ศาลโรมเพิกถอนค่าปรับ 15 ล้านยูโรที่การันเตสั่งกับ OpenAI โดยอ้างเหตุด้านเขตอำนาจ

เมื่อวันที่ 18 มีนาคม 2026 ศาลโรมได้เพิกถอนคำตัดสินของหน่วยงานคุ้มครองข้อมูลส่วนบุคคลของอิตาลีที่มีต่อ OpenAI ทั้งหมด: ค่าปรับ 15 ล้านยูโร และคำสั่งที่กำหนดให้บริษัทต้องจัดแคมเปญให้ข้อมูลสาธารณะเป็นเวลาหกเดือนเกี่ยวกับวิธีที่ ChatGPT ได้รับการฝึกด้วยข้อมูลส่วนบุคคล ศาลไม่ได้วินิจฉัยว่า OpenAI ได้ปฏิบัติตาม GDPR แต่พบว่า Garante — Autorità Garante per la Protezione dei Dati Personali — ไม่ใช่หน่วยงานที่มีอำนาจตัดสินใจอีกต่อไป เหตุผลคือเขตอำนาจ ซึ่งเป็นประเด็นที่ศาลไม่ได้อธิบายในวันนั้น และเพิ่งชัดเจนเมื่อเผยแพร่เหตุผลฉบับเต็มเมื่อวันที่ 28 พฤษภาคม 2026 และขึ้นอยู่กับวันที่: คณะกรรมาธิการคุ้มครองข้อมูลของไอร์แลนด์ (Irish Data Protection Commission) ได้รับรอง OpenAI Ireland Ltd เป็นสถานประกอบการแห่งเดียวของบริษัทในเขตเศรษฐกิจยุโรปเมื่อวันที่ 15 กุมภาพันธ์ 2024 ซึ่งเป็นเวลาแปดเดือนครึ่งก่อนคำตัดสินสุดท้ายของ Garante และภายใต้กลไก one-stop-shop ของ GDPR สำนวนควรอยู่ที่ดับลินแล้วในตอนนั้น Reuters รายงานคำตัดสินเมื่อวันที่ 19 มีนาคม 2026 และระบุว่าศาลไม่ได้เปิดเผยคำอธิบายใด ๆ ในเวลานั้น; Garante ปฏิเสธที่จะให้ความเห็น เกรดความรุนแรง คะแนนความเชื่อมั่น และรายการแหล่งที่มาฉบับเต็มของบันทึกนี้อยู่ใน Orca AI Incident Archive พร้อมกับรายการกำกับดูแลอื่น ๆ ของยุโรปที่ยื่นไว้รอบ ๆ รายการนี้

สิ่งใดถูกเพิกถอน และสิ่งที่ศาลไม่ได้กล่าวไว้

คำวินิจฉัยที่เป็นประเด็นคือคำวินิจฉัยของ Garanteprovvedimento ฉบับที่ 755 ลงวันที่ 2 พฤศจิกายน 2024 ซึ่งเผยแพร่เมื่อวันที่ 20 ธันวาคม 2024 คำวินิจฉัยดังกล่าวพบว่า OpenAI ไม่ได้แจ้งต่อหน่วยงานกำกับดูแลเกี่ยวกับการละเมิดข้อมูลส่วนบุคคลที่เกิดขึ้นในเดือนมีนาคม 2023 ได้ประมวลผลข้อมูลส่วนบุคคลของผู้ใช้เพื่อฝึก ChatGPT โดยไม่ได้ระบุฐานทางกฎหมายที่เพียงพอก่อน ได้ละเมิดหน้าที่ด้านความโปร่งใสและการให้ข้อมูลตาม GDPR และไม่ได้จัดให้มีกลไกตรวจสอบอายุใด ๆ ส่งผลให้ — ตามถ้อยคำของ Garante — เด็กอายุต่ำกว่า 13 ปีมีความเสี่ยงที่จะได้รับคำตอบที่ไม่เหมาะสมกับระยะพัฒนาการของตน

จำนวน 15 ล้านยูโรนั้น ตามคำชี้แจงของ Garante เอง คำนวณโดย “คำนึงถึงทัศนคติความร่วมมือของบริษัทด้วย” ส่วนที่ผิดปกติกว่าของคำวินิจฉัยคือคำสั่งที่สอง โดยใช้มาตรา 166(7) ของประมวลกฎหมายความเป็นส่วนตัวของอิตาลีเป็นครั้งแรก หน่วยงานได้กำหนดให้จัดแคมเปญเชิงสถาบันเป็นเวลาหกเดือนทางวิทยุ โทรทัศน์ หนังสือพิมพ์ และอินเทอร์เน็ต โดยเนื้อหาต้องตกลงกับหน่วยงาน และมุ่งเป้าทั้งผู้ใช้และผู้ที่ไม่ใช้ ChatGPT พร้อมอธิบายว่าข้อมูลของพวกเขาถูกเก็บรวบรวมเพื่อการฝึกอย่างไร และจะคัดค้าน แก้ไขให้ถูกต้อง หรือลบข้อมูลนั้นได้อย่างไร

เมื่อวันที่ 18 มีนาคม 2026 ศาลได้เพิกถอนคำตัดสินดังกล่าวทั้งหมด ในวันนั้นศาลไม่ได้ให้เหตุผลใด ๆ Garante ได้รับคำพิพากษาเมื่อวันที่ 19 มีนาคม และเหตุผลโดยละเอียดทั้งหมดเพิ่งเปิดเผยต่อสาธารณะเมื่อวันที่ 28 พฤษภาคม 2026 ตามที่ Theodore Christakis และ Giulio Monga บันทึกไว้ใน European Law Blog คำตอบของ OpenAI ที่ส่งให้ Reuters ระบุว่า OpenAI ยินดีกับคำตัดสินนี้ โดยบริษัทฯ “ได้มุ่งมั่นที่จะเคารพความเป็นส่วนตัวของผู้ใช้มาโดยตลอด” และหวังว่าจะช่วยให้ชาวอิตาลี ธุรกิจ และสังคมจำนวนมากขึ้นได้รับประโยชน์จาก AI Garante ไม่มีความเห็น

สามสัปดาห์ แล้วก็แปดเดือนครึ่ง

ลำดับเวลาเป็นประเด็นชี้ขาดของคดีนี้ Garante เปิดกระบวนการลงโทษเมื่อ 26 มกราคม 2024 เมื่อ 15 กุมภาพันธ์ 2024 — ประมาณสามสัปดาห์ต่อมา — คณะกรรมการคุ้มครองข้อมูลส่วนบุคคลของไอร์แลนด์รับรองอย่างเป็นทางการว่า OpenAI Ireland Ltd เป็นสถานประกอบการแห่งเดียวของ OpenAI ใน EEA Garante ออกคำตัดสินฉบับสุดท้ายเมื่อ 2 พฤศจิกายน 2024 ซึ่งราวแปดเดือนครึ่งหลังจากนั้น

ความแตกต่างระหว่างการจดทะเบียนจัดตั้งกับการรับรองนั้นสำคัญ OpenAI Ireland Ltd จดทะเบียนจัดตั้งเมื่อวันที่ 24 มีนาคม 2023 แต่ “single establishment” เป็นแนวคิดอิสระของกฎหมายคุ้มครองข้อมูลของสหภาพยุโรป ซึ่งขึ้นอยู่กับการดำเนินกิจกรรมอย่างมีประสิทธิผลและเป็นจริงผ่านการจัดเตรียมที่มั่นคง วันที่ทั้งสองไม่จำเป็นต้องตรงกัน สิ่งที่เปลี่ยนแปลงเมื่อวันที่ 15 กุมภาพันธ์ 2024 ไม่ใช่การมีอยู่ของบริษัทไอริช แต่คือการรับรองบริษัทดังกล่าวเพื่อวัตถุประสงค์ของ one-stop-shop

มาตรา 56(1) ของ GDPR ให้หน่วยงานกำกับดูแลของสถานประกอบการหลักหรือสถานประกอบการเดียวของผู้ควบคุมมีอำนาจหน้าที่แต่เพียงผู้เดียวเหนือการประมวลผลข้ามพรมแดน โดยทำหน้าที่เป็นหน่วยงานชั้นนำ ศาลโรมได้อาศัยความเห็น 8/2019 ของคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลแห่งยุโรป และโดยเฉพาะข้อ 4.3.2 ของความเห็นดังกล่าว ว่าด้วยการจัดตั้งสถานประกอบการหลักหรือสถานประกอบการเดียว หรือการย้ายสถานประกอบการนั้นจากประเทศที่สามเข้าสู่ EEA ในขณะที่กระบวนการพิจารณาทางปกครองอยู่ระหว่างดำเนินการแล้ว ตามการตีความนั้น อำนาจหน้าที่อาจเปลี่ยนไปยังหน่วยงานชั้นนำใหม่ได้ทุกเมื่อจนกว่าจะมีคำวินิจฉัยถึงที่สุด และกระบวนพิจารณาใด ๆ ที่อยู่ระหว่างดำเนินการต้องถูกโอนไปด้วย

องค์กร Garante ได้คาดการณ์ปัญหานี้ไว้ล่วงหน้าและแบ่งสำนวนออกเป็นส่วน ๆ ข่าวประชาสัมพันธ์ขององค์กรเมื่อเดือนธันวาคม 2024 ระบุว่า เนื่องจาก OpenAI ได้จัดตั้งสำนักงานใหญ่ประจำยุโรปในไอร์แลนด์ระหว่างการสอบสวน องค์กรจึง "ส่งต่อเอกสารในกระบวนการให้แก่หน่วยงานคุ้มครองข้อมูลของไอร์แลนด์ (DPC) ซึ่งกลายเป็นหน่วยงานกำกับดูแลหลักภายใต้ GDPR เพื่อสืบสวนการละเมิดใด ๆ ที่ยังคงดำเนินอยู่ซึ่งยังไม่ได้รับการยุติก่อนการเปิดสำนักงานใหญ่ประจำยุโรป" การกำหนดลักษณะเช่นนี้เป็นของ Garante เอง โดยองค์กรเก็บสิ่งที่ตนถือว่าสิ้นสุดแล้วไว้ และส่งต่อสิ่งที่ตนถือว่ายังดำเนินอยู่ ศาลวินิจฉัยว่า Garante ไม่สามารถใช้วิธีแบ่งแยกดังกล่าวได้

คำที่คำพิพากษาขึ้นอยู่กับ

ข้อพิพาทเกือบทั้งหมดสรุปอยู่ที่วรรค 16 ของความเห็น 8/2019 ซึ่งระบุว่าคำถามที่พิจารณาในความเห็นฉบับนี้ "ส่วนใหญ่ (mainly) เกี่ยวข้องกับการละเมิดที่มีลักษณะต่อเนื่องหรือต่อเนื่องไม่ขาดตอน" Garante ตีความข้อความนี้ว่าเป็นข้อจำกัด กล่าวคือ ตรรกะเรื่องการโอนถูกออกแบบมาสำหรับการละเมิดที่ต่อเนื่อง และไม่อาจครอบคลุมการกระทำที่เสร็จสิ้นแล้วก่อนที่จะมีสถานประกอบการใด ๆ ใน EEA อยู่ ส่วน OpenAI ตีความคำว่า "mainly" ว่าเป็นเชิงพรรณนามากกว่าจะเป็นเชิงยกเว้น ศาลเห็นพ้องกับ OpenAI โดยวินิจฉัยว่า "mainly" ชี้ให้เห็นประเภทของกรณีที่คำถามนี้เกิดขึ้นบ่อยที่สุด และไม่ได้ยกเว้นการนำตรรกะเดียวกันไปใช้กับการละเมิดที่เสร็จสิ้นแล้วซึ่งกระบวนพิจารณายังคงค้างอยู่และยังไม่มีการออกคำวินิจฉัยชี้ขาดถึงที่สุด

ข้อโต้แย้งสำรองของ Garante คือหลักในประมวลกฎหมายแพ่งของอิตาลีเรื่อง tempus regit actum — ที่ว่ากฎหมายที่ใช้บังคับอยู่ในขณะนั้นเป็นตัวกำหนด ศาลได้ยกข้อโต้แย้งนี้ตกไปโดยอาศัยข้อเท็จจริง: นี่เป็นลำดับของข้อเท็จจริง มิใช่ลำดับของกฎหมาย ช่วงเวลาที่ชี้ขาดตามเหตุผลของคำพิพากษาไม่ใช่วันที่เกิดการละเมิดและไม่ใช่วันที่เริ่มการสอบสวน แต่เป็นวันที่มีการนำคำวินิจฉัยสุดท้ายมาใช้ หลังจากจุดนั้น อำนาจหน้าที่ก็ถูกกำหนดตายตัว

ไม่เคยมีการพิจารณาเนื้อหาคดี

ศาลเห็นด้วยกับเหตุอุทธรณ์ข้อแรก คือ การไม่มีอำนาจหน้าที่ และประกาศว่าเหตุอื่นทั้งหมด “ถูกกลืน” ศาลไม่ได้วินิจฉัยเกี่ยวกับฐานทางกฎหมายสำหรับการฝึก เรื่องความโปร่งใส การตรวจสอบอายุ หรือการแจ้งเหตุละเมิดที่ล่าช้า ศาลไม่ได้กล่าวถึงว่าเงิน 15 ล้านยูโรได้สัดส่วนหรือไม่ คำถามเหล่านี้ยังคงไม่ได้รับคำตอบอย่างเป็นทางการ

นั่นคือประเด็นที่ถูกละเลยได้ง่ายที่สุดในการรายงานข่าว ตามที่บริษัท Rödl & Partner สัญชาติอิตาลีระบุในบันทึกเมื่อเดือนมิถุนายน 2026 คำพิพากษา "ไม่ควรถูกตีความว่าเป็นไฟเขียวเชิงเนื้อหาสำหรับแนวปฏิบัติของ OpenAI: เป็นเพียงการโอนอำนาจหน้าที่ไปยังหน่วยงานกำกับดูแลที่เหมาะสมเท่านั้น" รายการในคลังข้อมูลไม่บันทึกความเสียหายที่เกิดขึ้นจริงสำหรับเหตุการณ์นี้ ซึ่งสอดคล้องกับคดีที่ชี้ขาดด้วยว่าใครมีอำนาจตัดสินใจ มากกว่าความเสียหายที่พิสูจน์ได้ต่อบุคคลที่ระบุตัวตนได้

ไม่ว่าไฟล์จะมีที่อยู่ในดับลินหรือไม่

ข้อโต้แย้งที่มีน้ำหนักที่สุดต่อคำวินิจฉัยนี้คือ ผู้รับโอนอาจไม่สามารถตัดสินคดีได้เช่นกัน คริสตากิสและมองกา เขียนในบล็อก European Law Blog เมื่อวันที่ 4 มิถุนายน 2026 ภายใต้หัวข้อ "Establish, Then Escape?" โดยโต้แย้งว่าการตีความของศาลก่อให้เกิดช่องว่างในการบังคับใช้มากกว่าการเปลี่ยนแปลงสถานที่พิจารณาคดี ตัวอย่างที่เป็นรูปธรรมของพวกเขาคือการแจ้งการละเมิด การละเมิดเกิดขึ้นเมื่อวันที่ 20 มีนาคม 2023 และหน้าที่ในการแจ้งต่อการันเตเกิดขึ้นภายในเจ็ดสิบสองชั่วโมงต่อมา ในขณะที่ OpenAI ไม่มีสถานประกอบการในสหภาพยุโรป และ OpenAI Ireland Ltd ยังไม่ได้จดทะเบียนจัดตั้งขึ้น การันเตจัดประเภทการละเมิดนั้นว่าเป็นความผิดที่สำเร็จแล้วและเก็บคดีไว้พิจารณาเอง ตามตรรกะของศาล คำวินิจฉัยทั้งหมดรวมถึงข้อกล่าวหาดังกล่าวจึงตกไป ผู้เขียนโต้แย้งว่าเป็นเรื่องยากที่จะเห็นว่าหน่วยงานของไอร์แลนด์ ซึ่งอำนาจหน้าที่เกิดขึ้นภายหลังและสืบเนื่องมาจากสถานประกอบการที่ไม่มีอยู่ในขณะที่หน้าที่นั้นเกิดขึ้น จะสามารถพิจารณาการแจ้งที่ค้างชำระต่อการันเตเกี่ยวกับเจ้าของข้อมูลชาวอิตาลีได้อย่างไร

พวกเขาระมัดระวังเกี่ยวกับข้อจำกัดของข้อโต้แย้งนั้น และผู้อ่านก็ควรระมัดระวังเช่นกัน พวกเขาบันทึกจุดยืนที่ตรงกันข้าม — ว่า GDPR เป็นเครื่องมือเดียวที่ครอบคลุมทั่วทั้งสหภาพ ดังนั้นหน่วยงานใดก็ตามที่กลายเป็นหน่วยงานชั้นนำอาจบังคับใช้ได้ทุกเมื่อที่ข้อเท็จจริงเกิดขึ้น — และกล่าวว่าประเด็นนี้เป็นเรื่องที่โต้แย้งได้ พวกเขาระบุว่าตนไม่ทราบว่ามีคำพิพากษาของศาลแห่งชาติใดก่อนหน้านี้ที่ใช้ข้อ 4.3.2 ของ Opinion 8/2019 ว่าเป็นคำพิพากษาศาลชั้นต้นโดยผู้พิพากษาคนเดียว และว่าขอบเขตของมาตรา 56 ต่อการกระทำก่อนการจัดตั้งนั้น สำหรับพวกเขาแล้วดูเหมือนจะยังไม่แน่นอนมากกว่าจะชัดเจน ข้อเสนอแนะของพวกเขาคือการส่งคำถามเบื้องต้นไปยังศาลยุติธรรมภายใต้มาตรา 267 TFEU

ช่องว่างในการบังคับใช้กฎหมายไม่ได้เป็นเพียงการคาดการณ์เชิงหลักกฎหมายเท่านั้น Theodore Christakis ซึ่งเขียนบน Cross-Border Data Forum ในวันถัดจากคำพิพากษา ระบุไว้ว่า ไม่มีหน่วยงานคุ้มครองข้อมูลแห่งอื่นในยุโรปที่เผยแพร่คำวินิจฉัยการบังคับใช้ขั้นสุดท้ายเกี่ยวกับการละเมิด GDPR จากช่วงที่ ChatGPT เปิดตัวระหว่างเดือนพฤศจิกายน 2022 ถึงมีนาคม 2023 และรายงานของคณะทำงาน ChatGPT ของ EDPB เมื่อเดือนพฤษภาคม 2024 มีเพียงความเห็นเบื้องต้นเท่านั้น ด้วยเหตุนี้ คำวินิจฉัยการบังคับใช้ GDPR ขั้นสุดท้ายเพียงฉบับเดียวที่ยุโรปผลิตออกมาในช่วงการเปิดตัวของ generative AI จึงถูกเพิกถอนไปแล้ว

มีอะไรเปลี่ยนแปลงไปบ้างหลังวันที่ 18 มีนาคม

ค่าปรับได้ถูกระงับไว้แล้ว เมื่อวันที่ 21 มีนาคม 2025 ศาลเดียวกันได้ระงับผลของมาตรการลงโทษไว้ชั่วคราวรอคำพิพากษา โดยมีเงื่อนไขให้มีหลักประกัน — ซึ่งก็คือ cauzione หรือเงินประกัน ในรายงานคำสั่งของ Altalex การระงับดังกล่าวไม่ได้แตะต้องเนื้อหาสาระแห่งคดี และการเพิกถอนในอีกหนึ่งปีต่อมาก็ไม่ได้แตะต้องเช่นกัน

Garante ไม่ได้ลบกรณีนั้นออกจากบันทึกของหน่วยงานมากนัก หากแต่พักกรณีนั้นไว้ต่างหากมากกว่า ขณะนี้หน้าข่าวประชาสัมพันธ์สำหรับคำวินิจฉัยที่ 755 ของหน่วยงานมีประกาศแจ้งว่าคำวินิจฉัยดังกล่าว “ถูกนำออกจากเว็บไซต์ของ Garante ชั่วคราว” หลังจากคำพิพากษา n. 4153/2026 คำว่า “ชั่วคราว” เป็นถ้อยคำของหน่วยงานเอง

ในประเด็นการอุทธรณ์ แหล่งข้อมูลมีความสอดคล้องกันแต่ไม่ครบถ้วน Christakis และ Monga ตั้งข้อสังเกตว่า Garante อาจยังยื่นอุทธรณ์ต่อ Corte di Cassazione ได้ Cross-Border Data Forum บันทึกไว้เมื่อวันที่ 19 มีนาคม 2026 ว่า เนื่องจากยังไม่มีการเผยแพร่เหตุผลของคำตัดสิน ในขณะนั้นหน่วยงานยังไม่สามารถระบุได้ว่าจะยื่นอุทธรณ์หรือไม่ ในแหล่งข้อมูลที่ตรวจสอบสำหรับบทความนี้ เราไม่พบรายงานการยื่นอุทธรณ์ใด ๆ นับตั้งแต่นั้น และไม่พบคำตัดสินสุดท้ายของ Irish Data Protection Commission เกี่ยวกับไฟล์ที่โอนมา การไม่พบทั้งสองอย่างมิใช่หลักฐานว่าไม่มีอะไรเกิดขึ้น ทั้งสองอย่างหมายความว่าผลลัพธ์ยังไม่ยุติ

ยืนยันแล้ว มีการโต้แย้ง และยังเปิดกว้าง

• รับฟังเป็นที่ยุติว่า:คำพิพากษาที่ 4153/2026 ลงวันที่ 18 มีนาคม 2026 ได้เพิกถอนคำวินิจฉัยที่ 755 ลงวันที่ 2 พฤศจิกายน 2024 ทั้งฉบับ โดยยกเลิกค่าปรับ 15 ล้านยูโรและคำสั่งให้รณรงค์ผ่านสื่อเป็นเวลาหกเดือน; ได้มีการอ่านส่วนคำสั่งในวันนั้นโดยไม่มีเหตุผลประกอบ; และเหตุผลที่เผยแพร่ตั้งอยู่บนหลักการ one-stop-shop การที่ DPC ให้การรับรอง OpenAI Ireland Ltd เมื่อวันที่ 15 กุมภาพันธ์ 2024 และความเห็นที่ 8/2019 ของ EDPB

• ประเด็นโต้แย้ง:ว่าแฟ้มเรื่องที่อยู่ระหว่างดำเนินการอาจโอนไปยังหน่วยงานซึ่งมีอำนาจที่เกิดขึ้นหลังช่วงเวลาของการกระทำที่เป็นประเด็นได้หรือไม่ ศาลกล่าวว่าได้; Christakis และ Monga กล่าวว่าการตีความเช่นนั้นทำให้การกระทำก่อนการจัดตั้งไม่สามารถบังคับใช้ได้ และต้องการให้ศาลยุติธรรมตัดสิน; Rödl & Partner และ ICT Legal Consulting กลับอธิบายคำพิพากษาว่าเป็นการชี้แจงว่าหน่วยบริการแบบจุดเดียว (one-stop-shop) ใช้กับการเปลี่ยนแปลงสถานประกอบการระหว่างกระบวนการอย่างไร

• ประเด็นที่ยังเปิดอยู่:ว่า Garante จะนำคดีขึ้นสู่ Corte di Cassazione หรือไม่ ศาลใดจะส่งเรื่องไปยังลักเซมเบิร์กหรือไม่ และหน่วยงานของไอร์แลนด์จะมีการตัดสินเกี่ยวกับส่วนของแฟ้มเอกสารที่ได้รับหรือไม่

เงิน 15 ล้านยูโรนั้นหายไปแล้ว คำถามที่คดีนี้หยิบยกขึ้นมา — ว่าใครในยุโรปมีอำนาจบังคับให้ผู้ให้บริการเอไอเจนเนอเรทีฟปฏิบัติตาม GDPR ได้สำหรับช่วงเวลาก่อนที่它将มีสถานประกอบการในยุโรป — ก็เพียงแค่ถูกย้ายไปยังโต๊ะอีกโต๊ะหนึ่ง