ข้อมูลของผู้ใช้ TH-AI Passport ผ่านระบบ AiPass เกี่ยวข้องกับหลายฝ่าย สภาผู้บริโภคชวนทำความเข้าใจข้อตกลง DPA – DPIA และระบบตรวจสอบการเข้าถึง “ข้อมูลส่วนตัว” เพื่อสร้างความเชื่อมั่นผู้ใช้ตลอดการใช้งาน
โครงการยกระดับทักษะด้านดิจิทัลและปัญญาประดิษฐ์เพื่อคนไทย หรือ TH-AI Passport ใช้ข้อมูลบางส่วนเพื่อยืนยันตัวตนของผู้เข้าร่วมโครงการ โดยเชื่อมกับระบบของรัฐที่ประชาชนเคยยืนยันตัวตนไว้แล้ว และอาจขอ ข้อมูลส่วนตัว เพิ่มเติม เช่น อีเมลหรือหมายเลขโทรศัพท์ เพื่อใช้ในการเข้าใช้งาน
ดร.อุดมธิปก ไพรเกษตร นายกสมาคมผู้ตรวจสอบและให้คำปรึกษาการคุ้มครองข้อมูลส่วนบุคคลไทย และอนุกรรมการด้านการสื่อสาร โทรคมนาคม และเทคโนโลยีสารสนเทศ สภาผู้บริโภค กล่าวว่า การใช้ข้อมูลเพื่อยืนยันตัวตนในโครงการของรัฐเป็นเรื่องที่เข้าใจได้ เพราะต้องตรวจสอบได้ว่าใครเป็นผู้เข้ามาใช้สิทธิ อย่างไรก็ตาม การดูแลข้อมูลไม่ได้มีเฉพาะขั้นตอนการสมัคร เนื่องจากการดำเนินโครงการมีทั้งหน่วยงานรัฐ บริษัทที่รับจ้างทำระบบ ผู้ให้บริการ AI ตลอดจนผู้รับจ้างรายอื่นที่อาจเกี่ยวข้องกับข้อมูลของผู้ใช้
ข่าวที่เกี่ยวข้อง
DPA ต้องกำกับข้อมูลถึงผู้รับจ้างทุกทอด
ดร.อุดมธิปกอธิบายว่า เมื่อหน่วยงานรัฐว่าจ้างบริษัทมาดำเนินระบบ จะมี ข้อตกลงการประมวลผลข้อมูลส่วนบุคคล หรือดีพีเอ (DPA: Data Processing Agreement) ตาม พ.ร.บ. คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 เข้ามากำกับ เพื่อกำหนดว่าผู้รับจ้างจะจัดการข้อมูลอย่างไร ใช้ข้อมูลได้แค่ไหน และต้องมีมาตรการรักษาความปลอดภัยอย่างไร
“ตอนนี้เรายังไม่เห็นดีพีเอ แม้กฎหมายจะไม่ได้กำหนดว่าต้องเปิดเผย แต่เอกสารนี้ไม่ได้มีไว้เพียงกำหนดว่าผู้รับจ้างต้องทำหรือห้ามทำอะไรเท่านั้น ยังต้องกำหนดมาตรการรักษาความปลอดภัยของข้อมูลให้เพียงพอด้วย” ดร.อุดมธิปก กล่าว
นอกจากนี้ โครงการยังอาจมีการว่าจ้างต่อไปยังผู้ให้บริการรายอื่น ไม่ว่าจะเป็นผู้ให้บริการ AI ผู้จัดกิจกรรม ผู้จัดฝึกอบรม หรือผู้ดูแลระบบเรียนออนไลน์ ซึ่งอาจเกี่ยวข้องกับข้อมูลส่วนบุคคลด้วย
“โครงการนี้ไม่ได้มีเฉพาะผู้ให้บริการระบบ AI แต่ยังมีผู้รับจ้างช่วงในกิจกรรมอื่น ๆ เช่น การจัดอีเวนต์ การฝึกอบรม หรือระบบเรียนออนไลน์ ซึ่งล้วนเกี่ยวข้องกับข้อมูลส่วนบุคคล ดังนั้น ผู้รับจ้างจึงต้องมีข้อตกลงเรื่องการคุ้มครองข้อมูลกับผู้ที่เกี่ยวข้องทั้งหมดด้วย”ดร.อุดมธิปก ระบุ
อย่างไรก็ตาม การที่ยังไม่เห็นดีพีเอจากข้อมูลที่เปิดเผย ไม่ได้หมายความว่าโครงการไม่ได้จัดทำ เนื่องจากกฎหมายไม่ได้กำหนดให้ต้องเปิดเผย โดย ดร.อุดมธิปกเห็นว่า สิ่งสำคัญคือการกำกับผู้รับจ้างและผู้รับงานต่อให้มีมาตรการคุ้มครองข้อมูลที่เพียงพอ
DPIA ควรมีในโครงการใหญ่ที่ใช้ AI และข้อมูลส่วนบุคคล – ข้อมูลส่วนตัว
อีกส่วนที่ ดร.อุดมธิปกกล่าวถึงคือ ดีพีไอเอ (DPIA: Data Protection Impact Assessment) หรือการประเมินผลกระทบด้านการคุ้มครองข้อมูลส่วนบุคคล เพื่อประเมินความจำเป็นในการใช้ข้อมูล ความเสี่ยงที่อาจเกิดกับเจ้าของข้อมูล และมาตรการป้องกันความเสี่ยงเหล่านั้น
ดร.อุดมธิปกระบุว่า สำหรับโครงการขนาดใหญ่ที่นำ AI มาใช้และเกี่ยวข้องกับข้อมูลส่วนบุคคล ควรมีการประเมินผลกระทบดังกล่าว โดยร่างแนวทางของสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลเกี่ยวกับการใช้ AI ที่มีข้อมูลส่วนบุคคล ก็แนะนำให้หน่วยงานพิจารณาจัดทำ DPIA อย่างไรก็ตาม จากข้อมูลที่เปิดเผยต่อสาธารณะในขณะนี้ ยังไม่เห็นรายละเอียดว่า TH-AI Passport ได้ดำเนินการในส่วนนี้แล้วหรือไม่
การประเมินเรื่องนี้ไม่ได้ครอบคลุมเฉพาะข้อมูลที่ใช้ลงทะเบียน เพราะระหว่างใช้งาน ผู้ใช้อาจกรอกข้อมูลส่วนตัวลงในการสนทนากับ AI ได้เช่นกัน
“จริง ๆ ข้อมูลส่วนบุคคลไม่ได้อยู่แค่ชื่อ สกุลที่ใช้ลงทะเบียน แต่อาจอยู่ในแชตตอนที่เราคุยกับ AI เพราะเราอาจใส่ข้อมูลส่วนบุคคลของเราเข้าไปในนั้นด้วย” ดร.อุดมธิปก กล่าว พร้อมระบุว่า การนำข้อมูลไปใช้ต่อในอนาคตก็เป็นเรื่องที่ต้องให้ความสำคัญ โดยเฉพาะหากมีการส่งข้อมูลจากโครงการไปยังหน่วยงานอื่น หรือนำไปใช้ในโครงการ AI อื่น ซึ่งควรมีการกำกับดูแลและกำหนดขอบเขตการใช้ข้อมูลให้ชัดเจน
กันข้อมูลรั่วอย่างเดียวยังไม่พอ ต้องคุมว่าใครเปิดดูข้อมูลได้
ความกังวลของประชาชนไม่ได้มีเพียงเรื่องระบบถูกแฮกหรือข้อมูลรั่วเท่านั้น ดร.อุดมธิปกมองว่า อีกเรื่องที่กระทบต่อความเชื่อมั่นคือ การควบคุมผู้ที่มีสิทธิเข้าถึงข้อมูลอยู่แล้ว ไม่ให้นำข้อมูลไปใช้หรือเปิดเผยเกินกว่าหน้าที่
“ปัญหาตอนนี้คือประชาชนไม่เชื่อมั่นอยู่สองเรื่อง เรื่องแรกคือที่ผ่านมาเคยมีกรณีข้อมูลของหน่วยงานรัฐรั่ว จึงทำให้คนกังวลกับโครงการนี้ ส่วนอีกเรื่องคือ คนยังไม่มั่นใจว่าจะมีการกำกับผู้ที่มีอำนาจเข้าถึงข้อมูลอย่างไร เพื่อไม่ให้นำข้อมูลไปเปิดเผยโดยไม่สมควร” ดร.อุดมธิปก กล่าว
ดร.อุดมธิปกเห็นว่า ระบบควรมีบันทึกการเข้าถึงข้อมูล หรือล็อก (Log) เพื่อให้ตรวจสอบย้อนหลังได้ว่า มีหน่วยงานหรือบุคคลใดเข้าถึงข้อมูล เมื่อใด และด้วยเหตุใด
“สิ่งที่รัฐต้องทำให้ได้ คือมีการเก็บล็อกว่าหน่วยงานไหนขอเข้าถึงข้อมูลบ้าง แบบไหน อย่างไร เพื่อให้มั่นใจว่าข้อมูลของประชาชนจะถูกเข้าถึงเฉพาะโดยผู้ที่มีอำนาจหน้าที่รับผิดชอบจริง ๆ และไม่ถูกนำไปเปิดเผยให้บุคคลที่ไม่เกี่ยวข้องกับโครงการ” ดร.อุดมธิปก ระบุ
อย่างไรก็ตาม ดร.อุดมธิปกย้ำว่า การที่ภาครัฐมีโครงการซึ่งเก็บข้อมูลประชาชนจำนวนมากไม่ใช่เรื่องใหม่ และไม่ได้หมายความว่าทุกโครงการจะมีปัญหา ที่ผ่านมามีโครงการของรัฐที่ประชาชนใช้งานจำนวนมากและมีความเชื่อมั่นเช่นกัน สิ่งสำคัญจึงอยู่ที่การดูแลข้อมูลและการสื่อสารให้ประชาชนเห็นว่า มีมาตรการกำกับข้อมูลอย่างไร
“ตอนนี้สิ่งที่เราเห็นแล้ว คือเงื่อนไขการใช้บริการ ประกาศความเป็นส่วนตัว หรือ Privacy Notice และคำถามที่พบบ่อย แต่สิ่งที่เรายังไม่เห็นคือตัวสัญญาดีพีเอ และดีพีไอเอ รวมถึงยังไม่เห็นรายละเอียดว่าจะกำกับผู้ที่มีสิทธิเข้าถึงข้อมูลอย่างไร” ดร.อุดมธิปก กล่าว
เตรียมหยิบ “ข้อมูลส่วนบุคคล” ขับเคลื่อนต่อ
ดร.อุดมธิปกกล่าวว่า การคุ้มครองข้อมูลส่วนบุคคลจะเป็นหนึ่งในประเด็นที่อนุกรรมการด้านการสื่อสารฯ ของสภาผู้บริโภค เตรียมหยิบขึ้นมาขับเคลื่อนต่อ โดยเฉพาะการเก็บ ใช้ และเข้าถึงข้อมูลของผู้บริโภคในบริการดิจิทัลและระบบ AI ที่มีผู้เกี่ยวข้องหลายฝ่าย
อีกด้านหนึ่งจะให้ความสำคัญกับการทำให้ผู้บริโภครู้สิทธิของตัวเองมากขึ้น ทั้งสิทธิในการรับรู้ว่าข้อมูลใดถูกเก็บ นำไปใช้อย่างไร หรือส่งต่อให้ใคร รวมถึงสร้างความตระหนักว่าข้อมูลส่วนบุคคลเป็นเรื่องใกล้ตัว และเป็นสิทธิที่ผู้บริโภคควรให้ความสำคัญและดูแล
ข่าวที่เกี่ยวข้อง
