เว็บที่สร้างด้วย AI ต้องทำ PDPA ไหม? เก็บข้อมูลผู้ใช้ยังไงให้ถูกต้อง ตั้งแต่ privacy policy ถึง cookie

ต้องทำ ถ้าเว็บหรือแอปของคุณเก็บข้อมูลที่ระบุตัวคนได้ เช่น ชื่อ อีเมล เบอร์โทร LINE ID หรือข้อมูลการใช้งานที่ผูกกับตัวคน กฎหมาย PDPA ไม่ได้สนใจว่าโค้ดเขียนเองหรือให้ AI เขียน สนใจแค่ว่าคุณเก็บข้อมูลอะไร เอาไปใช้ทำอะไร และดูแลมันยังไง ข่าวดีคือถ้าออกแบบตั้งแต่ต้นให้เก็บข้อมูลน้อยที่สุด ภาระเรื่องนี้จะเบาลงเยอะมาก

ปัญหาของคนทำเว็บด้วย Claude Code, Codex หรือ Cursor คือ AI มักใส่ form สมัครสมาชิก ระบบ login หรือ analytics มาให้เองโดยไม่ถาม เราเห็นว่าทำงานได้ก็ deploy เลย จนลืมไปว่าตอนนี้เรากลายเป็นคนถือข้อมูลของคนอื่นแล้ว บทความนี้จะพาไล่ดูว่าต้องเช็กอะไร ต้องเขียนอะไรบ้าง และจะสั่ง AI ยังไงให้ช่วยงานส่วนนี้ได้

PDPA คืออะไร และเกี่ยวกับเว็บเล็ก ๆ ของเราแค่ไหน

PDPA คือ พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ใช้กับทุกคนที่เก็บ ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลของคนในประเทศไทย ไม่ได้ยกเว้นให้เว็บเล็กหรือโปรเจกต์ส่วนตัวที่เปิดให้คนอื่นใช้ ถ้าคุณเปิดเว็บให้คนทั่วไปเข้ามากรอกข้อมูล คุณคือ "ผู้ควบคุมข้อมูลส่วนบุคคล" ทันที

ข้อมูลส่วนบุคคลกว้างกว่าที่หลายคนคิด ไม่ใช่แค่ชื่อกับเลขบัตรประชาชน แต่รวมถึง

• อีเมล เบอร์โทร ที่อยู่จัดส่ง
• LINE user ID หรือ account จาก social login
• IP address และ cookie ที่ใช้ติดตามคนได้
• รูปถ่ายที่เห็นหน้าคน
• ประวัติการสั่งซื้อหรือการใช้งานที่ผูกกับบัญชี

ส่วนข้อมูลอย่างศาสนา สุขภาพ ประวัติอาชญากรรม หรือข้อมูลชีวภาพ ถือเป็นข้อมูลอ่อนไหว ต้องขอความยินยอมแบบชัดแจ้งและดูแลเข้มกว่าปกติ ถ้าไม่จำเป็นจริงอย่าเก็บเลยดีที่สุด

หมายเหตุ บทความนี้เป็นแนวทางเบื้องต้นสำหรับคนทำเว็บ ไม่ใช่คำปรึกษาทางกฎหมาย ถ้าธุรกิจของคุณเก็บข้อมูลจำนวนมากหรือข้อมูลอ่อนไหว ควรปรึกษาผู้เชี่ยวชาญโดยตรง

เช็กก่อน เว็บของคุณเก็บข้อมูลอะไรอยู่บ้าง

ขั้นแรกที่สำคัญที่สุดคือรู้ให้ได้ก่อนว่าเว็บของเราเก็บอะไร หลายคนตอบไม่ได้เพราะ AI เป็นคนเขียนโค้ด วิธีง่ายที่สุดคือถาม AI ตัวเดิมนั่นแหละ ลองใช้ prompt แบบนี้

"อ่านโค้ดทั้งโปรเจกต์ แล้วทำตารางว่าเว็บนี้เก็บข้อมูลอะไรของผู้ใช้บ้าง เก็บที่ไหน (database, local storage, cookie, third party) ส่งไปให้บริการภายนอกตัวไหน และเก็บไว้นานแค่ไหน"

ผลที่ได้มักทำให้แปลกใจ เช่น มี analytics script ที่ไม่รู้ว่าใส่ไว้ตั้งแต่เมื่อไร มี error tracking ที่ส่ง IP ออกไป หรือ form ติดต่อที่เก็บอีเมลไว้ใน database โดยไม่มีใครเปิดดู ตารางนี้จะเป็นวัตถุดิบหลักในการเขียน privacy policy ต่อไป

3 แบบของการเก็บข้อมูล ภาระ PDPA ต่างกันมาก

เว็บที่สร้างด้วย AI ส่วนใหญ่จะตกอยู่ใน 1 ใน 3 แบบนี้ และแต่ละแบบต้องเตรียมตัวไม่เท่ากัน

เห็นได้ว่ายิ่งเก็บน้อย งานยิ่งน้อย นี่คือเหตุผลที่หลักการ "เก็บเท่าที่จำเป็น" ไม่ได้เป็นแค่เรื่องกฎหมาย แต่ช่วยให้คนทำคนเดียวดูแลเว็บได้ง่ายขึ้นด้วย

ตัวอย่างผลงานที่ออกแบบให้เก็บข้อมูลน้อย

ในแอปเทพมีผลงานหลายชิ้นที่เลือกทางนี้อย่างชัดเจน

PigPrep เป็นเครื่องมือย่อ แปลง และใส่โลโก้รูปภาพครั้งละ 1 ถึง 50 รูป ระบบระบุว่าไม่เก็บรูป ซึ่งตรงกับความกังวลของพ่อค้าแม่ค้าหรือ content creator ที่ต้องอัปโหลดรูปสินค้าหรือรูปงานจำนวนมาก การบอกไว้ชัดแบบนี้ช่วยให้คนกล้าใช้มากขึ้น

iteee-memo เป็นแอปบันทึกรายรับรายจ่ายที่อ่านและเขียนข้อมูลใน Cache ของ Browser แทนการเก็บบน Server ผู้ใช้สำรองข้อมูลเป็นไฟล์ .bin ที่เข้ารหัส AES-256 แล้วโหลดกลับมาใช้ภายหลังได้ โดยต้องจำรหัสผ่านของไฟล์เอง ข้อมูลการเงินเป็นเรื่องส่วนตัวมาก การให้ผู้ใช้ถือข้อมูลเองจึงเป็นทางเลือกที่น่าสนใจ แต่ก็ต้องสื่อสารให้ชัดว่าถ้าลืมรหัสผ่านก็กู้คืนไม่ได้

ไทยช่วยไทย พลัส 60/40 คำนวณวงเงินที่ใช้ได้แต่ละวันและติดตามสิทธิ์คงเหลือ โดยบันทึกรายการและยอดวงเงินไว้ใน local storage พร้อมรองรับ PWA เป็นตัวอย่างของเครื่องมือที่ใช้งานได้ครบโดยไม่ต้องมีบัญชีผู้ใช้

Fuxian Teleprompter เลื่อนบทพูดตามเสียงภาษาไทย ใช้งานได้ฟรีโดยไม่ต้องสมัครสมาชิก การไม่มีระบบสมาชิกตั้งแต่แรกตัดเรื่องการเก็บอีเมลและรหัสผ่านออกไปได้ทั้งหมด

เมื่อจำเป็นต้องเก็บข้อมูลบน server

แน่นอนว่าบางงานหลีกเลี่ยงไม่ได้ Audit AI Reconciliation เป็นต้นแบบระบบกระทบยอดเงินที่ตรวจรายการจาก CSV และ Excel มีขั้นตอนชี้แจง อนุมัติ และบันทึกความเสียหาย โดยใช้ Supabase เป็น backend งานแบบนี้ข้อมูลต้องอยู่บน server เพื่อให้หลายคนทำงานร่วมกันได้ ถ้าจะนำไปใช้กับข้อมูลจริง สิ่งที่ต้องคิดเพิ่มคือใครเข้าถึงข้อมูลได้บ้าง และไฟล์ที่อัปโหลดมามีข้อมูลส่วนบุคคลของใครอยู่หรือเปล่า

อีกตัวอย่างคือ Landy AI ที่ช่วยนายหน้าจัดเก็บและค้นหาข้อมูลอสังหาริมทรัพย์ผ่าน LINE และสร้างเว็บส่วนตัวอัตโนมัติ งานที่ผูกกับ LINE แบบนี้ต้องคิดเรื่องข้อมูลบัญชี LINE ของผู้ใช้ และข้อมูลที่ผู้ใช้พิมพ์เล่าเข้ามา ซึ่งอาจมีชื่อหรือเบอร์ของเจ้าของทรัพย์ปนอยู่

สิ่งที่ต้องมีถ้าเว็บเก็บข้อมูลบน server

1. Privacy policy ที่อ่านแล้วเข้าใจ

privacy policy หรือประกาศความเป็นส่วนตัว ควรตอบคำถามเหล่านี้ให้ครบ

• เก็บข้อมูลอะไรบ้าง
• เก็บไปเพื่ออะไร และใช้ฐานทางกฎหมายข้อไหน เช่น ความยินยอม หรือจำเป็นต่อการให้บริการตามสัญญา
• ส่งต่อให้ใครบ้าง เช่น ผู้ให้บริการ hosting, database, ระบบชำระเงิน, AI API
• เก็บไว้นานแค่ไหน
• ผู้ใช้มีสิทธิ์อะไร เช่น ขอดู ขอแก้ ขอลบ ขอถอนความยินยอม
• ติดต่อใครได้ถ้ามีคำถาม

AI ช่วยร่างได้ดีมาก แต่ต้องป้อนข้อมูลจริงให้ ใช้ตารางที่ได้จากขั้นตอนเช็กข้อมูลก่อนหน้านี้แล้วสั่งว่า "ร่าง privacy policy ภาษาไทยจากตารางนี้ ใช้ภาษาง่าย ห้ามใส่ข้อมูลที่ไม่มีในตาราง" อย่าก๊อป privacy policy ของเว็บอื่นมาทั้งดุ้น เพราะมักเขียนถึงสิ่งที่เว็บเราไม่ได้ทำ หรือไม่ได้พูดถึงสิ่งที่เราทำจริง

2. Cookie consent เฉพาะเมื่อจำเป็น

ไม่ใช่ทุกเว็บต้องมี cookie banner cookie ที่จำเป็นต่อการทำงาน เช่น session ตอน login ไม่ต้องขอความยินยอม แต่ถ้าใส่ analytics ที่ติดตามคน หรือ pixel โฆษณา ควรขอความยินยอมก่อนโหลด script และต้องมีปุ่มปฏิเสธที่กดง่ายพอ ๆ กับปุ่มยอมรับ

จุดที่ AI ทำพลาดบ่อยคือสร้าง banner ให้สวยงาม แต่ script analytics โหลดไปแล้วตั้งแต่ก่อนผู้ใช้กดอะไร ต้องสั่งให้ชัดว่า "ห้ามโหลด analytics script จนกว่าผู้ใช้จะกดยอมรับ" แล้วเปิด DevTools ดูแท็บ Network ด้วยตัวเองว่าเป็นอย่างนั้นจริง

3. ช่องทางให้ผู้ใช้ขอลบข้อมูล

อย่างน้อยต้องมีอีเมลหรือ form ให้ติดต่อขอลบข้อมูลได้ ถ้ามีระบบสมาชิก ปุ่ม "ลบบัญชี" ในหน้าตั้งค่าจะดีที่สุด และต้องลบจริงใน database ไม่ใช่แค่ซ่อนบัญชี ถ้ามี backup ก็ต้องรู้ว่าข้อมูลใน backup จะหายไปเมื่อไร

4. มาตรการความปลอดภัยพื้นฐาน

PDPA กำหนดให้ผู้ควบคุมข้อมูลต้องมีมาตรการรักษาความปลอดภัยที่เหมาะสม สำหรับเว็บที่สร้างด้วย AI เรื่องที่ต้องเช็กเสมอคือ

• เปิดใช้ Row Level Security หรือกฎสิทธิ์ของ database ให้ผู้ใช้เห็นแค่ข้อมูลของตัวเอง
• ไม่ฝัง API key หรือ service key ไว้ในโค้ดฝั่งหน้าเว็บ
• ไม่ log ข้อมูลส่วนบุคคลเต็ม ๆ ลงใน console หรือ server log
• ใช้ HTTPS ทุกหน้า ซึ่ง hosting ส่วนใหญ่ให้มาอยู่แล้ว

ถ้าเกิดข้อมูลรั่ว กฎหมายกำหนดให้ต้องแจ้งสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลภายใน 72 ชั่วโมงนับจากรู้เหตุในกรณีที่มีความเสี่ยงต่อสิทธิของเจ้าของข้อมูล การรู้ว่าเก็บอะไรไว้ที่ไหนจะช่วยให้ประเมินความเสียหายได้เร็ว

ข้อควรระวังเมื่อส่งข้อมูลผู้ใช้ไปให้ AI API

เว็บยุคนี้หลายตัวเรียก Claude หรือ Gemini API เพื่อสรุปข้อความ ตอบแชต หรือวิเคราะห์ไฟล์ ถ้าข้อความที่ส่งไปมีข้อมูลส่วนบุคคลของผู้ใช้ นั่นคือการส่งต่อข้อมูลให้บุคคลที่สาม ซึ่งควรระบุไว้ใน privacy policy

วิธีลดความเสี่ยงที่ทำได้ง่าย

• ตัดชื่อ เบอร์โทร หรือเลขบัตรออกก่อนส่ง ถ้างานนั้นไม่จำเป็นต้องใช้
• อ่านนโยบายของผู้ให้บริการ API ว่าเก็บข้อมูลไว้นานแค่ไหน และเอาไปใช้ฝึกโมเดลหรือไม่
• บอกผู้ใช้ตรง ๆ ในหน้าเว็บว่าข้อความที่พิมพ์จะถูกส่งไปประมวลผลด้วย AI

สั่ง AI ให้ช่วยงาน PDPA ยังไง

สรุปเป็นลำดับ prompt ที่ใช้ได้กับ Claude Code, Codex หรือ Cursor

1. ให้ AI ทำตารางข้อมูลที่เว็บเก็บ ตามตัวอย่าง prompt ด้านบน
2. ถามต่อว่า "ข้อมูลไหนในตารางนี้ที่ตัดออกได้โดยไม่กระทบฟีเจอร์หลัก" แล้วตัดทิ้งจริง
3. ให้ร่าง privacy policy จากตารางที่เหลือ
4. ให้ทำ cookie consent ที่บล็อก script จนกว่าจะยอมรับ ถ้ามี analytics
5. ให้เพิ่มปุ่มลบบัญชีหรือช่องทางขอลบข้อมูล
6. ให้ตรวจสิทธิ์การเข้าถึง database และหา key ที่หลุดอยู่ในโค้ดฝั่งหน้าเว็บ

ทุกขั้นต้องเปิดดูผลด้วยตัวเองอีกรอบ AI ช่วยร่างและเขียนโค้ดได้เร็ว แต่คนที่รับผิดชอบตามกฎหมายคือเจ้าของเว็บ ไม่ใช่ AI

สรุป

เว็บที่สร้างด้วย AI ต้องทำตาม PDPA เหมือนเว็บทั่วไปทุกอย่าง แต่ภาระจะมากหรือน้อยขึ้นกับการออกแบบ ถ้าเลือกประมวลผลในเบราว์เซอร์ เก็บข้อมูลในเครื่องผู้ใช้ หรือไม่มีระบบสมาชิกเลย งานด้านนี้แทบเหลือแค่การบอกผู้ใช้ให้ชัด แต่ถ้าต้องมี database ก็ต้องมี privacy policy ระบบขอลบข้อมูล และมาตรการความปลอดภัยที่ใช้ได้จริง เริ่มจากถามตัวเองก่อนเขียนฟีเจอร์ใหม่ทุกครั้งว่า "ข้อมูลนี้จำเป็นต้องเก็บไหม" คำถามเดียวนี้ช่วยลดงานไปได้มากกว่าครึ่ง

ถ้าอยากดูไอเดียว่าคนไทยออกแบบเว็บและแอปที่สร้างด้วย AI กันยังไง ลองเข้าไปดูผลงานกว่า 2,431 รายการในแอปเทพได้