วิธี Audit WordPress PDPA ของเว็บไซต์ธุรกิจทั่วไปและ SME พร้อม Evidence ที่ควรเก็บ

เว็บ WordPress ของ SME ส่วนใหญ่มีจุดเก็บข้อมูลส่วนบุคคลกระจายอยู่หลายที่โดยเจ้าของเว็บเองก็ไม่รู้ตัวครบทุกจุด ฟอร์มติดต่อในหน้า Contact ปลั๊กอินสมัครสมาชิก ช่องคอมเมนต์ใต้บทความ ระบบจองคิว หรือแม้แต่ฟีเจอร์ log in ด้วยอีเมลของธีม ล้วนเป็นช่องทางที่ข้อมูลส่วนบุคคลไหลเข้าออกโดยไม่มีใครตรวจซ้ำ การ Audit WordPress PDPA คือการไล่ตรวจทีละจุดเหล่านี้อย่างเป็นระบบ แล้วเก็บหลักฐานไว้เป็นชุด ไม่ใช่แค่เขียนนโยบายความเป็นส่วนตัวแปะไว้ท้ายเว็บแล้วจบ

บทความนี้วางขั้นตอน Audit แบบที่เจ้าของกิจการและผู้ดูแลเว็บไซต์ทำเองได้ พร้อมตัวอย่าง Evidence ที่ควรเก็บในแต่ละจุด เพื่อให้เมื่อมีคนถามหรือมีข้อพิพาทเกิดขึ้น มีเอกสารย้อนกลับไปดูได้ว่าเว็บทำอะไรไปแล้วบ้าง

ขั้นตอนที่ 1: ทำแผนที่จุดเก็บข้อมูลบนเว็บ (Data Point Mapping)

เริ่มจากไล่ทุกหน้าของเว็บ ไม่ใช่แค่หน้าแรกกับหน้า Contact เปิด Dashboard ของ WordPress แล้วดูเมนู Plugins ทั้งหมดที่ติดตั้งอยู่ ปลั๊กอินแต่ละตัวที่เกี่ยวกับฟอร์ม อีคอมเมิร์ซ สมาชิก หรือการตลาด มักเป็นจุดเก็บข้อมูลทั้งสิ้น ตัวอย่างจุดที่ต้องเช็คทุกครั้ง ได้แก่ ฟอร์มติดต่อ (Contact Form 7, WPForms, Fluent Forms) ระบบคอมเมนต์ในตัว WordPress core ปลั๊กอินสมาชิก/ล็อกอิน ปลั๊กอินจองคิวหรือจองห้อง ระบบตะกร้าสินค้าถ้ามี WooCommerce ติดตั้งอยู่ และสคริปต์ติดตามจากภายนอกอย่าง Google Analytics หรือ Meta Pixel ที่ฝังผ่านปลั๊กอินจัดการโค้ด

ให้จดทุกจุดลงในตารางเดียว ระบุว่าจุดนั้นเก็บข้อมูลอะไร (ชื่อ อีเมล เบอร์โทร ที่อยู่ IP) เก็บไปทำอะไร และส่งข้อมูลไปที่ไหนต่อ เช่น ฟอร์มติดต่อส่งอีเมลไปที่กล่องขององค์กร หรือปลั๊กอิน Newsletter ส่งข้อมูลออกไปยังเซิร์ฟเวอร์ของผู้ให้บริการอีเมลภายนอก ตารางนี้คือ Evidence ชิ้นแรกที่ควรเก็บไว้ และควรอัปเดตทุกครั้งที่ติดตั้งปลั๊กอินใหม่

ขั้นตอนที่ 2: ตรวจเครื่องมือ Privacy ในตัว WordPress

WordPress core มีเครื่องมือ Privacy ติดตั้งมาให้ตั้งแต่เวอร์ชัน 4.9.6 อยู่ที่เมนู Settings > Privacy ใช้กำหนดหน้านโยบายความเป็นส่วนตัวหลักของเว็บ และมีเครื่องมือ Export Personal Data กับ Erase Personal Data อยู่ที่เมนู Tools ที่ผู้ดูแลเว็บใช้ค้นหาและส่งออกหรือลบข้อมูลของบุคคลใดบุคคลหนึ่งเมื่อมีการร้องขอ ให้ทดสอบจริงว่าเมื่อพิมพ์อีเมลของผู้ทดสอบเข้าไปในระบบ Export ระบบดึงข้อมูลจากปลั๊กอินที่ติดตั้งอยู่ครบหรือไม่ เพราะปลั๊กอินบางตัวไม่ได้ผูกเข้ากับระบบ Privacy ของ core ทำให้ export ออกมาไม่ครบ

Evidence ที่ควรเก็บในขั้นตอนนี้คือภาพหน้าจอผลการทดสอบ export/erase พร้อมวันที่ทดสอบ และรายชื่อปลั๊กอินที่ยืนยันแล้วว่าเชื่อมกับระบบนี้ได้จริง กับปลั๊กอินที่ต้องจัดการข้อมูลแยกต่างหากเพราะไม่รองรับ

ปลั๊กอินที่ไม่เชื่อมกับระบบ Privacy ของ WordPress core ต้องทำอย่างไร

ในทางปฏิบัติ ปลั๊กอินฟอร์มหรือปลั๊กอินสมาชิกหลายตัวไม่ได้ผูกเข้ากับเครื่องมือ Export/Erase Personal Data ของ core โดยอัตโนมัติ โดยเฉพาะปลั๊กอินฟรีที่ไม่ได้อัปเดตมานาน หรือปลั๊กอินที่พัฒนาขึ้นเฉพาะสำหรับธุรกิจนั้น ๆ วิธีรับมือคือ เข้าไปดูหน้าจัดการข้อมูลของปลั๊กอินนั้นโดยตรงว่ามีเมนูค้นหาข้อมูลตามอีเมลหรือชื่อผู้ใช้หรือไม่ ถ้ามี ให้บันทึกขั้นตอนการค้นหาและลบข้อมูลด้วยตนเองไว้เป็นคู่มือสั้น ๆ แนบไปกับตารางแผนที่จุดเก็บข้อมูล เพื่อให้เมื่อมีคำขอใช้สิทธิเข้ามา ผู้ดูแลเว็บรู้ทันทีว่าต้องเปิดปลั๊กอินไหนไปจัดการข้อมูลเพิ่ม แทนที่จะพึ่งเครื่องมือ Export อัตโนมัติของ core เพียงอย่างเดียวแล้วคิดว่าครบแล้ว

ขั้นตอนที่ 3: ตรวจแบนเนอร์คุกกี้และการขอความยินยอม

เว็บ SME จำนวนมากติดปลั๊กอินคุกกี้แบบตั้งค่าเริ่มต้นแล้วไม่เคยกลับไปดูอีก จุดที่ต้อง Audit คือ แบนเนอร์คุกกี้ปรากฏก่อนที่สคริปต์ติดตาม (Analytics, Pixel) จะเริ่มทำงานจริงหรือไม่ ผู้เข้าชมสามารถปฏิเสธคุกกี้ที่ไม่จำเป็นได้ง่ายพอ ๆ กับการกดยอมรับหรือไม่ และมีการบันทึกว่าใครยินยอมเมื่อใดเก็บไว้เป็นล็อกหรือไม่ ให้เปิดเว็บด้วยโหมด Incognito แล้วเช็คผ่าน Developer Tools ว่ามีคุกกี้ของ Analytics หรือ Pixel ถูกตั้งก่อนกดยินยอมหรือไม่ ถ้ามีคือจุดที่ต้องแก้ไขการตั้งค่าปลั๊กอินคุกกี้ทันที

Evidence ที่ควรเก็บคือภาพหน้าจอแบนเนอร์คุกกี้พร้อมการตั้งค่าปลั๊กอิน และผลตรวจ Developer Tools ที่ยืนยันลำดับการโหลดสคริปต์

ตรวจฟอร์มสมัครสมาชิกและระบบล็อกอินแยกต่างหาก

เว็บ SME ที่มีระบบสมาชิกหรือระบบล็อกอินด้วยอีเมล มักเก็บข้อมูลมากกว่าฟอร์มติดต่อทั่วไป เช่น รหัสผ่านที่เข้ารหัสไว้ ประวัติการสั่งซื้อ หรือที่อยู่จัดส่ง ให้ตรวจแยกจุดนี้ต่างหากจากฟอร์มติดต่อธรรมดา โดยดูว่าเมื่อสมาชิกลบบัญชีตัวเองผ่านหน้าโปรไฟล์ ข้อมูลที่เกี่ยวข้องถูกลบหรือถูกทำให้ไม่ระบุตัวตนจริงหรือไม่ หรือยังค้างอยู่ในฐานข้อมูลเหมือนเดิม บางปลั๊กอินสมาชิกมีปุ่มลบบัญชีที่จริง ๆ แล้วแค่ปิดสถานะบัญชีไว้ ไม่ได้ลบข้อมูลออกจากฐานข้อมูลจริง จุดนี้ต้องทดสอบจริงด้วยบัญชีทดลองแล้วเช็คในฐานข้อมูลว่าข้อมูลหายไปจริงหรือไม่

ขั้นตอนที่ 4: ตรวจสัญญา/ข้อตกลงกับผู้ให้บริการภายนอก

ข้อมูลที่เก็บผ่าน WordPress มักไม่ได้อยู่บนเซิร์ฟเวอร์เดียวทั้งหมด ปลั๊กอินฟอร์มหลายตัวส่งข้อมูลออกไปเก็บที่เซิร์ฟเวอร์ของผู้พัฒนาปลั๊กอินเอง ปลั๊กอิน Newsletter เชื่อมกับผู้ให้บริการอีเมลภายนอก และ Hosting เองก็เป็นผู้ประมวลผลข้อมูลรายหนึ่ง ให้ไล่รายชื่อผู้ให้บริการภายนอกทั้งหมดที่ข้อมูลไหลไปถึง แล้วตรวจว่ามีข้อตกลงหรือเงื่อนไขการใช้งานที่ระบุเรื่องการคุ้มครองข้อมูลของผู้ให้บริการแต่ละรายหรือไม่ เก็บลิงก์หรือไฟล์ข้อตกลงเหล่านั้นไว้เป็น Evidence ประกอบ

ใครควรเป็นผู้รับผิดชอบเก็บ Evidence ในทีม

เว็บ SME ขนาดเล็กมักไม่มีตำแหน่งเจ้าหน้าที่คุ้มครองข้อมูลโดยเฉพาะ งานนี้จึงมักตกอยู่กับผู้ดูแลเว็บหรือเจ้าของกิจการเอง สิ่งที่ควรทำคือกำหนดให้ชัดว่าใครในทีมเป็นผู้รับผิดชอบหลักในการอัปเดตตารางแผนที่จุดเก็บข้อมูลทุกครั้งที่มีปลั๊กอินใหม่ และใครเป็นผู้เก็บรักษาไฟล์ Evidence ทั้งชุด หากทีมมีมากกว่าหนึ่งคนดูแลเว็บ ควรมีบันทึกส่งต่องานเมื่อมีการเปลี่ยนตัวผู้ดูแล เพื่อไม่ให้ความรู้เกี่ยวกับจุดเก็บข้อมูลของเว็บหายไปพร้อมกับคนที่ลาออก การมีเจ้าของงานชัดเจนสำคัญพอ ๆ กับตัวขั้นตอน Audit เอง เพราะถ้าไม่มีใครรับผิดชอบต่อเนื่อง ชุด Evidence ที่ทำไว้ครั้งแรกก็จะล้าสมัยอย่างรวดเร็วเมื่อเว็บมีการเปลี่ยนแปลง

โครงสร้างชุด Evidence ที่ควรเก็บหลัง Audit

เมื่อ Audit ครบทุกจุดแล้ว ให้รวบรวมเป็นชุดเอกสารเดียวที่หาได้ง่ายเมื่อจำเป็น ประกอบด้วยตารางแผนที่จุดเก็บข้อมูล (จากขั้นตอนที่ 1) ผลทดสอบเครื่องมือ Privacy ของ core ภาพหน้าจอการตั้งค่าคุกกี้และผลตรวจ Developer Tools รายชื่อผู้ให้บริการภายนอกพร้อมข้อตกลงที่เกี่ยวข้อง และวันที่ Audit ล่าสุดพร้อมชื่อผู้ตรวจ ชุดเอกสารนี้ไม่ได้ทำให้เว็บกลายเป็นเว็บที่ปฏิบัติตาม PDPA ครบถ้วนโดยอัตโนมัติ แต่เป็นหลักฐานว่าเว็บมีกระบวนการตรวจสอบต่อเนื่อง ซึ่งมีประโยชน์มากกว่าการไม่มีอะไรเลยเมื่อเกิดคำถามจากลูกค้าหรือหน่วยงานที่เกี่ยวข้อง หากต้องการวางแนวทางแก้ไขปัญหาที่พบระหว่าง Audit อย่างเป็นระบบ อ่านเพิ่มเติมได้ที่ คู่มือ WordPress PDPA ฉบับเต็ม และหากเว็บใช้ WooCommerce ร่วมด้วย ควรตรวจแยกเพิ่มเติมตาม แนวทางความเป็นส่วนตัวสำหรับ WooCommerce

คำถามที่พบบ่อย

Audit WordPress PDPA ต้องทำบ่อยแค่ไหน ควรทำอย่างน้อยทุก 6 เดือน หรือทันทีที่มีการติดตั้งปลั๊กอินใหม่ที่เกี่ยวกับการเก็บข้อมูล เพราะแผนที่จุดเก็บข้อมูลจะเปลี่ยนทุกครั้งที่มีปลั๊กอินใหม่เข้ามา

ถ้าไม่มีทีมกฎหมายจะเริ่ม Audit เองได้ไหม เริ่มได้จากขั้นตอนที่ 1-3 ในบทความนี้ก่อน เพราะเป็นงานเชิงเทคนิคที่ผู้ดูแลเว็บทำเองได้ ส่วนขั้นตอนที่ 4 ที่เกี่ยวกับข้อตกลงกับผู้ให้บริการภายนอก หากไม่แน่ใจควรปรึกษาผู้เชี่ยวชาญเพิ่มเติมก่อนสรุป

เก็บ Evidence ไว้ที่ไหนดี เก็บเป็นโฟลเดอร์แยกต่างหากนอกเว็บไซต์ เช่น ระบบจัดเก็บเอกสารภายในองค์กร ไม่ควรเก็บไว้บนเซิร์ฟเวอร์เดียวกับเว็บเพียงอย่างเดียว เพราะหากเว็บมีปัญหา เอกสารอาจหายไปพร้อมกัน

เช็กลิสต์ปฏิบัติ

• ทำตารางแผนที่จุดเก็บข้อมูลทุกปลั๊กอินและทุกฟอร์มบนเว็บ
• ทดสอบเครื่องมือ Export/Erase Personal Data ใน Settings > Privacy จริง
• เช็คลำดับการโหลดสคริปต์ Analytics/Pixel เทียบกับการกดยินยอมคุกกี้
• รวบรวมรายชื่อผู้ให้บริการภายนอกที่ข้อมูลไหลไปถึงพร้อมข้อตกลงที่เกี่ยวข้อง
• บันทึกวันที่ Audit และผู้รับผิดชอบไว้ในชุดเอกสารทุกครั้ง
• เก็บ Evidence ทั้งหมดไว้นอกเซิร์ฟเวอร์หลักของเว็บ

ข้อผิดพลาดที่พบบ่อย

• Audit ครั้งเดียวตอนเริ่มทำเว็บแล้วไม่เคยกลับมาตรวจซ้ำ ทั้งที่มีปลั๊กอินใหม่เพิ่มเข้ามาเรื่อย ๆ
• ตั้งค่าปลั๊กอินคุกกี้แบบ default โดยไม่เช็คว่าสคริปต์ติดตามเริ่มทำงานก่อนขอความยินยอมหรือไม่
• ทดสอบเครื่องมือ Export Personal Data แต่ไม่ได้เช็คว่าปลั๊กอินฟอร์มที่ใช้จริงเชื่อมกับระบบนี้หรือไม่
• ไม่มีรายชื่อผู้ให้บริการภายนอกที่ชัดเจน ทำให้ตอบคำถามลูกค้าเกี่ยวกับปลายทางข้อมูลไม่ได้
• เก็บ Evidence กระจัดกระจายในหลายที่จนหาไม่เจอเมื่อจำเป็นต้องใช้

สรุป

การ Audit WordPress PDPA ของเว็บ SME ไม่ใช่งานเอกสารครั้งเดียวจบ แต่เป็นกระบวนการไล่ตรวจจุดเก็บข้อมูลจริงบนเว็บอย่างสม่ำเสมอ พร้อมเก็บ Evidence ไว้เป็นชุด เพื่อให้มีหลักฐานย้อนกลับไปดูได้เมื่อจำเป็น ทำตามขั้นตอนทั้ง 4 ข้อนี้เป็นประจำจะช่วยลดความเสี่ยงที่จุดเก็บข้อมูลใหม่จะหลุดรอดการตรวจสอบไป กำหนดผู้รับผิดชอบให้ชัดเจนตั้งแต่วันแรก เพื่อให้ Evidence ที่เก็บไว้ยังใช้งานได้จริงเมื่อเว็บมีการเปลี่ยนแปลงในอนาคต

แหล่งข้อมูลอ้างอิง

• WordPress Developer Resources — Privacy