กมช.นัดแรกเคาะบอร์ดเล็ก บอร์ดคุ้มครองข้อมูลค้างเติ่ง

เมื่อวันที่ 3 ม.ค. 2563 ถือเป็นการกดปุ่มนับหนึ่งอีกครั้ง หลังประกาศใช้ พ.ร.บ.การรักษาความมั่นคงปลอดภัยทางไซเบอร์ เมื่อ 27 พ.ค. 2562 ด้วยการออกประกาศสำนักนายกรัฐมนตรี เรื่อง แต่งตั้งกรรมการผู้ทรงคุณวุฒิในคณะกรรมการการรักษาความมั่นคงปลอดภัยไซเบอร์แห่งชาติ (กมช.) โดยมีผู้ได้รับการแต่งตั้งทั้งหมด 7 คน ได้แก่ นายปริญญา หอมเอนก พลเอก มโน นุชเกษม พันตำรวจเอก ญาณพล ยั่งยืน นายไพบูลย์ อมรภิญโญเกียรติ

นายวิเชฐ ตันติวานิช นายบดินทร์ ทรัพย์สมบูรณ์ และรองศาสตราจารย์ปณิธาน วัฒนายากร ถือเป็นการครบองค์ประกอบของ กมช. ที่มีนายกรัฐมนตรีเป็นประธานโดยตำแหน่ง และมีกรรมการโดยตำแหน่งอีก 6 คน ได้แก่ รัฐมนตรีว่าการกระทรวงกลาโหม รัฐมนตรีว่าการกระทรวงดิจิทัลเพื่อเศรษฐกิจและสังคม ปลัดกระทรวงการคลัง ปลัดกระทรวงยุติธรรม ผู้บัญชาการตำรวจแห่งชาติ และเลขาธิการสภาความมั่นคงแห่งชาติ

โดยคณะกรรมการชุดนี้จะมีบทบาทสำคัญในการกำหนดนโยบาย มาตรฐาน มาตรการและแผนปฏิบัติการด้านไซเบอร์ซีเคียวริตี้ ที่สำคัญคือการมีอำนาจในการแต่งตั้ง “เลขาธิการ กมช.” ซึ่งจะมีบทบาทมากในการกำกับดูแลความมั่นคงปลอดภัยทางไซเบอร์ตาม พ.ร.บ.นี้ นอกเหนือจากคณะกรรมการกำกับดูแลด้านความมั่นคงปลอดภัยไซเบอร์ “กกม.” อาทิ การเป็นผู้ยื่นคำร้องต่อศาลเพื่อสั่งให้เข้าถึงข้อมูลหรือระบบคอมพิวเตอร์หรือข้อมูลอื่นที่เกี่ยวข้อง เพื่อป้องกันภัยคุกคามทางไซเบอร์ และหากเป็นกรณีจำเป็นเร่งด่วนในภาวะวิกฤต เลขาธิการมีอำนาจดำเนินการได้ทันทีโดยไม่ต้องยื่นคำร้องต่อศาล

เริ่มประชุมนัดแรกสัปดาห์หน้า

“อัจฉรินทร์ พัฒนพันธ์ชัย” ปลัดกระทรวงดิจิทัลเพื่อเศรษฐกิจและสังคม (ดีอีเอส) เปิดเผยกับ “ประชาชาติธุรกิจ” ว่า จะมีการประชุม กมช.นัดแรก ในช่วง 13-17 ม.ค. 2563 (วันใดวันหนึ่ง) เพื่อกำหนดวิธีการในการคัดเลือกกรรมการอีก 2 ชุดตามกฎหมาย ได้แก่ คณะกรรมการกำกับดูแลด้านความมั่นคงปลอดภัยไซเบอร์ “กกม.” และ “กบส.” คณะกรรมการบริหารสำนักงานคณะกรรมการการรักษาความมั่นคงปลอดภัยไซเบอร์ รวมถึงการพิจารณาแต่งตั้งเลขาธิการ กมช.

“กมช. นายกรัฐมนตรีได้มอบหมายให้ พลเอกประวิตร วงษ์สุวรรณ รองนายกรัฐมนตรี เป็นประธานแทน ส่วนตัวกรรมการผู้ทรงคุณวุฒิใน กกม. และ กบส. น่าจะเป็นผู้ทรงคุณวุฒิอีกชุดหนึ่งแยกออกจาก กมช. แต่ก็ต้องแล้วแต่บอร์ดใหญ่จะพิจารณา เพราะเป็นอำนาจโดยตรงตาม พ.ร.บ.”

ส่วนโครงสร้างของสำนักงาน กมช. และอัตรากำลังต่าง ๆ รวมถึงแผนปฏิบัติ 3 ปี สำนักงานปลัดกระทรวงดิจิทัลฯได้เตรียมร่างไว้ให้หมดแล้ว พร้อมเสนอให้บอร์ดใหญ่พิจารณาได้ทันที

คุ้มครองข้อมูลฯค้างเติ่ง

ด้านความคืบหน้าของ พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล ปลัดกระทรวงดิจิทัลฯเปิดเผยว่า ขณะนี้รอให้ที่ประชุมคณะรัฐมนตรีพิจารณาอนุมัติระเบียบการสรรหากรรมการผู้ทรงคุณวุฒิจำนวน 9 คน ของคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล ตามที่ พ.ร.บ.กำหนด ซึ่งกระทรวงดีอีเอสได้เสนอเรื่องเพื่อรอบรรจุเข้าที่ประชุมคณะรัฐมนตรีมาหลายเดือนแล้ว

“เมื่อยังตั้งคณะกรรมการได้ไม่ครบ จึงยังไม่สามารถเดินหน้าได้ ไม่ว่าจะเป็นเรื่องอัตรากำลัง โครงสร้างองค์กร รวมไปถึงการยกร่างกฎหมายลูก แม้กระทรวงจะได้เตรียมเบื้องต้นไว้บ้างแล้ว ด้วยการแปลงงบประมาณไว้จ้างที่ปรึกษายกร่างกฎหมายลูกไว้ โดยใช้งบฯไม่ถึง 5 ล้านบาท ตอนนี้ทุกอย่างก็ต้องรอ ครม.”

ฉะนั้น จึงค่อนข้างแน่นอนว่า ณ 27 พ.ค. 2563 ที่บทบัญญัติของ พ.ร.บ.ในส่วนของการคุ้มครองข้อมูลส่วนบุคคลจะมีผลบังคับใช้ จะยังไม่มีกฎหมายลูกประกาศใช้ แต่ผู้ประกอบการสามารถอิงตามมาตรฐาน GDPR (กฎหมายคุ้มครองข้อมูลส่วนบุคคลของสหภาพยุโรป) ไปพลางก่อน

ส่วนการตั้งสำนักงานต่าง ๆ เชื่อว่าจะเสร็จทัน 27 พ.ค. 2563

ต้องเปิดให้มีส่วนร่วม

ด้านนักวิชาการผู้เชี่ยวชาญด้านกฎหมายคุ้มครองข้อมูลส่วนบุคคล “พีรพัฒ โชคสุวัฒนสกุล” อาจารย์ประจำคณะนิติศาสตร์ จุฬาลงกรณ์มหาวิทยาลัย เปิดเผยกับ “ประชาชาติธุรกิจ” ว่า ความล่าช้าของการยกร่างกฎหมายลูก พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล “หากช้าแต่ ใช้ได้จริงใช้ได้อย่างมีประสิทธิภาพ ก็ไม่เสียหาย” ดีกว่าออกกฎออกมาแล้วใช้ไม่ได้จริง หรือเกิดความเสียหายมากกว่า ฉะนั้นการเปิดให้ตัวแทนจากภาคอุตสาหกรรม และประชาชนเข้ามามีส่วนร่วมในการยกร่างกฎหมายลูกตาม พ.ร.บ.คุ้มครองข้อมูลฯ ย่อมเป็นสิ่งที่ดี เพราะในแต่ละอุตสาหกรรมจะมีบริบทที่แตกต่างกันในแง่ของกระบวนการธุรกิจและแง่ของการเก็บและใช้ข้อมูล

“ปัจจัยที่จะทำให้การบังคับใช้สำเร็จได้ นอกจากให้ความรู้ ให้ข้อมูลแล้ว เพื่อให้ประชาชนรู้ว่า สิทธิของประชาชนมีอะไรบ้าง ยังต้องทำให้เห็นผลการบังคับใช้ที่จริงจัง เมื่อประชาชนผู้ใช้มีอำนาจในการต่อรองน้อย รัฐต้องทำหน้าที่แทนประชาชน ต้องทำให้ประชาชนเห็นว่า คุณกล้าที่จะบังคับบริษัทใหญ่ได้ ต้องส่งสัญญาณตรงนี้ให้ชัดเจน”

และนอกจากการบังคับใช้ตามกฎหมายแล้ว ยังมีในแง่ของสังคมที่สามารถใช้มากดดันแต่ละธุรกิจได้ เพราะ “ชื่อเสียง” คือ สิ่งสำคัญของธุรกิจ และการตระหนักเรื่องสิทธิส่วนบุคคลเป็นเทรนด์ที่ทั่วโลกให้ความสำคัญ

“การมีกฎหมายไม่เพอร์เฟค แต่ก็ดีกว่าไม่มี อย่างน้อยต้องมีการขอความยินยอมก่อน มีเหตุผลเพียงพอที่จะเก็บข้อมูลไว้หรือไม่ อย่างน้อยก็ดีกว่าเดิมที่ธุรกิจไม่ต้องสนใจอะไร รอให้ผู้บริโภคมาเรียกร้องเอง ซึ่งอำนาจต่อรองของผู้บริโภคก็น้อย จึงควรเป็นหน้าที่ของรัฐที่จะต้องเข้ามาปกป้องคนที่เป็นเจ้าของข้อมูล ซึ่งต้องมองทั้งในแง่ของสิทธิมนุษยชน ประโยชน์สาธารณะ ที่มีช่องให้ตีความเยอะมากว่า จะตีความแค่ไหนถึงจะเพียงพอและสร้างสมดุลได้อย่างเหมาะสมกับประโยชน์ที่จะเกิดจากข้อมูล”

มองไกลไปที่ “เก็บภาษี”

แต่ในระยะยาว ภาครัฐจำเป็นต้องมองไปไกลกว่า การมีกฎหมายข้อมูลส่วนบุคคล ทั้งในแง่ของการสร้างความตระหนัก สร้างการเรียนรู้ และที่สำคัญ คือ การคำนึงในแง่ “สิทธิความเป็นเจ้าของข้อมูล”

“หลายประเทศในยุโรปเริ่มมองเห็นถึงมูลค่าของข้อมูล และอำนาจในการต่อรองของเจ้าของข้อมูลที่มีน้อยมาก ในขณะที่เจ้าของแพลตฟอร์มมีสิทธิ์กีดกันในการเข้าถึงบริการต่าง ๆ ได้ มันคือ วัฏจักรที่ทำให้บริษัทใหญ่ ๆ ใหญ่ขึ้นเรื่อย ๆ กฎหมายเป็นแค่ก้าวแรก แต่ยังไม่เพียงพอเพราะบริษัทใหญ่ ๆ มีข้อมูลเยอะมาก มีเงินเยอะ ก็ไปดึงกลุ่มคนเก่ง ๆ ในแง่เทคโนโลยี อาทิ นักวิทยาศาสตร์ข้อมูล เมื่อไปรวมกับดาต้าที่มี กับเงินที่มี ยิ่งสามารถพัฒนามูลค่ามากขึ้นไปเรื่อย ๆ ทำให้มีผู้ใช้งาน มีพาวเวอร์มากขึ้น ซึ่งก็หมายถึงว่า โอกาสที่จะมีให้กับบริษัทเล็ก ๆ หรือผู้ประกอบการรายใหม่มีน้อยลงเรื่อย ๆ”

สิ่งที่หลายประเทศในสหภาพยุโรปเริ่มทำ คือ เริ่มคิดเรื่องภาษีที่จะเก็บจากบริษัทข้ามชาติ โดยพิจารณาว่ามีปริมาณการใช้ข้อมูลของคนภายในประเทศเท่าไร มีผู้คนในประเทศเข้าไปใช้บริการมากเท่าไร

“เป็นรูปแบบหนึ่งของการแก้ปัญหาที่ว่า แต่ละผู้ใช้งานไม่รู้มูลค่าของข้อมูลตัวเอง แต่รัฐเข้ามาทำหน้าที่แทนด้วยการเก็บภาษีแล้วนำเงินย้อนกลับไปกระจายให้ทุกคนในประเทศที่เข้าเป็นลูกค้าของบริการนั้น ๆ”