ทำคุกกี้แบนเนอร์ให้ถูกกฎหมาย PDPA ต้องมีอะไรบ้าง คุกกี้ที่ใช้ระบุหรือติดตามผู้ใช้อาจเป็นข้อมูลส่วนบุคคล คุกกี้แบนเนอร์ที่ขอความยินยอมจึงต้องเป็นไปตามมาตรา 19 แห่ง พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 คือขอก่อนหรือขณะเก็บข้อมูล ขอโดยชัดแจ้ง แจ้งวัตถุประสงค์ แยกจากข้อความอื่น ใช้ภาษาที่เข้าใจง่าย ให้ผู้ใช้ตัดสินใจได้อย่างอิสระ และถอนได้ง่ายเท่ากับตอนให้ แนวปฏิบัติ TDPG 4.0 แนะนำให้แยกคุกกี้ตามประเภทให้ผู้ใช้เลือกได้ทีละประเภท
ร้านขายเครื่องสำอางออนไลน์แห่งหนึ่งติดคุกกี้แบนเนอร์ที่มีแต่ปุ่ม 'ยอมรับ' ปุ่มเดียว ขณะที่พิกเซลโฆษณาและเครื่องมือวิเคราะห์สถิติเริ่มทำงานทันทีที่หน้าเว็บเปิด เมื่อลูกค้ารายหนึ่งถามว่าจะถอนความยินยอมได้อย่างไร ทีมงานก็ตอบไม่ได้
สรุปสิ่งที่ต้องรู้
5 ประเด็นที่สำคัญที่สุดของเรื่องนี้ สรุปจากตัวบทและแนวปฏิบัติที่อ้างอิงไว้ท้ายคู่มือ อ่านแค่ส่วนนี้ก็ตัดสินใจขั้นต่อไปได้
- แนวปฏิบัติ TDPG 4.0 ระบุว่า cookie identifiers เป็นตัวระบุทางออนไลน์ที่อาจใช้ระบุหรือแยกแยะตัวบุคคลได้
- ความยินยอมต้องได้ก่อนหรือขณะเก็บข้อมูล ทำโดยชัดแจ้ง และแจ้งวัตถุประสงค์ (มาตรา 19)
- ผู้ใช้ต้องถอนความยินยอมได้ง่ายเช่นเดียวกับตอนให้ความยินยอม
- ความยินยอมที่ขอไม่เป็นไปตามมาตรา 19 ไม่ผูกพันเจ้าของข้อมูล และนำมาใช้เก็บข้อมูลไม่ได้
- TDPG 4.0 เห็นว่าโฆษณาตามพฤติกรรมที่อาศัยโปรไฟล์รายบุคคลต้องใช้ฐานความยินยอม ไม่ใช่ฐานประโยชน์โดยชอบด้วยกฎหมาย
ทำตามนี้ 6 ขั้นตอน
ทำตามลำดับ 6 ขั้นนี้ได้ทันที แต่ละขั้นเขียนให้ทีมในองค์กรไทยลงมือได้จริงโดยไม่ต้องรอที่ปรึกษา และเก็บหลักฐานไว้ให้ผู้ตรวจดูได้
- สำรวจคุกกี้และสคริปต์ทั้งหมดทำรายการคุกกี้ พิกเซล และแท็กทุกตัวบนเว็บ ว่าใครเป็นผู้ตั้ง ใช้เพื่ออะไร และเก็บนานเท่าไร
- จัดกลุ่มตามวัตถุประสงค์แยกเป็นกลุ่มตามตัวอย่างใน TDPG 4.0 เช่น คุกกี้ที่จำเป็น คุกกี้เพื่อการวิเคราะห์หรือประสิทธิภาพ และคุกกี้เพื่อการโฆษณา
- กำหนดฐานทางกฎหมายของแต่ละกลุ่มตัดสินว่ากลุ่มใดต้องขอความยินยอมตามมาตรา 19 และกลุ่มใดอาศัยฐานอื่นในมาตรา 24 แล้วบันทึกเหตุผลไว้ในบันทึกรายการกิจกรรมการประมวลผล (RoPA)
- ออกแบบแบนเนอร์ชั้นแรกแสดงวัตถุประสงค์ด้วยภาษาที่เข้าใจง่ายและแยกจากข้อความอื่น แนวปฏิบัติที่ดีคือให้ปุ่มยอมรับกับปุ่มปฏิเสธเห็นชัดเท่ากัน เพื่อให้ผู้ใช้ตัดสินใจได้อย่างอิสระ
- ทำชั้นที่สองให้ตั้งค่ารายประเภทตามหลักการแบ่งชั้นข้อมูล (layered approach) ใน TDPG 4.0 ให้ผู้ใช้เปิดดูรายละเอียดและระยะเวลาเก็บของคุกกี้แต่ละชนิด และเลือกยินยอมทีละประเภทได้
- ให้สคริปต์ทำงานหลังได้รับความยินยอมตั้งให้สคริปต์ที่ต้องใช้ความยินยอมทำงานเมื่อผู้ใช้ยินยอมแล้วเท่านั้น เก็บบันทึกความยินยอม และมีลิงก์เปิดหน้าตั้งค่าเพื่อถอนความยินยอมได้ทุกเมื่อ
คุกกี้เป็นข้อมูลส่วนบุคคลหรือไม่?
อาจเป็น แนวปฏิบัติ TDPG 4.0 อธิบายว่าตัวระบุทางออนไลน์ (online identifiers) เช่น IP address, cookie identifiers, advertising IDs และ device fingerprints อาจใช้ระบุหรือแยกแยะผู้ใช้แต่ละรายได้ โดยเฉพาะเมื่อใช้ร่วมกับข้อมูลอื่น
TDPG 4.0 ยกตัวอย่างว่าการใช้คุกกี้ติดตามพฤติกรรมของบุคคลข้ามเว็บไซต์ อาจถือเป็นการประมวลผลข้อมูลส่วนบุคคล หากเกี่ยวข้องกับตัวระบุที่ใช้สร้างโปรไฟล์ของบุคคลนั้น
คุกกี้แบนเนอร์ต้องมีอะไรบ้างตามมาตรา 19?
มาตรา 19 ห้ามเก็บ ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลถ้าไม่ได้รับความยินยอมก่อนหรือในขณะนั้น เว้นแต่กฎหมายให้ทำได้ และกำหนดเงื่อนไขของความยินยอมที่ใช้ได้ไว้ดังนี้
- ขอโดยชัดแจ้ง เป็นหนังสือหรือผ่านระบบอิเล็กทรอนิกส์
- แจ้งวัตถุประสงค์ของการเก็บ ใช้ หรือเปิดเผยข้อมูล
- แยกส่วนจากข้อความอื่นอย่างชัดเจน เข้าถึงง่าย ใช้ภาษาที่อ่านง่าย และไม่หลอกลวงหรือทำให้เข้าใจผิด
- คำนึงอย่างถึงที่สุดในความเป็นอิสระของผู้ให้ความยินยอม
- ถอนความยินยอมได้ง่ายเช่นเดียวกับตอนให้ และแจ้งผลกระทบของการถอนถ้ามี
คุกกี้ประเภทไหนต้องขอความยินยอม?
มาตรา 24 มีฐานอื่นนอกจากความยินยอม เช่น ความจำเป็นเพื่อปฏิบัติตามสัญญา (มาตรา 24 (3)) และประโยชน์โดยชอบด้วยกฎหมาย (มาตรา 24 (5)) ซึ่งต้องไม่สำคัญน้อยกว่าสิทธิขั้นพื้นฐานของเจ้าของข้อมูล ฐานที่เหมาะสมจึงขึ้นกับว่าคุกกี้แต่ละตัวทำหน้าที่อะไร
สำหรับโฆษณาตามพฤติกรรม แนวปฏิบัติ TDPG 4.0 เห็นว่าการโฆษณาที่อาศัยโปรไฟล์รายบุคคลไม่อาจใช้ฐานประโยชน์โดยชอบด้วยกฎหมายได้ ต้องใช้ฐานความยินยอมและต้องขออย่างรัดกุม ส่วนกรณีที่เปิดเผยข้อมูลโดยอาศัยฐานประโยชน์โดยชอบด้วยกฎหมาย TDPG 4.0 ระบุให้บันทึกเหตุผลการชั่งน้ำหนักไว้ใน RoPA
ปัญหาที่พบบ่อยและวิธีแก้
องค์กรส่วนใหญ่พลาดเรื่องนี้ใน 3 จุดเดิม ๆ ตารางด้านล่างบอกทั้งวิธีแก้ด้วยตัวเอง และวิธีที่ AIPDPA ช่วยให้เสร็จเร็วกว่าพร้อมหลักฐานครบ
| ปัญหา | วิธีแก้ |
|---|---|
| ✗ มีแต่ปุ่ม 'ยอมรับ' หรือซ่อนปุ่มปฏิเสธไว้ชั้นใน | ✓ มาตรา 19 ให้คำนึงถึงความเป็นอิสระในการให้ความยินยอม และให้ถอนได้ง่ายเท่ากับตอนให้ จึงควรวางปุ่มยอมรับและปฏิเสธให้เห็นชัดเท่ากัน แบนเนอร์คุกกี้ของ AIPDPA มีปุ่มยอมรับและปฏิเสธน้ำหนักเท่ากัน มีหน้าตาให้เลือก 8 แบบ และรองรับภาษาไทยและอังกฤษ |
| ✗ สคริปต์โฆษณาทำงานก่อนผู้ใช้กดยินยอม | ✓ ความยินยอมต้องได้ก่อนหรือขณะเก็บข้อมูลตามมาตรา 19 จึงต้องตั้งให้สคริปต์รอความยินยอม แบนเนอร์ของ AIPDPA ไม่ได้บล็อกสคริปต์ภายนอกให้อัตโนมัติ คุณติดแท็กสคริปต์เองเพื่อให้ทำงานตามความยินยอม และรองรับ Google Consent Mode v2 |
| ✗ ไม่มีหลักฐานว่าใครยินยอมเมื่อไร และนโยบายคุกกี้ไม่ตรงกับของจริง | ✓ เก็บบันทึกความยินยอม และทำนโยบายคุกกี้ให้ตรงกับคุกกี้ที่ใช้จริง AIPDPA เก็บหลักฐานความยินยอมโดยไม่เก็บ IP ลบอัตโนมัติเมื่อครบ 6 ถึง 30 เดือนตามที่ตั้งไว้ และสร้างหน้านโยบายคุกกี้ให้อัตโนมัติ |
ติดคุกกี้แบนเนอร์ที่ปุ่มยอมรับและปฏิเสธเท่ากันได้ในไม่กี่นาที
แบนเนอร์คุกกี้ของ AIPDPA รองรับไทยและอังกฤษ และ Google Consent Mode v2 เก็บหลักฐานความยินยอมโดยไม่เก็บ IP และสร้างหน้านโยบายคุกกี้ให้อัตโนมัติ ดูบัญชีตัวอย่างได้ ไม่ต้องสมัคร
มีในทุกแพ็กเกจ เริ่มต้น 2,900 บาท/ปี · ดูบัญชีตัวอย่างได้ ไม่ต้องสมัคร
คำถามที่พบบ่อย
คำถามที่คนค้นหาบ่อยที่สุดเรื่องนี้ แต่ละคำตอบสั้น ตรงประเด็น และอ่านแยกข้อได้
เว็บไซต์ต้องมีคุกกี้แบนเนอร์ไหม?
ถ้าเว็บไซต์ใช้คุกกี้ที่ระบุหรือติดตามผู้ใช้โดยอาศัยฐานความยินยอม มาตรา 19 กำหนดให้ได้รับความยินยอมก่อนหรือขณะเก็บข้อมูล และคุกกี้แบนเนอร์เป็นวิธีที่ใช้กันทั่วไปในการขอความยินยอมบนเว็บไซต์
มีแค่ปุ่ม 'ยอมรับทั้งหมด' พอไหม?
มักไม่พอ มาตรา 19 ให้คำนึงถึงความเป็นอิสระของผู้ให้ความยินยอม และตัวอย่างใน TDPG 4.0 ให้ผู้ใช้ยินยอมหรือปฏิเสธคุกกี้แต่ละประเภทได้ทุกเมื่อ การปฏิเสธจึงควรทำได้ง่ายพอ ๆ กับการยอมรับ
คุกกี้ที่จำเป็นต้องขอความยินยอมไหม?
มาตรา 19 และ 24 ไม่ได้พูดถึงคุกกี้โดยตรง ตัวอย่างใน TDPG 4.0 จัดคุกกี้ที่จำเป็น (Necessary Cookies) เป็นกลุ่มแยกจากคุกกี้วิเคราะห์และคุกกี้โฆษณา ส่วนการใช้ฐานอื่นตามมาตรา 24 แทนความยินยอมต้องดูหน้าที่จริงของคุกกี้ และควรบันทึกเหตุผลไว้
คุกกี้โฆษณาใช้ฐานประโยชน์โดยชอบด้วยกฎหมายได้ไหม?
แนวปฏิบัติ TDPG 4.0 เห็นว่าไม่ได้สำหรับโฆษณาตามพฤติกรรมที่อาศัยโปรไฟล์รายบุคคล ต้องใช้ฐานความยินยอม และเจ้าของข้อมูลยังมีสิทธิคัดค้านการทำโปรไฟล์ได้ด้วย
ผู้ใช้ถอนความยินยอมคุกกี้ได้อย่างไร?
มาตรา 19 ให้ถอนความยินยอมเมื่อใดก็ได้ และต้องถอนได้ง่ายเช่นเดียวกับตอนให้ แนวปฏิบัติที่ดีคือมีลิงก์ตั้งค่าคุกกี้ที่เปิดได้จากทุกหน้า และหยุดสคริปต์ที่เกี่ยวข้องทันทีเมื่อผู้ใช้ถอน
แหล่งอ้างอิง
คู่มือนี้อ้างอิงเอกสาร 3 รายการ ตัวบทกฎหมายระบุมาตราหรือข้อไว้ชัดเจน ส่วนแนวปฏิบัติและมาตรฐานเป็นแนวทาง ไม่ใช่กฎหมาย
- พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 มาตรา 19
- พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 มาตรา 24
- แนวปฏิบัติการคุ้มครองข้อมูลส่วนบุคคล (TDPG 4.0) ข้อ A7, C48–C49 และตัวอย่างการขอความยินยอมคุกกี้ (แนวปฏิบัติ ไม่ใช่กฎหมาย)
ตัวบทในบทความนี้อ้างอิงจากคลังกฎหมายของ AIPDPA ซึ่งถอดจากราชกิจจานุเบกษา · เนื้อหาเป็นความรู้ทั่วไป หากกรณีของคุณมีข้อเท็จจริงเฉพาะ ทีมทนายของเราช่วยดูให้ได้
เครื่องมือและบริการที่ช่วยได้ทันที
อยากทำเองให้เร็วขึ้น ใช้เครื่องมือใน AIPDPA · อยากให้ทนายดูแลให้ หรืออยากเรียนให้เป็น เลือกบริการในเครือที่ตรงกับคุณได้เลย
แบนเนอร์ปุ่มยอมรับ/ปฏิเสธเท่ากัน 10 สกิน ไทย/อังกฤษ เก็บหลักฐานโดยไม่เก็บ IP และสร้างหน้านโยบายคุกกี้ให้อัตโนมัติ
ลงชื่อรอเปิดใช้งาน →รู้ทันทีว่ากิจกรรมไหนอ้างความยินยอม หลักฐานอยู่ที่ไหน และใครถอนแล้ว
ลงชื่อรอเปิดใช้งาน →สแกนเว็บเทียบมาตรฐานความมั่นคงปลอดภัยเว็บไซต์ของ NCSA และเตือนใบรับรองใกล้หมดอายุ
ลงชื่อรอเปิดใช้งาน →เว็บไซต์ที่ Google และ AI ค้นเจอ พร้อมโครงสร้างที่ถูกยกไปตอบ
ดูบริการ →
ใครรับผิดชอบเนื้อหานี้?
เรียบเรียงโดยทีมกฎหมาย AIPDPA · ผู้รับผิดชอบเนื้อหา ภูวรา ครอบตะคุ ทนายความ · เนติบัณฑิตไทย · ที่ปรึกษากฎหมายเทคโนโลยีและทรัพย์สินทางปัญญา
ใบอนุญาตทนายความ 477/2558 · เนติบัณฑิตไทย · นิติศาสตรมหาบัณฑิต กฎหมายทรัพย์สินทางปัญญาและสารสนเทศ (เหรียญทอง)
อ่านต่อ
คู่มือที่มักต้องทำต่อจากเรื่องนี้ เลือกอ่านได้ตามลำดับงานขององค์กรคุณ