ภาพใบหน้ากลายเป็นข้อมูลอ่อนไหวเมื่อไร?

ภาพถ่ายใบหน้าเป็นข้อมูลส่วนบุคคลอยู่แล้ว เพราะใช้ระบุตัวบุคคลได้ แต่ไม่ใช่ภาพใบหน้าทุกภาพที่เป็น "ข้อมูลชีวภาพ" ซึ่งเป็นข้อมูลอ่อนไหวตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 (PDPA) ความต่างนี้สำคัญ เพราะการเก็บข้อมูลอ่อนไหวต้องได้รับความยินยอมโดยชัดแจ้ง หรือเข้าข้อยกเว้นในมาตรา 26 และใช้ฐานประโยชน์โดยชอบด้วยกฎหมายตามมาตรา 24 ไม่ได้

ใบหน้ากลายเป็นข้อมูลชีวภาพเมื่อไร

มาตรา 26 ให้ความหมายของข้อมูลชีวภาพไว้โดยผูกกับ การใช้เทคนิคหรือเทคโนโลยี นำลักษณะเด่นทางกายภาพหรือทางพฤติกรรมของบุคคลมาใช้ยืนยันตัวตนที่ไม่เหมือนผู้อื่น และยกตัวอย่างข้อมูลจำลองใบหน้า ม่านตา และลายนิ้วมือ

จุดเปลี่ยนจึงอยู่ที่การประมวลผลเพื่อยืนยันตัวตน กล้องที่บันทึกภาพไว้ดูย้อนหลังกับระบบที่แปลงใบหน้าเป็นแม่แบบ (face template) แล้วนำไปเทียบกับฐานข้อมูล อยู่คนละระดับกัน แบบแรกเป็นข้อมูลส่วนบุคคลทั่วไป แบบหลังเป็นข้อมูลชีวภาพ

มาตรา 26 ว่าอย่างไร

ข้อยกเว้นในมาตรา 26 มีจำนวนจำกัด เช่น การป้องกันอันตรายต่อชีวิตเมื่อเจ้าของข้อมูลให้ความยินยอมไม่ได้ การก่อตั้งหรือใช้สิทธิเรียกร้องตามกฎหมาย และการปฏิบัติตามกฎหมายเพื่อวัตถุประสงค์เฉพาะ เช่น การสาธารณสุขหรือการวิจัย

สิ่งที่หลายองค์กรพลาดคือ ฐาน "ประโยชน์โดยชอบด้วยกฎหมาย" ตามมาตรา 24 ซึ่งใช้กับข้อมูลทั่วไปได้บ่อย ไม่อยู่ในรายการของมาตรา 26 จึงนำมาอ้างกับข้อมูลชีวภาพไม่ได้

กล้องจดจำใบหน้าในห้าง

เหตุผลที่มักยกขึ้นคือความปลอดภัย แต่ความปลอดภัยไม่ได้เป็นข้อยกเว้นในมาตรา 26 โดยตรง ระบบที่สแกนใบหน้าทุกคนที่เดินผ่านเพื่อเทียบกับรายชื่อ จึงต้องตอบให้ได้ว่าอาศัยข้อยกเว้นข้อใด หรือได้รับความยินยอมโดยชัดแจ้งจากทุกคนอย่างไร ซึ่งทำได้ยากมากกับคนที่เดินผ่านเป็นจำนวนมาก

ส่วนกล้องวงจรปิดที่บันทึกภาพอย่างเดียว ไม่ประมวลผลใบหน้า ยังอยู่ในกรอบข้อมูลส่วนบุคคลทั่วไป ต้องแจ้งวัตถุประสงค์ตามมาตรา 23 และมีฐานการประมวลผลตามมาตรา 24 แต่ไม่ถึงขั้นมาตรา 26

ระบบเช็กชื่อด้วยใบหน้า

ระบบเช็กชื่อในมหาวิทยาลัยใช้ใบหน้ายืนยันตัวตนโดยตรง จึงเป็นข้อมูลชีวภาพ และยากที่จะเข้าข้อยกเว้นใดในมาตรา 26 ทางที่ใช้ได้จริงคือขอความยินยอมโดยชัดแจ้ง

แต่ความยินยอมต้องให้โดยอิสระ มาตรา 19 กำหนดให้คำนึงถึงความเป็นอิสระของเจ้าของข้อมูลในการให้ความยินยอม ถ้านักศึกษาปฏิเสธไม่ได้เพราะไม่มีทางเลือกอื่น ความยินยอมนั้นก็มีปัญหา ระบบลักษณะนี้จึงควรมีวิธีเช็กชื่อแบบอื่นให้เลือกเสมอ

ตรวจก่อนติดตั้ง

• ระบบแค่บันทึกภาพ หรือแปลงใบหน้าเป็นข้อมูลเพื่อยืนยันตัวตน
• ถ้ายืนยันตัวตน ใช้ข้อยกเว้นข้อใดในมาตรา 26 หรือได้รับความยินยอมโดยชัดแจ้งแล้ว
• คนที่ไม่ยินยอมมีทางเลือกอื่นที่ไม่เสียประโยชน์
• แจ้งวัตถุประสงค์ ระยะเวลาเก็บ และผู้ที่จะได้รับข้อมูล ตามมาตรา 23 แล้ว
• มีมาตรการรักษาความมั่นคงปลอดภัยของแม่แบบใบหน้า ตามหน้าที่ในมาตรา 37
• ประเมินความเสี่ยงต่อเจ้าของข้อมูลก่อนเริ่มใช้งาน

สรุป

ภาพใบหน้าเป็นข้อมูลชีวภาพเมื่อถูกประมวลผลเพื่อยืนยันตัวตน เมื่อถึงจุดนั้น ต้องมีความยินยอมโดยชัดแจ้งหรือเข้าข้อยกเว้นในมาตรา 26 เท่านั้น เหตุผลเรื่องความสะดวกหรือความปลอดภัยอย่างเดียวไม่พอ