LINE Tracking กับ PDPA ธุรกิจไทยควรเก็บข้อมูลอย่างไรให้เหมาะสม

เจ้าของธุรกิจรายหนึ่งถามตรง ๆ ว่า “ติดระบบ Tracking แล้วเรื่อง PDPA จบเลยใช่ไหม” คำตอบที่ต้องพูดตรง ๆ คือไม่ใช่ ระบบ Tracking ช่วยจัดระเบียบข้อมูลและลดความเสี่ยงบางส่วน แต่ความรับผิดชอบทางกฎหมายเรื่องการเก็บ ใช้ และเปิดเผยข้อมูลส่วนบุคคลยังคงเป็นของธุรกิจในฐานะผู้ควบคุมข้อมูลอยู่ดี

ความเข้าใจผิดนี้พบได้บ่อยเพราะคำว่า “ระบบช่วยจัดการข้อมูล” มักถูกตีความไปไกลเกินจริงว่าเท่ากับ “ระบบทำให้ถูกกฎหมายแทน” ทั้งที่ในความเป็นจริงกฎหมาย PDPA กำหนดหน้าที่ไว้ที่ตัวธุรกิจผู้เก็บและใช้ข้อมูล ไม่ใช่ที่ตัวซอฟต์แวร์ที่ใช้งาน

บทความนี้ไม่ได้เขียนขึ้นเพื่อให้คำแนะนำทางกฎหมายแทนที่ปรึกษากฎหมายหรือเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล แต่จะอธิบายกรอบความเข้าใจว่าธุรกิจที่ใช้ LINE Tracking ควรแบ่งความรับผิดชอบอย่างไร และควรระวังอะไรเป็นพิเศษเมื่อข้อมูลลูกค้าเดินทางจากแชทไปสู่แพลตฟอร์มโฆษณา

ธุรกิจเป็นผู้ควบคุมข้อมูล ไม่ใช่ระบบ Tracking

ภายใต้กรอบ PDPA ธุรกิจที่เก็บข้อมูลลูกค้าจาก LINE เช่น ชื่อ เบอร์โทร หรือรายละเอียดการสั่งซื้อ มักมีสถานะเป็นผู้ควบคุมข้อมูลส่วนบุคคล (Controller) เพราะเป็นผู้กำหนดวัตถุประสงค์และวิธีการเก็บข้อมูลนั้น ส่วนระบบที่ใช้ประมวลผลหรือจัดเก็บข้อมูลแทนอาจมีสถานะเป็นผู้ประมวลผลข้อมูล (Processor) ตามความสัมพันธ์และข้อตกลงที่มีจริง

การแยกบทบาทนี้สำคัญเพราะหน้าที่ตามกฎหมายส่วนใหญ่ เช่น การแจ้งวัตถุประสงค์การเก็บข้อมูล การขอความยินยอม และการตอบสนองคำขอของเจ้าของข้อมูล ยังคงตกอยู่ที่ธุรกิจในฐานะผู้ควบคุมข้อมูลเป็นหลัก ธุรกิจจึงควรประเมินสถานะของตัวเองตามความสัมพันธ์จริงกับข้อมูลที่เก็บ ไม่ใช่ปล่อยให้เป็นเรื่องคลุมเครือ

สิ่งที่ระบบ Tracking ไม่ได้ทำให้อัตโนมัติ

ต้องพูดให้ชัดเจนว่าการติดตั้งระบบ Tracking รวมถึง linli ไม่ได้ทำให้ธุรกิจปฏิบัติตาม PDPA ครบถ้วนโดยอัตโนมัติ สิ่งที่ระบบทำได้คือช่วยจัดระเบียบข้อมูล Event และลดการส่งข้อมูลส่วนบุคคลดิบไปยังแพลตฟอร์มโฆษณาโดยไม่จำเป็น แต่หน้าที่ต่อไปนี้ยังคงเป็นของธุรกิจเอง

• การจัดทำ Privacy Notice ที่แจ้งลูกค้าว่าเก็บข้อมูลอะไร เพื่อวัตถุประสงค์ใด
• การกำหนด Legal Basis ที่เหมาะสมสำหรับการเก็บและใช้ข้อมูลแต่ละประเภท
• การขอความยินยอมในกรณีที่กฎหมายกำหนดให้ต้องขอความยินยอม
• การกำหนดระยะเวลาเก็บข้อมูล (Retention) และการลบข้อมูลเมื่อพ้นความจำเป็น
• การตอบสนองคำขอของเจ้าของข้อมูล เช่น คำขอเข้าถึง แก้ไข หรือลบข้อมูล

Legal Basis และ Consent ในบริบทแชท LINE

การทักแชทเข้ามาใน LINE OA ไม่ได้แปลว่าลูกค้ายินยอมให้นำข้อมูลไปใช้ได้ทุกวัตถุประสงค์โดยอัตโนมัติ ธุรกิจควรพิจารณาว่าการเก็บข้อมูลแต่ละส่วนมี Legal Basis ใดรองรับ เช่น ความจำเป็นในการปฏิบัติตามสัญญาเมื่อลูกค้าสั่งซื้อสินค้า หรือความยินยอมเมื่อจะนำข้อมูลไปใช้เพื่อการตลาดเพิ่มเติมนอกเหนือจากการให้บริการปกติ

แนวทางเรื่อง การขอความยินยอมภายในแชท LINE ควรออกแบบให้ชัดเจนและไม่รบกวนประสบการณ์ลูกค้าจนเกินไป โดยเฉพาะเมื่อธุรกิจต้องการใช้ข้อมูลเพื่อส่ง Conversion กลับไปยังแพลตฟอร์มโฆษณา ซึ่งต้องพิจารณา Consent Mode และเงื่อนไขของแต่ละแพลตฟอร์มประกอบด้วย

ข้อมูลส่วนบุคคลที่ไม่ควรส่งไปแพลตฟอร์มโฆษณาโดยตรง

หลักการสำคัญคือลดการส่งข้อมูลส่วนบุคคลดิบ (Raw PII) ไปยังแพลตฟอร์มโฆษณาให้น้อยที่สุดเท่าที่จำเป็น การ Hash ข้อมูลก่อนส่งอาจช่วยลดความเสี่ยงบางส่วน แต่ต้องเข้าใจว่าการ Hash ไม่ได้ทำให้ข้อมูลพ้นจากขอบเขตของกฎหมายคุ้มครองข้อมูลส่วนบุคคลโดยอัตโนมัติ ยังต้องมี Legal Basis รองรับการส่งข้อมูลนั้นอยู่ดี

การกำหนดระยะเวลาเก็บข้อมูลและจำกัดการเข้าถึง

ธุรกิจควรกำหนดนโยบายว่าจะเก็บข้อมูลแชทและ Lead นานแค่ไหนหลังจากที่ลูกค้าไม่มีการติดต่อหรือปิดการขายไปแล้ว การเก็บข้อมูลไว้นานเกินความจำเป็นโดยไม่มีเหตุผลรองรับเพิ่มความเสี่ยงหากเกิดเหตุข้อมูลรั่วไหล ควรทบทวนนโยบาย Retention เป็นระยะและลบหรือทำให้ข้อมูลไม่สามารถระบุตัวตนได้เมื่อพ้นความจำเป็น

ควบคู่กันคือการจำกัดสิทธิ์การเข้าถึงข้อมูลลูกค้าเฉพาะพนักงานที่จำเป็นต้องใช้จริง เช่น แอดมินที่ดูแล Lead ของตัวเองเท่านั้น ไม่ใช่เปิดให้ทุกคนในทีมเห็นข้อมูลลูกค้าทั้งหมด การจำกัดสิทธิ์แบบนี้ควรทำทั้งในระบบ Tracking และในระบบอื่นที่เก็บข้อมูลลูกค้า เช่น สเปรดชีตหรือระบบบัญชี

เมื่อลูกค้าขอเข้าถึงหรือขอให้ลบข้อมูลของตัวเอง

ธุรกิจควรมีกระบวนการรองรับเมื่อลูกค้าติดต่อเข้ามาขอเข้าถึง แก้ไข หรือขอให้ลบข้อมูลส่วนบุคคลของตัวเอง กระบวนการนี้ต้องครอบคลุมทุกระบบที่เก็บข้อมูลลูกค้าคนนั้นไว้ ไม่ใช่แค่ในระบบ Tracking อย่างเดียว เพราะข้อมูลอาจกระจายอยู่ทั้งใน LINE OA ระบบ CRM และไฟล์บันทึกยอดขายของทีมขาย

ธุรกิจควรตกลงล่วงหน้าว่าใครในทีมเป็นผู้รับผิดชอบประสานงานคำขอลักษณะนี้ และจะดำเนินการภายในระยะเวลาเท่าไร เพื่อไม่ให้คำขอของลูกค้าตกหล่นหรือถูกละเลยเพราะไม่มีเจ้าภาพชัดเจน

แนวทางปฏิบัติที่ทำได้จริงสำหรับธุรกิจขนาดกลางและเล็ก

ธุรกิจไม่จำเป็นต้องมีทีมกฎหมายขนาดใหญ่ถึงจะเริ่มดูแลเรื่องนี้ได้ จุดเริ่มต้นที่ทำได้จริงคือทบทวนว่าตอนนี้เก็บข้อมูลอะไรบ้างจากแชท LINE แล้วประเมินว่าข้อมูลไหนจำเป็นต่อการให้บริการจริง ข้อมูลไหนเก็บไว้เกินความจำเป็นโดยไม่มีเหตุผลชัดเจน จากนั้นค่อยจัดทำ Privacy Notice ฉบับสั้นที่อธิบายให้ลูกค้าเข้าใจง่าย และทบทวนสิทธิ์การเข้าถึงข้อมูลของทีมเป็นระยะ

สำหรับประเด็นทางกฎหมายที่ซับซ้อนกว่านี้ เช่น การประเมิน Legal Basis ที่เหมาะสมกับธุรกิจเฉพาะทาง หรือกรณีที่มีข้อมูลอ่อนไหวเกี่ยวข้อง ควรปรึกษาที่ปรึกษากฎหมายหรือผู้เชี่ยวชาญด้านการคุ้มครองข้อมูลส่วนบุคคลโดยตรง เพราะเนื้อหาในบทความนี้เป็นเพียงกรอบความเข้าใจเบื้องต้น ไม่ใช่คำแนะนำทางกฎหมายที่ใช้แทนการปรึกษาผู้เชี่ยวชาญได้

อย่าลืมตรวจผู้ให้บริการภายนอกที่เข้าถึงข้อมูลลูกค้าด้วย

ธุรกิจที่ใช้ระบบ Tracking หรือเครื่องมือการตลาดจากผู้ให้บริการภายนอก ควรตรวจสอบว่าผู้ให้บริการแต่ละรายเข้าถึงข้อมูลลูกค้าในระดับใดบ้าง และมีมาตรการป้องกันข้อมูลอย่างไร ไม่ใช่เชื่อไปเองว่าผู้ให้บริการทุกรายดูแลข้อมูลอย่างเหมาะสมโดยอัตโนมัติ ควรอ่านนโยบายความเป็นส่วนตัวและข้อตกลงการประมวลผลข้อมูล (Data Processing Agreement) ของผู้ให้บริการแต่ละรายที่เกี่ยวข้องกับข้อมูลลูกค้า ก่อนตัดสินใจเชื่อมต่อระบบใด ๆ เข้ากับข้อมูลแชทหรือข้อมูล Lead ของธุรกิจ

ธุรกิจที่ใช้หลายระบบพร้อมกัน เช่น ระบบ Tracking ระบบ CRM และระบบส่งข้อความอัตโนมัติ ควรทำรายการสั้น ๆ ว่าแต่ละระบบเก็บข้อมูลอะไรบ้าง เชื่อมต่อกับระบบอื่นหรือไม่ และใครในทีมเป็นผู้ดูแลบัญชีของแต่ละระบบ รายการนี้ช่วยให้เห็นภาพรวมว่าข้อมูลลูกค้าไหลไปที่ไหนบ้าง ซึ่งเป็นข้อมูลที่จำเป็นเมื่อต้องตอบคำถามลูกค้าหรือหน่วยงานกำกับดูแลว่าข้อมูลของลูกค้าถูกส่งไปที่ใดบ้าง

สรุป

PDPA ไม่ใช่เรื่องที่จบด้วยการติดตั้งระบบ Tracking แต่เป็นความรับผิดชอบต่อเนื่องของธุรกิจในฐานะผู้ควบคุมข้อมูล ตั้งแต่การกำหนด Legal Basis การแจ้งวัตถุประสงค์ การจำกัดข้อมูลที่ส่งไปยังแพลตฟอร์มโฆษณา ไปจนถึงการตอบสนองคำขอของลูกค้าเจ้าของข้อมูล

ระบบ Tracking ที่ดีช่วยลดความเสี่ยงบางจุด เช่น การไม่ส่ง PII ดิบไปยังแพลตฟอร์มโฆษณาโดยไม่จำเป็น แต่ธุรกิจยังต้องวางนโยบายและกระบวนการภายในของตัวเองควบคู่ไปด้วยเสมอ ไม่ควรมองว่าเทคโนโลยีเพียงอย่างเดียวแก้ปัญหานี้ได้ทั้งหมด

• ธุรกิจคือผู้ควบคุมข้อมูล ไม่ใช่ระบบ Tracking ที่ใช้งาน
• ระบบช่วยลดการส่ง PII ดิบไปแพลตฟอร์มโฆษณา แต่ไม่ได้ทำให้ผ่าน PDPA อัตโนมัติ
• ต้องกำหนด Legal Basis, Privacy Notice, Retention และสิทธิ์การเข้าถึงเอง
• การ Hash ข้อมูลช่วยลดความเสี่ยงแต่ไม่ใช่การพ้นภาระทางกฎหมายโดยอัตโนมัติ
• ประเด็นซับซ้อนควรปรึกษาที่ปรึกษากฎหมายหรือผู้เชี่ยวชาญด้านคุ้มครองข้อมูลส่วนบุคคล

คำถามที่พบบ่อย