เหตุการณ์ข้อมูลส่วนบุคคลรั่วไหลกำลังกลายเป็นบททดสอบสำคัญขององค์กรที่ถือครองข้อมูลประชาชน เมื่อสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล หรือ สคส. (PDPC) เดินหน้าตรวจสอบ 2 กรณีสำคัญ ทั้งข้อมูลที่เกี่ยวข้องกับระบบบริการสุขภาพและสิทธิการรักษาพยาบาล “หมอพร้อม” รวมถึงเหตุข้อมูลผู้ใช้บริการ TSD Investor Portal ถูกเข้าถึงโดยไม่ได้รับอนุญาต
 

PDPC ได้แจ้งให้กระทรวงสาธารณสุขและบริษัท ศูนย์รับฝากหลักทรัพย์ (ประเทศไทย) จำกัด หรือ TSD นำส่งข้อมูล คำชี้แจง และพยานหลักฐานเพิ่มเติมให้ครบถ้วน เพื่อประเมินตั้งแต่สาเหตุ ขอบเขตผลกระทบ การแจ้งเหตุ ไปจนถึงมาตรการเยียวยาและป้องกันไม่ให้เกิดเหตุซ้ำ ก่อนพิจารณาดำเนินการตามกฎหมาย

“หมอพร้อม” มีผู้ใช้สิทธิร้องเรียนกว่า 30 ราย

สำหรับกรณีข้อมูลที่เกี่ยวข้องกับระบบบริการสุขภาพและสิทธิการรักษาพยาบาล ปัจจุบันมีเจ้าของข้อมูลใช้สิทธิยื่นเรื่องร้องเรียนต่อ PDPC ในประเด็นที่เกี่ยวข้องกับระบบ “หมอพร้อม” แล้วกว่า 30 ราย

PDPC จึงประสานกระทรวงสาธารณสุขให้ชี้แจงว่า ข้อมูลที่เป็นประเด็นมาจากระบบหรือหน่วยงานใด ประกอบด้วยข้อมูลประเภทใด และมีประชาชนจำนวนเท่าใดที่อาจได้รับผลกระทบ รวมถึงมีการเข้าถึง เปิดเผย หรือส่งต่อข้อมูลโดยมิชอบหรือไม่

ขณะเดียวกัน กระทรวงสาธารณสุขต้องแสดงหลักฐานเกี่ยวกับมาตรการรักษาความมั่นคงปลอดภัย การตรวจสอบช่องโหว่ บันทึกการเข้าถึงระบบ การควบคุมและจำกัดผลกระทบ ตลอดจนการประเมินความเสี่ยงต่อสิทธิและเสรีภาพของประชาชน

เป้าหมายสำคัญคือการตรวจสอบว่า หน่วยงานได้แจ้งเหตุละเมิดข้อมูลส่วนบุคคลต่อ PDPC และแจ้งเจ้าของข้อมูลภายในหลักเกณฑ์และระยะเวลาที่กฎหมายกำหนดครบถ้วนหรือไม่

TSD กระทบผู้ใช้บริการประมาณ 2 แสนราย

อีกกรณีคือการเข้าถึงข้อมูลส่วนบุคคลในระบบ TSD Investor Portal โดยไม่ได้รับอนุญาต ซึ่ง TSD ระบุว่า พบความผิดปกติเมื่อวันที่ 25 กรกฎาคม 2569 และยืนยันในวันถัดมาว่ามีข้อมูลบางส่วนถูกเข้าถึง

เหตุการณ์ดังกล่าวส่งผลกระทบต่อผู้ใช้บริการประมาณ 200,000 ราย จากบัญชีในระบบทั้งหมดประมาณ 5 ล้านบัญชี โดยข้อมูลที่อาจได้รับผลกระทบครอบคลุมชื่อ–นามสกุล วันเดือนปีเกิด เลขประจำตัวประชาชน ที่อยู่ หมายเลขโทรศัพท์ อีเมล ข้อมูลบริษัทหลักทรัพย์ เลขบัญชีซื้อขายหลักทรัพย์ ตลอดจนชื่อธนาคารและเลขที่บัญชีธนาคารของผู้ใช้บางส่วน

อย่างไรก็ตาม TSD ยืนยันว่า ระบบ Investor Portal แยกออกจากระบบรับฝากหลักทรัพย์และระบบธุรกรรมส่วนหลัง โดยขณะนี้ยังไม่พบว่าข้อมูลการถือครองหลักทรัพย์หรือธุรกรรมซื้อขายหลักทรัพย์ได้รับผลกระทบ และยังไม่พบความเสียหายทางการเงินที่เชื่อมโยงกับเหตุการณ์นี้

หลังตรวจพบเหตุ TSD ได้ปิดกั้นช่องทางการเข้าถึงที่ผิดปกติ ประสานตำรวจไซเบอร์ แจ้งหน่วยงานกำกับดูแล รวมถึงประสานบริษัทหลักทรัพย์และธนาคารให้เพิ่มระดับการเฝ้าระวัง พร้อมแจ้งเตือนผู้ได้รับผลกระทบผ่านอีเมลและ SMS

แถลงต่อสาธารณะยังไม่เพียงพอ ต้องมีหลักฐานตรวจสอบย้อนกลับได้

พ.ต.อ.สุรพงศ์ เปล่งขำ เลขาธิการคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล กล่าวว่า ทั้งสองกรณีเกี่ยวข้องกับข้อมูลประชาชนจำนวนมาก และข้อมูลบางประเภทสามารถนำไปเชื่อมโยงเพื่อระบุตัวบุคคล ใช้สวมรอย หรือหลอกลวงเจ้าของข้อมูลได้ จึงต้องตรวจสอบจากข้อเท็จจริงและพยานหลักฐานที่ครบถ้วน ไม่อาศัยเพียงคำชี้แจงหรือข้อมูลที่เผยแพร่ต่อสาธารณะด้านเดียว

“การแถลงข้อเท็จจริงต่อสาธารณะถือเป็นส่วนสำคัญของการแสดงความรับผิดชอบ แต่ในทางกฎหมาย สคส. จำเป็นต้องตรวจสอบให้เห็นถึงข้อมูลทางเทคนิค เอกสาร และหลักฐานการดำเนินงานที่ตรวจสอบย้อนกลับได้ เพื่อประเมินว่าองค์กรได้จัดให้มีมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสมกับความเสี่ยง และปฏิบัติหน้าที่ภายหลังเกิดเหตุอย่างครบถ้วนและทันท่วงทีแล้วหรือไม่”

เลขาธิการ PDPC ย้ำว่า การเกิดเหตุข้อมูลส่วนบุคคลรั่วไหลไม่ได้หมายความว่าองค์กรนั้นมีความผิดตามกฎหมายโดยอัตโนมัติ แต่ต้องพิจารณาว่าก่อนเกิดเหตุได้วางมาตรการป้องกันไว้อย่างเหมาะสมหรือไม่ ตรวจพบและควบคุมเหตุได้รวดเร็วเพียงใด รวมถึงได้แจ้งเหตุ แจ้งเจ้าของข้อมูล และลดผลกระทบตามหน้าที่ที่กฎหมายกำหนดหรือไม่

หากพบข้อบกพร่องหรือการดำเนินการที่ไม่เป็นไปตามกฎหมาย PDPC จะพิจารณามาตรการตามระดับความร้ายแรง ตั้งแต่การสั่งแก้ไขและยกระดับมาตรฐานการคุ้มครองข้อมูล ไปจนถึงการดำเนินกระบวนการตามกฎหมาย

“ข้อมูลของประชาชนที่อยู่ในความดูแลของหน่วยงานรัฐหรือภาคเอกชน ไม่ใช่เพียงทรัพยากรสำหรับให้บริการ แต่เป็นสิทธิของประชาชนที่องค์กรมีหน้าที่ต้องดูแลอย่างรอบคอบ โดยเฉพาะข้อมูลด้านสุขภาพ ข้อมูลประจำตัว และข้อมูลที่เชื่อมโยงกับบัญชีทางการเงิน ซึ่งหากรั่วไหลอาจถูกนำไปสร้างความเสียหายได้ในระยะยาว”

จาก “เก็บข้อมูล” สู่ความรับผิดชอบที่ต้องพิสูจน์ได้

กรณีหมอพร้อมและ TSD สะท้อนว่า การคุ้มครองข้อมูลในยุคดิจิทัลไม่ได้จบเพียงการลงทุนระบบรักษาความปลอดภัย แต่ครอบคลุมถึงความสามารถในการตรวจสอบย้อนกลับ การแจ้งเหตุอย่างทันท่วงที การสื่อสารกับผู้ได้รับผลกระทบ และการแสดงหลักฐานว่าองค์กรได้ปฏิบัติหน้าที่ตาม PDPA อย่างครบถ้วน

เพราะเมื่อข้อมูลด้านสุขภาพ ข้อมูลประจำตัว และข้อมูลทางการเงินเชื่อมโยงเข้าหากัน ความเสียหายจากข้อมูลรั่วไหลอาจไม่ได้เกิดขึ้นเพียงวันแรก แต่อาจติดตามเจ้าของข้อมูลไปอีกเป็นเวลานาน

เกมคุ้มครองข้อมูลจึงไม่ได้วัดว่าองค์กร “ไม่เคยเกิดเหตุ” แต่ต้องวัดว่า ก่อนเกิดเหตุป้องกันดีเพียงใด และหลังเกิดเหตุรับผิดชอบได้เร็ว โปร่งใส และพิสูจน์ได้แค่ไหน