ความมั่นคง VS สิทธิเสรีภาพ จับตา “ชุด กม.ไซเบอร์” ในมือรัฐ

คอลัมน์ ชั้น 5 ประชาชาติ

โดย สร้อย ประชาชาติ

ปัจจุบัน “อินเทอร์เน็ต” กลายเป็นปัจจัยสำคัญในชีวิตของหลาย ๆ คน มีไม่น้อยที่ลืมตาตื่นปุ๊บก็หยิบสมาร์ทโฟนมาเช็ก ๆ ปั๊บ และมันไม่ใช่แค่ความบันเทิงอีกต่อไป แต่กลายเป็นเครื่องมือในการทำมาหากิน ประกอบธุรกิจของคนทุกชนชั้น

วันนี้ถึงเวลาที่ผู้ใช้อินเทอร์เน็ตจะต้องตื่นรู้ เมื่อชุดกฎหมายไซเบอร์สำคัญอย่าง (ร่าง) พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล และ (ร่าง) พ.ร.บ.การรักษาความมั่นคงปลอดภัยไซเบอร์ จ่อเข้าสู่การพิจารณาของสภานิติบัญญัติแห่งชาติ (สนช.) ซึ่งหมายถึงว่า อีกไม่กี่เดือนก็พร้อมจะคลอดออกมาบังคับใช้ และกระทบกับ “ทุกคน”

แน่นอนว่า ประเด็นเรื่องสิทธิเสรีภาพ กับอำนาจรัฐและความมั่นคง จะต้องถูกหยิบมาพูดถึง พร้อมกับหลายครั้งที่มักจะมีคำพูดลอย ๆ มาว่า “ไม่ได้ทำผิดจะกลัวอะไร”

เอิ่ม…ถ้าสังคมไทยก้าวสู่ยุค “ยูโทเปีย” สังคมที่สมบูรณ์แบบในจินตนาการของ “เซอร์โทมัส มอร์” เมื่อไรคงไม่ต้องมากังวลเพราะกฎหมายที่ประกาศใช้และคน “บังคับใช้” คงจะ “สมบูรณ์แบบไร้ที่ติ” (ใครไม่รู้จัก “ยูโทเปีย” กูเกิลช่วยคุณได้)

และเมื่อเสียงของ “พลเมืองเน็ต” ทั้งหลายมักถูกผลักให้กลายเป็น “ฝักใฝ่การเมือง” เสียงเล็ก ๆ ของประชาชนมักถูกละเลย วันนี้จึงขอยกเหตุผลของผู้เชี่ยวชาญด้านไซเบอร์แถวหน้าของประเทศว่าทำไม
พ.ร.บ.ไซเบอร์ถึงน่ากลัว

“พ.ต.อ.ญาณพล ยั่งยืน” ตำรวจไซเบอร์รุ่นแรก ๆ ของประเทศ และปัจจุบันเป็นหนึ่งในคณะกรรมการเตรียมการด้านการรักษาความมั่นคงปลอดภัยทางไซเบอร์แห่งชาติ ที่มีนายกรัฐมนตรีเป็นประธาน ระบุว่า เป็นร่างกฎหมายที่ “ไอ้ที่ควรจะมีก็หายไป แล้วก็มีที่ประหลาด ๆ เข้ามาแทน” เปิดช่องละเมิดสิทธิประชาชน โดยให้อำนาจเลขาธิการ กปช. อาทิ มาตรา 46-48, 54-58 เรียกข้อมูล เข้าถึงเคหสถาน ยึดอุปกรณ์ หยุดใช้ระบบได้โดยไม่ต้องมีคำสั่งศาล ผู้ถูกกล่าวหาไม่มีสิทธิอุทธรณ์ นิยามคำว่า “ทรัพย์สินสารสนเทศ” กว้างจนกินความไปถึง “คอนเทนต์” และโทรศัพท์มือถือ IOT

ขณะที่องค์กรที่จะจัดตั้งขึ้นใหม่ “สำนักงานคณะกรรมการการรักษาความมั่นคงปลอดภัยไซเบอร์แห่งชาติ” หรือ กปช. รวมถึงเลขาธิการ มีอำนาจมาก “แค่สงสัย-คาดว่า-ไม่พึงพอใจ” ก็สั่งการใด ๆ ได้ ไม่มีการถ่วงดุลอำนาจ ทั้งกระบวนการสรรหายังถูกกำหนดโดยรัฐมนตรี แต่ไม่มีสถานะเป็นหน่วยงานราชการ แถมยังหารายได้ได้อีก

ด้าน “ปริญญา หอมเอนก” ผู้เชี่ยวชาญด้านไซเบอร์ซีเคียวริตี้ กรรมการและเลขานุการ สมาคมความมั่นคงปลอดภัยระบบสารสนเทศ (TISA) ให้คำแนะนำว่า National Cybersecurity Agency (CSA) หรือ กปช. ที่จะตั้งขึ้น ควรเป็นหน่วยงานรัฐ 100% ขึ้นตรงกับนายกรัฐมนตรี ไม่หารายได้และไม่แสวงหาผลกำไร เพื่อไม่ให้มีผลประโยชน์ทับซ้อน

มีหน้าที่ประสานสิบทิศ มีการทำ National Threat Information Sharing และ National Threat Intelligence ในระดับประเทศ แต่ไม่ควรเป็นหน่วยที่ใช้อำนาจในการเข้าไปค้น สั่งหยุดการทำงานของระบบ ปรับโทษอาญา หรือทางแพ่ง เพราะมีหน่วยงานที่ทำหน้าที่เหล่านั้นอยู่แล้ว ไม่ให้เกิดความซ้ำซ้อนและไม่สามารถทำได้จริงในทางปฏิบัติ

ควรมีบทบาทกำหนดนโยบาย กฎระเบียบสำหรับหน่วยงานโครงสร้างพื้นฐานที่มีความสำคัญยิ่งยวด (CI : Critical Infrastructure) และมีบทบาทในการพัฒนาบุคลากรทางด้านความมั่นคงปลอดภัยไซเบอร์ สร้างความตระหนักด้านไซเบอร์ซีเคียวริตี้ให้กับประชาชน เพื่อสร้างความมั่นใจและภูมิคุ้มกันภัยไซเบอร์ให้กับประเทศ

“ควรชะลอหรือยกเลิกร่างฉบับนี้ไปก่อน เพราะผิดหลักการพื้นฐาน ไม่เป็นสากล ไม่สามารถนำมาใช้ได้ในทางปฏิบัติจริง หากจะเป็นจุดอ่อนให้ประชาชนเข้าใจและมองไปได้ว่า คสช.และนายกรัฐมนตรี ลุแก่อำนาจในการร่าง พ.ร.บ.ในแนวทางนี้”

ขณะที่ร่างกฎหมาย “คุ้มครองข้อมูลส่วนบุคคล” ทางสมาคม TISA ก็มีความกังวลและต้องการให้ปรับแก้ก่อนบังคับใช้ เพราะให้อำนาจหน่วยงานใหม่อย่าง “คณะกรรมการคุ้มครองข้อมูลส่วนบุคคล” และสำนักงาน ผูกขาดรวบอำนาจทุกอย่างที่เกี่ยวกับการคุ้มครองข้อมูลส่วนบุคคล ตั้งแต่การกำหนดนโยบาย การส่งเสริมและสนับสนุน การเสนอกฎหมาย ให้คำปรึกษา และการบังคับใช้กฎหมาย เป็นการขัดหลักการธรรมาภิบาลอย่างร้ายแรง

แต่กลับไม่ได้มีฐานะเป็นส่วนราชการ ทั้งที่มีอำนาจในการกำกับดูแลและบังคับใช้กฎหมาย กับทุกส่วนราชการ ธุรกิจเอกชน และประชาชน สั่งปรับทางปกครองได้เบ็ดเสร็จได้ (ไม่ต้องไปศาล) โดยเป็นอำนาจของเลขาธิการว่า จะสั่งปรับหรือแค่ตักเตือน แต่รายได้จากค่าปรับไม่ต้องนำส่งกระทรวงการคลัง

อีกทั้งยังไม่มีกลไกการตรวจสอบความเหมาะสม-ความโปร่งใสในการปฏิบัติหน้าที่ของสำนักงานและเจ้าหน้าที่ เมื่อมีอำนาจมากจึงเปิดโอกาสให้แสวงหาผลประโยชน์ในทางมิชอบได้ ทั้งยังไม่ได้กำหนดคุณสมบัติของกรรมการและพนักงานเจ้าหน้าที่ที่ชัดเจน โดยเฉพาะความรู้และความเข้าใจในเรื่องแนวปฏิบัติการคุ้มครองข้อมูลส่วนบุคคล

“สุธี ทวิรัตน์” กรรมการ TISA ย้ำว่า รายละเอียดในการคุ้มครองข้อมูลส่วนบุคคลในร่างฉบับล่าสุด ยังด้อยมาตรฐานกว่ากฎหมายคุ้มครองข้อมูลส่วนบุคคลของสหภาพยุโรป (GDPR) ในหลายประเด็น จึงต้องเร่งปรับปรุงให้เท่าเทียม มิฉะนั้นจะกระทบต่อประเทศอย่างรุนแรงสาหัสกว่าการที่องค์การการบินพลเรือนระหว่างประเทศ (ICAO) ให้ธงแดงประเทศไทย หรือสหภาพยุโรปให้ใบเหลืองเรื่องการประมงที่ผิดกฎหมาย เพราะหมายถึงการทำธุรกิจที่เกี่ยวกับพลเมืองยุโรปทั้งหมด