แก้ปัญหาข้อมูลส่วนบุคคลบนเว็บไซต์ SME เมื่อระบบไม่เป็นไปตามที่ตั้งใจ

ผู้ดูแลเว็บไซต์ของร้านเฟอร์นิเจอร์แห่งหนึ่งพบว่าฟอร์มขอใบเสนอราคายังส่งอีเมลไปที่พนักงานขายที่ลาออกไปแล้วสามเดือนก่อน ทั้งที่คิดว่าเคยแก้ปลายทางอีเมลไปแล้ว เมื่อไปตรวจ Cookie Banner ก็พบอีกปัญหาคือกดปุ่ม "ปฏิเสธทั้งหมด" แล้ว Facebook Pixel ยังคงยิงคำขอออกไปเหมือนเดิม

ปัญหาลักษณะนี้เกิดขึ้นบ่อยกับเว็บไซต์ SME เพราะระบบหลายส่วนต่อกันแบบไม่มีใครตรวจสอบทั้งหมดในคราวเดียว บทความนี้ไล่ 6 อาการที่พบบ่อยพร้อมวิธีตรวจสอบและแนวทางแก้ไขทีละเคส

อาการที่ 1: ฟอร์มยังส่งอีเมลไปที่ปลายทางเก่าหรือคนที่ลาออกแล้ว

อาการ: ลูกค้ากรอกฟอร์มแล้วไม่มีใครติดต่อกลับ เมื่อตรวจสอบพบว่าอีเมลปลายทางยังเป็นบัญชีของพนักงานเก่า

วิธีตรวจสอบ: เปิดหลังบ้านของระบบฟอร์ม (ปลั๊กอินฟอร์มบนเว็บไซต์ หรือบริการฟอร์มภายนอก) แล้วดูรายการอีเมลปลายทางที่ตั้งค่าไว้จริง อย่าเชื่อความจำว่าเคยแก้ไปแล้ว เพราะบางระบบมีการตั้งค่าอีเมลปลายทางซ้ำกันหลายจุด เช่น ในปลั๊กอินฟอร์มและในตัวเว็บไซต์เอง

แนวทางแก้ไข: เปลี่ยนอีเมลปลายทางเป็นอีเมลกลางของบริษัทที่มีคนดูแลต่อเนื่อง ไม่ผูกกับพนักงานคนใดคนหนึ่ง และตั้งระบบแจ้งเตือนอัตโนมัติเมื่อมีฟอร์มใหม่ส่งเข้ามาเพื่อให้ตรวจพบความผิดปกติได้เร็ว

อาการที่ 2: กดปฏิเสธคุกกี้แล้วสคริปต์โฆษณายังทำงานเหมือนเดิม

อาการ: ผู้ใช้กดปุ่ม "ปฏิเสธทั้งหมด" บน Cookie Banner แต่เมื่อเปิด Developer Tools ดู Network ยังเห็นคำขอไปยัง Facebook หรือ Google Ads เหมือนก่อนกด

วิธีตรวจสอบ: เปิดแท็บ Network ในเบราว์เซอร์ กดปฏิเสธคุกกี้ แล้วรีเฟรชหน้าใหม่ ดูว่ายังมีคำขอไปยังโดเมนของ Pixel หรือ Analytics หรือไม่ หากยังมี แปลว่าสคริปต์เหล่านั้นไม่ได้ผูกกับสถานะ Consent จริง อาจเป็นเพราะติดตั้งแบบโค้ดตายตัวในธีมเว็บไซต์แยกจากระบบ Cookie Banner

แนวทางแก้ไข: ย้ายสคริปต์ที่ติดตายตัวในธีมหรือปลั๊กอินไปจัดการผ่านระบบ Cookie Banner หรือ Tag Manager แทน แล้วตั้งค่าให้สคริปต์ในหมวด Marketing และ Analytics ทำงานเฉพาะเมื่อผู้ใช้กดยินยอมหมวดนั้นเท่านั้น

อาการที่ 3: หาไม่เจอว่าข้อมูลของลูกค้ารายหนึ่งกระจายอยู่ที่ไหนบ้าง

อาการ: ลูกค้าติดต่อมาขอให้ลบข้อมูลของตนเอง แต่ทีมงานไม่แน่ใจว่าต้องไปลบที่ระบบใดบ้าง เพราะไม่เคยทำตารางสำรวจข้อมูลไว้

วิธีตรวจสอบ: ไล่ดูทุกจุดที่เว็บไซต์เก็บข้อมูลลูกค้า ได้แก่ ระบบฟอร์ม ระบบแชทสด ระบบอีเมลมาร์เก็ตติ้ง และไฟล์สเปรดชีตภายใน แล้วค้นหาชื่อหรืออีเมลของลูกค้ารายนั้นในแต่ละระบบทีละจุด

แนวทางแก้ไข: หลังแก้ปัญหาเฉพาะหน้าแล้ว ควรจัดทำตารางสำรวจข้อมูลไว้ล่วงหน้า เพื่อให้ครั้งต่อไปที่มีคำขอลักษณะนี้ ทีมงานรู้ทันทีว่าต้องตรวจที่ระบบใดบ้างโดยไม่ต้องไล่หาใหม่ทุกครั้ง

อาการที่ 4: วิดเจ็ตแชทสดแสดงประวัติแชทของลูกค้าคนอื่นสลับกัน

อาการ: พนักงานเปิดหน้าแชทแล้วเห็นบทสนทนาของลูกค้าคนละรายปนกัน หรือเห็นประวัติแชทเก่าของลูกค้าที่ไม่เกี่ยวข้องกับการสนทนาปัจจุบัน

วิธีตรวจสอบ: ตรวจสอบการตั้งค่าแคช (Cache) ของเว็บไซต์และปลั๊กอินแชท เพราะบางครั้งเกิดจากปัญหาแคชฝั่งเซิร์ฟเวอร์ที่แสดงข้อมูลของ Session เก่าค้างไว้ ไม่ใช่ปัญหาการตั้งค่าคุกกี้ของผู้ใช้โดยตรง

แนวทางแก้ไข: ล้างแคชของระบบที่เกี่ยวข้องและติดต่อผู้ให้บริการวิดเจ็ตแชทเพื่อยืนยันว่า Session ของผู้ใช้แต่ละคนถูกแยกออกจากกันอย่างถูกต้อง หากปัญหายังเกิดซ้ำ ควรพิจารณาเปลี่ยนผู้ให้บริการ

อาการที่ 5: เปลี่ยนธีมหรือปลั๊กอินแล้ว Privacy Policy เดิมไม่ตรงกับเว็บไซต์ใหม่

อาการ: หลังปรับปรุงเว็บไซต์ครั้งใหญ่ พบว่า Privacy Policy เดิมพูดถึงฟอร์มหรือฟีเจอร์ที่ไม่มีอยู่แล้ว ขณะที่ฟีเจอร์ใหม่ เช่น ระบบรีวิวสินค้าหรือระบบนัดหมาย ยังไม่ถูกกล่าวถึงเลย

วิธีตรวจสอบ: เปรียบเทียบเนื้อหา Privacy Policy ปัจจุบันกับฟีเจอร์และฟอร์มทั้งหมดที่มีอยู่จริงบนเว็บไซต์เวอร์ชันใหม่ทีละหัวข้อ

แนวทางแก้ไข: กำหนดให้การปรับปรุงเว็บไซต์ครั้งใหญ่ทุกครั้งต้องมีขั้นตอนทบทวน Privacy Policy ควบคู่กันเสมอ ไม่ปล่อยให้เป็นงานที่นึกได้ทีหลัง

อาการที่ 6: ลูกค้าเก่ายังได้รับอีเมลโปรโมชันทั้งที่กดยกเลิกรับข่าวสารไปแล้ว

อาการ: ลูกค้ากดลิงก์ยกเลิกรับข่าวสารในอีเมล แต่ยังคงได้รับอีเมลโปรโมชันรอบถัดไปเหมือนเดิม

วิธีตรวจสอบ: ตรวจสอบว่าระบบอีเมลมาร์เก็ตติ้งที่ใช้งานมีรายชื่อลูกค้าซ้ำกันในหลายลิสต์หรือไม่ เพราะการยกเลิกอาจมีผลเฉพาะลิสต์เดียว ขณะที่อีเมลถูกส่งจากอีกลิสต์ที่แยกกันอยู่

แนวทางแก้ไข: รวมรายชื่อผู้รับข่าวสารให้อยู่ในลิสต์เดียวหรือเชื่อมสถานะการยกเลิกให้ครอบคลุมทุกลิสต์ที่เกี่ยวข้อง แล้วทดสอบด้วยการยกเลิกจากอีเมลทดสอบก่อนประกาศใช้งานจริง

อาการที่ 7: ทีมงานใหม่ไม่รู้ว่าต้องตอบคำขอเรื่องข้อมูลอย่างไร

อาการ: เมื่อพนักงานคนเดิมที่เคยดูแลเรื่องข้อมูลลูกค้าลาออก พนักงานใหม่ไม่รู้ว่าเมื่อลูกค้าติดต่อมาขอลบหรือขอแก้ไขข้อมูลต้องทำอย่างไร ต้องติดต่อใคร หรือมีระบบใดที่ต้องเข้าไปลบบ้าง

วิธีตรวจสอบ: ถามพนักงานที่เกี่ยวข้องว่าเคยมีคู่มือหรือขั้นตอนที่เขียนไว้เป็นลายลักษณ์อักษรหรือไม่ ส่วนใหญ่มักพบว่าขั้นตอนอยู่ในความจำของพนักงานคนเดียวเท่านั้น ไม่เคยถูกบันทึกไว้ที่ไหน

แนวทางแก้ไข: จัดทำแบบบันทึกคำขอจากลูกค้าและขั้นตอนสั้น ๆ เป็นเอกสารที่ทีมงานทุกคนเข้าถึงได้ ไม่ผูกไว้กับความจำของคนใดคนหนึ่ง ดูตัวอย่างเอกสารที่ปรับใช้ได้จริงที่ ตัวอย่างและ Template จัดการข้อมูลส่วนบุคคลบนเว็บไซต์สำหรับ SME

เช็กลิสต์ปฏิบัติ

• ตรวจอีเมลปลายทางของทุกฟอร์มบนเว็บไซต์ว่ายังเป็นบัญชีที่มีคนดูแลอยู่จริง
• ทดสอบปุ่มปฏิเสธคุกกี้ผ่าน Developer Tools ทุกครั้งหลังปรับปรุงเว็บไซต์
• จัดทำตารางสำรวจข้อมูลล่วงหน้าเพื่อรองรับคำขอลบ/แก้ไขข้อมูลจากลูกค้า
• ล้างแคชและตรวจสอบ Session ของวิดเจ็ตแชทเมื่อพบข้อมูลลูกค้าปนกัน
• ทบทวน Privacy Policy ทุกครั้งที่ปรับปรุงเว็บไซต์ครั้งใหญ่
• ทดสอบลิงก์ยกเลิกรับข่าวสารว่าครอบคลุมทุกลิสต์ที่ใช้งานจริง

ข้อผิดพลาดที่พบบ่อยระหว่างแก้ปัญหา

• สรุปสาเหตุจากความจำโดยไม่เปิดระบบจริงไปตรวจสอบก่อน
• แก้ปัญหาเฉพาะจุดที่ลูกค้าร้องเรียนโดยไม่ตรวจว่าจุดอื่นมีปัญหาลักษณะเดียวกันหรือไม่
• ไม่มีขั้นตอนทดสอบซ้ำหลังแก้ไข ทำให้ปัญหาเดิมกลับมาเกิดซ้ำ
• ไม่บันทึกไว้ว่าแก้ปัญหาอะไรไปแล้วบ้าง ทำให้ทีมงานใหม่ต้องไล่หาสาเหตุซ้ำ

ลำดับขั้นตอนทั่วไปเมื่อพบปัญหาที่ไม่อยู่ในรายการนี้

หากพบอาการที่ไม่ตรงกับ 7 เคสข้างต้น ให้ใช้ลำดับขั้นตอนเดียวกันนี้เป็นแนวทาง เริ่มจากบันทึกอาการที่พบพร้อมภาพหน้าจอหรือหลักฐานประกอบ จากนั้นตรวจสอบระบบจริงที่เกี่ยวข้องแทนการเดาจากความจำ ทดสอบสมมติฐานด้วยการจำลองสถานการณ์เดิมซ้ำอีกครั้ง เมื่อพบสาเหตุแล้วให้แก้ไขทีละจุดและทดสอบซ้ำก่อนปิดเคส สุดท้ายบันทึกสิ่งที่พบและวิธีแก้ไว้เป็นลายลักษณ์อักษรเพื่อให้ทีมงานคนอื่นใช้อ้างอิงได้ในอนาคต หากปัญหาเกี่ยวข้องกับข้อมูลอ่อนไหวหรือมีผลกระทบต่อลูกค้าจำนวนมาก ควรแจ้งผู้บริหารและพิจารณาให้ผู้เชี่ยวชาญเข้ามาช่วยตรวจสอบเพิ่มเติมก่อนปิดเคส

คำถามที่พบบ่อย

ต้องมีความรู้ด้านโปรแกรมมิ่งไหมถึงจะตรวจ Network ใน Developer Tools ได้ ไม่จำเป็นต้องเขียนโค้ดเป็น แค่เปิดแท็บ Network แล้วดูรายชื่อโดเมนที่มีการเรียกออกไปก็เพียงพอสำหรับตรวจสอบเบื้องต้น หากต้องการเจาะลึกกว่านี้ควรให้ผู้ดูแลเว็บไซต์หรือผู้เชี่ยวชาญช่วยดู

ทำไมฟอร์มบางตัวถึงมีอีเมลปลายทางซ้ำกันหลายจุด มักเกิดจากการตั้งค่าไว้ทั้งในปลั๊กอินฟอร์มและในโค้ดของธีมเว็บไซต์ ทำให้แก้ที่จุดเดียวไม่ครบ ควรตรวจทั้งสองจุดพร้อมกันทุกครั้ง

ถ้าตรวจแล้วพบว่าปัญหาซับซ้อนเกินจะแก้เองควรทำอย่างไร ให้บันทึกอาการและหลักฐานที่พบไว้ก่อน แล้วส่งต่อให้ผู้พัฒนาเว็บไซต์หรือผู้เชี่ยวชาญด้านความเป็นส่วนตัวช่วยตรวจสอบต่อ แทนที่จะปล่อยผ่านโดยไม่มีการติดตาม

สรุป

ปัญหาข้อมูลส่วนบุคคลบนเว็บไซต์ SME ส่วนใหญ่แก้ได้ด้วยการตรวจสอบ Evidence จริงก่อนสรุปสาเหตุ ไม่ใช่เดาจากความจำหรือคิดว่าเคยแก้ไปแล้ว การไล่ตรวจทีละอาการตามลำดับช่วยให้ปิดปัญหาได้ตรงจุดและไม่กลับมาเกิดซ้ำ หากต้องการภาพรวมของเว็บไซต์ก่อนไล่ตรวจ ลองใช้ website-trust-scan ของ trusty เพื่อดูจุดที่ควรตรวจก่อน หรืออ่านแนวทางป้องกันล่วงหน้าที่ แนวทางจัดการข้อมูลส่วนบุคคลบนเว็บไซต์สำหรับ SME

แหล่งข้อมูลอ้างอิง

• สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (PDPC)