Google Ads Data Manager คือเครื่องมือของ Google ที่ผู้ลงโฆษณาใช้ส่งรายชื่อลูกค้าและข้อมูลยอดขายออฟไลน์เข้า Google Ads ตามสำเนาอีเมลของ Google ตั้งแต่ 16 พฤศจิกายน 2569 เครื่องมือนี้จะเลิกบังคับแฮชข้อมูล แล้ว Google จะถอดรหัสและจับคู่ข้อมูลเอง ข่าวนี้ยังไม่มีประกาศทางการ บทความนี้เหมาะกับทีมการตลาด DPO และฝ่ายกฎหมายที่อัปโหลดรายชื่อลูกค้าเข้า Google Ads
ลองนึกภาพร้านค้าออนไลน์ไทยที่อัปโหลดอีเมลและเบอร์โทรสมาชิก 50,000 รายเข้า Google Ads ทุกเดือนเพื่อยิงแอดหาลูกค้าเดิม DPO เคยเขียนในบันทึกประเมินความเสี่ยงว่า “ส่งออกไปแค่ค่าแฮช ไม่มีข้อมูลดิบ” (ตัวอย่างสมมติ) ถ้าการเปลี่ยนแปลงนี้มีผลจริง ประโยคนั้นจะไม่ตรงกับความจริงอีกต่อไป
สรุปสั้น: สำเนาอีเมลของ Google ระบุว่า Google Ads Data Manager จะเลิกบังคับแฮชรายชื่อลูกค้าตั้งแต่ 16 พฤศจิกายน 2569 และ Google จะถอดรหัสข้อมูลในสภาพแวดล้อมปิด (TEE) ข้อมูลนี้ยังไม่มีประกาศทางการ แต่ไม่ว่าจะแฮชหรือเข้ารหัส อีเมลและเบอร์โทรลูกค้ายังเป็นข้อมูลส่วนบุคคลตาม PDPA ผู้ลงโฆษณาไทยจึงควรทบทวน DPIA ฐานกฎหมาย และ Privacy Notice ก่อนวันนั้น
Google Ads Data Manager เลิกบังคับแฮช คืออะไร เกิดอะไรขึ้น
Google Ads Data Manager เลิกบังคับแฮช หมายความว่าผู้ลงโฆษณาไม่ต้องแปลงอีเมลหรือเบอร์โทรเป็นรหัส SHA-256 ก่อนส่งอีกต่อไป ข้อมูลจะถูกส่งแบบเข้ารหัสโดยค่าเริ่มต้น แล้ว Google จะ “decrypts, normalizes, and matches” ข้อมูลภายใน TEE ตามถ้อยคำในอีเมล
แหล่งที่มาสำคัญมาก ข้อมูลทั้งหมดมาจากสำเนาอีเมลชื่อ “Encryption in Google Ads Data Manager” ที่ส่งถึงบัญชีที่ใช้เครื่องมือนี้อยู่ และผู้ใช้ LinkedIn รายหนึ่งโพสต์ต่อเมื่อ 18 ตุลาคม 2569 PPC Land และ PPC News Feed รายงานต่อ แต่ยังไม่พบประกาศทางการบนเว็บ Google จึงถือว่ายังไม่ยืนยัน อีเมลไม่ได้พูดถึงความยินยอม ไม่ได้พูดถึงการแก้ข้อกำหนดข้อมูลลูกค้า และไม่ได้บอกว่าข้อมูลแฮชที่อัปโหลดไว้เดิมจะเป็นอย่างไร
| ประเด็น | ข้อเท็จจริงตามรายงาน |
|---|---|
| วันมีผล | 16 พฤศจิกายน 2569 (ตามอีเมล) |
| ช่องทางที่ใช้ | CRM connections · cloud storage imports · direct file uploads · Data Manager API |
| ฟีเจอร์ | Customer Match และ enhanced conversions |
| ข้อมูล | อีเมล เบอร์โทร ที่อยู่ |
| สถานะ | ยังไม่มีประกาศทางการ มาจากสำเนาอีเมลที่โพสต์บน LinkedIn |
เส้นตายและไทม์ไลน์ที่ทีมการตลาดต้องรู้
- กรกฎาคม 2567 FTC ของสหรัฐระบุว่าข้อมูลที่แฮชแล้วไม่ใช่ข้อมูลนิรนาม
- 18 ตุลาคม 2569 สำเนาอีเมลถูกโพสต์บน LinkedIn และ PPC Land รายงาน
- 23 ตุลาคม 2569 PPC News Feed รายงานต่อ
- 16 พฤศจิกายน 2569 วันที่อีเมลระบุว่าเลิกบังคับแฮช
Google Ads Data Manager เปลี่ยนแบบนี้ กระทบธุรกิจไทยอย่างไร
Google Ads Data Manager ที่เลิกบังคับแฮชกระทบทุกธุรกิจไทยที่อัปโหลดรายชื่อลูกค้าเข้า Google Ads โดยตรง กลุ่มที่ใช้หนักคืออีคอมเมิร์ซ ธนาคาร ประกัน และค้าปลีก ส่วนนี้เป็นการวิเคราะห์ของผู้เขียน อิงข้อเท็จจริงจากอีเมลที่ยังไม่ยืนยัน
DPO และฝ่ายกฎหมาย: ข้ออ้าง “ส่งแค่ค่าแฮช” ใช้ไม่ได้แล้ว
การแฮชเคยเป็นข้ออ้างเชิงเทคนิคที่ทำให้ทีมการตลาดสบายใจ PPC Land ชี้ว่า DPIA บางฉบับเขียนบนสมมติฐานว่าส่งออกไปแค่ค่าแฮช เมื่อ Google ถอดรหัสข้อมูลเดิมได้เอง สมมติฐานนั้นต้องแก้ ความจริงคือค่าแฮชก็ไม่เคยทำให้ข้อมูลเป็นนิรนาม เพราะอีเมลเดิมได้ค่าแฮชเดิมทุกครั้ง
คำถามถัดมาคือ Google ทำหน้าที่ผู้ประมวลผลหรือผู้ควบคุมในงานนี้ สถานะดูจากสิ่งที่ผู้รับข้อมูลทำจริง ไม่ใช่ชื่อในสัญญา ประเด็นนี้อธิบายไว้ใน สัญญาผู้ประมวลผลข้อมูล ข้อไหนขาดไม่ได้ ฝ่ายกฎหมายควรเทียบกับข้อกำหนดข้อมูลของ Google Ads ที่บริษัทยอมรับไว้
ทีมการตลาดและเอเจนซี่: รายชื่อที่อัปโหลดต้องมีฐานกฎหมายจริง
ทีมการตลาดต้องพิสูจน์ได้ว่ารายชื่อทุกคนที่ส่งเข้า Customer Match มีฐานกฎหมายสำหรับการตลาดแบบเจาะกลุ่ม ลูกค้าที่ให้เบอร์โทรไว้เพื่อจัดส่งสินค้า ไม่ได้แปลว่ายอมให้ใช้ยิงแอด คำถามคล้ายกันเคยเกิดกับ ChatGPT Ads เล็งผู้ใช้จากเบอร์โทร อีเมล และพรอมต์ แบรนด์ไทยที่อัปโหลดรายชื่อลูกค้าต้องมีฐานกฎหมายอะไรตาม PDPA
ทีม IT ที่ต่อ CRM เข้ากับ Google
ทีม IT ต้องรู้ว่า connector ที่ต่อจาก CRM หรือคลาวด์ส่งข้อมูลรูปแบบไหนหลัง 16 พฤศจิกายน 2569 Google Ads เคยเปลี่ยนกติกา Customer Match มาแล้วใน Google Ads Customer Match รับ IP address แบบไม่เข้ารหัสแล้ว ผู้ลงโฆษณาไทยต้องเช็ก PDPA อะไรก่อนอัปโหลด
เทียบกับกฎหมายไทย: Google Ads Data Manager ต่างจาก PDPA อย่างไร
การเปลี่ยนของ Google Ads Data Manager ไม่ได้เปลี่ยนหน้าที่ตาม PDPA เลย เพราะ PDPA ไม่ได้ยกเว้นข้อมูลที่แฮชแล้ว สิ่งที่เปลี่ยนคือข้อแก้ตัวทางเทคนิคหายไป
| ประเด็น | ตามอีเมลของ Google | PDPA ไทย |
|---|---|---|
| ฐานการใช้ข้อมูลทำแอด | อีเมลไม่พูดถึงความยินยอม | ความยินยอม ม.19 หรือประโยชน์โดยชอบด้วยกฎหมาย ม.24(5) ต้องชั่งน้ำหนักให้ได้ |
| แจ้งลูกค้า | ไม่มีข้อกำหนดใหม่ | Privacy Notice ม.23 ต้องบอกว่าส่งข้อมูลให้แพลตฟอร์มโฆษณา |
| ส่งข้อมูลออกนอกประเทศ | Google ถอดรหัสใน TEE ของตัวเอง | ม.28–29 ส่งข้อมูลไปต่างประเทศ |
| บันทึกและความปลอดภัย | การเข้ารหัสระหว่างส่ง | ม.39 บันทึกรายการ (ROPA) และ ม.37(1) มาตรการความมั่นคงปลอดภัย |
| ประเมินความเสี่ยง | ไม่ได้กล่าวถึง | DPIA ใช้พิสูจน์การประเมินความเสี่ยง (เทียบ GDPR Art.35) |
ช่องว่างที่ต้องระวังคือ ธุรกิจไทยจำนวนมากใช้ “ค่าแฮช” เป็นเหตุผลว่าไม่ต้องขอความยินยอมหรือไม่ต้องแจ้งเรื่องการส่งข้อมูลไปต่างประเทศ เหตุผลนั้นอ่อนตั้งแต่ต้น และจะใช้ไม่ได้เลยเมื่อ Google ถอดรหัสข้อมูลเอง กรณีหน่วยงานยุโรปคุมการติดตามอีเมลการตลาดเข้มขึ้น ดู อิตาลีบังคับขอความยินยอมก่อนใช้พิกเซลติดตามการเปิดอีเมลการตลาด เส้นตาย 29 ต.ค. 2569 ธุรกิจไทยที่ส่งอีเมลถึงยุโรปต้องเช็กอะไร
ถ้าไม่ทบทวนการใช้ Google Ads Data Manager จะเสี่ยงอะไร
ถ้าไม่ทบทวน DPIA และ Privacy Notice ของบริษัทจะเขียนไม่ตรงกับสิ่งที่เกิดขึ้นจริง เมื่อมีลูกค้าร้องเรียนหรือมีเหตุข้อมูลรั่ว เอกสารที่ไม่ตรงความจริงจะกลายเป็นหลักฐานว่าบริษัทไม่ได้ประเมินความเสี่ยง
ความเสี่ยงที่สองคือรายชื่อที่ไม่มีฐานกฎหมาย การใช้ Google Ads Data Manager อัปโหลดลูกค้าที่ไม่เคยยินยอมรับการตลาด อาจถูกมองว่าใช้ข้อมูลเกินวัตถุประสงค์ที่แจ้งไว้ตาม ม.21 และเป็นภาระของผู้ลงโฆษณาไทยเอง ไม่ใช่ของ Google
ทีมการตลาดและ DPO ควรทำอะไรก่อน 16 พ.ย. 2569
ทีมการตลาดและ DPO ควรทำ 5 เรื่องนี้ให้เสร็จก่อน 16 พฤศจิกายน 2569 แม้ Google ยังไม่ประกาศทางการ เพราะทุกข้อจำเป็นตาม PDPA อยู่แล้ว
- 1. DPO แก้ DPIA ของ Customer Match ภายใน 10 พ.ย. 2569 ลบสมมติฐาน “ส่งแค่ค่าแฮช” แล้วประเมินใหม่ว่า Google เห็นข้อมูลดิบ
- 2. ทีมการตลาดคัดรายชื่อก่อนอัปโหลดรอบถัดไป ส่งเฉพาะลูกค้าที่ยินยอมรับการตลาด หรือมีการชั่งน้ำหนักประโยชน์โดยชอบด้วยกฎหมายที่บันทึกไว้
- 3. ฝ่ายกฎหมายอัปเดต Privacy Notice และ ROPA ระบุว่าส่งอีเมล เบอร์โทร และที่อยู่ให้แพลตฟอร์มโฆษณาในต่างประเทศเพื่อจับคู่และยิงแอด
- 4. ฝ่ายกฎหมายตรวจข้อกำหนดข้อมูลของ Google Ads ดูสถานะผู้ควบคุมหรือผู้ประมวลผล และมาตรการส่งข้อมูลไปต่างประเทศตาม ม.28–29
- 5. ทีม IT เช็กการตั้งค่า connector และจับตาประกาศทางการ บันทึกว่าแต่ละช่องทางส่งข้อมูลแบบไหน และตรวจเว็บ Google Ads อีกครั้งก่อน 16 พ.ย. 2569
ทีมการตลาดที่อยากได้ภาพรวมว่าเครื่องมือโฆษณาตัวไหนต้องใช้ฐานกฎหมายแบบใด เริ่มจาก คู่มือ PDPA สำหรับนักการตลาดดิจิทัล
มุมมองผู้เชี่ยวชาญ
ข้อสังเกตเชิงวิชาชีพของผมคือ การแฮชไม่เคยเป็นฐานทางกฎหมาย มันเป็นแค่ความสบายใจทางเทคนิค วันที่ Google ถอดรหัสรายชื่อลูกค้าได้เอง คือวันที่ผู้ลงโฆษณาไทยต้องยืนรับผิดเรื่องฐานกฎหมายด้วยตัวเองเต็ม ๆ จุดที่องค์กรมักพลาดคือรอให้ Google ประกาศทางการก่อนค่อยขยับ ทั้งที่การมีฐานกฎหมายและ Privacy Notice ที่ตรงความจริงเป็นหน้าที่ตาม PDPA อยู่แล้ว และต้องย้ำว่าข้อมูลเรื่องนี้ยังมาจากสำเนาอีเมล ไม่ใช่ประกาศทางการของ Google
— Phuwara Krobtaku —
LL.M. (IP & IT) | M.S. (IT) | Thai Barrister & Attorney-at-Law
ประวัติผู้เขียน · นโยบายบรรณาธิการ
คำถามที่พบบ่อยเกี่ยวกับ Google Ads Data Manager
Google ประกาศทางการแล้วหรือยังว่าเลิกบังคับแฮช
ยังไม่มีประกาศทางการบนเว็บ Google ข้อมูลมาจากสำเนาอีเมลที่ผู้ใช้ LinkedIn รายหนึ่งโพสต์เมื่อ 18 ตุลาคม 2569 จึงควรถือว่ายังไม่ยืนยัน
ข้อมูลลูกค้าที่แฮชแล้วยังเป็นข้อมูลส่วนบุคคลตาม PDPA ไหม
ยังเป็น เพราะอีเมลเดิมได้ค่าแฮชเดิมทุกครั้ง จึงยังระบุตัวคนได้ FTC ของสหรัฐเคยระบุเมื่อกรกฎาคม 2567 ว่าข้อมูลแฮชไม่ใช่ข้อมูลนิรนาม การอัปโหลดผ่าน Google Ads Data Manager จึงต้องมีฐานกฎหมายเสมอ
การเปลี่ยนแปลงนี้ใช้กับฟีเจอร์ไหนบ้าง
ตามอีเมล ใช้กับ Customer Match และ enhanced conversions ผ่าน CRM connections, cloud storage imports, direct file uploads และ Data Manager API ข้อมูลที่เกี่ยวข้องคืออีเมล เบอร์โทร และที่อยู่
ทำ Customer Match ต้องขอความยินยอมลูกค้าก่อนไหม
ต้องมีฐานกฎหมาย ซึ่งอาจเป็นความยินยอมตาม ม.19 หรือประโยชน์โดยชอบด้วยกฎหมายตาม ม.24(5) ที่ชั่งน้ำหนักและบันทึกไว้ ถ้าเก็บข้อมูลมาเพื่อจัดส่งสินค้าอย่างเดียว การนำไปยิงแอดเสี่ยงเกินวัตถุประสงค์ตาม ม.21
อ่านต่อ: ความรู้ที่เกี่ยวกับเรื่องนี้
- สัญญาประมวลผลข้อมูลส่วนบุคคล (ผู้ควบคุม–ผู้ประมวลผล) ต้องมีอะไรบ้าง — แบรนด์ที่ให้เอเจนซี่ถือรายชื่อลูกค้าไปอัปโหลดแทน ต้องมีข้อตกลงนี้ก่อนส่งข้อมูลชุดแรก (ok.aipdpa.com)
แหล่งอ้างอิง
- PPC Land — Google Ads Data Manager stops requiring hashed customer data November 16 — อ่านข่าวที่ PPC Land
- PPC News Feed — Google Ads Updates Data Manager Policy on Hashed Customer Data — อ่านข่าวที่ PPC News Feed
บทความนี้เป็นการสรุปข่าวและให้ข้อมูลทั่วไป ไม่ใช่คำแนะนำทางกฎหมาย หากต้องการคำปรึกษาเฉพาะกรณีของธุรกิจคุณ ควรปรึกษาผู้เชี่ยวชาญ
