นโยบายความเป็นส่วนตัว เว็บไซต์ ตาม PDPA ธุรกิจต้องมีอะไรบ้าง ฉบับใช้งานจริง 2026

เจ้าของธุรกิจหลายคนรู้ว่าเว็บไซต์ “ต้องมี PDPA” แต่พอถามว่าต้องมีอะไรบ้าง คำตอบมักเป็นการก๊อปหน้า นโยบายความเป็นส่วนตัว จากเว็บอื่นมาเปลี่ยนชื่อบริษัท แล้วติดแบนเนอร์คุกกี้ที่มีแค่ปุ่ม “ยอมรับ” ปุ่มเดียว ซึ่งอาจไม่ตรงกับสิ่งที่เว็บทำจริงเลย

บทความนี้อธิบายในมุมคนทำเว็บว่า นโยบายความเป็นส่วนตัว เว็บไซต์ ตาม พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล (PDPA) ควรมีหัวข้ออะไร แบนเนอร์คุกกี้ควรทำงานอย่างไร ฟอร์มควรเขียนข้อความแบบไหน และควรเก็บข้อมูลนานเท่าไร เพื่อให้คุณเตรียมเว็บได้ถูกทาง

ข้อจำกัดความรับผิดชอบ: บทความนี้เป็นข้อมูลทั่วไปจากมุมการพัฒนาเว็บไซต์ ไม่ใช่คำแนะนำทางกฎหมาย รายละเอียดข้อกฎหมาย ประกาศ และแนวปฏิบัติของสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (สคส.) อาจเปลี่ยนแปลงได้ ธุรกิจที่เก็บข้อมูลจำนวนมากหรือข้อมูลอ่อนไหว ควรปรึกษานักกฎหมายหรือผู้เชี่ยวชาญด้าน PDPA โดยตรง

PDPA เกี่ยวกับเว็บไซต์ธุรกิจอย่างไร

PDPA (Personal Data Protection Act) หรือ พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 กำหนดหน้าที่ของผู้ที่เก็บ ใช้ หรือเปิดเผย ข้อมูลส่วนบุคคล คือข้อมูลที่ระบุตัวบุคคลได้ทั้งทางตรงและทางอ้อม

บนเว็บไซต์ธุรกิจทั่วไป ข้อมูลส่วนบุคคลอยู่ในหลายจุดกว่าที่คิด

• ชื่อ เบอร์โทร อีเมล จากฟอร์มติดต่อ ฟอร์มขอใบเสนอราคา หรือฟอร์มจอง
• ที่อยู่จัดส่งและประวัติการสั่งซื้อในร้านค้าออนไลน์
• IP Address และรหัสคุกกี้ที่เครื่องมือวิเคราะห์ เช่น Google Analytics เก็บ
• พิกเซลโฆษณา เช่น Meta Pixel หรือแท็กรีมาร์เก็ตติ้ง
• ข้อมูลจากแชตบอตหรือปุ่มแชตที่ฝังบนเว็บ
• ไฟล์ใบสมัครงานที่แนบผ่านเว็บ

ในภาษาของกฎหมาย ธุรกิจคุณคือ ผู้ควบคุมข้อมูลส่วนบุคคล (Data Controller) ส่วนผู้ให้บริการภายนอกที่ประมวลผลแทน เช่น โฮสติ้ง ระบบอีเมล หรือเครื่องมือวิเคราะห์ มักอยู่ในฐานะ ผู้ประมวลผลข้อมูล (Data Processor)

นโยบายความเป็นส่วนตัวเว็บไซต์ต้องมีหัวข้ออะไรบ้าง

นโยบายความเป็นส่วนตัว (Privacy Policy หรือ Privacy Notice) มีหน้าที่ “แจ้งให้เจ้าของข้อมูลทราบ” ว่าคุณทำอะไรกับข้อมูลของเขา หัวข้อที่เว็บธุรกิจโดยทั่วไปควรมีคือ

หลักสำคัญ: เขียนให้ตรงกับที่เว็บทำจริง

ความผิดพลาดที่พบบ่อยที่สุดคือนโยบายบอกว่า “ไม่มีการใช้คุกกี้เพื่อการตลาด” แต่เว็บติด Meta Pixel ไว้ หรือนโยบายเขียนยาวสิบหน้าแต่ไม่บอกเลยว่าฟอร์มเก็บอะไร ก่อนเขียนนโยบาย ให้ทำ รายการข้อมูล (Data Inventory) ก่อน

1. ไล่ทุกฟอร์มบนเว็บ จดว่าเก็บช่องอะไรบ้าง และข้อมูลส่งไปที่ไหน (อีเมล, Google Sheets, CRM)
2. ไล่ทุกสคริปต์ที่ติดตั้ง เช่น GA4, Google Tag Manager, Pixel, แชต, แผนที่, วิดีโอฝัง
3. จดผู้ให้บริการภายนอกที่เกี่ยวข้อง
4. ถามทีมงานว่าใช้ข้อมูลไปทำอะไรต่อ เช่น ส่งโปรโมชั่น หรือแค่ตอบคำถาม

เขียนให้คนอ่านเข้าใจ

นโยบายที่ดีไม่จำเป็นต้องยาว แต่ต้องชัด ใช้ภาษาที่ลูกค้าทั่วไปอ่านเข้าใจ แบ่งหัวข้อ และถ้าเว็บมีหลายภาษา ควรมีนโยบายในภาษาเดียวกับหน้าเว็บที่ลูกค้าใช้

แบนเนอร์คุกกี้และการขอความยินยอม ทำอย่างไรให้ถูกหลัก

คุกกี้แบ่งคร่าว ๆ ได้ตามวัตถุประสงค์

• คุกกี้ที่จำเป็น (Strictly Necessary) — ให้เว็บทำงานได้ เช่น ตะกร้าสินค้า การล็อกอิน การจำค่าความยินยอม
• คุกกี้วิเคราะห์ (Analytics) — เช่น Google Analytics ใช้ดูสถิติผู้เข้าชม
• คุกกี้การตลาด (Marketing / Advertising) — เช่น พิกเซลโฆษณา รีมาร์เก็ตติ้ง
• คุกกี้ฟังก์ชัน (Functional) — จำภาษา หรือฟีเจอร์เพิ่มเติม

แนวปฏิบัติที่นิยมใช้คือ คุกกี้ที่จำเป็นใช้ได้โดยไม่ต้องขอความยินยอม แต่คุกกี้ประเภทอื่นควร ขอความยินยอมก่อน และสิ่งสำคัญที่หลายเว็บพลาดคือ

1. ต้องบล็อกสคริปต์จริงจนกว่าจะได้รับความยินยอม ไม่ใช่แค่โชว์แบนเนอร์แต่สคริปต์โหลดไปแล้ว
2. ปุ่มปฏิเสธควรหาง่ายพอ ๆ กับปุ่มยอมรับ ไม่ซ่อนไว้ในเมนูลึก
3. ให้เลือกเป็นหมวดได้ เช่น ยอมรับวิเคราะห์ แต่ไม่ยอมรับการตลาด
4. ถอนความยินยอมได้ง่าย เช่น ลิงก์ “ตั้งค่าคุกกี้” ที่ท้ายเว็บ
5. ไม่ติ๊กถูกไว้ล่วงหน้า สำหรับหมวดที่ไม่จำเป็น
6. บันทึกความยินยอม ว่าผู้ใช้เลือกอะไร เมื่อไร

Google Consent Mode v2

ถ้าใช้ Google Analytics 4 หรือ Google Ads ควรตั้ง Consent Mode v2 ให้แท็กของ Google ทำงานตามสถานะที่ผู้ใช้เลือก เมื่อผู้ใช้ปฏิเสธ แท็กจะไม่เก็บคุกกี้วิเคราะห์หรือโฆษณา อ่านการติดตั้ง GA4 เพิ่มได้ที่ คู่มือตั้งค่า Google Analytics 4 และการจัดการแท็กที่ Google Tag Manager

เรื่องเทคนิคที่มักลืม

• ถ้าเว็บมี Content Security Policy (CSP) ต้องอนุญาตโดเมนของเครื่องมือขอความยินยอม ไม่อย่างนั้นแบนเนอร์อาจไม่ขึ้นแบบเงียบ ๆ
• แบนเนอร์บนมือถือไม่ควรบังปุ่มสำคัญหรือแถบเมนูด้านล่าง
• ตรวจด้วยโหมดไม่ระบุตัวตนว่าก่อนกดยอมรับ ไม่มีคุกกี้การตลาดถูกตั้งค่า (ดูได้ใน DevTools ของเบราว์เซอร์)

ฟอร์มบนเว็บไซต์ ควรเขียนข้อความความยินยอมอย่างไร

ฟอร์มคือจุดที่เก็บข้อมูลส่วนบุคคลโดยตรงที่สุด หลักที่ควรใช้

1. เก็บเท่าที่จำเป็น (Data Minimization)

ฟอร์มติดต่อไม่จำเป็นต้องถามวันเกิด เลขบัตรประชาชน หรือที่อยู่ ถ้าไม่ได้ใช้จริง ยิ่งเก็บน้อย ยิ่งรับผิดชอบน้อย และลูกค้ากรอกง่ายขึ้นด้วย

2. แจ้งวัตถุประสงค์ใต้ฟอร์ม

ตัวอย่างข้อความ (ปรับให้ตรงกับธุรกิจของคุณ)

ข้อมูลที่คุณกรอกจะใช้เพื่อติดต่อกลับและตอบคำถามของคุณเท่านั้น ศึกษารายละเอียดเพิ่มเติมได้ที่นโยบายความเป็นส่วนตัว

แล้วลิงก์ไปยังหน้านโยบาย

3. แยกความยินยอมทางการตลาด

ถ้าอยากส่งข่าวสารหรือโปรโมชั่น ให้ทำ ช่องติ๊กแยก ไม่ติ๊กไว้ล่วงหน้า และไม่บังคับติ๊กเพื่อส่งฟอร์ม เช่น

☐ ฉันต้องการรับข่าวสารและโปรโมชั่นทางอีเมล (เลือกหรือไม่ก็ได้)

4. ข้อมูลอ่อนไหวต้องระวังเป็นพิเศษ

ธุรกิจอย่างคลินิกความงาม คลินิกทันตกรรม หรือสปาเพื่อสุขภาพ อาจได้รับข้อมูลสุขภาพผ่านฟอร์ม ซึ่งเป็น ข้อมูลอ่อนไหว ตามกฎหมายที่มีเงื่อนไขเข้มกว่า กรณีนี้แนะนำให้ปรึกษานักกฎหมายก่อนออกแบบฟอร์ม และพิจารณาว่าจำเป็นต้องเก็บผ่านเว็บจริงหรือไม่

5. ส่งข้อมูลอย่างปลอดภัย

เว็บต้องเป็น HTTPS ทั้งเว็บ (ดู HTTPS และ SSL) อีเมลแจ้งเตือนฟอร์มไม่ควรส่งไปยังอีเมลส่วนตัวของพนักงาน และไม่ควรเก็บข้อมูลฟอร์มกระจายอยู่หลายที่โดยไม่มีใครดูแล

ระยะเวลาเก็บข้อมูลและการลบข้อมูล

PDPA ไม่ได้กำหนดจำนวนวันตายตัวสำหรับทุกกรณี แต่หลักคือ เก็บเท่าที่จำเป็นต่อวัตถุประสงค์ และต้องบอกไว้ในนโยบาย แนวทางที่ใช้ได้จริง

สิ่งที่ควรทำในทางเทคนิค

• ตั้งค่าการลบอัตโนมัติในระบบที่รองรับ
• ลบข้อมูลออกจากทุกที่ที่สำเนาไว้ ไม่ใช่แค่ในเว็บ (อีเมล สเปรดชีต CRM)
• ทบทวนปีละครั้ง เป็นส่วนหนึ่งของ เช็กลิสต์ดูแลเว็บไซต์

เมื่อลูกค้าขอใช้สิทธิ และเมื่อข้อมูลรั่วไหล

คำขอใช้สิทธิ

เจ้าของข้อมูลอาจขอดู ขอแก้ ขอลบ หรือขอถอนความยินยอม เว็บควรมี ช่องทางชัดเจน เช่น อีเมลเฉพาะหรือแบบฟอร์มคำขอ และธุรกิจควรมีขั้นตอนภายในว่าใครรับเรื่อง ตรวจสอบตัวตนอย่างไร และตอบกลับภายในระยะเวลาที่กฎหมายกำหนด

กรณีข้อมูลรั่วไหล

ถ้าเว็บโดนแฮกและข้อมูลลูกค้าอาจหลุด กฎหมายกำหนดหน้าที่แจ้งเหตุต่อหน่วยงานกำกับภายในเวลาที่กำหนดในกรณีที่มีความเสี่ยง และบางกรณีต้องแจ้งเจ้าของข้อมูลด้วย ควรปรึกษานักกฎหมายทันที ในทางเทคนิค การมีแบ็กอัป บันทึกการเข้าถึง และการอัปเดตความปลอดภัยสม่ำเสมอ ช่วยลดความเสี่ยงและช่วยตรวจสอบย้อนหลังได้ (ดู แบ็กอัปและความปลอดภัย WordPress)

เช็กลิสต์ PDPA สำหรับเว็บไซต์ธุรกิจ

• ทำรายการข้อมูล: ทุกฟอร์ม ทุกสคริปต์ ทุกผู้ให้บริการ
• หน้านโยบายความเป็นส่วนตัวที่ตรงกับการใช้งานจริง มีวันที่ปรับปรุงล่าสุด
• ลิงก์นโยบายในส่วนท้ายเว็บ (Footer) ทุกหน้า และใต้ทุกฟอร์ม
• แบนเนอร์คุกกี้ที่บล็อกสคริปต์จริง มีปุ่มปฏิเสธ และเลือกเป็นหมวดได้
• ลิงก์ตั้งค่าคุกกี้ เพื่อถอนความยินยอมภายหลัง
• Consent Mode v2 ถ้าใช้เครื่องมือของ Google
• ฟอร์มเก็บเท่าที่จำเป็น และแยกความยินยอมทางการตลาด
• HTTPS ทั้งเว็บ
• ตั้งระยะเวลาเก็บข้อมูลและวิธีลบ
• ช่องทางรับคำขอใช้สิทธิ และขั้นตอนภายใน
• นโยบายฉบับแปลสำหรับเว็บหลายภาษา
• ให้นักกฎหมายตรวจทาน ถ้ามีข้อมูลอ่อนไหวหรือข้อมูลจำนวนมาก

ทีมทำเว็บช่วยอะไรได้ และอะไรต้องถามนักกฎหมาย

แบ่งหน้าที่ให้ชัดจะประหยัดเวลาทั้งสองฝ่าย

• นักกฎหมาย / ที่ปรึกษา PDPA: ตีความฐานทางกฎหมาย เนื้อหานโยบาย ข้อมูลอ่อนไหว การส่งข้อมูลไปต่างประเทศ สัญญากับผู้ประมวลผล การรับมือเหตุข้อมูลรั่วไหล
• ทีมพัฒนาเว็บ: ทำรายการสคริปต์และฟอร์มจากของจริง ติดตั้งแบนเนอร์คุกกี้ที่บล็อกสคริปต์ได้จริง ตั้ง Consent Mode ปรับฟอร์ม วางหน้าและลิงก์นโยบาย ตั้งค่าระยะเวลาเก็บข้อมูลในเครื่องมือ

ทีมฟรีแลนซ์ของ Southern Whale ดูแลฝั่งเทคนิคเหล่านี้ให้ทั้งตอนทำเว็บใหม่และปรับเว็บเดิม ตั้งแต่แบนเนอร์คุกกี้ Consent Mode ไปจนถึงฟอร์มที่เก็บข้อมูลเท่าที่จำเป็น ส่วนเนื้อหาข้อกฎหมาย เราแนะนำให้นักกฎหมายตรวจทานเสมอ ดูบริการได้ที่ รับทำเว็บไซต์ หรือทักมาคุยผ่าน LINE OA

คำถามที่พบบ่อยเรื่องนโยบายความเป็นส่วนตัวเว็บไซต์

เว็บเล็ก ๆ ที่มีแค่ฟอร์มติดต่อ ต้องมีนโยบายความเป็นส่วนตัวไหม

ควรมี เพราะฟอร์มติดต่อเก็บชื่อ เบอร์โทร หรืออีเมล ซึ่งเป็นข้อมูลส่วนบุคคล และเว็บส่วนใหญ่ยังมีเครื่องมือวิเคราะห์ที่ใช้คุกกี้ด้วย นโยบายของเว็บเล็กเขียนสั้นและเข้าใจง่ายได้

ก๊อปนโยบายจากเว็บอื่นมาใช้ได้ไหม

ไม่แนะนำ นอกจากเรื่องลิขสิทธิ์ของข้อความ นโยบายที่ก๊อปมามักไม่ตรงกับข้อมูลที่เว็บคุณเก็บจริง ซึ่งเท่ากับการแจ้งข้อมูลไม่ถูกต้อง ใช้เป็นแนวทางโครงสร้างได้ แต่เนื้อหาต้องเขียนจากการใช้งานจริง

แบนเนอร์คุกกี้ที่มีแค่ปุ่ม “ยอมรับ” ใช้ได้ไหม

ถ้าเว็บใช้คุกกี้ที่ไม่จำเป็น เช่น วิเคราะห์หรือการตลาด แบนเนอร์ที่ไม่มีทางเลือกปฏิเสธไม่ถือเป็นการขอความยินยอมที่เลือกได้อย่างอิสระ ควรมีปุ่มปฏิเสธและการตั้งค่ารายหมวด

ใช้ Google Analytics ต้องขอความยินยอมไหม

GA4 ใช้คุกกี้วิเคราะห์ จึงนิยมจัดเป็นหมวดที่ต้องขอความยินยอมก่อน และตั้ง Consent Mode v2 ให้แท็กทำงานตามที่ผู้ใช้เลือก

นโยบายความเป็นส่วนตัวกับข้อกำหนดการใช้งานต่างกันอย่างไร

นโยบายความเป็นส่วนตัวอธิบายการจัดการข้อมูลส่วนบุคคล ส่วนข้อกำหนดการใช้งาน (Terms of Use) คือกติกาการใช้เว็บและบริการ เช่น การสั่งซื้อ การคืนเงิน ลิขสิทธิ์เนื้อหา ทั้งสองเป็นเอกสารแยกกัน

ต้องมีเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล (DPO) ไหม

ขึ้นกับลักษณะและปริมาณข้อมูลที่ธุรกิจประมวลผลตามที่กฎหมายและประกาศกำหนด ธุรกิจขนาดเล็กทั่วไปหลายรายอาจไม่เข้าเงื่อนไข แต่ควรสอบถามนักกฎหมายเพื่อยืนยันกรณีของคุณ

สรุป

นโยบายความเป็นส่วนตัว เว็บไซต์ ที่ดีเริ่มจากการรู้ว่าเว็บเก็บข้อมูลอะไรจริง แล้วแจ้งให้ชัด ควบคู่กับแบนเนอร์คุกกี้ที่บล็อกสคริปต์ได้จริงและให้ผู้ใช้เลือก ฟอร์มที่เก็บเท่าที่จำเป็นและแยกความยินยอมทางการตลาด ระยะเวลาเก็บข้อมูลที่กำหนดไว้ และช่องทางใช้สิทธิที่ใช้งานได้ งานเทคนิคให้ทีมทำเว็บช่วย ส่วนการตีความกฎหมายให้นักกฎหมายตรวจทาน แล้วเว็บของคุณจะทั้งน่าเชื่อถือและพร้อมรับลูกค้าอย่างมั่นใจ