Google Play Data Safety ข้อมูลความเป็นส่วนตัวที่ผู้ใช้เชื่อถือได้จริงหรือ?
ในยุคที่สมาร์ทโฟนกลายเป็นส่วนหนึ่งของชีวิต การติดตามว่าแอปพลิเคชันต่างๆ แอบเก็บข้อมูลอะไรของเราไปบ้าง หรือส่งต่อข้อมูลเหล่านั้นให้ใครและเมื่อไหร่นั้นเป็นเรื่องที่แทบจะเป็นไปไม่ได้เลย เพื่อแก้ปัญหานี้ ทั้ง Apple และ Google จึงได้นำระบบที่เปรียบเสมือน "ฉลากโภชนาการด้านความเป็นส่วนตัว" (Privacy Nutrition Label) มาใช้ใน App Store และ Google Play เพื่อให้ผู้ใช้งานทราบถึงพฤติกรรมของแอปและการจัดการข้อมูลเบื้องต้น
อย่างไรก็ตาม เครื่องมือสร้างความโปร่งใสเหล่านี้มีจุดอ่อนสำคัญคือ ข้อมูลทั้งหมดมาจาก การรายงานด้วยตนเอง (Self-reported) ของเหล่านักพัฒนาแอป ซึ่งนำไปสู่ข้อสงสัยว่าข้อมูลที่ปรากฏนั้นถูกต้องแม่นยำเพียงใด
ผลการศึกษาจาก Mozilla: เมื่อข้อมูลในฉลากไม่ตรงกับความเป็นจริง
กลุ่มซอฟต์แวร์ไม่แสวงหาผลกำไรอย่าง Mozilla ได้ทำการวิเคราะห์ข้อมูลในส่วน Data Safety ของ 40 แอปพลิเคชันที่มียอดดาวน์โหลดสูงสุดบน Google Play โดยนำข้อมูลดังกล่าวไปเปรียบเทียบกับ นโยบายความเป็นส่วนตัว (Privacy Policy) ซึ่งเป็นเอกสารทางกฎหมายที่ระบุรายละเอียดการจัดการข้อมูลของแอปนั้นๆ
ผลการประเมินถูกแบ่งออกเป็น 3 ระดับ คือ "พอใช้" (OK), "ควรปรับปรุง" (Needs Improvement) และ "แย่" (Poor) โดยพบสถิติที่น่าตกใจดังนี้:
- ระดับแย่ (Poor): มีถึง 16 แอปพลิเคชัน รวมถึงแอปชื่อดังอย่าง Facebook และ Minecraft
- ระดับควรปรับปรุง (Needs Improvement): 15 แอปพลิเคชัน ซึ่งรวมถึง Instagram, WhatsApp, YouTube, Google Maps และ Gmail
- ระดับพอใช้ (OK): มีเพียง 6 แอปพลิเคชันเท่านั้น เช่น Candy Crush Saga และ Google Play Games
Jen Caltrider หัวหน้าโครงการจาก Mozilla ระบุว่า การที่บางแอป เช่น TikTok หรือ Twitter ประกาศในหน้า Data Safety ว่าไม่มีการแชร์ข้อมูลกับบุคคลที่สาม ทั้งที่ในความเป็นจริงเป็นเรื่องที่แทบจะเป็นไปไม่ได้ ทำให้ผู้ใช้งานเกิด ความรู้สึกปลอดภัยแบบผิดๆ (False sense of security) และไม่สามารถตัดสินใจเลือกใช้แอปได้อย่างถูกต้อง
มุมมองจาก Google และข้อโต้แย้งทางเทคนิค
ทางด้าน Google ชี้แจงว่าเหตุผลที่ให้นักพัฒนาเป็นผู้กรอกข้อมูลเอง เนื่องจากนักพัฒนาคือผู้ที่รู้ดีที่สุดว่าผลิตภัณฑ์ของตนทำงานอย่างไรและมีการปฏิสัมพันธ์กับบุคคลภายนอกอย่างไร โดย Google ยืนยันว่าหากพบการละเมิดนโยบายหรือให้ข้อมูลเท็จ จะมีการบังคับให้แก้ไขและอาจมีการดำเนินการลงโทษตามขั้นตอน
อย่างไรก็ตาม Google ได้โต้แย้งวิธีการวิจัยของ Mozilla โดยระบุว่ารายงานฉบับนี้เกิดความสับสนระหว่าง นโยบายความเป็นส่วนตัวระดับองค์กร (ซึ่งครอบคลุมหลายบริการ) กับ ฉลาก Data Safety รายแอป ทำให้การให้คะแนนของ Mozilla ขาดความแม่นยำและไม่มีข้อมูลสนับสนุนที่เพียงพอ
ในขณะที่ Mozilla ยืนยันว่า นโยบายความเป็นส่วนตัวที่นำมาอ้างอิง คือลิงก์ที่นักพัฒนาแอปใส่ไว้ในหน้า Google Play โดยตรง ซึ่งควรจะเป็นนโยบายที่ใช้กับแอปนั้นๆ โดยเฉพาะ
ช่องโหว่ในระบบ Data Safety ที่ต้องระวัง
รายงานของ Mozilla ยังเผยให้เห็น "จุดบอด" ในแบบฟอร์มของ Google ที่เปิดโอกาสให้นักพัฒนาละเว้นการรายงานข้อมูลได้ เช่น:
- ข้อยกเว้นกว้างๆ: การแชร์ข้อมูลกับ "ผู้ให้บริการ" (Service Providers) หรือเพื่อ "วัตถุประสงค์ทางกฎหมายเฉพาะทาง" ไม่จำเป็นต้องรายงาน
- นิยามที่จำกัด: คำว่า "การเก็บรวบรวม" (Collection) และ "การแชร์" (Sharing) ของ Google มีความหมายแคบกว่าที่ผู้ใช้ทั่วไปเข้าใจ
- ข้อมูลนิรนาม (Anonymized Data): Google ไม่บังคับให้รายงานการเก็บข้อมูลหากข้อมูลนั้นถูกทำให้เป็นนิรนาม ซึ่งในทางเทคนิคแล้ว การทำให้ข้อมูลเป็นนิรนามอย่างสมบูรณ์นั้นทำได้ยากและมักเกิดข้อผิดพลาดบ่อยครั้ง
| ระดับการประเมิน | จำนวนแอป (จาก 40 แอป) | ตัวอย่างแอปพลิเคชัน |
|---|---|---|
| แย่ (Poor) | 16 | Facebook, Minecraft |
| ควรปรับปรุง (Needs Improvement) | 15 | Instagram, WhatsApp, YouTube, Gmail |
| พอใช้ (OK) | 6 | Candy Crush Saga, Google Play Games |
ข้อเท็จจริงสำคัญ
- ระบบ Data Safety ของ Google Play ใช้ข้อมูลที่นักพัฒนา รายงานด้วยตนเอง ไม่ได้ผ่านการตรวจสอบความถูกต้องจาก Google ก่อนแสดงผล
- แอปยอดนิยมจำนวนมากมีข้อมูลในฉลาก Data Safety ไม่สอดคล้อง กับนโยบายความเป็นส่วนตัวของตนเอง
- มีช่องโหว่ในนิยามของคำว่า "การเก็บข้อมูล" และ "การแชร์ข้อมูล" ที่ทำให้ผู้พัฒนาไม่ต้องระบุรายละเอียดบางอย่าง
- การทำให้ข้อมูลเป็นนิรนาม (Anonymization) เป็นจุดที่ผู้ใช้ควรระวัง เนื่องจากอาจไม่ปลอดภัยจริงตามที่กล่าวอ้าง
คำถามที่พบบ่อย
Data Safety ใน Google Play คืออะไร?
คือส่วนที่แสดงข้อมูลสรุปว่าแอปพลิเคชันมีการเก็บข้อมูลอะไรจากผู้ใช้บ้าง และมีการแชร์ข้อมูลเหล่านั้นให้กับบุคคลที่สามหรือไม่ เพื่อให้ผู้ใช้ตัดสินใจก่อนดาวน์โหลด
ทำไมข้อมูลใน Data Safety ถึงอาจไม่ถูกต้อง?
เพราะเป็นระบบที่ให้นักพัฒนาแอปเป็นผู้กรอกข้อมูลเอง (Self-reported) โดยที่ Google ไม่ได้ตรวจสอบความถูกต้องของข้อมูลทุกรายการเทียบกับพฤติกรรมจริงของแอป
หากข้อมูลในฉลากไม่ตรงกับนโยบายความเป็นส่วนตัว ควรเชื่ออะไร?
โดยทั่วไป นโยบายความเป็นส่วนตัว (Privacy Policy) จะมีรายละเอียดทางกฎหมายที่ครอบคลุมและชัดเจนกว่าฉลากสรุปสั้นๆ อย่างไรก็ตาม ทั้งสองส่วนควรมีความสอดคล้องกัน
การทำให้ข้อมูลเป็นนิรนาม (Anonymization) ปลอดภัยจริงหรือไม่?
ในทางทฤษฎีคือการลบตัวตนออกเพื่อให้ระบุตัวบุคคลไม่ได้ แต่ในทางปฏิบัติ นักวิจัยพบว่ามักมีข้อผิดพลาดหรือมีวิธีการที่สามารถย้อนกลับไประบุตัวตนผู้ใช้ได้อยู่ดี
Google มีมาตรการจัดการกับแอปที่ให้ข้อมูลเท็จอย่างไร?
Google ระบุว่าหากพบการละเมิดนโยบาย จะสั่งให้ผู้พัฒนาแก้ไขข้อมูลให้ถูกต้อง และหากยังไม่ปฏิบัติตามอาจถูกดำเนินการลงโทษตามกฎของ Store
