เช็กลิสต์ Cookie Consent Banner สำหรับฝ่าย HR เว็บไซต์สมัครงาน และ Recruitment: ต้องตรวจอะไรบ้างก่อนเปิดใช้งาน

ผู้สมัครงานคนหนึ่งเปิดหน้า Career ของบริษัท เจอแบนเนอร์คุกกี้ที่มีปุ่ม “ยอมรับ” เด่นอยู่ปุ่มเดียว ขณะที่สคริปต์ของผู้ให้บริการโฆษณาตำแหน่งงานเริ่มทำงานตั้งแต่วินาทีที่หน้าเว็บโหลดเสร็จ ก่อนที่เขาจะกดปุ่มใดเลยด้วยซ้ำ สถานการณ์แบบนี้เกิดขึ้นบ่อยกับเว็บไซต์สมัครงานที่ต่อปลั๊กอินจาก Job Board ระบบ ATS (Applicant Tracking System) และเครื่องมือโฆษณาสรรหาบุคลากรหลายตัวพร้อมกัน โดยฝ่าย HR ไม่รู้เลยว่าเบื้องหลังมีคุกกี้อะไรทำงานอยู่บ้าง

เว็บไซต์สมัครงานมีความซับซ้อนกว่าเว็บขายสินค้าทั่วไปตรงที่ข้อมูลที่เก็บมักละเอียดกว่า เช่น ประวัติการทำงาน เงินเดือนที่คาดหวัง หรือไฟล์ Resume ที่แนบรูปถ่ายมาด้วย บทความนี้เป็นเช็กลิสต์ที่ฝ่าย HR ใช้คุยกับทีมพัฒนาเว็บหรือเอเจนซีก่อนเปิดใช้งาน Cookie Consent Banner โดยเจาะเฉพาะส่วนคุกกี้และ Consent เท่านั้น ส่วนกระบวนการเก็บข้อมูลผู้สมัครทั้งหมดต้องตรวจแยกต่างหากกับทีมกฎหมายหรือ DPO ขององค์กร

คุกกี้ที่พบบ่อยบนเว็บไซต์สมัครงานและ Career Page

ก่อนจัดหมวดหมู่คุกกี้ ฝ่าย HR ควรรู้ก่อนว่าเว็บสมัครงานทั่วไปมักมีคุกกี้สี่กลุ่มทำงานพร้อมกัน แต่ละกลุ่มมีผลต่อการตั้งค่า Consent ต่างกัน

• Necessary: session สำหรับล็อกอิน Portal ผู้สมัคร การจดจำค่า Consent ที่เลือกไว้ และฟังก์ชันที่ผู้ใช้ร้องขอโดยตรง เช่น ตะกร้าตำแหน่งงานที่บันทึกระหว่าง session เดียว
• Functional: การจดจำภาษาที่แสดงผล ตัวกรองการค้นหาตำแหน่งงาน หรือธีมการแสดงผลที่ผู้สมัครเลือกเอง
• Analytics: เครื่องมือวิเคราะห์พฤติกรรมผู้เข้าชมหน้า Career เช่น การวัดว่าหน้าตำแหน่งงานใดถูกดูมากที่สุด
• Marketing: LinkedIn Insight Tag, Meta Pixel สำหรับแคมเปญโฆษณาตำแหน่งงาน หรือ Google Ads Remarketing ที่ยิงหาผู้ที่เข้าดูตำแหน่งแต่ยังไม่สมัคร

คุกกี้กลุ่ม Necessary เท่านั้นที่ไม่ต้องรอ Consent ก่อนทำงาน ส่วนอีกสามกลุ่มควรรอผู้สมัครเลือกก่อนเสมอ ข้อผิดพลาดที่พบบ่อยคือทีมพัฒนาเว็บใส่ทุกอย่างเป็น Necessary เพราะไม่อยากให้ Banner ไปกระทบอัตราการสมัครงาน ซึ่งไม่ใช่การจัดหมวดหมู่ตามหลักการที่ถูกต้อง

ก่อนเปิดใช้งาน Banner: สิ่งที่ฝ่าย HR ต้องตรวจกับทีมพัฒนาเว็บ

ฝ่าย HR ไม่จำเป็นต้องเขียนโค้ดเอง แต่ควรถามคำถามที่ตรงจุดกับทีมพัฒนาเว็บหรือเอเจนซีที่ดูแลเว็บสมัครงาน เพื่อให้แน่ใจว่า Banner ที่เปิดใช้งานจริงครอบคลุมเครื่องมือทั้งหมดที่ฝ่ายจัดหางานใช้อยู่ ไม่ใช่แค่เครื่องมือที่ทีมพัฒนาเว็บรู้จัก

ตรวจ Script ของ ATS และเครื่องมือสรรหาบุคลากรก่อนได้รับ Consent

ATS ที่ฝ่าย HR ใช้งานมักเป็นบริการภายนอกที่ฝังโค้ดผ่าน Embed หรือ iframe เข้ามาในหน้าเว็บสมัครงาน ซึ่งอาจมีสคริปต์ติดตามของตัวเองแยกจากที่ทีมพัฒนาเว็บติดตั้ง จุดที่ต้องตรวจคือสคริปต์เหล่านี้เริ่มโหลด Tracking ตั้งแต่หน้าเว็บเปิดหรือรอจนกว่าจะได้รับ Consent การทดสอบทำได้เบื้องต้นด้วยการเปิด Network Tab ของเบราว์เซอร์ก่อนกด Consent ใด ๆ แล้วดูว่ามีคำขอไปยังโดเมนของ ATS หรือเครื่องมือโฆษณาหรือไม่ เครื่องมืออย่าง trusty ช่วยตรวจพฤติกรรม Script เบื้องต้นแบบอัตโนมัติได้ในระดับหนึ่ง แต่ยังต้องอาศัยการทดสอบจริงร่วมกับทีมพัฒนาเว็บ โดยเฉพาะหน้าที่ ATS ฝังมาจากโดเมนภายนอกซึ่งระบบสแกนอัตโนมัติอาจเข้าไม่ถึงทุกจุด

ตัวอย่างการจัดหมวดหมู่คุกกี้บนเว็บสมัครงาน (ตัวอย่าง)

ตารางด้านล่างเป็นตัวอย่างการจัดหมวดหมู่ที่พบได้บ่อยในเว็บไซต์สมัครงาน ชื่อคุกกี้จริงและระยะเวลาเก็บของแต่ละเว็บไซต์อาจต่างกัน ฝ่าย HR ควรให้ทีมพัฒนาเว็บตรวจสอบค่าจริงของเว็บไซต์ตนเองแทนการอิงตารางนี้โดยตรง

ทดสอบปุ่ม Accept / Reject / Customize บนหน้าสมัครงานจริง

การทดสอบต้องทำในหลายหน้า ไม่ใช่แค่หน้าแรกของเว็บไซต์ เพราะเว็บสมัครงานมักมีหน้าย่อยที่พฤติกรรมคุกกี้ต่างกัน เช่น หน้ารายละเอียดตำแหน่งงาน หน้าฟอร์มสมัคร และหน้า Portal ติดตามสถานะใบสมัคร ซึ่งบางเว็บไซต์แยกโดเมนย่อยสำหรับ ATS ออกจากเว็บหลัก ทำให้ค่า Consent ที่เลือกในเว็บหลักไม่ถูกส่งต่อไปยังโดเมนย่อยโดยอัตโนมัติ ฝ่าย HR ควรทดสอบกรณีนี้โดยเฉพาะ เพราะถ้าผู้สมัครกด Reject ในเว็บหลักแล้วยังพบว่า Pixel โฆษณายิงในหน้า ATS ต่อ นั่นคือช่องว่างที่ต้องแก้กับทีมพัฒนาเว็บก่อนเปิดใช้งานจริง

ข้อมูลผู้สมัครที่ Cookie Banner ไม่ครอบคลุม

Cookie Consent Banner ครอบคลุมเฉพาะคุกกี้และ Local Storage ที่ทำงานผ่านเบราว์เซอร์เท่านั้น ไม่ครอบคลุมข้อมูลที่ผู้สมัครกรอกในฟอร์มใบสมัคร ไฟล์ Resume ที่อัปโหลด การบันทึกวิดีโอสัมภาษณ์ หรือข้อมูลจากผู้ให้บริการตรวจสอบประวัติ (Background Check) ซึ่งเป็นคนละส่วนของ Data Lifecycle และต้องดูผ่าน Privacy Policy หรือประกาศความเป็นส่วนตัวสำหรับผู้สมัครงานโดยเฉพาะ ใบสมัครงานในไทยบางแบบฟอร์มยังมีช่องข้อมูลที่ละเอียดอ่อน เช่น ศาสนา หรือรูปถ่ายที่อาจสื่อถึงเชื้อชาติ กรณีนี้ฝ่าย HR ควรทบทวนร่วมกับผู้เชี่ยวชาญด้านกฎหมายว่าจำเป็นต้องเก็บข้อมูลเหล่านี้จริงหรือไม่ และมีมาตรการเพิ่มเติมอย่างไร เพราะเป็นความเสี่ยงที่สูงกว่าคุกกี้ทั่วไป

เมื่อทีม HR ต้องการจุดเริ่มต้นสำหรับตรวจสอบภาพรวมของเว็บสมัครงานทั้งเรื่องคุกกี้และ Privacy Policy สามารถอ่านรายละเอียดเพิ่มเติมได้ใน คู่มือ Cookie Consent Banner สำหรับเว็บไซต์สมัครงานและ Recruitment ซึ่งอธิบายภาพรวมทั้งหมดของหัวข้อนี้ และดูตัวอย่างข้อผิดพลาดที่พบบ่อยเพิ่มเติมได้ที่หน้ารวม คุกกี้และ Consent ของศูนย์ความรู้

เช็กลิสต์ปฏิบัติ

• ขอรายชื่อ Script/Tag ทั้งหมดที่ทำงานบนเว็บสมัครงานจากทีมพัฒนาเว็บและฝ่ายการตลาดที่ดูแลแคมเปญโฆษณาตำแหน่งงาน
• ตรวจว่าสคริปต์ของ ATS และเครื่องมือโฆษณาทำงานก่อนหรือหลังผู้สมัครกด Consent ด้วยการเปิด Network Tab ก่อนกดปุ่มใด
• ทดสอบปุ่ม Reject All ในทุกหน้า รวมถึงหน้า Portal ที่ ATS ฝังจากโดเมนภายนอก
• จัดหมวดหมู่คุกกี้ตามสิ่งที่ตรวจพบจริง ไม่ใช่ตามชื่อคุกกี้เพียงอย่างเดียว
• แยกทบทวน Cookie Consent Banner ออกจาก Privacy Policy สำหรับผู้สมัครงานที่ต้องครอบคลุมใบสมัคร Resume และ Background Check
• กำหนดเจ้าของงาน (Owner) ฝั่ง HR ที่ต้องแจ้งทีมพัฒนาเว็บทุกครั้งที่เพิ่มเครื่องมือโฆษณาหรือ ATS ตัวใหม่
• บันทึกวันที่ตรวจสอบและเวอร์ชันของ Banner ที่เปิดใช้งานไว้เป็นหลักฐาน

ข้อผิดพลาดที่พบบ่อย

• เปิดใช้งาน Banner โดยไม่ตรวจ Script ของ ATS เพราะคิดว่าเป็นระบบของผู้ให้บริการภายนอกจึงไม่เกี่ยวกับ Consent ของเว็บหลัก
• จัดหมวดหมู่ Insight Tag หรือ Pixel โฆษณาตำแหน่งงานเป็น Necessary เพื่อไม่ให้กระทบอัตราการสมัคร
• ทดสอบปุ่ม Reject เฉพาะหน้าแรก แล้วไม่ทดสอบหน้า Portal ติดตามสถานะที่อยู่คนละโดเมน
• ปล่อยให้ทีมการตลาดเพิ่ม Pixel โฆษณาตำแหน่งงานใหม่โดยไม่แจ้งฝ่ายที่ดูแล Banner
• เข้าใจว่า Cookie Banner ครอบคลุมข้อมูลในใบสมัครและ Resume ทั้งที่เป็นคนละส่วนกัน

สรุป

เว็บไซต์สมัครงานมีเครื่องมือหลายตัวทำงานพร้อมกัน ทั้ง ATS ระบบวิเคราะห์ และเครื่องมือโฆษณาตำแหน่งงาน ฝ่าย HR ควรตรวจให้แน่ใจว่าสคริปต์เหล่านี้รอ Consent ก่อนทำงานจริง ไม่ใช่แค่มี Banner ปรากฏบนหน้าจอ และควรแยกความเข้าใจระหว่าง Cookie Consent กับข้อมูลในใบสมัครงานที่ต้องดูแลผ่าน Privacy Policy คนละส่วน การตรวจตามเช็กลิสต์นี้เป็นจุดเริ่มต้นก่อนเปิดใช้งานจริง ไม่ใช่การยืนยันว่าเว็บไซต์ปฏิบัติตามกฎหมายครบทุกข้อ

แหล่งข้อมูลอ้างอิง

• สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (PDPC)
• MDN Web Docs — Using HTTP Cookies
• Google Tag Platform — Consent overview