WordPress PDPA คืออะไร? คู่มือสำหรับเว็บไซต์ธุรกิจทั่วไปและ SME

เว็บที่สร้างด้วย WordPress เก็บข้อมูลส่วนบุคคลมากกว่าที่เจ้าของเว็บส่วนใหญ่คิด ไม่ใช่แค่ฟอร์มติดต่อหรือฟอร์มสมัครสมาชิกที่เห็นชัด แต่ตัวระบบคอมเมนต์ ระบบสมาชิก ปลั๊กอินป้องกันสแปม และธีมที่โหลดฟอนต์จากภายนอก ล้วนเกี่ยวข้องกับข้อมูลส่วนบุคคลทั้งสิ้น เจ้าของกิจการที่ใช้ WordPress ทำเว็บบริษัทหรือเว็บขายของจึงต้องรู้ว่าอะไรเกิดขึ้นจริงในเว็บของตัวเอง ก่อนจะไปคิดเรื่อง Cookie Banner หรือ Privacy Policy

บทความนี้อธิบายภาพรวมของ WordPress PDPA สำหรับเว็บไซต์ธุรกิจทั่วไปและ SME คือ ตั้งแต่จุดที่ WordPress เก็บข้อมูลจริง เครื่องมือ Privacy ที่มากับตัว WordPress core อยู่แล้ว ไปจนถึงความเสี่ยงเพิ่มเติมจากปลั๊กอินและธีม เพื่อให้เจ้าของเว็บเห็นภาพรวมก่อนลงมือแก้ทีละจุด

WordPress เก็บข้อมูลส่วนบุคคลจากจุดไหนบ้าง

ระบบคอมเมนต์ในตัว WordPress เก็บชื่อ อีเมล เว็บไซต์ที่ผู้แสดงความเห็นกรอก รวมถึง IP Address และ User Agent ของเบราว์เซอร์โดยอัตโนมัติ แม้เจ้าของเว็บจะไม่ได้ตั้งค่าอะไรเพิ่มก็ตาม ถ้าเปิดให้คอมเมนต์แบบไม่ต้องล็อกอิน ข้อมูลชุดนี้จะถูกเก็บไว้ในฐานข้อมูลตลอดไปจนกว่าจะมีคนลบ

บัญชีผู้ใช้ (Users) ก็เป็นอีกจุดที่เก็บข้อมูลส่วนบุคคล ไม่ว่าจะเป็นแอดมิน ผู้เขียนบทความ หรือสมาชิกเว็บ ระบบจะเก็บชื่อผู้ใช้ อีเมล และข้อมูลโปรไฟล์อื่น ๆ ตาม Field ที่ธีมหรือปลั๊กอินเพิ่มเข้ามา ถ้าเว็บเปิดให้ลูกค้าสมัครสมาชิกเพื่อสั่งซื้อหรือดาวน์โหลดเอกสาร ข้อมูลชุดนี้จะขยายตัวเร็วตามจำนวนผู้ใช้

เว็บที่เปิดให้สมัครสมาชิกหรือเข้าสู่ระบบยังมี Session และ Cookie ที่ผูกกับผู้ใช้แต่ละคนโดยตรง เช่น Cookie ยืนยันตัวตนหลังล็อกอิน หรือ Cookie จำการตั้งค่าตะกร้าสินค้า ซึ่งจัดเป็นข้อมูลจำเป็นต่อการใช้งานเว็บ แต่ก็ยังเป็นข้อมูลที่ควรระบุไว้ในบัญชีรายการ Cookie ให้ครบ ไม่ใช่มองข้ามเพราะคิดว่าเป็นเรื่องทางเทคนิคเพียงอย่างเดียว

นอกจากนี้ยังมีข้อมูลที่มองไม่เห็นด้วยตาเปล่า เช่น Media Library ที่อาจมี Metadata ของรูปภาพติดมาจากกล้องหรือมือถือของลูกค้า ฟอร์มติดต่อที่ปลั๊กอินอย่าง Contact Form 7 หรือ WPForms ส่งอีเมลแจ้งเตือนออกไปโดยอาจไม่มีการลบข้อมูลออกจากระบบเลย และ REST API ของ WordPress core ที่บางเส้นทางเปิดให้ดึงข้อมูลผู้ใช้แบบสาธารณะได้หากไม่ปิดสิทธิ์ให้ถูกต้อง

เครื่องมือ Privacy ที่ WordPress มีให้อยู่แล้ว

หน้านโยบายความเป็นส่วนตัว (Privacy Policy Page)

เมนู Settings มีหัวข้อ Privacy ให้เจ้าของเว็บเลือกหรือสร้างหน้า Privacy Policy แล้วตั้งเป็นหน้าอ้างอิงหลักของเว็บ ปลั๊กอินหลายตัวที่เขียนตามมาตรฐานของ WordPress core จะเสนอข้อความ Suggested Text ไปเติมในหน้านี้โดยอัตโนมัติเมื่อถูกติดตั้ง แต่ข้อความที่เสนอมาเป็นเพียงจุดเริ่มต้น เจ้าของเว็บยังต้องอ่านและแก้ให้ตรงกับสิ่งที่เว็บเก็บจริง ไม่ใช่ปล่อยข้อความเทมเพลตไว้เฉย ๆ

เครื่องมือส่งออกและลบข้อมูลส่วนบุคคล

เมนู Tools มีทั้ง Export Personal Data และ Erase Personal Data ให้แอดมินสร้างคำขอ ยืนยันตัวตนผู้ร้องขอผ่านอีเมล แล้วดึงข้อมูลที่เกี่ยวข้องกับอีเมลนั้นออกมาเป็นไฟล์ หรือสั่งลบข้อมูลออกจากระบบได้ เครื่องมือนี้ครอบคลุมเฉพาะข้อมูลที่ WordPress core และปลั๊กอินที่รองรับ Privacy Export/Erase Hook ลงทะเบียนไว้เท่านั้น ปลั๊กอินรุ่นเก่าหรือปลั๊กอินที่ไม่ได้เขียนรองรับฟีเจอร์นี้จะไม่ถูกดึงข้อมูลออกมาด้วย เจ้าของเว็บจึงต้องตรวจเองว่าปลั๊กอินหลักที่ใช้อยู่ เช่น ระบบสมาชิกหรือระบบจองคิว รองรับเครื่องมือนี้หรือไม่

ปลั๊กอินและธีมคือจุดเสี่ยงที่มาพร้อมความสะดวก

ปลั๊กอินป้องกันสแปมคอมเมนต์อย่าง Akismet ทำงานโดยส่งเนื้อหาคอมเมนต์ อีเมล และ IP ของผู้แสดงความเห็นไปตรวจสอบกับเซิร์ฟเวอร์ของผู้ให้บริการ ซึ่งเป็นการส่งข้อมูลออกนอกเว็บของธุรกิจไปยังบริษัทภายนอกโดยอัตโนมัติทันทีที่เปิดใช้งาน เจ้าของเว็บจึงต้องระบุเรื่องนี้ไว้ในหน้า Privacy Policy ให้ตรงกับความจริง

ปลั๊กอินอย่าง Jetpack เชื่อมต่อเว็บเข้ากับบัญชี WordPress.com เพื่อใช้ฟีเจอร์สถิติผู้เข้าชม สำรองข้อมูล หรือแชร์โซเชียล ซึ่งหมายความว่าข้อมูลการเข้าชมเว็บบางส่วนถูกส่งไปประมวลผลที่ระบบของ Automattic ส่วนปลั๊กอินวิเคราะห์เว็บอย่าง Site Kit หรือ MonsterInsights ก็ฝัง Tracking Script ของ Google Analytics เข้าไปในหน้าเว็บโดยตรง ถ้าไม่มีการควบคุมการทำงานของสคริปต์เหล่านี้ให้รอตามที่ผู้ใช้กดยินยอมก่อน สคริปต์ก็จะเริ่มเก็บข้อมูลทันทีที่หน้าเว็บโหลดเสร็จ

อีกจุดที่มักถูกมองข้ามคือ Gravatar รูปโปรไฟล์ที่แสดงข้าง ๆ ชื่อผู้แสดงความเห็นในหลายธีม ทำงานโดยนำอีเมลของผู้คอมเมนต์ไป Hash แล้วส่งคำขอไปที่เซิร์ฟเวอร์ Gravatar เพื่อดึงรูปมาแสดง ซึ่งเป็นการส่งข้อมูลที่เกี่ยวข้องกับอีเมลออกไปยังบริการภายนอกเช่นกัน แม้ผู้ใช้จะไม่เคยสมัคร Gravatar เลยก็ตาม ปลั๊กอินแคชสำหรับเพิ่มความเร็วเว็บก็อาจสร้างไฟล์ Static HTML ที่มีข้อมูลเฉพาะผู้ใช้ติดค้างอยู่ในแคชนานเกินจำเป็นได้เช่นกัน ถ้าไม่ได้ตั้งค่ายกเว้นหน้าที่เกี่ยวข้องกับบัญชีผู้ใช้ไว้

ใครควรเป็นเจ้าของงานนี้ในทีม

เว็บ WordPress ของ SME ส่วนใหญ่ไม่มีทีมพัฒนาเว็บประจำ งานดูแลเว็บมักกระจายอยู่ระหว่างเจ้าของกิจการ ทีมการตลาดที่เพิ่ม Tracking Script เอง และนักพัฒนาภายนอกที่รับจ้างทำเว็บครั้งเดียวแล้วจากไป จุดอ่อนที่พบบ่อยคือทีมการตลาดติดตั้งปลั๊กอินวิเคราะห์หรือ Pixel โฆษณาเพิ่มเองโดยไม่ได้แจ้งคนที่ดูแล Privacy Policy ทำให้เอกสารกับสิ่งที่เว็บทำจริงไม่ตรงกัน

แนวทางที่ใช้ได้จริงสำหรับ SME คือกำหนดคนหนึ่งคนเป็นเจ้าของงานนี้ ไม่จำเป็นต้องเป็นนักกฎหมาย แต่ต้องเป็นคนที่รู้ว่าเว็บมีปลั๊กอินอะไรติดตั้งอยู่ และมีสิทธิ์เข้าถึงหลังบ้านของ WordPress ทุกครั้งที่มีการติดตั้งปลั๊กอินใหม่หรือเปลี่ยนธีม คนนี้ควรได้รับแจ้งเพื่อตรวจสอบว่าปลั๊กอินตัวใหม่เก็บหรือส่งข้อมูลอะไรเพิ่มบ้าง แล้วอัปเดตหน้า Privacy Policy ให้ตรงกับความเปลี่ยนแปลงนั้น

ถ้าเว็บใช้นักพัฒนาภายนอกหรือเอเจนซี่รับดูแล ควรตกลงกันตั้งแต่ต้นว่าใครมีหน้าที่แจ้งเมื่อมีการเพิ่มปลั๊กอินหรือแก้โค้ด และใครเป็นคนอนุมัติก่อนขึ้นเว็บจริง เพราะบ่อยครั้งที่นักพัฒนาแก้เว็บให้ตามที่ทีมการตลาดขอโดยตรง แต่ไม่มีใครแจ้งกลับมาที่เจ้าของกิจการว่าเว็บเปลี่ยนพฤติกรรมการเก็บข้อมูลไปแล้ว การกำหนดขั้นตอนแจ้งเตือนง่าย ๆ เช่น อีเมลสรุปทุกครั้งที่ติดตั้งปลั๊กอินใหม่ ช่วยลดช่องว่างนี้ได้มาก

คำถามที่พบบ่อย

WordPress core มีเครื่องมือลบข้อมูลผู้ใช้ให้พร้อมใช้เลยหรือไม่ มีเครื่องมือ Erase Personal Data ให้ในเมนู Tools แต่ครอบคลุมเฉพาะข้อมูลที่ WordPress core และปลั๊กอินที่รองรับ Privacy Hook ลงทะเบียนไว้ ปลั๊กอินที่ไม่รองรับจะต้องตรวจและลบข้อมูลแยกต่างหาก

ติดตั้งปลั๊กอิน Cookie Consent อย่างเดียวพอไหมสำหรับเว็บ WordPress ปลั๊กอิน Consent ช่วยจัดการการยินยอมของผู้ใช้และควบคุมสคริปต์ตาม Category ได้ แต่ไม่ได้ครอบคลุมงานหลังบ้าน เช่น Privacy Policy ที่ตรงกับความจริง เครื่องมือ Export/Erase หรือการดูแลข้อมูลในฐานข้อมูล

ธีมที่ซื้อมาจากตลาดกลางมีความเสี่ยงด้าน Privacy หรือไม่ ธีมสำเร็จรูปมักฝังฟอนต์จาก Google Fonts, ไอคอนจาก CDN ภายนอก หรือสคริปต์เดโมที่โหลดจากเซิร์ฟเวอร์ผู้พัฒนาธีม ซึ่งล้วนเป็นการเชื่อมต่อไปยังเซิร์ฟเวอร์ภายนอกที่ควรตรวจสอบและระบุไว้ในนโยบายความเป็นส่วนตัว

ปลั๊กอินอย่าง Akismet และ Jetpack ส่งข้อมูลออกนอกเว็บจริงหรือไม่ จริง เพราะทั้งสองตัวเป็นบริการที่เชื่อมต่อกับเซิร์ฟเวอร์ของ Automattic โดยตรง Akismet ส่งเนื้อหาคอมเมนต์ อีเมล และ IP ของผู้แสดงความเห็นไปประมวลผลเพื่อตรวจสแปม ส่วน Jetpack ส่งข้อมูลการเข้าชมและการตั้งค่าบางส่วนของเว็บไปยังระบบ WordPress.com เจ้าของเว็บที่ใช้ปลั๊กอินทั้งสองตัวควรระบุการเชื่อมต่อนี้ไว้ในหน้า Privacy Policy ให้ตรงกับความจริง

ตัวอย่างสถานการณ์ที่พบได้จริงในเว็บ SME

สถานการณ์ที่พบบ่อยที่สุดคือทีมการตลาดเปิดปลั๊กอิน Pixel โฆษณาเพิ่มเองผ่านหน้าตั้งค่าธีมหรือปลั๊กอิน Custom Code โดยไม่ได้แจ้งใครในทีม ทำให้สคริปต์ยิงข้อมูลผู้เข้าชมไปยังแพลตฟอร์มโฆษณาก่อนที่ผู้ใช้จะกดยินยอมบน Cookie Banner ด้วยซ้ำ เพราะ Banner กับสคริปต์ถูกติดตั้งแยกกันคนละจุด และไม่มีใครทดสอบว่าคุมกันได้จริง

อีกสถานการณ์คือเปลี่ยนธีมใหม่แล้วพบว่าฟอร์มติดต่อหรือโค้ดติดตามที่เคยฝังไว้ในธีมเก่าหายไป ทีมเว็บอาจไปเพิ่มสคริปต์เดิมกลับเข้าไปในธีมใหม่แบบรีบ ๆ โดยลืมตรวจว่าตำแหน่งใหม่ทำงานสอดคล้องกับการตั้งค่า Consent เดิมหรือไม่ ส่วนกรณีที่พบบ่อยไม่แพ้กันคือปลั๊กอินอัปเดตเวอร์ชันใหม่แล้วเพิ่ม Cookie หรือ Local Storage ใหม่เข้ามาโดยผู้ดูแลเว็บไม่ทันสังเกต เพราะ Release Note ของปลั๊กอินมักไม่ได้เขียนเรื่อง Privacy ไว้ชัดเจน

เช็กลิสต์ปฏิบัติ

• เปิด Settings > Privacy แล้วตรวจว่าหน้า Privacy Policy ตั้งค่าไว้ถูกต้องและมีเนื้อหาตรงกับเว็บจริง
• ทดสอบเมนู Tools > Export Personal Data และ Erase Personal Data ว่าทำงานได้จริงกับบัญชีทดสอบ
• ไล่ดูรายการปลั๊กอินที่ติดตั้งทั้งหมดแล้วจดว่าตัวไหนส่งข้อมูลออกนอกเว็บบ้าง เช่น Akismet, Jetpack, ปลั๊กอินวิเคราะห์
• ตรวจว่าธีมโหลดฟอนต์หรือสคริปต์จากเซิร์ฟเวอร์ภายนอกกี่จุด แล้วบันทึกไว้เป็นรายการ
• มอบหมายเจ้าของงานหนึ่งคนให้รับผิดชอบทุกครั้งที่มีการติดตั้งปลั๊กอินหรือเปลี่ยนธีมใหม่
• ตรวจสอบว่าฟอร์มติดต่อและระบบคอมเมนต์เก็บข้อมูลไว้นานเท่าไร มีการลบข้อมูลเก่าหรือไม่

ข้อผิดพลาดที่พบบ่อย

• ปล่อยข้อความ Privacy Policy ที่ปลั๊กอินเสนอให้อัตโนมัติไว้แบบไม่แก้ไข ทั้งที่เว็บเก็บข้อมูลไม่ตรงกับเทมเพลตนั้น
• ติดตั้งปลั๊กอินวิเคราะห์หรือปลั๊กอินการตลาดใหม่โดยไม่แจ้งคนที่ดูแลหน้า Privacy Policy
• ไม่เคยทดสอบเครื่องมือ Export/Erase Personal Data จนไม่รู้ว่าใช้งานได้จริงหรือไม่เมื่อมีคำขอเข้ามาจริง
• คิดว่าติด Cookie Consent Banner แล้วจบ โดยไม่ตรวจว่าสคริปต์ยังทำงานก่อนผู้ใช้กดยินยอมหรือไม่
• ไม่มีใครเป็นเจ้าของงานนี้ในทีม ทำให้ไม่มีใครรู้ว่าเว็บเปลี่ยนแปลงอะไรไปบ้างในแต่ละเดือน

สรุป

WordPress ให้เครื่องมือ Privacy พื้นฐานมาในตัวอยู่แล้ว ทั้งหน้า Privacy Policy และเครื่องมือ Export/Erase Personal Data แต่ความเสี่ยงส่วนใหญ่ของเว็บ SME มาจากปลั๊กอินและธีมที่ติดตั้งเพิ่มโดยไม่มีใครติดตามว่าส่งข้อมูลออกไปที่ไหนบ้าง การมอบหมายเจ้าของงานหนึ่งคนและตรวจสอบทุกครั้งที่เว็บเปลี่ยนแปลงจึงเป็นจุดเริ่มต้นที่จำเป็นกว่าการหาปลั๊กอินตัวเดียวมาแก้ทุกอย่าง

แหล่งข้อมูลอ้างอิง

• WordPress Developer Resources — Privacy
• วิธีวางระบบ WordPress PDPA แบบเป็นขั้นตอน
• วิธี Audit WordPress PDPA พร้อม Evidence ที่ควรเก็บ