PDPA คืออะไร ธุรกิจ SME ต้องทำอะไรบ้าง (ฉบับเข้าใจง่าย)

PDPA ย่อมาจากกฎหมายคุ้มครองข้อมูลส่วนบุคคล พูดง่าย ๆ คือเมื่อธุรกิจเก็บข้อมูลของลูกค้า เช่น ชื่อ เบอร์โทร หรืออีเมล เราต้องดูแลข้อมูลนั้นอย่างมีความรับผิดชอบ บทความนี้อธิบายแบบเข้าใจง่ายและไม่ใช่คำแนะนำทางกฎหมาย

ขอความยินยอมก่อนเก็บข้อมูล

หัวใจของ PDPA คือการขอความยินยอม หรือ consent ก่อนเก็บและใช้ข้อมูล เราต้องบอกลูกค้าให้ชัดว่าจะเก็บข้อมูลอะไร เอาไปทำอะไร และเก็บไว้นานแค่ไหน ลูกค้าต้องเลือกได้เองว่าจะยินยอมหรือไม่ ไม่ใช่ติ๊กให้อัตโนมัติ

หลาย SME ไม่รู้ด้วยซ้ำว่าตัวเองเก็บข้อมูลลูกค้าไว้ที่ไหนบ้าง ลองทำบัญชีรายการข้อมูล หรือ data inventory ง่าย ๆ ว่ามีข้อมูลอะไร อยู่ในไฟล์ Excel ไลน์ หรือระบบไหน ใครเข้าถึงได้บ้าง นี่คือก้าวแรกที่สำคัญที่สุด

• ข้อมูลลูกค้าในระบบ POS และโปรแกรมบัญชี
• รายชื่อและเบอร์ในกลุ่มไลน์หรือไฟล์ Excel เก่า
• ใบสมัครงานและประวัติพนักงานที่เก็บไว้

เคารพสิทธิของลูกค้า

PDPA ให้สิทธิลูกค้าหลายอย่าง เช่น สิทธิขอดูข้อมูลของตัวเอง สิทธิขอแก้ไขให้ถูกต้อง และสิทธิขอให้ลบข้อมูล ธุรกิจควรมีช่องทางง่าย ๆ ให้ลูกค้าติดต่อมาเพื่อใช้สิทธิเหล่านี้ เช่น อีเมลหรือเบอร์โทรที่ระบุไว้ชัดเจน

ตัวอย่างเช่น ร้านสปาเล็ก ๆ เพิ่มข้อความขอความยินยอมตอนลูกค้ากรอกใบสมาชิก และเก็บข้อมูลในระบบที่ใส่รหัสผ่าน แทนที่จะวางสมุดทะเบียนไว้บนเคาน์เตอร์ให้ใครก็เห็นได้ แค่นี้ก็ลดความเสี่ยงไปมาก

ข้อผิดพลาดที่พบบ่อย

หลายร้านพลาดเรื่องเดิม ๆ ที่จริงแก้ได้ไม่ยาก ลองเช็กว่าธุรกิจคุณกำลังทำข้อไหนอยู่บ้าง แล้วค่อย ๆ แก้ทีละข้อ ไม่ต้องรีบทำทุกอย่างพร้อมกัน

• เก็บเบอร์ลูกค้าไว้เยอะแต่ไม่เคยขอความยินยอม
• ใช้รหัสผ่านร่วมกันทั้งร้านและไม่เคยเปลี่ยน
• ส่งข้อมูลลูกค้าให้คนนอกทางไลน์โดยไม่ระวัง

เริ่มต้นง่าย ๆ ได้เลยวันนี้ ทำบัญชีข้อมูล ใส่รหัสผ่านไฟล์สำคัญ จำกัดคนเข้าถึง และเพิ่มข้อความขอความยินยอม สี่อย่างนี้ทำให้คุณปลอดภัยขึ้นมากแล้ว