ข้อมูลตำแหน่งเป็นเหตุให้ Google ถูกคณะกรรมการคุ้มครองข้อมูลของไอร์แลนด์ (DPC) สั่งปรับ 403 ล้านยูโร หรือประมาณ 1.57 หมื่นล้านบาท เมื่อ 21 กันยายน 2569 ประเด็นสำคัญไม่ได้อยู่ที่ตัวเลข แต่อยู่ที่ DPC ไล่ตรวจความผิดทีละฟีเจอร์ ซึ่งเป็นวิธีเดียวกับที่หน่วยงานไทยใช้ตรวจแอปเรียกรถ ส่งอาหาร และ e-wallet ได้ทันที
สารบัญ
- Google ถูกปรับเพราะอะไร
- ทำไมการแยกความผิดรายฟีเจอร์ถึงน่ากลัว
- PDPA ของไทยมีข้อไหนตรงกับคดีนี้
- ข้อมูลตำแหน่งกระทบธุรกิจไทยอย่างไร
- ธุรกิจไทยควรทำอะไรตอนนี้
- มุมมองผู้เชี่ยวชาญ
- คำถามที่พบบ่อย
ลองนึกภาพแบบนี้
คุณเปิดแอปเรียกรถไปทำงานตอนเช้า ตกเย็นสั่งข้าวผ่านอีกแอป กลางคืนจ่ายค่าไฟด้วย e-wallet ทั้งสามแอปรู้ว่าคุณอยู่ที่ไหนตลอดวัน แล้วถ้าถามว่า ตำแหน่งที่แอปพวกนี้เก็บไปเมื่อสองปีก่อน ตอนนี้ยังอยู่ไหม และถูกเอาไปใช้ทำอะไร
คุณตอบไม่ได้ และหลายครั้งเจ้าของแอปเองก็ตอบไม่ได้เหมือนกัน
Google ถูกปรับเพราะคำถามแบบนี้แหละครับ
Google ถูกปรับเพราะเก็บข้อมูลตำแหน่งอย่างไร
Google ถูกปรับเพราะ DPC เห็นว่าการเก็บข้อมูลตำแหน่งผ่าน 3 ฟีเจอร์ ละเมิดหลักการสำคัญของ GDPR ถึง 4 ข้อ ได้แก่ การประมวลผลต้องชอบด้วยกฎหมายและเป็นธรรม ต้องโปร่งใส ต้องรับผิดชอบพิสูจน์ได้ และห้ามเก็บข้อมูลนานเกินจำเป็น ช่วงที่ถูกตรวจคือ 25 พฤษภาคม 2561 ถึง 4 กุมภาพันธ์ 2563
| ฟีเจอร์ | ทำอะไร (แบบง่าย) |
|---|---|
| Web & App Activity | จำสิ่งที่คุณค้นหาและทำในแอป Google รวมถึงคุณอยู่ที่ไหนตอนทำ |
| Location History | บันทึกเส้นทางว่าคุณไปไหนมาบ้างในแต่ละวัน |
| Location Accuracy | ใช้ Wi-Fi และสัญญาณรอบตัวช่วยระบุตำแหน่งให้แม่นขึ้น |
Google ต้องแก้ไขวิธีประมวลผลให้ถูกต้องภายใน 6 เดือน
ทำไมการแยกความผิดของข้อมูลตำแหน่งเป็นรายฟีเจอร์ถึงน่ากลัว
การแยกความผิดรายฟีเจอร์น่ากลัว เพราะหน่วยงานไม่ได้ดูแค่ว่าบริษัทมีนโยบายความเป็นส่วนตัวหรือเปล่า แต่ดูว่าแต่ละฟีเจอร์มีเหตุผลทางกฎหมายรองรับการเก็บข้อมูลตำแหน่งไหม แจ้งผู้ใช้ชัดเจนหรือเปล่า และเก็บไว้นานเท่าไร ถ้าฟีเจอร์ไหนตอบไม่ได้ ฟีเจอร์นั้นก็นับเป็นความผิดหนึ่งกรณี
ลองเทียบกับแอปทั่วไปในไทย ส่วนใหญ่ขอความยินยอมครั้งเดียวตอนสมัคร แล้วเอาตำแหน่งไปใช้ทุกอย่าง ตั้งแต่หาคนขับ ยิงโฆษณา ไปจนถึงวิเคราะห์พฤติกรรม ถ้าเอาวิธีของ DPC มาตรวจแอปแบบนี้ ก็เท่ากับทุกฟีเจอร์มีปัญหาพร้อมกัน
PDPA ของไทยมีมาตราไหนตรงกับคดีข้อมูลตำแหน่งของ Google
PDPA ของไทยมีอย่างน้อย 3 มาตราที่ตรงกับคดีนี้ ได้แก่ มาตรา 19 เรื่องความยินยอม มาตรา 23 เรื่องการแจ้งผู้ใช้ และมาตรา 37 เรื่องการลบข้อมูลเมื่อพ้นระยะเวลาเก็บ หลักการทั้งสามข้อตรงกับประเด็นที่ DPC ใช้ตัดสิน Google แอปไทยจึงเอาคดีนี้มาเทียบความเสี่ยงของตัวเองได้เลย
| ประเด็นที่ Google โดน | PDPA ของไทย | คำถามที่ต้องตอบให้ได้ |
|---|---|---|
| ชอบด้วยกฎหมายและเป็นธรรม | มาตรา 19 | ขอความยินยอมแยกเป็นเรื่องๆ หรือรวมไว้ช่องเดียว |
| ความโปร่งใส | มาตรา 23 | แจ้งผู้ใช้ไหมว่าเอาตำแหน่งไปใช้ทำอะไรบ้าง |
| ระยะเวลาเก็บ | มาตรา 37 | มีวันกำหนดลบตำแหน่งเก่าไหม |
| Accountability | มาตรา 39 | ROPA แยกรายฟีเจอร์แล้วหรือยัง |
ข้อมูลตำแหน่งกระทบธุรกิจไทยอย่างไร
ข้อมูลตำแหน่งเป็นความเสี่ยงของธุรกิจไทยทุกรายที่มีแอป เพราะแอปแทบทุกตัวขอสิทธิ์ GPS ไว้ แม้ฟีเจอร์หลักจะไม่ต้องใช้ก็ตาม ความเสี่ยงไม่ได้อยู่แค่ที่ค่าปรับ แต่อยู่ที่ต้องรื้อระบบกลางทางด้วย
ผลกระทบในทางกฎหมาย: ค่าปรับทางปกครองตาม PDPA สูงสุด 5 ล้านบาทต่อกรณี ฟังดูไม่มากเมื่อเทียบกับของยุโรป แต่ถ้า สคส. เอาวิธีแยกรายฟีเจอร์แบบ DPC มาใช้ แอปที่มี 5 ฟีเจอร์ใช้ตำแหน่งก็อาจโดนนับเป็น 5 กรณี ยังไม่รวมค่าเสียหายทางแพ่งที่ศาลสั่งเพิ่มได้อีกสูงสุดสองเท่าของค่าเสียหายจริง ถ้าผู้ใช้ฟ้องรวมกันเป็นกลุ่ม
ผลกระทบในทางธุรกิจ: ถ้าหน่วยงานสั่งให้แก้ภายใน 6 เดือนเหมือนที่สั่ง Google ทีมพัฒนาต้องหยุดทำฟีเจอร์ใหม่แล้วกลับมาแยกระบบขอความยินยอม เขียนคำอธิบายใหม่ และทำระบบลบข้อมูลอัตโนมัติ ถ้าทำไว้ตั้งแต่ตอนออกแบบ จะถูกกว่าไปแก้ตอนโดนสั่งหลายเท่า
ผลกระทบต่อคนทั่วไป: ข้อมูลตำแหน่งที่เก็บไว้นานๆ บอกได้ว่าบ้านคุณอยู่ไหน ที่ทำงานอยู่ไหน ไปโรงพยาบาลบ่อยแค่ไหน ถ้าข้อมูลนี้รั่ว ความเสียหายตามมาหลายชั้น
ผลกระทบต่อความเชื่อใจ: ลูกค้าไทยตื่นตัวเรื่องข้อมูลมากขึ้นกว่าเดิมเยอะ แอปที่มีหน้าตั้งค่าแยกให้ปิดตำแหน่งทีละฟีเจอร์ได้ จะดูน่าเชื่อถือกว่าคู่แข่งทันที
ธุรกิจไทยควรเช็กข้อมูลตำแหน่งในแอปอย่างไร
ธุรกิจไทยควรเริ่มจากไล่ดูว่าฟีเจอร์ไหนในแอปใช้ข้อมูลตำแหน่งบ้าง แล้วแยกเหตุผล การแจ้งผู้ใช้ และวันลบข้อมูลของแต่ละฟีเจอร์ออกจากกัน ใช้เวลาประมาณหนึ่งสัปดาห์ก็เห็นภาพแล้ว
- 1. ลิสต์ทุกฟีเจอร์ที่ใช้ตำแหน่ง รวมถึง SDK โฆษณาและแผนที่ที่ฝังอยู่ในแอป
- 2. แยก ROPA เป็นรายฟีเจอร์ แต่ละบรรทัดต้องบอกได้ว่าใช้ฐานทางกฎหมายอะไร และเก็บกี่วัน
- 3. เลิกใช้ความยินยอมช่องเดียวครอบทุกอย่าง เช่น ตำแหน่งที่ใช้หาคนขับไม่ต้องขอความยินยอมเพราะจำเป็นต่อการให้บริการ แต่ตำแหน่งที่ใช้ยิงโฆษณาต้องขอแยกต่างหาก
- 4. ตั้งระบบลบข้อมูลอัตโนมัติ เช่น ตำแหน่งดิบเก็บไว้ 90 วันแล้วลบหรือทำให้ระบุตัวไม่ได้
- 5. เขียนคำอธิบายให้คนทั่วไปอ่านรู้เรื่อง บอกเป็นข้อๆ ว่าตำแหน่งถูกใช้ทำอะไร
มุมมองผู้เชี่ยวชาญ
“แอปไทยส่วนใหญ่มีปุ่มยอมรับอยู่ปุ่มเดียว แล้วคิดว่าแค่นี้ก็ครอบทุกเรื่องแล้ว แต่ Google เพิ่งโดนปรับหมื่นห้าพันล้านบาททั้งที่มีทีมกฎหมายเป็นร้อยคน เพราะหน่วยงานไล่ดูทีละฟีเจอร์ ถ้าวันนี้ถามทีมคุณว่าตำแหน่งที่เก็บไว้เมื่อปีก่อนจะลบวันไหน แล้วไม่มีใครตอบได้ ก็ให้ถือว่าคุณเริ่มเสี่ยงแล้ว”
— Phuwara Krobtaku —|
LL.M. (IP & IT) | M.S. (IT) | Thai Barrister & Attorney-at-Law
คำถามที่พบบ่อยเกี่ยวกับข้อมูลตำแหน่งและคดี Google
Google ถูกปรับเท่าไรจากคดีข้อมูลตำแหน่ง
Google ถูก DPC ไอร์แลนด์สั่งปรับ 403 ล้านยูโร หรือประมาณ 1.57 หมื่นล้านบาทที่อัตรา 39 บาทต่อยูโร และต้องแก้ไขการประมวลผลให้ถูกต้องภายใน 6 เดือน
ฟีเจอร์ไหนของ Google ที่ถูกตรวจสอบเรื่องข้อมูลตำแหน่ง
DPC ตรวจ 3 ฟีเจอร์ ได้แก่ Web & App Activity, Location History และ Location Accuracy ในช่วง 25 พฤษภาคม 2561 ถึง 4 กุมภาพันธ์ 2563
PDPA มาตราไหนเกี่ยวกับการเก็บข้อมูลตำแหน่ง
PDPA มาตรา 19 เรื่องความยินยอม มาตรา 23 เรื่องการแจ้งผู้ใช้ และมาตรา 37 เรื่องการลบข้อมูลเมื่อพ้นระยะเวลาเก็บ ตรงกับประเด็นที่ DPC ใช้ตัดสิน Google
ROPA ต้องแยกรายฟีเจอร์ไหม
PDPA ไม่ได้เขียนบังคับไว้ตรงๆ แต่คดี Google แสดงให้เห็นว่าหน่วยงานตรวจความผิดทีละฟีเจอร์ ROPA ที่แยกฐานทางกฎหมายและระยะเวลาเก็บเป็นรายฟีเจอร์จึงช่วยพิสูจน์ความรับผิดชอบได้ชัดกว่า
แหล่งอ้างอิง
- Data Protection Commission (ไอร์แลนด์): Data Protection Commission fines Google €403 million following inquiry into Google’s processing of location data (21 กันยายน 2569)
- พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 มาตรา 19, 23, 37, 39
- อ่านต่อ: EU KIDS Act สั่งปิด AI Chatbot สำหรับเด็ก · บริการ DPO และ PDPA ของ kooru.com
บทความนี้เป็นการสรุปข่าวและให้ข้อมูลทั่วไป ไม่ใช่คำแนะนำทางกฎหมาย หากต้องการคำปรึกษาเฉพาะกรณีของธุรกิจคุณ ควรปรึกษาผู้เชี่ยวชาญ
