PDPA ร้านบริการ: คู่มือเริ่มต้นที่เจ้าของร้านเข้าใจได้

บทความนี้เป็นข้อมูลทั่วไป ไม่ใช่คำปรึกษาทางกฎหมาย หากร้านมีกรณีเฉพาะ ควรปรึกษานักกฎหมายหรือดูประกาศล่าสุดจาก สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (สคส.)

ทุกวันนี้ร้านบริการเกือบทุกร้านเก็บข้อมูลลูกค้าอยู่แล้ว ทั้งชื่อ เบอร์โทร LINE ประวัติการใช้บริการ บางร้านมีข้อมูลการแพ้ยาหรือโรคประจำตัวด้วย คำถามที่เจ้าของร้านเจอบ่อยคือ "PDPA ร้านบริการ ต้องทำอะไรบ้าง" บทความนี้สรุปหลักสำคัญของพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ในภาษาที่ใช้ได้จริงหน้าร้าน พร้อมเช็กลิสต์ที่เริ่มทำได้วันนี้โดยไม่ต้องจ้างทีมใหญ่

PDPA ร้านบริการคืออะไร และทำไมร้านเล็กก็เกี่ยว

PDPA คือกฎหมายที่กำหนดว่าใครเก็บข้อมูลส่วนบุคคลของผู้อื่น ต้องมีเหตุผลที่ชอบด้วยกฎหมาย ต้องแจ้งให้เจ้าของข้อมูลรู้ และต้องดูแลข้อมูลให้ปลอดภัย กฎหมายไม่ได้ยกเว้นร้านเพียงเพราะมีขนาดเล็ก ถ้าร้านเก็บข้อมูลลูกค้าเพื่อใช้ในธุรกิจ ร้านก็อยู่ในขอบเขต

ข้อมูลส่วนบุคคลหมายถึงข้อมูลที่ทำให้ระบุตัวบุคคลได้ทั้งทางตรงและทางอ้อม ตัวอย่างในร้านบริการ ได้แก่

• ชื่อ นามสกุล ชื่อเล่นที่ใช้คู่กับเบอร์โทร
• เบอร์โทรศัพท์ อีเมล LINE user ID
• ประวัติการจอง บริการที่ใช้ ช่างที่เลือก
• รูปถ่ายก่อนและหลังทำบริการ
• ทะเบียนรถ (ร้านล้างรถ อู่ซ่อม) หรือชื่อสัตว์เลี้ยงคู่กับชื่อเจ้าของ

ส่วนข้อมูลบางประเภทกฎหมายถือว่าอ่อนไหวเป็นพิเศษ เช่น ข้อมูลสุขภาพ ประวัติแพ้ยา ศาสนา หรือข้อมูลชีวภาพ ซึ่งมีเงื่อนไขเข้มกว่า อ่านต่อได้ใน ข้อมูลอ่อนไหว PDPA มาตรา 26

5 หลักคิดที่ร้านควรจำ

1. เก็บเท่าที่จำเป็น

ถามตัวเองก่อนเพิ่มช่องในแบบฟอร์มว่า "ร้านใช้ข้อมูลนี้ทำอะไร" ถ้าตอบไม่ได้ ไม่ต้องเก็บ ร้านตัดผมไม่จำเป็นต้องรู้วันเกิดลูกค้าเพื่อรับจอง แต่ร้านอาบน้ำสัตว์ต้องรู้ขนาดและพันธุ์ของสัตว์เพื่อคำนวณเวลา

2. แจ้งให้รู้ก่อนเก็บ

ร้านต้องมีประกาศความเป็นส่วนตัว (privacy notice) ที่บอกว่าเก็บอะไร เพื่ออะไร เก็บนานเท่าไร ส่งต่อให้ใคร และลูกค้าติดต่อร้านได้อย่างไร ประกาศนี้ควรอยู่ในจุดที่ลูกค้าเห็นก่อนกรอกข้อมูล เช่น หน้าจองออนไลน์

3. มีฐานทางกฎหมายสำหรับทุกการใช้

ไม่ใช่ทุกอย่างต้องใช้ความยินยอม PDPA มีหลายฐาน ที่ร้านบริการใช้บ่อยมีดังนี้

การเลือกฐานที่ถูกต้องสำคัญ เพราะถ้าร้านใช้ความยินยอมเป็นฐาน ลูกค้าถอนได้ทุกเมื่อ ร้านต้องหยุดใช้ข้อมูลเพื่อวัตถุประสงค์นั้น ดูรายละเอียดเรื่องการขอความยินยอมที่ ขอความยินยอม PDPA ตอนรับจองออนไลน์

4. ดูแลความปลอดภัย

ข้อมูลลูกค้าไม่ควรอยู่ในสมุดที่วางบนเคาน์เตอร์ให้ใครก็เปิดดูได้ หรือในไฟล์ Excel ที่ส่งต่อกันในกลุ่มแชท มาตรการพื้นฐานได้แก่ จำกัดคนที่เข้าถึง ใช้บัญชีแยกต่อพนักงาน เปลี่ยนสิทธิ์ทันทีเมื่อพนักงานลาออก และใช้ระบบที่เข้ารหัสข้อมูล

5. เคารพสิทธิของลูกค้า

ลูกค้ามีสิทธิขอดู ขอสำเนา ขอแก้ไข ขอลบ หรือคัดค้านการใช้ข้อมูล ร้านต้องตอบภายในเวลาที่กฎหมายกำหนด (โดยทั่วไป 30 วันนับแต่ได้รับคำขอ) อ่านวิธีรับมือแบบเป็นขั้นตอนได้ที่ สิทธิเจ้าของข้อมูล PDPA

ร้านเป็น "ผู้ควบคุมข้อมูล" แม้จะใช้ระบบของคนอื่น

จุดที่หลายร้านเข้าใจผิดคือคิดว่า ถ้าใช้ระบบจองของบริษัทอื่น ความรับผิดชอบก็เป็นของบริษัทนั้น ความจริงคือร้านเป็นผู้ตัดสินใจว่าจะเก็บข้อมูลลูกค้าอะไรและใช้ทำอะไร ร้านจึงเป็น "ผู้ควบคุมข้อมูลส่วนบุคคล" ส่วนผู้ให้บริการระบบมักเป็น "ผู้ประมวลผลข้อมูล" ที่ทำงานตามคำสั่งของร้าน ทั้งสองฝ่ายมีหน้าที่ต่างกัน และควรมีข้อตกลงการประมวลผลข้อมูล (DPA) ระหว่างกัน รายละเอียดอยู่ใน ผู้ควบคุมข้อมูล vs ผู้ประมวลผลข้อมูล

ตัวอย่างสถานการณ์จริงในร้าน

ตัวอย่าง: ร้านสปา 3 ห้อง รับจองวันละประมาณ 20 คิว ร้านเก็บชื่อ เบอร์โทร LINE และถามว่า "มีอาการบาดเจ็บหรือโรคประจำตัวไหม" ในแบบฟอร์มก่อนนวด

• ชื่อ เบอร์ LINE ใช้ยืนยันและเตือนนัดได้ภายใต้ฐานสัญญา แต่ต้องแจ้งในประกาศความเป็นส่วนตัว
• คำถามเรื่องโรคประจำตัวเป็นข้อมูลสุขภาพ ต้องขอความยินยอมโดยชัดแจ้งแยกต่างหาก และจำกัดคนที่เปิดดู
• ถ้าร้านอยากส่งโปรโมชันวันเกิด ต้องมีช่องให้ลูกค้าเลือกยินยอมเอง ไม่ติ๊กไว้ล่วงหน้า และไม่บังคับเป็นเงื่อนไขการจอง

สถานการณ์นี้ไม่ได้ยาก แต่ต้องแยกวัตถุประสงค์ให้ชัดตั้งแต่ออกแบบฟอร์ม

เช็กลิสต์ 10 ข้อที่ร้านเริ่มได้ทันที

1. ทำรายการว่าร้านเก็บข้อมูลลูกค้าอะไรบ้าง เก็บไว้ที่ไหน (สมุด ไฟล์ แชท ระบบ)
2. ตัดช่องข้อมูลที่ไม่ได้ใช้ออกจากแบบฟอร์ม
3. เขียนประกาศความเป็นส่วนตัวของร้าน และวางลิงก์ไว้ในหน้าจอง
4. แยกช่องยินยอมรับข่าวสารการตลาดออกจากการยืนยันการจอง
5. ถ้ามีข้อมูลสุขภาพ ขอความยินยอมโดยชัดแจ้งและจำกัดสิทธิ์การดู
6. ให้พนักงานใช้บัญชีของตัวเอง ไม่ใช้รหัสร่วมกัน
7. กำหนดระยะเวลาเก็บ เช่น ลบหรือทำให้ไม่ระบุตัวตนเมื่อไม่มีการใช้บริการนาน
8. เตรียมช่องทางรับคำขอของลูกค้า และกำหนดผู้รับผิดชอบ
9. เตรียมแผนรับมือเมื่อข้อมูลรั่ว รวมถึงการแจ้ง สคส. ภายใน 72 ชั่วโมงเมื่อเข้าเงื่อนไข ดู ข้อมูลลูกค้ารั่วต้องทำอะไร
10. ตรวจว่าผู้ให้บริการระบบที่ร้านใช้มีข้อตกลงการประมวลผลข้อมูลและมาตรการความปลอดภัยที่ชัดเจน

เครื่องมือช่วยใน NadQ

NadQ ออกแบบให้ร้านทำตามหลักข้างต้นได้ง่ายขึ้น ตัวอย่างเช่น

• ลูกค้าเห็นประกาศความเป็นส่วนตัวของร้านก่อนยืนยันการจอง และระบบบันทึกความยินยอมพร้อมฉบับของประกาศ
• เมนู ความเป็นส่วนตัว ในระบบหลังร้าน รวมประกาศความเป็นส่วนตัว คำขอใช้สิทธิ์ของลูกค้า และบันทึกการเข้าถึงข้อมูลไว้ในที่เดียว พร้อมเตือนว่าต้องดำเนินการภายใน 30 วัน
• โหมดข้อมูลสุขภาพ (แพ็กเกจ Business) เข้ารหัสฟิลด์ที่อ่อนไหว และบันทึกทุกครั้งที่มีคนเปิดดู
• ข้อมูลแต่ละร้านแยกจากกันด้วยการควบคุมระดับฐานข้อมูล และพนักงานเห็นเฉพาะสิ่งที่บทบาทของตนอนุญาต

บริษัทผู้ให้บริการ NadQ คือ บริษัท หนุมานไอที จำกัด ซึ่งได้รับการรับรอง ISO/IEC 27001, ISO/IEC 27701 และ ISO 27799 ตามขอบเขตที่ระบุในใบรับรอง อ่านรายละเอียดวิธีที่เราดูแลข้อมูลได้ใน นโยบายความเป็นส่วนตัว

สรุป

PDPA ร้านบริการไม่ได้เรียกร้องให้ร้านมีทีมกฎหมาย แต่ต้องการให้ร้านรู้ว่าเก็บอะไร ใช้ทำอะไร แจ้งลูกค้าอย่างตรงไปตรงมา และดูแลข้อมูลให้ปลอดภัย เริ่มจากเช็กลิสต์ 10 ข้อ แล้วค่อยปรับปรุงทีละส่วน ร้านที่จัดการข้อมูลเป็นระเบียบยังได้ประโยชน์ทางธุรกิจด้วย เพราะลูกค้ามั่นใจมากขึ้นเมื่อรู้ว่าข้อมูลของเขาอยู่ในมือที่ใส่ใจ

ถ้าอยากเห็นว่าระบบจองที่มีเครื่องมือ PDPA ในตัวทำงานอย่างไร ลองเปิดร้านทดลองใช้ได้ฟรี