คำตอบสั้น — Quick Answer / TL;DR
- การแยกเสียงสนทนาทั่วไปออกจากข้อมูลชีวภาพจากเสียง (Voiceprint Biometrics): การบันทึกเสียงสนทนากับลูกค้าที่เป็นคู่สัญญาอาจอาศัยฐานตามมาตรา 24 (3) หรือมาตรา 24 (5) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ตามวัตถุประสงค์ที่แจ้งไว้จริง แต่เมื่อระบบนำเสียงมาสร้างแม่แบบเพื่อยืนยันตัวตน (Authentication) ข้อมูลนั้นเข้าลักษณะข้อมูลชีวภาพตามมาตรา 26 วรรคสอง จึงต้องได้รับความยินยอมโดยชัดแจ้ง (Explicit Consent) จากเจ้าของข้อมูลส่วนบุคคล เว้นแต่เข้าข้อยกเว้นตามมาตรา 26 วรรคหนึ่ง และการขอความยินยอมต้องเป็นไปตามมาตรา 19 ทั้งนี้ การบันทึกเสียงสนทนาโดยมิได้นำมาประมวลผลเพื่อยืนยันตัวตนไม่เข้าลักษณะดังกล่าว เว้นแต่เนื้อหามีข้อมูลสุขภาพหรือข้อมูลตามมาตรา 26 อื่น และในทุกกรณีผู้ควบคุมข้อมูลส่วนบุคคลต้องแจ้งรายละเอียดตามมาตรา 23 ก่อนหรือในขณะเก็บรวบรวมข้อมูล
- การแจ้งการบันทึกเสียงและการแจ้งว่าผู้สนทนาเป็นระบบอัตโนมัติ (Automated Agent Notice): ผู้ควบคุมข้อมูลส่วนบุคคลต้องแจ้งการบันทึกเสียงและรายละเอียดตามมาตรา 23 แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ก่อนหรือในขณะเก็บรวบรวมข้อมูล ส่วนการแจ้งตั้งแต่ต้นสายว่าผู้สนทนาเป็นระบบปัญญาประดิษฐ์ และการเปิดช่องให้ขอโอนสายไปยังเจ้าหน้าที่ที่เป็นมนุษย์ (Human Agent Handover) เป็นแนวปฏิบัติที่ดีเพื่อความโปร่งใส ยังไม่พบประกาศของสำนักงานคณะกรรมการคุ้มครองผู้บริโภคหรือบทบัญญัติของกฎหมายที่กำหนดเป็นหน้าที่ สัญญาจึงควรกำหนดไว้เป็นหน้าที่ของผู้ให้บริการ ส่วนรายละเอียดของข้อความแจ้งการบันทึกเสียงอยู่ในบทความ LAS C&C EP30
- ข้อสัญญาห้ามนำเสียงของลูกค้าไปฝึกโมเดล (No-Training Covenant): ผู้ว่าจ้างซึ่งกำหนดวัตถุประสงค์และวิธีการประมวลผลโดยทั่วไปเป็นผู้ควบคุมข้อมูลส่วนบุคคล และผู้ให้บริการ CCaaS ที่ดำเนินการตามคำสั่งเป็นผู้ประมวลผลข้อมูลส่วนบุคคล (Data Processor) แต่สถานะของแต่ละฝ่ายพิจารณาตามข้อเท็จจริง หากผู้ให้บริการนำไฟล์เสียงหรือข้อความถอดเสียง (Transcripts) ไปฝึกโมเดลของตนเอง หรือเปิดเผยให้บุคคลภายนอกนำไปใช้นอกเหนือคำสั่ง ผู้ให้บริการจะถือเป็นผู้ควบคุมข้อมูลสำหรับการใช้นั้นตามมาตรา 40 วรรคสอง แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 สัญญาจึงควรห้ามการใช้เช่นนั้นไว้อย่างชัดแจ้ง ส่วนรายละเอียดของข้อตกลงประมวลผลข้อมูลตามมาตรา 40 วรรคสาม การเก็บรักษาและการลบไฟล์เสียงอยู่ในบทความ LAS C&C EP30
สถานการณ์ที่ผู้ประกอบการมักพบจริง
- เหตุการณ์: สถาบันการเงินแห่งหนึ่ง (A) ว่าจ้างผู้ให้บริการคลาวด์คอลเซ็นเตอร์ (B) ติดตั้งระบบเสียงสนทนาปัญญาประดิษฐ์ (AI Voicebot) สำหรับโทรออกอัตโนมัติ (Outbound Telesales และ Debt Collection) เพื่อเสนอขายผลิตภัณฑ์และทวงถามหนี้ ต่อมาลูกค้าซึ่งเป็นลูกหนี้ (C) ร้องเรียนต่อสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลว่า ระบบบันทึกเสียงและนำข้อมูลสุขภาพที่ตนพูดระหว่างสายไปประมวลผลโดยไม่ได้รับความยินยอม และระบบทวงถามหนี้ติดต่อตนเกินกว่าหนึ่งครั้งต่อวัน ซึ่งขัดต่อประกาศคณะกรรมการกำกับการทวงถามหนี้ที่ออกตามมาตรา 9 (3) แห่งพระราชบัญญัติการทวงถามหนี้ พ.ศ. 2558
- ความเข้าใจผิด: ผู้ว่าจ้างเข้าใจว่า ผู้ให้บริการระบบ AI เป็นผู้รับผิดชอบด้านเทคนิคและการปฏิบัติตามกฎหมายแต่เพียงผู้เดียว ผู้ว่าจ้างเป็นเพียงผู้เช่าใช้บริการซอฟต์แวร์
- จุดพลิก: สาระสำคัญทางกฎหมายคือ A ซึ่งกำหนดวัตถุประสงค์และวิธีการประมวลผลโดยทั่วไปเป็นผู้ควบคุมข้อมูลส่วนบุคคล (Data Controller) จึงอาจถูกปรับทางปกครองไม่เกินห้าล้านบาทตามมาตรา 84 แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 กรณีเก็บรวบรวมข้อมูลสุขภาพหรือข้อมูลชีวภาพโดยฝ่าฝืนมาตรา 26 (ไม่เกินสามล้านบาทตามมาตรา 83 กรณีฝ่าฝืนมาตรา 24 และไม่เกินหนึ่งล้านบาทตามมาตรา 82 กรณีไม่แจ้งตามมาตรา 23) หากนำข้อมูลดังกล่าวไปใช้หรือเปิดเผยโดยฝ่าฝืนมาตรา 27 โดยประการที่น่าจะทำให้ผู้อื่นเกิดความเสียหาย อาจมีโทษอาญาตามมาตรา 79 นอกจากนี้ ผู้ควบคุมข้อมูลส่วนบุคคลและผู้ประมวลผลข้อมูลส่วนบุคคลต้องรับผิดทางแพ่งต่อเจ้าของข้อมูลส่วนบุคคลตามมาตรา 77 เมื่อตรวจสัญญา CCaaS พบว่าไม่มีข้อกำหนดจำกัดสิทธิการประมวลผลข้อมูล (DPA) และไม่มีการกำหนด SLA การโอนสายไปยังมนุษย์
- จุดพลิกในส่วนการทวงถามหนี้: A ซึ่งเป็นเจ้าหนี้ผู้ให้สินเชื่อ และ B หากโทรทวงถามหนี้แทน A ในฐานะผู้รับมอบอำนาจ ต่างเป็นผู้ทวงถามหนี้ตามมาตรา 3 และต้องรับผิดตามพระราชบัญญัติการทวงถามหนี้ พ.ศ. 2558 โดยการติดต่อทวงถามหนี้นอกช่วงเวลาหรือเกินจำนวนครั้งที่เหมาะสมตามมาตรา 9 ไม่มีโทษทางอาญา แต่คณะกรรมการตามมาตรา 27 มีอำนาจสั่งให้ระงับการกระทำหรือปฏิบัติให้ถูกต้อง และหากไม่ปฏิบัติตามคำสั่งอาจถูกปรับทางปกครองไม่เกินหนึ่งแสนบาทตามมาตรา 34 ส่วนโทษทางอาญามีเฉพาะการฝ่าฝืนที่บัญญัติไว้ในมาตรา 39 ถึงมาตรา 43 เช่น การประกอบธุรกิจทวงถามหนี้โดยมิได้จดทะเบียนตามมาตรา 5 หรือการใช้วาจาหรือภาษาที่เป็นการดูหมิ่นลูกหนี้ตามมาตรา 11 (2) ซึ่งมีโทษตามมาตรา 39 และการข่มขู่หรือใช้ความรุนแรงตามมาตรา 11 (1) ซึ่งมีโทษตามมาตรา 41
- สิ่งที่ได้จากบทความ: Checklist 10 จุดตรวจสัญญา Cloud Contact Center และ AI Voicebot ตารางเปรียบเทียบการบันทึกเสียงสนทนาทั่วไปกับข้อมูลชีวภาพจากเสียง ตัวอย่างตัวชี้วัด SLA ทางเทคนิคของระบบเสียงอัตโนมัติ และแนวทางตรวจการโทรออกเพื่อทวงถามหนี้ ส่วนข้อตกลงประมวลผลข้อมูล การปกปิดข้อมูลบัตร และการเก็บรักษาไฟล์เสียงของศูนย์บริการลูกค้าโดยทั่วไปอยู่ในบทความ LAS C&C EP30
กรอบกฎหมายและ Claim Ledger Legal Framework
บทความนี้เน้นเฉพาะประเด็นของระบบเสียงสนทนาปัญญาประดิษฐ์ที่ใช้งานบนคลาวด์คอลเซ็นเตอร์ ได้แก่ ข้อมูลชีวภาพจากเสียง การห้ามนำเสียงไปฝึกโมเดล การส่งต่อสายให้เจ้าหน้าที่ที่เป็นมนุษย์ และการโทรออกเพื่อทวงถามหนี้ ส่วนสัญญาจ้างบริการศูนย์บริการลูกค้าโดยทั่วไป ซึ่งรวมถึงข้อความแจ้งการบันทึกเสียงตามมาตรา 23 และข้อตกลงประมวลผลข้อมูลตามมาตรา 40 แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 การปกปิดข้อมูลบัตร การเก็บรักษาและลบไฟล์เสียง และตัวชี้วัดระดับบริการ ได้อธิบายไว้อย่างละเอียดในบทความเรื่อง Checklist 10 จุดตรวจสัญญาบริการศูนย์บริการลูกค้าและระบบ Contact Center Outsourcing (LAS C&C EP30) บทความนี้จึงสรุปประเด็นเหล่านั้นไว้เท่าที่จำเป็น และยึดหลักเดียวกับบทความดังกล่าว
| รหัสอ้างอิง | ข้อกฎหมาย / สาระสำคัญ | ฐานทางกฎหมาย | สถานะการตรวจสอบ |
|---|---|---|---|
| C-CC-43-01 | การเก็บรวบรวมข้อมูลส่วนบุคคลต้องได้รับความยินยอม เว้นแต่เข้าข้อยกเว้นตามมาตรา 24 และผู้ควบคุมข้อมูลส่วนบุคคลต้องแจ้งวัตถุประสงค์และรายละเอียดตามมาตรา 23 ก่อนหรือในขณะเก็บรวบรวม | พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 มาตรา 23 และมาตรา 24 | แก้ไขแล้ว — LAS Audit |
| C-CC-43-02 | ห้ามเก็บรวบรวมข้อมูลสุขภาพ ข้อมูลชีวภาพ และข้อมูลอื่นตามที่มาตรา 26 วรรคหนึ่งระบุไว้ โดยไม่ได้รับความยินยอมโดยชัดแจ้ง เว้นแต่เข้าข้อยกเว้นตามมาตรา 26 วรรคหนึ่ง (1) ถึง (5) ข้อมูลชีวภาพหมายถึงข้อมูลส่วนบุคคลที่เกิดจากการนำลักษณะเด่นทางกายภาพหรือทางพฤติกรรมของบุคคลมาใช้ทำให้ยืนยันตัวตนของบุคคลนั้นได้ (มาตรา 26 วรรคสอง) เสียงเข้าลักษณะนี้เมื่อนำมาสร้างแม่แบบเพื่อยืนยันตัวตน และการขอความยินยอมต้องเป็นไปตามมาตรา 19 | พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 มาตรา 19 และมาตรา 26 | แก้ไขแล้ว — LAS Audit |
| C-CC-43-03 | ผู้ประมวลผลข้อมูลส่วนบุคคลต้องดำเนินการตามคำสั่งของผู้ควบคุมข้อมูลส่วนบุคคลเท่านั้น จัดมาตรการรักษาความมั่นคงปลอดภัยและแจ้งเหตุการละเมิดต่อผู้ควบคุม และจัดทำบันทึกรายการกิจกรรมการประมวลผล ผู้ประมวลผลที่ใช้ข้อมูลนอกเหนือคำสั่งถือเป็นผู้ควบคุมสำหรับการใช้นั้น และผู้ควบคุมต้องจัดให้มีข้อตกลงระหว่างกันเพื่อควบคุมการดำเนินงานของผู้ประมวลผล (รายละเอียดอยู่ในบทความ LAS C&C EP30) | พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 มาตรา 40 | แก้ไขแล้ว — LAS Audit |
| C-CC-43-04 | การติดต่อทวงถามหนี้ต้องอยู่ในช่วงเวลาตามมาตรา 9 (2) คือวันจันทร์ถึงวันศุกร์ เวลา 08.00 นาฬิกา ถึง 20.00 นาฬิกา และวันหยุดราชการ เวลา 08.00 นาฬิกา ถึง 18.00 นาฬิกา และต้องติดต่อตามจำนวนครั้งที่เหมาะสมตามมาตรา 9 (3) ซึ่งคณะกรรมการกำกับการทวงถามหนี้อาจประกาศกำหนดจำนวนครั้งได้ ส่วนมาตรา 8 เป็นข้อห้ามติดต่อกับบุคคลอื่นซึ่งมิใช่ลูกหนี้เพื่อการทวงถามหนี้ มิใช่บทบัญญัติเรื่องเวลา | พระราชบัญญัติการทวงถามหนี้ พ.ศ. 2558 มาตรา 8 และมาตรา 9 | แก้ไขแล้ว — LAS Audit |
| C-CC-43-05 | ผู้ให้บริการที่โทรทวงถามหนี้แทนเจ้าหนี้เข้าข่ายเป็นผู้ทวงถามหนี้ในฐานะผู้รับมอบอำนาจ (มาตรา 3) การประกอบธุรกิจทวงถามหนี้ต้องจดทะเบียน (มาตรา 5) และผู้รับมอบอำนาจต้องแจ้งชื่อหน่วยงานของตนและของเจ้าหนี้ รวมทั้งจำนวนหนี้ (มาตรา 9 (4)) การฝ่าฝืนมาตรา 5 มีโทษอาญาตามมาตรา 39 | พระราชบัญญัติการทวงถามหนี้ พ.ศ. 2558 มาตรา 3 มาตรา 5 มาตรา 9 (4) และมาตรา 39 | ตรวจตรงตัวบท — LAS Audit |
| C-CC-43-06 | การติดต่อลูกหนี้ได้ไม่เกินหนึ่งครั้งต่อวัน เป็นไปตามประกาศคณะกรรมการกำกับการทวงถามหนี้ที่ออกตามมาตรา 9 (3) ตัวพระราชบัญญัติกำหนดเพียงให้ติดต่อตามจำนวนครั้งที่เหมาะสมและให้คณะกรรมการประกาศกำหนดจำนวนครั้งได้ | พระราชบัญญัติการทวงถามหนี้ พ.ศ. 2558 มาตรา 9 (3) และประกาศคณะกรรมการกำกับการทวงถามหนี้ | ตรวจตรงตัวบทเฉพาะพระราชบัญญัติ — LAS Audit ส่วนตัวประกาศ [ต้องยืนยันแหล่งที่มา] |
Checklist 10 จุดตรวจสัญญา Cloud Contact Center & AI Voicebot
- การจัดทำข้อตกลงประมวลผลข้อมูลส่วนบุคคล (Mandatory DPA): ผู้ว่าจ้างในฐานะผู้ควบคุมข้อมูลส่วนบุคคลต้องจัดให้มีข้อตกลงระหว่างกันตามมาตรา 40 วรรคสาม แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 โดยข้อตกลงต้องกำหนดให้ผู้ประมวลผลดำเนินการตามคำสั่งของผู้ควบคุมเท่านั้น จัดมาตรการรักษาความมั่นคงปลอดภัยและแจ้งเหตุการละเมิดต่อผู้ควบคุม และจัดทำบันทึกรายการกิจกรรมการประมวลผลตามมาตรา 40 วรรคหนึ่ง ส่วนผลของการใช้ข้อมูลนอกเหนือคำสั่งตามมาตรา 40 วรรคสองอยู่ในข้อ 2 และรายละเอียดของข้อตกลงอยู่ในบทความ LAS C&C EP30
- ข้อห้ามการใช้ข้อมูลเสียงฝึกฝนโมเดล AI (No-Training & IP Protection): ห้ามมิให้ผู้ให้บริการนำข้อมูลเสียง บทสนทนา หรือข้อมูลเชิงสถิติไปใช้ Fine-tune โมเดลภาษาหรือโมเดลสังเคราะห์เสียงเพื่อประโยชน์ทางการค้าของผู้ให้บริการ เพราะการนำเสียงไปฝึกโมเดลของผู้ให้บริการเองเป็นการใช้นอกเหนือคำสั่ง ซึ่งทำให้ผู้ให้บริการถือเป็นผู้ควบคุมข้อมูลส่วนบุคคลสำหรับการใช้นั้นตามมาตรา 40 วรรคสอง ผู้ว่าจ้างจึงควรห้ามไว้ในสัญญาและกำหนดผลของการฝ่าฝืนไว้ด้วย
- เกณฑ์ความแม่นยำในการรู้จำเสียง (ASR / STT Accuracy SLA): กำหนดค่า Word Error Rate (WER) ภาษาไทยไม่เกินร้อยละ 5-8 และค่าความถูกต้องในการตรวจจับเจตนาของผู้พูด (Intent Recognition Accuracy) ไม่ต่ำกว่าร้อยละ 90 ตัวเลขในข้อนี้เป็นตัวอย่างข้อเสนอเชิงพาณิชย์ที่คู่สัญญาตกลงกัน มิใช่เกณฑ์ที่กฎหมายกำหนด และควรทดสอบกับข้อมูลเสียงภาษาไทยจริงของผู้ว่าจ้างก่อนกำหนดในสัญญา
- เกณฑ์ความหน่วงการตอบสนอง (Voice Latency SLA): ระยะเวลาตั้งแต่ผู้ใช้พูดจบจนถึงระบบ AI เริ่มตอบกลับ (End-of-Speech to Speech Latency) ต้องไม่เกิน 800-1,200 มิลลิวินาที เพื่อให้การสนทนาเป็นธรรมชาติ ตัวเลขในข้อนี้เป็นตัวอย่างข้อเสนอเชิงพาณิชย์ที่คู่สัญญาตกลงกัน มิใช่เกณฑ์ที่กฎหมายกำหนด และควรทดสอบกับข้อมูลเสียงภาษาไทยจริงของผู้ว่าจ้างก่อนกำหนดในสัญญา
- ระบบส่งต่อสายไปยังเจ้าหน้าที่มนุษย์ (Graceful Escalation & Handover): หากระบบ AI ไม่สามารถเข้าใจคำพูดของลูกค้าติดต่อกันเกิน 2 ครั้ง หรือเมื่อลูกค้าร้องขอคุยกับมนุษย์ ระบบต้องโอนสายไปยัง Call Center มนุษย์ทันทีภายใน 15-30 วินาที ข้อสัญญานี้เป็นแนวปฏิบัติที่ดีเพื่อความโปร่งใส มิใช่หน้าที่ที่กฎหมายกำหนดโดยตรง ตัวเลขในข้อนี้เป็นตัวอย่างข้อเสนอเชิงพาณิชย์ที่คู่สัญญาตกลงกัน มิใช่เกณฑ์ที่กฎหมายกำหนด และควรทดสอบกับข้อมูลเสียงภาษาไทยจริงของผู้ว่าจ้างก่อนกำหนดในสัญญา
- การคัดกรองและปกปิดข้อมูลสำคัญอัตโนมัติ (Automatic PII & PCI Masking): การปกปิดข้อมูลสำคัญก่อนบันทึกเสียงใช้แนวทางเดียวกับบทความ LAS C&C EP30 สำหรับระบบเสียงอัตโนมัติ สัญญาควรกำหนดให้ระบบตรวจจับและตัดเสียง (Bleep / Mask) หมายเลขบัตรเครดิต รหัส CVV และรหัสผ่านก่อนบันทึกเสียงลงฐานข้อมูล
- ระยะเวลาการจัดเก็บและลบทำลายข้อมูลเสียง (Voice Retention & Auto-Purging): ให้กำหนดระยะเวลาเก็บรักษาไฟล์เสียงแยกตามวัตถุประสงค์ (เช่น ควบคุมคุณภาพ พิสูจน์ความยินยอม หรือเป็นพยานหลักฐานในข้อพิพาท) โดยระยะ 90 วันเป็นเพียงตัวอย่างข้อเสนอเชิงพาณิชย์ มิใช่เกณฑ์ตามกฎหมาย และต้องเทียบกับอายุความและกฎเกณฑ์ของหน่วยงานกำกับดูแลของผู้ว่าจ้างก่อนกำหนด ส่วนหน้าที่ลบหรือทำลายไฟล์เสียงเมื่อพ้นกำหนดตามมาตรา 37 (3) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 และอายุความทั่วไปสิบปีตามประมวลกฎหมายแพ่งและพาณิชย์ มาตรา 193/30 อธิบายไว้ในบทความ LAS C&C EP30
- ความพร้อมใช้งานของระบบโทรคมนาคม (Telephony Uptime SLA 99.95%): โครงสร้างตัวชี้วัดความพร้อมใช้งานและสูตรหักลดค่าบริการ (Service Credits) ใช้แนวทางเดียวกับบทความ LAS C&C EP30 ซึ่งยกตัวอย่างความพร้อมใช้งานไม่ต่ำกว่าร้อยละ 99.9 ต่อเดือน สำหรับระบบเสียงอัตโนมัติและคู่สายสัญญาณ SIP Trunk บนคลาวด์ คู่สัญญาอาจกำหนดตัวเลขสูงกว่านั้น เช่น ร้อยละ 99.95 พร้อมค่าชดเชยตามอัตราส่วนเมื่อระบบล่ม ตัวเลขในข้อนี้เป็นตัวอย่างข้อเสนอเชิงพาณิชย์ที่คู่สัญญาตกลงกัน มิใช่เกณฑ์ที่กฎหมายกำหนด
- การโทรออกอัตโนมัติเพื่อเสนอขายและทวงถามหนี้ (Outbound Call Compliance): กรณีทวงถามหนี้ ผู้ให้บริการที่โทรแทนเจ้าหนี้เข้าข่ายเป็นผู้ทวงถามหนี้ในฐานะผู้รับมอบอำนาจตามมาตรา 3 แห่งพระราชบัญญัติการทวงถามหนี้ พ.ศ. 2558 ผู้ว่าจ้างจึงควรตรวจสถานะการจดทะเบียนประกอบธุรกิจทวงถามหนี้ของผู้ให้บริการตามมาตรา 5 และกำหนดให้สคริปต์ของระบบแจ้งชื่อหน่วยงานของตนและของเจ้าหนี้ รวมทั้งจำนวนหนี้ตามมาตรา 9 (4) ระบบต้องไม่โทรออกนอกช่วงเวลาตามมาตรา 9 (2) คือวันจันทร์ถึงวันศุกร์ เวลา 08.00 นาฬิกา ถึง 20.00 นาฬิกา และวันหยุดราชการ เวลา 08.00 นาฬิกา ถึง 18.00 นาฬิกา เว้นแต่เป็นการติดต่อในช่วงเวลาอื่นตามหลักเกณฑ์ที่คณะกรรมการกำกับการทวงถามหนี้ประกาศกำหนด และต้องติดตั้งตรรกะจำกัดการติดต่อลูกหนี้ไม่เกินหนึ่งครั้งต่อวันสำหรับลูกหนี้แต่ละราย ตามประกาศคณะกรรมการกำกับการทวงถามหนี้ที่ออกตามมาตรา 9 (3) ส่วนการโทรเสนอขายสินค้าหรือบริการให้ตรวจสอบหลักเกณฑ์ของหน่วยงานกำกับดูแลที่เกี่ยวข้องแยกต่างหาก [ต้องยืนยันแหล่งที่มา] และเมื่อเป็นการตลาดแบบตรง ต้องเปิดช่องทางให้เจ้าของข้อมูลส่วนบุคคลใช้สิทธิคัดค้านตามมาตรา 32 (2) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562
- การชดใช้ความเสียหายกรณีข้อมูลรั่วไหล (Data Breach Indemnification): หากระบบคลาวด์ของผู้ให้บริการถูกเจาะและไฟล์เสียงลูกค้ารั่วไหล สัญญาต้องกำหนดให้ผู้ให้บริการแจ้งเหตุการละเมิดข้อมูลส่วนบุคคลแก่ผู้ว่าจ้างตามมาตรา 40 (2) ภายในกรอบเวลาที่ผู้ว่าจ้างยังแจ้งสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลได้ทันภายในเจ็ดสิบสองชั่วโมงตามมาตรา 37 (4) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 (ตามแนวทางเดียวกับบทความ LAS C&C EP30 ซึ่งเสนอให้แจ้งโดยทันทีและภายในระยะเวลาที่สั้นกว่า 72 ชั่วโมงอย่างมีนัยสำคัญ) และให้ผู้ให้บริการชดใช้ค่าใช้จ่ายในการแจ้งเหตุและค่าเสียหายที่เกิดจากความผิดของตน ส่วนค่าปรับทางปกครองให้ใช้ถ้อยคำเฉพาะส่วนที่เกิดจากการฝ่าฝืนของผู้ให้บริการ เพราะข้อสัญญาที่ให้อีกฝ่ายรับภาระค่าปรับซึ่งเกิดจากความผิดของผู้ว่าจ้างเองอาจถูกโต้แย้งว่าขัดต่อความสงบเรียบร้อยหรือศีลธรรมอันดีของประชาชนและเป็นโมฆะตามมาตรา 150 แห่งประมวลกฎหมายแพ่งและพาณิชย์ ประเด็นนี้เป็นข้อวิเคราะห์ที่ควรพิจารณาเป็นรายกรณี นอกจากนี้ ผู้ควบคุมข้อมูลส่วนบุคคลและผู้ประมวลผลข้อมูลส่วนบุคคลต้องรับผิดทางแพ่งต่อเจ้าของข้อมูลส่วนบุคคลโดยตรงตามมาตรา 77
เปรียบเทียบการบันทึกเสียงสนทนาทั่วไปกับการประมวลผลข้อมูลชีวภาพจากเสียงด้วยระบบปัญญาประดิษฐ์
| มิติทางกฎหมายตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล | การบันทึกเสียงทั่วไป (Voice Call Recording) | การใช้อัตลักษณ์เสียง AI (Voiceprint Biometrics) |
|---|---|---|
| ประเภทข้อมูลส่วนบุคคล | ข้อมูลส่วนบุคคลทั่วไป (Personal Data) ซึ่งเก็บรวบรวมตามหลักความยินยอมหรือข้อยกเว้นในมาตรา 24 และต้องแจ้งรายละเอียดตามมาตรา 23 | ข้อมูลชีวภาพตามมาตรา 26 วรรคสอง เมื่อนำเสียงมาสร้างแม่แบบเพื่อยืนยันตัวตน ซึ่งจัดเป็นข้อมูลส่วนบุคคลอ่อนไหว (Sensitive Data) ตามมาตรา 26 |
| ฐานการประมวลผล | ลูกค้าที่เป็นคู่สัญญาอาจอาศัยฐานสัญญาตามมาตรา 24 (3) หรือฐานประโยชน์โดยชอบด้วยกฎหมายตามมาตรา 24 (5) ตามวัตถุประสงค์ที่แจ้งไว้จริง ส่วนบุคคลที่ยังไม่เป็นลูกค้าต้องพิจารณาฐานตามข้อเท็จจริง และเจ้าของข้อมูลส่วนบุคคลมีสิทธิคัดค้านการตลาดแบบตรงตามมาตรา 32 (2) | ต้องได้รับความยินยอมโดยชัดแจ้ง (Explicit Consent) เว้นแต่เข้าข้อยกเว้นตามมาตรา 26 วรรคหนึ่ง และการขอความยินยอมต้องเป็นไปตามมาตรา 19 |
| ผลกระทบเมื่อเกิดข้อมูลรั่ว | ทราบเนื้อหาการสนทนาและข้อพิพาท | ข้อมูลอัตลักษณ์ทางกายภาพถูกขโมย ไม่สามารถเปลี่ยนได้ |
| มาตรการความปลอดภัย | การจำกัดสิทธิเข้าถึงไฟล์เสียงและการเข้ารหัส | การเข้ารหัสขั้นสูงและการแยกเก็บ Template ข้อมูลดิบ |
อ้างอิง — References
- พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 (มาตรา 19 มาตรา 23 มาตรา 24 มาตรา 26 มาตรา 27 มาตรา 32 มาตรา 37 มาตรา 40 มาตรา 77 มาตรา 79 มาตรา 82 มาตรา 83 และมาตรา 84)
- พระราชบัญญัติการทวงถามหนี้ พ.ศ. 2558 (มาตรา 3 มาตรา 5 มาตรา 8 มาตรา 9 มาตรา 11 มาตรา 27 มาตรา 34 และมาตรา 39 ถึงมาตรา 43)
- ประมวลกฎหมายแพ่งและพาณิชย์ (มาตรา 150 และมาตรา 193/30)
- ประกาศคณะกรรมการกำกับการทวงถามหนี้ที่ออกตามมาตรา 9 (3) ว่าด้วยจำนวนครั้งที่ติดต่อทวงถามหนี้ [ต้องยืนยันแหล่งที่มา]
- Checklist 10 จุดตรวจสัญญาบริการศูนย์บริการลูกค้าและระบบ Contact Center Outsourcing (LAS C&C EP30)
- สำนักงานคณะกรรมการกฤษฎีกา — ระบบสืบค้นกฎหมาย (OCS)
บทความที่เกี่ยวข้อง
ข้อสงวน (Disclaimer): บทความนี้จัดทำโดย Legal Advance Solution Co., Ltd. เพื่อเป็นข้อมูลทั่วไปด้านกฎหมายเท่านั้น ไม่ถือเป็นคำปรึกษากฎหมายเฉพาะกรณี และไม่ก่อให้เกิดความสัมพันธ์ทนาย-ลูกความ กฎหมายอาจมีการเปลี่ยนแปลง กรุณาปรึกษาทนายความที่มีใบอนุญาตก่อนดำเนินการใด ๆ ตามกฎหมาย | LAS Legal Hub — ข้อมูลกฎหมายเพื่อธุรกิจ