วิธีวางระบบ PDPA สำหรับอสังหาริมทรัพย์ สำหรับองค์กรการเงิน ประกัน และธุรกิจที่มีความเสี่ยงสูงแบบเป็นขั้นตอน

ทีมกฎหมายและ compliance ขององค์กรการเงินจำนวนไม่น้อยเชื่อว่า ถ้าข้อมูลที่เก็บจากผู้ซื้อหรือผู้เช่าอสังหาริมทรัพย์มีแค่ชื่อ ที่อยู่ เบอร์โทร และอีเมล ก็สามารถใช้มาตรฐานการดูแลเดียวกับฐานข้อมูลลูกค้าทั่วไปที่มีอยู่แล้วได้เลย ความเข้าใจนี้พลาดตรงจุดสำคัญ เพราะธุรกรรมอสังหาริมทรัพย์แทบทุกเคสในกลุ่มธุรกิจการเงินและประกันภัย มาพร้อมเอกสารยืนยันรายได้ ใบแจ้งยอดบัญชีธนาคาร ผลตรวจเครดิต และสำเนาบัตรประชาชนหรือหนังสือเดินทางสำหรับขั้นตอนคล้าย KYC ซึ่งเป็นข้อมูลอ่อนไหวกว่าข้อมูลติดต่อธรรมดามาก และมักถูกเก็บไว้ยาวนานตลอดอายุสัญญาเช่าหรือซื้อขายที่อาจกินเวลาหลายปี ไม่ใช่แค่ไม่กี่สัปดาห์แบบการซื้อขายสินค้าทั่วไป

บทความนี้วางขั้นตอนทำระบบ PDPA สำหรับข้อมูลอสังหาริมทรัพย์ที่เจาะจงสำหรับองค์กรการเงิน ประกัน และธุรกิจที่มีความเสี่ยงสูง เช่น ธนาคารที่มีแผนกสินเชื่อบ้าน บริษัทประกันที่ดูแลทรัพย์สินค้ำประกัน หรือแพลตฟอร์ม proptech ที่ทำงานร่วมกับสถาบันการเงิน โดยเน้นที่การจัดการเอกสารการเงินและบัตรประชาชนอย่างเป็นระบบตลอดวงจรธุรกรรม

ทำไมข้อมูลอสังหาริมทรัพย์ในสายการเงินถึงต่างจากข้อมูลลูกค้าทั่วไป

ธุรกรรมอสังหาริมทรัพย์มีลักษณะเฉพาะสามอย่างที่ทำให้ต้องดูแลต่างจากข้อมูลลูกค้าทั่วไป อย่างแรกคือปริมาณเอกสารทางการเงินที่เก็บมากกว่าปกติ ทั้งสลิปเงินเดือน ใบแจ้งยอดบัญชี และผลตรวจสอบเครดิตจากบริษัทภายนอก อย่างที่สองคือเอกสารยืนยันตัวตนอย่างบัตรประชาชนหรือหนังสือเดินทางที่ใช้ในขั้นตอนคล้าย KYC สำหรับการจดทะเบียนหรือขอสินเชื่อ และอย่างที่สามคือระยะเวลาการเก็บรักษาที่ผูกกับอายุสัญญาเช่าหรือซื้อขาย ซึ่งบางกรณีอาจยาวนานหลายปีจนถึงหลังสัญญาสิ้นสุดเพื่อรองรับข้อพิพาทหรือการตรวจสอบย้อนหลัง

องค์กรที่มีความเสี่ยงสูงอย่างธนาคารหรือบริษัทประกันภัยยังต้องรับมือกับการที่ข้อมูลเดียวกันถูกใช้ซ้ำในหลายวัตถุประสงค์ เช่น ข้อมูลรายได้ผู้ซื้อบ้านอาจถูกส่งต่อให้แผนกสินเชื่อพิจารณา อาจถูกใช้ประเมินความเสี่ยงร่วมกับกลุ่มธุรกิจประกันภัยทรัพย์สินคุ้มครองสินเชื่อ หรืออาจถูกแชร์ให้ผู้ตรวจสอบเครดิตภายนอกเพื่อยืนยันความสามารถในการชำระหนี้ แต่ละจุดที่ข้อมูลไหลออกไปนอกทีมงานเดิม คือจุดที่ต้องมีการควบคุมและบันทึกหลักฐานเพิ่มขึ้น ยิ่งมีคู่สัญญาที่เกี่ยวข้องมากเท่าไร ยิ่งต้องมีบันทึกว่าใครได้รับข้อมูลอะไรไปเมื่อไรและด้วยเหตุผลใด เพื่อให้สามารถตอบคำถามย้อนหลังได้หากเกิดข้อสงสัยจากผู้ซื้อผู้เช่าเอง

ขั้นตอนที่ 1: ทำแผนที่ข้อมูลตามแต่ละช่วงของธุรกรรม

เริ่มจากไล่ดูว่าข้อมูลอะไรถูกเก็บในแต่ละช่วง ตั้งแต่ขั้นสอบถามข้อมูลเบื้องต้น ขั้นนัดเยี่ยมชมทรัพย์หรือโครงการ ขั้นยื่นใบสมัครซื้อหรือเช่า ไปจนถึงขั้นทำสัญญาจริง ในขั้นสอบถามมักมีแค่ชื่อและช่องทางติดต่อ แต่พอเข้าสู่ขั้นยื่นใบสมัคร ข้อมูลจะเปลี่ยนเป็นเอกสารการเงินและบัตรประชาชนทันที การทำแผนที่ข้อมูลแบบนี้ช่วยให้ทีมเห็นชัดว่าจุดไหนคือรอยต่อที่ความอ่อนไหวของข้อมูลเพิ่มขึ้นแบบก้าวกระโดด และต้องยกระดับการควบคุมให้ทันจุดนั้น ไม่ใช่รอไปอัปเกรดทีหลัง

ขั้นเยี่ยมชมทรัพย์ก็มักถูกมองข้ามเช่นกัน หลายโครงการมีกล้องวงจรปิดที่ห้องตัวอย่างหรือสำนักงานขาย และมีการจดชื่อผู้เข้าชมเพื่อความปลอดภัย ข้อมูลตรงนี้แม้ดูเหมือนเล็กน้อยแต่ก็ควรอยู่ในแผนที่ข้อมูลเดียวกัน เพราะบางครั้งภาพจากกล้องอาจถูกเก็บไว้นานกว่าที่ควรโดยไม่มีใครกำหนดวันหมดอายุที่ชัดเจน

ขั้นตอนที่ 2: จัดชั้นความอ่อนไหวของเอกสารแยกจากข้อมูลติดต่อทั่วไป

เมื่อรู้แล้วว่าข้อมูลอะไรอยู่ในขั้นตอนไหน ให้แบ่งเป็นอย่างน้อยสองชั้น ชั้นแรกคือข้อมูลติดต่อทั่วไปที่ความเสี่ยงต่ำ และชั้นที่สองคือเอกสารการเงินและเอกสารยืนยันตัวตนที่ต้องเก็บแยกระบบหรือแยกโฟลเดอร์ที่มีการเข้ารหัสและจำกัดสิทธิ์ ทีมงานฝ่ายขายที่ต้องการแค่เบอร์โทรลูกค้าไม่ควรมีสิทธิ์เปิดไฟล์สำเนาบัตรประชาชนหรือใบแจ้งยอดบัญชีได้โดยไม่มีเหตุผลจำเป็น หลักฐานที่ควรเก็บในขั้นนี้คือผังการจัดชั้นข้อมูลและรายชื่อระบบที่ใช้เก็บแต่ละชั้น

บางองค์กรพยายามข้ามขั้นตอนนี้ไปเพราะคิดว่าเสียเวลา แต่ในทางปฏิบัติ การจัดชั้นข้อมูลตั้งแต่ต้นกลับประหยัดเวลากว่าการไล่แก้ปัญหาทีหลัง เพราะเมื่อเกิดคำถามจากผู้ตรวจสอบภายในหรือลูกค้าเองว่าใครเข้าถึงเอกสารได้บ้าง ทีมงานจะมีคำตอบพร้อมอยู่แล้วแทนที่จะต้องไล่ค้นย้อนหลัง

ขั้นตอนที่ 3: กำหนดสิทธิ์เข้าถึงและการจัดเก็บให้รัดกุมกว่าข้อมูลทั่วไป

ขั้นนี้คือการแปลงการจัดชั้นข้อมูลให้เป็นการควบคุมจริง เช่น กำหนดว่าใครมีสิทธิ์เปิดไฟล์เอกสารการเงินได้บ้าง ต้องผ่านการยืนยันตัวตนกี่ชั้น มีการบันทึก log การเข้าถึงหรือไม่ และไฟล์เหล่านั้นถูกเก็บในระบบที่มีการเข้ารหัสหรือเปล่า สำหรับองค์กรการเงินที่มีความเสี่ยงสูง ควรมีการทบทวนรายชื่อผู้มีสิทธิ์เข้าถึงเป็นระยะ ไม่ใช่ตั้งค่าไว้ครั้งเดียวแล้วปล่อยผ่าน เพราะพนักงานที่เปลี่ยนตำแหน่งหรือลาออกอาจยังมีสิทธิ์เข้าถึงค้างอยู่โดยไม่มีใครสังเกต

อีกจุดที่ควรพิจารณาคือการแยกสภาพแวดล้อมการทำงาน เช่น เอกสารการเงินของลูกค้าไม่ควรถูกดาวน์โหลดลงเครื่องส่วนตัวของพนักงานหรือส่งผ่านแชทที่ไม่มีการเข้ารหัส หากจำเป็นต้องทำงานนอกสถานที่ ควรใช้ระบบที่อนุญาตให้เข้าถึงผ่านช่องทางที่ควบคุมได้เท่านั้น ไม่ใช่การคัดลอกไฟล์ออกไปเก็บไว้ที่อื่น

ขั้นตอนที่ 4: ทำข้อตกลงประมวลผลข้อมูลกับพันธมิตรภายนอก

ธุรกรรมอสังหาริมทรัพย์ในสายการเงินมักเกี่ยวข้องกับบุคคลที่สามหลายราย ทั้งธนาคารที่รับพิจารณาสินเชื่อ ผู้ตรวจสอบเครดิตที่ตรวจประวัติทางการเงิน และกลุ่มธุรกิจประกันภัยทรัพย์สินที่ช่วยแนะนำผลิตภัณฑ์คุ้มครองสินเชื่อ ทุกจุดที่ข้อมูลถูกส่งออกไปนอกองค์กรควรมีข้อตกลงเป็นลายลักษณ์อักษรระบุขอบเขตการใช้ข้อมูล ระยะเวลาที่พันธมิตรเก็บข้อมูลไว้ได้ และวิธีทำลายข้อมูลเมื่อจบวัตถุประสงค์ อย่าปล่อยให้การส่งไฟล์เป็นแค่อีเมลแนบไฟล์ตามความคุ้นเคยเดิมโดยไม่มีเอกสารรองรับ นอกจากนี้ควรระบุด้วยว่าหากพันธมิตรรายใดรายหนึ่งยุติความร่วมมือ ข้อมูลที่เคยส่งไปแล้วจะถูกจัดการอย่างไร เพื่อไม่ให้เอกสารการเงินของลูกค้าตกค้างอยู่ในมือบุคคลที่สามโดยไม่มีการควบคุมต่อ

ตัวอย่างที่พบบ่อยคือทีมสินเชื่อส่งไฟล์ใบแจ้งยอดบัญชีให้ผู้ตรวจสอบเครดิตทางอีเมลส่วนตัวเพราะสะดวกและเร็วกว่าระบบกลาง โดยไม่มีใครตั้งคำถามว่าไฟล์นั้นจะถูกลบเมื่อไร หรือใครในฝั่งผู้ตรวจสอบเครดิตเข้าถึงได้บ้าง การมีข้อตกลงเป็นลายลักษณ์อักษรไม่ได้แค่ทำให้ถูกต้องตามขั้นตอน แต่ช่วยให้ทีมภายในมีสิทธิ์เรียกดูหรือขอให้ทำลายข้อมูลได้เมื่อจำเป็นจริง

ขั้นตอนที่ 5: กำหนดระยะเวลาการเก็บรักษาตามอายุสัญญา ไม่ใช่ตามความเคยชิน

จุดที่ธุรกรรมอสังหาริมทรัพย์ต่างจากงานขายทั่วไปชัดเจนที่สุดคือเรื่องระยะเวลาเก็บข้อมูล สัญญาเช่าหรือซื้อขายอาจมีอายุหลายปี และหลังสัญญาสิ้นสุดก็อาจต้องเก็บเอกสารต่ออีกช่วงหนึ่งเพื่อรองรับข้อพิพาทหรือการตรวจสอบตามกฎหมายที่เกี่ยวข้อง การกำหนดนโยบายเก็บรักษาข้อมูลจึงต้องอิงกับวงจรของสัญญาแต่ละประเภทจริง ไม่ใช่ตั้งค่าลบข้อมูลอัตโนมัติแบบเดียวกับที่ใช้กับข้อมูลลูกค้าอีคอมเมิร์ซทั่วไปที่มักเก็บสั้นกว่ามาก

ตัวอย่างเช่น เอกสารสัญญาเช่าระยะยาวห้าปีอาจต้องเก็บสำเนาบัตรประชาชนและหลักฐานรายได้ของผู้เช่าไว้ตลอดอายุสัญญา บวกอีกช่วงเวลาหนึ่งหลังสัญญาสิ้นสุดเผื่อกรณีมีข้อพิพาทเรื่องค่าเช่าค้างหรือความเสียหายต่อทรัพย์สิน ขณะที่ข้อมูลของผู้ที่แค่มาสอบถามแล้วไม่ได้ทำสัญญาต่อ ควรมีรอบลบข้อมูลที่สั้นกว่านั้นมาก เพราะไม่มีเหตุผลที่ต้องเก็บไว้นาน

ขั้นตอนที่ 6: ตรวจสอบและปรับปรุงระบบเป็นระยะ

ระบบที่วางไว้ในวันแรกไม่ควรถูกปล่อยทิ้งไว้เฉยๆ ควรมีรอบตรวจสอบอย่างน้อยทุกหกเดือนว่าการจัดชั้นข้อมูล สิทธิ์เข้าถึง และข้อตกลงกับพันธมิตรยังตรงกับสถานการณ์จริงหรือไม่ โดยเฉพาะเมื่อมีการเปลี่ยนระบบงาน เปลี่ยนพันธมิตรผู้ตรวจสอบเครดิต หรือมีผลิตภัณฑ์สินเชื่อใหม่ที่ต้องเก็บข้อมูลเพิ่มเติมจากเดิม

วิธีที่ทำได้ง่ายคือกำหนดให้การตรวจสอบนี้เป็นวาระประจำของทีม compliance ร่วมกับทีมไอที โดยเทียบผังการจัดชั้นข้อมูลเดิมกับสถานการณ์จริง ณ ตอนนั้น ถ้าพบว่ามีระบบใหม่หรือพันธมิตรใหม่ที่ยังไม่มีอยู่ในผังเดิม ให้ปรับปรุงเอกสารทันทีแทนที่จะรอรอบตรวจใหญ่ครั้งต่อไป

ข้อผิดพลาดที่พบบ่อยเมื่อวางระบบ PDPA สำหรับอสังหาริมทรัพย์

• ใช้มาตรฐานเดียวกับฐานข้อมูลลูกค้าทั่วไปทั้งที่เอกสารการเงินและบัตรประชาชนต้องการการควบคุมสูงกว่ามาก
• ตั้งค่าลบข้อมูลอัตโนมัติแบบสั้นเกินไป โดยไม่คำนึงถึงอายุสัญญาเช่าหรือซื้อขายที่ยาวเป็นปี
• ส่งเอกสารให้ธนาคารหรือผู้ตรวจสอบเครดิตทางอีเมลโดยไม่มีข้อตกลงประมวลผลข้อมูลรองรับ
• ไม่ทบทวนสิทธิ์เข้าถึงเมื่อพนักงานเปลี่ยนตำแหน่งหรือลาออก ทำให้สิทธิ์ค้างอยู่โดยไม่มีใครรู้
• คิดว่าการจัดชั้นข้อมูลครั้งเดียวตอนเริ่มต้นเพียงพอแล้ว โดยไม่มีรอบตรวจสอบซ้ำเมื่อระบบงานเปลี่ยน

บทสรุป

การวางระบบ PDPA สำหรับข้อมูลอสังหาริมทรัพย์ในองค์กรการเงินต้องเริ่มจากยอมรับความจริงว่าข้อมูลกลุ่มนี้ต่างจากข้อมูลลูกค้าทั่วไป ทั้งในแง่ความอ่อนไหวของเอกสารการเงินและบัตรประชาชน และในแง่ระยะเวลาการเก็บรักษาที่ผูกกับอายุสัญญา การทำตามหกขั้นตอนข้างต้นไม่ได้ทำให้ระบบสมบูรณ์แบบในทันที แต่ช่วยให้ทีมเห็นภาพชัดขึ้นว่าจุดไหนคือความเสี่ยงที่ต้องจัดการก่อน และมีหลักฐานรองรับเมื่อถูกตรวจสอบ องค์กรที่เริ่มจากจุดเล็กๆ อย่างการทำแผนที่ข้อมูลให้ครบก่อน มักไปได้ไกลกว่าองค์กรที่พยายามเขียนนโยบายฉบับสมบูรณ์ตั้งแต่วันแรกแต่ไม่เคยนำไปใช้จริงกับงานประจำวัน

แหล่งข้อมูลอ้างอิง

ทีมงานควรติดตามแนวทางและประกาศจากสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (PDPC) อย่างสม่ำเสมอ เนื่องจากแนวปฏิบัติเกี่ยวกับข้อมูลทางการเงินและเอกสารยืนยันตัวตนอาจมีการปรับปรุงเพิ่มเติม สามารถดูภาพรวมเพิ่มเติมได้ที่ หน้ารวมความรู้ Business, Industry & SEO และหากต้องการภาพรวมของกลุ่มหัวข้อนี้ทั้งหมดสามารถอ่านต่อได้ที่ คู่มือ PDPA สำหรับอสังหาริมทรัพย์ ฉบับองค์กรการเงิน รวมถึง เช็คลิสต์ก่อนเปิดใช้ระบบ เพื่อตรวจสอบความพร้อมก่อนใช้งานจริง