- กระบวนการยืนยันตัวตน ของ LinkedIn ดูเหมือนจะเสร็จสิ้นเมื่อผู้ใช้ส่งหนังสือเดินทางและภาพใบหน้า แต่ข้อมูลจริงถูกส่งต่อไปยัง Persona บริษัทสัญชาติสหรัฐ ไม่ใช่ LinkedIn
- Persona เก็บรวบรวมข้อมูลส่วนบุคคลจำนวนมาก เช่น ภาพหนังสือเดินทาง, ข้อมูลชีวมิติสำหรับการจดจำใบหน้า, ข้อมูลจากชิป NFC, ข้อมูลอุปกรณ์และข้อมูลตำแหน่ง
- ข้อมูลเหล่านี้ถูก นำไปใช้ฝึก AI โดยอ้างฐานทางกฎหมายเป็น “ประโยชน์อันชอบธรรม (legitimate interest)” จึงสามารถ ประมวลผลได้โดยไม่ต้องมีความยินยอมอย่างชัดแจ้ง
- ในบรรดา ผู้ประมวลผลช่วงต่อ (subprocessor) 17 ราย ของ Persona มี 16 รายเป็นบริษัทสหรัฐ และมี บริษัท AI เช่น OpenAI และ Anthropic ที่วิเคราะห์ข้อมูลหนังสือเดินทางและใบหน้า
- ตามกฎหมาย CLOUD Act ของสหรัฐ แม้ข้อมูลจะถูกเก็บไว้บนเซิร์ฟเวอร์ในยุโรป รัฐบาลสหรัฐก็ยังเข้าถึงได้ ทำให้ การคุ้มครองข้อมูลส่วนบุคคลของผู้ใช้ยุโรปไม่ได้รับการรับประกันอย่างแท้จริง
โครงสร้างที่แท้จริงของกระบวนการยืนยันตัวตนบน LinkedIn
- เมื่อกดปุ่ม ‘Verify’ บน LinkedIn ผู้ใช้จะถูกเปลี่ยนเส้นทางไปยัง Persona Identities, Inc. (ตั้งอยู่ที่ซานฟรานซิสโก)
- LinkedIn เป็นลูกค้าของ Persona และผู้ใช้จะกลายเป็นเจ้าของข้อมูลที่ถูกประมวลผลโดย Persona
- ผู้ใช้ส่วนใหญ่ส่งหนังสือเดินทางและภาพใบหน้าโดยไม่ทันรู้ด้วยซ้ำว่ามี Persona อยู่เบื้องหลัง
ข้อมูลที่ Persona เก็บรวบรวม
- ในกระบวนการยืนยันตัวตน Persona เก็บข้อมูลต่อไปนี้
- ชื่อ, ภาพหนังสือเดินทางเต็มรูปแบบ, เซลฟีแบบเรียลไทม์, โครงสร้างเรขาคณิตของใบหน้า (ข้อมูลชีวมิติ)
- ข้อมูลจากชิป NFC, หมายเลขบัตรประจำตัวแห่งชาติ, เพศ, วันเกิด, อีเมล, หมายเลขโทรศัพท์, ที่อยู่
- ที่อยู่ IP, ข้อมูลอุปกรณ์และเบราว์เซอร์, ภาษา, ข้อมูลตำแหน่ง
- นอกจากนี้ยังติดตาม “การตรวจจับความลังเล”, “การตรวจจับการคัดลอก-วาง” และ ข้อมูลชีวมิติจากพฤติกรรม (behavioral biometrics) อื่น ๆ ด้วย
การตรวจสอบไขว้กับข้อมูลจากบุคคลที่สาม
- นอกจากข้อมูลที่ผู้ใช้ให้มา Persona ยังทำการตรวจสอบไขว้กับ ฐานข้อมูลภาครัฐ, สถาบันเครดิต, ผู้ให้บริการโทรคมนาคม, บริษัทสาธารณูปโภค เป็นต้น
- ไม่ใช่เพียงการยืนยันตัวตนธรรมดา แต่เป็นการตรวจสอบข้อมูลในระดับใกล้เคียงกับ การตรวจสอบประวัติ
การนำไปใช้เป็นข้อมูลฝึก AI
- ตามนโยบายความเป็นส่วนตัว ภาพหนังสือเดินทางและเซลฟี ที่อัปโหลดจะถูกใช้สำหรับ การฝึกโมเดล AI
- วัตถุประสงค์คือเพื่อปรับปรุงการจดจำหนังสือเดินทางของแต่ละประเทศและพัฒนาบริการ
- ฐานทางกฎหมายคือ “ประโยชน์อันชอบธรรม” จึงสามารถ ประมวลผลได้โดยไม่ต้องได้รับความยินยอมอย่างชัดแจ้งจากผู้ใช้
- ยังไม่ชัดเจนว่ากระทบต่อสิทธิขั้นพื้นฐานภายใต้ GDPR หรือไม่
การแบ่งปันข้อมูลและผู้ที่เข้าถึงข้อมูลได้
- ข้อมูลที่ LinkedIn ได้รับคือ ชื่อ, ปีเกิด, ประเภทเอกสารยืนยันตัวตน, หน่วยงานผู้ออกเอกสาร, ผลการยืนยันตัวตน และ สำเนาเอกสารยืนยันตัวตนที่เบลอข้อมูลบางส่วนแล้ว
- Persona ยังแบ่งปันข้อมูลกับ
- ผู้ให้บริการและพาร์ตเนอร์ด้านข้อมูล, บริษัทในเครือ, ผู้ที่อาจเข้าซื้อกิจการ, หน่วยงานบังคับใช้กฎหมาย
- รายชื่อ ผู้ประมวลผลช่วงต่อ (subprocessor) 17 ราย มีตัวอย่างดังนี้
- Anthropic, OpenAI, Groqcloud (การดึงและวิเคราะห์ข้อมูล)
- AWS, Google Cloud, Snowflake, MongoDB และบริการโครงสร้างพื้นฐานหรือฐานข้อมูลอื่น ๆ
- Stripe, Twilio และผู้ให้บริการ API ด้านการชำระเงินและการสื่อสาร
- จากทั้งหมด 17 ราย 16 รายอยู่ในสหรัฐ และ 1 รายอยู่ในแคนาดา โดย ไม่มีบริษัทใดอยู่ในสหภาพยุโรป
CLOUD Act และปัญหาอธิปไตยข้อมูล
- Persona ดำเนินงาน ศูนย์ข้อมูลในสหรัฐและเยอรมนี แต่เนื่องจากเป็น นิติบุคคลสหรัฐ จึงอยู่ภายใต้ CLOUD Act
- ศาลสหรัฐสามารถเข้าถึงข้อมูลที่เก็บไว้บนเซิร์ฟเวอร์ในต่างประเทศได้ผ่าน คำสั่งทางกฎหมาย
- นโยบายของ Persona ระบุชัดว่าสามารถให้ข้อมูลตามคำร้องเพื่อวัตถุประสงค์ด้านการบังคับใช้กฎหมายหรือความมั่นคงแห่งชาติ
- อาจมี คำสั่งห้ามเปิดเผย (gag order) รวมอยู่ด้วย ทำให้ผู้ใช้อาจไม่ได้รับการแจ้งเตือน
ข้อจำกัดของ EU-US Data Privacy Framework
- Persona ได้รับการรับรอง EU-US Data Privacy Framework (DPF)
- แต่กรอบนี้เป็นมาตรการทดแทน Privacy Shield และ ผลทางกฎหมายตั้งอยู่บน Executive Order
- จึงมีความเป็นไปได้ที่จะ ถูกเพิกถอนเมื่อมีการเปลี่ยนฝ่ายบริหารในอนาคต
- องค์กรด้านความเป็นส่วนตัวอย่าง noyb ได้ยื่นท้าทายทางกฎหมายไว้แล้ว
ความเสี่ยงของข้อมูลชีวมิติและข้อยกเว้นในการเก็บรักษา
- Persona ระบุว่าจะลบข้อมูลโครงสร้างเรขาคณิตของใบหน้า หลังยืนยันตัวตนเสร็จ หรือภายใน 6 เดือน
- อย่างไรก็ตาม มี ข้อยกเว้นให้เก็บรักษาได้หากกฎหมายกำหนด จึงมีความเป็นไปได้ว่าจะ ถูกเก็บไว้ได้ไม่มีกำหนดหากมีคำสั่งศาลสหรัฐ
- ข้อมูลชีวมิติเป็น ตัวระบุเฉพาะบุคคลที่ไม่สามารถเปลี่ยนแปลงได้ และหากรั่วไหลก็แทบไม่อาจกู้คืนความเสียหายได้
ความรับผิดทางกฎหมายและสิทธิของผู้ใช้
- วงเงินความรับผิดชดใช้ค่าเสียหาย ของ Persona ถูกจำกัดไว้ที่ 50 ดอลลาร์
- ข้อพิพาทสามารถดำเนินการได้เฉพาะผ่าน อนุญาโตตุลาการภาคบังคับแบบรายบุคคล กับ AAA ในสหรัฐ
- แม้จะระบุว่า ผู้ใช้ในสหภาพยุโรปอยู่ภายใต้กฎหมายไอร์แลนด์ แต่ด้วยการที่ CLOUD Act มีผลเหนือกว่า การคุ้มครองที่แท้จริงจึงอ่อนมาก
แนวทางที่เสนอให้ผู้ใช้ดำเนินการ
- ผู้ใช้ที่ยืนยันตัวตนไปแล้วสามารถทำสิ่งต่อไปนี้ได้
- ขอเข้าถึงข้อมูล: idv-privacy@withpersona.com
- ขอลบข้อมูล: ขอให้ลบข้อมูลที่ไม่จำเป็นหลังการยืนยันตัวตนเสร็จสิ้น
- ติดต่อ DPO: ส่งอีเมลถึง dpo@withpersona.com เพื่อคัดค้านการนำข้อมูลไปใช้ฝึก AI
- ทบทวนการยืนยันตัวตนอีกครั้ง: ควรพิจารณาความสำคัญของ การปกป้องข้อมูลชีวมิติ มากกว่าการได้ป้ายยืนยันแบบง่าย ๆ
บทสรุป
- การยืนยันตัวตนบน LinkedIn ใช้เวลาเพียง 3 นาที แต่หากต้องการเข้าใจการไหลของข้อมูลจริง ผู้ใช้ต้องอ่าน เอกสารทางกฎหมายยาว 34 หน้า
- ผู้ใช้กำลังมอบ หนังสือเดินทาง, ใบหน้า, ข้อมูลชีวมิติ, ประวัติเครดิต ให้กับบริษัทสหรัฐ และ
เผชิญความเป็นไปได้ของ การนำไปฝึก AI, การเข้าถึงโดยรัฐบาล, และการเก็บรักษาต่อภายใต้ข้อยกเว้นทางกฎหมาย
- ข้อมูลของผู้ใช้ยุโรปจึงตกอยู่ภายใต้กรอบกฎหมายของสหรัฐโดยพฤตินัย
- นี่คือโครงสร้างที่ผู้ใช้ต้อง ยกตัวตนส่วนบุคคลแทบทั้งหมด เพื่อแลกกับป้ายสีน้ำเงินเพียงอันเดียว
2 ความคิดเห็น
ดูเหมือนว่าจะถูกนำไปใช้ค่อนข้างมากอย่างคาดไม่ถึงแม้แต่ในงานต่อต้านข่าวกรองภายในสหรัฐฯ ด้วย
ความคิดเห็นจาก Hacker News
CEO ของ Persona ออกมาชี้แจงโดยตรงบน LinkedIn
โดยระบุว่าข้อมูลส่วนบุคคล จะไม่ถูกนำไปใช้ฝึก AI, ข้อมูลชีวมิติจะถูกลบทันทีหลังยืนยันตัวตนเสร็จ และข้อมูลที่เหลือจะถูกลบอัตโนมัติภายใน 30 วัน
ในความเป็นจริง หากฝ่ายกฎหมายเข้ามาเกี่ยวข้อง เอกสารก็มักถูกเขียนให้ครอบคลุมกว้างเกินไปได้บ่อย คำชี้แจงแบบนี้จึงมีความหมายในแง่ของความโปร่งใส เพราะเอกสารอาจดูมืดมนกว่าความเป็นจริงมาก
เคยสร้างอีเมลเฉพาะสำหรับ LinkedIn ไว้สมัครใช้งาน แต่พอลบบัญชีปุ๊บ ก็มี อีเมลสแปม ถาโถมเข้ามาที่อยู่นั้นทันที
อยากลองทำการทดลองดู แต่หมดความเชื่อใจไปแล้ว เชื่อว่า LinkedIn ขายข้อมูล
ตอนสร้างบัญชีใหม่ถูก บังคับให้ยืนยันตัวตน ต้องใช้พาสปอร์ตยืนยัน จากนั้นลองตรวจดูรายละเอียดข้อมูลส่วนบุคคลแล้ว แต่แทบไม่ได้ข้อมูลอะไรเลย
การตั้งค่าโฆษณาถูกเปิดไว้เป็นค่าเริ่มต้น และกระบวนการทั้งหมดก็ยุ่งยากมาก
เป็นบัญชีสำหรับงานจึงไม่มีทางเลือก แต่ยิ่งทำให้รู้สึกว่าจำเป็นต้องมี บริการทางเลือกแบบกระจายศูนย์
มองว่าการยืนยันตัวตนผ่าน Persona สุดท้ายแล้วก็คือการช่วย เสริมความสมบูรณ์ให้ข้อมูลของรัฐ (enrichment)
บริการหลักอย่าง Coursera, Wealthsimple, Lime และอื่น ๆ ต่างพึ่งพามันอยู่แล้วจนหลีกเลี่ยงยาก แต่ก็จำเป็นต้องมี หลักประกันทางกฎหมายเกี่ยวกับการใช้ข้อมูล
ภูมิภาคที่พูดถึง อธิปไตยดิจิทัล อย่างแคนาดาหรือยุโรป ควรส่งเสริมทางเลือกท้องถิ่นของตัวเอง
Persona ดูเหมือนจะ ขาดความสามารถที่น่าเชื่อถือ ในการจัดการข้อมูลส่วนบุคคลจำนวนมหาศาล
บล็อกที่เกี่ยวข้อง: https://vmfunc.re/blog/persona
โครงสร้างแกนกลางของแพลตฟอร์มอย่าง LinkedIn, Google, Facebook คือการ ขายผู้ใช้ในฐานะสินค้า
ถ้ามีใครจ่ายเงินเพื่อเจาะเป้าคุณ สุดท้ายเงินนั้นก็ต้องถูกเรียกคืนจากคุณอยู่ดี
มองว่าโครงสร้างแบบนี้ทำให้ ความเหลื่อมล้ำทางเศรษฐกิจ รุนแรงขึ้นในระยะยาว
LinkedIn กลายเป็น โซเชียลอวดตัวแบบ Tiktok ไปแล้ว เป็นโครงสร้างที่ทำให้การเสียเวลาเหมือนมีความชอบธรรมภายใต้ข้ออ้างว่า “กำลังสะสมความรู้ในอุตสาหกรรม”
คนที่ล้นอยู่เต็มไปหมดไม่ใช่ผู้เชี่ยวชาญตัวจริง แต่เป็น คนที่หาเลี้ยงชีพด้วยการสร้างแบรนด์ตัวเอง
ในบทความ ส่วนที่บอกว่า “สแกนพาสปอร์ตยุโรปแล้วแต่ข้อมูลทั้งหมดกลับไปอยู่กับบริษัทในอเมริกาเหนือ” เป็นประเด็นที่น่าประทับใจมาก
รู้สึกว่าเรียก LinkedIn ว่าเป็นเครือข่ายที่มีฐานอยู่ในยุโรปได้ไม่เต็มปาก
ต้องการ กิจกรรมเคลื่อนไหวด้านความเป็นส่วนตัว แบบนี้ ฉันเองก็ยืนยันตัวตนกับ LinkedIn ไปแล้ว แต่รายการ แนวทางตอบสนองที่ทำได้จริง ที่ผู้เขียนเสนอไว้น่าประทับใจมาก
ช่วงนี้เจอข้อความผิดพลาดว่า “ไม่ได้รับอีเมล” อยู่เรื่อย ๆ แต่ความจริงอีเมลเข้าปกติ
พอกดปุ่มก็ขึ้นแค่ว่า “เกิดปัญหาขึ้น” และ แม้จะเป็นผู้ใช้แบบเสียเงินก็ยังแก้ไม่ได้
ทีมซัพพอร์ตกลับบอกว่าจะส่งอีเมลมาที่ที่อยู่อีเมลเดิม ก็เลยอึ้งไปเลย โครงสร้างแบบนี้ยิ่งทำให้รู้สึกถึง ความจำเป็นของการกระจายศูนย์
แม้แต่ระบบโทรศัพท์ที่ใช้ AI รู้จำเสียง ก็ยังยิ่งทำให้ใช้งานลำบากขึ้น รู้สึกเหมือนกลายเป็น ความซับซ้อนเชิงโครงสร้างแบบสัตว์ประหลาด ที่สะสมมาหลายทศวรรษ