ไอร์แลนด์ปรับ Google 403 ล้านยูโร กรณีข้อมูลตำแหน่งที่ใช้กับโฆษณาและการอนุมานความสนใจ

คณะกรรมการคุ้มครองข้อมูลของไอร์แลนด์ (Data Protection Commission หรือ DPC) สั่งปรับ Google เป็นเงิน 403 ล้านยูโรเมื่อวันที่ 21 กันยายน 2569 และสั่งให้ปรับการประมวลผลข้อมูลตำแหน่งให้สอดคล้องกับ GDPR ภายในหกเดือน คำวินิจฉัยครอบคลุมฟีเจอร์สามตัวของ Google ได้แก่ Web & App Activity, Location History และ Location Accuracy ในช่วงที่ใช้งานระหว่างวันที่ 25 พฤษภาคม 2561 ถึง 4 กุมภาพันธ์ 2563

คดีนี้เป็นเรื่องของยุโรปและเกี่ยวกับช่วงเวลาเมื่อกว่าหกปีก่อน แต่ยังควรอ่านอย่างละเอียดจากมุมของไทย เพราะหน่วยงานกำกับเชื่อมเหตุผลเข้ากับการโฆษณาโดยตรง โดยระบุว่าผู้ใช้อาจไม่รู้ว่าตำแหน่งของตัวเองถูกนำไปใช้เพื่อชักจูงด้วยโฆษณาหรือเพื่ออนุมานความสนใจ ซึ่งเป็นความเชื่อมโยงเดียวกันระหว่างตำแหน่ง การอนุมานความสนใจ และการกำหนดกลุ่มเป้าหมายโฆษณา ที่ พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล (PDPA) ของไทยก็กำกับดูแลอยู่

DPC ตัดสินอะไร

ตาม ประกาศของ DPC คำวินิจฉัยออกโดยกรรมการคุ้มครองข้อมูลทั้งสามคน ได้แก่ Dr Des Hogan, Dale Sunderland และ Niamh Sweeney เป็นการปิดการไต่สวนที่ DPC เปิดขึ้นเองในเดือนกุมภาพันธ์ 2563 ในฐานะหน่วยงานกำกับหลักของ Google Ireland Limited หลังได้รับเรื่องร้องเรียนจากองค์กรผู้บริโภคในยุโรปหลายแห่ง รวมถึง BEUC

DPC พบว่า Google ละเมิด GDPR ในสี่ประเด็น

• ความชอบด้วยกฎหมายและความเป็นธรรมของการประมวลผลข้อมูลตำแหน่งใน Web & App Activity และ Location History
• หน้าที่ด้านความรับผิดชอบ (accountability) เพราะไม่สามารถแสดงให้เห็นว่าปฏิบัติตามหลักความชอบด้วยกฎหมาย ความเป็นธรรม และความโปร่งใส ในส่วนของ Location Accuracy
• หน้าที่ด้านความโปร่งใสของทั้งสามฟีเจอร์
• การเก็บรักษาข้อมูลตำแหน่งใน Web & App Activity และ Location History

DPC กำหนดค่าปรับทางปกครองรวม 403 ล้านยูโร และสั่งให้ Google ปรับการประมวลผลให้สอดคล้องภายในหกเดือน และบอกว่าจะเผยแพร่คำวินิจฉัยฉบับเต็มในเวลาต่อไป

ผลการวินิจฉัยแยกตามฟีเจอร์

ข้อค้นพบทั้งสี่ข้อไม่ได้กระจายเท่ากันทั้งสามฟีเจอร์ ตารางนี้แสดงว่าข้อค้นพบใดใช้กับฟีเจอร์ใด ตามที่ระบุในแถลงการณ์ของ DPC

ข้อค้นพบเรื่อง Location Accuracy แคบกว่าข้ออื่น DPC ไม่ได้วินิจฉัยว่าการประมวลผลผิดกฎหมาย แต่พบว่า Google ไม่สามารถแสดงให้เห็นว่าการประมวลผลชอบด้วยกฎหมาย เป็นธรรม และโปร่งใส ซึ่งถือเป็นการละเมิดหลัก accountability ของ GDPR ในตัวเอง เพราะหลักนี้กำหนดให้ภาระการพิสูจน์อยู่ที่บริษัท

แต่ละฟีเจอร์ทำอะไร

ส่วนข้อมูลพื้นหลังของ DPC อธิบายฟีเจอร์ทั้งสามไว้อย่างเข้าใจง่าย

Web & App Activity เป็นการตั้งค่าของบัญชี Google ใช้ได้เฉพาะผู้มีบัญชี เมื่อเปิดไว้ Google จะใช้ประมวลผลข้อมูลกิจกรรมของผู้ใช้บนบริการของ Google รวมถึงเว็บไซต์และแอป ซึ่งอาจรวมประวัติการท่องเว็บ ประวัติการค้นหา และข้อมูลตำแหน่ง

Location History ผู้ใช้ต้องเลือกเปิดเอง เมื่อเปิดแล้วระบบจะติดตามตำแหน่งขณะที่ผู้ใช้พกอุปกรณ์มือถือที่รองรับ และอนุมานสถานที่ที่ไป กิจกรรม และเส้นทางระหว่างสถานที่ ฟีเจอร์นี้ขับเคลื่อน Timeline ที่แสดงแผนที่ส่วนตัวใน Google Maps DPC ระบุว่าระบบบันทึกแผนที่นี้ไว้แม้ในเวลาที่ผู้ใช้ไม่ได้ใช้บริการใดของ Google อยู่

Location Accuracy เป็นส่วนหนึ่งของระบบปฏิบัติการ Android ไม่ใช่การตั้งค่าของบัญชี Google ช่วยให้อุปกรณ์ระบุตำแหน่งได้แม่นยำกว่าการใช้ GPS อย่างเดียว DPC ระบุว่าผู้ใช้ Android ใช้ฟีเจอร์นี้ได้ไม่ว่าจะมีบัญชี Google หรือไม่ ข้อค้นพบนี้จึงครอบคลุมคนที่อยู่นอกกลุ่มผู้ถือบัญชีด้วย

ทำไมหน่วยงานกำกับพูดถึงโฆษณา

ถ้อยแถลงของรองกรรมการ Graham Doyle คือส่วนที่เกี่ยวข้องกับนักการตลาดมากที่สุด เขาบอกว่าข้อมูลตำแหน่งสามารถเปิดเผยข้อมูลเกี่ยวกับบุคคลได้มาก รวมถึงข้อมูลที่เป็นเรื่องส่วนตัวโดยธรรมชาติ และเพราะความบกพร่องของ Google ผู้ใช้อาจไม่รู้ว่าตำแหน่งของตัวเองถูกใช้เพื่อชักจูงด้วยโฆษณาหรือเพื่ออนุมานความสนใจ และอาจสูญเสียการควบคุมข้อมูลส่วนบุคคล เขาเสริมว่าการเก็บข้อมูลตำแหน่งไว้นานเกินจำเป็นทำให้การสูญเสียการควบคุมนั้นรุนแรงขึ้น

มีสองประเด็นที่ตามมา หน่วยงานกำกับมองว่าการอนุมานความสนใจจากตำแหน่งเป็นการใช้งานที่ต้องแจ้งผู้ใช้อย่างชัดเจน และมองว่าการเก็บข้อมูลไว้นานทำให้ความเสียหายหนักขึ้น ไม่ใช่แค่ทางเลือกด้านการจัดเก็บที่เป็นกลาง แถลงการณ์ไม่ได้เอ่ยชื่อผลิตภัณฑ์โฆษณาใดของ Google และไม่ได้บอกว่าคำวินิจฉัยเปลี่ยนวิธีการทำงานของการกำหนดเป้าหมายหรือการวัดผลโฆษณาของ Google ในปัจจุบัน

Doyle ยังให้นิยามข้อมูลตำแหน่งที่กว้างกว่าพิกัด GPS โดยบอกว่าข้อมูลตำแหน่งคือข้อมูลส่วนบุคคลที่ถูกประมวลผลผ่านการติดตามตำแหน่ง รวมถึงข้อมูลที่เมื่ออยู่ลำพังหรือเมื่อรวมกับข้อมูลอื่นแล้วสามารถอนุมานตำแหน่งของบุคคลได้ สำหรับนักการตลาด ถ้อยคำนี้สำคัญ เพราะสัญญาณที่เผยตำแหน่งได้ก็ต่อเมื่อนำไปรวมกับข้อมูลอื่น เช่น ตัวระบุที่ชี้ไปยังสถานที่ได้ก็ต่อเมื่อนำไปจับคู่กับข้อมูลอื่น ก็อยู่ภายใต้นิยามเดียวกับพิกัด GPS ที่แม่นยำ

Google ว่าอย่างไร

แถลงการณ์ของ DPC ไม่มีคำตอบจาก Google PPC Land ซึ่งอ้างอิง Irish Examiner และ Yahoo Finance รายงานว่าโฆษกของ Google กล่าวว่าคดีนี้เกี่ยวกับนโยบายในอดีตที่อัปเดตไปแล้ว และบริษัทได้เปลี่ยนแนวปฏิบัติอย่างมากตั้งแต่ปี 2562 เป็นต้นมา รวมถึงการตั้งค่าลบข้อมูลบัญชีอัตโนมัติ และการเก็บข้อมูล Timeline ไว้บนอุปกรณ์ Google ยังไม่ได้บอกต่อสาธารณะว่าจะอุทธรณ์หรือไม่

ช่วงเวลาที่ถูกไต่สวนบางส่วน คือปี 2562 ถึงกุมภาพันธ์ 2563 ทับซ้อนกับช่วงที่ Google บอกว่าเริ่มเปลี่ยนแปลง แถลงการณ์ของ DPC ไม่ได้บอกว่าได้ประเมินเวอร์ชันปัจจุบันของทั้งสามฟีเจอร์หรือไม่ และการปฏิบัติตามภายในหกเดือนจะต้องทำอะไรกับผลิตภัณฑ์ที่ Google บอกว่าปรับไปแล้ว คำวินิจฉัยฉบับเต็มน่าจะเป็นเอกสารที่ตอบคำถามนี้ได้

สิ่งที่ประกาศยังเปิดไว้

• ค่าปรับ 403 ล้านยูโรแบ่งอย่างไรระหว่างการละเมิดทั้งสี่ข้อ แถลงการณ์ให้แค่ยอดรวม
• คำวินิจฉัยอ้างมาตราใดของ GDPR
• ระยะหกเดือนเริ่มนับจากวันที่ 21 กันยายน 2569 หรือจากวันที่แจ้งอย่างเป็นทางการ
• หน่วยงานกำกับอื่นในสหภาพยุโรปคัดค้านระหว่างกระบวนการความร่วมมือหรือไม่ DPC ขอบคุณหน่วยงานพันธมิตรที่ให้ความร่วมมือ แต่ไม่ได้ให้รายละเอียดเพิ่ม

ความหมายสำหรับนักการตลาดไทย

GDPR ไม่ได้ใช้กับธุรกิจไทยที่ให้บริการเฉพาะลูกค้าในไทย และค่าปรับนี้ไม่ได้เปลี่ยนอะไรในบัญชี Google Ads หรือ Google Analytics ในไทย แต่เหตุผลของคำวินิจฉัยยังใช้ได้ เพราะ PDPA ของไทยตั้งอยู่บนหลักการที่คล้ายกัน คือต้องมีฐานทางกฎหมายในการประมวลผล ต้องแจ้งเจ้าของข้อมูลอย่างชัดเจน และต้องเก็บข้อมูลไม่นานเกินจำเป็น

แบรนด์ที่เก็บข้อมูลตำแหน่งเอง ไม่ว่าจะผ่านแอป โปรแกรมสะสมแต้ม การเช็กอินที่ร้าน หรือการขอสิทธิ์ตำแหน่งบนเว็บไซต์ ใช้คำวินิจฉัยนี้เป็นเช็กลิสต์ได้

1. คุณแสดงเป็นลายลักษณ์อักษรได้ไหมว่าการใช้ข้อมูลตำแหน่งแต่ละแบบมีฐานทางกฎหมายอะไร รวมถึงการใช้เพื่อกำหนดเป้าหมายโฆษณาหรือแบ่งกลุ่มความสนใจ ข้อค้นพบเรื่อง Location Accuracy เกิดจากการแสดงการปฏิบัติตามไม่ได้ ไม่ใช่แค่เรื่องสิ่งที่ทำ
2. ประกาศความเป็นส่วนตัวของคุณบอกชัดไหมว่าตำแหน่งอาจถูกใช้เพื่อโฆษณาหรือเพื่ออนุมานความสนใจ ความกังวลของ DPC คือผู้ใช้อาจไม่รู้
3. คุณเก็บข้อมูลตำแหน่งดิบไว้นานเท่าไร และมีเหตุผลที่บันทึกไว้สำหรับระยะเวลานั้นหรือไม่ การเก็บรักษาข้อมูลเป็นหนึ่งในสี่ข้อค้นพบ
4. ถ้าคุณส่งกลุ่มเป้าหมายหรือ conversion ที่มาจากข้อมูลตำแหน่งไปยังแพลตฟอร์มโฆษณา การส่งข้อมูลเหล่านั้นครอบคลุมอยู่ในบันทึกความยินยอมของคุณหรือไม่

การกำหนดเป้าหมายตามตำแหน่งและการวัดการเข้าร้านยังใช้ได้ในผลิตภัณฑ์โฆษณาของ Google ในไทย คำวินิจฉัยนี้เป็นการเตือนว่าข้อมูลเบื้องหลังอยู่ภายใต้กฎหมายความเป็นส่วนตัว และหน่วยงานกำกับดูว่าผู้ใช้ได้รับแจ้งชัดเจนแค่ไหน การทบทวนว่า GA4 และระบบติดตามผล ของคุณเก็บข้อมูลอะไร และข้อมูลนั้นป้อนเข้า แคมเปญ Google Ads อย่างไร เป็นจุดเริ่มต้นที่เหมาะสม

คำถามที่พบบ่อย

ทำไม Google ถูกปรับ 403 ล้านยูโร

DPC ของไอร์แลนด์พบว่า Google ละเมิด GDPR ในวิธีที่ฟีเจอร์สามตัว คือ Web & App Activity, Location History และ Location Accuracy ประมวลผล อธิบาย และเก็บรักษาข้อมูลตำแหน่งระหว่างพฤษภาคม 2561 ถึงกุมภาพันธ์ 2563 และประกาศค่าปรับเมื่อ 21 กันยายน 2569

ค่าปรับนี้กระทบผู้ลงโฆษณาในไทยไหม

ไม่กระทบโดยตรง คำวินิจฉัยใช้กับ Google Ireland ภายใต้กฎหมายสหภาพยุโรป และไม่ได้เปลี่ยนฟีเจอร์ของ Google Ads หรือ Analytics ในไทย แต่หลักที่บังคับใช้ คือการแจ้งอย่างชัดเจนและการจำกัดระยะเวลาเก็บข้อมูล ทับซ้อนกับ PDPA ของไทย

Google ต้องเปลี่ยนอะไรบ้าง

DPC สั่งให้ Google ปรับการประมวลผลให้สอดคล้องภายในหกเดือน แต่ไม่ได้เผยแพร่รายละเอียดการเปลี่ยนแปลงที่ต้องทำ และบอกว่าจะออกคำวินิจฉัยฉบับเต็มในเวลาต่อไป

Google จะอุทธรณ์ไหม

Google ยังไม่ได้บอกต่อสาธารณะ PPC Land ซึ่งอ้างอิง Irish Examiner รายงานว่าโฆษกบอกว่าคดีนี้เกี่ยวกับนโยบายในอดีตที่อัปเดตไปแล้ว

DPC บอกว่าห้ามใช้ข้อมูลตำแหน่งเพื่อโฆษณาหรือเปล่า

ไม่ได้บอกเช่นนั้น DPC บอกว่าผู้ใช้อาจไม่รู้ว่าตำแหน่งของตัวเองถูกใช้เพื่อชักจูงด้วยโฆษณาหรืออนุมานความสนใจ ปัญหาที่ระบุคือความชอบด้วยกฎหมาย ความโปร่งใส และการเก็บรักษาข้อมูล ไม่ใช่การใช้เพื่อโฆษณาในตัวมันเอง

ตัวเลข 403 ล้านยูโรจะได้รับความสนใจมากที่สุด แต่ส่วนที่มีประโยชน์กว่าสำหรับนักการตลาดคือประโยคของหน่วยงานกำกับเอง ข้อมูลตำแหน่งที่ใช้เพื่อโฆษณาและการอนุมานความสนใจต้องอธิบายให้ชัด และเก็บไว้เท่าที่จำเป็นเท่านั้น หลักเดียวกันนี้ใช้กับทุกธุรกิจที่เก็บข้อมูลตำแหน่ง ทั้งในยุโรปและในไทย ธุรกิจไทยที่เตรียมเอกสารฐานทางกฎหมาย ประกาศความเป็นส่วนตัว และนโยบายการเก็บรักษาข้อมูลตำแหน่งไว้ตั้งแต่วันนี้ จะพร้อมกว่าเมื่อหน่วยงานกำกับของไทยเริ่มตั้งคำถามแบบเดียวกัน