เช็กลิสต์ Privacy Notice สำหรับเอเจนซีและฟรีแลนซ์ทำเว็บไซต์: ต้องตรวจอะไรบ้างก่อนเปิดใช้งาน

คืนก่อนส่งมอบเว็บไซต์ร้านค้าออนไลน์ให้ลูกค้ารายใหม่ ฟรีแลนซ์คนหนึ่งเปิดฟอร์มสมัครสมาชิกขึ้นมาดูอีกรอบ แล้วพบว่าใต้ช่องกรอกเบอร์โทรศัพท์กับที่อยู่จัดส่งไม่มีข้อความบอกเลยว่าข้อมูลเหล่านี้จะถูกเก็บไปทำอะไรบ้าง มีแค่ปุ่ม “สมัครสมาชิก” สีเขียวใหญ่ ๆ อยู่ด้านล่าง เขาจึงต้องนั่งไล่ทวนดูทีละหน้าว่าจุดเก็บข้อมูลของโปรเจกต์นี้ทั้งหมดมี Privacy Notice ครบหรือยัง ก่อนจะกดปุ่มส่งมอบให้ลูกค้าใช้งานจริง

สถานการณ์แบบนี้เกิดกับเอเจนซีและฟรีแลนซ์ทำเว็บไซต์แทบทุกโปรเจกต์ เพราะเวลาที่กดดันในช่วงใกล้ deadline มักทำให้ทีมข้ามการตรวจ Privacy Notice ไปก่อน แล้วค่อยกลับมาแก้ทีหลังเมื่อลูกค้าถาม บทความนี้รวบรวมจุดตรวจที่ควรทำก่อนกดเปิดใช้งานจริงทุกครั้ง ไม่ว่าจะเป็นเว็บของลูกค้ารายเล็กหรือรายใหญ่

ก่อนเปิดใช้งานเว็บไซต์ลูกค้า เอเจนซีและฟรีแลนซ์ควรตรวจว่าทุกจุดที่มีฟอร์มเก็บข้อมูล เช่น สมัครสมาชิก ติดต่อ และเช็กเอาต์ มี Privacy Notice ที่ระบุวัตถุประสงค์เฉพาะของฟอร์มนั้น ระบุชัดว่าใครคือผู้ควบคุมข้อมูล เปิดเผยเครื่องมือภายนอกที่ฝังอยู่ในเว็บ มีช่องทางใช้สิทธิ์ที่ติดต่อได้จริง และข้อความในแต่ละหน้าของเว็บเดียวกันไม่ขัดแย้งกันเอง เช็กลิสต์นี้ควรทำซ้ำทุกโปรเจกต์ ไม่ใช่ทำครั้งเดียวแล้วก็อปวางไปเรื่อย ๆ

จุดที่ 1: ทุกฟอร์มที่เก็บข้อมูลต้องมี Privacy Notice ที่มองเห็นได้จริง

ก่อนส่งมอบเว็บให้ลูกค้า ให้ไล่เปิดทุกหน้าที่มีฟอร์มกรอกข้อมูล ทั้งหน้าสมัครสมาชิก หน้าติดต่อเรา หน้าเช็กเอาต์ และแบบฟอร์มขอใบเสนอราคา แล้วเช็กว่ามีข้อความหรือลิงก์ไปยัง Privacy Notice ที่ผู้ใช้เห็นได้ก่อนกดส่งข้อมูลจริงหรือไม่ ทีมพัฒนาเว็บหลายทีมมักใส่ Privacy Notice ไว้แค่หน้าเดียวที่ footer แล้วคิดว่าครอบคลุมทั้งเว็บแล้ว แต่ถ้าฟอร์มติดต่อเราอยู่ในหน้าที่ผู้ใช้ไม่เลื่อนลงไปเห็น footer เลย ฟอร์มนั้นก็เท่ากับไม่มี Privacy Notice ในทางปฏิบัติ

วิธีตรวจที่ทำได้เร็วคือเปิดเว็บด้วย mobile view แล้วไล่กรอกฟอร์มทีละหน้าเหมือนเป็นผู้ใช้จริง ถ้าต้องเลื่อนหาข้อความ Privacy Notice นานเกินไปหรือหาไม่เจอเลย ควรเพิ่มลิงก์สั้น ๆ ไว้ใกล้ปุ่มส่งฟอร์มโดยตรง

จุดที่ 2: ข้อความต้องระบุวัตถุประสงค์เฉพาะของฟอร์มนั้น ไม่ใช่ข้อความกว้างที่ใช้ซ้ำทุกโปรเจกต์

ปัญหาที่พบบ่อยในงานเอเจนซีคือใช้ Privacy Notice เทมเพลตเดียวกันวางในทุกโปรเจกต์ โดยเปลี่ยนแค่ชื่อบริษัทลูกค้า ทั้งที่แต่ละฟอร์มเก็บข้อมูลต่างกันและมีวัตถุประสงค์ต่างกัน เช่น ฟอร์มสมัครสมาชิกเก็บอีเมลเพื่อส่งข้อมูลบัญชี ส่วนฟอร์มเช็กเอาต์เก็บที่อยู่จัดส่งเพื่อส่งสินค้า ถ้าใช้ข้อความเดียวว่า “เราเก็บข้อมูลเพื่อพัฒนาบริการ” ทั้งสองจุด ผู้ใช้จะไม่รู้เลยว่าข้อมูลของตัวเองถูกใช้ทำอะไรจริง ๆ ในแต่ละจุด

ก่อนส่งมอบงาน ควรเช็กว่าข้อความ Privacy Notice ในแต่ละฟอร์มระบุวัตถุประสงค์ที่ตรงกับสิ่งที่ฟอร์มนั้นเก็บจริง ไม่ใช่ประโยคกว้าง ๆ ที่ใช้ได้กับทุกเว็บ

จุดที่ 3: ต้องระบุชัดว่าใครคือผู้ควบคุมข้อมูล ไม่ใช่เอเจนซีที่รับจ้างทำเว็บ

จุดนี้เอเจนซีมักสับสนเพราะเป็นคนเขียนโค้ดและดูแลระบบ backend เอง จึงใส่ชื่อเอเจนซีตัวเองไว้ใน Privacy Notice โดยไม่ได้ตั้งใจ ทั้งที่ในทางปฏิบัติ ลูกค้าที่จ้างทำเว็บคือผู้ควบคุมข้อมูล ส่วนเอเจนซีเป็นเพียงผู้ประมวลผลข้อมูลแทนตามสัญญา Privacy Notice ที่ส่งมอบให้ลูกค้าจึงต้องระบุชื่อธุรกิจของลูกค้าเป็นผู้ควบคุมข้อมูล และอาจระบุเพิ่มเติมว่ามีผู้ให้บริการด้านเทคนิคเป็นผู้ประมวลผลแทน

ก่อนส่งมอบ ให้เช็กชื่อบริษัทที่ปรากฏในทุกจุดของ Privacy Notice ว่าเป็นชื่อลูกค้า ไม่ใช่ชื่อเอเจนซีที่หลงเหลือจากไฟล์เทมเพลตเดิม

จุดที่ 4: ตรวจเครื่องมือภายนอกที่ฝังอยู่ในเว็บว่าถูกเปิดเผยไว้หรือไม่

เว็บไซต์ที่เอเจนซีส่งมอบมักมี pixel ติดตามโฆษณา สคริปต์วิเคราะห์พฤติกรรม หรือระบบแชทสนับสนุนลูกค้าที่เก็บข้อมูลผู้เข้าชมฝังอยู่หลายตัว เครื่องมือเหล่านี้มักถูกทีมพัฒนาติดตั้งไว้ตามที่ลูกค้าขอ แต่ไม่มีใครไปเปิดเผยไว้ใน Privacy Notice ว่ามีบุคคลที่สามรับข้อมูลไปด้วย ก่อนส่งมอบเว็บ ควรทำรายการเครื่องมือภายนอกทั้งหมดที่ฝังในโค้ด แล้วเทียบกับข้อความใน Privacy Notice ว่าครอบคลุมครบหรือไม่

จุดที่ 5: ต้องมีช่องทางใช้สิทธิ์ที่ลูกค้าปลายทางติดต่อได้จริง

Privacy Notice หลายฉบับเขียนว่า “ติดต่อเราเพื่อใช้สิทธิ์ของท่าน” แต่ไม่มีอีเมลหรือเบอร์โทรที่ใช้งานได้จริงแนบอยู่ หรือใส่อีเมลของทีมพัฒนาที่ไม่มีใครเปิดอ่านหลังส่งมอบงานเสร็จ ก่อนเปิดใช้งานจริง ควรยืนยันกับลูกค้าว่าอีเมลหรือช่องทางที่ระบุไว้ มีคนของฝั่งลูกค้าคอยดูแลตอบกลับจริง ไม่ใช่ทิ้งไว้เป็นกล่องข้อความที่ไม่มีใครรับผิดชอบ

จุดที่ 6: ตรวจว่าข้อความในแต่ละหน้าของเว็บเดียวกันไม่ขัดแย้งกันเอง

เว็บที่พัฒนาต่อจากทีมเดิม หรือต่อเติมฟีเจอร์เป็นช่วง ๆ มักมี Privacy Notice หลายเวอร์ชันหลงเหลืออยู่ในหน้าต่าง ๆ เช่น หน้าเก่าเขียนว่าเก็บข้อมูล 6 เดือน แต่หน้าใหม่ที่เพิ่งเพิ่มเข้าไปเขียนว่าเก็บ 12 เดือน ก่อนส่งมอบควรไล่เช็กทุกหน้าที่มี Privacy Notice ปรากฏ แล้วเทียบให้ตรงกันทั้งเว็บ หากพบความขัดแย้ง ให้แก้ให้เหลือฉบับเดียวที่อัปเดตล่าสุดและใช้ทุกจุด

จุดที่ 7: เก็บหลักฐานการตรวจเช็กลิสต์ไว้เป็นบันทึกส่งมอบงาน

หลายเอเจนซีตรวจ Privacy Notice ครบทุกจุดจริง แต่ไม่มีบันทึกอะไรเหลือไว้เลยว่าตรวจอะไรไปบ้างและใครเป็นคนตรวจ พอผ่านไปหลายเดือนแล้วลูกค้าถามกลับมาว่าทำไมข้อความบางจุดถึงเขียนแบบนี้ ทีมงานที่ทำโปรเจกต์ตอนนั้นอาจลาออกไปแล้ว หรือจำรายละเอียดไม่ได้ วิธีที่ช่วยได้คือทำเอกสารสรุปสั้น ๆ แนบไปกับไฟล์ส่งมอบงาน ระบุว่าตรวจฟอร์มไหนไปบ้าง พบปัญหาอะไร และแก้ไขอย่างไรก่อนเปิดใช้งานจริง

เอกสารนี้ไม่จำเป็นต้องซับซ้อน อาจเป็นแค่ตารางง่าย ๆ ที่ระบุชื่อหน้า วันที่ตรวจ และสถานะผ่านหรือไม่ผ่าน แต่การมีบันทึกแบบนี้ช่วยให้เอเจนซีตอบคำถามลูกค้าย้อนหลังได้เร็วขึ้นมาก และยังใช้เป็นหลักฐานอ้างอิงเวลาโอนงานให้ทีมอื่นดูแลต่อ หรือเวลาลูกค้าเปลี่ยนผู้ให้บริการดูแลเว็บไซต์ในอนาคต

จุดที่ 8: ทดสอบมุมมองผู้ใช้จริงก่อนกดเปิดใช้งานสาธารณะ

ขั้นสุดท้ายก่อนเปิดเว็บให้สาธารณะเข้าถึง ควรให้คนที่ไม่เคยเห็นโปรเจกต์นี้มาก่อนลองกรอกฟอร์มทุกจุดเหมือนเป็นผู้ใช้จริง แล้วถามกลับว่าเขาสังเกตเห็น Privacy Notice หรือไม่ตอนกรอกข้อมูล และเข้าใจหรือไม่ว่าข้อมูลของตัวเองจะถูกใช้ทำอะไร ถ้าคนทดสอบตอบว่าไม่ทันสังเกตเห็นเลย นั่นเป็นสัญญาณว่าตำแหน่งวางข้อความยังไม่ชัดพอ ต้องปรับตำแหน่งหรือขนาดตัวอักษรก่อนส่งมอบจริง วิธีนี้ใช้เวลาไม่นานแต่ช่วยจับปัญหาที่ทีมพัฒนาเองมองข้ามไปเพราะคุ้นชินกับหน้าเว็บมากเกินไป

ข้อผิดพลาดที่พบบ่อยเมื่อเช็กลิสต์ Privacy Notice ก่อนเปิดใช้งาน

• ใช้เทมเพลต Privacy Notice เดียวกันทุกโปรเจกต์โดยไม่ปรับวัตถุประสงค์ให้ตรงกับแต่ละฟอร์ม
• ปล่อยชื่อเอเจนซีค้างอยู่ในช่องผู้ควบคุมข้อมูลแทนที่จะเป็นชื่อลูกค้า
• ลืมเปิดเผยเครื่องมือติดตามหรือแชทบอทที่ฝังไว้ตามคำขอลูกค้า
• ใส่ช่องทางติดต่อที่ไม่มีใครดูแลจริงหลังส่งมอบงาน
• ไม่ไล่เช็กความสอดคล้องของข้อความในทุกหน้าของเว็บเดียวกัน

ความสัมพันธ์กับบทความอื่นในชุดความรู้เดียวกัน

ถ้าต้องการภาพรวมของการวางระบบ Privacy Notice สำหรับเอเจนซีทั้งหมด ดูได้ที่ คู่มือ Privacy Notice สำหรับเอเจนซีและฟรีแลนซ์ และหากต้องการขั้นตอนสร้างระบบตั้งแต่ต้นแบบละเอียด ดูได้ที่ วิธีวางระบบ Privacy Notice สำหรับเอเจนซี

สรุป

เช็กลิสต์ Privacy Notice ก่อนเปิดใช้งานไม่ใช่ขั้นตอนที่ทำครั้งเดียวแล้วก็อปวางไปทุกโปรเจกต์ แต่ต้องไล่ตรวจทีละจุดของแต่ละเว็บ ตั้งแต่ความครบถ้วนของทุกฟอร์ม วัตถุประสงค์เฉพาะของแต่ละจุด ผู้ควบคุมข้อมูลที่ถูกต้อง เครื่องมือภายนอกที่ถูกเปิดเผย ช่องทางใช้สิทธิ์ที่ใช้งานได้จริง และความสอดคล้องกันทั้งเว็บ เอเจนซีที่ทำเช็กลิสต์นี้เป็นขั้นตอนมาตรฐานก่อนส่งมอบทุกโปรเจกต์ จะลดความเสี่ยงที่ต้องกลับมาแก้ไขหลังลูกค้าเปิดใช้งานจริงแล้ว ดูภาพรวมหัวข้ออื่นในหมวด Policies & Notices เพิ่มเติมได้ที่ คลังความรู้ Policies & Notices

แหล่งข้อมูลอ้างอิง

แนวทางเรื่องการเปิดเผยข้อมูลก่อนเก็บและสิทธิ์ของเจ้าของข้อมูลตามกฎหมายไทย ควรตรวจสอบกับประกาศของ สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (PDPC) โดยตรง เช็กลิสต์นี้เป็นแนวทางปฏิบัติสำหรับทีมพัฒนาเว็บ ไม่ใช่การตีความข้อกำหนดทางกฎหมายแทนหน่วยงานกำกับดูแล