10 ข้อผิดพลาดด้าน PDPA ที่เว็บไซต์ SME มักพลาดโดยไม่รู้ตัว

ร้านค้าออนไลน์แห่งหนึ่งถูกลูกค้าทักไลน์มาถามว่าเบอร์โทรและที่อยู่ที่กรอกไว้ตอนสั่งซื้อ ทำไมจู่ ๆ มีคนอื่นโทรมาขายประกันได้ เจ้าของร้านตรวจสอบย้อนกลับพบว่าไฟล์ Excel รายชื่อลูกค้าเคยถูกส่งต่อในกลุ่มไลน์ของทีมแอดมิน ซึ่งมีอดีตพนักงานที่ลาออกไปแล้วยังค้างอยู่ในกลุ่มโดยไม่มีใครลบออก

เหตุการณ์แบบนี้เกิดซ้ำกับเว็บไซต์ธุรกิจขนาดเล็กจำนวนมาก เพราะเว็บไซต์ SME ส่วนใหญ่ถูกสร้างโดยฟรีแลนซ์หรือทีมการตลาดขนาดเล็กที่ไม่มีใครรับผิดชอบเรื่องข้อมูลส่วนบุคคลโดยตรง บทความนี้รวมข้อผิดพลาดที่พบบ่อยของเว็บไซต์ SME จริง แยกตามจุดที่มักเกิดปัญหา พร้อมแนวทางแก้ไขที่ลงมือทำได้แม้ไม่มีทีมกฎหมายประจำ

ทำไมเว็บไซต์ SME ถึงมีความเสี่ยงคนละแบบกับองค์กรใหญ่

องค์กรใหญ่มักมีทีม IT, ทีมกฎหมาย และงบประมาณสำหรับตรวจสอบระบบเป็นประจำ ขณะที่ธุรกิจ SME ส่วนใหญ่เจ้าของกิจการทำหน้าที่หลายอย่างพร้อมกัน ตั้งแต่การตลาด ขาย บัญชี ไปจนถึงดูแลเว็บไซต์ เมื่อไม่มีใครมีเวลาตรวจสอบเรื่องข้อมูลส่วนบุคคลโดยเฉพาะ ความเสี่ยงจึงไม่ได้อยู่ที่ความตั้งใจทำผิด แต่อยู่ที่การไม่รู้ว่าเว็บไซต์ของตัวเองเก็บข้อมูลอะไรบ้างและส่งต่อข้อมูลนั้นไปที่ไหน

เว็บไซต์ SME จำนวนมากสร้างจากเทมเพลตสำเร็จรูปหรือแพลตฟอร์มสร้างเว็บแบบลากวาง ซึ่งมาพร้อมปลั๊กอินแชท ปุ่มแชร์โซเชียล และโค้ดติดตามผลจากหลายผู้ให้บริการโดยที่เจ้าของเว็บไซต์ไม่ได้เป็นคนติดตั้งเองและไม่รู้ว่ามันทำงานอย่างไร นี่คือจุดเริ่มต้นของข้อผิดพลาดส่วนใหญ่ที่จะกล่าวถึงต่อไป

จุดพลาดตั้งแต่ขั้นตอนสร้างเว็บไซต์และเลือกแพลตฟอร์ม

ใช้ Privacy Policy ที่ก็อปมาจากเว็บอื่นโดยไม่แก้ไข

เจ้าของร้านหลายคนค้นหาตัวอย่าง Privacy Policy จากเว็บไซต์คู่แข่งหรือเว็บไซต์ต่างประเทศ แล้วนำมาวางทั้งดุ้นเพียงเปลี่ยนชื่อบริษัท ปัญหาคือเนื้อหาที่ก็อปมาอาจพูดถึงการเก็บข้อมูลที่เว็บไซต์ตัวเองไม่ได้เก็บจริง เช่น ระบบสมาชิกที่ไม่มี หรือไม่ได้พูดถึงการใช้ปลั๊กอินแชทและระบบชำระเงินที่เว็บไซต์ตัวเองใช้อยู่จริง เมื่อ Privacy Policy ไม่ตรงกับสิ่งที่เว็บไซต์ทำจริง เอกสารนั้นแทบไม่มีประโยชน์ในการสื่อสารกับลูกค้า

มอบทั้งเว็บไซต์ให้ฟรีแลนซ์ดูแลโดยไม่มีใครเป็นเจ้าของเรื่อง

ธุรกิจขนาดเล็กมักจ้างฟรีแลนซ์หรือเอเจนซี่ทำเว็บไซต์ครั้งเดียวแล้วปล่อยผ่าน เมื่อฟรีแลนซ์เพิ่มปลั๊กอินใหม่หรือเปลี่ยนธีมในภายหลัง แทบไม่มีใครในบริษัทตรวจสอบว่ามีสคริปต์ติดตามผลตัวใหม่ถูกเพิ่มเข้ามาหรือไม่ เพราะไม่มีใครในทีมได้รับมอบหมายให้เป็นเจ้าของเรื่องนี้อย่างชัดเจน

ไม่รู้ว่าระบบหลังบ้าน เช่น ระบบจองคิวหรือระบบตะกร้าสินค้า เก็บข้อมูลอะไรบ้าง

หลายเว็บไซต์ใช้ปลั๊กอินสำเร็จรูปสำหรับจองคิวหรือระบบตะกร้าสินค้าจากผู้ให้บริการภายนอก ข้อมูลลูกค้าที่กรอกอาจถูกส่งไปเก็บที่เซิร์ฟเวอร์ของผู้ให้บริการปลั๊กอินโดยตรง ไม่ใช่แค่เก็บในเว็บไซต์ของตัวเอง หากเจ้าของธุรกิจไม่เคยอ่านเงื่อนไขการใช้งานของปลั๊กอินเหล่านี้ จะไม่รู้เลยว่าข้อมูลลูกค้าถูกส่งต่อไปที่ใดบ้าง

จุดพลาดเรื่อง Cookie, Pixel และสคริปต์ติดตามผล

Facebook Pixel และ Google Analytics ทำงานก่อนผู้ใช้กดยินยอม

ปัญหาที่พบบ่อยที่สุดในเว็บไซต์ SME ที่ทำโฆษณาออนไลน์คือติดตั้ง Facebook Pixel หรือ Google Analytics ไว้ในโค้ดหน้าเว็บโดยตรง แล้วสคริปต์เหล่านี้เริ่มยิงข้อมูลพฤติกรรมผู้ใช้ทันทีที่หน้าเว็บโหลดเสร็จ ก่อนที่ผู้ใช้จะเห็นแบนเนอร์คุกกี้ด้วยซ้ำ การมีแบนเนอร์คุกกี้อยู่บนหน้าเว็บไม่ได้แปลว่าสคริปต์เหล่านี้ถูกควบคุมด้วยความยินยอมจริง ต้องตรวจสอบว่าสคริปต์ถูกบล็อกไว้ก่อนผู้ใช้กดยอมรับหรือไม่

ปุ่ม Reject All มีแต่ไม่ทำงานจริง

เว็บไซต์บางแห่งติดตั้งแบนเนอร์คุกกี้ที่ดูครบทั้งปุ่ม Accept และ Reject แต่เมื่อกด Reject แล้วเปิด Network tab ตรวจสอบกลับพบว่าสคริปต์โฆษณายังคงส่งข้อมูลออกไปเหมือนเดิม เพราะปุ่ม Reject ถูกตั้งค่าให้แค่ซ่อนแบนเนอร์ ไม่ได้เชื่อมกับการหยุดทำงานของสคริปต์จริง ๆ

ปลั๊กอินแชทสดและแชทบอทเก็บบทสนทนาโดยไม่มีใครรู้ขอบเขต

ปลั๊กอินแชทที่ติดตั้งฟรีจากผู้ให้บริการภายนอกมักเก็บบทสนทนา หมายเลขโทรศัพท์ และบางครั้งภาพที่ลูกค้าส่งมาไว้บนเซิร์ฟเวอร์ของผู้ให้บริการ เจ้าของธุรกิจจำนวนมากไม่เคยตรวจสอบว่าข้อมูลเหล่านี้ถูกเก็บไว้นานเท่าไร ใครในทีมเข้าถึงได้บ้าง และมีการส่งต่อไปยังบุคคลที่สามหรือไม่

จุดพลาดเรื่องแบบฟอร์มและการจัดการข้อมูลลูกค้า

เก็บข้อมูลเกินความจำเป็นในแบบฟอร์มสั่งซื้อหรือสมัครสมาชิก

แบบฟอร์มสั่งซื้อของเว็บไซต์ SME หลายแห่งขอข้อมูลเกินกว่าที่จำเป็นต่อการจัดส่งสินค้าจริง เช่น ขอวันเกิด เพศ หรืออาชีพ โดยไม่มีเหตุผลใช้งานชัดเจน เมื่อถูกถามว่าเก็บข้อมูลเหล่านี้ไปทำไม เจ้าของร้านมักตอบว่า "เผื่อได้ใช้ในอนาคต" ซึ่งเป็นเหตุผลที่อธิบายวัตถุประสงค์การเก็บข้อมูลให้ลูกค้าเข้าใจได้ยาก

ส่งไฟล์รายชื่อลูกค้าผ่านไลน์กลุ่มหรืออีเมลส่วนตัว

ทีมแอดมินหลายร้านทำงานผ่านกลุ่มไลน์เดียวกันทั้งหมด เมื่อมีออเดอร์ใหม่ก็ส่งภาพหน้าจอหรือไฟล์ Excel รายชื่อ ที่อยู่ และเบอร์โทรลูกค้าลงในกลุ่มโดยตรง หากมีคนออกจากทีมไปแล้วแต่ยังไม่ถูกลบออกจากกลุ่ม หรือมีคนแชร์สกรีนช็อตต่อโดยไม่ตั้งใจ ข้อมูลลูกค้าจะหลุดออกไปนอกทีมโดยไม่มีใครรู้ตัว

ไม่มีที่เก็บข้อมูลกลาง ทำให้ตอบคำขอลบหรือแก้ไขข้อมูลไม่ได้

เมื่อข้อมูลลูกค้ากระจัดกระจายอยู่ในหลายที่ ทั้งใน Excel เครื่องคอมพิวเตอร์ส่วนตัว แชทไลน์ และระบบตะกร้าสินค้า หากลูกค้าขอให้ลบข้อมูลของตนออก เจ้าของธุรกิจจะตอบคำขอได้ยากมาก เพราะไม่รู้ว่าข้อมูลของลูกค้าคนนั้นกระจายอยู่ที่ใดบ้าง

จุดพลาดเรื่องคน กระบวนการ และการรับมือเหตุการณ์

ไม่มีใครเป็นเจ้าของเรื่องข้อมูลส่วนบุคคลในทีม

ธุรกิจขนาดเล็กจำนวนมากไม่เคยกำหนดว่าใครในทีมรับผิดชอบเรื่องข้อมูลส่วนบุคคล เมื่อลูกค้าส่งข้อความมาถามเรื่องการใช้ข้อมูลหรือขอให้ลบข้อมูล คำถามมักถูกส่งต่อไปมาระหว่างแอดมินหลายคนโดยไม่มีใครตอบอย่างจริงจัง เพราะไม่มีใครถูกมอบหมายให้ดูแลเรื่องนี้อย่างเป็นทางการ

ไม่มีแผนตอบสนองเมื่อเกิดเหตุข้อมูลรั่วไหลหรือถูกร้องเรียน

เมื่อเกิดเหตุการณ์ เช่น ไฟล์ลูกค้าหลุดหรือมีลูกค้าร้องเรียนเรื่องการใช้ข้อมูล ธุรกิจที่ไม่เคยเตรียมแผนไว้ล่วงหน้ามักตอบสนองช้าและสับสน เพราะไม่รู้ว่าควรแจ้งใครก่อน ควรเก็บหลักฐานอะไรไว้ และควรสื่อสารกับลูกค้าอย่างไร การไม่มีแผนล่วงหน้าทำให้ปัญหาเล็กกลายเป็นเรื่องใหญ่ในสายตาลูกค้า

ผลกระทบที่ธุรกิจ SME มักเจอเมื่อปล่อยข้อผิดพลาดไว้นาน

ผลกระทบที่พบบ่อยไม่ใช่เรื่องไกลตัวอย่างการถูกหน่วยงานตรวจสอบเพียงอย่างเดียว แต่เป็นเรื่องความไว้ใจของลูกค้าประจำที่ลดลงเมื่อพบว่าข้อมูลของตัวเองถูกใช้ในทางที่ไม่ได้ให้ความยินยอมไว้ ร้านที่เคยเจอเหตุการณ์ไฟล์ลูกค้าหลุดมักต้องเสียเวลาตอบคำถามลูกค้าทีละคน บางรายถึงขั้นยกเลิกการสั่งซื้อซ้ำเพราะไม่มั่นใจว่าข้อมูลจะปลอดภัยครั้งต่อไป

อีกผลกระทบที่มองข้ามบ่อยคือต้นทุนเวลาของทีมเอง เมื่อไม่มีระบบจัดเก็บข้อมูลที่ชัดเจน ทุกครั้งที่ต้องค้นหาว่าลูกค้ารายหนึ่งเคยสั่งอะไร ให้ข้อมูลอะไรไว้บ้าง ทีมแอดมินต้องไล่เปิดหลายไฟล์และหลายแชท ซึ่งเป็นภาระที่สะสมมากขึ้นเรื่อย ๆ ตามจำนวนลูกค้าที่เพิ่มขึ้น

ธุรกิจที่ต้องการเริ่มตรวจสอบตัวเองก่อนแก้ไขทีละจุด สามารถใช้เครื่องมือตรวจเบื้องต้นอย่าง การสแกนความพร้อมเว็บไซต์แบบไม่เสียค่าใช้จ่าย หรือ เครื่องมือตรวจสอบ PDPA เบื้องต้น เพื่อดูว่าเว็บไซต์ของตัวเองมีจุดใดที่ควรตรวจเพิ่มเติมก่อน แล้วค่อยไล่แก้ตามลำดับความเสี่ยงที่สูงที่สุดก่อน

การแก้ข้อผิดพลาดเหล่านี้ไม่จำเป็นต้องเริ่มจากศูนย์เสมอไป ธุรกิจที่ยังไม่เคยวางระบบเลยสามารถเริ่มจากขั้นตอนพื้นฐานตามแนวทางใน คู่มือ PDPA สำหรับเว็บไซต์ธุรกิจ SME ก่อน แล้วจึงใช้ เช็กลิสต์ตรวจสอบเว็บไซต์ SME ไล่ทีละจุดตามลำดับความเสี่ยงที่กล่าวถึงในบทความนี้

เช็กลิสต์ปฏิบัติ

• ทบทวน Privacy Policy ว่าตรงกับสิ่งที่เว็บไซต์เก็บและใช้งานจริงหรือไม่
• ตรวจสอบว่า Facebook Pixel และ Google Analytics ทำงานก่อนหรือหลังผู้ใช้กดยินยอม
• ทดสอบปุ่ม Reject All ว่าหยุดสคริปต์ติดตามผลได้จริงหรือแค่ซ่อนแบนเนอร์
• สำรวจแบบฟอร์มทุกแบบบนเว็บไซต์ว่าเก็บข้อมูลเกินความจำเป็นหรือไม่
• กำหนดผู้รับผิดชอบเรื่องข้อมูลส่วนบุคคลอย่างน้อยหนึ่งคนในทีม
• เลิกส่งไฟล์รายชื่อลูกค้าผ่านไลน์กลุ่มหรืออีเมลส่วนตัว
• ตรวจสอบสิทธิ์การเข้าถึงกลุ่มไลน์และไฟล์ที่มีข้อมูลลูกค้า ลบคนที่ไม่เกี่ยวข้องออก

ข้อผิดพลาดที่พบบ่อย

• ก็อปปี้ Privacy Policy จากเว็บอื่นโดยไม่ปรับให้ตรงกับสิ่งที่เว็บไซต์ตัวเองเก็บจริง
• ปล่อยให้ Facebook Pixel และ Google Analytics ทำงานก่อนผู้ใช้กดยินยอม
• ติดปุ่ม Reject All ที่ไม่ได้เชื่อมกับการหยุดสคริปต์จริง
• ไม่ตรวจสอบว่าปลั๊กอินแชทหรือระบบจองคิวส่งข้อมูลลูกค้าไปเก็บที่เซิร์ฟเวอร์ภายนอกหรือไม่
• เก็บข้อมูลในแบบฟอร์มเกินความจำเป็นโดยไม่มีเหตุผลการใช้งานชัดเจน
• ส่งไฟล์รายชื่อลูกค้าผ่านกลุ่มไลน์ที่มีคนไม่เกี่ยวข้องค้างอยู่
• ไม่มีใครในทีมได้รับมอบหมายให้ดูแลเรื่องข้อมูลส่วนบุคคลอย่างชัดเจน
• ไม่มีแผนรับมือเมื่อเกิดเหตุข้อมูลรั่วไหลหรือถูกลูกค้าร้องเรียน

สรุป

ข้อผิดพลาดด้าน PDPA ของเว็บไซต์ SME ส่วนใหญ่ไม่ได้เกิดจากความตั้งใจ แต่เกิดจากการไม่รู้ว่าเว็บไซต์ของตัวเองเก็บข้อมูลอะไรและส่งต่อไปที่ไหน การไล่ตรวจตั้งแต่ขั้นตอนสร้างเว็บไซต์ สคริปต์ติดตามผล แบบฟอร์ม ไปจนถึงกระบวนการภายในทีม ช่วยให้เห็นจุดเสี่ยงที่ต้องแก้ไขก่อน ธุรกิจที่มีข้อมูลลูกค้าจำนวนมากหรือข้อมูลอ่อนไหวควรให้ผู้เชี่ยวชาญตรวจสอบเพิ่มเติมนอกเหนือจากการสำรวจเบื้องต้นด้วยตนเอง

แหล่งข้อมูลอ้างอิง

• สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (PDPC)