วิธีวางระบบ ความยินยอมตาม PDPA สำหรับองค์กรการเงิน ประกัน และธุรกิจที่มีความเสี่ยงสูงแบบเป็นขั้นตอน

ในการตรวจสอบภายในของทีม Compliance สถาบันการเงินหลายแห่งพบตัวเลขที่น่าตกใจ คือมากกว่าครึ่งของกรณีที่สุ่มตรวจย้อนหลังไม่มีหลักฐานยืนยันว่าลูกค้าให้ความยินยอมในการใช้ข้อมูลเพื่อวัตถุประสงค์การตลาดหรือการส่งต่อข้อมูลให้พันธมิตรทางธุรกิจจริงหรือไม่ บางกรณีมีบันทึกว่าลูกค้าติ๊กยอมรับเงื่อนไข แต่ไม่มีใครสามารถบอกได้ว่าเงื่อนไขฉบับที่ลูกค้าเห็นตอนนั้นมีข้อความว่าอย่างไร เพราะหน้าเว็บถูกแก้ไขไปแล้วหลายครั้งโดยไม่มีการเก็บเวอร์ชันเก่าไว้เลย

ตัวเลขแบบนี้ไม่ใช่เรื่องแปลกสำหรับองค์กรการเงิน ประกัน และธุรกิจที่มีความเสี่ยงสูง เพราะจุดขอความยินยอมมักกระจายอยู่หลายช่องทาง ทั้งเว็บไซต์ แอปพลิเคชัน คอลเซ็นเตอร์ และสาขา โดยแต่ละช่องทางมักพัฒนาแยกกันโดยทีมงานคนละชุด บทความนี้พาวางระบบความยินยอมตาม PDPA แบบเป็นขั้นตอน เพื่อให้ทุกจุดขอความยินยอมเชื่อมโยงกันและทิ้งหลักฐานที่ตรวจสอบย้อนหลังได้จริง

การวางระบบความยินยอมตาม PDPA สำหรับองค์กรการเงินและประกันต้องเริ่มจากแยกจุดขอความยินยอมทุกจุดในเส้นทางลูกค้า ออกแบบข้อความและช่องทำเครื่องหมายให้แยกตามวัตถุประสงค์ บันทึกหลักฐานทุกครั้งที่มีการให้หรือถอนความยินยอม เชื่อมกลไกถอนความยินยอมให้ใช้งานได้จริง และวางรอบตรวจสอบหลักฐานเป็นระยะ องค์กรที่มีความเสี่ยงสูงต้องให้ความสำคัญกับความครบถ้วนของบันทึกมากกว่าธุรกิจทั่วไป เพราะมักถูกตรวจสอบจากหน่วยงานกำกับดูแลบ่อยกว่า

ขั้นตอนที่ 1: ไล่บัญชีจุดขอความยินยอมทุกช่องทางในเส้นทางลูกค้า

เริ่มจากรวบรวมจุดที่ลูกค้าถูกขอความยินยอมทุกจุด ตั้งแต่ฟอร์มเปิดบัญชีออนไลน์ แอปมือถือสำหรับลูกค้าเดิม สคริปต์ที่พนักงานคอลเซ็นเตอร์อ่านตอนเสนอผลิตภัณฑ์เพิ่ม ไปจนถึงเอกสารกระดาษที่สาขาให้ลูกค้าเซ็น บริษัทประกันแห่งหนึ่งเมื่อไล่รายการนี้ครั้งแรกพบว่ามีจุดขอความยินยอมกระจายอยู่ถึงเจ็ดช่องทาง และแต่ละช่องทางใช้ข้อความไม่ตรงกันเลย บางจุดขอความยินยอมแบบรวมทุกวัตถุประสงค์ไว้ในข้อเดียว ขณะที่บางจุดแยกเป็นหลายข้อ ทำให้เมื่อลูกค้าคนเดียวกันติดต่อผ่านหลายช่องทาง ระบบไม่สามารถสรุปได้ว่าจริง ๆ แล้วลูกค้าคนนี้ยินยอมอะไรบ้าง

ขั้นตอนที่ 2: ออกแบบข้อความความยินยอมแยกตามวัตถุประสงค์ ไม่รวมเป็นก้อนเดียว

สำหรับแต่ละวัตถุประสงค์ที่ต้องขอความยินยอม เช่น การตลาดผลิตภัณฑ์ใหม่ การส่งต่อข้อมูลให้พันธมิตรประกันภัยต่อ หรือการใช้ข้อมูลเพื่อประเมินความเสี่ยงด้วยระบบอัตโนมัติ ควรแยกช่องทำเครื่องหมายออกจากกันให้ชัดเจน ไม่รวมทุกวัตถุประสงค์ไว้ในข้อความเดียวแล้วให้ลูกค้ากดยอมรับทีเดียว เพราะเมื่อลูกค้าต้องการถอนความยินยอมเฉพาะเรื่องการตลาด แต่ยังต้องการใช้บริการหลักต่อไป ระบบที่รวมทุกอย่างไว้ในข้อเดียวจะไม่สามารถตอบสนองคำขอแบบเจาะจงนี้ได้เลย การแยกความยินยอมตามวัตถุประสงค์ยังช่วยให้ทีมกฎหมายตรวจสอบย้อนหลังได้ง่ายขึ้นว่าแต่ละกิจกรรมมีความยินยอมรองรับจริงหรือไม่

ขั้นตอนที่ 3: บันทึกหลักฐานทุกครั้งที่มีการให้ความยินยอม ไม่ใช่แค่สถานะล่าสุด

ระบบที่เก็บแค่สถานะปัจจุบันว่าลูกค้ายินยอมหรือไม่ยินยอม ไม่เพียงพอสำหรับองค์กรที่มีความเสี่ยงสูง เพราะเมื่อถูกตรวจสอบ ผู้ตรวจมักถามว่าลูกค้าให้ความยินยอมเมื่อใด ผ่านช่องทางใด และเห็นข้อความเวอร์ชันใดตอนนั้น จึงต้องบันทึกทุกเหตุการณ์เป็นรายการประวัติ พร้อมเก็บสำเนาข้อความเวอร์ชันที่ลูกค้าเห็นจริงในแต่ละครั้งไว้ด้วย ธนาคารบางแห่งเลือกเก็บภาพหน้าจอของข้อความยินยอมทุกเวอร์ชันที่เคยเผยแพร่ พร้อมวันที่เริ่มและสิ้นสุดการใช้งานแต่ละเวอร์ชัน เพื่อให้เมื่อดึงประวัติของลูกค้ารายใดรายหนึ่ง สามารถจับคู่ได้ทันทีว่าตอนนั้นลูกค้าเห็นข้อความแบบไหน

ขั้นตอนที่ 4: เชื่อมกลไกถอนความยินยอมให้ใช้งานได้จริงในทุกช่องทาง

หลายองค์กรออกแบบปุ่มถอนความยินยอมไว้ในหน้าเว็บหรือแอป แต่เมื่อลูกค้ากดถอนแล้ว ข้อมูลไม่ได้ถูกส่งไปอัปเดตในระบบคอลเซ็นเตอร์หรือระบบการตลาดที่ยังใช้อยู่แยกกัน ทำให้ลูกค้ายังได้รับการติดต่อทางการตลาดต่อไปทั้งที่ถอนความยินยอมแล้ว จุดนี้ควรตรวจสอบว่าเมื่อมีการถอนความยินยอมผ่านช่องทางใดช่องทางหนึ่ง ระบบอื่นที่เกี่ยวข้องได้รับการอัปเดตภายในระยะเวลาที่เหมาะสมหรือไม่ และควรมีบันทึกเวลาที่คำขอถอนความยินยอมถูกประมวลผลเสร็จสิ้น ไม่ใช่แค่เวลาที่ลูกค้ากดปุ่ม เพราะช่องว่างระหว่างสองเวลานี้คือสิ่งที่ผู้ตรวจสอบมักให้ความสนใจเป็นพิเศษ

ขั้นตอนที่ 5: กำหนดจุดที่ต้องขอความยินยอมใหม่เมื่อเปลี่ยนวัตถุประสงค์การใช้ข้อมูล

เมื่อองค์กรจะใช้ข้อมูลลูกค้าเดิมเพื่อวัตถุประสงค์ใหม่ที่ไม่เคยแจ้งไว้ตอนแรก เช่น เริ่มใช้ข้อมูลพฤติกรรมการทำธุรกรรมเพื่อเสนอผลิตภัณฑ์ประกันเพิ่มเติมที่ไม่เคยมีมาก่อน ต้องกลับไปขอความยินยอมใหม่เฉพาะวัตถุประสงค์นั้น ไม่สามารถอ้างอิงความยินยอมเดิมที่ให้ไว้ตอนเปิดบัญชีได้ ควรกำหนดกระบวนการภายในให้ทีมผลิตภัณฑ์แจ้งทีมกฎหมายทุกครั้งก่อนเริ่มใช้ข้อมูลในลักษณะใหม่ เพื่อประเมินว่าจำเป็นต้องขอความยินยอมใหม่หรือไม่ ก่อนที่แคมเปญจะเริ่มดำเนินการจริง

ขั้นตอนที่ 6: วางรอบตรวจสอบหลักฐานความยินยอมเป็นระยะ

ระบบที่วางไว้ในห้าขั้นตอนแรกจะมีค่าก็ต่อเมื่อมีการตรวจสอบเป็นระยะว่ายังทำงานถูกต้อง ควรกำหนดรอบสุ่มตรวจบันทึกความยินยอมทุกไตรมาส โดยดึงตัวอย่างลูกค้าจากหลายช่องทางมาตรวจว่าหลักฐานครบถ้วนตรงกับสิ่งที่ระบบควรบันทึกหรือไม่ หากพบช่องว่าง เช่น บางช่องทางไม่ได้บันทึกเวอร์ชันข้อความที่ลูกค้าเห็น ควรแก้ไขทันทีก่อนที่ปัญหาจะสะสมเป็นกรณีจำนวนมาก การตรวจแบบละเอียดพร้อมรายการหลักฐานที่ควรเก็บทุกจุด อ่านเพิ่มเติมได้ที่ วิธี Audit ความยินยอมตาม PDPA สำหรับองค์กรการเงินและประกัน

ความท้าทายเฉพาะขององค์กรการเงินที่ต่างจากธุรกิจทั่วไป

องค์กรการเงินและประกันมักมีสัญญาระยะยาวกับลูกค้า เช่น กรมธรรม์ประกันชีวิตที่มีอายุหลายสิบปี ทำให้ความยินยอมที่ให้ไว้ตอนเริ่มสัญญาอาจไม่ครอบคลุมกิจกรรมใหม่ที่เกิดขึ้นระหว่างทาง เช่น การใช้ข้อมูลสุขภาพเพื่อประเมินความเสี่ยงด้วยโมเดลใหม่ที่พัฒนาขึ้นภายหลัง หรือการเปลี่ยนพันธมิตรประกันภัยต่อ ทีม Compliance จึงต้องมีกระบวนการทบทวนสัญญาที่ยังมีผลบังคับใช้อยู่เป็นระยะ ไม่ใช่ตรวจแค่ลูกค้าใหม่ที่เพิ่งสมัครเท่านั้น บริษัทประกันบางแห่งพบว่ากรมธรรม์ที่ทำไว้ก่อนปี 2560 ยังใช้ข้อความยินยอมแบบเก่าที่ไม่ได้แยกวัตถุประสงค์เลย จึงต้องวางแผนขอความยินยอมเพิ่มเติมกับลูกค้ากลุ่มนี้แยกต่างหากในจังหวะที่มีการติดต่อครั้งถัดไป เช่น ตอนต่ออายุกรมธรรม์ประจำปี

อีกความท้าทายคือการแชร์ข้อมูลระหว่างบริษัทในเครือ ธนาคารที่มีบริษัทลูกด้านประกันและบริษัทหลักทรัพย์อยู่ในกลุ่มเดียวกัน มักต้องการส่งต่อข้อมูลลูกค้าข้ามบริษัทเพื่อเสนอผลิตภัณฑ์ร่วม แต่ความยินยอมที่ขอจากลูกค้าต้องระบุชัดว่าอนุญาตให้ส่งข้อมูลไปยังบริษัทใดในเครือบ้าง ไม่ใช่เขียนกว้าง ๆ ว่า บริษัทในเครือทั้งหมด โดยไม่มีรายชื่อกำกับ เพราะเมื่อมีการเพิ่มบริษัทใหม่เข้ากลุ่มในภายหลัง ความยินยอมเดิมที่เขียนกว้างเกินไปอาจตีความได้ไม่ชัดเจนว่าครอบคลุมบริษัทใหม่นั้นด้วยหรือไม่

การประสานงานระหว่างทีมกฎหมาย ทีม IT และทีมผลิตภัณฑ์

ระบบความยินยอมที่ดีต้องอาศัยการทำงานร่วมกันของสามทีมหลัก ทีมกฎหมายกำหนดว่าวัตถุประสงค์ใดต้องขอความยินยอมแบบใด ทีม IT รับผิดชอบสร้างกลไกบันทึกและเชื่อมโยงข้อมูลระหว่างระบบ ส่วนทีมผลิตภัณฑ์ต้องแจ้งล่วงหน้าทุกครั้งที่จะเปิดตัวฟีเจอร์หรือแคมเปญที่เกี่ยวข้องกับการใช้ข้อมูลลูกค้าในรูปแบบใหม่ องค์กรที่ประสบปัญหาหลักฐานไม่ครบมักเป็นองค์กรที่สามทีมนี้ทำงานแยกกันโดยไม่มีจุดประสานงานกลาง ทำให้ทีมผลิตภัณฑ์เปิดแคมเปญใหม่ไปแล้วโดยทีมกฎหมายเพิ่งทราบภายหลัง

ด้านการเลือกฐานทางกฎหมายที่เกี่ยวข้อง

ความยินยอมเป็นเพียงหนึ่งในฐานทางกฎหมายที่องค์กรการเงินสามารถใช้ได้ กิจกรรมบางอย่าง เช่น การตรวจสอบธุรกรรมเพื่อป้องกันการฟอกเงินตามข้อกำหนดของหน่วยงานกำกับดูแล อาจอาศัยฐานทางกฎหมายอื่นที่ไม่ใช่ความยินยอม การแยกให้ชัดว่ากิจกรรมใดต้องขอความยินยอมและกิจกรรมใดใช้ฐานอื่นได้ เป็นเรื่องที่ควรทำคู่ขนานไปกับการวางระบบความยินยอมในบทความนี้ รายละเอียดการเลือกฐานทางกฎหมายที่เหมาะสมสำหรับแต่ละกิจกรรม อ่านเพิ่มเติมได้ในหมวด Privacy Fundamentals

การฝึกอบรมพนักงานสาขาและคอลเซ็นเตอร์ให้ทำงานสอดคล้องกับระบบ

ระบบความยินยอมที่ออกแบบมาดีเพียงใด จะพังทันทีถ้าพนักงานหน้างานไม่เข้าใจว่าต้องทำอะไร พนักงานสาขาที่เร่งปิดยอดขายผลิตภัณฑ์ใหม่มักข้ามขั้นตอนอธิบายรายละเอียดความยินยอมให้ลูกค้าฟัง แล้วให้ลูกค้าเซ็นเอกสารรวมทุกอย่างไปในคราวเดียวเพื่อความรวดเร็ว พฤติกรรมแบบนี้ทำให้เอกสารที่เก็บไว้ดูเหมือนครบถ้วน แต่ในทางปฏิบัติลูกค้าอาจไม่ได้รับทราบว่าเลือกยินยอมเฉพาะบางข้อได้ ธนาคารบางแห่งแก้ปัญหานี้ด้วยการปรับสคริปต์ให้พนักงานต้องอ่านแต่ละวัตถุประสงค์แยกทีละข้อและรอให้ลูกค้าตอบรับเป็นรายข้อ พร้อมบันทึกเสียงการสนทนาไว้เป็นหลักฐานเสริมสำหรับกรณีขายผลิตภัณฑ์ทางโทรศัพท์ การฝึกอบรมควรทำเป็นรอบสม่ำเสมอ ไม่ใช่แค่ตอนเริ่มงานใหม่ เพราะสคริปต์และแบบฟอร์มมักมีการปรับปรุงตามการเปลี่ยนแปลงผลิตภัณฑ์อยู่เรื่อย ๆ และพนักงานที่ทำงานมานานอาจยังคุ้นเคยกับขั้นตอนแบบเก่าที่เลิกใช้ไปแล้ว

ข้อผิดพลาดที่พบบ่อยเมื่อวางระบบความยินยอมในองค์กรการเงิน

• รวมความยินยอมหลายวัตถุประสงค์ไว้ในข้อความเดียว ทำให้ตอบคำขอถอนความยินยอมเฉพาะเรื่องไม่ได้
• บันทึกแค่สถานะล่าสุด ไม่เก็บประวัติและเวอร์ชันข้อความที่ลูกค้าเห็นจริงตอนให้ความยินยอม
• ปุ่มถอนความยินยอมไม่เชื่อมกับระบบคอลเซ็นเตอร์หรือระบบการตลาดที่ใช้แยกกัน
• ไม่ทบทวนสัญญาระยะยาวที่ยังมีผลบังคับใช้อยู่ ปล่อยให้ใช้ข้อความยินยอมแบบเก่าต่อไปเรื่อย ๆ
• เขียนความยินยอมเรื่องแชร์ข้อมูลในเครือแบบกว้างเกินไปโดยไม่ระบุรายชื่อบริษัท

สรุป

การวางระบบความยินยอมตาม PDPA สำหรับองค์กรการเงิน ประกัน และธุรกิจที่มีความเสี่ยงสูง ต้องเริ่มจากไล่บัญชีจุดขอความยินยอมทุกช่องทาง แยกข้อความตามวัตถุประสงค์ บันทึกหลักฐานทุกเหตุการณ์ เชื่อมกลไกถอนความยินยอมให้ทำงานจริงข้ามระบบ กำหนดจุดขอความยินยอมใหม่เมื่อเปลี่ยนวัตถุประสงค์ และวางรอบตรวจสอบเป็นระยะ องค์กรที่มีความเสี่ยงสูงต้องให้น้ำหนักกับความครบถ้วนของหลักฐานเป็นพิเศษ เพราะเป็นสิ่งแรกที่ผู้ตรวจสอบมักขอดูเมื่อเข้ามาตรวจ

แหล่งข้อมูลอ้างอิง

แนวทางที่เกี่ยวข้องกับหลักการคุ้มครองข้อมูลส่วนบุคคลของไทยควรตรวจสอบกับประกาศและแนวปฏิบัติของ สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (PDPC) โดยตรง บทความนี้เป็นแนวทางเชิงปฏิบัติสำหรับการวางระบบความยินยอม ไม่ใช่การตีความข้อกำหนดทางกฎหมายแทนหน่วยงานกำกับดูแล