ตั้งแต่ปี 2018 เป็นต้นมา กฎระเบียบว่าด้วยการคุ้มครองข้อมูลส่วนบุคคลของผู้บริโภค (GDPR) ได้กำกับดูแลการคุ้มครองข้อมูลในยุโรปและประเทศทั้งหมด โดยเฉพาะอย่างยิ่ง ธุรกิจอีคอมเมิร์ซที่ดําเนินงานร้านค้าออนไลน์ควรตรวจสอบให้แน่ใจว่าได้ปฏิบัติตามข้อกําหนดจํานวนมากเมื่อประมวลผลข้อมูลส่วนบุคคล

ในบทความนี้ คุณจะได้เรียนรู้ว่าเหตุใดจึงมีการนำ GDPR มาใช้ บทบัญญัติหลักของกฎระเบียบดังกล่าวคืออะไร และมีความหมายต่อธุรกิจอีคอมเมิร์ซอย่างไร นอกจากนี้ เรายังอธิบายข้อกำหนดที่ธุรกิจต้องปฏิบัติตามเพื่อให้เป็นไปตาม GDPR และบทลงโทษที่อาจเกิดขึ้นหากไม่ปฏิบัติตาม

บทความนี้ให้ข้อมูลอะไรบ้าง

• เหตุใดจึงเริ่มมีการนำ GDPR มาใช้
  
• GDPR มีบทบัญญัติสำคัญอะไรบ้าง
  
• GDPR มีความสําคัญอย่างไรในอีคอมเมิร์ซ
  
• ธุรกิจอีคอมเมิร์ซต้องปฏิบัติตามข้อกำหนดใดบ้างเพื่อให้สอดคล้องกับระเบียบข้อบังคับ GDPR
  
• ธุรกิจต้องเผชิญกับบทลงโทษอย่างไรหากไม่สามารถปฏิบัติตาม GDPR ได้
  

เหตุใดจึงเริ่มมีการนำ GDPR มาใช้

GDPR ถูกนำมาใช้เพื่อทำให้การคุ้มครองข้อมูลเป็นมาตรฐานทั่วทั้งสหภาพยุโรป (EU) และเพื่อปรับปรุงการคุ้มครองข้อมูลส่วนบุคคลในโลกที่เป็นดิจิทัลมากขึ้น ก่อน GDPR รัฐสมาชิกของสหภาพยุโรปจะมีกฎหมายคุ้มครองข้อมูลแตกต่างกันไป ซึ่งทําให้ระดับการปกป้องแตกต่างกันอย่างมากและก่อให้เกิดความท้าทายต่อธุรกิจที่ดําเนินงานในหลายประเทศ GDPR กําหนดกรอบกฎหมายเดียวที่ใช้กับทุกประเทศในสหภาพยุโรป

วัตถุประสงค์หลักของ GDPR คือการปกป้องบุคคลในแง่ของการประมวลผลข้อมูลส่วนบุคคล ระเบียบข้อบังคับนี้มีจุดประสงค์เพื่อส่งเสริมความไว้วางใจของประชาชนในการจัดการข้อมูลของพวกเขา GDPR ช่วยให้ธุรกิจในสหภาพยุโรปดําเนินงานได้อย่างมีประสิทธิภาพมากขึ้น เนื่องจากธุรกิจจะปฏิบัติตามมาตรฐานการคุ้มครองข้อมูลในแบบเดียวกัน

การคุ้มครองข้อมูลในเยอรมนีอยู่ภายใต้กฎหมายคุ้มครองข้อมูลของรัฐบาลกลาง (BDSG) จนกระทั่งมีการประกาศใช้ GDPR พระราชบัญญัตินี้ได้รับการดัดแปลงและถือเป็นส่วนเสริมของ GDPR โดยเฉพาะในส่วนซึ่ง GDPR ให้สิทธิ์แก่รัฐสมาชิกในการใช้ดุลยพินิจ

GDPR มีบทบัญญัติสำคัญอะไรบ้าง

GDPR มีบทบัญญัติสำคัญหลายประการใน 11 บทและ 99 มาตรา ต่อไปนี้คือภาพรวมของข้อที่สําคัญที่สุด

หลักการประมวลผลข้อมูล

มาตรา 5 ของ GDPR ควบคุมหลักการในการประมวลผลข้อมูลส่วนบุคคล นอกเหนือจากข้อกําหนดอื่นๆ แล้ว ข้อมูลจะต้อง:

• ประมวลผลอย่างถูกต้องตามกฎหมายและโปร่งใสสําหรับเจ้าของข้อมูล
  
• เก็บรวบรวมและประมวลผลตามวัตถุประสงค์ที่ระบุไว้ ชัดเจน และชอบด้วยกฎหมาย
  
• ประมวลผลตามขอบเขตที่จําเป็นสําหรับวัตถุประสงค์นั้นเท่านั้น
  
• เป็นปัจจุบันและถูกต้อง
  
• ได้รับการลบ หากไม่จําเป็นต้องใช้เพื่อการประมวลผลข้อมูลอีกต่อไป
  
• ได้รับการปกป้องด้วยมาตรการทางเทคนิคและมาตรการด้านการจัดการ เพื่อป้องกันการเข้าถึง การสูญเสีย หรือการทําลายโดยไม่ได้รับอนุญาต
  

ความชอบด้วยกฎหมายของการประมวลผล

มาตรา 6 ของ GDPR กําหนดว่าข้อมูลสามารถประมวลผลได้ก็ต่อเมื่อเป็นไปตามหนึ่งในฐานกฎหมายต่อไปนี้เท่านั้น

• คํายินยอมจากเจ้าของข้อมูล
  
• สัญญากับเจ้าของข้อมูล
  
• การประมวลผลมีความจําเป็นต่อการปฏิบัติตามหน้าที่ตามกฎหมาย
  
• การประมวลผลมีความจําเป็นต่อการปกป้องผลประโยชน์ที่สําคัญของเจ้าของข้อมูลหรือของบุคคลธรรมดา
  
• การประมวลผลมีความจําเป็นต่อประสิทธิภาพของงานที่ดำเนินการเพื่อประโยชน์สาธารณะ
  
• การประมวลผลมีความจำเป็นเพื่อปกป้องผลประโยชน์ที่ถูกต้องตามกฎหมายของผู้ควบคุมหรือบุคคลที่สาม เว้นแต่ผลประโยชน์หรือสิทธิพื้นฐานของเจ้าของข้อมูลจะสำคัญกว่า
  

สิทธิ์ของเจ้าของข้อมูล

บทที่ 3 ของ GDPR ควบคุมสิทธิ์ต่างๆ ของเจ้าของข้อมูลเกี่ยวกับการจัดการข้อมูลของตน

• เจ้าของข้อมูลมีสิทธิ์ทราบเกี่ยวกับข้อมูลส่วนบุคคลที่จัดเก็บไว้ วิธีการประมวลผล และแชร์ข้อมูลส่วนบุคคล (มาตรา 15 ของ GDPR)
  
• ต้องแก้ไขข้อมูลส่วนบุคคลที่ไม่ถูกต้องหรือไม่สมบูรณ์ตามคําขอของเจ้าของข้อมูล (มาตรา 16 ของ GDPR)
  
• เจ้าของข้อมูลสามารถขอให้ลบข้อมูล (มาตรา 17 ของ GDPR) ของตนเองได้
  
• เจ้าของข้อมูลมีสิทธิ์รับข้อมูลจากผู้ควบคุมข้อมูลในรูปแบบที่มีโครงสร้าง นิยมใช้ทั่วไป และอ่านได้โดยเครื่อง (มาตรา 20 ของ GDPR)
  
• เจ้าของข้อมูลสามารถคัดค้านการประมวลผลข้อมูลของตนด้วยเหตุผลบางอย่าง โดยเฉพาะอย่างยิ่งการประมวลผลเพื่อจุดประสงค์ด้านการตลาดทางตรง (มาตรา 21 ของGDPR)
  

ความรับผิดชอบของผู้ควบคุม

บทที่ 4 ระบุภาระหน้าที่ของผู้ควบคุมและผู้ประมวลผลข้อมูล ซึ่งรวมถึงภาระผูกพันดังต่อไปนี้

• ผู้ควบคุมต้องตรวจสอบให้แน่ใจว่าผู้ที่ประมวลผลข้อมูลส่วนบุคคลในนามของตนปฏิบัติตามข้อกําหนด GDPR (มาตรา 28 ของ GDPR)
  
• ผู้ที่รับผิดชอบต่อการละเมิดข้อมูลจะต้องรายงานต่อหน่วยงานกำกับดูแลที่มีอำนาจภายใน 72 ชั่วโมง หากส่งผลให้เกิดความเสี่ยงต่อสิทธิและเสรีภาพของบุคคล (มาตรา 33 ของ GDPR)
  
• สําหรับการประมวลผลข้อมูลบางประเภทที่มีความเสี่ยงสูงต่อสิทธิ์และเสรีภาพของเจ้าของข้อมูล ผู้ควบคุมต้องดําเนินการประเมินผลกระทบด้านการคุ้มครองข้อมูล (มาตรา 35 ของ GDPR)
  

GDPR มีความสําคัญอย่างไรในอีคอมเมิร์ซ

GDPR มีความสําคัญอย่างยิ่งต่อธุรกิจอีคอมเมิร์ซ เนื่องจากธุรกิจเหล่านี้ประมวลผลข้อมูลส่วนบุคคลจํานวนมาก ข้อมูลของลูกค้า เช่น ชื่อ ที่อยู่ รายละเอียดการชําระเงิน และประวัติคําสั่งซื้อเป็นสิ่งสําคัญต่อการดําเนินการของร้านค้าออนไลน์ ซึ่งหมายความว่า GDPR จะส่งผลสําคัญต่อการออกแบบและกรอบกฎหมายของโมเดลธุรกิจอีคอมเมิร์ซ

การจัดการข้อมูลส่วนบุคคลในร้านค้าออนไลน์อย่างไม่ใส่ใจอาจส่งผลให้เกิดการละเมิดการคุ้มครองข้อมูล ข้อพิพาททางกฎหมาย การลงโทษทางกฎระเบียบ และความเสียหายต่อภาพลักษณ์ของธุรกิจ จึงเป็นเหตุผลที่ผู้ให้บริการร้านค้าออนไลน์ต้องทำความคุ้นเคยกับ GDPR และภาระหน้าที่จากข้อกฎหมายนี้

ตัวอย่างเช่น เราไม่อนุญาตให้ธุรกิจรวบรวมหมายเลขโทรศัพท์หากไม่จําเป็นสำหรับการสั่งซื้อและจัดส่งสินค้า โดยสามารถรวบรวมเฉพาะข้อมูลที่จำเป็นสำหรับการจัดส่งและชำระเงินสินค้าที่สั่งซื้อเท่านั้น

ในทํานองเดียวกัน ข้อมูลการตลาด เช่น ที่อยู่อีเมลสําหรับจดหมายข่าว อาจถูกเก็บรวบรวมและใช้เฉพาะเมื่อได้รับคํายินยอมแบบชัดแจ้งของลูกค้าเท่านั้น ข้อมูลบัตรเครดิตควรถูกเก็บไว้เฉพาะเท่าที่จำเป็นสำหรับการดำเนินการชำระเงินให้เสร็จสมบูรณ์เท่านั้น อาจมีการเก็บรวบรวมข้อมูลวันเกิด ในกรณีที่จําเป็นต่อการยืนยันอายุเท่านั้น เช่น เมื่อจําหน่ายสินค้าที่มีการจํากัดอายุ ดูข้อมูลเพิ่มเติมเกี่ยวกับการชําระเงินสําหรับอีคอมเมิร์ซ

ธุรกิจอีคอมเมิร์ซต้องปฏิบัติตามข้อกำหนดใดบ้างเพื่อให้สอดคล้องกับระเบียบข้อบังคับ GDPR

ธุรกิจอีคอมเมิร์ซจะต้องปฏิบัติตามข้อกําหนดต่างๆ ของ GDPR ซึ่งส่วนใหญ่มาจากสิทธิ์ของเจ้าของข้อมูลดังที่กล่าวไปข้างต้น (บทที่ 3 ของ GDPR) และภาระหน้าที่ของผู้ควบคุมข้อมูล (บทที่ 4 ของ GDPR)

นโยบายความเป็นส่วนตัว

ธุรกิจอีคอมเมิร์ซต้องระบุนโยบายความเป็นส่วนตัวที่ครอบคลุม นอกจากนี้ยังต้องอธิบายอย่างโปร่งใสและครอบคลุมว่าข้อมูลส่วนบุคคลใดบ้างที่เก็บรวบรวม เพื่อวัตถุประสงค์ในการประมวลผลข้อมูล และเจ้าของข้อมูลมีสิทธิ์อย่างไรบ้าง นโยบายความเป็นส่วนตัวจะต้องค้นหาได้ง่าย (เช่น ในส่วนท้ายของเว็บไซต์ หรือเป็นลิงก์โดยตรงเมื่อเข้าถึงหน้านั้น) มาตรา 13 ของ GDPR จะแสดงรายการข้อมูลทั้งหมดที่จําเป็นในการประกาศเกี่ยวกับการคุ้มครองข้อมูลตามข้อกําหนด GDPR โดยจะประกอบด้วยรายละเอียดต่อไปนี้

• ชื่อและรายละเอียดการติดต่อของผู้ควบคุมข้อมูล
  
• ชื่อและรายละเอียดการติดต่อของเจ้าหน้าที่คุ้มครองข้อมูล (หากมี)
  
• ฐานกฎหมายและวัตถุประสงค์ของการประมวลผลข้อมูลส่วนบุคคล
  
• ข้อบ่งชี้ถึงผลประโยชน์ที่ถูกต้องตามกฎหมายของผู้ควบคุม หากการประมวลผลข้อมูลขึ้นอยู่กับผลประโยชน์ดังกล่าว (ดูมาตรา 1(1)(f) ของ GDPR)
  
• ผู้รับข้อมูลส่วนบุคคลในกรณีที่มีการเปิดเผยข้อมูล
  
• ระยะเวลาในการจัดเก็บข้อมูล
  
• สิทธิ์ของเจ้าของข้อมูล รวมถึงสิทธิ์ในการเข้าถึง การแก้ไข การลบ การคัดค้าน การเพิกถอน และการจำกัดการประมวลผลข้อมูล
  
• คําอธิบายผลที่ตามมาของการไม่มอบข้อมูลส่วนบุคคล
  

นโยบายคุกกี้

การประมวลผลข้อมูลส่วนบุคคลที่ไม่จำเป็นต่อการปฏิบัติตามสัญญาจำเป็นต้องได้รับความยินยอมจากผู้ใช้ สิ่งนี้มีผลโดยเฉพาะกับการใช้คุกกี้ ซึ่งเป็นไฟล์ข้อความที่จัดเก็บชั่วคราวในเบราว์เซอร์ของผู้ใช้ คุกกี้ที่จำเป็นทางเทคนิคจะถูกใช้เพื่อแสดงภาษาที่เหมาะสมของเว็บไซต์สำหรับผู้ใช้หรือเพื่อจัดเก็บเนื้อหาในรถเข็นสินค้า

คุกกี้เป็นสิ่งจําเป็นสําหรับการทํางานที่เหมาะสมของเว็บไซต์และจะใช้ในการสร้างโปรไฟล์ผู้ใช้สําหรับการโฆษณาส่วนบุคคล ซึ่งอาจมีความสําคัญอย่างยิ่งในบางกรณี เนื่องจากระบบจะจัดเก็บข้อมูลทางสถิติและข้อมูลส่วนบุคคลไว้ ด้วยเหตุนี้ ผู้ใช้จะต้องได้รับโอกาสในการให้ความยินยอมต่อการจัดเก็บและการประมวลผลคุกกี้ "แบนเนอร์คุกกี้" อย่างง่ายนั้นเพียงพอแล้ว ในกรณีที่มีเฉพาะตัวเลือกในการปฏิเสธหรือปรับการตั้งค่าคุกกี้เท่านั้น

มาตรการทางเทคนิคและด้านองค์กร

ดังนั้น ร้านค้าออนไลน์ต้องระมัดระวังด้านความปลอดภัยทางเทคนิค เพื่อปกป้องข้อมูลส่วนบุคคลจากการเข้าถึงของบุคคลที่สาม ซึ่งรวมถึงการเข้ารหัสสําหรับการรับส่งข้อมูล เช่น ผ่าน hypertext transfer protocol secure (HTTPS) (มาตรา 32 ของ GDPR) ซึ่งต้องใช้ใบรับรอง Secure Sockets Layer (SSL) หรือการส่งผ่านเลเยอร์ (TLS) ร้านค้าออนไลน์จะต้องตรวจสอบแน่ใจว่าข้อมูลส่วนบุคคลได้รับการจัดเก็บไว้อย่างปลอดภัย (เช่น ในฐานข้อมูลที่เข้ารหัส) การสํารองข้อมูลยังมีผลบังคับใช้ด้วย

คํายินยอมสําหรับข้อเสนอด้านการโฆษณาและข้อมูล

ไม่สามารถใช้ที่อยู่อีเมลของลูกค้าเพื่อส่งจดหมายข่าว โฆษณา หรือข้อเสนอข้อมูลโดยอัตโนมัติ แต่จะต้องขอคํายินยอมจากลูกค้าที่ใช้งานอยู่ก่อน เมื่อ GDPR มีผลใช้บังคับ ก็จำเป็นจะต้องมีการยืนยันแบบสองขั้นตอนตามมาตรา 7 และมาตรา 8 ของข้อบังคับ คำว่า "Opt-in" สามารถแปลได้อย่างคลุมเครือว่า "การตัดสินใจในเรื่องใดเรื่องหนึ่ง" หรือ "การเลือก" การยินยอมแบบสองขั้นตอนจะกำหนดให้ลูกค้าต้องยืนยันสองครั้ง โดยจะต้องถามลูกค้าก่อนว่าต้องการรับจดหมายข่าวหรือไม่ หากได้รับการยืนยันโดยการลงทะเบียนและการส่งอีเมลที่เกี่ยวข้อง ขั้นตอนที่สองจะตามมา นั่นคือ ธุรกิจต่างๆ จะต้องส่งลิงก์ยืนยันที่ต้องคลิกเพื่อเปิดใช้งานข้อเสนอ

ข้อตกลงด้านการประมวลผลข้อมูล

หากผู้ให้บริการภายนอกประมวลผลข้อมูลส่วนบุคคลจากร้านค้าออนไลน์ จะต้องมีข้อตกลงการประมวลผลข้อมูล นี่เป็นข้อกําหนดบังคับสําหรับการโอนข้อมูลไปยังบุคคลที่สาม ข้อตกลงการคุ้มครองข้อมูลทําให้บุคคลที่สามต้องปฏิบัติตาม GDPR ด้วย ผู้ให้บริการทั่วไปสําหรับร้านค้าออนไลน์ คือผู้ให้บริการชําระเงินหรือผู้ให้บริการระบบคลาวด์ และโซลูชันการให้บริการซอฟต์แวร์ (SaaS)

นี่คือส่วนที่ Stripe Checkout ช่วยคุณได้ เนื่องจากมีแบบฟอร์มการชําระเงินสําเร็จรูปที่ช่วยให้ขั้นตอนการชําระเงินดําเนินไปอย่างราบรื่น คุณสามารถผสานการทํางาน Checkout เข้ากับเว็บไซต์หรือเปลี่ยนเส้นทางลูกค้าไปยังหน้าเว็บในระบบของ Stripe นอกจากนี้ คุณยังรับชําระเงินหรือชําระเงินตามรอบบิลได้อย่างง่ายดาย ปลอดภัย และเป็นไปตาม GDPR

การแต่งตั้งเจ้าหน้าที่คุ้มครองข้อมูล

ตามมาตรา 37 ของ GDPR ระบุว่า การแต่งตั้งเจ้าหน้าที่คุ้มครองข้อมูลสําหรับร้านค้าออนไลน์นั้นเป็นสิ่งจําเป็นภายใต้เงื่อนไขบางอย่าง โดยบุคคลนี้จะตรวจสอบการปฏิบัติตาม GDPR และทำหน้าที่เป็นผู้ติดต่อสำหรับหน่วยงานกำกับดูแลและเจ้าของข้อมูล

ธุรกิจต้องเผชิญกับบทลงโทษอย่างไรหากไม่สามารถปฏิบัติตาม GDPR ได้

ตามมาตรา 83 ของ GDPR ระบุว่าธุรกิจอาจต้องชำระค่าปรับจํานวนมากหากฝ่าฝืนกฎการคุ้มครองข้อมูล มูลค่าดังกล่าวอาจสูงถึง 20 ล้านยูโรหรือ 4% ของยอดขายรวมประจำปีทั่วโลกของธุรกิจ ตัวอย่างเช่น การปกปิดผู้ส่งหรือลักษณะเชิงพาณิชย์ของข้อความโดยเจตนา โดยรู้ หรือโดยประมาทเลินเล่อ ถือเป็นความผิดทางปกครอง เช่นเดียวกับการเก็บรวบรวม การประมวลผล หรือการจัดเก็บข้อมูลส่วนบุคคลอย่างฝ่าฝืนกฎหมาย นอกจากนี้เจ้าของข้อมูลจะต้องได้รับแจ้งเกี่ยวกับการเก็บรวบรวมข้อมูลเสมอ