วิธี Audit Google Consent Mode ของฝ่าย HR เว็บไซต์สมัครงาน และ Recruitment พร้อม Evidence ที่ควรเก็บ

ทีม HR เปิดตำแหน่งงานใหม่แล้วเช็กหน้าสมัครงานด้วย Network Tab พบว่า Pixel ของแพลตฟอร์มโฆษณายิงออกไปตั้งแต่หน้าโหลดเสร็จ ก่อนที่ผู้สมัครจะเห็นแบนเนอร์คุกกี้ด้วยซ้ำ นี่คือจุดเริ่มต้นทั่วไปที่ทำให้ต้อง Audit Google Consent Mode ของเว็บไซต์สมัครงานอย่างจริงจัง ไม่ใช่แค่เช็กว่ามีแบนเนอร์ขึ้นหรือไม่

เว็บไซต์สมัครงานมีความซับซ้อนมากกว่าเว็บทั่วไป เพราะมักเชื่อมกับระบบ Applicant Tracking System (ATS) ของผู้ให้บริการภายนอก มีฟอร์มอัปโหลดเรซูเม่ที่อาจมีข้อมูลอ่อนไหว และบางบริษัทใช้ Career Page คนละโดเมนกับเว็บหลัก การ Audit จึงต้องมองทั้งฝั่ง Marketing Tag และฝั่งข้อมูลผู้สมัครไปพร้อมกัน

ขอบเขตของการ Audit Google Consent Mode สำหรับเว็บไซต์สมัครงาน

การ Audit ในที่นี้หมายถึงการตรวจสอบพฤติกรรมของ Script ฝั่ง Client และการตั้งค่า Tag ว่าทำงานสอดคล้องกับสิ่งที่ผู้สมัครเลือกหรือไม่ เป็นการตรวจเชิงเทคนิคที่ทีม Marketing/IT ทำได้เอง แตกต่างจากการตรวจทางกฎหมายว่าฐานการเก็บข้อมูลผู้สมัครถูกต้องหรือไม่ ซึ่งต้องให้ฝ่ายกฎหมายหรือ DPO พิจารณาแยกต่างหาก

trusty ช่วยสแกนพฤติกรรม Script ที่มองเห็นได้จากฝั่ง Public เช่น Tag ที่ทำงานก่อนกดยอมรับ หรือ Cookie ที่ถูกวางไว้ก่อน Consent แต่ไม่เห็นสิ่งที่เกิดขึ้นหลังบ้าน เช่น การส่งข้อมูลผู้สมัครเข้า ATS หรือ CRM ของฝ่ายสรรหา ส่วนนี้ทีม HR ต้องตรวจเพิ่มเองหรือให้ Developer ยืนยัน

มุมมอง TRUSTY-20 ที่ควรใช้ก่อนเริ่ม Audit

ก่อนไล่ทดสอบทีละปุ่ม ทีมงานควรตั้งกรอบคำถามตามประเด็นที่เกี่ยวข้องกับเว็บสมัครงานโดยตรง ได้แก่ Timing (Script ทำงานก่อนหรือหลัง Consent), Script and Storage (มี Tag อะไรบ้างบนหน้าสมัครงานและหน้าอัปโหลดเอกสาร), Vendor (ATS และเครื่องมือสรรหาบุคคลที่เป็น Third Party), Governance (ใครเป็นเจ้าของ Container GTM ของ Career Page) และ Evidence (จะเก็บหลักฐานการตรวจอย่างไรให้ตรวจสอบย้อนหลังได้)

คำถามเหล่านี้ช่วยให้การ Audit ไม่หลุดโฟกัสไปที่การนับจำนวน Cookie เพียงอย่างเดียว แต่มองเห็นภาพรวมว่าข้อมูลผู้สมัครไหลไปที่ไหนบ้างหลังจากกดปุ่ม Apply

ขั้นตอน Audit ทีละขั้น

ขั้นที่ 1 ตรวจ Default Consent State ก่อนโหลด Tag

เปิดหน้าสมัครงานในโหมด Incognito แล้วดู Network Request ก่อนที่แบนเนอร์คุกกี้จะปรากฏ หลักการของ Google Consent Mode คือต้องตั้งค่า Default Consent State ให้เป็น denied สำหรับหมวดที่ยังไม่ได้รับความยินยอม ก่อนที่ Tag วัดผลหรือโฆษณาจะเริ่มทำงาน หากพบว่า Request ไปยัง Google Ads หรือ Analytics ยิงออกไปตั้งแต่วินาทีแรก แปลว่า Default State อาจไม่ได้ถูกตั้งไว้ก่อน Tag Container โหลด

ขั้นที่ 2 ทดสอบพฤติกรรมหลังกด Accept, Reject และ Customize

ทดสอบทั้งสามเส้นทางแยกกัน แล้ว Reload หน้าใหม่ทุกครั้งเพื่อตรวจว่าเว็บไซต์จดจำการตั้งค่าไว้จริงหรือไม่ กรณีกด Reject ต้องไม่มี Marketing Tag ทำงานต่อ และกรณีกด Customize ต้องเลือกเฉพาะหมวดที่ต้องการได้จริง ไม่ใช่ปุ่มที่กดแล้วไม่มีผลต่อพฤติกรรม Script

ขั้นที่ 3 ตรวจ Mapping หมวด Consent กับ Google Consent Type

ตรวจว่า Consent Management Platform (CMP) ที่ใช้ ส่งค่า ad_storage, ad_user_data, ad_personalization และ analytics_storage ตรงกับหมวดที่ผู้สมัครเลือกจริงหรือไม่ ควรใช้เครื่องมือของ Google อย่าง Tag Assistant เพื่อดูค่า Consent State ที่ถูกส่งเข้า Data Layer แบบสด แทนการเดาจากเอกสารเก่า

ขั้นที่ 4 ตรวจ Third Party ATS และ Career Page ที่แยกโดเมน

หลายบริษัทฝังหน้าสมัครงานของ ATS ผ่าน iframe หรือ redirect ไปยังโดเมนของผู้ให้บริการ ซึ่ง Consent ที่ตั้งไว้บนเว็บหลักอาจไม่ส่งต่อไปยังโดเมนนั้นโดยอัตโนมัติ ต้องตรวจแยกว่าโดเมนของ ATS มีกลไก Consent ของตัวเองหรือไม่ และสอดคล้องกับ Policy ของบริษัทที่ประกาศไว้หรือไม่

Evidence ที่ควรเก็บระหว่างการ Audit

จุดเสี่ยงเฉพาะของเว็บไซต์สมัครงานและ Recruitment

ฟอร์มสมัครงานบางแบบมีคำถามที่แตะข้อมูลอ่อนไหว เช่น ประวัติสุขภาพสำหรับตำแหน่งที่ต้องตรวจร่างกาย หรือคำถามเกี่ยวกับสัญชาติและศาสนาในบางอุตสาหกรรม กรณีแบบนี้ควรยกระดับความเสี่ยงและให้ฝ่ายกฎหมายหรือ DPO ตรวจ Legal Basis แยกต่างหาก ไม่ใช่ปล่อยให้ Consent Mode ของ Marketing Tag เป็นเรื่องเดียวที่ถูกตรวจ

อีกจุดที่พบบ่อยคือ Career Page ที่ทำจาก Theme หรือ Template สำเร็จรูป ซึ่งอาจฝัง Script ของผู้ให้บริการ Job Board ไว้แบบ Hardcode โดยไม่ผ่าน Tag Manager เลย ทำให้การบล็อกผ่าน Consent Mode ทำไม่ได้จนกว่าจะแก้ที่โค้ดต้นทาง ทีม HR ควรสอบถาม Developer ว่ามี Script ลักษณะนี้อยู่หรือไม่ก่อนสรุปผล Audit

ผู้ที่ต้องการพื้นฐานเรื่อง Google Consent Mode สำหรับกลุ่มงาน HR และ Recruitment โดยตรง ควรเริ่มจาก คู่มือ Google Consent Mode สำหรับฝ่าย HR เว็บไซต์สมัครงาน และ Recruitment ก่อนเข้าสู่ขั้นตอน Audit เชิงลึกในบทความนี้ และเมื่อ Audit เสร็จควรวางแผนทบทวนต่อเนื่องตาม อัปเดต Google Consent Mode ปี 2026 สำหรับฝ่าย HR เพื่อให้ผลตรวจไม่ล้าสมัย

การรายงานผล Audit ให้ผู้บริหารและทีมที่เกี่ยวข้อง

ผล Audit ที่ดีไม่ใช่แค่รายการ Pass/Fail แต่ควรอธิบายด้วยรูปแบบ Finding, Evidence, Why It Matters, Confidence และ Recommended Action เพื่อให้ผู้บริหารฝ่าย HR และทีม Marketing เข้าใจตรงกันว่าอะไรคือความเสี่ยงจริง อะไรคือสิ่งที่ยังต้องตรวจเพิ่ม ตัวอย่างเช่น หากพบว่า Pixel ยิงก่อน Consent บน Career Page ให้ระบุ Evidence เป็นภาพ Network Request พร้อม Timestamp ระบุ Confidence เป็น Confirmed เพราะเห็นพฤติกรรมจริง และระบุ Priority ตามหลักการจัดลำดับความเสี่ยง คือ Tracking ก่อน Consent ควรถูกแก้ก่อนประเด็นด้านความสวยงามของหน้าเว็บ

รายงานควรระบุ Owner ของแต่ละ Finding ด้วย เช่น ทีม Developer เป็นผู้แก้ Script ที่ Hardcode ส่วนทีม HR เป็นผู้ตัดสินใจว่าฟอร์มใดควรลดคำถามที่อ่อนไหวลง การแบ่งความรับผิดชอบชัดเจนช่วยให้ Audit ครั้งต่อไปเร็วขึ้น เพราะไม่ต้องไล่หาว่าใครดูแลส่วนไหนใหม่ทุกครั้ง

คำถามที่ทีม HR มักถามระหว่างและหลัง Audit

การ Audit Google Consent Mode ของเว็บไซต์สมัครงานควรเริ่มจากอะไรก่อน

คำตอบคือควรเริ่มจากขั้นที่ 1 ตรวจ Default Consent State ก่อนโหลด Tag โดยเปิดหน้าสมัครงานแบบ Incognito แล้วดู Network Request ก่อนกดยอมรับคุกกี้ เพราะถ้าจุดเริ่มต้นนี้ผิดตั้งแต่แรก ขั้นตอนถัดไปเรื่อง Mapping หรือ Reject ก็จะตรวจได้ไม่ตรงสถานการณ์จริง ทีมที่เพิ่งเริ่ม Audit ครั้งแรกมักข้ามขั้นนี้ไปตรวจปุ่ม Accept/Reject ก่อน ทำให้พลาดปัญหาที่ฝังอยู่ตั้งแต่ต้นทาง

trusty ตรวจ Career Page ที่แยกโดเมนจากเว็บหลักได้ทั้งหมดหรือไม่

trusty สแกนพฤติกรรม Script ที่มองเห็นได้จากฝั่ง Public ของแต่ละโดเมนที่เพิ่มเข้าระบบ ถ้า Career Page อยู่คนละโดเมนและถูกเพิ่มเป็นเว็บไซต์แยกในระบบ ก็จะได้รับการสแกนเช่นเดียวกับเว็บหลัก แต่การเชื่อมต่อข้อมูลหลังบ้านระหว่างเว็บหลักกับ ATS เช่น การส่งข้อมูลผู้สมัครเข้า CRM ของฝ่ายสรรหา อยู่นอกขอบเขตของการสแกนฝั่ง Public และต้องให้ทีม Developer หรือผู้ดูแล ATS ยืนยันเพิ่มเติม

ผล Audit Google Consent Mode ใช้แทนการตรวจทางกฎหมายได้หรือไม่

ไม่ได้ ผล Audit เป็นการตรวจพฤติกรรมทางเทคนิคของ Script และ Tag เท่านั้น ส่วนความถูกต้องของฐานการเก็บข้อมูลผู้สมัครงาน เช่น จะใช้ฐานสัญญาหรือฐานความยินยอมสำหรับคำถามแต่ละข้อในใบสมัคร ต้องให้ฝ่ายกฎหมายหรือ DPO พิจารณาแยกต่างหากตามบริบทของแต่ละองค์กร ผล Audit ทำหน้าที่เป็นข้อมูลตั้งต้นให้ผู้เชี่ยวชาญใช้ประกอบการพิจารณาเท่านั้น

ควรเก็บ Evidence อะไรบ้างระหว่าง Audit

ควรเก็บภาพหน้าจอ Network Request ก่อนและหลัง Consent ค่า Consent State จาก Tag Assistant เวอร์ชันของ Policy และ Banner ที่ใช้ตอน Audit และรายชื่อ Vendor หรือ ATS ที่เชื่อมต่อกับเว็บไซต์ การเก็บ Evidence ทั้งสี่รายการนี้ไว้พร้อมวันที่ตรวจ ช่วยให้เปรียบเทียบได้เมื่อทำ Audit รอบถัดไป และเป็นหลักฐานว่าเคยตรวจพบและแก้ไขอะไรไปแล้วบ้าง

วางแผนความถี่ของการ Audit ให้เหมาะกับวงจรการรับสมัคร

เว็บไซต์สมัครงานมักเปลี่ยนแปลงบ่อยตามฤดูกาลรับสมัคร เช่น มีการเปิด Campaign โฆษณาตำแหน่งงานใหม่ หรือเปลี่ยน Job Board ที่ใช้ฝังหน้าตำแหน่งงาน ทุกครั้งที่มีการเพิ่ม Campaign หรือเปลี่ยนผู้ให้บริการ ควรทำ Audit ซ้ำในส่วนที่เกี่ยวข้อง แทนที่จะรอรอบทบทวนประจำปีเพียงอย่างเดียว โดยเฉพาะช่วงที่ฝ่ายจัดซื้อเปลี่ยนสัญญากับ Job Board เจ้าใหม่ ซึ่งมักมาพร้อม Script หรือ Pixel ชุดใหม่ที่ทีม Marketing อาจไม่ทราบล่วงหน้า

เช็กลิสต์ปฏิบัติ

• เปิดหน้าสมัครงานแบบ Incognito แล้วตรวจ Network Request ก่อนกดยอมรับคุกกี้
• ทดสอบ Accept All, Reject All และ Customize แยกกัน พร้อม Reload ทุกครั้ง
• ใช้ Tag Assistant ตรวจค่า Consent State ที่ส่งเข้า Data Layer จริง
• ตรวจ Career Page หรือ ATS ที่แยกโดเมนว่ามีกลไก Consent ของตัวเองหรือไม่
• เก็บภาพหน้าจอและ Timestamp ของทุกขั้นตอนเป็น Evidence
• สอบถาม Developer เรื่อง Script ที่ฝังแบบ Hardcode นอก Tag Manager
• แยกฟอร์มที่มีคำถามข้อมูลอ่อนไหวเพื่อส่งให้ฝ่ายกฎหมายตรวจ Legal Basis เพิ่ม

ข้อผิดพลาดที่พบบ่อย

• ทีม Marketing ตั้งค่า Consent Mode บนเว็บหลัก แต่ลืมว่า Career Page ใช้ระบบแยกที่ไม่มีการเชื่อมต่อ Consent เดียวกัน
• Audit ครั้งเดียวแล้วไม่ทบทวนซ้ำ ทั้งที่ Theme หรือปลั๊กอินของ ATS อัปเดตและอาจเพิ่ม Tag ใหม่โดยไม่แจ้งทีม IT
• ใช้ผล Audit เป็นการยืนยันว่าเว็บไซต์ปฏิบัติตาม PDPA ครบทุกด้าน ทั้งที่ Audit ครอบคลุมเฉพาะพฤติกรรม Script ที่มองเห็นได้
• ไม่มีการกำหนด Owner ชัดเจนว่าเมื่อพบ Tag ผิดปกติแล้วใครเป็นผู้แก้ไขและติดตามผล

สรุป

การ Audit Google Consent Mode ของเว็บไซต์สมัครงานต้องตรวจทั้ง Timing ของ Tag, ความถูกต้องของ Mapping Consent Type และพฤติกรรมของ Third Party อย่าง ATS ที่อาจแยกโดเมน ผลจาก Audit ควรถูกเก็บเป็น Evidence พร้อม Timestamp เพื่อใช้ทบทวนต่อเนื่อง ไม่ใช่จบแค่ครั้งเดียว และควรแยกส่วนที่เป็นความเสี่ยงด้านข้อมูลอ่อนไหวออกไปให้ฝ่ายกฎหมายตรวจเพิ่มเติมเสมอ

แหล่งข้อมูลอ้างอิง

• Google Ads Help — About Consent Mode