ฐานกฎหมายในการประมวลผลข้อมูล คืออะไร? คู่มือสำหรับอสังหาริมทรัพย์และธุรกิจที่เก็บ Lead

ฐานกฎหมายในการประมวลผลข้อมูล คือเหตุผลทางกฎหมายที่ทำให้ธุรกิจมีสิทธิเก็บ ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลได้ในแต่ละกิจกรรม ไม่ใช่ทุกการเก็บข้อมูลต้องขอความยินยอมเสมอไป และไม่ใช่ทุกการขอความยินยอมจะเป็นฐานที่เหมาะสมที่สุดสำหรับกิจกรรมนั้น

สำหรับโครงการอสังหาริมทรัพย์ ฝ่ายขาย และทีม Lead Generation ที่เก็บข้อมูลจากหลายช่องทางพร้อมกัน ทั้งฟอร์มขอโบรชัวร์ Call Center Facebook Lead Ads และ Walk-in ที่สำนักงานขาย การไม่แยกฐานกฎหมายของแต่ละจุดสัมผัสมักเป็นจุดเริ่มต้นของปัญหา เช่น ส่ง Remarketing ต่อให้คนที่ปฏิเสธไปแล้ว หรือแชร์ข้อมูลให้ตัวแทนขายโดยไม่มีเหตุผลรองรับ บทความนี้อธิบายหลักการเลือกฐานกฎหมายให้ตรงกับกิจกรรมจริงของธุรกิจอสังหาริมทรัพย์ พร้อมขอบเขตของสิ่งที่ระบบตรวจสอบอัตโนมัติทำได้และทำไม่ได้

ฐานกฎหมายในการประมวลผลข้อมูลคืออะไร

พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคลกำหนดหลักการว่า การเก็บ ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลทุกครั้งต้องมีฐานกฎหมายรองรับอย่างน้อยหนึ่งฐาน ความยินยอม (Consent) เป็นฐานที่คนทั่วไปคุ้นเคยที่สุด แต่กฎหมายยังเปิดช่องให้ใช้ฐานอื่นได้เมื่อบริบทเข้าเงื่อนไข เช่น ความจำเป็นเพื่อปฏิบัติตามสัญญา ความจำเป็นเพื่อปฏิบัติตามกฎหมาย ประโยชน์อันชอบธรรมของผู้ควบคุมข้อมูล หรือประโยชน์สาธารณะ แต่ละฐานมีเงื่อนไขและภาระหน้าที่ที่ต่างกัน

รายละเอียดของแต่ละฐาน เงื่อนไขการใช้ และข้อยกเว้นเฉพาะกรณี เป็นเรื่องที่ต้องอ้างอิงจากตัวบทกฎหมายและแนวปฏิบัติของสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (PDPC) โดยตรง บทความนี้อธิบายเฉพาะหลักการทั่วไปเพื่อให้ทีมงานเข้าใจภาพรวมก่อนตัดสินใจ ไม่ใช่การตีความข้อกฎหมายเฉพาะกรณีของธุรกิจใดธุรกิจหนึ่ง

ทำไมต้องเลือกฐานกฎหมายให้ถูกต้อง ไม่ใช่ขอความยินยอมทุกกรณี

หลายทีมเลือกใช้ความยินยอมเป็นฐานเดียวสำหรับทุกกิจกรรม เพราะเข้าใจง่ายและดูปลอดภัยไว้ก่อน แต่ความยินยอมมาพร้อมภาระที่ต้องบริหารต่อเนื่อง เช่น ต้องขอแบบอิสระและเจาะจง ต้องมีทางเลือกปฏิเสธที่ทำได้จริง และต้องรองรับการถอนความยินยอมได้ทุกเมื่อ ถ้ากิจกรรมนั้นแท้จริงแล้วมีฐานอื่นที่เหมาะสมกว่า เช่น การติดต่อกลับตามคำขอของลูกค้าเพื่อดำเนินการก่อนทำสัญญา การยืนกรานใช้ความยินยอมอาจสร้างภาระโดยไม่จำเป็นและทำให้ธุรกิจสับสนเวลาลูกค้าขอถอนความยินยอมทั้งที่ยังต้องให้บริการตามคำขอเดิม

ในทางกลับกัน การใช้ฐานอื่นแทนความยินยอมกับกิจกรรมที่ควรขอความยินยอมจริง เช่น การทำ Retargeting โฆษณาให้ผู้ที่ยังไม่ตัดสินใจซื้อ ก็เป็นความเสี่ยงเช่นกัน การเลือกฐานกฎหมายจึงต้องพิจารณาเป็นรายกิจกรรม ไม่ใช่เลือกฐานเดียวครอบทั้งองค์กร

ทำไมเรื่องนี้สำคัญกับธุรกิจอสังหาริมทรัพย์และทีมเก็บ Lead

ธุรกิจอสังหาริมทรัพย์มีลักษณะเฉพาะที่ทำให้การจัดการฐานกฎหมายซับซ้อนกว่าธุรกิจทั่วไป คือมีข้อมูลหลายชั้นในเส้นทางเดียวกัน ตั้งแต่ข้อมูลติดต่อเบื้องต้นของคนที่ยังดูโครงการเล่นๆ ไปจนถึงข้อมูลการเงินและเอกสารยืนยันตัวตนของคนที่ใกล้ตัดสินใจซื้อ และมีผู้เกี่ยวข้องหลายฝ่ายที่ต้องเข้าถึงข้อมูลเดียวกัน ทั้งฝ่ายขายภายใน ตัวแทนขายอิสระ นายหน้า และธนาคารพันธมิตรที่ช่วยพิจารณาสินเชื่อ

เมื่อข้อมูลไหลผ่านหลายมือแบบนี้ ถ้าธุรกิจไม่รู้ว่าแต่ละจุดใช้ฐานกฎหมายอะไร ก็จะตอบคำถามลูกค้าไม่ได้ว่าทำไมข้อมูลของเขาถึงไปถึงตัวแทนขายหรือธนาคาร และเขียน Privacy Notice ให้ตรงกับความเป็นจริงไม่ได้เช่นกัน

ข้อมูลที่ธุรกิจอสังหาริมทรัพย์เก็บจริงในเส้นทางลูกค้า

ก่อนพูดถึงฐานกฎหมาย ทีมงานควรรู้ก่อนว่าตัวเองเก็บอะไรบ้าง ตัวอย่างข้อมูลที่พบทั่วไปในธุรกิจนี้ ได้แก่ ชื่อและช่องทางติดต่อจากฟอร์มขอข้อมูลโครงการ ความสนใจในทำเล ขนาด และงบประมาณที่กรอกในฟอร์ม บันทึกเสียงจาก Call Center เวลาโทรติดตาม Lead ประวัติแชทจาก LINE Official Account สำเนาบัตรประชาชนและเอกสารรายได้เมื่อเข้าสู่ขั้นตอนขอสินเชื่อ และคุกกี้หรือพิกเซลโฆษณาที่ใช้ทำ Retargeting กับคนที่เข้าเว็บไซต์โครงการแล้วยังไม่ทิ้งข้อมูล ข้อมูลแต่ละกลุ่มนี้อยู่คนละขั้นของเส้นทางลูกค้าและมักต้องพิจารณาฐานกฎหมายแยกกัน

ฐานกฎหมายที่มักเกี่ยวข้องกับแต่ละจุดสัมผัสลูกค้า

ส่วนนี้อธิบายตัวอย่างจุดสัมผัสที่พบบ่อยในธุรกิจอสังหาริมทรัพย์ เพื่อให้เห็นภาพว่าทำไมต้องแยกฐานกฎหมายเป็นรายกิจกรรม ไม่ใช่คำแนะนำสำเร็จรูปที่ใช้แทนกันได้ทุกกรณี เพราะรายละเอียดสัญญา เงื่อนไขโปรโมชัน และรูปแบบการเก็บข้อมูลจริงของแต่ละโครงการแตกต่างกัน

ฟอร์มขอข้อมูลโครงการต้องขอความยินยอมทุกครั้งหรือไม่

เมื่อลูกค้ากรอกฟอร์มเพื่อขอโบรชัวร์ ราคา หรือจองรอบเข้าชมโครงการด้วยตนเอง การติดต่อกลับเพื่อตอบคำขอนั้นโดยตรงมักถูกมองว่าเป็นขั้นตอนก่อนทำสัญญาตามคำขอของเจ้าของข้อมูลเอง ซึ่งอาจไม่จำเป็นต้องแยกขอความยินยอมต่างหากสำหรับการติดต่อกลับครั้งแรกนั้น แต่ถ้าธุรกิจจะนำข้อมูลเดียวกันไปใช้ต่อเพื่อการตลาดโครงการอื่น หรือส่งให้พันธมิตรรายอื่นที่ลูกค้าไม่ได้คาดหมาย นั่นเป็นกิจกรรมใหม่ที่มักต้องแยกฐานกฎหมายและมักต้องขอความยินยอมเพิ่ม การแยกแบบนี้ต้องพิจารณาจากข้อความในฟอร์มและสิ่งที่ลูกค้าคาดหมายได้จริง จึงควรให้ผู้เชี่ยวชาญกฎหมายหรือ DPO ตรวจสอบถ้อยคำในฟอร์มก่อนสรุปเป็นฐานกฎหมายที่ใช้จริง

การโทรติดตาม Lead และการบันทึกเสียงเพื่อ Call Tracking

การโทรติดตามลูกค้าที่ฝากข้อมูลไว้เป็นกิจกรรมต่อเนื่องจากคำขอเดิม แต่การบันทึกเสียงสายเป็นการเก็บข้อมูลส่วนบุคคลเพิ่มอีกชั้นหนึ่ง ธุรกิจที่ใช้ Call Tracking ควรแจ้งให้ผู้รับสายทราบตั้งแต่ต้นสายว่ามีการบันทึกเสียงและเพื่อวัตถุประสงค์ใด เช่น เพื่อพัฒนาคุณภาพบริการหรือเพื่อยืนยันรายละเอียดการนัดหมาย การแจ้งเช่นนี้เป็นส่วนหนึ่งของความโปร่งใสที่กฎหมายคุ้มครองข้อมูลส่วนบุคคลคาดหวัง และช่วยให้ธุรกิจอธิบายฐานกฎหมายที่ใช้ได้ชัดเจนขึ้นเมื่อถูกลูกค้าซักถาม

การส่งต่อข้อมูล Lead ให้ตัวแทนขายต้องใช้ฐานกฎหมายอะไร

เมื่อธุรกิจอสังหาริมทรัพย์แชร์ข้อมูล Lead ให้ตัวแทนขายอิสระ นายหน้า หรือธนาคารพันธมิตรที่ช่วยพิจารณาสินเชื่อ นี่คือจุดที่ต้องระมัดระวังมากที่สุด เพราะเป็นการเปิดเผยข้อมูลให้บุคคลภายนอกที่ลูกค้าอาจไม่รู้จักโดยตรง ธุรกิจจำเป็นต้องระบุใน Privacy Notice ว่าจะเปิดเผยข้อมูลให้ใครบ้าง เพื่อวัตถุประสงค์ใด และอยู่บนฐานกฎหมายอะไร เช่น ความจำเป็นเพื่อดำเนินการตามคำขอสินเชื่อของลูกค้าเอง หรือความยินยอมสำหรับกรณีที่เป็นการส่งต่อเพื่อการตลาดเพิ่มเติม การกำหนดฐานที่ถูกต้องสำหรับกรณีนี้ขึ้นกับข้อเท็จจริงของแต่ละธุรกิจ จึงควรให้ผู้เชี่ยวชาญกฎหมายตรวจสอบเป็นกรณีไป ไม่ควรใช้คำตอบเดียวกับทุกโครงการ

Retargeting ต้องขอความยินยอมหรือไม่

คุกกี้และพิกเซลโฆษณาที่ใช้ทำ Retargeting กับผู้เข้าชมเว็บไซต์โครงการที่ยังไม่ทิ้งข้อมูลไว้ มักจัดอยู่ในหมวด Marketing ของ Cookie Consent Banner ซึ่งโดยทั่วไปต้องได้รับความยินยอมก่อนที่สคริปต์เหล่านี้จะทำงาน จุดที่ทีมการตลาดพลาดบ่อยคือสคริปต์ยิงไปก่อนผู้ใช้กดยินยอม หรือกดปฏิเสธแล้วแต่แท็กยังทำงานต่อ เพราะสคริปต์ถูกฝังแบบ Hardcode ในธีมเว็บไซต์หรือใน Google Tag Manager โดยไม่ได้ผูกกับสถานะ Consent จริง การตรวจสอบจุดนี้ต้องทดสอบทั้งกรณี Accept All, Reject All และ Custom Selection แยกกัน ไม่ใช่ดูแค่ว่าแบนเนอร์แสดงผลถูกต้อง

ขั้นตอนตรวจสอบและทบทวนฐานกฎหมายให้ตรงกับกิจกรรมจริง

การวางฐานกฎหมายที่ใช้ได้จริงในธุรกิจอสังหาริมทรัพย์ควรทำเป็นขั้นตอนต่อเนื่อง ไม่ใช่ทำครั้งเดียวแล้วจบ

ขั้นแรก ทำ Data Inventory ของทุกจุดสัมผัสลูกค้า ตั้งแต่ฟอร์มบนเว็บไซต์ Facebook Lead Ads LINE Official Account Call Center ไปจนถึง Walk-in ที่สำนักงานขาย ระบุให้ชัดว่าแต่ละจุดเก็บข้อมูลอะไรบ้าง ขั้นที่สอง เขียนวัตถุประสงค์ของการเก็บและใช้ข้อมูลในแต่ละจุดให้ชัดเจนและเฉพาะเจาะจง ไม่ใช้คำกว้างอย่าง "เพื่อการตลาด" ครอบทุกอย่าง ขั้นที่สาม พิจารณาว่าวัตถุประสงค์นั้นจำเป็นต้องขอความยินยอมหรือมีฐานอื่นรองรับอยู่แล้ว โดยแยกพิจารณาเป็นรายกิจกรรมไม่ใช่เหมารวมทั้งองค์กร ขั้นที่สี่ ปรึกษาผู้เชี่ยวชาญกฎหมายหรือเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลเมื่อกิจกรรมนั้นเกี่ยวข้องกับข้อมูลการเงิน เอกสารยืนยันตัวตน หรือการส่งต่อข้อมูลให้บุคคลภายนอก ขั้นที่ห้า บันทึกผลการพิจารณาไว้เป็นเอกสารภายใน เพื่อใช้อ้างอิงเวลาต้องอัปเดต Privacy Notice หรือ Cookie Policy และขั้นสุดท้าย ทบทวนซ้ำทุกครั้งที่มีช่องทางเก็บ Lead ใหม่ พันธมิตรใหม่ หรือมีการเปลี่ยนแปลงระบบ Tracking บนเว็บไซต์

trusty ช่วยอะไรได้ และช่วยอะไรไม่ได้ในเรื่องฐานกฎหมาย

ทีมงานอสังหาริมทรัพย์ที่ใช้เครื่องมือช่วยตรวจสอบอย่าง trusty ในหมวด Privacy Fundamentals ควรเข้าใจขอบเขตของเครื่องมือให้ชัดก่อนนำผลไปใช้งาน PDPA Readiness Scan ของ trusty ตรวจสิ่งที่มองเห็นได้จากภายนอก เช่น มี Cookie Banner หรือไม่ มีทางเลือก Reject ที่ใช้งานได้จริงหรือไม่ และสคริปต์ Tracking ทำงานก่อนหรือหลังผู้ใช้ให้ความยินยอม แต่การเลือกว่ากิจกรรมใดควรใช้ฐานกฎหมายใดเป็นการตัดสินใจที่ต้องอาศัยบริบทภายในขององค์กร เช่น เนื้อหาสัญญาซื้อขาย ข้อตกลงกับตัวแทนขาย และกระบวนการขอสินเชื่อ ซึ่งเป็นสิ่งที่การสแกนจากภายนอกมองไม่เห็นและไม่สามารถตัดสินแทนธุรกิจได้

Policy Generator ของ trusty ช่วยร่าง Privacy Policy และ Cookie Policy จากผลสแกนและข้อมูลที่ผู้ใช้กรอกเพิ่มเติม แต่ไม่ได้เลือกฐานกฎหมายแทนธุรกิจ ทีมงานยังต้องยืนยันว่าฐานกฎหมายที่ระบุในร่างตรงกับกิจกรรมจริงก่อนเผยแพร่ ส่วน Consent Log ช่วยเก็บหลักฐานว่าผู้ใช้กดยินยอมหมวดใดเมื่อใด สำหรับกิจกรรมที่ใช้ความยินยอมเป็นฐาน แต่ Consent Log ไม่ได้ยืนยันว่าธุรกิจเลือกใช้ฐานกฎหมายที่ถูกต้องสำหรับกิจกรรมนั้นตั้งแต่แรก การตรวจสอบความถูกต้องของฐานกฎหมายยังต้องอาศัยการทบทวนโดยผู้เชี่ยวชาญ โดยเฉพาะธุรกิจที่มีข้อมูลการเงินและเอกสารยืนยันตัวตนเกี่ยวข้องอยู่มาก ทีมงานที่ต้องการขั้นตอนปฏิบัติแบบเป็นลำดับ ดูเพิ่มเติมได้ที่ คู่มือวางระบบฐานกฎหมายในการประมวลผลข้อมูลสำหรับอสังหาริมทรัพย์แบบเป็นขั้นตอน

เช็กลิสต์ปฏิบัติ

• ทำ Data Inventory ของทุกจุดสัมผัสลูกค้า เช่น ฟอร์มเว็บไซต์ Facebook Lead Ads LINE Official Account Call Center และ Walk-in
• ระบุวัตถุประสงค์ของการเก็บและใช้ข้อมูลในแต่ละจุดสัมผัสให้ชัดเจน ไม่ใช้คำกว้างครอบทุกกิจกรรม
• พิจารณาฐานกฎหมายที่เหมาะสมกับแต่ละวัตถุประสงค์แยกจากกัน ไม่ใช้ความยินยอมเป็นฐานเดียวสำหรับทุกกรณี
• ตรวจสอบว่า Privacy Notice ระบุผู้รับข้อมูล เช่น ตัวแทนขายและธนาคารพันธมิตร ตรงกับกิจกรรมที่เกิดขึ้นจริงหรือไม่
• ตั้งค่าให้ Cookie และ Pixel การตลาดทำงานตามหมวดที่ผู้ใช้ยินยอมจริง และทดสอบกรณี Reject All แยกต่างหาก
• ปรึกษาผู้เชี่ยวชาญกฎหมายหรือเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลเมื่อกิจกรรมเกี่ยวข้องกับข้อมูลการเงินหรือการส่งต่อให้บุคคลภายนอก
• ทบทวนฐานกฎหมายซ้ำทุกครั้งที่เพิ่มช่องทางเก็บ Lead ใหม่หรือพันธมิตรใหม่

ข้อผิดพลาดที่พบบ่อย

• ใช้ความยินยอมเป็นฐานเดียวสำหรับทุกกิจกรรม ทั้งที่บางกิจกรรมมีฐานอื่นที่เหมาะสมกว่า ทำให้ต้องบริหารการถอนความยินยอมเกินความจำเป็น
• ไม่แยกฐานกฎหมายของการติดต่อกลับตามคำขอเดิมออกจากการตลาดโครงการอื่น ทำให้ยังส่ง Remarketing ต่อแม้ลูกค้าปฏิเสธไปแล้ว
• แชร์ข้อมูล Lead ให้ตัวแทนขายหรือธนาคารพันธมิตรโดยไม่ได้ระบุผู้รับข้อมูลหรือฐานกฎหมายไว้ใน Privacy Notice
• ปล่อยให้สคริปต์ Retargeting ทำงานก่อนผู้ใช้กดยินยอม เพราะฝังโค้ดตรงในธีมเว็บไซต์โดยไม่ผ่านการควบคุมของ Consent Management
• คิดว่ามี Consent Log แล้วเท่ากับเลือกฐานกฎหมายถูกต้องเสมอ ทั้งที่ Log เป็นเพียงหลักฐานของการยินยอม ไม่ใช่การยืนยันว่าเลือกฐานถูกต้อง

สรุป

ฐานกฎหมายในการประมวลผลข้อมูลไม่ใช่เรื่องที่เลือกครั้งเดียวแล้วใช้ได้ตลอดไป ธุรกิจอสังหาริมทรัพย์ที่เก็บ Lead จากหลายช่องทางต้องแยกพิจารณาเป็นรายกิจกรรม ตั้งแต่ฟอร์มขอข้อมูล การโทรติดตาม การส่งต่อให้ตัวแทนขาย ไปจนถึง Retargeting โฆษณา และต้องทบทวนซ้ำเมื่อกิจกรรมหรือพันธมิตรเปลี่ยนไป เครื่องมืออัตโนมัติช่วยตรวจสิ่งที่มองเห็นจากภายนอกได้ แต่การเลือกฐานกฎหมายที่ถูกต้องยังต้องอาศัยการตรวจสอบโดยผู้เชี่ยวชาญที่เข้าใจบริบทจริงของธุรกิจ

แหล่งข้อมูลอ้างอิง

• สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (PDPC)