Xandr Grindr คือคดีที่หน่วยงานคุ้มครองข้อมูลของนอร์เวย์ (Datatilsynet) ปรับ Xandr ซึ่งเดิมคือ AppNexus และปัจจุบันเป็นของ Microsoft เป็นเงิน 92 ล้านโครน ตามคำสั่งลงวันที่ 2 ตุลาคม 2569 เหตุคือรับและส่งต่อข้อมูลผู้ใช้ Grindr โดยไม่ตรวจว่าผู้ใช้ยินยอม บทความนี้เหมาะกับแอป เอเจนซีโฆษณา และแพลตฟอร์มไทยที่ส่งข้อมูลให้บุคคลที่สาม
ลองนึกภาพแอปหาคู่ของไทยแอปหนึ่งที่ใส่ SDK โฆษณาของบริษัทภายนอกไว้ 6 ตัว (ตัวอย่างสมมติ) ทุกครั้งที่เปิดแอป ตัวเลขประจำเครื่องและ IP ของผู้ใช้ถูกส่งออกไปให้ผู้ซื้อโฆษณาที่เจ้าของแอปไม่เคยเห็นหน้า เรื่องนี้ไม่ไกลตัว เพราะรูปแบบเดียวกันเกิดกับ Grindr ในนอร์เวย์ และจบที่ค่าปรับสูงสุดเท่าที่หน่วยงานเคยปรับ
สรุปสั้น: ตามรายงานของ PPC Land นอร์เวย์ปรับ Xandr 92 ล้านโครน ราว 8.5-8.6 ล้านยูโร เพราะรับและส่งต่อข้อมูลผู้ใช้ Grindr ที่เผยรสนิยมทางเพศโดยไม่ตรวจความยินยอม ผู้ถูกปรับอุทธรณ์ได้ แอปและเอเจนซีไทยที่ส่ง advertising ID ให้บุคคลที่สามควรทำแผนผังการไหลข้อมูล ตรวจ SDK และเขียนสัญญาแบ่งหน้าที่ผู้ควบคุมร่วม
Xandr Grindr คืออะไร เกิดอะไรขึ้น
Xandr Grindr เป็นคดีที่ Datatilsynet ใช้กฎ GDPR กับตัวกลางโฆษณาที่ไม่ใช่เจ้าของแอป ตามรายงานของ PPC Land Xandr รับข้อมูลผู้ใช้ Grindr ช่วงกรกฎาคม 2561 ถึงเมษายน 2563 อย่างน้อยชื่อแอป advertising ID และ IP แล้วส่งต่อได้ถึงบริษัทหลายพันราย ข้อมูลทั้งหมดในหัวข้อนี้เป็นข้อเท็จจริงตามคำรายงานของสื่อ ไม่ใช่การอ่านคำสั่งต้นฉบับของผู้เขียน
| ประเด็น | ข้อเท็จจริงตามรายงาน |
|---|---|
| ผู้ถูกปรับ | Xandr (เดิม AppNexus ปัจจุบันเป็นของ Microsoft) |
| ค่าปรับ | 92 ล้านโครน ราว 8.5-8.6 ล้านยูโร สูงสุดเท่าที่หน่วยงานเคยปรับ |
| วันที่ | คำสั่งลงวันที่ 2 ตุลาคม 2569 สื่อรายงาน 12-13 ตุลาคม 2569 |
| ข้อมูลที่ถูกส่งต่อ | ชื่อแอป advertising ID และ IP ช่วง ก.ค. 2561 ถึง เม.ย. 2563 |
| สถานะ | ผู้ถูกปรับอุทธรณ์ได้ภายใน 3 สัปดาห์ ยังไม่ถึงที่สุด |
ข้อมูลว่าใครเป็นผู้ใช้ Grindr ถือเป็นข้อมูลที่เผยรสนิยมทางเพศ ซึ่ง GDPR มาตรา 9 จัดเป็นข้อมูลอ่อนไหว ต้องมีความยินยอมโดยชัดแจ้ง ตามรายงานหน่วยงานเห็นว่า Xandr เป็นผู้ควบคุมร่วมกับ Grindr แต่ไม่ตรวจว่าผู้ใช้ยินยอมหรือไม่
รายงานยังระบุว่า Xandr ลบบันทึกระหว่างถูกสอบสวน ซึ่งไม่เป็นคุณต่อบริษัท คดีใช้เวลาราว 6 ปีเศษนับจากเรื่องร้องเรียนเมื่อ 14 มกราคม 2563 และหน่วยงานลดค่าปรับเพราะความล่าช้าของตัวเอง
Xandr Grindr กระทบแอปและธุรกิจโฆษณาไทยอย่างไร
Xandr Grindr กระทบธุรกิจไทยตรงหลักว่า ความรับผิดชอบโอนให้คนอื่นไม่ได้ ใช้กับตัวกลางและผู้ซื้อโฆษณาด้วย ไม่ใช่แค่เจ้าของแอป ส่วนนี้เป็นการวิเคราะห์ของผู้เขียน และเป็นการเทียบรูปแบบ ไม่ได้บอกว่าบริษัทไทยรายใดทำผิด
แอปไทยที่ส่ง advertising ID ให้บุคคลที่สามผ่าน SDK ต้องดูอะไร
แอปไทยที่ส่ง advertising ID และ IP ให้บุคคลที่สามผ่าน SDK หรือระบบประมูลโฆษณา (RTB) อาจมีรูปแบบการไหลของข้อมูลเดียวกับที่เกิดในนอร์เวย์ จุดตรวจแรกคือรายชื่อ SDK ทุกตัว และข้อมูลที่แต่ละตัวส่งออก
แอปที่ให้บริการเรื่องสุขภาพ ความสัมพันธ์ หรือศาสนาต้องระวังเป็นพิเศษ เพราะแค่การรู้ว่าใครใช้แอปนั้นอาจอนุมานข้อมูลอ่อนไหวตามมาตรา 26 ของ PDPA ได้
ใครเป็นผู้ควบคุมร่วม และใครต้องเก็บความยินยอม
เมื่อแอปกับเครือข่ายโฆษณาร่วมกันกำหนดว่าข้อมูลจะถูกใช้อย่างไร ทั้งสองฝ่ายอาจเป็นผู้ควบคุมข้อมูลร่วม และต้องตกลงกันล่วงหน้าว่าใครแจ้งผู้ใช้ ใครเก็บความยินยอมตามมาตรา 19 และใครตอบเมื่อเจ้าของข้อมูลใช้สิทธิ
สัญญาแบ่งปันข้อมูลระหว่างผู้ควบคุมกับผู้ควบคุมต้องมีเรื่องอะไรบ้าง อ่านได้ใน บันทึกข้อตกลงการแบ่งปันข้อมูลส่วนบุคคล (ผู้ควบคุมกับผู้ควบคุม) ต้องมีอะไรบ้าง
เอเจนซีและผู้ซื้อโฆษณาไทยเสี่ยงอย่างไรเมื่อใช้ข้อมูลกลุ่มเป้าหมายจากแหล่งอื่น
เอเจนซีและผู้ซื้อโฆษณาเสี่ยงเมื่อรับรายชื่อกลุ่มเป้าหมายหรือข้อมูลผู้ใช้จากแหล่งที่ไม่รู้ว่าเก็บความยินยอมมาอย่างไร ตามหลักที่คดีนี้แสดง ตัวกลางในห่วงโซ่ไม่พ้นความรับผิดเพียงเพราะข้อมูลมาจากเจ้าของแอป ประเด็นการอัปโหลดข้อมูลลูกค้าเข้าแพลตฟอร์มโฆษณาสรุปไว้ใน Google Ads Customer Match รับ IP address แบบไม่เข้ารหัสแล้ว ผู้ลงโฆษณาไทยต้องเช็ก PDPA อะไรก่อนอัปโหลด
ค่าปรับระดับนี้มีผลกับบริษัทไทยหรือไม่
ค่าปรับของนอร์เวย์ไม่ผูกมัดไทยโดยตรง แต่แสดงว่าหน่วยงานยุโรปมองผู้ควบคุมร่วมและตัวกลางโฆษณาอย่างไร สูตรคำนวณค่าปรับ GDPR ดู ค่าปรับ GDPR มีสูตรคำนวณแล้ว: 5 ขั้นที่ธุรกิจไทยควรรู้ก่อนเจอ PDPA ส่วนแบรนด์ที่กำลังเตรียมใช้แชตโฆษณาดู LINE เตรียมเปิด Chat Ad ก่อนสิ้นปี 2569 ลูกค้าทักแชตจากโฆษณาได้โดยไม่ต้องเพิ่มเพื่อน แบรนด์ไทยต้องแจ้ง PDPA อย่างไรตั้งแต่ข้อความแรก
ถ้าไม่ทำอะไรเลย องค์กรจะเสี่ยงอะไรจากคดี Xandr Grindr
ถ้าไม่ทำอะไร แอปและเอเจนซีเสี่ยงส่งข้อมูลอ่อนไหวออกไปโดยไม่รู้ตัว เพราะข้อมูลที่ดูเป็นแค่ตัวเลขประจำเครื่องและ IP อาจบอกได้ว่าผู้ใช้ใช้แอปประเภทใด
อีกความเสี่ยงคือพิสูจน์ไม่ได้ว่าใครเก็บความยินยอม ตามรายงาน การลบบันทึกระหว่างถูกสอบสวนไม่เป็นคุณต่อ Xandr
แอปและเอเจนซีโฆษณาควรทำอะไรตอนนี้
แอป เอเจนซี และแพลตฟอร์มโฆษณาไทยควรทำ 5 เรื่องนี้ เพื่อไม่ให้ซ้ำรอยคดี Xandr Grindr
- 1. ทำแผนผังการไหลข้อมูลโฆษณา จดว่าข้อมูลผู้ใช้ออกจากแอปไปที่ใดบ้าง ส่งอะไร และใครรับต่อ
- 2. ตรวจ SDK และพันธมิตรโฆษณาทุกราย ดูว่าแต่ละรายเก็บ advertising ID และ IP หรือไม่ และส่งต่อให้ใคร
- 3. เขียนสัญญาแบ่งหน้าที่ผู้ควบคุมร่วม กำหนดว่าใครแจ้งผู้ใช้ ใครเก็บความยินยอม และใครตอบเมื่อมีคำร้อง
- 4. ปิดการส่งข้อมูลในหมวดอ่อนไหว ถ้าแอปบอกสุขภาพ ความสัมพันธ์ หรือศาสนาของผู้ใช้ได้ ให้ตัดข้อมูลที่ระบุตัวหรือเครื่องออกจากการส่งให้ผู้ซื้อโฆษณา
- 5. เก็บบันทึกการตัดสินใจไว้เมื่อถูกตรวจ ห้ามลบบันทึกการไหลข้อมูลและการขอความยินยอมระหว่างมีเรื่องร้องเรียนหรือการสอบสวน
ถ้าต้องการคนช่วยวางแผนผังข้อมูลและสัญญา ดูได้ที่ บริการ AI Governance และ PDPA ของ Kooru
มุมมองผู้เชี่ยวชาญ
ข้อสังเกตเชิงวิชาชีพของผมคือ คดีนี้ไม่ได้ลงโทษคนทำแอป แต่ลงโทษตัวกลางที่รับข้อมูลต่อโดยไม่ถามว่ามาจากไหน ในห่วงโซ่โฆษณา คนที่ยืนอยู่กลางทางก็ไม่ได้ถูกยกเว้นเพียงเพราะไม่ใช่เจ้าของแอป จุดที่องค์กรมักพลาดคือเขียนสัญญาโฆษณาเพียงเรื่องราคาและรายงาน แต่ไม่เขียนว่าใครเก็บความยินยอมและใครรับผิดเมื่อข้อมูลหลุดไปถึงบุคคลที่สี่
— Phuwara Krobtaku —
LL.M. (IP & IT) | M.S. (IT) | Thai Barrister & Attorney-at-Law
คำถามที่พบบ่อยเกี่ยวกับ Xandr Grindr
Xandr Grindr ถูกปรับเท่าไรและเพราะอะไร
ตามรายงานของ PPC Land Xandr ถูกปรับ 92 ล้านโครน ราว 8.5-8.6 ล้านยูโร เพราะรับและส่งต่อข้อมูลผู้ใช้ Grindr โดยไม่ตรวจว่าผู้ใช้ยินยอม ข้อมูลนี้เผยรสนิยมทางเพศซึ่งเป็นข้อมูลอ่อนไหว
Advertising ID เป็นข้อมูลส่วนบุคคลหรือไม่
ในคดีนี้ advertising ID รวมกับชื่อแอปและ IP ถูกใช้ระบุว่าใครเป็นผู้ใช้แอปใดได้ จึงถูกมองเป็นข้อมูลที่เกี่ยวกับตัวบุคคล สำหรับไทย ข้อมูลที่ระบุตัวบุคคลทางตรงหรือทางอ้อมอยู่ในนิยามข้อมูลส่วนบุคคลของ PDPA ผู้เขียนแนะนำให้ถือว่า advertising ID รวมกับข้อมูลอื่นเป็นข้อมูลส่วนบุคคล
คำสั่งของนอร์เวย์ใช้บังคับกับบริษัทไทยหรือไม่
ไม่ใช้บังคับโดยตรง เป็นคำสั่งของหน่วยงานนอร์เวย์ต่อบริษัทที่อยู่ในเขต GDPR แต่เป็นตัวอย่างที่บริษัทไทยใช้ทบทวนว่าผู้ควบคุมร่วมและตัวกลางโฆษณาในห่วงโซ่ของตนมีหน้าที่อะไรตาม PDPA
อ่านต่อ: ความรู้ที่เกี่ยวกับเรื่องนี้
- ทำสัญญาแล้วมีข้อมูลส่วนบุคคลเกี่ยวข้อง ต้องทำข้อตกลงประมวลผลข้อมูล (DPA) เมื่อไร — ใช้ตัดสินว่าบริษัทโฆษณาหรือผู้ให้บริการเครื่องมือที่รับข้อมูลไปเป็นผู้ประมวลผลตามคำสั่งของเรา หรือใช้ข้อมูลเพื่อวัตถุประสงค์ของตนเอง (ok.aipdpa.com)
แหล่งอ้างอิง
- PPC Land — (อ่านต้นฉบับ) — อ่านข่าวที่ PPC Land ฉบับแรก
- PPC Land — (อ่านต้นฉบับ) — อ่านข่าวที่ PPC Land ฉบับที่สอง
บทความนี้เป็นการสรุปข่าวและให้ข้อมูลทั่วไป ไม่ใช่คำแนะนำทางกฎหมาย หากต้องการคำปรึกษาเฉพาะกรณีของธุรกิจคุณ ควรปรึกษาผู้เชี่ยวชาญ
