เช็กลิสต์ PDPA สำหรับ SME สำหรับเอเจนซีและฟรีแลนซ์ทำเว็บไซต์: ต้องตรวจอะไรบ้างก่อนเปิดใช้งาน

เช็กลิสต์ PDPA สำหรับ SME ที่เป็นเอเจนซีหรือฟรีแลนซ์ควรครอบคลุมอย่างน้อย 8 จุด ตั้งแต่แบนเนอร์คุกกี้ที่ใช้งานได้จริง ไปจนถึงสัญญากับลูกค้าที่ระบุบทบาทผู้ควบคุมข้อมูลกับผู้ประมวลผลข้อมูลให้ชัดเจน ทีมเล็กไม่จำเป็นต้องมีระบบใหญ่โต แต่ต้องมีหลักฐานว่าตรวจแล้วทุกจุดก่อนส่งมอบงานจริง

เอเจนซีขนาดเล็กหลายทีมเข้าใจว่าการทำ PDPA คือแค่หาปลั๊กอินคุกกี้แบนเนอร์มาติดตั้งให้ลูกค้า แล้วก็ถือว่าจบงาน ความเข้าใจนี้ผิดตรงจุดสำคัญ เพราะเมื่อเอเจนซีรับงานพัฒนาเว็บไซต์ที่มีฟอร์มติดต่อ ระบบสมัครสมาชิก หรือระบบเก็บอีเมลลูกค้าให้กับลูกค้าของตัวเอง เอเจนซีมักสวมบทบาททั้งเป็นผู้ให้คำแนะนำด้านเทคนิคและบางครั้งเป็นผู้ประมวลผลข้อมูลแทนลูกค้าไปพร้อมกัน แบนเนอร์คุกกี้ที่สวยงามแต่ไม่ผูกกับการตั้งค่าจริงในระบบวิเคราะห์เว็บ หรือฟอร์มที่เก็บอีเมลโดยไม่มีข้อความอธิบายวัตถุประสงค์ ล้วนเป็นช่องโหว่ที่ทีมเล็กมักมองข้ามเพราะรีบส่งมอบงานตามกำหนดเวลา

ทำไมเช็กลิสต์ของเอเจนซีเล็กถึงต่างจากองค์กรใหญ่

องค์กรใหญ่มักมีทีมกฎหมายและ DPO เต็มเวลาที่ทำเอกสารประเมินความเสี่ยงยาวหลายสิบหน้า แต่เอเจนซีหรือฟรีแลนซ์ที่มีทีมสองถึงห้าคนไม่มีทรัพยากรแบบนั้น สิ่งที่ทำได้จริงคือการมีเช็กลิสต์สั้นที่ตรวจซ้ำได้ทุกโปรเจกต์ และเก็บหลักฐานการตรวจไว้เป็นไฟล์หรือสเปรดชีตง่ายๆ แทนเอกสารนโยบายหนาๆ ที่ไม่มีใครอ่าน เป้าหมายคือทำสิ่งที่จำเป็นให้ครบและตรวจสอบซ้ำได้ ไม่ใช่ทำทุกอย่างที่ตำราองค์กรใหญ่แนะนำ

เช็กลิสต์ 8 ข้อก่อนเปิดใช้งานเว็บไซต์ลูกค้า

1. แบนเนอร์คุกกี้แสดงผลก่อนสคริปต์ติดตามพฤติกรรมจะทำงาน ไม่ใช่แสดงพร้อมกันหรือหลัง
2. มีตัวเลือกให้ปฏิเสธคุกกี้ที่ไม่จำเป็นได้ง่ายพอๆ กับตัวเลือกยอมรับ ไม่ซ่อนปุ่มปฏิเสธไว้ในเมนูย่อย
3. ฟอร์มติดต่อและฟอร์มสมัครสมาชิกมีข้อความสั้นๆ บอกวัตถุประสงค์ของการเก็บข้อมูล เช่น เก็บอีเมลเพื่อติดต่อกลับเท่านั้น
4. มีหน้านโยบายความเป็นส่วนตัวที่เขียนขึ้นเฉพาะสำหรับเว็บไซต์นั้น ไม่ใช่คัดลอกจากเว็บอื่นทั้งดุ้น
5. สัญญาหรือใบเสนองานกับลูกค้าระบุชัดว่าใครเป็นผู้ควบคุมข้อมูลและใครเป็นผู้ประมวลผลข้อมูลแทน
6. มีสเปรดชีตบันทึกว่าเว็บไซต์ของลูกค้ารายไหนเก็บข้อมูลประเภทใดบ้าง และส่งต่อให้บริการภายนอกใดบ้าง เช่น อีเมลมาร์เกตติ้งหรือระบบชำระเงิน
7. มีช่องทางที่ผู้ใช้ปลายทางติดต่อขอลบหรือแก้ไขข้อมูลได้ พร้อมระบุว่าใครในทีมเป็นคนรับเรื่อง
8. ทดสอบว่าปุ่มยกเลิกความยินยอมหรือลบข้อมูลทำงานได้จริงก่อนส่งมอบ ไม่ใช่แค่มีปุ่มแต่กดแล้วไม่มีอะไรเกิดขึ้น

ข้อมูลอะไรบ้างที่เอเจนซีเว็บไซต์มักเก็บโดยไม่รู้ตัว

นอกจากอีเมลจากฟอร์มติดต่อ เอเจนซีที่ติดตั้งระบบวิเคราะห์เว็บมักดึงข้อมูล IP address พฤติกรรมการคลิก และบางครั้งข้อมูลตำแหน่งโดยประมาณของผู้เข้าชม หากเว็บไซต์มีระบบตะกร้าสินค้าหรือระบบสมาชิก ข้อมูลที่อยู่จัดส่งและเบอร์โทรก็ถูกเก็บเพิ่มเข้ามาโดยอัตโนมัติผ่านปลั๊กอินอีคอมเมิร์ซ ทีมเล็กควรเปิดดูปลั๊กอินและสคริปต์ที่ติดตั้งจริงในเว็บไซต์แต่ละโปรเจกต์อย่างน้อยปีละครั้ง เพราะปลั๊กอินหลายตัวอัปเดตแล้วเปลี่ยนพฤติกรรมการเก็บข้อมูลโดยไม่แจ้งผู้ใช้งานล่วงหน้า

สัญญากับลูกค้า จุดที่เอเจนซีขนาดเล็กมักละเลย

ประเด็นที่สำคัญไม่แพ้ตัวเว็บไซต์คือสัญญาระหว่างเอเจนซีกับลูกค้าเจ้าของธุรกิจ เพราะในหลายกรณีเอเจนซีเป็นผู้ดูแลเซิร์ฟเวอร์ ฐานข้อมูล หรือระบบส่งอีเมลแทนลูกค้า ซึ่งเข้าข่ายเป็นผู้ประมวลผลข้อมูลตามคำนิยามของ PDPA ทีมเล็กควรมีข้อตกลงเป็นลายลักษณ์อักษรอย่างน้อยระบุว่าเอเจนซีจะจัดเก็บข้อมูลของลูกค้าปลายทางอย่างไร จะลบข้อมูลอย่างไรเมื่อสิ้นสุดสัญญา และใครรับผิดชอบเมื่อเกิดเหตุข้อมูลรั่วไหลจากช่องโหว่ของระบบที่เอเจนซีเป็นผู้ดูแล การไม่มีข้อตกลงนี้ทำให้เวลาเกิดปัญหา ทั้งเอเจนซีและลูกค้าไม่รู้ว่าใครต้องแจ้งหน่วยงานกำกับดูแลก่อน

ข้อผิดพลาดที่พบบ่อยของเอเจนซีและฟรีแลนซ์

• ใช้เทมเพลตนโยบายความเป็นส่วนตัวจากเว็บไซต์อื่นโดยไม่แก้ไขให้ตรงกับข้อมูลจริงที่เก็บ
• ติดตั้งแบนเนอร์คุกกี้แต่ไม่ผูกกับสคริปต์ติดตามจริง ทำให้สคริปต์ทำงานก่อนผู้ใช้กดยินยอม
• ไม่มีเอกสารตกลงบทบาทกับลูกค้า ทำให้ไม่ชัดว่าใครรับผิดชอบเมื่อเกิดเหตุ
• ลืมตรวจปลั๊กอินอีคอมเมิร์ซหรือระบบสมาชิกที่อัปเดตแล้วเริ่มเก็บข้อมูลเพิ่มโดยไม่รู้ตัว
• ไม่มีช่องทางให้ผู้ใช้ปลายทางติดต่อขอลบข้อมูล หรือมีแต่ไม่มีใครในทีมรับผิดชอบตอบกลับ

ตัวอย่างสถานการณ์ที่ทีมเล็กเจอบ่อย

ลองนึกภาพทีมฟรีแลนซ์สามคนรับงานทำเว็บไซต์ให้คลินิกความงามแห่งหนึ่ง เว็บไซต์มีฟอร์มจองคิวที่เก็บชื่อ เบอร์โทร และบางครั้งมีช่องให้กรอกอาการที่ต้องการปรึกษา ฟรีแลนซ์ติดตั้งแบนเนอร์คุกกี้ตามที่เคยใช้กับโปรเจกต์ร้านค้าออนไลน์ทั่วไป แต่ลืมตรวจว่าฟอร์มจองคิวส่งข้อมูลอาการที่กรอกไปเก็บในสเปรดชีตกลางที่พนักงานทุกคนของคลินิกเข้าถึงได้ ทั้งที่ข้อมูลสุขภาพเป็นข้อมูลอ่อนไหวที่ควรจำกัดสิทธิ์การเข้าถึงให้แคบกว่านั้น กรณีแบบนี้แสดงให้เห็นว่าเช็กลิสต์ทั่วไปอย่างเดียวไม่พอ ต้องมีขั้นตอนเฉพาะสำหรับตรวจว่าข้อมูลที่เก็บจากฟอร์มแต่ละประเภทไปตกอยู่ที่ใครบ้างในฝั่งลูกค้าด้วย

อีกกรณีหนึ่งคือเอเจนซีขนาดเล็กที่ดูแลเว็บไซต์ให้ลูกค้าหลายรายพร้อมกัน และใช้ปลั๊กอินฟอร์มตัวเดียวกันในทุกโปรเจกต์เพื่อความสะดวก เมื่อผู้ให้บริการปลั๊กอินอัปเดตเวอร์ชันใหม่และเริ่มส่งข้อมูลฟอร์มไปเก็บบนเซิร์ฟเวอร์ต่างประเทศของผู้ให้บริการปลั๊กอินโดยอัตโนมัติ ทีมที่ไม่มีขั้นตอนตรวจสอบการอัปเดตปลั๊กอินเป็นระยะจะไม่รู้ตัวเลยว่าข้อมูลลูกค้าของตนถูกส่งออกไปที่อื่นแล้ว การมีเช็กลิสต์ที่รวมข้อ ตรวจปลั๊กอินและบริการภายนอกทุกครั้งที่มีการอัปเดตใหญ่ จึงเป็นขั้นตอนที่ทีมเล็กมองข้ามได้ง่ายที่สุด แต่ก็เป็นขั้นตอนที่ป้องกันปัญหาใหญ่ได้มากที่สุดเช่นกัน

จะเริ่มจากศูนย์อย่างไรถ้ายังไม่เคยทำเช็กลิสต์นี้เลย

สำหรับทีมที่ยังไม่เคยมีเช็กลิสต์แบบนี้มาก่อน ขั้นแรกไม่ใช่การเขียนเอกสารนโยบายยาวๆ แต่คือการเปิดดูโปรเจกต์ที่กำลังดูแลอยู่ทั้งหมดแล้วไล่ตรวจทีละเว็บไซต์ตามแปดข้อด้านบน จดบันทึกไว้ในตารางง่ายๆ ว่าเว็บไซต์ไหนผ่านข้อไหนแล้วบ้าง เว็บไซต์ไหนยังขาดอะไร จากนั้นจัดลำดับความสำคัญโดยเริ่มจากโปรเจกต์ที่มีข้อมูลอ่อนไหวมากที่สุดก่อน เช่น เว็บไซต์คลินิกหรือเว็บไซต์ที่เก็บข้อมูลทางการเงิน ทีมที่มีเวลาจำกัดไม่จำเป็นต้องแก้ทุกโปรเจกต์พร้อมกันในสัปดาห์เดียว แต่ควรมีกำหนดเวลาที่ชัดเจนว่าโปรเจกต์แต่ละกลุ่มจะได้รับการตรวจและแก้ไขเมื่อใด

บทสรุป: เช็กลิสต์สั้นที่ใช้ซ้ำได้ดีกว่านโยบายยาวที่ไม่มีใครทำตาม

เอเจนซีและฟรีแลนซ์ไม่จำเป็นต้องเลียนแบบระบบขององค์กรใหญ่ สิ่งที่ทำได้จริงและยั่งยืนกว่าคือการมีเช็กลิสต์แปดข้อนี้ติดไว้ในทุกโปรเจกต์ ตรวจซ้ำก่อนส่งมอบงานทุกครั้ง และเก็บหลักฐานว่าตรวจแล้วไว้ในสเปรดชีตง่ายๆ เมื่อทีมโตขึ้นค่อยขยายเป็นระบบที่ซับซ้อนกว่านี้ อ่านภาพรวมทั้งหมดของแนวทาง PDPA สำหรับ SME เอเจนซีเพิ่มเติมได้ที่ คู่มือ PDPA สำหรับ SME เอเจนซี และดูขั้นตอนการวางระบบแบบละเอียดได้ที่บทความ How-to ในคลัสเตอร์เดียวกัน

เมื่อทีมโตขึ้นควรขยับจากเช็กลิสต์ไปสู่อะไร

เช็กลิสต์แปดข้อนี้เหมาะกับทีมที่มีสมาชิกไม่กี่คนและดูแลโปรเจกต์ไม่เกินสิบรายพร้อมกัน แต่เมื่อเอเจนซีเติบโตจนมีลูกค้าหลายสิบรายและมีพนักงานหลายทีมย่อย การใช้เช็กลิสต์เดียวโดยไม่มีคนรับผิดชอบตรวจสอบซ้ำจะเริ่มมีจุดหลุดมากขึ้น ขั้นถัดไปที่ทำได้โดยไม่ต้องจ้างที่ปรึกษากฎหมายราคาแพงคือการกำหนดให้มีคนหนึ่งคนต่อทีมย่อยทำหน้าที่ตรวจเช็กลิสต์นี้ก่อนส่งมอบทุกโปรเจกต์ และรวบรวมผลตรวจไว้ในระบบติดตามงานที่ทีมใช้อยู่แล้ว เช่น สเปรดชีตกลางหรือระบบจัดการโปรเจกต์ แทนที่จะปล่อยให้แต่ละคนจำเองว่าตรวจอะไรไปแล้วบ้าง วิธีนี้ไม่ต้องใช้งบประมาณเพิ่มมากนัก แต่ช่วยลดความเสี่ยงที่จะมีโปรเจกต์หลุดการตรวจสอบไปโดยไม่มีใครรู้ตัว

แหล่งข้อมูลอ้างอิง

ยึดหลักเกณฑ์และประกาศล่าสุดจากสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (PDPC) เป็นหลักในการตรวจสอบทุกครั้ง เพราะแนวปฏิบัติบางส่วนมีการปรับปรุงเป็นระยะ ทีมเล็กควรตั้งเตือนทบทวนเช็กลิสต์นี้อย่างน้อยทุกหกเดือน และดูรายละเอียดการตรวจเชิงลึกเพิ่มเติมได้ที่ ศูนย์ความรู้ธุรกิจและอุตสาหกรรม ของ trusty