PDPA บนเว็บ SME — 6 อย่างที่ต้องมีถ้าเว็บคุณมีฟอร์ม

ถ้าเว็บของคุณมีช่องให้ลูกค้ากรอกชื่อกับเบอร์โทร คุณคือ ผู้ควบคุมข้อมูลส่วนบุคคล ตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคลแล้ว ไม่ว่าจะรู้ตัวหรือไม่ และความรับผิดอยู่ที่กิจการของคุณ ไม่ใช่ที่คนทำเว็บ

ข่าวดีคือสำหรับ SME ทั่วไป สิ่งที่ต้องมีจริง ๆ ไม่ได้เยอะอย่างที่กลัว

บทความนี้เขียนจากมุมคนทำเว็บ เพื่อให้คุณรู้ว่าควรสั่งอะไรกับคนทำเว็บของคุณ ไม่ใช่คำแนะนำทางกฎหมาย เรื่องที่ซับซ้อนกว่านี้ควรปรึกษาทนาย

1. ประกาศความเป็นส่วนตัวที่อ่านรู้เรื่อง

หน้าที่บอกว่า เก็บอะไร เก็บไปทำอะไร เก็บนานแค่ไหน ส่งต่อให้ใครบ้าง และติดต่อใครถ้าอยากให้ลบ

ที่เห็นผิดบ่อยที่สุดคือเอาข้อความของบริษัทใหญ่มาวางทั้งดุ้น จนมีข้อความว่าส่งข้อมูลให้บริษัทในเครือทั่วโลก ทั้งที่กิจการมีร้านเดียวที่หาดใหญ่ — เอกสารที่ไม่ตรงกับความจริงมีค่าเท่ากับไม่มี

อยากเห็นตัวอย่างที่เขียนตรงกับความจริง ดูนโยบายความเป็นส่วนตัวของเว็บนี้ ได้ — เขียนเฉพาะสิ่งที่เว็บนี้ทำจริง ไม่มีข้อความสำเร็จรูปที่ไม่เกี่ยวข้องเลยสักบรรทัด

ควรมีลิงก์ไปหน้านี้ที่ท้ายทุกหน้าของเว็บ

2. ความยินยอมที่ผู้ใช้กดเอง ไม่ใช่ติ๊กมาให้ล่วงหน้า

ถ้าเว็บคุณมีแบนเนอร์คุกกี้ที่มีปุ่ม "ยอมรับทั้งหมด" อย่างเดียว หรือติ๊กช่องมาให้ครบตั้งแต่แรก — นั่นยังไม่ใช่ความยินยอมตามกฎหมาย

สิ่งที่ควรมี:

• ปุ่ม "ยอมรับ" กับ "ปฏิเสธ" ที่เด่นพอ ๆ กัน
• คุกกี้เพื่อการวิเคราะห์และโฆษณา ไม่ทำงานจนกว่าจะกดยอมรับ (ข้อนี้สำคัญที่สุด และเป็นข้อที่เว็บส่วนใหญ่ทำไม่ถูก)
• เปลี่ยนใจภายหลังได้

ข้อยกเว้นคือคุกกี้ที่จำเป็นต่อการทำงานของเว็บ เช่น ตัวจำว่าคุณล็อกอินอยู่ — พวกนี้ไม่ต้องขอ

3. เก็บเท่าที่จำเป็น

ทุกช่องในฟอร์มที่คุณไม่ได้ใช้จริง คือความเสี่ยงที่ไม่ได้ผลตอบแทน

ถ้าฟอร์มขอใบเสนอราคาต้องการแค่ชื่อ เบอร์ และสิ่งที่อยากได้ — ก็ไม่ต้องมีช่องวันเกิด ที่อยู่ หรือเลขบัตรประชาชน

ข้อมูลอ่อนไหว (สุขภาพ ศาสนา ประวัติอาชญากรรม ข้อมูลชีวภาพ) อยู่ภายใต้กฎที่เข้มกว่ามากตามมาตรา 26 สำหรับ SME ทั่วไป คำแนะนำคือ อย่าเก็บผ่านเว็บเลย ถ้าจำเป็นต้องมี ให้ใช้ช่องทางอื่นที่ควบคุมได้และปรึกษาทนายก่อน

4. บอกว่าเก็บนานแค่ไหน แล้วลบจริงเมื่อครบ

ประโยคที่ใช้ได้จริงสำหรับร้านค้าทั่วไป เช่น "เก็บข้อมูลผู้ติดต่อไว้ 2 ปีนับจากการติดต่อครั้งสุดท้าย"

สิ่งที่ต้องทำคู่กันคือมีคนในร้านที่รับผิดชอบว่าจะลบจริง ๆ เมื่อครบ — ไม่ใช่แค่เขียนไว้บนเว็บ

5. ช่องทางให้เจ้าของข้อมูลใช้สิทธิ์

ลูกค้ามีสิทธิ์ขอดู ขอแก้ ขอลบ และขอย้ายข้อมูลของตัวเอง กิจการต้องมีช่องทางรับเรื่อง — อีเมลหนึ่งกล่องที่มีคนเปิดอ่านจริงก็พอสำหรับ SME

สิ่งที่ต้องเตรียมคือ รู้ว่าข้อมูลลูกค้าอยู่ที่ไหนบ้าง ถ้าฟอร์มบนเว็บส่งเข้าทั้ง Google Sheet และไลน์และอีเมล การ "ลบข้อมูล" หมายถึงลบทั้งสามที่

นี่คือเหตุผลที่การออกแบบว่าฟอร์มจะส่งไปไหน ควรคิดตั้งแต่วันแรก ไม่ใช่ค่อยต่อทีหลังเรื่อย ๆ

6. ถ้าใช้บริการภายนอก ให้บอกไว้

Google Analytics, Meta Pixel, ระบบส่งอีเมล, LINE — ทั้งหมดคือการส่งข้อมูลให้บุคคลที่สาม ต้องระบุไว้ในประกาศความเป็นส่วนตัว

เทคนิคเล็ก ๆ ที่ช่วยได้มาก: โหลดฟอนต์และสคริปต์มาไว้ที่เว็บตัวเองแทนการเรียกจากเซิร์ฟเวอร์ของคนอื่น ทุกครั้งที่หน้าเว็บเรียกไฟล์จากโดเมนภายนอก เบราว์เซอร์ของผู้ใช้จะส่งหมายเลขไอพีไปให้เจ้าของโดเมนนั้นโดยอัตโนมัติ — ลดจำนวนโดเมนภายนอก = ลดเรื่องที่ต้องอธิบายและลดเวลาโหลดไปพร้อมกัน

เช็กลิสต์สั้นสำหรับสั่งงานคนทำเว็บ

• มีหน้าประกาศความเป็นส่วนตัวที่เขียนตรงกับสิ่งที่กิจการทำจริง
• ลิงก์ประกาศฯ อยู่ท้ายทุกหน้า
• แบนเนอร์ความยินยอมมีปุ่มปฏิเสธที่เด่นเท่าปุ่มยอมรับ
• สคริปต์วิเคราะห์และโฆษณาไม่ทำงานก่อนได้รับความยินยอม
• ฟอร์มมีเฉพาะช่องที่ใช้จริง
• ระบุระยะเวลาเก็บข้อมูล
• มีอีเมลรับเรื่องขอใช้สิทธิ์ และมีคนอ่านจริง
• รู้ว่าข้อมูลจากฟอร์มไปโผล่ที่ไหนบ้าง ครบทุกที่

เช็กลิสต์นี้ทำครบได้ในงานทำเว็บรอบเดียว ถ้าคิดตั้งแต่ต้น — แต่จะกลายเป็นงานรื้อใหญ่ถ้ามาทำทีหลัง

ทุกแพ็กเกจของเราที่มีฟอร์มเก็บข้อมูล จะมาพร้อมประกาศความเป็นส่วนตัวที่เขียนให้ตรงกับกิจการของคุณ และแบนเนอร์ความยินยอมแบบที่สคริปต์วัดผลไม่ทำงานจนกว่าจะกดยอมรับจริง

อ่านต่อ: 9 คำถามที่ต้องถามก่อนเซ็นจ้างทำเว็บ — ข้อ 8 คือคำถามเรื่องข้อมูลลูกค้าที่ควรถามคนทำเว็บก่อนเซ็น