Facebook “Consent or Pay Model” ไปต่อหรือพอแค่นี้
เมื่อวันที่ 17 เม.ย.2567 EDPB (European Data Protection Board) ได้เผยแพร่ความเห็นต่อ กรณีการขอความยินยอมที่ชอบด้วยกฎหมายคุ้มครองข้อมูลส่วนบุคคลของสหภาพยุโรป (GDPR)
ในโมเดลธุรกิจแบบ “Consent or Pay” ที่ผู้ใช้บริการต้องเลือกระหว่าง
(1) “การให้ความยินยอม” ในการประมวลผลข้อมูลส่วนบุคคลเพื่อวัตถุประสงค์ในการทำการตลาดตามกลุ่มเป้าหมาย (personalized advertising) หรือ
(2) “การชำระเงิน” เพื่อไม่ให้ข้อมูลส่วนบุคคลถูกใช้เพื่อวัตถุประสงค์ในการทำการตลาดโดยแพลตฟอร์มออนไลน์ขนาดใหญ่ (Large Online Platforms) กล่าวคือเป็นการแลกเปลี่ยนกับการได้ใช้งานแบบ “ไม่มีโฆษณา” (no ads)
กรณีดังกล่าวสืบเนื่องจากการที่หน่วยงานกำกับดูแลด้านการคุ้มครองข้อมูลส่วนบุคคลของเนเธอร์แลนด์ นอร์เวย์ และเยอรมัน (ฮัมบูร์ก) ขอให้ EDPB พิจารณาให้ความเห็นเกี่ยวกับโมเดล “ยินยอมหรือชำระเงิน” ที่เกี่ยวข้องกับการโฆษณาตามพฤติกรรมว่า
จะสามารถนำไปใช้ภายใต้สถานการณ์และเงื่อนไขใด โดยคำนึงถึงอำนาจเหนือตลาดของแพลตฟอร์มออนไลน์ขนาดใหญ่ประกอบด้วย
EDPB ได้ให้ความเห็นโดยสรุปต่อการใช้โมเดล “Consent or Pay” ดังต่อไปนี้
1.ความยินยอมโดยอิสระ
ก.แพลตฟอร์มออนไลน์ขนาดใหญ่ที่ใช้โมเดลนี้ควรตรวจสอบให้แน่ใจว่าค่าธรรมเนียมใด ๆ จะไม่ขัดขวางเจ้าของข้อมูลส่วนบุคคลในการตัดสินใจเลือกอย่างเสรี เช่น โดยการกดดันให้ไปสู่การต้องให้ความยินยอม โดยเฉพาะอย่างยิ่งในกรณีที่บริการนั้น ๆ มีบทบาทที่พิเศษ
เช่น เป็นช่องทางสำคัญในการมีส่วนร่วมทางสังคมออนไลน์หรือการเข้าถึงเครือข่ายอาชีพ และยิ่งไปกว่านั้นเมื่อมีข้อจำกัดในการออกไปใช้บริการอื่นที่อาจทำให้สูญเสียร่วมทางสังคมหรือการเข้าถึงเครือข่ายอาชีพ เป็นต้น (lock-in/network effect)
ข.ความไม่เท่าเทียมกันในเชิงอำนาจ (imbalance of power) ระหว่างเจ้าของข้อมูลส่วนบุคคลกับผู้ให้บริการแพลตฟอร์มออนไลน์ขนาดใหญ่ โดยเฉพาะการมีอยู่ของผลกระทบจากเครือข่ายและสถานะความมีอำนาจเหนือตลาดของผู้ให้บริการ ในกรณีที่มีความไม่สมดุลที่เชิงอำนาจที่ชัดเจน
ความยินยอมจะสามารถใช้ได้เฉพาะในสถานการณ์พิเศษเท่านั้น และในกรณีนี้ผู้ให้บริการต้องสามารถพิสูจน์ได้ว่า ไม่มีผลที่ผลกระทบเชิงลบสำหรับเจ้าของข้อมูลส่วนบุคคลหากไม่ให้ความยินยอม
ค.ศาลยุติธรรมแห่งสหภาพยุโรป (CJEU) ระบุในคำตัดสินของ Bundeskartellamt v Facebook ว่าหากผู้ใช้ปฏิเสธที่จะให้ความยินยอมในการดำเนินการประมวลผลบางอย่าง ผู้ใช้บริการจะต้องได้รับการเสนอ “ทางเลือกที่เทียบเท่า” (equivalent alternative) ด้วย
ซึ่ง EDPB เห็นว่าคดีดังกล่าวเป็นแนวทางที่สำคัญในการกำหนดให้ผู้ให้บริการต้องจัดให้มีทางเลือกของบริการที่นำเสนอโดยผู้ให้บริการ ซึ่งไม่เกี่ยวข้องกับการให้ความยินยอมให้ประมวลผลข้อมูลส่วนบุคคลสำหรับการโฆษณาตามพฤติกรรม
2.ได้แจ้งวัตถุประสงค์ในการขอความยินยอมแล้ว ผู้ให้บริการมีความรับผิดชอบในการสร้างและจัดทำเอกสารและกระบวนการเพื่อแจ้งให้เจ้าของข้อมูลส่วนบุคคล/ผู้ใช้บริการมีความเข้าใจอย่างครบถ้วนและชัดเจนเกี่ยวกับคุณค่า ขอบเขต และผลที่ตามมาของตัวเลือกต่าง ๆ
ซึ่งหมายความว่าก่อนที่จะตัดสินใจเลือก เจ้าของข้อมูลส่วนบุคคลต้องได้รับข้อมูลที่ชัดเจนเกี่ยวกับกิจกรรมการประมวลผลที่เชื่อมโยงกับแต่ละตัวเลือกที่เสนอให้เจ้าของข้อมูลส่วนบุคคลพิจารณา
3.มีการแสดงออกว่าให้ความยินยอมอย่างชัดแจ้ง แพลตฟอร์มออนไลน์ขนาดใหญ่ควรออกแบบวิธีการขอให้เจ้าของข้อมูลให้ความยินยอมโดยมีการกระทำที่พิสูจน์ให้เห็นว่าได้ให้ความยินยอมอย่างชัดแจ้ง เพื่อให้แน่ใจว่าเจ้าของข้อมูลส่วนบุคคลจะไม่ตกอยู่ภายใต้รูปแบบการออกแบบที่หลอกลวง
4.ความยินยอมมีความเฉพาะเจาะจง ซึ่งหมายความว่าแพลตฟอร์มออนไลน์ขนาดใหญ่ควรกำหนดและจำกัดวัตถุประสงค์ของกิจกรรมการประมวลผลที่ต้องได้รับความยินยอมอย่างชัดเจน
ในบริบทของโมเดล “Consent or Pay” ที่ดำเนินการโดยแพลตฟอร์มออนไลน์ขนาดใหญ่ EDPB ได้เน้นย้ำถึงความจำเป็นของผู้ให้บริการในการปฏิบัติตามข้อกำหนดทั้งหมดของ GDPR ทุกข้อ
โดยเฉพาะอย่างยิ่งข้อกำหนดสำหรับความยินยอมที่ชอบด้วยกฎหมายตามที่กล่าวมาข้างต้น ที่จะต้องประเมินลักษณะเฉพาะของแต่ละกรณี และเป็นไปไม่ได้ที่แพลตฟอร์มออนไลน์ขนาดใหญ่จะปฏิบัติตามข้อกำหนดสำหรับความยินยอมที่ชอบด้วยกฎหมายได้
หากมีการให้ทางเลือกแก่ผู้ใช้บริการเพียง 2 ทางเลือกคือ “ยินยอม” ให้ประมวลผลข้อมูลส่วนบุคคลเพื่อวัตถุประสงค์ในการโฆษณาตามพฤติกรรม หรือ “ชำระเงิน” หรือการจ่ายค่าธรรมเนียม แลกกับการที่ข้อมูลจะไม่ถูกประมวลผลเพื่อวัตถุประสงค์ดังกล่าว
EDPB ให้ความเห็นด้วยว่าข้อมูลส่วนบุคคลไม่ใช่สินค้าโภคภัณฑ์เพื่อการจำหน่าย (tradeable commodity)
และแพลตฟอร์มออนไลน์ขนาดใหญ่ควรคำนึงถึงความจำเป็นในการปกป้องสิทธิขั้นพื้นฐานในการคุ้มครองข้อมูลส่วนบุคคล จากการถูกแปลงเป็นคุณลักษณะที่เจ้าของข้อมูลต้องจ่ายเพื่อให้สามารถเข้าถึงบริการของแพลตฟอร์มออนไลน์ขนาดใหญ่ได้ด้วย
ดังนั้น การเสนอเฉพาะทางเลือกที่ต้องชำระเงินเพื่อใช้บริการและการประมวลผลเพื่อการโฆษณาตามพฤติกรรมไม่ควรเป็นวิธีเริ่มต้นสำหรับผู้ให้บริการ ในทางตรงกันข้ามผู้ให้บริการควรพัฒนาทางเลือกอื่นนอกเหนือจากเวอร์ชันของบริการด้วยการโฆษณาตามพฤติกรรม
โดยการให้ “ทางเลือกที่เทียบเท่า” (equivalent alternative) แก่เจ้าของข้อมูลส่วนบุคคลโดยไม่ต้องเสียค่าธรรมเนียม ซึ่งอาจมีการโฆษณารูปแบบอื่นที่ไม่ใช่การโฆษณาตามพฤติกรรมที่ต้องใช้ข้อมูลส่วนบุคคลด้วย
ความเห็นดังกล่าวของ EDPB แม้ว่าจะเป็นการให้ความเห็นในข้อกฎหมายเป็นกรณีทั่วไปเกี่ยวกับการใช้โมเดล “Consent or Pay” ที่สอดคล้องกับ GDPR แต่ก็ย่อมเป็นที่คาดหมายได้ว่าแพลตฟอร์มออนไลน์ขนาดใหญ่ที่จะได้รับผลกระทบจากความเห็นของ EDPB
ซึ่งมีผลผูกพันแนวทางการบังคับใช้และตีความกฎหมายคุ้มครองข้อมูลส่วนบุคคลของสหภาพยุโรปในทุกประเทศให้ต้องวินิจฉัยและตีความไปในทำนองเดียวกันในครั้งนี้ได้แก่ Facebook นั่นเองที่ต้องไปออกแบบ “ทางเลือกที่เทียบเท่า”
ตามที่ EDPB ให้ความเห็นเพื่อเป็นทางเลือกที่สามให้กับผู้ใช้บริการนอกจากการ “ยินยอม” หรือ “ชำระเงิน” เท่านั้น ดังนั้น “ทางเลือกที่เทียบเท่า” จะเป็นเครื่องมือสำคัญในการที่ Facebook จะสามารถออกแบบความยินยอมให้ถูกต้องตามที่ EDPB ให้แนวทางไว้ได้หรือไม่.
อ้างอิง
1.EDPB Guidelines 05/2020 on consent under Regulation 2016/679 Version 1.1
2.EDPB, Opinion 08/2024 on Valid Consent in the Context of Consent or Pay Models Implemented by Large Online Platforms, Adopted on 17 April 2024
