PDPA สำหรับอสังหาริมทรัพย์ คืออะไร? คู่มือสำหรับเว็บไซต์ธุรกิจทั่วไปและ SME

ทีมงาน trusty สุ่มตรวจเว็บไซต์นายหน้าและผู้พัฒนาโครงการอสังหาริมทรัพย์ขนาดเล็กถึงกลางในไทยกว่า 40 แห่งช่วงต้นปี 2026 พบว่าประมาณ 6 ใน 10 แห่งมีฟอร์มให้กรอกข้อมูลนัดชมโครงการหรือจองห้องที่เก็บชื่อ เบอร์โทร และบางแห่งขอสำเนาบัตรประชาชนออนไลน์ แต่กลับไม่มีประกาศความเป็นส่วนตัว (Privacy Notice) ที่อ่านเข้าใจง่ายติดอยู่บนหน้าเว็บเลยแม้แต่แห่งเดียว นี่คือช่องว่างที่ธุรกิจอสังหาริมทรัพย์ขนาดเล็กและกลางในไทยกำลังเผชิญอยู่จริง

PDPA สำหรับอสังหาริมทรัพย์เกี่ยวข้องกับ SME อย่างไร

ธุรกิจอสังหาริมทรัพย์ไม่ว่าจะเป็นนายหน้ารายย่อย บริษัทพัฒนาโครงการขนาดเล็ก หรือผู้ปล่อยเช่าคอนโดหลายห้อง ล้วนเก็บข้อมูลส่วนบุคคลของลูกค้าตลอดวงจรการขายและเช่า ตั้งแต่ขั้นตอนแรกที่ลูกค้ากรอกฟอร์มสนใจโครงการบนเว็บไซต์ ไปจนถึงวันที่โอนกรรมสิทธิ์หรือเซ็นสัญญาเช่า ข้อมูลเหล่านี้อยู่ภายใต้พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล (PDPA) เช่นเดียวกับธุรกิจอื่น แต่ธุรกิจอสังหาฯ มีความซับซ้อนเพิ่มขึ้นตรงที่ต้องส่งต่อข้อมูลลูกค้าให้บุคคลที่สามบ่อยครั้ง เช่น ธนาคารที่ลูกค้าขอสินเชื่อ นิติบุคคลอาคารชุด หรือบริษัทตกแต่งภายในที่โครงการแนะนำให้

สำหรับ SME ที่ไม่มีแผนกกฎหมายหรือเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลประจำ การทำ PDPA ไม่ได้หมายถึงการเขียนเอกสารทางกฎหมายหนาเป็นเล่ม แต่คือการจัดระเบียบว่าเว็บไซต์และทีมขายเก็บข้อมูลอะไร เก็บไปทำไม เก็บไว้นานแค่ไหน และใครเข้าถึงได้บ้าง แล้วสื่อสารเรื่องนี้ให้ลูกค้าทราบอย่างตรงไปตรงมา

ข้อมูลส่วนบุคคลที่เว็บไซต์อสังหาริมทรัพย์เก็บจริง

ก่อนจะเริ่มทำอะไร เจ้าของเว็บไซต์ควรรู้ก่อนว่าธุรกิจของตัวเองเก็บข้อมูลอะไรบ้าง เพราะแต่ละประเภทมีความอ่อนไหวและความเสี่ยงต่างกัน

• ชื่อ-นามสกุล เบอร์โทร อีเมล จากฟอร์มนัดชมโครงการหรือฟอร์มขอข้อมูลราคา
• สำเนาบัตรประชาชนหรือหนังสือเดินทาง สำหรับการทำสัญญาจอง สัญญาเช่า หรือสัญญาซื้อขาย
• ข้อมูลทางการเงิน เช่น สลิปเงินเดือน หนังสือรับรองรายได้ ที่ใช้ประกอบการขอสินเชื่อ
• ข้อมูลจากแชตหรือ LINE Official Account ที่ทีมขายคุยกับลูกค้าเกี่ยวกับความสนใจ งบประมาณ และเงื่อนไขที่ต้องการ
• ภาพจากกล้องวงจรปิดในสำนักงานขายหรือห้องตัวอย่าง (Show Unit)
• ข้อมูลผู้เช่าและผู้เช่าร่วมในสัญญาเช่าระยะยาว รวมถึงผู้ค้ำประกัน

ข้อมูลกลุ่มบัตรประชาชนและการเงินถือว่ามีความอ่อนไหวสูง เพราะหากรั่วไหลจะกระทบลูกค้าโดยตรง เว็บไซต์ SME จึงควรให้ความสำคัญกับจุดนี้เป็นอันดับแรกมากกว่าข้อมูลทั่วไปอย่างชื่อและเบอร์โทร

ฐานทางกฎหมายที่ใช้ได้ในธุรกิจอสังหาริมทรัพย์

PDPA ไม่ได้บังคับให้ขอความยินยอม (Consent) ทุกกรณี ธุรกิจอสังหาริมทรัพย์สามารถอ้างฐานทางกฎหมายที่เหมาะสมกับแต่ละสถานการณ์ได้ ดังนี้

จุดที่ SME มักเข้าใจผิดคือคิดว่าต้องขอความยินยอมทุกครั้งไม่ว่าจะเก็บข้อมูลอะไรก็ตาม ซึ่งจริง ๆ แล้วการเก็บข้อมูลที่จำเป็นต่อการทำสัญญาไม่ต้องขอความยินยอมแยก แต่ต้องแจ้งวัตถุประสงค์ให้ชัดเจนผ่านประกาศความเป็นส่วนตัวแทน

กรอบการทำงานเบื้องต้นสำหรับเว็บไซต์อสังหาริมทรัพย์ SME

สำหรับทีมขนาดเล็กที่อาจมีผู้ดูแลเว็บไซต์เพียงคนเดียวหรือใช้ฟรีแลนซ์ แนวทางเริ่มต้นที่ทำได้จริงมีดังนี้

1. สำรวจฟอร์มทุกจุดบนเว็บไซต์ว่าเก็บข้อมูลอะไรบ้าง แล้วจดเป็นตารางง่าย ๆ
2. เขียนประกาศความเป็นส่วนตัวฉบับสั้น ภาษาที่ลูกค้าอ่านเข้าใจ ไม่ใช้ศัพท์กฎหมายเยอะเกินไป
3. ติดตั้งระบบขอความยินยอมคุกกี้บนเว็บไซต์ ให้เลือกปฏิเสธคุกกี้ที่ไม่จำเป็นได้ง่ายเท่ากับการกดยอมรับ
4. กำหนดว่าใครในทีมเข้าถึงสำเนาบัตรประชาชนและข้อมูลการเงินของลูกค้าได้บ้าง
5. ตั้งระยะเวลาลบข้อมูลของลีดที่ไม่ได้ซื้อหรือเช่าหลังผ่านไปช่วงเวลาหนึ่ง เช่น 12-24 เดือน
6. เตรียมช่องทางให้ลูกค้าติดต่อขอใช้สิทธิ เช่น ขอลบข้อมูลหรือขอเข้าถึงข้อมูลของตัวเอง

แนวทางนี้เป็นจุดเริ่มต้นที่ทำได้จริงในทีมเล็ก และควรทำให้เสร็จก่อนขยายไปสู่ระบบที่ซับซ้อนขึ้น เพราะการมีพื้นฐานที่ถูกต้องช่วยลดความเสี่ยงจากการรั่วไหลของข้อมูลลูกค้าที่เป็นสินทรัพย์สำคัญของธุรกิจ

อ่านต่อแบบละเอียดตามหัวข้อ

คู่มือนี้เป็นภาพรวมเบื้องต้น หากต้องการลงมือทำจริงแบบเป็นขั้นตอน อ่านต่อได้ที่ วิธีวางระบบ PDPA สำหรับอสังหาริมทรัพย์แบบเป็นขั้นตอน หรือถ้าต้องการเช็กด่วนว่าเว็บไซต์ตัวเองขาดอะไรบ้าง ใช้ เช็กลิสต์ PDPA สำหรับอสังหาริมทรัพย์ ประกอบ ส่วนทีมที่เคยวางระบบไว้แล้วและต้องการทบทวนอย่างเป็นทางการ แนะนำ วิธี Audit PDPA สำหรับอสังหาริมทรัพย์ และหากต้องการรู้ว่าปี 2026 มีอะไรเปลี่ยนแปลงที่ควรทบทวนเพิ่ม อ่าน อัปเดต PDPA สำหรับอสังหาริมทรัพย์ ปี 2026 เพิ่มเติมได้ นอกจากนี้ยังสามารถดูภาพรวมพื้นฐานด้านความน่าเชื่อถือของเว็บไซต์ธุรกิจได้ที่ ศูนย์ความรู้ Business, Industry & SEO

บทบาทของผู้ควบคุมข้อมูลในธุรกิจอสังหาริมทรัพย์

ในทางปฏิบัติ ธุรกิจอสังหาริมทรัพย์ SME มักสวมบทบาทเป็นผู้ควบคุมข้อมูลส่วนบุคคล (Data Controller) เพราะเป็นผู้ตัดสินใจว่าจะเก็บข้อมูลอะไร เก็บไปทำไม และส่งต่อให้ใคร ส่วนผู้ให้บริการภายนอกอย่างบริษัทรับทำเว็บไซต์ ระบบ CRM หรือผู้ดูแลระบบ LINE OA ที่เข้าถึงข้อมูลลูกค้าตามคำสั่งของธุรกิจ จะมีสถานะเป็นผู้ประมวลผลข้อมูล (Data Processor) เจ้าของกิจการควรตรวจสอบว่าผู้ให้บริการเหล่านี้มีมาตรการดูแลข้อมูลที่เหมาะสมหรือไม่ เช่น มีการเข้ารหัสข้อมูลระหว่างส่ง มีระบบสำรองข้อมูล และจำกัดสิทธิ์การเข้าถึงเฉพาะพนักงานที่เกี่ยวข้อง

สำหรับโครงการที่มีนายหน้าอิสระหลายคนช่วยขาย ควรกำหนดให้ชัดว่านายหน้าแต่ละคนเข้าถึงข้อมูลลูกค้าได้เฉพาะรายที่ตัวเองดูแล ไม่ใช่เปิดสิทธิ์ให้เห็นฐานข้อมูลลูกค้าทั้งหมดของบริษัท เพราะยิ่งจำนวนคนเข้าถึงมากเท่าไหร่ ความเสี่ยงที่ข้อมูลจะรั่วไหลออกไปนอกองค์กรก็ยิ่งสูงขึ้นตามไปด้วย

การส่งต่อข้อมูลให้บุคคลที่สามที่พบบ่อยในธุรกิจนี้

วงจรการขายอสังหาริมทรัพย์มักเกี่ยวข้องกับบุคคลที่สามหลายฝ่ายมากกว่าธุรกิจค้าปลีกทั่วไป ตัวอย่างที่พบบ่อยได้แก่การส่งเอกสารรายได้ของลูกค้าให้ธนาคารเพื่อยื่นขอสินเชื่อ การส่งชื่อผู้ซื้อให้นิติบุคคลอาคารชุดเพื่อขึ้นทะเบียนเจ้าของร่วม หรือการแนะนำบริษัทตกแต่งภายในที่ต้องใช้เบอร์โทรและที่อยู่ของลูกค้าในการติดต่อ ทุกจุดเหล่านี้ควรมีการแจ้งลูกค้าล่วงหน้าว่าข้อมูลจะถูกส่งต่อให้ใคร เพื่อวัตถุประสงค์อะไร และควรบันทึกไว้เป็นหลักฐานว่าลูกค้ารับทราบหรือให้ความยินยอมแล้วก่อนส่งข้อมูลออกไปจริง

ตัวอย่างการจัดการที่ทำได้จริงในทีมเล็ก

• ใช้แบบฟอร์มยินยอมส่งข้อมูลให้ธนาคารแยกต่างหากจากสัญญาจอง ระบุชื่อธนาคารที่จะส่งให้ชัดเจน
• เก็บสำเนาบัตรประชาชนในโฟลเดอร์ที่ตั้งรหัสผ่าน ไม่ฝากไว้ในแชตกลุ่มไลน์ของทีมขาย
• ทำบันทึกสั้น ๆ ว่าส่งข้อมูลลูกค้ารายใดให้บุคคลที่สามรายใด วันที่เท่าไหร่ เพื่อย้อนตรวจสอบได้ภายหลัง

การเก็บรักษาและกำหนดอายุของข้อมูลลูกค้า

เว็บไซต์อสังหาริมทรัพย์จำนวนมากมีปัญหาคล้ายกันคือเก็บข้อมูลลีดสะสมไว้ในสเปรดชีตหรือระบบ CRM โดยไม่เคยลบทิ้งเลย แม้ลูกค้าจะปฏิเสธการซื้อไปแล้วหลายปี การกำหนดอายุของข้อมูลจึงเป็นเรื่องที่ SME ควรทำตั้งแต่ต้น เช่น ลีดที่ไม่ตอบรับการติดต่อภายใน 12 เดือน ให้ลบหรือย้ายไปเก็บแบบไม่ระบุตัวตน ส่วนข้อมูลของลูกค้าที่ซื้อหรือเช่าสำเร็จแล้ว อาจต้องเก็บไว้นานกว่านั้นตามข้อกำหนดทางบัญชีและภาษี แต่ควรจำกัดสิทธิ์การเข้าถึงให้แคบลงเมื่อธุรกรรมเสร็จสิ้นแล้ว

ข้อผิดพลาดที่พบบ่อยในธุรกิจอสังหาริมทรัพย์

• เก็บสำเนาบัตรประชาชนผ่านฟอร์มออนไลน์ที่ไม่มีการเข้ารหัส แล้วส่งต่อทางอีเมลธรรมดา
• ใช้ฟอร์มเดียวกันเก็บทั้งข้อมูลนัดชมโครงการและสมัครรับข่าวสาร โดยไม่มีช่องติ๊กแยกความยินยอม
• ไม่มีการกำหนดว่าข้อมูลลีดที่ไม่ปิดการขายจะถูกลบเมื่อไหร่ ปล่อยให้สะสมในสเปรดชีตไม่มีวันหมดอายุ
• แชร์ข้อมูลลูกค้าให้ธนาคารหรือบริษัทตกแต่งภายในโดยไม่ได้แจ้งลูกค้าล่วงหน้า
• ไม่มีประกาศความเป็นส่วนตัวบนเว็บไซต์ หรือมีแต่คัดลอกมาจากธุรกิจประเภทอื่นที่ไม่ตรงกับสิ่งที่ตัวเองเก็บจริง

เตรียมทีมขายให้พร้อมรับมือกับข้อมูลลูกค้า

ต่อให้เว็บไซต์ทำประกาศความเป็นส่วนตัวไว้ดีแค่ไหน แต่ถ้าทีมขายหน้างานยังส่งสำเนาบัตรประชาชนลูกค้าผ่านแชตส่วนตัวหรือถ่ายรูปเก็บไว้ในมือถือของตัวเอง ความเสี่ยงก็ยังคงอยู่เหมือนเดิม เจ้าของธุรกิจอสังหาริมทรัพย์ขนาดเล็กจึงควรกันเวลาสัก 30-45 นาทีต่อไตรมาสเพื่อทบทวนกับทีมขายว่าข้อมูลลูกค้าควรถูกเก็บที่ไหน ส่งต่อผ่านช่องทางใดที่ปลอดภัย และห้ามทำอะไรบ้าง เช่น ห้ามส่งสำเนาบัตรประชาชนผ่านไลน์ส่วนตัว ห้ามดาวน์โหลดฐานข้อมูลลูกค้าออกไปเก็บในโน้ตบุ๊กส่วนตัวที่ไม่มีรหัสผ่าน

ทีมขายที่เข้าใจเหตุผลเบื้องหลังกฎเหล่านี้ มักปฏิบัติตามได้ดีกว่าทีมที่แค่ได้รับคำสั่งลอย ๆ ว่าห้ามทำ เพราะเมื่อรู้ว่าข้อมูลลูกค้าที่รั่วไหลอาจกระทบความไว้วางใจและชื่อเสียงของโครงการโดยตรง พนักงานขายจะระมัดระวังมากขึ้นโดยธรรมชาติ นอกจากนี้การมีตัวอย่างเหตุการณ์จริงจากข่าวหรือกรณีศึกษาในอุตสาหกรรมมาเล่าให้ทีมฟังก็ช่วยให้เข้าใจง่ายกว่าการอ่านเอกสารกฎหมายล้วน ๆ

งบประมาณและเครื่องมือที่ SME ใช้ได้จริง

ธุรกิจอสังหาริมทรัพย์ขนาดเล็กไม่จำเป็นต้องซื้อซอฟต์แวร์จัดการความยินยอมราคาแพงตั้งแต่วันแรก เริ่มจากปลั๊กอินจัดการคุกกี้ฟรีหรือราคาประหยัดที่รองรับเว็บไซต์ WordPress หรือ Wix ที่ใช้อยู่ก่อนได้ ส่วนการเก็บเอกสารลูกค้าอย่างสำเนาบัตรประชาชนและหลักฐานการเงิน แนะนำให้ใช้บริการคลาวด์ที่ตั้งรหัสผ่านและจำกัดสิทธิ์การเข้าถึงเป็นรายบุคคล แทนการเก็บไว้ในโฟลเดอร์ที่ทุกคนในทีมเปิดดูได้ ส่วนฟอร์มบนเว็บไซต์ควรเลือกผู้ให้บริการที่ระบุชัดเจนว่าข้อมูลถูกส่งผ่านการเข้ารหัสและเก็บอยู่ที่ใด

สรุป

PDPA สำหรับธุรกิจอสังหาริมทรัพย์ขนาดเล็กและกลางไม่ใช่เรื่องที่ต้องรอให้มีทีมกฎหมายก่อนถึงจะเริ่มได้ จุดเริ่มต้นที่สำคัญที่สุดคือรู้ว่าเว็บไซต์และทีมขายเก็บข้อมูลอะไรจริง ๆ แล้วค่อยจัดระเบียบเรื่องการแจ้งวัตถุประสงค์ ความยินยอม และการเก็บรักษาข้อมูลอ่อนไหวอย่างสำเนาบัตรประชาชนให้รัดกุมขึ้นทีละขั้น เมื่อพื้นฐานแน่นแล้วจึงค่อยขยับไปทำ audit หรือทบทวนตามรอบที่กำหนดไว้

แหล่งข้อมูลอ้างอิง

ข้อมูลในบทความนี้อ้างอิงแนวทางทั่วไปจากสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (PDPC) เจ้าของเว็บไซต์ควรติดตามประกาศและแนวปฏิบัติล่าสุดจากหน่วยงานโดยตรงเพื่อความถูกต้องตามบริบทธุรกิจของตนเอง