“โลกออนไลน์” เป็นพื้นที่ที่มีความสำคัญกับคนยุคนี้อย่างมากไม่แพ้โลกในชีวิตจริง ทั้งการพูดคุยสื่อสาร การค้นหาความรู้และความบันเทิงต่างๆ อย่างไรก็ตามเมื่อพื้นที่ออนไลน์เป็นอะไรที่ค่อนข้างเสรีไม่ต้องระบุตัวตน จึงเปิดช่องให้เกิดมิจฉาชีพตั้งแต่การสร้างข่าวปลอม (Fake News) การปลอมแปลงตัวตนเพื่อหลอกเอาทรัพย์สินจากผู้อื่น ไปจนถึงการที่ต้องใช้ทักษะด้านการเขียนโปรแกรมคอมพิวเตอร์เพื่อทำการ “แฮ็ค (Hack)” ทั้งเข้าไปล้วงข้อมูลรวมถึงโจมตีระบบต่างๆ ที่เชื่อมต่อด้วยอินเตอร์เนตจนได้รับความเสียหาย

ด้วยเหตุนี้รัฐบาลประเทศต่างๆ จึงหันมาสนใจ “ความปลอดภัยโลกไซเบอร์ (Cyber Security)” กันอย่างจริงจัง อย่างในประเทศไทย นอกจากจะมี พ.ร.บ.ว่าด้วยการกระทำความผิดเกี่ยวกับคอมพิวเตอร์ ที่บังคับใช้มาตั้งแต่ปี 2550 และแก้ไขเพิ่มเติมในปี 2560 แล้ว เร็วๆ นี้ ยังคาดว่าจะมี พ.ร.บ.การรักษาความมั่นคงปลอดภัยไซเบอร์ ที่อยู่ในระหว่างร่างกฎหมาย อย่างไรก็ตาม (ร่าง) พ.ร.บ.การรักษาความมั่นคงปลอดภัยไซเบอร์ พ.ศ. ... ที่เผยแพร่กันอยู่ขณะนี้ได้ก่อให้เกิดความกังวลใจอยู่มากว่าผู้มีอำนาจอาจนำมาใช้เพื่อจัดการคนที่วิพากษ์วิจารณ์ตน

ที่งานราชดำเนินเสวนา “อันตรายกฎหมายไซเบอร์...?” ณ สมาคมนักข่าวนักหนังสือพิมพ์แห่งประเทศไทย ไพบูลย์อมรภิญโญเกียรติ ผู้ทรงคุณวุฒิคณะกรรมการเตรียมการไซเบอร์แห่งชาติ ตั้งข้อสังเกตถึงปัญหาของร่างกฎหมายฉบับนี้ไว้หลายประเด็น ไล่ตั้งแต่ 1.กฎหมายของไทยเกินเลยไปกว่ามาตรฐานต่างประเทศ โดย (ร่าง) พ.ร.บ.การรักษาความมั่นคงปลอดภัยไซเบอร์ พ.ศ. ...มีต้นแบบมาจาก กฎหมาย Cyber Security Act 2018 ของสิงคโปร์

ซึ่งแม้กฎหมายทั้ง 2 ประเทศจะมีเจตนารมณ์เพื่อปกป้อง “โครงสร้างพื้นฐาน (Infrastructure)” ทางไซเบอร์ที่เกี่ยวข้องกับบริการต่างๆ เช่น ผู้ให้บริการเชื่อมต่ออินเตอร์เนต สถาบันการเงิน หรือผู้ให้บริการสาธารณูปโภคจากการโจมตีของผู้ไม่หวังดีเหมือนกัน แต่ถ้อยคำของกฎหมายไทย กลับรวมไปถึง “เนื้อหา (Content)” ที่ปรากฏบนโลกออนไลน์ด้วย

เช่นใน มาตรา 56 (2) ที่มีคำว่า“ความมั่นคงของรัฐ” กับ “ความสงบเรียบร้อยของประชาชน” ซึ่งจุดนี้สามารถถูกตีความได้อย่างกว้างขวาง ผู้ถืออำนาจรัฐอาจสั่งการให้เลขาธิการคณะกรรมการการรักษาความมั่นคงปลอดภัยไซเบอร์แห่งชาติ (กปช.) ดำเนินการบางอย่างกับเนื้อหาที่ตนเห็นว่าไม่เหมาะสมได้ จึงขอเสนอว่าขอให้เพิ่มคำว่า “ระบบคอมพิวเตอร์” เข้าไปด้วยจะดีกว่าเพื่อให้เกิดความชัดเจนและเป็นไปตามเจตนารมณ์ของการออกกฎหมาย

2.กฎหมายฉบับนี้ให้อำนาจเลขาฯ กปช. ไว้ยิ่งใหญ่มาก กล่าวคือเมื่อ เลขาฯ กปช. มีคำสั่งออกมา บุคคลหรือองค์กรต่างๆ “ไม่สามารถปฏิเสธหรืออุทธรณ์คำสั่งได้” ดังที่ปรากฏใน มาตรา 46 ที่มีข้อความระบุว่า “ไม่อาจยกเอาหน้าที่ตามกฎหมายอื่นหรือตามสัญญามาปฏิเสธการขอข้อมูลดังกล่าวได้” ต่างจากกฎหมายของสิงคโปร์ที่ให้อำนาจผู้ประกอบการปฏิเสธได้หากมีสัญญาเรื่องนโยบายความเป็นส่วนตัวของลูกค้า หรือปฏิเสธคำสั่งได้หากมีเหตุผลที่สมเหตุสมผลพอรวมถึงอุทธรณ์ได้ด้วย แต่หากภาครัฐต้องการข้อมูลนั้นจริงๆ ก็จะมีกระบวนการอื่นในขั้นถัดไป

3.บุคคลหรือผู้ประกอบการอาจถูกเรียกข้อมูลหรือยึดอุปกรณ์อิเล็กทรอนิกส์ไว้ตรวจสอบได้ง่ายมาก ดังที่ปรากฏใน มาตรา 57 ที่ให้อำนาจเลขาฯ กปช. ออกคำสั่งให้หน่วยงานหรือบุคคลต่างๆ ปฏิบัติตามได้เพียงแค่“มีเหตุอันควรสงสัยว่า” ทั้งที่ในการออกกฎหมายอื่นๆ ทั่วไป อำนาจลักษณะนี้จะใช้ได้ก็ต่อเมื่อ “มีเหตุอันเชื่อได้ว่า” ซึ่งข้อความหลังนี้จะมีน้ำหนักและความชัดเจนที่มากกว่า

นอกจากนี้ใน มาตรา 58 ที่ให้อำนาจเลขาฯ กปช. เข้าถึงระบบหรืออุปกรณ์ที่เกี่ยวข้องกับไซเบอร์ซึ่งหน่วยงานหรือบุคคลใดครอบครองอยู่และดำเนินการได้หลายอย่าง เช่นในข้อ (2) ทำสำเนา สกัดคัดกรอง โดยยังใช้ถ้อยคำมีเหตุอันควรสงสัยว่า เช่นเดียวกับมาตรา 57 “โดยที่ไม่ต้องขอหมายศาล” ส่วนในข้อ (4) ที่ให้อำนาจยึดอุปกรณ์ที่เกี่ยวข้องกับไซเบอร์ แม้ข้อนี้จะใช้ถ้อยคำมีเหตุอันเชื่อได้ว่าแต่ก็ยังน่ากังวลเพราะเป็นคำสั่งที่ไม่สามารถอุทธรณ์ได้ จึงเสนอแนะว่า “ควรมีศาลเข้ามาเกี่ยวข้องด้วย” แม้เป็นเรื่องเร่งด่วนอย่างน้อยก็ต้องรายงานให้ศาลรับทราบ

“ผมคิดว่าทุกคน เราอาจจะแชทหาแฟน กิ๊ก หรือใครก็ตาม หรือมีความชอบส่วนตัวแบบแปลกๆ ชอบดูอะไรแปลกๆ เราไม่อยากให้ใครมาเห็นข้อมูลเรา เวลาทุกครั้งที่มีการเรียกข้อมูลไปก็ต้องไม่สบายใจแน่นอนว่าข้อมูลตรงนั้นจะเป็นข้อมูลที่มันเกี่ยวข้องไหม ดังนั้นกฎหมายสิงคโปร์หรือกฎหมายทั่วโลกจะคุ้มครองเรื่องความเป็นส่วนตัว กฎหมายฉบับนี้มันมีความเหลื่อมล้ำกับกฎหมายข้อมูลส่วนบุคคลพอสมควร” ไพบูลย์ ระบุ

เช่นเดียวกับ รศ.คณาธิป ทองรวีวงศ์ผู้อำนวยการสถาบันกฎหมายสื่อดิจิทัล มหาวิทยาลัยเกษมบัณฑิต ที่กล่าวว่า “แม้สิทธิในการแสดงความคิดเห็นและสิทธิในความเป็นส่วนตัวจะสามารถถูกจำกัดได้ด้วยกฎหมายของรัฐ แต่ตามมาตรฐานสากลแล้วต้องมีขอบเขตไม่กว้างเกินไปและมีการตรวจสอบถ่วงดุล” แต่เมื่อมาดูร่างกฎหมายของไทย มาตรา 43 ว่าด้วยอำนาจของ กปช. ในการกำหนดว่าหน่วยงานใดจะถือเป็นโครงสร้างพื้นฐานสำคัญทางสารสนเทศ

ในข้อ (8) ระบุว่า “ด้านอื่นตามที่ กปช. ประกาศกำหนดเพิ่มเติม” ดังนั้นเมื่อเกิดกรณี “มัลแวร์ (Malware)”โปรแกรมคอมพิวเตอร์ที่ถูกสร้างมาเพื่อจุดประสงค์ร้าย (เช่น ไวรัส โทรจัน ฯลฯ) ระบาดในคอมพิวเตอร์ของผู้คนเป็นวงกว้าง “ทุกคนทุกระดับตั้งแต่เจ้าของธุรกิจขนาดใหญ่จนถึงพ่อค้าแม่ค้าออนไลน์รายย่อยๆ สามารถถูกกำหนดให้เป็นโครงสร้างพื้นฐานสำคัญทางสารสนเทศตามกฎหมายนี้ได้ทั้งสิ้น” ทำให้อาจเป็นภาระเกินสมควร

หรือมาตรา 57 - 58 ที่เป็นเรื่องของการ “สอดแนม” ในทางสากลก็อนุญาตให้ทำได้ภายใต้ขอบเขตที่ชัดเจนทั้งตัวบุคคลที่ถูกสอดส่อง ข้อมูลอะไรบ้างที่สามารถเข้าถึงได้ มาตรการที่ใช้ต้องไม่กว้างขวางเกินไป และต้องจำกัดเวลาที่อนุญาตให้ทำได้ เพื่อป้องกันการที่รัฐจะนำไปสอดส่องการแสดงความคิดเห็นของประชาชน นอกจากนี้ยังต้องระวัง “ชิลลิ่ง เอฟเฟค (Chilling Effect)” หรือผลกระทบทางอ้อมของกฎหมายที่แม้จะไม่มีบทลงโทษคนโพสต์ข้อความโจมตีรัฐบาลโดยตรง แต่การสอดแนมอย่างกว้างขวางก็อาจทำให้ผู้คนไม่กล้าวิพากษ์วิจารณ์ผู้มีอำนาจ

“ในอเมริกามีกรณีหน่วยงานรัฐไปตรวจสอบนาย A เพื่อหาข้อเท็จจริงการเลี่ยงภาษี รวมถึงนาย B และนาย C ที่เป็นลูกค้าของนาย A ด้วย ก็เก็บข้อมูลมาทั้งหมดวันแรกดำเนินคดีนาย A ก่อนตามที่ขอหมายศาลไว้ แต่ข้อมูลทั้งหมดยังทำสำเนาเก็บไว้อยู่วันดีคืนดีก็มาไล่ดู คนนั้นเกี่ยวกับเรื่องนี้ คนนี้เกี่ยวกับเรื่องนั้น แต่ศาลสหรัฐบอกว่า1.เจ้าหน้าที่ทำสำเนาข้อมูลกว้างเกินไปคุณจะจัดการนาย A ก็ต้องเอาเฉพาะข้อมูลที่เกี่ยวกับนาย A และ 2.การเก็บข้อมูลไว้เรื่อยๆ และเอามาใช้ดำเนินคดีเรื่องอื่นๆ ภายหลัง ถือว่าไม่สอดคล้องกับหลักสิทธิเสรีภาพ”รศ.คณาธิป ยกตัวอย่าง

ขณะที่มุมมองภาคเอกชน เจษฎา ศิวรักษ์หัวหน้ากลุ่มวิชาการ คณะทำงานความมั่นคงปลอดภัยไซเบอร์ สมาคมโทรคมนาคมแห่งประเทศไทยในพระบรมราชูปถัมภ์ แสดงความกังวลเรื่อง “หน่วยงานรัฐที่จะตั้งมาดูแลเรื่องนี้มีความรู้แค่ไหน? เมื่อเทียบกับภาคเอกชนที่มีประสบการณ์การรับมือการโจมตีทางไซเบอร์กันอยู่บ่อยๆ” ภาคเอกชนต้องเตรียมความพร้อมอยู่แล้วเพราะไม่มีใครอยากเอาชื่อเสียงขององค์กรมาเสี่ยงจากระบบล่ม ดังนั้นหากหน่วยงานของรัฐที่ตั้งขึ้นใหม่เกิดออกกฎระเบียบที่ไม่เหมาะสม ก็อาจกระทบต่อการทำงานของภาคเอกชนได้

อีกด้านหนึ่ง สุรางคณา วายุภาพผู้อำนวยการสำนักงานพัฒนาธุรกรรมทางอิเล็กทรอนิกส์ (ETDA) ชี้แจงประเด็นต่างๆ ที่หลายคนกังวล อาทิ แม้ (ร่าง) พ.ร.บ.การรักษาความมั่นคงปลอดภัยไซเบอร์ พ.ศ. ... จะไม่มีช่องทางให้อุทธรณ์คำสั่งเลขาฯ กปช. แต่เลขาฯ กปช. ในฐานะเป็นเจ้าหน้าที่รัฐ ก็ต้องอยู่ภายใต้กฎหมายอื่น เช่น พ.ร.บ.วิธีปฏิบัติราชการทางปกครอง พ.ศ.2539 ซึ่งผู้ไม่เห็นด้วยกับคำสั่งสามารถร้องเรียนได้ และประมวลกฎหมายอาญามาตรา 157 กรณีการใช้อำนาจโดยมิชอบ แต่โดยส่วนตัวก็อยากให้ใส่ช่องทางอุทธรณ์ไว้เพื่อให้ประชาชนสบายใจ

หรือการใช้อำนาจของ กปช. ที่ไม่ต้องขอหมายศาล เรื่องนี้เข้าใจได้ว่าคนร่างกฎหมายคงเห็นว่าภัยคุกคามทางไซเบอร์เกิดขึ้นอย่างรวดเร็วเพียงเสี้ยววินาที การขอศาลอาจไม่ทันการและทำให้เกิดความเสียหายเป็นวงกว้าง แต่โดยส่วนตัวก็กังวลในประเด็นนี้เช่นกัน ดังนั้นน่าจะไปหาทางแก้ไขวิธีปฏิบัติว่าจะทำอย่างไร รวมถึงคำว่า “ความมั่นคงของรัฐ-ความสงบเรียบร้อยของประชาชน” และคำว่า “มีเหตุอันควรสงสัยว่า-มีเหตุอันเชื่อได้ว่า” เป็นต้น

ทั้งหมดนี้เป็นข้อกังวลของร่างกฎหมายความมั่นคงไซเบอร์ ที่ไม่ว่าในชั้นกฤษฎีกาหรือสภานิติบัญญัติแห่งชาติ (สนช.) ควรนำไปพิจารณาปรับแก้ เพื่อที่กฎหมายจะได้ออกมาสมกับเจตนารมณ์ “ต้องการปกป้องสาธารณูปโภค” อย่างแท้จริงตามหลักสากล มิใช่กลายเป็นเครื่องมือให้ผู้มีอำนาจใช้ปิดกันเสียงวิพากษ์วิจารณ์ของประชาชน!!!