ส่งโปรฯ หาลูกค้าเก่าไม่ต้องขอความยินยอมทุกครั้ง แต่ต้องเลือกฐานให้ถูก คือใช้ประโยชน์โดยชอบด้วยกฎหมายมาตรา 24 (5) กับสินค้าที่ต่อยอดของเดิม และขอความยินยอมเมื่อเป็นสินค้าใหม่หรือโฆษณาตามโปรไฟล์ บทความนี้เหมาะกับฝ่ายการตลาดและ DPO ได้เกณฑ์เลือกฐานและวิธีรับคำคัดค้าน
- ข้อมูลที่ได้มาเพราะขายของหรือให้บริการ อ้างฐานสัญญามาตรา 24 (3) ไปทำการตลาดต่อไม่ได้
- สินค้าที่ต่อยอดจากของเดิมและลูกค้าคาดหมายได้ อาจใช้มาตรา 24 (5) ได้ ถ้าประเมิน LIA และมีช่องทางคัดค้าน
- สินค้าใหม่คนละเรื่อง หรือโฆษณาตามโปรไฟล์คุกกี้ ควรขอความยินยอมแบบให้ลูกค้าเลือกเอง (opt-in)
- ลูกค้าคัดค้านการตลาดแบบตรงได้ทุกเมื่อตามมาตรา 32 (2) ธุรกิจปฏิเสธไม่ได้ และต้องแยกรายชื่อออกทันที
- ขอความยินยอมแล้วลูกค้าไม่ให้ จะกลับไปอ้างมาตรา 24 (5) ในกิจกรรมเดียวกันไม่ได้ (ข้อหารือ สคส.)
สมมติว่าร้านเครื่องใช้ไฟฟ้าออนไลน์แห่งหนึ่งมีรายชื่อลูกค้าที่เคยซื้อของ มีเพื่อนใน LINE OA และติดพิกเซลโฆษณาไว้บนเว็บไซต์ เดือนหน้าจะออกโปรโมชันใหม่ ทีมการตลาดอยากส่งข้อความหาทุกคน และอยากยิงโฆษณาตามคนที่เข้าเว็บแล้วยังไม่ได้ซื้อ
ฝ่ายกฎหมายมักตอบแบบปลอดภัยไว้ก่อนว่า “ต้องขอความยินยอมทั้งหมด” คำตอบนี้ไม่ผิด แต่ทำให้รายชื่อที่ใช้ได้หดลงมาก ส่วนทีมการตลาดก็มักเชื่อว่า “เขาเป็นลูกค้าเราอยู่แล้ว ส่งได้” ซึ่งถูกเพียงบางกรณี
คำตอบที่ใช้ได้จริงอยู่ระหว่างสองขั้วนี้ บทความนี้ไล่ทีละสถานการณ์ว่าใช้ฐานทางกฎหมายใดได้ โดยอาศัยตัวบทในพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 (PDPA) แนวปฏิบัติ TDPG 4.0 และคำตอบข้อหารือที่สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (สคส.) รวบรวมเผยแพร่
ขายของให้ลูกค้าไปแล้ว ส่งโปรฯ ต่อได้เลยไหม?
ไม่ได้ ถ้าเหตุผลมีเพียงว่าเคยซื้อขายกัน ข้อมูลที่เก็บไว้เพื่อส่งของ ออกใบเสร็จ หรือดูแลหลังการขาย อยู่ใต้ฐานสัญญาตามมาตรา 24 (3) ซึ่งครอบคลุมเฉพาะสิ่งที่จำเป็นต่อการทำตามสัญญา การเสนอขายรอบใหม่ไม่ใช่สิ่งที่สัญญาเดิมต้องการ
แม้หลายครั้งข้อมูลที่ใช้ในการทำการตลาดจะเป็นข้อมูลที่เก็บรวบรวมได้จากการให้บริการตามสัญญา แต่วัตถุประสงค์ของการนำมาใช้เพื่อการตลาดนั้นเกินขอบเขตของการประมวลผลข้อมูลที่ “จำเป็น” ต่อการดำเนินการให้เป็นไปตามสัญญา ดังนั้นจึงไม่สามารถใช้ฐานสัญญาในการประมวลผลข้อมูลส่วนบุคคลเพื่อการตลาดได้
เมื่อฐานสัญญาใช้ไม่ได้ ก็ต้องไปดูฐานอื่นในมาตรา 24 สำหรับงานการตลาดของธุรกิจทั่วไป ฐานที่เหลือให้เลือกจริงมีสองฐาน คือประโยชน์โดยชอบด้วยกฎหมายตามมาตรา 24 (5) กับความยินยอมตามมาตรา 19
(5) เป็นการจำเป็นเพื่อประโยชน์โดยชอบด้วยกฎหมายของผู้ควบคุมข้อมูลส่วนบุคคล หรือของบุคคลหรือนิติบุคคลอื่นที่ไม่ใช่ผู้ควบคุมข้อมูลส่วนบุคคล เว้นแต่ประโยชน์ดังกล่าวมีความสำคัญน้อยกว่าสิทธิขั้นพื้นฐานในข้อมูลส่วนบุคคลของเจ้าของข้อมูลส่วนบุคคล
คำว่า “เว้นแต่” ท้ายอนุมาตรานี้คือส่วนที่ทีมการตลาดมักอ่านข้าม ฐานนี้ใช้ได้เมื่อชั่งน้ำหนักแล้วว่าประโยชน์ของธุรกิจไม่ได้ด้อยกว่าสิทธิของลูกค้า ถ้าไม่เคยชั่งและไม่ได้จดเหตุผลไว้ วันที่ถูกร้องเรียนก็ยากจะยืนยันว่าใช้ฐานนี้โดยชอบ
เสนอสินค้าแบบไหนใช้ฐานประโยชน์โดยชอบด้วยกฎหมายได้?
สินค้าที่ต่อยอดจากของที่ลูกค้าซื้ออยู่แล้ว และลูกค้าพอคาดได้ว่าจะได้รับข้อเสนอแบบนี้ TDPG 4.0 บทแนวปฏิบัติสำหรับฝ่ายขายและการตลาดยกตัวอย่างไว้เข้าใจง่าย
กลุ่มลูกค้าเดิมเป็นกลุ่มที่อาจทำการตลาดโดยใช้ฐานของผลประโยชน์โดยชอบด้วยกฎหมายได้หากสินค้าและบริการที่นำเสนออยู่ในขอบเขตของความคาดหมายได้ของลูกค้ากลุ่มนั้น เช่น การเสนอขายประกันรถยนต์สำหรับผู้ซื้อรถยนต์ การเสนอขายเมาส์สำหรับผู้ซื้อคอมพิวเตอร์ ไม่ก่อให้เกิดความเสี่ยงต่อลูกค้า
ข้อหารือของธนาคาร จ. ที่ สคส. ตอบไว้ ไปในทางเดียวกัน ธนาคารถามว่าจะเสนอสินเชื่อให้ลูกค้าเงินฝาก หรือเสนอบัตร ATM และ Mobile Banking ให้ลูกค้าเดิม ต้องขอความยินยอมหรือไม่ ความเห็นที่ได้แยกเป็นสองกลุ่มชัดเจน
สินเชื่อเป็นผลิตภัณฑ์ใหม่ที่ไม่เกี่ยวกับสัญญาเงินฝาก ใช้ฐานสัญญาไม่ได้ และเมื่อไม่มีฐานอื่นตามมาตรา 24 ก็ต้องขอความยินยอมตามมาตรา 19 และ 20 แม้แต่การเสนอเงินฝากประเภทอื่น ความเห็นก็ให้หาฐานอื่นก่อน หากหาไม่ได้ก็ต้องขอความยินยอม ส่วนบัตร ATM กับ Mobile Banking ซึ่งผูกกับบัญชีเดิม ได้คำตอบต่างออกไป
กรณีการนำเสนอผลิตภัณฑ์ที่เกี่ยวเนื่องกับผลิตภัณฑ์เดิมให้กับลูกค้าที่ฝากเงิน เช่น บัตร ATM หรือ Mobile Banking ธนาคารอาจพิจารณาใช้ฐานทางกฎหมายตามมาตรา ๒๔ (๕) ได้ โดยพิจารณาถึงความคาดหวังของเจ้าของข้อมูลส่วนบุคคล และความได้สัดส่วนของการชั่งน้ำหนักระหว่างประโยชน์โดยชอบด้วยกฎหมาย (Legitimate Interests) ของธนาคาร กับสิทธิขั้นพื้นฐานในข้อมูลส่วนบุคคลของเจ้าของข้อมูลส่วนบุคคล
ข้อหารือเดียวกันแนะนำต่อว่าควรทำการประเมินประโยชน์โดยชอบด้วยกฎหมาย (LIA) เก็บไว้อ้างอิงในบันทึกรายการตามมาตรา 39 และควรแจ้งลูกค้าว่าคัดค้านการใช้ข้อมูลเพื่อการตลาดได้ตามมาตรา 32 คำตอบข้อหารือเรื่องอื่นของ สคส. อ่านต่อได้ใน บทความรวมข้อหารือ
| สถานการณ์ | ฐานที่ควรใช้ | ที่มา |
|---|---|---|
| ส่งใบเสร็จ แจ้งสถานะจัดส่ง นัดซ่อม | สัญญา มาตรา 24 (3) เพราะไม่ใช่การตลาด | PDPA ม.24 (3) |
| เสนออุปกรณ์เสริมของสินค้าที่ลูกค้าซื้อแล้ว เช่น เมาส์ให้คนซื้อคอมพิวเตอร์ | ประโยชน์โดยชอบ ม.24 (5) + บันทึก LIA + ช่องทางคัดค้าน | TDPG MS17 · ข้อหารือธนาคาร จ. |
| ส่งข่าวสินค้าให้สมาชิกที่ลงทะเบียนกับร้าน โดยไม่ใช้ข้อมูลพฤติกรรมรายคน | อาจใช้ ม.24 (5) ถ้าไม่รุกล้ำและลูกค้าคาดหมายได้ | TDPG C39 |
| เสนอสินค้าใหม่คนละประเภทกับที่ลูกค้าใช้อยู่ | ความยินยอม ม.19 | ข้อหารือธนาคาร จ. ประเด็น ๑.๑ |
| ยิงโฆษณาตามพฤติกรรมจากคุกกี้หรือโปรไฟล์รายบุคคล | ความยินยอม ม.19 | TDPG C48 · C49 |
| ส่งรายชื่อให้บริษัทในเครือหรือพันธมิตรไปทำการตลาดเอง | ความยินยอม ม.19 และแจ้งการเปิดเผย | TDPG ตัวอย่างโรงแรมในบท MS · C38 |
| ลูกค้าเคยกดไม่ยินยอมการตลาดไปแล้ว | ห้ามเปลี่ยนไปอ้าง ม.24 (5) ในกิจกรรมเดียวกัน | ข้อหารือธนาคาร จ. ประเด็น ๒ |
TDPG บอกว่าการตลาดแบบตรงต้องขอความยินยอม แล้วทำไมยังมีทางใช้ฐานอื่น?
ถ้าอ่านเฉพาะประโยคแรกของ TDPG 4.0 ข้อ C35 จะเข้าใจว่าการตลาดแบบตรงต้องขอความยินยอมเสมอ แต่ข้อเดียวกันให้เหตุผลไว้ต่อท้าย เหตุผลนี้เองที่ทำให้เข้าใจข้อ C39
การประมวลผลข้อมูลเพื่อการทำการตลาดแบบตรงต้องใช้ฐานความยินยอมเป็นหลัก ไม่สามารถใช้ฐานอื่นโดยเฉพาะฐานผลประโยชน์อันชอบธรรมได้ การติดต่อเพื่อการตลาดแบบตรงนั้นแตกต่างไปจากการส่งใบปลิวหรือการโฆษณาทั่วไปในพื้นที่ใดพื้นที่หนึ่งแบบไม่เฉพาะเจาะตัวผู้รับ เนื่องจากเป็นการติดต่ออย่างเฉพาะเจาะจงจึงรุกล้ำความเป็นส่วนตัว และไม่ใช่สิ่งที่คนทั่วไปคาดหวังจะให้เกิดขึ้นโดยมิได้ร้องขอ
C35 ผูกความยินยอมไว้กับเหตุสองข้อ คือการติดต่อรุกล้ำความเป็นส่วนตัว และคนทั่วไปไม่ได้คาดหวังให้เกิดขึ้น ข้อ C39 ในหมวดเดียวกันพูดถึงกรณีที่เหตุทั้งสองข้อไม่มีอยู่
การทำการตลาดแบบตรงที่ไม่ได้มีลักษณะรุกล้ำความเป็นส่วนตัวมากและผู้บริโภคสามารถคาดหมายได้อยู่แล้ว อาจใช้ฐานผลประโยชน์อันชอบธรรมได้ เช่น การส่งข้อมูลเกี่ยวกับผลิตภัณฑ์ให้กับลูกค้าที่ลงทะเบียนเป็นสมาชิกของซูเปอร์มาร์เก็ต แต่การเสนอขายสินค้าโดยตรงหรือโฆษณาแบบเจาะจง (targeted advertisement) ที่ต้องอาศัยข้อมูลที่เฉพาะเจาะจงรายบุคคล หรือข้อมูลในลักษณะโปรไฟลิ่งที่ทำให้ผู้โฆษณาทราบถึงข้อมูลส่วนบุคคลของเป้าหมายอย่างละเอียดนั้นย่อมไม่อาจใช้ฐานผลประโยชน์อันชอบทำได้ ต้องใช้ฐานความยินยอม
อ่านสองข้อเทียบกันแล้วไม่ได้ขัดกัน C35 วางหลักและบอกเหตุผล C39 บอกว่าเมื่อเหตุผลนั้นไม่มี ฐานผลประโยชน์อันชอบธรรม "อาจ" ใช้ได้ และขีดเส้นไว้ในประโยคถัดมาว่าการเสนอขายโดยตรงหรือโฆษณาเจาะจงจากข้อมูลรายบุคคลยังต้องใช้ความยินยอม ข้อ MS17 เรื่องลูกค้าเดิมก็ใช้เกณฑ์เดียวกัน คือสินค้าต้องอยู่ในขอบเขตที่ลูกค้าคาดหมายได้
TDPG ไม่ได้บอกว่าใครต้องพิสูจน์อะไร แต่ถ้าจะอ้าง C39 หรือ MS17 ธุรกิจควรเขียนเหตุผลไว้ว่าการติดต่อนั้นไม่รุกล้ำมากและลูกค้าคาดหมายได้อย่างไร เพราะนั่นคือเงื่อนไขที่ข้อความทั้งสองข้อกำหนดไว้เอง
วิธีอ่านที่ปลอดภัยสำหรับธุรกิจคือ ยิ่งต้องใช้ข้อมูลรายคนมาเลือกว่าจะเสนออะไรให้ใคร ยิ่งต้องใช้ความยินยอม ส่วนการแจ้งข่าวสินค้าที่ต่อยอดจากของเดิมโดยไม่ต้องขุดพฤติกรรมของลูกค้า เป็นพื้นที่ที่ฐานประโยชน์โดยชอบพอรองรับได้
ลูกค้ากดไม่ยินยอมไปแล้ว ยังเปลี่ยนไปใช้ฐานอื่นได้ไหม?
ไม่ได้ สำหรับกิจกรรมเดียวกัน ข้อหารือของธนาคาร จ. ตอบประเด็นนี้ไว้ตรงตัว
แต่กรณีธนาคารเลือกใช้ฐานความยินยอมแล้ว ลูกค้าไม่ให้ความยินยอม ธนาคารจะไม่สามารถนำฐานทางกฎหมายตามมาตรา ๒๔ (๕) มาใช้ในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลกับลูกค้าในกิจกรรมดังกล่าวได้อีก
ข้อนี้กระทบการออกแบบแบบฟอร์มสมัครสมาชิกโดยตรง ถ้ารวบทุกอย่างไว้ใต้ช่องติ๊ก “ยินยอมรับข่าวสาร” ช่องเดียว พอลูกค้าไม่ติ๊ก ธุรกิจก็เสียโอกาสส่งแม้แต่ข่าวที่อาจใช้ฐานประโยชน์โดยชอบได้ ทางที่ดีกว่าคือแยกกิจกรรมให้ชัดก่อนเลือกฐาน แล้วขอความยินยอมเฉพาะเรื่องที่ต้องขอจริง
ขอความยินยอมเพื่อการตลาดให้ถูก ต้องมีอะไรบ้าง?
มาตรา 19 วางเงื่อนไขไว้หลายข้อ ที่ทีมการตลาดต้องจำให้ขึ้นใจมีสี่เรื่อง คือขอโดยชัดแจ้ง แจ้งวัตถุประสงค์ แยกออกจากข้อความอื่น และให้ถอนได้ง่ายเท่ากับตอนให้
เจ้าของข้อมูลส่วนบุคคลจะถอนความยินยอมเสียเมื่อใดก็ได้โดยจะต้องถอนความยินยอมได้ง่ายเช่นเดียวกับการให้ความยินยอม
- แยกช่องยินยอมการตลาดออกจากการยอมรับเงื่อนไขซื้อขาย และไม่ตั้งเงื่อนไขว่าต้องยินยอมจึงจะซื้อสินค้าได้ (มาตรา 19 วรรคสี่)
- ใช้แบบให้ลูกค้าเลือกเอง (opt-in) และเลือกได้ทีละเรื่อง ตามที่ TDPG ข้อ MS14 แนะนำ
- ระบุช่องทางที่จะติดต่อ เช่น อีเมล โทรศัพท์ หรือจดหมาย ซึ่ง TDPG ข้อ C36 แนะนำให้แจกแจง และให้ลูกค้าเลือกช่องทางเองได้
- ทุกข้อความการตลาดต้องมีทางเลิกรับที่ทำได้ง่าย ตาม TDPG ข้อ C37
- เก็บหลักฐานว่าใครยินยอมเมื่อไร ผ่านแบบฟอร์มไหน ด้วยข้อความฉบับใด เพราะ TDPG ข้อ C38 ให้บันทึกรายละเอียดความยินยอมไว้เสมอ
TDPG ข้อ MS15 เตือนอีกเรื่องที่ทีมการตลาดไม่ค่อยนึกถึง ได้ความยินยอมมาแล้วก็ยังต้องทำตามหลักความจำเป็น ความโปร่งใส และความเป็นธรรม ความยินยอมไม่ได้เปิดทางให้ยิงเป้าหมายแบบรุกล้ำเกินไป คู่มือ ความยินยอมที่ใช้ได้จริง มีตัวอย่างข้อความประกอบ
คุกกี้โฆษณาและการยิงโฆษณาซ้ำ ต้องขอความยินยอมไหม?
ควรขอ ถ้าคุกกี้หรือพิกเซลนั้นใช้ติดตามคนข้ามเว็บไซต์เพื่อสร้างโปรไฟล์หรือยิงโฆษณาเฉพาะตัว TDPG 4.0 วางหลักไว้ตั้งแต่บทแรกว่าตัวระบุออนไลน์อย่างคุกกี้อาจเป็นข้อมูลส่วนบุคคลได้
การใช้ cookies หรือเทคโนโลยีในลักษณะเดียวกันเพื่อติดตามพฤติกรรมของบุคคลข้ามเว็บไซต์ อาจถือเป็นการประมวลผลข้อมูลส่วนบุคคล หากการติดตามดังกล่าวเกี่ยวข้องกับ online identifiers ที่ถูกใช้เพื่อสร้าง profile ของบุคคลนั้น
ต่อมาในบทฐานการประมวลผล TDPG ข้อ C48 ขีดเส้นให้การโฆษณาตามพฤติกรรมออนไลน์ชัดกว่าการตลาดแบบตรงทั่วไป
การโฆษณาตามพฤติกรรมออนไลน์ (Online Behavioural Advertisement) หรือ targeted advertisement เป็นการโฆษณาแบบเจาะจงที่ต้องอาศัยข้อมูลที่เฉพาะเจาะจงรายบุคคล โดยเฉพาะข้อมูลในลักษณะโปรไฟลิ่งที่ทำให้ผู้โฆษณาทราบถึงข้อมูลส่วนบุคคลของเป้าหมายอย่างละเอียดนั้นย่อมไม่อาจใช้ฐานผลประโยชน์อันชอบทำได้ ต้องใช้ฐานความยินยอม
ข้อ C49 อธิบายต่อว่าการสร้างโปรไฟล์จากคุกกี้ IP address หรือตำแหน่งที่อยู่ เป็นการรุกล้ำความเป็นส่วนตัวที่คนทั่วไปมักคาดไม่ถึง การขอความยินยอมจึงต้องรัดกุมกว่าปกติ และเจ้าของข้อมูลยังคัดค้านการทำโปรไฟล์ได้อีกด้วย
แบนเนอร์คุกกี้ที่ดีควรหน้าตาแบบไหน
TDPG ให้ตัวอย่างการแบ่งประเภทคุกกี้ไว้ ซึ่งใช้เป็นโครงของแบนเนอร์ได้ทันที
ในกรณีการขอความยินยอมคุกกี้มักมีการใช้คุกกี้หลายชนิด ซึ่งสามารถแยกเป็นประเภทต่าง ๆ ได้ เช่น คุกกี้ที่จำเป็น (Necessary Cookies) คุกกี้เพื่อการวิเคราะห์/ประสิทธิภาพ (Analytics/Performance Cookies) คุกกี้เพื่อการโฆษณา (Advertising Cookies)
หลักปฏิบัติที่ตามมาคือ คุกกี้ที่จำเป็นต่อการทำงานของเว็บไซต์เปิดใช้ได้ ส่วนคุกกี้วิเคราะห์และคุกกี้โฆษณาควรรอจนผู้ใช้กดยอมรับ ปุ่มปฏิเสธควรหาง่ายพอ ๆ กับปุ่มยอมรับ เพราะมาตรา 19 ให้ถอนความยินยอมได้ง่ายเช่นเดียวกับตอนให้
ขั้นตอนตั้งค่าแบนเนอร์อยู่ใน คู่มือแบนเนอร์คุกกี้ และถ้าอยากรู้ว่าเว็บไซต์ของคุณโหลดคุกกี้อะไรก่อนผู้ใช้กดยอมรับ ตรวจได้ฟรีที่ /scan
ลูกค้าบอกว่าไม่อยากได้โปรฯ อีกแล้ว ต้องทำอะไรบ้าง?
ต้องหยุดใช้ข้อมูลเพื่อการตลาดแบบตรงทันที และแยกรายชื่อนั้นออก มาตรา 32 (2) ให้สิทธิคัดค้านการตลาดแบบตรงเมื่อใดก็ได้ และมาตรา 32 วรรคสามเปิดให้ปฏิเสธการคัดค้านได้เฉพาะกรณีตาม (1) (ก) (ข) หรือ (3) ซึ่งไม่รวมการตลาดแบบตรง ธุรกิจจึงไม่มีช่องให้โต้แย้ง
ในกรณีที่เจ้าของข้อมูลส่วนบุคคลใช้สิทธิคัดค้านตามวรรคหนึ่ง ผู้ควบคุมข้อมูลส่วนบุคคลไม่สามารถเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลนั้นต่อไปได้ ทั้งนี้ ผู้ควบคุมข้อมูลส่วนบุคคลต้องปฏิบัติโดยแยกส่วนออกจากข้อมูลอื่นอย่างชัดเจนในทันทีเมื่อเจ้าของข้อมูลส่วนบุคคลได้แจ้งการคัดค้านให้ผู้ควบคุมข้อมูลส่วนบุคคลทราบ
ในทางปฏิบัติ การแยกส่วนออกจากข้อมูลอื่นหมายถึงต้องมีรายชื่อห้ามส่ง (suppression list) ที่ทุกระบบดึงไปใช้ ทั้งระบบอีเมล LINE OA ระบบ SMS และกลุ่มเป้าหมายที่อัปโหลดขึ้นแพลตฟอร์มโฆษณา ถ้าแค่ลบชื่อออกจากฐานข้อมูลการตลาด รอบหน้าที่นำเข้ารายชื่อชุดใหม่ ชื่อนั้นอาจกลับมาอีก
ถ้าลูกค้าขอให้ลบข้อมูลด้วย มาตรา 33 (3) ให้สิทธิขอลบเมื่อคัดค้านการตลาดแบบตรงตามมาตรา 32 (2) วิธีจัดการคำขอและกำหนดเวลาแต่ละประเภทอยู่ในบทความ ตอบคำขอใช้สิทธิของเจ้าของข้อมูลให้ทันกำหนด
จ้างเอเจนซีหรือใช้แพลตฟอร์มส่งข้อความ ใครรับผิดชอบอะไร?
แบรนด์เป็นผู้ควบคุมข้อมูลเสมอ TDPG ข้อ MS18 ระบุว่าเจ้าของผลิตภัณฑ์หรือแบรนด์ รวมถึง SMEs มีบทบาทเป็นผู้ควบคุมข้อมูล ส่วนเอเจนซี ผู้ให้บริการ CRM และแพลตฟอร์ม ส่วนใหญ่เป็นผู้ประมวลผล แต่บางขั้นตอนอาจเป็นผู้ควบคุมข้อมูลเอง หรือเป็นผู้ควบคุมข้อมูลร่วม
เมื่อจ้างเอเจนซียิงโฆษณาหรือส่ง SMS แทน ต้องมีข้อตกลงกับผู้ประมวลผลตามมาตรา 40 วรรคสาม และต้องส่งรายชื่อห้ามส่งไปถึงผู้รับจ้างด้วย TDPG ข้อ C38 ย้ำให้ตรวจว่าผู้รับข้อมูลไว้ใจได้ แจ้งการเปิดเผยข้อมูล และเก็บรายละเอียดความยินยอม ดูแนวทางทำสัญญาได้ใน คู่มือข้อตกลงผู้ประมวลผล
สำหรับ SMS และบริการผ่านผู้ให้บริการโทรคมนาคม TDPG ข้อ MS22 เห็นว่าทั้งขั้นตอนเก็บพฤติกรรมและขั้นตอนเลือกเป้าหมายต้องได้ความยินยอมที่ชัดเจน และต้องดูประกาศของ กสทช. ประกอบด้วย
คำถามที่พบบ่อย
ลูกค้าเคยซื้อของกับเรา ส่งโปรฯ ทางอีเมลได้เลยไหม?
อ้างฐานสัญญาไม่ได้ เพราะการตลาดเกินกว่าที่จำเป็นต่อสัญญา ถ้าเป็นสินค้าที่ต่อยอดจากของเดิมและลูกค้าคาดหมายได้ อาจใช้ฐานประโยชน์โดยชอบด้วยกฎหมายตามมาตรา 24 (5) โดยประเมิน LIA และเปิดช่องให้คัดค้าน ถ้าเป็นสินค้าใหม่คนละเรื่อง ควรขอความยินยอมตามมาตรา 19
ลูกค้ากดเพิ่มเพื่อน LINE OA ถือว่ายินยอมรับโฆษณาแล้วหรือยัง?
PDPA ไม่ได้พูดถึง LINE OA โดยตรง TDPG ข้อ MS15 ยกการกดเพิ่มเพื่อนในแชทแอปพลิเคชันเป็นตัวอย่างวิธีจูงใจให้ยินยอม แต่ย้ำว่าต้องแจ้งวัตถุประสงค์ของการเก็บข้อมูลให้ลูกค้าทราบ การกดเพิ่มเพื่อนอย่างเดียวโดยไม่มีการแจ้งจึงไม่ควรนับเป็นความยินยอมที่ครบเงื่อนไขมาตรา 19
คุกกี้วิเคราะห์สถิติเว็บไซต์ต้องขอความยินยอมไหม?
TDPG แยกคุกกี้เพื่อการวิเคราะห์เป็นคนละประเภทกับคุกกี้ที่จำเป็น และให้ผู้ใช้เลือกได้ทีละประเภท แนวทางที่ปลอดภัยคือรอให้ผู้ใช้กดยอมรับก่อนโหลด ส่วนคุกกี้ที่ใช้ติดตามข้ามเว็บไซต์เพื่อทำโปรไฟล์โฆษณา TDPG ข้อ C48 ระบุว่าต้องใช้ฐานความยินยอม
ลูกค้าคัดค้านการตลาดแบบตรง เราปฏิเสธได้ไหม?
ไม่ได้ มาตรา 32 วรรคสามให้ปฏิเสธการคัดค้านได้เฉพาะกรณีตาม (1) (ก) (ข) หรือ (3) ซึ่งไม่รวมการตลาดแบบตรงตาม (2) เมื่อได้รับแจ้งต้องหยุดใช้และแยกข้อมูลออกทันที
ลูกค้าไม่ติ๊กยินยอมการตลาด แต่เราอยากส่งข่าวสินค้าเกี่ยวเนื่อง ใช้ฐานประโยชน์โดยชอบแทนได้ไหม?
ไม่ได้ในกิจกรรมเดียวกัน ข้อหารือของธนาคาร จ. ระบุว่าเมื่อเลือกฐานความยินยอมแล้วลูกค้าไม่ให้ จะนำฐานมาตรา 24 (5) มาใช้กับกิจกรรมนั้นอีกไม่ได้ จึงควรแยกกิจกรรมและเลือกฐานให้ถูกตั้งแต่ออกแบบแบบฟอร์ม
ตัวบทและแหล่งอ้างอิง
- พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 — มาตรา 19 · มาตรา 24 (5) · มาตรา 32 · มาตรา 33 (3) · มาตรา 40
- แนวปฏิบัติ TDPG 4.0 (Thailand Data Protection Guidelines) — แนวปฏิบัติ ไม่ใช่กฎหมาย — A7 · C35–C39 · C48–C49 · MS12–MS22
- สำเนาสรุปการตอบข้อหารือ ตาม พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 (สคส.) — ข้อหารือ ธนาคาร จ. (การตลาดกับลูกค้าธนาคาร)
ตัวบทที่ยกมาในกรอบ "ตัวบท" คัดคำต่อคำจากคลังกฎหมายของ AIPDPA ซึ่งถอดจากราชกิจจานุเบกษาและเอกสารของหน่วยงานรัฐ แล้วระบบตรวจทุกครั้งที่แก้บทความว่าตรงกับคลังทุกตัวอักษร · บทความนี้เป็นความรู้ทั่วไป ไม่ใช่คำปรึกษากฎหมายสำหรับกรณีใดกรณีหนึ่ง
ลงมือในระบบได้ที่
ใครรับผิดชอบเนื้อหานี้?
เรียบเรียงโดยทีมกฎหมาย AIPDPA · ผู้รับผิดชอบเนื้อหา ภูวรา ครอบตะคุ ทนายความ · เนติบัณฑิตไทย · ที่ปรึกษากฎหมายเทคโนโลยีและทรัพย์สินทางปัญญา
ใบอนุญาตทนายความ 477/2558 · เนติบัณฑิตไทย · นิติศาสตรมหาบัณฑิต กฎหมายทรัพย์สินทางปัญญาและสารสนเทศ (เหรียญทอง)