สรุปสั้น

หน่วยงานคุ้มครองข้อมูลส่วนบุคคลของนอร์เวย์ (Datatilsynet) สั่งปรับบริษัท Xandr หน่วยธุรกิจโฆษณาที่ปัจจุบันเป็นของบริษัท Microsoft เป็นเงิน 8.6 ล้านยูโร (ราว 92 ล้านโครนนอร์เวย์) ฐานส่งต่อข้อมูลอ่อนไหวของผู้ใช้แอปหาคู่ Grindr ในนอร์เวย์ไปยังผู้ลงโฆษณาโดยไม่ชอบด้วยกฎหมาย ข้อมูลดังกล่าวรวมถึงข้อมูลที่บ่งบอกรสนิยมทางเพศ ซึ่งถูกส่งต่อผ่านระบบประมูลโฆษณาแบบเรียลไทม์ (real-time bidding) ไปถึงบริษัทอื่นที่อาจมีนับพันราย การละเมิดเกิดขึ้นระหว่างเดือนกรกฎาคม 2561 ถึงเมษายน 2563 และนี่คือค่าปรับทางปกครองสูงสุดที่หน่วยงานนี้เคยออก โดยให้เหตุผลว่าการละเมิดมีลักษณะ “ร้ายแรงมาก”

ประเด็นหลักของคำวินิจฉัยคือ Xandr มีสถานะเป็นผู้ควบคุมข้อมูลร่วม (joint controller) กับ Grindr จึงมีหน้าที่ต้องได้รับความยินยอมจากผู้ใช้ก่อนประมวลผลข้อมูลด้วยตัวเอง แต่ Xandr กลับอ้างว่าเข้าใจว่า Grindr ขอความยินยอมไว้แล้ว Xandr มีเวลา 3 สัปดาห์ในการอุทธรณ์ ขณะที่ Microsoft ระบุกับ Reuters ว่ากำลังพิจารณาคำวินิจฉัยและประเมินทางเลือก ส่วนองค์กร noyb ผู้ร่วมร้องเรียนเรียกคำตัดสินนี้ว่า “หมัดหนักต่ออุตสาหกรรมโฆษณาออนไลน์และการสอดแนมเชิงพาณิชย์”

รายละเอียดข่าว

เว็บไซต์ The Hacker News รายงานเมื่อวันที่ 13 ตุลาคม 2569 ว่าคดีนี้เริ่มต้นตั้งแต่ปี 2563 เมื่อสภาผู้บริโภคนอร์เวย์ร่วมกับองค์กรไม่แสวงหากำไรด้านความเป็นส่วนตัวจากออสเตรีย None of Your Business (noyb) ยื่นเรื่องร้องเรียน Xandr ว่าแชร์ข้อมูลส่วนบุคคลของผู้ใช้เพื่อประโยชน์เชิงพาณิชย์โดยไม่ได้รับความยินยอมอย่างชัดแจ้ง ผู้ใช้ในนอร์เวย์หลายพันรายได้รับผลกระทบจากการแชร์ข้อมูลอ่อนไหวในลักษณะนี้

Datatilsynet ระบุในแถลงการณ์ว่า “Xandr ทำหน้าที่เป็นตัวกลางที่ส่งต่อข้อมูลส่วนบุคคลของผู้ใช้ Grindr ในนอร์เวย์ รวมถึงข้อมูลที่บ่งบอกรสนิยมทางเพศ ไปยังบริษัทอื่นที่อาจมีนับพันราย” และ “แทนที่จะตรวจสอบให้แน่ใจว่ามีฐานทางกฎหมายสำหรับการประมวลผลของตัวเอง Xandr กลับชี้ไปที่ Grindr”

ค่าปรับคำนวณจากรายได้รวมต่อปีของ Xandr ในช่วงสองปีที่เกิดการละเมิด ซึ่งเป็นช่วงก่อน Microsoft เข้าซื้อกิจการ Xandr ก่อตั้งโดยบริษัท AT&T หลังซื้อ AppNexus ในเดือนมิถุนายน 2561 ชื่อมาจาก Alexander Graham Bell ผู้ก่อตั้ง AT&T ต่อมาขายให้ Microsoft ในช่วงปลายเดือนธันวาคม 2564 และแบรนด์ถูกยุบรวมเข้ากับ Microsoft Ads ในเดือนมิถุนายน 2566

ข่าวนี้ออกมาหลังจาก Grindr เพิ่งยอมจ่าย 26 ล้านปอนด์เมื่อเดือนที่แล้วเพื่อยุติคดีในสหราชอาณาจักร ข้อหาแชร์ข้อมูลส่วนบุคคลรวมถึงข้อมูลสุขภาพของผู้ใช้ให้บุคคลที่สาม และในช่วงเดียวกัน ศาลรัฐบาลกลางสหรัฐฯ ในรัฐเท็กซัสอนุมัติขั้นสุดท้ายข้อตกลงยอมความมูลค่า 177 ล้านดอลลาร์ของ AT&T สำหรับลูกค้าที่ได้รับผลกระทบจากข้อมูลรั่ว 2 ครั้งในปี 2567 ได้แก่ชุดข้อมูลที่มีหมายเลขประกันสังคมถูกเผยแพร่บนดาร์กเว็บ กระทบลูกค้าปัจจุบันราว 7.6 ล้านรายและอดีตลูกค้าราว 65.4 ล้านราย กับเหตุคนร้ายดาวน์โหลดบันทึกการโทรและข้อความของลูกค้าเกือบทั้งหมดจากแพลตฟอร์มคลาวด์ Snowflake

รายละเอียดการละเมิด

แก่นของการละเมิดอยู่ที่กลไก real-time bidding ซึ่ง Xandr ทำหน้าที่ทั้งฝั่งผู้ซื้อและผู้ขายโฆษณา Datatilsynet อธิบายว่า “เมื่อมีคนเปิดแอป Grindr ข้อมูลส่วนบุคคลของเขาในหลายกรณีถูกส่งต่อผ่าน Xandr ไปยังผู้เล่นที่อาจมีนับพันรายในระบบนิเวศโฆษณา ผู้ลงโฆษณาจึงประมูลแข่งกันเพื่อแสดงโฆษณาที่เจาะกลุ่ม โดยที่ผู้ใช้ไม่รู้เลย”

ในทางเทคนิค ทุกครั้งที่มีพื้นที่โฆษณาว่าง ระบบจะส่ง bid request ที่บรรจุข้อมูลของผู้ใช้และอุปกรณ์ออกไปยังผู้ร่วมประมูลจำนวนมากภายในเสี้ยววินาที เพียงการที่ bid request ระบุว่ามาจากแอปอย่าง Grindr ก็เพียงพอที่จะบ่งบอกรสนิยมทางเพศของผู้ใช้ได้ และเมื่อข้อมูลออกไปแล้ว ผู้ใช้หรือแม้แต่แอปต้นทางก็ไม่อาจควบคุมได้ว่าผู้รับปลายทางนำไปเก็บหรือใช้ต่ออย่างไร

ข้อที่ควรระวังในการอ่านข่าวนี้คือ คำวินิจฉัยครอบคลุมเฉพาะช่วงปี 2561–2563 และเฉพาะผู้ใช้ในนอร์เวย์ ยังไม่เป็นที่สิ้นสุดเพราะอยู่ในระยะเวลาอุทธรณ์ และไม่ใช่เหตุข้อมูลรั่วจากการถูกแฮ็ก แต่เป็นการประมวลผลข้อมูลโดยไม่มีฐานทางกฎหมาย

ผลกระทบ

คำวินิจฉัยนี้ส่งสัญญาณถึงบริษัทตัวกลางในอุตสาหกรรมโฆษณาออนไลน์ เช่น ad exchange และ SSP/DSP ว่าไม่สามารถอ้างได้ว่าการขอความยินยอมเป็นหน้าที่ของแอปหรือเว็บไซต์ต้นทางฝ่ายเดียว หากมีส่วนกำหนดวัตถุประสงค์และวิธีประมวลผลข้อมูลด้วย ก็ต้องรับผิดชอบในฐานะผู้ควบคุมข้อมูลร่วม

สำหรับผู้ใช้ ข้อมูลที่บ่งบอกรสนิยมทางเพศเป็นข้อมูลประเภทพิเศษที่หากหลุดไปถึงมือคนที่ไม่หวังดี อาจถูกใช้ข่มขู่ กรรโชก หรือเลือกปฏิบัติได้ ความเสี่ยงนี้เกิดขึ้นแม้จะไม่มีใครเจาะระบบเลย เพียงเพราะข้อมูลไหลผ่านห่วงโซ่โฆษณาที่ยาวและมองไม่เห็น ส่วนฝั่งนักพัฒนาแอปที่ฝัง SDK โฆษณาของบุคคลที่สาม คดีนี้เป็นตัวอย่างว่าข้อมูลจากแอปอาจไหลไปไกลกว่าที่คาดไว้มาก

คำแนะนำ

  • องค์กรที่ฝัง SDK โฆษณาหรือใช้ ad exchange ควรทำแผนผังการไหลของข้อมูล ระบุว่าผู้รับปลายทางเป็นใครบ้าง และแยกบทบาทผู้ควบคุมข้อมูล/ผู้ประมวลผลข้อมูลให้ชัดในสัญญา
  • แอปที่มีลักษณะบ่งบอกข้อมูลอ่อนไหวโดยตัวเอง (สุขภาพ หาคู่ ศาสนา) ควรปิดการส่ง bid request ที่มีตัวระบุผู้ใช้หรืออุปกรณ์ หรือใช้โฆษณาแบบไม่เจาะกลุ่มบุคคล
  • บริษัทตัวกลางด้านโฆษณาไม่ควรอนุมานว่าแอปต้นทางขอความยินยอมไว้แล้ว ต้องตรวจสอบและเก็บหลักฐานความยินยอมที่ครอบคลุมการประมวลผลของตัวเองด้วย
  • ทบทวนการทำ DPIA สำหรับการประมวลผลข้อมูลประเภทพิเศษ และจำกัดข้อมูลที่ส่งออกไปยังบุคคลที่สามให้น้อยที่สุดเท่าที่จำเป็น

แหล่งอ้างอิง