เช็กลิสต์ PDPA สำหรับ SME สำหรับร้านค้าออนไลน์และ E-commerce: ต้องตรวจอะไรบ้างก่อนเปิดใช้งาน

เช็กลิสต์นี้ตอบคำถามเดียวคือ ก่อนเปิดใช้งานหน้าชำระเงินใหม่ แคมเปญการตลาดใหม่ หรือระบบเชื่อมต่อผู้ให้บริการภายนอกรายใหม่ ร้านค้าออนไลน์ขนาด SME ต้องตรวจอะไรบ้างเพื่อไม่ให้เกิดช่องว่างเรื่องข้อมูลส่วนบุคคล บทความนี้รวมรายการตรวจที่ทำได้เองภายในทีมเล็ก แบ่งตามสามจังหวะที่มักเปิดใช้งานระบบใหม่ พร้อมตัวอย่าง Evidence ที่ควรเก็บคู่กันไว้

ร้านค้าออนไลน์ที่เปิดหน้าชำระเงินใหม่ เริ่มแคมเปญโฆษณาใหม่ หรือต่อระบบกับผู้ให้บริการภายนอกรายใหม่ โดยไม่เช็กเรื่องข้อมูลส่วนบุคคลก่อน มักไม่รู้ตัวว่าพลาดตรงไหนจนกว่าจะมีเหตุการณ์จริงเกิดขึ้น เช่น ลูกค้าโทรมาต่อว่าเรื่องได้รับ SMS โปรโมชันทั้งที่ไม่เคยกดยินยอมตอนสมัครสมาชิก หรือผู้ให้บริการชำระเงินขอเอกสารยืนยันการดูแลข้อมูลลูกค้าก่อนจะอนุมัติวงเงินที่สูงขึ้น ปัญหาลักษณะนี้ตรวจเจอได้ล่วงหน้าด้วยเช็กลิสต์ที่ทำก่อนกดเปิดใช้งานจริง ไม่ใช่มานั่งไล่แก้หลังจากมีเรื่องแล้ว

เช็กลิสต์นี้เขียนสำหรับเจ้าของร้านหรือทีมเล็กที่ไม่มีแผนกกฎหมายแยกต่างหาก แบ่งตามสามจังหวะที่ร้านค้าออนไลน์มักเปิดระบบใหม่ คือ ก่อนเปิดหน้าชำระเงินหรือระบบสั่งซื้อใหม่ ก่อนเริ่มแคมเปญการตลาดที่เก็บข้อมูลลูกค้าเพิ่ม และก่อนต่อระบบกับผู้ให้บริการภายนอกรายใหม่ แต่ละข้อในเช็กลิสต์เป็นสิ่งที่ตรวจเองได้ภายในเวลาไม่กี่ชั่วโมง ไม่ต้องรอนัดที่ปรึกษากฎหมายก่อนถึงจะเริ่มได้

ทำไมต้องเช็กก่อนเปิดใช้งาน ไม่ใช่หลังจากเปิดไปแล้ว

ระบบที่เปิดใช้งานแล้วแก้ยากกว่าระบบที่ยังไม่เปิด เมื่อหน้าชำระเงินใหม่เริ่มรับออเดอร์จริง ข้อมูลลูกค้าจะไหลเข้าระบบทันที ถ้าฟอร์มเก็บข้อมูลเกินจำเป็น เช่น ขอวันเกิดลูกค้าทั้งที่ไม่ได้ใช้ทำโปรโมชันวันเกิดจริง การแก้ไขภายหลังต้องไปตามลบข้อมูลที่เก็บไปแล้วด้วย ไม่ใช่แค่แก้ฟอร์ม เช่นเดียวกับแคมเปญการตลาดที่เริ่มยิงไปแล้วพบว่าใช้เบอร์โทรลูกค้าที่ยังไม่เคยยินยอมรับข่าวสาร การถอนแคมเปญกลางคันทำให้เสียทั้งงบและความน่าเชื่อถือกับลูกค้าที่ร้องเรียนมาก่อน

ผู้ให้บริการชำระเงินและระบบขนส่งหลายรายเริ่มขอดูว่าร้านมีมาตรการดูแลข้อมูลลูกค้าอย่างไรก่อนจะอนุมัติวงเงินที่สูงขึ้นหรือเปิดฟีเจอร์ใหม่ให้ใช้ ร้านที่ตรวจตัวเองไว้ก่อนแล้วตอบคำถามพวกนี้ได้เร็วกว่าร้านที่ต้องมานั่งไล่หาคำตอบตอนถูกถามกะทันหัน การเช็กก่อนเปิดใช้งานจึงไม่ใช่แค่เรื่องความเรียบร้อยภายใน แต่ส่งผลต่อความเร็วในการทำธุรกิจต่อจริงด้วย

เช็กลิสต์ PDPA ก่อนเปิดใช้งานสำหรับร้านค้าออนไลน์ SME

ก่อนเปิดหน้าชำระเงินหรือระบบสั่งซื้อใหม่

1. ไล่รายการช่องกรอกข้อมูลในฟอร์มสั่งซื้อทีละช่อง ถามตัวเองว่าแต่ละช่องจำเป็นต่อการส่งของและออกใบเสร็จจริงหรือไม่ ถ้าช่องไหนไม่จำเป็น เช่น เพศหรือวันเกิดที่ไม่ได้ใช้ทำอะไรต่อ ให้ตัดออกก่อนเปิดใช้งาน
2. เช็กว่าข้อความ Consent ที่แสดงตอนสั่งซื้อครอบคลุมสิ่งที่ระบบทำจริง ถ้าระบบใหม่ส่งข้อมูลลูกค้าไปยังผู้ให้บริการชำระเงินหรือระบบขนส่งเจ้าใหม่ ข้อความที่ลูกค้าเห็นต้องพูดถึงการส่งต่อข้อมูลนี้ด้วย ไม่ใช่ใช้ข้อความเดิมที่เขียนไว้ตั้งแต่ตอนเปิดร้านครั้งแรก
3. ตรวจว่าเลขบัตรประชาชนหรือข้อมูลสำหรับออกใบกำกับภาษีถูกเก็บแยกจากฐานข้อมูลลูกค้าทั่วไป ไม่ควรให้พนักงานทุกคนที่ดูแลออเดอร์เข้าถึงข้อมูลชุดนี้ได้เท่ากับข้อมูลที่อยู่จัดส่งทั่วไป
4. ทดสอบว่าใบเสร็จหรืออีเมลยืนยันคำสั่งซื้อไม่แนบข้อมูลลูกค้ารายอื่นมาด้วย ปัญหานี้เกิดบ่อยเวลาระบบใหม่ยังตั้งค่าเทมเพลตอีเมลไม่เสร็จ ลองสั่งซื้อทดสอบเองก่อนเปิดใช้งานจริงกับลูกค้า
5. ยืนยันว่ามีคนในทีมรับผิดชอบตอบคำถามลูกค้าเรื่องข้อมูลส่วนบุคคลจากช่องทางนี้โดยเฉพาะ ถ้าหน้าชำระเงินใหม่แยกจากระบบเดิม ต้องรู้ชัดว่าคำถามลูกค้าที่มาจากช่องทางนี้ส่งต่อไปที่ใคร

ก่อนเริ่มแคมเปญการตลาดหรือ Retargeting

1. เช็กแหล่งที่มาของรายชื่อลูกค้าที่จะใช้ยิงแคมเปญ ลูกค้าที่มาจากมาร์เก็ตเพลสภายนอกอาจไม่เคยยินยอมให้ร้านติดต่อโดยตรงนอกแพลตฟอร์ม ต้องแยกรายชื่อกลุ่มนี้ออกก่อนนำไปยิงแคมเปญทางอีเมลหรือ SMS
2. ตรวจว่าปุ่มยกเลิกรับข่าวสารในแคมเปญทำงานได้จริง ทดสอบด้วยตัวเองก่อนส่งแคมเปญจริง ถ้าลูกค้ากดยกเลิกแล้วยังได้รับข้อความรอบถัดไป นี่คือช่องว่างที่ต้องแก้ก่อนเปิดใช้งาน
3. เช็กว่าพิกเซลติดตามหรือโค้ดวิเคราะห์พฤติกรรมตัวใหม่ที่ติดตั้งเพิ่มไม่ได้ส่งข้อมูลเกินจำเป็นออกไปนอกเว็บ ปลั๊กอินการตลาดบางตัวเก็บข้อมูลมากกว่าที่แคมเปญต้องใช้จริงโดยไม่มีใครสังเกต
4. ยืนยันว่าข้อความโฆษณาที่ใช้ข้อมูลอ่อนไหว เช่น ประวัติการซื้อสินค้าสุขภาพ ไม่ถูกนำไปแสดงในลักษณะที่ระบุตัวลูกค้าคนอื่นเห็นได้ เช่น โฆษณา Retargeting ที่แสดงชื่อสินค้าเฉพาะเจาะจงบนอุปกรณ์ที่ใช้ร่วมกันในบ้าน

ก่อนต่อระบบกับผู้ให้บริการภายนอกรายใหม่

1. อ่านเงื่อนไขการใช้ข้อมูลของผู้ให้บริการรายใหม่ก่อนเชื่อมต่อระบบ โดยเฉพาะข้อที่พูดถึงว่าเขาจะใช้ข้อมูลลูกค้าของร้านไปทำอะไรได้บ้างนอกเหนือจากงานที่จ้างไว้
2. ส่งเฉพาะข้อมูลที่จำเป็นต่องานของผู้ให้บริการรายนั้นจริง เช่น ระบบขนส่งต้องการชื่อ ที่อยู่ และเบอร์โทร ไม่จำเป็นต้องได้รับอีเมลหรือประวัติการสั่งซื้อทั้งหมดไปด้วย
3. ตรวจว่าการเชื่อมต่อระบบใหม่ไม่เปิดสิทธิ์ให้ผู้ให้บริการรายนั้นดึงข้อมูลย้อนหลังทั้งหมดโดยไม่จำเป็น การตั้งค่า API บางตัวเปิดสิทธิ์อ่านข้อมูลกว้างเกินกว่าที่งานต้องใช้โดยค่าเริ่มต้น
4. บันทึกไว้ว่าผู้ให้บริการรายใหม่แต่ละรายรับข้อมูลอะไรไปบ้างและตั้งแต่วันที่เท่าไหร่ เพื่อให้ตอบได้ทันทีถ้ามีคำถามเข้ามาภายหลังว่าร้านส่งข้อมูลลูกค้าให้ใครไปบ้าง

ก่อนเปิดช่องทางแชทหรือบริการลูกค้าช่องทางใหม่

1. เช็กว่าแอปแชทหรือระบบตอบลูกค้าอัตโนมัติตัวใหม่เก็บประวัติสนทนาไว้นานแค่ไหน ถ้าตั้งค่าเริ่มต้นเก็บไว้ไม่มีกำหนด ให้ปรับเป็นระยะเวลาที่ร้านกำหนดเองก่อนเปิดใช้งานจริงกับลูกค้า
2. แจ้งทีมแอดมินที่ตอบแชทว่าไม่ควรขอข้อมูลอ่อนไหว เช่น เลขบัตรประชาชนหรือประวัติสุขภาพ ผ่านช่องแชทถ้าไม่จำเป็นต่อการแก้ปัญหาจริง และถ้าจำเป็นต้องขอจริง ให้มีขั้นตอนลบข้อมูลนั้นออกจากประวัติแชทหลังจบเรื่องแล้ว

ตัวอย่าง Evidence ที่ควรเก็บคู่กับแต่ละข้อในเช็กลิสต์

เช็กลิสต์ที่ทำเสร็จแล้วควรทิ้งร่องรอยไว้เป็นหลักฐาน ไม่ใช่แค่ติ๊กถูกในหัวแล้วจบ ตารางด้านล่างสรุปตัวอย่างหลักฐานที่ควรเก็บในแต่ละจังหวะ

จังหวะที่ตรวจ	Evidence ที่ควรเก็บ
ก่อนเปิดหน้าชำระเงินใหม่	ภาพหน้าจอฟอร์มสั่งซื้อพร้อมรายการช่องกรอกที่ตัดออก และข้อความ Consent เวอร์ชันที่ใช้จริง
ก่อนเริ่มแคมเปญการตลาด	รายชื่อกลุ่มลูกค้าที่แยกตามแหล่งที่มา พร้อมผลทดสอบปุ่มยกเลิกรับข่าวสาร
ก่อนต่อระบบผู้ให้บริการภายนอก	สำเนาเงื่อนไขการใช้ข้อมูลของผู้ให้บริการ และบันทึกวันที่เริ่มส่งข้อมูลให้

เก็บไฟล์เหล่านี้ไว้ในโฟลเดอร์เดียวตามชื่อระบบหรือแคมเปญที่เปิดใช้งาน เพื่อให้ย้อนดูได้ง่ายว่าตอนเปิดใช้งานแต่ละครั้งตรวจอะไรไปแล้วบ้าง

ข้อผิดพลาดที่พบบ่อยเมื่อใช้เช็กลิสต์นี้

• ใช้เช็กลิสต์เฉพาะตอนเปิดร้านครั้งแรก แต่ไม่หยิบมาใช้ซ้ำเวลาเปิดหน้าชำระเงินหรือแคมเปญใหม่ในภายหลัง
• ตรวจแค่หน้าเว็บหลักแต่ลืมตรวจ Landing Page เฉพาะกิจที่ทีมการตลาดสร้างแยกไว้สำหรับแคมเปญเดียว
• เข้าใจว่าผู้ให้บริการชำระเงินหรือระบบขนส่งดูแลเรื่องข้อมูลให้ครบแล้ว จึงข้ามการอ่านเงื่อนไขการใช้ข้อมูลของเขาเอง
• ทดสอบปุ่มยกเลิกรับข่าวสารเพียงครั้งเดียวตอนสร้างระบบ แต่ไม่ทดสอบซ้ำเมื่อเปลี่ยนแพลตฟอร์มส่งอีเมลใหม่
• เช็กลิสต์เสร็จแล้วไม่เก็บภาพหน้าจอหรือบันทึกใดๆ ไว้ ทำให้ตอบคำถามย้อนหลังไม่ได้เมื่อมีคนถามภายหลัง

สรุป: เช็กลิสต์นี้ใช้ทุกครั้งที่ระบบเปลี่ยน ไม่ใช่ใช้ครั้งเดียวตอนเปิดร้าน

ร้านค้าออนไลน์ขนาด SME ที่ใช้เช็กลิสต์นี้ได้ผลจริง มักไม่ใช่ร้านที่ทำครบทุกข้อในครั้งแรกที่สุด แต่คือร้านที่หยิบเช็กลิสต์นี้กลับมาใช้ทุกครั้งที่มีการเปิดระบบใหม่ ไม่ว่าจะเป็นหน้าชำระเงิน แคมเปญการตลาด หรือผู้ให้บริการภายนอกรายใหม่ ทำแบบนี้เรื่อยๆ ช่องว่างที่เคยพลาดในรอบก่อนจะค่อยๆ ลดลง ดูภาพรวมการวางระบบ PDPA สำหรับร้านค้าออนไลน์เพิ่มเติมได้ที่ คู่มือ PDPA สำหรับ SME ร้านค้าออนไลน์ และวิธีตรวจสอบแบบเป็นรอบได้ที่ วิธี Audit PDPA สำหรับ SME ร้านค้าออนไลน์ หรือดูหมวดความรู้ทั้งหมดที่ Business, Industry & SEO

แหล่งข้อมูลอ้างอิง

เช็กลิสต์ในบทความนี้อ้างอิงแนวปฏิบัติจากสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (PDPC) ควรตรวจสอบแนวทางล่าสุดจากเว็บไซต์ทางการก่อนนำไปปรับใช้จริง เพราะรายละเอียดปลีกย่อยของแนวปฏิบัติอาจมีการปรับปรุงเป็นระยะ ทีมงานที่รับผิดชอบเรื่องนี้ควรกลับมาอ่านหน้าประกาศของ PDPC อย่างน้อยปีละสองครั้ง โดยเฉพาะก่อนเปิดระบบชำระเงินหรือแคมเปญขนาดใหญ่ที่กระทบข้อมูลลูกค้าจำนวนมาก แต่ละร้านควรปรับรายการในเช็กลิสต์ตามระบบจริงของตัวเอง เพราะจุดเก็บข้อมูลของแต่ละร้านไม่เหมือนกันทั้งหมด