วิธีวางระบบ ฐานกฎหมายในการประมวลผลข้อมูล สำหรับเอเจนซีและฟรีแลนซ์ทำเว็บไซต์แบบเป็นขั้นตอน

เอเจนซีเว็บไซต์ขนาดกลางทั่วไปมักส่งมอบโปรเจกต์เฉลี่ยปีละ 15 ถึง 20 โปรเจกต์ และแทบทุกโปรเจกต์มีฟอร์มเก็บข้อมูลผู้ใช้อย่างน้อยหนึ่งจุด ไม่ว่าจะเป็นฟอร์มติดต่อ ฟอร์มสมัครสมาชิก หรือฟอร์มสั่งซื้อ แต่เมื่อลองไล่ดูเอกสารโปรเจกต์ย้อนหลังของเอเจนซีหลายแห่ง กลับพบว่ามีไม่ถึงครึ่งที่ระบุฐานกฎหมายของแต่ละจุดไว้ชัดเจนตั้งแต่ขั้นตอนออกแบบ ส่วนใหญ่ตัดสินใจเฉพาะหน้าตอนพัฒนาจริง แล้วก็ไม่มีบันทึกอะไรหลงเหลือไว้ให้ตรวจสอบทีหลัง ตัวเลขนี้สะท้อนว่าปัญหาไม่ได้อยู่ที่ทีมงานไม่รู้จักฐานกฎหมาย แต่อยู่ที่ไม่มีระบบที่ทำให้การตรวจฐานกฎหมายเกิดขึ้นซ้ำได้ทุกโปรเจกต์โดยอัตโนมัติ

บทความนี้วางขั้นตอนสร้างระบบฐานกฎหมายในการประมวลผลข้อมูลที่เอเจนซีและฟรีแลนซ์ใช้ซ้ำได้กับทุกโปรเจกต์ แทนที่จะตัดสินใจใหม่ทุกครั้งที่เริ่มงานลูกค้ารายใหม่ ดูภาพรวมของหมวดนี้เพิ่มเติมได้ที่ ศูนย์ความรู้ Privacy Fundamentals

การวางระบบฐานกฎหมายในการประมวลผลข้อมูลสำหรับเอเจนซีเริ่มจากสร้างรายการกิจกรรมประมวลผลข้อมูลมาตรฐานที่เกิดซ้ำในทุกโปรเจกต์ แล้วจับคู่ฐานกฎหมายให้แต่ละกิจกรรมไว้ล่วงหน้า ฝังขั้นตอนตรวจสอบไว้ใน SOP และเทมเพลตโปรเจกต์ กำหนดผู้รับผิดชอบตรวจสอบชัดเจน ทำเอกสารส่งมอบมาตรฐานให้ลูกค้าทุกราย แล้วตั้งรอบทบทวนระบบตามงานจริง เพื่อให้ทุกโปรเจกต์ผ่านการตรวจฐานกฎหมายแบบเดียวกันโดยไม่ต้องเริ่มคิดใหม่ทุกครั้ง

ทำไมเอเจนซีต้องมีระบบ ไม่ใช่แค่ตรวจเป็นครั้งคราว

การตรวจฐานกฎหมายแบบเฉพาะกิจในแต่ละโปรเจกต์มีข้อจำกัดสำคัญ คือขึ้นอยู่กับว่าใครเป็นผู้ดูแลโปรเจกต์นั้นในวันนั้น หากคนที่รู้เรื่องนี้ลาออกหรือย้ายไปทำโปรเจกต์อื่น ความรู้ก็หายไปพร้อมกับคน โปรเจกต์ถัดไปจึงต้องเริ่มคิดใหม่ตั้งแต่ต้น ซึ่งทั้งเสียเวลาและมีโอกาสพลาดจุดที่เคยแก้ไว้แล้วในโปรเจกต์ก่อนหน้า การมีระบบที่ฝังอยู่ใน SOP หรือเทมเพลตโปรเจกต์ช่วยให้ทุกคนในทีมตรวจฐานกฎหมายแบบเดียวกัน ไม่ว่าใครจะเป็นผู้ดูแลโปรเจกต์นั้นก็ตาม และยังช่วยให้เอเจนซีตอบคำถามลูกค้าได้เร็วขึ้น เพราะมีเอกสารมาตรฐานพร้อมใช้ ไม่ต้องเริ่มร่างใหม่ทุกครั้ง

หกฐานกฎหมายที่ควรฝังไว้ในระบบตั้งแต่ต้น

ก่อนสร้างระบบ ทีมงานต้องเข้าใจตัวเลือกฐานกฎหมายทั้งหมดที่มีก่อน เพื่อไม่ให้ระบบที่สร้างขึ้นดึงไปที่ความยินยอมเป็นค่าเริ่มต้นของทุกกิจกรรม

• ความยินยอม — กิจกรรมที่ผู้ใช้ปลายทางควรเลือกเองได้อย่างอิสระ เช่น การรับข่าวสารทางการตลาด คุกกี้โฆษณา
• ความจำเป็นเพื่อทำสัญญา — ข้อมูลที่ต้องใช้จริงเพื่อส่งมอบสินค้าหรือบริการตามคำขอของผู้ใช้ เช่น ที่อยู่จัดส่ง อีเมลยืนยันคำสั่งซื้อ
• หน้าที่ตามกฎหมาย — ข้อมูลที่กฎหมายอื่นบังคับให้เก็บ เช่น ข้อมูลออกใบกำกับภาษี
• ประโยชน์อันชอบธรรม — กิจกรรมที่มีเหตุผลทางธุรกิจสมควรและไม่กระทบสิทธิผู้ใช้เกินควร เช่น log ป้องกันการโจมตีระบบ
• ประโยชน์สำคัญต่อชีวิต — กรณีฉุกเฉินเร่งด่วนเกี่ยวกับความปลอดภัยของบุคคล พบได้น้อยมากในงานเว็บไซต์ทั่วไป
• ภารกิจของรัฐหรือหน่วยงานที่มีอำนาจตามกฎหมาย — ใช้กับหน่วยงานภาครัฐเป็นหลัก มักไม่เกี่ยวข้องกับงานของเอเจนซีเอกชน

ขั้นตอนวางระบบฐานกฎหมายสำหรับเอเจนซี

ขั้นตอนที่ 1 — สร้างรายการกิจกรรมประมวลผลข้อมูลมาตรฐานที่เกิดซ้ำในทุกโปรเจกต์

ไล่ดูโปรเจกต์ที่เอเจนซีเคยทำมาทั้งหมด แล้วดึงกิจกรรมที่เกิดซ้ำๆ ออกมาเป็นรายการเดียว เช่น ฟอร์มติดต่อ ฟอร์มสมัครสมาชิก ระบบตะกร้าสินค้า ระบบแชทสด และปลั๊กอินวิเคราะห์พฤติกรรมที่ติดตั้งเป็นมาตรฐานเกือบทุกเว็บไซต์ รายการนี้ไม่จำเป็นต้องครบทุกกรณีตั้งแต่แรก แต่ควรครอบคลุมกิจกรรมที่พบบ่อยที่สุดก่อน แล้วค่อยเพิ่มเข้าไปเมื่อเจอกิจกรรมใหม่ในโปรเจกต์ถัดไป

ขั้นตอนที่ 2 — จับคู่ฐานกฎหมายให้แต่ละกิจกรรมมาตรฐานไว้ล่วงหน้า

สำหรับแต่ละกิจกรรมในรายการ กำหนดฐานกฎหมายเริ่มต้นที่เหมาะสมที่สุดไว้ล่วงหน้า พร้อมเหตุผลสั้นๆ กำกับไว้ เช่น ฟอร์มติดต่อทั่วไปมักเข้าฐานความจำเป็นก่อนทำสัญญาเพราะใช้ตอบคำถามที่ผู้ใช้ร้องขอเอง ส่วนการรับข่าวสารทางอีเมลต้องแยกออกมาเป็นความยินยอมเสมอ ฐานเริ่มต้นเหล่านี้เป็นจุดตั้งต้นให้ทีมงานใช้ตรวจสอบเร็วขึ้น แต่ยังต้องปรับตามบริบทจริงของแต่ละลูกค้า ไม่ใช่ใช้ตายตัวโดยไม่พิจารณา

ขั้นตอนที่ 3 — ฝังขั้นตอนตรวจฐานกฎหมายไว้ใน SOP และเทมเพลตโปรเจกต์

เพิ่มขั้นตอนตรวจฐานกฎหมายเข้าไปในเอกสาร brief ที่ทีมออกแบบใช้ตอนเริ่มโปรเจกต์ และในเช็กลิสต์ก่อนเปิดใช้งานที่ทีมพัฒนาใช้ตอนปิดงาน เพื่อให้การตรวจสอบนี้เป็นส่วนหนึ่งของกระบวนการทำงานปกติ ไม่ใช่ขั้นตอนแยกที่ต้องมีใครคอยเตือน หากทีมงานใช้เครื่องมือจัดการโปรเจกต์อยู่แล้ว ควรเพิ่มรายการนี้เป็นการ์ดหรือ task ที่ต้องติ๊กผ่านก่อนปิดโปรเจกต์ได้เช่นเดียวกับงานอื่น

ขั้นตอนที่ 4 — กำหนดผู้รับผิดชอบตรวจสอบให้ชัดเจน

ระบุว่าใครเป็นผู้ตรวจฐานกฎหมายในแต่ละโปรเจกต์ อาจเป็นโปรเจกต์แมเนเจอร์ที่ตรวจตอนปิดงาน หรือทีมพัฒนาที่ตรวจตอนติดตั้งปลั๊กอินใหม่ สิ่งสำคัญคือต้องมีคนใดคนหนึ่งรับผิดชอบชัดเจน ไม่ปล่อยให้เป็นหน้าที่ของทุกคนซึ่งมักหมายความว่าไม่มีใครทำจริงจัง สำหรับทีมขนาดเล็กที่มีคนเดียวทำหลายหน้าที่ อาจใช้วิธีตั้งรายการเตือนความจำในปฏิทินก่อนวันส่งมอบงานทุกครั้งแทน

ขั้นตอนที่ 5 — ทำเอกสารส่งมอบมาตรฐานให้ลูกค้าทุกโปรเจกต์

สร้างเทมเพลตเอกสารสรุปฐานกฎหมายที่ใช้ได้กับทุกโปรเจกต์ โดยมีโครงสร้างเดียวกัน คือรายการจุดที่เก็บข้อมูล ฐานกฎหมายของแต่ละจุด และรายชื่อบริการภายนอกที่เกี่ยวข้อง แล้วปรับรายละเอียดตามลูกค้าแต่ละราย เอกสารมาตรฐานแบบนี้ช่วยให้ทีมงานไม่ต้องร่างใหม่ทุกครั้ง และลูกค้าก็ได้รับเอกสารที่มีคุณภาพสม่ำเสมอไม่ว่าจะเป็นโปรเจกต์เล็กหรือใหญ่

ขั้นตอนที่ 6 — ตั้งรอบทบทวนระบบตามงานจริงที่เกิดขึ้น

เมื่อเจอกิจกรรมใหม่ที่ไม่อยู่ในรายการมาตรฐาน ให้เพิ่มเข้าไปในระบบทันทีแทนที่จะแก้ปัญหาเฉพาะหน้าแล้วปล่อยผ่าน กำหนดรอบทบทวนรายการกิจกรรมมาตรฐานและฐานกฎหมายที่จับคู่ไว้อย่างน้อยปีละครั้ง เพื่อให้ระบบสะท้อนงานจริงที่เอเจนซีทำอยู่ ไม่ใช่ระบบที่สร้างไว้ตั้งแต่วันแรกแล้วไม่เคยปรับปรุงอีกเลย

ตัวอย่างรายการกิจกรรมมาตรฐานและฐานกฎหมายเริ่มต้น

ตารางนี้เป็นจุดตั้งต้นเท่านั้น เอเจนซีแต่ละแห่งควรปรับตามกิจกรรมที่พบจริงในงานของตัวเอง สำหรับเช็กลิสต์ที่ใช้ตรวจก่อนเปิดใช้งานแต่ละโปรเจกต์ อ่านเพิ่มเติมได้ที่ เช็กลิสต์ฐานกฎหมายในการประมวลผลข้อมูลสำหรับเอเจนซี

เมื่อโปรเจกต์มีทีมภายนอกหรือฟรีแลนซ์ร่วมงานด้วย

เอเจนซีจำนวนมากไม่ได้ทำงานด้วยทีมภายในทั้งหมด บางโปรเจกต์จ้างฟรีแลนซ์เขียนโค้ดเฉพาะส่วน หรือใช้ทีมออกแบบภายนอกที่ไม่เคยผ่านการอบรมเรื่องฐานกฎหมายของเอเจนซีมาก่อน หากระบบที่วางไว้อยู่แค่ในหัวของพนักงานประจำ ทีมภายนอกเหล่านี้จะไม่รู้ว่าต้องตรวจอะไรก่อนส่งงานกลับมา วิธีแก้คือแนบเอกสารรายการกิจกรรมมาตรฐานและฐานกฎหมายเริ่มต้นไปพร้อมกับ brief งานทุกครั้งที่ว่าจ้างทีมภายนอก และกำหนดในเงื่อนไขการรับงานว่าฟรีแลนซ์ต้องแจ้งกลับมาหากเพิ่มฟอร์มหรือจุดเก็บข้อมูลใหม่ที่ไม่อยู่ในรายการเดิม เพื่อให้โปรเจกต์แมเนเจอร์ของเอเจนซีนำไปจับคู่ฐานกฎหมายและปรับเอกสารส่งมอบให้ครบก่อนปิดงาน วิธีนี้ช่วยให้ระบบฐานกฎหมายไม่ขาดตอนแม้ทีมที่ลงมือพัฒนาจริงจะเปลี่ยนไปในแต่ละโปรเจกต์

ตัวอย่างจากเอเจนซีที่วางระบบสำเร็จ

เอเจนซีขนาดเล็กแห่งหนึ่งเคยตรวจฐานกฎหมายแบบเฉพาะกิจ ขึ้นอยู่กับว่าโปรเจกต์แมเนเจอร์คนไหนดูแลงานนั้น จนกระทั่งพนักงานคนหนึ่งที่คุ้นเคยเรื่องนี้ที่สุดลาออกไป โปรเจกต์ถัดมาจึงไม่มีใครตรวจจุดนี้เลยและเปิดใช้งานไปโดยไม่มีเอกสารรองรับ หลังจากลูกค้ารายนั้นถามเรื่องนี้เข้ามาโดยตรง ทีมงานจึงตัดสินใจสร้างรายการกิจกรรมมาตรฐานและฝังไว้ใน SOP ตามขั้นตอนข้างต้น ผลคือโปรเจกต์ใหม่ทุกโปรเจกต์หลังจากนั้นมีเอกสารฐานกฎหมายพร้อมส่งมอบตั้งแต่วันปิดงาน โดยไม่ต้องพึ่งพาความรู้ของพนักงานคนใดคนหนึ่งอีกต่อไป และทีมงานใหม่ที่เข้ามาก็เรียนรู้ระบบได้เร็วขึ้นเพราะมีเอกสารอ้างอิงชัดเจน หกเดือนหลังเริ่มใช้ระบบนี้ เอเจนซีเดียวกันยังพบว่าเวลาที่ใช้ตอบคำถามลูกค้าเกี่ยวกับการเก็บข้อมูลลดลงอย่างชัดเจน เพราะโปรเจกต์แมเนเจอร์เปิดเอกสารมาตรฐานตอบได้ทันทีโดยไม่ต้องประชุมทีมเพื่อหาคำตอบเหมือนก่อนหน้านี้ และเมื่อมีลูกค้ารายใหม่ถามในขั้นตอนเสนอราคาว่าเอเจนซีมีแนวทางดูแลข้อมูลอย่างไร ทีมขายก็สามารถอ้างอิงระบบนี้เป็นจุดขายเพิ่มเติมได้ด้วย

ข้อผิดพลาดที่พบบ่อยเมื่อวางระบบฐานกฎหมาย

• พึ่งพาความรู้ของพนักงานคนเดียวโดยไม่บันทึกไว้เป็นระบบที่คนอื่นใช้ต่อได้
• สร้างรายการกิจกรรมมาตรฐานแล้วไม่เคยเพิ่มเติมเมื่อเจอกิจกรรมใหม่
• กำหนดฐานเริ่มต้นไว้แต่ใช้ตายตัวทุกโปรเจกต์โดยไม่ปรับตามบริบทลูกค้าจริง
• ไม่มีผู้รับผิดชอบชัดเจน ปล่อยให้เป็นหน้าที่ของทุกคนจนไม่มีใครตรวจจริงจัง
• สร้างเอกสารส่งมอบใหม่ทุกครั้งแทนที่จะใช้เทมเพลตมาตรฐานที่ปรับรายละเอียดได้

สรุป

ระบบฐานกฎหมายในการประมวลผลข้อมูลที่ดีสำหรับเอเจนซีไม่ใช่การตรวจเฉพาะหน้าทีละโปรเจกต์ แต่คือการสร้างรายการกิจกรรมมาตรฐาน จับคู่ฐานกฎหมายไว้ล่วงหน้า ฝังขั้นตอนตรวจสอบไว้ใน SOP กำหนดผู้รับผิดชอบ ทำเอกสารส่งมอบมาตรฐาน แล้วทบทวนระบบตามงานจริงอย่างต่อเนื่อง เอเจนซีที่มีระบบแบบนี้จะส่งมอบงานได้เร็วขึ้นและตอบคำถามลูกค้าได้ทันทีโดยไม่ต้องเริ่มคิดใหม่ทุกครั้ง สำหรับวิธีตรวจทานเว็บไซต์ที่เปิดใช้งานไปแล้วเป็นรอบ อ่านคู่มือ Audit ได้ที่ คู่มือ Audit ฐานกฎหมายในการประมวลผลข้อมูลสำหรับเอเจนซี

แหล่งข้อมูลอ้างอิง

แนวทางในบทความนี้อ้างอิงหลักการทั่วไปจาก สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (PDPC) เพื่อใช้เป็นจุดตั้งต้นในการวางระบบภายในเอเจนซี ไม่ใช่คำวินิจฉัยทางกฎหมายแทนหน่วยงานกำกับดูแล เอเจนซีที่มีคำถามเฉพาะกรณีของลูกค้าควรปรึกษาที่ปรึกษากฎหมายของธุรกิจโดยตรง