แอป THIM คือแอปของสำนักงานตรวจคนเข้าเมือง (สตม.) ที่ให้ชาวต่างชาติส่งบัตรขาเข้าดิจิทัล TDAC ผ่านมือถือ โดยข่าวประชาสัมพันธ์ระบุว่าแอปอ่านข้อมูลพาสปอร์ตผ่าน NFC และตรวจใบหน้าผู้ใช้ บทความนี้เหมาะกับเจ้าของโรงแรม ที่พัก บริษัททัวร์ และฝ่าย HR ที่จ้างคนต่างชาติ อ่านแล้วจะรู้ว่า PDPA คุ้มครองข้อมูลใบหน้าของคนต่างชาติอย่างไร และควรรับข้อมูลแขกแบบไหน
ลองนึกภาพแขกชาวยุโรปเดินเข้าล็อบบี้โรงแรมแล้วถามว่า “ต้องสแกนหน้าอีกรอบไหม เพราะแอปของรัฐก็สแกนไปแล้ว” พนักงานต้อนรับส่วนใหญ่ยังตอบไม่ได้ แอป THIM มีผู้ใช้แล้วกว่า 580,000 ราย คำถามแบบนี้จึงจะเจอบ่อยขึ้นเรื่อย ๆ
สรุปสั้น: แอป THIM เป็นช่องทางเสริมสำหรับส่ง TDAC ไม่ใช่ข้อบังคับเพิ่ม มียอดดาวน์โหลดกว่า 600,000 ครั้งตั้งแต่ 1 ส.ค. 2569 และผู้ใช้กว่า 580,000 ราย ข้อมูลใบหน้าที่แอปใช้ตรวจเป็นข้อมูลอ่อนไหวตาม PDPA มาตรา 26 สตม. บอกว่าเข้ารหัสและแยกเก็บ แต่ยังไม่มีผู้ตรวจสอบอิสระยืนยัน ธุรกิจที่รับแขกต่างชาติไม่ควรเก็บข้อมูลซ้ำเกินจำเป็น
แอป THIM คืออะไร และเก็บข้อมูลอะไรบ้าง
แอป THIM เป็นแอปที่ สตม. เปิดตัวอย่างเป็นทางการเพื่อใช้ส่ง Thailand Digital Arrival Card (TDAC) และมีฟีเจอร์ Explore Thailand สำหรับนักท่องเที่ยว ตามข่าวประชาสัมพันธ์และรายงานของฐานเศรษฐกิจ แอปเก็บข้อมูลหนังสือเดินทางผ่าน NFC และใช้ Liveness Detection กับ Face Comparison เพื่อยืนยันว่าผู้ใช้เป็นเจ้าของพาสปอร์ตจริง
ExpatGo รายงานว่าชาวต่างชาติต้องส่ง TDAC ภายใน 3 วันก่อนเดินทางถึงไทย และ THIM เป็นช่องทางเสริมของเว็บไซต์ TDAC เดิม ไม่ใช่ข้อบังคับใหม่ ส่วนรายละเอียดเรื่อง NFC และข้อมูลใบหน้ามาจากข่าวประชาสัมพันธ์และฐานเศรษฐกิจ ExpatGo ไม่ได้กล่าวถึง
| ประเด็น | ข้อเท็จจริงตามข่าว |
|---|---|
| ผู้ให้บริการ | สำนักงานตรวจคนเข้าเมือง (สตม.) |
| ยอดดาวน์โหลด | กว่า 600,000 ครั้ง ตั้งแต่ 1 ส.ค. 2569 |
| ผู้ใช้งาน | 580,000+ ราย (97.2% ของยอดดาวน์โหลด) |
| ข้อมูลที่ใช้ | ข้อมูลพาสปอร์ตผ่าน NFC และการตรวจใบหน้า |
| บริการที่วางแผน | จองคิว ต่อวีซ่า รายงานตัว 90 วัน ใบรับรองพำนัก VOA |
แอป THIM ปลอดภัยตาม PDPA หรือไม่
คำตอบสั้นคือ สตม. ประกาศว่าดำเนินการให้สอดคล้อง PDPA แต่ข้อยืนยันนั้นมาจากข่าวประชาสัมพันธ์เท่านั้น ยังไม่มีผู้ตรวจสอบอิสระ มาตรการที่ สตม. ระบุคือ เข้ารหัสหลายชั้น แยกข้อมูลชีวภาพออกจากข้อมูลส่วนบุคคลอื่น จำกัดสิทธิ์เข้าถึง และเก็บ log
ข้อมูลใบหน้าที่ใช้ยืนยันตัวตนเป็นข้อมูลชีวภาพ ซึ่งเป็นข้อมูลอ่อนไหวตาม PDPA มาตรา 26 การที่เจ้าของข้อมูลเป็นคนต่างชาติไม่ได้ทำให้ได้รับความคุ้มครองน้อยลง เพราะข้อมูลถูกประมวลผลในไทย ผู้ควบคุมข้อมูลยังต้องมีมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสมตามมาตรา 37(1)
คำถามที่ยังเปิดอยู่ (การวิเคราะห์ของผู้เขียน) คือ สตม. จะเปิดเผยผลการประเมินผลกระทบด้านข้อมูลส่วนบุคคล (DPIA) หรือไม่ เมื่อบริการขยายไปถึงการต่อวีซ่าและรายงานตัว 90 วัน ปริมาณและความอ่อนไหวของข้อมูลจะเพิ่มขึ้นอีกมาก
แอป THIM กระทบธุรกิจไทยอย่างไร
แอป THIM กระทบธุรกิจที่รับข้อมูลคนต่างชาติโดยตรง เพราะแขกจะเริ่มถามว่าทำไมต้องให้ข้อมูลซ้ำ และจะเทียบมาตรฐานของธุรกิจกับของรัฐ ส่วนนี้เป็นการวิเคราะห์ของผู้เขียน แยกตามกลุ่ม
โรงแรมและที่พักต้องเก็บสำเนาพาสปอร์ตแขกเหมือนเดิมไหม
โรงแรมและที่พักยังมีหน้าที่รายงานข้อมูลคนต่างชาติตามที่กฎหมายกำหนด แอป THIM ไม่ได้เข้ามาแทนหน้าที่นั้น แต่สิ่งที่ควรทบทวนคือ “เก็บมากกว่าที่ต้องรายงานหรือเปล่า” หลายแห่งถ่ายสำเนาพาสปอร์ตทุกหน้าเก็บไว้ในลิ้นชักหรือส่งต่อในกลุ่ม LINE พนักงาน ซึ่งเสี่ยงทั้งข้อมูลรั่วและผิดหลักใช้ข้อมูลตามวัตถุประสงค์ที่แจ้ง (PDPA มาตรา 21)
บริษัทนำเที่ยวและเอเจนซีวีซ่า
บริษัทนำเที่ยวและเอเจนซีวีซ่ามักช่วยลูกค้ากรอก TDAC แทน ถ้าพนักงานเอามือถือลูกค้ามาสแกนใบหน้าหรือพาสปอร์ตเอง บริษัทต้องคิดว่าตัวเองเข้าไปแตะข้อมูลอ่อนไหวหรือไม่ และได้แจ้งลูกค้าแล้วหรือยัง ตัวอย่างสมมติ: ทัวร์กรุ๊ปจีน 40 คน ไกด์รวบพาสปอร์ตทั้งหมดไปถ่ายรูปเก็บในมือถือส่วนตัว ถ้ามือถือหาย ข้อมูลของ 40 คนก็หายตามไปด้วย
นายจ้างที่มีพนักงานต่างชาติ
นายจ้างที่มีพนักงานต่างชาติควรรู้ว่าบริการรายงานตัว 90 วันและต่อวีซ่าอยู่ในแผนของแอป THIM เมื่อเปิดใช้จริง ฝ่าย HR อาจถูกขอให้ช่วยพนักงานทำรายการในแอป ควรวางกติกาว่า HR ช่วยแนะนำได้ แต่ไม่ควรเก็บภาพใบหน้าหรือข้อมูลชิปพาสปอร์ตของพนักงานไว้เอง
ถ้าไม่ทำอะไรเลย จะเสี่ยงอะไร
ถ้าไม่ทำอะไรเลย ธุรกิจจะเก็บข้อมูลพาสปอร์ตต่างชาติซ้ำซ้อนกับที่รัฐเก็บไปแล้ว และถ้าสำเนาเหล่านั้นรั่ว ธุรกิจต้องแจ้ง สคส. ภายใน 72 ชั่วโมงตาม PDPA มาตรา 37(4) ความเสี่ยงอีกข้อคือรีวิวเสียจากแขกที่รู้สึกว่าถูกขอข้อมูลมากเกินไป ซึ่งกระทบยอดจองโดยตรง
โรงแรมและธุรกิจท่องเที่ยวควรทำอะไรตอนนี้
โรงแรมและธุรกิจท่องเที่ยวควรเริ่มจากจุดที่รับข้อมูลแขกต่างชาติ เพราะแอป THIM ทำให้แขกคาดหวังว่าธุรกิจจะดูแลข้อมูลอย่างน้อยเท่ารัฐ
- 1. ตรวจว่าเก็บข้อมูลพาสปอร์ตเกินที่ต้องรายงานหรือไม่ เก็บเฉพาะหน้าที่จำเป็น กำหนดระยะเวลาลบ และเลิกส่งสำเนาในแชตกลุ่ม
- 2. ทำประกาศความเป็นส่วนตัวภาษาอังกฤษ อธิบายว่าเก็บข้อมูลอะไร เพื่ออะไร ส่งให้ใคร ตาม PDPA มาตรา 23
- 3. ห้ามพนักงานสแกนใบหน้าแขกด้วยมือถือส่วนตัว ถ้าต้องช่วยแขกใช้แอป ให้แขกทำบนเครื่องของแขกเอง
- 4. เตรียมคำตอบมาตรฐานให้ฝ่ายต้อนรับ เช่น “THIM เป็นช่องทางเสริมของ TDAC ไม่ใช่ข้อบังคับเพิ่ม และโรงแรมไม่ได้รับข้อมูลใบหน้าจากแอป”
- 5. ติดตามบริการใหม่ของแอป THIM โดยเฉพาะการต่อวีซ่าและรายงานตัว 90 วัน แล้วปรับขั้นตอน HR ให้สอดคล้อง
ถ้าต้องการคนช่วยทบทวนประกาศความเป็นส่วนตัวและขั้นตอนรับข้อมูลแขก ดูได้ที่ บริการ AI Governance และ PDPA ของ Kooru อ่านเรื่องสิทธิของเจ้าของข้อมูลเพิ่มได้ใน ประกาศ สคส. เรื่องสิทธิขอเข้าถึงและขอรับสำเนาข้อมูลมีผลแล้ว องค์กรต้องตอบใน 30 วัน คิดค่าธรรมเนียมได้แค่ไหน ปฏิเสธได้เมื่อไร และบทเรียนเอกสารยืนยันตัวตนรั่วใน Times Car ข้อมูลรั่ว 6.6 ล้านบัญชี ใบขับขี่และเอกสารยืนยันตัวตนหลุด แอปเช่ารถและคาร์แชร์ไทยต้องเรียนรู้อะไร ติดตามประเด็นนี้ต่อได้ที่ หมวด PDPA & Privacy
มุมมองผู้เชี่ยวชาญ
แอป THIM ทำให้รัฐกลายเป็นผู้เก็บข้อมูลใบหน้าของคนที่ไม่ใช่คนไทยรายใหญ่ที่สุดรายหนึ่งในประเทศ ซึ่งไม่ใช่เรื่องผิด แต่เป็นเรื่องที่ต้องโปร่งใส มาตรฐานที่รัฐเรียกร้องจากเอกชน ควรเป็นมาตรฐานเดียวกับที่รัฐใช้กับตัวเอง ถ้า สตม. เปิดเผยผลประเมิน DPIA ได้ จะเป็นตัวอย่างที่ดีให้ทั้งประเทศ ส่วนธุรกิจ จุดที่มักพลาดคือคิดว่าแขกต่างชาติไม่รู้สิทธิตาม PDPA จริง ๆ แล้วคนยุโรปคุ้นกับ GDPR และจะถามก่อนคนไทยด้วยซ้ำ
— Phuwara Krobtaku —
LL.M. (IP & IT) | M.S. (IT) | Thai Barrister & Attorney-at-Law
คำถามที่พบบ่อยเกี่ยวกับแอป THIM
แอป THIM บังคับใช้ทุกคนที่เข้าไทยไหม
ไม่บังคับ ExpatGo รายงานว่าแอป THIM เป็นช่องทางเสริมของเว็บไซต์ TDAC เดิม ชาวต่างชาติยังต้องส่ง TDAC ภายใน 3 วันก่อนเดินทางถึงไทย แต่เลือกส่งผ่านเว็บหรือแอปก็ได้
แอป THIM เก็บข้อมูลใบหน้าไปทำอะไร
ตามข่าวประชาสัมพันธ์ แอป THIM ใช้ Liveness Detection และ Face Comparison เพื่อยืนยันว่าผู้ใช้เป็นเจ้าของพาสปอร์ตจริง สตม. ระบุว่าแยกเก็บข้อมูลชีวภาพออกจากข้อมูลอื่นและเข้ารหัสหลายชั้น แต่ยังไม่มีผู้ตรวจสอบอิสระยืนยัน
คนต่างชาติได้รับความคุ้มครองตาม PDPA ไหม
ได้รับ เพราะ PDPA คุ้มครองข้อมูลส่วนบุคคลที่ประมวลผลในไทยโดยไม่จำกัดสัญชาติ ข้อมูลใบหน้าเป็นข้อมูลอ่อนไหวตามมาตรา 26 จึงต้องได้รับการดูแลเข้มกว่าข้อมูลทั่วไป
โรงแรมได้รับข้อมูลจากแอป THIM หรือไม่
ข่าวที่มีอยู่ไม่ได้ระบุว่าโรงแรมได้รับข้อมูลจากแอป THIM โรงแรมยังมีหน้าที่รายงานข้อมูลคนต่างชาติตามกฎหมายเดิม และควรเก็บเฉพาะข้อมูลที่จำเป็นต่อหน้าที่นั้น
แหล่งอ้างอิง
- ฐานเศรษฐกิจ — (อ่านต้นฉบับ) — อ่านข่าวที่ฐานเศรษฐกิจ
- ThaiPR.NET (ข่าวประชาสัมพันธ์ สตม.) — (อ่านต้นฉบับ) — อ่านข่าวที่ ThaiPR.NET
บทความนี้เป็นการสรุปข่าวและให้ข้อมูลทั่วไป ไม่ใช่คำแนะนำทางกฎหมาย หากต้องการคำปรึกษาเฉพาะกรณีของธุรกิจคุณ ควรปรึกษาผู้เชี่ยวชาญ
