รายการตรวจ PDPA สำหรับเว็บไซต์ธุรกิจ 8 ข้อที่ทำได้จริง

พ.ร.บ. คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 หรือ PDPA มีผลบังคับใช้เต็มรูปแบบตั้งแต่กลางปี 2565 และครอบคลุมธุรกิจทุกขนาดที่เก็บข้อมูลของคนไทย ซึ่งรวมถึงเว็บไซต์ที่มีฟอร์มติดต่อเพียงช่องเดียว

บทความนี้ไม่ใช่คำแนะนำทางกฎหมาย และเราแนะนำให้ปรึกษาทนายก่อนรับลูกค้ารายแรก แต่รายการต่อไปนี้คือสิ่งที่เว็บไซต์ธุรกิจส่วนใหญ่ต้องมี และคุณตรวจสอบเว็บของตัวเองได้วันนี้โดยไม่ต้องรอใคร

1. นโยบายความเป็นส่วนตัวที่เขียนจากความจริง

มาตรา 23 กำหนดให้แจ้งเจ้าของข้อมูลก่อนหรือขณะเก็บข้อมูลว่า เก็บอะไร เพื่ออะไร ใช้ฐานทางกฎหมายใด เก็บนานเท่าไหร่ ส่งให้ใครบ้าง และเจ้าของข้อมูลมีสิทธิอะไร

ปัญหาที่พบบ่อยที่สุดไม่ใช่การไม่มีนโยบาย แต่คือนโยบายที่ก็อปมาจากเว็บอื่นและไม่ตรงกับสิ่งที่เว็บทำจริง เช่น ระบุว่าไม่ใช้คุกกี้บุคคลที่สาม ทั้งที่มี Google Analytics และ Facebook Pixel ฝังอยู่ นโยบายที่ไม่ตรงความจริงแย่กว่าไม่มี เพราะเป็นหลักฐานว่าคุณรู้ว่าต้องทำแต่ทำผิด

ตรวจสอบ: เปิดนโยบายของคุณ แล้วเทียบกับรายชื่อบริการที่เว็บใช้จริง (ดูจากแท็บ Network ในเบราว์เซอร์ หรือถามคนทำเว็บ)

2. ช่องยินยอมที่ไม่ติ๊กล่วงหน้า

ความยินยอมตาม PDPA ต้องเป็นการกระทำที่ชัดเจนของเจ้าของข้อมูล ช่องที่ติ๊กไว้แล้วให้ผู้ใช้เอาออกเองไม่นับ และข้อความต้องระบุวัตถุประสงค์ชัดเจน ไม่ใช่ "ยอมรับเงื่อนไขทั้งหมด"

ตัวอย่างข้อความที่ใช้ได้: "ข้าพเจ้ายินยอมให้บริษัทเก็บชื่อและเบอร์โทรเพื่อติดต่อกลับเกี่ยวกับบริการที่สอบถาม ข้อมูลจะถูกเก็บไม่เกิน 24 เดือน"

ตรวจสอบ: เปิดฟอร์มติดต่อของคุณบนมือถือ ช่องยินยอมว่างอยู่หรือไม่ และส่งฟอร์มได้โดยไม่ติ๊กหรือไม่ (ต้องส่งไม่ได้)

3. คุกกี้วิเคราะห์ที่ไม่ทำงานจนกว่าจะอนุญาต

แบนเนอร์คุกกี้ที่มีแค่ปุ่ม "ตกลง" ขณะที่ Google Analytics ทำงานไปแล้วตั้งแต่โหลดหน้า ไม่ใช่การขอความยินยอม มันคือการแจ้งหลังจากทำไปแล้ว

สิ่งที่ถูกต้องคือ: คุกกี้ที่ไม่จำเป็นต้องไม่ทำงานจนกว่าจะกดยอมรับ ปุ่มปฏิเสธต้องกดง่ายเท่าปุ่มยอมรับ (ไม่ซ่อนในเมนู "ตั้งค่า") และต้องเปลี่ยนใจภายหลังได้

ตรวจสอบ: เปิดเว็บในหน้าต่างไม่ระบุตัวตน อย่ากดอะไรในแบนเนอร์ แล้วดูว่ามีคำขอไปยัง google-analytics.com หรือ facebook.com หรือไม่ ถ้ามี แบนเนอร์ของคุณเป็นแค่ของตกแต่ง

4. ฟอร์มเก็บเท่าที่จำเป็น

หลักการ data minimisation: เก็บเฉพาะที่ต้องใช้ ฟอร์มติดต่อไม่ต้องขอเลขบัตรประชาชน ฟอร์มนัดหมายคลินิกไม่ควรถามอาการบนเว็บ (ข้อมูลสุขภาพเป็นข้อมูลอ่อนไหวตามมาตรา 26 ต้องมีความยินยอมโดยชัดแจ้งและมาตรการเข้มกว่า)

ทุกช่องที่เพิ่มคือความรับผิดชอบที่เพิ่ม ถ้าไม่มีเหตุผลชัดเจนว่าจะใช้ทำอะไร ตัดออก

ตรวจสอบ: ไล่ดูทุกช่องในทุกฟอร์ม แล้วถามว่า "ถ้าไม่มีข้อมูลนี้ เราติดต่อกลับไม่ได้จริงหรือ"

5. รู้ว่าข้อมูลไปที่ไหน

เมื่อลูกค้ากรอกฟอร์ม ข้อมูลไปที่ไหน อีเมลของใคร เก็บในระบบอะไร ใครเข้าถึงได้บ้าง และผู้ให้บริการเหล่านั้นอยู่ประเทศไหน

การส่งข้อมูลไปต่างประเทศ (เช่น ใช้ Gmail, Google Sheets, Mailchimp) ทำได้ แต่ต้องระบุในนโยบายและผู้ให้บริการต้องมีมาตรการคุ้มครองที่เพียงพอ

ตรวจสอบ: เขียนเส้นทางของข้อมูลจากฟอร์มหนึ่งฟอร์มตั้งแต่ต้นจนจบ ถ้าเขียนไม่ได้ นั่นคือปัญหาข้อแรกที่ต้องแก้

6. ระยะเวลาเก็บที่ระบุและทำจริง

นโยบายที่บอกว่า "เก็บไม่เกิน 24 เดือน" ต้องมีใครสักคนลบข้อมูลจริงเมื่อครบ 24 เดือน ถ้าฟอร์มส่งเข้าอีเมลและอีเมลไม่เคยถูกลบ นโยบายนั้นเป็นเท็จ

วิธีที่ง่ายที่สุดสำหรับธุรกิจเล็ก: ตั้งกฎในอีเมลให้ลบข้อความจากฟอร์มที่เก่ากว่า 24 เดือนอัตโนมัติ หรือใช้ระบบที่ลบให้เอง

ตรวจสอบ: ข้อมูลจากฟอร์มที่เก่าที่สุดที่คุณยังมีอยู่ อายุเท่าไหร่

7. ช่องทางใช้สิทธิของเจ้าของข้อมูล

เจ้าของข้อมูลมีสิทธิขอดู ขอแก้ ขอลบ และถอนความยินยอม คุณต้องมีช่องทางรับคำขอที่ระบุในนโยบาย (อีเมลหรือ LINE ก็ได้) และตอบภายใน 30 วัน

ตรวจสอบ: ถ้ามีคนส่งอีเมลมาขอให้ลบข้อมูล วันนี้ คุณรู้ไหมว่าต้องไปลบที่ไหนบ้าง

8. ข้อมูลผู้ประกอบการที่ต้องแสดง

ไม่ใช่ข้อกำหนดของ PDPA โดยตรง แต่เป็นสิ่งที่ลูกค้าไทยใช้ตัดสินว่าธุรกิจนี้มีตัวตนจริง: ชื่อนิติบุคคล เลขทะเบียน 13 หลัก ที่อยู่ และช่องทางติดต่อ ที่ท้ายหน้าเว็บ

เว็บที่ไม่มีข้อมูลเหล่านี้ดูเหมือนเว็บที่พร้อมจะหายไป และเมื่อคุณเป็นผู้ควบคุมข้อมูลตาม PDPA เจ้าของข้อมูลต้องรู้ว่าจะติดต่อใคร

ตรวจสอบ: เลื่อนไปท้ายหน้าแรกของคุณ มีครบสี่อย่างไหม

สรุป

แปดข้อนี้ทำได้ภายในหนึ่งสัปดาห์สำหรับเว็บส่วนใหญ่ และค่าใช้จ่ายส่วนใหญ่คือเวลา ไม่ใช่เงิน สิ่งที่แพงคือการถูกร้องเรียนหลังจากเกิดเหตุ โดยที่คุณมีนโยบายที่ไม่ตรงความจริงเป็นหลักฐานอยู่บนเว็บ

เว็บทุกเว็บที่เราสร้างผ่านรายการนี้ก่อนส่งมอบ และบริการตรวจสอบของเราครอบคลุมทั้งแปดข้อในส่วน PDPA ของรายงาน