ข้อมูลหลุดแล้ว พีดีพีเอเอาผิดใครได้บ้าง เจ้าของข้อมูลควรเริ่มจัดการจากตรงไหนก่อนความเสียหายลุกลาม

ข้อมูลหลุด ไม่ได้จบแค่คำว่าโดนแฮก

จุดที่คนมักเข้าใจผิดก่อนเลย
ข้อมูลส่วนบุคคลหลุดออกจากบริษัท โรงพยาบาล แอป ร้านค้าออนไลน์ หรือหน่วยงานรัฐ ไม่ได้แปลว่าต้องจับใครสักคนมารับผิดแบบอัตโนมัติ แต่ก็ไม่ใช่ว่าหน่วยงานจะพูดสั้นๆ ว่าโดนแฮกแล้วจบ เรื่องสำคัญคือใครเป็นคนกำหนดว่าจะเก็บข้อมูลอะไร ใช้ทำอะไร ส่งให้ใคร ใครดูแลระบบ และมาตรการป้องกันก่อนเกิดเหตุเหมาะสมแค่ไหน พีดีพีเอจึงมองเป็นบทบาท ไม่ได้มองแค่ว่าเซิร์ฟเวอร์อยู่ที่บริษัทไหน

คนแรกที่ต้องมองหา คือผู้ควบคุมข้อมูลส่วนบุคคล
คำนี้มักหมายถึงบริษัทหรือหน่วยงานที่ตัดสินใจเรื่องการเก็บ ใช้ หรือเปิดเผยข้อมูล เช่น ร้านค้าเป็นคนกำหนดให้ลูกค้ากรอกชื่อ เบอร์โทร ที่อยู่ และประวัติการซื้อ ต่อให้ฝากระบบไว้กับผู้ให้บริการภายนอก ร้านค้าก็ยังเป็นผู้ควบคุมข้อมูลในส่วนที่ตนกำหนดอยู่ หน้าที่หลักคือจัดมาตรการความปลอดภัยที่เหมาะสม ทบทวนมาตรการตามความเสี่ยง ป้องกันคนอื่นนำข้อมูลไปใช้ผิดทาง และรับมือทันทีเมื่อเกิดเหตุ

ถ้าเหตุรั่วไหลมีความเสี่ยงต่อสิทธิและเสรีภาพ ผู้ควบคุมต้องแจ้งสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลโดยไม่ชักช้า ภายในเจ็ดสิบสองชั่วโมงนับแต่ทราบเหตุเท่าที่ทำได้ ถ้าความเสี่ยงสูง ต้องแจ้งเจ้าของข้อมูลพร้อมผลกระทบและแนวทางเยียวยาโดยไม่ชักช้าด้วย แต่ไม่ได้หมายความว่าทุกเหตุเล็กน้อยต้องส่งข้อความหาทุกคนเสมอ การประเมินต้องดูชนิดข้อมูล จำนวนคน ผลกระทบ โอกาสถูกนำไปหลอก และมาตรการที่ทำให้ข้อมูลอ่านหรือใช้งานไม่ได้

ผู้รับจ้างดูระบบก็ไม่ได้ลอยตัว
บริษัทคลาวด์ ผู้ทำระบบสมาชิก ศูนย์บริการโทรศัพท์ บริษัททำเงินเดือน หรือผู้รับจ้างที่ประมวลผลข้อมูลตามคำสั่ง มักอยู่ในฐานะผู้ประมวลผลข้อมูล มีหน้าที่ทำตามคำสั่งที่ชอบด้วยกฎหมาย วางระบบป้องกัน และรีบแจ้งผู้ควบคุมเมื่อพบเหตุ หากออกนอกคำสั่งแล้วนำข้อมูลไปใช้เอง กฎหมายอาจถือว่ากลายเป็นผู้ควบคุมข้อมูลสำหรับการกระทำนั้นได้ เพราะฉะนั้นเหตุเดียวอาจมีผู้ต้องรับผิดมากกว่าหนึ่งราย ไม่จำเป็นต้องเลือกระหว่างบริษัทเจ้าของบริการกับผู้รับจ้างเพียงรายเดียว

พนักงาน ผู้บริหาร และคนขโมยข้อมูล รับผิดแบบไหน
พนักงานที่คัดลอกรายชื่อลูกค้าออกไปขายหรือส่งต่อ อาจถูกดำเนินการส่วนบุคคลตามข้อเท็จจริงและกฎหมายที่เกี่ยวข้อง ขณะเดียวกันบริษัทอาจยังถูกตรวจว่าควบคุมสิทธิการเข้าถึง มีบันทึกการใช้งาน แยกหน้าที่ และป้องกันการดาวน์โหลดจำนวนมากดีพอหรือไม่ การโยนทั้งหมดให้พนักงานคนเดียวจึงไม่ทำให้หน้าที่ของผู้ควบคุมหายไป

ส่วนกรรมการ ผู้จัดการ หรือคนรับผิดชอบการดำเนินงาน ไม่ได้ต้องรับโทษทุกครั้งที่ข้อมูลหลุด แต่ถ้านิติบุคคลกระทำความผิดอาญาตามพีดีพีเอเพราะการสั่งการ การกระทำ หรือการละเว้นของบุคคลเหล่านี้ กฎหมายเปิดทางให้รับโทษด้วยได้ เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลก็ไม่ใช่แพะโดยตำแหน่ง หน้าที่หลักคือให้คำแนะนำ ตรวจสอบ และประสานงาน ความรับผิดต้องดูการกระทำจริง ไม่ใช่เห็นคำว่าดีพีโอแล้วชี้ตัวทันที

คนเจาะระบบหรือคนซื้อข้อมูลไปใช้ก็อาจถูกดำเนินคดีตามกฎหมายคอมพิวเตอร์ กฎหมายอาญา หรือกฎหมายอื่น ขึ้นกับวิธีเข้าถึงและสิ่งที่นำข้อมูลไปทำ แต่การมีคนร้ายไม่ได้ลบคำถามว่าหน่วยงานเจ้าของข้อมูลป้องกันเหมาะสมหรือยัง สองฝั่งอาจผิดคนละฐานพร้อมกันได้

ข้อมูลหลุดแล้ว ฟ้องได้เงินเลยไหม
ยังต้องมีหลักฐานว่าการฝ่าฝืนทำให้เกิดความเสียหาย แต่กฎหมายแพ่งวางภาระไว้ค่อนข้างหนักกับผู้ควบคุมและผู้ประมวลผล เพราะต้องชดเชยแม้พิสูจน์ไม่ได้ว่าเจตนาหรือประมาท เว้นแต่พิสูจน์เข้าเหตุยกเว้น เช่น เหตุสุดวิสัย การกระทำของเจ้าของข้อมูลเอง หรือการทำตามคำสั่งเจ้าหน้าที่ที่มีอำนาจตามกฎหมาย เงินชดเชยอาจรวมถึงเงินที่จำเป็นต้องจ่ายเพื่อป้องกันความเสียหายที่กำลังจะเกิดหรือหยุดความเสียหายที่เกิดแล้ว และศาลอาจสั่งเงินเชิงลงโทษเพิ่มได้ไม่เกินสองเท่าของความเสียหายจริง

การฝ่าฝืนหน้าที่ตามมาตรา 37 ของผู้ควบคุม หรือมาตรา 40 ของผู้ประมวลผล อาจมีโทษปรับทางปกครองสูงสุดสามล้านบาท ส่วนโทษอาญาไม่ได้เกิดจากคำว่าข้อมูลหลุดทุกกรณี ต้องมีองค์ประกอบเฉพาะ เช่น การใช้หรือเปิดเผยข้อมูลอ่อนไหวโดยผิดกฎหมายในลักษณะที่กฎหมายกำหนด จึงไม่ควรเหมารวมว่าฐานข้อมูลรั่วเท่ากับติดคุกทันที

เจ้าของข้อมูลควรทำอะไรให้เรื่องเดินได้จริง
เริ่มจากเก็บอีเมลหรือข้อความแจ้งเหตุ ภาพหน้าจอ วันที่พบเหตุ รายการโทรหลอก ธุรกรรมผิดปกติ และหลักฐานเงินที่ต้องจ่ายเพื่อป้องกันความเสียหาย จากนั้นถามหน่วยงานตรงๆ ว่าข้อมูลชนิดใดหลุด หลุดช่วงไหน ส่งถึงใคร มีการเข้ารหัสหรือไม่ และมีแผนเยียวยาแบบไหน ถ้าคำตอบเงียบ คลุมเครือ หรือไม่แก้ไข สามารถยื่นร้องเรียนผ่านระบบของสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เพื่อให้คณะกรรมการผู้เชี่ยวชาญตรวจสอบและสั่งแก้ไข ระงับการกระทำ หรือพิจารณาโทษทางปกครองได้

ส่วนการเรียกเงินชดเชยทางศาล มีอายุความสามปีนับแต่รู้ความเสียหายและรู้ตัวผู้ควบคุมหรือผู้ประมวลผลที่ต้องรับผิด และไม่เกินสิบปีนับแต่วันที่เกิดการละเมิด ประเด็นที่ชี้ขาดจึงไม่ใช่แค่ข้อมูลโผล่อยู่ในตลาดมืด แต่คือเส้นทางข้อมูล หน้าที่ของแต่ละฝ่าย มาตรการก่อนเกิดเหตุ การตอบสนองหลังเกิดเหตุ และความเสียหายที่พิสูจน์เชื่อมโยงได้ครบแค่ไหน

คำว่าโดนแฮกเป็นจุดเริ่มสอบ ไม่ใช่บัตรผ่านพ้นความรับผิด