ความเป็นส่วนตัวเมื่อใช้แอปดูดวง — สิ่งที่ต้องถาม PDPA ไทย ปี 2026

แอปดูดวงสมัยใหม่ขอข้อมูลที่อ่อนไหวมาก — วันเกิด, เวลาเกิด, ภาพถ่ายใบหน้า, ฝ่ามือ, เบอร์โทร, แม้แต่เลขประชาชน บทความนี้ให้เช็กลิสต์ 12 ข้อตาม PDPA (พ.ร.บ. คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562) — เพื่อให้ผู้ใช้ตัดสินใจได้ว่าแอปไหน "ปลอดภัย" และแอปไหนควรหลีกเลี่ยง

ทำไมแอปดูดวงเป็น "เป้าหมายอ่อนไหว" ทางข้อมูล?

แอปดูดวงรวบรวมข้อมูลที่ ไม่มีแอปประเภทอื่นรวบรวมพร้อมกัน:

1. Personal Identifiers — ชื่อ, วันเกิด, เวลาเกิด, สถานที่เกิด

2. Biometric Data — ภาพหน้า, ลายมือ, อาจรวมเสียง

3. Behavioral Patterns — คำถามที่ถาม, ความถี่การใช้, สิ่งที่กังวล

4. Sensitive Personal Data — ข้อมูลทางจิตวิญญาณ ความเชื่อ

5. Financial Indicators — เลขบัญชี (มหาโชต), เลขทะเบียนรถ

ข้อมูลแบบนี้ถ้ารั่วไหล สามารถใช้ในการ:

• ปลอมตัวตน (Identity theft)

• ฟิชชิ่ง (รู้ข้อมูลส่วนตัวลึก = สร้างความไว้ใจปลอม)

• Deepfake (มีรูปหน้าจำนวนมาก)

• ข่มขู่/แบล็กเมล (รู้ความกังวลส่วนตัว)

• ขายข้อมูลให้ ad network

PDPA มาตรา 26 ระบุชัดเจนว่า ข้อมูล Biometric เป็น "ข้อมูลส่วนบุคคลที่อ่อนไหว" (Sensitive Personal Data) ต้องได้รับความยินยอมแบบ "ชัดแจ้ง" (Explicit Consent) เท่านั้น — ไม่ใช่แค่ติ๊กถูก Terms

PDPA ไทย คืออะไร — และเกี่ยวกับแอปดูดวงอย่างไร?

PDPA (พ.ร.บ. คุ้มครองข้อมูลส่วนบุคคล) มีผลบังคับใช้เต็มรูปแบบเมื่อ 1 มิถุนายน 2565 ครอบคลุมการประมวลผลข้อมูลส่วนบุคคลของผู้ที่อยู่ในประเทศไทย — ไม่ว่าผู้ประมวลผลจะอยู่ที่ไหน

มาตราสำคัญสำหรับแอปดูดวง

มาตรา สาระสำคัญ มาตรา 19 ต้องมีฐานทางกฎหมายในการเก็บข้อมูล มาตรา 22 สิทธิของเจ้าของข้อมูลในการเข้าถึง มาตรา 23 สิทธิขอแก้ไข/ลบข้อมูล มาตรา 24 สิทธิคัดค้าน/ระงับการใช้ มาตรา 25 สิทธิขอย้ายข้อมูลไปยังผู้ควบคุมรายอื่น มาตรา 26 ข้อมูลอ่อนไหว ห้ามเก็บ เว้นแต่เข้าข้อยกเว้น (รวม Biometric) มาตรา 28 การส่งข้อมูลออกนอกประเทศ ต้องเป็นไปตามมาตรฐาน มาตรา 37 ผู้ควบคุมข้อมูลต้องมีมาตรการรักษาความปลอดภัย มาตรา 39 แจ้งเหตุข้อมูลรั่วไหลภายใน 72 ชั่วโมง

โทษ: ปรับสูงสุด 5 ล้านบาท ต่อการละเมิดหนึ่งครั้ง + จำคุกไม่เกิน 1 ปี

เช็กลิสต์ 12 ข้อ ก่อนใช้แอปดูดวง

ก่อนกรอกข้อมูลใดในแอปดูดวง ลองตอบคำถามต่อไปนี้:

1. แอปนี้มีนโยบายความเป็นส่วนตัวเป็นภาษาไทยไหม?

PDPA มาตรา 23 กำหนดให้นโยบายต้อง "เข้าถึงได้ง่ายและเข้าใจได้" สำหรับเจ้าของข้อมูล แอปที่มีแค่นโยบายภาษาอังกฤษไม่ผ่านเกณฑ์นี้

2. แอปขออนุญาตเฉพาะ "ข้อมูลที่จำเป็น" ไหม?

ถ้าแอปขอเลขบัตรประชาชน, เลขบัญชีธนาคาร, ที่อยู่บ้าน — แต่บอกแค่ว่า "เพื่อดูดวง" — ไม่ผ่านหลัก Data Minimization ของ PDPA

3. ภาพหน้า/ฝ่ามือถูก "อัปโหลด" หรือ "ประมวลผลในเครื่อง"?

• ดี: ประมวลผลในเบราว์เซอร์ของผู้ใช้ (on-device CV) — ภาพดิบไม่เคยออกเครื่อง

• ไม่ดี: อัปโหลดภาพไปเซิร์ฟเวอร์ — มีความเสี่ยงรั่วไหล

• MuCraft ปฏิบัติ: on-device, เก็บแค่ landmark scores ที่เข้ารหัส

4. ข้อมูล Biometric ถูกเก็บนานแค่ไหน?

PDPA มาตรา 37(2) กำหนดว่าต้องเก็บเฉพาะ "ระยะเวลาที่จำเป็น" — ดูดวงครั้งเดียวไม่ควรเก็บข้อมูลถาวร

• ดี: ลบใน 24-72 ชั่วโมง

• ปานกลาง: ลบใน 30 วัน

• ไม่ดี: เก็บถาวรหรือไม่ระบุ

5. ข้อมูลถูก "เข้ารหัส" หรือไม่?

• ดี: AES-256-GCM, end-to-end encryption

• ไม่ดี: เก็บข้อความธรรมดา (plaintext) — เห็นได้ทันทีถ้าฐานข้อมูลรั่ว

6. ข้อมูลถูกส่งไปต่างประเทศไหม?

PDPA มาตรา 28: การส่งออกประเทศต้องเป็นไปยังประเทศที่มีมาตรฐานเท่าไทย หรือผ่าน Standard Contractual Clauses

• ดี: เก็บใน ASEAN เท่านั้น (ไทย, สิงคโปร์, มาเลเซีย)

• ปานกลาง: ส่งไป EU (GDPR ระดับเดียว)

• ระวัง: ส่งไป US, จีน, รัสเซีย โดยไม่มีข้อตกลงพิเศษ

7. ข้อมูลถูกแบ่งปันกับ "บุคคลที่สาม" ไหม?

อ่านในนโยบาย — แอปบางแอปแบ่งปันข้อมูลกับ ad network, analytics provider, partner — ต้องระบุชัดและขอความยินยอมแยก

8. แอปมี "ปุ่มลบบัญชี" ไหม?

PDPA มาตรา 23 ให้สิทธิ "ขอลบ" — แอปต้องมีกลไกให้ผู้ใช้ลบข้อมูลได้ด้วยตัวเอง ไม่ใช่ต้องส่งอีเมลแล้วรอ

9. ใครคือ DPO (Data Protection Officer)?

PDPA มาตรา 41: องค์กรที่ประมวลผลข้อมูลอ่อนไหวขนาดใหญ่ต้องมี DPO — ตรวจในนโยบายว่ามีชื่อ-อีเมลติดต่อ DPO หรือไม่

10. ผู้พัฒนาเป็นนิติบุคคลที่จดทะเบียนในไทยไหม?

ถ้าผู้พัฒนาอยู่ในไทย จะถูกควบคุมโดย PDPA ตรง — ถ้าอยู่ต่างประเทศ บังคับใช้ยากกว่า

• ดี: บริษัทไทย เช่น TecTony Co., Ltd.

• ปานกลาง: บริษัทต่างประเทศที่มีตัวแทนในไทย

• ระวัง: บริษัทไม่ระบุที่ตั้ง

11. แอปขอ "ความยินยอม" แยกสำหรับ Biometric ไหม?

PDPA มาตรา 26: Biometric ต้องการ "ความยินยอมชัดแจ้ง" แยกจากความยินยอมทั่วไป — ติ๊กเดียว "Accept Terms" ไม่พอ

12. มีนโยบาย "Data Breach Notification" ไหม?

PDPA มาตรา 39: ถ้ารั่ว ต้องแจ้งภายใน 72 ชั่วโมง — แอปดี ๆ มีระบุไว้ว่าจะแจ้งทาง email/SMS อย่างไร

ตัวอย่างแอปที่ทำถูก vs ไม่ถูก

MuCraft (ตัวอย่างแอปไทยที่ปฏิบัติตาม PDPA)

รายการ แนวปฏิบัติ ภาพหน้า/มือ ประมวลผลในเบราว์เซอร์ ไม่อัปโหลด ข้อมูล Biometric เก็บแค่ landmark scores ที่เข้ารหัส AES-256-GCM ระยะเวลาเก็บ ลบอัตโนมัติใน 72 ชั่วโมง สถานที่เก็บ Cloudflare R2 ใน ASEAN region เท่านั้น ข้อมูล PII เข้ารหัส AES-256-GCM ใน Cloudflare D1 ความยินยอม แยก consent สำหรับ Biometric (ขั้นตอน Onboarding) สิทธิเจ้าของข้อมูล หน้า Settings มีปุ่ม Export และ Delete DPO ติดต่อได้ที่ tony@tectony.com นิติบุคคล TecTony Co., Ltd. จดทะเบียนในไทย

สัญญาณเตือนของแอปที่ "ไม่ปลอดภัย"

• ขอข้อมูลเกินจำเป็น (เลขบัตรประชาชน, ที่อยู่, OTP)

• นโยบายเป็นภาษาอังกฤษเท่านั้น

• ไม่มีปุ่มลบบัญชี

• ส่งข้อมูลไปประเทศที่ไม่ระบุ

• ผู้พัฒนาไม่ระบุชื่อบริษัท

• โหลดจาก link ที่ไม่ใช่ App Store/Play Store

• ขอสิทธิ์เข้าถึงรายชื่อผู้ติดต่อ, SMS, อัลบั้มภาพทั้งหมด

• ไม่มี HTTPS (ดูที่ https:// หน้า URL)

สิทธิของคุณตาม PDPA — และวิธีใช้สิทธิ

ในฐานะเจ้าของข้อมูล คุณมีสิทธิ 8 ประการ:

1. สิทธิได้รับการแจ้ง (Right to be Informed)

ก่อนเก็บข้อมูล แอปต้องแจ้งวัตถุประสงค์, ระยะเวลาเก็บ, ผู้ที่จะได้รับข้อมูล

2. สิทธิเข้าถึงข้อมูล (Right to Access)

ขอสำเนาข้อมูลที่แอปเก็บไว้ — แอปต้องให้ภายใน 30 วัน

3. สิทธิแก้ไข (Right to Rectification)

แก้ไขข้อมูลที่ผิดพลาด

4. สิทธิลบ (Right to Erasure)

ขอลบข้อมูลทั้งหมด — เรียกอย่างไม่เป็นทางการว่า "Right to be Forgotten"

5. สิทธิระงับการใช้ (Right to Restrict Processing)

ระงับชั่วคราวระหว่างตรวจสอบความถูกต้อง

6. สิทธิย้ายข้อมูล (Right to Data Portability)

ขอข้อมูลในรูปแบบที่ใช้กับแอปอื่นได้ (เช่น JSON, CSV)

7. สิทธิคัดค้าน (Right to Object)

คัดค้านการประมวลผลเพื่อการตลาด

8. สิทธิร้องเรียน (Right to Complain)

ร้องเรียนต่อ สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (สคส.) ที่ pdpc.or.th

วิธีใช้สิทธิเมื่อแอปไม่ตอบสนอง

ถ้าแอปไม่ตอบคำขอใช้สิทธิภายใน 30 วัน:

1. บันทึกหลักฐาน — ภาพหน้าจอที่ส่งคำขอ, เวลา, การไม่ตอบ

2. ส่งหนังสือทางไปรษณีย์ — เป็นหลักฐานทางกฎหมาย

3. ยื่นเรื่องร้องเรียน — pdpc.or.th หรือ 02-141-6993

4. ถ้าเสียหาย — ฟ้องแพ่งเรียกค่าเสียหาย (PDPA มาตรา 77)