PDPC ย้ำคุ้มครองข้อมูลประชาชน แจ้ง สธ. – TSD แจงหลักฐานดำเนินงานตาม PDPA

สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล หรือ สคส. (PDPC)! ตรวจสอบเข้มการคุ้มครองข้อมูลประชาชน จี้ สธ. และ TSD ชี้แจง และยื่นหลักฐานปฏิบัติตามมาตรฐาน PDPA ย้ำต้องปลอดภัย และถูกต้องตามกฎหมาย…

highlight

• สคส. เร่งติดตาม 2 กรณีข้อมูลส่วนบุคคลสำคัญ ทั้งข้อมูลที่เกี่ยวข้องกับสิทธิการรักษาพยาบาล “หมอพร้อม” ได้มีผู้ใช้สิทธิ์ร้องเรียนแล้วกว่า 30 ราย และเหตุข้อมูลผู้ใช้บริการ TSD Investor Portal รั่วไหลประมาณ 2 แสนราย แจ้งหน่วยงานนำส่งข้อเท็จจริง และหลักฐานเพิ่มเติม ย้ำต้องตรวจสอบตั้งแต่ต้นเหตุ ขอบเขตผลกระทบ การแจ้งเหตุ ตลอดจนมาตรการเยียวยา และป้องกันเหตุซ้ำ ก่อนพิจารณาดำเนินการตามกฎหมาย

PDPC ย้ำคุ้มครองข้อมูลประชาชน แจ้ง สธ. – TSD แจงหลักฐานดำเนินงานตาม PDPA

สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (สคส.) หรือ พีดีพีซี (PDPC) เดินหน้าตรวจสอบกรณีที่อาจกระทบต่อข้อมูลส่วนบุคคลของประชาชนอย่างเข้มงวด โดยได้แจ้งให้กระทรวงสาธารณสุข (สธ.) และบริษัท ศูนย์รับฝากหลักทรัพย์ (ประเทศไทย) จำกัด (TSD) 

นำส่งข้อมูล คำชี้แจง และพยานหลักฐานเกี่ยวกับการดำเนินการตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 เพิ่มเติมให้ครบถ้วน เพื่อประเมินข้อเท็จจริง ขอบเขตผลกระทบ และความเหมาะสมของมาตรการคุ้มครองข้อมูลส่วนบุคคลในแต่ละกรณี

พ.ต.อ.สุรพงศ์ เปล่งขำ เลขาธิการคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เปิดเผยว่า สคส. ให้ความสำคัญกับทั้งสองกรณี เนื่องจากเกี่ยวข้องกับข้อมูลส่วนบุคคลของประชาชนจำนวนมาก และข้อมูลบางประเภทอาจถูกนำไปเชื่อมโยงเพื่อระบุตัวบุคคล ใช้ประกอบการสวมรอย หรือหลอกลวงเจ้าของข้อมูลได้

จึงจำเป็นต้องตรวจสอบให้ได้ข้อเท็จจริงและหลักฐานที่ครบถ้วน ไม่พิจารณาจากคำชี้แจง หรือข้อมูลที่เผยแพร่ต่อสาธารณะเพียงด้านเดียว สำหรับกรณีข้อมูลที่เกี่ยวข้องกับระบบบริการสุขภาพและสิทธิการรักษาพยาบาล ซึ่งมีการนำเสนอข้อมูลผ่านสื่อมวลชน และมีข้อกังวลจากภาคประชาชนว่า

อาจมีข้อมูลส่วนบุคคลถูกเข้าถึง หรือนำไปใช้โดยมิชอบนั้น ปัจจุบันมีเจ้าของข้อมูลใช้สิทธิยื่นเรื่องร้องเรียนต่อ สคส. กรณีที่เกี่ยวข้องกับระบบ “หมอพร้อม” แล้วกว่า 30 ราย ซึ่ง สคส. จึงได้ประสาน และติดตามการตรวจสอบจากกระทรวงสาธารณสุข พร้อมแจ้งให้นำส่งข้อมูลและหลักฐานเพิ่มเติม

เพื่อพิสูจน์ให้ชัดเจนว่าข้อมูลที่เป็นประเด็นมีแหล่งที่มาจากระบบหรือหน่วยงานใด ประกอบด้วยข้อมูลประเภทใด มีเจ้าของข้อมูลจำนวนเท่าใดที่อาจได้รับผลกระทบ รวมถึงมีการเข้าถึง เปิดเผย หรือส่งต่อข้อมูลโดยมิชอบหรือไม่นอกจากนี้ กระทรวงสาธารณสุขจะต้องชี้แจงมาตรการรักษาความมั่นคงปลอดภัยของข้อมูล

ทั้งนี้ การตรวจสอบช่องโหว่ และบันทึกการเข้าถึงระบบ การระงับเหตุและจำกัดผลกระทบ ตลอดจนผลการประเมินความเสี่ยงต่อสิทธิ และเสรีภาพของประชาชน เพื่อประกอบการพิจารณาว่าได้ดำเนินการแจ้งเหตุละเมิดข้อมูลส่วนบุคคล รวมถึงแจ้งเจ้าของข้อมูลตามหลักเกณฑ์ และระยะเวลาที่กฎหมายกำหนดครบถ้วนแล้ว หรือไม่

ส่วนกรณี TSD ตรวจพบการเข้าถึงข้อมูลส่วนบุคคลของผู้ใช้บริการในระบบ TSD Investor Portal โดยไม่ได้รับอนุญาต จากการแถลงข่าวของ TSD เมื่อวันที่ 28 กรกฎาคม 2569 ระบุว่า หน่วยงานด้านเทคโนโลยีสารสนเทศตรวจพบความผิดปกติในช่วงเย็นวันที่ 25 กรกฎาคม 2569 ก่อนตรวจสอบเพิ่มเติม และยืนยันในวันที่ 26 กรกฎาคม 2569 ว่ามีข้อมูลส่วนบุคคลบางส่วนถูกเข้าถึง

TSD เปิดเผยว่า เหตุการณ์ดังกล่าวส่งผลกระทบต่อผู้ใช้บริการประมาณ 200,000 ราย จากบัญชีในระบบประมาณ 5 ล้านบัญชี โดยข้อมูลที่อาจได้รับผลกระทบประกอบด้วย ชื่อ–นามสกุล วันเดือนปีเกิด เลขประจำตัวประชาชน ที่อยู่ หมายเลขโทรศัพท์ อีเมล ชื่อบริษัทหลักทรัพย์ และเลขบัญชีซื้อขายหลักทรัพย์ ตลอดจนชื่อธนาคาร และเลขที่บัญชีธนาคารของผู้ใช้บริการบางส่วน

อย่างไรก็ตาม TSD ยืนยันว่า ระบบ TSD Investor Portal แยกออกจากระบบรับฝากหลักทรัพย์ และระบบธุรกรรมส่วนหลัง โดยจากการตรวจสอบในขณะนี้ยังไม่พบว่าข้อมูลการถือครองหลักทรัพย์และข้อมูลธุรกรรมซื้อขายหลักทรัพย์ได้รับผลกระทบ รวมถึงยังไม่พบความเสียหายทางการเงินที่เชื่อมโยงกับเหตุการณ์ดังกล่าว

ภายหลังตรวจพบเหตุ TSD ระบุว่าได้ดำเนินการปิดกั้นช่องทางการเข้าถึงที่ผิดปกติ ประสานกองบังคับการตำรวจสืบสวนสอบสวนอาชญากรรมทางเทคโนโลยีเพื่อสืบสวนติดตามผู้กระทำผิด แจ้งหน่วยงานกำกับดูแล ตลอดจนประสานบริษัทหลักทรัพย์ ธนาคาร และหน่วยงานที่เกี่ยวข้องให้เพิ่มระดับการเฝ้าระวัง พร้อมส่งอีเมลและข้อความ SMS แจ้งเตือนไปยังผู้ที่ได้รับผลกระทบแล้ว

ย้ำ! แม้ TSD ชี้แจงรายละเอียดแล้วก็ไม่ปล่อยผ่าน

พ.ต.อ.สุรพงศ์ กล่าวว่า แม้ TSD จะชี้แจงรายละเอียด และมาตรการที่ได้ดำเนินการต่อสาธารณะแล้ว แต่ในกระบวนการกำกับดูแลตามกฎหมาย สคส. ยังจำเป็นต้องตรวจสอบข้อมูล และพยานหลักฐานในเชิงลึก โดยเฉพาะสาเหตุ และช่องทางที่ทำให้เกิดการเข้าถึงข้อมูลโดยไม่ได้รับอนุญาต ช่วงเวลาที่เริ่มต้น และสิ้นสุดของเหตุการณ์ ประเภท และจำนวนข้อมูลที่ได้รับผลกระทบ ตลอดจนประสิทธิภาพของมาตรการรักษาความมั่นคงปลอดภัยก่อนและหลังเกิดเหตุ

ขณะเดียวกัน จะต้องตรวจสอบหลักฐานการแจ้งเหตุละเมิดข้อมูลส่วนบุคคลต่อ สคส. การประเมินระดับความเสี่ยงต่อเจ้าของข้อมูล วิธีการและระยะเวลาในการแจ้งเตือนผู้ได้รับผลกระทบ ตลอดจนมาตรการเฝ้าระวัง เยียวยา และป้องกันไม่ให้เกิดเหตุในลักษณะเดียวกันซ้ำอีก

“การแถลงข้อเท็จจริงต่อสาธารณะถือเป็นส่วนสำคัญของการแสดงความรับผิดชอบ แต่ในทางกฎหมาย สคส. จำเป็นต้องตรวจสอบให้เห็นถึงข้อมูลทางเทคนิค เอกสาร และหลักฐานการดำเนินงานที่ตรวจสอบย้อนกลับได้ เพื่อประเมินว่าองค์กรได้จัดให้มีมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสมกับความเสี่ยง และปฏิบัติหน้าที่ภายหลังเกิดเหตุอย่างครบถ้วนและทันท่วงทีแล้วหรือไม่“ พ.ต.อ.สุรพงศ์ กล่าว

เลขาธิการคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลย้ำว่า การเกิดเหตุข้อมูลส่วนบุคคลรั่วไหลไม่ได้หมายความว่าองค์กรนั้นมีความผิดตามกฎหมายโดยอัตโนมัติ การพิจารณาจะต้องอาศัยข้อเท็จจริง และพยานหลักฐานว่า ก่อนเกิดเหตุองค์กรได้จัดให้มีมาตรการป้องกันที่เหมาะสมหรือไม่ สามารถตรวจพบและควบคุมเหตุได้รวดเร็วเพียงใด รวมถึงได้แจ้งเหตุ แจ้งเจ้าของข้อมูล และลดผลกระทบตามหน้าที่ที่กฎหมายกำหนดแล้วหรือไม่

หากผลการตรวจสอบพบข้อบกพร่อง หรือการดำเนินการที่ไม่เป็นไปตามกฎหมาย สคส. จะพิจารณาดำเนินการตามอำนาจหน้าที่ และตามระดับความร้ายแรงของแต่ละกรณี ตั้งแต่การกำหนดมาตรการแก้ไข การสั่งให้ยกระดับมาตรฐานการคุ้มครองข้อมูลส่วนบุคคล ไปจนถึงการดำเนินกระบวนการตามกฎหมาย เพื่อคุ้มครองสิทธิของประชาชนและสร้างมาตรฐานความรับผิดชอบให้กับองค์กรที่เก็บรวบรวมและใช้ข้อมูลส่วนบุคคลจำนวนมาก

“ข้อมูลของประชาชนที่อยู่ในความดูแลของหน่วยงานรัฐหรือภาคเอกชนไม่ใช่เพียงทรัพยากรสำหรับให้บริการ แต่เป็นสิทธิของประชาชนที่องค์กรมีหน้าที่ต้องดูแลอย่างรอบคอบ โดยเฉพาะข้อมูลด้านสุขภาพ ข้อมูลประจำตัว และข้อมูลที่เชื่อมโยงกับบัญชีทางการเงิน ซึ่งหากรั่วไหลออกไปอาจถูกนำไปใช้สร้างความเสียหายได้ในระยะยาว สคส. จึงต้องตรวจสอบทุกกรณีอย่างจริงจัง โปร่งใส และไม่ปล่อยให้คำชี้แจงที่ยังขาดหลักฐานเป็นข้อยุติ” พ.ต.อ.สุรพงศ์ กล่าว

วอน ประชาชน เพิ่มความระมัดระวัง!

สคส. ขอให้ประชาชนที่ได้รับการแจ้งเตือนจาก TSD หรือหน่วยงานที่เกี่ยวข้อง เพิ่มความระมัดระวังต่ออีเมล ข้อความ SMS โทรศัพท์ หรือบัญชีออนไลน์ที่แอบอ้างเป็นตลาดหลักทรัพย์ บริษัทหลักทรัพย์ ธนาคาร หรือหน่วยงานภาครัฐ โดยไม่คลิกลิงก์ ไม่ดาวน์โหลดไฟล์ และไม่เปิดเผยรหัสผ่านหรือรหัส OTP แก่บุคคลที่ติดต่อมา หากมีข้อสงสัยควรติดต่อหน่วยงานหรือผู้ให้บริการผ่านช่องทางอย่างเป็นทางการโดยตรง

ทั้งนี้ สคส. จะติดตามการนำส่งข้อมูลและพยานหลักฐานจากกระทรวงสาธารณสุข และ TSD อย่างใกล้ชิด และจะพิจารณาดำเนินการตามกฎหมายเมื่อรวบรวมข้อเท็จจริงได้ครบถ้วน โดยยืนยันว่าจะดำเนินงานบนหลักความเป็นธรรม รอบคอบ และให้ความสำคัญสูงสุดกับสิทธิ และความปลอดภัยของประชาชน

ส่วนขยาย

* บทความเรื่องนี้น่าจะเป็นประโยชน์สำหรับการวิเคราะห์ในมุมมองที่น่าสนใจ 
** เขียน: ชลัมพ์ ศุภวาที (บรรณาธิการ และผู้สื่อข่าว) 
*** ขอขอบคุณภาพประกอบบางส่วนจาก N/A

สามารถกดติดตามข่าวสาร และบทความทางด้านเทคโนโลยีของเราได้ที่  www.facebook.com/itday.in.th