การจัดหมวดหมู่คุกกี้ คืออะไร? คู่มือสำหรับโรงเรียน มหาวิทยาลัย และธุรกิจการศึกษา

เว็บไซต์สถานศึกษาแห่งหนึ่งอาจมีคุกกี้จากหลายสิบระบบพร้อมกัน ตั้งแต่ระบบเข้าสู่ระบบของนักเรียน ระบบ LMS ที่ใช้สอนออนไลน์ ไปจนถึงปุ่มแชร์โซเชียลมีเดียบนหน้าข่าวประชาสัมพันธ์ การจัดหมวดหมู่คุกกี้คือขั้นตอนที่ทำให้รู้ว่าคุกกี้แต่ละตัวทำหน้าที่อะไร และควรถูกบล็อกหรือปล่อยให้ทำงานเมื่อผู้ใช้ยังไม่ได้กดยินยอม โดยเฉพาะเมื่อผู้ใช้จำนวนมากของเว็บไซต์สถานศึกษาเป็นนักเรียนที่อายุยังไม่ถึงเกณฑ์ผู้ใหญ่

คุกกี้ที่พบบนเว็บไซต์สถานศึกษามีอะไรบ้าง

ก่อนจัดหมวด ต้องรู้ก่อนว่าเว็บไซต์สถานศึกษามีคุกกี้จากระบบใดบ้าง โดยทั่วไปแบ่งเป็นกลุ่มใหญ่ ๆ คือคุกกี้จากระบบ Login กลาง (Single Sign-On) ที่ใช้เข้าทั้งเว็บไซต์หลักและ LMS คุกกี้จากตัว LMS เอง เช่นระบบส่งการบ้านหรือระบบสอบออนไลน์ คุกกี้จากพอร์ทัลรับสมัครนักเรียนใหม่ คุกกี้จากระบบห้องสมุดดิจิทัลหรือฐานข้อมูลงานวิจัย และคุกกี้จาก Analytics หรือปุ่มโซเชียลมีเดียที่ฝังอยู่บนหน้าข่าวสารทั่วไป แต่ละกลุ่มมีความเสี่ยงต่างกันเมื่อมองในมุมข้อมูลผู้เยาว์

4 หมวดคุกกี้ตามมาตรฐาน

คุกกี้แบ่งออกเป็น 4 หมวดหลักตามหน้าที่การทำงาน ไม่ใช่ตามชื่อผู้ให้บริการหรือความรู้สึกว่าคุกกี้นั้นสำคัญแค่ไหน

Necessary — จำเป็นต่อการใช้งานที่ผู้ใช้ร้องขอ

คุกกี้ที่ทำให้ระบบ Login เข้าพอร์ทัลนักเรียนทำงานได้ คุกกี้ที่จำ Session การสอบออนไลน์ไม่ให้หลุดกลางคัน หรือคุกกี้ที่เก็บการตั้งค่าความยินยอมเอง ล้วนจัดเป็น Necessary เพราะไม่มีคุกกี้เหล่านี้ ระบบจะใช้งานไม่ได้เลย ข้อควรระวังคือห้ามจัดคุกกี้เป็น Necessary เพียงเพราะโรงเรียนอยากได้ข้อมูล ต้องเป็นคุกกี้ที่จำเป็นต่อบริการที่ผู้ใช้ร้องขอจริง ๆ เท่านั้น

Functional — ฟังก์ชันเสริมที่ทำให้ใช้งานสะดวกขึ้น

เช่นคุกกี้ที่จำภาษาที่นักเรียนเลือกใช้บนพอร์ทัล หรือจำการตั้งค่าขนาดตัวอักษรสำหรับผู้ใช้ที่ต้องการความช่วยเหลือด้านการมองเห็น คุกกี้กลุ่มนี้ไม่จำเป็นต่อการทำงานพื้นฐานของระบบ แต่ช่วยให้ประสบการณ์ใช้งานดีขึ้น ผู้ใช้ควรเลือกได้ว่าจะเปิดหรือปิดใช้งาน

Analytics — วิเคราะห์การใช้งานเว็บไซต์

เช่นคุกกี้ของเครื่องมือวิเคราะห์ที่ใช้ดูว่าหน้าใดของเว็บไซต์รับสมัครมีคนเข้าชมมากที่สุด คุกกี้กลุ่มนี้ไม่ได้จำเป็นต่อการใช้งานของผู้เข้าชม แต่ช่วยให้ทีมประชาสัมพันธ์ของสถานศึกษาปรับปรุงเนื้อหา ต้องได้รับความยินยอมก่อนทำงานเสมอ

Marketing — โฆษณาและการติดตามพฤติกรรมเพื่อประชาสัมพันธ์

สถานศึกษาบางแห่งใช้ Pixel โฆษณาเพื่อโปรโมตการรับสมัครนักเรียนใหม่บนโซเชียลมีเดีย คุกกี้กลุ่มนี้มีความเสี่ยงสูงสุดเมื่อผู้เข้าชมเว็บไซต์บางส่วนเป็นนักเรียนผู้เยาว์ที่เข้ามาดูข้อมูลหลักสูตรด้วยตัวเอง จึงต้องตรวจสอบเป็นพิเศษว่า Pixel เหล่านี้ทำงานก่อนได้รับความยินยอมหรือไม่

ตัวอย่างการจัดหมวดคุกกี้ในระบบที่สถานศึกษาใช้จริง

ระบบ Single Sign-On ที่เชื่อมเว็บไซต์หลักกับ LMS ควรจัดเป็น Necessary เพราะผู้ใช้ร้องขอการ Login เอง ระบบแชทสอบถามข้อมูลหลักสูตรบนหน้ารับสมัครมักจัดเป็น Functional หรือ Analytics ขึ้นอยู่กับว่าเก็บประวัติการสนทนาเพื่อวิเคราะห์หรือไม่ ปุ่มแชร์โซเชียลมีเดียบนหน้าข่าวประชาสัมพันธ์ที่ฝัง Pixel ติดตามมาด้วยควรจัดเป็น Marketing แม้ตัวปุ่มเองจะดูเหมือนฟังก์ชันธรรมดา และวิดีโอแนะนำมหาวิทยาลัยที่ฝังจากแพลตฟอร์มวิดีโอภายนอกมักมีคุกกี้ Marketing ติดมาด้วยแม้จะดูเป็นเนื้อหาการศึกษาก็ตาม

ข้อมูลผู้เยาว์กับการจัดหมวดคุกกี้

เมื่อผู้ใช้ของเว็บไซต์เป็นนักเรียนที่เป็นผู้เยาว์ การจัดหมวดคุกกี้ต้องระมัดระวังมากกว่าเว็บไซต์ธุรกิจทั่วไป โดยเฉพาะคุกกี้หมวด Marketing ที่ใช้สร้างโปรไฟล์พฤติกรรมเพื่อยิงโฆษณาซ้ำ ควรพิจารณาว่าจำเป็นต้องทำงานบนหน้าที่นักเรียนผู้เยาว์เข้าถึงโดยตรงหรือไม่ เช่นหน้าตารางเรียนหรือหน้าส่งการบ้าน ซึ่งไม่ควรมีคุกกี้ Marketing ทำงานอยู่เลยไม่ว่าผู้ใช้จะยินยอมหรือไม่ก็ตาม เพราะไม่มีเหตุผลทางธุรกิจที่ต้องติดตามพฤติกรรมนักเรียนบนหน้าเหล่านี้

ส่วนหน้ารับสมัครที่ทั้งผู้ปกครองและนักเรียนอาจเข้าถึง ควรจัดหมวดคุกกี้ให้ชัดเจนและอธิบายด้วยภาษาที่เข้าใจง่าย ไม่ใช้ศัพท์เทคนิคที่ทำให้ผู้ปกครองตัดสินใจโดยไม่เข้าใจว่ากำลังยินยอมอะไร การกำหนดว่ากรณีใดต้องขอความยินยอมจากผู้ปกครองก่อนเป็นเรื่องที่ควรให้ผู้เชี่ยวชาญด้านกฎหมายของสถานศึกษาตรวจสอบเพิ่มเติม เพราะเกี่ยวข้องกับข้อมูลผู้เยาว์โดยตรง

ทีมไอทีขนาดเล็กควรเริ่มจากตรงไหน

สถานศึกษาหลายแห่งไม่มีทีม Privacy โดยเฉพาะ ทีมไอทีขนาดเล็กจึงควรเริ่มจากการจัดหมวดคุกกี้บนหน้าที่มีความเสี่ยงสูงสุดก่อน ได้แก่หน้า Login พอร์ทัลนักเรียน และหน้ารับสมัครที่ผู้เยาว์เข้าถึงโดยตรง แล้วค่อยขยายไปยังหน้าข่าวประชาสัมพันธ์ทั่วไปที่ความเสี่ยงต่ำกว่า การเริ่มจากจุดที่มีข้อมูลผู้เยาว์เกี่ยวข้องมากที่สุดช่วยให้ทีมขนาดเล็กใช้เวลาอย่างคุ้มค่าแทนที่จะพยายามจัดหมวดคุกกี้ทั้งเว็บไซต์ในครั้งเดียว

ความแตกต่างระหว่างข้อมูลในคุกกี้กับข้อมูลในฐานข้อมูลของสถานศึกษา

ครูและเจ้าหน้าที่ทะเบียนหลายคนสับสนระหว่างข้อมูลที่เก็บในคุกกี้กับข้อมูลที่เก็บในฐานข้อมูลหลังบ้านของโรงเรียน คุกกี้เก็บข้อมูลเฉพาะที่เกี่ยวข้องกับพฤติกรรมการใช้เว็บไซต์ เช่น Session การ Login หรือการตั้งค่าภาษา ส่วนคะแนนสอบ ประวัติการเข้าเรียน หรือข้อมูลผู้ปกครองที่กรอกตอนสมัครเรียน ถูกเก็บไว้ในฐานข้อมูลของระบบทะเบียนโดยตรง ไม่ใช่ในคุกกี้ การจัดหมวดคุกกี้จึงไม่ใช่การควบคุมข้อมูลนักเรียนทั้งหมด แต่เป็นการควบคุมเฉพาะส่วนที่เกี่ยวข้องกับการติดตามพฤติกรรมบนเว็บไซต์เท่านั้น

อย่างไรก็ตาม บางระบบใช้ Local Storage หรือ IndexedDB เก็บข้อมูลแบบร่างที่นักเรียนกรอกไว้ชั่วคราวก่อนกดส่ง เช่นแบบฟอร์มรับสมัครที่ยังกรอกไม่เสร็จ ข้อมูลกลุ่มนี้ควรถูกนับรวมอยู่ในบัญชีคุกกี้/Storage เช่นกัน แม้จะไม่ใช่ Cookie ในความหมายดั้งเดิม เพราะเป็นข้อมูลที่ค้างอยู่บนเบราว์เซอร์ของผู้ใช้เช่นเดียวกัน

เมื่อโรงเรียนเปลี่ยนผู้ให้บริการ LMS ต้องจัดหมวดคุกกี้ใหม่ทั้งหมดหรือไม่

ไม่จำเป็นต้องเริ่มใหม่ทั้งหมด แต่ต้องตรวจสอบว่า LMS เดิมกับ LMS ใหม่ใช้ Third-party รายเดียวกันหรือไม่ หากเปลี่ยนผู้ให้บริการทั้งระบบ คุกกี้ชุดใหม่มักแตกต่างจากเดิมโดยสิ้นเชิง ทีมไอทีควรทำบัญชีคุกกี้ของ LMS ใหม่แยกต่างหากก่อนเปิดใช้งานจริง แล้วค่อยรวมเข้ากับบัญชีคุกกี้เดิมของเว็บไซต์หลัก การรีบเปิดใช้งาน LMS ใหม่โดยไม่ตรวจคุกกี้ก่อนอาจทำให้ Consent Banner แสดงข้อมูลที่ไม่ตรงกับสิ่งที่ระบบใหม่เก็บจริง

คุกกี้จากระบบชำระค่าเทอมออนไลน์ต้องระวังเป็นพิเศษหรือไม่

ระบบชำระค่าเทอมออนไลน์มักเชื่อมต่อกับผู้ให้บริการชำระเงินภายนอก ซึ่งฝัง Script และคุกกี้ของตัวเองเข้ามาในหน้าชำระเงิน คุกกี้กลุ่มนี้ส่วนใหญ่จัดเป็น Necessary เพราะจำเป็นต่อการทำธุรกรรมที่ผู้ปกครองร้องขอโดยตรง แต่ทีมไอทีควรแยกให้ชัดว่าคุกกี้ใดจำเป็นต่อการชำระเงินจริง กับคุกกี้ใดที่ผู้ให้บริการชำระเงินแอบใส่มาเพื่อการตลาดของตัวเอง เพราะผู้ให้บริการชำระเงินบางรายมีคุกกี้ทั้งสองประเภทปะปนกันในระบบเดียว การตรวจสอบนี้ควรทำร่วมกับฝ่ายการเงินของสถานศึกษาที่เป็นผู้เลือกใช้ผู้ให้บริการชำระเงินตั้งแต่แรก

เช็กลิสต์ปฏิบัติ

• ทำรายการระบบทั้งหมดที่เว็บไซต์สถานศึกษาใช้ ตั้งแต่ Single Sign-On ไปจนถึงปุ่มโซเชียลมีเดีย
• จัดคุกกี้แต่ละตัวเข้า 4 หมวดตามหน้าที่จริง ไม่ใช่ตามชื่อผู้ให้บริการหรือความรู้สึกว่าสำคัญ
• ตรวจว่าหน้าที่นักเรียนผู้เยาว์เข้าถึงโดยตรง เช่นตารางเรียนหรือหน้าส่งการบ้าน ไม่มีคุกกี้ Marketing ทำงาน
• อธิบายหมวดคุกกี้บนหน้ารับสมัครด้วยภาษาที่ผู้ปกครองเข้าใจง่าย ไม่ใช้ศัพท์เทคนิค
• เริ่มจัดหมวดจากหน้าที่มีความเสี่ยงสูงสุดก่อน แล้วค่อยขยายไปยังหน้าทั่วไป
• ตรวจซ้ำทุกครั้งที่เพิ่มระบบใหม่ เช่นวิดีโอแนะนำหลักสูตรหรือระบบแชทสอบถาม
• บันทึกรายการคุกกี้และหมวดที่จัดไว้เป็นเอกสารที่ทีมไอทีเข้าถึงได้ต่อเนื่อง

ข้อผิดพลาดที่พบบ่อย

• จัดคุกกี้ Login เป็น Necessary ถูกต้อง แต่ลืมตรวจว่าคุกกี้ Analytics แอบทำงานร่วมในหน้าเดียวกัน
• ปล่อยให้คุกกี้ Marketing ทำงานบนหน้าตารางเรียนหรือหน้าส่งการบ้านที่นักเรียนผู้เยาว์เข้าถึงโดยตรง
• ใช้ศัพท์เทคนิคอธิบายหมวดคุกกี้บนหน้ารับสมัครจนผู้ปกครองไม่เข้าใจว่ากำลังยินยอมอะไร
• จัดหมวดคุกกี้ครั้งเดียวตอนเปิดเว็บไซต์แล้วไม่เคยตรวจซ้ำเมื่อเพิ่มระบบใหม่
• เข้าใจว่าวิดีโอแนะนำหลักสูตรเป็นเนื้อหาการศึกษาล้วน จึงไม่ตรวจคุกกี้ Marketing ที่ติดมากับแพลตฟอร์มวิดีโอ

การทบทวนบัญชีคุกกี้ก่อนเปิดภาคการศึกษาใหม่

ช่วงก่อนเปิดภาคการศึกษาใหม่เป็นเวลาที่เหมาะสมสำหรับทบทวนบัญชีคุกกี้ทั้งหมด เพราะเป็นช่วงที่ระบบต่าง ๆ มักมีการอัปเดตพร้อมกัน ทั้ง LMS พอร์ทัลนักเรียน และเว็บไซต์รับสมัคร ทีมไอทีควรใช้ช่วงเวลานี้ตรวจสอบว่าคุกกี้ที่จัดหมวดไว้เมื่อภาคการศึกษาก่อนยังตรงกับสิ่งที่ระบบใช้งานจริงหรือไม่ ก่อนที่นักเรียนและผู้ปกครองจำนวนมากจะเริ่มเข้าใช้งานพร้อมกัน

สรุป

การจัดหมวดหมู่คุกกี้ของสถานศึกษาต้องยึดหน้าที่จริงของคุกกี้แต่ละตัวเป็นหลัก ไม่ใช่ชื่อผู้ให้บริการหรือความรู้สึกว่าจำเป็น และต้องให้ความสำคัญเป็นพิเศษกับหน้าที่นักเรียนผู้เยาว์เข้าถึงโดยตรง ทีมไอทีขนาดเล็กสามารถเริ่มจากจุดที่มีความเสี่ยงสูงสุดก่อนแล้วค่อยขยายผล อ่านขั้นตอนการวางระบบจัดหมวดคุกกี้แบบเป็นขั้นตอนได้ที่ วิธีวางระบบการจัดหมวดหมู่คุกกี้สำหรับสถานศึกษา และดูภาพรวมทั้งหมวดที่ หมวด Cookie & Consent

ผู้รับผิดชอบการจัดหมวดคุกกี้ในสถานศึกษาควรเป็นใคร

สถานศึกษาขนาดใหญ่ที่มีหลายคณะหรือหลายวิทยาเขตควรกำหนดผู้รับผิดชอบหลักหนึ่งคนในฝ่ายไอที ทำหน้าที่รวบรวมรายการคุกกี้จากทุกหน่วยงานที่ดูแลเว็บไซต์ย่อยของตัวเอง เช่นเว็บไซต์คณะ เว็บไซต์หอพัก หรือเว็บไซต์กิจกรรมนักศึกษา เพราะแต่ละหน่วยงานมักเพิ่มปลั๊กอินหรือ Widget ใหม่โดยไม่ได้แจ้งฝ่ายไอทีกลาง หากไม่มีผู้รับผิดชอบรวบรวมภาพรวม บัญชีคุกกี้ของสถานศึกษาจะกระจัดกระจายและไม่มีใครรู้ว่าทั้งหมดมีคุกกี้กี่ตัวและจัดหมวดถูกต้องหรือไม่

คำถามที่พบบ่อย

คุกกี้ของระบบ Login กลาง (Single Sign-On) ควรจัดเป็นหมวดใด

ควรจัดเป็น Necessary เพราะเป็นคุกกี้ที่จำเป็นต่อการใช้งานที่ผู้ใช้ร้องขอโดยตรง คือการเข้าสู่ระบบพอร์ทัลนักเรียนหรือ LMS หากไม่มีคุกกี้นี้ ระบบจะใช้งานไม่ได้เลย

วิดีโอแนะนำหลักสูตรที่ฝังจากแพลตฟอร์มภายนอกต้องจัดหมวดคุกกี้อย่างไร

แม้เนื้อหาจะเป็นเรื่องการศึกษา แต่คุกกี้ที่ติดมากับแพลตฟอร์มวิดีโอภายนอกมักมีหน้าที่ Marketing หรือ Analytics จึงควรจัดตามหน้าที่จริงของคุกกี้ ไม่ใช่ตามลักษณะของเนื้อหาที่แสดงผล

หน้าตารางเรียนหรือหน้าส่งการบ้านควรมีคุกกี้ Marketing ทำงานหรือไม่

ไม่ควรมี เพราะไม่มีเหตุผลทางธุรกิจที่ต้องติดตามพฤติกรรมของนักเรียนผู้เยาว์บนหน้าที่ใช้เพื่อการเรียนการสอนโดยตรง แม้ผู้ใช้จะกดยินยอมก็ตาม

ทีมไอทีขนาดเล็กที่ไม่มีบุคลากรด้าน Privacy ควรเริ่มจัดหมวดคุกกี้จากตรงไหนก่อน

ควรเริ่มจากหน้าที่มีความเสี่ยงสูงสุดก่อน ได้แก่หน้า Login พอร์ทัลนักเรียน และหน้ารับสมัครที่ผู้เยาว์เข้าถึงโดยตรง แล้วค่อยขยายไปยังหน้าข่าวประชาสัมพันธ์ทั่วไปที่ความเสี่ยงต่ำกว่า

แหล่งข้อมูลอ้างอิง

• MDN Web Docs — Using HTTP Cookies
• สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (PDPC)