GDPR

GDPR (General Data Protection Regulation) หรือชื่อทางการ Regulation (EU) 2016/679 คือกฎหมายคุ้มครองข้อมูลส่วนบุคคลของสหภาพยุโรป ประกาศเมื่อ 27 เมษายน 2016 และเริ่มบังคับใช้จริงวันที่ 25 พฤษภาคม 2018 แทนกฎเดิมคือ Directive 95/46/EC หัวใจของกฎหมายคือการคุ้มครอง "ข้อมูลส่วนบุคคล" (personal data) หมายถึงข้อมูลใดก็ตามที่ระบุหรือเชื่อมโยงถึงตัวบุคคลได้ โดยกำหนดหน้าที่ให้ฝ่ายที่ตัดสินใจว่าจะเก็บและใช้ข้อมูลอย่างไร (data controller) และฝ่ายที่ประมวลผลข้อมูลแทน (data processor) ต้องทำตามหลักการสำคัญ เช่น โปร่งใส เก็บข้อมูลเท่าที่จำเป็น (data minimisation) ใช้ตามวัตถุประสงค์ที่แจ้งไว้ และต้องมีฐานทางกฎหมายรองรับ เช่น consent ที่ให้โดยสมัครใจ ชัดเจน และเจาะจง ส่วนเจ้าของข้อมูล (data subject) ได้สิทธิมาเป็นชุด: ขอดูข้อมูลของตัวเอง ขอแก้ไข ขอลบ (right to erasure) ขอสำเนาไปย้ายระบบ (data portability) และคัดค้านการนำข้อมูลไปใช้

จุดที่ทำให้ GDPR สะเทือนทั้งโลกมีสองข้อ ข้อแรกคือขอบเขตข้ามพรมแดน: องค์กรนอก EU ที่เสนอสินค้าหรือบริการให้คนใน EU หรือติดตามพฤติกรรมของพวกเขา ก็อยู่ใต้กฎหมายนี้ด้วย ข้อสองคือค่าปรับ: สูงสุด 20 ล้านยูโร หรือ 4% ของรายได้ทั่วโลกต่อปี แล้วแต่จำนวนไหนสูงกว่า (ความผิดกลุ่มเบากว่าเพดานอยู่ที่ 10 ล้านยูโร หรือ 2%) และมีการปรับจริงแล้ว เช่น Google โดนปรับ 50 ล้านยูโรในปี 2019 จากประเด็น consent ในโฆษณา ส่วน Meta โดนถึง 1.2 พันล้านยูโรกรณีส่งข้อมูลผู้ใช้จาก EU ไปสหรัฐฯ อิทธิพลอีกด้านคือ GDPR กลายเป็นต้นแบบของกฎหมาย data-privacy ทั่วโลก รวมถึง pdpa ของไทยด้วย

คนทำงานยุค ai เกี่ยวข้องโดยตรง เพราะทุกครั้งที่เอาข้อมูลลูกค้าหรือพนักงานป้อนให้ chatgpt หรือเครื่องมือ AI ใดๆ นั่นคือ "การประมวลผลข้อมูลส่วนบุคคล" ในสายตากฎหมายทันที ยิ่งกว่านั้น Article 22 ของ GDPR ให้สิทธิบุคคลที่จะไม่ถูกตัดสินโดยระบบอัตโนมัติล้วนๆ (รวมถึง profiling) ในเรื่องที่มีผลทางกฎหมายหรือกระทบตัวเขาอย่างมีนัยสำคัญ เช่น ระบบ AI คัดใบสมัครงานหรืออนุมัติสินเชื่อ องค์กรจึงต้องมีช่องให้มนุษย์เข้ามาแทรกแซง (human-in-the-loop) และให้เจ้าของข้อมูลแสดงความเห็นหรือโต้แย้งคำตัดสินได้ ใครที่วางนโยบายการใช้ AI ในองค์กร (ai-governance) จึงต้องนับ GDPR เป็นเงื่อนไขตั้งต้นของการออกแบบระบบ ไม่ใช่เรื่องของฝ่ายกฎหมายฝ่ายเดียว

ตัวอย่างจากบทสนทนาจริง

ถาม: บริษัทเราอยู่ไทย ไม่มีออฟฟิศในยุโรปสักแห่ง ผมจะเอารายชื่อลูกค้าไปให้ AI ช่วยแบ่งกลุ่มส่งอีเมลการตลาด แบบนี้ไม่ต้องสน GDPR ใช่ไหมครับ

ตอบ: ยังสรุปแบบนั้นไม่ได้ครับ GDPR มีผลข้ามพรมแดน: ถ้าในลิสต์มีลูกค้าที่อยู่ใน EU เช่น ลูกค้าชาวเยอรมันที่เคยซื้อของเรา แล้วเราส่งการตลาดหาเขาหรือติดตามพฤติกรรมเขา บริษัทไทยก็เข้าข่ายทันที และต่อให้ไม่มีลูกค้า EU เลย ก็ยังมี pdpa ของไทยคุมอยู่ดี ก่อนป้อนข้อมูลให้ AI ควรตัดข้อมูลระบุตัวตนที่ไม่จำเป็นออก และเช็กว่าเรามีฐานทางกฎหมายรองรับการใช้ข้อมูลแบบนั้นจริง

ระวังสับสนกับ

• pdpa : กฎหมายคุ้มครองข้อมูลส่วนบุคคลของไทยที่ได้ต้นแบบจาก GDPR โครงสร้างคล้ายกันมากแต่คนละฉบับ: PDPA คุ้มครองเจ้าของข้อมูลในไทยและบทลงโทษเบากว่า ส่วน GDPR คุ้มครองคนใน EU และปรับแรงกว่ามาก องค์กรไทยที่มีลูกค้าทั้งสองฝั่งอาจต้องทำตามทั้งคู่
• eu-ai-act : มาจาก EU เหมือนกันแต่คุมคนละอย่าง: GDPR คุม "ข้อมูลส่วนบุคคล" ไม่ว่าจะใช้เทคโนโลยีอะไร ส่วน EU AI Act คุม "ระบบ AI" ตามระดับความเสี่ยง องค์กรที่ใช้ AI กับข้อมูลคนใน EU อาจต้องทำตามทั้งสองฉบับพร้อมกัน