บทวิเคราะห์: Wearable Data Privacy ในโรงงาน — เมื่อข้อมูลหัวใจคนงานกลายเป็นข้อมูลอ่อนไหวที่ PDPA และ GDPR คุ้มครอง
เมื่อเสื้อกั๊กของคนงานรู้ว่าหัวใจเขาเต้นแรงแค่ไหน คำถามที่ตามมาไม่ใช่เรื่องเทคโนโลยี — แต่เป็นเรื่องสิทธิ อุปกรณ์สวมใส่ (wearables) ในโรงงานเก็บข้อมูลที่ละเอียดที่สุดเท่าที่เคยมีมา: อัตราการเต้นหัวใจ อุณหภูมิผิวหนัง ท่าทางการเคลื่อนไหว ตำแหน่งภายในโรงงาน และในบางระบบแม้แต่รูปแบบการนอนหลับ ข้อมูลเหล่านี้เป็น "ข้อมูลสุขภาพ" ซึ่งกฎหมายหลายฉบับจัดเป็นข้อมูลอ่อนไหว (sensitive data) ที่ต้องดูแลเข้มงวดเป็นพิเศษ บทวิเคราะห์นี้มองปัญหาจากมุมของผู้จัดการโรงงาน: คุณต้องการความปลอดภัยของคนงาน แต่ก็ต้องไม่ก้าวเข้าไปในพื้นที่ส่วนตัวของเขาจนกลายเป็นการเฝ้าระวัง (surveillance) โดยไม่รู้ตัว ข้อมูล biometric จาก wearable คือข้อมูลส่วนบุคคลที่กฎหมายคุ้มครองอย่างเข้มงวด (ภาพ: Wikimedia Commons) เส้นแบ่งระหว่าง Safety Monitoring กับ Surveillance จุดตัดสินอยู่ที่ 3 คำถาม: เก็บอะไร (granularity ของข้อมูล), ใครเห็น (ระดับการเข้าถึง), และเก็บนานแค่ไหน (retention) ระบบที่ออกแบบดีจะตอบทั้งสามข้อได้โดยไม่ต้องลดทอนความปลอดภัย ระบบที่ออกแบบไม่ดีจะเปลี่ยนเป็นเครื่องมือจับผิดพนักงานโดยบังเอิญ — และนั่นคือจุดที่ความไว้วางใจพังลง มิติSafety Monitoring (ถูกกฎหมาย)Surveillance (เสี่ยงละเมิด) วัตถุประสงค์ป้องกันอุบัติเหตุ/heat stroke/บาดเจ็บสะสมวัดผลิตภาพรายบุคคล จับผิดพฤติกรรม granularityสัญญาณเตือนแบบ aggregate/โซนเสี่ยงตำแหน่ง+อัตราหัวใจรายวินาทีตลอดกะ ผู้เห็นข้อมูลเจ้าหน้าที่ความปลอดภัย เห็นเฉพาะ alertหัวหน้าไลน์/HR เห็น raw data ทุกคน Retentionเก็บตามกำหนด compliance แล้วลบ/ทำลายเก็บสะสมไม่จำกัดเพื่อ "ไว้ใช้ภายหลัง" กรอบกฎหมายที่โรงงานไทยต้องรู้ PDPA (พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562) PDPA กำหนดว่าองค์กรต้องมีฐานทางกฎหมายในการเก็บ-ใช้-เปิดเผยข้อมูล แจ้งวัตถุประสงค์ชัดเจน และเคารพสิทธิเจ้าของข้อมูล ข้อมูลสุขภาพจัดเป็นข้อมูลอ่อนไหวที่ต้องมีมาตรการคุ้มครองเป็นพิเศษ จุดที่มักพลาดตามคำแนะนำของผู้ประกอบวิชาชีพกฎหมายข้อมูล: การขอความยินยอมแบบ "เหมารวม" ทั้งที่บางกรณีใช้ฐานอื่นได้, ลืมทำสัญญากับผู้ประมวลผลข้อมูลภายนอก (เช่น ผู้ให้บริการคลาวด์) และไม่มีกระบวนการรองรับเมื่อพนักงานขอใช้สิทธิ GDPR (สำหรับโรงงานที่ส่งข้อมูลกลับสำนักงานใหญ่ยุโรป) บริษัทในเครือต่างชาติมักส่งข้อมูลพนักงานข้ามประเทศ ซึ่งมีเงื่อนไขเพิ่มเติมเรื่อง cross-border transfer และต้องสอดคล้องกับนโยบายกลุ่มบริษัท หลักการสำคัญที่ต้องยึด: lawfulness, fairness, transparency และ data minimization — เก็บเท่าที่จำเป็นเท่านั้น โรงงานที่มีสำนักงานใหญ่ในยุโรปต้องประเมินผลกระทบจาก GDPR ต่อระบบ wearable ด้วย (ภาพ: Wikimedia Commons) 6 หลักปฏิบัติสำหรับระบบ Wearable ที่คนงานไว้วางใจ Data Minimization by Design: กำหนดตั้งแต่วันแรกว่าเก็บอะไรบ้าง — เช่น เก็บเฉพาะ "สถานะเข้าโซนเสี่ยง" แทนพิกัดรายวินาที ยิ่งเก็บน้อย ความเสี่ยงยิ่งลด Aggregation ก่อนแสดงผล:…









