ข้อมูลเด็กกับเครื่องมือ AI — PDPA ที่เจ้าของศูนย์เรียนเสริมต้องรู้

ความเสี่ยงที่เกิดได้ในหนึ่งนาที

แอดมินอยากให้ข้อความถึงผู้ปกครองสุภาพขึ้น จึงคัดลอกชื่อเด็ก อาการแพ้ถั่ว และเบอร์โทรของคุณแม่ ไปวางในแชตบอตบัญชีส่วนตัว ฟังดูไม่ใช่เรื่องใหญ่ แต่ในทางกฎหมาย ศูนย์ในฐานะผู้ควบคุมข้อมูลเพิ่งส่งข้อมูลสุขภาพของเด็กไปยังผู้ให้บริการต่างประเทศ โดยไม่มีสัญญาและอาจไม่มีความยินยอม

กรณีที่รู้จักกันดีคือ Samsung ในปี 2023 ที่วิศวกรวางซอร์สโค้ดภายในลงใน ChatGPT จนบริษัทต้องจำกัดการใช้ AI ชั่วคราว และพนักงาน 65% ในการสำรวจภายในมองว่าเครื่องมือนี้เป็นความเสี่ยงด้านความปลอดภัย ^[5]

ความยินยอมของเด็ก (มาตรา 20)

มาตรา 20 กำหนดว่าถ้าเด็กอายุราว 10 ปีลงมา ความยินยอมต้องมาจาก ผู้ใช้อำนาจปกครอง ส่วนเด็กที่โตกว่านั้นแต่ยังไม่บรรลุนิติภาวะ ถ้าการให้ความยินยอมนั้นไม่ใช่สิ่งที่ผู้เยาว์ทำได้เองตามประมวลกฎหมายแพ่งและพาณิชย์ ก็ต้องได้ความยินยอมจากผู้ใช้อำนาจปกครองด้วย หลักเดียวกันใช้กับการถอนความยินยอม การแจ้งข้อมูล และการใช้สิทธิของเจ้าของข้อมูล ^[1]

ในทางปฏิบัติ เด็กเกือบทุกคนในศูนย์เรียนเสริมยังไม่บรรลุนิติภาวะ แนวทางที่ปลอดภัยคือ ขอความยินยอมและแจ้งนโยบายความเป็นส่วนตัวกับผู้ปกครอง และแยกความยินยอมแต่ละเรื่องให้ชัด คู่มือ PDPA สำหรับผู้ประกอบการของสภาดิจิทัลฯ ระบุว่ากิจกรรมการตลาดเป็นเรื่องที่ต้องขอความยินยอมมากที่สุด ความยินยอมต้องไม่ผูกรวมกับเงื่อนไขการใช้บริการ และ ช่องที่ติ๊กไว้ให้ล่วงหน้าไม่ถือเป็นความยินยอม ^[4]

ข้อมูลอ่อนไหวและการส่งไปต่างประเทศ

มาตรา 26 ห้ามเก็บข้อมูลอ่อนไหวโดยไม่ได้รับ ความยินยอมโดยชัดแจ้ง ซึ่งรวมข้อมูลสุขภาพ ความพิการ และข้อมูลชีวภาพ ยกเว้นกรณีจำเป็นเช่นป้องกันอันตรายต่อชีวิต ^[1] ข้อมูลแพ้อาหาร ยาที่ต้องใช้ หรือความต้องการพิเศษของเด็ก จึงควรถือเป็นข้อมูลอ่อนไหว (เป็นการตีความจากตัวบท ยังไม่มีคำวินิจฉัยเฉพาะ)

มาตรา 28 กำหนดว่าการส่งข้อมูลไปต่างประเทศ ประเทศปลายทางต้องมีมาตรฐานการคุ้มครองที่เพียงพอ หรือเข้าข้อยกเว้น เช่น ได้รับความยินยอมโดยแจ้งให้ทราบแล้ว หรือจำเป็นเพื่อปฏิบัติตามสัญญา ^[1] แชตบอตส่วนใหญ่ประมวลผลบนเซิร์ฟเวอร์นอกประเทศ การวางข้อมูลเด็กลงไปจึงเข้าข่ายการส่งข้อมูลไปต่างประเทศ

บทลงโทษ และคดีที่ปรับจริงแล้ว

• ไม่เกิน 1 ล้านบาท — เช่น ไม่แจ้งวัตถุประสงค์ ไม่มีเจ้าหน้าที่คุ้มครองข้อมูลเมื่อกฎหมายกำหนด (มาตรา 82)
• ไม่เกิน 3 ล้านบาท — เช่น ไม่ดูแลความปลอดภัย ไม่แจ้งเหตุรั่วไหล หรือส่งข้อมูลไปต่างประเทศโดยไม่เป็นไปตามกฎหมาย (มาตรา 83)
• ไม่เกิน 5 ล้านบาท — ฝ่าฝืนเรื่องข้อมูลอ่อนไหว (มาตรา 84)
• แจ้งเหตุรั่วไหล ต่อสำนักงานภายใน 72 ชั่วโมงเมื่อทำได้ (มาตรา 37)

คณะกรรมการคุ้มครองข้อมูลส่วนบุคคลเริ่มสั่งปรับจริงตั้งแต่ปี 2567 และประกาศคำสั่งเพิ่มอีก 8 คำสั่งใน 5 เรื่องเมื่อสิงหาคม 2568 รวมกว่า 21.5 ล้านบาท มีทั้งโรงพยาบาลเอกชน บริษัทขายของเล่นสะสม และผู้รับจ้างประมวลผลข้อมูลที่ถูกปรับโดยตรง ^[2] ถึงมกราคม 2569 มีเรื่องร้องเรียนแล้ว 2,672 เรื่อง ประเด็นที่พบมากที่สุดคือเก็บข้อมูลเกินจำเป็น และถูกปรับแล้วทั้งหน่วยงานรัฐ โรงพยาบาล ค้าปลีก และ ธุรกิจขนาดเล็ก ^[3]

เด็กกับแชตบอต

UNESCO ออกแนวทางการใช้ AI สร้างสรรค์ในการศึกษาเมื่อกันยายน 2023 เรียกร้องให้คุ้มครองความเป็นส่วนตัวของข้อมูล และ กำหนดเกณฑ์อายุสำหรับการคุยกับแพลตฟอร์ม AI ด้วยตัวเอง ^[6] UN News รายงานว่าอายุที่พิจารณาคือ 13 ปีสำหรับการใช้ในห้องเรียน ^[7] เด็กส่วนใหญ่ในศูนย์เรียนเสริมอายุต่ำกว่านั้น แนวทางที่รอบคอบจึงเป็นการให้ครูเป็นผู้ใช้ AI และไม่ให้เด็กคุยกับแชตบอตเองที่ศูนย์

นโยบายหนึ่งหน้าสำหรับศูนย์

1. เครื่องมือที่อนุญาต — ใช้บัญชีแบบธุรกิจที่มีสัญญาประมวลผลข้อมูล ไม่ใช้บัญชีส่วนตัวของพนักงานกับข้อมูลของศูนย์ ถ้าจำเป็นต้องใช้บัญชีส่วนตัว ให้ตรวจการตั้งค่าว่าไม่ให้นำแชตไปฝึกโมเดล ^[8]
2. ข้อมูลที่ห้ามวาง — ชื่อเต็มคู่กับข้อมูลอื่น เลขบัตร รูปเด็ก เบอร์โทรหรือ LINE ของผู้ปกครอง ข้อมูลสุขภาพ ความต้องการพิเศษ บันทึกพฤติกรรม และข้อมูลการชำระเงิน
3. ลบชื่อก่อนใช้ — ใช้ "นักเรียน ก ป.3" แทนชื่อจริง
4. คนตรวจและตัดสินใจ — AI ไม่ส่งข้อความถึงผู้ปกครองเอง และไม่ตัดสินเรื่องระดับหรือการลงโทษเด็ก
5. ความยินยอมและการแจ้ง — ขอความยินยอมจากผู้ปกครอง และระบุในนโยบายความเป็นส่วนตัวว่าใช้บริการคลาวด์หรือเครื่องมือ AI ที่ใดบ้าง
6. แผนแจ้งเหตุ — กำหนดว่าใครแจ้งสำนักงานภายใน 72 ชั่วโมงถ้าข้อมูลรั่วไหล
7. ปรึกษาทนายความ — เรื่องเจ้าหน้าที่คุ้มครองข้อมูล ฐานทางกฎหมาย และสัญญากับผู้ให้บริการ

KlassUp เก็บข้อมูลนักเรียน ข้อมูลสุขภาพอย่างการแพ้ยาและอาหาร และเอกสารยินยอมถ่ายรูปพร้อมหลักฐานที่อัปโหลด ไว้ในระบบเดียว มีบทบาทผู้ใช้ 4 ระดับและบันทึกการแก้ไขข้อมูล อัลบั้มรูปกิจกรรมส่งถึงเฉพาะผู้ปกครองของเด็กในรูปและกรองตามความยินยอม ทีมงานจึงไม่ต้องคัดลอกข้อมูลเด็กไปไว้ในที่อื่น