วิธี Audit Google Consent Mode ของเอเจนซีและฟรีแลนซ์ทำเว็บไซต์ พร้อม Evidence ที่ควรเก็บ

เอเจนซีที่ดูแลเว็บไซต์ลูกค้าหลายราย มักไม่มีขั้นตอน Audit Google Consent Mode ที่ใช้ซ้ำได้เหมือนกันทุกบัญชี ทีมหนึ่งอาจตรวจ GTM container ของลูกค้ารายหนึ่งอย่างละเอียด ขณะที่บัญชีอื่นไม่เคยถูกตรวจเลยนับตั้งแต่วันติดตั้ง ปัญหานี้ไม่ได้เกิดจากความไม่ใส่ใจ แต่เกิดจากไม่มีขั้นตอนมาตรฐานที่ทีมทุกคนใช้ตรวจได้เหมือนกัน ไม่ว่าใครเป็นคนรับผิดชอบบัญชีนั้นในช่วงเวลานั้น

บทความนี้คือขั้นตอน Audit ที่ทีม Agency, Freelancer และทีมพัฒนาเว็บไซต์ใช้ตรวจ Google Consent Mode ของเว็บไซต์ลูกค้าแต่ละรายได้จริง ตั้งแต่การเตรียมขอบเขต การตรวจสัญญาณทั้งสี่ตัว ไปจนถึง Evidence ที่ควรเก็บไว้ส่งมอบให้ลูกค้าทุกรอบ เพื่อให้เอเจนซีตอบได้ทันทีเมื่อลูกค้าถามว่าระบบ tracking ของตนตั้งค่าถูกต้องแค่ไหน

การ Audit Google Consent Mode สำหรับเอเจนซีคือการตรวจซ้ำทุกบัญชีลูกค้าว่าสัญญาณ Consent ทั้งสี่ตัว (ad_storage, analytics_storage, ad_user_data, ad_personalization) ถูกตั้งค่า default และ update ตรงกับที่ตกลงไว้ ไม่ใช่แค่ตรวจบัญชีเดียวแล้วสรุปว่าทุกบัญชีเหมือนกัน เอเจนซีควรตรวจอย่างน้อยทุกหกเดือนต่อบัญชี และทุกครั้งที่ทีมแก้ไข GTM container หรือเพิ่มแคมเปญใหม่ให้ลูกค้า โดยเก็บ Evidence เช่น ภาพ network request ผังการตั้งค่าที่ export ไว้ และรายงานสัดส่วน modeled conversion ไว้ส่งมอบให้ลูกค้าทุกรอบ บทความนี้อธิบายกลไกทางเทคนิคของ Consent Mode ตามเอกสารของ Google เป็นแนวทางตรวจสอบและเก็บหลักฐานเชิงปฏิบัติ ไม่ใช่การชี้ขาดว่าบัญชีลูกค้าใดปฏิบัติตามข้อกำหนดทางกฎหมายครบถ้วน ควรแนะนำให้ลูกค้าตรวจสอบกับที่ปรึกษากฎหมายของตนเองโดยตรง

ทำไมเอเจนซีต้องมีระบบ Audit ที่ใช้ซ้ำได้ทุกบัญชีลูกค้า

เว็บไซต์ของลูกค้าแต่ละรายมักถูกตั้งค่า Consent Mode โดยคนละคนในเวลาต่างกัน บางบัญชีตั้งไว้ตั้งแต่ยุค Consent Mode รุ่นแรกก่อนที่ signal ad_user_data และ ad_personalization จะถูกแยกออกจากกัน บางบัญชีถูกทีม in-house ของลูกค้าเองแก้ไข GTM container เพิ่มเติมภายหลังโดยไม่แจ้งเอเจนซี หากไม่มีขั้นตอน Audit ที่ตายตัว เอเจนซีจะไม่มีทางรู้ว่าบัญชีใดยังใช้การตั้งค่าเดิม บัญชีใดถูกแก้ไขจนเบี่ยงเบนไปจากที่ตกลงไว้กับลูกค้าตั้งแต่แรก

อีกประเด็นที่กระทบเอเจนซีโดยตรงคือความรับผิดชอบเมื่อลูกค้าถูกซักถามเรื่องการติดตามข้อมูล เอเจนซีที่ตรวจสอบเป็นประจำและมี Evidence ชัดเจนสามารถตอบลูกค้าได้ทันทีว่าระบบตั้งค่าอย่างไรและตรวจล่าสุดเมื่อไร ขณะที่เอเจนซีที่ไม่มีขั้นตอนนี้ต้องเสียเวลาไล่ตรวจย้อนหลังทุกครั้งที่ถูกถาม ซึ่งมักเกิดขึ้นในช่วงเวลาที่กดดันที่สุด

เตรียมการก่อนเริ่ม Audit: ขอบเขต บัญชี และเอกสารที่ต้องมี

เริ่มจากทำรายการบัญชีลูกค้าทั้งหมดที่เอเจนซีดูแลอยู่ พร้อมระบุว่าแต่ละบัญชีตั้งค่า Consent Mode ผ่านช่องทางใด เช่น gtag.js แบบ inline บน platform อย่าง Shopify, ผ่าน Google Tag Manager, หรือผ่านปลั๊กอิน Cookie Consent ของ WordPress ที่ผูก Consent Mode ให้อัตโนมัติ เพราะแต่ละช่องทางมีจุดตรวจและความเสี่ยงต่างกัน

เอกสารที่ควรรวบรวมก่อนเริ่มตรวจ คือรายชื่อผู้ดูแลบัญชี Google Ads และ GA4 ของลูกค้าแต่ละราย ประวัติการแก้ไข GTM container ล่าสุด และข้อตกลงเดิมที่เคยคุยกับลูกค้าไว้ว่าจะตั้งค่า Consent Mode แบบใด เพราะบางลูกค้าอาจขอให้ตั้งค่าที่ต่างจากค่าเริ่มต้นแนะนำของ Google ด้วยเหตุผลทางธุรกิจของตัวเอง เอเจนซีต้องตรวจว่าสิ่งที่ deploy จริงตรงกับข้อตกลงนั้นหรือไม่ ไม่ใช่ตรวจแค่ว่าถูกต้องตามมาตรฐานทั่วไป

ขั้นตอน Audit Google Consent Mode ทีละขั้น

ขั้นตอนต่อไปนี้ใช้ตรวจต่อหนึ่งบัญชีลูกค้า เอเจนซีที่ดูแลหลายบัญชีควรทำเป็นรอบตามลำดับความสำคัญ เริ่มจากบัญชีที่มีงบโฆษณาสูงสุดหรือมีทราฟฟิกจากยุโรปก่อน

ขั้นที่ 1: ตรวจค่า default ก่อนมี interaction ของแต่ละบัญชี

เปิดเว็บไซต์ลูกค้าในโหมด incognito แล้วดู network request ก่อนกด Cookie Banner ใด ๆ ตรวจว่าสัญญาณ ad_storage, analytics_storage, ad_user_data และ ad_personalization ตั้งเป็น denied หรือ granted ตรงกับข้อตกลงเดิมหรือไม่ หากพบว่าบัญชีใดตั้ง granted ทั้งหมดโดย default ทั้งที่ตกลงกับลูกค้าไว้ว่าจะใช้ default-off ให้บันทึกเป็น finding ที่ต้องแก้ก่อนอันดับแรก เพราะหมายความว่าเว็บไซต์เก็บข้อมูลแบบ observed ไปแล้วโดยที่ผู้ใช้ยังไม่ได้ตอบ Banner

ขั้นที่ 2: ทดสอบว่าคำสั่ง update ทำงานทันทีเมื่อผู้ใช้ตอบ Banner

กด "ยอมรับทั้งหมด" แล้วตรวจว่าสัญญาณเปลี่ยนเป็น granted ทันที รีเฟรชแล้วกด "ปฏิเสธทั้งหมด" ตรวจว่าสัญญาณกลับเป็น denied ถูกต้อง จากนั้นตรวจว่า tag remarketing หรือ tag โฆษณาที่ควรหยุดทำงานเมื่อถูกปฏิเสธ ไม่ยิง request ต่อ บัญชีที่เอเจนซีเพิ่ม tag ใหม่ให้ลูกค้าเองบ่อยครั้งเป็นจุดที่พบปัญหานี้มากที่สุด เพราะทีมที่เพิ่ม tag เร่งด่วนตามคำขอลูกค้ามักลืมผูกเงื่อนไข consent เข้ากับ trigger

ขั้นที่ 3: ตรวจว่า GA4, Google Ads และ Floodlight อ่านสัญญาณตรงกัน

สำหรับบัญชีที่ลูกค้าใช้ทั้ง GA4 และ Google Ads พร้อมกัน ตรวจว่า conversion ที่บันทึกใน Google Ads สอดคล้องกับ event ใน GA4 ในช่วงเวลาเดียวกัน หากพบว่าตัวเลขทั้งสองระบบต่างกันมากผิดปกติ อาจแปลว่าสัญญาณที่ส่งไปแต่ละระบบไม่ตรงกัน เช่น ตั้งค่าผ่าน GTM container คนละตัวโดยไม่ได้ sync กัน สำหรับลูกค้าที่ใช้ Google Marketing Platform เต็มรูปแบบ ต้องตรวจ Floodlight เพิ่มเติมว่าอ่านสัญญาณ ad_storage ชุดเดียวกันนี้ด้วย ไม่ใช่ตั้งค่าแยกอิสระจากกัน

ขั้นที่ 4: ตรวจ region-based default สำหรับลูกค้าที่มีทราฟฟิกนานาชาติ

ลูกค้าเอเจนซีจำนวนไม่น้อยขายสินค้าหรือบริการไปยังยุโรป ตรวจว่าคำสั่ง default ระบุ region แยกกลุ่มประเทศ EEA ออกจากกลุ่มอื่นหรือไม่ หากลูกค้าใช้ค่า default เดียวกันทั้งเว็บโดยไม่แยก region ทั้งที่มีทราฟฟิกจากยุโรปจริง ให้บันทึกเป็น finding และเสนอแก้ไขให้ตรงกับข้อกำหนดที่ใช้กับผู้เข้าชมกลุ่ม EEA

ขั้นที่ 5: ตรวจสิทธิ์เข้าถึงบัญชี Google Ads, GA4 และ GTM ของทีมเอเจนซี

ทบทวนว่าทีมเอเจนซีที่ยังมีสิทธิ์แก้ไข container ของลูกค้าเก่าที่เลิกใช้บริการไปแล้วหรือยัง เพราะสิทธิ์ที่ค้างอยู่เป็นความเสี่ยงทั้งด้านความปลอดภัยและด้านความรับผิดชอบหากมีการแก้ไขที่ไม่ได้รับอนุญาต ตรวจคู่ไปกับรายชื่อพนักงานเอเจนซีปัจจุบัน ถอดสิทธิ์ของพนักงานที่ลาออกแล้วออกจากทุกบัญชีทันทีที่พบ

ขั้นที่ 6: ตรวจช่องว่าง modeled กับ observed conversion ต่อบัญชี

เข้า GA4 Admin ของแต่ละบัญชีลูกค้าที่เปิดรายงาน consent mode ไว้ เทียบสัดส่วน observed กับ modeled conversion ในช่วงเวลาเดียวกัน บัญชีที่สัดส่วน modeled สูงผิดปกติเมื่อเทียบกับบัญชีอื่นในกลุ่มธุรกิจเดียวกัน อาจบ่งบอกว่า Banner ของบัญชีนั้นแสดงผลไม่ครบทุกหน้า หรือมีบั๊กที่ทำให้ผู้ใช้ปฏิเสธมากผิดปกติ ควรแจ้งลูกค้าให้ทราบพร้อมข้อเสนอแนะ ไม่ใช่ปล่อยผ่านเพราะเป็นแค่ตัวเลขในรายงาน

Evidence ที่ควรเก็บจากการ Audit แต่ละรอบ สำหรับส่งมอบให้ลูกค้า

เอเจนซีควรสรุปผล Audit เป็นเอกสารที่ส่งให้ลูกค้าได้ทันที ไม่ใช่แค่บันทึกภายในทีม รายการที่ควรเก็บทุกรอบและทุกบัญชีได้แก่

• ภาพ network request ก่อนและหลัง interaction แสดงสถานะสัญญาณทั้งสี่ตัว
• ผัง GTM container ที่ export ไว้ ณ วันที่ตรวจ พร้อมรายชื่อ tag และเงื่อนไข consent ของแต่ละ tag
• รายงานสัดส่วน observed vs modeled conversion ของแต่ละบัญชีในช่วงเวลาที่ตรวจ
• รายชื่อผู้มีสิทธิ์เข้าถึงบัญชี พร้อมวันที่ทบทวนล่าสุด
• บันทึก finding และวันที่แก้ไข ของแต่ละบัญชี พร้อมผู้รับผิดชอบ

สถานการณ์ตัวอย่างจริง

กรณีที่หนึ่ง — บัญชีเก่าที่ไม่มีใครแตะมาสามปี: เอเจนซีขนาดกลางแห่งหนึ่งรับดูแลบัญชี Google Ads ของลูกค้ารายหนึ่งต่อจากทีมเดิมที่ลาออกไป เมื่อเริ่มทำ Audit ตามขั้นที่ 1 พบว่าบัญชีนี้ยังใช้ Consent Mode รุ่นแรกที่ไม่มีสัญญาณ ad_user_data และ ad_personalization แยกกัน ทั้งที่ Google เปลี่ยนมาใช้ Consent Mode v2 มาหลายปีแล้ว ทีมต้องอัปเกรดโค้ดทั้งหมดก่อนจะยืนยันความถูกต้องของรายงานให้ลูกค้าต่อได้

กรณีที่สอง — ทีม in-house ของลูกค้าแก้ GTM โดยไม่แจ้งเอเจนซี: ลูกค้ารายหนึ่งมีทีมการตลาดภายในที่เข้าถึง GTM container ได้เอง เพิ่ม tag ใหม่สำหรับแคมเปญโปรโมชันโดยไม่ได้แจ้งเอเจนซี เมื่อ Audit ตามขั้นที่ 2 พบว่า tag ใหม่นี้ยิงออกไปทันทีที่หน้าเว็บโหลดโดยไม่เช็คเงื่อนไข consent เลย เอเจนซีจึงเสนอให้ลูกค้ากำหนดกระบวนการแจ้งเอเจนซีทุกครั้งก่อนเพิ่ม tag ใหม่ในอนาคต

กรณีที่สาม — สิทธิ์เข้าถึงค้างจากโปรเจกต์ที่จบไปแล้ว: ระหว่างตรวจขั้นที่ 5 เอเจนซีพบว่าฟรีแลนซ์ที่เคยช่วยงานโปรเจกต์หนึ่งเมื่อสองปีก่อนยังมีสิทธิ์แก้ไข GTM container ของลูกค้ารายนั้นอยู่ ทั้งที่จบงานและไม่ได้ติดต่อกันอีกแล้ว ทีมจึงถอดสิทธิ์ทันทีและเพิ่มขั้นตอนทบทวนสิทธิ์เข้าถึงเป็นส่วนหนึ่งของ Audit ทุกรอบนับจากนั้น

ทำ Audit ให้เป็นงานประจำของเอเจนซี ไม่ใช่งานครั้งเดียว

ความเสี่ยงด้าน freshness ของหัวข้อนี้อยู่ในระดับสูง เพราะ Google ปรับเงื่อนไขของ Consent Mode อยู่เรื่อย ๆ เอเจนซีควรกำหนดรอบตรวจอย่างน้อยทุกหกเดือนต่อบัญชี และแทรกการตรวจแบบย่อเข้าไปในทุกครั้งที่เพิ่มแคมเปญใหม่หรือแก้ไข GTM container ให้ลูกค้า กำหนดเจ้าของงานให้ชัดหนึ่งคนต่อกลุ่มบัญชี เพื่อไม่ให้ความรับผิดชอบกระจัดกระจายจนไม่มีใครตรวจจริง ดูรายการเช็กก่อนเปิดใช้งานเพิ่มเติมได้ที่ เช็กลิสต์ Google Consent Mode สำหรับเอเจนซีและฟรีแลนซ์ทำเว็บไซต์ และดูภาพรวมของหัวข้อนี้ทั้งหมดได้ที่ Google Consent Mode คืออะไร คู่มือสำหรับเอเจนซีและฟรีแลนซ์ทำเว็บไซต์

ข้อผิดพลาดที่พบบ่อย

• ตรวจบัญชีลูกค้าเพียงบางรายแล้วสรุปว่าบัญชีอื่นตั้งค่าเหมือนกันโดยไม่ได้ตรวจจริง
• ปล่อยให้บัญชีเก่ายังใช้ Consent Mode รุ่นแรกที่ไม่แยกสัญญาณ ad_user_data กับ ad_personalization
• ไม่ทราบว่าทีม in-house ของลูกค้าแก้ไข GTM container เองโดยไม่แจ้งเอเจนซี
• ปล่อยให้พนักงานหรือฟรีแลนซ์ที่จบงานไปแล้วยังมีสิทธิ์เข้าถึงบัญชีลูกค้าอยู่
• ทำ Audit ครั้งเดียวตอนเริ่มโปรเจกต์แล้วไม่กำหนดรอบตรวจถัดไปให้ชัดเจน

สรุป

การ Audit Google Consent Mode สำหรับเอเจนซีต้องทำเป็นระบบที่ใช้ซ้ำได้ทุกบัญชีลูกค้า ไม่ใช่ตรวจตามความสะดวกหรือความจำเป็นเฉพาะหน้า ขั้นตอนทั้งหกที่กล่าวมา ตั้งแต่ตรวจค่า default ไปจนถึงทบทวนสิทธิ์เข้าถึงบัญชี ช่วยให้เอเจนซีตอบคำถามลูกค้าได้บนหลักฐานจริง ไม่ใช่ความเชื่อว่าระบบทำงานถูกต้อง และช่วยลดความเสี่ยงที่บัญชีใดบัญชีหนึ่งจะถูกมองข้ามจนกลายเป็นปัญหาที่แก้ยากในภายหลัง

แหล่งข้อมูลอ้างอิง

กลไกการทำงานของ Consent Mode และสัญญาณแต่ละตัวควรอ้างอิงจาก Google Ads Help — Consent Mode โดยตรง สำหรับหัวข้ออื่นในหมวด Tracking & MarTech ดูภาพรวมได้ที่ คลังความรู้ Tracking & MarTech บทความนี้เป็นแนวทางตรวจสอบเชิงปฏิบัติ ไม่ใช่การตีความข้อกำหนดทางกฎหมายแทนหน่วยงานกำกับดูแล