เร่งออกกฎหมาย คุ้มครองประชาชน

โดย...วิทยา ปะระมะ

แม้ประเทศไทย ปัจจุบันจะมีการนำเทคโนโลยีสารสนเทศมาประยุกต์ใช้อย่างแพร่หลาย โดยเฉพาะเรื่องการทำธุรกรรมทางการเงิน การให้บริการของบริษัทเอกชน หรือแม้แต่การทำอี-คอมเมิร์ซ แต่เชื่อหรือไม่ เรื่องพื้นฐานที่สุดในการสร้างความมั่นใจในการทำกิจกรรมระบบผ่านอินเทอร์เน็ตอย่างเช่นเรื่องการรักษาข้อมูลส่วนบุคคล ประเทศไทยก็ยังไม่มีกฎหมายออกมาคุ้มครองโดยตรง

ในช่วงที่ผ่านมา กระทรวงเทคโนโลยีสารสนเทศและการสื่อสาร(ไอซีที) หรือกระทรวงดิจิทัลเพื่อเศรษฐกิจและสังคมในปัจจุบัน ได้เร่งจัดทำร่าง พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล พ.ศ. ... ซึ่งแม้จะมีการเปลี่ยนตัวรัฐมนตรี แต่คาดว่าโดยนโยบายของรัฐบาลที่ต้องการผลักดันเรื่องไทยแลนด์ 4.0 ก็น่าจะทำให้กฎหมายนี้ผ่านสภานิติบัญญัติแห่งชาติ (สนช.) และมีผลบังคับใช้ในอนาคตอันใกล้นี้

ทรงพร โกมลสุรเดช ปลัดกระทรวงดิจิทัลเพื่อเศรษฐกิจและสังคม (ดท.) เปิดเผยว่า กระทรวงได้เสนอร่างกฎหมายดังกล่าวในสมัยของพรชัย รุจิประภา เป็น รมว.ไอซีที แต่ต่อมามีการเปลี่ยนแปลงตัวรัฐมนตรี ทำให้ร่างกฎหมายฉบับนี้ถูกส่งกลับมาที่กระทรวงอีกครั้งตามขั้นตอน ซึ่งในสมัยของอุตตม สาวนายน เป็น รมว.ไอซีที กำลังทบทวนปรับปรุงร่างกฎหมาย โดยยังไม่ได้ส่งไปที่กฤษฎีกา เมื่อเปลี่ยนมาเป็นกระทรวงดิจิทัลเพื่อเศรษฐกิจและสังคม โดยมี พล.อ.อ.ประจิน จั่นตอง รองนายกรัฐมนตรี รักษาการรัฐมนตรีว่าการ จะนำเรื่องนี้ขอหารือกับ พล.อ.อ.ประจิน อีกครั้ง ซึ่งโดยนโยบายของรัฐบาลต้องการเร่งรัดเรื่องนี้อยู่แล้ว จึงคาดว่าจะสามารถออกกฎหมายได้โดยเร็ว

ปลัดกระทรวงดิจิทัลเพื่อเศรษฐกิจและสังคม กล่าวอีกว่า สถานการณ์ในปัจจุบันยังไม่มีกฎหมายคุ้มครองข้อมูลส่วนบุคคลโดยตรง แต่จะมีการกำกับดูแลในแต่ละวงการ เช่น ธนาคาร จะมีธนาคารแห่งประเทศไทยกำกับดูแล หรือโทรคมนาคม จะมีคณะกรรมการกิจการกระจายเสียง กิจการโทรทัศน์ และกิจการโทรคมนาคมแห่งชาติ (กสทช.) ดูแล ดังนั้นเมื่อมีเหตุการณ์เกิดขึ้น เช่น กรณีพนักงานของเอไอเอสนำข้อมูลส่วนบุคคลของลูกค้าไปเผยแพร่ต่อคนนอก ก็จะกำกับดูแลตามอำนาจหน้าที่ในสายงานนั้นๆ ซึ่งกรณีนี้ก็คือ กสทช.

อย่างไรก็ดี หากมี พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคลเกิดขึ้น จะเป็นกฎหมายกลาง ซึ่งเขียนไว้ชัดเจนว่าบริษัทที่เป็นนิติบุคคลมีหน้าที่รักษาข้อมูลลูกค้า เขียนชัดเจนว่าต้องมีวิธีการจัดเก็บที่เป็นมาตรฐานอย่างไรและกำหนดโทษอย่างไรหากข้อมูลลูกค้าถูกละเมิด

แหล่งข่าวจากกระทรวงดิจิทัลเพื่อเศรษฐกิจและสังคมขยายความว่า ร่าง พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล พ.ศ. ... จะอ้างอิงไกด์ไลน์ของ OECD, APEC และสหภาพยุโรป เนื่องจากเรื่องอินเทอร์เน็ต ไซเบอร์ซีเคียวริตี้ หรืออี-คอมเมิร์ซ ไม่มีขอบเขตประเทศ ถ้าไทยทำอะไรไม่เหมือนประเทศอื่น ต่างประเทศจะไม่ทำธุรกรรมกับไทย

“นี่คือหลักการในการจัดทำกฎหมายฉบับนี้ ถ้าเราไม่มีกฎหมาย ประเทศที่มีการคุ้มครองข้อมูลส่วนบุคคลก็จะไม่ทำธุรกรรมกับเรา อย่างในยุโรปมีกฎหมายว่าจะไม่อนุญาตให้ส่งข้อมูลส่วนบุคคลออกมาสู่ประเทศที่ไม่มีกฎระเบียบในการดูแลข้อมูลดีเท่ากับเขา ดังนั้นถ้าไทยไม่มีกฎหมายฉบับนี้ก็ไม่สามารถทำอะไรกับยุโรปได้ ในเรื่องเกี่ยวกับข้อมูลส่วนบุคคล” แหล่งข่าวเปิดเผย

ทั้งนี้ สาระสำคัญในร่าง พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล พ.ศ. ...จะพูดถึงบทบาทของผู้มีส่วนได้เสีย 2-3 ฝ่าย คือ เจ้าของข้อมูล ผู้ควบคุมข้อมูล และคนกลางที่จะกำกับดูแลการคุ้มครองข้อมูลส่วนบุคคล ในส่วนของผู้ควบคุมข้อมูล ก็คือผู้ให้บริการต่างๆ เช่น ผู้ให้บริการมือถือผู้ให้บริการอินเทอร์เน็ต ฯลฯ ซึ่งเมื่อประชาชนใช้บริการก็ต้องไปกรอกข้อมูลแก่ผู้ให้บริการเหล่านี้ ในจุดนี้ พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคลพ.ศ. ... จะบอกว่าผู้ควบคุมข้อมูลต้องทำอะไรบ้าง เช่น ต้องขอความยินยอมจากเจ้าของข้อมูล เก็บข้อมูลอะไร ข้อมูลที่เก็บไว้เอาไปทำอะไร ถ้ามีปัญหาเกิดขึ้นจะติดต่อที่ไหน รวมทั้งมีหน้าที่ต้องรักษาความปลอดภัยข้อมูลอย่างเหมาะสม ป้องกันการสูญหาย ป้องกันการเข้าถึงหรือนำข้อมูลไปใช้โดยคนที่ไม่มีสิทธิ ข้อมูลที่ไม่ใช้แล้วต้องทำลาย ถ้าไม่ปฏิบัติตามก็จะผิดกฎหมาย

แหล่งข่าวเปิดเผยอีกว่า กฎหมายฉบับนี้จะเข้ามาเป็นกฎหมายกลางในเรื่องการดูแลข้อมูลส่วนบุคคล ซึ่งจะต่างจากปัจจุบันที่ไม่มีกฎหมายว่าด้วยเรื่องนี้โดยเฉพาะ แต่ในแต่ละวงการก็จะดูแลกันเอง เช่น มือถือ ธนาคาร แต่ยังไม่ได้มองรอบด้านหรือมีการดูแลแตกต่างกัน ธนาคารอาจจะดูแลแบบหนึ่ง ฝั่งมือถือดูแลอีกแบบหนึ่ง ซึ่งโดยหลักการแล้ว ควรมีกฎเกณฑ์กลางในการดูแลเหมือนๆ กัน รวมทั้งกฎหมายนี้จะมีคณะกรรมการเข้ามากำกับดูแลและสร้างกลไกการตระหนักรู้เรื่องสิทธิของประชาชนให้ชัดขึ้น

“กฎหมายที่ออกมาจะไม่ทำให้เกิดความซ้ำซ้อน อะไรที่เป็นหลักการตรงกลาง กฎหมายจะทำให้ชัดขึ้น และอะไรที่ของเดิมยังไม่มีกฎหมายนี้ก็จะเข้าไปเสริม ถ้ากฎหมายนี้มีผลบังคับใช้แล้ว แต่ละอุตสาหกรรมรวมทั้งหน่วยงานรัฐทั้งหมดที่เกี่ยวข้องกับข้อมูลส่วนบุคคล ต้องไปดูว่าที่ทำกันอยู่แล้ว ยังมีตรงไหนที่ขาดไปหรือยังไม่ได้ทำ ส่วนหน่วยงานที่ยังไม่เคยมีก็ต้องเริ่มทำ ยกเว้นในบางกิจการที่เป็นข้อมูลละเอียดอ่อนอย่างมากเช่น ข้อมูลเครดิต ก็จะมีกฎหมายเฉพาะของเขาอีกต่างหาก” แหล่งข่าวเปิดเผย