คู่มือ
PDPA กับคุกกี้บนเว็บไซต์ ธุรกิจต้องทำอะไรบ้าง
สิ่งที่กฎหมายกำหนดจริง สิ่งที่มาจากแนวปฏิบัติ และเช็กลิสต์ที่ธุรกิจทำเองได้ เรื่องไหนไม่แน่ใจ ควรปรึกษาผู้เชี่ยวชาญกฎหมาย
คำตอบสั้นๆ: PDPA มาตรา 19 กำหนดว่าความยินยอมต้องชัดแจ้ง แยกจากเรื่องอื่น ให้โดยอิสระ และถอนได้ง่ายเท่ากับตอนให้ ตัวกฎหมายไม่ได้พูดถึงคุกกี้โดยตรง แต่แนวปฏิบัติที่ใช้กันทั่วไปคือขอความยินยอมก่อนใช้คุกกี้วิเคราะห์และการตลาด ไม่ติ๊กไว้ล่วงหน้า ให้ปุ่มปฏิเสธเห็นชัดเท่าปุ่มยอมรับ และเก็บหลักฐานการยินยอมไว้ ส่วนรายละเอียดของแต่ละธุรกิจควรปรึกษาผู้เชี่ยวชาญกฎหมาย
อัปเดต 25 กันยายน 2569 · อ่าน 8 นาที
คู่มือนี้อธิบายหลักการทั่วไปเพื่อให้เข้าใจง่าย ไม่ใช่คำแนะนำทางกฎหมาย แต่ละธุรกิจมีข้อมูลและเครื่องมือต่างกัน ควรขอคำปรึกษาจากผู้เชี่ยวชาญกฎหมายก่อนตัดสินใจ
ตัวอย่างสถานการณ์ (สถานการณ์สมมติเพื่ออธิบายการใช้งาน)
คลินิกความงามแห่งหนึ่งเพิ่งทำเว็บไซต์ใหม่ ติดพิกเซลโฆษณาและเครื่องมือวิเคราะห์ไว้ครบ แต่ใส่แบนเนอร์ที่มีแค่ปุ่ม "ยอมรับ" ปุ่มเดียว วันหนึ่งลูกค้าถามทางแชตว่าเว็บเก็บข้อมูลอะไรของเขาไปบ้าง ทีมงานตอบไม่ได้ เพราะไม่มีใครรู้ว่าบนเว็บมีสคริปต์อะไรทำงานอยู่
PDPA กำหนดเรื่องความยินยอมไว้อย่างไร
พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 (PDPA) คือกฎหมายที่กำหนดว่าธุรกิจเก็บ ใช้ และเปิดเผยข้อมูลส่วนบุคคลได้อย่างไร มาตรา 19 วางหลักเรื่องความยินยอมไว้ โดยสรุปคือ
- ขอความยินยอมโดยชัดแจ้ง เป็นหนังสือหรือผ่านระบบอิเล็กทรอนิกส์
- แจ้งวัตถุประสงค์ให้ชัด และแยกออกจากข้อความเรื่องอื่น ใช้ภาษาที่เข้าใจง่าย ไม่หลอกลวงหรือทำให้เข้าใจผิด
- ความยินยอมต้องให้โดยอิสระ ไม่ควรตั้งเป็นเงื่อนไขของบริการ หากข้อมูลนั้นไม่จำเป็นต่อบริการ
- เจ้าของข้อมูลถอนความยินยอมได้ และการถอนต้องทำได้ง่ายเท่ากับตอนให้
ความยินยอมไม่ใช่ฐานทางกฎหมายเดียว มาตรา 24 ยังมีฐานอื่น เช่น การปฏิบัติตามสัญญา หรือประโยชน์โดยชอบด้วยกฎหมาย การเลือกฐานที่เหมาะกับการใช้ข้อมูลแต่ละแบบจึงสำคัญ
ทำไมเว็บไซต์ต้องขอความยินยอมก่อนใช้คุกกี้
คุกกี้ (Cookie) คือไฟล์ข้อมูลเล็กๆ ที่เว็บไซต์เก็บไว้ในเบราว์เซอร์ของผู้เข้าชม ตัวกฎหมายไม่ได้พูดถึงคุกกี้โดยตรง แต่เมื่อคุกกี้หรือพิกเซลใช้ระบุหรือติดตามบุคคลได้ ข้อมูลนั้นก็เป็นข้อมูลส่วนบุคคล แนวทางที่ใช้กันทั่วไปจึงให้ขอความยินยอมก่อนใช้คุกกี้ที่ไม่จำเป็น
| ประเภทคุกกี้ | ตัวอย่าง | แนวทางที่ใช้กันทั่วไป |
|---|---|---|
| จำเป็น | ตะกร้าสินค้า การเข้าสู่ระบบ การจำตัวเลือกความยินยอม | แจ้งในนโยบายคุกกี้ มักไม่ต้องขอความยินยอม |
| วิเคราะห์ | สถิติการเข้าชม เส้นทางผู้เข้าชม ฮีตแมป | ขอความยินยอมก่อน |
| การตลาด | พิกเซลโฆษณา การยิงแอดซ้ำ (retargeting) | ขอความยินยอมก่อน |
เช็กลิสต์ PDPA สำหรับคุกกี้บนเว็บไซต์ ทำอะไรบ้าง
สำรวจว่าเว็บไซต์ใช้คุกกี้และเครื่องมืออะไรบ้าง
ทำรายการคุกกี้ทุกตัว พิกเซลโฆษณา วิดเจ็ตแชต และสคริปต์วิเคราะห์ที่ติดตั้งอยู่ แล้วระบุว่าแต่ละตัวมาจากผู้ให้บริการรายไหน เก็บข้อมูลอะไร และส่งข้อมูลไปที่ไหน
แบ่งประเภทคุกกี้
แยกเป็นคุกกี้ที่จำเป็นต่อการทำงานของเว็บ กับคุกกี้ที่ไม่จำเป็น เช่น คุกกี้วิเคราะห์การใช้งานและคุกกี้การตลาด กลุ่มหลังนี้คือส่วนที่ควรขอความยินยอมก่อน
ตั้งแบนเนอร์ขอความยินยอมภาษาไทย
ให้ปุ่มปฏิเสธเห็นชัดเท่าปุ่มยอมรับ ไม่ติ๊กตัวเลือกไว้ล่วงหน้า และอธิบายสั้นๆ ว่าแต่ละประเภทใช้ทำอะไร
ยังไม่ใช้คุกกี้ที่ไม่จำเป็นจนกว่าจะได้รับความยินยอม
ตรวจว่าพิกเซลโฆษณาและสคริปต์วิเคราะห์ไม่ทำงานก่อนผู้เข้าชมกดยอมรับ ไม่ใช่ทำงานไปก่อนแล้วค่อยถาม
เก็บหลักฐานการยินยอม
บันทึกว่าผู้เข้าชมเห็นข้อความเวอร์ชันไหน เลือกอะไร และเมื่อไร เพื่อใช้ตอบคำถามหรือตรวจสอบภายหลัง
ให้ถอนความยินยอมได้ง่าย
ใส่ลิงก์ตั้งค่าคุกกี้ไว้ที่ส่วนท้ายของเว็บ ให้ผู้เข้าชมเปลี่ยนใจได้ง่ายเท่ากับตอนให้ความยินยอม
ปรับนโยบายความเป็นส่วนตัวและนโยบายคุกกี้
อธิบายวัตถุประสงค์ ฐานทางกฎหมาย ผู้รับข้อมูล การส่งข้อมูลไปต่างประเทศ ระยะเวลาเก็บ และสิทธิของเจ้าของข้อมูล แล้วทบทวนทุกครั้งที่เพิ่มเครื่องมือใหม่
ถ้าไม่ทำตาม มีความเสี่ยงอะไร
PDPA มีบทลงโทษทั้งโทษปรับทางปกครอง ความรับผิดทางแพ่ง และโทษทางอาญาในบางกรณี ที่ผ่านมาคณะกรรมการผู้เชี่ยวชาญตาม PDPA ก็มีคำสั่งลงโทษปรับทางปกครองกับธุรกิจแล้ว นอกจากเรื่องกฎหมาย ความเชื่อใจของลูกค้าก็สำคัญไม่แพ้กัน ธุรกิจที่ตอบได้ชัดว่าเก็บอะไร เพื่ออะไร และส่งไปที่ไหน จะดูน่าไว้ใจกว่า
คุกกี้กับการวัดผลโฆษณาอยู่ด้วยกันได้อย่างไร
การเคารพความยินยอมแปลว่าตัวเลขบางส่วนจะน้อยลง สิ่งที่ทำได้คือเก็บข้อมูลให้ครบเท่าที่ความยินยอมอนุญาต ใช้ข้อมูลของธุรกิจเอง และอ่านรายงานคู่กับสัดส่วนผู้ที่ยินยอม การส่งคอนเวอร์ชันฝั่งเซิร์ฟเวอร์ช่วยให้ข้อมูลของผู้ที่ยินยอมไปถึงแพลตฟอร์มโฆษณาได้ครบขึ้น แต่ไม่ใช่วิธีข้ามความยินยอม อ่านต่อที่คู่มือ Conversions API
uForge ช่วยตรงไหน
uForge มีเครื่องมือขอและบันทึกความยินยอม เก็บหลักฐานการยินยอมแบบมีเวอร์ชัน ดาวน์โหลดเป็นไฟล์ CSV ได้ และบันทึกสถานะความยินยอมไว้กับทุกเหตุการณ์ที่ระบบวัดผลเก็บ ทั้งหมดนี้ช่วยให้คุณทำตาม PDPA ได้ง่ายขึ้น แต่ไม่ได้ทำให้ธุรกิจปฏิบัติตามกฎหมายครบโดยอัตโนมัติ ข้อมูลหลักของแพลตฟอร์มจัดเก็บบน AWS กรุงเทพฯ ส่วนบางบริการ เช่น การส่งอีเมล ใช้ผู้ให้บริการในต่างประเทศ ดูรายละเอียดที่หน้า PDPA และข้อมูล