วิธีวางระบบ PDPA สำหรับ E-commerce สำหรับร้านค้าออนไลน์และ E-commerceแบบเป็นขั้นตอน

ร้านค้าออนไลน์จำนวนไม่น้อยเข้าใจว่าถ้าระบบชำระเงินผ่านมาตรฐาน PCI-DSS เรียบร้อยแล้ว เท่ากับเรื่อง PDPA ก็จบไปด้วย เพราะมองว่าสองเรื่องนี้พูดถึงความปลอดภัยของข้อมูลลูกค้าเหมือนกัน แต่ในความเป็นจริง PCI-DSS ควบคุมเฉพาะการจัดเก็บและส่งต่อข้อมูลบัตรเครดิตไม่ให้รั่วไหลหรือถูกขโมย ขณะที่ PDPA ควบคุมข้อมูลส่วนบุคคลของลูกค้าทั้งหมด ตั้งแต่ชื่อ ที่อยู่จัดส่ง เบอร์โทร อีเมล ไปจนถึงพฤติกรรมการสั่งซื้อ ร้านที่ผ่านการตรวจ PCI-DSS มาแล้วยังต้องกลับมาดูฐานทางกฎหมายในการเก็บข้อมูลแต่ละจุด วิธีขอความยินยอม และสิทธิ์ของเจ้าของข้อมูลแยกต่างหากอยู่ดี

บทความนี้วางระบบ PDPA เฉพาะจุดของธุรกิจ E-commerce แบบเป็นขั้นตอน ตั้งแต่การไล่ตรวจจุดเก็บข้อมูลตลอดเส้นทางการซื้อของลูกค้า การลดข้อมูลที่เก็บตอน Checkout ให้เหลือเท่าที่จำเป็น การแยกยินยอมด้านการตลาดออกจากการยืนยันคำสั่งซื้อ และการวางกำหนดเวลาเก็บและลบข้อมูลคำสั่งซื้อที่สำเร็จกับที่ถูกทิ้งกลางคัน เพื่อให้ทีมที่ดูแลร้านค้าออนไลน์นำไปใช้วางระบบได้จริง ไม่ใช่แค่เข้าใจหลักการกว้าง ๆ

PDPA สำหรับ E-commerce ไม่ใช่แค่ติด Cookie Banner แต่ครอบคลุมการเก็บข้อมูลตอน Checkout การจัดการข้อมูลบัตรและที่อยู่จัดส่งให้เหลือเท่าที่จำเป็น การแยกช่องยินยอมรับข่าวสารการตลาดออกจากการยืนยันคำสั่งซื้อ และการกำหนดเวลาลบข้อมูลคำสั่งซื้อที่สำเร็จกับที่ถูกทิ้งกลางคันแยกจากกัน PDPA กับมาตรฐาน PCI-DSS เป็นคนละเรื่องกัน ร้านที่ผ่าน PCI-DSS ด้านความปลอดภัยบัตรยังต้องจัดการ PDPA ด้านสิทธิ์เจ้าของข้อมูลแยกต่างหาก

PDPA กับ PCI-DSS ต่างกันตรงไหน และทำไมร้านค้าออนไลน์ต้องแยกให้ชัด

PCI-DSS (Payment Card Industry Data Security Standard) เป็นมาตรฐานที่เครือข่ายบัตรเครดิตกำหนดขึ้นเพื่อควบคุมวิธีจัดเก็บ ส่งผ่าน และประมวลผลข้อมูลบัตรชำระเงินให้ปลอดภัยจากการถูกขโมยหรือรั่วไหล เป็นเรื่องทางเทคนิคของระบบชำระเงินโดยเฉพาะ ส่วน PDPA เป็นกฎหมายคุ้มครองข้อมูลส่วนบุคคลที่ครอบคลุมกว้างกว่ามาก ทั้งฐานทางกฎหมายในการเก็บข้อมูล การขอความยินยอม สิทธิ์ในการเข้าถึงหรือขอลบข้อมูล และการแจ้งเหตุเมื่อข้อมูลรั่วไหล ร้านค้าออนไลน์ที่ใช้ผู้ให้บริการชำระเงินที่ผ่าน PCI-DSS แล้ว หมายความเพียงว่าข้อมูลบัตรถูกจัดการอย่างปลอดภัยในชั้นเทคนิค แต่ไม่ได้แปลว่าระบบสมัครสมาชิก แบบฟอร์ม Checkout หรือการเก็บที่อยู่จัดส่งของร้านจะสอดคล้องกับ PDPA โดยอัตโนมัติ สองเรื่องนี้ต้องตรวจแยกกันเสมอ

ขั้นตอนที่ 1: ไล่จุดเก็บข้อมูลตลอดเส้นทางการซื้อของลูกค้า

เริ่มจากไล่ทีละขั้นตามเส้นทางที่ลูกค้าเดินผ่านจริงบนร้านค้าออนไลน์ ตั้งแต่การเรียกดูสินค้า การใส่ตะกร้า การกรอกข้อมูล Checkout การเลือกช่องทางชำระเงิน การกรอกที่อยู่จัดส่ง ไปจนถึงอีเมลยืนยันคำสั่งซื้อและอีเมลการตลาดหลังการซื้อ แต่ละขั้นตอนมีจุดเก็บข้อมูลของตัวเอง เช่น ตะกร้าสินค้าอาจเก็บพฤติกรรมการเลือกสินค้าผ่านคุกกี้ ฟอร์ม Checkout เก็บชื่อ ที่อยู่ เบอร์โทร ระบบชำระเงินเก็บข้อมูลบัตรหรือช่องทางโอน และระบบจัดส่งอาจส่งชื่อกับที่อยู่ลูกค้าต่อให้บริษัทขนส่งภายนอก ทีมที่ดูแลร้านควรทำตารางบันทึกว่าจุดไหนเก็บข้อมูลอะไร ส่งต่อให้ใครบ้าง และมีฐานทางกฎหมายรองรับหรือไม่ ก่อนจะไปแก้ไขจุดใดจุดหนึ่ง

ขั้นตอนที่ 2: ลดข้อมูลที่เก็บตอน Checkout ให้เหลือเท่าที่จำเป็นต่อการส่งของและออกใบเสร็จ

ฟอร์ม Checkout ของหลายร้านมักขอข้อมูลเกินความจำเป็น เช่น ขอเลขบัตรประชาชนโดยไม่มีเหตุผลทางภาษี ขอวันเกิดเพื่อใช้ทำแคมเปญการตลาดในอนาคต หรือขอเพศและอาชีพทั้งที่ไม่เกี่ยวกับการจัดส่งเลย หลักการลดข้อมูลคือถามทุกช่องในฟอร์มว่าถ้าไม่มีข้อมูลนี้ จะจัดส่งสินค้าและออกใบเสร็จได้หรือไม่ ถ้าคำตอบคือได้ ช่องนั้นควรเป็นทางเลือกหรือตัดออกไปเลย ข้อมูลที่จำเป็นจริงสำหรับการซื้อขายทั่วไปมักมีแค่ชื่อผู้รับ ที่อยู่จัดส่ง เบอร์ติดต่อ และอีเมลสำหรับใบยืนยันคำสั่งซื้อ ส่วนเลขประจำตัวผู้เสียภาษีควรขอเฉพาะกรณีลูกค้าต้องการใบกำกับภาษีเต็มรูปแบบเท่านั้น

ขั้นตอนที่ 3: แยกช่องยินยอมรับข่าวสารการตลาดออกจากการยืนยันคำสั่งซื้อ

ปัญหาที่พบบ่อยมากในร้านค้าออนไลน์คือปุ่ม "ยืนยันคำสั่งซื้อ" ผูกรวมกับการสมัครรับข่าวสารการตลาดไว้ในการกดครั้งเดียว ทำให้ลูกค้าที่แค่ต้องการซื้อสินค้าโดนสมัครรับอีเมลโปรโมชันไปโดยไม่รู้ตัว การยินยอมแบบนี้ไม่ถือเป็นความยินยอมที่ถูกต้องตามหลัก PDPA เพราะไม่ได้เปิดโอกาสให้ปฏิเสธแยกจากการซื้อ ร้านที่วางระบบถูกต้องควรมีช่องติ๊กแยกต่างหากสำหรับการรับข่าวสารการตลาด ไม่ติ๊กไว้ล่วงหน้าให้ลูกค้าเอง และต้องไม่กระทบต่อการดำเนินการสั่งซื้อไม่ว่าลูกค้าจะเลือกติ๊กหรือไม่ก็ตาม เมื่อแยกช่องแบบนี้ชัดเจน ทีมการตลาดจะได้รายชื่อที่ยินยอมจริง ซึ่งมีคุณภาพสูงกว่ารายชื่อที่ได้มาจากการผูกกับการซื้อ และลดความเสี่ยงเรื่องข้อร้องเรียนไปพร้อมกัน

ขั้นตอนที่ 4: วางกำหนดเวลาเก็บและลบข้อมูลคำสั่งซื้อที่สำเร็จกับที่ถูกทิ้งกลางคัน

คำสั่งซื้อที่จบสมบูรณ์กับตะกร้าที่ลูกค้ากรอกข้อมูลไว้แล้วปิดหน้าจอไปกลางคันควรมีอายุการเก็บข้อมูลที่ต่างกัน คำสั่งซื้อที่สำเร็จมักต้องเก็บไว้ตามรอบบัญชีหรือภาษีตามระยะเวลาที่กฎหมายอื่นกำหนด ส่วนข้อมูลตะกร้าที่ถูกทิ้งกลางคันซึ่งมักมีแค่อีเมลหรือเบอร์โทรที่กรอกไว้ ไม่ควรถูกเก็บไว้นานเท่ากับคำสั่งซื้อจริง เพราะไม่มีเหตุผลทางธุรกิจรองรับการเก็บระยะยาว กรณีลูกค้าที่ซื้อแบบ Guest Checkout โดยไม่สมัครสมาชิก ร้านควรมีนโยบายชัดว่าจะเก็บข้อมูลของคำสั่งซื้อนั้นไว้นานเท่าใดหลังจัดส่งเสร็จ และมีช่องทางให้ลูกค้าที่ไม่มีบัญชีสมาชิกร้องขอลบข้อมูลได้จริง ไม่ใช่ปล่อยให้ข้อมูลลูกค้าที่ซื้อครั้งเดียวค้างอยู่ในระบบตลอดไปโดยไม่มีกำหนด

ขั้นตอนที่ 5: จัดการข้อมูลบัตรและช่องทางชำระเงินให้ชัดเจนว่าใครเก็บอะไร

ร้านค้าออนไลน์ส่วนใหญ่ไม่ควรเก็บเลขบัตรเครดิตเต็มรูปแบบไว้ในระบบของตัวเองเลย เพราะเป็นภาระด้านความปลอดภัยที่หนักและอยู่นอกขอบเขตที่ PDPA เข้ามาช่วยได้โดยตรง แนวทางที่ควรใช้คือส่งข้อมูลบัตรตรงไปยังผู้ให้บริการชำระเงินที่ผ่านมาตรฐาน PCI-DSS แล้วเก็บเฉพาะรหัสอ้างอิงธุรกรรม (Token) ไว้ฝั่งร้านแทน ทีมที่ดูแลร้านควรตรวจสอบให้แน่ใจว่าไม่มีฟอร์มไหนแอบส่งเลขบัตรมาเก็บในฐานข้อมูลของร้านเองผ่านปลั๊กอินเก่าหรือระบบสำรองข้อมูลที่ลืมปิด และควรระบุในนโยบายความเป็นส่วนตัวให้ชัดว่าใครเป็นผู้ประมวลผลข้อมูลบัตรจริง ๆ ระหว่างร้านกับผู้ให้บริการชำระเงิน เพื่อไม่ให้ลูกค้าสับสนว่าข้อมูลบัตรของตัวเองไปอยู่ที่ไหน

ผลกระทบต่อทีม Performance Marketing เมื่อแยกความยินยอมการตลาดชัดเจน

ทีม Performance Marketing ที่ยิงโฆษณา Retargeting หรือสร้าง Custom Audience จากฐานลูกค้าเดิมมักใช้พิกเซลติดตามและอีเมลลูกค้าที่เก็บมาจากตอน Checkout เมื่อร้านแยกช่องยินยอมการตลาดออกจากการยืนยันคำสั่งซื้อแล้ว ทีมการตลาดควรใช้เฉพาะรายชื่อที่ติ๊กยินยอมจริงในการอัปโหลดเข้าแพลตฟอร์มโฆษณา ไม่ใช่ดึงรายชื่อลูกค้าทั้งหมดที่เคยสั่งซื้อมาใช้ทันที เพราะลูกค้าที่ปฏิเสธการรับข่าวสารแต่ยังคงเป็นลูกค้าที่ซื้อสินค้าอยู่ ไม่ได้แปลว่ายินยอมให้นำข้อมูลไปสร้างกลุ่มเป้าหมายโฆษณา การแบ่งฐานข้อมูลลูกค้าออกเป็นสองชุดตั้งแต่ต้น คือชุดที่ยินยอมรับการตลาดและชุดที่ไม่ยินยอม ช่วยให้ทีมการตลาดทำงานได้เร็วขึ้นในระยะยาว เพราะไม่ต้องมานั่งไล่กรองทีหลังว่าใครยินยอมจริงบ้างเมื่อถูกตรวจสอบ

ตัวอย่างจริง: ร้านเสื้อผ้าออนไลน์ที่ต้องแก้ระบบ Checkout ทั้งหมด

ร้านเสื้อผ้าออนไลน์รายหนึ่งใช้ระบบ Checkout เดียวกันมาสามปีโดยไม่เคยทบทวน พบว่าฟอร์มสมัครสมาชิกขอวันเกิดและเพศของลูกค้าทุกครั้งทั้งที่ไม่เคยใช้ข้อมูลนี้จริง ปุ่มยืนยันคำสั่งซื้อผูกรวมกับการสมัครรับข่าวสารไว้ในปุ่มเดียว และตะกร้าที่ลูกค้าทิ้งกลางคันถูกเก็บอีเมลไว้ในระบบส่งอีเมลการตลาดแบบไม่มีกำหนดลบเลย เมื่อทีมพัฒนาเข้ามาแก้ไข ได้ตัดช่องวันเกิดกับเพศออกจากฟอร์มสมัครสมาชิก แยกช่องติ๊กรับข่าวสารออกจากปุ่มยืนยันคำสั่งซื้อ และตั้งกำหนดลบข้อมูลตะกร้าที่ถูกทิ้งกลางคันหลังผ่านไป 90 วันหากลูกค้าไม่กลับมาซื้อ ผลที่ตามมาคือจำนวนข้อร้องเรียนเรื่องอีเมลโฆษณาที่ไม่ได้ขอลดลงชัดเจน และทีมการตลาดเองก็พบว่ารายชื่อที่สมัครรับข่าวสารจริงมีอัตราเปิดอ่านอีเมลสูงกว่ารายชื่อชุดเดิมที่ได้มาแบบผูกกับการซื้อ

ลิงก์ต่อยอด: Checklist และการ Audit ที่ควรทำคู่กับการวางระบบนี้

เมื่อวางระบบตามขั้นตอนข้างต้นแล้ว ทีมควรมีรายการตรวจสอบสั้นไว้ใช้ทบทวนทุกครั้งที่แก้ไขหน้า Checkout อ่านเพิ่มเติมได้ที่ Checklist PDPA สำหรับ E-commerce สำหรับร้านค้าออนไลน์ และเมื่อระบบใช้งานมาสักระยะควรมีรอบตรวจสอบย้อนหลังว่ายังทำตามที่วางไว้จริงหรือไม่ ดูรายละเอียดขั้นตอน Audit ได้ที่ วิธี Audit PDPA สำหรับ E-commerce ส่วนภาพรวมหัวข้ออื่นในหมวดธุรกิจและอุตสาหกรรมดูได้ที่ คลังความรู้ Business, Industry & SEO

ข้อผิดพลาดที่พบบ่อยเมื่อวางระบบ PDPA ให้ร้านค้าออนไลน์

• เข้าใจว่าผ่านมาตรฐาน PCI-DSS ของระบบชำระเงินแล้วเท่ากับ PDPA เรียบร้อยไปด้วย
• ผูกช่องยินยอมรับข่าวสารการตลาดไว้กับปุ่มยืนยันคำสั่งซื้อโดยไม่แยกให้เลือกได้อิสระ
• ขอข้อมูลเกินความจำเป็นในฟอร์ม Checkout เช่น วันเกิดหรือเพศที่ไม่เกี่ยวกับการจัดส่ง
• ไม่มีกำหนดเวลาลบข้อมูลตะกร้าที่ถูกทิ้งกลางคันหรือข้อมูลลูกค้าที่ซื้อแบบ Guest Checkout
• ปล่อยให้ปลั๊กอินหรือระบบสำรองข้อมูลเก่าเก็บเลขบัตรเครดิตไว้ในฐานข้อมูลของร้านเอง

สรุป

การวางระบบ PDPA สำหรับ E-commerce ต้องแยกให้ชัดจาก PCI-DSS ตั้งแต่ต้น เพราะเป็นคนละมาตรฐานที่ควบคุมคนละเรื่อง จากนั้นจึงไล่ตรวจจุดเก็บข้อมูลตลอดเส้นทางการซื้อ ลดข้อมูลที่เก็บตอน Checkout ให้เหลือเท่าที่จำเป็น แยกยินยอมการตลาดออกจากการยืนยันคำสั่งซื้อ วางกำหนดเวลาลบข้อมูลคำสั่งซื้อที่สำเร็จกับที่ถูกทิ้งกลางคันให้ต่างกัน และตรวจให้แน่ใจว่าข้อมูลบัตรไม่ได้ถูกเก็บไว้ในระบบของร้านเอง ทีมที่ต้องการรายการตรวจสอบไว้ใช้ซ้ำทุกครั้งควรอ่านคู่กับ Checklist และวางรอบ Audit ติดตามผลตามที่แนะนำไว้ข้างต้น

แหล่งข้อมูลอ้างอิง

ขอบเขตหน้าที่ของผู้ควบคุมข้อมูล ฐานทางกฎหมายในการประมวลผลข้อมูลลูกค้า และแนวปฏิบัติเรื่องความยินยอมควรตรวจสอบกับประกาศของ สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (PDPC) โดยตรง ส่วนข้อกำหนดด้านความปลอดภัยของข้อมูลบัตรชำระเงินเป็นมาตรฐาน PCI-DSS ที่แยกจากกฎหมายฉบับนี้ คู่มือนี้เป็นแนวทางเชิงปฏิบัติสำหรับร้านค้าออนไลน์ ไม่ใช่การตีความข้อกำหนดทางกฎหมายแทนหน่วยงานกำกับดูแลหรือที่ปรึกษากฎหมายของแต่ละร้าน