ข้อมูลลูกค้าหลุด 2.27 หมื่นล้านรายการ องค์กรการเงินเซ็น MOU คุ้มครอง
ธปท.เผยปี 2564 มีข้อมูลรั่วไหลสูงถึง 2.27 หมื่นล้านรายการ 65% เป็นข้อมูลที่มีรายชื่อผู้ทำธุรกรรมรั่วไหล 3 องค์กรการเงิน “แบงก์ชาติ-ก.ล.ต.-คปภ.” ลงนามร่วม “คุ้มครองข้อมูลส่วนบุคคลของภาคธุรกิจการเงิน”
วันที่ 28 เมษายน 2565 ดร.เศรษฐพุฒิ สุทธิวาทนฤพุฒิ ผู้ว่าการธนาคารแห่งประเทศไทย (ธปท.) กล่าวว่า ในปี 2564 พบว่ามีเหตุข้อมูลรั่วไหลสูงถึง 2.27 หมื่นล้านรายการ โดยเป็นข้อมูลส่วนบุคคลที่มีชื่อผู้ทำธุรกรรมรั่วไหลออกไปประมาณ 65%
ภายใต้เศรษฐกิจดิจิทัลที่เน้นการขับเคลื่อนโดยการใช้ประโยชน์จากข้อมูล โดยตัวเลขที่รั่วไหลนั้นอาจจะกระทบความเชื่อมั่นภาคธุรกิจและประชาชนในการเปิดเผยข้อมูลส่วนบุคคล และอาจเป็นอุปสรรคในการเปลี่ยนผ่านการเข้าสู่เศรษฐกิจดิจิทัลของประเทศได้
ขณะเดียวกัน ความปลอดภัยของข้อมูลมีความสำคัญต่อการพัฒนาภาคการเงินเช่นกัน โดยเฉพาะในระยะต่อไปที่ ธปท.มีนโยบายสนบัสนุนภูมิทัศน์การเงิน หรือ Financial Landscape ให้เปิดกว้างมากขึ้น เพื่อให้ผู้ประกอบธุรกิจนำข้อมูลไปใช้ในการพัฒนาต่อยอดที่เรียกว่า Open Data ทำให้ประชาชนเข้าถึงแหล่งเงินทุนได้ง่าย สะดวกและมีความรวดเร็วยิ่งขึ้นด้วยต้นทุนที่เหมาะสม และเป็นธรรม
เช่น ผู้ประกอบการขนาดเล็กที่มีข้อมูลทางการเงินไม่มากสามารถเชื่อมต่อข้อมูลการชำระเงินค่าน้ำ ค่าไฟที่สะท้อนความรับผิดชอยสม่ำเสมอในการชำระหนี้มาใช้ในการขอสินเชื่อ และเพื่อให้ผู้กู้สามารถตัดสินใจปล่อยสินเชื่อในอัตราดอกเบี้ยที่สะท้อนผู้กู้
ทั้งนี้ กฎหมายคุมครองข้อมูลส่วนบุคคล จะเป็นเกณฑ์การควบคุมภาคการเงินให้สามารถดูแลความเสี่ยงให้มีความรัดกุมที่เหมาะสม และไม่ละเมิดสิทธิในข้อมูลที่ใช้บริการทางการเงิน
โดย ธปท.ได้มีแนวปฏิบัติด้านความคุ้มครองข้อมูลส่วนบุคคล เพื่อให้มั่นใจว่าภาคการธนาคารมีความพร้อมก่อนที่กฎหมายพรพราชบัญญัติ (พ.ร.บ.) คุ้มครองข้อมูลส่วนบุคคล (PDPA) จะบังคับใช้ในวันที่ 1 มิถุนายน 2565 นี้
“โดยผู้กำกับดูแลทุกหน่วยงานที่เกี่ยวข้อง รวมถึง ธปท.จะช่วยให้การกำกับดูแลไม่ทับซ้อน ไม่เป็นภาระต้นทุนหรือลดต้นทุนภาคธุรกิจและภาคประชาชนที่ใช้ข้อมูล โดยบริหารจัดการความเสี่ยงที่ดีขึ้น โดยข้อมูลส่วนบุคคลจะเป็นรากฐานสำคัญเพื่อเจตนารมณ์ให้เศรษฐกิจไทยเปลี่ยนผ่านไปสู่เศรษฐกิจดิจิทัลได้ราบรื่น”
ธปท.เผยน็อนแบงก์ยังไม่พร้อม ขาดบุคลากร เครื่องมือ
นางสาวสิริธิดา พนมวัน ณ อยุธยา ผู้ช่วยผู้ว่าการ สายนโยบายระบบการชำระเงินและเทคโนโลยีทางการเงิน ธปท. กล่าวว่า ภาคการเงินที่อยู่ภายใต้การกำกับดูแลของ ธปท.และภายใต้กฎหมาย PDPA จะเป็นกลุ่มให้บริการทางการเงิน
ประกอบด้วย ภาคธนาคาร ซึ่งจะมีธนาคารพาณิชย์ สถาบันการเงินเฉพาะกิจของรัฐ (SFIs) และธนาคารต่างประเทศ และผู้ประกอบธุรกิจที่ไม่ใช่ธนาคารพาณิชย์ (น็อนแบงก์) ซึ่งจะมีผู้ให้บริการด้านการชำระเงิน ผู้ให้บริการด้านสินเชื่อ และบริษัท บริหารสินทรัพย์ และผู้ให้บริการด้านอัตราแลกเปลี่ยน เป็นต้น
โดย ธปท.จะต้องดูแลผู้ให้บริการข้างต้นภายใต้กำกับดูแลปฏิบัติให้เป็นไปตามกฎหมาย ซึ่งจากการสำรวจพบว่าส่วนใหญ่มีความพร้อม โดยจะกลุ่มที่ยังไม่พร้อมจะเป็นกลุ่มน็อนแบงก์ที่อาจจะขาดบุคลากร และเครื่องมือ ซึ่ง ธปท.มีการติดตามและให้ความช่วยเหลืออย่างใกล้ชิด
ซึ่งมองว่ายังเหลือระยะเวลาอีก 2 เดือนก่อนที่กฎหมายที่จะมีผลบังคับใช้ มั่นใจว่ากลุ่มนี้จะมีความพร้อมทันหลังกฎหมายบังคับใช้
อย่างไรก็ดี การตรวจสอบความเสี่ยงที่อาจจะเกิดขึ้นนั้น ธปท.ในฐานะผู้กำกับดูแลมีการตรวจสอบผู้ให้บริการทางการเงินภายใต้กำกับเป็นประจำ โดยมีการตรวจสอบในพื้นที่มิติต่าง ๆ โดยเฉพาะในด้านข้อมูลส่วนบุคคลก็ให้ความสำคัญ และมีแนวปฏิบัติออกมา
เช่น ความเสี่ยงด้านไอที ที่จะเป็นบรรทัดฐานในการประเมินสถาบันการเงินในการดูแลความลับของลูกค้า เนื่องจากเป็นสิ่งสำคัญให้ลูกค้าเกิดความมั่นใจในการทำธุรกรรมการเงิน ซึ่งหาก ธปท.ตรวจสอบพบว่ามีช่องว่างจะมีการสั่งหรือกำชับให้ปิดช่องว่าง เพื่อให้ผู้ใช้บริการมั่นใจภายใต้ความร่วมมือกับหน่วยงานกำกับอื่น
สำหรับแนวโน้มการรั่วไหลของข้อมูลนั้น มองว่าในช่วงที่ผ่านมามีการให้ข้อมูลให้กันโดยง่าย ทำให้ข้อมูลที่มีอยู่มากมายกระจัดกระจาย ซึ่งกฎหมายคุ้มครองข้อมูลส่วนบุคคลจะทำให้การจัดเก็บข้อมูลมีกรอบและเป็นระเบียบมากขึ้น
“ในช่วง 2 ปีที่ผ่านมา ธปท.และหน่วยงานกำกับที่เกี่ยวข้องได้ร่วมกันทำงานอย่างต่อเนื่อง เพื่อยกระดับผู้ประกอบการให้มีความพร้อมปฏิบัติตามกฎหมาย ซึ่งปัจจุบันโดยส่วนใหญ่มีความพร้อม”
“อย่างไรก็ดี สิ่งที่ยังคงกังวล จะมี 2 ส่วน คือ 1.ผู้ประกอบการที่มีความพร้อมไม่เท่ากัน และมีการเกี่ยวข้องกันหลายภาคส่วน แต่ต้องเชื่อมต่อการทำธุรกรรมร่วมกัน เราจะต้องทำให้การเชื่อมต่อมีความพร้อมด้วย และ 2.ความพร้อมของลูกค้าถึงความเข้าใจของกฎหมายนี้ และการดูแลข้อมูลตัวเอง จึงต้องมีการร่วมมือกันสื่อสารประชาสัมพันธ์ให้เกิดความเข้าใจมากยิ่งขึ้น”
ล่าสุด หน่วยงานกำกับดูแลภาคธุรกิจการเงิน ทั้ง 3 องค์กร ได้แก่ ธนาคารแห่งประเทศไทย (ธปท.) สำนักงานคณะกรรมการกำกับหลักทรัพย์และตลาดหลักทรัพย์ (ก.ล.ต.) สำนักงานคณะกรรมการกำกับและส่งเสริมการประกอบธุรกิจประกันภัย (คปภ.) และสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (สคส.) ได้ร่วมลงนามบันทึกข้อตกลงความร่วมมือ (MOU) ด้านการคุ้มครองข้อมูลส่วนบุคคลของภาคธุรกิจการเงิน
เพื่อให้การปฏิบัติตามกฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคลของภาคการเงินเป็นไปอย่างราบรื่น และเกิดผลสัมฤทธิ์ตามเจตนารมณ์ของกฎหมายอย่างแท้จริง
รมว.ดีอีเอส ชี้ PDPA ยกระดับขีดความสามารถประเทศไทย
นายชัยวุฒิ ธนาคมานุสรณ์ รัฐมนตรีว่าการกระทรวงดิจิทัลเพื่อเศรษฐกิจและสังคม (DES) กล่าวว่า การคุ้มครองสิทธิของประชาชนในเรื่องข้อมูลส่วนบุคคล เป็นสิ่งที่รัฐบาลและกระทรวงดิจิทัลเพื่อเศรษฐกิจและสังคมให้ความสำคัญ ควบคู่ไปกับการผลักดันเรื่องการสร้างสรรค์นวัตกรรมและใช้ประโยชน์จากเทคโนโลยีดิจิทัลได้อย่างเต็มศักยภาพ
กฎหมายฉบับนี้เป็นหนึ่งในชุดกฎหมายดิจิทัลเพื่อยกระดับขีดความสามารถในการแข่งขันของประเทศไทยให้มีความเข้มแข็ง
“รวมทั้งเสริมสร้างความเชื่อมั่นให้กับสังคมในการใช้บริการออนไลน์ในชีวิตประจำวันได้อย่างปลอดภัยและเป็นธรรม ดังนั้น เพื่อเป็นการส่งเสริมและสร้างความเข้มแข็งด้านการคุ้มครองข้อมูลส่วนบุคคลของประเทศให้มีประสิทธิภาพมากเพิ่มขึ้น เป็นประโยชน์ต่อภาคประชาชนในฐานะเจ้าของข้อมูลส่วนบุคคล และในขณะเดียวกันเพื่อไม่ให้เป็นการสร้างภาระเกินสมควรแก่ผู้ประกอบธุรกิจที่อยู่ภายใต้การกำกับดูแลของหน่วยงานกำกับดูแลภาคธุรกิจการเงิน จึงได้จัดให้มีการลงนามบันทึกข้อตกลงความร่วมมือด้านการคุ้มครองข้อมูลส่วนบุคคลของภาคธุรกิจการเงินขึ้น”
90% องค์กรภายใต้ ก.ล.ต. ตื่นตัว
ขณะที่นางสาวรื่นวดี สุวรรณมงคล เลขาธิการ ก.ล.ต. กล่าวว่า ก.ล.ต. ได้ให้ความสำคัญในเรื่องการคุ้มครองข้อมูลส่วนบุคคลและส่งเสริมหน่วยงานในตลาดทุนมีพร้อมในการปฏิบัติตาม พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคลฯ มาโดยตลอด พร้อมทั้งสนับสนุนการจัดทำแนวปฏิบัติด้านการคุ้มครองข้อมูลส่วนบุคคลของแต่ละกลุ่มธุรกิจในตลาดทุน ที่ผ่านมา ก.ล.ต. ได้ดำเนินกิจกรรมต่าง ๆ ในเชิงรุกอย่างต่อเนื่อง
โดยเฉพาะอย่างยิ่งการสร้างกลไกความร่วมมือระหว่างหน่วยงานกำกับดูแลที่เกี่ยวข้องเพื่อสร้างความชัดเจนในทางปฏิบัติ และจากการสำรวจความพร้อมของผู้ประกอบธุรกิจภายใต้การกำกับดูแล เมื่อเดือนมีนาคม 2565 พบว่า ผู้ประกอบธุรกิจมีความตื่นตัวในด้านการคุ้มครองข้อมูลส่วนบุคคลและได้ดำเนินการตามข้อกำหนดต่าง ๆ ไปมากกว่า 90% แล้ว
ส่วนใหญ่มั่นใจว่าจะแล้วเสร็จก่อน พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคลฯ มีผลใช้บังคับ ดังนั้น ก.ล.ต. เชื่อมั่นว่า ความร่วมมือของ 4 องค์กรในครั้งนี้จะเป็นประโยชน์อย่างยิ่งต่อการคุ้มครองข้อมูลส่วนบุคคลในภาคการเงินและสร้างความเชื่อมั่นในการใช้งานเทคโนโลยี รวมทั้งจะเป็นประโยชน์ต่อประเทศ
คปภ.เตรียมพร้อมธุรกิจประกัน
ขณะที่ ดร.สุทธิพล ทวีชัยการ เลขาธิการ คปภ. กล่าวว่า ธุรกิจประกันภัยเป็นธุรกิจที่มีการใช้ข้อมูลส่วนบุคคลเพื่อประกอบการดำเนินธุรกรรม ไม่ว่าจะเป็นการนำข้อมูลส่วนบุคคลมาใช้สนับสนุนการพิจารณารับประกันภัย การปฏิบัติตามสัญญาประกันภัย และการให้บริการลูกค้า
สำนักงาน คปภ.จึงให้ความสำคัญอย่างยิ่งกับการบริหารจัดการการได้มาและการปกป้องข้อมูลของลูกค้าทั้งข้อมูลส่วนบุคคลทั่วไปและข้อมูลส่วนบุคคลที่มีความอ่อนไหวของธุรกิจประกันภัย ตลอดระยะเวลาที่ผ่านมา สำนักงาน คปภ.ได้เตรียมความพร้อมสำหรับภาคธุรกิจประกันภัยเพื่อรองรับการปฏิบัติตามกฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคล
อาทิ การออกแนวปฏิบัติในการคุ้มครองข้อมูลส่วนบุคคลสำหรับธุรกิจประกันชีวิต ธุรกิจประกันวินาศภัยและผู้ประเมินวินาศภัย การประเมินความพร้อมในด้านองค์กรด้านการปฏิบัติตามกฎหมาย และด้านการรักษาความมั่นคงปลอดภัย รวมถึงการสร้างความรู้ความเข้าใจเกี่ยวกับการคุ้มครองข้อมูลส่วนบุคคลสำหรับภาคธุรกิจประกันภัย
โดยความร่วมมือตาม MOU ฉบับนี้ จะสนับสนุนการกำกับดูแลด้านการคุ้มครองข้อมูลส่วนบุคคลด้านการเงินให้เกิดประสิทธิภาพอย่างสูงสุดต่อประชาชนและประเทศชาติต่อไป
ดร.เวทางค์ พ่วงทรัพย์ รองปลัดกระทรวงดิจิทัลเพื่อเศรษฐกิจและสังคม กล่าวว่า พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 เป็นกลไกสำคัญทำให้ประชาชนสามารถรับทราบวัตถุประสงค์ของการจัดเก็บ การใช้ หรือการเปิดเผยข้อมูลส่วนบุคคลอย่างชัดแจ้ง และมีสิทธิต่าง ๆ ที่ชัดเจนเกี่ยวกับข้อมูลส่วนบุคคลของตน
ในส่วนของหน่วยงานภาครัฐ และองค์กรเอกชนมีมาตรฐานการเก็บรวบรวม ใช้ หรือเผยแพร่ข้อมูลส่วนบุคคล ทำให้สามารถดำเนินการและทำธุรกิจเกี่ยวกับข้อมูลได้อย่างมั่นใจว่าถูกต้องตามกฎหมาย
ในขณะเดียวกัน ประเทศไทยมีมาตรการคุ้มครองข้อมูลส่วนบุคคล สอดคล้องหลักการสากลและได้รับการยอมรับในการทำธุรกิจการค้าจากนานาชาติ รวมทั้งสามารถสร้างสังคมที่เข้มแข็ง เนื่องจากสามารถตรวจสอบการดำเนินงานภาครัฐและภาคธุรกิจเกี่ยวกับการคุ้มครองข้อมูลส่วนบุคคลให้มีความถูกต้องเหมาะสมได้