PDPA สำหรับอสังหาริมทรัพย์ คืออะไร? คู่มือสำหรับอสังหาริมทรัพย์และธุรกิจที่เก็บ Lead

ทีมขายโครงการบ้านจัดสรรแห่งหนึ่งเก็บข้อมูลลูกค้าไว้หลายจุดโดยไม่รู้ตัวว่าทุกจุดเข้าข่าย PDPA ตั้งแต่แบบฟอร์มลงทะเบียนรับโบรชัวร์ สำเนาบัตรประชาชนที่ใช้ยืนยันตัวก่อนเข้าชมบ้านตัวอย่าง จนถึงสลิปเงินเดือนที่ลูกค้าแนบมาประกอบการขอสินเชื่อ บทความนี้อธิบาย PDPA ในบริบทของธุรกิจอสังหาริมทรัพย์และทีม Lead Generation ให้เห็นภาพว่ากฎหมายเกี่ยวข้องกับงานประจำวันตรงไหนบ้าง ไม่ใช่แค่เรื่องเทคนิคของฝ่ายไอที

PDPA คืออะไรโดยย่อ

PDPA หรือกฎหมายคุ้มครองข้อมูลส่วนบุคคลของไทย กำหนดให้ผู้เก็บข้อมูลต้องมีวัตถุประสงค์ที่ชัดเจนก่อนเก็บ ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล และต้องให้เจ้าของข้อมูลมีช่องทางควบคุม เช่น การถอนความยินยอมหรือขอให้ลบข้อมูล หลักการนี้ใช้กับทุกธุรกิจที่เก็บข้อมูลบุคคล ไม่ได้จำกัดเฉพาะธุรกิจออนไลน์หรือธุรกิจขนาดใหญ่

ทำไมธุรกิจอสังหาริมทรัพย์ถึงเกี่ยวข้องเป็นพิเศษ

ธุรกิจอสังหาริมทรัพย์มีลักษณะพิเศษคือเก็บข้อมูลปริมาณมากและหลากหลายในกระบวนการขายเดียว ตั้งแต่ข้อมูลติดต่อทั่วไปไปจนถึงข้อมูลทางการเงินที่มีความอ่อนไหวกว่าธุรกิจทั่วไป การเข้าใจวงจรชีวิตของข้อมูลจึงช่วยให้เห็นว่าความเสี่ยงไม่ได้อยู่ที่จุดใดจุดหนึ่งเพียงจุดเดียว

ข้อมูลที่ธุรกิจอสังหาริมทรัพย์มักเก็บ

• ข้อมูลติดต่อพื้นฐาน เช่น ชื่อ เบอร์โทร อีเมล ที่อยู่ปัจจุบัน
• สำเนาบัตรประชาชนหรือหนังสือเดินทางสำหรับยืนยันตัวก่อนเข้าชมโครงการ
• ข้อมูลทางการเงิน เช่น สลิปเงินเดือน หนังสือรับรองรายได้ ที่แนบประกอบการขอสินเชื่อ
• ข้อมูลพฤติกรรมบนเว็บไซต์ เช่น หน้าที่เข้าชม โครงการที่สนใจ ผ่านคุกกี้และ Pixel การตลาด
• บันทึกการสนทนากับฝ่ายขายผ่านโทรศัพท์หรือ Line OA

บทบาท Controller และ Processor ในธุรกิจอสังหาริมทรัพย์

โดยทั่วไปโครงการอสังหาริมทรัพย์ทำหน้าที่เป็นผู้ควบคุมข้อมูล เพราะเป็นผู้กำหนดวัตถุประสงค์ว่าจะเก็บข้อมูลอะไรและนำไปใช้ทำอะไร ส่วนผู้ให้บริการภายนอก เช่น ระบบ CRM หรือบริษัทที่รับจ้างส่ง SMS การตลาด มักทำหน้าที่เป็นผู้ประมวลผลข้อมูลตามคำสั่งของโครงการ การแยกบทบาทนี้มีผลต่อว่าใครต้องรับผิดชอบเรื่องใดในสัญญาการใช้บริการ ซึ่งเป็นรายละเอียดที่ทีมกฎหมายควรตรวจสัญญาจริงประกอบ ไม่ใช่สิ่งที่สรุปได้จากการอ่านบทความเพียงอย่างเดียว

จุดสัมผัสข้อมูลตลอดเส้นทางลูกค้า

หากมองเป็นเส้นทางลูกค้าตั้งแต่เริ่มสนใจจนถึงโอนกรรมสิทธิ์ จะเห็นจุดที่มีข้อมูลส่วนบุคคลไหลผ่านหลายจุด เริ่มจากโฆษณาบนโซเชียลมีเดียที่พาเข้าสู่ฟอร์มลงทะเบียน ตามด้วยการนัดหมายเข้าชมโครงการที่อาจขอสำเนาบัตรประชาชน การเจรจากับฝ่ายขายที่มีการพูดคุยเรื่องงบประมาณและความสามารถผ่อนชำระ การยื่นเอกสารขอสินเชื่อกับธนาคาร และสุดท้ายคือการเก็บสัญญาซื้อขายที่มีข้อมูลครบถ้วนของทั้งสองฝ่าย แต่ละจุดควรมีเจ้าของงานที่รู้ว่าข้อมูลที่ตนดูแลอยู่ต้องจัดการอย่างไร

คุกกี้และการติดตามพฤติกรรมบนเว็บไซต์โครงการ

เว็บไซต์โครงการที่มีปุ่ม "จองที่นั่งชมโครงการ" หรือ "ขอโบรชัวร์" มักมี Pixel รีมาร์เก็ตติ้งฝังอยู่เพื่อยิงโฆษณาซ้ำ จุดนี้ธุรกิจควรแยกคุกกี้จำเป็น เช่น คุกกี้ที่ใช้จดจำการตั้งค่าฟอร์ม ออกจากคุกกี้การตลาดที่ใช้ติดตามพฤติกรรม และให้ผู้ใช้เลือกปฏิเสธคุกกี้การตลาดได้จริง ไม่ใช่แสดงแบนเนอร์ที่กดปุ่มใดก็ได้ผลลัพธ์เหมือนกัน

สัญญาซื้อขายและเอกสารทางการเงิน

เมื่อเข้าสู่ขั้นตอนทำสัญญา ข้อมูลจะมีความอ่อนไหวมากขึ้นเพราะเกี่ยวข้องกับรายได้และภาระหนี้สินของลูกค้า ธุรกิจควรจำกัดผู้เข้าถึงเอกสารชุดนี้เฉพาะทีมที่เกี่ยวข้องโดยตรง เช่น ฝ่ายขายที่ปิดดีลและฝ่ายบัญชี ไม่ใช่เก็บไว้ในโฟลเดอร์ที่พนักงานทุกคนเปิดดูได้ และควรกำหนดระยะเวลาเก็บเอกสารหลังปิดการขายให้ชัดเจนแทนที่จะเก็บไว้ถาวรโดยไม่มีเหตุผลรองรับ นอกจากนี้ธุรกิจควรพิจารณาว่าจะเข้ารหัสหรือจำกัดสิทธิ์ดาวน์โหลดไฟล์เอกสารเหล่านี้บนระบบจัดเก็บไฟล์ส่วนกลางหรือไม่ เพื่อลดโอกาสที่เอกสารจะถูกคัดลอกออกไปโดยไม่มีการบันทึกว่าใครเป็นผู้นำออก

สิทธิของเจ้าของข้อมูลที่ธุรกิจต้องรองรับ

เจ้าของข้อมูลมีสิทธิพื้นฐาน เช่น ขอเข้าถึงข้อมูลของตนเอง ขอแก้ไขข้อมูลที่ไม่ถูกต้อง ขอให้ลบข้อมูลเมื่อพ้นวัตถุประสงค์ และถอนความยินยอมสำหรับการใช้ข้อมูลที่ไม่ใช่ส่วนจำเป็นของสัญญา เช่น การรับข่าวสารการตลาด ธุรกิจอสังหาริมทรัพย์ควรมีช่องทางรับคำขอเหล่านี้ที่ชัดเจน เช่น อีเมลติดต่อเฉพาะ และมีขั้นตอนภายในว่าใครเป็นผู้ตอบกลับภายในระยะเวลาที่เหมาะสม

เมื่อไรควรปรึกษาผู้เชี่ยวชาญด้านกฎหมาย

ธุรกิจควรส่งต่อให้ทนายหรือ DPO พิจารณาเมื่อพบข้อมูลที่มีความอ่อนไหวสูง เช่น ข้อมูลสุขภาพของผู้ซื้อที่ขอสิ่งอำนวยความสะดวกพิเศษ กรณีลูกค้าต่างชาติที่มีข้อกำหนดการโอนข้อมูลข้ามประเทศ หรือเมื่อมีข้อร้องเรียนเรื่องการใช้ข้อมูลเกินขอบเขตที่เคยแจ้งไว้ เครื่องมือตรวจสอบอัตโนมัติช่วยให้เห็นช่องว่างเบื้องต้นได้ แต่ไม่ทดแทนความเห็นทางกฎหมายในกรณีที่ซับซ้อน

หลักฐานการยินยอมที่ธุรกิจอสังหาริมทรัพย์ควรเก็บ

เมื่อลูกค้ากดยินยอมรับข่าวสารหรือยินยอมให้ส่งข้อมูลต่อให้ธนาคาร ธุรกิจควรเก็บหลักฐานไว้มากกว่าการจดจำด้วยความรู้สึกของฝ่ายขาย หลักฐานที่ควรมีได้แก่ วันเวลาที่ลูกค้ากดยินยอม ข้อความหรือเวอร์ชันของฟอร์มที่ลูกค้าเห็น ณ ขณะนั้น และช่องทางที่ใช้เก็บความยินยอม เช่น ระบบฟอร์มออนไลน์หรือเอกสารกระดาษที่มีลายเซ็น การมีหลักฐานเหล่านี้ช่วยให้ธุรกิจตอบคำถามลูกค้าได้เมื่อมีข้อสงสัยว่าเคยยินยอมเรื่องใดไว้บ้าง แต่การมีหลักฐานไม่ได้แปลว่าธุรกิจจะไม่ถูกตั้งคำถามเรื่องความถูกต้องของการขอความยินยอมนั้นเลย ทีมควรเก็บหลักฐานไว้ในระบบที่ค้นหาย้อนหลังได้ง่าย แทนที่จะกระจายอยู่ในอีเมลส่วนตัวของพนักงานแต่ละคน ซึ่งจะหาไม่เจอทันทีที่พนักงานคนนั้นลาออกจากทีม

สถานการณ์ที่ทีมขายอสังหาริมทรัพย์มักเจอ

รูปแบบปัญหาที่เกิดซ้ำในหลายโครงการมีลักษณะใกล้เคียงกัน การรู้ล่วงหน้าช่วยให้ทีมตั้งคำถามกับกระบวนการของตัวเองได้ตรงจุดขึ้น

• ฝ่ายการตลาดเปิดแคมเปญโฆษณาใหม่และเพิ่ม Pixel เอง โดยไม่แจ้งทีมพัฒนาเว็บให้ปรับการควบคุมตาม Consent
• ฝ่ายขายส่งต่อข้อมูลลูกค้าที่ยังไม่ปิดการขายให้ทีมขายโครงการอื่นในเครือ เพื่อลองเสนอทางเลือกอื่น โดยไม่ได้แจ้งลูกค้าไว้ก่อน
• เปลี่ยนพนักงานขายที่ดูแลลูกค้ารายเดิม แต่ไม่มีการส่งมอบข้อมูลและหลักฐานความยินยอมอย่างเป็นระบบ
• ลูกค้าขอถอนความยินยอมรับข่าวสาร แต่ระบบยังส่งอีเมลโปรโมชันต่อเนื่องเพราะไม่มีการอัปเดตสถานะใน CRM สถานการณ์เหล่านี้มักเกิดจากการที่แต่ละฝ่ายทำงานแยกระบบกันโดยไม่มีจุดกลางที่สะท้อนสถานะความยินยอมล่าสุดของลูกค้าแต่ละราย

เช็กลิสต์ปฏิบัติ

• ทำรายการจุดที่เก็บข้อมูลลูกค้าทั้งหมดตั้งแต่ฟอร์มจนถึงสัญญาซื้อขาย
• แยกบทบาท Controller และ Processor ของแต่ละระบบที่ใช้งานอยู่
• จำกัดผู้เข้าถึงเอกสารทางการเงินเฉพาะทีมที่เกี่ยวข้องโดยตรง
• แยกคุกกี้จำเป็นออกจากคุกกี้การตลาดบนเว็บไซต์โครงการ
• เปิดช่องทางรับคำขอใช้สิทธิของเจ้าของข้อมูลที่ชัดเจน
• กำหนดระยะเวลาเก็บเอกสารหลังปิดการขายแทนการเก็บไว้ถาวร

ข้อผิดพลาดที่พบบ่อย

• คิดว่า PDPA เกี่ยวข้องเฉพาะหน้าเว็บไซต์ โดยไม่ครอบคลุมเอกสารสัญญาและข้อมูลทางการเงิน
• เก็บสำเนาบัตรประชาชนและเอกสารทางการเงินไว้ในโฟลเดอร์ที่ทุกคนเข้าถึงได้
• ไม่แยกบทบาท Controller และ Processor เมื่อใช้บริการ CRM หรือระบบส่ง SMS ภายนอก
• ไม่มีช่องทางให้ลูกค้าขอใช้สิทธิ เช่น ขอลบหรือขอแก้ไขข้อมูล
• เก็บเอกสารลูกค้าที่ไม่ปิดการขายไว้ถาวรโดยไม่มีกำหนดลบ

คำถามที่พบบ่อย

PDPA ครอบคลุมเฉพาะข้อมูลบนเว็บไซต์หรือไม่

ไม่ใช่ PDPA ครอบคลุมข้อมูลส่วนบุคคลทุกช่องทางที่ธุรกิจเก็บ ไม่ว่าจะเป็นฟอร์มออนไลน์ เอกสารกระดาษ สำเนาบัตรประชาชน หรือเอกสารทางการเงินที่ใช้ประกอบสัญญาซื้อขาย

ธุรกิจอสังหาริมทรัพย์ขนาดเล็กต้องทำตาม PDPA ด้วยหรือไม่

กฎหมายใช้กับผู้เก็บข้อมูลส่วนบุคคลโดยไม่ได้จำกัดเฉพาะธุรกิจขนาดใหญ่ ธุรกิจขนาดเล็กที่เก็บข้อมูลลูกค้าก็ควรมีแนวทางจัดการข้อมูลพื้นฐานเช่นกัน แม้จะยังไม่มีทีมกฎหมายเฉพาะทาง

ถ้าใช้ CRM จากผู้ให้บริการภายนอก ใครต้องรับผิดชอบเรื่อง PDPA

โดยทั่วไปโครงการยังเป็นผู้ควบคุมข้อมูลที่ต้องรับผิดชอบต่อลูกค้า ส่วนผู้ให้บริการ CRM ทำหน้าที่ประมวลผลตามคำสั่ง รายละเอียดความรับผิดชอบที่แท้จริงขึ้นอยู่กับข้อตกลงในสัญญาการใช้บริการ ซึ่งควรให้ทีมกฎหมายตรวจสัญญาจริง

ต้องมีนโยบายความเป็นส่วนตัวแยกสำหรับแต่ละโครงการหรือไม่

ขึ้นอยู่กับว่าแต่ละโครงการเก็บและใช้ข้อมูลต่างกันมากน้อยเพียงใด หากใช้กระบวนการเดียวกันทั้งหมดอาจใช้นโยบายกลางได้ แต่หากมีความต่างสำคัญ เช่น โครงการที่มีบริการเช่าซื้อเพิ่มเติม ควรพิจารณาเพิ่มรายละเอียดเฉพาะให้ตรงกับสิ่งที่โครงการนั้นเก็บจริง

ต้องขอความยินยอมใหม่ทุกครั้งที่เปลี่ยนวัตถุประสงค์การใช้ข้อมูลหรือไม่

หากวัตถุประสงค์ใหม่ต่างจากที่เคยแจ้งไว้อย่างมีนัยสำคัญ เช่น จากการติดต่อเรื่องโครงการเดิม เปลี่ยนเป็นนำข้อมูลไปใช้วิเคราะห์กับพันธมิตรรายใหม่ ควรแจ้งลูกค้าและขอความยินยอมเพิ่มเติมแทนที่จะสันนิษฐานว่าความยินยอมเดิมยังครอบคลุมวัตถุประสงค์ใหม่ หลักการนี้ใช้ได้ทั้งกับข้อมูลที่เก็บผ่านฟอร์มออนไลน์และเอกสารกระดาษที่ลูกค้าเคยเซ็นไว้

สรุป

PDPA สำหรับธุรกิจอสังหาริมทรัพย์ไม่ได้จบอยู่ที่การติดคุกกี้แบนเนอร์บนเว็บไซต์ แต่ครอบคลุมตลอดเส้นทางลูกค้าตั้งแต่ฟอร์มลงทะเบียน การนัดชมโครงการ เอกสารทางการเงิน จนถึงสัญญาซื้อขาย การเข้าใจวงจรชีวิตของข้อมูลและแยกบทบาทผู้เกี่ยวข้องให้ชัดเจนช่วยให้ทีมวางระบบจัดการข้อมูลได้ตรงจุด และรู้ว่าเมื่อใดควรส่งต่อให้ผู้เชี่ยวชาญด้านกฎหมายพิจารณาเพิ่มเติม

แหล่งข้อมูลอ้างอิง

• สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (PDPC)
• ศูนย์ความรู้ธุรกิจและอุตสาหกรรม trusty
• วิธีวางระบบ PDPA สำหรับอสังหาริมทรัพย์แบบเป็นขั้นตอน