จี้ World ID เคลียร์ให้ชัด เตือนระวัง“สแกนม่านตา”ย้อนกลับ ระบุตัวบุคคลได้
สคส.ชี้สแกนม่านตา WorldID ย้อนระบุตัวบุคคลได้ แม้ลบข้อมูลแล้ว ถือเป็นข้อมูลอ่อนไหว หากขอ Consent ไม่โปร่งใส เสี่ยงโทษปรับสูงสุด 5 ล้านบาท
KEY
POINTS
- สคส. ตรวจสอบพบว่าการสแกนม่านตาของ World ID สามารถย้อนกลับมาระบุตัวบุคคลได้ เนื่องจากผู้ที่เคยสแกนไปแล้วไม่สามารถสแกนซ้ำได้
- ข้อมูลม่านตาถือเป็นข้อมูลส่วนบุคคลที่อ่อนไหว (Sensitive Data) ซึ่ง สคส. เตือนว่าการขอความยินยอมต้องแจ้งวัตถุประสงค์ให้ชัดเจนและโปร่งใส
- หากการขอความยินยอมเพื่อเก็บข้อมูลม่านตาไม่เป็นไปตามกฎหมาย PDPA เช่น แจ้งวัตถุประสงค์ไม่ชัดเจน อาจมีโทษปรับทางปกครองสูงสุดถึง 5 ล้านบาท
รายงานข่าวจาก สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (สคส.) ระบุว่า ภายหลังการจัดให้มีการตรวจพิสูจน์หลักฐานการลบทำลายข้อมูลม่านตาในกรณีสแกนม่านตาแลกเหรียญ World ID พบว่าผู้ที่สแกนม่านตาไปแล้วไม่สามารถสแกนซ้ำได้
จึงชัดเจนว่าการสแกนม่านตานอกจากมีวัตถุประสงค์ในการยืนยันความเป็นมนุษย์แล้ว ยังมีวัตถุประสงค์ในการตรวจสอบไม่ให้ซ้ำบุคคลเดิมอีกด้วย
แม้ว่าในการทำงานของ Orb จะมีการลบทำลายข้อมูลม่านตาหรือไม่ก็ตาม ก็ถือได้ว่าข้อมูลม่านตาดังกล่าวสามารถย้อนกลับมาระบุถึงตัวบุคคลนั้นได้ไม่ว่าทางตรงทางอ้อม ซึ่งประเด็นนี้ประชาชนควรต้องทราบก่อนตัดสินใจให้ความยินยอมเข้าสแกนม่านตา
โดยผลการตรวจพิสูจน์เบื้องต้นพบว่า
• Orb ไม่ใช่อุปกรณ์เดียว ที่เกี่ยวข้องกับกิจกรรมนี้ ยังมี server และอุปกรณ์อื่นร่วมด้วย
• การลบข้อมูลใน Orb ไม่สามารถพิสูจน์ได้ว่าข้อมูลถูกทำลายหมดจริง เพราะเมื่อสแกนซ้ำ ระบบยัง “รู้ว่าเป็นคนเดิม” → ดังนั้นในการขอ Consent จึงต้องแจ้งวัตถุประสงค์ให้ชัดว่า “สามารถย้อนมาระบุตัวบุคคลได้”
• Iris Code ถูกแปลงมาจากข้อมูลม่านตาซึ่งเป็นข้อมูลชีวภาพอ่อนไหวแล้วฝังลงในโทรศัพท์ ตามจริยธรรมการใช้ข้อมูลต้องไม่นำไปให้ผู้อื่นใช้ → ดังนั้นในการขอ Consent จึงต้องแจ้งให้ชัดว่า “ใช้ได้เฉพาะเจ้าของโทรศัพท์ผู้สแกนม่านตาเท่านั้น”
• ตรวจสอบ Privacy Notice พบว่าแต่ละเวอร์ชัน มีวัตถุประสงค์และเนื้อหาต่างกัน จึงให้บริษัทตรวจสอบและแก้ไขให้ถูกต้องสอดคล้องกับ PDPA ต่อไป
หากไม่ปฏิบัติตามข้อ 2 และข้อ 3 = ถือว่าเป็น การขอความยินยอมที่ไม่ชอบด้วยกฎหมาย
เข้าข่ายฝ่าฝืนมาตรา 26 ของ PDPA (เก็บรวบรวมข้อมูลอ่อนไหวโดยมิได้รับความยินยอมโดยชัดแจ้ง)
มีโทษตามมาตรา 84 ปรับทางปกครองสูงสุดไม่เกิน 5 ล้านบาท
สังคมต้องการ “ความโปร่งใส” และ “สิทธิของเจ้าของข้อมูล” มาเป็นอันดับแรก เพื่อป้องกันไม่ให้ประชาชนหลงให้ความยินยอมทั้งที่ยังไม่อาจทราบวัตถุประสงค์ที่ชัดเจนอันอาจมีผลต่อการตัดสินใจในการให้ข้อมูล และอาจมีผลต่อความสงบเรียบร้อยและศีลธรรมอันดีของประชาชนอีกด้วย
สคส.ขอย้ำว่า กรณีนี้ไม่ใช่เพียงการคุ้มครองข้อมูลส่วนบุคคลแต่เป็นการรักษาความสงบเรียบร้อย และศีลธรรมอันดีของประชาชนด้วย ซึ่งความหวังอยู่ที่การบังคับใช้กฎหมาย PDPA ดังนั้นต้องดำเนินการอย่างเคร่งครัด