ฐานกฎหมายในการประมวลผลข้อมูล คืออะไร? คู่มือสำหรับเอเจนซีและฟรีแลนซ์ทำเว็บไซต์

เอเจนซีและฟรีแลนซ์จำนวนมากเชื่อว่าเมื่อลูกค้าเซ็นสัญญาว่าจ้างทำเว็บไซต์ พร้อมระบุในสัญญาว่าลูกค้าเป็นผู้รับผิดชอบด้านกฎหมายทั้งหมด เรื่องฐานกฎหมายในการประมวลผลข้อมูลก็หลุดพ้นจากมือของเอเจนซีไปโดยสมบูรณ์ ความเชื่อนี้ผิดในทางปฏิบัติ เพราะเอเจนซีคือผู้ออกแบบฟอร์มเก็บข้อมูล เลือกปลั๊กอิน ผูก third-party script และตัดสินใจว่าข้อมูลอะไรจะถูกเก็บไว้ที่ไหน การตัดสินใจเชิงเทคนิคเหล่านี้กำหนดว่าฐานกฎหมายแบบไหนจะใช้ได้จริงกับระบบที่สร้างขึ้น ไม่ใช่แค่ข้อความในสัญญาที่โยนความรับผิดชอบไปให้ลูกค้าฝ่ายเดียว

คู่มือนี้อธิบายฐานกฎหมายในการประมวลผลข้อมูลแบบครบวงจรสำหรับทีมเอเจนซี ฟรีแลนซ์ และนักพัฒนาเว็บไซต์ที่รับงานสร้างระบบเก็บข้อมูลให้ลูกค้าหลายราย ครอบคลุมนิยามฐานกฎหมายทั้งหกแบบ วิธีจับคู่กับงานที่ส่งมอบจริง วิธี Audit เป็นระยะ ไปจนถึงสิ่งที่ต้องทบทวนเมื่อรับงานลูกค้าใหม่ เพื่อให้ทีมเห็นภาพรวมก่อนไปอ่านคู่มือเชิงลึกแต่ละหัวข้อต่อ

ฐานกฎหมายในการประมวลผลข้อมูลคือเหตุผลทางกฎหมายที่ต้องระบุแยกกันสำหรับกิจกรรมประมวลผลข้อมูลแต่ละอย่างบนเว็บไซต์ ซึ่งมีหกแบบ ได้แก่ ความยินยอม ความจำเป็นตามสัญญา การปฏิบัติหน้าที่ตามกฎหมาย การป้องกันอันตรายต่อชีวิต การปฏิบัติภารกิจของรัฐ และประโยชน์โดยชอบด้วยกฎหมาย สำหรับเอเจนซีที่สร้างระบบเก็บข้อมูลให้ลูกค้า การเลือกฐานที่ถูกต้องในขั้นออกแบบระบบมีผลโดยตรงต่อความรับผิดชอบร่วมระหว่างเอเจนซีกับลูกค้า และต้องมีเอกสารประกอบการตัดสินใจที่ทบทวนได้เป็นระยะ

ฐานกฎหมายในการประมวลผลข้อมูลคืออะไร และทำไมเอเจนซีต้องสนใจ

ฐานกฎหมายในการประมวลผลข้อมูลคือเหตุผลทางกฎหมายที่รองรับว่าทำไมระบบจึงมีสิทธิเก็บ ใช้ หรือส่งต่อข้อมูลส่วนบุคคลในแต่ละจุด สำหรับเอเจนซีที่ส่งมอบเว็บไซต์ให้ลูกค้าหลายรายพร้อมกัน ความเสี่ยงคือการใช้เทมเพลตฟอร์มติดต่อ ระบบสมัครสมาชิก หรือสคริปต์ analytics ชุดเดียวกันซ้ำในทุกโปรเจกต์ โดยไม่ทบทวนว่าลูกค้าแต่ละรายมีบริบทการเก็บข้อมูลต่างกันแค่ไหน ฟอร์มขอใบเสนอราคาของบริษัทรับเหมาก่อสร้างกับฟอร์มสมัครสมาชิกของคลินิกความงามมีความอ่อนไหวของข้อมูลต่างกันมาก แม้หน้าตาฟอร์มจะดูคล้ายกัน

ความเสี่ยงที่มองไม่เห็นเมื่อใช้เทมเพลตเดิมซ้ำทุกโปรเจกต์

ฟรีแลนซ์รายหนึ่งเคยใช้ปลั๊กอินฟอร์มติดต่อตัวเดียวกันกับลูกค้าทุกรายมาหลายปี โดยตั้งค่าให้ส่งอีเมลแจ้งเตือนพร้อมเก็บข้อมูลผู้กรอกไว้ในฐานข้อมูลปลั๊กอินโดยอัตโนมัติ จนวันหนึ่งลูกค้ารายหนึ่งซึ่งเป็นคลินิกทันตกรรมถูกผู้ป่วยสอบถามว่าข้อมูลอาการที่กรอกในฟอร์มนัดหมายถูกเก็บไว้ที่ใดและใช้ฐานกฎหมายอะไรรองรับ ฟรีแลนซ์ตอบไม่ได้ทันทีเพราะไม่เคยแยกพิจารณาว่าฟอร์มของคลินิกควรมีมาตรการต่างจากฟอร์มของร้านขายของทั่วไป การใช้ฐานกฎหมายและมาตรการเดียวกันซ้ำทุกโปรเจกต์โดยไม่ปรับตามบริบทลูกค้าจึงเป็นจุดที่ต้องระวังเป็นพิเศษ

ฐานกฎหมายทั้งหกแบบ และตัวอย่างในงานที่เอเจนซีส่งมอบ

ความยินยอม (consent) เหมาะกับฟีเจอร์ที่ผู้ใช้ปลายทางควรมีสิทธิปฏิเสธได้จริง เช่น ป๊อปอัปสมัครรับข่าวสารทางอีเมลที่เอเจนซีติดตั้งให้ลูกค้า หรือปุ่มแชร์ข้อมูลให้พาร์ทเนอร์โฆษณาภายนอก ความจำเป็นเพื่อปฏิบัติตามสัญญา (contract necessity) ใช้กับระบบที่ต้องทำงานเพื่อส่งมอบบริการตามที่ลูกค้าของลูกค้าตกลงไว้ เช่น ระบบจองคิวหรือระบบเช็คเอาต์ที่เอเจนซีพัฒนาให้ การปฏิบัติหน้าที่ตามกฎหมาย (legal obligation) ใช้กับกรณีที่กฎหมายบังคับให้เก็บหลักฐาน เช่น ระบบออกใบกำกับภาษีที่เอเจนซีต่อเชื่อมให้ร้านค้า

ประโยชน์โดยชอบด้วยกฎหมาย (legitimate interest) เหมาะกับฟีเจอร์ที่เป็นประโยชน์ทั้งต่อเจ้าของเว็บไซต์และผู้ใช้โดยไม่กระทบสิทธิเกินสมควร เช่น ระบบตรวจจับบอทสแปมในฟอร์มติดต่อที่เอเจนซีติดตั้งเป็นมาตรฐาน แต่ต้องผ่านการประเมินสามส่วนก่อนนำไปใช้ ส่วนการป้องกันอันตรายต่อชีวิต (vital interest) และการปฏิบัติภารกิจของรัฐ (public task) แทบไม่เกี่ยวข้องกับงานเว็บไซต์เอกชนทั่วไป ยกเว้นกรณีเฉพาะ เช่น เว็บไซต์แจ้งเหตุฉุกเฉินของหน่วยงานท้องถิ่นที่เอเจนซีรับจ้างทำ

ตารางเทียบฐานกฎหมายกับฟีเจอร์ที่เอเจนซีมักติดตั้งให้ลูกค้า

ลองไล่ตัวอย่างฟีเจอร์ที่เอเจนซีมักติดตั้งให้ลูกค้าเป็นมาตรฐาน ฟอร์มขอใบเสนอราคาและระบบจองคิวมักใช้ความจำเป็นตามสัญญา ระบบออกใบกำกับภาษีอัตโนมัติใช้การปฏิบัติหน้าที่ตามกฎหมาย ป๊อปอัปสมัครรับข่าวสารทางอีเมลควรใช้ความยินยอมเสมอเพราะไม่ใช่ส่วนที่จำเป็นต่อการใช้งานเว็บไซต์หลัก สคริปต์ analytics มาตรฐานที่วัดจำนวนผู้เข้าชมโดยไม่ระบุตัวตนมักเข้าข่ายประโยชน์โดยชอบด้วยกฎหมายหากผ่านการประเมินแล้ว ส่วนพิกเซลติดตามโฆษณาจากแพลตฟอร์มภายนอกที่ส่งข้อมูลผู้ใช้ออกไปนอกเว็บไซต์ต้องใช้ความยินยอมเสมอ เพราะผู้ใช้ควรมีสิทธิรู้และเลือกได้จริงว่าข้อมูลจะถูกส่งไปที่ใด

ใครรับผิดชอบอะไร เมื่อเอเจนซีเป็นผู้สร้างระบบแทนลูกค้า

คำถามที่เอเจนซีต้องตอบให้ชัดตั้งแต่ขั้นเสนอโครงการคือ ใครเป็นผู้ตัดสินใจเลือกฐานกฎหมายของแต่ละฟีเจอร์ ลูกค้าในฐานะเจ้าของเว็บไซต์เป็นผู้รับผิดชอบหลักตามกฎหมาย แต่เอเจนซีในฐานะผู้ออกแบบระบบมีบทบาทโดยตรงในการเสนอทางเลือกที่ทำได้จริงทางเทคนิค แนวทางที่ใช้ได้จริงคือทำเอกสารสรุปฐานกฎหมายของแต่ละฟีเจอร์แนบไปกับ handover document ตอนส่งมอบงาน ระบุชัดว่าฟีเจอร์ใดใช้ฐานอะไรและเหตุผลคืออะไร เพื่อให้ลูกค้ารับช่วงต่อได้โดยไม่ต้องเริ่มไล่ทวนระบบใหม่ทั้งหมด

วิธีเริ่มวางระบบตั้งแต่ขั้นเสนอโครงการ

การวางระบบควรทำสามขั้นหลัก ขั้นแรกคือไล่รายการฟีเจอร์ที่กระทบข้อมูลผู้ใช้ทั้งหมดในขอบเขตงาน ตั้งแต่ฟอร์มติดต่อไปจนถึงสคริปต์ third-party ที่ลูกค้าขอให้ติดตั้งเพิ่ม ขั้นที่สองคือจับคู่แต่ละฟีเจอร์กับฐานกฎหมายที่เหมาะสมร่วมกับลูกค้า โดยเฉพาะฟีเจอร์ที่ลูกค้าขอเพิ่มระหว่างทางซึ่งมักไม่ถูกทบทวนย้อนกลับ ขั้นที่สามคือแนบเอกสารสรุปฐานกฎหมายไว้ใน handover document พร้อมวันที่ควรทบทวน รายละเอียดขั้นตอนแบบเต็มดูได้ที่ วิธีวางระบบฐานกฎหมายในการประมวลผลข้อมูลสำหรับเอเจนซี

ตัวอย่างสถานการณ์จริงที่เอเจนซีมักเจอเมื่อลูกค้าขยายฟีเจอร์ระหว่างทาง

โปรเจกต์เว็บไซต์ร้านอาหารเครือหนึ่งเริ่มต้นด้วยขอบเขตงานง่าย ๆ คือเว็บไซต์แนะนำเมนูพร้อมฟอร์มจองโต๊ะที่ใช้ความจำเป็นตามสัญญาเป็นฐานกฎหมายอย่างชัดเจน แต่หลังเปิดใช้งานได้สามเดือน ลูกค้าขอเพิ่มระบบสะสมแต้มที่ต้องเก็บเบอร์โทรและวันเกิดของลูกค้าประจำ พร้อมขอให้เชื่อมข้อมูลเข้ากับระบบส่ง SMS โปรโมชันของพาร์ทเนอร์ภายนอก ทีมพัฒนาที่รับงานเสริมนี้ต่อจากทีมเดิมมักติดตั้งฟีเจอร์ตามคำขอโดยตรงโดยไม่ทบทวนว่าฐานกฎหมายเดิมของโปรเจกต์ยังครอบคลุมอยู่หรือไม่ ทั้งที่ระบบสะสมแต้มและการส่ง SMS โปรโมชันเป็นกิจกรรมใหม่ที่ต้องใช้ความยินยอมแยกต่างหาก ไม่ใช่การขยายขอบเขตของความจำเป็นตามสัญญาเดิม

ทำไมการแยกฐานกฎหมายตามฟีเจอร์จึงสำคัญกว่าการแยกตามโปรเจกต์

ทีมเอเจนซีบางทีมพยายามลดความซับซ้อนด้วยการกำหนดฐานกฎหมายระดับโปรเจกต์เพียงครั้งเดียวตั้งแต่ต้น แล้วถือว่าฟีเจอร์ใหม่ทุกอย่างที่เพิ่มเข้ามาภายหลังใช้ฐานเดียวกันไปโดยอัตโนมัติ วิธีคิดแบบนี้ใช้ไม่ได้กับความเป็นจริงของงานเอเจนซีที่ขอบเขตงานมักขยายทีละขั้นตามคำขอของลูกค้า การแยกพิจารณาฐานกฎหมายเป็นรายฟีเจอร์ตั้งแต่ต้นทำให้ทีมมีกรอบความคิดที่พร้อมรับมือกับคำขอเพิ่มเติมได้ทันที แทนที่จะต้องย้อนกลับไปทบทวนทั้งโปรเจกต์ใหม่ทุกครั้งที่มีการเปลี่ยนแปลง และช่วยให้ทีมตอบลูกค้าได้ทันทีว่าฟีเจอร์ใหม่ที่ขอมาต้องใช้ฐานกฎหมายแบบใดก่อนเริ่มพัฒนา

วิธี Audit ฐานกฎหมายเมื่อรับงานลูกค้าต่อเนื่องหรือรับช่วงต่อโปรเจกต์เดิม

เอเจนซีที่รับดูแลเว็บไซต์ต่อเนื่องหรือรับช่วงต่อโปรเจกต์ที่ทีมอื่นสร้างไว้ควรมีรอบตรวจสอบฐานกฎหมายเป็นระยะ เช่น ทุกหกเดือน หรือทุกครั้งที่ลูกค้าขอเพิ่มฟีเจอร์ใหม่ที่กระทบข้อมูล การตรวจสอบควรเทียบรายการฟีเจอร์จริงบนเว็บไซต์กับเอกสารฐานกฎหมายที่มีอยู่ เพราะฟีเจอร์ที่ลูกค้าติดตั้งเพิ่มเองผ่านปลั๊กอินหรือแอปเสริมภายหลังส่งมอบงานมักไม่ถูกบันทึกไว้ในเอกสารชุดเดิม รายละเอียดขั้นตอน Audit แบบเต็มดูได้ที่ คู่มือ Audit ฐานกฎหมายในการประมวลผลข้อมูลสำหรับเอเจนซี

สัญญาณที่บอกว่าถึงเวลาต้อง Audit นอกรอบปกติ

สัญญาณที่ควรกระตุ้นให้ Audit ทันทีนอกรอบปกติ ได้แก่ เมื่อลูกค้าเปลี่ยนผู้ให้บริการชำระเงินหรือระบบ CRM เพราะข้อมูลอาจไหลไปยังปลายทางใหม่ที่ยังไม่ได้ประเมิน เมื่อลูกค้าขอให้ติดตั้งพิกเซลติดตามโฆษณาแพลตฟอร์มใหม่ หรือเมื่อทีมงานเก่าออกจากโปรเจกต์โดยไม่มีเอกสารส่งมอบครบถ้วน กรณีหลังนี้พบบ่อยในงานเอเจนซีที่รับช่วงต่อโปรเจกต์เก่า และมักเป็นจุดที่ฐานกฎหมายไม่เคยถูกบันทึกไว้ตั้งแต่ต้น

เอกสารง่าย ๆ ที่ทีมเล็กเริ่มทำได้ทันทีโดยไม่ต้องรอที่ปรึกษากฎหมาย

ทีมเอเจนซีขนาดเล็กหรือฟรีแลนซ์ที่ทำงานคนเดียวมักคิดว่าการทำเอกสารฐานกฎหมายต้องรอให้มีที่ปรึกษากฎหมายมาช่วยร่างก่อนจึงเริ่มได้ ในทางปฏิบัติทีมสามารถเริ่มจากตารางง่าย ๆ ที่มีสี่คอลัมน์คือ ชื่อฟีเจอร์ ข้อมูลที่เก็บ ฐานกฎหมายที่เลือกใช้ และเหตุผลสั้น ๆ ที่เลือกฐานนั้น แล้วแนบตารางนี้ไปกับเอกสารส่งมอบงานทุกโปรเจกต์ตั้งแต่วันนี้ แม้จะยังไม่สมบูรณ์แบบในเชิงกฎหมาย แต่การมีบันทึกที่ทบทวนได้ยังดีกว่าไม่มีอะไรเลย และเมื่อโปรเจกต์มีความซับซ้อนมากขึ้นหรือกระทบข้อมูลอ่อนไหว ทีมจึงค่อยนำตารางนี้ไปให้ที่ปรึกษากฎหมายทบทวนอีกชั้นหนึ่ง

เช็กลิสต์ก่อนติดตั้งฟีเจอร์ใหม่ให้ลูกค้า

ก่อนติดตั้งฟีเจอร์ใหม่ที่เก็บหรือใช้ข้อมูลส่วนบุคคลเพิ่มเติมให้ลูกค้า ทีมควรตอบคำถามให้ครบก่อนว่า ฟีเจอร์นี้เก็บข้อมูลประเภทใหม่หรือไม่ ส่งข้อมูลออกไปยังบริการภายนอกเพิ่มหรือไม่ และฐานกฎหมายที่เคยจับคู่ไว้กับฟีเจอร์อื่นบนเว็บไซต์เดียวกันยังครอบคลุมฟีเจอร์ใหม่นี้หรือไม่ การตอบคำถามเหล่านี้ตั้งแต่ขั้นเสนอราคาเพิ่มเติมช่วยลดโอกาสที่ต้องแก้ไขย้อนหลังหลังฟีเจอร์เปิดใช้งานไปแล้ว รายการเช็กแบบเต็มดูได้ที่ เช็กลิสต์ฐานกฎหมายในการประมวลผลข้อมูลก่อนส่งมอบงานเอเจนซี

ความสัมพันธ์กับบทความอื่นในชุดความรู้เดียวกัน

คู่มือนี้เป็นภาพรวมของคลัสเตอร์ฐานกฎหมายในการประมวลผลข้อมูลสำหรับเอเจนซีและฟรีแลนซ์ หากต้องการขั้นตอนวางระบบแบบละเอียดหรือรายการ Audit และเช็กลิสต์ ดูได้ที่ลิงก์ในแต่ละหัวข้อด้านบน และดูภาพรวมหัวข้ออื่นในหมวด Privacy Fundamentals เพิ่มเติมได้ที่ คลังความรู้ Privacy Fundamentals

ข้อผิดพลาดที่พบบ่อยเมื่อเอเจนซีวางระบบฐานกฎหมายในการประมวลผลข้อมูล

• คิดว่าข้อความในสัญญาที่โยนความรับผิดชอบให้ลูกค้าทำให้เอเจนซีไม่ต้องพิจารณาฐานกฎหมายเลย
• ใช้เทมเพลตฟอร์มและฐานกฎหมายเดียวกันซ้ำทุกโปรเจกต์โดยไม่ปรับตามบริบทลูกค้า
• ไม่แนบเอกสารสรุปฐานกฎหมายไว้ใน handover document ตอนส่งมอบงาน
• ไม่ทบทวนฐานกฎหมายเมื่อลูกค้าขอเพิ่มฟีเจอร์หรือเปลี่ยนผู้ให้บริการภายนอกระหว่างทาง
• รับช่วงต่อโปรเจกต์เก่าโดยไม่ตรวจสอบว่าฐานกฎหมายเดิมยังใช้ได้กับฟีเจอร์ที่มีอยู่จริง

สรุป

ฐานกฎหมายในการประมวลผลข้อมูลสำหรับงานเอเจนซีต้องพิจารณาเป็นรายฟีเจอร์ที่ติดตั้งให้ลูกค้า ไม่ใช่ปล่อยให้เป็นภาระของลูกค้าฝ่ายเดียวตามข้อความในสัญญา ทีมควรไล่รายการฟีเจอร์ให้ครบตั้งแต่ขั้นเสนอโครงการ จับคู่แต่ละฟีเจอร์กับฐานที่เหมาะสม แนบเอกสารไว้ใน handover document และตรวจสอบเป็นระยะโดยเฉพาะเมื่อรับช่วงต่อโปรเจกต์เก่า คู่มือเชิงลึกแต่ละหัวข้อในคลัสเตอร์นี้จะช่วยให้ทีมลงมือทำได้จริงทีละขั้น

แหล่งข้อมูลอ้างอิง

แนวทางเรื่องฐานกฎหมายในการประมวลผลข้อมูลส่วนบุคคลตามกฎหมายไทย ควรตรวจสอบกับประกาศและแนวปฏิบัติของ สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (PDPC) โดยตรง คู่มือนี้เป็นแนวทางเชิงปฏิบัติสำหรับทีมเอเจนซีและฟรีแลนซ์ ไม่ใช่การตีความข้อกำหนดทางกฎหมายแทนหน่วยงานกำกับดูแล