เช็กลิสต์ PDPA สำหรับอสังหาริมทรัพย์ สำหรับธุรกิจ SaaS สตาร์ทอัพ และบริษัทเทคโนโลยี: ต้องตรวจอะไรบ้างก่อนเปิดใช้งาน

ก่อนเปิดใช้งานฟีเจอร์ที่เกี่ยวกับข้อมูลผู้ซื้อหรือผู้เช่า ทีมต้องเช็คว่าฟิลด์ข้อมูลการเงินและบัตรประชาชนถูกจำกัดสิทธิ์การเข้าถึงแยกจากข้อมูลทั่วไป มีข้อความแจ้งวัตถุประสงค์ก่อนขอเอกสาร มีข้อตกลงกับธนาคารหรือผู้ตรวจเครดิตที่จะรับข้อมูลต่อ และมีกำหนดวันทบทวนหรือลบข้อมูลหลังสัญญาสิ้นสุด เช็กลิสต์นี้ควรใช้ทุกครั้งก่อน Launch ฟีเจอร์ใหม่ที่แตะข้อมูลธุรกรรมอสังหาริมทรัพย์ ไม่ใช่แค่ตอนเปิดระบบครั้งแรก

ทีม Product ที่กำลังจะเปิดใช้งานฟีเจอร์ใบสมัครซื้อบ้านหรือฟอร์มยื่นเช่าออนไลน์มักมีปัญหาเดียวกันซ้ำๆ คือรีบส่งฟีเจอร์ขึ้นโปรดักชันก่อนที่จะเช็คว่าเอกสารการเงินและบัตรประชาชนของผู้สมัครถูกจัดเก็บอย่างเหมาะสมหรือไม่ ปัญหานี้ไม่ได้เกิดจากความประมาทเสมอไป แต่เกิดจากการไม่มีเช็กลิสต์เฉพาะสำหรับข้อมูลอสังหาริมทรัพย์ที่แยกจากเช็กลิสต์ PDPA ทั่วไปที่ทีมใช้กับฟีเจอร์อื่น เพราะเอกสารการเงินและบัตรประชาชนต้องการการควบคุมที่เข้มกว่าฟอร์มติดต่อทั่วไปหลายเท่า

ปัญหาตรงนี้เห็นชัดที่สุดในช่วงที่ทีมเร่งปิดยอดขายก่อนสิ้นไตรมาส ทีม Sales อยากได้ฟีเจอร์ใบสมัครที่กรอกง่ายที่สุดเท่าที่จะทำได้ ในขณะที่ทีม Engineering ถูกกดดันให้ส่งฟีเจอร์เร็วที่สุด ผลคือเช็กลิสต์ด้านความปลอดภัยข้อมูลมักถูกเลื่อนไปทำ "ทีหลัง" ซึ่งในทางปฏิบัติมักไม่มีทีหลัง เพราะเมื่อฟีเจอร์เริ่มมีผู้ใช้งานจริงแล้ว การย้อนกลับมาแก้โครงสร้างสิทธิ์การเข้าถึงหรือการเข้ารหัสไฟล์ที่มีข้อมูลค้างอยู่แล้วยากและเสี่ยงกว่าการวางไว้ตั้งแต่ต้นมาก เช็กลิสต์นี้จึงถูกออกแบบให้เป็นด่านที่ต้องผ่านก่อนกดปล่อยฟีเจอร์ ไม่ใช่รายการที่ทำทีหลังเมื่อมีเวลาว่าง

ก่อน Launch ฟีเจอร์ที่เก็บข้อมูลผู้สมัครซื้อ/เช่า

• ฟิลด์เลขบัตรประชาชน พาสปอร์ต และเอกสารการเงิน ถูกเก็บแยกตารางหรือแยกระดับสิทธิ์การเข้าถึงจากข้อมูลติดต่อทั่วไป
• ไฟล์อัปโหลด เช่น สลิปเงินเดือนหรือ Statement ถูกเข้ารหัสและไม่สามารถเปิดผ่าน URL ตรงได้โดยไม่ผ่านการยืนยันสิทธิ์
• มีการจำกัดจำนวนคนในทีมที่ดาวน์โหลดเอกสารเหล่านี้ได้ พร้อม log การเข้าถึงรายบุคคล
• มีข้อความแจ้งวัตถุประสงค์การใช้ข้อมูลก่อนถึงขั้นตอนอัปโหลดเอกสาร ไม่ใช่แจ้งหลังจากอัปโหลดไปแล้ว
• มีช่องทางให้ผู้สมัครสอบถามหรือขอแก้ไขข้อมูลของตนเองได้ ไม่ใช่ต้องติดต่อผ่านหลายทีมกว่าจะถึงคนที่ดูแลจริง

ก่อนเปิดใช้งานระบบ CCTV ที่ยูนิตตัวอย่าง

• มีป้ายแจ้งเตือนบริเวณจุดติดตั้งกล้องที่มองเห็นได้ชัดเจนก่อนเข้าพื้นที่
• กำหนดระยะเวลาเก็บภาพที่ชัดเจน ไม่ปล่อยให้คลิปเก่าค้างอยู่โดยไม่มีกำหนดลบ
• จำกัดสิทธิ์เข้าถึงคลิปเฉพาะทีมความปลอดภัยหรือทีมที่เกี่ยวข้องโดยตรง ไม่ใช่ทีม Sales หรือ Marketing ทั้งหมด

ก่อนเปิดใช้งานการเชื่อมต่อธนาคารหรือผู้ตรวจเครดิต

• มีข้อตกลงประมวลผลข้อมูลเป็นลายลักษณ์อักษรกับธนาคารหรือผู้ให้บริการตรวจเครดิตทุกราย
• ผู้สมัครเห็นชื่อธนาคารหรือกลุ่มพันธมิตรที่จะได้รับข้อมูลอย่างชัดเจน ไม่ใช่ระบุกว้างๆ ว่า "พันธมิตรทางธุรกิจ"
• ผู้สมัครสามารถปฏิเสธการส่งข้อมูลไปยังธนาคารได้ โดยยังดูรายละเอียดโครงการหรือใช้ฟีเจอร์หลักของแพลตฟอร์มต่อได้
• ระบบส่งเฉพาะฟิลด์ที่จำเป็นต่อการตรวจสอบสินเชื่อ ไม่ใช่ส่งข้อมูลทั้งโปรไฟล์ผู้สมัครออกไป

ก่อนกำหนดนโยบายเก็บรักษาและลบข้อมูลหลังสัญญาสิ้นสุด

• มีวันที่กำหนดชัดเจนสำหรับทบทวนหรือลบข้อมูลหลังสัญญาเช่าหรือสัญญาซื้อขายสิ้นสุด
• มีกระบวนการหรือระบบแจ้งเตือนอัตโนมัติเมื่อถึงกำหนดทบทวนข้อมูล ไม่ใช่พึ่งพาให้พนักงานจำเอง
• มีการระบุผู้อนุมัติการลบข้อมูลและบันทึกวันที่ดำเนินการจริง

สิ่งที่มักถูกมองข้ามในเช็กลิสต์ทั่วไป

เช็กลิสต์ PDPA ที่ทีมส่วนใหญ่ใช้มักถูกออกแบบมาสำหรับเว็บไซต์หรือแอปทั่วไปที่เน้นเรื่องคุกกี้และฟอร์มติดต่อ แต่สำหรับแพลตฟอร์มอสังหาริมทรัพย์ จุดที่ต้องเพิ่มเข้าไปคือการตรวจสอบเส้นทางข้อมูลที่ส่งออกไปยังบุคคลที่สาม เช่น ธนาคาร ผู้ตรวจเครดิต หรือผู้ให้บริการเซ็นสัญญาดิจิทัล และการตรวจสอบว่าข้อมูลที่ผูกกับสัญญาระยะยาวมีกำหนดทบทวนที่ชัดเจน ไม่ใช่ปล่อยให้อยู่ในระบบตลอดไปเหมือนข้อมูลลูกค้าทั่วไปที่ไม่มีวันหมดอายุตามสัญญา

อีกจุดที่ควรเพิ่มเข้าไปคือการเช็คว่าทีมที่เข้าถึงเอกสารการเงินและบัตรประชาชนได้จริงตรงกับรายชื่อที่ควรมีสิทธิ์หรือไม่ หลายครั้งพนักงานที่ลาออกไปแล้วหรือย้ายแผนกไปแล้วยังมีสิทธิ์เข้าถึงระบบเดิมอยู่ เพราะไม่มีขั้นตอนตัดสิทธิ์อัตโนมัติเมื่อเปลี่ยนตำแหน่งงาน เช็กลิสต์ก่อนเปิดใช้งานฟีเจอร์ใหม่จึงควรรวมการตรวจสอบรายชื่อผู้มีสิทธิ์เข้าถึงปัจจุบันด้วย ไม่ใช่แค่ตรวจว่าระบบมีการจำกัดสิทธิ์แบบหลักการเท่านั้น

กรณีที่พบบ่อยอีกแบบคือทีมการตลาดขอสิทธิ์เข้าถึงข้อมูลผู้สมัครเพื่อทำ Retargeting โฆษณา โดยดึงข้อมูลจากตารางเดียวกับที่เก็บเอกสารการเงิน เพราะระบบไม่ได้แยกฐานข้อมูลสำหรับการตลาดออกจากฐานข้อมูลธุรกรรม ทำให้ทีมที่ไม่ควรเห็นเอกสารการเงินเลยกลับมีสิทธิ์เข้าถึงตารางที่ไฟล์เหล่านั้นถูกเก็บอยู่ด้วยโดยไม่ได้ตั้งใจ เช็กลิสต์ก่อนเปิดใช้งานฟีเจอร์การตลาดใหม่จึงควรถามคำถามเดียวกันว่า ทีมที่ขอสิทธิ์เข้าถึงข้อมูลจำเป็นต้องเห็นฟิลด์เอกสารการเงินจริงหรือไม่ หรือควรได้รับเฉพาะข้อมูลติดต่อทั่วไปเท่านั้น

ตัวอย่างจุดที่มักถูกมองข้ามในทีม Product ขนาดเล็ก

ทีม Product ของสตาร์ทอัพขนาดเล็กมักไม่มีทีม Security แยกต่างหาก ทำให้เช็กลิสต์นี้ตกไปอยู่ในความรับผิดชอบของ Engineer ที่กำลังเร่งพัฒนาฟีเจอร์ใหม่ไปพร้อมกัน สถานการณ์ที่พบบ่อยคือทีมเปิด Feature Flag ให้ผู้ใช้บางกลุ่มทดลองฟีเจอร์ยื่นสมัครเช่าแบบเบต้า โดยลืมว่าฟิลด์อัปโหลดเอกสารการเงินในเวอร์ชันทดลองยังเชื่อมกับสิทธิ์เข้าถึงแบบเดียวกับฟีเจอร์อื่นที่ไม่อ่อนไหวเท่ากัน เพราะทีมตั้งใจจะ "แก้เรื่องสิทธิ์เข้าถึงทีหลังตอนออกเวอร์ชันจริง" แต่ผู้ใช้เบต้ากลับอัปโหลดเอกสารจริงเข้ามาระหว่างทดลองใช้แล้ว จุดนี้สะท้อนว่าเช็กลิสต์ควรถูกใช้ตั้งแต่เวอร์ชันทดลองที่มีผู้ใช้จริงเข้าถึงได้ ไม่ใช่รอให้ถึงเวอร์ชันที่ประกาศเปิดตัวอย่างเป็นทางการเท่านั้น

ข้อผิดพลาดที่พบบ่อยเมื่อใช้เช็กลิสต์นี้

• ใช้เช็กลิสต์ PDPA ทั่วไปแทนที่จะแยกเช็กลิสต์เฉพาะสำหรับข้อมูลการเงินและบัตรประชาชน
• เช็คแค่ตอนเปิดระบบครั้งแรก แล้วไม่กลับมาเช็คซ้ำเมื่อเพิ่มฟีเจอร์ใหม่ที่แตะข้อมูลธุรกรรม
• ปล่อยให้ทีมที่ลาออกหรือย้ายแผนกยังมีสิทธิ์เข้าถึงเอกสารการเงินของผู้สมัคร
• ไม่มีข้อตกลงเป็นลายลักษณ์อักษรกับธนาคารพันธมิตรก่อนเริ่มส่งข้อมูลจริง
• ลืมเช็คป้ายแจ้งเตือน CCTV เมื่อย้ายจุดติดตั้งกล้องหรือเปิดสำนักงานขายใหม่

สรุป: เช็กลิสต์นี้ควรใช้ซ้ำทุกครั้งที่มีฟีเจอร์ใหม่

เช็กลิสต์ข้างต้นไม่ได้มีไว้ใช้ครั้งเดียวตอนเปิดระบบ แต่ควรเป็นขั้นตอนมาตรฐานก่อนปล่อยฟีเจอร์ใดๆ ที่แตะข้อมูลผู้ซื้อ ผู้เช่า หรือข้อมูลธุรกรรมอสังหาริมทรัพย์ เพราะทุกฟีเจอร์ใหม่มีโอกาสเปิดช่องทางใหม่ที่ข้อมูลอ่อนไหวไหลออกไปโดยไม่มีใครตั้งใจ ทีมที่ผูกเช็กลิสต์นี้เข้ากับขั้นตอนก่อนปล่อยของจริง (release process) จะลดโอกาสที่ปัญหาจะถูกพบทีหลังตอนที่แก้ไขยากและมีค่าใช้จ่ายสูงกว่า

สำหรับการตรวจสอบเชิงลึกหลังเปิดใช้งานแล้ว อ่านเพิ่มเติมได้ที่ วิธี Audit PDPA สำหรับอสังหาริมทรัพย์ของธุรกิจ SaaS และติดตามการเปลี่ยนแปลงกฎเกณฑ์ล่าสุดได้ที่ อัปเดต PDPA สำหรับอสังหาริมทรัพย์ ปี 2026

แหล่งข้อมูลอ้างอิง

เช็กลิสต์นี้อ้างอิงหลักการทั่วไปจากสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (PDPC) ทีมควรตรวจสอบแนวปฏิบัติล่าสุดจากเว็บไซต์ PDPC โดยตรงก่อนนำไปปรับใช้กับสัญญาหรือฟีเจอร์จริง และดูภาพรวมหัวข้ออื่นที่เกี่ยวข้องได้ที่ หมวดความรู้ธุรกิจและอุตสาหกรรม