หากเว็บของท่านมีช่องให้ลูกค้ากรอกชื่อกับหมายเลขโทรศัพท์ ท่านคือ ผู้ควบคุมข้อมูลส่วนบุคคล ตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคลแล้ว ไม่ว่าจะทราบหรือไม่ และความรับผิดอยู่ที่กิจการของท่าน มิใช่ที่ผู้รับทำเว็บ
ข่าวดีคือสำหรับ SME ทั่วไป สิ่งที่ต้องมีจริง ๆ ไม่ได้มีจำนวนมากอย่างที่กังวลกัน
บทความนี้เขียนจากมุมของผู้ทำเว็บ เพื่อให้ท่านทราบว่าควรสั่งการสิ่งใดกับผู้รับทำเว็บของท่าน มิใช่คำแนะนำทางกฎหมาย เรื่องที่ซับซ้อนกว่านี้ควรปรึกษาทนายความ
1. ประกาศความเป็นส่วนตัวที่อ่านเข้าใจได้
หน้าที่ระบุว่า จัดเก็บสิ่งใด จัดเก็บไปเพื่อการใด จัดเก็บนานเพียงใด ส่งต่อให้ผู้ใดบ้าง และติดต่อผู้ใดหากประสงค์ให้ลบ
ข้อที่พบผิดบ่อยที่สุดคือการนำข้อความของบริษัทขนาดใหญ่มาวางทั้งชุด จนมีข้อความว่าส่งข้อมูลให้บริษัทในเครือทั่วโลก ทั้งที่กิจการมีร้านเดียวที่หาดใหญ่ — เอกสารที่ไม่ตรงกับความจริงมีค่าเท่ากับไม่มี
หากประสงค์จะดูตัวอย่างที่เขียนตรงกับความจริง เชิญดูนโยบายความเป็นส่วนตัวของเว็บนี้ ได้ — เขียนเฉพาะสิ่งที่เว็บนี้ทำจริง ไม่มีข้อความสำเร็จรูปที่ไม่เกี่ยวข้องเลยสักบรรทัด
ควรมีลิงก์ไปหน้านี้ที่ท้ายทุกหน้าของเว็บ
2. ความยินยอมที่ผู้ใช้กดเอง มิใช่ติ๊กมาให้ล่วงหน้า
หากเว็บของท่านมีแบนเนอร์คุกกี้ที่มีปุ่ม "ยอมรับทั้งหมด" เพียงปุ่มเดียว หรือติ๊กช่องมาให้ครบตั้งแต่แรก — นั่นยังไม่ถือเป็นความยินยอมตามกฎหมาย
สิ่งที่ควรมี:
- ปุ่ม "ยอมรับ" กับ "ปฏิเสธ" ที่เด่นเท่ากัน
- คุกกี้เพื่อการวิเคราะห์และโฆษณา ไม่ทำงานจนกว่าจะกดยอมรับ (ข้อนี้สำคัญที่สุด และเป็นข้อที่เว็บส่วนใหญ่ทำไม่ถูก)
- เปลี่ยนใจภายหลังได้
ข้อยกเว้นคือคุกกี้ที่จำเป็นต่อการทำงานของเว็บ เช่น ตัวจำว่าท่านล็อกอินอยู่ — ประเภทนี้ไม่ต้องขอความยินยอม
3. จัดเก็บเท่าที่จำเป็น
ทุกช่องในฟอร์มที่ท่านไม่ได้ใช้จริง คือความเสี่ยงที่ไม่ได้ผลตอบแทน
หากฟอร์มขอใบเสนอราคาต้องการเพียงชื่อ หมายเลขโทรศัพท์ และสิ่งที่ต้องการ — ก็ไม่จำเป็นต้องมีช่องวันเกิด ที่อยู่ หรือเลขบัตรประชาชน
ข้อมูลอ่อนไหว (สุขภาพ ศาสนา ประวัติอาชญากรรม ข้อมูลชีวภาพ) อยู่ภายใต้กฎที่เข้มงวดกว่ามากตามมาตรา 26 สำหรับ SME ทั่วไป คำแนะนำคือ ขอให้หลีกเลี่ยงการจัดเก็บผ่านเว็บ หากจำเป็นต้องมี ขอให้ใช้ช่องทางอื่นที่ควบคุมได้และปรึกษาทนายความก่อน
4. ระบุว่าจัดเก็บนานเพียงใด แล้วลบจริงเมื่อครบกำหนด
ประโยคที่ใช้ได้จริงสำหรับร้านค้าทั่วไป เช่น "เก็บข้อมูลผู้ติดต่อไว้ 2 ปีนับจากการติดต่อครั้งสุดท้าย"
สิ่งที่ต้องทำคู่กันคือมีผู้รับผิดชอบในร้านว่าจะลบจริงเมื่อครบกำหนด — มิใช่เพียงเขียนไว้บนเว็บ
5. ช่องทางให้เจ้าของข้อมูลใช้สิทธิ
ลูกค้ามีสิทธิขอดู ขอแก้ไข ขอลบ และขอย้ายข้อมูลของตนเอง กิจการต้องมีช่องทางรับเรื่อง — อีเมลหนึ่งกล่องที่มีผู้เปิดอ่านจริงก็เพียงพอสำหรับ SME
สิ่งที่ต้องเตรียมคือ ทราบว่าข้อมูลลูกค้าอยู่ที่ใดบ้าง หากฟอร์มบนเว็บส่งเข้าทั้ง Google Sheet และไลน์และอีเมล การ "ลบข้อมูล" ย่อมหมายถึงลบทั้งสามที่
นี่คือเหตุผลที่การออกแบบว่าฟอร์มจะส่งไปที่ใด ควรคิดตั้งแต่วันแรก มิใช่ค่อยต่อเติมภายหลังไปเรื่อย ๆ
6. หากใช้บริการภายนอก ขอให้ระบุไว้
Google Analytics, Meta Pixel, ระบบส่งอีเมล, LINE — ทั้งหมดคือการส่งข้อมูลให้บุคคลที่สาม ต้องระบุไว้ในประกาศความเป็นส่วนตัว
เทคนิคเล็ก ๆ ที่ช่วยได้มาก: โหลดฟอนต์และสคริปต์มาไว้ที่เว็บของตนเองแทนการเรียกจากเซิร์ฟเวอร์ของผู้อื่น ทุกครั้งที่หน้าเว็บเรียกไฟล์จากโดเมนภายนอก เบราว์เซอร์ของผู้ใช้จะส่งหมายเลขไอพีไปให้เจ้าของโดเมนนั้นโดยอัตโนมัติ — ลดจำนวนโดเมนภายนอก = ลดเรื่องที่ต้องอธิบายและลดเวลาโหลดไปพร้อมกัน
เช็กลิสต์สั้นสำหรับสั่งงานผู้รับทำเว็บ
- มีหน้าประกาศความเป็นส่วนตัวที่เขียนตรงกับสิ่งที่กิจการทำจริง
- ลิงก์ประกาศฯ อยู่ท้ายทุกหน้า
- แบนเนอร์ความยินยอมมีปุ่มปฏิเสธที่เด่นเท่าปุ่มยอมรับ
- สคริปต์วิเคราะห์และโฆษณาไม่ทำงานก่อนได้รับความยินยอม
- ฟอร์มมีเฉพาะช่องที่ใช้จริง
- ระบุระยะเวลาจัดเก็บข้อมูล
- มีอีเมลรับเรื่องขอใช้สิทธิ และมีผู้อ่านจริง
- ทราบว่าข้อมูลจากฟอร์มไปปรากฏที่ใดบ้าง ครบทุกที่
เช็กลิสต์นี้ทำครบได้ในงานทำเว็บรอบเดียว หากคิดตั้งแต่ต้น — แต่จะกลายเป็นงานรื้อใหญ่หากมาทำภายหลัง
ทุกแพ็กเกจของเราที่มีฟอร์มเก็บข้อมูล จะมาพร้อมประกาศความเป็นส่วนตัวที่เขียนให้ตรงกับกิจการของท่าน และแบนเนอร์ความยินยอมแบบที่สคริปต์วัดผลไม่ทำงานจนกว่าจะกดยอมรับจริง
อ่านต่อ: 9 คำถามที่ต้องถามก่อนเซ็นจ้างทำเว็บ — ข้อ 8 คือคำถามเรื่องข้อมูลลูกค้าที่ควรถามผู้รับทำเว็บก่อนเซ็นสัญญา