วิธีวางระบบ WordPress PDPA สำหรับเว็บไซต์ธุรกิจทั่วไปและ SME แบบเป็นขั้นตอน

เว็บไซต์ WordPress ทั่วไปที่ไม่ใช่ร้านค้าออนไลน์ เช่น เว็บบริษัท เว็บบริการ หรือเว็บบล็อกของธุรกิจ มักมองข้ามเรื่องความเป็นส่วนตัวเพราะคิดว่าไม่มีการขายของจึงไม่มีข้อมูลอ่อนไหว แต่ในความเป็นจริงฟอร์มติดต่อ ระบบคอมเมนต์ และปลั๊กอินที่ติดตั้งไว้ล้วนเก็บข้อมูลส่วนบุคคลของผู้เข้าชมอยู่ตลอดเวลา บทความนี้เป็นขั้นตอนวางระบบ WordPress PDPA แบบทำตามได้จริงสำหรับเจ้าของกิจการและผู้ดูแลเว็บไซต์ SME

ต่างจาก WooCommerce ที่เน้นข้อมูลธุรกรรมซื้อขาย เว็บไซต์ WordPress ทั่วไปมักมีจุดเก็บข้อมูลกระจายอยู่ในฟอร์มติดต่อ กล่องคอมเมนต์ ปลั๊กอินสมัครรับข่าวสาร และบางครั้งก็มีระบบสมาชิกหรือแบบสอบถามแยกต่างหาก

ขั้นตอนที่ 1: สำรวจจุดเก็บข้อมูลทั้งหมดบนเว็บไซต์

เริ่มจากไล่ดูทุกหน้าของเว็บไซต์ว่ามีจุดใดบ้างที่ผู้ใช้งานกรอกข้อมูล ฟอร์มติดต่อทั่วไปมักเก็บชื่อ อีเมล และเบอร์โทร กล่องคอมเมนต์ท้ายบทความมักเก็บชื่อ อีเมล และที่อยู่ IP ปลั๊กอินสมัครรับข่าวสารมักเก็บอีเมลแล้วส่งต่อให้ระบบอีเมลการตลาดภายนอก และถ้าเว็บไซต์มีระบบสมาชิกหรือดาวน์โหลดเอกสารที่ต้องกรอกฟอร์มก่อน ก็เป็นอีกจุดที่ต้องนับรวม ให้จดบันทึกทุกจุดไว้เป็นรายการเดียวก่อนไปขั้นตอนถัดไป

ขั้นตอนที่ 2: ตรวจปลั๊กอินและธีมว่าส่งข้อมูลออกไปไหนบ้าง

ปลั๊กอินหลายตัวเชื่อมต่อกับบริการภายนอกโดยอัตโนมัติ เช่น ปลั๊กอินฟอร์มติดต่อที่ส่งอีเมลผ่านบริการส่งเมลของบุคคลที่สาม ปลั๊กอินป้องกันสแปมที่ส่ง IP และเนื้อหาคอมเมนต์ไปตรวจสอบกับเซิร์ฟเวอร์ภายนอก หรือธีมที่ฝังสคริปต์วิเคราะห์พฤติกรรมผู้ใช้มาโดยไม่บอก ให้เปิดเมนู Plugins แล้วไล่ดูทีละตัวว่าตัวไหนเชื่อมต่อกับบริการภายนอก จากนั้นเปิดโหมดตรวจสอบสคริปต์ในเบราว์เซอร์เพื่อดูว่ามีคำขอ (request) ออกไปยังโดเมนภายนอกใดบ้างตอนโหลดหน้าเว็บ

ขั้นตอนที่ 3: ตั้งค่าเครื่องมือ Privacy ที่มากับ WordPress core

WordPress core มีเมนู Privacy อยู่ในหลังบ้านสำหรับสร้างหน้า Privacy Policy แบบมีเทมเพลตเริ่มต้น รวมถึงเครื่องมือ Export Personal Data และ Erase Personal Data ที่ผู้ดูแลเว็บใช้ตอบคำขอของผู้ใช้งานได้ ให้เข้าไปตั้งค่าหน้า Privacy Policy อย่างเป็นทางการ กำหนดให้เป็นหน้าที่ WordPress อ้างอิงในเมนู Settings แล้วทดสอบเครื่องมือ Export และ Erase ด้วยบัญชีทดสอบสักครั้งเพื่อดูว่าดึงข้อมูลจากปลั๊กอินที่ติดตั้งเพิ่มมาด้วยหรือไม่ เพราะเครื่องมือนี้ครอบคลุมเฉพาะปลั๊กอินที่ลงทะเบียนกับ Privacy API ของ WordPress core ไว้เท่านั้น

ขั้นตอนที่ 4: จัดการคอมเมนต์และข้อมูลผู้เยี่ยมชมที่ไม่ได้ล็อกอิน

ระบบคอมเมนต์ของ WordPress เก็บชื่อ อีเมล เว็บไซต์ และ IP ของผู้แสดงความเห็นโดยค่าเริ่มต้น ซึ่งอีเมลและ IP ถือเป็นข้อมูลส่วนบุคคล ให้พิจารณาว่าจำเป็นต้องเก็บ IP ไว้นานแค่ไหน และถ้าเปิดใช้ระบบอวาตาร์ผ่านบริการภายนอกอย่าง Gravatar ต้องแจ้งในประกาศความเป็นส่วนตัวด้วยว่ามีการส่งอีเมลที่แฮชแล้วออกไปยังบริการนั้นเพื่อดึงรูปโปรไฟล์ หากไม่ต้องการให้เกิดการส่งข้อมูลนี้ สามารถปิดการแสดงอวาตาร์จากภายนอกได้ในเมนูตั้งค่าการสนทนา

ขั้นตอนที่ 5: เขียนประกาศความเป็นส่วนตัวให้ตรงกับสิ่งที่สำรวจมา

นำรายการจากขั้นตอนที่ 1 และ 2 มาเขียนเป็นประกาศความเป็นส่วนตัว ระบุว่าใครเป็นผู้ควบคุมข้อมูล เก็บข้อมูลอะไรบ้าง ผ่านช่องทางไหน เพื่อวัตถุประสงค์อะไร ส่งต่อให้ใครบ้าง เช่น ผู้ให้บริการอีเมลหรือระบบป้องกันสแปม เก็บไว้นานเท่าไร และผู้ใช้งานติดต่อขอใช้สิทธิได้ที่ช่องทางใด หลีกเลี่ยงการเขียนแบบคัดลอกเทมเพลตทั่วไปที่ไม่ตรงกับสิ่งที่เว็บไซต์ทำจริง เพราะจะกลายเป็นประกาศที่ไม่สะท้อนความจริงเมื่อถูกตรวจสอบ

ขั้นตอนที่ 6: เตรียมช่องทางรับและตอบคำขอใช้สิทธิ

ระบุช่องทางติดต่อที่ชัดเจนในประกาศความเป็นส่วนตัว เช่น อีเมลเฉพาะสำหรับเรื่องข้อมูลส่วนบุคคล กำหนดผู้รับผิดชอบภายในทีมว่าใครเป็นคนตอบคำขอ และเตรียมขั้นตอนภายในว่าเมื่อได้รับคำขอลบหรือขอสำเนาข้อมูล จะไปดึงจากปลั๊กอินใดบ้าง เพราะอย่างที่กล่าวในขั้นตอนที่ 3 เครื่องมืออัตโนมัติของ WordPress อาจไม่ครอบคลุมทุกปลั๊กอิน จึงต้องมีรายการ Manual สำรองไว้ในมือ

ขั้นตอนที่ 7: ตรวจสคริปต์วิเคราะห์และคุกกี้ที่ฝังในธีมหรือเทมเพลตหน้า

ธีม WordPress หลายตัวมาพร้อมสคริปต์วิเคราะห์การเข้าชมหรือสคริปต์ฝังตัวจากบริการภายนอกที่ผู้ดูแลเว็บไม่รู้ตัวว่ามีอยู่ตั้งแต่ติดตั้ง เช่น สคริปต์แผนที่ ปุ่มแชร์โซเชียล หรือวิดเจ็ตแชทที่ฝังมากับหน้า Landing Page สำเร็จรูป ให้เปิดโหมดตรวจสอบเครือข่ายในเบราว์เซอร์แล้วดูว่ามีคำขอออกไปยังโดเมนภายนอกใดบ้างตั้งแต่โหลดหน้าแรก หากพบสคริปต์ที่ไม่จำเป็นหรือไม่เคยรู้จักมาก่อน ให้ตรวจสอบว่าเป็นของปลั๊กอินหรือธีมตัวไหน แล้วตัดสินใจว่าจะปิดใช้งานหรือใส่ไว้ในระบบขอความยินยอมก่อนที่จะทำงาน

ขั้นตอนที่ 8: ทบทวนสิทธิ์ผู้ใช้งานในระบบสมาชิกและบัญชีผู้ดูแล

ถ้าเว็บไซต์เปิดให้สมัครสมาชิกหรือมีบัญชีผู้ใช้หลายระดับ เช่น ผู้เขียนบทความ บรรณาธิการ หรือผู้ดูแลระบบ ควรทบทวนว่าบัญชีแต่ละระดับเข้าถึงข้อมูลส่วนบุคคลของผู้ใช้งานคนอื่นได้มากน้อยแค่ไหน บัญชีที่ไม่จำเป็นต้องเห็นรายชื่อผู้ติดต่อหรือข้อมูลฟอร์มทั้งหมดไม่ควรได้รับสิทธิ์ระดับผู้ดูแลระบบเต็มรูปแบบ และควรปิดบัญชีทดสอบหรือบัญชีพนักงานที่ลาออกไปแล้วโดยเร็ว เพื่อลดจุดที่ข้อมูลส่วนบุคคลอาจรั่วไหลออกจากภายในองค์กรเอง

เช็กลิสต์ปฏิบัติ

• ไล่สำรวจทุกหน้าเว็บไซต์เพื่อหาจุดที่เก็บข้อมูลส่วนบุคคล เช่น ฟอร์มติดต่อ คอมเมนต์ และปลั๊กอินสมัครข่าวสาร
• ตรวจปลั๊กอินและธีมทีละตัวว่าส่งข้อมูลออกไปยังบริการภายนอกใดบ้าง
• ตั้งค่าหน้า Privacy Policy อย่างเป็นทางการผ่านเมนู Privacy ของ WordPress core
• ทดสอบเครื่องมือ Export/Erase Personal Data ด้วยบัญชีทดสอบว่าดึงข้อมูลครบตามปลั๊กอินที่ใช้จริง
• ตรวจสอบการตั้งค่าคอมเมนต์และอวาตาร์จากภายนอกว่าเปิดใช้งานโดยไม่จำเป็นหรือไม่
• เขียนประกาศความเป็นส่วนตัวให้ตรงกับผลสำรวจจริง ไม่ใช่คัดลอกเทมเพลตทั่วไป
• กำหนดช่องทางและผู้รับผิดชอบสำหรับตอบคำขอใช้สิทธิของผู้ใช้งาน

ข้อผิดพลาดที่พบบ่อย

• คิดว่าเว็บไซต์ที่ไม่ใช่ร้านค้าออนไลน์ไม่มีข้อมูลส่วนบุคคลให้ต้องดูแล
• ใช้เทมเพลต Privacy Policy จากที่อื่นโดยไม่ปรับให้ตรงกับปลั๊กอินและฟอร์มที่เว็บไซต์ใช้จริง
• ไม่รู้ว่าระบบคอมเมนต์เก็บ IP และอีเมลของผู้แสดงความเห็นไว้โดยค่าเริ่มต้น
• ไม่เคยทดสอบเครื่องมือ Export/Erase Personal Data จึงไม่รู้ว่าใช้งานได้จริงหรือไม่
• ไม่มีช่องทางหรือผู้รับผิดชอบชัดเจนเมื่อมีคนขอใช้สิทธิเข้ามา

คำถามที่พบบ่อย

เว็บไซต์บริษัทที่ไม่มีการขายของออนไลน์ต้องทำ WordPress PDPA ด้วยหรือไม่ ต้องทำ เพราะฟอร์มติดต่อ กล่องคอมเมนต์ และปลั๊กอินสมัครข่าวสารล้วนเก็บข้อมูลส่วนบุคคลของผู้เข้าชมอยู่ ไม่ว่าจะมีการขายสินค้าหรือไม่

เครื่องมือ Privacy ที่มากับ WordPress core เพียงพอหรือไม่ เป็นจุดเริ่มต้นที่ดีสำหรับสร้างหน้า Privacy Policy และตอบคำขอเบื้องต้น แต่ต้องทดสอบว่าครอบคลุมข้อมูลจากปลั๊กอินอื่นที่ติดตั้งเพิ่มด้วยหรือไม่

ระบบคอมเมนต์เก็บข้อมูลอะไรบ้าง โดยค่าเริ่มต้นเก็บชื่อ อีเมล เว็บไซต์ที่กรอก และ IP ของผู้แสดงความเห็น รวมถึงอาจส่งอีเมลที่แฮชแล้วไปดึงรูปอวาตาร์จากบริการภายนอก

ต้องเริ่มจากขั้นตอนไหนก่อนถ้าเพิ่งเริ่มทำ เริ่มจากสำรวจจุดเก็บข้อมูลทั้งหมดบนเว็บไซต์ก่อน เพราะขั้นตอนถัดไปทั้งหมดต้องอ้างอิงจากรายการนี้

เมื่อไรควรให้ทีมภายนอกเข้ามาช่วย

เว็บไซต์ SME บางแห่งดูแลเว็บไซต์เองโดยไม่มีนักพัฒนาประจำ เมื่อพบว่าปลั๊กอินหรือธีมมีสคริปต์ที่ซับซ้อนเกินกว่าจะแกะเองได้ หรือระบบสมาชิกมีบัญชีจำนวนมากที่ต้องไล่ตรวจสิทธิ์ทีละคน ควรพิจารณาจ้างนักพัฒนาที่ถนัด WordPress มาช่วยตรวจเฉพาะจุด แทนที่จะปล่อยผ่านเพราะไม่มีความรู้ด้านเทคนิค การจ้างช่วยตรวจเฉพาะจุดในช่วงวางระบบครั้งแรกมักคุ้มค่ากว่าในระยะยาว เพราะลดความเสี่ยงที่จะมีจุดเก็บข้อมูลที่มองไม่เห็นหลงเหลืออยู่ และทำให้ทีมงานภายในมีรายการอ้างอิงที่ถูกต้องไว้ใช้ทบทวนเองในรอบถัดไป ควรเลือกผู้ที่มีประสบการณ์ตรงกับปลั๊กอินและธีมที่เว็บไซต์ใช้งานอยู่ เพื่อให้ผลตรวจสอบตรงกับสภาพจริงของเว็บไซต์มากที่สุด

สรุป

การวางระบบ WordPress PDPA สำหรับ SME เริ่มจากสำรวจจุดเก็บข้อมูลจริงบนเว็บไซต์ ไม่ใช่คัดลอกประกาศความเป็นส่วนตัวจากที่อื่นมาวาง เครื่องมือ Privacy ของ WordPress core เป็นจุดเริ่มต้นที่ช่วยได้มาก แต่ยังต้องตรวจสอบซ้ำว่าครอบคลุมปลั๊กอินที่ใช้งานจริงหรือไม่ ก่อนประกาศให้ผู้ใช้งานทราบ

แหล่งข้อมูลอ้างอิง

• WordPress Developer Resources — Privacy
• คู่มือ Platforms & Integrations ทั้งหมดของ trusty
• เช็กลิสต์ WordPress PDPA สำหรับ SME