PDPA คืออะไร ธุรกิจขนาดเล็กต้องเตรียมอะไรบ้าง

ธุรกิจขนาดเล็กหลายรายได้ยินคำว่า PDPA มาบ้าง แต่คิดว่าเป็นเรื่องของบริษัทใหญ่เท่านั้น ความจริงแล้วแค่มีแบบฟอร์มสมัครสมาชิกบนเว็บไซต์ เก็บเบอร์โทรลูกค้าไว้ในระบบ หรือมีฟอร์มขอใบเสนอราคา ก็เข้าข่ายต้องปฏิบัติตาม PDPA แล้ว บทความนี้สรุปให้เข้าใจง่ายว่า PDPA คืออะไร และธุรกิจขนาดเล็กควรเตรียมอะไรบ้างก่อนเริ่มเก็บข้อมูลลูกค้า

บทความนี้เขียนจากมุมมองผู้พัฒนาระบบที่ต้องออกแบบระบบให้รองรับ PDPA ไม่ใช่คำแนะนำทางกฎหมาย ควรปรึกษาที่ปรึกษากฎหมายหรือสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (สคส.) สำหรับกรณีเฉพาะของธุรกิจคุณ

PDPA คืออะไร

PDPA ย่อมาจาก Personal Data Protection Act หรือ พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล เป็นกฎหมายที่กำหนดว่าธุรกิจที่เก็บ ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลของคนอื่น ต้องทำอย่างมีขอบเขตชัดเจน ได้รับความยินยอมอย่างถูกต้อง และดูแลข้อมูลนั้นให้ปลอดภัย หัวใจของกฎหมายนี้คือ เจ้าของข้อมูลควรรู้และยินยอมว่าข้อมูลของตัวเองถูกเก็บไปทำอะไร

ธุรกิจเล็กก็ต้องทำตาม PDPA ด้วยหรือ

ต้องทำครับ กฎหมายนี้ไม่ได้เว้นให้ธุรกิจขนาดเล็ก ไม่ว่าจะเป็นร้านค้าออนไลน์ เว็บไซต์มีฟอร์มติดต่อ ระบบสมาชิกลูกค้า หรือเพจขายของที่เก็บเบอร์โทรไว้ตอบกลับ ล้วนเข้าข่ายต้องปฏิบัติตามทั้งสิ้น สิ่งที่ต่างกันคือขนาดและความซับซ้อนของมาตรการที่ต้องมี ธุรกิจเล็กไม่จำเป็นต้องมีระบบใหญ่โตเท่าองค์กร แต่หลักการพื้นฐานต้องมีเหมือนกัน

ข้อมูลแบบไหนที่เข้าข่าย "ข้อมูลส่วนบุคคล"

ข้อมูลส่วนบุคคลคือข้อมูลที่ระบุตัวบุคคลนั้นได้ ไม่ว่าทางตรงหรือทางอ้อม เช่น ชื่อ-นามสกุล เบอร์โทร อีเมล ที่อยู่ เลขบัตรประชาชน รูปถ่าย หรือแม้แต่ไอดีไลน์ ข้อมูลบางประเภทถือเป็น "ข้อมูลอ่อนไหว" ที่ต้องระวังเป็นพิเศษ เช่น ข้อมูลสุขภาพ ศาสนา เชื้อชาติ หรือข้อมูลชีวมาตร ถ้าธุรกิจของคุณเก็บข้อมูลกลุ่มนี้ ต้องมีมาตรการดูแลที่เข้มงวดกว่าข้อมูลทั่วไป

สิ่งที่ธุรกิจต้องมีก่อนเก็บข้อมูลลูกค้า

• แจ้งวัตถุประสงค์ให้ชัดเจน บอกลูกค้าว่าเก็บข้อมูลไปทำอะไร เช่น เพื่อติดต่อกลับ เพื่อจัดส่งสินค้า หรือเพื่อส่งโปรโมชัน ไม่ควรเก็บแบบเหมารวมโดยไม่ระบุ
• ขอความยินยอมอย่างถูกต้อง มีช่องติ๊กยินยอมที่ชัดเจน ไม่ใช่ติ๊กไว้ล่วงหน้าให้ลูกค้าโดยไม่รู้ตัว และลูกค้าต้องถอนความยินยอมได้ภายหลัง
• มีนโยบายความเป็นส่วนตัว (Privacy Policy) หน้าเว็บที่อธิบายว่าเก็บข้อมูลอะไร เก็บไว้นานแค่ไหน และลูกค้าติดต่อขอลบหรือแก้ไขข้อมูลได้อย่างไร
• เก็บเท่าที่จำเป็น อย่าขอข้อมูลเกินกว่าที่ใช้จริง เช่น ฟอร์มขอใบเสนอราคาไม่จำเป็นต้องขอเลขบัตรประชาชน

ระบบหลังบ้านควรออกแบบอย่างไรให้รองรับ PDPA

จากประสบการณ์เขียนระบบที่ต้องจัดการข้อมูลลูกค้าและสมาชิกจำนวนมาก สิ่งที่ช่วยให้ธุรกิจปฏิบัติตาม PDPA ได้ง่ายขึ้นคือการออกแบบระบบให้รองรับตั้งแต่ต้น ไม่ใช่มาเพิ่มทีหลัง

• จำกัดสิทธิ์การเข้าถึงข้อมูล พนักงานแต่ละตำแหน่งเห็นเฉพาะข้อมูลที่จำเป็นต่องานของตัวเอง ไม่ใช่ทุกคนเห็นข้อมูลลูกค้าทั้งหมด
• มี Audit Log บันทึกว่าใครเข้าถึงหรือแก้ไขข้อมูลลูกค้าเมื่อไร เผื่อต้องตรวจสอบย้อนหลัง
• ลบหรือทำให้ข้อมูลไม่ระบุตัวตนได้ เมื่อลูกค้าขอใช้สิทธิ์ลบข้อมูล ระบบต้องรองรับได้โดยไม่กระทบข้อมูลส่วนอื่น เช่น ประวัติการสั่งซื้อที่ต้องเก็บไว้ตามกฎหมายบัญชี
• กำหนดระยะเวลาเก็บข้อมูลที่ชัดเจน ไม่เก็บข้อมูลที่ไม่ใช้งานแล้วไว้ตลอดไปโดยไม่มีเหตุผล

บทลงโทษถ้าไม่ปฏิบัติตาม

PDPA มีบทลงโทษทั้งทางปกครอง (ค่าปรับ) ทางแพ่ง (ชดใช้ค่าเสียหายให้เจ้าของข้อมูล) และทางอาญาในบางกรณีที่ร้ายแรง ตัวเลขและเงื่อนไขที่แน่นอนควรตรวจสอบกับสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลหรือที่ปรึกษากฎหมายโดยตรง เพราะอาจมีการปรับปรุงหลักเกณฑ์เป็นระยะ สิ่งสำคัญกว่าตัวเลขค่าปรับคือความเสียหายต่อความเชื่อมั่นของลูกค้า หากข้อมูลรั่วไหลหรือถูกใช้ผิดวัตถุประสงค์

สรุป

PDPA ไม่ใช่เรื่องไกลตัวสำหรับธุรกิจขนาดเล็ก แค่มีฟอร์มเก็บข้อมูลลูกค้าก็เข้าข่ายแล้ว สิ่งที่ควรเริ่มทำคือแจ้งวัตถุประสงค์การเก็บข้อมูลให้ชัดเจน ขอความยินยอมอย่างถูกต้อง มีนโยบายความเป็นส่วนตัว และออกแบบระบบหลังบ้านให้จำกัดสิทธิ์เข้าถึงและลบข้อมูลได้ตามคำขอ ยิ่งวางระบบให้รองรับตั้งแต่ต้น ยิ่งง่ายกว่ามาปรับแก้ทีหลัง

ถ้ากำลังจะทำเว็บไซต์หรือระบบที่ต้องเก็บข้อมูลลูกค้า และอยากให้ออกแบบรองรับ PDPA ตั้งแต่ต้น ส่งรายละเอียดมาให้เราประเมินฟรี