ภาพโดย Namelas Frade

ร่างพระราชบัญญัติว่าด้วยการรักษาความมั่นคงปลอดภัยไซเบอร์แห่งชาติ พ.ศ. ....[1]  เป็นร่างกฎหมายฉบับหนึ่งในชุดร่างกฎหมายเศรษฐกิจดิจิทัล 10 ฉบับ ที่คณะรัฐมนตรีมีมติเห็นชอบอนุมัติหลักการเมื่อวันที่ 16 ธันวาคม 2557 และวันที่ 6 มกราคม 2558 วันที่ 6 มกราคม 2558 มีทั้งสิ้น 6 หมวด 43 มาตรา ด้วยเหตุผลความก้าวหน้าทางเทคโนโลยีสารสนเทศซึ่งถูกนำมาใช้ประโยชน์ในการทำธุรกรรมหรือการติดต่อสื่อสาร จึงก่อให้เกิดสภาพแวดล้อมที่เอื้ออำนวยต่อภัยคุกคามและการก่ออาชญากรรมทางไซเบอร์ที่สามารถส่งผลกระทบในวงกว้างได้อย่างรวดเร็วและปัจจุบันยิ่งทวีความรุนแรงมากขึ้น สร้างความเสียหายทั้งในระดับบุคคลและระดับประเทศ การป้องกันหรือรับมือกับภัยคุกคามหรือความเสี่ยงบนไซเบอร์จึงต้องอาศัยความรวดเร็วและการประสานงานกับทุกหน่วยงานที่เกี่ยวข้องเพื่อป้องกันและรับมือได้ทันสถานการณ์ และมีการดูแลรักษาความปลอดภัยไซเบอร์อย่างต่อเนื่อง ดังนั้นเพื่อให้ประเทศไทยสามารถปกป้อง ป้องกัน หรือรับมือกับสถานการณ์ด้านการคุกคามทางไซเบอร์ที่ส่งผลกระทบหรืออาจก่อให้เกิดความเสี่ยงต่อการใช้บริการหรือการประยุกต์ใช้เครือข่ายคอมพิวเตอร์ อินเทอร์เน็ต โครงข่ายโทรคมนาคม หรือการให้บริการโดยปกติของดาวเทียม ซึ่งกระทบต่อความมั่นคงของชาติในมิติต่างๆ อันครอบคลุมถึงความมั่นคงทางการทหาร ความสงบเรียบร้อยภายในประเทศ และความมั่นคงทางเศรษฐกิจได้อย่างเหมาะสม มีการดำเนินการที่รวดเร็วและมีความเป็นเอกภาพ สมควรกำหนดให้มีคณะกรรมการขึ้นเพื่อกำหนดมาตรการด้านความมั่นคงปลอดภัยไซเบอร์ของประเทศ ให้เป็นไปอย่างมีประสิทธิภาพ และเกิดผลสัมฤทธิ์ ดังนั้นจึงสมควรให้มีกฎหมายความมั่นคงปลอดภัยไซเบอร์

เมื่อพิเคราะห์ดูเนื้อหาของกฎหมายความมั่นคงปลอดภัยไซเบอร์พบว่า เป็นกฎหมายที่ให้มีการจัดตั้งคณะกรรมการรักษาความมั่นคงปลอดภัยไซเบอร์แห่งชาติ เรียกโดยย่อว่า กปช. ชื่อภาษาอังกฤษว่า National Cybersecurity Committee เรียกโดยย่อว่า NCSC มีรัฐมนตรีว่าการกระทรวงดิจิทัลเพื่อเศรษฐกิจและสังคม[2] เป็นประธาน กรรมการโดยตำแหน่ง ได้แก่ เลขาธิการสภาความมั่นคงแห่งชาติ ปลัดกระทรวงดิจิทัลเพื่อเศรษฐกิจและสังคม ปลัดกระทรวงกลาโหม ผู้บังคับการกองปราบปรามการกระทำความผิดเกี่ยวกับอาชญากรรมทางเทคโนโลยี (ปอท.) และกรรมการผู้ทรงคุณวุฒิอีกไม่เกิน 7 คน และให้มีสำนักงานคณะกรรมการรักษาความมั่นคงปลอดภัยไซเบอร์แห่งชาติ เป็นหน่วยงานของรัฐที่มีฐานะเป็นนิติบุคคล ไม่เป็นส่วนราชการและรัฐวิสาหกิจ อยู่ภายใต้กระทรวงดิจิทัลเพื่อเศรษฐกิจและสังคม เพื่อทำหน้าที่เป็นองค์กรกลาง ประสานงาน และกำหนดแนวทางการรับมือกับภัยคุกคามทางไซเบอร์ ทั้งนี้ตามอำนาจหน้าที่ที่กฎหมายกำหนดไว้

ที่น่าสนใจคือ เนื้อหาของร่างกฎหมายความมั่นคงปลอดภัยไซเบอร์มีประเด็นที่เป็นข้อถกเถียงในสังคมหลายประเด็น โดยผู้ศึกษาได้ทำการรวบรวมจากแหล่งข้อมูลทั้งที่เป็นเอกสารวิชาการ สื่อสารมวลชน และการสัมภาษณ์ผู้ทรงคุณวุฒิที่มีความเชี่ยวชาญ พอจะสรุปสาระสำคัญได้ดังนี้

1. ภาคประชาชนที่คัดค้านไม่เห็นด้วย กล่าวโดยสรุปเป็นประเด็นได้ดังนี้

1.1 เรื่อง นิยามศัพท์ กรณี มาตรา 3 “ความมั่นคงปลอดภัยไซเบอร์” หมายความว่า มาตรการและการดำเนินการที่กำหนดขึ้นเพื่อรักษาความมั่นคงปลอดภัยไซเบอร์ของประเทศให้สามารถปกป้อง ป้องกัน หรือรับมือกับสถานการณ์ด้านการคุกคามทางไซเบอร์ที่ส่งผลกระทบหรืออาจก่อให้เกิดความเสี่ยงต่อการใช้บริการหรือการประยุกต์ใช้เครือข่ายคอมพิวเตอร์ อินเทอร์เน็ต โครงข่ายโทรคมนาคม หรือการให้บริการโดยปกติของดาวเทียม ซึ่งกระทบต่อความมั่นคงของชาติซึ่งรวมถึงความมั่นคงทางการทหาร ความสงบเรียบร้อยภายในประเทศ และความมั่นคงทางเศรษฐกิจ

เห็นได้ว่าเป็นการให้ความหมายค่อนข้างกว้างเหมือนกับกฎหมายความมั่นคงฉบับอื่น เช่น กฎอัยการศึก พระราชกำหนดการบริหารราชการในสถานการณ์ฉุกเฉิน รวมถึงพระราชบัญญัติการรักษาความมั่นคงภายในราชอาณาจักร

1.2 เรื่อง การใช้อำนาจ ตามมาตรา 34 ที่ให้อำนาจเจ้าหน้าที่มีอำนาจในการสั่งให้เอกชนกระทำการหรืองดเว้นกระทำการอย่างใดก็ได้ เป็นลักษณะของการใช้อำนาจที่ปราศจากขอบเขตจำกัดทางกฎหมาย และมาตรา 35 (1) (2) (3)[3] ที่สามารถเข้าถึงข้อมูลการสื่อสารได้โดยมิต้องขอหมายศาล โดยเฉพาะ (๓) น่ากังวลมากที่สุด เพราะให้อำนาจพนักงานเจ้าหน้าที่ตรวจสอบการสื่อสารของประชาชนได้ทุกช่องทาง โดยไม่มีขอบเขตและไม่มีกระบวนการตรวจสอบใดๆ เสมือนกับการให้อำนาจเจ้าหน้าที่ทหารอย่างเต็มที่หรือมีอำนาจล้นฟ้าในช่วงเวลาที่ประกาศใช้กฎอัยการศึกนั่นเอง[4] ทั้งนี้มีข้อเสนอว่า การดักรับข้อมูลจะกระทำได้ก็แต่โดยหมายศาลเป็นกรณีๆ ไป

1.3 เรื่อง ความไม่ชัดเจนสถานะทางกฎหมาย กล่าวคือ หน่วยงานที่จัดตั้งขึ้นตามกฎหมายมีสถานะไม่ชัดเจน เนื่องจากกำหนดให้สำนักงานคณะกรรมการรักษาความมั่นคงปลอดภัยไซเบอร์แห่งชาติ เป็นหน่วยงานของรัฐที่มีฐานะเป็นนิติบุคคล ไม่เป็นส่วนราชการและรัฐวิสาหกิจ จึงตั้งข้อสังเกตเรื่องความรับผิดตามกฎหมายว่าจะเป็นอย่างไร มีกลไกเรียกร้องการตรวจสอบได้อย่างไร[5]

กล่าวโดยสรุปคือ มีการคัดค้านไม่เห็นด้วยกับร่างกฎหมายความมั่นคงปลอดภัยไซเบอร์ โดยมองว่าเป็นกฎหมายความมั่นคงทางทหารมากกว่าจะเป็นการส่งเสริมสนับสนุนเศรษฐกิจดิจิทัล เป็นภัยคุกคามทางไซเบอร์ มีการให้อำนาจหน้าที่ของพนักงานเจ้าหน้าที่ใช้ดุลพินิจที่กว้างขวาง ขาดกลไกการตรวจสอบถ่วงดุล ไม่มีหลักประกันสิทธิและเสรีภาพ อันนำมาซึ่งการละเมิดสิทธิเสรีภาพของประชาชนในการแสดงความคิดเห็นได้โดยง่าย

2. สำหรับร่างกฎหมายดังกล่าว สุรางคณา วายุภาพ ผู้อำนวยการสำนักงานพัฒนาธุรกรรมทางอิเล็กทรอนิกส์ (องค์การมหาชน) กล่าวว่า มีความกังวลเรื่องความมั่นคงเป็นส่วนใหญ่ จะต้องยึดหลักการรักษาความลับราชการ ความถูกต้อง แท้จริง ครบถ้วน และสภาพการใช้งานของระบบ เช่นนี้แล้วจะมิอาจนำไปสู่การใช้อำนาจที่ละเมิดสิทธิความเป็นส่วนตัว ทั้งนี้หากเกิดข้อผิดพลาดในกระบวนการเขียนกฎหมายก็ต้องยอมรับ และให้ประชาชนเข้ามามีส่วนร่วม[6]

ในขณะที่ ร้อยโทเจษฎา ศิวรักษ์ เลขานุการรองประธานคณะกรรมการกิจการกระจายเสียง กิจการโทรทัศน์ และกิจการโทรคมนาคมแห่งชาติ (กสทช.) กล่าวถึงร่างกฎหมายความมั่นคงปลอดภัยไซเบอร์โดยสรุปว่า คนไทยไม่ควรกลัวรัฐบาลของตนเองตรวจสอบ เพราะที่ใช้เฟซบุ๊กอยู่ทุกวันนี้หน่วยงานภาครัฐของสหรัฐอเมริกาก็สามารถเข้าถึงข้อมูลของผู้ใช้ได้อยู่แล้ว เพราะในต่างประเทศหลายประเทศมีการเขียนกฎหมายให้รัฐสามารถเข้าไปดูข้อมูลได้ทั้งสิ้น ทั้งนี้เพื่อความปลอดภัยและความมั่นคงของประเทศ[7]

ส่วนวสันต์ ภัยหลีกลี้[8] สมาชิกสภาปฏิรูปแห่งชาติ (สปช.) และสมเกียรติ ตั้งกิจวานิชย์ ประธานสถาบันวิจัยเพื่อพัฒนาประเทศไทย (TDRI) นั้น แม้จะไม่ได้กล่าวถึงกฎหมายความมั่นคงปลอดภัยไซเบอร์โดยเฉพาะ แต่ก็ได้ให้ความเห็นในภาพรวมถึงชุดร่างกฎหมายเศรษฐกิจดิจิทัล 10 ฉบับว่า มีความน่าเป็นห่วง โดยเฉพาะประเด็นองค์กรอิสระที่อาจถูกฝ่ายการเมืองแทรกแซงได้ง่าย รายละเอียดเนื้อหากฎหมายอาจละเมิดสิทธิข้อมูลส่วนบุคคล กระทบต่อสิทธิเสรีภาพ กรอบการคิดเพื่อพัฒนาเศรษฐกิจและสังคมมีลักษณะย้อนยุคมากเกินไป อีกทั้งเป็นกฎหมายที่สร้างเครื่องมือสำหรับภาครัฐเท่านั้น นอกจากนี้การใช้อำนาจของเจ้าหน้าที่ตามกฎหมายมีลักษณะผูกขาดและรวบอำนาจมากกว่าการส่งเสริมการแข่งขัน[9] ต้องระมัดระวังอย่างยิ่งที่จะไม่ละเมิดสิทธิเสรีภาพของประชาชน ปิดกั้นเสรีภาพการเข้าถึงข้อมูล ประการสำคัญคือ ต้องให้ภาคประชาชนเข้ามามีส่วนร่วม[10] ขณะที่นายแพทย์ประวิทย์ ลี่สถาพรวงศา กรรมการคณะกรรมการกิจการกระจายเสียง กิจการโทรทัศน์ และกิจการโทรคมนาคมแห่งชาติ (กสทช.) ได้กล่าวถึงชุดร่างกฎหมายเศรษฐกิจดิจิทัลว่าจะต้องมีการศึกษาให้ละเอียด เนื่องจากร่างกฎหมายแต่ละฉบับมีความซับซ้อน[11]

3. สำหรับงานชิ้นนี้ผู้ศึกษาให้ความสนใจกรณีศึกษารองศาสตราจารย์คณาธิป ทองรวีวงศ์ คณบดีคณะนิติศาสตร์ มหาวิทยาลัยเซ็นต์จอห์น ที่เห็นว่าปัจจุบันทั่วโลกมีความพยายามนำหลักการ Open Government Data (OGD) มาใช้มากขึ้น เป็นหลักการที่ป้องกันความมั่นคงปลอดภัยทางไซเบอร์ (Cyber security)[12] และค่อนข้างเห็นด้วยเชิงหลักการกับการมีกฎหมายความมั่นคงปลอดภัยไซเบอร์ ทว่าก็ยังมีความเป็นห่วงในประเด็นการดักรับข้อมูลในบริบทปัจจุบัน เพราะโครงสร้างของกฎหมายในส่วนอื่นๆ ยังไม่มีการรองรับ โดยชี้ให้เห็นว่า ในชั้นแรกจะต้องมีกฎหมายที่ห้ามการดักรับข้อมูลเป็นเรื่องที่ผิดกฎหมายเสียก่อน จากนั้นจึงค่อยกำหนดกฎหมายที่เป็นข้อยกเว้นว่า ถ้าจะดักรับข้อมูลจะสามารถกระทำได้ในกรณีใดบ้าง[13]

นอกจากนี้ มีงานศึกษาเปรียบเทียบร่างกฎหมายความมั่นคงปลอดภัยไซเบอร์ของไทยกับกฎหมายคุ้มครองข้อมูลส่วนบุคคลของประเทศเกาหลีใต้ (Personal Information Protect Act) ซึ่งได้ข้อค้นพบว่า ร่างกฎหมายความมั่นคงปลอดภัยไซเบอร์ของไทยมีพื้นฐานความคิดที่แตกต่างจากกฎหมายคุ้มครองข้อมูลส่วนบุคคลของประเทศเกาหลีใต้ เนื่องจากเน้นพื้นฐานหลักการความมั่นคงมากกว่าสิทธิส่วนบุคคลด้านข้อมูล

หากจะมีกฎหมายความมั่นคงปลอดภัยไซเบอร์ เห็นว่าควรมีบทบัญญัติเกี่ยวข้องกับการจัดตั้งหน่วยงานเฉพาะขึ้นมาเพื่อทำแผน ศึกษาวิจัย ส่งเสริมการควบคุมกันโดยภาคเอกชนและภาคประชาสังคม (Self-regulation) โดยไม่มีบทบัญญัติในลักษณะการดักรับข้อมูลจากประชาชน[14]

ดังนั้น หากรัฐบาลต้องการสร้างแนวคิดสังคมเศรษฐกิจดิจิทัลให้เกิดขึ้นจริง การดูแลความมั่นคงปลอดภัยไซเบอร์และการปกป้องความเป็นส่วนตัวของประชาชนและผู้ประกอบการถือเป็นหัวใจและพื้นฐานสำคัญในการเขียนกฎหมายที่จะสนับสนุนเศรษฐกิจดิจิทัล รัฐควรวางบทบาทให้ชัดเจนว่าเป็นผู้สนับสนุนให้เกิดการแข่งขันระหว่างผู้ประกอบการต่างๆ รวมทั้งมีส่วนในการวางมาตรฐานความปลอดภัยที่เหมาะสม และไม่ควรมีผลประโยชน์ทับซ้อน[15] ในส่วนบทนิยามเรื่องความมั่นคงปลอดภัยไซเบอร์ควรอธิบายให้ชัดเจน และต้องแสดงให้เห็นถึงความรอบคอบในการออกกฎหมายเพื่อประเทศหรือผู้มีอำนาจ และประชาชนจะเข้าไปมีส่วนร่วมเรื่องความมั่นคงอย่างไร[16] โดยเฉพาะประเด็นการจำกัดเสรีภาพการเข้าถึงข้อมูลข่าวสารส่วนบุคคลและการแสดงความคิดเห็นของประชาชน แต่กลับให้อำนาจเจ้าหน้าที่เข้าถึงข้อมูลข่าวสารของบุคคลได้โดยใช้หลักความมั่นคงวินิจฉัย[17]

4. จากที่ได้กล่าวมาทั้งหมดข้างต้น ผู้ศึกษาเห็นว่ากฎหมายความมั่นคงปลอดภัยไซเบอร์มีปัญหาในเรื่องของความชอบธรรม (Legitimacy) ทางเนื้อหาที่มีลักษณะเป็นการละเมิดสิทธิและเสรีภาพของบุคคล แม้รัฐธรรมนูญแห่งราชอาณาจักรไทย (ฉบับชั่วคราว) พุทธศักราช 2557 จะได้กำหนดรับรองและคุ้มครองเรื่องศักดิ์ศรีความเป็นมนุษย์ สิทธิ เสรีภาพ และความเสมอภาค ตามประเพณีการปกครองของไทยและพันธกรณีระหว่างประเทศแล้วก็ตาม แต่ก็เห็นได้ชัดเจนว่าร่างกฎหมายดังกล่าวจำกัดสิทธิและเสรีภาพโดยอ้างฐานความคิดเรื่องความมั่นคงทางเศรษฐกิจ ซึ่งไม่สอดคล้องกับรัฐธรรมนูญ ทั้งที่ความเป็นจริงแล้วรัฐธรรมนูญก็มีหลักที่เป็นข้อยกเว้นว่า การตรากฎหมายเพื่อจำกัดเสรีภาพสามารถกระทำได้ โดยอาศัยอำนาจตามบทบัญญัติแห่งรัฐธรรมนูญที่กำหนดไว้เท่าที่จำเป็น จะกระทบกระเทือนสาระสำคัญแห่งสิทธิและเสรีภาพมิได้ จึงชี้ให้เห็นถึงความย้อนแย้งแนวคิดพื้นฐานอันเป็นจุดตั้งต้นของกฎหมายความมั่งคงไซเบอร์ว่าแท้ที่จริงมีจุดประสงค์เพื่อการพัฒนาทางเศรษฐกิจจริงหรือไม่ ซึ่งเป็นเรื่องของระบบฐานข้อมูลข่าวสารที่จะต้องรักษาคุ้มครองให้มีความปลอดภัยในการประกอบกิจกรรมทางสังคม อีกทั้งร่างกฎหมายดังกล่าวมีลักษณะรวมศูนย์การใช้อำนาจที่เบ็ดเสร็จ

ด้วยเหตุนี้ จึงขอตั้งข้อสังเกตและข้อเสนอแนะไว้ว่า หากวัตถุประสงค์ที่แท้จริงของรัฐบาลที่ต้องการให้เกิดความมั่นคงปลอดภัยทางไซเบอร์เพื่อพัฒนาส่งเสริมเศรษฐกิจของไทย จำเป็นที่จะต้องปรับปรุงบทบัญญัติของร่างกฎหมายความมั่นคงปลอดภัยไซเบอร์ให้ถูกต้อง โดยอาศัยอำนาจตามบทบัญญัติแห่งกฎหมายในการจำกัดสิทธิและเสรีภาพเท่าที่จำเป็นและไม่กระทบกระเทือนสาระสำคัญสิทธิและเสรีภาพนั้น ตลอดจนมีกลไกการตรวจสอบถ่วงดุลการใช้อำนาจของรัฐ มิเช่นนั้นแล้วจึงไม่แปลกนักที่ภาคประชาชนได้กล่าวว่าเป็นร่างกฎหมายที่ไม่ต่างไปจากกฎหมายความมั่นคงทางทหารของรัฐ เพราะเนื้อหาของกฎหมายเปิดช่องให้ทหารเข้ามามีบทบาทมาก และหากมองในแง่การบริหารราชการแผ่นดินจะทำให้เห็นถึงความพยายามของรัฐที่มุ่งแต่จะออกกฎหมายเพิ่มขึ้นเรื่อยๆ และกฎหมายเหล่านั้นเป็นการ “ควบคุม” หรือ“จำกัดสิทธิเสรีภาพ” ของประชาชนมากกว่าที่จะเป็นกฎหมายที่ “คุ้มครอง ส่งเสริม สนับสนุน หรืออำนวยความสะดวก” ให้ประชาชน