เว็บไซต์ธุรกิจต้องทำอะไรบ้างตาม PDPA

พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 หรือ PDPA มีผลบังคับใช้เต็มรูปแบบตั้งแต่วันที่ 1 มิถุนายน 2565 เว็บไซต์ธุรกิจเกือบทุกเว็บเก็บข้อมูลส่วนบุคคล ทั้งชื่อ เบอร์โทร อีเมลในฟอร์มติดต่อ ข้อมูลการจอง และข้อมูลจาก Cookie จึงต้องปฏิบัติตามกฎหมายนี้

ข้อมูลอะไรบ้างที่เว็บไซต์เก็บ

• ข้อมูลที่ผู้ใช้กรอกเอง เช่น ชื่อ เบอร์โทร อีเมล LINE ID ในฟอร์มติดต่อหรือระบบจอง
• ข้อมูลการจองและการชำระเงิน เช่น วันเข้าพัก จำนวนผู้เข้าพัก สัญชาติ หรือเลขหนังสือเดินทาง
• ข้อมูลที่เก็บอัตโนมัติ เช่น IP Address และ Cookie จากระบบสถิติหรือโฆษณา
• ข้อมูลจากบริการภายนอกที่ฝังในเว็บ เช่น แผนที่ วิดีโอ หรือปุ่มแชต

เช็กลิสต์ PDPA สำหรับเว็บไซต์

1. นโยบายความเป็นส่วนตัว (Privacy Policy)

ต้องมีหน้าที่แจ้งให้ชัดว่าเก็บข้อมูลอะไร เพื่อวัตถุประสงค์อะไร เก็บนานเท่าไร เปิดเผยให้ใครบ้าง และผู้ใช้ติดต่อใครเพื่อใช้สิทธิ์ได้ เขียนด้วยภาษาที่เข้าใจง่าย และมีทุกภาษาที่เว็บรองรับ นโยบายต้องตรงกับสิ่งที่เว็บทำจริง ไม่ใช่คัดลอกจากเว็บอื่น

2. Cookie Consent

Cookie ที่จำเป็นต่อการทำงานของเว็บ เช่น ตะกร้าสินค้าหรือการเข้าสู่ระบบ ใช้ได้โดยไม่ต้องขอความยินยอม แต่ Cookie สำหรับสถิติและโฆษณา เช่น Google Analytics หรือ Facebook Pixel ควรขอความยินยอมก่อนเริ่มเก็บ แบนเนอร์ Cookie ที่ดีต้องให้ผู้ใช้เลือกปฏิเสธได้ง่ายพอๆ กับการกดยอมรับ และเว็บต้องไม่โหลดสคริปต์เหล่านั้นจนกว่าผู้ใช้จะยินยอม

3. ฟอร์มติดต่อและระบบจอง

• เก็บเฉพาะข้อมูลที่จำเป็นจริง ช่องไหนไม่ได้ใช้ให้เอาออก
• แจ้งสั้นๆ ใต้ฟอร์มว่าจะนำข้อมูลไปใช้ทำอะไร พร้อมลิงก์ไปนโยบายความเป็นส่วนตัว
• ถ้าจะส่งข่าวสารหรือโปรโมชัน ต้องขอความยินยอมแยก และห้ามติ๊กถูกไว้ให้ล่วงหน้า
• ส่งข้อมูลผ่าน HTTPS เสมอ

4. การเก็บรักษาและความปลอดภัย

ข้อมูลที่เก็บต้องมีมาตรการรักษาความปลอดภัยที่เหมาะสม เช่น จำกัดสิทธิ์ว่าพนักงานคนไหนเห็นข้อมูลอะไร ใช้รหัสผ่านที่แข็งแรงและการยืนยันตัวตนสองขั้นสำหรับระบบหลังบ้าน อัปเดตระบบสม่ำเสมอ และสำรองข้อมูลแบบเข้ารหัส อ่านเพิ่มเติมที่ สำรองข้อมูลเซิร์ฟเวอร์ด้วยหลัก 3-2-1

5. ระยะเวลาเก็บและการลบ

กำหนดว่าข้อมูลแต่ละประเภทเก็บนานเท่าไร เช่น ข้อความจากฟอร์มติดต่อที่ไม่ได้กลายเป็นลูกค้า อาจลบเมื่อครบกำหนด ระบบควรลบหรือทำให้ข้อมูลระบุตัวตนไม่ได้เมื่อหมดความจำเป็น แทนการเก็บไว้ตลอดไป

6. รองรับสิทธิ์ของเจ้าของข้อมูล

ผู้ใช้มีสิทธิ์ขอเข้าถึง ขอแก้ไข ขอลบ หรือถอนความยินยอม ธุรกิจต้องมีช่องทางรับคำขอ เช่น อีเมลที่ระบุในนโยบาย และระบบหลังบ้านควรค้นหาและลบข้อมูลของคนคนหนึ่งได้จริง

7. บริการภายนอกที่รับข้อมูลไปด้วย

ถ้าส่งข้อมูลลูกค้าไปยังระบบอื่น เช่น Payment Gateway ระบบอีเมล CRM หรือบริการ AI บนคลาวด์ ต้องรู้ว่าข้อมูลไปอยู่ที่ไหนและผู้ให้บริการดูแลอย่างไร สำหรับข้อมูลอ่อนไหว การประมวลผลในเครื่องขององค์กรเองช่วยลดความเสี่ยงได้ ดู Local AI คืออะไร

ถ้าไม่ทำตามมีผลอย่างไร

PDPA มีโทษทั้งทางแพ่ง ทางอาญา และทางปกครอง โทษปรับทางปกครองสูงสุดถึง 5 ล้านบาท แต่ผลกระทบที่ธุรกิจเจอบ่อยกว่าคือความเชื่อมั่นของลูกค้า เมื่อข้อมูลรั่วไหลหรือถูกนำไปใช้โดยไม่ได้รับอนุญาต

ต้องการตรวจเว็บไซต์เดิมหรือทำเว็บใหม่ที่ออกแบบเรื่องข้อมูลส่วนบุคคลมาตั้งแต่แรก ดู บริการรับทำเว็บไซต์ หรือ ติดต่อเรา