PDPA สำหรับเว็บไซต์ คืออะไร? คู่มือสำหรับโรงเรียน มหาวิทยาลัย และธุรกิจการศึกษา

ฝ่ายรับสมัครของโรงเรียนแห่งหนึ่งเปิดฟอร์มออนไลน์ให้ผู้ปกครองกรอกข้อมูลบุตรหลานเพื่อจองที่นั่งเรียน ฟอร์มนั้นขอทั้งชื่อ วันเกิด โรคประจำตัว และเบอร์โทรฉุกเฉิน แต่เมื่อผู้ปกครองถามว่าเว็บไซต์เก็บข้อมูลนี้ไว้ทำอะไรบ้างและใครเห็นบ้าง กลับไม่มีใครในโรงเรียนตอบได้ชัดเจน เพราะไม่เคยมีใครเขียน Privacy Policy อธิบายไว้ตั้งแต่แรก สถานการณ์แบบนี้พบได้บ่อยในเว็บไซต์การศึกษา เพราะทีมไอทีเว็บไซต์กับฝ่ายรับสมัครมักทำงานแยกกันโดยไม่มีใครเชื่อมสองเรื่องนี้เข้าด้วยกัน

คู่มือนี้อธิบายว่า PDPA สำหรับเว็บไซต์สถานศึกษาครอบคลุมอะไรบ้าง ตั้งแต่ข้อมูลที่เก็บจริง ความเสี่ยงเฉพาะของภาคการศึกษา ไปจนถึงแนวทางดูแล Cookie, Privacy Policy และ Consent อย่างต่อเนื่อง เขียนขึ้นสำหรับทีมไอที ฝ่ายรับสมัคร และผู้ดูแลข้อมูลนักเรียนของโรงเรียน มหาวิทยาลัย และธุรกิจการศึกษา โดยใช้กรอบ TRUSTY-20 แยกสิ่งที่กฎหมายกำหนด แนวปฏิบัติที่แนะนำ และขีดความสามารถของเครื่องมือสแกนอัตโนมัติออกจากกัน

PDPA สำหรับเว็บไซต์การศึกษาครอบคลุมอะไรบ้าง

โดยหลักการ PDPA กำหนดให้ผู้ที่เก็บข้อมูลส่วนบุคคลต้องแจ้งวัตถุประสงค์ ขอความยินยอมเมื่อจำเป็น และดูแลข้อมูลตลอดวงจรตั้งแต่เก็บ ใช้ จัดเก็บ แบ่งปัน จนถึงลบทิ้ง สำหรับเว็บไซต์สถานศึกษา วงจรนี้เริ่มตั้งแต่หน้ารับสมัครที่เก็บข้อมูลผู้สมัคร ต่อเนื่องไปถึงระบบ LMS ที่บันทึกกิจกรรมการเรียน และอาจครอบคลุมไปถึงเว็บไซต์ศิษย์เก่าที่ยังเก็บข้อมูลของนักเรียนที่จบไปแล้ว

Cookie Banner เป็นเพียงส่วนหนึ่งของภาพรวมทั้งหมด สิ่งที่มักถูกมองข้ามคือฟอร์มสมัครเรียน ระบบแชทถามข้อมูลหลักสูตร และไฟล์แนบที่ผู้ปกครองอัปโหลด เช่น สำเนาบัตรประชาชนหรือใบรับรองแพทย์ ซึ่งล้วนเป็นข้อมูลที่ต้องดูแลไม่ต่างจากข้อมูลที่เก็บผ่าน Cookie

ข้อมูลที่เว็บไซต์โรงเรียนและมหาวิทยาลัยมักเก็บ

เว็บไซต์รับสมัครมักเก็บชื่อนักเรียน วันเกิด ข้อมูลผู้ปกครอง เบอร์ติดต่อฉุกเฉิน และบางครั้งรวมถึงข้อมูลสุขภาพเบื้องต้น เช่น โรคประจำตัวหรือการแพ้อาหาร ส่วนเว็บไซต์ของมหาวิทยาลัยอาจเพิ่มข้อมูลผลการเรียน เอกสารทางการเงินสำหรับขอทุน และข้อมูลบัญชี LMS ที่บันทึกว่านักศึกษาเข้าเรียนวิชาใดบ้าง

นอกจากข้อมูลของนักเรียนโดยตรง เว็บไซต์สถานศึกษายังมักเก็บข้อมูลของผู้ปกครองหรือผู้ดูแล เช่น ชื่อ เบอร์โทร และความสัมพันธ์กับนักเรียน ข้อมูลสองชุดนี้ต้องถูกจัดการแยกกันอย่างเหมาะสม เพราะผู้ปกครองและนักเรียนอาจมีสิทธิและบทบาทต่างกันเมื่อพูดถึงการให้ความยินยอมหรือขอเข้าถึงข้อมูล

ความเสี่ยงเฉพาะของภาคการศึกษา: ข้อมูลผู้เยาว์และผู้ปกครอง

ข้อมูลของผู้เยาว์จัดอยู่ในกลุ่มที่ต้องดูแลอย่างระมัดระวังเป็นพิเศษ เพราะเด็กและเยาวชนอาจไม่สามารถตัดสินใจให้ความยินยอมด้วยตัวเองได้ตามกฎหมาย เว็บไซต์ที่เก็บข้อมูลนักเรียนอายุน้อยจึงควรออกแบบฟอร์มให้ผู้ปกครองหรือผู้มีอำนาจตามกฎหมายเป็นผู้ให้ความยินยอมแทน และมีช่องทางให้ผู้ปกครองตรวจสอบหรือขอแก้ไขข้อมูลบุตรหลานได้ในภายหลัง

สำหรับมหาวิทยาลัยที่นักศึกษาส่วนใหญ่บรรลุนิติภาวะแล้ว ความยินยอมสามารถขอจากนักศึกษาโดยตรงได้ แต่ควรระวังกรณีข้อมูลทางการเงินที่เชื่อมโยงกับผู้ปกครอง เช่น การขอทุนที่ต้องใช้ข้อมูลรายได้ครอบครัว ซึ่งถือเป็นข้อมูลของบุคคลอื่นที่ต้องพิจารณาความเหมาะสมในการเก็บและใช้เพิ่มเติม

Cookie และ Tracking บนเว็บไซต์รับสมัครและ LMS

เว็บไซต์รับสมัครมักติด Pixel โฆษณาเพื่อวัดผลแคมเปญประชาสัมพันธ์หลักสูตร และ Analytics เพื่อดูว่าหน้าใดมีคนสนใจมากที่สุด จุดที่ต้องระวังคือ Script เหล่านี้ไม่ควรทำงานก่อนผู้ใช้ให้ความยินยอม โดยเฉพาะบนหน้าฟอร์มที่ผู้ปกครองกำลังกรอกข้อมูลบุตรหลาน เพราะเป็นข้อมูลที่มีความอ่อนไหวสูงกว่าเว็บไซต์ทั่วไป

ส่วนระบบ LMS ที่ใช้สำหรับการเรียนออนไลน์ มักมี Cookie หรือ Local Storage ที่บันทึกความคืบหน้าการเรียนของนักเรียน ซึ่งจัดเป็น Functional Cookie ที่จำเป็นต่อการใช้งานจริง แต่หากระบบ LMS มีการส่งข้อมูลพฤติกรรมการเรียนไปยัง Vendor ภายนอกเพื่อวิเคราะห์ผล ควรแจ้งวัตถุประสงค์นี้ไว้ใน Privacy Policy ให้ชัดเจนแยกจากการใช้งานพื้นฐาน

Privacy Policy และการขอความยินยอมจากผู้ปกครองหรือผู้เยาว์

Privacy Policy ของสถานศึกษาควรระบุให้ชัดว่าใครเป็นผู้ควบคุมข้อมูล เก็บข้อมูลอะไรบ้างจากนักเรียนและผู้ปกครอง ใช้เพื่อวัตถุประสงค์ใด เช่น พิจารณาการรับสมัคร ติดต่อกรณีฉุกเฉิน หรือจัดการเรียนการสอน ส่งต่อข้อมูลให้ใครบ้าง เช่น หน่วยงานประกันภัยของโรงเรียนหรือผู้ให้บริการ LMS และเก็บนานเท่าใดหลังจากนักเรียนจบการศึกษาไปแล้ว

ฟอร์มที่ขอความยินยอมควรเขียนด้วยภาษาที่ผู้ปกครองอ่านแล้วเข้าใจง่าย ไม่ใช่ศัพท์กฎหมายล้วน และควรแยกความยินยอมสำหรับวัตถุประสงค์ที่ต่างกันออกจากกัน เช่น ความยินยอมให้ใช้รูปภาพบุตรหลานในสื่อประชาสัมพันธ์ของโรงเรียน ควรเป็นคนละช่องกับความยินยอมในการเก็บข้อมูลเพื่อพิจารณารับสมัคร เพราะผู้ปกครองอาจยินยอมเรื่องหนึ่งแต่ไม่ยินยอมอีกเรื่องหนึ่งก็ได้

สถานการณ์ที่พบบ่อยเมื่อทีมต่าง ๆ ในสถานศึกษาไม่สื่อสารกัน

ฝ่ายประชาสัมพันธ์เพิ่มแคมเปญโฆษณาบนโซเชียลมีเดียเพื่อดึงผู้ปกครองเข้าฟอร์มรับสมัคร โดยไม่รู้ว่าฝ่ายไอทีเพิ่งเปลี่ยนปลั๊กอินฟอร์มใหม่ ผลคือ Pixel ที่เคยตั้งค่าให้รอ Consent อาจถูกรีเซ็ตกลับไปทำงานทันทีตั้งแต่โหลดหน้าแรก เพราะปลั๊กอินใหม่มาพร้อม Script เริ่มต้นของตัวเอง เหตุการณ์แบบนี้เกิดขึ้นซ้ำ ๆ ทุกช่วงเปิดรับสมัคร เนื่องจากทั้งสองทีมทำงานเร่งด่วนคนละช่วงเวลาโดยไม่มีการแจ้งเตือนกัน

อีกสถานการณ์ที่พบบ่อยคือครูประจำวิชาอัปโหลดไฟล์รายชื่อนักเรียนพร้อมเกรดขึ้นเว็บไซต์สาธารณะของโรงเรียนเพื่อประกาศผล โดยไม่รู้ว่าหน้าดังกล่าวไม่มีการป้องกันการเข้าถึง ทำให้ข้อมูลผลการเรียนของนักเรียนทั้งชั้นเปิดเผยต่อสาธารณะโดยไม่ตั้งใจ ทีมไอทีจึงควรมีแนวทางที่ชัดเจนว่าไฟล์ประเภทใดเผยแพร่ได้ ไฟล์ประเภทใดต้องใส่รหัสผ่านหรือเผยแพร่เฉพาะกลุ่มที่เกี่ยวข้องเท่านั้น

การตรวจสอบเบื้องต้นด้วยเครื่องมืออัตโนมัติทำอะไรได้บ้าง

เครื่องมือสแกนเว็บไซต์อัตโนมัติช่วยตรวจสอบสิ่งที่มองเห็นได้จากภายนอก เช่น การมี Cookie Banner, ตัวเลือก Accept/Reject, Script ที่ทำงานก่อนหรือหลัง Consent และการมีลิงก์ไปยัง Privacy Policy หรือไม่ สิ่งเหล่านี้ช่วยให้ทีมเห็นภาพรวมของหน้าเว็บไซต์สาธารณะได้เร็วขึ้น แต่ผลสแกนไม่ใช่การตรวจสอบเชิงกฎหมายและไม่สามารถมองเห็นกระบวนการหลังบ้าน เช่น สิทธิ์การเข้าถึงระบบ LMS ภายใน หรือสัญญากับ Vendor ที่ให้บริการรับสมัคร

ผลสแกนที่แสดงว่าเว็บไซต์ผ่านการตรวจเบื้องต้นในบางจุด ไม่ได้แปลว่าสถานศึกษาดำเนินการถูกต้องตามกฎหมายครบทุกด้าน ทีมควรใช้ผลสแกนเพื่อจัดลำดับความสำคัญของสิ่งที่ต้องแก้ก่อน แล้วให้ผู้เชี่ยวชาญตรวจส่วนที่เครื่องมืออัตโนมัติมองไม่เห็น โดยเฉพาะกระบวนการที่เกี่ยวข้องกับข้อมูลผู้เยาว์ซึ่งมีความอ่อนไหวสูงกว่าปกติ

บทบาทของทีมไอทีและทีมรับสมัครในการดูแล PDPA ต่อเนื่อง

การดูแล PDPA ของเว็บไซต์สถานศึกษาไม่ใช่งานที่ทำครั้งเดียวจบ เพราะทุกปีการศึกษามักมีการเพิ่มฟอร์มใหม่ เปลี่ยนระบบ LMS หรือปรับแคมเปญประชาสัมพันธ์ ทีมไอทีควรเป็นผู้ดูแล Script และ Cookie ในเชิงเทคนิค ขณะที่ฝ่ายรับสมัครควรเป็นผู้ดูแลว่าข้อมูลที่เก็บจริงตรงกับที่เขียนไว้ใน Privacy Policy หรือไม่ ทั้งสองทีมควรมีช่องทางสื่อสารกันทุกครั้งที่มีการเปลี่ยนแปลงเว็บไซต์ ไม่ใช่ต่างคนต่างทำงาน

สถานศึกษาที่มีหลายวิทยาเขตหรือหลายเว็บไซต์ย่อย เช่น เว็บไซต์รับสมัคร เว็บไซต์หลัก และเว็บไซต์ศิษย์เก่า ควรกำหนด Owner ที่รับผิดชอบแต่ละเว็บไซต์อย่างชัดเจน เพื่อไม่ให้เกิดช่องว่างที่ไม่มีใครดูแล Consent และ Privacy Policy ของเว็บไซต์ใดเว็บไซต์หนึ่งไปโดยไม่รู้ตัว

คำถามที่พบบ่อย

โรงเรียนต้องขอความยินยอมจากผู้ปกครองทุกครั้งที่เก็บข้อมูลนักเรียนหรือไม่

ขึ้นกับวัตถุประสงค์และฐานทางกฎหมายที่ใช้ในแต่ละกรณี ข้อมูลบางส่วนอาจเก็บได้ตามความจำเป็นในการดำเนินการของสถานศึกษาโดยไม่ต้องขอความยินยอมทุกครั้ง แต่กรณีที่ไม่แน่ใจ เช่น การใช้รูปภาพนักเรียนเพื่อประชาสัมพันธ์ ควรขอความยินยอมจากผู้ปกครองอย่างชัดเจนและแยกจากวัตถุประสงค์อื่น

เว็บไซต์ LMS ที่ใช้ระบบของ Vendor ต่างประเทศต้องระวังอะไรเพิ่ม

ควรตรวจว่า Vendor มีมาตรการดูแลข้อมูลที่เหมาะสมและระบุไว้ใน Privacy Policy ว่าข้อมูลนักเรียนอาจถูกประมวลผลนอกประเทศ กรณีนี้มีความซับซ้อนด้านกฎหมายเพิ่มเติม ควรให้ผู้เชี่ยวชาญด้านกฎหมายตรวจสอบก่อนเปิดใช้งานจริง

ต้องแยก Privacy Policy สำหรับเว็บไซต์รับสมัครกับเว็บไซต์หลักของโรงเรียนหรือไม่

ไม่จำเป็นต้องแยกเป็นสองฉบับเสมอไป แต่ Privacy Policy ต้องครอบคลุมกิจกรรมทั้งหมดที่เกิดขึ้นจริงบนทุกเว็บไซต์ในเครือ หากใช้ฉบับเดียวกัน ต้องตรวจสอบว่าเนื้อหาครบถ้วนสำหรับทุกจุดที่เก็บข้อมูล ไม่ใช่ครอบคลุมเฉพาะเว็บไซต์หลัก

เช็กลิสต์ปฏิบัติ

• ทำ Data Inventory ของฟอร์มรับสมัคร ระบบ LMS และเว็บไซต์ย่อยทั้งหมด
• แยกช่องความยินยอมสำหรับวัตถุประสงค์ที่ต่างกัน เช่น รับสมัคร กับ ใช้รูปภาพประชาสัมพันธ์
• ออกแบบฟอร์มให้ผู้ปกครองเป็นผู้ให้ความยินยอมสำหรับข้อมูลนักเรียนอายุน้อย
• ตรวจว่า Pixel หรือ Analytics บนหน้าฟอร์มรับสมัครทำงานหลังได้รับความยินยอมเท่านั้น
• ปรับ Privacy Policy ให้ครอบคลุมทุกเว็บไซต์ในเครือและ Vendor ที่ใช้งานจริง
• กำหนด Owner รับผิดชอบแต่ละเว็บไซต์ย่อยของสถานศึกษา
• ทบทวน Data Inventory และ Privacy Policy ทุกต้นปีการศึกษา

ข้อผิดพลาดที่พบบ่อย

• เปิดฟอร์มรับสมัครใหม่ทุกปีโดยไม่อัปเดต Privacy Policy ให้ตรงกัน
• ผูกความยินยอมใช้รูปภาพนักเรียนไว้ในช่องเดียวกับความยินยอมรับสมัคร ทำให้ผู้ปกครองเลือกแยกไม่ได้
• ใช้ Privacy Policy ฉบับเดียวกับสถาบันอื่นโดยไม่ตรวจว่าตรงกับ Vendor และ Flow จริง
• ไม่มี Owner ดูแลเว็บไซต์ศิษย์เก่าที่ยังเก็บข้อมูลเก่าของนักเรียนที่จบไปแล้ว

สรุป

เว็บไซต์สถานศึกษามีความเสี่ยงเฉพาะตัวจากการเก็บข้อมูลผู้เยาว์และผู้ปกครองควบคู่กัน การดูแล PDPA ที่ยั่งยืนเริ่มจากสำรวจข้อมูลที่เก็บจริงในทุกเว็บไซต์ แยกความยินยอมตามวัตถุประสงค์ และให้ทีมไอทีกับฝ่ายรับสมัครสื่อสารกันทุกครั้งที่มีการเปลี่ยนแปลง ไม่ใช่ปล่อยให้เป็นงานของฝ่ายใดฝ่ายหนึ่งเพียงลำพัง ดูขั้นตอนปฏิบัติแบบเป็นลำดับได้ที่ วิธีวางระบบ PDPA สำหรับเว็บไซต์การศึกษาแบบเป็นขั้นตอน หรือดูภาพรวมของ Privacy Fundamentals ที่ หมวด Privacy Fundamentals

แหล่งข้อมูลอ้างอิง

• สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (PDPC)
• Google Consent Mode Documentation