอดภัยไปด้วยโดยไม่ต้องดูมาตรฐาน PCI-DSS แยกต่างหาก
• ไม่เคยตรวจว่าลูกค้า Guest Checkout มีสิทธิ์ขอเข้าถึงหรือขอลบข้อมูลเช่นเดียวกับสมาชิก
• ตั้งค่าลบข้อมูลออร์เดอร์ที่ยกเลิกกลางทางไว้ในเอกสาร แต่ไม่เคยตรวจว่าระบบรัน Job ลบจริงตามที่ตั้งไว้

สรุป

การ Audit PDPA สำหรับร้านค้าออนไลน์ที่ได้ผลจริงต้องมองไกลกว่าหน้าตาของฟอร์ม Checkout ไปตรวจว่าขอบเขตข้อมูล เส้นแบ่งกับมาตรฐานความปลอดภัยของบัตร ระยะเวลาการเก็บ การดูแลลูกค้า Guest Checkout และการแยกความยินยอมด้านการตลาด ทำงานตรงกับที่ประกาศไว้จริงหรือไม่ ร้านที่ทำ Audit แบบนี้เป็นรอบสม่ำเสมอจะลดโอกาสที่ลูกค้าจะเป็นคนแรกที่พบช่องว่างแล้วนำไปร้องเรียนต่อสาธารณะ ดูภาพรวมหัวข้ออื่นในหมวด Business, Industry & SEO เพิ่มเติมได้ที่ คลังความรู้ Business, Industry & SEO

แหล่งข้อมูลอ้างอิง

รายละเอียดเรื่องฐานทางกฎหมาย ความยินยอม และหน้าที่ของผู้ควบคุมข้อมูลตามกฎหมาย ควรตรวจสอบเทียบกับแนวปฏิบัติของ สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (PDPC) โดยตรง ส่วนข้อกำหนดด้านความปลอดภัยของข้อมูลบัตรชำระเงินควรตรวจสอบกับมาตรฐาน PCI-DSS ที่ Payment Gateway ที่ใช้งานอยู่ต้องปฏิบัติตามแยกอีกชุด บทความนี้เป็นแนวทางเชิงปฏิบัติสำหรับเจ้าของร้านค้าออนไลน์ ทีม E-commerce และ Performance Marketing ไม่ใช่การตีความข้อกำหนดทางกฎหมายแทนหน่วยงานกำกับดูแล