ขอข้อมูลโปรไฟล์จาก LIFF ได้อะไรบ้าง และต้องขอความยินยอมตรงไหนก่อน

สมมติทีมพัฒนาถามว่า ขอ scope email ไว้ก่อนเลยดีไหม เผื่อวันหน้าได้ใช้ ฝ่ายการตลาดตอบว่าดี จะได้เอาอีเมลไปทำ Custom Audience ฝ่ายกฎหมายถามกลับว่าเอาอีเมลไปทำอะไร แจ้งลูกค้าไว้ตรงไหน ทั้งโต๊ะเงียบ เพราะไม่มีใครตอบได้

เหตุการณ์แบบนี้เกิดบ่อยเพราะ LIFF ทำให้ขอข้อมูลง่ายมาก แค่เติมหนึ่งบรรทัดใน scope บทความนี้แยกให้เห็นว่าแต่ละ scope ได้ข้อมูลอะไร ต้องถามผู้ใช้ตรงไหน และบันทึกความยินยอมของฝั่งคุณยังไง บทความนี้ไม่ใช่คำแนะนำทางกฎหมาย โปรดปรึกษาผู้เชี่ยวชาญกับข้อความจริงของคุณ และตรวจรายละเอียดของแต่ละ scope กับเอกสารล่าสุดของ LINE

แต่ละ scope ได้ข้อมูลอะไรบ้าง

ขอเท่าที่ใช้ ถามตัวเองสองข้อก่อนเติม scope

ข้อแรก ข้อมูลนี้ใช้ทำอะไร ข้อสอง ถ้าไม่มี ฟีเจอร์ไหนทำไม่ได้ ถ้าตอบข้อสองไม่ได้ ก็ยังไม่ต้องขอ ตัวอย่างการจับคู่ เช่น ถ้าต้องการแค่เชื่อมคนที่เปิดหน้าเว็บกับคนในแชท userId พอแล้ว ถ้าอยากทักชื่อในแชทให้เป็นกันเอง ใช้ displayName ส่วนอีเมลที่จะส่งใบเสร็จ ให้ลูกค้ากรอกเองในฟอร์มก็ได้ ซึ่งเขาเป็นคนเลือกว่าจะให้ที่อยู่ไหน

ผมไม่เห็นด้วยกับการขอ email ไว้ก่อนเพื่อ “วันหนึ่งอาจได้ใช้” เพราะวัตถุประสงค์ที่ยังไม่มีอยู่จริงบอกผู้ใช้ไม่ได้ และพอใช้ผิดวัตถุประสงค์เมื่อไหร่ ปัญหาจะย้อนมาที่ทีมที่ขอข้อมูลตั้งแต่แรก

ความยินยอมสองชั้นที่ไม่แทนกัน

ชั้นแรกคือหน้าอนุญาตของ LINE ที่ผู้ใช้เห็นเมื่อเปิด LIFF ครั้งแรก เป็นการยอมให้ LINE ส่งข้อมูลตาม scope ให้แอปของคุณ ชั้นที่สองคือการแจ้งและขอความยินยอมของธุรกิจคุณเอง ว่าจะใช้ข้อมูลนั้นทำอะไร เก็บนานแค่ไหน และส่งต่อให้ใคร ตามความเข้าใจของผม หน้าของ LINE ไม่ได้บอกผู้ใช้ว่าคุณจะเอาข้อมูลไปยิงโฆษณาหรือไม่ ชั้นที่สองจึงยังต้องทำเอง

ถ้าธุรกิจของคุณใช้ข้อมูลเพื่อวัดผลอย่างเดียว กับใช้เพื่อส่งเข้าแพลตฟอร์มโฆษณา สองวัตถุประสงค์นี้ควรแยกการแจ้งและแยกช่องยินยอม รายละเอียดเชิงกฎหมายให้ปรึกษาผู้เชี่ยวชาญ เนื้อหาด้านเทคนิคเรื่องการจัดเก็บอ่านต่อได้ใน PDPA กับการเก็บ LINE User ID

วางความยินยอมตรงไหนในลำดับหน้าจอ

1. ก่อนเรียก liff.login() หรือก่อนหน้าที่เริ่มใช้โปรไฟล์ แสดงข้อความสั้นว่าจะใช้ข้อมูลอะไรเพื่ออะไร พร้อมลิงก์ไปนโยบายฉบับเต็ม
2. ถ้าจะใช้ข้อมูลส่งเข้า CAPI หรือสร้างกลุ่มเป้าหมายโฆษณา ให้มีช่องติ๊กแยกต่างหาก ไม่ติ๊กไว้ล่วงหน้า และไม่ผูกกับการใช้บริการหลัก
3. บันทึกผลทุกครั้ง ได้แก่ userId เวลา เวอร์ชันของข้อความที่แสดง วัตถุประสงค์ที่ยินยอม และช่องทางที่ได้มา ตามแบบใน ร่องรอยการให้ความยินยอม
4. ให้ถอนความยินยอมได้ง่ายพอ ๆ กับตอนให้ เช่นพิมพ์คำสั้น ๆ ในแชทหรือกดปุ่มในหน้า LIFF แล้วหยุดใช้ข้อมูลนั้นจริง
5. ตรวจสถานะความยินยอมก่อนส่งข้อมูลออกทุกครั้ง ตามหลักใน Consent Gate ก่อนยิง CAPI

เก็บอะไร ไม่เก็บอะไร

• เก็บ userId ซึ่งเป็นตัวเชื่อมที่จำเป็น และเก็บบันทึกความยินยอมตามที่ระบุข้างบน
• เก็บเมื่อมีเหตุผล displayName ถ้าใช้ทักทายหรือตรวจว่าเป็นคนเดียวกันในรายงาน
• ไม่ต้องเก็บ pictureUrl ถ้าไม่ได้แสดงผลที่ไหน ลิงก์รูปอาจเปลี่ยนได้และไม่ช่วยวัดผล
• ห้ามเก็บดิบในล็อก access token และ ID token เพราะใครได้ไปก็สวมรอยเรียก API ได้ ตรวจแล้วทิ้ง หรือเก็บเฉพาะ userId ที่ได้จากการตรวจ

กรณีเอเจนซีที่ทำให้หลายแบรนด์

อย่าใช้ LIFF app ตัวเดียวข้ามแบรนด์ แต่ละแบรนด์ควรมีนโยบายความเป็นส่วนตัวและบันทึกความยินยอมของตัวเอง และเพราะ userId ต่างกันตาม Provider (ตรวจเอกสาร) การพยายามเชื่อมคนเดียวกันข้ามลูกค้าก็ทำไม่ได้ในทางเทคนิค ซึ่งถือว่าเป็นข้อดี ถ้ามีคำถามว่าจะเก็บข้อมูลคุยในแชทด้วยไหม ให้ดูแนวทางเพิ่มใน ขอความยินยอมในแชท LINE

สรุป

ก่อนแก้ scope ครั้งต่อไป ให้ทำตารางสามคอลัมน์ ได้แก่ ข้อมูลที่ขอ ใช้ทำอะไร และแจ้งผู้ใช้ตรงไหน ถ้าช่องใดว่างให้ถอด scope นั้นออก วิธีนี้ตัดการขอข้อมูลที่ไม่มีเจ้าของออกได้เร็วกว่าการนั่งถกกันในที่ประชุม

• scope แต่ละตัวให้ข้อมูลคนละชนิด และ chat_message.write ไม่ใช่การดึงข้อมูล
• หน้าอนุญาตของ LINE กับการแจ้งและขอความยินยอมของธุรกิจเป็นคนละชั้น
• บันทึกความยินยอมและตรวจสถานะก่อนส่งข้อมูลออกทุกครั้ง
• ไม่เก็บ token ดิบในล็อก

คำถามที่พบบ่อย