ผู้เข้าร่วมเสวนา Orb เผยกระบวนการสแกนม่านตา มีการเก็บข้อมูลส่วนบุคคลจริง แต่ว่าต้องถูกกำกับด้วยกฎหมายคุ้มครองข้อมูลส่วนบุคคล ด้านสำนักงานคุ้มครองข้อมูลส่วนบุคคล จี้บริษัทชี้แจงข้อมูลให้ชัดเจน หากให้สแกนม่านตาเพื่อยืนยันตัวตน ชี้ข้อมูลดังกล่าวสามารถระบุตัวตนย้อนกลับได้ วอนประชาชนตัดสินใจให้ถี่ถ้วนก่อนยินยอมให้สแกนม่านตา
สำนักข่าวอิศรา (www.isranews.org) รายงานว่าเมื่อวันที่ 19 ก.ย.ที่ผ่านมา มีการจัดเสวนา Orb Technical Deep Dive ณ ห้องบอลรูม ชั้น 7 โรงแรมอัศวินแกรนด์คอนเวนชัน โดย Orb เป็นอุปกรณ์สแกนม่านตาที่ใช้โดยโครงการ Worldcoin เพื่อยืนยันตัวตนว่าเป็นมนุษย์
ซึ่งหลังการประชุม นายธนารัตน์ กัววัฒนาพันธ์ ผู้จัดการฝ่ายเทคโนโลยี บริษัท บล็อกเอจ จำกัดได้มีการโพสต์เฟซบุ๊กสรุปการเสวนาเอาไว้ว่า
ครึ่งเช้าภารกิจหลักคือแงะ Orb เอาหน่วยความจำออกมาตรวจดูว่ามีการเก็บข้อมูลอะไรไหม = ไม่มี
สำหรับกฎหมายที่เกี่ยวข้อง คือพรบ.คุ้มครองข้อมูลส่วนบุคคล มาตราที่ 6 เขียนนิยามเอาไว้โดยสังเขปว่า ข้อมูลส่วนบุคคลคือข้อมูลที่ใช้ระบุตัวบุคคลได้ ไม่ว่าจะทางตรงหรือทางอ้อม ต่อไปนี้คือความเห็นส่วนตัว ว่าตีความตามกฎหมายว่าอย่างไร
ข้อมูลที่เกี่ยวข้องมีอะไรบ้าง
1. ภาพม่านตา ได้จากการสแกนหน้าที่ Orb แปลง Iris Code (ชุดรหัสตัวเลขแบบคอมพิวเตอร์ เพื่อนำไปใช้ยืนยันตัวบุคคลผ่านแอปพลิเคชัน World) เสร็จ ลบทันที ️ เป็นข้อมูลส่วนบุคคล
2. ภาพถ่ายใบหน้า ได้จากการสแกนหน้าที่ Orb ส่งไปเก็บที่เครื่องผู้ใช้เสร็จ ลบทันที ️เป็นข้อมูลส่วนบุคคล
3. User's Key / Public Key / Private Key หมายถึง กุญแจดิจิทัลที่อยู่ในโทรศัพท์ของเรา เป็นระบบที่มีความปลอดภัยสูงมาก บน Android เรียก keystore บน iOS เรียก key enclave แต่ละแอปที่ติดตั้งบนโทรศัพท์ สามารถขอสร้างกุญแจดิจิทัลได้ แต่ละแอปจะแยกกุญแจกัน กุญแจจะประกอบด้วยกุญแจลับ และกุญแจสาธารณะ กุญแจลับอยู่ในชิป เอาออกมาไม่ได้ไม่ว่าจะวิธีการใด ส่วนกุญแจสาธารณะเอาออกมาได้ การใช้งานมีสองกรณี คือใช้สร้างลายมือชื่อดิจิทัล กับใช้ในการเข้ารหัสที่ไม่มีคนอื่นแกะอ่านได้นอกจากเราเอง ถูกสุ่มสร้างมา ไม่เป็นข้อมูลส่วนบุคคล
4. Identity Commitment สร้างจาก Public Key ผ่านการเข้ารหัสทางเดียว (แปลง Identity Commitment กลับไปเป็น Public Key ไม่ได้) มีการนำไปยัดใส่บล็อกเชนด้วย โดยดีไซน์ให้ข้อมูลนี้เป็นความลับ ไม่ควรมีใครล่วงรู้ว่า Identity Commitment ของเราคืออะไร การยืนยันตัวจึงทำด้วยวิธี Zero-knowledge Proof พิสูจน์ว่า Identity Commitment ของเรามีอยู่จริงบนบล็อกเชน แต่ไม่รู้ว่าของเราคือรายการไหนกันแน่ แปลงมาจากข้อมูลสุ่ม ไม่เป็นข้อมูลส่วนบุคคล
5. Iris Code เป็นชุดข้อมูลลายม่านตา ที่ถูกแปลงจากภาพม่านตา ด้วยเทคโนโลยีปัจจุบันยังไม่มีทางแปลงกลับไปเป็นภาพม่านตาได้ ตอนนี้ยังไม่มีการนำมาใช้งานสักเท่าไหร่ เพราะระบบทำการออกภาพถ่ายใบหน้าให้เป็นสิ่งทดแทนการยืนยันตัวแล้ว มีกรณีเดียวที่ใช้งานคือ เป็นข้อมูลส่วนบุคคล
6. ไม่มีคำเรียกอย่างเป็นทางการ แต่ผมขอเรียกว่า Iris Shamir Shares เป็นการเอา Iris Code มาเข้ารหัส MPC ด้วยวิธี Shamir Secret Sharing แบ่ง Iris Code ออกเป็น 3 ท่อน แล้วจัดเก็บแยกสถานที่กัน เป็นข้อมูลส่วนบุคคล
สรุปไวๆ Orb มีการเก็บข้อมูลส่วนบุคคลจริง ดังนั้นก็ต้องถูกกำกับด้วย พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล ซึ่งมีกลไกแตกต่างกันขึ้นกับลักษณะของข้อมูล
1. ภาพม่านตา เนื่องจากถ่ายแล้วลบทันที ไม่มี data at rest เลยผ่านข้อกำหนด
2. ภาพถ่ายใบหน้า เนื่องจากถ่ายแล้วลบทันที ไม่มี data at rest เลยผ่านข้อกำหนด
3. User's Key ข้าม ไม่ถือเป็นข้อมูลส่วนบุคคล
4. Identity Commitment ข้ามเช่นกัน ไม่เป็นข้อมูลส่วนบุคคล
5. Iris Code ถูกเข้ารหัสแล้วผ่านข้อกำหนด
6. Iris Shamir Shares ถูกเข้ารหัสแล้วผ่านข้อกำหนด
นอกจากนี้บริษัทได้จดทะเบียนในไทยด้วย ทำให้สอดคล้องกับการบังคับใช้กฎหมายทันที ถือว่าผ่านข้อกำหนดเช่นกัน
ต่อมาเมื่อวันที่ 20 ก.ย. เฟซบุ๊กสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (สคส.) ได้โพสต์ข้อความว่าภายหลังการจัดเสวนาดังกล่าว ซึ่งให้มีการตรวจพิสูจน์หลักฐานการลบทำลายข้อมูลม่านตาในกรณีสแกนม่านตาแลกเหรียญ WorldID
พบว่าผู้ที่สแกนม่านตาไปแล้วไม่สามารถสแกนซ้ำได้ จึงชัดเจนว่าการสแกนม่านตา นอกจากมีวัตถุประสงค์ในการยืนยันความเป็นมนุษย์แล้ว ยังมีวัตถุประสงค์ในการตรวจสอบไม่ให้ซ้ำบุคคลเดิมอีกด้วย แม้ว่าในการทำงานของ Orb จะมีการลบทำลายข้อมูลม่านตาหรือไม่ก็ตาม ก็ถือได้ว่าข้อมูลม่านตาดังกล่าวสามารถย้อนกลับมาระบุถึงตัวบุคคลนั้นได้ไม่ว่าทางตรงทางอ้อม ซึ่งประเด็นนี้ประชาชนควรต้องทราบก่อนตัดสินใจให้ความยินยอมเข้าสแกนม่านตา
สคส. ขีดเส้นแดงความโปร่งใส และสิทธิของประชาชนเจ้าของข้อมูลส่วนบุคคลต้องมาก่อน เตือนหากขอ Consent ไม่โปร่งใส หรือแจ้งวัตถุประสงค์ไม่ชัดเจน หรือไม่ได้แยกส่วนจากข้อความอื่น เสี่ยงโทษปรับสูงสุด 5 ล้าน พร้อมย้ำ “ข้อมูลม่านตาคือข้อมูลอ่อนไหว” มีความเสี่ยงสูงที่อาจส่งผลกระทบต่อสิทธิของเจ้าของข้อมูลส่วนบุคคลอย่างร้ายแรงได้ โดยผลการตรวจพิสูจน์เบื้องต้นพบว่า
• Orb ไม่ใช่อุปกรณ์เดียว ที่เกี่ยวข้องกับกิจกรรมนี้ ยังมี server และอุปกรณ์อื่นร่วมด้วย
• การลบข้อมูลใน Orb ไม่สามารถพิสูจน์ได้ว่าข้อมูลถูกทำลายหมดจริง เพราะเมื่อสแกนซ้ำ ระบบยัง “รู้ว่าเป็นคนเดิม” → ดังนั้นในการขอ Consent จึงต้องแจ้งวัตถุประสงค์ให้ชัดว่า “สามารถย้อนมาระบุตัวบุคคลได้”
• Iris Code ถูกแปลงมาจากข้อมูลม่านตาซึ่งเป็นข้อมูลชีวภาพอ่อนไหวแล้วฝังลงในโทรศัพท์ ตามจริยธรรมการใช้ข้อมูลต้องไม่นำไปให้ผู้อื่นใช้ → ดังนั้นในการขอ Consent จึงต้องแจ้งให้ชัดว่า “ใช้ได้เฉพาะเจ้าของโทรศัพท์ผู้สแกนม่านตาเท่านั้น”
• ตรวจสอบ Privacy Notice พบว่าแต่ละเวอร์ชัน มีวัตถุประสงค์และเนื้อหาต่างกัน จึงให้บริษัทตรวจสอบและแก้ไขให้ถูกต้องสอดคล้องกับ PDPA ต่อไป
หากไม่ปฏิบัติตามข้อ 2 และข้อ 3 = ถือว่าเป็น การขอความยินยอมที่ไม่ชอบด้วยกฎหมาย
เข้าข่ายฝ่าฝืนมาตรา 26 ของ PDPA (เก็บรวบรวมข้อมูลอ่อนไหวโดยมิได้รับความยินยอมโดยชัดแจ้ง)
มีโทษตามมาตรา 84 ปรับทางปกครองสูงสุดไม่เกิน 5 ล้านบาท
สังคมต้องการ “ความโปร่งใส” และ “สิทธิของเจ้าของข้อมูล” มาเป็นอันดับแรก เพื่อป้องกันไม่ให้ประชาชนหลงให้ความยินยอมทั้งที่ยังไม่อาจทราบวัตถุประสงค์ที่ชัดเจนอันอาจมีผลต่อการตัดสินใจในการให้ข้อมูล และอาจมีผลต่อความสงบเรียบร้อยและศีลธรรมอันดีของประชาชนอีกด้วย
สคส.ขอย้ำว่า กรณีนี้ไม่ใช่เพียงการคุ้มครองข้อมูลส่วนบุคคลแต่เป็นการรักษาความสงบเรียบร้อย และศีลธรรมอันดีของประชาชนด้วย ซึ่งความหวังอยู่ที่การบังคับใช้กฎหมาย PDPA ดังนั้นต้องดำเนินการอย่างเคร่งครัด
ทั้งนี้ หากประชาชนผู้ใดได้รับความเสียหายตาม กม. PDPA สามารถใช้สิทธิร้องเรียนมายัง สคส. ได้ทาง ระบบรับคำร้องเรียน: https://complaint.pdpc.or.th/ หรือโทร 02-111-8800 กด 2 เรื่องร้องเรียน
ต่อมา พ.ต.อ. สุรพงศ์ เปล่งขำ เลขาธิการคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล สคส. หรือ PDPC เปิดเผยภายหลังได้ตรวจพิสูจน์หลักฐานการสแกนม่านตาดังกล่าวว่า กรณีนี้ไม่เพียงเกี่ยวข้องกับการคุ้มครองข้อมูลส่วนบุคคล แต่ยังสะท้อนถึง ความสงบเรียบร้อยและศีลธรรมอันดีของสังคมไทย
พ.ต.อ. สุรพงศ์ กล่าวอีกว่า“ข้อมูลชีวมิติ (Biometric Data) โดยเฉพาะม่านตา ถือเป็นข้อมูลอ่อนไหวตามกฎหมาย ต้องได้รับความยินยอมอย่างถูกต้องและโปร่งใส” พร้อมระบุ 2 เงื่อนไขสำคัญที่จะสร้างความสงบเรียบร้อยและความเชื่อมั่น คือ
1. ความโปร่งใส (Transparency) ในการแจ้งวัตถุประสงค์ที่แท้จริง และ
2. การคุ้มครองสิทธิของเจ้าของข้อมูล (Data Subject Rights) อย่างครบถ้วน
ทั้งนี้ ที่ผ่านมาจากการตรวจสอบของ สคส. พบข้อกังวลหลายประเด็น โดยบริษัทแม้อ้างว่ามีการ “ลบทำลายข้อมูล” การสแกนม่านตามีวัตถุประสงค์เป็นเพียงการยืนยันความเป็นมนุษย์เท่านั้น มิได้มีวัตถุประสงค์ในการระบุยืนยันถึงตัวบุคคล แต่ยังไม่มีหลักฐานที่สามารถยืนยันได้อย่างชัดเจนว่ามีการลบทำลายจริงหรือไม่อย่างไร อีกทั้งยังพบกรณีการจ้างบุคคลเข้ามาสแกนม่านตาเพื่อแลกเหรียญ ซึ่งก่อให้เกิดความไม่สงบเรียบร้อยและเสี่ยงต่อการถูกนำไปใช้ในทางมิชอบ แม้ว่าบริษัทจะชี้แจงว่าไม่มีส่วนเกี่ยวข้องกับมิจฉาชีพ แต่ สคส. เห็นว่าจำเป็นต้องมีมาตรการป้องกันเชิงรุก อาทิ
การจัดทำข้อความแจ้งเตือน การติดตั้งป้ายประชาสัมพันธ์ที่ชัดเจน และการจัดเจ้าหน้าที่ควบคุมการสแกนในพื้นที่จริง
และเพื่อความโปร่งใส บริษัทได้ชะลอการสแกนม่านตา และกำหนดวันแสดงหลักฐานต่อสาธารณชน
ผลการแสดงหลักฐานพบว่า ผู้ที่สแกนแล้วไม่สามารถสแกนซ้ำได้อีก แสดงว่าการสแกนม่านตามีวัตถุประสงค์ทั้งเพื่อยืนยันความเป็นมนุษย์และป้องกันการซ้ำบุคคล แม้จะอ้างว่ามีการลบข้อมูล แต่ข้อมูลม่านตายังสามารถย้อนกลับไประบุตัวบุคคลได้ไม่ว่าทางตรงหรือทางอ้อม ซึ่งประชาชนควรรับรู้ก่อนตัดสินใจยินยอมสแกน
พ.ต.อ. สุรพงศ์ ระบุว่า หากการขอความยินยอม (Consent) ไม่แจ้งวัตถุประสงค์ให้ชัดเจนว่า ข้อมูลยังสามารถย้อนกลับมายืนยันตัวบุคคลได้ อาจถือเป็นการขอความยินยอมโดยไม่ชอบด้วยกฎหมาย ตามมาตรา 19 วรรค 3 อันเข้าข่ายเป็นการฝ่าฝืนตามมาตรา 26 คือการเก็บรวบรวมข้อมูลอ่อนไหว โดยไม่ได้รับความยินยอมอย่างชัดแจ้ง มีโทษตามมาตรา 84 ของ พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ซึ่งมีโทษปรับทางปกครองสูงสุดถึง 5 ล้านบาท
“เรื่องนี้ไม่ใช่เพียงประเด็นการคุ้มครองข้อมูลส่วนบุคคล แต่คือความมั่นคงของสังคม ซึ่งมาตรการในการคุ้มครองข้อมูลส่วนบุคคลคือ ต้องสื่อสารข้อเท็จจริงให้ประชาชนเข้าใจอย่างตรงไปตรงมา ทาง สคส. จะดำเนินการให้เป็นไปตามกฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคลอย่างเคร่งครัด และสมดุลกับการพัฒนาเทคโนโลยีให้สอดคล้องกับบริบทสังคมไทยต่อไป” พ.ต.อ. สุรพงศ์ กล่าวสรุปในตอนท้าย
Isranews Agency | สำนักข่าวอิศรา 