เช็กลิสต์ PDPA สำหรับ SME สำหรับอสังหาริมทรัพย์และธุรกิจที่เก็บ Lead: ต้องตรวจอะไรบ้างก่อนเปิดใช้งาน

โครงการอสังหาริมทรัพย์ขนาดกลางแห่งหนึ่งเปิดขายพร้อมกันสามช่องทาง คือฟอร์มจองเยี่ยมชมบนเว็บไซต์ ปุ่มแชทผ่าน LINE OA และสมุดลงทะเบียนหน้าโครงการที่เขียนด้วยมือ ทีมการตลาดตรวจ Cookie Banner เรียบร้อยแล้ว แต่ไม่มีใครตรวจว่าสมุดลงทะเบียนหน้างานที่มีเลขบัตรประชาชนของผู้เข้าชมถูกถ่ายรูปส่งเข้ากลุ่ม LINE ทีมขายทุกเย็น เช็กลิสต์นี้ไล่ตามจุดสัมผัสข้อมูลจริงแบบนี้ทีละจุด เพื่อให้ SME อสังหาริมทรัพย์ตรวจได้ครบไม่ใช่แค่จุดที่มองเห็นง่ายที่สุด

ทำไมต้องแยกตรวจทีละจุดสัมผัส

คำถามที่ทีมงานหลายแห่งถามคือ SME อสังหาริมทรัพย์ต้องตรวจจุดสัมผัสข้อมูลกี่จุด คำตอบคือขึ้นอยู่กับช่องทางที่โครงการใช้จริง แต่ส่วนใหญ่มีอย่างน้อยห้าจุดตามที่เช็กลิสต์นี้ไล่ให้ทีละข้อ เหตุผลที่ต้องแยกตรวจทีละจุดแทนที่จะตรวจแบบภาพรวม เพราะแต่ละจุดมีเจ้าของงานคนละคน ฟอร์มเว็บอยู่ในความรับผิดชอบของทีมไอทีหรือเอเจนซี่ที่ดูแลเว็บไซต์ LINE OA อยู่ในความรับผิดชอบของทีมขาย ส่วนสมุดลงทะเบียนหน้างานมักเป็นของฝ่ายต้อนรับที่โครงการ หากตรวจแบบภาพรวมโดยไม่แยกตามผู้รับผิดชอบ มักจบลงที่การตรวจเฉพาะจุดที่คนตรวจเข้าถึงได้ง่ายที่สุดเท่านั้น และปล่อยจุดอื่นไว้โดยไม่มีใครรับผิดชอบ

จุดที่ 1: ฟอร์มจองเยี่ยมชมและฟอร์มขอข้อมูลบนเว็บไซต์

ฟอร์มบนเว็บเป็นจุดที่ตรวจง่ายที่สุดเพราะอยู่ในระบบที่ทีมไอทีดูแล สิ่งที่ต้องตรวจคือฟอร์มเก็บเฉพาะข้อมูลที่จำเป็นต่อการติดต่อกลับ ไม่มีช่องเลขบัตรประชาชนหรือข้อมูลการเงินโดยไม่จำเป็น และมีข้อความยินยอมที่แยกชัดระหว่างการติดต่อกลับเรื่องที่สอบถามกับการรับข่าวสารการตลาด

• ฟอร์มเก็บชื่อ เบอร์โทร อีเมล เท่าที่จำเป็นต่อการติดต่อกลับ
• ข้อความยินยอมรับข่าวสารแยกช่องจากการติดต่อกลับเรื่องที่สอบถาม
• ปุ่มส่งฟอร์มไม่ทำงานพร้อมยิง Pixel โฆษณาไปพร้อมกันโดยไม่มีการตรวจสอบ Consent ก่อน

จุดที่ 2: LINE OA และแชทตอบลูกค้า

เมื่อลูกค้าทักผ่าน LINE OA ทีมขายมักคัดลอกเบอร์โทรและชื่อไปบันทึกในสเปรดชีตหรือส่งต่อในกลุ่มแชทภายในทันที ช่องทางนี้อยู่นอกสายตาของทีมไอทีเกือบทั้งหมด สิ่งที่ต้องตรวจคือใครมีสิทธิ์เข้าถึงประวัติแชทของลูกค้า ข้อมูลที่คัดลอกออกไปเก็บไว้ที่ไหนต่อ และมีการลบประวัติแชทเก่าตามรอบที่กำหนดหรือไม่

• กำหนดว่าพนักงานคนใดมีสิทธิ์เข้าถึงบัญชี LINE OA ของโครงการ
• ไม่คัดลอกเบอร์โทรลูกค้าไปวางในกลุ่มแชทส่วนตัวของพนักงาน
• มีรอบลบหรือเก็บถาวรประวัติแชทของลูกค้าที่ไม่ได้ปิดการขาย

จุดที่ 3: ทะเบียนเยี่ยมชมโครงการหน้างาน

สมุดลงทะเบียนหรือ Tablet ที่วางหน้าโครงการให้ผู้เข้าชมกรอกข้อมูลเป็นจุดที่ SME อสังหาริมทรัพย์มองข้ามบ่อยที่สุด เพราะไม่ใช่ระบบดิจิทัลที่ทีมไอทีดูแล สิ่งที่ต้องตรวจคือแบบฟอร์มกระดาษเก็บข้อมูลอ่อนไหวเกินความจำเป็นหรือไม่ เช่น สำเนาบัตรประชาชน และข้อมูลที่กรอกในสมุดเล่มเดียวกันนั้นผู้เข้าชมคนอื่นมองเห็นข้อมูลของคนก่อนหน้าได้หรือไม่

• ใช้แบบฟอร์มแยกใบต่อคน ไม่ใช้สมุดเล่มเดียวที่เห็นข้อมูลคนก่อนหน้า
• ไม่เก็บสำเนาบัตรประชาชนหน้างานเว้นแต่จำเป็นต่อการเข้าชมพื้นที่ก่อสร้าง
• แบบฟอร์มกระดาษถูกนำเข้าระบบและทำลายต้นฉบับตามรอบที่กำหนด ไม่กองไว้ที่โต๊ะขาย

ทำไมสมุดลงทะเบียนหน้างานถึงเป็นจุดเสี่ยง

ทำไมสมุดลงทะเบียนหน้างานถึงเป็นจุดเสี่ยง เพราะเป็นช่องทางเดียวในทั้งห้าจุดที่ไม่มีระบบดิจิทัลรองรับ ไม่มี Log ว่าใครเปิดดูสมุดเล่มนี้บ้าง และเมื่อสมุดเต็มเล่มมักถูกเก็บไว้ในลิ้นชักโต๊ะขายต่อโดยไม่มีวันหมดอายุ ต่างจากฟอร์มเว็บที่ทีมไอทีตั้งรอบลบข้อมูลอัตโนมัติได้ ทีมงานหน้าโครงการจึงต้องกำหนดรอบนำเข้าข้อมูลจากกระดาษสู่ระบบดิจิทัลด้วยตัวเอง และทำลายต้นฉบับกระดาษทันทีหลังนำเข้าเสร็จ ไม่ปล่อยให้สะสมไว้เป็นเดือน

จุดที่ 4: การส่งต่อข้อมูลให้ทีมขายติดตาม

เมื่อข้อมูลจากทั้งสามช่องทางถูกรวมเข้าสเปรดชีตหรือระบบขาย จุดเสี่ยงคือไฟล์รายชื่อทั้งชุดถูกส่งผ่านอีเมลหรือไดรฟ์แชร์แบบเปิดให้ทุกคนแก้ไขได้ ทีมขายที่ลาออกไปยังมีสิทธิ์เข้าถึงไฟล์เดิมอยู่ และไม่มีใครรู้ว่าไฟล์ถูกส่งต่อไปให้ใครบ้างนอกทีม

• จำกัดสิทธิ์แก้ไขไฟล์รายชื่อลูกค้าเฉพาะทีมขายที่รับผิดชอบ ไม่เปิดให้แก้ไขทั่วไป
• ปิดสิทธิ์เข้าถึงไฟล์ทันทีเมื่อพนักงานลาออกหรือย้ายโครงการ
• ห้ามส่งไฟล์รายชื่อทั้งชุดออกนอกทีมโดยไม่มีเหตุผลทางธุรกิจชัดเจน

จุดที่ 5: แคมเปญ Retargeting และโฆษณาติดตามผล

หลังลูกค้าเข้าชมเว็บไซต์แล้วไม่ได้จองทันที หลายโครงการยิงโฆษณา Retargeting ตามผู้เข้าชมไปยังแพลตฟอร์มอื่น จุดนี้ต้องตรวจว่า Pixel ที่ใช้ยิงโฆษณาทำงานหลังผู้ใช้กด Consent ยอมรับหมวดการตลาดแล้วเท่านั้น ไม่ใช่ทำงานตั้งแต่โหลดหน้าเว็บ

• Pixel โฆษณาทำงานเฉพาะหลังผู้ใช้ยอมรับ Consent หมวดการตลาด
• ทดสอบด้วยการเปิดหน้าเว็บแบบไม่ยอมรับ Consent แล้วดูว่า Network Request ยังยิงออกไปหรือไม่
• ทบทวนรายชื่อผู้ให้บริการโฆษณาที่เชื่อมต่อกับเว็บไซต์อย่างน้อยทุกไตรมาส

เมื่อใดต้องส่งต่อผู้เชี่ยวชาญด้านกฎหมาย

เช็กลิสต์นี้ช่วยให้ SME อสังหาริมทรัพย์ตรวจจุดสัมผัสข้อมูลได้ด้วยตัวเองในระดับปฏิบัติการ แต่ไม่ใช่การตรวจสอบทางกฎหมาย หากโครงการมีการขายผ่านนายหน้าอิสระหลายราย มีการเก็บข้อมูลผู้ซื้อต่างชาติ หรือมีข้อสงสัยเรื่องฐานกฎหมายที่ใช้ในการเก็บข้อมูลแต่ละประเภท ควรให้ผู้เชี่ยวชาญด้านข้อมูลส่วนบุคคลตรวจเพิ่มเติมจากจุดที่เช็กลิสต์นี้ครอบคลุมไม่ถึง

trusty ช่วยตรวจจุดใดในเช็กลิสต์นี้ได้บ้าง?

trusty สแกนเว็บไซต์ของโครงการเพื่อตรวจ Cookie Banner ตัวเลือกปฏิเสธ และ Script โฆษณาที่ทำงานก่อนหรือหลัง Consent ได้ ซึ่งครอบคลุมจุดที่ 1 และจุดที่ 5 ในเช็กลิสต์นี้ ส่วนจุดที่ 2 ถึง 4 เป็นกระบวนการภายในที่เกิดนอกเว็บไซต์ เช่น การส่งต่อไฟล์ทางอีเมลหรือการกรอกสมุดหน้างาน ระบบสแกนอัตโนมัติมองไม่เห็นและต้องอาศัยทีมงานตรวจเองตามเช็กลิสต์

ตารางสรุปจุดสัมผัสและระดับความเสี่ยง

ตารางนี้สรุปภาพรวมทั้งห้าจุดสัมผัสไว้ในที่เดียว เพื่อให้ทีมงานที่ต้องมอบหมายงานต่อกันเห็นภาพรวมก่อนลงรายละเอียดแต่ละจุด

เช็กลิสต์ปฏิบัติ

• ฟอร์มเว็บเก็บเฉพาะข้อมูลจำเป็น และแยกช่องยินยอมรับข่าวสารออกจากการติดต่อกลับ
• กำหนดสิทธิ์เข้าถึงบัญชี LINE OA และไม่คัดลอกเบอร์โทรลูกค้าไปกลุ่มแชทส่วนตัว
• ใช้แบบฟอร์มลงทะเบียนหน้างานแยกใบต่อคน ไม่ใช้สมุดเล่มเดียวที่เห็นข้อมูลคนอื่น
• จำกัดสิทธิ์แก้ไขไฟล์รายชื่อลูกค้าเฉพาะทีมขายที่รับผิดชอบ
• ทดสอบว่า Pixel โฆษณาทำงานเฉพาะหลังผู้ใช้ยอมรับ Consent หมวดการตลาด
• ปิดสิทธิ์เข้าถึงไฟล์และบัญชีทันทีเมื่อพนักงานลาออกหรือย้ายโครงการ

ข้อผิดพลาดที่พบบ่อย

• ตรวจแค่ Cookie Banner บนเว็บแล้วถือว่าเช็กลิสต์ผ่านทั้งหมด โดยไม่ตรวจ LINE OA และสมุดหน้างาน
• เก็บสำเนาบัตรประชาชนของผู้เข้าชมหน้างานทั้งที่ไม่จำเป็นต่อการติดต่อกลับ
• ลืมปิดสิทธิ์เข้าถึงไฟล์รายชื่อลูกค้าและบัญชี LINE OA เมื่อพนักงานขายลาออก

สรุป

เช็กลิสต์ PDPA สำหรับ SME อสังหาริมทรัพย์ต้องไล่ตามจุดสัมผัสข้อมูลจริงทั้งห้าจุด ไม่ใช่ตรวจแค่ฟอร์มบนเว็บไซต์จุดเดียว เพราะข้อมูล Lead ไหลผ่าน LINE OA สมุดหน้างาน และมือทีมขายก่อนจะถึงมือใครก็ตามที่ปิดการขาย การตรวจแยกทีละจุดช่วยให้เห็นความเสี่ยงที่ระบบสแกนอัตโนมัติมองไม่เห็น

แหล่งข้อมูลอ้างอิง

• สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (PDPC)
• คู่มือ PDPA สำหรับ SME สำหรับธุรกิจอสังหาริมทรัพย์
• วิธี Audit PDPA สำหรับ SME อสังหาริมทรัพย์พร้อม Evidence
• ศูนย์ความรู้ Business, Industry & SEO