วิธี Audit Privacy Policy ของเว็บไซต์ธุรกิจทั่วไปและ SME พร้อม Evidence ที่ควรเก็บ

เจ้าของร้านขายอุปกรณ์ครัวออนไลน์รายหนึ่งเพิ่งได้รับอีเมลจากทีมจัดซื้อของห้างสรรพสินค้าเชนใหญ่ที่กำลังจะรับสินค้าเข้าไปวางขายบนแพลตฟอร์มของตัวเอง อีเมลฉบับนั้นแนบแบบฟอร์ม vendor due diligence มาพร้อมคำถามข้อหนึ่งที่ทำให้ต้องเปิดเว็บไซต์ของตัวเองขึ้นมาดูใหม่อีกครั้ง คือขอลิงก์ Privacy Policy ฉบับล่าสุดที่ระบุประเภทข้อมูลลูกค้าที่จัดเก็บ ฐานทางกฎหมายของแต่ละวัตถุประสงค์ และช่องทางติดต่อผู้รับผิดชอบด้านข้อมูลส่วนบุคคล หน้าที่เปิดขึ้นมาคือ Privacy Policy ที่เขียนไว้ตั้งแต่เปิดร้านเมื่อสามปีก่อน มีเพียงสองย่อหน้าสั้น ๆ บอกว่าเก็บข้อมูลเพื่อให้บริการที่ดีขึ้น โดยไม่มีรายละเอียดใดตรงกับคำถามในแบบฟอร์มเลยสักข้อ

สถานการณ์แบบนี้เกิดซ้ำกับ SME จำนวนมากที่เขียน Privacy Policy ไว้ครั้งเดียวตอนเริ่มธุรกิจ แล้วไม่เคยเปิดกลับมาอ่านอีกเลย จนกระทั่งมีคู่ค้า ลูกค้ารายใหญ่ หรือแพลตฟอร์มอีคอมเมิร์ซที่ธุรกิจใช้งานขอตรวจสอบ บทความนี้วางขั้นตอนตรวจสอบ Privacy Policy สำหรับเว็บไซต์ธุรกิจทั่วไปและ SME แบบเป็นระบบ พร้อมรายการ evidence ที่ควรเก็บไว้ทุกครั้งที่ทบทวนเอกสาร เพื่อให้เจ้าของกิจการตอบคำถามลักษณะนี้ได้ทันทีโดยไม่ต้องรื้อทุกอย่างใหม่ในนาทีสุดท้าย

การ audit Privacy Policy ของ SME ควรตรวจ 6 เรื่องหลัก คือ ประเภทข้อมูลที่เก็บจริงตรงกับที่ระบุในเอกสารหรือไม่ วัตถุประสงค์และฐานทางกฎหมายของแต่ละประเภทข้อมูล ระยะเวลาเก็บรักษา ช่องทางใช้สิทธิ์ของเจ้าของข้อมูล รายชื่อผู้ให้บริการภายนอกที่ได้รับข้อมูล และช่องทางติดต่อผู้รับผิดชอบด้านข้อมูลส่วนบุคคล ทุกครั้งที่ตรวจควรเก็บหลักฐานการเปรียบเทียบระหว่างเอกสารกับระบบจริงไว้เป็นลายลักษณ์อักษร เพื่อใช้ตอบคำถามจากคู่ค้าหรือทบทวนย้อนหลังได้

เมื่อไหร่ธุรกิจ SME ควรเริ่ม Audit Privacy Policy

Privacy Policy ไม่ใช่เอกสารที่เขียนครั้งเดียวแล้วปล่อยทิ้งไว้ถาวร ร้านค้าออนไลน์และธุรกิจ SME ควรกำหนดรอบทบทวนอย่างน้อยทุก 6 เดือน เพื่อตรวจว่าเอกสารยังตรงกับสิ่งที่ระบบเก็บอยู่จริงหรือไม่ นอกจากรอบทบทวนตามกำหนดแล้ว ยังมีจุดกระตุ้นอื่นที่ควรทำ audit ทันที เช่น เมื่อเปลี่ยนผู้ให้บริการชำระเงินหรือระบบ CRM ใหม่ เมื่อเพิ่มช่องทางเก็บข้อมูลลูกค้าเพิ่ม เช่น เปิดไลน์แชทบอทหรือฟอร์มลงทะเบียนสมาชิกใหม่ เมื่อ PDPC ออกประกาศหรือแนวปฏิบัติใหม่ที่กระทบธุรกิจ และเมื่อมีคู่ค้าหรือลูกค้าองค์กรขอตรวจสอบเอกสารก่อนทำสัญญา

ร้านค้าปลีกออนไลน์รายหนึ่งเคยเจอปัญหาเพราะเปลี่ยนระบบตะกร้าสินค้าจากแพลตฟอร์มหนึ่งไปอีกแพลตฟอร์มหนึ่งเพื่อรองรับยอดขายที่โตขึ้น แต่ไม่มีใครนึกถึงว่าต้องกลับไปแก้ Privacy Policy ที่ยังอ้างอิงชื่อระบบเดิมอยู่ ทำให้เมื่อธนาคารพันธมิตรขอตรวจสอบเอกสารก่อนอนุมัติวงเงินสินเชื่อธุรกิจ พบว่าข้อมูลในเอกสารไม่ตรงกับระบบที่ใช้งานจริง ต้องเสียเวลาแก้ไขก่อนยื่นคำขอใหม่

6 จุดที่ต้องตรวจในเอกสาร Privacy Policy

การ audit ที่ครอบคลุมควรไล่ตรวจทีละจุดตามลำดับต่อไปนี้ ไม่ใช่อ่านผ่าน ๆ ทั้งหน้าแล้วสรุปว่าดูโอเคแล้ว

1. ประเภทข้อมูลที่เก็บจริงตรงกับที่ระบุในเอกสารหรือไม่

เจ้าของกิจการควรเปิดฟอร์มทุกจุดที่ลูกค้ากรอกข้อมูล เช่น หน้าสมัครสมาชิก หน้าชำระเงิน หน้าสมัครรับข่าวสาร แล้วไล่เทียบกับรายการข้อมูลที่ Privacy Policy ระบุไว้ ร้าน SME หลายแห่งเพิ่มฟิลด์วันเกิดหรือเลขบัตรประชาชนเข้าไปในฟอร์มสมัครสมาชิกเพื่อทำโปรโมชันวันเกิดหรือออกใบกำกับภาษี แต่ไม่เคยกลับไปเพิ่มข้อความในเอกสารว่ามีการเก็บข้อมูลกลุ่มนี้

2. วัตถุประสงค์และฐานทางกฎหมายของแต่ละประเภทข้อมูล

แต่ละประเภทข้อมูลควรมีวัตถุประสงค์ชัดเจนกำกับ เช่น เลขบัตรประชาชนใช้เพื่อออกใบกำกับภาษีตามกฎหมาย อีเมลใช้เพื่อยืนยันคำสั่งซื้อ เบอร์โทรใช้เพื่อประสานงานจัดส่ง เอกสารที่เขียนกว้าง ๆ ว่าเก็บข้อมูลเพื่อพัฒนาบริการโดยไม่แยกวัตถุประสงค์รายประเภท มักตอบคำถามคู่ค้าไม่ผ่านเพราะไม่มีน้ำหนักอธิบายที่เพียงพอ

3. ระยะเวลาเก็บรักษาข้อมูล

ตัวเลขระยะเวลาเก็บข้อมูลในเอกสารต้องตรวจสอบกับสิ่งที่เกิดขึ้นจริงในระบบหลังบ้าน เช่น ระบบบัญชีที่เก็บใบเสร็จตามกฎหมายภาษี 5 ปี ระบบ CRM ที่เก็บประวัติการสั่งซื้อไว้นานเท่าไหร่ก่อนลบหรือทำ anonymization ผู้ดูแลเว็บไซต์ควรถามผู้ให้บริการระบบ CRM หรือระบบตะกร้าสินค้าตรง ๆ ว่ามีนโยบายลบข้อมูลอัตโนมัติหรือไม่ แล้วนำตัวเลขจริงมาเทียบกับที่เขียนไว้ในเอกสาร

4. ช่องทางใช้สิทธิ์ของเจ้าของข้อมูล

เอกสารต้องระบุวิธีที่ลูกค้าจะขอเข้าถึง แก้ไข หรือลบข้อมูลของตัวเองได้จริง ไม่ใช่แค่ประโยคว่าติดต่อร้านค้าเพื่อใช้สิทธิ์ ผู้ดูแลควรทดสอบด้วยตัวเองว่าถ้าลูกค้าส่งคำขอลบบัญชีเข้ามาทางอีเมลที่ระบุไว้ในเอกสาร มีคนในทีมรับเรื่องและดำเนินการได้จริงภายในเวลาที่สมเหตุสมผลหรือไม่

5. การส่งต่อข้อมูลให้บุคคลที่สาม

ร้านค้าออนไลน์ส่วนใหญ่ใช้บริการภายนอกหลายเจ้าพร้อมกัน เช่น ผู้ให้บริการขนส่ง ผู้ให้บริการชำระเงิน เครื่องมือการตลาดอัตโนมัติ เอกสารควรระบุประเภทของผู้รับข้อมูลเหล่านี้อย่างน้อยเป็นหมวดหมู่ ไม่จำเป็นต้องระบุชื่อบริษัททุกเจ้า แต่ต้องครอบคลุมทุกหมวดที่ใช้งานจริง ร้านค้าที่เพิ่งเริ่มใช้ระบบยิงโฆษณาผ่านพิกเซลติดตามบนเว็บไซต์ควรตรวจว่าเอกสารพูดถึงการแชร์ข้อมูลกับผู้ให้บริการโฆษณาไว้แล้วหรือยัง

6. ช่องทางติดต่อผู้รับผิดชอบด้านข้อมูลส่วนบุคคล

SME ขนาดเล็กอาจไม่มีตำแหน่ง DPO เต็มเวลา แต่เอกสารควรระบุอย่างน้อยว่าใครหรือแผนกใดรับผิดชอบคำถามด้านข้อมูลส่วนบุคคล พร้อมช่องทางติดต่อที่ใช้งานได้จริง ไม่ใช่อีเมลที่เจ้าของร้านเลิกใช้ไปแล้วสองปีก่อน

วิธีตรวจว่าเอกสารตรงกับสิ่งที่ระบบเก็บจริง

วิธีที่ได้ผลคือให้เจ้าของกิจการหรือผู้ดูแลเว็บไซต์นั่งไล่ทีละหน้าจอที่ลูกค้าต้องกรอกข้อมูล ตั้งแต่หน้าแรกจนถึงหลังชำระเงินเสร็จ แล้วจดรายการข้อมูลที่เก็บจริงในแต่ละจุดไว้บนกระดาษหรือสเปรดชีตแยกต่างหาก จากนั้นเปิด Privacy Policy คู่กันแล้วขีดเส้นใต้ทุกประโยคที่พูดถึงข้อมูลแต่ละประเภท หากมีข้อมูลในรายการที่จดไว้แต่ไม่มีประโยคใดในเอกสารพูดถึงเลย นั่นคือช่องว่างที่ต้องแก้ไขก่อน

ธุรกิจที่มีทีมเล็กอาจไม่มีเวลาไล่ทุกจุดพร้อมกัน สามารถแบ่งตรวจทีละระบบต่อสัปดาห์แทน เช่น สัปดาห์แรกตรวจระบบสมัครสมาชิก สัปดาห์ถัดไปตรวจระบบชำระเงิน วิธีนี้ช่วยให้การ audit ไม่กลายเป็นภาระที่กองไว้จนไม่มีใครทำจนสำเร็จ

การจัดลำดับความสำคัญเมื่อเวลามีจำกัด

เจ้าของกิจการที่ต้องดูแลทุกอย่างคนเดียวมักไม่มีเวลาไล่ตรวจทั้ง 6 จุดในคราวเดียว วิธีจัดลำดับที่ใช้ได้จริงคือเริ่มจากจุดที่มีความเสี่ยงสูงสุดก่อน ได้แก่ ประเภทข้อมูลที่เก็บจริงกับที่ระบุในเอกสาร และการส่งต่อข้อมูลให้บุคคลที่สาม เพราะสองเรื่องนี้เป็นจุดที่คู่ค้าและลูกค้าองค์กรมักถามถึงมากที่สุดเมื่อทำ due diligence ส่วนเรื่องช่องทางติดต่อผู้รับผิดชอบสามารถแก้ไขให้ถูกต้องได้เร็วที่สุดเพราะเป็นเพียงข้อมูลติดต่อ ไม่ต้องรอการตรวจสอบเชิงลึก จึงควรทำเป็นลำดับสุดท้ายแต่ทำให้เสร็จในรอบเดียวกัน

ธุรกิจที่เพิ่งเริ่มทำ audit ครั้งแรกไม่จำเป็นต้องคาดหวังว่าจะแก้ไขทุกจุดให้สมบูรณ์ภายในสัปดาห์เดียว การตั้งเป้าหมายที่ทำได้จริง เช่น แก้ไขจุดที่มีความเสี่ยงสูงสุดให้เสร็จก่อน แล้วทยอยแก้จุดที่เหลือภายในหนึ่งเดือน จะช่วยให้ทีมไม่ล้มเลิกกลางคันเพราะรู้สึกว่างานใหญ่เกินไป

Evidence ที่ควรเก็บระหว่างการ Audit

การ audit ที่มีคุณค่าไม่ใช่แค่การอ่านแล้วแก้เอกสาร แต่ต้องทิ้งร่องรอยไว้เป็นหลักฐานว่าเคยตรวจจริงเมื่อใด ตรวจอะไรบ้าง และพบอะไรบ้าง evidence ที่ควรเก็บได้แก่ ตารางเปรียบเทียบข้อมูลที่ระบบเก็บจริงกับข้อความในเอกสารพร้อมวันที่ตรวจ ภาพหน้าจอของฟอร์มแต่ละจุดในวันที่ audit บันทึกการเปลี่ยนแปลงเอกสารแต่ละเวอร์ชันพร้อมเหตุผลที่แก้ไข และรายชื่อผู้ให้บริการภายนอกที่ได้รับข้อมูลในช่วงเวลานั้นพร้อมวันที่เริ่มใช้บริการ เอกสารเหล่านี้มีประโยชน์มากเมื่อคู่ค้าหรือหน่วยงานขอดูประวัติการดูแลข้อมูลย้อนหลัง

ตัวอย่างสถานการณ์ audit ที่พบบ่อยในธุรกิจ SME แต่ละประเภท

ร้านอาหารที่เปิดบริการสั่งอาหารผ่านเว็บไซต์ของตัวเองนอกเหนือจากแอปเดลิเวอรีเจ้าใหญ่ มักลืมว่าระบบจองโต๊ะออนไลน์ที่เพิ่มเข้ามาทีหลังเก็บเบอร์โทรและจำนวนแขกไว้ในฐานข้อมูลแยกจากระบบสั่งอาหาร เมื่อ audit จึงต้องไล่ตรวจทั้งสองระบบแยกกัน ไม่ใช่ตรวจแค่ระบบที่นึกถึงเป็นอันดับแรก ธุรกิจบริการ เช่น คลินิกความงามหรือสตูดิโอออกกำลังกาย มักมีจุดเก็บข้อมูลเพิ่มเติมที่มองข้ามได้ง่าย เช่น แบบฟอร์มประเมินสุขภาพก่อนรับบริการที่เก็บข้อมูลอ่อนไหวอย่างประวัติโรคประจำตัว ซึ่งต้องมีข้อความอธิบายเฉพาะแยกจากข้อมูลทั่วไปในเอกสาร

ธุรกิจ B2B ขนาดเล็กที่ขายผ่านใบเสนอราคาและใบแจ้งหนี้ทางอีเมลเป็นหลัก อาจคิดว่าตัวเองมีความเสี่ยงน้อยเพราะไม่มีหน้าเว็บให้ลูกค้ากรอกฟอร์มโดยตรง แต่เมื่อ audit จริงมักพบว่าอีเมลลูกค้าที่คุยกันไปมาถูกเก็บไว้ในระบบ CRM ฝ่ายขายพร้อมประวัติการสั่งซื้อและเงื่อนไขราคาพิเศษเฉพาะราย ซึ่งเป็นข้อมูลที่ควรถูกกล่าวถึงในเอกสารเช่นกัน แม้จะไม่ได้เก็บผ่านฟอร์มบนเว็บไซต์โดยตรงก็ตาม

ใครควรเป็นเจ้าภาพดูแลรอบ audit ในทีม SME ขนาดเล็ก

ธุรกิจที่มีพนักงานไม่กี่คนมักไม่มีตำแหน่งด้าน privacy โดยเฉพาะ วิธีที่ทำได้จริงคือมอบให้ผู้ดูแลเว็บไซต์หรือผู้จัดการทั่วไปเป็นเจ้าภาพหลัก ทำหน้าที่ตั้งปฏิทินเตือนทุก 6 เดือน และประสานกับทีมที่เกี่ยวข้อง เช่น ฝ่ายบัญชีสำหรับเรื่องระยะเวลาเก็บใบเสร็จ ฝ่ายขายสำหรับข้อมูลใน CRM เพื่อให้การตรวจสอบครอบคลุมทุกจุดที่ข้อมูลลูกค้าไหลผ่าน ไม่ใช่ภาระของคนเดียวที่ต้องรู้ทุกระบบในบริษัท

ความสัมพันธ์กับบทความอื่นในชุดความรู้เดียวกัน

บทความนี้เน้นขั้นตอนตรวจสอบเอกสารที่มีอยู่แล้ว หากธุรกิจยังไม่เคยมี Privacy Policy มาก่อนและต้องการเริ่มเขียนตั้งแต่ต้น ดูขั้นตอนได้ที่ วิธีทำ Privacy Policy สำหรับ SME และหากต้องการรายการตรวจสอบสั้น ๆ ก่อนเปิดใช้งานเอกสารฉบับใหม่ ดูได้ที่ เช็กลิสต์ Privacy Policy สำหรับ SME ภาพรวมทั้งหมดของหัวข้อ Privacy Policy สำหรับ SME อยู่ที่ คู่มือภาพรวม Privacy Policy สำหรับ SME

ข้อผิดพลาดที่พบบ่อยเมื่อ Audit Privacy Policy

• เปิดเอกสารอ่านผ่าน ๆ โดยไม่เทียบกับฟอร์มและระบบจริงทีละจุด
• แก้ไขเอกสารตามความรู้สึกว่าดูครบแล้ว โดยไม่มีรายการตรวจที่ชัดเจน
• ลืมตรวจตัวเลขระยะเวลาเก็บข้อมูลกับผู้ให้บริการระบบ CRM หรือระบบตะกร้าสินค้า
• ไม่เก็บหลักฐานว่าเคย audit เมื่อใด ทำให้ตอบคู่ค้าไม่ได้เมื่อถูกถามประวัติการตรวจสอบ
• เปลี่ยนระบบหลังบ้านใหม่แล้วลืมกลับมาปรับเอกสารให้ตรงกับระบบที่ใช้งานจริง
• ปล่อยให้อีเมลติดต่อผู้รับผิดชอบด้านข้อมูลในเอกสารเป็นอีเมลที่เลิกใช้ไปแล้ว

สรุป

การ audit Privacy Policy ของ SME ไม่ใช่งานที่ทำครั้งเดียวจบ แต่เป็นกระบวนการตรวจสอบที่ควรทำเป็นรอบสม่ำเสมอ ครอบคลุมประเภทข้อมูล วัตถุประสงค์ ฐานทางกฎหมาย ระยะเวลาเก็บรักษา สิทธิ์ของเจ้าของข้อมูล การส่งต่อข้อมูลให้บุคคลที่สาม และช่องทางติดต่อผู้รับผิดชอบ พร้อมเก็บ evidence ทุกครั้งที่ตรวจ ธุรกิจที่ทำตามขั้นตอนนี้อย่างสม่ำเสมอจะพร้อมตอบคำถามจากคู่ค้าหรือลูกค้าองค์กรได้ทันทีโดยไม่ต้องรื้อเอกสารใหม่ทั้งหมดในนาทีสุดท้าย ดูภาพรวมหัวข้ออื่นในหมวด Policies & Notices เพิ่มเติมได้ที่ คลังความรู้ Policies & Notices

แหล่งข้อมูลอ้างอิง

แนวทางเรื่องฐานทางกฎหมาย สิทธิ์ของเจ้าของข้อมูล และการเปิดเผยข้อมูลตามกฎหมายไทย ควรตรวจสอบกับประกาศและแนวปฏิบัติของ สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (PDPC) โดยตรง บทความนี้เป็นแนวทางเชิงปฏิบัติสำหรับเจ้าของกิจการและผู้ดูแลเว็บไซต์ ไม่ใช่การตีความข้อกำหนดทางกฎหมายแทนหน่วยงานกำกับดูแล