ความยินยอมตาม PDPA คืออะไร? คู่มือสำหรับร้านค้าออนไลน์และ E-commerce

ทำไมลูกค้าถึงยังได้รับอีเมลโปรโมชันจากร้านค้าออนไลน์ แม้จะกดปุ่ม "ปฏิเสธ" บนแบนเนอร์คุกกี้ไปแล้วตั้งแต่ครั้งแรกที่เข้าเว็บไซต์ คำถามนี้พบได้บ่อยในรีวิวและคอมเมนต์ของลูกค้าที่ไม่พอใจ และคำตอบสั้น ๆ คือเพราะแบนเนอร์คุกกี้กับการยินยอมรับอีเมลการตลาดมักเป็นระบบคนละส่วนกันในเว็บไซต์ ร้านค้าที่ตั้งค่าแบนเนอร์คุกกี้ไว้อย่างเดียวโดยไม่เชื่อมกับระบบส่งอีเมลการตลาด จึงยังส่งอีเมลต่อไปได้แม้ลูกค้าจะปฏิเสธคุกกี้ที่ไม่จำเป็นแล้วก็ตาม ความสับสนแบบนี้เป็นจุดเริ่มต้นที่ดีในการทำความเข้าใจว่าความยินยอมตาม PDPA สำหรับร้านค้าออนไลน์จริง ๆ แล้วครอบคลุมอะไรบ้าง ไม่ใช่แค่แบนเนอร์คุกกี้หน้าแรกอย่างที่หลายร้านเข้าใจ

คู่มือนี้อธิบายภาพรวมของความยินยอมตาม PDPA สำหรับร้านค้าออนไลน์และทีม E-commerce ตั้งแต่ความหมาย องค์ประกอบของ Consent UI ที่ดี การเก็บบันทึกหลักฐาน กลไกถอนความยินยอม ไปจนถึงจุดที่ควรขอความยินยอมใหม่ เหมาะสำหรับเจ้าของร้าน ทีมการตลาด และทีม Performance Marketing ที่ต้องการภาพรวมก่อนลงลึกในแต่ละด้าน

ความยินยอมตาม PDPA สำหรับร้านค้าออนไลน์คือกลไกที่ต้องขอ บันทึก และจัดการการอนุญาตของลูกค้าก่อนนำข้อมูลไปใช้ในวัตถุประสงค์ที่ไม่จำเป็นต่อการซื้อขายโดยตรง เช่น การส่งอีเมลการตลาดหรือการวิเคราะห์พฤติกรรมเพื่อโฆษณา ครอบคลุมสี่ส่วนหลักคือ Consent UI ที่แยกวัตถุประสงค์ชัดเจน ระบบบันทึกหลักฐานที่สืบย้อนได้ กลไกถอนความยินยอมที่ใช้งานได้จริง และการขอความยินยอมใหม่เมื่อวิธีใช้ข้อมูลเปลี่ยนไป ร้านค้าออนไลน์ที่วางระบบทั้งสี่ส่วนนี้ครบจะมีหลักฐานพร้อมตอบลูกค้าและทีมตรวจสอบได้ทุกเมื่อ

ความยินยอมตาม PDPA คืออะไรสำหรับร้านค้าออนไลน์

ความยินยอมเป็นหนึ่งในฐานทางกฎหมายที่ธุรกิจใช้อ้างอิงสิทธิ์ในการเก็บและใช้ข้อมูลส่วนบุคคล แต่สำหรับร้านค้าออนไลน์ ความยินยอมมักจำเป็นเฉพาะกิจกรรมที่ไม่ใช่ส่วนหลักของการซื้อขาย เช่น การส่งอีเมลแนะนำสินค้า การใช้คุกกี้ติดตามพฤติกรรมเพื่อโฆษณา หรือการแชร์ข้อมูลกับพันธมิตรทางการตลาด ส่วนกิจกรรมที่จำเป็นต่อการทำธุรกรรม เช่น การจัดส่งสินค้าหรือการออกใบเสร็จ มักอาศัยฐานอื่นแทน คู่มือนี้จึงเน้นเฉพาะกลไกความยินยอม ไม่ใช่การสำรวจฐานทางกฎหมายทั้งหมด เพราะความยินยอมมีรายละเอียดเชิงปฏิบัติของตัวเองที่ต้องจัดการต่อเนื่อง ไม่ใช่แค่เลือกฐานแล้วจบ

องค์ประกอบของ Consent UI ที่ดีสำหรับเว็บอีคอมเมิร์ซ

Consent UI ที่ใช้งานได้จริงต้องแยกวัตถุประสงค์ออกจากกันอย่างชัดเจน ไม่รวมทุกอย่างไว้ในปุ่มเดียว ร้านค้าออนไลน์ควรแยกอย่างน้อยสามกลุ่มคือ คุกกี้ที่จำเป็นต่อการทำงานของเว็บไซต์ซึ่งไม่ต้องขอความยินยอม คุกกี้วิเคราะห์พฤติกรรมที่ใช้ปรับปรุงเว็บไซต์ และคุกกี้การตลาดที่ใช้ยิงโฆษณาติดตามผู้ใช้ นอกจากคุกกี้แล้ว ยังมีจุดขอความยินยอมอื่นที่มักถูกมองข้าม เช่น กล่องติ๊กถูกสมัครรับข่าวสารตอนสมัครสมาชิก หรือป๊อปอัปขอความยินยอมส่งข้อความผ่านไลน์หรือ SMS แต่ละจุดควรมีข้อความอธิบายที่เข้าใจง่ายว่าจะนำข้อมูลไปใช้ทำอะไร ไม่ใช่เขียนกำกวมเพื่อให้ลูกค้ากดยอมรับโดยไม่ทันคิด

การเก็บบันทึกหลักฐานความยินยอมที่สืบย้อนได้

ทุกครั้งที่ลูกค้ากดยินยอม ระบบควรบันทึกวันเวลา วัตถุประสงค์ที่ยินยอม และช่องทางที่ให้ความยินยอมไว้ ไม่ใช่แค่จำสถานะล่าสุดไว้ในฐานข้อมูล เพราะเมื่อลูกค้าถามย้อนหลังว่าเคยยินยอมอะไรไว้บ้าง หรือทีมตรวจสอบต้องการหลักฐาน ร้านค้าที่ไม่มีบันทึกละเอียดจะตอบไม่ได้ ร้านค้าออนไลน์ที่ใช้หลายระบบพร้อมกัน เช่น ระบบเว็บไซต์หลักและระบบส่งอีเมลการตลาดแยกผู้ให้บริการ ควรตรวจว่าบันทึกความยินยอมจากทั้งสองระบบตรงกันหรือไม่ เพราะบางครั้งลูกค้ายินยอมผ่านหน้าเว็บแต่ระบบอีเมลภายนอกไม่ได้รับข้อมูลนี้มาบันทึกด้วย

กลไกถอนความยินยอมที่ลูกค้าคาดหวังจากร้านค้าออนไลน์

ลูกค้าที่ต้องการถอนความยินยอมควรทำได้ง่ายพอ ๆ กับตอนที่ให้ความยินยอม ไม่ใช่ต้องส่งอีเมลติดต่อฝ่ายบริการลูกค้าแล้วรอหลายวัน ช่องทางถอนความยินยอมที่ควรมีคือลิงก์ยกเลิกรับอีเมลท้ายทุกฉบับ หน้าตั้งค่าความยินยอมในบัญชีผู้ใช้ และตัวเลือกปฏิเสธคุกกี้ที่กดซ้ำได้ทุกเมื่อผ่านแบนเนอร์หรือหน้าตั้งค่าความเป็นส่วนตัว สิ่งสำคัญที่ร้านค้ามักพลาดคือการทดสอบว่าเมื่อลูกค้ากดถอนความยินยอมแล้ว ข้อมูลถูกตัดออกจากทุกระบบที่เกี่ยวข้องจริงหรือไม่ ไม่ใช่แค่เปลี่ยนสถานะในฐานข้อมูลหลักแต่ระบบส่งอีเมลภายนอกยังส่งต่อไปเหมือนเดิม

จุดที่ควรขอความยินยอมใหม่ (Re-consent)

ร้านค้าออนไลน์ควรขอความยินยอมใหม่เมื่อวิธีใช้ข้อมูลเปลี่ยนไปจากที่เคยแจ้งไว้ เช่น เริ่มแชร์ข้อมูลกับพันธมิตรโฆษณารายใหม่ที่ไม่เคยแจ้งไว้ก่อน เปลี่ยนจากการส่งอีเมลอย่างเดียวมาเป็นการส่งข้อความผ่านไลน์ด้วย หรือเริ่มใช้ข้อมูลประวัติการซื้อไปทำโปรไฟล์ลูกค้าเชิงลึกกว่าที่เคยทำ การเปลี่ยนแปลงเหล่านี้มักเกิดขึ้นทีละน้อยจากทีมการตลาดที่อยากทดลองเครื่องมือใหม่ โดยไม่มีใครย้อนกลับไปตรวจว่าความยินยอมเดิมยังครอบคลุมอยู่หรือไม่ ร้านค้าที่วางระบบตรวจสอบจุดนี้เป็นประจำจะลดความเสี่ยงที่จะใช้ข้อมูลเกินขอบเขตที่ลูกค้าเคยรับทราบ

สิ่งที่คู่มือเชิงปฏิบัติแต่ละด้านจะช่วยตอบได้ลึกกว่านี้

คู่มือภาพรวมนี้ให้พื้นฐานความเข้าใจเรื่องความยินยอมทั้งหมด แต่การนำไปใช้จริงยังต้องอาศัยคู่มือเชิงปฏิบัติที่ลงรายละเอียดแต่ละด้าน หากต้องการขั้นตอนวางระบบ Consent UI และบันทึกหลักฐานตั้งแต่เริ่มต้น อ่านเพิ่มได้ที่ วิธีวางระบบความยินยอมตาม PDPA สำหรับร้านค้าออนไลน์ หากต้องการรอบตรวจสอบเป็นระยะหลังวางระบบแล้ว ให้ดูที่ คู่มือ Audit ความยินยอมตาม PDPA สำหรับ E-commerce ซึ่งเน้นสิ่งที่ต้องเช็คและหลักฐานที่ต้องเก็บในแต่ละรอบทบทวน หากต้องการเช็กลิสต์ก่อนเปิดแคมเปญหรือฟีเจอร์ใหม่ ให้ดูที่ เช็กลิสต์ความยินยอมตาม PDPA สำหรับร้านค้าออนไลน์ และหากต้องการทราบว่าปี 2026 มีอะไรเปลี่ยนแปลงที่ควรทบทวนเพิ่มเติม อ่านเพิ่มได้ที่ อัปเดตความยินยอมตาม PDPA ปี 2026 สำหรับ E-commerce

ความแตกต่างระหว่างความยินยอมกับการเลือกฐานทางกฎหมายอื่น

หัวข้อความยินยอมตาม PDPA กับหัวข้อฐานกฎหมายในการประมวลผลข้อมูลมักถูกเข้าใจปนกัน แต่จริง ๆ แล้วเป็นคนละมุมมองกัน ความยินยอมเป็นเพียงหนึ่งในหกฐานทางกฎหมายที่ธุรกิจเลือกใช้ได้ ส่วนกิจกรรมอื่นของร้านค้าออนไลน์ เช่น การจัดส่งสินค้าตามคำสั่งซื้อ อาจอาศัยฐานความจำเป็นตามสัญญาแทนโดยไม่ต้องขอความยินยอมเลย ร้านค้าที่เข้าใจความแตกต่างนี้จะไม่ขอความยินยอมเกินความจำเป็นสำหรับกิจกรรมที่มีฐานอื่นรองรับอยู่แล้ว เพราะการขอความยินยอมมากเกินไปทำให้หน้าจอรกและอัตราปฏิเสธสูงขึ้นโดยไม่จำเป็น หากต้องการเข้าใจภาพรวมของการเลือกฐานทางกฎหมายที่เหมาะสมสำหรับแต่ละกิจกรรมของร้านค้าออนไลน์ อ่านเพิ่มเติมได้ที่ วิธีเลือกฐานทางกฎหมายในการประมวลผลข้อมูลสำหรับ E-commerce

การจัดสรรความรับผิดชอบภายในทีมร้านค้าออนไลน์

ร้านค้าออนไลน์ขนาดกลางถึงใหญ่มักมีหลายทีมที่แตะระบบความยินยอม ทั้งทีมพัฒนาเว็บไซต์ที่ดูแลแบนเนอร์คุกกี้ ทีมการตลาดที่ดูแลอีเมลและแคมเปญ และทีมบริการลูกค้าที่รับคำขอถอนความยินยอมโดยตรง หากไม่มีใครเป็นเจ้าของภาพรวมทั้งระบบ การเปลี่ยนแปลงของแต่ละทีมมักไม่ถูกสื่อสารถึงกัน เช่น ทีมการตลาดเปลี่ยนผู้ให้บริการอีเมลโดยไม่แจ้งทีมพัฒนาเว็บไซต์ว่าต้องอัปเดตการเชื่อมต่อกับระบบบันทึกความยินยอมด้วย แนวทางที่ใช้ได้จริงคือกำหนดให้มีผู้รับผิดชอบหลักที่คอยตรวจสอบว่าทุกจุดที่เกี่ยวข้องกับความยินยอมยังเชื่อมโยงกันถูกต้อง พร้อมช่องทางให้แต่ละทีมแจ้งการเปลี่ยนแปลงเครื่องมือใหม่ก่อนเริ่มใช้งานจริง

ความยินยอมเมื่อลูกค้าซื้อผ่านมาร์เก็ตเพลสเทียบกับเว็บไซต์ของร้านเอง

ร้านค้าออนไลน์จำนวนมากขายพร้อมกันทั้งบนเว็บไซต์ของตัวเองและบนแพลตฟอร์มมาร์เก็ตเพลส ซึ่งแต่ละช่องทางมีกลไกความยินยอมที่แตกต่างกันโดยสิ้นเชิง เมื่อลูกค้าซื้อผ่านมาร์เก็ตเพลส ข้อมูลติดต่อของลูกค้ามักถูกควบคุมโดยแพลตฟอร์มนั้นเป็นหลัก ร้านค้าไม่สามารถนำอีเมลหรือเบอร์โทรที่ได้จากคำสั่งซื้อบนมาร์เก็ตเพลสไปใช้ส่งโปรโมชันผ่านช่องทางของตัวเองได้ทันทีโดยไม่มีการขอความยินยอมเพิ่มเติม เพราะลูกค้าให้ข้อมูลไว้กับแพลตฟอร์มเพื่อวัตถุประสงค์การซื้อขายบนแพลตฟอร์มนั้นเท่านั้น ร้านค้าที่ต้องการดึงลูกค้าจากมาร์เก็ตเพลสมาเป็นสมาชิกในระบบของตัวเองควรออกแบบช่องทางขอความยินยอมแยกต่างหาก เช่น ใบปลิวในกล่องพัสดุที่มี QR code ให้ลูกค้าสมัครสมาชิกเว็บไซต์เองโดยสมัครใจ แทนที่จะคัดลอกข้อมูลจากออเดอร์มาร์เก็ตเพลสไปใส่ในระบบอีเมลการตลาดโดยตรง

ทดสอบระบบความยินยอมก่อนเปิดแคมเปญใหญ่ทุกครั้ง

ช่วงเทศกาลลดราคาที่ร้านค้าออนไลน์เปิดฟีเจอร์ใหม่พร้อมกันหลายอย่าง เช่น ป๊อปอัปเก็บอีเมลแลกส่วนลด หรือระบบแจ้งเตือนสินค้าลดราคาผ่านไลน์ มักเป็นช่วงที่ระบบความยินยอมมีความเสี่ยงสูงสุด เพราะทีมงานเร่งปิดงานให้ทันเปิดแคมเปญจนอาจข้ามขั้นตอนตรวจสอบไป ร้านค้าที่ป้องกันปัญหานี้ได้ดีมักกำหนดให้การทดสอบระบบความยินยอมเป็นขั้นตอนบังคับก่อนเปิดแคมเปญใหญ่ทุกครั้ง เทียบเท่ากับการทดสอบระบบชำระเงิน โดยทดสอบตั้งแต่การกดยินยอมจริง การตรวจสอบว่าบันทึกหลักฐานทำงาน ไปจนถึงการทดสอบถอนความยินยอมว่ายังใช้ได้กับฟีเจอร์ใหม่ที่เพิ่งเปิดตัว หากพบปัญหาระหว่างแคมเปญกำลังทำงาน การแก้ไขย้อนหลังจะยากกว่าปกติมาก เพราะมีลูกค้าจำนวนมากเข้าใช้งานพร้อมกันในเวลาสั้น ๆ

การอบรมทีมบริการลูกค้าให้ตอบคำถามเรื่องความยินยอมได้ถูกต้อง

เมื่อลูกค้าติดต่อฝ่ายบริการลูกค้าเพื่อถามว่าทำไมยังได้รับข้อความโปรโมชันหลังกดยกเลิกไปแล้ว พนักงานที่รับสายมักไม่ใช่คนที่วางระบบความยินยอมไว้ตั้งแต่ต้น หากพนักงานไม่รู้ว่าระบบใช้เวลากี่วันในการอัปเดตสถานะข้ามระบบ อาจตอบลูกค้าไปแบบเดาหรือปฏิเสธความรับผิดชอบ ซึ่งสร้างความไม่พอใจมากกว่าการอธิบายตรงไปตรงมา ร้านค้าควรจัดทำสรุปสั้น ๆ ให้ทีมบริการลูกค้าทราบว่าแต่ละช่องทางใช้เวลาอัปเดตสถานะความยินยอมนานเท่าไหร่ พร้อมสคริปต์ตอบคำถามที่พบบ่อย เช่น ลูกค้าต้องการทราบว่าเคยให้ความยินยอมอะไรไว้บ้าง หรือต้องการให้ลบข้อมูลทั้งหมดออกจากระบบการตลาด การอบรมนี้ควรทำซ้ำทุกครั้งที่มีการเปลี่ยนเครื่องมือหรือกระบวนการสำคัญ เพราะพนักงานบริการลูกค้ามักเปลี่ยนคนบ่อยกว่าที่ทีมการตลาดคาดไว้

ข้อผิดพลาดที่พบบ่อยเกี่ยวกับความยินยอมของร้านค้าออนไลน์

• ตั้งค่าแบนเนอร์คุกกี้แล้วเข้าใจว่าครอบคลุมความยินยอมทุกช่องทาง รวมถึงอีเมลและ SMS ด้วย
• ไม่เชื่อมข้อมูลความยินยอมระหว่างระบบเว็บไซต์หลักกับระบบส่งอีเมลการตลาดที่แยกผู้ให้บริการ
• ไม่ทดสอบว่าการถอนความยินยอมตัดข้อมูลออกจากทุกระบบที่เกี่ยวข้องจริง
• เพิ่มพันธมิตรการตลาดรายใหม่โดยไม่ตรวจว่าความยินยอมเดิมครอบคลุมหรือไม่
• ขอความยินยอมสำหรับกิจกรรมที่จริง ๆ แล้วมีฐานทางกฎหมายอื่นรองรับอยู่แล้ว

สรุป

ความยินยอมตาม PDPA สำหรับร้านค้าออนไลน์ไม่ได้จบแค่แบนเนอร์คุกกี้หน้าแรก แต่ครอบคลุมทั้ง Consent UI ที่แยกวัตถุประสงค์ชัดเจน ระบบบันทึกหลักฐานที่สืบย้อนได้ กลไกถอนความยินยอมที่ใช้งานได้จริงทุกระบบ และการขอความยินยอมใหม่เมื่อวิธีใช้ข้อมูลเปลี่ยนไป ร้านค้าที่วางระบบทั้งสี่ส่วนนี้อย่างครบถ้วนจะตอบคำถามลูกค้าและทีมตรวจสอบได้ทันทีโดยไม่ต้องเริ่มค้นหาหลักฐานใหม่ทุกครั้ง ดูภาพรวมหัวข้ออื่นในหมวด Privacy Fundamentals เพิ่มเติมได้ที่ คลังความรู้ Privacy Fundamentals

แหล่งข้อมูลอ้างอิง

แนวทางเกี่ยวกับหลักความยินยอมภายใต้กฎหมายคุ้มครองข้อมูลส่วนบุคคลของไทยควรตรวจสอบกับประกาศและแนวปฏิบัติของ สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (PDPC) โดยตรง คู่มือนี้เป็นภาพรวมเชิงปฏิบัติสำหรับทีมงานร้านค้าออนไลน์ ไม่ใช่การตีความข้อกำหนดทางกฎหมายแทนหน่วยงานกำกับดูแล