เมื่อ “กล้อง AI เพื่อความปลอดภัย” กลายเป็นเครื่องมือสะกดรอย
ลองนึกภาพว่าบริษัทของคุณติดกล้องวงจรปิด AI ไว้ “เพื่อความปลอดภัย” แต่วันหนึ่งกลับพบว่าพนักงานคนหนึ่งแอบใช้มันสะกดรอยแฟนเก่า นี่ไม่ใช่เรื่องสมมติ แต่เป็นสิ่งที่เกิดขึ้นจริงกับ Flock Safety บริษัทกล้องอ่านป้ายทะเบียนรถอัตโนมัติ (ALPR) รายใหญ่ของสหรัฐฯ ที่มีกล้องติดตั้งกว่า 120,000 ตัวทั่วประเทศ จนล่าสุดต้องออกมาตรการความปลอดภัยชุดใหม่แบบเร่งด่วน หลังถูกแฉว่าตำรวจอย่างน้อย 50 นายใช้ระบบนี้เพื่อจุดประสงค์ส่วนตัว
จากเครื่องมือจับโจรขโมยรถ สู่เครื่องมือสะกดรอยคนรัก
จุดเริ่มต้นของแรงกดดันครั้งนี้มาจากการสืบสวนของสื่อสหรัฐฯ ที่พบว่าเจ้าหน้าที่ตำรวจหลายสิบนายนำระบบค้นหาป้ายทะเบียนไปใช้ติดตามคู่รักเก่าหรือคนที่ตนสนใจเป็นการส่วนตัว โดยไม่มีคดีความรองรับ
หลังข่าวเผยแพร่ ยังมีรายงานกรณีเพิ่มเติมอีกกว่าสิบกรณี รวมถึงเหตุการณ์ในรัฐนอร์ทแคโรไลนาที่ตำรวจหญิงถูกจับกุมข้อหาใช้กล้องสะกดรอยแฟนเก่าของแฟนตัวเอง และที่เมือง Savannah รัฐจอร์เจีย มีเจ้าหน้าที่ตำรวจถูกไล่ออกถึง 6 คนจากการใช้ระบบผิดวัตถุประสงค์
องค์กรสิทธิพลเมือง Institute for Justice ถึงกับเปิดฐานข้อมูลรวบรวมกรณีการใช้กล้อง ALPR ในทางที่ผิดกว่า 100 เหตุการณ์ พร้อมระบุว่าบริษัทเหล่านี้ กำลังสร้างระบบสอดส่องมวลชนอันทรงพลังที่สามารถประกอบร่างว่าใครเคยไปที่ไหนมาบ้างอย่างเงียบๆ
Flock จึงประกาศมาตรการใหม่ 3 ข้อหลัก คือ
(1) บังคับให้เจ้าหน้าที่ระบุหมายเลขคดีทุกครั้งที่ค้นหาข้อมูล เพื่อสร้างร่องรอยตรวจสอบย้อนหลังได้
(2) ระบบตรวจจับพฤติกรรมค้นหาที่ผิดปกติจะล็อกบัญชีผู้ใช้อัตโนมัติทันที (3) ลดระยะเวลาเก็บข้อมูลเริ่มต้นจาก 30 วัน เหลือเพียง 7 วัน
อย่างไรก็ตาม กลุ่มสิทธิพลเมืองอย่าง Center for Democracy & Technology ยังมองว่ามาตรการนี้ยังไม่พอ โดยระบุว่านี่ยังเป็น นโยบายแบบ “เชื่อเราเถอะ” แบบเดิม เพียงแค่ทาสีใหม่ให้ดูดีขึ้น เพราะยังปล่อยให้หน่วยงานตำรวจกำกับดูแลตัวเองอยู่ดี
ผลกระทบต่อธุรกิจในประเทศไทย
แม้ Flock จะเป็นบริษัทสหรัฐฯ ที่ให้บริการหน่วยงานตำรวจ แต่แก่นของปัญหานี้คือสิ่งที่ธุรกิจไทยจำนวนมากกำลังเผชิญอยู่โดยไม่รู้ตัว นั่นคือ “การใช้ข้อมูลเกินวัตถุประสงค์ที่แจ้งไว้” โดยคนในองค์กรเอง ภายใต้ PDPA มาตรา 22 การเก็บข้อมูลส่วนบุคคลต้องทำเท่าที่จำเป็นภายใต้วัตถุประสงค์อันชอบด้วยกฎหมายเท่านั้น และมาตรา 37 กำหนดให้ผู้ควบคุมข้อมูลต้องมี “มาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสม” เพื่อป้องกันการเข้าถึงหรือใช้ข้อมูลโดยไม่ได้รับอนุญาต รวมถึงต้องมีระบบลบข้อมูลเมื่อหมดความจำเป็น
ธุรกิจไทยที่มีความเสี่ยงสูงสุดคือกลุ่มที่เก็บข้อมูลตำแหน่ง/ภาพบุคคลต่อเนื่อง เช่น นิติบุคคลอาคารชุดที่มีกล้องอ่านป้ายทะเบียนทางเข้า-ออก บริษัทโลจิสติกส์ที่ติดตาม GPS พนักงานขับรถหรือไรเดอร์ตลอด 24 ชั่วโมง ห้างค้าปลีกที่ใช้ระบบจดจำใบหน้าลูกค้า หรือ แม้แต่ฝ่าย HR ที่มีสิทธิ์เข้าถึงบันทึกการเข้าออกของพนักงาน หากองค์กรเหล่านี้ไม่มีระบบบันทึกว่า “ใครเข้าถึงข้อมูลเมื่อไหร่ ด้วยเหตุผลอะไร” (audit trail) และไม่มีกลไกแจ้งเตือนเมื่อมีการค้นหาผิดปกติ
กรณีที่พนักงานคนหนึ่งแอบใช้ระบบสอดส่องแฟนเก่า คู่แข่ง หรือ แม้แต่เพื่อนร่วมงาน จะไม่ใช่แค่ความผิดส่วนบุคคลของพนักงานคนนั้น แต่บริษัทในฐานะผู้ควบคุมข้อมูลต้องร่วมรับผิดฐานไม่มีมาตรการป้องกันที่เหมาะสม ซึ่งมีโทษปรับทางปกครองสูงสุดถึง 3,000,000 บาท ตามมาตรา 83 ยังไม่นับความเสียหายด้านชื่อเสียงและความรับผิดทางแพ่งต่อผู้เสียหายโดยตรง
สิ่งที่ควรทำต่อ สำหรับองค์กรที่มีระบบกล้อง AI / ระบบติดตาม
- ตรวจสอบว่าระบบกล้อง/GPS/ระบบเข้าออกในองค์กรมี “log การเข้าถึง” ที่ระบุตัวผู้ใช้งาน วันเวลา และเหตุผลในการค้นหาหรือไม่
- กำหนดสิทธิ์การเข้าถึงข้อมูลตามหลัก least privilege — ให้เฉพาะผู้ที่จำเป็นต้องใช้จริงเท่านั้น ไม่ใช่ทุกคนในแผนกความปลอดภัย
- ทบทวนระยะเวลาการเก็บข้อมูลภาพ/ตำแหน่ง ว่าเกินความจำเป็นตามวัตถุประสงค์ที่แจ้งไว้ในนโยบายความเป็นส่วนตัวหรือไม่
- ติดตั้งระบบแจ้งเตือนอัตโนมัติเมื่อมีการค้นหาหรือเข้าถึงข้อมูลในรูปแบบผิดปกติ (เช่น ค้นหาบุคคลเดิมซ้ำหลายครั้งโดยไม่มีเหตุผลทางธุรกิจ)
- จัดทำ Records of Processing Activities (ROPA) และทบทวนมาตรการรักษาความมั่นคงปลอดภัยตามมาตรา 37 เป็นประจำ โดยเฉพาะเมื่อมีการเปลี่ยนแปลงเทคโนโลยีหรือผู้ให้บริการระบบ
มุมมองผู้เชี่ยวชาญ
“เคสนี้สอนบทเรียนสำคัญมากครับ กล้อง AI มันไม่ได้ผิดที่ตัวมันเอง มันผิดที่ ‘คนควบคุมดูแล’ ต่างหาก — ถ้าองค์กรของคุณ มีกล้องหรือ GPS แต่ตอบไม่ได้ว่า ‘ใครบ้างที่เข้าดูข้อมูลนี้’ นั่นแปลว่า คุณกำลังเปิดช่องให้เกิดเหตุการณ์แบบ คดี Flock ได้ทุกเมื่อ และที่น่ากลัวกว่านั้น คือ กฎหมายไทยไม่ได้มองว่าเป็นความผิดของพนักงานคนเดียว แต่บริษัทต้องรับผิดชอบเต็มๆ ในฐานะผู้ควบคุมข้อมูล ผมแนะนำเสมอว่า Audit Log ไม่ใช่ของฟุ่มเฟือย มันคือเกราะป้องกันที่ถูกที่สุดเมื่อเทียบกับค่าปรับ 3 ล้านบาทที่อาจตามมา”
— Phuwara Krobtaku —
LL.M. (IP & IT) , M.S. (IT) , เนติบัณฑิต & ทนายความ
แหล่งอ้างอิง
บทความนี้เรียบเรียงและวิเคราะห์จากรายงานต้นฉบับของ ABC News เรื่อง “Flock announces security changes after dozens of reports of law enforcement abuse and public backlash” อ่านต้นฉบับได้ที่: https://abcnews.com/GMA/News/flock-announces-security-amid-data-privacy-concerns/story?id=135619397
ข้อมูลกฎหมาย PDPA อ้างอิงจากตัวบทมาตรา 22, 37 และ 83 แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562
