วิธีวัดผลและแก้ปัญหา PDPA สำหรับเว็บไซต์ สำหรับเอเจนซีและฟรีแลนซ์ทำเว็บไซต์ เมื่อระบบทำงานไม่ตรงที่คาด

ทีมเทคนิคของเอเจนซีติดตั้ง Cookie Consent ให้ลูกค้าเสร็จตามขั้นตอนทุกอย่าง แต่พอทดสอบจริงกลับพบว่ากด Reject All แล้ว Facebook Pixel ยังส่งข้อมูลออกไปเหมือนเดิม ปัญหาแบบนี้เกิดซ้ำบ่อยในงานเอเจนซี เพราะการติดตั้งตามคู่มือไม่ได้แปลว่าทุกจุดเชื่อมกันถูกต้องจริง บทความนี้รวมอาการที่พบบ่อยที่สุด พร้อมวิธีวินิจฉัยสาเหตุและแก้ไขทีละขั้น

อาการ: กด Reject All แล้ว Tag บาง Provider ยังทำงาน

สิ่งที่สังเกต	รายละเอียด
อาการ	เปิด Network Log แล้วเห็น Request ไปยัง Analytics หรือ Ads ยังคงทำงานหลังกด Reject All
สาเหตุที่พบบ่อย	Tag ถูก Hardcode ไว้ในโค้ดหน้าเว็บโดยตรง ไม่ได้ผูกกับเงื่อนไข Consent ผ่าน GTM หรือปลั๊กอิน Consent
วิธีแก้	ย้าย Tag ที่ Hardcode ไว้เข้า GTM ทั้งหมด แล้วตั้งเงื่อนไข Trigger ให้ทำงานเฉพาะเมื่อ Consent Category ที่เกี่ยวข้องถูกเลือกเท่านั้น
วิธีตรวจซ้ำ	ทดสอบ Reject All อีกครั้งบน Browser โหมด Incognito แล้วเปิด Network Log ดูว่า Request หยุดจริง

อาการ: Banner ขึ้นแสดงผล แต่ Tracking ยิงตั้งแต่หน้าโหลดโดยไม่รอ Consent

สิ่งที่สังเกต	รายละเอียด
อาการ	Pixel หรือ Analytics ยิงทันทีที่หน้าเว็บโหลด ก่อนที่ผู้ใช้จะกดปุ่มใดใน Banner เลย
สาเหตุที่พบบ่อย	ไม่ได้ตั้งค่า Default Consent State ก่อน Tag เริ่มทำงาน หรือสคริปต์ปลั๊กอิน Consent โหลดช้ากว่า Tag การตลาด
วิธีแก้	ตั้งค่า Default Consent State ให้ทำงานเป็นลำดับแรกสุดในหน้าเว็บ ก่อนโหลด Tag Manager Container ตามแนวทางของ Google Tag Platform
วิธีตรวจซ้ำ	เปิด Network Log ตั้งแต่วินาทีแรกที่หน้าเว็บเริ่มโหลด ไม่ใช่ตรวจหลังหน้าโหลดเสร็จแล้วเท่านั้น

อาการ: ผู้ใช้เปลี่ยนการตั้งค่า Consent ที่เคยเลือกไว้ไม่ได้

ผู้ใช้บางคนต้องการเปลี่ยนใจจาก Accept All เป็น Reject บางหมวดภายหลัง แต่หน้าเว็บไม่มีจุดให้กลับไปแก้ไขการตั้งค่าเดิม

สาเหตุที่พบบ่อย

เอเจนซีติดตั้ง Banner แบบแสดงครั้งเดียวตอนเข้าเว็บไซต์ครั้งแรก แต่ไม่ได้เพิ่มปุ่มหรือลิงก์ "จัดการการตั้งค่าคุกกี้" ไว้ใน Footer หรือจุดที่ผู้ใช้เข้าถึงได้ตลอดเวลา

วิธีแก้และตรวจซ้ำ

เพิ่มลิงก์เปลี่ยนการตั้งค่า Consent ไว้ใน Footer ของทุกหน้า ทดสอบว่ากดแล้วเปิด Panel เดิมขึ้นมาพร้อมแสดงตัวเลือกที่เคยบันทึกไว้ก่อนหน้า ไม่ใช่รีเซ็ตเป็นค่าเริ่มต้นทุกครั้ง

อาการ: Consent Log ว่างเปล่าหรือไม่มีข้อมูลใหม่เข้ามา

เมื่อขอดู Consent Log ย้อนหลังเพื่อตรวจสอบ กลับพบว่าไม่มีข้อมูลใหม่บันทึกเข้ามาเลยตั้งแต่ช่วงหนึ่ง ทั้งที่เว็บไซต์ยังมีผู้เข้าชมตามปกติ

สาเหตุที่พบบ่อย

มักเกิดจากการอัปเดตปลั๊กอิน Consent เวอร์ชันใหม่ที่เปลี่ยนโครงสร้างการบันทึกข้อมูล หรือมีปัญหา Cache ทำให้หน้าเว็บที่ผู้ใช้เห็นเป็นเวอร์ชันเก่าที่ไม่เชื่อมกับระบบบันทึก Log ปัจจุบัน

วิธีแก้และตรวจซ้ำ

ตรวจ Changelog ของปลั๊กอินหลังทุกครั้งที่อัปเดต ล้าง Cache ทั้งฝั่ง Server และ CDN แล้วทดสอบกดเลือก Consent ใหม่หนึ่งรอบเพื่อดูว่ามีข้อมูลเข้า Log หรือไม่ก่อนปิดงาน

อาการ: Privacy Policy กับสิ่งที่เว็บไซต์เก็บจริงไม่ตรงกัน

ลูกค้าเพิ่มระบบ Live Chat หรือฟอร์มใหม่ภายหลังส่งมอบ แต่ Privacy Policy ยังเป็นเวอร์ชันเดิมที่ไม่ได้พูดถึงระบบใหม่นี้เลย

สาเหตุที่พบบ่อย

ไม่มี Workflow แจ้งเตือนให้อัปเดต Policy เมื่อเว็บไซต์เปลี่ยนแปลง และไม่มีใครเป็นเจ้าของงานตรวจสอบความสอดคล้องนี้หลังส่งมอบ

วิธีแก้และตรวจซ้ำ

กำหนดให้ลูกค้าแจ้งเอเจนซีทุกครั้งที่เพิ่มระบบเก็บข้อมูลใหม่ หรือหากมี Retainer ให้ตรวจ Policy เทียบกับหน้าเว็บจริงเป็นรอบ อย่างน้อยทุก 6 เดือนตามระดับความเสี่ยงของหมวดนี้ คู่มือ PDPA สำหรับเว็บไซต์สำหรับเอเจนซีและฟรีแลนซ์ทำเว็บไซต์ อธิบายวิธีวาง Workflow ตรวจซ้ำนี้ไว้ตั้งแต่ต้นโปรเจกต์

อาการ: ลูกค้าถามเรื่อง PDPA แล้วทีมงานตอบไม่ได้ว่าใครรับผิดชอบ

เมื่อลูกค้าถามคำถามเชิงกฎหมาย เช่น ต้องขอความยินยอมแบบไหนสำหรับข้อมูลบางประเภท ทีมเทคนิคของเอเจนซีมักตอบไม่ได้และไม่รู้ว่าควรส่งต่อใคร

สาเหตุที่พบบ่อย

ไม่มีการกำหนดไว้ล่วงหน้าว่าคำถามประเภทใดที่ทีมเทคนิคตอบได้เอง และประเภทใดที่ต้องส่งต่อผู้เชี่ยวชาญกฎหมาย ทำให้ทีมพยายามตอบเองทั้งหมดหรือไม่ตอบเลย

วิธีแก้และตรวจซ้ำ

แบ่งคำถามเป็นสองกลุ่มตั้งแต่ต้น กลุ่มที่ตอบได้เอง เช่น การตั้งค่า Cookie Category หรือการทำงานของปลั๊กอิน และกลุ่มที่ต้องส่งต่อผู้เชี่ยวชาญ เช่น การเลือกฐานทางกฎหมายหรือการตีความข้อกำหนดเฉพาะกรณี ระบุแนวทางนี้ไว้ในเอกสารส่งมอบให้ลูกค้าเข้าใจตรงกัน

อาการ: Widget หรือ Iframe จากภายนอกฝัง Script ที่ Consent ควบคุมไม่ถึง

เว็บไซต์ฝังระบบจองคิว แชทสด หรือแผนที่จาก Third-party ผ่าน iframe แล้วพบว่า Cookie ที่ระบบเหล่านั้นวางเพิ่มไม่ถูกบล็อกแม้ผู้ใช้จะกด Reject All บนเว็บหลักแล้วก็ตาม

สาเหตุที่พบบ่อย

ปลั๊กอิน Consent ที่ติดตั้งไว้ควบคุมได้เฉพาะ Script ที่รันอยู่บน Domain เดียวกัน ส่วน Script ภายใน iframe จาก Domain อื่นทำงานอยู่นอกขอบเขตที่ Consent Manager มองเห็นและควบคุมได้โดยตรง

วิธีแก้และตรวจซ้ำ

ตรวจสอบกับผู้ให้บริการ Widget ว่ามีโหมดที่รอ Consent ก่อนโหลด Cookie หรือไม่ หากไม่มี อาจต้องใช้วิธีโหลด iframe แบบ Lazy หลังผู้ใช้ยินยอมเท่านั้น หรือแสดงข้อความแจ้งเตือนแยกก่อนโหลด Widget นั้น แล้วทดสอบ Network Log เฉพาะจุดที่ Widget ฝังอยู่อีกครั้งหลังปรับแก้

อาการ: ทีมขายส่งออกรายชื่อ Lead ให้ Third-party โดยไม่มีใครรู้

ฝ่ายขายของลูกค้า Export รายชื่อ Lead จากฟอร์มเว็บไซต์ไปให้ Partner หรือ Freelance โทรติดตามต่อ โดยไม่ได้แจ้งทีมเทคนิคหรือปรับ Privacy Policy ให้สอดคล้อง

สาเหตุที่พบบ่อย

ระบบ CRM หรือ Spreadsheet ที่ใช้ Export ข้อมูลอยู่นอกเหนือการดูแลของเอเจนซีทำเว็บไซต์ ทำให้ไม่มีจุดตรวจสอบว่าข้อมูลถูกส่งต่อไปที่ใดหลังเข้าระบบแล้ว

วิธีแก้และตรวจซ้ำ

แนะนำให้ลูกค้าตั้งกระบวนการภายในว่าการส่งต่อข้อมูล Lead ให้บุคคลภายนอกต้องผ่านการอนุมัติและบันทึกไว้เป็นลายลักษณ์อักษร พร้อมปรับ Privacy Policy ให้ระบุผู้รับข้อมูลประเภทนี้ไว้ล่วงหน้า เอเจนซีทำหน้าที่แจ้งเตือนความเสี่ยงนี้ได้ แต่การควบคุม Workflow ภายในเป็นหน้าที่ของเจ้าของธุรกิจ

คำถามที่พบบ่อย

ทำไมกด Reject All แล้ว Tag บาง Provider ยังทำงาน

ส่วนใหญ่เกิดจาก Tag ถูก Hardcode ไว้ในโค้ดหน้าเว็บโดยตรง ไม่ได้ผูกกับเงื่อนไข Consent ผ่าน GTM หรือปลั๊กอิน Consent ต้องย้าย Tag เข้า GTM แล้วตั้ง Trigger ตามหมวดที่เลือกใหม่

ควรตรวจ Consent Log ย้อนหลังบ่อยแค่ไหน

ควรสุ่มตรวจอย่างน้อยเดือนละครั้งว่ามีข้อมูลใหม่บันทึกเข้ามาต่อเนื่อง และตรวจทันทีหลังอัปเดตปลั๊กอินหรือเปลี่ยน Hosting ทุกครั้ง

ถ้าไม่รู้จะตอบคำถามลูกค้าเรื่องกฎหมายอย่างไร ต้องทำยังไง

ควรแจ้งลูกค้าตรงไปตรงมาว่าคำถามนี้เกินขอบเขตที่เอเจนซีให้คำแนะนำได้ และแนะนำให้ปรึกษาผู้เชี่ยวชาญกฎหมายแทนการเดาคำตอบเอง

เช็กลิสต์ปฏิบัติ

• ทดสอบ Network Log หลังกด Reject All ทุกครั้งที่มีการแก้ไข Tag หรือปลั๊กอิน
• ตั้งค่า Default Consent State ให้ทำงานก่อน Tag Manager Container เริ่มโหลด
• เพิ่มลิงก์จัดการการตั้งค่าคุกกี้ไว้ใน Footer ของทุกหน้า
• ตรวจ Consent Log ว่ามีข้อมูลใหม่เข้ามาต่อเนื่องหลังอัปเดตระบบทุกครั้ง
• เทียบ Privacy Policy กับระบบเก็บข้อมูลจริงเป็นรอบตามความเสี่ยงของธุรกิจ
• แบ่งคำถามลูกค้าเป็นกลุ่มที่ตอบได้เองกับกลุ่มที่ต้องส่งต่อผู้เชี่ยวชาญไว้ล่วงหน้า

ข้อผิดพลาดที่พบบ่อย

• ทดสอบ Reject All เพียงครั้งเดียวตอนส่งมอบ แล้วไม่ทดสอบซ้ำหลังอัปเดตปลั๊กอิน
• ตั้ง Default Consent State ไว้ถูกต้อง แต่ลืมตรวจว่า Tag Manager โหลดก่อนหรือหลังค่านั้นทำงานจริง
• ไม่มีลิงก์ให้ผู้ใช้กลับมาแก้ไขการตั้งค่า Consent ที่เคยเลือกไว้
• ปล่อยให้ทีมเทคนิคพยายามตอบคำถามเชิงกฎหมายของลูกค้าเองทั้งที่ไม่มีความเชี่ยวชาญ

สรุป

ปัญหา PDPA ที่เกิดหลังส่งมอบเว็บไซต์ส่วนใหญ่แก้ได้ด้วยการไล่ตรวจตามลำดับ ไม่ใช่ลองสุ่มเปลี่ยนการตั้งค่า เริ่มจาก Network Log ดูว่า Script ทำงานตาม Consent จริงหรือไม่ ตามด้วย Consent Log และความสอดคล้องของ Privacy Policy การมีขั้นตอนวินิจฉัยที่ชัดเจนช่วยให้ทีมเอเจนซีแก้ปัญหาได้เร็วขึ้นและตรวจซ้ำได้อย่างสม่ำเสมอ

แหล่งข้อมูลอ้างอิง

• สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (PDPC)
• 10 ข้อผิดพลาดเรื่อง PDPA สำหรับเว็บไซต์ของเอเจนซี