วิธี Audit PDPA สำหรับ SME ของเว็บไซต์ธุรกิจทั่วไปและ SME พร้อม Evidence ที่ควรเก็บ

เว็บไซต์ของธุรกิจเราทำ PDPA ครบหรือยัง คำถามนี้มักผุดขึ้นมาในหัวเจ้าของ SME ตอนที่เห็นข่าวธุรกิจอื่นถูกร้องเรียนเรื่องข้อมูลส่วนบุคคล หรือตอนที่ลูกค้าถามกลับมาว่าเก็บเบอร์โทรและอีเมลของเขาไปทำอะไรบ้าง หลายคนตอบคำถามนี้ไม่ได้ทันที เพราะไม่เคยมีใครในทีมนั่งไล่ตรวจเว็บไซต์ทีละหน้าอย่างเป็นระบบมาก่อน บทความนี้จึงเป็นแนวทาง Audit PDPA สำหรับ SME ที่ทำเองได้ ไม่ต้องรอที่ปรึกษากฎหมายมาเริ่มให้

Audit PDPA คืออะไร และทำไม SME ต้องทำเองเป็น

การ Audit PDPA คือกระบวนการตรวจสอบว่าธุรกิจปฏิบัติตามหลักการคุ้มครองข้อมูลส่วนบุคคลจริงหรือไม่ ไม่ใช่แค่มีนโยบายความเป็นส่วนตัวติดไว้บนเว็บไซต์เฉย ๆ แต่ต้องตรวจว่าสิ่งที่เขียนในนโยบายตรงกับสิ่งที่เว็บไซต์ทำจริงหรือไม่ เช่น ถ้านโยบายบอกว่าจะลบข้อมูลลูกค้าหลังพ้น 2 ปี แต่ในความเป็นจริงไม่เคยมีใครลบเลย นั่นคือช่องว่างที่ Audit ต้องจับให้ได้

SME ส่วนใหญ่ไม่มีงบจ้างบริษัท Audit ภายนอก และหลายรายก็ไม่จำเป็นต้องจ้างถ้าธุรกิจยังมีขนาดเล็กและไม่ได้ประมวลผลข้อมูลอ่อนไหวจำนวนมาก การ Audit ด้วยตัวเองโดยใช้แนวทางที่เป็นระบบจึงเป็นทางเลือกที่คุ้มค่ากว่า และยังช่วยให้เจ้าของธุรกิจเข้าใจกระบวนการเก็บข้อมูลของตัวเองอย่างแท้จริง ไม่ใช่แค่มอบหมายให้คนอื่นทำแล้วไม่รู้รายละเอียด

ขั้นตอนที่ 1: ตรวจสอบทุกหน้าที่เก็บข้อมูลบนเว็บไซต์

เริ่มจากไล่ดูทุกหน้าบนเว็บไซต์ที่มีฟอร์มกรอกข้อมูล เช่น หน้าติดต่อเรา หน้าสมัครสมาชิก หน้าสั่งซื้อสินค้า หน้าลงทะเบียนรับข่าวสาร และหน้า Live Chat แล้วบันทึกว่าแต่ละหน้าเก็บข้อมูลอะไรบ้าง มีลิงก์ไปยังประกาศความเป็นส่วนตัวหรือไม่ และมีช่องยืนยันความยินยอมก่อนกดส่งข้อมูลหรือไม่

ขั้นตอนที่ 2: ตรวจสอบแบนเนอร์คุกกี้และเครื่องมือติดตามผล

เว็บไซต์ SME จำนวนมากติดตั้ง Facebook Pixel, Google Analytics หรือเครื่องมือแชทอัตโนมัติ โดยไม่เคยแจ้งผู้เข้าชมเว็บไซต์เลยว่ามีการติดตามพฤติกรรม ขั้นตอนนี้ต้องตรวจสอบว่าเว็บไซต์มีแบนเนอร์แจ้งเรื่องคุกกี้หรือไม่ ผู้เข้าชมสามารถเลือกปฏิเสธคุกกี้ที่ไม่จำเป็นได้หรือไม่ และเครื่องมือติดตามผลเริ่มทำงานก่อนผู้เข้าชมกดยินยอมหรือไม่ ซึ่งเป็นจุดที่ SME พลาดกันมากที่สุดจุดหนึ่ง

ขั้นตอนที่ 3: ตรวจสอบว่าใครเข้าถึงข้อมูลลูกค้าได้บ้าง

ไล่ดูว่าข้อมูลลูกค้าที่เก็บไว้ ไม่ว่าจะเป็นในระบบหลังบ้านของเว็บไซต์ สเปรดชีต หรือกลุ่มแชท ใครมีสิทธิ์เข้าถึงได้บ้าง พนักงานที่ลาออกไปแล้วยังมีสิทธิ์เข้าระบบอยู่หรือไม่ และมีการเปลี่ยนรหัสผ่านเมื่อพนักงานพ้นสภาพหรือไม่ นี่คือจุดที่มักถูกมองข้ามเพราะดูเหมือนเป็นเรื่องความปลอดภัยไอทีมากกว่าเรื่อง PDPA แต่ในความเป็นจริงทั้งสองเรื่องเกี่ยวข้องกันโดยตรง

ขั้นตอนที่ 4: ตรวจสอบคำขอใช้สิทธิ์ของเจ้าของข้อมูล

PDPA ให้สิทธิ์เจ้าของข้อมูลขอเข้าถึง แก้ไข หรือลบข้อมูลของตนเองได้ SME ควรตรวจสอบว่ามีช่องทางให้ลูกค้าติดต่อขอใช้สิทธิ์เหล่านี้หรือไม่ เช่น อีเมลหรือเบอร์โทรที่ระบุไว้ในประกาศความเป็นส่วนตัว และเมื่อมีคำขอเข้ามาจริง มีขั้นตอนดำเนินการและระยะเวลาตอบกลับที่ชัดเจนหรือไม่ หากไม่เคยมีคำขอเข้ามาเลย ควรทดลองส่งคำขอทดสอบจากอีเมลของตัวเองเพื่อดูว่าทีมงานตอบสนองอย่างไร

ขั้นตอนที่ 5: ตรวจสอบผู้ให้บริการภายนอกที่ประมวลผลข้อมูลแทนธุรกิจ

SME จำนวนมากใช้บริการภายนอก เช่น ระบบอีเมลการตลาด ระบบขนส่งสินค้า หรือระบบบัญชี ซึ่งข้อมูลลูกค้าจะถูกส่งต่อไปประมวลผลที่บริษัทเหล่านี้ด้วย การ Audit จึงต้องตรวจสอบว่ามีรายชื่อผู้ให้บริการภายนอกที่เข้าถึงข้อมูลลูกค้าครบถ้วนหรือไม่ แต่ละรายมีข้อตกลงเรื่องการคุ้มครองข้อมูลหรือไม่ และข้อมูลที่ส่งต่อไปนั้นจำเป็นต่อบริการจริงหรือเกินความจำเป็น เช่น ระบบขนส่งสินค้าอาจต้องการแค่ชื่อ ที่อยู่ และเบอร์โทร ไม่จำเป็นต้องได้รับอีเมลหรือประวัติการสั่งซื้อทั้งหมดของลูกค้า

หลายครั้ง SME เลือกผู้ให้บริการภายนอกจากราคาหรือความสะดวก โดยไม่เคยอ่านเงื่อนไขการใช้ข้อมูลของผู้ให้บริการเหล่านั้นเลย การ Audit ควรรวมถึงการอ่านเงื่อนไขของผู้ให้บริการหลักอย่างน้อยปีละครั้ง เพื่อดูว่ามีการเปลี่ยนแปลงนโยบายที่กระทบต่อลูกค้าของธุรกิจหรือไม่

ขั้นตอนที่ 6: ตรวจสอบการจัดเก็บและสำรองข้อมูลลูกค้า

อีกจุดที่ Audit ต้องครอบคลุมคือวิธีจัดเก็บข้อมูลลูกค้า ไม่ว่าจะเป็นไฟล์ Excel บนคอมพิวเตอร์สำนักงาน ระบบคลาวด์ หรือฐานข้อมูลของเว็บไซต์ ควรตรวจสอบว่าไฟล์เหล่านี้มีรหัสผ่านป้องกันหรือไม่ มีการสำรองข้อมูลไว้ที่ใดบ้าง และหากคอมพิวเตอร์หรืออุปกรณ์สูญหาย ข้อมูลลูกค้าจะรั่วไหลได้ง่ายเพียงใด ธุรกิจขนาดเล็กหลายรายเก็บไฟล์ลูกค้าไว้ในโน้ตบุ๊กเครื่องเดียวโดยไม่มีการเข้ารหัสหรือสำรองข้อมูลเลย ซึ่งเป็นความเสี่ยงที่ตรวจพบได้ง่ายในขั้นตอนนี้

ตารางสรุปผล Audit ที่ใช้งานได้จริง

หลังตรวจครบทุกขั้นตอน ควรสรุปผลออกมาเป็นตารางสถานะง่าย ๆ เพื่อให้เห็นภาพรวมและจัดลำดับความสำคัญในการแก้ไข

• สถานะ ผ่าน: มีเอกสารและหลักฐานครบ ไม่ต้องแก้ไข
• สถานะ ต้องปรับปรุง: มีอยู่บางส่วนแต่ยังไม่ครบ เช่น มีประกาศความเป็นส่วนตัวแต่ไม่ได้อัปเดตมานาน
• สถานะ ยังไม่มี: ยังไม่มีเลย ต้องเริ่มทำใหม่ทั้งหมด และควรจัดลำดับความเสี่ยงสูงก่อน

การจัดลำดับความเสี่ยงช่วยให้ SME ไม่ต้องแก้ทุกอย่างพร้อมกัน ซึ่งเป็นไปไม่ได้จริงสำหรับทีมขนาดเล็ก ควรเริ่มจากจุดที่มีความเสี่ยงสูงสุดก่อน เช่น หน้าที่เก็บข้อมูลการชำระเงินหรือข้อมูลอ่อนไหว แล้วค่อยไล่แก้จุดที่มีความเสี่ยงรองลงมา

ใครควรเป็นผู้ทำ Audit และควรใช้เวลานานเท่าไหร่

สำหรับ SME ที่มีพนักงานไม่ถึง 20 คน เจ้าของกิจการหรือผู้ดูแลเว็บไซต์สามารถเป็นผู้ Audit เองได้ โดยไม่จำเป็นต้องมอบหมายให้แผนกใดแผนกหนึ่งรับผิดชอบเพียงลำพัง เพราะการตรวจสอบต้องอาศัยความเข้าใจทั้งด้านเนื้อหาเว็บไซต์ ระบบไอที และกระบวนการขายที่เจ้าของธุรกิจมักเห็นภาพรวมได้ดีที่สุด ระยะเวลาที่ใช้ Audit ครั้งแรกอาจอยู่ที่ 1-2 วันทำการหากเว็บไซต์มีไม่เกิน 10 หน้า แต่การ Audit ครั้งถัดไปจะใช้เวลาน้อยลงมาก เพราะเป็นการเทียบผลกับ Audit ครั้งก่อนว่ามีอะไรเปลี่ยนแปลงไปบ้าง

ธุรกิจที่มีหลายสาขาหรือหลายช่องทางขาย เช่น มีทั้งเว็บไซต์ เพจ Facebook และร้านค้าบน Marketplace ควร Audit แยกตามช่องทาง เพราะแต่ละช่องทางมักมีวิธีเก็บข้อมูลลูกค้าต่างกัน เช่น ข้อมูลจาก Marketplace อาจถูกส่งตรงมาจากแพลตฟอร์มโดยที่ธุรกิจไม่เคยเห็นแบบฟอร์มต้นทางเลย จุดนี้ควรตรวจสอบเงื่อนไขของ Marketplace แต่ละเจ้าประกอบด้วยว่าใครเป็นผู้รับผิดชอบแจ้งวัตถุประสงค์การเก็บข้อมูลให้ผู้ซื้อทราบ

Evidence ที่ควรเก็บไว้หลังทำ Audit

ผลลัพธ์ของการ Audit ไม่ควรอยู่แค่ในหัวหรือในบทสนทนา แต่ควรมีเอกสารเป็นหลักฐาน เพื่อใช้ตอบคำถามได้ทันทีหากมีลูกค้าหรือหน่วยงานสอบถามเข้ามา

• ตาราง Audit ที่บันทึกวันที่ตรวจ ผู้ตรวจ และผลสรุปของแต่ละหน้าเว็บไซต์
• ภาพหน้าจอ (Screenshot) ของแบนเนอร์คุกกี้และประกาศความเป็นส่วนตัวในวันที่ตรวจ
• รายชื่อผู้มีสิทธิ์เข้าถึงระบบข้อมูลลูกค้า พร้อมวันที่ทบทวนสิทธิ์ล่าสุด
• บันทึกคำขอใช้สิทธิ์ของเจ้าของข้อมูล (ถ้ามี) พร้อมวันที่ตอบกลับ
• แผนแก้ไขจุดที่ยังไม่ผ่าน พร้อมกำหนดเวลาที่ตั้งใจจะแก้ไขให้เสร็จ

ควร Audit ซ้ำเมื่อไหร่หลังแก้ไขจุดที่พบ

หลังแก้ไขจุดที่ไม่ผ่านแล้ว ควรกลับมา Audit ซ้ำเฉพาะจุดนั้นภายใน 1-2 สัปดาห์ เพื่อยืนยันว่าการแก้ไขได้ผลจริง ไม่ใช่แค่แก้แล้วปล่อยผ่านโดยไม่ตรวจซ้ำ เช่น หากแก้ไขแบนเนอร์คุกกี้แล้ว ควรทดลองเข้าเว็บไซต์จากอุปกรณ์อื่นเพื่อยืนยันว่าแบนเนอร์แสดงผลถูกต้องและปุ่มปฏิเสธใช้งานได้จริง การ Audit ซ้ำแบบนี้ช่วยปิดวงจรการแก้ไขให้สมบูรณ์ และเป็นหลักฐานเพิ่มเติมว่าธุรกิจดำเนินการแก้ไขอย่างจริงจัง ไม่ใช่แค่บันทึกไว้ในแผนแต่ไม่ได้ลงมือทำ

ข้อผิดพลาดที่พบบ่อยเมื่อ SME ทำ Audit PDPA เอง

• ตรวจแค่หน้าแรกของเว็บไซต์ แล้วสรุปว่าทั้งเว็บไซต์ผ่านหมด ทั้งที่ยังไม่ได้ตรวจหน้าฟอร์มย่อยอื่น ๆ
• ไม่บันทึกวันที่ตรวจ ทำให้ไม่รู้ว่าผลการ Audit ล่าสุดเป็นข้อมูลของเมื่อไหร่
• ตรวจแล้วพบปัญหาแต่ไม่มีแผนแก้ไขที่ชัดเจน ปล่อยผลการ Audit ไว้เฉย ๆ โดยไม่ลงมือทำต่อ
• มองข้ามระบบหลังบ้านหรือสเปรดชีตที่เก็บข้อมูลลูกค้า เพราะสนใจแต่หน้าเว็บไซต์ที่มองเห็นได้เท่านั้น

สรุป: Audit PDPA สำหรับ SME ที่ทำได้จริงโดยไม่ต้องมีทีมกฎหมาย

การ Audit PDPA ไม่จำเป็นต้องซับซ้อนสำหรับ SME ขอเพียงไล่ตรวจทีละหน้าเว็บไซต์ ทีละระบบ อย่างมีโครงสร้าง บันทึกผลเป็นเอกสาร และจัดลำดับความเสี่ยงก่อนแก้ไข เมื่อทำครบตามขั้นตอนในบทความนี้แล้ว ธุรกิจจะมีหลักฐานพร้อมตอบคำถามได้ทันทีเมื่อมีคนสงสัยเรื่องการจัดการข้อมูลส่วนบุคคล อ่านขั้นตอนเชิงลึกเพิ่มเติมได้ที่ คู่มือ PDPA สำหรับ SME ฉบับเต็ม หรือใช้ เช็กลิสต์ PDPA สำหรับ SME ควบคู่กันเพื่อความรวดเร็ว และดูภาพรวมทั้งหมดได้ที่ ศูนย์ความรู้ Business, Industry & SEO

แหล่งข้อมูลอ้างอิง

เนื้อหานี้อ้างอิงแนวทางจากสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (PDPC) เพื่อการศึกษาเบื้องต้นสำหรับผู้ประกอบการ ไม่ใช่คำแนะนำทางกฎหมายเฉพาะกรณี ธุรกิจที่มีความซับซ้อนสูงควรปรึกษาที่ปรึกษากฎหมายเพิ่มเติมประกอบการตัดสินใจ