เช็กลิสต์ ความยินยอมตาม PDPA สำหรับเอเจนซีและฟรีแลนซ์ทำเว็บไซต์: ต้องตรวจอะไรบ้างก่อนเปิดใช้งาน

ทีมตรวจสอบเว็บไซต์ของ Trusty สุ่มดูเว็บไซต์ลูกค้าที่เอเจนซีพันธมิตรส่งมอบงานในช่วงหกเดือนที่ผ่านมาราวสี่สิบโครงการ พบว่าเกือบทุกเว็บไซต์มีป๊อปอัปคุกกี้ติดตั้งอยู่ แต่มีไม่ถึงครึ่งที่สามารถดึงบันทึกย้อนหลังมาแสดงได้ว่าผู้ใช้รายใดกดยอมรับหรือปฏิเสธอะไรไว้เมื่อไร และมีไม่ถึงหนึ่งในสามที่ให้ผู้ใช้ถอนความยินยอมได้ง่ายเท่ากับตอนกดยอมรับตอนแรก ตัวเลขนี้บอกว่าการมีกลไกความยินยอมที่ "ดูเหมือนครบ" กับกลไกที่ "ตรวจสอบได้จริง" เป็นคนละเรื่องกัน

เช็กลิสต์นี้รวบรวมสิ่งที่ทีมเอเจนซีและฟรีแลนซ์ทำเว็บไซต์ควรไล่ตรวจก่อนกดปุ่มเปิดใช้งานเว็บไซต์ลูกค้าทุกครั้ง เน้นเฉพาะกลไกความยินยอมโดยตรง ไม่ใช่ภาพรวมทั้งหมดของ PDPA

เช็กลิสต์ก่อนเปิดใช้งานควรครอบคลุมสี่กลุ่มหลัก คือหน้าตาและข้อความของ Consent UI ที่ให้เลือกได้จริง การแยกความยินยอมตามวัตถุประสงค์ ระบบบันทึกหลักฐานที่ดึงดูข้อมูลย้อนหลังได้ และช่องทางถอนความยินยอมที่ใช้งานง่ายเท่ากับตอนให้ความยินยอม ทีมเอเจนซีควรไล่ทีละข้อก่อนส่งมอบงานทุกโปรเจกต์ ไม่ใช่เชื่อว่ามีป๊อปอัปคุกกี้แล้วจบ

กลุ่มที่ 1: หน้าตาและข้อความของ Consent UI

สิ่งแรกที่ต้องตรวจคือหน้าตาของกล่องขอความยินยอมเอง ป๊อปอัปที่มีแค่ปุ่ม "ยอมรับ" ปุ่มเดียวโดยไม่มีปุ่มปฏิเสธในระดับเดียวกันถือว่ายังไม่ผ่าน เพราะทำให้ผู้ใช้เข้าใจว่าไม่มีทางเลือก ข้อความที่อธิบายวัตถุประสงค์การเก็บข้อมูลต้องอ่านเข้าใจได้ในสิบวินาที ไม่ใช้ศัพท์กฎหมายล้วน และต้องมีลิงก์ไปหน้านโยบายความเป็นส่วนตัวฉบับเต็มให้กดดูรายละเอียดเพิ่มได้

• ปุ่มปฏิเสธหรือ "จัดการความยินยอม" อยู่ในระดับสายตาเดียวกับปุ่มยอมรับ ไม่ซ่อนไว้ในลิงก์เล็ก ๆ
• ข้อความอธิบายวัตถุประสงค์แต่ละหมวดสั้น กระชับ ไม่ใช้คำกำกวมอย่าง "เพื่อพัฒนาบริการ" ลอย ๆ
• ป๊อปอัปแสดงก่อนสคริปต์ที่ไม่จำเป็นเริ่มทำงาน ไม่ใช่แสดงพร้อมกับที่สคริปต์วิ่งไปแล้ว

กลุ่มที่ 2: การแยกความยินยอมตามวัตถุประสงค์

ความยินยอมแบบก้อนเดียวที่ครอบคลุมทุกอย่างในปุ่มเดียวไม่นับว่าเป็นความยินยอมแบบละเอียด ทีมต้องตรวจว่าเว็บไซต์แยกหมวดคุกกี้และการเก็บข้อมูลอย่างน้อยเป็นกลุ่มจำเป็น กลุ่มวิเคราะห์ และกลุ่มการตลาด และผู้ใช้เปิดปิดแต่ละกลุ่มแยกกันได้จริง ไม่ใช่แค่มีสวิตช์โชว์แต่กดแล้วไม่มีผลต่อสคริปต์เบื้องหลัง

• ทดสอบจริงว่าเมื่อปิดสวิตช์กลุ่มการตลาด สคริปต์พิกเซลโฆษณาหยุดยิงจริง ไม่ใช่แค่ UI แสดงว่าปิด
• ถ้าเว็บไซต์มีฟอร์มที่ขอความยินยอมแยก เช่น สมัครรับข่าวสาร ต้องมีช่องติ๊กแยกจากปุ่มส่งฟอร์มหลัก
• ตรวจว่าค่าเริ่มต้นของทุกหมวดที่ไม่จำเป็นตั้งเป็นปิดไว้ก่อน ไม่ใช่เปิดไว้ให้ผู้ใช้ต้องมาปิดเอง

กลุ่มที่ 3: ระบบบันทึกหลักฐานความยินยอม

นี่คือจุดที่ทีมเอเจนซีมักมองข้ามที่สุด เพราะโฟกัสอยู่ที่หน้าตาของป๊อปอัปเป็นหลัก แต่สิ่งที่มีความหมายจริงเมื่อถูกลูกค้าปลายทางหรือหน่วยงานสอบถามคือหลักฐานย้อนหลัง เว็บไซต์ต้องบันทึกได้ว่าผู้ใช้รายไหนให้ความยินยอมหมวดใดเมื่อไร ด้วยข้อความเวอร์ชันใด และดึงบันทึกนี้ออกมาดูได้เมื่อจำเป็น

• ระบบเก็บ log การให้ความยินยอมพร้อมเวลาและเวอร์ชันของข้อความที่ผู้ใช้เห็นตอนนั้น
• ถ้าเปลี่ยนข้อความหรือเพิ่มหมวดใหม่ ระบบแยกแยะได้ว่าความยินยอมเก่าอ้างอิงข้อความเวอร์ชันไหน
• ทีมสามารถส่งออกรายงานสรุปให้ลูกค้าดูได้โดยไม่ต้องขอเข้าถึงฐานข้อมูลโดยตรง

กลุ่มที่ 4: ช่องทางถอนความยินยอม

ความยินยอมที่ถอนได้ยากกว่าตอนให้ไว้เป็นปัญหาที่พบบ่อยมาก เช่น ให้ความยินยอมได้ในคลิกเดียวจากป๊อปอัป แต่ต้องเข้าไปหาลิงก์เล็ก ๆ ท้ายเว็บไซต์แล้วกรอกอีเมลติดต่อทีมงานเพื่อขอถอน ทีมต้องตรวจว่าผู้ใช้ถอนความยินยอมได้จากจุดเดียวกับที่ให้ไว้ หรืออย่างน้อยมีทางเข้าที่ชัดเจนเท่ากัน

• มีปุ่มหรือลิงก์ "จัดการความยินยอม" ที่เข้าถึงได้จากทุกหน้า เช่น ท้ายเว็บไซต์หรือในเมนู
• การถอนความยินยอมมีผลทันทีต่อสคริปต์ที่เกี่ยวข้อง ไม่ต้องรอรอบอัปเดตหรือติดต่อทีมงาน
• ระบบบันทึกเวลาที่ถอนความยินยอมไว้เป็นหลักฐานเช่นเดียวกับตอนให้ความยินยอม

กลุ่มที่ 5: จุดที่ต้องขอความยินยอมใหม่

เว็บไซต์ที่เพิ่มฟีเจอร์ใหม่ เปลี่ยนผู้ให้บริการวิเคราะห์ข้อมูล หรือแก้ไขนโยบายความเป็นส่วนตัวแบบมีนัยสำคัญ ต้องขอความยินยอมใหม่จากผู้ใช้เดิม ไม่ใช่ถือว่าความยินยอมเก่ายังใช้ได้ต่อไปเรื่อย ๆ ทีมเอเจนซีควรมีกระบวนการตรวจสอบจุดนี้ทุกครั้งที่มีการเปลี่ยนแปลงระบบหลังบ้าน

• เมื่อเพิ่มสคริปต์ติดตามใหม่ที่ไม่อยู่ในหมวดเดิม ต้องแสดงป๊อปอัปขอความยินยอมใหม่เฉพาะหมวดที่เพิ่ม
• เมื่อแก้ไขนโยบายความเป็นส่วนตัวแบบมีนัยสำคัญ เช่น เพิ่มผู้รับข้อมูลรายใหม่ ต้องแจ้งและขอความยินยอมซ้ำ
• กำหนดรอบทบทวนอย่างน้อยทุกหกเดือนว่ามีจุดใดในเว็บไซต์ที่เปลี่ยนไปจนต้องขอความยินยอมใหม่หรือไม่

ใช้เช็กลิสต์นี้อย่างไรในโปรเจกต์จริง

ทีมเอเจนซีที่รับงานหลายโปรเจกต์พร้อมกันควรทำเช็กลิสต์นี้เป็นเอกสารแนบท้ายก่อนส่งมอบงานทุกครั้ง ไม่ใช่ไล่ตรวจแบบจำในหัวเพราะแต่ละโปรเจกต์มีรายละเอียดต่างกัน ตัวอย่างเช่น เว็บไซต์ร้านค้าออนไลน์ที่มีทั้งฟอร์มสมัครสมาชิกและระบบแชทสนับสนุนลูกค้า ต้องตรวจทั้งสองจุดแยกกันเพราะแต่ละจุดอาจใช้ผู้ให้บริการภายนอกคนละราย และมีเวอร์ชันข้อความยินยอมคนละชุด การไล่ทีละข้อในเช็กลิสต์ช่วยลดโอกาสที่จุดใดจุดหนึ่งหลุดรอดไปโดยไม่ถูกตรวจ

ตัวอย่างจริง: ตรวจก่อนส่งมอบเว็บไซต์คอร์สเรียนออนไลน์

ทีมฟรีแลนซ์รายหนึ่งรับงานทำเว็บไซต์ขายคอร์สเรียนออนไลน์ให้ลูกค้า ก่อนส่งมอบงานได้ไล่เช็กลิสต์ทั้งห้ากลุ่มและพบปัญหาสามจุด จุดแรกคือป๊อปอัปคุกกี้ที่ซื้อมาจากปลั๊กอินสำเร็จรูปตั้งค่าเริ่มต้นให้หมวดการตลาดเปิดไว้ก่อน ต้องแก้ให้ปิดเป็นค่าเริ่มต้นทั้งหมด จุดที่สองคือระบบแชทให้คำปรึกษาก่อนซื้อคอร์สที่เก็บเบอร์โทรและอีเมลไม่มีช่องติ๊กยินยอมแยก ทีมจึงเพิ่มช่องติ๊กก่อนเริ่มแชท และจุดที่สามคือไม่มีหน้าให้ผู้เรียนเก่าเข้ามาถอนความยินยอมรับอีเมลการตลาดได้เอง ต้องเพิ่มลิงก์จัดการความยินยอมไว้ท้ายอีเมลทุกฉบับและในหน้าโปรไฟล์ผู้เรียน หลังแก้ครบทั้งสามจุด ทีมจึงบันทึกผลการตรวจไว้เป็นเอกสารแนบท้ายสัญญาก่อนส่งมอบงานให้ลูกค้า

กรณีนี้แสดงให้เห็นว่าปัญหาที่พบบ่อยไม่ได้อยู่ที่การไม่มีกลไกความยินยอมเลย แต่อยู่ที่รายละเอียดเล็ก ๆ ที่เครื่องมือสำเร็จรูปตั้งค่าไว้ไม่ตรงกับสิ่งที่ต้องการ ทีมที่ไม่ไล่เช็กลิสต์ให้ครบมักมองข้ามจุดเหล่านี้ไปเพราะดูเผิน ๆ เหมือนมีกลไกความยินยอมอยู่แล้ว

สำหรับทีมที่ต้องการภาพรวมของการวางระบบความยินยอมตั้งแต่ต้น อ่านเพิ่มเติมได้ที่ คู่มือความยินยอมตาม PDPA สำหรับเอเจนซี ซึ่งอธิบายภาพรวมทั้งหมดของคลัสเตอร์นี้ ส่วนทีมที่ต้องการขั้นตอนลงมือทำแบบละเอียดทีละขั้น อ่านได้ที่ วิธีวางระบบความยินยอมตาม PDPA แบบเป็นขั้นตอน

ข้อผิดพลาดที่พบบ่อยเมื่อตรวจกลไกความยินยอมก่อนเปิดใช้งาน

• ตรวจแค่หน้าตาป๊อปอัปว่าสวยงามครบ แต่ไม่ทดสอบจริงว่าปิดสวิตช์แล้วสคริปต์หยุดทำงานหรือไม่
• ไม่มีระบบบันทึกหลักฐาน ทำให้ตอบไม่ได้เมื่อลูกค้าปลายทางถามว่าตัวเองเคยยินยอมอะไรไว้เมื่อไร
• ทำช่องทางถอนความยินยอมยากกว่าช่องทางให้ความยินยอมหลายเท่า
• ลืมขอความยินยอมใหม่เมื่อเพิ่มสคริปต์ติดตามผู้ให้บริการรายใหม่
• ใช้เช็กลิสต์เดียวกันทุกโปรเจกต์โดยไม่ปรับตามจุดเก็บข้อมูลที่ต่างกันของแต่ละเว็บไซต์

สรุปก่อนกดเปิดใช้งานเว็บไซต์ลูกค้า

การไล่เช็กลิสต์ทั้งห้ากลุ่มนี้ก่อนเปิดใช้งานช่วยให้ทีมเอเจนซีมั่นใจได้ว่ากลไกความยินยอมไม่ใช่แค่ของตกแต่งหน้าเว็บ แต่ทำงานได้จริงทั้งฝั่งผู้ใช้และฝั่งหลักฐานที่เก็บไว้ ทีมที่ทำเป็นเอกสารมาตรฐานใช้ซ้ำได้กับทุกโปรเจกต์จะลดเวลาตรวจสอบและลดโอกาสที่จุดใดหลุดรอดไป ดูภาพรวมหัวข้ออื่นในหมวด Privacy Fundamentals เพิ่มเติมได้ที่ คลังความรู้ Privacy Fundamentals

แหล่งข้อมูลอ้างอิง

รายละเอียดข้อกำหนดเรื่องความยินยอมตามกฎหมายไทยควรตรวจสอบกับประกาศและแนวปฏิบัติของ สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (PDPC) โดยตรง เช็กลิสต์นี้เป็นแนวทางเชิงปฏิบัติสำหรับทีมเอเจนซีและฟรีแลนซ์ทำเว็บไซต์ ไม่ใช่การตีความข้อกำหนดทางกฎหมายแทนหน่วยงานกำกับดูแล