PDPA ร้านค้าออนไลน์และ Marketplace ใช้ข้อมูลออเดอร์ยิงโฆษณาได้ไหม

PDPA ร้านค้าออนไลน์เกี่ยวกับข้อมูลที่ส่งออกจากหน้าร้านทุกวัน เช่น ไฟล์ออเดอร์ให้คลังสินค้า ป้ายพัสดุและรายชื่อให้ทีมโฆษณา การจัดระบบควรตามข้อมูลไปจนถึงคนที่แพ็กและผู้รับจ้างยิงแอด เพราะการมีประกาศบนเว็บไซต์อย่างเดียวไม่ได้ควบคุมสำเนาที่หลุดไปอยู่ในกลุ่มแชต

สถานการณ์ที่ต้องแยกก่อนตัดสินใจ

กรณีต่อไปนี้เป็นตัวอย่างสมมติ ใช้อธิบายความแตกต่างของข้อเท็จจริง ไม่ใช่ข้อมูลลูกความหรือคำพิพากษา

• ร้านส่งชื่อและที่อยู่ให้ผู้จัดส่งเพื่อส่งสินค้าตามคำสั่งซื้อ ต้องตรวจบทบาทและชุดข้อมูลที่จำเป็น
• ร้านดาวน์โหลดเบอร์จาก Marketplace ไปสร้างกลุ่มโฆษณาในอีกระบบ ต้องตรวจฐาน คำแจ้งและข้อกำหนดการใช้ข้อมูลของแพลตฟอร์ม
• ลูกค้าคัดค้านการตลาดแล้ว แต่ทีมแอดยังนำไฟล์เก่ากลับเข้าแคมเปญ ต้องมีระบบทำให้คำคัดค้านตามไปทุกชุดที่ใช้

เริ่มแก้ปัญหาตามลำดับใด

แยกข้อมูลตามงานรับออเดอร์ ชำระ ส่งและตลาด ตรวจจุดรับกับผู้รับข้อมูลแต่ละราย ตั้งสิทธิการส่งออกและระยะเก็บ จากนั้นทดสอบคำขอหยุดการตลาดให้ถึงเครื่องมือโฆษณาที่ใช้งานจริง

จัดข้อมูลร้านออนไลน์ตั้งแต่หน้าเว็บถึงหลังส่งสินค้า

ฐานสัญญาครอบคลุมเฉพาะงานที่จำเป็น

ชื่อผู้รับ ที่อยู่และข้อมูลติดต่ออาจจำเป็นเพื่อส่งสินค้า แต่การสมัครสมาชิก การวิเคราะห์พฤติกรรมละเอียดหรือส่งโปรโมชั่นของพันธมิตรเป็นกิจกรรมที่ต้องตรวจเพิ่มเติม เก็บรายการข้อมูลตามบริการจริง ไม่ทำให้ลูกค้าเข้าใจว่าต้องยอมทุกการตลาดจึงซื้อได้ และแจ้งกรณีจำเป็นต้องให้ข้อมูลกับผลหากไม่ให้ตามหน้าที่

Marketplace ไม่ได้ทำหน้าที่แทนร้านทุกส่วน

ดูว่าร้านได้รับข้อมูลอะไรและนำไปกำหนดการใช้เองอย่างไร แพลตฟอร์มกับร้านอาจมีบทบาทแยกกันในกิจกรรมต่าง ๆ ร้านควรตรวจทั้งกฎหมายและเงื่อนไขแพลตฟอร์มก่อนดาวน์โหลดไปใช้นอกระบบ ไม่อ้างว่ามี Privacy Notice ของแพลตฟอร์มแล้วจึงไม่ต้องประเมินการใช้ของร้าน

คลังสินค้า แอดมินและผู้ยิงแอดต้องมีขอบเขต

ผู้รับจ้างที่ทำตามคำสั่งอาจเป็นผู้ประมวลผล ต้องมีข้อตกลงและมาตรการตามมาตรา 40 ระบุสิทธิส่งออก ผู้รับจ้างช่วง การแจ้งเหตุและการจัดการเมื่อเลิกจ้าง ไม่ใช้บัญชีแอดมินร่วมกันจนตรวจไม่ได้ว่าใครดึงไฟล์ ส่วนผู้จัดส่งหรือผู้ให้บริการบางรายต้องพิจารณาบทบาทตามบริการจริง ไม่จัดเป็นผู้ประมวลผลทุกคนจากชื่อคู่ค้า

ไฟล์เข้ารหัสชื่อยังอาจเป็นข้อมูลส่วนบุคคล

การแปลงเบอร์หรืออีเมลเพื่อจับคู่กลุ่มโฆษณาไม่ได้ทำให้หมดหน้าที่เสมอไป หากยังเชื่อมโยงระบุตัวได้ต้องตรวจฐาน การแจ้งและผู้รับ เครื่องมือวิเคราะห์กับคุกกี้ที่ส่งข้อมูลให้บุคคลที่สามต้องทำงานตามทางเลือกผู้ใช้จริง ไม่เพียงเปลี่ยนหน้าตาแบนเนอร์แต่ยังส่งข้อมูลก่อนเลือก

คำคัดค้านการตลาดต้องตามถึงไฟล์นอกระบบ

มาตรา 32(2) ให้สิทธิคัดค้านการตลาดแบบตรง ต้องแยกการหยุดโปรโมชั่นจากข้อความจำเป็นเกี่ยวกับออเดอร์ และหยุดใช้ตามหน้าที่ บันทึกรายการระงับเท่าที่จำเป็นเพื่อไม่ดึงกลับเข้าตลาด ตรวจผู้รับจ้างและแคมเปญที่ตั้งไว้ล่วงหน้า เมื่อคืนสินค้าหรือปิดบัญชีให้ประเมินข้อมูลที่ต้องเก็บต่อแยกจากข้อมูลที่หมดเหตุใช้

ข้อกฎหมายที่ใช้และเงื่อนไขที่ต้องระวัง

PDPA มาตรา 23 ว่าด้วยการแจ้ง มาตรา 24 ใช้ตรวจฐานข้อมูลทั่วไป มาตรา 32(2) และวรรคสองเกี่ยวกับคำคัดค้านการตลาดแบบตรง และมาตรา 40 ใช้กับผู้ประมวลผล การรักษาไฟล์ออเดอร์และป้ายพัสดุต้องพิจารณามาตรา 37 ด้วย หากมีการโอนข้อมูลต่างประเทศให้ตรวจมาตรา 28 หรือ 29 และกฎที่เกี่ยวข้องตามกรณี

พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ.2562 ฉบับราชกิจจานุเบกษา เป็นตัวบทหลักที่ใช้อ้างอิงในบทความนี้

เลนส์ทนายยอดทิพย์ธรรม: ถ้าพลาดแล้วต้องรับมืออะไร

ไฟล์ออเดอร์ที่ส่งผิดกลุ่มหรือป้ายพัสดุที่ถูกนำไปถ่ายคอนเทนต์อาจเปิดข้อมูลลูกค้าจำนวนมาก ต้องมีคนรับแจ้งและจำกัดการเผยแพร่ทันที ก่อนประเมินเหตุละเมิด ไม่ตอบว่าข้อมูลเป็นของแพลตฟอร์มจึงร้านไม่รับผิดชอบโดยยังไม่ตรวจการกระทำของร้านเอง

หลักฐานที่ควรเก็บก่อนข้อมูลเปลี่ยนไป

• แผนผังข้อมูลจากช่องทางขายถึงผู้รับจ้าง
• คำแจ้งและทางเลือกการตลาดที่ลูกค้าเห็น
• สัญญาและสิทธิในคลังสินค้า แอดมินและระบบโฆษณา
• บันทึกส่งออกไฟล์กับรายชื่อผู้เข้าถึง
• ผลทดสอบหยุดการตลาดและป้องกันนำรายชื่อกลับเข้าใหม่

ให้เจ้าของงานระบุว่าเอกสารแต่ละฉบับใช้กับกระบวนการใด ใครเป็นผู้อนุมัติ และเริ่มใช้เมื่อใด เก็บหลักฐานการทำงานจริงประกอบแบบฟอร์ม เช่น ผลทดสอบสิทธิหรือบันทึกการส่งข้อมูล หากพบว่าเอกสารกับระบบไม่ตรงกัน ให้บันทึกช่องว่างและผู้รับผิดชอบแก้ไข ไม่เปลี่ยนบันทึกย้อนหลังให้ดูเหมือนปฏิบัติถูกต้องมาตั้งแต่ต้น

ก่อนส่งหลักฐานให้ผู้อื่น ตรวจว่ามีข้อมูลที่ไม่เกี่ยวข้องปะปนหรือไม่ สำเนาสำหรับตรวจอาจปกปิดส่วนที่ไม่จำเป็นได้ โดยรักษาต้นฉบับไว้ในพื้นที่จำกัดสิทธิ บันทึกผู้รับ วันที่ส่งและวัตถุประสงค์ หากมีข้อพิพาทต้องพิจารณาระยะเก็บและการพักทำลายเฉพาะส่วนที่เกี่ยวข้อง ไม่ใช้เหตุเตรียมคดีเป็นข้ออ้างเก็บข้อมูลทุกชุดไม่มีกำหนด

ร้านอ้างว่าลูกค้ากดยอมรับกับ Marketplace แล้ว

ขอให้แยกการใช้ในแพลตฟอร์มออกจากการดาวน์โหลดรายชื่อมาใช้ในระบบร้าน ตรวจฉบับคำแจ้งและฐานที่ครอบคลุมการส่งอีเมลหรือจับคู่กลุ่มโฆษณาของร้านเอง หากเอเจนซีอ้างว่าทำแฮชแล้วไม่ใช่ข้อมูลส่วนบุคคล ให้ตรวจว่าระบบยังจับคู่ถึงบุคคลได้หรือไม่ แฟ้มที่นำออกจากแพลตฟอร์มควรมีเจ้าของงานและวิธีนำคำคัดค้านไปหยุดทุกแคมเปญ การลบรายชื่อในหน้าออเดอร์จุดเดียวอาจไม่หยุดไฟล์ที่ส่งให้ผู้รับจ้างแล้ว

แผนลงมือวันนี้ ภายใน 7 วันและ 30 วัน

ช่วงเวลานี้เป็นตัวอย่างแผนจัดงาน ไม่ใช่กำหนดตามกฎหมาย หากมีเหตุเร่งด่วน หนังสือกำหนดตอบหรืออายุความ ต้องดำเนินการตามกำหนดนั้นก่อน

ช่วงเวลา	สิ่งที่ควรทำ
วันนี้	ตรวจลิงก์ไฟล์ออเดอร์และสิทธิของผู้รับจ้างที่เลิกงานแล้ว
ภายใน 7 วัน	แยกการตลาดจากบริการและแก้กระบวนการรับคำคัดค้าน
ภายใน 30 วัน	ทดสอบการจัดส่ง การถอนสิทธิและคุกกี้ด้วยข้อมูลทดสอบ

ข้อผิดพลาดที่ควรหลีกเลี่ยง

อย่าใช้รายชื่อคนสั่งสินค้าเป็นฐานยิงโฆษณาทุกแพลตฟอร์มโดยไม่ตรวจ และอย่าถ่ายคลิปแพ็กสินค้าที่เห็นชื่อ ที่อยู่หรือเบอร์ลูกค้าชัดโดยไม่จัดการข้อมูลในภาพ

อ่านต่อและเตรียมเรื่องก่อนปรึกษา

อ่านภาพรวมในคู่มือจัดการคู่ค้าและ DPA สำหรับองค์กร ก่อนส่งข้อมูลจนเลิกใช้ระบบ แล้วนำมาเทียบกับเหตุการณ์และเอกสารของตน

เรื่องที่เกี่ยวข้องโดยตรงคือสมัครสมาชิกร้านและสะสมแต้ม ขอเบอร์ วันเกิดและยินยอมการตลาดอย่างไร และคุกกี้เว็บไซต์ต้องขอความยินยอมไหม ตรวจทั้งแบนเนอร์และการทำงานจริง

หากต้องพิจารณาขั้นตอนที่เชื่อมกัน อ่านซื้อรายชื่อเบอร์โทรลูกค้ามาใช้ขายของ ต้องตรวจอะไรตาม PDPAประกอบ

สำนักงานกฎหมายยอดทิพย์ธรรมช่วยตรวจเส้นทางข้อมูลจาก Marketplace ไปยังคลังสินค้าและผู้ยิงแอด พร้อมปรับคำแจ้งและข้อตกลงผู้รับจ้างตามบทบาทผ่านบริการกฎหมาย PDPA โดยประเด็นที่เกี่ยวข้องสามารถประเมินร่วมกับธุรกิจและสัญญา ก่อนนัดหมายปรึกษา ควรเตรียมลำดับเหตุการณ์ เอกสารที่ได้รับ และผลที่ต้องการให้อีกฝ่ายดำเนินการ เพื่อประเมินทางเลือกจากหลักฐานที่มีจริง

บทความโดยนายเอกราช ทิพย์แมม ดูข้อมูลผู้เขียนและทีมทนายความยอดทิพย์ธรรมประกอบการติดต่อ

ข้อกฎหมายที่เกี่ยวข้อง

• พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 มาตรา 23–24: การแจ้งและฐานของร้านตามกิจกรรมที่ทำจริง
• มาตรา 32(2) และวรรคสอง: สิทธิคัดค้านการตลาดแบบตรงและการหยุดใช้ข้อมูลเพื่อการนั้น
• มาตรา 37 และ 40: ความปลอดภัยของไฟล์ออเดอร์และหน้าที่ผู้ประมวลผล
• มาตรา 28–29: ต้องตรวจเงื่อนไขเพิ่มเติมเมื่อส่งหรือโอนข้อมูลไปต่างประเทศตามกรณี

คำถามที่พบบ่อย

มีออเดอร์แล้วส่งโฆษณาได้ทันทีหรือไม่

ต้องตรวจฐานและการแจ้งสำหรับการตลาดแยกจากการส่งสินค้า พร้อมรองรับคำคัดค้าน หากลูกค้าคัดค้านการตลาดต้องหยุดส่วนการตลาด โดยแยกข้อความที่จำเป็นต่อออเดอร์

ใช้ Marketplace แล้วร้านไม่ต้องทำ PDPA ใช่ไหม

ไม่ใช่ ต้องตรวจหน้าที่ของร้านในข้อมูลที่รับและกำหนดการใช้เอง คำแจ้งของแพลตฟอร์มไม่แทนการตรวจการใช้ข้อมูลที่ร้านนำออกไปทำเองทุกอย่าง

ทำแฮชเบอร์ก่อนยิงแอดแล้วพ้น PDPA ไหม

ไม่เสมอ หากยังเชื่อมโยงระบุตัวได้ต้องประเมินหน้าที่ตามกฎหมาย ควรตรวจทั้งวิธีแปลงตัวระบุและความสามารถของผู้รับในการจับคู่กลับถึงบุคคล

ผู้เขียน นายเอกราช ทิพย์แมม คดีครอบครัว มรดก และหนี้สิน

สาขาที่เชี่ยวชาญ: ครอบครัว · มรดกและพินัยกรรม · หนี้สินและบังคับคดี

ดูประวัติทีมทนายความ →

บทความนี้เป็นความรู้กฎหมายทั่วไปเพื่อความเข้าใจเบื้องต้น ไม่ใช่คำปรึกษาทางกฎหมายเฉพาะคดี ผลทางกฎหมายขึ้นอยู่กับข้อเท็จจริง เอกสาร และพยานหลักฐานของแต่ละกรณี ควรปรึกษาทนายความเพื่อประเมินเรื่องของท่านโดยเฉพาะ