ค่าปรับ TikTok €530M: อธิปไตยข้อมูล GDPR

คำพิพากษา TikTok ที่เปลี่ยนอธิปไตยข้อมูล

อัปเดตสำหรับปี 2026

ในเดือนพฤษภาคม 2025 คณะกรรมการคุ้มครองข้อมูลของไอร์แลนด์ปรับ TikTok €530 ล้าน เหตุผลนั้นชัดเจน TikTok ส่งข้อมูลผู้ใช้ EU ไปยังจีนโดยไม่มีมาตรการป้องกันที่เหมาะสม

นี่คือค่าปรับ GDPR รายเดียวที่ใหญ่เป็นอันดับสอง มีเพียง ค่าปรับ Meta €1.2 พันล้าน ในปี 2023 เท่านั้นที่ใหญ่กว่า DPC ของไอร์แลนด์ออกค่าปรับนั้นด้วย สำหรับการส่งบันทึก EU ไปยังเซิร์ฟเวอร์ US ของ Facebook

ทั้งสองคดีมีรูปแบบที่ชัดเจน การถ่ายโอนข้ามพรมแดนโดยไม่มีมาตรการป้องกันที่เหมาะสมดึงดูดค่าปรับที่ใหญ่ที่สุด ผู้กำกับดูแลจะกดดันต่อไปจนกว่าบริษัทจะเปลี่ยนแปลง

ค่าปรับ GDPR รวมถึง €5.65 พันล้าน ตลอดปี 2025 การบังคับใช้ไม่ใช่ความเสี่ยงเบื้องหลังอีกต่อไป มันเป็นต้นทุนที่แท้จริงของการทำธุรกิจ ดู คู่มือการปฏิบัติตาม GDPR ของเรา สำหรับภาพรวมในทางปฏิบัติ

สิ่งที่คดี TikTok ตัดสิน

คดีนี้ไม่ใช่เรื่องของการละเมิด มันเกี่ยวกับที่ไปของไฟล์ผู้ใช้และพื้นฐานทางกฎหมายสำหรับการเคลื่อนย้ายข้ามพรมแดน

TikTok เก็บไฟล์ผู้ใช้ EU บนเซิร์ฟเวอร์ พนักงานในจีนสามารถเข้าถึงเซิร์ฟเวอร์เหล่านั้นได้ มาตรา 44-46 ของ GDPR จำกัดการถ่ายโอนไปยังประเทศที่ไม่มีการตัดสินความเพียงพอ EU จีนไม่มีการตัดสินดังกล่าว TikTok บอกว่ามีมาตรการทางเทคนิคที่เพียงพอ ผู้กำกับดูแลบอกว่าไม่

บทเรียนนั้นง่าย การโฮสต์ใน EU ไม่เพียงพอ หากพนักงานนอก EU สามารถเข้าถึงไฟล์ได้ มันก็ไม่เพียงพอหากบริษัทต้องปฏิบัติตามกฎหมายจากประเทศที่ไม่เพียงพอ

สิ่งนี้สำคัญเมื่อคุณเลือกผู้ขาย SaaS ผู้ขายอาจบอกว่า "เราโฮสต์ใน EU" แต่ถ้าบริษัทแม่ของพวกเขาตั้งอยู่ที่อื่น ความเสี่ยงเดียวกันก็ใช้ ถ้าพนักงานสนับสนุนของพวกเขาเข้าถึงไฟล์ผู้ใช้จากนอก EU ความเสี่ยงเดียวกันก็ใช้ ลูกค้าของพวกเขาก็แบ่งปันความเสี่ยงนั้นด้วย ตรวจสอบ รายการตรวจสอบการจัดการความสอดคล้องของเรา ก่อนลงนาม DPA

ค่าปรับ GDPR: €5.65 พันล้านและยังคงเพิ่มขึ้น

ผู้กำกับดูแลเปลี่ยนจากการกำหนดกฎไปสู่การบังคับใช้ การละเมิดการถ่ายโอนตอนนี้ดึงค่าปรับที่ใหญ่ที่สุด เรียนรู้วิธีที่เราจัดการ ความปลอดภัยและมาตรการป้องกัน

เยอรมนี สวิตเซอร์แลนด์ และกฎระเบียบภาคส่วน

มาตรา 44-46 ของ GDPR ใช้กับทุกภาคส่วน แต่บางอุตสาหกรรมมีกฎเพิ่มเติมนอกเหนือจาก GDPR

การดูแลสุขภาพเยอรมัน: หนังสือรหัสสังคม V (SGB V) จำกัดเอกสารสุขภาพให้อยู่ในระบบที่เยอรมันควบคุม บริษัทประกันเยอรมันอาจใช้เครื่องมือลบข้อมูลระบุตัวตนบนคลาวด์ในดับลิน ซึ่งเป็น EU แต่อาจยังละเมิด SGB V หากเจ้าของเครื่องมือเป็นบริษัทที่ไม่ใช่เยอรมัน

การธนาคารสวิส: มาตรา 47 ของพระราชบัญญัติธนาคารห้ามการแบ่งปันเอกสารลูกค้ากับฝ่ายภายนอก รวมถึงผู้ให้บริการคลาวด์โดยไม่ได้รับความยินยอมอย่างชัดแจ้งจากลูกค้า ไฟล์ลูกค้าของธนาคารสวิส แม้แต่ในเครื่องมือที่โฮสต์ใน EU อาจกระตุ้นกฎหมายนี้

ภาครัฐบาลเยอรมัน: แนวทาง BfDI จำกัดเอกสารรัฐบาลให้อยู่ในระบบที่รัฐบาลดำเนินการ เครื่องมือลบข้อมูลระบุตัวตนบนเซิร์ฟเวอร์ EU ของผู้ให้บริการคลาวด์เชิงพาณิชย์ไม่ตรงตามมาตรฐานนี้

บทเรียน: การสอดคล้อง GDPR คือพื้น ไม่ใช่เพดาน หลายภาคส่วนมีกฎที่เข้มงวดกว่า ภาพรวมการประมวลผลเอนทิตีของเรา แมปกฎที่ใช้ตามภาคส่วน

ใครมีการตัดสินความเพียงพอ?

GDPR อนุญาตให้ประเทศแลกเปลี่ยนข้อมูลผู้ใช้ได้อย่างอิสระหากคณะกรรมาธิการยุโรปบอกว่าพวกเขามีการคุ้มครองเท่าเทียมกัน ประเทศเหล่านี้มีคุณสมบัติ:

อันดอร์รา อาร์เจนตินา แคนาดา (กลุ่มเชิงพาณิชย์) หมู่เกาะแฟโร เกิร์นซีย์ อิสราเอล เกาะแมน ญี่ปุ่น เจอร์ซีย์ นิวซีแลนด์ เกาหลีใต้ สวิตเซอร์แลนด์ สหราชอาณาจักร อุรุกวัย และสหรัฐอเมริกา (Data Privacy Framework)

ประเทศเหล่านี้ไม่มีคุณสมบัติ: จีน อินเดีย รัสเซีย บราซิล ส่วนใหญ่ของเอเชียแปซิฟิก ส่วนใหญ่ของตะวันออกกลาง ส่วนใหญ่ของแอฟริกา

กรอบความเป็นส่วนตัวข้อมูล EU-US กลับมาใช้งาน แต่ยังถูกท้าทายในศาลอยู่ การโต้แย้งทางกฎหมายเดียวกันทำลาย Safe Harbor (Schrems I) และ Privacy Shield (Schrems II) บริษัทที่ใช้กรอบนี้ควรวางแผนสำหรับการยกเลิกครั้งต่อไป

สี่ระดับการคุ้มครองสำหรับการเลือกเครื่องมือ

คดี TikTok และ Meta สร้างการจัดอันดับที่ชัดเจนสำหรับการประเมินเครื่องมือ SaaS

ระดับ 1 — การโฮสต์ใน EU: ข้อมูลผู้ใช้ได้รับการประมวลผลและจัดเก็บบนเซิร์ฟเวอร์ EU นี่ตรงตามพื้นฐาน GDPR สำหรับกรณีการใช้งานส่วนใหญ่

ระดับ 2 — ผู้ดำเนินการที่มีฐานใน EU: บริษัทแม่ของผู้ขายมีฐานใน EU ไม่ขึ้นอยู่กับกฎหมายของประเทศที่ไม่เพียงพอ สิ่งนี้แก้ปัญหา TikTok การโฮสต์ EU คู่กับการเปิดรับกฎหมายจีนสำหรับบริษัทแม่ไม่ปลอดภัย

ระดับ 3 — การออกแบบแบบ Zero-knowledge: แม้ผู้ขายจะถูกแฮ็กหรือได้รับคำสั่งศาล พวกเขาไม่สามารถอ่านไฟล์ของคุณได้ คุณถือกุญแจการเข้ารหัส พวกเขาถือเพียง ciphertext anonym.legal เสนอการลงชื่อเข้าใช้แบบ zero-knowledge ไม่ใช่การประมวลผลแบบ zero-knowledge ดู ภาพรวมความปลอดภัย ของเรา

ระดับ 4 — การประมวลผลในเครื่อง: เอกสารของคุณไม่เคยออกจากระบบของคุณเอง การประมวลผลทำงานบนฮาร์ดแวร์ในเครื่องหรือเครื่องที่รัฐบาลควบคุม นี่คือทางเดียวที่จะตรงตาม SGB V ของเยอรมัน ความลับทางการธนาคารสวิส และกฎ BfDI อย่างสมบูรณ์ สำหรับการประมวลผลที่ไม่ออกจากอุปกรณ์ของคุณเลย ดู anonym.plus ผลิตภัณฑ์พี่น้องของเรา; Desktop App ของ anonym.legal อ่านไฟล์บนอุปกรณ์ของคุณ และการตรวจจับทำงานบน API ที่โฮสต์ใน EU

DPIA หลัง TikTok

มาตรา 35 ของ GDPR กำหนดให้มีการประเมินผลกระทบด้านการคุ้มครองข้อมูลสำหรับการประมวลผลที่มีความเสี่ยงสูง เรียกว่า DPIA เมื่อไฟล์ผู้ใช้ไปถึงผู้ประมวลผลในประเทศที่สาม คุณยังต้องการการประเมินผลกระทบการถ่ายโอน

หลัง TikTok DPIA สำหรับเครื่องมือลบข้อมูลระบุตัวตนบนคลาวด์ต้องตอบสี่คำถาม

เขตอำนาจศาลของบริษัทแม่: บริษัทแม่ของผู้ขายขึ้นอยู่กับกฎหมาย เช่น CLOUD Act กฎหมายความปลอดภัยไซเบอร์จีน ที่อาจบังคับให้พวกเขาส่งมอบไฟล์ผู้ใช้ EU หรือไม่?

การเข้าถึงของพนักงาน: พนักงานในประเทศที่ไม่เพียงพอเข้าถึงไฟล์ผู้ใช้ EU ในการดำเนินงานปกติหรือไม่?

พื้นฐานทางกฎหมาย: กลไก GDPR มาตรา 46 ใดครอบคลุมการถ่ายโอนใดๆ เช่น SCCs, BCRs หรือการละเว้น?

ผลกระทบจากการละเมิด: หากผู้ขายถูกแฮ็กหรือถูกบังคับให้ส่งมอบเอกสาร สิ่งใดจะถูกเปิดเผย?

TikTok แสดงให้เห็นว่าสัญญาเพียงอย่างเดียวไม่เพียงพอ คุณต้องประเมินพวกเขาเพื่อความเพียงพอ บันทึกคำตอบของคุณ เรียกดู FAQ ของเรา สำหรับคำถาม DPIA ทั่วไป

คำถามการจัดซื้อปี 2026

DPO ตอนนี้ถามคำถามที่เฉพาะเจาะจงมากเมื่อตรวจสอบผู้ขาย SaaS สำหรับเครื่องมือประมวลผลข้อมูลส่วนบุคคล

• เซิร์ฟเวอร์ตั้งอยู่ที่ไหน? (EU?)
• บริษัทแม่มีฐานอยู่ที่ไหน? (EU? US? อื่นๆ?)
• พนักงานที่ไม่ใช่ EU เข้าถึงไฟล์ลูกค้า EU หรือไม่?
• กฎหมายใดที่ควบคุมคำสั่งศาลสำหรับเอกสารส่วนบุคคล?
• ผู้ขายถือกุญแจการเข้ารหัส หรือคุณถือ?
• มีตัวเลือกการประมวลผลในเครื่องหรือไม่?

คำตอบสำหรับคำถามเหล่านี้ ไม่ใช่การลงนาม DPA เพียงอย่างเดียว กำหนดการสอดคล้องอธิปไตยที่แท้จริง เรียนรู้วิธีที่ anonym.legal ถูกสร้างให้ตอบคำถามทั้งหมดที่ คำแถลงของผู้ก่อตั้ง คุณยังสามารถเรียกดู อภิธานศัพท์คำสำคัญของเรา สำหรับคำจำกัดความย่อของ SCCs, BCRs และการตัดสินความเพียงพอ

สภาพแวดล้อมหลัง TikTok นั้นชัดเจน ผู้กำกับดูแลดูการถ่ายโอนข้ามพรมแดนอย่างใกล้ชิด ค่าปรับมีขนาดใหญ่ และกำลังเพิ่มขึ้น การเลือกผู้ขายของคุณตอนนี้เป็นการตัดสินใจด้านกฎหมาย ไม่ใช่แค่การตัดสินใจทางเทคนิค

anonym.legal ประมวลผลข้อความในศูนย์ข้อมูล Hetzner ที่ตั้งอยู่ใน EU (Falkenstein) โดย zero-knowledge ใช้กับการเข้าสู่ระบบ ดังนั้นรหัสผ่านของคุณจะไม่ออกจากอุปกรณ์ของคุณเลย ต้องการการประมวลผลในเครื่องเท่านั้น? anonym.plus ผลิตภัณฑ์พี่น้องของเราทำงานบนอุปกรณ์ของคุณทั้งหมด และ Desktop App ของ anonym.legal อ่านไฟล์บนอุปกรณ์ของคุณ ส่วนการตรวจจับทำงานบน API ที่โฮสต์ใน EU

แหล่งข้อมูล

• Irish DPC: TikTok €530M Fine Decision — VERIFIED-EXTERNAL
• Wire: Digital Sovereignty 2025 — VERIFIED-EXTERNAL
• GDPR.eu Enforcement Tracker — VERIFIED-EXTERNAL