วิธี Audit PDPA สำหรับเว็บไซต์ ของร้านค้าออนไลน์และ E-commerce พร้อม Evidence ที่ควรเก็บ

จากการทบทวนเว็บไซต์ร้านค้าออนไลน์ไทยกว่า 40 แห่งที่ทีม trusty เคยตรวจให้คำแนะนำในช่วงปีที่ผ่านมา พบรูปแบบที่ซ้ำกันเกือบทุกครั้งคือร้านค้าเกือบทั้งหมดมี Cookie Banner ติดตั้งไว้แล้ว แต่มีไม่ถึงหนึ่งในสี่ที่เคยทดสอบจริงว่าเมื่อลูกค้ากดปฏิเสธ Pixel ของแพลตฟอร์มโฆษณาต่าง ๆ หยุดยิงข้อมูลออกไปจริงหรือไม่ ตัวเลขนี้สำคัญเพราะร้านค้าออนไลน์พึ่งพา Pixel โฆษณาและ Retargeting เป็นเครื่องมือหลักในการทำยอดขาย ทำให้ความเสี่ยงที่จะเก็บและส่งต่อข้อมูลลูกค้าโดยไม่มีฐานทางกฎหมายรองรับสูงกว่าธุรกิจประเภทอื่นที่ไม่ได้พึ่งพา Ad Tech หนักเท่ากัน การมี Cookie Banner สวยงามจึงไม่ได้แปลว่าเว็บไซต์ผ่านการตรวจสอบ PDPA จริง

การ Audit PDPA สำหรับเว็บไซต์ร้านค้าออนไลน์ควรตรวจสี่เรื่องหลักเป็นรอบทุกหกเดือน คือฐานทางกฎหมายของข้อมูลลูกค้าแต่ละจุด กลไกขอความยินยอมสำหรับ Cookie และ Pixel โฆษณาที่ใช้งานจริง ช่องทางให้ลูกค้าใช้สิทธิ์เจ้าของข้อมูล และความพร้อมของกระบวนการแจ้งเหตุละเมิดข้อมูล แต่ละเรื่องต้องมีหลักฐานเก็บไว้ เช่น บันทึกฐานทางกฎหมายต่อฟีเจอร์ Log การให้ความยินยอมจาก Cookie Banner และบันทึกเวลาในการตอบคำขอใช้สิทธิ์ของลูกค้า การ Audit นี้ไม่ได้รับรองว่าเว็บไซต์ปฏิบัติตามกฎหมายครบถ้วน แต่ช่วยให้ทีมเห็นช่องว่างก่อนที่ลูกค้าหรือผู้ตรวจสอบจะเป็นคนพบเอง

เรื่องที่ 1: ตรวจฐานทางกฎหมายของข้อมูลลูกค้าแต่ละจุดบนเว็บไซต์

จุดเริ่มต้นของ Audit คือไล่ทีละฟังก์ชันบนเว็บไซต์ว่าข้อมูลลูกค้าแต่ละจุดเก็บภายใต้ฐานทางกฎหมายใด การสมัครสมาชิกและการสั่งซื้อสินค้าใช้ฐานสัญญา การจัดส่งสินค้าที่ต้องแชร์ที่อยู่ให้บริษัทขนส่งใช้ฐานสัญญาเช่นกัน แต่การส่งอีเมลโปรโมชันหรือการติดตาม Pixel เพื่อทำ Retargeting ต้องใช้ฐานความยินยอมแยกต่างหาก ร้านค้าออนไลน์จำนวนมากเข้าใจผิดว่าเมื่อลูกค้าสมัครสมาชิกแล้วถือว่ายินยอมให้ใช้ข้อมูลได้ทุกวัตถุประสงค์ ทำให้ส่งอีเมลโฆษณาหรือใช้ข้อมูลทำ Lookalike Audience บนแพลตฟอร์มโฆษณาโดยไม่มีฐานทางกฎหมายรองรับแยกต่างหาก ทีมควรสร้างตารางแมปฟีเจอร์กับฐานทางกฎหมายและทบทวนทุกครั้งที่เพิ่มช่องทางโฆษณาใหม่

เรื่องที่ 2: ตรวจกลไกขอความยินยอมสำหรับ Cookie และ Pixel โฆษณาที่ใช้งานจริง

จุดที่ลูกค้าหรือผู้ตรวจสอบมักทดสอบเองคือกดปฏิเสธใน Cookie Banner แล้วเปิด Network Tab ดูว่า Pixel ของ Facebook, TikTok หรือ Google ยังส่ง Event การเข้าชมสินค้าหรือการสั่งซื้อออกไปอยู่หรือไม่ ร้านค้าออนไลน์จำนวนมากติดตั้ง Tag Manager ที่ยิง Pixel ทันทีที่หน้าเว็บโหลด โดยไม่ได้ผูก Logic ให้รอผลจากการกดยินยอมก่อน ทำให้แม้ Cookie Banner จะแสดงตัวเลือกปฏิเสธไว้ แต่ข้อมูลก็ถูกส่งออกไปแล้วตั้งแต่ก่อนลูกค้าจะกดปุ่มใด ๆ ด้วยซ้ำ การ Audit ต้องรวมการทดสอบจริงบนเว็บไซต์ทั้งฝั่งหน้าแรก หน้าสินค้า และหน้าชำระเงิน เพราะแต่ละหน้ามักติดตั้ง Pixel คนละชุดที่ทีมการตลาดเพิ่มเข้ามาทีหลังโดยไม่ผ่านการตรวจสอบร่วมกับทีมพัฒนาเว็บไซต์

เรื่องที่ 3: ตรวจช่องทางให้ลูกค้าใช้สิทธิ์เจ้าของข้อมูลจริง

ลูกค้ามีสิทธิ์ขอเข้าถึง แก้ไข ลบ หรือคัดค้านการใช้ข้อมูลของตนเพื่อทำการตลาด สิ่งที่ Audit ต้องตรวจไม่ใช่แค่ว่ามีอีเมลติดต่อในหน้า Privacy Policy หรือไม่ แต่ต้องตรวจว่าเมื่อลูกค้ากดยกเลิกรับอีเมลโปรโมชัน ระบบหยุดส่งจริงหรือไม่ และเมื่อขอให้ลบข้อมูลบัญชี ทีมมีขั้นตอนลบข้อมูลจากทั้งระบบร้านค้า ระบบอีเมลมาร์เก็ตติ้ง และแพลตฟอร์มโฆษณาที่เคยอัปโหลดรายชื่อลูกค้าไปทำ Custom Audience หรือไม่ ร้านค้าออนไลน์จำนวนมากลบข้อมูลจากระบบหลักได้ แต่ลืมว่าเคยอัปโหลดอีเมลลูกค้าไปยังแพลตฟอร์มโฆษณาแล้ว ทำให้ข้อมูลยังคงอยู่ในระบบของบุคคลภายนอกต่อไปโดยไม่มีใครติดตามลบ

เรื่องที่ 4: ตรวจความพร้อมของกระบวนการแจ้งเหตุละเมิดข้อมูล

ร้านค้าออนไลน์ขนาดกลางถึงเล็กจำนวนมากไม่เคยซ้อมสถานการณ์ข้อมูลลูกค้ารั่วไหลเลย ทั้งที่ฐานข้อมูลลูกค้าพร้อมประวัติการสั่งซื้อและที่อยู่จัดส่งเป็นเป้าหมายที่มีมูลค่าสูงสำหรับผู้ไม่หวังดี การ Audit ควรตรวจว่าทีมมีขั้นตอนคร่าว ๆ ไว้แล้วหรือไม่ว่าถ้าพบเหตุการณ์ผิดปกติ เช่น มีคนเข้าถึงฐานข้อมูลคำสั่งซื้อโดยไม่ได้รับอนุญาต ใครเป็นผู้ตัดสินใจว่าต้องแจ้งหน่วยงานกำกับดูแลหรือแจ้งลูกค้าที่ได้รับผลกระทบ และมีกรอบเวลาที่ต้องทำตามหรือไม่ ทีมที่ไม่เคยเตรียมเรื่องนี้มักเสียเวลาช่วงวิกฤตไปกับการหาว่าใครเป็นเจ้าของระบบไหน แทนที่จะลงมือแก้ปัญหาและแจ้งลูกค้าให้ทันเวลา

ตรวจสัญญากับผู้ให้บริการชำระเงินและบริษัทขนส่งที่รับข้อมูลลูกค้าต่อ

ร้านค้าออนไลน์ทุกแห่งต้องส่งข้อมูลลูกค้าอย่างน้อยสองจุดออกไปนอกระบบของตัวเองเสมอ คือผู้ให้บริการชำระเงินที่รับชื่อและข้อมูลการสั่งซื้อเพื่อประมวลผลธุรกรรม และบริษัทขนส่งที่รับชื่อ เบอร์โทร และที่อยู่เพื่อจัดส่งสินค้า การ Audit ที่ครบถ้วนต้องตรวจว่าสัญญาหรือข้อตกลงการใช้งานกับผู้ให้บริการเหล่านี้ระบุขอบเขตการใช้ข้อมูลไว้ชัดเจนหรือไม่ เช่น ผู้ให้บริการชำระเงินนำข้อมูลลูกค้าไปใช้ทำการตลาดของตัวเองต่อได้หรือไม่ และบริษัทขนส่งเก็บข้อมูลที่อยู่ลูกค้าไว้นานเท่าใดหลังจัดส่งเสร็จ ร้านค้าจำนวนมากเลือกผู้ให้บริการตามค่าธรรมเนียมและความเร็วในการจัดส่งเป็นหลัก โดยไม่เคยอ่านเงื่อนไขการใช้ข้อมูลในสัญญาอย่างละเอียด ทำให้ไม่รู้ตัวว่าข้อมูลลูกค้าของตนอาจถูกนำไปใช้ต่อในทางที่ไม่ได้แจ้งลูกค้าไว้ตั้งแต่ต้น

เครื่องมือและวิธีติดตามผลระหว่างสองรอบ Audit

ร้านค้าออนไลน์หลายแห่งมีปัญหาว่าทำ Audit เสร็จแล้วรายงานถูกเก็บไว้ในไฟล์เดียวแล้วไม่มีใครเปิดดูอีกจนกว่าจะถึงรอบถัดไป วิธีที่ช่วยได้จริงคือแปลงรายการที่พบว่าต้องแก้ไขจากการ Audit แต่ละครั้งให้เป็นงานในระบบที่ทีมการตลาดและทีมพัฒนาเว็บไซต์ใช้อยู่แล้ว พร้อมกำหนดผู้รับผิดชอบและวันครบกำหนดชัดเจน โดยเฉพาะรายการที่เกี่ยวกับ Pixel โฆษณาซึ่งมักเปลี่ยนแปลงบ่อยเมื่อทีมการตลาดทดลองแคมเปญใหม่ ควรมีรอบตรวจสอบย่อยทุกไตรมาสแยกจากรอบ Audit ใหญ่ทุกหกเดือน เพื่อจับ Pixel ใหม่ที่ติดตั้งเพิ่มระหว่างทางก่อนที่จะกลายเป็นช่องว่างสะสม

ตัวอย่าง: ร้านค้าออนไลน์ที่มี Cookie Banner แต่ Pixel ยังยิงข้อมูลอยู่ดี

ร้านค้าออนไลน์เสื้อผ้าแบรนด์หนึ่งติดตั้ง Cookie Banner ตามคำแนะนำของทีมพัฒนาเว็บไซต์ตั้งแต่ต้นปี และมั่นใจว่าปฏิบัติตาม PDPA แล้วเพราะมีป้ายแจ้งเตือนครบทุกหน้า จนกระทั่งลูกค้ารายหนึ่งที่ทำงานด้านเทคโนโลยีทดลองกดปฏิเสธ Cookie แล้วเปิด Network Tab ดู พบว่า Pixel ของแพลตฟอร์มโฆษณาสามตัวยังส่งข้อมูลการเข้าชมสินค้าและมูลค่าตะกร้าสินค้าออกไปอยู่เหมือนเดิม ลูกค้ารายนั้นโพสต์เรื่องนี้ลงโซเชียลมีเดีย ทำให้ทีมต้องเร่งแก้ไขและตอบคำถามจากลูกค้ารายอื่นที่ตามมาเป็นจำนวนมากภายในเวลาไม่กี่วัน เหตุการณ์นี้เกิดขึ้นทั้งที่ร้านค้ามี Cookie Banner ครบถ้วนตามหน้าตา เพราะไม่เคยมีใครทดสอบว่า Logic เบื้องหลังทำงานตามที่ Banner สื่อสารไว้จริงหรือไม่ หลังเหตุการณ์นี้ทีมการตลาดของร้านจึงตั้งกฎใหม่ว่าทุกครั้งที่จะเพิ่ม Pixel ตัวใหม่ ต้องแจ้งทีมพัฒนาเว็บไซต์ล่วงหน้าเพื่อทดสอบ Logic การยินยอมร่วมกันก่อนเปิดใช้งานจริงกับลูกค้าทุกครั้ง ไม่ปล่อยให้ทีมการตลาดติดตั้งเองผ่าน Tag Manager โดยไม่มีการตรวจสอบซ้ำอีกต่อไป

ใครควรเป็นเจ้าของการ Audit นี้ในร้านค้าออนไลน์

ในร้านค้าขนาดเล็กที่ทีมการตลาดดูแลเว็บไซต์เองทั้งหมด วิธีที่ทำได้จริงคือให้เจ้าของร้านหรือหัวหน้าทีมการตลาดไล่ตรวจสี่เรื่องข้างต้นทุกหกเดือน โดยอาจจ้างที่ปรึกษาภายนอกช่วยตรวจ Pixel และ Network Request ในรอบแรกเพื่อวางระบบตรวจสอบภายในให้ทำต่อเองได้ เมื่อร้านค้าโตขึ้นจนมีทีม Performance Marketing แยกจากทีมพัฒนาเว็บไซต์ บทบาทของ Audit ควรเปลี่ยนมาเป็นการประสานงานเชิงระบบ ให้ทีมการตลาดรายงานทุกครั้งที่เพิ่ม Pixel หรือแพลตฟอร์มโฆษณาใหม่ ทีมพัฒนาเว็บไซต์ตรวจสอบว่า Logic การยินยอมยังทำงานถูกต้องหลังเพิ่ม และรวบรวมเป็นรายงาน Audit ที่มีวันที่และผู้รับผิดชอบชัดเจนทุกรอบ ดูขั้นตอนตั้งค่าตั้งแต่ต้นได้ที่ วิธีทำ PDPA สำหรับเว็บไซต์ร้านค้าออนไลน์

Evidence ที่ควรเก็บไว้จากการ Audit แต่ละรอบ

เพื่อให้ตอบคำถามลูกค้าหรือผู้ตรวจสอบได้เร็ว ทีมควรเก็บตารางแมปฟีเจอร์กับฐานทางกฎหมายพร้อมวันที่ทบทวนล่าสุด บันทึก Log การให้หรือถอนความยินยอมของลูกค้าแต่ละราย ภาพหน้าจอผลการทดสอบ Network Tab ที่ยืนยันว่า Pixel หยุดทำงานหลังลูกค้าปฏิเสธ และบันทึกเวลาที่จัดการคำขอใช้สิทธิ์แต่ละครั้ง หลักฐานเหล่านี้ไม่ได้ทำให้เว็บไซต์ปฏิบัติตามกฎหมายสมบูรณ์แบบ แต่ช่วยแสดงให้เห็นว่าร้านค้ามีกระบวนการตรวจสอบตัวเองอย่างจริงจัง ดูรายการตรวจก่อนเปิดใช้งานฟีเจอร์ใหม่ได้ที่ เช็กลิสต์ PDPA สำหรับเว็บไซต์ร้านค้าออนไลน์ และดูสิ่งที่ต้องทบทวนเมื่อกฎเกณฑ์เปลี่ยนแปลงได้ที่ อัปเดต PDPA สำหรับเว็บไซต์ ปี 2026

ข้อผิดพลาดที่พบบ่อยเมื่อ Audit เฉพาะหน้าตาไม่ใช่ Logic เบื้องหลัง

• ติดตั้ง Cookie Banner ให้ปรากฏถูกต้อง แต่ไม่เคยทดสอบว่าปุ่มปฏิเสธหยุด Pixel โฆษณาจริงหรือไม่
• เข้าใจผิดว่าการสมัครสมาชิกครั้งเดียวถือเป็นความยินยอมให้ใช้ข้อมูลได้ทุกวัตถุประสงค์รวมถึงการตลาด
• ลบข้อมูลลูกค้าจากระบบร้านค้าหลักได้ แต่ลืมว่าเคยอัปโหลดรายชื่อไปทำ Custom Audience บนแพลตฟอร์มโฆษณา
• ไม่เคยเตรียมขั้นตอนแจ้งเหตุละเมิดข้อมูล ทั้งที่ฐานข้อมูลคำสั่งซื้อเป็นเป้าหมายมูลค่าสูง

สรุป

การ Audit PDPA สำหรับเว็บไซต์ร้านค้าออนไลน์ที่ได้ผลจริงต้องมองข้ามหน้าตาของ Cookie Banner ไปตรวจว่า Pixel และ Logic เบื้องหลังทำงานตามที่สื่อสารไว้จริงหรือไม่ ทั้งฐานทางกฎหมาย กลไกความยินยอม ช่องทางใช้สิทธิ์ และความพร้อมรับมือเหตุละเมิด ร้านค้าที่ทำ Audit แบบนี้เป็นรอบสม่ำเสมอจะลดความเสี่ยงที่ลูกค้าจะเป็นคนแรกที่พบช่องว่างแล้วนำไปแชร์ต่อสาธารณะ ดูภาพรวมหัวข้ออื่นในหมวด Privacy Fundamentals เพิ่มเติมได้ที่ คลังความรู้ Privacy Fundamentals

แหล่งข้อมูลอ้างอิง

รายละเอียดเรื่องฐานทางกฎหมาย ความยินยอม และหน้าที่แจ้งเหตุละเมิดตามกฎหมาย ควรตรวจสอบเทียบกับแนวปฏิบัติของ สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (PDPC) โดยตรง บทความนี้เป็นแนวทางเชิงปฏิบัติสำหรับเจ้าของร้านค้าออนไลน์ ทีม E-commerce และทีม Performance Marketing ไม่ใช่การตีความข้อกำหนดทางกฎหมายแทนหน่วยงานกำกับดูแล