Best Practices ด้าน PDPA สำหรับเว็บไซต์ สำหรับโรงเรียน มหาวิทยาลัย และธุรกิจการศึกษาที่นำไปใช้ได้จริง

ก่อนเปิดรอบรับสมัครนักเรียนใหม่ทุกปี ฝ่ายทะเบียนของโรงเรียนหรือมหาวิทยาลัยหลายแห่งจะประชุมทบทวนขั้นตอนรับสมัครทั้งหมด ตั้งแต่แบบฟอร์มออนไลน์ ช่องทางชำระเงิน ไปจนถึงการติดต่อผู้ปกครอง แต่การทบทวนด้าน PDPA มักถูกข้ามไปเพราะไม่มีใครรู้ว่าควรเริ่มตรงไหน บทความนี้รวบรวมแนวปฏิบัติที่ทีมไอทีและผู้ดูแลข้อมูลนักเรียนนำไปใช้ต่อได้จริงในรอบการทำงานประจำปีการศึกษา

แนวปฏิบัติที่รวบรวมไว้นี้ไม่ใช่ขั้นตอนทางกฎหมายที่ต้องทำตามทุกข้อเป๊ะ แต่เป็นแนวทางเชิงปฏิบัติที่ช่วยลดความเสี่ยงและทำให้ทีมงานตอบคำถามผู้ปกครองได้ชัดเจนขึ้น สถานศึกษาที่มีข้อมูลอ่อนไหวหรือมีโครงสร้างองค์กรซับซ้อนควรให้ผู้เชี่ยวชาญด้านกฎหมายตรวจสอบเพิ่มเติมตามบริบทของตัวเอง

เริ่มต้นด้วยการสำรวจข้อมูลนักเรียนและผู้ปกครองที่เว็บไซต์เก็บจริง

ก่อนเขียน Privacy Policy หรือปรับ Cookie Banner ใด ๆ ทีมงานควรไล่สำรวจก่อนว่าเว็บไซต์แต่ละจุดของสถานศึกษาเก็บข้อมูลอะไรบ้างจริง เพราะเว็บไซต์หลัก เว็บไซต์คณะ ระบบรับสมัคร และ LMS มักเก็บข้อมูลคนละชุดและถูกดูแลโดยคนละทีม

รายการข้อมูลที่ควรสำรวจในสถานศึกษา

ข้อมูลที่พบบ่อยในเว็บไซต์การศึกษา ได้แก่ ชื่อ-นามสกุลนักเรียน วันเดือนปีเกิด ข้อมูลติดต่อผู้ปกครอง ผลการเรียนเดิม สำเนาบัตรประชาชนหรือสูติบัตร ข้อมูลสุขภาพหรือความต้องการพิเศษที่ระบุในใบสมัคร พฤติกรรมการเข้าใช้งาน LMS และประวัติการติดต่อผ่านแชทหรือแบบฟอร์มสอบถาม การสำรวจควรระบุด้วยว่าข้อมูลแต่ละชุดถูกเก็บอยู่ที่ระบบใด ใครเข้าถึงได้ และมีการส่งต่อให้บุคคลภายนอกหรือไม่

อย่าลืมกิจกรรมนอกหลักสูตรที่มีหน้าลงทะเบียนแยกต่างหาก

นอกจากระบบรับสมัครหลัก สถานศึกษาหลายแห่งมีหน้าลงทะเบียนแยกสำหรับกิจกรรมเฉพาะกิจ เช่น ค่ายวิชาการช่วงปิดเทอม ทัศนศึกษาต่างจังหวัด หรือการแข่งขันกีฬาสี ซึ่งมักสร้างขึ้นอย่างเร่งด่วนโดยทีมกิจกรรมโดยไม่ผ่านการตรวจสอบของทีมไอทีหรือฝ่ายทะเบียน หน้าลงทะเบียนเหล่านี้มักเก็บข้อมูลติดต่อผู้ปกครองและข้อมูลสุขภาพของนักเรียน เช่น โรคประจำตัวหรือการแพ้อาหาร โดยไม่มี Privacy Policy กำกับไว้เลย การสำรวจข้อมูลจึงควรครอบคลุมหน้าลงทะเบียนกิจกรรมชั่วคราวเหล่านี้ด้วย ไม่ใช่แค่ระบบรับสมัครหลักที่ใช้ทุกปี

ออกแบบขั้นตอนขอความยินยอมจากผู้ปกครองสำหรับผู้เยาว์

เพราะนักเรียนส่วนใหญ่ยังเป็นผู้เยาว์ ขั้นตอนขอความยินยอมของเว็บไซต์การศึกษาจึงต่างจากเว็บไซต์ทั่วไปที่ขอความยินยอมจากเจ้าของข้อมูลโดยตรง

1. ระบุในฟอร์มรับสมัครอย่างชัดเจนว่าผู้กรอกข้อมูลควรเป็นผู้ปกครองหรือผู้ใช้อำนาจปกครอง ไม่ใช่ให้นักเรียนกรอกและกดยอมรับเอง
2. เขียนข้อความขอความยินยอมด้วยภาษาที่เข้าใจง่าย บอกวัตถุประสงค์ของการเก็บข้อมูลแต่ละส่วนแยกกัน เช่น เพื่อพิจารณาการรับสมัคร เพื่อติดต่อกลับ หรือเพื่อจัดกิจกรรมแนะแนว
3. แยกช่องยินยอมสำหรับการติดต่อด้านการตลาด เช่น ข่าวสารหลักสูตรใหม่ ออกจากช่องยินยอมที่จำเป็นต่อการดำเนินการรับสมัคร เพื่อให้ผู้ปกครองเลือกได้ว่าจะรับข่าวสารเพิ่มเติมหรือไม่
4. บันทึกหลักฐานว่าใครเป็นผู้ให้ความยินยอม ให้ความยินยอมเรื่องใด ภายใต้ข้อความเวอร์ชันใด และเมื่อใด เพื่อให้ตรวจสอบย้อนหลังได้หากมีข้อสงสัยภายหลัง
5. เปิดช่องทางให้ผู้ปกครองถอนความยินยอมหรือขอแก้ไขข้อมูลได้ในภายหลัง โดยไม่ต้องผ่านขั้นตอนที่ซับซ้อนเกินจำเป็น

ควบคุมคุกกี้และสคริปต์ติดตามบนเว็บไซต์รับสมัครและเว็บไซต์หลัก

เว็บไซต์รับสมัครมักมีแรงกดดันจากฝ่ายการตลาดให้ติดสคริปต์วัดผลแคมเปญโฆษณาจำนวนมาก แนวปฏิบัติที่ช่วยลดความเสี่ยงคือการวางระบบ Consent ให้ควบคุมสคริปต์จริง ไม่ใช่แค่แสดงแบนเนอร์

ตั้งค่า Consent ก่อนโหลดสคริปต์ ไม่ใช่หลัง

สคริปต์วิเคราะห์ข้อมูลและโฆษณาควรถูกตั้งค่าให้รอสถานะความยินยอมจาก Consent Management Platform ก่อนเริ่มทำงาน แทนที่จะฝังไว้ในส่วนหัวของเว็บไซต์โดยตรง ทีมพัฒนาเว็บไซต์ควรทดสอบด้วยการเปิด Network Request ของเบราว์เซอร์ก่อนกดยินยอมทุกครั้งที่มีการเปลี่ยนแปลงเว็บไซต์

ตั้งค่า Google Consent Mode ให้สอดคล้องกับหมวดที่ผู้ปกครองเลือกจริง

สถานศึกษาหลายแห่งใช้ Google Ads เพื่อโปรโมตรอบรับสมัคร การตั้งค่า Consent Mode ควรกำหนดสถานะเริ่มต้นเป็นปฏิเสธก่อนผู้ปกครองโต้ตอบกับแบนเนอร์ แล้วอัปเดตสถานะตามตัวเลือกที่ผู้ปกครองกดจริง โดยแมปหมวดคุกกี้ของระบบ Consent ที่ใช้อยู่ให้ตรงกับประเภทความยินยอมของ Google อย่างถูกต้อง การตั้งค่าควรได้รับการทดสอบด้วยเครื่องมือตรวจสอบแท็กที่เป็นปัจจุบันก่อนนำขึ้นใช้งานจริง เพราะ Consent Mode เป็นเพียงกลไกส่งสัญญาณความยินยอมไปยังระบบโฆษณา ไม่ใช่ตัวแทนของ Consent Banner หรือฐานทางกฎหมายในตัวเอง

จัดหมวดคุกกี้ตามความจำเป็นจริง ไม่ใช่ตามความต้องการของฝ่ายรับสมัคร

คุกกี้ที่จำเป็นต่อการใช้งานฟอร์มสมัคร เช่น การรักษาสถานะล็อกอินหรือป้องกันการส่งฟอร์มซ้ำ จัดเป็นหมวด Necessary ได้ ส่วนสคริปต์ติดตามผลแคมเปญโฆษณาหรือ Pixel ของแพลตฟอร์มโฆษณาควรจัดเป็นหมวด Marketing ที่ผู้ปกครองเลือกปฏิเสธได้ แม้ฝ่ายรับสมัครจะกังวลเรื่องข้อมูลลีดที่อาจลดลง

ทดสอบปุ่มปฏิเสธก่อนนำเว็บไซต์ขึ้นใช้งานจริงทุกครั้ง

หลังปรับปรุงเว็บไซต์หรือเปลี่ยนธีมใหม่ ทีมงานควรทดสอบว่าปุ่มปฏิเสธทั้งหมดยังคงบล็อกสคริปต์การตลาดได้จริง เพราะการอัปเดตปลั๊กอินหรือธีมเป็นสาเหตุที่พบบ่อยที่สุดที่ทำให้การตั้งค่าเดิมเสียไปโดยไม่มีใครรู้ตัว

เชื่อมข้อมูลระหว่างเว็บไซต์หลัก ระบบทะเบียน และ LMS อย่างมีการควบคุม

สถานศึกษาที่มีหลายเว็บไซต์ควรวางแนวทางไม่ให้ Privacy Policy ฉบับเดียวครอบคลุมทุกระบบแบบกว้าง ๆ แต่ควรระบุให้ชัดว่าระบบใดเก็บข้อมูลอะไร และมีการส่งต่อข้อมูลระหว่างระบบอย่างไร

เมื่อมีการโอนข้อมูลระหว่างระบบ เช่น นักเรียนที่ผ่านการคัดเลือกจากระบบรับสมัครถูกนำเข้าสู่ระบบทะเบียนและ LMS ทีมงานควรตรวจสอบว่าข้อมูลที่โอนมีเฉพาะส่วนที่จำเป็นต่อการเรียนการสอน ไม่ใช่โอนทั้งชุดข้อมูลรวมถึงข้อมูลอ่อนไหวที่ไม่จำเป็นต่อระบบปลายทาง

สถานศึกษาที่มีหลายคณะหรือหลายวิทยาเขตควรพิจารณาด้วยว่าแต่ละวิทยาเขตใช้ระบบทะเบียนและ LMS ร่วมกันหรือแยกกัน หากแยกกัน การกำหนดผู้รับผิดชอบตามตารางข้างต้นควรระบุชื่อวิทยาเขตหรือคณะกำกับไว้ด้วย เพื่อไม่ให้เกิดช่องว่างที่ไม่มีใครดูแลข้อมูลของนักเรียนในบางวิทยาเขต โดยเฉพาะกรณีที่วิทยาเขตหนึ่งเปลี่ยนผู้ให้บริการเว็บไซต์ไปแล้วแต่ส่วนกลางยังไม่ทราบ

ตรวจสอบเครื่องมือการเรียนของบุคคลที่สามที่ผูกกับ LMS

LMS ของสถานศึกษาส่วนใหญ่เชื่อมต่อกับเครื่องมือภายนอกหลายตัว เช่น ระบบประชุมทางวิดีโอสำหรับเรียนออนไลน์ ระบบตรวจการบ้านอัตโนมัติ หรือแพลตฟอร์มทดสอบมาตรฐาน เครื่องมือเหล่านี้มักได้รับสิทธิ์เข้าถึงชื่อ อีเมล และบางครั้งรวมถึงการบันทึกภาพหรือเสียงของนักเรียนระหว่างเรียน แนวปฏิบัติที่ดีคือให้ฝ่ายไอทีทำรายการเครื่องมือภายนอกทั้งหมดที่เชื่อมกับ LMS พร้อมระบุว่าแต่ละตัวเข้าถึงข้อมูลใดบ้าง แล้วทบทวนรายการนี้ทุกครั้งที่มีการเพิ่มเครื่องมือใหม่เข้าสู่ระบบการเรียนการสอน

สื่อสารกับผู้ปกครองและนักเรียนเรื่องสิทธิในข้อมูลอย่างตรงไปตรงมา

สถานศึกษาควรมีช่องทางที่ชัดเจนให้ผู้ปกครองสอบถามเกี่ยวกับข้อมูลบุตรหลาน ขอแก้ไขข้อมูลที่ผิดพลาด หรือขอให้ลบข้อมูลเมื่อไม่ได้เข้าเรียนแล้ว ช่องทางนี้ไม่จำเป็นต้องซับซ้อน อาจเป็นอีเมลของฝ่ายทะเบียนที่ระบุไว้ในหน้า Privacy Policy พร้อมระยะเวลาโดยประมาณที่จะได้รับการตอบกลับ การสื่อสารที่ตรงไปตรงมาเกี่ยวกับขอบเขตของข้อมูลที่เก็บช่วยลดความสงสัยและข้อร้องเรียนของผู้ปกครองได้มากกว่าการปล่อยให้ผู้ปกครองต้องคาดเดาเอง

อีกแนวปฏิบัติที่มักถูกมองข้ามคือการใส่สรุปสั้น ๆ เรื่องการเก็บและใช้ข้อมูลนักเรียนไว้ในคู่มือผู้ปกครองหรือระเบียบการที่แจกช่วงต้นปีการศึกษา แทนที่จะฝัง Privacy Policy ไว้ในลิงก์เล็ก ๆ ท้ายเว็บไซต์ที่ผู้ปกครองแทบไม่เคยคลิกอ่าน การนำเนื้อหาสำคัญมาสรุปในเอกสารที่ผู้ปกครองอ่านอยู่แล้วช่วยให้ข้อมูลไปถึงผู้ปกครองจริง ไม่ใช่แค่มีอยู่บนเว็บไซต์ตามข้อกำหนด

กำหนดเจ้าของงานและรอบทบทวนประจำปีการศึกษา

แนวปฏิบัติทั้งหมดข้างต้นจะไม่ยั่งยืนหากไม่มีใครรับผิดชอบต่อเนื่อง สถานศึกษาควรกำหนดผู้รับผิดชอบหลักที่ทบทวนการตั้งค่า Consent, Privacy Policy และสิทธิ์การเข้าถึงข้อมูลอย่างน้อยปีละครั้งก่อนเปิดรอบรับสมัครใหม่ เพราะแต่ละปีมักมีการเปลี่ยนแปลงเว็บไซต์ เปลี่ยนผู้ให้บริการระบบ หรือเพิ่มช่องทางการตลาดใหม่ที่อาจกระทบการตั้งค่าเดิม การมอบหมายงานนี้ให้ชัดเจนตั้งแต่ต้นปีการศึกษาช่วยให้ไม่มีช่วงเวลาใดที่ไม่มีใครดูแลเรื่องนี้เลย

ทีมที่เพิ่งเริ่มวางระบบสามารถอ่านภาพรวมเพิ่มเติมได้ที่ แนวทางจัดการ PDPA สำหรับเว็บไซต์การศึกษา และเมื่อวางแนวปฏิบัติเสร็จแล้ว ควรใช้ เช็กลิสต์ตรวจสอบเว็บไซต์สถานศึกษา ไล่ตรวจก่อนเปิดรอบรับสมัครใหม่ทุกครั้ง ส่วนสถานศึกษาที่ดำเนินการมาระยะหนึ่งแล้วควรพิจารณา แนวทางตรวจสอบซ้ำเป็นรอบ เพื่อยืนยันว่าแนวปฏิบัติยังใช้งานได้จริงหลังมีการเปลี่ยนแปลงระบบ

เช็กลิสต์ปฏิบัติ

• สำรวจข้อมูลนักเรียนและผู้ปกครองที่เว็บไซต์แต่ละจุดเก็บจริงก่อนปรับปรุงนโยบาย
• ออกแบบฟอร์มรับสมัครให้ผู้ปกครองเป็นผู้ให้ความยินยอมแทนนักเรียนที่ยังเป็นผู้เยาว์
• แยกช่องยินยอมรับข่าวสารการตลาดออกจากช่องยินยอมที่จำเป็นต่อการรับสมัคร
• ตั้งค่าสคริปต์วิเคราะห์และโฆษณาให้รอสถานะความยินยอมก่อนเริ่มทำงาน
• ทดสอบปุ่มปฏิเสธหลังปรับปรุงเว็บไซต์หรือเปลี่ยนธีมทุกครั้ง
• ระบุผู้รับผิดชอบหลักของแต่ละระบบ เว็บไซต์หลัก ระบบรับสมัคร และ LMS
• เปิดช่องทางให้ผู้ปกครองสอบถาม แก้ไข หรือขอลบข้อมูลบุตรหลานได้
• กำหนดรอบทบทวนนโยบายและการตั้งค่าอย่างน้อยปีละครั้งก่อนเปิดรอบรับสมัครใหม่

ข้อควรระวัง

• อย่าปล่อยให้ฝ่ายการตลาดกำหนดหมวดคุกกี้เอง โดยเฉพาะการจัดสคริปต์ติดตามผู้สมัครไว้ในหมวด Necessary เพื่อเลี่ยงการถูกปฏิเสธ
• อย่าใช้ Privacy Policy ฉบับเดียวครอบคลุมทุกเว็บไซต์แบบกว้าง ๆ โดยไม่ระบุว่าระบบใดเก็บข้อมูลอะไรจริง
• อย่าลืมทดสอบการตั้งค่า Consent ซ้ำหลังเปลี่ยนธีม ปลั๊กอิน หรือผู้ให้บริการเว็บไซต์
• อย่ามอบหมายงานทบทวนนโยบายให้เป็นความรับผิดชอบที่ไม่มีเจ้าของชัดเจน เพราะจะไม่มีใครทำต่อในปีถัดไป

สรุป

แนวปฏิบัติ PDPA ที่ใช้ได้จริงสำหรับเว็บไซต์สถานศึกษาไม่ได้ซับซ้อนกว่าธุรกิจทั่วไปมากนัก แต่ต้องให้ความสำคัญเป็นพิเศษกับการขอความยินยอมผู้ปกครองแทนผู้เยาว์ การควบคุมสคริปต์ติดตามบนเว็บไซต์รับสมัคร และการเชื่อมข้อมูลระหว่างเว็บไซต์หลัก ระบบทะเบียน และ LMS อย่างมีขอบเขต การกำหนดเจ้าของงานและรอบทบทวนประจำปีการศึกษาคือสิ่งที่ทำให้แนวปฏิบัติเหล่านี้ใช้งานได้ต่อเนื่อง ไม่ใช่ทำครั้งเดียวแล้วปล่อยไว้จนล้าสมัย

แหล่งข้อมูลอ้างอิง

• สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (PDPC)