GDPR Consent — แก่นสาร ข้อกำหนด และการขอความยินยอม

GDPR Consent คืออะไร?

GDPR Consent คือพื้นฐานทางกฎหมายสำหรับการประมวลผลข้อมูลส่วนบุคคล ตามที่กำหนดไว้ในมาตรา 4(11) และมาตรา 7 ของกฎระเบียบว่าด้วยการคุ้มครองข้อมูลส่วนบุคคลทั่วไปของสหภาพยุโรป กฎระเบียบมีผลบังคับใช้เมื่อวันที่ 25 พฤษภาคม 2018 และแทนที่คำสั่งเก่า 95/46/EC โดยกำหนดมาตรฐานการปกป้องข้อมูลที่สอดคล้องกันสำหรับประเทศสมาชิก EU ทั้งหมด

ตาม GDPR ความยินยอมต้อง เป็นอิสระ — ผู้ใช้ต้องมีทางเลือกที่แท้จริงโดยไม่มีผลเสียจากการปฏิเสธ หากการปฏิเสธความยินยอมส่งผลให้ถูกปฏิเสธการเข้าถึงบริการที่ไม่ต้องการการประมวลผลข้อมูล ความยินยอมดังกล่าวถือว่าถูกบังคับและไม่สมบูรณ์ มาตรา 7(4) ระบุโดยตรงว่าเงื่อนไขสัญญาที่เกี่ยวข้องไม่สามารถทำให้การปฏิบัติตามสัญญาขึ้นอยู่กับการได้รับความยินยอมในการประมวลผลข้อมูลที่ไม่จำเป็นสำหรับสัญญานั้น

การได้รับข้อมูล — องค์ประกอบสำคัญที่สอง: เจ้าของข้อมูลต้องเข้าใจว่าข้อมูลเฉพาะใดถูกเก็บรวบรวม เพื่อวัตถุประสงค์อะไร ใครจะประมวลผล และจะถูกเก็บไว้นานเท่าใด คณะกรรมการคุ้มครองข้อมูลยุโรป (EDPB) ในแนวทาง 05/2020 เน้นว่าต้องให้ข้อมูลด้วยภาษาที่เข้าใจง่าย โดยไม่มีถ้อยคำทางกฎหมายที่ซับซ้อน การปฏิบัติแสดงให้เห็นว่าความยินยอมถือว่าไม่สมบูรณ์หากนโยบายความเป็นส่วนตัวมีถ้อยคำที่คลุมเครือหรือทั่วไป

ความไม่คลุมเครือ หมายความว่าความยินยอมต้องแสดงออกโดยการกระทำที่กระตือรือร้น — การทำเครื่องหมายในช่อง การคลิกปุ่ม หรือการลงนามในแบบฟอร์ม การไม่ดำเนินการ ความเงียบ หรือการทำเครื่องหมายในช่องไว้ล่วงหน้า ไม่เป็นไปตามข้อกำหนดของความไม่คลุมเครือ ในคดี Planet49 GmbH (C-673/17) ศาลยุติธรรมแห่งสหภาพยุโรปยืนยันว่าความยินยอมไม่อาจอนุมานได้จากการไม่ดำเนินการของผู้ใช้

ข้อมูลใดอยู่ภายใต้ GDPR

ข้อมูลส่วนบุคคล ตาม GDPR คือข้อมูลใดๆ ที่เกี่ยวข้องกับบุคคลธรรมดาที่ถูกระบุหรือสามารถระบุตัวตนได้ ซึ่งรวมถึงไม่เพียงแต่ตัวระบุที่ชัดเจน — ชื่อ ที่อยู่ อีเมล โทรศัพท์ — แต่ยังรวมถึงที่อยู่ IP ตัวระบุคุกกี้ ตัวระบุอุปกรณ์โฆษณา (IDFA, GAID) ข้อมูลไบโอเมตริกซ์ ข้อมูลตำแหน่งทางภูมิศาสตร์ และข้อมูลทางพันธุกรรม

มาตรา 9 GDPR เน้น หมวดหมู่พิเศษ ของข้อมูลที่ห้ามประมวลผลโดยไม่ได้รับความยินยอมอย่างชัดแจ้ง: เชื้อชาติหรือชาติกำเนิด ความคิดเห็นทางการเมือง ความเชื่อทางศาสนา การเป็นสมาชิกสหภาพแรงงาน ข้อมูลทางพันธุกรรมและไบโอเมตริกซ์ ข้อมูลสุขภาพ และรสนิยมทางเพศ สำหรับหมวดหมู่เหล่านี้ ต้องใช้ความยินยอมในรูปแบบที่เข้มงวดที่สุด — แยกต่างหาก มีรายละเอียด และไม่อาจอนุมานจากบริบททั่วไป

เมื่อใดที่ GDPR Consent เป็นข้อบังคับ

GDPR Consent จำเป็นเมื่อการประมวลผลข้อมูลไม่สามารถอิงตามพื้นฐานทางกฎหมายอื่นๆ ได้: ความจำเป็นตามสัญญา (มาตรา 6(1)(b)) ผลประโยชน์โดยชอบด้วยกฎหมาย (มาตรา 6(1)(f)) หรือการปฏิบัติตามข้อผูกพันทางกฎหมาย (มาตรา 6(1)(c)) ในทางปฏิบัติ ความยินยอม จำเป็นสำหรับการสื่อสารทางการตลาด การติดตามเพื่อวัตถุประสงค์ในการโฆษณา การเก็บรวบรวมข้อมูลที่ไม่บังคับ และการใช้คุกกี้ที่ไม่จำเป็นอย่างเคร่งครัดต่อการทำงานของบริการ

ตาม รายงานการกำกับดูแลประจำปี IAPP-EY (2024) 67% ของบริษัทใช้ความยินยอมเป็นพื้นฐานทางกฎหมายหลักสำหรับการประมวลผลข้อมูลในแอปพลิเคชันมือถือ แม้จะมีแนวโน้มเพิ่มขึ้นในการเปลี่ยนไปใช้ผลประโยชน์โดยชอบด้วยกฎหมายเมื่อเป็นไปได้ ทั้งนี้เพราะความยินยอมให้ความสัมพันธ์ที่โปร่งใสที่สุดกับผู้ใช้ แต่ในขณะเดียวกันก็กำหนดภาระผูกพันสูงสุดในการเก็บบันทึกและการจัดการความยินยอม

ข้อกำหนดพื้นฐานของ GDPR เกี่ยวกับความยินยอม

มาตรา 7 GDPR กำหนด หกเงื่อนไข สำหรับความสมบูรณ์ของความยินยอม ซึ่งแต่ละข้อต้องได้รับการปฏิบัติพร้อมกัน การละเมิดอย่างน้อยหนึ่งเงื่อนไขทำให้ความยินยอมไม่สมบูรณ์และการประมวลผลข้อมูลผิดกฎหมาย มาดูแต่ละเงื่อนไขโดยละเอียดโดยคำนึงถึงแนวทางของ EDPB และแนวปฏิบัติของศาล

อิสระ ของความยินยอมถูกละเมิดเมื่อมีความไม่สมดุลของอำนาจระหว่างผู้ควบคุมและเจ้าของข้อมูล EDPB ระบุโดยตรงว่านายจ้างไม่สามารถพึ่งพาความยินยอมของลูกจ้างได้เนื่องจากการพึ่งพาในความสัมพันธ์ทางการจ้างงาน ในทำนองเดียวกัน หน่วยงานของรัฐไม่สามารถเรียกร้องความยินยอมจากพลเมืองเมื่อให้บริการสาธารณะ

เฉพาะเจาะจง ต้องมีความยินยอมแยกต่างหากสำหรับวัตถุประสงค์ในการประมวลผลแต่ละรายการ หากแอปเก็บรวบรวมข้อมูลสำหรับการวิเคราะห์ การปรับเปลี่ยนโฆษณาในแบบเฉพาะบุคคล และการปรับปรุงบริการ — แต่ละวัตถุประสงค์ต้องมีช่องทำเครื่องหมายแยกต่างหาก การรวมวัตถุประสงค์หลายอย่างเป็นความยินยอมเดียวละเมิดข้อกำหนดเฉพาะเจาะจงและทำให้ความยินยอมไม่สมบูรณ์

การพิสูจน์ได้ เป็นข้อกำหนดที่ท้าทายทางเทคโนโลยีมากที่สุด มาตรา 7(1) ระบุโดยตรงว่าผู้ควบคุมมีภาระในการพิสูจน์ว่าได้รับความยินยอมแล้ว ในทางปฏิบัติ นี่หมายถึงความจำเป็นในการเก็บบันทึกการดำเนินการทั้งหมดของผู้ใช้: ใคร เมื่อใด เพื่อวัตถุประสงค์ใดที่ให้ความยินยอม นโยบายความเป็นส่วนตัวเวอร์ชันใดที่แสดง และผู้ใช้เพิกถอนอย่างไร

วิธีดำเนินการเก็บรวบรวมความยินยอมในแอปพลิเคชันมือถือ

การดำเนินการ GDPR Consent ในแอปพลิเคชันมือถือต้องใช้แนวทางที่ครอบคลุม ซึ่งรวมข้อกำหนดทางกฎหมายเข้ากับการดำเนินการทางเทคนิค เครื่องมือหลักคือแพลตฟอร์มการจัดการความยินยอม (CMP) ที่จัดการวงจรชีวิตของความยินยอม: การแสดงคำขอ การบันทึกการเลือก การจัดเก็บข้อมูล และการซิงโครไนซ์กับ SDK การโฆษณาและการวิเคราะห์

การใช้ Google UMP SDK

Google จัดหา User Messaging Platform (UMP) SDK สำหรับ Android และ iOS ซึ่งรวมเข้ากับ AdMob, Google Analytics และบริการอื่นๆ ของ Google UMP SDK จะระบุความจำเป็นในการแสดงความยินยอมโดยอัตโนมัติตามตำแหน่งทางภูมิศาสตร์ของผู้ใช้และข้อกำหนด GDPR มาดูการรวมใน Kotlin สำหรับ Android:

val requestParams = ConsentRequestParameters
    .Builder()
    .setTagForUnderAgeOfConsent(false)
    .build()

ConsentInformation
    .getInstance(this)
    .requestConsentInfoUpdate(requestParams, { @Override
        fun onConsentInfoUpdateSuccess() {
            if (ConsentInformation
                    .getInstance(this@MainActivity)
                    .isConsentFormAvailable()
            ) {
                loadConsentForm()
            }
        }
    }, { @Override
        fun onConsentInfoUpdateFailure(error: FormError) {
            Log.e("UMP", error.message)
        }
    })

หลังจากโหลดแบบฟอร์มความยินยอมแล้ว จะต้องแสดงให้ผู้ใช้เห็น UMP SDK รองรับแบบฟอร์มสองประเภท: สำหรับขอความยินยอมในการโฆษณาแบบปรับเปลี่ยนในแบบเฉพาะบุคคล และสำหรับจัดการตัวเลือกในภายหลัง การจัดการผลลัพธ์ต้องคำนึงถึงผลลัพธ์ที่เป็นไปได้ทั้งหมด — ผู้ใช้อาจให้ความยินยอม ปฏิเสธ หรือปิดแบบฟอร์มโดยไม่เลือก

การจัดเก็บและการตรวจสอบความยินยอม

เพื่อให้เป็นไปตามข้อกำหนด การพิสูจน์ได้ จำเป็นต้องจัดเก็บไม่เพียงแต่ข้อเท็จจริงของความยินยอม แต่ยังรวมถึงบริบทของการได้รับความยินยอมด้วย ชุดข้อมูลขั้นต่ำสำหรับการจัดเก็บประกอบด้วย: ตัวระบุผู้ใช้หรืออุปกรณ์ การประทับเวลาพร้อมเขตเวลา เวอร์ชันนโยบายความเป็นส่วนตัว วัตถุประสงค์การประมวลผลเฉพาะ และกลไกความยินยอมที่ใช้

data class ConsentRecord(
    val userId: String,
    val timestamp: Long,
    val privacyPolicyVersion: String,
    val purposes: List<String>,
    val consentGiven: Boolean
)

class ConsentRepository(
    private val dao: ConsentDao
) {
    suspend fun saveConsent(record: ConsentRecord) {
        dao.insert(record.toEntity())
        AnalyticsManager.logConsentEvent(record)
    }
}

คณะกรรมการคุ้มครองข้อมูลยุโรป (EDPB) ในคำแนะนำ 01/2023 เน้นว่าบันทึกความยินยอมต้องถูกเก็บไว้ตลอดระยะเวลาการประมวลผลข้อมูลและสูงสุดสามปีหลังจากสิ้นสุดการประมวลผล สำหรับแอปพลิเคชันมือถือ นี่หมายถึงความจำเป็นในการจัดเก็บบันทึกฝั่งเซิร์ฟเวอร์ ไม่ใช่เฉพาะในเครื่อง เนื่องจากผู้ใช้อาจติดตั้งแอปใหม่หรือเปลี่ยนอุปกรณ์

GDPR แตกต่างจากหน่วยงานกำกับดูแลความเป็นส่วนตัวอื่นๆ อย่างไร

GDPR ไม่ใช่หน่วยงานกำกับดูแลความเป็นส่วนตัวเพียงแห่งเดียวในโลก แต่ได้กลายเป็นต้นแบบสำหรับกฎหมายคุ้มครองข้อมูลระดับชาติหลายฉบับ การทำความเข้าใจความแตกต่างระหว่าง GDPR และหน่วยงานกำกับดูแลอื่นๆ มีความสำคัญอย่างยิ่งสำหรับนักพัฒนาแอปพลิเคชันระหว่างประเทศที่ทำงานกับผู้ใช้จากเขตอำนาจศาลต่างๆ

CCPA (พระราชบัญญัติความเป็นส่วนตัวของผู้บริโภคแห่งแคลิฟอร์เนีย) แตกต่างจาก GDPR โดยพื้นฐาน: ทำงานตามโมเดล opt-out ไม่ใช่ opt-in ตาม CCPA บริษัทมีหน้าที่ให้สิทธิ์ผู้ใช้ในการปฏิเสธการขายข้อมูลของตน แต่ไม่จำเป็นต้องได้รับความยินยอมล่วงหน้าสำหรับการเก็บรวบรวม อย่างไรก็ตาม ด้วยการนำ CPRA (พระราชบัญญัติสิทธิ์ความเป็นส่วนตัวแห่งแคลิฟอร์เนีย) มาใช้ในปี 2023 ข้อกำหนดความยินยอมสำหรับข้อมูลที่ละเอียดอ่อนได้ใกล้เคียงกับ GDPR มากขึ้น

คำสั่ง ePrivacy (คำสั่งเกี่ยวกับความเป็นส่วนตัวในการสื่อสารทางอิเล็กทรอนิกส์) เสริม GDPR ในส่วนของคุกกี้และการตลาดอิเล็กทรอนิกส์ แตกต่างจาก GDPR ที่ควบคุมข้อมูลส่วนบุคคลทั้งหมด ePrivacy มุ่งเน้นที่ข้อมูลการสื่อสาร ข้อกำหนดในการขอความยินยอมสำหรับคุกกี้ที่ไม่จำเป็นนั้นมาจาก ePrivacy โดยเฉพาะ ไม่ใช่ GDPR แม้ว่ากลไกความยินยอมจะเหมือนกัน

LGPD ของบราซิลเลียนแบบโครงสร้างของ GDPR เกือบทั้งหมดโดยมีการเปลี่ยนแปลงเล็กน้อย: อายุให้ความยินยอมเพิ่มเป็น 18 ปี และการประมวลผลข้อมูลของผู้เสียชีวิตต้องได้รับความยินยอมจากทายาท PIPL ของจีน ในทางกลับกัน กำหนดข้อกำหนดที่เข้มงวดกว่า: การแปลข้อมูลเป็นภาษาท้องถิ่นที่บังคับ การประเมินผลกระทบการคุ้มครองข้อมูล (DPIA) สำหรับการตัดสินใจอัตโนมัติทั้งหมด และการแจ้งเตือนการโอนข้อมูลข้ามพรมแดน

ข้อผิดพลาดทั่วไปในการดำเนินการ GDPR Consent

การวิเคราะห์ค่าปรับและคำสั่งของหน่วยงานกำกับดูแลยุโรปในช่วงปี 2018-2024 แสดงให้เห็น การละเมิด ที่เกิดขึ้นซ้ำๆ ในการดำเนินการความยินยอม ตาม Enforcement Tracker (CMS Law, 2024) มากกว่า 40% ของค่าปรับ GDPR ทั้งหมดเกี่ยวข้องกับการได้รับและการจัดการความยินยอมที่ไม่ถูกต้อง มาดูข้อผิดพลาดที่พบบ่อยที่สุด

การทำเครื่องหมายในช่องไว้ล่วงหน้าและความยินยอมแบบเฉื่อย

ข้อผิดพลาดที่พบบ่อยที่สุดคือการใช้ช่องทำเครื่องหมายที่ถูกทำเครื่องหมายไว้ล่วงหน้าเพื่อขอความยินยอม คำตัดสินของศาลยุติธรรม EU ในคดี Planet49 GmbH (C-673/17) ได้กำหนดไว้อย่างชัดเจนว่าความยินยอมไม่อาจอนุมานได้จากการไม่ดำเนินการของผู้ใช้ อย่างไรก็ตาม แอปพลิเคชันจำนวนมากยังคงใช้ตัวเลือกที่ถูกเลือกไว้ล่วงหน้า โดยเฉพาะอย่างยิ่งสำหรับแบนเนอร์คุกกี้ ซึ่งนำไปสู่ค่าปรับและคำสั่งโดยตรง

ในปี 2024 คณะกรรมการแห่งชาติว่าด้วยสารสนเทศและเสรีภาพของฝรั่งเศส (CNIL) ได้ปรับบริษัทโฆษณา RTB ขนาดใหญ่เป็นจำนวน 250 ล้านยูโร ฐานใช้ช่องทำเครื่องหมายที่ถูกทำเครื่องหมายไว้ล่วงหน้าและการให้ข้อมูลที่ไม่โปร่งใสเพียงพอแก่ผู้ใช้ นี่คือค่าปรับที่ใหญ่ที่สุดที่เกี่ยวข้องกับความยินยอม ซึ่งแสดงให้เห็นถึงลำดับความสำคัญของการควบคุมความยินยอมสำหรับหน่วยงานกำกับดูแลยุโรป

การรวมวัตถุประสงค์เป็นความยินยอมเดียว

แอปพลิเคชันจำนวนมากขอความยินยอมทั่วไปเพียงครั้งเดียวสำหรับการประมวลผลทุกประเภท: การวิเคราะห์ การปรับเปลี่ยนในแบบเฉพาะบุคคล การโฆษณา การโอนไปยังบุคคลที่สาม สิ่งนี้ละเมิดข้อกำหนด เฉพาะเจาะจง (การจำกัดวัตถุประสงค์) โดยตรง EDPB ในแนวทาง 05/2020 เน้นว่า: หากวัตถุประสงค์หนึ่งสามารถบรรลุได้โดยไม่ต้องมีอีกวัตถุประสงค์หนึ่ง ผู้ใช้จะต้องสามารถให้ความยินยอมแต่ละวัตถุประสงค์แยกกันได้

คณะกรรมการคุ้มครองข้อมูลของไอร์แลนด์ (DPC) ในคำตัดสินเกี่ยวกับ Meta Platforms Ireland (2023) ระบุว่าการรวมการปรับเปลี่ยนโฆษณาในแบบเฉพาะบุคคลและการปรับปรุงบริการเป็นความยินยอมเดียวถือเป็นการละเมิด Meta ถูกบังคับให้นำกลไกความยินยอมแยกต่างหากสำหรับวัตถุประสงค์การประมวลผลต่างๆ ใน Facebook และ Instagram

การเพิกถอนความยินยอมที่ยากหรือเป็นไปไม่ได้

GDPR กำหนดให้การเพิกถอนความยินยอมต้องทำได้ง่ายเท่ากับการให้ความยินยอม หากผู้ใช้ให้ความยินยอมด้วยการคลิกปุ่มเพียงครั้งเดียว การเพิกถอนไม่สามารถกำหนดให้กรอกแบบฟอร์ม ส่งอีเมล หรือโทรติดต่อฝ่ายสนับสนุน ในทางปฏิบัติ แอปพลิเคชันจำนวนมากซ่อนกลไกการเพิกถอนไว้ลึกในการตั้งค่า หรือต้องใช้หลายขั้นตอนในการดำเนินการ

แนวทางปฏิบัติที่แนะนำ — เพิ่มหน้าจอจัดการความยินยอมโดยเฉพาะในการตั้งค่าแอป โดยมีความสามารถในการเพิกถอนความยินยอมแต่ละรายการแยกกันด้วยสวิตช์เดียว UMP SDK ของ Google มีกลไกในตัวสำหรับการแสดงแบบฟอร์มความยินยอมอีกครั้ง ซึ่งผู้ใช้สามารถเรียกใช้จากการตั้งค่าแอปได้ตลอดเวลา

ขาดหลักฐานการได้รับความยินยอม

นักพัฒนาจำนวนมากพึ่งพาความยินยอมด้วยวาจาหรือไม่เก็บบันทึกการได้รับความยินยอม สิ่งนี้ทำให้ไม่สามารถปฏิบัติตามข้อกำหนด การพิสูจน์ได้ (ความรับผิดชอบ) ตามมาตรา 5(2) GDPR ได้ เมื่อตรวจสอบ หน่วยงานกำกับดูแลจะขอไม่เพียงแต่นโยบายความเป็นส่วนตัว แต่ยังรวมถึงบันทึกการได้รับความยินยอมตลอดระยะเวลาการประมวลผลข้อมูลทั้งหมด

วิธีแก้ไขคือการใช้แพลตฟอร์มการจัดการความยินยอม (CMP) ที่มีการบันทึกเหตุการณ์ทั้งหมดโดยอัตโนมัติ: การแสดงแบบฟอร์ม การเลือกของผู้ใช้ เวอร์ชันเอกสาร การประทับเวลา CMP ยอดนิยมสำหรับแอปพลิเคชันมือถือ ได้แก่ Usercentrics, OneTrust และ ConsentManager — ทั้งหมดรองรับการบันทึกการตรวจสอบความยินยอมโดยอัตโนมัติ