วิธี Audit ฐานกฎหมายในการประมวลผลข้อมูล ของเอเจนซีและฟรีแลนซ์ทำเว็บไซต์ พร้อม Evidence ที่ควรเก็บ

โปรเจกต์แมเนเจอร์ของเอเจนซีเว็บไซต์แห่งหนึ่งเปิดโฟลเดอร์เอกสารโปรเจกต์ของลูกค้ารายหนึ่งที่ปิดงานไปแล้วสามปี เพื่อเตรียมตอบคำถามจากลูกค้าที่อยากทราบว่าฟอร์มสมัครสมาชิกบนเว็บไซต์ของตัวเองเก็บข้อมูลอยู่บนฐานกฎหมายอะไร เขาพบว่าเอกสารสรุปฐานกฎหมายที่เคยส่งมอบตอนปิดโปรเจกต์อ้างอิงฟอร์มเวอร์ชันเก่าที่มีเพียงชื่อกับอีเมล แต่เว็บไซต์จริงตอนนี้ถูกทีมพัฒนาภายในของลูกค้าเพิ่มช่องกรอกเบอร์โทรและวันเกิดเข้าไปเองในภายหลังโดยไม่แจ้งเอเจนซี และไม่มีใครกลับไปทบทวนว่าฐานกฎหมายเดิมยังครอบคลุมข้อมูลที่เพิ่มเข้ามาหรือไม่ เหตุการณ์นี้ทำให้ทีมงานตระหนักว่าการจับคู่ฐานกฎหมายตอนเริ่มโปรเจกต์เพียงครั้งเดียวไม่พอ เพราะเว็บไซต์ของลูกค้าเปลี่ยนแปลงได้ตลอดอายุการใช้งานโดยที่เอเจนซีไม่รู้

บทความนี้วางกรอบการ Audit ฐานกฎหมายในการประมวลผลข้อมูลสำหรับเอเจนซีและฟรีแลนซ์ทำเว็บไซต์ ตามแนวทางของ สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (PDPC) โดยเน้นการตรวจย้อนหลังโปรเจกต์ที่เปิดใช้งานอยู่จริง ไม่ใช่แค่ตรวจตอนเริ่มงานใหม่ ดูภาพรวมของหมวดนี้เพิ่มเติมได้ที่ ศูนย์ความรู้ Privacy Fundamentals

ทำไม Audit ของเอเจนซีต้องคลุมโปรเจกต์เก่าด้วย

เอเจนซีส่วนใหญ่ให้ความสำคัญกับการตรวจฐานกฎหมายตอนเริ่มโปรเจกต์ใหม่ เพราะเป็นขั้นตอนที่อยู่ในสายตาลูกค้าโดยตรง แต่โปรเจกต์ที่ปิดงานไปแล้วมักถูกลืมไปเลย ทั้งที่เว็บไซต์ของลูกค้ายังใช้งานอยู่และอาจมีการเปลี่ยนแปลงต่อเนื่องโดยทีมพัฒนาภายในของลูกค้าเอง หรือโดยเอเจนซีอื่นที่ลูกค้าจ้างมาดูแลต่อ ฟอร์มที่เพิ่มฟิลด์ใหม่ ปลั๊กอินวิเคราะห์พฤติกรรมที่ติดตั้งเพิ่ม หรือระบบสมาชิกที่ขยายให้เก็บข้อมูลมากขึ้น ล้วนเป็นจุดที่ฐานกฎหมายเดิมอาจไม่ครอบคลุมอีกต่อไป การ Audit จึงต้องคลุมทั้งโปรเจกต์ใหม่ที่กำลังทำและโปรเจกต์เก่าที่ยังเปิดใช้งานอยู่ในสัดส่วนที่เหมาะสม ไม่ใช่ปล่อยให้โปรเจกต์เก่ากลายเป็นจุดบอดที่ไม่มีใครกลับไปดูอีกเลย

สิ่งที่ต้องตรวจในทุกรอบ Audit

เริ่มจากดึงรายการโปรเจกต์ที่เอเจนซียังดูแลหรือเคยส่งมอบและยังเปิดใช้งานอยู่ทั้งหมด แล้วเปิดเว็บไซต์จริงของแต่ละโปรเจกต์เทียบกับเอกสารสรุปฐานกฎหมายที่เคยจัดทำไว้ตอนปิดงาน ตรวจว่าจุดเก็บข้อมูลที่ปรากฏบนเว็บไซต์จริงตรงกับที่บันทึกไว้หรือไม่ หากพบฟอร์มหรือปลั๊กอินใหม่ที่ไม่เคยมีในเอกสาร ต้องประเมินฐานกฎหมายให้จุดนั้นทันทีและปรับเอกสารให้เป็นปัจจุบัน ต่อด้วยตรวจว่าฐานกฎหมายที่จับคู่ไว้เดิมยังเหมาะสมกับลักษณะการใช้งานจริงหรือไม่ เช่น ฟอร์มที่เคยใช้ฐานความจำเป็นก่อนทำสัญญา แต่ภายหลังลูกค้าเปลี่ยนไปใช้ข้อมูลเดียวกันเพื่อส่งอีเมลการตลาดเพิ่ม ซึ่งต้องแยกออกมาเป็นฐานความยินยอมต่างหาก

อีกจุดที่ควรตรวจคือบริการภายนอกที่เว็บไซต์เชื่อมต่ออยู่ เช่น เครื่องมือวิเคราะห์พฤติกรรม ระบบอีเมลมาร์เก็ตติ้ง หรือปลั๊กอินแชท เพราะบริการเหล่านี้มักถูกเพิ่มเข้ามาภายหลังโดยทีมลูกค้าเองโดยไม่ผ่านเอเจนซี และแต่ละบริการอาจมีฐานกฎหมายที่ต้องพิจารณาแยกจากฟอร์มหลักของเว็บไซต์ ตารางด้านล่างสรุปจุดที่ควรตรวจแยกตามลักษณะโปรเจกต์ เพราะเว็บไซต์แบบข้อมูลบริษัททั่วไป เว็บอีคอมเมิร์ซ และเว็บที่มีระบบสมาชิก มีความเสี่ยงที่ฐานกฎหมายจะคลาดเคลื่อนต่างกัน

ขั้นตอน Audit แบบรันเป็นรอบ

ขั้นแรกให้จัดกลุ่มโปรเจกต์ตามความเสี่ยง เช่น โปรเจกต์ที่เก็บข้อมูลอ่อนไหวหรือมีทราฟฟิกสูงควรตรวจก่อนโปรเจกต์เว็บข้อมูลบริษัททั่วไปที่แทบไม่มีฟอร์มเก็บข้อมูล ขั้นที่สองให้เปรียบเทียบเว็บไซต์จริงกับเอกสารฐานกฎหมายเดิมทีละโปรเจกต์ แล้วบันทึกผลต่างที่พบไว้ในตารางเดียว ขั้นที่สามให้ประเมินฐานกฎหมายใหม่สำหรับจุดที่เปลี่ยนแปลงไป พร้อมเหตุผลกำกับสั้น ๆ และแจ้งลูกค้าหากต้องปรับ Privacy Policy หรือกลไกขอความยินยอมเพิ่ม ขั้นสุดท้ายให้ปรับปรุงเอกสารสรุปฐานกฎหมายของโปรเจกต์นั้นให้เป็นเวอร์ชันล่าสุด พร้อมวันที่ตรวจกำกับไว้ สำหรับเอเจนซีที่มีโปรเจกต์เปิดใช้งานอยู่จำนวนมาก ไม่จำเป็นต้องตรวจทุกโปรเจกต์พร้อมกัน ควรแบ่งเป็นรอบตามความเสี่ยงและทราฟฟิกของแต่ละเว็บไซต์ แล้วหมุนเวียนให้ครบทุกโปรเจกต์ภายในหนึ่งปี

ตัวอย่าง Evidence ที่ควรเก็บจากการ Audit

สิ่งที่ควรเก็บไว้หลังทุกรอบ Audit คือภาพหน้าจอฟอร์มหรือจุดเก็บข้อมูลจริงบนเว็บไซต์พร้อมวันที่ตรวจ ตารางรายชื่อโปรเจกต์ที่พบจุดต้องแก้ไขและวันที่แก้เสร็จ เอกสารสรุปฐานกฎหมายเวอร์ชันล่าสุดของแต่ละโปรเจกต์ และบันทึกการแจ้งลูกค้าเมื่อพบว่าต้องปรับ Privacy Policy หรือกลไกขอความยินยอม หลักฐานชุดนี้ช่วยให้เอเจนซีตอบคำถามลูกค้าได้ทันทีหากมีการสอบถามย้อนหลัง และยังช่วยป้องกันความสับสนภายในทีมเวลามีพนักงานใหม่เข้ามารับช่วงดูแลโปรเจกต์เดิมต่อ เพราะมีเอกสารอ้างอิงชัดเจนแทนที่จะต้องถามพนักงานคนเดิมที่อาจลาออกไปแล้ว

ตัวอย่างการ Audit จริงในโปรเจกต์สามรูปแบบที่ต่างกัน

เอเจนซีขนาดกลางแห่งหนึ่งเริ่ม Audit รอบแรกด้วยเว็บอีคอมเมิร์ซของลูกค้าเครื่องสำอางรายหนึ่งที่ส่งมอบไปแล้วสองปี พบว่าฟอร์มสมัครสมาชิกเดิมใช้ฐานความจำเป็นก่อนทำสัญญาเพียงอย่างเดียว แต่ระหว่างสองปีที่ผ่านมาลูกค้าได้เพิ่มระบบสะสมแต้มที่ส่งอีเมลแนะนำสินค้าตามพฤติกรรมการซื้อโดยไม่เคยแยกฐานกฎหมายสำหรับส่วนนี้ออกมา ทีมงานจึงต้องประเมินใหม่ว่าการส่งอีเมลแนะนำสินค้าตามพฤติกรรมควรอยู่บนฐานความยินยอมแยกต่างหาก แล้วประสานลูกค้าให้เพิ่มช่องยินยอมในหน้าสมัครสมาชิกก่อนเปิดใช้งานฟีเจอร์นี้ต่อ กรณีนี้แสดงให้เห็นว่าฟีเจอร์ใหม่ที่เพิ่มเข้ามาทีละเล็กทีละน้อยหลังส่งมอบงาน มักเป็นจุดที่ฐานกฎหมายเดิมตามไม่ทัน

อีกโปรเจกต์หนึ่งเป็นเว็บไซต์ระบบสมาชิกของสถาบันสอนภาษาที่มีสาขาหลายแห่ง ทีม Audit พบว่าฟอร์มลงทะเบียนเรียนเดิมเก็บเฉพาะชื่อ อีเมล และเบอร์โทร แต่เว็บไซต์ปัจจุบันมีการเพิ่มฟิลด์ระดับความสามารถทางภาษาและประวัติการเรียนเดิมเพื่อใช้จัดกลุ่มเรียน โดยทีมพัฒนาภายในของสถาบันเป็นผู้เพิ่มเองระหว่างปรับปรุงเว็บไซต์โดยไม่ได้แจ้งเอเจนซีที่เคยส่งมอบงาน เอเจนซีจึงต้องประเมินว่าข้อมูลระดับความสามารถทางภาษายังเข้าฐานความจำเป็นก่อนทำสัญญาได้เช่นเดิม เพราะใช้เพื่อจัดกลุ่มเรียนตามที่ผู้เรียนร้องขอโดยตรง แต่ต้องปรับเอกสารสรุปฐานกฎหมายให้ระบุฟิลด์ใหม่นี้ไว้ชัดเจน แทนที่จะปล่อยให้เอกสารเดิมล้าสมัยตามเว็บไซต์ที่เปลี่ยนไปแล้ว

โปรเจกต์ที่สามเป็นเว็บข้อมูลบริษัทของผู้รับเหมาก่อสร้างรายเล็กที่แทบไม่มีฟอร์มเก็บข้อมูลนอกจากฟอร์มติดต่อทั่วไป ทีม Audit ใช้เวลาตรวจไม่นานเพราะความเสี่ยงต่ำ แต่ยังพบว่าลูกค้าติดตั้งปลั๊กอินแชทสดเพิ่มเข้ามาเองซึ่งส่งข้อมูลการสนทนาไปเก็บที่เซิร์ฟเวอร์ของผู้ให้บริการภายนอก ทีมงานจึงบันทึกจุดนี้ไว้ในเอกสารและแจ้งลูกค้าให้ตรวจสอบเงื่อนไขการประมวลผลข้อมูลของผู้ให้บริการแชทนั้นเพิ่มเติม ตัวอย่างทั้งสามกรณีสะท้อนว่าความเสี่ยงของแต่ละโปรเจกต์ไม่ได้ขึ้นกับขนาดธุรกิจของลูกค้าเพียงอย่างเดียว แต่ขึ้นกับว่ามีการเปลี่ยนแปลงเว็บไซต์เกิดขึ้นมากน้อยเพียงใดหลังจากที่เอเจนซีส่งมอบงานไปแล้ว

ข้อผิดพลาดที่พบบ่อยในการ Audit ของเอเจนซี

เอเจนซีที่เริ่มทำ Audit ฐานกฎหมายเป็นครั้งแรกมักพบปัญหาซ้ำ ๆ กันในหลายจุด เพราะโปรเจกต์สะสมมานานโดยไม่มีใครกลับไปทบทวน รายการด้านล่างเป็นข้อผิดพลาดที่พบบ่อยที่สุด

• ตรวจฐานกฎหมายเฉพาะตอนเริ่มโปรเจกต์ใหม่ ไม่เคยกลับไปตรวจโปรเจกต์เก่าที่ยังเปิดใช้งานอยู่
• ไม่รู้ว่าลูกค้าเพิ่มฟอร์มหรือปลั๊กอินใหม่ในเว็บไซต์ภายหลังส่งมอบงาน
• ใช้ฐานกฎหมายเดิมต่อไปแม้ลักษณะการใช้งานข้อมูลจะเปลี่ยนไปแล้ว
• เก็บผลตรวจ Audit แบบกระจัดกระจาย ไม่รวมเป็นชุดหลักฐานเดียวที่ตรวจสอบย้อนหลังได้
• ไม่แจ้งลูกค้าเมื่อพบว่าฐานกฎหมายเดิมไม่ครอบคลุมการใช้งานจริงแล้ว
• ปล่อยให้โปรเจกต์ที่มีความเสี่ยงสูงรอคิว Audit นานพอ ๆ กับโปรเจกต์ทั่วไปที่มีความเสี่ยงต่ำมาก

แหล่งข้อมูลอ้างอิงสำหรับการ Audit

ใช้แนวทางของ สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (PDPC) เป็นกรอบหลักในการทบทวนฐานกฎหมายทุกรอบ เพราะเป็นหน่วยงานที่ปรับปรุงแนวปฏิบัติเป็นระยะ เอเจนซีควรผูกการทบทวนเอกสารนี้เข้ากับปฏิทิน Audit ของตัวเอง แทนที่จะใช้ความเข้าใจเดิมจากตอนตั้งค่าโปรเจกต์ครั้งแรกไปเรื่อย ๆ โดยไม่ตรวจสอบว่ามีการเปลี่ยนแปลงหรือไม่ สำหรับขั้นตอนวางระบบตั้งแต่ต้นก่อนเริ่มโปรเจกต์ใหม่ อ่านเพิ่มเติมได้ที่ วิธีวางระบบฐานกฎหมายในการประมวลผลข้อมูลสำหรับเอเจนซี

สรุปกรอบ Audit ที่ควรใช้ต่อเนื่อง

การ Audit ฐานกฎหมายในการประมวลผลข้อมูลของเอเจนซีต้องครอบคลุมทั้งโปรเจกต์ใหม่และโปรเจกต์เก่าที่ยังเปิดใช้งานอยู่ ตรวจว่าเว็บไซต์จริงตรงกับเอกสารที่บันทึกไว้หรือไม่ ประเมินฐานกฎหมายใหม่เมื่อพบการเปลี่ยนแปลง และเก็บหลักฐานทุกรอบไว้เป็นระบบ เอเจนซีที่รัน Audit แบบนี้เป็นประจำจะตอบคำถามลูกค้าได้เร็วขึ้นและลดความเสี่ยงที่เอกสารฐานกฎหมายจะล้าสมัยตามเว็บไซต์ที่เปลี่ยนแปลงไปโดยไม่มีใครรู้ สำหรับเช็กลิสต์สั้น ๆ ที่ใช้ก่อนปิดโปรเจกต์แต่ละครั้ง อ่านเพิ่มเติมได้ที่ เช็กลิสต์ฐานกฎหมายในการประมวลผลข้อมูลสำหรับเอเจนซี