พ.ต.อ.สุรพงศ์ เปล่งขำ เลขาธิการคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (สคส.) หรือ PDPC เปิดเผยว่า สคส.กำลังเร่งติดตามกรณีข้อมูลส่วนบุคคลรั่วไหลสำคัญ ทั้งข้อมูลที่เกี่ยวข้องกับสิทธิการรักษาพยาบาล “หมอพร้อม” ซึ่งได้มีผู้ใช้สิทธิร้องเรียนแล้วกว่า 30 ราย และข้อมูลผู้ใช้บริการ TSD Investor Portal รั่วไหลประมาณ 200,000 ราย โดยได้แจ้งไปยังกระทรวงสาธารณสุข (สธ.) และบริษัท ศูนย์รับฝากหลักทรัพย์ (ประเทศไทย) จำกัด (TSD) ในฐานะหน่วยงานรับผิดชอบ ให้นำส่งข้อมูล คำชี้แจง และพยานหลักฐานเกี่ยวกับการดำเนินการตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 เพิ่มเติมให้ครบถ้วน เพื่อประเมินข้อเท็จจริง ขอบเขตผลกระทบ และความเหมาะสมของมาตรการคุ้มครองข้อมูลส่วนบุคคลในแต่ละกรณี
สำหรับกรณีข้อมูลที่เกี่ยวข้องกับระบบบริการสุขภาพและสิทธิการรักษาพยาบาล ปัจจุบันมีเจ้าของข้อมูลใช้สิทธิยื่นเรื่องร้องเรียนต่อสคส. กรณีที่เกี่ยวข้องกับระบบ “หมอพร้อม” แล้วกว่า 30 ราย โดยกระทรวงสาธารณสุขจะต้องชี้แจงมาตรการรักษาความมั่นคงปลอดภัยของข้อมูล การตรวจสอบช่องโหว่และบันทึกการเข้าถึงระบบ การระงับเหตุและจำกัดผลกระทบ ตลอดจนผลการประเมินความเสี่ยงต่อสิทธิและเสรีภาพของประชาชน เพื่อประกอบการพิจารณาว่าได้ดำเนินการแจ้งเหตุละเมิดข้อมูลส่วนบุคคล รวมถึงแจ้งเจ้าของข้อมูลตามหลักเกณฑ์และระยะเวลาที่กฎหมายกำหนดครบถ้วนแล้วหรือไม่
ส่วนกรณี TSD ตรวจพบการเข้าถึงข้อมูลส่วนบุคคลของผู้ใช้บริการในระบบ TSD Investor Portal โดยไม่ได้รับอนุญาต พบกระทบต่อผู้ใช้บริการประมาณ 200,000 ราย จากบัญชีในระบบประมาณ 5 ล้านบัญชี โดยข้อมูลที่ถูกเข้าถึงประกอบด้วย ชื่อ–นามสกุล วันเดือนปีเกิด เลขประจำตัวประชาชน ที่อยู่ หมายเลขโทรศัพท์ อีเมล ชื่อบริษัทหลักทรัพย์และเลขบัญชีซื้อขายหลักทรัพย์ ตลอดจนชื่อธนาคารและเลขที่บัญชีธนาคารของผู้ใช้บริการบางส่วน ขณะนี้ยังไม่พบว่าข้อมูลการถือครองหลักทรัพย์และข้อมูลธุรกรรมซื้อขายหลักทรัพย์ได้รับผลกระทบ รวมถึงยังไม่พบความเสียหายทางการเงิน “กรณี TSD สคส.ต้องตรวจสอบข้อมูลและพยานหลักฐานในเชิงลึก โดยเฉพาะสาเหตุและช่องทางที่ทำให้เกิดการเข้าถึงข้อมูลโดยไม่ได้รับอนุญาต ตลอดจนประสิทธิภาพของมาตรการรักษาความมั่นคงปลอดภัยก่อนและหลังเกิดเหตุ”
“อย่างไรก็ตามการเกิดเหตุข้อมูลส่วนบุคคลรั่วไหลไม่ได้หมายความว่าองค์กรนั้นมีความผิดตามกฎหมายโดยอัตโนมัติ การพิจารณาจะต้องอาศัยข้อเท็จจริงและพยานหลักฐานว่า มีมาตรการป้องกันที่เหมาะสมหรือไม่”
ด้านนายพูนพงษ์ นัยนาภากรณ์ อธิบดีกรมพัฒนาธุรกิจการค้า เปิดเผยว่า ขณะนี้ กรมได้ตรวจพบว่า มีบุคคล ที่ขอข้อมูลนิติบุคคลจากกรม หรือที่เชื่อมต่อข้อมูลจากกรม โดยคัดเฉพาะชื่อบุคคลที่เป็นกรรมการหรือผู้ถือหุ้นในนิติบุคคล ไปใช้ในเชิงธุรกิจ และมีการเผยแพร่ชื่อบุคคลว่าเป็นกรรมการหรือถือหุ้นในบริษัทใดบ้าง รวมถึงนำไปประมวลผลใหม่ เช่น มาจัดทำ วิเคราะห์ จำแนก รวบรวม หรือจัดให้มีขึ้นใหม่ อันเป็นการประมวลผลข้อมูลส่วนบุคคลขึ้นใหม่นั้น หากบุคคลที่ดำเนินการดังกล่าวไม่มีหน้าที่ต้องดำเนินการในฐานะผู้ควบคุมข้อมูลส่วนบุคคลตามพ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 (PDPA) จะถือว่า เป็นการเผยแพร่ข้อมูลส่วนตัวผู้ถือหุ้น-กรรมการ โดยไม่ได้รับอนุญาตหรือไม่มีอำนาจตามกฎหมาย และเป็นการละเมิดสิทธิตามกฎหมาย PDPA ซึ่งจะมีความผิดทั้งทางแพ่ง ทางอาญา และทางปกครอง
โดยปัจจุบันมีหน่วยงานภาครัฐขอข้อมูลธุรกิจจากกรมประมาณ 200 หน่วยงาน และผู้ใช้บริการภาคธุรกิจขอข้อมูลธุรกิจประมาณ 70 หน่วยงาน โดยมีวัตถุประสงค์ในการนำไปใช้แตกต่างกัน อาทิ นำไปพัฒนาข้อมูลให้กับลูกค้า และนำไปวิเคราะห์เพื่อวางแผนกลยุทธ์ธุรกิจ การจดทะเบียนของนิติบุคคลที่จะมาทำธุรกรรมกับธนาคาร ใช้ในการทำธุรกรรมทางการเงินเกี่ยวกับการขอสินเชื่อ เป็นต้น
“กรมขอความร่วมมือ และขอเตือนภาครัฐและภาคธุรกิจที่เชื่อมต่อข้อมูล หรือขอข้อมูลนิติบุคคลจากกรม ให้ปฏิบัติตามพ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล อย่างเคร่งครัด ซึ่งที่ผ่านมา กรมเคยมีหนังสือเตือนภาคธุรกิจที่ขอข้อมูลธุรกิจจากกรม และนำไปเผยแพร่โดยอ้างชื่อกรม ซึ่งการเปิดเผยข้อมูลส่วนบุคคล จะต้องได้รับความยินยอมจากเจ้าของข้อมูลส่วนบุคคลก่อน เว้นแต่จะเข้าข้อยกเว้นตามกฎหมาย ไม่เช่นนั้น จะมีความรับผิด ทั้งทางแพ่ง ทางอาญา และทางปกครอง”
ที่มา : สำนักข่าวไทยรัฐ / เผยแพร่วันที่ 30 ก.ค.69
Link : https://www.thairath.co.th/money/economics/thai_economics/2949404
