"แค่ลงเวลาทำงาน จำเป็นต้องใช้ใบหน้าหรือลายนิ้วมือด้วยหรือ?" คำถามจากพนักงานชวนองค์กรให้กลับมาคิดใหม่

‍

ถ้าพนักงานไม่อยากสแกนหน้าเพื่อเข้างาน เขาจะลงเวลาด้วยวิธีไหน?

คำถามนี้กลายเป็นประเด็นใหญ่ของ Serco Leisure ผู้ให้บริการศูนย์นันทนาการในสหราชอาณาจักร เมื่อหน่วยงานกำกับดูแลข้อมูลส่วนบุคคลของอังกฤษ หรือ ICO ตรวจสอบระบบลงเวลาที่ใช้กับพนักงานกว่า 2,000 คน ในสถานที่ 38 แห่ง

วันที่ 23 กุมภาพันธ์ 2024 ICO ออกคำสั่งให้ Serco Leisure และหน่วยงานที่เกี่ยวข้องหยุดใช้ข้อมูลจากการจดจำใบหน้าและสแกนลายนิ้วมือเพื่อตรวจสอบเวลาเข้างาน พร้อมลบข้อมูลชีวมิติที่ไม่มีหน้าที่ตามกฎหมายต้องเก็บไว้ภายในสามเดือน

ปัญหาที่ ICO ชี้ไม่ได้เริ่มจากเครื่องสแกนทำงานผิดพลาด แต่เริ่มจากคำถามว่า จำเป็นแค่ไหนที่พนักงานต้องใช้ใบหน้าหรือลายนิ้วมือเพื่อบันทึกเวลาทำงาน

ICO ระบุว่าองค์กรไม่ได้แสดงให้เห็นว่าการใช้ข้อมูลชีวมิติจำเป็นและได้สัดส่วนกับเป้าหมายนี้ ทั้งที่มีวิธีซึ่งกระทบความเป็นส่วนตัวน้อยกว่า เช่น บัตรพนักงานหรืออุปกรณ์แตะลงเวลา ที่สำคัญ พนักงานไม่ได้รับการเสนอทางเลือกอื่นอย่างชัดเจน การสแกนจึงถูกนำเสนอราวกับเป็นเงื่อนไขของการลงเวลาเพื่อรับค่าจ้าง

ในความสัมพันธ์ระหว่างนายจ้างกับลูกจ้าง คำว่า “ยินยอม” ต้องมองให้ลึกกว่าลายเซ็นบนแบบฟอร์ม หากการปฏิเสธทำให้พนักงานไม่รู้ว่าจะเข้างานและรับค่าจ้างอย่างไร เขาจะรู้สึกว่าเลือกได้จริงหรือ?

‍

ข้อมูลชีวมิติ คือข้อมูลที่ได้จากลักษณะเฉพาะของร่างกายและนำไปใช้ระบุตัวบุคคล เช่น ข้อมูลใบหน้าหรือลายนิ้วมือ John Edwards กรรมาธิการข้อมูลของอังกฤษ ชี้ว่าความเสี่ยงของข้อมูลชนิดนี้สูงเป็นพิเศษ เพราะเมื่อเกิดข้อมูลรั่วไหล เราเปลี่ยนใบหน้าหรือลายนิ้วมือใหม่เหมือนเปลี่ยนรหัสผ่านไม่ได้

เรื่องนี้ชวนให้องค์กรกลับมามองเครื่องสแกนที่ใช้กันจนคุ้นตา เรามักถามว่าลงเวลาได้เร็วไหม แม่นไหม ลดงาน HR ได้เท่าไร แต่การ Redesign ระบบลงเวลา อาจต้องเริ่มจากคำถามที่อยู่ก่อนการเลือกเครื่องว่า

เราจำเป็นต้องเก็บข้อมูลชนิดนี้หรือไม่ และคนที่ไม่ต้องการให้เก็บมีวิธีลงเวลาที่ใช้งานได้จริง และไม่เกิดปัญหาอื่น ๆ ตามมาบ้างหรือเปล่า

พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคลของไทยจัดข้อมูลชีวมิติไว้ในกลุ่มข้อมูลส่วนบุคคลอ่อนไหว การเก็บข้อมูลกลุ่มนี้โดยหลักต้องได้รับความยินยอมโดยชัดแจ้ง เว้นแต่เข้าข้อยกเว้นที่กฎหมายกำหนด องค์กรจึงควรตรวจทั้งฐานกฎหมาย วัตถุประสงค์ ความจำเป็น ระยะเวลาจัดเก็บ และผู้ที่เข้าถึงข้อมูลได้ ไม่ใช่ดูเพียงว่ามีใบยินยอมอยู่ในแฟ้มหรือไม่

ลองกลับไปดูระบบลงเวลาขององค์กรตัวเอง หากพนักงานคนหนึ่งไม่ต้องการสแกนหน้าหรือลายนิ้วมือ พรุ่งนี้เขาจะลงเวลาอย่างไร และวิธีนั้นจะทำให้เขาเสียสิทธิหรือยุ่งยากกว่าคนอื่นไหม?

คำตอบอาจบอกได้มากกว่าสเปกของเครื่องสแกน ว่าระบบนี้ออกแบบมาโดยนึกถึงทางเลือกของคนทำงานแค่ไหน?

‍

Source:

• Information Commissioner’s Office (ICO), “ICO orders Serco Leisure to stop using facial recognition technology to monitor attendance of leisure centre employees” (23 ก.พ. 2024): https://ico.org.uk/about-the-ico/media-centre/news-and-blogs/2024/02/ico-orders-serco-leisure-to-stop-using-facial-recognition-technology/
• ICO, “Can we use biometric data for time and access control and monitoring?” (ปรับปรุง 6 มิ.ย. 2024): https://ico.org.uk/for-organisations/uk-gdpr-guidance-and-resources/employment/monitoring-workers/can-we-use-biometric-data-for-time-and-access-control-and-monitoring/
• สำนักงานพัฒนาธุรกรรมทางอิเล็กทรอนิกส์ (ETDA), “พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562” โดยเฉพาะมาตรา 26: https://www.etda.or.th/th/Useful-Resource/law/pdpa.aspx