PDPA กับแชทบอท ร้านที่ใช้ AI ตอบแชทต้องทำอะไรบ้าง

อัปเดตล่าสุด 24 ก.ย. 2569 · ทีม Widee

ร้านที่ใช้แชทบอทหรือ AI ตอบแชทยังต้องทำตาม PDPA เหมือนเดิม เพราะร้านเป็นผู้กำหนดว่าจะเก็บข้อมูลลูกค้าอะไร เพื่ออะไร แชทบอทเป็นแค่เครื่องมือ สิ่งที่ต้องทำหลัก ๆ คือ แจ้งลูกค้าว่าเก็บข้อมูลเพื่ออะไร เก็บเท่าที่จำเป็น ระวังข้อมูลอ่อนไหว ให้เฉพาะคนที่ต้องใช้เข้าถึงได้ และลบหรือส่งออกข้อมูลได้เมื่อลูกค้าขอ

บทความนี้เป็นข้อมูลทั่วไปสำหรับเจ้าของร้าน ไม่ใช่คำปรึกษาทางกฎหมาย ถ้าธุรกิจของคุณเก็บข้อมูลอ่อนไหวจำนวนมาก เช่น คลินิก หรือมีลูกค้าเป็นองค์กร ควรปรึกษาผู้เชี่ยวชาญด้านกฎหมายเพิ่มเติม

PDPA คืออะไร และเกี่ยวกับการตอบแชทอย่างไร

PDPA คือ พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ซึ่งมีผลบังคับใช้เต็มรูปแบบตั้งแต่ 1 มิถุนายน 2565 ตามที่สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (สคส.)เผยแพร่

การตอบแชทเกี่ยวกับข้อมูลส่วนบุคคลแทบทุกครั้ง เพราะในแชทมีทั้ง

• ชื่อโปรไฟล์และรหัสผู้ใช้ LINE หรือ Facebook
• เบอร์โทร ที่อยู่จัดส่ง อีเมล
• รูปสลิปโอนเงินซึ่งมีชื่อและเลขบัญชีบางส่วน
• ประวัติการซื้อ ความสนใจ แท็กที่ร้านติดให้ลูกค้า
• บางธุรกิจมีข้อมูลสุขภาพ เช่น อาการ ประวัติแพ้ยา

เมื่อใช้แชทบอท ข้อมูลเหล่านี้ถูกเก็บในระบบของผู้ให้บริการ และถูกส่งให้ AI ประมวลผลเพื่อตอบ ร้านจึงควรรู้ว่าระบบที่ใช้เก็บอะไร ใครเข้าถึงได้ และลบได้อย่างไร

ใครต้องรับผิดชอบ ร้านหรือผู้ให้บริการแชทบอท

ใน PDPA มี 2 บทบาทหลัก คือ ผู้ควบคุมข้อมูลส่วนบุคคล ซึ่งเป็นผู้ตัดสินใจว่าจะเก็บข้อมูลอะไรเพื่ออะไร และผู้ประมวลผลข้อมูลส่วนบุคคล ซึ่งดำเนินการตามคำสั่งของผู้ควบคุม

ในกรณีทั่วไปของร้านที่ใช้ระบบแชทบอทสำเร็จรูป ร้านมักอยู่ในบทบาทผู้ควบคุม เพราะร้านเลือกว่าจะให้ AI ถามข้อมูลอะไร เก็บนานแค่ไหน และใช้ทำอะไร ส่วนผู้ให้บริการระบบมักอยู่ในบทบาทผู้ประมวลผล การแบ่งบทบาทจริงขึ้นกับข้อเท็จจริงของแต่ละกรณี ควรตรวจกับที่ปรึกษากฎหมาย

ผลในทางปฏิบัติคือ ร้านไม่สามารถบอกลูกค้าว่า "เป็นเรื่องของระบบแชทบอท" ได้ ร้านต้องแจ้งลูกค้าเอง และต้องตอบคำขอของลูกค้าได้

ถ้าไม่ทำตาม PDPA มีโทษอะไรบ้าง

กฎหมายกำหนดโทษไว้ 3 ประเภท (ดูตัวบทได้จากมาตรา 78 79 83 84 และ 85)

โทษปรับทางปกครองสูงสุด 5 ล้านบาทตามมาตรา 84 เกี่ยวกับการเก็บหรือใช้ข้อมูลอ่อนไหวโดยไม่เป็นไปตามกฎหมาย ธุรกิจที่รับข้อมูลสุขภาพทางแชทจึงควรระวังเป็นพิเศษ

ข้อมูลอ่อนไหวในแชทต้องระวังอะไร

มาตรา 26 กำหนดข้อมูลอ่อนไหว เช่น ข้อมูลสุขภาพ ความพิการ ข้อมูลชีวภาพ ศาสนา ประวัติอาชญากรรม ซึ่งโดยหลักต้องได้รับความยินยอมโดยชัดแจ้งก่อนเก็บ เว้นแต่เข้าข้อยกเว้นในกฎหมาย

ตัวอย่างที่เจอบ่อยในแชท

• คลินิก: ลูกค้าเล่าอาการ ส่งรูปผิว บอกประวัติแพ้ยา
• ร้านอาหารเสริม: ลูกค้าบอกโรคประจำตัวเพื่อถามว่าทานได้ไหม
• ประกัน: ลูกค้าเล่าประวัติการรักษา

แนวทางที่ใช้ได้จริง

1. ตั้งให้ AI ไม่ถามข้อมูลสุขภาพเกินจำเป็น เช่น ถามแค่ "มีประวัติแพ้ยาไหม" ตอนจองคิว ไม่ถามรายละเอียดโรค
2. เรื่องที่ต้องประเมินอาการ ให้ส่งต่อบุคลากรที่เกี่ยวข้อง ไม่ให้ AI วินิจฉัย
3. จำกัดคนในทีมที่เปิดดูแชทกลุ่มนี้ได้
4. ลบข้อมูลเมื่อหมดความจำเป็นหรือเมื่อลูกค้าขอ

ใน Widee ธุรกิจประเภทคลินิกมีกฎกลางให้ AI ไม่วินิจฉัยโรค และให้แนะนำโทร 1669 ในกรณีฉุกเฉิน ร้านที่ใช้แพ็กเกจ Professional ขึ้นไปเขียนคำสั่งพิเศษเพิ่มได้ เช่น "ห้ามถามรายละเอียดโรคประจำตัว" อ่านเพิ่มในแชทบอทสำหรับคลินิก

เช็กลิสต์ PDPA สำหรับร้านที่ใช้แชทบอท

ก่อนเปิดใช้

• เขียนประกาศความเป็นส่วนตัว (Privacy Notice) ที่บอกว่าเก็บข้อมูลอะไร เพื่ออะไร เก็บนานเท่าไร ส่งต่อให้ใคร รวมถึงบอกว่าใช้ระบบแชทและผู้ให้บริการ AI ช่วยตอบ
• ใส่ลิงก์ประกาศไว้ในข้อความต้อนรับของ LINE OA หรือข้อความทักทายของเพจ
• กำหนดข้อมูลที่ AI ต้องถาม และข้อมูลที่ห้ามถาม
• กำหนดคนในทีมที่เข้าถึงแชทและข้อมูลลูกค้าได้

ระหว่างใช้งาน

• ไม่ขอเลขบัตรประชาชนหรือข้อมูลบัตรเครดิตในแชท ถ้าไม่จำเป็น
• ไม่ส่งข้อมูลลูกค้าคนหนึ่งให้ลูกค้าอีกคน
• ตรวจคำตอบที่ AI เรียนรู้จากแอดมินก่อนอนุมัติ ว่าไม่มีข้อมูลส่วนตัวของลูกค้าติดไป
• ลบผู้ใช้ออกจากระบบทันทีเมื่อพนักงานลาออก

เมื่อลูกค้าใช้สิทธิ์

• มีช่องทางรับคำขอ เช่น ขอดูข้อมูล ขอลบ ขอแก้ไข
• ตรวจสอบตัวตนก่อนดำเนินการ
• ดำเนินการภายในเวลาที่กฎหมายกำหนด และเก็บหลักฐานว่าทำแล้ว

Widee มีเครื่องมืออะไรช่วยเรื่อง PDPA

เครื่องมือในระบบช่วยให้ทำตามเช็กลิสต์ได้ง่ายขึ้น แต่ไม่ได้ทำให้ร้านปฏิบัติตามกฎหมายครบโดยอัตโนมัติ

ปุ่มส่งออกและลบข้อมูลใช้ได้แม้ช่วงทดลองใช้หรือแพ็กเกจหมดอายุ เครื่องมือ PDPA มีในทุกแพ็กเกจ ตั้งแต่ Mini 290 บาท Starter 590 บาท ไปจนถึง Professional 1,990 บาทต่อเดือน (ยังไม่รวม VAT 7%)

ส่วนการลบบัญชีร้านทั้งหมด ยังไม่มีปุ่มให้ทำเอง ต้องแจ้งทีมงาน ซึ่งจะดำเนินการภายใน 30 วัน ถ้าต้องการทราบรายละเอียดการจัดเก็บข้อมูลเพื่อเขียนประกาศความเป็นส่วนตัว สอบถามทีมงานได้โดยตรง และอ่านนโยบายความเป็นส่วนตัวของ Widee

ควรแจ้งลูกค้าว่ากำลังคุยกับ AI ไหม

ควรแจ้ง แม้ PDPA จะเน้นเรื่องการเก็บและใช้ข้อมูล แต่การบอกลูกค้าตรง ๆ ว่ามี AI ช่วยตอบ และลูกค้าขอคุยกับคนได้ ช่วยลดความเข้าใจผิดและลดเรื่องร้องเรียน

วิธีง่ายที่สุดคือใส่ในข้อความต้อนรับ เช่น

ตัวอย่างข้อความ: สวัสดีค่ะ ร้านใช้ระบบ AI ช่วยตอบแชทตลอด 24 ชั่วโมง ถ้าต้องการคุยกับเจ้าหน้าที่ พิมพ์ "ขอคุยกับแอดมิน" ได้เลยค่ะ อ่านวิธีที่ร้านดูแลข้อมูลของคุณได้ที่ (ลิงก์ประกาศความเป็นส่วนตัว)

ใน Widee เมื่อลูกค้าขอคุยกับคน AI จะส่งแชทต่อให้ทีมพร้อมประวัติการคุยทั้งหมด ดูรายละเอียดการตั้งค่าบน LINE ได้ในแชทบอท LINE OA และคำถามอื่นเกี่ยวกับระบบที่หน้าคำถามที่พบบ่อย

ถ้าอยากลองดูเครื่องมือเหล่านี้ในระบบจริง เริ่มทดลองใช้ฟรี ได้โดยไม่ต้องใช้บัตรเครดิต ทีมงานจะตรวจสอบและอนุมัติบัญชีก่อนเปิดใช้งาน