ค่าปรับ GDPR พุ่ง 230% แตะ 225.88 ล้านยูโรในไตรมาส 2 ปี 2026

ยอดของเนเธอร์แลนด์เกือบทั้งหมดมาจากค่าปรับ 100 ล้านยูโรต่อ MLU B.V. ผู้ให้บริการแอปเรียกรถ Yango และเป็นนิติบุคคลที่สืบทอดต่อจาก Ridetech International B.V. หน่วยงานคุ้มครองข้อมูลของเนเธอร์แลนด์พบว่า ข้อมูลส่วนบุคคลของผู้ใช้และคนขับในฟินแลนด์และนอร์เวย์ถูกโอนไปยังรัสเซียโดยไม่มีมาตรการคุ้มครองที่เพียงพอ พร้อมมีคำสั่งให้ยุติการโอนข้อมูล เว้นแต่จะมีมาตรการที่สอดคล้องกับ GDPR

ทำไมคดี Yango จึงมีความสำคัญ

คดีนี้สะท้อนความเสี่ยงสำคัญของการโอนข้อมูลระหว่างประเทศ นั่นคือ การใช้ Standard Contractual Clauses หรือ SCCs ซึ่งเป็นข้อสัญญามาตรฐานที่คณะกรรมาธิการยุโรปรับรอง ไม่ได้ทำให้การโอนข้อมูลถูกต้องโดยอัตโนมัติในทุกกรณี

รายงานที่มีอยู่ระบุว่า หน่วยงานดัตช์พิจารณาปัจจัยต่าง ๆ รวมถึงการที่รัสเซียอาจเข้าถึงกุญแจเข้ารหัส และการมีโครงสร้างการบริหารร่วมระหว่างฝ่ายดัตช์กับรัสเซีย ซึ่งอาจเพิ่มความเสี่ยงต่อการเข้าถึงข้อมูลหรือการระบุตัวบุคคลซ้ำได้

แนวทางของหน่วยงานคุ้มครองข้อมูลดัตช์ระบุว่า การโอนข้อมูลส่วนบุคคลไปยังประเทศที่สามต้องอาศัยระดับการคุ้มครองที่เพียงพอ มาตรการคุ้มครองที่เหมาะสม หรือข้อยกเว้นเฉพาะกรณี โดย SCCs เป็นหนึ่งในมาตรการที่อาจใช้ได้ แต่บริษัทก็ยังต้องตรวจสอบว่าการคุ้มครองดังกล่าวมีประสิทธิผลจริงภายใต้สถานการณ์ของการโอนข้อมูลนั้น

ฝรั่งเศส: ค่าปรับก้อนใหญ่เชื่อมโยงกับความล้มเหลวด้านความปลอดภัย

ฝรั่งเศสมียอดค่าปรับรวม 52 ล้านยูโร จากหลายคดีสำคัญ โดย FREE MOBILE ถูกปรับ 27 ล้านยูโร และบริษัทแม่ FREE ถูกปรับ 15 ล้านยูโร ภายหลังเหตุข้อมูลรั่วไหลครั้งใหญ่ ขณะที่ IQVIA Operations France ถูกปรับ 15 ล้านยูโร จากกรณีเกี่ยวกับข้อมูลสุขภาพรั่วไหล

คดีเหล่านี้ตอกย้ำว่า ความเสียหายทางการเงินไม่ได้เกิดขึ้นเฉพาะกับบริษัทที่ละเลยการปกป้องข้อมูลสำคัญเท่านั้น แต่ยังอาจขยายไปถึงบริษัทที่เกี่ยวข้องภายในกลุ่มธุรกิจ หากหน้าที่ด้านการประมวลผลข้อมูลและความปลอดภัยถูกแบ่งกระจายระหว่างบริษัทหลายแห่ง

อิตาลี: ภาคธนาคารเผชิญแรงกดดันด้านการคุ้มครองข้อมูล

อิตาลีมียอดค่าปรับรวม 45.50 ล้านยูโร โดยก้อนใหญ่ที่สุดคือค่าปรับ 31.8 ล้านยูโรต่อ Intesa Sanpaolo จากข้อบกพร่องในการปกป้องข้อมูลธนาคารของลูกค้า

นอกจากนี้ Poste Italiane และ PostePay ยังถูกปรับ 6.62 ล้านยูโร และ 5.88 ล้านยูโร ตามลำดับ จากความล้มเหลวที่เกี่ยวข้องกับการบริหารจัดการแอปธนาคาร

คดีในอิตาลีแสดงให้เห็นว่า สถาบันการเงินอยู่ในกลุ่มธุรกิจที่ต้องรับความเสี่ยงสูง เมื่อการควบคุมสิทธิ์เข้าถึง การกำกับดูแลข้อมูล หรือกระบวนการให้บริการดิจิทัลไม่สามารถปกป้องข้อมูลลูกค้าได้อย่างเหมาะสม

Reddit ถูกปรับจากการตรวจสอบอายุและข้อมูลเด็ก

สำนักงานคณะกรรมาธิการข้อมูลของสหราชอาณาจักร หรือ ICO สั่งปรับ Reddit 14.47 ล้านปอนด์ (16.61 ล้านยูโร) จากการตรวจสอบอายุผู้ใช้งานที่ไม่เพียงพอ และการประมวลผลข้อมูลเด็กโดยไม่ชอบด้วยกฎหมาย

คดีนี้ขยายภาพการบังคับใช้ GDPR ให้กว้างกว่าประเด็นข้อมูลรั่วไหลหรือการโอนข้อมูลระหว่างประเทศ แพลตฟอร์มที่ประมวลผลข้อมูลเกี่ยวกับเด็กต้องแสดงให้เห็นด้วยว่า ระบบตรวจสอบอายุและแนวทางการใช้ข้อมูลมีฐานทางกฎหมาย และให้การคุ้มครองที่เหมาะสม

ความผิดและภาคธุรกิจใดปรากฏบ่อยที่สุด

การทบทวนข้อมูลของ Finbold พบว่า ความล้มเหลวด้านความปลอดภัย และ การไม่มีฐานทางกฎหมายสำหรับการประมวลผลข้อมูล เป็นสาเหตุของค่าปรับก้อนใหญ่แทบทั้งหมดในการวิเคราะห์ไตรมาส 2

ในบรรดาค่าปรับ 10 อันดับแรก ภาคสื่อและภาคการเงินปรากฏฝ่ายละ 3 คดี ส่วนภาคขนส่งและพลังงานปรากฏฝ่ายละ 2 คดี โดยรวมถึงคดี Yango ซึ่งเป็นค่าปรับก้อนใหญ่ที่สุด

รูปแบบดังกล่าวมีนัยสำคัญต่อองค์กรที่มองความเสี่ยง GDPR ว่าเป็นเพียงปัญหาด้านความปลอดภัยทางเทคนิค ตัวเลขในไตรมาส 2 ชี้ว่า หน่วยงานกำกับดูแลกำลังตรวจสอบรากฐานของการใช้ข้อมูลส่วนบุคคลด้วย เช่น การประมวลผลมีฐานทางกฎหมายหรือไม่ มาตรการคุ้มครองใช้งานได้จริงหรือไม่ การโอนข้อมูลไปต่างประเทศมีเหตุผลรองรับเพียงพอหรือไม่ และบริษัทกำกับดูแลพันธมิตรกับโครงสร้างภายในกลุ่มธุรกิจอย่างเหมาะสมหรือไม่

ตัวเลขไตรมาส 2 หมายถึงอะไรสำหรับองค์กร

การเพิ่มขึ้นอย่างมากของยอดค่าปรับไม่ได้หมายความว่าทุกองค์กรจะมีความเสี่ยงในระดับเดียวกัน อีกทั้งข้อมูลดังกล่าวเป็นการรวบรวมยอดค่าปรับที่มีการรายงาน ไม่ใช่การคาดการณ์ค่าปรับในอนาคต อย่างไรก็ตาม ตัวเลขนี้ส่งสัญญาณชัดเจนว่า ค่าปรับก้อนใหญ่สามารถเกิดจากจุดอ่อนที่ครอบคลุมทั้งการควบคุมด้านกฎหมาย การปฏิบัติงาน เทคโนโลยี และการบริหารจัดการ

สำหรับบริษัทที่ประมวลผลข้อมูลส่วนบุคคล ประเด็นสำคัญที่ควรทบทวน ได้แก่

• ฐานทางกฎหมาย: จัดทำเอกสารระบุว่าเหตุใดกิจกรรมการประมวลผลข้อมูลแต่ละประเภทจึงได้รับอนุญาต และตรวจสอบว่าฐานทางกฎหมายที่อ้างตรงกับการใช้งานจริง
• มาตรการความปลอดภัย: ทดสอบว่าการควบคุมสิทธิ์เข้าถึง การเข้ารหัส การเฝ้าระวัง และแผนรับมือเหตุการณ์สามารถปกป้องข้อมูลได้จริง
• การโอนข้อมูลระหว่างประเทศ: ประเมินสภาพแวดล้อมด้านกฎหมายและเทคนิคของประเทศปลายทางในทางปฏิบัติ ไม่พึ่งพาเพียงข้อความในสัญญา
• การกำกับดูแลบุคคลที่สาม: จัดทำข้อตกลงการประมวลผลข้อมูล แบ่งความรับผิดชอบให้ชัดเจน และมีกระบวนการตรวจสอบผู้ให้บริการกับบริษัทในเครือ
• ข้อมูลเด็กและการยืนยันอายุ: ตรวจสอบให้แน่ใจว่ากระบวนการยืนยันอายุและมาตรการคุ้มครองเด็กสนับสนุนการประมวลผลข้อมูลที่ชอบด้วยกฎหมายและได้สัดส่วน

ข้อสรุปสำคัญจากการทบทวนข้อมูลไตรมาส 2 ของ Finbold คือ การบังคับใช้ GDPR กำลังกลายเป็นความเสี่ยงทางการเงินที่มีนัยสำคัญสำหรับองค์กรที่มีธรรมาภิบาลข้อมูลอ่อนแอ คดีใหญ่ไม่ได้จำกัดอยู่ที่ความผิดพลาดทางเทคนิคเฉพาะจุด แต่เกี่ยวข้องกับความล้มเหลวพื้นฐานด้านฐานทางกฎหมายของการประมวลผล ความปลอดภัย มาตรการคุ้มครองการโอนข้อมูลระหว่างประเทศ และการกำกับดูแล