สรุปสั้น

Google ถูกสั่งปรับเป็นเงิน 403 ล้านยูโร ฐานละเมิดกฎหมายคุ้มครองข้อมูลของสหภาพยุโรปหรือ GDPR ในวิธีที่ฟีเจอร์ 3 อย่างจัดการข้อมูลตำแหน่งที่ตั้งของผู้ใช้ ในช่วงตั้งแต่เดือนพฤษภาคม 2018 ถึงกุมภาพันธ์ 2020 โดยหน่วยงานคุ้มครองข้อมูลของไอร์แลนด์ (Data Protection Commission หรือ DPC) ซึ่งเป็นหน่วยงานกำกับดูแลหลักของ Google ในสหภาพยุโรป ยังสั่งให้บริษัทปรับการประมวลผลข้อมูลให้สอดคล้องกับกฎหมายภายใน 6 เดือน

ฟีเจอร์ทั้งสามได้แก่ Web & App Activity, Location History และ Location Accuracy โดย DPC พบว่า Google ละเมิดกฎ GDPR เรื่องการประมวลผลที่ชอบด้วยกฎหมายและเป็นธรรม เรื่องความโปร่งใส และเก็บรักษาข้อมูลตำแหน่งไว้นานเกินความจำเป็น ที่ระดับค่าปรับ 403 ล้านยูโร นับเป็นค่าปรับที่ใหญ่เป็นอันดับ 4 ที่ DPC เคยออก แม้จะยังเรียกเก็บไม่ได้ทันทีเพราะค่าปรับของ DPC จะจ่ายได้ต่อเมื่อศาลของไอร์แลนด์รับรองก่อน

รายละเอียดข่าว

เว็บไซต์ The Hacker News รายงานเมื่อวันที่ 21 กันยายน 2569 ว่า DPC ของไอร์แลนด์ได้สั่งปรับ Google เป็นเงิน 403 ล้านยูโร ฐานละเมิด GDPR ในการประมวลผลข้อมูลตำแหน่งที่ตั้งของผู้ใช้

Web & App Activity เป็นการตั้งค่าบัญชี Google ที่เมื่อเปิดใช้งานจะให้ Google ประมวลผลข้อมูลกิจกรรมของผู้ใช้บนเว็บไซต์และแอปพลิเคชัน ซึ่งอาจรวมถึงข้อมูลตำแหน่ง ส่วน Location History ซึ่งผู้ใช้ต้องเลือกเปิด (opt in) จะติดตามว่าผู้ใช้เดินทางไปที่ใดด้วยอุปกรณ์มือถือที่ล็อกอินอยู่ แม้จะไม่ได้ใช้บริการของ Google ก็ตาม สำหรับทั้งสองกรณี DPC พบว่า Google ละเมิดกฎเรื่องการประมวลผลที่ชอบด้วยกฎหมายและเป็นธรรม เรื่องความโปร่งใส และเก็บข้อมูลตำแหน่งนานเกินจำเป็น

ส่วน Location Accuracy เป็นฟีเจอร์ของ Android ที่คำนวณตำแหน่งของอุปกรณ์ได้แม่นยำกว่าการใช้ GPS เพียงอย่างเดียว และใช้ได้กับผู้ใช้ Android ไม่ว่าจะมีบัญชี Google หรือไม่ โดยข้อค้นพบของ DPC สำหรับฟีเจอร์นี้แคบกว่า คือ Google ละเมิดกฎความโปร่งใสและกฎความรับผิดชอบของ GDPR เพราะไม่สามารถพิสูจน์ได้ว่าการประมวลผลนี้ชอบด้วยกฎหมาย เป็นธรรม และโปร่งใส

นาย Graham Doyle รองผู้บัญชาการ DPC ระบุว่าความล้มเหลวเหล่านี้ทำให้ผู้คนอาจไม่รู้ตัวว่าตำแหน่งของตนถูกนำไปใช้ เช่น เพื่อโน้มน้าวด้วยโฆษณาหรืออนุมานความสนใจ และอาจสูญเสียการควบคุมข้อมูลส่วนบุคคลของตน

รายละเอียดคำตัดสิน

DPC เปิดการสอบสวนในเดือนกุมภาพันธ์ 2020 หลังได้รับข้อร้องเรียนจากกลุ่มผู้บริโภคยุโรป รวมถึง BEUC (องค์การผู้บริโภคยุโรป) ซึ่งกลุ่มสมาชิกได้ยื่นร้องเรียนต่อหน่วยงานคุ้มครองข้อมูลระดับชาติมาตั้งแต่เดือนพฤศจิกายน 2018 โดยช่วงเวลาที่ DPC ตรวจสอบสิ้นสุดวันที่ 4 กุมภาพันธ์ 2020 คำตัดสินออกมาหลังเปิดการสอบสวนกว่า 6 ปีครึ่ง ทำให้นาย Agustín Reyna ผู้อำนวยการใหญ่ BEUC แม้จะยินดีแต่ก็วิจารณ์ว่าใช้เวลานานเกินไป โดยกล่าวว่า “การบังคับใช้ที่ล่าช้าอาจเป็นอันตรายพอ ๆ กับการไม่บังคับใช้เลย”

ในแถลงการณ์ที่รายงานโดยสำนักข่าว Associated Press บริษัท Google ระบุว่าคดีนี้ “มุ่งไปที่นโยบายในอดีตที่ได้รับการปรับปรุงไปแล้ว” และบริษัทได้เปลี่ยนแนวปฏิบัติไปอย่างมีนัยสำคัญตั้งแต่ปี 2019 โดยในเดือนพฤษภาคม 2019 Google ประกาศฟีเจอร์ลบข้อมูลอัตโนมัติสำหรับ Location History และ Web & App Activity ที่ให้ลบข้อมูลอัตโนมัติหลัง 3 หรือ 18 เดือน และในเดือนธันวาคม 2023 ประกาศว่า Timeline ของ Google Maps จะเก็บข้อมูลไว้บนอุปกรณ์ของผู้ใช้ อย่างไรก็ตาม DPC ยังไม่ได้ระบุต่อสาธารณะว่าการเปลี่ยนแปลงเหล่านี้เพียงพอที่จะปฏิบัติตามคำสั่งหรือไม่

ผลกระทบ

ค่าปรับครั้งนี้ตอกย้ำว่าการจัดการข้อมูลตำแหน่งที่ตั้งของผู้ใช้เป็นประเด็นความเป็นส่วนตัวที่หน่วยงานกำกับดูแลจับตาอย่างเข้มงวด แม้บริษัทเทคโนโลยีขนาดใหญ่ก็ต้องรับผิดหากการประมวลผลไม่โปร่งใสหรือเก็บข้อมูลนานเกินจำเป็น ข้อมูลตำแหน่งเป็นข้อมูลอ่อนไหวที่เปิดเผยพฤติกรรม เส้นทางการเดินทาง และความสนใจของบุคคล การเก็บโดยผู้ใช้ไม่รับรู้จึงเปิดช่องให้ถูกนำไปใช้โฆษณาแบบเจาะจงหรืออนุมานตัวตน กรณีนี้ยังเป็นบรรทัดฐานสำคัญของการบังคับใช้ GDPR ที่องค์กรซึ่งประมวลผลข้อมูลส่วนบุคคลควรศึกษา โดยเฉพาะเรื่องฐานการประมวลผลที่ชอบด้วยกฎหมาย ความโปร่งใส และระยะเวลาการเก็บรักษาข้อมูล

คำแนะนำ

องค์กรที่เก็บและประมวลผลข้อมูลตำแหน่งหรือข้อมูลส่วนบุคคลควรทบทวนฐานทางกฎหมายในการประมวลผลให้ชัดเจน แจ้งผู้ใช้อย่างโปร่งใสว่าเก็บข้อมูลอะไร เพื่ออะไร และนานเท่าใด กำหนดระยะเวลาการเก็บรักษา (retention) ที่เหมาะสมและลบข้อมูลเมื่อหมดความจำเป็น พร้อมจัดให้มีตัวเลือกให้ผู้ใช้ควบคุมและลบข้อมูลของตนได้ นอกจากนี้ควรจัดทำเอกสารแสดงความรับผิดชอบ (accountability) เพื่อพิสูจน์ได้ว่าการประมวลผลชอบด้วยกฎหมาย เป็นธรรม และโปร่งใส ซึ่งเป็นหลักการที่สอดคล้องกับทั้ง GDPR และกฎหมายคุ้มครองข้อมูลส่วนบุคคลในหลายประเทศ

แหล่งอ้างอิง