Neurodata หรือข้อมูลประสาท คือข้อมูลที่ได้จากสมองและระบบประสาท รวมถึงข้อมูลที่ AI อนุมานต่อ เช่น อารมณ์หรือความเครียด OECD เพิ่งเผยแพร่รายงานที่พบว่าบริษัท neurotech แทบไม่เคยคุยกับหน่วยงานคุ้มครองข้อมูล บทความนี้เหมาะกับสตาร์ทอัพ health-tech นายจ้าง และฝ่าย PDPA ที่อยากรู้ว่าข้อมูลสมองอยู่ตรงไหนในกฎหมายไทย
ลองนึกภาพบริษัทขนส่งที่แจกที่คาดศีรษะวัดความเหนื่อยล้าให้คนขับรถบรรทุก (ตัวอย่างสมมติ) แอปบอกว่าใครง่วง ใครเครียด ใครสมาธิตก ข้อมูลแบบนี้ดูเหมือนข้อมูลความปลอดภัยธรรมดา แต่จริง ๆ คือการอ่านสภาพจิตใจของพนักงาน และคำถามว่าใครคุ้มครองข้อมูลนั้นยังไม่มีคำตอบชัดในไทย
สรุปสั้น: รายงาน OECD ที่ IAPP รายงานเมื่อ 9 ตุลาคม 2569 ศึกษา 16 บริษัท neurotech ใน 6 ประเทศ และพบว่าเกือบไม่มีบริษัทไหนเคยติดต่อหน่วยงานคุ้มครองข้อมูล ในไทย Neurodata จากอุปกรณ์สวมใส่น่าจะเข้าข่ายข้อมูลสุขภาพหรือข้อมูลชีวภาพซึ่งเป็นข้อมูลอ่อนไหวตาม PDPA มาตรา 26 ธุรกิจจึงควรถือว่าข้อมูลที่ AI อนุมานเป็นข้อมูลอ่อนไหวตั้งแต่แรก
รายงาน OECD เรื่อง Neurodata พบอะไร
รายงาน OECD เรื่องธรรมาภิบาล Neurodata พบว่าบริษัท neurotech ส่วนใหญ่ติดต่อแค่หน่วยงานกำกับเครื่องมือแพทย์ และเกือบไม่มีบริษัทไหนเคยติดต่อหน่วยงานคุ้มครองข้อมูล รายงานจัดทำโดยคณะทำงานด้านคุ้มครองข้อมูลของ OECD ร่วมกับคณะทำงานผู้เชี่ยวชาญด้าน neurotechnology ศึกษาบริษัท 16 แห่งใน 6 ประเทศสมาชิก โดยไม่ระบุชื่อประเทศ
| ประเด็น | ข้อเท็จจริงตามรายงาน |
|---|---|
| ผู้จัดทำ | คณะทำงานคุ้มครองข้อมูลของ OECD ร่วมกับคณะทำงานผู้เชี่ยวชาญ neurotechnology |
| กลุ่มที่ศึกษา | 16 บริษัท ใน 6 ประเทศสมาชิก OECD (ไม่ระบุชื่อประเทศ) |
| ประเภทข้อมูล | 4 ประเภท: ไม่ใช่สรีรวิทยา, สรีรวิทยา, ข้อมูลที่อนุมาน, ข้อมูลประกอบ |
| ข้อค้นพบหลัก | ส่วนใหญ่ติดต่อแค่หน่วยงานเครื่องมือแพทย์ แทบไม่มีใครติดต่อหน่วยงานคุ้มครองข้อมูล |
| ก้าวต่อไปที่อังกฤษ | ICO จะรับฟังความเห็นร่างแนวทาง neurodata ต้นปี 2570 (ค.ศ. 2027) |
ข้อเสนอของ OECD เรื่อง Neurodata มีอะไรบ้าง
ข้อเสนอที่รายงานเปิดเผยมี 3 กลุ่ม คือกฎที่ชัดเรื่องบทบาทผู้ควบคุมและผู้ประมวลผลข้อมูลรวมถึงการจัดประเภทข้อมูล มาตรฐานกลางกับกลไกแบ่งปันข้อมูลที่ปลอดภัย และความร่วมมือระหว่างประเทศ รายงานไม่ได้เป็นกฎหมายบังคับ แต่เป็นสัญญาณว่าหน่วยงานกำกับทั่วโลกเริ่มมองข้อมูลสมองเป็นเรื่องคุ้มครองข้อมูล ไม่ใช่แค่เรื่องเครื่องมือแพทย์
ข้อมูลสมองอยู่ตรงไหนใน PDPA ไทย
ข้อมูลสมองและอารมณ์จากอุปกรณ์สวมใส่ที่ขายในไทยน่าจะเข้าข่ายข้อมูลสุขภาพหรือข้อมูลชีวภาพ ซึ่งเป็นข้อมูลอ่อนไหวตามมาตรา 26 ของ พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 แต่ไทยยังไม่มีแนวทางเฉพาะเรื่องข้อมูลที่ AI อนุมานได้ ส่วนนี้เป็นการวิเคราะห์ของผู้เขียน ยังไม่มีหน่วยงานไทยออกความเห็นเรื่อง Neurodata โดยตรง
ช่องว่างที่สำคัญอยู่ที่ข้อมูลที่อนุมาน คลื่นสมองดิบอาจชัดว่าเป็นข้อมูลสุขภาพ แต่ผลที่ AI สรุปว่า “คนนี้กำลังกังวล” อาจถูกมองว่าเป็นแค่คะแนนในแอป ผู้เขียนเห็นว่าถ้าผลนั้นบอกสภาพจิตใจของคนที่ระบุตัวได้ ก็ควรได้รับความคุ้มครองระดับเดียวกับข้อมูลต้นทาง เรื่องข้อมูลสุขภาพที่บริษัทคิดว่าไม่ระบุตัวแล้วแต่หน่วยงานไม่เห็นด้วย ดูได้ใน อิตาลีปรับ IQVIA 7 ล้านยูโร ข้อมูลคนไข้ 1 ล้านราย “ไม่ใช่ข้อมูลนิรนาม” แม้ใช้รหัสแทนตัวตน ข้อมูลสุขภาพที่ลบชื่อแล้วในไทยยังอยู่ใต้ PDPA หรือไม่
Neurodata กระทบธุรกิจไทยอย่างไร
Neurodata กระทบธุรกิจไทย 3 กลุ่มหลัก คือผู้ขายอุปกรณ์และแอป wellness นายจ้างที่วัดความเครียดหรือความเหนื่อยล้าของพนักงาน และทีม AI ที่สร้างระบบอ่านอารมณ์ ทุกกลุ่มเจอคำถามเดียวกันคือใช้ฐานกฎหมายอะไรเก็บข้อมูล และใครเป็นผู้ควบคุมข้อมูล ข่าวต้นทางพูดถึงภาพรวมระหว่างประเทศ ส่วนการเชื่อมกับไทยเป็นการวิเคราะห์ของผู้เขียน
สตาร์ทอัพ health-tech และร้านขายอุปกรณ์สวมใส่ต้องระวังอะไร
สตาร์ทอัพ health-tech ต้องระวังว่าการขึ้นทะเบียนเครื่องมือแพทย์ไม่ได้แปลว่าครบเรื่อง PDPA รายงาน OECD ชี้ว่าบริษัทส่วนใหญ่โฟกัสแค่หน่วยงานเครื่องมือแพทย์ ซึ่งเป็นจุดบอดเดียวกับที่ธุรกิจไทยอาจเจอ ข้อมูลอ่อนไหวตามมาตรา 26 ต้องมีฐานกฎหมายที่เข้มกว่าข้อมูลทั่วไป และส่วนใหญ่ต้องขอความยินยอมโดยชัดแจ้ง
ร้านที่นำเข้าอุปกรณ์ Neurodata มาขายในไทยควรถามผู้ผลิตว่าข้อมูลไปเก็บที่ประเทศไหน ใครเข้าถึงได้ และ AI สรุปอะไรจากข้อมูลบ้าง ถ้าส่งข้อมูลออกนอกประเทศต้องดู PDPA มาตรา 28–29 ด้วย
นายจ้างที่วัดความเครียดพนักงานเสี่ยงอะไร
นายจ้างเสี่ยงเรื่องความยินยอมที่ไม่อิสระ เพราะพนักงานอาจรู้สึกว่าปฏิเสธไม่ได้ PDPA มาตรา 19 ต้องการความยินยอมที่ให้โดยอิสระ ซึ่งยากในความสัมพันธ์นายจ้างกับลูกจ้าง ทางเลือกฐานกฎหมายอื่นอ่านได้ที่ PDPA ไทย: การขอความยินยอมอาจไม่ใช่คำตอบแรกที่ธุรกิจควรเลือก ผู้เขียนเห็นว่านายจ้างควรถือว่าผลวัดความเครียดหรือความเหนื่อยล้าเป็นข้อมูลอ่อนไหว จำกัดคนที่เห็นผล และไม่เอาผลไปใช้ประเมินงานหรือเลิกจ้าง
ทีมที่สร้าง Emotion AI ควรเตรียมอะไร
ทีมที่สร้าง Emotion AI หรือระบบอ่านอารมณ์ควรบันทึกว่าโมเดลอนุมานอะไรจากข้อมูลไหน เพราะรายงาน OECD แยกข้อมูลที่อนุมานออกมาเป็นประเภทเฉพาะ ซึ่งบอกว่าหน่วยงานกำกับจะถามถึงชั้นนี้ แนวทาง AI governance เช่น ISO/IEC 42001 ช่วยวางกรอบบันทึกได้ เรื่องมาตรฐานนี้อ่านต่อที่ ISO/IEC 42001: ธุรกิจ AI ไทยที่ยังไม่มี เสี่ยงเสียลูกค้าต่างชาติไหม
ถ้าไม่จัดการ Neurodata เลย จะเสี่ยงอะไร
ถ้าไม่จัดการ Neurodata เลย ธุรกิจเสี่ยงเก็บข้อมูลอ่อนไหวโดยไม่มีฐานกฎหมายที่ถูกต้อง ซึ่ง PDPA มีโทษทั้งทางปกครองและทางแพ่ง และเสี่ยงเสียความเชื่อใจของลูกค้าเมื่อรู้ว่าแอปเดาอารมณ์ตัวเองอยู่
ความเสี่ยงอีกข้อคือเวลา เมื่อ ICO อังกฤษรับฟังความเห็นต้นปี 2570 และหน่วยงานอื่นตามมา บริษัทที่ไม่มีบันทึกว่าเก็บอะไรจะต้องรื้อระบบย้อนหลัง ซึ่งแพงกว่าทำตั้งแต่ต้น
ธุรกิจที่เก็บข้อมูลสมองหรืออารมณ์ควรทำอะไรตอนนี้
ธุรกิจที่แตะ Neurodata ควรทำ 4 ข้อนี้ก่อนหน่วยงานไทยออกแนวทาง เพราะต้องรู้ก่อนว่าเก็บอะไร ถึงจะเลือกฐานกฎหมายได้ถูก
- 1. สำรวจว่าระบบเก็บและอนุมานอะไร แยกข้อมูลตาม 4 ประเภทของ OECD คือไม่ใช่สรีรวิทยา สรีรวิทยา ข้อมูลที่อนุมาน และข้อมูลประกอบ
- 2. ถือว่าข้อมูลที่อนุมานเป็นข้อมูลอ่อนไหวตั้งแต่แรก ใช้มาตรฐานเดียวกับข้อมูลสุขภาพตาม PDPA มาตรา 26 และขอความยินยอมโดยชัดแจ้ง
- 3. ระบุบทบาทผู้ควบคุมและผู้ประมวลผลในสัญญา โดยเฉพาะเมื่อผู้ผลิตอุปกรณ์อยู่ต่างประเทศ และเช็กการส่งข้อมูลออกนอกประเทศ
- 4. ติดต่อหรือติดตามหน่วยงานคุ้มครองข้อมูล ติดตามแนวทางของ สคส. และร่างแนวทางของ ICO ที่จะรับฟังความเห็นต้นปี 2570
ถ้าต้องการคนช่วยวางกรอบข้อมูลอ่อนไหวและ AI governance ดูได้ที่ บริการ AI Governance และ PDPA ของ Kooru
มุมมองผู้เชี่ยวชาญ
ข้อสังเกตเชิงวิชาชีพของผมคือ รายงาน OECD ฉบับนี้ไม่ได้บอกแค่ว่าบริษัท neurotech ละเลย PDPA แต่บอกว่ากฎหมายคุ้มครองข้อมูลทั่วโลกยังตามข้อมูลที่ AI อนุมานไม่ทัน ข้อมูลที่อันตรายที่สุดอาจไม่ใช่สิ่งที่คุณพูด แต่คือสิ่งที่ AI เดาว่าคุณรู้สึก จุดที่องค์กรมักพลาดคือคิดว่าผ่านหน่วยงานเครื่องมือแพทย์แล้วจบ ควรเช็กให้ครบทั้งสองด้าน ใครวางกรอบไว้ก่อนจะได้เปรียบเมื่อหน่วยงานออกแนวทาง
— Phuwara Krobtaku —
LL.M. (IP & IT) | M.S. (IT) | Thai Barrister & Attorney-at-Law
คำถามที่พบบ่อยเกี่ยวกับ Neurodata
Neurodata คืออะไร ต่างจากข้อมูลสุขภาพทั่วไปไหม
Neurodata คือข้อมูลที่ได้จากสมองและระบบประสาท รวมถึงข้อมูลที่ AI อนุมานต่อ เช่น อารมณ์หรือระดับความเครียด ต่างจากข้อมูลสุขภาพทั่วไปตรงที่บอกสภาพจิตใจได้ลึกกว่า และบางส่วนเป็นการเดาของ AI ไม่ใช่การวัดตรง
ข้อมูลอารมณ์ที่ AI อนุมานเป็นข้อมูลอ่อนไหวตาม PDPA หรือไม่
ไทยยังไม่มีแนวทางเฉพาะเรื่องข้อมูลที่ AI อนุมาน ผู้เขียนเห็นว่าถ้าข้อมูลนั้นบอกสภาพสุขภาพหรือจิตใจของคนที่ระบุตัวได้ น่าจะเข้าข่ายข้อมูลสุขภาพซึ่งเป็นข้อมูลอ่อนไหวตามมาตรา 26 ทางที่ปลอดภัยคือถือเป็นข้อมูลอ่อนไหวตั้งแต่แรก
นายจ้างใช้อุปกรณ์วัดความเหนื่อยล้าของพนักงานได้ไหม
นายจ้างใช้ได้ถ้ามีฐานกฎหมายที่ถูกต้อง แต่ความยินยอมจากลูกจ้างอาจไม่อิสระตาม PDPA มาตรา 19 ควรจำกัดคนที่เห็นผล ใช้เฉพาะเรื่องความปลอดภัย และไม่นำผลไปประเมินงาน
OECD บังคับให้ธุรกิจไทยทำตามรายงาน Neurodata ไหม
รายงาน OECD ไม่ใช่กฎหมายและไม่บังคับธุรกิจไทยโดยตรง แต่เป็นทิศทางที่หน่วยงานกำกับหลายประเทศใช้อ้างอิง เช่น ICO อังกฤษที่จะรับฟังความเห็นร่างแนวทาง neurodata ต้นปี 2570
แหล่งอ้างอิง
- IAPP — (อ่านต้นฉบับ) — อ่านที่ IAPP
บทความนี้เป็นการสรุปข่าวและให้ข้อมูลทั่วไป ไม่ใช่คำแนะนำทางกฎหมาย หากต้องการคำปรึกษาเฉพาะกรณีของธุรกิจคุณ ควรปรึกษาผู้เชี่ยวชาญ
