คำชี้แจง
กรณีศึกษานี้เขียนสำหรับเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล (DPO) และผู้ปฏิบัติงานด้าน PDPA
บริษัทโลจิสติกส์ที่มีพนักงาน 3,100 คน กว่าครึ่งเป็นแรงงานข้ามชาติ ติดตั้งเครื่องสแกนใบหน้าลงเวลาทำงาน พนักงานกะเช้า 800 คนเซ็นใบยินยอมครบร้อยเปอร์เซ็นต์ในเช้าวันแรก ไม่มีใครเลือกใช้บัตรพนักงานแทนเลยสักคนย์
วิธีใช้ : อ่านเรื่องเล่าและลำดับเหตุการณ์แล้วลองวิเคราะห์ว่าตัวเลขร้อยเปอร์เซ็นต์บอกอะไร ก่อนอ่านส่วนผลที่ตามมาและประเด็นกฎหมาย
กรณีศึกษาจำลองเพื่อการศึกษา ชื่อองค์กร บุคคล และเหตุการณ์ทั้งหมดเป็นเรื่องสมมติ
เช้าวันแรกของเครื่องใหม่
บ่ายวันเสาร์ ณ ศูนย์ประชุม
โซ วิน ขับรถยกมาส่งพาเลทสินค้าให้บูธลูกค้าในงานแสดงสินค้า และได้เวลาพักยี่สิบนาที บูธที่ใหญ่ที่สุดในโซนเทคโนโลยีเป็นของบริษัท ฟาซิโอ เทค จำกัด ผู้ผลิตระบบจดจำใบหน้า จอขนาดใหญ่กลางบูธแสดงตารางใบหน้าคนหลายร้อยใบ มุมบนเขียนว่า “แม่นยำ 99.8% ทดสอบกับข้อมูลจริงจากลูกค้ากลุ่มโลจิสติกส์กว่า 3,000 ใบหน้า”
ในแถวที่สี่คือใบหน้าของเขาเอง ถ่ายจากมุมเดียวกับเครื่องสแกนที่ประตูคลังสินค้าทุกเช้า ข้างใต้มีเลขกำกับ และชื่อย่อของบริษัทที่เขาทำงานอยู่ ใบหน้าถัดไปคือเพื่อนร่วมห้อง ถัดไปอีกคือหญิงสาวจากกะเช้าที่เขาเห็นทุกวัน
โซ วิน ถ่ายรูปจอไว้สามรูป แล้วส่งให้ดารุณี เจ้าหน้าที่มูลนิธิช่วยเหลือแรงงานข้ามชาติ คืนนั้นดารุณีติดต่อ บริษัท ท่าเรือทอง โลจิสติกส์ จำกัด เจ้าของคลังสินค้าที่เขาทำงาน
เช้าวันจันทร์ กิตติพงษ์ เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลของท่าเรือทอง เปิดดูรูป เขารู้สึกโกรธ แต่ไม่ได้รู้สึกผิด โครงการสแกนใบหน้าเป็นโครงการที่เขาดูแลละเอียดที่สุดตั้งแต่รับตำแหน่ง พนักงานทุกคนเซ็นใบยินยอมโดยชัดแจ้ง เขาเก็บไว้ครบทุกใบ
ย้อนไปแปดเดือนก่อน
ฝ่ายบุคคล ปัญหาการตอกบัตรแทนกันเกิดขึ้นทุกกะ บริษัทจ่ายค่าแรงให้ชั่วโมงที่ไม่มีคนทำงานจริงปีละหลายล้านบาท ฝ่ายบุคคลเสนอเปลี่ยนเป็นเครื่องสแกนใบหน้าของฟาซิโอ เทค
กิตติพงษ์ตั้งเงื่อนไขสามข้อ
(1) ใบหน้าเป็นข้อมูลชีวภาพ ต้องขอความยินยอมโดยชัดแจ้ง
(2) พนักงานที่ไม่ยินยอมต้องใช้บัตรพนักงานคู่กับรหัสส่วนตัวได้ และ
(3) สัญญากับฟาซิโอต้องห้ามใช้ข้อมูลใบหน้าเพื่อวัตถุประสงค์อื่นนอกจากการบันทึกเวลาทำงาน
ทุกข้อได้รับอนุมัติ
สองสัปดาห์ก่อนติดตั้ง กิตติพงษ์เขียนใบยินยอมหนึ่งหน้า อธิบายว่าเก็บอะไร เก็บนานเท่าไร และเขียนตัวหนาว่า
“พนักงานที่ไม่ยินยอม สามารถใช้บัตรพนักงานและรหัสส่วนตัวแทนได้ โดยไม่มีผลต่อการจ้างงานหรือค่าจ้าง” ใบยินยอมพิมพ์เป็นภาษาไทย
เช้าวันแรกของเครื่องใหม่ 05.30 น. กิตติพงษ์ยืนที่ประตูคลังสินค้าหมายเลขสาม ถือโทรโข่ง พนักงานกะเช้าแปดร้อยคนยืนเข้าแถวรอ อากาศยังมืดและเย็น เขาอธิบายเป็นภาษาไทยสิบนาที ช้า ๆ ทุกขั้นตอน และพูดประโยคเรื่องทางเลือกใช้บัตรซ้ำสองครั้ง
หม่อง ทุน หัวหน้างานชาวเมียนมาที่พูดไทยคล่องที่สุดในคลัง รับโทรโข่งไปแปลให้พนักงานชาวเมียนมา หัวหน้างานชาวกัมพูชาอีกคนแปลให้กลุ่มของตัวเอง จากนั้นพนักงานเข้าแถว เซ็นใบยินยอม ยืนหน้าเครื่องสามวินาที แล้วเข้างาน
เจ็ดโมงครึ่ง ฝ่ายบุคคลส่งข้อความถึงกิตติพงษ์ “ยินยอมครบร้อยเปอร์เซ็นต์ค่ะ ไม่มีใครขอใช้บัตรเลยสักคน”
กิตติพงษ์ยิ้ม เขาคิดว่าการชี้แจงของเขาได้ผล ทุกคนถึงให้ความร่วมมือ
ลำดับเหตุการณ์
ลำดับเวลา | เหตุการณ์ | ผู้รับทราบเหตุการณ์ | DPO รับทราบหรือไม่ |
|---|---|---|---|
แปดเดือนก่อน | DPO ตั้งเงื่อนไขสามข้อ ผู้บริหารอนุมัติ | ฝ่ายบุคคล ผู้บริหาร | ทราบ |
สองสัปดาห์ก่อนติดตั้ง | ใบยินยอมภาษาไทยหนึ่งหน้า | ฝ่ายบุคคล | ทราบ |
เช้าวันแรก | อธิบายผ่านโทรโข่ง หัวหน้างานแปล พนักงาน 800 คนเซ็นในแถว ยินยอมร้อยเปอร์เซ็นต์ | พนักงาน ฝ่ายบุคคล | ทราบตัวเลข |
ช่วงแปดเดือน | ฟาซิโอนำภาพใบหน้าไปใช้ทดสอบและสาธิตผลิตภัณฑ์ | ฟาซิโอ | ไม่ทราบ |
วันเสาร์ | พนักงานเห็นใบหน้าตัวเองบนจอในงานแสดงสินค้า | พนักงาน มูลนิธิ | ไม่ทราบ |
วันจันทร์ | มูลนิธิแจ้งบริษัท | DPO | ทราบ |
ผลที่ตามมา
ฟาซิโอ เทค ยอมรับว่านำภาพใบหน้าจากระบบของลูกค้าหลายรายมาใช้สาธิตและทดสอบความแม่นยำ ซึ่งขัดกับสัญญา และอ้างว่าเป็นการตัดสินใจของฝ่ายขายคน
สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล รับเรื่องร้องเรียนที่มูลนิธิยื่นในนามพนักงานกว่าสี่ร้อยคน คณะกรรมการผู้เชี่ยวชาญสั่งให้ฟาซิโอลบภาพทั้งหมด ให้ท่าเรือทองหยุดใช้เครื่องสแกนใบหน้าจนกว่าจะทบทวนกระบวนการขอความยินยอม และลงโทษปรับทางปกครองทั้งสองบริษัท ลูกค้ารายใหญ่ของท่าเรือทองส่งทีมมาตรวจมาตรฐานแรงงานและข้อมูลส่วนบุคคล
ท่าเรือทองแก้ต่างด้วยข้อเท็จจริงที่แข็งแรงที่สุด ความผิดเรื่องการนำภาพไปใช้เป็นของฟาซิโอ ส่วนการเก็บข้อมูลของบริษัทชอบด้วยกฎหมาย เพราะมีใบยินยอมโดยชัดแจ้งครบทุกคน และพนักงานมีทางเลือกให้ใช้บัตรได้
สองประโยคที่เหลืออยู่
ดารุณีไม่โต้แย้งเรื่องใบยินยอม เธอขอเพียงให้ DPO มาที่หอพักคนงานในคืนวันศุกร์
ห้องส่วนกลางมีเพียงพัดลมเพดานตัวเดียว กับคนงานอีกสามสิบกว่าคนนั่งอยู่บนเสื่อ ดารุณีพาล่ามของมูลนิธิมาด้วย และขอให้หม่อง ทุน พูดซ้ำสิ่งที่เขาแปลในเช้าวันแรกให้ใกล้เคียงที่สุด หม่อง ทุน พูดเป็นภาษาเมียนมาไม่ถึงครึ่งนาที คนงานหลายคนพยักหน้า พวกเขาจำได้
ล่ามแปลกลับเป็นภาษาไทย “ทุกคนต้องลงทะเบียนหน้ากับเครื่องใหม่ ใครไม่ลงทะเบียน เครื่องจะจำไม่ได้ เข้างานไม่ได้”
กิตติพงษ์รอฟังประโยคต่อไป แต่ไม่มี
หม่อง ทุน อธิบายว่าเขาไม่รู้จะแปลคำว่า “ยินยอม” อย่างไรให้คนเข้าใจ จึงใช้คำที่แปลว่า “ลงทะเบียน” แทน ส่วนเรื่องใช้บัตรแทนได้ เขาคิดว่าเป็นทางเลือกชั่วคราวสำหรับพนักงานคนไทยที่ยังไม่ได้ถ่ายรูป “ผมอยากให้ทุกคนเข้างานทันครับ”
ไม่มีใครในห้องคิดว่าหม่อง ทุน ตั้งใจทำผิด รวมทั้งกิตติพงษ์
คำอธิบายสิบนาทีของ DPO ถูกแปลเหลือสองประโยค ประโยคที่หายไปคือประโยคเดียวที่ทำให้ความยินยอมนั้นมีความหมาย และตัวเลขร้อยเปอร์เซ็นต์ที่เขาภูมิใจ คือสัญญาณเตือนที่เขาเข้าใจผิด
ประเด็นทางกฏหมาย
ประเด็น | หน้าที่ตามกฎหมาย | ข้อเท็จจริงในกรณีนี้ | บทที่เกี่ยวข้อง |
|---|---|---|---|
ได้รับความยินยอมโดยชัดแจ้งสำหรับข้อมูลชีวภาพหรือไม่ | มาตรา 26 ห้ามเก็บรวบรวมข้อมูลชีวภาพโดยไม่ได้รับความยินยอมโดยชัดแจ้ง เว้นแต่เข้าข้อยกเว้น | มีใบยินยอมครบ แต่พนักงานกว่าครึ่งอ่านภาษาไทยไม่ได้ และคำอธิบายที่ได้ยินบอกว่าการสแกนเป็นเงื่อนไขของการเข้างาน | หากความยินยอมไม่มีผล อาจเข้ามาตรา 84 (ปรับไม่เกิน 5 ล้านบาท) |
ความยินยอมเป็นอิสระและเข้าใจได้หรือไม่ | มาตรา 19 ต้องมีแบบหรือข้อความที่เข้าใจได้ ใช้ภาษาอ่านง่าย ไม่ทำให้เข้าใจผิด และคำนึงอย่างถึงที่สุดในความเป็นอิสระ | พนักงานเซ็นในแถวหน้าประตูก่อนเข้างาน ต่อหน้าหัวหน้างาน โดยไม่รู้ว่ามีทางเลือก | ความยินยอมที่ไม่เป็นไปตามมาตรา 19 ไม่มีผลผูกพัน |
กำกับผู้ให้บริการอย่างไร | มาตรา 40(1) ผู้ประมวลผลต้องดำเนินการตามคำสั่งของผู้ควบคุมข้อมูลเท่านั้น | สัญญาห้ามใช้ข้อมูลเพื่อวัตถุประสงค์อื่น แต่ท่าเรือทองไม่เคยตรวจว่าฟาซิโอปฏิบัติตามหรือไม่ | เมื่อฟาซิโอใช้ข้อมูลเพื่อประโยชน์ของตัวเอง อาจไม่อยู่ในฐานะผู้ประมวลผลอีกต่อไป |
ใครต้องชดใช้ | มาตรา 77 และ มาตรา 78 | ฟาซิโอนำภาพไปใช้ (DP) แต่ท่าเรือทอง (DC)เป็นผู้เก็บข้อมูลมาโดยความยินยอมที่อาจไม่มีผล | ความรับผิดทางแพ่ง การแบ่งความรับผิดขึ้นกับศาลและสัญญา |
จุดที่ DPO ต้องอ่านให้ละเอียด
ความยินยอมเกิดเมื่อเจ้าของข้อมูลเข้าใจ มาตรา 19 ให้ความสำคัญกับภาษาที่อ่านง่ายและเข้าใจได้ ใบยินยอมภาษาไทยที่ถูกต้องทุกคำ แต่ไม่ได้แก้ปัญหากรณีผู้เซ็นอ่านไม่ออก การมีแรงงานข้ามชาติกว่าครึ่งโรงงาน เอกสารควรจัดทำเป็นภาษาไทย ควบคู่กับภาษาอังกฤษหรือภาษาที่แรงงานส่วนใหญ่เข้าใจ
ความยินยอมระหว่างนายจ้างกับลูกจ้าง ความสัมพันธ์เชิงอำนาจอาจทำให้การพิจารณาว่าความยินยอมเป็นอิสระหรือไม่นั้นเข้มงวดขึ้น โดยเฉพาะเมื่อขอความยินยอมในแถวเข้างาน การให้ความยินยอมควรเป็นอิสระตาม มาตรา 19 วรรคสี่
สัญญาไม่ใช่การกำกับ ข้อห้ามในสัญญาไม่มีผลถ้าไม่มีใครตรวจว่าผู้ให้บริการปฏิบัติตามจริง
คือสัญญาจะมีผลตามกฎหมาย หากฝ่ายใดไม่ปฏิบัติตามย่อมรับผลตามนั้น หน้าที่ในการปฏิบัติตามข้อสัญญาเป็นของทั้งสองฝ่าย
บทเรียนสำหรับ DPO
ความยินยอมไม่ได้เกิดขึ้นตอนที่ DPO พูด แต่เกิดขึ้นตอนที่เจ้าของข้อมูลเข้าใจ ควรมีการวางแผนที่ดีกว่านี้ โดยแจ้งเตือนล่วงหน้า ก่อนทำงานอย่างน้อยหนึ่งสัปดาห์ การประกาศก่อนเข้างานเป็นแผนที่ไม่รอบคอบ เนื่องจากใกล้ถึงระยะเวลาการเข้าทำงานกะเช้า รวมทั้งการสื่อสารที่ไม่ถูกต้อง จึงทำให้ผู้รับสารไม่เข้าใจ การส่งต่อข้อมูลจึงมีความผิดพลาดได้และควรมีการทำใบประกาศแจ้งให้ครบทุกภาษาโดยใช้ภาษาที่พนักงานเข้าใจที่สุด เช่น ภาษาไทย พม่า กัมพูชา ในประกาศ 1 ใบ การสื่อสารทางวาจาอาจไม่ชัดเจนเท่าการมีประกาศเป็นลายลักษณ์อักษรที่ถูกต้อง ชัดเจน ทุกคนเข้าใจตรงกัน
สิ่งที่อยู่นอกอำนาจ DPO
- บริษัทไม่มีงบแปลเอกสาร และใช้หัวหน้างานเป็นล่ามโดยไม่ได้เตรียมตัว
- การขอความยินยอมถูกจัดในแถวหน้าประตูก่อนเข้างาน
- ฟาซิโอละเมิดสัญญาโดยตรง
สิ่งที่ DPO ทำได้มากกว่านี้
- แปลใบยินยอมเป็นทุกภาษาที่พนักงานใช้ และให้ล่ามอิสระแปลกลับเพื่อตรวจความถูกต้อง
- ให้เวลาตัดสินใจนอกแถวเข้างาน ไม่ใช่ต่อหน้าหัวหน้างานในเวลาที่ต้องรีบ
- อ่านตัวเลขร้อยเปอร์เซ็นต์เป็นสัญญาณเตือน ถามทันทีว่าทำไมไม่มีใครเลือกบัตรเลยสักคน
- ตรวจผู้ให้บริการ ขอหลักฐานการลบหรือการจำกัดการใช้ข้อมูลเป็นระยะ
บทเรียนหลัก: ในเรื่องที่คนควรมีทางเลือก ตัวเลขร้อยเปอร์เซ็นต์ไม่ได้บอกว่าอธิบายดี มันบอกว่ามีบางอย่างหายไป
ข้อเสนอแนะเชิงระบบ
ด้าน | การดำเนินการ | ฝ่ายที่ DPO ร่วมทำงาน |
|---|---|---|
ภาษา | แปลใบยินยอมและประกาศความเป็นส่วนตัวเป็นทุกภาษาที่พนักงานใช้ | ฝ่ายบุคคล ล่ามอิสระ |
กระบวนการขอความยินยอม | ขอในเวลาและสถานที่ที่ไม่ถูกเร่ง และไม่อยู่ต่อหน้าหัวหน้างาน | ฝ่ายบุคคล |
การตรวจความเข้าใจ | สุ่มถามพนักงานหลังขอความยินยอมว่ารู้หรือไม่ว่ามีทางเลือก | ฝ่ายบุคคล มูลนิธิหรือตัวแทนพนักงาน |
สัญญาณเตือน | ถือว่าอัตรายินยอมที่สูงผิดปกติเป็นเหตุให้ตรวจสอบ | ฝ่ายบุคคล |
ผู้ให้บริการระบบชีวภาพ | ตรวจสอบเป็นระยะ ไม่ใช่อาศัยเพียงสัญญา | ฝ่ายจัดซื้อ ฝ่ายไอที |
เช็กลิสต์สำหรับองค์กร
- ใบยินยอมมีทุกภาษาที่เจ้าของข้อมูลใช้
- คำแปลผ่านการแปลกลับโดยผู้แปลอิสระ
- พนักงานเลือกทางเลือกอื่นได้จริง และรู้ว่ามีทางเลือก
- การขอความยินยอมไม่เกิดขึ้นในแถวเข้างาน
- มีการตรวจผู้ให้บริการระบบชีวภาพอย่างน้อยปีละครั้ง
- อัตรายินยอมที่ผิดปกติถูกตรวจสอบ
คำถามอภิปราย
- หม่อง ทุน เขาเป็นคนเดียวที่มีทักษะพอในเช้าวันนั้น เขาควรมีส่วนรับผิดชอบหรือไม่ และบริษัทควรปฏิบัติต่อเขาอย่างไร
- ความยินยอมในที่ทำงาน ลูกจ้างที่ต้องการงานและค่าแรง ให้ความยินยอมที่เป็นอิสระต่อนายจ้างได้จริงหรือไม่ ถ้าไม่ได้ บริษัทควรใช้ข้อมูลชีวภาพกับพนักงานเลยหรือไม่
- มุมของลูกค้าฟาซิโอ ฟาซิโออ้างว่าเป็นการตัดสินใจของทีมขายคนเดียว ถ้าคุณเป็นลูกค้าของฟาซิโอ คำอธิบายนี้ทำให้คุณไว้วางใจมากขึ้นหรือน้อยลง
- กลุ่มที่ไม่มีใครถาม เรื่องนี้เล่าเฉพาะคำแปลภาษาเมียนมา ถ้าคุณเป็น DPO คุณจะตรวจคำแปลภาษากัมพูชาอย่างไร
- ในองค์กรของคุณ มีข้อความสำคัญถึงพนักงานข้อความไหนที่ไม่เคยมีใครตรวจว่าไปถึงผู้ฟังครบทุกประโยค
หมายเหตุการอ้างอิงและแหล่งที่มา
ตัวบทตรวจจากฉบับรวบรวมออนไลน์ของ SiData+ คณะแพทยศาสตร์ศิริราชพยาบาล ซึ่งเป็นฉบับไม่เป็นทางการ ก่อนเผยแพร่ต้องเทียบกับราชกิจจานุเบกษา ยังไม่ได้ตรวจประกาศหรือแนวปฏิบัติเรื่องข้อมูลชีวภาพในการจ้างงาน
- มาตรา 19: https://pdpa.sidata.plus/article-19/
- มาตรา 26: https://pdpa.sidata.plus/article-26/
- มาตรา 40: https://pdpa.sidata.plus/article-40/
- มาตรา 77: https://pdpa.sidata.plus/article-77/
- มาตรา 78: https://pdpa.sidata.plus/article-78/
- มาตรา 84: https://pdpa.sidata.plus/article-84/
