ส่องกฎหมายยุโรป 'ข้อมูลรั่วปรับโหด' GDPR สถิติปรับสูงสุด 3,800 ลบ.

สหภาพยุโรป (EU) ถือเป็นหนึ่งในภูมิภาคที่มีกฎหมายคุ้มครองข้อมูลส่วนบุคคลเข้มงวดที่สุดในโลก ผ่าน General Data Protection Regulation (GDPR) หรือ Regulation (EU) 2016/679 ซึ่งมีผลบังคับใช้ตั้งแต่วันที่ 25 พฤษภาคม 2561 (2018) ครอบคลุมทุกประเทศสมาชิกสหภาพยุโรป และมีการนำหลักการไปใช้ในสหราชอาณาจักรผ่าน UK GDPR ด้วย

หัวใจสำคัญของ GDPR คือการกำหนดมาตรฐานเดียวกันในการคุ้มครองข้อมูลส่วนบุคคลทั่วทั้งยุโรป พร้อมกำหนดหน้าที่ขององค์กรไว้อย่างชัดเจน และให้อำนาจหน่วยงานกำกับดูแลสั่งลงโทษทางปกครองด้วยค่าปรับมูลค่าสูง หากองค์กรละเลยการดูแลข้อมูลของประชาชน

ผู้ควบคุมข้อมูลต้องรับผิดชอบตั้งแต่วันแรก

GDPR กำหนดหน้าที่ของผู้ควบคุมข้อมูลไว้ใน Chapter 4 อย่างละเอียด โดยองค์กรต้องสามารถพิสูจน์ได้ว่าการประมวลผลข้อมูลเป็นไปตามกฎหมาย นอกจากนี้ยังต้องออกแบบระบบโดยคำนึงถึงการคุ้มครองข้อมูลตั้งแต่ต้น เลือกผู้ประมวลผลข้อมูลที่มีมาตรฐาน และทำสัญญาคุ้มครองข้อมูลอย่างชัดเจน มีการจัดทำบันทึกกิจกรรมการประมวลผลข้อมูล และให้ความร่วมมือกับหน่วยงานกำกับดูแลเมื่อมีการตรวจสอบ (Article 31)

"ข้อมูลรั่ว" ไม่ใช่แค่ขอโทษ 

หนึ่งในข้อกำหนดสำคัญของ GDPR คือ เมื่อเกิดเหตุข้อมูลส่วนบุคคลรั่วไหล (Data Breach) องค์กรไม่ได้มีหน้าที่เพียงออกแถลงการณ์หรือกล่าวคำขอโทษเท่านั้น แต่ต้องดำเนินการตามกฎหมายอย่างเคร่งครัด
ได้แก่

• แจ้งหน่วยงานกำกับดูแลภายใน 72 ชั่วโมง ตาม Article 33 หากเหตุการณ์เข้าข่ายการละเมิดข้อมูลส่วนบุคคล
• หากเหตุการณ์มีความเสี่ยงสูงต่อสิทธิและเสรีภาพของเจ้าของข้อมูล ต้อง แจ้งเจ้าของข้อมูลโดยตรง ตาม Article 34 พร้อมอธิบายผลกระทบและแนวทางลดความเสียหาย

GDPR ยังเปิดทางให้ผู้ได้รับผลกระทบสามารถเรียกร้องค่าเสียหายจากองค์กรได้โดยตรงตาม Article 82 หากพิสูจน์ได้ว่าได้รับความเสียหายทั้งในด้านทรัพย์สินหรือความเสียหายทางจิตใจจากการละเมิดข้อมูลส่วนบุคคล ผู้ควบคุมข้อมูลหรือผู้ประมวลผลข้อมูลอาจต้องรับผิดชดใช้ เว้นแต่จะพิสูจน์ได้ว่าไม่มีส่วนเกี่ยวข้องกับเหตุละเมิดดังกล่าว

รักษาข้อมูลไม่เพียงพอ เจอโทษปรับหนัก

แม้องค์กรจะรีบแจ้งเหตุหรือออกมาขอโทษ แต่หากตรวจสอบพบว่าไม่มีมาตรการรักษาความปลอดภัยที่เพียงพอ ก็ยังอาจถูกลงโทษทางปกครองตาม Article 83 โดยข้อหาที่พบมากที่สุด ได้แก่

• Article 32 มาตรการรักษาความมั่นคงปลอดภัยของข้อมูลไม่เพียงพอ
• Article 6 ไม่มีฐานทางกฎหมายรองรับการประมวลผลข้อมูล
• Article 33 และ 34 แจ้งเหตุข้อมูลรั่วไหลล่าช้าหรือไม่แจ้งเจ้าของข้อมูล

ตัวอย่างGDPR ปรับโหด 3,800 ล้านบาท

จากฐานข้อมูล GDPR Enforcement Tracker พบว่าหน่วยงานคุ้มครองข้อมูลส่วนบุคคลของเนเธอร์แลนด์ (Dutch Data Protection Authority: Dutch DPA) มีคำสั่งปรับ Ridetech International B.V. ผู้ให้บริการแอปพลิเคชันเรียกรถ Yangoo เป็นเงิน 100 ล้านยูโร เนื่องจากละเมิดกฎหมายคุ้มครองข้อมูลส่วนบุคคลของสหภาพยุโรป (GDPR)

สาเหตุสำคัญคือ บริษัท โอนข้อมูลส่วนบุคคลของผู้ใช้งานไปยังสหพันธรัฐรัสเซีย โดยไม่มีมาตรการคุ้มครองข้อมูลที่เพียงพอตามที่ GDPR กำหนด

เนื่องจากการให้บริการของแอป Yangoo จำเป็นต้องประมวลผลข้อมูลส่วนบุคคล และเซิร์ฟเวอร์ที่ใช้จัดเก็บข้อมูลตั้งอยู่ในประเทศรัสเซีย ซึ่ง สหภาพยุโรปยังไม่ได้ออก "Adequacy Decision" หรือคำรับรองว่าระดับการคุ้มครองข้อมูลของรัสเซียมีมาตรฐานเทียบเท่า EU

ดังนั้น ก่อนการโอนข้อมูล บริษัทจึงต้องจัดให้มี มาตรการคุ้มครองที่เหมาะสม เช่น การใช้ Standard Contractual Clauses (SCCs) ในรูปแบบที่ถูกต้อง พร้อมทั้งต้องรับรองว่าเจ้าของข้อมูลสามารถใช้สิทธิตาม GDPR ได้ มีช่องทางเยียวยาทางกฎหมายที่มีประสิทธิภาพ หากเกิดการละเมิดข้อมูล

อย่างไรก็ตาม Dutch DPA พบว่า Ridetech ไม่ได้จัดให้มีมาตรการดังกล่าวอย่างถูกต้อง บริษัทเข้าใจบทบาทของตนเองผิดโดยถือว่าตนเป็นเพียงผู้ประมวลผลข้อมูล (Processor) ทั้งที่ตามข้อเท็จจริงมีสถานะเป็นผู้ควบคุมข้อมูล (Controller) ทำให้การโอนข้อมูลไปยังรัสเซีย ไม่มีหลักประกันทางกฎหมายเพียงพอ ในการคุ้มครองสิทธิของเจ้าของข้อมูลตามที่ GDPR กำหนด จึงถือเป็นการละเมิดข้อกำหนดเรื่อง การโอนข้อมูลส่วนบุคคลไปยังประเทศที่สาม (International Data Transfers) และนำไปสู่การสั่งปรับ 100 ล้านยูโร

แม้ถูกแฮ็ก ก็ไม่รอดโทษปรับเฉียด 10 ลบ.

สำนักงานคุ้มครองข้อมูลส่วนบุคคลของสเปน (Spanish Data Protection Authority: AEPD) มีคำสั่งปรับ ALÍA GESTIÓN INTEGRAL DE SERVICIOS, S.L. เป็นเงิน 150,000 ยูโร หลังเกิดเหตุ Ransomware Attack ส่งผลให้ข้อมูลส่วนบุคคลของประชาชน 77,027 ราย ได้รับผลกระทบ

จากการสอบสวนพบว่า ผู้โจมตีมีแนวโน้มสามารถขโมยข้อมูลบัญชีผู้ใช้สำหรับเชื่อมต่อ VPN และ ใบรับรองดิจิทัล (Digital Certificate) ก่อนนำมาใช้เข้าถึงเครือข่ายภายในของบริษัทจากระยะไกล (Remote Access) จนนำไปสู่การติดตั้ง Ransomware และการละเมิดข้อมูลส่วนบุคคล

หน่วยงานกำกับดูแลเห็นว่า บริษัทมีมาตรการรักษาความมั่นคงปลอดภัยของข้อมูลไม่เพียงพอ จึงกำหนดโทษปรับ 250,000 ยูโร ตามกฎหมาย GDPR อย่างไรก็ตาม บริษัท ยอมรับความรับผิด และ ชำระค่าปรับโดยทันที ซึ่งเป็นปัจจัยบรรเทาโทษตามกฎหมายของสเปน ทำให้ค่าปรับถูกลดลงเหลือ 150,000 ยูโร

กรณีนี้สะท้อนให้เห็นว่า ภายใต้ GDPR แม้องค์กรจะตกเป็น "ผู้เสียหาย" จากการถูกโจมตีด้วย Ransomware แต่หากหน่วยงานกำกับดูแลพบว่า มาตรการรักษาความปลอดภัยไม่เพียงพอ จนเปิดช่องให้ผู้ไม่หวังดีเข้าถึงระบบได้ องค์กรก็ยังอาจต้องรับผิดและถูกลงโทษทางปกครอง 

บทเรียนจากยุโรป

กรณีศึกษาของยุโรปสะท้อนว่า การคุ้มครองข้อมูลส่วนบุคคลไม่ได้มุ่งเน้นเพียงการลงโทษหลังเกิดเหตุ แต่ให้ความสำคัญกับ การป้องกันล่วงหน้า การบริหารความเสี่ยง และความโปร่งใสในการรับมือเมื่อเกิดเหตุละเมิดข้อมูล

การบังคับใช้ GDPR ตลอดหลายปีที่ผ่านมาแสดงให้เห็นว่า หน่วยงานกำกับดูแลของยุโรปให้ความสำคัญทั้ง "การป้องกัน" ก่อนเกิดเหตุ และ "การรับผิดชอบ" หลังเกิดเหตุ หากองค์กรละเลยหน้าที่ ไม่ว่าจะเป็นการขาดมาตรการรักษาความปลอดภัย หรือการแจ้งเหตุล่าช้า ก็มีโอกาสเผชิญค่าปรับมูลค่าหลายล้านยูโร รวมถึงความรับผิดในการชดเชยความเสียหายแก่เจ้าของข้อมูลด้วย