เว็บไซต์ของคุณผิด PDPA หรือเปล่า? เช็กลิสต์ 10 นาทีสำหรับธุรกิจไทย

พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล หรือ PDPA มีผลบังคับใช้เต็มรูปแบบตั้งแต่เดือนมิถุนายน 2022 เจ้าของธุรกิจขนาดเล็กหลายคนคิดว่ากฎหมายนี้เกี่ยวกับธนาคารและโรงพยาบาลเท่านั้น แต่ความจริงคือ ถ้าเว็บไซต์ของคุณมีฟอร์มติดต่อ ฟอร์มจอง ระบบวิเคราะห์ข้อมูล แชทวิดเจ็ต หรือการสมัครรับจดหมายข่าว คุณกำลังเก็บข้อมูลส่วนบุคคล และกฎหมายนี้ใช้กับคุณ นี่คือการตรวจสอบแบบเร็วและใช้ได้จริงที่คุณทำเองได้

บทความนี้เป็นแนวทางทั่วไป ไม่ใช่คำแนะนำทางกฎหมาย หากเป็นเรื่องที่มีความเสี่ยงสูง เช่น ข้อมูลสุขภาพหรือฐานข้อมูลลูกค้าขนาดใหญ่ ควรปรึกษาทนายความไทยที่เชี่ยวชาญด้านการคุ้มครองข้อมูล

อะไรบ้างที่นับเป็นข้อมูลส่วนบุคคลบนเว็บไซต์

ตาม PDPA ข้อมูลส่วนบุคคลคือข้อมูลใดก็ตามที่ระบุตัวบุคคลได้ ไม่ว่าทางตรงหรือทางอ้อม บนเว็บไซต์ธุรกิจทั่วไป ข้อมูลเหล่านี้ได้แก่

• ชื่อ เบอร์โทรศัพท์ อีเมล และ LINE ID จากฟอร์ม
• รายละเอียดการจอง ที่อยู่ และประวัติการชำระเงิน
• IP address และตัวระบุคุกกี้ที่เครื่องมือวิเคราะห์และโฆษณาใช้ เมื่อสามารถเชื่อมโยงถึงตัวบุคคลได้
• ข้อความสนทนาจากแชทวิดเจ็ตบนเว็บไซต์และแชทบอท
• รูปภาพหรือเอกสารที่ลูกค้าอัปโหลด

บทลงโทษตาม PDPA ไม่ใช่แค่ในนาม

PDPA กำหนดโทษปรับทางปกครองสูงสุด 5 ล้านบาท โทษทางอาญาสำหรับความผิดร้ายแรงบางประเภท และความรับผิดทางแพ่งที่ศาลอาจสั่งให้จ่ายค่าสินไหมทดแทนเพื่อการลงโทษได้สูงสุดสองเท่าของความเสียหายจริง การบังคับใช้เริ่มต้นอย่างช้า ๆ แต่คณะกรรมการคุ้มครองข้อมูลส่วนบุคคลได้เริ่มสั่งปรับแล้ว และหลายกรณีก็เริ่มต้นจากการร้องเรียนของลูกค้าเพียงคนเดียว

เช็กลิสต์ PDPA 10 นาทีสำหรับเว็บไซต์ของคุณ

• ประกาศความเป็นส่วนตัว: มีนโยบายความเป็นส่วนตัวที่ชัดเจนและหาง่ายหรือไม่ และอธิบายหรือไม่ว่าคุณเก็บอะไร เพื่ออะไร เก็บนานแค่ไหน และเปิดเผยให้ใคร
• ฟอร์ม: ทุกฟอร์มบอกหรือไม่ว่าเก็บข้อมูลไปเพื่ออะไร และมีลิงก์ไปยังประกาศความเป็นส่วนตัวข้างปุ่มส่งหรือไม่
• ความยินยอมทางการตลาด: ถ้าคุณจะส่งโปรโมชัน มีช่องทำเครื่องหมายแยกต่างหากที่ไม่ได้ติ๊กไว้ล่วงหน้าหรือไม่ ไม่ใช่รวมอยู่ใน “ฉันยอมรับทั้งหมด”
• คุกกี้: คุกกี้เพื่อการวิเคราะห์และโฆษณารอความยินยอมก่อนหรือไม่ และปฏิเสธได้ง่ายหรือไม่ หรือโหลดทันทีที่เปิดหน้า
• บุคคลภายนอก: คุณรู้หรือไม่ว่าเครื่องมือใดบ้างที่ได้รับข้อมูลผู้เข้าชม เช่น Google Analytics, Meta Pixel, แชทวิดเจ็ต หรือระบบจอง
• คำขอเกี่ยวกับข้อมูล: ถ้าลูกค้าขอดูหรือขอลบข้อมูลของตัวเอง คุณรู้หรือไม่ว่าใครเป็นคนจัดการและจัดการอย่างไร
• ความปลอดภัย: เว็บไซต์ใช้ HTTPS หรือไม่ การเข้าสู่ระบบหลังบ้านมีการป้องกันหรือไม่ และซอฟต์แวร์อัปเดตล่าสุดหรือไม่
• แผนรับมือข้อมูลรั่วไหล: คุณรู้หรือไม่ว่าเหตุข้อมูลรั่วไหลที่มีความเสี่ยงต่อผู้คน โดยทั่วไปต้องแจ้งหน่วยงานกำกับดูแลภายใน 72 ชั่วโมง

ความยินยอมไม่ใช่ฐานทางกฎหมายเพียงอย่างเดียว

ความผิดพลาดที่พบบ่อยคือการขอความยินยอมในทุกเรื่อง PDPA อนุญาตฐานทางกฎหมายอื่นด้วย เช่น การปฏิบัติตามสัญญา (คุณต้องใช้ที่อยู่เพื่อจัดส่งสินค้า) หรือประโยชน์โดยชอบด้วยกฎหมาย การขอความยินยอมมากเกินไปทำให้ฟอร์มยาวและสับสน และผู้ใช้สามารถถอนความยินยอมได้ทุกเมื่อ ใช้ความยินยอมเฉพาะเมื่อจำเป็นจริง ๆ ซึ่งมักเป็นเรื่องการตลาดและคุกกี้ที่ไม่จำเป็น และอธิบายวัตถุประสงค์อื่น ๆ ไว้ในประกาศความเป็นส่วนตัว

อย่าลืม LINE แชท และระบบจอง

ธุรกิจไทยจำนวนมากเก็บข้อมูลลูกค้าส่วนใหญ่นอกเว็บไซต์ ทั้งในแชท LINE Official Account, Facebook Messenger, แพลตฟอร์มจอง และสเปรดชีต กฎเดียวกันใช้กับที่เหล่านั้นด้วย คุณต้องรู้ว่าข้อมูลอยู่ที่ไหน ใครในทีมเข้าถึงได้ และเก็บไว้นานแค่ไหน แชทบอทที่เก็บทุกบทสนทนาไว้ตลอดไปคือความเสี่ยง ไม่ใช่ทรัพย์สิน

ควรแก้อะไรก่อน

ถ้าการตรวจสอบพบช่องโหว่ ให้เริ่มจากสิ่งที่ผู้เข้าชมมองเห็นก่อน คือประกาศความเป็นส่วนตัวที่ถูกต้อง ข้อความในฟอร์มที่ตรงไปตรงมา ช่องยินยอมรับข่าวสารการตลาดที่แยกต่างหาก และแบนเนอร์คุกกี้ที่บล็อกคุกกี้ที่ไม่จำเป็นจริง ๆ จนกว่าผู้เข้าชมจะยินยอม จากนั้นค่อยจัดการเรื่องภายใน ได้แก่ สิทธิ์การเข้าถึง ระยะเวลาการเก็บรักษา และขั้นตอนง่าย ๆ สำหรับจัดการคำขอเกี่ยวกับข้อมูล

OutDept สร้างเว็บไซต์ ฟอร์ม และบอท โดยออกแบบการขอความยินยอมและการจัดการข้อมูลให้สอดคล้องกับ PDPA ตั้งแต่แรก และตรวจสอบเว็บไซต์ที่มีอยู่เพื่อแก้ไขส่วนที่ขาดได้ เราไม่ใช่สำนักงานกฎหมาย ดังนั้นเมื่อเป็นคำถามที่ซับซ้อน เราจะทำงานร่วมกับที่ปรึกษากฎหมายของคุณ