วิธี Audit PDPA สำหรับธุรกิจการศึกษา ของร้านค้าออนไลน์และ E-commerce พร้อม Evidence ที่ควรเก็บ

ร้านค้าออนไลน์ที่ขายคอร์สเรียนหรือแพ็กเกจติวออนไลน์ต้องตรวจสอบ PDPA แยกจากการขายสินค้าทั่วไป เพราะผู้เรียนบางส่วนเป็นผู้เยาว์ที่ต้องมีความยินยอมจากผู้ปกครองก่อนชำระเงินและเข้าเรียน การ Audit ที่ดีต้องครอบคลุมทั้งขั้นตอนเช็กเอาต์ ระบบ LMS ที่เก็บผลการเรียน และผู้รับชำระเงินภายนอก พร้อมเก็บหลักฐานทุกขั้นตอนไว้พิสูจน์ย้อนหลังได้

ปัญหาที่ร้านค้าออนไลน์ขายคอร์สเรียนเจอบ่อยที่สุดคือระบบเช็กเอาต์ถูกออกแบบมาสำหรับขายสินค้าทั่วไป ไม่ใช่สำหรับขายการเข้าถึงหลักสูตรที่มีผู้เรียนเป็นผู้เยาว์ปนอยู่ ลูกค้าที่กดสั่งซื้อคอร์สอาจเป็นผู้ปกครองที่ซื้อให้บุตรหลาน หรืออาจเป็นเด็กที่ใช้บัตรของผู้ปกครองสั่งซื้อเอง ระบบที่เก็บแค่ชื่อผู้จ่ายเงินกับอีเมลจึงไม่พอสำหรับตอบคำถามว่าใครคือผู้เรียนจริง และผู้เรียนคนนั้นได้รับความยินยอมจากผู้ปกครองแล้วหรือยัง การ Audit จึงต้องเริ่มจากการไล่ดูทุกจุดที่ระบบเก็บข้อมูล ไม่ใช่แค่ดูนโยบายความเป็นส่วนตัวที่แปะไว้หน้าเว็บ

บทความนี้วางกรอบการตรวจสอบเป็นรอบ ไม่ใช่การตั้งค่าครั้งเดียวแล้วจบ เพราะร้านค้าออนไลน์ด้านการศึกษามักเพิ่มคอร์สใหม่ เปลี่ยนผู้ให้บริการชำระเงิน หรือเปลี่ยนระบบ LMS อยู่เรื่อย ๆ ทุกครั้งที่มีการเปลี่ยนแปลงเหล่านี้ ควรวนกลับมาตรวจตามหัวข้อด้านล่างซ้ำอีกครั้ง

ทำไมร้านค้าออนไลน์ด้านการศึกษาต่างจากร้านค้าทั่วไป

ร้านค้าออนไลน์ที่ขายเสื้อผ้าหรือของใช้ทั่วไปมีความเสี่ยงหลักอยู่ที่ข้อมูลบัตรเครดิตและที่อยู่จัดส่ง แต่ร้านค้าที่ขายคอร์สเรียนมีชั้นข้อมูลเพิ่มขึ้นมาอีกชุดหนึ่งคือข้อมูลของผู้เรียน ซึ่งอาจไม่ใช่คนเดียวกับผู้จ่ายเงิน และอาจเป็นผู้เยาว์ที่กฎหมายกำหนดให้ต้องมีความยินยอมจากผู้ปกครองก่อนประมวลผลข้อมูล นอกจากนี้ยังมีข้อมูลผลการเรียนและความคืบหน้าที่ถูกเก็บต่อเนื่องตลอดระยะเวลาที่เรียน ไม่ใช่แค่ข้อมูล ณ วันที่สั่งซื้อครั้งเดียวเหมือนร้านค้าทั่วไป การ Audit ร้านค้าประเภทนี้จึงต้องมองย้อนกลับไปถึงต้นทางของข้อมูลแต่ละชุดว่าใครเป็นเจ้าของข้อมูลจริง ไม่ใช่มองแค่ธุรกรรมการเงินอย่างเดียว

จุดที่ต้องตรวจในขั้นตอนเช็กเอาต์และสมัครเรียน

ขั้นตอนเช็กเอาต์ของร้านค้าออนไลน์ที่ขายคอร์สเรียนมักมีสองสถานะปนกัน คือผู้จ่ายเงินกับผู้เรียนจริง หากทั้งสองสถานะไม่ใช่คนเดียวกัน ระบบต้องมีช่องแยกให้กรอกข้อมูลผู้เรียนต่างหาก และถ้าผู้เรียนแจ้งอายุต่ำกว่าเกณฑ์ที่กำหนด ต้องมีขั้นตอนแทรกให้กรอกข้อมูลผู้ปกครองและยืนยันความยินยอมก่อนดำเนินการชำระเงินต่อ

• ตรวจว่าฟอร์มสมัครเรียนมีช่องระบุอายุผู้เรียนหรือช่องยืนยันว่าผู้ซื้อคือผู้ปกครองหรือไม่
• ตรวจว่าเมื่อระบุอายุต่ำกว่าเกณฑ์ ระบบเปลี่ยนไปขอความยินยอมจากผู้ปกครองโดยอัตโนมัติหรือไม่
• ตรวจว่าอีเมลยืนยันการสมัครแจ้งขอบเขตการใช้ข้อมูลของผู้เรียนไว้ชัดเจนหรือไม่

จุดที่ต้องตรวจในระบบ LMS และการติดตามผลการเรียน

เมื่อผู้เรียนเข้าเรียนแล้ว ระบบ LMS จะเริ่มเก็บข้อมูลอีกชุดหนึ่ง ทั้งความคืบหน้าในบทเรียน คะแนนแบบทดสอบ และบางครั้งมีการบันทึกวิดีโอระหว่างเรียนสดด้วย ทีม Audit ต้องตรวจว่าข้อมูลชุดนี้ถูกจัดเก็บภายใต้วัตถุประสงค์เดียวกับที่แจ้งไว้ตอนสมัคร ไม่ถูกนำไปใช้ทำโฆษณาสินค้าตัวอื่นโดยไม่ได้ขอความยินยอมเพิ่ม และหากมีการบันทึกวิดีโอผู้เรียนที่เป็นผู้เยาว์ ต้องมีการแจ้งและขอความยินยอมจากผู้ปกครองแยกต่างหากสำหรับการบันทึกภาพและเสียงโดยเฉพาะ

• ตรวจว่าสัญญากับผู้ให้บริการ LMS ระบุขอบเขตการใช้ข้อมูลผู้เรียนไว้ชัดเจน ไม่ใช่แค่สัญญาการใช้งานซอฟต์แวร์ทั่วไป
• ตรวจว่าการบันทึกวิดีโอเรียนสดมีการแจ้งผู้ปกครองล่วงหน้าและมีทางเลือกปิดกล้องของผู้เรียนได้
• ตรวจว่าคะแนนและผลการเรียนของผู้เรียนไม่ถูกส่งให้ทีมการตลาดใช้ทำโฆษณาโดยไม่มีความยินยอมเพิ่ม

จุดที่ต้องตรวจฝั่งผู้รับชำระเงินและผู้ให้บริการภายนอก

ร้านค้าออนไลน์ด้านการศึกษาแทบทุกร้านพึ่งพาผู้ให้บริการชำระเงินภายนอกสำหรับรับค่าคอร์ส และบางร้านใช้บริการส่งข้อความแจ้งเตือนหรืออีเมลการตลาดจากผู้ให้บริการภายนอกอีกชั้นหนึ่ง จุดที่ต้อง Audit คือระบบชำระเงินไม่ควรได้รับข้อมูลว่าใครคือผู้เรียนที่เป็นผู้เยาว์เกินความจำเป็นสำหรับการตัดบัตร และผู้ให้บริการอีเมลการตลาดไม่ควรได้รับรายชื่อผู้เรียนที่เป็นผู้เยาว์ไปใช้ยิงแคมเปญโดยตรงโดยไม่ผ่านการคัดกรอง

ระยะเวลาการเก็บรักษาข้อมูลผู้เรียนหลังจบคอร์สหรือขอคืนเงิน

เมื่อผู้เรียนเรียนจบคอร์สแล้ว หรือขอคืนเงินก่อนเรียนจบ ร้านค้าออนไลน์ยังมีภาระต้องตัดสินใจว่าจะเก็บข้อมูลไว้นานแค่ไหน ข้อมูลใบเสร็จและธุรกรรมทางการเงินมักต้องเก็บตามระยะเวลาที่กฎหมายบัญชีกำหนด แต่ข้อมูลผลการเรียน ความคืบหน้าในบทเรียน หรือวิดีโอที่บันทึกไว้ระหว่างเรียนสด ไม่จำเป็นต้องเก็บนานเท่ากัน และควรมีนโยบายลบข้อมูลส่วนนี้ออกภายในระยะเวลาที่กำหนดหลังจบคอร์สหรือหลังคืนเงินสำเร็จ โดยเฉพาะข้อมูลของผู้เรียนที่เป็นผู้เยาว์ซึ่งควรได้รับการพิจารณาลบก่อนเป็นลำดับต้น เพื่อลดปริมาณข้อมูลอ่อนไหวที่ค้างอยู่ในระบบโดยไม่มีประโยชน์ใช้งานต่อ

Evidence ที่ควรเก็บไว้เมื่อถูกตรวจสอบ

เมื่อถึงเวลาต้องพิสูจน์ว่าร้านค้าออนไลน์ทำ PDPA ครบตามที่แจ้งไว้ หลักฐานที่ตอบคำถามได้ตรงประเด็นที่สุดคือหลักฐานที่เก็บไว้ตั้งแต่วันที่เกิดเหตุการณ์จริง ไม่ใช่เอกสารที่เขียนย้อนหลัง รายการที่ควรเก็บมีดังนี้ ภาพหน้าจอหรือบันทึกเวอร์ชันของฟอร์มสมัครเรียนในแต่ละช่วงเวลา บันทึกการยืนยันความยินยอมของผู้ปกครองพร้อมวันที่และช่องทางที่ใช้ สำเนาสัญญาประมวลผลข้อมูลกับผู้ให้บริการ LMS และระบบชำระเงิน และบันทึกการคัดกรองรายชื่อก่อนส่งแคมเปญการตลาดในแต่ละรอบ

ตัวอย่างสถานการณ์ที่มักเกิดขึ้นจริง

ร้านค้าออนไลน์แห่งหนึ่งขายคอร์สเตรียมสอบให้นักเรียนมัธยม โดยผู้ปกครองเป็นคนกดสั่งซื้อและกรอกอีเมลตัวเองในระบบ แต่ตัวคอร์สเรียนจริงถูกเข้าใช้งานผ่านบัญชีที่นักเรียนสร้างเองในระบบ LMS แยกต่างหาก เมื่อทีม Audit เข้าไปตรวจสอบพบว่าระบบสมัครสมาชิกของ LMS ไม่มีการเชื่อมโยงกลับไปยังความยินยอมที่ผู้ปกครองให้ไว้ตอนซื้อคอร์สเลย นักเรียนสามารถกรอกวันเกิดปลอมเพื่อผ่านการยืนยันอายุในระบบ LMS ได้โดยไม่มีการตรวจสอบไขว้กับข้อมูลผู้ปกครองที่ซื้อคอร์สให้ ทีมงานจึงต้องแก้ไขระบบให้ผูกบัญชี LMS ของผู้เรียนเข้ากับคำสั่งซื้อของผู้ปกครองโดยตรง เพื่อให้ความยินยอมที่ให้ไว้ครอบคลุมถึงการใช้งานจริงในระบบ LMS ด้วย ไม่ใช่ครอบคลุมแค่ขั้นตอนชำระเงิน

ข้อผิดพลาดที่พบบ่อยในการ Audit ร้านค้าออนไลน์ด้านการศึกษา

• ตรวจแค่หน้านโยบายความเป็นส่วนตัว แต่ไม่ได้ลองสมัครเรียนจริงเพื่อดูว่าฟอร์มทำงานตามที่เขียนไว้หรือไม่
• ไม่แยกสถานะผู้จ่ายเงินกับผู้เรียนจริง ทำให้พลาดจุดขอความยินยอมผู้ปกครองไปเลย
• ปล่อยให้รายชื่อผู้เรียนทุกคนถูกส่งเข้าระบบอีเมลการตลาดโดยไม่คัดกรองอายุก่อน
• ไม่เก็บหลักฐานการยืนยันความยินยอม ทำให้เมื่อถูกสอบถามย้อนหลังไม่มีอะไรอ้างอิงได้

ร้านค้าที่เพิ่งเริ่ม Audit มักคิดว่าการมีนโยบายเป็นลายลักษณ์อักษรก็เพียงพอแล้ว แต่นโยบายที่ไม่ได้ถูกนำไปปฏิบัติจริงในฟอร์มสมัครเรียนหรือระบบ LMS ก็ไม่ได้ช่วยอะไรเมื่อต้องตอบคำถามจากผู้ปกครองหรือหน่วยงานกำกับดูแล การ Audit ที่ได้ผลจริงต้องลงไปทดสอบระบบทีละขั้นตอนเหมือนเป็นผู้ใช้งานจริง ไม่ใช่แค่อ่านเอกสารบนกระดาษ

อีกจุดที่มักถูกมองข้ามคือการคืนเงิน เมื่อผู้ปกครองขอคืนเงินและยกเลิกคอร์สให้บุตรหลาน ทีมงานต้องมีขั้นตอนที่ชัดเจนว่าจะหยุดการเข้าถึงระบบ LMS ของผู้เรียนทันที และพิจารณาลบข้อมูลที่ไม่จำเป็นต้องเก็บต่อ ไม่ใช่ปล่อยให้บัญชีผู้เรียนยังเปิดใช้งานได้ทั้งที่ยกเลิกคอร์สไปแล้ว เพราะนั่นหมายถึงข้อมูลของผู้เยาว์ยังคงถูกประมวลผลอยู่โดยไม่มีวัตถุประสงค์รองรับ

ความถี่และผู้รับผิดชอบในการทำ Audit รอบถัดไป

การ Audit ครั้งเดียวไม่พอสำหรับร้านค้าออนไลน์ด้านการศึกษาที่มีการเพิ่มคอร์สใหม่หรือเปลี่ยนผู้ให้บริการอยู่เรื่อย ควรกำหนดผู้รับผิดชอบชัดเจนว่าใครเป็นคนต้องทำ Audit รอบถัดไป มักเป็นทีมที่ดูแลข้อมูลร่วมกับทีมพัฒนาระบบ ไม่ใช่ทีมการตลาดที่มักโฟกัสที่ยอดขายเป็นหลัก และควรกำหนดรอบตรวจอย่างน้อยทุกครั้งที่เปิดคอร์สใหม่ที่มีกลุ่มเป้าหมายเป็นผู้เยาว์ หรือทุกครั้งที่เปลี่ยนผู้ให้บริการชำระเงินและระบบ LMS แม้จะไม่ได้เปลี่ยนคอร์สเรียนเลยก็ตาม เพราะการเปลี่ยนผู้ให้บริการมักมาพร้อมการเปลี่ยนแปลงว่าข้อมูลผู้เรียนถูกส่งไปที่ใครและถูกเก็บไว้ที่ไหนบ้าง

สรุป

การ Audit PDPA สำหรับร้านค้าออนไลน์ด้านการศึกษาต้องมองสามจุดพร้อมกัน คือขั้นตอนเช็กเอาต์ที่แยกผู้จ่ายเงินกับผู้เรียน ระบบ LMS ที่เก็บผลการเรียนและอาจมีการบันทึกวิดีโอ และผู้ให้บริการภายนอกทั้งระบบชำระเงินและระบบการตลาด การตรวจให้ครบทั้งสามจุดพร้อมเก็บหลักฐานทุกขั้นตอนไม่ได้ทำให้ความเสี่ยงหายไปทั้งหมด แต่ช่วยให้ทีมงานตอบคำถามได้ตรงประเด็นเมื่อต้องพิสูจน์ย้อนหลัง ดูขั้นตอนติดตั้งระบบแบบละเอียดเพิ่มเติมได้ที่คู่มือภาพรวม PDPA สำหรับธุรกิจการศึกษา E-commerce และเช็กลิสต์ก่อนเปิดใช้งานคอร์สใหม่อยู่ที่เช็กลิสต์ก่อนเปิดใช้งาน ดูหัวข้ออื่นในคลัสเตอร์ธุรกิจได้ที่ศูนย์ความรู้ธุรกิจและอุตสาหกรรม

แหล่งข้อมูลอ้างอิง

ทีมงานควรตรวจสอบแนวปฏิบัติล่าสุดเกี่ยวกับเกณฑ์อายุความยินยอมของผู้เยาว์และการประมวลผลข้อมูลผ่านผู้ให้บริการภายนอกโดยตรงจากสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เพราะแนวปฏิบัติอาจมีการปรับปรุงเป็นระยะ