เว็บไซต์สมัยใหม่พึ่งพาเทคโนโลยีการติดตามข้อมูลเพื่อทำความเข้าใจพฤติกรรมของผู้เข้าชม วัดผลประสิทธิภาพทางการตลาด ปรับปรุงประสบการณ์การใช้งานของผู้ใช้ และสร้างโอกาสทางธุรกิจ เครื่องมือต่าง ๆ เช่น Google Analytics, Meta Pixel, คุกกี้โฆษณา และสคริปต์ติดตามข้อมูลจากบุคคลที่สาม ช่วยให้ธุรกิจสามารถประเมินผลแคมเปญและนำเสนอโฆษณาที่ตรงกับความสนใจของผู้ใช้มากยิ่งขึ้น
อย่างไรก็ตาม เทคโนโลยีเหล่านี้อาจเก็บรวบรวมหรือประมวลผลข้อมูลที่เกี่ยวข้องกับบุคคลซึ่งสามารถระบุตัวตนได้ สำหรับธุรกิจที่ดำเนินงานในประเทศไทย เรื่องนี้ก่อให้เกิดประเด็นสำคัญภายใต้พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 หรือที่เรียกกันโดยทั่วไปว่า PDPA
การติดตั้งสคริปต์ติดตามข้อมูลอาจดูเหมือนเป็นการตัดสินใจตามปกติด้านการตลาดหรือด้านเทคนิค แต่ในทางปฏิบัติ ผลกระทบทางกฎหมายขึ้นอยู่กับข้อมูลที่เก็บรวบรวม วัตถุประสงค์ของการประมวลผล บุคคลหรือหน่วยงานที่ได้รับข้อมูล และฐานทางกฎหมายที่นำมาใช้รองรับการประมวลผลนั้น
การมีแบนเนอร์แจ้งการใช้คุกกี้เพียงอย่างเดียวไม่ได้หมายความว่าปัญหาเหล่านี้จะได้รับการแก้ไขทั้งหมด ธุรกิจยังต้องพิจารณาเรื่องความโปร่งใส การขอความยินยอมในกรณีที่จำเป็น การเปิดเผยข้อมูลแก่บุคคลที่สาม การโอนข้อมูลไปต่างประเทศ การรักษาความมั่นคงปลอดภัย และความสามารถในการแสดงหลักฐานว่ามีการปฏิบัติตามกฎหมาย
คู่มือนี้อธิบายประเด็นทางกฎหมายที่สำคัญสำหรับเจ้าของเว็บไซต์ ธุรกิจอีคอมเมิร์ซ บริษัทตัวแทนการตลาด และองค์กรที่ใช้เทคโนโลยีวิเคราะห์ข้อมูลและโฆษณาในประเทศไทย
การบังคับใช้ PDPA กับการติดตามข้อมูลบนเว็บไซต์
ประเทศไทยไม่ได้มีกฎหมายว่าด้วยคุกกี้โดยเฉพาะที่กำกับดูแลเทคโนโลยีการติดตามข้อมูลทุกประเภทอย่างครอบคลุม ดังนั้น เมื่อกิจกรรมการติดตามข้อมูลบนเว็บไซต์เกี่ยวข้องกับข้อมูลส่วนบุคคล จึงต้องพิจารณาการดำเนินการดังกล่าวภายใต้ข้อกำหนดทั่วไปของ PDPA
โดยทั่วไป ข้อมูลส่วนบุคคลหมายถึงข้อมูลเกี่ยวกับบุคคลธรรมดาที่สามารถระบุตัวบุคคลนั้นได้ ไม่ว่าทางตรงหรือทางอ้อม ทั้งนี้ เป็นไปตามขอบเขตและข้อยกเว้นที่กฎหมายกำหนด
ข้อมูลที่เกี่ยวข้องอาจรวมถึงรายการต่อไปนี้ ทั้งนี้ขึ้นอยู่กับลักษณะการทำงานของระบบติดตามข้อมูล
- ตัวระบุออนไลน์และรหัสคุกกี้ที่เชื่อมโยงกับผู้ใช้ซึ่งสามารถระบุตัวตนได้
- ที่อยู่ IP และตัวระบุที่เกี่ยวข้องกับอุปกรณ์
- หน้าเว็บไซต์ที่เข้าชมและการโต้ตอบกับเนื้อหาบนเว็บไซต์
- เหตุการณ์ที่เกี่ยวข้องกับโฆษณาและการเปลี่ยนผู้เข้าชมให้เป็นลูกค้า ซึ่งเชื่อมโยงกับบุคคลหรือโปรไฟล์ผู้ใช้
- ข้อมูลตำแหน่งที่ตั้งหรือข้อมูลพฤติกรรมที่สามารถใช้ระบุตัวบุคคลได้ทั้งทางตรงและทางอ้อม
- ข้อมูลที่ส่งผ่านแบบฟอร์มและนำไปเชื่อมโยงกับกิจกรรมออนไลน์ในภายหลัง
คุกกี้หรือตัวระบุทางเทคนิคไม่ได้ถือเป็นข้อมูลส่วนบุคคลในทุกกรณีโดยอัตโนมัติ การพิจารณาขึ้นอยู่กับลักษณะของข้อมูลและความสามารถในการระบุตัวบุคคลทั้งทางตรงหรือทางอ้อม
ดังนั้น ธุรกิจควรตรวจสอบการตั้งค่าระบบติดตามข้อมูลที่ใช้งานจริง แทนที่จะสันนิษฐานว่าคุกกี้ทุกประเภทไม่มีความเสี่ยง หรือคุกกี้ทุกตัวต้องได้รับการจัดการในลักษณะเดียวกัน
ใครเป็นผู้รับผิดชอบในการปฏิบัติตามกฎหมาย?
บริษัทที่ดำเนินการเว็บไซต์มักมีสถานะเป็นผู้ควบคุมข้อมูลส่วนบุคคล เมื่อบริษัทเป็นผู้กำหนดวัตถุประสงค์และวิธีการประมวลผลข้อมูลส่วนบุคคลที่เก็บรวบรวมผ่านเว็บไซต์นั้น
อย่างไรก็ตาม บทบาททางกฎหมายของผู้ให้บริการวิเคราะห์ข้อมูล แพลตฟอร์มโฆษณา นักพัฒนาเว็บไซต์ และบริษัทตัวแทนการตลาด ขึ้นอยู่กับกิจกรรมที่ดำเนินการจริงและข้อตกลงตามสัญญาระหว่างคู่สัญญา
ผู้ให้บริการรายหนึ่งอาจทำหน้าที่เป็นผู้ประมวลผลข้อมูลส่วนบุคคลสำหรับกิจกรรมบางประเภท ขณะที่ผู้ให้บริการอีกรายอาจกำหนดวัตถุประสงค์และวิธีการประมวลผลข้อมูลด้วยตนเอง ธุรกิจจึงควรประเมินความสัมพันธ์เหล่านี้เป็นรายกรณี แทนที่จะอาศัยเพียงชื่อเรียกหรือสถานะที่ระบุไว้ในสัญญามาตรฐาน
ทำความเข้าใจคุกกี้และเทคโนโลยีติดตามข้อมูลประเภทต่าง ๆ
ผู้ดูแลเว็บไซต์ควรจัดทำรายการเทคโนโลยีทั้งหมดที่ติดตั้งบนเว็บไซต์ พร้อมทำความเข้าใจหน้าที่และวัตถุประสงค์ของแต่ละเทคโนโลยี
คุกกี้ที่จำเป็นอย่างยิ่งต่อการทำงานของเว็บไซต์
คุกกี้ประเภทนี้รองรับฟังก์ชันที่ผู้ใช้ร้องขอ หรือจำเป็นต่อการทำงานของเว็บไซต์ ตัวอย่างเช่น การจัดการเซสชัน การยืนยันตัวตน ฟังก์ชันตะกร้าสินค้า และฟังก์ชันด้านความปลอดภัย
หากการประมวลผลมีความจำเป็นต่อบริการที่เกี่ยวข้อง หรือมีฐานทางกฎหมายอื่นที่สามารถนำมาใช้ได้ ก็อาจไม่จำเป็นต้องขอความยินยอมแยกต่างหาก อย่างไรก็ตาม ธุรกิจยังคงต้องประเมินหน้าที่ตาม PDPA ที่เกี่ยวข้องและให้ข้อมูลอย่างโปร่งใสและเหมาะสม
คุกกี้สำหรับการวิเคราะห์ข้อมูลและประสิทธิภาพ
เครื่องมือวิเคราะห์ข้อมูลช่วยให้ธุรกิจเข้าใจปริมาณผู้เข้าชมเว็บไซต์ ระบุหน้าที่ได้รับความนิยม วัดอัตราการเปลี่ยนผู้เข้าชมให้เป็นลูกค้า และปรับปรุงประสิทธิภาพของเว็บไซต์
เครื่องมือเหล่านี้อาจเก็บรวบรวมตัวระบุ เหตุการณ์การเข้าชม หรือข้อมูลอื่นที่เกี่ยวข้องกับผู้ใช้ ทั้งนี้ขึ้นอยู่กับการตั้งค่า ธุรกิจควรตรวจสอบว่ามีการประมวลผลข้อมูลส่วนบุคคลหรือไม่ และระบุฐานทางกฎหมายที่เหมาะสมสำหรับการประมวลผลดังกล่าว
หากต้องอาศัยความยินยอมเป็นฐานทางกฎหมาย จะต้องไม่เริ่มติดตามข้อมูลผ่านระบบวิเคราะห์ก่อนที่จะได้รับความยินยอมที่ถูกต้อง
คุกกี้สำหรับโฆษณาและการกำหนดเป้าหมายซ้ำ
เทคโนโลยีโฆษณาสามารถติดตามการโต้ตอบของผู้ใช้กับเว็บไซต์ เพื่อวัดประสิทธิภาพของแคมเปญ สร้างกลุ่มเป้าหมาย หรือแสดงโฆษณาที่ปรับให้เหมาะสมกับแต่ละบุคคล
ตัวอย่างเช่น ผู้เข้าชมอาจดูหน้าสินค้าบนเว็บไซต์ก่อนที่จะเห็นโฆษณาสินค้ารายการเดียวกันบนแพลตฟอร์มโซเชียลมีเดียในภายหลัง
เนื่องจากการติดตามลักษณะนี้โดยทั่วไปไม่ได้จำเป็นต่อการให้บริการฟังก์ชันของเว็บไซต์ที่ผู้ใช้ร้องขอ ธุรกิจจึงควรให้ความสำคัญเป็นพิเศษกับข้อกำหนดเรื่องความยินยอม ความโปร่งใส และข้อมูลที่มีการแบ่งปันกับผู้ให้บริการโฆษณา
พิกเซลติดตามข้อมูล, SDK และการติดตามฝั่งเซิร์ฟเวอร์
การติดตามข้อมูลไม่ได้จำกัดอยู่เพียงการใช้คุกกี้เท่านั้น
พิกเซลติดตามข้อมูลอาจส่งเหตุการณ์ต่าง ๆ ไปยังแพลตฟอร์มภายนอก ขณะที่ชุดเครื่องมือพัฒนาซอฟต์แวร์ (SDK) ระบบจัดเก็บข้อมูลภายในเบราว์เซอร์ และการเชื่อมต่อฝั่งเซิร์ฟเวอร์ ก็อาจส่งข้อมูลเกี่ยวกับกิจกรรมของผู้ใช้ได้เช่นกัน
การเปลี่ยนวิธีติดตามข้อมูลจากเบราว์เซอร์ไปเป็นการติดตามฝั่งเซิร์ฟเวอร์ ไม่ได้ทำให้การประมวลผลนั้นอยู่นอกขอบเขตของ PDPA โดยอัตโนมัติ ประเด็นสำคัญยังคงอยู่ที่มีการประมวลผลข้อมูลอะไร ด้วยเหตุผลใด ใครเป็นผู้ได้รับข้อมูล และมีข้อกำหนดทางกฎหมายใดบ้างที่ต้องปฏิบัติตาม
กรณีใดบ้างที่ต้องได้รับความยินยอม?
ความยินยอมเป็นหนึ่งในฐานทางกฎหมายที่ PDPA รับรอง แต่ไม่ใช่ฐานทางกฎหมายเพียงประการเดียวสำหรับการประมวลผลข้อมูลส่วนบุคคล
ธุรกิจต้องระบุฐานทางกฎหมายที่เหมาะสมสำหรับวัตถุประสงค์ในการประมวลผลแต่ละประเภท โดยขึ้นอยู่กับข้อเท็จจริงและสถานการณ์ อาจใช้ฐานทางกฎหมายอื่นได้ เช่น ความจำเป็นในการปฏิบัติตามสัญญา การปฏิบัติตามกฎหมาย หรือประโยชน์โดยชอบด้วยกฎหมาย ทั้งนี้ ต้องเป็นไปตามเงื่อนไขของแต่ละฐานทางกฎหมาย
ไม่ควรถือว่าความยินยอมเป็นคำตอบที่ใช้ได้กับกิจกรรมทุกประเภทบนเว็บไซต์ ในทำนองเดียวกัน ธุรกิจก็ไม่ควรสันนิษฐานว่าการอ้างประโยชน์โดยชอบด้วยกฎหมายจะทำให้การโฆษณาตามพฤติกรรมหรือกิจกรรมวิเคราะห์ข้อมูลทุกประเภทชอบด้วยกฎหมายโดยอัตโนมัติ
เมื่อจำเป็นต้องขอความยินยอม การขอความยินยอมนั้นต้องเป็นไปตามเงื่อนไขทางกฎหมายที่เกี่ยวข้อง ซึ่งรวมถึงการให้ข้อมูลที่เหมาะสม การเปิดโอกาสให้ผู้ใช้ตัดสินใจโดยสมัครใจและได้รับข้อมูลเพียงพอ ตลอดจนการจัดให้มีช่องทางถอนความยินยอมตามหลักเกณฑ์ที่ใช้บังคับ
กระบวนการขอความยินยอมที่สอดคล้องกับกฎหมายควรออกแบบตามกิจกรรมการประมวลผลข้อมูลที่เกิดขึ้นจริง แทนที่จะนำข้อความขอความยินยอมทั่วไปมาใช้โดยไม่ปรับให้เหมาะสม
แบนเนอร์คุกกี้ควรมีองค์ประกอบอะไรบ้าง?
แบนเนอร์คุกกี้ที่ออกแบบอย่างเหมาะสมควรช่วยให้ผู้เข้าชมเข้าใจทางเลือกของตนเองและสามารถตัดสินใจได้อย่างมีความหมาย
คุณสมบัติที่ควรพิจารณา ได้แก่
- คำอธิบายที่ชัดเจนเกี่ยวกับการใช้คุกกี้และเทคโนโลยีที่คล้ายคลึงกันของเว็บไซต์
- การแยกประเภทคุกกี้ที่จำเป็น คุกกี้วิเคราะห์ข้อมูล และคุกกี้โฆษณา เมื่อเหมาะสม
- ช่องทางที่เข้าถึงได้ง่ายสำหรับยอมรับหรือปฏิเสธการติดตามข้อมูลที่ไม่จำเป็น
- หน้าจัดการการตั้งค่าความเป็นส่วนตัว เพื่อให้ผู้ใช้เลือกประเภทที่อนุญาตได้
- ข้อมูลเกี่ยวกับวัตถุประสงค์ที่เกี่ยวข้องและผู้ให้บริการบุคคลที่สาม
- วิธีที่สะดวกในการเปลี่ยนการตั้งค่าหรือถอนความยินยอม
- บันทึกที่แสดงทางเลือกของผู้ใช้และการตั้งค่าความยินยอมที่เกี่ยวข้อง
ข้อกำหนดที่แน่นอนขึ้นอยู่กับกิจกรรมการประมวลผลและกฎหมายที่ใช้บังคับ ส่วนติดต่อผู้ใช้ควรอธิบายผลของแต่ละทางเลือกอย่างเข้าใจง่าย โดยไม่ใช้ถ้อยคำที่สับสนหรือการออกแบบที่ทำให้เข้าใจผิด
เหตุใดการมีแบนเนอร์คุกกี้เพียงอย่างเดียวจึงไม่เพียงพอ
ข้อผิดพลาดที่พบได้ในการปฏิบัติตามกฎหมายคือ การติดตั้งแบนเนอร์คุกกี้ แต่ยังปล่อยให้สคริปต์ติดตามข้อมูลทุกตัวเริ่มทำงานทันทีเมื่อหน้าเว็บไซต์โหลดเสร็จ
หากเทคโนโลยีบางประเภทจำเป็นต้องได้รับความยินยอมล่วงหน้า การแสดงแบนเนอร์หลังจากที่เทคโนโลยีนั้นเริ่มเก็บรวบรวมข้อมูลไปแล้ว ไม่ได้ทำให้ปัญหาได้รับการแก้ไขโดยอัตโนมัติ
ธุรกิจควรตรวจสอบการทำงานทางเทคนิคของเว็บไซต์ รวมถึงสคริปต์ที่ฝังอยู่ในเทมเพลตของหน้าเว็บไซต์ ระบบจัดการแท็ก การเชื่อมต่อกับแพลตฟอร์มโฆษณา และปลั๊กอินจากบุคคลที่สาม
กระบวนการปฏิบัติตามกฎหมายที่มีประสิทธิภาพควรครอบคลุมประเด็นต่อไปนี้
การควบคุมสคริปต์
ตั้งค่าเว็บไซต์ให้เทคโนโลยีที่ต้องได้รับความยินยอมยังไม่ทำงาน จนกว่าจะมีการบันทึกทางเลือกที่เหมาะสมของผู้ใช้
การจัดการการตั้งค่า
ตรวจสอบให้แน่ใจว่าการปฏิเสธหรือการถอนความยินยอมของผู้ใช้ส่งผลต่อการทำงานของระบบติดตามข้อมูลจริงบนเว็บไซต์ รวมถึงแท็กและการเชื่อมต่อที่เกี่ยวข้อง
การจัดเก็บบันทึกความยินยอม
จัดเก็บหลักฐานความยินยอมอย่างเหมาะสมในกรณีที่กฎหมายกำหนด โดยรวมถึงทางเลือกของผู้ใช้ วัตถุประสงค์ และเวอร์ชันของประกาศความยินยอมที่เกี่ยวข้อง
ความสอดคล้องของนโยบาย
ตรวจสอบให้แน่ใจว่าประกาศเกี่ยวกับคุกกี้ ประกาศความเป็นส่วนตัว ฟังก์ชันของเว็บไซต์ และแนวทางการประมวลผลข้อมูลที่เกิดขึ้นจริง อธิบายกิจกรรมเดียวกันอย่างถูกต้องและสอดคล้องกัน
การทดสอบอย่างต่อเนื่อง
ตรวจสอบเว็บไซต์อีกครั้งหลังจากมีการเปลี่ยนแปลงระบบจัดการเนื้อหา เครื่องมือทางการตลาด ปลั๊กอิน หรือการตั้งค่าการโฆษณา
มาตรการเหล่านี้ช่วยแสดงให้เห็นว่าการปฏิบัติตามกฎหมายเกิดขึ้นจริงในกระบวนการดำเนินงาน ไม่ได้มีเพียงข้อความระบุไว้ในนโยบายเท่านั้น
แพลตฟอร์มวิเคราะห์ข้อมูลและโฆษณาจากบุคคลที่สาม
ธุรกิจจำนวนมากพึ่งพาผู้ให้บริการภายนอกสำหรับการวิเคราะห์พฤติกรรมผู้เข้าชม การวัดผลแคมเปญ การติดตาม Conversion และการจัดการกลุ่มเป้าหมาย
การใช้บริการเหล่านี้อาจก่อให้เกิดประเด็นทางกฎหมายเพิ่มเติม เนื่องจากข้อมูลอาจถูกส่งออกไปนอกสภาพแวดล้อมทางเทคนิคที่เจ้าของเว็บไซต์ควบคุมโดยตรง
ก่อนติดตั้งบริการติดตามข้อมูลจากบุคคลที่สาม ธุรกิจควรตรวจสอบประเด็นต่อไปนี้
- ข้อมูลประเภทใดที่บริการดังกล่าวเก็บรวบรวมหรือได้รับ
- มีการนำข้อมูลไปใช้เพื่อวัตถุประสงค์ใดบ้าง
- ข้อมูลดังกล่าวสามารถระบุตัวบุคคลหรือเชื่อมโยงกับบุคคลได้หรือไม่
- ผู้ให้บริการมีบทบาทใดภายใต้ข้อตกลงการคุ้มครองข้อมูลที่เกี่ยวข้อง
- มีการเปิดเผยข้อมูลให้แก่บุคคลหรือหน่วยงานอื่นหรือไม่
- ข้อมูลถูกจัดเก็บหรือประมวลผลที่ใด
- มีข้อกำหนดเกี่ยวกับระยะเวลาการเก็บรักษา ความมั่นคงปลอดภัย และการลบข้อมูลอย่างไร
- มีข้อกำหนดเกี่ยวกับการโอนข้อมูลไปต่างประเทศที่ต้องพิจารณาหรือไม่
คำกล่าวโดยทั่วไปของผู้ให้บริการว่าบริการของตนปฏิบัติตามกฎหมายคุ้มครองข้อมูลส่วนบุคคล ไม่ได้หมายความว่าการนำบริการนั้นมาใช้งานบนเว็บไซต์ของธุรกิจจะเป็นไปตามกฎหมายโดยอัตโนมัติ
ธุรกิจต้องประเมินกิจกรรมการประมวลผลข้อมูลและความรับผิดชอบของตนเอง
ประเด็นที่เกี่ยวข้องกับสัญญา
หากผู้ให้บริการประมวลผลข้อมูลส่วนบุคคลในนามของผู้ควบคุมข้อมูล คู่สัญญาควรประเมินว่าจำเป็นต้องมีข้อตกลงการประมวลผลข้อมูลส่วนบุคคลหรือไม่ และตรวจสอบให้แน่ใจว่าข้อตกลงดังกล่าวครอบคลุมหน้าที่ตามกฎหมายที่เกี่ยวข้อง
ข้อกำหนดในสัญญาอาจครอบคลุมคำสั่งในการประมวลผลข้อมูล การรักษาความลับ มาตรการรักษาความมั่นคงปลอดภัย การแจ้งเหตุการณ์ผิดปกติ การใช้ผู้รับจ้างช่วง การให้ความช่วยเหลือในการดำเนินการตามคำขอของเจ้าของข้อมูล ตลอดจนการส่งคืนหรือลบข้อมูล ทั้งนี้ขึ้นอยู่กับลักษณะความสัมพันธ์ระหว่างคู่สัญญา
หากผู้ให้บริการกำหนดวัตถุประสงค์ในการประมวลผลข้อมูลบางประเภทด้วยตนเอง อาจจำเป็นต้องวิเคราะห์ข้อกำหนดทางกฎหมายและสัญญาในรูปแบบที่แตกต่างออกไป
การโอนข้อมูลระหว่างประเทศและการประมวลผลข้อมูลข้ามพรมแดน
ธุรกิจที่ใช้บริการวิเคราะห์ข้อมูลและโฆษณาระหว่างประเทศควรตรวจสอบว่ามีการโอนข้อมูลส่วนบุคคลไปยังต่างประเทศ หรือเปิดให้มีการเข้าถึงข้อมูลจากประเทศอื่นหรือไม่
ตัวอย่างเช่น ธุรกิจไทยอาจใช้เว็บไซต์ที่โฮสต์อยู่ในประเทศ แต่ใช้บริการวิเคราะห์ข้อมูล โครงสร้างพื้นฐานคลาวด์ หรือแพลตฟอร์มโฆษณาที่ประมวลผลข้อมูลในต่างประเทศ
สถานที่ตั้งของเซิร์ฟเวอร์เว็บไซต์เพียงอย่างเดียวไม่ได้เป็นข้อพิสูจน์ว่าข้อมูลส่วนบุคคลทั้งหมดถูกประมวลผลอยู่ในประเทศเดียวกัน
หากการโอนข้อมูลส่วนบุคคลออกนอกประเทศไทยอยู่ภายใต้บทบัญญัติที่เกี่ยวข้องของ PDPA ธุรกิจควรประเมินข้อกำหนดตามมาตรา 28 หรือมาตรา 29 แล้วแต่กรณี รวมถึงข้อยกเว้น มาตรการคุ้มครอง หรือหลักเกณฑ์ที่ออกตามกฎหมายซึ่งอาจนำมาใช้ได้
ธุรกิจควรจัดทำเอกสารแสดงเส้นทางการไหลของข้อมูลที่เกี่ยวข้อง และพิจารณาว่าข้อตกลงหรือมาตรการใดเหมาะสมกับสถานการณ์ของตนเอง
ประกาศความเป็นส่วนตัวควรอธิบายผู้รับข้อมูลและการโอนข้อมูลที่เกี่ยวข้องอย่างถูกต้องในกรณีที่กฎหมายกำหนด อย่างไรก็ตาม การเปิดเผยข้อมูลอย่างโปร่งใสไม่ได้ใช้แทนข้อกำหนดทางกฎหมายอื่นที่ควบคุมการโอนข้อมูลระหว่างประเทศ
การเก็บรักษาข้อมูล ความมั่นคงปลอดภัย และการลดปริมาณข้อมูล
ระบบติดตามข้อมูลสามารถสะสมข้อมูลจำนวนมากเมื่อเวลาผ่านไป หากไม่มีมาตรการควบคุมที่เหมาะสม ธุรกิจอาจเก็บรักษาตัวระบุและประวัติพฤติกรรมไว้นานเกินความจำเป็น หรือเปิดให้บุคคลจำนวนมากกว่าที่จำเป็นเข้าถึงข้อมูลเหล่านั้น
PDPA กำหนดให้องค์กรพิจารณาหลักการคุ้มครองข้อมูลที่เกี่ยวข้อง ซึ่งรวมถึงการจำกัดวัตถุประสงค์ การลดปริมาณข้อมูล การกำหนดระยะเวลาการเก็บรักษา และการรักษาความมั่นคงปลอดภัยของข้อมูล
มาตรการป้องกันที่ควรพิจารณา ได้แก่
- เก็บรวบรวมเฉพาะข้อมูลที่จำเป็นอย่างสมเหตุสมผลสำหรับวัตถุประสงค์ที่ระบุไว้
- ตรวจสอบการตั้งค่าระยะเวลาเก็บรักษาข้อมูลในระบบวิเคราะห์และโฆษณา
- จำกัดสิทธิ์การเข้าถึงระดับผู้ดูแลระบบของแพลตฟอร์มติดตามข้อมูล
- ปกป้องข้อมูลรับรองบัญชีและเปิดใช้มาตรการยืนยันตัวตนที่เหมาะสม
- ตรวจสอบความมั่นคงปลอดภัยของการเชื่อมต่อกับบุคคลที่สาม
- ลบแท็กที่ไม่จำเป็นและสคริปต์ติดตามข้อมูลที่เลิกใช้งานแล้ว
- กำหนดขั้นตอนสำหรับจัดการคำขอเกี่ยวกับข้อมูลส่วนบุคคลและเหตุการณ์ด้านความมั่นคงปลอดภัย
ธุรกิจควรพิจารณาด้วยว่าการตั้งค่าระบบติดตามข้อมูลอาจทำให้ข้อมูลส่วนบุคคลรั่วไหลผ่าน URL พารามิเตอร์ของเหตุการณ์ แบบฟอร์ม หรือช่องทางอื่นที่ไม่ได้ตั้งใจไว้หรือไม่
ตัวอย่างเช่น การส่งชื่อ ที่อยู่อีเมล หรือข้อมูลอื่นที่สามารถระบุตัวบุคคลไปยังแพลตฟอร์มวิเคราะห์ข้อมูลโดยไม่ได้ประเมินอย่างเหมาะสม อาจสร้างความเสี่ยงด้านการปฏิบัติตามกฎหมายและความมั่นคงปลอดภัยที่สามารถหลีกเลี่ยงได้
จะเกิดอะไรขึ้นหากเว็บไซต์ไม่ปฏิบัติตามกฎหมาย?
การไม่ปฏิบัติตามข้อกำหนดของ PDPA ที่เกี่ยวข้องอาจทำให้ธุรกิจเผชิญผลกระทบด้านการกำกับดูแล ความรับผิดทางแพ่ง และการดำเนินงาน ทั้งนี้ขึ้นอยู่กับข้อเท็จจริงและสถานการณ์ของแต่ละกรณี
ประเด็นที่อาจก่อให้เกิดความเสี่ยง ได้แก่
- ประมวลผลข้อมูลส่วนบุคคลโดยไม่มีฐานทางกฎหมายที่เหมาะสม
- ขอความยินยอมโดยไม่เป็นไปตามข้อกำหนดทางกฎหมายที่เกี่ยวข้อง
- ให้ข้อมูลเกี่ยวกับความเป็นส่วนตัวไม่ครบถ้วนหรือทำให้เข้าใจผิด
- เปิดเผยข้อมูลส่วนบุคคลแก่บุคคลที่สามโดยไม่มีเหตุผลทางกฎหมายที่เพียงพอ
- ไม่ใช้มาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสม
- ไม่ปฏิบัติตามสิทธิของเจ้าของข้อมูลหรือหน้าที่อื่นตามที่กฎหมายกำหนด
PDPA กำหนดความรับผิดและมาตรการบังคับใช้ไว้หลายรูปแบบ โดยต้องพิจารณาบทบัญญัติที่เกี่ยวข้องและข้อเท็จจริงของแต่ละกรณี
ผลกระทบทางธุรกิจอาจไม่ได้จำกัดอยู่เพียงการดำเนินคดีหรือกระบวนการตามกฎหมายเท่านั้น ธุรกิจอาจจำเป็นต้องระงับแคมเปญการตลาด ปรับการตั้งค่าเว็บไซต์ใหม่ ตรวจสอบเส้นทางการไหลของข้อมูลที่ไม่คาดคิด เจรจาข้อตกลงกับผู้ให้บริการอีกครั้ง หรือรับมือกับข้อกังวลของลูกค้า
สำหรับองค์กรที่ดำเนินธุรกิจในหลายประเทศ การตั้งค่าระบบติดตามข้อมูลที่ดูเหมือนเป็นไปตามข้อกำหนดของกฎหมายในประเทศหนึ่ง อาจยังจำเป็นต้องได้รับการประเมินแยกต่างหากภายใต้กฎหมายไทย
เช็กลิสต์การปฏิบัติตาม PDPA สำหรับระบบติดตามข้อมูลบนเว็บไซต์
ธุรกิจสามารถใช้เช็กลิสต์ต่อไปนี้เป็นจุดเริ่มต้นในการตรวจสอบระบบติดตามข้อมูลบนเว็บไซต์ของตนเอง
เทคโนโลยีบนเว็บไซต์
- จัดทำรายการคุกกี้ พิกเซล แท็ก SDK และระบบติดตามข้อมูลที่เชื่อมต่อทั้งหมด
- ระบุข้อมูลที่เทคโนโลยีแต่ละประเภทเก็บรวบรวม
- จัดทำเอกสารเกี่ยวกับวัตถุประสงค์ในการประมวลผลข้อมูล
- ระบุผู้รับข้อมูลและผู้ให้บริการบุคคลที่สามที่เกี่ยวข้อง
การปฏิบัติตามกฎหมาย
- กำหนดฐานทางกฎหมายที่เหมาะสมสำหรับวัตถุประสงค์ในการประมวลผลแต่ละประเภท
- ตรวจสอบว่าจำเป็นต้องขอความยินยอมหรือไม่ และหากจำเป็น ต้องตรวจสอบว่าความยินยอมนั้นถูกต้องหรือไม่
- ตรวจสอบว่าประกาศความเป็นส่วนตัวและประกาศเกี่ยวกับคุกกี้อธิบายแนวทางปฏิบัติจริงอย่างถูกต้อง
- ประเมินการโอนข้อมูลส่วนบุคคลระหว่างประเทศที่เกี่ยวข้อง
- ตรวจสอบสัญญากับผู้ให้บริการวิเคราะห์ข้อมูลและโฆษณา
การดำเนินการทางเทคนิค
- ป้องกันไม่ให้เทคโนโลยีติดตามข้อมูลที่ต้องได้รับความยินยอมเริ่มทำงานก่อนเวลาอันควร
- ตรวจสอบให้แน่ใจว่าการตั้งค่าความยินยอมมีผลกับหน้าเว็บไซต์และแท็กที่เกี่ยวข้องทั้งหมด
- จัดให้มีช่องทางที่เข้าถึงได้ง่ายสำหรับเปลี่ยนการตั้งค่าหรือถอนความยินยอมในกรณีที่เกี่ยวข้อง
- จัดเก็บบันทึกความยินยอมและการตั้งค่าระบบอย่างเหมาะสม
- ทดสอบเว็บไซต์หลังจากมีการเปลี่ยนแปลงทางเทคนิคที่สำคัญ
การกำกับดูแลและการบำรุงรักษา
- กำหนดผู้รับผิดชอบด้านการปฏิบัติตามข้อกำหนดความเป็นส่วนตัวของเว็บไซต์
- ตรวจสอบเทคโนโลยีติดตามข้อมูลเป็นระยะ
- กำหนดกระบวนการอนุมัติสคริปต์การตลาดใหม่ก่อนนำมาใช้งาน
- ฝึกอบรมทีมการตลาด ทีมไอที และทีมดูแลเว็บไซต์
- ปรับปรุงเอกสารเมื่อมีการเปลี่ยนผู้ให้บริการ วัตถุประสงค์ หรือเส้นทางการไหลของข้อมูล
การดำเนินการตามเช็กลิสต์นี้ไม่ได้รับประกันว่าจะปฏิบัติตามกฎหมายได้อย่างครบถ้วน แต่เป็นแนวทางที่มีโครงสร้างชัดเจนสำหรับระบุช่องว่างในการปฏิบัติตามกฎหมาย และพิจารณามาตรการทางกฎหมายหรือทางเทคนิคที่อาจจำเป็น
บทสรุป
เครื่องมือวิเคราะห์ข้อมูลเว็บไซต์ คุกกี้ และพิกเซลโฆษณาเป็นเครื่องมือที่มีประโยชน์ต่อธุรกิจ แต่การใช้งานอาจก่อให้เกิดประเด็นสำคัญด้านการคุ้มครองข้อมูลส่วนบุคคลภายใต้ PDPA ของประเทศไทย
ธุรกิจควรมองให้ไกลกว่าการมีแบนเนอร์คุกกี้ และตรวจสอบว่าเทคโนโลยีติดตามข้อมูลทำงานอย่างไรในทางปฏิบัติ ซึ่งรวมถึงการระบุข้อมูลที่เก็บรวบรวม การกำหนดฐานทางกฎหมายที่เหมาะสม การจัดการความยินยอมเมื่อจำเป็น การตรวจสอบความสัมพันธ์กับบุคคลที่สาม และการประเมินการโอนข้อมูลส่วนบุคคลไปต่างประเทศ
แนวทางที่มีโครงสร้างชัดเจนช่วยให้ธุรกิจสามารถใช้ประโยชน์จากเครื่องมือวิเคราะห์ข้อมูลและการตลาดได้อย่างต่อเนื่อง พร้อมลดความเสี่ยงทางกฎหมายและการดำเนินงานที่ไม่จำเป็น
สำหรับองค์กรที่ดำเนินธุรกิจในประเทศไทย การตรวจสอบระบบติดตามข้อมูลบนเว็บไซต์เป็นระยะถือเป็นส่วนสำคัญของการปฏิบัติตามข้อกำหนดด้านดิจิทัลโดยรวม เมื่อเว็บไซต์ได้รับการพัฒนาและมีการนำเครื่องมือใหม่มาใช้ เอกสารด้านความเป็นส่วนตัว การตั้งค่าทางเทคนิค และข้อตกลงตามสัญญาก็ควรได้รับการปรับปรุงให้สอดคล้องกัน
ข้อจำกัดความรับผิดทางกฎหมาย: บทความนี้จัดทำขึ้นเพื่อให้ข้อมูลทั่วไปเกี่ยวกับกฎหมายคุ้มครองข้อมูลส่วนบุคคลของไทย ณ เดือนตุลาคม พ.ศ. 2569 เท่านั้น และไม่ถือเป็นคำแนะนำทางกฎหมาย มาตรการที่เหมาะสมในการปฏิบัติตามกฎหมายขึ้นอยู่กับข้อเท็จจริง กิจกรรมการประมวลผลข้อมูล กฎหมายที่ใช้บังคับ และข้อกำหนดของหน่วยงานกำกับดูแลที่มีผลในขณะนั้นของแต่ละธุรกิจ