ส่งข้อมูลลูกค้าไทยออกไปที่แพลตฟอร์มโฆษณาต่างประเทศ ต้องทำอะไรให้ถูกกฎ

ร้านหนึ่งปิดยอดได้ 40 ออเดอร์ในวันเดียว ทุกออเดอร์ทำให้เซิร์ฟเวอร์ยิง Purchase event ไปที่ Conversions API ของ Meta พร้อมอีเมลและเบอร์โทรที่แฮชแล้ว รหัสคลิก ที่อยู่ IP และ user agent ของลูกค้า ปลายทางคือศูนย์ข้อมูลที่ตั้งอยู่นอกประเทศไทย นั่นคือการส่งข้อมูลออกนอกประเทศ 40 ครั้งในวันเดียว แต่ถามเจ้าของร้านว่าประกาศความเป็นส่วนตัวพูดถึงเรื่องนี้ไหม ส่วนใหญ่ยิ้มแห้ง

ผมไม่ใช่ทนายความ และเนื้อหานี้เป็นแนวปฏิบัติสำหรับทีมการตลาด ไม่ใช่คำปรึกษากฎหมาย แต่ส่วนใหญ่ของเรื่องนี้เป็นงานเอกสารกับการเลือกว่าจะส่งอะไร ไม่ต้องหยุดยิงแอด และทำให้เสร็จได้ในสัปดาห์เดียว

มาตรา 28 และ 29 พูดอะไรกับคนยิงแอด

มาตรา 28 ของ พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ว่าด้วยการส่งหรือโอนข้อมูลส่วนบุคคลไปต่างประเทศ หลักคือประเทศปลายทางต้องมีมาตรฐานคุ้มครองข้อมูลที่เพียงพอตามที่คณะกรรมการประกาศ ถ้าไม่เข้าหลักนี้ต้องมีเงื่อนไขอื่นรองรับ เช่นได้รับความยินยอมหลังแจ้งเจ้าของข้อมูลว่ามาตรฐานปลายทางยังไม่เพียงพอ หรือมีมาตรการคุ้มครองที่เหมาะสม มาตรา 29 ใช้กับการส่งภายในเครือกิจการเดียวกันด้วยนโยบายที่ได้รับการตรวจสอบ ส่วนคณะกรรมการก็ออกประกาศเรื่องการโอนข้อมูลไปต่างประเทศในปี 2566 วางแนวสัญญามาตรฐานและกลไกอื่น เปิดฉบับล่าสุดจากเว็บไซต์ของสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลก่อนอ้างอิง

คำถามที่ทีมแอดมักเถียงกันคือ แฮชแล้วยังนับไหม คำตอบสั้นคือยังนับ เพราะเป้าหมายของการส่งอีเมลหรือเบอร์ที่แฮชให้แพลตฟอร์มคือให้แพลตฟอร์มจับคู่กับบัญชีของคนจริง ถ้าจับคู่ระบุตัวคนได้ ข้อมูลนั้นก็ยังเป็นข้อมูลส่วนบุคคล แฮชเป็นมาตรการลดความเสี่ยงระหว่างทาง ไม่ใช่การทำให้ข้อมูลไม่ระบุตัวตน รายละเอียดเรื่องนี้อยู่ใน แฮชข้อมูลลูกค้ากับ PDPA

สิ่งที่ออกจากเซิร์ฟเวอร์จริง ๆ ในการยิงหนึ่งครั้ง

ก่อนคุยเรื่องกฎหมายต้องรู้ก่อนว่าส่งอะไรไป ผมให้ทีมเปิดตัวอย่างคำขอ (payload) จริงหนึ่งอัน แล้วไล่ทีละช่อง

ทางที่ธุรกิจขนาดเล็กใช้ได้จริง

กฎหมายเปิดทางไว้หลายทาง แต่สำหรับเจ้าของร้านและทีมแอด ทางที่ปฏิบัติได้จริงมักเรียงตามนี้ ตรวจกับที่ปรึกษากฎหมายของคุณอีกรอบ เพราะข้อเท็จจริงของแต่ละธุรกิจต่างกัน

1. แจ้งก่อนส่ง ประกาศความเป็นส่วนตัวต้องระบุว่าข้อมูลถูกส่งให้ใคร เพื่ออะไร และอยู่ต่างประเทศ ตัวอย่างข้อความอยู่ในหัวข้อถัดไป เทียบกับ นโยบายความเป็นส่วนตัวสำหรับการวัด conversion
2. ขอความยินยอมที่พูดถึงต่างประเทศตรง ๆ ปุ่มยินยอมคุกกี้และการตลาดควรมีประโยคที่ระบุว่าข้อมูลจะถูกส่งไปยังผู้ให้บริการโฆษณานอกประเทศ แล้วเชื่อมกับกลไกที่หยุดส่งเมื่อไม่ยินยอม ซึ่งเขียนไว้ใน การตั้งด่านความยินยอมก่อนยิง CAPI
3. เก็บข้อตกลงของแพลตฟอร์ม Meta, Google และ TikTok มีข้อตกลงการประมวลผลข้อมูลสำหรับเครื่องมือธุรกิจที่กดยอมรับในบัญชีโฆษณา อ่านให้รู้ว่าแพลตฟอร์มอยู่ในบทบาทใด เก็บสำเนาพร้อมวันที่ แล้วบันทึกไว้ในเอกสารภายใน
4. ส่งเท่าที่จำเป็น ตัดช่องที่ไม่ได้ช่วยการจับคู่หรือการวัดผลออกตามตารางด้านบน ช่องที่ไม่มีเหตุผลรองรับคือความเสี่ยงที่ไม่มีใครได้ประโยชน์

ข้อความในประกาศความเป็นส่วนตัวที่ควรมีอย่างน้อย

ผมเจอบ่อยว่าประกาศเขียนว่า ‘เราอาจเปิดเผยข้อมูลแก่พันธมิตรโฆษณา’ ซึ่งกว้างเกินไปและไม่บอกว่าอยู่ต่างประเทศ ตัวอย่างที่เจาะจงกว่า ปรับให้ตรงกับที่ร้านส่งจริง: ‘เราส่งข้อมูลที่ผ่านการแฮชของอีเมลและเบอร์โทร รหัสคลิกโฆษณา และมูลค่าคำสั่งซื้อ ไปยัง Meta, Google และ TikTok ซึ่งประมวลผลข้อมูลนอกประเทศไทย เพื่อวัดผลและปรับปรุงโฆษณาของเรา คุณถอนความยินยอมได้ตลอดเวลาผ่านช่องทางด้านล่าง’ ประกาศควรบอกสี่เรื่องนี้ให้ครบ

• ชื่อแพลตฟอร์มที่รับข้อมูล เจาะจงเป็นชื่อ ไม่ใช้คำว่า ‘พันธมิตร’
• ประเภทข้อมูลที่ส่ง ให้ตรงกับตารางตัวอย่างข้างบน
• ข้อเท็จจริงว่าปลายทางอยู่นอกประเทศไทย
• วิธีถอนความยินยอม และสิ่งที่เกิดขึ้นหลังถอน คือเลิกส่งข้อมูลใหม่ของคนนั้น

สิ่งที่ผมไม่ส่งออกไปเลย แม้ส่งได้ในทางเทคนิค

ข้อมูลอ่อนไหวตามมาตรา 26 เช่น สุขภาพ ศาสนา ประวัติอาชญากรรม มีเงื่อนไขเข้มกว่าข้อมูลทั่วไปมาก ธุรกิจอย่างคลินิกที่ชื่อบริการเผยโรคอยู่แล้ว ควรตั้งชื่อ event เป็นกลาง เช่น Lead หรือ Purchase และไม่ส่งชื่อรายการที่เผยอาการ แพลตฟอร์มเองก็ห้ามส่งข้อมูลอ่อนไหวบางประเภทผ่านเครื่องมือธุรกิจของเขาอยู่แล้ว

เนื้อหาในแชทเป็นอีกอย่างที่ไม่ควรออกไป ระบบวัดผลต้องรู้ว่ามีออเดอร์เกิดขึ้นและมูลค่าเท่าไร ไม่ต้องรู้ว่าลูกค้าพิมพ์อะไรในห้องแชท

ถ้าคุณทำงานในฐานะเอเจนซี่ ต้องเช็กต่อว่าข้อมูลของลูกค้าหลายแบรนด์ไหลผ่านผู้ให้บริการรายอื่นอีกกี่ทอด ดูกรอบตรวจที่ การตรวจเส้นทางข้อมูลผ่านผู้ประมวลผลช่วง และรายการข้อตกลงที่ควรมีที่ checklist ข้อตกลงประมวลผลข้อมูลกับผู้ให้บริการ

แผนหนึ่งสัปดาห์สำหรับทีมที่ยังไม่เคยทำ

1. วันที่ 1 ดึงตัวอย่าง payload ที่ยิงจริงของแต่ละแพลตฟอร์ม แล้วทำตารางช่องข้อมูลตามหัวข้อที่สอง
2. วันที่ 2 เปิดข้อตกลงการประมวลผลข้อมูลของแต่ละแพลตฟอร์ม บันทึกชื่อเอกสารและวันที่ตรวจ
3. วันที่ 3 แก้ประกาศความเป็นส่วนตัวให้ระบุชื่อแพลตฟอร์ม ประเภทข้อมูล และการส่งนอกประเทศ
4. วันที่ 4 ตรวจข้อความขอความยินยอมบนหน้าเว็บและในแชทว่ามีประโยคเรื่องต่างประเทศ และการยิง CAPI รอความยินยอมจริง
5. วันที่ 5 เพิ่มรายการเหล่านี้ในบันทึกรายการประมวลผล (มาตรา 39) แล้วตั้งวันทบทวนทุกครึ่งปี

สรุป

ถ้าจะเริ่มจากอย่างเดียว ให้เริ่มจากตาราง payload เพราะมันบอกว่าต้องเขียนอะไรในประกาศและควรตัดอะไรทิ้ง ขั้นที่เหลือทั้งหมดต่อออกมาจากตารางนี้

การส่งข้อมูลไปแพลตฟอร์มต่างประเทศไม่ต้องเลิกทำ เป้าหมายคือให้ทุกช่องข้อมูลที่ออกไปมีเหตุผลรองรับ มีคำบอกกล่าวต่อลูกค้า และมีสวิตช์หยุดส่งเมื่อลูกค้าถอนความยินยอม

• แฮชไม่ได้ทำให้ข้อมูลพ้นจากมาตรา 28 เพราะแพลตฟอร์มใช้จับคู่กับตัวบุคคลจริง
• เริ่มจากตัวอย่าง payload จริง แล้วตัดช่องที่ไม่มีเหตุผลออก
• ประกาศความเป็นส่วนตัวต้องระบุชื่อแพลตฟอร์ม ประเภทข้อมูล และการส่งนอกประเทศ
• ไม่ส่งเนื้อหาแชทและชื่อรายการที่เผยข้อมูลอ่อนไหว
• เก็บข้อตกลงของแพลตฟอร์มไว้พร้อมวันที่ และทบทวนทุกครึ่งปี

คำถามที่พบบ่อย