PDPA สำหรับเว็บธุรกิจไทย: ต้องทำอะไรบ้างให้ครบขั้นต่ำ

บทความนี้เป็นแนวทางทั่วไป ไม่ใช่คำแนะนำทางกฎหมาย ถ้าธุรกิจเก็บข้อมูลอ่อนไหวควรปรึกษาผู้เชี่ยวชาญ

1. นโยบายความเป็นส่วนตัวที่อ่านรู้เรื่อง#

ระบุว่าเก็บข้อมูลอะไร เก็บไปทำอะไร เก็บนานแค่ไหน แชร์ให้ใครบ้าง (เช่น ผู้ให้บริการวิเคราะห์/โฆษณา) และติดต่อขอใช้สิทธิ์ได้ทางไหน

2. ขอความยินยอมเมื่อจำเป็น#

การติดตั้งคุกกี้เพื่อการตลาด/วิเคราะห์ ควรมีแบนเนอร์ให้เลือก ไม่ใช่ติดตั้งทันทีที่เข้าเว็บ และต้องปฏิเสธได้ง่ายเท่ากับการยอมรับ

3. เก็บเท่าที่จำเป็น#

ฟอร์มติดต่อไม่จำเป็นต้องขอเลขบัตรประชาชนหรือวันเกิด ถ้าไม่ได้ใช้จริง

4. บอกให้ชัดเมื่อจะส่งข่าวสาร#

ถ้าจะใช้อีเมล/เบอร์เพื่อส่งโปรโมชัน ต้องระบุตอนเก็บ และมีทางยกเลิกทุกครั้งที่ส่ง

5. ดูแลข้อมูลให้ปลอดภัย#

จำกัดคนที่เข้าถึงข้อมูลลูกค้า ใช้รหัสผ่านแยกรายบุคคล และลบข้อมูลที่ไม่ต้องใช้แล้วตามรอบที่กำหนด

6. เตรียมรับคำขอใช้สิทธิ์#

ลูกค้ามีสิทธิ์ขอดู แก้ไข หรือลบข้อมูลของตัวเอง ควรมีช่องทางติดต่อและกระบวนการภายในว่าใครรับผิดชอบและตอบภายในกี่วัน

ทำ 6 ข้อนี้ให้ครบก่อน แล้วค่อยพิจารณาเรื่องที่ซับซ้อนกว่า เช่น การแต่งตั้ง DPO ตามลักษณะธุรกิจ