บทนำ
ข่าว Meta ครั้งนี้ถูกพูดถึงด้วยตัวเลข 18,000 ล้านดอลลาร์สหรัฐ แต่ถ้ามองเฉพาะตัวเลข เราอาจพลาดประเด็นที่สำคัญกว่า
Meta ตกลงยุติคดีที่เกี่ยวข้องกับข้อกล่าวหาว่า Facebook และ Instagram สร้างความเสี่ยงต่อเด็กและวัยรุ่น โดยข้อตกลงยังต้องผ่านกระบวนการอนุมัติของศาล และ Meta ไม่ได้ยอมรับว่าตนกระทำผิดตามข้อกล่าวหา
ภายใต้ข้อตกลง Meta จะต้องเปลี่ยนวิธีที่วัยรุ่นใช้งานแพลตฟอร์มหลายด้าน เช่น จำกัดการใช้งานเริ่มต้น เปิดช่วงเวลาห้ามใช้งานในเวลากลางคืน ลดการแจ้งเตือนในช่วงเรียน ซ่อนตัวเลขไลก์ และเพิ่มระบบตรวจสอบหรือประเมินอายุของบัญชีผู้ใช้
เงินสูงสุดประมาณ 18,000 ล้านดอลลาร์จะทยอยจ่ายตลอด 10 ปี และราว 5,300 ล้านดอลลาร์ขึ้นอยู่กับว่าคู่แข่งอย่าง YouTube และ TikTok จะนำมาตรการที่กำหนดไปใช้ด้วยหรือไม่
ดังนั้น สิ่งที่เกิดขึ้นจึงไม่ใช่แค่ “บริษัทเทคโนโลยีโดนเรียกค่าเสียหายมหาศาล”
มันกำลังเปลี่ยนคำถามจาก
“แพลตฟอร์มทำอย่างไรให้คนใช้นานขึ้น?”
ไปสู่
“แพลตฟอร์มควรออกแบบอย่างไร เมื่อผู้ใช้เป็นเด็ก?”
และนี่แหละคือส่วนที่ธุรกิจไทยควรเริ่มสนใจ
ปัญหาจริงอาจไม่ได้อยู่ที่การจำกัดเวลา แต่อยู่ที่คำถามว่า “คุณรู้ได้อย่างไรว่าคนนี้เป็นเด็ก?”
หนึ่งในมาตรการสำคัญของ Meta คือการเพิ่มความสามารถในการประเมินอายุ เพื่อแยกบัญชีที่อาจเป็นเด็กหรือวัยรุ่นออกจากผู้ใหญ่
ฟังดูง่าย
เด็ก → เปิดมาตรการคุ้มครอง
ผู้ใหญ่ → ใช้งานตามปกติ
แต่ระบบต้องตอบคำถามก่อนว่า
“คนนี้อายุเท่าไร?”
ปัญหาคือ การตอบคำถามนี้อาจต้องใช้ข้อมูลที่ละเอียดขึ้น เช่น เอกสารระบุตัวตน การยืนยันผ่านภาพหรือชีวมิติ หรือการวิเคราะห์รูปแบบพฤติกรรม ทั้งหมดมีต้นทุนและความเสี่ยงด้านความเป็นส่วนตัวในตัวเอง นักวิเคราะห์และผู้เชี่ยวชาญที่ TechCrunch สัมภาษณ์ชี้ให้เห็นถึงความตึงเครียดระหว่างการเพิ่มความปลอดภัยให้เด็กกับการสร้างความเสี่ยงด้านข้อมูลส่วนบุคคลใหม่
นี่คือจุดที่เรื่องของ Meta เริ่มเดินเข้ามาใกล้ PDPA ไทยอย่างน่าสนใจ
เพราะในประเทศไทย มาตรา 20 ของ PDPA มีหลักเกณฑ์เฉพาะสำหรับการขอความยินยอมจากผู้เยาว์ โดยกรณีเด็กอายุไม่เกิน 10 ปี การให้ความยินยอมต้องมาจากผู้ใช้อำนาจปกครองตามเงื่อนไขของกฎหมาย
ขณะเดียวกัน มาตรา 22 วางหลักว่าการเก็บข้อมูลต้องอยู่เท่าที่จำเป็นตามวัตถุประสงค์ที่ชอบด้วยกฎหมาย
จึงเกิดโจทย์สำคัญทันทีว่า
ถ้าบริษัทบอกว่า “เราต้องรู้ว่าคุณเป็นเด็กเพื่อปกป้องคุณ” บริษัทจำเป็นต้องเก็บข้อมูลอะไรเพื่อรู้เรื่องนั้น และเก็บมากกว่าที่จำเป็นหรือไม่?
นี่อาจเป็นบทเรียนด้าน PDPA ที่สำคัญกว่าตัวเลข 18,000 ล้านดอลลาร์เสียอีก
ผลกระทบต่อธุรกิจในประเทศไทย
สำหรับธุรกิจไทย สิ่งที่ควรจับตาไม่ใช่ว่า Meta จะนำกฎสองชั่วโมงหรือ Night Mode มาใช้ในประเทศไทยเมื่อใด เพราะข้อตกลงนี้กำหนดมาตรการในสหรัฐฯ เป็นหลัก และยังไม่มีข้อกำหนดจากข่าวต้นทางว่ามาตรการจะถูกนำมาใช้ทั่วโลก
สิ่งที่สำคัญกว่าคือ แนวคิดเรื่อง Age Assurance กำลังกลายเป็นส่วนหนึ่งของการออกแบบแพลตฟอร์ม และเมื่อธุรกิจจำเป็นต้องรู้ว่าใครเป็นเด็ก กระบวนการนั้นก็กลายเป็นกระบวนการประมวลผลข้อมูลที่ต้องถูกออกแบบอย่างระมัดระวัง
ลองนึกถึงธุรกิจไทยที่ทำแคมเปญโฆษณาบนแพลตฟอร์มต่างประเทศ บริษัทอาจไม่ได้เป็นเจ้าของระบบตรวจสอบอายุ แต่ยังต้องรู้ว่าการกำหนดกลุ่มเป้าหมายของตนเกี่ยวข้องกับผู้เยาว์หรือไม่ ใช้ข้อมูลประเภทใดในการเลือกกลุ่ม และมีการส่งข้อมูลจากเว็บไซต์หรือระบบ CRM ไปให้แพลตฟอร์มหรือไม่
อีกกลุ่มหนึ่งคือธุรกิจที่มีแอปของตัวเอง เช่น เกม การศึกษา อีคอมเมิร์ซ ฟินเทค หรือแพลตฟอร์มคอนเทนต์ หากอนาคตต้องแยกประสบการณ์ของเด็กกับผู้ใหญ่ ระบบอาจต้องรู้ช่วงอายุของผู้ใช้ตั้งแต่ต้นทาง
ตรงนี้มีความเสี่ยงสองด้านพร้อมกัน
ด้านแรกคือ รู้เด็กไม่พอ จนมาตรการป้องกันใช้งานไม่ได้
ด้านที่สองคือ รู้มากเกินไป จนบริษัทกลายเป็นผู้ถือข้อมูลละเอียดขึ้นโดยไม่จำเป็น
และด้านที่สองมักถูกมองข้าม
การเก็บสำเนาบัตรประชาชน การถ่ายภาพใบหน้า หรือการใช้ข้อมูลพฤติกรรมเพื่ออนุมานอายุ อาจช่วยแก้โจทย์ความปลอดภัยบางอย่าง แต่ก็เพิ่มคำถามใหม่เรื่องวัตถุประสงค์ ความจำเป็น การเข้าถึงข้อมูล การเก็บรักษา และการนำข้อมูลไปใช้ต่อ
ที่สำคัญ ธุรกิจไม่ควรคิดว่า “ผู้ใช้ให้ความยินยอมแล้ว” จะจบทุกเรื่อง เพราะมาตรา 22 ยังคงเกี่ยวข้องกับความจำเป็นของการเก็บข้อมูล และมาตรา 20 มีเงื่อนไขเฉพาะเมื่อเจ้าของข้อมูลเป็นผู้เยาว์
ดังนั้น สำหรับองค์กรไทย บทเรียนจาก Meta จึงไม่ใช่แค่ “ต้องปกป้องเด็กให้มากขึ้น”
แต่คือ
“ต้องปกป้องเด็กโดยไม่สร้างปัญหาข้อมูลใหม่ขึ้นมาแทน”
นี่คือโจทย์ที่ฝ่ายกฎหมาย ฝ่าย Product ฝ่าย Security และฝ่าย Marketing ควรคุยกันตั้งแต่ตอนออกแบบระบบ ไม่ใช่รอให้ระบบเปิดใช้งานแล้วค่อยให้ฝ่ายกฎหมายตามแก้
4 เรื่องที่องค์กรไทยควรเริ่มเช็ก
- รู้หรือไม่ว่ามีผู้ใช้อายุต่ำกว่า 20 ปีเข้ามาในระบบหรือไม่ และองค์กรใช้วิธีใดในการประเมินอายุ
- ตรวจสอบว่าเก็บข้อมูลเพื่อยืนยันอายุอะไรบ้าง และแต่ละรายการจำเป็นจริงหรือไม่ตามวัตถุประสงค์
- แยกข้อมูลสำหรับ Child Safety ออกจากข้อมูลการตลาดให้ชัดเจน โดยเฉพาะข้อมูลที่ใช้ทำ Personalization หรือ Targeted Advertising
- ทบทวนกระบวนการ Consent ของผู้เยาว์ ให้สอดคล้องกับมาตรา 20 ไม่ใช่ใช้แบบฟอร์มเดียวกับผู้ใหญ่ทุกกรณี
- ให้ Product, Legal, Security และ Marketing ตรวจร่วมกัน ก่อนนำระบบ Age Verification หรือ Age Inference มาใช้จริง
มุมมองผู้เชี่ยวชาญ
“ผมมองว่าเรื่องนี้ไม่ได้จบที่ Meta เสียเงิน 18,000 ล้านดอลลาร์ จุดใหญ่กว่าคือ ต่อไปแพลตฟอร์มต้องตอบให้ได้ว่า ‘คุณรู้ได้อย่างไรว่าผมเป็นเด็ก’ เพราะยิ่งอยากปกป้องเด็ก ก็ยิ่งมีโอกาสต้องเก็บข้อมูลเพิ่ม และตรงนี้แหละที่เรื่อง Child Safety กับ PDPA มาเจอกันแบบเต็มๆ”
— Phuwara Krobtaku —
LL.M. (IP & IT) | M.S. (IT) | Thai Barrister & Attorney-at-Law
แหล่งอ้างอิง
TechCrunch — Meta settles for $18B in lawsuit brought by 29 states over social media harms to children
อ่านข่าวต้นฉบับจาก TechCrunch
TechCrunch — Meta’s $18B child-safety deal hinges on age-verification tech that doesn’t work well
Reuters — รายงานรายละเอียดมูลค่าข้อตกลงและผลกระทบต่อ Meta
แหล่งข้อมูลกฎหมายไทย — มาตรา 20 พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562
มหาวิทยาลัยพะเยา — หลักการเก็บข้อมูลเท่าที่จำเป็นตามมาตรา 22
[…] […]