PDPA คุ้มครองข้อมูลเราได้แค่ไหนเมื่อรายชื่อยังหลุดสู่มิจฉาชีพ

* รูปภาพใช้เพื่อประกอบเนื้อหาเท่านั้น อาจไม่ใช่ภาพเหตุการณ์จริงหรือภาพจริงจากเรื่องในบทความ ขอบคุณภาพประกอบจาก https://graphic.in.th

เมื่อมีสายแปลกโทรเข้ามาแล้วอีกฝ่ายรู้ทั้งชื่อ นามสกุล หรือรู้ว่าเราเคยใช้บริการอะไร หลายคนจึงนึกถึงคำถามเดียวกันทันทีว่า ข้อมูลหลุดมาจากไหน ทั้งที่ทุกวันนี้กรอกแบบฟอร์มก็มีช่องให้ติ๊กยินยอม มีนโยบายความเป็นส่วนตัว และมีคำว่า PDPA เต็มไปหมด

ภาพ “ข้อมูลขายราคา 50 สตางค์” เป็นอุปมาให้เห็นว่าข้อมูลหนึ่งระเบียนอาจถูกลดคุณค่าจนแทบไม่มีราคาในตลาดผิดกฎหมาย ไม่ควรตีความว่าเป็นราคากลางที่ยืนยันได้ เพราะราคาขึ้นกับชนิดข้อมูล จำนวนรายชื่อ และผู้ซื้อ แต่คดีที่ตำรวจเปิดเผยก็ทำให้เห็นภาพชัดว่า ข้อมูลลูกค้าถูกนำไปขายได้จริง ในคดีปี 2567 มีการจับกุมหัวหน้าฝ่ายสินเชื่อที่ถูกกล่าวหาว่าลอบขายข้อมูลลูกค้าสถาบันการเงิน โดยรายชื่อมีราคา 1 บาทต่อราย และข้อมูลบางส่วนไปถึงแก๊งคอลเซ็นเตอร์

ดังนั้น PDPA ไม่ได้เป็นกำแพงวิเศษที่ทำให้ข้อมูลไม่รั่วทันที หน้าที่ของกฎหมายคือกำหนดว่าใครเก็บข้อมูลได้อย่างไร ใช้ต่อเพื่ออะไร ต้องป้องกันแค่ไหน และเมื่อผิดแล้วต้องรับผิดอย่างไร ส่วนช่องโหว่ยังเกิดได้จากคน ระบบ คู่ค้า หรือการตั้งสิทธิ์เข้าถึงที่หละหลวม

ข้อมูลไม่ได้เริ่มหลุดตอนถูกแฮ็กเสมอไป

รอยแรกของข้อมูลอาจเริ่มตั้งแต่เราสมัครสมาชิก รับคูปอง ลงทะเบียนชิงโชค สมัครบัตรเครดิต ติดต่อศูนย์บริการ หรือให้ข้อมูลกับแอปเพื่อใช้งานบริการ หลายกรณีจำเป็นต้องให้ข้อมูลจริง แต่ความเสี่ยงเพิ่มขึ้นเมื่อแบบฟอร์มขอเกินความจำเป็น ขอสำเนาบัตรประชาชนทั้งใบโดยไม่ปิดเลขสำคัญ หรือขอให้ยอมรับการตลาดจากหลายบริษัทในคราวเดียว

หลังจากนั้นข้อมูลอาจเดินผ่านผู้รับจ้างภายนอก เช่น ผู้ให้บริการคลาวด์ ระบบส่งข้อความ บริษัททำการตลาด หรือคอลเซ็นเตอร์ ยิ่งมีคนและระบบแตะฐานข้อมูลมากเท่าไร จุดที่ต้องควบคุมก็ยิ่งมากขึ้น นี่ไม่ได้แปลว่าทุกองค์กรทำผิด แต่เป็นเหตุผลที่องค์กรต้องรู้ว่าใครเข้าถึงข้อมูลใดได้บ้าง และต้องตรวจสอบย้อนหลังได้

คดีที่รายงานโดยไทยพีบีเอสในปี 2565 สะท้อนความเสี่ยงจากการใช้อำนาจเข้าถึงข้อมูลโดยมิชอบ เมื่อเจ้าหน้าที่รัฐและตำรวจถูกจับกุมในคดีที่เกี่ยวข้องกับการนำข้อมูลประชาชนไปขายให้แก๊งคอลเซ็นเตอร์ ส่วนคดีปี 2566 ตำรวจไซเบอร์ระบุว่าพบการขายข้อมูลมากกว่า 2 ล้านรายชื่อ ทั้งชื่อ เบอร์โทรศัพท์ และอีเมลให้กลุ่มผิดกฎหมาย

การมีชื่อและเบอร์โทรศัพท์ของเราอยู่ในมือมิจฉาชีพยังไม่พิสูจน์ได้ด้วยตัวเองว่าองค์กรใดเป็นต้นทาง เพราะข้อมูลอาจถูกส่งต่อหลายทอดหรือรั่วจากแหล่งเก่า แต่เมื่อคนร้ายมีข้อมูลเฉพาะเจาะจงมากขึ้น เช่น ประวัติธุรกรรม ข้อมูลสินเชื่อ หรือสำเนาเอกสาร ความน่าเชื่อของกลลวงจะสูงขึ้นมาก

PDPA บังคับให้องค์กรทำอะไร

พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 นิยามข้อมูลส่วนบุคคลว่าเป็นข้อมูลเกี่ยวกับบุคคลที่ทำให้ระบุตัวบุคคลนั้นได้โดยตรงหรือโดยอ้อม องค์กรที่เป็นผู้ควบคุมข้อมูลจึงต้องมีฐานกฎหมายรองรับการเก็บ ใช้ หรือเปิดเผยข้อมูล และต้องแจ้งรายละเอียดสำคัญให้เจ้าของข้อมูลทราบ

ความยินยอมเป็นเพียงหนึ่งในฐานกฎหมาย ไม่ใช่ใบอนุญาตเปิดกว้างให้องค์กรทำอะไรก็ได้ การขอข้อมูลควรผูกกับวัตถุประสงค์ที่ชัดเจนและเก็บเท่าที่จำเป็น หากจะใช้คนละวัตถุประสงค์ เช่น เอาข้อมูลสมัครบริการไปส่งข้อเสนอการตลาดหรือส่งต่อให้พันธมิตร องค์กรต้องมีเหตุรองรับและแจ้งอย่างโปร่งใส

กฎหมายยังกำหนดให้ผู้ควบคุมข้อมูลมีมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสม ป้องกันการสูญหาย การเข้าถึง การใช้ การแก้ไข หรือการเปิดเผยโดยไม่มีอำนาจ และต้องทบทวนมาตรการเมื่อจำเป็น หากเกิดเหตุละเมิดที่มีความเสี่ยงต่อสิทธิและเสรีภาพของบุคคล องค์กรต้องแจ้งสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลโดยไม่ชักช้า และเท่าที่ทำได้ภายใน 72 ชั่วโมงนับแต่ทราบเหตุ

จุดที่ทำให้คนรู้สึกว่ากฎหมายยังไปไม่ถึง ไม่ใช่เพราะกฎหมายไม่มีหน้าที่เหล่านี้ แต่เพราะการพิสูจน์ต้นทาง การเก็บหลักฐานดิจิทัล การติดตามผู้กระทำ และการกำกับคู่ค้าใช้เวลา ขณะเดียวกันความเสียหายจากสายหลอกลวงอาจเกิดขึ้นกับเหยื่อในไม่กี่นาที

ลดรอยเท้าดิจิทัลด้วยสิ่งที่ทำได้วันนี้

• ให้ข้อมูลเท่าที่จำเป็น ก่อนสมัครชิงโชคหรือขอส่วนลด ลองถามว่าบริการนั้นจำเป็นต้องใช้เลขบัตรประชาชน วันเกิดเต็ม หรือที่อยู่จริงหรือไม่

• แยกเบอร์และอีเมล ใช้อีเมลสำหรับสมัครบริการและเบอร์สำรองสำหรับการตลาดเมื่อทำได้ จะช่วยจำกัดความเสียหายหากช่องทางใดรั่ว

• ทบทวนสิทธิ์แอป เข้าไปดูสิทธิ์ตำแหน่ง กล้อง ไมโครโฟน รายชื่อ และรูปภาพ ปิดสิทธิ์ที่ไม่จำเป็นต่อการทำงานของแอป และลบแอปที่เลิกใช้

• ตั้งรหัสผ่านไม่ซ้ำและเปิดยืนยันตัวตนสองชั้น วิธีนี้ไม่หยุดการขายรายชื่อ แต่ช่วยลดโอกาสที่คนร้ายจะใช้ข้อมูลที่รั่วไปยึดบัญชีต่อ

• ระวังเอกสารกระดาษ ปิดข้อมูลสำคัญบนสำเนาบัตรก่อนส่งเมื่อไม่จำเป็นต้องเปิดทั้งหมด และทำลายเอกสารที่มีข้อมูลก่อนทิ้ง

อย่าหลงเชื่อว่าการปิดทุกสิทธิ์จะทำให้ปลอดภัยสมบูรณ์ เพราะข้อมูลที่เคยให้ไปแล้วอาจยังอยู่ในระบบตามระยะเวลาที่องค์กรมีหน้าที่เก็บรักษา เป้าหมายที่เป็นจริงกว่าคือ ลดข้อมูลใหม่ที่ปล่อยออกไป ลดสิทธิ์ที่เกินจำเป็น และทำให้บัญชีสำคัญถูกยึดได้ยากขึ้น

ถ้าสงสัยว่าข้อมูลถูกใช้ผิดทาง ควรเริ่มตรงไหน

เก็บหลักฐานก่อน เช่น ภาพหน้าจอ หมายเลขโทรศัพท์ วันเวลา ข้อความ ชื่อองค์กรที่คู่สนทนาอ้าง และรายละเอียดที่คนร้ายรู้เกี่ยวกับเรา อย่าให้รหัสผ่าน รหัสยืนยัน หรือโอนเงินเพื่อ “ตรวจสอบบัญชี” เพราะหน่วยงานรัฐ ธนาคาร และผู้ให้บริการที่ถูกต้องจะไม่ขอรหัสดังกล่าวผ่านสายสุ่มโทร

หากสงสัยว่าองค์กรใดใช้ข้อมูลเกินวัตถุประสงค์หรือข้อมูลรั่ว ให้ติดต่อเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลขององค์กรนั้นก่อน เจ้าของข้อมูลมีสิทธิขอเข้าถึงข้อมูล ขอแก้ไข คัดค้าน ขอให้ลบหรือทำลายในกรณีที่กฎหมายกำหนด และขอจำกัดการใช้ข้อมูลได้ หากไม่ได้รับการจัดการที่เหมาะสม สามารถร้องเรียนต่อสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลได้

PDPA มีไว้เพื่อเปลี่ยนสถานะของเรา จากคนที่ต้องยอมให้ข้อมูลอย่างเดียว มาเป็นเจ้าของข้อมูลที่มีสิทธิถาม ทักท้วง และร้องเรียนได้ แต่กฎหมายจะทำงานได้เต็มแรงเมื่อองค์กรออกแบบการเข้าถึงข้อมูลอย่างรัดกุม เจ้าหน้าที่รู้ว่าการแอบเปิดดูข้อมูลมีผลตามมา และประชาชนไม่ยอมแลกข้อมูลสำคัญกับส่วนลดเล็กน้อยโดยไม่รู้ว่ามันจะเดินทางต่อไปที่ไหน