สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (สคส.) หรือ PDPC เร่งติดตาม 2 กรณีคือ ข้อมูลส่วนบุคคลสำคัญ ทั้งข้อมูลที่เกี่ยวข้องกับสิทธิการรักษาพยาบาล “หมอพร้อม” ได้มีผู้ใช้สิทธิ์ร้องเรียนแล้วกว่า 30 ราย และเหตุข้อมูลผู้ใช้บริการ TSD Investor Portal รั่วไหลประมาณ 2 แสนราย แจ้งหน่วยงานนำส่งข้อเท็จจริงและหลักฐานเพิ่มเติม ย้ำต้องตรวจสอบตั้งแต่ต้นเหตุ ขอบเขตผลกระทบ การแจ้งเหตุ ตลอดจนมาตรการเยียวยาและป้องกันเหตุซ้ำ ก่อนพิจารณาดำเนินการตามกฎหมาย

พ.ต.อ.สุรพงศ์ เปล่งขำ เลขาธิการคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เปิดเผยว่า PDPC ให้ความสำคัญกับทั้ง 2 กรณี เนื่องจากเกี่ยวข้องกับข้อมูลส่วนบุคคลของประชาชนจำนวนมาก และข้อมูลบางประเภทอาจถูกนำไปเชื่อมโยงเพื่อระบุตัวบุคคล ใช้ประกอบการสวมรอย หรือหลอกลวงเจ้าของข้อมูลได้ จึงจำเป็นต้องตรวจสอบให้ได้ข้อเท็จจริงและหลักฐานที่ครบถ้วน ไม่พิจารณาจากคำชี้แจงหรือข้อมูลที่เผยแพร่ต่อสาธารณะเพียงด้านเดียว

สำหรับกรณีข้อมูลที่เกี่ยวข้องกับระบบบริการสุขภาพและสิทธิการรักษาพยาบาล ซึ่งมีการนำเสนอข้อมูลผ่านสื่อมวลชนและมีข้อกังวลจากภาคประชาชนว่าอาจมีข้อมูลส่วนบุคคลถูกเข้าถึงหรือนำไปใช้โดยมิชอบนั้น ปัจจุบันมีเจ้าของข้อมูลใช้สิทธิยื่นเรื่องร้องเรียนต่อ PDPC กรณีที่เกี่ยวข้องกับระบบ “หมอพร้อม” แล้วกว่า 30 ราย PDPC จึงได้ประสานและติดตามการตรวจสอบจากกระทรวงสาธารณสุข (สธ.) พร้อมแจ้งให้นำส่งข้อมูลและหลักฐานเพิ่มเติม เพื่อพิสูจน์ให้ชัดเจนว่าข้อมูลที่เป็นประเด็นมีแหล่งที่มาจากระบบหรือหน่วยงานใด ประกอบด้วยข้อมูลประเภทใด มีเจ้าของข้อมูลจำนวนเท่าใดที่อาจได้รับผลกระทบ รวมถึงมีการเข้าถึง เปิดเผย หรือส่งต่อข้อมูลโดยมิชอบหรือไม่นอกจากนี้

ทั้งนี้ สธ. จะต้องชี้แจงมาตรการรักษาความมั่นคงปลอดภัยของข้อมูล การตรวจสอบช่องโหว่และบันทึกการเข้าถึงระบบ การระงับเหตุและจำกัดผลกระทบ ตลอดจนผลการประเมินความเสี่ยงต่อสิทธิและเสรีภาพของประชาชน เพื่อประกอบการพิจารณาว่าได้ดำเนินการแจ้งเหตุละเมิดข้อมูลส่วนบุคคล รวมถึงแจ้งเจ้าของข้อมูลตามหลักเกณฑ์และระยะเวลาที่กฎหมายกำหนดครบถ้วนแล้วหรือไม่

ส่วนกรณีบริษัท ศูนย์รับฝากหลักทรัพย์ (ประเทศไทย) จำกัด (TSD) ตรวจพบการเข้าถึงข้อมูลส่วนบุคคลของผู้ใช้บริการในระบบ TSD Investor Portal โดยไม่ได้รับอนุญาต ส่งผลกระทบต่อผู้ใช้บริการประมาณ 200,000 ราย จากบัญชีในระบบประมาณ 5 ล้านบัญชี อย่างไรก็ตาม TSD ยืนยันว่า ระบบ TSD Investor Portal แยกออกจากระบบรับฝากหลักทรัพย์และระบบธุรกรรมส่วนหลัง โดยจากการตรวจสอบในขณะนี้ยังไม่พบว่าข้อมูลการถือครองหลักทรัพย์และข้อมูลธุรกรรมซื้อขายหลักทรัพย์ได้รับผลกระทบ รวมถึงยังไม่พบความเสียหายทางการเงินที่เชื่อมโยงกับเหตุการณ์ดังกล่าว

โดยภายหลังตรวจพบเหตุ TSD ระบุว่าได้ดำเนินการปิดกั้นช่องทางการเข้าถึงที่ผิดปกติ ประสานกองบังคับการตำรวจสืบสวนสอบสวนอาชญากรรมทางเทคโนโลยีเพื่อสืบสวนติดตามผู้กระทำผิด แจ้งหน่วยงานกำกับดูแล ตลอดจนประสานบริษัทหลักทรัพย์ ธนาคาร และหน่วยงานที่เกี่ยวข้องให้เพิ่มระดับการเฝ้าระวัง พร้อมส่งอีเมลและข้อความ SMS แจ้งเตือนไปยังผู้ที่ได้รับผลกระทบแล้ว

พ.ต.อ.สุรพงศ์ กล่าวว่า แม้ TSD จะชี้แจงรายละเอียดและมาตรการที่ได้ดำเนินการต่อสาธารณะแล้ว แต่ในกระบวนการกำกับดูแลตามกฎหมาย PDPC ยังจำเป็นต้องตรวจสอบข้อมูลและพยานหลักฐานในเชิงลึก โดยเฉพาะสาเหตุและช่องทางที่ทำให้เกิดการเข้าถึงข้อมูลโดยไม่ได้รับอนุญาต ช่วงเวลาที่เริ่มต้นและสิ้นสุดของเหตุการณ์ ประเภทและจำนวนข้อมูลที่ได้รับผลกระทบ ตลอดจนประสิทธิภาพของมาตรการรักษาความมั่นคงปลอดภัยก่อนและหลังเกิดเหตุ

อย่างไรก็ตามการเกิดเหตุข้อมูลส่วนบุคคลรั่วไหล ไม่ได้หมายความว่าองค์กรนั้นมีความผิดตามกฎหมายโดยอัตโนมัติ การพิจารณาจะต้องอาศัยข้อเท็จจริงและพยานหลักฐานว่า ก่อนเกิดเหตุองค์กรได้จัดให้มีมาตรการป้องกันที่เหมาะสมหรือไม่ สามารถตรวจพบและควบคุมเหตุได้รวดเร็วเพียงใด รวมถึงได้แจ้งเหตุ แจ้งเจ้าของข้อมูล และลดผลกระทบตามหน้าที่ที่กฎหมายกำหนดแล้วหรือไม่

ทั้งนี้หากผลการตรวจสอบพบข้อบกพร่องหรือการดำเนินการที่ไม่เป็นไปตามกฎหมาย PDPC จะพิจารณาดำเนินการตามอำนาจหน้าที่และตามระดับความร้ายแรงของแต่ละกรณี ตั้งแต่การกำหนดมาตรการแก้ไข การสั่งให้ยกระดับมาตรฐานการคุ้มครองข้อมูลส่วนบุคคล ไปจนถึงการดำเนินกระบวนการตามกฎหมาย เพื่อคุ้มครองสิทธิของประชาชนและสร้างมาตรฐานความรับผิดชอบให้กับองค์กรที่เก็บรวบรวมและใช้ข้อมูลส่วนบุคคลจำนวนมาก

“ข้อมูลของประชาชนที่อยู่ในความดูแลของหน่วยงานรัฐหรือภาคเอกชนไม่ใช่เพียงทรัพยากรสำหรับให้บริการ แต่เป็นสิทธิของประชาชนที่องค์กรมีหน้าที่ต้องดูแลอย่างรอบคอบ โดยเฉพาะข้อมูลด้านสุขภาพ ข้อมูลประจำตัว และข้อมูลที่เชื่อมโยงกับบัญชีทางการเงิน ซึ่งหากรั่วไหลออกไปอาจถูกนำไปใช้สร้างความเสียหายได้ในระยะยาว PDPC จึงต้องตรวจสอบทุกกรณีอย่างจริงจัง โปร่งใส และไม่ปล่อยให้คำชี้แจงที่ยังขาดหลักฐานเป็นข้อยุติ” พ.ต.อ.สุรพงศ์ กล่าว