About jinnapada si

This author has not written his bio yet.
But we are proud to say that jinnapada si contributed 27 entries already.

Entries by jinnapada si

วิธีป้องกัน Dark Patterns และแนวทางออกแบบ UX ที่โปร่งใสเพื่อองค์กร

22/10/2026/in ข่าว

เมื่อการออกแบบที่ดีต้องเคารพผู้ใช้

บริการดิจิทัลที่มีผู้สมัครสมาชิกจำนวนมากหรือมียอดขายสูง อาจถูกมองว่าประสบความสำเร็จ แต่มีคำถามอีกข้อหนึ่งที่องค์กรควรพิจารณา คือ ผู้ใช้สามารถปฏิเสธ ยกเลิก หรือเปลี่ยนการตัดสินใจได้สะดวกเพียงใด

หากธุรกิจออกแบบให้การซื้อสินค้าและสมัครบริการง่ายมาก แต่ทำให้การปฏิเสธหรือยกเลิกยุ่งยากโดยไม่จำเป็น ก็อาจสร้างความเสี่ยงจาก Dark Patterns แม้ผลลัพธ์ทางธุรกิจในระยะสั้นจะดูดี

การป้องกันปัญหานี้จึงไม่ใช่เพียงหน้าที่ของผู้พัฒนาเว็บไซต์หรือแอปพลิเคชัน แต่เกี่ยวข้องกับวิธีที่องค์กรกำหนดเป้าหมายและประเมินความสำเร็จด้วย

Dark Patterns อาจเริ่มจากเป้าหมายขององค์กร

องค์กรส่วนใหญ่มักตั้งเป้าหมายเพิ่มยอดขาย เพิ่มสมาชิก หรือลดจำนวนลูกค้าที่ยกเลิกบริการ ซึ่งเป็นเป้าหมายทางธุรกิจตามปกติ แต่หากวัดความสำเร็จจากตัวเลขเหล่านี้เพียงด้านเดียว ทีมงานอาจเลือกวิธีออกแบบที่ทำให้ผู้ใช้ตัดสินใจตามที่ธุรกิจต้องการ โดยไม่ได้พิจารณาความเป็นธรรมอย่างเพียงพอ

ตัวอย่างเช่น หากทีมงานได้รับเป้าหมายให้เพิ่มจำนวนผู้ยินยอมรับข่าวสาร อาจเลือกทำให้ปุ่มยอมรับโดดเด่นมากขึ้น ขณะที่ทางเลือกในการปฏิเสธถูกลดความสำคัญลง แม้ไม่มีใครตั้งใจละเมิดสิทธิของผู้ใช้โดยตรง แต่ผลลัพธ์ของการออกแบบอาจสร้างปัญหาได้

การป้องกัน Dark Patterns จึงควรเริ่มตั้งแต่การกำหนดข้อกำหนดของระบบ ไม่ใช่รอให้เกิดข้อร้องเรียนแล้วจึงแก้ไข

ตรวจสอบประสบการณ์ของผู้ใช้จริง

องค์กรสามารถเริ่มต้นด้วยการตรวจสอบรูปแบบการออกแบบที่เสี่ยงต่อการบิดเบือนการตัดสินใจ หรือ Dark Patterns Audit

ตัวอย่างเช่น ทดลองสมัครและยกเลิกบริการจริง ตรวจสอบข้อความโฆษณากับข้อเท็จจริง เปรียบเทียบความสะดวกของทางเลือกยอมรับและปฏิเสธ รวมถึงตรวจสอบว่าผู้ใช้สามารถค้นหาข้อมูลสำคัญได้ง่ายเพียงใด

การตรวจสอบควรครอบคลุมทั้งเว็บไซต์ แอปพลิเคชัน ระบบสนทนาอัตโนมัติ และช่องทางอื่นที่องค์กรใช้ติดต่อกับลูกค้า

อย่างไรก็ตาม Dark Patterns Audit เป็นแนวปฏิบัติด้านการกำกับดูแลที่องค์กรสามารถนำมาใช้ ไม่ใช่ชื่อการตรวจสอบที่พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 กำหนดให้ทุกองค์กรต้องดำเนินการโดยตรง

ต้องอาศัยความร่วมมือหลายฝ่าย

การป้องกัน Dark Patterns ควรเป็นความร่วมมือระหว่างฝ่ายธุรกิจ การตลาด ผู้พัฒนาระบบ ฝ่ายกฎหมาย และผู้รับผิดชอบด้านการคุ้มครองข้อมูลส่วนบุคคล

ฝ่ายการตลาดควรตรวจสอบว่าข้อความและโปรโมชั่นไม่ทำให้เข้าใจผิด ฝ่ายพัฒนาระบบควรออกแบบทางเลือกให้เข้าถึงได้อย่างเหมาะสม ส่วนฝ่ายกฎหมายควรประเมินข้อกำหนดที่ใช้กับบริการแต่ละประเภท

เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล (Data Protection Officer: DPO) ควรให้คำแนะนำในประเด็นที่เกี่ยวข้องกับการประมวลผลข้อมูลส่วนบุคคลตามหน้าที่ของตน ไม่ใช่ถูกกำหนดให้รับผิดชอบปัญหาการออกแบบและการตลาดทั้งหมดเพียงฝ่ายเดียว

ผู้บริหารมีบทบาทสำคัญในการกำหนดให้ความเป็นธรรมต่อผู้บริโภคเป็นส่วนหนึ่งของการประเมินผลการดำเนินงาน

จากการปฏิบัติตามกฎหมาย สู่ความไว้วางใจ

การป้องกัน Dark Patterns ไม่ได้หมายถึงการเลิกทำการตลาดหรือเพิ่มขั้นตอนการทำงาน แต่หมายถึงการออกแบบบริการที่ให้ข้อมูลถูกต้องและเคารพการตัดสินใจของผู้ใช้

องค์กรควรประเมินทั้งผลลัพธ์ทางธุรกิจ จำนวนข้อร้องเรียน ความชัดเจนของข้อมูล และความสะดวกในการใช้สิทธิของลูกค้า

สำหรับระบบที่ใช้ข้อมูลส่วนบุคคล ควรนำหลักการคุ้มครองข้อมูลส่วนบุคคลตั้งแต่ขั้นตอนการออกแบบ (Privacy by Design) มาใช้ประกอบการพัฒนาระบบ โดยต้องแยกหลักปฏิบัติที่แนะนำออกจากหน้าที่เฉพาะที่กฎหมายไทยกำหนด

เพราะธรรมาภิบาลดิจิทัลที่ดีไม่ได้วัดเพียงว่าองค์กรทำให้คนใช้บริการได้มากเพียงใด แต่ต้องพิจารณาด้วยว่าองค์กรเคารพสิทธิและการตัดสินใจของผู้ใช้มากเพียงใด

เอกสารอ้างอิง

OECD (2022). Dark Commercial Patterns. https://doi.org/10.1787/44f5e846-en

European Data Protection Board (2023). Guidelines 03/2022 on Deceptive Design Patterns in Social Media Platform Interfaces, Version 2.0.

พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562

AI Dark Patterns กลลวงเฉพาะบุคคล และข้อกฎหมายที่ต้องรู้

22/10/2026/in ข่าว

เมื่อเทคโนโลยีอาจรู้ว่าเราจะถูกชักจูงอย่างไร

ที่ผ่านมา Dark Patterns มักเป็นการออกแบบหน้าจอที่ผู้ใช้จำนวนมากเห็นเหมือนกัน เช่น ปุ่มยอมรับที่เด่นกว่าปุ่มปฏิเสธ หรือข้อความเร่งรัดให้รีบซื้อสินค้า

แต่เมื่อปัญญาประดิษฐ์ (Artificial Intelligence: AI) เข้ามาช่วยวิเคราะห์พฤติกรรมผู้ใช้ การชักจูงการตัดสินใจอาจเปลี่ยนจากการออกแบบแบบเดียวสำหรับทุกคน ไปสู่การเลือกข้อความหรือข้อเสนอที่แตกต่างกันตามลักษณะของแต่ละบุคคล

คำถามสำคัญจึงไม่ใช่เพียงว่าแพลตฟอร์มกำลังชักจูงให้เราตัดสินใจหรือไม่ แต่รวมถึงระบบ AI อาจเรียนรู้ได้หรือไม่ว่า ควรใช้วิธีใดจึงจะมีอิทธิพลต่อผู้ใช้แต่ละคนมากที่สุด

จากการแนะนำสินค้า สู่การชักจูงเฉพาะบุคคล

ธุรกิจจำนวนมากใช้ AI เพื่อแนะนำสินค้า วิเคราะห์ความสนใจ และช่วยให้ลูกค้าค้นหาสิ่งที่ต้องการได้สะดวกขึ้น

การใช้งานเหล่านี้สามารถสร้างประโยชน์ได้ หากช่วยให้ผู้บริโภคได้รับข้อมูลที่เหมาะสมและตัดสินใจได้ดีขึ้น

แต่เทคโนโลยีเดียวกันอาจถูกนำไปใช้เพื่อชักจูงอย่างไม่เป็นธรรมได้

ตัวอย่างสมมติคือ ระบบที่วิเคราะห์ว่าผู้ใช้รายหนึ่งมักตอบสนองต่อข้อความเกี่ยวกับการพลาดโอกาส จึงเลือกแสดงข้อความสร้างความเร่งด่วนแก่ผู้ใช้รายนั้นบ่อยเป็นพิเศษ

หรือระบบสนทนาอัตโนมัติที่พบว่าลูกค้าต้องการยกเลิกบริการ แต่กลับเลือกใช้ข้อความโน้มน้าวซ้ำหลายครั้งแทนที่จะช่วยดำเนินการตามความประสงค์

ตัวอย่างเหล่านี้เป็นสถานการณ์ที่อาจเกิดขึ้นได้จากความสามารถของเทคโนโลยี ไม่ใช่ข้อกล่าวอ้างว่าระบบ AI ทุกแห่งกำลังดำเนินการเช่นนั้น

AI ที่ช่วยตัดสินใจกับ AI ที่บิดเบือนการตัดสินใจ

ความแตกต่างสำคัญอยู่ที่วิธีใช้ข้อมูลและเป้าหมายของระบบ

หาก AI แนะนำสินค้าพร้อมแสดงราคา คุณสมบัติ และข้อจำกัดอย่างครบถ้วน ก็อาจช่วยให้ผู้บริโภคตัดสินใจได้ดีขึ้น

แต่หาก AI ปกปิดข้อมูลสำคัญ สร้างข้อความที่ไม่ตรงกับข้อเท็จจริง หรือใช้ข้อมูลพฤติกรรมเพื่อกดดันผู้ใช้ ก็อาจเข้าข่ายการชักจูงที่ไม่เป็นธรรม

เรื่องนี้สำคัญยิ่งขึ้นเมื่อผู้บริโภคเริ่มใช้ AI Chatbot หรือ AI Agent เป็นผู้ช่วยค้นหา เปรียบเทียบ และซื้อสินค้า

ผู้ใช้อาจเชื่อว่าคำแนะนำจาก AI เป็นกลาง ทั้งที่ระบบอาจถูกกำหนดให้ให้ความสำคัญกับสินค้าหรือผลประโยชน์ทางธุรกิจบางประเภท

อย่างไรก็ตาม การแสดงโฆษณาหรือการแนะนำสินค้าที่ได้รับการสนับสนุนทางการค้าไม่ได้เป็น Dark Patterns โดยอัตโนมัติ ต้องพิจารณาความโปร่งใส ความถูกต้องของข้อมูล และผลต่อการตัดสินใจของผู้ใช้

กฎหมายกับความเสี่ยงจาก AI

หากองค์กรใช้ข้อมูลส่วนบุคคลเพื่อวิเคราะห์พฤติกรรมหรือจัดทำข้อเสนอเฉพาะบุคคล ต้องพิจารณาพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 โดยเฉพาะฐานกฎหมาย วัตถุประสงค์การประมวลผล และหน้าที่ในการแจ้งข้อมูล

การจัดทำข้อมูลลักษณะเฉพาะบุคคลหรือโปรไฟล์ไม่ได้เป็นสิ่งต้องห้ามทุกกรณี แต่ต้องพิจารณาข้อมูลที่ใช้ วัตถุประสงค์ และผลกระทบที่เกิดขึ้นจริง

หาก AI สร้างข้อความโฆษณาที่ทำให้ผู้บริโภคเข้าใจผิด ก็อาจต้องพิจารณากฎหมายคุ้มครองผู้บริโภคด้วย โดยไม่จำเป็นต้องมีกฎหมายที่ใช้ชื่อว่า Dark Patterns โดยเฉพาะ

AI ควรช่วยให้มนุษย์ตัดสินใจดีขึ้น

องค์กรที่ใช้ AI ในการตลาดควรกำหนดข้อห้ามที่ชัดเจน เช่น ไม่สร้างข้อความเท็จ ไม่ปกปิดค่าใช้จ่ายสำคัญ และไม่ใช้ข้อมูลพฤติกรรมเพื่อเอาเปรียบผู้ใช้

สำหรับ AI Agent ที่สามารถดำเนินการแทนบุคคล ควรออกแบบให้เคารพคำสั่งของผู้ใช้และขอการยืนยันก่อนทำรายการที่มีผลสำคัญ

AI ที่ดีไม่ควรเป็นระบบที่รู้ว่าจะทำให้มนุษย์ยอมตามได้อย่างไร แต่ควรเป็นระบบที่ช่วยให้มนุษย์เข้าใจทางเลือกและตัดสินใจได้ดีขึ้น

เอกสารอ้างอิง

OECD (2022). Dark Commercial Patterns. https://doi.org/10.1787/44f5e846-en

พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562

พระราชบัญญัติคุ้มครองผู้บริโภค พ.ศ. 2522

Dark Patterns ใน E-Commerce กลลวงเร่งยอดขายที่อาจผิดกฎหมาย

22/10/2026/in ข่าว

เมื่อการกระตุ้นยอดขายอาจกลายเป็นการเอาเปรียบผู้บริโภค

“เหลือเพียง 2 ชิ้น” “มีคนกำลังดูสินค้านี้ 30 คน” หรือ “ส่วนลดจะหมดภายใน 5 นาที”

ข้อความเหล่านี้พบได้บ่อยในการซื้อสินค้าออนไลน์ และอาจช่วยให้ผู้บริโภคตัดสินใจได้ หากเป็นข้อมูลที่ถูกต้อง

แต่หากข้อความดังกล่าวถูกสร้างขึ้นโดยไม่มีข้อเท็จจริงรองรับ ก็อาจกลายเป็นเครื่องมือกดดันให้ผู้บริโภครีบซื้อสินค้าโดยไม่ทันพิจารณา

ปัญหาจึงไม่ได้อยู่ที่การกระตุ้นยอดขาย แต่อยู่ที่ว่าธุรกิจใช้ข้อมูลจริงเพื่อช่วยตัดสินใจ หรือใช้ข้อมูลที่ทำให้เข้าใจผิดเพื่อเร่งการซื้อ

เมื่อความเร่งด่วนไม่ใช่เรื่องจริง

Dark Patterns รูปแบบหนึ่งคือ False Urgency หรือการสร้างความเร่งด่วนที่ไม่ตรงกับข้อเท็จจริง

ตัวอย่างเช่น แพลตฟอร์มแสดงเวลานับถอยหลังว่าส่วนลดจะสิ้นสุดในอีก 10 นาที แต่เมื่อหมดเวลาแล้วกลับเริ่มนับใหม่พร้อมส่วนลดเดิม

การจัดโปรโมชั่นจำกัดเวลาเป็นกิจกรรมทางธุรกิจตามปกติ แต่หากไม่มีการจำกัดเวลาจริง การแสดงข้อความดังกล่าวอาจทำให้ผู้บริโภคเข้าใจผิด

อีกกรณีคือการซ่อนค่าใช้จ่ายสำคัญไว้จนถึงขั้นตอนสุดท้าย เช่น ค่าธรรมเนียมเพิ่มเติมที่ผู้ซื้อไม่ทราบมาก่อน

อย่างไรก็ตาม ไม่ใช่การแสดงค่าจัดส่งหรือค่าธรรมเนียมในขั้นตอนชำระเงินทุกกรณีจะเป็น Dark Patterns ต้องพิจารณาว่าธุรกิจแจ้งข้อมูลอย่างชัดเจนและเหมาะสมก่อนที่ผู้บริโภคจะตัดสินใจผูกพันหรือไม่

กฎหมายคุ้มครองผู้บริโภคเกี่ยวข้องอย่างไร

พระราชบัญญัติคุ้มครองผู้บริโภค พ.ศ. 2522 มาตรา 22 กำหนดข้อห้ามเกี่ยวกับการใช้ข้อความโฆษณาที่ไม่เป็นธรรมต่อผู้บริโภคหรืออาจก่อให้เกิดผลเสียต่อสังคมเป็นส่วนรวม รวมถึงข้อความที่เป็นเท็จหรือเกินความจริง และข้อความที่ก่อให้เกิดความเข้าใจผิดในสาระสำคัญเกี่ยวกับสินค้าหรือบริการ ตามเงื่อนไขของกฎหมาย

หากธุรกิจแสดงจำนวนสินค้าคงเหลือที่ไม่ตรงกับข้อเท็จจริง หรือโฆษณาส่วนลดในลักษณะที่ทำให้ผู้บริโภคเข้าใจผิด ก็อาจมีประเด็นที่ต้องตรวจสอบตามมาตราดังกล่าว

แต่กรณีค่าใช้จ่ายเพิ่มเติมหรือเงื่อนไขการขาย ต้องพิจารณาแยกตามลักษณะการแสดงราคา ข้อสัญญา และกฎหมายเฉพาะที่เกี่ยวข้อง ไม่ใช่นำมาตรา 22 มาใช้สรุปว่าทุกกรณีเป็นความผิดโดยอัตโนมัติ

ยอดขายสูง ไม่ได้หมายความว่าลูกค้าพึงพอใจ

ธุรกิจ E-Commerce มักให้ความสำคัญกับอัตราการเปลี่ยนผู้เข้าชมเป็นผู้ซื้อ (Conversion Rate) แต่หากยอดขายเพิ่มขึ้นเพราะผู้บริโภคเข้าใจผิดหรือถูกกดดัน ก็อาจนำมาซึ่งข้อร้องเรียนและการสูญเสียความเชื่อมั่น

ผู้ประกอบธุรกิจจึงควรตรวจสอบว่าข้อความเกี่ยวกับราคา ส่วนลด จำนวนสินค้า และเงื่อนไขการซื้อมีข้อมูลรองรับและไม่ทำให้ผู้บริโภคเข้าใจผิด

สำหรับผู้บริโภค ควรตรวจสอบราคาสุทธิและเงื่อนไขก่อนชำระเงิน โดยเฉพาะข้อเสนอที่อ้างว่าต้องตัดสินใจทันที

การค้าออนไลน์ที่เป็นธรรมไม่จำเป็นต้องทำให้ลูกค้ารีบซื้อ แต่ควรทำให้ลูกค้ามั่นใจว่าตัดสินใจจากข้อมูลที่ถูกต้องและครบถ้วน

เอกสารอ้างอิง

พระราชบัญญัติคุ้มครองผู้บริโภค พ.ศ. 2522 มาตรา 22

OECD (2022). Dark Commercial Patterns. https://doi.org/10.1787/44f5e846-en

สำนักงานคณะกรรมการคุ้มครองผู้บริโภค. ข้อมูลเผยแพร่เกี่ยวกับข้อห้ามการโฆษณาที่ไม่เป็นธรรมต่อผู้บริโภค

Dark Patterns PDPA กดยอมรับคุกกี้ ถือเป็นความยินยอมจริงไหม

22/10/2026/in ข่าว

กดยอมรับแล้ว ถือว่ายินยอมจริงหรือไม่

เมื่อเข้าเว็บไซต์ หลายคนคุ้นเคยกับข้อความขออนุญาตใช้คุกกี้ที่มีปุ่ม “ยอมรับทั้งหมด” ขนาดใหญ่ แต่หากต้องการปฏิเสธกลับต้องเปิดเมนูตั้งค่าและเลือกปิดการใช้ข้อมูลทีละรายการ

บางคนจึงกดยอมรับเพียงเพราะต้องการเข้าเว็บไซต์ให้เร็วที่สุด ไม่ใช่เพราะต้องการให้ธุรกิจใช้ข้อมูลส่วนบุคคลของตนเพื่อการโฆษณา

คำถามคือ หากบริการดิจิทัลออกแบบให้การปฏิเสธยุ่งยากกว่าการยอมรับอย่างมาก ความยินยอมนั้นยังสะท้อนการตัดสินใจอย่างอิสระหรือไม่

ความยินยอมไม่ใช่เพียงการกดปุ่ม

พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 มาตรา 19 กำหนดหลักเกณฑ์การขอความยินยอม โดยต้องแจ้งวัตถุประสงค์ ใช้ข้อความที่อ่านง่ายและเข้าใจได้ ไม่หลอกลวงหรือทำให้เข้าใจผิด และต้องคำนึงอย่างถึงที่สุดในความเป็นอิสระของเจ้าของข้อมูลส่วนบุคคล

นอกจากนี้ การเข้าทำสัญญาหรือรับบริการต้องไม่มีเงื่อนไขให้ยินยอมต่อการประมวลผลข้อมูลส่วนบุคคลที่ไม่จำเป็นหรือไม่เกี่ยวข้องกับการทำสัญญาหรือบริการนั้น

ตัวอย่างเช่น หากแพลตฟอร์มให้บริการอ่านข่าว แต่กำหนดให้ผู้ใช้ต้องยินยอมรับการโฆษณาเฉพาะบุคคลก่อนจึงจะเข้าใช้บริการได้ องค์กรต้องพิจารณาว่าการผูกเงื่อนไขดังกล่าวสอดคล้องกับมาตรา 19 หรือไม่ โดยตรวจสอบลักษณะบริการ ความจำเป็นของการประมวลผล และข้อเท็จจริงที่เกี่ยวข้อง

อย่างไรก็ตาม ไม่ใช่การใช้คุกกี้ทุกประเภทหรือการประมวลผลข้อมูลส่วนบุคคลทุกกรณีต้องอาศัยความยินยอม ต้องพิจารณาฐานกฎหมายที่ใช้ได้ตามมาตรา 24 หรือบทบัญญัติอื่นที่เกี่ยวข้องด้วย

Privacy Notice ไม่ใช่ Consent

ประกาศแจ้งเกี่ยวกับความเป็นส่วนตัว (Privacy Notice) กับความยินยอม (Consent) มีหน้าที่แตกต่างกัน

Privacy Notice เป็นเครื่องมือแจ้งรายละเอียดการเก็บรวบรวมข้อมูล เช่น วัตถุประสงค์ ข้อมูลที่เก็บ ระยะเวลาการเก็บรักษา ผู้ที่อาจได้รับข้อมูล และสิทธิของเจ้าของข้อมูล ตามหน้าที่ที่กฎหมายกำหนด

มาตรา 23 กำหนดให้ผู้ควบคุมข้อมูลส่วนบุคคลแจ้งรายละเอียดก่อนหรือขณะเก็บรวบรวมข้อมูล เว้นแต่เจ้าของข้อมูลทราบรายละเอียดนั้นอยู่แล้ว ส่วนกรณีเก็บรวบรวมข้อมูลจากแหล่งอื่นที่ไม่ใช่เจ้าของข้อมูลโดยตรงต้องพิจารณามาตรา 25 เพิ่มเติม

Consent เป็นการแสดงเจตนายินยอมให้ประมวลผลข้อมูลเพื่อวัตถุประสงค์ที่กำหนด ในกรณีที่องค์กรใช้ความยินยอมเป็นฐานทางกฎหมาย

ดังนั้น การกดรับทราบ Privacy Notice จึงไม่ใช่การให้ความยินยอมต่อทุกวัตถุประสงค์โดยอัตโนมัติ

ให้ความยินยอมง่าย ต้องถอนความยินยอมได้ง่าย

มาตรา 19 กำหนดให้เจ้าของข้อมูลส่วนบุคคลสามารถถอนความยินยอมเมื่อใดก็ได้ และต้องถอนความยินยอมได้ง่ายเช่นเดียวกับการให้ความยินยอม เว้นแต่มีข้อจำกัดสิทธิตามกฎหมายหรือสัญญาที่ให้ประโยชน์แก่เจ้าของข้อมูลส่วนบุคคล

หากการถอนความยินยอมส่งผลกระทบต่อเจ้าของข้อมูล ผู้ควบคุมข้อมูลส่วนบุคคลต้องแจ้งผลกระทบนั้นให้ทราบ

การถอนความยินยอมยังไม่ทำให้การประมวลผลข้อมูลที่ได้ดำเนินการโดยชอบด้วยกฎหมายก่อนการถอนความยินยอมกลายเป็นการกระทำที่ผิดกฎหมายย้อนหลัง

องค์กรจึงไม่ควรตรวจเพียงว่ามีปุ่มขอความยินยอมหรือไม่ แต่ต้องตรวจว่าผู้ใช้เข้าใจวัตถุประสงค์ สามารถเลือกได้อย่างอิสระ และถอนความยินยอมได้ตามกฎหมายจริงหรือไม่

เพราะความยินยอมที่มีคุณค่าไม่ใช่ความยินยอมที่องค์กรทำให้คนกดได้มากที่สุด แต่เป็นความยินยอมที่เจ้าของข้อมูลเข้าใจและเลือกด้วยตนเอง

เอกสารอ้างอิง

พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 มาตรา 19, 23, 24 และ 25

European Data Protection Board (2023). Guidelines 03/2022 on Deceptive Design Patterns in Social Media Platform Interfaces, Version 2.0.

สมัครง่าย ยกเลิกยาก หลุมพราง Dark Patterns และสิทธิผู้บริโภค

22/10/2026/in ข่าว

เมื่อธุรกิจทำให้ลูกค้าออกจากบริการลำบาก

การสมัครบริการออนไลน์บางแห่งใช้เวลาเพียงไม่กี่นาที แต่เมื่อถึงวันที่ไม่ต้องการใช้บริการแล้ว ผู้บริโภคกลับพบว่าการยกเลิกไม่ง่ายอย่างที่คิด

บางบริการสมัครผ่านเว็บไซต์ได้ทันที แต่ต้องโทรศัพท์ติดต่อเจ้าหน้าที่เมื่อต้องการยกเลิก บางแห่งให้กดยกเลิกได้ แต่ต้องผ่านหลายหน้าจอที่เสนอส่วนลดหรือขอให้เปลี่ยนใจซ้ำแล้วซ้ำอีก

หากธุรกิจสามารถทำให้การสมัครสะดวกได้ เหตุใดการยกเลิกจึงต้องยุ่งยากกว่ามาก

สมัครง่าย แต่ทำไมยกเลิกยาก

การออกแบบให้เข้าร่วมบริการได้ง่าย แต่ทำให้ออกจากบริการได้ยาก เป็น Dark Patterns รูปแบบหนึ่งที่เรียกว่า Roach Motel

ลองนึกถึงบริการทดลองใช้ฟรีที่กำหนดให้ผูกบัตรชำระเงินไว้ล่วงหน้า เมื่อครบกำหนดทดลองใช้ ระบบจะเริ่มเรียกเก็บค่าบริการตามรอบโดยอัตโนมัติ

การเปลี่ยนจากบริการทดลองใช้ฟรีเป็นบริการแบบชำระเงินไม่ได้เป็นสิ่งผิดเสมอไป หากผู้บริโภคได้รับข้อมูลที่ชัดเจนเกี่ยวกับราคา วันที่เริ่มเรียกเก็บเงิน และวิธียกเลิกก่อนตัดสินใจสมัคร

แต่หากธุรกิจซ่อนเงื่อนไขสำคัญ หรือทำให้การยกเลิกยุ่งยากโดยไม่มีเหตุผลที่เหมาะสม ก็อาจเกิดปัญหาด้านความเป็นธรรมต่อผู้บริโภค

สิ่งที่ควรตั้งคำถามจึงไม่ใช่เพียงว่ามีปุ่มยกเลิกหรือไม่ แต่รวมถึงผู้บริโภคสามารถค้นหาปุ่มนั้นและดำเนินการยกเลิกได้จริงเพียงใด

การยกเลิกบริการเป็นเรื่องของสิทธิและสัญญา

ในทางกฎหมาย การยกเลิกบริการต้องพิจารณาข้อตกลงระหว่างผู้ประกอบธุรกิจกับผู้บริโภค รวมถึงกฎหมายที่ใช้บังคับกับบริการนั้น

ตัวอย่างเช่น การสมัครสมาชิกรายเดือนที่ไม่มีข้อผูกพันระยะยาว อาจมีเงื่อนไขแตกต่างจากสัญญาบริการรายปีที่ผู้บริโภคตกลงรับสิทธิประโยชน์แลกกับระยะเวลาผูกพัน

การกำหนดขั้นตอนตรวจสอบตัวตนเพื่อป้องกันบุคคลอื่นแอบอ้างยกเลิกบริการก็อาจมีเหตุผลอันสมควรได้ ดังนั้น ไม่ใช่การยกเลิกที่มีหลายขั้นตอนทุกกรณีจะเป็น Dark Patterns หรือผิดกฎหมาย

อย่างไรก็ตาม หากมีการปกปิดเงื่อนไข ทำให้เข้าใจผิด หรือกำหนดข้อสัญญาที่ไม่เป็นธรรม อาจต้องพิจารณาตามพระราชบัญญัติคุ้มครองผู้บริโภค พ.ศ. 2522 พระราชบัญญัติว่าด้วยข้อสัญญาที่ไม่เป็นธรรม พ.ศ. 2540 และกฎหมายเฉพาะที่เกี่ยวข้องตามข้อเท็จจริง

อีกเรื่องที่ต้องแยกให้ชัดคือ การยกเลิกสัญญาบริการไม่ใช่เรื่องเดียวกับการถอนความยินยอมให้ใช้ข้อมูลส่วนบุคคล แม้ผู้บริโภคอาจดำเนินการทั้งสองอย่างในช่วงเวลาเดียวกัน แต่สิทธิและเงื่อนไขทางกฎหมายแตกต่างกัน

ลูกค้าอยู่ต่อเพราะพอใจ หรือเพราะออกไม่ได้

ธุรกิจมักให้ความสำคัญกับอัตราการรักษาลูกค้า แต่ตัวเลขลูกค้าที่ยังคงสมัครสมาชิกอยู่ไม่ได้สะท้อนความพึงพอใจเสมอไป

หากลูกค้าไม่ยกเลิกเพราะหาวิธีไม่พบ หรือเห็นว่าการยกเลิกเสียเวลามากเกินไป อัตราการรักษาลูกค้าที่สูงอาจเป็นเพียงผลจากอุปสรรคที่ธุรกิจสร้างขึ้น

ผู้ประกอบธุรกิจจึงควรเปิดเผยค่าบริการต่อเนื่อง เงื่อนไขการต่ออายุ และวิธียกเลิกให้ชัดเจนก่อนสมัคร รวมทั้งออกแบบช่องทางยกเลิกให้เหมาะสมกับลักษณะบริการ

ผู้บริโภคเองควรตรวจสอบรอบการเรียกเก็บเงินและเก็บหลักฐานการสมัคร การชำระเงิน และการยกเลิกไว้ด้วย

ธุรกิจที่ดีไม่จำเป็นต้องทำให้ลูกค้าออกจากบริการไม่ได้ แต่ควรทำให้ลูกค้ามีเหตุผลที่จะเลือกอยู่ต่อด้วยความสมัครใจ

เอกสารอ้างอิง

OECD (2022). Dark Commercial Patterns. https://doi.org/10.1787/44f5e846-en

Federal Trade Commission (2022). Bringing Dark Patterns to Light.

พระราชบัญญัติคุ้มครองผู้บริโภค พ.ศ. 2522

พระราชบัญญัติว่าด้วยข้อสัญญาที่ไม่เป็นธรรม พ.ศ. 2540

Dark Patterns คืออะไร? รู้ทันการออกแบบดิจิทัลและกฎหมายที่เกี่ยวข้อง

21/10/2026/in ข่าว

เมื่อการออกแบบบริการดิจิทัลทำให้เราตัดสินใจโดยไม่รู้ตัว

เคยใช้แอปพลิเคชันแล้วพบปุ่ม “ยอมรับทั้งหมด” ที่เห็นชัดเจน แต่กลับหาปุ่มปฏิเสธไม่พบหรือไม่ หรือเคยเลือกซื้อสินค้าบนแพลตฟอร์มออนไลน์เพราะข้อความแจ้งว่าเหลือเวลาอีกไม่กี่นาที ทั้งที่ยังไม่ได้ตรวจสอบว่าข้อเสนอนั้นจะหมดเวลาจริงหรือเปล่า

เรื่องเล็ก ๆ เหล่านี้อาจมีผลต่อการตัดสินใจมากกว่าที่คิด เพราะเว็บไซต์ แอปพลิเคชัน และแพลตฟอร์มดิจิทัลไม่ได้เป็นเพียงช่องทางแสดงข้อมูลหรือให้บริการ แต่เป็นพื้นที่ที่ผู้ให้บริการกำหนดได้ว่าเราจะเห็นอะไร ก่อนหรือหลัง และทางเลือกใดจะทำได้ง่ายกว่า

เมื่อการออกแบบถูกใช้เพื่อชักจูง หลอกลวง หรือบิดเบือนการตัดสินใจของผู้ใช้ ปัญหานี้เรียกว่า Dark Patterns

Dark Patterns คืออะไร

Dark Patterns หรือรูปแบบการออกแบบที่บิดเบือนการตัดสินใจ เป็นคำที่ Harry Brignull เผยแพร่ตั้งแต่ปี ค.ศ. 2010 เพื่ออธิบายการออกแบบส่วนติดต่อผู้ใช้งานที่ทำให้บุคคลดำเนินการในสิ่งที่อาจไม่ได้ตั้งใจ

องค์การเพื่อความร่วมมือทางเศรษฐกิจและการพัฒนา (Organisation for Economic Co-operation and Development: OECD) ศึกษาปัญหานี้ภายใต้คำว่า Dark Commercial Patterns โดยอธิบายถึงวิธีนำเสนอทางเลือกดิจิทัลที่ชักจูง หลอกลวง กดดัน หรือควบคุมการตัดสินใจของผู้บริโภค จนอาจทำให้ตัดสินใจในสิ่งที่ไม่เป็นประโยชน์ต่อตนเอง

รูปแบบดังกล่าวอาจเกิดขึ้นได้ในบริการดิจิทัลหลายประเภท ไม่ว่าจะเป็นแอปพลิเคชันซื้อสินค้า แพลตฟอร์มสื่อสังคมออนไลน์ บริการสมัครสมาชิก ระบบจองที่พัก หรือเว็บไซต์ทั่วไป

ตัวอย่างเช่น การทำให้ปุ่มยอมรับข้อเสนอเด่นกว่าปุ่มปฏิเสธอย่างมาก การซ่อนข้อมูลค่าใช้จ่ายสำคัญ หรือการสร้างข้อความเร่งรัดให้รีบซื้อสินค้าโดยไม่มีข้อเท็จจริงรองรับ

อย่างไรก็ตาม ไม่ใช่การออกแบบที่มีผลต่อการตัดสินใจทุกประเภทจะเป็น Dark Patterns การแนะนำสินค้า การจัดโปรโมชั่น หรือการออกแบบให้ใช้บริการได้สะดวก เป็นกิจกรรมทางธุรกิจตามปกติได้ หากให้ข้อมูลที่ถูกต้องและไม่สร้างอุปสรรคที่ไม่เป็นธรรมต่อผู้ใช้

ความแตกต่างสำคัญอยู่ที่ว่า การออกแบบนั้นช่วยให้ผู้บริโภคตัดสินใจได้ดีขึ้น หรือทำให้ผู้บริโภคตัดสินใจผิดไปจากความตั้งใจของตน

ทำไมการออกแบบจึงมีอิทธิพลต่อเรา

เวลาตัดสินใจผ่านบริการดิจิทัล ผู้ใช้ไม่ได้อ่านทุกข้อความอย่างละเอียดเสมอไป หลายคนมองหาปุ่มที่เด่นที่สุด เลือกขั้นตอนที่สะดวกที่สุด หรือรีบดำเนินการให้เสร็จเพื่อไปทำอย่างอื่นต่อ

ผู้ให้บริการจึงสามารถใช้ตำแหน่งปุ่ม สี ขนาดตัวอักษร ข้อความแจ้งเตือน และลำดับขั้นตอนเพื่อมีอิทธิพลต่อการตัดสินใจได้

ตัวอย่างเช่น หากแอปพลิเคชันแสดงปุ่ม “ยอมรับ” ทันที แต่ทางเลือก “ปฏิเสธ” ต้องค้นหาในเมนูตั้งค่า ผู้ใช้บางส่วนอาจยอมรับเพียงเพราะไม่ต้องการเสียเวลา

ในบางแพลตฟอร์ม การออกแบบอาจไม่ได้จำกัดอยู่ที่ปุ่มหรือข้อความเท่านั้น แต่รวมถึงการกำหนดค่าเริ่มต้น การจัดลำดับตัวเลือก หรือการนำเสนอข้อเสนอที่แตกต่างกันตามพฤติกรรมของผู้ใช้

ปัญหาไม่ได้อยู่ที่ผู้ใช้ไม่รอบคอบ แต่อยู่ที่การออกแบบอาจสร้างความได้เปรียบให้ทางเลือกหนึ่งอย่างไม่เป็นธรรม

Dark Patterns เกี่ยวข้องกับกฎหมายอย่างไร

ในประเทศไทย Dark Patterns ไม่ใช่ชื่อฐานความผิดที่ใช้กับการออกแบบทุกประเภทโดยอัตโนมัติ หากเป็นข้อความโฆษณาที่ทำให้ผู้บริโภคเข้าใจผิด อาจต้องพิจารณาพระราชบัญญัติคุ้มครองผู้บริโภค พ.ศ. 2522 โดยเฉพาะมาตรา 22

หากเกี่ยวข้องกับการขอความยินยอมให้ใช้ข้อมูลส่วนบุคคล ต้องพิจารณาพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 โดยเฉพาะมาตรา 19

การพิจารณาว่าพฤติกรรมใดผิดกฎหมายจึงต้องดูข้อเท็จจริง ลักษณะการออกแบบ และองค์ประกอบตามกฎหมายที่เกี่ยวข้อง ไม่ใช่ตัดสินจากชื่อ Dark Patterns เพียงอย่างเดียว

ความไว้วางใจเริ่มจากการให้ผู้ใช้เลือกได้จริง

สำหรับผู้บริโภค การรู้จัก Dark Patterns ช่วยให้ตระหนักว่าทางเลือกที่ปรากฏบนหน้าจอของบริการดิจิทัลอาจไม่ได้เป็นกลางเสมอไป

สำหรับผู้ประกอบธุรกิจ การหลีกเลี่ยง Dark Patterns ไม่ได้หมายถึงการเลิกทำการตลาด แต่หมายถึงการออกแบบบริการที่เคารพการตัดสินใจของลูกค้า ไม่ว่าลูกค้าจะใช้บริการผ่านเว็บไซต์ แอปพลิเคชัน หรือแพลตฟอร์มใดก็ตาม

เพราะธุรกิจที่สร้างความไว้วางใจได้อย่างยั่งยืน ไม่ใช่ธุรกิจที่ทำให้ลูกค้ากดตามที่ต้องการได้มากที่สุด แต่เป็นธุรกิจที่ทำให้ลูกค้าตัดสินใจด้วยความเข้าใจและความสมัครใจ

เอกสารอ้างอิง

OECD (2022). Dark Commercial Patterns. https://doi.org/10.1787/44f5e846-en

Harry Brignull. Deceptive Patterns. https://www.deceptive.design/

พระราชบัญญัติคุ้มครองผู้บริโภค พ.ศ. 2522 มาตรา 22

พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 มาตรา 19

AI นโยบายความเป็นส่วนตัว ธนาคารปรับใหม่ ลูกค้าต้องรู้อะไร

06/10/2026/in ข่าว

เมื่อธนาคารเพิ่ม AI ในนโยบายความเป็นส่วนตัว
ลูกค้ารู้อะไรแล้ว และยังควรรู้อะไรอีก

ดร.อุดมธิปก ไพรเกษตร

นายกสมาคมผู้ตรวจสอบและให้คำปรึกษาการคุ้มครองข้อมูลส่วนบุคคลไทย (TPDPA)
นายกสมาคมผู้ประกอบการพาณิชย์อิเล็กทรอนิกส์ไทย (สมาคมอีคอมเมิร์ซไทย)

อาจารย์สุกฤษ โกยอัครเดช

เลขาธิการและประธานฝ่ายต่างประเทศสมาคมผู้ตรวจสอบและให้คำปรึกษาการคุ้มครองข้อมูลส่วนบุคคลไทย (TPDPA)

เมื่อองค์กรนำ AI มาใช้กับข้อมูลส่วนบุคคล คำถามสำคัญคือ องค์กรควรอธิบายรายละเอียดแก่ลูกค้าในระดับใด จึงจะช่วยให้ลูกค้าเข้าใจการใช้ข้อมูล ตัดสินใจ และใช้สิทธิของตนได้จริง ขณะเดียวกันองค์กรควรมีการจัดการภายในอย่างไรที่จะช่วยให้การใช้ข้อมูลส่วนบุคคลของลูกค้าเพื่อประโยชน์ขององค์กรด้วย AI ยังคำนึงถึงผลกระทบและความเสี่ยงที่ลูกค้าได้รับ รวมทั้งมีมาตรการคุ้มครองความมั่นคงปลอดภัยของข้อมูลส่วนบุคคลของลูกค้าเพียงพอกับการเปลี่ยนแปลงกิจกรรมที่เกี่ยวกับการประมวลผลข้อมูลส่วนบุคคลของลูกค้า

บทความนี้พิจารณาเฉพาะข้อความที่ปรากฏในนโยบายการคุ้มครองข้อมูลส่วนบุคคลและข้อมูลที่ธนาคารกสิกรไทยเผยแพร่ต่อสาธารณะ ผู้เขียนไม่มีข้อมูลเกี่ยวกับกระบวนการดำเนินงานภายในของธนาคาร จึงไม่ได้ประเมินหรือสรุปว่าธนาคารปฏิบัติถูกต้องหรือไม่ถูกต้องตามกฎหมาย

ช่วงกลางเดือนกันยายนที่ผ่านมา ผมได้รับข้อความจาก KBank Live ผ่าน LINE แจ้งว่า ธนาคารกสิกรไทยได้ปรับปรุงนโยบายการคุ้มครองข้อมูลส่วนบุคคลให้สอดคล้องกับกิจกรรมการประมวลผลข้อมูลส่วนบุคคลและกฎหมายที่เกี่ยวข้อง

การเปลี่ยนแปลงสำคัญที่ธนาคารแจ้งมีสองเรื่อง ได้แก่

เพิ่มประเภทข้อมูลส่วนบุคคลที่ธนาคารเก็บรวบรวม เช่น ข้อมูลการใช้งานช่องทางดิจิทัลและข้อมูลที่เกี่ยวข้องกับเทคโนโลยีปัญญาประดิษฐ์ (Artificial Intelligence: AI)
เพิ่มรายละเอียดวัตถุประสงค์ในการประมวลผลข้อมูลส่วนบุคคลที่เกี่ยวข้องกับ AI การบริหารความเสี่ยง การป้องกันการทุจริตภายในกลุ่มธุรกิจทางการเงิน และการป้องกันอาชญากรรมทางเทคโนโลยี

ผมไม่ได้รีบเขียนถึงเรื่องนี้ทันที เพราะต้องการอ่านนโยบายฉบับเต็ม และแยกให้ออกว่า เรื่องใดเป็นข้อกำหนดของกฎหมาย เรื่องใดเป็นแนวปฏิบัติที่ดี และเรื่องใดเป็นคำถามด้านความโปร่งใสที่องค์กรควรอธิบายแก่ลูกค้า อีกทั้งในช่วงปลายเดือนกันยายน ผมยังต้องจัดการกับสถานการณ์น้ำท่วม จึงเพิ่งมีโอกาสกลับมาอ่านและเขียนถึงนโยบายฉบับนี้อย่างจริงจัง

AI เข้ามาอยู่ตรงไหนในนโยบายฉบับใหม่

เมื่ออ่านนโยบายการคุ้มครองข้อมูลส่วนบุคคลของธนาคาร ซึ่งระบุว่า “ปรับปรุงล่าสุด เดือนสิงหาคม 2569” พบรายละเอียดเกี่ยวกับ AI ที่น่าสนใจหลายประการ

ข้อ 2 เพิ่มประเภทข้อมูลที่เรียกว่า “ข้อมูลเกี่ยวกับการใช้งานผ่านช่องทางดิจิทัลและบริการที่ใช้เทคโนโลยีปัญญาประดิษฐ์”

สำหรับผู้ที่ใช้บริการดังกล่าว ข้อมูลที่ธนาคารอาจเก็บรวบรวมครอบคลุมถึง

ข้อความ คำถาม และคำสั่ง หรือพรอมต์ (prompt)
• รูปภาพ ไฟล์ เอกสาร และเสียง
• ประวัติการสนทนาและประวัติการใช้งาน
• บันทึกการใช้งาน (log) พฤติกรรมการใช้งาน และข้อมูลทางเทคนิค
• ผลการวิเคราะห์ ผลการคาดการณ์ การสรุปข้อมูล และผลลัพธ์ที่ระบบสร้างขึ้น

ข้อ 3 ระบุว่า ธนาคารอาจนำเทคโนโลยีที่มีอยู่ในปัจจุบันหรือที่จะมีเพิ่มเติมในอนาคตมาใช้ ซึ่งรวมถึงแต่ไม่จำกัดเพียงบล็อกเชน (blockchain) ปัญญาประดิษฐ์ (AI) และปัญญาประดิษฐ์แบบรู้สร้าง (Generative AI)

นโยบายยกตัวอย่าง ChatGPT และ Microsoft Copilot รวมถึงแชตบอตที่ใช้ AI และระบบประมวลผลแบบคลาวด์ (Cloud Computing)

ข้อความส่วนนี้ต้องอ่านอย่างระมัดระวัง การยกตัวอย่างชื่อผลิตภัณฑ์ไม่ได้ยืนยันว่า ธนาคารนำผลิตภัณฑ์ทุกตัวที่กล่าวถึงมาใช้ประมวลผลข้อมูลลูกค้าแล้ว

สิ่งที่บอกได้จากนโยบายคือ ธนาคารวางขอบเขตไว้รองรับการนำเทคโนโลยีประเภทดังกล่าวมาใช้ประมวลผลข้อมูลส่วนบุคคล

การใช้ข้อมูลกับ AI แบ่งออกเป็นสองกลุ่มใหญ่ ได้แก่

การใช้ข้อมูลเพื่อให้บริการหรือประมวลผลตามคำขอ รวมถึงการให้คำแนะนำ การตอบคำถาม และการสนับสนุนการให้บริการผ่านระบบอัตโนมัติหรือ AI
การใช้ข้อมูลเพื่อวิเคราะห์ ทดสอบ ตรวจสอบ และปรับปรุงระบบหรือแบบจำลอง รวมถึงการพัฒนาและเพิ่มความแม่นยำ ความปลอดภัย และประสิทธิภาพของระบบ

ข้อ 4 ระบุ “ผู้ให้บริการระบบปัญญาประดิษฐ์” เป็นผู้รับข้อมูลส่วนบุคคลประเภทหนึ่งที่ธนาคารอาจเปิดเผยข้อมูลให้

ส่วนข้อ 5 ระบุว่า ธนาคารอาจส่งหรือโอนข้อมูลส่วนบุคคลไปยังผู้ให้บริการระบบ AI ในต่างประเทศได้ด้วย

ข้อความที่ธนาคารระบุไว้ในนโยบาย

อีกข้อความหนึ่งที่ควรกล่าวถึงคือ ตอนท้ายของเนื้อหาเกี่ยวกับการใช้เทคโนโลยีตามข้อ 3 ธนาคารระบุว่า การดำเนินการดังกล่าว

“จะอยู่ภายใต้ขอบเขตวัตถุประสงค์ที่ได้แจ้งไว้และไม่กระทำเกินกว่าความคาดหมายโดยสมเหตุสมผลของท่าน”

ข้อความนี้มีความสำคัญ เพราะธนาคารประกาศข้อจำกัดไว้ว่า การใช้ AI ต้องอยู่ภายในวัตถุประสงค์ที่ได้แจ้ง และไม่เกินความคาดหมายโดยสมเหตุสมผลของเจ้าของข้อมูลส่วนบุคคล

ข้อความดังกล่าวแสดงหลักที่ธนาคารประกาศว่าจะยึดถือในการใช้ AI ส่วนการพิจารณาว่าหลักนี้ถูกนำไปใช้กับกิจกรรมแต่ละประเภทอย่างไร จำเป็นต้องมีรายละเอียดระดับการดำเนินงานเพิ่มเติม ซึ่งไม่ได้ปรากฏอยู่ในนโยบายฉบับนี้

นี่คือประเด็นที่ผมอยากชวนคิดต่อ

ข้อมูลที่นโยบายยังไม่ได้อธิบายในระดับรายกิจกรรม

เรื่องเวลาเริ่มใช้และความโปร่งใสของการเปลี่ยนแปลง

นโยบายไม่ได้ระบุว่า ธนาคารเริ่มนำ AI มาใช้กับกิจกรรมการประมวลผลแต่ละประเภทเมื่อใด กิจกรรมใดเริ่มใช้งานแล้ว และกิจกรรมใดเป็นแผนงานในอนาคต

ข้อมูลดังกล่าวอาจไม่จำเป็นต้องปรากฏในนโยบายทั่วไปทุกกรณี แต่หากมีคำอธิบายหรือสรุปการเปลี่ยนแปลงเพิ่มเติม ก็จะช่วยให้ลูกค้าเข้าใจช่วงเวลาการเริ่มใช้และขอบเขตของกิจกรรมได้ชัดเจนขึ้น

ผมได้รับข้อความแจ้งวันที่ 14 กันยายน 2569 ขณะที่นโยบายระบุเพียงว่า “ปรับปรุงล่าสุด เดือนสิงหาคม 2569” โดยไม่ได้ระบุวันเริ่มมีผลของนโยบายฉบับนี้

อีกเรื่องหนึ่งคือขอบเขตการใช้ข้อมูลกับแบบจำลองและผู้ให้บริการภายนอก

กรณีการใช้งาน AI (AI use case) แต่ละกรณีใช้ข้อมูลส่วนบุคคลประเภทใด มีวัตถุประสงค์อะไร และอาศัยฐานกฎหมายใด

การใช้ข้อมูลเพื่อ “ปรับปรุงระบบหรือแบบจำลอง” หมายถึงเฉพาะระบบภายในของธนาคาร หรือรวมถึงแบบจำลองของผู้ให้บริการ AI ภายนอกด้วย

ผู้ให้บริการภายนอกสามารถนำข้อมูลของลูกค้าไปใช้เพื่อวัตถุประสงค์ของตนเอง หรือใช้ฝึกและปรับปรุงแบบจำลองของตนได้หรือไม่

สำหรับการโอนข้อมูลไปต่างประเทศ นโยบายระบุว่า หากประเทศปลายทางมีมาตรฐานการคุ้มครองข้อมูลส่วนบุคคลไม่เพียงพอ ธนาคารจะจัดให้มีมาตรการคุ้มครองที่จำเป็นและเหมาะสม เช่น การทำข้อตกลงกับผู้รับข้อมูล หรือการใช้นโยบายการคุ้มครองข้อมูลส่วนบุคคลภายในเครือกิจการหรือเครือธุรกิจ (Binding Corporate Rules: BCR)

นโยบายจึงอธิบายมาตรการสำหรับการโอนข้อมูลในภาพรวมไว้แล้ว แต่ยังไม่ได้ระบุว่า ข้อมูลที่เกี่ยวข้องกับ AI ถูกส่งไปประเทศใด ผู้ให้บริการรายใดเป็นผู้รับ อาศัยหลักเกณฑ์หรือข้อยกเว้นใดตามมาตรา 28 หรือมาตรา 29 มีมาตรการคุ้มครองใดรองรับ และเกี่ยวข้องกับกรณีการใช้งาน AI ใดบ้าง รายละเอียดบางส่วนอาจเกินกว่าข้อมูลขั้นต่ำที่ต้องระบุในนโยบาย แต่การอธิบายเพิ่มเติมในระดับผลิตภัณฑ์หรือบริการจะช่วยให้ลูกค้าเข้าใจได้ชัดขึ้น

อีกคำถามหนึ่งคือ ข้อมูลประเภทพรอมต์ ไฟล์ ประวัติการสนทนา และผลลัพธ์จาก AI จะถูกเก็บรักษาไว้นานเท่าใด

นโยบายข้อ 7 กำหนดระยะเวลาเก็บรักษาข้อมูลไว้เป็นการทั่วไป เช่น 5–10 ปีตามกฎหมายป้องกันและปราบปรามการฟอกเงิน และ 10 ปีตามกฎหมายธุรกิจสถาบันการเงิน กฎหมายหลักทรัพย์และตลาดหลักทรัพย์ กฎหมายการบัญชี และกฎหมายภาษีอากร แต่ไม่ได้แยกระยะเวลาเก็บรักษาข้อมูลที่เกิดจากการใช้ AI ไว้เป็นการเฉพาะ

เรื่องที่สามคือบทบาทของ AI ในการตัดสินใจเกี่ยวกับลูกค้า

นโยบายข้อ 3.2.5 ระบุว่า ธนาคารมีการวิเคราะห์และจัดทำแบบจำลอง เช่น การให้คะแนนเครดิต (credit scoring) รวมถึงการประเมิน วิเคราะห์ หรือคาดการณ์ความสนใจ พฤติกรรม รูปแบบการใช้บริการ ความน่าเชื่อถือ และระดับความเสี่ยงของบุคคล หรือการจัดทำข้อมูลประวัติส่วนบุคคล (profiling)

ข้อ 3.2.2 ยังกล่าวถึงการพิจารณาคำขอ การทบทวนคุณภาพเครดิต และการกำหนดวงเงินบัตรหรือสินเชื่อด้วย

ดังนั้น คำถามจึงไม่ใช่ว่า “ธนาคารมีการจัดทำข้อมูลประวัติส่วนบุคคล (profiling) หรือไม่” เพราะนโยบายได้แจ้งไว้แล้ว

สิ่งที่ควรอธิบายเพิ่มเติมคือ กิจกรรมเหล่านี้ใช้ AI หรือไม่ ใช้ในขั้นตอนใด มีน้ำหนักต่อการตัดสินใจมากน้อยเพียงใด และมีบุคลากรตรวจสอบหรือทบทวนผลลัพธ์ก่อนที่ผลจากระบบจะกระทบต่อสิทธิหรือโอกาสทางการเงินของลูกค้าหรือไม่ ประเด็นนี้เป็นคำถามด้านความโปร่งใส ความเป็นธรรม และธรรมาภิบาล AI ไม่ใช่การนำสิทธิเกี่ยวกับการตัดสินใจโดยระบบอัตโนมัติตามกฎหมายต่างประเทศมาใช้กับประเทศไทยโดยตรง

คำถามบางข้ออาจเกินกว่ารายละเอียดขั้นต่ำที่กฎหมายกำหนดให้ต้องเขียนไว้ในนโยบายการคุ้มครองข้อมูลส่วนบุคคล แต่เป็นข้อมูลที่มีความหมายต่อการตัดสินใจของลูกค้า

สำหรับสถาบันการเงิน การให้ข้อมูลมากกว่าขั้นต่ำทางกฎหมาย โดยเฉพาะเมื่อ AI อาจเกี่ยวข้องกับโอกาสทางการเงินของบุคคล เป็นส่วนหนึ่งของการสร้างความไว้วางใจ

กรอบกฎหมายที่เกี่ยวข้อง

การเพิ่มคำว่า “AI” ไว้ในนโยบายเป็นจุดเริ่มต้นที่ดี แต่ลูกค้าทั่วไปอาจยังไม่ทราบว่า ข้อมูลของตนถูกนำไปใช้กับ AI ในกิจกรรมใด และการประมวลผลนั้นอาจส่งผลต่อตนเองอย่างไร

ในทางกฎหมาย หากเป็นเพียงการเปลี่ยนเทคโนโลยีที่ใช้ประมวลผล โดยยังอยู่ภายในวัตถุประสงค์เดิมที่ได้แจ้งไว้ ย่อมต้องพิจารณาข้อเท็จจริงและขอบเขตของการประมวลผลเป็นรายกรณี

แต่หากมีการนำข้อมูลไปใช้เพื่อวัตถุประสงค์ที่แตกต่างจากที่ได้แจ้งไว้เดิม ต้องพิจารณามาตรา 21 แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562

มาตรา 21 กำหนดหลักว่า ผู้ควบคุมข้อมูลส่วนบุคคลต้องเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลตามวัตถุประสงค์ที่ได้แจ้งไว้ หากจะดำเนินการเพื่อวัตถุประสงค์ที่แตกต่างออกไป ต้องแจ้งวัตถุประสงค์ใหม่และได้รับความยินยอมก่อน เว้นแต่พระราชบัญญัตินี้หรือกฎหมายอื่นบัญญัติให้ดำเนินการได้

ขณะเดียวกัน ต้องพิจารณาหน้าที่แจ้งรายละเอียดแก่เจ้าของข้อมูลส่วนบุคคลตามมาตรา 23 และหากไม่ได้เก็บรวบรวมข้อมูลจากเจ้าของข้อมูลโดยตรง ต้องพิจารณามาตรา 25 ประกอบด้วย

การจัดทำและทบทวนบันทึกรายการตามมาตรา 39 (ROPA)

อีกประเด็นที่ต้องพิจารณาคือ บันทึกรายการตามมาตรา 39 หรือที่ในทางปฏิบัติมักเรียกว่า บันทึกรายการกิจกรรมการประมวลผลข้อมูลส่วนบุคคล (Record of Processing Activities: ROPA)

เมื่อกิจกรรมการประมวลผลเปลี่ยนไป ROPA เดิมต้องได้รับการทบทวนและปรับให้ตรงกับการดำเนินงานจริง

เหตุที่การนำ AI มาใช้ทำให้ต้องกลับมาทบทวน ROPA เห็นได้จากนโยบายฉบับนี้เอง ซึ่งเพิ่มทั้งประเภทข้อมูลที่เก็บรวบรวม เช่น Prompt ไฟล์ ประวัติการสนทนา บันทึกการใช้งาน และผลลัพธ์ที่ระบบสร้างขึ้น ตลอดจนเพิ่มวัตถุประสงค์ เช่น การให้บริการผ่านระบบอัตโนมัติ การวิเคราะห์ การทดสอบ และการปรับปรุงระบบหรือแบบจำลอง

รายการเหล่านี้สัมพันธ์โดยตรงกับข้อมูลที่มาตรา 39 กำหนดให้ผู้ควบคุมข้อมูลส่วนบุคคลต้องบันทึก เช่น ประเภทข้อมูลส่วนบุคคล วัตถุประสงค์ของการเก็บรวบรวม ระยะเวลาการเก็บรักษา สิทธิและเงื่อนไขในการเข้าถึงข้อมูล ตลอดจนคำอธิบายเกี่ยวกับมาตรการรักษาความมั่นคงปลอดภัย หากการใช้ AI ทำให้องค์ประกอบเหล่านี้เพิ่มขึ้นหรือเปลี่ยนแปลง ผู้ควบคุมข้อมูลส่วนบุคคลจึงต้องพิจารณาทบทวนและปรับ ROPA ให้ตรงกับกิจกรรมที่เกิดขึ้นจริง หลักการนี้เป็นหน้าที่ทั่วไปของผู้ควบคุมข้อมูลส่วนบุคคลและไม่ได้หมายความว่าธนาคารยังไม่ได้ดำเนินการ

ประกาศความเป็นส่วนตัวกับ ROPA จึงทำหน้าที่ต่างกัน ประกาศความเป็นส่วนตัวมีไว้แจ้งให้เจ้าของข้อมูลทราบว่าองค์กรเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลอย่างไร ส่วน ROPA เป็นบันทึกที่ช่วยให้องค์กรเห็นภาพกิจกรรมการประมวลผลของตน และทำให้เจ้าของข้อมูลส่วนบุคคลกับสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลสามารถตรวจสอบได้ การแก้ประกาศความเป็นส่วนตัวจึงไม่อาจใช้แทนการทบทวน ROPA

จากนโยบายที่เผยแพร่ต่อสาธารณะ เราไม่สามารถตรวจสอบได้ว่าธนาคารได้ทบทวนหรือปรับ ROPA แล้วหรือไม่ เนื่องจากกฎหมายไม่ได้กำหนดให้ผู้ควบคุมข้อมูลส่วนบุคคลต้องเผยแพร่ ROPA ต่อสาธารณะ ดังนั้น ประเด็นนี้จึงควรกล่าวในฐานะหน้าที่ด้านการกำกับดูแลภายในที่ต้องพิจารณาเมื่อกิจกรรมการประมวลผลเปลี่ยนแปลง ไม่ใช่ข้อสรุปว่าธนาคารยังไม่ได้ดำเนินการ

การประเมินผลกระทบด้านการคุ้มครองข้อมูลส่วนบุคคล (Data Protection Impact Assessment: DPIA)

ปัจจุบันพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ไม่ได้บัญญัติหน้าที่จัดทำการประเมินผลกระทบด้านการคุ้มครองข้อมูลส่วนบุคคล หรือ Data Protection Impact Assessment (DPIA) โดยใช้ถ้อยคำนี้ไว้อย่างชัดแจ้ง

Thailand Data Protection Guidelines 4.0: แนวปฏิบัติการคุ้มครองข้อมูลส่วนบุคคล (TDPG 4.0) ซึ่งจัดทำโดยคณะนิติศาสตร์ จุฬาลงกรณ์มหาวิทยาลัย ได้อธิบายหลักการและวิธีการจัดทำ DPIA ไว้อย่างเป็นระบบ

เอกสารดังกล่าวมีคุณค่าในเชิงวิชาการและถูกนำไปใช้อ้างอิงในทางปฏิบัติ แต่ไม่ใช่กฎหมายหรือประกาศของคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล จึงไม่มีผลผูกพันทางกฎหมายด้วยตัวของเอกสารเอง

คณะกรรมการคุ้มครองข้อมูลส่วนบุคคลได้ให้ความเห็นชอบ “(ร่าง) แนวทางการดำเนินการด้านการคุ้มครองข้อมูลส่วนบุคคลเกี่ยวกับการพัฒนาและการใช้งานเทคโนโลยีปัญญาประดิษฐ์ (Artificial Intelligence)” ในการประชุมครั้งที่ 8/2569 เมื่อวันที่ 26 สิงหาคม 2569 และมอบหมายให้สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลเผยแพร่และประชาสัมพันธ์ต่อไป

อย่างไรก็ตาม ณ วันที่เขียนบทความนี้ ผู้เขียนยังไม่พบการเผยแพร่เอกสารฉบับที่ได้รับความเห็นชอบผ่านช่องทางสาธารณะของสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล จึงยังไม่สามารถตรวจสอบและอ้างอิงเนื้อหาของฉบับที่ได้รับความเห็นชอบได้ หากจำเป็นต้องกล่าวถึงรายละเอียดในขณะนี้ ต้องอ้างจากร่างฉบับที่ใช้รับฟังความคิดเห็น และระบุให้ชัดว่าเป็นร่างซึ่งอาจแตกต่างจากฉบับที่ได้รับความเห็นชอบ

ดังนั้น จึงยังไม่ควรกล่าวว่า เพียงองค์กรนำ AI มาใช้ กฎหมายก็บังคับให้ต้องจัดทำ DPIA ทุกกรณี อย่างไรก็ตาม หากระบบประมวลผลข้อมูลจำนวนมาก ข้อมูลส่วนบุคคลที่ละเอียดอ่อน ติดตามพฤติกรรม จัดทำข้อมูลประวัติส่วนบุคคล (profiling) หรือนำผลไปใช้ตัดสินใจเรื่องสำคัญ การจัดทำ DPIA ก่อนเริ่มดำเนินการย่อมเป็นเครื่องมือด้านธรรมาภิบาลที่มีความสำคัญ

DPIA ช่วยให้องค์กรตรวจสอบความจำเป็นและความได้สัดส่วน ประเมินความเสี่ยงต่อเจ้าของข้อมูลส่วนบุคคล และกำหนดมาตรการป้องกันหรือลดความเสี่ยงอย่างเป็นระบบ

การประเมินประโยชน์โดยชอบด้วยกฎหมาย (Legitimate Interest Assessment: LIA)

การประเมินประโยชน์โดยชอบด้วยกฎหมาย หรือ Legitimate Interest Assessment (LIA) เกี่ยวข้องกับกรณีที่องค์กรประสงค์จะอาศัยฐานประโยชน์โดยชอบด้วยกฎหมายตามมาตรา 24(5)

พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคลไม่ได้กำหนดชื่อ แบบฟอร์ม หรือขั้นตอนการจัดทำ LIA ไว้โดยตรง แต่เงื่อนไขตามมาตรา 24(5) ทำให้ผู้ควบคุมข้อมูลส่วนบุคคลต้องพิจารณาในสาระสำคัญว่า

มีประโยชน์โดยชอบด้วยกฎหมายที่ชัดเจน
• การประมวลผลมีความจำเป็นต่อประโยชน์นั้น
• สิทธิและเสรีภาพขั้นพื้นฐานของเจ้าของข้อมูลไม่ได้มีความสำคัญเหนือกว่าประโยชน์ดังกล่าว

LIA จึงไม่ใช่เครื่องมือสำหรับกรณีที่องค์กร “ไม่มีฐานกฎหมาย”

หากไม่มีฐานกฎหมายรองรับ การจัดทำ LIA ก็ไม่อาจทำให้การประมวลผลนั้นกลายเป็นการประมวลผลที่ชอบด้วยกฎหมายได้

สิ่งที่สรุปได้ในตอนนี้

จากนโยบายฉบับนี้เพียงอย่างเดียว ผมยังไม่อาจสรุปได้ว่าธนาคารดำเนินการไม่ถูกต้องตามกฎหมาย เพราะต้องพิจารณาข้อเท็จจริงของกิจกรรมการประมวลผลแต่ละกรณี ทั้งวัตถุประสงค์ ฐานกฎหมาย เวลาเริ่มดำเนินการ บทบาทของผู้ให้บริการ AI และมาตรการที่ธนาคารจัดให้มีภายใน

กรณีนี้แสดงให้เห็นว่า การปฏิบัติตามกฎหมายเป็นพื้นฐาน ส่วนความโปร่งใสและความไว้วางใจอาจต้องอาศัยคำอธิบายเพิ่มเติมที่เหมาะกับลักษณะของผลิตภัณฑ์หรือบริการ

ธนาคารได้แจ้งสาระสำคัญของการเปลี่ยนแปลงนโยบายแล้ว

หากมีคำอธิบายเพิ่มเติมในระดับผลิตภัณฑ์ บริการ หรือกรณีการใช้งาน AI ก็จะช่วยให้ลูกค้าเข้าใจการประมวลผลได้ชัดเจนยิ่งขึ้น

ข้อมูลดังกล่าวอาจครอบคลุมว่า

อะไรเปลี่ยน เปลี่ยนเมื่อใด ข้อมูลของตนถูกนำไปใช้กับ AI อย่างไร ใครได้รับข้อมูล การประมวลผลอาจส่งผลต่อตนอย่างไร และมีสิทธิหรือทางเลือกอะไรบ้าง

การสื่อสารในลักษณะนี้จะช่วยให้ลูกค้าอ่านเข้าใจ ตรวจสอบ ตัดสินใจ และใช้สิทธิได้จริงครับ

เอกสารประกอบ

สิทธิในข้อมูลส่วนบุคคล และเสรีภาพทางการเมือง

06/10/2026/in ข่าว

สิทธิในข้อมูลส่วนบุคคล และเสรีภาพทางการเมือง

“คนเราสามารถคิดต่างกันได้ และการคิดต่างไม่ควรทำให้บุคคลสูญเสียสิทธิในความเป็นส่วนตัวและการคุ้มครองข้อมูลของตน”

อาจารย์มยุรี ชวนชม กรรมการและประธานส่งเสริมการคุ้มครองข้อมูลส่วนบุคคลสมาคมฯ

6 ตุลาคม 2519 วันที่สังคมไทยเผชิญความขัดแย้งทางการเมืองอย่างรุนแรง และเกิดเหตุการณ์ที่มหาวิทยาลัยธรรมศาสตร์และพื้นที่โดยรอบ มีผู้เสียชีวิต ผู้บาดเจ็บ และผู้ถูกจับกุมจำนวนมาก

6 ตุลาคม ไม่ได้เป็นเพียงเรื่องของประวัติศาสตร์ แต่ยังเป็นบทเรียนสำคัญเกี่ยวกับ สิทธิ เสรีภาพ ความแตกต่างทางความคิด และความปลอดภัยของบุคคลที่มีความคิดเห็นทางการเมือง ซึ่งหากมองในมิติกฎหมายคุ้มครองข้อมูลส่วนบุคคล หรือ PDPA มีประเด็นที่น่าสนใจ คือ ความคิดเห็นทางการเมือง (political opinions) ซึ่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 จัดให้เป็น ข้อมูลส่วนบุคคลที่มีความอ่อนไหว (Sensitive Personal Data) ตามมาตรา 26 เช่นเดียวกับข้อมูลเกี่ยวกับเชื้อชาติ ศาสนา สุขภาพ ประวัติอาชญากรรม ข้อมูลสหภาพแรงงาน

คำถามสำคัญจึงเกิดขึ้นว่า

เหตุใดกฎหมายจึงต้องให้ความคุ้มครอง “ความคิดเห็นทางการเมือง” ในระดับที่เข้มงวดกว่าข้อมูลส่วนบุคคลทั่วไป?

คำตอบคือ ความคิดเห็นทางการเมืองไม่ใช่เพียงข้อมูลทั่วไป แต่สามารถสะท้อน อัตลักษณ์ ความเชื่อ อุดมการณ์ ความสัมพันธ์ทางสังคม และจุดยืนของบุคคลต่ออำนาจรัฐและสังคม และหากข้อมูลดังกล่าวถูกนำไปใช้ในทางที่ไม่เหมาะสม อาจก่อให้เกิดผลกระทบต่อเจ้าของข้อมูลได้อย่างมีนัยสำคัญ

1. มาตรา 26 กับ “ความคิดเห็นทางการเมือง”

หลักคิดสำคัญของมาตรา 26 คือ การยกระดับมาตรฐานการคุ้มครองข้อมูลที่อาจกระทบต่อสิทธิและเสรีภาพของบุคคลอย่างรุนแรง ดังนั้น การเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลประเภทนี้จึงไม่สามารถดำเนินการในลักษณะเดียวกับข้อมูลทั่วไปได้

โดยหลัก การประมวลผลข้อมูลส่วนบุคคลที่มีความอ่อนไหวตามมาตรา 26 ต้องมีฐานทางกฎหมายที่เหมาะสม และโดยทั่วไปกฎหมายกำหนดให้ต้องได้รับ ความยินยอมโดยชัดแจ้ง (explicit consent) เว้นแต่จะเข้าข้อยกเว้นตามที่กฎหมายกำหนด

ประเด็นนี้มีความสำคัญอย่างยิ่ง เพราะทำให้เราเห็นว่า PDPA ไม่ได้คุ้มครองเพียง “ข้อมูล” ในฐานะข้อมูล แต่กำลังคุ้มครองบุคคลที่เป็นเจ้าของข้อมูลนั้น (Data Subject)

2. ทำไม “ความคิดเห็นทางการเมือง” จึงมีความเสี่ยง?

ลองพิจารณาข้อมูลต่อไปนี้

* บุคคลหนึ่งเข้าร่วมกิจกรรมทางการเมือง

* บุคคลหนึ่งเป็นสมาชิกหรือผู้สนับสนุนกลุ่มทางการเมือง

* บุคคลหนึ่งแสดงความคิดเห็นเกี่ยวกับรัฐบาล

* บุคคลหนึ่งแชร์เนื้อหาทางการเมืองบนสื่อสังคมออนไลน์

* บุคคลหนึ่งเข้าร่วมการชุมนุม

* บุคคลหนึ่งลงชื่อสนับสนุนข้อเรียกร้องทางการเมือง

* บุคคลหนึ่งบริจาคเงินให้กิจกรรมหรือองค์กรทางการเมือง

ข้อมูลแต่ละประเภทอาจทำให้สามารถอนุมานถึง ความคิดเห็นหรือจุดยืนทางการเมืองของบุคคลได้ และเมื่อข้อมูลเหล่านี้ถูกรวบรวมเข้าด้วยกัน ความเสี่ยงก็อาจเพิ่มขึ้นอย่างมากต่อเจ้าของข้อมูลส่วนบุคคล

ตัวอย่างเช่น ข้อมูลชื่อ + ที่อยู่ + สถานที่ทำงาน + การเข้าร่วมกิจกรรม + ภาพถ่าย + การแสดงความคิดเห็นออนไลน์ อาจทำให้สามารถสร้าง “โปรไฟล์ทางการเมือง” ของบุคคลได้

ดังนั้น สิ่งที่ PDPA ให้ความสำคัญคือ “ใครกำลังเก็บข้อมูลนี้ เก็บไปเพื่ออะไร ใช้อย่างไร และใครสามารถเข้าถึงข้อมูลนี้ได้?”

3. บทเรียนเรื่อง “ความเสี่ยงของข้อมูลทางการเมือง”

เหตุการณ์ 6 ตุลาคม 2519 เป็นกรณีศึกษาทางประวัติศาสตร์ที่ทำให้เห็นว่าความขัดแย้งทางการเมือง มีผลกระทบต่อชีวิตและเสรีภาพของบุคคลได้อย่างรุนแรง การชุมนุม การแสดงความคิดเห็นทางการเมือง การกล่าวหา การจับกุม และความรุนแรงที่เกิดขึ้นในบริบทของความขัดแย้งทางการเมืองในเวลานั้น

ในปัจจุบัน เทคโนโลยีดิจิทัลทำให้ความสามารถในการรวบรวมข้อมูลแตกต่างจากอดีตอย่างมาก ในปี 2519 การติดตามบุคคลอาจต้องอาศัยเอกสาร ภาพถ่าย รายงาน หรือการบันทึกด้วยวิธีการต่าง ๆ แต่ในยุคดิจิทัล ข้อมูลสามารถเกิดขึ้นได้ทุกวินาทีจาก social media + CCTV + Location Data + Facial Recognition + Digital Footprint + Online Registration + Membership Database

ข้อมูลจำนวนมากสามารถเชื่อมโยงกันได้อย่างรวดเร็ว และอาจนำไปสู่การสร้างฐานข้อมูลเกี่ยวกับกิจกรรมหรือความคิดเห็นทางการเมืองของบุคคล

นี่คือเหตุผลที่แนวคิดเรื่อง Data Protection มีความสำคัญต่อสังคมประชาธิปไตยในยุคดิจิทัล

4. “การมีความคิดเห็นทางการเมืองที่ต่างกัน” ไม่ควรถูกเลือกปฏิบัติ

บุคคลอาจมีความคิดเห็นทางการเมืองแตกต่างจากบุคคลอื่นได้ แต่ต้องไม่ได้ทำให้บุคคลสูญเสียสิทธิในข้อมูลส่วนบุคคลของตน ยิ่งข้อมูลมีความอ่อนไหวมากเท่าใด ผู้ควบคุมข้อมูล (Data Controller) ก็ยิ่งต้องตระหนักถึงความเสี่ยงในการประมวลผลข้อมูลมากขึ้นเท่านั้น

หลักการนี้สอดคล้องกับแนวคิดสำคัญของการคุ้มครองข้อมูลส่วนบุคคล นั่นคือ

Privacy ไม่ได้หมายความว่า “ไม่มีใครรู้ข้อมูลของเรา” แต่หมายถึง “เรามีสิทธิที่จะได้รับการคุ้มครองจากการนำข้อมูลของเราไปใช้โดยไม่เหมาะสม”

5. ข้อมูลที่เปิดเผยต่อสาธารณะ ไม่ได้แปลว่าใช้ได้โดยไม่มีข้อจำกัด

ผู้ปฏิบัติงาน PDPA ควรระมัดระวังคือ การที่บุคคลโพสต์ความคิดเห็นทางการเมืองใน Facebook, X, TikTok หรือแพลตฟอร์มอื่นด้วยตนเอง ไม่ได้หมายความว่าองค์การสามารถนำข้อมูลดังกล่าวไปเก็บรวบรวม ใช้ หรือสร้างฐานข้อมูลได้อย่างไม่มีข้อจำกัด และแม้จะเป็นข้อมูลที่เปิดเผยต่อสาธารณะ ก็ยังต้องพิจารณา

1. วัตถุประสงค์ของการเก็บข้อมูล

2. ฐานทางกฎหมาย

3. ความจำเป็นและความได้สัดส่วน

4. ขอบเขตของข้อมูล

5. ระยะเวลาในการเก็บรักษา

6. ผู้ที่จะได้รับข้อมูล

7. ความเสี่ยงที่อาจเกิดขึ้นกับเจ้าของข้อมูล

8. มาตรการรักษาความมั่นคงปลอดภัยของข้อมูล โดยเฉพาะเมื่อข้อมูลนั้นสามารถสะท้อนความคิดเห็นทางการเมืองของบุคคลได้

6. จาก “6 ตุลา” สู่ “Digital Footprint”

เราจะจดจำประวัติศาสตร์อย่างไร และ จะจัดการกับข้อมูลเกี่ยวกับประวัติศาสตร์และความคิดเห็นทางการเมืองของผู้คนอย่างไร?

ตัวอย่างเช่น ภาพถ่ายจากกิจกรรมทางการเมืองในอดีต บันทึกการเข้าร่วมกิจกรรม รายชื่อผู้เข้าร่วมการสัมมนา รายชื่อสมาชิก หรือข้อความที่บุคคลเคยเผยแพร่ อาจกลายเป็นข้อมูลที่สามารถเชื่อมโยงกลับไปยังความคิดเห็นทางการเมืองของบุคคลได้

ในยุคที่ข้อมูลไม่มีวัน “หายไป” ได้ง่าย ๆ สิ่งที่บุคคลเคยโพสต์เมื่อปีก่อนหลายปีก่อน อาจยังถูกค้นหา วิเคราะห์ และเชื่อมโยงกับข้อมูลใหม่ได้ ทำให้แนวคิดเรื่อง Digital Footprint มีความสำคัญมากขึ้น

7. สำหรับองค์การ HR และภาครัฐ ความเสี่ยงยิ่งสูงขึ้น

องค์การที่มีข้อมูลของบุคลากรจำนวนมากควรระมัดระวังเป็นพิเศษ เช่น

แบบสอบถามความคิดเห็นพนักงาน
ข้อมูลกิจกรรมของพนักงาน
ข้อมูลสมาชิกองค์กร
ภาพถ่ายกิจกรรม
การตรวจสอบ Social Media
การตรวจสอบประวัติบุคลากร
ระบบรักษาความปลอดภัย
CCTV
การใช้ AI วิเคราะห์ข้อมูลพนักงาน

องค์การต้องระวังไม่ให้กระบวนการเหล่านี้กลายเป็นการสร้าง “Political Profile” ของบุคลากรโดยไม่จำเป็น

โดยเฉพาะในกระบวนการ HR คำถามสำคัญคือ องค์การจำเป็นต้องรู้ความคิดเห็นทางการเมืองของพนักงานเพื่อการบริหารงานหรือไม่?

หากคำตอบคือ “ไม่จำเป็น” ก็ไม่ควรเก็บข้อมูลนั้นเพียงเพราะสามารถเก็บได้ นี่คือหัวใจของแนวคิด Data Minimization

8. สำหรับ Data Protection Officer (DPO)

ผู้รับผิดชอบด้านการคุ้มครองข้อมูลส่วนบุคคล หากมีประเด็นความคิดเห็นทางการเมืองที่ต้องถูกเก็บรวบรวม ใช้ ควรถูกนำเข้าสู่กระบวนการ Privacy Risk Assessment ก่อนเก็บข้อมูลควรถามอย่างน้อยว่า

Purpose → Necessity → Lawful Basis → Risk → Security → Retention → Access → Accountability

ไม่ใช่ทุกข้อมูลที่องค์การสามารถเก็บได้ จะเป็นข้อมูลที่องค์กรควรเก็บ

และโดยเฉพาะข้อมูลที่สะท้อนความคิดเห็นทางการเมือง การตัดสินใจเก็บข้อมูลควรอยู่บนหลัก ความจำเป็น ความชอบด้วยกฎหมาย ความโปร่งใส และการคุ้มครองสิทธิของเจ้าของข้อมูล

ท้ายสุดแล้ว เราจะจดจำอะไรจากเหตุการณ์ทางการเมือง?

ในมุมของ PDPA อาจเพิ่มคำถามอีกข้อหนึ่งว่า

“เราจะป้องกันไม่ให้ข้อมูลส่วนบุคคลกลายเป็นเครื่องมือที่สร้างความเสี่ยงต่อสิทธิและเสรีภาพของคนในสังคมได้อย่างไร?”

มาตรา 26 ไม่ใช่เป็นเพียงกฎหมายที่กำหนดให้ “ความคิดเห็นทางการเมือง” เป็น Sensitive Personal Data เท่านั้น แต่เป็นกลไกการสร้าง วัฒนธรรมการเคารพสิทธิในข้อมูลของบุคคล

6 ตุลาคมอาจเตือนเราว่า เมื่อความคิดเห็น ความเชื่อ และจุดยืนของบุคคลถูกทำให้กลายเป็น “ข้อมูล” สิ่งที่ต้องระมัดระวังไม่ใช่เพียงข้อมูลนั้นจะถูกเปิดเผยหรือไม่ แต่คือ ข้อมูลนั้นจะถูกนำไปใช้เพื่ออะไร และจะส่งผลอย่างไรต่อสิทธิ เสรีภาพ และศักดิ์ศรีความเป็นมนุษย์ของเจ้าของข้อมูล

วันนี้ ChatGPT มีโฆษณาแล้วในไทย กฎหมาย PDPA และกฎหมายการกำกับแพลตฟอร์มและการยืนยันตัวตนผู้ลงโฆษณา ตามทันหรือไม่?

05/10/2026/in ข่าว

ดร.อุดมธิปก ไพรเกษตร

อาจารย์สุกฤษ โกยอัครเดช

เผยแพร่วันที่ 5 ตุลาคม พ.ศ. 2569

ในช่วงปลายเดือนกันยายน พ.ศ. 2569 ผู้เขียนได้ทดลองใช้ OpenAI Ads Manager และพบว่าสามารถตั้งค่าบัญชีผู้ลงโฆษณาเป็นประเทศไทย ใช้สกุลเงินบาทและเขตเวลา Bangkok เลือกประเทศไทยเป็นพื้นที่ของแคมเปญ กำหนดงบประมาณ วิธีประมูล URL ปลายทาง สร้างชิ้นงาน และเข้าสู่ขั้นตอนเพิ่มวิธีชำระเงินได้ ข้อเท็จจริงนี้สอดคล้องกับข้อมูลของ OpenAI ที่ระบุว่าประเทศไทยเปิดให้ใช้ Ads Manager แบบบริการตนเองแล้ว

และเมื่อวันที่ 1 ตุลาคม พ.ศ. 2569 ผู้เขียนได้รับตัวอย่างจากผู้ใช้ ChatGPT Go ในประเทศไทยซึ่งพบโฆษณาปรากฏอยู่ใต้คำตอบของ ChatGPT แล้ว ตัวอย่างดังกล่าวเป็นหลักฐานจากการใช้งานจริงว่า การดำเนินธุรกิจของ ChatGPT ในประเทศไทยนั้นไม่ได้มีเพียงระบบบริการแก่ฝั่งผู้ลงโฆษณาเท่านั้น แต่ยังริเริ่มมีการนำเสนอขายสินค้าและบริการในรูปแบบการแสดงโฆษณาแก่ฝั่งผู้ใช้อีกด้วย

ณ วันที่ 1 ตุลาคม พ.ศ. 2569 มีหลักฐานจากการใช้งานจริงว่า ผู้ใช้ ChatGPT Go ในประเทศไทยบางรายเริ่มเห็นโฆษณาแล้ว ขณะที่นโยบายของ OpenAI ระบุกลุ่มผู้ใช้ที่อาจได้รับโฆษณาไว้ในแผน Free และ Go ส่วน Plus, Pro, Business, Enterprise และ Edu ไม่มีโฆษณา และบัญชีที่ OpenAI ระบุว่าเป็นของผู้มีอายุต่ำกว่า 18 ปีจะไม่ถูกแสดงโฆษณา

จากข้อเท็จจริงดังกล่าว คำถามทางกฎหมายจึงไม่ใช่เพียงว่า ChatGPT มีโฆษณาแล้วหรือไม่ แต่คือกฎหมายไทยใช้บังคับกับกิจกรรมโฆษณาของ OpenAI ในประเทศไทยอย่างไร

ในมุมมองของผู้เขียน มีกรอบกฎหมายอย่างน้อย 3 เรื่องที่ต้องนำมาวิเคราะห์ว่าใช้บังคับกับกิจกรรมของ OpenAI ในประเทศไทยเพียงใด ได้แก่

พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562
พระราชกฤษฎีกาการประกอบธุรกิจบริการแพลตฟอร์มดิจิทัลที่ต้องแจ้งให้ทราบ พ.ศ. 2565 และ
ประกาศคณะกรรมการธุรกรรมทางอิเล็กทรอนิกส์ เรื่อง มาตรการเพื่อป้องกันอาชญากรรมทางเทคโนโลยีสำหรับผู้ให้บริการสื่อสังคมออนไลน์ (ฉบับที่ 2)

การดำเนินการตาม พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562

พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ไม่ได้ใช้บังคับเฉพาะองค์กรที่ตั้งอยู่ในประเทศไทย มาตรา 5 วรรคสองกำหนดให้ว่า PDPA ยังบังคับใช้กรณีที่ผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคลนอกราชอาณาจักรได้มีการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลของเจ้าของข้อมูลที่อยู่ในประเทศไทย เมื่อการประมวลผลดังกล่าว มีการนำเสนอขายสินค้าหรือบริการหรือการเฝ้าติดตามพฤติกรรมเจ้าของข้อมูลที่อยู่ในประเทศไทย

ระบบโฆษณาของ OpenAI เกี่ยวข้องกับข้อมูลจากทั้งสองด้าน คือ ข้อมูลของผู้ใช้ ChatGPT ที่อาจถูกนำมาใช้เพื่อเลือกโฆษณาให้สอดคล้องกับบริบทของการสนทนา และข้อมูลจากฝั่งผู้ลงโฆษณาที่ใช้สำหรับการลงโฆษณาและวัดผลของแคมเปญ

ดังนั้น หากมองในมุม PDPA จึงต้องแยกพิจารณาให้ชัดว่า ข้อมูลแต่ละส่วนมาจากไหน ถูกนำไปใช้อย่างไร และ OpenAI กับผู้ลงโฆษณามีบทบาททางกฎหมายอย่างไรในแต่ละกิจกรรม

ในมุมของผู้ใช้ หากโฆษณาที่เห็นถูกเลือกให้สอดคล้องกับเรื่องที่กำลังคุยอยู่ในแชต คำถามสำคัญตาม PDPA คือ OpenAI นำข้อมูลส่วนใดจากบทสนทนาไปใช้เพื่อเลือกโฆษณา ใช้เพื่อวัตถุประสงค์ใด อาศัยฐานกฎหมายใด ได้แจ้งให้ผู้ใช้ทราบอย่างเพียงพอหรือไม่ และผู้ใช้สามารถปฏิเสธหรือคัดค้านการใช้ข้อมูลเพื่อการโฆษณาหรือการตลาดได้อย่างไร

ข้อมูลจากหน้า OpenAI Ads ภาษาไทยระบุว่า การโฆษณาใน ChatGPT ไม่ได้อาศัยเพียงคีย์เวิร์ด แต่ใช้ “สัญญาณบริบทที่ลึกขึ้น” และสร้างประสบการณ์โฆษณาบนพื้นฐานของ “การสนทนา บริบท และการตัดสินใจแบบเรียลไทม์” ขณะที่ตัวอย่างที่พบจากผู้ใช้ ChatGPT Go ในประเทศไทยก็แสดงให้เห็นว่า ระบบสามารถใช้หัวข้อของบทสนทนาปัจจุบันเพื่อเลือกโฆษณาที่เกี่ยวข้องได้ หรือที่เรียกว่า Contextual Advertising ดังนั้นจึงมีทั้งคำอธิบายจาก OpenAI และหลักฐานจากการใช้งานจริงที่สนับสนุนว่า บริบทของการสนทนาเป็นองค์ประกอบหนึ่งในการเลือกโฆษณา

ประเด็นทาง PDPA จึงไม่ได้อยู่เพียงว่า OpenAI “อ่านข้อความหรือไม่” แต่ต้องพิจารณาว่าข้อมูลหรือสัญญาณใดจากการสนทนาถูกนำมาประมวลผลเพื่อสร้างบริบทสำหรับการโฆษณา ใช้เพื่อวัตถุประสงค์ใด อาศัยฐานกฎหมายใด และกลไกที่ OpenAI เรียกว่า “ทางเลือกและการควบคุม” สอดคล้องกับสิทธิของเจ้าของข้อมูลตามกฎหมายไทยเพียงใด ทั้งนี้ ยังไม่สามารถสรุปจากข้อมูลดังกล่าวว่า OpenAI เปิดใช้การปรับโฆษณาตามประวัติของผู้ใช้ การจับคู่ฐานลูกค้าของผู้ลงโฆษณา หรือเครื่องมือวัดผลโฆษณาในประเทศไทยครบถ้วนแล้วหรือไม่

ฝั่งผู้ลงโฆษณา OpenAI ยังมีเครื่องมือสำหรับสร้างกลุ่มเป้าหมายและวัดผลโฆษณา ซึ่งอาจเกี่ยวข้องกับอีเมล หมายเลขโทรศัพท์ คุกกี้ ตัวระบุออนไลน์ ข้อมูลธุรกรรม หรือข้อมูลเหตุการณ์ภายหลังจากผู้ใช้เห็นหรือคลิกโฆษณา

DPO และตัวแทนในประเทศไทย ประเด็นที่ควรตรวจสอบให้ชัด

ประเด็นเรื่องเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล หรือ Data Protection Officer (DPO) ไม่ได้เพิ่งเกิดขึ้นเมื่อ OpenAI เริ่มให้บริการโฆษณา เพราะลักษณะการให้บริการ ChatGPT เองก็เกี่ยวข้องกับการประมวลผลข้อมูลส่วนบุคคลในวงกว้างอยู่แล้ว แต่การเพิ่มระบบโฆษณา การเลือกโฆษณาตามบริบท และเครื่องมือสำหรับผู้ลงโฆษณา ทำให้กิจกรรมการประมวลผลซับซ้อนขึ้น และทำให้คำถามว่า OpenAI ปฏิบัติหน้าที่ตามมาตรา 41 ของกฎหมายไทยครบถ้วนแล้วหรือไม่มีความสำคัญยิ่งขึ้น

มาตรา 41 แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 กำหนดให้ผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคลต้องจัดให้มีเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล (Data Protection Officer: DPO) เมื่อเข้าเงื่อนไขตามกฎหมาย หนึ่งในนั้นคือมาตรา 41(2) ซึ่งครอบคลุมกรณีที่กิจกรรมจำเป็นต้องตรวจสอบข้อมูลส่วนบุคคลหรือระบบอย่างสม่ำเสมอโดยเหตุที่มีข้อมูลส่วนบุคคลเป็นจำนวนมาก

รายละเอียดของมาตรา 41(2) ได้รับการกำหนดเพิ่มเติมใน “ประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง การจัดให้มีเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลตามมาตรา 41 (2) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 พ.ศ. 2566”

ซึ่งมีผลใช้บังคับตั้งแต่วันที่ 13 ธันวาคม พ.ศ. 2566 และกำหนดเกณฑ์ข้อมูลส่วนบุคคลจำนวนมากไว้ เช่น กรณีการประมวลผลซึ่งเป็นส่วนหนึ่งของกิจกรรมหลักและมีเจ้าของข้อมูลตั้งแต่ 100,000 รายขึ้นไป รวมถึงบางกรณีของการโฆษณาตามพฤติกรรมผ่านโปรแกรมค้นหาหรือสื่อสังคมออนไลน์ที่มีผู้ใช้งานอย่างกว้างขวาง

เมื่อพิจารณาลักษณะของ ChatGPT การจัดการบัญชีผู้ใช้ การประมวลผลบทสนทนา Personalization, Memory และระบบโฆษณา ผู้เขียนเห็นว่ามีน้ำหนักสูงมากที่กิจกรรมของ OpenAI ซึ่งอยู่ภายใต้ PDPA ไทยต้องถูกพิจารณาตามมาตรา 41(2)

OpenAI นั้นเปิดเผยอยู่แล้วว่ามี DPO พร้อมระบุช่องทางติดต่อที่ dpo@openai.com ดังนั้นคำถามไม่ได้อยู่ที่ว่า OpenAI มี DPO หรือไม่ แต่อยู่ที่การปฏิบัติหน้าที่ตามกฎหมายไทยครบถ้วนแล้วหรือยัง โดยเฉพาะการแจ้งข้อมูลเกี่ยวกับ DPO สถานที่ติดต่อ และวิธีการติดต่อให้สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลทราบ

อีกหน้าที่หนึ่งที่ต้องแยกออกจาก DPO คือ “ตัวแทนในราชอาณาจักร” หาก OpenAI เป็นผู้ควบคุมข้อมูลส่วนบุคคลที่อยู่นอกราชอาณาจักรและอยู่ภายใต้มาตรา 5 วรรคสอง มาตรา 37(5) กำหนดให้แต่งตั้งตัวแทนเป็นหนังสือ โดยตัวแทนต้องอยู่ในราชอาณาจักร ทั้งนี้ต้องพิจารณาข้อยกเว้นตามมาตรา 38 ประกอบ

สำหรับ OpenAI การอาศัยข้อยกเว้นตามมาตรา 38 ต้องมีข้อเท็จจริงรองรับ โดยเฉพาะเงื่อนไขที่ว่าการประมวลผลไม่มีลักษณะตามมาตรา 26 และไม่มีข้อมูลส่วนบุคคลเป็นจำนวนมากตามเกณฑ์มาตรา 41(2) เมื่อพิจารณาลักษณะของบริการ OpenAI แล้ว ผู้เขียนเห็นว่าประเด็นนี้ควรถูกตรวจสอบโดยตรง ไม่ควรตั้งสมมติฐานไว้ก่อนว่าได้รับยกเว้น

ดังนั้น ในกรอบ PDPA มีอย่างน้อยสองคำถามที่ควรได้รับคำตอบชัดเจน คือ

OpenAI ได้แต่งตั้งตัวแทนในราชอาณาจักรตามมาตรา 37(5) แล้วหรือไม่ และ
OpenAI ได้แจ้งข้อมูลเกี่ยวกับ DPO ต่อสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (สคส.) ตามมาตรา 41 แล้วหรือไม่

ณ วันที่เขียนบทความ ผู้เขียนยังไม่พบข้อมูลสาธารณะที่เพียงพอจะยืนยันสองเรื่องนี้ การไม่พบข้อมูลสาธารณะไม่ใช่หลักฐานว่า OpenAI ไม่ได้ดำเนินการ แต่เป็นข้อเท็จจริงที่สมควรให้ OpenAI และสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลชี้แจงโดยตรง

พระราชกฤษฎีกาการประกอบธุรกิจบริการแพลตฟอร์มดิจิทัลที่ต้องแจ้งให้ทราบ พ.ศ. 2565

ประเด็นถัดมาคือ ChatGPT และบริการโฆษณาของ OpenAI อยู่ในระบบกำกับบริการแพลตฟอร์มดิจิทัลของไทยหรือไม่

กฎหมายฉบับนี้ไม่ได้กำหนดว่าบริการออนไลน์ทุกประเภทต้องแจ้งการประกอบธุรกิจโดยอัตโนมัติ การวิเคราะห์ต้องเริ่มจากนิยาม “บริการแพลตฟอร์มดิจิทัล” ลักษณะการเป็นสื่อกลาง เงื่อนไขตามพระราชกฤษฎีกาฯ และกรณีผู้ประกอบธุรกิจที่อยู่นอกราชอาณาจักรตามมาตรา 10

หากพิจารณา ChatGPT เฉพาะในฐานะ AI Assistant อาจยังมีประเด็นให้ถกเถียงเรื่องลักษณะการเป็นสื่อกลาง แต่ Ads Manager เพิ่มความสัมพันธ์ระหว่างผู้ลงโฆษณา OpenAI และผู้ใช้ ChatGPT ขึ้นอีกชั้นหนึ่ง

โดยผู้ลงโฆษณาสามารถสร้างแคมเปญ กำหนดงบประมาณ พื้นที่เป้าหมาย ชิ้นงาน และ URL ปลายทาง ขณะที่ OpenAI เป็นผู้บริหารระบบและเลือกนำโฆษณาไปแสดงแก่ผู้ใช้ที่มีสิทธิ์

ข้อเท็จจริงใหม่ที่ผู้ใช้ ChatGPT Go ในประเทศไทยเริ่มเห็นโฆษณาแล้ว ทำให้การประเมินขอบเขตการใช้บังคับของพระราชกฤษฎีกา มีความสำคัญมากขึ้น เพราะขณะนี้มีทั้งฝั่งผู้ลงโฆษณาและฝั่งผู้ใช้ในประเทศไทยอยู่ในระบบเดียวกันแล้ว นอกจากนี้ OpenAI ยังจัดทำหน้า OpenAI Ads ภาษาไทยสำหรับผู้ลงโฆษณา โดยเชิญชวนให้สร้างบัญชี เข้าสู่ Ads Manager และเริ่มโฆษณาใน ChatGPT ข้อเท็จจริงนี้เป็นอีกปัจจัยหนึ่งที่ควรนำมาพิจารณาในการประเมินว่าบริการมีลักษณะมุ่งให้บริการแก่ผู้ใช้หรือผู้ประกอบธุรกิจในประเทศไทยตามมาตรา 10 หรือไม่ แต่ยังไม่ทำให้ข้อสรุปเรื่องการเข้าเกณฑ์บริการแพลตฟอร์มดิจิทัลเกิดขึ้นโดยอัตโนมัติ

การที่ ChatGPT, ChatGPT Ads หรือ Ads Manager เข้าข่าย “บริการแพลตฟอร์มดิจิทัล” ตามพระราชกฤษฎีกาการประกอบธุรกิจบริการแพลตฟอร์มดิจิทัลที่ต้องแจ้งให้ทราบ พ.ศ. 2565 และ OpenAI ในฐานะผู้ประกอบธุรกิจซึ่งอยู่นอกราชอาณาจักรมีลักษณะตามมาตรา 10 OpenAI ย่อมต้องพิจารณาหน้าที่ในการแจ้งการประกอบธุรกิจต่อสำนักงานพัฒนาธุรกรรมทางอิเล็กทรอนิกส์ (สพธอ.) และการแต่งตั้งผู้ประสานงานในราชอาณาจักรตามมาตรา 11 เพื่อประโยชน์ในการแจ้งข้อมูลและปฏิบัติตามกฎหมาย ทั้งนี้ ต้องวินิจฉัยก่อนว่าบริการส่วนใดของ OpenAI เข้านิยามบริการแพลตฟอร์มดิจิทัลตามกฎหมายหรือไม่

ทั้งนี้ “ผู้ประสานงานในราชอาณาจักร” ตามกฎหมายบริการแพลตฟอร์มดิจิทัล เป็นคนละสถานะกับ “ตัวแทนในราชอาณาจักร” ตามมาตรา 37(5) ของพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 แม้ทั้งสองบทบาทจะเกี่ยวข้องกับผู้ประกอบธุรกิจที่อยู่นอกประเทศไทยก็ตาม

ประกาศคณะกรรมการธุรกรรมทางอิเล็กทรอนิกส์ เรื่อง มาตรการเพื่อป้องกันอาชญากรรมทางเทคโนโลยีสำหรับผู้ให้บริการสื่อสังคมออนไลน์ (ฉบับที่ 2)

กฎหมายฉบับที่สามมองอีกด้านหนึ่ง คือแพลตฟอร์มรู้หรือไม่ว่าใครอยู่เบื้องหลังโฆษณาที่ถูกนำมาเสนอขายต่อประชาชน

ประกาศฉบับนี้จะมีผลใช้บังคับวันที่ 1 พฤศจิกายน พ.ศ. 2569 ซึ่งเป็นหนึ่งเดือนหลังบทความนี้เผยแพร่ สาระสำคัญส่วนหนึ่งคือ ผู้ให้บริการสื่อสังคมออนไลน์ที่ให้บริการโฆษณาในประเทศไทยต้องมีมาตรการพิสูจน์ตัวตนผู้กระทำการโฆษณาก่อนเผยแพร่ตามเงื่อนไขที่กำหนด

ประเด็นสำคัญจึงอยู่ที่การตีความว่า ChatGPT Ads เข้าข่าย “ผู้ให้บริการสื่อสังคมออนไลน์” ตามประกาศฉบับนี้หรือไม่ ซึ่งหากเป็นจะทำให้ ChatGPT ต้องดำเนินการตามกฎหมาย แต่หากไม่ ก็กลายเป็นช่องโหว่ของกฎหมายฉบับนี้

ซึ่งความไม่ชัดเจนอยู่ที่ลักษณะของ ChatGPT เอง เพราะบริการหลักไม่ได้เปิดพื้นที่ให้ผู้ใช้สร้างเครือข่ายและเผยแพร่เนื้อหาระหว่างกันในลักษณะเดียวกับ Facebook, TikTok, Instagram หรือ X แต่เป็นบริการสนทนาระหว่างผู้ใช้กับปัญญาประดิษฐ์ (Artificial Intelligence: AI)

การเพิ่มระบบโฆษณาจึงไม่ได้เปลี่ยนลักษณะของ ChatGPT ให้เป็นผู้ให้บริการสื่อสังคมออนไลน์ตามประกาศโดยอัตโนมัติ

จากการทดลองใช้งาน Ads Manager พบว่า OpenAI เก็บหรือแสดงข้อมูลเกี่ยวกับผู้ลงโฆษณา ธุรกิจ แคมเปญ เว็บไซต์ปลายทาง และวิธีชำระเงินในระดับหนึ่ง และยังมีข้อกำหนดด้านโฆษณารวมทั้งกระบวนการ Business Review ของตนเอง

แต่การมีข้อมูลธุรกิจหรือเครื่องมือชำระเงินที่ครบ ก็ไม่ได้หมายความว่ามีการพิสูจน์และยืนยันตัวตนตามมาตรฐานของกฎหมายไทยโดยอัตโนมัติ

จากที่ผู้เขียนทดลองใช้งานระบบ ระบบสามารถไปถึงขั้นเพิ่มวิธีชำระเงินได้ แต่ยังไม่ปรากฏขั้นตอนตรวจบัตรประชาชน หนังสือเดินทาง Digital ID การตรวจใบหน้า หรือการตรวจอำนาจของผู้แทนนิติบุคคลในขั้นตอนที่เห็น

อย่างไรก็ตาม การไม่เห็นขั้นตอนเหล่านี้ในหน้าจอที่ทดลอง ไม่ได้หมายความว่า OpenAI ไม่มีระบบยืนยันตัวตน เพราะอาจมี Business Review หรือกระบวนการ Verification ในอีกขั้นตอนหนึ่งก่อนอนุมัติหรือเผยแพร่แคมเปญ

เมื่อ ChatGPT ทำหน้าที่นำข้อความของบุคคลหนึ่งซึ่งจ่ายเงินค่าโฆษณาไปแสดงแก่ผู้ใช้อีกรายหนึ่ง ความเสี่ยงที่ประกาศต้องการลด เช่น การแอบอ้าง การหลอกลงทุน การใช้โฆษณาเป็นช่องทางอาชญากรรม และการไม่สามารถติดตามตัวผู้ลงโฆษณา ก็สามารถเกิดขึ้นได้เช่นเดียวกัน ด้วยเหตุนี้ ประเด็นว่า ChatGPT Ads อยู่ในขอบเขตของประกาศฉบับที่ 2 หรือไม่ จึงควรได้รับคำชี้แจงจากสำนักงานพัฒนาธุรกรรมทางอิเล็กทรอนิกส์หรือคณะกรรมการธุรกรรมทางอิเล็กทรอนิกส์โดยตรง มากกว่าที่ผู้ให้บริการหรือผู้เขียนจะตีความฝ่ายเดียว

กฎหมายไทยกำลังมองคนละด้านของระบบเดียวกัน

หากมองระบบโฆษณาบนแพลตฟอร์มดิจิทัลผ่านกฎหมายไทย จะเห็นว่ากฎหมายแต่ละฉบับไม่ได้ถามคำถามเดียวกัน แต่กำลังมอง คนละมุม ของระบบเดียวกัน

พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 มองจากฝั่งผู้ใช้เป็นหลัก โดยตั้งคำถามว่า แพลตฟอร์มนำข้อมูลของผู้ใช้ไปทำอะไร ใช้ข้อมูลนั้นบนฐานกฎหมายใด ใช้เกินความจำเป็นหรือไม่ และผู้ใช้สามารถใช้สิทธิของตนได้จริงเพียงใด

พ.ร.ฎ.การประกอบธุรกิจบริการแพลตฟอร์มดิจิทัลที่ต้องแจ้งให้ทราบ พ.ศ. 2565 มองที่ตัวแพลตฟอร์มและผู้ให้บริการ ว่าบริการนั้นอยู่ในขอบเขตที่กฎหมายไทยกำกับหรือไม่ ใครเป็นผู้ให้บริการ ติดต่อได้อย่างไร และได้ทำหน้าที่ตามที่กฎหมายกำหนดครบถ้วนหรือยัง

ส่วน มาตรการป้องกันอาชญากรรมทางเทคโนโลยี มองไปที่อีกด้านหนึ่ง คือ คนที่อยู่หลังโฆษณา โดยถามว่า หากมีการซื้อโฆษณาผ่านแพลตฟอร์ม ผู้ให้บริการรู้หรือไม่ว่าใครเป็นผู้ลงโฆษณา มีการตรวจสอบตัวตนมากน้อยเพียงใด และหากเกิดปัญหาขึ้น จะสามารถสาวกลับไปถึงผู้ลงโฆษณาตัวจริงได้หรือไม่

เมื่อนำทั้งสามเรื่องมารวมกัน ผู้เขียนคิดว่าหลักที่เหมาะกับการกำกับโฆษณาในยุค AI คือ

รู้จักผู้ใช้เท่าที่จำเป็น แต่ต้องรู้จักผู้ลงโฆษณามากพอที่จะตรวจสอบและรับผิดชอบได้

ด้านผู้ใช้ ต้องจำกัดวัตถุประสงค์และใช้ข้อมูลเท่าที่จำเป็น โดยเฉพาะเมื่อ AI สามารถทำความเข้าใจบริบทของบทสนทนาและอนุมานความสนใจ ความต้องการ หรือสถานการณ์ส่วนตัวได้ละเอียดกว่าระบบโฆษณาแบบเดิม

ด้านผู้ลงโฆษณา กลับต้องโปร่งใสและตรวจสอบได้มากขึ้น เพราะแพลตฟอร์มควรสามารถตอบได้ว่าใครเป็นผู้ลงโฆษณา บุคคลนั้นเกี่ยวข้องกับนิติบุคคลอย่างไรOpenAI Ads, ลงโฆษณาใน ChatGPT (ภาษาไทย)

https://ads.openai.com/th-TH

มีอำนาจหรือไม่ และใครต้องรับผิดชอบหากโฆษณาก่อให้เกิดความเสียหาย

บทส่งท้าย

ก่อนหน้านี้ คำถามเรื่อง ChatGPT Ads ในประเทศไทยอาจดูเป็นเรื่องที่ยังมาไม่ถึง แต่เมื่อ Ads Manager เปิดให้ผู้ลงโฆษณาไทยใช้งานได้ และขณะเดียวกันมีหลักฐานว่าผู้ใช้ ChatGPT Go ในประเทศไทยบางรายเริ่มเห็นโฆษณาแล้ว คำถามทางกฎหมายจึงกลายเป็นเรื่องปัจจุบัน

สิ่งที่ควรตรวจสอบต่อไม่ได้มีเพียงว่าโฆษณาจะมีมากขึ้นหรือไม่ แต่คือ OpenAI ใช้ข้อมูลอะไรในการเลือกโฆษณา ได้ปฏิบัติหน้าที่ตาม PDPA ไทยครบถ้วนหรือไม่ อยู่ในระบบกำกับแพลตฟอร์มดิจิทัลของไทยหรือไม่ และเมื่อมีผู้จ่ายเงินเพื่อให้ข้อความหนึ่งถูกนำมาแสดงแก่ประชาชน เราสามารถรู้ได้หรือไม่ว่าใครอยู่เบื้องหลังข้อความนั้น

นี่คือจุดที่ความเป็นส่วนตัว ความรับผิดชอบของแพลตฟอร์ม และการป้องกันอาชญากรรมออนไลน์ เริ่มมาบรรจบกันอย่างชัดเจนในระบบโฆษณาของ AI

แหล่งข้อมูลหลักที่ใช้ตรวจสอบ

OpenAI Help Center, Ads Manager Availability

https://help.openai.com/th-th/articles/20001245-ads-manager-availability

OpenAI Help Center, Ads in ChatGPT

https://help.openai.com/en/articles/20001047-ads-in-chatgpt

OpenAI, Advertising Terms

https://openai.com/policies/advertising-terms/

OpenAI, Ad Tools Terms

https://openai.com/policies/ad-tools-terms/

OpenAI, Ad Tools Data Processing Addendum

https://openai.com/policies/ad-tools-dpa/

OpenAI, Conversion Terms

https://openai.com/policies/conversion-terms/

OpenAI, Ad Policies

https://openai.com/policies/ad-policies/

OpenAI, Privacy Policy

https://openai.com/th-TH/policies/privacy-policy/

การลงโฆษณาใน ChatGPT

https://ads.openai.com/th-TH

สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล, ระบบการแจ้งข้อมูลเกี่ยวกับเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล

https://dpo.pdpc.or.th/registration

ประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง การจัดให้มีเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลตามมาตรา 41 (2) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 พ.ศ. 2566

https://ratchakitcha.soc.go.th/documents/

สำนักงานพัฒนาธุรกรรมทางอิเล็กทรอนิกส์, กฎหมาย/หลักเกณฑ์บริการแพลตฟอร์มดิจิทัล

https://www.etda.or.th/th/regulator/Digitalplatform/

เมื่อ QR Code–Barcode บนบัตรเลือกตั้งไม่ขัดรัฐธรรมนูญ แต่เรื่อง PDPA ยังไม่จบ

28/09/2026/in ข่าว

ดร.อุดมธิปก ไพรเกษตร นายกสมาคมผู้ตรวจสอบและให้คำปรึกษาการคุ้มครองข้อมูลส่วนบุคคลไทย

วันที่ 28 กันยายน 2569 ศาลรัฐธรรมนูญมีคำวินิจฉัยกรณีการใช้ QR Code และ Barcode บนบัตรเลือกตั้งสมาชิกสภาผู้แทนราษฎรในการเลือกตั้งวันที่ 8 กุมภาพันธ์ 2569 ประเด็นที่ศาลรับพิจารณาเกี่ยวข้องกับข้อกล่าวอ้างว่า รหัสบนบัตรอาจทำให้สามารถสืบทราบตัวตนของผู้ลงคะแนนและผลการลงคะแนนได้ จนอาจกระทบต่อหลักการออกเสียงลงคะแนนโดยลับตามรัฐธรรมนูญ

สิ่งที่ผมเห็นว่าน่าสนใจไม่น้อยกว่าผลคำวินิจฉัย คือข้อสังเกตของศาลเกี่ยวกับการออกแบบบัตรเลือกตั้งในอนาคต โดยเสนอให้หลีกเลี่ยงเครื่องหมายหรือสัญลักษณ์ที่สามารถเชื่อมโยงข้อมูลระบุตัวผู้มีสิทธิเลือกตั้งกับผลการออกเสียงลงคะแนน และให้มีมาตรการควบคุมการจัดเก็บบัตรอย่างรัดกุม

เมื่อมองในมิติการคุ้มครองข้อมูลส่วนบุคคล ข้อสังเกตนี้ทำให้เกิดคำถามต่อไปว่า แม้ศาลจะยังไม่พบหลักฐานว่าเกิดการเชื่อมโยงข้อมูลจนสามารถรู้ได้ว่าใครลงคะแนนอย่างไร แต่ความสามารถในการเชื่อมโยงข้อมูลระบุตัวผู้ใช้สิทธิกับผลการลงคะแนนควรถูกพิจารณาอย่างไรตั้งแต่ขั้นตอนออกแบบระบบ

นี่คือจุดที่คำถามตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 หรือ PDPA ซึ่งผมเคยตั้งข้อสังเกตไว้ก่อนหน้านี้ ยังไม่จบ

เมื่อรหัสสามารถเชื่อมกลับถึงบุคคลและการลงคะแนน
มาตรา 6 แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 กำหนดว่า “ข้อมูลส่วนบุคคล” หมายถึงข้อมูลเกี่ยวกับบุคคลซึ่งทำให้สามารถระบุตัวบุคคลนั้นได้ ไม่ว่าทางตรงหรือทางอ้อม

เพราะฉะนั้น QR Code หรือ Barcode ไม่ได้เป็นข้อมูลส่วนบุคคลเพียงเพราะมีลักษณะเป็นรหัส สิ่งที่ต้องพิจารณาคือ เมื่อนำรหัสดังกล่าวไปเชื่อมโยงกับข้อมูลอื่นแล้ว สามารถทำให้ระบุตัวบุคคลได้หรือไม่

ในกรณีการเลือกตั้งครั้งนี้ ข้อมูลที่เปิดเผยต่อสาธารณะระบุว่า บัตรเลือกตั้งแบบแบ่งเขตสีเขียวใช้ QR Code ส่วนบัตรเลือกตั้งแบบบัญชีรายชื่อสีชมพูใช้ Barcode และมีการรายงานว่ารหัสบนบัตรมีลักษณะเป็นรหัสเฉพาะรายใบ โดยเลขที่ปรากฏสัมพันธ์กับเลขบนต้นขั้วบัตรซึ่งผู้มีสิทธิเลือกตั้งลงชื่อหรือพิมพ์ลายนิ้วมือไว้ Thai PBS Verify ระบุว่า ทั้ง QR Code บนบัตรแบบแบ่งเขตและ Barcode บนบัตรแบบบัญชีรายชื่อในการเลือกตั้งปี 2569 มี Running Number ที่แตกต่างกันในแต่ละใบและตรงกับเลขบนต้นขั้วบัตร ขณะที่ กกต.เองก็ชี้แจงว่าบาร์โค้ดบนบัตรมีหมายเลขตรงกับต้นขั้วบัตรตามขั้นตอนที่กำหนดไว้

ดังนั้น ประเด็นสำคัญไม่ได้อยู่ที่ชื่อของเทคโนโลยีว่าเป็น QR Code หรือ Barcode แต่อยู่ที่ว่า รหัสบนบัตรแต่ละประเภทสามารถทำหน้าที่เป็นตัวเชื่อมระหว่างบัตรเลือกตั้งกับข้อมูลบนต้นขั้วได้หรือไม่ และข้อมูลในเส้นทางดังกล่าวสามารถเชื่อมต่อไปถึงตัวผู้มีสิทธิเลือกตั้งได้เพียงใด

หากรหัสบนบัตรสามารถเชื่อมโยงไปถึงต้นขั้วบัตร และต้นขั้วสามารถเชื่อมต่อไปยังบัญชีรายชื่อหรือข้อมูลอื่นที่ระบุตัวผู้มีสิทธิเลือกตั้งได้ ก็ต้องพิจารณาว่ารหัสดังกล่าวทำให้สามารถระบุตัวบุคคลโดยทางอ้อมได้หรือไม่ และหากเส้นทางข้อมูลสามารถเชื่อมต่อไปถึงบัตรเลือกตั้งที่มีการทำเครื่องหมายแล้ว ความเสี่ยงก็จะเปลี่ยนระดับไปอีกขั้น เพราะข้อมูลจากการเชื่อมโยงอาจไม่ได้บอกเพียงว่า “บุคคลนี้ใช้บัตรใบใด” แต่สามารถไปถึงคำถามว่า “บุคคลนี้ลงคะแนนอย่างไร”

การพิจารณาจึงไม่ควรดูเพียงว่ามีข้อมูลอะไรอยู่ภายใน QR Code หรือ Barcode แต่ต้องมองเส้นทางของข้อมูลทั้งหมด หรือ Data Flow ว่าข้อมูลแต่ละชุดสามารถนำมาเชื่อมโยงกันได้ถึงระดับใด

ตรงนี้เกี่ยวข้องโดยตรงกับมาตรา 26 เพราะข้อมูลเกี่ยวกับ “ความคิดเห็นทางการเมือง” เป็นข้อมูลส่วนบุคคลที่มีความอ่อนไหว อย่างไรก็ดี ต้องแยกให้ชัดว่า QR Code หรือ Barcode โดยตัวมันเองไม่ได้เท่ากับข้อมูลความคิดเห็นทางการเมือง แต่หากรหัสเชื่อมไปยังบุคคล และจากบุคคลสามารถเชื่อมต่อไปถึงผลการลงคะแนนได้ ข้อมูลที่เกิดจากการเชื่อมโยงนั้นก็อาจเปิดเผยความคิดเห็นทางการเมืองของบุคคลที่สามารถระบุตัวได้

ประเด็นจึงไม่ใช่เพียงว่า “QR Code หรือ Barcode เก็บข้อมูลอะไร” แต่คือ เมื่อนำข้อมูลทั้งหมดในระบบมาพิจารณาร่วมกันแล้ว สามารถเชื่อมโยงกันได้ถึงระดับใด

ไม่ต้องขอความยินยอม ไม่ได้แปลว่าไม่มีหน้าที่ตาม PDPA

อีกเรื่องหนึ่งที่ควรแยกให้ชัดคือเรื่องความยินยอม

มาตรา 19 วางหลักทั่วไปว่า ผู้ควบคุมข้อมูลส่วนบุคคลจะเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลไม่ได้ หากเจ้าของข้อมูลไม่ได้ให้ความยินยอมไว้ก่อนหรือในขณะนั้น เว้นแต่พระราชบัญญัตินี้หรือกฎหมายอื่นบัญญัติให้กระทำได้

แต่เมื่อข้อมูลที่ประมวลผลเข้าข่ายข้อมูลส่วนบุคคลตามมาตรา 26 ต้องพิจารณาเงื่อนไขของมาตรา 26 โดยเฉพาะ ซึ่งโดยหลักกำหนดให้ต้องได้รับความยินยอมโดยชัดแจ้ง เว้นแต่เข้าเงื่อนไขข้อยกเว้นที่กฎหมายกำหนด

สำหรับสำนักงานคณะกรรมการการเลือกตั้ง หากการประมวลผลข้อมูลดังกล่าวเป็นการจำเป็นในการปฏิบัติตามกฎหมาย และเข้าองค์ประกอบของข้อยกเว้นตามมาตรา 26 เช่น กรณีประโยชน์สาธารณะที่สำคัญตามมาตรา 26 (5) (จ) กกต.อาจไม่จำเป็นต้องอาศัยความยินยอมโดยชัดแจ้งจากเจ้าของข้อมูล ทั้งนี้ต้องพิจารณากฎหมายที่ให้อำนาจ ความจำเป็นของการประมวลผล วัตถุประสงค์ และมาตรการคุ้มครองในกิจกรรมนั้นโดยเฉพาะ

ผมจึงไม่เห็นว่าคำถามสำคัญของกรณีนี้คือ “กกต.ขอความยินยอมจากผู้มีสิทธิเลือกตั้งแล้วหรือยัง” เพราะในภารกิจตามกฎหมายของ กกต. อาจมีฐานกฎหมายและข้อยกเว้นที่ทำให้ไม่จำเป็นต้องใช้ความยินยอมเป็นฐานในการประมวลผล

แต่การไม่ต้องขอความยินยอม ไม่ได้หมายความว่า กกต.ได้รับยกเว้นจากหน้าที่อื่นตาม PDPA

หากการประมวลผลอาศัยข้อยกเว้นตามกฎหมาย ผู้ควบคุมข้อมูลส่วนบุคคลยังต้องสามารถอธิบายได้ว่า เก็บข้อมูลอะไร เพื่ออะไร มีความจำเป็นเพียงใด ใช้ฐานกฎหมายหรือข้อยกเว้นใด และมีมาตรการคุ้มครองสิทธิของเจ้าของข้อมูลอย่างไร

กฎหมายเองก็เชื่อมเรื่องนี้เข้ากับหลักความรับผิดชอบที่ตรวจสอบได้ โดยมาตรา 27 กำหนดให้การใช้หรือเปิดเผยข้อมูลที่เก็บรวบรวมโดยได้รับยกเว้นไม่ต้องขอความยินยอมตามมาตรา 24 หรือมาตรา 26 ต้องถูกบันทึกไว้ในรายการตามมาตรา 39 ด้วย

กล่าวอย่างสั้นที่สุดคือ “ไม่ต้องขอความยินยอม” ไม่เท่ากับ “ไม่ต้องแจ้ง ไม่ต้องบันทึก ไม่ต้องรักษาความมั่นคงปลอดภัย และไม่ต้องแสดงความรับผิดชอบ”

คำถามที่ กกต.ควรตอบ การแจ้ง RoPA ความมั่นคงปลอดภัย และการประเมินความเสี่ยง

สำนักงานคณะกรรมการการเลือกตั้งมีคำแจ้งเกี่ยวกับการประมวลผลข้อมูลส่วนบุคคลสำหรับผู้มีสิทธิเลือกตั้งอยู่แล้ว โดยเมื่อวันที่ 11 มีนาคม 2568 ได้ออก “ประกาศสำนักงานคณะกรรมการการเลือกตั้ง เรื่อง นโยบายความเป็นส่วนตัว สำหรับบุคคลที่เป็นผู้มีสิทธิเลือกตั้ง ผู้มีสิทธิออกเสียงประชามติ ผู้สมัครรับเลือกตั้งและผู้ได้รับเลือกตั้งทุกประเภท ผู้สมัครรับเลือกตั้งและผู้ได้รับเลือกเป็นสมาชิกวุฒิสภา ผู้ถูกจำกัดสิทธิเลือกตั้ง ผู้ถูกเพิกถอนสิทธิเลือกตั้ง ผู้ถูกระงับสิทธิสมัครรับเลือกตั้ง ผู้ถูกเพิกถอนสิทธิสมัครรับเลือกตั้งและผู้ช่วยหาเสียง ของสำนักงานคณะกรรมการการเลือกตั้ง พ.ศ. ๒๕๖๘”

ดังนั้น ประเด็นไม่ใช่ว่า กกต.ไม่มี Privacy Notice แต่คือคำแจ้งที่มีอยู่สะท้อนกิจกรรมการประมวลผลที่เกิดขึ้นจริงเกี่ยวกับ QR Code, Barcode และข้อมูลที่เกี่ยวข้องครบถ้วนหรือไม่
จากเอกสารที่ตรวจสอบ พบว่ามีการระบุข้อมูลส่วนบุคคลหลายประเภท รวมถึงข้อมูลส่วนบุคคลที่มีความอ่อนไหวบางประเภท แต่ยังไม่พบการระบุโดยตรงถึง QR Code, Barcode, รหัสหรือหมายเลขประจำบัตรเลือกตั้ง ความสัมพันธ์ระหว่างรหัสบนบัตรกับต้นขั้ว หรือกิจกรรมการเชื่อมโยงข้อมูลเหล่านี้กับข้อมูลของผู้มีสิทธิเลือกตั้ง Pasted markdown

คำถามตามมาตรา 23 จึงยังคงมีอยู่ว่า ประชาชนได้รับแจ้งเกี่ยวกับกิจกรรมการประมวลผลดังกล่าวอย่างครบถ้วน ชัดเจน และทันเวลาหรือไม่ เรื่องนี้เป็นคนละเรื่องกับความยินยอม แม้ผู้ควบคุมข้อมูลจะมีฐานกฎหมายให้ประมวลผลโดยไม่ต้องขอความยินยอม หน้าที่ด้านความโปร่งใสก็ยังต้องพิจารณาแยกต่างหาก

ส่วน บันทึกรายการกิจกรรมการประมวลผลข้อมูลส่วนบุคคล หรือ Record of Processing Activities: RoPA ตามมาตรา 39 ควรสะท้อนว่าองค์กรกำลังประมวลผลข้อมูลอะไร เพื่ออะไร อย่างไร และภายใต้เงื่อนไขใด

มาตรา 39 กำหนดรายการขั้นต่ำที่ต้องบันทึก เช่น ข้อมูลที่เก็บ วัตถุประสงค์ ระยะเวลาการเก็บรักษา สิทธิและเงื่อนไขในการเข้าถึง การใช้หรือเปิดเผยในกรณีตามที่กฎหมายกำหนด และคำอธิบายเกี่ยวกับมาตรการรักษาความมั่นคงปลอดภัย

สำหรับกรณีนี้ จึงน่าสนใจว่า กิจกรรมที่เกี่ยวข้องกับรหัสบนบัตรเลือกตั้งทั้ง QR Code และ Barcode ต้นขั้ว บัญชีรายชื่อผู้มีสิทธิ การจัดเก็บ การเข้าถึง การใช้ และการตรวจสอบย้อนหลัง ถูกบันทึกไว้ใน RoPA ของ กกต.อย่างไร

RoPA ที่จัดทำอย่างเหมาะสมควรทำให้เห็นเส้นทางข้อมูลว่า ข้อมูลใดถูกสร้างหรือเก็บในขั้นตอนใด ใครเข้าถึงข้อมูลแต่ละชุดได้ ข้อมูลสามารถเชื่อมโยงกับข้อมูลใด ใช้เพื่อวัตถุประสงค์ใด เก็บไว้นานเพียงใด และมีมาตรการใดป้องกันการใช้หรือเชื่อมโยงเกินกว่าวัตถุประสงค์ที่กำหนด

มาตรา 37 ก็มีความสำคัญในอีกมิติหนึ่ง เพราะกำหนดให้ผู้ควบคุมข้อมูลส่วนบุคคลต้องจัดให้มีมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสม และทบทวนมาตรการเมื่อจำเป็นหรือเมื่อเทคโนโลยีเปลี่ยนแปลง เพื่อให้ยังคงมีประสิทธิภาพ

ดังนั้น คำถามจึงไม่ควรมีเพียงว่า “บัตรเลือกตั้งถูกเก็บไว้อย่างปลอดภัยหรือไม่” แต่ต้องรวมไปถึงว่า ใครสามารถเข้าถึงบัญชีรายชื่อผู้มีสิทธิ ใครเข้าถึงต้นขั้ว ใครเข้าถึงข้อมูลรหัสบนบัตร ใครเข้าถึงบัตรที่ลงคะแนนแล้ว และมีบุคคล หน่วยงาน หรือระบบใดสามารถเข้าถึงข้อมูลหลายส่วนจนทำให้เกิดการเชื่อมโยงข้อมูลได้หรือไม่

สำหรับการประเมินผลกระทบด้านการคุ้มครองข้อมูลส่วนบุคคล หรือ Data Protection Impact Assessment: DPIA จากเอกสารที่เปิดเผยต่อสาธารณะและเอกสารที่ผมตรวจสอบอยู่ในขณะนี้ ยังไม่สามารถยืนยันได้ว่า กกต.ได้จัดทำหรือไม่ได้จัดทำ DPIA สำหรับกิจกรรมดังกล่าว และผมยังไม่พบข้อกำหนดเฉพาะที่สามารถยืนยันได้โดยตรงว่ากิจกรรมนี้อยู่ภายใต้ข้อบังคับที่กำหนดให้ต้องจัดทำ DPIA โดยอัตโนมัติ

อย่างไรก็ดี หากพิจารณาจากระดับความเสี่ยงของกิจกรรมนี้ ผมเห็นว่าการจัดทำ DPIA หรือการประเมินความเสี่ยงในระดับที่เทียบเท่า จะช่วยให้สามารถตอบคำถามเรื่องความจำเป็น ความได้สัดส่วน และมาตรการลดความเสี่ยงได้อย่างเป็นระบบ

สาระสำคัญไม่ใช่เพียงการถามว่า “ระบบมีความปลอดภัยหรือไม่” แต่ต้องย้อนกลับไปถามว่า ข้อมูลอะไรถูกประมวลผล เหตุใดจึงจำเป็นต้องประมวลผล วัตถุประสงค์ของการใช้รหัสบนบัตรเลือกตั้งคืออะไร ข้อมูลแต่ละชุดเชื่อมโยงกันได้ถึงระดับใด ใครสามารถทำการเชื่อมโยงได้ มีทางเลือกที่กระทบต่อสิทธิของประชาชนน้อยกว่าหรือไม่ และเมื่อหมดความจำเป็นแล้ว ข้อมูลหรือกลไกที่ทำให้เชื่อมโยงกันได้จะถูกจัดการอย่างไร

จากการปฏิบัติตามกฎหมาย สู่การคุ้มครองข้อมูลตั้งแต่การออกแบบ

สำหรับผม กรณีนี้มีความสำคัญมากกว่าการถามเพียงว่า QR Code หรือ Barcode “ผิดหรือไม่ผิดกฎหมาย”

คำถามที่ลึกกว่านั้นคือ ระบบควรถูกออกแบบให้มีความสามารถในการเชื่อมโยงข้อมูลเช่นนี้ตั้งแต่แรกหรือไม่

หากวัตถุประสงค์คือการควบคุมความถูกต้องของบัตร ป้องกันการปลอมแปลง หรือสนับสนุนการตรวจสอบกระบวนการเลือกตั้ง เราสามารถออกแบบระบบให้บรรลุวัตถุประสงค์เหล่านั้นโดยไม่สร้างเส้นทางเชื่อมโยงกลับไปถึงผู้ใช้สิทธิและผลการลงคะแนนได้หรือไม่ และหากจำเป็นต้องมีตัวเชื่อมโยงบางอย่างจริง จะออกแบบอย่างไรไม่ให้บุคคล หน่วยงาน หรือระบบใดสามารถเชื่อมข้อมูลทุกชุดเข้าด้วยกันได้โดยลำพัง

นี่คือแนวคิดของ Data Protection by Design หรือการคุ้มครองข้อมูลส่วนบุคคลตั้งแต่การออกแบบระบบ

แนวคิดนี้ไม่ได้หมายความว่า PDPA ไทยบัญญัติหน้าที่ชื่อเดียวกันกับกฎหมายต่างประเทศทุกประการ แต่เป็นหลักคิดด้านธรรมาภิบาลข้อมูลที่สำคัญมาก โดยเฉพาะเมื่อระบบของรัฐใช้ข้อมูลจำนวนมากและอาจกระทบต่อสิทธิของประชาชน

สาระสำคัญจึงไม่ใช่เพียงว่า “ยังไม่เกิดเหตุละเมิด” แต่หน่วยงานควรสามารถอธิบายได้ว่า เมื่อเลือกออกแบบระบบแบบนี้แล้ว เหตุผลคืออะไร มีความจำเป็นเพียงใด มีความเสี่ยงอะไร และได้ออกแบบมาตรการป้องกันความเสี่ยงนั้นไว้ตั้งแต่ต้นอย่างไร

สำหรับประชาชน ช่องทางตาม PDPA ที่มีอยู่คือการใช้สิทธิในฐานะเจ้าของข้อมูลส่วนบุคคลเพื่อขอเข้าถึงและขอรับสำเนาข้อมูลส่วนบุคคลเกี่ยวกับตน รวมถึงใช้สิทธิอื่นตามหลักเกณฑ์ เงื่อนไข และข้อยกเว้นที่กฎหมายกำหนด หากเห็นว่ามีการฝ่าฝืนหรือไม่ปฏิบัติตามกฎหมาย ก็สามารถใช้กระบวนการร้องเรียนเพื่อให้มีการตรวจสอบข้อเท็จจริงตามอำนาจหน้าที่ต่อไป

แต่ผมเห็นว่ากรณีนี้ไม่ควรถูกมองเป็นเพียงข้อพิพาทระหว่างเจ้าของข้อมูลรายบุคคลกับ กกต. เพราะสิ่งที่กำลังถูกตั้งคำถามคือการออกแบบและกำกับดูแลระบบข้อมูลที่ใช้กับผู้มีสิทธิเลือกตั้งจำนวนมาก และเกี่ยวข้องกับความลับของการออกเสียงลงคะแนน

คำวินิจฉัยของศาลรัฐธรรมนูญจึงตอบคำถามหนึ่งไปแล้ว แต่ไม่ได้ทำให้คำถามด้านการคุ้มครองข้อมูลส่วนบุคคลสิ้นสุดลง

ในยุคที่รัฐใช้ข้อมูล เทคโนโลยีดิจิทัล และ AI มากขึ้น คำถามสำคัญไม่ควรมีเพียงว่า “หน่วยงานมีอำนาจตามกฎหมายที่จะทำหรือไม่” แต่ต้องถามต่อด้วยว่า หน่วยงานได้ออกแบบกิจกรรมโดยคำนึงถึงความเสี่ยงต่อสิทธิของประชาชนตั้งแต่ต้นหรือไม่ มีทางเลือกที่กระทบสิทธิน้อยกว่าหรือไม่ มีมาตรการลดความเสี่ยงเพียงพอหรือไม่ และสามารถแสดงความรับผิดชอบให้ประชาชนตรวจสอบได้มากน้อยเพียงใด

หากกรณี QR Code และ Barcode บนบัตรเลือกตั้งนำไปสู่คำตอบที่ชัดเจนในเรื่องการแจ้งเจ้าของข้อมูล ฐานกฎหมายและข้อยกเว้นในการประมวลผล RoPA มาตรการรักษาความมั่นคงปลอดภัย การประเมินความเสี่ยง และ Data Protection by Design เรื่องนี้ก็จะมีความหมายมากกว่าเฉพาะบัตรเลือกตั้งครั้งหนึ่ง

เพราะอาจช่วยสร้างบรรทัดฐานสำคัญว่า เมื่อหน่วยงานรัฐนำข้อมูลและเทคโนโลยีมาใช้กับกิจกรรมที่กระทบต่อสิทธิของประชาชน การมีอำนาจตามกฎหมายเป็นเพียงจุดเริ่มต้น แต่การคุ้มครองข้อมูลส่วนบุคคลต้องถูกคิด ออกแบบ บันทึก ประเมินความเสี่ยง และทำให้ตรวจสอบได้ตั้งแต่ต้น ไม่ใช่รอให้เกิดปัญหาแล้วจึงค่อยถามว่าผิดกฎหมายหรือไม่

ย้อนอ่านบทความตอนที่แล้ว:

คลิกเลย -> AiPASS กับองค์กร โอกาสพัฒนาทักษะ AI ของพนักงาน และโจทย์การกำกับการใช้ AI อย่างมีธรรมาภิบาล (ตอนที่ 4)