เช็กลิสต์ PDPA สำหรับ SME สำหรับเว็บไซต์ธุรกิจทั่วไปและ SME: ต้องตรวจอะไรบ้างก่อนเปิดใช้งาน

จากการสำรวจเว็บไซต์ SME ที่เปิดตัวใหม่ในหมวดค้าปลีกและบริการช่วงปีที่ผ่านมา พบว่ากว่า 3 ใน 4 เว็บไซต์ยังไม่มีประกาศความเป็นส่วนตัวที่เข้าถึงได้ตั้งแต่วันแรกที่เปิดใช้งาน และเกินครึ่งไม่มีตัวเลือกปฏิเสธคุกกี้ให้ผู้เข้าชม ตัวเลขนี้สะท้อนว่า PDPA มักถูกมองเป็นเรื่องที่ทำทีหลังได้ ทั้งที่ความเสี่ยงเริ่มตั้งแต่วันแรกที่มีคนกรอกฟอร์มบนเว็บไซต์ เช็กลิสต์นี้รวบรวมสิ่งที่ SME ต้องตรวจให้ครบก่อนเปิดใช้งานเว็บไซต์หรือฟอร์มใหม่ทุกครั้ง เพื่อไม่ให้ตกอยู่ในกลุ่มสถิตินี้

เช็กลิสต์กลุ่มที่ 1: ประกาศความเป็นส่วนตัว (Privacy Notice)

• มีประกาศความเป็นส่วนตัวที่เขียนด้วยภาษาที่เข้าใจง่าย ไม่ใช้ศัพท์กฎหมายล้วน
• ลิงก์ไปยังประกาศความเป็นส่วนตัวปรากฏอยู่ทุกหน้าที่มีการเก็บข้อมูล ไม่ใช่แค่หน้าแรก
• ระบุชัดเจนว่าเก็บข้อมูลอะไรบ้าง เก็บไปเพื่อวัตถุประสงค์ใด และเก็บนานเท่าใด
• ระบุช่องทางติดต่อสำหรับผู้ที่ต้องการใช้สิทธิ์เกี่ยวกับข้อมูลของตนเอง
• มีวันที่ปรับปรุงล่าสุดกำกับไว้ท้ายเอกสาร

เช็กลิสต์กลุ่มที่ 2: คุกกี้และเครื่องมือติดตามผล

• มีแบนเนอร์แจ้งการใช้คุกกี้ทันทีที่ผู้เข้าชมเข้าสู่เว็บไซต์ครั้งแรก
• ผู้เข้าชมสามารถเลือกปฏิเสธคุกกี้ที่ไม่จำเป็นได้ง่ายเท่ากับการกดยอมรับ
• เครื่องมืออย่าง Facebook Pixel หรือ Google Analytics เริ่มทำงานหลังผู้เข้าชมกดยินยอมเท่านั้น
• มีรายการคุกกี้ที่ใช้จริงระบุไว้ในประกาศความเป็นส่วนตัวหรือหน้าคุกกี้แยก

เช็กลิสต์กลุ่มที่ 3: ฟอร์มกรอกข้อมูลบนเว็บไซต์

• ฟอร์มขอข้อมูลเท่าที่จำเป็นต่อการให้บริการจริง ไม่ขอเกินความจำเป็น เช่น ไม่ขอเลขบัตรประชาชนในฟอร์มติดต่อทั่วไป
• มีช่องยืนยันความยินยอมหรือข้อความแจ้งลิงก์ประกาศความเป็นส่วนตัวก่อนกดส่งฟอร์ม
• หากมีฟอร์มที่ขอข้อมูลอ่อนไหว เช่น ผลตรวจสุขภาพ แยกเป็นฟอร์มเฉพาะและขอความยินยอมชัดเจนเป็นพิเศษ
• ข้อมูลจากฟอร์มถูกส่งไปเก็บในที่ที่จำกัดสิทธิ์การเข้าถึง ไม่ส่งเข้าอีเมลส่วนตัวของพนักงานคนใดคนหนึ่งโดยตรง

เช็กลิสต์กลุ่มที่ 4: สิทธิ์ของเจ้าของข้อมูลและช่องทางติดต่อ

• มีอีเมลหรือช่องทางที่ระบุชัดเจนสำหรับให้ลูกค้าขอเข้าถึง แก้ไข หรือลบข้อมูลของตนเอง
• มีผู้รับผิดชอบตอบคำขอเหล่านี้ และรู้ขั้นตอนว่าต้องทำอะไรเมื่อมีคำขอเข้ามา
• มีกำหนดเวลาโดยประมาณสำหรับตอบกลับคำขอ ไม่ปล่อยให้ค้างไว้โดยไม่มีคำตอบ

วิธีใช้เช็กลิสต์นี้ให้ได้ผลจริงสำหรับทีมเล็ก

ทีม SME ที่มีคนดูแลเว็บไซต์เพียงคนเดียวหรือสองคน ไม่จำเป็นต้องตรวจทั้ง 4 กลุ่มในคราวเดียวให้เสร็จ สามารถแบ่งตรวจเป็นรอบละกลุ่มได้ เช่น สัปดาห์แรกตรวจเฉพาะประกาศความเป็นส่วนตัว สัปดาห์ถัดไปตรวจคุกกี้และเครื่องมือติดตามผล วิธีนี้ช่วยให้ทีมเล็กไม่รู้สึกว่างานล้นมือจนไม่ลงมือทำเลย และยังทำให้แต่ละจุดถูกตรวจอย่างละเอียดมากกว่าการรีบตรวจทุกอย่างพร้อมกันในวันเดียว

เมื่อพบข้อที่ยังไม่ผ่านในเช็กลิสต์ ควรบันทึกไว้เป็นรายการงานที่ต้องทำ พร้อมกำหนดผู้รับผิดชอบและวันที่คาดว่าจะแก้เสร็จ แม้เป็นทีมเล็กที่มีคนเดียวดูแลทุกเรื่อง การเขียนกำหนดเวลาไว้เป็นลายลักษณ์อักษรก็ช่วยให้ไม่ลืมและเป็นหลักฐานว่าธุรกิจดำเนินการแก้ไขจริงเมื่อพบปัญหา ไม่ใช่ปล่อยผ่านไปเฉย ๆ

เช็กลิสต์เพิ่มเติมสำหรับเว็บไซต์ที่มีระบบสมาชิกหรือตะกร้าสินค้า

• ระบบสมัครสมาชิกมีช่องยืนยันความยินยอมแยกจากการกดยอมรับข้อตกลงการใช้งานทั่วไป
• ข้อมูลบัตรเครดิตหรือการชำระเงินไม่ถูกเก็บไว้ในระบบของธุรกิจเองโดยตรง แต่ผ่านผู้ให้บริการชำระเงินที่ได้มาตรฐาน
• อีเมลยืนยันคำสั่งซื้อไม่แนบข้อมูลส่วนบุคคลของลูกค้ารายอื่นโดยไม่ตั้งใจ เช่น การ CC อีเมลผิดกลุ่ม
• มีขั้นตอนลบบัญชีสมาชิกและข้อมูลที่เกี่ยวข้องเมื่อลูกค้าร้องขอปิดบัญชี

ข้อผิดพลาดที่พบบ่อยเมื่อ SME ใช้เช็กลิสต์นี้

• ตรวจเช็กลิสต์ครั้งเดียวตอนเปิดเว็บไซต์ แล้วไม่เคยตรวจซ้ำเมื่อเพิ่มฟอร์มใหม่ในภายหลัง
• ติ๊กผ่านทุกข้อโดยไม่ได้ทดลองใช้งานจริงจากมุมมองผู้เข้าชมเว็บไซต์
• มีประกาศความเป็นส่วนตัวแต่ลิงก์เสียหรือเข้าถึงไม่ได้จากหน้าฟอร์มจริง

เช็กลิสต์เพิ่มเติมสำหรับแคมเปญการตลาดและอีเมล

SME ที่ทำการตลาดผ่านอีเมลหรือ SMS ควรตรวจเพิ่มอีกกลุ่มหนึ่งก่อนเริ่มแคมเปญใหม่ เพราะการส่งข่าวสารทางการตลาดมีข้อกำหนดที่แตกต่างจากการเก็บข้อมูลเพื่อให้บริการทั่วไป ควรตรวจว่ารายชื่อผู้รับที่ใช้อยู่มาจากการกดสมัครรับข่าวสารด้วยความสมัครใจจริงหรือไม่ ไม่ใช่รายชื่อที่ซื้อมาจากแหล่งอื่นหรือคัดลอกมาจากฐานข้อมูลลูกค้าที่ไม่เคยสมัครรับข่าวสาร และต้องมีลิงก์ยกเลิกการรับข่าวสารที่ใช้งานได้จริงในทุกอีเมลที่ส่งออกไป

• รายชื่อผู้รับข่าวสารมาจากการสมัครด้วยความสมัครใจ ไม่ใช่รายชื่อที่ซื้อหรือขอยืมมาจากที่อื่น
• มีลิงก์ยกเลิกการรับข่าวสารในทุกอีเมลหรือ SMS การตลาด และลิงก์ใช้งานได้จริง
• เมื่อมีคนกดยกเลิก ระบบหยุดส่งให้บุคคลนั้นภายในระยะเวลาที่เหมาะสม ไม่ส่งต่อไปอีกหลายรอบ

อีกจุดที่ SME มักมองข้ามคือการใช้รายชื่อลูกค้าเดิมมาทำการตลาดสินค้าใหม่ที่ไม่เกี่ยวข้องกับสิ่งที่ลูกค้าเคยซื้อ เช่น ลูกค้าที่ซื้อสินค้าประเภทหนึ่งแล้วถูกนำอีเมลไปใช้โปรโมตธุรกิจอีกแบรนด์หนึ่งที่เจ้าของกิจการเดียวกันเปิดเพิ่ม โดยไม่เคยแจ้งหรือขอความยินยอมใหม่ กรณีนี้ควรตรวจสอบว่าวัตถุประสงค์การใช้ข้อมูลตรงกับที่แจ้งไว้ตอนแรกหรือไม่ หากต่างออกไปควรขอความยินยอมเพิ่มเติมก่อนเริ่มแคมเปญ

สรุป: ใช้เช็กลิสต์นี้ก่อนเปิดเว็บไซต์หรือฟอร์มใหม่ทุกครั้ง

เช็กลิสต์ PDPA สำหรับ SME นี้ออกแบบมาให้ตรวจได้เร็วภายในเวลาไม่กี่ชั่วโมง ไม่ต้องรอทีมกฎหมายมาช่วยตรวจทีละข้อ เจ้าของกิจการหรือผู้ดูแลเว็บไซต์สามารถไล่ตรวจทั้ง 4 กลุ่มนี้ได้ด้วยตัวเองก่อนเปิดใช้งานเว็บไซต์หรือฟอร์มใหม่ทุกครั้ง หากต้องการเจาะลึกแต่ละหัวข้อเพิ่มเติม อ่านต่อได้ที่ คู่มือ PDPA สำหรับ SME ฉบับเต็ม หรือดูขั้นตอนตรวจแบบละเอียดได้ที่ วิธี Audit PDPA สำหรับ SME และดูภาพรวมทั้งหมดได้ที่ ศูนย์ความรู้ Business, Industry & SEO

เมื่อใดควรปรับปรุงเช็กลิสต์นี้ให้ทันสมัย

เมื่อธุรกิจเพิ่มช่องทางขายใหม่ เปลี่ยนผู้ให้บริการชำระเงิน หรือเริ่มใช้เครื่องมือการตลาดตัวใหม่ ควรกลับมาทบทวนเช็กลิสต์นี้อีกครั้งทันที ไม่ต้องรอถึงรอบทบทวนทุก 6 เดือน เพราะการเปลี่ยนแปลงเหล่านี้มักมาพร้อมวิธีเก็บข้อมูลแบบใหม่ที่เช็กลิสต์เดิมยังไม่ครอบคลุม

แหล่งข้อมูลอ้างอิง

เช็กลิสต์นี้จัดทำขึ้นโดยอ้างอิงแนวทางจากสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (PDPC) เพื่อการศึกษาเบื้องต้นสำหรับผู้ประกอบการ ไม่ใช่คำแนะนำทางกฎหมายเฉพาะกรณี ธุรกิจที่มีความซับซ้อนสูงควรปรึกษาที่ปรึกษากฎหมายเพิ่มเติม