PDPA สำหรับ SME คืออะไร? คู่มือสำหรับอสังหาริมทรัพย์และธุรกิจที่เก็บ Lead

โครงการคอนโดแห่งหนึ่งเปิดฟอร์มลงทะเบียน "รับสิทธิ์ราคาพิเศษ" บนหน้าเว็บ เก็บชื่อ เบอร์โทร อีเมล และงบประมาณที่ลูกค้าตั้งใจซื้อ ข้อมูลชุดนี้ถูกส่งเข้า CRM ของทีมขายทันที แต่ไม่มีใครในทีมตอบได้ว่าลูกค้าให้ความยินยอมอะไรไปบ้าง เก็บไว้นานแค่ไหน และถ้าลูกค้าขอให้ลบข้อมูล ใครเป็นคนดำเนินการ คำถามเหล่านี้คือแก่นของ PDPA สำหรับ SME ในธุรกิจอสังหาริมทรัพย์และธุรกิจที่เก็บ Lead

บทความนี้อธิบาย PDPA สำหรับ SME แบบที่ทีมขายและทีมการตลาดอสังหาริมทรัพย์นำไปใช้ได้จริง ครอบคลุมตั้งแต่ข้อมูลที่เก็บ ฟอร์มที่ต้องตรวจ ไปจนถึง CRM และ Call Tracking ที่มักถูกมองข้าม

PDPA สำหรับ SME คืออะไรในบริบทอสังหาริมทรัพย์

PDPA คือกฎหมายคุ้มครองข้อมูลส่วนบุคคลของไทยที่กำหนดให้ธุรกิจต้องขอความยินยอมก่อนเก็บข้อมูลส่วนบุคคล อธิบายวัตถุประสงค์การใช้ข้อมูล และให้สิทธิ์เจ้าของข้อมูลในการเข้าถึง แก้ไข หรือขอให้ลบข้อมูลของตนเอง สำหรับ SME ที่ทำธุรกิจอสังหาริมทรัพย์ กฎหมายนี้ไม่ได้จบที่การติด Cookie Banner บนเว็บไซต์ แต่ครอบคลุมถึงข้อมูลที่ทีมขายกรอกเข้า CRM เอง ข้อมูลจาก Call Center ที่รับสาย และข้อมูลจาก Event เปิดตัวโครงการด้วย

ข้อมูลอะไรบ้างที่โครงการอสังหาริมทรัพย์เก็บจริง

จุดเริ่มต้นของการวาง PDPA สำหรับ SME คือการทำ Data Inventory ให้ครบก่อนเขียน Policy โครงการอสังหาริมทรัพย์ส่วนใหญ่เก็บข้อมูลจากหลายช่องทางพร้อมกัน

• ฟอร์มลงทะเบียนรับโบรชัวร์หรือราคาพิเศษบนเว็บไซต์
• ฟอร์มจองห้อง/ที่ดินที่มักขอเลขบัตรประชาชนหรือข้อมูลทางการเงินเพิ่มเติม
• Call Tracking ที่บันทึกเบอร์โทรลูกค้าที่โทรเข้ามาสอบถาม
• CRM ของทีมขายที่พนักงานกรอกบันทึกการพูดคุยและงบประมาณลูกค้าเอง
• Event เปิดตัวโครงการที่เก็บชื่อ-นามสกุลผ่านใบลงทะเบียนกระดาษ
• Line Official Account หรือ Chat ที่ทีมขายใช้คุยกับลูกค้าต่อเนื่อง

ข้อมูลบางส่วน เช่น รายได้หรือสถานะทางการเงินที่ใช้ประเมินวงเงินสินเชื่อ ถือเป็นข้อมูลที่ต้องระมัดระวังเป็นพิเศษ ควรจำกัดผู้เข้าถึงและพิจารณาส่งต่อให้ทีมกฎหมายตรวจฐานการเก็บข้อมูลก่อนนำไปใช้ในแคมเปญการตลาดต่อ

ความยินยอมกับฟอร์มจองและฟอร์ม Lead

ฟอร์มที่เก็บ Lead ต้องแยกให้ชัดว่าลูกค้ายินยอมให้ติดต่อกลับเพื่อขายเท่านั้น หรือยินยอมให้ส่งต่อข้อมูลให้ธนาคารพันธมิตรเพื่อประเมินสินเชื่อด้วย สองเรื่องนี้ไม่ควรรวมเป็น Checkbox เดียว เพราะลูกค้าอาจต้องการแค่ข้อมูลโครงการโดยไม่ต้องการให้ส่งข้อมูลไปธนาคาร การแยก Checkbox ตามวัตถุประสงค์ทำให้ทีมขายรู้ชัดว่าติดต่อลูกค้ารายใดเรื่องใดได้บ้าง

CRM และทีมขาย: จุดที่ Policy มักไม่ตรงกับความจริง

เว็บไซต์อาจมี Privacy Policy ที่เขียนไว้ดี แต่พอข้อมูลลูกค้าไหลเข้า CRM ของทีมขาย มักไม่มีการควบคุมว่าใครเข้าถึงข้อมูลได้บ้าง พนักงานขายที่ลาออกยังมีสิทธิ์เข้าถึงรายชื่อลูกค้าเดิมหรือไม่ มีการแชร์ไฟล์ Excel รายชื่อลูกค้าผ่าน Line กลุ่มทีมขายหรือไม่ สิ่งเหล่านี้คือช่องว่างที่ Privacy Policy บนเว็บไซต์อธิบายไม่ถึง แต่เป็นความเสี่ยงจริงที่ทีม Compliance ต้องเข้าไปตรวจ Workflow ภายในควบคู่กัน

Call Tracking และการโทรติดตามลูกค้า

หลายโครงการติดเบอร์ Call Tracking บนเว็บไซต์เพื่อวัดผลแคมเปญโฆษณา ระบบเหล่านี้บันทึกเสียงสนทนาและเบอร์โทรลูกค้าอัตโนมัติ ทีมการตลาดต้องแจ้งลูกค้าว่ามีการบันทึกเสียงตั้งแต่ต้นสาย และต้องกำหนดระยะเวลาการเก็บไฟล์เสียงที่ชัดเจน ไม่ใช่เก็บไว้ตลอดไปโดยไม่มี Retention Policy

เมื่อใดควรส่งต่อผู้เชี่ยวชาญด้านกฎหมาย

SME อสังหาริมทรัพย์ควรส่งต่อทีมกฎหมายหรือที่ปรึกษา PDPA เมื่อเจอกรณีต่อไปนี้ การส่งต่อข้อมูลลูกค้าให้ธนาคารพันธมิตรเพื่อประเมินสินเชื่อ การเก็บสำเนาบัตรประชาชนในขั้นตอนจอง การทำ Marketing ร่วมกับพันธมิตรที่ต้องแชร์รายชื่อลูกค้าข้ามบริษัท และกรณีลูกค้าร้องขอให้ลบข้อมูลแต่มีสัญญาจะซื้อจะขายที่ยังผูกพันอยู่ กรณีเหล่านี้มีเงื่อนไขทางกฎหมายที่ต้องพิจารณาเฉพาะราย ไม่ควรตัดสินใจจากบทความทั่วไปเพียงอย่างเดียว

การตลาดออนไลน์และโฆษณา Retargeting

โครงการอสังหาริมทรัพย์มักใช้ Retargeting เพื่อยิงโฆษณาซ้ำหาคนที่เคยเข้าเว็บไซต์ดูราคาห้องหรือแบบบ้าน การทำงานลักษณะนี้อาศัย Pixel ของแพลตฟอร์มโฆษณาที่ฝังบนเว็บไซต์ ถ้า Pixel ทำงานก่อนลูกค้ากด Accept บน Cookie Banner จะถือว่าเก็บข้อมูลก่อนได้รับความยินยอม ซึ่งเป็นจุดที่ทีมการตลาดต้องตรวจร่วมกับทีมพัฒนาเว็บไซต์ ไม่ใช่ปล่อยให้ Agency โฆษณาติดตั้ง Pixel เองโดยไม่แจ้งทีมกลาง

อีกประเด็นที่มักถูกมองข้ามคือ Custom Audience ที่สร้างจากเบอร์โทรหรืออีเมลลูกค้าเดิมเพื่อยิงโฆษณาหาลูกค้าที่มีลักษณะใกล้เคียงกัน การอัปโหลดรายชื่อลูกค้าขึ้นแพลตฟอร์มโฆษณาลักษณะนี้ควรตรวจว่าลูกค้าเคยยินยอมให้ใช้ข้อมูลเพื่อการตลาดในลักษณะนี้หรือไม่ และควรใช้ข้อมูลที่ผ่านการเข้ารหัสตามที่แพลตฟอร์มโฆษณากำหนด ไม่ใช่ส่งไฟล์ Excel รายชื่อลูกค้าแบบข้อความธรรมดา

พันธมิตรธุรกิจและ Agent ภายนอก

โครงการหลายแห่งทำงานร่วมกับ Agent อิสระหรือบริษัทนายหน้าภายนอกที่ช่วยหาลูกค้า เมื่อ Agent เหล่านี้ได้รับข้อมูลลูกค้าจากโครงการไปติดต่อต่อ ต้องมีข้อตกลงที่ชัดเจนว่า Agent ใช้ข้อมูลเพื่อวัตถุประสงค์ใดได้บ้าง เก็บข้อมูลไว้นานแค่ไหน และต้องลบข้อมูลเมื่อสิ้นสุดความร่วมมือหรือไม่ หากไม่มีข้อตกลงลายลักษณ์อักษร โครงการจะตรวจสอบย้อนหลังไม่ได้ว่า Agent จัดการข้อมูลลูกค้าอย่างไรหลังได้รับไป

สิทธิของลูกค้าตาม PDPA ที่ทีมขายต้องรู้

ลูกค้าที่เคยกรอกฟอร์มขอราคาหรือจองห้องมีสิทธิ์ขอเข้าถึงข้อมูลของตนเอง ขอแก้ไขข้อมูลที่ไม่ถูกต้อง ขอให้ลบข้อมูลเมื่อไม่ต้องการรับการติดต่อแล้ว และขอถอนความยินยอมที่เคยให้ไว้ ทีมขายควรมีช่องทางรับคำขอเหล่านี้ที่ชัดเจน เช่น อีเมลกลางหรือฟอร์มบนเว็บไซต์ และควรมีขั้นตอนภายในว่าใครเป็นผู้ตอบรับคำขอและดำเนินการลบข้อมูลใน CRM จริง ไม่ใช่รับคำขอแล้วไม่มีใครติดตามต่อ

กรณีที่ลูกค้าขอถอนความยินยอมหลังเซ็นสัญญาจะซื้อจะขายแล้ว ทีมขายควรแยกให้ชัดว่าข้อมูลส่วนใดยังจำเป็นต้องเก็บไว้เพื่อการปฏิบัติตามสัญญาหรือภาระทางบัญชี และข้อมูลส่วนใดที่ควรหยุดใช้เพื่อการตลาดทันที การแยกสองส่วนนี้ควรปรึกษาทีมกฎหมายเมื่อกรณีมีความซับซ้อน

trusty ช่วยอะไรได้บ้างสำหรับ SME อสังหาริมทรัพย์

trusty เป็นเครื่องมือช่วยตรวจความพร้อมเบื้องต้นของเว็บไซต์โครงการ เช่น ตรวจว่า Cookie Banner ทำงานถูกต้องก่อนหรือหลัง Consent ช่วยร่าง Privacy Policy จากข้อมูลที่ทีมกรอกและผลสแกนเว็บไซต์ และช่วยเก็บ Consent Log ของฟอร์มที่ผูกกับระบบ เครื่องมือเหล่านี้ช่วยให้ทีมเห็นช่องว่างเบื้องต้นได้เร็วขึ้น แต่ไม่ได้ครอบคลุมข้อมูลที่ทีมขายกรอกใน CRM เองหรือฟอร์มกระดาษที่ Event ซึ่งยังต้องมีกระบวนการภายในดูแลแยกต่างหาก

โครงสร้าง Governance ที่ทีมขนาดเล็กก็ทำได้

SME อสังหาริมทรัพย์ไม่จำเป็นต้องมีทีม DPO เต็มรูปแบบเหมือนบริษัทใหญ่ แต่ควรมีคนหนึ่งคนที่รับผิดชอบภาพรวม PDPA ของโครงการ ทำหน้าที่เป็นจุดกลางเมื่อทีมการตลาดต้องการเพิ่มแคมเปญใหม่ ทีมขายต้องการแชร์ข้อมูลกับ Agent หรือมีลูกค้าติดต่อขอใช้สิทธิ์ ตำแหน่งนี้ไม่จำเป็นต้องเป็นทนาย แต่ต้องมีอำนาจสั่งหยุดแคมเปญที่มีความเสี่ยงและรู้ว่าเมื่อใดต้องส่งต่อผู้เชี่ยวชาญ

ทีมขนาดเล็กควรเริ่มจากเอกสารง่าย ๆ เช่น ตาราง Data Inventory ที่ปรับปรุงทุกไตรมาส บันทึกว่าแคมเปญใดเก็บข้อมูลอะไร ใช้ Consent แบบใด และมีใครเข้าถึงข้อมูลได้บ้าง เอกสารนี้ไม่ต้องซับซ้อนแต่ต้องเป็นปัจจุบันเสมอ เพราะเป็นสิ่งแรกที่ทีมกฎหมายหรือ Auditor จะขอดูเมื่อเกิดข้อสงสัย

เช็กลิสต์ปฏิบัติ

• ทำ Data Inventory ครบทุกช่องทาง ทั้งเว็บไซต์ ฟอร์มจอง Call Tracking CRM และ Event
• แยก Checkbox ความยินยอมตามวัตถุประสงค์ เช่น ติดต่อขาย กับ ส่งข้อมูลให้ธนาคาร
• กำหนดสิทธิ์การเข้าถึง CRM ตามหน้าที่ และตัดสิทธิ์ทันทีเมื่อพนักงานลาออก
• แจ้งลูกค้าเมื่อมีการบันทึกเสียงสนทนาผ่าน Call Tracking ตั้งแต่ต้นสาย
• กำหนด Retention ของไฟล์เสียงและข้อมูล Lead ที่ไม่ปิดการขาย
• ให้ทีมกฎหมายตรวจกรณีส่งข้อมูลลูกค้าให้ธนาคารพันธมิตรก่อนเริ่มแคมเปญ
• ทบทวน Privacy Policy ให้ตรงกับฟอร์มและ Workflow จริงทุกครั้งที่เปิดโครงการใหม่

ข้อผิดพลาดที่พบบ่อย

• รวม Checkbox ยินยอมติดต่อขายกับยินยอมส่งข้อมูลให้ธนาคารไว้ในช่องเดียวกัน
• พนักงานขายที่ลาออกยังเข้าถึงไฟล์รายชื่อลูกค้าเดิมได้เพราะไม่มีการตัดสิทธิ์
• เก็บไฟล์เสียง Call Tracking ไม่มีกำหนดระยะเวลาลบ
• เขียน Privacy Policy จากเทมเพลตทั่วไปโดยไม่ตรงกับฟอร์มจองจริงของโครงการ
• ไม่มี Owner รับผิดชอบเมื่อลูกค้าขอให้ลบข้อมูลหลังไม่ได้ปิดการขาย

รอบทบทวนและการปรับปรุงต่อเนื่อง

โครงการอสังหาริมทรัพย์มักมีวงจรการขายยาวเป็นปี ตั้งแต่เปิดตัวจนถึงโอนกรรมสิทธิ์ ระหว่างทางมักมีแคมเปญใหม่ พันธมิตรใหม่ หรือ Agent ใหม่เพิ่มเข้ามาเรื่อย ๆ การวาง PDPA ครั้งเดียวตอนเปิดโครงการจึงไม่เพียงพอ ทีมควรกำหนดรอบทบทวน Data Inventory และ Privacy Policy อย่างน้อยทุกหกเดือน หรือทุกครั้งที่มีการเปิดเฟสใหม่ของโครงการ เพื่อให้เอกสารตรงกับสิ่งที่เก็บจริงเสมอ ไม่ใช่ใช้เอกสารเดิมตั้งแต่วันเปิดตัวไปจนถึงวันโอน

สรุป

PDPA สำหรับ SME อสังหาริมทรัพย์ไม่ใช่แค่เรื่อง Cookie Banner แต่ครอบคลุมตั้งแต่ฟอร์มจอง CRM ทีมขาย ไปจนถึง Call Tracking ทุกช่องทางที่เก็บ Lead ต้องมี Owner ความยินยอมที่ชัดเจน และ Retention ที่กำหนดไว้ล่วงหน้า ดูขั้นตอนวางระบบแบบเป็นขั้นตอนเพิ่มเติมได้ที่ วิธีวางระบบ PDPA สำหรับ SME อสังหาริมทรัพย์ และดูรายการตรวจก่อนเปิดใช้งานที่ เช็กลิสต์ PDPA สำหรับ SME อสังหาริมทรัพย์

คำถามที่พบบ่อย

PDPA สำหรับ SME อสังหาริมทรัพย์ต้องเริ่มจากตรงไหน เริ่มจากทำ Data Inventory ให้ครบทุกช่องทางที่เก็บ Lead ก่อน แล้วค่อยเขียน Consent และ Policy ให้ตรงกับสิ่งที่เก็บจริง

เก็บสำเนาบัตรประชาชนตอนจองห้องต้องขอความยินยอมเพิ่มหรือไม่ ควรพิจารณาแยกและควรให้ทีมกฎหมายตรวจ เพราะเป็นข้อมูลที่ต้องระมัดระวังเป็นพิเศษและมักมีการส่งต่อให้ธนาคารพันธมิตรต่อ

Call Tracking ที่บันทึกเสียงลูกค้าต้องแจ้งลูกค้าหรือไม่ ควรแจ้งตั้งแต่ต้นสายว่ามีการบันทึกเสียง และกำหนดระยะเวลาการเก็บไฟล์เสียงให้ชัดเจน

ใช้ trusty ช่วยตรวจ Privacy Policy ของเว็บไซต์โครงการได้ไหม ช่วยได้ในส่วนของเว็บไซต์และฟอร์มที่เชื่อมกับระบบ แต่ข้อมูลใน CRM ทีมขายหรือฟอร์มกระดาษที่ Event ยังต้องมีกระบวนการภายในดูแลแยกต่างหาก

แหล่งข้อมูลอ้างอิง

• สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (PDPC)