ท่าทีคณะมนตรียุโรปต่อ Digital Omnibus: คุกกี้ 6 วัตถุประสงค์ไม่ต้องขอความยินยอม และห้ามขอซ้ำ 4 เดือน

คณะมนตรีแห่งสหภาพยุโรป (Council of the European Union) เผยแพร่ท่าทีเจรจา (negotiating mandate) ว่าด้วยร่างกฎหมาย Digital Omnibus เมื่อวันที่ 22 ตุลาคม 2569 (เอกสารคณะมนตรี ST 14756/26) หนึ่งวันหลังจากคณะกรรมการผู้แทนถาวร (Coreper) เห็นชอบข้อความเมื่อวันที่ 21 ตุลาคม 2569 ท่าทีฉบับนี้เขียนมาตรา 5(3) ของ ePrivacy Directive ขึ้นใหม่ ซึ่งเป็นกฎที่อยู่เบื้องหลังแบนเนอร์คุกกี้ทุกอันในสหภาพยุโรป ข้อความยังคงให้ความยินยอมเป็นค่าเริ่มต้นสำหรับการจัดเก็บหรืออ่านข้อมูลใด ๆ บนอุปกรณ์ของผู้ใช้ แต่ระบุวัตถุประสงค์ 6 ข้อที่จะไม่ต้องขอความยินยอมอีกต่อไป รวมถึงการวัดผู้ชมแบบรวมกลุ่มของเจ้าของเว็บเอง (first-party aggregated audience measurement) และการวัดผลโฆษณาตามบริบท (contextual advertising) ภายใต้เงื่อนไขที่เข้มงวด นอกจากนี้ยังกำหนดให้ผู้ใช้ปฏิเสธได้ด้วยการคลิกครั้งเดียว และห้ามขอความยินยอมคุกกี้ซ้ำจากผู้ใช้คนเดิมเพื่อวัตถุประสงค์เดิมเป็นเวลาอย่างน้อย 4 เดือนหลังการปฏิเสธ ทั้งหมดนี้ยังไม่ใช่กฎหมาย แต่เป็นท่าทีของคณะมนตรีสำหรับการเจรจากับรัฐสภายุโรป ซึ่งยังไม่ได้รับรองท่าทีของตนเอง

คณะมนตรีเห็นชอบอะไรเมื่อวันที่ 21 ตุลาคม 2569

เอกสารคณะมนตรีหมายเลข 14756/26 ลงวันที่กรุงบรัสเซลส์ 22 ตุลาคม 2569 ภายใต้แฟ้มระหว่างสถาบัน 2025/0360 (COD) เป็นเอกสารประเภท "Outcome of Proceedings" ที่บรรจุ "ข้อความของท่าทีสำหรับการเจรจากับรัฐสภายุโรป" ตามที่ "คณะกรรมการผู้แทนถาวรเห็นชอบในการประชุมเมื่อวันที่ 21 ตุลาคม 2569" ตัว Digital Omnibus เองเป็นข้อเสนอชุดใหญ่จากคณะกรรมาธิการยุโรปที่แก้ไข GDPR, Data Act, AI Act และกฎหมายอื่นอีกหลายฉบับพร้อมกัน ส่วนกฎเรื่องคุกกี้อยู่ในมาตรา 5 ของภาคผนวก ซึ่งแก้ไข Directive 2002/58/EC หรือ ePrivacy Directive

ท่าทีเจรจาที่คณะมนตรีเผยแพร่ แทนที่มาตรา 5(3) ฉบับปัจจุบันด้วยวรรคใหม่ ประโยคเปิดยังคงหลักการเดิม คือการจัดเก็บข้อมูล หรือการเข้าถึงข้อมูลที่จัดเก็บไว้แล้วในอุปกรณ์ปลายทางของผู้ใช้ "จะทำได้ก็ต่อเมื่อบุคคลนั้นให้ความยินยอมตาม Regulation (EU) 2016/679 เท่านั้น" การอ้างอิงถึง GDPR ตรงนี้ผูกมาตรฐานความยินยอมสำหรับคุกกี้ไว้กับนิยามของ GDPR (ให้โดยสมัครใจ เฉพาะเจาะจง ได้รับข้อมูลครบถ้วน และชัดแจ้ง)

ประโยคที่สองจึงเปิดข้อยกเว้น การจัดเก็บหรือเข้าถึงข้อมูลโดยไม่มีความยินยอม "และการประมวลผลข้อมูลส่วนบุคคลต่อเนื่องเพื่อวัตถุประสงค์เดียวกัน ให้ชอบด้วยกฎหมายเท่าที่เกี่ยวข้องเฉพาะและจำเป็นอย่างยิ่งสำหรับวัตถุประสงค์ต่อไปนี้" จากนั้นตามด้วยวัตถุประสงค์ 6 ข้อ กำกับด้วย (a) ถึง (f)

วัตถุประสงค์ 6 ข้อที่ไม่ต้องขอความยินยอม ตามข้อความของคณะมนตรี

ตารางด้านล่างแสดงวัตถุประสงค์ทั้ง 6 ข้อตามที่ปรากฏในหน้า 157 ของเอกสารคณะมนตรี พร้อมเงื่อนไขที่แต่ละข้อกำหนด ข้อความต้นฉบับเป็นภาษาอังกฤษของคณะมนตรี แปลและย่อเฉพาะจุดที่ระบุ

วัตถุประสงค์ (c): อนาลิติกส์ของเจ้าของเว็บเองโดยไม่ต้องมีแบนเนอร์

วัตถุประสงค์ (c) เป็นข้อที่แตะเว็บอนาลิติกส์โดยตรงที่สุด ครอบคลุมการวัดผู้ชมแบบรวมกลุ่มนิรนามของบริการออนไลน์เดียว ทำโดยผู้ให้บริการนั้นหรือบุคคลที่สามที่ทำในนามของผู้ให้บริการ เงื่อนไขค่อนข้างแคบ ข้อมูลที่จัดเก็บหรือเข้าถึง และข้อมูลที่เก็บเพื่อนำมารวม ต้องไม่ถูกประมวลผลเพื่อวัตถุประสงค์อื่น ไม่แบ่งปันกับบุคคลที่สาม หรือรวมกับข้อมูลของบุคคลที่สาม แท็กอนาลิติกส์มาตรฐานที่ส่งตัวระบุเดียวกันเข้าแพลตฟอร์มโฆษณา สร้างกลุ่มเป้าหมายรีมาร์เก็ตติ้ง หรือเชื่อมเซสชันข้ามเว็บไซต์ที่ไม่เกี่ยวข้องกัน จะไม่เข้าข่ายวัตถุประสงค์ (c) ส่วนการนับผู้ชมแบบรวมกลุ่มของเจ้าของเว็บเองที่ปิดอยู่ในตัวจะเข้าข่าย ข้อความไม่ได้ระบุชื่อผลิตภัณฑ์ใด จึงไม่ได้บอกว่าเครื่องมืออนาลิติกส์ตัวใดในการตั้งค่าแบบใดผ่านเกณฑ์

วัตถุประสงค์ (f) และข้อพิจารณา 44g: การวัดผลโฆษณาตามบริบท

วัตถุประสงค์ (f) เป็นพื้นที่ใหม่ อนุญาตให้วัดผลโฆษณาตามบริบทได้โดยไม่ต้องขอความยินยอม นิยามว่าเป็นการวัด "การแสดงผลและประสิทธิภาพของโฆษณาที่อิงเฉพาะเนื้อหาที่แสดงอยู่บนอินเทอร์เฟซออนไลน์ของผู้ใช้ระหว่างการเข้าชมครั้งเดียว หรือบนพื้นฐานของคำค้นหาเดียว" ข้อพิจารณา (recital) 44g ของเอกสารเดียวกันอธิบายเหตุผลว่า โฆษณาตามบริบท "ถูกวางโดยอิงเฉพาะเนื้อหาที่แสดงอยู่ตรงหน้า" และ "ไม่เกี่ยวข้องกับการประมวลผลข้อมูลส่วนบุคคล" แต่ "ประสิทธิผลของโฆษณาประเภทนี้มักขึ้นอยู่กับความสามารถในการวัดการแสดงผลและประสิทธิภาพของโฆษณาที่แสดง เช่น คุกกี้จำกัดความถี่ (capping cookies) และคุกกี้วัดผลโฆษณา" ข้อพิจารณาระบุว่าการวัดเช่นนี้ "ควรชอบด้วยกฎหมายโดยไม่ต้องมีความยินยอมของผู้ใช้" เมื่อทำโดยหรือในนามของผู้ให้บริการ โดยข้อมูล "ถูกทำให้เป็นนามแฝงหลังเก็บ ในฐานะมาตรการความปลอดภัยหลัก และไม่ถูกประมวลผลเพื่อวัตถุประสงค์อื่น รวมถึงการทำโปรไฟล์หรือการให้บริการโฆษณาแบบโปรแกรมเมติก"

เมื่ออ่านมาตรา 5(3)(f) ควบคู่กับข้อพิจารณา 44g จะเห็นเส้นแบ่งระหว่างโฆษณาตามบริบท (วัดผลได้โดยไม่ต้องขอความยินยอม รวมถึงการจำกัดความถี่) กับโฆษณาเชิงพฤติกรรมหรือโปรแกรมเมติก (ยังต้องมีความยินยอม) อะไรก็ตามที่พึ่งพาโปรไฟล์ กิจกรรมข้ามเว็บไซต์ หรือสิ่งที่ผู้ใช้ทำก่อนหรือหลังการเข้าชม ยังอยู่ฝั่งที่ต้องขอความยินยอม

ปฏิเสธด้วยคลิกเดียว และช่วงเวลา 4 เดือนที่ห้ามขอความยินยอมคุกกี้ซ้ำ

หลังรายการวัตถุประสงค์ ข้อความของคณะมนตรีเพิ่มสามประโยคว่าด้วยวิธีขอความยินยอม ประโยคแรก ผู้ใช้ "ต้องสามารถปฏิเสธคำขอความยินยอมได้อย่างง่ายและเข้าใจได้ ด้วยปุ่มคลิกครั้งเดียวหรือวิธีการที่เทียบเท่า" ประโยคที่สอง หากผู้ใช้ให้ความยินยอม "ผู้ให้บริการต้องไม่ขอความยินยอมใหม่เพื่อวัตถุประสงค์เดิมตลอดช่วงเวลาที่ผู้ควบคุมข้อมูลยังอาศัยความยินยอมนั้นได้โดยชอบ" ประโยคที่สาม ซึ่งจะเป็นตัวกำหนดการออกแบบแบนเนอร์ "หากผู้ใช้ปฏิเสธคำขอความยินยอม ผู้ให้บริการต้องไม่ขอความยินยอมใหม่เพื่อวัตถุประสงค์เดิมเป็นระยะเวลาอย่างน้อยสี่เดือน"

ช่วงเวลา 4 เดือนนี้สั้นกว่าที่คณะกรรมาธิการเสนอ ข้อเสนอของคณะกรรมาธิการเมื่อเดือนพฤศจิกายน 2568 (เอกสารคณะกรรมาธิการ 15698/25) วางกฎเรื่องคุกกี้ไว้ในมาตรา 88a ใหม่ของ GDPR และข้อความที่ถูกขีดฆ่าในเอกสารคณะมนตรียังแสดงถ้อยคำเดิมว่า "หากเจ้าของข้อมูลปฏิเสธคำขอความยินยอม ผู้ควบคุมข้อมูลต้องไม่ขอความยินยอมใหม่เพื่อวัตถุประสงค์เดิมเป็นระยะเวลาอย่างน้อยหกเดือน" คณะมนตรียังเลือกเก็บกฎนี้ไว้ใน ePrivacy Directive แทนที่จะย้ายเข้า GDPR ซึ่งเป็นเหตุผลที่การแก้ไขปรากฏในรูปการแทนที่มาตรา 5(3) ไม่ใช่มาตราใหม่ของ GDPR

ความแตกต่างหลักสามข้อระหว่างข้อความของคณะกรรมาธิการกับข้อความของคณะมนตรี ตามที่อ่านได้จากเอกสารฉบับมาร์กอัป มีดังนี้

ไทม์ไลน์: 24 เดือนสำหรับการออกกฎหมายภายใน และ 12 เดือนสำหรับรายงานของคณะกรรมาธิการ

เนื่องจากคณะมนตรีเก็บกฎไว้ใน directive รัฐสมาชิกจึงต้องนำไปออกเป็นกฎหมายภายในประเทศ มาตรา 17(3) ใหม่ของ ePrivacy Directive ระบุว่ารัฐสมาชิก "ต้องรับรองและเผยแพร่ ภายใน [24 เดือนหลังการรับรอง Regulation นี้] กฎหมาย ระเบียบ และบทบัญญัติทางปกครองที่จำเป็นเพื่อปฏิบัติตามมาตรา 5(3)" และ "ควรบังคับใช้มาตรการเหล่านั้นตั้งแต่" จุด 24 เดือนเดียวกัน ส่วนวรรคใหม่ของมาตรา 18 ขอให้คณะกรรมาธิการรายงาน "ไม่ช้ากว่า [12 เดือนหลังการรับรอง Regulation นี้]" เกี่ยวกับเทคโนโลยีเสริมความเป็นส่วนตัวสำหรับการจัดเก็บหรือเข้าถึงข้อมูลบนอุปกรณ์ พร้อมข้อเสนอปรับปรุงกฎหากเหมาะสม

วงเล็บเหลี่ยมเป็นความตั้งใจ วันที่ทั้งหมดนับจากการรับรอง Regulation ฉบับสุดท้าย และการรับรองจะเกิดขึ้นไม่ได้จนกว่ารัฐสภายุโรปจะตกลงท่าทีของตน การเจรจาสามฝ่าย (trilogue) ระหว่างคณะมนตรี รัฐสภา และคณะกรรมาธิการจะสรุปผล และผู้ร่วมออกกฎหมายทั้งสองฝ่ายลงมติรับผลนั้น เอกสารคณะมนตรีไม่ได้ให้วันเป้าหมายสำหรับขั้นตอนใดเลย แบนเนอร์คุกกี้ในสหภาพยุโรปจึงจะไม่เปลี่ยนภายใต้ข้อความนี้ก่อนครบอย่างน้อยสองปีหลังการรับรอง

สิ่งที่ข้อความของคณะมนตรีไม่ได้บอก

• ไม่ได้ระบุชื่อผลิตภัณฑ์อนาลิติกส์ แท็กแมเนเจอร์ แพลตฟอร์มจัดการความยินยอม หรือเบราว์เซอร์ใด จึงไม่ได้ยืนยันว่าเครื่องมือใดเข้าข่ายวัตถุประสงค์ (c) หรือ (f)
• ไม่ได้นิยาม "ปุ่มคลิกครั้งเดียวหรือวิธีการที่เทียบเท่า" เกินกว่าถ้อยคำนั้น และไม่ได้บอกว่าลิงก์ "ปฏิเสธทั้งหมด" ใต้ปุ่ม "ยอมรับทั้งหมด" นับหรือไม่
• ไม่ได้บอกว่าควรเก็บความจำการปฏิเสธ 4 เดือนไว้อย่างไร การจดจำการปฏิเสธย่อมต้องจัดเก็บข้อมูลบนอุปกรณ์เช่นกัน และข้อความไม่ได้ระบุว่าวัตถุประสงค์ข้อใดครอบคลุมเรื่องนี้
• ไม่ได้กำหนดวันที่ เวลาทั้งหมดนับจากการรับรองที่ยังไม่มีกำหนด
• ไม่ได้สะท้อนมุมมองของรัฐสภายุโรป รัฐสภายังไม่ได้รับรองท่าทีเจรจา และข้อความของคณะมนตรีอาจเปลี่ยนได้ในการเจรจาสามฝ่าย
• ระบบติดตามกระบวนการนิติบัญญัติของรัฐสภายุโรป (Legislative Observatory) แสดงสถานะ 2025/0360(COD) ว่า "Awaiting committee decision"

ความหมายสำหรับนักการตลาดไทย

สำหรับธุรกิจส่วนใหญ่ในไทย คำตอบตรง ๆ คือวันนี้ไม่มีอะไรเปลี่ยน และผลโดยตรง หากข้อความรอดจากการเจรจาสามฝ่าย จำกัดอยู่ที่สองกลุ่ม กลุ่มแรกคือเว็บไซต์หรือแอปไทยที่ให้บริการผู้ใช้ในสหภาพยุโรป ไม่ว่าจะเป็นโรงแรมที่รับจองจากลูกค้ายุโรป ผู้ส่งออกที่มีผู้ซื้อในยุโรป หรือผลิตภัณฑ์ SaaS ที่มีลูกค้าในยุโรป กลุ่มที่สองคือธุรกิจไทยที่รันแคมเปญเจาะตลาดยุโรปผ่านแพลตฟอร์มจัดการความยินยอม หรือใช้การตั้งค่าแท็กที่สร้างขึ้นตามกฎของยุโรป เพราะผู้ให้บริการเหล่านั้นจะออกแบบแบนเนอร์และสัญญาณความยินยอมใหม่ตามข้อความฉบับสุดท้าย

ผลทางอ้อมคือสัญญาณบอกทิศทาง ร่างของคณะมนตรีแยกการวัดผลแบบรวมกลุ่มของเจ้าของเว็บเองและการวัดผลโฆษณาตามบริบท ซึ่งถือว่าเสี่ยงต่ำ ออกจากการติดตามเชิงพฤติกรรม ซึ่งยังต้องขอความยินยอม หากแนวทางนี้คงอยู่ บทเรียนเชิงปฏิบัติสำหรับการตั้งค่า GA4 คือแยกการตั้งค่าที่นับผู้ชมอย่างเดียวออกจากการตั้งค่าที่ป้อนข้อมูลให้โฆษณา เพื่อให้แต่ละส่วนเปิดใช้ได้ภายใต้ฐานทางกฎหมายของตัวเอง

ทั้งหมดนี้ไม่ใช่เหตุผลให้เปลี่ยนแบนเนอร์ความยินยอมของเว็บไทยตอนนี้ แต่เป็นเหตุผลให้รักษาแท็กอนาลิติกส์กับแท็กโฆษณาให้แยกจากกันได้ และติดตามท่าทีของรัฐสภายุโรปเมื่อออกมา

คำถามที่พบบ่อย

กฎคุกกี้ 4 เดือนเป็นกฎหมายในสหภาพยุโรปแล้วหรือยัง

ยัง ท่าทีของคณะมนตรีเมื่อวันที่ 21 ตุลาคม 2569 เป็นจุดยืนสำหรับการเจรจากับรัฐสภายุโรป และรัฐสภายังไม่ได้รับรองท่าทีของตนเอง การเจรจาสามฝ่ายจึงยังไม่เริ่มและยังไม่มีอะไรถูกรับรอง แม้หลังการรับรอง รัฐสมาชิกยังมีเวลา 24 เดือนในการออกกฎหมายภายในตามการแก้ไข ePrivacy

อนาลิติกส์แบบไหนที่ไม่ต้องมีแบนเนอร์คุกกี้ตามข้อความของคณะมนตรี

เฉพาะการวัดผู้ชมแบบรวมกลุ่มนิรนามของบริการเดียว ทำโดยผู้ให้บริการนั้นหรือบุคคลที่สามที่ทำในนามของผู้ให้บริการ โดยข้อมูลไม่ถูกนำไปใช้ซ้ำ ไม่แบ่งปันกับบุคคลที่สาม หรือรวมกับข้อมูลของบุคคลที่สาม (วัตถุประสงค์ (c)) การวัดผู้ชมตามมาตรา 24 ของ European Media Freedom Act ถูกครอบคลุมแยกต่างหาก (วัตถุประสงค์ (d)) ข้อความไม่ได้ระบุชื่อผลิตภัณฑ์ใด

ข้อความของคณะมนตรีให้ผู้ลงโฆษณาวัดผลโฆษณาได้โดยไม่ต้องขอความยินยอมหรือไม่

ได้เฉพาะโฆษณาตามบริบท หมายถึงโฆษณาที่วางตามเนื้อหาของหน้าปัจจุบันหรือคำค้นหาเดียวเท่านั้น และเฉพาะการวัดที่ไม่มีข้อมูลส่วนบุคคล ไม่ทำโปรไฟล์ และไม่ใช้ข้อมูลข้ามเว็บไซต์หรือกิจกรรมในอดีต โดยข้อมูลถูกทำเป็นนามแฝงหลังเก็บ (วัตถุประสงค์ (f)) ข้อพิจารณา 44g ระบุ "คุกกี้จำกัดความถี่และคุกกี้วัดผลโฆษณา" เป็นประเภทการวัดที่ตั้งใจให้ครอบคลุม การวัดผลโฆษณาเชิงพฤติกรรมและโปรแกรมเมติกยังต้องขอความยินยอม

ต่างจากที่คณะกรรมาธิการยุโรปเสนออย่างไร

ข้อเสนอของคณะกรรมาธิการเมื่อเดือนพฤศจิกายน 2568 ย้ายกฎเรื่องคุกกี้ไปไว้ในมาตรา 88a ใหม่ของ GDPR และกำหนดระยะเวลารอหลังการปฏิเสธ "อย่างน้อยหกเดือน" ส่วนคณะมนตรีเก็บกฎไว้ในมาตรา 5(3) ของ ePrivacy และลดระยะเวลารอเหลือ "อย่างน้อยสี่เดือน" คณะมนตรียังมอบหมายการกำกับดูแลให้หน่วยงานตาม GDPR ในแต่ละรัฐสมาชิก

เว็บไซต์ไทยต้องทำอะไรตอนนี้หรือไม่

ไม่ต้อง ข้อความนี้ใช้กับผู้ใช้ในสหภาพยุโรปเท่านั้น ยังไม่ได้รับรอง และจะใช้เวลาอย่างน้อยสองปีหลังการรับรองกว่าจะมีผล การเตรียมตัวที่มีประโยชน์เป็นเรื่องโครงสร้าง คือเก็บแท็กวัดผู้ชมกับแท็กโฆษณาให้ตั้งค่าแยกกันได้ เพื่อให้การเปลี่ยนแปลงในภายหลังของเขตอำนาจใดก็ตามนำไปใช้ได้โดยไม่ต้องสร้างระบบใหม่ทั้งหมด

หากการตั้งค่าอนาลิติกส์ของคุณรวมสัญญาณวัดผลกับสัญญาณโฆษณาไว้ในแท็กเดียว และอยากแยกให้ชัดก่อนที่หน่วยงานกำกับฝั่งใดจะถาม บริการย้ายและตั้งค่า GA4 ของเราครอบคลุมการตั้งค่าที่คำนึงถึงความยินยอมสำหรับทราฟฟิกไทยและต่างประเทศ