เว็บไซต์ 1 เว็บ จะต้องมี PDPA เกี่ยวข้อง ในส่วนไหนบ้าง ? สิ่งที่คนทำเว็บไซต์ต้องรู้ !

คนทำเว็บไซต์ต้องรู้ ! เว็บไซต์ 1 เว็บ จะต้องมี PDPA เกี่ยวข้อง ในส่วนไหนบ้าง ?

เพราะ พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล หรือ PDPA (Personal Data Protection Act) ที่กำลังจะถูกบังคับใช้ในประเทศไทยภายใน วันที่ 1 มิถุนายน พ.ศ. 2564 (ค.ศ. 2021) อย่างเป็นทางการ และเมื่อมีการใช้พระราชบัญญัติขึ้นมาแล้ว การกระทำใด ๆ ที่เกี่ยวข้องกับข้อมูลของตัวบุคคลและทำให้เกิดความเสื่อมเสียแก่เจ้าของข้อมูลได้ ก็จะมีผลทางกฎหมายเกิดขึ้นเมื่อมีการฟ้องร้อง

ดังนั้นแล้ว เพื่อมิให้ความเสียหายเกิดขึ้นทั้งต่อตัวผู้จัดทำเว็บไซต์ และผู้ให้ข้อมูลส่วนบุคคล ผู้เขียนจึงขอสรุปเรื่องราวพอสังเขปเกี่ยวกับการทำเว็บไซต์ที่ต้องมีความเกี่ยวข้องกับข้อมูลส่วนตัวของผู้เข้าเยี่ยมชมว่า จะต้องทำอย่างไรจึงจะเกิดความปลอดภัยทั้งต่อตัวบุคคลและต่อเว็บไซต์ เพื่อมิให้เกิดข้อพิพาทกันในอนาคต

ข้อมูลส่วนบุคคล กับ การทำเว็บไซต์

เดิมที หากคุณทำเว็บไซต์หรือเป็นเจ้าของเว็บไซต์ที่ไม่ได้มีความจำเป็นต้องเก็บข้อมูลส่วนบุคคล ก็ไม่จำเป็นต้องกังวลในเรื่องการบังคับพระราชบัญญัติดังกล่าว แต่ถ้าหากคุณทำเว็บไซต์ที่มีความเกี่ยวข้องกับการเก็บข้อมูลส่วนบุคคลเพื่อการใช้งานเว็บไซต์ เช่น การซื้อขายสินค้าออนไลน์ ก็จำเป็นจะต้องมีข้อกำหนดและมาตรการในการรองรับทางด้านความปลอดภัยของข้อมูล เพื่อไม่ให้ถูกฟ้องและร้องเรียนในภายหลังได้

Credit: https://www.freepik.com/free-vector/hand-drawn-web-developers_12063796.htm#page=1&query=Website%20development&position=24

สำหรับคำว่าข้อมูลส่วนบุคคล หมายถึง ข้อมูลที่สามารถระบุไปถึงตัวเจ้าของข้อมูลได้ทั้งทางตรงและทางอ้อม และครอบคลุมเฉพาะ ผู้ที่ยังมีชีวิตอยู่ เท่านั้น กล่าวโดยพื้นฐานคือ เป็นข้อมูลทุกอย่างที่เกี่ยวข้องกับตัวตนของเรา และสามารถนำมาระบุว่าเป็นตัวเราได้ เช่น ชื่อ ที่อยู่ เบอร์โทรศัพท์ อีเมล เลขบัตรและหนังสือต่าง ๆ ที่ออกโดยหน่วยงานราชการ

นอกจากนี้แล้ว ก็ยังรวมไปถึงรูปภาพ ภาพถ่าย หรือภาพในลักษณะใดก็ตามที่มีอัตลักษณ์ของเจ้าของข้อมูลอยู่ และสามารถบ่งชี้ว่าเป็นใครได้ เป็นต้น ดังนั้นแล้ว ผู้เป็นเจ้าของเว็บไซต์ หรือผู้ให้บริการเว็บไซต์ จะต้องระมัดระวังในเรื่องข้อมูลส่วนบุคคลของผู้ที่เข้ามาเยี่ยมชมเว็บไซต์เพิ่มขึ้นเป็นพิเศษ เพราะมีบทลงโทษทางกฎหมาย ไม่ว่าจะเป็นทางแพ่ง ทางอาญา และทางปกครอง เมื่อ พ.ร.บ. ฉบับนี้ถูกบังคับใช้

ข้อมูลเพิ่มเติม : PDPA คืออะไร ? มีประโยชน์กับเราอย่างไร ?

ในการทำเว็บไซต์ ต้องมีการคุ้มครองข้อมูลส่วนบุคคลตรงไหนบ้าง ?

หลัก ๆ เลยที่เว็บไซต์จะมีข้อมูลส่วนบุคคลได้นั่นก็คือการ สมัครสมาชิก (Register) เพื่อเป็นสมาชิก (Member) ของเว็บไซต์นั้น ๆ นั่นเอง การสมัครสมาชิกดังกล่าว ไม่จำเป็นว่าจะต้องเป็นสมาชิกเว็บบอร์ด เว็บสั่งซื้อสินค้า หรือเพื่อการเข้าใช้งานฟีเจอร์อื่น ๆ ของตามวัตถุประสงค์ของเว็บไซต์นั้นเสมอไป เพราะเพียงแค่คุณเริ่มต้นกรอกอีเมลลงไปเพื่อรับข่าวสาร นั่นก็ถือเป็นข้อมูลส่วนบุคคลที่จะต้องได้รับการคุ้มครองแล้ว

จากรูปด้านบนจะสังเกตได้ว่า มีกล่องกาเครื่องหมาย (Checkbox) ให้เลือกรับข่าวสารจากไทยแวร์และร้านค้าไทยแวร์ ซึ่งในส่วนนี้ถือว่าถูกต้องตามที่ พ.ร.บ. กำหนดแล้ว เพราะทำให้ผู้มอบข้อมูลส่วนบุคคล สามารถตัดสินใจได้เองว่าต้องการรับข่าวสารเข้ามายังอีเมลของตนเองที่ถือเป็นข้อมูลส่วนบุคคลหรือไม่

เพราะฉะนั้น ถ้าหากเราบังคับให้ผู้ที่สมัครสมาชิกรับข่าวสาร จะถือเป็นการละเมิด พ.ร.บ. ที่คุ้มครองอยู่ เนื่องจากเราเข้าถึงกล่องขาเข้าอีเมลส่วนตัวของผู้ใช้งานโดยที่ไม่ได้รับอนุญาตนั่นเอง และถึงจะมี Checkbox ในหน้าสมัครสมาชิกแล้ว ในส่วนจัดการข้อมูลสมาชิก ก็ยังคงต้องมีตัวเลือกให้สามารถเปลี่ยนแปลงการบอกรับข่าวสารนี้ได้ตลอดเวลา

การแบ่งส่วนของข้อมูลเพื่อให้ตรงกับจุดประสงค์การใช้งาน ก็ถือเป็นสิ่งที่ทำให้การแบ่งข้อมูลเพื่อจุดประสงค์ในการขอใช้งานนั้น ชัดเจนทั้งทางฝั่งของเว็บไซต์และฝั่งผู้ใช้บริการเว็บไซต์ เช่น ข้อมูลส่วน A ใช้เพื่อการซื้อสินค้าภายในเว็บไซต์ ข้อมูลส่วน B ใช้เพื่อการรับข่าวสารทางอีเมล เป็นต้น 

หากถามว่าส่วนไหนของเว็บไซต์ที่จะมีข้อมูลส่วนบุคคลบ้าง เราได้จำแนกออกมาให้เข้าใจง่ายขึ้นตามการกระทำต่าง ๆ ที่จะมีต่อข้อมูล เพื่อคุ้มครองสิทธิของเจ้าของข้อมูลส่วนบุคคล ได้แก่

1. วิธีการได้มาของข้อมูล

การได้มาของข้อมูลนั้น มีทั้งผู้มอบข้อมูลเป็นคนให้ข้อมูลเอง เช่น ให้ข้อมูลในรูปแบบของการสมัครสมาชิก การกรอกที่อยู่เพื่อจัดส่งสินค้า การกรอกข้อมูลเพื่อทำแบบสอบถาม ชิงโชค เป็นต้น กับการได้ข้อมูลมาโดยระบบคอมพิวเตอร์ทำการจัดเก็บโดยอัตโนมัติ เช่น IP Address, Log file, ประวัติการเยี่ยมชมเว็บไซต์ของผู้ที่มาเข้าชม ทั้งหมดนี้ถือเป็นข้อมูลส่วนตัวที่ได้รับความคุ้มครองตาม พ.ร.บ. ทั้งหมด

2. การนำข้อมูลไปใช้งาน

เมื่อเราได้ข้อมูลมา เจ้าของข้อมูลจะต้องได้รับการแจ้งให้ทราบว่าข้อมูลจะถูกใช้ไปเพื่อการใดบ้าง เช่น การนำไปใช้กับการทำโฆษณา ก็จะต้องระบุให้ชัดเจนว่ามีช่องทางใดบ้างที่จะถูกนำไปใช้ เช่น อีเมล จดหมาย Social Network ฯลฯ หรือการนำมาเพื่อการติดต่อกับสมาชิก ก็จะต้องแจ้งด้วยเช่นกันว่าจะติดต่อผ่านทางใด

3. การจัดเก็บข้อมูล

นอกเหนือจากการนำไปใช้งาน การจัดเก็บข้อมูลก็ถือเป็นสิ่งสำคัญหลัก ๆ ที่ทำให้ข้อมูลส่วนตัวนั้นไม่ถูกละเมิด วิธีการจัดเก็บจะต้องมีการระบุให้ชัดเจนว่า ข้อมูลจะถูกเก็บไว้ในที่ใด และมีใครเป็นผู้ดูแลหรือผู้ถูกจัดเก็บ ซึ่งในไทยนั้น หากข้อมูลถูก Encrypt หรือเข้ารหัสแล้วก็จะสามารถจัดเก็บได้โดยไม่ผิดกฎหมาย

4. การทำลายข้อมูล

สมมติว่ามีการเก็บข้อมูลที่มีระยะเวลาแค่เพียงชั่วคราว เช่น การเก็บข้อมูลเพื่อชิงโชค ก็จะต้องมีรายละเอียดที่แน่ชัดว่า เมื่อหมดระยะเวลาการร่วมสนุก และ / หรือ การส่งเสริมการขายดังกล่าวแล้ว ข้อมูลจะถูกทำลายเมื่อไหร่ และโดยวิธีใด เพื่อให้ผู้ส่งมอบมั่นใจว่า ข้อมูลจะไม่รั่วไหลหรือถูกใช้นอกเหนือจากจุดประสงค์ดั้งเดิมของผู้ให้ข้อมูล

5. การส่งต่อข้อมูล

หากมีการส่งต่อข้อมูลไปยังบุคคลอื่นต่อ ไม่ว่าจะเป็นภายในหรือภายนอกเว็บไซต์ ก็จะต้องมีการระบุไว้เช่นกัน ยกตัวอย่างเช่นการส่งต่อภายในเว็บไซต์ หน้าเว็บอาจมีการเก็บข้อมูลว่า สมาชิกคนนี้เคยแวะไปอ่านบทความใดมาแล้วบ้าง เมื่ออ่านบทความจบ ก็จะนำข้อมูลการอ่านบทความมาแนะนำบทความต่อไปที่สมาชิกอาจสนใจ เป็นต้น ส่วนตัวอย่างการส่งต่อออกไปนอกเว็บไซต์ก็เช่น การส่งต่อไปยังบุคคลที่สามเพื่อการโฆษณา เช่น การเก็บประวัติหน้าเว็บที่เคยเยี่ยมชมในช่วง 3 วันที่ผ่านมา เพื่อแสดงผลการโฆษณาสินค้าที่คิดว่าเกี่ยวข้องและน่าสนใจกับผู้เยี่ยมชมเว็บไซต์นั้น ๆ และสามารถนำผู้เยี่ยมชมคนดังกล่าวเข้าไปเลือกซื้อสินค้าต่อได้ เป็นต้น

การขออนุญาตเก็บข้อมูลส่วนบุคคลและการขอใช้งานข้อมูล

คาดว่าหลายคนน่าจะเคยเห็นคำว่า ยอมรับคุกกี้ (Accept Cookies) ผ่านหูผ่านตาบริเวณด้านล่างเว็บไซต์กันมาบ้างแล้ว ซึ่งการยอมรับคุกกี้ดังกล่าว ก็เป็นผลพวงหนึ่งมาจากการบังคับใช้การคุ้มครองข้อมูลส่วนบุคคลอย่างกว้างขวางไปทั่วโลก เพราะคุกกี้นั้น คือไฟล์ที่เว็บไซต์ต่าง ๆ ที่เราเข้าชมสร้างขึ้นมา โดยถูกแบ่งออกเป็น 2 ประเภทหลักคือ คุกกี้ของบุคคลที่หนึ่ง และ คุกกี้ของบุคคลที่สาม ซึ่งคุกกี้ของบุคคลที่หนึ่ง จะจัดเก็บและบันทึกข้อมูลเว็บไซต์ที่คุณเข้าชม ส่วนคุกกี้ของบุคคลที่สาม จะเป็นข้อมูลที่เว็บไซต์อื่น ๆ สร้างขึ้น โดยเว็บไซต์อื่นที่ว่านี้ก็จะเป็นเจ้าของเนื้อหาบางอย่างเช่น โฆษณาหรือรูปภาพที่คุณเห็นในหน้าเว็บที่เข้าชมหลัก

หน้าเว็บเพจทั้งหน้าที่เป็นข่าวสาร คือ คุกกี้ของบุคคลที่หนึ่ง
ส่วน คุกกี้ของบุคคลที่สาม คือบริเวณที่ล้อมกรอบสีเหลืองไว้ เพราะนั่นคือคุ้กกี้ที่เป็นของบุคคลที่สาม

อ้างอิงจากการที่จะต้องขออนุญาตการเข้าถึงข้อมูลส่วนบุคคลแล้ว การที่จะมีป๊อบอัพขึ้นว่า เรามีการเก็บข้อมูลคุกกี้ภายในเว็บไซต์เพื่อให้ผู้เข้าเยี่ยมชมสามารถเลือกที่จะกดยอมรับหรือปฏิเสธได้ ก็ถือเป็นส่วนหนึ่งที่จะเป็นต้องมีเช่นกัน เพราะผู้ที่เข้ามาเยี่ยมชมเว็บไซต์ก็จะต้องได้รับทราบด้วยว่า การเข้ามาในเว็บไซต์ อาจถูกจัดเก็บข้อมูลส่วนบุคคล เช่น ชื่อ อีเมล เบอร์โทรศัพท์ รวมทั้งข้อมูลอื่น ๆ ที่จะถูกกำหนดให้กรอกเวลาใช้งานส่วนต่าง ๆ ของเว็บไซต์ เช่น การใช้ระบบสมาชิก การซื้อสินค้า การบอกรับข่าวสาร หรือแม้แต่การติดต่อกับบริษัทหรือเจ้าของเว็บไซต์ ด้วยเช่นกัน ซึ่งข้อมูลที่ผู้ที่เข้ามาเยี่ยมชมเว็บไซต์เป็นคนกรอกเองนั้น ต้องสามารถกลับไปแก้ไขได้ตลอดเมื่อต้องการ 

ตัวอย่างในเว็บไซต์ของต่างประเทศ ที่มีให้เห็นกันอย่างกว้างขวาง เพราะมีข้อกฎหมายบังคับใช้อย่างเป็นรูปธรรมแล้ว

การกดยอมรับที่ว่า ไม่ได้มีหน้าที่เพียงแค่ขึ้นมาให้เราได้อ่านข้อกำหนดเท่านั้น แต่มันจะต้องทำหน้าที่บันทึกด้วยว่า บุคคลที่กดยอมรับ ทำการยอมรับไปเมื่อไหร่ กับเว็บไซต์เวอร์ชันไหน ซึ่งเป็นหน้าที่ของผู้ดูแลเว็บไซต์ที่จะต้องบันทึกข้อมูลส่วนนี้ไว้อย่างสม่ำเสมอ

การระบุรายละเอียดในการเก็บข้อมูล

หนึ่งในรายละเอียดที่จำเป็นในการแจ้งขอเก็บข้อมูล คือจุดประสงค์ในการขอใช้ข้อมูลนั้น ๆ ที่จำเป็นจะต้องมีขึ้นมาให้ผู้สมัครสมาชิกได้อ่านในรูปแบบของ "เงื่อนไขและข้อตกลงในการใช้บริการ" หรือที่นิยมเรียกกันสั้น ๆ ว่า Agreement เพื่อทำความเข้าใจให้ตรงกันว่า ข้อมูลส่วนไหนจะถูกนำไปใช้งานอย่างไร ด้วยจุดประสงค์ใด รวมทั้งจะมีการส่งต่อข้อมูลในรูปแบบใดเพิ่มเติมหรือไม่อย่างไรด้วย

โดยทั้งหมด จะต้องมีให้อ่านและสามารถเข้าถึงได้ตลอดเวลา และผู้ที่จะเข้ามาสมัครใช้บริการ หรือผู้เข้ามาใช้บริการโดยทั่วไป ต้องสามารถเลือกที่จะยอมรับ หรือปฏิเสธข้อตกลงดังกล่าวได้เอง มิเช่นนั้นก็จะเข้าข่ายผิด พ.ร.บ. ไปโดยปริยาย

ตัวอย่างจากหน้าสมัครสมาชิกของเว็บ allkpop จะมีให้ติ๊กยอมรับข้อตกลงในการใช้งาน
และนโยบายความเป็นส่วนตัว ที่มีการพูดถึงเรื่องการขอใช้ข้อมูลส่วนตัวร่วมด้วย
Credit: https://www.allkpop.com/sso_register

นอกจากเรื่องจุดประสงค์ในการใช้งานแล้ว ยังมีเรื่องของ ...

• ระยะเวลาในการเก็บรักษาข้อมูล ที่ชัดเจน ว่าข้อมูลส่วนไหนจะมีระยะเวลาในการจัดเก็บเท่าไหร่
• การนำข้อมูลไปเผยแพร่ต่อ ทั้งในและนอกเว็บไซต์ ว่าจะนำไปเผยแพร่ให้ใครต่อบ้าง
• วิธีการจัดเก็บข้อมูล ของทางเว็บไซต์ ว่าข้อมูลจะถูกเก็บไว้ที่ใดและใครเป็นผู้จัดเก็บ
• วิธีการขอเปลี่ยนแปลงข้อมูล ที่ชัดเจน เช่น หากต้องการปรับเปลี่ยนข้อมูลสมาชิก ต้องไปที่เมนูใด หรือหากต้องการยกเลิกการเป็นสมาชิก ต้องติดต่อกับใคร ด้วยวิธีการไหนได้บ้าง เป็นต้น