Google Ads Customer Match เพิ่งเปิดให้ผู้ลงโฆษณาอัปโหลด IP address และเวลาที่ลูกค้าเข้าใช้งาน เพื่อจับคู่กลุ่มเป้าหมายโฆษณาได้ ร้านค้าออนไลน์ที่มี log ผู้เข้าชมเว็บเก็บไว้หลายเดือน อาจกำลังคิดว่า “ดีเลย เอาไฟล์นี้ไปยิงแอดได้ทันที” แต่ก่อนกดอัปโหลด ควรรู้ว่า Google ยกเว้นยุโรปไว้ ไม่ได้ยกเว้นไทย และภาระทางกฎหมายตกอยู่ที่ผู้ลงโฆษณาเอง
สรุปสั้น: Google Ads Customer Match รับ IP address และเวลาเข้าใช้งานแบบไม่ hash ใช้ได้ทั่วโลกยกเว้น EEA, UK และสวิตเซอร์แลนด์ ไทยจึงใช้ได้ทันที แต่ IP address อาจเป็นข้อมูลส่วนบุคคลตาม PDPA ผู้ลงโฆษณาต้องมีฐานทางกฎหมาย แจ้งวัตถุประสงค์ใน Privacy Notice และดูเงื่อนไขการส่งข้อมูลไปต่างประเทศก่อนอัปโหลด
Google Ads Customer Match รับ IP address คืออะไร เกิดอะไรขึ้น
Google Ads Customer Match คือเครื่องมือที่ให้ผู้ลงโฆษณาอัปโหลดข้อมูลลูกค้าของตัวเอง เช่น อีเมลและเบอร์โทร เพื่อให้ Google จับคู่กับผู้ใช้แล้วแสดงโฆษณาให้คนกลุ่มนั้น ตามรายงานของ Search Engine Land เมื่อ 25 ก.ย. 2569 ตอนนี้อัปโหลด IP address และเวลาที่ลูกค้าเข้าใช้งานเพิ่มได้ด้วย
จุดที่ต่างจากข้อมูลเดิมคือ IP address และเวลาเข้าใช้งานต้องอัปโหลดแบบไม่ hash ขณะที่อีเมลและเบอร์โทรยังใช้แบบ hash ได้ เอกสารของ Google ยังเปลี่ยนคำเรียกจากข้อมูลที่ลูกค้า “shared” เป็นข้อมูลที่ผู้ลงโฆษณา “collected” ซึ่งผู้เขียนมองว่าเป็นการย้ำว่าใครเป็นคนเก็บข้อมูล และใครต้องรับผิดชอบ
| ประเด็น | ข้อเท็จจริงในข่าว |
|---|---|
| บริการ | Google Ads Customer Match |
| ข้อมูลใหม่ที่รับ | IP address และเวลาเข้าใช้งาน |
| วิธีอัปโหลด | สองฟิลด์ใหม่ต้องไม่ hash |
| ใช้ร่วมกับ | อีเมล เบอร์โทร ที่อยู่ |
| จำนวนคอลัมน์ต่อไฟล์ | สูงสุด 8 คอลัมน์ |
| พื้นที่ยกเว้น | EEA, UK, สวิตเซอร์แลนด์ |
| หน้าที่แจ้งและขอความยินยอม | ผู้ลงโฆษณา |
| วันที่มีรายงานข่าว | 25 ก.ย. 2569 |
Google Ads Customer Match กระทบธุรกิจไทยอย่างไร
Google Ads Customer Match เวอร์ชันใหม่กระทบธุรกิจไทยทุกแห่งที่ยิงโฆษณาและเก็บ log ผู้เข้าชมเว็บหรือแอป เพราะไทยไม่อยู่ในรายการยกเว้น จึงใช้ได้ทันที ความสะดวกนี้มาพร้อมภาระตาม PDPA ที่ Google ระบุชัดว่าผู้ลงโฆษณาต้องดูแลเอง
ร้านค้าออนไลน์และแอป
ร้านค้าออนไลน์และแอปมี log ที่เก็บ IP address และเวลาเข้าใช้งานอยู่แล้วแทบทุกเจ้า เพราะระบบเว็บเก็บให้อัตโนมัติ ปัญหาคือ log พวกนี้ส่วนใหญ่เก็บเพื่อความปลอดภัยและแก้ปัญหาระบบ ไม่ได้เก็บเพื่อทำโฆษณา
ตัวอย่างสมมติ: ร้านขายเครื่องสำอางออนไลน์ เก็บ log ไว้เพื่อตรวจจับการสั่งซื้อปลอม วันหนึ่งทีมการตลาดดึง log 6 เดือนไปอัปโหลดเข้า Customer Match เพื่อยิงแอดหาคนที่เคยเข้าเว็บ ถ้า Privacy Notice ของร้านเขียนไว้แค่ “เพื่อความปลอดภัยของระบบ” การเอา log ไปใช้ทำโฆษณาก็เสี่ยงผิดหลักใช้ข้อมูลตามวัตถุประสงค์ที่แจ้งไว้ตาม PDPA มาตรา 21
IP address เป็นข้อมูลส่วนบุคคลได้
IP address เป็นข้อมูลส่วนบุคคลตาม PDPA ได้ เมื่อใช้ร่วมกับข้อมูลอื่นแล้วระบุตัวคนได้ ในกรณีของ Customer Match ทั้งหมดถูกออกแบบมาเพื่อระบุตัวคนให้ได้ เพราะเอา IP ไปประกอบกับอีเมล เบอร์โทร และเวลาเข้าใช้งาน ข้อโต้แย้งว่า “IP ไม่ใช่ข้อมูลส่วนบุคคล” จึงใช้ในบริบทนี้ได้ยาก (การวิเคราะห์ของผู้เขียน)
ส่งข้อมูลให้ Google = ส่งข้อมูลไปต่างประเทศ
การอัปโหลดข้อมูลลูกค้าให้ Google คือการส่งข้อมูลส่วนบุคคลไปต่างประเทศ ซึ่งต้องดูเงื่อนไขตาม PDPA มาตรา 28 และ 29 พูดง่าย ๆ คือ ต้องมีเหตุที่กฎหมายยอมรับให้ส่งได้ เช่น ปลายทางมีมาตรฐานคุ้มครองที่เพียงพอ หรือมีมาตรการคุ้มครองที่เหมาะสมรองรับ
เอเจนซีโฆษณา
เอเจนซีที่รับไฟล์ข้อมูลลูกค้าจากแบรนด์มาอัปโหลดแทน อยู่ในจุดเสี่ยงไม่แพ้กัน เอเจนซีควรมีสัญญาประมวลผลข้อมูลกับแบรนด์ และถามให้ชัดว่าแบรนด์แจ้งลูกค้าเรื่องนี้แล้วหรือยัง ผู้เขียนมองว่าการที่ Google ยกเว้นเฉพาะยุโรป สะท้อนว่าภาระทางกฎหมายในประเทศอื่นถูกโยนมาที่ผู้ลงโฆษณาและคนที่ทำงานแทนเขา อ่านประเด็นธุรกิจดิจิทัลอื่นได้ในหมวด Digital Business
ถ้าไม่ทำอะไรเลย จะเสี่ยงอะไร
ถ้าอัปโหลด log ไปโดยไม่เช็ก PDPA ธุรกิจเสี่ยงถูกร้องเรียนและถูกตั้งคำถามจากผู้กำกับ โดยที่ Google ไม่ได้รับความเสี่ยงแทน
- ใช้ข้อมูลผิดวัตถุประสงค์: log ที่เก็บเพื่อความปลอดภัย ถูกเอาไปทำโฆษณาโดยไม่ได้แจ้ง
- ไม่มีฐานทางกฎหมาย: ถ้าไม่มีความยินยอมหรือฐานอื่นที่รองรับ การใช้ข้อมูลทำโฆษณาแบบเจาะจงตัวคนอธิบายได้ยาก
- ส่งข้อมูลไปต่างประเทศโดยไม่ดูเงื่อนไข: เสี่ยงผิดหลักเรื่องการโอนข้อมูลข้ามประเทศ
- เสียความเชื่อใจ: ลูกค้าที่เห็นโฆษณาตามมาทั้งที่ไม่เคยให้อีเมล อาจรู้สึกว่าถูกติดตาม และร้องเรียนได้
ผู้ลงโฆษณาและเอเจนซีควรทำอะไรตอนนี้
ผู้ลงโฆษณาและเอเจนซีควรเช็กสี่เรื่องก่อนอัปโหลด IP address เข้า Google Ads Customer Match คือวัตถุประสงค์ ฐานทางกฎหมาย Privacy Notice และการส่งข้อมูลไปต่างประเทศ ส่วนเอเจนซีที่อัปโหลดแทนแบรนด์ต้องทำสัญญาประมวลผลข้อมูลเพิ่มอีกข้อ
- 1. ตรวจว่า log เก็บมาเพื่ออะไร ถ้าเก็บเพื่อความปลอดภัยอย่างเดียว อย่าเพิ่งเอาไปอัปโหลด
- 2. เลือกฐานทางกฎหมายให้ชัด สำหรับโฆษณาแบบเจาะจงตัวคน ความยินยอมมักเป็นทางที่ปลอดภัยกว่า และต้องมีหลักฐานว่าได้มาอย่างไร
- 3. แก้ Privacy Notice เพิ่มข้อความทำนอง “ใช้ IP address และเวลาเข้าใช้งานเพื่อจับคู่กลุ่มเป้าหมายโฆษณากับผู้ให้บริการต่างประเทศ”
- 4. ตรวจเงื่อนไขการส่งข้อมูลไปต่างประเทศ ดูข้อตกลงด้านข้อมูลของ Google และบันทึกเหตุผลว่าการส่งเป็นไปตาม PDPA อย่างไร
- 5. ทำสัญญากับเอเจนซี ถ้าให้เอเจนซีอัปโหลดแทน ต้องกำหนดหน้าที่ด้านข้อมูลไว้ในสัญญา ถ้าต้องการคนช่วยตรวจทั้งชุด ดูได้ที่ บริการ AI Governance และ PDPA ของ Kooru
มุมมองผู้เชี่ยวชาญ
“ผมสะดุดกับคำเดียวในเอกสารของ Google คือเปลี่ยนจาก ‘shared’ เป็น ‘collected’ ฟังดูเล็ก แต่ความหมายทางกฎหมายชัดมาก คือข้อมูลนี้คุณเก็บเอง คุณก็รับผิดชอบเอง Google ปิดประตูยุโรปไว้ แต่เปิดประตูไทยให้ แล้ววางกุญแจความรับผิดไว้ในมือผู้ลงโฆษณา ถ้าจะใช้ฟีเจอร์นี้ ผมแนะนำให้แก้ Privacy Notice ก่อนแก้แคมเปญ”
— Phuwara Krobtaku —
LL.M. (IP & IT) | M.S. (IT) | Thai Barrister & Attorney-at-Law
อ่านเพิ่มเติม: อัปเดตล่าสุดเรื่องการอัปโหลดรายชื่อลูกค้าเข้า Google Ads อ่านต่อที่ Google Ads เลิกบังคับแฮชรายชื่อลูกค้า 16 พ.ย. 2569 ถอดรหัสใน TEE แทน ผู้ลงโฆษณาไทยต้องทบทวน DPIA และฐาน PDPA
คำถามที่พบบ่อยเกี่ยวกับ Google Ads Customer Match และ IP address
Google Ads Customer Match คืออะไร
Google Ads Customer Match คือเครื่องมือที่ให้ผู้ลงโฆษณาอัปโหลดข้อมูลลูกค้าของตัวเอง เช่น อีเมล เบอร์โทร และที่อยู่ เพื่อให้ Google จับคู่กับผู้ใช้แล้วแสดงโฆษณา ตอนนี้รับ IP address และเวลาเข้าใช้งานเพิ่มแล้ว
ในไทยใช้ Customer Match แบบ IP address ได้ไหม
ใช้ได้ เพราะพื้นที่ยกเว้นมีแค่ EEA, UK และสวิตเซอร์แลนด์ แต่ผู้ลงโฆษณาต้องดูแลเรื่องการแจ้งและความยินยอมเองตามเงื่อนไขของ Google และต้องทำตาม PDPA
IP address เป็นข้อมูลส่วนบุคคลตาม PDPA ไหม
IP address เป็นข้อมูลส่วนบุคคลได้ เมื่อใช้ร่วมกับข้อมูลอื่นแล้วระบุตัวคนได้ ใน Customer Match ข้อมูลถูกใช้ร่วมกับอีเมล เบอร์โทร และเวลาเข้าใช้งานเพื่อหาตัวคน จึงควรถือว่าเป็นข้อมูลส่วนบุคคล
ต้องเขียนอะไรเพิ่มใน Privacy Notice
ควรเขียนให้ชัดว่าใช้ IP address และเวลาเข้าใช้งานเพื่อจับคู่กลุ่มเป้าหมายโฆษณา และข้อมูลจะถูกส่งให้ผู้ให้บริการโฆษณาในต่างประเทศ ข้อความควรอ่านเข้าใจง่าย ไม่ซ่อนไว้ในย่อหน้ายาว
อัปโหลดข้อมูลให้ Google ถือว่าส่งข้อมูลไปต่างประเทศไหม
ถือว่าเป็นการส่งข้อมูลไปต่างประเทศ จึงต้องดูเงื่อนไขตาม PDPA มาตรา 28 และ 29 และเก็บเหตุผลไว้ว่าการส่งนั้นมีเหตุที่กฎหมายยอมรับ
แหล่งอ้างอิง
- Search Engine Land — Google Ads adds IP address and timestamp matching to Customer Match — searchengineland.com
อ่านหลักการคัดและตรวจข่าวของเราได้ที่ นโยบายบรรณาธิการ และรู้จักผู้เขียนได้ที่ เกี่ยวกับเรา
บทความนี้เป็นการสรุปข่าวและให้ข้อมูลทั่วไป ไม่ใช่คำแนะนำทางกฎหมาย หากต้องการคำปรึกษาเฉพาะกรณีของธุรกิจคุณ ควรปรึกษาผู้เชี่ยวชาญ
