แนวทางจัดการข้อมูลส่วนบุคคลบนเว็บไซต์สำหรับ SME ที่ทำตามได้จริง

เจ้าของร้านค้าออนไลน์รายหนึ่งเพิ่งเปิดเว็บไซต์ใหม่ มีระบบสมัครสมาชิก ฟอร์มรับข่าวสารทางอีเมล วิดเจ็ตแชทสด และป้ายโฆษณาที่ยิงตามคนเคยเข้าเว็บ เขาถามนักพัฒนาเว็บไซต์ว่า "ต้องทำอะไรบ้างให้ดูแลข้อมูลลูกค้าอย่างมีความรับผิดชอบ" คำตอบไม่ใช่แค่ "ติด Cookie Banner ไว้ก็พอ" แต่ต้องไล่ดูตั้งแต่จุดที่ข้อมูลเข้ามาจนถึงวันที่ข้อมูลนั้นถูกลบ

บทความนี้วางแนวทางตามวงจรของข้อมูลบนเว็บไซต์ทีละขั้น เพื่อให้เจ้าของกิจการและผู้ดูแลเว็บไซต์ SME นำไปปรับใช้ได้จริงโดยไม่ต้องมีทีมกฎหมายประจำ

ขั้นที่ 1: สำรวจว่าเว็บไซต์เก็บข้อมูลอะไรบ้าง

ไล่ดูฟอร์มและช่องทางรับข้อมูลตรงทุกจุด

เริ่มจากลิสต์ฟอร์มทั้งหมดบนเว็บไซต์ เช่น ฟอร์มสมัครสมาชิก ฟอร์มรับข่าวสาร ฟอร์มติดต่อ และช่องแชทสด แต่ละฟอร์มเก็บข้อมูลอะไรบ้าง เช่น ชื่อ อีเมล เบอร์โทร ที่อยู่จัดส่ง แล้วบันทึกไว้เป็นรายการเดียวที่ทุกคนในทีมเข้าถึงได้

ตรวจคุกกี้และสคริปต์ที่เก็บพฤติกรรมผู้ใช้

นอกจากฟอร์ม ให้ตรวจว่ามีคุกกี้หรือสคริปต์อะไรทำงานอยู่บ้าง เช่น Google Analytics, Facebook Pixel, หรือสคริปต์จากปลั๊กอินรีวิวสินค้า แต่ละตัวเก็บอะไรและส่งไปที่ผู้ให้บริการรายใดบ้าง การสำรวจรอบแรกอาจใช้เวลาสัก 1-2 ชั่วโมงแต่ช่วยให้เห็นภาพรวมทั้งหมด

ขั้นที่ 2: ตั้งค่าการขอความยินยอมให้ตรงกับสิ่งที่เก็บจริง

แยกคุกกี้จำเป็นออกจาก Analytics และ Marketing

หลังสำรวจแล้ว ให้จัดหมวดคุกกี้เป็นจำเป็น (เช่น ตะกร้าสินค้า การเข้าสู่ระบบ) แยกจากคุกกี้ Analytics ที่ใช้วัดผล และคุกกี้ Marketing ที่ใช้ยิงโฆษณา ห้ามใส่คุกกี้ทุกตัวเป็นจำเป็นเพียงเพราะอยากให้ทำงานต่อเนื่อง

ให้ผู้ใช้เลือกปฏิเสธหรือตั้งค่ารายหมวดได้จริง

ปุ่มปฏิเสธและปุ่มตั้งค่าต้องทำงานได้จริง ไม่ใช่มีไว้ให้ดูครบ ทดสอบด้วยการกดปฏิเสธแล้วเปิด Developer Tools ดูว่า Pixel หรือ Analytics ยังยิงคำขอออกไปอยู่หรือไม่ ถ้ายังยิงอยู่แปลว่าการตั้งค่ายังไม่ผูกกับ Consent จริง

ขั้นที่ 3: จัดเก็บข้อมูลอย่างมีขอบเขตและมีเจ้าของ

รวมข้อมูลจากหลายฟอร์มไว้ในที่เดียวที่มีผู้รับผิดชอบ

แทนที่จะปล่อยให้ข้อมูลกระจายอยู่ในอีเมลส่วนตัว ไลน์ และสเปรดชีตหลายไฟล์ ควรรวมไว้ในระบบเดียว เช่น CRM หรือสเปรดชีตกลางที่มีเจ้าของบัญชีชัดเจน และตั้งรหัสผ่านสำหรับผู้ที่เกี่ยวข้องเท่านั้น

จำกัดสิทธิ์การเข้าถึงตามหน้าที่งาน

พนักงานฝ่ายจัดส่งอาจต้องเห็นแค่ชื่อและที่อยู่ ไม่จำเป็นต้องเห็นประวัติการซื้อหรือเบอร์โทรทั้งหมด การกำหนดสิทธิ์ตามหน้าที่งานช่วยลดจุดที่ข้อมูลอาจรั่วไหลออกไปโดยไม่ตั้งใจ

ขั้นที่ 4: ใช้ข้อมูลตามวัตถุประสงค์ที่แจ้งไว้เท่านั้น

หากเก็บอีเมลไว้เพื่อยืนยันคำสั่งซื้อ ไม่ควรนำอีเมลนั้นไปใช้ส่งโปรโมชันเพิ่มเติมโดยที่ลูกค้าไม่เคยกดสมัครรับข่าวสาร การใช้ข้อมูลนอกเหนือจากที่แจ้งไว้เป็นจุดที่ลูกค้ามักร้องเรียนมากที่สุด ควรมีกล่องติ๊กแยกสำหรับการรับข่าวสารทางการตลาดโดยเฉพาะ ตัวอย่างเช่น เมื่อลูกค้ากรอกฟอร์มขอใบเสนอราคา ควรใช้อีเมลนั้นตอบกลับเรื่องใบเสนอราคาเท่านั้น หากต้องการส่งโปรโมชันเพิ่มเติมในอนาคต ต้องมีการขอความยินยอมแยกต่างหากอีกครั้ง ไม่ใช่ถือว่าการกรอกฟอร์มครั้งแรกครอบคลุมทุกจุดประสงค์ไปโดยอัตโนมัติ

ขั้นที่ 5: แบ่งปันข้อมูลกับผู้ให้บริการภายนอกอย่างมีสติ

บริการอย่างระบบแชทสด อีเมลมาร์เก็ตติ้ง หรือระบบจัดส่ง ล้วนเป็นผู้ให้บริการภายนอกที่ได้รับข้อมูลลูกค้าไปด้วย ควรตรวจสอบว่าผู้ให้บริการแต่ละรายเก็บข้อมูลไว้ที่ไหน มีการตั้งค่าความปลอดภัยพื้นฐานหรือไม่ และมีทางติดต่อขอลบข้อมูลได้เมื่อเลิกใช้บริการนั้นหรือไม่ ตัวอย่างเช่น ถ้าเปลี่ยนจากผู้ให้บริการแชทสดรายหนึ่งไปอีกรายหนึ่ง ควรถามผู้ให้บริการเดิมว่าจะลบประวัติแชทเก่าให้หรือยังคงเก็บไว้ต่อ และถ้าเลิกใช้ระบบอีเมลมาร์เก็ตติ้งเจ้าใดเจ้าหนึ่ง ควรตรวจว่ารายชื่อผู้ติดตามที่เคยอัปโหลดไว้ถูกลบออกจากระบบนั้นด้วยหรือไม่ ไม่ใช่แค่ยกเลิกการต่ออายุแล้วปล่อยข้อมูลค้างอยู่

จุดที่มักถูกมองข้าม: ทีมงานทุกคนต้องรู้เรื่องนี้ ไม่ใช่แค่เจ้าของกิจการ

ปัญหาที่พบบ่อยในธุรกิจขนาดเล็กคือเจ้าของกิจการเป็นคนเดียวที่เข้าใจเรื่องการจัดการข้อมูล ขณะที่พนักงานฝ่ายขายหรือฝ่ายการตลาดยังเพิ่มปลั๊กอินใหม่หรือติดสคริปต์โฆษณาเองโดยไม่ได้แจ้งใคร ควรกำหนดว่าเมื่อจะเพิ่มเครื่องมือใหม่ที่เกี่ยวกับข้อมูลลูกค้า เช่น ระบบจองคิว ระบบรีวิว หรือโฆษณาช่องทางใหม่ ต้องแจ้งผู้ดูแลเว็บไซต์หรือเจ้าของกิจการก่อนเสมอ เพื่อให้รายการคุกกี้และข้อมูลที่สำรวจไว้ไม่ล้าสมัยไปเรื่อย ๆ

ขั้นที่ 6: กำหนดระยะเก็บรักษาและขั้นตอนการลบ

ทบทวนข้อมูลลูกค้าที่ไม่มีความเคลื่อนไหวเป็นระยะ

กำหนดรอบทบทวนข้อมูลลูกค้า เช่น ทุก 6-12 เดือน เพื่อดูว่ารายชื่อใดไม่มีการติดต่อหรือไม่ได้ซื้อสินค้ามานาน ควรเก็บต่อเพื่อวัตถุประสงค์ใด หรือถึงเวลาลบแล้ว

มีขั้นตอนลบข้อมูลเมื่อลูกค้าขอยกเลิกหรือขอให้ลบ

เมื่อลูกค้าติดต่อขอให้ลบข้อมูล ควรมีขั้นตอนที่ชัดเจนว่าใครเป็นผู้ดำเนินการ ลบที่ระบบใดบ้าง และใช้เวลาดำเนินการนานเท่าใด แม้จะเป็นธุรกิจขนาดเล็กก็ควรมีขั้นตอนเป็นลายลักษณ์อักษรอย่างน้อยแบบสั้น ๆ

ขั้นที่ 7: อัปเดต Privacy Policy ให้ตรงกับสิ่งที่ตรวจพบจริง

หลังสำรวจครบทั้งวงจรแล้ว ให้กลับมาอัปเดตประกาศความเป็นส่วนตัวบนเว็บไซต์ให้ตรงกับข้อมูลที่เก็บจริง ผู้ให้บริการที่ใช้จริง และช่องทางติดต่อที่ลูกค้าจะใช้ขอสิทธิ์เกี่ยวกับข้อมูลของตนเอง หากยังไม่แน่ใจในบางประเด็น ธุรกิจที่มีข้อมูลลูกค้าจำนวนมากหรือข้อมูลอ่อนไหวควรให้ผู้เชี่ยวชาญด้านกฎหมายช่วยตรวจอีกชั้น

เช็กลิสต์ปฏิบัติ

• ลิสต์ฟอร์มทุกจุดบนเว็บไซต์พร้อมชนิดข้อมูลที่แต่ละฟอร์มเก็บ
• ตรวจคุกกี้และสคริปต์ที่ทำงานจริง แล้วจัดหมวดเป็นจำเป็น Analytics และ Marketing
• ทดสอบปุ่มปฏิเสธและตั้งค่ารายหมวดว่าหยุดสคริปต์ได้จริงหรือไม่
• รวมข้อมูลลูกค้าที่กระจัดกระจายไว้ในระบบเดียวที่มีเจ้าของบัญชีชัดเจน
• กำหนดสิทธิ์การเข้าถึงข้อมูลลูกค้าตามหน้าที่งานของพนักงานแต่ละคน
• ตั้งรอบทบทวนและลบข้อมูลลูกค้าที่ไม่มีความเคลื่อนไหว
• เขียนขั้นตอนสั้น ๆ สำหรับกรณีลูกค้าขอให้ลบข้อมูล พร้อมระบุผู้รับผิดชอบ

ข้อผิดพลาดที่พบบ่อยระหว่างนำแนวทางนี้ไปใช้

• สำรวจฟอร์มและคุกกี้ครั้งเดียวตอนเริ่มต้น แล้วไม่เคยทบทวนซ้ำเมื่อเว็บไซต์เปลี่ยนแปลง
• ติดปุ่มปฏิเสธไว้ให้ดูครบ แต่สคริปต์ยังทำงานเหมือนเดิมไม่ว่าผู้ใช้จะเลือกอะไร
• ให้พนักงานทุกคนเข้าถึงข้อมูลลูกค้าทั้งหมดโดยไม่จำกัดสิทธิ์ตามหน้าที่
• ใช้อีเมลที่เก็บไว้เพื่อยืนยันคำสั่งซื้อไปส่งโปรโมชันโดยลูกค้าไม่เคยสมัครรับข่าวสาร

เมื่อใดควรให้ผู้เชี่ยวชาญเข้ามาช่วยตรวจ

ธุรกิจที่เก็บข้อมูลอ่อนไหว เช่น ข้อมูลสุขภาพหรือข้อมูลทางการเงินโดยตรง หรือมีฐานลูกค้าจำนวนมากและซับซ้อน ควรให้ผู้เชี่ยวชาญด้านกฎหมายหรือ DPO ช่วยตรวจ Privacy Policy และขั้นตอนเก็บ-ลบข้อมูลอีกชั้น แนวทางในบทความนี้เป็นจุดเริ่มต้นที่ทำได้เอง แต่ไม่ทดแทนความเห็นทางกฎหมายเฉพาะกรณี หากต้องการตัวอย่างเอกสารประกอบการทำงานจริง อ่านต่อได้ที่ ตัวอย่างและ Template สำหรับ SME และหากเว็บไซต์เพิ่งเริ่มทำ แนะนำให้ดูข้อผิดพลาดที่พบบ่อยก่อนที่ ข้อผิดพลาดเรื่องข้อมูลส่วนบุคคลบนเว็บไซต์ที่ SME มักพลาด

คำถามที่พบบ่อย

ต้องทำครบทุกขั้นตอนพร้อมกันเลยหรือไม่ ไม่จำเป็น สามารถเริ่มจากขั้นสำรวจข้อมูลก่อน แล้วค่อยไล่ทำทีละขั้นตามลำดับความเสี่ยงของธุรกิจตนเอง

ธุรกิจขนาดเล็กมากจำเป็นต้องมีระบบ CRM ไหม ไม่จำเป็นต้องใช้ระบบราคาแพง สเปรดชีตกลางที่มีการตั้งสิทธิ์เข้าถึงและมีเจ้าของชัดเจนก็เพียงพอสำหรับช่วงเริ่มต้น

ควรทบทวนข้อมูลลูกค้าบ่อยแค่ไหน ไม่มีตัวเลขตายตัว แต่หลายธุรกิจเลือกทบทวนทุก 6-12 เดือนตามรอบการขายของตนเอง เพื่อดูว่าข้อมูลใดยังมีวัตถุประสงค์ในการเก็บต่อ

ถ้ายังไม่มีงบจ้างผู้เชี่ยวชาญควรทำอย่างไรก่อน เริ่มจากสำรวจข้อมูลและปิดจุดเสี่ยงที่ชัดเจนที่สุดก่อน เช่น ไฟล์ที่แชร์แบบเปิดหรือสคริปต์ที่ทำงานก่อนความยินยอม แล้วค่อยพิจารณาจ้างผู้เชี่ยวชาญเมื่อธุรกิจเติบโตขึ้น

สรุป

การจัดการข้อมูลส่วนบุคคลบนเว็บไซต์ที่ได้ผลจริงสำหรับ SME ไม่ได้อยู่ที่การติดแบนเนอร์คุกกี้ให้ครบ แต่อยู่ที่การไล่ตามวงจรข้อมูลตั้งแต่จุดเก็บไปจนถึงจุดลบอย่างมีระบบและมีผู้รับผิดชอบชัดเจน หากต้องการเริ่มจากภาพรวมเร็ว ๆ ลองใช้ตัวช่วยตรวจเบื้องต้นอย่าง website-trust-scan ของ trusty เพื่อดูจุดที่ควรตรวจสอบก่อน

แหล่งข้อมูลอ้างอิง

• สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (PDPC)