Data Mapping คืออะไร คู่มือฉบับเข้าใจง่ายสำหรับเว็บไซต์ธุรกิจและ SME

เว็บไซต์ธุรกิจทั่วไปมักรู้ว่าตัวเองเก็บข้อมูลอะไรบ้างจากแบบฟอร์มหรือระบบสมาชิก แต่พอถามต่อว่า "ข้อมูลนั้นไหลไปที่ไหนต่อ" หลายทีมตอบไม่ได้ทันที เพราะข้อมูลชุดเดียวอาจถูกส่งต่อไปหลายระบบพร้อมกัน ทั้งอีเมลมาร์เก็ตติ้ง ระบบ CRM ผู้ให้บริการชำระเงิน และเครื่องมือวิเคราะห์เว็บไซต์ โดยไม่มีใครเคยวาดเส้นทางนี้ไว้เป็นลายลักษณ์อักษร Data Mapping คือขั้นตอนที่ทำให้เส้นทางนี้มองเห็นได้

คู่มือนี้อธิบายว่า Data Mapping คืออะไร ต่างจาก Data Inventory ที่หลายทีมทำไปแล้วอย่างไร มีองค์ประกอบใดบ้างที่ทำให้ Data Map ใช้งานได้จริง และเจ้าของกิจการหรือผู้ดูแลเว็บไซต์ควรเริ่มต้นจากจุดไหน โดยไม่ต้องรอให้มีทีมกฎหมายเต็มรูปแบบก่อน

Data Mapping คืออะไร และต่างจาก Data Inventory อย่างไร

Data Inventory คือการสำรวจว่าเว็บไซต์เก็บข้อมูลอะไรบ้างและเก็บไว้ที่ระบบใด เช่น แบบฟอร์มติดต่อ ระบบตะกร้าสินค้า หรือ Cookie ส่วน Data Mapping เดินต่อจากจุดนั้น โดยตามรอยว่าข้อมูลแต่ละชุดที่เจอในขั้นตอน Inventory ถูกส่งต่อ ประมวลผล หรือแชร์ไปยังระบบและผู้ให้บริการรายใดต่อบ้าง พูดง่ายๆ คือ Inventory ตอบคำถาม "มีอะไร เก็บที่ไหน" ส่วน Data Mapping ตอบคำถาม "ข้อมูลนั้นไหลไปทางไหนต่อ"

ความแตกต่างนี้สำคัญเพราะธุรกิจจำนวนมากทำ Inventory เสร็จแล้วคิดว่างานจบ ทั้งที่ความเสี่ยงจริงมักเกิดขึ้นระหว่างทาง เช่น ปลั๊กอินฟอร์มส่งอีเมลลูกค้าไปยังบริการอีเมลมาร์เก็ตติ้งนอกประเทศโดยไม่มีใครในทีมรู้ตัว หรือระบบตะกร้าสินค้าส่งข้อมูลผ่านผู้ให้บริการชำระเงินหลายชั้นโดยไม่มีใครเคยไล่ดูว่าผู้ให้บริการแต่ละชั้นคือใคร ยิ่งเว็บไซต์ใช้ปลั๊กอินหรือแอปเสริมมากเท่าไร เส้นทางข้อมูลก็ยิ่งซับซ้อนขึ้นโดยที่หน้าตาของเว็บไซต์ยังดูเหมือนเดิม

ทำไม SME ต้องทำ Data Mapping ไม่ใช่แค่เพื่อ PDPA

เหตุผลแรกคือการเขียน Privacy Policy ให้ตรงกับความจริง หากไม่รู้ว่าข้อมูลไหลไปที่ใดบ้าง นโยบายที่เขียนออกมาก็มักเป็นแม่แบบทั่วไปที่ไม่ตรงกับสิ่งที่เว็บไซต์ทำจริง และเมื่อมีผู้ใช้สอบถามรายละเอียดกลับมา ทีมงานก็ตอบไม่ได้ว่าข้อมูลของเขาถูกส่งไปที่ใดบ้าง

เหตุผลที่สองคือการตอบคำขอใช้สิทธิของเจ้าของข้อมูล เช่น คำขอลบข้อมูลหรือคำขอเข้าถึงข้อมูล ถ้าไม่รู้ว่าข้อมูลกระจายอยู่ในระบบใดบ้าง การตอบสนองคำขอให้ครบทุกระบบก็ทำได้ยาก และอาจลบข้อมูลออกจากบางระบบแต่ลืมระบบอื่นที่เชื่อมต่ออยู่

เหตุผลที่สามคือการบริหารความเสี่ยงเมื่อเปลี่ยนผู้ให้บริการ เช่น ย้ายระบบอีเมลหรือเปลี่ยนผู้ให้บริการชำระเงิน หากมี Data Map อยู่แล้ว ทีมงานจะรู้ทันทีว่าต้องแจ้งอะไรบ้าง กระทบระบบใด และต้องปรับ Privacy Policy ส่วนไหน แทนที่จะต้องไล่ตรวจทั้งเว็บไซต์ใหม่ทุกครั้งที่มีการเปลี่ยนแปลง

เหตุผลที่สี่คือการช่วยให้ทีมงานภายในสื่อสารตรงกัน โดยเฉพาะเมื่อฝ่ายการตลาดติดตั้งเครื่องมือใหม่โดยไม่ได้แจ้งฝ่ายพัฒนาเว็บไซต์ Data Map ที่มีเจ้าของและมีการอัปเดตสม่ำเสมอ จะเป็นจุดกลางที่ทั้งสองฝ่ายใช้อ้างอิงร่วมกันได้

องค์ประกอบของ Data Map ที่ใช้งานได้จริง

Data Map ที่ใช้งานได้ไม่จำเป็นต้องซับซ้อน แต่ควรมีองค์ประกอบครบตามหัวข้อต่อไปนี้ในทุกแถวของตาราง

แหล่งที่มาของข้อมูล (Source)

ระบุว่าข้อมูลเข้าสู่เว็บไซต์จากช่องทางใด เช่น แบบฟอร์มติดต่อ แบบฟอร์มสมัครสมาชิก ระบบตะกร้าสินค้า หรือแชทบอท

ปลายทางของข้อมูล (Destination)

ระบบหรือผู้ให้บริการภายนอกที่ข้อมูลถูกส่งต่อไป เช่น ระบบ CRM ผู้ให้บริการอีเมล ผู้ให้บริการชำระเงิน หรือเครื่องมือวิเคราะห์เว็บไซต์

วัตถุประสงค์ (Purpose)

เหตุผลที่ข้อมูลถูกส่งไปยังปลายทางนั้น เช่น เพื่อประมวลผลคำสั่งซื้อ เพื่อส่งอีเมลยืนยัน หรือเพื่อวิเคราะห์พฤติกรรมผู้ใช้งาน

ผู้ประมวลผลและการส่งต่อ (Processor and Transfer)

ระบุว่าผู้ให้บริการปลายทางเป็นผู้ประมวลผลข้อมูลแทนธุรกิจหรือไม่ และมีการส่งข้อมูลต่อไปยังผู้ให้บริการรายที่สามอีกทอดหนึ่งหรือไม่ รวมถึงข้อมูลนั้นถูกประมวลผลบนเซิร์ฟเวอร์ในประเทศหรือต่างประเทศ

ระยะเวลาที่ข้อมูลอยู่ในระบบปลายทาง (Retention Note)

บันทึกคร่าวๆ ว่าผู้ให้บริการปลายทางเก็บข้อมูลไว้นานเท่าใดตามที่ระบุในสัญญาหรือเอกสารของผู้ให้บริการนั้น หากไม่มีข้อมูลชัดเจนให้บันทึกว่า "ต้องตรวจสอบเพิ่มเติม" ไว้ก่อน แทนที่จะเดาระยะเวลาขึ้นมาเอง เพราะ Data Map ที่ระบุระยะเวลาผิดอาจทำให้การเขียน Privacy Policy คลาดเคลื่อนไปด้วย

กรอบ NIST Privacy Framework กับการทำ Data Map

NIST Privacy Framework เป็นกรอบการบริหารความเสี่ยงด้านความเป็นส่วนตัวที่เผยแพร่โดยหน่วยงานมาตรฐานของสหรัฐอเมริกา และถูกใช้อ้างอิงกันแพร่หลายในหลายประเทศ กรอบนี้แบ่งการทำงานออกเป็นหลายฟังก์ชัน หนึ่งในนั้นคือฟังก์ชัน Identify-P ซึ่งเน้นให้องค์กรทำความเข้าใจว่าตนเองประมวลผลข้อมูลส่วนบุคคลอะไรบ้าง ผ่านระบบใด และเพื่อวัตถุประสงค์ใด การจัดทำ Data Map ของธุรกิจสอดคล้องโดยตรงกับแนวคิดของฟังก์ชันนี้

แม้ NIST Privacy Framework จะเป็นกรอบของสหรัฐอเมริกาและไม่ใช่ข้อกำหนดทางกฎหมายของไทย แต่แนวคิดเรื่องการทำแผนที่ข้อมูลก่อนตัดสินใจเรื่องนโยบายก็นำมาปรับใช้กับเว็บไซต์ SME ไทยได้ โดยไม่ต้องรอให้กฎหมายบังคับก่อน การใช้กรอบลักษณะนี้เป็นแนวทางช่วยให้ธุรกิจมีโครงสร้างการทำงานที่เป็นระบบ แทนที่จะจดข้อมูลแบบกระจัดกระจายในหลายไฟล์

Data Flow Diagram แบบง่ายสำหรับเว็บไซต์ธุรกิจ

SME ไม่จำเป็นต้องใช้ซอฟต์แวร์เฉพาะทางในการเริ่มต้น ตารางในสเปรดชีตที่มีคอลัมน์ตรงตามองค์ประกอบด้านบนก็เพียงพอสำหรับเริ่มต้น ตัวอย่างแถวหนึ่งในตารางอาจมีลักษณะดังนี้

เมื่อมีแถวลักษณะนี้ครบทุกจุดเก็บข้อมูลหลักของเว็บไซต์ ทีมงานจะเริ่มเห็นภาพว่าจุดใดมีความเสี่ยงสูงกว่าจุดอื่น เช่น จุดที่ส่งข้อมูลไปต่างประเทศ หรือจุดที่ไม่มีใครในทีมรู้ว่ามีการส่งข้อมูลอยู่ ตารางนี้ยังใช้เป็นจุดเริ่มต้นเวลาต้องตอบคำถามจากลูกค้าหรือหน่วยงานที่เกี่ยวข้องว่าข้อมูลของพวกเขาถูกใช้อย่างไรบ้าง

ตัวอย่างสถานการณ์ที่ SME เจอบ่อย

ร้านค้าออนไลน์ขนาดเล็กแห่งหนึ่งติดตั้งปลั๊กอินแชทสดเพื่อคุยกับลูกค้า โดยไม่รู้ว่าปลั๊กอินนั้นส่งบทสนทนาทั้งหมดไปเก็บบนเซิร์ฟเวอร์ของผู้ให้บริการต่างประเทศ จนกระทั่งทำ Data Map จึงพบว่าข้อมูลการสนทนาที่มีทั้งชื่อและเบอร์โทรลูกค้าไหลออกนอกระบบที่ทีมงานควบคุมได้โดยตรง

อีกกรณีคือธุรกิจบริการที่ใช้ระบบนัดหมายออนไลน์ ซึ่งเชื่อมต่อกับปฏิทินของทีมขายและส่งอีเมลแจ้งเตือนผ่านผู้ให้บริการอีเมลภายนอกโดยอัตโนมัติ เมื่อทำ Data Map ทีมงานจึงพบว่าผู้ให้บริการปฏิทินและผู้ให้บริการอีเมลเป็นคนละรายกัน และไม่มีเอกสารใดระบุไว้ว่าทั้งสองรายประมวลผลข้อมูลลูกค้าในลักษณะใด

กรณีที่สามคือธุรกิจที่เปลี่ยนผู้ให้บริการชำระเงินระหว่างปี แต่ทีมพัฒนาลืมปิดการเชื่อมต่อกับผู้ให้บริการรายเดิม ทำให้ข้อมูลคำสั่งซื้อบางส่วนยังคงถูกส่งไปยังทั้งสองระบบพร้อมกันโดยไม่มีใครตั้งใจ สถานการณ์เช่นนี้จะถูกจับได้เร็วขึ้นหาก Data Map ถูกทบทวนทุกครั้งที่มีการเปลี่ยนผู้ให้บริการ

ใครควรเป็นเจ้าของ Data Map ในองค์กรขนาดเล็ก

SME ส่วนใหญ่ไม่มีตำแหน่ง Data Protection Officer เต็มเวลา งานนี้จึงมักตกอยู่กับเจ้าของกิจการหรือผู้ดูแลเว็บไซต์ สิ่งที่สำคัญกว่าตำแหน่งคือการกำหนดให้ชัดว่าใครเป็นผู้รับผิดชอบปรับปรุง Data Map ทุกครั้งที่มีการเพิ่มปลั๊กอิน เปลี่ยนผู้ให้บริการ หรือเพิ่มแบบฟอร์มใหม่บนเว็บไซต์ เพราะ Data Map ที่ไม่เคยอัปเดตหลังทำครั้งแรกจะค่อยๆ ห่างจากความจริงจนใช้งานไม่ได้

วิธีที่ใช้ได้ผลในทางปฏิบัติคือกำหนดกฎง่ายๆ ว่า ก่อนติดตั้งเครื่องมือหรือปลั๊กอินใหม่ที่เกี่ยวข้องกับข้อมูลลูกค้า ผู้ที่ติดตั้งต้องแจ้งผู้ดูแล Data Map ให้เพิ่มแถวใหม่ก่อนเปิดใช้งานจริง กฎนี้ช่วยลดจำนวนจุดที่ตกหล่นได้มากกว่าการรอทบทวนทั้งเว็บไซต์ปีละครั้งเพียงอย่างเดียว

คำถามที่พบบ่อย

Data Mapping กับ Data Inventory ต้องทำอันไหนก่อน

ควรเริ่มจาก Data Inventory เพื่อรู้ว่ามีข้อมูลอะไรและเก็บที่ไหนก่อน แล้วจึงต่อยอดเป็น Data Mapping เพื่อตามรอยว่าข้อมูลแต่ละชุดไหลไปที่ใดต่อ

SME ขนาดเล็กต้องมี Data Map ละเอียดแค่ไหน

เริ่มจากจุดเก็บข้อมูลหลักที่ใช้งานประจำก่อน เช่น แบบฟอร์มบนเว็บไซต์ ระบบชำระเงิน และเครื่องมือการตลาด แล้วค่อยขยายให้ครอบคลุมช่องทางอื่นในภายหลัง

Data Map ต้องใช้ซอฟต์แวร์เฉพาะทางหรือไม่

ไม่จำเป็น สเปรดชีตที่มีคอลัมน์แหล่งที่มา ปลายทาง วัตถุประสงค์ และผู้ประมวลผลก็เพียงพอสำหรับ SME ส่วนใหญ่ในช่วงเริ่มต้น ค่อยพิจารณาเครื่องมือเฉพาะทางเมื่อจำนวนจุดเก็บข้อมูลมากขึ้นจนตารางเดียวจัดการไม่ไหว

ต้องทบทวน Data Map บ่อยแค่ไหน

ควรทบทวนอย่างน้อยปีละครั้ง และทุกครั้งที่มีการเพิ่มระบบใหม่ เปลี่ยนผู้ให้บริการ หรือเพิ่มแบบฟอร์มบนเว็บไซต์ เพื่อไม่ให้ Data Map ล้าหลังความเป็นจริงของเว็บไซต์

อ่านเพิ่มเติมเกี่ยวกับขั้นตอนการเริ่มต้นได้ที่ วิธีวางระบบ Data Mapping แบบเป็นขั้นตอน และดูภาพรวมของงานด้านการกำกับดูแลข้อมูลทั้งหมดได้ที่ ศูนย์ความรู้ Data Governance รวมถึงหัวข้อที่เกี่ยวข้องอย่าง การทำ Data Inventory สำหรับ SME

เช็กลิสต์ปฏิบัติ

• รวบรวมรายการจุดเก็บข้อมูลหลักบนเว็บไซต์จากงาน Data Inventory ที่มีอยู่
• สร้างตารางที่มีคอลัมน์แหล่งที่มา ปลายทาง วัตถุประสงค์ และผู้ประมวลผล
• ระบุว่าปลายทางแต่ละแห่งอยู่ในประเทศหรือต่างประเทศ
• กำหนดผู้รับผิดชอบปรับปรุง Data Map เมื่อมีการเปลี่ยนแปลงระบบ
• เปรียบเทียบ Data Map กับ Privacy Policy ที่เผยแพร่อยู่ว่าตรงกันหรือไม่
• นัดทบทวน Data Map เป็นรอบ อย่างน้อยปีละครั้งหรือเมื่อเพิ่มระบบใหม่

ข้อผิดพลาดที่พบบ่อย

• ทำ Data Inventory เสร็จแล้วคิดว่าเท่ากับทำ Data Mapping เสร็จแล้ว
• จดเฉพาะปลายทางที่จำได้ โดยลืมปลั๊กอินหรือสคริปต์ที่ทีมการตลาดติดตั้งเอง
• ไม่ระบุว่าปลายทางอยู่ในหรือนอกประเทศ ทำให้ประเมินความเสี่ยงเรื่องการส่งข้อมูลข้ามพรมแดนไม่ได้
• ทำ Data Map ครั้งเดียวแล้วไม่เคยอัปเดตอีกเลยหลังเปลี่ยนผู้ให้บริการ
• ให้คนคนเดียวทำโดยไม่ตรวจสอบกับทีมการตลาดหรือทีมพัฒนาเว็บไซต์ ทำให้พลาดจุดที่แผนกอื่นติดตั้งเอง

สรุป

Data Mapping คือขั้นตอนต่อยอดจาก Data Inventory ที่ช่วยให้ธุรกิจเห็นเส้นทางข้อมูลตั้งแต่จุดเก็บไปจนถึงผู้ให้บริการปลายทาง การเริ่มต้นด้วยตารางง่ายๆ ที่ระบุแหล่งที่มา ปลายทาง วัตถุประสงค์ และผู้ประมวลผล ก็เพียงพอสำหรับ SME ส่วนใหญ่ สิ่งที่ทำให้ Data Map มีประโยชน์ต่อเนื่องคือการกำหนดเจ้าของงานและอัปเดตทุกครั้งที่ระบบเปลี่ยนแปลง

แหล่งข้อมูลอ้างอิง

• NIST Privacy Framework