PDPA กับร้านออนไลน์ เก็บเบอร์และข้อมูลลูกค้าจากแชทต้องทำอะไรบ้าง
โดย อัพอิน กรุ๊ป อ่าน 4 นาที
สารบัญ
ร้านที่ขายผ่านแชทมักมีข้อมูลลูกค้าสะสมอยู่เยอะ ทั้งชื่อ เบอร์โทร LINE ID ที่อยู่จัดส่ง และประวัติการซื้อ ข้อมูลเหล่านี้มีค่ามากสำหรับการขายซ้ำ แต่ก็อยู่ภายใต้ พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 (PDPA) ซึ่งใช้บังคับเต็มรูปแบบตั้งแต่ 1 มิถุนายน 2565 บทความนี้สรุปหลักที่ร้านเล็กควรรู้ เป็นข้อมูลทั่วไป ไม่ใช่คำปรึกษากฎหมาย
ข้อมูลแบบไหนเป็นข้อมูลส่วนบุคคล
มาตรา 6 นิยามข้อมูลส่วนบุคคลว่าเป็นข้อมูลเกี่ยวกับบุคคลที่ทำให้ระบุตัวบุคคลนั้นได้ ไม่ว่าทางตรงหรือทางอ้อม (ไม่รวมข้อมูลของผู้ถึงแก่กรรม) กฎหมายไม่ได้ยกตัวอย่างไว้ แต่ตามนิยามนี้ ชื่อ เบอร์โทร LINE ID ที่อยู่ และประวัติการซื้อที่ผูกกับตัวลูกค้า ก็เข้าข่ายข้อมูลส่วนบุคคล
เก็บข้อมูลได้ด้วยเหตุผลอะไร
- เพื่อทำตามสัญญา (มาตรา 24(3)): เช่น ใช้ชื่อ ที่อยู่ และเบอร์เพื่อจัดส่งสินค้าที่ลูกค้าสั่ง
- ประโยชน์โดยชอบด้วยกฎหมาย (มาตรา 24(5)): ใช้ได้เมื่อประโยชน์ของร้านไม่ได้สำคัญน้อยกว่าสิทธิของลูกค้า
- กฎหมายกำหนด (มาตรา 24(6)): เช่น เก็บเอกสารตามกฎหมายภาษี
- ความยินยอม (มาตรา 19): ใช้เมื่อไม่มีฐานอื่นรองรับ ต้องขอให้ชัดแจ้ง แยกจากเรื่องอื่น บอกวัตถุประสงค์ด้วยภาษาที่เข้าใจง่าย และลูกค้าถอนความยินยอมได้ง่ายเท่ากับตอนให้
มาตรา 19 ห้ามบังคับให้ลูกค้ายินยอมให้ใช้ข้อมูลเกินกว่าที่จำเป็น เพื่อแลกกับการซื้อสินค้าหรือบริการ
ต้องแจ้งอะไรลูกค้า
มาตรา 23 กำหนดให้แจ้งลูกค้าก่อนหรือขณะเก็บข้อมูล ร้านส่วนใหญ่ทำเป็น ประกาศความเป็นส่วนตัว (Privacy Notice) บนเว็บหรือส่งลิงก์ในแชท โดยระบุ
- เก็บข้อมูลไปเพื่ออะไร และใช้ฐานทางกฎหมายใด
- ข้อมูลไหนจำเป็นตามกฎหมายหรือสัญญา และถ้าไม่ให้จะเกิดอะไรขึ้น
- เก็บข้อมูลอะไรบ้าง และเก็บไว้นานแค่ไหน
- อาจส่งต่อให้ใคร เช่น บริษัทขนส่ง
- ช่องทางติดต่อร้าน และสิทธิของลูกค้า
ส่งโปรโมชันให้ลูกค้าเก่าได้ไหม
มาตรา 32(2) ให้สิทธิลูกค้า คัดค้านการใช้ข้อมูลเพื่อการตลาดแบบตรงได้ตลอดเวลา เมื่อลูกค้าบอกว่าไม่อยากรับโปรโมชันแล้ว ร้านต้องหยุดใช้ข้อมูลเพื่อเรื่องนั้น วิธีที่ปลอดภัยคือถามความสมัครใจก่อนส่งโปรโมชัน และบอกวิธียกเลิกไว้ทุกครั้ง เช่น พิมพ์ "ยกเลิก" ในแชท
สิทธิของลูกค้าที่ร้านต้องรองรับ
- ขอดูและขอสำเนาข้อมูล (มาตรา 30): ร้านต้องดำเนินการโดยไม่ชักช้า ภายใน 30 วัน
- คัดค้าน (มาตรา 32): รวมถึงการตลาดแบบตรง
- ขอให้ลบหรือทำลาย (มาตรา 33): เช่น เมื่อข้อมูลหมดความจำเป็นแล้ว
ดูแลข้อมูลให้ปลอดภัย และเมื่อข้อมูลรั่ว
- ต้องมีมาตรการรักษาความปลอดภัยที่เหมาะสม และมีวิธีลบข้อมูลเมื่อพ้นระยะเก็บ เมื่อลูกค้าถอนความยินยอม หรือเมื่อลูกค้าขอ (มาตรา 37)
- ถ้าข้อมูลรั่ว ต้องแจ้งสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล โดยไม่ชักช้า ภายใน 72 ชั่วโมง เท่าที่ทำได้ เว้นแต่ไม่น่าจะกระทบสิทธิของบุคคล ถ้าเสี่ยงสูงต้องแจ้งลูกค้าที่ได้รับผลกระทบด้วย (มาตรา 37(4))
บทลงโทษโดยสรุป
- ค่าปรับทางปกครองสูงสุด 1 ล้าน 3 ล้าน หรือ 5 ล้านบาท ตามประเภทความผิด เช่น ไม่แจ้งลูกค้าตามมาตรา 23 หรือไม่ดูแลความปลอดภัยตามมาตรา 37 (มาตรา 82–84)
- ความรับผิดทางแพ่ง ศาลสั่งค่าสินไหมเพื่อการลงโทษเพิ่มได้สูงสุด 2 เท่าของค่าเสียหายจริง (มาตรา 77–78)
- โทษทางอาญาเกี่ยวกับข้อมูลอ่อนไหว เช่น ข้อมูลสุขภาพหรือศาสนา (มาตรา 79)
ธุรกิจขนาดเล็กได้รับยกเว้นการทำบันทึกรายการกิจกรรมการประมวลผลบางส่วน ตามประกาศคณะกรรมการฯ ปี 2565 แต่ไม่ยกเว้นถ้าประมวลผลข้อมูลเป็นประจำ เสี่ยงต่อสิทธิของบุคคล หรือเกี่ยวกับข้อมูลอ่อนไหว ร้านที่ส่งข้อความหาลูกค้าเป็นประจำจึงอาจไม่เข้าข่ายข้อยกเว้นนี้ ถ้าไม่แน่ใจควรปรึกษาผู้เชี่ยวชาญ
สรุปสำหรับร้านเล็ก: เก็บเท่าที่ใช้จริง บอกลูกค้าว่าเก็บไปทำอะไร ถามก่อนส่งโปรโมชันและให้ยกเลิกได้ง่าย ดูแลไฟล์รายชื่อลูกค้าไม่ให้หลุด และลบเมื่อไม่จำเป็นแล้ว
แหล่งอ้างอิง
- Personal Data Protection Act, B.E. 2562 (2019) — สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (PDPC)
- Notification of the Personal Data Protection Committee on Exemption of Record-Keeping for Small Enterprise Data Controllers, B.E. 2565 (2022) — สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (PDPC) (20 มิ.ย. 2565)
- ย้อนไทม์ไลน์พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล ครม.ยกเว้นต่อเนื่อง 2 ปี ใช้บังคับเต็มรูปแบบ 1 มิ.ย. 65 — iLaw (23 พ.ค. 2565)
- Small enterprises exempt from preparing certain records of processing activities as set out in the Personal Data Protection Act — Forvis Mazars Thailand (14 ก.ค. 2565)
บทความนี้เรียบเรียงจากแหล่งข้อมูลสาธารณะด้านบน เครื่องมือและหน้าจอของแพลตฟอร์มอาจเปลี่ยนไปหลังวันที่เผยแพร่