วิธีวางระบบ ข้อมูลส่วนบุคคลบนเว็บไซต์ สำหรับเว็บไซต์ธุรกิจทั่วไปและ SMEแบบเป็นขั้นตอน

หลายเจ้าของกิจการ SME เข้าใจว่าเมื่อจ้างเขียนนโยบายความเป็นส่วนตัวติดไว้ท้ายเว็บไซต์เสร็จแล้ว เท่ากับรู้แล้วว่าเว็บไซต์ของตัวเองเก็บข้อมูลอะไรบ้าง ความเข้าใจนี้คลาดเคลื่อนอย่างมาก เพราะนโยบายความเป็นส่วนตัวเป็นเอกสารประกาศต่อสาธารณะว่าจะทำอะไรกับข้อมูล แต่ไม่ใช่เครื่องมือที่บอกทีมงานว่าจริง ๆ แล้วเว็บไซต์เก็บข้อมูลอะไรบ้างในทางปฏิบัติ หลายเว็บไซต์มีนโยบายความเป็นส่วนตัวที่เขียนไว้อย่างดี แต่ไม่มีใครในทีมรู้ว่าปลั๊กอินตัวไหนเก็บอะไรจริง ๆ

บทความนี้พาวางระบบข้อมูลส่วนบุคคลบนเว็บไซต์ SME ทีละขั้นตอน โดยเริ่มจากศูนย์สำหรับเว็บไซต์ที่ยังไม่เคยทำรายการข้อมูลมาก่อนเลย เน้นมุมมองข้อมูลว่าเก็บอะไร เก็บที่ไหน ไหลไปหาใคร และเก็บไว้นานเท่าไร ไม่ใช่การตีความข้อกฎหมาย เพราะการวางระบบข้อมูลที่แม่นยำคือฐานที่ทำให้เอกสารด้านกฎหมาย เช่น นโยบายความเป็นส่วนตัว มีความถูกต้องตรงกับความจริงตามไปด้วย

การวางระบบข้อมูลส่วนบุคคลบนเว็บไซต์ SME ไม่ใช่การเขียนนโยบายความเป็นส่วนตัวให้เสร็จแล้วจบ แต่คือการไล่สร้างรายการข้อมูลจริงที่เว็บไซต์เก็บ ตั้งแต่ฟอร์ม คุกกี้ ไปจนถึงระบบหลังบ้าน แล้วจับคู่แต่ละรายการกับปลายทางที่ข้อมูลไหลไปและระยะเวลาที่เก็บไว้ ขั้นตอนหลักคือสำรวจจุดเก็บข้อมูลทั้งหมด จัดหมวดหมู่ข้อมูล ระบุปลายทางและระยะเวลาเก็บรักษา ตั้งเจ้าของข้อมูลผู้รับผิดชอบ แล้ววางรอบทบทวนให้รายการนี้ไม่ล้าสมัย

ขั้นตอนที่ 1: สำรวจจุดเก็บข้อมูลทั้งหมดบนเว็บไซต์จริง

เริ่มจากเปิดเว็บไซต์แล้วไล่ดูทุกหน้าที่มีการกรอกข้อมูลหรือมีเครื่องมือติดตามทำงานอยู่ ฟอร์มสมัครสมาชิก ฟอร์มสั่งซื้อ ฟอร์มขอใบเสนอราคา ระบบแชทสด ป๊อปอัปเก็บอีเมล ปลั๊กอินรีวิวสินค้า และเครื่องมือ analytics ทุกตัว ให้จดชื่อจุดเก็บข้อมูลแต่ละจุดลงในตารางเดียว ไม่ต้องรีบวิเคราะห์อะไรในขั้นนี้ แค่รวบรวมให้ครบก่อน ร้านค้าออนไลน์ขนาดเล็กแห่งหนึ่งเมื่อลองทำขั้นตอนนี้ครั้งแรกพบว่ามีจุดเก็บข้อมูลมากกว่าที่คิดไว้เกือบสองเท่า เพราะลืมนับปลั๊กอินย่อยที่ทีมการตลาดติดตั้งเองในช่วงแคมเปญที่ผ่านมา

ขั้นตอนที่ 2: จัดหมวดหมู่ข้อมูลที่แต่ละจุดเก็บ

สำหรับแต่ละจุดที่สำรวจได้ ให้ระบุว่าเก็บข้อมูลประเภทใดบ้าง เช่น ชื่อ อีเมล เบอร์โทร ที่อยู่จัดส่ง ประวัติการสั่งซื้อ หรือข้อมูลพฤติกรรมการใช้งานผ่านคุกกี้ แยกให้ชัดว่าข้อมูลชิ้นไหนเป็นข้อมูลอ่อนไหว เช่น เลขบัตรประชาชนหรือข้อมูลสุขภาพที่อาจปรากฏในฟอร์มบางประเภท เพราะข้อมูลกลุ่มนี้ควรได้รับการดูแลเข้มงวดกว่าข้อมูลทั่วไปอย่างชื่อกับอีเมล

ขั้นตอนที่ 3: ระบุปลายทางที่ข้อมูลแต่ละจุดไหลไป

ถามทีมงานที่ดูแลแต่ละระบบว่าข้อมูลที่เก็บได้ถูกส่งต่อไปที่ใดบ้าง เช่น ข้อมูลจากฟอร์มสั่งซื้อไหลไปที่ระบบตะกร้าสินค้า ระบบรับชำระเงิน และบริษัทขนส่ง ข้อมูลจากป๊อปอัปเก็บอีเมลไหลไปที่ระบบอีเมลการตลาด จดชื่อผู้ให้บริการภายนอกทุกรายที่เกี่ยวข้องไว้ให้ครบ เพราะรายชื่อนี้จะเป็นฐานสำคัญเมื่อต้องตอบคำถามลูกค้าว่าข้อมูลของตัวเองถูกส่งไปที่ไหนบ้าง

ขั้นตอนที่ 4: กำหนดระยะเวลาการเก็บรักษาข้อมูลแต่ละประเภท

สำหรับแต่ละประเภทข้อมูล ให้กำหนดว่าจะเก็บไว้นานเท่าไรก่อนลบหรือทำให้ไม่ระบุตัวตน เช่น ข้อมูลตะกร้าสินค้าที่ลูกค้าทิ้งไว้กลางคันอาจเก็บไว้สามสิบวันแล้วลบ ขณะที่ข้อมูลประวัติการสั่งซื้อที่เกี่ยวข้องกับเอกสารทางบัญชีอาจต้องเก็บไว้นานกว่าตามข้อกำหนดด้านบัญชี การกำหนดระยะเวลาให้ชัดเจนช่วยป้องกันไม่ให้ข้อมูลค้างอยู่ในระบบโดยไม่มีเหตุผลรองรับเมื่อเวลาผ่านไปหลายปี

ขั้นตอนที่ 5: ตั้งเจ้าของข้อมูลผู้รับผิดชอบแต่ละจุด

กำหนดว่าใครในทีมเป็นผู้รับผิดชอบดูแลข้อมูลแต่ละจุด เช่น ทีมการตลาดดูแลข้อมูลจากแคมเปญและป๊อปอัป ทีมขายดูแลข้อมูลจากฟอร์มขอใบเสนอราคา ผู้ดูแลเว็บไซต์ดูแลข้อมูลจากคุกกี้และระบบ analytics การมีเจ้าของชัดเจนช่วยให้เมื่อมีการเปลี่ยนแปลงเครื่องมือหรือเพิ่มฟีเจอร์ใหม่ คนที่รับผิดชอบจะรู้ตัวว่าต้องอัปเดตรายการข้อมูลทันที แทนที่จะปล่อยให้เป็นหน้าที่ของใครก็ไม่รู้

ขั้นตอนที่ 6: วางรอบทบทวนรายการข้อมูลเป็นประจำ

รายการข้อมูลที่ทำเสร็จในวันนี้จะล้าสมัยทันทีที่มีการเพิ่มเครื่องมือใหม่ในอนาคต จึงต้องวางรอบทบทวนไว้ล่วงหน้า แนะนำให้ทบทวนทุกหกเดือนหรือทุกครั้งที่มีการเปลี่ยนระบบหลังบ้านสำคัญ พร้อมกำหนดว่าใครเป็นผู้รับผิดชอบเรียกประชุมทบทวน วิธีตรวจแบบเจาะจงทีละจุดหลังจากมีรายการพื้นฐานแล้ว อ่านเพิ่มเติมได้ที่ วิธี Audit ข้อมูลส่วนบุคคลบนเว็บไซต์สำหรับ SME

ระบบและปลั๊กอินที่เว็บไซต์ SME ส่วนใหญ่มักมองข้าม

เมื่อไล่สำรวจจุดเก็บข้อมูลตามขั้นตอนที่ 1 เจ้าของกิจการหลายคนนึกถึงแค่ฟอร์มติดต่อกับระบบสั่งซื้อ แต่มองข้ามเครื่องมือย่อยที่แฝงอยู่ในเว็บไซต์และเก็บข้อมูลลูกค้าไปโดยไม่มีใครสังเกต เช่น วิดเจ็ตแชทสดที่บันทึกบทสนทนาทั้งหมดไว้ในระบบของผู้ให้บริการแชทเอง ปลั๊กอินจองคิวหรือจองห้องที่เก็บชื่อและเบอร์โทรแยกฐานข้อมูลจากระบบหลัก หรือปุ่มเชื่อมต่อไปยังไลน์ทางการที่ส่งต่อข้อมูลผู้ติดตามให้ระบบ CRM ภายนอกโดยอัตโนมัติ ร้านค้าขนาดเล็กบางแห่งเพิ่งพบว่าปลั๊กอินรีวิวสินค้าที่ติดตั้งไว้หลายปีก่อนยังคงส่งอีเมลลูกค้าไปเก็บไว้ที่เซิร์ฟเวอร์ของผู้พัฒนาปลั๊กอินในต่างประเทศ ทั้งที่ทีมเลิกใช้ฟีเจอร์รีวิวนั้นไปนานแล้วแต่ไม่เคยถอดปลั๊กอินออก การไล่ตรวจปลั๊กอินทุกตัวที่ติดตั้งไว้บนเว็บไซต์ ไม่ใช่แค่ฟีเจอร์ที่ยังใช้งานอยู่จริง จึงควรทำคู่ขนานไปกับการสำรวจฟอร์มตั้งแต่ขั้นตอนแรก

อีกจุดที่มักถูกลืมคือระบบที่เชื่อมกับโปรแกรมบัญชีหรือระบบออกใบกำกับภาษี เพราะเมื่อลูกค้าสั่งซื้อสินค้าแล้วขอใบกำกับภาษีเต็มรูป ข้อมูลเลขประจำตัวผู้เสียภาษีและที่อยู่ตามทะเบียนบ้านมักถูกส่งต่อจากระบบเว็บไซต์ไปยังโปรแกรมบัญชีแยกต่างหาก ซึ่งเป็นข้อมูลที่ละเอียดกว่าข้อมูลจัดส่งทั่วไปและควรถูกบันทึกไว้ในรายการข้อมูลเป็นจุดของตัวเอง ไม่ใช่รวมปนไปกับข้อมูลคำสั่งซื้อทั่วไปที่มีแค่ชื่อกับที่อยู่จัดส่ง

สัญญาประมวลผลข้อมูลกับผู้ให้บริการภายนอกที่มักถูกข้าม

เว็บไซต์ SME ส่วนใหญ่เลือกใช้ผู้ให้บริการภายนอกหลายรายพร้อมกัน ตั้งแต่ระบบอีเมลการตลาด ระบบแชท ไปจนถึงผู้ให้บริการเว็บโฮสติ้ง แต่กลับไม่เคยตรวจว่าผู้ให้บริการแต่ละรายมีข้อตกลงเกี่ยวกับการประมวลผลข้อมูลส่วนบุคคลให้หรือไม่ เพราะมักคิดว่าการสมัครใช้บริการผ่านหน้าเว็บของผู้ให้บริการเพียงพอแล้ว ทั้งที่ผู้ให้บริการหลายรายมีเอกสารข้อตกลงประมวลผลข้อมูลแยกต่างหากที่ต้องขอเข้าไปเซ็นหรือยอมรับเพิ่มเติมเอง ควรเริ่มจากไล่รายชื่อผู้ให้บริการที่บันทึกไว้ในขั้นตอนที่ 3 แล้วตรวจทีละรายว่ามีเอกสารลักษณะนี้ให้หรือไม่ หากรายใดไม่มี ควรบันทึกไว้เป็นความเสี่ยงที่ต้องติดตามแยกต่างหาก แทนที่จะปล่อยผ่านเพียงเพราะเป็นผู้ให้บริการรายใหญ่ที่ดูน่าเชื่อถืออยู่แล้ว

ร้านค้าออนไลน์ขนาดกลางบางแห่งเคยเจอกรณีที่ผู้ให้บริการระบบแชทเปลี่ยนนโยบายเก็บข้อมูลบทสนทนาไว้นานขึ้นโดยไม่แจ้งลูกค้าผู้ใช้งานล่วงหน้า เพราะไม่มีใครในทีมเคยอ่านข้อตกลงการให้บริการฉบับปรับปรุงเลยตั้งแต่สมัครใช้ครั้งแรก การกำหนดให้มีคนรับผิดชอบตรวจสอบข้อตกลงกับผู้ให้บริการภายนอกทุกครั้งที่มีการแจ้งปรับปรุงเงื่อนไข จึงเป็นงานที่ควรผูกเข้ากับรอบทบทวนรายการข้อมูลในขั้นตอนที่ 6 ไปพร้อมกัน ไม่ใช่ปล่อยให้เป็นเรื่องที่ทำแยกต่างหากจนสุดท้ายไม่มีใครทำเลย ร้านที่เคยเจอเหตุการณ์แบบนี้แล้วปรับวิธีทำงาน มักกำหนดให้เจ้าของข้อมูลแต่ละจุดตามขั้นตอนที่ 5 เป็นผู้รับผิดชอบติดตามอีเมลแจ้งเปลี่ยนแปลงเงื่อนไขจากผู้ให้บริการของตัวเองโดยตรง แทนที่จะรอให้ผู้ดูแลเว็บไซต์คนเดียวไล่ตรวจทุกระบบเอง เพราะปริมาณอีเมลแจ้งปรับปรุงเงื่อนไขจากผู้ให้บริการหลายสิบรายมักมากเกินกว่าคนคนเดียวจะติดตามได้ครบทัน

เอกสารและไฟล์แนบที่มักถูกลืมตอนวางระบบครั้งแรก

นอกจากฟอร์มและคุกกี้ เว็บไซต์ SME จำนวนมากยังมีไฟล์แนบที่ลูกค้าส่งมาเอง เช่น สลิปโอนเงิน สำเนาบัตรประชาชนสำหรับยืนยันตัวตน หรือไฟล์แบบร่างงานที่ส่งผ่านอีเมลหรือแชท ข้อมูลกลุ่มนี้มักถูกมองข้ามเพราะไม่ได้อยู่ในฟอร์มมาตรฐาน เมื่อวางระบบครั้งแรกควรถามทีมขายและทีมบริการลูกค้าด้วยว่ามีไฟล์แนบลักษณะนี้เก็บสะสมไว้ที่ไหนบ้าง แล้วนำเข้ารายการข้อมูลพร้อมกำหนดระยะเวลาเก็บรักษาเช่นเดียวกับข้อมูลในฐานข้อมูลหลัก

ใช้เช็กลิสต์และ Audit ต่อยอดหลังมีรายการพื้นฐานแล้ว

เมื่อมีรายการข้อมูลพื้นฐานครบทั้งหกขั้นตอนแล้ว ให้ใช้ เช็กลิสต์ข้อมูลส่วนบุคคลบนเว็บไซต์สำหรับ SME ทุกครั้งที่จะเปิดใช้งานฟีเจอร์ใหม่ เพื่อไม่ให้รายการที่ทำไว้คลาดเคลื่อนจากระบบจริงอีก ส่วนการตรวจทั้งระบบแบบละเอียดพร้อมหลักฐานที่ควรเก็บทุกจุดเป็นงานที่ควรทำเป็นรอบตามที่อธิบายไว้ในบทความ Audit Guide ของคลัสเตอร์เดียวกัน

ด้านกฎหมายที่ต้องทำคู่ขนานไปด้วย

รายการข้อมูลที่วางไว้ในบทความนี้เป็นฐานสำคัญสำหรับงานด้านกฎหมายด้วย เพราะเมื่อรู้ชัดว่าเก็บข้อมูลอะไรและไหลไปที่ไหน จะตอบได้ง่ายขึ้นว่าแต่ละจุดมีฐานทางกฎหมายรองรับหรือไม่ และต้องแจ้งเจ้าของข้อมูลอย่างไร รายละเอียดด้านกฎหมายอ่านเพิ่มเติมได้ในหมวด Privacy Fundamentals ซึ่งครอบคลุมทั้งด้านข้อมูลและด้านกฎหมายของเว็บไซต์ SME ไว้ในที่เดียว

ข้อผิดพลาดที่พบบ่อยเมื่อวางระบบข้อมูลส่วนบุคคลครั้งแรก

• เข้าใจว่าเขียนนโยบายความเป็นส่วนตัวเสร็จแล้วเท่ากับรู้ว่าเว็บไซต์เก็บข้อมูลอะไร
• สำรวจจุดเก็บข้อมูลไม่ครบ ลืมนับปลั๊กอินย่อยที่ทีมการตลาดติดตั้งเอง
• ไม่กำหนดระยะเวลาเก็บรักษาข้อมูลให้ชัดเจน ปล่อยไว้แบบไม่มีกำหนด
• ไม่มีเจ้าของข้อมูลรับผิดชอบชัดเจน ทำให้ไม่มีใครอัปเดตรายการเมื่อเพิ่มเครื่องมือใหม่
• ลืมนับไฟล์แนบที่ลูกค้าส่งผ่านอีเมลหรือแชทว่าเป็นข้อมูลที่ต้องบันทึกด้วย

สรุป

การวางระบบข้อมูลส่วนบุคคลบนเว็บไซต์ SME ไม่ได้จบที่การเขียนนโยบายความเป็นส่วนตัวติดหน้าเว็บไซต์ แต่ต้องเริ่มจากสำรวจจุดเก็บข้อมูลจริงทั้งหมด จัดหมวดหมู่ ระบุปลายทางและระยะเวลาเก็บรักษา ตั้งเจ้าของข้อมูลผู้รับผิดชอบ แล้ววางรอบทบทวนให้รายการนี้ไม่ล้าสมัย เมื่อมีรายการพื้นฐานครบแล้ว ให้ใช้เช็กลิสต์ก่อนเปิดใช้งานฟีเจอร์ใหม่ทุกครั้ง และ Audit เป็นรอบตามกำหนด เพื่อให้รายการข้อมูลตรงกับความจริงของเว็บไซต์อยู่เสมอ

แหล่งข้อมูลอ้างอิง

แนวทางที่เกี่ยวข้องกับหลักการคุ้มครองข้อมูลส่วนบุคคลของไทยควรตรวจสอบกับประกาศและแนวปฏิบัติของ สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (PDPC) โดยตรง บทความนี้เป็นแนวทางเชิงปฏิบัติด้านการจัดการข้อมูลสำหรับเจ้าของกิจการ SME ไม่ใช่การตีความข้อกำหนดทางกฎหมายแทนหน่วยงานกำกับดูแล