รัฐบาลออนแทรีโอกล่าวเมื่อวันศุกร์ว่าจะเริ่มทยอยนำข้อมูลรับรองดิจิทัลระดับจังหวัดแบบเลือกใช้ได้ออกใช้ พร้อมเสนอร่างกฎหมายที่จะรับประกันสิทธิ์ของผู้อยู่อาศัยในการใช้บัตรประจำตัวจริงเท่านั้นอย่างถาวร ประกาศดังกล่าวมีรายละเอียดทางเทคนิคน้อย แต่ได้ยกชุดคำถามที่สำคัญต่อ ความเป็นส่วนตัวของ Ontario digital ID: ข้อมูลรับรองดิจิทัลจะจัดการข้อมูลอะไรบ้าง ใครสามารถเห็นได้บ้าง และคำสัญญาเรื่องทางเลือกเพียงพอที่จะป้องกันการติดตามหรือไม่
บทความนี้แยกสิ่งที่ยืนยันแล้วออกจากสิ่งที่ยังไม่ทราบ และอธิบายสิ่งที่ควรจับตาเมื่อแผนดำเนินไปข้างหน้า
สิ่งที่ออนแทรีโอประกาศจนถึงขณะนี้
จากรายงานที่มีอยู่ ประกาศดังกล่าวมีสองส่วน ส่วนแรก จังหวัดจะทยอยเปิดตัวข้อมูลรับรองดิจิทัลระดับจังหวัดแบบเลือกใช้ได้เป็นระยะ ส่วนที่สอง จะเสนอร่างกฎหมายที่จะคุ้มครองสิทธิ์ของผู้อยู่อาศัยในการใช้บัตรประจำตัวจริงเท่านั้นอย่างถาวร
นั่นคือขอบเขตของสิ่งที่ได้รับการรายงานต่อสาธารณะจนถึงขณะนี้ บทความต้นทางไม่ได้ระบุว่าข้อมูลรับรองใดจะถูกแปลงเป็นดิจิทัลก่อน แอปหรือระบบใดจะเก็บข้อมูลรับรองเหล่านั้น แต่ละระยะจะยาวนานเท่าใด หรือร่างกฎหมายที่เสนอจะกล่าวถึงข้อมูลอย่างไร ช่องว่างเหล่านี้สำคัญ เพราะผลลัพธ์ด้านความเป็นส่วนตัวมักขึ้นอยู่กับรายละเอียดการออกแบบมากกว่าคำมั่นสัญญาในพาดหัวข่าว
ข้อมูลที่ข้อมูลรับรองดิจิทัลอาจเปิดเผย
บัตรจริงเป็นวัตถุเรียบง่าย คุณยื่นให้ มีคนดู แล้วคุณเก็บคืน ข้อมูลรับรองดิจิทัลทำงานแตกต่างออกไป และความแตกต่างนั้นคือจุดที่คำถามด้านความเป็นส่วนตัวเกิดขึ้น เนื่องจากรายละเอียดของระบบออนแทรีโอยังไม่ได้รับการเผยแพร่ สิ่งต่อไปนี้เป็นคำถามทั่วไปที่ควรถาม ไม่ใช่ข้อกล่าวอ้างเกี่ยวกับวิธีการทำงานของระบบนี้
- มีการแชร์อะไรในการตรวจแต่ละครั้ง? ข้อมูลรับรองที่ออกแบบมาอย่างดีสามารถยืนยันข้อเท็จจริงเพียงข้อเดียว เช่น คุณมีใบขับขี่ที่ถูกต้อง โดยไม่เปิดเผยชื่อเต็ม ที่อยู่ และวันเกิดของคุณ ข้อมูลรับรองที่ออกแบบมาไม่ดีอาจแชร์ทุกอย่างทุกครั้ง
- มีบันทึกการใช้งานหรือไม่? ระบบดิจิทัลสามารถบันทึกได้ว่าข้อมูลรับรองถูกแสดงเมื่อใดและที่ไหน การมีอยู่ของบันทึกนั้น ใครถือครอง และเก็บไว้นานเท่าใดเป็นคำถามด้านความเป็นส่วนตัวที่สำคัญ
- ใครสามารถขอข้อมูลได้? หากธุรกิจ แอป หรือหน่วยงานสามารถขอรายละเอียดข้อมูลรับรองได้ กฎเกี่ยวกับสิ่งที่พวกเขาขอและเก็บได้จะมีผลต่อปริมาณข้อมูลที่สะสมเมื่อเวลาผ่านไป
- ข้อมูลถูกเก็บไว้ที่ไหน? บนอุปกรณ์ส่วนตัว บนเซิร์ฟเวอร์ของรัฐบาล หรือทั้งสองอย่าง แต่ละทางเลือกมีความเสี่ยงต่างกันหากเกิดปัญหา
ยังไม่มีคำตอบใด ๆ ที่ทราบได้ในตอนนี้ สิ่งเหล่านี้เป็นพื้นฐานสำหรับการประเมินแผนเมื่อรายละเอียดปรากฏออกมา
การรับประกันบัตรประจำตัวจริงป้องกันการติดตามได้หรือไม่?
สิทธิ์ตามกฎหมายในการใช้บัตรประจำตัวจริงเป็นมาตรการคุ้มครองที่มีความหมาย หมายความว่าบุคคลที่ไม่สบายใจกับข้อมูลรับรองดิจิทัลไม่สามารถถูกบังคับให้ใช้ได้โดยรัฐบาล อย่างน้อยในหลักการ สิ่งนี้จัดการกับการบังคับ ซึ่งเป็นข้อกังวลจริงสำหรับระบบระบุตัวตนใหม่ใด ๆ
อย่างไรก็ตาม สิทธิ์ในการเลือกไม่ใช้ไม่ได้ตอบคำถามเรื่องการติดตามสำหรับผู้ที่เลือกใช้ด้วยตัวมันเอง ผู้ที่เลือกใช้ทางเลือกดิจิทัลยังคงต้องพึ่งพากฎที่ควบคุมการเก็บรวบรวม การเก็บรักษา และการแบ่งปันข้อมูล การรับประกันคุ้มครองทางเลือก ไม่จำเป็นต้องคุ้มครองข้อมูลของผู้ที่ใช้เวอร์ชันดิจิทัล
ยังมีคำถามเรื่องการขยายขอบเขตหน้าที่ (function creep) ซึ่งระบบที่สร้างขึ้นเพื่อวัตถุประสงค์เดียวค่อย ๆ ได้รับวัตถุประสงค์อื่นเพิ่มขึ้น ข้อมูลรับรองแบบเลือกใช้ได้อาจกลายเป็นเส้นทางที่ง่ายกว่าเมื่อเวลาผ่านไป แม้ทางเลือกบัตรจริงยังคงถูกกฎหมาย หากการตรวจสอบดิจิทัลเร็วขึ้นหรือได้รับการยอมรับกว้างขวางขึ้น แรงกดดันในทางปฏิบัติให้รับมาใช้อาจเพิ่มขึ้นโดยไม่มีข้อบังคับอย่างเป็นทางการ ว่ากฎหมายจัดการกับการเปลี่ยนแปลงทีละน้อยแบบนั้นหรือไม่เป็นสิ่งที่ควรจับตา
ข้อกำหนดด้านการระบุตัวตนยังมีแนวโน้มแพร่ขยายเกินกว่าเคาน์เตอร์ของรัฐบาล การผลักดันให้ตรวจสอบ ID ในบริการออนไลน์ปรากฏให้เห็นแล้วที่อื่น คดีฟ้องร้องของฟลอริดาต่อ Discord เรื่องการตรวจสอบอายุ แสดงให้เห็นว่าความคาดหวังเรื่อง ID สามารถเคลื่อนเข้าสู่แพลตฟอร์มในชีวิตประจำวันได้อย่างไร โดยมีบทลงโทษที่รายงานว่าสูงถึง 150,000 ดอลลาร์ต่อการละเมิดหนึ่งครั้ง คดีนั้นอยู่ในเขตอำนาจอื่นและเป็นประเด็นอื่น แต่แสดงให้เห็นว่าทำไมการออกแบบระบบระบุตัวตนจึงสำคัญเกินกว่าการใช้งานครั้งแรก
สิ่งที่ควรจับตาในร่างกฎหมายที่เสนอ
เมื่อร่างกฎหมายถูกเสนอต่อสภา ข้อความในร่างจะบอกได้มากกว่าประกาศมากนัก ต่อไปนี้คือบทบัญญัติที่เกี่ยวข้องกับความเป็นส่วนตัวมากที่สุด:
- การลดข้อมูลให้เหลือน้อยที่สุด กฎหมายจำกัดการเก็บรวบรวมเฉพาะสิ่งที่จำเป็นสำหรับการตรวจสอบหรือไม่?
- ขีดจำกัดการเก็บรักษา บันทึกการใช้งานถูกห้าม หรือถูกลบหลังจากระยะเวลาที่กำหนดหรือไม่?
- การใช้โดยบุคคลที่สาม บริษัทเอกชนสามารถกำหนดให้ใช้หรือขอข้อมูลรับรองดิจิทัลได้หรือไม่ และพวกเขาเก็บอะไรได้บ้าง?
- ขอบเขตของสิทธิ์ใช้บัตรจริง ครอบคลุมการปฏิสัมพันธ์กับภาคเอกชนตลอดจนบริการของรัฐบาลหรือไม่ และถาวรจริงหรือ?
- การกำกับดูแลและการบังคับใช้ มีการทบทวนโดยอิสระหรือไม่ และมีมาตรการเยียวยาอะไรหากกฎถูกละเมิด?
- กฎสำหรับการขยาย การใช้งานใหม่สำหรับข้อมูลรับรองจะได้รับการอนุมัติอย่างไร และจะต้องมีการอภิปรายสาธารณะหรือไม่?
สิ่งนี้หมายความสำหรับคุณ
สำหรับผู้อยู่อาศัยในออนแทรีโอ ไม่มีอะไรเปลี่ยนแปลงในทันที ข้อมูลรับรองเป็นทางเลือก และร่างกฎหมายที่เสนอมีจุดประสงค์เพื่อให้บัตรประจำตัวจริงยังคงใช้ได้ คุณไม่จำเป็นต้องตัดสินใจตอนนี้
เมื่อทางเลือกดิจิทัลพร้อมใช้งาน แนวทางที่สมเหตุสมผลคือปฏิบัติต่อมันเหมือนการเลือกแบ่งปันข้อมูลอื่น ๆ ศึกษาว่ามันเก็บอะไร ข้อมูลถูกเก็บไว้ที่ไหน และเกิดอะไรขึ้นกับบันทึกการใช้งานก่อนที่คุณจะลงทะเบียน หากรายละเอียดไม่ชัดเจน การเก็บบัตรประจำตัวจริงไว้เป็นทางเลือกที่ชอบด้วยเหตุผล และกฎหมายที่เสนอมีจุดประสงค์เพื่อคุ้มครองทางเลือกนั้น
สำหรับผู้อ่านนอกออนแทรีโอ นี่เป็นตัวอย่างที่มีประโยชน์ว่ารัฐบาลต่าง ๆ กำลังเข้าหาอัตลักษณ์ดิจิทัลอย่างไร และคำถามใดที่ควรถามทุกที่ที่โปรแกรมคล้ายกันปรากฏขึ้น
ประเด็นสำคัญ
- ออนแทรีโอวางแผนทยอยเปิดตัวข้อมูลรับรองดิจิทัลแบบเลือกใช้ได้และกฎหมายที่รับประกันสิทธิ์ในการใช้บัตรจริง
- มีรายละเอียดทางเทคนิคหรือการจัดการข้อมูลเพียงเล็กน้อยที่ได้รับการรายงานจนถึงขณะนี้
- สิทธิ์ในการเลือกไม่ใช้คุ้มครองทางเลือก แต่ไม่ได้จำกัดการติดตามโดยอัตโนมัติสำหรับผู้ที่เลือกใช้
- เมื่อร่างกฎหมายถูกเสนอต่อสภา ให้อ่านส่วนที่เกี่ยวกับการเก็บรวบรวมข้อมูล การเก็บรักษา และการใช้โดยบุคคลที่สาม
- จับตาว่าข้อกำหนดเรื่อง ID แพร่เข้าสู่บริการออนไลน์อย่างไร ดังที่คดี Discord ในฟลอริดาแสดงให้เห็น
ความเป็นส่วนตัวของ Ontario digital ID ในที่สุดจะขึ้นอยู่กับข้อความในร่างกฎหมายและการออกแบบระบบ ตรวจสอบกฎหมายอย่างละเอียดเมื่อถูกเสนอต่อสภา และอ่านเกี่ยวกับวิธีการนำการตรวจสอบ ID มาใช้กับแพลตฟอร์มออนไลน์ เพื่อเข้าใจว่าข้อกำหนดเหล่านี้สามารถขยายเกินกว่าวัตถุประสงค์เดิมได้เร็วเพียงใด
