ข้อมูลประชาชนหลุดเพราะหน่วยงานรัฐประมาท ต้องรับผิด เยียวยา เปิดผลสอบ และลงโทษคนผิด

ข้อมูลหลุดแล้ว คำขอโทษอย่างเดียวไม่พอ

เวลาหน่วยงานรัฐออกมาบอกว่าโดนแฮก ระบบมีช่องโหว่ หรือผู้รับจ้างตั้งค่าพลาด ประโยคพวกนี้อธิบายสาเหตุได้ แต่ยังไม่ใช่คำตอบเรื่องความรับผิด เพราะประชาชนไม่ได้เลือกว่าจะส่งเลขบัตรประชาชน ที่อยู่ เบอร์โทร ประวัติสุขภาพ หรือข้อมูลทะเบียนต่าง ๆ ให้ใคร หลายครั้งกฎหมายบังคับให้ต้องส่งข้อมูลแก่รัฐด้วยซ้ำ พอรัฐถือข้อมูลไว้ ความรับผิดจึงควรสูงกว่าการออกหนังสือขออภัยแล้วเงียบหาย

กฎหมายหลักที่ต้องมองก่อนคือ พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562
หน่วยงานรัฐไม่ได้รับยกเว้นทั้งหมดแบบเหมารวม กิจกรรมทั่วไปยังอยู่ใต้กฎหมายนี้ ส่วนมาตรา 4 ยกเว้นเฉพาะงานบางประเภท เช่น ความมั่นคง การป้องกันและปราบปรามการฟอกเงิน นิติวิทยาศาสตร์ งานศาลบางส่วน และกระบวนการยุติธรรมทางอาญา ถึงเป็นงานที่ได้รับยกเว้น กฎหมายก็ยังวางหลักว่าต้องมีมาตรฐานรักษาความมั่นคงปลอดภัยของข้อมูลอยู่ดี จึงไม่ใช่ช่องให้พูดว่าเป็นหน่วยงานรัฐแล้วไม่ต้องรับผิด

มาตรา 37 กำหนดว่าผู้ควบคุมข้อมูลต้องมีมาตรการรักษาความปลอดภัยที่เหมาะสม ป้องกันการสูญหาย เข้าถึง ใช้ แก้ไข หรือเปิดเผยโดยไม่มีอำนาจ และต้องทบทวนมาตรการเมื่อเทคโนโลยีเปลี่ยน ถ้าเกิดเหตุละเมิดที่มีความเสี่ยงต่อสิทธิและเสรีภาพ ต้องแจ้งสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลโดยไม่ชักช้า ภายใน 72 ชั่วโมงนับแต่ทราบเหตุเท่าที่ทำได้ ถ้าความเสี่ยงสูง ต้องแจ้งเจ้าของข้อมูลพร้อมแนวทางเยียวยาโดยไม่ชักช้าด้วย

คำว่าโดนแฮกไม่ได้ทำให้พ้นผิดอัตโนมัติ ประเด็นอยู่ที่ก่อนเกิดเหตุมีการจำกัดสิทธิผู้ใช้งาน เข้ารหัส อุดช่องโหว่ ตรวจบันทึกการใช้งาน คุมผู้รับจ้าง และซ้อมรับเหตุหรือไม่ หลังรู้เหตุแล้วหยุดการรั่ว เก็บหลักฐาน ประเมินความเสี่ยง และแจ้งผู้ได้รับผลกระทบเร็วแค่ไหน

ถ้าไม่ทำตามมาตรา 37 ในกรณีที่อยู่ภายใต้กฎหมาย อาจถูกปรับทางปกครองตามมาตรา 83 ไม่เกิน 3 ล้านบาท และคณะกรรมการผู้เชี่ยวชาญยังสั่งให้แก้ไข ระงับความเสียหาย หรือตักเตือนได้ เจ้าของข้อมูลมีสิทธิร้องเรียนตามมาตรา 73 ไม่จำเป็นต้องรอให้หน่วยงานยอมรับผิดก่อน

ส่วนเรื่องเงินเยียวยา กฎหมายไม่ได้ให้แค่คำปลอบใจ
มาตรา 77 เปิดทางให้เรียกค่าสินไหมทดแทนเมื่อการฝ่าฝืนกฎหมายทำให้เกิดความเสียหาย ความรับผิดเกิดได้ไม่ว่าจะจงใจหรือประมาทเลินเล่อ เว้นแต่หน่วยงานพิสูจน์ข้อยกเว้นตามกฎหมายได้ ค่าสินไหมยังรวมรายจ่ายที่จำเป็นเพื่อป้องกันหรือระงับความเสียหาย เช่น การเปลี่ยนเอกสาร การเดินทาง การอายัดบัญชี หรือรายได้ที่เสียไปจากการตามเรื่อง ศาลอาจสั่งค่าเสียหายเพื่อการลงโทษเพิ่มไม่เกินสองเท่าของค่าเสียหายจริงตามมาตรา 78 โดยดูความร้ายแรง ผลประโยชน์ที่ผู้ควบคุมข้อมูลได้รับ และพฤติกรรมหลังเกิดเหตุ สิทธิเรียกร้องมีอายุความสามปีนับแต่รู้ความเสียหายและรู้ตัวผู้รับผิด แต่ไม่เกินสิบปีนับแต่เกิดเหตุละเมิด

เมื่อเหตุเกิดจากเจ้าหน้าที่ระหว่างปฏิบัติหน้าที่ ยังมี พ.ร.บ.ความรับผิดทางละเมิดของเจ้าหน้าที่ พ.ศ. 2539 เข้ามาเกี่ยว มาตรา 5 วางหลักให้หน่วยงานของรัฐรับผิดต่อผู้เสียหาย และประชาชนฟ้องหน่วยงานได้โดยตรง ไม่ต้องไล่ฟ้องเจ้าหน้าที่ทีละคน ส่วนหน่วยงานจะเรียกเงินคืนจากเจ้าหน้าที่ได้หรือไม่ เป็นเรื่องภายในตามมาตรา 8 ซึ่งทำได้เมื่อเจ้าหน้าที่จงใจหรือประมาทเลินเล่ออย่างร้ายแรง และต้องดูระดับความร้ายแรงกับความเป็นธรรม ไม่ใช่โยนภาระทั้งหมดให้เจ้าหน้าที่ระดับปฏิบัติการเพื่อปิดเรื่อง

ยังมีกฎหมายข้อมูลข่าวสารของราชการเป็นชั้นเสริมเรื่องระบบข้อมูลข่าวสารส่วนบุคคลและการจำกัดการเปิดเผย หน่วยงานจึงมีหน้าที่ทั้งก่อนเกิดเหตุ ระหว่างรับมือ และหลังเกิดเหตุ ไม่ใช่รับผิดเฉพาะตอนมีข่าวดัง

ความรับผิดที่ควรเห็นเป็นรูปธรรมมีอย่างน้อยห้าชั้น

ชั้นแรก ปิดช่องโหว่ทันทีและเก็บหลักฐานดิจิทัล ห้ามรีบลบระบบจนตรวจสอบไม่ได้ ชั้นที่สอง แจ้งว่าข้อมูลชนิดใดหลุด ช่วงเวลาไหน จำนวนเท่าไร ถูกนำออกไปจริงหรือเพียงเปิดให้เข้าถึง และประชาชนต้องทำอะไรต่อ ชั้นที่สาม จัดการเยียวยาฟรี เช่น ศูนย์ช่วยเหลือเฉพาะกิจ ออกเอกสารใหม่ และรับผิดรายจ่ายที่เกิดขึ้น ชั้นที่สี่ เปิดผลสอบที่ตัดข้อมูลลับออกแล้ว แต่ต้องเห็นสาเหตุ ผู้มีหน้าที่กำกับ และแผนแก้พร้อมกำหนดเวลา ชั้นที่ห้า ตรวจวินัยผู้บริหาร ผู้รับจ้าง และสัญญาจัดซื้อจัดจ้างให้ถึงต้นเหตุ ไม่ใช่ตั้งกรรมการแล้วปล่อยให้เรื่องหมดกระแส

คนที่สงสัยว่าข้อมูลตัวเองหลุด ควรเก็บข้อความแจ้งเตือน อีเมล ภาพหน้าจอ รายการธุรกรรม ใบเสร็จ และวันที่เริ่มรู้เหตุ จากนั้นส่งหนังสือถึงหน่วยงานหรือเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล ขอคำตอบเป็นลายลักษณ์อักษรว่าข้อมูลอะไรได้รับผลกระทบ เกิดเมื่อไร ส่งถึงใคร มีแนวทางเยียวยาอะไร และแจ้งเหตุแก่สำนักงานคุ้มครองข้อมูลส่วนบุคคลเมื่อใด ถ้าคำตอบไม่ชัด สามารถร้องเรียนต่อสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล และยื่นคำขอค่าสินไหมต่อหน่วยงานได้ ส่วนการฟ้องศาลต้องดูว่าข้อพิพาทอยู่ในอำนาจศาลปกครองหรือศาลยุติธรรมตามลักษณะการกระทำและฐานกฎหมายของคดี

ข้อมูลประชาชนไม่ใช่ของฟรีที่รัฐทำหายแล้วจบด้วยคำขอโทษ หน่วยงานต้องบอกความจริง หยุดความเสียหาย ชดใช้สิ่งที่เกิดขึ้น แก้ระบบ และทำให้เห็นว่าความผิดพลาดแบบเดิมจะไม่เกิดซ้ำ ถ้าขาดข้อใดข้อหนึ่ง ความรับผิดก็ยังไม่ครบ