Google ข้อมูลตำแหน่ง คือคดีที่คณะกรรมการคุ้มครองข้อมูลของไอร์แลนด์ (DPC) สั่งปรับ Google Ireland รวม 403 ล้านยูโร เพราะประมวลผลข้อมูลตำแหน่งผู้ใช้โดยไม่โปร่งใสพอ และเก็บไว้นานเกินจำเป็น บทความนี้เหมาะกับเจ้าของแอป ฝ่ายการตลาด และ DPO ของธุรกิจไทยที่เก็บ location จะได้รู้ว่าความผิดแบบเดียวกันเทียบกับหน้าที่ตาม PDPA อย่างไร และต้องเตรียมหลักฐานอะไร
ลองนึกภาพแอปเดลิเวอรีที่ขอสิทธิ์เข้าถึงตำแหน่ง “เพื่อส่งอาหาร” แต่เก็บเส้นทางของลูกค้าไว้หลายปีเพื่อยิงโฆษณา คดี Google ข้อมูลตำแหน่งบอกว่า หน่วยงานกำกับย้อนไปลงโทษพฤติกรรมเมื่อหลายปีก่อนได้ แม้บริษัทจะแก้ไขไปแล้ว
สรุปสั้น: DPC ไอร์แลนด์ปรับ Google Ireland รวม 403 ล้านยูโร (ราว 462 ล้านดอลลาร์) และสั่งให้แก้การประมวลผลภายใน 6 เดือน คดีครอบคลุม Web & App Activity, Location History และ Location Accuracy ช่วง 25 พ.ค. 2561 ถึง 4 ก.พ. 2563 ธุรกิจไทยที่เก็บข้อมูลตำแหน่งควรใช้คดีนี้ตรวจข้อความแจ้งผู้ใช้ ระยะเวลาเก็บ และหลักฐานย้อนหลังของตัวเอง
คดี Google ข้อมูลตำแหน่ง คืออะไร เกิดอะไรขึ้น
คดี Google ข้อมูลตำแหน่งคือคำสั่งของ DPC ไอร์แลนด์ที่เผยแพร่เมื่อ 21 กันยายน 2569 ให้ Google Ireland จ่ายค่าปรับรวม 403 ล้านยูโร และแก้การประมวลผลให้ถูกต้องภายใน 6 เดือน The Record รายงานว่าเป็นค่าปรับครั้งแรกที่ DPC สั่งต่อ Google
การสอบสวนเริ่มเมื่อกุมภาพันธ์ 2563 หลังกลุ่มผู้บริโภคยุโรป รวมถึง BEUC ยื่นร้องเรียน ช่วงเวลาที่ถูกตรวจคือ 25 พฤษภาคม 2561 ถึง 4 กุมภาพันธ์ 2563 ส่วน Google ชี้แจงว่าเป็นนโยบายในอดีตที่ปรับปรุงแล้วตั้งแต่ปี 2562
ความผิดที่ DPC พบมี 4 เรื่อง ได้แก่ ความชอบด้วยกฎหมายและความเป็นธรรม ความโปร่งใส หลักความรับผิดชอบ และการเก็บข้อมูลตำแหน่งนานเกินจำเป็น
| ประเด็น | ข้อเท็จจริงตามข่าว |
|---|---|
| ผู้สั่งปรับ | DPC ไอร์แลนด์ (ข่าว 21 ก.ย. 2569) |
| ค่าปรับ | รวม 403 ล้านยูโร (ราว 462 ล้านดอลลาร์) + แก้ไขภายใน 6 เดือน |
| ฟีเจอร์ที่เกี่ยวข้อง | Web & App Activity, Location History, Location Accuracy (Android) |
| ช่วงที่ตรวจสอบ | 25 พ.ค. 2561 – 4 ก.พ. 2563 |
| ที่มาของคดี | กลุ่มผู้บริโภคยุโรปรวมถึง BEUC ร้องเรียน สอบสวนตั้งแต่ ก.พ. 2563 |
| คำชี้แจงของ Google | นโยบายในอดีต ปรับปรุงแล้วตั้งแต่ปี 2562 |
Google ข้อมูลตำแหน่ง กระทบธุรกิจไทยอย่างไร
คดี Google ข้อมูลตำแหน่งเกี่ยวกับธุรกิจไทยโดยตรง เพราะข้อมูลตำแหน่งที่ระบุตัวคนได้เป็นข้อมูลส่วนบุคคลตาม PDPA และประเด็นที่ DPC ลงโทษตรงกับหน้าที่ของไทยแทบทุกข้อ ส่วนนี้เป็นการวิเคราะห์ของผู้เขียน
แอปเดลิเวอรี เรียกรถ และค้าปลีก เสี่ยงตรงไหน
แอปเดลิเวอรี เรียกรถ ค้าปลีก และประกันที่ใช้ location ทำโฆษณาเสี่ยงที่ “วัตถุประสงค์” ข้อมูลตำแหน่งที่ขอมาเพื่อส่งของหรือเรียกรถ ถ้านำไปทำโฆษณาตามพื้นที่ ต้องมีฐานทางกฎหมายรองรับแยกต่างหาก
ทางเลือกที่ใช้บ่อยคือความยินยอมตาม PDPA มาตรา 19 หรือประโยชน์โดยชอบด้วยกฎหมายตามมาตรา 24(5) ถ้าเลือกอย่างหลัง ต้องชั่งน้ำหนักให้ได้ว่าประโยชน์ของธุรกิจไม่เกินความคาดหมายของผู้ใช้ ซึ่งสำหรับข้อมูลเส้นทางการเดินทางทั้งวัน ผู้เขียนมองว่าชั่งได้ยาก
ข้อความใน Privacy Notice ต้องชัดแค่ไหน
Privacy Notice ต้องชัดพอที่ผู้ใช้จะรู้ว่าตำแหน่งถูกเก็บเมื่อไร เก็บนานแค่ไหน และใช้ทำอะไร เพราะ PDPA มาตรา 23 กำหนดให้แจ้งเจ้าของข้อมูล และความโปร่งใสคือหนึ่งในความผิดหลักที่ DPC พบในคดีนี้ ตัวอย่างความเสี่ยงของข้อความที่เขียนเกินจริงดูได้ที่ คณะลูกขุนนิวเม็กซิโกชี้ Meta ละเมิดกฎหมาย 44 ล้านครั้ง เพราะ Privacy Notice เขียนเกินจริง ธุรกิจไทยต้องเช็กนโยบายความเป็นส่วนตัวของตัวเอง
เคยแก้ไปแล้ว ทำไมยังโดนย้อนหลังได้
ธุรกิจที่แก้ไขไปแล้วยังโดนย้อนหลังได้ เพราะความผิดเกิดขึ้นในช่วงเวลาที่ตรวจสอบ ไม่ใช่วันที่ออกคำสั่ง คดี Google ข้อมูลตำแหน่งลงโทษพฤติกรรมเมื่อ 6–8 ปีก่อน ทั้งที่ Google บอกว่าแก้แล้วตั้งแต่ปี 2562 พูดง่าย ๆ คือ เอกสารที่พิสูจน์ว่าเคยแจ้งผู้ใช้อะไรไว้ในอดีต สำคัญพอ ๆ กับนโยบายที่ใช้วันนี้
ธุรกิจไทยที่มีผู้ใช้ในยุโรปต้องระวังอะไรเพิ่ม
ธุรกิจไทยที่มีผู้ใช้ใน EU อยู่ภายใต้ GDPR โดยตรง จึงเสี่ยงค่าปรับแบบเดียวกัน ส่วนธุรกิจที่ทำตลาดเฉพาะในไทย ควรใช้คดีนี้เป็นเกณฑ์ตรวจระยะเวลาเก็บข้อมูลตำแหน่งและข้อความในหน้าขอความยินยอม อ่านมุมมองอื่นของ DPC ได้ที่ DPC ไอร์แลนด์ออก AI Insights Report ชี้ legitimate interest ในการฝึก AI คือจุดเสี่ยงหลัก บริษัทไทยที่ใช้ข้อมูลลูกค้าต้องเตรียมอะไร
ถ้าไม่ทำอะไรเลย จะเสี่ยงอะไร
ถ้าธุรกิจไม่ทำอะไรเลยหลังคดี Google ข้อมูลตำแหน่ง ความเสี่ยงแรกคือข้อมูลตำแหน่งเก่าที่เก็บไว้ไม่มีกำหนดกลายเป็นหลักฐานว่าเก็บนานเกินจำเป็น ความเสี่ยงที่สองคือเมื่อมีผู้ร้องเรียน ธุรกิจจะพิสูจน์ไม่ได้ว่าเคยแจ้งผู้ใช้อะไรไว้ เพราะไม่ได้เก็บ Privacy Notice เวอร์ชันเก่า ความเสี่ยงที่สามคือเสียความเชื่อใจ เพราะข่าวเรื่อง “แอปแอบตามตำแหน่ง” กระจายเร็วกว่าคำชี้แจงทุกครั้ง
แอปไทยที่เก็บ location ควรทำอะไรตอนนี้
แอปไทยที่เก็บ location ควรใช้คดี Google ข้อมูลตำแหน่งเป็นจุดตั้งต้น โดยเริ่มจากรู้ให้ได้ก่อนว่าตัวเองเก็บข้อมูลตำแหน่งไว้ที่ไหนบ้าง แล้วค่อยวางระยะเวลาเก็บและหลักฐาน งานเหล่านี้ใช้คนไม่มากและทำได้ภายในไตรมาสเดียว
- 1. ทำ data map ของข้อมูลตำแหน่งทั้งหมด รวมตำแหน่งในแอป ใน log ของเซิร์ฟเวอร์ และที่ส่งให้ SDK โฆษณา
- 2. ผูกแต่ละการใช้งานกับฐานทางกฎหมาย แยกให้ชัดว่าการส่งของใช้ฐานไหน และการทำโฆษณาตามพื้นที่ใช้ฐานไหน
- 3. กำหนดระยะเวลาเก็บที่ชัดเจน เขียนเป็นจำนวนวันหรือเดือน แล้วตั้งระบบลบอัตโนมัติให้ทำงานจริง
- 4. เก็บ Privacy Notice เวอร์ชันเก่าทุกฉบับ พร้อมวันที่ใช้ เพื่อพิสูจน์ย้อนหลังได้ว่าแจ้งผู้ใช้อะไรในช่วงไหน
- 5. ทบทวนหน้าขอสิทธิ์ตำแหน่งในแอป ให้ข้อความบอกตรง ๆ ว่าเก็บเมื่อไร ใช้ทำอะไร และปิดได้อย่างไร
ถ้าต้องการคนช่วยทำ data map และตรวจ Privacy Notice ดูรายละเอียดได้ที่ บริการ AI Governance และ PDPA ของ Kooru และอ่านประเด็นอื่นได้ที่ หมวด PDPA & Privacy
มุมมองผู้เชี่ยวชาญ
ตอนทำ PDPA audit ให้ธุรกิจที่มีแอป ผมมักเจอข้อมูลตำแหน่งกองอยู่ในระบบที่ไม่มีใครจำได้ว่าเก็บไว้ทำไม คดีนี้ย้ำว่าหน่วยงานกำกับดูทั้งสิ่งที่คุณทำวันนี้ และสิ่งที่คุณทำเมื่อหลายปีก่อน ข้อมูลที่ไม่มีวันหมดอายุ คือความเสี่ยงที่ไม่มีวันหมดอายุเหมือนกัน ผมแนะนำให้ลูกค้าเก็บ Privacy Notice ทุกเวอร์ชันไว้เหมือนเก็บสัญญา เพราะวันที่ถูกถาม มันคือหลักฐานชิ้นแรกที่ต้องยื่น
— Phuwara Krobtaku —
LL.M. (IP & IT) | M.S. (IT) | Thai Barrister & Attorney-at-Law
คำถามที่พบบ่อยเกี่ยวกับ Google ข้อมูลตำแหน่ง
Google โดนปรับเท่าไหร่ เรื่องข้อมูลตำแหน่ง
DPC ไอร์แลนด์สั่งปรับ Google Ireland รวม 403 ล้านยูโร หรือราว 462 ล้านดอลลาร์ และสั่งให้แก้การประมวลผลให้ถูกต้องภายใน 6 เดือน คดีครอบคลุม Web & App Activity, Location History และ Location Accuracy
ทำไม Google ถึงโดนปรับ ทั้งที่แก้นโยบายแล้ว
Google โดนปรับเพราะความผิดเกิดในช่วง 25 พ.ค. 2561 ถึง 4 ก.พ. 2563 ซึ่งเป็นช่วงที่ถูกตรวจสอบ การแก้ไขภายหลังไม่ได้ลบความผิดในช่วงนั้น DPC พบปัญหาเรื่องความโปร่งใส หลักความรับผิดชอบ และการเก็บข้อมูลนานเกินจำเป็น
ข้อมูลตำแหน่งเป็นข้อมูลส่วนบุคคลตาม PDPA ไหม
ข้อมูลตำแหน่งที่ระบุหรือเชื่อมโยงถึงตัวบุคคลได้เป็นข้อมูลส่วนบุคคลตาม PDPA ธุรกิจที่เก็บต้องแจ้งเจ้าของข้อมูลตามมาตรา 23 และต้องมีฐานทางกฎหมาย เช่น ความยินยอมตามมาตรา 19 หรือประโยชน์โดยชอบด้วยกฎหมายตามมาตรา 24(5)
ธุรกิจไทยที่ไม่มีลูกค้าในยุโรปต้องสนใจคดีนี้ไหม
ควรสนใจ เพราะประเด็นที่ DPC ลงโทษตรงกับหน้าที่ตาม PDPA ของไทย ทั้งเรื่องการแจ้งผู้ใช้ ฐานทางกฎหมาย และระยะเวลาเก็บข้อมูล คดีนี้จึงใช้เป็นเกณฑ์ตรวจตัวเองได้ดีแม้จะไม่ได้อยู่ใต้ GDPR
แหล่งอ้างอิง
- Data Protection Commission (ไอร์แลนด์) — (อ่านต้นฉบับ) — อ่านประกาศค่าปรับ Google ที่ DPC
- The Record — (อ่านต้นฉบับ) — อ่านรายงานคดีที่ The Record
อ่านหลักการคัดเลือกและตรวจสอบข่าวของเราได้ที่ นโยบายบรรณาธิการ
บทความนี้เป็นการสรุปข่าวและให้ข้อมูลทั่วไป ไม่ใช่คำแนะนำทางกฎหมาย หากต้องการคำปรึกษาเฉพาะกรณีของธุรกิจคุณ ควรปรึกษาผู้เชี่ยวชาญ
