5 ปี ข้อมูลประชาชนรั่วไหล ใครต้องรับผิดชอบ ! ถึงเวลาปฏิรูประบบคุ้มครองข้อมูลของชาติ

เมื่อวันที่ 6 ส.ค.2569 ผศ.ดร.นพดล กรรณิกา อาจารย์ประจำหลักสูตรปริญญาโท คณะรัฐประศาสนศาสตร์และที่ปรึกษาคณะดิจิทัล วิทยาลัยเทคโนโลยีสยาม กรรมการนโยบายตำรวจแห่งชาติ (ก.ต.ช.) และอดีตที่ปรึกษาผู้ตรวจการแผ่นดิน ได้เผยแพร่บทความ โดยมีเนื้อหา ดังนี้ "สวัสดียามเช้าของวันที่ 6 สิงหาคม พ.ศ.2569 

เกือบทุกคนในประเทศไทยเคยได้ยินข่าว "ข้อมูลส่วนบุคคลรั่วไหล" แต่สิ่งที่น่ากังวลยิ่งกว่าข้อมูลรั่วไหล คือ สังคมเริ่มชินกับการรั่วไหล ผมขอเสนอร่างบทความที่เน้นการวิเคราะห์เชิงนโยบาย ไม่กล่าวหาบุคคลหรือหน่วยงานใดโดยไม่มีหลักฐาน แต่ชี้ให้เห็นปัญหาเชิงระบบและแนวทางแก้ไขที่เป็นรูปธรรม ดังนี้

ข้อมูลประชาชนรั่วไหล ไม่ได้เสียหายแค่ข้อมูล แต่เสียหายต่อความมั่นคงและความเชื่อมั่นของชาติ

ถ้าวันหนึ่ง...คนร้ายรู้จักประชาชนดีกว่ารัฐบาล

ลองจินตนาการดูกันครับว่า...คุณไม่ได้กดลิงก์หลอกลวง ไม่ได้บอกรหัสผ่าน ไม่ได้ให้ OTP กับใคร แต่กลับมีคนรู้ชื่อ-นามสกุล เลขบัตรประชาชน เบอร์โทรศัพท์ ที่อยู่ ประวัติการทำธุรกรรม หรือแม้แต่ข้อมูลสุขภาพของคุณ จากนั้นข้อมูลเหล่านี้ถูกนำไปหลอกลวง เปิดบัญชีม้า ปลอมแปลงตัวตน กู้เงิน ฟอกเงิน หรือก่ออาชญากรรมในชื่อของคุณ นี่ไม่ใช่เรื่องสมมติอีกต่อไป นี่คือความเสี่ยงที่คนไทยจำนวนมากต้องเผชิญมาตลอดหลายปีที่ผ่านมา

และคำถามสำคัญที่สุดจึงไม่ใช่ว่า "ข้อมูลรั่วอีกแล้วหรือ?" แต่คือ "เหตุใดประเทศไทยจึงยังปล่อยให้เหตุการณ์ลักษณะนี้เกิดขึ้นซ้ำแล้วซ้ำเล่า"

ตลอดช่วงประมาณ 5 ปีที่ผ่านมา ประเทศไทยเผชิญเหตุการณ์ข้อมูลส่วนบุคคลรั่วไหลหลายกรณี ทั้งในภาครัฐ ภาคเอกชน และจากการโจมตีทางไซเบอร์ แม้สาเหตุของแต่ละเหตุการณ์จะแตกต่างกัน แต่เมื่อมองภาพรวมกลับพบรูปแบบที่คล้ายกันอย่างน่ากังวล นั่นคือ ปัญหาไม่ได้อยู่ที่ "คนคนเดียว" หากแต่อยู่ที่ "ระบบ" ที่ยังมีช่องโหว่ทั้งด้านการกำกับดูแล เทคโนโลยี การบริหารจัดการ และวัฒนธรรมการคุ้มครองข้อมูล

การเกิดเหตุซ้ำหลายครั้ง จึงเป็นสัญญาณเตือนว่า ประเทศไทยกำลังเผชิญ "ปัญหาเชิงระบบ (Systemic Risk)" ซึ่งต้องแก้ด้วย "การปฏิรูประบบ (System Reform)" ไม่ใช่เพียงการแก้ไขเป็นรายกรณี

ผมมองประเด็นนี้เช่นนี้ ไม่ใช่เพราะติดตามข่าวเพียงอย่างเดียว แต่เพราะครั้งหนึ่งผมเคยมีโอกาสศึกษาด้าน ความปลอดภัยทางไซเบอร์และการจัดการความเสี่ยง (Cybersecurity Risk Management) ที่มหาวิทยาลัยจอร์จทาวน์ กรุงวอชิงตัน ดี.ซี. ซึ่งทำให้เห็นว่า ในโลกยุคดิจิทัล ความมั่นคงไม่ได้วัดกันเพียงจำนวนไฟร์วอลล์หรือระบบป้องกันการโจมตี แต่ต้องวัดจากความสามารถของทั้งองค์กรในการบริหาร "ความเสี่ยง" ก่อนที่ความเสียหายจะเกิดขึ้น

ต่อมาผมได้ศึกษาด้าน นโยบายและยุทธศาสตร์ (Policy and Strategy Management) ในสถาบันเดียวกัน จึงยิ่งตระหนักว่า ปัญหาที่เกิดซ้ำหลายครั้ง ไม่ว่าจะเป็นด้านความมั่นคง เศรษฐกิจ หรือข้อมูลส่วนบุคคล ล้วนมีลักษณะร่วมกัน คือ หากแก้เพียงปลายเหตุ ปัญหาจะกลับมาอีกในรูปแบบใหม่ แต่หากแก้ที่โครงสร้าง การกำกับดูแล และแรงจูงใจของระบบ โอกาสเกิดเหตุซ้ำจะลดลงอย่างมีนัยสำคัญ

ภายหลังเมื่อได้ศึกษาด้านวิทยาศาสตร์ข้อมูล (Data Science) และระเบียบวิธีวิจัย ที่มหาวิทยาลัยมิชิแกน ผมยิ่งเชื่อมั่นว่า การตัดสินใจเชิงนโยบายที่ดี ไม่ควรตั้งอยู่บนความรู้สึกหรือกระแสข่าวเพียงชั่วคราว แต่ต้องตั้งอยู่บนข้อมูล หลักฐาน และบทเรียนที่สะสมจากเหตุการณ์ที่ผ่านมา เพราะข้อมูลไม่ได้มีไว้เพียงอธิบายสิ่งที่เกิดขึ้นแล้ว หากยังช่วยคาดการณ์ความเสี่ยง และออกแบบมาตรการป้องกันก่อนที่ความเสียหายครั้งใหม่จะเกิดขึ้น

ด้วยเหตุนี้ ผมจึงเชื่อว่า เหตุการณ์ข้อมูลส่วนบุคคลรั่วไหลที่ประเทศไทยเผชิญมาตลอดหลายปีที่ผ่านมา ไม่ควรถูกมองเป็นเพียงเหตุการณ์เฉพาะครั้ง หากควรถูกใช้เป็นโอกาสในการปฏิรูประบบการคุ้มครองข้อมูลของประเทศทั้งระบบ เพื่อให้ประเทศไทยก้าวสู่มาตรฐานที่ประชาชนสามารถเชื่อมั่นได้อย่างแท้จริง

ปัญหาไม่ได้เกิดจากผู้ใดผู้หนึ่ง แต่เกิดจากหลายส่วนที่ต้องร่วมกันรับผิดชอบ

หากวิเคราะห์ตามหลักการกำกับดูแลข้อมูลส่วนบุคคล จะพบว่าการคุ้มครองข้อมูลไม่ใช่หน้าที่ขององค์กรใดองค์กรหนึ่ง แต่เป็นความรับผิดชอบร่วมของหลายฝ่าย ได้แก่

1) ผู้ควบคุมข้อมูลส่วนบุคคล (Data Controller) ผู้กำหนดวัตถุประสงค์และวิธีการใช้ข้อมูล ต้องออกแบบระบบให้ปลอดภัยตั้งแต่ต้น (Privacy by Design) ประเมินความเสี่ยง กำกับดูแลผู้รับจ้าง และเตรียมแผนรับมือเมื่อเกิดเหตุ

2) ผู้ประมวลผลข้อมูลส่วนบุคคล (Data Processor) ผู้รับจ้างหรือผู้ให้บริการที่เข้าถึงข้อมูล ต้องปฏิบัติตามมาตรฐานความมั่นคงปลอดภัยอย่างเคร่งครัด ไม่ใช้ข้อมูลเกินวัตถุประสงค์ และต้องแจ้งเหตุเมื่อพบความผิดปกติ

3) ผู้กำกับดูแลและคุ้มครองข้อมูลส่วนบุคคล หน่วยงานกำกับดูแลมีบทบาทในการกำหนดมาตรฐาน ออกแนวปฏิบัติ ส่งเสริมการปฏิบัติตามกฎหมาย ตรวจสอบข้อร้องเรียน และบังคับใช้กฎหมายอย่างมีประสิทธิภาพ

4) ผู้พัฒนาและผู้ดูแลระบบเทคโนโลยี ความมั่นคงปลอดภัยไซเบอร์ไม่ใช่เพียงการติดตั้งโปรแกรมป้องกันไวรัส แต่ต้องมีการออกแบบสถาปัตยกรรมความปลอดภัย การเข้ารหัสข้อมูล การบริหารสิทธิ์ผู้ใช้งาน การบันทึกเหตุการณ์ และการทดสอบช่องโหว่อย่างต่อเนื่อง

5) ผู้บริหารองค์กร การคุ้มครองข้อมูลต้องเป็นวาระของผู้บริหาร ไม่ใช่ภาระของฝ่ายไอทีเพียงฝ่ายเดียว เพราะการตัดสินใจด้านงบประมาณ บุคลากร และการกำกับดูแล ล้วนมีผลต่อระดับความปลอดภัยขององค์กร

6) บุคลากรทุกคนในองค์กร เหตุข้อมูลรั่วไหลจำนวนไม่น้อยเกิดจากความผิดพลาดของมนุษย์ เช่น การส่งข้อมูลผิด การตั้งค่าระบบไม่เหมาะสม การใช้รหัสผ่านที่ไม่ปลอดภัย หรือการตกเป็นเหยื่อของฟิชชิง

7) ประชาชน แม้ประชาชนไม่ใช่ต้นเหตุของหลายกรณี แต่การรู้เท่าทันภัยไซเบอร์ การใช้รหัสผ่านที่รัดกุม การเปิดใช้การยืนยันตัวตนหลายปัจจัย และการระมัดระวังการเปิดเผยข้อมูล ย่อมช่วยลดความเสียหายได้

วันนี้...ประชาชนไม่ได้ต้องการคำอธิบายเพียงอย่างเดียว

ทุกครั้งที่เกิดเหตุการณ์ข้อมูลรั่วไหล สิ่งที่ประชาชนได้ยินบ่อยที่สุด คือ "กำลังตรวจสอบ" "อยู่ระหว่างสืบสวน"

"ยังไม่พบผลกระทบ" คำอธิบายเหล่านี้อาจจำเป็นในเชิงข้อเท็จจริงแต่ยังไม่เพียงพอที่จะฟื้นฟูความเชื่อมั่น

สิ่งที่ประชาชนอยากรู้มากกว่า คือ (1) ในอดีตรัฐได้เรียนรู้อะไรจากเหตุการณ์ที่ผ่านมา (2) วันนี้ได้ดำเนินการอะไรแล้วบ้าง (3) ผู้เสียหายได้รับการเยียวยาอย่างไร (4) ระบบใดถูกปรับปรุงแล้ว (5) ใครรับผิดชอบ และ (6) เหตุใดประชาชนจึงควรเชื่อว่าเหตุการณ์เดียวกันจะไม่เกิดขึ้นอีก

ความเชื่อมั่นไม่ได้เกิดจากการแถลงข่าว ครับ แต่เกิดจาก การลงมือทำที่ตรวจสอบได้ วัดผลได้ และเห็นผลได้จริง ถึงเวลาปฏิรูป "ต้นน้ำ" ของปัญหา ประเทศไทยควรเร่งขับเคลื่อนการปฏิรูปอย่างเป็นระบบ ตั้งแต่ต้นน้ำถึงปลายน้ำ ได้แก่

• ปรับปรุงกฎหมายและกฎระเบียบให้ทันต่อภัยคุกคามยุคดิจิทัล ควรศึกษาอย่างลึกซึ้งในกฎหมาย GDPR ของยุโรป
• ยกระดับมาตรฐานความมั่นคงปลอดภัยของทุกหน่วยงานทั้งภาครัฐและเอกชน
• กำหนดมาตรฐานการบริหารความเสี่ยงด้านข้อมูลที่ชัดเจน
• พัฒนาระบบตรวจจับและแจ้งเตือนภัยเชิงรุก
• กำหนดกระบวนการเยียวยาผู้เสียหายที่รวดเร็ว โปร่งใส และเข้าถึงได้
• สร้างวัฒนธรรมองค์กรที่ให้ความสำคัญกับข้อมูลส่วนบุคคล
• พัฒนาทักษะด้าน PDPA และ Cybersecurity ให้กับผู้บริหาร บุคลากร และประชาชนอย่างต่อเนื่อง
• บูรณาการการทำงานระหว่างหน่วยงานด้านข้อมูลส่วนบุคคล ความมั่นคงไซเบอร์ การบังคับใช้กฎหมาย และหน่วยงานกำกับดูแล เพื่อให้การป้องกัน การรับมือ และการฟื้นฟูเป็นระบบเดียวกัน

เมื่อเหตุการณ์เดิมเกิดซ้ำหลายครั้ง คำตอบจึงไม่ใช่การแก้ปัญหาเดิมให้เร็วขึ้น แต่คือการสร้าง "ระบบใหม่" ที่ทำให้ปัญหาเดิมเกิดขึ้นได้ยากกว่าเดิม ประเทศที่ประชาชนเชื่อมั่น...ไม่ใช่ประเทศที่ไม่เคยมีข้อมูลรั่ว

ไม่มีประเทศใดรับประกันได้ว่าจะไม่มีการโจมตีทางไซเบอร์ แต่ประเทศที่ประชาชนไว้วางใจ คือประเทศที่สามารถป้องกันได้ดี ตรวจจับได้เร็ว เปิดเผยข้อเท็จจริงอย่างโปร่งใส รับผิดชอบอย่างตรงไปตรงมา เยียวยาผู้เสียหายอย่างทันท่วงที และเรียนรู้จากทุกเหตุการณ์เพื่อไม่ให้เกิดซ้ำ

เมื่อข้อมูลส่วนบุคคลกลายเป็นทรัพยากรสำคัญของเศรษฐกิจดิจิทัล การคุ้มครองข้อมูลจึงไม่ใช่เพียงเรื่องของเทคโนโลยี แต่คือเรื่องของสิทธิมนุษยชน ความมั่นคงของรัฐ ความสามารถในการแข่งขันของประเทศ และความไว้วางใจของประชาชน

หากเราปกป้องข้อมูลของประชาชนได้ เราก็กำลังปกป้องศักดิ์ศรี สิทธิ เสรีภาพ และอนาคตของประเทศไทยไปพร้อมกัน

ถึงเวลาแล้วที่ทุกภาคส่วนจะร่วมกันเปลี่ยน "วิกฤตข้อมูลรั่ว" ให้เป็น "จุดเริ่มต้นของการปฏิรูประบบคุ้มครองข้อมูลส่วนบุคคลของชาติ เพราะข้อมูลที่สำคัญที่สุด ไม่ใช่ข้อมูลในฐานข้อมูล แต่คือ "ความเชื่อมั่นของประชาชน"

และความเชื่อมั่นนั้น...ไม่ควรรั่วไหลอีกต่อไป

ย้อนรอย 5 ปี ข้อมูลประชาชนรั่วซ้ำ ใครรับผิดชอบ ใครเยียวยา

ตลอดช่วง 5 ปีที่ผ่านมา ประเทศไทยเผชิญเหตุข้อมูลส่วนบุคคลรั่วไหลหลายครั้ง ทั้งจากการโจมตีทางไซเบอร์ ความบกพร่องของระบบ การกำกับดูแลที่ไม่รัดกุม และความผิดพลาดของบุคลากร แม้ภาครัฐเริ่มมีการบังคับใช้กฎหมายและสั่งปรับอย่างจริงจังมากขึ้น แต่ข้อมูลสาธารณะเกี่ยวกับการเยียวยาผู้เสียหาย การจ่ายค่าสินไหม และผลคดีขั้นสุดท้ายยังมีอยู่อย่างจำกัด

บทเรียนสำคัญจาก 5 ปีที่ผ่านมา

ประเทศไทยเริ่มเปลี่ยนจากการเพียง “ตรวจสอบและแจ้งความ” ไปสู่การลงโทษผู้ควบคุมข้อมูลและผู้ประมวลผลข้อมูลที่ละเลยหน้าที่อย่างจริงจังมากขึ้น อย่างไรก็ตาม ค่าปรับไม่ใช่ค่าสินไหมทดแทน เงินค่าปรับเข้าสู่รัฐ ไม่ได้ถูกจ่ายให้ประชาชนผู้เสียหายโดยอัตโนมัติ

คำถามที่ประชาชนยังรอคำตอบจึงไม่ใช่เพียงว่า “องค์กรถูกปรับไปแล้วกี่ล้านบาท” แต่คือ “ประชาชนที่ข้อมูลรั่วได้รับการแจ้งเตือน ปกป้อง และเยียวยาแล้วกี่คน” เพราะความสำเร็จของการคุ้มครองข้อมูลส่วนบุคคล ไม่ควรวัดจากจำนวนข่าวแถลงหรือยอดค่าปรับเท่านั้น แต่ต้องวัดจากความเสียหายที่หยุดได้ ความเสี่ยงที่ลดลง และประชาชนที่ได้รับการเยียวยาอย่างเป็นธรรม