ความเป็นส่วนตัว & ร่องรอยดิจิทัล

01ร่องรอยดิจิทัลคืออะไร Digital footprint

สองทุ่มคืนวันศุกร์ “ฝน” นักเรียน ม.5 เพิ่งโพสต์รูปคู่กับเพื่อนหน้าร้านชาบูเจ้าประจำ ยังไม่ทันวางมือถือ ข้อความจากบัญชีที่ไม่รู้จักก็เด้งขึ้นมา “เรียนโรงเรียนนั้นใช่ปะ ศุกร์หน้ามาร้านเดิมอีกไหม บ้านก็อยู่แถวนั้นนี่นา”

ฝนไม่เคยบอกใครในโลกออนไลน์เลยว่าบ้านอยู่ไหน แต่คนแปลกหน้ากลับเดาถูกเกือบหมด เขาไม่ได้แฮกอะไรสักอย่าง แค่นั่งไล่ดูโพสต์เก่า ๆ ที่ฝนเปิดเป็นสาธารณะ แล้วหยิบชิ้นส่วนเล็ก ๆ มาต่อกัน

สิ่งที่คนแปลกหน้าใช้ เรียกว่า ร่องรอยดิจิทัล (digital footprint) คือทุกอย่างที่เราทิ้งไว้ระหว่างใช้ชีวิตออนไลน์ เหมือนรอยเท้าบนหาดทราย ต่างกันตรงที่ไม่มีคลื่นมาคอยลบให้ รอยบางส่วนเราตั้งใจทิ้งเอง แต่อีกไม่น้อยถูกเก็บไปโดยที่เราไม่เคยเห็นด้วยซ้ำ

รอยที่ตั้งใจทิ้ง กับรอยที่ถูกเก็บเงียบ ๆ

คนในวงการแบ่งร่องรอยออกเป็นสองแบบ แบบแรกคือ ร่องรอยแบบตั้งใจ (active footprint) สิ่งที่เราลงมือทำเอง เช่น โพสต์ คอมเมนต์ รีวิวร้าน หรือกรอกฟอร์มสมัครสมาชิก แบบที่สองคือ ร่องรอยแบบไม่ตั้งใจ (passive footprint) ข้อมูลที่ระบบเก็บไปเองระหว่างที่เราใช้งาน เช่น ตำแหน่งจากมือถือ เว็บที่เปิด คลิปที่ดูจนจบ ไปจนถึงจังหวะที่นิ้วหยุดเลื่อนฟีดนานเป็นพิเศษ

รอยแบบแรก อย่างน้อยเรายังเห็นและกดลบเองได้ แต่รอยแบบที่สองมักไปอยู่ในเซิร์ฟเวอร์ของบริษัทที่เราไม่เคยได้ยินชื่อ และนั่นคือเรื่องที่บทนี้จะพาไปเปิดดู

หลายคนคิดว่า “ไม่ได้ทำอะไรผิด จะกลัวอะไร” ลองถามตัวเองดูว่ายอมให้คนแปลกหน้ารู้เวลาเข้าออกบ้าน เบอร์โทรของแม่ หรือผลตรวจสุขภาพของเราไหม ความเป็นส่วนตัวไม่ได้มีไว้ซ่อนความผิด มันมีไว้กันไม่ให้ข้อมูลของเราถูกเอาไปใช้ในทางที่เราไม่ได้เลือก

ศัพท์น่ารู้: ความเป็นส่วนตัว (Privacy) ไม่ได้แปลว่า “ความลับ”

ความเป็นส่วนตัวคือ สิทธิ์ที่จะเลือก ว่าใครรู้อะไรเกี่ยวกับเรา และรู้ไปเพื่ออะไร เราบอกวันเกิดกับเพื่อนสนิทได้ โดยไม่ต้องประกาศให้คนทั้งโลกรู้ เหมือนบ้านที่มีหน้าต่าง แต่ก็มีม่านไว้ปิดเมื่อต้องการ

02โฆษณารู้ใจได้อย่างไร How ad tracking works

เคยไหม เปิดดูรองเท้าวิ่งในเว็บหนึ่งแค่แป๊บเดียว แล้วรองเท้าคู่นั้นก็ตามไปโผล่ทั้งในเว็บข่าว ในแอปเกม และในฟีดโซเชียลอยู่เป็นสัปดาห์ นี่ไม่ใช่เรื่องบังเอิญ แต่เป็นผลงานของระบบติดตามหลายตัวที่ทำงานพร้อมกันทุกครั้งที่หน้าเว็บโหลด

คุกกี้: ป้ายจำหน้าที่เว็บฝากไว้กับเรา

คุกกี้ (cookie) คือไฟล์ข้อความเล็ก ๆ ที่เว็บไซต์ฝากไว้ในเบราว์เซอร์ เพื่อจำว่าเราเป็นใคร ใส่อะไรไว้ในตะกร้า หรือล็อกอินค้างไว้หรือยัง คุกกี้ของเว็บที่เราเปิดอยู่ตรง ๆ เรียกว่า คุกกี้บุคคลที่หนึ่ง (first-party cookie) เหมือนบัตรสมาชิกร้านกาแฟ ร้านเดียวจำเราได้ ก็จบแค่นั้น

ตัวปัญหาคือ คุกกี้บุคคลที่สาม (third-party cookie) ซึ่งมาจากบริษัทโฆษณาหรือบริษัทวัดสถิติที่ฝังโค้ดไว้ในเว็บไซต์จำนวนมาก ลองนึกภาพพนักงานคนเดียวที่ไปยืนเฝ้าหน้าทุกร้านในห้าง คอยจดว่าเราเดินเข้าร้านไหน ดูของอะไร อยู่นานเท่าไร ไม่กี่วันเขาก็รู้จักเราดีกว่าพนักงานร้านไหน ๆ

พิกเซลล่องหน และโค้ดที่ซ่อนอยู่ในแอปฟรี

พิกเซลติดตาม (tracking pixel) คือรูปขนาด 1×1 พิกเซลที่ตามองไม่เห็น แต่ทันทีที่หน้าเว็บหรืออีเมลโหลดรูปนี้ เครื่องเราต้องส่งคำขอไปที่เซิร์ฟเวอร์ของเจ้าของพิกเซล พร้อมบอกว่าเปิดจากเครื่องไหน เวลาไหน หน้าอะไร อีเมลการตลาดหลายฉบับจึงรู้ว่าเราเปิดอ่านแล้ว ทั้งที่เราไม่ได้ตอบกลับสักคำ

ในแอปมือถือ งานเดียวกันนี้เป็นของ SDK (ชุดโค้ดสำเร็จรูป) จากบริษัทโฆษณาที่นักพัฒนาใส่ไว้ในแอป โดยเฉพาะแอปฟรี แอปหนึ่งอาจมี SDK จากหลายบริษัท และแต่ละตัวก็ส่งข้อมูลกลับบ้านของตัวเอง

GET https://ads.tracker.example/px.gif
    ?uid=8f3a2c91              ← รหัสประจำตัวเรา จากคุกกี้บุคคลที่สาม
    &page=/shoes/running-blue    ← หน้าที่กำลังดู
    &ref=search                  ← มาจากการค้นหา
    &scr=390x844&lang=th-TH&tz=Asia/Bangkok
                                 ← ชิ้นส่วนของ “ลายนิ้วมือ” เบราว์เซอร์

ลายนิ้วมือเบราว์เซอร์: ลบคุกกี้ก็ไม่หาย

พอคนเริ่มลบคุกกี้กันมากขึ้น ผู้ติดตามบางรายก็หันไปใช้ การเก็บลายนิ้วมือเบราว์เซอร์ (browser fingerprinting) คือจดรายละเอียดเล็ก ๆ ของเครื่อง เช่น ขนาดจอ ภาษา เขตเวลา ฟอนต์ที่ติดตั้ง รุ่นการ์ดจอ แต่ละอย่างดูธรรมดามาก แต่พอรวมกัน เครื่องของเราจะมีรูปแบบที่แทบไม่ซ้ำใคร วิธีนี้ไม่ต้องฝากอะไรไว้ในเครื่องเลย ต่อให้ลบคุกกี้ทิ้ง ระบบก็ยังจำเราได้

ข่าวดีคือเบราว์เซอร์บางตัวช่วยเราไปแล้วครึ่งทาง Safari และ Firefox บล็อกหรือแยกเก็บคุกกี้บุคคลที่สามเป็นค่าเริ่มต้น ส่วน Chrome ยังเปิดให้ใช้อยู่ หลังจาก Google ตัดสินใจไม่ยกเลิกคุกกี้ประเภทนี้ และปิดโครงการทางเลือกที่ชื่อ Privacy Sandbox ไปในปี 2025 ใครใช้ Chrome จึงควรเข้าไปตั้งค่าบล็อกเอง (ดูหัวข้อ 07)

ศัพท์น่ารู้: บุคคลที่หนึ่ง กับ บุคคลที่สาม (First-party / Third-party)

“บุคคลที่หนึ่ง” คือเว็บที่เราตั้งใจเข้า เช่น เว็บข่าวที่พิมพ์ชื่อเอง “บุคคลที่สาม” คือบริษัทอื่นที่ติดมากับหน้าเว็บนั้น เช่น เครือข่ายโฆษณา ปุ่มแชร์ หรือสคริปต์วัดสถิติ เราไม่ได้เลือกคุยกับพวกเขา แต่เบราว์เซอร์ส่งข้อมูลไปให้ทุกครั้งที่หน้าเว็บโหลด

03ตลาดข้อมูลที่เรามองไม่เห็น Data brokers & profiling

ข้อมูลจากตัวติดตามไม่ได้จบแค่โฆษณารองเท้า ทุกครั้งที่หน้าเว็บมีช่องโฆษณาว่าง ระบบจะเปิด ประมูลแบบเรียลไทม์ (real-time bidding) ในเสี้ยววินาที โดยส่งข้อมูลเกี่ยวกับคนที่กำลังดูอยู่ เช่น รหัสเครื่อง ตำแหน่งคร่าว ๆ และความสนใจ ไปให้ผู้ซื้อโฆษณาหลายรายพิจารณาพร้อมกัน ผู้ชนะได้ฉายโฆษณา แต่ผู้ที่แพ้ก็ได้เห็นข้อมูลชุดนั้นไปแล้วเหมือนกัน

ถัดออกไปอีกชั้นคือธุรกิจที่คนทั่วไปแทบไม่รู้จัก เรียกว่า นายหน้าข้อมูล (data broker) บริษัทกลุ่มนี้รวบรวมข้อมูลจากหลายแหล่ง ทั้งที่ซื้อมา ที่เปิดเผยเป็นสาธารณะ และที่ได้จากแอปพันธมิตร แล้วผสมเป็นโปรไฟล์ของคนแต่ละคน ก่อนขายต่อให้นักการตลาดหรือใครก็ตามที่ยอมจ่าย ในบางประเทศธุรกิจนี้ทำได้อย่างถูกกฎหมาย

ที่น่ากังวลที่สุดไม่ใช่ข้อมูลดิบ แต่เป็น สิ่งที่ระบบเดาได้ จากข้อมูลเหล่านั้น ลองดูตัวอย่าง

ข้อมูลที่หลุดออกมาจากระบบต่าง ๆ ก็ไหลเข้าตลาดนี้ด้วย และบ่อยครั้งไปจบที่ตลาดมืด นี่คือคำอธิบายของเรื่องที่หลายคนเจอกับตัว คือมิจฉาชีพที่โทรมาเรียกชื่อ-นามสกุลจริงของเราได้ถูกต้อง แล้วใช้ความถูกต้องนั้นทำให้ตัวเองดูน่าเชื่อถือ

04จิ๊กซอว์ที่ต่อกันเอง Aggregation

กลับไปที่ฝน ถ้ามองทีละโพสต์ ไม่มีโพสต์ไหนอันตรายเลย รูปชุดนักเรียนวันปัจฉิม รูปเช็กอินร้านชาบู คำอวยพรวันเกิดจากเพื่อน และรูปน้องหมาชื่อ “ข้าวตู” แต่พอวางเรียงกัน คนแปลกหน้าก็ได้ภาพที่ครบเกินกว่าที่ฝนตั้งใจให้ใครรู้

หลักนี้เรียกว่า การประกอบข้อมูล (aggregation) ข้อมูลชิ้นเล็กที่ดูไม่มีพิษภัย เมื่อรวมกันแล้วกลับกลายเป็นข้อมูลที่อันตราย เหมือนจิ๊กซอว์ที่แต่ละชิ้นเป็นแค่สีเปล่า ๆ แต่ต่อครบแล้วเห็นเป็นภาพบ้านของเรา

ความเสี่ยงข้อแรกที่คนมักนึกไม่ถึงคือ คำถามกู้บัญชี หลายเว็บยังใช้คำถามอย่าง “สัตว์เลี้ยงตัวแรกชื่ออะไร” “เรียนประถมที่ไหน” หรือขอวันเกิดเพื่อยืนยันตัวตน คำตอบเหล่านี้หลายคนประกาศไว้เองในโซเชียล ใครที่อ่านโพสต์ย้อนหลังได้ก็ตอบแทนเราได้

ควิซสนุก ๆ แบบ “ชื่อวงดนตรีของคุณ = ชื่อสัตว์เลี้ยงตัวแรก + ชื่อถนนที่เกิด” ก็ต้องระวัง เพราะคำตอบที่เราพิมพ์ลงคอมเมนต์ คือคำตอบของคำถามกู้บัญชีที่ใครก็อ่านได้

ความเสี่ยงข้อที่สองน่ากลัวกว่า คือการรู้ว่า เราจะอยู่ที่ไหน เวลาไหน ซึ่งเป็นสิ่งที่ผู้สะกดรอยตาม (stalker) ต้องการที่สุด ร่องรอยแบบนี้ไม่ได้อยู่แค่ในโพสต์เดียว แต่ซ่อนอยู่ใน “ความสม่ำเสมอ” ของหลายโพสต์รวมกัน

ศัพท์น่ารู้: OSINT

ย่อมาจาก Open Source Intelligence คือการหาข่าวจากแหล่งที่เปิดให้ทุกคนดูได้ เช่น โซเชียล ข่าว แผนที่ ภาพถ่ายดาวเทียม นักข่าวและนักสืบใช้วิธีนี้ทำงานอย่างถูกต้อง แต่ผู้สะกดรอยตามและมิจฉาชีพก็ใช้วิธีเดียวกัน ลองมองโปรไฟล์ของตัวเองด้วยสายตาของนักสืบดูสักครั้ง

แล้วเราทำอะไรได้บ้าง ไม่จำเป็นต้องเลิกเล่นโซเชียล แค่เปลี่ยนนิสัยเล็ก ๆ ไม่กี่อย่าง

• โพสต์ทีหลัง ลงรูปหลังออกจากสถานที่นั้นแล้ว และไม่แชร์ตำแหน่งแบบสด
• เลิกเช็กอินที่ประจำ ที่ที่เราไปทุกสัปดาห์ เช่น บ้าน โรงเรียน ที่เรียนพิเศษ ไม่ต้องบอกโลก
• คำตอบกู้บัญชีไม่ต้องเป็นความจริง ใช้คำสุ่มแล้วเก็บไว้ในตัวจัดการรหัสผ่าน (ดูบท CASE-004)
• ลองค้นชื่อตัวเอง พิมพ์ชื่อ-นามสกุลจริง หรือชื่อเล่นคู่กับชื่อโรงเรียนลงใน Google แล้วดูว่าคนแปลกหน้าจะเจออะไรบ้าง

05รูปเดียวบอกพิกัด Photo metadata (EXIF)

รูปถ่ายหนึ่งรูปเก็บเรื่องราวไว้มากกว่าที่ตาเห็น ทุกครั้งที่กดชัตเตอร์ มือถือจะแนบ ข้อมูลกำกับ (metadata) ไว้ในไฟล์ด้วย รูปแบบที่ใช้กันทั่วไปเรียกว่า EXIF ข้างในมีทั้งยี่ห้อและรุ่นมือถือ วันเวลาที่ถ่าย และถ้าแอปกล้องได้รับอนุญาตให้ใช้ตำแหน่ง ก็จะมี พิกัด GPS ที่ละเอียดพอจะชี้ว่าถ่ายจากบ้านหลังไหน

Make             : (ยี่ห้อมือถือ)
Model            : (รุ่นมือถือ)
DateTimeOriginal : 2026:03:14 17:42:09
GPSLatitude      : 13.7563 N
GPSLongitude     : 100.5018 E
GPSAltitude      : 4.2 m

เอาพิกัดคู่นี้ไปวางในแอปแผนที่ ก็เห็นจุดที่ถ่ายรูปทันที รูปที่ถ่ายในห้องนอนจึงอาจบอกที่อยู่บ้านได้ตรงกว่าที่เราคิด

แพลตฟอร์มโซเชียลใหญ่ ๆ หลายแห่งตัดข้อมูลพิกัดออกตอนอัปโหลด แต่ อย่าวางใจว่าทุกช่องทางทำแบบนั้น การส่งรูปแบบ “ไฟล์” ในแอปแชต การแนบอีเมล การแชร์ลิงก์จากคลาวด์ หรือการอัปโหลดขึ้นเว็บบอร์ดบางแห่ง มักส่งไฟล์ต้นฉบับไปทั้งก้อน ข้อมูลกำกับก็ติดไปด้วย

ร่องรอยที่ตาเห็น ก็สำคัญไม่แพ้กัน

ต่อให้ไฟล์ไม่มี EXIF เหลือเลย คนที่ตั้งใจหาก็ยังอ่านรูปได้อีกมาก ป้ายชื่อซอย ป้ายรถเมล์ เลขที่บ้าน ทะเบียนรถหน้าบ้าน ตราโรงเรียนบนอกเสื้อ วิวนอกหน้าต่าง ไปจนถึงเงาสะท้อนบนแว่นตาหรือกระจก ล้วนเป็นเบาะแสที่นักสืบ OSINT ใช้หาสถานที่ในรูปมาแล้วนับไม่ถ้วน

แก้ทั้งสองแบบได้ไม่ยาก

• ปิดตำแหน่งในแอปกล้อง บน iPhone ไปที่ การตั้งค่า › ความเป็นส่วนตัวและความปลอดภัย › บริการหาตำแหน่ง › กล้อง แล้วเลือก “ไม่เลย” บน Android ให้หาตัวเลือกประเภท “แท็กตำแหน่ง” หรือ “บันทึกตำแหน่ง” ในการตั้งค่าของแอปกล้อง (ชื่อเมนูต่างกันตามยี่ห้อ)
• ตัดตำแหน่งก่อนส่ง บน iPhone ตอนกดแชร์รูป แตะ “ตัวเลือก” ที่ด้านบนของหน้าแชร์ แล้วปิด “ตำแหน่ง”
• กวาดตาดูพื้นหลังก่อนโพสต์ ซูมดูทุกมุมของรูป แล้วครอปหรือเบลอสิ่งที่บอกตำแหน่ง
• ไม่โพสต์รูปเอกสาร บัตรประชาชน บัตรนักเรียน ตั๋วเครื่องบิน แม้แต่บาร์โค้ดบนบัตรขึ้นเครื่องก็มีชื่อและรหัสการจองซ่อนอยู่

ศัพท์น่ารู้: ข้อมูลกำกับ (Metadata)

“ข้อมูลที่บอกเรื่องของข้อมูล” เช่น ไฟล์รูปมีวันเวลาและพิกัดที่ถ่าย ไฟล์เอกสารมีชื่อคนสร้างและวันที่แก้ล่าสุด การโทรมีเบอร์ปลายทางและระยะเวลาคุย ต่อให้ไม่รู้เนื้อหาเลย metadata ก็เล่าชีวิตเราได้มากกว่าที่คิด

06เมื่อการแชร์กลายเป็นอาวุธ Doxxing & sextortion

ร่องรอยที่ปล่อยไว้ไม่ได้ถูกใช้แค่ขายของ บางครั้งมันถูกหยิบไปทำร้ายคนจริง ๆ มีภัยสองแบบที่วัยรุ่นเจอบ่อย และควรรู้ทันตั้งแต่ก่อนเกิดเรื่อง คือการขุดข้อมูลมาประจาน และการแบล็กเมล์ทางเพศ

Doxxing: ขุดข้อมูลมาประจาน

Doxxing คือการรวบรวมข้อมูลส่วนตัวของใครสักคน เช่น ชื่อจริง โรงเรียน ที่อยู่ เบอร์โทร หรือรูปบ้าน แล้วเอาไปเปิดเผยต่อสาธารณะเพื่อข่มขู่ กลั่นแกล้ง หรือปลุกให้คนอื่นมารุมเล่นงาน มักเกิดหลังดราม่าในโซเชียล เมื่อมีคนไม่พอใจความเห็นของเรา แล้วอยากให้เรื่องลามจากหน้าจอมาถึงชีวิตจริง

ยิ่งเราทิ้งจิ๊กซอว์ไว้น้อย การขุดก็ยิ่งยาก ถ้าเกิดขึ้นแล้ว ให้ล็อกบัญชีเป็นส่วนตัวชั่วคราว อย่าตอบโต้ แคปหน้าจอเก็บไว้เป็นหลักฐาน รายงานโพสต์ต่อแพลตฟอร์ม และบอกผู้ใหญ่ที่ไว้ใจ ถ้ามีการขู่ว่าจะทำร้าย ให้แจ้งตำรวจทันที

Sextortion: การแบล็กเมล์ทางเพศออนไลน์

เรื่องนี้อาจอ่านแล้วไม่สบายใจ แต่สำคัญมาก เพราะรู้ไว้ก่อนช่วยได้จริง Sextortion คือการข่มขู่ว่าจะเผยแพร่ภาพหรือคลิปส่วนตัว เพื่อเรียกเงินหรือบังคับให้ส่งภาพเพิ่ม รูปแบบที่พบบ่อยคือคนร้ายสร้างโปรไฟล์ปลอมเป็นวัยรุ่นหน้าตาดี ทักมาตีสนิทอยู่หลายวัน ชวนแลกรูปหรือวิดีโอคอลส่วนตัว พอได้ภาพไปก็เปลี่ยนท่าทีทันที ขู่ว่าจะส่งให้เพื่อน ครอบครัว หรือโรงเรียน และกดดันให้ทำตามภายในไม่กี่ชั่วโมง

สิ่งที่ต้องจำให้ขึ้นใจคือ ถ้าเกิดขึ้น นี่ไม่ใช่ความผิดของเรา คนผิดคือคนที่ข่มขู่ และทางออกมีอยู่เสมอ

1. หยุด อย่าจ่าย อย่าส่งอะไรเพิ่ม

   จ่ายแล้วคนร้ายมักไม่หยุด เพราะรู้แล้วว่าเราจ่ายได้ ก็จะขอเพิ่มอีก ไม่ต้องต่อรอง ไม่ต้องตอบโต้

2. เก็บหลักฐานก่อนบล็อก

   แคปหน้าจอแชต ชื่อบัญชี ลิงก์โปรไฟล์ และข้อความขู่ ไม่ต้องลบบทสนทนาทิ้ง จากนั้นค่อยบล็อกและรายงานบัญชีนั้นต่อแพลตฟอร์ม

3. บอกผู้ใหญ่ที่ไว้ใจ

   พ่อแม่ ครู หรือญาติที่เราสบายใจ เรื่องนี้หนักเกินกว่าจะแบกไว้คนเดียว และผู้ใหญ่ช่วยติดต่อหน่วยงานได้เร็วกว่า

4. ขอให้ลบภาพออกจากแพลตฟอร์ม

   ถ้าภาพถ่ายตอนอายุต่ำกว่า 18 ปี ใช้บริการ Take It Down ของศูนย์ NCMEC ซึ่งมีภาษาไทย ระบบจะสร้าง “ลายนิ้วมือดิจิทัล” (hash) ของภาพขึ้นในเครื่องเรา แล้วส่งไปแค่ลายนิ้วมือนั้นให้แพลตฟอร์มที่ร่วมโครงการใช้ตรวจจับ ตัวภาพไม่ได้ออกจากเครื่อง ส่วนผู้ที่อายุ 18 ปีขึ้นไปใช้ StopNCII.org ที่ทำงานคล้ายกัน

5. แจ้งหน่วยงานที่ช่วยได้

   กรณีเด็กและเยาวชน แจ้งได้ที่เว็บไซต์ คลิปหลุดทำไง.com ของคณะทำงาน TICAC ที่ทำงานร่วมกับตำรวจ หรือโทรสายด่วน 1300 ศูนย์ช่วยเหลือสังคม กระทรวงการพัฒนาสังคมและความมั่นคงของมนุษย์ ซึ่งรับเรื่องตลอด 24 ชั่วโมง

ป้องกันไว้ก่อนดีที่สุด คนที่เพิ่งรู้จักกันทางออนไลน์ ต่อให้ดูน่ารักแค่ไหน ก็อาจไม่ใช่คนในรูปโปรไฟล์ ถ้ามีใครเร่งให้ส่งภาพส่วนตัว หรือชวนวิดีโอคอลแปลก ๆ ทั้งที่เพิ่งคุยกันไม่กี่วัน นั่นคือสัญญาณให้หยุดทันที

07ตั้งค่าให้เป็นส่วนตัว Privacy settings

ข่าวดีคือร่องรอยส่วนใหญ่ลดได้ด้วยการตั้งค่าไม่กี่นาที เริ่มจากคิดเป็นวง ๆ ก่อนว่าเรื่องแต่ละแบบควรไปไกลแค่ไหน แล้วค่อยไล่ตั้งค่าให้ตรงกับที่คิดไว้

จากนั้นค่อยไล่ตั้งค่าทีละที่ ชื่อเมนูอาจต่างกันไปตามแอปและเวอร์ชัน แต่หลักการเหมือนกันหมด

โซเชียลมีเดีย

• ตั้งผู้ชมค่าเริ่มต้นเป็น “เพื่อน” และย้อนไปจำกัดผู้ชมของโพสต์เก่าด้วย Facebook มีเมนูให้จำกัดโพสต์ที่ผ่านมาทั้งหมดได้ในครั้งเดียว
• ตรวจแท็กก่อนขึ้นหน้าโปรไฟล์ และปิดไม่ให้คนแปลกหน้าค้นเจอเราจากเบอร์โทรหรืออีเมล
• ใช้บัญชีส่วนตัว (private account) บน Instagram หรือ TikTok ถ้าไม่ได้ตั้งใจทำเพจสาธารณะ
• ปิดการแชร์ตำแหน่งสด ในแผนที่ของแอปต่าง ๆ เช่น เปิดโหมดผี (Ghost Mode) บน Snap Map
• ใช้เครื่องมือ “ตรวจสอบความเป็นส่วนตัว” (Privacy Checkup) ที่ทั้ง Google และ Facebook มีให้ ไล่ตอบทีละข้อ ใช้เวลาไม่ถึงสิบนาที

มือถือ

• สิทธิ์ตำแหน่งให้แค่ “ขณะใช้แอป” และปิด “ตำแหน่งที่แม่นยำ” สำหรับแอปที่แค่อยากรู้ว่าเราอยู่จังหวัดไหน เช่น แอปพยากรณ์อากาศ
• ปฏิเสธการติดตามข้ามแอป บน iPhone ปิดสวิตช์ที่อนุญาตให้แอปขอติดตาม หรือกด “ขอให้แอปไม่ติดตาม” ทุกครั้งที่ถาม บน Android ลบรหัสโฆษณา (advertising ID) ในเมนูความเป็นส่วนตัว
• ซ่อนเนื้อหาแจ้งเตือนบนหน้าจอล็อก ไม่ให้ใครอ่านข้อความหรือรหัส OTP ได้โดยไม่ต้องปลดล็อก

เบราว์เซอร์และบัญชี

• บล็อกคุกกี้บุคคลที่สาม ในการตั้งค่าเบราว์เซอร์ และลบคุกกี้เป็นระยะ
• อย่ากด “ยอมรับทั้งหมด” ตามความเคยชิน ในป้ายแจ้งคุกกี้ ให้หาปุ่มปฏิเสธ หรือตั้งค่าให้รับเฉพาะคุกกี้ที่จำเป็น
• ตั้งให้ลบประวัติกิจกรรมอัตโนมัติ เช่น บัญชี Google ตั้งให้ลบกิจกรรมบนเว็บและแอปที่เก่ากว่า 3 เดือนได้
• ลบแอปและบัญชีที่ไม่ได้ใช้แล้ว บัญชีที่ถูกลืม คือบัญชีที่รั่วไปแล้วเราก็ไม่รู้ตัว

08PDPA: กฎหมายที่ยืนข้างเรา Thailand's PDPA

อ่านมาถึงตรงนี้อาจรู้สึกเหมือนเราต้องสู้อยู่คนเดียว แต่ประเทศไทยมีกฎหมายที่ให้สิทธิ์เราโดยตรง คือ พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 หรือที่เรียกกันว่า PDPA ซึ่งบังคับใช้เต็มรูปแบบตั้งแต่วันที่ 1 มิถุนายน 2565 โดยมี สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (สคส.) เป็นหน่วยงานกำกับดูแล

ใครเป็นใครในกฎหมายนี้

• เจ้าของข้อมูล (data subject) คือเรา คนที่ข้อมูลนั้นพูดถึง
• ผู้ควบคุมข้อมูล (data controller) คือองค์กรที่ตัดสินใจว่าจะเก็บและใช้ข้อมูลเราเพื่ออะไร เช่น โรงเรียน ร้านค้าออนไลน์ แอปธนาคาร
• ผู้ประมวลผลข้อมูล (data processor) คือผู้ที่ทำงานกับข้อมูลตามคำสั่งของผู้ควบคุม เช่น บริษัทที่รับจ้างดูแลระบบ หรือผู้ให้บริการคลาวด์

ข้อมูลส่วนบุคคล คือข้อมูลที่ทำให้ระบุตัวเราได้ ทั้งทางตรงและทางอ้อม เช่น ชื่อ เลขบัตรประชาชน เบอร์โทร อีเมล รูปหน้า หรือตำแหน่ง ส่วน ข้อมูลอ่อนไหว (sensitive data) อย่างข้อมูลสุขภาพ ศาสนา ความคิดเห็นทางการเมือง พฤติกรรมทางเพศ ประวัติอาชญากรรม และข้อมูลชีวภาพอย่างใบหน้าหรือลายนิ้วมือ กฎหมายคุ้มครองเข้มกว่า โดยปกติต้องได้รับความยินยอมโดยชัดแจ้งก่อน

หลักใหญ่ที่องค์กรต้องทำตาม

เก็บเท่าที่จำเป็น ใช้ตามวัตถุประสงค์ที่บอกไว้ และดูแลให้ปลอดภัย ถ้าองค์กรอาศัย “ความยินยอม” เป็นฐานในการใช้ข้อมูล ความยินยอมนั้นต้องให้อย่างอิสระ ไม่ใช่มัดมือชกว่าไม่ยอมก็ใช้บริการไม่ได้ ในเรื่องที่ไม่จำเป็นต่อบริการนั้น และเราถอนความยินยอมเมื่อไรก็ได้

สำหรับเด็ก แนวปฏิบัติของ สคส. วางไว้ว่า ถ้าอายุต่ำกว่า 10 ปี ผู้ปกครองต้องเป็นผู้ให้ความยินยอมแทน ส่วนผู้เยาว์อายุ 10 ถึง 20 ปี บางกรณีให้ความยินยอมเองได้ บางกรณีต้องให้ผู้ปกครองยินยอมด้วย

สิทธิ์ของเราในฐานะเจ้าของข้อมูล

สิทธิ์เหล่านี้ไม่ได้ใช้ได้ทุกกรณีแบบไม่มีเงื่อนไข เช่น องค์กรอาจปฏิเสธการลบได้ถ้ามีกฎหมายอื่นบังคับให้ต้องเก็บไว้ แต่ต้องตอบเราพร้อมเหตุผล ไม่ใช่เงียบหาย

ใช้สิทธิ์อย่างไร

1. หาช่องทางติดต่อในนโยบายความเป็นส่วนตัว

   มักมีอีเมลของเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล (DPO) หรือแบบฟอร์มคำขอใช้สิทธิ์ให้กรอก

2. เขียนคำขอให้ชัด และเก็บหลักฐาน

   บอกว่าเราเป็นใคร ใช้บัญชีไหน ต้องการใช้สิทธิ์ข้อไหน แล้วเก็บสำเนาคำขอพร้อมวันที่ส่งไว้

3. ไม่ได้รับคำตอบ ร้องเรียนต่อ สคส.

   ถ้าองค์กรเพิกเฉยหรือทำผิดกฎหมาย ยื่นเรื่องร้องเรียนได้ผ่านช่องทางของ สคส. บนเว็บไซต์ pdpc.or.th

เมื่อองค์กรทำข้อมูลรั่ว

เมื่อเกิดเหตุละเมิดข้อมูลส่วนบุคคล ผู้ควบคุมข้อมูลต้องแจ้ง สคส. ภายใน 72 ชั่วโมง นับจากรู้เหตุ เว้นแต่เหตุนั้นไม่มีความเสี่ยงต่อสิทธิของเจ้าของข้อมูล และถ้ามีความเสี่ยงสูง ต้องแจ้งเจ้าของข้อมูลพร้อมแนวทางเยียวยาด้วย องค์กรที่ฝ่าฝืนอาจถูกปรับทางปกครองสูงสุดถึง 5 ล้านบาท นอกเหนือจากความรับผิดทางแพ่ง และโทษอาญาในบางกรณี

09ถ้าข้อมูลรั่ว ทำอย่างไรดี When your data leaks

สักวันหนึ่งเราอาจได้อีเมลจากบริการที่ใช้อยู่ว่า “ระบบของเราถูกเข้าถึงโดยไม่ได้รับอนุญาต” หรือเห็นข่าวว่าฐานข้อมูลลูกค้าของที่ไหนสักแห่งหลุด ข้อมูลที่รั่วไปแล้วเรียกคืนไม่ได้ แต่เราทำให้มันมีประโยชน์กับคนร้ายน้อยลงได้ และยิ่งลงมือเร็ว ยิ่งได้ผล

สิ่งสำคัญคือเข้าใจว่าคนร้ายจะเอาข้อมูลไปทำอะไรต่อ และทำอะไรเมื่อไร ภาพข้างล่างเรียงให้ดูเป็นเส้นเวลา

1. ฟังข่าวจากแหล่งทางการ

   ดูประกาศจากบริษัทหรือหน่วยงานโดยตรง และระวังข้อความแบบ “ตรวจสอบว่าข้อมูลคุณรั่วไหม คลิกที่นี่” เพราะข่าวข้อมูลรั่วเองก็ถูกใช้เป็นเหยื่อฟิชชิงได้

2. ตรวจว่าเราอยู่ในข้อมูลที่รั่วไหม

   เว็บ haveibeenpwned.com รวบรวมเหตุข้อมูลรั่วที่เปิดเผยแล้วไว้ พิมพ์อีเมลลงไปเพื่อดูว่าเคยอยู่ในเหตุไหนบ้าง

3. เปลี่ยนรหัสผ่าน และเปิดยืนยันสองชั้น

   เปลี่ยนรหัสของบริการที่รั่ว และทุกบัญชีที่เคยใช้รหัสเดียวกัน เพราะคนร้ายจะเอารหัสที่หลุดไปลองกับเว็บอื่นแบบอัตโนมัติ เรียกว่า credential stuffing

4. อย่าเชื่อสายที่ “รู้จักเรา”

   ข้อมูลจริงที่หลุดไปทำให้ฟิชชิงน่าเชื่อขึ้นมาก ถ้ามีคนโทรมาเรียกชื่อ ที่อยู่ หรือเลขพัสดุของเราได้ถูก อย่าเพิ่งเชื่อ วางสายแล้วติดต่อกลับทางเบอร์ทางการที่หาเอง

5. ถ้าข้อมูลการเงินหรือเลขบัตรหลุด

   แจ้งธนาคาร ตรวจรายการเดินบัญชีและบัตรเครดิตสม่ำเสมอ และตรวจรายงานเครดิตบูโรว่ามีใครแอบเปิดสินเชื่อในชื่อเราหรือเปล่า

6. ใช้สิทธิ์ และแจ้งความเมื่อเสียหาย

   ใช้สิทธิ์ตาม PDPA ขอให้องค์กรบอกว่าข้อมูลอะไรของเราหลุดไปบ้าง ถ้าถูกนำไปหลอกลวงจนเสียเงิน ให้โทรสายด่วน 1441 (ศูนย์ AOC รับแจ้งปัญหาภัยออนไลน์) และแจ้งความกับตำรวจ

10สรุปให้จำ Recap

ความเป็นส่วนตัวไม่ใช่การหนีออกจากโลกออนไลน์ แต่คือการเลือกเองว่าจะให้ใครเห็นอะไร ถ้าจำได้แค่เจ็ดข้อ ให้จำเจ็ดข้อนี้

• คิดแบบจิ๊กซอว์ ก่อนโพสต์ ถามว่าชิ้นนี้ต่อกับโพสต์เก่าแล้วบอกอะไรเพิ่ม
• โพสต์ทีหลัง ไม่เช็กอินที่ประจำ และไม่แชร์ตำแหน่งสด
• ปิดตำแหน่งในแอปกล้อง และกวาดตาดูพื้นหลังรูปก่อนส่ง
• บล็อกคุกกี้บุคคลที่สาม และให้สิทธิ์ตำแหน่งแอปแค่ขณะใช้งาน
• คำตอบกู้บัญชีไม่ต้องเป็นความจริง ใช้คำสุ่ม เก็บไว้ในตัวจัดการรหัสผ่าน
• ถูกข่มขู่: ไม่จ่าย ไม่ส่งเพิ่ม เก็บหลักฐาน บอกผู้ใหญ่ และจำว่าไม่ใช่ความผิดของเรา
• รู้สิทธิ์ตาม PDPA ขอดู ขอแก้ ขอลบ และร้องเรียน สคส. ได้

ลองทบทวนดู