PDPA กับเว็บไซต์ธุรกิจ: ฟอร์มติดต่อของคุณขอความยินยอมถูกต้องหรือยัง (2569)

ลองนึกภาพเคาน์เตอร์ต้อนรับของคลินิกความงามสักแห่งครับ มีสมุดเล่มหนึ่งวางอยู่บนโต๊ะ เปิดหน้าล่าสุดค้างไว้ ทุกคนที่เดินเข้ามาต้องเขียนชื่อ เบอร์โทร บางทีก็เลขบัตรประชาชน ลงในบรรทัดถัดจากคนก่อนหน้า พนักงานต้อนรับที่ดีจะรู้เองโดยไม่ต้องมีใครสอน ว่าสมุดเล่มนี้ไม่ควรเปิดค้างไว้ให้คนที่เดินผ่านแอบเห็นชื่อคนไข้คนก่อน ไม่ควรถ่ายรูปหน้าสมุดส่งต่อในกลุ่มไลน์ ไม่ควรทิ้งไว้ในถังขยะตอนปิดร้านโดยไม่ฉีกทำลาย เพราะรู้สึกได้เองว่าชื่อกับเบอร์โทรของคนอื่นเป็นของที่ต้องระวัง

เว็บไซต์ธุรกิจของคุณก็มีสมุดเล่มนั้นเหมือนกันครับ เพียงแต่มันอยู่ในรูปฟอร์มติดต่อ ปุ่มกดแชทไลน์ หรือช่องกรอกเบอร์โทรเพื่อรับโปรโมชัน ปัญหาคือสมุดดิจิทัลเล่มนี้เจ้าของร้านส่วนใหญ่ไม่เคยเปิดดูเลยว่าตอนนี้ถูกเก็บรักษายังไง ใครเห็นได้บ้าง แล้วมีใครขอความยินยอมจากเจ้าของชื่อก่อนหรือเปล่า

ลองไล่เช็คเว็บตัวเองสักสามนาที

ก่อนจะพูดถึงตัวบทกฎหมาย ลองเปิดเว็บไซต์ของร้านตัวเองขึ้นมาก่อนครับ แล้วไล่ดูทีละหน้าว่ามีจุดไหนบ้างที่ขอให้ลูกค้าพิมพ์ชื่อ เบอร์โทร หรืออีเมลลงไป

• ฟอร์มติดต่อหรือฟอร์มขอใบเสนอราคา

• ปุ่มกดแชทไลน์หรือกดโทรที่ส่งข้อมูลไปเก็บไว้เบื้องหลัง

• ช่องสมัครรับข่าวสารหรือคูปองส่วนลด

• สคริปต์ analytics กับ pixel โฆษณาที่ติดอยู่ในหน้าเว็บ ซึ่งเก็บพฤติกรรมการเข้าชมไว้เหมือนกัน

เช็คต่อว่าตรงจุดนั้นมีข้อความอธิบายไหมว่าจะเอาข้อมูลนี้ไปทำอะไร มีช่องให้กดยินยอมแยกออกมาจากปุ่ม "ส่ง" หรือเปล่า แล้วสุดท้ายข้อมูลที่กรอกเข้ามาไปโผล่ที่ไหน อีเมลของใครสักคน สเปรดชีตที่แชร์ลิงก์เปิดกว้าง หรือระบบที่มีการควบคุมสิทธิ์เข้าถึง

ถ้าเช็คแล้วเจอว่าไม่มีทั้งคำอธิบาย ไม่มีช่องยินยอม แล้วก็ไม่รู้ด้วยซ้ำว่าข้อมูลไปอยู่ที่ไหน ไม่ต้องตกใจครับ เว็บไซต์ธุรกิจไทยจำนวนมากที่ผมเจอเป็นแบบนี้ทั้งนั้น เพียงแต่นั่นแหละคือจุดเริ่มต้นของบทความนี้ทั้งบท

ก่อนจะไปไกลกว่านี้ ต้องรู้ก่อนว่าตัวเองเป็นใครในกฎหมายนี้

พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 หรือ PDPA เรียกคนที่เก็บชื่อเบอร์โทรของลูกค้าไว้ว่า "ผู้ควบคุมข้อมูลส่วนบุคคล" (Data Controller) เจ้าของข้อมูลคือลูกค้าคนนั้นเอง (Data Subject) และถ้าคุณจ้างบริษัทอื่นมาดูแลระบบหลังบ้านหรือเพจให้ บริษัทนั้นเรียกว่า "ผู้ประมวลผลข้อมูลส่วนบุคคล" (Data Processor) ตัวอย่างที่ คู่มือ PDPA สำหรับผู้ประกอบการ SMEs ของสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (PDPC) เอง ยกไว้ตรงๆ คือร้านกาแฟที่เก็บข้อมูลลูกค้าไว้ทำระบบสมาชิก ก็ถือเป็นผู้ควบคุมข้อมูลส่วนบุคคลแล้วครับ ไม่ต้องเป็นบริษัทใหญ่ระดับองค์กรถึงจะเข้าข่าย

นิยาม "ข้อมูลส่วนบุคคล" ในตัวกฎหมายเองก็เขียนไว้กว้างมาก คือข้อมูลใดก็ตามที่ทำให้ระบุตัวบุคคลได้ ไม่ว่าทางตรงหรือทางอ้อม (มาตรา 6) ชื่อกับเบอร์โทรในฟอร์มติดต่อระบุตัวตนทางตรงอยู่แล้ว ส่วนข้อมูลจาก analytics หรือ pixel โฆษณาที่เก็บพฤติกรรมผูกกับอุปกรณ์เครื่องหนึ่งไว้ ก็อาจเข้าข่ายระบุตัวตนทางอ้อมได้เหมือนกัน อันนี้เป็นจุดที่ผมอยากชวนให้ทบทวนไว้ มากกว่าจะฟันธงแทนคุณครับ เพราะรายละเอียดว่าเข้าข่ายแค่ไหนต้องดูเป็นกรณีไป

ขอความยินยอม ต้องหน้าตาแบบไหนถึงจะนับ

ตัวบทมาตรา 19 ของ พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคลเขียนไว้ชัดว่าการขอความยินยอมต้อง "ทำโดยชัดแจ้ง เป็นหนังสือหรือทำผ่านระบบอิเล็กทรอนิกส์" ต้องแยกส่วนออกจากข้อความอื่นอย่างชัดเจน ใช้ภาษาที่อ่านง่าย ไม่หลอกลวงหรือทำให้เข้าใจผิดในวัตถุประสงค์ และที่สำคัญคือห้ามผูกเงื่อนไขความยินยอมไว้กับการเข้าทำสัญญาหรือรับบริการ ถ้าไม่จำเป็นต่อบริการนั้นจริงๆ

แปลเป็นภาษาเว็บไซต์ก็คือ ช่องติ๊กยินยอมต้องแยกกล่องออกจากปุ่ม "ส่งข้อมูล" ไม่ใช่แอบผูกไว้ในข้อความเล็กๆ ใต้ปุ่มที่ไม่มีใครอ่าน และห้ามตั้งค่าให้ติ๊กไว้ล่วงหน้าแบบที่ลูกค้าต้องไปคลิกเอาออกเอง เพราะการติ๊กไว้ล่วงหน้าทำให้ตอบยากว่าเจ้าของข้อมูลให้ความยินยอมโดยชัดแจ้งจริงหรือไม่ตามที่มาตรา 19 กำหนด

ลองดูตัวอย่างจริงกันครับ ถ้าฟอร์มติดต่อของร้านมีปุ่ม "ส่งข้อมูล" อยู่ด้านล่าง ก่อนถึงปุ่มนั้นควรมีช่องติ๊กแยกต่างหาก พร้อมข้อความประมาณนี้

☐ ฉันยินยอมให้ [ชื่อร้าน/บริษัท] เก็บและใช้ชื่อ เบอร์โทร และอีเมลของฉัน เพื่อติดต่อกลับเกี่ยวกับสินค้าหรือบริการที่สอบถามเท่านั้น อ่านรายละเอียดเพิ่มเติมได้ที่นโยบายความเป็นส่วนตัว

ข้อความนี้แยกกล่องออกมาต่างหาก ไม่ได้แอบฝังอยู่ในข้อความข้อตกลงการใช้บริการยาวๆ ที่ไม่มีใครอ่าน บอกชัดว่าเก็บข้อมูลอะไร เอาไปทำอะไร แล้วมีลิงก์ให้อ่านรายละเอียดต่อได้ ถ้าลูกค้าไม่ติ๊ก ปุ่ม "ส่งข้อมูล" ก็ไม่ควรทำงาน — ข้อนี้ใช้ได้เพราะชื่อกับเบอร์โทรจำเป็นต่อการติดต่อกลับจริง ถ้าเป็นช่องสมัครรับข่าวสารที่ไม่จำเป็นต่อบริการ ห้ามบล็อกปุ่มส่งแบบนี้ครับ ต้องบอกไว้ตรงนี้ด้วยครับว่าข้อความที่ยกมาเป็นแค่ตัวอย่างแนวทาง ไม่ใช่ข้อความสำเร็จรูปที่หยิบไปแปะได้เลย ควรปรับคำให้ตรงกับสิ่งที่ธุรกิจตัวเองเก็บจริง และให้คนที่ดูแลเรื่องนี้ในธุรกิจตรวจอีกครั้งก่อนใช้งานจริง

ก่อนลูกค้าจะพิมพ์ ต้องบอกอะไรเขาก่อนบ้าง

มาตรา 23 กำหนดรายละเอียดที่ต้องแจ้งให้เจ้าของข้อมูลรู้ก่อนหรือขณะเก็บข้อมูล ได้แก่ วัตถุประสงค์ที่จะเอาข้อมูลไปใช้ ว่าต้องให้ข้อมูลหรือไม่และจะเกิดอะไรขึ้นถ้าไม่ให้ ข้อมูลอะไรบ้างที่เก็บและเก็บไว้นานแค่ไหน ใครหรือหน่วยงานไหนอาจได้เห็นข้อมูลนี้บ้าง ใครคือผู้ควบคุมข้อมูลและติดต่อได้ทางไหน รวมถึงสิทธิของเจ้าของข้อมูลเอง เช่น สิทธิขอเข้าถึง ขอแก้ไข หรือขอลบข้อมูลของตัวเอง

ส่วนใหญ่รายละเอียดพวกนี้จะถูกรวบไว้ในหน้าที่เรียกกันว่า Privacy Policy หรือนโยบายความเป็นส่วนตัว ซึ่งเว็บไซต์ธุรกิจไทยจำนวนไม่น้อยยังไม่มีหน้านี้เลยด้วยซ้ำครับ ส่วนใหญ่ไม่ได้ตั้งใจเลี่ยงเลย เพียงแต่ตอนสร้างเว็บไม่มีใครหยิบเรื่องนี้ขึ้นมาคุยกันตั้งแต่แรกเท่านั้นเอง

ถ้าจะลงมือเขียนหน้านี้จริงๆ ประโยคที่ต้องมีอย่างน้อยหน้าตาประมาณนี้ครับ (ปรับคำให้ตรงกับธุรกิจตัวเองอีกที ไม่ต้องก็อปไปวางทั้งดุ้น)

• บอกวัตถุประสงค์: "เราเก็บชื่อและเบอร์โทรของคุณเพื่อติดต่อกลับเรื่องใบเสนอราคาเท่านั้น"

• บอกว่าต้องให้ข้อมูลหรือไม่ และถ้าไม่ให้จะเป็นอย่างไร: "การกรอกชื่อและเบอร์โทรเป็นความสมัครใจ แต่ถ้าไม่กรอก เราจะติดต่อกลับเพื่อเสนอราคาให้ไม่ได้"

• บอกชนิดข้อมูลและระยะเวลาเก็บ: "ข้อมูลที่เก็บคือชื่อ เบอร์โทร และอีเมล เก็บไว้ไม่เกิน 2 ปีนับจากวันที่ติดต่อครั้งล่าสุด"

• บอกว่าใครเห็นข้อมูลบ้าง: "ข้อมูลนี้ทีมงานภายในของเราเห็นเท่านั้น ไม่ส่งต่อให้บุคคลภายนอก ยกเว้นระบบอีเมลและระบบจัดเก็บข้อมูลที่เราใช้งาน"

• บอกว่าใครคือผู้ควบคุมข้อมูลและติดต่อได้ทางไหน: "ผู้ควบคุมข้อมูลคือ [ชื่อร้าน/บริษัท] ติดต่อได้ที่ [อีเมลหรือเบอร์โทร]"

• บอกสิทธิของเจ้าของข้อมูล: "คุณขอดู ขอแก้ไข ขอลบ ขอให้ระงับการใช้ ขอคัดค้านการเก็บหรือใช้ ขอถอนความยินยอม หรือร้องเรียนต่อ PDPC ได้ โดยติดต่อผ่านช่องทางด้านบน"

หกประโยคนี้ครอบคลุมหัวข้อที่มาตรา 23 กำหนดไว้ครับ แต่รายละเอียดของสิทธิแต่ละข้อยังมีมากกว่าที่ย่อไว้ตรงนี้ ถ้าธุรกิจของคุณเก็บข้อมูลมากกว่าชื่อกับเบอร์โทร ควรให้คนที่ดูแลเรื่องนี้ตรวจอีกครั้ง

ทำไมเรื่องนี้เริ่มมีน้ำหนักขึ้นเรื่อยๆ ในปี 2569

ปีนี้มีกรณีข้อมูลรั่วไหลระดับใหญ่ที่ PDPC กำลังตรวจสอบอยู่สองเรื่องพร้อมกัน คือกรณีข้อมูลระบบ "หมอพร้อม" ที่มีผู้ใช้สิทธิยื่นร้องเรียนแล้วกว่า 30 ราย และกรณี TSD Investor Portal ที่ข้อมูลผู้ใช้บริการราว 200,000 รายอาจได้รับผลกระทบ ทั้งสองกรณียังอยู่ระหว่างการตรวจสอบ ยังไม่มีคำวินิจฉัยหรือบทลงโทษออกมา (Infoquest, 29 ก.ค. 2569)

จุดที่น่าสนใจคือเลขาธิการ PDPC เองพูดไว้ตรงๆ ในข่าวชิ้นเดียวกันว่า "การเกิดเหตุข้อมูลส่วนบุคคลรั่วไหลไม่ได้หมายความว่าองค์กรนั้นมีความผิดตามกฎหมายโดยอัตโนมัติ" ต้องดูว่าก่อนเกิดเหตุมีมาตรการป้องกันที่เหมาะสมหรือไม่ ตรวจพบและจัดการเร็วแค่ไหน แล้วแจ้งเจ้าของข้อมูลตามที่กฎหมายกำหนดหรือเปล่า พูดง่ายๆ คือกฎหมายไม่ได้เอาผิดที่ผลลัพธ์อย่างเดียว แต่ดูที่กระบวนการที่ทำไว้ล่วงหน้าด้วย ซึ่งนั่นคือสิ่งที่ธุรกิจควบคุมได้ตั้งแต่วันนี้

ฝั่งบทลงโทษ ตัวบทแยกระดับไว้ตามลักษณะการฝ่าฝืน สองเรื่องที่ผมเล่ามาข้างต้น คือการไม่แจ้งรายละเอียดตามมาตรา 23 และการขอความยินยอมไม่เป็นไปตามแบบที่คณะกรรมการประกาศกำหนดตามมาตรา 19 อยู่ในมาตรา 82 โทษปรับทางปกครองไม่เกิน 1 ล้านบาท ส่วนเพดาน 3 ล้านบาทในมาตรา 83 เป็นคนละพฤติการณ์ครับ เช่น การขอความยินยอมโดยหลอกลวงหรือทำให้เจ้าของข้อมูลเข้าใจผิดในวัตถุประสงค์ การเอาข้อมูลไปใช้นอกเหนือวัตถุประสงค์ที่แจ้งไว้ (มาตรา 21) หรือการเก็บเกินความจำเป็น (มาตรา 22) และถ้าเป็นข้อมูลอ่อนไหวตามมาตรา 26 เช่น ข้อมูลสุขภาพ ซึ่งธุรกิจอย่างคลินิกมักเก็บอยู่แล้ว การฝ่าฝืนข้อกำหนดของข้อมูลกลุ่มนี้มีเพดานสูงสุดถึง 5 ล้านบาท (มาตรา 84) แต่ก็มีข้อที่ควรรู้ไว้เหมือนกันครับ คือมาตรา 90 เขียนไว้ว่าคณะกรรมการผู้เชี่ยวชาญต้องพิจารณาความร้ายแรงของพฤติการณ์ควบคู่กับ "ขนาดกิจการ" ของผู้ควบคุมข้อมูลด้วย ไม่ได้เหวี่ยงแหใช้เพดานโทษเดียวกันกับทุกธุรกิจ

ข่าวดีสำหรับธุรกิจขนาดเล็ก มีข้อยกเว้นจริง แต่ไม่ใช่ยกเว้นทั้งหมด

PDPC เองออกประกาศยกเว้นภาระบางส่วนให้ผู้ควบคุมข้อมูลที่เป็นกิจการขนาดเล็ก ทั้งวิสาหกิจขนาดย่อมและขนาดกลางตามกฎหมาย SME วิสาหกิจชุมชน กิจการเพื่อสังคม สหกรณ์ ไปจนถึงกิจการในครัวเรือน ได้รับการยกเว้นไม่ต้องจัดทำ "บันทึกรายการกิจกรรมการประมวลผลข้อมูล" หรือ RoPA แบบเป็นทางการตามมาตรา 39 (คู่มือ PDPA สำหรับผู้ประกอบการ SMEs, PDPC)

แต่ต้องพูดให้ชัดครับว่า ข้อยกเว้นนี้ยกเว้นแค่เอกสารบันทึกรายการก้อนนั้นก้อนเดียว หน้าที่หลักอย่างการขอความยินยอมให้ถูกวิธี การแจ้งรายละเอียดก่อนเก็บข้อมูล และการดูแลความปลอดภัยของข้อมูล ยังเป็นหน้าที่ของทุกธุรกิจอยู่เหมือนเดิม ไม่ว่าจะเล็กแค่ไหน และข้อยกเว้นนี้ก็ใช้ไม่ได้ถ้าข้อมูลที่เก็บมีความเสี่ยงต่อสิทธิเสรีภาพของเจ้าของข้อมูล หรือเป็นข้อมูลอ่อนไหวตามมาตรา 26

ตอนนี้ก็ยังไม่เคยมีปัญหาอะไรเลยนี่ครับ ใช่ไหม

คำถามนี้ผมได้ยินบ่อยครับ และเข้าใจได้เลย ร้านส่วนใหญ่ใช้ฟอร์มแบบเดิมมาเป็นปีๆ ไม่เคยมีลูกค้าคนไหนบ่นเรื่องข้อมูลสักครั้ง ก็จริงของเขาครับ

ประเด็นของ PDPA ไม่ได้อยู่ที่ว่ามีคนร้องเรียนหรือยัง มันอยู่ที่ว่าระบบตอนนี้เก็บและใช้ข้อมูลถูกวิธีไหมตั้งแต่ต้น

เหมือนสมุดหน้าเคาน์เตอร์ที่เปิดค้างไว้ ต่อให้ยังไม่มีใครแอบดูจริงจนเป็นเรื่อง ก็ไม่ได้แปลว่าสมุดเล่มนั้นถูกเก็บถูกวิธีอยู่ดี แล้วยิ่งเว็บของคุณเริ่มมีฟีเจอร์ใหม่เพิ่มขึ้นเรื่อยๆ เช่น ระบบสมาชิกหรือระบบจองคิว ยิ่งมีจุดเก็บข้อมูลเพิ่มตามไปด้วย วางรากฐานเรื่องความยินยอมให้ถูกตั้งแต่วันที่เว็บยังมีไม่กี่ฟอร์ม ง่ายกว่าไปไล่แก้ทีหลังตอนที่มีสิบยี่สิบจุดเก็บข้อมูลกระจายอยู่ทั่วเว็บมากครับ

เราเป็นทีมทำเว็บ ไม่ใช่สำนักงานกฎหมาย

ต้องบอกตรงๆ ครับว่าสิ่งที่ผมเล่ามาทั้งหมดคือกรอบกว้างๆ ที่อ่านมาจากตัวบทกฎหมายและเอกสารของ PDPC เอง เป็นคำแนะนำทางกฎหมายเฉพาะเจาะจงสำหรับธุรกิจใดธุรกิจหนึ่งไม่ได้ครับ เพราะแต่ละธุรกิจเก็บข้อมูลไม่เหมือนกัน มีความเสี่ยงไม่เท่ากัน ถ้าธุรกิจของคุณเก็บข้อมูลที่ละเอียดอ่อนกว่าชื่อกับเบอร์โทรทั่วไป เช่น ข้อมูลสุขภาพหรือข้อมูลการเงิน หรือมีคำถามว่ากรณีของตัวเองต้องทำแค่ไหนถึงจะพอ ทางที่ตรงที่สุดคือปรึกษา PDPC โดยตรงผ่านสายด่วน 1111 หรือปรึกษาทนายความที่ดูแลเรื่องนี้ครับ สิ่งที่ทีมเราทำได้เต็มที่คือช่วยสร้างเว็บไซต์และระบบที่รองรับสิ่งที่ธุรกิจตัดสินใจแล้วว่าต้องทำ

ถ้าจะเริ่ม เริ่มจากอะไรก่อน

ในทางปฏิบัติ เว็บไซต์ธุรกิจทั่วไปที่มีแค่ฟอร์มติดต่อกับปุ่มไลน์ ไม่จำเป็นต้องสร้างระบบใหญ่โตอะไรตั้งแต่วันแรกครับ สิ่งที่พอทำได้จริงและครอบคลุมหน้าที่หลักคือมีหน้านโยบายความเป็นส่วนตัวที่เขียนด้วยภาษาที่คนอ่านเข้าใจ บอกชัดว่าเก็บอะไร เอาไปทำอะไร เก็บนานแค่ไหน แล้วติดต่อใครได้ถ้าอยากขอลบข้อมูล ต่อมาคือมีช่องติ๊กยินยอมแยกออกจากปุ่มส่งฟอร์มอย่างชัดเจน ไม่ตั้งค่าติ๊กไว้ล่วงหน้า และสุดท้ายคือรู้ว่าข้อมูลที่ลูกค้ากรอกเข้ามาไปตกอยู่ที่ไหน มีระบบหลังบ้านที่จำกัดสิทธิ์คนเข้าถึงได้จริง ไม่ใช่แค่สเปรดชีตที่แชร์ลิงก์เปิดกว้างให้ใครก็เข้าดูได้

นโยบายความเป็นส่วนตัวที่เขียนไว้ชัดเจนไม่ได้มีประโยชน์แค่เรื่องกฎหมายอย่างเดียวนะครับ มันเป็นหนึ่งในสัญญาณที่ลูกค้าใช้ตัดสินว่าร้านนี้น่าเชื่อถือแค่ไหนก่อนโอนเงินด้วย รายละเอียดเรื่องนี้จากมุมของลูกค้าเอง ผมเขียนไว้ที่ สัญญาณที่ลูกค้าใช้ตัดสินใจว่าร้านออนไลน์นี้น่าเชื่อถือพอจะโอนเงินให้หรือไม่

ข้อสุดท้ายเรื่องระบบหลังบ้านคือจุดที่ผมเห็นบ่อยที่สุดครับ ร้านหลายที่ต่อฟอร์มติดต่อเข้ากับอีเมลกลางที่หลายคนใช้ร่วมกัน หรือส่งเข้าไลน์กลุ่มที่มีคนนอกทีมอยู่ด้วย พอเว็บไซต์เชื่อมเข้ากับระบบหลังบ้านที่ควบคุมสิทธิ์เข้าถึงได้จริง เก็บ log ว่าใครเปิดดูข้อมูลลูกค้าตอนไหน จุดที่กฎหมายกังวลเรื่องความปลอดภัยของข้อมูลก็แก้ไปพร้อมกันเลย ผมเขียนรายละเอียดเรื่องการวางระบบหลังบ้านให้ธุรกิจ SME ไว้ที่ เคล็ดลับวางระบบหลังบ้านปี 2026 ถ้าอยากเห็นภาพรวมก่อน ถ้าอยากดูตัวอย่างว่าระบบที่ล็อกสิทธิ์แบบนี้หน้าตาเป็นยังไง ดูตัวอย่างระบบธุรกิจที่เราเคยวางให้ลูกค้าได้ที่ หน้าระบบธุรกิจของเรา

ระบบจองคิวออนไลน์ก็เข้าข่ายเดียวกันครับ ทุกครั้งที่ลูกค้าจองคิวผ่านเว็บ นั่นคือข้อมูลส่วนบุคคลอีกก้อนที่เข้ามาเก็บไว้ ผมเคยเขียนถึงประโยชน์ของระบบจองคิวไว้ที่ 5 เหตุผลที่ร้านคุณควรใช้ระบบจองคิวออนไลน์ แต่ถ้าจะใช้งานจริง อย่าลืมนึกถึงข้อมูลที่มันเก็บไว้เบื้องหลังด้วยครับ

ถ้าเว็บของคุณตอนนี้ยังฝากทุกอย่างไว้กับเพจ Facebook อย่างเดียว มีอีกมุมหนึ่งที่น่าคิดควบคู่กันไป คือคุณไม่มีสิทธิ์ควบคุมข้อมูลลูกค้าที่เก็บอยู่บนแพลตฟอร์มของคนอื่นเลย ต่อให้อยากทำทุกอย่างให้ถูกต้องตามกฎหมายก็ทำได้จำกัดกว่าการมีเว็บของตัวเอง รายละเอียดอยู่ที่ Facebook Page อย่างเดียวพอไหม? 5 ความเสี่ยงธุรกิจ 2026

แผน 30 วันก่อนเริ่มทำให้เว็บไซต์สอดคล้องกับ PDPA มากขึ้น

• สัปดาห์แรก ไล่สำรวจทุกจุดที่เก็บข้อมูล: เปิดเว็บทีละหน้า จดทุกฟอร์ม ปุ่มไลน์ สคริปต์ analytics และ pixel โฆษณาที่มีอยู่ ให้เห็นภาพรวมทั้งหมดก่อน

• สัปดาห์ที่สอง ร่างนโยบายความเป็นส่วนตัวฉบับอ่านง่าย: เขียนด้วยภาษาที่ลูกค้าเข้าใจ บอกวัตถุประสงค์ ระยะเวลาเก็บ และช่องทางติดต่อขอลบข้อมูล

• สัปดาห์ที่สาม แก้ฟอร์มให้มีช่องยินยอมแยกออกมาจริง: ไม่ผูกไว้กับปุ่มส่ง ไม่ติ๊กไว้ล่วงหน้าให้ลูกค้า

• สัปดาห์ที่สี่ ตรวจว่าข้อมูลที่กรอกเข้ามาไปอยู่ที่ไหน: ย้ายจากสเปรดชีตหรืออีเมลกลางที่เปิดกว้าง ไปอยู่ในระบบที่จำกัดสิทธิ์คนเข้าถึงได้จริง

วัดผลยังไงว่าทำมาถูกทาง

เรื่องนี้ไม่มีตัวเลข conversion ให้ดูแบบแคมเปญโฆษณาครับ แต่มีจุดตรวจง่ายๆ ที่ทำได้เอง ลองสุ่มถามทีมงานหรือเพื่อนที่ไม่เคยเห็นเว็บมาก่อนว่า ถ้าเขากรอกฟอร์มติดต่อ เขารู้ไหมว่าข้อมูลของเขาจะถูกเอาไปทำอะไร ถ้าเขาตอบไม่ได้ แปลว่าหน้านโยบายความเป็นส่วนตัวยังไม่ทำหน้าที่ของมัน อีกจุดคือลองไล่ดูสิทธิ์เข้าถึงระบบหลังบ้านทุกสามเดือนว่ามีใครที่ออกจากทีมไปแล้วแต่ยังเข้าดูข้อมูลลูกค้าได้อยู่หรือเปล่า สองจุดนี้เช็คได้เองโดยไม่ต้องรอให้มีปัญหาเกิดก่อน

ส่งท้าย

กลับไปที่สมุดหน้าเคาน์เตอร์คลินิกอีกครั้งครับ พนักงานต้อนรับที่ดีไม่ได้ทำถูกเพราะท่องกฎหมายมาก่อน เขาทำถูกเพราะมีสามัญสำนึกว่าข้อมูลของคนอื่นต้องดูแลด้วยความระมัดระวัง PDPA เอาสามัญสำนึกแบบนั้นมาเขียนเป็นข้อกำหนดที่จับต้องได้ สำหรับโลกที่สมุดเล่มนั้นกลายเป็นฟอร์มดิจิทัลที่เก็บข้อมูลคนได้เป็นพันเป็นหมื่นรายในเวลาไม่กี่เดือน

ถ้าตอนนี้เว็บไซต์ของคุณยังไม่เคยเช็คเรื่องนี้เลย ไม่ต้องรู้สึกว่าตัวเองทำผิดอะไรมาตลอดนะครับ ธุรกิจส่วนใหญ่ก็เป็นแบบนี้ สิ่งที่ทำได้ตอนนี้คือเริ่มเช็คตั้งแต่วันนี้ ทักมาเล่าให้เราฟังได้เลยครับว่าตอนนี้เว็บของคุณเก็บข้อมูลลูกค้าผ่านช่องทางไหนบ้าง แล้วเราจะช่วยดูว่าจุดไหนที่ควรแก้ก่อน

ช่องทางการติดตาม TumWebSME

ติดตามสาระความรู้เรื่องการทำเว็บไซต์และการตลาดออนไลน์ได้ที่:

• Facebook: TumWebSME รับทำเว็บไซต์ธุรกิจ

• Instagram: @tumwebsme

• TikTok: @tumwebsme

• YouTube: TumWebSME

ติดต่องานและสอบถามบริการ

• 088-983-9386 (คุณพลอย)

• 099-856-3198 (คุณแสนนาน)