เช็กลิสต์ PDPA สำหรับธุรกิจการศึกษา สำหรับเว็บไซต์ธุรกิจทั่วไปและ SME: ต้องตรวจอะไรบ้างก่อนเปิดใช้งาน

เว็บไซต์รับสมัครนักเรียนของโรงเรียนกวดวิชาที่คุณดูแลอยู่ เก็บข้อมูลผู้ปกครองและเด็กไว้ตรงไหนบ้าง ใครในทีมเปิดดูข้อมูลนั้นได้ และถ้าผู้ปกครองโทรมาขอให้ลบข้อมูลบุตรหลานพรุ่งนี้ ทีมงานจะรู้ทันทีหรือไม่ว่าต้องทำอะไรบ้าง คำถามเหล่านี้คือจุดเริ่มต้นที่ดีที่สุดก่อนเปิดใช้งานระบบสมัครเรียนหรือเว็บไซต์ใหม่ทุกครั้ง เพราะธุรกิจการศึกษาขนาดเล็กมักเก็บข้อมูลของผู้เยาว์และผู้ปกครองพร้อมกัน ซึ่งมีความอ่อนไหวมากกว่าข้อมูลลูกค้าทั่วไป เช็กลิสต์ด้านล่างนี้รวบรวมสิ่งที่ควรตรวจให้ครบก่อนเปิดใช้งานจริง

เช็กลิสต์นี้เหมาะกับใคร

เหมาะสำหรับเจ้าของหรือผู้ดูแลเว็บไซต์ของโรงเรียนกวดวิชา สถาบันสอนภาษา ธุรกิจสอนออนไลน์ สตูดิโอสอนทักษะเฉพาะทาง หรือผู้จัดค่ายกิจกรรมสำหรับเด็ก ที่ไม่มีทีมกฎหมายหรือเจ้าหน้าที่คุ้มครองข้อมูลประจำ และต้องการวิธีตรวจสอบที่ทำได้เองก่อนเปิดฟอร์มสมัครเรียนรอบใหม่ เปลี่ยนระบบหลังบ้าน หรือเพิ่มช่องทางรับสมัครใหม่ เช่น Line OA หรือแอปนัดหมายเรียน เช็กลิสต์นี้เขียนขึ้นให้ใช้งานได้จริงโดยไม่ต้องมีความรู้กฎหมายมาก่อน แต่ละหมวดแบ่งเป็นข้อย่อยที่ตอบได้แค่ ผ่าน หรือ ยังไม่ผ่าน เพื่อให้ทีมงานเช็กได้เร็วก่อนเปิดใช้งานจริง และควรพิมพ์ออกมาแปะไว้ในจุดที่ทีมงานที่ดูแลระบบสมัครเรียนเห็นได้ทุกวัน

หมวดที่ 1 ข้อมูลที่เก็บและฐานทางกฎหมาย

• ทำรายการข้อมูลนักเรียนและผู้ปกครองที่เก็บจริงทั้งหมด ไม่ใช่แค่ที่คิดว่าเก็บ
• ตรวจว่าข้อมูลแต่ละประเภทมีเหตุผลรองรับชัดเจน เช่น จำเป็นต่อการลงทะเบียนเรียนหรือใช้เพื่อประชาสัมพันธ์
• แยกข้อมูลอ่อนไหว เช่น ข้อมูลสุขภาพหรือโรคประจำตัวของเด็ก ออกจากข้อมูลทั่วไป และตรวจว่ามีการขอความยินยอมแยกต่างหาก
• กำหนดระยะเวลาเก็บข้อมูล เช่น เก็บสำเนาบัตรประชาชนผู้ปกครองไว้นานเท่าไรหลังจบหลักสูตร

หมวดที่ 2 ฟอร์มสมัครเรียนและเว็บไซต์

• ฟอร์มสมัครเรียนออนไลน์มีข้อความแจ้งวัตถุประสงค์การเก็บข้อมูลก่อนกรอกหรือไม่
• มีลิงก์ไปหน้านโยบายความเป็นส่วนตัวให้กดอ่านก่อนส่งฟอร์มหรือไม่
• ช่องกาความยินยอมเป็นแบบที่ผู้ปกครองต้องกดเลือกเอง ไม่ใช่ติ๊กไว้ล่วงหน้าให้อัตโนมัติ
• คุกกี้ที่ใช้ติดตามพฤติกรรมผู้เข้าชมเว็บไซต์มีแบนเนอร์แจ้งและขอความยินยอมก่อนเก็บข้อมูลหรือไม่

หมวดที่ 3 การประมวลผลข้อมูลผู้เยาว์และผู้ปกครอง

• กิจกรรมที่เกี่ยวข้องกับเด็กโดยตรง เช่น ค่ายเรียน มีการแจ้งผู้ปกครองแยกจากการสมัครเรียนปกติหรือไม่
• การถ่ายภาพหรือวิดีโอกิจกรรมเพื่อนำไปโพสต์ประชาสัมพันธ์ มีการขอความยินยอมจากผู้ปกครองเป็นลายลักษณ์อักษรหรือไม่
• ความยินยอมที่ขอไว้ครอบคลุมถึงการนำภาพกลับมาใช้ซ้ำในปีถัดไปหรือไม่ หรือควรขอใหม่ทุกรอบ
• มีช่องทางให้ผู้ปกครองถอนความยินยอมภายหลังได้จริงหรือไม่ ไม่ใช่แค่มีข้อความเขียนไว้เฉยๆ

หมวดที่ 4 ผู้ให้บริการภายนอกที่เข้าถึงข้อมูลนักเรียน

• ระบบ LMS ที่ใช้ส่งการบ้านหรือติดตามผลการเรียน มีข้อตกลงเรื่องการจัดการข้อมูลเป็นลายลักษณ์อักษรหรือไม่
• ผู้ให้บริการชำระเงินออนไลน์สำหรับค่าเทอมมีมาตรการความปลอดภัยขั้นต่ำที่ยอมรับได้หรือไม่
• แพลตฟอร์มประชุมออนไลน์ที่ใช้สอนสด เก็บบันทึกการสนทนาไว้ที่ใดและนานเท่าไร
• ถ้าใช้แพ็กเกจฟรีที่ไม่มีเอกสารด้านนี้ ได้ติดต่อขอเอกสารเพิ่มเติมจากผู้ให้บริการแล้วหรือยัง

หมวดที่ 5 สิทธิของเจ้าของข้อมูลและผู้ปกครอง

• มีช่องทางที่กำหนดชัดเจนให้ผู้ปกครองขอดู แก้ไข หรือขอให้ลบข้อมูลบุตรหลานได้
• มีการบันทึกว่าคำขอแต่ละครั้งถูกดำเนินการเมื่อใดและโดยใคร
• ทีมงานทุกคนที่รับสายหรือแชทกับผู้ปกครองรู้ขั้นตอนเบื้องต้นเมื่อได้รับคำขอใช้สิทธิหรือไม่

หมวดที่ 6 ความปลอดภัยและการเก็บรักษาข้อมูล

• ไฟล์รายชื่อนักเรียนมีรหัสผ่านป้องกัน และจำกัดสิทธิเข้าถึงเฉพาะคนที่จำเป็นต้องใช้
• มีการสำรองข้อมูลสม่ำเสมอ และทดสอบว่ากู้คืนได้จริง
• มีขั้นตอนคร่าวๆ เขียนไว้เป็นลายลักษณ์อักษรว่าจะทำอย่างไรถ้าพบว่าข้อมูลรั่วไหล

วิธีใช้เช็กลิสต์นี้ให้เกิดผลจริงในทีมขนาดเล็ก

สำหรับทีมที่มีคนดูแลเว็บไซต์เพียงหนึ่งหรือสองคน แนะนำให้พิมพ์เช็กลิสต์ทั้ง 6 หมวดออกมาเป็นแบบฟอร์มกระดาษหรือไฟล์ที่แชร์กันได้ แล้วนัดเวลาตรวจร่วมกันก่อนเปิดใช้งานทุกครั้ง แทนที่จะให้คนใดคนหนึ่งตรวจคนเดียวแบบเร่งรีบ เพราะการมีคนที่สองช่วยดูจะจับจุดที่พลาดได้ง่ายกว่า และควรถ่ายภาพหน้าจอฟอร์มสมัครเรียนที่ตรวจผ่านแล้วเก็บไว้เป็นหลักฐาน เผื่อภายหลังมีการแก้ไขเว็บไซต์จนทำให้ข้อความแจ้งวัตถุประสงค์หายไปโดยไม่ตั้งใจ จะได้เทียบย้อนกลับได้ว่าเดิมทีเคยตรวจผ่านมาก่อน

ตารางเช็กลิสต์สรุปก่อนเปิดใช้งาน

ข้อผิดพลาดที่พบบ่อยเมื่อใช้เช็กลิสต์นี้แบบผิวเผิน

บางทีมทำเช็กลิสต์เสร็จแบบเร่งรีบก่อนเปิดใช้งานจริง จนพลาดจุดสำคัญไปโดยไม่รู้ตัว

• กาเครื่องหมายผ่านทุกข้อโดยไม่มีใครตรวจฟอร์มจริงบนเว็บไซต์ว่าตรงกับที่เขียนไว้หรือไม่
• ตรวจแค่หน้าเว็บไซต์หลัก แต่ลืมตรวจฟอร์มสมัครที่ฝังอยู่ในหน้าโปรโมชันแยกต่างหาก
• ใช้เช็กลิสต์ครั้งเดียวตอนเปิดเว็บไซต์ แล้วไม่เคยกลับมาตรวจซ้ำอีกเลยแม้จะเปลี่ยนระบบหลังบ้านไปแล้ว
• มอบหมายให้พนักงานฝ่ายการตลาดตรวจสอบเรื่องนี้คนเดียว โดยไม่มีใครตรวจสอบซ้ำอีกชั้น
• คัดลอกเช็กลิสต์จากธุรกิจประเภทอื่นมาใช้ทั้งดุ้น โดยไม่ปรับให้เข้ากับลักษณะข้อมูลของธุรกิจการศึกษาที่มีผู้เยาว์เกี่ยวข้อง

ความแตกต่างระหว่างสถาบันสาขาเดียวกับหลายสาขา

สถาบันที่มีสาขาเดียวมักตรวจเช็กลิสต์นี้ได้ครบภายในวันเดียวเพราะระบบสมัครเรียนและผู้ให้บริการมักเป็นชุดเดียวกันทั้งหมด แต่สถาบันที่ขยายสาขาแล้วมักพบว่าแต่ละสาขาใช้ฟอร์มสมัครคนละเวอร์ชัน หรือบางสาขายังใช้สมุดบันทึกกระดาษควบคู่กับระบบออนไลน์ กรณีนี้ควรให้ผู้ดูแลแต่ละสาขาตรวจเช็กลิสต์แยกกันก่อน แล้วส่งผลรวมมาที่ส่วนกลาง เพื่อให้เห็นภาพว่าสาขาใดยังมีจุดที่ต้องปรับปรุงเร่งด่วนกว่าสาขาอื่น

คำถามที่พบบ่อยเกี่ยวกับเช็กลิสต์ PDPA ธุรกิจการศึกษา

ต้องทำครบทุกข้อก่อนเปิดใช้งานเว็บไซต์เลยหรือไม่ ควรทำให้ครบอย่างน้อยหมวดที่ 1 ถึง 3 ก่อนเปิดรับสมัครจริง เพราะเกี่ยวข้องกับข้อมูลที่ไหลเข้ามาทุกวัน ส่วนหมวดผู้ให้บริการภายนอกและความปลอดภัยสามารถทยอยปรับปรุงต่อได้ระหว่างดำเนินธุรกิจ แต่ไม่ควรปล่อยไว้นานเกินไป

เช็กลิสต์นี้ต่างจาก Audit Guide อย่างไร เช็กลิสต์นี้เน้นให้ตรวจแบบเร็วก่อนเปิดใช้งานจริงแต่ละครั้ง ส่วนการ Audit เต็มรูปแบบจะลงลึกกว่า มีการเก็บหลักฐานและวิเคราะห์แต่ละจุดอย่างละเอียด เหมาะใช้ควบคู่กัน

ถ้าตรวจแล้วพบว่าไม่ผ่านหลายข้อ ควรทำอย่างไรก่อน ควรจัดลำดับความสำคัญโดยเริ่มจากข้อมูลที่เกี่ยวข้องกับผู้เยาว์และช่องทางที่มีข้อมูลไหลเข้ามากที่สุดก่อน แล้วค่อยไล่แก้ไขจุดอื่นตามลำดับ

สรุปเช็กลิสต์ PDPA สำหรับธุรกิจการศึกษาขนาด SME

เช็กลิสต์ทั้ง 6 หมวดนี้ออกแบบมาให้ทีมงานขนาดเล็กใช้ตรวจได้เองก่อนเปิดใช้งานเว็บไซต์หรือระบบสมัครเรียนใหม่ทุกครั้ง โดยไม่จำเป็นต้องมีทีมกฎหมายประจำ สิ่งที่สำคัญที่สุดคือการตรวจซ้ำทุกครั้งที่มีการเปลี่ยนแปลงระบบ ไม่ใช่ตรวจครั้งเดียวแล้วจบ ควรใช้ควบคู่กับ คู่มือ Audit PDPA สำหรับธุรกิจการศึกษา เพื่อเจาะลึกแต่ละหมวดและเก็บหลักฐานอย่างเป็นระบบ และดูภาพรวมทั้งหมดได้ที่ คู่มือ PDPA สำหรับธุรกิจการศึกษา

แหล่งข้อมูลอ้างอิง

เช็กลิสต์นี้จัดทำโดยอ้างอิงแนวทางจากสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (PDPC) ควรตรวจสอบรายละเอียดล่าสุดที่ เว็บไซต์ PDPC ประกอบ และดูหมวดความรู้อื่นที่เกี่ยวข้องได้ที่ ศูนย์ความรู้ Business, Industry & SEO