แผนสกัดโจรกรรม'ข้อมูลส่วนบุคคล'! | คมชัดลึก

               "พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล" ? ใครคุ้มครองหรือใคนเอาไปใช้ คนไทยทุกคนเกี่ยวข้องกับร่างกฎหมายฉบับนี้อย่างไร มีหลายฝ่ายพยายามผลักดันมานานกว่า 18 ปี กว่าจะเป็นรูปร่างออกมา 50 มาตรา แต่ดูเหมือนฝ่ายภาคธุรกิจยั้งแอบวางกลเม็ด เพื่อโจรกรรมข้อมูลไปใช้ฟรีๆ !

               วันที่ 6 มกราคม 2558 คณะรัฐมนตรีมีมติเห็นชอบร่าง พ.ร.บ. 8 ฉบับ เกี่ยวกับการก่อตั้ง "กระทรวงดิจิทัลเพื่อเศรษฐกิจและสังคม"  และการจัดระเบียบอาชญากรรมไซเบอร์รูปแบบต่างๆ "พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล" เป็น 1 ใน 8 ร่างกฎหมายที่เสนอในวันนั้น โดยเหตุผลถูกเขียนไว้ในหน้าแรกของร่างกฎหมายสั้นๆ ว่า

               ความก้าวหน้าของเทคโนโลยีสารสนเทศ รวมทั้งระบบสื่อสารทำให้การเก็บรวบรวม การใช้ และการเปิดเผยข้อมูลส่วนบุคคลสามารถทำได้โดยง่าย สะดวก รวดเร็ว นำมาซึ่งความเดือดร้อนรำคาญ หรือความเสียหายในกรณีที่มีการนำไปแสวงหาประโยชน์หรือเปิดเผยโดยไม่ได้รับความยินยอมหรือแจ้งล่วงหน้า แม้ว่ากฎหมายจะคุ้มครองข้อมูลส่วนบุคคลในบางเรื่อง แต่ก็ยังไม่มีหลักเกณฑ์ กลไก หรือมาตรการกำกับดูแลเกี่ยวกับการให้ความคุ้มครองข้อมูลส่วนบุคคล ที่เป็นหลักการทั่วไป จึงจำเป็นต้องตราพระราชบัญญัตินี้

               พร้อมกันนั้น มีการจำกัดความ "ข้อมูลส่วนบุคคล" ว่า เป็นข้อมูลที่ทำให้สามารถระบุตัวบุคคลได้ ไม่ว่า “ทางตรง” หรือ “ทางอ้อม” หากยกตัวอย่างอธิบายให้เป็นรูปธรรม แบ่งได้ 2 ส่วน คือ "ประวัติส่วนตัว" เช่น ประวัติการศึกษา ประวัติการรักษาพยาบาลในโรงพยาบาลต่างๆ ประวัติการทำธุรกรรมทางการเงินในสถาบันการเงิน ธนาคาร ตู้เอทีเอ็ม และประวัติการทำงาน ฯลฯ ส่วนที่ 2 เป็น "ข้อมูลที่มีเฉพาะแต่ละบุคคล" เช่น เลขรหัส เลขบัตรประชาชน ลายพิมพ์นิ้วมือ เสียงบันทึก รูปถ่าย ฯลฯ

               สำหรับหน่วยงานที่จะมากำกับดูแลนั้น ถูกกำหนดให้อยู่ในรูปแบบของ “คณะกรรมการคุ้มครองข้อมูลส่วนบุคคล” เบื้องต้นกำหนดไว้ 9 คน คือ ประธานกรรมการ แต่งตั้งจากผู้มีความรู้ความสามารถเรื่องเทคโนโลยีสารสนเทศ หรือด้านอื่นๆ ที่เกี่ยวข้อง "กรรมการโดยตำแหน่ง" 4 คน ได้แก่ 1.ปลัดกระทรวงดิจิทัลเพื่อเศรษฐกิจและสังคม ซึ่งกระทรวงนี้จะมาแทนที่ "กระทรวงเทคโนโลยีสารสนเทศและการสื่อสาร" หรือ กระทรวงไอซีที คาดว่าตั้งกระทรวงใหม่ได้ไม่เกินปี 2559

               2.ปลัดกระทรวงมหาดไทย 3.ปลัดสำนักนายกรัฐมนตรี และ 4.เลขาธิการสภาความมั่นคงฯ จากนั้นอีก 4 ตำแหน่งมาจาก "กรรมการผู้ทรงคุณวุฒิ" ด้านการคุ้มครองผู้บริโภค ด้านสังคมศาสตร์ ด้านนิติศาสตร์ และด้านเทคโนโลยีสารสนเทศและการสื่อสาร 

               ทั้งนี้ เครือข่ายภาคประชาชนพยายามเรียกร้องให้คณะกรรมการตามกฎหมายฉบับนี้มี ฝ่ายสิทธิเสรีภาพ หรือ ฝ่ายคุ้มครองสิทธิมนุษยชน มีการตั้งกระทู้แพร่กระจายข้อคิดเห็นนี้ ขณะที่ผู้ร่างกฎหมายพยายามอธิบายว่า เป็นส่วนหนึ่งของด้านสังคมศาสตร์อยู่แล้ว นับเป็นประเด็นที่ถูกวิจารณ์อย่างหนัก สรุปคือ ส่วนผสมของคณะกรรมการขาดความหลากหลายและไม่ครบทุกภาคส่วน

               สำหรับประเด็นสำคัญต่อไปที่ถูกจับตามอง คือ “ผู้ควบคุมข้อมูลส่วนบุคคล” ถือเป็นศัพท์คำใหม่ที่ยังไม่ค่อยเป็นที่คุ้นเคยกันนัก หากอ่านจากนิยามที่ระบุไว้คือ ผู้ซึ่งมีอำนาจหน้าที่ตัดสินใจเกี่ยวกับการบริหารจัดการข้อมูลส่วนบุคคล ซึ่งรวมถึงการเก็บรวบรวม การใช้ และการเปิดเผยข้อมูลส่วนบุคคล

               เมื่อสอบถามไปยังผู้เชี่ยวชาญในทีมร่างกฎหมายข้างต้น ได้รับคำอธิบายเพิ่มเติมว่า ปกติชีวิตประจำวันของคนไทยนั้น จะมีการติดต่อหรือทำธุรกรรมด้านการค้าและการบริการอยู่ตลอดเวลา คนส่วนใหญ่ไม่รู้ตัวว่าพฤติกรรมการใช้ชีวิตของพวกเขาถูกบันทึกไว้หมดแล้ว เช่น การสมัครสมาชิกบัตรซูเปอร์มาร์เก็ต โดยหวังจะได้คูปองส่วนลดพิเศษ หรือ สิทธิในการซื้อสินค้าราคาถูกบางรายการ หลังจากผู้บริโภคเลือกสินค้าแล้วไปชำระเงิน ทุกครั้งพนักงานจะถามหมายเลขสมาชิก เพื่อยืนยันตัวตนก่อนให้ส่วนลดพิเศษ จากนั้นรายการสินค้าที่ซื้อทั้งหมดถูกบันทึกไว้ แล้วเอาไปประมวลขายให้แก่ผู้ผลิตสินค้า ฝ่ายโฆษณาหรือกลุ่มธุรกิจที่ต้องการข้อมูลพฤติกรรมผู้บริโภค ยกตัวอย่างเช่น

               "ยศวดี" เพศหญิง วัย 40 ปี อาศัยอยู่กรุงเทพฯ รายได้เดือนละ 2 หมื่นบาท ซื้อสบู่เหลวยี่ห้อ เอ แบบมีกลิ่นชาเขียว ขนาดเล็ก ซื้อกาแฟผงสำเร็จรูปยี่ห้อ บี ขนาดกลาง ซื้อกระดาษชำระยี่ห้อ ซี ขนาดใหญ่ ฯลฯ ยศวดีมาซื้อของอย่างน้อยเดือนละ 2 ครั้ง ฯลฯ

               ข้อมูลข้างต้นถูก “ผู้ควบคุมข้อมูลส่วนบุคคล” ของซูเปอร์มาร์เก็ตแห่งนี้รวบรวมไว้ ในหลายประเทศห้ามเปิดเผยห้ามซื้อ ห้ามขาย ห้ามแลกเปลี่ยนข้อมูลของลูกค้า และต้องขออนุญาตเป็นลายลักษณ์อักษรจากเจ้าของข้อมูลทุกครั้งถ้าจะเปิดเผยให้ผู้อื่นรับทราบ

               แต่ในประเทศไทยมักจะอาศัยลูกมั่ว เขียนขอความยินยอมเป็นตัวอักษรเล็กๆ ไว้ที่บรรทัดสุดท้ายของใบสมัครสมาชิก

               ขณะนี้ไม่มีหลักฐานว่า "ข้อมูลพฤติกรรมผู้บริโภค" หากนำไปขายให้ฝ่ายวิจัยตลาดจะได้ในราคามากน้อยเพียงใด แต่คาดเดาว่า ตัวเลขหลักล้านบาทขึ้นไป หรืออาจจะแบ่งขายเป็นส่วนๆ

               ผู้ประกอบการธุรกิจเอาเปรียบคนไทยแบบนี้มาต่อเนื่องยาวนาน ดังนั้น "ร่าง พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล" จึงได้กำหนดบทลงโทษ “ผู้ควบคุมข้อมูลส่วนบุคคล” ที่ใช้ประโยชน์จากข้อมูลโดยมิชอบด้วยกฎหมายไว้สูง โดยโทษจำคุก 2 ปี โทษปรับ 2 ล้านบาท พร้อมทั้งให้ชดใช้ค่าเสียหาย ค่าชดเชยหรือสินไหมแก่ผู้เสียหายด้วย

               นอกจากนี้ เครือข่ายภาคประชาชนที่เฝ้าติดตามกฎหมายนี้ ยังออกมาท้วงติงว่า ในมาตรา 22 ที่ให้ผู้เก็บข้อมูลต้อง "แจ้งให้เจ้าของข้อมูลทราบ" นั้น ยังไม่เพียงพอ ควรเปลี่ยนเป็น "ขอความยินยอม" เพราะแค่แจ้งให้ทราบเท่ากับยังมีการหมดเม็ดอะไรบางอย่าง

               นอกจากนี้ยังมีการถกเถียงกันต่อว่า คำว่า "แจ้งให้ทราบ" ควรเป็นลายลักษณ์อักษรหรือเป็นเพียงวาจา และต้องมีตอบกลับว่า "รับทราบ" หรือ "อนุญาต" อย่างไร? ถึงแสดงความประสงค์ที่ชัดเจนของลูกค้า หรือตัวเจ้าของข้อมูลอย่างแท้จริง ไม่ได้เป็นการแจ้งให้ทราบแบบถูกล่อลวง 

               ในอีกด้านหนึ่ง มีผู้ตั้งคำถามเกี่ยวกับ มาตรา 25 ที่ระบุถึง "ข้อมูลที่ห้ามเก็บ" ได้แก่ 1.ข้อมูลพฤติกรรมทางเพศ 2.ประวัติอาชญากรรม 3.ประวัติสุขภาพ เชื้อชาติ หรือเผ่าพันธุ์ 4.ความเห็นทางการเมือง และความเชื่อทางศาสนา 5.ข้อมูลที่ทำให้เสียชื่อเสียง - เลือกปฏิบัติโดยไม่เป็นธรรม และ 6.ข้อมูลอื่นๆ ตามที่กฎหมายกำหนด

               แม้เครือข่ายภาคประชาชนส่วนใหญ่พึงพอใจกับเนื้อหาของมาตรา 25 เพราะช่วยลดการเลือกปฏิบัติในหลายแง่มุม โดยเฉพาะประวัติอาชญากรรม เนื่องจากใบสมัคงานของบริษัทบางแห่งมีช่องให้ระบุว่า เคยมีคดีต้องโทษหรือเคยต้องขังในเรือนจำหรือไม่ ซึ่งถือเป็นการปิดโอกาสผู้ที่พ้นโทษจากคดี พวกเขาควรได้รับสิทธิในการสมัครทำงานสุจริตเพื่อสร้างชีวิตใหม่ในสังคมได้เหมือนคนไทยทุกคน

               สำหรับคำถามสุดท้ายคือ หากกฎหมายฉบับนี้ประกาศใช้จริง ข้อความในบัตรประชาชน ที่ระบุถึง "ศาสนา" ที่นับถือ ต้องลบทิ้งด้วยหรือไม่ หมายความว่า คนไทยอายุเกิน 18 ปี และทำบัตรประชาชนแล้วประมาณ 44 ล้านคน ต้องทำบัตรประชาชนใหม่ ?
               
               "สุรางคณา วายุภาพ" ผอ.สำนักงานพัฒนาธุรกรรมทางอิเล็กทรอนิกส์" (สพธอ.) สังกัดกระทรวงไอซีที ผู้รับผิดชอบร่างกฎหมายทั้ง 10 ฉบับ ให้สัมภาษณ์ว่า การนับถือศาสนาถือเป็นข้อมูลส่วนบุคคล ไม่ควรถูกบังคับให้เปิดเผย ขณะนี้หลายฝ่ายกำลังช่วยกันแก้ไข้เนื้อหาส่วนต่างๆ ให้รัดกุมมากกว่าเดิม ส่วนเรื่องรายละเอียดเกี่ยวกับศาสนาในบัตรประชาชนนั้น คงต้องช่วยกันพิจารณาหาทางออกที่ดีที่สุด