คำมั่นเรื่อง “ไม่ต้องมีแบนเนอร์”

เครื่องมือวิเคราะห์ที่เน้นความเป็นส่วนตัวมักโฆษณาตัวเองว่าไม่ใช้คุกกี้ และบางรายไปไกลกว่านั้นโดยบอกเป็นนัยว่าคุณไม่ต้องมีแบนเนอร์ความยินยอมอีกต่อไป สำหรับผู้เผยแพร่ที่ใช้สแต็กเรียบง่าย นี่เป็นแนวคิดที่น่าสนใจ แต่ความจริงซับซ้อนกว่านั้น การต้องมีความยินยอมหรือไม่ขึ้นอยู่กับว่าเครื่องมือทำอะไรบนอุปกรณ์จริงๆ ประมวลผลข้อมูลอะไร ผู้ใช้ของคุณอยู่ที่ไหน และมีอะไรอื่นทำงานบนหน้าของคุณ

บทความนี้อธิบายคำถามที่ควรถามก่อนถอนการวิเคราะห์ออกจากการตั้งค่าความยินยอมของคุณ เป็นแนวทางทั่วไป ไม่ใช่คำปรึกษาทางกฎหมาย

คุกกี้ไม่ใช่ตัวกระตุ้นเพียงอย่างเดียว

ใน EU กฎความยินยอมสำหรับอุปกรณ์มาจากมาตรา 5(3) ของคำสั่ง ePrivacy ซึ่งครอบคลุมการจัดเก็บข้อมูลบน หรือการเข้าถึงข้อมูลจาก อุปกรณ์ของผู้ใช้ ไม่ใช่แค่คุกกี้ local storage, session storage, พิกเซลที่ทำให้มีการอ่านข้อมูล และเทคนิคที่สร้างตัวระบุจากลักษณะของอุปกรณ์ล้วนอยู่ในขอบเขตได้ คณะกรรมการคุ้มครองข้อมูลแห่งยุโรปวางการตีความที่กว้างนี้ไว้ใน Guidelines 2/2023 ว่าด้วยขอบเขตทางเทคนิคของมาตรา 5(3)

ดังนั้น “เราไม่ตั้งคุกกี้” จึงเป็นจุดเริ่มต้นของการวิเคราะห์ ไม่ใช่จุดจบ คุณต้องรู้ว่าเครื่องมือจัดเก็บหรืออ่านอะไรบนอุปกรณ์หรือไม่

สี่คำถามสำหรับเครื่องมือวิเคราะห์ทุกตัว

1. เครื่องมือจัดเก็บหรืออ่านอะไรบนอุปกรณ์หรือไม่

ตรวจแผงที่จัดเก็บของเบราว์เซอร์หลังโหลดหน้า ได้แก่ คุกกี้ local storage, session storage, IndexedDB ตรวจสคริปต์ว่ามีโค้ดที่เก็บลักษณะของอุปกรณ์เพื่อสร้างตัวระบุหรือไม่ หากมีการจัดเก็บหรืออ่านอะไรเพื่อวัตถุประสงค์ด้านการวิเคราะห์ กฎ ePrivacy จะเริ่มมีผล เว้นแต่เข้าข้อยกเว้น

2. เครื่องมือประมวลผลข้อมูลส่วนบุคคลหรือไม่

แม้ไม่มีการจัดเก็บบนอุปกรณ์ การวิเคราะห์มักประมวลผลที่อยู่ IP, user agent และ URL ของหน้า ภายใต้ GDPR สิ่งเหล่านี้อาจเป็นข้อมูลส่วนบุคคล ซึ่งต้องมีฐานทางกฎหมาย — ซึ่งอาจเป็นประโยชน์ที่ชอบด้วยกฎหมายแทนความยินยอม — รวมถึงความโปร่งใสในประกาศความเป็นส่วนตัว การใช้ข้อมูลเท่าที่จำเป็น และการเก็บรักษาที่เหมาะสม “ไม่มีแบนเนอร์” ไม่เคยหมายความว่า “ไม่มีหน้าที่”

3. ประเทศของผู้ใช้ของคุณมีข้อยกเว้นหรือไม่

หน่วยงานกำกับดูแลบางแห่งยอมรับว่าการวัดผู้ชมแบบจำกัดอาจได้รับยกเว้นจากความยินยอมหากเป็นไปตามเงื่อนไขที่เข้มงวด CNIL ของฝรั่งเศสเผยแพร่เงื่อนไขสำหรับการยกเว้นตัวติดตามการวัดผู้ชม และดำเนินโครงการระบุเครื่องมือที่กำหนดค่าให้เป็นไปตามเงื่อนไขได้ เงื่อนไขโดยทั่วไปรวมถึงการใช้แบบ first-party อย่างเคร่งครัด สถิติแบบรวมเท่านั้น ไม่ติดตามข้ามเว็บไซต์ และการเก็บรักษาที่จำกัด Data (Use and Access) Act 2025 ของสหราชอาณาจักรเพิ่มข้อยกเว้นใหม่ต่อข้อกำหนดความยินยอมของ PECR รวมถึงวัตถุประสงค์ทางสถิติบางประเภท ภายใต้เงื่อนไข เช่น ข้อมูลที่ชัดเจนและช่องทางคัดค้าน ไม่ใช่ทุกประเทศมีมุมมองเดียวกัน ดังนั้นตรวจสอบจุดยืนในแต่ละตลาดที่คุณให้บริการและบทบัญญัติใดที่มีผลบังคับใช้

4. ข้อมูลถูกแชร์กับผู้อื่นหรือไม่

หากเครื่องมือส่งข้อมูลไปยังผู้ให้บริการที่ใช้เพื่อวัตถุประสงค์ของตนเอง หรือรวมข้อมูลข้ามลูกค้า ข้อยกเว้นมักตกไป ให้อ่านข้อกำหนดการประมวลผล ไม่ใช่แค่หน้าการตลาด

สิ่งที่มักยังต้องมีความยินยอม

• แท็กโฆษณา ผู้เผยแพร่ที่พึ่งโฆษณาต้องมีความยินยอมสำหรับโฆษณาที่ปรับแต่งส่วนบุคคลและการจัดเก็บบนอุปกรณ์โดยผู้ขายโฆษณา ไม่ว่าเครื่องมือวิเคราะห์ของพวกเขาจะทำอะไร
• เครื่องมือที่มีตัวระบุข้ามเซสชัน รหัสผู้เข้าชมถาวร แม้เป็น first-party มักทำให้เครื่องมืออยู่นอกข้อยกเว้นส่วนใหญ่
• การเล่นซ้ำเซสชันและฮีตแมป สิ่งเหล่านี้จับพฤติกรรมโดยละเอียดและแทบไม่ถูกมองว่าเป็นการวัดผลที่ได้รับยกเว้น
• เนื้อหาฝังและวิดเจ็ตโซเชียล สิ่งเหล่านี้ตั้งคุกกี้และตัวระบุของตนเอง
• พิกเซลคอนเวอร์ชันและรีมาร์เก็ตติ้ง สิ่งเหล่านี้มีไว้เชื่อมพฤติกรรมกับโฆษณา

สำหรับเว็บไซต์ที่พึ่งโฆษณาส่วนใหญ่ แบนเนอร์จำเป็นสำหรับสแต็กโฆษณาอยู่แล้ว คำถามที่แท้จริงคือการวิเคราะห์ควรเป็นหนึ่งในหมวดที่ถูกควบคุม หรือทำงานอิสระภายใต้ข้อยกเว้นที่แคบได้

วิธีตัดสินใจเชิงปฏิบัติ

1. ระบุสคริปต์วิเคราะห์ทุกตัวและสิ่งที่มันจัดเก็บ อ่าน และส่ง
2. ระบุประเทศที่ผู้ใช้ส่วนใหญ่ของคุณอยู่
3. สำหรับแต่ละเครื่องมือ ตรวจว่าการกำหนดค่าตรงตามข้อยกเว้นที่ได้รับการยอมรับในประเทศเหล่านั้นหรือไม่
4. กำหนดค่าเครื่องมือเป็นเวอร์ชันที่เข้มงวดที่สุดที่คุณต้องการ: ตัด IP ไม่มี ID ถาวร เก็บรักษาสั้น ไม่แชร์ข้อมูล
5. จัดทำเอกสารเหตุผล และระบุเครื่องมือวิเคราะห์ไว้ในนโยบายคุกกี้และประกาศความเป็นส่วนตัวไม่ว่ากรณีใด
6. ตรวจซ้ำเมื่อผู้ให้บริการเปลี่ยนผลิตภัณฑ์หรือตลาดของคุณเปลี่ยน

การใช้การวิเคราะห์ที่ได้รับยกเว้นควบคู่กับ CMP

หากคุณตัดสินใจว่าเครื่องมือเข้าเกณฑ์ ให้ระบุในรายการ CMP ของคุณเป็นประเภทจำเป็นอย่างยิ่งหรือได้รับยกเว้น เพื่อให้เปิดเผยแต่ไม่ถูกควบคุม และตรวจให้การกำหนดค่าอยู่ในขอบเขตของข้อยกเว้น ผู้เผยแพร่จำนวนมากยังคงการตั้งค่าการวิเคราะห์ที่ขึ้นกับความยินยอมไว้เพื่อการวัดผลที่ละเอียดกว่า และใช้ Google Consent Mode v2 หรือสัญญาณที่คล้ายกันเพื่อปรับตามทางเลือกของผู้ใช้ FlexyConsent รองรับ Google Consent Mode v2 ควบคู่กับ IAB TCF 2.4 และ IAB GPP v1.1

ประเด็นสำคัญ

• “ไม่ใช้คุกกี้” ไม่ได้หมายความโดยอัตโนมัติว่า “ไม่ต้องมีความยินยอม” มาตรา 5(3) ครอบคลุมการจัดเก็บหรือเข้าถึงอุปกรณ์ทุกรูปแบบ
• การวิเคราะห์ที่ไม่มีการจัดเก็บบนอุปกรณ์ยังอาจประมวลผลข้อมูลส่วนบุคคล และต้องมีฐานทางกฎหมายและความโปร่งใส
• ข้อยกเว้นสำหรับการวัดผู้ชมมีในบางประเทศ แต่มาพร้อมเงื่อนไขที่เข้มงวด
• โฆษณา การเล่นซ้ำเซสชัน และแท็กรีมาร์เก็ตติ้งยังต้องมีความยินยอม
• จัดทำเอกสารว่าเหตุใดจึงถือว่าเครื่องมือได้รับยกเว้น และตรวจซ้ำอย่างสม่ำเสมอ