เช็กลิสต์ ข้อมูลส่วนบุคคลบนเว็บไซต์ สำหรับเว็บไซต์ธุรกิจทั่วไปและ SME: ต้องตรวจอะไรบ้างก่อนเปิดใช้งาน

ก่อนกดเปิดใช้งานฟีเจอร์ใหม่บนเว็บไซต์ SME สักตัวหนึ่ง เช่น ระบบแชทสด ป๊อปอัปเก็บอีเมล หรือปลั๊กอินรีวิวสินค้า ควรเช็กอะไรบ้างเรื่องข้อมูลส่วนบุคคลก่อนเปิดใช้จริง คำตอบสั้น ๆ คือต้องไล่ตรวจสี่จุดหลัก ได้แก่ ฟอร์มและช่องกรอกข้อมูลที่ฟีเจอร์นั้นสร้างขึ้นใหม่ คุกกี้หรือตัวระบุที่ติดตั้งเพิ่ม ผู้ให้บริการภายนอกที่ข้อมูลจะไหลไปหา และระยะเวลาที่ข้อมูลจะถูกเก็บไว้ในระบบ

เช็กลิสต์นี้เขียนขึ้นสำหรับเจ้าของกิจการและผู้ดูแลเว็บไซต์ SME ที่ต้องตัดสินใจเปิดใช้งานเครื่องมือใหม่อยู่บ่อย ๆ โดยเน้นมุมมองข้อมูลว่าอะไรถูกเก็บและไหลไปที่ไหน ไม่ใช่การตรวจข้อกำหนดทางกฎหมายโดยตรง แต่ละข้อในเช็กลิสต์เป็นจุดที่พบว่าเว็บไซต์ SME พลาดบ่อยที่สุดเมื่อเปิดใช้งานเครื่องมือใหม่โดยไม่ทันตรวจก่อน

ก่อนเปิดใช้งานฟีเจอร์หรือเครื่องมือใหม่บนเว็บไซต์ SME ควรเช็กว่าฟอร์มเก็บข้อมูลอะไรบ้าง คุกกี้ที่เพิ่มเข้ามามีผู้ให้บริการรายใด ข้อมูลไหลไปหาระบบภายนอกใดบ้าง เก็บไว้นานเท่าไร และใครมีสิทธิ์เข้าถึง เช็กลิสต์นี้รวมจุดตรวจที่พบบ่อยที่สุดสำหรับ SME ไว้เป็นรายการให้ไล่ทำทีละข้อก่อนกดเปิดใช้งานจริง ไม่ใช่การตรวจข้อกฎหมายแต่เป็นการตรวจว่าข้อมูลจะไหลไปที่ไหนบ้าง

1. ฟอร์มและช่องกรอกข้อมูลที่ฟีเจอร์ใหม่สร้างขึ้น

เปิดดูฟอร์มของฟีเจอร์ใหม่จริง แล้วจดทุกช่องกรอกที่ปรากฏ เช่น ระบบสมาชิกสะสมแต้มใหม่มักมีช่องวันเกิด เบอร์โทร และที่อยู่จัดส่ง ตรวจว่ามีช่องไหนที่เก็บข้อมูลเกินความจำเป็นของฟีเจอร์นั้นหรือไม่ เช่น ฟอร์มสมัครรับข่าวสารที่ดันมีช่องกรอกเลขบัตรประชาชนโดยไม่มีเหตุผลรองรับ ร้านค้าออนไลน์บางแห่งพบว่าฟอร์มสมัครสมาชิกที่ทีมการตลาดเพิ่มเข้ามาเองมีช่องกรอกที่อยู่ทำงานและตำแหน่งงานโดยไม่มีใครในทีมเว็บไซต์รับทราบมาก่อน จึงต้องถามกลับไปว่าเก็บข้อมูลเหล่านี้ไปเพื่อใช้ทำอะไรก่อนจะปล่อยให้ฟอร์มใช้งานจริง

2. คุกกี้และตัวระบุที่ฟีเจอร์ใหม่ติดตั้งเพิ่ม

เครื่องมือใหม่แทบทุกตัวมาพร้อมคุกกี้หรือ pixel ของตัวเอง เปิดเครื่องมือนักพัฒนาในเบราว์เซอร์แล้วดูว่าหลังติดตั้งฟีเจอร์ใหม่มีคุกกี้เพิ่มขึ้นกี่รายการ มาจากผู้ให้บริการรายใดบ้าง โดยเฉพาะปลั๊กอินรีวิวสินค้าหรือระบบแนะนำสินค้าอัตโนมัติที่มักติดตั้งคุกกี้ของบุคคลที่สามหลายรายพร้อมกัน บางปลั๊กอินยังโหลดสคริปต์จากผู้ให้บริการรายที่สามซ้อนอีกชั้นโดยไม่แจ้งในหน้าติดตั้ง ทำให้จำนวนคุกกี้จริงมากกว่าที่คาดไว้ตอนเลือกใช้ปลั๊กอินนั้น

3. ผู้ให้บริการภายนอกที่ข้อมูลจะถูกส่งไปหา

ตรวจว่าฟีเจอร์ใหม่ส่งข้อมูลไปประมวลผลที่เซิร์ฟเวอร์ของผู้ให้บริการรายใด เช่น ระบบแชทสดที่โฮสต์อยู่นอกประเทศ หรือปลั๊กอินอีเมลการตลาดที่เชื่อมกับแพลตฟอร์มต่างประเทศ จดชื่อผู้ให้บริการและเพิ่มเข้ารายการผู้ให้บริการภายนอกที่มีอยู่เดิมให้ครบ หากฟีเจอร์นั้นเสนอแผนฟรีที่แลกกับการแชร์ข้อมูลผู้ใช้ไปยังพันธมิตรทางการตลาดของผู้ให้บริการเอง ควรอ่านเงื่อนไขการใช้งานให้ละเอียดก่อนเปิดใช้จริง เพราะบางบริการระบุเรื่องนี้ไว้ในหน้าเงื่อนไขที่ไม่มีใครอ่านตอนสมัคร

4. ระยะเวลาการเก็บรักษาข้อมูลของฟีเจอร์ใหม่

ตรวจการตั้งค่าเริ่มต้นของฟีเจอร์ว่าเก็บข้อมูลไว้นานเท่าไรโดยดีฟอลต์ เครื่องมือบางตัวเก็บข้อมูลผู้ใช้ไว้ตลอดไปเว้นแต่จะตั้งค่าลบเอง เช่น บันทึกแชทของระบบแชทสดที่บางแพลตฟอร์มไม่มีการลบอัตโนมัติ ควรตั้งค่าระยะเวลาลบให้สอดคล้องกับข้อมูลอื่นในระบบ ระบบตะกร้าสินค้าบางเจ้ายังเก็บตะกร้าที่ลูกค้าทิ้งไว้กลางคันพร้อมข้อมูลติดต่อไว้นานหลายปีเพื่อใช้ retarget โดยดีฟอลต์ ซึ่งควรตั้งระยะเวลาให้สั้นลงหากไม่มีเหตุผลทางธุรกิจที่ชัดเจนรองรับ

5. สิทธิ์เข้าถึงข้อมูลของฟีเจอร์ใหม่ในทีม

ตรวจว่าใครในทีมมีสิทธิ์เข้าดูข้อมูลที่ฟีเจอร์ใหม่เก็บมา เช่น แดชบอร์ดของระบบแชทสดที่พนักงานหลายแผนกอาจเข้าถึงได้พร้อมกันโดยไม่มีการจำกัดสิทธิ์ ควรตั้งค่าให้เฉพาะผู้ที่จำเป็นต้องใช้งานเข้าถึงได้เท่านั้น หลายเครื่องมือมีฟีเจอร์กำหนดบทบาทผู้ใช้งานอยู่แล้วแต่ไม่มีใครเปิดใช้ตอนติดตั้งครั้งแรก ทำให้ทุกบัญชีที่ถูกเชิญเข้าระบบมีสิทธิ์เท่ากันหมดโดยไม่จำเป็น

6. ความสอดคล้องกับรายการข้อมูลเดิมที่เคยทำไว้

หลังตรวจครบทุกจุดแล้ว นำผลที่ได้ไปเพิ่มในรายการข้อมูลส่วนบุคคลที่เว็บไซต์เคยทำไว้ทันที ไม่ปล่อยให้ค้างไว้ในความทรงจำของคนเดียว เพราะเป็นสาเหตุหลักที่ทำให้รายการข้อมูลคลาดเคลื่อนจากระบบจริงเมื่อเวลาผ่านไป หากยังไม่เคยทำรายการข้อมูลมาก่อน ควรเริ่มจากขั้นตอนแบบเต็มรูปแบบก่อนแล้วค่อยใช้เช็กลิสต์นี้กับฟีเจอร์ใหม่ในอนาคต

7. เอกสารหรือไฟล์แนบที่ฟีเจอร์ใหม่อาจให้ลูกค้าอัปโหลด

ฟีเจอร์บางตัว เช่น ระบบขอใบเสนอราคาหรือระบบยืนยันตัวตน มักเปิดให้ลูกค้าอัปโหลดไฟล์แนบ เช่น สลิปโอนเงินหรือสำเนาบัตรประชาชน ตรวจว่าไฟล์เหล่านี้ถูกเก็บไว้ที่ไหน ใครเข้าถึงได้ และมีกำหนดลบหรือไม่ เพราะไฟล์แนบมักถูกมองข้ามเมื่อเทียบกับข้อมูลในฟอร์มมาตรฐาน บางระบบเก็บไฟล์แนบไว้ในโฟลเดอร์แชร์ร่วมของทีมงานโดยตรงแทนที่จะเก็บในระบบที่มีการควบคุมสิทธิ์ ทำให้พนักงานที่ไม่เกี่ยวข้องกับงานนั้นสามารถเปิดดูไฟล์บัตรประชาชนของลูกค้าได้โดยไม่มีเหตุผลรองรับ ควรย้ายไฟล์แนบลักษณะนี้ไปเก็บในระบบที่จำกัดสิทธิ์เฉพาะผู้ที่เกี่ยวข้องโดยตรงเท่านั้น

8. เวอร์ชันเก่าของฟีเจอร์ที่เลิกใช้แล้วแต่ข้อมูลยังค้างอยู่

เมื่อเปลี่ยนไปใช้เครื่องมือใหม่แทนของเก่า เช่น เปลี่ยนระบบแชทสดจากผู้ให้บริการรายหนึ่งไปอีกราย มักไม่มีใครกลับไปปิดบัญชีหรือลบข้อมูลในระบบเก่าออก ควรตรวจว่าเครื่องมือเก่าที่เลิกใช้แล้วยังมีข้อมูลลูกค้าค้างอยู่ในระบบของผู้ให้บริการเดิมหรือไม่ แล้วติดต่อขอปิดบัญชีและลบข้อมูลให้เรียบร้อยแทนที่จะปล่อยทิ้งไว้เฉย ๆ เพราะบัญชีที่เลิกใช้แต่ยังไม่ปิดคือช่องทางที่ข้อมูลลูกค้ายังเข้าถึงได้โดยไม่มีใครดูแลอีกต่อไป

เชื่อมโยงกับภาพรวมของคลัสเตอร์ข้อมูลส่วนบุคคล

เช็กลิสต์นี้เหมาะสำหรับใช้ก่อนเปิดใช้งานฟีเจอร์ใหม่แต่ละครั้ง ส่วนการตรวจทั้งระบบแบบละเอียดพร้อมหลักฐานที่ควรเก็บทุกจุดอยู่ใน วิธี Audit ข้อมูลส่วนบุคคลบนเว็บไซต์สำหรับ SME และถ้ายังไม่เคยวางระบบข้อมูลมาก่อนเลย ควรเริ่มจาก วิธีวางระบบข้อมูลส่วนบุคคลบนเว็บไซต์สำหรับ SME ก่อนแล้วค่อยกลับมาใช้เช็กลิสต์นี้กับทุกฟีเจอร์ใหม่ที่จะเปิดในอนาคต

ด้านกฎหมายที่ต้องตรวจแยกต่างหาก

เช็กลิสต์นี้เน้นมุมมองข้อมูลว่าฟีเจอร์ใหม่เก็บอะไรและไหลไปที่ไหน ส่วนว่าการเก็บข้อมูลนั้นมีฐานทางกฎหมายรองรับหรือไม่ ต้องแจ้งเจ้าของข้อมูลอย่างไร เป็นเรื่องที่ควรตรวจแยกในหมวด Privacy Fundamentals ซึ่งครอบคลุมด้านกฎหมายของเว็บไซต์ SME ไว้ต่างหากจากเช็กลิสต์ด้านข้อมูลนี้

ข้อผิดพลาดที่พบบ่อยเมื่อเปิดใช้งานฟีเจอร์ใหม่โดยไม่เช็กก่อน

• เปิดใช้งานฟีเจอร์ใหม่ทันทีที่ทดลองใช้ผ่าน โดยไม่เปิดเครื่องมือนักพัฒนาดูคุกกี้ที่เพิ่มขึ้น
• ไม่ตรวจว่าฟีเจอร์นั้นส่งข้อมูลไปประมวลผลที่เซิร์ฟเวอร์ต่างประเทศหรือไม่
• ปล่อยการตั้งค่าระยะเวลาเก็บข้อมูลไว้ตามค่าเริ่มต้นของผู้ให้บริการโดยไม่ปรับ
• ให้ทุกคนในทีมเข้าถึงแดชบอร์ดของฟีเจอร์ใหม่ได้โดยไม่จำกัดสิทธิ์
• ลืมเพิ่มฟีเจอร์ใหม่เข้ารายการข้อมูลส่วนบุคคลที่เคยทำไว้จนรายการเดิมล้าสมัย

สรุป

ก่อนเปิดใช้งานฟีเจอร์หรือเครื่องมือใหม่บนเว็บไซต์ SME ทุกครั้ง ควรไล่เช็กฟอร์ม คุกกี้ ผู้ให้บริการภายนอก ระยะเวลาการเก็บรักษา สิทธิ์เข้าถึง และไฟล์แนบที่อาจเกิดขึ้น แล้วนำผลไปปรับปรุงรายการข้อมูลส่วนบุคคลของเว็บไซต์ให้ตรงกับความจริงทันที การเช็กก่อนเปิดใช้งานทุกครั้งช่วยให้ไม่ต้องมานั่งไล่ตามทีหลังตอนที่จำนวนฟีเจอร์สะสมมากขึ้นจนตรวจยาก

แหล่งข้อมูลอ้างอิง

แนวทางที่เกี่ยวข้องกับหลักการคุ้มครองข้อมูลส่วนบุคคลของไทยควรตรวจสอบกับประกาศและแนวปฏิบัติของ สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (PDPC) โดยตรง เช็กลิสต์นี้เป็นแนวทางเชิงปฏิบัติด้านการจัดการข้อมูลสำหรับเจ้าของกิจการ SME ไม่ใช่การตีความข้อกำหนดทางกฎหมายแทนหน่วยงานกำกับดูแล