Facebook “Consent or Pay Model” ไปต่อหรือพอแค่นี้

ในโมเดลธุรกิจแบบ “Consent or Pay” ที่ผู้ใช้บริการต้องเลือกระหว่าง

(1) “การให้ความยินยอม” ในการประมวลผลข้อมูลส่วนบุคคลเพื่อวัตถุประสงค์ในการทำการตลาดตามกลุ่มเป้าหมาย (personalized advertising) หรือ

(2) “การชำระเงิน” เพื่อไม่ให้ข้อมูลส่วนบุคคลถูกใช้เพื่อวัตถุประสงค์ในการทำการตลาดโดยแพลตฟอร์มออนไลน์ขนาดใหญ่  (Large Online Platforms) กล่าวคือเป็นการแลกเปลี่ยนกับการได้ใช้งานแบบ “ไม่มีโฆษณา” (no ads)

กรณีดังกล่าวสืบเนื่องจากการที่หน่วยงานกำกับดูแลด้านการคุ้มครองข้อมูลส่วนบุคคลของเนเธอร์แลนด์ นอร์เวย์ และเยอรมัน (ฮัมบูร์ก) ขอให้ EDPB พิจารณาให้ความเห็นเกี่ยวกับโมเดล “ยินยอมหรือชำระเงิน” ที่เกี่ยวข้องกับการโฆษณาตามพฤติกรรมว่า

จะสามารถนำไปใช้ภายใต้สถานการณ์และเงื่อนไขใด โดยคำนึงถึงอำนาจเหนือตลาดของแพลตฟอร์มออนไลน์ขนาดใหญ่ประกอบด้วย

EDPB ได้ให้ความเห็นโดยสรุปต่อการใช้โมเดล “Consent or Pay” ดังต่อไปนี้

1.ความยินยอมโดยอิสระ

ก.แพลตฟอร์มออนไลน์ขนาดใหญ่ที่ใช้โมเดลนี้ควรตรวจสอบให้แน่ใจว่าค่าธรรมเนียมใด ๆ จะไม่ขัดขวางเจ้าของข้อมูลส่วนบุคคลในการตัดสินใจเลือกอย่างเสรี เช่น โดยการกดดันให้ไปสู่การต้องให้ความยินยอม โดยเฉพาะอย่างยิ่งในกรณีที่บริการนั้น ๆ มีบทบาทที่พิเศษ

เช่น เป็นช่องทางสำคัญในการมีส่วนร่วมทางสังคมออนไลน์หรือการเข้าถึงเครือข่ายอาชีพ และยิ่งไปกว่านั้นเมื่อมีข้อจำกัดในการออกไปใช้บริการอื่นที่อาจทำให้สูญเสียร่วมทางสังคมหรือการเข้าถึงเครือข่ายอาชีพ เป็นต้น (lock-in/network effect)

ข.ความไม่เท่าเทียมกันในเชิงอำนาจ (imbalance of power) ระหว่างเจ้าของข้อมูลส่วนบุคคลกับผู้ให้บริการแพลตฟอร์มออนไลน์ขนาดใหญ่ โดยเฉพาะการมีอยู่ของผลกระทบจากเครือข่ายและสถานะความมีอำนาจเหนือตลาดของผู้ให้บริการ ในกรณีที่มีความไม่สมดุลที่เชิงอำนาจที่ชัดเจน

ความยินยอมจะสามารถใช้ได้เฉพาะในสถานการณ์พิเศษเท่านั้น และในกรณีนี้ผู้ให้บริการต้องสามารถพิสูจน์ได้ว่า ไม่มีผลที่ผลกระทบเชิงลบสำหรับเจ้าของข้อมูลส่วนบุคคลหากไม่ให้ความยินยอม

ค.ศาลยุติธรรมแห่งสหภาพยุโรป (CJEU) ระบุในคำตัดสินของ Bundeskartellamt v Facebook ว่าหากผู้ใช้ปฏิเสธที่จะให้ความยินยอมในการดำเนินการประมวลผลบางอย่าง ผู้ใช้บริการจะต้องได้รับการเสนอ “ทางเลือกที่เทียบเท่า” (equivalent alternative) ด้วย

ซึ่ง EDPB เห็นว่าคดีดังกล่าวเป็นแนวทางที่สำคัญในการกำหนดให้ผู้ให้บริการต้องจัดให้มีทางเลือกของบริการที่นำเสนอโดยผู้ให้บริการ ซึ่งไม่เกี่ยวข้องกับการให้ความยินยอมให้ประมวลผลข้อมูลส่วนบุคคลสำหรับการโฆษณาตามพฤติกรรม 

2.ได้แจ้งวัตถุประสงค์ในการขอความยินยอมแล้ว ผู้ให้บริการมีความรับผิดชอบในการสร้างและจัดทำเอกสารและกระบวนการเพื่อแจ้งให้เจ้าของข้อมูลส่วนบุคคล/ผู้ใช้บริการมีความเข้าใจอย่างครบถ้วนและชัดเจนเกี่ยวกับคุณค่า ขอบเขต และผลที่ตามมาของตัวเลือกต่าง ๆ

ซึ่งหมายความว่าก่อนที่จะตัดสินใจเลือก เจ้าของข้อมูลส่วนบุคคลต้องได้รับข้อมูลที่ชัดเจนเกี่ยวกับกิจกรรมการประมวลผลที่เชื่อมโยงกับแต่ละตัวเลือกที่เสนอให้เจ้าของข้อมูลส่วนบุคคลพิจารณา

3.มีการแสดงออกว่าให้ความยินยอมอย่างชัดแจ้ง แพลตฟอร์มออนไลน์ขนาดใหญ่ควรออกแบบวิธีการขอให้เจ้าของข้อมูลให้ความยินยอมโดยมีการกระทำที่พิสูจน์ให้เห็นว่าได้ให้ความยินยอมอย่างชัดแจ้ง เพื่อให้แน่ใจว่าเจ้าของข้อมูลส่วนบุคคลจะไม่ตกอยู่ภายใต้รูปแบบการออกแบบที่หลอกลวง

4.ความยินยอมมีความเฉพาะเจาะจง ซึ่งหมายความว่าแพลตฟอร์มออนไลน์ขนาดใหญ่ควรกำหนดและจำกัดวัตถุประสงค์ของกิจกรรมการประมวลผลที่ต้องได้รับความยินยอมอย่างชัดเจน

ในบริบทของโมเดล “Consent or Pay” ที่ดำเนินการโดยแพลตฟอร์มออนไลน์ขนาดใหญ่ EDPB ได้เน้นย้ำถึงความจำเป็นของผู้ให้บริการในการปฏิบัติตามข้อกำหนดทั้งหมดของ GDPR ทุกข้อ

โดยเฉพาะอย่างยิ่งข้อกำหนดสำหรับความยินยอมที่ชอบด้วยกฎหมายตามที่กล่าวมาข้างต้น ที่จะต้องประเมินลักษณะเฉพาะของแต่ละกรณี และเป็นไปไม่ได้ที่แพลตฟอร์มออนไลน์ขนาดใหญ่จะปฏิบัติตามข้อกำหนดสำหรับความยินยอมที่ชอบด้วยกฎหมายได้

หากมีการให้ทางเลือกแก่ผู้ใช้บริการเพียง 2 ทางเลือกคือ “ยินยอม” ให้ประมวลผลข้อมูลส่วนบุคคลเพื่อวัตถุประสงค์ในการโฆษณาตามพฤติกรรม หรือ “ชำระเงิน” หรือการจ่ายค่าธรรมเนียม แลกกับการที่ข้อมูลจะไม่ถูกประมวลผลเพื่อวัตถุประสงค์ดังกล่าว

EDPB ให้ความเห็นด้วยว่าข้อมูลส่วนบุคคลไม่ใช่สินค้าโภคภัณฑ์เพื่อการจำหน่าย (tradeable commodity)

และแพลตฟอร์มออนไลน์ขนาดใหญ่ควรคำนึงถึงความจำเป็นในการปกป้องสิทธิขั้นพื้นฐานในการคุ้มครองข้อมูลส่วนบุคคล จากการถูกแปลงเป็นคุณลักษณะที่เจ้าของข้อมูลต้องจ่ายเพื่อให้สามารถเข้าถึงบริการของแพลตฟอร์มออนไลน์ขนาดใหญ่ได้ด้วย

ดังนั้น การเสนอเฉพาะทางเลือกที่ต้องชำระเงินเพื่อใช้บริการและการประมวลผลเพื่อการโฆษณาตามพฤติกรรมไม่ควรเป็นวิธีเริ่มต้นสำหรับผู้ให้บริการ ในทางตรงกันข้ามผู้ให้บริการควรพัฒนาทางเลือกอื่นนอกเหนือจากเวอร์ชันของบริการด้วยการโฆษณาตามพฤติกรรม

โดยการให้ “ทางเลือกที่เทียบเท่า” (equivalent alternative) แก่เจ้าของข้อมูลส่วนบุคคลโดยไม่ต้องเสียค่าธรรมเนียม ซึ่งอาจมีการโฆษณารูปแบบอื่นที่ไม่ใช่การโฆษณาตามพฤติกรรมที่ต้องใช้ข้อมูลส่วนบุคคลด้วย

ความเห็นดังกล่าวของ EDPB แม้ว่าจะเป็นการให้ความเห็นในข้อกฎหมายเป็นกรณีทั่วไปเกี่ยวกับการใช้โมเดล “Consent or Pay” ที่สอดคล้องกับ GDPR แต่ก็ย่อมเป็นที่คาดหมายได้ว่าแพลตฟอร์มออนไลน์ขนาดใหญ่ที่จะได้รับผลกระทบจากความเห็นของ EDPB

ซึ่งมีผลผูกพันแนวทางการบังคับใช้และตีความกฎหมายคุ้มครองข้อมูลส่วนบุคคลของสหภาพยุโรปในทุกประเทศให้ต้องวินิจฉัยและตีความไปในทำนองเดียวกันในครั้งนี้ได้แก่ Facebook นั่นเองที่ต้องไปออกแบบ “ทางเลือกที่เทียบเท่า”

ตามที่ EDPB ให้ความเห็นเพื่อเป็นทางเลือกที่สามให้กับผู้ใช้บริการนอกจากการ “ยินยอม” หรือ “ชำระเงิน” เท่านั้น ดังนั้น “ทางเลือกที่เทียบเท่า” จะเป็นเครื่องมือสำคัญในการที่ Facebook จะสามารถออกแบบความยินยอมให้ถูกต้องตามที่ EDPB ให้แนวทางไว้ได้หรือไม่. 

อ้างอิง

1.EDPB Guidelines 05/2020 on consent under Regulation 2016/679 Version 1.1

2.EDPB, Opinion 08/2024 on Valid Consent in the Context of Consent or Pay Models Implemented by Large Online Platforms, Adopted on 17 April 2024