คุกกี้เว็บไซต์ต้องขอความยินยอมไหม ตรวจทั้งแบนเนอร์และการทำงานจริง

คุกกี้เว็บไซต์ PDPA ไม่ควรเริ่มที่เลือกสีแบนเนอร์ เว็บอาจมีปุ่มปฏิเสธแต่ยังส่งข้อมูลเข้าเครื่องมือโฆษณาทันทีที่เปิดหน้า หรือมีคุกกี้จำเป็นถูกปิดจนเข้าสู่ระบบไม่ได้ การตรวจจึงต้องทำทั้งข้อความที่คนเห็นและข้อมูลที่เบราว์เซอร์ส่งจริง

สถานการณ์ที่ต้องแยกก่อนตัดสินใจ

กรณีต่อไปนี้เป็นตัวอย่างสมมติ ใช้อธิบายความแตกต่างของข้อเท็จจริง ไม่ใช่ข้อมูลลูกความหรือคำพิพากษา

• เว็บไซต์ใช้คุกกี้รักษาสถานะเข้าสู่ระบบ ต้องประเมินความจำเป็นและฐานตามบริการ ไม่เหมาว่าทุกคุกกี้ต้องใช้ความยินยอม
• เว็บติดพิกเซลโฆษณาที่เริ่มทำงานก่อนผู้ใช้กดเลือก หากใช้ฐานความยินยอมต้องแก้การเริ่มทำงานให้ตรง
• ผู้ใช้ถอนผ่านเมนูแล้วแต่แท็กจากระบบจัดการโฆษณายังส่งข้อมูลต่อ ต้องทดสอบการเชื่อมต่อทุกส่วนที่ใช้สถานะนั้น

เริ่มแก้ปัญหาตามลำดับใด

สำรวจรายการคุกกี้และตัวติดตามพร้อมผู้รับ ระบุข้อมูล วัตถุประสงค์และฐาน แยกสิ่งจำเป็นกับทางเลือก ออกแบบคำแจ้งและการเลือก จากนั้นทดสอบก่อนยอมรับ หลังปฏิเสธและหลังถอนด้วยอุปกรณ์ที่ผู้ใช้ใช้จริง

ทำ Cookie Consent ให้ตรงกับระบบเว็บไซต์

คุกกี้มีหลายหน้าที่ ต้องตรวจจากสิ่งที่ทำ

ชื่อหมวดที่ผู้ขายตั้งไม่ใช่ข้อสรุปทางกฎหมาย คุกกี้บางตัวจำเป็นต่อบริการที่ร้องขอ บางตัวใช้วิเคราะห์หรือสร้างโปรไฟล์โฆษณา ตรวจข้อมูลที่ส่ง ตัวระบุ ระยะเก็บและการเชื่อมกับผู้รับอื่น ข้อมูลที่ดูไม่มีชื่ออาจยังเป็นข้อมูลส่วนบุคคลได้หากเชื่อมโยงถึงบุคคล

เลือกฐานก่อนเขียนว่าต้องยอมรับ

มาตรา 24 กำหนดฐานสำหรับข้อมูลทั่วไป ต้องประเมินข้อเท็จจริงและเงื่อนไขของฐานนั้น หากใช้ความยินยอมตามมาตรา 19 ต้องแยกชัด เข้าใจได้และเป็นอิสระ ไม่ถือว่าการเลื่อนหน้าหรือปิดแบนเนอร์เท่ากับยอมโดยอัตโนมัติ และไม่ตั้งรายการทางเลือกให้เปิดล่วงหน้าแล้วเรียกว่าผู้ใช้เลือกเอง

ปุ่มและคำอธิบายต้องให้เลือกได้จริง

บอกวัตถุประสงค์และเปิดรายละเอียดผู้รับกับระยะเก็บที่ตรงกับระบบ ให้เข้าถึงการปฏิเสธหรือเลือกเฉพาะหมวดได้โดยไม่ซ่อนทางเลือกจนใช้งานยาก แนวทางจัดปุ่มควรทำให้ความยินยอมเป็นอิสระและถอนสะดวกตามกฎหมาย ไม่อ้างว่ากฎหมายกำหนดสี ขนาดหรือรูปแบบตายตัวของทุกเว็บไซต์

ทดสอบการทำงานก่อนและหลังการเลือก

ให้ทีมเว็บตรวจการเริ่มทำงานของแท็กในสถานะยังไม่เลือก ยอมรับบางหมวด ปฏิเสธและถอน ตรวจทั้งหน้าแรก หน้าชำระ แบบฟอร์มกับเนื้อหาฝังจากภายนอก หากใช้ฐานความยินยอมต้องไม่เริ่มส่งข้อมูลนั้นก่อนมีฐาน การบันทึกสถานะในแบนเนอร์อย่างเดียวไม่พิสูจน์ว่าเครื่องมืออื่นหยุดตาม

เก็บหลักฐานและทบทวนเมื่อเพิ่มเครื่องมือ

บันทึกฉบับคำแจ้ง การตั้งค่ากับผลทดสอบ และหลักฐานความยินยอมเท่าที่จำเป็นต่อการตรวจสอบ กำหนดคนอนุมัติแท็กใหม่เพื่อให้ฝ่ายการตลาดไม่เพิ่มตัวติดตามโดยข้ามการประเมิน คู่มือ GPPC ช่วยอธิบายการสแกน ออกแบบ ทดสอบและเผยแพร่เครื่องมือ แต่การใช้เครื่องมือไม่ได้แทนการเลือกฐานตามกิจกรรมของเว็บ

ข้อกฎหมายที่ใช้และเงื่อนไขที่ต้องระวัง

PDPA มาตรา 19 ใช้กับเงื่อนไขความยินยอมและการถอน มาตรา 23 กำหนดการแจ้ง และมาตรา 24 ใช้ตรวจฐานข้อมูลทั่วไป ต้องพิจารณามาตรา 37 และบทบาทผู้รับข้อมูลด้วย บทความนี้ใช้คู่มือคุกกี้แบนเนอร์ GPPC เป็นเอกสารประกอบด้านการใช้งานระบบ ไม่ถือว่าคู่มือนั้นเป็นประกาศบังคับให้ทุกเว็บไซต์ใช้รูปแบบเดียวกัน

พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ.2562 ฉบับราชกิจจานุเบกษา เป็นตัวบทหลักที่ใช้อ้างอิงในบทความนี้

คู่มือการออกแบบและการใช้งานคุกกี้แบนเนอร์ GPPC

เลนส์ทนายยอดทิพย์ธรรม: ถ้าพลาดแล้วต้องรับมืออะไร

เว็บอาจเสี่ยงจากการตั้งค่าไม่ตรงกับข้อความ เช่น แจ้งว่าไม่ส่งให้บุคคลที่สามทั้งที่ติดแท็กภายนอกอยู่ การแก้เพียงนโยบายไม่หยุดข้อมูลที่ส่งไปแล้ว ต้องตรวจระบบกับผู้รับพร้อมกัน และประเมินการแก้ไขตามข้อเท็จจริงโดยไม่ลบบันทึกที่จำเป็นต่อการตรวจ

หลักฐานที่ควรเก็บก่อนข้อมูลเปลี่ยนไป

• รายการคุกกี้ แท็กและเทคโนโลยีติดตามที่พบจริง
• วัตถุประสงค์ ฐาน ผู้รับและระยะเก็บแต่ละรายการ
• ภาพทางเลือกและฉบับคำแจ้งที่ใช้
• ผลทดสอบสถานะก่อนเลือก ปฏิเสธและถอน
• ประวัติเปลี่ยนแปลงกับผู้อนุมัติเครื่องมือใหม่

ให้เจ้าของงานระบุว่าเอกสารแต่ละฉบับใช้กับกระบวนการใด ใครเป็นผู้อนุมัติ และเริ่มใช้เมื่อใด เก็บหลักฐานการทำงานจริงประกอบแบบฟอร์ม เช่น ผลทดสอบสิทธิหรือบันทึกการส่งข้อมูล หากพบว่าเอกสารกับระบบไม่ตรงกัน ให้บันทึกช่องว่างและผู้รับผิดชอบแก้ไข ไม่เปลี่ยนบันทึกย้อนหลังให้ดูเหมือนปฏิบัติถูกต้องมาตั้งแต่ต้น

ก่อนส่งหลักฐานให้ผู้อื่น ตรวจว่ามีข้อมูลที่ไม่เกี่ยวข้องปะปนหรือไม่ สำเนาสำหรับตรวจอาจปกปิดส่วนที่ไม่จำเป็นได้ โดยรักษาต้นฉบับไว้ในพื้นที่จำกัดสิทธิ บันทึกผู้รับ วันที่ส่งและวัตถุประสงค์ หากมีข้อพิพาทต้องพิจารณาระยะเก็บและการพักทำลายเฉพาะส่วนที่เกี่ยวข้อง ไม่ใช้เหตุเตรียมคดีเป็นข้ออ้างเก็บข้อมูลทุกชุดไม่มีกำหนด

ผู้ขายปลั๊กอินอ้างว่าติดตั้งแล้วผ่าน PDPA ทันที

ขอรายการตัวติดตามและผลทดสอบก่อนเลือก หลังปฏิเสธและหลังถอน โดยระบุหน้าเว็บกับฉบับตั้งค่าที่ใช้ทดสอบ หากแท็กโฆษณายังส่งข้อมูลในช่วงที่ต้องอาศัยความยินยอม การมีภาพหน้าจอแบนเนอร์ไม่ได้พิสูจน์ว่าผ่านเงื่อนไข ตรวจด้วยว่าแท็กจากวิดีโอ แผนที่หรือฟอร์มภายนอกอยู่ภายใต้การตั้งค่าเดียวกันหรือไม่ การเปลี่ยนผู้ขายหรือเพิ่มแท็กต้องทดสอบซ้ำเฉพาะส่วนที่เปลี่ยนและเก็บผลไว้ให้ตรวจได้

แผนลงมือวันนี้ ภายใน 7 วันและ 30 วัน

ช่วงเวลานี้เป็นตัวอย่างแผนจัดงาน ไม่ใช่กำหนดตามกฎหมาย หากมีเหตุเร่งด่วน หนังสือกำหนดตอบหรืออายุความ ต้องดำเนินการตามกำหนดนั้นก่อน

ช่วงเวลา	สิ่งที่ควรทำ
วันนี้	สำรวจตัวติดตามและตรวจสิ่งที่เริ่มก่อนเลือก
ภายใน 7 วัน	ปรับฐาน คำแจ้งและทางเลือกให้ตรงการตั้งค่า
ภายใน 30 วัน	ทดสอบซ้ำเฉพาะจุดเปลี่ยนและจัดกระบวนการอนุมัติแท็ก

ข้อผิดพลาดที่ควรหลีกเลี่ยง

อย่าเรียกคุกกี้ทุกตัวว่าจำเป็นเพราะช่วยธุรกิจ และอย่าคัดรายการจากเว็บอื่นโดยไม่สแกนเว็บของตน การกดปฏิเสธต้องมีผลกับการประมวลผลที่อาศัยความยินยอมตามที่แจ้ง

อ่านต่อและเตรียมเรื่องก่อนปรึกษา

อ่านภาพรวมในPDPA Audit-Ready หลักฐานที่องค์กรต้องมีเมื่อถูกตรวจหรือร้องเรียน แล้วนำมาเทียบกับเหตุการณ์และเอกสารของตน

เรื่องที่เกี่ยวข้องโดยตรงคือPDPA ร้านค้าออนไลน์และ Marketplace ใช้ข้อมูลออเดอร์ยิงโฆษณาได้ไหม และความยินยอม PDPA แบบใดใช้ไม่ได้ และเมื่อใดควรใช้ฐานอื่น

หากต้องพิจารณาขั้นตอนที่เชื่อมกัน อ่านมี Privacy Notice ครบแล้ว ทำไมยังไม่พร้อมให้ตรวจ PDPAประกอบ

สำนักงานกฎหมายยอดทิพย์ธรรมช่วยตรวจคำแจ้งและฐานของตัวติดตาม จัดรายการทดสอบให้ทีมเว็บและตรวจข้อตกลงผู้รับข้อมูลผ่านบริการกฎหมาย PDPA โดยประเด็นที่เกี่ยวข้องสามารถประเมินร่วมกับธุรกิจและสัญญา ก่อนนัดหมายปรึกษา ควรเตรียมลำดับเหตุการณ์ เอกสารที่ได้รับ และผลที่ต้องการให้อีกฝ่ายดำเนินการ เพื่อประเมินทางเลือกจากหลักฐานที่มีจริง

บทความโดยนายเอกราช ทิพย์แมม ดูข้อมูลผู้เขียนและทีมทนายความยอดทิพย์ธรรมประกอบการติดต่อ

ข้อกฎหมายที่เกี่ยวข้อง

• พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 มาตรา 19: เงื่อนไขความยินยอมและการถอนที่ทำได้ตามกฎหมาย
• มาตรา 23–24: คำแจ้งและฐานต้องตรงข้อมูลกับวัตถุประสงค์ของตัวติดตาม
• มาตรา 37: มาตรการรักษาความมั่นคงปลอดภัยตามหน้าที่
• คู่มือคุกกี้แบนเนอร์ GPPC เป็นเอกสารด้านการใช้งานเครื่องมือ ไม่ใช่ประกาศบังคับให้ทุกเว็บไซต์ใช้รูปแบบเดียวกัน

คำถามที่พบบ่อย

ทุกเว็บต้องมีแบนเนอร์ขอความยินยอมเหมือนกันไหม

ไม่ควรสรุปแบบเดียว ต้องตรวจข้อมูล เทคโนโลยี วัตถุประสงค์และฐานที่ใช้จริง หน้าที่อาจต่างกันระหว่างเทคโนโลยีจำเป็นต่อบริการกับการติดตามเพื่อโฆษณา

มีปุ่มปฏิเสธแล้วถือว่าทำครบหรือไม่

ยังต้องตรวจว่าระบบหยุดการประมวลผลที่เกี่ยวข้องจริงและคำแจ้งตรงกับข้อมูลที่ส่ง ควรทดสอบทั้งช่วงก่อนเลือก หลังปฏิเสธและหลังถอน พร้อมบันทึกแท็กที่ยังส่งข้อมูล

ถอนความยินยอมแล้วผลย้อนหลังหายหมดไหม

การถอนมีผลตามเงื่อนไขกฎหมายและไม่ลบความชอบของการประมวลผลก่อนถอนที่มีความยินยอมโดยชอบ ต้องจัดการข้อมูลต่อจากนั้นตามฐานและสิทธิที่เกี่ยวข้อง หากมีข้อมูลที่ต้องเก็บต่อด้วยเหตุอื่น ต้องแยกฐานและจำกัดการใช้จากกิจกรรมที่ถอนแล้ว

ผู้เขียน นายเอกราช ทิพย์แมม คดีครอบครัว มรดก และหนี้สิน

สาขาที่เชี่ยวชาญ: ครอบครัว · มรดกและพินัยกรรม · หนี้สินและบังคับคดี

ดูประวัติทีมทนายความ →

บทความนี้เป็นความรู้กฎหมายทั่วไปเพื่อความเข้าใจเบื้องต้น ไม่ใช่คำปรึกษาทางกฎหมายเฉพาะคดี ผลทางกฎหมายขึ้นอยู่กับข้อเท็จจริง เอกสาร และพยานหลักฐานของแต่ละกรณี ควรปรึกษาทนายความเพื่อประเมินเรื่องของท่านโดยเฉพาะ