วิธี Audit PDPA สำหรับธุรกิจการศึกษา ของเว็บไซต์ธุรกิจทั่วไปและ SME พร้อม Evidence ที่ควรเก็บ

เจ้าของสถาบันสอนพิเศษแห่งหนึ่งเปิดสเปรดชีตรายชื่อนักเรียนในเช้าวันจันทร์ เพื่อเตรียมต่อสัญญากับระบบ LMS ที่ใช้ส่งการบ้านออนไลน์ ในไฟล์นั้นมีชื่อ-นามสกุลนักเรียน เลขบัตรประชาชนของผู้ปกครองที่ใช้ตอนสมัครสอบวัดระดับ เบอร์โทรผู้ปกครอง และในบางแถวยังมีบันทึกเรื่องโรคประจำตัวของเด็กที่แจ้งไว้ตอนสมัครค่ายเรียนช่วงปิดเทอม ทั้งหมดนี้ไม่เคยมีใบยินยอมที่เก็บเป็นไฟล์แยกไว้เลย เป็นภาพที่พบได้บ่อยในธุรกิจการศึกษาขนาดเล็กที่ไม่มีทีมกฎหมายหรือเจ้าหน้าที่คุ้มครองข้อมูลประจำ และเป็นจุดเริ่มต้นที่ดีที่สุดในการทำความเข้าใจว่า Audit PDPA ควรเริ่มจากตรงไหน

PDPA สำหรับธุรกิจการศึกษาคืออะไร และทำไม SME ต้องตรวจสอบเป็นระยะ

ธุรกิจการศึกษาในความหมายนี้ครอบคลุมโรงเรียนกวดวิชา สถาบันสอนภาษา ธุรกิจสอนออนไลน์ สตูดิโอสอนทักษะเฉพาะทาง และผู้ให้บริการค่ายกิจกรรมสำหรับเด็ก ซึ่งล้วนเก็บข้อมูลที่มีความอ่อนไหวมากกว่าธุรกิจทั่วไป เพราะเจ้าของข้อมูลจำนวนมากเป็นผู้เยาว์ และข้อมูลที่เกี่ยวข้องมักโยงกับผู้ปกครองอีกชั้นหนึ่ง เช่น ข้อมูลสุขภาพสำหรับกิจกรรมค่าย ผลการเรียน หรือพฤติกรรมของเด็ก การตรวจสอบเป็นระยะจึงไม่ใช่แค่เรื่องเอกสาร แต่เป็นการลดโอกาสที่ข้อมูลของเด็กจะหลุดออกไปโดยไม่มีใครรู้ตัว โดยเฉพาะเมื่อธุรกิจเปลี่ยนระบบสมัครเรียน เปลี่ยนผู้ให้บริการ LMS หรือเพิ่มช่องทางรับสมัครใหม่ เช่น Line OA หรือฟอร์มออนไลน์ ทุกครั้งที่มีการเปลี่ยนแปลงเหล่านี้ ความเสี่ยงด้านข้อมูลก็เปลี่ยนตามไปด้วย

ก่อนเริ่ม Audit: เตรียมขอบเขตและทีมงานให้ชัดก่อน

สำหรับ SME ที่มีเจ้าหน้าที่ไม่กี่คน การ Audit ไม่จำเป็นต้องใหญ่โต แต่ต้องมีขอบเขตชัดเจนว่าจะตรวจอะไร ใครรับผิดชอบ และใช้เวลากี่วัน โดยทั่วไปควรกำหนดขอบเขตให้ครอบคลุมอย่างน้อยสามส่วน คือ ช่องทางรับสมัครและเว็บไซต์ ระบบหลังบ้านที่เก็บข้อมูลนักเรียน และผู้ให้บริการภายนอกที่เข้าถึงข้อมูลได้ เจ้าของกิจการควรมอบหมายให้คนคนเดียวเป็นผู้ตามเรื่องทั้งหมด แม้จะไม่มีตำแหน่งเจ้าหน้าที่คุ้มครองข้อมูลอย่างเป็นทางการ เพื่อไม่ให้งานตกหล่นระหว่างแผนก นอกจากนี้ควรกำหนดวันที่เริ่มและวันที่คาดว่าจะสรุปผลไว้ล่วงหน้า เพราะธุรกิจการศึกษาขนาดเล็กมักมีช่วงเปิด-ปิดเทอมที่งานเยอะเป็นพิเศษ การเลือกช่วงเวลาที่นิ่งกว่า เช่น ช่วงปิดเทอมก่อนเปิดรับสมัครรอบใหม่ จะทำให้ทีมมีเวลาโฟกัสกับการตรวจสอบได้จริง แทนที่จะทำแบบเร่งรีบระหว่างมีนักเรียนเข้าออกตลอดวัน

ตัวอย่างสถานการณ์ที่ SME ธุรกิจการศึกษามักเจอระหว่างทำ Audit

สถาบันสอนภาษาแห่งหนึ่งพบว่าไฟล์เอกสารสมัครเรียนเก่าย้อนหลังสามปีถูกเก็บไว้ในโฟลเดอร์เดียวกับไฟล์บัญชี พนักงานทุกคนที่มีสิทธิเข้าถึงระบบบัญชีจึงเปิดดูข้อมูลนักเรียนได้โดยไม่จำเป็น ทั้งที่งานของพนักงานกลุ่มนี้ไม่เกี่ยวข้องกับการเรียนการสอนเลย

โรงเรียนสอนดนตรีขนาดเล็กอีกแห่งเปลี่ยนมาใช้แอปนัดหมายเรียนตัวใหม่ที่มีฟีเจอร์แชทในตัว แต่ไม่มีใครตรวจสอบก่อนว่าแอปดังกล่าวเก็บข้อมูลการสนทนาไว้ที่เซิร์ฟเวอร์ต่างประเทศหรือไม่ และไม่มีเอกสารด้านความปลอดภัยข้อมูลจากผู้พัฒนาแอปเลย

สถาบันติวสอบแห่งหนึ่งเก็บภาพและวิดีโอกิจกรรมค่ายวิชาการของเด็กไว้ใช้โปรโมทเพจ โดยขอความยินยอมจากผู้ปกครองเฉพาะตอนลงทะเบียนครั้งแรกเท่านั้น เมื่อมีการนำภาพจากปีก่อนกลับมาใช้ใหม่ในแคมเปญปีถัดไป กลับไม่มีใครตรวจสอบว่าความยินยอมเดิมยังครอบคลุมถึงการใช้งานซ้ำหรือไม่

ขั้นตอนตรวจสอบ PDPA ทีละขั้นสำหรับธุรกิจการศึกษา

ขั้นที่ 1 ทำบัญชีข้อมูลที่เก็บจริง (Data Inventory)

เริ่มจากไล่ดูทุกจุดที่มีการกรอกข้อมูล ตั้งแต่ฟอร์มสมัครเรียนบนเว็บไซต์ แบบฟอร์มกระดาษหน้าสาขา ไปจนถึงข้อมูลที่พิมพ์ผ่าน Line OA แล้วจดไว้ว่าแต่ละจุดเก็บข้อมูลอะไรบ้าง เก็บไว้ที่ไหน ใครเข้าถึงได้ และมีการเก็บสำเนาบัตรประชาชนหรือข้อมูลสุขภาพหรือไม่ เพราะสองประเภทนี้เป็นจุดที่มักถูกมองข้ามที่สุด

ขั้นที่ 2 ตรวจฐานทางกฎหมายของแต่ละรายการข้อมูล

ข้อมูลแต่ละก้อนต้องมีเหตุผลรองรับว่าทำไมถึงเก็บได้ เช่น ข้อมูลที่จำเป็นต่อการลงทะเบียนเรียนอาจอ้างอิงฐานสัญญา ส่วนข้อมูลสุขภาพหรือรูปถ่ายกิจกรรมที่จะนำไปโพสต์ประชาสัมพันธ์ควรมีการขอความยินยอมแยกต่างหาก และเมื่อเจ้าของข้อมูลเป็นผู้เยาว์ ควรตรวจสอบกับที่ปรึกษากฎหมายว่าการขอความยินยอมจากผู้ปกครองในแต่ละกรณีทำได้ถูกต้องตามช่วงอายุหรือไม่ เพราะรายละเอียดนี้อาจเปลี่ยนแปลงได้ตามแนวปฏิบัติ

ขั้นที่ 3 ตรวจสอบช่องทางเก็บข้อมูลบนเว็บไซต์และแอปที่ใช้

ตรวจว่าฟอร์มสมัครเรียนมีข้อความแจ้งวัตถุประสงค์การเก็บข้อมูลหรือไม่ มีลิงก์ไปหน้านโยบายความเป็นส่วนตัวหรือไม่ และช่องกาความยินยอมเป็นแบบที่ต้องกดเลือกเอง ไม่ใช่ติ๊กไว้ล่วงหน้าให้อัตโนมัติ รวมถึงตรวจสอบว่าคุกกี้ที่ใช้ติดตามพฤติกรรมผู้เข้าชมเว็บไซต์มีการแจ้งและขอความยินยอมก่อนเก็บข้อมูลหรือไม่

ขั้นที่ 4 ตรวจสอบการประมวลผลข้อมูลของผู้เยาว์โดยเฉพาะ

แยกรายชื่อกิจกรรมที่เกี่ยวข้องกับเด็กออกมาต่างหาก เช่น ค่ายกิจกรรม การถ่ายภาพกิจกรรมเพื่อโปรโมท หรือระบบติดตามผลการเรียนที่ผู้ปกครองเข้าดูได้ แล้วตรวจว่าแต่ละกิจกรรมมีการแจ้งผู้ปกครองอย่างชัดเจน และมีช่องทางให้ปฏิเสธหรือถอนความยินยอมภายหลังได้

ขั้นที่ 5 ตรวจสอบผู้ให้บริการภายนอกที่เข้าถึงข้อมูลนักเรียน

ระบบ LMS ผู้ให้บริการชำระเงินออนไลน์ และแพลตฟอร์มประชุมออนไลน์ที่ใช้สอนสด ล้วนเป็นผู้ประมวลผลข้อมูลแทนธุรกิจ ควรตรวจสอบว่ามีข้อตกลงเป็นลายลักษณ์อักษรกับผู้ให้บริการเหล่านี้หรือไม่ ระบุขอบเขตการใช้ข้อมูล และมีมาตรการความปลอดภัยขั้นต่ำที่ยอมรับได้ ถ้าเป็นแพ็กเกจฟรีหรือราคาถูกที่ไม่มีเอกสารส่วนนี้เลย ควรพิจารณาทางเลือกอื่นหรือขอเอกสารเพิ่มเติมจากผู้ให้บริการ

ขั้นที่ 6 ตรวจสอบสิทธิของเจ้าของข้อมูลและผู้ปกครอง

ตรวจว่าเว็บไซต์หรือช่องทางติดต่อมีวิธีให้ผู้ปกครองขอดู แก้ไข หรือขอให้ลบข้อมูลบุตรหลานได้จริง มีอีเมลหรือช่องทางที่กำหนดไว้ชัดเจน และมีบันทึกว่าคำขอแต่ละครั้งถูกดำเนินการภายในเวลาที่เหมาะสม

ขั้นที่ 7 ตรวจสอบมาตรการความปลอดภัยพื้นฐาน

ตรวจว่าไฟล์รายชื่อนักเรียนมีรหัสผ่านป้องกัน ใครบ้างมีสิทธิเข้าถึงเซิร์ฟเวอร์หรือระบบหลังบ้าน และมีการสำรองข้อมูลสม่ำเสมอ รวมถึงมีขั้นตอนคร่าวๆ ว่าจะทำอย่างไรถ้าพบว่าข้อมูลรั่วไหล แม้เป็นธุรกิจขนาดเล็กก็ควรมีขั้นตอนพื้นฐานนี้เขียนไว้เป็นลายลักษณ์อักษร

Evidence ที่ควรเก็บไว้หลังทำ Audit

หลักฐานที่เก็บไว้อย่างเป็นระบบคือสิ่งที่ทำให้การ Audit ครั้งต่อไปเร็วขึ้นมาก และเป็นสิ่งที่ควรมีไว้เผื่อผู้ปกครองหรือหน่วยงานสอบถามภายหลัง

• บันทึกความยินยอมของผู้ปกครองพร้อมวันที่และช่องทางที่ขอ
• สำเนานโยบายความเป็นส่วนตัวทุกเวอร์ชันที่เคยเผยแพร่ พร้อมวันที่ปรับปรุง
• ข้อตกลงการประมวลผลข้อมูลกับผู้ให้บริการ LMS ระบบชำระเงิน และแพลตฟอร์มประชุมออนไลน์
• รายการผู้ที่มีสิทธิเข้าถึงข้อมูลนักเรียนภายในองค์กร
• บันทึกคำขอใช้สิทธิของผู้ปกครอง เช่น ขอดูหรือขอลบข้อมูล พร้อมวันที่ดำเนินการ
• ผลการ Audit ครั้งก่อนหน้าและรายการที่ยังแก้ไม่เสร็จ

ตารางสรุปการ Audit สำหรับธุรกิจการศึกษาขนาด SME

ข้อผิดพลาดที่พบบ่อยเมื่อ SME ธุรกิจการศึกษาทำ Audit PDPA

ข้อผิดพลาดเหล่านี้พบซ้ำในหลายสถาบันขนาดเล็กที่ทีมงานเคยตรวจสอบร่วมกับเจ้าของกิจการ

• เก็บสำเนาบัตรประชาชนของผู้ปกครองไว้นานเกินความจำเป็น โดยไม่มีกำหนดเวลาลบ
• ใช้ฟอร์มสมัครเรียนแบบเดียวกับหลายปีก่อน ที่ไม่มีข้อความแจ้งวัตถุประสงค์การเก็บข้อมูล
• ไม่มีข้อตกลงเป็นลายลักษณ์อักษรกับผู้ให้บริการ LMS หรือระบบชำระเงินที่เข้าถึงข้อมูลนักเรียนได้
• โพสต์ภาพกิจกรรมเด็กลงโซเชียลมีเดียโดยไม่ได้ขอความยินยอมจากผู้ปกครองแยกต่างหาก
• ไม่มีใครในทีมรับผิดชอบเรื่องนี้อย่างชัดเจน ทำให้คำขอของผู้ปกครองตกหล่น
• ให้พนักงานทุกคนเข้าถึงไฟล์รายชื่อนักเรียนได้เหมือนกันหมด ทั้งที่บางตำแหน่งไม่จำเป็นต้องใช้ข้อมูลนั้นเลย
• เปลี่ยนไปใช้แอปหรือระบบใหม่โดยไม่ตรวจสอบว่าผู้ให้บริการเก็บข้อมูลไว้ที่ใดและมีมาตรการความปลอดภัยอย่างไร

คำถามที่พบบ่อยเกี่ยวกับการ Audit PDPA ธุรกิจการศึกษา

ต่อไปนี้เป็นคำถามที่เจ้าของกิจการขนาดเล็กมักสอบถามเมื่อเริ่มทำ Audit ครั้งแรก

ต้องเริ่ม Audit จากจุดไหนถ้ามีเวลาจำกัด ให้เริ่มจากช่องทางที่มีนักเรียนสมัครเข้ามามากที่สุดก่อน เช่น ฟอร์มสมัครเรียนบนเว็บไซต์หรือ Line OA เพราะเป็นจุดที่ข้อมูลไหลเข้ามาต่อเนื่องทุกวัน หากช่องทางนี้ยังไม่มีการแจ้งวัตถุประสงค์หรือขอความยินยอมอย่างถูกต้อง ควรแก้ไขจุดนี้เป็นลำดับแรก

ถ้าสาขาเดียวกันมีหลายคนดูแลระบบ ควรแบ่งงานอย่างไร ควรให้คนหนึ่งดูแลเรื่องเอกสารและหลักฐาน อีกคนดูแลเรื่องระบบและสิทธิการเข้าถึง แล้วนัดคุยสรุปผลร่วมกันเป็นระยะ เพื่อไม่ให้ข้อมูลกระจัดกระจายอยู่คนละที่

ต้องจ้างที่ปรึกษาภายนอกทำ Audit ให้หรือไม่ ไม่จำเป็นเสมอไป ธุรกิจขนาดเล็กสามารถเริ่มตรวจสอบเองตามขั้นตอนในบทความนี้ได้ก่อน แล้วค่อยปรึกษาผู้เชี่ยวชาญเฉพาะจุดที่ไม่แน่ใจ เช่น การตีความฐานทางกฎหมายในกรณีเฉพาะที่ซับซ้อน

บทสรุปสำหรับเจ้าของธุรกิจการศึกษาขนาด SME

การ Audit PDPA ที่ทำได้จริงสำหรับธุรกิจการศึกษาขนาดเล็กไม่ได้อยู่ที่การมีเอกสารหนาเท่าไร แต่อยู่ที่รู้ว่าเก็บข้อมูลอะไรไว้ที่ไหน มีเหตุผลรองรับหรือไม่ และเก็บหลักฐานไว้พร้อมทบทวนซ้ำได้ การเริ่มจากบัญชีข้อมูลจริงแล้วไล่ตรวจตามขั้นตอนในบทความนี้ทีละข้อ จะช่วยลดความเสี่ยงจากการหลงลืมจุดที่มีข้อมูลเด็กและผู้ปกครองซ่อนอยู่ ควรกำหนดรอบทบทวนไว้ล่วงหน้า เช่น ทุก 6 เดือน หรือทุกครั้งที่เปลี่ยนระบบสมัครเรียนใหม่ สำหรับสถาบันที่มีหลายสาขา ควรทำ Audit แยกรายสาขาก่อน แล้วค่อยรวมผลเป็นภาพรวมระดับองค์กร เพราะแต่ละสาขาอาจใช้ระบบสมัครเรียนหรือผู้ให้บริการภายนอกไม่เหมือนกัน การรวบรวมผลแบบเร่งรีบโดยไม่แยกรายสาขาอาจทำให้มองข้ามจุดเสี่ยงเฉพาะของบางสาขาไปได้ ดูรายละเอียดขั้นตอนปฏิบัติเพิ่มเติมได้ที่ คู่มือ PDPA สำหรับธุรกิจการศึกษาแบบภาพรวม และเทียบกับ เช็กลิสต์ PDPA สำหรับธุรกิจการศึกษา เพื่อใช้ควบคู่กันในการตรวจสอบประจำปี

แหล่งข้อมูลอ้างอิง

ข้อมูลในบทความนี้อ้างอิงแนวทางจากสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (PDPC) และควรตรวจสอบรายละเอียดล่าสุดที่ เว็บไซต์ PDPC ประกอบการปฏิบัติจริง รวมถึงดูภาพรวมมาตรฐานเว็บไซต์ธุรกิจได้ที่ ศูนย์ความรู้ Business, Industry & SEO