BBVA ค่าปรับ คือคำสั่งที่หน่วยงานคุ้มครองข้อมูลอิตาลี (Garante) ปรับ BBVA Italia 5,508,000 ยูโร เพราะลูกค้ารายหนึ่งปิดรับข้อความการตลาดแล้ว แต่ระบบของธนาคารยังส่งโปรโมชันต่อราว 7 เดือน บทความนี้เหมาะกับทีมการตลาด ทีมไอที และ DPO ของธนาคาร ประกัน และค้าปลีกไทย อ่านแล้วจะรู้ว่าต้องทดสอบ opt-out อย่างไร
ลองนึกภาพลูกค้าบัตรเครดิตคนหนึ่ง (ตัวอย่างสมมติ) กดปิดรับโปรโมชันในแอป แล้วโทรไปย้ำกับคอลเซ็นเตอร์ แต่ SMS และข้อความ LINE ยังเด้งเข้ามาทุกสัปดาห์ เพราะระบบส่งข้อความไม่รู้เรื่อง เรื่องแบบนี้เกิดขึ้นจริงกับ BBVA ในอิตาลี และจบด้วยค่าปรับหลักล้านยูโรจากเรื่องร้องเรียนของลูกค้าเพียงคนเดียว
สรุปสั้น: Garante อิตาลีปรับ BBVA Italia 5,508,000 ยูโร เพราะลูกค้าปิดรับข้อความการตลาดแล้วแต่ยังได้รับโปรโมชันราว 7 เดือน ธนาคารอ้างว่าระบบไม่ซิงก์กัน แต่ Garante ชี้ว่าความผิดพลาดทางเทคนิคไม่ทำให้พ้นความรับผิด องค์กรไทยต้องพิสูจน์ได้ว่าคำขอ opt-out ไหลไปถึงทุกระบบ เพราะ PDPA ให้สิทธิคัดค้านการตลาดแบบตรงเช่นกัน
BBVA ค่าปรับเท่าไร และเกิดอะไรขึ้น
BBVA ค่าปรับ 5,508,000 ยูโร Garante สั่งปรับ BBVA Italia หลังลูกค้ารายหนึ่งปิดรับข้อความการตลาดในแอปและแจ้งซ้ำกับคอลเซ็นเตอร์ แต่ยังได้รับโปรโมชันต่อราว 7 เดือน ตั้งแต่ตุลาคม 2568 ถึงพฤษภาคม 2569 (ค.ศ. 2025–2026) สื่ออิตาลี Teleborsa รายงานเรื่องนี้เมื่อ 11 กันยายน 2569
ธนาคารอ้างว่าเป็นความผิดพลาดทางเทคนิค เพราะระบบภายในไม่ซิงก์กับแพลตฟอร์มส่งข้อความการตลาด Garante ไม่รับข้ออ้างนี้ และสั่งให้ธนาคารปรับมาตรการทางเทคนิคและเชิงองค์กรในการรับคำขอใช้สิทธิ คณะกรรมการคุ้มครองข้อมูลยุโรป (EDPB) นำข่าวขึ้นหน้า National News เมื่อ 9 ตุลาคม 2569
| ประเด็น | ข้อเท็จจริงตามรายงาน |
|---|---|
| ผู้สั่งปรับ / ผู้ถูกปรับ | Garante อิตาลี / BBVA Italia |
| ค่าปรับ | 5,508,000 ยูโร |
| ระยะเวลาที่ยังส่งโปรโมชัน | ราว 7 เดือน (ต.ค. 2568 – พ.ค. 2569) |
| ข้ออ้างของธนาคาร | ระบบภายในไม่ซิงก์กับแพลตฟอร์มส่งข้อความ |
| ฐานกฎหมายที่สื่ออิตาลีอ้าง | GDPR มาตรา 5, 12, 21 และ 24 |
สาระที่ Garante เน้นคือ แค่ระบบบันทึกคำว่า “ไม่” ของลูกค้ายังไม่พอ ถ้าองค์กรรับประกันไม่ได้ว่าคำปฏิเสธนั้นถูกปฏิบัติจริง สื่ออิตาลีบางสำนักอ้างเลขคำสั่งและวันที่ของคำสั่งไว้ด้วย แต่ผู้เขียนยังไม่ได้ตรวจจากต้นฉบับ จึงไม่ได้ใส่ไว้ในบทความนี้
BBVA ค่าปรับ กระทบธุรกิจไทยอย่างไร
BBVA ค่าปรับ กระทบธุรกิจไทยโดยตรงในเชิงหลักการ เพราะ พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 (PDPA) มาตรา 32 ให้เจ้าของข้อมูลมีสิทธิคัดค้านการประมวลผลเพื่อการตลาดแบบตรง ส่วนนี้เป็นการวิเคราะห์ของผู้เขียน
ลูกค้าขอเลิกรับโฆษณาแล้ว บริษัทไทยต้องหยุดส่งทุกช่องทางไหม
ต้องหยุด สิทธิคัดค้านการตลาดแบบตรงตามมาตรา 32 ของ PDPA เป็นสิทธิของลูกค้า ไม่ได้ผูกกับช่องทางที่ลูกค้าใช้แจ้ง ถ้าลูกค้าแจ้งผ่านคอลเซ็นเตอร์ แต่ระบบส่ง SMS หรือ LINE OA ไม่รู้ องค์กรก็ยังส่งข้อความที่ลูกค้าปฏิเสธแล้ว
ธนาคาร ประกัน และค้าปลีกไทยเสี่ยงแบบ BBVA แค่ไหน
เสี่ยงสูง เพราะองค์กรเหล่านี้มักใช้หลายระบบพร้อมกัน ทั้งแอป CRM คอลเซ็นเตอร์ และแพลตฟอร์มส่ง SMS หรือ LINE OA ที่จ้างผู้ให้บริการภายนอก ถ้าคำขอ opt-out ไม่ไหลไปถึงทุกระบบ ปัญหาจะเกิดซ้ำเหมือน BBVA
จุดที่องค์กรมักพลาดคือ ทีมการตลาดอัปโหลดรายชื่อลูกค้าชุดเก่าเข้าแพลตฟอร์มส่งข้อความเอง โดยไม่ดึงสถานะ opt-out ล่าสุดจาก CRM
ความผิดพลาดของระบบใช้เป็นข้ออ้างได้ไหม
ตามแนวของ Garante ใช้ไม่ได้ เพราะ Garante มองว่าความผิดพลาดทางเทคนิคไม่ทำให้พ้นความรับผิด เรื่องร้องเรียนจากลูกค้าคนเดียวจึงกลายเป็นค่าปรับหลักล้านยูโร เพราะหน่วยงานมองว่าเป็นความล้มเหลวเชิงระบบ ไม่ใช่ความผิดพลาดรายครั้ง วิธีคิดค่าปรับฝั่งยุโรปสรุปไว้ใน ค่าปรับ GDPR มีสูตรคำนวณแล้ว: 5 ขั้นที่ธุรกิจไทยควรรู้ก่อนเจอ PDPA
ถ้าไม่ทดสอบ opt-out ทุกระบบ จะเสี่ยงอะไร
บทเรียนจาก BBVA ค่าปรับ คือถ้าไม่ทดสอบ องค์กรไทยเสี่ยง 3 เรื่อง อย่างแรก ลูกค้าร้องเรียนต่อ สคส. ได้ทันทีด้วยหลักฐานในมือถือของตัวเอง อย่างที่สอง ถ้าร้องเรียนแล้วพบว่าปัญหาอยู่ที่ระบบ ลูกค้าคนอื่นอาจเจอแบบเดียวกัน ความเสียหายจึงไม่ได้หยุดที่คนเดียว อย่างที่สาม องค์กรจะไม่มีเอกสารยืนยันว่าเคยตรวจระบบมาก่อน
เรื่องนี้ไม่ไกลตัว ตัวอย่างการตั้งค่าที่เปิดไว้โดยปริยายจนเจ้าของร้านต้องปิดเองอ่านได้ใน Shopify เปิดร้านเข้าช่องขาย AI ทุกช่องโดยปริยาย รวม Meta Muse ร้านต้องปิดเองถ้าไม่ต้องการ เจ้าของร้านไทยต้องตั้งค่าอะไรและแจ้งลูกค้าอย่างไร และภาพรวมความเสี่ยงดูได้ใน PDPA ไทย 2026 เข้มขึ้น: 5 สัญญาณที่ธุรกิจเสี่ยงถูกปรับ
ทีมการตลาดและไอทีไทยควรทำอะไรตอนนี้
เพื่อไม่ให้ซ้ำรอย BBVA ค่าปรับ ทีมการตลาดและไอทีไทยควรทำ 4 เรื่อง เพื่อพิสูจน์ได้ว่าคำว่า “ไม่” ของลูกค้าถูกปฏิบัติจริงทุกระบบ
- 1. ทำแผนผังการไหลของ opt-out ระบุช่องทางรับคำขอทั้งหมด และระบบส่งข้อความทุกระบบที่ต้องได้รับสถานะใหม่
- 2. กำหนดเวลาอัปเดตให้ชัด ตั้งเป้าว่าคำขอจากทุกช่องทางต้องไปถึงทุกระบบภายในกี่ชั่วโมง แล้วเขียนเป็นขั้นตอนงาน
- 3. ทดสอบจริงเป็นระยะ ใช้บัญชีทดสอบกดเลิกรับจากแต่ละช่องทาง แล้วตรวจว่าข้อความหยุดจริง เก็บผลไว้เป็นหลักฐาน
- 4. คุมผู้ให้บริการส่งข้อความ ใส่ข้อสัญญาให้ผู้ให้บริการ SMS หรือแพลตฟอร์มภายนอกดึงรายชื่อเลิกรับล่าสุดก่อนส่งทุกครั้ง
ถ้าต้องการคนช่วยออกแบบขั้นตอนทดสอบ ดูได้ที่ บริการ AI Governance และ PDPA ของ Kooru
มุมมองผู้เชี่ยวชาญ
ข้อสังเกตเชิงวิชาชีพของผมคือ คดี BBVA เปลี่ยนคำถามจาก “มีปุ่มเลิกรับไหม” เป็น “ปุ่มนั้นทำงานจริงทุกระบบไหม” หน่วยงานกำกับไม่ได้ปรับเพราะลูกค้าเจอข้อความ 1 ฉบับ แต่ปรับเพราะระบบไม่ฟังลูกค้านานถึง 7 เดือน จุดที่องค์กรมักพลาดคือทดสอบตอนเปิดระบบครั้งเดียวแล้วไม่ทดสอบอีก ควรเช็กใหม่ทุกครั้งที่เพิ่มช่องทางหรือเปลี่ยนผู้ให้บริการส่งข้อความ
— Phuwara Krobtaku —
LL.M. (IP & IT) | M.S. (IT) | Thai Barrister & Attorney-at-Law
คำถามที่พบบ่อยเกี่ยวกับ BBVA ค่าปรับ
BBVA ถูกปรับเท่าไรและเพราะอะไร
BBVA Italia ถูก Garante อิตาลีปรับ 5,508,000 ยูโร เพราะลูกค้ารายหนึ่งปิดรับข้อความการตลาดในแอปและแจ้งซ้ำกับคอลเซ็นเตอร์ แต่ยังได้รับโปรโมชันต่อราว 7 เดือน
ธนาคารอ้างว่าระบบผิดพลาด ทำไมยังโดนปรับ
Garante ชี้ว่าความผิดพลาดทางเทคนิคไม่ทำให้พ้นความรับผิด แค่ระบบบันทึกคำปฏิเสธของลูกค้ายังไม่พอ องค์กรต้องรับประกันได้ว่าคำปฏิเสธถูกปฏิบัติจริง
PDPA ไทยมีสิทธิขอเลิกรับการตลาดแบบตรงไหม
มี มาตรา 32 ของ พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ให้เจ้าของข้อมูลมีสิทธิคัดค้านการประมวลผลเพื่อการตลาดแบบตรง องค์กรไทยจึงต้องหยุดส่งข้อความการตลาดเมื่อลูกค้าใช้สิทธินี้
องค์กรไทยควรทดสอบ opt-out บ่อยแค่ไหน
ไม่มีความถี่ตายตัวในข่าว แต่ควรทดสอบเป็นระยะและทุกครั้งที่เพิ่มช่องทางหรือเปลี่ยนระบบ พร้อมเก็บผลทดสอบไว้เป็นหลักฐานสำหรับการตรวจ PDPA
แหล่งอ้างอิง
- Teleborsa — (อ่านต้นฉบับ) — อ่านข่าวที่ Teleborsa
- EDPB — National News — อ่านข่าวที่ EDPB
บทความนี้เป็นการสรุปข่าวและให้ข้อมูลทั่วไป ไม่ใช่คำแนะนำทางกฎหมาย หากต้องการคำปรึกษาเฉพาะกรณีของธุรกิจคุณ ควรปรึกษาผู้เชี่ยวชาญ
