GLOBAL PRIVACY INTELLIGENCEข่าว PDPA, PDPC และความเคลื่อนไหวทั่วโลก
ค้นจากข้อมูลที่เผยแพร่ พร้อมอ่านต้นฉบับและบริบทสำหรับประเทศไทย
USสหรัฐอเมริกา
Federal Trade Commission · สรุปภาษาไทย
FTC ขอศาลสหรัฐฯ สั่งระงับชั่วคราวกิจกรรมของบริษัท Digital Forensics Corporation LLC และผู้บริหารสูงสุด ฐานหลอกลวงผู้บริโภคที่ตกเป็นเหยื่อ sextortion ด้วยการโฆษณาเกินจริงว่าจะช่วยติดตามและจับกุมโจรไซเบอร์ sextortion ที่ข่มขู่เผยแพร่ภาพลามกเพื่อเรียกค่าไถ่เงิน.
Digital Forensics เรียกเก็บเงินจากผู้เสียหายตั้งแต่ 1,499 ถึง 20,000 ดอลลาร์ในแพ็คเกจ "Phase 1" แต่ไม่ได้ให้บริการตามสัญญา เช่น การติดตามตำแหน่งโจร การสื่อสารแทนเหยื่อ และรายงานให้เจ้าหน้าที่ตำรวจ ส่วนบริการ "Phase 2" ที่เป็นการติดตามต่อเนื่องก็ไม่ได้ดำเนินการจริงเช่นกัน.
นอกจากนี้บริษัทยังปิดบังความล้มเหลวโดยสร้างรีวิวปลอมจำนวนมากและกดข่มรีวิวลบ เผยแพร่โฆษณาบนแพลตฟอร์มดังเช่น Google, YouTube และ X ซึ่งหลอกว่าบริษัทสามารถติดตามและจับกุมผู้กระทำผิดได้จริง ทั้งที่แท้จริงแล้วเพียงบล็อกบัญชีของโจรที่เหยื่อสามารถทำได้เองเท่านั้น.
ความมั่นคงปลอดภัยการแจ้งเหตุละเมิด
FRฝรั่งเศส
CNIL · สรุปภาษาไทย
ในที่ประชุมครั้งล่าสุด CEPD ได้เผยแพร่แถลงการณ์เกี่ยวกับความท้าทายด้านการคุ้มครองข้อมูลส่วนบุคคลที่เกี่ยวข้องกับแว่นตาอัจฉริยะ พร้อมรายงาน "สายตาเชื่อมต่อ : สังคมวิทยาการใช้งานและความท้าทายของแว่นตาอัจฉริยะ" ซึ่งจัดทำโดยผู้เชี่ยวชาญภายใต้โครงการ Support Pool of Expert
CEPD เน้นย้ำว่าผู้ใช้มีความรับผิดชอบแตกต่างกันตามลักษณะการใช้งาน เช่น การแชร์ภาพหรือวิดีโอบนโซเชียลสาธารณะจะถือว่าผู้ใช้เป็นผู้ควบคุมข้อมูลตาม GDPR แต่ในกรณีการใช้งานส่วนตัว เช่น ถ่ายภาพในครอบครัว กฎหมาย GDPR จะไม่บังคับใช้ อย่างไรก็ตาม กฎหมายภาคพลเรือนหรือภาคแรงงานอาจยังคงเกี่ยวข้องกับการใช้แว่นตา
แถลงการณ์ยังชี้ให้เห็นถึงความสำคัญของความโปร่งใส เพราะลักษณะของแว่นตาอัจฉริยะทำให้ผู้ที่ถูกบันทึกข้อมูลไม่ทราบถึงการเก็บข้อมูล ทำให้ CEPD ส่งเสริมการตั้งมาตรฐานและการสร้างความตระหนักเพื่อให้ทุกฝ่ายรู้ว่าเมื่อใดที่แว่นตาถูกใช้และข้อมูลส่วนตัวของพวกเขาถูกนำไปใช้ในทางใด
การแจ้งรายละเอียดการกำกับดูแล
ARอาร์เจนตินา
Agencia de Acceso a la Información Pública · สรุปภาษาไทย
วันที่ 16-17 กันยายน 2026 นาง Beatriz Anchorena ผู้อำนวยการสำนักงานเข้าถึงข้อมูลสาธารณะ (AAIP) และประธานคณะกรรมการอนุสัญญา 108 เป็นผู้นำการประชุม Bureau ครั้งที่ 66 ของคณะกรรมการปกป้องข้อมูลแห่งสภายุโรป เพื่อทบทวนความก้าวหน้าการลงนามรับรองอนุสัญญา 108+ ซึ่งมีสถานะผูกพันทางกฎหมายและขณะนี้มี 34 ประเทศลงนามแล้ว เหลืออีก 4 ประเทศเพื่อให้มีผลบังคับใช้
ที่ประชุมได้หารือแผนปฏิบัติการเพื่อส่งเสริมการใช้ข้อตกลงแบบสัญญามาตรฐาน (Model Clauses) ของสภายุโรปในเรื่องการโอนข้อมูลส่วนบุคคลระหว่างประเทศ และเตรียมคู่มือสนับสนุนการยอมรับข้อตกลงเหล่านี้ในแต่ละประเทศ รวมทั้งวางแผนจัดทำเอกสารอธิบายเกี่ยวกับกฎหมายการโอนข้อมูลตามมาตรา 14 ของอนุสัญญา 108+ เพื่อชี้แจงเงื่อนไขและขอบเขตการใช้ฐานกฎหมายต่าง ๆ รวมถึงข้อยกเว้นที่เกี่ยวข้อง
นอกจากนี้ ยังมีการพิจารณาโครงการคู่มือสำหรับการคุ้มครองข้อมูลในบริบทของโมเดลภาษาใหญ่ (LLM) และโครงการวิจัยด้านประสาทวิทยาศาสตร์ โดยมีเป้าหมายสานต่อการพัฒนาและนำคู่มือเหล่านี้ไปใช้
คณะกรรมการอนุสัญญา108ประกอบด้วยตัวแทนจาก 55 ประเทศที่เข้าร่วม และมีผู้สังเกตการณ์จากรัฐ องค์กรระหว่างประเทศ รวมถึงหน่วยงานเฉพาะทาง เช่น OECD และ OAS ร่วมประชุมด้วย
การโอนข้ามประเทศการแจ้งรายละเอียด
EUสหภาพยุโรป
European Data Protection Board · สรุปภาษาไทย
สำนักงานคุ้มครองข้อมูลส่วนบุคคลอิตาลี (DPA) ปรับธนาคาร BBVA สาขาอิตาลีจำนวน 5,508,000 ยูโร กรณีล้มเหลวในการเคารพคำขอของลูกค้าที่คัดค้านการส่งการตลาดโดยตรงผ่านแอปพลิเคชันมือถือ แม้ลูกค้าจะใช้สิทธิคัดค้านและแจ้งไปยังฝ่ายบริการลูกค้าแล้ว แต่ BBVA กลับยังส่งการแจ้งเตือนทางการตลาดอย่างต่อเนื่องนานถึง 7 เดือนระหว่างเดือนตุลาคม 2025 ถึงพฤษภาคม 2026
DPA พบว่า BBVA ไม่ได้ดำเนินการตามคำขอคัดค้านของลูกค้าอย่างถูกต้องและรวดเร็ว โดยลูกค้าได้รับการแจ้งเตือนโฆษณากว่า 10 ครั้งในช่วงเวลานั้น และไม่ยอมรับเหตุผลของบริษัทที่อ้างว่าลูกค้าควรใช้ช่องทางอีเมลพิเศษตามนโยบายความเป็นส่วนตัว รวมทั้งพบว่ามีข้อบกพร่องทางเทคนิคและการบริหารจัดการ รวมถึงข้อมูลที่ผิดพลาดจากฝ่ายบริการลูกค้าเรื่องการปิดการแจ้งเตือนในแอปที่ BBVA ยืนยันได้ว่าสามารถปิดได้
คำตัดสินของ DPA ถือว่าบริษัทละเมิดบทบัญญัติหลายประการของ GDPR พร้อมทั้งสั่งให้ BBVA ปรับปรุงมาตรการทางเทคนิคและการจัดการเพื่อสนับสนุนการใช้สิทธิของเจ้าของข้อมูลและต้องรายงานการดำเนินตามคำสั่งภายใน 30 วันจากวันที่รับคำตัดสิน ทั้งนี้พิจารณาจากผลกระทบต่อข้อมูลของลูกค้ารายนี้และระยะเวลาที่เกิดปัญหาเป็นส่วนประกอบของการกำหนดค่าปรับ
สิทธิของเจ้าของข้อมูลการแจ้งรายละเอียด
EUสหภาพยุโรป
European Data Protection Board · สรุปภาษาไทย
สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลแห่งอิตาลี (Italian DPA) สั่งปรับสายการบินเอมิเรตส์เป็นเงิน 180,000 ยูโร จากการละเมิดข้อกำหนดเกี่ยวกับการประมวลผลข้อมูลสุขภาพผู้โดยสาร โดยกรณีเกิดจากผู้โดยสารท่านหนึ่งร้องเรียนว่าถูกบังคับให้กรอกแบบฟอร์ม MEDIF ซึ่งเป็นข้อมูลสุขภาพ ทั้งที่ตนเองไม่เข้าเกณฑ์ผู้โดยสารที่ต้องกรอกแบบฟอร์มดังกล่าว
การตรวจสอบพบว่าการเก็บข้อมูลสุขภาพผ่านแบบฟอร์ม MEDIF นั้นสามารถทำได้ตามกฎหมายเพื่อความปลอดภัยและช่วยเหลือผู้โดยสารที่มีความบกพร่องทางร่างกาย แต่เอมิเรตส์ไม่ได้นำเสนอข้อมูลชัดเจนและโปร่งใสเกี่ยวกับวัตถุประสงค์ กฎหมายที่ใช้ และระยะเวลาการเก็บรักษาข้อมูล ส่งผลให้ผู้โดยสารไม่เข้าใจว่าควรกรอกแบบฟอร์มหรือไม่ และการเก็บข้อมูลนานถึง 7 ปีถือว่านานเกินความจำเป็น
สำนักงานฯ จึงกำหนดให้เอมิเรตส์ปรับปรุงการให้ข้อมูลแก่ผู้โดยสารให้ชัดเจน รวมถึงกำหนดระยะเวลารักษาข้อมูลให้เหมาะสมและลบข้อมูลที่เก็บเกินกำหนดภายใน 30 วัน พร้อมทั้งสั่งปรับเงินและดำเนินมาตรการแก้ไขเพื่อป้องกันเหตุการณ์ซ้ำซ้อนในอนาคต
การแจ้งรายละเอียดระยะเวลาเก็บและการลบข้อมูล
EUสหภาพยุโรป
European Data Protection Board · สรุปภาษาไทย
สำนักงานคุ้มครองข้อมูลแห่งชาติอิตาลี (Garante) ลงโทษปรับบริษัท La Patria S.p.A. เป็นเงิน 39,000 ยูโร หลังละเมิดสิทธิ์ของพนักงานเกี่ยวกับข้อมูลส่วนบุคคล โดยบริษัทไม่ตอบสนองคำขอเข้าถึงข้อมูลที่เกี่ยวข้องกับการดำเนินการทางวินัย รวมถึงข้อมูลจากระบบจีพีเอสรถบริษัทที่ใช้โดยพนักงานผู้ร้องเรียน.
คณะกรรมการชี้แจงว่า หากผู้ถูกเก็บข้อมูลร้องขอข้อมูลส่วนตัว ไม่จำเป็นต้องอ้างอิงกฎหมาย GDPR โดยตรง และถ้าผู้ควบคุมข้อมูลไม่ปฏิบัติตามคำขอจะต้องแจ้งเหตุผลพร้อมข้อมูลเกี่ยวกับช่องทางร้องเรียนหรือฟ้องศาล นอกจากนี้บริษัทยังผิดพลาดในการแจ้งข้อมูลต่อพนักงานเกี่ยวกับการเก็บข้อมูลตำแหน่งผ่านจีพีเอสและระบุข้อมูลประเภทพิเศษที่บริษัทไม่ได้ดำเนินการในนโยบายความเป็นส่วนตัว.
โทษปรับแยกเป็น 22,000 ยูโร สำหรับละเมิดสิทธิ์การเข้าถึงข้อมูล และ 17,000 ยูโรสำหรับข้อผิดพลาดด้านข้อมูลแจ้งพนักงาน โดยสำนักงานฯได้พิจารณาว่าบริษัทได้แก้ไขและปรับปรุงการปฏิบัติตามกฎหมายหลังตรวจสอบเรียบร้อยแล้ว จึงไม่กำหนดมาตรการแก้ไขเพิ่มเติมทันที
สิทธิเข้าถึงและรับสำเนาข้อมูลการแจ้งรายละเอียด
EUสหภาพยุโรป
European Data Protection Board · สรุปภาษาไทย
สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลอิตาลี (DPA) สั่งปรับบริษัท IQVIA Solutions Italy S.r.l. จำนวนเงิน 7 ล้านยูโร หลังตรวจสอบพบว่าบริษัทประมวลผลข้อมูลสุขภาพผู้ป่วยกว่า 1 ล้านรายจากคลินิก 800 แห่ง โดยไม่ได้ปฏิบัติตามข้อกำหนดด้านข้อมูลส่วนบุคคลอย่างเหมาะสม
DPA พบว่าข้อมูลไม่ได้ถูกทำให้เป็นนิรนามจริงตามที่บริษัทอ้าง เนื่องจากมีรหัสระบุตัวผู้ป่วยแต่ละราย ซึ่งรวมถึงข้อมูลเชิงลึกเช่น เพศ ปีเกิด อาการ และการรักษา ทำให้สามารถระบุตัวผู้ป่วยได้ นอกจากนี้ IQVIA ยังประมวลผลข้อมูลโดยไม่มีฐานทางกฎหมายที่เหมาะสม ไม่แจ้งข้อมูลให้ผู้ป่วยทราบ และไม่ได้ดำเนินการประเมินผลกระทบด้านคุ้มครองข้อมูลหรือมาตรการรักษาความปลอดภัยอย่างครบถ้วน
IQVIA ต้องแก้ไขให้เป็นไปตามกฎหมายคุ้มครองข้อมูลภายใน 120 วัน เช่น กำหนดฐานความถูกต้องทางกฎหมาย แจ้งข้อมูลผู้ป่วย ทำแบบประเมินผลกระทบ และแต่งตั้งแพทย์ผู้รักษาเป็นผู้ประมวลผลข้อมูล หรือให้แพทย์ทำการนิรนามข้อมูลด้วยตัวเองตามข้อกำหนดของ DPA เพื่อขจัดความเสี่ยงในการละเมิดข้อมูลส่วนบุคคล
ความมั่นคงปลอดภัยการแจ้งเหตุละเมิด
ARอาร์เจนตินา
Agencia de Acceso a la Información Pública · สรุปภาษาไทย
ในวันที่ 9 ตุลาคม 2026 สำนักงาน AAIP ของอาร์เจนตินาจัดงานครบรอบ 10 ปีของกฎหมายเข้าถึงข้อมูลสาธารณะหมายเลข 27.275 ณ พระราชวัง Libertad โดยเชิญผู้แทนจากรัฐ สังคมวิชาการและองค์กรระหว่างประเทศมาร่วมแลกเปลี่ยนและประเมินผลการดำเนินงาน
ผู้นำ AAIP ชี้ว่ากฎหมายนี้เสริมสร้างความโปร่งใสและประชาธิปไตย รวมถึงการเปิดเผยข้อมูลเกี่ยวกับการทำงานของรัฐและการใช้ทรัพยากรสาธารณะ โดยมีการพัฒนาระบบความโปร่งใสและเครื่องมือเช่นระบบติดตามคำขอข้อมูลที่ช่วยปรับปรุงผลการตอบกลับคำขอข้อมูลตั้งแต่ 44.6 คะแนนในปี 2024 เป็น 67.7 คะแนนในปี 2026
นอกจากนี้ ยังมีการแลกเปลี่ยนความเห็นเกี่ยวกับบทเรียนความท้าทายของกฎหมายในกรณีต่างๆ เช่น ความลับทางการเงิน ความมั่นคงแห่งชาติ และการคุ้มครองข้อมูลส่วนบุคคล พร้อมเสนอแนะแนวทางการพัฒนาศักยภาพของเจ้าหน้าที่และการรับมือเทคโนโลยีใหม่ ๆ ในทศวรรษหน้า
AAIP ยังมีบทบาทสำคัญทั้งในระดับท้องถิ่นและระหว่างประเทศเพื่อสร้างมาตรฐานข้อมูลและขยายความร่วมมือด้านการคุ้มครองข้อมูลและความโปร่งใสของรัฐ
การแจ้งรายละเอียดสิทธิเข้าถึงและรับสำเนาข้อมูล
AUออสเตรเลีย
OAIC · สรุปภาษาไทย
สำนักงานคณะกรรมการสารสนเทศออสเตรเลีย (OAIC) รายงานว่าการร้องขอข้อมูลจากภาครัฐเพิ่มขึ้น 42% ในปี 2025-26 แสดงให้เห็นว่าประชาชนตื่นตัวต่อสิทธิ์เข้าถึงข้อมูลและมองว่าภาครัฐเป็นแหล่งข้อมูลที่น่าเชื่อถือและสำคัญในการแก้ไขปัญหาข่าวปลอมและข้อมูลบิดเบือนในยุคดิจิทัล
กฎหมายเสรีภาพในการเข้าถึงข้อมูลของออสเตรเลีย มุ่งตอบสนองการเผยแพร่ข้อมูลให้โปร่งใสและเท่าเทียม ซึ่งช่วยฝ่ายประชาชนตรวจสอบการทำงานของรัฐบาล และเป็นเครื่องมือหลักในการต่อสู้กับความเชื่อผิด ๆ และข้อมูลที่บิดเบือนซึ่งแพร่ในสื่อสังคมออนไลน์
OAIC ส่งเสริมการใช้เทคโนโลยีและความโปร่งใส เช่น การใช้ไอคอนดิจิทัลสำหรับการเข้าถึงข้อมูล และการกำกับดูแลเรื่องการใช้อัลกอริทึมอัตโนมัติในภาครัฐ เพื่อเสริมสร้างความไว้วางใจและความน่าเชื่อถือของข้อมูลภาครัฐในสังคมดิจิทัล พร้อมตอกย้ำความสำคัญของข้อมูลที่ถูกต้องและโปร่งใสเป็นหัวใจของระบบประชาธิปไตย
การแจ้งรายละเอียดสิทธิเข้าถึงและรับสำเนาข้อมูล
FRฝรั่งเศส
CNIL · สรุปภาษาไทย
ในวันที่ 29 กันยายน 2569 สำนักคุ้มครองข้อมูลส่วนบุคคลของฝรั่งเศส (CNIL) จัดงาน Rencontres Informatique & Libertés ครั้งที่ 2 เพื่อแลกเปลี่ยนความรู้และอภิปรายประเด็นที่เกี่ยวข้องกับการคุ้มครองข้อมูลส่วนบุคคล รวมถึงการเติบโตของแว่นตาอัจฉริยะและระบบบทลงโทษด้านกฎหมายข้อมูลส่วนบุคคล
หนึ่งในหัวข้อสำคัญคือการเปลี่ยนแปลงแนวทางของการกำกับดูแลเมื่อเทคโนโลยีแว่นตาเชื่อมต่อกำลังขยายตัว แว่นตานี้ช่วยเพิ่มความสะดวกโดยไม่ต้องใช้มือและเก็บข้อมูลอย่างไม่เปิดเผย ทำให้เกิดความท้าทายใหม่ที่ต้องการกรอบกฎหมายที่ชัดเจน ซึ่งมีผู้เชี่ยวชาญจากหลายสาขาร่วมแลกเปลี่ยนความเห็นเพื่อหาทางออกที่เหมาะสม
นอกจากนี้ ยังมีการอภิปรายถึงบทบาทของการลงโทษในการบังคับใช้กฎหมายคุ้มครองข้อมูลส่วนบุคคล โดยชี้ให้เห็นว่าปี 2568 มีบทลงโทษจำนวนสูงสุดถึง 83 คดี รวมเป็นเงินกว่า 487 ล้านยูโร เพื่อทบทวนและประเมินผลการบังคับใช้กฎหมายในระดับชาติและยุโรปผ่านมุมมองของผู้ปฏิบัติงาน เช่น เจ้าหน้าที่กฎหมายและผู้พิพากษา
ความมั่นคงปลอดภัยการแจ้งเหตุละเมิด
EUสหภาพยุโรป
European Data Protection Board · สรุปภาษาไทย
ในปี 2018-2022 Uber ถูกปรับเงิน 824,990,000 ยูโร โดยหน่วยงานคุ้มครองข้อมูลส่วนบุคคลแห่งประเทศเนเธอร์แลนด์ (Autoriteit Persoonsgegevens หรือ AP) ผ่านกระบวนการ One-Stop-Shop ตาม GDPR เนื่องจาก Uber ใช้วิธีการตัดสินใจอัตโนมัติเต็มรูปแบบกับคนขับรถ เช่น การระงับบัญชีชั่วคราวเมื่อสงสัยว่ามีการฉ้อโกง หรือการระงับถาวรกรณีคะแนนรีวิวลูกค้าต่ำ เพื่อระงับรายได้ของคนขับโดยไม่มีการตรวจสอบด้วยตนเองก่อน
AP ระบุว่า Uber ละเมิดข้อห้ามของ GDPR ในการใช้การตัดสินใจอัตโนมัติเต็มรูปแบบ และไม่ได้ให้ข้อมูลที่เพียงพอแก่คนขับเกี่ยวกับการตัดสินใจแบบอัตโนมัติและการสร้างโปรไฟล์ โดยตอนนี้ Uber หยุดกระทำผิดดังกล่าวแล้ว อย่างไรก็ตาม Uber ได้ยื่นอุทธรณ์คำสั่งปรับนี้และยังไม่มีคำตัดสินทางกฎหมายขั้นสุดท้าย
กรณีนี้เริ่มจากผู้ขับ Uber ในฝรั่งเศสจำนวน 171 คนยื่นเรื่องร้องเรียนผ่านองค์กร Ligue des droits de l’Homme (LDH) ต่อสำนักงานคุ้มครองข้อมูลฝรั่งเศส (CNIL) ซึ่งหลังจากนั้นคดีถูกส่งไปยัง AP เนื่องจากสำนักงานใหญ่ของ Uber ในยุโรปตั้งอยู่ที่เนเธอร์แลนด์
การตัดสินใจด้วยระบบอัตโนมัติการแจ้งรายละเอียด
EUสหภาพยุโรป
European Data Protection Board · สรุปภาษาไทย
สำนักงานคุ้มครองข้อมูลส่วนบุคคลของกรีซเผยผลสืบสวนเหตุข้อมูลส่วนบุคคลรั่วไหลครั้งใหญ่ กระทบฐานข้อมูลที่ดูแลโดยบริษัท E.E.T.A.A. S.A. ในฐานะผู้ประมวลผลข้อมูลให้กระทรวงสังคมและครอบครัว ข้อมูลที่รั่วไหลรวมทั้งข้อมูลส่วนบุคคล เช่น ข้อมูลระบุตัวตน รายละเอียดติดต่อ รวมถึงข้อมูลการเงินและสุขภาพของผู้ได้รับผลกระทบจำนวนมาก
สำนักงานฯ พบว่ากระทรวงสังคมปฏิบัติตามข้อกำหนดเกี่ยวกับการแจ้งเหตุต่อหน่วยงานกำกับดูแลและแจ้งผู้ได้รับผลกระทบแล้ว แต่ตั้งข้อสังเกตว่าการโจมตีสำเร็จเนื่องจาก E.E.T.A.A. ใช้ระบบข้อมูลที่ล้าสมัยและมาตรการรักษาความปลอดภัยไม่เพียงพอ แม้จะทราบความเสี่ยงแล้วก็ตาม ซึ่งละเมิดข้อกำหนดความปลอดภัยในการประมวลผลและความสัมพันธ์ระหว่างผู้ควบคุมและผู้ประมวลผลข้อมูลตามกฎหมาย GDPR
สำนักงานคุ้มครองข้อมูลของกรีซจึงสั่งปรับกระทรวงสังคม 200,000 ยูโร และ E.E.T.A.A. 150,000 ยูโร พร้อมทั้งกำชับให้ทั้งสองฝ่ายจัดทำข้อตกลงการประมวลผลข้อมูลส่วนบุคคลตามมาตรา 28 ของกฎหมาย GDPR และดำเนินมาตรการเสริมความปลอดภัยในระบบข้อมูลอย่างครบถ้วน
ความมั่นคงปลอดภัยการแจ้งเหตุละเมิด