5 จุดบนหน้าแรกเว็บไซต์ที่บอกว่าบริษัทจริงจังกับ PDPA แค่ไหน คือ ลิงก์นโยบายความเป็นส่วนตัว ระบบขอความยินยอมคุกกี้ ตัวติดตามที่รอความยินยอม คุกกี้ตอนเปิดหน้า และช่องทางใช้สิทธิ เจ้าของธุรกิจ ทีมเว็บ และ DPO จะได้วิธีตรวจเองพร้อมตัวบทและวิธีแก้
- มาตรา 23 ให้แจ้งรายละเอียดการเก็บข้อมูลก่อนหรือขณะเก็บ ลิงก์นโยบายที่หาเจอง่ายบนหน้าแรกคือหลักฐานแรกที่คนนอกเห็น
- เว็บที่ใช้คุกกี้โฆษณาหรือวิเคราะห์ ควรมีระบบขอความยินยอมที่ไม่ติ๊กไว้ก่อน และถอนได้ง่ายเท่ากับตอนให้ (มาตรา 19 วรรคห้า)
- TDPG 4.0 ข้อ C48 ระบุว่าโฆษณาตามพฤติกรรมออนไลน์ต้องใช้ฐานความยินยอม พิกเซลจึงไม่ควรทำงานก่อนผู้ใช้กดยอมรับ
- คำขอเข้าถึงข้อมูลต้องทำให้เสร็จภายใน 30 วันนับแต่ได้รับคำขอ (มาตรา 30) หน้าเว็บจึงต้องบอกว่ายื่นคำขอทางไหน
- การตรวจจากภายนอกเห็นเฉพาะสิ่งที่อยู่บนหน้าเว็บ ไม่ได้บอกว่าระบบหลังบ้านถูกต้อง และไม่ใช่ความเห็นทางกฎหมาย
ก่อนลูกค้าจะกรอกเบอร์โทรในแบบฟอร์ม ก่อนนักข่าวจะเขียนถึงบริษัท หรือก่อนเจ้าหน้าที่จะตัดสินใจว่าเรื่องร้องเรียนเรื่องหนึ่งน่าตามต่อไหม สิ่งแรกที่ทุกคนทำเหมือนกันคือเปิดหน้าแรกของเว็บไซต์ ไม่มีใครเห็นทะเบียน RoPA หรือสัญญากับผู้ประมวลผล แต่ทุกคนเห็นหน้าเว็บ
หน้าแรกจึงเป็นเอกสาร PDPA ฉบับเดียวที่เปิดให้คนทั้งประเทศอ่านได้ตลอดเวลา และอ่านได้เร็วมาก ใช้เวลาไม่ถึงนาทีก็พอรู้ว่าบริษัทนั้นวางระบบไว้แล้ว หรือยังติดพิกเซลโฆษณาทิ้งไว้โดยไม่มีใครดูแล
บทความนี้แยกให้เห็นห้าจุดที่ตรวจได้จากภายนอก แต่ละจุดผูกกับตัวบทในพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 (PDPA) หรือแนวปฏิบัติ TDPG 4.0 และบอกวิธีตรวจด้วยตัวเองกับวิธีแก้ที่ทีมเว็บทำได้ภายในสัปดาห์เดียว
หน้าแรกเว็บไซต์บอกอะไรเรื่อง PDPA ได้บ้าง?
บอกได้ห้าเรื่อง คือ มีลิงก์นโยบายความเป็นส่วนตัวไหม มีระบบขอความยินยอมคุกกี้ไหม ตัวติดตามโฆษณาและสถิติรอให้ผู้ใช้ยินยอมก่อนหรือเปล่า เซิร์ฟเวอร์ตั้งคุกกี้ที่ไม่จำเป็นตั้งแต่เปิดหน้าหรือไม่ และมีช่องทางให้เจ้าของข้อมูลยื่นคำขอใช้สิทธิไหม
| จุดที่ดู | ตรวจเองอย่างไร | ที่มา | น้ำหนัก |
|---|---|---|---|
| 1. ลิงก์นโยบายความเป็นส่วนตัว | เลื่อนลงท้ายหน้า หาคำว่า นโยบายความเป็นส่วนตัว หรือ Privacy | PDPA มาตรา 23 | กฎหมาย |
| 2. ระบบขอความยินยอมคุกกี้ | เปิดเว็บในหน้าต่างไม่ระบุตัวตน ดูว่ามีแบนเนอร์ให้เลือกไหม | PDPA มาตรา 19 · TDPG C20 | กฎหมาย + แนวปฏิบัติ |
| 3. ตัวติดตามก่อนยินยอม | เปิดเครื่องมือนักพัฒนา แท็บ Network ก่อนกดอะไร ดูว่ามีคำขอไปยังโดเมนโฆษณาไหม | PDPA มาตรา 19 · TDPG A7, C48 | กฎหมาย + แนวปฏิบัติ |
| 4. คุกกี้ไม่จำเป็นตอนเปิดหน้า | แท็บ Application แล้วดู Cookies ว่ามี _ga หรือ _fbp ก่อนตอบแบนเนอร์ไหม | PDPA มาตรา 19 · TDPG (ตัวอย่างประเภทคุกกี้) | กฎหมาย + แนวปฏิบัติ |
| 5. ช่องทางใช้สิทธิ | หาลิงก์ยื่นคำขอ อีเมล DPO หรือแบบฟอร์มติดต่อเรื่องข้อมูล | PDPA มาตรา 23 (5) (6) · มาตรา 30 | กฎหมาย |
ถ้าไม่อยากเปิดเครื่องมือนักพัฒนาเอง ให้ใช้ เครื่องมือตรวจเว็บไซต์ฟรี /scan วางชื่อเว็บไซต์ แล้วได้รายงาน PDPA และความปลอดภัยในราว 30 วินาที เครื่องมือนี้อ่าน HTML ของหน้าแรกกับคุกกี้ในคำตอบแรกของเซิร์ฟเวอร์ แล้วตรวจห้าจุดข้างต้นตรงตามตาราง พร้อมรายการความปลอดภัยตามมาตรฐานเว็บไซต์ NCSA WSS 1.0
รายงานแชร์ต่อได้ด้วยลิงก์ /scan?d=ชื่อโดเมน และสั่งพิมพ์เป็น PDF ได้ ไม่ต้องสมัคร และไม่เก็บผลไว้ หน้าเว็บที่สร้างด้วยสคริปต์ทั้งหน้าจะขึ้นว่า “ตรวจจากภายนอกไม่ได้” แทนที่จะตัดสินว่าไม่ผ่าน
จุดที่ 1 ลิงก์นโยบายความเป็นส่วนตัวต้องอยู่ตรงไหน?
ต้องอยู่ในจุดที่คนเห็นก่อนหรือขณะที่ข้อมูลถูกเก็บ เพราะ PDPA มาตรา 23 ไม่ได้สั่งแค่ให้มีนโยบาย แต่สั่งให้แจ้งในจังหวะที่ถูกต้อง เว็บไซต์ที่ตั้งคุกกี้หรือมีแบบฟอร์มตั้งแต่หน้าแรก การแจ้งจึงต้องหาเจอตั้งแต่หน้าแรกเช่นกัน
ในการเก็บรวบรวมข้อมูลส่วนบุคคล ผู้ควบคุมข้อมูลส่วนบุคคลจะต้องแจ้งให้เจ้าของข้อมูลส่วนบุคคลทราบก่อนหรือในขณะเก็บรวบรวมข้อมูลส่วนบุคคลถึงรายละเอียด ดังต่อไปนี้ เว้นแต่เจ้าของข้อมูลส่วนบุคคลได้ทราบถึงรายละเอียดนั้นอยู่แล้ว
รายละเอียดที่มาตรา 23 ให้แจ้งมีหกเรื่อง ได้แก่ วัตถุประสงค์ กรณีที่ต้องให้ข้อมูลเพราะกฎหมายหรือสัญญาและผลของการไม่ให้ ข้อมูลที่เก็บกับระยะเวลาเก็บ ผู้ที่อาจได้รับข้อมูล ข้อมูลติดต่อของผู้ควบคุมข้อมูลส่วนบุคคลและ DPO และสิทธิของเจ้าของข้อมูล หน้านโยบายที่ดีจึงตอบได้ครบหกข้อนี้ ไม่ใช่แค่มีหัวข้อสวย ๆ
TDPG 4.0 ยกตัวอย่างไว้ตรงกับปัญหาที่พบบ่อย คือบริษัทวางนโยบายไว้ที่หน้าแรกอย่างเดียว แต่ลูกค้าหลายคนเข้าเว็บจากเครื่องมือค้นหาตรงไปยังหน้าอื่น จึงไม่เคยเห็นลิงก์นั้น ทางแก้ที่แนวปฏิบัติเสนอคือวางลิงก์ไว้ในทุกหน้าที่เก็บข้อมูล
โดยแม้การไม่มี Privacy Notice ณ จุดดังกล่าวอาจไม่ขัดต่อข้อกำหนดตามกฎหมาย PDPA หากมีการแจ้งในจุดอื่นที่เพียงพอ แต่ในเชิงแนวปฏิบัติที่ดี (Best Practice) การมี Privacy Notice ในทุก ๆ จุดที่ลูกค้าสามารถเข้าถึงได้นั้นจะช่วยเพิ่มความเป็นธรรมและความโปร่งใสให้แก่เจ้าของข้อมูลส่วนบุคคลได้ดียิ่งขึ้น
ตรวจเองอย่างไร
- เลื่อนลงท้ายหน้าแรก ดูว่ามีลิงก์ชื่อ “นโยบายความเป็นส่วนตัว” หรือ “Privacy Policy” หรือไม่
- เปิดหน้าสินค้าหรือบทความสักหน้าจาก Google แล้วดูว่าลิงก์เดียวกันยังอยู่ท้ายหน้าไหม
- กดเข้าไปอ่าน ดูว่ามีชื่อบริษัท ช่องทางติดต่อ และรายการสิทธิของเจ้าของข้อมูลครบไหม
- เปิดบนโทรศัพท์ด้วย บางเว็บซ่อนลิงก์ท้ายหน้าไว้ในเมนูที่ต้องกดหลายชั้น
จุดที่ 2 เว็บไซต์ต้องมีแบนเนอร์คุกกี้ทุกเว็บหรือไม่?
ไม่ทุกเว็บ เว็บที่ใช้แต่คุกกี้ที่จำเป็นต่อการทำงาน เช่น จำตะกร้าสินค้าหรือภาษาที่เลือก อาจไม่ต้องขอความยินยอมเลย แต่ทันทีที่ติดเครื่องมือวิเคราะห์สถิติหรือพิกเซลโฆษณา เว็บนั้นกำลังเก็บข้อมูลที่ต้องอาศัยความยินยอม และความยินยอมต้องได้มาก่อน
ผู้ควบคุมข้อมูลส่วนบุคคลจะกระทำการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลไม่ได้หากเจ้าของข้อมูลส่วนบุคคลไม่ได้ให้ความยินยอมไว้ก่อนหรือในขณะนั้น เว้นแต่บทบัญญัติแห่งพระราชบัญญัตินี้หรือกฎหมายอื่นบัญญัติให้กระทำได้
แบนเนอร์จึงไม่ใช่ของตกแต่ง มันเป็นเครื่องมือที่ทำให้ความยินยอมตามมาตรา 19 เกิดขึ้นจริง แบนเนอร์ที่มีแค่ปุ่ม “ตกลง” ปุ่มเดียว หรือแบนเนอร์ที่ติ๊กทุกประเภทไว้ให้แล้ว ไม่ได้ทำหน้าที่นั้น เพราะผู้ใช้ไม่มีทางเลือก
จะต้องไม่ขอความยินยอมในลักษณะที่กำหนดไว้แล้วล่วงหน้า การเงียบเฉย หรือการเช็คถูกในช่องไว้ก่อน (pre-ticked box) ไม่ถือเป็นความยินยอมที่ชัดเจน
อีกข้อที่คนมักลืมคือการถอนความยินยอม มาตรา 19 วรรคห้าให้ถอนได้ทุกเมื่อ และต้องถอนได้ง่ายเท่ากับตอนให้ ถ้าตอนยอมรับกดปุ่มเดียวบนแบนเนอร์ ตอนถอนก็ไม่ควรต้องส่งอีเมลหาฝ่ายกฎหมาย
เจ้าของข้อมูลส่วนบุคคลจะถอนความยินยอมเสียเมื่อใดก็ได้โดยจะต้องถอนความยินยอมได้ง่ายเช่นเดียวกับการให้ความยินยอม
ตรวจเองอย่างไร
- เปิดเว็บในหน้าต่างไม่ระบุตัวตน (Incognito) เพื่อไม่ให้คุกกี้เก่าบังผล
- ดูว่ามีแบนเนอร์ขึ้นไหม มีปุ่มปฏิเสธที่เห็นชัดเท่าปุ่มยอมรับไหม
- กดดูการตั้งค่า ดูว่าแยกประเภทคุกกี้ และประเภทที่ไม่จำเป็นปิดไว้เป็นค่าเริ่มต้นหรือไม่
- ยอมรับไปแล้ว ลองหาทางกลับมาเปลี่ยนใจ เช่น ลิงก์ “ตั้งค่าคุกกี้” ท้ายหน้า
วิธีแก้ที่ตรงที่สุดคือใช้แบนเนอร์ที่ปุ่มยอมรับกับปฏิเสธขนาดเท่ากันและอยู่ชั้นเดียวกัน แยกประเภทคุกกี้ให้เลือก และเก็บบันทึกว่าใครเลือกอะไรเมื่อไร แบนเนอร์ของ AIPDPA ทำตามแบบนี้ โดยบันทึกการเลือกของผู้เข้าชมไว้บน Cloudflare D1 ไม่เก็บ IP และส่งต่อเข้าทะเบียนความยินยอมที่เก็บหลักฐานรายคนพร้อมประวัติการถอน
รายละเอียดการติดตั้งอยู่ที่ หน้าแบนเนอร์คุกกี้สำหรับนักพัฒนา และหลักการออกแบบอยู่ใน คู่มือแบนเนอร์คุกกี้
จุดที่ 3 พิกเซลโฆษณายิงก่อนผู้ใช้กดยอมรับหรือเปล่า?
นี่เป็นจุดที่เว็บส่วนใหญ่สอบตกโดยไม่รู้ตัว แบนเนอร์ขึ้นสวยงาม แต่ Meta Pixel, TikTok Pixel หรือ Google Analytics เริ่มส่งข้อมูลออกไปแล้วตั้งแต่หน้าโหลด ก่อนผู้ใช้จะได้อ่านแบนเนอร์ด้วยซ้ำ การมีแบนเนอร์จึงไม่ได้แปลว่าตัวติดตามรอฟังคำตอบ
TDPG 4.0 อธิบายว่าตัวระบุทางออนไลน์ที่ตัวติดตามเหล่านี้ใช้ อาจเป็นข้อมูลส่วนบุคคลได้ และระบุตรง ๆ ว่าโฆษณาตามพฤติกรรมออนไลน์ใช้ฐานประโยชน์โดยชอบด้วยกฎหมายไม่ได้
ตัวระบุทางออนไลน์ที่อาจถือเป็นข้อมูลส่วนบุคคลยังอาจรวมถึง MAC addresses, advertising IDs, pixel tags, account handles และ device fingerprints
C48 การโฆษณาตามพฤติกรรมออนไลน์ (Online Behavioural Advertisement) หรือ targeted advertisement เป็นการโฆษณาแบบเจาะจงที่ต้องอาศัยข้อมูลที่เฉพาะเจาะจงรายบุคคล โดยเฉพาะข้อมูลในลักษณะโปรไฟลิ่งที่ทำให้ผู้โฆษณาทราบถึงข้อมูลส่วนบุคคลของเป้าหมายอย่างละเอียดนั้นย่อมไม่อาจใช้ฐานผลประโยชน์อันชอบทำได้ ต้องใช้ฐานความยินยอม
ตรวจเองอย่างไร
เปิดหน้าต่างไม่ระบุตัวตน กด F12 เปิดแท็บ Network แล้วโหลดหน้าเว็บโดยยังไม่แตะแบนเนอร์ พิมพ์ในช่องกรองว่า facebook, tiktok, google-analytics หรือ clarity ถ้ามีรายการขึ้นมาก่อนกดยอมรับ แปลว่าตัวติดตามทำงานไปแล้ว
ทางแก้คือให้ตัวจัดการแท็ก (เช่น Google Tag Manager) ผูกกับผลจากแบนเนอร์ แท็กโฆษณาและสถิติยิงเมื่อได้รับสัญญาณยอมรับเท่านั้น ถ้าใช้ Google ให้ตั้ง Consent Mode ค่าเริ่มต้นเป็นปฏิเสธ แล้วอัปเดตเมื่อผู้ใช้กดยอมรับ พิกเซลที่ฝังโค้ดตรงในหน้าเว็บโดยไม่ผ่านตัวจัดการแท็ก ต้องย้ายออกมาก่อน
จุดที่ 4 คุกกี้ที่ตั้งทันทีตอนเปิดหน้าแรกบอกอะไร?
บอกว่าเว็บเก็บอะไรไปก่อนที่ผู้ใช้จะได้เลือก คุกกี้บางตัวถูกส่งมากับคำตอบแรกของเซิร์ฟเวอร์ ไม่ต้องรอสคริปต์ใด ๆ ถ้าในนั้นมีชื่ออย่าง _ga, _gid, _fbp, _hj หรือ _ttp แปลว่าคุกกี้วิเคราะห์หรือโฆษณาถูกตั้งไปแล้ว ไม่ว่าผู้ใช้จะกดอะไรบนแบนเนอร์
TDPG 4.0 แยกคุกกี้เป็นประเภทให้เห็นชัด และเสนอให้ออกแบบการขอความยินยอมแยกตามประเภท คุกกี้ที่จำเป็นอยู่กลุ่มหนึ่ง คุกกี้วิเคราะห์และโฆษณาอยู่อีกกลุ่ม การตั้งกลุ่มหลังตั้งแต่เปิดหน้าจึงขัดกับการให้ผู้ใช้เลือก
ในกรณีการขอความยินยอมคุกกี้มักมีการใช้คุกกี้หลายชนิด ซึ่งสามารถแยกเป็นประเภทต่าง ๆ ได้ เช่น คุกกี้ที่จำเป็น (Necessary Cookies) คุกกี้เพื่อการวิเคราะห์/ประสิทธิภาพ (Analytics/Performance Cookies) คุกกี้เพื่อการโฆษณา (Advertising Cookies)
ตรวจเองอย่างไร
ในหน้าต่างไม่ระบุตัวตน เปิดเว็บ แล้วกด F12 ไปที่แท็บ Application (Chrome) หรือ Storage (Firefox) เลือก Cookies ดูรายชื่อทั้งหมดก่อนตอบแบนเนอร์ คุกกี้อย่าง session, csrf หรือ lang มักเป็นของจำเป็น ส่วนชื่อที่ขึ้นต้นด้วย _ga หรือ _fbp เป็นของเครื่องมือวิเคราะห์และโฆษณา
สาเหตุที่พบบ่อยคือการติดแท็กฝั่งเซิร์ฟเวอร์ (server-side tagging) หรือปลั๊กอินของระบบจัดการเว็บที่ตั้งคุกกี้เองโดยไม่ถามแบนเนอร์ ทางแก้คือให้ทีมเว็บไล่ดูว่าคุกกี้แต่ละตัวมาจากไหน แล้วผูกทุกตัวที่ไม่จำเป็นเข้ากับผลความยินยอม
จุดที่ 5 ลูกค้าจะขอดูข้อมูลของตัวเองได้ทางไหน?
ต้องมีช่องทางที่หาเจอ เพราะมาตรา 23 (5) และ (6) ให้แจ้งทั้งวิธีติดต่อผู้ควบคุมข้อมูลส่วนบุคคลกับ DPO และสิทธิของเจ้าของข้อมูล ถ้าหน้าเว็บไม่มีลิงก์ยื่นคำขอ ไม่มีอีเมล DPO และไม่มีแบบฟอร์มเรื่องข้อมูลส่วนบุคคล คนนอกก็สรุปได้ทันทีว่าบริษัทยังไม่พร้อมรับคำขอ
(5) ข้อมูลเกี่ยวกับผู้ควบคุมข้อมูลส่วนบุคคล สถานที่ติดต่อ และวิธีการติดต่อในกรณีที่มีตัวแทนหรือเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล ให้แจ้งข้อมูล สถานที่ติดต่อ และวิธีการติดต่อของตัวแทนหรือเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลด้วย
ช่องทางนี้สำคัญเพราะเส้นตายเริ่มนับตั้งแต่วันที่ได้รับคำขอ สำหรับคำขอเข้าถึงและขอรับสำเนาข้อมูล มาตรา 30 วรรคสี่กำหนดไว้ไม่เกิน 30 วัน ถ้าคำขอไปตกค้างในกล่องอีเมลทั่วไปที่ไม่มีใครเปิด วันก็ยังนับต่อไป
ให้ผู้ควบคุมข้อมูลส่วนบุคคลดำเนินการตามคำขอโดยไม่ชักช้า แต่ต้องไม่เกินสามสิบวันนับแต่วันที่ได้รับคำขอ
ทางแก้ที่ดีคือหน้ารับคำขอโดยเฉพาะ ลิงก์ไว้ท้ายเว็บและในหน้านโยบาย มีแบบฟอร์มที่ถามแค่สิ่งที่ต้องใช้ยืนยันตัว และมีคนรับผิดชอบที่เห็นวันครบกำหนด หน้ารับคำขอใช้สิทธิของ AIPDPA มีลิงก์สาธารณะกับ QR สำหรับติดหน้าร้าน นับ 30 วันให้อัตโนมัติ และเตือนเมื่อเหลือ 7 วันกับ 1 วัน
ขั้นตอนตอบคำขอแต่ละประเภทอ่านต่อได้ที่ คู่มือคำขอใช้สิทธิ และ ตอบคำขอใช้สิทธิให้ทัน 30 วัน
ตรวจจากภายนอกแล้ว ยังมีอะไรที่มองไม่เห็น?
มีเยอะ และต้องพูดให้ชัด การตรวจหน้าแรกเห็นเฉพาะสิ่งที่เบราว์เซอร์ได้รับ ไม่เห็นว่าบริษัทเก็บข้อมูลไว้นานแค่ไหน แบ่งให้ใคร หรือตอบคำขอทันจริงไหม ผลผ่านครบห้าข้อจึงบอกได้แค่ว่าหน้าบ้านเรียบร้อย ไม่ได้รับรองว่าทั้งบริษัททำตาม PDPA
HTML ที่เซิร์ฟเวอร์ส่งมาแทบไม่มีลิงก์ ทุกอย่างถูกสร้างหลังสคริปต์ทำงาน เครื่องมือที่ไม่รันสคริปต์จึงไม่ควรตัดสินว่าไม่มี /scan จะรายงานข้อนี้เป็น “ตรวจจากภายนอกไม่ได้” ต้องเปิดดูด้วยตาเอง
ถ้าโค้ดของแบนเนอร์ไม่อยู่ใน HTML หน้าแรก ผลอาจขึ้นว่าไม่พบ ทั้งที่ผู้ใช้เห็นแบนเนอร์จริง ให้ยืนยันด้วยการเปิดเว็บในหน้าต่างไม่ระบุตัวตน
รู้แค่ว่ามีทั้งคู่ ยังไม่รู้ว่าตัวติดตามรอผลจริง ต้องดูแท็บ Network ก่อนกดยอมรับ
การตรวจคุกกี้จากคำตอบแรกเห็นเฉพาะที่เซิร์ฟเวอร์ตั้ง คุกกี้ที่ JavaScript ตั้งทีหลังต้องดูในแท็บ Application
ยังต้องมี RoPA สัญญากับผู้ประมวลผล ระยะเวลาเก็บ และคนตอบคำขอจริง ซึ่งไม่มีเครื่องมือภายนอกตัวไหนมองเห็น
ผลตรวจไม่ผ่านหลายข้อ ควรแก้อะไรก่อน?
เริ่มจากจุดที่ทำให้ข้อมูลไหลออกไปแล้วโดยไม่มีฐานรองรับ แล้วค่อยเติมสิ่งที่ขาด ลำดับที่แนะนำสำหรับทีมเล็กที่มีเวลาไม่มาก เรียงดังนี้
- หยุดพิกเซลโฆษณาและตัววิเคราะห์ที่ยิงก่อนยินยอม (จุดที่ 3 และ 4) เพราะทุกครั้งที่มีคนเข้าเว็บ ข้อมูลก็ถูกส่งออกไปอีกครั้ง
- ติดแบนเนอร์ที่มีปุ่มปฏิเสธเท่ากับปุ่มยอมรับ และผูกแท็กทั้งหมดเข้ากับผลของแบนเนอร์ (จุดที่ 2)
- ใส่ลิงก์นโยบายความเป็นส่วนตัวไว้ท้ายทุกหน้าและใต้ทุกแบบฟอร์ม พร้อมตรวจว่าเนื้อหาครบหกเรื่องตามมาตรา 23 (จุดที่ 1)
- เปิดช่องทางยื่นคำขอใช้สิทธิ และตั้งคนรับผิดชอบที่รู้ว่าคำขอเข้าถึงข้อมูลมีเวลา 30 วัน (จุดที่ 5)
- ตรวจซ้ำด้วย /scan หลังแก้ทุกครั้ง และหลังทีมการตลาดเพิ่มเครื่องมือใหม่ แล้วเก็บลิงก์รายงานไว้เป็นหลักฐานว่าได้ตรวจเมื่อไร
ข้อสุดท้ายสำคัญกว่าที่คิด เว็บที่เคยผ่านมักกลับมาไม่ผ่านเพราะมีคนติดพิกเซลแคมเปญใหม่โดยไม่บอกใคร การตรวจซ้ำทุกเดือนใช้เวลาไม่กี่นาที แต่ช่วยให้เห็นปัญหาก่อนคนนอกจะเห็น
ถ้าเว็บใช้คุกกี้เพื่อส่งโฆษณาตามคนที่เคยเข้าเว็บ อ่านต่อเรื่องการเลือกฐานทางกฎหมายสำหรับการตลาดได้ที่ ส่งโปรฯ หาลูกค้าเก่า ต้องขอความยินยอมทุกครั้งไหม
คำถามที่พบบ่อย
PDPA บังคับให้ทุกเว็บไซต์ต้องมีแบนเนอร์คุกกี้ไหม?
PDPA ไม่มีคำว่าคุกกี้ในตัวบท แต่มาตรา 19 ให้ได้ความยินยอมไว้ก่อนหรือในขณะเก็บข้อมูล เมื่อไม่มีฐานอื่นรองรับ เว็บที่ใช้คุกกี้วิเคราะห์หรือโฆษณาจึงต้องมีวิธีขอความยินยอม ซึ่งในทางปฏิบัติคือแบนเนอร์ ส่วนเว็บที่ใช้แต่คุกกี้ที่จำเป็นต่อการทำงานอาจไม่ต้องขอ
มีแบนเนอร์คุกกี้แล้ว ทำไมผลตรวจยังบอกว่าตัวติดตามทำงานก่อนยินยอม?
เพราะแบนเนอร์กับตัวติดตามเป็นคนละส่วน หลายเว็บติดแบนเนอร์ไว้ แต่ยังฝังโค้ด Meta Pixel หรือ Google Analytics ตรงในหน้าเว็บ ซึ่งทำงานทันทีที่หน้าโหลด ต้องผูกแท็กทั้งหมดเข้ากับผลของแบนเนอร์ผ่านตัวจัดการแท็กหรือ Consent Mode
ลิงก์นโยบายความเป็นส่วนตัวต้องอยู่ทุกหน้าหรือแค่หน้าแรก?
มาตรา 23 กำหนดให้แจ้งก่อนหรือขณะเก็บข้อมูล ไม่ได้ระบุหน้า TDPG 4.0 ยอมรับว่าการไม่มีในบางจุดอาจไม่ขัดกฎหมายหากแจ้งที่อื่นเพียงพอ แต่แนะนำเป็นแนวปฏิบัติที่ดีให้มีในทุกจุดที่ลูกค้าเข้าถึงได้ วิธีที่ง่ายที่สุดคือวางไว้ท้ายเว็บซึ่งแสดงทุกหน้า
ผลตรวจขึ้นว่า “ตรวจจากภายนอกไม่ได้” แปลว่าไม่ผ่านหรือเปล่า?
ไม่ใช่ แปลว่าหน้านั้นสร้างด้วยสคริปต์ทั้งหน้า HTML ที่เซิร์ฟเวอร์ส่งมาจึงไม่มีลิงก์ให้อ่าน เครื่องมือจึงไม่ตัดสินว่าไม่มี ให้เปิดเว็บดูด้วยตาเองว่ามีลิงก์นโยบายและช่องทางใช้สิทธิหรือไม่
ผ่านครบห้าข้อแล้ว ถือว่าทำ PDPA ครบหรือยัง?
ยัง ห้าข้อนี้เป็นสิ่งที่เห็นได้จากหน้าเว็บเท่านั้น บริษัทยังต้องมีบันทึกรายการกิจกรรมการประมวลผล สัญญากับผู้ประมวลผล มาตรการรักษาความปลอดภัย ระยะเวลาเก็บ และคนที่ตอบคำขอใช้สิทธิได้ทันเวลา ซึ่งเครื่องมือภายนอกมองไม่เห็น
คำขอใช้สิทธิที่มาทางอีเมลทั่วไปของบริษัท นับวันอย่างไร?
มาตรา 30 วรรคสี่นับ 30 วันนับแต่วันที่ได้รับคำขอเข้าถึงข้อมูล ตัวบทไม่ได้แยกว่ามาทางช่องทางไหน คำขอที่ค้างในกล่องอีเมลที่ไม่มีใครเปิดจึงเสี่ยงเลยกำหนด ควรมีช่องทางเฉพาะและคนรับผิดชอบที่เห็นวันครบกำหนด
ตัวบทและแหล่งอ้างอิง
- พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 — มาตรา 19 · มาตรา 23 · มาตรา 30
- แนวปฏิบัติ TDPG 4.0 (Thailand Data Protection Guidelines) — แนวปฏิบัติ ไม่ใช่กฎหมาย — A7 · C20 · C23 (ตัวอย่างคุกกี้) · C48 · E9 (ตัวอย่าง)
ตัวบทที่ยกมาในกรอบ "ตัวบท" คัดคำต่อคำจากคลังกฎหมายของ AIPDPA ซึ่งถอดจากราชกิจจานุเบกษาและเอกสารของหน่วยงานรัฐ แล้วระบบตรวจทุกครั้งที่แก้บทความว่าตรงกับคลังทุกตัวอักษร · บทความนี้เป็นความรู้ทั่วไป ไม่ใช่คำปรึกษากฎหมายสำหรับกรณีใดกรณีหนึ่ง
ลงมือในระบบได้ที่
ใครรับผิดชอบเนื้อหานี้?
เรียบเรียงโดยทีมกฎหมาย AIPDPA · ผู้รับผิดชอบเนื้อหา ภูวรา ครอบตะคุ ทนายความ · เนติบัณฑิตไทย · ที่ปรึกษากฎหมายเทคโนโลยีและทรัพย์สินทางปัญญา
ใบอนุญาตทนายความ 477/2558 · เนติบัณฑิตไทย · นิติศาสตรมหาบัณฑิต กฎหมายทรัพย์สินทางปัญญาและสารสนเทศ (เหรียญทอง)