เบื้องหลังคุกกี้เว็บไซต์: เมื่อข้อมูลส่วนตัวถูกแชร์ให้พาร์ทเนอร์โฆษณานับพันราย

ทุกครั้งที่คุณท่องโลกอินเทอร์เน็ต คุณอาจไม่รู้ตัวว่ากำลังถูกติดตามอยู่เกือบตลอดเวลา เว็บไซต์ส่วนใหญ่ใช้ระบบติดตามเพื่อเก็บข้อมูลพฤติกรรมการใช้งาน แล้วส่งต่อไปยังระบบโฆษณาแบบเจาะกลุ่มเป้าหมาย (Targeted Advertising) เพื่อสร้างโปรไฟล์ความสนใจของคุณอย่างละเอียด ซึ่งข้อมูลเหล่านี้ถูกเปลี่ยนเป็นกำไรมหาศาลให้กับบริษัทโฆษณา

สิ่งที่น่าตกใจคือ ความโปร่งใสที่เพิ่มขึ้นในช่วงปลายปีที่ผ่านมาทำให้เราเห็นว่า ข้อมูลของเราถูกส่งต่อไปยังบริษัทอื่นจำนวนมากเพียงใด ผ่านทางป๊อปอัปขอความยินยอมในการใช้คุกกี้ (Cookie Pop-ups) ที่เรามักกดปิดอย่างรวดเร็ว

การเปิดเผยตัวเลขพาร์ทเนอร์ที่น่าตกใจ

จากการวิเคราะห์เว็บไซต์ยอดนิยม 10,000 อันดับแรกโดย WIRED พบว่ามีเว็บไซต์จำนวนมากที่ระบุว่ามีการแชร์ข้อมูลกับบริษัทพาร์ทเนอร์มากกว่า 1,000 ราย โดยเว็บไซต์ JetPunk (เว็บควิซและปริศนา) ครองอันดับสูงสุดด้วยจำนวนพาร์ทเนอร์ถึง 1,809 ราย ซึ่งอาจเก็บข้อมูลตั้งแต่พฤติกรรมการท่องเว็บไปจนถึงรหัสประจำตัวที่ไม่ซ้ำกัน (Unique IDs)

นอกจากนี้ ยังมีเครือข่ายเว็บไซต์ขนาดใหญ่อื่นๆ ที่มีการแชร์ข้อมูลในระดับสูง เช่น:

• Dotdash Meredith (รวมถึง Investopedia, People และ Allrecipes): แชร์ข้อมูลกับพาร์ทเนอร์ 1,609 ราย
• The Daily Mail: แชร์ข้อมูลกับพาร์ทเนอร์ 1,207 ราย
• Reuters, ESPN, BuzzFeed และ WebMD: แชร์ข้อมูลกับพาร์ทเนอร์ 809 ราย

ในขณะที่เว็บไซต์อย่าง WIRED เองระบุว่ามีพาร์ทเนอร์เพียง 164 ราย ซึ่งแสดงให้เห็นถึงความแตกต่างอย่างมากในแนวทางการจัดการข้อมูลของแต่ละแพลตฟอร์ม

กลไกการทำงานของระบบติดตามข้อมูล

Midas Nouwens รองศาสตราจารย์จาก Aarhus University อธิบายว่า เป้าหมายแรกของบริษัทเหล่านี้คือการระบุตัวตนที่ชัดเจนของคุณ (Disambiguate) โดยใช้ข้อมูล เช่น IP Address หรือการทำ Device Fingerprinting (การเก็บลักษณะเฉพาะของอุปกรณ์เพื่อระบุตัวตนโดยไม่ต้องใช้คุกกี้) เมื่อระบุตัวตนได้แล้ว ข้อมูลของคุณจะถูกนำไปรวมกับชุดข้อมูลอื่นเพื่อสร้างโปรไฟล์ที่สมบูรณ์ขึ้นเมื่อคุณเข้าชมเว็บไซต์อื่นๆ ในอนาคต

ความซับซ้อนของระบบจัดการความยินยอม (CMP)

เว็บไซต์จำนวนมากไม่ได้สร้างระบบขอความยินยอมเอง แต่ใช้บริการจาก Consent Management Platforms (CMPs) ซึ่งเป็นเทคโนโลยีจากบุคคลที่สามที่ดำเนินงานตามมาตรฐานของ IAB Europe (กลุ่มการตลาดและโฆษณาระดับยุโรป)

แม้ว่า IAB Europe จะอัปเดตกรอบการทำงาน (Transparency and Consent Framework) ในเดือนพฤศจิกายน 2023 เพื่อให้สอดคล้องกับกฎหมาย GDPR (กฎหมายคุ้มครองข้อมูลส่วนบุคคลของยุโรป) โดยบังคับให้ระบุจำนวนพาร์ทเนอร์ในหน้าแรกและเพิ่มปุ่ม "ปฏิเสธทั้งหมด" (Reject All) ให้เห็นชัดเจนขึ้น แต่ผู้เชี่ยวชาญมองว่าการระบุจำนวนพาร์ทเนอร์ที่มากเกินไป (เช่น หลักร้อยหรือหลักพัน) แทบไม่มีประโยชน์ในเชิงการตัดสินใจของผู้ใช้ เพราะมีความซับซ้อนเกินกว่าที่คนทั่วไปจะเข้าใจได้

ความจริงที่แตกต่างระหว่าง 'จำนวนที่แจ้ง' กับ 'การใช้งานจริง'

ความซับซ้อนของอุตสาหกรรมโฆษณาส่งผลให้ตัวเลขที่ปรากฏในป๊อปอัปอาจไม่ใช่จำนวนบริษัทที่เว็บไซต์ติดต่อด้วยโดยตรง ตัวอย่างเช่น BuzzFeed ระบุพาร์ทเนอร์ 809 รายตามรายการของ IAB แต่ในความเป็นจริงทำงานร่วมกับพาร์ทเนอร์เพียง 220 ราย หรือ NewsNow ที่ระบุตัวเลข 1,298 ราย แต่จริงๆ แล้วติดต่อกับตัวกลางโฆษณาเพียงไม่กี่แห่ง ซึ่งตัวกลางเหล่านั้นต่างหากที่เป็นผู้กระจายข้อมูลต่อไปยังพาร์ทเนอร์รายย่อย

สรุปการแชร์ข้อมูลของเว็บไซต์ตัวอย่าง

ชื่อเว็บไซต์/เครือข่าย	จำนวนพาร์ทเนอร์ที่แจ้ง (ราย)	หมายเหตุ
JetPunk	1,809	สูงสุดในกลุ่มที่วิเคราะห์
Dotdash Meredith	1,609	ครอบคลุมหลายเว็บไซต์ในเครือ
The Daily Mail	1,207	-
Reuters / ESPN / BuzzFeed	809	ตัวเลขตามมาตรฐาน IAB
WIRED	164	-

ข้อเท็จจริงสำคัญ

• การติดตามวงกว้าง: เว็บไซต์ยอดนิยมหลายแห่งแชร์ข้อมูลผู้ใช้กับบริษัทโฆษณานับพันราย
• เทคนิคระบุตัวตน: มีการใช้ IP Address และ Device Fingerprinting เพื่อติดตามผู้ใช้แม้จะพยายามหลีกเลี่ยง
• ช่องโหว่ของความยินยอม: ผู้ใช้ส่วนใหญ่มักกดปิดป๊อปอัปคุกกี้โดยไม่อ่าน ทำให้ตกอยู่ในสถานะความเป็นส่วนตัวที่แย่ลง
• อิทธิพลของยักษ์ใหญ่: Google มีเทคโนโลยีติดตามอยู่ในเว็บไซต์ถึง 79% ของเว็บทั้งหมดที่ถูกสำรวจ
• ความเหลื่อมล้ำของข้อมูล: จำนวนพาร์ทเนอร์ที่แจ้งในป๊อปอัปมักสูงกว่าจำนวนบริษัทที่เว็บไซต์ทำงานด้วยโดยตรง

คำถามที่พบบ่อย

ทำไมเว็บไซต์ต้องมีพาร์ทเนอร์โฆษณาจำนวนมากขนาดนี้?

เพื่อเพิ่มประสิทธิภาพในการแสดงโฆษณาให้ตรงกับความสนใจของผู้ใช้มากที่สุด และเพิ่มรายได้จากการประมูลพื้นที่โฆษณาผ่านเครือข่ายตัวกลางที่เชื่อมโยงกับบริษัทโฆษณาย่อยๆ จำนวนมาก

การกด "ยอมรับทั้งหมด" ในป๊อปอัปคุกกี้อันตรายหรือไม่?

ไม่ได้อันตรายในเชิงไวรัส แต่ส่งผลเสียต่อความเป็นส่วนตัว เพราะเป็นการอนุญาตให้บริษัทจำนวนมากเก็บข้อมูลพฤติกรรมของคุณไปสร้างโปรไฟล์เพื่อการค้า

Device Fingerprinting คืออะไรและต่างจากคุกกี้อย่างไร?

คุกกี้คือไฟล์ที่เก็บไว้ในเบราว์เซอร์ซึ่งผู้ใช้ลบออกได้ แต่ Device Fingerprinting คือการเก็บข้อมูลคุณลักษณะของเครื่อง (เช่น เวอร์ชันเบราว์เซอร์, ความละเอียดหน้าจอ, ฟอนต์ที่ติดตั้ง) เพื่อสร้าง "ลายนิ้วมือดิจิทัล" ที่ระบุตัวตนคุณได้แม้ไม่มีคุกกี้

เราจะป้องกันการถูกติดตามออนไลน์ได้อย่างไรบ้าง?

สามารถใช้เบราว์เซอร์ที่เน้นความเป็นส่วนตัว (Privacy Browser), ใช้เครื่องมือค้นหาที่ไม่ติดตามข้อมูล และปรับตั้งค่าการปฏิเสธคุกกี้จากบุคคลที่สามในเบราว์เซอร์

กฎหมาย GDPR ช่วยเรื่องความเป็นส่วนตัวได้จริงหรือไม่?

ช่วยให้เกิดความโปร่งใสมากขึ้น เช่น การบังคับให้มีป๊อปอัปแจ้งเตือนและปุ่มปฏิเสธ แต่ในทางปฏิบัติ ผู้ใช้มักถูกหลอกด้วย Dark Patterns (การออกแบบที่ชี้นำให้เลือกทางที่เจ้าของเว็บต้องการ) ทำให้การคุ้มครองไม่เต็มประสิทธิภาพ