วันนี้เราได้ยินคำที่เกี่ยวข้องกับเทคโนโลยีในการให้บริการทางการเงิน ไม่ว่า “ฟินเทค” “พร้อมเพย์” “บิ๊กดาต้า” และล่าสุดก็ “คิวอาร์โค้ด” หนาหูขึ้นเรื่อยๆ ส่วนหนึ่งเพราะธนาคารไทยแทบทุกแห่งกำลังตื่นตัวตื่นเต้นในการต้อนรับเทคโนโลยีใหม่ๆ เพื่อยกระดับการให้บริการลูกค้า ซึ่งก็นับว่าเป็นข่าวดีสำหรับผู้บริโภคทางการเงิน
อย่างไรก็ตาม การใช้เทคโนโลยีทุกประเภทใช่ว่าจะมีแต่ “ข้อดี” อย่างเดียว เพราะก็อย่างที่พูดกันจนฟังคล้ายกำปั้นทุบดินว่า เราจะใช้เทคโนโลยีในทางดีก็ได้ ทางร้ายก็ได้ และบทบาทของรัฐและผู้กำกับดูแลอย่างเช่นธนาคารแห่งประเทศไทย (ธปท.) ก็คือการออกกฎกติกาและบังคับใช้กฎกติกานั้นอย่างรัดกุม ในทางที่คุ้มครองผู้บริโภค แต่ขณะเดียวกันก็ไม่บั่นทอนการคิดค้นนวัตกรรมใหม่ๆ ในภาคการเงิน
ยิ่งสถาบันการเงินเก็บข้อมูลเรามากขึ้นในศตวรรษที่ 21 ยุคซึ่งเทคโนโลยีอยู่รายรอบตัวเราทั้งที่มองเห็นและมองไม่เห็น การคุ้มครอง “ความเป็นส่วนตัว” ยิ่งทวีความสำคัญและท้าทายขึ้นเรื่อยๆ
ในระดับชาติ น่าเสียดายว่าวันนี้เรายังไม่มีกฎหมายคุ้มครองข้อมูลส่วนบุคคล ซึ่งเป็นกฎหมาย “แม่บท” ของการคุ้มครองผู้บริโภค รวมถึงภาคการเงินด้วย
กฎหมายคุ้มครองข้อมูลส่วนบุคคลที่ได้มาตรฐานสากลในวันนี้ จะต้องคุ้มครองเราอย่างน้อยในเรื่องต่อไปนี้
ความยินยอม – บริษัทและสถาบันการเงินจะเก็บ ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลได้ก็ต่อเมื่อได้รับความยินยอมจากปัจเจกบุคคล (ผู้เป็นเจ้าของข้อมูล) แล้วเท่านั้น
(ไม่ใช่มุบมิบ แอบเก็บข้อมูลของเราไปโดยที่ไม่ขออนุญาตก่อน)
วัตถุประสงค์ – บริษัทและสถาบันการเงินจะเก็บ ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลได้เฉพาะในกรณีที่เหมาะสมกับสถานการณ์ และต่อเมื่อได้แจ้งให้ปัจเจกบุคคลรับทราบแล้วว่า ข้อมูลนั้นๆ จะถูกเก็บ ใช้ หรือเปิดเผยด้วยวัตถุประสงค์อะไร
(ไม่ใช่อ้างว่าเก็บเฉพาะข้อมูลที่จำเป็นต่อการทำธุรกรรมทางการเงิน แต่เก็บข้อมูลอื่นๆ อีกมากมาย และลับหลังก็ส่งต่อให้บริษัทในเครือหรือขายต่อให้บริษัทอื่น)
ความสมเหตุสมผล – บริษัทและสถาบันการเงินจะเก็บ ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล เฉพาะสำหรับวัตถุประสงค์ที่เหมาะสม มีเหตุมีผล และไม่เก็บข้อมูลนั้นเกินระยะเวลาที่จำเป็นต่อการบรรลุวัตถุประสงค์นั้นๆ
(ไม่ใช่อ้างว่าเก็บข้อมูลเราเพื่อไปปรับปรุงการให้บริการ แต่เราเลิกเป็นลูกค้าไปแล้วสองปี ธนาคารก็ยังคงมีรายได้จากการขายข้อมูลของเราให้บริษัทต่างๆ โทรมากวนใจขายของไม่รู้จบ)
นอกจากไทยจะยังไม่มีกฎหมายคุ้มครองข้อมูลส่วนบุคคลแล้ว กฎเกณฑ์และแนวปฏิบัติของ ธปท. ในปัจจุบันก็ยังไม่ได้คุ้มครองเราอย่างชัดเจน ครบถ้วนและเพียงพอตามหลักการสากลข้างต้น อีกทั้งยังมิได้กำหนดบทลงโทษใดๆ สำหรับสถาบันการเงินที่ละเมิดแนวปฏิบัติของ ธปท.
ระหว่างเดือนธันวาคม พ.ศ. 2559 ถึงเดือนมกราคม พ.ศ. 2560 คณะวิจัย “การเติบโตของ Fintech กับโอกาสการสร้างเศรษฐกิจที่พัฒนาอย่างทั่วถึง” ภายใต้ทุนสนับสนุนจากมูลนิธิมั่นพัฒนา (อ่านและดาวน์โหลดรายงานได้จากหน้านี้บนเว็บไซต์โครงการ) สำรวจมาตรการคุ้มครองความปลอดภัยและความเป็นส่วนตัวของบริการธนาคารออนไลน์แบบผ่านเว็บไซต์ (E-banking) และผ่านแอพพลิเคชั่น (Mobile Banking) เพื่อเป็นข้อมูลเบื้องต้นแก่ผู้ใช้ทั่วไป
สรุปผลการประเมินโดยสังเขปได้ว่า
1. บริการธนาคารผ่านเว็บไซต์ทุกธนาคารให้ความสำคัญกับการเข้ารหัสการเชื่อมต่อ (Encryption) เห็นได้จากการใช้ใบรับรองและการเข้ารหัสรุ่นล่าสุด อย่างไรก็ตาม บางธนาคารยังไม่ได้คำนึงถึงการป้องกันในกรณีที่กุญแจสาธารณะ (Public Key) รั่วไหลในอนาคต
2. การยืนยันตัวตนของบริการผ่านเว็บไซต์มีความปลอดภัยค่อนข้างดี โดยธนาคารหลายแห่งจะกำหนดให้รหัสผ่านเข้าสู่ระบบมีความซับซ้อนระดับหนึ่ง กล่าวคือ มีความยาวมากกว่า 8 ตัวอักษรและต้องประกอบด้วยตัวพิมพ์ใหญ่และตัวเลข
3. ในการขอรหัสผ่านใหม่ ธนาคารส่วนใหญ่กำหนดให้ลูกค้าต้องยืนยันตัวตนผ่านบัตรเอทีเอ็มของธนาคาร ซึ่งถือว่าเป็นการตรวจสอบอีกขั้นหนึ่ง นอกจากการกรอกข้อมูลส่วนตัวอื่นๆ และหมายเลขโทรศัพท์มือถือ อย่างไรก็ตาม ในกรณีของธนาคารที่ผู้ใช้ต้องไปยืนยันตัวตนที่ธนาคาร แม้จะเป็นวิธีการที่ปลอดภัยที่สุด แต่ก็สร้างความไม่สะดวกให้กับผู้ใช้บริการด้วยเช่นกัน ส่วนธนาคารที่ตรวจสอบตัวตนของผู้ใช้ด้วยคำถามผ่านทางโทรศัพท์ มีข้อกังวลว่าคำถามที่ใช้นั้นอาจจะเป็นข้อมูลที่ไม่เฉพาะเจาะจงมากพอ
4. เกือบทุกธนาคารทั้งบริการผ่านเว็บไซต์และแอพพลิเคชั่นใช้นโยบายส่วนบุคคลเดียวกัน ทุกธนาคารประกาศนโยบายการคุ้มครองข้อมูลส่วนบุคคลไว้ที่เว็บไซต์ แม้จะกล่าวถึงหลักการเก็บข้อมูลส่วนบุคคลพื้นฐาน เช่น ประเภทของข้อมูลที่รวบรวม การเผยแพร่ให้กับบุคคลที่สาม แต่ละธนาคารแสดงรายละเอียดที่เฉพาะเจาะจงต่างกัน เช่น บางธนาคารไม่เพียงแต่อธิบายว่า มีการเก็บข้อมูลส่วนตัว แต่ระบุว่ารวบรวมชื่อ โทรศัพท์ ข้อมูลโซเชียลมีเดีย เป็นต้น หรือบางธนาคารระบุว่า พนักงานระดับใดบ้างที่สามารถเข้าถึงข้อมูลส่วนบุคคลของลูกค้าได้
ธนาคารเกือบทั้งหมดไม่ได้ให้ความสำคัญต่อการแจ้งระยะเวลาของการเก็บข้อมูลส่วนบุคคลของลูกค้า โดยเฉพาะในกรณีที่ผู้ใช้บริการเลิกใช้บริการจากธนาคารไปแล้ว มีเพียงธนาคารแสตนดาร์ดชาร์เตอร์ดที่ระบุว่าจะเก็บไว้เป็นระยะเวลาเท่าใด
ที่น่าเสียดายอย่างยิ่งคือ ไม่มีธนาคารใดประกาศนโยบายว่าลูกค้ามีทางเลือกที่จะ “ไม่ยอม” ให้ธนาคารส่งข้อมูลต่อให้กับบุคคลที่สาม (opt-out)
5. แอพพลิเคชั่นของธนาคารส่วนใหญ่ยินยอมให้มีการใช้ทำรายการโอนเงินเมื่อใช้บริการผ่านเครือข่ายสัญญาณไร้สายได้ แต่มีแนวปฏิบัติที่แตกต่างกันออกไป เช่น บางธนาคารแจ้งเตือนให้ลูกค้าระมัดระวังเป็นพิเศษ เช่น ธนาคารกสิกรไทย บางธนาคารอนุญาตให้ดำเนินการเฉพาะบางรายการ เช่น ธนาคารทหารไทย บางธนาคารไม่มีการแจ้งเตือนพิเศษ เช่น ธนาคารกรุงไทย
6. การยืนยันตัวตนของการใช้บริการผ่านแอพพลิเคชั่นในการเข้าสู่ระบบ ธนาคารส่วนใหญ่เลิกใช้การยืนยันตัวตนด้วยรหัสผ่านแบบใช้ครั้งเดียว (OTP) แต่ใช้รหัส 6 หลักที่ลูกค้าตั้งเอง หลังจากลงทะเบียนเข้าใช้งานครั้งแรกแล้ว ซึ่งผู้ใช้บริการต้องลงทะเบียนหมายเลขโทรศัพท์ นอกจากนี้บางธนาคารเริ่มใช้การยืนยันตัวตนด้วยข้อมูลชีวภาพ (Biometric) ซึ่งธนาคารไม่ให้ข้อมูลเกี่ยวกับวิธีการจัดเก็บลายนิ้วมือของลูกค้า
7. ความรับผิดชอบของธนาคารถูกระบุไว้ในเงื่อนไขการใช้บริการ ทุกธนาคารแจ้งให้ทราบว่าธนาคารจะรับผิดชอบในกรณีใดบ้าง และกรณีใดลูกค้าต้องรับผิดชอบ ซึ่งใจความหลักของเนื้อหาส่วนใหญ่เหมือนกัน ยกตัวอย่างเช่น ธนาคารกรุงศรีอยุธยาระบุว่า
“ในกรณีที่ระบบคอมพิวเตอร์หรือระบบการติดต่อสื่อสารของธนาคาร/บริษัทในเครือ หรือของผู้ใช้บริการหรือของผู้ให้บริการระบบอินเทอร์เน็ต (Internet Service Provider) หรือของผู้ให้บริการเครือข่ายโทรศัพท์เคลื่อนที่ (Mobile Operator) ระบบไฟฟ้า ระบบการติดต่อสื่อสารโทรคมนาคม หรือระบบอื่นใดที่เกี่ยวข้องกับการให้บริการกรุงศรีออนไลน์ชำรุดขัดข้อง อยู่ระหว่างการซ่อมแซม หรือปิดระบบชั่วคราวเพื่อบำรุงรักษา เป็นเหตุให้ผู้ใช้บริการไม่สามารถใช้กรุงศรีออนไลน์ได้ ผู้ใช้บริการตกลงจะไม่ยกเอาเหตุขัดข้องดังกล่าวมาเป็นข้อเรียกร้องให้ธนาคาร/บริษัทในเครือรับผิดชอบแต่ประการใด”
ส่วนธนาคารกสิกรไทยระบุว่า “ธนาคารจะไม่ร่วมรับผิดชอบกับผู้ให้บริการโทรศัพท์มือถือ ในกรณีที่ความผิดพลาดเกิดจากกระบวนการรับ-ส่งข้อมูลผ่านโทรศัพท์มือถือของผู้ให้บริการโทรศัพท์มือถือ”
ข้อความทำนองนี้เป็นการแสดงความรับผิดชอบที่ไม่เพียงพอแม้แต่น้อย เนื่องจากเวลาที่เกิดปัญหาในการใช้บริการ ยากมากที่ผู้ใช้จะรู้ว่าเกิดจากสาเหตุอะไร
ไม่ว่าสาเหตุจะเกิดจากธนาคาร ผู้ให้บริการโทรศัพท์มือถือ หรือผู้ให้บริการเชื่อมต่ออินเทอร์เน็ต ผู้ใช้ก็ไม่ควรต้องรับผิดชอบทั้งสิ้น ธนาคารควรแก้ปัญหาและคืนเงินให้อย่างไร้เงื่อนไข ตามหลักการสากลของการคุ้มครองผู้บริโภค
(อ่านรายละเอียดวิธีประเมิน ผลการประเมิน และสรุปการประเมินได้จากรายงานวิจัยฉบับสมบูณณ์ และอ่านสรุปผลการประเมินแบบย่อได้จากเพจ Sustainable Banking Thailand)
ในยุคที่ฟินเทคเริ่มเข้ามามีบทบาทมากขึ้นเรื่อยๆ ในไทย น่าจะถึงเวลาแล้วที่สถาบันการเงินทุกขนาดจะหันมาให้ความสำคัญกับการคุ้มครองความเป็นส่วนตัว และข้อมูลส่วนบุคคลของลูกค้า มองว่านี่คือ “บรรทัดฐานใหม่” ที่สำคัญและจำเป็นต่อการทำธุรกิจการเงินในศตวรรษที่ 21
ไม่ใช่มองว่ามันเป็น “อุปสรรค” ที่จะทำให้สถาบันการเงินทำงานยากหรือแข่งขันไม่ได้.
