สคส. สั่งลบข้อมูลม่านตา 1.2 ล้านราย ผิด PDPA ไม่ลบข้อมูล-ใช้เหรียญจูงใจ-แจ้งวัตถุประสงค์ไม่ครบ-ติดตามข้อมูลย้อนกลับได้

สคส. (PDPC) สั่งระงับและลบข้อมูลสแกนม่านตาแลกเหรียญคริปโทจำนวน 1.2 ล้านราย เนื่องจากผิดกฎหมาย PDPA ไม่ลบข้อมูล-ใช้เหรียญจูงใจ-วัตถุประสงค์ไม่ครบ-ติดตามข้อมูลย้อนกลับได้

หลังจากที่มีกรณีร้องเรียนกรณีโครงการ Worldcoin ที่ได้สร้างความสนใจและกังวลในสังคมเป็นวงกว้าง ผ่านกิจกรรมการให้ประชาชนสแกนข้อมูลม่านตา ซึ่งเป็นข้อมูลชีวภาพที่มีความอ่อนไหวสูง เพื่อแลกกับการได้รับเหรียญดิจิทัล “World Coin” ตอนนี้คนไทยเข้าร่วมโครงการและถูกเก็บข้อมูลม่านตาไปแล้วประมาณ 1.2 ล้านราย

เนื่องจากข้อมูลม่านตา (Iris Data): เป็นข้อมูลชีวภาพที่มีลักษณะเฉพาะตัวสูง สามารถใช้ยืนยันตัวตนได้อย่างแม่นยำเทียบเท่ากับ DNA และไม่สามารถเปลี่ยนแปลงแก้ไขได้ การรั่วไหลของข้อมูลม่านตาอาจก่อให้เกิดความเสี่ยงถาวรต่อเจ้าของข้อมูล

ทางสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (สคส.; PDPC) ได้ดำเนินการตรวจสอบและพบการกระทำความผิดตามพรบ.คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 (PDPA) อย่างชัดเจน พร้อมสั่งให้ระงับการเก็บรวบรวมข้อมูลม่านตาทั้งหมดทันที และ สั่งให้ลบข้อมูลม่านตาและข้อมูลส่วนบุคคลที่เกี่ยวข้องทั้งหมดที่ได้เก็บรวบรวมไปแล้ว

ไม่ได้รับอนุญาตให้เก็บข้อมูลตามกฎหมาย

จุดเริ่มต้นของการสแกนม่านตาเกิดขึ้นในรัฐบาลก่อนหน้านี้ โดยทางกระทรวงดิจิทัลเพื่อเศรษฐกิจและสังคม (DE) ได้เซ็น บันทึกความเข้าใจ (MOU) กับ Prime Opportunity Fund VCC เพื่อจัดตั้ง “Thailand International Digital Business and Finance Center” (TIDC) เพื่อทำ Sandbox โดยมีวัตถุประสงค์ด้านวิเคราะห์และวิจัยเทคโนโลยีใหม่ๆ เท่านั้น

จุดที่น่าสังเกตคือ MOU ฉบับนี้เริ่มต้นจากฝ่ายการเมือง ใช้เวลารวบรวมความเห็นจาก 3 หน่วยงานและลงนามสำเร็จภายในเวลาเพียง 3 วัน ไม่ได้ถูกเสนอเข้าคณะรัฐมนตรีเพื่อพิจารณา มีเนื้อหาครอบคลุมธุรกิจที่มีความเสี่ยง เช่น Sport Betting และ Online Gaming โดยไม่ได้มีการขอความเห็นจากหน่วยงานที่เกี่ยวข้องอย่าง กระทรวงมหาดไทย

ส่วน Worldcoin นั้นมีความเชื่อมโยงกับ บริษัท TIDC Worldverse เป็นบริษัทในเครือ TIDC Group ที่ก่อตั้งขึ้นภายใต้ MOU ฉบับนี้ เป็นผู้ยื่นขออนุญาตทำโครงการสแกนม่านตากับ ETDA และ PDPC แต่ถูกปฏิเสธทั้งสองหน่วยงาน

นายไชยชนก ชิดชอบ รัฐมนตรีว่าการกระทรวงฯ คนปัจจุบันได้ สั่งยกเลิก MOU ฉบับดังกล่าวแล้ว พร้อมกำลังรวบรวมข้อมูลเพื่อส่งต่อให้หน่วยงานที่เกี่ยวข้อง เช่น กรมสอบสวนคดีพิเศษ (DSI) และสำนักงานป้องกันและปราบปรามการฟอกเงิน (ปปง.) ดำเนินการตรวจสอบในมิติอื่นๆ

ผิดกฎหมาย PDPA ชัดเจน

จริงๆ แล้วตัว World Coin นั้นเป็นเหรียญคริปโทที่ใช้งานทั่วโลก ซึ่งการระงับในครั้งนี้เฉพาะเหรียญที่ได้จากการสแกนม่านตาเท่านั้น เนื่องจากพบว่ามีการทำผิดกฎ PDPA หลายข้อ

• ไม่มีการลบข้อมูล: ทีมงานของ สคส. ได้พิสูจน์พบว่าทาง World ไม่ได้ลบข้อมูลหลังสแกนเสร็จ เมื่อส่งคนไปสแกนม่านตาไปแล้ว กลับไปสแกนซ้ำอีกครั้ง จะไม่สามารสแกนกับระบบได้ นั่นหมายความว่ามีการเก็บข้อมูลไว้เพื่อเปรียบเทียบ ไม่ได้ลบทิ้งตามที่กล่าวอ้าง

• ความยินยอมไม่เป็นอิสระ: การให้เหรียญคริปโทฯ เป็นสิ่งตอบแทนเข้าข่ายเป็นการจูงใจ ทำให้การให้ความยินยอมของประชาชนไม่เป็นไปโดยอิสระอย่างแท้จริง ส่งผลให้มีข้อบกพร่องร้ายแรง จึงถือว่า “เป็นโมฆะ” ตั้งแต่ต้น ทำให้การเก็บรวบรวมข้อมูลทั้งหมดที่ผ่านมาเป็นการกระทำที่ไม่ชอบด้วยกฎหมาย
  
• วัตถุประสงค์ไม่ชัดเจน ตามนโยบายคุ้มครองข้อมูลส่วนบุคคลต้องระบุให้ชัดเจนว่าข้อมูลที่เก็บไปเอาไปใช้ทำอะไรบ้าง เดิมทีบริษัทอ้างว่าเก็บข้อมูลเพื่อ “ยืนยันความเป็นมนุษย์” เท่านั้น แต่ในทางปฏิบัตินั้นมีการนำข้อมูลไปใช้ในเชิงธุรกิจ แต่ไม่มีการแจ้งอย่างชัดเจนว่าเป็นธุรกิจอะไรบ้าง ซึ่งไม่ตรงตามวัตถุประสงค์ที่แจ้งไว้
  
• ติดตามข้อมูลย้อนกลับได้ ตามกฎหมายทั่วโลกแล้วข้อมูลอะไรก็ตามที่ใช้ยืนยันตัวตนได้ ถือเป็นข้อมูลส่วนบุคคล เมื่อสแกนม่านตาแล้วข้อมูลจะถูกแปลงเป็น Iris Code ข้อมูลดิจิทัลที่มีชุดเดียวในโลก แต่ข้อมูลนี้สามารถแปลงกลับมาเพื่อใช้ยืนยันตัวตนเจ้าของม่านตาได้

มาตรการลงโทษและการชดเชย

ทาง PDCP จะมีการสั่งปรับตามอำนาจ โดยทางคณะกรรมการฯ กำลังพิจารณาโทษปรับทางปกครองซึ่งอาจมีมูลค่าสูงสุดถึง 5 ล้านบาทต่อรายบุคคลที่ได้รับผลกระทบ

ส่วนหน่วยงานอื่นๆ ที่เกี่ยวข้องจะพิจารณาตามความรับผิดชอบและความเสียหายที่เกิดขึ้น สำหรับประชาชนที่เสียหาย ไม่รู้ว่าเอาข้อมูลไปทำอะไรหรือไม่รู้ว่าต้องได้รับเหรียญเป็นรายเดือน สามารถขอความช่วยเหลือหรือแจ้งความหรือได้ที่สถานีตำรวจหรือติดต่อทางสคส.เพื่อดำเนินคดีได้