กรณี​ศึกษา Sephora ค่า​ปรับ 1.2 ล้าน​ดอลลาร์​ตาม​กฎหมาย CCPA

ทีม​ที่​ดูแล​เว็บไซต์​ร้าน​ค้า​และ​ติด pixel หรือ​เครื่อง​มือ​วัดผล​โฆษณา​ไว้ อาจ​ไม่รู้​ว่า​ข้อมูล​ลูกค้า​ไหล​ออก​ไป​ที่ไหน​บ้าง แม้​หน้า​นโยบาย​จะ​เขียน​ว่า​ไม่​ได้​ขาย​ข้อมูล คดี​ที่​อัยการ​แคลิฟอร์เนีย​ฟ้อง Sephora เป็น​ตัวอย่าง​ของ​ช่อง​ว่าง​นี้ บท​นี้​อ่าน​แถลงการณ์​และ​คำฟ้อง แล้ว​ปิด​ด้วย​ขั้น​ตอน​ตรวจ​เว็บไซต์​ก่อน​ติด​ตั้ง​ตัว​ติดตาม

คำฟ้อง​ของ​อัยการ​เล่า​ว่า​ลูกค้า​ที่​กด​ลิงก์​ใน​หมวด​ข้อมูล​สำหรับ​ผู้​อยู่​อาศัย​ใน​แคลิฟอร์เนีย​บน​เว็บไซต์​ของ Sephora จะ​เจอ​ข้อความ​ว่า​บริษัท​ไม่​ได้​ขาย​ข้อมูล​ส่วน​บุคคล อัยการ​สูงสุด​แคลิฟอร์เนีย​ทดสอบ​เว็บไซต์​เดียวกัน​แล้ว​พบ​ว่า​ข้อมูล​ยัง​ไหล​ไป​ยัง​ผู้​ให้​บริการ​โฆษณา​และ​วิเคราะห์​ข้อมูล แม้​ผู้​ใช้​เปิด​สัญญาณ​ปฏิเสธ​การ​ขาย​ไว้​แล้ว

หลัก​ฐาน​หลัก​ของ​บท​นี้​คือแถลงการณ์​ของ​อัยการ​สูงสุด​แคลิฟอร์เนีย​เรื่อง​ข้อ​ตกลง​กับ Sephora และ​คำฟ้อง​เก้า​หน้าที่​แนบ​มา​กับ​แถลงการณ์ ส่วน​สถานะ​ปัจจุบัน​มา​จากนโยบาย​ความ​เป็น​ส่วน​ตัว​ของ Sephora ฉบับ​ที่​แก้​ล่าสุด

CCPA ย่อ​มา​จาก California Consumer Privacy Act เป็น​กฎหมาย​คุ้มครอง​ข้อมูล​ผู้​บริโภค​ของ​รัฐ​แคลิฟอร์เนีย คำฟ้อง​และ​แถลงการณ์​ระบุ​ลำดับ​เหตุการณ์​ไว้​ดังนี้

แถลงการณ์​เขียน​ว่า​สิทธิ์​ของ​ธุรกิจ​ที่​จะ​ขอ​แก้ไข​ภายใน 30 วัน​ก่อน​ถูก​ดำเนิน​คดี​จะ​หมด​ลง​วัน​ที่ 1 มกราคม 2023 ข้อ​ตกลง​กับ Sephora จึง​ออก​มา​ช่วง​ที่​อัยการ​เตือน​ธุรกิจ​อื่น​ว่า​ช่วง​ผ่อน​ผัน​กำลัง​จะ​จบ

Global Privacy Control คือ​อะไร

Global Privacy Control หรือ GPC คือ​สัญญาณ​ที่​เบราว์เซอร์​หรือ​ส่วน​เสริม​ของ​เบราว์เซอร์​ส่ง​ไป​ยัง​ทุก​เว็บไซต์​ที่​ผู้​ใช้​เปิด เพื่อ​บอก​ว่า​ผู้​ใช้​ไม่​ต้องการ​ให้​ขาย​ข้อมูล​ของ​ตน แถลงการณ์​ของ​อัยการ​สูงสุด​แคลิฟอร์เนีย​อธิบาย​ว่า​ผู้​ใช้​ไม่​ต้อง​กด​ลิงก์​ปฏิเสธ​ที​ละ​เว็บ และ​ภาย​ใต้ CCPA ธุรกิจ​ต้อง​ถือ​สัญญาณ​นี้​เท่ากับ​การ​กด​ลิงก์ Do Not Sell My Personal Information

คำฟ้อง​อธิบาย​ว่า​อัยการ​ทดสอบ​เว็บไซต์​ของ​ร้าน​ค้า​ปลีก​ออนไลน์​หลาย​ราย​ด้วย​ส่วน​เสริม​เบราว์เซอร์​ที่​ดู​การ​รับ​ส่ง​ข้อมูล​ไป​ยัง​ผู้​ให้​บริการ​โฆษณา​และ​วิเคราะห์​ข้อมูล แล้ว​เทียบ​ว่าการ​รับ​ส่ง​เปลี่ยน​ไป​อย่างไร​เมื่อ​เปิด GPC ที่​เว็บไซต์​ของ Sephora การ​เปิด GPC ไม่มี​ผล​ใด​เลย

คำฟ้อง​ระบุ​ว่า Sephora ให้​บุคคล​ที่​สาม​เข้า​ถึง​ข้อมูล​ของ​ลูกค้า แลก​กับ​บริการ​วิเคราะห์​และ​โฆษณา​แบบ​ฟรี​หรือ​ลด​ราคา ภาย​ใต้ CCPA การ​แลก​ข้อมูล​กับ​สิ่ง​ที่​มี​มูลค่า​นับ​เป็นการ​ขาย เมื่อ​นับ​เป็นการ​ขาย บริษัท​มีหน้า​ที่​สาม​ข้อ ซึ่ง​คำฟ้อง​กล่าว​หา​ว่า Sephora ไม่​ได้​ทำ

1. แจ้ง​หมวด​ข้อมูล​ที่​ขาย​ใน​รอบ 12 เดือน คำฟ้อง​ระบุ​ว่า​หมวด​สำหรับ​ผู้​อยู่​อาศัย​ใน​แคลิฟอร์เนีย​เขียน​เพียง​ว่า​บริษัท​แบ่ง​ปัน​ข้อมูล และ​หน้าที่​ลิงก์​ต่อ​ไป​เขียน​ว่า​ไม่​ได้​ขาย
2. ติด​ลิงก์ Do Not Sell My Personal Information บน​เว็บไซต์​และ​ใน​แอป พร้อม​ช่อง​ทาง​ปฏิเสธ​อีก​อย่าง​น้อยห​นึ่ง​ช่อง​ทาง คำฟ้อง​ระบุ​ว่า​ไม่มี​ช่อง​ทาง​ใด​เลย
3. หยุด​ขาย​ข้อมูล​ของ​ผู้​ที่​ปฏิเสธ รวม​ถึง​ผู้​ที่​ส่ง​สัญญาณ GPC คำฟ้อง​ระบุ​ว่า​ข้อมูล​ของ​กลุ่ม​นี้​ยัง​ถูก​ส่ง​ต่อ

คำฟ้อง​ยัง​ยก​ตัวอย่าง​ว่า​เว็บไซต์​ขาย​วิตามิน​สำหรับ​หญิง​ตั้ง​ครรภ์​และ​วัย​หมด​ประจำ​เดือน ข้อมูล​การ​ดู​สินค้า​กลุ่ม​นี้​อาจ​ถูก​บุคคล​ที่​สาม​ใช้​อนุมาน​สภาวะ​สุขภาพ​ของ​ผู้​หญิง​ได้

ทำไม​การ​ติด​ตั้ง​ตัว​ติดตาม​จึง​นับ​เป็นการ​ขาย​ข้อมูล​ตาม CCPA

คำฟ้อง​อ้าง​มาตรา 1798.140 (t) ของ CCPA ที่​นิยาม​การ​ขาย​ว่า​เป็นการ​แลก​ข้อมูล​ส่วน​บุคคล​กับ​สิ่ง​ใด​ก็ตาม​ที่​มี​มูลค่า ใน​กรณี​ของ Sephora ผู้​ให้​บริการ​วิเคราะห์​ได้​เก็บ​ข้อมูล​การ​ซื้อ​ของ​บน​เว็บไซต์ ส่วน Sephora ได้​รายงาน​การ​วิเคราะห์​และ​ตัว​เลือก​ยิง​โฆษณา​ไป​ยัง​ผู้​ซื้อ​คน​เดิม​บน​เครือ​ข่าย​ของ​ผู้​ให้​บริการ อัยการ​มอง​ว่าการ​แลก​ทั้ง​สอง​แบบ​เข้า​นิยาม​การ​ขาย แม้​ไม่มี​เงิน​เปลี่ยน​มือ

แถลงการณ์​ระบุ​ว่า​ข้อ​ตกลง​ให้ Sephora จ่าย​ค่า​ปรับ 1.2 ล้าน​ดอลลาร์ และ​ทำ​ตาม​เงื่อนไข​สี่​ข้อ

1. แก้​ข้อความ​บน​เว็บไซต์​และ​นโยบาย​ความ​เป็น​ส่วน​ตัว ให้​ระบุ​ชัด​ว่า​บริษัท​ขาย​ข้อมูล
2. เปิด​ช่อง​ทาง​ให้​ผู้​บริโภค​ปฏิเสธ​การ​ขาย รวม​ถึง​ผ่าน Global Privacy Control
3. แก้​สัญญา​กับ​ผู้​ให้​บริการ ให้​ตรง​กับ​ข้อ​กำหนด​ของ CCPA
4. ส่ง​รายงาน​ให้​อัยการ เรื่อง​การ​ขาย​ข้อมูล สถานะ​ความ​สัมพันธ์​กับ​ผู้​ให้​บริการ และ​การ​รับ​สัญญาณ GPC

ใน​คำฟ้อง อัยการ​ขอ​ให้​ศาล​กำหนด​ค่า​ปรับ 2,500 ดอลลาร์​ต่อ​การ​ละเมิด​หนึ่ง​ครั้ง และ 7,500 ดอลลาร์​ต่อ​การ​ละเมิด​โดย​เจตนา​หนึ่ง​ครั้ง ตัวเลข​นี้​เป็น​คำขอ​ใน​คำฟ้อง ไม่ใช่​วิธี​คำนวณ​ยอด 1.2 ล้าน​ดอลลาร์​ใน​ข้อ​ตกลง

นโยบาย​ที่​แก้​ล่าสุด 13 สิงหาคม 2026 ครอบคลุม Sephora USA และ Sephora Beauty Canada มี​หัวข้อ​หลัก 14 หมวด ข้อความ​หลาย​ส่วน​ตรง​กับ​เงื่อนไข​ของ​ข้อ​ตกลง

นโยบาย​ยัง​เล่า​ช่อง​ทาง​เก็บ​ข้อมูล​ใน​ร้าน​จริง ร้าน​บาง​แห่ง​มี​สัญญาณ Bluetooth ที่​ทำงาน​กับ​แอป Sephora ถ้า​ผู้​ใช้​เปิด​ไว้ บริษัท​จะ​เก็บ​ตัว​ระบุ​อุปกรณ์​และ​ตำแหน่ง​เมื่อ​เข้า​ร้าน นโยบาย​ระบุ​ด้วย​ว่า​จะ​ไม่​ส่ง​ข้อมูล​การ​ยินยอม​รับ​ข้อความ SMS ให้​ผู้​อื่น​ใช้​ทำการ​ตลาด​ของ​ตัว​เอง

ข้อมูล​ความ​งาม​ที่ Sephora เก็บ​มี​อะไร​บ้าง

นโยบาย​ของ Sephora จัด​หมวด​ลักษณะ​ทาง​กายภาพ​ไว้​แยก ได้แก่ สี​ผิว สภาพ​ผิว สีผม ลักษณะ​ผม สีตา และ​ข้อมูล​โปรไฟล์​ความ​งาม​อื่น​ที่​ลูกค้า​ให้​เอง ส่วน​ข้อมูล​เรื่อง​สภาพ​ผิว​หรือ​ยา​ที่​ลูกค้า​บอก​ระหว่าง​รับ​บริการ นโยบาย​เขียน​ว่า​บริษัท​ไม่​ได้​จัด​เก็บ​ข้อมูล​สุขภาพ และ​ระบุ​ว่า​จะ​เก็บ​ข้อมูล​อ่อน​ไหว​เฉพาะ​ตาม​ที่​กฎหมาย​อนุญาต​หรือ​เมื่อ​ได้​รับ​ความ​ยินยอม

นโยบาย​ของ Sephora รายงาน​ตัวเลข​คำขอ​ของ​ผู้​บริโภค​ใน​แคลิฟอร์เนีย​ตาม CCPA ช่วง 1 มกราคม ถึง 31 ธันวาคม 2025 ไว้​ดังนี้

นโยบาย​อธิบาย​ว่า​คำขอ​ที่​ถูก​ปฏิเสธ​รวม​กรณี​ที่​ผู้​ขอ​ยืนยัน​ตัว​ตน​ไม่​ครบ บริษัท​ยืนยัน​ตัว​ตน​ผู้​ขอ​ไม่​ได้ ตัวแทน​ไม่​ส่ง​เอกสาร​มอบ​อำนาจ หรือ​มี​ข้อ​ยกเว้น​ตาม CCPA นโยบาย​ไม่​ได้​แยก​ว่า​แต่ละ​เหตุผล​มี​กี่​รายการ

หมวด 14 ของ​นโยบาย​ชื่อ Notice of Financial Incentive / Bona Fide Loyalty Program Disclosure เขียน​ถึง Beauty Insider ตรง ๆ ว่า​เป็น​โปรแกรม​สมาชิก​ที่​ให้​ของ​รางวัล​และ​ข้อ​เสนอ​พิเศษ แลก​กับ​การ​ที่​ลูกค้า​ให้​ชื่อ​และ​ช่อง​ทาง​ติดต่อ

1. สถานะ​ตาม​กฎหมาย โปรแกรม​อาจ​ถูก​ตีความ​เป็น​สิทธิ​ประโยชน์​ทางการ​เงิน​ตาม​กฎหมาย​แคลิฟอร์เนีย หรือ​โปรแกรม​สมาชิก​โดย​สุจริต​ตาม​กฎหมาย​โคโลราโด
2. มูลค่า​ของ​ข้อมูล นโยบาย​เขียน​ว่า​มูลค่า​ของ​ข้อมูล​ส่วน​บุคคล​ต่อ​บริษัท​สัมพันธ์​กับ​มูลค่า​ของ​สินค้า​ฟรี ส่วนลด หรือ​สิทธิ​ประโยชน์​ที่​ลูกค้า​ได้ หัก​ด้วย​ต้นทุน​ที่​บริษัท​ใช้​จัด​สิทธิ​ประโยชน์​นั้น
3. การ​ออก​จาก​โปรแกรม ลูกค้า​ถอน​ตัว​ได้​ทุก​เมื่อ​ตาม​วิธี​ที่​ระบุ​ใน​กติกา​ของ​โปรแกรม

แถลงการณ์​ฉบับ​เดียวกัน​ของ​อัยการ​เล่า​ไว้​ด้วย​ว่า​มี​การก​วาด​ตรวจ​ธุรกิจ​ที่​ทำ​โปรแกรม​สะสม​แต้ม​แลก​ข้อมูล​ส่วน​บุคคล​โดย​ไม่​แจ้ง​เรื่อง​สิทธิ​ประโยชน์​ทางการ​เงิน หมวด 14 ของ Sephora เป็นการ​แจ้ง​ประเภท​เดียว​กับ​ที่​แถลงการณ์​พูด​ถึง

Beauty Insider ส่ง​ข้อมูล​ให้​ใคร​บ้าง

นโยบาย​ของ Sephora ยก​สาม​กรณี ลูกค้า​ที่​ใช้ Beauty Insider ที่​ร้าน Sephora at Kohl's จะ​มี​ข้อมูล​ระบุ​ตัว​ตน​และ​ข้อมูล​การ​ซื้อ​ส่ง​ระหว่าง Sephora กับ Kohl's ตาม​คำ​สั่ง​ของ​ลูกค้า ลูกค้า​ที่​ผูก​บัญชี​กับ​มาร์เก็ต​เพลส​จะ​มี​แต้ม​และ​ระดับ​สมาชิก​ส่ง​ไป​ยัง​แพลตฟอร์ม​นั้น และ​บริษัท​ใน​เครือ​ช่วย​บริหาร​โปรแกรม ส่วน​ตัวเลข​จำนวน​สมาชิก​ไม่​อยู่​ใน​นโยบาย

ถ้า​จะ​ใช้​กรณี​นี้​อธิบาย​เรื่อง PDPA ใน​ไทย ผู้​อ่าน​ควร​รู้​ขอบเขต​ของ​เอกสาร​ห้า​ข้อ

1. ข้อความ​ใน​คำฟ้อง​เป็น​ข้อ​กล่าว​หา​ของ​อัยการ คดี​ยุติ​ด้วย​ข้อ​ตกลง บท​นี้​ไม่​ได้​เปิด​เอกสาร​ที่ Sephora ยอมรับ​หรือ​โต้​แย้ง​ข้อ​กล่าว​หา​แต่ละ​ข้อ
2. เอกสาร​คำ​พิพากษา​ตาม​ยอม​เป็น​ภาพ​สแกน บท​นี้​อ่าน​ข้อความ​ไม่​ได้ จึง​ใช้​เงื่อนไข​ตาม​ที่​แถลงการณ์​สรุป​ไว้
3. CCPA ไม่ใช่ PDPA นิยาม​การ​ขาย​ข้อมูล​และ​สิทธิ์​ของ​ผู้​บริโภค​ใน​แคลิฟอร์เนีย​ต่าง​จาก​กฎหมาย​ไทย ต้อง​ตรวจ​กับ​ข้อ​กำหนด​ของ​ไทย​ก่อน​นำ​ไป​ใช้
4. ตัวเลข​คำขอ​เป็น​ของ​ผู้​บริโภค​ใน​แคลิฟอร์เนีย​เท่านั้น และ​บริษัท​รายงาน​เอง
5. ไม่มี​ตัวเลข​สมาชิก Beauty Insider ตัวเลข 46 ล้าน​คน​และ 80% ของ​ยอด​ขาย​ใน​ชื่อ​เดิม​ของ​บท​นี้ หา​ใน​เอกสาร​ที่​บท​นี้​เปิด​ไม่​พบ จึง​ตัด​ออก

ร้าน​ค้า​ปลีก​ไทย​ที่​ติด pixel และ SDK ของ​ผู้​ให้​บริการ​โฆษณา​ไว้​บน​เว็บไซต์​หรือ​แอป ใช้​คดี Sephora เป็น​รายการ​ตรวจ​ได้ แม้​กฎหมาย​จะ​ต่าง​กัน

1. ทำ​ราย​ชื่อ​ตัว​ติดตาม​ทุก​ตัว​บน​เว็บไซต์​และ​ใน​แอป ระบุ​ว่า​แต่ละ​ตัว​ส่ง​ข้อมูล​อะไร​ไป​ให้​ใคร และ​บริษัท​ได้​อะไร​กลับ​มา
2. ทดสอบ​แบบ​เดียว​กับ​อัยการ เปิด​เครื่อง​มือ​ดู​การ​รับ​ส่ง​ข้อมูล​ของ​เบราว์เซอร์ แล้ว​ดู​ว่า​เมื่อ​ผู้​ใช้​ปฏิเสธ ข้อมูล​ยัง​ไหล​ไป​หรือ​ไม่
3. เทียบ​ข้อความ​ใน​นโยบาย​กับ​ผล​ทดสอบ ถ้า​นโยบาย​เขียน​ว่า​ไม่​ส่ง​ต่อ แต่​ผล​ทดสอบ​พบ​การ​ส่ง​ต่อ ต้อง​แก้​อย่าง​ใด​อย่าง​หนึ่ง​ให้​ตรง​กัน
4. แจ้ง​สิ่ง​ที่​ลูกค้า​ให้​แลก​กับ​แต้ม โปรแกรม​สะสม​แต้ม​ควร​บอก​ว่า​เก็บ​ข้อมูล​อะไร​และ​ลูกค้า​ได้​อะไร แบบ​หมวด 14 ของ Sephora
5. เปิด​ตัวเลข​คำขอ​ของ​ลูกค้า​ไว้​ภายใน นับ​คำขอ​ดู ลบ และ​ปฏิเสธ​การ​ใช้​ข้อมูล​ทุก​ปี เพื่อ​รู้​ว่า​ระบบ​รองรับ​ได้​ทัน​หรือ​ไม่

สมาชิก​โปรแกรม​สะสม​แต้ม​ใน​ไทย​ก็​ขอ​สำเนา​ข้อมูล​ของ​ตัว​เอง​หรือ​สั่ง​ให้​ลบ​ได้ ขั้น​ตอน​ที่​ทีม​การ​ตลาด​ต้อง​รับ​เรื่อง​อยู่​ในPDPA กับ​การ​ตลาด ลูกค้า​ขอ​ดู ขอลบ ขอ​ระงับ​ข้อมูล​ต้อง​ทำ​อะไร การ​ตั้ง​ค่า​หน้า​ขอ​ความ​ยินยอม​ให้​เครื่อง​มือ​วัดผล​ของ Google ทำงาน​ตาม​คำ​ตอบ​ของ​ผู้​ใช้​อยู่​ในConsent Mode v2 คือ​อะไร โมเดล​เติม​ข้อมูล​ได้​เฉพาะ​เว็บ​คน​เข้า​มาก ส่วน​แต้ม​สะสม​ที่​บริษัท​ต้อง​บันทึก​เป็น​หนี้​ต่อ​ลูกค้า​อ่าน​ต่อ​ได้​ในกรณี​ศึกษา Starbucks ยอด​บัตร​และ​แต้ม​ค้าง 1,751.7 ล้าน​ดอลลาร์

อัยการ​สูงสุด​แคลิฟอร์เนีย​ประกาศ​ข้อ​ตกลง​กับ Sephora เมื่อ 24 สิงหาคม 2022 ให้​จ่าย​ค่า​ปรับ 1.2 ล้าน​ดอลลาร์ และ​ทำ​ตาม​เงื่อนไข​สี่​ข้อ หลัง​คำฟ้อง​กล่าว​หา​ว่า​บริษัท​ไม่​แจ้ง​การ​ขาย​ข้อมูล​ผ่าน​ตัว​ติดตาม​ของ​บุคคล​ที่​สาม ไม่มี​ลิงก์​ปฏิเสธ และ​ไม่​รับ​สัญญาณ GPC ภายใน​กำหนด​แก้ไข 30 วัน นโยบาย​ความ​เป็น​ส่วน​ตัว​ของ Sephora ที่​แก้​ล่าสุด 13 สิงหาคม 2026 มี​ลิงก์ Your Privacy Choices รับ​สัญญาณ GPC รายงาน​คำขอ​เลิก​ขาย​หรือ​แบ่ง​ปัน 3,873 รายการ​ใน​ปี 2025 และ​มี​หมวด​แจ้ง​สิทธิ​ประโยชน์​ทางการ​เงิน​ของ Beauty Insider เอกสาร​ชุด​นี้​ไม่มี​จำนวน​สมาชิก Beauty Insider