นักวิชาการกฎหมายย้ำ ความมั่นคงปลอดภัยไซเบอร์ต้องเน้นป้องกัน-แก้ไข ไม่ใช่ปราบปราม ตั้งคำถามมี 'ภัยคุกคาม' จริงหรือ - ชี้ 4 ประเด็นมาตรฐานสิทธิความเป็นส่วนตัวที่เอื้อต่อ ศก.ดิจิทัล 'พลเมืองเน็ต' เทียบ ตปท.: องค์กรที่ไม่ใช่รัฐมีส่วนร่วมในนโยบาย แบ่งแยกหน่วยงานชัดเจนระหว่างโครงสร้าง-ต้านก่อการร้าย และมีหน่วยงานอิสระดูแลสิทธิพลเมือง iLaw ลุ้นวัดใจ สนช.ฟังเสียงค้านนอกสภาหรือไม่-ตอบคำถาม ไม่ผิดแล้วจะกลัวอะไร
18 ก.พ. 2558 ในการอภิปรายวิชาการเรื่อง ไซเบอร์สเปซ: กฎหมาย พื้นที่ปลอดภัย และข้อมูลส่วนบุคคล จัดโดยโครงการประกาศนียบัตรบัณฑิตทางกฎหมายมหาชน คณะนิติศาสตร์ มหาวิทยาลัยธรรมศาสตร์ (มธ.) มีการอภิปรายถึงชุดร่างกฎหมายที่เกี่ยวกับเศรษฐกิจดิจิทัล 10+3 ฉบับ ซึ่ง ครม.เห็นชอบในหลักการแล้ว ขณะนี้อยู่ในการพิจารณาของกฤษฏีกา
ย้ำความมั่นคงปลอดภัยไซเบอร์ต้องเน้นป้องกัน-แก้ไข ไม่ใช่ปราบปราม
ตั้งคำถามไทยมี 'ภัยคุกคาม' จริงหรือ
จอมพล พิทักษ์สันตโยธิน อาจารย์ประจำคณะนิติศาสตร์ มหาวิทยาลัยหอการค้าไทย กล่าวว่า เมื่อเศรษฐกิจดิจิทัลต้องพึ่งพาอินเทอร์เน็ตในการดำเนินกิจกรรมทางเศรษฐกิจ แต่อินเทอร์เน็ตก็มีจุดเปราะบางและอาจส่งผลต่อการดำเนินการของเศรษฐกิจดิจิทัล ดังนั้น เพื่อให้เศรษฐกิจดิจิทัลไม่สะดุด มาตรการความมั่นคงปลอดภัยไซเบอร์จึงจำเป็น ทั้งนี้ แนวคิดเรื่องความมั่นคงปลอดภัยไซเบอร์ โดยรวมหมายถึง การใช้มาตรการความมั่นคงปลอดภัยเพื่อรักษาความลับ ความสมบูรณ์ของข้อมูล การคุ้มครองสิ่งที่เก็บข้อมูล และความมั่นคงปลอดภัยของมนุษย์ที่เป็นผู้ใช้อินเทอร์เน็ต ดังนั้น มาตรการความมั่นคงปลอดภัยไซเบอร์จึงไม่ได้หมายถึงกฎหมายเท่านั้น ยังรวมถึงมาตรการเชิงเทคนิค และการป้องกันสิ่งที่จะเกิดขึ้นด้วย
"อาจกล่าวได้ว่า มาตรการมั่นคงปลอดภัยไซเบอร์เน้นการป้องกันและแก้ไขปัญหามากกว่าการป้องกันและปราบปราม ซึ่งเป็นแนวคิดของกฎหมายอาญา" จอมพล กล่าว
จอมพล กล่าวต่อว่า ขณะที่ "อาชญากรรมไซเบอร์" หมายถึงกิจกรรมที่ใช้คอมพิวเตอร์เป็นสื่อกลาง เช่น การแฮกหรือการเจาะระบบ การใช้มัลแวร์ เช่น ไวรัส หนอน หรือโทรจัน เป็นต้น ซึ่งความผิดของการกระทำเหล่านี้ พ.ร.บ.ว่าด้วยการกระทำความผิดเกี่ยวกับคอมพิวเตอร์ ได้กำหนดโทษไว้แล้ว นอกจากนี้ในร่างแก้ไข พ.ร.บ.คอมฯ ก็มีการกำหนดโทษให้ชัดเจนขึ้นในกรณีสแปมและฟิชชิ่ง รวมถึงกำหนดโทษสูงขึ้นในกรณีที่กระทบความมั่นคงของประเทศ และบริการสาธารณะ โดยการโจมตีดังกล่าวมีเป้าหมาย ได้แก่ ระบบการเงินการธนาคาร สาธารณูปโภคและการขนส่ง การบริการบนอินเทอร์เน็ต และระบบคอมพิวเตอร์ของหน่วยงานรัฐ ซึ่งจะทำให้พัฒนาการของระบบเศรษฐกิจดิจิทัลเกิดการชะงักงัน
อย่างไรก็ตาม เขาตั้งคำถามว่า สิ่งเหล่านี้เป็นภัยคุกคามที่แท้จริงหรือภัยที่เป็นไปได้ โดยชี้ว่า เนื่องจากระบบอินเทอร์เน็ตกระจายและไม่รวมศูนย์ เพราะฉะนั้น การเก็บข้อมูลการโจมตีทำได้ลำบาก บริษัทที่ตกเป็นเหยื่อก็ไม่อยากเปิดเผยเพราะส่งผลต่อความน่าเชื่อถือของบริษัทหรือแก้ไขได้ด้วยตัวเอง ทำให้การเก็บข้อมูลเป็นไปได้ยาก ทำให้รัฐบาลทั่วโลกกังวลและคาดการณ์ว่าจะอาจเป็นได้ ทำให้มีการบัญญัติกฎหมายขึ้น
จอมพล ระบุว่า ส่วนตัวเห็นด้วยว่าควรมีมาตรการความมั่นคงปลอดภัยไซเบอร์ แต่ร่าง พ.ร.บ.การรักษามั่นคงปลอดภัยไซเบอร์ ยังไม่ละเอียดอ่อนเพียงพอ โดยมาตรการความมั่นคงปลอดภัยไซเบอร์ ควรเป็นการพูดคุยระหว่างภาคเอกชนกับภาครัฐ ว่าภาคเอกชนต้องการมาตรการปกป้องอย่างไร มากกว่าเป็นการสั่งการจากบนลงล่าง ที่สำคัญคือ สงสัยว่า มีการศึกษาหรือยังว่ามีการโจมตีมากน้อยแค่ไหน เพราะที่สุดแล้ว เราอาจไม่ต้องการ พ.ร.บ.มั่นคงไซเบอร์ลักษณะนี้ หรืออาจแยกเป็นสองส่วนระหว่างเรื่องความมั่นคงของชาติกับความมั่นคงทางเศรษฐกิจก็ได้ เพราะมาจากฐานคิดคนละเรื่องกัน
เทียบ ตปท.: องค์กรที่ไม่ใช่รัฐมีส่วนร่วมในนโยบาย แบ่งแยกหน่วยงานชัดเจนระหว่างโครงสร้าง-ต้านก่อการร้าย และมีหน่วยงานอิสระดูแลสิทธิพลเมือง
ด้าน อาทิตย์ สุริยะวงศ์กุล ผู้ประสานงานมูลนิธิเพื่ออินเทอร์เน็ตและวัฒนธรรมพลเมือง กล่าวถึงการวางหลักการเรื่องความมั่นคงไซเบอร์ในต่างประเทศว่า กระทรวงไอซีทีของไทยระบุว่าได้ใช้หน่วยงานความมั่นคงปลอดภัยของสหรัฐอเมริกาเป็นตัวแบบ โดยโครงสร้างหน่วยงานของไทยตามร่างกฎหมายปัจจุบันก็ล้อกันมา แต่จุดหนึ่งที่อาจจะต่างกันคือ หน่วยงานของสหรัฐ คือ National Cybersecurity and Communications Integration Center หรือ NCCIC มีการเข้าไปมีส่วนร่วมของภาคเอกชนเยอะมาก ด้วยเหตุผลว่า เนื่องจากโครงสร้างพื้นฐานด้านโทรคมนาคมและอินเทอร์เน็ตส่วนใหญ่ในสหรัฐฯ ดำเนินงานโดยเอกชนแทบทั้งสิ้นจึงจำเป็นต้องดึงคนที่เกี่ยวข้องมามีส่วนร่วมในการทำงานด้วย
ทั้งนี้ อาทิตย์ ชี้ว่า กฎหมายสหรัฐฯ จะเน้นในเรื่องความมั่นคงปลอดภัยของโครงสร้างพื้นฐาน ทั้งในลักษณะกายภาพและเสมือนจริง ที่หากถูกทำลายจะส่งผลต่อความมั่นคงของชาติอย่างชัดเจน โดยในกฎหมายที่เกี่ยวข้อง จะระบุถึงว่า ต้องมีกระบวนการปรึกษาหารือเพื่อนำมาสู่นโยบายที่เกี่ยวข้องอย่างไรบ้าง โดยหน่วยงานที่ต้องดึงเข้ามา มีอาทิ หน่วยงานรัฐทั้งระดับประเทศและระดับท้องถิ่น ผู้เชี่ยวชาญภายนอก นักวิชาการ
ขณะที่ประเด็นการใช้ระบบในการกระทำที่กระทบต่อความมั่นคงของชาติ เช่น ก่อการร้าย ค้ายาเสพติด มีการระบุว่า เวลาจะทำแผนดักฟังเพื่อความมั่นคง จะต้องคำนึงถึงสิทธิในความเป็นส่วนตัวและสิทธิพลเมืองด้วย การเก็บข้อมูลต่างๆ ต้องไม่เป็นไปเพื่อการปิดกั้นการวิพากษ์วิจารณ์หรือต่อต้านรัฐบาล
อาทิตย์ กล่าวด้วยว่า นอกจากนี้ ต้องมีคณะกรรมการชุดหนึ่งตั้งขึ้นเพื่อดูแลการทำงานของสำนักงานความมั่นคงแห่งชาติสหรัฐ (NSA) โดยคณะกรรมการดังกล่าวทำหน้าที่คล้ายคณะกรรมการสิทธิมนุษยชนของไทย สามารถเรียกให้หน่วยงานที่เกี่ยวข้องเข้ามาให้ข้อมูลและข้อแนะนำได้ แต่ไม่มีอำนาจลงโทษ โดยที่หน่วยงานที่เกี่ยวข้องมีหน้าที่นำข้อแนะนำของคณะกรรมการดังกล่าวไปพิจารณาและปรับปรุงการทำงาน
นอกจากนี้ อาทิตย์ยกตัวอย่างหลักการขององค์การเพื่อความร่วมมือทางเศรษฐกิจและการพัฒนา หรือ OECD ซึ่งระบุถึงความมั่นคงปลอดภัยไซเบอร์ว่า การทำงานต้องเป็นการประสานงานกันทุกระดับทั้งเรื่องนโยบาย ปฏิบัติการ เน้นการทำงานร่วมกันระหว่างภาครัฐและเอกชน โดยต้องให้ความเคารพคุณค่าพื้นฐาน เช่น สิทธิความเป็นส่วนตัว เสรีภาพในการแสดงออก และการไหลเวียนเสรีของข้อมูล และในการทำแผน ภาคส่วนที่เกี่ยวข้องทั้งหมดต้องเข้ามามีส่วนร่วม พร้อมเน้นว่า การรับมือกับภัยไซเบอร์ที่เกิดขึ้น ต้องไม่กระทบต่อความเปิดกว้างของอินเทอร์เน็ต ซึ่งถือเป็นหัวใจสำคัญของเศรษฐกิจดิจิทัล
4 ประเด็นมาตรฐานสิทธิความเป็นส่วนตัวที่เอื้อต่อ ศก.ดิจิทัล
ด้าน ฐิติรัตน์ ทิพย์สัมฤทธิ์กุล อาจารย์ประจำคณะนิติศาสตร์ มหาวิทยาลัยธรรมศาสตร์ มธ. กล่าวถึงความสำคัญของสิทธิความเป็นส่วนตัวโดยชี้ว่า ธุรกรรมทางอินเทอร์เน็ตหรือเศรษฐกิจดิจิทัลจะเกิดขึ้นไม่ได้เลย หากผู้บริโภคไม่มีความมั่นใจว่าความเป็นส่วนตัวจะได้รับการปกป้อง
ฐิติรัตน์ กล่าวว่า หากไม่ทำระบบให้ปลอดภัยหรือสร้างนโยบายความเป็นส่วนตัวที่มั่นคง จะสูญเสียโอกาสในการพัฒนาระบบจัดการข้อมูล เสียโอกาสจะขยายการเข้าถึงบริการพื้นฐานสาธารณะ รวมถึงการเพิ่มขีดความสามารถในการแข่งขันทางการค้ากับต่างประเทศ พร้อมชี้ว่า ก่อนปี 2553 ในอาเซียน ไม่มีประเทศไหนที่มีกฎหมายคุ้มครองข้อมูลส่วนบุคคล แต่ตอนนี้ สิงคโปร์ มาเลเซีย อินโดนีเซีย ฟิลิปปินส์ มีกฎหมายนี้แล้ว
"เรากำลังอยู่ในยุคที่กำลังจะแข่งกันว่า ใครจะทำธุรกรรมข้อมูล หรือใช้ประโยชน์จากเทคโนโลยีให้เป็นประโยชน์ทางเศรษฐกิจของประเทศตนได้เท่าไหร่" ฐิติรัตน์กล่าวและว่า แน่นอนว่า การมีกฎหมายควบคุมการใช้จัดเก็บเผยแพร่ข้อมูล เป็นภาระที่ต้องเสียเงินเพิ่มขึ้น แต่ก็มีผลดีคือ ทำให้ระบบมีเสถียรภาพ แสดงให้ผู้ประกอบการในประเทศตะวันตกที่ต้องการลงทุนด้วยมั่นใจได้ว่าข้อมูลที่ส่งมาจะไม่ถูกนำไปใช้ในทางที่ผิดหรือละเมิด หรือเกิดอันตรายต่อผู้บริโภคในตลาดของตัวเอง
ฐิติรัตน์ กล่าวว่า มาตรฐานสิทธิความเป็นส่วนตัวหรือการคุ้มครองข้อมูลส่วนบุคคลที่จะเอื้อต่อเศรษฐกิจดิจิทัล จะต้องประกอบด้วย 1.ความชัดเจนของกฎหมาย หากดูในร่าง พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล จะพบว่า ไม่มีการแยกแยะความรับผิดระหว่างผู้ควบคุมข้อมูล (data controller) ซึ่งเป็นผู้มีอำนาจตัดสินใจว่าจะจัดการข้อมูลนั้นอย่างไร กับผู้จัดการข้อมูล (data processor) ซึ่งเป็นผู้ที่ได้รับการจ่ายงานมาจากผู้ควบคุมข้อมูล ว่าหากเกิดการละเมิดใครจะรับผิดชอบ โดยร่าง พ.ร.บ.ระบุไว้เพียงผู้ควบคุมข้อมูลเท่านั้น ถามว่าทุกคนที่จำเป็นต้องเข้าถึงข้อมูลจะมีความผิดหมดเลยหรือ นอกจากนี้ มาตราหนึ่งในร่าง พ.รบ.นี้ยังระบุว่า ห้ามส่งข้อมูลไปต่างประเทศ ในกรณีที่ประเทศนั้น มีมาตรฐานต่ำกว่าประเทศไทย ตรงนี้ยังไม่มีนิยามที่ชัดเจนว่า อย่างไรจึงจะเป็นมาตรฐานที่สูงกว่าหรือเท่ากับประเทศไทย
2.หลักการที่ปฏิบัติได้จริงและไม่ผลักภาระให้ฝ่ายใดฝ่ายหนึ่ง ยกตัวอย่างว่า หากกฎหมายให้ขอความยินยอมเยอะไปหมด อาจเกิดการใช้แทคติก เช่น ขอความยินยอมแบบเหมาเข่ง ซึ่งจะทำให้ไม่บรรลุวัตถุประสงค์ของกฎหมาย นอกจากนี้ ในร่าง พ.ร.บ.ยังระบุว่า ต้องดำเนินมาตรการรักษาความปลอดภัย แต่ไม่เขียนไว้ว่า อย่างไรจึงจะถือว่าทำแล้ว ทั้งนี้ ควรต้องสอบถามผู้ที่มีส่วนเกี่ยวข้องให้รอบด้านด้วยว่าจะปฏิบัติได้จริงหรือไม่
3.ความสอดคล้องของการใช้กฎหมายโดยผู้กำกับดูแล ร่าง พ.ร.บ.นี้ระบุว่า ภาครัฐและเอกชนใช้มาตรฐานเดียวกัน แต่ภาคเอกชน จะถูกกำกับโดยคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลแห่งชาติที่จะตั้งขึ้นใหม่ ส่วนภาครัฐจะขึ้นกับสำนักงานคณะกรรมการข้อมูลข่าวสารของราชการ ซึ่งน่าสงสัยว่า จะมีมาตรฐานเดียวกันหรือไม่ เมื่อในทางปฏิบัติ ผู้กำกับดูแลเป็นคนละหน่วยงาน
4.ข้อยกเว้นต้องไม่ทำลายวัตถุประสงค์โดยรวม ร่าง พ.ร.บ.นี้มีความมุ่งหมายคุ้มครองข้อมูลส่วนบุคคล แต่ในมาตรา 23 ระบุว่า การเก็บรวบรวมข้อมูลส่วนบุคคล ผู้ควบคุมข้อมูลส่วนบุคคลได้รับการยกเว้นไม่ต้องแจ้งให้เจ้าของข้อมูลทราบก่อน หรือในขณะเก็บ ในหลายกรณี อาทิ เพื่อประโยชน์เกี่ยวกับการวางแผนหรือสถิติหรือสำมะโนต่างๆ ของหน่วยงานรัฐ เพื่อประโยชน์แก่การสืบสวน เพื่อป้องกันหรือระงับอันตรายต่อชีวิต ร่างกายหรือสุขภาพของบุคคล ตั้งคำถามว่า เหล่านี้เป็นข้อยกเว้นที่ทำลายวัตถุประสงค์ของกฎหมายหรือไม่ เป็นการยกเว้นเท่าที่จำเป็นหรือไม่ หรือยกเว้นไปหมด
วัดใจ สนช.ฟังเสียงค้านนอกสภาหรือไม่
ตอบคำถาม ไม่ผิดแล้วจะกลัวอะไร
ยิ่งชีพ อัชฌานนท์ เจ้าหน้าที่โครงการอินเทอร์เน็ตเพื่อกฎหมายประชาชน (iLaw) ชี้ว่า กระบวนการออกกฎหมายปัจจุบันไม่ปกติ โดยจากเดิมที่มี ส.ส.จากการเลือกตั้ง มีฝ่ายค้าน ส.ว.ทั้งที่แต่งตั้งและเลือกตั้งคอยตรวจสอบ ขณะนี้ มี ครม.ที่มาจากการแต่งตั้ง และมีสภาเดียวซึ่งมาจากการแต่งตั้งทั้งหมด
ยิ่งชีพ กล่าวต่อว่า เมื่อ ครม.รับหลักการแล้ว กฤษฎีกาจะไม่มีอำนาจแก้ไขหลักการของกฎหมายได้ ดังนั้น แม้บรรดาผู้ร่างกฎหมายจะเวียนออกมาให้สัมภาษณ์ว่าพร้อมรับฟังคำวิจารณ์และแก้ไข ก็อย่าได้วางใจ เพราะผู้ร่างมีอำนาจเต็มในการร่างตั้งแต่ต้น แต่ก็ยังปล่อยให้กฎหมายออกมาแบบนี้ และตอนนี้ไม่มีอำนาจอะไรแล้ว ขณะที่คนมีอำนาจคือกฤษฎีกา และ สนช.ยังไม่ออกมาพูดอะไร
เขากล่าวว่า ในฐานะที่ติดตามกระบวนการนิติบัญญัติที่ไม่ปกตินี้ ไม่เคยเห็นร่างกฎหมายไหนเข้าสู่ สนช.แล้วไม่ผ่าน โดยนับตั้งแต่ ส.ค.57 ที่มี สนช. จนปัจจุบัน มีกฎหมายผ่านแล้ว 50 กว่าฉบับ บางฉบับผ่านสามวาระในวันเดียว บางฉบับผ่านแม้มีเสียงคัดค้านอยู่บ้าง เช่น พ.ร.บ.หอพัก พ.ร.บ.อุ้มบุญ ดังนั้น ในสถานการณ์ปัจจุบัน ที่ไม่มีช่องทางโดยตรงให้ประชาชนออกเสียงหรือแสดงออกคัดค้านในที่สาธารณะ และชุดกฎหมาย 10+3 นี้นับว่ามีเสียงค้านดังที่สุด มีกระแสตอบรับดีที่สุด หากได้รับความสนใจระดับนี้ยังค้านไม่ได้ ก็ส่งสัญญาณต่อกฎหมายฉบับอื่นๆ ว่าเสียงค้านแทบไม่มีผลอะไรเลย แต่หากกฎหมายนี้ไปนิ่งอยู่ในกฤษฎีกาหรือถูกแก้ไขใน สนช. ก็ยังมีความหวังถึงฉบับอื่นๆ อยู่บ้างว่า สภาที่มาจากการแต่งตั้งทั้งหมดยังรับฟังเสียงข้างนอกอยู่บ้าง
ต่อกรณีที่มักมีคำถามว่า "ถ้าไม่ได้ทำผิดจะกลัวอะไร" ยิ่งชีพชี้ว่า จริงๆ แล้ว คำถามนี้เป็นคำถามที่ผิดตั้งแต่ต้น เพราะไม่เคยกลัว แค่ไม่ชอบและเห็นว่าไม่ถูก แต่ถึงจะถามผิดจะลองตอบดู โดยแบ่งเป็นระดับปัจเจก ระดับการบังคับใช้ และระดับหลักการ
ในระดับปัจเจกบุคคล เขาเชื่อว่าทุกคนมีพื้นที่ส่วนตัวที่ไม่ใช่เรื่องผิดกฎหมายอะไรเลย แต่ไม่อยากให้ใครเข้ามาดู เช่น ตู้เสื้อผ้า ไดอารี่ส่วนตัว ในโลกออนไลน์ก็มีแชทบ็อกซ์ มีอีเมลที่ส่งคุยกับตัวเอง ซึ่งจะไม่โอเคถ้ามีคนไม่รู้จัก หรือแม้แต่แม่หรือเพื่อนเข้ามาดูได้
สอง ระดับการบังคับใช้ เจ้าหน้าที่รัฐในฐานะมนุษย์คนหนึ่ง ซึ่งย่อมมีความผิดพลาดได้ ไม่แน่ว่าวันหนึ่งเขาจะใช้อำนาจอย่างไรหรืออาจมีความผิดพลาดทางเทคนิคได้ นอกจากนี้ แม้จะระบุว่าร่างกฎหมายออกมาเพื่อความมั่นคงปลอดภัยไซเบอร์ ขณะเดียวกัน พล.อ.ประยุทธ์ออกมาพูดว่า ต้องออกกฎหมายฉบับนี้เพราะมีการโพสต์ยั่วยุทางเฟซบุ๊ก ซึ่งนี่ไม่ใช่ความปลอดภัยไซเบอร์ ดังนั้น จึงมีแนวโน้มที่กฎหมายนี้จะถูกใช้เพื่อเล่นงานการโพสต์แสดงความไม่เห็นด้วยกับ คสช.
สาม ในระดับหลักการ การออกกฎหมายไม่ใช่เพื่อให้อำนาจรัฐอย่างเดียว แต่ต้องทำหน้าที่จำกัดอำนาจรัฐ โดยถ่วงดุลอำนาจนิติบัญญัติกับอำนาจบริหารด้วย
สุดท้าย ยิ่งชีพเสนอว่า อย่าเพิ่งหยุดคัดค้านชุดกฎหมายนี้ เพราะยังมีมาตราอื่นๆ ที่มีปัญหาและต้องพูดถึงเพื่อให้เกิดการแก้ไขอีกจำนวนมาก
![สแกน QR Code เพื่อร่วมบริจาคเงินให้กับประชาไท](https://img.pct.fyi/uploads/big/50cd36632778858506956587c3cd91f7.png)
ร่วมบริจาคเงิน สนับสนุน ประชาไท โอนเงิน กรุงไทย 091-0-10432-8 "มูลนิธิสื่อเพื่อการศึกษาของชุมชน FCEM" หรือ โอนผ่าน PayPal / บัตรเครดิต (รายงานยอดบริจาคสนับสนุน)