Coupang ค่าปรับ คือคำสั่งปรับรวมราว 6.24 แสนล้านวอน (ราว 461 ล้านดอลลาร์) ที่คณะกรรมการคุ้มครองข้อมูลส่วนบุคคลเกาหลี (PIPC) สั่งกับแพลตฟอร์มอีคอมเมิร์ซรายใหญ่ของเกาหลีใต้ จากเหตุข้อมูลรั่วและการติดตามผู้ใช้ข้ามเว็บ บทความนี้เหมาะกับเจ้าของร้านออนไลน์ ทีมไอที และ DPO ในไทย อ่านแล้วจะรู้ว่าต้องเช็กอะไรในระบบของตัวเอง
ลองนึกภาพร้านออนไลน์ไทยที่มีลูกค้าหลักแสนคน (ตัวอย่างสมมติ) วิศวกรคนหนึ่งลาออกไป แต่กุญแจที่ใช้ยืนยันตัวตนเข้าระบบยังใช้งานได้ตามเดิม เรื่องแบบนี้ฟังดูเล็ก แต่ PIPC ชี้ว่าการจัดการกุญแจและสิทธิเข้าถึงที่ไม่ได้มาตรฐานคือสาเหตุของเหตุรั่วที่กระทบคนราว 37.55 ล้านคน และ Coupang กำลังสู้คดีในศาล
สรุปสั้น: Coupang ยื่นฟ้อง 2 คดีต่อศาลปกครองกรุงโซลเมื่อ 7 ตุลาคม 2569 ขอเพิกถอนค่าปรับรวมราว 6.24 แสนล้านวอนจาก PIPC คดียังไม่มีคำพิพากษา ค่าปรับแยกเป็นกรณีข้อมูลรั่วกับกรณีติดตามพฤติกรรมผู้ใช้บนเว็บภายนอกโดยไม่ได้รับความยินยอม ร้านค้าออนไลน์ไทยควรเช็กการจัดการกุญแจระบบและพิกเซลติดตามตาม PDPA ทันที
Coupang ค่าปรับเท่าไร และเกิดอะไรขึ้นกับคดีนี้
Coupang ค่าปรับรวมราว 6.24 แสนล้านวอน แยกเป็น 2 ส่วน คือกรณีข้อมูลรั่วราว 423.6 พันล้านวอน และกรณีติดตามพฤติกรรมสมาชิกกว่า 10 ล้านคนบนเว็บภายนอกโดยไม่ได้รับความยินยอมราว 201.1 พันล้านวอน PIPC สั่งปรับเมื่อเดือนมิถุนายน 2569 สื่อเกาหลีรายงานตัวเลขต่างกันเล็กน้อย
เมื่อ 7 ตุลาคม 2569 (ค.ศ. 2026) Coupang ยื่นฟ้อง 2 คดีต่อศาลปกครองกรุงโซล ขอให้เพิกถอนคำสั่งปรับ และขอให้ทุเลาการบังคับไว้ก่อนระหว่างพิจารณา ข้อโต้แย้งหลักของบริษัทคือ คำสั่งไม่ได้นำมาตรการป้องกันความเสียหายต่อเนื่องที่บริษัททำไปแล้วมาพิจารณา ทั้งหมดนี้เป็นคำฟ้องของบริษัท ศาลยังไม่ได้วินิจฉัย
| ประเด็น | ข้อเท็จจริงตามรายงาน |
|---|---|
| ผู้ฟ้อง / ศาล | Coupang / ศาลปกครองกรุงโซล ยื่น 7 ต.ค. 2569 |
| ค่าปรับกรณีข้อมูลรั่ว | ราว 423.6 พันล้านวอน |
| ค่าปรับกรณีติดตามผู้ใช้ข้ามเว็บ | ราว 201.1 พันล้านวอน (สมาชิกกว่า 10 ล้านคน) |
| ผู้เสียหาย | ราว 37.55 ล้านคน (สมาชิก 33.22 ล้าน ไม่ใช่สมาชิก 4.33 ล้าน) |
| เพดานโทษใหม่ของเกาหลี | สูงสุด 10% ของรายได้รวม (เดิม 3%) มีผล 11 ก.ย. 2569 |
PIPC ระบุสาเหตุของเหตุรั่วว่า Coupang ไม่ได้จัดการกุญแจลงนามยืนยันตัวตนและสิทธิเข้าถึงระบบตามมาตรฐานขั้นพื้นฐาน เรื่องนี้ไม่ใช่การโจมตีซับซ้อน แต่เป็นงานพื้นฐานที่ทุกองค์กรต้องทำอยู่แล้ว
ข่าวที่เกี่ยวข้องกับฝั่งเกาหลีอ่านต่อได้ใน เกาหลีใต้สั่งสอบแฮกแบงก์ 6 แห่ง Shinhan รั่ว 25,000 ราย เหตุ credential stuffing ธนาคารและฟินเทคไทยต้องปิดช่องโหว่ระบบตัวแทนอย่างไร
Coupang ค่าปรับ กระทบธุรกิจไทยอย่างไร
Coupang ค่าปรับ กระทบธุรกิจไทยในฐานะบทเรียน เพราะทั้งสองประเด็นที่ PIPC ลงโทษมีหลักเดียวกันใน พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 (PDPA) คือมาตรการรักษาความมั่นคงปลอดภัย และฐานทางกฎหมายของการติดตามผู้ใช้ ส่วนนี้เป็นการวิเคราะห์ของผู้เขียน
อีคอมเมิร์ซไทยต้องดูแลกุญแจระบบตาม PDPA อย่างไร
ผู้ควบคุมข้อมูลต้องจัดให้มีมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสม ตามมาตรา 37(1) ของ PDPA ซึ่งรวมถึงการจัดการกุญแจ token และสิทธิเข้าถึงระบบ ถ้ากุญแจของพนักงานที่ลาออกยังใช้ได้ หรือไม่มีใครรู้ว่ามีกุญแจกี่ดอก องค์กรจะอธิบายต่อ สคส. ได้ยากว่าทำมาตรการพื้นฐานแล้ว
จุดที่ร้านค้าออนไลน์ไทยมักพลาดคือ ระบบเติบโตเร็ว มีทีมภายนอกมาช่วยทำแอป แล้วกุญแจถูกแจกกระจายไปหลายคน โดยไม่มีทะเบียนกลางและไม่มีรอบเปลี่ยนกุญแจ
ใช้พิกเซลโฆษณาติดตามลูกค้าบนเว็บอื่น ต้องขอความยินยอมไหม
โดยหลักควรมีฐานทางกฎหมายที่ชัดเจน และกรณีติดตามพฤติกรรมข้ามเว็บเพื่อการโฆษณา ฐานที่ใช้กันมากคือความยินยอมตามมาตรา 19 ของ PDPA ค่าปรับราว 201.1 พันล้านวอนของ Coupang มาจากประเด็นนี้โดยตรง แยกจากเหตุรั่ว
ร้านค้าไทยที่ติดพิกเซลของแพลตฟอร์มโฆษณาไว้ทุกหน้า ควรเช็กว่าแบนเนอร์คุกกี้ปิดพิกเซลได้จริงเมื่อผู้ใช้ไม่ยินยอม ไม่ใช่แค่มีปุ่มให้กด
เพดานโทษ PDPA ไทยเทียบกับเกาหลีต่างกันแค่ไหน
ต่างกันมาก เกาหลีแก้กฎหมายให้ปรับได้สูงสุด 10% ของรายได้รวม มีผลตั้งแต่ 11 กันยายน 2569 ส่วนโทษปรับทางปกครองของไทยมีเพดานไม่เกิน 5 ล้านบาท แต่เพดานต่ำไม่ได้แปลว่าเสี่ยงต่ำ เพราะยังมีความรับผิดทางแพ่ง ความเสียหายต่อชื่อเสียง และต้นทุนแก้ระบบ วิธีคิดค่าปรับฝั่งยุโรปสรุปไว้ใน ค่าปรับ GDPR มีสูตรคำนวณแล้ว: 5 ขั้นที่ธุรกิจไทยควรรู้ก่อนเจอ PDPA
ถ้าไม่เช็กบทเรียนจาก Coupang ค่าปรับ จะเสี่ยงอะไร
ถ้าไม่เช็ก ร้านค้าออนไลน์ไทยเสี่ยง 3 เรื่อง อย่างแรก กุญแจที่ไม่มีใครดูแลอาจกลายเป็นทางเข้าของเหตุรั่ว และองค์กรต้องแจ้ง สคส. ภายใน 72 ชั่วโมงตามมาตรา 37(4) อย่างที่สอง พิกเซลติดตามที่ทำงานโดยไม่มีความยินยอมเป็นความเสี่ยงแยกต่างหาก แม้ข้อมูลไม่รั่วเลยก็ตาม
อย่างที่สาม ข้อโต้แย้งของ Coupang ว่ามาตรการหลังเกิดเหตุควรถูกนำมาพิจารณา จะมีน้ำหนักก็ต่อเมื่อมีเอกสารยืนยัน องค์กรที่แก้ไขแล้วแต่ไม่ได้บันทึกไว้ จะไม่มีหลักฐานไปขอลดโทษ ภาพรวมความเสี่ยง PDPA ดูต่อได้ใน PDPA ไทย 2026 เข้มขึ้น: 5 สัญญาณที่ธุรกิจเสี่ยงถูกปรับ
ร้านค้าออนไลน์ไทยควรทำอะไรตอนนี้
ร้านค้าออนไลน์ไทยควรเริ่มจาก 4 เรื่องที่ทำได้ทันทีโดยไม่ต้องรอผลคดีของ Coupang
- 1. ทำทะเบียนกุญแจและ token ระบุว่ามีกุญแจยืนยันตัวตนกี่ดอก ใครถือ ใช้กับระบบไหน และหมดอายุเมื่อไร
- 2. เพิกถอนสิทธิ์ทันทีเมื่อคนออก ผูกขั้นตอนลาออกของพนักงานและผู้รับจ้างเข้ากับการเพิกถอนกุญแจ บัญชี และสิทธิเข้าถึงทุกระบบ
- 3. ตรวจพิกเซลติดตามบนเว็บและแอป เช็กว่ามีโค้ดของบริษัทใดส่งข้อมูลออกไปบ้าง และปิดได้จริงเมื่อผู้ใช้ไม่ยินยอม
- 4. บันทึกมาตรการหลังเกิดเหตุทุกขั้น จดว่าแก้อะไร เมื่อไร ใครอนุมัติ เพื่อใช้เป็นหลักฐานต่อ สคส. และศาล
ถ้าต้องการคนช่วยวางระบบเอกสารเหล่านี้ ดูได้ที่ บริการ AI Governance และ PDPA ของ Kooru
มุมมองผู้เชี่ยวชาญ
ข้อสังเกตเชิงวิชาชีพของผมคือ คดี Coupang จะเป็นบรรทัดฐานว่าศาลนับความพยายามหลังเกิดเหตุไปลดค่าปรับได้แค่ไหน ซึ่งเป็นข้อโต้แย้งเดียวกับที่ธุรกิจไทยจะใช้ต่อหน้า สคส. กุญแจที่ไม่มีใครเพิกถอนเพียงดอกเดียว อาจแพงกว่างบความปลอดภัยทั้งปี จุดที่องค์กรมักพลาดคือคิดว่าค่าปรับมาจากการโจมตีขั้นสูง ทั้งที่ PIPC ชี้ไปที่งานพื้นฐาน ควรเช็กทะเบียนกุญแจและพิกเซลก่อนลงทุนเครื่องมือใหม่
— Phuwara Krobtaku —
LL.M. (IP & IT) | M.S. (IT) | Thai Barrister & Attorney-at-Law
คำถามที่พบบ่อยเกี่ยวกับ Coupang ค่าปรับ
Coupang ค่าปรับรวมเท่าไร
ราว 6.24 แสนล้านวอน หรือราว 461 ล้านดอลลาร์ แยกเป็นกรณีข้อมูลรั่วราว 423.6 พันล้านวอน และกรณีติดตามพฤติกรรมผู้ใช้บนเว็บภายนอกโดยไม่ได้รับความยินยอมราว 201.1 พันล้านวอน สื่อเกาหลีรายงานตัวเลขต่างกันเล็กน้อย
ศาลตัดสินคดี Coupang แล้วหรือยัง
ยังไม่ตัดสิน Coupang เพิ่งยื่นฟ้อง 2 คดีต่อศาลปกครองกรุงโซลเมื่อ 7 ตุลาคม 2569 ขอเพิกถอนค่าปรับและขอทุเลาการบังคับระหว่างพิจารณา คำสั่งของ PIPC จึงยังถูกโต้แย้งอยู่
ถ้าเหตุแบบ Coupang เกิดในไทย จะโดนโทษตาม PDPA อย่างไร
PDPA กำหนดโทษปรับทางปกครองไม่เกิน 5 ล้านบาท ประเด็นที่เกี่ยวข้องคือมาตรการรักษาความมั่นคงปลอดภัยตามมาตรา 37(1) และการติดตามผู้ใช้โดยไม่มีฐานทางกฎหมาย องค์กรยังต้องแจ้งเหตุต่อ สคส. ภายใน 72 ชั่วโมงตามมาตรา 37(4)
เกาหลีปรับข้อมูลรั่วได้สูงสุดเท่าไร
หลังการแก้กฎหมายที่มีผลตั้งแต่ 11 กันยายน 2569 เกาหลีปรับได้สูงสุด 10% ของรายได้รวม จากเดิม 3%
แหล่งอ้างอิง
- The Korea Herald — (อ่านต้นฉบับ) — อ่านข่าวที่ The Korea Herald
- The Korea Times — (อ่านต้นฉบับ) — อ่านข่าวที่ The Korea Times
บทความนี้เป็นการสรุปข่าวและให้ข้อมูลทั่วไป ไม่ใช่คำแนะนำทางกฎหมาย หากต้องการคำปรึกษาเฉพาะกรณีของธุรกิจคุณ ควรปรึกษาผู้เชี่ยวชาญ
