วิธี Audit ข้อมูลส่วนบุคคลบนเว็บไซต์ ของเว็บไซต์ธุรกิจทั่วไปและ SME พร้อม Evidence ที่ควรเก็บ

บ่ายวันหนึ่งในห้องประชุมเล็ก ๆ ของร้านขายอุปกรณ์ตกแต่งบ้านออนไลน์แห่งหนึ่ง เจ้าของกิจการเปิดหน้าจอ Google Sheet ที่เคยจดรายการข้อมูลลูกค้าไว้เมื่อสองปีก่อน แล้วถามทีมงานสี่คนในห้องว่า "ตอนนี้เรายังเก็บข้อมูลอะไรของลูกค้าอยู่บ้าง" คำตอบที่ได้กลับมามีทั้งฟอร์มสั่งซื้อ ระบบแชทสด และคุกกี้จากแคมเปญโฆษณาที่เพิ่งเปิดใหม่ แต่ไม่มีใครตอบได้ครบทุกจุด และไม่มีใครแน่ใจว่าไฟล์ Sheet เดิมยังตรงกับความเป็นจริงหรือไม่

สถานการณ์แบบนี้เกิดขึ้นซ้ำในเว็บไซต์ SME จำนวนมาก เพราะเครื่องมือใหม่ถูกเพิ่มเข้าเว็บไซต์ทีละชิ้นโดยแต่ละแผนก ขณะที่การนั่งไล่ทบทวนข้อมูลทั้งหมดพร้อมกันแทบไม่เคยเกิดขึ้นเป็นประจำ บทความนี้พาไล่ Audit ข้อมูลส่วนบุคคลบนเว็บไซต์ทีละขั้นตอน พร้อมบอกว่าแต่ละขั้นควรเก็บหลักฐานอะไรไว้เป็นร่องรอยการตรวจสอบ

การ Audit ข้อมูลส่วนบุคคลบนเว็บไซต์ SME คือการไล่ตรวจทีละจุดว่าเว็บไซต์เก็บข้อมูลอะไรผ่านฟอร์ม คุกกี้ analytics และระบบหลังบ้าน ข้อมูลไหลไปหาผู้ให้บริการภายนอกรายใดบ้าง เก็บไว้นานเท่าไร และใครมีสิทธิ์เข้าถึง แต่ละขั้นตอนควรจบด้วยการเก็บหลักฐาน เช่น ผลสแกนคุกกี้ รายชื่อผู้ให้บริการ และบันทึกสิทธิ์การเข้าถึง เพื่อใช้เทียบผลในรอบถัดไป การ Audit ที่ดีจึงเป็นงานประจำ ไม่ใช่การตรวจครั้งเดียวแล้วจบ

ทำไม SME ถึงตอบไม่ได้ว่าเว็บไซต์เก็บข้อมูลอะไรบ้าง

ร้านค้าออนไลน์และเว็บไซต์บริการขนาดเล็กมักเพิ่มเครื่องมือใหม่เข้าไปในเว็บไซต์อยู่เรื่อย ๆ เช่น วิดเจ็ตแชทสด ระบบสมาชิกสะสมแต้ม หรือป๊อปอัปเก็บอีเมลแลกส่วนลด แต่ละเครื่องมือมักถูกติดตั้งโดยคนละแผนกในเวลาต่างกัน ทีมการตลาดติดตั้งปลั๊กอินรีวิวสินค้าโดยไม่แจ้งทีมเว็บไซต์ ทีมขายเปิดฟอร์มขอใบเสนอราคาใหม่โดยไม่แจ้งใคร ผลคือรายการข้อมูลที่เคยจดไว้ค่อย ๆ คลาดเคลื่อนจากระบบจริงทีละนิดจนไม่มีใครรู้ตัว การ Audit จึงไม่ใช่การอ่านเอกสารเก่าซ้ำ แต่เป็นการเปิดดูของจริงบนเว็บไซต์แล้วเทียบกับรายการเดิมทีละจุด

ขั้นตอนที่ 1: ตรวจฟอร์มและช่องกรอกข้อมูลทุกตัวบนเว็บไซต์

เริ่มจากเปิดเว็บไซต์จริงแล้วไล่ดูฟอร์มทุกตัวที่มีอยู่ ไม่ว่าจะเป็นฟอร์มสมัครสมาชิก ฟอร์มสั่งซื้อ ฟอร์มขอใบเสนอราคา หรือฟอร์มสมัครงาน จดบันทึกทุกช่องกรอกที่ปรากฏจริง รวมถึงช่องที่เพิ่งถูกเพิ่มเข้ามาโดยทีมการตลาด เช่น ช่องวันเกิดสำหรับส่งโปรโมชัน หรือช่องระบุงบประมาณสำหรับคัดกรองลูกค้า ร้านค้าออนไลน์บางแห่งพบว่าฟอร์มสั่งซื้อของตัวเองมีช่องกรอกเลขบัตรประชาชนสำหรับยืนยันตัวตนในการสั่งซื้อสินค้าราคาสูง ทั้งที่ไม่มีใครในทีมจำได้ว่าเคยอนุมัติให้เพิ่มช่องนี้เข้าไป

ขั้นตอนที่ 2: สแกนคุกกี้และตัวระบุ analytics ที่ทำงานอยู่จริง

ใช้เครื่องมือสแกนคุกกี้รันกับหน้าเว็บไซต์หลักและหน้าย่อยที่มีการซื้อขายเกิดขึ้น เพราะคุกกี้ของปลั๊กอินรีวิวสินค้าหรือระบบแนะนำสินค้าอัตโนมัติมักไม่ปรากฏในหน้าแรก บันทึกจำนวนคุกกี้ทั้งหมด แยกตามผู้ให้บริการ แล้วเทียบกับผลสแกนครั้งก่อน ร้านเสื้อผ้าออนไลน์ขนาดเล็กแห่งหนึ่งเคยสแกนได้สิบสองรายการเมื่อสองปีก่อน แต่สแกนซ้ำล่าสุดพบมากกว่าสามสิบห้ารายการ ส่วนใหญ่มาจากปลั๊กอินรีวิวและแคมเปญโฆษณาบนแพลตฟอร์มโซเชียลสองเจ้าที่เพิ่มเข้ามาใหม่โดยไม่มีใครรู้ตัว

ขั้นตอนที่ 3: ตรวจว่าผู้ให้บริการภายนอกรายใดได้รับข้อมูลจริง

ไล่รายชื่อระบบหลังบ้านที่เว็บไซต์เชื่อมต่ออยู่ตอนนี้ เช่น ผู้ให้บริการรับชำระเงิน บริษัทขนส่ง ระบบอีเมลการตลาด และเครื่องมือ analytics แล้วถามทีมงานแต่ละฝ่ายว่าข้อมูลลูกค้าส่วนใดถูกส่งให้ผู้ให้บริการรายไหนบ้าง ธุรกิจ SME จำนวนมากเปลี่ยนผู้ให้บริการรับชำระเงินหรือระบบตะกร้าสินค้าอย่างน้อยหนึ่งครั้งทุกปีหรือสองปี แต่เอกสารภายในมักยังระบุชื่อผู้ให้บริการเดิมอยู่ การ Audit รอบนี้ต้องเทียบรายชื่อที่ใช้งานจริงในระบบกับรายการที่เคยบันทึกไว้ทีละราย และตัดผู้ให้บริการที่เลิกใช้แล้วออกจากเอกสารให้ตรงกับความจริง

ขั้นตอนที่ 4: ตรวจระยะเวลาการเก็บรักษาและข้อมูลที่ค้างอยู่โดยไม่มีใครลบ

เมื่อธุรกิจย้ายฐานข้อมูลลูกค้าไปยังระบบใหม่หรือเปลี่ยนผู้ให้บริการโฮสติ้ง มักเกิดช่วงที่ข้อมูลชุดเก่าถูกเก็บซ้ำไว้ในระบบเดิมชั่วคราว หากไม่มีใครกำหนดวันลบให้ชัดเจน ข้อมูลนั้นอาจค้างอยู่นานเกินความจำเป็น ให้ตรวจสอบว่าระบบสำรองที่เกิดจากการย้ายระบบในรอบที่ผ่านมายังมีอยู่หรือไม่ รวมถึงไฟล์แนบที่ลูกค้าอัปโหลดเอง เช่น รูปสลิปโอนเงินหรือสำเนาบัตรประชาชน ซึ่งมักถูกส่งผ่านอีเมลหรือแชทแล้วถูกเก็บไว้ในโฟลเดอร์ร่วมของทีมงานโดยไม่มีกำหนดลบเช่นเดียวกับข้อมูลในฐานข้อมูลหลัก

ขั้นตอนที่ 5: ตรวจสิทธิ์เข้าถึงข้อมูลลูกค้าภายในทีม

เมื่อธุรกิจเติบโต จำนวนพนักงานที่เข้าถึงระบบหลังบ้านซึ่งมีข้อมูลลูกค้าก็เพิ่มขึ้นตาม พนักงานใหม่ฝ่ายขายหรือฝ่ายบริการลูกค้าอาจได้รับสิทธิ์เข้าถึงฐานข้อมูลทั้งหมดโดยไม่มีใครจำกัดขอบเขตให้ตรงกับหน้าที่ ขณะที่พนักงานเก่าที่ลาออกไปแล้วบางรายอาจยังมีบัญชีค้างอยู่ในระบบ การ Audit รอบนี้ควรดึงรายชื่อผู้มีสิทธิ์เข้าถึงข้อมูลลูกค้าปัจจุบัน เทียบกับรายชื่อพนักงานที่ยังทำงานอยู่จริง แล้วปิดสิทธิ์ของบัญชีที่ไม่จำเป็นออกไปทันทีที่พบ

เครื่องมือที่ใช้ตอนทำ Audit เมื่อไม่มีทีม IT ในบริษัท

SME จำนวนมากไม่มีแผนก IT แยกต่างหาก แต่ยังทำ Audit ระดับพื้นฐานได้โดยไม่ต้องพึ่งเครื่องมือราคาแพง เปิดเว็บไซต์ผ่านเบราว์เซอร์แล้วใช้เครื่องมือนักพัฒนาในตัวเบราว์เซอร์ดูรายการคุกกี้ที่ถูกตั้งค่าในแท็บ Application หรือ Storage ก็เพียงพอสำหรับดูภาพรวมเบื้องต้น ส่วนการไล่ดูฟอร์มและระบบหลังบ้านทำได้โดยการนัดประชุมสั้น ๆ กับตัวแทนแต่ละแผนกแล้วให้แต่ละคนสาธิตว่าเครื่องมือของตัวเองเก็บข้อมูลอะไรบ้าง วิธีนี้ไม่ต้องใช้งบประมาณเพิ่ม แต่ต้องมีคนกลางที่คอยรวบรวมคำตอบจากทุกแผนกมาไว้ในเอกสารเดียว ไม่ให้แต่ละแผนกเก็บข้อมูลของตัวเองแยกกันโดยไม่มีใครเห็นภาพรวมทั้งหมด

Evidence ที่ควรเก็บไว้หลังจบ Audit แต่ละรอบ

ผล Audit จะมีประโยชน์จริงก็ต่อเมื่อมีหลักฐานเก็บไว้เทียบกับรอบถัดไป ผลสแกนคุกกี้ควรบันทึกวันที่และจำนวนคุกกี้แยกตามผู้ให้บริการ รายชื่อผู้ให้บริการภายนอกควรมีวันที่ปรับปรุงล่าสุดกำกับไว้เสมอ ส่วนการปิดสิทธิ์เข้าถึงข้อมูลของพนักงานที่ลาออกควรมีบันทึกวันที่ปิดสิทธิ์และผู้ดำเนินการ เอกสารเหล่านี้ไม่ต้องซับซ้อน แค่เป็น Google Sheet หรือไฟล์บันทึกที่มีวันที่กำกับก็เพียงพอสำหรับใช้เทียบผลในรอบถัดไปและตอบคำถามได้ทันทีหากมีใครถามว่าตรวจล่าสุดเมื่อไร

ตัวอย่างจริง: ร้านค้าออนไลน์ที่พบข้อมูลลูกค้าเก่าค้างในระบบสำรอง

ร้านขายอุปกรณ์ครัวออนไลน์แห่งหนึ่งย้ายระบบตะกร้าสินค้าไปใช้แพลตฟอร์มใหม่เมื่อปีก่อน แต่ไม่มีใครลบฐานข้อมูลลูกค้าในระบบเก่าออก เมื่อทำ Audit รอบล่าสุดจึงพบว่าข้อมูลลูกค้ากว่าสองพันรายชื่อยังค้างอยู่ในระบบเก่าที่ไม่มีใครเข้าไปดูแลอีกต่อไป ทีมงานตัดสินใจส่งออกข้อมูลที่ยังจำเป็นไปเก็บในระบบใหม่ แล้วกำหนดวันลบข้อมูลชุดเก่าที่เหลือทั้งหมดภายในสามสิบวัน พร้อมบันทึกขั้นตอนทั้งหมดไว้เป็นหลักฐานว่าดำเนินการแล้ว กรณีนี้แสดงให้เห็นว่าการ Audit ไม่ใช่แค่การตรวจว่าเก็บอะไรอยู่ แต่รวมถึงการตรวจว่าอะไรควรถูกลบไปแล้วแต่ยังไม่ถูกลบด้วย ทีมงานยังพบเพิ่มเติมว่าไฟล์แนบใบเสร็จเก่าที่ลูกค้าเคยส่งมาทางอีเมลกว่าสี่ร้อยฉบับถูกเก็บไว้ในกล่องอีเมลกลางของแผนกบริการลูกค้าโดยไม่มีใครจัดหมวดหมู่ จึงต้องขอความช่วยเหลือจากทีมพัฒนาให้ช่วยย้ายไฟล์เหล่านั้นไปเก็บในระบบที่มีสิทธิ์เข้าถึงจำกัดแทนที่จะปล่อยไว้ในกล่องอีเมลที่พนักงานหลายคนเข้าถึงได้

ควร Audit บ่อยแค่ไหนและใครควรเป็นเจ้าภาพ

สำหรับเว็บไซต์ SME ที่มีการเปลี่ยนเครื่องมือหรือแคมเปญบ่อย แนะนำให้ Audit ทุกหกเดือน หรือทุกครั้งที่มีการเปลี่ยนระบบหลังบ้านสำคัญ เช่น เปลี่ยนผู้ให้บริการรับชำระเงินหรือย้ายโฮสติ้ง เจ้าของกิจการหรือผู้ดูแลเว็บไซต์ควรเป็นเจ้าภาพหลัก แต่ต้องดึงตัวแทนจากทีมการตลาดและทีมขายเข้าร่วมด้วย เพราะทั้งสองทีมมักเป็นผู้เพิ่มเครื่องมือใหม่โดยไม่แจ้งทีมเว็บไซต์ การกำหนดผู้รับผิดชอบชัดเจนช่วยให้ Audit เกิดขึ้นจริงตามรอบ แทนที่จะถูกเลื่อนไปเรื่อย ๆ จนไม่มีใครจำได้ว่าครั้งสุดท้ายตรวจไปเมื่อไร

ด้านกฎหมายที่ควรอ่านคู่กันไป

บทความนี้เน้นมุมมองข้อมูลว่าเว็บไซต์เก็บอะไร เก็บที่ไหน และไหลไปที่ใด ส่วนภาระหน้าที่ตามกฎหมายว่าฐานการเก็บข้อมูลแต่ละจุดถูกต้องหรือไม่ ต้องแจ้งสิทธิ์เจ้าของข้อมูลอย่างไร เป็นเรื่องที่ควรอ่านคู่กันในหมวด Privacy Fundamentals ซึ่งครอบคลุมทั้งด้านข้อมูลและด้านกฎหมายของเว็บไซต์ SME ไว้ในที่เดียว หากยังไม่เคยวางระบบข้อมูลมาก่อน ควรเริ่มจาก วิธีวางระบบข้อมูลส่วนบุคคลบนเว็บไซต์สำหรับ SME ก่อนแล้วค่อยกลับมาใช้บทความนี้เป็นรอบตรวจสอบถัดไป

สัญญาณที่บอกว่าต้อง Audit นอกรอบทันที ไม่ต้องรอถึงหกเดือน

บางเหตุการณ์ควรกระตุ้นให้ Audit ทันทีโดยไม่ต้องรอถึงรอบปกติ เช่น เพิ่งเปลี่ยนผู้ให้บริการรับชำระเงินหรือระบบตะกร้าสินค้า เพิ่งเปิดแคมเปญโฆษณาใหม่บนแพลตฟอร์มที่ไม่เคยใช้มาก่อน มีพนักงานฝ่ายที่เข้าถึงข้อมูลลูกค้าลาออกพร้อมกันหลายคน หรือมีลูกค้าติดต่อมาสอบถามว่าข้อมูลของตัวเองถูกใช้อย่างไร เหตุการณ์เหล่านี้มักเป็นจุดเปลี่ยนที่ทำให้รายการข้อมูลเดิมคลาดเคลื่อนเร็วกว่าปกติ ร้านค้าออนไลน์ที่เปลี่ยนระบบตะกร้าสินค้ากลางปีแล้วรอ Audit ตามรอบหกเดือนมักพบว่าข้อมูลในระบบเก่าค้างอยู่นานเกินจำเป็นโดยไม่มีใครสังเกตจนกว่าจะถึงรอบตรวจถัดไป การกำหนดสัญญาณเตือนเหล่านี้ไว้ล่วงหน้าช่วยให้ทีมงานรู้ตัวเร็วขึ้น แทนที่จะปล่อยให้ปัญหาสะสมจนถึงรอบ Audit ตามกำหนดการปกติ

ข้อผิดพลาดที่พบบ่อยเมื่อทำ Audit ข้อมูลส่วนบุคคล

• เปิดดูเอกสารรายการข้อมูลเก่าแล้วเชื่อว่ายังตรงกับระบบปัจจุบันโดยไม่เปิดเว็บไซต์จริงเทียบ
• สแกนคุกกี้เฉพาะหน้าแรก ไม่ได้ไล่ดูหน้าย่อยที่มีปลั๊กอินหรือแคมเปญติดตั้งอยู่
• ลืมถามทีมการตลาดและทีมขายว่าเพิ่งติดตั้งเครื่องมือใหม่อะไรบ้างในรอบที่ผ่านมา
• ไม่ปิดสิทธิ์เข้าถึงข้อมูลของพนักงานที่ลาออกไปแล้ว
• ปล่อยข้อมูลชุดสำรองจากการย้ายระบบไว้โดยไม่กำหนดวันลบที่ชัดเจน
• ทำ Audit เสร็จแล้วไม่บันทึกหลักฐานไว้เทียบกับรอบถัดไป

สรุป

การ Audit ข้อมูลส่วนบุคคลบนเว็บไซต์ SME คือการไล่ตรวจทีละจุดตั้งแต่ฟอร์ม คุกกี้ ผู้ให้บริการภายนอก ระยะเวลาการเก็บรักษา จนถึงสิทธิ์การเข้าถึงข้อมูลภายในทีม แต่ละขั้นตอนควรจบด้วยการเก็บหลักฐานที่มีวันที่กำกับ เพื่อให้รอบถัดไปตรวจได้เร็วขึ้นและเทียบผลได้ว่าอะไรเปลี่ยนไปบ้าง ธุรกิจที่กำหนดผู้รับผิดชอบชัดเจนและ Audit เป็นประจำทุกหกเดือนมักไม่พบสถานการณ์ที่ตอบไม่ได้ว่าเว็บไซต์เก็บข้อมูลอะไรอยู่บ้างเหมือนในฉากเปิดบทความนี้อีกต่อไป

แหล่งข้อมูลอ้างอิง

แนวทางที่เกี่ยวข้องกับหลักการคุ้มครองข้อมูลส่วนบุคคลของไทยควรตรวจสอบกับประกาศและแนวปฏิบัติของ สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (PDPC) โดยตรง บทความนี้เป็นแนวทางเชิงปฏิบัติด้านการจัดการข้อมูลสำหรับเจ้าของกิจการ SME ไม่ใช่การตีความข้อกำหนดทางกฎหมายแทนหน่วยงานกำกับดูแล