เรื่องความเป็นส่วนตัวไม่ควรเริ่มต้นตอนที่ผู้ใช้งานกด “ยอมรับ” บนหน้าต่าง Cookie เท่านั้น แต่ควรเริ่มตั้งแต่วินาทีแรกที่เปิดเว็บไซต์ เพราะการเข้าถึงหน้าเว็บเพียงครั้งเดียวก็อาจมีข้อมูลทางเทคนิคบางประเภทเกิดขึ้นแล้ว เช่น ประเภทอุปกรณ์ เบราว์เซอร์ เวลาที่เข้าถึง หรือข้อมูลที่ระบบต้องใช้เพื่อส่งหน้าเว็บกลับมาให้ถูกต้อง
นโยบายความเป็นส่วนตัวของ TB68 จึงมีหน้าที่อธิบายว่า ข้อมูลแบบใดอาจเกี่ยวข้องกับการใช้งาน เกิดขึ้นในสถานการณ์ไหน ใช้เพื่อวัตถุประสงค์อะไร และผู้ใช้งานมีทางเลือกอย่างไร
เราจะไม่พยายามทำให้เรื่อง Privacy ดูง่ายเกินจริง เพราะข้อมูลแต่ละประเภทมีบริบทไม่เหมือนกัน แต่ก็ไม่จำเป็นต้องใช้ภาษาซับซ้อนจนคนทั่วไปอ่านไม่รู้เรื่อง
หากต้องการดูแนวทางของเว็บไซต์ในภาพรวมก่อน สามารถอ่าน ข้อมูลเกี่ยวกับ TB68 ซึ่งอธิบายหลักการจัดเนื้อหาและความโปร่งใสของเว็บไซต์ไว้แยกต่างหาก
เวลาพูดถึง “ข้อมูลผู้ใช้งาน” หลายคนอาจนึกถึงข้อมูลที่กรอกลงในแบบฟอร์ม แต่ในความเป็นจริง ข้อมูลสามารถเกิดขึ้นจากหลายจังหวะของการใช้งาน
บางข้อมูลผู้ใช้งานเป็นคนให้โดยตรง เช่น ข้อมูลที่กรอกเมื่อใช้ฟังก์ชันบางประเภท
บางข้อมูลเกิดจากการทำงานของระบบ เช่น เบราว์เซอร์ ประเภทอุปกรณ์ ภาษา IP address หรือเวลาที่เข้าถึง
ขณะที่บางข้อมูลอาจเกิดจากการตั้งค่าหรือพฤติกรรมการใช้งาน เช่น หมวดที่เปิดบ่อย ตัวเลือกที่บันทึก หรือ Cookie ที่ช่วยให้ระบบจำการตั้งค่าบางอย่างได้
การแยกแหล่งที่มาชัดเจนช่วยให้ผู้ใช้งานเข้าใจว่า Privacy ไม่ได้มีเพียงเรื่อง “ข้อมูลส่วนตัวที่พิมพ์เอง” แต่รวมถึงข้อมูลทางเทคนิคและการตั้งค่าบางประเภทด้วย
ในบางสถานการณ์ TB68 อาจต้องรับข้อมูลจากผู้ใช้งานเพื่อดำเนินการตามคำขอหรือฟังก์ชันที่เลือกใช้
ตัวอย่างของข้อมูลประเภทนี้อาจรวมถึงชื่อ ข้อมูลสำหรับการติดต่อ หรือรายละเอียดที่ผู้ใช้งานส่งผ่านแบบฟอร์ม ทั้งนี้ประเภทข้อมูลจริงควรขึ้นอยู่กับฟังก์ชันที่เว็บไซต์เปิดใช้งานอยู่
หลักที่ควรใช้คือ เก็บเท่าที่จำเป็นต่อวัตถุประสงค์นั้น
หากฟังก์ชันหนึ่งไม่จำเป็นต้องใช้ข้อมูลบางประเภท ก็ไม่ควรขอเพียงเพราะสามารถเก็บได้
ผู้ใช้งานเองก็ควรตรวจสอบข้อมูลก่อนส่ง และไม่ควรส่งข้อมูลที่ไม่จำเป็นหรือข้อมูลของบุคคลอื่นหากไม่มีสิทธิในการดำเนินการดังกล่าว
การส่งหน้าเว็บจากเซิร์ฟเวอร์มายังอุปกรณ์จำเป็นต้องใช้ข้อมูลทางเทคนิคบางอย่าง
ข้อมูลอาจรวมถึง IP address ประเภทเบราว์เซอร์ ระบบปฏิบัติการ ประเภทอุปกรณ์ วันที่และเวลาเข้าถึง หน้าที่เปิด หรือข้อมูลเกี่ยวกับข้อผิดพลาดของระบบ
ข้อมูลประเภทนี้สามารถช่วยในหลายเรื่อง เช่น ตรวจสอบว่าหน้าใดทำงานผิดปกติ วิเคราะห์ปัญหาด้านประสิทธิภาพ ป้องกันกิจกรรมที่ผิดปกติ หรือปรับเว็บไซต์ให้ทำงานเหมาะกับอุปกรณ์แต่ละประเภท
อย่างไรก็ตาม การมีข้อมูลทางเทคนิคไม่ได้หมายความว่าควรนำไปใช้กับทุกวัตถุประสงค์โดยอัตโนมัติ
การใช้งานข้อมูลควรสัมพันธ์กับสิ่งที่เว็บไซต์แจ้งและกับความจำเป็นของบริการนั้น
แทนที่จะพูดเพียงว่า “เราใช้ข้อมูลเพื่อพัฒนาบริการ” การอธิบายเป็นสถานการณ์จะช่วยให้เข้าใจมากกว่า
ข้อมูลอาจถูกใช้เพื่อให้เว็บไซต์ทำงานตามคำขอของผู้ใช้งาน เช่น โหลดหน้าที่ต้องการ รักษาการตั้งค่าบางอย่าง หรือแก้ปัญหาเมื่อเกิดข้อผิดพลาด
ข้อมูลอีกส่วนอาจใช้เพื่อดูว่าโครงสร้างเว็บไซต์ทำงานได้ดีหรือไม่ เช่น คนหาเนื้อหาพบหรือเปล่า หน้าหนึ่งมีปัญหาบนอุปกรณ์บางประเภทหรือไม่ หรือฟังก์ชันใดเกิด Error บ่อย
ในด้านความปลอดภัย ข้อมูลบางประเภทอาจมีประโยชน์ต่อการตรวจจับพฤติกรรมที่ผิดปกติหรือการพยายามเข้าถึงระบบในลักษณะที่ไม่ได้รับอนุญาต
วัตถุประสงค์เหล่านี้ควรแยกออกจากการใช้งานด้านการตลาดหรือการปรับเนื้อหาเฉพาะบุคคล หากเว็บไซต์ใช้ข้อมูลเพื่อจุดประสงค์ดังกล่าวจริง ควรแจ้งแยกให้คนอ่านเข้าใจตรงไปตรงมา
Cookie เป็นข้อมูลขนาดเล็กที่เว็บไซต์หรือเทคโนโลยีที่เกี่ยวข้องอาจบันทึกไว้บนอุปกรณ์ เพื่อช่วยให้ระบบจำสถานะหรือการตั้งค่าบางอย่าง
Cookie ไม่ได้มีหน้าที่เดียวทั้งหมด
บางประเภทจำเป็นต่อการทำงานพื้นฐานของเว็บไซต์ เช่น การรักษาสถานะของ Session หรือการจดจำการตั้งค่าที่จำเป็น
บางประเภทอาจใช้วัดประสิทธิภาพ เช่น ดูว่าหน้าใดมีปัญหาหรือถูกเปิดบ่อย
และบางประเภทอาจเกี่ยวข้องกับการปรับประสบการณ์หรือบริการของบุคคลภายนอก
หาก TB68 ใช้ Cookie หลายประเภท หน้าแจ้ง Cookie ควรแยกวัตถุประสงค์ให้ชัด และไม่ใช้คำว่า “Cookie ทั้งหมดจำเป็น” หากในระบบจริงมีบางประเภทที่ผู้ใช้งานสามารถเลือกปิดได้
หน้าต่าง Cookie ที่มีปุ่ม “ยอมรับทั้งหมด” ขนาดใหญ่ แต่ซ่อนตัวเลือกอื่นไว้ลึกหลายชั้น อาจทำให้ผู้ใช้งานรู้สึกว่ามีทางเลือกทั้งที่ในทางปฏิบัติเลือกได้ยาก
แนวทางที่โปร่งใสกว่าคือแสดงหมวด Cookie อย่างเข้าใจง่าย พร้อมทำให้สามารถยอมรับหรือปรับการตั้งค่าตามที่ระบบรองรับได้
ถ้ามี Cookie ที่จำเป็นจริง ก็ควรอธิบายว่าเหตุใดจึงปิดไม่ได้
ถ้ามี Cookie ที่เป็นตัวเลือก ผู้ใช้งานก็ควรสามารถเปลี่ยนความตั้งใจภายหลังได้จากตำแหน่งที่หาเจอ ไม่ควรต้องล้างข้อมูลเบราว์เซอร์ทั้งหมดเพียงเพื่อเปลี่ยนการตั้งค่าหนึ่งอย่าง
เครื่องมือวิเคราะห์เว็บไซต์สามารถช่วยให้ทีมดูได้ว่าหน้าไหนโหลดช้า คนหลุดออกจากจุดใด หรือเนื้อหาประเภทไหนค้นหายาก
ข้อมูลดังกล่าวมีประโยชน์ต่อการพัฒนา UX แต่การนำเครื่องมือ Analytics มาใช้ควรมีขอบเขตชัดเจน
TB68 ควรตรวจสอบว่าเครื่องมือที่ใช้งานเก็บข้อมูลอะไร ส่งข้อมูลไปที่ใด มีการตั้งค่า Retention แบบไหน และผู้ใช้งานสามารถควบคุมส่วนใดได้บ้าง
สิ่งที่เว็บไซต์ควรหลีกเลี่ยงคือการติดเครื่องมือจำนวนมากเพียงเพราะ “เว็บไซต์อื่นก็ใช้” โดยไม่รู้ว่าข้อมูลใดกำลังถูกส่งออกไปจริง
TB68 มีเนื้อหาหลายประเภท ตั้งแต่ กีฬาออนไลน์ ไปจนถึง สล็อต และ คาสิโน
หากระบบมีฟังก์ชันบันทึกหมวดที่สนใจหรือรายการที่เปิดล่าสุด ข้อมูลดังกล่าวควรถูกใช้ในขอบเขตที่อธิบายไว้
การที่ผู้ใช้งานเปิดหน้าหนึ่งไม่ได้หมายความว่าข้อมูลนั้นควรถูกนำไปสร้างโปรไฟล์ขนาดใหญ่โดยอัตโนมัติ
หลัก Data Minimization หรือการใช้ข้อมูลเท่าที่จำเป็นช่วยลดทั้งความเสี่ยงและความซับซ้อนของระบบในระยะยาว
เว็บไซต์สมัยใหม่แทบไม่ได้ทำงานด้วยระบบของตัวเองทั้งหมด อาจมีผู้ให้บริการด้านโฮสติ้ง ความปลอดภัย Analytics ระบบส่งข้อความ หรือโครงสร้างพื้นฐานประเภทอื่นเข้ามาเกี่ยวข้อง
หากผู้ให้บริการเหล่านั้นสามารถเข้าถึงหรือประมวลผลข้อมูลในนามของ TB68 ควรมีการกำหนดบทบาทและขอบเขตให้เหมาะสม
ผู้ให้บริการไม่ควรได้รับข้อมูลมากกว่าที่จำเป็นต่อบริการที่กำลังทำ
และหากมีบริการภายนอกที่ทำงานภายใต้นโยบายของตัวเอง ผู้ใช้งานควรได้รับข้อมูลเพียงพอที่จะเข้าใจว่ากำลังออกจากบริบทของ TB68 ไปสู่บริการประเภทใด
รายละเอียดในหน้านี้ควรปรับให้ตรงกับรายชื่อผู้ให้บริการที่เว็บไซต์ใช้งานจริงก่อนเผยแพร่
บริการ Cloud หรือผู้ให้บริการเทคโนโลยีบางรายอาจมีเซิร์ฟเวอร์หรือระบบประมวลผลอยู่ต่างประเทศ
หาก TB68 มีการส่งหรือประมวลผลข้อมูลข้ามเขตประเทศจริง ควรระบุหลักการและมาตรการที่เกี่ยวข้องให้สอดคล้องกับระบบที่ใช้
ไม่ควรใส่ข้อความมาตรฐานว่า “ข้อมูลอาจถูกส่งทั่วโลก” หากเว็บไซต์ไม่ทราบว่า Data Flow จริงเป็นอย่างไร
Privacy Policy ที่ดีควรสะท้อน Architecture ของระบบจริง มากกว่าการคัดข้อความทั่วไปจากเว็บไซต์อื่น
ข้อมูลแต่ละประเภทควรมีเหตุผลในการเก็บ และเมื่อเหตุผลนั้นหมดไปก็ควรมีหลักสำหรับลบ ทำให้ไม่ระบุตัวบุคคล หรือจัดการตามกฎหมายที่เกี่ยวข้อง
Retention Period ไม่จำเป็นต้องเท่ากันทุกข้อมูล
Log ด้านความปลอดภัยอาจมีวัตถุประสงค์ต่างจากข้อมูลที่ผู้ใช้งานส่งผ่านแบบฟอร์ม และ Cookie แต่ละประเภทก็สามารถมีอายุไม่เท่ากัน
ก่อนนำหน้านี้ขึ้นจริง TB68 ควรกำหนดระยะเวลาหรือเกณฑ์การเก็บที่สอดคล้องกับระบบจริง แล้วจึงระบุลงใน Policy
การเขียนว่า “เราเก็บเท่าที่จำเป็น” ควรมีวิธีปฏิบัติภายในรองรับ ไม่ควรเป็นเพียงประโยคมาตรฐาน
TB68 ควรใช้มาตรการทางเทคนิคและการจัดการที่เหมาะสมกับลักษณะข้อมูล เช่น การควบคุมสิทธิการเข้าถึง การรักษาความปลอดภัยของการเชื่อมต่อ การดูแลระบบ และการตรวจสอบเหตุการณ์ผิดปกติ
อย่างไรก็ตาม ไม่มีระบบออนไลน์ใดสามารถรับประกันความปลอดภัยได้ 100%
นโยบายจึงไม่ควรใช้ถ้อยคำว่า “ข้อมูลปลอดภัยอย่างสมบูรณ์” หากไม่สามารถรับรองได้จริง
สิ่งที่มีประโยชน์กว่าคือการอธิบายว่าทีมให้ความสำคัญกับการลดความเสี่ยง และมีแนวทางรับมือเมื่อพบเหตุการณ์ที่อาจกระทบข้อมูล
ผู้ใช้งานเองก็ควรดูแลอุปกรณ์ รหัสผ่าน และช่องทางติดต่อของตนให้เหมาะสมเช่นกัน
เมื่อพบเหตุการณ์ที่อาจกระทบความลับ ความถูกต้อง หรือความพร้อมใช้งานของข้อมูล สิ่งแรกควรเป็นการจำกัดผลกระทบและตรวจสอบว่าเกิดอะไรขึ้น
จากนั้นจึงประเมินว่าข้อมูลประเภทใดได้รับผลกระทบ มีผู้ใช้งานเกี่ยวข้องหรือไม่ และจำเป็นต้องแจ้งบุคคลหรือหน่วยงานตามกฎหมายที่เกี่ยวข้องหรือเปล่า
ขั้นตอนจริงควรถูกกำหนดไว้ใน Incident Response ขององค์กร ไม่ใช่เริ่มคิดหลังเกิดเหตุการณ์แล้ว
แม้รายละเอียดภายในไม่จำเป็นต้องเผยแพร่ทั้งหมด แต่ผู้ใช้งานควรรู้ว่า TB68 มองการจัดการเหตุการณ์เป็นส่วนหนึ่งของการดูแลข้อมูล ไม่ใช่เรื่องที่ถูกมองข้าม
สิทธิด้านข้อมูลขึ้นอยู่กับกฎหมายที่ใช้บังคับและบริบทของข้อมูล แต่โดยหลัก ผู้ใช้งานอาจมีสิทธิสอบถาม ขอเข้าถึง ขอแก้ไข ขอจำกัดการใช้ หรือขอให้ดำเนินการกับข้อมูลของตนตามขอบเขตที่กฎหมายกำหนด
หาก TB68 จัดให้มีช่องทางสำหรับคำขอประเภทนี้ ควรอธิบายวิธีติดต่อและข้อมูลที่จำเป็นสำหรับยืนยันคำขออย่างชัดเจน
ในบางกรณีเว็บไซต์อาจไม่สามารถดำเนินการตามคำขอทั้งหมดได้ทันที เช่น เมื่อมีข้อกำหนดตามกฎหมายหรือเหตุผลด้านความปลอดภัยที่ต้องตรวจสอบเพิ่มเติม
หากเป็นเช่นนั้น ควรอธิบายเหตุผลตามที่กฎหมายอนุญาต แทนการปฏิเสธโดยไม่มีบริบท
ข้อมูลผิดเพียงหนึ่งตัวอักษรอาจสร้างปัญหาได้หากถูกนำไปใช้กับฟังก์ชันที่ต้องยืนยันข้อมูล
TB68 จึงควรมีวิธีให้ผู้ใช้งานแก้ข้อมูลที่ตนสามารถจัดการเองได้ หรือมีช่องทางขอแก้ไขเมื่อจำเป็น
ระบบไม่ควรแก้ข้อมูลที่มีผลสำคัญโดยไม่มีขั้นตอนตรวจสอบที่เหมาะสม เพราะการทำให้แก้ง่ายเกินไปก็สามารถสร้างความเสี่ยงด้านความปลอดภัยได้เช่นกัน
จุดที่ดีคือสมดุลระหว่าง ความสะดวกในการแก้ไข กับ การยืนยันว่าคำขอนั้นมาจากบุคคลที่มีสิทธิ
ผู้ใช้งานอาจมีสิทธิขอลบข้อมูลในบางสถานการณ์ แต่ข้อมูลบางประเภทอาจจำเป็นต้องเก็บต่อภายใต้ข้อกำหนดที่ใช้บังคับ ความปลอดภัย หรือการจัดการข้อพิพาท
ดังนั้น TB68 ไม่ควรเขียนว่า “กดลบแล้วข้อมูลทั้งหมดจะหายทันที” หากระบบจริงไม่สามารถทำเช่นนั้นได้
ควรอธิบายว่าคำขอลบจะได้รับการพิจารณาตามประเภทข้อมูล วัตถุประสงค์ และกฎหมายที่เกี่ยวข้อง
หากข้อมูลถูกทำให้ไม่สามารถเชื่อมโยงกลับไปยังบุคคลได้อย่างเหมาะสม สถานะทาง Privacy อาจแตกต่างจากข้อมูลที่ยังระบุตัวผู้ใช้งานได้โดยตรง
หากผู้ใช้งานส่งข้อมูลที่เกี่ยวข้องกับบุคคลอื่น ควรแน่ใจว่ามีสิทธิหรือเหตุผลที่เหมาะสมในการดำเนินการ
การที่แบบฟอร์มเปิดให้พิมพ์ข้อมูลได้ไม่ได้หมายความว่าสามารถส่งข้อมูลส่วนบุคคลของใครก็ได้
แนวทางนี้ช่วยลดการนำข้อมูลที่ไม่จำเป็นเข้ามาในระบบ และยังสอดคล้องกับหลักการเก็บข้อมูลเท่าที่จำเป็น
บริการบางประเภทอาจมีข้อจำกัดด้านอายุแตกต่างกันตามพื้นที่และกฎหมายที่ใช้บังคับ
ผู้ที่ไม่มีคุณสมบัติตามข้อกำหนดไม่ควรส่งข้อมูลหรือใช้งานบริการที่มีข้อจำกัดดังกล่าว
ก่อนเผยแพร่ Policy ฉบับจริง TB68 ควรกำหนดเกณฑ์อายุและขั้นตอนที่สอดคล้องกับบริการจริงและกฎหมายของพื้นที่เป้าหมาย ไม่ควรคัดตัวเลขอายุจากเว็บไซต์อื่นมาใช้โดยไม่มีการตรวจสอบ
รายละเอียดด้านข้อกำหนดทั่วไปสามารถอ่านเพิ่มเติมจาก ข้อตกลงและเงื่อนไข TB68
เมื่อมีพื้นที่สำหรับ รีวิวและความคิดเห็นของผู้ใช้งาน สิ่งที่เผยแพร่ไม่ควรมีข้อมูลส่วนบุคคลเกินกว่าที่จำเป็น
หากข้อความรีวิวมีเบอร์โทร อีเมล หรือรายละเอียดที่สามารถเปิดเผยบุคคลอื่นโดยไม่จำเป็น ควรมีขั้นตอนตรวจสอบก่อนเผยแพร่
หลักเดียวกันใช้กับภาพหรือข้อมูลประกอบ
การเปิดพื้นที่ให้แสดงความคิดเห็นไม่ได้ทำให้ข้อกำหนดด้าน Privacy หายไป ตรงกันข้าม เนื้อหาที่ผู้ใช้งานส่งเข้ามายิ่งควรมีขอบเขตในการจัดการชัดเจน
การเปิดอ่าน ข้อมูลโปรโมชั่นของ TB68 อาจไม่จำเป็นต้องใช้ข้อมูลประเภทเดียวกับการเข้าร่วมกิจกรรมที่ต้องยืนยันสิทธิ
หากกิจกรรมใดต้องรับข้อมูลเพิ่มเติม ควรแจ้งในบริบทของกิจกรรมนั้นว่าใช้ข้อมูลอะไรและเพื่ออะไร
ไม่ควรพึ่ง Privacy Policy ฉบับยาวเพียงหน้าเดียวแล้วถือว่าผู้ใช้งานเข้าใจวัตถุประสงค์ของทุกแบบฟอร์ม
Just-in-time Notice หรือข้อความสั้น ๆ ใกล้จุดที่ขอข้อมูลสามารถช่วยให้คนเข้าใจได้ตรงกว่ามาก
ความตั้งใจของคนสามารถเปลี่ยนได้
ผู้ใช้งานอาจเคยยอมรับ Analytics หรือ Notification แล้วภายหลังไม่ต้องการอีกต่อไป ระบบควรมีวิธีเปลี่ยนการตั้งค่าที่ชัดเจนหากกฎหมายและเทคโนโลยีที่ใช้รองรับ
การเปลี่ยนใจไม่ควรถูกออกแบบให้ยากกว่าตอนยอมรับโดยไม่มีเหตุผล
หลักนี้ช่วยสร้างความเชื่อมั่นในระยะยาว เพราะผู้ใช้งานรู้ว่ายังคงควบคุมการตั้งค่าของตัวเองได้หลังจากกดเลือกครั้งแรก
นโยบายความเป็นส่วนตัวไม่ใช่บทความ SEO ที่ควร Rewrite เป็นระยะเพียงเพื่อสร้าง Freshness
สิ่งที่ควรทำให้ Policy เปลี่ยนคือการเปลี่ยนวิธีเก็บ ใช้ ส่งต่อ หรือจัดการข้อมูลอย่างมีนัยสำคัญ รวมถึงการเปลี่ยนข้อกำหนดทางกฎหมายที่เกี่ยวข้อง
เมื่อมีการแก้ไข ควรแสดงวันที่ปรับปรุงล่าสุดอย่างชัดเจน
หากการเปลี่ยนแปลงมีผลสำคัญต่อผู้ใช้งาน อาจต้องมีวิธีแจ้งเพิ่มเติมตามบริบทและกฎหมายที่ใช้บังคับ
ในด้าน Editorial ผู้ใช้งานสามารถดูข้อมูลของ ผู้เรียบเรียงเนื้อหา TB68 เพื่อเข้าใจบทบาทของผู้ดูแลบทความ แต่รายละเอียดทาง Privacy จริงควรผ่านการตรวจจากผู้ที่รับผิดชอบระบบและข้อกำหนดด้านข้อมูลด้วย
Responsible Use ไม่ได้มีเพียงเรื่องเวลาที่อยู่บนเว็บไซต์ แต่รวมถึงการรู้ว่าตัวเองกำลังแบ่งปันข้อมูลอะไร
ไม่ควรส่งข้อมูลที่ไม่จำเป็น ไม่ควรเปิดเผยข้อมูลเข้าสู่ระบบกับบุคคลอื่น และควรตรวจสอบสิทธิของแอปหรือเบราว์เซอร์ที่ใช้งานเป็นระยะ
ผู้ที่ต้องการอ่านแนวทางด้านการควบคุมพฤติกรรมการใช้งานเพิ่มเติมสามารถดู แนวทางการใช้งานอย่างมีความรับผิดชอบ ซึ่งเป็นหน้าถัดไปในโครงสร้างข้อมูลของ TB68
Privacy Policy มีเรื่องทางเทคนิคและกฎหมายอยู่จริง แต่ผู้ใช้งานไม่ควรถูกบังคับให้รู้ศัพท์ทั้งหมดก่อนจะเข้าใจว่าข้อมูลของตัวเองเกิดอะไรขึ้น
สำหรับ TB68 หลักการที่ควรใช้มีไม่กี่ข้อแต่สำคัญมาก ได้แก่ รู้ว่าเก็บอะไร ใช้เพราะอะไร ส่งให้ใครเมื่อจำเป็น เก็บนานแค่ไหน ปกป้องอย่างไร และผู้ใช้งานสามารถทำอะไรกับข้อมูลของตนได้บ้าง
หาก Policy ตอบคำถามเหล่านี้ได้ตรงกับระบบจริง ความโปร่งใสจะเกิดจากเนื้อหาเอง โดยไม่ต้องใช้คำว่า “ปลอดภัยที่สุด” หรือ “เชื่อถือได้ 100%”
Privacy ที่มี Authority จึงไม่ได้เกิดจากภาษาทางกฎหมายที่ยาวที่สุด แต่เกิดจาก ความตรงกันระหว่างสิ่งที่นโยบายเขียนกับสิ่งที่ระบบทำจริง
อาจมีข้อมูลทางเทคนิคที่จำเป็นต่อการทำงานของเว็บ เช่น ประเภทอุปกรณ์ เบราว์เซอร์ IP address เวลาเข้าถึง หรือข้อมูล Log รวมถึงข้อมูลที่ผู้ใช้งานส่งให้โดยตรงผ่านฟังก์ชันที่เกี่ยวข้อง ทั้งนี้ควรยึดระบบจริงของเว็บไซต์เป็นหลัก
Cookie อาจใช้เพื่อให้เว็บไซต์ทำงาน จำการตั้งค่า วิเคราะห์ประสิทธิภาพ หรือรองรับบริการบางประเภท แต่แต่ละ Cookie มีวัตถุประสงค์ต่างกัน จึงควรอธิบายและจัดการตามประเภทจริงที่เว็บไซต์ใช้งาน
อาจมีผู้ให้บริการด้านโครงสร้างพื้นฐาน ความปลอดภัย หรือ Analytics เข้ามาเกี่ยวข้อง หากมีการประมวลผลข้อมูลจริง ควรกำหนดขอบเขตและเปิดเผยให้สอดคล้องกับ Data Flow ของระบบ ไม่ควรสมมติรายชื่อหรือการส่งข้อมูลที่ไม่ได้เกิดขึ้นจริง
สิทธิขึ้นอยู่กับประเภทข้อมูล บริบท และกฎหมายที่ใช้บังคับ ผู้ใช้งานอาจมีสิทธิขอเข้าถึง แก้ไข จำกัด หรือลบข้อมูลในบางกรณี โดยเว็บไซต์ควรมีขั้นตอนตรวจสอบคำขอที่เหมาะสม
ระยะเวลาควรแตกต่างตามประเภทข้อมูลและวัตถุประสงค์ ก่อนเผยแพร่นโยบายจริง เว็บไซต์ควรกำหนด Retention ที่สอดคล้องกับระบบ ไม่ควรระบุตัวเลขขึ้นเองหากยังไม่มีนโยบายภายในรองรับ
นโยบายควรได้รับการปรับปรุงเมื่อวิธีจัดการข้อมูลเปลี่ยนอย่างมีนัยสำคัญ พร้อมระบุวันที่แก้ไขล่าสุด และหากการเปลี่ยนแปลงมีผลสำคัญ อาจต้องมีการแจ้งเพิ่มเติมตามข้อกำหนดที่เกี่ยวข้อง