สภาผู้บริโภคจี้รัฐ อุดช่องโหว่คุ้มครองข้อมูลส่วนบุคคล หลัง ข้อมูลทะเบียนรถหลุด เตือนประชาชนทั้งประเทศเสี่ยงตกเป็นเหยื่อมิจฉาชีพ
จากกรณีการเผยแพร่ ข้อมูลทะเบียนรถหลุด บุคคลสำคัญ อย่างนายกรัฐมนตรี นำไปสู่ข้อกังวลว่าข้อมูลส่วนบุคคลอาจรั่วไหลออกจากระบบของหน่วยงานรัฐ สะท้อนถึงความเปราะบางของการบริหารจัดการข้อมูลส่วนบุคคล และความเสี่ยงที่ข้อมูลของประชาชนอาจถูกนำไปใช้โดยมิจฉาชีพเพื่อหลอกลวงหรือก่ออาชญากรรมทางไซเบอร์ สภาผู้บริโภคเรียกร้องให้หน่วยงานที่เกี่ยวข้องเร่งตรวจสอบข้อเท็จจริง ทบทวนมาตรการรักษาความปลอดภัยของข้อมูล และยกระดับการบังคับใช้กฎหมายคุ้มครองข้อมูลส่วนบุคคลอย่างจริงจัง เพื่อป้องกันไม่ให้เกิดเหตุซ้ำกับประชาชน
ดร.อุดมธิปก ไพรเกษตร อนุกรรมการด้านการสื่อสาร โทรคมนาคม และเทคโนโลยีสารสนเทศ สภาผู้บริโภค กล่าวว่า ข้อมูลทะเบียนรถรั่วไหล ย่อมไม่ได้หมายถึงเพียงหมายเลขทะเบียนเท่านั้น แต่ยังอาจเชื่อมโยงไปถึงข้อมูลของเจ้าของรถที่หน่วยงานรัฐจัดเก็บไว้ เช่น ชื่อ ที่อยู่ เลขประจำตัวประชาชน รวมถึงข้อมูลอื่นที่เชื่อมโยงกับฐานข้อมูลภาครัฐ ซึ่งล้วนเป็นข้อมูลส่วนบุคคลที่กฎหมายกำหนดให้หน่วยงานของรัฐต้องดูแลรักษาอย่างปลอดภัย
“คำถามสำคัญไม่ใช่เพียงข้อมูลหลุดได้อย่างไร แต่คือหน่วยงานรัฐได้ปฏิบัติตามมาตรฐานการคุ้มครองข้อมูลส่วนบุคคลอย่างครบถ้วนหรือไม่ โดยเฉพาะเมื่อมีการว่าจ้างเอกชนพัฒนาระบบ แอปพลิเคชัน หรือซอฟต์แวร์ มีการทำข้อตกลงการประมวลผลข้อมูลส่วนบุคคล (Data Processing Agreement: DPA) ที่กำหนดมาตรการรักษาความปลอดภัยไว้อย่างชัดเจนหรือไม่ รวมถึงมีการควบคุมผู้รับจ้างช่วงและการเข้าถึงข้อมูลอย่างรัดกุมเพียงใด” ดร.อุดมธิปก กล่าว
ชี้ช่องโหว่ใหญ่ หน่วยงานรัฐเมินคุ้มครองข้อมูล
ดร.อุดมธิปก กล่าวว่า แม้พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 (PDPA) กำหนดให้หน่วยงานของรัฐที่ประมวลผลข้อมูลจำนวนมากต้องแต่งตั้งเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล (Data Protection Officer: DPO) แต่กฎหมายไทยยังมีช่องว่างสำคัญ เมื่อไม่ได้กำหนดให้หน่วยงานของรัฐต้องจัดทำการประเมินผลกระทบด้านการคุ้มครองข้อมูลส่วนบุคคล (Data Protection Impact Assessment: DPIA) แต่ต่างจากกฎหมายคุ้มครองข้อมูลส่วนบุคคลของสหภาพยุโรป (GDPR) ซึ่งกำหนดให้ต้องประเมินความเสี่ยงล่วงหน้า วางมาตรการป้องกัน และเตรียมแผนรับมือเมื่อเกิดเหตุข้อมูลรั่วไหล
“เมื่อไม่มีการประเมินความเสี่ยงตั้งแต่ต้น ช่องโหว่ในการออกแบบระบบ การบริหารจัดการข้อมูล และการว่าจ้างผู้รับจ้างภายนอกก็อาจถูกมองข้าม ส่งผลให้ข้อมูลจำนวนมากที่จัดเก็บไว้ในโครงการต่าง ๆ โดยเฉพาะโครงการในอดีตที่ยังไม่ได้ทบทวนหรือปิดระบบอย่างเหมาะสม กลายเป็นความเสี่ยงต่อการรั่วไหลของข้อมูลส่วนบุคคล” ดร.อุดมธิปก ระบุ
รื้อระบบจัดซื้อจ้าง เพิ่มมาตรการปกป้อง
นอกจากนี้ เห็นควรให้ทบทวนโครงการของหน่วยงานรัฐที่มีการเก็บข้อมูลส่วนบุคคลจำนวนมากว่า มีการลบหรือทำลายข้อมูลเมื่อสิ้นสุดโครงการแล้วหรือไม่ รวมทั้งกำหนดมาตรฐานด้านความปลอดภัยและเทคโนโลยีที่ผู้รับจ้างทุกระดับต้องปฏิบัติอย่างเคร่งครัด เพื่อไม่ให้ข้อมูลถูกนำไปใช้เพื่อประโยชน์อื่นนอกเหนือจากวัตถุประสงค์ของหน่วยงาน
ดร.อุดมธิปก เสนอว่า รัฐบาลควรมอบหมายให้กรมบัญชีกลางกำหนดเงื่อนไขการจัดซื้อจัดจ้างของภาครัฐใหม่ สำหรับโครงการที่เกี่ยวข้องกับข้อมูลส่วนบุคคล โดยกำหนดให้ต้องจัดทำสัญญาข้อตกลงการประมวลผลข้อมูลส่วนบุคคล หรือ Data Processing Agreement (DPA) ทุกโครงการ กำหนดมาตรการรักษาความปลอดภัยของข้อมูลอย่างชัดเจน ห้ามผู้รับจ้างนำข้อมูลไปใช้ประโยชน์อื่น และผลักดันให้สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (สคส.) ออกหลักเกณฑ์การประเมินผลกระทบด้านการคุ้มครองข้อมูลส่วนบุคคล หรือ Data Protection Impact Assessment (DPIA) สำหรับหน่วยงานของรัฐ เพื่อยกระดับมาตรฐานการคุ้มครองข้อมูลให้เทียบเท่าสากล
“ข้อมูลส่วนบุคคลรั่วไหลไม่ใช่เรื่องใหม่ แต่สิ่งสำคัญคือจะทำอย่างไรไม่ให้เกิดซ้ำอีก หากแม้แต่ข้อมูลของบุคคลระดับนายกรัฐมนตรีหรือรัฐมนตรีก็ยังสร้างความกังวลได้ ยิ่งสะท้อนว่าประชาชนทั่วไปก็มีความเสี่ยงไม่ต่างกัน หน่วยงานรัฐต้องให้ความสำคัญกับการคุ้มครองข้อมูลส่วนบุคคลอย่างจริงจัง และต้องมีความรับผิดชอบเมื่อเกิดความเสียหาย” ดร.อุดมธิปก กล่าว
แนะนำประชาชนร้องเรียนหน่วยรัฐ
สำหรับประชาชน ดร.อุดมธิปก แนะนำให้เพิ่มความระมัดระวังในการใช้ข้อมูลส่วนบุคคล หากได้รับการติดต่อจากผู้ที่อ้างว่าเป็นหน่วยงานรัฐ ธนาคาร หรือหน่วยงานต่าง ๆ ควรตรวจสอบตัวตนทุกครั้ง ไม่กดลิงก์จากผู้ส่งที่ไม่รู้จัก และไม่เปิดเผยข้อมูลส่วนบุคคลผ่านช่องทางที่ไม่น่าเชื่อถือ หากกังวลว่าข้อมูลอาจรั่วไหล ควรพิจารณาเปลี่ยนหมายเลขโทรศัพท์หรืออีเมลที่ใช้รับบริการสำคัญ รวมทั้งติดตามความเคลื่อนไหวของบัญชีผู้ใช้งานและธุรกรรมทางการเงินอย่างใกล้ชิด
หากพบความผิดปกติหรือสงสัยว่าข้อมูลถูกนำไปใช้โดยมิชอบ ควรร้องเรียนต่อสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (สคส.) และแจ้งหน่วยงานเจ้าของข้อมูลให้ตรวจสอบและพิสูจน์ข้อเท็จจริงโดยเร็ว
