สร้างความตระหนักรู้เรื่องความเป็นส่วนตัว จาก AiPASS คำถามที่ต้องถามตนเองก่อนใช้
ดร.อุดมธิปก ไพรเกษตร นายกสมาคมผู้ตรวจสอบและให้คำปรึกษาการคุ้มครองข้อมูลส่วนบุคคลไทย
อาจารย์สุกฤษ โกยอัครเดช ประธานฝ่ายวิเทศสัมพันธ์และเลขาธิการสมาคมผู้ตรวจสอบและให้คำปรึกษาการคุ้มครองข้อมูลส่วนบุคคลไทย
อาจารย์มยุรี ชวนชม ประธานฝ่ายคุ้มครองข้อมูลส่วนบุคคล สมาคมผู้ตรวจสอบและให้คำปรึกษาการคุ้มครองข้อมูลส่วนบุคคลไทย
ช่วงนี้มีคนถามพวกเราบ่อย ๆ ว่า
“ควรสมัคร AiPASS ไหม?”
จากข้อมูลสาธารณะที่พวกเราตรวจสอบได้ในขณะนี้ พวกเรายังไม่เห็นเหตุเพียงพอที่จะต้องแนะนำประชาชนโดยทั่วไปว่าไม่ควรสมัคร หากสนใจก็สามารถศึกษารายละเอียดและพิจารณาสมัครได้
แต่คำถามที่สำคัญกว่าคือ
“ก่อนสมัครใช้งาน คุณรู้หรือไม่ว่า จะเกิดอะไรขึ้นกับข้อมูลของคุณ?” เพราะการที่คุณสมัครใช้งานปัญญาประดิษฐ์ใด ๆ ไม่ว่าจะมาจาก ผู้ให้บริการ (Provider) เจ้าใด ไล่มาตั้งแต่ ChatGPT ของค่าย OpenAI, Gemini ของค่าย Alphabet, Claude ของค่าย Anthropic มิใยต้องเอ่ยถึง AiPASS ของค่ายรัฐบาลไทยนั้น
AI ของแต่ละค่ายไม่ได้เพียงแค่มายุ่งกับการเปิดบัญชีการใช้ของคุณเท่านั้น แต่ยังยุ่งไปถึงการเก็บรวบรวม ใช้ หรือเปิดเผย ข้อมูลส่วนบุคคลของตัวคุณในฐานะผู้ให้บริการ AI (Provider) อีกด้วย
ในมุมมองที่ปรึกษา สมาคมผู้ตรวจสอบและให้คำปรึกษาการคุ้มครองข้อมูลส่วนบุคคลไทย (TPDPA) จึงอยากชวนให้คุณผู้อ่านทุกคนในฐานะเจ้าของข้อมูลส่วนบุคคล (Data Subject) ถามตัวเองด้วย 9 ข้อที่สมาคมฯ มองว่าสำคัญ ก่อนสมัครใช้บริการ AiPASS เพื่อสร้างสังคม Smart Consumers หรือ ผู้บริโภคที่รู้เท่าทัน เข้าใจสิทธิของตนเอง และรู้จักคิดก่อนใช้ AI
1. บริการนี้คุ้มกับข้อมูลส่วนบุคคลและความเป็นส่วนตัวที่คุณต้องให้หรือไม่?
เมื่อเปิดอ่าน ประกาศความเป็นส่วนตัว (Privacy Notice)
https://de.aipass.net/privacy-policy-th ลองถามตัวเองก่อนว่า คุณต้องการบริการนี้จริงหรือไม่? เพื่อให้ได้ประโยชน์นั้น คุณต้องให้ข้อมูลส่วนบุคคลอะไรบ้าง? ข้อมูลส่วนบุคคลบางประเภทนั้น จำเป็นต่อการใช้บริการ AI หรือไม่?
และที่สำคัญถามตัวเองก่อนว่า “ประโยชน์ที่ได้รับ คุ้มกับข้อมูลส่วนบุคคลที่ต้องเปิดเผยหรือไม่?”
2. ใครเป็นคนรับผิดชอบข้อมูลส่วนบุคคลของคุณ?
ตาม พรบ. คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 หรือ PDPA ผู้ที่กำหนดวัตถุประสงค์และวิธีการเก็บ ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล คือ ผู้ควบคุมข้อมูลส่วนบุคคล (Data Controller) ส่วนผู้ให้บริการด้านเทคนิคบางรายอาจเป็น ผู้ประมวลผลข้อมูลส่วนบุคคล (Data Processor)
สิ่งที่คุณทั้งในฐานะผู้ใช้บริการและฐานะเจ้าของข้อมูลส่วนบุคคลนั้นควรทราบว่า “ถ้าเกิดปัญหากับข้อมูลของฉัน ใครคือผู้รับผิดชอบ?” สามารถติดต่อใครได้ที่ไหน?
3. ระบบเก็บรวบรวมข้อมูลส่วนบุคคลอะไรเกี่ยวกับตัวคุณเพิ่มอีก?
ระหว่างใช้งานนั้น AI จะเก็บรวบรวมประวัติการสนทนา Log ข้อมูลอุปกรณ์ และพฤติกรรมการใช้งาน รวมถึงข้อมูลที่ระบบวิเคราะห์หรืออนุมาน (Inferred Data) ขึ้น
อย่าถามเพียงว่า “ตอนสมัครต้องกรอกอะไร?” แต่ควรถามว่า
“หลังจากเริ่มใช้แล้ว ระบบจะมีการเก็บรวบรวมข้อมูลส่วนบุคคลเพิ่มขึ้นอีก?”
4. ระบบนำข้อมูลของคุณไปใช้ทำอะไร?
ข้อมูลส่วนบุคคลประเภทเดียวกันอาจถูกนำไปใช้เพื่อหลายวัตถุประสงค์ เช่น เพื่อให้บริการ รักษาความมั่นคงปลอดภัย ตรวจสอบการใช้งาน วิเคราะห์หรือปรับปรุงระบบ รวมถึงการวิจัยหรือพัฒนา AI
หากผู้ให้บริการ (Provider) มีการประมวลผลในลักษณะดังกล่าว การให้ข้อมูลส่วนบุคคลเพื่อรับบริการไม่ได้หมายความว่าคุณต้องยอมให้ระบบใช้ข้อมูลนั้นเพื่อทุกวัตถุประสงค์โดยอัตโนมัติ นี่คือแนวคิดเรื่อง การใช้ข้อมูลตามวัตถุประสงค์ที่กำหนด (Purpose Limitation)
เวลาอ่าน Privacy Notice จึงควรดูทั้งว่า “เขาเก็บอะไร” และ “นำไปใช้เพื่ออะไร รวมถึงเรามีทางเลือกหรือไม่?”
5. ข้อมูลส่วนบุคคลของคุณถูกเปิดเผยให้ใครบ้าง และไปที่ไหน?
ในประกาศความเป็นส่วนตัวของ AiPASS นั้นมีการเปิดเผยข้อมูลส่วนบุคคลแก่บุคคลภายนอก ถึง 6 หน่วยงาน ได้แก่
(1) ผู้ให้บริการโมเดล AI (AI Model Providers)
(2) ระบบวิเคราะห์ของบุคคลที่สาม
(3) หน่วยงานบังคับใช้กฎหมาย
(4) ผู้ให้บริการคลาวด์ / ผู้ประมวลผลข้อมูล
(5) คู่สัญญา / ผู้ให้บริการภายนอก
(6) หน่วยงานภายนอกหรือหน่วยงานรัฐหรือเอกชนที่มีการเชื่อมโยงข้อมูลหรือแลกเปลี่ยนข้อมูลกับ สดช.
บางกรณี Prompt หรือไฟล์อาจถูกส่งไปประมวลผลในระบบหรือถูกส่งไปต่างประเทศ
PDPA ไม่ได้ห้ามการโอนข้อมูลไปต่างประเทศในลักษณะห้ามแบบเบ็ดเสร็จเด็ดขาด (Absolute Prohibition) แต่การโอนต้องเป็นไปตามเงื่อนไขที่กฎหมาย PDPA กำหนด
ในฐานะที่คุณเป็นผู้ใช้ คุณควรรู้เท่าที่ตรวจสอบได้ว่า
“ข้อมูลอะไรถูกส่งให้ใคร เพื่ออะไร และประมวลผลที่ใด?”
คำว่า “ข้อมูลเก็บอยู่ในประเทศไทย” จึงไม่ได้หมายความโดยอัตโนมัติว่าไม่มีข้อมูลส่วนใดออกไปประมวลผลนอกประเทศไทย เพราะสถานที่เก็บข้อมูลกับสถานที่ประมวลผลอาจไม่ใช่ที่เดียวกัน
6. ระบบเก็บข้อมูลของคุณไว้นานแค่ไหน
ข้อมูลส่วนบุคคลแต่ละประเภทอาจมีระยะเวลาเก็บรักษาแตกต่างกัน จึงควรดู ระยะเวลาเก็บรักษาข้อมูล (Retention Period) และวิธีลบข้อมูลของบริการในประกาศความเป็นส่วนตัว
สิ่งสำคัญคือต้องเข้าใจว่า
“ลบบัญชี ≠ ข้อมูลทุกประเภทถูกลบทันที”
ข้อมูลส่วนบุคคลบางประเภทอาจจำเป็นต้องเก็บต่อช่วงหนึ่งเพื่อปฏิบัติตามกฎหมาย รักษาความมั่นคงปลอดภัย ตรวจสอบ หรือจัดการข้อพิพาท
7. คุณมีสิทธิอะไร และใช้สิทธิอย่างไร
PDPA ให้สิทธิแก่คุณในฐานะเจ้าของข้อมูลส่วนบุคคล (Data Subject) ภายใต้หลักเกณฑ์และเงื่อนไขของ PDPA คุณอาจมีสิทธิที่จะขอเข้าถึง ขอแก้ไข ขอให้ลบ ทำลาย คัดค้านการประมวลผล หรือถอนความยินยอม ทั้งนี้สิทธิเหล่านี้มีเงื่อนไขและข้อยกเว้นตามกฎหมาย PDPA เป็นเรื่อง ๆ ไป
หากผู้ให้บริการ (Provider) นำข้อมูลส่วนบุคคลของคุณไปใช้เพื่อการวิจัย การวิเคราะห์ หรือการปรับปรุงระบบ ผู้ให้บริการก็ต้องมีกลไกในการจัดการหรือรองรับการใช้สิทธิจากคุณ หรือเสนอทางเลือกอื่น ในกรณีที่คุณในฐานะเจ้าของข้อมูลส่วนบุคคลไม่ประสงค์จะให้ข้อมูลส่วนบุคคลบางประเภท
8. กรณีมีปัญหา คุณจะติดต่อใคร?
Privacy Notice ที่ดีควรทำให้คุณในฐานะประชาชนทราบว่าจะติดต่อใครเมื่อมีปัญหา ไม่ว่าจะเป็นช่องทางของผู้ควบคุมข้อมูลส่วนบุคคลหรือเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล (Data Protection Officer: DPO) ในกรณีที่องค์กรมีหรือกฎหมายกำหนดให้ต้องมี
หากต้องการแก้ไขข้อมูล คัดค้านการใช้ข้อมูล หรือพบความผิดปกติ แต่หาไม่เจอว่าจะติดต่อใคร นั่นก็เป็นข้อมูลหนึ่งที่ใช้ประกอบการตัดสินใจว่าเราจะเชื่อใจบริการนั้นมากน้อยเพียงใด
ซึ่งในประกาศความเป็นส่วนตัวของ AiPASS ระบุว่า สำนักงานคณะกรรมการดิจิทัลเพื่อเศรษฐกิจและสังคมแห่งชาติ (สดช.) คือผู้ควบคุมข้อมูลส่วนบุคคล (Data Controller) ในขณะที่ช่องทางการติดต่อ เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล (DPO) อยู่ที่งานอีเมลงานสารบรรณ saraban@bde.go.th
9. ข้อมูลที่คุณจะพิมพ์ลงไปใน AiPASS จำเป็นต่อผลลัพธ์ หรือไม่?
นี่อาจเป็นคำถามที่สำคัญที่สุดในบรรดาคำถามทั้งหมด
ในการใช้ AI ลองตรวจสอบตัวคุณเองด้วยคำถามย่อยดังนี้
ข้อมูลส่วนบุคคลที่คุณกำลังจะ prompt จำเป็นต่อผลลัพธ์หรือไม่?
สิ่งที่ prompt เป็นข้อมูลส่วนบุคคลของคุณหรือของคนอื่น?
เป็นข้อมูลส่วนบุคคลลักษณะพิเศษหรือไม่? ข้อมูลส่วนบุคคลลักษณะพิเศษ เช่น ข้อมูลสุขภาพ ข้อมูลศาสนา หรือพฤติกรรมทางเพศ ควรได้รับการพิจารณาก่อนเปิดเผยเพราะอาจนำไปสู่การเลือกปฏิบัติ หรือ อันตรายแก่สุขภาพชีวิตของเจ้าของข้อมูลส่วนบุคคล
ข้อมูลส่วนบุคคลที่เป็นความลับหรือไม่ควรล่วงรู้ไปถึงบุคคลที่สาม เช่น ข้อมูลคนในครอบครัว ข้อมูลบุตร ธิดา ผู้เยาว์ เบอร์โทรศัพท์ เลขประจำตัวประชาชนหรือข้อมูลทางการเงิน เงินเดือน ที่อาจสร้างผลกระทบสูงหากรั่วไหล รหัสผ่านหรือ OTP ข้อมูลลับขององค์กร และข้อมูลของบุคคลอื่นที่เราอาจไม่มีสิทธินำไปเปิดเผย
หลักคิดง่าย ๆ คือ ใช้ AI ได้ แต่ไม่จำเป็นต้องใส่ทุกอย่างให้ AI รู้ แนวคิดนี้ตรงกับหลักการใช้ข้อมูลเท่าที่จำเป็น (Data Minimisation)
จาก AiPASS สู่ Privacy Literacy
หากคุณถามพวกเราว่า “ควรสมัคร AiPASS ไหม?”
คำตอบที่คุณได้รับคงไม่ใช่เพียง Yes หรือ No
เหนือกว่าคำว่า ควร หรือ ไม่ควรนั้น อยู่ที่คุณควรใช้โอกาสนี้ฝึกถามคำถามเกี่ยวกับข้อมูลส่วนบุคคลของตัวเองให้มากเพื่อให้เกิด ความรู้และความเข้าใจในการปกป้อง ควบคุม และจัดการข้อมูลส่วนบุคคลของตนเองในโลกดิจิทัล เพื่อป้องกันความเสี่ยงจากการถูกขโมยข้อมูลหรือนำไปใช้ในทางที่ผิด ซึ่งเรียกว่า “Privacy Literacy” ซึ่งเป็น หนึ่งในทักษะดิจิทัล (Digital Skill) ที่คุณในฐานะผู้ใช้งาน Ai ในฐานะ ประชาชน และในฐานะเจ้าของข้อมูลส่วนบุคคลต้องมี ไม่เฉพาะก่อนใช้ AiPASS แต่ก่อนใช้ AI และบริการดิจิทัลทุกระบบ
ช่วงนี้มีคนถามพวกเราบ่อย ๆ ว่า
“ควรสมัคร AiPASS ไหม?”
จากข้อมูลสาธารณะที่พวกเราตรวจสอบได้ในขณะนี้ พวกเรายังไม่เห็นเหตุเพียงพอที่จะต้องแนะนำประชาชนโดยทั่วไปว่าไม่ควรสมัคร หากสนใจก็สามารถศึกษารายละเอียดและพิจารณาสมัครได้
แต่คำถามที่สำคัญกว่าคือ
“ก่อนสมัครใช้งาน คุณรู้หรือไม่ว่า จะเกิดอะไรขึ้นกับข้อมูลของคุณ?” เพราะการที่คุณสมัครใช้งานปัญญาประดิษฐ์ใด ๆ ไม่ว่าจะมาจาก ผู้ให้บริการ (Provider) เจ้าใด ไล่มาตั้งแต่ ChatGPT ของค่าย OpenAI, Gemini ของค่าย Alphabet, Claude ของค่าย Anthropic มิใยต้องเอ่ยถึง AiPASS ของค่ายรัฐบาลไทยนั้น
AI ของแต่ละค่ายไม่ได้เพียงแค่มายุ่งกับการเปิดบัญชีการใช้ของคุณเท่านั้น แต่ยังยุ่งไปถึงการเก็บรวบรวม ใช้ หรือเปิดเผย ข้อมูลส่วนบุคคลของตัวคุณในฐานะผู้ให้บริการ AI (Provider) อีกด้วย
ในมุมมองที่ปรึกษา สมาคมผู้ตรวจสอบและให้คำปรึกษาการคุ้มครองข้อมูลส่วนบุคคลไทย (TPDPA) จึงอยากชวนให้คุณผู้อ่านทุกคนในฐานะเจ้าของข้อมูลส่วนบุคคล (Data Subject) ถามตัวเองด้วย 9 ข้อที่สมาคมฯ มองว่าสำคัญ ก่อนสมัครใช้บริการ AiPASS เพื่อสร้างสังคม Smart Consumers หรือ ผู้บริโภคที่รู้เท่าทัน เข้าใจสิทธิของตนเอง และรู้จักคิดก่อนใช้ AI
1. บริการนี้คุ้มกับข้อมูลส่วนบุคคลและความเป็นส่วนตัวที่คุณต้องให้หรือไม่?
เมื่อเปิดอ่าน ประกาศความเป็นส่วนตัว (Privacy Notice)
https://de.aipass.net/privacy-policy-th ลองถามตัวเองก่อนว่า คุณต้องการบริการนี้จริงหรือไม่? เพื่อให้ได้ประโยชน์นั้น คุณต้องให้ข้อมูลส่วนบุคคลอะไรบ้าง? ข้อมูลส่วนบุคคลบางประเภทนั้น จำเป็นต่อการใช้บริการ AI หรือไม่?
และที่สำคัญถามตัวเองก่อนว่า “ประโยชน์ที่ได้รับ คุ้มกับข้อมูลส่วนบุคคลที่ต้องเปิดเผยหรือไม่?”
2. ใครเป็นคนรับผิดชอบข้อมูลส่วนบุคคลของคุณ?
ตาม พรบ. คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 หรือ PDPA ผู้ที่กำหนดวัตถุประสงค์และวิธีการเก็บ ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล คือ ผู้ควบคุมข้อมูลส่วนบุคคล (Data Controller) ส่วนผู้ให้บริการด้านเทคนิคบางรายอาจเป็น ผู้ประมวลผลข้อมูลส่วนบุคคล (Data Processor)
สิ่งที่คุณทั้งในฐานะผู้ใช้บริการและฐานะเจ้าของข้อมูลส่วนบุคคลนั้นควรทราบว่า “ถ้าเกิดปัญหากับข้อมูลของฉัน ใครคือผู้รับผิดชอบ?” สามารถติดต่อใครได้ที่ไหน?
3. ระบบเก็บรวบรวมข้อมูลส่วนบุคคลอะไรเกี่ยวกับตัวคุณเพิ่มอีก?
ระหว่างใช้งานนั้น AI จะเก็บรวบรวมประวัติการสนทนา Log ข้อมูลอุปกรณ์ และพฤติกรรมการใช้งาน รวมถึงข้อมูลที่ระบบวิเคราะห์หรืออนุมาน (Inferred Data) ขึ้น
อย่าถามเพียงว่า “ตอนสมัครต้องกรอกอะไร?” แต่ควรถามว่า
“หลังจากเริ่มใช้แล้ว ระบบจะมีการเก็บรวบรวมข้อมูลส่วนบุคคลเพิ่มขึ้นอีก?”
4. ระบบนำข้อมูลของคุณไปใช้ทำอะไร?
ข้อมูลส่วนบุคคลประเภทเดียวกันอาจถูกนำไปใช้เพื่อหลายวัตถุประสงค์ เช่น เพื่อให้บริการ รักษาความมั่นคงปลอดภัย ตรวจสอบการใช้งาน วิเคราะห์หรือปรับปรุงระบบ รวมถึงการวิจัยหรือพัฒนา AI
หากผู้ให้บริการ (Provider) มีการประมวลผลในลักษณะดังกล่าว การให้ข้อมูลส่วนบุคคลเพื่อรับบริการไม่ได้หมายความว่าคุณต้องยอมให้ระบบใช้ข้อมูลนั้นเพื่อทุกวัตถุประสงค์โดยอัตโนมัติ นี่คือแนวคิดเรื่อง การใช้ข้อมูลตามวัตถุประสงค์ที่กำหนด (Purpose Limitation)
เวลาอ่าน Privacy Notice จึงควรดูทั้งว่า “เขาเก็บอะไร” และ “นำไปใช้เพื่ออะไร รวมถึงเรามีทางเลือกหรือไม่?”
5. ข้อมูลส่วนบุคคลของคุณถูกเปิดเผยให้ใครบ้าง และไปที่ไหน?
ในประกาศความเป็นส่วนตัวของ AiPASS นั้นมีการเปิดเผยข้อมูลส่วนบุคคลแก่บุคคลภายนอก ถึง 6 หน่วยงาน ได้แก่
(1) ผู้ให้บริการโมเดล AI (AI Model Providers)
(2) ระบบวิเคราะห์ของบุคคลที่สาม
(3) หน่วยงานบังคับใช้กฎหมาย
(4) ผู้ให้บริการคลาวด์ / ผู้ประมวลผลข้อมูล
(5) คู่สัญญา / ผู้ให้บริการภายนอก
(6) หน่วยงานภายนอกหรือหน่วยงานรัฐหรือเอกชนที่มีการเชื่อมโยงข้อมูลหรือแลกเปลี่ยนข้อมูลกับ สดช.
บางกรณี Prompt หรือไฟล์อาจถูกส่งไปประมวลผลในระบบหรือถูกส่งไปต่างประเทศ
PDPA ไม่ได้ห้ามการโอนข้อมูลไปต่างประเทศในลักษณะห้ามแบบเบ็ดเสร็จเด็ดขาด (Absolute Prohibition) แต่การโอนต้องเป็นไปตามเงื่อนไขที่กฎหมาย PDPA กำหนด
ในฐานะที่คุณเป็นผู้ใช้ คุณควรรู้เท่าที่ตรวจสอบได้ว่า
“ข้อมูลอะไรถูกส่งให้ใคร เพื่ออะไร และประมวลผลที่ใด?”
คำว่า “ข้อมูลเก็บอยู่ในประเทศไทย” จึงไม่ได้หมายความโดยอัตโนมัติว่าไม่มีข้อมูลส่วนใดออกไปประมวลผลนอกประเทศไทย เพราะสถานที่เก็บข้อมูลกับสถานที่ประมวลผลอาจไม่ใช่ที่เดียวกัน
6. ระบบเก็บข้อมูลของคุณไว้นานแค่ไหน
ข้อมูลส่วนบุคคลแต่ละประเภทอาจมีระยะเวลาเก็บรักษาแตกต่างกัน จึงควรดู ระยะเวลาเก็บรักษาข้อมูล (Retention Period) และวิธีลบข้อมูลของบริการในประกาศความเป็นส่วนตัว
สิ่งสำคัญคือต้องเข้าใจว่า
“ลบบัญชี ≠ ข้อมูลทุกประเภทถูกลบทันที”
ข้อมูลส่วนบุคคลบางประเภทอาจจำเป็นต้องเก็บต่อช่วงหนึ่งเพื่อปฏิบัติตามกฎหมาย รักษาความมั่นคงปลอดภัย ตรวจสอบ หรือจัดการข้อพิพาท
7. คุณมีสิทธิอะไร และใช้สิทธิอย่างไร
PDPA ให้สิทธิแก่คุณในฐานะเจ้าของข้อมูลส่วนบุคคล (Data Subject) ภายใต้หลักเกณฑ์และเงื่อนไขของ PDPA คุณอาจมีสิทธิที่จะขอเข้าถึง ขอแก้ไข ขอให้ลบ ทำลาย คัดค้านการประมวลผล หรือถอนความยินยอม ทั้งนี้สิทธิเหล่านี้มีเงื่อนไขและข้อยกเว้นตามกฎหมาย PDPA เป็นเรื่อง ๆ ไป
หากผู้ให้บริการ (Provider) นำข้อมูลส่วนบุคคลของคุณไปใช้เพื่อการวิจัย การวิเคราะห์ หรือการปรับปรุงระบบ ผู้ให้บริการก็ต้องมีกลไกในการจัดการหรือรองรับการใช้สิทธิจากคุณ หรือเสนอทางเลือกอื่น ในกรณีที่คุณในฐานะเจ้าของข้อมูลส่วนบุคคลไม่ประสงค์จะให้ข้อมูลส่วนบุคคลบางประเภท
8. กรณีมีปัญหา คุณจะติดต่อใคร?
Privacy Notice ที่ดีควรทำให้คุณในฐานะประชาชนทราบว่าจะติดต่อใครเมื่อมีปัญหา ไม่ว่าจะเป็นช่องทางของผู้ควบคุมข้อมูลส่วนบุคคลหรือเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล (Data Protection Officer: DPO) ในกรณีที่องค์กรมีหรือกฎหมายกำหนดให้ต้องมี
หากต้องการแก้ไขข้อมูล คัดค้านการใช้ข้อมูล หรือพบความผิดปกติ แต่หาไม่เจอว่าจะติดต่อใคร นั่นก็เป็นข้อมูลหนึ่งที่ใช้ประกอบการตัดสินใจว่าเราจะเชื่อใจบริการนั้นมากน้อยเพียงใด
ซึ่งในประกาศความเป็นส่วนตัวของ AiPASS ระบุว่า สำนักงานคณะกรรมการดิจิทัลเพื่อเศรษฐกิจและสังคมแห่งชาติ (สดช.) คือผู้ควบคุมข้อมูลส่วนบุคคล (Data Controller) ในขณะที่ช่องทางการติดต่อ เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล (DPO) อยู่ที่งานอีเมลงานสารบรรณ saraban@bde.go.th
9. ข้อมูลที่คุณจะพิมพ์ลงไปใน AiPASS จำเป็นต่อผลลัพธ์ หรือไม่?
นี่อาจเป็นคำถามที่สำคัญที่สุดในบรรดาคำถามทั้งหมด
ในการใช้ AI ลองตรวจสอบตัวคุณเองด้วยคำถามย่อยดังนี้
ข้อมูลส่วนบุคคลที่คุณกำลังจะ prompt จำเป็นต่อผลลัพธ์หรือไม่?
สิ่งที่ prompt เป็นข้อมูลส่วนบุคคลของคุณหรือของคนอื่น?
เป็นข้อมูลส่วนบุคคลลักษณะพิเศษหรือไม่? ข้อมูลส่วนบุคคลลักษณะพิเศษ เช่น ข้อมูลสุขภาพ ข้อมูลศาสนา หรือพฤติกรรมทางเพศ ควรได้รับการพิจารณาก่อนเปิดเผยเพราะอาจนำไปสู่การเลือกปฏิบัติ หรือ อันตรายแก่สุขภาพชีวิตของเจ้าของข้อมูลส่วนบุคคล
ข้อมูลส่วนบุคคลที่เป็นความลับหรือไม่ควรล่วงรู้ไปถึงบุคคลที่สาม เช่น ข้อมูลคนในครอบครัว ข้อมูลบุตร ธิดา ผู้เยาว์ เบอร์โทรศัพท์ เลขประจำตัวประชาชนหรือข้อมูลทางการเงิน เงินเดือน ที่อาจสร้างผลกระทบสูงหากรั่วไหล รหัสผ่านหรือ OTP ข้อมูลลับขององค์กร และข้อมูลของบุคคลอื่นที่เราอาจไม่มีสิทธินำไปเปิดเผย
หลักคิดง่าย ๆ คือ ใช้ AI ได้ แต่ไม่จำเป็นต้องใส่ทุกอย่างให้ AI รู้ แนวคิดนี้ตรงกับหลักการใช้ข้อมูลเท่าที่จำเป็น (Data Minimisation)
จาก AiPASS สู่ Privacy Literacy
หากคุณถามพวกเราว่า “ควรสมัคร AiPASS ไหม?”
คำตอบที่คุณได้รับคงไม่ใช่เพียง Yes หรือ No
เหนือกว่าคำว่า ควร หรือ ไม่ควรนั้น อยู่ที่คุณควรใช้โอกาสนี้ฝึกถามคำถามเกี่ยวกับข้อมูลส่วนบุคคลของตัวเองให้มากเพื่อให้เกิด ความรู้และความเข้าใจในการปกป้อง ควบคุม และจัดการข้อมูลส่วนบุคคลของตนเองในโลกดิจิทัล เพื่อป้องกันความเสี่ยงจากการถูกขโมยข้อมูลหรือนำไปใช้ในทางที่ผิด ซึ่งเรียกว่า “Privacy Literacy” ซึ่งเป็น หนึ่งในทักษะดิจิทัล (Digital Skill) ที่คุณในฐานะผู้ใช้งาน Ai ในฐานะ ประชาชน และในฐานะเจ้าของข้อมูลส่วนบุคคลต้องมี ไม่เฉพาะก่อนใช้ AiPASS แต่ก่อนใช้ AI และบริการดิจิทัลทุกระบบ