เช็กลิสต์ PDPA สำหรับอสังหาริมทรัพย์ สำหรับเอเจนซีและฟรีแลนซ์ทำเว็บไซต์: ต้องตรวจอะไรบ้างก่อนเปิดใช้งาน

ก่อนเปิดใช้งานเว็บไซต์อสังหาริมทรัพย์ เอเจนซีต้องตรวจฟอร์มทุกจุดว่าเก็บข้อมูลเกินความจำเป็นหรือไม่ ตรวจการจัดเก็บเอกสารการเงินและ ID ว่ามีการจำกัดสิทธิ์เข้าถึง ตรวจว่ามีการแจ้งลูกค้าชัดเจนเมื่อส่งข้อมูลต่อให้ธนาคารหรือบริษัทตรวจสอบเครดิต และตรวจว่ามีกำหนดเวลาลบข้อมูลตามอายุสัญญา เช็กลิสต์นี้รวมจุดที่ต้องตรวจทั้งหมดไว้ในที่เดียวเพื่อใช้ก่อนส่งมอบงานทุกครั้ง

ปัญหาที่เกิดซ้ำในงานเว็บไซต์อสังหาริมทรัพย์คือทีมพัฒนาส่งมอบงานโดยตรวจแค่ว่าเว็บโหลดเร็ว ฟอร์มส่งข้อมูลได้ ไม่มี bug หน้าตาสวยงาม แล้วถือว่าจบงาน แต่ไม่มีใครนั่งไล่ดูว่าฟอร์มจองห้องตัวอย่างเก็บข้อมูลอะไรบ้าง เอกสารการเงินที่ลูกค้าอัปโหลดไปเก็บไว้ที่ไหน หรือใครในทีมขายเข้าถึงไฟล์เหล่านั้นได้ นี่คือช่องว่างที่ทำให้เว็บไซต์อสังหาริมทรัพย์จำนวนมากเปิดใช้งานไปแล้วโดยยังมีความเสี่ยงด้าน PDPA ฝังอยู่ เช็กลิสต์นี้เขียนขึ้นเพื่อให้เอเจนซีและฟรีแลนซ์ใช้ไล่ตรวจก่อนกดปุ่มเปิดใช้งานจริงทุกครั้ง ไม่ใช่แค่ตอนโครงการแรกที่ทำ แต่ควรใช้ซ้ำทุกโปรเจกต์อสังหาริมทรัพย์

เช็กลิสต์ก่อนเปิดใช้งานฟอร์มเก็บข้อมูล

• ฟอร์มสอบถามข้อมูลเบื้องต้นเก็บเฉพาะชื่อ เบอร์โทร อีเมล โดยไม่มีช่องแนบเอกสารการเงินหรือ ID ตั้งแต่ขั้นตอนแรก
• ฟอร์มจองห้องตัวอย่างหรือนัดชมโครงการ ระบุชัดเจนว่าเก็บข้อมูลอะไรเพิ่มจากฟอร์มเบื้องต้น และเพราะเหตุใด
• ฟอร์มที่ขอสำเนาบัตรประชาชนหรือพาสปอร์ต ปรากฏเฉพาะในขั้นตอนที่จำเป็นจริง เช่น ขั้นตอนทำสัญญา ไม่ใช่ตั้งแต่ขั้นตอนสอบถามข้อมูล
• มีข้อความแจ้งวัตถุประสงค์การเก็บข้อมูลอยู่ใกล้ช่องกรอกข้อมูล ไม่ใช่ซ่อนอยู่ในลิงก์ Privacy Policy ที่ไม่มีใครกดอ่าน
• ฟอร์มที่ส่งข้อมูลต่อให้ธนาคารหรือบริษัทประเมินสินเชื่อ มีปุ่มยินยอมแยกต่างหากจากการยินยอมรับข่าวสารทั่วไป

เช็กลิสต์การจัดเก็บเอกสารการเงินและ ID

• ไฟล์สำเนาบัตรประชาชน พาสปอร์ต สลิปเงินเดือน จัดเก็บแยกจากข้อมูลติดต่อทั่วไป ไม่ปนอยู่ในโฟลเดอร์เดียวกันแบบไม่มีการจัดระเบียบ
• กำหนดรายชื่อผู้มีสิทธิ์เข้าถึงไฟล์เอกสารการเงินและ ID ไว้ชัดเจน ไม่ใช่ทีมขายทุกคนเข้าถึงได้เท่ากันหมด
• ระบบหลังบ้านที่เก็บเอกสารเหล่านี้มีการล็อกอินแยกบัญชีต่อผู้ใช้ ไม่ใช่ใช้บัญชีกลางร่วมกันทั้งทีม
• มีการสำรองข้อมูลและป้องกันการเข้าถึงจากภายนอกในระดับที่เหมาะสมกับความอ่อนไหวของเอกสาร

เช็กลิสต์การแชร์ข้อมูลกับพันธมิตรภายนอก

• รายชื่อพันธมิตรที่รับข้อมูลลูกค้าต่อ เช่น ธนาคาร บริษัทตรวจสอบเครดิต หรือกลุ่มธุรกิจประกันสุขภาพ ถูกระบุไว้ในเอกสารภายในของโครงการ
• ลูกค้าได้รับแจ้งก่อนว่าข้อมูลจะถูกส่งต่อไปที่ใครและเพื่อวัตถุประสงค์ใด ก่อนกดยินยอม
• มีช่องทางให้ลูกค้าปฏิเสธการส่งต่อข้อมูลให้พันธมิตรบางรายได้ โดยไม่กระทบขั้นตอนสอบถามข้อมูลเบื้องต้น

เช็กลิสต์การเก็บและลบข้อมูลตามอายุสัญญา

• กำหนดระยะเวลาการเก็บข้อมูลของลูกค้าที่ยกเลิกดีลกลางทาง ไม่ปล่อยค้างไว้ในระบบโดยไม่มีกำหนด
• กำหนดรอบทบทวนข้อมูลลูกค้าที่สัญญาเช่าหรือซื้อขายสิ้นสุดแล้ว ว่าจะเก็บต่อหรือทำการลบ
• มีกระบวนการลบไฟล์เอกสารการเงินและ ID ที่ตรวจสอบได้ ไม่ใช่แค่ลบชื่อออกจากรายชื่ออีเมล

ตัวอย่างจุดที่มักตกหล่นก่อนเปิดใช้งานจริง

ทีมพัฒนาเว็บไซต์โครงการหนึ่งเคยส่งมอบเว็บที่ฟอร์มจองห้องตัวอย่างทำงานได้ปกติทุกอย่าง แต่ลืมตรวจว่าไฟล์ที่ลูกค้าอัปโหลดถูกส่งตรงเข้าอีเมลกลางของฝ่ายขาย ไม่มีการเข้ารหัสหรือจำกัดสิทธิ์ใด ๆ พนักงานใหม่ที่เพิ่งเข้าทำงานก็เปิดดูไฟล์เหล่านั้นได้ทันทีจากอีเมลที่แชร์กันทั้งทีม จุดนี้ไม่มีใครสังเกตเพราะโฟกัสอยู่ที่ว่าฟอร์มส่งข้อมูลสำเร็จหรือไม่ ไม่ได้ดูว่าปลายทางของข้อมูลปลอดภัยแค่ไหน อีกตัวอย่างคือโครงการที่เปลี่ยนธนาคารพันธมิตรกลางทาง แต่ไม่มีใครอัปเดตข้อความแจ้งลูกค้าในฟอร์ม ทำให้ข้อความยังอ้างถึงธนาคารเดิมที่ไม่ได้ทำงานร่วมกันแล้ว การใช้เช็กลิสต์นี้ก่อนเปิดใช้งานทุกครั้งจะช่วยจับจุดแบบนี้ได้ก่อนที่ลูกค้าจริงจะเข้ามากรอกข้อมูล

วิธีใช้เช็กลิสต์นี้ในขั้นตอนส่งมอบงานจริง

เอเจนซีบางทีมทำเช็กลิสต์เป็นเอกสารแยกต่างหากจากเอกสารส่งมอบโปรเจกต์ปกติ ทำให้พนักงานลืมหยิบมาใช้ตอนใกล้ deadline วิธีที่ได้ผลกว่าคือแทรกเช็กลิสต์นี้เข้าไปเป็นขั้นตอนสุดท้ายของ workflow ส่งมอบงาน เช่น เพิ่มเป็นหัวข้อบังคับใน checklist การทดสอบระบบก่อนขึ้น production เพื่อให้ผู้ดูแลโปรเจกต์ต้องติ๊กผ่านทุกข้อก่อนกดปุ่มเปิดใช้งานจริง หากทีมงานใช้เครื่องมือจัดการโปรเจกต์อยู่แล้ว เช่น บอร์ดงานแบบ Kanban ควรสร้างการ์ดแยกสำหรับ "ตรวจ PDPA ก่อนเปิดใช้งาน" และผูกไว้กับขั้นตอนสุดท้ายก่อนปิดงาน เพื่อไม่ให้ขั้นตอนนี้หลุดไปเมื่อทีมงานเร่งรีบส่งมอบตามกำหนดเวลาที่ลูกค้าตั้งไว้ นอกจากนี้ยังควรมีเวอร์ชันย่อของเช็กลิสต์นี้ที่ส่งต่อให้ทีมขายของโครงการเก็บไว้เอง เพราะทีมขายมักเป็นผู้ปรับฟอร์มหรือเพิ่มแคมเปญใหม่ระหว่างทาง ไม่ใช่ฝ่ายพัฒนาเว็บไซต์เพียงฝ่ายเดียว

เมื่อพบว่ามีข้อใดในเช็กลิสต์ไม่ผ่าน ควรทำอย่างไร

ถ้าพบว่ามีข้อใดในเช็กลิสต์ไม่ผ่านก่อนเปิดใช้งาน ไม่ควรฝืนเปิดใช้งานแล้วค่อยแก้ทีหลัง เพราะข้อมูลจริงของลูกค้าจะเริ่มไหลเข้าระบบทันทีที่เปิดใช้งาน หากพบว่าฟอร์มยังเก็บ ID เกินความจำเป็น ควรตัดช่องแนบไฟล์นั้นออกก่อนแล้วค่อยเปิดใช้งาน ถ้าพบว่าเอกสารการเงินยังไม่มีการจำกัดสิทธิ์เข้าถึง ควรตั้งค่าสิทธิ์ผู้ใช้ในระบบหลังบ้านให้เรียบร้อยก่อน แม้จะทำให้กำหนดเปิดตัวเลื่อนออกไปสองสามวัน ก็ยังดีกว่าเปิดใช้งานแล้วมีข้อมูลลูกค้าจริงไหลเข้าไปในจุดที่ยังไม่ปลอดภัย

ข้อผิดพลาดที่พบบ่อยเมื่อใช้เช็กลิสต์นี้

• ไล่เช็กเฉพาะรายการที่เกี่ยวกับหน้าตาเว็บไซต์ ข้ามรายการที่เกี่ยวกับการจัดเก็บเอกสารไปเพราะคิดว่าเป็นเรื่องของฝ่ายขาย ไม่ใช่ฝ่ายพัฒนา
• เช็กแค่ครั้งเดียวตอนโครงการแรก แล้วใช้เช็กลิสต์เดิมกับทุกโครงการโดยไม่ปรับตามพันธมิตรทางการเงินที่เปลี่ยนไป
• ทำเช็กลิสต์เสร็จแต่ไม่มีใครเซ็นรับรองหรือบันทึกว่าใครเป็นคนตรวจ ทำให้ตรวจย้อนหลังไม่ได้ว่าเช็กจริงหรือแค่ทำผ่าน ๆ

สรุปการใช้เช็กลิสต์นี้ในงานจริง

เช็กลิสต์นี้ควรเป็นขั้นตอนบังคับก่อนส่งมอบเว็บไซต์อสังหาริมทรัพย์ทุกโครงการ ไม่ใช่รายการที่ทำเฉพาะเมื่อมีเวลาเหลือ การไล่ตรวจทีละหมวดตั้งแต่ฟอร์มเก็บข้อมูล การจัดเก็บเอกสาร การแชร์ข้อมูลกับพันธมิตร ไปจนถึงการลบข้อมูลตามอายุสัญญา ช่วยให้เอเจนซีส่งมอบงานที่มีมาตรฐานสม่ำเสมอ และมีหลักฐานย้อนกลับได้ว่าเคยตรวจอะไรไปบ้างก่อนเปิดใช้งานจริง

แหล่งข้อมูลอ้างอิง

เช็กลิสต์นี้อิงหลักการทั่วไปตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล และประกาศจากสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (PDPC) ทีมงานควรตรวจสอบประกาศล่าสุดประกอบการปรับใช้กับแต่ละโครงการ ดูรายละเอียดเพิ่มเติมได้ที่ หมวดธุรกิจและอุตสาหกรรมของ trusty และบทความ วิธี Audit PDPA สำหรับอสังหาริมทรัพย์สำหรับเอเจนซี ที่อธิบายขั้นตอนตรวจเชิงลึกกว่านี้