วิธีวางระบบ PDPA สำหรับ E-commerce สำหรับเว็บไซต์ธุรกิจทั่วไปและ SMEแบบเป็นขั้นตอน

ดึกคืนหนึ่ง แอดมินเพจร้านขายเสื้อผ้าออนไลน์ของ SME แห่งหนึ่งเปิดกล่องข้อความมาเจอลูกค้ารายหนึ่งพิมพ์มาว่า "ขอให้ลบข้อมูลเบอร์โทรกับที่อยู่ที่เคยสั่งซื้อไว้ทั้งหมดได้ไหมคะ ไม่อยากให้เก็บไว้แล้ว" แอดมินคนนั้นนั่งงงอยู่หน้าจอ เพราะข้อมูลลูกค้ากระจายอยู่ในหลายที่ ทั้งไฟล์ Excel ของแอดมินเก่า ระบบหลังบ้านของเว็บไซต์ และแชทในเพจ ไม่รู้จะเริ่มลบตรงไหนก่อน และไม่มั่นใจว่าต้องตอบลูกค้าภายในกี่วัน สถานการณ์แบบนี้เกิดขึ้นได้กับร้านค้าออนไลน์ SME เกือบทุกร้านที่ยังไม่เคยวางระบบ PDPA ไว้ล่วงหน้า

บทความนี้เขียนขึ้นสำหรับเจ้าของกิจการและผู้ดูแลเว็บไซต์ของธุรกิจทั่วไปและ SME ที่ขายสินค้าหรือบริการผ่านเว็บไซต์ อธิบายเป็นขั้นตอนที่ทำเองได้จริงโดยไม่ต้องมีทีมกฎหมายหรือทีมไอทีขนาดใหญ่ เน้นงานที่ทำได้ภายในงบประมาณจำกัดและคนไม่กี่คน

ขั้นตอนที่ 1: สำรวจข้อมูลลูกค้าที่เว็บไซต์เก็บอยู่จริง

ก่อนจะปรับอะไร ต้องรู้ก่อนว่าตอนนี้ร้านเก็บข้อมูลอะไรไว้บ้างและเก็บไว้ที่ไหน ร้านค้าออนไลน์ SME ส่วนใหญ่มีข้อมูลลูกค้ากระจายอยู่หลายจุดโดยไม่รู้ตัว เช่น ฐานข้อมูลระบบเว็บไซต์หรือระบบตะกร้าสินค้า ไฟล์ Excel ที่แอดมินใช้จดออเดอร์ แชทในเพจเฟซบุ๊กหรือ LINE Official Account ระบบอีเมลการตลาดที่ใช้ส่งโปรโมชัน และระบบขนส่งที่พิมพ์ใบปะหน้าพัสดุ

• ทำรายการ (Data Inventory) ว่าแต่ละจุดเก็บข้อมูลอะไร เช่น ชื่อ เบอร์โทร ที่อยู่ อีเมล เลขบัตรประชาชนบางกรณี ประวัติการสั่งซื้อ
• ระบุว่าใครในทีมเข้าถึงข้อมูลแต่ละจุดได้บ้าง
• ทำเครื่องหมายจุดที่ข้อมูลเก่าเกินความจำเป็น เช่น ออเดอร์ที่ปิดไปแล้วหลายปีแต่ยังไม่เคยลบ

ขั้นตอนนี้ใช้เวลาไม่นานถ้าทำเป็นตารางง่าย ๆ ใน Google Sheet หนึ่งแผ่น และเป็นฐานสำหรับทุกขั้นตอนถัดไป

ขั้นตอนที่ 2: ปรับ Privacy Policy และจุดขอความยินยอมบนหน้าเว็บ

เมื่อรู้แล้วว่าเก็บข้อมูลอะไรบ้าง ขั้นถัดไปคือทำให้ลูกค้ารู้เรื่องเดียวกันผ่านหน้า Privacy Policy ที่เขียนด้วยภาษาที่คนทั่วไปอ่านเข้าใจ ไม่ต้องเป็นศัพท์กฎหมาย ระบุให้ชัดว่าเก็บข้อมูลอะไร เก็บไปทำไม เก็บนานแค่ไหน และแชร์ให้ใครบ้าง เช่น ผู้ให้บริการขนส่งหรือระบบชำระเงิน

จุดที่ต้องมีการขอความยินยอมหรือแจ้งวัตถุประสงค์

• หน้าสมัครสมาชิกหรือหน้าเช็คเอาต์ ต้องมีลิงก์ไปหน้า Privacy Policy ที่มองเห็นชัดเจน
• ช่องติ๊กสมัครรับข่าวสารทางอีเมลหรือ SMS ต้องแยกออกจากการยืนยันคำสั่งซื้อ ห้ามติ๊กไว้ล่วงหน้าให้ลูกค้า
• แบบฟอร์มเก็บข้อมูลเพิ่มเติม เช่น วันเกิดเพื่อส่วนลด ต้องบอกเหตุผลกำกับไว้

สำหรับ SME ที่งบจำกัด ไม่จำเป็นต้องจ้างเขียนใหม่ทั้งหมด ปรับจากแม่แบบที่มีอยู่ให้ตรงกับสิ่งที่ร้านทำจริงก็เพียงพอ สิ่งที่สำคัญกว่าคือเนื้อหาต้องตรงกับพฤติกรรมจริงของเว็บไซต์ ไม่ใช่คัดลอกจากร้านอื่นทั้งดุ้น

ตัวอย่างจากร้านค้าออนไลน์ SME ขนาดเล็ก

ร้านขายอุปกรณ์แต่งบ้านแห่งหนึ่งมีพนักงาน 5 คน เดิมทีหน้าเว็บไซต์ไม่มีลิงก์ Privacy Policy เลย เจ้าของร้านใช้เวลาช่วงเย็นวันเสาร์เพียงสามชั่วโมงปรับแม่แบบนโยบายที่หาได้ทั่วไปให้ตรงกับสิ่งที่ร้านทำจริง เช่น ระบุว่าเก็บที่อยู่จัดส่งไว้กับผู้ให้บริการขนส่งรายไหน เก็บเลขบัตรเครดิตไว้เองหรือไม่ (ซึ่งจริง ๆ แล้วร้านไม่เคยเก็บเพราะใช้ระบบชำระเงินภายนอกทั้งหมด) แล้วนำลิงก์ไปวางไว้ที่ท้ายเว็บไซต์และหน้าเช็คเอาต์ ใช้เวลาไม่นานแต่ทำให้ร้านมีเอกสารพื้นฐานที่ตรงกับความจริงทันที ตัวอย่างนี้แสดงให้เห็นว่า SME ไม่จำเป็นต้องรอความพร้อมสมบูรณ์แบบก่อนเริ่ม ขอเพียงเริ่มจากสิ่งที่ทำได้จริงในตอนนี้ก่อน แล้วค่อยปรับปรุงในรอบถัดไป

ขั้นตอนที่ 3: จัดการคำขอสิทธิ์ของเจ้าของข้อมูล (DSAR) สำหรับร้านค้าออนไลน์

กลับมาที่สถานการณ์ต้นเรื่อง เมื่อลูกค้าขอให้ลบหรือขอดูข้อมูล ร้านค้าต้องมีช่องทางรับคำขอที่ชัดเจนและมีคนรับผิดชอบตอบ ไม่ปล่อยให้แอดมินแต่ละคนตัดสินใจเองว่าจะลบหรือไม่ลบ

1. กำหนดช่องทางรับคำขอ เช่น อีเมลเฉพาะหรือฟอร์มบนเว็บไซต์ อย่าใช้แชทเพจเป็นช่องทางหลักเพราะข้อความหลุดง่าย
2. ตั้งเวลาตอบกลับภายในกรอบที่เหมาะสม เช่น ยืนยันรับเรื่องภายใน 3 วันทำการ และดำเนินการให้เสร็จภายในกรอบเวลาที่แจ้งไว้ในนโยบาย
3. ตรวจสอบก่อนลบว่าข้อมูลนั้นจำเป็นต้องเก็บไว้ตามกฎหมายอื่นหรือไม่ เช่น เอกสารทางบัญชีที่ต้องเก็บตามรอบภาษี
4. บันทึกว่าใครเป็นคนดำเนินการ ลบข้อมูลจากจุดไหนบ้าง และแจ้งผลกลับลูกค้าเป็นลายลักษณ์อักษร

ร้านขนาดเล็กไม่จำเป็นต้องมีระบบซับซ้อน ใช้ตาราง Google Sheet บันทึกคำขอแต่ละครั้งพร้อมวันที่และสถานะก็เพียงพอสำหรับการเริ่มต้น

กลับไปที่เคสของแอดมินในตอนต้นบทความ หากร้านมีขั้นตอนนี้เตรียมไว้ล่วงหน้า แอดมินก็แค่เปิดตารางบันทึกคำขอ กรอกชื่อลูกค้า วันที่ขอ และประเภทคำขอ จากนั้นส่งต่อให้เจ้าของร้านซึ่งเป็นผู้รับผิดชอบหลักตรวจสอบว่ามีข้อมูลใดที่ต้องเก็บไว้ตามกฎหมายอื่นก่อนดำเนินการลบ แทนที่จะต้องมานั่งงงว่าจะเริ่มจากตรงไหน กระบวนการที่ชัดเจนแบบนี้ยังช่วยลดความเสี่ยงที่พนักงานแต่ละคนจะตัดสินใจไม่ตรงกันเมื่อเจอคำขอลักษณะเดียวกันในอนาคตด้วย

ขั้นตอนที่ 4: ตรวจสอบผู้ให้บริการภายนอกที่ร้านใช้งานอยู่

ร้านค้าออนไลน์แทบทุกร้านส่งต่อข้อมูลลูกค้าให้ผู้ให้บริการภายนอกโดยไม่รู้ตัว เช่น ระบบชำระเงิน (Payment Gateway) บริษัทขนส่ง ระบบอีเมลการตลาด หรือปลั๊กอินวิเคราะห์พฤติกรรมผู้ใช้บนเว็บไซต์ ผู้ให้บริการเหล่านี้ถือเป็นผู้ประมวลผลข้อมูลแทนร้าน จึงต้องตรวจสอบว่า

• ผู้ให้บริการแต่ละรายมีมาตรการดูแลข้อมูลลูกค้าที่เหมาะสม เช่น มีนโยบายความเป็นส่วนตัวของตัวเอง
• มีข้อตกลงหรือเงื่อนไขการใช้งานที่ระบุขอบเขตการใช้ข้อมูลชัดเจน
• ถ้าเปลี่ยนผู้ให้บริการรายใหม่ ต้องปรับ Privacy Policy ของร้านให้สอดคล้องด้วย

ขั้นตอนนี้เจ้าของร้านมักมองข้าม เพราะคิดว่าเป็นเรื่องของผู้ให้บริการ ไม่ใช่ของร้าน แต่ในทางปฏิบัติ ร้านยังเป็นผู้รับผิดชอบหลักต่อลูกค้าเรื่องข้อมูลที่ส่งต่อออกไป

วิธีทำที่ใช้เวลาน้อยที่สุดสำหรับ SME คือทำตารางรายชื่อผู้ให้บริการภายนอกทั้งหมดที่ร้านใช้งานอยู่ในปัจจุบัน เช่น ผู้ให้บริการชำระเงิน บริษัทขนส่งสองถึงสามราย ระบบส่งอีเมลการตลาด และปลั๊กอินวิเคราะห์เว็บไซต์ แล้วเข้าไปอ่านนโยบายความเป็นส่วนตัวของแต่ละรายคร่าว ๆ ว่ามีการระบุมาตรการดูแลข้อมูลไว้หรือไม่ ถ้าผู้ให้บริการรายใดไม่มีนโยบายชัดเจนเลย ควรพิจารณาเปลี่ยนหรือสอบถามเพิ่มเติมก่อนส่งข้อมูลลูกค้าต่อ โดยเฉพาะข้อมูลที่อ่อนไหว เช่น ที่อยู่และเบอร์โทรศัพท์ที่ต้องส่งให้บริษัทขนส่งทุกออเดอร์

ขั้นตอนที่ 5: เก็บหลักฐาน (Evidence) และตั้งรอบทบทวน

การทำ PDPA ไม่ใช่งานทำครั้งเดียวจบ แต่เป็นงานที่ต้องมีหลักฐานว่าทำจริงและทบทวนสม่ำเสมอ สำหรับ SME แนะนำให้เก็บหลักฐานอย่างน้อยดังนี้

• ภาพหน้าจอหรือไฟล์ Privacy Policy เวอร์ชันปัจจุบันพร้อมวันที่ปรับปรุงล่าสุด
• บันทึกคำขอสิทธิ์ของลูกค้าและวิธีดำเนินการแต่ละครั้ง
• รายชื่อผู้ให้บริการภายนอกที่เข้าถึงข้อมูลลูกค้า พร้อมวันที่ตรวจสอบล่าสุด
• ผลการตรวจสอบภายในหรือรายการที่แก้ไขไปแล้วในแต่ละรอบ

ตั้งรอบทบทวนทุก 6 เดือนหรือทุกครั้งที่มีการเปลี่ยนระบบเว็บไซต์ เพิ่มช่องทางขายใหม่ หรือเปลี่ยนผู้ให้บริการภายนอก เพื่อให้เอกสารตรงกับสิ่งที่ทำจริงเสมอ

ข้อผิดพลาดที่พบบ่อยเมื่อ SME ทำ PDPA สำหรับ E-commerce

• คัดลอก Privacy Policy จากเว็บไซต์อื่นทั้งหมดโดยไม่ปรับให้ตรงกับข้อมูลที่ร้านเก็บจริง
• ติ๊กช่องยินยอมรับข่าวสารไว้ล่วงหน้าให้ลูกค้าโดยอัตโนมัติ
• ไม่มีช่องทางรับคำขอสิทธิ์ที่ชัดเจน ปล่อยให้กระจายอยู่ในแชทหลายช่องทาง
• ลืมตรวจสอบผู้ให้บริการภายนอกอย่าง Payment Gateway หรือระบบขนส่งว่ามีมาตรฐานความปลอดภัยเพียงพอ
• ทำเอกสารไว้ครั้งเดียวตอนเริ่มต้นแล้วไม่เคยทบทวนอีกเลย

ข้อผิดพลาดเหล่านี้ส่วนใหญ่ไม่ได้เกิดจากความตั้งใจ แต่เกิดจากการที่ SME ไม่มีเวลาหรือไม่มีคนที่รับผิดชอบเรื่องนี้โดยตรง วิธีแก้ที่ได้ผลจริงคือมอบหมายให้คนใดคนหนึ่งในทีมเป็นเจ้าของเรื่องนี้อย่างชัดเจน แม้จะเป็นงานเสริมนอกเหนือจากหน้าที่หลักก็ตาม แล้วกันเวลาสั้น ๆ ทุกไตรมาสไว้ทบทวนสถานะ แทนที่จะรอให้มีปัญหาเกิดขึ้นก่อนแล้วค่อยตามแก้ทีหลัง ซึ่งมักใช้เวลาและทรัพยากรมากกว่าการป้องกันไว้ก่อนหลายเท่า

สรุป: เริ่มจากจุดไหนก่อนสำหรับ SME

ถ้าเพิ่งเริ่มต้นและยังไม่เคยทำอะไรเลย ให้เริ่มจากขั้นตอนที่ 1 คือสำรวจข้อมูลที่เก็บอยู่จริงก่อน เพราะเป็นฐานของทุกขั้นตอนถัดไป จากนั้นค่อยไล่ปรับ Privacy Policy วางช่องทางรับคำขอสิทธิ์ ตรวจสอบผู้ให้บริการภายนอก และเก็บหลักฐานไว้ทบทวน ทำทีละขั้นภายในไม่กี่สัปดาห์ก็ครบกระบวนการเบื้องต้นสำหรับร้านค้าออนไลน์ขนาดเล็ก ดูภาพรวมทั้งหมดเพิ่มเติมได้ที่ คู่มือ PDPA สำหรับ E-commerce สำหรับ SME และเช็กความพร้อมของร้านด้วย เช็กลิสต์ PDPA สำหรับร้านค้าออนไลน์ SME

แหล่งข้อมูลอ้างอิง

ข้อมูลในบทความนี้อ้างอิงแนวทางจากสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (PDPC) เป็นแนวทางปฏิบัติทั่วไปสำหรับธุรกิจ SME ไม่ใช่คำแนะนำทางกฎหมายเฉพาะกรณี หากมีข้อสงสัยเฉพาะเจาะจงควรปรึกษาผู้เชี่ยวชาญด้านกฎหมายคุ้มครองข้อมูลส่วนบุคคลเพิ่มเติม ดูข้อมูลหลักได้ที่เว็บไซต์ pdpc.or.th และศึกษาหัวข้อภาพรวมองค์กรเพิ่มเติมได้ที่ ศูนย์ความรู้ Business, Industry & SEO