เช็กลิสต์ PDPA สำหรับธุรกิจสุขภาพ สำหรับอสังหาริมทรัพย์และธุรกิจที่เก็บ Lead: ต้องตรวจอะไรบ้างก่อนเปิดใช้งาน

เช็กลิสต์ PDPA ทั่วไปที่เขียนไว้ให้ใช้ได้กับทุกธุรกิจมักไม่พอสำหรับโครงการอสังหาริมทรัพย์ที่มีข้อมูลสุขภาพแทรกอยู่ในเส้นทาง Lead เช่น โครงการที่อยู่อาศัยผู้สูงอายุ คอนโดใกล้สถานพยาบาล หรือแบบฟอร์มขอสินเชื่อที่ถามประวัติสุขภาพประกอบการพิจารณา เพราะจุดเสี่ยงของธุรกิจกลุ่มนี้อยู่ตรงรอยต่อระหว่างงานขายอสังหาริมทรัพย์กับข้อมูลอ่อนไหวที่ปกติอยู่ในมือธุรกิจสุขภาพ

เช็กลิสต์นี้จึงแบ่งตามกลุ่มความเสี่ยงเฉพาะของธุรกิจกลุ่มนี้ ไม่ใช่ไล่ทีละหัวข้อ PDPA มาตรฐาน ทีมควรใช้ก่อนเปิดใช้งานแคมเปญใหม่ ฟอร์มใหม่ หรือโครงการใหม่ทุกครั้ง

ทำไมเช็กลิสต์นี้ต่างจากเช็กลิสต์ PDPA ทั่วไป

เช็กลิสต์ PDPA มาตรฐานมักครอบคลุมแค่การมี Banner การมีปุ่ม Accept และการมี Privacy Policy แต่ไม่ได้ลงลึกถึงข้อมูลอ่อนไหวที่ธุรกิจอสังหาริมทรัพย์บางประเภทเก็บอยู่โดยไม่รู้ตัว ภาพรวมทั้งชุดของกลุ่มหัวข้อนี้อยู่ที่ คู่มือ PDPA สำหรับธุรกิจสุขภาพ สำหรับอสังหาริมทรัพย์และธุรกิจที่เก็บ Lead ส่วนเช็กลิสต์นี้เน้นเฉพาะสิ่งที่ต้องตรวจก่อนเปิดใช้งานจริง

กลุ่มที่ 1 — แบบฟอร์มและ CRM ที่มีคำถามด้านสุขภาพ

เริ่มจากไล่ดูทุกจุดที่ลูกค้ากรอกข้อมูลก่อนคุยกับฝ่ายขาย ทั้งฟอร์มบนเว็บไซต์ ฟอร์มจองผ่าน Landing Page แคมเปญ และแบบฟอร์มกระดาษที่ใช้ในบูธหรืองานอีเวนต์

กลุ่มที่ 2 — การขอความยินยอมและการแจ้งวัตถุประสงค์

เมื่อรู้แล้วว่าข้อมูลสุขภาพเข้ามาทางไหน ให้ตรวจว่าการขอความยินยอมสำหรับข้อมูลชุดนี้แยกออกจากความยินยอมรับข่าวสารการตลาดทั่วไปหรือไม่ และมีข้อความอธิบายวัตถุประสงค์ที่ผู้ใช้อ่านเข้าใจได้จริงหรือไม่ ไม่ใช่แค่คำว่า "ยินยอมให้เก็บข้อมูล" แบบกว้าง ๆ

• ช่องข้อมูลสุขภาพเป็นทางเลือกที่ยกเลิกได้ ไม่ใช่ช่องบังคับกรอกเสมอไป
• ข้อความอธิบายวัตถุประสงค์อยู่ใกล้ช่องกรอกข้อมูล ไม่ใช่ซ่อนในลิงก์ Privacy Policy อย่างเดียว
• ผู้ใช้ถอนความยินยอมภายหลังได้ และมีช่องทางติดต่อที่ใช้งานได้จริง

กลุ่มที่ 3 — บทบาทของฝ่ายขาย, Call Center และ Agent ภายนอก

โครงการอสังหาริมทรัพย์จำนวนมากใช้ Agent ภายนอกหรือ Call Center Outsource ในการติดต่อลูกค้า จุดนี้เป็นช่องว่างที่ตรวจสอบยากเพราะข้อมูลไม่ได้อยู่ในระบบของบริษัทเองทั้งหมด

ให้ตรวจว่า Agent หรือ Call Center ภายนอกได้รับสคริปต์ที่อธิบายวัตถุประสงค์การเก็บข้อมูลสุขภาพถูกต้องหรือไม่ มีข้อตกลงเรื่องการเก็บและส่งต่อข้อมูลกลับมาที่บริษัทอย่างไร และบริษัทรู้หรือไม่ว่า Agent เก็บข้อมูลไว้ในระบบของตัวเองนานเท่าไรก่อนส่งต่อ

ตัวอย่างที่พบบ่อยคือโครงการที่ใช้ Call Center Outsource รับสายลูกค้าช่วงเปิดโครงการใหม่ พนักงาน Outsource มักมีสคริปต์การขายของตัวเองที่ไม่ได้ปรับตามข้อความยินยอมที่บริษัทออกแบบไว้ ทำให้ลูกค้าได้ยินคำอธิบายวัตถุประสงค์คนละแบบจากที่เห็นบนฟอร์มเว็บไซต์ ทีมจึงควรขอดูสคริปต์ที่ Outsource ใช้จริง ไม่ใช่เชื่อตามสัญญาบริการอย่างเดียว

กลุ่มที่ 4 — การเก็บรักษาและการลบข้อมูล

ข้อมูลสุขภาพที่ลูกค้าให้ไว้ตอนสนใจโครงการ แต่สุดท้ายไม่ได้ซื้อ ควรมีระยะเวลาเก็บที่ชัดเจนและกระบวนการลบเมื่อพ้นระยะที่กำหนด แทนที่จะปล่อยค้างอยู่ใน CRM ตลอดไป

• กำหนดระยะเวลาเก็บ Lead ที่ไม่ปิดการขายอย่างชัดเจน
• มีกระบวนการลบหรือทำให้ข้อมูลไม่สามารถระบุตัวตนได้เมื่อพ้นระยะเวลา
• มีช่องทางให้ลูกค้าขอลบข้อมูลของตนเองได้ก่อนครบระยะเวลาปกติ

ลำดับความสำคัญเมื่อเวลาตรวจมีจำกัด

ทีมขนาดเล็กที่ไม่มีเวลาไล่ทั้งสี่กลุ่มพร้อมกันควรเริ่มจากกลุ่มที่มีความเสี่ยงต่อลูกค้าโดยตรงก่อน แล้วค่อยขยับไปกลุ่มที่เป็นเรื่องกระบวนการภายใน ลำดับที่แนะนำคือ ตรวจกลุ่มที่ 1 เพื่อรู้ก่อนว่าข้อมูลอ่อนไหวเข้ามาทางไหนบ้าง ตามด้วยกลุ่มที่ 2 เพื่อให้แน่ใจว่าการขอความยินยอมสื่อสารชัดเจน จากนั้นจึงตรวจกลุ่มที่ 3 และกลุ่มที่ 4 ตามรอบที่กำหนดไว้ การไล่เรียงแบบนี้ช่วยให้ทีมที่มีทรัพยากรจำกัดจัดการความเสี่ยงที่กระทบลูกค้าโดยตรงได้ก่อน แทนที่จะเสียเวลากับงานเอกสารภายในที่ยังไม่กระทบใครในระยะสั้น

ช่องว่างที่มักถูกมองข้ามระหว่างทีม

นอกจากสี่กลุ่มหลัก ยังมีช่องว่างที่เกิดจากการสื่อสารระหว่างทีมที่เช็กลิสต์แบบไล่หัวข้อเดียวมักจับไม่ได้

• Privacy Policy ที่ประกาศไว้บนเว็บไซต์ไม่ตรงกับสิ่งที่ฟอร์มจริงเก็บอยู่ในปัจจุบัน เพราะทีมการตลาดเพิ่มช่องข้อมูลใหม่แล้วไม่มีใครแจ้งผู้ดูแล Policy
• เวอร์ชันภาษาไทยและภาษาอังกฤษของ Privacy Policy หรือ Banner ยินยอมให้ข้อมูลไม่ตรงกัน ทำให้ลูกค้าต่างภาษาเห็นเงื่อนไขคนละแบบ
• ปลั๊กอินหรือระบบจองห้องที่อัปเดตเวอร์ชันใหม่เพิ่ม Cookie หรือ Tag ติดตามเพิ่มเติมโดยที่ทีมไม่ได้แจ้งอยู่ในรายการที่ตรวจไว้เดิม

คำถามที่พบบ่อย

เช็กลิสต์นี้ใช้แทนการปรึกษาทนายได้หรือไม่

ไม่ได้ เช็กลิสต์นี้ช่วยให้ทีมเห็นจุดที่ควรตรวจก่อนเปิดใช้งาน แต่การตัดสินฐานกฎหมายและความเสี่ยงเฉพาะกรณียังต้องให้ผู้เชี่ยวชาญพิจารณา

ต้องไล่เช็กลิสต์นี้ทุกครั้งที่มีแคมเปญใหม่หรือไม่

ควรไล่อย่างน้อยกลุ่มที่ 1 และกลุ่มที่ 2 ทุกครั้งที่เปิดแคมเปญหรือฟอร์มใหม่ ส่วนกลุ่มที่ 3 และ 4 ทบทวนตามรอบที่กำหนดไว้ก็เพียงพอ

Agent ภายนอกที่เก็บข้อมูล Lead เองต้องอยู่ในเช็กลิสต์นี้ด้วยหรือไม่

ต้องอยู่ เพราะข้อมูลที่ Agent เก็บไว้ในระบบของตัวเองก่อนส่งต่อกลับมาที่บริษัทก็ยังถือเป็นส่วนหนึ่งของเส้นทางข้อมูลที่ต้องควบคุม

ทีมขนาดเล็กที่มีเวลาจำกัดควรเริ่มจากกลุ่มไหนก่อน

ควรเริ่มจากกลุ่มที่ 1 และกลุ่มที่ 2 ก่อน เพราะเป็นจุดที่กระทบลูกค้าโดยตรงและเป็นหลักฐานแรกที่มักถูกตรวจสอบ ส่วนกลุ่มที่ 3 และกลุ่มที่ 4 ทยอยตรวจตามรอบที่วางไว้ได้

เช็กลิสต์ปฏิบัติ

• ไล่ดูฟอร์มเว็บไซต์หลัก Landing Page แคมเปญ และแบบฟอร์มกระดาษว่ามีช่องข้อมูลสุขภาพหรือไม่
• ตรวจ CRM ว่ามีช่องหมายเหตุอิสระที่เสี่ยงมีข้อมูลอ่อนไหวหรือไม่
• แยกช่องยินยอมข้อมูลสุขภาพออกจากช่องรับข่าวสารการตลาด
• ตรวจสคริปต์ของ Agent หรือ Call Center ภายนอกว่าครอบคลุมการแจ้งวัตถุประสงค์
• กำหนดระยะเวลาเก็บ Lead ที่ไม่ปิดการขายและกระบวนการลบเมื่อพ้นระยะ
• เก็บภาพหน้าจอและเอกสารเป็นหลักฐานทุกจุดที่ตรวจในเช็กลิสต์
• บันทึกวันที่ตรวจและผู้รับผิดชอบในแต่ละกลุ่มไว้เป็นหลักฐาน

ข้อผิดพลาดที่พบบ่อย

• ใช้เช็กลิสต์ PDPA ทั่วไปที่ไม่ได้ระบุจุดเสี่ยงเฉพาะของข้อมูลสุขภาพในธุรกิจอสังหาริมทรัพย์
• ตรวจแค่ฟอร์มบนเว็บไซต์หลัก แต่ไม่ตรวจ Landing Page แคมเปญที่ทีมการตลาดสร้างแยกออกไป
• ไม่มีข้อตกลงชัดเจนกับ Agent ภายนอกเรื่องการเก็บและส่งต่อข้อมูลสุขภาพของลูกค้า
• ปล่อย Lead ที่ไม่ปิดการขายค้างอยู่ในระบบโดยไม่มีระยะเวลาเก็บหรือกระบวนการลบ

สรุป

เช็กลิสต์เฉพาะกลุ่มนี้ช่วยให้ทีมอสังหาริมทรัพย์ที่มีข้อมูลสุขภาพแทรกอยู่ในเส้นทาง Lead ตรวจได้ตรงจุดกว่าเช็กลิสต์ PDPA ทั่วไป ทั้งสี่กลุ่มควรไล่ตรวจก่อนเปิดใช้งานแคมเปญหรือฟอร์มใหม่ทุกครั้ง และควรให้ผู้เชี่ยวชาญตรวจซ้ำในจุดที่ต้องใช้ดุลยพินิจทางกฎหมาย

แหล่งข้อมูลอ้างอิง

• สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (PDPC)
• วิธีวางระบบ PDPA สำหรับธุรกิจสุขภาพ สำหรับอสังหาริมทรัพย์และธุรกิจที่เก็บ Lead แบบเป็นขั้นตอน
• ศูนย์ความรู้ Business, Industry & SEO ของ trusty