ใช้รายชื่อลูกค้ายิงแอด Facebook ผิด PDPA ไหม? ต้องขอความยินยอมอะไรบ้าง
อัปโหลดเบอร์โทรและอีเมลลูกค้าไปทำ Custom Audience บน Meta ได้ไหมตาม PDPA? สรุปหลักจากตัวบท พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 แนวทางขอความยินยอมของ สคส. และข้อกำหนด Customer List Custom Audiences ของ Meta พร้อมเช็กลิสต์ก่อนกดอัปโหลด
ไม่ได้ผิดโดยอัตโนมัติ แต่ต้องมีฐานทางกฎหมายตาม PDPA สำหรับการนำข้อมูลลูกค้าไปใช้และเปิดเผยเพื่อโฆษณา ซึ่งในทางปฏิบัติมักอาศัยความยินยอมที่แยกออกจากข้อความอื่นและระบุวัตถุประสงค์ชัดเจน ขณะเดียวกันข้อกำหนดของ Meta ก็บังคับให้ผู้ลงโฆษณามีสิทธิ์และฐานทางกฎหมาย ห้ามใช้ข้อมูลอ่อนไหว และต้องนำคนที่ขอไม่ให้ใช้ข้อมูลออก บทความนี้เป็นข้อมูลทั่วไป ไม่ใช่คำปรึกษาทางกฎหมาย
- PDPA มาตรา 19 วางหลักว่าต้องได้รับความยินยอมก่อน เว้นแต่มีฐานอื่นตามกฎหมาย และมาตรา 27 ห้ามใช้หรือเปิดเผยข้อมูลโดยไม่ได้รับความยินยอม เว้นแต่เข้าข้อยกเว้น
- ความยินยอมต้องชัดแจ้ง แยกจากข้อความอื่น ระบุวัตถุประสงค์ อ่านเข้าใจง่าย และถอนได้ง่ายเหมือนตอนให้
- มาตรา 32 ให้เจ้าของข้อมูลคัดค้านการใช้ข้อมูลเพื่อการตลาดแบบตรงได้ ต้องมีระบบรับคำขอและดึงคนออกจากรายชื่อ
- ข้อกำหนดของ Meta: ต้องมีฐานทางกฎหมาย ข้อมูลถูกแฮชก่อนจับคู่ และห้ามข้อมูลต้องห้าม เช่น สุขภาพ การเงิน รายได้หรือภาษี และข้อมูลเด็กอายุต่ำกว่า 13 ปี
- ผ่านข้อกำหนดของ Meta ไม่ได้แปลว่าผ่าน PDPA ควรตรวจทั้งสองชั้นและปรึกษาที่ปรึกษากฎหมายหรือ DPO
ใช้รายชื่อลูกค้าทำ Custom Audience ผิด PDPA ไหม?
คำตอบสั้นคือ ไม่ได้ผิดในตัวเอง แต่จะถูกหรือผิดขึ้นอยู่กับว่าธุรกิจมีฐานทางกฎหมายรองรับการนำข้อมูลนั้นไปใช้และเปิดเผยให้ Meta เพื่อการโฆษณาหรือไม่ และได้แจ้งวัตถุประสงค์นี้กับลูกค้าไว้แล้วหรือยัง
Customer List Custom Audience คือการอัปโหลดตัวระบุ เช่น อีเมล เบอร์โทร ชื่อ ขึ้นไปให้ Meta จับคู่กับผู้ใช้บนแพลตฟอร์ม เพื่อยิงโฆษณาหาลูกค้าเดิม กันลูกค้าเดิมออก หรือใช้เป็นต้นแบบสร้าง Lookalike ในมุมกฎหมาย นี่คือการใช้ข้อมูลส่วนบุคคลและส่งต่อให้ผู้ให้บริการภายนอก จึงต้องมองผ่านเลนส์ของ พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 (ประกาศในราชกิจจานุเบกษา เล่ม 136 ตอนที่ 69 ก วันที่ 27 พฤษภาคม 2562)
สิ่งที่มักทำให้ธุรกิจเสี่ยงไม่ใช่ตัวฟีเจอร์ แต่เป็นที่มาของรายชื่อ เช่น เก็บเบอร์มาเพื่อออกใบเสร็จหรือจัดส่งสินค้า แล้วภายหลังนำไปยิงโฆษณาโดยไม่เคยแจ้งหรือขอความยินยอมสำหรับวัตถุประสงค์นั้น
PDPA กำหนดฐานทางกฎหมายอะไรไว้บ้าง?
PDPA วางหลักว่าผู้ควบคุมข้อมูลส่วนบุคคลจะเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลไม่ได้ หากเจ้าของข้อมูลไม่ได้ให้ความยินยอมไว้ก่อนหรือในขณะนั้น เว้นแต่ PDPA หรือกฎหมายอื่นให้ทำได้ (มาตรา 19) โดยมาตรา 24 กำหนดกรณีที่เก็บรวบรวมได้โดยไม่ต้องขอความยินยอม และมาตรา 27 ห้ามใช้หรือเปิดเผยข้อมูลโดยไม่ได้รับความยินยอม เว้นแต่เป็นข้อมูลที่เก็บได้โดยได้รับยกเว้นตามมาตรา 24 หรือมาตรา 26
ฐานตามมาตรา 24 ที่มักถูกพูดถึงในงานธุรกิจ ได้แก่
- จำเป็นเพื่อปฏิบัติตามสัญญาที่เจ้าของข้อมูลเป็นคู่สัญญา หรือดำเนินการตามคำขอก่อนเข้าทำสัญญา (มาตรา 24 (3)) เช่น ใช้ที่อยู่เพื่อจัดส่งสินค้า
- จำเป็นเพื่อประโยชน์โดยชอบด้วยกฎหมายของผู้ควบคุมข้อมูลหรือบุคคลอื่น เว้นแต่ประโยชน์นั้นสำคัญน้อยกว่าสิทธิขั้นพื้นฐานของเจ้าของข้อมูล (มาตรา 24 (5))
- การปฏิบัติตามกฎหมายของผู้ควบคุมข้อมูล (มาตรา 24 (6))
- ฐานอื่น เช่น จดหมายเหตุ วิจัย สถิติ ป้องกันอันตรายต่อชีวิต และภารกิจเพื่อประโยชน์สาธารณะ (มาตรา 24 (1) (2) (4))
ยิงโฆษณาด้วยรายชื่อลูกค้า ต้องใช้ความยินยอมหรือใช้ฐานอื่นได้?
ตัวบท PDPA ไม่ได้เขียนถึง Custom Audience โดยตรง จึงไม่มีคำตอบสำเร็จรูปจากตัวกฎหมาย ในทางปฏิบัติหลายองค์กรเลือกใช้ความยินยอมสำหรับการนำข้อมูลไปใช้โฆษณาออนไลน์ เพราะการส่งข้อมูลให้แพลตฟอร์มโฆษณาเป็นการใช้ที่ไม่จำเป็นต่อการส่งมอบสินค้าหรือบริการ ทำให้อ้างฐานสัญญาได้ยาก
บางองค์กรอาจพิจารณาฐานประโยชน์โดยชอบด้วยกฎหมาย ซึ่งต้องชั่งน้ำหนักกับสิทธิของเจ้าของข้อมูล และต้องระวังว่ามาตรา 32 ให้เจ้าของข้อมูลคัดค้านการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลเพื่อวัตถุประสงค์เกี่ยวกับการตลาดแบบตรงได้เมื่อใดก็ได้ การเลือกฐานจึงควรผ่านการประเมินของที่ปรึกษากฎหมาย ไม่ควรตัดสินเองจากบทความ
อีกประเด็นที่ควรถามที่ปรึกษาคือมาตรา 21 ซึ่งกำหนดให้ใช้ข้อมูลตามวัตถุประสงค์ที่แจ้งไว้ หากจะใช้ต่างไปจากนั้นต้องแจ้งวัตถุประสงค์ใหม่และได้รับความยินยอมก่อน เว้นแต่กฎหมายให้ทำได้ และมาตรา 28 ที่เกี่ยวกับการส่งหรือโอนข้อมูลไปต่างประเทศ เพราะข้อกำหนดของ Meta ระบุว่าในกรณีทั่วไป ข้อมูลจะถูกประมวลผลโดย Meta Platforms, Inc. ในสหรัฐอเมริกา
ขอความยินยอมตาม PDPA ต้องทำแบบไหนถึงใช้ได้?
มาตรา 19 กำหนดให้ขอความยินยอมโดยชัดแจ้ง เป็นหนังสือหรือผ่านระบบอิเล็กทรอนิกส์ แจ้งวัตถุประสงค์ แยกส่วนออกจากข้อความอื่นอย่างชัดเจน ใช้ภาษาอ่านง่าย และไม่หลอกลวงหรือทำให้เข้าใจผิด อีกทั้งต้องคำนึงถึงความเป็นอิสระในการให้ความยินยอม และเจ้าของข้อมูลถอนความยินยอมได้เมื่อใดก็ได้ โดยต้องถอนได้ง่ายเช่นเดียวกับตอนให้
แนวทางการดำเนินการในการขอความยินยอมที่เผยแพร่บนเว็บไซต์ สคส. (pdpc.or.th) ยกตัวอย่างว่า การรวบหลายวัตถุประสงค์ไว้ในการขอครั้งเดียว เช่น ส่งข้อมูลให้บุคคลภายนอกทำการตลาดพร้อมกับวิเคราะห์ข้อมูลให้บริษัทในเครือทุกประเภท ถือเป็นการขอความยินยอมที่ไม่ได้ระบุวัตถุประสงค์เป็นการเฉพาะ
- แยกช่องติ๊กความยินยอมเรื่องโฆษณาออนไลน์ออกจากการยอมรับข้อกำหนดหรือสัญญาซื้อขาย
- เขียนวัตถุประสงค์ให้เจาะจง เช่น ใช้อีเมลและเบอร์โทรเพื่อแสดงโฆษณาที่เกี่ยวข้องบนแพลตฟอร์มโฆษณาออนไลน์ แทนคำกว้าง ๆ ว่าเพื่อการตลาด
- ไม่ตั้งค่าติ๊กไว้ล่วงหน้า และไม่ผูกการให้บริการกับความยินยอมที่ไม่จำเป็น
- บันทึกหลักฐาน: วันเวลา เวอร์ชันข้อความ ช่องทางที่ให้ความยินยอม
- มีช่องทางถอนความยินยอมที่ง่ายพอ ๆ กับตอนให้ และแจ้งผลกระทบของการถอน (ถ้ามี)
Meta กำหนดอะไรบ้างก่อนอัปโหลดรายชื่อลูกค้า?
นอกจากกฎหมายไทย ผู้ลงโฆษณาต้องยอมรับ Customer List Custom Audiences Terms ก่อนสร้าง Audience ซึ่งมีสาระสำคัญที่ตรวจสอบได้จากหน้าข้อกำหนดทางการดังนี้
- ผู้ลงโฆษณารับรองว่ามีสิทธิ์ การอนุญาต และฐานทางกฎหมายในการเปิดเผยและใช้ข้อมูล โดยสอดคล้องกับกฎหมายที่ใช้บังคับ
- ข้อมูลติดต่อ เช่น ชื่อ อีเมล เบอร์โทร จะถูกแฮชก่อนส่งให้ Meta และ Meta อธิบายว่าการแฮชเปลี่ยนข้อมูลเป็นรหัสสุ่มที่ย้อนกลับไม่ได้
- Meta ระบุว่าจะไม่แชร์ข้อมูลรายชื่อให้บุคคลภายนอกหรือผู้ลงโฆษณารายอื่น และจะลบข้อมูลหลังกระบวนการจับคู่เสร็จ (ขึ้นกับฟีเจอร์เสริมที่เลือก)
- ข้อมูลต้องไม่เกี่ยวกับบุคคลที่ใช้สิทธิ์ปฏิเสธไม่ให้นำข้อมูลไปสร้างกลุ่มเป้าหมาย และถ้ามีคนปฏิเสธภายหลัง ผู้ลงโฆษณาต้องนำคนนั้นออกจาก Audience
- ในกรณีทั่วไป (นอกเขต GDPR และ UK GDPR) ข้อกำหนดระบุว่าผู้ลงโฆษณาเป็น controller และสั่งให้ Meta Platforms, Inc. ประมวลผลข้อมูลในนามของผู้ลงโฆษณาในฐานะ processor
- Meta ไม่เปิดเผยให้ผู้ลงโฆษณารู้ว่าผู้ใช้รายใดอยู่ใน Audience ที่สร้างจากรายชื่อ
ข้อมูลแบบไหนที่ห้ามใส่ในรายชื่อลูกค้า?
หน้าช่วยเหลือของ Meta เรื่องการเตรียมข้อมูลสำหรับ Customer List Custom Audience ระบุว่า ชื่อ Audience ข้อมูลที่ใส่ และเกณฑ์ที่ใช้สร้าง ต้องไม่สะท้อน ไม่บ่งบอก และไม่อิงข้อมูลต้องห้าม ตัวอย่างที่ Meta ยกไว้ (และระบุว่ารายการไม่ครบถ้วนและอาจเปลี่ยนแปลง) ได้แก่
- ข้อมูลของบุคคลที่ใช้สิทธิ์ปฏิเสธไม่ให้นำข้อมูลไปสร้างกลุ่มเป้าหมาย
- ข้อมูลที่รู้หรือควรรู้ว่ามาจากหรือเกี่ยวกับเด็กอายุต่ำกว่า 13 ปี
- ตัวระบุที่ไม่อนุญาต เช่น เลขประกันสังคมหรือเทียบเท่า รหัสผ่าน พิกัด GPS และ access token
- ข้อมูลทางการเงิน เช่น เลขบัญชี เลขบัตร ข้อมูลรายได้หรือภาษี คะแนนหรือประวัติเครดิต ผลอนุมัติสินเชื่อ วงเงินหรือยอดคงเหลือ และสถานะหนี้
- ข้อมูลสุขภาพกายและใจ เช่น โรค การรักษา ยาที่ใช้ และสถานที่ที่บ่งบอกภาวะสุขภาพ
ถ้าลูกค้าขอถอนความยินยอมหรือคัดค้าน ต้องทำอะไร?
ต้องหยุดใช้ข้อมูลเพื่อวัตถุประสงค์นั้นและนำรายชื่อออกจาก Audience ทั้งตามหลัก PDPA (มาตรา 19 เรื่องการถอนความยินยอม และมาตรา 32 เรื่องการคัดค้านการตลาดแบบตรง) และตามข้อกำหนดของ Meta ที่ให้นำคนที่ปฏิเสธออกจาก Audience
มาตรา 33 ยังให้สิทธิ์เจ้าของข้อมูลขอให้ลบ ทำลาย หรือทำให้ไม่สามารถระบุตัวได้ในบางกรณี เช่น เมื่อถอนความยินยอมและผู้ควบคุมข้อมูลไม่มีอำนาจตามกฎหมายที่จะใช้ต่อ หรือเมื่อคัดค้านการตลาดแบบตรง
- ทำรายการ suppression ภายใน (คนที่ขอถอนหรือคัดค้าน) และกรองออกก่อนอัปโหลดทุกครั้ง
- ใช้ตัวเลือก Only exclusions ใน Ads Manager สำหรับรายชื่อที่ต้องกันออกเสมอ โดย Meta ระบุว่าเลือกแล้วเปลี่ยนภายหลังไม่ได้และใช้สร้าง Lookalike ไม่ได้
- อัปเดตรายชื่อสม่ำเสมอ Meta จะแสดงสถานะ Outdated หากรายชื่อไม่ได้อัปเดตเกิน 30 วัน
- ลบ Audience ที่ไม่ใช้แล้วผ่านเครื่องมือในบัญชี ซึ่งข้อกำหนดของ Meta ระบุว่าทำได้ทุกเมื่อ
เช็กลิสต์ก่อนอัปโหลดรายชื่อลูกค้าขึ้น Meta มีอะไรบ้าง?
ใช้รายการนี้เป็นจุดตั้งต้นในการคุยกับทีมกฎหมายหรือ DPO ไม่ใช่ใบรับรองว่าถูกกฎหมาย
- รู้ที่มาของทุกแถวในรายชื่อ: เก็บจากช่องทางใด เมื่อไร ภายใต้ประกาศความเป็นส่วนตัวฉบับไหน
- ประกาศความเป็นส่วนตัวแจ้งวัตถุประสงค์การใช้เพื่อโฆษณาออนไลน์ และประเภทผู้รับข้อมูลไว้แล้ว (มาตรา 23)
- ระบุฐานทางกฎหมายที่ใช้และมีหลักฐาน เช่น บันทึกความยินยอมที่แยกจากข้อความอื่น
- กรองคนที่ถอนความยินยอม คัดค้าน หรือยกเลิกรับข่าวสารออกแล้ว
- ไม่มีข้อมูลเด็ก ข้อมูลสุขภาพ ข้อมูลการเงิน รายได้หรือภาษี ทั้งในคอลัมน์ ชื่อไฟล์ ชื่อ Audience และเกณฑ์การแบ่งกลุ่ม
- ใส่เฉพาะตัวระบุที่จำเป็นต่อการจับคู่ และเบอร์โทรมีรหัสประเทศตามคำแนะนำของ Meta
- จำกัดสิทธิ์คนเข้าถึงไฟล์ต้นทาง และลบไฟล์ที่ไม่ใช้แล้วตามนโยบายการเก็บรักษาขององค์กร
- บันทึกการตัดสินใจเรื่องการส่งข้อมูลไปต่างประเทศไว้ให้ทีมกฎหมายทบทวน
คำถามที่พบบ่อย
อัปโหลดเบอร์โทรลูกค้าไป Facebook ผิด PDPA ไหม?
ไม่ผิดโดยอัตโนมัติ แต่ต้องมีฐานทางกฎหมายรองรับการใช้และเปิดเผยข้อมูลเพื่อโฆษณา และต้องแจ้งวัตถุประสงค์ไว้ ในทางปฏิบัติหลายองค์กรใช้ความยินยอม ควรยืนยันกับที่ปรึกษากฎหมาย
Meta แฮชข้อมูลแล้ว ยังต้องสนใจ PDPA ไหม?
ยังต้องสนใจ การแฮชเป็นมาตรการด้านความปลอดภัย แต่ข้อกำหนดของ Meta เองก็ให้ผู้ลงโฆษณารับรองว่ามีสิทธิ์และฐานทางกฎหมายในการใช้ข้อมูล
ความยินยอมแบบติ๊กช่องเดียวรวมทุกเรื่องใช้ได้ไหม?
มีความเสี่ยง มาตรา 19 กำหนดให้แยกส่วนจากข้อความอื่นและแจ้งวัตถุประสงค์ และแนวทางของ สคส. ยกตัวอย่างว่าการรวมหลายวัตถุประสงค์ไว้ครั้งเดียวไม่ถือว่าระบุวัตถุประสงค์เป็นการเฉพาะ
ข้อมูลอะไรที่ Meta ห้ามใช้ทำ Custom Audience?
เช่น ข้อมูลเด็กอายุต่ำกว่า 13 ปี ข้อมูลสุขภาพ ข้อมูลการเงินรวมถึงรายได้หรือภาษี คะแนนเครดิต สถานะหนี้ ตัวระบุอย่างรหัสผ่านหรือพิกัด GPS และข้อมูลของคนที่ปฏิเสธการนำข้อมูลไปสร้างกลุ่มเป้าหมาย
ลูกค้าขอยกเลิก ต้องลบออกจาก Audience ไหม?
ควรลบ ข้อกำหนดของ Meta ให้นำคนที่ปฏิเสธออกจาก Audience และ PDPA ให้สิทธิ์ถอนความยินยอมและคัดค้านการตลาดแบบตรง
ถ้าฝ่าฝืน PDPA มีโทษอะไร?
PDPA มีทั้งความรับผิดทางแพ่ง โทษอาญา และโทษปรับทางปกครอง เช่น มาตรา 83 กำหนดโทษปรับทางปกครองไม่เกินสามล้านบาทสำหรับการฝ่าฝืนบางมาตรา รวมถึงมาตรา 21, 24 และ 27
บทความนี้ใช้แทนคำปรึกษาทางกฎหมายได้ไหม?
ไม่ได้ เป็นข้อมูลทั่วไปจากตัวบทและเอกสารทางการ ณ วันที่ 17 กันยายน 2569 ควรปรึกษาที่ปรึกษากฎหมายหรือ DPO ขององค์กร
แหล่งอ้างอิง
- [1] พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ (ราชกิจจานุเบกษา เล่ม ๑๓๖ ตอนที่ ๖๙ ก) — ราชกิจจานุเบกษา · เข้าถึง 2026-09-17
- [2] แนวทางการดำเนินการในการขอความยินยอมจากเจ้าของข้อมูลส่วนบุคคล — สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (สคส.) · เข้าถึง 2026-09-17
- [3] Customer List Custom Audiences Terms — Meta · เข้าถึง 2026-09-17
- [4] Prepare your data for a customer list custom audience — Meta Business Help Center · เข้าถึง 2026-09-17
- [5] Create a customer list custom audience — Meta Business Help Center · เข้าถึง 2026-09-17
- [6] About hashing customer information — Meta Business Help Center · เข้าถึง 2026-09-17
