แอป connected car คือแอปมือถือที่เชื่อมกับรถยนต์ ใช้สั่งเปิดแอร์ ดูตำแหน่งรถ เช็กแบตเตอรี่ หรือนัดเข้าศูนย์ งานวิจัยล่าสุดพบว่าแอปแบบนี้เกือบทั้งหมดส่งข้อมูลออกไปให้บริษัทโฆษณาหรือวิเคราะห์ข้อมูลภายนอก บทความนี้เหมาะกับค่ายรถ ดีลเลอร์ บริษัทเช่ารถ บริษัทประกัน และเจ้าของรถ จะได้รู้ว่าเสี่ยงอะไรตาม PDPA และต้องตรวจอะไร
ลองนึกภาพคนที่เพิ่งออกรถ EV คันใหม่ ดาวน์โหลดแอปของค่ายรถตามที่เซลส์แนะนำ แล้วกดยอมรับทุกอย่างเพื่อให้สั่งเปิดแอร์จากในห้างได้ เขาไม่รู้เลยว่าแอป connected car นั้นอาจส่งเลขตัวถังคู่กับตำแหน่งของเขาออกไปให้บริษัทอื่น
สรุปสั้น: งานวิจัยของ Northeastern University และ Consumer Reports ที่ The Record รายงาน พบว่าค่ายรถใหญ่ 19 จาก 21 รายเก็บและแบ่งปันข้อมูลลูกค้า แอปรถเชื่อมต่อ 28 จาก 30 แอปส่งข้อมูลให้บริษัทโฆษณาหรือวิเคราะห์ข้อมูลภายนอก และ 7 แอปส่งข้อมูลที่ระบุตัวได้ ค่ายรถ ดีลเลอร์ และประกันในไทยควรตรวจว่า SDK ในแอปของตัวเองส่งอะไรออกไป แล้วเทียบกับ Privacy Notice และ RoPA
แอป connected car ส่งข้อมูลอะไรออกไป งานวิจัยพบอะไร
แอป connected car ส่วนใหญ่ส่งข้อมูลให้บริษัทโฆษณาหรือวิเคราะห์ข้อมูลภายนอก The Record รายงานเมื่อ 30 กันยายน 2569 ว่างานวิจัยศึกษาค่ายรถใหญ่ 21 ราย พบ 19 รายเก็บและแบ่งปันข้อมูลลูกค้า และตรวจแอป 30 แอป พบ 28 แอปส่งข้อมูลออกไปภายนอก
ในจำนวนนี้ 7 แอปส่งข้อมูลที่ระบุตัวบุคคลได้ เช่น ชื่อ อีเมล และตำแหน่งแม่นยำ ผู้รับข้อมูลรวมถึง Google/Alphabet, Amazon, Microsoft, Meta, Reddit และ Pinterest ส่วนค่ายที่ถูกระบุว่าส่งเลขตัวถัง (VIN) คู่กับตำแหน่งหรืออีเมล ได้แก่ GM, Honda, Nissan และ Lincoln
Honda ระบุว่าสั่งให้ผู้ให้บริการลบข้อมูลตำแหน่งและหยุดส่งให้บุคคลที่สามแล้ว ส่วน GM เคยถูกอัยการสูงสุดแคลิฟอร์เนียและ CPPA ปรับ 12 ล้านดอลลาร์เมื่อพฤษภาคม 2569
| ประเด็น | ข้อเท็จจริงตามข่าว |
|---|---|
| ผู้วิจัย | Northeastern University และ Consumer Reports (รายงานโดย The Record 30 ก.ย. 2569) |
| ค่ายรถ | 19 จาก 21 รายเก็บและแบ่งปันข้อมูลลูกค้า |
| แอป | 28 จาก 30 แอปส่งข้อมูลให้บริษัทโฆษณา/วิเคราะห์ข้อมูล · 7 แอปส่งข้อมูลระบุตัวได้ |
| ผู้รับข้อมูล | Google/Alphabet, Amazon, Microsoft, Meta, Reddit, Pinterest |
| ส่ง VIN คู่ตำแหน่ง/อีเมล | GM, Honda, Nissan, Lincoln |
| ความเคลื่อนไหว | Honda สั่งลบข้อมูลตำแหน่ง · GM เคยถูกปรับ 12 ล้านดอลลาร์ (พ.ค. 2569) |
แอป connected car กระทบธุรกิจไทยอย่างไร
แอป connected car กระทบธุรกิจไทยเพราะค่ายรถหลายรายที่ถูกระบุชื่อทำตลาดในไทย และรถ EV รุ่นใหม่ในไทยมักมาพร้อมแอปเชื่อมต่อ งานวิจัยนี้ทำในสหรัฐฯ จึงยังไม่ได้บอกว่าแอปเวอร์ชันไทยส่งข้อมูลแบบเดียวกันหรือไม่ ส่วนนี้เป็นการวิเคราะห์ของผู้เขียน
ส่งเลขตัวถังคู่ตำแหน่งให้บริษัทโฆษณา ผิด PDPA ไหม
การส่งเลขตัวถังคู่ตำแหน่งให้บริษัทโฆษณาไม่ได้ผิดเสมอไป แต่ต้องมีฐานทางกฎหมายรองรับ และต้องแจ้งไว้ใน Privacy Notice ตาม PDPA มาตรา 23 เลขตัวถังเมื่อจับคู่กับตำแหน่งหรืออีเมลชี้ตัวเจ้าของรถได้ จึงเป็นข้อมูลส่วนบุคคล การส่งเพื่อโฆษณามักต้องพึ่งความยินยอมตามมาตรา 19 เพราะยากจะอ้างว่าเจ้าของรถคาดหมายได้
ข้อมูลไปเซิร์ฟเวอร์ต่างประเทศต้องทำอะไรเพิ่ม
ถ้าข้อมูลจากแอปถูกส่งไปเซิร์ฟเวอร์ต่างประเทศ ค่ายรถหรือผู้ให้บริการต้องเข้าเงื่อนไขการส่งข้อมูลข้ามแดนตาม PDPA มาตรา 28–29 ผู้รับข้อมูลในงานวิจัยล้วนเป็นบริษัทเทคระดับโลก โอกาสที่ข้อมูลจะออกนอกประเทศจึงสูง
ดีลเลอร์ บริษัทเช่ารถ และประกันต้องระวังอะไร
ดีลเลอร์ บริษัทเช่ารถ และบริษัทประกันแบบคิดเบี้ยตามการใช้งาน (usage-based) ที่ใช้ข้อมูลรถในไทย ต้องรู้ว่าข้อมูลที่ได้มาจากแอปผ่านมือใครมาบ้าง ถ้าแอปของตัวเองฝัง SDK โฆษณาไว้ ข้อมูลการขับขี่ของลูกค้าอาจรั่วออกไปทางนั้นโดยไม่มีใครตั้งใจ ประเด็นข้อมูลของธุรกิจเช่ารถเคยเกิดมาแล้วใน Times Car ข้อมูลรั่ว 6.6 ล้านบัญชี ใบขับขี่และเอกสารยืนยันตัวตนหลุด แอปเช่ารถและคาร์แชร์ไทยต้องเรียนรู้อะไร
ทำไมอ่านนโยบายอย่างเดียวไม่พอ
อ่านนโยบายอย่างเดียวไม่พอ เพราะ SDK โฆษณาและ analytics ที่ฝังในแอปมักส่งข้อมูลออกไปโดยฝ่ายกฎหมายไม่รู้ การตรวจทราฟฟิกที่แอปส่งออกจริงจึงเป็นหลักฐานที่สำคัญกว่า ถ้า Privacy Notice เขียนอย่างหนึ่ง แต่แอปส่งอีกอย่าง ความเสี่ยงจะหนักกว่าการไม่เขียนเสียอีก ดูตัวอย่างได้ที่ คณะลูกขุนนิวเม็กซิโกชี้ Meta ละเมิดกฎหมาย 44 ล้านครั้ง เพราะ Privacy Notice เขียนเกินจริง ธุรกิจไทยต้องเช็กนโยบายความเป็นส่วนตัวของตัวเอง
ถ้าไม่ทำอะไรเลย จะเสี่ยงอะไร
ถ้าค่ายรถและผู้ให้บริการไม่ตรวจแอป connected car ของตัวเอง ความเสี่ยงแรกคือส่งข้อมูลลูกค้าออกไปโดยไม่มีฐานทางกฎหมายและไม่ได้แจ้ง ซึ่งขัดกับหน้าที่ตาม PDPA ความเสี่ยงที่สองคือ RoPA ไม่ตรงกับความจริง เพราะไม่มีรายชื่อผู้รับข้อมูลที่ SDK ส่งไป ความเสี่ยงที่สามคือชื่อเสียง เพราะข่าว “รถขายข้อมูลเจ้าของ” ทำลายความเชื่อใจได้เร็วกว่าโฆษณาทุกตัว
ค่ายรถ ดีลเลอร์ และประกันในไทยควรทำอะไรตอนนี้
ค่ายรถ ดีลเลอร์ และประกันในไทยควรเริ่มจากดูว่าแอป connected car ของตัวเองส่งอะไรออกไปจริง แล้วค่อยแก้เอกสาร งานนี้ทำคู่กับทีมพัฒนาแอปได้ภายในไม่กี่สัปดาห์
- 1. ทำ SDK และ traffic audit ของแอปมือถือ ให้ทีมเทคนิคดักดูว่าแอปส่งข้อมูลอะไรไปที่ไหนบ้าง ทั้ง iOS และ Android
- 2. เทียบผลกับ Privacy Notice ตรวจว่าทุกผู้รับข้อมูลและทุกประเภทข้อมูลที่ส่งจริง ถูกแจ้งไว้แล้ว
- 3. อัปเดตรายชื่อผู้รับข้อมูลใน RoPA ใส่บริษัทโฆษณาและ analytics ที่ SDK ส่งข้อมูลไปให้ตามความเป็นจริง
- 4. แยกเลขตัวถังออกจากตำแหน่งและอีเมล ก่อนส่งให้บุคคลภายนอก หรือหยุดส่งถ้าไม่มีฐานทางกฎหมายรองรับ
- 5. ตรวจเรื่องส่งข้อมูลข้ามแดน ดูว่าเซิร์ฟเวอร์ของผู้รับข้อมูลอยู่ประเทศไหน และเข้าเงื่อนไขตาม PDPA หรือไม่
ถ้าต้องการคนช่วยตรวจแอปและเอกสาร PDPA ดูรายละเอียดได้ที่ บริการ AI Governance และ PDPA ของ Kooru และอ่านประเด็นอื่นได้ที่ หมวด PDPA & Privacy
มุมมองผู้เชี่ยวชาญ
เวลาทำ PDPA audit ให้ธุรกิจที่มีแอป สิ่งที่เจอบ่อยคือฝ่ายกฎหมายเขียน Privacy Notice จากสิ่งที่ฝ่ายการตลาดเล่า ไม่ใช่จากสิ่งที่แอปส่งออกจริง วันนี้รถไม่ได้แค่พาเราไปไหน แต่จดไว้ด้วยว่าเราไปไหน แล้วเล่าให้คนอื่นฟังต่อ ผมแนะนำให้ค่ายรถและดีลเลอร์ไทยตรวจแอปตัวเองก่อนลูกค้าหรือหน่วยงานจะเป็นคนตรวจให้
— Phuwara Krobtaku —
LL.M. (IP & IT) | M.S. (IT) | Thai Barrister & Attorney-at-Law
คำถามที่พบบ่อยเกี่ยวกับแอป connected car
แอป connected car ส่งข้อมูลให้ใครบ้าง
งานวิจัยของ Northeastern University และ Consumer Reports พบว่า 28 จาก 30 แอปส่งข้อมูลให้บริษัทโฆษณาหรือวิเคราะห์ข้อมูลภายนอก ผู้รับรวมถึง Google/Alphabet, Amazon, Microsoft, Meta, Reddit และ Pinterest
เลขตัวถังรถ (VIN) เป็นข้อมูลส่วนบุคคลไหม
เลขตัวถังที่จับคู่กับชื่อ อีเมล หรือตำแหน่งได้ ชี้ตัวเจ้าของรถได้ จึงควรนับเป็นข้อมูลส่วนบุคคลตาม PDPA การส่งให้บุคคลภายนอกต้องมีฐานทางกฎหมายและต้องแจ้งเจ้าของข้อมูล
ค่ายรถไหนถูกระบุว่าส่ง VIN คู่กับตำแหน่ง
ตามรายงานของ The Record ค่ายที่ถูกระบุว่าส่งเลขตัวถังคู่กับตำแหน่งหรืออีเมล ได้แก่ GM, Honda, Nissan และ Lincoln Honda ระบุว่าสั่งผู้ให้บริการลบข้อมูลตำแหน่งและหยุดส่งให้บุคคลที่สามแล้ว
เจ้าของรถในไทยทำอะไรได้บ้าง
เจ้าของรถในไทยอ่านหน้าขอสิทธิ์ของแอปให้ละเอียด ปิดสิทธิ์ตำแหน่งที่ไม่จำเป็น และใช้สิทธิ์ตาม PDPA ขอดูหรือขอสำเนาข้อมูลจากค่ายรถหรือดีลเลอร์ได้ ถ้าสงสัยว่าข้อมูลถูกส่งต่อไปที่ไหน
แหล่งอ้างอิง
- The Record (อ้างงานวิจัย Northeastern University และ Consumer Reports) — (อ่านต้นฉบับ) — อ่านรายงานที่ The Record
อ่านหลักการคัดเลือกและตรวจสอบข่าวของเราได้ที่ นโยบายบรรณาธิการ
บทความนี้เป็นการสรุปข่าวและให้ข้อมูลทั่วไป ไม่ใช่คำแนะนำทางกฎหมาย หากต้องการคำปรึกษาเฉพาะกรณีของธุรกิจคุณ ควรปรึกษาผู้เชี่ยวชาญ
