Worldcoin ถูกสั่งลบข้อมูลผู้ใช้ในยุโรป หลังพบขัดกฎหมายคุ้มครองข้อมูลส่วนบุคคล GDPR
โปรเจกต์ Worldcoin (หรือชื่อใหม่คือ World) ของ Sam Altman กำลังเผชิญกับความท้าทายครั้งใหญ่ในยุโรป เมื่อหน่วยงานคุ้มครองข้อมูลส่วนบุคคลแห่งรัฐบาวาเรียได้ออกคำสั่งให้บริษัทดำเนินการลบข้อมูลผู้ใช้อย่างครอบคลุมตามคำร้องขอ เพื่อให้สอดคล้องกับกฎระเบียบ GDPR (General Data Protection Regulation) ซึ่งเป็นกรอบกฎหมายคุ้มครองข้อมูลส่วนบุคคลที่เข้มงวดที่สุดในโลก โดยมีบทลงโทษสูงสุดถึง 4% ของรายได้รวมทั่วโลกต่อปี
คำสั่งนี้ระบุว่าผู้ใช้ทุกคนที่เคยให้ข้อมูลม่านตากับ Worldcoin จะต้องได้รับสิทธิในการลบข้อมูล (Right to Erasure) อย่างไม่มีเงื่อนไข โดยทางหน่วยงานได้กำหนดระยะเวลาให้บริษัทดำเนินการสร้างระบบการลบข้อมูลที่ถูกต้องตามกฎหมายภายในหนึ่งเดือนนับจากวันที่ตัดสิน ซึ่งจะส่งผลให้เห็นการเปลี่ยนแปลงในช่วงต้นปี 2025
ข้อเท็จจริงสำคัญ
- คำสั่งลบข้อมูล: Worldcoin ต้องลบข้อมูลชีวมาตร (Biometric templates) ที่เชื่อมโยงกับการสแกนม่านตาตามคำขอของผู้ใช้
- การขอความยินยอม: บริษัทต้องปรับปรุงกระบวนการรับผู้ใช้ใหม่ (Onboarding) ให้มีการขอความยินยอมที่ชัดเจนและให้ข้อมูลที่ครบถ้วนก่อนการสแกนม่านตา
- ข้อมูลที่ผิดกฎหมาย: มีคำสั่งให้ลบระเบียนข้อมูลบางส่วนที่ถูกจัดเก็บโดยไม่มีฐานทางกฎหมายที่เพียงพอ
- การโต้แย้ง: Worldcoin ยื่นอุทธรณ์คำสั่งดังกล่าว โดยอ้างว่าสถาปัตยกรรมทางเทคนิคของตนช่วยปกป้องความเป็นส่วนตัวและทำให้ข้อมูลเป็นนิรนามแล้ว
ความขัดแย้งระหว่าง 'การพิสูจน์ตัวตน' และ 'สิทธิความเป็นส่วนตัว'
หัวใจสำคัญของปัญหาคือเป้าหมายของ Worldcoin ที่ต้องการสร้างระบบ World ID ซึ่งเป็นอัตลักษณ์ดิจิทัลที่ไม่สามารถเปลี่ยนแปลงได้ (Immutable) เพื่อใช้ยืนยันว่าผู้ใช้งานเป็นมนุษย์จริงไม่ใช่บอทในโลกออนไลน์ หากผู้ใช้สามารถลบข้อมูลทิ้งได้ตามต้องการ จะส่งผลกระทบต่อความน่าเชื่อถือของระบบการยืนยันตัวตนในระยะยาว
Damien Kieran ประธานเจ้าหน้าที่ฝ่ายความเป็นส่วนตัวของ Tools for Humanity (TfH) ผู้พัฒนา Worldcoin อธิบายว่า หากอนุญาตให้ลบข้อมูลได้ ผู้ที่ทำผิดกฎของแพลตฟอร์มต่างๆ อาจลบ World ID เดิมแล้วสร้างใหม่เพื่อกลับมาใช้งานได้อีกครั้ง ซึ่งจะทำลายวัตถุประสงค์ในการสร้างความเชื่อมั่นในยุค AI
อย่างไรก็ตาม ทางหน่วยงานคุ้มครองข้อมูลของบาวาเรียมองว่า ข้อมูลที่ Worldcoin จัดเก็บยังไม่ถือว่าเป็น ข้อมูลนิรนาม (Anonymous Data) อย่างสมบูรณ์ จึงยังคงอยู่ภายใต้ขอบเขตของกฎหมาย GDPR ที่ให้ความสำคัญกับอำนาจในการควบคุมข้อมูลส่วนบุคคลของผู้ใช้งาน
| ประเด็น | มุมมองของ Worldcoin | มุมมองของหน่วยงาน GDPR |
|---|---|---|
| สถานะของข้อมูล | เป็นข้อมูลนิรนามโดยการออกแบบ (Anonymous by design) | ยังไม่เป็นนิรนาม และสามารถระบุตัวตนได้ |
| การลบข้อมูล | อาจทำให้ระบบยืนยันตัวตนล้มเหลวและถูกนำไปใช้ในทางที่ผิด | เป็นสิทธิขั้นพื้นฐานที่ผู้ใช้ต้องสามารถควบคุมได้ |
| ฐานทางกฎหมาย | ใช้เทคโนโลยีการเข้ารหัสแบบกระจาย (Secure Multi-Party Computation) | ต้องได้รับความยินยอมที่ชัดเจนและแจ้งรายละเอียดครบถ้วน |
การต่อสู้ทางเทคนิคและกฎหมายในระดับสากล
Worldcoin พยายามนำเสนอระบบ Secure Multi-Party Computation ซึ่งเป็นการเข้ารหัสรหัสม่านตาและแบ่งส่วนข้อมูลกระจายไปยังผู้ร่วมระบบหลายราย เพื่อลดความเสี่ยงด้านความเป็นส่วนตัว แม้จะมีการเพิ่มฟีเจอร์ให้ผู้ใช้ขอลบข้อมูลได้ในภายหลัง แต่หน่วยงานกำกับดูแลเห็นว่ายังไม่เพียงพอตามมาตรฐานของยุโรป
นอกจากในบาวาเรียแล้ว Worldcoin ยังถูกระงับการสแกนม่านตาในโปรตุเกสและสเปน เนื่องจากความกังวลเรื่องการจัดเก็บข้อมูลของเด็กที่อาจไม่สามารถลบออกได้ตลอดกาล แม้ว่าในขณะเดียวกันบริษัทจะเริ่มขยายการดำเนินงานไปยังประเทศออสเตรียก็ตาม
คำถามที่พบบ่อย
GDPR คืออะไรและเกี่ยวข้องกับกรณีนี้อย่างไร?
GDPR คือกฎหมายคุ้มครองข้อมูลส่วนบุคคลของสหภาพยุโรป ซึ่งให้สิทธิแก่เจ้าของข้อมูลในการเข้าถึง แก้ไข และสั่งให้ลบข้อมูลส่วนบุคคลของตน (Right to Erasure) ซึ่ง Worldcoin ถูกตัดสินว่าไม่ได้ปฏิบัติตามข้อกำหนดนี้อย่างครบถ้วน
ทำไม Worldcoin ถึงไม่อยากให้ผู้ใช้ลบข้อมูลม่านตา?
เพราะ Worldcoin ต้องการสร้างระบบยืนยันตัวตนที่ถาวรและไม่ซ้ำกัน เพื่อป้องกันไม่ให้ผู้ใช้ที่ถูกแบนจากแพลตฟอร์มต่างๆ สามารถสร้างตัวตนใหม่เพื่อกลับมาใช้งานได้อีกครั้ง
ข้อมูลม่านตาถูกจัดเก็บอย่างไรในระบบของ Worldcoin?
บริษัทใช้ระบบการเข้ารหัสและแบ่งส่วนข้อมูล (Sharding) เพื่อให้การตรวจสอบตัวตนเกิดขึ้นได้โดยไม่ต้องถอดรหัสข้อมูลทั้งหมด ซึ่งบริษัทอ้างว่าวิธีนี้ช่วยรักษาความเป็นส่วนตัว
ปัจจุบันสถานะของคำสั่งลบข้อมูลเป็นอย่างไร?
ขณะนี้การบังคับใช้กำหนดเวลาของหน่วยงานบาวาเรียถูกระงับไว้ชั่วคราว เนื่องจาก Worldcoin ได้ยื่นอุทธรณ์คำสั่งดังกล่าวเพื่อโต้แย้งในประเด็นทางเทคนิคเรื่องข้อมูลนิรนาม
