ขายข้อมูลส่วนบุคคล: หาว่าใครขายหรือทำอีเมลของคุณรั่วไหล

คุณจะหาได้อย่างมั่นใจว่าใครขายข้อมูลส่วนบุคคลอย่างที่อยู่อีเมลของคุณ หรือทำให้ที่อยู่นั้นรั่วไหล ก็ต่อเมื่อคุณให้บริษัทนั้นใช้ที่อยู่ที่ไม่มีใครอื่นได้ไปเท่านั้น ถ้าเป็นที่อยู่หลักที่คุณใช้มาหลายปี โดยปกติคุณจะจำกัดวงผู้ต้องสงสัยให้แคบลงได้ แต่ชี้ตัวคนผิดไม่ได้ เพราะที่อยู่นั้นอยู่ในฐานข้อมูลลูกค้าหลายสิบแห่ง และอีเมลสแปมแทบไม่เคยชี้ย้อนกลับไปว่าแห่งไหนปล่อยที่อยู่ออกไป สิ่งที่คุณหาได้คือใครส่งอีเมลมาหาคุณและส่งผ่านบริการไหน มีบริษัทใดทำที่อยู่ของคุณหลุดไปในเหตุข้อมูลรั่วไหลที่เป็นที่รู้กันหรือไม่ และใน EU กับสหราชอาณาจักร บริษัทบอกว่าได้ที่อยู่ของคุณมาจากที่ไหน CatchNone สำหรับ iPhone, iPad และ Mac ทำให้การใช้ที่อยู่แยกต่อบริษัทแบบนี้เป็นค่าเริ่มต้น ทุกข้อความมีป้ายบอกนามแฝงที่ส่งถึง การรั่วไหลครั้งต่อไปจึงชี้ไปที่ต้นตอเอง

ขั้นตอนตามลำดับ

1. หาข้อความที่ไม่ต้องการฉบับแรก และที่อยู่ที่ข้อความนั้นส่งถึงแบบเจาะจง
2. อ่านส่วนหัวของข้อความเพื่อระบุผู้ส่งและบริการส่งอีเมลที่ผู้ส่งใช้
3. เช็กใน Have I Been Pwned ว่ามีเหตุข้อมูลรั่วไหลที่มีที่อยู่นี้หรือไม่
4. ถามผู้ส่งว่าได้ที่อยู่ของคุณมาจากไหน และถามบริษัทที่คุณสงสัยว่าเคยให้ที่อยู่ของคุณแก่บริษัทใดบ้าง
5. นับจากนี้ ให้ที่อยู่แยกของตัวเองแก่ทุกบริษัท

หาได้ไหมว่าใครขายที่อยู่อีเมลของคุณ

บางครั้งก็ได้ ขึ้นอยู่กับหลักฐานที่มี

• ส่วนหัวอีเมล บอกว่าใครส่งข้อความและส่งผ่านบริการไหน (ลายเซ็น DKIM ที่ผ่านการตรวจสอบพิสูจน์ได้ว่าโดเมนไหนเป็นผู้ลงนาม) แต่ไม่ได้บอกว่ารายชื่อมาจากไหน
• บันทึกเหตุข้อมูลรั่วไหล พิสูจน์ได้ว่าบริษัทหนึ่งทำที่อยู่ของคุณหลุดออกไป แต่ไม่ได้ตัดความเป็นไปได้ว่าบริษัทอื่นก็ทำด้วย
• คำขอตามกฎหมาย ทำให้บริษัทต้องบอกสิ่งที่รู้เกี่ยวกับแหล่งที่มาได้ ถ้าบริษัทรู้ (ในแคลิฟอร์เนีย บอกเพียงเป็นหมวดหมู่)
• ที่อยู่แบบสุ่มที่คุณให้บริษัทเดียวเท่านั้น ชี้ไปที่ต้นตอได้ตรง ๆ ถ้ามีอีเมลจากคนอื่นส่งมาที่อยู่นั้น แปลว่าที่อยู่หลุดออกไปจากบริษัทนั้น ไม่ว่าจะถูกขาย ถูกแบ่งปัน หรือถูกขโมย

สแปมที่ทะลักเข้ามาอย่างกะทันหันอาจมีสาเหตุอื่น ดูทำไมสแปมถึงพุ่งขึ้นอย่างกะทันหัน ส่วนเรื่องที่อยู่อีเมลแพร่กระจายไปได้อย่างไรตั้งแต่แรก ทั้งจากการขาย เหตุข้อมูลรั่วไหล การเก็บรวบรวม (harvesting) และการเดา ดูสแปมเมอร์ได้ที่อยู่อีเมลไปจากไหน

ขั้นตอนที่ 1: หาข้อความแรกและที่อยู่ที่ข้อความนั้นส่งถึง

ค้นหาผู้ส่งที่คุณไม่รู้จัก แล้วหาผลลัพธ์ที่เก่าที่สุด เพราะข้อความแรกอยู่ใกล้ช่วงเวลาที่ที่อยู่ของคุณเปลี่ยนมือมากที่สุด ดูให้แน่ชัดว่าข้อความส่งถึงที่อยู่ไหน และทักทายคุณว่าอย่างไร ที่อยู่เก่าหรือที่อยู่พิมพ์ผิดที่คุณเคยใช้ครั้งเดียว ที่อยู่ในรูปแบบ +tag ชื่อของคุณที่สะกดผิดจากแบบฟอร์มสมัครแห่งเดียว หรือรายละเอียดที่มีบริษัทเดียวรู้ ล้วนชี้ไปยังต้นตอได้

ใน EU และสหราชอาณาจักร ให้อ่านส่วนท้ายและลิงก์นโยบายความเป็นส่วนตัวของข้อความแรกนั้นด้วย ภายใต้ GDPR (มาตรา 14) บริษัทที่ได้ข้อมูลของคุณมาจากผู้อื่นต้องแจ้งคุณว่า “ข้อมูลส่วนบุคคลนั้นมาจากแหล่งใด” ถ้าบริษัทใช้ข้อมูลนั้นติดต่อคุณ กำหนดเวลาคือ “อย่างช้าที่สุด ณ เวลาที่ติดต่อสื่อสารครั้งแรก” ถ้าข้อความแรกไม่ได้บอกไว้ ให้ระบุเรื่องนี้ในคำขอของคุณในขั้นตอนที่ 4

ขั้นตอนที่ 2: อ่านส่วนหัวอีเมล

ส่วนหัวอีเมล (email header) คือบรรทัดที่ซ่อนอยู่เหนือข้อความ ซึ่งระบุผู้ส่งและบริการที่นำส่งอีเมล ทำให้คุณรู้ว่าต้องเขียนถึงใครในขั้นตอนที่ 4

วิธีดูส่วนหัวอีเมล

เส้นทางตามหน้าความช่วยเหลือของผู้ให้บริการแต่ละราย ณ เดือนกันยายน 2569

ทางลัดของ Gmail บนเว็บ ให้คลิก Down arrow (ลูกศรลง) ใต้ชื่อผู้ส่งเพื่อดู Mailed by (ส่งทางอีเมลโดย) และ Signed by (ลงนามโดย) ซึ่งเป็นโดเมนที่ส่งและลงนามข้อความ

ตัวอย่างการอ่านจริง

ต่อไปนี้เป็นชุดส่วนหัวตัวอย่างที่ตัดให้สั้นลงเพื่อประกอบคำอธิบาย ที่อยู่ของคุณคือ k7qm-2xrd@example.com ซึ่งเป็นที่อยู่แบบสุ่มที่คุณให้ร้านอุปกรณ์ทำสวนเพียงแห่งเดียว แบรนด์คือ dealsdaily.example.net และ mailer.example.org คือบริการส่งอีเมลที่แบรนด์นั้นใช้

Delivered-To: k7qm-2xrd@example.com
Received: from out-7.mailer.example.org (out-7.mailer.example.org [192.0.2.25])
        by mx.example.com; Thu, 24 Sep 2026 09:14:02 +0000
Return-Path: <bounce-7f3a@mailer.example.org>
Authentication-Results: mx.example.com; dkim=pass header.d=mailer.example.org
DKIM-Signature: v=1; a=rsa-sha256; d=mailer.example.org; s=s1; ...
From: Deals Daily <news@dealsdaily.example.net>
To: k7qm-2xrd@example.com
List-Id: Weekly offers <weekly.dealsdaily.example.net>
List-Unsubscribe: <https://unsub.mailer.example.org/u/abc123>

ในตัวอย่างนี้ ผู้ส่งคือ Deals Daily ซึ่งส่งผ่าน mailer.example.org และที่อยู่ที่ได้รับคือที่อยู่แบบสุ่มที่คุณให้ร้านอุปกรณ์ทำสวนเท่านั้น ที่อยู่จึงหลุดออกมาจากร้านนั้น ส่วนหัวบอกไม่ได้ว่า Deals Daily ได้ที่อยู่นี้มาอย่างไร เพราะส่วนหัวระบุผู้ส่ง ไม่เคยระบุผู้ขาย ICANN Lookup แสดงข้อมูลการจดทะเบียนของโดเมนที่ไม่คุ้นเคยได้ แต่รายละเอียดเจ้าของส่วนใหญ่ถูกปิดบังไว้

ขั้นตอนที่ 3: เช็กว่ามีบริษัททำที่อยู่หลุดในเหตุข้อมูลรั่วไหลหรือไม่

Have I Been Pwned (HIBP) แสดงว่าที่อยู่หนึ่งอยู่ในเหตุข้อมูลรั่วไหลและรายชื่อสแปมใดบ้าง ณ วันที่ 25 กันยายน 2569 HIBP มีรายการเว็บไซต์ที่ข้อมูลรั่วไหล 1,038 แห่ง และบัญชีที่รั่วไหลมากกว่า 17,800 ล้านบัญชี (ที่อยู่ที่อยู่ในหลายเหตุการณ์จะถูกนับหนึ่งครั้งต่อหนึ่งเหตุการณ์)

• เหตุข้อมูลรั่วไหล (breach) ระบุบริการที่ทำข้อมูลหลุดและช่วงเวลาที่เกิด ถือเป็นเบาะแสที่ดีถ้าสแปมเริ่มเข้ามาไม่นานหลังจากนั้น
• รายชื่อสแปม (spam list) หมายความว่าพบที่อยู่ของคุณในข้อมูลที่ใช้ส่งสแปมแบบเจาะจงเป้าหมาย รายชื่อเหล่านี้ “มักรวบรวมมาจากหลายแหล่ง” จึงแทบไม่ระบุบริษัทต้นทาง ส่วนรายการที่มาจาก paste (ข้อมูลที่ถูกโพสต์ทิ้งไว้บนเว็บ) และเหตุข้อมูลรั่วไหลที่ HIBP ติดป้ายว่าถูกกุขึ้น (fabricated) หรือยังไม่ได้ยืนยัน (unverified) ยิ่งมีน้ำหนักน้อยกว่านั้นอีก
• เหตุข้อมูลรั่วไหลที่อ่อนไหว (sensitive breach) จะแสดงหลังจากคุณลงชื่อเข้าใช้และยืนยันว่าคุณรับอีเมลที่ที่อยู่นั้นได้เท่านั้น

ผลที่ไม่พบอะไรหมายความเพียงว่าที่อยู่นั้นไม่อยู่ในเหตุข้อมูลรั่วไหลที่ HIBP นำเข้าไว้ ไม่ได้แปลว่าไม่มีใครขายที่อยู่นั้น ให้เปิดการแจ้งเตือน Notify Me (แจ้งเตือนฉัน) ซึ่งใช้ได้ฟรี ถ้าคุณใช้ที่อยู่แยกตามบริษัทบนโดเมนของคุณเอง Domain Search (ค้นหาโดเมน) จะแสดงว่าที่อยู่ไหนปรากฏในเหตุข้อมูลรั่วไหลใด หลังจากคุณยืนยันโดเมนแล้ว (โดเมนขนาดใหญ่โดยปกติต้องสมัครใช้บริการแบบสมาชิก) รายงานเว็บมืด (dark web report) ของ Google ซึ่งคู่มือรุ่นเก่าแนะนำไว้ ยุติการให้บริการไปแล้วเมื่อต้นปี 2569

ขั้นตอนที่ 4: ถามบริษัทโดยตรง

EU และสหราชอาณาจักร: ถามว่าได้ที่อยู่มาจากไหน และส่งต่อไปให้ใคร

สิทธิในการเข้าถึงข้อมูล (right of access) ทำให้คุณถามคำถามสองข้อกับบริษัทสองแห่งได้

• ถามผู้ส่งว่าได้ที่อยู่ของคุณมาจากไหน GDPR มาตรา 15(1)(g) ให้สิทธิคุณได้รับ “ข้อมูลใด ๆ ที่มีอยู่เกี่ยวกับแหล่งที่มาของข้อมูลนั้น” และแนวปฏิบัติเรื่องความโปร่งใสที่คณะกรรมการคุ้มครองข้อมูลยุโรป (EDPB) รับรองระบุว่า บริษัทที่ได้ข้อมูลของคุณมาจากที่อื่นควรระบุแหล่งที่มาอย่างเจาะจง เว้นแต่จะทำไม่ได้
• ถามบริษัทที่คุณสงสัยว่าเคยให้ที่อยู่ของคุณแก่บริษัทใดบ้าง ภายใต้มาตรา 15(1)(c) ศาลยุติธรรมแห่งสหภาพยุโรปวินิจฉัยในคดี Österreichische Post (C-154/21) ว่าบริษัทต้องระบุชื่อผู้รับข้อมูลที่แท้จริงเมื่อได้รับคำขอ เว้นแต่จะยังระบุตัวผู้รับไม่ได้ หรือคำขอนั้นไม่มีมูลอย่างชัดแจ้งหรือมากเกินสมควร หน่วยงานกำกับดูแลการคุ้มครองข้อมูลของสหราชอาณาจักร หรือ ICO ก็ระบุแบบเดียวกันภายใต้ UK GDPR

คำขอทั้งสองแบบไม่ได้บังคับให้ใครต้องระบุชื่อผู้ขาย บริษัทอาจตอบว่าไม่ทราบ หรือตอบว่าข้อมูลมาจากหลายแหล่ง (Recital 61 หรือบทนำข้อ 61) แต่คำตอบที่หลบเลี่ยงถือเป็นเหตุให้ร้องเรียนได้ ใช้ช่องทางติดต่อในประกาศความเป็นส่วนตัวของแต่ละบริษัท และข้ามสแปมเมอร์ตัวจริงไปเลย เพราะการตอบกลับเป็นการยืนยันว่าที่อยู่ของคุณยังใช้งานได้

นี่คือคำขอที่คุณคัดลอกไปใช้ได้ (ตัดข้อ 4 ออกเมื่อเขียนถึงบริษัทที่คุณสงสัย)

เรื่อง: คำขอเข้าถึงข้อมูลตามมาตรา 15 ของ GDPR

ตามมาตรา 15 ของ GDPR (หรือ UK GDPR) สำหรับที่อยู่อีเมลของข้าพเจ้า you@example.com โปรดแจ้งข้าพเจ้าว่า

1. บริษัทได้ที่อยู่นี้มาจากที่ใด โดยระบุแหล่งที่มาอย่างเจาะจง (มาตรา 15(1)(g))
2. บริษัทเปิดเผยที่อยู่นี้แก่ผู้รับรายใดบ้าง โดยระบุชื่อ (มาตรา 15(1)(c))
3. บริษัทเก็บข้อมูลส่วนบุคคลใดของข้าพเจ้าไว้บ้าง พร้อมสำเนา
4. เหตุใดข้อความแรกที่บริษัทส่งถึงข้าพเจ้าเมื่อ [วันที่] จึงไม่ระบุแหล่งที่มานั้น (มาตรา 14(2)(f) และ 14(3)(b))

ข้าพเจ้าขอคัดค้านการตลาดทางตรงด้วย (มาตรา 21) โปรดตอบกลับภายในหนึ่งเดือน (มาตรา 12(3))

[ชื่อของคุณ]

โดยปกติการตอบคำขอไม่มีค่าใช้จ่าย (กำหนดเวลาอยู่ในตารางด้านล่าง) เมื่อคุณคัดค้านการตลาดทางตรงแล้ว ข้อมูลของคุณจะถูกใช้เพื่อการนั้นไม่ได้อีก

ในสหราชอาณาจักร ถ้าไม่ได้คำตอบหรือคำตอบหลบเลี่ยง ให้ร้องเรียนกับบริษัทก่อน สำหรับเรื่องร้องเรียนที่ยื่นตั้งแต่ 19 มิถุนายน 2569 เป็นต้นมา กฎหมาย Data (Use and Access) Act กำหนดให้บริษัทต้องตอบรับเรื่องร้องเรียนของคุณภายใน 30 วัน จากนั้นร้องเรียนต่อ ICO ภายในสามเดือนนับจากการติดต่อที่มีสาระครั้งล่าสุดกับบริษัท ส่วนใน EU มาตรา 77 ให้สิทธิคุณร้องเรียนต่อหน่วยงานคุ้มครองข้อมูลได้

สหรัฐอเมริกา: แคลิฟอร์เนียและออริกอน

คำขอ “สิทธิที่จะรู้” (right to know) ตาม CCPA ของแคลิฟอร์เนียจะได้คำตอบเป็นหมวดหมู่ของแหล่งที่มาและหมวดหมู่ของบุคคลที่สาม พร้อมข้อมูลส่วนบุคคลที่บริษัทเก็บไว้ แต่จะไม่ระบุชื่อผู้ที่ขายที่อยู่ของคุณ การตอบคำขอไม่มีค่าใช้จ่าย คุณยังบอกให้ธุรกิจหยุดขายหรือแบ่งปันข้อมูลของคุณ หรือขอให้ลบข้อมูลที่เก็บไปจากคุณได้ด้วย กฎหมายนี้ครอบคลุมเฉพาะธุรกิจที่เกินเกณฑ์ที่กำหนด เช่น มีรายได้ต่อปีเกิน US$26,625,000 (ณ เดือนกันยายน 2569)

ถ้าคุณอาศัยอยู่ในออริกอน บริษัทที่อยู่ภายใต้กฎหมายความเป็นส่วนตัวของรัฐนั้นต้องให้รายชื่อบุคคลที่สามที่เจาะจงซึ่งบริษัทเปิดเผยข้อมูลให้เมื่อได้รับคำขอ แต่บริษัทอาจให้รายชื่อผู้ที่ได้รับข้อมูลส่วนบุคคลใด ๆ ก็ได้ แทนที่จะเป็นผู้ที่ได้รับข้อมูลของคุณ (ORS 646A.574) สิทธิเหล่านี้มาจากกฎหมายระดับรัฐ สิ่งที่คุณขอได้จึงขึ้นอยู่กับว่าคุณอาศัยอยู่ที่ไหน

ผู้อยู่อาศัยในแคลิฟอร์เนียยังใช้ DROP (Delete Request and Opt-out Platform) เพื่อส่งคำขอลบข้อมูลครั้งเดียวไปยังผู้ค้าข้อมูล (data broker) ที่จดทะเบียนไว้ทุกรายได้ด้วย DROP เปิดให้ใช้เมื่อ 1 มกราคม 2569 และตั้งแต่ 1 สิงหาคม 2569 ผู้ค้าข้อมูลต้องดำเนินการตามคำขออย่างน้อยทุก 45 วัน DROP ส่งถึงเฉพาะผู้ค้าข้อมูล ซึ่งเป็นธุรกิจที่คุณไม่ได้มีความสัมพันธ์โดยตรงด้วย ไม่ใช่ร้านค้าที่คุณให้ที่อยู่ไว้

ใครก็ค้นหาในทะเบียนผู้ค้าข้อมูลของแคลิฟอร์เนีย เวอร์มอนต์ เท็กซัส และออริกอนได้ ให้ค้นหาชื่อบริษัทของผู้ส่งและโดเมนจากขั้นตอนที่ 2 ในทะเบียนเหล่านั้น ถ้าพบ แปลว่าผู้ส่งเป็นผู้ค้าข้อมูลที่จดทะเบียนแล้ว ซึ่งเป็นหนึ่งในธุรกิจที่ DROP ส่งคำขอไปถึงหากคุณอาศัยอยู่ในแคลิฟอร์เนีย

แต่ละคำขอให้อะไรคุณได้บ้าง

ทุกที่: บริการส่งอีเมล

บริการส่งอีเมลที่ระบุใน DKIM-Signature d=, Return-Path หรือ List-Unsubscribe มีกฎของตัวเอง ตัวอย่างเช่น นโยบายการใช้งานที่ยอมรับได้ (Acceptable Use Policy) ของ Mailchimp ห้ามส่งถึง “รายชื่อที่ซื้อมา เช่ามา ของบุคคลที่สาม แบบ co-reg ข้อมูลที่เปิดเผยต่อสาธารณะ หรือรายชื่อของพาร์ตเนอร์ไม่ว่าประเภทใด” และฝ่ายรับแจ้งการละเมิด (abuse desk) ของ Mailchimp ขอ “ส่วนหัวอีเมลแบบเต็ม” (ตรวจสอบทั้งสองหน้าเมื่อ 25 กันยายน 2569) ส่งส่วนหัวแบบเต็มให้ฝ่ายรับแจ้งการละเมิดของบริการนั้น บริการจะไม่บอกคุณว่าใครขายที่อยู่ของคุณ แต่หยุดไม่ให้ผู้ส่งใช้บริการของตนได้

สิ่งที่ควรทำเมื่อรู้แล้ว

• เลิกใช้ที่อยู่นั้น ให้ที่อยู่ใหม่แก่บริษัทที่ทำที่อยู่รั่วไหล หรือปิดบัญชี แล้วปิดหรือลบที่อยู่เก่า แต่ให้ที่อยู่เก่ายังใช้งานได้จนกว่าคำขอเข้าถึงข้อมูลจะได้รับคำตอบ เพราะคำตอบหรือการยืนยันตัวตนอาจส่งมาที่อยู่นั้น ถ้าเป็นที่อยู่หลักของคุณ ให้ใช้ตัวกรอง
• ทำให้หยุด ส่งคำคัดค้านตามมาตรา 21 (EU และสหราชอาณาจักร) ยกเลิกการสมัครรับอีเมลจากผู้ส่งที่ถูกกฎหมายในสหรัฐอเมริกา หรือเลือกไม่ให้ขายและแบ่งปันข้อมูลและใช้ DROP (แคลิฟอร์เนีย) ถ้าเคยยกเลิกการสมัครรับแล้วไม่ได้ผล อ่านทำไมการยกเลิกการสมัครรับอีเมลจึงไม่ได้ผล
• รายงาน ที่ ReportFraud.ftc.gov ในสหรัฐอเมริกา ผ่านเครื่องมือรายงานอีเมลสแปมของ ICO ในสหราชอาณาจักร (ICO ไม่ตอบกลับเป็นรายบุคคล) หรือแจ้งฝ่ายรับแจ้งการละเมิดของบริการส่งอีเมล และทำเครื่องหมายว่าเป็นสแปมในแอปอีเมลของคุณ
• ถ้าเป็นเหตุข้อมูลรั่วไหล ให้รักษาความปลอดภัยของบัญชีด้วย (ดูคำถามที่พบบ่อย)

บริษัทขายที่อยู่อีเมลของคุณไหม และการขายข้อมูลส่วนบุคคลถูกกฎหมายหรือเปล่า

ใช่ บางบริษัทขาย FTC ระบุว่า “เมื่อคุณให้ที่อยู่อีเมลแก่บริษัท บริษัทอาจแบ่งปันหรือขายที่อยู่นั้นให้บุคคลที่สาม” ในสหรัฐอเมริกา กฎหมายระดับรัฐบาลกลางอนุญาตให้ทำได้จนกว่าคุณจะเลือกไม่รับ (opt out) ในสหราชอาณาจักรและ EU บริษัทต้องได้รับความยินยอมจากคุณก่อนจึงจะส่งอีเมลถึงคุณจากรายชื่อที่ซื้อมาได้ และในสหราชอาณาจักร โดยทั่วไปบริษัทต้องได้รับความยินยอมจากคุณก่อนจึงจะขายรายชื่อได้

• สหรัฐอเมริกา: ภายใต้กฎหมาย CAN-SPAM ระดับรัฐบาลกลาง บริษัทไม่ต้องได้รับความยินยอมก็ส่งอีเมลการตลาดถึงคุณได้ เมื่อคุณเลือกไม่รับแล้ว บริษัทมีเวลา 10 วันทำการในการหยุดส่ง และจะขายหรือโอนที่อยู่ของคุณไม่ได้ แคลิฟอร์เนียเพิ่มสิทธิเลือกไม่ให้ขายข้อมูล และคำว่า “ขาย” ของรัฐนี้รวมถึงการให้เช่าหรือการทำให้ข้อมูลเข้าถึงได้เพื่อ “ผลตอบแทนที่มีมูลค่าอื่น” การแลกเปลี่ยนกับพาร์ตเนอร์จึงอาจนับเป็นการขายได้แม้ไม่มีเงินเกี่ยวข้อง ส่วน “การแบ่งปัน” (sharing) เป็นอีกคำหนึ่งแยกกัน ใช้กับการโฆษณาตามพฤติกรรมข้ามบริบท (cross-context behavioral advertising)
• สหราชอาณาจักร: ภายใต้ Privacy and Electronic Communications Regulations (PECR) บริษัทจะส่งอีเมลถึงคนในรายชื่อที่ซื้อมาได้ก็ต่อเมื่อคนเหล่านั้น “ให้ความยินยอมโดยเจาะจงที่จะรับข้อความประเภทนั้น” จากบริษัท ความยินยอมแบบกว้าง ๆ ให้บุคคลที่สามรายใดก็ได้นั้นไม่เพียงพอ และการขายรายชื่อโดยทั่วไปต้องได้รับความยินยอมจากคนในรายชื่อ (แนวทางของ ICO ซึ่งอยู่ระหว่างการทบทวนหลังมี Data (Use and Access) Act) ที่อยู่อีเมลของบริษัทใช้กฎที่ต่างออกไป
• EU: ePrivacy Directive อนุญาตให้ส่งอีเมลการตลาดได้เฉพาะเมื่อได้รับ “ความยินยอมล่วงหน้า” ยกเว้นกรณีผู้ขายทำการตลาดสินค้าที่คล้ายกันกับลูกค้าของตนเอง ซึ่งเป็นข้อยกเว้นที่ผู้ซื้อรายชื่อใช้ไม่ได้

ทำไมเทคนิคเครื่องหมาย + จึงเป็นหลักฐานที่อ่อน

“เทคนิค Gmail” คือการสมัครด้วยที่อยู่ที่ติดแท็ก เช่น you+shopname@example.com แทน you@example.com แล้วดูว่าแท็กไหนโผล่มาในสแปม คำอธิบายของ Google เอง แสดงจุดอ่อนนี้ไว้ “ข้อความที่ส่งไปยังที่อยู่ปัจจุบันของคุณ หรือรูปแบบใดก็ตามที่มีเครื่องหมายบวก จะเข้ามาในกล่องจดหมายปัจจุบันของคุณทั้งหมด”

• ที่อยู่จริงของคุณเห็นได้ชัด ลบแท็กออก อีเมลก็ยังส่งถึงคุณได้ และหลักฐานก็หายไป
• แท็กไม่มีความหมายสำหรับผู้ส่ง มีแค่ผู้ให้บริการของคุณเท่านั้นที่ตีความส่วนที่อยู่หน้าเครื่องหมาย @ (RFC 5321, §2.3.11) และตัวคั่นก็ต่างกันไปในแต่ละระบบ (RFC 5233)
• พิสูจน์ได้น้อยกว่าที่เห็น ที่อยู่ที่ติดแท็กในสแปมแสดงว่าที่อยู่หลุดออกจากบริษัทนั้น แต่ไม่ได้บอกว่าถูกขาย ถูกแบ่งปัน หรือรั่วไหลจากการถูกเจาะระบบ และถ้าไม่มีสแปมที่ติดแท็กเข้ามา ก็ไม่ได้แปลว่าบริษัทไหนพ้นข้อสงสัย เพราะแท็กอาจแค่ถูกลบออกไป

เทคนิคจุด คือการสมัครด้วย your.name กับบริษัทหนึ่ง และ yo.urname กับอีกบริษัทหนึ่ง ยิ่งอ่อนกว่านั้นอีก เพราะ Gmail ไม่สนใจจุดในที่อยู่ส่วนตัว ใครก็ลบจุดออกได้ (ในบัญชีของที่ทำงานหรือโรงเรียน จุดมีผล) แต่การเติมเครื่องหมาย + (plus addressing) ยังมีประโยชน์สำหรับการกรองอีเมล คู่มือ plus addressing อธิบายว่าใช้ได้ที่ไหนบ้าง

ขั้นตอนที่ 5: ทำให้การรั่วไหลครั้งต่อไปบอกต้นตอเอง

วิธีที่เชื่อถือได้ใช้กับอนาคต คือให้ที่อยู่แยกของตัวเองแก่แต่ละบริษัท โดยไม่มีที่อยู่จริงของคุณอยู่ในนั้น ถ้ามีอีเมลจากคนอื่นส่งมาที่อยู่ที่คุณให้ร้านค้าแห่งเดียว คุณจะรู้ว่าที่อยู่หลุดออกมาจากที่ไหน และปิดเฉพาะที่อยู่นั้นได้

• CatchNone ให้นามแฝงแยกแก่แต่ละบริษัท และติดป้ายทุกข้อความด้วยนามแฝงที่ข้อความนั้นส่งถึง ที่อยู่ที่ถูกขายจึงเห็นได้โดยไม่ต้องอ่านส่วนหัวอีเมล ที่อยู่ @catchnone.com ต้องใช้ Premium ส่วนโดเมนที่คุณเป็นเจ้าของใช้ได้ในแผนฟรีด้วย
• บริการนามแฝงอีเมล (email alias) เช่น “ซ่อนอีเมลของฉัน” ของ Apple (ใช้กับ iCloud+) DuckDuckGo Email Protection, SimpleLogin, addy.io และ Firefox Relay จะส่งต่ออีเมลเข้ากล่องจดหมายของคุณ เปรียบเทียบบริการนามแฝงอีเมล อธิบายความแตกต่างไว้
• ที่อยู่แบบ catch-all (รับทั้งหมด) บนโดเมนของคุณเอง รับอีเมลที่ส่งถึงที่อยู่ใดก็ได้บนโดเมนนั้น คุณจึงคิดที่อยู่ใหม่สำหรับทุกการสมัครได้ ตัวอย่างเช่น Cloudflare Email Routing (ระบบกำหนดเส้นทางอีเมล) ใช้ได้ทั้งแผนฟรีและแผนเสียเงิน (ณ เดือนกันยายน 2569) และมี Catch-all rule (กฎรับอีเมลทั้งหมด) ดูข้อดีข้อเสียได้ในที่อยู่อีเมลแบบ catch-all คืออะไร

เลือกใช้ที่อยู่แบบสุ่มแทนที่อยู่ที่เดาได้อย่าง gardenshop@example.com ซึ่งสแปมเมอร์อาจคิดขึ้นเองบนที่อยู่แบบ catch-all ได้ และจดไว้ว่าให้ที่อยู่ไหนกับที่ใด

CatchNone: ทุกข้อความแสดงที่อยู่ที่ส่งถึง

CatchNone สร้างมาเพื่อขั้นตอนที่ 5 โดยเฉพาะ คุณให้นามแฝงแยกแก่ร้านค้า จดหมายข่าว หรือบัญชีแต่ละแห่ง และทุกข้อความในแอปมีป้ายบอกนามแฝงที่ข้อความนั้นส่งถึง เมื่อคนแปลกหน้าส่งอีเมลมาที่อยู่ที่คุณให้ร้านต้นไม้เพียงแห่งเดียว ป้ายจะบอกว่าที่อยู่หลุดออกมาจากที่ไหน โดยไม่ต้องอ่านส่วนหัวอีเมล “ความเคลื่อนไหว” ชี้ให้เห็นอีเมลที่ส่งถึงนามแฝงที่คุณทำเครื่องหมายว่า “เลิกใช้แล้ว” และผู้ส่งที่เพิ่งส่งมาครั้งแรก และคุณปิดที่อยู่ @catchnone.com ที่รั่วไหลได้ ผู้ส่งจะได้รับอีเมลตีกลับ ขณะที่นามแฝงอื่นยังใช้งานได้ตามปกติ

เมื่อใช้ Premium คุณจะได้ที่อยู่ @catchnone.com แบบสุ่ม เช่น abcde-12345@catchnone.com โดยไม่ต้องตั้งค่าโดเมน DNS หรือกล่องจดหมาย และแม้แต่อีเมลที่ส่งแบบ Bcc ก็ระบุได้ว่าส่งถึงนามแฝงไหน หรือจะใช้โดเมนที่คุณเป็นเจ้าของ ซึ่งผู้ให้บริการส่งอีเมลเข้ากล่องจดหมายให้อยู่แล้วก็ได้ แอปอ่านกล่องจดหมายนั้นแบบอ่านอย่างเดียวผ่าน IMAP หรือ JMAP จากอุปกรณ์ของคุณโดยตรง แผนฟรีมีนามแฝงได้สูงสุด 10 รายการ และ Lite กับ Premium ไม่จำกัด CatchNone มีให้ใช้บน iPhone, iPad และ Mac

แอปใช้กับอนาคต ย้อนกลับไปใช้กับที่อยู่ที่คุณเคยใช้มาก่อนไม่ได้ และไม่มีฐานข้อมูลเหตุข้อมูลรั่วไหลหรือระบบตรวจจับการรั่วไหล ป้ายและหมายเหตุใน “ความเคลื่อนไหว” เป็นหลักฐานให้คุณชั่งน้ำหนักเอง บนโดเมนของคุณเอง แอปอ่านเฉพาะกล่องขาเข้า (Inbox) และเฉพาะอีเมลที่ช่อง To, Cc หรือ Bcc ระบุที่อยู่บนโดเมนของคุณ สแปมที่ถูกจัดไว้ใน Junk (ขยะ) จึงจะไม่ปรากฏ การทำเครื่องหมายนามแฝงบนโดเมนนั้นว่า “เลิกใช้แล้ว” เป็นเพียงป้ายกำกับ ดังนั้นให้บล็อกที่อยู่ที่รั่วไหลที่ผู้ให้บริการของคุณ ข้อความของ @catchnone.com จะถูกลบ 30 วันหลังจากเข้ามา ดังนั้นให้ติดธงข้อความที่ต้องใช้เป็นหลักฐาน เพื่อเก็บเนื้อหาฉบับเต็มไว้บนอุปกรณ์ของคุณ

คำถามที่พบบ่อย

ถ้าบริษัททำที่อยู่อีเมลของคุณรั่วไหล ควรทำอย่างไร

ค้นหาที่อยู่นั้นใน Have I Been Pwned เพื่อดูว่าอยู่ในเหตุข้อมูลรั่วไหลครั้งไหน และมีข้อมูลอะไรรั่วไหลไปพร้อมกันบ้าง เปลี่ยนรหัสผ่านของเว็บไซต์นั้นและทุกที่ที่คุณใช้รหัสผ่านเดียวกัน แล้วเปิดการยืนยันแบบสองขั้นตอน เตรียมรับมือกับฟิชชิงที่อ้างถึงรายละเอียดที่รั่วไหล และอย่ากดลิงก์ในข้อความที่พูดถึงเหตุข้อมูลรั่วไหลนั้น ถ้าคุณเคยให้ที่อยู่เฉพาะแก่บริษัทนั้น ให้เลิกใช้ที่อยู่นั้นแล้วให้ที่อยู่ใหม่แก่บริษัทแทน

LinkedIn หรือ Google ขายที่อยู่อีเมลของคุณไหม

ทั้งสองบริษัทไม่ได้บอกว่าขายข้อมูลส่วนบุคคลของคุณ แต่ LinkedIn บอกว่าแบ่งปันข้อมูลนั้นเพื่อการโฆษณาข้ามบริบท ข้อมูลเปิดเผยด้านความเป็นส่วนตัวสำหรับแคลิฟอร์เนียของ LinkedIn ระบุว่า “เราไม่ขายข้อมูลส่วนบุคคลของคุณ” และให้ชาวแคลิฟอร์เนียเลือกไม่ให้แบ่งปันข้อมูลแบบนั้นได้ ส่วน Safety Center (ศูนย์ความปลอดภัย) ของ Google ระบุว่า “เราไม่เคยขายข้อมูลส่วนบุคคลของคุณให้แก่ผู้ใด” และนโยบายความเป็นส่วนตัวของ Google (มีผลตั้งแต่ 26 พฤษภาคม 2569) ระบุว่าจะแบ่งปันข้อมูลส่วนบุคคลภายนอก Google เฉพาะในกรณีที่ระบุไว้เท่านั้น โดยกรณีแรกคือเมื่อได้รับความยินยอมจากคุณ ทั้งสามหน้านี้ตรวจสอบเมื่อวันที่ 25 กันยายน 2569 สำหรับบริษัทอื่น ให้อ่านนโยบายและแยกพิจารณาคำว่า “ขาย” กับ “แบ่งปัน” ออกจากกัน

ใครเป็นคนซื้อที่อยู่อีเมล

ผู้ค้าข้อมูล นายหน้าค้ารายชื่อ (list broker) และนักการตลาด ทะเบียนของรัฐต่าง ๆ ข้างต้นมีรายชื่อผู้ค้าที่จดทะเบียนไว้ การซื้อขายนี้อาจทำกันอย่างเปิดเผยด้วย ในคดี Österreichische Post ผู้ให้บริการไปรษณีย์ของออสเตรียระบุว่าตนเสนอข้อมูลส่วนบุคคล “ให้แก่คู่ค้าเพื่อวัตถุประสงค์ทางการตลาด” และต่อมาได้ระบุผู้รับข้อมูล ซึ่งรวมถึง “ผู้ให้บริการรายชื่ออีเมล (mailing list)” คดีนั้นเกี่ยวกับข้อมูลที่ผู้ให้บริการไปรษณีย์ถือครอง ไม่ใช่ที่อยู่อีเมล