Apple BIPA คือคดีที่ศาลแขวงสหรัฐในรัฐอิลลินอยส์ปฏิเสธคำขอของ Apple ที่จะตัดข้อกล่าวหาส่วนใหญ่ตามกฎหมายข้อมูลชีวมาตรของรัฐ เรื่องแอป Photos บน iPhone ตามที่ MLex รายงานเมื่อ 8 ตุลาคม 2569 บทความนี้เหมาะกับนักพัฒนาแอป เจ้าของธุรกิจที่ใช้ e-KYC และฝ่ายกฎหมาย อ่านแล้วจะรู้ว่าคดียังไม่ตัดสินสุดท้าย และข้อมูลใบหน้าในแอปไทยต้องตรวจอะไรตาม PDPA
ลองนึกภาพแอปแกลเลอรีรูปของไทยที่จัดอัลบั้มให้อัตโนมัติว่า “รูปของแม่” หรือ “รูปของน้อง” โดยจำใบหน้าในรูปทั้งหมด เรื่องแบบนี้ไม่ไกลตัว เพราะ Apple ถูกฟ้องด้วยฟีเจอร์ลักษณะเดียวกัน
สรุปสั้น: ศาลสหรัฐเมืองอีสต์เซนต์หลุยส์ รัฐอิลลินอยส์ ปฏิเสธคำขอของ Apple ที่จะตัดข้อกล่าวหาตามกฎหมาย BIPA ส่วนใหญ่ เรื่องแอป Photos โดยเห็นว่าลูกขุนอาจเห็นว่ามีการสแกนรูปทรงใบหน้า แต่รับข้อโต้แย้งว่าภาพใบหน้าที่ถูกครอบตัดไม่ใช่ตัวระบุชีวมาตร คดียังไม่ตัดสินสุดท้าย แอปไทยที่ใช้ใบหน้าควรตรวจว่าเก็บแม่แบบใบหน้าหรือไม่
คดี Apple BIPA คืออะไร เกิดอะไรขึ้น
คดี Apple BIPA คือคดีที่โจทก์ฟ้อง Apple ตามกฎหมายข้อมูลชีวมาตรของรัฐอิลลินอยส์ (Illinois BIPA) เรื่องฟีเจอร์ของแอป Photos ที่เกี่ยวกับใบหน้า ตามที่ MLex รายงาน ผู้พิพากษาศาลแขวงสหรัฐที่เมืองอีสต์เซนต์หลุยส์ปฏิเสธคำขอของ Apple ที่จะตัดข้อกล่าวหาส่วนใหญ่ และคำสั่งถูกเปิดเผยต่อสาธารณะ (unsealed)
ศาลเห็นว่าลูกขุนที่มีเหตุผลอาจเห็นว่าเทคโนโลยีของ Apple มีการสแกนรูปทรงใบหน้า แต่ศาลรับข้อโต้แย้งของ Apple ที่ว่าภาพใบหน้าที่ถูกครอบตัดไม่ใช่ตัวระบุชีวมาตรตาม BIPA
| ประเด็น | ข้อเท็จจริงตามที่ MLex รายงาน |
|---|---|
| ศาล | ศาลแขวงสหรัฐ เมืองอีสต์เซนต์หลุยส์ รัฐอิลลินอยส์ |
| วันที่รายงาน | 8 ตุลาคม 2569 |
| ผลของคำสั่ง | ปฏิเสธคำขอของ Apple ที่จะตัดข้อกล่าวหา BIPA ส่วนใหญ่ |
| ข้อโต้แย้งที่ศาลรับ | ภาพใบหน้าที่ถูกครอบตัดไม่ใช่ตัวระบุชีวมาตร |
| สิ่งที่ยังไม่ยืนยัน | ขนาดกลุ่มโจทก์และมูลค่าความเสียหาย |
คดีนี้ยังไม่มีคำตัดสินสุดท้าย คำสั่งที่รายงานเป็นเพียงการไม่ตัดข้อกล่าวหาออกไปก่อน ซึ่งแปลว่าข้อกล่าวหาส่วนใหญ่ยังต้องพิจารณาต่อ ไม่ได้แปลว่า Apple ทำผิดแล้ว ยังไม่ทราบขนาดกลุ่มโจทก์และมูลค่าความเสียหาย
คดี Apple BIPA กระทบแอปและธุรกิจไทยอย่างไร
คดี Apple BIPA ไม่ได้ผูกมัดไทย เพราะเป็นกฎหมายรัฐอิลลินอยส์ แต่เป็นตัวอย่างเทียบกับ PDPA ว่าฟีเจอร์ใบหน้าที่ดูธรรมดาอาจถูกมองเป็นเรื่องข้อมูลชีวมาตร ส่วนนี้เป็นการวิเคราะห์ของผู้เขียน ไม่ใช่การสรุปว่าไทยต้องทำตามศาลสหรัฐ
แอปไทยที่จัดกลุ่มรูปด้วยใบหน้าเข้าข่ายข้อมูลอ่อนไหวหรือไม่
ข้อมูลชีวภาพ เช่น ข้อมูลจำลองใบหน้า เป็นข้อมูลอ่อนไหวตามมาตรา 26 ของ PDPA ซึ่งต้องมีฐานที่ชอบด้วยกฎหมายและโดยทั่วไปต้องขอความยินยอมโดยชัดแจ้ง ประเด็นที่ศาลอิลลินอยส์ถกคือสแกนรูปทรงใบหน้าหรือไม่ และภาพครอบตัดเป็นตัวระบุหรือไม่ คำถามเดียวกันนี้ใช้ตรวจแอปไทยได้ว่าฟีเจอร์ของตนเก็บ “แม่แบบใบหน้า” หรือเก็บเพียงรูป
แอปที่ทำ e-KYC ด้วยใบหน้าต้องระวังอะไร
แอปที่ใช้ใบหน้ายืนยันตัวตนเก็บข้อมูลชีวภาพโดยตรงอยู่แล้ว จึงต้องบอกวัตถุประสงค์ ระยะเก็บ และผู้ที่เข้าถึงข้อมูลให้ชัด กรณีไทยที่เกี่ยวข้องมีตัวอย่างใน บัตรสวัสดิการต้องสแกนใบหน้า e-KYC 1.75 ล้านราย ธนาคาร 14 ต.ค. แอป 12 ม.ค. 2570 ข้อมูลชีวภาพกับ PDPA มาตรา 26 ที่ทุกองค์กรต้องรู้ และ สตม. เปิดแอป THIM สแกนพาสปอร์ต NFC และใบหน้าต่างชาติ ผู้ใช้กว่า 580,000 ราย PDPA คุ้มครองอย่างไร และโรงแรมไทยต้องเตรียมอะไร
ผู้ใช้ทั่วไปควรรู้อะไรเรื่องฟีเจอร์ใบหน้าในมือถือ
ผู้ใช้ควรรู้ว่าฟีเจอร์จัดกลุ่มรูปตามใบหน้าอาจเกี่ยวกับข้อมูลชีวภาพของคนในรูป ซึ่งรวมถึงคนที่ไม่ได้ใช้แอปเอง ผู้ใช้ตรวจการตั้งค่าและปิดฟีเจอร์ได้ถ้าไม่สบายใจ แต่ข่าวนี้ไม่ได้ยืนยันว่าแอป Photos ในไทยทำงานแบบเดียวกับที่ถูกฟ้อง
ถ้าไม่ตรวจฟีเจอร์ใบหน้าในแอป จะเสี่ยงอะไร
ถ้าไม่ตรวจ แอปที่ใช้ใบหน้าเสี่ยงสามเรื่อง เรื่องแรก เก็บข้อมูลอ่อนไหวโดยไม่มีฐานทางกฎหมายหรือไม่ได้ขอความยินยอมโดยชัดแจ้ง ซึ่งขัดกับมาตรา 26 และมาตรา 19 ของ PDPA
เรื่องที่สอง ไม่รู้ว่าฟีเจอร์ของตัวเองเก็บแม่แบบใบหน้าหรือเก็บแค่ภาพครอบตัด จึงตอบเจ้าของข้อมูลหรือ สคส. ไม่ได้ เรื่องที่สาม ถ้ามีเหตุข้อมูลรั่ว ข้อมูลใบหน้าเปลี่ยนไม่ได้เหมือนรหัสผ่าน ผู้ได้รับผลกระทบจึงเสี่ยงต่อการถูกปลอมตัวไปนาน ดูตัวอย่างการปลอมใบหน้าใน Deepfake สวมหน้าขอซิมใหม่ ดูดคริปโต 162 ล้านบาท ขณะที่ ธปท. เตรียมเลิก SMS-OTP ธุรกิจที่ใช้ eKYC ด้วยใบหน้าต้องเตรียมอะไร
แอปที่มีฟีเจอร์ใบหน้าควรทำอะไรตอนนี้
แอปที่มีฟีเจอร์จัดกลุ่มรูปหรือจดจำใบหน้าควรทำ 4 เรื่อง เพื่อไม่ให้ข้อมูลใบหน้าตกอยู่ในความเสี่ยงแบบเดียวกับที่ถูกตั้งคำถามในคดี Apple BIPA
- 1. ตรวจว่าเก็บอะไรจริง แยกให้ชัดว่าเก็บภาพใบหน้าครอบตัด แม่แบบใบหน้า หรือทั้งสองอย่าง เก็บที่ไหน เก็บนานเท่าไร
- 2. ขอความยินยอมโดยชัดแจ้ง เขียนข้อความขอความยินยอมให้ตรงกับสิ่งที่ฟีเจอร์ทำจริง และให้ผู้ใช้ถอนความยินยอมได้ง่าย
- 3. ปิดฟีเจอร์ใบหน้าเป็นค่าเริ่มต้นถ้าไม่จำเป็น ให้ผู้ใช้เปิดเองเมื่อต้องการ แทนการเปิดไว้ก่อนแล้วให้ไปปิด
- 4. กำหนดระยะเก็บและขั้นตอนลบ ลบแม่แบบใบหน้าเมื่อผู้ใช้ปิดฟีเจอร์หรือลบบัญชี และบันทึกไว้ในเอกสารบันทึกรายการ (RoPA) ตามมาตรา 39
ถ้าต้องการคนช่วยตรวจฟีเจอร์ใบหน้าและข้อความขอความยินยอม ดูได้ที่ บริการ AI Governance และ PDPA ของ Kooru
อ่านต่อ: ความรู้ที่เกี่ยวกับเรื่องนี้
- กล้องสแกนใบหน้าพนักงาน ต้องมีเหตุผลแค่ไหนจึงใช้ได้ — อธิบายเหตุผลที่ต้องมีเมื่อใช้ข้อมูลใบหน้า ซึ่งเป็นข้อมูลชีวภาพตามมาตรา 26 (aipdpa.com)
- คู่มือ: ขอความยินยอมให้ถูกต้องตามมาตรา 19 PDPA ต้องทำอย่างไร — ใช้ตรวจว่าข้อความขอความยินยอมของฟีเจอร์ใบหน้าครบถ้วนหรือไม่ (aipdpa.com)
มุมมองผู้เชี่ยวชาญ
ข้อสังเกตเชิงวิชาชีพของผมคือ คดีนี้ไม่ได้ตัดสินว่า Apple ผิด แต่บอกว่า คำถามที่ว่า “เราเก็บใบหน้าหรือเก็บแค่รูป” ต้องตอบให้ได้ก่อนผู้ใช้หรือศาลมาถาม จุดที่องค์กรมักพลาดคือเรียกฟีเจอร์ว่า “จัดกลุ่มรูป” ทั้งที่เบื้องหลังสร้างข้อมูลจำลองใบหน้า พอเข้าข่ายข้อมูลอ่อนไหวก็ต้องขอความยินยอมโดยชัดแจ้ง ควรให้ทีมกฎหมายและทีมพัฒนานั่งตอบคำถามเดียวกันนี้ตั้งแต่ก่อนปล่อยฟีเจอร์
— Phuwara Krobtaku —
LL.M. (IP & IT) | M.S. (IT) | Thai Barrister & Attorney-at-Law
คำถามที่พบบ่อยเกี่ยวกับ Apple BIPA
คดี Apple BIPA คือคดีอะไร
คดีที่โจทก์ฟ้อง Apple ตามกฎหมายข้อมูลชีวมาตรของรัฐอิลลินอยส์ เรื่องฟีเจอร์ของแอป Photos ที่เกี่ยวกับใบหน้า ศาลแขวงสหรัฐปฏิเสธคำขอของ Apple ที่จะตัดข้อกล่าวหาส่วนใหญ่ ตามที่ MLex รายงาน
ศาลตัดสินแล้วหรือยังว่า Apple ผิด
ยังไม่ตัดสิน คำสั่งที่รายงานเป็นเพียงการไม่ตัดข้อกล่าวหาออกไปก่อน ศาลเห็นว่าลูกขุนอาจเห็นว่ามีการสแกนรูปทรงใบหน้า แต่ยังไม่ใช่คำตัดสินสุดท้าย และยังไม่ทราบขนาดกลุ่มโจทก์หรือมูลค่าความเสียหาย
ภาพใบหน้าที่ถูกครอบตัดเป็นข้อมูลชีวมาตรหรือไม่
ศาลรับข้อโต้แย้งของ Apple ที่ว่าภาพใบหน้าที่ถูกครอบตัดไม่ใช่ตัวระบุชีวมาตรตาม BIPA แต่ข้อกล่าวหาเรื่องการสแกนรูปทรงใบหน้ายังไปต่อ ส่วนกฎหมายไทยต้องพิจารณาตามข้อเท็จจริงของแต่ละฟีเจอร์
ข้อมูลใบหน้าเป็นข้อมูลอ่อนไหวตาม PDPA ไทยหรือไม่
ข้อมูลชีวภาพ เช่น ข้อมูลจำลองใบหน้า เป็นข้อมูลอ่อนไหวตามมาตรา 26 ของ PDPA ซึ่งโดยทั่วไปต้องขอความยินยอมโดยชัดแจ้ง องค์กรควรตรวจข้อเท็จจริงของฟีเจอร์ก่อนสรุปว่าข้อมูลที่เก็บเข้าข่ายหรือไม่
แหล่งอ้างอิง
- MLex — (อ่านต้นฉบับ) — อ่านข่าวที่ MLex
บทความนี้เป็นการสรุปข่าวและให้ข้อมูลทั่วไป ไม่ใช่คำแนะนำทางกฎหมาย หากต้องการคำปรึกษาเฉพาะกรณีของธุรกิจคุณ ควรปรึกษาผู้เชี่ยวชาญ
