ระบบสแกนใบหน้ากลายเป็นมาตรฐานใหม่ของการเข้าออกอาคารและการลงเวลาทำงาน เพราะสะดวก รวดเร็ว และไม่ต้องสัมผัส แต่หลายองค์กรติดตั้งไปแล้วโดยยังไม่ได้เตรียมเอกสารและกระบวนการตามกฎหมาย ซึ่งเป็นความเสี่ยงที่มองไม่เห็นจนกว่าจะมีผู้ร้องเรียน
บทความนี้อธิบายว่า พ.ร.บ. คุ้มครองข้อมูลส่วนบุคคล (PDPA) กำหนดอะไรไว้บ้างเกี่ยวกับข้อมูลใบหน้า และองค์กรต้องเตรียมอะไรก่อนติดตั้งจริง
ทำไมข้อมูลใบหน้าถึงพิเศษกว่าข้อมูลอื่น
พ.ร.บ. คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 (PDPA) แบ่งข้อมูลส่วนบุคคลเป็น 2 ระดับ:
- ข้อมูลส่วนบุคคลทั่วไป — ชื่อ ที่อยู่ เบอร์โทร อีเมล
- ข้อมูลส่วนบุคคลอ่อนไหว (Sensitive Personal Data) — เชื้อชาติ ศาสนา ประวัติอาชญากรรม ข้อมูลสุขภาพ และข้อมูลชีวภาพ (biometric) ซึ่งรวมถึงใบหน้า ลายนิ้วมือ ม่านตา
ข้อมูลอ่อนไหวมีข้อกำหนดที่เข้มงวดกว่ามาก — โดยหลักแล้วต้องได้รับ ความยินยอมโดยชัดแจ้ง (explicit consent) จากเจ้าของข้อมูล เว้นแต่จะเข้าข้อยกเว้นที่กฎหมายกำหนด และบทลงโทษกรณีฝ่าฝืนก็สูงกว่าข้อมูลทั่วไปเช่นกัน
จุดที่มักเข้าใจผิด: กล้องวงจรปิดทั่วไปที่บันทึกภาพคน ถือเป็นข้อมูลส่วนบุคคลทั่วไป — แต่เมื่อใดที่ระบบแปลงใบหน้าเป็นข้อมูลเชิงตัวเลขเพื่อระบุตัวบุคคล (face template) เมื่อนั้นจะกลายเป็นข้อมูลชีวภาพซึ่งเป็นข้อมูลอ่อนไหวทันที
ระบบสแกนใบหน้าเก็บอะไรไว้จริง ๆ
ความเข้าใจนี้สำคัญต่อการอธิบายกับพนักงานและการออกแบบมาตรการความปลอดภัย:
ระบบส่วนใหญ่ไม่ได้เก็บรูปถ่ายใบหน้าไว้ตรง ๆ แต่ประมวลผลใบหน้าให้เป็นชุดตัวเลขที่แทนลักษณะเฉพาะ เรียกว่า face template หรือ faceprint แล้วเก็บเฉพาะชุดตัวเลขนั้น เวลาสแกนก็นำค่าที่ได้มาเทียบกับที่เก็บไว้
ข้อดีคือถ้าข้อมูลรั่วไหล ผู้ได้ข้อมูลไปไม่สามารถสร้างภาพใบหน้ากลับคืนมาได้ง่าย ๆ — แต่ในทางกฎหมาย ข้อมูลนี้ยังคงเป็นข้อมูลชีวภาพที่ใช้ระบุตัวบุคคลได้ จึงยังอยู่ภายใต้ข้อกำหนดของข้อมูลอ่อนไหวเต็มรูปแบบ
ฐานทางกฎหมายที่ใช้ได้ — และข้อควรระวัง
ก่อนเก็บข้อมูลใบหน้า องค์กรต้องระบุให้ได้ว่าใช้ฐานทางกฎหมายใด:
| ฐานทางกฎหมาย | ใช้ได้เมื่อ | ข้อควรระวัง |
|---|---|---|
| ความยินยอมโดยชัดแจ้ง | เจ้าของข้อมูลยินยอมด้วยความสมัครใจ โดยได้รับข้อมูลครบถ้วน | ต้องถอนความยินยอมได้ และการถอนต้องไม่ทำให้เสียประโยชน์ — กรณีนายจ้าง-ลูกจ้างต้องระวังเป็นพิเศษ เพราะอาจถูกมองว่าไม่ได้ยินยอมโดยอิสระ |
| ประโยชน์สำคัญต่อชีวิต | จำเป็นเพื่อป้องกันอันตรายต่อชีวิต ร่างกาย หรือสุขภาพ | ใช้ได้เฉพาะกรณีจำเป็นจริง ไม่ใช่เหตุผลทั่วไปด้านความปลอดภัย |
| การปฏิบัติตามกฎหมาย | มีกฎหมายเฉพาะกำหนดให้ต้องเก็บ | ต้องอ้างอิงกฎหมายฉบับที่ชัดเจนได้ |
ประเด็นสำคัญสำหรับนายจ้าง: การใช้ความยินยอมของลูกจ้างเป็นฐานทางกฎหมายมีความเปราะบาง เพราะลูกจ้างอยู่ในสถานะที่อาจรู้สึกว่าปฏิเสธไม่ได้ แนวปฏิบัติที่ปลอดภัยกว่าคือ:
- เสนอทางเลือกอื่นที่ใช้งานได้จริงเสมอ — เช่น ให้เลือกใช้บัตรหรือรหัสแทนการสแกนใบหน้าได้ โดยไม่เสียสิทธิ์หรือถูกปฏิบัติแตกต่าง
- บันทึกหลักฐานว่าให้ทางเลือกจริง — มีผู้ที่เลือกไม่ใช้ระบบสแกนใบหน้าและยังทำงานได้ตามปกติ
- ไม่ผูกการสแกนใบหน้ากับการจ่ายค่าจ้างในลักษณะที่ทำให้ไม่มีทางเลือก
สิ่งที่องค์กรต้องเตรียมก่อนติดตั้ง
- ประเมินความจำเป็นก่อน — ตอบให้ได้ว่าทำไมต้องใช้ใบหน้า ในเมื่อบัตรหรือ PIN ก็ทำงานได้ หลักการสำคัญของ PDPA คือเก็บเท่าที่จำเป็น
- จัดทำประกาศความเป็นส่วนตัว (Privacy Notice) — ระบุว่าเก็บข้อมูลอะไร เพื่ออะไร เก็บนานเท่าไร ใครเข้าถึงได้ ส่งต่อให้ใครหรือไม่ และเจ้าของข้อมูลมีสิทธิ์อะไรบ้าง
- ขอความยินยอมเป็นลายลักษณ์อักษร — แยกออกจากสัญญาจ้างหรือเอกสารอื่น ให้เห็นชัดว่าเป็นการยินยอมเรื่องข้อมูลชีวภาพโดยเฉพาะ
- กำหนดระยะเวลาเก็บและวิธีลบ — เมื่อพนักงานลาออกหรือผู้มาติดต่อจบภารกิจ ต้องมีขั้นตอนลบข้อมูลที่ทำได้จริงและมีผู้รับผิดชอบ
- จำกัดสิทธิ์การเข้าถึง — กำหนดว่าใครดูข้อมูลได้ พร้อมบันทึกประวัติการเข้าถึง (audit log)
- ติดป้ายแจ้งในพื้นที่ที่มีการเก็บข้อมูล — ให้ผู้มาติดต่อทราบก่อนเข้าพื้นที่
- จัดทำบันทึกรายการกิจกรรมการประมวลผล (RoPA) — เอกสารที่กฎหมายกำหนดให้องค์กรต้องมี
- ประเมินผลกระทบด้านการคุ้มครองข้อมูล — สำหรับการประมวลผลข้อมูลอ่อนไหวในวงกว้าง ควรทำการประเมินความเสี่ยงอย่างเป็นระบบ
มาตรการทางเทคนิคที่ควรมี
| มาตรการ | รายละเอียด |
|---|---|
| เข้ารหัสข้อมูล | เข้ารหัสทั้งขณะจัดเก็บและขณะส่งผ่านเครือข่าย |
| เก็บข้อมูลไว้ในประเทศ | หากใช้ระบบคลาวด์ ต้องตรวจสอบว่าข้อมูลถูกเก็บที่ใด การส่งข้อมูลออกนอกประเทศมีข้อกำหนดเพิ่มเติม |
| เก็บเฉพาะ template ไม่เก็บภาพ | ถ้าระบบรองรับ ให้ตั้งค่าไม่เก็บภาพใบหน้าต้นฉบับ เก็บเฉพาะชุดข้อมูลที่ใช้เทียบ |
| แยกเครือข่าย | อุปกรณ์สแกนใบหน้าควรอยู่ใน VLAN แยก ไม่ปะปนกับเครือข่ายทั่วไป และไม่เปิดออกอินเทอร์เน็ตโดยตรง |
| เปลี่ยนรหัสผ่านเริ่มต้น | อุปกรณ์ที่ยังใช้รหัสผ่านจากโรงงานคือช่องโหว่ที่ถูกโจมตีบ่อยที่สุด |
| อัปเดตเฟิร์มแวร์ | ติดตามและติดตั้งการอัปเดตด้านความปลอดภัยสม่ำเสมอ |
| มีแผนรับมือข้อมูลรั่วไหล | กฎหมายกำหนดให้ต้องแจ้งเหตุละเมิดข้อมูลภายในกรอบเวลาที่กำหนด ต้องเตรียมขั้นตอนไว้ล่วงหน้า |
กรณีการใช้งานที่ความเสี่ยงต่างกัน
| การใช้งาน | ระดับความเสี่ยง | ข้อแนะนำ |
|---|---|---|
| ควบคุมเข้าออกพื้นที่หวงห้าม (ห้องเซิร์ฟเวอร์ ห้องเก็บของมีค่า) | ต่ำ — มีเหตุผลด้านความปลอดภัยรองรับชัดเจน | ใช้ได้ ระบุเหตุผลความจำเป็นให้ชัด จำกัดเฉพาะผู้มีสิทธิ์เข้า |
| ลงเวลาทำงานพนักงาน | ปานกลาง — ประเด็นความยินยอมโดยอิสระ | ต้องมีทางเลือกอื่น (บัตร/PIN) ให้เสมอ |
| ระบุตัวลูกค้า/ผู้มาติดต่อ | สูง — บุคคลภายนอกไม่ได้อยู่ในความสัมพันธ์ที่ยินยอมล่วงหน้า | ต้องแจ้งและขอความยินยอมชัดเจนก่อนเก็บ ควรพิจารณาว่าจำเป็นจริงหรือไม่ |
| ค้นหาบุคคลจากกล้องทั่วพื้นที่ | สูงมาก — เป็นการเฝ้าระวังในวงกว้าง | ต้องประเมินผลกระทบอย่างละเอียด และควรปรึกษาที่ปรึกษากฎหมายก่อนใช้งาน |
เช็กลิสต์ก่อนเปิดใช้ระบบ
- ตอบได้ไหมว่าทำไมต้องใช้ใบหน้า แทนที่จะใช้บัตรหรือรหัส?
- มีประกาศความเป็นส่วนตัวที่อธิบายครบถ้วนแล้วหรือยัง?
- มีแบบฟอร์มขอความยินยอมแยกเฉพาะเรื่องข้อมูลชีวภาพหรือยัง?
- มีทางเลือกอื่นให้ผู้ที่ไม่ยินยอมหรือยัง — และใช้ได้จริงโดยไม่เสียสิทธิ์?
- กำหนดระยะเวลาเก็บและมีขั้นตอนลบข้อมูลที่ทำได้จริงหรือยัง?
- จำกัดสิทธิ์การเข้าถึงและมีบันทึกการเข้าถึงหรือยัง?
- ข้อมูลถูกเข้ารหัสและเก็บอยู่ที่ใด ตรวจสอบแล้วหรือยัง?
- มีแผนรับมือกรณีข้อมูลรั่วไหลหรือยัง?
สรุป
เทคโนโลยีจดจำใบหน้าใช้งานได้อย่างถูกกฎหมายในประเทศไทย แต่ต้องอยู่บนพื้นฐานของ ความจำเป็น ความโปร่งใส และการให้ทางเลือก — สามคำนี้คือหัวใจของ PDPA
องค์กรที่เตรียมเอกสารและกระบวนการให้ครบตั้งแต่ต้น จะได้ประโยชน์จากเทคโนโลยีนี้เต็มที่โดยไม่ต้องกังวลเรื่องความเสี่ยงทางกฎหมายภายหลัง ในทางกลับกัน การติดตั้งไปก่อนแล้วค่อยจัดการเอกสารทีหลัง คือความเสี่ยงที่อาจมีต้นทุนสูงกว่าที่คิดมาก
หมายเหตุ: บทความนี้เป็นแนวทางเบื้องต้นเพื่อความเข้าใจทั่วไป ไม่ใช่คำแนะนำทางกฎหมาย องค์กรควรปรึกษาที่ปรึกษากฎหมายหรือเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล (DPO) เพื่อประเมินกรณีเฉพาะของตน
อ่านต่อเกี่ยวกับความสามารถของเทคโนโลยีวิเคราะห์ภาพได้ที่ AI Video Analytics 2026: กล้องทำอะไรได้มากกว่าบันทึกภาพ
