หลายคนรู้ว่ามี PDPA แต่ไม่รู้ว่าต้องทำอะไร
ตั้งแต่ พ.ร.บ. คุ้มครองข้อมูลส่วนบุคคล หรือ PDPA มีผลบังคับใช้ในปี 2565 ผมเจอเจ้าของธุรกิจสองแบบครับ แบบแรกคือรู้และทำตามกฎหมายแล้ว แบบที่สองคือรู้ว่ามีกฎหมายนี้ แต่ยังไม่แน่ใจว่าต้องทำอะไรกันแน่กับเว็บไซต์ของตัวเอง
บทความนี้เขียนสำหรับแบบที่สองครับ อธิบายแบบภาษาคนธรรมดา ไม่ใช่ภาษากฎหมาย
PDPA คืออะไรในภาษาง่ายๆ
PDPA คือกฎหมายที่บอกว่า ถ้าคุณเก็บข้อมูลส่วนตัวของคนอื่น (ชื่อ เบอร์โทร อีเมล ที่อยู่ IP address ฯลฯ) คุณต้อง:
1. บอกให้เขารู้ว่าคุณเก็บอะไร และเอาไปทำอะไร
2. ขอความยินยอมก่อน (ในบางกรณี)
3. ดูแลข้อมูลให้ปลอดภัย
4. ให้เขามีสิทธิ์ขอดู แก้ไข หรือลบข้อมูลได้
ถ้าทำไม่ถูกต้อง โทษปรับสูงสุดหลายล้านบาทครับ แถมยังมีโทษจำคุกในบางกรณีด้วย
เว็บไซต์ธุรกิจต้องทำอะไรบ้าง?
1. Privacy Policy (นโยบายความเป็นส่วนตัว)
ต้องมีหน้า Privacy Policy ในเว็บครับ เขียนให้ชัดว่าเก็บข้อมูลอะไร เอาไปทำอะไร เก็บไว้นานแค่ไหน และลูกค้ามีสิทธิ์ทำอะไรกับข้อมูลตัวเองได้บ้าง ถ้ายังไม่มีหน้านี้ นั่นคือสิ่งแรกที่ต้องทำเลยครับ
2. Cookie Consent Banner
เมื่อคนเข้าเว็บ ถ้าคุณใช้ cookie ที่ไม่จำเป็น (เช่น cookie ของ Google Analytics, Facebook Pixel, หรือ remarketing) ต้องขอความยินยอมก่อนครับ แบบ banner ที่โผล่มาให้กด "ยอมรับ" หรือ "ปฏิเสธ"
แค่ cookie ที่จำเป็นสำหรับเว็บทำงาน เช่น session cookie ของระบบ login ไม่ต้องขออนุญาตก็ได้
3. ฟอร์มต้องมี checkbox ยินยอม
ถ้ามีฟอร์มสมัครสมาชิก ฟอร์มติดต่อ หรือฟอร์มอะไรก็แล้วแต่ที่เก็บข้อมูลส่วนตัว ต้องมี checkbox ให้ผู้ใช้ติ๊กยืนยันว่ายินยอมให้เก็บข้อมูล และลิงก์ไปหน้า Privacy Policy ด้วยครับ
4. ระบบจัดการคำขอของเจ้าของข้อมูล
ต้องมีช่องทางให้คนขอดูข้อมูลของตัวเอง ขอแก้ไข หรือขอลบออกจากระบบได้ อย่างน้อยที่สุดก็ต้องมีอีเมลให้ติดต่อครับ
ถ้าใช้ Google Analytics ต้องทำอะไรพิเศษไหม?
ต้องครับ Google Analytics เก็บ IP address ซึ่งถือเป็นข้อมูลส่วนบุคคลตาม PDPA ควรทำสิ่งต่อไปนี้:
- เปิด IP Anonymization ใน Analytics
- ระบุในหน้า Privacy Policy ว่าใช้ Google Analytics
- Cookie Consent Banner ต้องรวม analytics cookie ด้วย
สำหรับร้านค้าออนไลน์มีอะไรเพิ่มเติม
ถ้าคุณเก็บข้อมูลบัตรเครดิตหรือข้อมูลการชำระเงิน นั่นคือข้อมูลที่ต้องดูแลเป็นพิเศษมากๆ ครับ แนะนำให้ใช้ payment gateway ที่รับผิดชอบเรื่องนี้แทน อย่าเก็บข้อมูลบัตรเครดิตในระบบของตัวเองเลยถ้าไม่จำเป็น
สรุปสั้นๆ ต้องทำอะไรก่อน?
ลำดับที่แนะนำครับ:
1. ทำหน้า Privacy Policy ที่อ่านรู้เรื่อง
2. เพิ่ม Cookie Consent Banner
3. ตรวจสอบทุก form ว่ามี checkbox ยินยอม
4. มีอีเมลหรือช่องทางให้คนขอดู/ลบข้อมูล
ทุกเว็บที่ WAENWEB ทำ เราติดตั้ง PDPA compliance ให้ครบตั้งแต่ต้นครับ ไม่ต้องมาแก้ทีหลัง