'สคส.' ไล่ตรวจข้อมูลรั่ว 2 ปมใหญ่ 'หมอพร้อม' ถูกร้องเรียนกว่า 30 ราย ส่วน TSD กระทบ 2 แสนราย สั่งส่งหลักฐานหาต้นเหตุ-เยียวยา ป้องกันเหตุซ้ำก่อนดำเนินการตามกฎหมาย
ข้อมูลสุขภาพ เลขบัตรประชาชน ที่อยู่ หมายเลขโทรศัพท์ ไปจนถึงเลขบัญชีธนาคาร ล้วนเป็นข้อมูลที่เมื่อหลุดออกจากระบบแล้ว อาจไม่ได้จบลงเพียงอีเมลขยะหรือสายโทรศัพท์ก่อกวน แต่อาจถูกนำไปเชื่อมโยงเพื่อสวมรอย หลอกลวง หรือสร้างความเสียหายแก่เจ้าของข้อมูลได้ในระยะยาว
ล่าสุด สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (สคส.) หรือ PDPC จึงเดินหน้าตรวจสอบเหตุที่เกี่ยวข้องกับระบบ หมอพร้อม และระบบ TSD Investor Portal อย่างละเอียด พร้อมขอให้กระทรวงสาธารณสุข (สธ.) และบริษัท ศูนย์รับฝากหลักทรัพย์ (ประเทศไทย) จำกัด หรือ TSD นำส่งคำชี้แจง เอกสาร และพยานหลักฐานเพิ่มเติมให้ครบถ้วน
พ.ต.อ.สุรพงศ์ เปล่งขำ เลขาธิการคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เปิดเผยว่า ทั้งสองกรณีเกี่ยวข้องกับข้อมูลของประชาชนจำนวนมาก อีกทั้งข้อมูลบางประเภทยังสามารถนำมาเชื่อมโยงจนระบุตัวบุคคลได้ สคส. จึงไม่สามารถพิจารณาจากคำชี้แจงหรือข้อมูลที่องค์กรเผยแพร่ต่อสาธารณะเพียงด้านเดียว แต่จำเป็นต้องตรวจสอบย้อนกลับไปถึงแหล่งที่มาของข้อมูล ช่องทางการเข้าถึง มาตรการรักษาความปลอดภัย และการดำเนินงานหลังเกิดเหตุ
สำหรับกรณีระบบบริการสุขภาพและสิทธิการรักษาพยาบาล ซึ่งถูกตั้งข้อสังเกตผ่านสื่อมวลชนว่าอาจมีข้อมูลส่วนบุคคลถูกเข้าถึงหรือนำไปใช้โดยมิชอบนั้น ปัจจุบันมีประชาชนยื่นเรื่องร้องเรียนต่อ สคส. ในส่วนที่เกี่ยวข้องกับระบบ "หมอพร้อม" แล้วกว่า 30 ราย ส่งผลให้ สคส. ต้องประสานกระทรวงสาธารณสุขเพื่อติดตามผลการตรวจสอบ พร้อมขอข้อมูลเพิ่มเติมเพื่อระบุให้ชัดว่า ข้อมูลที่กำลังเป็นประเด็นหลุดออกมาจากระบบหรือหน่วยงานใด ภายในชุดข้อมูลมีรายละเอียดประเภทใด และมีประชาชนจำนวนเท่าใดที่อาจได้รับผลกระทบ
ขณะเดียวกัน กระทรวงสาธารณสุขต้องชี้แจงด้วยว่า มีการเข้าถึง เปิดเผย หรือส่งต่อข้อมูลโดยไม่ได้รับอนุญาตหรือไม่ รวมถึงต้องแสดงหลักฐานเกี่ยวกับมาตรการรักษาความมั่นคงปลอดภัย การตรวจสอบช่องโหว่ บันทึกการเข้าถึงระบบ ตลอดจนแนวทางระงับเหตุและจำกัดวงความเสียหาย
นอกจากนี้ สคส. จะตรวจสอบผลการประเมินความเสี่ยงต่อสิทธิและเสรีภาพของประชาชน เพื่อพิจารณาว่า กระทรวงสาธารณสุขได้แจ้งเหตุละเมิดข้อมูลส่วนบุคคลต่อหน่วยงานกำกับ รวมถึงแจ้งเตือนเจ้าของข้อมูลตามหลักเกณฑ์และระยะเวลาที่กฎหมายกำหนดไว้อย่างครบถ้วนแล้วหรือไม่
อีกด้านหนึ่ง เหตุผิดปกติในระบบ TSD Investor Portal เริ่มปรากฏขึ้นในช่วงเย็นวันที่ 25 ก.ค.69 เมื่อหน่วยงานด้านเทคโนโลยีสารสนเทศของ TSD ตรวจพบช่องทางการเข้าถึงข้อมูลที่ไม่ได้รับอนุญาต ก่อนจะตรวจสอบเพิ่มเติมและยืนยันในวันที่ 26 ก.ค.69 ว่า มีข้อมูลส่วนบุคคลบางส่วนถูกเข้าถึงจริง
ต่อมาในการแถลงข่าวเมื่อวันที่ 28 ก.ค.69 TSD ระบุว่า เหตุการณ์ดังกล่าวส่งผลกระทบต่อผู้ใช้บริการประมาณ 200,000 ราย จากจำนวนบัญชีในระบบราว 5 ล้านบัญชี โดยข้อมูลที่อาจถูกเข้าถึงประกอบด้วยชื่อ–นามสกุล วันเดือนปีเกิด เลขประจำตัวประชาชน ที่อยู่ หมายเลขโทรศัพท์ อีเมล ชื่อบริษัทหลักทรัพย์ เลขบัญชีซื้อขายหลักทรัพย์ รวมถึงชื่อธนาคารและเลขที่บัญชีธนาคารของผู้ใช้บางส่วน
อย่างไรก็ตาม TSD ยืนยันว่า ระบบ TSD Investor Portal ถูกแยกออกจากระบบรับฝากหลักทรัพย์และระบบธุรกรรมส่วนหลัง ขณะที่ผลการตรวจสอบในเบื้องต้นยังไม่พบว่า ข้อมูลการถือครองหลักทรัพย์หรือข้อมูลธุรกรรมซื้อขายหลักทรัพย์ได้รับผลกระทบ อีกทั้งยังไม่พบความเสียหายทางการเงินที่เชื่อมโยงกับเหตุการณ์ครั้งนี้
ภายหลังตรวจพบความผิดปกติ TSD ระบุว่า ได้ปิดกั้นช่องทางการเข้าถึงที่มีปัญหา พร้อมประสานกองบังคับการตำรวจสืบสวนสอบสวนอาชญากรรมทางเทคโนโลยีเพื่อติดตามผู้กระทำผิด รวมทั้งแจ้งหน่วยงานกำกับดูแล บริษัทหลักทรัพย์ ธนาคาร และหน่วยงานที่เกี่ยวข้องให้เพิ่มระดับการเฝ้าระวัง ขณะเดียวกัน ได้ส่งอีเมลและข้อความ SMS แจ้งเตือนไปยังผู้ใช้บริการที่ได้รับผลกระทบแล้ว
แม้ TSD จะเผยแพร่รายละเอียดและมาตรการรับมือต่อสาธารณะแล้ว แต่ พ.ต.อ.สุรพงศ์ ระบุว่า กระบวนการตามกฎหมายยังต้องตรวจสอบลึกไปถึงสาเหตุและช่องทางที่ทำให้บุคคลภายนอกเข้าถึงข้อมูล ช่วงเวลาที่เหตุการณ์เริ่มต้นและสิ้นสุด ประเภทและจำนวนของข้อมูล ตลอดจนประสิทธิภาพของมาตรการรักษาความปลอดภัยทั้งก่อนและหลังเกิดเหตุ
พร้อมกันนี้ สคส. จะตรวจสอบหลักฐานการแจ้งเหตุละเมิดข้อมูลส่วนบุคคล การประเมินระดับความเสี่ยงต่อเจ้าของข้อมูล ตลอดจนวิธีการและระยะเวลาในการแจ้งเตือนผู้ที่ได้รับผลกระทบ รวมถึงมาตรการเฝ้าระวัง เยียวยา และป้องกันไม่ให้เกิดเหตุซ้ำ
"การแถลงข้อเท็จจริงต่อสาธารณะถือเป็นส่วนสำคัญของการแสดงความรับผิดชอบ แต่ในทางกฎหมาย สคส. จำเป็นต้องตรวจสอบให้เห็นถึงข้อมูลทางเทคนิค เอกสาร และหลักฐานการดำเนินงานที่ตรวจสอบย้อนกลับได้ เพื่อประเมินว่าองค์กรได้จัดให้มีมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสมกับความเสี่ยง และปฏิบัติหน้าที่ภายหลังเกิดเหตุอย่างครบถ้วนและทันท่วงทีแล้วหรือไม่" พ.ต.อ.สุรพงศ์กล่าว
พ.ต.อ.สุรพงศ์กล่าวว่า การเกิดเหตุข้อมูลรั่วไหลไม่ได้หมายความว่าองค์กรจะมีความผิดตามกฎหมายโดยอัตโนมัติ เนื่องจากการพิจารณาต้องดูว่า ก่อนเกิดเหตุองค์กรมีมาตรการป้องกันที่เหมาะสมกับระดับความเสี่ยงหรือไม่ สามารถตรวจพบและควบคุมเหตุได้รวดเร็วเพียงใด รวมถึงได้แจ้งเหตุ แจ้งเจ้าของข้อมูล และลดผลกระทบตามหน้าที่ที่กฎหมายกำหนดครบถ้วนหรือไม่
หากผลการตรวจสอบพบข้อบกพร่องหรือการดำเนินงานที่ไม่เป็นไปตามกฎหมาย สคส. จะพิจารณามาตรการตามระดับความร้ายแรง ตั้งแต่กำหนดแนวทางแก้ไข สั่งให้องค์กรยกระดับมาตรฐานการคุ้มครองข้อมูลส่วนบุคคล ไปจนถึงดำเนินกระบวนการตามกฎหมาย เพื่อคุ้มครองสิทธิของประชาชนและกำหนดมาตรฐานความรับผิดชอบสำหรับหน่วยงานที่จัดเก็บหรือใช้ข้อมูลจำนวนมาก
"ข้อมูลของประชาชนที่อยู่ในความดูแลของหน่วยงานรัฐหรือภาคเอกชนไม่ใช่เพียงทรัพยากรสำหรับให้บริการ แต่เป็นสิทธิของประชาชนที่องค์กรมีหน้าที่ต้องดูแลอย่างรอบคอบ โดยเฉพาะข้อมูลด้านสุขภาพ ข้อมูลประจำตัว และข้อมูลที่เชื่อมโยงกับบัญชีทางการเงิน ซึ่งหากรั่วไหลออกไปอาจถูกนำไปใช้สร้างความเสียหายได้ในระยะยาว สคส. จึงต้องตรวจสอบทุกกรณีอย่างจริงจัง โปร่งใส และไม่ปล่อยให้คำชี้แจงที่ยังขาดหลักฐานเป็นข้อยุติ" พ.ต.อ.สุรพงศ์กล่าว
ระหว่างที่การตรวจสอบยังดำเนินอยู่ สคส. ขอให้ประชาชนที่ได้รับอีเมลหรือข้อความแจ้งเตือนจาก TSD และหน่วยงานที่เกี่ยวข้อง เพิ่มความระมัดระวังต่อบุคคลที่แอบอ้างเป็นตลาดหลักทรัพย์ บริษัทหลักทรัพย์ ธนาคาร หรือหน่วยงานภาครัฐ โดยไม่ควรคลิกลิงก์ ดาวน์โหลดไฟล์ หรือเปิดเผยรหัสผ่านและรหัส OTP แก่ผู้ที่ติดต่อเข้ามา หากพบความผิดปกติควรติดต่อหน่วยงานหรือผู้ให้บริการผ่านช่องทางอย่างเป็นทางการโดยตรง
ทั้งนี้ สคส. จะติดตามการส่งมอบข้อมูลและพยานหลักฐานจากกระทรวงสาธารณสุขและ TSD อย่างใกล้ชิด ก่อนพิจารณาดำเนินการตามกฎหมายเมื่อรวบรวมข้อเท็จจริงได้ครบถ้วน โดยยืนยันว่าการตรวจสอบจะอยู่บนหลักความเป็นธรรม ความรอบคอบ และให้ความสำคัญกับสิทธิและความปลอดภัยของประชาชนเป็นอันดับแรก