ข้อมูลส่วนบุคคล (Personal Data) คืออะไร? ทำความเข้าใจ PII และ GDPR
สรุปใจความสำคัญ
- ข้อมูลส่วนบุคคล (Personal Data) และ PII มีความหมายคล้ายกันแต่ขอบเขตการบังคับใช้ทางกฎหมายแตกต่างกันตามภูมิภาค
- GDPR ของสหภาพยุโรปมีคำนิยามของข้อมูลส่วนบุคคลที่กว้างกว่ามาตรฐาน PII ของสหรัฐอเมริกา
- ข้อมูลบางอย่างอาจไม่ใช่ข้อมูลส่วนบุคคลด้วยตัวมันเอง แต่จะกลายเป็นข้อมูลส่วนบุคคลเมื่อถูกเชื่อมโยงกับบุคคลที่ระบุตัวตนได้
ข้อมูลส่วนบุคคล หรือที่รู้จักกันในชื่อ ข้อมูลที่ระบุตัวตนบุคคลได้ (Personally Identifiable Information หรือ PII) คือข้อมูลใดๆ ที่เกี่ยวข้องกับบุคคลที่สามารถระบุตัวตนได้ ไม่ว่าจะเป็นการระบุโดยตรงหรือโดยอ้อม
ความแตกต่างระหว่าง PII และข้อมูลส่วนบุคคลตามมาตรฐานสากล
คำว่า PII ถูกนำมาใช้อย่างแพร่หลายในสหรัฐอเมริกา โดยมีคำจำกัดความที่หลากหลายขึ้นอยู่กับเขตอำนาจศาลและวัตถุประสงค์ของการใช้งาน ในขณะที่สหภาพยุโรปและสหราชอาณาจักร ซึ่งใช้กฎระเบียบ GDPR (General Data Protection Regulation) จะใช้คำว่า "ข้อมูลส่วนบุคคล" ซึ่งมีความหมายกว้างกว่ามาก
คำจำกัดความของ NIST (สหรัฐอเมริกา)
สถาบันมาตรฐานและเทคโนโลยีแห่งชาติ (NIST) ของสหรัฐฯ นิยาม PII ว่าเป็นข้อมูลใดๆ เกี่ยวกับบุคคลที่หน่วยงานจัดเก็บไว้ ซึ่งรวมถึง:
- ข้อมูลที่ใช้แยกแยะหรือติดตามตัวตน: เช่น ชื่อ, หมายเลขประกันสังคม, วันเดือนปีเกิด, สถานที่เกิด, นามสกุลเดิมของมารดา หรือบันทึกทางชีวภาพ (Biometrics)
- ข้อมูลอื่นๆ ที่เชื่อมโยงได้: เช่น ข้อมูลทางการแพทย์, การศึกษา, การเงิน และการจ้างงาน
ตัวอย่างเช่น ที่อยู่ IP (IP Address) ของผู้ใช้เพียงอย่างเดียวอาจไม่ถูกจัดเป็น PII แต่หากนำไปเชื่อมโยงกับข้อมูลอื่น จะถูกจัดเป็น PII แบบเชื่อมโยง (Linked PII)
คำจำกัดความตาม GDPR (สหภาพยุโรป)
ภายใต้ GDPR ข้อมูลส่วนบุคคลถูกนิยามว่า "ข้อมูลใดๆ ที่เกี่ยวข้องกับบุคคลธรรมดาที่ระบุตัวตนได้" ซึ่งครอบคลุมกว้างขวางกว่า PII ของสหรัฐฯ โดยระบุว่าบุคคลที่ระบุตัวตนได้คือผู้ที่สามารถระบุได้ไม่ว่าทางตรงหรือทางอ้อม โดยอ้างอิงจาก:
- ตัวระบุ (Identifiers): เช่น ชื่อ, หมายเลขประจำตัว, ข้อมูลตำแหน่งที่ตั้ง (Location Data), หรือตัวระบุออนไลน์
- ปัจจัยเฉพาะตัว: เช่น ลักษณะทางกายภาพ, สรีรวิทยา, พันธุกรรม, จิตใจ, เศรษฐกิจ, วัฒนธรรม หรืออัตลักษณ์ทางสังคม
ตัวอย่างที่ชัดเจนคือ คำว่า "สีแดง" โดยลำพังไม่ใช่ข้อมูลส่วนบุคคล แต่ถ้าข้อมูลนี้ถูกบันทึกในฐานข้อมูลว่า "สีที่ชอบของนาย ก. คือสีแดง" ข้อมูลนี้จะกลายเป็นข้อมูลส่วนบุคคลทันที เพราะมีการเชื่อมโยงกับบุคคล
ความสำคัญของการคุ้มครองข้อมูลส่วนบุคคล
ในยุคเทคโนโลยีสารสนเทศและอินเทอร์เน็ต การเก็บรวบรวม PII กลายเป็นธุรกิจที่ทำกำไรได้สูง ซึ่งนำไปสู่ความเสี่ยงที่อาชญากรไซเบอร์จะนำข้อมูลเหล่านี้ไปใช้ในการสะกดรอยตาม การขโมยอัตลักษณ์ (Identity Theft) หรือการวางแผนก่ออาชญากรรม
ด้วยเหตุนี้ หลายเว็บไซต์จึงต้องมีนโยบายความเป็นส่วนตัว (Privacy Policy) ที่ชัดเจน และหน่วยงานทางกฎหมาย เช่น รัฐสภายุโรป ได้ออกกฎหมาย GDPR เพื่อจำกัดการเผยแพร่และการเข้าถึงข้อมูลส่วนบุคคล เพื่อให้เจ้าของข้อมูลมีสิทธิในการควบคุมข้อมูลของตนเองมากขึ้น
ตารางเปรียบเทียบ PII และ ข้อมูลส่วนบุคคล (GDPR)
| หัวข้อเปรียบเทียบ | PII (มาตรฐานสหรัฐฯ) | ข้อมูลส่วนบุคคล (GDPR) |
|---|---|---|
| ขอบเขต | เน้นข้อมูลที่ระบุตัวตนได้ชัดเจน | ครอบคลุมกว้างขวาง รวมถึงข้อมูลที่ระบุตัวตนได้โดยอ้อม |
| แนวทาง | มักระบุรายการข้อมูลที่ชัดเจน (Prescriptive) | ใช้หลักการกว้างๆ (Principles-based) |
| ตัวอย่าง | เลขบัตรประชาชน, ชื่อ-นามสกุล | IP Address, ข้อมูลพฤติกรรม, ความชอบส่วนตัวที่เชื่อมโยงกับบุคคล |
คำถามที่พบบ่อย
PII คืออะไร?
PII ย่อมาจาก Personally Identifiable Information คือข้อมูลใดๆ ที่สามารถใช้เพื่อแยกแยะหรือติดตามตัวตนของบุคคลหนึ่งๆ ได้ เช่น ชื่อ หมายเลขประกันสังคม หรือข้อมูลทางชีวภาพ
ความแตกต่างระหว่าง PII และข้อมูลส่วนบุคคลตาม GDPR คืออะไร?
PII มักเน้นที่ข้อมูลที่ระบุตัวตนได้โดยตรงและชัดเจนตามรายการที่กำหนด ในขณะที่ข้อมูลส่วนบุคคลตาม GDPR ครอบคลุมถึงข้อมูลใดๆ ก็ตามที่สามารถระบุตัวตนบุคคลได้ไม่ว่าทางตรงหรือทางอ้อม รวมถึงข้อมูลที่เชื่อมโยงได้
ที่อยู่ IP (IP Address) ถือเป็นข้อมูลส่วนบุคคลหรือไม่?
ใช่ ภายใต้กฎระเบียบ GDPR ของสหภาพยุโรป ที่อยู่ IP ของผู้สมัครใช้บริการอินเทอร์เน็ตอาจถูกจัดเป็นข้อมูลส่วนบุคคล เพราะสามารถนำไปใช้ระบุตัวตนบุคคลได้