บทนำ
ลองนึกภาพบริษัทหนึ่งที่สร้าง AI โดยดึงข้อมูลจากเว็บไซต์จำนวนมหาศาล เพราะคิดว่า “ข้อมูลอยู่บนอินเทอร์เน็ต ใครก็เข้าดูได้” แล้ววันหนึ่งมีคนถามว่า ข้อมูลเหล่านั้นมาจากไหน ใช้ฐานกฎหมายอะไร และถ้ามีข้อมูลส่วนบุคคลหลุดเข้าไปในโมเดล บริษัทมีหลักฐานอะไรยืนยันว่าพยายามป้องกันแล้ว
คำถามเหล่านี้กำลังกลายเป็นเรื่องจริงจังขึ้นในยุโรป หลัง European Data Protection Board หรือ EDPB ออก Guidelines 03/2026 เรื่อง web scraping สำหรับการพัฒนา Generative AI และต่อมาเผยแพร่ Binding Decision 1/2026 ซึ่งเกี่ยวข้องกับการร้องเรียน GDPR โดยตัวแทนองค์กรภาคประชาสังคม ทั้งสองเรื่องบอกสัญญาณเดียวกันว่า ต่อไปนี้ “มีนโยบาย” อาจไม่พอ ต้อง “มีหลักฐาน” ด้วย
สารบัญ
- ทำไม EDPB Web Scraping จึงสำคัญกับธุรกิจไทย
- สิ่งที่ EDPB กำลังเปลี่ยนในเกม AI
- จาก robots.txt ถึง AI Model: หลักฐานกำลังกลายเป็นเรื่องกฎหมาย
- เมื่อการร้องเรียนก็ทำงานแบบ Automation
- ผลกระทบต่อธุรกิจในประเทศไทย
- สิ่งที่ควรทำต่อ
- มุมมองผู้เชี่ยวชาญ
- แหล่งอ้างอิง
ข้อเท็จจริง
เมื่อวันที่ 7 กรกฎาคม 2026 EDPB รับรอง Guidelines 03/2026 ว่าด้วย web scraping ในบริบทของ Generative AI โดยเอกสารนี้ครอบคลุมการเก็บข้อมูลจากเว็บไซต์ภายนอกเพื่อสร้างหรือปรับแต่งโมเดล AI และใช้เมื่อข้อมูลที่ถูกเก็บมี personal data อยู่ด้วย แม้ dataset นั้นจะประกอบด้วยข้อมูลส่วนบุคคลและข้อมูลที่ไม่ใช่ข้อมูลส่วนบุคคลปะปนกันก็ตาม
ประเด็นสำคัญไม่ได้อยู่ที่ “ห้าม scrape” แต่เป็นการบอกว่าองค์กรต้องสามารถอธิบายเหตุผลและควบคุมความเสี่ยงของการ scrape ได้
EDPB แยกการ scrape แบบเจาะจงออกจากการ crawl แบบกว้าง ๆ การเก็บข้อมูลแบบไม่จำกัดมีความเสี่ยงมากกว่า เพราะองค์กรอาจไม่รู้ด้วยซ้ำว่ากำลังเก็บ personal data ประเภทใด ของใคร และจำนวนเท่าไร
เรื่องฐานกฎหมายก็ไม่ได้ง่ายขึ้น แม้ Legitimate Interest ตาม Article 6(1)(f) GDPR จะเป็นฐานสำคัญที่ถูกใช้กับกรณีดังกล่าว แต่ต้องผ่านการประเมินต่อเนื่อง 3 เรื่อง ได้แก่ มีผลประโยชน์ที่ชอบด้วยกฎหมายจริง มีความจำเป็นต้องใช้ข้อมูล และเมื่อชั่งน้ำหนักแล้ว สิทธิของเจ้าของข้อมูลไม่ได้มีน้ำหนักมากกว่าองค์กร
EDPB Web Scraping กำลังเปลี่ยน “เทคนิค” ให้กลายเป็น “หลักฐาน”
นี่คือจุดที่ธุรกิจไทยควรจับตาเป็นพิเศษ
เดิมบริษัทอาจมอง robots.txt, CAPTCHA, login wall หรือข้อจำกัดทางเทคนิคเป็นเรื่องของทีม Engineering แต่แนวทางของ EDPB ทำให้สัญญาณเหล่านี้เข้าไปอยู่ในคำถามทางกฎหมายด้วย
หากเว็บไซต์มีมาตรการป้องกัน bot หรือระบุชัดว่าห้ามนำข้อมูลไปใช้ในการฝึก AI สิ่งเหล่านี้สามารถเป็นปัจจัยในการพิจารณาว่าคนทั่วไปควรคาดหวังหรือไม่ว่าข้อมูลของตนจะถูกนำไป scrape เพื่อฝึก AI
แปลให้เข้าใจง่ายคือ บริษัทไม่ควรมีเพียงคำตอบว่า “ระบบ scrape ได้จึง scrape”
คำถามที่สำคัญกว่าคือ “ก่อน scrape เราตรวจอะไรบ้าง”
ตัวอย่างเช่น ตรวจ robots.txt หรือไม่ ตรวจข้อกำหนดของเว็บไซต์หรือไม่ มีการตัดเว็บไซต์บางประเภทออกหรือไม่ มี filter สำหรับข้อมูลสำคัญหรือไม่ มีหลักฐานว่าเคยประเมินความจำเป็นของข้อมูลหรือไม่
EDPB ยังพูดถึงมาตรการลดความเสี่ยงตั้งแต่ก่อนเก็บ ระหว่างเก็บ และหลังเก็บข้อมูล รวมถึงการกรองข้อมูล การลบหรือทำให้ข้อมูลไม่สามารถระบุตัวบุคคลได้โดยเร็ว การทำ pseudonymisation และมาตรการลดความเสี่ยงที่โมเดลจะจดจำหรือเปิดเผยข้อมูลจาก training data ในภายหลัง
นี่ทำให้ AI governance เริ่มเปลี่ยนจาก “เอกสาร policy” ไปสู่ “เส้นทางหลักฐาน”
จุดที่คนทำ AI มักมองข้าม: ปัญหาไม่ได้จบตอน training เสร็จ
หนึ่งในข้อที่ EDPB ให้ความสำคัญคือข้อมูลส่วนบุคคลไม่ได้สร้างความเสี่ยงแค่ตอนถูกเก็บเข้า dataset
ถ้าโมเดลสามารถจดจำและนำข้อมูลกลับมาตอบ หรืออนุมานข้อมูลเพิ่มเติมเกี่ยวกับบุคคลได้ ความเสี่ยงจะเดินทางต่อไปถึงตัว AI model และขั้น deployment ด้วย
ยิ่งกรณีข้อมูลที่เข้าข่าย special category data เช่น ข้อมูลสุขภาพหรือความเห็นทางการเมือง ความเสี่ยงยิ่งสูงขึ้น EDPB ระบุว่าการเก็บข้อมูลลักษณะนี้โดยบังเอิญไม่ได้หมายความว่าผิดกฎหมายโดยอัตโนมัติ แต่ต้องมีการวิเคราะห์เป็นรายกรณีและมีมาตรการควบคุมที่เกิดขึ้นตลอดวงจรของ AI ไม่ใช่แค่หลังพบข้อมูลแล้วค่อยลบ
นี่คือเหตุผลว่าทำไมการซื้อ dataset จาก vendor แล้วติดป้ายว่า “compliant” อาจไม่ใช่คำตอบที่เพียงพอสำหรับองค์กรขนาดใหญ่
บริษัทต้องถามต่อว่า vendor เก็บอย่างไร ใครกำหนดวัตถุประสงค์ มี source list หรือไม่ มีวิธีรับ opt-out หรือไม่ และถ้าข้อมูลมีปัญหา vendor สามารถชี้ย้อนกลับได้หรือไม่ว่าข้อมูลนั้นเข้ามาใน dataset จากจุดใด
เกมอีกด้าน: เมื่อการร้องเรียนก็ถูกทำให้เป็น Automation
ในเดือนกรกฎาคม 2026 EDPB ยังเผยแพร่ Binding Decision 1/2026 ที่สั่งให้หน่วยงานคุ้มครองข้อมูลของเบลเยียมพิจารณาเนื้อหาของข้อร้องเรียนเรื่อง cookie banner ที่ NOYB ยื่นในฐานะตัวแทนของเจ้าของข้อมูล หลังหน่วยงานเบลเยียมเดิมพยายามยุติเรื่องโดยมองว่ากระบวนการร้องเรียนมีลักษณะถูกขับเคลื่อนจากองค์กรตัวแทนมากกว่าตัวเจ้าของข้อมูลเอง
สิ่งที่ธุรกิจควรสนใจไม่ใช่แค่ชื่อ NOYB หรือ cookie banner
แต่คือ “ต้นทุนของการตรวจสอบกำลังถูกลง”
กรณีนี้เกี่ยวข้องกับโครงการที่ใช้ระบบอัตโนมัติเพื่อตรวจหาเว็บไซต์ที่อาจมีปัญหาและสร้างข้อร้องเรียนในจำนวนมาก ตามที่ McCann FitzGerald วิเคราะห์ การตัดสินของ EDPB ทำให้การโต้แย้งว่า complaint มีลักษณะถูกสร้างเป็นระบบหรือถูกขับเคลื่อนโดยองค์กรตัวแทนเพียงอย่างเดียว ไม่ใช่ทางออกที่ง่ายอีกต่อไป
สำหรับบริษัท นี่มีนัยสำคัญมาก
เพราะเมื่อการตรวจสอบ compliance ทำได้แบบอัตโนมัติ ธุรกิจไม่ได้แข่งแค่กับ regulator อีกต่อไป แต่ต้องพร้อมรับมือกับการค้นหาข้อผิดพลาดแบบ machine-assisted จากทั้งภายนอกด้วย
ผลกระทบต่อธุรกิจในประเทศไทย
สำหรับธุรกิจไทย จุดสำคัญที่สุดคืออย่าอ่าน Guidelines 03/2026 แล้วสรุปทันทีว่า “นี่เป็นกฎหมายยุโรป จึงไม่เกี่ยวกับเรา”
ธุรกิจที่มีความเชื่อมโยงกับตลาด EU อาจต้องพิจารณาความเกี่ยวข้องกับ GDPR ตามโครงสร้างธุรกิจ บริการ ลูกค้า และกิจกรรมประมวลผลข้อมูลของตนเองเป็นรายกรณี ขณะที่แม้บริษัทจะไม่ได้อยู่ใต้ GDPR โดยตรง แนวคิดจาก EDPB ก็มีคุณค่าในฐานะ benchmark สำหรับ AI governance ระดับองค์กร
กลุ่มแรก ที่ ต้องระวังคือบริษัทที่ทำ AI training ด้วยข้อมูลสาธารณะ หากองค์กรไม่เคยเก็บ source inventory อาจตอบไม่ได้ว่าข้อมูลชุดหนึ่งมาจากเว็บไซต์ใด ถูกเก็บวันไหน เก็บด้วย criteria แบบใด และมีการคัดข้อมูลส่วนบุคคลออกหรือไม่
กลุ่มที่สอง คือ บริษัทที่ซื้อข้อมูลจาก third-party vendor ปัญหาอาจไม่ได้เกิดจากบริษัทเป็นคน scrape เอง แต่เกิดจากคำถามเรื่อง chain of responsibility ว่าแต่ละฝ่ายกำหนดวัตถุประสงค์และวิธีประมวลผลอย่างไร EDPB ระบุชัดว่าบทบาท controller, processor หรือ joint controller ต้องวิเคราะห์จากข้อเท็จจริงของแต่ละความสัมพันธ์ ไม่ใช่ดูจากชื่อในสัญญาเพียงอย่างเดียว
กลุ่มที่สาม คือ เจ้าของเว็บไซต์และแพลตฟอร์มในไทย เพราะ robots.txt, CAPTCHA, login wall และสัญญาณทางเทคนิคอื่น ๆ ไม่ได้เป็นเพียงเรื่อง cybersecurity หรือ website administration อีกต่อไป สำหรับธุรกิจที่มีผู้ใช้หรือคู่ค้าเกี่ยวข้องกับตลาดยุโรป สิ่งเหล่านี้อาจกลายเป็นส่วนหนึ่งของหลักฐานเรื่อง “ความคาดหวังของเจ้าของข้อมูล” ในการประเมินความชอบด้วยกฎหมายของการ scrape
และกลุ่มสุดท้าย คือ องค์กรที่คิดว่า compliance เป็นเรื่องของ Legal หรือ DPO เพียงฝ่ายเดียว เพราะโจทย์แบบใหม่ต้องใช้ข้อมูลจากหลายทีมพร้อมกัน ได้แก่ Engineering, Data Science, Procurement, Security, Legal และ Product
พูดง่ายๆ คือ ต่อไปการตอบคำถามของ regulator อาจไม่ใช่ “เรามี Privacy Policy แล้ว”
แต่เป็น “แสดงหลักฐานให้ดูว่า data นี้มาจากไหน ใครตัดสินใจใช้ ทำไมจึงจำเป็น ใครอนุมัติ และหลังจากโมเดลถูกสร้างแล้วเราควบคุมความเสี่ยงต่ออย่างไร”
นี่คือมุมที่สำคัญที่สุดของ EDPB Web Scraping สำหรับธุรกิจไทย
สิ่งที่ควรทำต่อ
- ทำ Data Provenance Inventory สำหรับข้อมูลที่นำมาใช้กับ AI โดยระบุ source, วันที่เก็บ, ประเภทข้อมูล, วัตถุประสงค์ และผู้รับผิดชอบ
- ทำ scraping decision log ก่อนเก็บข้อมูล โดยบันทึกเหตุผลเรื่อง legal basis, necessity, data minimisation และการประเมินความเสี่ยง
- ให้ Engineering ตรวจ robots.txt, CAPTCHA, login wall, opt-out และ technical restrictions เป็นส่วนหนึ่งของกระบวนการ compliance ไม่ใช่ checklist ฝั่ง IT อย่างเดียว
- ตรวจสัญญากับ AI/data vendor ว่าใครเป็นผู้กำหนดวัตถุประสงค์ ใครกำหนดวิธีประมวลผล และสามารถตรวจสอบ source ของ dataset ได้มากแค่ไหน
- ทดสอบ AI model หลัง training ว่ามีความเสี่ยงต่อการ memorise หรือเปิดเผย personal data จาก training dataset หรือไม่ และจัดเก็บหลักฐานผลการทดสอบ
แหล่งอ้างอิง
European Data Protection Board — Guidelines 03/2026 on web scraping in the context of generative AI. เอกสารฉบับนี้อยู่ระหว่าง public consultation ตั้งแต่ 8 กรกฎาคม ถึง 30 ตุลาคม 2026 และเป็น Version 1 ที่ยังสามารถมีการปรับเปลี่ยนก่อนฉบับสุดท้ายได้
European Data Protection Board — Binding Decision 1/2026 เกี่ยวกับข้อพิพาทระหว่างหน่วยงานคุ้มครองข้อมูลของเบลเยียมกับออสเตรียในกรณี VRT/NOYB โดย decision ลงวันที่ 28 พฤษภาคม 2026 และเผยแพร่เมื่อ 14 กรกฎาคม 2026
Reed Smith LLP — บทวิเคราะห์ “EDPB web scraping guidelines for AI: Making the impossible possible?” ซึ่งวิเคราะห์ผลของ Guidelines 03/2026 ต่อ AI scraping, legitimate interest, transparency และ technical signals
McCann FitzGerald LLP — บทวิเคราะห์ “EDPB Decision Opens Floodgates to Activist Driven Complaints” ซึ่งวิเคราะห์ผลของ Binding Decision 1/2026 ต่อ representative complaints และการร้องเรียนแบบขนาดใหญ่
บทความนี้เป็นการสรุปข่าวและให้ข้อมูลทั่วไป ไม่ใช่คำแนะนำทางกฎหมาย
หากต้องการคำปรึกษาเฉพาะกรณีของธุรกิจคุณ ควรปรึกษาผู้เชี่ยวชาญ
