CNIL ปรับ Fnac คือคำวินิจฉัยของหน่วยงานคุ้มครองข้อมูลฝรั่งเศสเมื่อ 22 ตุลาคม 2569 (ค.ศ. 2026) ที่ปรับ Fnac สองบริษัทรวม 7 ล้านยูโร เพราะแอปยังส่งรหัสผู้ใช้และสินค้าที่ดูให้ระบบแนะนำสินค้าภายนอก แม้ผู้ใช้กด “ไม่ยอมรับ” แล้ว บทความนี้เหมาะกับเจ้าของแอปค้าปลีก อีคอมเมิร์ซ และเอเจนซีไทยที่ติดตั้ง SDK
ลองนึกภาพแอปร้านเครื่องใช้ไฟฟ้าไทยที่มีลูกค้า 2 แสนคน (ตัวอย่างสมมติ) แอปมีหน้าต่างถามความยินยอมสวยงาม ลูกค้ากด “ไม่ยอมรับ” แล้วรู้สึกปลอดภัย แต่ SDK แนะนำสินค้าที่ทีมการตลาดติดตั้งไว้ยังส่งรายการสินค้าที่ลูกค้าดูออกไปยังเซิร์ฟเวอร์ของผู้ขาย SDK ทุกครั้ง ทุกคนในบริษัทเข้าใจว่าระบบทำตามที่ลูกค้าเลือกแล้ว
สรุปสั้น: ตามสรุปของ PPC Land ที่อ้างคำวินิจฉัย CNIL SAN-2026-015 CNIL ปรับ Fnac รวม 7 ล้านยูโร เพราะ API ระบบแนะนำสินค้ายังทำงานหลังผู้ใช้ปฏิเสธ CNIL ชี้ว่าการแนะนำสินค้าเฉพาะบุคคลเป็นการตลาดเจาะกลุ่มที่ต้องขอความยินยอม แอปไทยควรทดสอบ traffic จริงหลังผู้ใช้กดปฏิเสธ และเช็ก SDK ทุกตัว
CNIL ปรับ Fnac คืออะไร เกิดอะไรขึ้น
CNIL ปรับ Fnac Darty Participations et Services 6 ล้านยูโร และ Fnac Direct 1 ล้านยูโร รวม 7 ล้านยูโร ตามมติวันที่ 22 ตุลาคม 2569 ข้อมูลนี้มาจากสรุปของ PPC Land ซึ่งอ้างคำวินิจฉัยเลขที่ SAN-2026-015 เรื่องเริ่มจากคำร้องของ noyb องค์กรด้านสิทธิความเป็นส่วนตัวในยุโรป
ต้นเหตุคือพฤติกรรมของแอปหลังผู้ใช้กด “Continue without accepting” API ของระบบแนะนำสินค้ายังอ่านและเขียนข้อมูลบนเครื่องผู้ใช้ และส่งรหัสผู้ใช้พร้อมข้อมูลสินค้าที่ดูไปยังโดเมนภายนอก CNIL มองว่าการแนะนำสินค้าเฉพาะบุคคลเป็นการตลาดแบบเจาะกลุ่ม จึงต้องได้รับความยินยอมก่อน
| ประเด็น | ข้อเท็จจริงตามรายงาน |
|---|---|
| วันที่ลงมติ | 22 ต.ค. 2569 (คำวินิจฉัย SAN-2026-015) |
| ค่าปรับ | Fnac Darty Participations et Services 6 ล้านยูโร + Fnac Direct 1 ล้านยูโร = 7 ล้านยูโร |
| สิ่งที่ผิด | API แนะนำสินค้ายังทำงานและส่งข้อมูลออกหลังผู้ใช้ปฏิเสธ |
| หลักที่ CNIL วาง | tracker ตัวเดียวที่ทำหลายวัตถุประสงค์ ต้องขอความยินยอมทั้งตัว |
| คำสั่งแก้ไข | แก้ภายใน 1 เดือน มิฉะนั้นปรับเพิ่มวันละ 10,000 ยูโร |
CNIL เคยปรับบริษัทด้วยประเด็นอื่นมาแล้ว เช่น CNIL ปรับ EXTIA 3 แสนยูโร: แค่ไม่ตอบคำขอลบข้อมูล แต่คดี Fnac ต่างตรงที่ปัญหาอยู่ในโค้ดของบุคคลที่สาม ไม่ใช่ขั้นตอนของคน
CNIL ปรับ Fnac กระทบธุรกิจไทยอย่างไร
CNIL ปรับ Fnac กระทบธุรกิจไทยในฐานะบทเรียนตรงตัว เพราะแอปไทยจำนวนมากใช้ SDK แนะนำสินค้าและ SDK โฆษณาแบบเดียวกัน และ PDPA ก็มีหลักความยินยอมสำหรับการตลาด ส่วนวิเคราะห์ด้านล่างเป็นความเห็นของผู้เขียน ไม่ใช่คำวินิจฉัยของหน่วยงานไทย
แอปค้าปลีกและอีคอมเมิร์ซไทย เสี่ยงตรงไหน
แอปค้าปลีกเสี่ยงที่จุดเดียวกับ Fnac คือ banner บอกว่าผู้ใช้ปฏิเสธแล้ว แต่ SDK ยังทำงาน ทีมมักทดสอบแค่ว่าหน้าต่างเด้งขึ้นถูกต้อง ไม่ได้ดูว่าข้อมูลไหลออกจากเครื่องหลังผู้ใช้กดปฏิเสธหรือไม่
ข้อสังเกตเชิงวิชาชีพคือ ปุ่ม “ไม่ยอมรับ” ไม่มีความหมาย ถ้า SDK ไม่ได้รับสัญญาณนั้น การแก้จึงต้องทำที่การตั้งค่า SDK และลำดับการโหลดโค้ด ไม่ใช่แก้ข้อความบน banner
เอเจนซีการตลาดที่ติดตั้ง SDK ให้ลูกค้า ต้องระวังอะไร
เอเจนซีที่ติดตั้ง SDK แนะนำสินค้าหรือ SDK โฆษณาให้แบรนด์ อาจกลายเป็นจุดที่ทำให้ลูกค้าผิดโดยไม่รู้ตัว ถ้าไม่ได้ตั้งให้ SDK รอความยินยอมก่อนทำงาน เรื่องนี้ควรตกลงกันให้ชัดตั้งแต่ตอนจ้าง ประเด็นที่สัญญาจ้างเอเจนซีควรครอบคลุมสรุปไว้ใน สัญญาจ้างทำการตลาดออนไลน์ ต้องมีอะไรบ้าง ซึ่งช่วยให้เพิ่มข้อกำหนดเรื่องความยินยอมและเครื่องมือติดตามได้ตรงจุด
ทีมกฎหมายกับทีมพัฒนาต้องทำงานร่วมกันอย่างไร
ทีมกฎหมายเขียนนโยบายความเป็นส่วนตัวได้ แต่พิสูจน์ไม่ได้ว่าแอปทำตาม ถ้าไม่มีทีมพัฒนาช่วยดู traffic จริง คดี Fnac แสดงว่าช่องโหว่อยู่ระหว่างสองทีม จึงควรมีรายการ SDK กลางที่ทั้งสองฝ่ายเซ็นรับรองร่วมกัน
ประเด็นฐานทางกฎหมายของการตลาดด้วยข้อมูลลูกค้าเคยวิเคราะห์ไว้ใน PDPA ไทยกับ AI: ทำไม Consent อย่างเดียวไม่พอ และธุรกิจควรเช็กอะไร
เทียบกับกฎหมายไทย: CNIL ปรับ Fnac ต่างจาก PDPA อย่างไร
PDPA ไทยไม่มีบทเฉพาะเรื่องคุกกี้หรือ SDK แบบกฎของฝรั่งเศส แต่หลักความยินยอมและฐานทางกฎหมายใช้กับกรณีแบบ Fnac ได้ ตารางนี้เทียบหลักของ CNIL กับ PDPA
| ประเด็น | คดี Fnac (ตามรายงาน) | PDPA ไทย |
|---|---|---|
| การแนะนำสินค้าเฉพาะบุคคล | เป็นการตลาดเจาะกลุ่ม ต้องขอความยินยอม | ม.19 ความยินยอม และ ม.24 ฐานทางกฎหมาย การทำ profiling เพื่อการตลาดมักต้องขอความยินยอม |
| tracker หลายวัตถุประสงค์ | ต้องขอความยินยอมทั้งตัว | ม.21 ใช้ข้อมูลตามวัตถุประสงค์ที่แจ้งไว้เท่านั้น |
| ข้อมูลส่งไปโดเมนภายนอก | ส่งรหัสผู้ใช้และสินค้าที่ดูให้บุคคลภายนอก | ม.23 ต้องแจ้งผู้ใช้ว่าข้อมูลถูกส่งให้ใคร |
| การควบคุมระบบ | API ยังทำงานหลังปฏิเสธ | ม.37(1) ต้องมีมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสม |
ช่องว่างของไทยคือแนวปฏิบัติเรื่องคุกกี้และ SDK ยังไม่ละเอียดเท่าฝรั่งเศส ธุรกิจจึงไม่ควรรอคำสั่งเฉพาะ เพราะหลัก ม.19 และ ม.21 ก็พอให้ สคส. ตั้งคำถามได้แล้ว
ถ้าไม่ทำอะไรเลย จะเสี่ยงอะไร
ถ้าไม่ทดสอบแอปหลังผู้ใช้กดปฏิเสธ ธุรกิจเสี่ยงประมวลผลข้อมูลโดยไม่มีฐานทางกฎหมายทุกครั้งที่มีคนเปิดแอป ความเสี่ยงสะสมตามจำนวนผู้ใช้ ไม่ใช่เหตุครั้งเดียว
ความเสี่ยงรองคือชื่อเสียงและข้อพิพาทกับผู้ขาย ถ้าผู้ใช้หรือองค์กรอย่าง noyb พบว่าปุ่มปฏิเสธไม่ทำงาน ความเชื่อมั่นจะหายเร็ว และถ้าสัญญากับผู้ขาย SDK ไม่ได้กำหนดหน้าที่ไว้ ธุรกิจจะเรียกร้องอะไรจากผู้ขายได้ยาก
แอปค้าปลีกและเอเจนซีไทยควรทำอะไรตอนนี้
แอปค้าปลีกและเอเจนซีไทยควรทำ 5 จุดนี้ เพื่อไม่ให้เกิดเหตุแบบ CNIL ปรับ Fnac ในแอปของตัวเอง โดยตั้งเป้าเสร็จภายใน 30 วันนับจากวันที่อ่าน ซึ่งเทียบเท่ากรอบ 1 เดือนที่ CNIL ให้ Fnac แก้ไข
- 1. ทีมพัฒนาทดสอบหลังกดปฏิเสธภายใน 7 วัน เปิดแอปบนเครื่องทดสอบ กด “ไม่ยอมรับ” แล้วดักดู traffic ว่ายังมีข้อมูลส่งไปโดเมนภายนอกหรือไม่
- 2. ทีมการตลาดทำรายชื่อ SDK ทุกตัวภายใน 14 วัน ระบุว่าแต่ละตัวทำอะไร ส่งข้อมูลอะไร และทำกี่วัตถุประสงค์
- 3. ตั้งให้ SDK รอความยินยอมก่อนทำงาน SDK แนะนำสินค้าและโฆษณาไม่ควรโหลดจนกว่าผู้ใช้กดยอมรับ
- 4. ฝ่ายกฎหมายเพิ่มข้อกำหนดในสัญญาผู้ขาย SDK ให้ผู้ขายรับรองว่าเคารพสัญญาณปฏิเสธ และแจ้งเมื่อเปลี่ยนการเก็บข้อมูล
- 5. DPO เพิ่มหัวข้อ “ทดสอบหลังกดปฏิเสธ” ลงใน PDPA audit checklist ทำซ้ำทุกครั้งที่อัปเดตแอปหรือเพิ่ม SDK ใหม่ แนวทางสำหรับทีมการตลาดอยู่ใน คู่มือ PDPA สำหรับนักการตลาดดิจิทัล
มุมมองผู้เชี่ยวชาญ
ข้อสังเกตเชิงวิชาชีพของผมคือ คดีนี้ย้ายจุดตรวจ PDPA จากหน้าจอไปที่สายเคเบิล ปุ่ม “ไม่ยอมรับ” ที่ไม่ได้ปิดอะไรเลย อันตรายกว่าไม่มีปุ่ม เพราะมันทำให้ทุกคนเชื่อว่าปลอดภัยแล้ว จุดที่องค์กรมักพลาดคือให้ฝ่ายกฎหมายตรวจ banner แต่ไม่มีใครตรวจ SDK ที่ทีมการตลาดติดตั้ง ควรให้ทีมกฎหมายกับทีมพัฒนาเซ็นรายการ SDK ร่วมกัน
— Phuwara Krobtaku —
LL.M. (IP & IT) | M.S. (IT) | Thai Barrister & Attorney-at-Law
ประวัติผู้เขียน · นโยบายบรรณาธิการ
คำถามที่พบบ่อยเกี่ยวกับ CNIL ปรับ Fnac
CNIL ปรับ Fnac เท่าไร และเพราะอะไร
CNIL ปรับรวม 7 ล้านยูโร แยกเป็น Fnac Darty Participations et Services 6 ล้านยูโร และ Fnac Direct 1 ล้านยูโร เพราะ API ระบบแนะนำสินค้าในแอปยังส่งข้อมูลออกหลังผู้ใช้กดไม่ยอมรับ ตามสรุปของ PPC Land
กดไม่ยอมรับคุกกี้แล้ว แอปยังเก็บข้อมูลได้ไหม
ตามหลักที่ CNIL วางในคดีนี้ ไม่ได้ ถ้าเป็นการแนะนำสินค้าเฉพาะบุคคลหรือการตลาดเจาะกลุ่ม เพราะต้องได้รับความยินยอมก่อน ในไทย PDPA มาตรา 19 และ 21 ก็ตั้งคำถามแบบเดียวกัน
ระบบแนะนำสินค้าต้องขอความยินยอมตาม PDPA หรือไม่
การทำ profiling เพื่อการตลาดมักต้องขอความยินยอมตาม PDPA มาตรา 19 ประกอบมาตรา 24 แต่ต้องดูวัตถุประสงค์และฐานทางกฎหมายของแต่ละระบบ ควรประเมินเป็นรายกรณี
ธุรกิจไทยควรเริ่มเช็กอะไรก่อน
เริ่มจากทดสอบ traffic จริงหลังกดปฏิเสธ แล้วทำรายชื่อ SDK ทุกตัว สองขั้นนี้บอกได้เร็วที่สุดว่าแอปมีปัญหาแบบ Fnac หรือไม่
แหล่งอ้างอิง
- PPC Land — CNIL fines Fnac €7m after its app tracked users who refused consent (สรุปคำวินิจฉัย CNIL SAN-2026-015) — อ่านต้นฉบับที่ PPC Land
บทความนี้เป็นการสรุปข่าวและให้ข้อมูลทั่วไป ไม่ใช่คำแนะนำทางกฎหมาย หากต้องการคำปรึกษาเฉพาะกรณีของธุรกิจคุณ ควรปรึกษาผู้เชี่ยวชาญ
