การวิเคราะห์คดี / ข่าวสารกฎหมาย

คำสั่งทางปกครอง | บริษัท M ส่งต่อข้อมูลส่วนบุคคลโดยไม่ได้รับความยินยอม ศาลฎีกาแห่งสาธารณรัฐเกาหลีวินิจฉัยว่าเงินเพิ่มเชิงลงโทษทางปกครอง 6.7 พันล้านวอนเกาหลีใต้ชอบด้วยกฎหมาย

2026.02.06พัก ทงอิล

กรณีของบริษัท M ซึ่งคัดค้านคำสั่งทางปกครองแต่ถูกศาลฎีกาแห่งสาธารณรัฐเกาหลียกฎีกา เนื่องจากบริษัทส่งต่อข้อมูลส่วนบุคคลโดยไม่ได้รับความยินยอม ศาลจึงวินิจฉัยว่าเงินเพิ่มเชิงลงโทษทางปกครองจำนวน 6.7 พันล้านวอนเกาหลีใต้และคำสั่งให้แก้ไขเป็นคำสั่งทางปกครองที่ชอบด้วยกฎหมาย

1. บริษัท M ซึ่งคัดค้านคำสั่งทางปกครอง

บริษัท M ซึ่งเป็นบริษัทเทคโนโลยีขนาดใหญ่ระดับโลกและได้คัดค้านคำสั่งทางปกครอง ได้ส่งต่อข้อมูลส่วนบุคคลของผู้ใช้ SNS ที่บริษัทดำเนินการให้แก่ผู้ประกอบการรายอื่นโดยไม่ได้รับอนุญาต จึงถูกคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลแห่งสาธารณรัฐเกาหลี (ต่อไปนี้เรียกว่า “คณะกรรมการฯ”) กำหนดเงินเพิ่มเชิงลงโทษทางปกครองจำนวน 6.7 พันล้านวอนเกาหลีใต้

เมื่อเดือนพฤศจิกายน 2020 คณะกรรมการฯ ตรวจสอบพบว่าบริษัท M ส่งต่อข้อมูลส่วนบุคคลของผู้ใช้ SNS ของบริษัทในสาธารณรัฐเกาหลีจำนวน 3.3 ล้านคนให้แก่ผู้ประกอบการอื่นประมาณ 10,000 รายโดยไม่ได้รับความยินยอม ข้อมูลดังกล่าวรวมถึงการศึกษา ประวัติการทำงาน ภูมิลำเนา ครอบครัว การสมรส∙ความสัมพันธ์เชิงชู้สาว จึงออกคำสั่งทางปกครองดังกล่าว

บริษัท M โต้แย้งว่าข้อมูลที่ส่งให้ผู้ประกอบการอื่นเป็นข้อมูลที่ผู้ใช้เปิดเผยโดยสมัครใจอยู่แล้ว จึงไม่ใช่ข้อมูลส่วนบุคคล และบริษัทไม่ได้ฝ่าฝืนรัฐบัญญัติคุ้มครองข้อมูลส่วนบุคคลของสาธารณรัฐเกาหลี แต่การฎีกาต่อศาลฎีกาแห่งสาธารณรัฐเกาหลีก็ถูกยกเช่นกัน

ข้อโต้แย้งของบริษัท M ในคดีขอให้เพิกถอนเงินเพิ่มเชิงลงโทษทางปกครอง

1. ไม่ใช่ผู้เก็บรวบรวมข้อมูลส่วนบุคคล

บริษัท M อ้างว่าข้อมูลพฤติกรรมที่รวบรวมจากเว็บไซต์หรือแอปของบริษัทอื่นนั้น ผู้ประกอบการดังกล่าวเป็นผู้รวบรวมแล้วส่งให้บริษัท M หรือมอบหมายให้บริษัท M ประมวลผล ดังนั้นบริษัท M จึงไม่ใช่ผู้เก็บรวบรวมข้อมูลส่วนบุคคล

บริษัท M จึงอ้างว่าผู้ประกอบการดังกล่าวมีหน้าที่ขอความยินยอมในการเก็บรวบรวมและใช้ข้อมูลส่วนบุคคล ส่วนบริษัท M ไม่มีหน้าที่ต้องขอความยินยอม

2. อ้างว่ากระบวนการขอความยินยอมไม่มีข้อบกพร่อง

บริษัท M ระบุว่าได้ขอความยินยอมต่อนโยบายข้อมูลในขั้นตอนสมัครใช้บริการ SNS และนโยบายดังกล่าวมีเนื้อหาเกี่ยวกับการเก็บรวบรวม∙ใช้ข้อมูล จึงเป็นไปตามเงื่อนไขที่กฎหมายกำหนด

3. อ้างว่าการกำหนดเงินเพิ่มเชิงลงโทษทางปกครองไม่ชอบด้วยกฎหมาย

บริษัท M ระบุว่าคณะกรรมการฯ กำหนดเงินเพิ่มเชิงลงโทษทางปกครองในจำนวนที่สูงเกินควร และอ้างว่าวิธีคำนวณเงินดังกล่าวไม่ชอบด้วยกฎหมาย

จุดยืนของคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลแห่งสาธารณรัฐเกาหลีว่าเงินเพิ่มเชิงลงโทษทางปกครองชอบด้วยกฎหมาย

จุดยืนของคณะกรรมการฯ ที่ว่าเงินเพิ่มเชิงลงโทษทางปกครองชอบด้วยกฎหมายมีดังนี้

1. อ้างว่าบริษัท M เป็นผู้เก็บรวบรวมข้อมูลส่วนบุคคลโดยแท้จริง

บริษัท M สร้างตัวระบุออนไลน์ขึ้นเองและกำหนดให้แก่ผู้ใช้ จากนั้นจึงใช้ตัวระบุดังกล่าวเก็บรวบรวม จัดเก็บ และวิเคราะห์ข้อมูลพฤติกรรมจากบริษัทอื่น

คณะกรรมการฯ อ้างว่าเนื่องจากผู้ใช้เว็บไซต์ไม่ได้ครอบครองข้อมูลดังกล่าว บริษัท M จึงมีหน้าที่ต้องขอความยินยอม

2. อ้างว่าไม่ได้รับความยินยอมโดยชอบด้วยกฎหมาย

คณะกรรมการฯ ชี้ว่าบริษัท M เพียงนำเสนอนโยบายข้อมูลที่มีเนื้อหาจำนวนมาก แต่ไม่ได้แจ้งข้อมูลที่กฎหมายกำหนดไว้อย่างชัดเจน เช่น วัตถุประสงค์ในการเก็บรวบรวม รายการข้อมูล และระยะเวลาจัดเก็บ

นอกจากนี้ยังเน้นว่าบริษัท M จัดให้มีกระบวนการขอความยินยอมที่เหมาะสมแก่ผู้ใช้ในยุโรป แต่ไม่ได้แจ้งข้อมูลดังกล่าวอย่างเหมาะสมแก่ผู้ใช้ในสาธารณรัฐเกาหลี

คณะกรรมการฯ ยังชี้ว่าการทำเครื่องหมายยินยอมโดยอัตโนมัติขณะสมัครใช้บริการ (วิธีเลือกไม่เข้าร่วม) ก็เป็นปัญหาเช่นกัน

คณะกรรมการฯ วินิจฉัยว่าการดำเนินการดังกล่าวของบริษัท M ไม่เป็นไปตามข้อกำหนดเรื่องการแจ้งอย่างชัดเจนและการได้รับความยินยอมล่วงหน้าตามรัฐบัญญัติคุ้มครองข้อมูลส่วนบุคคลของสาธารณรัฐเกาหลี

3. อ้างว่าการกำหนดเงินเพิ่มเชิงลงโทษทางปกครองมีความเหมาะสม

คณะกรรมการฯ วินิจฉัยว่าบริษัท M อยู่ภายใต้บังคับของเงินเพิ่มเชิงลงโทษทางปกครอง เนื่องจากไม่ได้รับความยินยอมโดยชอบด้วยกฎหมายในการเก็บรวบรวมและใช้ข้อมูลส่วนบุคคล

คณะกรรมการฯ ระบุว่าได้คำนวณเงินดังกล่าวโดยคำนึงถึงรายได้ ความร้ายแรง และระยะเวลาของการฝ่าฝืน อีกทั้งบริษัท M เคยมีประวัติการฝ่าฝืนมาก่อนจึงไม่มีเหตุให้บรรเทา

คณะกรรมการฯ ยังอ้างว่าจำนวนเงินได้รับการกำหนดโดยชอบภายในเพดานตามกฎหมาย และคำสั่งดังกล่าวมีประโยชน์สาธารณะอย่างมากในด้านการคุ้มครองสิทธิในการกำหนดตนเองเกี่ยวกับข้อมูลส่วนบุคคล

2. ศาลฎีกาแห่งสาธารณรัฐเกาหลีวินิจฉัยว่าคำสั่งทางปกครอง “ชอบด้วยกฎหมาย”

สำหรับบริษัท M ซึ่งยื่นคดีขอให้เพิกถอนคำสั่งทางปกครอง ศาลฎีกาแห่งสาธารณรัฐเกาหลีมีคำพิพากษายกคำขอของบริษัท M โดยยืนตามคำวินิจฉัยในการพิจารณาคดีชั้นที่ 1 และชั้นที่ 2

บริษัท M ยื่นฟ้องในปี 2021 โดยอ้างว่าคำสั่งทางปกครองดังกล่าวไม่ชอบ แต่แพ้คดีในการพิจารณาคดีชั้นที่ 1 เมื่อปี 2023 และชั้นที่ 2 เมื่อปี 2024 ทั้งยังถูกศาลฎีกาแห่งสาธารณรัฐเกาหลียกฎีกา จึงเป็นฝ่ายแพ้คดีถึงที่สุด

ศาลฎีกาแห่งสาธารณรัฐเกาหลีวินิจฉัยว่าข้อมูลดังกล่าวเป็นข้อมูลส่วนบุคคล และการที่บริษัท M ให้ข้อมูลดังกล่าวแก่บุคคลที่ 3 โดยไม่ได้รับความยินยอมจากผู้ใช้ เป็นการฝ่าฝืนรัฐบัญญัติคุ้มครองข้อมูลส่วนบุคคลของสาธารณรัฐเกาหลี

ศาลฎีกาแห่งสาธารณรัฐเกาหลียืนตามคำพิพากษาของศาลล่างที่วินิจฉัยว่า ไม่อาจถือว่าผู้ใช้ให้ความยินยอม เนื่องจากผู้ใช้ไม่อาจทราบหรือคาดหมายถึงข้อมูลที่กฎหมายกำหนดให้ต้องแจ้งเพื่อขอความยินยอมเกี่ยวกับข้อมูลส่วนบุคคล

นอกจากนี้ ศาลยังวินิจฉัยว่าแม้ผู้ใช้จะเปิดเผยข้อมูลดังกล่าว บริษัท M ก็ยังมีหน้าที่ในฐานะผู้ให้บริการ

คณะกรรมการคุ้มครองข้อมูลส่วนบุคคลแห่งสาธารณรัฐเกาหลีระบุว่า เมื่อผลของคำสั่งซึ่งถูกระงับการบังคับเนื่องจากการฟ้องคดีกลับมามีผลตามคำวินิจฉัยถึงที่สุดแล้ว คณะกรรมการฯ จะเรียกร้องให้บริษัท M ปฏิบัติตามคำสั่งให้แก้ไขและตรวจสอบการปฏิบัติตามด้วย

สหภาพยุโรปกำหนดโทษปรับบริษัท M จำนวน 324.9 พันล้านวอนเกาหลีใต้เช่นกัน

เมื่อเดือน 4 ที่ผ่านมา สหภาพยุโรปได้กำหนดโทษปรับแก่บริษัท M เป็นเงิน 2 ร้อยล้านยูโร (ประมาณ 3249 ร้อยล้านวอนเกาหลีใต้) เช่นกัน

ประเด็นปัญหาคือ ผู้ใช้บริการของบริษัท M ที่ไม่ชำระค่าบริการถูกบังคับโดยพฤตินัยให้ยินยอมต่อการเก็บรวบรวมข้อมูลเพื่อวัตถุประสงค์ในการโฆษณา

มาตรการดังกล่าวเป็นมาตรการลงโทษครั้งแรกที่อาศัยรัฐบัญญัติตลาดดิจิทัล (DMA) ซึ่งมุ่งควบคุมอำนาจเหนือตลาดของบริษัทเทคโนโลยีขนาดใหญ่ระดับโลก และสร้างตลาดที่เป็นธรรมและมีการแข่งขัน

นอกจากนี้ยังมีข้อสังเกตอย่างต่อเนื่องว่า การดำเนินการดังกล่าวอาจเป็นมาตรการตอบโต้เชิงแก้แค้นของสหภาพยุโรปต่อสงครามภาษีของรัฐบาลทรัมป์

ค่าปรับจากการรั่วไหลของข้อมูลส่วนบุคคลจากการแฮ็ก และการแพ้คดีเพิกถอนคำสั่งลงโทษ
ดูเพิ่มเติม

3. แนวทางของ Daeryun ในการรับมือคำสั่งทางปกครอง

ตามคำพิพากษาของศาลฎีกาแห่งสาธารณรัฐเกาหลีที่วินิจฉัยว่าคำสั่งทางปกครองชอบด้วยกฎหมาย คดีนี้อาจเป็นบรรทัดฐานที่เน้นย้ำถึงความรับผิดชอบในการคุ้มครองข้อมูลส่วนบุคคลของผู้ประกอบธุรกิจแพลตฟอร์มขนาดใหญ่

ประเด็นว่าบุคคลใดเป็นผู้เก็บรวบรวมข้อมูล กรณีใดต้องได้รับความยินยอมโดยชัดแจ้งจากผู้ใช้ และการคำนวณเงินเพิ่มเชิงลงโทษทางปกครองมีความเหมาะสมหรือไม่ เป็นเรื่องที่วินิจฉัยได้ยากหากไม่มีความเข้าใจอย่างละเอียดเกี่ยวกับกฎหมายและแนวคำพิพากษาที่เกี่ยวข้อง

ดังนั้น หากองค์กรเก็บรวบรวมหรือใช้ข้อมูลส่วนบุคคล หรือต้องโต้แย้งคำสั่งทางปกครอง การได้รับความช่วยเหลือจากทนายความที่มีความรู้และประสบการณ์ปฏิบัติงานเกี่ยวกับรัฐบัญญัติคุ้มครองข้อมูลส่วนบุคคลของสาธารณรัฐเกาหลีอาจเป็นประโยชน์

โดยเฉพาะองค์กรที่ให้บริการผ่านแพลตฟอร์มควรตรวจสอบความเสี่ยงทางกฎหมายเกี่ยวกับโครงสร้างการเก็บรวบรวมและใช้ข้อมูลส่วนบุคคลตั้งแต่ขั้นตอนแรกของการออกแบบบริการ รวมทั้งรับคำปรึกษาทางกฎหมายเพื่อเตรียมรับมือข้อพิพาทที่อาจเกิดขึ้นภายหลัง

สำนักงานกฎหมาย Daeryun จัดทีมทนายความที่ปฏิบัติงานเกี่ยวกับ 🔗การฝ่าฝืนรัฐบัญญัติคุ้มครองข้อมูลส่วนบุคคลของสาธารณรัฐเกาหลี และ 🔗ทนายความด้านกฎหมายธุรกิจ เพื่อให้คำปรึกษาและดำเนินงานด้านการจัดการความเสี่ยงทางธุรกิจขององค์กร