คำตอบสั้น: ePrivacy Directive และ GDPR เป็นกฎหมายของสหภาพยุโรปที่แตกต่างกันแต่มีความทับซ้อนกันซึ่งควบคุมความยินยอมในการใช้คุกกี้และความเป็นส่วนตัวออนไลน์ร่วมกัน ePrivacy Directive กำหนดกฎเฉพาะสำหรับการวางคุกกี้บนอุปกรณ์ของผู้ใช้ ขณะที่ GDPR กำหนดมาตรฐานสำหรับความยินยอมที่ถูกต้อง เว็บไซต์ส่วนใหญ่ที่ดำเนินการในสหภาพยุโรปต้องปฏิบัติตามทั้งสองกฎหมาย และตั้งแต่ปี 2026 จะมีการปฏิรูปกฎหมายครั้งใหญ่ที่อาจรวมกฎคุกกี้เข้ากับ GDPR โดยตรง
ข้อสรุปสำคัญ
- ePrivacy Directive (2002, อัปเดต 2009) เป็นกฎหมายหลักที่กำหนดให้ต้องมีความยินยอมก่อนการตั้งคุกกี้ที่ไม่จำเป็น; GDPR (2018) กำหนดความหมายของ "ความยินยอมที่ถูกต้อง"
- กฎหมายทั้งสองใช้บังคับพร้อมกันกับเว็บไซต์ที่มุ่งเป้าไปที่สหภาพยุโรป ส่วนหนึ่งไม่สามารถแทนที่อีกส่วนหนึ่งได้
- ร่างกฎหมาย ePrivacy ที่เสนอถูกถอนออกอย่างเป็นทางการโดยคณะกรรมาธิการยุโรปในเดือนกุมภาพันธ์ 2025
- Digital Omnibus Package ที่เปิดเผยในเดือนพฤศจิกายน 2025 เสนอการรวมกฎความยินยอมในการใช้คุกกี้เข้ากับ GDPR ผ่านบทความใหม่ 88a และ 88b
- คุกกี้ที่จำเป็น (strictly necessary) ยกเว้นจากข้อกำหนดความยินยอมตาม ePrivacy Directive
- ePrivacy Directive ถูกถ่ายโอนไปยังประเทศสมาชิกสหภาพยุโรปในลักษณะที่แตกต่างกัน ทำให้เกิดความแตกต่างในการปฏิบัติตามตามประเทศ
- การศึกษาปี 2026 พบว่าเว็บไซต์เพียง 30.66% มีปุ่ม "ปฏิเสธทั้งหมด" ซึ่งบ่งชี้ถึงการไม่ปฏิบัติตามอย่างแพร่หลาย [7]
- แบนเนอร์ความยินยอมคุกกี้สามารถตอบสนองความต้องการของทั้งสองกฎหมายได้ แต่ต้องเป็นไปตามเงื่อนไขของ GDPR สำหรับความยินยอมที่ให้โดยเสรี เฉพาะเจาะจง มีข้อมูลครบถ้วน และชัดเจน
- แพลตฟอร์มการจัดการความยินยอม (CMPs) จะต้องปรับตัวให้เข้ากับสัญญาณความยินยอมในระดับเบราว์เซอร์ภายใต้การเปลี่ยนแปลงที่เสนอใน GDPR [3]
ความแตกต่างระหว่าง ePrivacy Directive และ GDPR คืออะไร
ePrivacy Directive และ GDPR ทำหน้าที่ที่แตกต่างกันแต่เสริมสร้างกัน ePrivacy Directive (Directive 2002/58/EC, แก้ไขโดย 2009/136/EC) เป็นกฎหมายเฉพาะด้านที่ควบคุมความเป็นส่วนตัวในการสื่อสารทางอิเล็กทรอนิกส์ รวมถึงการใช้คุกกี้และเทคโนโลยีการติดตามที่คล้ายกัน GDPR เป็นกฎระเบียบการคุ้มครองข้อมูลทั่วไปที่กำหนดกรอบกฎหมายสำหรับการประมวลผลข้อมูลส่วนบุคคลในทุกภาคส่วน รวมถึงการกำหนดและข้อกำหนดสำหรับความยินยอมที่ถูกต้อง
ความแตกต่างที่สำคัญ:
| คุณสมบัติ | ePrivacy Directive | GDPR |
|---|---|---|
| รูปแบบทางกฎหมาย | EU Directive (ต้องมีการถ่ายโอนไปยังระดับชาติ) | EU Regulation (ใช้บังคับโดยตรง) |
| จุดสนใจหลัก | คุกกี้ การติดตาม การสื่อสารทางอิเล็กทรอนิกส์ | การประมวลผลข้อมูลส่วนบุคคลทั้งหมด |
| มาตรฐานความยินยอม | ต้องมีความยินยอมสำหรับคุกกี้ที่ไม่จำเป็น | กำหนดความหมายของความยินยอมที่ถูกต้อง |
| หน่วยงานบังคับใช้ | หน่วยงานกำกับดูแลโทรคมนาคม/DPA ของแต่ละประเทศ | หน่วยงานคุ้มครองข้อมูลแห่งชาติ |
| สถานะ (2026) | ยังมีผลบังคับใช้; รอการปฏิรูป | มีผลบังคับใช้; มีการเสนอการแก้ไข |
เนื่องจาก ePrivacy Directive เป็น Directive แทนที่จะเป็น Regulation แต่ละประเทศสมาชิกสหภาพยุโรปได้ถ่ายโอนไปยังกฎหมายระดับชาติในลักษณะที่แตกต่างกัน ส่งผลให้เกิดความแตกต่างในการบังคับใช้และข้อกำหนดเฉพาะในแต่ละประเทศ [6]
คุณจำเป็นต้องปฏิบัติตามทั้ง ePrivacy Directive และ GDPR หรือไม่
กฎหมายทั้งสองใช้บังคับพร้อมกัน และการปฏิบัติตามหนึ่งกฎหมายไม่ได้หมายความว่าปฏิบัติตามอีกกฎหมายหนึ่ง ePrivacy Directive บอกคุณ เมื่อใด ที่คุณต้องมีความยินยอม (ก่อนการตั้งคุกกี้ที่ไม่จำเป็น); GDPR บอกคุณ ความยินยอม นั้นต้องมีลักษณะอย่างไร (ให้โดยเสรี เฉพาะเจาะจง มีข้อมูลครบถ้วน ชัดเจน และสามารถถอนความยินยอมได้ตลอดเวลา) [5]
คิดในลักษณะนี้: ePrivacy Directive เป็นตัวกระตุ้น และ GDPR เป็นมาตรฐาน แบนเนอร์คุกกี้ที่ปรากฏทางเทคนิคก่อนที่คุกกี้จะโหลดแต่ใช้กล่องที่ถูกติ๊กไว้ล่วงหน้าจะละเมิดข้อกำหนดความยินยอมของ GDPR แม้ว่าจะปฏิบัติตามข้อกำหนดการแจ้งเตือนของ ePrivacy Directive ก็ตาม
ข้อผิดพลาดทั่วไป: สมมติว่าการแจ้งเตือนคุกกี้ (แจ้งให้ผู้ใช้ทราบว่ามีคุกกี้) เป็นสิ่งที่เพียงพอ ภายใต้ทั้งสองกรอบ การแจ้งเตือนแบบพาสซีฟไม่ถือเป็นความยินยอมสำหรับคุกกี้ที่ไม่จำเป็น
ePrivacy Directive ใช้กับคุกกี้ในเว็บไซต์ของคุณอย่างไร
ePrivacy Directive กำหนดให้ผู้ดำเนินการเว็บไซต์ต้องได้รับความยินยอมที่มีข้อมูลก่อนที่จะจัดเก็บหรือเข้าถึงข้อมูลบนอุปกรณ์ของผู้ใช้ ซึ่งครอบคลุมถึงคุกกี้ พิกเซล การจัดเก็บข้อมูลในท้องถิ่น และเทคโนโลยีที่คล้ายกัน [6] ข้อกำหนดนี้ใช้บังคับไม่ว่าจะเป็นข้อมูลที่รวบรวมมีคุณสมบัติตามข้อมูลส่วนบุคคลภายใต้ GDPR หรือไม่
ในทางปฏิบัติ หมายความว่า:
- คุกกี้ที่ไม่จำเป็นจะไม่สามารถทำงานได้ก่อนที่ผู้ใช้จะดำเนินการยินยอมอย่างชัดเจน
- กลไกความยินยอมต้องชัดเจนและไม่รวมอยู่ในการยอมรับข้อกำหนดการให้บริการ
- ผู้ใช้ต้องสามารถถอนความยินยอมได้ง่ายเท่ากับที่ให้ความยินยอม
Directive นี้ใช้กับบริการใด ๆ ที่มุ่งเป้าไปที่ผู้ใช้ในสหภาพยุโรป ไม่ว่าผู้ดำเนินการเว็บไซต์จะตั้งอยู่ที่ใด
คุกกี้ใดบ้างที่ต้องการความยินยอมภายใต้ ePrivacy Directive กับ GDPR
ภายใต้ ePrivacy Directive ต้องมีความยินยอมสำหรับคุกกี้ทั้งหมด ยกเว้นคุกกี้ที่ "จำเป็นอย่างยิ่ง" สำหรับบริการที่ผู้ใช้ร้องขอโดยเฉพาะ ภายใต้ GDPR การประมวลผลข้อมูลส่วนบุคคลใด ๆ ต้องมีฐานทางกฎหมาย และสำหรับคุกกี้ติดตาม ฐานนั้นมักจะเป็นความยินยอม
หมวดหมู่คุกกี้และข้อกำหนดความยินยอม:
- คุกกี้ที่จำเป็นอย่างยิ่ง (การจัดการเซสชัน สถานะการเข้าสู่ระบบ รถเข็นสินค้า): ไม่ต้องมีความยินยอมภายใต้ ePrivacy Directive ฐานผลประโยชน์ที่ชอบด้วยกฎหมายหรือการปฏิบัติตามสัญญาของ GDPR อาจใช้ได้
- คุกกี้วิเคราะห์ (เช่น การติดตามการดูหน้าเว็บที่ระบุผู้ใช้): ต้องมีความยินยอมภายใต้ทั้งสองกรอบ
- คุกกี้การตลาดและโฆษณา (การกำหนดเป้าหมายพฤติกรรม การติดตามซ้ำ): ต้องมีความยินยอมภายใต้ทั้งสองกรอบ นี่คือหมวดหมู่ที่มีความเสี่ยงสูงสุดสำหรับการบังคับใช้
- คุกกี้ฟังก์ชัน (การตั้งค่าภาษา การตั้งค่า UI): มีการถกเถียง; หากพวกเขาประมวลผลข้อมูลส่วนบุคคล ความยินยอมเป็นวิธีที่ปลอดภัยที่สุด
ePrivacy Directive จะถูกแทนที่หรือไม่ และ ePrivacy Regulation คืออะไร
ePrivacy Directive ไม่ได้ถูกแทนที่โดย GDPR อย่างไรก็ตาม ร่างกฎหมาย ePrivacy Regulation ถูกเสนอเพื่อแทนที่ Directive ด้วยกฎหมายที่ใช้บังคับทั่วทั้งสหภาพยุโรปโดยตรง ร่างกฎหมายดังกล่าวถูกถอนออกอย่างเป็นทางการโดยคณะกรรมาธิการยุโรปในเดือนกุมภาพันธ์ 2025 โดยอ้างถึงการขาดความเห็นพ้องที่คาดการณ์ได้ระหว่างประเทศสมาชิกและลักษณะที่ล้าสมัยของร่างกฎหมายเมื่อพิจารณาจากการเปลี่ยนแปลงทางเทคโนโลยีในปัจจุบัน [2]
ePrivacy Directive กับ ePrivacy Regulation ที่เสนอ: กฎระเบียบจะมีผลบังคับใช้โดยตรงในทุกประเทศสมาชิก (กำจัดความแตกต่างในการถ่ายโอนระดับชาติ) แต่ไม่เคยถึงการรับรอง
แทนที่นั้น คณะกรรมาธิการยุโรปได้นำเสนอ Digital Omnibus Package เมื่อวันที่ 19 พฤศจิกายน 2025 แพ็คเกจนี้เสนอการรวมกฎความยินยอมในการใช้คุกกี้เข้ากับ GDPR โดยตรงผ่านบทความใหม่ 88a และ 88b [2][3] บทความ 88a จะกำหนดสถานการณ์ที่ไม่ต้องการความยินยอม (เช่น สำหรับการส่งสัญญาณการสื่อสารทางอิเล็กทรอนิกส์หรือบริการที่ผู้ใช้ร้องขอโดยเฉพาะ) บทความ 88b จะนำเสนอข้อกำหนดสำหรับกลไกความยินยอมที่เป็นอัตโนมัติและอ่านได้โดยเครื่อง รวมถึงสัญญาณความยินยอมในระดับเบราว์เซอร์ [3]
ณ เดือนกรกฎาคม 2026 Digital Omnibus Package ยังคงอยู่ในกระบวนการทางกฎหมาย โดยคาดว่าจะมีข้อความสุดท้ายในช่วงปลายปี 2026 หรือช่วงต้นปี 2027 [4]
คุกกี้ที่จำเป็นต้องมีความยินยอมภายใต้ ePrivacy Directive หรือไม่
ไม่ คุกกี้ที่จำเป็นอย่างยิ่งได้รับการยกเว้นจากข้อกำหนดความยินยอมของ ePrivacy Directive โดยเฉพาะ คุกกี้เหล่านี้คือคุกกี้ที่บริการที่ผู้ใช้ร้องขอโดยตรงไม่สามารถทำงานได้ เช่น ตัวระบุเซสชัน โทเค็นการตรวจสอบสิทธิ์ และคุกกี้รถเข็นสินค้า [6]
กรณีขอบเขต: "จำเป็น" ถูกตีความอย่างแคบ คุกกี้ที่ปรับปรุงประสิทธิภาพหรือเปิดใช้งานการวิเคราะห์ไม่ถือว่าจำเป็นอย่างยิ่ง แม้ว่าผู้ดำเนินการจะถือว่ามันสำคัญในทางปฏิบัติ เมื่อมีข้อสงสัย ให้มีความยินยอมเป็นวิธีที่ปลอดภัยที่สุด
วิธีการขอความยินยอมคุกกี้ที่ถูกต้องซึ่งตอบสนองทั้งสองกฎระเบียบ
ความยินยอมที่ถูกต้องภายใต้ GDPR (และดังนั้นภายใต้ ePrivacy Directive ซึ่งอิงตามมาตรฐานความยินยอมของ GDPR) ต้องเป็น:
- ให้โดยเสรี, ไม่มีการสร้างกำแพงความยินยอมหรือการบังคับรวมกับการยอมรับข้อกำหนด
- เฉพาะเจาะจง, ความยินยอมแยกสำหรับแต่ละหมวดหมู่ของคุกกี้ (วิเคราะห์ การตลาด ฯลฯ)
- มีข้อมูลครบถ้วน, ผู้ใช้ต้องรู้ว่าคุกกี้ทำงานอย่างไรและใครเป็นผู้ประมวลผลข้อมูล
- ชัดเจน, ต้องมีการกระทำที่ชัดเจน; กล่องที่ถูกติ๊กไว้ล่วงหน้าไม่ถูกต้อง
- สามารถถอนความยินยอมได้, การถอนความยินยอมต้องง่ายเท่ากับการให้ความยินยอม [5]
แพลตฟอร์มการจัดการความยินยอม (CMP) ที่กำหนดค่าอย่างเหมาะสมจะจัดการกระบวนการนี้ แพลตฟอร์ม Biscotti CMP ถูกออกแบบมาเพื่อสนับสนุนข้อกำหนดเหล่านี้ รวมถึงหมวดหมู่ความยินยอมที่ละเอียดและการบันทึกความยินยอมเพื่อวัตถุประสงค์ในการตรวจสอบ ด้วย Digital Omnibus Package ที่เสนอให้มีสัญญาณความยินยอมในระดับเบราว์เซอร์ภายใต้บทความ 88b CMPs จะต้องรับสัญญาณจากการตั้งค่าเบราว์เซอร์และเคารพสัญญาณเหล่านั้น ซึ่งเป็นการเปลี่ยนแปลงการดำเนินงานที่สำคัญสำหรับอุตสาหกรรม [3]
แบนเนอร์คุกกี้สามารถตอบสนองความต้องการของ ePrivacy และ GDPR ได้หรือไม่
ได้ แต่เฉพาะเมื่อแบนเนอร์ถูกออกแบบอย่างถูกต้อง แบนเนอร์คุกกี้ที่ตรงตามมาตรฐานความยินยอมของ GDPR จะตอบสนองข้อกำหนดความยินยอมของ ePrivacy Directive ด้วย เนื่องจาก Directive อิงตามการกำหนดความยินยอมของ GDPR สำหรับประเทศสมาชิกสหภาพยุโรป [5][6]
แบนเนอร์ที่ปฏิบัติตามต้อง:
- เสนอทางเลือก "ยอมรับ" และ "ปฏิเสธ" (หรือเทียบเท่า) ที่ชัดเจนด้วยความโดดเด่นทางสายตาเท่าเทียมกัน
- ไม่ใช้รูปแบบที่มืด (เช่น ทำให้ "ปฏิเสธ" หายากกว่าการ "ยอมรับ")
- ปิดกั้นคุกกี้ที่ไม่จำเป็นจนกว่าจะได้รับความยินยอม
- บันทึกและจัดเก็บความยินยอมพร้อมกับการระบุเวลาและการอ้างอิงเวอร์ชัน
- อนุญาตให้ผู้ใช้เปลี่ยนความชอบได้ตลอดเวลา
การศึกษาปี 2026 พบว่าเว็บไซต์เพียง 30.66% มีปุ่ม "ปฏิเสธทั้งหมด" ซึ่งหมายความว่าเว็บไซต์ส่วนใหญ่ที่ถูกสำรวจอาจไม่เป็นไปตามความคาดหวังในการปฏิบัติตาม [7]
มีประเทศใดบ้างที่ ePrivacy Directive ไม่ใช้บังคับ
ePrivacy Directive ใช้บังคับในทุกประเทศสมาชิกสหภาพยุโรป อย่างไรก็ตาม เนื่องจากเป็น Directive (ไม่ใช่ Regulation) แต่ละประเทศได้ถ่ายโอนไปยังระดับชาติในลักษณะที่แตกต่างกัน โดยมีความแตกต่างในขอบเขต ลำดับความสำคัญในการบังคับใช้ และบทลงโทษ [6] ประเทศนอกสหภาพยุโรป รวมถึงสหราชอาณาจักรหลัง Brexit มีการบังคับใช้กฎหมายที่เทียบเท่า (กฎระเบียบความเป็นส่วนตัวและการสื่อสารทางอิเล็กทรอนิกส์ของสหราชอาณาจักร หรือ PECR)
เลือกมาตรฐานการปฏิบัติตามของคุณตามที่ตั้งของผู้ใช้ของคุณ ไม่ใช่แค่ที่ตั้งของธุรกิจของคุณ บริษัทที่ตั้งอยู่ในสหรัฐอเมริกาที่มีการเข้าชมจากสหภาพยุโรปอย่างมีนัยสำคัญต้องปฏิบัติตามทั้ง ePrivacy Directive (ตามที่ถ่ายโอนไปยังประเทศสมาชิกที่เกี่ยวข้อง) และ GDPR
จะเกิดอะไรขึ้นถ้าคุณไม่ปฏิบัติตามกฎของ ePrivacy Directive
การไม่ปฏิบัติตาม ePrivacy Directive (ตามที่ถ่ายโอนไปยังระดับชาติ) อาจส่งผลให้มีการปรับและการบังคับใช้จากหน่วยงานกำกับดูแลระดับชาติ บทลงโทษแตกต่างกันไปตามประเทศสมาชิก แต่สามารถมีจำนวนมาก และการละเมิด GDPR ที่เกิดจากความยินยอมที่ไม่ถูกต้อง (เช่น การประมวลผลข้อมูลส่วนบุคคลผ่านคุกกี้ติดตามโดยไม่มีฐานทางกฎหมายที่ถูกต้อง) จะมีค่าปรับสูงสุดถึง 4% ของยอดขายประจำปีทั่วโลกหรือ 20 ล้านยูโร ขึ้นอยู่กับจำนวนใดจะสูงกว่า [5]
หน่วยงานคุ้มครองข้อมูลแห่งชาติ (DPAs) ยังคงตรวจสอบและปรับองค์กรสำหรับความล้มเหลวในการขอความยินยอมคุกกี้อย่างต่อเนื่อง [1] การดำเนินการบังคับใช้ได้มุ่งเป้าไปที่แพลตฟอร์มขนาดใหญ่และผู้ดำเนินการขนาดเล็กเช่นกัน
ข้อผิดพลาดทั่วไปในการปฏิบัติตาม:
- การตั้งคุกกี้วิเคราะห์หรือโฆษณาในขณะที่โหลดหน้าเว็บก่อนที่จะมีการลงทะเบียนความยินยอม
- การใช้แบนเนอร์ความยินยอมที่ไม่ปิดกั้นคุกกี้จนกว่าจะมีการโต้ตอบ
- การไม่ให้เกียรติการถอนความยินยอมอย่างรวดเร็ว
- การไม่อัปเดตบันทึกความยินยอมเมื่อมีการเปลี่ยนแปลงนโยบายคุกกี้
- การถือว่าการแจ้งเตือนคุกกี้เทียบเท่ากับกลไกความยินยอม
คุกกี้สามารถเก็บไว้ได้นานแค่ไหนภายใต้กฎของ ePrivacy Directive
ePrivacy Directive ไม่ได้กำหนดระยะเวลาการจัดเก็บคุกกี้สูงสุดโดยตรง อย่างไรก็ตาม หลักการการลดข้อมูลและการจำกัดการจัดเก็บของ GDPR ใช้บังคับเมื่อคุกกี้ประมวลผลข้อมูลส่วนบุคคล ความยินยอมควรมีระยะเวลาจำกัด และหน่วยงานกำกับดูแลคาดหวังโดยทั่วไปว่าองค์กรจะขอความยินยอมใหม่เป็นระยะ ๆ โดยทั่วไปแล้วคำแนะนำที่อ้างถึงคือ 12 เดือนเป็นช่วงเวลาที่เหมาะสม แม้ว่านี่จะไม่ใช่ขีดจำกัดทางกฎหมายที่เข้มงวด [6]
คำแนะนำในทางปฏิบัติ: กำหนดระยะเวลาหมดอายุของคุกกี้ให้สอดคล้องกับวัตถุประสงค์ของพวกเขา คุกกี้เซสชันควรหมดอายุเมื่อเบราว์เซอร์ปิดลง คุกกี้วิเคราะห์ไม่จำเป็นต้องมีอายุสองปีหากหกเดือนทำหน้าที่เดียวกัน
ข้อผิดพลาดทั่วไปที่บริษัททำในการปฏิบัติตาม ePrivacy
นอกเหนือจากปัญหาที่กล่าวถึงข้างต้น ยังมีรูปแบบหลายอย่างที่ปรากฏในกรณีการบังคับใช้และการตรวจสอบ:
- ความยินยอมโดยนัย: สมมติว่าการเรียกดูต่อเนื่องถือเป็นความยินยอม สิ่งนี้ถูกปฏิเสธอย่างชัดเจนโดยศาลและ DPA ของสหภาพยุโรป
- ความยินยอมรวม: การรวมความยินยอมคุกกี้กับการยอมรับนโยบายความเป็นส่วนตัวในคลิกเดียว
- การกำหนดเป้าหมายทางภูมิศาสตร์ที่ไม่สอดคล้องกัน: การใช้กฎความยินยอมที่เข้มงวดขึ้นเฉพาะสำหรับผู้ใช้จากบางประเทศในขณะที่ให้บริการคุกกี้ติดตามแก่ผู้อื่น ซึ่งเป็นความเสี่ยงเนื่องจากการบังคับใช้สามารถติดตามตำแหน่งของผู้ใช้
- การมองข้ามความแตกต่างระดับชาติ: สมมติว่าการกำหนดค่าแบนเนอร์เดียวสามารถตอบสนองความต้องการของประเทศสมาชิกสหภาพยุโรปทั้งหมด ในขณะที่จริง ๆ แล้วบางประเทศมีข้อกำหนดระดับชาติที่เข้มงวดกว่า [6]
- ไม่มีบันทึกการตรวจสอบความยินยอม: การไม่บันทึกว่าผู้ใช้ให้ความยินยอมเมื่อใด และภายใต้เวอร์ชันใดของการแจ้งเตือนความเป็นส่วนตัว [1]
สรุป
ความสัมพันธ์ระหว่าง ePrivacy Directive กับ GDPR: การนำทางกฎของคุกกี้ในสหภาพยุโรปไม่ใช่เรื่องของการเลือกกรอบหนึ่งเหนืออีกกรอบหนึ่ง ทั้งสองใช้บังคับและต้องได้รับการปฏิบัติตาม ePrivacy Directive กำหนดว่าเมื่อใดที่ต้องมีความยินยอมสำหรับคุกกี้; GDPR กำหนดว่าความยินยอมที่ถูกต้องมีลักษณะอย่างไร ทั้งสองร่วมกันสร้างพื้นฐานทางกฎหมายสำหรับการปฏิบัติตามคุกกี้ทั่วทั้งสหภาพยุโรป
ภูมิทัศน์ด้านกฎระเบียบกำลังเปลี่ยนแปลง ร่างกฎหมาย ePrivacy ถูกถอนออกในต้นปี 2025 และ Digital Omnibus Package ขณะนี้เสนอให้รวมกฎคุกกี้เข้ากับ GDPR ผ่านบทความ 88a และ 88b ข้อความสุดท้ายคาดว่าจะมีในช่วงปลายปี 2026 หรือช่วงต้นปี 2027 แต่ข้อกำหนดปัจจุบันยังคงมีผลบังคับใช้เต็มที่ในระหว่างนี้
ขั้นตอนที่สามารถดำเนินการได้สำหรับปี 2026:
- ตรวจสอบพฤติกรรมคุกกี้ของเว็บไซต์ของคุณเพื่อยืนยันว่าไม่มีคุกกี้ที่ไม่จำเป็นทำงานก่อนที่จะมีการจับความยินยอม
- ตรวจสอบแบนเนอร์ความยินยอมของคุณสำหรับรูปแบบที่มืดและตรวจสอบให้แน่ใจว่าตัวเลือก "ปฏิเสธ" มีความโดดเด่นเท่ากับ "ยอมรับ"
- ใช้ CMP เช่น Biscotti CMP ที่บันทึกบันทึกความยินยอมและสนับสนุนการจัดการหมวดหมู่ที่ละเอียด
- ติดตามความก้าวหน้าของ Digital Omnibus Package และประเมินว่า CMP ของคุณเตรียมพร้อมสำหรับการสนับสนุนสัญญาณความยินยอมในระดับเบราว์เซอร์หรือไม่
- ตรวจสอบการถ่ายโอนระดับชาติของ ePrivacy Directive ในแต่ละประเทศสมาชิกสหภาพยุโรปที่คุณมีการเข้าชมจากผู้ใช้ที่สำคัญ
คำถามที่พบบ่อย
ถาม: GDPR แทนที่ ePrivacy Directive สำหรับคุกกี้หรือไม่? ไม่. GDPR และ ePrivacy Directive อยู่ร่วมกัน ePrivacy Directive ยังคงเป็นกฎหมายหลักที่กำหนดให้ต้องมีความยินยอมสำหรับคุกกี้; GDPR ควบคุมความหมายของความยินยอมที่ถูกต้องและวิธีการจัดการข้อมูลส่วนบุคคลที่ประมวลผลผ่านคุกกี้
ถาม: ePrivacy Regulation คืออะไร และยังคงมีอยู่หรือไม่? ePrivacy Regulation เป็นกฎหมายที่เสนอของสหภาพยุโรปที่มีเป้าหมายเพื่อแทนที่ ePrivacy Directive ด้วยกฎระเบียบที่ใช้บังคับโดยตรง มันถูกถอนออกอย่างเป็นทางการโดยคณะกรรมาธิการยุโรปในเดือนกุมภาพันธ์ 2025 และจะไม่ดำเนินการในรูปแบบปัจจุบัน
ถาม: Digital Omnibus Package คืออะไร? Digital Omnibus Package ที่เปิดเผยในเดือนพฤศจิกายน 2025 เป็นข้อเสนอทางกฎหมายของสหภาพยุโรปที่จะทำให้การกำกับดูแลดิจิทัลง่ายขึ้นโดยการรวมกฎความยินยอมในการใช้คุกกี้เข้ากับ GDPR ผ่านบทความใหม่ 88a และ 88b ขณะนี้ในเดือนกรกฎาคม 2026 ยังอยู่ในระหว่างการตรวจสอบทางกฎหมาย
ถาม: คุกกี้วิเคราะห์ได้รับการยกเว้นจากข้อกำหนดความยินยมหรือไม่? ไม่. คุกกี้วิเคราะห์ที่ระบุผู้ใช้หรืออุปกรณ์แต่ละรายเป็นคุกกี้ที่ไม่จำเป็นและต้องมีความยินยอมล่วงหน้าภายใต้ ePrivacy Directive ไม่ว่าจะใช้เพื่อวัตถุประสงค์ทางการค้าหรือไม่
ถาม: กำแพงคุกกี้ (การบล็อกการเข้าถึงจนกว่าผู้ใช้จะยอมรับคุกกี้) สามารถถือเป็นความยินยอมที่ถูกต้องได้หรือไม่? โดยทั่วไปไม่. หน่วยงานกำกับดูแลและศาลของสหภาพยุโรปพบว่าความยินยอมที่ได้รับผ่านกำแพงคุกกี้ไม่ถือว่าให้โดยเสรีภายใต้ GDPR เนื่องจากผู้ใช้ไม่มีทางเลือกที่แท้จริง บาง DPA ระดับชาติอนุญาตให้มีกำแพงคุกกี้ในสถานการณ์ที่จำกัดหากมีทางเลือกที่ต้องชำระเงิน แต่เรื่องนี้ยังคงเป็นที่ถกเถียง
ถาม: ผู้ใช้ต้องถูกขอให้ให้ความยินยอมใหม่บ่อยแค่ไหน? ไม่มีระยะเวลาทางกฎหมายที่แน่นอน แต่หน่วยงานกำกับดูแลคาดหวังว่าความยินยอมจะต้องได้รับการรีเฟรชเมื่อวัตถุประสงค์หรือรายการคุกกี้มีการเปลี่ยนแปลงอย่างมีนัยสำคัญ หรือหลังจากช่วงเวลาที่เหมาะสม (มักจะอ้างถึงว่าเป็น 12 เดือนในทางปฏิบัติ) ความยินยอมที่ได้รับภายใต้เวอร์ชันก่อนหน้าของการแจ้งเตือนความเป็นส่วนตัวอาจไม่ครอบคลุมกิจกรรมการประมวลผลใหม่
ถาม: คุกกี้ที่จำเป็นอย่างยิ่งคืออะไร? คุกกี้ที่จำเป็นอย่างยิ่งคือคุกกี้ที่บริการที่ผู้ใช้ร้องขอโดยเฉพาะไม่สามารถทำงานได้ เช่น โทเค็นเซสชันการเข้าสู่ระบบหรือตัวระบุรถเข็นสินค้า คุกกี้เหล่านี้ได้รับการยกเว้นจากข้อกำหนดความยินยอมของ ePrivacy Directive
ถาม: ePrivacy Directive ใช้กับธุรกิจที่ไม่อยู่ในสหภาพยุโรปหรือไม่? ใช่ หากธุรกิจเหล่านั้นมุ่งเป้าหมายหรือให้บริการแก่ผู้ใช้ที่ตั้งอยู่ในสหภาพยุโรป ขอบเขตอาณาเขตจะติดตามตำแหน่งของผู้ใช้ ไม่ใช่ที่อยู่ที่ลงทะเบียนของผู้ดำเนินการ
ถาม: ฉันควรมองหาอะไรในแพลตฟอร์มการจัดการความยินยอม? CMP ที่ปฏิบัติตามควรปิดกั้นคุกกี้ที่ไม่จำเป็นก่อนที่จะได้รับความยินยอม สนับสนุนหมวดหมู่ความยินยอมที่ละเอียด บันทึกความยินยอมพร้อมกับการระบุเวลา อนุญาตให้ถอนความยินยอมได้ง่าย และเตรียมพร้อมที่จะสนับสนุนสัญญาณความยินยอมในระดับเบราว์เซอร์ตามที่กำหนดในร่างการแก้ไข GDPR
ถาม: ฉันสามารถใช้แบนเนอร์คุกกี้เดียวสำหรับทั้งสหภาพยุโรปได้หรือไม่? แบนเนอร์เดียวสามารถทำงานเป็นมาตรฐานพื้นฐานได้ แต่เนื่องจาก ePrivacy Directive ถูกถ่ายโอนไปยังระดับชาติในลักษณะที่แตกต่างกัน ประเทศบางประเทศอาจมีกฎข้อบังคับที่เข้มงวดกว่า การตรวจสอบทางกฎหมายตามกฎหมายระดับชาติของแต่ละตลาดเป้าหมายจึงเป็นสิ่งที่แนะนำสำหรับเว็บไซต์ที่มีการเข้าชมสูง
อ้างอิง
[1] Gdpr Cookie Consent 2026 - https://www.consenteo.com/knowledge-hub/GDPR/gdpr_cookie_consent_2026?utm_source=openai
[2] Baking A New Batch Digital Omnibus And Cookies - https://www.considerati.com/publications/baking-a-new-batch-digital-omnibus-and-cookies/?utm_source=openai
[3] Eu Digital Omnibus Cookie Consent Gdpr 88a 88b Cmp Browser Signals - https://inimino.org/eu-digital-omnibus-cookie-consent-gdpr-88a-88b-cmp-browser-signals/?utm_source=openai
[4] Eu Digital Omnibus And Gdpr Changes - https://www.ontapgroup.com/blog/eu-digital-omnibus-and-gdpr-changes?utm_source=openai
[5] Gdpr Cookie Consent Requirements Banners And Fines - https://legalclarity.org/gdpr-cookie-consent-requirements-banners-and-fines/?utm_source=openai
[6] Eprivacy Directive Cookie Law Guide - https://cookiebeam.com/guides/eprivacy-directive-cookie-law-guide?utm_source=openai
[7] arxiv - https://arxiv.org/abs/2606.31485?utm_source=openai