PDPA Consent คืออะไร และขอความยินยอมบนเว็บไซต์อย่างไรให้ถูกต้อง

PDPA consent คืออะไร สรุปสั้น ๆ

PDPA consent คือการที่เจ้าของข้อมูลตกลงให้ธุรกิจเก็บหรือใช้ข้อมูลของตนเพื่อวัตถุประสงค์ที่ระบุไว้ชัดเจน บนเว็บไซต์ ความยินยอมมักปรากฏในสองจุด คือแบนเนอร์คุกกี้และช่องติ๊กในฟอร์ม

ตามมาตรา 19 ความยินยอมต้องขอโดยชัดแจ้ง เป็นหนังสือหรือผ่านระบบอิเล็กทรอนิกส์ แยกออกจากข้อความเรื่องอื่น ใช้ภาษาที่อ่านเข้าใจง่าย ไม่นำไปเป็นเงื่อนไขของการใช้บริการในเรื่องที่ไม่จำเป็น และเจ้าของข้อมูลต้องถอนได้ง่ายเท่ากับตอนให้

สิ่งที่หลายเว็บสับสนคือคิดว่าการมีหน้านโยบายความเป็นส่วนตัวเท่ากับได้รับความยินยอมแล้ว ความจริงนโยบายเป็นเพียงการแจ้งให้ทราบ ส่วนความยินยอมคือการกระทำของผู้ใช้ที่ต้องเกิดขึ้นจริงและพิสูจน์ได้ บทความนี้เน้นวิธีทำบนหน้าเว็บ หากต้องการภาพรวมของตัวกฎหมาย เช่น สิทธิของเจ้าของข้อมูล ROPA และบทลงโทษ อ่านได้ที่บทความสรุปกฎหมาย PDPA มีอะไรบ้าง เนื้อหาทั้งหมดไม่ใช่คำแนะนำทางกฎหมาย กรณีเฉพาะควรปรึกษานักกฎหมาย

Consent กับ Privacy Notice ไม่ใช่เรื่องเดียวกัน

ทั้งสองอย่างมักอยู่ใกล้กันบนหน้าเว็บ แต่ทำหน้าที่ต่างกัน ตารางนี้สรุปความแตกต่างที่ควรรู้ก่อนออกแบบฟอร์มหรือแบนเนอร์

ข้อสรุปสำคัญคือ ทุกเว็บที่เก็บข้อมูลต้องมีประกาศความเป็นส่วนตัว แต่ไม่ใช่ทุกเว็บที่ต้องขอความยินยอมในทุกจุด

เมื่อไรต้องขอความยินยอม และเมื่อไรไม่ต้อง

การขอความยินยอมในเรื่องที่ไม่จำเป็นสร้างปัญหามากกว่าที่คิด เพราะถ้าผู้ใช้ถอนความยินยอม คุณต้องหยุดใช้ข้อมูลนั้น แม้จะยังจำเป็นต่อการให้บริการก็ตาม ก่อนใส่ช่องติ๊ก ลองถามว่ามีฐานกฎหมายอื่นรองรับหรือไม่

กรณีที่ไม่ต้องขอความยินยอม

• ลูกค้าสั่งสินค้า ร้านใช้ชื่อ เบอร์โทร และที่อยู่เพื่อส่งของผ่าน Thailand Post หรือ J&T ฐานคือการปฏิบัติตามสัญญา
• เก็บข้อมูลผู้ซื้อเพื่อออกใบกำกับภาษีอิเล็กทรอนิกส์ ฐานคือหน้าที่ตามกฎหมาย
• ตอบกลับข้อความที่ผู้ใช้ส่งมาผ่านฟอร์มติดต่อ ผู้ใช้ส่งข้อมูลมาเพื่อให้ติดต่อกลับเอง จึงใช้ฐานประโยชน์โดยชอบด้วยกฎหมายหรือขั้นตอนก่อนทำสัญญาได้

กรณีที่ต้องขอความยินยอม

• ส่งอีเมลโปรโมชันหรือจดหมายข่าวเพื่อการตลาด
• ติดคุกกี้วิเคราะห์การเข้าชมและคุกกี้โฆษณา
• เก็บข้อมูลอ่อนไหว เช่น อาการป่วย
• ส่งต่อข้อมูลให้พันธมิตรนำไปทำการตลาดของตัวเอง

ทำ cookie consent บนเว็บไซต์อย่างไร

เริ่มจากแยกคุกกี้บนเว็บของคุณเป็นกลุ่ม แล้วกำหนดว่ากลุ่มไหนต้องรอความยินยอม

• คุกกี้ที่จำเป็น เช่น ตะกร้าสินค้า การเข้าสู่ระบบ และการจดจำภาษาที่เลือก ทำงานได้ทันทีโดยไม่ต้องขอความยินยอม แต่ต้องแจ้งไว้ในนโยบาย
• คุกกี้วิเคราะห์ เช่น Google Analytics ต้องรอให้ผู้ใช้ยอมรับก่อนจึงโหลดสคริปต์
• คุกกี้การตลาด เช่น พิกเซลโฆษณาของ Meta หรือ TikTok ต้องรอความยินยอมเช่นกัน

กติกาของแบนเนอร์ที่ดี

• ปุ่มปฏิเสธต้องเห็นชัดและกดง่ายเท่าปุ่มยอมรับ ไม่ซ่อนไว้ในหน้าตั้งค่า
• สวิตช์ของแต่ละกลุ่มเริ่มต้นที่ปิด ยกเว้นกลุ่มที่จำเป็น
• การเลื่อนหน้าจอหรือปิดแบนเนอร์ไม่นับเป็นการยอมรับ
• มีลิงก์ตั้งค่าคุกกี้ที่ส่วนท้ายเว็บ เพื่อให้เปลี่ยนใจได้ภายหลัง

ตัวอย่างข้อความภาษาไทยบนแบนเนอร์

“เว็บไซต์นี้ใช้คุกกี้ที่จำเป็นเพื่อให้เว็บทำงานได้ และขอใช้คุกกี้วิเคราะห์และคุกกี้การตลาดเมื่อคุณอนุญาตเท่านั้น อ่านรายละเอียดได้ในนโยบายคุกกี้” ตามด้วยปุ่ม “ยอมรับทั้งหมด” “ปฏิเสธทั้งหมด” และ “ตั้งค่า” ขนาดเท่ากัน บนเว็บสองภาษา แบนเนอร์ควรแสดงตามภาษาของหน้าที่ผู้ใช้เปิดอยู่

แบนเนอร์คุกกี้ดูแลเรื่องความยินยอม ส่วนการส่งข้อมูลอย่างปลอดภัยเป็นอีกเรื่องหนึ่ง ถ้าเว็บยังไม่ได้เข้ารหัสทุกหน้า อ่านขั้นตอนในวิธีเปิด HTTPS และ SSL ให้เว็บไซต์ สคส. อาจออกแนวปฏิบัติเพิ่มเติมเกี่ยวกับคุกกี้ ควรตรวจสอบเอกสารล่าสุดบนเว็บไซต์ของ สคส. เป็นระยะ

ความยินยอมในฟอร์มติดต่อและฟอร์มสมัครสมาชิก

ฟอร์มคือจุดที่เว็บส่วนใหญ่ทำผิดโดยไม่ตั้งใจ รูปแบบที่แนะนำมีดังนี้

1. เหนือปุ่มส่ง ใส่ข้อความสั้น ๆ ว่า “เราจะใช้ข้อมูลนี้เพื่อตอบกลับคำถามของคุณ อ่านรายละเอียดในนโยบายความเป็นส่วนตัว” พร้อมลิงก์ ไม่ต้องบังคับติ๊ก เพราะการตอบกลับไม่ต้องอาศัยความยินยอม
2. หากอยากส่งข่าวสาร ให้เพิ่มช่องแยก เช่น “ฉันต้องการรับข่าวสารและโปรโมชันทางอีเมล” ช่องนี้ต้องว่างไว้ก่อน และฟอร์มต้องส่งได้แม้ไม่ติ๊ก
3. ฟอร์มสมัครสมาชิกร้านค้าออนไลน์ควรแยกการยอมรับเงื่อนไขการใช้บริการออกจากการยินยอมรับการตลาด ไม่รวมเป็นช่องเดียว
4. ขอเฉพาะช่องที่ใช้จริง ถ้าไม่ได้ใช้วันเกิด ก็ไม่ต้องถาม

อีกเรื่องที่ควรตรวจคือเครื่องมือวัดผล หลายเว็บติดตามว่าฟอร์มถูกส่งกี่ครั้งเพื่อดูว่าคนมาจากช่องทางไหน ถ้าการวัดผลนั้นใช้คุกกี้วิเคราะห์ ก็ต้องอยู่ภายใต้แบนเนอร์เดียวกัน ถ้าสนใจว่าข้อมูลการเข้าชมช่วยพัฒนาเว็บให้คนค้นเจออย่างไร อ่านSEO ย่อมาจากอะไรและทำงานอย่างไรประกอบ

ข้อมูลอ่อนไหวต้องได้รับความยินยอมโดยชัดแจ้ง

เมื่อฟอร์มเก็บข้อมูลตามมาตรา 26 เช่น ข้อมูลสุขภาพ มาตรฐานจะสูงขึ้น ตัวอย่างที่เห็นบ่อยคือฟอร์มนัดหมายของคลินิกความงามหรือคลินิกทันตกรรม ที่มีช่องให้เล่าอาการ โรคประจำตัว หรือแนบรูปถ่าย

• ใช้ช่องติ๊กแยกเฉพาะเรื่องข้อมูลสุขภาพ ระบุชัดว่าจะใช้เพื่อประเมินก่อนนัดหมายเท่านั้น
• ถ้าไม่จำเป็นต้องรู้อาการก่อนนัด ให้ตัดช่องนั้นออก แล้วถามตอนผู้ป่วยมาถึงคลินิก
• จำกัดคนที่เปิดดูข้อมูลในระบบหลังบ้าน และอย่าส่งเนื้อหาฟอร์มทั้งหมดไปยังอีเมลกลางที่หลายคนเข้าถึงได้

คลินิกที่วางแผนทำเว็บใหม่ ดูแนวทางการจัดหน้าบริการ ตารางแพทย์ และฟอร์มนัดหมายได้ที่หน้ารับทำเว็บไซต์คลินิก

เก็บหลักฐานและรองรับการถอนความยินยอม

ถ้าวันหนึ่งมีคนถามว่าเขายินยอมเมื่อไร คุณต้องตอบได้ ระบบที่ดีควรบันทึกอย่างน้อย วันและเวลาที่ให้ความยินยอม เวอร์ชันของข้อความที่ผู้ใช้เห็นในตอนนั้น และหมวดที่ยอมรับหรือปฏิเสธ ปลั๊กอินจัดการคุกกี้หลายตัวบันทึกข้อมูลนี้ให้อัตโนมัติ ส่วนฟอร์มสมัครรับข่าวสารควรเก็บวันที่สมัครไว้ในรายชื่อด้วย

การถอนความยินยอมต้องง่ายพอ ๆ กับการให้ ได้แก่ ลิงก์ยกเลิกรับข่าวสารในทุกอีเมล ปุ่มตั้งค่าคุกกี้ที่ส่วนท้ายเว็บ และอีเมลติดต่อสำหรับคำขอเรื่องข้อมูล เมื่อมีคนถอน ให้หยุดใช้ข้อมูลเพื่อวัตถุประสงค์นั้นและแจ้งผู้ให้บริการที่เกี่ยวข้อง เช่น ระบบส่งอีเมล

เครื่องมือเหล่านี้ต้องได้รับการอัปเดตเหมือนส่วนอื่นของเว็บ ปลั๊กอินที่เลิกพัฒนาอาจหยุดบล็อกสคริปต์โดยไม่มีใครรู้ บริการดูแลเว็บไซต์ WordPress หลังส่งมอบของเราช่วยตรวจสิ่งนี้ได้ โดยคิดราคาตามแต่ละเว็บเมื่อขอใบเสนอราคา

เช็กลิสต์นโยบาย PDPA บนเว็บไซต์

ใช้รายการนี้ตรวจหน้านโยบายความเป็นส่วนตัวของคุณวันนี้ได้เลย

• ชื่อและช่องทางติดต่อของผู้ควบคุมข้อมูล และของ DPO ถ้ามี
• ข้อมูลที่เก็บ แยกตามช่องทาง เช่น ฟอร์ม ระบบสั่งซื้อ คุกกี้
• วัตถุประสงค์ของการเก็บแต่ละประเภท
• ฐานกฎหมายที่ใช้กับแต่ละวัตถุประสงค์
• ระยะเวลาเก็บ หรือเกณฑ์ที่ใช้กำหนดระยะเวลา
• ผู้รับข้อมูล เช่น บริษัทขนส่ง ผู้ให้บริการชำระเงิน โฮสติ้ง
• การส่งข้อมูลไปต่างประเทศ ถ้าเซิร์ฟเวอร์หรือเครื่องมืออยู่นอกประเทศไทย
• สิทธิของเจ้าของข้อมูลและวิธียื่นคำขอ
• วันที่ปรับปรุงนโยบายครั้งล่าสุด

ถ้าตรวจแล้วพบว่าต้องแก้หลายจุด หรือกำลังจะทำเว็บใหม่อยู่แล้ว แพ็กเกจ Starter เริ่มต้น 10,000 บาท (ราคาประมาณการ จ่ายครั้งเดียว) มีการตั้งค่า PDPA cookie consent รวมอยู่ ขอใบเสนอราคาสำหรับเว็บของคุณได้ทุกวัน 10:00 ถึง 19:00 น.

บทความที่เกี่ยวข้องกับความยินยอม

อ่านต่อเรื่องความปลอดภัยและกฎหมายที่เกี่ยวกับเว็บไซต์ หรือดูบทความเกี่ยวกับการทำเว็บไซต์ทั้งหมดของเรา

• กฎหมาย PDPA คืออะไร และธุรกิจที่มีเว็บไซต์ต้องทำอะไรบ้าง

  กฎหมาย PDPA คืออะไร ใช้กับใคร ข้อมูลส่วนบุคคลกับข้อมูลอ่อนไหวต่างกันอย่างไร ROPA และ DPO คืออะไร โทษมีอะไรบ้าง พร้อมรายการสิ่งที่เว็บไซต์ธุรกิจต้องทำ

  อ่านบทความ

• วิธีเปิด HTTPS ให้เว็บไซต์ทีละขั้น และเข้าใจว่า HTTPS ทำงานอย่างไร

  HTTPS คืออะไร SSL กับ TLS ต่างกันอย่างไร พร้อมขั้นตอนเปิด HTTPS ตั้ง redirect แก้ค่า WordPress แก้ mixed content และป้องกันใบรับรองหมดอายุ โดยไม่เสียอันดับใน Google

  อ่านบทความ

• SEO คืออะไร อธิบายให้เจ้าของธุรกิจเข้าใจตั้งแต่พื้นฐาน

  SEO ย่อมาจาก Search Engine Optimization บทความนี้อธิบายการทำงานของ Google ประเภทของ SEO ขั้นตอนการทำ ความต่างจาก SEM เรื่องคำค้นภาษาไทย และสัญญาณอันตรายที่ควรระวัง

  อ่านบทความ

แหล่งอ้างอิง

• พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 (ราชกิจจานุเบกษา)
• สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (สคส.)

ตรวจทานโดย Litesh Dhirผู้ร่วมก่อตั้ง ดูแลงาน SEO และการพัฒนาเว็บไซต์

สร้างเว็บไซต์และดูแลอันดับการค้นหา รวมถึงวางระบบเบื้องหลังเว็บไซต์ลูกค้า 17 แห่งที่เราเผยแพร่ตัวเลขจาก Search Console เกี่ยวกับเรา (หน้าภาษาอังกฤษ)