กล้องวงจรปิดบนคลาวด์และแอปมือถือ ต้องถามอะไรก่อนใช้

กล้องที่เก็บภาพบนคลาวด์หรือเปิดดูผ่านแอปมือถือ สะดวกตรงที่ไม่ต้องเดินไปเปิดเครื่องบันทึก แต่ภาพและสิทธิเข้าถึงบางส่วนไปอยู่นอกเครือข่ายที่องค์กรดูแลเอง แนวปฏิบัติ สกมช. ฉบับ 1.0.0 (29 กันยายน 2569) ไม่ได้ห้าม และไม่ได้ชมว่าคลาวด์ดีกว่าเครื่องบันทึกในห้องไอที สิ่งที่แนะนำคือถามให้ครบว่าภาพอยู่ที่ไหน ใครเข้าได้ ใครรับผิดชอบ และถ้าเลิกใช้จะเอาภาพกลับมาอย่างไร

บทความนี้อ่านข้อ 3.3.3.4 (บริการ P2P และบริการภายนอก) กับข้อ 5.1 (แอป อุปกรณ์เคลื่อนที่ คลาวด์ และบริการภายนอก) ของแนวปฏิบัติ แล้วเทียบกับประกาศ กมช. เรื่องมาตรฐานคลาวด์ พ.ศ. 2567 และ PDPA มาตรา 28 แนวปฏิบัติ สกมช. เป็นข้อเสนอแนะ ไม่มีสภาพบังคับ ส่วนประกาศ กมช. เป็นประกาศจริงที่มีขอบเขตของตัวเอง สองอย่างนี้อย่าปนกัน

เรื่อง PDPA ของตัวกล้อง เช่น ป้ายแจ้ง ฐานกฎหมาย ระยะเก็บ และใครดูภาพได้ ดูใน บทความกล้องวงจรปิดในออฟฟิศ ร้าน คอนโด ที่นี่เน้นเรื่องภาพที่ออกไปนอกเครื่องของเรา

กล้อง P2P แอปมือถือ และคลาวด์ของผู้ผลิต ต่างจากเครื่องบันทึกในออฟฟิศอย่างไร?

ต่างกันที่ว่าตัวกลางคือใคร เครื่องบันทึกในออฟฟิศ (NVR หรือ DVR) อยู่ในมือเราเอง ส่วนบริการ P2P หรือคลาวด์ของผู้ผลิตมีเซิร์ฟเวอร์ของผู้ผลิตหรือผู้ให้บริการเป็นทางผ่านให้แอปเข้ามาดูภาพ ผู้เขียนแบ่งที่เก็บภาพเป็นสี่แบบเพื่อให้ตัดสินใจง่ายขึ้น คือเก็บในเครื่อง เก็บใน NVR คลาวด์ของผู้ผลิต และคลาวด์ที่เราเลือกเอง แนวปฏิบัติไม่ได้แบ่งสี่แบบนี้โดยตรง

ประโยคสำคัญที่ตามมาในข้อเดียวกันคือ การใช้ P2P หรือคลาวด์ไม่ควรถูกสรุปว่าปลอดภัยหรือไม่ปลอดภัยจากชื่อของเทคโนโลยีอย่างเดียว ให้ประเมินจากสถาปัตยกรรม มาตรการควบคุม และความเสี่ยงจริง

แปดข้อที่ข้อ 3.3.3.4 ให้ตอบก่อนเปิดใช้

1. ช่องทางเชื่อมต่อ ผ่านระบบหรือบริการใด
2. ข้อมูลที่ส่งออก มีข้อมูลหรือเมทาดาทาอะไรออกจากองค์กรบ้าง
3. สถานที่ให้บริการ เซิร์ฟเวอร์อยู่ที่ใด ตามข้อมูลที่ผู้ให้บริการเปิดเผย
4. ผู้ที่เข้าถึงได้ ใครสนับสนุนหรือบริหารระบบได้
5. การพิสูจน์ตัวตน รองรับ MFA หรือไม่
6. การควบคุมบริการ ปิดหรือจำกัดบริการได้หรือไม่
7. การบันทึกเหตุการณ์ มีบันทึกเพียงพอหรือไม่
8. การยุติบริการ ย้ายหรือยุติได้อย่างไร

ข้อที่สามที่ว่า "ตามข้อมูลที่ผู้ให้บริการเปิดเผย" เป็นคำที่แนวปฏิบัติเลือกใช้เอง แปลว่าที่ตั้งเซิร์ฟเวอร์เป็นคำบอกเล่าของผู้ให้บริการ ผู้ซื้อจึงควรขอให้เขียนไว้ในเอกสารบริการหรือสัญญา ไม่ใช่เชื่อจากหน้าเว็บขายของ

แอปมือถือที่ดูกล้อง ควรคุมแบบไหน?

ควรคุมเหมือนช่องทางเข้าระบบจากระยะไกลอื่น ๆ ไม่ใช่มองว่าเป็นแค่ของเล่นในมือถือ ข้อ 5.1.1 ให้พิจารณาพร้อมกันทั้งบัญชี แอป เครื่องมือถือ และข้อมูลที่อาจค้างอยู่ในเครื่อง

รายการที่ข้อ 5.1.1 แนะนำ ผู้เขียนเรียบเรียงใหม่ตามภาษาที่เจ้าของกิจการใช้ ดังนี้

• ใช้บัญชีรายคน เลี่ยงบัญชีที่หลายคนแชร์กัน
• ใช้ MFA กับบัญชีสิทธิสูงหรือการเข้าจากภายนอก เมื่อบริการรองรับ
• จำกัดสิทธิดูภาพย้อนหลัง ส่งออก และบริหารระบบตามหน้าที่
• ไม่เปิดแชร์ภาพหรือลิงก์แบบสาธารณะ หรือแบบไม่ต้องพิสูจน์ตัวตน โดยไม่มีเหตุผลและการควบคุมที่เหมาะสม
• มือถือมีล็อกหน้าจอ ใช้ระบบปฏิบัติการที่ยังได้รับการสนับสนุน และไม่ดัดแปลงจนลดกลไกความปลอดภัย
• ถ้ามือถือหาย ต้องยกเลิกเซสชัน โทเคน หรือบัญชีที่เกี่ยวข้องได้
• ไม่บันทึกภาพ CCTV ลงพื้นที่ส่วนตัวของเครื่องโดยไม่จำเป็น
• อัปเดตแอปให้เป็นเวอร์ชันที่ยังได้รับการสนับสนุน และเปิดแจ้งเตือนการเข้าสู่ระบบเมื่อรองรับ

สำหรับระบบเสี่ยงสูง แนวปฏิบัติบอกว่าอาจพิจารณาระบบบริหารอุปกรณ์เคลื่อนที่ (MDM) หรือมาตรการอื่นที่ให้ผลเทียบเท่า

เก็บภาพไว้ในเครื่อง NVR หรือบนคลาวด์ ควรถามอะไรก่อนเลือก?

ไม่มีที่เก็บแบบไหนที่ถูกต้องเสมอ แนวปฏิบัติ สกมช. บทที่ 5 เตือนไว้ทั้งสองด้าน ระบบในองค์กรที่ไม่เคยอัปเดต มีบัญชีร่วม ไม่มีบันทึกเหตุการณ์ และเปิดรีโมตตามใจ อาจเสี่ยงกว่าคลาวด์ที่มีคนบริหารและตรวจเป็นระบบ ในทางกลับกัน คลาวด์ที่ไม่มีใครตอบได้ว่าข้อมูลอยู่ที่ใด ใครเข้าได้ ใครถือกุญแจ ก็ไม่เหมาะกับระบบที่ผลกระทบสูง

แนวปฏิบัติสรุปหลักไว้ว่าให้ประเมินจากความเสี่ยงและมาตรการควบคุมที่เกิดขึ้นจริง ไม่ใช่จากชื่อของรูปแบบบริการ

ผู้ให้บริการคลาวด์ต้องตอบอะไรบ้าง ก่อนเอาภาพไปไว้?

ข้อ 5.1.3 ไล่คำถามที่องค์กรควรตอบได้ไว้แปดเรื่อง ตารางนี้ผู้เขียนเรียบเรียงจากข้อดังกล่าว พร้อมบอกเหตุผลว่าทำไมต้องถาม

แนวปฏิบัติเสริมอีกข้อว่า ถ้ามีกฎหมาย ข้อกำหนดเฉพาะภาคส่วน นโยบายองค์กร ข้อกำหนดจัดซื้อ หรือสัญญา ให้ข้อมูลบางประเภทต้องเก็บหรือประมวลผลในไทย ก็กำหนดเรื่องนั้นให้ชัดและตรวจสอบได้

ใครรับผิดชอบส่วนไหน ต้องเขียนลงเอกสาร

ข้อ 5.1.4 ให้ตกลงให้ชัดว่าใครเป็นผู้ดูแลบัญชีและ MFA การเข้ารหัสและกุญแจ บันทึกเหตุการณ์ แพตช์ การสำรองและกู้คืน การจัดการเหตุ วงจรชีวิตข้อมูล และการยุติบริการ แล้วบันทึกไว้ในสัญญา เอกสารบริการ หรือเมทริกซ์ความรับผิดชอบ (Responsibility Matrix) ข้อดีของเมทริกซ์คือเมื่อเกิดเหตุ ไม่ต้องมานั่งเถียงกันว่าเรื่องนี้ใครต้องทำ

ถ้าผู้ให้บริการเข้าถึงหรือประมวลผลข้อมูลส่วนบุคคลแทนองค์กร ข้อ 5.1.5 ให้กำหนดขอบเขตข้อมูล วัตถุประสงค์ คำสั่งของผู้ควบคุม การรักษาความลับ มาตรการความปลอดภัย ผู้ให้บริการช่วง การแจ้งเหตุละเมิด การช่วยตอบคำขอของเจ้าของข้อมูล การคืนและลบข้อมูล และสิทธิในการตรวจสอบ เป็นรายการเดียวกับที่ฝั่ง PDPA ต้องมีในข้อตกลงผู้ประมวลผล ดูรายการเต็มใน บทความสัญญาผู้ประมวลผลข้อมูล และถ้าผู้ให้บริการเป็นรายเดียวที่แตะภาพ ก็ลงชื่อไว้ในทะเบียนกิจกรรมประมวลผล (RoPA) ด้วย ซึ่ง AIPDPA มีทะเบียนนี้ให้ ดูที่ บัญชีตัวอย่าง

ประกาศ กมช. มาตรฐานคลาวด์ 2567 ใช้กับกล้องของเราหรือไม่?

ขึ้นกับว่าองค์กรของเราเป็น "หน่วยงาน" ตามนิยามของประกาศหรือไม่ ประกาศ กมช. ออกตามพระราชบัญญัติการรักษาความมั่นคงปลอดภัยไซเบอร์ พ.ศ. 2562 และข้อ 3 ให้ความหมายของคำนี้ไว้

ข้อ 4 ผูกหน้าที่ไว้กับหน่วยงานที่ใช้บริการคลาวด์สาธารณะ

ข้อ 5 เพิ่มว่า ถ้าเป็นข้อมูลส่วนบุคคล ให้จัดระดับผลกระทบด้านการรักษาความลับระดับกลางเป็นอย่างน้อย ตามประกาศเรื่องมาตรฐานการกำหนดคุณลักษณะความมั่นคงปลอดภัยไซเบอร์ พ.ศ. 2566 ดังนั้นสำหรับหน่วยงานรัฐ ผู้กำกับ หรือ CII ที่ใช้คลาวด์สาธารณะเก็บภาพกล้องที่เห็นหน้าคน ภาพนั้นเป็นข้อมูลส่วนบุคคล และเข้าข้อ 5 ได้ ส่วนเอกชนทั่วไปที่ไม่อยู่ในนิยามข้อ 3 ไม่ได้ถูกประกาศนี้ผูกโดยตรง แต่ผู้ให้บริการหรือสัญญากับหน่วยงานเหล่านั้นอาจพาเรื่องนี้มาถึงได้ ภาพรวมของประกาศอยู่ใน บทความมาตรฐานคลาวด์ สกมช. 2567

แนวปฏิบัติเล่ม CCTV ข้อ 5.1.2 พูดไว้สั้น ๆ ว่า สำหรับองค์กรที่อยู่ในขอบเขตของประกาศ การใช้คลาวด์กับกล้องควรดูข้อกำหนดของประกาศเพิ่มเติม และแนวปฏิบัติเล่มนี้ไม่ได้ใช้แทนประกาศ ให้ทำตามประกาศควบคู่กัน สำหรับระบบผลกระทบสูง ประกาศมีข้อกำหนดเรื่องคุณสมบัติผู้ให้บริการและการรับรอง เช่น ISO/IEC 27017 หรือ CSA STAR Level 2 ตามเงื่อนไข แต่แนวปฏิบัติเตือนไม่ให้เหมารวมไปใช้กับกล้องทุกระบบ

ภาพกล้องไปอยู่เซิร์ฟเวอร์ต่างประเทศ ติด PDPA มาตรา 28 หรือไม่?

มาตรา 28 พูดถึงผู้ควบคุมข้อมูลที่ส่งหรือโอนข้อมูลส่วนบุคคลไปยังต่างประเทศ ปลายทางต้องมีมาตรฐานคุ้มครองที่เพียงพอ เว้นแต่เข้าข้อยกเว้นที่ระบุไว้ในมาตราเดียวกัน

การใช้คลาวด์ของผู้ผลิตที่ตั้งนอกไทยนับเป็น "ส่งหรือโอน" หรือไม่ ต้องดูข้อเท็จจริงเป็นรายกรณี เป็นเรื่องที่ บทความมาตรา 28 วิเคราะห์ไว้ละเอียดแล้ว ที่ควรเอามาต่อกับกล้อง คือข้อเท็จจริงสี่อย่างที่ต้องรู้ก่อนจะตัดสิน และคำถามข้อ 5.1.3 กับข้อ 3.3.3.4 ที่ถามไปแล้วก็ให้ข้อมูลชุดเดียวกันนี้

1. เซิร์ฟเวอร์หลักและเซิร์ฟเวอร์สำรองอยู่ประเทศใด
2. บุคลากรของผู้ให้บริการจากประเทศใดเข้าดูภาพหรือระบบได้
3. ผู้ให้บริการช่วงคือใคร อยู่ที่ใด
4. ผู้ให้บริการหรือบริษัทในเครือใช้ภาพเพื่อวัตถุประสงค์อื่นของเขาด้วยหรือไม่

ส่วนข้อมูลที่เก็บในไทยก็ยังไม่จบเรื่อง แนวปฏิบัติ สกมช. ข้อ 5.1.3 เตือนว่า

ผู้เขียนตีความว่า สำหรับกล้อง เซิร์ฟเวอร์ในไทยช่วยลดคำถามเรื่องมาตรา 28 ได้ แต่ถ้าทีมดูแลหรือกุญแจอยู่ต่างประเทศ ก็ยังต้องถามต่อ ข้อนี้เป็นการตีความของทีมเรา ไม่ใช่ข้อความในแนวปฏิบัติ

ผู้ให้บริการแจ้งเหตุ ย้ายที่เก็บ หรือเลิกบริการ จะเกิดอะไรกับภาพของเรา?

ควรเขียนล่วงหน้าไว้ในสัญญา ข้อ 5.1.7 ให้พิจารณากำหนดให้ผู้ให้บริการแจ้งเหตุและการเปลี่ยนแปลงที่กระทบความปลอดภัย ความเป็นส่วนตัว หรือความต่อเนื่อง ได้แก่ เหตุด้านความปลอดภัย การละเมิดข้อมูลส่วนบุคคล บริการหยุดชะงัก กุญแจรั่วหรือถูกเปลี่ยน การย้ายที่เก็บหรือที่ประมวลผล การเปลี่ยนผู้ให้บริการช่วง การเปลี่ยนมาตรการสำคัญ และการเลิกฟังก์ชันหรือ API ที่เราพึ่งอยู่

เรื่องเวลา แนวปฏิบัติไม่ให้ใช้กรอบ 24 48 หรือ 72 ชั่วโมงเดียวกันกับทุกเหตุ ให้กำหนดจากกฎหมาย ความรุนแรง ความต้องการตอบสนอง และความเสี่ยงขององค์กร ส่วนเส้นตายแจ้ง สคส. ตาม PDPA เมื่อข้อมูลรั่วที่ฝั่งผู้ประมวลผล ดูใน บทความผู้ประมวลผลทำข้อมูลรั่ว ใครเป็นคนแจ้ง

ลบภาพแล้ว ภาพหายจริงหรือยัง

ข้อ 5.1.6 ให้ถามว่าข้อมูลอยู่ในส่วนใดบ้าง ได้แก่ พื้นที่จัดเก็บหลัก ข้อมูลสำรอง สำเนา แคช ไฟล์ที่ส่งออก และบันทึกเหตุการณ์กับข้อมูลกำกับ แล้วกำหนดว่าการลบครอบคลุมส่วนไหน ขอหลักฐานการลบได้ตามระดับความเสี่ยง

ผู้ซื้อจึงไม่ควรยอมรับถ้อยคำทั่วไปอย่าง "ลบภายในเวลาที่เหมาะสม" โดยไม่ถามต่อ และไม่ควรเอาตัวเลขของสัญญาฉบับหนึ่งไปใช้กับทุกบริการ ให้ตกลงเวลาในสัญญาตามความเสี่ยงของระบบนั้น

แผนทางออกต้องมีตั้งแต่วันแรก

ข้อ 5.1.8 ให้คิดแผนยุติหรือเปลี่ยนบริการตั้งแต่ก่อนเริ่มใช้ เพื่อไม่ให้ผูกติดกับผู้ให้บริการจนย้ายไม่ได้ แผนควรตอบได้ว่าจะเอาข้อมูลและค่าตั้งกลับมาอย่างไรและในรูปแบบใด ต้องเพิกถอนบัญชี สิทธิ เซสชัน โทเคน กุญแจ และใบรับรองใดบ้าง ข้อมูลสำรองถูกเก็บไว้นานเท่าไรและลบเมื่อใด จะขอหลักฐานการลบได้ไหม และถ้าบริการหยุดก่อนย้ายเสร็จจะทำงานต่ออย่างไร

1. ก่อนเปิดใช้ P2P หรือคลาวด์ของผู้ผลิต
   ตอบแปดข้อ และตัดสินว่าจะปิดบริการ จำกัด หรือใช้ต่อข้อ 3.3.3.4
2. ตอนเลือกและทำสัญญา
   ถามเรื่องที่ตั้ง ผู้เข้าถึง กุญแจ สำรอง ผู้ให้บริการช่วง และแบ่งความรับผิดชอบ ทำข้อตกลงผู้ประมวลผลข้อ 5.1.3–5.1.5
3. ตั้งค่าและแจกสิทธิ
   บัญชีรายคน MFA ปิดแชร์สาธารณะ และเตรียมวิธียกเลิกเซสชันเมื่อมือถือหายข้อ 5.1.1
4. ระหว่างใช้งาน
   ทบทวนผู้ให้บริการเมื่อมีการแจ้งเปลี่ยนที่เก็บ ผู้ให้บริการช่วง หรือมาตรการสำคัญข้อ 5.1.7
5. ตอนเลิกหรือเปลี่ยนผู้ให้บริการ
   ส่งออกภาพและค่าตั้ง เพิกถอนสิทธิ กุญแจ ลบสำเนาและข้อมูลสำรอง และขอหลักฐานการลบข้อ 5.1.6 · 5.1.8

ตัวอย่างสมมติ: ร้านมีหกสาขา ติดกล้องที่ดูผ่านแอปของแบรนด์

สมมติว่าเจ้าของร้านติดกล้องแบรนด์หนึ่งหกสาขา ให้ผู้จัดการสาขาและเจ้าของดูผ่านแอป ภาพเก็บบนคลาวด์ของแบรนด์ และเจ้าของยังไม่เคยอ่านเงื่อนไขบริการ จะเริ่มตรวจจากตรงไหน

1. ขอเอกสารบริการจากแบรนด์ แล้วตอบแปดข้อของข้อ 3.3.3.4 ถ้าตอบข้อไหนไม่ได้ ให้ถามผู้ขายเป็นลายลักษณ์อักษร
2. ดูว่าปิดการเชื่อมต่อผ่านบริการของแบรนด์ได้หรือไม่ ถ้าปิดไม่ได้และไม่รู้ที่ตั้งเซิร์ฟเวอร์ ให้พิจารณาว่ากล้องจุดไหนควรย้ายไปเก็บในเครื่องในร้านก่อน
3. แยกบัญชีรายคน ปิดบัญชีกลางที่ช่างตั้งไว้ และเปิด MFA ถ้ารองรับ
4. ทำรายการว่าใครในแบรนด์หรือผู้ให้บริการช่วงเข้าดูภาพได้ ถ้าเข้าได้ ให้มีข้อตกลงตามมาตรา 40 และดูเรื่องมาตรา 28 ถ้าเซิร์ฟเวอร์หรือทีมซัพพอร์ตอยู่นอกไทย
5. บันทึกวิธีเลิกใช้ ส่งออกภาพ ลบข้อมูล และเพิกถอนสิทธิ ก่อนที่จะมีสาขาที่เจ็ด

ถ้าร้านเป็นเอกชนทั่วไปที่ไม่ใช่หน่วยงานตามนิยามของประกาศคลาวด์ ก็ไม่ต้องทำรายงานตามข้อ 6 ของประกาศนั้น แต่รายการข้างต้นยังเป็นคำถามที่ควรถามอยู่ดี เพราะภาพหน้าลูกค้าและพนักงานคือข้อมูลส่วนบุคคลตาม PDPA

ใครรับผิดชอบเนื้อหานี้?

เรียบเรียงโดยทีมกฎหมาย AIPDPA · ผู้รับผิดชอบเนื้อหา ภูวรา ครอบตะคุ ทนายความ · เนติบัณฑิตไทย · ที่ปรึกษากฎหมายเทคโนโลยีและทรัพย์สินทางปัญญา

ใบอนุญาตทนายความ 477/2558 · เนติบัณฑิตไทย · นิติศาสตรมหาบัณฑิต กฎหมายทรัพย์สินทางปัญญาและสารสนเทศ (เหรียญทอง)