ไอร์แลนด์ปรับ Google 403 ล้านยูโร: ปัญหาไม่ได้อยู่แค่การเก็บพิกัด

คณะกรรมการคุ้มครองข้อมูลไอร์แลนด์ หรือ Data Protection Commission (DPC) สั่งปรับ Google Ireland Limited รวม 403 ล้านยูโร จากการตรวจสอบวิธีจัดการข้อมูลตำแหน่งผ่าน 3 ฟีเจอร์ ได้แก่ Web & App Activity, Location History และ Location Accuracy โดยขอบเขตการสอบสวนครอบคลุมช่วง 25 พฤษภาคม 2018 ซึ่งเป็นวันที่ GDPR เริ่มมีผลใช้บังคับ จนถึง 4 กุมภาพันธ์ 2020 การสอบสวนเริ่มขึ้นหลังมีข้อร้องเรียนจากองค์กรคุ้มครองผู้บริโภคยุโรปหลายแห่ง รวมถึง BEUC 4

ประเด็นของคดีนี้จึงไม่ได้อยู่เพียงว่า Google เก็บข้อมูลตำแหน่งหรือไม่ แต่ DPC เห็นว่าแนวทางการประมวลผลในช่วงที่ตรวจสอบไม่เป็นไปตามข้อกำหนดของ GDPR ซึ่งเป็นกฎหมายคุ้มครองข้อมูลส่วนบุคคลของสหภาพยุโรป ทั้งในด้านความชอบด้วยกฎหมายและความเป็นธรรม ความชัดเจนที่ต้องอธิบายให้ผู้ใช้เข้าใจ ระยะเวลาการเก็บข้อมูล และความสามารถในการแสดงหลักฐานว่าบริษัทปฏิบัติตามกฎหมายจริง 4

DPC พบอะไรบ้าง

Web & App Activity และ Location History ขาดความชอบด้วยกฎหมายและความเป็นธรรม

DPC วินิจฉัยว่า Google ละเมิดหลักการที่กำหนดให้การประมวลผลข้อมูลต้องทำอย่างชอบด้วยกฎหมายและเป็นธรรม สำหรับข้อมูลตำแหน่งที่เกี่ยวข้องกับ Web & App Activity และ Location History 4

การตั้งค่าเหล่านี้อาจเชื่อมโยงข้อมูลตำแหน่งเข้ากับการใช้บริการต่าง ๆ ของ Google ของบุคคลหนึ่งได้ และ DPC ประเมินว่าแนวทางที่ใช้ในช่วงเวลาที่ตรวจสอบยังไม่ผ่านมาตรฐาน GDPR ในเรื่องการจัดการข้อมูลส่วนบุคคลอย่างชอบด้วยกฎหมายและเป็นธรรม 4

Location Accuracy มีปัญหาเรื่องความรับผิดชอบที่ตรวจสอบได้

สำหรับ Location Accuracy DPC ระบุว่า Google ไม่ปฏิบัติตามหน้าที่ด้านความรับผิดชอบ หรือ accountability เพราะไม่สามารถแสดงให้เห็นว่าการประมวลผลสอดคล้องกับหลักการที่ให้ข้อมูลต้องถูกจัดการอย่างชอบด้วยกฎหมาย เป็นธรรม และโปร่งใส 4

หลัก accountability ไม่ได้หมายถึงเพียงการบอกว่าจะทำตามกฎความเป็นส่วนตัว แต่บริษัทต้องสามารถพิสูจน์ได้ด้วยว่า การออกแบบระบบและการดำเนินงานสอดคล้องกับข้อกำหนดดังกล่าวจริง 4

ผู้ใช้ไม่ได้รับข้อมูลที่ชัดเจนเพียงพอ

DPC พบการละเมิดข้อกำหนดด้านความโปร่งใสในทั้ง 3 ฟีเจอร์ โดยผลกระทบสำคัญคือ ผู้ใช้อาจไม่ทราบว่าข้อมูลตำแหน่งของตนถูกนำไปใช้ เช่น เพื่อมีอิทธิพลต่อโฆษณาที่เห็น หรือใช้อนุมานความสนใจของบุคคลนั้น การอธิบายที่ไม่ชัดเจนอาจทำให้ผู้ใช้ไม่สามารถควบคุมข้อมูลที่สะท้อนรายละเอียดส่วนตัวอย่างมากเกี่ยวกับการเดินทางและสถานที่ที่เคยไปได้อย่างมีประสิทธิภาพ 4

เก็บข้อมูลนานเกินความจำเป็น

หน่วยงานกำกับยังพบว่า Google เก็บข้อมูลตำแหน่งใน Web & App Activity และ Location History ไว้นานเกินความจำเป็น DPC มองว่าปัญหาระยะเวลาการเก็บข้อมูลยิ่งซ้ำเติมการที่ผู้ใช้สูญเสียการควบคุมข้อมูล ซึ่งอาจเปิดเผยแง่มุมส่วนตัวของชีวิตได้ 4

Google ตอบว่าอย่างไร

Google ระบุว่าคดีนี้เกี่ยวข้องกับ “นโยบายในอดีต” ที่ได้รับการปรับปรุงไปแล้ว บริษัทกล่าวว่าตั้งแต่ปี 2019 ได้พัฒนาแนวปฏิบัติอย่างมีนัยสำคัญ และเปิดตัวเครื่องมือที่มุ่งให้การจัดการข้อมูลตำแหน่งทำได้ง่ายขึ้น นอกจากนี้ยังชี้ถึงระบบลบข้อมูลอัตโนมัติ ซึ่งให้ผู้ใช้เลือกตั้งค่าลบข้อมูลแบบต่อเนื่องทุก 3 เดือน 18 เดือน หรือ 36 เดือนได้ 2

อย่างไรก็ดี การเปลี่ยนแปลงในเวลาต่อมาไม่ได้เปลี่ยนข้อค้นพบของ DPC สำหรับช่วงปี 2018–2020 แต่เป็นหัวใจของคำชี้แจงจาก Google ที่ว่าการดำเนินงานในปัจจุบันแตกต่างจากแนวทางที่ถูกสอบสวน 2

Google มีเวลาแก้ไข 6 เดือน

นอกเหนือจากค่าปรับ DPC ยังมีคำสั่งให้ Google ทำให้การประมวลผลที่เป็นประเด็นสอดคล้องกับ GDPR ภายใน 6 เดือน 4

BEUC ยินดีกับคำตัดสิน แต่ตั้งคำถามเรื่องความล่าช้า

BEUC หรือองค์กรผู้บริโภคยุโรป เป็นหนึ่งในกลุ่มผู้บริโภคที่เกี่ยวข้องกับข้อร้องเรียนซึ่งนำไปสู่การสอบสวน โดยระบุว่าคำตัดสินยืนยันความไม่ชอบด้วยกฎหมายของวิธีที่ Google ขอความยินยอมเพื่อใช้ข้อมูลตำแหน่งของผู้คน ขณะเดียวกัน BEUC วิจารณ์ว่าระยะเวลาที่ใช้กว่าจะมีคำตัดสินนั้นยาวนานเกินสมควร 24

มุมมองของ BEUC สะท้อนคำถามด้านการคุ้มครองผู้บริโภค 2 ระดับ คือ การติดตามตำแหน่งเป็นไปตามมาตรฐาน GDPR หรือไม่ และการบังคับใช้กฎหมายเกิดขึ้นรวดเร็วพอที่จะเยียวยาผู้บริโภคได้อย่างมีความหมายหรือไม่ 24

บทเรียนจากคดีข้อมูลตำแหน่ง

คดีนี้สะท้อนว่า การมีเมนูตั้งค่าข้อมูลเพียงอย่างเดียวอาจไม่เพียงพอสำหรับการปฏิบัติตามกฎหมายคุ้มครองข้อมูล หน่วยงานกำกับสามารถพิจารณาได้ว่า บริษัทมีฐานกฎหมายรองรับการใช้ข้อมูลหรือไม่ ผู้ใช้เข้าใจหรือไม่ว่าข้อมูลจะถูกนำไปใช้อย่างไร มีเหตุผลรองรับระยะเวลาการเก็บข้อมูลหรือไม่ และองค์กรพิสูจน์ได้หรือไม่ว่าการออกแบบระบบกับการกำกับดูแลเป็นไปตามมาตรฐาน ในกรณีนี้ DPC เห็นข้อบกพร่องในหลายด้านและลงโทษ Google เป็นเงิน 403 ล้านยูโร 4