EDPB เผยแพร่ร่างแนวปฏิบัติว่าด้วยการทำข้อมูลให้เป็นข้อมูลนิรนาม (Anonymisation) ภายใต้ GDPR

European Data Protection Board (EDPB) ได้อนุมัติร่างแนวปฏิบัติ (Guidelines) ว่าด้วยการทำข้อมูลให้เป็นข้อมูลนิรนาม (Anonymisation) เพื่อรับฟังความคิดเห็นจากสาธารณะ โดยให้คำแนะนำฉบับปรับปรุงว่าเมื่อใดที่ข้อมูลส่วนบุคคลจะถือเป็นข้อมูลนิรนามได้อย่างถูกต้องตามกฎหมายภายใต้ General Data Protection Regulation (GDPR) ร่างนี้จะเข้ามาแทนที่แนวปฏิบัติเดิมปี 2014 จาก Article 29 Working Party โดยเป็นการปรับปรุงมาตรฐานการกำกับดูแลให้สอดคล้องกับความเป็นจริงของปัญญาประดิษฐ์ (AI), พื้นที่จัดเก็บข้อมูลที่เชื่อมโยงกัน และคำวินิจฉัยล่าสุดของศาลยุติธรรมแห่งสหภาพยุโรป (CJEU)

วิวัฒนาการของการทำข้อมูลนิรนามและความเสี่ยงในการระบุตัวตนใหม่ (Re-identification)

การทำข้อมูลให้เป็นข้อมูลนิรนามอย่างแท้จริงภายใต้ GDPR หมายความว่าข้อมูลต้องถูกปรับเปลี่ยนในลักษณะที่เจ้าของข้อมูลไม่สามารถถูกระบุตัวตนได้อีกต่อไป โดยใช้วิธีการใดๆ ที่คาดว่าอาจถูกนำมาใช้ได้อย่างสมเหตุสมผล ไม่ว่าจะเป็นโดยผู้ควบคุมข้อมูล (Controller) หรือบุคคลที่สาม หากบุคคลนั้นยังคงสามารถถูกระบุตัวแยกออกได้ (singlable), เชื่อมโยงได้ (linkable) หรืออนุมานได้ (inferable) แม้จะนำไปรวมกับชุดข้อมูลภายนอก ข้อมูลนั้นก็ยังถือเป็นข้อมูลนามแฝง (pseudonymous) และยังอยู่ภายใต้ภาระผูกพันของ GDPR

EDPB เน้นย้ำว่าความก้าวหน้าทางเทคโนโลยี โดยเฉพาะโมเดล Machine Learning ขั้นสูงและการวิเคราะห์ข้อมูลความละเอียดสูง เพิ่มโอกาสในการระบุตัวตนใหม่ได้อย่างมีนัยสำคัญ ส่งผลให้การปกปิดข้อมูลพื้นฐานหรือการลบตัวระบุตัวตนโดยตรง (เช่น ชื่อและที่อยู่อีเมล) ไม่เพียงพออีกต่อไป ผู้ควบคุมข้อมูลต้องแสดงให้เห็นถึงการประเมินทางเทคนิคที่เข้มงวดซึ่งพิสูจน์ได้ว่าความเสี่ยงในการระบุตัวตนใหม่ถูกลดลงจนอยู่ในระดับที่เล็กน้อยตลอดวงจรชีวิตของข้อมูล

แนวทางปฏิบัติที่แนะนำสำหรับสถาปนิกข้อมูลและผู้เชี่ยวชาญด้านความปลอดภัย

องค์กรที่ใช้งานโมเดล Machine Learning, แพลตฟอร์มการวิเคราะห์ หรือที่เก็บข้อมูลข้ามพรมแดน ควรปรับกลยุทธ์การทำข้อมูลให้สะอาด (Data sanitization) ดังนี้:

• ประเมินกระบวนการทำข้อมูลนิรนามแบบดั้งเดิมใหม่: ทบทวนชุดข้อมูลที่เคยถูกจัดว่าเป็นข้อมูลนิรนามโดยเปรียบเทียบกับเทคนิคการระบุตัวตนใหม่ที่ทันสมัย โดยให้ความสนใจเป็นพิเศษกับข้อมูลตำแหน่งที่ตั้งและข้อมูลชีวมิติเชิงพฤติกรรม (behavioral biometrics)
• นำเทคโนโลยีเสริมความเป็นส่วนตัว (PETs) ขั้นสูงมาใช้: นำเทคนิคทางคณิตศาสตร์และวิทยาการรหัสลับมาปรับใช้ เช่น differential privacy, k-anonymity หรือ homomorphic transformation ในกรณีที่มีการใช้ประโยชน์จากชุดข้อมูลขนาดใหญ่เพื่อฝึกสอนโมเดล AI
• สร้างระบบตรวจสอบความเสี่ยงในการระบุตัวตนใหม่แบบต่อเนื่อง: ดำเนินการทดสอบความเปราะบาง (vulnerability stress tests) เป็นระยะเพื่อตรวจสอบว่าชุดข้อมูลภายนอกใหม่ๆ อาจส่งผลให้เกิดการระบุตัวตนใหม่ของข้อมูลที่ถูกทำความสะอาดไปแล้วหรือไม่

---

แหล่งที่มา: Privacy Matters (DLA Piper) เผยแพร่ครั้งแรก: Thu, 13 Aug 2026 13:20:13 +0000 บทความต้นฉบับ: อ่านต้นฉบับ