PDPA คืออะไร
PDPA ย่อมาจาก พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 เป็นกฎหมายที่กำหนดว่าองค์กร/ธุรกิจที่เก็บ ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลของคนอื่น ต้องทำอย่างถูกต้องและได้รับความยินยอมจากเจ้าของข้อมูลก่อน มีแนวทางใกล้เคียงกับ GDPR ของยุโรป
ใครต้องทำตาม PDPA บ้าง
ถ้าเว็บไซต์หรือเพจของคุณมีการเก็บข้อมูลต่อไปนี้แม้แต่อย่างใดอย่างหนึ่ง ก็อยู่ในข่ายต้องทำตาม PDPA:
- ฟอร์มสมัครสมาชิก/ฟอร์มติดต่อที่เก็บชื่อ อีเมล เบอร์โทร
- ระบบสั่งซื้อสินค้าที่เก็บที่อยู่จัดส่งและข้อมูลการชำระเงิน
- คุกกี้ที่ใช้ติดตามพฤติกรรมผู้เข้าชมเว็บไซต์ (เช่น Google Analytics, Facebook Pixel)
- ฐานข้อมูลลูกค้าที่ใช้ส่งอีเมล/ข้อความการตลาด
สิ่งที่ต้องทำเป็นอันดับแรก
- มีหน้า Privacy Policy (นโยบายความเป็นส่วนตัว) บนเว็บไซต์ — ระบุว่าเก็บข้อมูลอะไรบ้าง เก็บไปทำไม เก็บนานแค่ไหน และเจ้าของข้อมูลมีสิทธิ์อะไรบ้าง
- ขอความยินยอม (Consent) ก่อนเก็บข้อมูลเสมอ — ต้องเป็นการยินยอมที่ชัดเจนเฉพาะเจาะจงแต่ละวัตถุประสงค์ ไม่ใช่ติ๊กช่องเดียวครอบคลุมทุกอย่างแบบเหมารวม และห้ามติ๊กช่องยินยอมไว้ล่วงหน้าให้ผู้ใช้เอง (ต้องให้ผู้ใช้ติ๊กเองเท่านั้น)
- แจ้งวัตถุประสงค์การใช้คุกกี้และมี Cookie Consent Banner ถ้าเว็บไซต์ใช้คุกกี้ติดตามพฤติกรรม (เช่น สำหรับโฆษณาหรือวิเคราะห์การใช้งาน)
- เก็บข้อมูลเท่าที่จำเป็นเท่านั้น อย่าเก็บข้อมูลเกินความจำเป็นต่อการให้บริการ
- มีมาตรการรักษาความปลอดภัยของข้อมูล เช่น ใช้ SSL/HTTPS, จำกัดคนที่เข้าถึงฐานข้อมูลลูกค้าได้
- เตรียมช่องทางให้เจ้าของข้อมูลใช้สิทธิ์ เช่น ขอเข้าถึง แก้ไข หรือขอให้ลบข้อมูลของตัวเอง (ผ่านหน้าติดต่อเราหรืออีเมลที่ระบุไว้)
ถ้าไม่ทำตามจะเป็นอย่างไร
หน่วยงานกำกับดูแล (คณะกรรมการคุ้มครองข้อมูลส่วนบุคคล) ผ่านช่วงผ่อนผันมานานแล้วและเริ่มบังคับใช้จริงจังขึ้นเรื่อยๆ โทษมีทั้งทางปกครอง (ปรับเงิน) ทางแพ่ง และทางอาญาในกรณีร้ายแรง ขึ้นอยู่กับลักษณะความผิด — ธุรกิจขนาดเล็กก็มีความเสี่ยงถูกร้องเรียนได้เช่นกัน โดยเฉพาะถ้าเก็บข้อมูลลูกค้าโดยไม่มี Privacy Policy หรือไม่ขอความยินยอมเลย
เคล็ดลับทำให้ครบแบบไม่ต้องจ้างที่ปรึกษาแพง
- ใช้ปลั๊กอิน Cookie Consent สำเร็จรูปสำหรับ WordPress (มีทั้งฟรีและเสียเงิน) แทนการเขียนระบบเอง
- ใช้เทมเพลต Privacy Policy จากแหล่งที่น่าเชื่อถือมาปรับให้ตรงกับสิ่งที่เว็บไซต์ตัวเองเก็บข้อมูลจริง อย่า copy มาทั้งดุ้นโดยไม่แก้ไข
- ถ้าธุรกิจมีขนาดใหญ่ขึ้นหรือเก็บข้อมูลอ่อนไหว (เช่น ข้อมูลสุขภาพ) ควรปรึกษาผู้เชี่ยวชาญกฎหมายโดยเฉพาะ
สรุป
ถ้าเว็บไซต์หรือร้านค้าออนไลน์เก็บข้อมูลลูกค้าแม้เพียงชื่อกับเบอร์โทร ก็ต้องทำตาม PDPA แล้ว สิ่งที่ต้องมีขั้นต่ำคือหน้า Privacy Policy ที่ชัดเจน ระบบขอความยินยอมก่อนเก็บข้อมูล และช่องทางให้ลูกค้าใช้สิทธิ์เกี่ยวกับข้อมูลของตัวเองได้ เริ่มทำให้ครบตั้งแต่วันแรกจะปลอดภัยกว่าการแก้ทีหลังตอนถูกร้องเรียน