กล้องสแกนใบหน้าพนักงาน ต้องมีเหตุผลแค่ไหนจึงใช้ได้

ร้านค้าปลีกแห่งหนึ่งติดกล้องไว้กันของหาย ต่อมาผู้ขายระบบเสนอว่า ‘เปิดฟีเจอร์จดจำใบหน้าเพิ่มอีกนิด จะได้รู้ว่าใครเป็นขาประจำ ใครเคยมีประวัติ และพนักงานคนไหนเข้างานกี่โมง’ ตรงนี้เองที่หลายองค์กรตัดสินใจโดยไม่ได้ถามตัวเองก่อนว่า กล้องตัวเดิมได้รับอนุญาตให้ทำสิ่งใหม่นี้ตั้งแต่เมื่อไร

แนวปฏิบัติของสำนักงานคณะกรรมการการรักษาความมั่นคงปลอดภัยไซเบอร์แห่งชาติ (สกมช.) ฉบับกล้องวงจรปิดที่ใช้ AI เขียนตอบเรื่องนี้ไว้ตรง ๆ ในข้อ 3.3.1 ว่าการติดกล้องเพื่อวัตถุประสงค์หนึ่ง ไม่ควรถูกตีความว่าเอาข้อมูลไปใช้กับความสามารถของ AI ทุกอย่างได้เอง

บทความนี้อ่านข้อ 3.3.1 ถึง 3.3.4 ของแนวปฏิบัติฉบับนั้นคู่กับมาตรา 26 ของ พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 (PDPA) แล้วสรุปเป็นตารางให้เห็นว่า งานแบบไหนพอจะอ้างเหตุผลเพื่อสแกนใบหน้าได้ และงานแบบไหนมีทางเลือกที่เบากว่า ส่วนเรื่องป้ายแจ้ง ระยะเก็บภาพ และการให้ภาพตำรวจ อยู่ในบทความ ติดกล้องวงจรปิดในออฟฟิศ ร้าน คอนโด ต้องทำอะไรตาม PDPA ที่นี่จะไม่พูดซ้ำ

กล้องที่ติดไว้กันขโมย เปิดสแกนใบหน้าเพิ่มได้เลยไหม?

ยังเปิดเองเลยไม่ได้ ข้อ 3.3.1 ของแนวปฏิบัติให้ถือว่าการติดกล้องกับการเปิดความสามารถ AI เป็นสองการตัดสินใจ ต้องตอบวัตถุประสงค์และความจำเป็นของแต่ละอย่างแยกกัน

ตัวอย่างนี้ตรงกับสถานการณ์ที่เจอบ่อย กล้องซื้อมาเพราะกลัวของหาย แต่ซอฟต์แวร์ในกล้องมีโหมดจดจำใบหน้าให้เปิดได้ในคลิกเดียว ข้อ 3.3.1 บอกว่าคลิกเดียวนั้นต้องมีเหตุผลรองรับเป็นของตัวเอง ไม่ใช่เหตุผลเดียวกับที่ใช้ติดกล้อง

แนวปฏิบัติไม่ได้ห้ามการรู้จำใบหน้า แต่กำหนดคำถามขั้นต่ำให้องค์กรตอบให้ได้ก่อนเปิดใช้ ห้าข้อ ตามที่ข้อ 3.3.1 ระบุ

1. ใช้ AI เพื่ออะไร
2. จำเป็นต้องใช้ข้อมูลใด
3. สร้างข้อมูลหรือผลลัพธ์ใดขึ้นมา
4. ใครเป็นคนใช้ผลลัพธ์นั้น
5. ใช้ผลลัพธ์เพื่อดำเนินการอะไรต่อ

ลองตอบห้าข้อนี้กับกรณีลงเวลาพนักงาน จะได้ว่า ใช้เพื่อยืนยันว่าใครมาทำงานกี่โมง ต้องใช้ภาพใบหน้าพนักงานและแม่แบบใบหน้า ผลลัพธ์คือเวลาเข้า-ออก ฝ่ายบุคคลหรือฝ่ายเงินเดือนใช้ และใช้คำนวณค่าจ้างหรือตัดสินเรื่องมาสาย ซึ่งกระทบตัวพนักงานโดยตรง คำตอบเหล่านี้ต้องเขียนลงเอกสาร ไม่ใช่รู้กันแค่ในหัวผู้จัดการ

ข้อมูลใบหน้าที่แปลงเป็นรหัสแล้ว เป็นข้อมูลประเภทไหนตาม PDPA?

เป็นข้อมูลอ่อนไหวตามมาตรา 26 ถ้อยคำในมาตราใช้ว่า ‘ข้อมูลชีวภาพ’ ส่วนแนวปฏิบัติ สกมช. ใช้คำว่า ‘ข้อมูลชีวมิติ’ ทั้งสองคำพูดถึงข้อมูลที่ได้จากลักษณะเฉพาะของร่างกายหรือพฤติกรรมบุคคลซึ่งใช้ยืนยันตัวตนได้ ในทางปฏิบัติอ่านเป็นเรื่องเดียวกัน

สังเกตคำว่า ‘ภาพจำลองใบหน้า’ มาตรา 26 ไม่ได้พูดถึงรูปถ่ายใบหน้าธรรมดา แต่พูดถึงข้อมูลที่เทคนิคหรือเทคโนโลยีสร้างขึ้นเพื่อยืนยันตัวตนได้ นั่นคือเหตุที่กล้องธรรมดากับกล้องที่เปิดการรู้จำใบหน้า ต่างกันในทางกฎหมาย แม้เป็นกล้องตัวเดียวกัน ภาพจากกล้องธรรมดาเป็นข้อมูลส่วนบุคคลทั่วไป แต่แม่แบบใบหน้าที่ซอฟต์แวร์สกัดออกมาเข้าข่ายมาตรา 26

ข้อยกเว้นที่มาตรา 26 เขียนไว้มีห้าข้อ เช่น ป้องกันอันตรายต่อชีวิตของคนที่ให้ความยินยอมไม่ได้ ก่อตั้งหรือใช้สิทธิเรียกร้องตามกฎหมาย หรือปฏิบัติตามกฎหมายในเรื่องที่ระบุ ข้อสังเกตของผู้เขียนคือ ในรายการนี้ไม่มีฐานประโยชน์โดยชอบด้วยกฎหมายแบบที่มาตรา 24 (5) ให้ใช้กับข้อมูลทั่วไป ผู้ที่คิดจะอาศัยฐานนั้นกับการสแกนใบหน้าจึงควรอ่านทั้งสองมาตราเทียบกันก่อน และปรึกษานักกฎหมายของตนเอง

ขอความยินยอมจากพนักงานได้ไหม

ขอได้ แต่ต้องระวังว่าความยินยอมของลูกจ้างต่อนายจ้างเป็นเรื่องที่ถูกตั้งคำถามได้ว่าเป็นอิสระจริงหรือไม่ มาตรา 19 ให้ผู้ควบคุมข้อมูลคำนึงถึงข้อนี้อย่างถึงที่สุด

แนวทางที่ปลอดภัยกว่าสำหรับที่ทำงาน (เป็นข้อเสนอของผู้เขียน ไม่ใช่ถ้อยคำของกฎหมาย) คือเตรียมวิธีลงเวลาอีกแบบให้คนที่ไม่ยินยอม โดยไม่ลงโทษหรือให้ผลเสียใด ๆ ถ้าองค์กรไม่มีทางเลือกอื่นให้เลย แปลว่าพนักงานปฏิเสธไม่ได้จริง และคำว่า ‘ยินยอม’ ในเอกสารก็อ่อนลงทันที

ก่อนเปิดใช้ แนวปฏิบัติ สกมช. ให้ดูอะไรบ้าง?

ดูสามเรื่องต่อเนื่องกัน คือ เก็บแค่ไหน (ข้อ 3.3.2) ข้อมูลชีวมิติต้องมีมาตรการอะไร (ข้อ 3.3.3) และระบบติดตามหรือเชื่อมโยงข้อมูลไปไกลแค่ไหน (ข้อ 3.3.4) ทั้งหมดเป็นคำแนะนำให้ไตร่ตรอง ไม่ได้ระบุตัวเลขหรือกำหนดเวลาตายตัว

ข้อ 3.3.2: อย่าเก็บเพิ่มเพียงเพราะระบบทำได้

ข้อนี้ให้นับข้อมูลที่เกิดจากระบบด้วย ไม่ใช่แค่ภาพต้นทาง รายการที่ข้อ 3.3.2 ยกไว้มีเจ็ดอย่าง คือ ภาพและวิดีโอ ข้อมูลประกอบ (metadata) ผลการตรวจจับหรือจำแนก ข้อมูลการติดตาม ข้อมูลชีวมิติหรือแม่แบบชีวมิติ ข้อมูลที่ได้จากการวิเคราะห์หรืออนุมาน และประวัติการแจ้งเตือนหรือผลการตัดสินใจที่เกี่ยวกับ AI ใครที่เคยทำ RoPA จะเห็นว่านี่คือรายการประเภทข้อมูลที่ต้องลงให้ครบ

ข้อ 3.3.3: มาตรการสำหรับข้อมูลชีวมิติ

ข้อ 3.3.3 ไล่มาตรการที่ควรพิจารณาตามความเสี่ยงไว้เจ็ดข้อ ลองใช้เป็นแบบฟอร์มคำถามภายในองค์กรก่อนอนุมัติซื้อ

• จำกัดวัตถุประสงค์และขอบเขต เช่น ใช้ยืนยันตัวเฉพาะประตูห้องเซิร์ฟเวอร์ ไม่ใช่ทุกกล้องในอาคาร
• จำกัดผู้เข้าถึง ทั้งตัวบุคคลและตัวระบบ ว่าใครเปิดดูหรือเรียกใช้แม่แบบได้
• คุ้มครองแม่แบบหรือข้อมูลชีวมิติ ถามผู้ขายว่าเข้ารหัสอย่างไร เก็บที่ไหน
• กำหนดระยะเวลาเก็บ เป็นตัวเลขที่องค์กรตัดสินและเขียนไว้
• ควบคุมการส่งต่อหรือเชื่อมกับฐานข้อมูลอื่น เช่น ห้ามเอาไปจับคู่กับฐานข้อมูลลูกค้า
• ลบเมื่อหมดความจำเป็น เช่น เมื่อพนักงานลาออก ต้องมีขั้นตอนลบแม่แบบใบหน้า
• บันทึกและตรวจสอบการเข้าถึงหรือการใช้งานที่สำคัญ

ในข้อเดียวกัน แนวปฏิบัติยังชี้มาตรฐาน ISO/IEC 24745 เป็นกรอบอ้างอิงด้านการคุ้มครองข้อมูลชีวมิติ และ ISO/IEC 19795-1 สำหรับการประเมินสมรรถนะ (ข้อ 3.2.7 เพิ่ม ISO/IEC 30107 ที่ว่าด้วยการหลอกระบบ) ต้องเข้าใจว่านี่เป็นมาตรฐานเทคนิคที่ ‘อาจพิจารณา’ ไม่ได้บังคับ และข้อ 3.2.7 เองก็เตือนไว้ว่าการใช้มาตรฐานไม่ได้แทนการตอบเรื่องความชอบด้วยกฎหมาย

พูดง่าย ๆ คือ ผู้ขายที่มีใบรับรองมาตรฐาน ก็ยังช่วยตอบแทนองค์กรไม่ได้ว่า องค์กรมีเหตุผลที่จะสแกนใบหน้าพนักงานหรือไม่ คำถามข้อนั้นเป็นของผู้ควบคุมข้อมูลเอง

ข้อ 3.3.4: ติดตามและเชื่อมโยงข้อมูล

ข้อ 3.3.4 เตือนว่า AI ทำให้ข้อมูลจากกล้องถูกใช้ตามรอยคนข้ามเวลา ข้ามพื้นที่ หรือข้ามระบบได้ และเชื่อมกับข้อมูลแหล่งอื่นเพื่อสร้างข้อมูลใหม่เกี่ยวกับบุคคลได้ ร้านที่เอาใบหน้าลูกค้าไปจับคู่กับประวัติซื้อ หรือโรงงานที่เอาใบหน้ากับเวลาเข้างานไปผูกกับระบบเงินเดือน ก็อยู่ในภาพนี้

ประโยคหลังนี้อยู่ในข้อ 6.2.2 ซึ่งว่าด้วยการระบุและติดตามบุคคล ใจความเดียวกับข้อ 3.3.2 คือ ‘ทำได้’ ไม่เท่ากับ ‘มีเหตุผลให้ทำ’ ถ้าการติดตามหรือเชื่อมโยงทำให้ระดับผลกระทบเปลี่ยนไปมาก ข้อ 3.3.4 ให้กลับไปประเมินระดับตามข้อ 3.1 ใหม่

ใช้กล้องหรือสแกนเพื่ออะไร จึงควรใช้ชีวมิติ และมีทางเลือกอะไรที่เบากว่า?

ตารางต่อไปนี้เป็นข้อเสนอของผู้เขียนบทความ เพื่อช่วยคิดตามโครงของข้อ 3.3.1 ไม่ใช่ถ้อยคำของแนวปฏิบัติหรือของกฎหมาย และไม่ใช่คำตอบสำเร็จรูป เหตุผลที่เฉพาะของแต่ละองค์กรอาจทำให้ผลต่างจากนี้ได้

แนวทาง AI ของสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (สคส.) ที่ออกในปีเดียวกัน ยกตัวอย่างการใช้กล้องวงจรปิดที่มี AI จดจำใบหน้าในห้างหรือพื้นที่สาธารณะ เพื่อระบุตัวลูกค้า วิเคราะห์อารมณ์ หรือเฝ้าระวังความปลอดภัย ไว้ในหมวดความเสี่ยงสูง และให้ปฏิบัติตามมาตรา 26 อย่างเคร่งครัด โดยบอกว่าบางกรณีอาจเป็นความเสี่ยงที่ยอมรับไม่ได้ เอกสารนั้นก็เป็นแนวทาง ไม่ใช่กฎหมายเช่นกัน

ถ้าระบบสแกนผิดคน ใครรับผลที่ตามมา?

คนที่ถูกสแกนผิดเป็นผู้รับผลก่อน เช่น ถูกบันทึกว่าขาดงาน ถูกปฏิเสธไม่ให้เข้าห้อง หรือถูกเรียกไปสอบถาม ข้อ 3.3.5 จึงให้ประเมินประเภทของความผิดพลาดและผลของมัน ไม่ใช่ดูแค่ตัวเลขความแม่นยำรวม ข้อ 6.2.4 ซึ่งว่าด้วยสมรรถนะของระบบชีวมิติ ไล่ความผิดพลาดไว้สี่แบบ คือ ยอมรับคนผิด ปฏิเสธคนที่ถูกต้อง ระบุคนผิด และตรวจหรือจับคู่ไม่ได้ในบางสภาพแวดล้อม

ฝ่ายที่ใช้ผลสแกนควรรู้ล่วงหน้าว่า ผลที่ขึ้นหน้าจอว่าตรงกัน 95 เปอร์เซ็นต์ (ตัวเลขสมมติเพื่อประกอบการอธิบาย) ไม่ได้แปลว่าคนคนนั้นคือเจ้าของใบหน้าแน่นอน ส่วนข้อ 6.4 ของแนวปฏิบัติแนะนำให้ระบบที่คุมการเข้าถึงสำคัญสูงมีมาตรการสำรอง และพิจารณาใช้หลายปัจจัย เช่น ใบหน้าร่วมกับรหัสผ่าน เพราะระบบอาจถูกหลอกด้วยรูปถ่ายหรือ Deepfake

เรื่องที่คนต้องดูผลลัพธ์ก่อนใช้ และบริษัทต้องวางขั้นตอนอย่างไร อยู่ในบทความคู่กัน กล้อง AI แจ้งเตือนผิด ใครรับผิดชอบ และคนต้องดูแค่ไหน

ลบคลิปแล้ว ข้อมูลใบหน้าหายไปด้วยหรือเปล่า?

ไม่แน่ ข้อ 3.3.9 บอกไว้ชัดว่าการลบภาพต้นฉบับไม่ได้ทำให้ข้อมูลที่ AI สร้างขึ้นถูกลบตามไปโดยอัตโนมัติ

ในระบบสแกนใบหน้า มักมีข้อมูลอย่างน้อยสามชั้นแยกกัน ชั้นแรกคือคลิปหรือภาพจากกล้อง ชั้นที่สองคือแม่แบบใบหน้าที่ซอฟต์แวร์สกัดไว้ใช้เทียบ ชั้นที่สามคือบันทึกผลการเทียบ เช่น เวลา ผลตรง/ไม่ตรง และรูปที่ถูกใช้เทียบ แต่ละชั้นอาจอยู่คนละที่ ทั้งในอุปกรณ์ในสาขา บนเซิร์ฟเวอร์กลาง หรือบนคลาวด์ของผู้ขาย

แนวปฏิบัติให้องค์กรกำหนดระยะเก็บแยกตามประเภทข้อมูลและรู้ว่าแต่ละประเภทอยู่ที่ไหน ข้อมูลที่ต้องเก็บไว้เพื่อวัตถุประสงค์ทางกฎหมาย ตรวจสอบ หรือสอบสวน ควรถูกแยกและคุ้มครองตามความเหมาะสม ส่วนตัวเลขจำนวนวันที่เหมาะสม แนวปฏิบัติไม่ได้กำหนด องค์กรต้องตัดสินจากวัตถุประสงค์ของตนเอง

1. ก่อนซื้อ
   ตอบห้าคำถามของข้อ 3.3.1 เป็นลายลักษณ์อักษร และถามผู้ขายว่าแม่แบบใบหน้าถูกเก็บที่ไหน ใครเข้าถึงได้ และลบอย่างไรข้อ 3.3.1 · 3.3.3
2. ก่อนติดตั้ง
   ตัดสินว่าจะขอความยินยอมหรืออาศัยข้อยกเว้นข้อใดของมาตรา 26 และเตรียมทางเลือกให้คนที่ไม่ยินยอมPDPA มาตรา 26 · มาตรา 19
3. ก่อนเปิดใช้
   ทำการประเมินผลกระทบ ทั้ง DPIA และการประเมินความเสี่ยงด้านความปลอดภัย และลงกิจกรรมใน RoPAข้อ 3.3.8
4. ระหว่างใช้
   สุ่มตรวจความถูกต้องของผลสแกน ดูบันทึกการเข้าถึงแม่แบบ และทบทวนเมื่อเพิ่มความสามารถ AI ใหม่ข้อ 3.3.3 · 6.2.7
5. เมื่อพนักงานลาออกหรือเลิกใช้ระบบ
   ลบแม่แบบใบหน้า ผลเทียบ และข้อมูลที่อนุมานได้ ตามระยะที่กำหนดไว้ และเก็บหลักฐานการลบข้อ 3.3.9

ต้องทำ DPIA ไหม และคุ้มเกินไปหรือเปล่าสำหรับธุรกิจเล็ก?

ข้อ 3.3.8 ของแนวปฏิบัติไม่ได้เขียนว่าต้องทำ DPIA ทุกกรณี แต่แยกให้เห็นว่ามีการประเมินหลายชนิดที่ไม่ควรถือเป็นเรื่องเดียวกัน ได้แก่ การประเมินผลกระทบของระบบ AI การประเมินผลกระทบด้านการคุ้มครองข้อมูลส่วนบุคคล (DPIA) การประเมินความเสี่ยงด้านความมั่นคงปลอดภัย และ FRIA ซึ่งเป็นกรอบอ้างอิงจากกฎหมายต่างประเทศ

ข้อเดียวกันยอมให้เชื่อมการประเมินเข้าด้วยกันได้ เพื่อไม่ให้ทำซ้ำ ถ้ายังแสดงวัตถุประสงค์ ขอบเขต ผลประเมิน และมาตรการได้ชัดเจน สำหรับธุรกิจเล็ก แปลว่าไม่ต้องมีเอกสารสามเล่ม เอกสารชุดเดียวที่ตอบครบทั้งสามด้านก็พอ ส่วนขั้นตอนทำ DPIA ให้เสร็จจริงอ่านได้ใน ทำ RoPA ให้เสร็จจริง และรู้ว่าเมื่อไรต้องทำ DPIA

ส่วนเรื่องที่เกี่ยวกับชีวมิติที่องค์กรถืออยู่โดยไม่รู้ตัว เช่น ภาพถ่ายบัตรประชาชนที่ถูกสแกนหรือลายนิ้วมือจากเครื่องลงเวลาเก่า ดูต่อได้ที่ ข้อมูลอ่อนไหวที่บริษัทเก็บอยู่ทุกวันโดยไม่รู้ตัว

แนวปฏิบัติยังกันความเข้าใจผิดไว้อีกข้อในข้อ 3.1.7 ว่าไม่ควรกำหนดระดับมาตรการจากปัจจัยเดียว

ข้อความนี้แก้ได้ทั้งสองทาง คือ ไม่ควรสรุปว่ามีการรู้จำใบหน้าแล้วต้องเข้มสุดทุกกรณี และก็ไม่ควรสรุปว่ากล้องในร้านเล็กไม่ต้องคิดอะไรเลย แนวปฏิบัติให้ดูวัตถุประสงค์ ข้อมูล ความสามารถของ AI และผลกระทบถ้าผิดพลาดประกอบกัน ซึ่งเป็นเรื่องที่องค์กรทำเองได้ถ้ามีเอกสารตอบห้าข้อด้านบนอยู่แล้ว

ใน AIPDPA ผู้ใช้ลงกิจกรรมสแกนใบหน้าเป็นรายการใน RoPA และเปิดพื้นที่ทำ DPIA ของกิจกรรมนั้นได้ในที่เดียว ดูตัวอย่างการกรอกในบัญชีตัวอย่างได้ก่อนตัดสินใจสมัครใช้งาน

ใครรับผิดชอบเนื้อหานี้?

เรียบเรียงโดยทีมกฎหมาย AIPDPA · ผู้รับผิดชอบเนื้อหา ภูวรา ครอบตะคุ ทนายความ · เนติบัณฑิตไทย · ที่ปรึกษากฎหมายเทคโนโลยีและทรัพย์สินทางปัญญา

ใบอนุญาตทนายความ 477/2558 · เนติบัณฑิตไทย · นิติศาสตรมหาบัณฑิต กฎหมายทรัพย์สินทางปัญญาและสารสนเทศ (เหรียญทอง)