เช็กลิสต์ PDPA สำหรับอสังหาริมทรัพย์ สำหรับเว็บไซต์ธุรกิจทั่วไปและ SME: ต้องตรวจอะไรบ้างก่อนเปิดใช้งาน

เจ้าของเอเจนซี่อสังหาริมทรัพย์รายหนึ่งเล่าให้ทีมงานฟังว่า วันหนึ่งลูกค้าที่เคยฝากขายบ้านโทรมาขอให้ลบเบอร์โทรและสำเนาบัตรประชาชนออกจากระบบ เพราะขายบ้านเสร็จไปนานแล้วแต่ยังโดนโทรตามขายประกันจากเบอร์ที่ไม่เกี่ยวข้อง เจ้าของกิจการถึงกับงงว่าข้อมูลรั่วไหลไปได้อย่างไร เมื่อไล่ดูจึงพบว่าไฟล์เอกสารลูกค้าเก่าถูกเก็บไว้ในโฟลเดอร์ Google Drive ที่แชร์แบบเปิดลิงก์ให้ทุกคนดูได้ตั้งแต่ตอนเริ่มทำเว็บไซต์ เหตุการณ์นี้เป็นจุดเริ่มต้นที่ทำให้ทีมงานทำเช็กลิสต์ PDPA ขึ้นมาใช้ตรวจเว็บไซต์ของตัวเองอย่างจริงจัง

ทำไม SME อสังหาริมทรัพย์ควรมีเช็กลิสต์ PDPA ของตัวเอง

ธุรกิจอสังหาริมทรัพย์ขนาดเล็กมักไม่มีเวลาไปนั่งอ่านตัวบทกฎหมายทั้งฉบับ สิ่งที่ใช้ได้จริงกว่าคือเช็กลิสต์แบบสั้น กระชับ ที่เจ้าของกิจการหรือผู้ดูแลเว็บไซต์เปิดดูแล้วตรวจตามได้ทันที ไม่ต้องตีความกฎหมายเอง เช็กลิสต์ด้านล่างนี้รวบรวมจุดที่เว็บไซต์อสังหาริมทรัพย์มักพลาดบ่อยที่สุด เรียงตามลำดับที่ควรตรวจก่อน-หลัง

เช็กลิสต์ก่อนเปิดใช้งานฟอร์มบนเว็บไซต์

ฟอร์มคือจุดแรกที่ข้อมูลลูกค้าเข้าสู่ระบบของธุรกิจ ถ้าจุดนี้ไม่มีการแจ้งวัตถุประสงค์หรือขอความยินยอมตั้งแต่ต้น ทุกขั้นตอนหลังจากนั้นก็มีปัญหาตามไปด้วย ควรไล่ตรวจฟอร์มทุกแบบที่มีอยู่บนเว็บไซต์ก่อนเป็นอันดับแรก

• ฟอร์มติดต่อสอบถามและฟอร์มขอชมโครงการ มีข้อความแจ้งวัตถุประสงค์การเก็บข้อมูลกำกับไว้ชัดเจน
• มีช่องยินยอมแยกต่างหากจากปุ่ม "ส่งข้อมูล" ไม่ใช่การถือว่ากดส่งแล้วเท่ากับยินยอมโดยอัตโนมัติ
• ฟอร์มฝากขายบ้านที่ขอเอกสารสิทธิ์และข้อมูลเจ้าของบ้าน มีการระบุว่าจะเก็บและใช้ข้อมูลเหล่านี้อย่างไร
• ลิงก์นโยบายความเป็นส่วนตัวอยู่ในตำแหน่งที่มองเห็นได้ง่ายใกล้กับฟอร์ม ไม่ใช่ซ่อนอยู่ท้ายเว็บไซต์เพียงจุดเดียว

เช็กลิสต์การจัดเก็บข้อมูลและเอกสารลูกค้า

เอกสารสำคัญอย่างสำเนาบัตรประชาชนหรือหลักฐานทางการเงินของลูกค้ามักถูกส่งเข้ามาทางเว็บไซต์หรืออีเมลระหว่างขั้นตอนจองบ้าน จุดนี้เป็นจุดที่มีความเสี่ยงสูงที่สุดในเช็กลิสต์ทั้งหมด เพราะหากรั่วไหลจะกระทบต่อตัวลูกค้าโดยตรงมากกว่าข้อมูลติดต่อทั่วไป

• สำเนาบัตรประชาชนและเอกสารการเงินของลูกค้าเก็บอยู่ในระบบที่จำกัดสิทธิ์การเข้าถึง ไม่ใช่โฟลเดอร์แชร์แบบเปิดลิงก์สาธารณะ
• มีกำหนดระยะเวลาการเก็บข้อมูลลูกค้าที่ปิดการขายหรือยกเลิกการฝากขายไปแล้ว
• รายชื่อพนักงานที่เข้าถึงข้อมูลลูกค้าได้ ถูกจำกัดเฉพาะคนที่เกี่ยวข้องกับงานขายหรือธุรการจริง
• ไฟล์ Excel หรือ Google Sheet ที่ใช้ติดตามลูกค้า ไม่ได้ถูกส่งต่อผ่านไลน์กลุ่มที่มีคนนอกทีมอยู่ด้วย

เช็กลิสต์การตอบสิทธิของเจ้าของข้อมูล

ลูกค้าที่เคยฝากขายหรือเคยสอบถามผ่านเว็บไซต์มีสิทธิขอเข้าถึง แก้ไข หรือขอให้ลบข้อมูลของตัวเองได้ตลอดเวลา ไม่ใช่แค่ตอนที่ยังทำธุรกรรมกันอยู่ ธุรกิจขนาดเล็กจึงควรเตรียมช่องทางและขั้นตอนรองรับคำร้องเหล่านี้ไว้ล่วงหน้า แทนที่จะรอให้มีคำร้องเข้ามาแล้วค่อยคิดวิธีจัดการทีหลัง

• มีช่องทางชัดเจนให้ลูกค้าติดต่อขอลบหรือแก้ไขข้อมูลของตัวเอง เช่น อีเมลหรือ LINE OA ที่ระบุในนโยบาย
• มีผู้รับผิดชอบในทีมที่รู้ว่าเมื่อได้รับคำร้องขอใช้สิทธิแล้วต้องทำอะไรต่อ และภายในกี่วัน
• เคยทดสอบส่งคำร้องขอใช้สิทธิด้วยตัวเองอย่างน้อยหนึ่งครั้งเพื่อดูว่าระบบตอบสนองจริงหรือไม่

เช็กลิสต์เรื่องการตลาดและการส่งต่อข้อมูล

ธุรกิจอสังหาริมทรัพย์มักต้องส่งข้อมูลลูกค้าต่อให้บุคคลภายนอก เช่น ธนาคารสำหรับขอสินเชื่อ หรือบริษัทตกแต่งภายในที่แนะนำให้ลูกค้าเพิ่มเติม จุดนี้มักถูกมองข้ามเพราะดูเหมือนเป็นการช่วยเหลือลูกค้า แต่ในทางกฎหมายถือเป็นการส่งต่อข้อมูลที่ต้องมีความยินยอมรองรับเช่นกัน

• ก่อนส่งข้อมูลลูกค้าให้พันธมิตรภายนอก เช่น ธนาคารที่ช่วยเรื่องสินเชื่อ มีการขอความยินยอมเฉพาะสำหรับการส่งต่อนี้แล้ว
• แคมเปญโฆษณาที่ยิงตาม Pixel บนหน้าฟอร์มฝากขายบ้าน ไม่ได้ส่งข้อมูลส่วนบุคคลของลูกค้าออกไปเกินความจำเป็น
• รายชื่อพันธมิตรภายนอกที่เคยได้รับข้อมูลลูกค้าถูกบันทึกไว้เป็นรายการเดียว เพื่อให้ตอบลูกค้าได้หากมีการสอบถามภายหลัง

ตัวอย่างสถานการณ์ที่เช็กลิสต์นี้ช่วยป้องกันได้

สถานการณ์แรก เอเจนซี่แห่งหนึ่งเปิดฟอร์มขอชมโครงการใหม่ผ่านโฆษณา Facebook แล้วลืมตรวจว่าฟอร์มนั้นมีข้อความยินยอมหรือไม่ เมื่อมีลูกค้าร้องเรียนว่าถูกโทรตามขายซ้ำหลายครั้งโดยไม่เคยให้ความยินยอมเรื่องการตลาด ทีมงานจึงย้อนไปพบว่าฟอร์มโฆษณานั้นไม่มีการแจ้งวัตถุประสงค์เลยตั้งแต่ต้น

สถานการณ์ที่สอง พนักงานขายส่งสำเนาบัตรประชาชนของลูกค้าให้ธนาคารทางอีเมลส่วนตัวเพื่อความรวดเร็ว โดยไม่ได้แจ้งลูกค้าล่วงหน้าว่าจะส่งข้อมูลนี้ให้ใคร หากมีเช็กลิสต์เรื่องการส่งต่อข้อมูลไว้ล่วงหน้า พนักงานจะรู้ว่าต้องขอความยินยอมเฉพาะจุดนี้ก่อนทุกครั้ง

วิธีใช้เช็กลิสต์นี้ให้เกิดผลจริง

แนะนำให้พิมพ์เช็กลิสต์นี้ออกมาหรือทำเป็นตารางใน Google Sheet แล้วให้ผู้ดูแลเว็บไซต์ไล่ติ๊กทีละข้อพร้อมบันทึกวันที่ตรวจ หากข้อไหนยังไม่ผ่าน ให้ระบุแผนแก้ไขและกำหนดวันที่จะกลับมาตรวจซ้ำ ทำแบบนี้ทุก 6 เดือนจะช่วยให้เห็นพัฒนาการของเว็บไซต์อย่างต่อเนื่อง แทนที่จะตรวจครั้งเดียวแล้วปล่อยผ่านไปหลายปี

สำหรับทีมที่มีผู้ดูแลเว็บไซต์เพียงคนเดียว อาจแบ่งเช็กลิสต์ออกเป็น 4 ช่วงตลอดปี แทนที่จะพยายามตรวจทั้งหมดในวันเดียว เช่น ไตรมาสแรกตรวจฟอร์ม ไตรมาสสองตรวจการจัดเก็บเอกสาร ไตรมาสสามตรวจกระบวนการตอบสิทธิ และไตรมาสสี่ตรวจเรื่องการส่งต่อข้อมูล วิธีนี้ช่วยให้งานไม่หนักเกินไปในแต่ละครั้ง และยังคงตรวจครบทุกจุดภายในหนึ่งปีเช่นเดิม

ตารางระดับความเสี่ยงของแต่ละหมวดในเช็กลิสต์

เชื่อมต่อกับคู่มืออื่นในชุด PDPA สำหรับอสังหาริมทรัพย์

• คู่มือภาพรวม PDPA สำหรับอสังหาริมทรัพย์ สำหรับ SME
• วิธีทำ PDPA สำหรับอสังหาริมทรัพย์ แบบทีละขั้นตอน
• วิธี Audit PDPA สำหรับอสังหาริมทรัพย์ พร้อม Evidence
• อัปเดตความเปลี่ยนแปลง PDPA สำหรับอสังหาริมทรัพย์ ปี 2026

ข้อผิดพลาดที่พบบ่อยเมื่อใช้เช็กลิสต์ PDPA แบบผิวเผิน

• ติ๊กผ่านทุกข้อโดยไม่ได้ตรวจจริง เพราะอยากให้เช็กลิสต์ "ผ่าน" เร็วๆ
• ตรวจแค่ครั้งเดียวตอนเปิดเว็บไซต์ใหม่ แล้วไม่กลับมาตรวจซ้ำอีกเลยแม้จะเพิ่มฟอร์มใหม่ภายหลัง
• ใช้เช็กลิสต์ของธุรกิจประเภทอื่นมาปรับใช้ทั้งดุ้นโดยไม่ตัดข้อที่ไม่เกี่ยวกับอสังหาริมทรัพย์ออก

สรุป

เช็กลิสต์ PDPA สำหรับอสังหาริมทรัพย์ฉบับนี้ออกแบบมาให้เจ้าของกิจการและผู้ดูแลเว็บไซต์ขนาดเล็กใช้ตรวจเองได้ทันที ครอบคลุมตั้งแต่ฟอร์มบนเว็บไซต์ การจัดเก็บเอกสารลูกค้า กระบวนการตอบสิทธิ ไปจนถึงการส่งต่อข้อมูลให้พันธมิตร ใช้ตรวจอย่างสม่ำเสมอทุก 6 เดือน จะช่วยลดความเสี่ยงจากเหตุการณ์อย่างข้อมูลลูกค้ารั่วไหลโดยไม่รู้ตัวได้มาก

แหล่งข้อมูลอ้างอิง

เนื้อหานี้อ้างอิงหลักการทั่วไปของพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 และแนวปฏิบัติจากสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (PDPC) โปรดตรวจสอบประกาศล่าสุดที่ เว็บไซต์ PDPC เนื่องจากรายละเอียดเชิงปฏิบัติอาจมีการปรับปรุงเป็นระยะ