ตัวอย่างและ Template PDPA สำหรับเว็บไซต์ สำหรับเอเจนซีและฟรีแลนซ์ทำเว็บไซต์

เอเจนซีขนาดเล็กแห่งหนึ่งปิดโปรเจกต์เว็บไซต์คอนโดไปได้หกเดือน เมื่อลูกค้าโทรมาถามว่า Cookie หมวด Marketing ที่เคยตกลงกันไว้ตั้งค่าอย่างไร ทีมงานเปิดโฟลเดอร์โปรเจกต์แล้วพบว่าไม่มีอะไรบันทึกไว้เลยนอกจากไฟล์ติดตั้งปลั๊กอิน ปัญหานี้แก้ได้ด้วยชุด Template ที่ใช้ซ้ำได้ทุกโปรเจกต์ ตราบใดที่ปรับเนื้อหาให้ตรงกับลูกค้าแต่ละรายจริง ไม่ใช่คัดลอกทั้งชุดไปใช้โดยไม่แก้ไข

Template 1: Business Questionnaire ก่อนเริ่มโปรเจกต์

แบบสอบถามนี้ควรถามลูกค้าก่อนเริ่มออกแบบ เพื่อใช้เป็นฐานข้อมูลสำหรับ Privacy Policy และการตั้งค่า Cookie Consent

• เว็บไซต์จะมีฟอร์มอะไรบ้าง (ติดต่อ, สมัครสมาชิก, ขอใบเสนอราคา, นัดหมาย)
• แต่ละฟอร์มเก็บข้อมูลอะไร (ชื่อ, เบอร์โทร, อีเมล, ที่อยู่, ข้อมูลอื่น)
• ใช้ระบบ CRM, Email Marketing หรือ Chat ตัวไหน
• มีแผนติด Pixel การตลาดของแพลตฟอร์มใดบ้าง
• ธุรกิจเกี่ยวข้องกับข้อมูลสุขภาพ การเงิน หรือข้อมูลผู้เยาว์หรือไม่
• มี Third-party Vendor ที่รับข้อมูลต่อจากเว็บไซต์หรือไม่ เช่น Call Center, Agent ภายนอก

Template 2: Cookie Inventory Table

ตารางนี้ควรทำหลังติดตั้งเว็บไซต์เสร็จ โดยตรวจ Network Request จริงแล้วกรอกทีละรายการ

ชื่อ Cookie	ผู้ให้บริการ	วัตถุประสงค์	หมวด	ต้องขอ Consent หรือไม่
_ga	Google Analytics	วิเคราะห์การใช้งาน	Analytics	ต้องขอ
_fbp	Meta Pixel	วัดผลโฆษณา	Marketing	ต้องขอ
session_id	ระบบเว็บไซต์เอง	รักษาสถานะการใช้งาน	Necessary	ไม่ต้องขอ (จำเป็นต่อบริการ)
lang_pref	ระบบเว็บไซต์เอง	จดจำภาษาที่เลือก	Functional	ต้องขอ

ตารางนี้เป็นตัวอย่างโครงสร้างเท่านั้น ต้องตรวจ Network Request ของแต่ละเว็บไซต์จริงแล้วกรอกใหม่ทุกครั้ง ห้ามคัดลอกรายชื่อ Cookie จากโปรเจกต์อื่นมาใช้ตรง ๆ เพราะแต่ละเว็บไซต์ติดตั้ง Script ไม่เหมือนกัน

Template 3: ข้อความสัญญาเรื่องขอบเขตความรับผิดชอบ PDPA

ข้อความตัวอย่างนี้ใช้เป็นจุดเริ่มต้นในการระบุขอบเขตงานให้ชัดเจน ไม่ใช่ข้อความกฎหมายสำเร็จรูปที่ใช้ได้ทุกกรณี ควรให้ผู้เชี่ยวชาญกฎหมายของแต่ละฝ่ายตรวจก่อนใช้จริง

ผู้รับจ้างจะติดตั้งระบบ Cookie Consent และร่าง Privacy Policy เบื้องต้นจากข้อมูลที่ผู้ว่าจ้างให้ไว้ในแบบสอบถามก่อนเริ่มงาน ผู้ว่าจ้างมีหน้าที่แจ้งการเปลี่ยนแปลงข้อมูลที่เก็บหรือ Third-party ที่เพิ่มขึ้นภายหลังส่งมอบ และเป็นผู้รับผิดชอบหลักในฐานะผู้ควบคุมข้อมูลตามกฎหมาย งานที่ส่งมอบนี้เป็นความช่วยเหลือด้านเทคนิคเบื้องต้น ไม่ใช่ความเห็นทางกฎหมาย

รายละเอียดเรื่องเนื้อหาสัญญาที่ครอบคลุมมากขึ้น ดูภาพรวม Workflow ได้ที่คู่มือ PDPA สำหรับเว็บไซต์สำหรับเอเจนซีและฟรีแลนซ์ทำเว็บไซต์

Template 4: โครงสร้าง Consent Log

Consent Log ไม่จำเป็นต้องซับซ้อน แต่ควรมีคอลัมน์อย่างน้อยตามนี้เพื่อพิสูจน์ย้อนหลังได้ว่าผู้ใช้เลือกอะไรเมื่อใด

คอลัมน์	ตัวอย่างค่า
Consent ID	รหัสอ้างอิงเฉพาะของแต่ละการยินยอม
Timestamp	วันเวลาที่ผู้ใช้กดเลือก
Categories Selected	Necessary, Functional, Analytics, Marketing
Action	Accept All / Reject All / Customize
Policy Version	เวอร์ชันของ Privacy Policy ที่ผู้ใช้เห็น ณ ขณะนั้น
Banner Version	เวอร์ชันของข้อความ Banner ที่แสดงผล

Template 5: Handover Document Checklist

เอกสารนี้ส่งมอบพร้อมโปรเจกต์ทุกครั้ง เพื่อให้ลูกค้าหรือนักพัฒนาคนถัดไปเข้าใจการตั้งค่าเดิมโดยไม่ต้องเดา

• รายชื่อ Cookie/Tag ทั้งหมดที่ตรวจพบ พร้อมหมวดที่จัดไว้
• วิธีเข้าถึง Consent Log และ Export ข้อมูล
• Policy Version ล่าสุด ณ วันที่ส่งมอบ
• คำแนะนำว่าเมื่อใดควรตรวจซ้ำ (เพิ่ม Tag ใหม่, เปลี่ยนปลั๊กอิน, เปลี่ยน Hosting)
• ช่องทางติดต่อเอเจนซีหากลูกค้าต้องการคำแนะนำเพิ่มเติม

ตัวอย่าง Template เพิ่มเติมสำหรับกรณีที่พบปัญหาหลังส่งมอบ ดูได้ที่วิธีวัดผลและแก้ปัญหา PDPA สำหรับเว็บไซต์ของเอเจนซี

Template 6: โครงข้อความ Cookie Banner สามภาษาที่ใช้ปรับได้

ข้อความ Banner ควรสั้น ตรงไปตรงมา และมีปุ่ม Accept, Reject, Customize เห็นชัดเท่ากัน โครงข้อความตัวอย่างนี้เป็นจุดเริ่มต้น ต้องปรับให้ตรงกับสิ่งที่เว็บไซต์นั้นเก็บจริง

เว็บไซต์นี้ใช้คุกกี้เพื่อให้บริการพื้นฐาน วิเคราะห์การใช้งาน และปรับปรุงเนื้อหาให้ตรงกับความสนใจของคุณ คุณสามารถเลือกยอมรับทั้งหมด ปฏิเสธทั้งหมด หรือตั้งค่ารายหมวดได้ อ่านรายละเอียดเพิ่มเติมได้ที่นโยบายคุกกี้

ข้อควรระวังคือห้ามใช้ข้อความที่บอกว่า "ยอมรับทั้งหมด" เป็นตัวเลือกเดียวที่กดง่าย ในขณะที่ปุ่ม Reject หรือ Customize ถูกซ่อนไว้เป็นลิงก์เล็ก ๆ เพราะเป็นรูปแบบ Dark Pattern ที่ทำให้ผู้ใช้เลือกได้ไม่เท่าเทียมกันจริง

ตัวอย่างสถานการณ์ที่ Template ช่วยได้จริง

ทีมงานที่มี Template ครบชุดจะรับมือกับสถานการณ์เหล่านี้ได้เร็วกว่าทีมที่ไม่มี

ลูกค้าขอเปลี่ยน CRM กะทันหัน

เมื่อมี Business Questionnaire และ Cookie Inventory Table อยู่แล้ว ทีมงานตรวจได้ทันทีว่าการเปลี่ยน CRM กระทบ Vendor ใดใน Privacy Policy บ้าง และต้องแก้ข้อความส่วนไหน โดยไม่ต้องไล่ตรวจทั้งเว็บไซต์ใหม่ตั้งแต่ต้น

ลูกค้าถูกขอดู Consent Log ย้อนหลัง

หากมีโครงสร้าง Consent Log ที่มีคอลัมน์ Policy Version และ Timestamp ครบตั้งแต่ต้น การ Export ข้อมูลย้อนหลังทำได้ทันทีโดยไม่ต้องปะติดปะต่อจากหลายระบบ

เปลี่ยนทีมดูแลกลางทาง

Handover Document ที่ทำไว้ตั้งแต่ส่งมอบครั้งแรก ช่วยให้ทีมใหม่เข้าใจการตั้งค่าเดิมได้ภายในไม่กี่นาที แทนที่จะต้องไล่ตรวจ Network Request ทั้งเว็บไซต์ใหม่ทั้งหมด

ข้อควรระวังเมื่อใช้ Template ซ้ำกับหลายลูกค้า

Template ช่วยประหยัดเวลา แต่ความเสี่ยงคือการคัดลอกทั้งชุดไปใช้กับลูกค้ารายใหม่โดยไม่ปรับ โดยเฉพาะ Cookie Inventory และข้อความ Privacy Policy ที่ต้องตรงกับกิจกรรมจริงของแต่ละธุรกิจ ควรตั้งเป็นขั้นตอนบังคับว่าทุกโปรเจกต์ต้องกรอก Business Questionnaire และตรวจ Network Request ใหม่เสมอ แม้จะเคยทำให้ลูกค้ารายที่คล้ายกันมาก่อนก็ตาม การมี Checklist บังคับให้ทำทีละขั้นก่อนปิดงาน ช่วยลดโอกาสที่ทีมงานจะข้ามขั้นตอนตรวจซ้ำเพราะเร่งรีบส่งมอบตามกำหนดเวลา

คำถามที่พบบ่อย

ใช้ข้อความสัญญาตัวอย่างในบทความนี้ได้เลยไหม

ใช้เป็นจุดเริ่มต้นได้ แต่ควรให้ผู้เชี่ยวชาญกฎหมายของแต่ละฝ่ายตรวจก่อนใช้จริง เพราะเป็นเพียงตัวอย่างโครงสร้างข้อความ ไม่ใช่ข้อความกฎหมายสำเร็จรูป

Cookie Inventory Table ต้องอัปเดตบ่อยแค่ไหน

ควรอัปเดตทุกครั้งที่เพิ่ม Tag หรือปลั๊กอินใหม่ และตรวจซ้ำทั้งหมดอย่างน้อยทุก 6 เดือนตามระดับความเสี่ยงของหมวดนี้

Handover Document จำเป็นแม้โปรเจกต์เล็กไหม

จำเป็น เพราะโปรเจกต์เล็กก็มีความเสี่ยงที่จะไม่มีใครดูแลต่อเช่นกัน เอกสารนี้ใช้เวลาทำไม่นานแต่ช่วยลดความสับสนได้มากเมื่อมีการเปลี่ยนทีมดูแล

ควรเก็บ Template ไว้ที่ไหนให้ทั้งทีมเข้าถึงได้

ควรเก็บไว้ในระบบกลางของทีม เช่น พื้นที่จัดเก็บเอกสารร่วมที่มีการควบคุมสิทธิ์เข้าถึง แยกโฟลเดอร์ตามลูกค้าแต่ละราย ไม่ใช่เก็บไว้ในเครื่องส่วนตัวของคนใดคนหนึ่งเพียงคนเดียว เพราะเมื่อคนนั้นลาออกหรือเปลี่ยนงาน ทีมที่เหลือจะไม่มีข้อมูลอ้างอิงต่อ

เช็กลิสต์ปฏิบัติ

• กรอก Business Questionnaire ให้ครบก่อนเริ่มออกแบบทุกโปรเจกต์
• ตรวจ Network Request จริงแล้วกรอก Cookie Inventory Table ใหม่ทุกครั้ง
• ให้ผู้เชี่ยวชาญกฎหมายตรวจข้อความสัญญาก่อนใช้กับลูกค้าจริง
• ตั้งโครงสร้าง Consent Log ให้มีคอลัมน์ Policy Version และ Banner Version
• ส่งมอบ Handover Document ทุกโปรเจกต์แม้เป็นงานขนาดเล็ก
• ห้ามคัดลอก Template ทั้งชุดไปใช้กับลูกค้ารายใหม่โดยไม่ปรับ

ข้อผิดพลาดที่พบบ่อย

• คัดลอก Cookie Inventory จากโปรเจกต์เดิมทั้งหมดโดยไม่ตรวจ Network Request ใหม่
• ใช้ข้อความสัญญาตัวอย่างโดยไม่ให้ผู้เชี่ยวชาญกฎหมายตรวจก่อนเซ็นจริง
• ทำ Consent Log แต่ไม่มีคอลัมน์ Policy Version ทำให้ย้อนตรวจไม่ได้ว่าผู้ใช้ยินยอมกับข้อความเวอร์ชันไหน
• ข้าม Handover Document สำหรับโปรเจกต์เล็กเพราะคิดว่าไม่จำเป็น

สรุป

Template ด้าน PDPA ช่วยให้เอเจนซีทำงานได้เร็วและสม่ำเสมอขึ้น แต่ต้องใช้เป็นจุดเริ่มต้นที่ปรับให้ตรงกับแต่ละลูกค้าเสมอ ไม่ใช่คัดลอกไปใช้ทั้งชุด ทั้ง Business Questionnaire, Cookie Inventory, ข้อความสัญญา, Consent Log และ Handover Document ควรอยู่ในชุดเอกสารมาตรฐานของทุกโปรเจกต์

แหล่งข้อมูลอ้างอิง

• สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (PDPC)
• วิธีวัดผลและแก้ปัญหา PDPA สำหรับเว็บไซต์ของเอเจนซี