ยุโรปเขย่าธุรกิจโลก ผ่านกม.GDPR ปกป้องข้อมูล

นรินรัตน์ พรหมพิทักษ์

ในยุคดิจิทัลที่ข้อมูลคืออำนาจ ความสามารถในการเข้าถึงข้อมูลของผู้บริโภคจึงมีความหมายอย่างยิ่งสำหรับภาคธุรกิจ โดยเมื่อมีข้อมูลผู้บริโภคในมือมากกว่าก็จะยิ่งเจาะกลุ่มเป้าหมายได้ตรงจุดมากกว่าเดิม

อย่างไรก็ดี การนำข้อมูลส่วนตัวของลูกค้ามาใช้ในเชิงพาณิชย์ กำลังสร้างความหวั่นใจให้ผู้บริโภคมากขึ้นทุกที เพราะหลายครั้งที่ธุรกิจบางรายเอาข้อมูลไปใช้โดยพลการ หรือในกรณีเลวร้ายกว่านั้น ข้อมูลส่วนตัวดังกล่าวถูกแฮ็กเกอร์ขโมยไปขายในตลาดมืด

ปัญหาดังกล่าวทำให้สหภาพยุโรป (อียู) พยายามเพิ่มการปกป้องข้อมูลส่วนตัวผู้บริโภค และในวันที่ 25 พ.ค. 2018 นี้ กฎหมายคุ้มครองข้อมูลส่วนตัวของพลเมืองอียู ที่มีชื่อว่า General Data Protection Regulation หรือ GDPR จะมีผลบังคับใช้เต็มรูปแบบ ซึ่งถือเป็นการปฏิรูปกฎหมายคุ้มครองข้อมูลผู้บริโภคครั้งใหญ่สุดในรอบ 20 ปี

อียูมองว่าการยกเครื่องกฎหมายดังกล่าวเป็นกุญแจสู่การสร้าง "ดิจิทัล ซิงเกิ้ล มาร์เก็ต" ที่มุ่งถ่ายโอนระบบตลาดเดียวของอียูทั้งในด้านสินค้าและบริการเข้าสู่แพลตฟอร์มออนไลน์ โดยการยกระดับกฎหมายคุ้มครองความปลอดภัยข้อมูลส่วนตัวของผู้บริโภค จะช่วยให้ทั้งพลเมืองยุโรปและภาคธุรกิจได้รับประโยชน์จากเศรษฐกิจดิจิทัลอย่างเต็มที่ หมายความว่า หากผู้บริโภคเชื่อมั่นว่าข้อมูลส่วนตัวปลอดภัย และสามารถควบคุมทิศทางการเอาข้อมูลไปใช้ได้มากขึ้น ก็มีแนวโน้มจับจ่ายสินค้าออนไลน์หรือใช้บริการผ่านช่องทางดิจิทัลยิ่งขึ้น

แม้การบังคับใช้กฎหมายดังกล่าวดูเหมือนเป็นเรื่องไกลตัว แต่หากมีผลบังคับแล้วจะส่งผลกระทบต่อหลายบริษัทเกือบทุกภาคส่วนและจากทุกประเทศ เนื่องจากบริษัททุกสัญชาติที่ทำธุรกิจในอียูจะต้องปฏิบัติตามกฎหมาย GDPR อย่างเคร่งครัด แม้ไม่มีสำนักงานใหญ่ในภูมิภาคยุโรปก็ตาม ซึ่งหากอียูตรวจพบการละเมิด บริษัทเสี่ยงถูกปรับสูงสุดที่ 4% ของรายได้ทั้งหมดต่อปีจากทั่วโลก หรือคิดเป็นประมาณ 20 ล้านยูโร (ราว 778 ล้านบาท) ซึ่งอัตราการสั่งปรับพิจารณาตามความร้ายแรงของการละเมิดกฎ

ทั้งนี้ เอกชนที่ต้องปฏิบัติตาม GDPR ประกอบด้วยบริษัทที่เก็บข้อมูลส่วนตัวของผู้บริโภคอียู เช่น ชื่อ ที่อยู่ เลขบัตรประชาชน รวมถึงข้อมูลอื่นๆ ที่เกี่ยวพันกับบุคคลดังกล่าวอย่างอีเมล หรือเลขไอพีคอมพิวเตอร์ สำหรับใช้ในการทำธุรกิจเป็นหลัก หมายความว่าบริษัทที่เข้าข่ายครอบคลุมตั้งแต่บริษัทเทคโนโลยี ค้าปลีก บริการสุขภาพ ไปจนถึงบรรดาแบงก์และบริษัทประกันภัย

ภายใต้ GDPR บริษัทต้องแจ้งจุดประสงค์ชัดเจนในการเก็บข้อมูลส่วนตัว โดยต้องได้รับความยินยอมจากผู้บริโภค ไม่สามารถนำข้อมูลดังกล่าวไปใช้สำหรับจุดประสงค์อื่นๆ นอกเหนือจากที่แจ้งไว้ และต้องรายงานรายละเอียดการนำข้อมูลส่วนตัวดังกล่าวไปใช้งาน ซึ่งเมื่อได้รับความยินยอมแล้ว ผู้บริโภคจะได้รับสิทธิอื่นๆ ที่เกี่ยวข้องตามมา ไม่ว่าจะเป็นสิทธิในการขอเข้าถึงข้อมูล แก้ไขข้อมูล รวมถึงสิทธิที่จะถูกลืม ซึ่งเป็นการขอให้บริษัท "ลบ" ข้อมูลส่วนตัวบนอินเทอร์เน็ต

การปกป้องสิทธิดังกล่าวภายใต้ GDPR ทำให้เอกชนมีเวลา 30 วัน ในการปฏิบัติตามคำขอเรื่องสิทธิด้านข้อมูลข้างต้นหากผู้บริโภคต้องการ นอกจากนี้ GDPR ยังมีข้อกำหนดที่สำคัญต่างๆ อีก เช่น 1.บริษัทต้องแจ้งหน่วยงานอียูและผู้บริโภคภายใน 72 ชั่วโมง หากพบว่าข้อมูลส่วนตัวดังกล่าวเสี่ยงตกเป็นเป้าการโจรกรรมไซเบอร์ 2.บริษัทต้องไม่เก็บข้อมูลส่วนตัวไว้นานเกินจำเป็น โดยต้องแจ้งผู้บริโภคเกี่ยวกับระยะเวลาการเก็บข้อมูล รวมถึงบริษัทต้องตั้ง "เจ้าหน้าที่ปกป้องดูแลข้อมูล" หากเก็บข้อมูลส่วนตัวของผู้บริโภคไว้เป็นปริมาณมาก

กฎหมาย GDPR ไม่เพียงช่วยสร้างความเชื่อมั่นให้ผู้บริโภคอียูเท่านั้น แต่ยังเป็นการ "ยิงปืนนัดเดียวได้นกสองตัว" ที่ช่วยอุดช่องโหว่ปัญหาพิพาทหลายครั้งระหว่างอียูกับยักษ์ไอทีสหรัฐ กรณีละเมิดการปกป้องข้อมูลผู้บริโภคด้วยเช่นกัน โดยการทำงานของหน่วยคุ้มครองข้อมูลผู้บริโภค (ดีพีเอ) ที่แตกต่างกันในแต่ละประเทศอียู ส่งผลให้ที่ผ่านมาทางอียูไม่สามารถจัดการสั่งปรับได้อย่างสมน้ำสมเนื้อกับรายได้ของบรรดายักษ์ไอทีเสียเท่าไร

เฟซบุ๊กถือเป็นกรณีตัวอย่างดังกล่าว โดยเมื่อปี 2017 เฟซบุ๊กถูกหน่วยงานฝรั่งเศส ซึ่งร่วมมือกับสเปน เบลเยียม เนเธอร์แลนด์ และเยอรมนี ผนึกกำลังกันสั่งปรับ กรณีการปล่อยให้บริษัทโฆษณานำข้อมูลส่วนตัวผู้ใช้ไปใช้ในเชิงพาณิชย์ โดยค่าปรับอยู่ที่ 1.5 แสนยูโร (ราว 5.8 ล้านบาท) ซึ่งถือเป็นจำนวนไม่มากนักเมื่อเทียบกับรายได้ช่วงไตรมาสเดือน ก.ย.ของเฟซบุ๊กที่ประมาณ 8,000 ล้านดอลลาร์สหรัฐ (ราว 2.5 แสนล้านบาท)

อย่างไรก็ดี ยักษ์ไอทีหลายรายเริ่มดำเนินการมาระยะหนึ่งแล้วเพื่อรับมือกับ GDPR โดย "เฟซบุ๊ก" ถือมีความเคลื่อนไหวชัดเจนที่สุด ซึ่งล่าสุดเมื่อสัปดาห์ที่ผ่านมา บริษัทประกาศตั้งศูนย์ความเป็นส่วนตัวรูปแบบใหม่ เพื่อรวมคำแนะนำในการตั้งค่าด้านความปลอดภัย ความเป็นส่วนตัว และการแสดงโฆษณาบนหน้านิวส์ฟีด มาไว้ในหน้าเพจเดียว แทนที่จะกระจายไปตามส่วนต่างๆ ของโซเชียลมีเดีย

หนังสือพิมพ์นิวยอร์กไทมส์รายงานว่า ก่อนหน้านี้เฟซบุ๊กยังตัดสินใจไม่เปิดบริการผลิตภัณฑ์บางอย่างในยุโรปเนื่องจากสุ่มเสี่ยงละเมิดกฎหมายความเป็นส่วนตัว เช่น การใช้ปัญญาประดิษฐ์ (เอไอ) ตรวจสอบสัญญาณการทำร้ายตัวเองของผู้ใช้

ด้าน "กูเกิล" เองมีการดำเนินงานคล้ายเฟซบุ๊ก โดยปรับเปลี่ยนกระดานตรวจสอบความเป็นส่วนตัว (Privacy Dashboard) เมื่อเดือน ก.ย.ที่ผ่านมา เพื่อให้ผู้ใช้ตรวจสอบได้ว่าผลิตภัณฑ์ไหนของบริษัทเก็บข้อมูลส่วนตัวผู้ใช้เอาไว้บ้าง หลังเผชิญการสั่งปรับจากอียูหลายระลอกเมื่อปี 2014 จากกรณีละเมิดกฎปกป้องความเป็นส่วนตัวข้อมูลผู้บริโภค ขณะที่ "อเมซอน" ระบุเมื่อเดือน เม.ย.ว่าจะเพิ่มการเข้ารหัสข้อมูลของบริการคลาวด์ เพื่อปกป้องความเป็นส่วนตัวผู้ใช้ยิ่งขึ้น และจะให้สิทธิผู้ใช้ในการเลือกเก็บข้อมูลตามภูมิภาค

แม้ความเคลื่อนไหวของบริษัทไอทีรายใหญ่ๆ มีแนวโน้มทำให้บริษัทขนาดเล็กกว่าต้องปฏิบัติตาม แต่การปรับตัวรับ GDPR ก็ไม่ได้ทำง่ายนัก จากสาเหตุสำคัญเรื่องค่าใช้จ่าย โดยบริษัทกฎหมาย พอล แฮสติ้ง คาดการณ์ว่า ต้นทุนการลงทุนแค่เฉพาะด้านเทคโนโลยีจะเพิ่มประมาณ 1 ล้านดอลลาร์ (ราว 31 ล้านบาท) ขณะที่ ไซมอน พิฟฟ์ รองประธานฝ่ายความปลอดภัยข้อมูลของบริษัทวิจัย ไอดีซี ประจำเอเชียแปซิฟิก เตือนว่าบริษัทบางรายอาจต้องมีค่าใช้จ่ายระยะยาวสูงขึ้นในการบริหารข้อมูล โดยเฉพาะการทำตามสิทธิที่จะถูกลืมของผู้บริโภค

นอกจากเรื่องค่าใช้จ่ายแล้ว ความตระหนักถึงผลกระทบจาก GDPR ทำให้ธุรกิจจำนวนมากละเลยเรื่องการเตรียมตัวจนอาจไม่สามารถปฏิบัติตามกฎได้ทันตามเส้นตาย โดยบริษัทวิจัยการ์ทเนอร์ ระบุว่ามีเพียงบริษัทไม่ถึง 50% จากจำนวนทั้งหมดที่ได้รับผลกระทบจาก GDPR จะสามารถปฏิบัติตามกฎหมายดังกล่าวได้ทัน

แม้ขณะนี้ การประเมินขอบเขตผลกระทบจาก GDPR ยังไม่ชัดเจนนัก แต่การเอาจริงของอียูครั้งนี้ก็มากพอแล้วที่ทำให้เอกชนควรเริ่มตระหนักถึงการปกป้องข้อมูลส่วนตัวของผู้บริโภคมากขึ้น นอกเหนือจากการสรรหากลยุทธ์เพิ่มความสามารถในการแข่งขันในยุคดิจิทัล n