การเก็บข้อมูลจากเว็บไซต์ในยุโรปถูกกฎหมายไหม? วิธีเก็บข้อมูลและทำให้ปลอดภัย

เมื่อวันที่ 1 พฤษภาคม 2024 หน่วยงานคุ้มครองข้อมูลของเนเธอร์แลนด์ออกหัวข่าวที่ทำเอาทีมข้อมูลทั่วยุโรปสะดุ้ง: ถ้าคุณทำงานด้านขาย อีคอมเมิร์ซ หรืออสังหาริมทรัพย์ — พูดง่าย ๆ คือใครก็ตามที่พึ่งพาข้อมูลจากเว็บ — ประโยคนี้คงทำให้ใจหายวาบ

ผมเข้าใจเลย ที่ เราคุยกับทีมธุรกิจทุกวันซึ่งต้องใช้ข้อมูลจากเว็บเพื่อเฝ้าดูราคา หาลูกค้าเป้าหมาย และทำวิจัยตลาด ความหงุดหงิดมักเหมือนกันหมด: พวกเขาเสิร์ชว่า “การเก็บข้อมูลจากเว็บในยุโรปถูกกฎหมายไหม” แล้วทุกคำตอบก็วนอยู่ที่ “แล้วแต่กรณี” ซึ่งไม่ช่วยอะไรเลยเมื่อคุณมีเดดไลน์และลิสต์ URL ที่ต้องเก็บข้อมูล

ดังนั้นผมใช้เวลาหลายสัปดาห์ไปขุดกฎระเบียบจริง แนวทางของหน่วยงานคุ้มครองข้อมูล บันทึกการบังคับใช้ และคำพิพากษา เพื่อทำสิ่งที่ใช้งานได้จริงมากกว่า: เช็กลิสต์ตัดสินใจแบบปฏิบัติได้ ตารางมาตรการคุ้มครองที่สรุปมาให้แล้ว ตัวเลขค่าปรับจริง และคู่มือทีละขั้นตอนสำหรับการเก็บข้อมูลจากเว็บไซต์ยุโรปโดยไม่ไปชนเส้นของหน่วยงานกำกับ ไม่ว่าคุณจะกำลังเก็บราคาสินค้าจาก Amazon หรือดึงรายชื่อผู้ติดต่อ B2B จากไดเรกทอรี บทความนี้จะช่วยให้คุณมองเห็นเส้นแบ่ง — และวิธีอยู่ฝั่งที่ถูกต้องของมัน

การเก็บข้อมูลจากเว็บคืออะไร (และทำไมธุรกิจยุโรปควรใส่ใจ?)

การเก็บข้อมูลจากเว็บคือการดึงข้อมูลจากเว็บไซต์แบบอัตโนมัติให้อยู่ในรูปแบบที่เป็นโครงสร้าง — เช่น สเปรดชีต ฐานข้อมูล หรือ CRM แทนที่จะคัดลอกชื่อสินค้าและราคาแบบทีละหน้า สคราเปอร์จะเข้าไปยังแต่ละหน้าแล้วดึงฟิลด์ที่คุณต้องการมาเรียงเป็นคอลัมน์อย่างเป็นระเบียบ

แล้วทำไมทีมที่ไม่ใช่สายเทคนิคถึงควรสนใจ? เพราะข้อมูลจากเว็บเป็นพลังขับเคลื่อนการตัดสินใจทางธุรกิจจริง ๆ ทีมขายใช้การเก็บข้อมูลจากไดเรกทอรีเพื่อหาลูกค้าเป้าหมาย ผู้จัดการอีคอมเมิร์ซติดตามราคาคู่แข่งทุกวัน นักวิเคราะห์อสังหาริมทรัพย์ดูเทรนด์ประกาศขายในหลายพอร์ทัล นักวิจัยตลาดรวบรวมรีวิวและเรตติ้งสาธารณะในวงกว้าง ตลาด เติบโตเร็ว และบริษัทต่าง ๆ เก็บข้อมูลหลายล้านจุดทุกวัน

แต่สภาพแวดล้อมด้านกฎระเบียบในยุโรปต่างจากสหรัฐฯ GDPR, Database Directive และแนวทางของหน่วยงานคุ้มครองข้อมูลที่เปลี่ยนไปเรื่อย ๆ หมายความว่า “ข้อมูลสาธารณะ” ไม่ได้แปลว่า “เอาไปใช้ได้ฟรี” อย่างที่ประธานหน่วยงานคุ้มครองข้อมูลของเนเธอร์แลนด์ Aleid Wolfsen เคยพูดไว้ว่า “ข้อมูลสาธารณะไม่ได้แปลว่ามีสิทธิ์เก็บข้อมูลจากเว็บโดยอัตโนมัติ” การเข้าใจกติกาก่อนเริ่มไม่ใช่เรื่องทางเลือก — มันคือความต่างระหว่างชุดข้อมูลที่สะอาดกับค่าปรับหลักแสนยูโร

การเก็บข้อมูลจากเว็บในยุโรปถูกกฎหมายไหม? คำตอบสั้น ๆ

การเก็บข้อมูลจากเว็บไม่ได้ผิดกฎหมายโดยตัวมันเองในยุโรป แต่ความถูกต้องตามกฎหมายขึ้นอยู่กับ 3 เรื่อง: คุณเก็บ อะไร คุณเก็บ อย่างไร และ เพื่ออะไร

กฎหมายที่ทับซ้อนกัน 3 ชั้นเป็นตัวกำกับการเก็บข้อมูลในสหภาพยุโรป:

1. GDPR — ใช้ทุกครั้งที่คุณเก็บข้อมูลส่วนบุคคล (ชื่อ อีเมล เบอร์โทร ที่อยู่ IP แม้แต่ตัวระบุที่ทำให้ระบุตัวตนได้ทางอ้อม)
2. EU Database Directive — คุ้มครองฐานข้อมูลที่ผู้สร้างได้ลงทุน “อย่างมีนัยสำคัญ” ในการจัดระเบียบข้อมูล
3. กฎหมายสัญญา/ข้อกำหนดการใช้งาน — เว็บไซต์จำนวนมากห้ามการเก็บข้อมูลไว้ชัดเจนใน ToS และศาลในสหภาพยุโรปก็เคยบังคับใช้ข้อกำหนดเหล่านั้น

ประเด็นสำคัญคือ “เปิดเผยต่อสาธารณะ” ไม่ได้แปลว่า “ไม่มีกฎกำกับ” แม้แต่ข้อมูลที่ไม่ใช่ข้อมูลส่วนบุคคลก็อาจได้รับการคุ้มครองภายใต้สิทธิในฐานข้อมูลหรือกฎหมายสัญญา ทุกโปรเจ็กต์การเก็บข้อมูลจึงต้องพิจารณาทั้ง 3 ชั้นพร้อมกัน

กฎหมายสำคัญของสหภาพยุโรปที่กำกับการเก็บข้อมูลจากเว็บ

GDPR: เมื่อคุณเก็บข้อมูลส่วนบุคคล

ข้อมูลใดก็ตามที่เชื่อมโยงกับบุคคลที่ระบุตัวตนได้จะทำให้เกิดภาระตาม GDPR ซึ่งรวมถึงชื่อ อีเมล เบอร์โทร IP รูปถ่าย และแม้แต่ข้อมูลที่ทำให้ระบุตัวตนได้ทางอ้อมที่ถูกแปลงนามแฝงไว้แล้ว ทันทีที่คุณเก็บข้อมูลส่วนบุคคล คุณจะกลายเป็น “ผู้ควบคุมข้อมูล” และต้องมีหน้าที่ตาม GDPR:

• ฐานกฎหมาย (Article 6): คุณต้องมีเหตุผลทางกฎหมายในการประมวลผลข้อมูล ความยินยอมแทบไม่เหมาะกับการเก็บข้อมูลขนาดใหญ่ เพราะคุณไม่สามารถขออนุญาตจากคนนับล้านก่อนเก็บข้อมูลที่พวกเขาโพสต์สาธารณะได้ ฐานที่มักอ้างกันมากที่สุดคือ ผลประโยชน์โดยชอบด้วยกฎหมาย (Article 6(1)(f)) แต่ต้องผ่านการทดสอบ 3 ส่วนอย่างเป็นเอกสาร: (1) ผลประโยชน์ของคุณชอบด้วยกฎหมาย (2) การประมวลผลจำเป็นจริง (3) ไม่กระทบสิทธิของเจ้าของข้อมูลเกินสมควร เมื่อพิจารณาจากความคาดหมายอันสมเหตุสมผลของเขา
• ความโปร่งใส (Article 14): เนื่องจากคุณไม่ได้เก็บข้อมูลตรงจากตัวบุคคล คุณจึงต้องแจ้งให้เขาทราบ — โดยปกติภายในหนึ่งเดือน — ว่าเก็บอะไร ทำไม และจะใช้สิทธิของตนได้อย่างไร หากการแจ้งรายบุคคลไม่เหมาะสมในทางสัดส่วน คุณต้องเผยแพร่ประกาศทั่วไปที่มีเนื้อหาครบตาม Article 14
• การเก็บเท่าที่จำเป็น: เก็บเฉพาะข้อมูลที่ต้องใช้จริง ถ้าคุณต้องการราคาสินค้า ก็ไม่ควรดึงอีเมลของผู้ขายมาด้วย
• การจำกัดระยะเวลาจัดเก็บและการจัดการสิทธิ: กำหนดระยะเวลาเก็บรักษา เคารพคำขอลบข้อมูล และให้ข้อมูลแหล่งที่มาเมื่อมีการร้องขอ

รายงาน (รับรองในเดือนพฤษภาคม 2024) เพิ่มอีกชั้นหนึ่ง โดยระบุว่าแต่ละขั้นตอนของการประมวลผล — การเก็บ การเตรียมข้อมูล การฝึก สถานะพรอมป์ต์ และผลลัพธ์ — ต้องมีการวิเคราะห์ฐานกฎหมายแยกกัน EDPB ไม่ได้ปฏิเสธผลประโยชน์โดยชอบด้วยกฎหมายสำหรับการเก็บข้อมูลจากเว็บ แต่ย้ำว่าต้องทำการประเมินครบ 3 ส่วนพร้อมมาตรการคุ้มครองที่เหมาะสม

EU Database Directive: คุ้มครองวิธีจัดโครงสร้างข้อมูล

Database Directive มอบสิทธิแบบ sui generis ให้กับผู้สร้างฐานข้อมูลที่ลงทุน “อย่างมีนัยสำคัญ” ในการรวบรวม ตรวจสอบ หรือจัดแสดงข้อมูลของตน หากการเก็บข้อมูลของคุณดึงเอา “ส่วนสำคัญ” ของฐานข้อมูลนั้นไป คุณอาจละเมิดสิทธิดังกล่าว

ในทางปฏิบัติ เกณฑ์นี้ค่อนข้างสูง การเก็บราคาสินค้าไม่กี่ร้อยรายการจากผู้ค้าปลีกรายใหญ่ไม่น่าจะเข้าข่าย แต่การดาวน์โหลดแคตตาล็อกของคู่แข่งทั้งชุด — รายการนับหมื่น — อาจข้ามเส้นได้ โดยเฉพาะหากกระทบความสามารถของผู้สร้างฐานข้อมูลในการคืนทุนที่ลงทุนไป ศาลยุติธรรมแห่งสหภาพยุโรปเคยวินิจฉัยเกณฑ์นี้ในหลายคดี และคำถามสำคัญมักเป็นเรื่องความเป็นสัดส่วนเสมอ

สำหรับการเก็บข้อมูลเพื่อธุรกิจส่วนใหญ่ — เช่น ดึงฟิลด์เฉพาะจากหน้าสินค้า หรือเปรียบเทียบรายการในหมวดหมู่เดียวกัน — Database Directive มักมีความเสี่ยงต่ำกว่า แต่ก็ไม่ใช่ศูนย์ และควรคำนึงถึงเมื่อออกแบบขอบเขตการเก็บข้อมูล

ข้อกำหนดการใช้งาน: ตัวแปรสัญญาที่ต้องระวัง

เรื่องนี้ทำให้คนพลาดกันบ่อย หลายเว็บไซต์ห้ามการเก็บข้อมูลไว้ใน Terms of Service ในยุโรป การละเมิด ToS เป็นเรื่องแพ่ง (ไม่ใช่อาญา) แต่ก็ยังอาจนำไปสู่คำสั่งห้าม ฟ้องละเมิดสัญญา และความเสี่ยงทางการเงินจริง ๆ

มี 2 รูปแบบที่ควรรู้: browsewrap (ข้อกำหนดแบบแฝง มักเป็นลิงก์ที่ซ่อนอยู่ด้านล่างหน้าเว็บ) บังคับใช้ได้ยากกว่า เพราะผู้ใช้ไม่ได้ยอมรับอย่างชัดเจน ส่วน clickwrap (ต้องติ๊กช่องหรือกด “ฉันยอมรับ”) บังคับใช้ได้ชัดเจนกว่ามาก

คดีสำคัญของสหภาพยุโรปคือ Ryanair v. PR Aviation: ศาลบังคับใช้ ToS ของ Ryanair กับสคราเปอร์ แม้สิทธิในฐานข้อมูลจะไม่ใช้ก็ตาม เพราะสคราเปอร์ได้ยอมรับข้อกำหนดเหล่านั้นแล้ว ดังนั้นก่อนเก็บข้อมูลทุกครั้งควรอ่าน ToS ของเว็บไซต์ให้ดี ถ้าเป็นข้อตกลงแบบ clickwrap ที่ห้ามเก็บข้อมูลโดยตรง ให้ระวังอย่างมาก — หรือมองหาทางเข้าถึงผ่าน API แทน

DSM Directive และ AI Act: ข้อยกเว้นสำหรับการวิจัยและการทำ Text/Data Mining

การเก็บข้อมูลทุกครั้งไม่ได้ชนข้อจำกัดเดียวกันหมด Digital Single Market (DSM) Directive (2019) ได้สร้างข้อยกเว้นสำหรับการทำ text and data mining (TDM) 2 แบบ:

• Article 3: สถาบันวิจัยและองค์กรด้านมรดกทางวัฒนธรรมสามารถทำ TDM บนเนื้อหาที่เข้าถึงได้โดยชอบด้วยกฎหมาย
• Article 4: ใครก็ตาม — รวมถึงองค์กรเชิงพาณิชย์ — สามารถทำ TDM ได้ เว้นแต่เจ้าของสิทธิจะ opt out อย่างชัดเจน (เช่น ผ่าน robots.txt, ai.txt หรือ header TDMRep)

EU AI Act (Article 53) เพิ่มภาระให้ผู้ให้บริการโมเดล AI: ต้องปฏิบัติตามกลไก opt-out ของ TDM และจัดทำเอกสารแหล่งข้อมูลฝึกสอนของตน

ข้อควรระวัง: ข้อยกเว้นเหล่านี้ครอบคลุม ลิขสิทธิ์และสิทธิฐานข้อมูล ไม่ใช่ GDPR ถ้า TDM ของคุณเกี่ยวข้องกับข้อมูลส่วนบุคคล คุณยังต้องมีฐานกฎหมายตาม GDPR แยกต่างหาก

เช็กลิสต์ “เก็บได้ไหม?” สำหรับข้อมูลในยุโรป

นี่คือส่วนที่ผมอยากให้มีตอนเริ่มหาข้อมูลเรื่องนี้ใหม่ ๆ บทความกฎหมายทุกชิ้นบอกว่า “แล้วแต่กรณี” — แต่พอจะตัดสินจริง ๆ มันหน้าตาเป็นอย่างไร? นี่คือเช็กลิสต์การปฏิบัติตามแบบทีละขั้น พร้อมจุดตัดสินที่ชัดเจน แต่ละขั้นจะพาไปสู่ ✅ ไปต่อ, ⚠️ เพิ่มมาตรการคุ้มครอง, หรือ 🛑 หยุด

ขั้นที่ 1: ข้อมูลเป็นข้อมูลส่วนบุคคลหรือไม่ใช่ข้อมูลส่วนบุคคล?

ข้อมูลที่ไม่ใช่ข้อมูลส่วนบุคคล (ราคาสินค้า SKU ที่อยู่ธุรกิจซึ่งไม่ได้โยงกับบุคคล): ภาระกำกับดูแลต่ำกว่า ยังต้องตรวจ Database Directive และ ToS แต่ GDPR ไม่บังคับ ✅ ไปต่อที่ขั้นที่ 3

ข้อมูลส่วนบุคคล (ชื่อ อีเมล เบอร์โทร รูปถ่าย หรือรหัสใด ๆ ที่โยงกับบุคคล): GDPR ใช้บังคับ ⚠️ ไปต่อที่ขั้นที่ 2

ขั้นที่ 2: ฐานกฎหมายภายใต้ GDPR คืออะไร?

• ความยินยอม: แทบไม่เหมาะกับการเก็บข้อมูลขนาดใหญ่ 🛑 เว้นแต่คุณมีสถานการณ์เฉพาะเจาะจงและแคบมาก
• ผลประโยชน์โดยชอบด้วยกฎหมาย (Article 6(1)(f)): ฐานที่ใช้กันมากที่สุด แต่ต้องผ่านการทดสอบ 3 ส่วนอย่างเป็นเอกสาร:
  1. ผลประโยชน์ของคุณชอบด้วยกฎหมาย (ประโยชน์เชิงพาณิชย์อาจเข้าเกณฑ์ ตาม )
  2. การประมวลผลจำเป็นต่อผลประโยชน์นั้น
  3. การทดสอบดุลยภาพ: ผลประโยชน์ของคุณไม่ลบล้างสิทธิของเจ้าของข้อมูล เมื่อพิจารณาจากความคาดหมายอันสมเหตุสมผลของเขา
• ทำบันทึกการทดสอบดุลยภาพก่อนเก็บข้อมูล ถ้าคุณอธิบายไม่ได้ว่าทำไมคนที่ข้อมูลถูกเก็บถึงคาดหมายการใช้งานแบบนี้ได้อย่างสมเหตุสมผล นั่นคือสัญญาณเตือน ⚠️ ไปต่อโดยมีการบันทึกฐานผลประโยชน์โดยชอบด้วยกฎหมาย

ขั้นที่ 3: ข้อกำหนดการใช้งานของเว็บไซต์จำกัดการเก็บข้อมูลหรือไม่?

• ข้อตกลงแบบ clickwrap ที่ห้ามเก็บข้อมูล: 🛑 เสี่ยงสูง พิจารณาแหล่งข้อมูลอื่นหรือการเข้าถึงผ่าน API ทางการ
• browsewrap หรือไม่มีข้อจำกัดใน ToS: ⚠️ เสี่ยงต่ำกว่า แต่ยังต้องเคารพ robots.txt และสัญญาณต่อต้านทางเทคนิค

ขั้นที่ 4: Database Directive ใช้บังคับหรือไม่?

• เป้าหมายเป็นฐานข้อมูลที่มีการลงทุนอย่างมีนัยสำคัญในการจัดระเบียบข้อมูลหรือไม่?
• การเก็บข้อมูลของคุณจะดึงเอา “ส่วนสำคัญ” ของฐานข้อมูลนั้นหรือไม่?
• ถ้าทั้งสองข้อเป็นใช่: ⚠️ เสี่ยงละเมิดสิทธิแบบ sui generis ควรจำกัดขอบเขตการดึงข้อมูล

ขั้นที่ 5: คุณอยู่ภายใต้ข้อยกเว้นด้านการวิจัยหรือ TDM หรือไม่?

• เป็นสถาบันวิจัยที่จดทะเบียนหรือองค์กรด้านมรดกทางวัฒนธรรมหรือไม่? DSM Directive Article 3 อาจใช้ได้ ✅
• เป็น TDM เชิงพาณิชย์? ตรวจสัญญาณ opt-out ตาม Article 4 (robots.txt, ai.txt, TDMRep) ถ้าเว็บไซต์ opt out ไว้แล้ว 🛑 หยุดสำหรับแหล่งนั้น

ขั้นที่ 6: คุณได้ใช้มาตรการคุ้มครองที่หน่วยงานคุ้มครองข้อมูลแนะนำหรือยัง?

ถ้าคุณผ่านด่านข้างต้นแล้ว ขั้นสุดท้ายคือการใช้มาตรการคุ้มครองที่ CNIL, หน่วยงานคุ้มครองข้อมูลของเนเธอร์แลนด์ และ EDPB แนะนำ ซึ่งเราจะอธิบายละเอียดในส่วนถัดไป ✅ ไปต่อโดยมีมาตรการคุ้มครองพร้อมใช้

มาตรการคุ้มครองเพื่อการปฏิบัติตาม: สิ่งที่ CNIL, หน่วยงานคุ้มครองข้อมูลของเนเธอร์แลนด์ และ EDPB แนะนำ

ผมยังไม่เจอบทความของคู่แข่งรายไหนที่รวบรวมมาตรการคุ้มครองจาก 3 หน่วยงานกำกับที่คุมเรื่องนี้เข้มที่สุดในยุโรปไว้ครบถ้วน จึงทำตารางนี้ขึ้นมาโดยเทียบเคียงจาก , และ

ข้อสังเกตจากฝั่งเรา: ฟีเจอร์ ของ Thunderbit ช่วยให้ผู้ใช้กำหนดได้ชัดเจนว่าจะดึงคอลัมน์ไหนบ้าง — ราคา SKU ชื่อสินค้า — ดังนั้นสคราเปอร์จะเก็บเฉพาะสิ่งที่จำเป็นจริง ๆ คุณไม่ได้ดาวน์โหลดทั้งหน้าแบบยกแผง แต่กำลังเลือกฟิลด์ที่เป็นโครงสร้างซึ่งสอดคล้องกับหลักการจำกัดวัตถุประสงค์และการเก็บเท่าที่จำเป็น อย่างไรก็ดี ไม่มีเครื่องมือใดทำให้การเก็บข้อมูลที่ไม่สอดคล้องกับกฎหมายกลายเป็นถูกกฎหมายได้ การวิเคราะห์ทางกฎหมายต้องมาก่อนเสมอ

การเก็บข้อมูลจากเว็บในยุโรปถูกกฎหมายไหมสำหรับกรณีของคุณ? คำแนะนำแยกตามอุตสาหกรรม

คำถามที่ผมเห็นบ่อยที่สุดในฟอรัมไม่ใช่ “การเก็บข้อมูลถูกกฎหมายไหม?” แต่เป็น “การเก็บข้อมูลของ ฉัน ถูกกฎหมายไหม?” ทฤษฎี GDPR แบบกว้าง ๆ ตอบไม่ได้ ดังนั้นนี่คือการแยกตามกรณีใช้งานทางธุรกิจที่พบบ่อย

สำหรับสถานการณ์เสี่ยงต่ำอย่างข้อมูลอีคอมเมิร์ซสาธารณะ เครื่องมือที่มีเทมเพลตแบบมีโครงสร้าง — เช่น — ช่วยลดความเสี่ยง เพราะดึงเฉพาะฟิลด์ข้อมูลที่ไม่ใช่ข้อมูลส่วนบุคคลโดยไม่เก็บเนื้อหาส่วนเกิน สำหรับสถานการณ์เสี่ยงสูงที่เกี่ยวข้องกับข้อมูลส่วนบุคคล (เช่น การหาลูกค้าเป้าหมาย) การวิเคราะห์ทางกฎหมายต้องมาก่อน ไม่มีสคราเปอร์ไหนเก่งแค่ไหนก็ไม่สามารถเปลี่ยนการเก็บข้อมูลที่ไม่ถูกต้องให้กลายเป็นถูกต้องได้

EU เทียบกับสหรัฐฯ เทียบกับสหราชอาณาจักร: กฎหมายการเก็บข้อมูลจากเว็บต่างกันอย่างไร

ถ้าธุรกิจของคุณทำงานข้ามพรมแดน คุณต้องเข้าใจว่ากติกาแต่ละที่ต่างกันอย่างไร ผมหาไม่เจอบทความคู่แข่งที่ทำตารางเปรียบเทียบแบบสแกนอ่านง่ายในหน้าเดียวได้ เลยใส่มาให้ตรงนี้

ถ้าคุณกำลังเก็บข้อมูลจากเว็บไซต์ยุโรปหรือข้อมูลเกี่ยวกับผู้พำนักในยุโรป กฎของ EU ใช้บังคับ — แม้บริษัทของคุณจะอยู่ในสหรัฐฯ หรือสหราชอาณาจักรก็ตาม

ค่าปรับและคดีจริง: ถ้าถูกจับได้จะเกิดอะไรขึ้นจริง ๆ (2022–2026)

ส่วนนี้ตอบคำถามที่อยู่ข้างหลังคำถาม: “ความเสี่ยงจริง ๆ คืออะไร?” ผมรวบรวมการบังคับใช้ของหน่วยงานคุ้มครองข้อมูลที่เปิดเผยต่อสาธารณะทุกกรณีซึ่งเกี่ยวข้องกับการเก็บข้อมูลจากเว็บหรือข้อมูลส่วนบุคคลที่ถูกเก็บมาระหว่างปี 2022 ถึงเมษายน 2026

มูลค่าค่าปรับรวมในหมวดการเก็บข้อมูลจากเว็บ/เว็บเปิดของ EU/EEA: มากกว่า €95 ล้าน (ไม่รวมค่าปรับ OpenAI ที่ถูกเพิกถอน)

ทุกกรณีค่าปรับใหญ่เหล่านี้มุ่งเป้าไปที่ การเก็บข้อมูลไบโอเมตริกซ์หรือข้อมูลส่วนบุคคลจำนวนมากโดยไม่มีฐานกฎหมาย Clearview เก็บรูปใบหน้านับพันล้านภาพ KASPR เก็บข้อมูลติดต่อ 160 ล้านราย รวมถึงข้อมูลจากโปรไฟล์ LinkedIn ที่จำกัดการมองเห็น และเก็บไว้นาน 5 ปี

การเก็บข้อมูลสาธารณะที่ไม่ใช่ข้อมูลส่วนบุคคลอย่างมีสัดส่วนและเจาะจง — เช่น ราคาสินค้าหรือ SKU — ยังไม่เคยเป็นประเด็นการบังคับใช้ในลักษณะนี้ นั่นไม่ได้แปลว่าไม่มีความเสี่ยง แต่ช่วยให้มองตัวเลขได้ชัดขึ้น

วิธีเก็บข้อมูลจากเว็บไซต์ยุโรปอย่างปลอดภัย: คู่มือทีละขั้น

• ระดับความยาก: สำหรับมือใหม่
• เวลาที่ต้องใช้: ประมาณ 15 นาที (รวมการทบทวนด้านการปฏิบัติตาม)
• สิ่งที่ต้องมี: เบราว์เซอร์ Chrome, ส่วนขยาย (ใช้ฟรีได้), URL เป้าหมาย และการทบทวนเช็กลิสต์ด้านบนแบบเร็ว ๆ

ขั้นที่ 1: กำหนดวัตถุประสงค์และความต้องการข้อมูล

ก่อนเปิดเครื่องมือใด ๆ ให้เขียนไว้ก่อนว่าคุณต้องการข้อมูลไปเพื่ออะไร และต้องการฟิลด์อะไรบ้างอย่างแม่นยำ นี่ไม่ใช่แค่แนวปฏิบัติที่ดี — แต่มันคือรากฐานของหลักการจำกัดวัตถุประสงค์และการเก็บเท่าที่จำเป็นของ GDPR

ตัวอย่างเช่น: “ผมต้องการชื่อสินค้า ราคา และสถานะสต็อกจากหน้า Amazon 50 หน้า เพื่ออัปเดตชีตเปรียบเทียบราคาคู่แข่ง” แบบนี้ชัดเจน ลองเทียบกับ “ผมอยากเก็บทุกอย่างจาก Amazon” ข้อแรกผ่านการทดสอบเรื่องการเก็บเท่าที่จำเป็น ข้อหลังไม่ผ่าน

ขั้นที่ 2: รันเช็กลิสต์การปฏิบัติตาม

ไล่ดูเช็กลิสต์ 6 ขั้น “เก็บได้ไหม?” ข้างต้น ถ้าจุดไหนออกมาเป็น 🛑 ให้หยุดและปรึกษาที่ปรึกษากฎหมายก่อนดำเนินต่อ

ถ้าเอาตัวอย่างการเก็บราคาสินค้า Amazon มาผ่านด่าน: ข้อมูลไม่ใช่ข้อมูลส่วนบุคคล (ราคา, SKU, ชื่อสินค้า) ✅ ไม่มีประเด็นข้อมูลส่วนบุคคลตาม GDPR ✅ ควรตรวจ ToS ของ Amazon (เขาจำกัดการเก็บข้อมูลไว้จริง จึงควรพิจารณาใช้ API ข้อมูลสินค้าทางการถ้ามี) ⚠️ และความเสี่ยงภายใต้ Database Directive ต่ำสำหรับสินค้า 50 รายการ ✅

ขั้นที่ 3: เลือกวิธีเก็บข้อมูลให้เหมาะสม

สำหรับผู้ใช้ธุรกิจที่ไม่มีทีมพัฒนา คือเส้นทางที่เร็วที่สุด ถ้าเว็บไหนมี API ทางการ เช่น Amazon Product Advertising API เส้นทาง API คือปลอดภัยที่สุดเสมอ — แต่ก็มักมีข้อจำกัดเรื่องปริมาณข้อมูลและฟิลด์ที่ดึงได้

ขั้นที่ 4: ตั้งค่าสคราเปอร์ให้สอดคล้องกับการปฏิบัติตาม

ใน Thunderbit:

1. ไปที่หน้าเป้าหมายของคุณ (เช่น หน้าแสดงรายการสินค้า Amazon)
2. คลิกไอคอน Thunderbit ในแถบเครื่องมือ Chrome แล้วเลือก “AI Suggest Fields” AI จะสแกนหน้าและแนะนำคอลัมน์ เช่น “ชื่อสินค้า” “ราคา” “เรตติ้ง” และ “สถานะสต็อก”
3. ลบฟิลด์ที่ไม่จำเป็นออก ถ้า AI แนะนำ “ชื่อผู้ขาย” หรือ “อีเมลผู้ขาย” แต่คุณต้องการแค่ข้อมูลราคา ก็ลบคอลัมน์นั้นไป นี่คือการเก็บเท่าที่จำเป็นในทางปฏิบัติ
4. ใช้ Field AI Prompt เพื่อใส่คำสั่ง เช่น “ยกเว้นตัวระบุส่วนบุคคล” หรือ “ดึงเฉพาะข้อมูลราคาที่เปิดเผยสาธารณะ”
5. เลือก Cloud Scraping สำหรับเว็บไซต์อีคอมเมิร์ซสาธารณะ (เร็วกว่า ไม่ต้องล็อกอิน) หรือ Browser Scraping สำหรับเว็บไซต์ที่ต้องยืนยันตัวตน
6. ก่อนกด “Scrape” ให้ตรวจสอบว่า robots.txt ไม่ได้ห้ามการเก็บข้อมูลสำหรับกรณีใช้งานของคุณ คุณตรวจได้โดยเข้า [domain]/robots.txt ในเบราว์เซอร์

ตอนนี้คุณควรเห็นตัวอย่างตารางที่มีเฉพาะฟิลด์ที่ตั้งค่าไว้แล้ว — ไม่มีข้อมูลส่วนบุคคลเกินจำเป็น ไม่มีเมทาดาทาที่ไม่ต้องใช้

ขั้นที่ 5: ส่งออก จัดเก็บ และจัดการข้อมูลอย่างรับผิดชอบ

หลังเก็บข้อมูลแล้ว ส่งออกไปที่ — Thunderbit รองรับทั้งหมดนี้และส่งออกฟรี

จากนั้น:

• กำหนดระยะเวลาเก็บรักษา อย่าเก็บข้อมูลที่ดึงมาไว้ไม่มีกำหนด ถ้าคุณทำ price monitoring รายสัปดาห์ ข้อมูลดิบของเดือนที่แล้วอาจไม่จำเป็นแล้ว
• ถ้ามีการเก็บข้อมูลส่วนบุคคล (เช่น เพื่อหาลูกค้าเป้าหมาย) ให้บันทึกฐานกฎหมาย เผยแพร่ประกาศความโปร่งใสตาม Article 14 และตั้งกระบวนการจัดการคำขอ opt-out และการลบข้อมูล
• ทำระบบลบข้อมูลอัตโนมัติ หากเป็นไปได้ Thunderbit’s ช่วยตั้งเวลาเก็บข้อมูลซ้ำตามรอบได้โดยคงการตั้งค่าระดับฟิลด์เดิมไว้ ทำให้แต่ละรอบยังอยู่ในกรอบการปฏิบัติตามของคุณ

เคล็ดลับการปฏิบัติตามเมื่อเก็บข้อมูลจากเว็บในยุโรป

แนวปฏิบัติบางอย่างที่ผมได้จากการค้นคว้าเรื่องนี้และคุยกับทีมที่ใส่ใจเรื่องการปฏิบัติตาม:

• อ่าน ToS ทุกครั้งก่อนเก็บข้อมูลจากเว็บใหม่ ใช้เวลา 2 นาที แต่อาจช่วยคุณประหยัดปัญหากฎหมายเป็นเดือน ๆ
• ใช้ API เมื่อมีให้ใช้ มันมีโครงสร้าง ชัดเจน และปลอดภัยที่สุด การเก็บข้อมูลควรเป็นทางเลือกสำรอง ไม่ใช่ค่าเริ่มต้น
• ทำ DPIA สำหรับโปรเจ็กต์ใดก็ตามที่เกี่ยวข้องกับข้อมูลส่วนบุคคลในวงกว้าง CNIL ระบุว่าชุดข้อมูลฝึก AI อาจสร้างความเสี่ยงสูง และ DPIA คือหลักฐานความรับผิดชอบของคุณ แม้กับโปรเจ็กต์เล็ก การบันทึกการวิเคราะห์ไว้ก็เป็นเรื่องฉลาด
• เก็บบันทึกการเก็บข้อมูล จดว่าเก็บอะไร เมื่อไร จากที่ไหน ฐานกฎหมายคืออะไร และระยะเวลาเก็บรักษาเท่าไร ถ้าวันหนึ่ง DPA มาถาม คุณจะขอบคุณตัวเองที่เตรียมไว้
• ติดตามอัปเดตกฎระเบียบ แนวทางของ DPA เปลี่ยนเร็วมาก — CNIL ออกเอกสาร AI scraping ชุดใหม่ในเดือนมกราคม 2026 และคาดว่า EDPB จะออกความเห็นเพิ่ม กติกาวันนี้อาจเข้มขึ้นพรุ่งนี้
• อย่าเก็บข้อมูลจากแหล่งที่ถูกจำกัดหรืออ่อนไหว รายการ รวมถึงฟอรัมสุขภาพ เว็บไซต์ที่ผู้เยาว์ใช้เป็นหลัก เว็บไซต์โป๊เปลือย เว็บไซต์ลำดับเครือญาติ และเว็บไซต์ข้อมูลส่วนบุคคลที่มีโครงสร้างสูง ถ้าคุณกำลังสร้างโปรเจ็กต์การเก็บข้อมูล ให้มี blocklist เริ่มต้นไว้เสมอ
• ทราฟฟิกอัตโนมัติเป็นเรื่องสำคัญในเชิงปฏิบัติ ว่า bot คิดเป็น 42% ของทราฟฟิกเว็บทั้งหมดในปี 2024 และ ว่าทราฟฟิก bot แบบอัตโนมัติแซงทราฟฟิกมนุษย์เป็นครั้งแรก โดยแตะ 51% ในปี 2024 หน่วยงานกำกับเริ่มมองพฤติกรรม bot อัตราการยิงคำขอ และการหลบหลีกสัญญาณป้องกันเป็นหลักฐานของความเสี่ยงและความไม่เป็นธรรมมากขึ้น การทำตัวเป็นสคราเปอร์ที่รับผิดชอบ — ระบุ user agent จำกัดอัตรา เคารพสัญญาณต่อต้าน — ไม่ใช่แค่เรื่องมารยาท แต่มันเกี่ยวข้องทางกฎหมายด้วย

บทสรุป

การเก็บข้อมูลจากเว็บไม่ได้ผิดกฎหมายในยุโรป แต่ถูกกำกับอย่างเข้มงวด — โดยเฉพาะเมื่อเกี่ยวข้องกับข้อมูลส่วนบุคคล

ผลทางกฎหมายขึ้นอยู่กับ คุณเก็บอะไร (ข้อมูลส่วนบุคคลหรือไม่ใช่ข้อมูลส่วนบุคคล) คุณเก็บอย่างไร (ToS, robots.txt, rate limiting, การเก็บเท่าที่จำเป็นในระดับฟิลด์) และ เพื่ออะไร (มีการบันทึกวัตถุประสงค์และฐานกฎหมายหรือไม่) บันทึกการบังคับใช้ชี้ชัด: การเก็บข้อมูลส่วนบุคคลจำนวนมากแบบไม่เลือกหน้าโดยไม่มีฐานกฎหมาย คือจุดที่บริษัทโดนค่าปรับระดับเจ็ดถึงแปดหลักยูโร การเก็บข้อมูลสาธารณะที่ไม่ใช่ข้อมูลส่วนบุคคลอย่างมีสัดส่วนและมีมาตรการคุ้มครองพร้อมนั้นอยู่ในกลุ่มความเสี่ยงที่ต่างออกไปมาก

กรอบการทำงานในทางปฏิบัติ:

• ใช้เช็กลิสต์ตัดสินใจก่อนทุกโปรเจ็กต์การเก็บข้อมูล
• ใช้มาตรการคุ้มครองที่ DPA แนะนำ (ความโปร่งใส การเก็บเท่าที่จำเป็น การจำกัดระยะเวลาจัดเก็บ กลไก opt-out)
• เลือกเครื่องมือที่รองรับการปฏิบัติตามตั้งแต่การออกแบบ การเลือกฟิลด์ด้วย AI ของ Thunderbit การดึงข้อมูลแบบมีโครงสร้าง และ ทำให้คุณเก็บได้เฉพาะข้อมูลที่ต้องใช้ — มากไปไม่เอา น้อยไปไม่พอ
• บันทึกทุกอย่าง การทดสอบดุลยภาพ รายการแหล่งข้อมูล ตารางการเก็บรักษา DPIA ถ้าหน่วยงานกำกับถาม ไฟล์ของคุณคือแนวป้องกันของคุณ

คำเตือนตามธรรมเนียม: บทความนี้มีไว้เพื่อให้ข้อมูล ไม่ใช่คำแนะนำทางกฎหมาย สำหรับสถานการณ์เสี่ยงสูงที่เกี่ยวข้องกับข้อมูลส่วนบุคคลในวงกว้าง ควรปรึกษาทนายด้านความเป็นส่วนตัวที่มีคุณสมบัติเหมาะสม กฎระเบียบกำลังเปลี่ยน และต้นทุนของการทำผิดมีจริง

อยากลองเก็บข้อมูลจากเว็บแบบสอดคล้องกับกฎหมายและเจาะจงเองกับมือไหม? ให้คุณทดลองการดึงข้อมูลแบบมีโครงสร้างในสเกลเล็กได้ — กำหนดฟิลด์ เก็บเฉพาะสิ่งที่ต้องใช้ และส่งออกด้วยไม่กี่คลิก คุณยังสามารถเข้าไปดู ของเราเพื่อดูวิธีทำแบบทีละขั้นตอนได้

คำถามที่พบบ่อย

1. การเก็บข้อมูลจากเว็บในยุโรปถูกกฎหมายไหมถ้าข้อมูลเปิดเผยต่อสาธารณะ?

การเปิดเผยต่อสาธารณะไม่ได้ยกเว้นข้อมูลจาก GDPR หากข้อมูลนั้นมีข้อมูลส่วนบุคคล อย่างที่หน่วยงานคุ้มครองข้อมูลของเนเธอร์แลนด์ระบุไว้ “ข้อมูลสาธารณะไม่ได้แปลว่ามีสิทธิ์เก็บข้อมูลจากเว็บโดยอัตโนมัติ” ข้อมูลสาธารณะที่ไม่ใช่ข้อมูลส่วนบุคคล (เช่น ราคาสินค้า, SKU) โดยทั่วไปเสี่ยงต่ำกว่า แต่คุณยังต้องตรวจ Database Directive และ Terms of Service ของเว็บไซต์

2. ฉันสามารถเก็บอีเมลและเบอร์โทรจากเว็บไซต์ยุโรปได้ไหม?

อีเมลและเบอร์โทรเป็นข้อมูลส่วนบุคคลภายใต้ GDPR คุณต้องมีฐานกฎหมาย — โดยทั่วไปคือผลประโยชน์โดยชอบด้วยกฎหมายพร้อมการทดสอบดุลยภาพที่บันทึกไว้ — และต้องแจ้งเจ้าของข้อมูลตาม Article 14 ด้วย ในปี 2024 CNIL ปรับ KASPR €240,000 จากการเก็บข้อมูลติดต่อ LinkedIn โดยไม่มีความโปร่งใสหรือฐานกฎหมายที่เพียงพอ ดังนั้นนี่เป็นพื้นที่ที่การบังคับใช้เกิดขึ้นจริง

3. ค่าปรับที่ใหญ่ที่สุดสำหรับการเก็บข้อมูลจากเว็บอย่างผิดกฎหมายในยุโรปคือเท่าไร?

Dutch DPA ปรับ Clearview AI ในปี 2024 จากการเก็บข้อมูลจดจำใบหน้าอย่างผิดกฎหมายจากเว็บสาธารณะ DPA อื่น ๆ ใน EU หลายแห่งก็ปรับ Clearview รายละ €20 ล้าน ยอดค่าปรับรวมที่เกี่ยวกับการเก็บข้อมูลจากเว็บใน EU/EEA ระหว่างปี 2022–2026 มากกว่า €95 ล้าน

4. การเคารพ robots.txt ทำให้การเก็บข้อมูลจากเว็บในยุโรปถูกกฎหมายไหม?

การเคารพ robots.txt เป็นแนวปฏิบัติที่ดีและสอดคล้องกับ แต่ก็ไม่ได้รับประกันความถูกต้องตามกฎหมายเพียงอย่างเดียว คุณยังต้องปฏิบัติตาม GDPR (หากเกี่ยวข้องกับข้อมูลส่วนบุคคล), Database Directive และ Terms of Service ของเว็บไซต์ มองการปฏิบัติตาม robots.txt เป็นเพียงหนึ่งชั้นในกรอบการปฏิบัติตามหลายชั้น

5. กฎหมายการเก็บข้อมูลจากเว็บในยุโรปต่างจากสหรัฐฯ อย่างไร?

EU เข้มงวดกว่ามาก GDPR ใช้กับข้อมูลส่วนบุคคลทุกประเภท — แม้เป็นข้อมูลที่เปิดเผยต่อสาธารณะ — และ Database Directive ให้การคุ้มครองชุดข้อมูลที่มีการจัดระเบียบอย่างเข้มแข็ง สหรัฐฯ ไม่มีกฎหมายระดับรัฐบาลกลางที่เทียบเท่าทั้งสองฉบับ หลังคดี hiQ v. LinkedIn การเก็บข้อมูลสาธารณะในสหรัฐฯ โดยทั่วไปทำได้ สหราชอาณาจักรหลัง Brexit อยู่กึ่งกลาง โดย UK GDPR และสิทธิฐานข้อมูลที่คงไว้มีรูปแบบใกล้กับ EU แต่บังคับใช้ผ่าน ICO สำหรับธุรกิจข้ามพรมแดน กฎของ EU คือมาตรฐานที่สูงที่สุด — และถ้าคุณเก็บข้อมูลเกี่ยวกับผู้อยู่อาศัยใน EU กฎเหล่านี้ใช้บังคับไม่ว่าบริษัทคุณจะตั้งอยู่ที่ไหน

เรียนรู้เพิ่มเติม