บริษัทในเครือใช้ CRM ร่วมกัน ต้องแบ่งหน้าที่ข้อมูลอย่างไร

บริษัทในเครือใช้ CRM ร่วมกันอาจเห็นรายชื่อลูกค้าในหน้าจอเดียว แต่ผู้ที่มีสิทธินำข้อมูลไปใช้ไม่ได้เหมือนกันทุกบริษัท บทความนี้ช่วยแยกบทบาท ฐานการแบ่งปัน และสิ่งที่ต้องตกลงก่อนเปิดสิทธิให้ทีมขายข้ามนิติบุคคล

บริษัทในเครือใช้ CRM ร่วมกัน ต้องแบ่งหน้าที่อย่างไร?

ต้องแยกตามกิจกรรมและอำนาจตัดสินใจจริงว่าใครเป็นผู้ควบคุมหรือผู้ประมวลผลข้อมูล แล้วตรวจฐานการส่งต่อและการใช้ การมีผู้ถือหุ้นหรือผู้บริหารร่วมกันไม่ทำให้เปิดฐานลูกค้าให้ทุกบริษัทได้อัตโนมัติ และข้อตกลงภายในไม่แทนหน้าที่ตามกฎหมายต่อเจ้าของข้อมูล

พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 มาตรา 6 ให้นิยามบทบาทโดยดูอำนาจหน้าที่ตัดสินใจเรื่องการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูล บริษัทที่เลือกว่าจะเสนอสินค้าอะไรให้ลูกค้ากลุ่มใดอาจเป็นผู้ควบคุมสำหรับกิจกรรมนั้น ส่วนบริษัทที่ดูแลระบบตามคำสั่งอาจเป็นผู้ประมวลผล ต้องตรวจข้อเท็จจริงมากกว่าชื่อที่เขียนในสัญญา

มาตรา 21–24 และ 27 เป็นส่วนที่ต้องตรวจเรื่องวัตถุประสงค์ ความจำเป็น คำแจ้ง และฐานการใช้หรือเปิดเผย ส่วนมาตรา 40 กำหนดหน้าที่และข้อตกลงเมื่อมีความสัมพันธ์ผู้ควบคุมกับผู้ประมวลผล การเรียกเอกสารทุกฉบับว่า DPA ไม่ช่วยถ้าคู่สัญญาแต่ละรายนำข้อมูลไปตัดสินใจใช้เพื่อตนเองจริง

ตัวอย่างสมมติ: บริษัท ก ขายเครื่องจักร บริษัท ข รับซ่อม และบริษัท ค ขายประกัน ใช้ CRM เดียวกันเพื่อให้บริการหลังการขาย การให้ ข เห็นประวัติซ่อมที่จำเป็นไม่ได้หมายความว่า ค ดาวน์โหลดลูกค้าทั้งหมดไปเสนอประกันได้ ต้องแยกเหตุส่งต่อ ฐานของกิจกรรมใหม่ และคำแจ้งที่เกี่ยวข้องก่อนเปิดสิทธิ

การแบ่งบทบาทควรเขียนเป็นรายกิจกรรม เช่น รับคำร้องซ่อม ออกใบเสนอราคา หรือวิเคราะห์การขาย พร้อมระบุข้อมูล ผู้รับ และผู้ตัดสินใจ ดู คู่มือจัดการผู้ให้บริการและ DPA เพื่อเชื่อมข้อตกลงกับการควบคุมงานจริง

ถ้าใช้ฐานลูกค้าร่วมเพื่อคนละวัตถุประสงค์ ผลต่างกันไหม?

• ถ้าบริษัทหนึ่งให้บริการระบบตามคำสั่ง ให้ตรวจหน้าที่ผู้ประมวลผลและขอบเขตคำสั่ง รวมถึงการจ้างช่วง
• ถ้าอีกบริษัทตัดสินใจทำตลาดของตนเอง ต้องตรวจบทบาทและฐานของการรับกับการใช้ ไม่พึ่งสัญญาจ้างดูแลระบบ
• ถ้าหลายบริษัทตัดสินใจร่วมกัน ให้บันทึกอำนาจและหน้าที่แต่ละรายตามข้อเท็จจริง ไม่ยกแบบ joint controller จากต่างประเทศมาอ้างว่าบังคับใช้เหมือนกันทุกข้อในไทย
• ถ้ามีข้อมูลอ่อนไหว ต้องตรวจมาตรา 26 แยกจากข้อมูลติดต่อทั่วไป แม้อยู่ในหน้าจอเดียวกัน
• ถ้ามีผู้รับหรือระบบต่างประเทศ ให้ตรวจมาตรา 28–29 และหลักเกณฑ์การโอนที่ใช้กับกรณีจริงเพิ่มเติม

ข้อตกลงควรกำหนดว่าใครรับคำขอใช้สิทธิ ใครค้นข้อมูล และใครตอบในนามบริษัทใด การมีจุดติดต่อกลางช่วยลดการส่งต่อไปมา แต่ไม่ควรทำให้ลูกค้าไม่ทราบว่าบริษัทใดรับผิดชอบกิจกรรมที่ตนถาม

เลนส์ทนายยอดทิพย์ธรรม: บริษัทในเครือไม่ใช่ฐานกฎหมาย

คนมักเข้าใจว่า: ข้อมูลเป็นของกลุ่มบริษัท จึงนำไปใช้ภายในเครือได้ทุกกรณี หรือให้สำนักงานใหญ่ลงนามฉบับเดียวแล้วจบหน้าที่ของบริษัทย่อยทั้งหมด

กฎหมายมองว่า: ต้องตรวจผู้ตัดสินใจ วัตถุประสงค์ และฐานของแต่ละกิจกรรม ข้อตกลงจัดสรรงานและความรับผิดระหว่างบริษัทไม่อาจตัดสิทธิตามกฎหมายของเจ้าของข้อมูลเพียงด้วยข้อความในสัญญา

จุดเสี่ยงจริง: เปิดสิทธิระดับกลุ่มให้พนักงานที่ทำงานเพียงบริษัทเดียว หรือใช้ช่องหมายเหตุเก็บข้อมูลละเอียดแล้วปล่อยให้ทุกฝ่ายขายเห็น ควรจำกัดระดับรายการและฟิลด์ พร้อมตรวจรายงานส่งออกซึ่งอาจข้ามข้อจำกัดบนหน้าจอ

มองสองฝั่ง: บริษัทเจ้าของกิจกรรมกับบริษัทที่รับข้อมูล

ทั้งสองฝั่งควรตรวจหน้าจอและไฟล์ส่งออกตัวอย่างร่วมกัน เพราะข้อความในข้อตกลงอาจไม่ตรงกับสิทธิที่ระบบเปิดจริง

ต้องตกลงหน้าที่และทบทวนสิทธิเมื่อไร?

ควรแบ่งบทบาทและตรวจฐานก่อนเปิดข้อมูลให้บริษัทใหม่ ไม่รอให้ขายหรือส่งต่อแล้วค่อยจัดเอกสารย้อนหลัง การเปลี่ยนวัตถุประสงค์ต้องตรวจเงื่อนไขมาตรา 21 ก่อนใช้ในเรื่องใหม่ และจัดคำแจ้งตามหน้าที่ที่เกี่ยวข้อง

ตัวอย่างรอบภายในคือทบทวนผู้มีสิทธิทุกสามเดือนและทุกครั้งที่ย้ายทีม ตัวเลขนี้เป็นข้อเสนอด้านการบริหาร ไม่ใช่ระยะเวลาตายตัวตาม PDPA บริษัทควรเลือกรอบตามความเสี่ยงและมีวิธีปิดสิทธิเมื่อสิ้นสุดหน้าที่จริง

ตารางเก็บข้อมูลต้องไม่ใช้วันที่สร้าง CRM เป็นจุดเริ่มเดียวทั้งหมด ประวัติคำสั่งซื้อ งานซ่อม และรายชื่อเพื่อการตลาดอาจมีเหตุเก็บต่างกัน หากเกิดเหตุละเมิดต้องแยกกระบวนการแจ้งตามกฎหมายออกจากรอบรายงานประจำของกลุ่ม

ค่าใช้ CRM ร่วมและงบแบ่งสิทธิคิดอย่างไร?

ตัวอย่างสมมติ: ค่าระบบรวมเดือนละ 12,000 บาท แบ่งตามผู้ใช้ 20 คนกับ 10 คน จะได้ 8,000 บาทและ 4,000 บาทตามลำดับ หากตรวจสิทธิ 5 ชั่วโมง × 1,000 บาท เพิ่มอีก 5,000 บาท เป็นสูตรจัดงบภายใน ไม่ใช่อัตราตามกฎหมายหรือราคาบริการของสำนักงาน

การแบ่งค่าระบบตามจำนวนผู้ใช้ไม่ได้แปลว่าแบ่งความรับผิด PDPA ตามสัดส่วนเดียวกัน ความรับผิดต้องพิจารณาการกระทำ หน้าที่ และข้อเท็จจริง ส่วนเงื่อนไขชดใช้ระหว่างบริษัทควรตรวจทั้งเหตุเกิดและขอบเขตที่บังคับได้

งบที่มักตกหล่นคือการแยกสิทธิรายฟิลด์ การจัดการคำขอใช้สิทธิข้ามบริษัท และการปิดบัญชีเมื่อพนักงานย้ายสังกัด ควรใส่ต้นทุนเหล่านี้ก่อนตัดสินว่าการรวมระบบประหยัดเพียงใด

หลักฐานแบ่งบทบาทและสิทธิใน CRM ต้องมีอะไร?

• แผนกิจกรรมระบุบริษัทผู้ตัดสินใจและข้อมูลที่จำเป็น
• บันทึกฐานการส่งต่อ การรับ และการใช้ของแต่ละกิจกรรม
• คำแจ้งที่ลูกค้าได้รับจริงและรุ่นที่ใช้ในแต่ละช่วง
• ข้อตกลงแบ่งงาน ช่องทางรับคำขอ และขั้นแจ้งเหตุ
• ตารางสิทธิรายบริษัท รายทีม และฟิลด์ที่ปิดไว้
• ผลทดสอบบัญชีตัวอย่าง รวมถึงการค้นหาและส่งออก
• บันทึกเปลี่ยนสิทธิและการจัดการข้อมูลเมื่อบริษัทออกจากระบบร่วม

เก็บหลักฐานการอนุมัติคู่กับวันที่ตั้งค่าจริง อย่าใช้ภาพหน้าจอผู้ดูแลระบบเพียงบัญชีเดียวเป็นหลักฐานว่าพนักงานทุกระดับถูกจำกัดแล้ว หากคู่ค้าเริ่มใช้ข้อมูลเอง อ่าน การใช้ข้อมูลนอกคำสั่งของผู้ให้บริการ ประกอบ

สัญญาธุรกิจและหน้าที่พนักงานเกี่ยวข้องอย่างไร?

ข้อตกลงระหว่างบริษัทควรระบุบริการ ผู้มีอำนาจสั่งงาน และสิทธิเมื่อต้องแยกระบบ ประเด็นนี้สัมพันธ์กับ งานสัญญาธุรกิจ เพราะการถือหุ้นร่วมไม่ได้ทดแทนเงื่อนไขสัญญาที่ชัดเจน

พนักงานที่ทำงานให้หลายบริษัทควรทราบว่าเข้าระบบในบทบาทใดและรายงานเหตุให้ใคร ตรวจ ข้อกำหนดด้านแรงงานและหน้าที่พนักงาน ให้คำสั่งงานสอดคล้องกับสิทธิในระบบ โดยไม่ใช้ข้อบังคับภายในอนุญาตการใช้ข้อมูลที่ไม่มีฐาน

ทางไปต่อ: เปิด CRM ร่วมเมื่อแยกงานและสิทธิได้แล้ว

1. ทำแผนบริษัท กิจกรรม และข้อมูลที่แต่ละรายต้องใช้
2. ตรวจฐานกับคำแจ้งก่อนแบ่งปันหรือเปลี่ยนวัตถุประสงค์
3. ทำข้อตกลงให้ตรงบทบาทจริงและกำหนดผู้รับคำขอ
4. ตั้งสิทธิและทดสอบด้วยบัญชีของแต่ละบริษัท
5. อนุมัติเปิดใช้พร้อมรอบทบทวนและวิธีแยกข้อมูลออก

ควรให้ทนายตรวจเมื่อไม่ชัดว่าใครตัดสินใจใช้ข้อมูล บริษัทใหม่จะทำตลาดจากฐานเดิม หรือข้อตกลงผลักความรับผิดทั้งหมดให้รายเดียว กรณีมีข้อมูลอ่อนไหวหรือผู้รับต่างประเทศควรตรวจรายละเอียดก่อนเปิดสิทธิ

หากต้องจัดบทบาทของบริษัทในเครือให้ตรงกับ CRM ที่ใช้อยู่ สามารถดู บริการกฎหมาย PDPA และ ติดต่อพร้อมแผนข้อมูลกับตัวอย่างสิทธิระบบ โดยปิดข้อมูลลูกค้าที่ไม่จำเป็นก่อนส่ง

ตรวจหลักกฎหมายจาก พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ในราชกิจจานุเบกษา

ผู้เขียน นายเอกราช ทิพย์แมม คดีครอบครัว มรดก และหนี้สิน

สาขาที่เชี่ยวชาญ: ครอบครัว · มรดกและพินัยกรรม · หนี้สินและบังคับคดี

ดูประวัติทีมทนายความ →

บทความนี้เป็นความรู้กฎหมายทั่วไปเพื่อความเข้าใจเบื้องต้น ไม่ใช่คำปรึกษาทางกฎหมายเฉพาะคดี ผลทางกฎหมายขึ้นอยู่กับข้อเท็จจริง เอกสาร และพยานหลักฐานของแต่ละกรณี ควรปรึกษาทนายความเพื่อประเมินเรื่องของท่านโดยเฉพาะ