ข้อมูลที่ “ลบชื่อ” อาจยังไม่ใช่ข้อมูลนิรนาม
ลองนึกภาพบริษัทแห่งหนึ่งมีฐานข้อมูลลูกค้า แล้วทีม Data ลบชื่อ นามสกุล เบอร์โทรศัพท์ และเลขสมาชิกออก ก่อนส่งไฟล์ให้ทีม AI วิเคราะห์พฤติกรรมลูกค้า
ในมุมของคนทั่วไป ไฟล์นี้ดูเหมือนไม่มีใครรู้ว่าเป็นของใครอีกแล้ว แต่สำหรับกฎหมายคุ้มครองข้อมูล คำถามไม่ได้จบตรงนั้น
เมื่อวันที่ 8 กรกฎาคม 2026 European Data Protection Board หรือ EDPB เผยแพร่ร่าง Guidelines 02/2026 on Anonymisation เพื่อทบทวนแนวทางเรื่องข้อมูลนิรนามให้ทันกับเทคโนโลยีและวิธีระบุตัวบุคคลที่ซับซ้อนขึ้น โดยเปิดรับความคิดเห็นถึงวันที่ 30 ตุลาคม 2026
ประเด็นที่ธุรกิจไทยควรจับตาจึงไม่ใช่แค่ว่า “ยุโรปออก Guideline ใหม่อะไร” แต่คือ EDPB กำลังผลักให้ตลาดเลิกคิดว่า Anonymisation = ลบข้อมูลระบุตัวตนออกจากไฟล์
สิ่งที่เกิดขึ้นจริง
ร่างแนวทางของ EDPB เสนอกรอบประเมินใหม่ที่มองว่า ข้อมูลจะถือว่าเป็นข้อมูลนิรนามได้หรือไม่ ต้องพิจารณาความเป็นไปได้ในการระบุตัวบุคคลโดยดูจากบริบทของแต่ละหน่วยงาน ไม่ใช่มองเฉพาะข้อมูลในไฟล์เดียว
จุดสำคัญมี 3 เรื่อง
1. ข้อมูลต้องไม่สามารถแยกชี้ไปยังบุคคลใดบุคคลหนึ่งได้
ถ้าข้อมูลหนึ่งแถวมีลักษณะเฉพาะมากจนสามารถรู้ได้ว่าเป็นลูกค้าคนใดคนหนึ่ง ก็ยังมีความเสี่ยงที่จะระบุตัวบุคคลได้
ตัวอย่างเช่น ข้อมูลยอดใช้บริการอาจไม่มีชื่อ แต่ประกอบด้วยช่วงเวลา สถานที่ และพฤติกรรมที่มีลักษณะเฉพาะจนเหลือบุคคลที่เป็นไปได้เพียงคนเดียว
2. ข้อมูลต้องไม่สามารถเชื่อมกับชุดข้อมูลอื่นเพื่อย้อนกลับไปหาบุคคลได้
นี่เป็นประเด็นที่สำคัญมากสำหรับธุรกิจยุค Data Lake และ AI
ไฟล์หนึ่งอาจดูไม่ระบุตัวบุคคลได้ แต่ถ้าฝ่ายที่ได้รับข้อมูลมี Dataset อื่นอยู่แล้ว เช่น ประวัติคำสั่งซื้อ ตำแหน่งที่ตั้ง อุปกรณ์ หรือข้อมูลสมาชิก ก็อาจนำข้อมูลหลายชุดมาต่อกันจนกลับไปหาบุคคลได้
ดังนั้น การประเมินจึงต้องถามว่า “อีกฝ่ายมีอะไรอยู่ในมือบ้าง” ไม่ใช่ถามเฉพาะว่า “ไฟล์นี้มีอะไรอยู่บ้าง”
3. ข้อมูลต้องไม่ทำให้เกิดข้อสรุปเฉพาะเจาะจงเกี่ยวกับบุคคลได้
แม้ไม่มีชื่อและไม่สามารถเชื่อมกับข้อมูลอื่นได้โดยตรง แต่ถ้าข้อมูลยังทำให้เกิดการอนุมานที่เฉพาะเจาะจงและมีความหมายเกี่ยวกับบุคคล ก็ยังต้องวิเคราะห์ต่อ
EDPB ระบุกรอบ 3 เกณฑ์นี้ไว้เป็นแกนเดียวกันสำหรับการประเมินทั้งแบบ Contextual Approach และ Simplified Approach โดยหากไม่ผ่านเกณฑ์ใดเกณฑ์หนึ่ง ยังไม่ควรสรุปทันทีว่าข้อมูลนั้นเป็นข้อมูลส่วนบุคคล แต่ต้องวิเคราะห์ต่อว่าความล้มเหลวนั้นนำไปสู่การระบุตัวบุคคลได้จริงหรือไม่
จุดเปลี่ยนสำคัญ: ข้อมูลเดียวกัน อาจมีสถานะไม่เหมือนกัน
นี่คือประเด็นที่ธุรกิจไทยควรให้ความสำคัญมากที่สุด
EDPB ย้ำว่าการพิจารณาว่าบุคคลสามารถระบุตัวได้หรือไม่ ต้องดูจากมุมของหน่วยงานที่เกี่ยวข้องและความสามารถในการใช้วิธีระบุตัวตนที่มีความเป็นไปได้อย่างสมเหตุสมผล
แนวคิดนี้สอดคล้องกับคำพิพากษาของศาลยุติธรรมแห่งสหภาพยุโรปในคดี EDPS v SRB ซึ่งเกี่ยวข้องกับข้อมูลที่ถูกทำเป็น pseudonym แล้วส่งให้ Deloitte โดยศาลชี้ว่าข้อมูลแบบ pseudonymised ไม่จำเป็นต้องเป็นข้อมูลส่วนบุคคลสำหรับทุกฝ่ายในทุกสถานการณ์ แต่ต้องดูบริบทและความสามารถของฝ่ายที่ถือข้อมูลด้วย
นั่นทำให้คำว่า “Anonymous” ไม่ควรถูกตีความแบบง่าย ๆ ว่า “ไม่มีชื่ออยู่ในไฟล์”
พูดให้เห็นภาพคือ
ไฟล์ A อาจดูนิรนามเมื่ออยู่กับ Vendor X แต่เมื่อกลับมาอยู่กับบริษัทเจ้าของข้อมูลซึ่งมีฐานข้อมูลสมาชิกครบทั้งหมด ไฟล์เดียวกันอาจยังเชื่อมกลับไปหาบุคคลได้
นี่คือสิ่งที่เปลี่ยนวิธีคิดจาก “จัดการกับไฟล์” เป็น “จัดการกับสภาพแวดล้อมของข้อมูล”
ผลกระทบต่อธุรกิจในประเทศไทย
สำหรับธุรกิจไทย ประเด็นนี้สำคัญมากในช่วงที่องค์กรกำลังนำข้อมูลเก่าไปต่อยอดกับ AI และ Analytics เพราะหลายองค์กรเริ่มสร้างข้อมูลสำหรับการวิเคราะห์โดยลดหรือลบชื่อออก แล้วถือว่าข้อมูลชุดนั้นปลอดภัยกว่าข้อมูลต้นฉบับโดยอัตโนมัติ
ปัญหาคือ ความเสี่ยงไม่ได้อยู่เฉพาะในไฟล์ที่ถูก Export ออกมา แต่อยู่ที่ “ข้อมูลประกอบ” ที่ผู้รับมีอยู่แล้วด้วย
ตัวอย่างเช่น บริษัทค้าปลีกอาจส่ง Dataset ที่ไม่มีชื่อและเบอร์โทรให้ทีม AI ภายนอก แต่ Vendor มีข้อมูลเวลาใช้งาน ระบบสมาชิก หรือข้อมูลอุปกรณ์จากโครงการอื่นอยู่แล้ว เมื่อข้อมูลหลายชุดถูกนำมาเชื่อมกัน ความสามารถในการระบุตัวบุคคลอาจเปลี่ยนไปทันที
เรื่องนี้ยังสำคัญกับการทำ Data Sharing ระหว่างบริษัทในเครือ การส่งข้อมูลให้ Cloud Provider การทำ Customer Analytics การสร้างโมเดล AI และการขายหรือแลกเปลี่ยนข้อมูลเชิงสถิติ เพราะองค์กรไม่ควรตั้งสมมติฐานว่า “ถ้าข้อมูลถูก anonymise แล้ว ทุกฝ่ายสามารถใช้ได้อย่างอิสระ”
ในประเทศไทยเอง หน่วยงานภาครัฐก็มีแนวทางเกี่ยวกับ Anonymization ที่เน้นทั้งการลดความสามารถในการระบุตัวบุคคลและการป้องกันการนำข้อมูลกลับไประบุตัวบุคคลอีกครั้ง ขณะที่มาตรฐานของ DGA ก็อธิบายการทำข้อมูลนิรนามในฐานะวิธีเพิ่มการใช้ประโยชน์จากข้อมูลโดยลดผลกระทบต่อสิทธิส่วนบุคคล
ดังนั้น สิ่งที่องค์กรไทยควรเปลี่ยนไม่ใช่แค่ขั้นตอนการ Mask ข้อมูล แต่คือการออกแบบ “หลักฐานว่า anonymised จริง” ให้ตรวจสอบได้ เช่น ใครได้รับข้อมูล มีข้อมูลอะไรอยู่ก่อนแล้ว สามารถเชื่อมข้อมูลกับระบบใดได้บ้าง ใครสามารถเข้าถึงเครื่องมือวิเคราะห์ และเมื่อเวลาผ่านไปเทคโนโลยีใหม่ทำให้การระบุตัวบุคคลง่ายขึ้นหรือไม่
อีกประเด็นหนึ่งที่มักถูกมองข้ามคือ การแบ่งข้อมูลระหว่าง “Anonymisation” กับ “Pseudonymisation” ไม่ใช่เรื่องเดียวกัน หากองค์กรยังมี Key หรือข้อมูลเพิ่มเติมที่ช่วยย้อนกลับไปหาบุคคลได้ ก็ไม่ควรรีบสรุปว่าข้อมูลนั้นหลุดออกจากกรอบข้อมูลส่วนบุคคลแล้ว
กล่าวง่าย ๆ คือ การลบชื่ออาจเปลี่ยนหน้าตาของข้อมูล แต่ไม่ได้พิสูจน์ว่าความเสี่ยงในการรู้ว่า “นี่คือใคร” หายไปแล้ว
สิ่งที่ควรทำต่อ
- ตรวจ Dataset ที่องค์กรเรียกว่า “Anonymous” แล้วถามว่า ยังสามารถแยกชี้บุคคลบางรายออกจากกลุ่มได้หรือไม่
- ตรวจว่าผู้รับข้อมูลมี Dataset อื่นที่สามารถนำมาเชื่อมกับข้อมูลชุดนั้นได้หรือไม่
- แยกให้ชัดว่าอะไรคือ Anonymisation และอะไรคือ Pseudonymisation ใน Data Map, ROPA และเอกสารภายใน
- ก่อนส่งข้อมูลให้ Vendor หรือใช้กับ AI ให้บันทึกว่าใครสามารถเข้าถึงข้อมูลและมีเครื่องมืออะไรที่อาจใช้ในการ Re-identification ได้
- อย่ามองการ Anonymisation เป็นงานทำครั้งเดียว ควรทบทวนใหม่เมื่อ Dataset, Vendor หรือเทคโนโลยีเปลี่ยน
มุมมองผู้เชี่ยวชาญ
ประเด็นของ EDPB ไม่ได้อยู่ที่ยุโรปกำลังเพิ่มกฎเรื่องการลบชื่อ ประเด็นจริงคือ โลกข้อมูลกำลังเปลี่ยนจากการถามว่า “ข้อมูลนี้มีชื่อไหม?” ไปเป็น “ข้อมูลนี้ยังทำให้ใครสักคนรู้ได้ไหมว่าเป็นใคร?” สำหรับองค์กรที่กำลังทำ AI, Data Lake หรือ แชร์ข้อมูลกับ Vendor คำถามนี้ควรถูกถามก่อนนำข้อมูลไปใช้ และที่สำคัญ ร่าง Guidelines 02/2026 ยังอยู่ในขั้นตอนรับฟังความคิดเห็น ไม่ใช่กฎสุดท้ายที่มีผลบังคับใช้ทันที โดย EDPB เปิดรับความคิดเห็นถึง 30 ตุลาคม 2026
— Phuwara Krobtaku —
LL.M. (IP & IT) | M.S. (IT) | Thai Barrister & Attorney-at-Law
แหล่งอ้างอิง
William Fry — “The EDPB’s Anonymisation Standard: New Draft Guidelines” บทวิเคราะห์ต้นทางเผยแพร่โดย William Fry เมื่อ 29 กรกฎาคม 2026 โดยมี Emily Birchall และ Cian Kelly เป็นผู้ร่วมเขียน
อ่านบทความต้นฉบับจาก William Fry
European Data Protection Board — Guidelines 02/2026 on Anonymisation
ดู Draft Guidelines และกรอบเวลารับฟังความคิดเห็นของ EDPB
Court of Justice of the European Union — Case C-413/23 P, EDPS v SRB
DGA — มาตรฐานสำนักงานพัฒนารัฐบาลดิจิทัลว่าด้วยแนวทางการจัดทำข้อมูลนิรนาม มสพร. 14-2567
