CNIL ปรับ Fnac 7 ล้านยูโร เหตุแอปส่งข้อมูลให้ตัวติดตามแนะนำสินค้าแม้ผู้ใช้ปฏิเสธ

CNIL หน่วยงานคุ้มครองข้อมูลส่วนบุคคลของฝรั่งเศส สั่งปรับบริษัทในกลุ่ม Fnac Darty สองแห่งรวม 7 ล้านยูโรเมื่อวันที่ 22 ตุลาคม 2569 เพราะแอปมือถือของ Fnac ยังคงส่งข้อมูลการใช้งานของผู้ซื้อไปยังตัวติดตามที่ใช้แนะนำสินค้า แม้ผู้ใช้จะปฏิเสธการให้ความยินยอมไปแล้ว CNIL เผยแพร่คำสั่งนี้เมื่อวันที่ 29 ตุลาคม 2569 ประเด็นหลักที่ร้านค้าซึ่งมีแอปของตัวเองควรอ่านคือ การติดตามเพื่อปรับคำแนะนำสินค้าให้เข้ากับแต่ละคน การเสนอขายอุปกรณ์เสริม และการฝึกอัลกอริทึมแนะนำสินค้า ถือเป็นการกำหนดเป้าหมายเชิงพาณิชย์ จึงต้องได้รับความยินยอมล่วงหน้าเช่นเดียวกับคุกกี้โฆษณา

CNIL ตัดสินอะไรบ้าง

คำวินิจฉัยเลขที่ SAN-2026-015 ได้รับการรับรองเมื่อวันที่ 22 ตุลาคม 2569 โดยคณะกรรมการชุดจำกัด (restricted committee) ซึ่งเป็นองค์กรภายใน CNIL ที่มีหน้าที่ออกคำสั่งลงโทษ ตามประกาศของ CNIL เรื่องการลงโทษ Fnac คณะกรรมการเห็นว่า Fnac Darty Participations et Services และ Fnac Direct ละเมิดมาตรา 82 ของกฎหมายคุ้มครองข้อมูลของฝรั่งเศส (loi Informatique et Libertés) ซึ่งเป็นมาตราที่วางกฎเรื่องคุกกี้และตัวติดตามประเภทอื่น

CNIL แบ่งค่าปรับ 7 ล้านยูโรระหว่างสองบริษัท โดย Fnac Darty Participations et Services ถูกปรับ 6 ล้านยูโร และ Fnac Direct ถูกปรับ 1 ล้านยูโร นอกจากค่าปรับแล้ว คณะกรรมการยังออกคำสั่งให้ปฏิบัติตามพร้อมค่าปรับรายวัน กล่าวคือภายในหนึ่งเดือนนับจากได้รับแจ้งคำวินิจฉัย ทั้งสองบริษัทต้องแสดงให้เห็นว่าเครื่องมือใหม่ที่ใช้อยู่ตอนนี้ขอความยินยอมในกรณีที่จำเป็นต้องขอ หากทำไม่ได้ จะต้องจ่ายค่าปรับ 10,000 ยูโรต่อทุกวันที่ล่าช้า

CNIL ยังตัดสินใจเปิดเผยคำวินิจฉัยต่อสาธารณะ โดยระบุว่าเป็นเพราะความร้ายแรงของการละเมิด ขอบเขตของการประมวลผล และจำนวนคนที่ได้รับผลกระทบ

ทำไมค่าปรับจึงอยู่ที่ 7 ล้านยูโร

CNIL ให้เหตุผลเรื่องจำนวนเงินไว้สามข้อ ข้อแรก บริษัทไม่เคารพทางเลือกที่ผู้ใช้แสดงไว้เมื่อปฏิเสธการติดตามการใช้งานในแอป ข้อสอง แอปนี้มีผู้ใช้จำนวนมาก ข้อสาม CNIL อ้างถึงแนวทางการบังคับใช้กฎหมายที่ตนยึดถือมาอย่างต่อเนื่องและชัดเจน เกี่ยวกับตัวติดตามที่ใช้เพื่อปรับเนื้อหาเฉพาะบุคคลและกำหนดเป้าหมายเชิงพาณิชย์ ซึ่ง CNIL ระบุว่าไม่อยู่ในข้อยกเว้นของมาตรา 82

คำวินิจฉัยฉบับเต็มให้ตัวเลขประกอบข้อสอง ตามคำวินิจฉัยที่สื่อการค้า PPC Land แปลไว้ แอปนี้ถูกดาวน์โหลดมากกว่า 1.5 ล้านครั้งในฝรั่งเศสระหว่างมีนาคม 2566 ถึงมีนาคม 2567 และมีผู้ใช้เฉลี่ยวันละ 37,400 คนในช่วงเดียวกัน

คดีเริ่มอย่างไร และผู้ตรวจสอบพบอะไร

คดีนี้เริ่มจากการร้องเรียนของ noyb (None Of Your Business) กลุ่มรณรงค์ด้านความเป็นส่วนตัว CNIL ระบุว่าหลังได้รับเรื่องร้องเรียน ได้เข้าตรวจสอบแอปมือถือของ Fnac ในเดือนมีนาคม 2567 ตามคำวินิจฉัยที่ PPC Land รายงาน noyb ยื่นเรื่องร้องเรียนเมื่อวันที่ 14 กันยายน 2566 และ CNIL ตรวจสอบแบบออนไลน์เมื่อวันที่ 6 มีนาคม 2567 โดยจำลองประสบการณ์ของผู้ใช้ที่ดาวน์โหลดและเปิดแอป

สรุปของ CNIL อธิบายการละเมิดในเชิงเทคนิคไว้ว่า ระหว่างที่ใช้แอป มีคำขอ (request) ถูกส่งผ่าน API (application programming interface) ไปยังโดเมนของบุคคลที่สาม คำขอเหล่านั้นมีตัวระบุที่ Fnac กำหนดให้กับผู้ใช้ พร้อมข้อมูลเกี่ยวกับกิจกรรมของผู้ใช้ เช่น สินค้าที่เปิดดู CNIL พบว่าผู้ใช้ไม่ได้ให้ความยินยอมต่อการวางตัวติดตามนี้

คำวินิจฉัยยังบันทึกข้อความบนแบนเนอร์ขอความยินยอมในขณะนั้นไว้ด้วย ตามคำแปลของ PPC Land ข้อความในแอปบอกผู้ใช้ว่าตัวติดตามบางตัวจำเป็นต่อการให้คำแนะนำที่ดีที่สุด และถ้ากดปุ่ม "Continue without accepting" (ดำเนินการต่อโดยไม่ยอมรับ) คุกกี้เหล่านั้นก็จะยังถูกวางอยู่ดี พูดอีกแบบคือ ตัวแบนเนอร์เองก็ประกาศไว้แล้วว่าการติดตามเพื่อแนะนำสินค้าจะทำงานไม่ว่าผู้ใช้จะเลือกอะไร

สี่หน้าที่ของตัวติดตามตัวเดียว

CNIL ระบุสิ่งที่ตัวติดตามตัวเดียวนี้ทำได้ภายในแอปไว้ดังนี้

• แสดงสินค้าเฉพาะบุคคล ที่เลือกจากประวัติการเข้าชมของผู้ใช้
• แสดงสินค้าเสริมที่เกี่ยวกับสินค้าที่เปิดดูหรือซื้อไป เช่น อุปกรณ์เสริม วัสดุสิ้นเปลือง หรือบริการที่เกี่ยวข้อง
• แสดงสินค้าที่คล้ายกัน คือสินค้าที่มีคุณสมบัติใกล้เคียงกับสิ่งที่ผู้ใช้ค้นหา
• ฝึกอัลกอริทึมแนะนำสินค้า

CNIL สรุปว่าไม่มีการดำเนินการใดในนี้เข้าข่ายข้อยกเว้นของมาตรา 82 เพราะไม่ได้มีไว้เพื่อทำให้การสื่อสารทางอิเล็กทรอนิกส์เกิดขึ้นได้หรือสะดวกขึ้น และไม่ได้จำเป็นอย่างยิ่งต่อการให้บริการสื่อสารออนไลน์ตามคำขออย่างชัดแจ้งของผู้ใช้ ดังนั้นจึงทำไม่ได้หากไม่ได้รับความยินยอมล่วงหน้าจากเจ้าของข้อมูล

กฎที่สำคัญที่สุด: ตัวติดตามเดียว หลายวัตถุประสงค์

ข้อต่อสู้ของ Fnac ตามคำวินิจฉัยที่ PPC Land รายงานคือ ระบบแนะนำช่วยให้ลูกค้าหาทางในแคตตาล็อกขนาดใหญ่ได้ และตัวติดตามนี้จำลองสิ่งที่คล้ายกับการจัดชั้นวางสินค้าในร้านจริงมาไว้บนออนไลน์ ถ้ามองแบบนี้ คำแนะนำสินค้าก็เป็นส่วนหนึ่งของบริการที่ผู้ใช้ขอ และน่าจะเข้าข้อยกเว้นเรื่อง "จำเป็นอย่างยิ่ง"

คณะกรรมการไม่รับข้อโต้แย้งนี้สำหรับสินค้าเฉพาะบุคคลและสินค้าเสริม โดยมองว่าวัตถุประสงค์ของทั้งสองอย่างคือการโปรโมตสินค้าของ Fnac ให้ผู้ใช้ซื้อ และมองว่าการฝึกโมเดลแนะนำสินค้าจากพฤติกรรมผู้ใช้เป็นส่วนหนึ่งของเป้าหมายการกำหนดเป้าหมายเชิงพาณิชย์แบบเดียวกัน

สินค้าที่คล้ายกันเป็นเรื่องเดียวที่คณะกรรมการเปิดช่องไว้บ้าง ตามคำวินิจฉัยที่ PPC Land รายงาน คณะกรรมการยอมรับว่าการแสดงสินค้าที่คล้ายกันอาจจำเป็นอย่างยิ่งต่อบริการที่ผู้ใช้ขอได้ในทางทฤษฎี ขึ้นอยู่กับวิธีการทำ แต่ผลลัพธ์ไม่เปลี่ยน เพราะการอ่านและเขียนข้อมูลชุดเดียวกันนั้นยังรับใช้วัตถุประสงค์อื่นที่ต้องขอความยินยอมด้วย กฎของคณะกรรมการตามคำแปลของ PPC Land คือ ตัวติดตามที่มีหลายวัตถุประสงค์จะได้รับยกเว้นก็ต่อเมื่อไม่มีวัตถุประสงค์ใดเลยที่ต้องขอความยินยอมล่วงหน้า ถ้ามีแม้แต่ข้อเดียวที่ต้องขอ การดำเนินการทั้งหมดก็ต้องได้รับความยินยอม คณะกรรมการอ้างคำสั่งลงโทษ Microsoft Ireland เรื่องคุกกี้บน Bing เมื่อธันวาคม 2565 มูลค่า 60 ล้านยูโร เป็นแนวบรรทัดฐานของเหตุผลนี้

นี่คือบทเรียนเชิงปฏิบัติสำหรับคนที่ออกแบบฟีเจอร์แนะนำสินค้า SDK หรือการเรียก API ตัวเดียวที่รวมฟังก์ชันที่พอจะอ้างได้เข้ากับฟังก์ชันกำหนดเป้าหมาย จะถูกตัดสินตามวัตถุประสงค์ที่เข้มงวดที่สุดของมัน การแยกฟังก์ชันออกจากกัน ให้ส่วนที่ได้รับยกเว้นทำงานโดยไม่ใช้ข้อมูลระบุตัวบุคคล และให้ส่วนที่กำหนดเป้าหมายรอความยินยอม จึงเป็นทางเลือกด้านการออกแบบที่คำวินิจฉัยนี้ทำให้น่าพิจารณา

ลำดับเหตุการณ์ของคดี Fnac

วันที่ด้านล่างมาจากประกาศของ CNIL และจากคำวินิจฉัยตามที่ PPC Land รายงาน ตารางนี้แสดงให้เห็นว่าเรื่องร้องเรียนเกี่ยวกับตัวติดตามอาจใช้เวลานานเท่าใดกว่าจะกลายเป็นคำสั่งลงโทษที่เผยแพร่

ข้อโต้แย้งอื่นของ Fnac และเหตุที่ไม่ได้ผล

ตามคำวินิจฉัยที่ PPC Land รายงาน บริษัทโต้แย้งว่ากฎสำหรับแอปยังไม่ชัดเจนในตอนที่มีการตรวจสอบ เพราะ CNIL เพิ่งเผยแพร่คำแนะนำเรื่องแอปพลิเคชันมือถือเมื่อวันที่ 24 กันยายน 2567 คณะกรรมการปฏิเสธข้อนี้ โดยชี้ว่า CNIL เผยแพร่แนวทางเรื่องคุกกี้และตัวติดตามมาตั้งแต่ปี 2556 รับรองแนวทางและคำแนะนำฉบับใหม่ในปี 2563 และลงโทษ Google กับ Amazon ในเดือนธันวาคม 2563 เรื่องการวางตัวติดตามโดยไม่ได้รับความยินยอม จุดยืนของคณะกรรมการคือ การละเมิดลักษณะนี้ไม่ได้กลายเป็นเรื่องใหม่เพียงเพราะเกิดในแอปมือถือแทนที่จะเกิดบนเว็บไซต์

บริษัทยังชี้ว่าได้ปิด API ตัวเดิมไปแล้วในเดือนธันวาคม 2567 และเปลี่ยนเป็นเครื่องมือใหม่ในเดือนมกราคม 2568 พร้อมอธิบายการเปลี่ยนแปลงที่วางแผนไว้ ตามที่ PPC Land สรุปคำวินิจฉัย แผนดังกล่าวได้แก่ การสร้างคำแนะนำเฉพาะบุคคลจากประวัติการเข้าชมหลังได้รับความยินยอมแล้วเท่านั้น การแสดงคำแนะนำทั่วไปตามสินค้าที่กำลังเปิดดูโดยไม่ใช้ตัวติดตาม และการป้อนข้อมูลที่ผ่านการทำให้ไม่ระบุตัวตนแล้วให้อัลกอริทึมนำทาง คณะกรรมการเห็นว่าบริษัทยังไม่ได้แสดงว่ามาตรการเหล่านี้ถูกนำมาใช้จริง จึงออกคำสั่งให้ปฏิบัติตามพร้อมค่าปรับรายวัน 10,000 ยูโร

ความหมายสำหรับทีมแอปและอีคอมเมิร์ซ

คำวินิจฉัยนี้ใช้กฎหมายฝรั่งเศสกับแอปของฝรั่งเศส แต่กลไกที่อธิบายไว้พบได้ทั่วไปในแอปค้าปลีกทุกที่ ระบบแนะนำสินค้า แพลตฟอร์มข้อมูลลูกค้า (CDP) และ SDK ด้าน engagement มักเริ่มส่ง event พร้อมตัวระบุผู้ใช้หรืออุปกรณ์ตั้งแต่เปิดแอปครั้งแรก ก่อนที่ผู้ใช้จะเลือกเรื่องความยินยอม หรือส่งต่อไปไม่ว่าผู้ใช้จะเลือกอะไร เมื่อเทียบกับเหตุผลของ CNIL มีคำถามหลายข้อที่ควรตรวจในระบบของคุณเอง

• SDK และการเรียก API ตัวไหนทำงานก่อนผู้ใช้ตอบแบนเนอร์ขอความยินยอม และตัวไหนยังทำงานหลังผู้ใช้ปฏิเสธ
• มีการเรียกใดที่ส่งตัวระบุผู้ใช้พร้อมข้อมูลพฤติกรรม เช่น สินค้าที่เปิดดู ค้นหา หรือใส่ตะกร้า หรือไม่
• มีการเชื่อมต่อใดที่ใช้ทั้งฟังก์ชันช่วยนำทางและฟังก์ชันกำหนดเป้าหมายหรือฝึกโมเดลไปพร้อมกันหรือไม่
• ข้อความบนแบนเนอร์ตรงกับสิ่งที่เกิดขึ้นจริงหรือไม่ แบนเนอร์ของ Fnac บอกตรง ๆ ว่าคุกกี้บางตัวจะถูกวางแม้ผู้ใช้ปฏิเสธ และการเปิดเผยนั้นก็ไม่ได้ช่วยปกป้องบริษัท
• คำแนะนำที่ไม่ขึ้นกับประวัติของแต่ละคน เช่น "สินค้าคล้ายกับชิ้นนี้" ที่อิงเฉพาะสินค้าที่กำลังเปิดดู สามารถทำงานโดยไม่ระบุตัวผู้ใช้เลยได้หรือไม่

ระบบ analytics และการวัดผลก็ควรได้รับการตรวจแบบเดียวกัน การวิเคราะห์ของ CNIL ขึ้นอยู่กับวัตถุประสงค์ของการอ่านและเขียนข้อมูลแต่ละครั้ง แท็กที่ผสมการวัดผู้ชมเข้ากับการปรับเนื้อหาเฉพาะบุคคลหรือโฆษณา จึงต้องรับข้อกำหนดที่เข้มที่สุดในกลุ่มนั้นไปด้วย

ความหมายสำหรับนักการตลาดไทย

คำวินิจฉัยของ CNIL เป็นคำตัดสินของฝรั่งเศสภายใต้กฎหมายฝรั่งเศส และไม่ผูกพันบริษัทไทยที่ทำธุรกิจเฉพาะในประเทศไทย ประกาศของ CNIL ไม่ได้พูดถึงประเทศไทย ถึงอย่างนั้น คดีนี้ก็ยังเป็นจุดอ้างอิงที่มีประโยชน์สำหรับสองกลุ่ม

กลุ่มแรกคือแบรนด์ไทยที่ขายให้ลูกค้าในฝรั่งเศสหรือประเทศอื่นในสหภาพยุโรปผ่านแอปหรือเว็บไซต์ แบรนด์เหล่านี้อยู่ในขอบเขตของกฎเรื่องตัวติดตามของยุโรป และคำวินิจฉัยนี้แสดงว่าการติดตามเพื่อแนะนำสินค้าและเสนอขายสินค้าเสริมถูกมองว่าต้องได้รับความยินยอมแบบ opt-in ที่นั่น

กลุ่มที่สองคือทีมอีคอมเมิร์ซและค้าปลีกในไทยโดยทั่วไป พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคลของไทย (PDPA) มีกรอบของตัวเอง กล่าวคือการประมวลผลข้อมูลส่วนบุคคลต้องมีฐานทางกฎหมายรองรับ และความยินยอมเป็นหนึ่งในฐานเหล่านั้น คำวินิจฉัยของ CNIL ไม่ได้ตีความ PDPA และระบบแนะนำสินค้าแบบใดต้องขอความยินยอมในไทยหรือไม่ เป็นคำถามที่ควรปรึกษาที่ปรึกษากฎหมายไทย สิ่งที่คดี Fnac ให้ได้คือตัวอย่างที่ชัดและมีเอกสารครบ ว่าหน่วยงานกำกับดูแลให้เหตุผลอย่างไรกับการติดตามเพื่อแนะนำสินค้า การเสนอขายสินค้าเสริม และการฝึกโมเดล รวมถึงแสดงว่าแบนเนอร์ที่รับคำปฏิเสธไว้แต่ไม่ได้ทำตามจริง กลายเป็นศูนย์กลางของคดีได้อย่างไร

สำหรับทีมที่วางแผนตรวจระบบติดตามอยู่แล้ว ขั้นตอนเชิงปฏิบัติคือทำแผนผังว่าแท็กและ SDK ตัวไหนทำงานในสถานะความยินยอมแต่ละแบบ โดยเริ่มจากสิ่งที่ส่ง ID ลูกค้าไปพร้อมกับกิจกรรมเกี่ยวกับสินค้า ถ้าคุณใช้ GA4 ควบคู่กับเครื่องมือแนะนำสินค้าหรือ CDP บริการตั้งค่าและย้ายระบบ GA4 ของเราครอบคลุมการตั้งค่าแท็ก และบริการการตลาดอีคอมเมิร์ซของเราครอบคลุมว่าการปรับเนื้อหาเฉพาะบุคคลและรีทาร์เก็ตติ้งเข้ากับการตลาดของร้านออนไลน์อย่างไร

คำถามที่พบบ่อย (FAQ)

ทำไม CNIL จึงปรับ Fnac

CNIL ปรับ Fnac เพราะแอปมือถือยังคงส่งข้อมูลการใช้งานของผู้ใช้ไปยังตัวติดตามแนะนำสินค้าโดยไม่ได้รับความยินยอม รวมถึงหลังจากผู้ใช้ปฏิเสธแล้ว CNIL เห็นว่าเป็นการละเมิดมาตรา 82 ของกฎหมายคุ้มครองข้อมูลของฝรั่งเศส ซึ่งกำกับเรื่องคุกกี้และตัวติดตามอื่น ๆ

ค่าปรับเท่าไร และใครต้องจ่าย

ค่าปรับรวม 7 ล้านยูโร แบ่งเป็น 6 ล้านยูโรสำหรับ Fnac Darty Participations et Services และ 1 ล้านยูโรสำหรับ Fnac Direct ทั้งสองบริษัทยังต้องแสดงภายในหนึ่งเดือนนับจากได้รับแจ้งว่าเครื่องมือใหม่ขอความยินยอมในกรณีที่จำเป็น มิฉะนั้นต้องจ่าย 10,000 ยูโรต่อวันที่ล่าช้า

ตามมุมมองของ CNIL การแนะนำสินค้าต้องขอความยินยอมเสมอหรือไม่

ไม่เสมอไป แต่คำแนะนำที่อิงประวัติการเข้าชมของแต่ละคน การเสนอสินค้าเสริม และการฝึกอัลกอริทึมแนะนำสินค้า ล้วนถูกมองว่าเป็นการกำหนดเป้าหมายเชิงพาณิชย์ที่ต้องขอความยินยอม คณะกรรมการยอมรับว่า "สินค้าที่คล้ายกัน" อาจจำเป็นอย่างยิ่งได้ในทางทฤษฎี แต่เพราะตัวติดตามตัวเดียวกันยังใช้กับวัตถุประสงค์อื่นด้วย การดำเนินการทั้งหมดจึงต้องได้รับความยินยอม

คำวินิจฉัยนี้มีผลในประเทศไทยหรือไม่

ไม่มีผล เพราะคำวินิจฉัยนี้ใช้กฎหมายฝรั่งเศส และไม่มีผลทางกฎหมายโดยตรงต่อธุรกิจที่ดำเนินการเฉพาะในไทย แบรนด์ไทยที่ให้บริการลูกค้าในสหภาพยุโรปอยู่ในขอบเขตของกฎตัวติดตามของยุโรป ส่วน PDPA ของไทยก็มีข้อกำหนดของตัวเอง รวมถึงการต้องมีฐานทางกฎหมาย เช่น ความยินยอม ในการประมวลผลข้อมูลส่วนบุคคล

ตัวแบนเนอร์ขอความยินยอมเป็นปัญหาหรือไม่

แบนเนอร์เป็นส่วนหนึ่งของปัญหา เพราะบอกผู้ใช้ว่าคุกกี้บางตัวจะยังถูกวางถ้ากด "Continue without accepting" แต่สิ่งที่ CNIL ลงโทษคือการติดตามที่ยังดำเนินต่อหลังผู้ใช้ปฏิเสธ และการเปิดเผยพฤติกรรมนั้นบนแบนเนอร์ไม่ได้ทำให้มันถูกกฎหมาย

สรุป

คำวินิจฉัยคดี Fnac ทำให้การติดตามเพื่อแนะนำสินค้าในฝรั่งเศสอยู่ในกลุ่มที่ต้องขอความยินยอมอย่างชัดเจน ด้วยกฎที่ใช้ได้ง่าย คือถ้าวัตถุประสงค์ข้อใดข้อหนึ่งของตัวติดตามต้องขอความยินยอม ตัวติดตามนั้นก็ต้องขอความยินยอม ร้านค้าที่มีแอปควรตรวจว่า SDK ส่งอะไรออกไปบ้างหลังผู้ใช้ปฏิเสธ และแยกฟังก์ชันที่ทำงานได้โดยไม่ต้องระบุตัวบุคคลออกจากฟังก์ชันที่ต้องระบุ ถ้าต้องการให้ช่วยตรวจว่าระบบติดตามและการวัดผลของคุณทำงานอย่างไรในสถานะความยินยอมแต่ละแบบ Relevant Audience พร้อมไล่ดูระบบไปพร้อมกับคุณ