ใครเปิดดูภาพกล้องวงจรปิดได้ และเปิดไปเมื่อไร

คำถามที่เจ้าของร้าน ผู้จัดการอาคาร และ DPO มักเจอ คือ “เมื่อวานใครเปิดดูภาพกล้องช่วงบ่ายสามโมง” ถ้าตอบไม่ได้ ก็แปลว่าระบบเก็บภาพไว้ได้ แต่ยังไม่รู้ว่าใครเข้าถึงภาพนั้นบ้าง

แนวปฏิบัติการรักษาความมั่นคงปลอดภัยระบบกล้องวงจรปิด ของ สกมช. ฉบับ 29 กันยายน 2569 มีสองหัวข้อที่ตอบเรื่องนี้ คือข้อ 3.4 การดำเนินงานอย่างมั่นคงปลอดภัย (บัญชี สิทธิ การดูและส่งออกภาพ) และข้อ 3.5 การบำรุงรักษาและเฝ้าระวัง (บันทึกเหตุการณ์ หรือ log) เล่มที่ใช้กับกล้องที่มี AI ก็มีข้อ 3.5.7 เรื่องการคุ้มครอง log เพิ่มอีกข้อ

เอกสารเหล่านี้เป็น แนวปฏิบัติ ที่เขียนไว้เองในคำนำว่าเป็น “เพียงข้อเสนอแนะเบื้องต้น ไม่มีสภาพบังคับใช้” บทความนี้จึงไม่ใช้คำว่า “กฎหมายสั่ง” กับเนื้อหาของแนวปฏิบัติ ส่วนสิทธิของเจ้าของข้อมูลและการเปิดภาพให้ผู้อื่นดู ในมุม PDPA อ่านได้ที่ ติดกล้องวงจรปิดในออฟฟิศ ร้าน คอนโด ต้องทำอะไรตาม PDPA

แนวปฏิบัติ สกมช. ให้ตอบเรื่องการเข้าถึงภาพกล้องอย่างไร?

ข้อ 3.4 เปิดด้วยคำถามห้าข้อ ที่องค์กรควรตอบได้ทุกเมื่อ ซึ่งสรุปงานทั้งหมดของบทความนี้ไว้ในประโยคเดียว

ห้าคำถามนี้แปลเป็นงานได้ห้าอย่าง ใครคือผู้ใช้ (บัญชี) เข้าทางไหน (ช่องทาง) ทำอะไรได้ (สิทธิ) ทำแล้วมีร่องรอยไหม (log) และสิทธิของคนนั้นยังจำเป็นอยู่หรือเปล่า (ทบทวน) ถ้าขาดข้อใดข้อหนึ่ง คำถามเรื่อง “ใครเปิดดู” จะตอบไม่ครบ

ข้อ 3.4.5 อธิบายว่าทำไมต้องจริงจังกับการดูย้อนหลังและส่งออก

ควรแบ่งบัญชีและสิทธิผู้ใช้กล้องวงจรปิดอย่างไร?

หลักของข้อ 3.4.3 คือให้สิทธิเท่าที่จำเป็นและแยกตามหน้าที่จริง คนที่ต้องดูภาพสดหน้าเคาน์เตอร์ไม่จำเป็นต้องค้นภาพย้อนหลัง และคนที่ค้นภาพย้อนหลังไม่จำเป็นต้องแก้ค่าตั้งของเครื่อง

ตารางในข้อ 3.4.3 มีมาตรการที่แนวปฏิบัติระบุสถานะต่างกันตามระดับ B/E/H ซึ่งเป็นระดับของมาตรการตามความสำคัญและความเสี่ยงของระบบ ไม่ใช่การจัดว่าเป็นโครงสร้างพื้นฐานสำคัญทางสารสนเทศ (CII) ตามที่เอกสารระบุเองในข้อ 2.2.2

• แยกบทบาทผู้ดูภาพออกจากผู้ดูแลระบบ: “พึงปฏิบัติ” ทั้งสามระดับ
• ใช้บัญชีที่ระบุตัวผู้ใช้ได้ และเลี่ยงบัญชีผู้ดูแลที่ใช้ร่วมกัน: “พึงปฏิบัติ” ทั้งสามระดับ
• ปิดบัญชีผู้เยี่ยมชม บัญชีนิรนาม และบัญชีที่ไม่ได้ใช้: “พึงปฏิบัติ” ทั้งสามระดับ
• ทบทวนสิทธิ และเพิกถอนเมื่อพ้นหน้าที่หรือสิ้นสุดสัญญา: “พึงปฏิบัติ” ทั้งสามระดับ
• แยกสิทธิดู ค้นหา ส่งออก และตั้งค่า: ระดับเล็ก (B) “ควรพิจารณา” ระดับกลางและสูง “พึงปฏิบัติ”
• ควบคุมสิทธิของผู้ขาย ผู้รับเหมา หรือบุคคลที่สามเป็นการเฉพาะ: ระดับเล็ก “ควรพิจารณา” ระดับกลางและสูง “พึงปฏิบัติ”

เรื่องความถี่ในการทบทวนสิทธิ แนวปฏิบัติไม่กำหนดรอบเดียว

ร้านที่มีพนักงานเปลี่ยนบ่อยจึงควรทบทวนถี่กว่าสำนักงานเล็กที่มีคนดูแลสองคน และทุกครั้งที่มีคนลาออก ให้ถือเป็นเหตุให้ทบทวนทันที ไม่รอรอบปี

สำหรับช่างหรือผู้ติดตั้งภายนอก ข้อ 3.4.1 แนะนำให้จำกัดสิทธิตามเวลาและวัตถุประสงค์ (ระดับกลางและสูง “พึงปฏิบัติ”) และบันทึกการเข้าถึงกับกิจกรรมสำคัญของผู้ดูแลระบบ เรื่องรหัสผ่านและช่องทางเข้าจากระยะไกลอ่านต่อได้ที่ รหัสผ่านเริ่มต้นและการเข้าถึงกล้องจากระยะไกล

ต้องบันทึกอะไรบ้างเมื่อมีการดู ค้นหา และส่งออกภาพ?

ข้อ 3.4.5 ให้บันทึกการส่งออกครบห้าอย่าง คือผู้ส่งออก เวลา ช่วงข้อมูลที่ส่งออก วัตถุประสงค์ และผู้รับ แนวปฏิบัติจัดข้อนี้เป็น “ควรพิจารณา” ในระดับเล็ก และ “พึงปฏิบัติ” ในระดับกลางและสูง แนวทางเดียวกันใช้กับการให้มีเหตุผลและผู้อนุมัติก่อนส่งออก

ส่วนการจำกัดสิทธิดูภาพย้อนหลังตามบทบาทกับการมีขั้นตอนเปิดเผยข้อมูลแก่บุคคลภายนอก แนวปฏิบัติจัดเป็น “พึงปฏิบัติ” ทั้งสามระดับ

ถ้าภาพจะถูกใช้เป็นหลักฐาน เช่น ส่งตำรวจหรือใช้ในข้อพิพาท แนวปฏิบัติให้รักษาลำดับการครอบครองหลักฐาน (Chain of Custody) และตั้งเป้าให้ยืนยันได้ว่าไฟล์มาจากไหน

ขั้นตอนที่ผู้เขียนเสนอสำหรับคำขอให้ส่งออกภาพหนึ่งครั้ง เรียงตามนี้ (เป็นข้อเสนอของผู้เขียน ต่อยอดจากข้อ 3.4.5 ไม่ใช่ข้อความจากแนวปฏิบัติ)

1. 1 รับคำขอ
   จดว่าใครขอ ขอภาพช่วงไหน กล้องตัวไหน และขอไปเพื่ออะไรข้อ 3.4.5
2. 2 ตรวจเหตุผล
   ตรวจว่ามีเหตุผลและฐานเพียงพอที่จะเปิดเผยให้ผู้ขอหรือไม่ ถ้าไม่แน่ใจให้ปรึกษา DPO หรือฝ่ายกฎหมายก่อนข้อ 3.4.5
3. 3 อนุมัติ
   ผู้อนุมัติที่กำหนดไว้เซ็นรับรอง ไม่ใช่คนเดียวกับคนส่งออกถ้ามีคนพอข้อ 3.4.5
4. 4 ส่งออก
   ผู้ที่มีสิทธิส่งออกทำเอง ระบบหรือสมุดบันทึกผู้ส่งออก เวลา และช่วงข้อมูล ป้องกันไฟล์ที่ส่งออกไว้ข้อ 3.4.5
5. 5 ส่งมอบ
   จดชื่อผู้รับและวิธีส่งมอบ ถ้าเป็นหลักฐานให้รักษาลำดับการครอบครองข้อ 3.4.5
6. 6 ทบทวน
   ดูรายการส่งออกประจำเดือนว่ามีรายการผิดปกติหรือไม่ข้อ 3.5.2

ระบบกล้องควรเก็บ log เหตุการณ์อะไร และเก็บนานแค่ไหน?

ข้อ 3.5.2 ให้เก็บ log ตามความสามารถของระบบ และไม่ใช่เก็บทุกอย่างเท่ากัน ข้อความที่ควรอ่านก่อนคือเหตุผลของการเก็บ

รายการที่ข้อ 3.5.2 ให้พิจารณาบันทึกมี 13 อย่าง เช่น การเข้าและออกจากระบบ การเข้าระบบไม่สำเร็จ การเพิ่มลบหรือเปลี่ยนบัญชีและสิทธิ การเปลี่ยนค่าตั้งระบบ การเปิดช่องทางเข้าจากระยะไกล การปรับปรุงเฟิร์มแวร์ การส่งออกข้อมูล การเปลี่ยนระยะเก็บ กล้องหรืออุปกรณ์ที่ใช้งานไม่ได้ ดิสก์ผิดปกติ การเปลี่ยนเวลาในระบบ การงัดแงะบดบังหรือเปลี่ยนมุมกล้อง และการเชื่อมต่อไปยังปลายทางที่ผิดปกติ

ตัวอย่างที่เกี่ยวกับ “ใครเปิดดูภาพ” โดยตรงคือรายการที่เป็นการเข้าสู่ระบบ การส่งออกข้อมูล การเปลี่ยนสิทธิ และการเปลี่ยนระยะเก็บ ส่วนการเปลี่ยนเวลาในระบบก็สำคัญไม่แพ้กัน เพราะแนวปฏิบัติเตือนว่าอาจกระทบความถูกต้องของหลักฐานและการตรวจสอบย้อนหลัง

มาตรการอื่นในข้อ 3.5.2 ที่แนวปฏิบัติจัดเป็น “พึงปฏิบัติ” ทั้งสามระดับมีสองอย่าง คือกำหนดรอบการทบทวน log ตามความเสี่ยง และกำหนดระยะเก็บ log ตามกฎหมาย ข้อกำหนด และวัตถุประสงค์ ส่วนการตั้งเวลาเครื่องให้ตรงกัน การป้องกัน log จากการแก้หรือลบโดยไม่ได้รับอนุญาต และการแจ้งเตือนเหตุสำคัญ ระดับเล็กจัดเป็น “ควรพิจารณา” ระดับกลางและสูงจัดเป็น “พึงปฏิบัติ”

เรื่องระยะเก็บ แนวปฏิบัติไม่ได้ให้ตัวเลข และเตือนไม่ให้ตั้งเลขเดียวกับทุกระบบโดยอัตโนมัติ

CCTV ทุกระบบต้องเก็บ log 90 วันตาม พ.ร.บ.คอมพิวเตอร์ฯ หรือไม่?

ไม่ได้ตามที่ตัวบทเขียนไว้ และแนวปฏิบัติ สกมช. ก็เตือนเรื่องนี้เองในข้อ 2.2.2 ว่า ไม่ควรสรุปว่าระบบ CCTV ทุกระบบมีหน้าที่เก็บ log ในรูปแบบหรือระยะเวลาเดียวกัน (ข้อความนี้อยู่ในตารางของเอกสาร จึงสรุปความไว้ ไม่ยกเป็นตัวบท)

มาตรา 26 ของ พ.ร.บ.ว่าด้วยการกระทำความผิดเกี่ยวกับคอมพิวเตอร์ พ.ศ. 2550 พูดถึงหน้าที่ของ “ผู้ให้บริการ” ในการเก็บ “ข้อมูลจราจรทางคอมพิวเตอร์” สองคำนี้มีความหมายเฉพาะตามมาตรา 3 ก่อนอื่นดูคำว่า ข้อมูลจราจร

ผู้เขียนอ่านว่า ภาพที่กล้องบันทึกเป็นเนื้อหาภาพ ไม่ใช่ข้อมูลเกี่ยวกับการติดต่อสื่อสาร แต่ log การเชื่อมต่อของอุปกรณ์เข้าเครือข่ายหรืออินเทอร์เน็ตอาจเข้าลักษณะนั้นได้ ข้อนี้เป็นการตีความของผู้เขียน ไม่ใช่คำวินิจฉัย ถ้าเป็นกรณีจริงควรปรึกษาที่ปรึกษากฎหมาย ส่วนมาตรา 26 วรรคแรกมีข้อความดังนี้

คำถามถัดมาคือใครเป็น “ผู้ให้บริการ” มาตรา 3 นิยามไว้สองแบบ คือผู้ให้บริการเข้าอินเทอร์เน็ตหรือให้ติดต่อถึงกันผ่านระบบคอมพิวเตอร์ และผู้ให้บริการเก็บรักษาข้อมูลคอมพิวเตอร์เพื่อประโยชน์ของบุคคลอื่น ร้านที่ติดกล้องดูแลที่ร้านของตัวเองไม่ได้เข้านิยามนี้โดยอัตโนมัติ ส่วนบริษัทที่รับฝากภาพกล้องไว้บนคลาวด์ให้ลูกค้า อาจเข้านิยามข้อสองหรือไม่ต้องดูข้อเท็จจริงเป็นรายกรณี

มาตรา 26 ยังให้รัฐมนตรีประกาศในราชกิจจานุเบกษาว่าวรรคหนึ่งใช้กับผู้ให้บริการประเภทใด อย่างไร และเมื่อใด

ผู้เขียนไม่ได้ตรวจประกาศฉบับนั้นในการเขียนบทความนี้ จึงไม่ขอบอกว่าประเภทใดอยู่ในขอบเขต สิ่งที่บอกได้จากตัวบทคือ หน้าที่เก็บ 90 วันผูกกับ “ผู้ให้บริการ” และ “ข้อมูลจราจร” ไม่ได้ผูกกับกล้องวงจรปิดทุกตัว ถ้าธุรกิจเก็บ log ไว้ด้วยเหตุผลของ PDPA ก็ต้องกำหนดระยะเก็บเองให้มีเหตุผลรองรับ ตามที่ข้อ 3.5.2 บอกว่าให้ดูกฎหมาย วัตถุประสงค์ และความเสี่ยง ความขัดกันระหว่างการต้องเก็บ log กับคำขอลบข้อมูล วิเคราะห์ไว้ละเอียดแล้วที่ ลูกค้าขอลบข้อมูล แต่กฎหมายสั่งเก็บ log 90 วัน ต้องทำอย่างไร

ใครควรเห็นและทำอะไรกับภาพได้บ้าง ตารางบทบาท

ตารางนี้เป็นข้อเสนอของผู้เขียนที่ต่อยอดจากข้อ 3.4.3 3.4.5 และ 3.5.2 เพื่อให้เห็นภาพว่าแต่ละบทบาทควรทำอะไรได้และต้องมีหลักฐานอะไร ไม่ใช่ตารางจากแนวปฏิบัติโดยตรง ปรับให้เข้ากับขนาดองค์กรได้

PDPA และแนวปฏิบัติ AI กล้อง ว่าอย่างไรเรื่องการเข้าถึงและ log?

ในมุม PDPA ภาพที่ระบุตัวบุคคลได้เป็นข้อมูลส่วนบุคคล มาตรา 37 (1) ให้ผู้ควบคุมข้อมูลส่วนบุคคลจัดมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสม เพื่อป้องกันการเข้าถึง ใช้ และเปิดเผยโดยปราศจากอำนาจ ซึ่งการจำกัดสิทธิและการเก็บร่องรอยการเข้าถึงเป็นวิธีหนึ่งที่ทำได้ในทางปฏิบัติ

ตัวบทไม่ได้เขียนว่า “ต้องมี log” หรือ “ต้องแยกบัญชี” ตรง ๆ มาตรการที่เหมาะสมต้องดูตามความเสี่ยงของแต่ละที่ การใช้ข้อ 3.4–3.5 ของแนวปฏิบัติ สกมช. เป็นรายการตรวจจึงช่วยให้อธิบายได้ว่าได้พิจารณาอะไรไว้ แต่ไม่ใช่เส้นแบ่งถูกผิดตามกฎหมาย

log เองก็เป็นข้อมูลที่ต้องดูแล เพราะมักมีชื่อบัญชี เวลา และที่อยู่เครื่องของผู้ใช้ เล่มแนวปฏิบัติสำหรับกล้องที่ใช้ AI มีข้อ 3.5.7 พูดเรื่องนี้ไว้ตรง ๆ

หลักข้อนี้เขียนไว้ในเล่ม AI แต่ใช้เป็นแนวคิดกับกล้องทั่วไปได้ ถ้าระบบของคุณมีการวิเคราะห์ภาพด้วย AI หรือข้อมูลชีวมิติ ให้อ่านเล่ม AI เพิ่มด้วย เพราะ log ของระบบเหล่านั้นอาจมีข้อมูลที่ละเอียดอ่อนกว่า

ข้อผิดพลาดที่ควรเลี่ยงเรื่องสิทธิและ log กล้อง

ถ้าพบว่าภาพถูกเปิดดูหรือส่งออกโดยไม่มีใครรับผิดชอบ ให้ประเมินว่าเป็นเหตุละเมิดข้อมูลส่วนบุคคลหรือไม่ เรื่องนี้ดูต่อที่ ภาพกล้องวงจรปิดรั่ว ต้องทำอะไรบ้าง

ใครรับผิดชอบเนื้อหานี้?

เรียบเรียงโดยทีมกฎหมาย AIPDPA · ผู้รับผิดชอบเนื้อหา ภูวรา ครอบตะคุ ทนายความ · เนติบัณฑิตไทย · ที่ปรึกษากฎหมายเทคโนโลยีและทรัพย์สินทางปัญญา

ใบอนุญาตทนายความ 477/2558 · เนติบัณฑิตไทย · นิติศาสตรมหาบัณฑิต กฎหมายทรัพย์สินทางปัญญาและสารสนเทศ (เหรียญทอง)