PDPA กับเว็บไซต์ธุรกิจ: แบนเนอร์คุกกี้จำเป็นไหม และเว็บของคุณต้องมีอะไรบ้างให้ถูกกฎหมาย
เว็บธุรกิจไทยเกือบทุกเว็บเก็บข้อมูลส่วนบุคคล ตั้งแต่ฟอร์มติดต่อจนถึงคุกกี้โฆษณา PDPA จึงเกี่ยวกับเว็บของคุณแน่นอน แต่สิ่งที่ต้องมีจริงเรียบง่ายกว่าที่กลัว นโยบายที่อ่านรู้เรื่อง การขอความยินยอมเมื่อจำเป็น และการไม่เก็บเกินใช้
ตอบคำถามยอดฮิตก่อน แบนเนอร์คุกกี้จำเป็นไหม คำตอบคือขึ้นกับว่าเว็บคุณใช้คุกกี้ประเภทไหน คุกกี้ที่จำเป็นต่อการทำงานของเว็บ เช่น จำตะกร้าสินค้าหรือสถานะล็อกอิน ใช้ได้โดยไม่ต้องขอความยินยอม แค่แจ้งไว้ในนโยบาย แต่คุกกี้ที่ตามพฤติกรรมเพื่อการตลาดและโฆษณา เช่น พิกเซลของแพลตฟอร์มโฆษณาและเครื่องมือติดตามข้ามเว็บ ต้องขอความยินยอมก่อนทำงาน แบนเนอร์จึงจำเป็นสำหรับเว็บที่ใช้ของพวกนี้ ซึ่งก็คือเว็บธุรกิจส่วนใหญ่ที่ยิงโฆษณา และแบนเนอร์ที่ถูกต้องต้องให้เลือกปฏิเสธได้จริง ไม่ใช่มีแต่ปุ่มยอมรับ หรือกดปิดไม่ได้จนกว่าจะยอม ซึ่งเป็นแบบที่พบบ่อยและผิดวัตถุประสงค์ของกฎหมาย
ลูกค้ามีสิทธิ์ขอเข้าถึง แก้ไข และลบข้อมูลของตนได้เสมอ — ข้อมูลอ่อนไหว (เช่น สุขภาพ ศาสนา) ต้องดูแลเข้มเป็นพิเศษ
เช็กลิสต์ PDPA ของเว็บธุรกิจ ที่ทำจบได้จริง
นอกจากเรื่องคุกกี้ เว็บธุรกิจที่เรียบร้อยเรื่อง PDPA มีองค์ประกอบไม่กี่อย่าง หนึ่ง นโยบายความเป็นส่วนตัวที่เขียนให้คนอ่านรู้เรื่อง บอกว่าเก็บข้อมูลอะไร เอาไปทำอะไร เก็บนานแค่ไหน และติดต่อใครเพื่อขอลบ ไม่ใช่เอกสารกฎหมายสิบหน้าที่คัดลอกกันมา สอง เก็บเท่าที่ใช้ ฟอร์มติดต่อที่งานจริงต้องการแค่ชื่อกับช่องทางติดต่อ ไม่ควรบังคับกรอกวันเกิดและเลขบัตร เพราะทุกช่องที่เก็บเกินคือภาระที่ต้องดูแลเกิน สาม ความยินยอมแยกเรื่อง ช่องติ๊กรับข่าวสารต้องแยกจากการส่งฟอร์ม และต้องไม่ติ๊กมาให้ล่วงหน้า สี่ ช่องทางใช้สิทธิ์ ลูกค้าขอดู แก้ หรือลบข้อมูลของตัวเองได้ผ่านช่องทางที่ระบุไว้จริง และห้า ของที่มักถูกลืม ฟอร์มเก่าที่ยังส่งข้อมูลเข้าอีเมลที่ไม่มีใครดู และปลั๊กอินหรือสคริปต์ที่แอบส่งข้อมูลออกไปที่อื่นโดยเว็บไม่รู้ตัว การไล่ตรวจว่าเว็บส่งข้อมูลไปที่ไหนบ้าง จึงเป็นงานที่ควรทำปีละครั้ง
- คุกกี้จำเป็นแค่แจ้ง คุกกี้การตลาดต้องขอความยินยอมที่ปฏิเสธได้จริง
- นโยบายอ่านรู้เรื่องหนึ่งหน้า ดีกว่าเอกสารสิบหน้าที่ไม่มีใครอ่าน
- เก็บเท่าที่ใช้ และตรวจปีละครั้งว่าเว็บส่งข้อมูลไปที่ไหนบ้าง
สำหรับ SME เรื่องนี้ทำจบได้ในโปรเจกต์เล็ก ๆ ครั้งเดียว แล้วเหลือแค่การทบทวนปีละครั้ง ไม่ใช่ภาระถาวรอย่างที่กลัว ที่ Whale Task เราตรวจและปรับเว็บลูกค้าให้เรียบร้อยเรื่องนี้เป็นงานมาตรฐาน ตั้งแต่แบนเนอร์คุกกี้ที่ปฏิเสธได้จริง นโยบายฉบับอ่านรู้เรื่อง ไปจนถึงไล่ดูว่าสคริปต์ตัวไหนส่งข้อมูลไปไหน ถ้าเว็บของคุณยิงโฆษณาอยู่แต่ยังไม่มีแบนเนอร์ หรือมีแบนเนอร์ที่กดปฏิเสธไม่ได้ นั่นคือสองจุดที่ควรแก้ก่อนใคร ทักมาให้เราช่วยดูได้
บริการที่เกี่ยวข้อง
รับพัฒนาระบบและซอฟต์แวร์เฉพาะทาง
ออกแบบและวางระบบตามความต้องการเฉพาะของธุรกิจคุณ ตั้งแต่ต้นจนใช้งานจริง
WhaleScope
ดูโครงสร้างตลาดของทุกหมวดธุรกิจไทย บน WhaleScope
รายชื่อบริษัท ผู้เล่นรายใหญ่ และอัตราคงอยู่ของแต่ละหมวด — จากข้อมูลจดทะเบียน 2 ล้านนิติบุคคล
อ่านต่อ
Synthetic Data: สร้างข้อมูลจำลองเพื่อฝึก AI เมื่อข้อมูลจริงมีน้อย
บางครั้งข้อมูลจริงมีน้อย อ่อนไหว หรือหายาก Synthetic Data คือข้อมูลที่สร้างขึ้นให้คล้ายของจริงเพื่อใช้ฝึกหรือทดสอบ เข้าใจว่ามันช่วยตรงไหน และมีกับดักอะไรที่ต้องระวัง
Data Masking: ปกปิดข้อมูลจริงเพื่อใช้พัฒนาและทดสอบอย่างปลอดภัย
ทีมพัฒนาและทดสอบมักต้องใช้ข้อมูลที่เหมือนจริง แต่การใช้ข้อมูลลูกค้าจริงเสี่ยงรั่ว Data Masking แทนที่ข้อมูลอ่อนไหวด้วยค่าปลอมที่ยังใช้ทดสอบได้ ลดความเสี่ยงโดยไม่ขัดการทำงาน
ค่าปรับ PDPA เกิดขึ้นจริงแล้วกว่า 21 ล้านบาท — และเกือบทั้งหมดไม่ได้โดนเพราะถูกแฮก
กรกฎาคม 2567 สคส. สั่งปรับรายแรก 7 ล้านบาท สิงหาคม 2568 ประกาศปรับอีก 8 รายรวม 14.5 ล้าน รวมยอดทะลุ 21 ล้านบาท บทความนี้แกะจากคำสั่งจริงว่าอะไรคือสิ่งที่ทำให้โดนปรับ — ไม่ใช่การถูกเจาะระบบ แต่คือการไม่มี DPO ไม่แจ้งเหตุใน 72 ชั่วโมง และไม่มีมาตรการที่อธิบายได้
ก่อนต่อ AI เข้าระบบบริษัท: กติกาสี่ข้อที่กันไม่ให้ผู้ช่วยที่ฉลาดที่สุด กลายเป็นรูรั่วที่ใหญ่ที่สุด
มาตรฐานอย่าง MCP ทำให้การต่อ AI เข้าระบบง่ายลงมาก ซึ่งแปลว่าความผิดพลาดก็ง่ายขึ้นเท่ากัน บทความนี้ให้กติกาความปลอดภัยสี่ข้อฉบับใช้จริง: เริ่มอ่านอย่างเดียว ให้สิทธิ์น้อยที่สุด บันทึกทุกคำถาม และงานเขียนต้องผ่านคนอนุมัติ พร้อมเรื่อง PDPA ที่ต้องคิดก่อนข้อมูลลูกค้าไหลออกนอกบ้าน