ตัวอย่างและ Template PDPA สำหรับเว็บไซต์ สำหรับโรงเรียน มหาวิทยาลัย และธุรกิจการศึกษา

ฝ่ายทะเบียนของโรงเรียนแห่งหนึ่งได้รับมอบหมายให้เตรียมเอกสารขอความยินยอมผู้ปกครองแนบไปกับใบแจ้งเปิดเทอม แต่เมื่อค้นหาตัวอย่างจากอินเทอร์เน็ตกลับพบแต่ Privacy Policy ของเว็บไซต์อีคอมเมิร์ซที่เขียนถึงตะกร้าสินค้าและการจัดส่ง ไม่มีตัวอย่างที่พูดถึงข้อมูลนักเรียน ผู้ปกครอง หรือระบบทะเบียนเลย บทความนี้รวบรวมตัวอย่างโครงร่างเอกสารที่ใช้กับบริบทของสถานศึกษาโดยเฉพาะ เพื่อให้ทีมงานมีจุดเริ่มต้นที่ตรงกับงานจริงมากกว่าเทมเพลตทั่วไป

ตัวอย่างทั้งหมดในบทความนี้เป็นโครงร่างสำหรับปรับแก้ ไม่ใช่ข้อความสำเร็จรูปที่คัดลอกไปใช้ได้ทันที เพราะแต่ละสถานศึกษาเก็บข้อมูลไม่เหมือนกัน สถานศึกษาที่มีข้อมูลอ่อนไหวหรือโครงสร้างซับซ้อนควรให้ผู้เชี่ยวชาญด้านกฎหมายตรวจสอบก่อนเผยแพร่จริง

เอกสารที่เว็บไซต์สถานศึกษาควรเตรียมไว้

ก่อนลงรายละเอียดแต่ละตัวอย่าง ทีมงานควรรู้ก่อนว่าเว็บไซต์สถานศึกษาโดยทั่วไปต้องมีเอกสารกี่ประเภท เพื่อไม่ให้หลงคิดว่ามี Privacy Policy หน้าเดียวก็เพียงพอแล้ว ความเข้าใจผิดที่พบบ่อยคือคิดว่าเอกสารชุดเดียวที่ใช้กับเว็บไซต์หลักสามารถครอบคลุมทั้งระบบรับสมัคร LMS และกิจกรรมพิเศษได้ในตัว ทั้งที่แต่ละจุดมีวัตถุประสงค์การเก็บข้อมูลต่างกันและควรมีเอกสารกำกับแยกกันตามความเหมาะสม

• Privacy Notice สำหรับระบบรับสมัครหรือระบบทะเบียนนักเรียน อธิบายว่าเก็บข้อมูลอะไร เพื่ออะไร
• แบบฟอร์มขอความยินยอมผู้ปกครองสำหรับผู้เยาว์ แยกจากข้อความ Privacy Notice ทั่วไป
• Cookie Policy หรือส่วนอธิบายการใช้คุกกี้บนเว็บไซต์หลักและเว็บไซต์รับสมัคร
• แบบฟอร์มคำขอใช้สิทธิ สำหรับผู้ปกครองหรือนักเรียนที่ต้องการสอบถาม แก้ไข หรือขอให้ลบข้อมูล
• บันทึกเวอร์ชันเอกสาร ระบุวันที่ปรับปรุงล่าสุดของแต่ละเอกสารข้างต้น

ตัวอย่างข้อความ Privacy Notice สำหรับระบบรับสมัครนักเรียน

Privacy Notice ของระบบรับสมัครควรบอกผู้ปกครองตั้งแต่ต้นว่าเก็บข้อมูลอะไร ใช้เพื่ออะไร และติดต่อใครได้หากมีคำถาม ตัวอย่างโครงร่างด้านล่างเป็นจุดเริ่มต้นที่ต้องเติมรายละเอียดจริงของสถานศึกษาแต่ละแห่งลงไป

[ตัวอย่างโครงร่าง — ต้องปรับให้ตรงกับข้อมูลจริง] "ระบบรับสมัครของ [ชื่อสถานศึกษา] เก็บข้อมูลของนักเรียนและผู้ปกครองที่กรอกในใบสมัคร ได้แก่ ชื่อ-นามสกุล วันเดือนปีเกิด ข้อมูลติดต่อผู้ปกครอง และเอกสารยืนยันตัวตนที่แนบมา เพื่อใช้พิจารณาการรับสมัคร ติดต่อกลับเรื่องผลการคัดเลือก และจัดทำทะเบียนนักเรียนหากได้รับการตอบรับ ข้อมูลที่แนบเพื่อยืนยันตัวตนจะเข้าถึงได้เฉพาะเจ้าหน้าที่ฝ่ายทะเบียนที่เกี่ยวข้อง ผู้ปกครองสามารถสอบถามหรือขอแก้ไขข้อมูลได้ที่ [อีเมล/เบอร์ติดต่อฝ่ายทะเบียน]"

ส่วนที่ต้องเติมเองคือชื่อสถานศึกษา รายการข้อมูลที่เก็บจริง ช่องทางติดต่อ และรายละเอียดว่าข้อมูลถูกส่งต่อให้บุคคลภายนอกหรือไม่ เช่น ผู้ให้บริการระบบรับสมัครที่เป็นบุคคลภายนอก หากมีการส่งต่อควรระบุไว้ในส่วนนี้ด้วย ไม่ควรเขียนแบบกว้าง ๆ ว่า "อาจส่งข้อมูลให้บุคคลที่สาม" โดยไม่บอกว่าเป็นใครและเพื่ออะไร

ตัวอย่างแบบฟอร์มขอความยินยอมผู้ปกครองสำหรับผู้เยาว์

เพราะนักเรียนส่วนใหญ่ยังเป็นผู้เยาว์ แบบฟอร์มขอความยินยอมจึงควรแยกช่องยินยอมตามวัตถุประสงค์ ไม่ใช่ให้ติ๊กยอมรับทุกอย่างในช่องเดียว

[ตัวอย่างโครงร่าง] "ข้าพเจ้า [ชื่อผู้ปกครอง/ผู้ใช้อำนาจปกครอง] ในฐานะผู้ปกครองของ [ชื่อนักเรียน] รับทราบว่า [ชื่อสถานศึกษา] จะเก็บและใช้ข้อมูลของบุตรหลานตามที่ระบุใน Privacy Notice ข้างต้น และให้ความยินยอมดังนี้ — ยินยอมให้ใช้ข้อมูลเพื่อพิจารณาการรับสมัคร (จำเป็น) — ยินยอมให้ติดต่อผ่านอีเมล/SMS เพื่อแจ้งข่าวสารหลักสูตรเพิ่มเติม (เลือกได้) — ยินยอมให้ใช้ภาพถ่ายกิจกรรมของนักเรียนเพื่อประชาสัมพันธ์สถานศึกษา (เลือกได้)"

การแยกช่องยินยอมแบบนี้ทำให้ผู้ปกครองเลือกได้ว่าจะยินยอมส่วนไหนบ้าง และทำให้สถานศึกษามีหลักฐานชัดเจนว่าผู้ปกครองยินยอมเรื่องใดจริง หากผู้ปกครองปฏิเสธช่องที่ไม่จำเป็น เช่น การใช้ภาพถ่ายเพื่อประชาสัมพันธ์ ระบบควรยังคงดำเนินการรับสมัครต่อได้ตามปกติ ไม่ควรผูกช่องยินยอมที่ไม่จำเป็นเข้ากับการดำเนินการหลัก

ตัวอย่างการจัดหมวดคุกกี้บนเว็บไซต์สถานศึกษา

เว็บไซต์รับสมัครและเว็บไซต์หลักของสถานศึกษามักมีคุกกี้และสคริปต์ติดตามหลายประเภท ตารางด้านล่างเป็นตัวอย่างการจัดหมวดที่ทีมไอทีนำไปปรับตามสคริปต์ที่ติดตั้งจริงบนเว็บไซต์ของตัวเอง

ก่อนเผยแพร่ตารางนี้บนเว็บไซต์จริง ทีมไอทีควรเปิดเครื่องมือตรวจสอบเครือข่ายของเบราว์เซอร์เพื่อไล่ดูว่ามีสคริปต์ตัวใดที่ยิง Request ออกไปแต่ไม่ปรากฏอยู่ในตารางเลย เพราะสคริปต์ที่ตกหล่นจากตารางมักเป็นตัวที่ฝ่ายการตลาดติดเพิ่มภายหลังโดยไม่แจ้งทีมไอที

ตัวอย่างข้อความแจ้งเตือนสำหรับกิจกรรมที่มีการบันทึกภาพหรือวิดีโอ

สถานศึกษาหลายแห่งถ่ายภาพหรือบันทึกวิดีโอกิจกรรมนักเรียนเพื่อใช้ประชาสัมพันธ์บนเว็บไซต์และโซเชียลมีเดีย รวมถึงบันทึกการเรียนออนไลน์ผ่านระบบประชุมทางไกล กรณีเหล่านี้ควรมีข้อความแจ้งเตือนแยกต่างหากจาก Privacy Notice หลัก เพราะเป็นการเก็บข้อมูลที่มองเห็นและรับรู้ได้ทันทีของนักเรียนและผู้ปกครองที่มาร่วมงาน

[ตัวอย่างโครงร่าง] "กิจกรรมนี้มีการถ่ายภาพและบันทึกวิดีโอเพื่อใช้ประชาสัมพันธ์ [ชื่อสถานศึกษา] ผ่านเว็บไซต์และช่องทางโซเชียลมีเดียของสถานศึกษา ผู้ปกครองที่ไม่ประสงค์ให้บุตรหลานปรากฏในภาพหรือวิดีโอที่เผยแพร่สามารถแจ้งครูประจำชั้นหรือฝ่ายประชาสัมพันธ์ได้ล่วงหน้าก่อนวันจัดกิจกรรม"

สำหรับการเรียนออนไลน์ผ่านระบบประชุมทางไกล ควรแจ้งนักเรียนและผู้ปกครองตั้งแต่ต้นภาคเรียนว่าการเรียนจะถูกบันทึกไว้หรือไม่ ใครเข้าถึงไฟล์บันทึกได้ และเก็บไว้นานเท่าใด แทนที่จะแจ้งเฉพาะปากเปล่าตอนเริ่มคาบเรียนซึ่งอาจตกหล่นได้ง่าย

ตัวอย่างแบบฟอร์มคำขอใช้สิทธิของผู้ปกครองหรือนักเรียน

สถานศึกษาควรมีช่องทางให้ผู้ปกครองหรือนักเรียนที่บรรลุนิติภาวะแล้วยื่นคำขอเกี่ยวกับข้อมูลของตนเองได้ โดยไม่ต้องผ่านขั้นตอนที่ซับซ้อน

[ตัวอย่างโครงร่าง] "แบบฟอร์มคำขอใช้สิทธิเกี่ยวกับข้อมูลส่วนบุคคล — ชื่อผู้ยื่นคำขอ / ความสัมพันธ์กับนักเรียน (ผู้ปกครอง/นักเรียน) / ประเภทคำขอ (ขอสำเนาข้อมูล, ขอแก้ไขข้อมูล, ขอให้ลบข้อมูล, ขอถอนความยินยอม) / รายละเอียดคำขอ / ช่องทางติดต่อกลับ — ส่งมาที่ [อีเมลฝ่ายทะเบียน] ทางสถานศึกษาจะตอบกลับภายในระยะเวลาที่แจ้งไว้ในนโยบายภายใน"

สถานศึกษาไม่ควรระบุระยะเวลาตอบกลับที่แต่งขึ้นเองโดยไม่มีนโยบายภายในรองรับ และไม่ควรเขียนว่าคำขอทุกประเภทจะได้รับการอนุมัติเสมอ เพราะบางคำขอ เช่น การลบข้อมูลที่ยังจำเป็นต้องใช้เพื่อวัตถุประสงค์ทางการศึกษาที่ดำเนินอยู่ อาจไม่สามารถทำได้ทันทีและต้องพิจารณาเป็นกรณีไป

วิธีปรับ Template เหล่านี้ให้ตรงกับสถานศึกษาของตัวเอง

1. เริ่มจากสำรวจข้อมูลที่เว็บไซต์แต่ละจุดเก็บจริง แล้วนำมาแทนที่ส่วนที่เป็นวงเล็บในตัวอย่างข้างต้น
2. ตรวจสอบว่ามีการส่งข้อมูลให้บุคคลภายนอกหรือไม่ เช่น ผู้ให้บริการระบบรับสมัคร ผู้ให้บริการอีเมล หรือแพลตฟอร์มโฆษณา แล้วระบุไว้ใน Privacy Notice
3. ทดสอบแบบฟอร์มขอความยินยอมกับผู้ปกครองกลุ่มเล็กก่อนใช้งานจริง เพื่อดูว่าภาษาที่ใช้เข้าใจง่ายหรือไม่
4. ปรับตารางคุกกี้ให้ตรงกับสคริปต์ที่ติดตั้งจริงบนเว็บไซต์ ไม่ใช่คัดลอกตัวอย่างไปทั้งหมด
5. กำหนดระยะเวลาตอบกลับคำขอใช้สิทธิที่สถานศึกษาสามารถทำได้จริง แล้วระบุไว้ในนโยบายภายในก่อนเผยแพร่บนเว็บไซต์
6. ให้ผู้เชี่ยวชาญด้านกฎหมายตรวจสอบเอกสารทั้งหมดก่อนเผยแพร่ โดยเฉพาะส่วนที่เกี่ยวข้องกับข้อมูลผู้เยาว์และข้อมูลสุขภาพ

เมื่อปรับ Template เสร็จแล้ว ทีมงานควรอ่านควบคู่กับ แนวทางจัดการ PDPA สำหรับเว็บไซต์การศึกษา เพื่อให้แน่ใจว่าเอกสารที่เขียนสอดคล้องกับภาพรวมของระบบ และใช้ เช็กลิสต์ตรวจสอบเว็บไซต์สถานศึกษา ไล่ตรวจก่อนเผยแพร่จริง

เช็กลิสต์ปฏิบัติ

• แทนที่ข้อความในวงเล็บของทุกตัวอย่างด้วยข้อมูลจริงของสถานศึกษาก่อนใช้งาน
• ระบุชื่อผู้ให้บริการภายนอกที่เข้าถึงข้อมูลนักเรียนหรือผู้ปกครองไว้ใน Privacy Notice
• แยกช่องยินยอมตามวัตถุประสงค์ในแบบฟอร์มขอความยินยอมผู้ปกครอง
• ปรับตารางคุกกี้ให้ตรงกับสคริปต์ที่ติดตั้งจริง ไม่ใช้ตัวอย่างแบบคัดลอกทั้งหมด
• กำหนดระยะเวลาตอบกลับคำขอใช้สิทธิที่ทำได้จริงและระบุไว้ในนโยบายภายใน
• ให้ผู้เชี่ยวชาญด้านกฎหมายตรวจสอบก่อนเผยแพร่ โดยเฉพาะส่วนข้อมูลผู้เยาว์และข้อมูลสุขภาพ

ข้อผิดพลาดที่พบบ่อยเมื่อใช้ Template แบบไม่ปรับแก้

• คัดลอก Privacy Notice ของเว็บไซต์อีคอมเมิร์ซหรือธุรกิจทั่วไปมาใช้ทั้งหมดโดยไม่ปรับให้พูดถึงข้อมูลนักเรียนและผู้ปกครอง
• ปล่อยข้อความในวงเล็บ เช่น [ชื่อสถานศึกษา] หรือ [อีเมลฝ่ายทะเบียน] ไว้ในเอกสารที่เผยแพร่จริงโดยลืมแทนที่
• ให้ช่องยินยอมเดียวครอบคลุมทั้งการรับสมัครและการรับข่าวสารการตลาด ทำให้ผู้ปกครองเลือกปฏิเสธเฉพาะส่วนที่ไม่จำเป็นไม่ได้
• ใช้ตารางคุกกี้ตัวอย่างทั้งหมดโดยไม่ตรวจสอบว่าเว็บไซต์จริงติดตั้งสคริปต์ตรงตามนั้นหรือไม่
• ระบุระยะเวลาตอบกลับคำขอใช้สิทธิที่สั้นเกินกว่าที่ทีมงานจริงจะทำได้ ทำให้ผิดสัญญาที่ให้ไว้กับผู้ปกครอง

สรุป

Template และตัวอย่างในบทความนี้เป็นจุดเริ่มต้นสำหรับสถานศึกษาที่ยังไม่มีเอกสาร PDPA เฉพาะทางของตัวเอง ไม่ใช่ข้อความสำเร็จรูปที่ใช้ได้ทันทีโดยไม่ปรับแก้ ทีมงานควรแทนที่ทุกส่วนที่เป็นตัวอย่างด้วยข้อมูลจริง ตรวจสอบว่าข้อมูลถูกส่งต่อให้ใครบ้าง และให้ผู้เชี่ยวชาญตรวจสอบก่อนเผยแพร่ โดยเฉพาะเมื่อเอกสารเกี่ยวข้องกับข้อมูลผู้เยาว์และข้อมูลสุขภาพของนักเรียน

แหล่งข้อมูลอ้างอิง

• สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (PDPC)