ICO Auror ตำรวจลอนดอน คือกรณีที่สำนักงานคณะกรรมการข้อมูลข่าวสารของอังกฤษ (ICO) ประกาศเมื่อ 14 ตุลาคม 2569 (ค.ศ. 2026) ว่าออกคำตักเตือนและคำสั่งบังคับต่อตำรวจนครบาลลอนดอน เพราะเจ้าหน้าที่ใช้แพลตฟอร์ม Auror โดยไม่ผ่านการอนุมัติ บทความนี้เหมาะกับร้านค้าปลีก ห้าง และผู้ให้บริการกล้องวงจรปิดในไทย
ลองนึกภาพกลุ่ม LINE ของร้านค้าในย่านเดียวกัน ที่ส่งภาพผู้ต้องสงสัยลักขโมยให้กันและให้ตำรวจ ทุกคนหวังดี แต่ไม่มีใครถามว่าฐานกฎหมายคืออะไร ใครลบภาพ และเด็กที่อยู่ในภาพจะเป็นอย่างไร เรื่อง ICO Auror ตำรวจลอนดอน กำลังตอบคำถามเหล่านี้
สรุปสั้น: ICO ประกาศเมื่อ 14 ตุลาคม 2569 ว่าออกคำตักเตือนและคำสั่งบังคับต่อตำรวจนครบาลลอนดอน (คำสั่งออกจริง 23 กันยายน 2569) กรณีใช้แพลตฟอร์ม Auror อัปโหลดข้อมูลของ 179 คนโดยไม่ทำ DPIA และไม่มีข้อตกลงแบ่งปันข้อมูล ร้านค้าไทยที่แชร์ภาพผู้ต้องสงสัยควรหยุดและทบทวนฐานกฎหมาย การเก็บ การลบ และการแจ้งเจ้าของข้อมูล
ICO Auror ตำรวจลอนดอน คืออะไร เกิดอะไรขึ้น
ICO Auror ตำรวจลอนดอน คือกรณีที่ ICO พบว่าตำรวจนครบาลลอนดอน (MPS) ใช้ Auror ซึ่งเป็นแพลตฟอร์มที่ร้านค้าปลีกใช้บันทึกอาชญากรรม เช่น ลักทรัพย์ โดยไม่ผ่านการจัดซื้อและการอนุมัติ ICO จึงออกคำตักเตือน (reprimand) และคำสั่งบังคับ (enforcement notice)
ช่วงเดือนมีนาคม 2566 ถึงกันยายน 2567 (ค.ศ. 2023-2024) เจ้าหน้าที่เปิดบัญชีราว 500 บัญชี และมีใช้งานจริง 375 บัญชี ระหว่างมกราคมถึงกันยายน 2567 มีการอัปโหลดข้อมูลของ 179 คน รวมเด็กอายุต่ำกว่า 18 ปี 3 คน ข้อมูลที่อัปโหลดคือชื่อ วันเกิด และบางรายมีที่อยู่
| ประเด็น | ข้อเท็จจริงตามรายงาน |
|---|---|
| ผู้ออกคำสั่ง | ICO อังกฤษ ประกาศ 14 ต.ค. 2569 (ออกคำสั่งจริง 23 ก.ย. 2569) |
| ผู้ถูกสั่ง | ตำรวจนครบาลลอนดอน (MPS) |
| ข้อมูลที่เกี่ยวข้อง | 179 คน รวมผู้อายุต่ำกว่า 18 ปี 3 คน (ม.ค.-ก.ย. 2567) |
| ข้อบกพร่องที่ ICO ระบุ | ไม่ทำ DPIA · ไม่มีข้อตกลงแบ่งปันข้อมูล · พึ่ง soft controls |
ICO ระบุว่าความบกพร่องดำเนินต่อเนื่อง แม้ MPS นำระบบกลับมาใช้เมื่อมกราคม 2569 หลังเพิ่ม DPIA และสัญญา
MPS รับว่าการจัดการข้อมูลช่วงนั้น “ไม่เพียงพอ” ICO ยังระบุว่าคำสั่งออกก่อนองค์กรเปลี่ยนเป็น Information Commission เมื่อ 30 กันยายน 2569 The Register รายงานว่า Auror ถูกใช้ในร้านเช่น Tesco, Boots, Greggs และ M&S ข้อมูลนี้ไม่ได้บอกว่าร้านเหล่านั้นทำผิดแต่อย่างใด
เรื่องที่ ICO อังกฤษทำกับ AI agent ก่อนหน้านี้ ดูใน ICO อังกฤษได้คำมั่นจาก 10 ค่าย AI และเปิดรับความเห็น AI agent ถึง 20 พ.ย. 2569 องค์กรไทยต้องขออะไร
ICO Auror ตำรวจลอนดอน กระทบร้านค้าและผู้ให้บริการไทยอย่างไร
คดี ICO Auror ตำรวจลอนดอน เป็นข่าวต่างประเทศ ไม่มีรายงานผู้ได้รับผลกระทบในไทย แต่ใช้เป็นกรณีศึกษาได้ ส่วนนี้เป็นการวิเคราะห์ของผู้เขียน ไม่ใช่ข้อเท็จจริงในข่าว และไม่ได้อ้างมาตราเฉพาะของ พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 เพราะต้องตรวจฐานกฎหมายที่ใช้ในแต่ละกรณี
ร้านค้าไทยที่แชร์ภาพผู้ต้องสงสัยในกลุ่มแชต เสี่ยงอะไร
ร้านค้าที่แชร์ภาพหรือรายชื่อผู้ต้องสงสัยให้ร้านอื่นหรือตำรวจ เปิดเผยข้อมูลส่วนบุคคลแก่บุคคลที่สาม ถ้าไม่มีฐานทางกฎหมายและมาตรการปกป้อง ก็เสี่ยงขัด พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล เสี่ยงมากขึ้นเมื่อภาพนั้นมีเด็ก หรือผู้ถูกแชร์ไม่ได้กระทำผิดจริง ภาพที่ส่งต่อในกลุ่มแชตยังควบคุมการลบได้ยากมาก
ห้างและโครงการร้านค้าร่วมกับตำรวจต้องระวังอะไร
โครงการแลกเปลี่ยนภาพหรือรายชื่อระหว่างร้านค้ากับตำรวจ ควรมีข้อตกลงแบ่งปันข้อมูลที่ระบุว่าใครส่งอะไร ใครเก็บนานเท่าไร และลบเมื่อไร ในอังกฤษ ICO ชี้ว่าการไม่มีข้อตกลงแบ่งปันข้อมูลเป็นหนึ่งในข้อบกพร่อง ตัวอย่างข้อตกลงดูได้ใน บันทึกข้อตกลงการแบ่งปันข้อมูลส่วนบุคคล (ผู้ควบคุมกับผู้ควบคุม) ต้องมีอะไรบ้าง
ผู้ให้บริการกล้องวงจรปิดควรดูอะไรเพิ่ม
ผู้ให้บริการกล้องวงจรปิดที่ส่งภาพให้ลูกค้าหรือหน่วยงานรัฐ ควรแยกให้ชัดว่าภาพใดส่งให้ใคร ด้วยเหตุผลอะไร และมีบันทึกการส่งหรือไม่ แนวปฏิบัติความปลอดภัยกล้องของไทยสรุปไว้ใน สกมช.–iCA เปิดแนวปฏิบัติความปลอดภัยกล้อง CCTV (TCSG) 7 ด้าน คอนโด โรงงาน ห้าง ต้องเช็กอะไรบ้าง และประเด็นกล้อง AI ที่ส่งข้อมูลต่อดูใน PDPA กล้อง AI: บทเรียนจาก คดี Flock Safety ที่ธุรกิจไทยต้องรู้
บทเรียนเรื่องอนุมัติเครื่องมือภายนอกใช้กับ shadow IT และ AI ได้หรือไม่
ใช้ได้ บทเรียนสำคัญจาก ICO Auror ตำรวจลอนดอน คือการอนุมัติเครื่องมือภายนอกต้องไม่พึ่งนโยบายและการอบรมอย่างเดียว ต้องมีการบล็อกหรือตรวจพบเชิงเทคนิค เช่นเดียวกับเครื่องมือ AI ที่พนักงานนำมาใช้เองโดยไม่แจ้งฝ่ายไอที เจ้าหน้าที่ 375 บัญชีที่ใช้งานจริงแสดงว่า เครื่องมือกระจายเร็วกว่าที่ฝ่ายกำกับตามทัน
ถ้าไม่ทำอะไรเลย ร้านค้าเสี่ยงอะไร
ถ้าร้านค้าไม่ทำอะไรหลังเรื่อง ICO Auror ตำรวจลอนดอน ก็เสี่ยงสามเรื่อง เรื่องแรก ภาพผู้ต้องสงสัยที่แชร์ไปแล้วถูกส่งต่อหรือรั่วโดยร้านไม่มีทางเรียกคืน เรื่องที่สอง ผู้ที่ถูกแชร์ภาพร้องเรียนว่าถูกเปิดเผยข้อมูลโดยไม่มีฐานกฎหมาย และร้านไม่มีเอกสารยืนยันว่าประเมินความเสี่ยงไว้แล้ว
เรื่องที่สาม คือชื่อเสียง ถ้าภาพที่แชร์เป็นของคนที่ไม่ได้ทำผิดจริง ร้านอาจถูกโต้ตอบทั้งออนไลน์และตามกฎหมาย
ร้านค้าและห้างควรทำอะไรตอนนี้
ร้านค้าและห้างที่แชร์ภาพหรือข้อมูลผู้ต้องสงสัยควรทำ 4 เรื่อง เพื่อไม่ให้เหตุแบบ ICO Auror ตำรวจลอนดอน เกิดขึ้นในรูปแบบไทย
- 1. หยุดแชร์ภาพบุคคลในกลุ่มแชตที่ไม่มีกติกา ทบทวนฐานกฎหมาย การเก็บ การลบ และการแจ้งเจ้าของข้อมูลก่อนเริ่มแชร์ใหม่
- 2. ตั้งขั้นตอนอนุมัติเครื่องมือบุคคลที่สามก่อนใช้ ให้ฝ่ายไอทีและกฎหมายอนุมัติ และมีระบบตรวจพบถ้าพนักงานติดตั้งเอง
- 3. ทำ DPIA แบบย่อ บันทึกว่าข้อมูลคืออะไร ใครเข้าถึง ความเสี่ยงต่อผู้ถูกแชร์ และมาตรการลดความเสี่ยง
- 4. เขียนข้อตกลงแบ่งปันข้อมูลและกำหนดอายุข้อมูล ระบุผู้รับ วัตถุประสงค์ ระยะเก็บ และขั้นตอนลบ
หากต้องการแม่แบบ DPIA แบบย่อและขั้นตอนอนุมัติเครื่องมือสำหรับ SME ดูได้ที่ บริการ AI Governance และ PDPA ของ Kooru
มุมมองผู้เชี่ยวชาญ
ข้อสังเกตเชิงวิชาชีพของผมคือ เรื่องนี้ไม่ใช่เรื่องตำรวจอังกฤษอย่างเดียว แต่คือเรื่องของทุกที่ที่ปล่อยให้เครื่องมือใหม่เข้ามาก่อนแล้วค่อยถามทีหลัง นโยบายที่เขียนดีแค่ไหนก็ไม่ช่วย ถ้าพนักงานกดสมัครบัญชีเองได้ภายในห้านาที จุดที่องค์กรมักพลาดคือเชื่อว่าอบรมพนักงานแล้วจบ ควรเช็กว่าระบบบล็อกการใช้เครื่องมือที่ไม่ผ่านอนุมัติได้จริงหรือเปล่า
— Phuwara Krobtaku —
LL.M. (IP & IT) | M.S. (IT) | Thai Barrister & Attorney-at-Law
คำถามที่พบบ่อยเกี่ยวกับ ICO Auror ตำรวจลอนดอน
ICO ออกคำสั่งอะไรกับตำรวจนครบาลลอนดอน
ICO ออกคำตักเตือนและคำสั่งบังคับ เรื่องการใช้แพลตฟอร์ม Auror โดยไม่ผ่านการจัดซื้อและการอนุมัติ ประกาศเมื่อ 14 ตุลาคม 2569 และคำสั่งออกจริงเมื่อ 23 กันยายน 2569
ข้อมูลของใครถูกอัปโหลดขึ้น Auror และมีกี่คน
ตามที่ ICO รายงาน ช่วงมกราคมถึงกันยายน 2567 มีการอัปโหลดข้อมูลของ 179 คน รวมเด็กอายุต่ำกว่า 18 ปี 3 คน ข้อมูลคือชื่อ วันเกิด และบางรายมีที่อยู่
ร้านค้าไทยแชร์ภาพผู้ต้องสงสัยให้ตำรวจหรือร้านอื่นได้หรือไม่
ขึ้นกับฐานกฎหมายและมาตรการปกป้องในแต่ละกรณี ไม่มีคำตอบเดียวสำหรับทุกกรณี ร้านค้าควรตรวจฐานกฎหมาย ทำ DPIA แบบย่อ และมีข้อตกลงแบ่งปันข้อมูล ก่อนแชร์
คำสั่งของ ICO ผูกมัดร้านค้าไทยหรือไม่
ไม่ผูกมัด คำสั่งนี้ออกตามกฎหมายอังกฤษต่อหน่วยงานในอังกฤษ ใช้เป็นกรณีเปรียบเทียบสำหรับธุรกิจไทยเท่านั้น
อ่านต่อ: ความรู้ที่เกี่ยวกับเรื่องนี้
- คู่มือ: ประเมินผลกระทบด้านข้อมูลส่วนบุคคล (DPIA) ต้องทำเมื่อไรและทำอย่างไร? — ตอบว่า DPIA ต้องทำเมื่อใดและขั้นตอนทำอย่างไร ซึ่งเป็นข้อบกพร่องหลักที่ ICO ระบุในคดีนี้ (aipdpa.com)
แหล่งอ้างอิง
- ICO — (อ่านต้นฉบับ) — ICO takes action against Metropolitan Police Service over information governance failures
- The Register — (อ่านต้นฉบับ) — อ่านข่าวที่ The Register
บทความนี้เป็นการสรุปข่าวและให้ข้อมูลทั่วไป ไม่ใช่คำแนะนำทางกฎหมาย หากต้องการคำปรึกษาเฉพาะกรณีของธุรกิจคุณ ควรปรึกษาผู้เชี่ยวชาญ
