สร้าง Cookie Consent Banner ให้ถูกต้องตาม PDPA ฉบับสมบูรณ์ 2569

หลายเว็บไซต์ในไทยยังเข้าใจว่า “มี Cookie Banner” เท่ากับ “ทำถูกกฎหมาย PDPA แล้ว” แค่ติดตั้งป๊อปอัพให้กดยอมรับสักปุ่มก็จบ

แต่ในความเป็นจริง สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (สคส.) ยังคงตรวจสอบและดำเนินการกับเว็บไซต์ที่เก็บคุกกี้โดยไม่ได้ขอความยินยอมอย่างถูกต้องอยู่เรื่อย ๆ และหลายกรณีก็ไม่ใช่แค่เรื่อง “แบนเนอร์สวยหรือไม่สวย” แต่เป็นเรื่องของ โครงสร้างการขอ Consent, การเก็บหลักฐาน และการควบคุมว่าเครื่องมือเก็บข้อมูลตัวไหนทำงานก่อน-หลังการยินยอม

บทความนี้เขียนโดยทีม Predictive ผู้พัฒนา CookiePlus แพลตฟอร์ม Consent Management ที่ผ่านการรับรองมาตรฐาน ISO 27001:2022 และดูแลระบบ Consent ให้ลูกค้าองค์กรจริงหลายราย เราจะพาไปดูตั้งแต่หลักการพื้นฐาน ไปจนถึงขั้นตอนสร้าง Cookie Banner แบบใช้งานได้จริง

Cookie Consent Banner คืออะไร ทำไมไม่ใช่แค่ป๊อปอัพ “กด Accept”

Cookie Consent Banner คือแบนเนอร์หรือป๊อปอัพที่แสดงบนเว็บไซต์เพื่อแจ้งวัตถุประสงค์การเก็บคุกกี้ และขอความยินยอม (Consent) จากผู้เข้าชมเว็บไซต์ก่อนที่จะเริ่มเก็บหรือใช้คุกกี้ที่ไม่จำเป็นต่อการทำงานของเว็บไซต์

ตามหลักการของ PDPA (พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562) คุกกี้ถือเป็นข้อมูลส่วนบุคคลรูปแบบหนึ่ง เพราะสามารถใช้ระบุตัวตนหรือพฤติกรรมของผู้ใช้งานได้ทางอ้อม เจ้าของเว็บไซต์ในฐานะ “ผู้ควบคุมข้อมูลส่วนบุคคล” จึงมีหน้าที่ต้องแจ้งวัตถุประสงค์และขอความยินยอมก่อนเก็บคุกกี้บางประเภท

จุดที่หลายเว็บไซต์พลาดคือ การทำแบนเนอร์ให้ “มี” แต่ไม่ได้ทำให้ “ทำงานถูกต้อง” เช่น สคริปต์ของ Google Analytics หรือ Facebook Pixel ยังคงยิงข้อมูลตั้งแต่ผู้ใช้เข้าเว็บไซต์ ก่อนที่ผู้ใช้จะกดยินยอมด้วยซ้ำ ซึ่งจุดนี้คือความเสี่ยงที่แท้จริง

ไม่ทำ Cookie Consent ให้ถูกต้อง เสี่ยงโทษอะไรบ้าง

PDPA กำหนดบทลงโทษไว้ 3 ระดับ ซึ่งใช้กับกรณีที่มีการเก็บ ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล (รวมถึงคุกกี้) โดยไม่ได้รับความยินยอมอย่างถูกต้อง:

• โทษทางปกครอง: โทษปรับทางปกครองซึ่งมีเพดานตั้งแต่ 1 ล้านบาท ไปจนถึงสูงสุด 5 ล้านบาท ขึ้นอยู่กับลักษณะความผิด
• โทษทางอาญา: จำคุกไม่เกิน 1 ปี หรือปรับไม่เกิน 1,000,000 บาท หรือทั้งจำทั้งปรับ ในกรณีที่เข้าข่ายความผิดร้ายแรง เช่น นำข้อมูลไปใช้แสวงหาประโยชน์โดยมิชอบ
• โทษทางแพ่ง: ต้องชดใช้ค่าสินไหมทดแทนตามความเสียหายจริง บวกค่าสินไหมเพื่อการลงโทษเพิ่มได้อีกไม่เกิน 2 เท่า

นอกจากความเสี่ยงด้านกฎหมายแล้ว ผลกระทบที่เกิดขึ้นบ่อยกว่าคือ ข้อมูลที่เก็บมาใช้งานไม่ได้จริง เพราะไม่มีหลักฐานยืนยันว่าผู้ใช้ยินยอมเมื่อใด ยินยอมอะไรบ้าง ทำให้ทีม Marketing หรือ Data ไม่สามารถนำข้อมูลไปใช้ต่อยอดได้อย่างมั่นใจ

ดูรายละเอียดกฎหมายฉบับเต็มได้ที่เว็บไซต์ทางการของ สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (PDPC)

คุกกี้มีกี่ประเภท คุกกี้ไหนต้องขอ Consent

หลักสำคัญคือ คุกกี้ที่ไม่จำเป็นต่อการทำงานพื้นฐานของเว็บไซต์ทั้งหมดต้องได้รับความยินยอมก่อนเริ่มทำงาน ไม่ใช่แค่แสดง Banner ให้เห็นเฉย ๆ

Checklist: Cookie Consent Banner ที่ถูกต้องตาม PDPA ต้องมีอะไรบ้าง

ก่อนจะบอกว่าเว็บไซต์ของคุณ “พร้อมแล้ว” ให้เช็กตามลิสต์นี้:

[ ] แยกประเภทคุกกี้ชัดเจน (จำเป็น / วิเคราะห์ / การตลาด)

[ ] ผู้ใช้เลือกยินยอมเป็นรายประเภทได้ ไม่ใช่มีแค่ปุ่ม “ยอมรับทั้งหมด”

[ ] ปุ่ม “ปฏิเสธ” มองเห็นง่ายเท่ากับปุ่ม “ยอมรับ” ไม่ซ่อนไว้ในหลายคลิก

[ ] สคริปต์ที่ไม่จำเป็นต้องถูก “บล็อก” จนกว่าจะได้รับความยินยอม (ไม่ใช่แค่ซ่อน UI)

[ ] มีลิงก์เชื่อมโยงไปหน้า Cookie Policy และ Privacy Policy ที่อ่านเข้าใจง่าย

[ ] ระบุระยะเวลาจัดเก็บคุกกี้ (อายุคุกกี้)

[ ] มีระบบบันทึกหลักฐานการยินยอม (Consent Log) ที่ตรวจสอบย้อนหลังได้

[ ] ผู้ใช้สามารถกลับมาเปลี่ยนการตั้งค่าคุกกี้ได้ทุกเมื่อ

[ ] รองรับหลายภาษา หากเว็บไซต์มีผู้ใช้งานต่างชาติ

[ ] เชื่อมต่อกับ Google Consent Mode ได้ เพื่อให้ Google Analytics/Ads ปรับพฤติกรรมตามการยินยอมจริง

ข้อที่เว็บไซต์ส่วนใหญ่มักตกม้าตายคือข้อ “บล็อกสคริปต์จนกว่าจะยินยอม” และ “เก็บหลักฐาน Consent” เพราะสองเรื่องนี้ทำด้วยแบนเนอร์ฟรีทั่วไปได้ยาก ต้องอาศัยระบบ CMP ที่ออกแบบมาโดยเฉพาะ

3 วิธีสร้าง Cookie Consent Banner เทียบข้อดี-ข้อเสีย

สำหรับธุรกิจที่ใช้ข้อมูลเพื่อการตลาดหรือ Analytics อย่างจริงจัง การใช้ CMP มักคุ้มค่ากว่าในระยะยาว เพราะลดความเสี่ยงด้านกฎหมายและยังทำให้ข้อมูลที่เก็บมามีคุณภาพพอนำไปใช้ต่อได้จริง ซึ่งเป็นแนวคิดที่ทีม Predictive อธิบายไว้ละเอียดในบทความ Cookie Consent Platform ปี 2026: มากกว่าแค่ Banner

ขั้นตอนติดตั้ง Cookie Consent Banner ให้ใช้งานได้จริง

1. สำรวจคุกกี้ที่เว็บไซต์ใช้งานอยู่จริง — สแกนเว็บไซต์เพื่อดูว่ามีสคริปต์อะไรทำงานอยู่บ้าง (Analytics, Pixel, Chat widget ฯลฯ) แล้วจัดหมวดหมู่ตามประเภท
2. เลือกเครื่องมือที่รองรับการบล็อกสคริปต์ก่อนยินยอม ไม่ใช่แค่แสดงแบนเนอร์เฉย ๆ
3. ติดตั้งโค้ดผ่าน Google Tag Manager หรือฝังในแท็ก <head> เพื่อให้แบนเนอร์ทำงานก่อนสคริปต์อื่นเริ่มเก็บข้อมูล
4. ตั้งค่า Consent Mode ให้เชื่อมกับ Google Analytics และ Google Ads เพื่อให้เครื่องมือปรับพฤติกรรมตามการยินยอมของผู้ใช้จริง (อ่านรายละเอียดเทคนิคได้จาก เอกสารทางการของ Google)
5. ปรับแต่งข้อความและดีไซน์ให้สอดคล้องกับแบรนด์ และเขียนด้วยภาษาที่คนทั่วไปอ่านเข้าใจ ไม่ใช้ศัพท์กฎหมาย
6. ทดสอบว่าสคริปต์ถูกบล็อกจริง ก่อนผู้ใช้กดยินยอม โดยเปิด Developer Console ตรวจสอบ Network request
7. ตรวจสอบ Consent Log ว่าระบบบันทึกวันเวลา และประเภทที่ผู้ใช้ยินยอมไว้ครบถ้วน สามารถดึงย้อนหลังได้หากถูกร้องขอ

5 ข้อผิดพลาดที่เว็บไซต์ไทยส่วนใหญ่ยังทำอยู่

1. ใช้ Cookie Banner แบบไม่บล็อกสคริปต์ — แบนเนอร์ขึ้น แต่ Google Analytics เก็บข้อมูลไปแล้วตั้งแต่โหลดหน้าเว็บ
2. มีแค่ปุ่ม “ยอมรับ” ไม่มีปุ่ม “ปฏิเสธ” ที่ชัดเจน — ขัดกับหลักการขอความยินยอมโดยอิสระ (Freely Given Consent)
3. ไม่เก็บหลักฐานการยินยอม — เมื่อถูกร้องเรียนหรือตรวจสอบ ไม่มีข้อมูลยืนยันว่าผู้ใช้ยินยอมจริง
4. ใช้แบนเนอร์ตัวเดียวกับทุกเว็บไซต์ในเครือ — โดยไม่ได้แยกโดเมนหรือแยกวัตถุประสงค์การใช้คุกกี้ตามแต่ละเว็บไซต์
5. ตั้งค่าแล้วไม่เคยอัปเดต — เมื่อมีการติดตั้งเครื่องมือใหม่ (เช่น Pixel ของแพลตฟอร์มโฆษณาใหม่) แต่ไม่ได้เพิ่มเข้าไปในระบบ Consent ทำให้ Banner ไม่ตรงกับสิ่งที่เว็บไซต์เก็บจริง

Cookie Consent ไม่ใช่แค่เรื่อง Compliance แต่คือจุดเริ่มต้นของ Data Strategy

ในมุมของทีม Predictive เราเชื่อว่า Consent ที่ถูกเก็บอย่างถูกต้องคือจุดเริ่มต้นของ First-party Data ที่มีคุณภาพ ซึ่งเป็นรากฐานสำคัญก่อนที่องค์กรจะต่อยอดไปสู่การทำ Customer Data Platform (CDP), Marketing Automation หรือ AI Analytics ได้อย่างมั่นใจ

หากขั้นตอนแรกของ Data Journey ผิดพลาด ข้อมูลที่ตามมาทั้งหมดก็อาจใช้งานไม่ได้ตามกฎหมาย ไม่ว่าจะลงทุนด้าน Data หรือ AI มากแค่ไหนก็ตาม

ทำไมองค์กรจำนวนมากเลือก CookiePlus by Predictive

CookiePlus คือ Consent Management Platform ที่ออกแบบมาให้ธุรกิจไทยใช้งานง่าย และรองรับทั้งฝั่งกฎหมายและฝั่งการใช้ข้อมูลจริง:

• รองรับ PDPA และ GDPR พร้อมอัปเดตตามแนวปฏิบัติล่าสุด
• รองรับ Google Consent Mode v2 เต็มรูปแบบ ไม่ต้องเขียนโค้ดเพิ่ม
• บล็อกสคริปต์อัตโนมัติ จนกว่าผู้ใช้จะกดยินยอม
• มี Consent Log และ Audit Trail ตรวจสอบย้อนหลังได้ทุกเมื่อ
• รองรับ หลายเว็บไซต์ หลายโดเมน ในบัญชีเดียว
• ปรับแต่งดีไซน์ Banner ให้ตรงกับแบรนด์ได้เต็มที่
• ผ่านการรับรองมาตรฐาน ISO 27001:2022 ด้านความมั่นคงปลอดภัยสารสนเทศ
• มีทีมผู้เชี่ยวชาญด้าน Data และ Privacy ของ Predictive ให้คำปรึกษาโดยตรง ไม่ใช่แค่ขายซอฟต์แวร์แล้วจบ

คำถามที่พบบ่อย (FAQ)

พร้อมทำให้เว็บไซต์ของคุณสอดคล้องกับ PDPA อย่างถูกต้องแล้วหรือยัง?

อย่าปล่อยให้ Cookie Banner ที่ “มีแต่ไม่ทำงานจริง” กลายเป็นความเสี่ยงขององค์กร ทีมผู้เชี่ยวชาญของ Predictive พร้อมประเมินเว็บไซต์ของคุณฟรี และแนะนำแนวทางที่เหมาะสมที่สุด ไม่ว่าจะเริ่มต้นใหม่หรือย้ายระบบจากผู้ให้บริการเดิม

ติดต่อทีม Predictive เพื่อประเมินและติดตั้ง CookiePlus วันนี้ →

หรือดูรายละเอียดฟีเจอร์ทั้งหมดของ CookiePlus ได้ที่ cookieplus.com