เช็กลิสต์ PDPA สำหรับเว็บไซต์ สำหรับโรงเรียน มหาวิทยาลัย และธุรกิจการศึกษา: ต้องตรวจอะไรบ้างก่อนเปิดใช้งาน

ฝ่ายไอทีของโรงเรียนแห่งหนึ่งเพิ่งได้รับมอบหมายให้เปิดระบบรับสมัครนักเรียนออนไลน์ก่อนเปิดเทอมใหม่ ฟอร์มมีช่องกรอกชื่อนักเรียน เลขบัตรประชาชน ชื่อผู้ปกครอง เบอร์โทร และในบางกรณีมีช่องข้อมูลสุขภาพสำหรับเด็กที่มีโรคประจำตัว ก่อนกดเผยแพร่เว็บไซต์ คำถามที่ต้องตอบให้ได้คือเว็บไซต์นี้เก็บข้อมูลอะไรบ้าง ใครเป็นเจ้าของข้อมูล และมีอะไรที่ต้องแก้ก่อนเปิดใช้งานจริง

บทความนี้รวบรวมเช็กลิสต์สำหรับเว็บไซต์ของโรงเรียน มหาวิทยาลัย และธุรกิจการศึกษา โดยใช้กรอบ TRUSTY-20 เป็นแนวตรวจ ครอบคลุมตั้งแต่ข้อมูลที่เก็บ สคริปต์ติดตาม การขอความยินยอม ไปจนถึงหลักฐานที่ควรเก็บไว้ยืนยันภายหลัง

ทำไมเว็บไซต์สถานศึกษาต้องระวังเป็นพิเศษ

เว็บไซต์สถานศึกษาแตกต่างจากเว็บไซต์ธุรกิจทั่วไปตรงที่ผู้ใช้จำนวนมากเป็นผู้เยาว์ และข้อมูลที่เก็บมักพ่วงมากับข้อมูลของผู้ปกครองหรือผู้ดูแล ทำให้ต้องแยกพิจารณาสองชั้น คือใครเป็นเจ้าของข้อมูลจริง และใครมีสิทธิ์ให้ความยินยอมแทน นอกจากนี้สถานศึกษามักมีข้อมูลอ่อนไหวปะปนอยู่ เช่น ข้อมูลสุขภาพในฟอร์มลงทะเบียนกิจกรรม หรือข้อมูลศาสนาในฟอร์มขอทุนการศึกษา ซึ่งต้องยกระดับความระมัดระวังมากกว่าข้อมูลทั่วไป

อีกจุดที่มักถูกมองข้ามคือเว็บไซต์สถานศึกษาเชื่อมกับระบบภายนอกจำนวนมาก ตั้งแต่ระบบ LMS ระบบวิดีโอคอนเฟอเรนซ์ ไปจนถึงระบบชำระค่าเทอมออนไลน์ แต่ละระบบมีการเก็บและส่งต่อข้อมูลของตัวเอง ซึ่งเว็บไซต์หลักอาจไม่ได้ควบคุมโดยตรง

ข้อมูลที่เว็บไซต์สถานศึกษามักเก็บ

ข้อมูลจากฟอร์มรับสมัครและข้อมูลผู้ปกครอง

ฟอร์มรับสมัครนักเรียนหรือนักศึกษามักขอชื่อ-นามสกุล วันเกิด เลขประจำตัวประชาชน ที่อยู่ ข้อมูลติดต่อผู้ปกครอง ผลการเรียนเดิม และบางครั้งมีเอกสารแนบ เช่น สำเนาบัตรประชาชนหรือทะเบียนบ้าน ข้อมูลชุดนี้ถือเป็นข้อมูลส่วนบุคคลที่ต้องมีฐานทางกฎหมายรองรับการเก็บ และควรมีคำชี้แจงบอกวัตถุประสงค์การใช้ให้ชัดเจนตั้งแต่หน้าแรกของฟอร์ม

ข้อมูลจากระบบ LMS วิดีโอ และเครื่องมือภายนอก

เมื่อเชื่อมต่อกับ LMS ระบบประชุมทางไกล หรือปลั๊กอินวิดีโอฝังในหน้าเว็บ ระบบเหล่านี้อาจตั้งคุกกี้หรือระบุตัวตนผู้เรียนโดยที่ผู้ดูแลเว็บไซต์ไม่รู้ตัว ทีมไอทีควรตรวจว่าระบบภายนอกแต่ละตัวเก็บอะไรบ้าง และต้องอัปเดต Privacy Policy ให้ตรงกับสิ่งที่เกิดขึ้นจริงทุกครั้งที่เพิ่มเครื่องมือใหม่

เช็กลิสต์ 6 หมวดที่ต้องตรวจก่อนเปิดใช้งานเว็บไซต์

ตารางด้านล่างสรุปหมวดตรวจหลักที่ทีมไอทีและผู้ดูแลข้อมูลนักเรียนควรใช้เป็นจุดเริ่มต้น ก่อนขยายรายละเอียดตามระบบจริงของแต่ละสถานศึกษา

Cookie และ Tracking บนเว็บไซต์สถานศึกษา

โรงเรียนต้องมี Cookie Banner บนเว็บไซต์หรือไม่ คำตอบคือขึ้นอยู่กับว่าเว็บไซต์นั้นใช้คุกกี้ประเภทใด หากมีเพียงคุกกี้ที่จำเป็นต่อการทำงาน เช่น คุกกี้ล็อกอินระบบสมัครเรียน อาจไม่ต้องขอความยินยอมสำหรับคุกกี้กลุ่มนั้น แต่หากมีคุกกี้วิเคราะห์พฤติกรรมผู้เข้าชม หรือคุกกี้จากปลั๊กอินโซเชียลมีเดียที่ฝังในหน้าเว็บ ต้องมีทางเลือกให้ผู้ใช้ปฏิเสธได้จริง ไม่ใช่แค่ปุ่มยอมรับปุ่มเดียว

เว็บไซต์สถานศึกษาต้องขอความยินยอมก่อนใช้ Google Classroom หรือ Zoom หรือไม่ โดยทั่วไปเครื่องมือเหล่านี้มักใช้เป็นระบบภายในสำหรับผู้ที่ลงทะเบียนเรียนแล้ว ซึ่งมีข้อตกลงการใช้งานแยกจากหน้าเว็บไซต์สาธารณะ แต่ถ้ามีการฝังวิดีโอหรือปุ่มเชื่อมต่อไว้บนหน้าเว็บสาธารณะที่ผู้เยี่ยมชมทั่วไปเข้าถึงได้ สคริปต์ของเครื่องมือเหล่านั้นก็ถือเป็น Tracking ที่ต้องตรวจสอบเงื่อนไข Consent เช่นเดียวกับสคริปต์อื่น ๆ

Consent ของผู้ปกครองกับ Consent ของนักศึกษาที่บรรลุนิติภาวะแล้ว

นักเรียนที่อายุต่ำกว่าเกณฑ์ต้องให้ผู้ปกครองยินยอมแทนหรือไม่ นี่เป็นคำถามที่ต้องพิจารณาตามอายุและลักษณะข้อมูล สถานศึกษาควรตรวจแบบฟอร์มทุกจุดว่าระบุอายุขั้นต่ำหรือช่องทางให้ผู้ปกครองลงนามยินยอมไว้หรือไม่ ส่วนกรณีนักศึกษาระดับมหาวิทยาลัยที่บรรลุนิติภาวะแล้ว ส่วนใหญ่สามารถให้ความยินยอมด้วยตนเองได้ แต่ควรตรวจสอบรายละเอียดกับผู้เชี่ยวชาญด้านกฎหมายเมื่อฟอร์มมีข้อมูลอ่อนไหว เช่น ข้อมูลสุขภาพหรือศาสนา เพราะการกำหนดอายุและรูปแบบการขอความยินยอมมีรายละเอียดเฉพาะที่ AI หรือเครื่องมือสแกนไม่สามารถตัดสินใจแทนได้

เมื่อไรควรส่งต่อผู้เชี่ยวชาญด้านกฎหมาย

trusty ช่วยตรวจ PDPA ให้เว็บไซต์สถานศึกษาได้ครบทุกจุดหรือไม่ คำตอบตรง ๆ คือไม่ครบ เครื่องมืออย่าง PDPA Readiness Scan ของ trusty (Capability Status A — ใช้งานได้ในผลิตภัณฑ์จริง) ตรวจ Privacy Policy ที่เผยแพร่ Banner ตัวเลือก Reject และพฤติกรรม Tracking ฝั่งไคลเอนต์ได้ แต่ไม่เห็นข้อมูลที่เก็บผ่านฟอร์มกระดาษ ระบบหลังบ้าน หรือสัญญากับ Vendor ภายนอก งานที่ควรส่งต่อผู้เชี่ยวชาญด้านกฎหมายหรือ DPO ได้แก่ การกำหนดฐานทางกฎหมายสำหรับข้อมูลผู้เยาว์ การตีความอายุที่ต้องขอความยินยอมจากผู้ปกครอง และการตรวจข้อมูลอ่อนไหวในฟอร์มขอทุนการศึกษาหรือฟอร์มสุขภาพ

ควรทบทวนเช็กลิสต์นี้บ่อยแค่ไหน แนะนำให้ทบทวนทุก 6 เดือน และทบทวนซ้ำทันทีเมื่อมีการเพิ่มระบบใหม่ เช่น เปลี่ยน LMS เพิ่มปลั๊กอินวิดีโอ หรือเปิดฟอร์มรับสมัครรอบใหม่ที่มีช่องเก็บข้อมูลเพิ่ม อ่านรายละเอียดขั้นตอนเต็มได้ใน คู่มือ PDPA สำหรับเว็บไซต์สถานศึกษาแบบละเอียด และดูวิธีเก็บหลักฐานยืนยันเพิ่มเติมใน วิธี Audit PDPA สำหรับเว็บไซต์สถานศึกษา

เช็กลิสต์ปฏิบัติ

• ตรวจว่า Privacy Policy ระบุข้อมูลที่ฟอร์มรับสมัครและระบบ LMS เก็บจริงครบถ้วน
• ทดสอบปุ่ม Reject All บน Cookie Banner ว่าบล็อกสคริปต์ได้จริงก่อนและหลังกดยินยอม
• ตรวจสอบว่าฟอร์มที่มีข้อมูลผู้เยาว์มีช่องยินยอมของผู้ปกครองอย่างชัดเจน
• ทำรายการ Vendor ภายนอก เช่น LMS ระบบวิดีโอ และระบบชำระเงิน พร้อมวัตถุประสงค์การใช้ข้อมูล
• เปิดช่องทางให้ผู้ปกครองหรือนักศึกษาติดต่อขอเข้าถึง แก้ไข หรือลบข้อมูล
• เก็บภาพหน้าจอและบันทึกวันที่ตรวจทุกครั้งเพื่อใช้เป็นหลักฐาน
• กำหนดผู้รับผิดชอบ (Owner) สำหรับการอัปเดต Policy และ Banner เมื่อมีระบบใหม่

ข้อผิดพลาดที่พบบ่อย

• เปิดฟอร์มรับสมัครใหม่ทุกปีโดยไม่อัปเดต Privacy Policy ให้ตรงกับช่องข้อมูลที่เพิ่มขึ้น
• ใช้ Cookie Banner แบบมีแต่ปุ่ม Accept โดยไม่มีทางเลือก Reject ที่ใช้งานได้จริง
• ฝังวิดีโอหรือแผนที่จากผู้ให้บริการภายนอกโดยไม่ตรวจว่าโหลดสคริปต์ก่อน Consent หรือไม่
• คิดว่าเก็บข้อมูลนักเรียนเพื่อ "ประโยชน์ทางการศึกษา" แล้วไม่ต้องแจ้งวัตถุประสงค์ให้ชัดเจน
• ไม่มีใครในโรงเรียนรับผิดชอบตรวจซ้ำเมื่อเปลี่ยนผู้ให้บริการเว็บไซต์หรือระบบ LMS

สรุป

เว็บไซต์สถานศึกษาต้องตรวจทั้งฝั่งที่มองเห็นได้ เช่น Policy และ Banner และฝั่งที่มองไม่เห็นจากภายนอก เช่น ฟอร์มกระดาษหรือสัญญากับ Vendor เช็กลิสต์นี้เป็นจุดเริ่มต้นสำหรับทีมไอทีและผู้ดูแลข้อมูลนักเรียน ไม่ใช่ผลสรุปทางกฎหมาย งานที่เกี่ยวกับข้อมูลผู้เยาว์หรือข้อมูลอ่อนไหวควรให้ผู้เชี่ยวชาญตรวจซ้ำก่อนเปิดใช้งานจริง

แหล่งข้อมูลอ้างอิง

• สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (PDPC)