แค่เก็บข้อมูลลูกค้าไว้ในไลน์ ก็เสี่ยงโดนปรับหลักล้าน

ในยุคที่เราซื้อขายกันผ่านโซเชียล สิ่งที่พ่อค้าแม่ค้าและเจ้าของธุรกิจ SME ทุกคนต้องถืออยู่ในมือคือ "ข้อมูลส่วนบุคคล" ไม่ว่าจะเป็นชื่อ-นามสกุล ที่อยู่จัดส่ง หรือเบอร์โทรศัพท์ แต่รู้หรือไม่ว่า ตั้งแต่มีการประกาศใช้ พ.ร.บ. คุ้มครองข้อมูลส่วนบุคคล (PDPA) ข้อมูลเหล่านี้เปรียบเสมือนดาบสองคม หากคุณนำข้อมูลลูกค้าไปใช้อย่างผิดวิธี หรือปล่อยให้ข้อมูลรั่วไหล คุณอาจต้องเผชิญกับโทษปรับทางแพ่งสูงถึง 2 เท่าของความเสียหายจริง หรือโทษปรับทางปกครองที่อาจสูงถึง 5 ล้านบาท! หลายคนยังเข้าใจผิดว่า "เราเป็นร้านเล็กๆ คงไม่เป็นไร" แต่ในความจริง กฎหมายนี้บังคับใช้กับทุกคนที่เก็บข้อมูลครับ 3 ขั้นตอนพื้นฐานที่ธุรกิจต้องทำเพื่อให้ถูกกฎหมาย PDPA 1. แจ้งวัตถุประสงค์ผ่าน "นโยบายความเป็นส่วนตัว" (Privacy Policy) สิ่งแรกที่ต้องมีคือการบอกให้ลูกค้ารู้ว่า คุณเก็บข้อมูลเขาไปทำไม? เก็บอะไรบ้าง? และจะเก็บไว้นานแค่ไหน? ตัวอย่าง: "เราเก็บชื่อและที่อยู่เพื่อใช้ในการจัดส่งสินค้าเท่านั้น และจะเก็บไว้เป็นเวลา 2 ปีนับจากการซื้อครั้งสุดท้าย" โดยวางลิงก์นโยบายนี้ไว้บนหน้าเว็บไซต์ หรือส่งให้ลูกค้าในแชทก่อนเริ่มทำการซื้อขายครั้งแรก 2. การขอความยินยอม (Consent) เมื่อต้องนำข้อมูลไปใช้นอกเหนือจากการขาย หากคุณจะเอาเบอร์ลูกค้าไป "โทรขายของอย่างอื่น" หรือ "ส่งโปรโมชั่นทาง SMS" คุณต้องขอความยินยอมก่อนเสมอ กฎเหล็ก: ห้ามมัดมือชก! ช่องติ๊กถูก (Checklist) ยอมรับเงื่อนไขการรับข่าวสาร ต้องให้ลูกค้าเป็นคนติ๊กเอง ห้ามติ๊กค้างไว้ให้ลูกค้า 3. สิทธิในการขอให้ลบข้อมูล (Right to be Forgotten) หัวใจของ PDPA คือ "ข้อมูลเป็นของเจ้าของ ไม่ใช่ของเรา" ดังนั้น หากลูกค้าทักมาบอกให้ลบข้อมูลออกจากฐานข้อมูลของร้านหน่อย เจ้าของธุรกิจมีหน้าที่ต้องดำเนินการให้เร็วที่สุด (โดยปกติภายใน 30 วัน) เว้นแต่จะมีเหตุผลทางกฎหมายอื่นรองรับ เช่น ต้องเก็บไว้เพื่อเสียภาษี ข้อควรระวังสำหรับร้านค้า ระวังรูปถ่ายรีวิว: การแคปหน้าจอแชทที่มีรูปโปรไฟล์ลูกค้า หรือชื่อลูกค้ามาโพสต์หน้าเพจเพื่อรีวิว "โดยไม่เบลอหน้าหรือชื่อ" ถือว่าผิด PDPA เต็มๆ ครับ ควรขออนุญาตลูกคก่อน หรือทำการเบลอข้อมูลส่วนบุคคลให้หมด การส่งต่อข้อมูลให้ขนส่ง: การส่งชื่อ-ที่อยู่ให้บริษัทขนส่ง (Flash, J&T, Kerry) สามารถทำได้โดยไม่ต้องขอความยินยอมซ้ำ เพราะถือเป็น "ความจำเป็นตามสัญญา" เพื่อให้การซื้อขายสำเร็จ แต่ต้องระวังอย่าให้คนนอกเข้าถึงรายชื่อเหล่านี้ได้ พนักงานในร้าน: หากคุณมีลูกจ้าง ต้องกำชับห้ามพนักงานแอบจดเบอร์ลูกค้าไปใช้ส่วนตัวเด็ดขาด เพราะเจ้าของธุรกิจต้องร่วมรับผิดชอบในฐานะผู้ควบคุมข้อมูล หากคุณเป็นเจ้าของธุรกิจที่ยังไม่มีระบบรองรับ PDPA 1. ร่างนโยบาย Privacy Policy: เขียนแบบภาษาคนอ่านง่ายๆ แปะไว้ในหน้า "เกี่ยวกับเรา" หรือใน Note ของ Line OA 2. ตรวจสอบแบบฟอร์ม: ดูว่าคุณมีการขอข้อมูลเกินความจำเป็นไหม (เช่น ขายเสื้อผ้าแต่ขอเลขบัตรประชาชน... แบบนี้ถือว่าเกินความจำเป็น) 3. เก็บข้อมูลให้ปลอดภัย: หากเก็บในคอมพิวเตอร์ ต้องมีรหัสผ่าน หากเก็บในสมุด ต้องล็อกกุญแจให้มิดชิด