วิธีวางระบบ PDPA สำหรับ SME สำหรับเอเจนซีและฟรีแลนซ์ทำเว็บไซต์แบบเป็นขั้นตอน

การวางระบบ PDPA สำหรับ SME ที่เป็นเอเจนซีหรือฟรีแลนซ์ทำได้เป็นห้าขั้นตอนหลัก คือสำรวจข้อมูลที่แต่ละโปรเจกต์เก็บจริง จัดกลุ่มตามความอ่อนไหว ตั้งค่าแบนเนอร์คุกกี้และฟอร์มให้ตรงกับสิ่งที่เก็บจริง ทำข้อตกลงบทบาทกับลูกค้าเป็นลายลักษณ์อักษร และสุดท้ายคือเปิดช่องทางรับคำขอลบข้อมูลพร้อมทดสอบว่าใช้งานได้จริงก่อนส่งมอบ

ทีมฟรีแลนซ์สองคนรับงานทำเว็บไซต์ให้ร้านเสริมสวยแห่งหนึ่งเมื่อสองปีก่อน งานเสร็จตรงเวลา ลูกค้าพอใจ ทุกอย่างดูราบรื่นจนกระทั่งเจ้าของร้านโทรมาถามว่าลูกค้าคนหนึ่งขอให้ลบข้อมูลเบอร์โทรและประวัติการจองคิวออกจากระบบ ทีมฟรีแลนซ์ทั้งสองคนถึงกับนิ่งไปพักหนึ่ง เพราะไม่เคยคิดมาก่อนว่าฟอร์มจองคิวที่ทำให้จะมีคนขอลบข้อมูลจริง และไม่รู้ว่าข้อมูลที่กรอกไปนั้นกระจายอยู่ในกี่ระบบ ทั้งสเปรดชีตสำรองที่เคยส่งให้ลูกค้าตอนทดสอบระบบ ทั้งฐานข้อมูลจริงบนเซิร์ฟเวอร์ และทั้งอีเมลแจ้งเตือนที่ระบบส่งไปหาเจ้าของร้านทุกครั้งที่มีคนจอง เหตุการณ์นี้ใช้เวลาตามหาข้อมูลอยู่เกือบสัปดาห์กว่าจะลบได้ครบทุกที่ ทั้งที่ถ้ามีการวางระบบไว้ตั้งแต่ต้น เรื่องแบบนี้จะใช้เวลาไม่ถึงหนึ่งวัน

ขั้นตอนที่ 1: สำรวจว่าเว็บไซต์แต่ละโปรเจกต์เก็บข้อมูลอะไรจริง

ก่อนจะตั้งค่าอะไรก็ตาม ต้องเริ่มจากการไล่ดูทุกฟอร์ม ทุกปลั๊กอิน และทุกสคริปต์ที่ติดตั้งอยู่ในเว็บไซต์แต่ละโปรเจกต์ แล้วจดไว้ว่าจุดไหนเก็บข้อมูลอะไรบ้าง เช่น ฟอร์มจองคิวเก็บชื่อ เบอร์โทร และบริการที่สนใจ ระบบวิเคราะห์เว็บเก็บ IP address และพฤติกรรมการคลิก ปลั๊กอินแชทเก็บบทสนทนาที่ผู้ใช้พิมพ์เข้ามา ขั้นตอนนี้ทำได้โดยไม่ต้องมีเครื่องมือพิเศษ แค่เปิดเว็บไซต์จริงแล้วลองกรอกฟอร์มเองทีละจุด พร้อมเปิด developer tools ดูว่ามีสคริปต์อะไรทำงานอยู่บ้าง สิ่งที่ต้องได้จากขั้นตอนนี้คือรายการสั้นๆ ต่อหนึ่งโปรเจกต์ ว่ามีจุดเก็บข้อมูลกี่จุด แต่ละจุดเก็บอะไร และข้อมูลไหลไปที่ระบบใดต่อบ้าง

ขั้นตอนที่ 2: จัดกลุ่มข้อมูลตามระดับความอ่อนไหว

เมื่อได้รายการจากขั้นตอนแรกแล้ว ให้แบ่งข้อมูลออกเป็นสองกลุ่มคร่าวๆ กลุ่มแรกคือข้อมูลทั่วไป เช่น ชื่อ อีเมล เบอร์โทร ที่อยู่จัดส่ง กลุ่มที่สองคือข้อมูลอ่อนไหวซึ่งกฎหมายให้ความสำคัญมากกว่า เช่น ข้อมูลสุขภาพ ศาสนา หรือประวัติอาชญากรรม ถ้าเว็บไซต์ของลูกค้ามีฟอร์มที่เก็บข้อมูลกลุ่มที่สอง เช่น คลินิกที่มีช่องให้กรอกอาการ ต้องให้ความสำคัญเป็นพิเศษกับการจำกัดว่าใครเข้าถึงข้อมูลนั้นได้บ้าง และต้องมีการขอความยินยอมที่ชัดเจนกว่าข้อมูลทั่วไป การจัดกลุ่มนี้ช่วยให้ทีมรู้ว่าโปรเจกต์ไหนต้องให้ความสำคัญเป็นอันดับแรกเมื่อมีเวลาจำกัดในการปรับปรุงระบบ

ขั้นตอนที่ 3: ตั้งค่าแบนเนอร์คุกกี้และฟอร์มให้ตรงกับสิ่งที่เก็บจริง

หลังจากรู้แล้วว่าเก็บข้อมูลอะไรบ้าง ขั้นตอนถัดไปคือทำให้สิ่งที่ผู้ใช้เห็นตรงกับสิ่งที่ระบบทำจริง แบนเนอร์คุกกี้ต้องแสดงก่อนสคริปต์ติดตามใดๆ จะเริ่มทำงาน มีตัวเลือกปฏิเสธที่มองเห็นง่ายพอกับตัวเลือกยอมรับ และรายการคุกกี้ที่แสดงต้องตรงกับสคริปต์ที่ตรวจเจอจริงในขั้นตอนที่หนึ่ง ส่วนฟอร์มทุกจุดที่เก็บข้อมูลควรมีข้อความสั้นๆ อธิบายว่าเก็บไปทำไม เช่น เก็บเบอร์โทรเพื่อยืนยันการจองคิวเท่านั้น หลักฐานที่ควรเก็บไว้ในขั้นตอนนี้คือภาพหน้าจอการตั้งค่าแบนเนอร์คุกกี้พร้อมวันที่ตั้งค่า เผื่อไว้ตรวจสอบย้อนหลังได้ว่าตั้งค่าถูกต้องตั้งแต่วันที่ส่งมอบ

ขั้นตอนที่ 4: ทำข้อตกลงบทบาทกับลูกค้าเป็นลายลักษณ์อักษร

ขั้นตอนนี้มักถูกมองข้ามมากที่สุดเพราะไม่ใช่งานด้านเทคนิค แต่สำคัญไม่แพ้กัน เพราะเมื่อเอเจนซีดูแลเซิร์ฟเวอร์หรือฐานข้อมูลแทนลูกค้า เอเจนซีเข้าข่ายเป็นผู้ประมวลผลข้อมูลตามคำนิยามของ PDPA ข้อตกลงที่ควรมีอย่างน้อยคือระบุว่าเอเจนซีจะเก็บข้อมูลของลูกค้าปลายทางไว้ที่ใด จะลบข้อมูลอย่างไรเมื่อสิ้นสุดสัญญา และเมื่อเกิดเหตุข้อมูลรั่วไหลจากช่องโหว่ที่เอเจนซีเป็นผู้ดูแล ใครมีหน้าที่แจ้งใครก่อน ข้อตกลงนี้ไม่จำเป็นต้องเป็นเอกสารกฎหมายหนาหลายหน้า อาจเป็นแค่ย่อหน้าเพิ่มเข้าไปในใบเสนองานหรือสัญญาบริการที่ใช้อยู่แล้วก็เพียงพอสำหรับทีมขนาดเล็ก ตราบใดที่ระบุประเด็นสำคัญเหล่านี้ไว้ชัดเจนเป็นลายลักษณ์อักษร

ขั้นตอนที่ 5: เปิดช่องทางรับคำขอลบข้อมูลและทดสอบก่อนส่งมอบ

ขั้นตอนสุดท้ายคือทำให้แน่ใจว่าเมื่อมีคนขอลบหรือแก้ไขข้อมูลจริง ทีมรู้ว่าต้องทำอะไรบ้าง ไม่ใช่แค่มีอีเมลหรือฟอร์มติดต่อไว้เฉยๆ ควรกำหนดว่าใครในทีมเป็นคนรับเรื่องนี้ และลองจำลองสถานการณ์คำขอลบข้อมูลหนึ่งครั้งก่อนส่งมอบเว็บไซต์จริง เพื่อดูว่าต้องเข้าไปลบข้อมูลกี่จุด ใช้เวลานานเท่าไร และมีจุดไหนที่ข้อมูลตกหล่นบ้าง เช่น สเปรดชีตสำรองที่เคยใช้ตอนทดสอบระบบซึ่งบางทีมลืมลบทิ้งไปเมื่อโปรเจกต์เสร็จแล้ว การทดสอบล่วงหน้าครั้งเดียวช่วยประหยัดเวลาได้มากเมื่อมีคำขอจริงเข้ามาในอนาคต

สิ่งที่เปลี่ยนไปสำหรับทีมฟรีแลนซ์หลังจากเหตุการณ์ร้านเสริมสวย

หลังจากเหตุการณ์ที่ต้องตามหาข้อมูลลูกค้าอยู่เกือบสัปดาห์ ทีมฟรีแลนซ์คู่นั้นเริ่มทำรายการห้าขั้นตอนนี้เป็นเอกสารสั้นๆ แนบไปกับทุกโปรเจกต์ใหม่ และยังย้อนกลับไปตรวจโปรเจกต์เก่าที่เคยส่งมอบไปแล้วทีละโปรเจกต์ในช่วงเวลาว่าง สิ่งที่พวกเขาพบคือโปรเจกต์เก่าหลายรายการยังมีสเปรดชีตทดสอบที่ไม่ได้ลบทิ้ง และบางเว็บไซต์ยังใช้แบนเนอร์คุกกี้ที่ไม่ตรงกับสคริปต์จริงที่ทำงานอยู่ การไล่ตรวจย้อนหลังใช้เวลาหลายสัปดาห์ แต่ทำให้ทีมมั่นใจมากขึ้นว่าถ้ามีคำขอลบข้อมูลเข้ามาอีกครั้ง จะจัดการได้ภายในเวลาไม่กี่ชั่วโมงแทนที่จะเป็นสัปดาห์เหมือนครั้งก่อน

เครื่องมือง่ายๆ ที่ใช้แทนระบบราคาแพงได้

ทีมเล็กมักกังวลว่าต้องซื้อซอฟต์แวร์จัดการความยินยอมราคาแพงถึงจะทำห้าขั้นตอนนี้ได้ ในความเป็นจริงทีมสองถึงห้าคนสามารถใช้เครื่องมือที่มีอยู่แล้วได้เลย เช่น ใช้สเปรดชีตออนไลน์ธรรมดาเป็นตารางบันทึกว่าโปรเจกต์ไหนเก็บข้อมูลอะไร ใช้ปลั๊กอินคุกกี้แบนเนอร์ฟรีหรือราคาถูกที่มีในตลาดอยู่แล้วแทนการพัฒนาเอง และใช้อีเมลหรือฟอร์มติดต่อธรรมดาเป็นช่องทางรับคำขอลบข้อมูล สิ่งสำคัญไม่ใช่ราคาของเครื่องมือ แต่คือวินัยในการใช้เครื่องมือเหล่านั้นให้ครบทุกโปรเจกต์อย่างสม่ำเสมอ ทีมที่มีสเปรดชีตธรรมดาแต่กรอกครบทุกโปรเจกต์ ย่อมปลอดภัยกว่าทีมที่ซื้อซอฟต์แวร์แพงแต่ใช้แค่บางโปรเจกต์

จะรู้ได้อย่างไรว่าห้าขั้นตอนนี้ทำสำเร็จแล้วจริง

วิธีตรวจสอบง่ายๆ ว่าห้าขั้นตอนนี้ทำครบแล้วจริงคือลองสุ่มหยิบโปรเจกต์ที่ทำเสร็จไปแล้วสักหนึ่งโปรเจกต์ แล้วถามตัวเองว่าตอบคำถามต่อไปนี้ได้ครบหรือไม่ เว็บไซต์นี้เก็บข้อมูลอะไรบ้างและเก็บไว้ที่ไหน แบนเนอร์คุกกี้ที่แสดงตรงกับสคริปต์ที่ทำงานจริงหรือไม่ มีข้อตกลงเป็นลายลักษณ์อักษรกับลูกค้ารายนี้เกี่ยวกับบทบาทข้อมูลหรือไม่ และถ้ามีคนขอลบข้อมูลตอนนี้ ทีมรู้หรือไม่ว่าต้องเข้าไปลบที่จุดใดบ้าง ถ้าตอบคำถามทั้งสี่ข้อนี้ได้ทันทีโดยไม่ต้องเปิดหาเอกสารนาน แสดงว่าระบบที่วางไว้ใช้งานได้จริง แต่ถ้ายังตอบไม่ได้ในบางข้อ นั่นคือจุดที่ควรกลับไปแก้ก่อนโปรเจกต์ถัดไป

ข้อผิดพลาดที่พบบ่อยระหว่างวางระบบ

• สำรวจข้อมูลเฉพาะฟอร์มหลักของเว็บไซต์ แต่ลืมตรวจสเปรดชีตสำรองหรือไฟล์ทดสอบที่เคยส่งให้ลูกค้าระหว่างพัฒนา
• ตั้งค่าแบนเนอร์คุกกี้ตามเทมเพลตเดิมโดยไม่เทียบกับสคริปต์ที่ทำงานจริงในโปรเจกต์นั้น
• ไม่มีข้อตกลงบทบาทกับลูกค้าเป็นลายลักษณ์อักษร ทำให้ไม่ชัดว่าใครรับผิดชอบเมื่อเกิดปัญหา
• มีช่องทางรับคำขอลบข้อมูลแต่ไม่เคยทดสอบว่าใช้งานได้จริงก่อนส่งมอบ
• ทำระบบครั้งเดียวตอนเริ่มโปรเจกต์แล้วไม่กลับไปตรวจซ้ำเมื่อเปลี่ยนเครื่องมือ

สิ่งที่ต้องปรับเมื่อรับงานหลายโปรเจกต์พร้อมกัน

เมื่อทีมเริ่มรับงานหลายโปรเจกต์พร้อมกันในช่วงเวลาเดียวกัน ความเสี่ยงที่จะทำห้าขั้นตอนนี้ไม่ครบในบางโปรเจกต์จะสูงขึ้นตามจำนวนงานที่รับ วิธีที่ช่วยได้คือทำรายการห้าขั้นตอนนี้เป็นแบบฟอร์มสั้นๆ แนบไปกับทุกโปรเจกต์ตั้งแต่วันแรกที่เริ่มงาน แทนที่จะจำไว้ในหัวหรือทำตามความเคยชิน เมื่อมีแบบฟอร์มที่ต้องกรอกให้ครบก่อนปิดโปรเจกต์ ทีมจะมีจุดเตือนตัวเองอัตโนมัติว่ายังเหลือขั้นตอนไหนที่ยังไม่ได้ทำ วิธีนี้ไม่ต้องใช้ซอฟต์แวร์พิเศษ อาจเป็นแค่เอกสารเดียวที่แนบอยู่ในโฟลเดอร์โปรเจกต์ทุกโปรเจกต์ก็เพียงพอ และยังช่วยให้เมื่อมีสมาชิกใหม่เข้าทีม สามารถทำตามขั้นตอนเดียวกันได้โดยไม่ต้องรอให้คนเก่าสอนด้วยปากเปล่าทุกครั้ง

บทสรุป: ห้าขั้นตอนที่ทำได้จริงโดยไม่ต้องมีทีมกฎหมาย

การวางระบบ PDPA สำหรับ SME ในบริบทเอเจนซีและฟรีแลนซ์ไม่จำเป็นต้องซับซ้อนเท่าองค์กรใหญ่ สิ่งที่จำเป็นคือทำห้าขั้นตอนนี้ให้ครบในทุกโปรเจกต์ สำรวจข้อมูลจริง จัดกลุ่มตามความอ่อนไหว ตั้งค่าให้ตรงกับสิ่งที่เก็บจริง ทำข้อตกลงกับลูกค้าเป็นลายลักษณ์อักษร และทดสอบช่องทางรับคำขอลบข้อมูลก่อนส่งมอบ ทีมที่ทำครบทั้งห้าขั้นตอนนี้จะไม่ต้องเจอสถานการณ์ตามหาข้อมูลแบบเร่งด่วนเหมือนกรณีร้านเสริมสวยที่เล่าไว้ข้างต้น ดูเช็กลิสต์สรุปแบบสั้นได้ที่ เช็กลิสต์ PDPA สำหรับ SME เอเจนซี และดูสิ่งที่ต้องทบทวนซ้ำในแต่ละปีได้ที่บทความอัปเดตประจำปีในคลัสเตอร์เดียวกัน

แหล่งข้อมูลอ้างอิง

ก่อนนำห้าขั้นตอนนี้ไปใช้กับโปรเจกต์จริง ทีมควรตรวจสอบว่าแนวปฏิบัติล่าสุดของหน่วยงานกำกับดูแลมีการปรับปรุงส่วนใดเพิ่มเติมหรือไม่ เพราะรายละเอียดปลีกย่อยบางเรื่อง เช่น รูปแบบการขอความยินยอมหรือระยะเวลาที่แนะนำให้เก็บข้อมูล อาจมีการอัปเดตเป็นระยะ การยึดแนวปฏิบัติเก่าที่เคยอ่านผ่านมาโดยไม่ตรวจซ้ำอาจทำให้พลาดรายละเอียดใหม่ที่สำคัญ ยึดแนวปฏิบัติและประกาศล่าสุดจากสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (PDPC) เป็นหลักในการตรวจสอบรายละเอียดที่เปลี่ยนแปลงได้เป็นระยะ และดูภาพรวมหมวดธุรกิจและอุตสาหกรรมเพิ่มเติมได้ที่ ศูนย์ความรู้ธุรกิจและอุตสาหกรรม ของ trusty