เช็กลิสต์ WordPress PDPA สำหรับเอเจนซีและฟรีแลนซ์ทำเว็บไซต์: ต้องตรวจอะไรบ้างก่อนเปิดใช้งาน

ก่อนเปิดใช้งานเว็บ WordPress ให้ลูกค้า เอเจนซีต้องเช็กว่าตั้งหน้า Privacy Policy Guide แล้ว ทดสอบปุ่ม Export/Erase ข้อมูลจริงด้วยบัญชีทดสอบ ตรวจการตั้งค่าคอมเมนต์กับ Akismet และคุกกี้ล็อกอินของ core พร้อมปิดบัญชีแอดมินที่ไม่ได้ใช้งาน เช็กลิสต์นี้ควรใช้ซ้ำได้ทุกโปรเจกต์ ไม่ใช่ทำครั้งเดียวแล้วปล่อยผ่าน

เว็บ WordPress ธรรมดาที่ไม่มีร้านค้าเลย ต้องเช็กเรื่อง PDPA อะไรบ้างก่อนกดเปิดใช้งานจริง คำถามนี้เป็นสิ่งที่ทีมพัฒนาหน้าใหม่ในเอเจนซีมักถามหัวหน้าทีมตอนใกล้ถึงวันส่งมอบงาน คำตอบสั้น ๆ คือต้องเช็กสามกลุ่มหลัก ได้แก่เครื่องมือ Privacy ที่ WordPress core เตรียมไว้ให้ตั้งแต่แรก การตั้งค่าที่เกี่ยวกับข้อมูลคอมเมนต์และคุกกี้ระบบ และสิทธิ์การเข้าถึงบัญชีหลังบ้านของทีมงานเอง เช็กลิสต์ด้านล่างนี้รวบรวมจุดที่ต้องตรวจก่อนกดปุ่มเปิดเว็บให้ลูกค้าใช้งานจริง เรียงตามลำดับที่ทำได้จริงในหน้างาน

เช็กลิสต์กลุ่มที่ 1: Privacy Tools ของ WordPress Core

1. เลือกหน้า Privacy Policy แล้วหรือยัง เข้า Settings แล้วดูว่ามีการกำหนดหน้าที่ใช้เป็น Privacy Policy Page ไว้จริง ไม่ใช่ปล่อยว่างตามค่าเริ่มต้นของระบบ
2. เนื้อหาในหน้านั้นเขียนครบหรือยัง โครงร่างที่ Policy Guide สร้างให้อัตโนมัติเป็นแค่จุดเริ่มต้น ต้องเติมรายละเอียดจริงของเว็บนั้น เช่น ปลั๊กอินที่ใช้งานอยู่จริง ไม่ใช่ปล่อยเป็นข้อความตัวอย่างที่ยังไม่ได้แก้ไข
3. ทดสอบปุ่ม Export Personal Data แล้วหรือยัง ต้องลองสร้างคำขอจริงจากอีเมลทดสอบและตรวจว่าได้ไฟล์ข้อมูลกลับมาครบตามที่คาดหวัง
4. ทดสอบปุ่ม Erase Personal Data แล้วหรือยัง ต้องลองยืนยันคำขอลบและดูว่าข้อมูลถูกจัดการตามที่ตั้งค่าไว้จริง ไม่ใช่แค่เห็นเมนูอยู่ในระบบ
5. ตรวจ Site Health แล้วหรือยัง ดูว่ามีคำเตือนที่เกี่ยวข้องกับปลั๊กอินล้าสมัยหรือฟีเจอร์ที่กระทบ Privacy Tools ค้างอยู่หรือไม่

เช็กลิสต์กลุ่มที่ 2: ข้อมูลคอมเมนต์และคุกกี้ระบบ

1. ตั้งค่าการแสดงข้อมูลคอมเมนต์เหมาะสมหรือยัง ตรวจว่าชื่อ อีเมล และ IP ของผู้แสดงความคิดเห็นไม่ถูกเปิดเผยเกินความจำเป็นบนหน้าเว็บสาธารณะ
2. แจ้งเรื่องปลั๊กอินกันสแปมในหน้า Privacy Policy หรือยัง ถ้าใช้ Akismet หรือปลั๊กอินลักษณะเดียวกัน ต้องระบุว่าข้อมูลคอมเมนต์บางส่วนถูกส่งไปตรวจสอบกับบริการภายนอก
3. อธิบายคุกกี้ระบบล็อกอินแยกจากคุกกี้การตลาดหรือยัง คุกกี้อย่าง wp-settings และคุกกี้เซสชันล็อกอินควรถูกอธิบายว่าเป็นคุกกี้ที่จำเป็นต่อระบบ ไม่ใช่คุกกี้เพื่อการโฆษณาหรือติดตามพฤติกรรม
4. ตรวจฟอร์มติดต่อหรือฟอร์มสมัครสมาชิกว่าเชื่อมกับ Privacy Policy หรือยัง ถ้าเว็บมีฟอร์มที่เก็บอีเมลหรือเบอร์โทร ต้องมีลิงก์ไปยังหน้านโยบายให้ผู้กรอกเห็นก่อนกดส่งข้อมูล

เช็กลิสต์กลุ่มที่ 3: สิทธิ์การเข้าถึงและหลักฐาน

1. ปิดบัญชีแอดมินของพนักงานที่ไม่เกี่ยวข้องกับโปรเจกต์แล้วหรือยัง โดยเฉพาะบัญชีที่สร้างไว้ตอนพัฒนาแต่ไม่ได้ใช้ในช่วงดูแลจริง
2. บันทึกผลการตรวจทั้งหมดเป็นเอกสารแล้วหรือยัง เก็บภาพหน้าจอและผลทดสอบไว้เผื่อลูกค้าถามย้อนหลังหลังส่งมอบงานไปแล้ว
3. นัดวันตรวจซ้ำรอบถัดไปแล้วหรือยัง กำหนดวันในปฏิทินทีมล่วงหน้า ไม่ปล่อยให้ลืมจนกว่าจะมีปัญหาเกิดขึ้นก่อน

ทำไมต้องเช็กก่อนเปิดใช้งาน ไม่ใช่เช็กทีหลัง

เว็บที่เพิ่งเปิดใช้งานมักมีผู้เข้าชมเข้ามาทันทีตั้งแต่วันแรก หากปุ่ม Export/Erase ยังไม่เคยถูกทดสอบและมีคำขอจริงจากผู้ใช้เข้ามาก่อนที่ทีมงานจะรู้ตัว ทีมงานจะต้องแก้ปัญหาแบบเร่งด่วนแทนที่จะมีเวลาตรวจสอบอย่างรอบคอบ เช็กลิสต์นี้ก่อนกดเปิดใช้งานจึงช่วยลดสถานการณ์ที่ต้องแก้ปัญหาเฉพาะหน้าแบบไม่ทันตั้งตัว และทำให้ทีมงานส่งมอบเว็บพร้อมความมั่นใจว่าฟีเจอร์พื้นฐานเหล่านี้ทำงานได้จริง สำหรับฟรีแลนซ์ที่รับงานคนเดียว การมีเช็กลิสต์ตายตัวแบบนี้ยังช่วยประหยัดเวลาต่อโปรเจกต์ เพราะไม่ต้องนั่งนึกทุกครั้งว่าเคยตรวจอะไรไปแล้วบ้างในโปรเจกต์ก่อนหน้า

ปรับใช้เช็กลิสต์นี้เมื่อโปรเจกต์มีเว็บหลายภาษา

เอเจนซีบางรายรับงานเว็บที่มีเวอร์ชันหลายภาษาอยู่บนโดเมนย่อยหรือใช้ปลั๊กอินแปลภาษาแยกฐานข้อมูลกันคนละชุด กรณีแบบนี้ต้องรันเช็กลิสต์แยกทีละภาษา เพราะปุ่ม Export/Erase ที่ทำงานได้ในเวอร์ชันภาษาไทยอาจไม่ได้ถูกทดสอบในเวอร์ชันภาษาอังกฤษที่ใช้ปลั๊กอินแปลภาษาคนละตัวกัน หน้า Privacy Policy ก็ต้องมีเนื้อหาครบทุกภาษา ไม่ใช่แปลแค่หน้าแรกแล้วปล่อยหน้านโยบายเป็นภาษาเดียว ทีมงานที่ลืมจุดนี้มักพบว่าเวอร์ชันภาษาที่สองของเว็บไม่มีลิงก์ไปยังหน้านโยบายเลยด้วยซ้ำ

ใช้เช็กลิสต์นี้ร่วมกับทีมขายก่อนปิดโปรเจกต์

ทีมขายของเอเจนซีมักเป็นผู้เจรจากับลูกค้าเรื่องขอบเขตงานตั้งแต่แรก การให้ทีมขายรู้จักเช็กลิสต์นี้คร่าว ๆ ช่วยให้ตั้งความคาดหวังกับลูกค้าตรงกันตั้งแต่ต้น เช่นแจ้งลูกค้าล่วงหน้าว่าการส่งมอบเว็บจะรวมรายงานผลการเช็กลิสต์นี้ด้วย แทนที่จะให้ทีมพัฒนาต้องมานั่งอธิบายทีหลังว่าทำไมต้องใช้เวลาตรวจสอบเพิ่มก่อนส่งมอบงานจริง วิธีนี้ยังช่วยให้ลูกค้าเห็นคุณค่าของขั้นตอนนี้ว่าเป็นส่วนหนึ่งของงานที่จ่ายเงินไปแล้ว ไม่ใช่งานแถมที่ทำหรือไม่ทำก็ได้

เช็กลิสต์เสริมสำหรับเว็บที่ใช้ Page Builder แทนธีมมาตรฐาน

เว็บไซต์จำนวนมากที่เอเจนซีทำให้ลูกค้าใช้ Page Builder อย่าง Elementor หรือ Divi แทนโครงสร้างธีมมาตรฐานของ WordPress ปัญหาที่พบบ่อยคือ footer ที่สร้างด้วย Page Builder มักไม่ได้ดึงลิงก์ Privacy Policy Page มาแสดงอัตโนมัติเหมือนธีมมาตรฐานบางตัว ทีมงานจึงต้องตรวจด้วยตาเปล่าว่า footer ของเว็บจริงมีลิงก์ไปยังหน้านโยบายให้ผู้เข้าชมกดเข้าถึงได้หรือไม่ ไม่ใช่เชื่อว่า WordPress core ตั้งค่าไว้ให้แล้วจะแสดงผลได้เองในทุกกรณี อีกจุดที่ต้องเช็กคือฟอร์มที่สร้างด้วยปลั๊กอินฟอร์มของ Page Builder เอง เช่นฟอร์มติดต่อในตัวของ Elementor ซึ่งบางครั้งไม่เชื่อมกับระบบ Export/Erasure ของ core โดยอัตโนมัติ ต้องตรวจแยกต่างหากว่าข้อมูลที่กรอกผ่านฟอร์มเหล่านี้ถูกเก็บไว้ที่ไหนและดึงออกมาด้วยปุ่ม Export ได้จริงหรือไม่ กรณีที่พบว่าฟอร์มของ Page Builder ไม่เชื่อมกับระบบ Export/Erasure ของ core เลย ทีมงานควรบันทึกข้อจำกัดนี้ไว้ในเอกสารส่งมอบ พร้อมแจ้งลูกค้าว่าคำขอสิทธิ์ที่เกี่ยวกับข้อมูลจากฟอร์มกลุ่มนี้ต้องดึงออกมาด้วยมือจากฐานข้อมูลโดยตรง แทนที่จะปล่อยให้ลูกค้าคิดว่าปุ่ม Export ของ WordPress core ครอบคลุมข้อมูลทุกจุดของเว็บไซต์อัตโนมัติ

ข้อผิดพลาดที่พบบ่อยในการทำเช็กลิสต์นี้

• ติ๊กเช็กลิสต์ผ่านทั้งที่ยังไม่ได้ทดสอบปุ่ม Export/Erase จริง เห็นว่ามีปุ่มอยู่ก็ถือว่าผ่านโดยไม่ลองกดใช้งาน
• ลืมเช็กบัญชีแอดมินเก่าที่สร้างไว้ตอนพัฒนาเว็บ ทำให้มีคนนอกทีมเข้าถึงข้อมูลได้หลังส่งมอบงานไปแล้ว
• ใช้เช็กลิสต์นี้แค่ครั้งเดียวตอนเปิดเว็บใหม่ แล้วไม่นำมาใช้ซ้ำเมื่อลูกค้าขอแก้ไขเว็บภายหลัง
• มอบเช็กลิสต์ให้นักพัฒนาคนใหม่โดยไม่อธิบายบริบทว่าแต่ละข้อสำคัญอย่างไร ทำให้ติ๊กผ่านตามความเข้าใจของตัวเองโดยไม่ได้ตรวจตามเจตนาที่แท้จริง

ข้อควรระวังเมื่อเวลาส่งมอบงานถูกบีบให้สั้นลง

ในโปรเจกต์ที่ลูกค้าเร่งเปิดเว็บให้ทันวันที่กำหนดไว้ล่วงหน้า ทีมงานมักถูกกดดันให้ตัดขั้นตอนบางอย่างออกเพื่อความเร็ว จุดที่ไม่ควรตัดออกเด็ดขาดคือการทดสอบปุ่ม Export/Erase จริง เพราะเป็นกลไกที่ตอบสนองต่อคำขอสิทธิ์ของเจ้าของข้อมูลโดยตรง ส่วนขั้นตอนอย่างการนัดตรวจซ้ำรอบถัดไปสามารถเลื่อนกำหนดได้หากจำเป็น แต่ต้องบันทึกไว้ชัดเจนว่ายังไม่ได้ทำ ไม่ใช่ปล่อยผ่านไปเงียบ ๆ โดยไม่มีใครติดตามต่อ

สรุปเช็กลิสต์ WordPress PDPA สำหรับเอเจนซี

เช็กลิสต์นี้ออกแบบให้ใช้ซ้ำได้ทุกโปรเจกต์ ครอบคลุมสามกลุ่มหลักคือเครื่องมือ Privacy ของ core การตั้งค่าคอมเมนต์และคุกกี้ และสิทธิ์การเข้าถึงบัญชี การติ๊กผ่านทุกข้อก่อนเปิดใช้งานเว็บช่วยลดโอกาสที่ทีมงานจะต้องแก้ปัญหาแบบเร่งด่วนหลังเว็บเปิดใช้งานจริงแล้ว หากต้องการดูขั้นตอนตรวจแบบละเอียดกว่านี้ สามารถอ่านต่อได้ที่ วิธี Audit WordPress PDPA พร้อม Evidence และดูภาพรวมทั้งหมดของหัวข้อนี้ได้ที่ คู่มือภาพรวม WordPress PDPA สำหรับเอเจนซี หรือสำรวจหมวดอื่นที่เกี่ยวข้องได้ที่ ศูนย์ความรู้ Platforms & Integrations

แหล่งข้อมูลอ้างอิง

เช็กลิสต์นี้อิงจากคำอธิบายกลไก Privacy Tools ใน WordPress Developer Resources หมวด Privacy โดยตรง ทีมงานควรตรวจสอบเอกสารต้นทางซ้ำทุกครั้งที่ WordPress ออกเวอร์ชันใหญ่ เพราะฟีเจอร์เหล่านี้อาจมีการปรับหน้าตาหรือตำแหน่งเมนูในแต่ละรุ่น