กูรูยกเคสข้อมูลรั่วไหล หน่วยงานไทย ไม่เข้มงวดเท่ายุโรป

กรณีเกิดเหตุข้อมูลรั่วไหลล่าสุด ทั้งข้อมูลเกี่ยวกับสิทธิการรักษาพยาบาลของระบบหมอพร้อม และข้อมูลผู้ใช้บริการ TSD Investor Portal ทำให้เกิดคำถามถึงความปลอดภัยของข้อมูลส่วนบุคคลที่อยู่ในมือของหน่วยงานองค์กรต่างๆ

นายธนารัตน์ กัววัฒนาพันธ์ ประธานเจ้าหน้าที่บริหาร (CEO) ของ DomeCloud ผู้เชี่ยวชาญด้านซอฟต์แวร์และเทคโนโลยี Blockchain ให้ความเห็นกับ ฐานเศรษฐกิจ ว่า สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (สคส.) ในฐานะหน่วยงานกำกับดูแล ควรเข้มงวดกับการบังคับใช้กฎหมายทั้งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 (PDPA) และพระราชบัญญัติว่าด้วยการกระทำความผิดเกี่ยวกับคอมพิวเตอร์ ให้มากขึ้น

โดยเฉพาะ มาตรา 37 ของ พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ที่กำหนดให้ผู้ควบคุมข้อมูลส่วนบุคคลต้องจัดให้มีมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสม เพื่อป้องกันการสูญหาย การเข้าถึง การใช้ การเปลี่ยนแปลง หรือการเปิดเผยข้อมูลส่วนบุคคลโดยไม่ได้รับอนุญาต รวมทั้งต้องทบทวนมาตรการรักษาความปลอดภัยอย่างสม่ำเสมอให้สอดคล้องกับเทคโนโลยีที่เปลี่ยนแปลง 

"แต่เมื่อเกิดเหตุข้อมูลรั่วไหล หน่วยงานกำกับของไทยมักใช้ดุลยพินิจ และหลายครั้งการบังคับใช้กฎหมายดูจะใจดีกับหน่วยงานของรัฐ จึงทำให้มาตรฐานการคุ้มครองข้อมูลส่วนบุคคลของไทยยังไม่เข้มแข็งเท่าที่ควร" นายธนารัตน์กล่าว

กางเคสยุโรป ข้อมูลรั่ว-ลงโทษหนัก

นายธนารัตน์ยกตัวอย่างการบังคับใช้กฎหมายของสหภาพยุโรปภายใต้ General Data Protection Regulation (GDPR) ซึ่งมีการดำเนินการกับทั้งหน่วยงานรัฐและเอกชนอย่างจริงจัง โดยยกกรณีของบริษัท ALÍA GESTIÓN INTEGRAL DE SERVICIOS, S.L. ในประเทศสเปน ที่ถูกสำนักงานคุ้มครองข้อมูลส่วนบุคคลของสเปน (DPA) มีคำสั่งปรับเมื่อวันที่ 20 มีนาคม 2569 (2026) หลังบริษัทตกเป็นเหยื่อการโจมตีด้วย Ransomware ส่งผลให้ข้อมูลส่วนบุคคลของประชาชนกว่า 77,027 ราย ได้รับผลกระทบ

จากการสอบสวนคาดว่าการโจมตีเกิดขึ้นเนื่องจากผู้โจมตีได้เจาะระบบข้อมูลประจำตัวผู้ใช้ VPN และใบรับรองดิจิทัลเพื่อเข้าถึงเครือข่ายภายในจากระยะไกล ค่าปรับเดิม 250,000 ยูโร ถูกลดเหลือ 150,000 ยูโร เนื่องจากบริษัทชำระเงินทันทีและยอมรับความรับผิดชอบ

หน่วยงานกำกับเห็นว่า แม้บริษัทจะตกเป็นผู้เสียหายจากการถูกโจมตีทางไซเบอร์ แต่บริษัทในฐานะผู้ควบคุมข้อมูลส่วนบุคคลยังคงมีหน้าที่ตามกฎหมายที่จะต้องจัดให้มี มาตรการทางเทคนิคและมาตรการเชิงองค์กรที่เหมาะสม เพื่อปกป้องข้อมูลส่วนบุคคล

การที่ผู้โจมตีสามารถเข้าถึงระบบได้สะท้อนว่ามาตรการรักษาความปลอดภัยยังไม่เพียงพอ จึงถือเป็นการฝ่าฝืน GDPR มาตรา 5 (1) (f) ซึ่งกำหนดหลักการด้าน Integrity and Confidentiality หรือการรักษาความถูกต้อง ความลับ และความมั่นคงปลอดภัยของข้อมูลส่วนบุคคล

ยุโรปให้ความสำคัญกับการกำกับดูแลข้อมูลส่วนบุคคลอย่างเข้มงวด

นอกจากนี้ นายธนารัตน์ยังยกอีกกรณีศึกษาจากประเทศอิตาลี ซึ่งสะท้อนให้เห็นว่าหน่วยงานกำกับในยุโรปให้ความสำคัญกับการกำกับดูแลข้อมูลส่วนบุคคลอย่างเข้มงวด แม้ต้นเหตุของการรั่วไหลจะเกิดจากบุคลากรภายในองค์กรก็ตาม

โดยสำนักงานคุ้มครองข้อมูลส่วนบุคคลของอิตาลี (DPA) ได้สั่งปรับบริษัท อินทีซ่า ซานเปาโล สเปน (Intesa Sanpaolo SpA) เป็นจำนวนเงิน 31,800,000 ยูโร เนื่องจากพนักงานรายหนึ่งเข้าถึงข้อมูลทางการเงินของลูกค้า 3,573 ราย ผ่านการเข้าถึง 6,637 ครั้ง ในช่วงเวลา 35 เดือน 

รวมถึงข้อมูลของบุคคลสำคัญ พนักงานคนอื่นๆ และญาติพี่น้อง การเข้าถึงดังกล่าวไม่เกี่ยวข้องกับงานของพนักงานคนนั้นแต่อย่างใด หลังจากตรวจพบการรั่วไหล บริษัทได้แจ้ง DPA โดยระบุว่ามีลูกค้าได้รับผลกระทบเพียง 9 รายเท่านั้น 

หน่วยงาน Garante เห็นว่าบริษัทล้มเหลวในการใช้มาตรการทางเทคนิคและองค์กรที่เหมาะสมเพื่อป้องกันเหตุการณ์ดังกล่าว เนื่องจากขาดมาตรการป้องกันภายในที่ป้องกันไม่ให้พนักงานเข้าถึงข้อมูลที่ไม่จำเป็น นอกจากนี้ บริษัทยังล้มเหลวในการใช้กลไกควบคุมภายในที่เพียงพอ

นายธนารัตน์กล่าวว่า ทั้งกรณีของบริษัท ALÍA ในสเปน และกรณีของ Intesa Sanpaolo ในอิตาลี แสดงให้เห็นว่า หน่วยงานกำกับของยุโรปไม่ได้พิจารณาเพียงว่าองค์กรถูกโจมตีหรือเกิดการกระทำผิดจากบุคคลใดบุคคลหนึ่งเท่านั้น แต่จะพิจารณาว่าองค์กรได้ปฏิบัติตามหน้าที่ในการป้องกันความเสี่ยงอย่างเพียงพอหรือไม่ 

หากองค์กรไม่มีมาตรการรักษาความปลอดภัย การควบคุมสิทธิ์การเข้าถึงข้อมูล หรือระบบตรวจจับความผิดปกติที่เหมาะสม ก็ยังคงต้องรับผิดตามกฎหมาย แม้จะเป็นผู้เสียหายจากการโจมตีทางไซเบอร์หรือการกระทำของพนักงานภายในก็ตาม

"ประเทศไทยเองก็มีกฎหมายที่กำหนดหน้าที่ของผู้ควบคุมข้อมูลไว้อย่างชัดเจน แต่สิ่งสำคัญคือการบังคับใช้กฎหมายอย่างจริงจังและเท่าเทียม หากต้องการสร้างมาตรฐานการคุ้มครองข้อมูลส่วนบุคคลให้เป็นที่เชื่อมั่นในระดับสากล หน่วยงานกำกับควรใช้กฎหมายกับทุกองค์กรอย่างเสมอภาค ไม่ว่าจะเป็นภาครัฐหรือภาคเอกชน" นายธนารัตน์กล่าวปิดท้าย