ผู้เชี่ยวชาญ PDPA แจง ข้อมูลนักเรียน TCAS ที่รั่วไหล อาจทำให้ถูกฟ้องเรียกความเสียหายกว่า 20 ล้านบาทได้ เผยมหหาวิทยาลัยและผู้บริหารมหาวิทยาลัยที่ปล่อยข้อมูลรั่วต่างต้องตกเป็นจำเลย โอกาสโดนทั้งจำและปรับมีสูง สลดช่วงสุญญากาศก่อนมิถุนายนปีนี้ผู้บริโภคต่างถูกละเมิดแบบไม่รู้ตัว เหตุผู้ปฏิบัติงานและผู้บริหารของหน่วยงานต่างๆไม่ตระหนักเรื่องการคุ้มครองข้อมูล และคิดว่าไม่ต้องรับผิดชอบความเสียหายที่เกิดขึ้น

ดร.อุดมธิปก ไพรเกษตร ประธานกรรมการบริหาร  บริษัท ดิจิทัล บิสิเนส คอนซัลท์  (DBC) และผู้ก่อตั้งสื่อ PDPA Thailand เปิดเผยว่า จากการที่ข้อมูลของนักเรียนที่เข้าสอบ TCAS ในปี 2564 จำนวนมากกว่า 23,000 รายชื่อ ได้หลุดลอดออกไป โดยเป็นข้อมูลเกี่ยวกับ ชื่อ-สกุล เลขบัตรประจำตัวประชาชน และมีการวางขายในตลาดออนไลน์ หากมีการนำไปใช้ร่วมกับข้อมูลอื่น เช่น หมายเลขโทรศัพท์มือถือ , อีเมล ,หมายเลขบัตรเครดิต ฯลฯ จะสร้างความเสียหายให้กับนักเรียนเจ้าของข้อมูลอย่างมาก แต่เนื่องจากพ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล 2562 หรือ PDPA ซึ่งจะบังคับใช้จริงในเดือนมิถุนายน 2565 นี้ ทำให้นักเรียนผู้เสียหายไม่สามารถตรวจสอบ ไปจนถึงเรียกร้องค่าเสียหายจากทาง TCAS และมหาวิทยาลัยได้

จากคำชี้แจ้งของทาง TCAS พบว่า ข้อมูลรั่วไหลมาจากมหาวิทยาลัยแห่งหนึ่ง ในแง่กฎหมาย PDPA มหาวิทยาลัยแห่งนี้จะเป็นจำเลยที่หนึ่ง เพราะขาดการให้นโยบายที่จะคุ้มครองข้อมูลเหล่านี้แก่เจ้าหน้าที่ที่ปฏิบัติงาน ไม่ให้ความสำคัญ ประมาทเลินเล่อ ไม่คุ้มครองข้อมูลอย่างเป็นระบบ นอกจากนั้นยังไม่มีการแจ้งเหตุไปยังผู้เสียหาย 23.000 รายให้รับทราบ ทำให้เกิดความวิตกไปยังนักเรียนทั้งหมด 800.000 ราย ถ้าเหตุการณ์นี้เกิดหลัง PDPA บังคับใช้แล้ว อาจมีการเรียกร้องค่าเสียหายจากนักเรียนกลุ่มนี้ถึง 20 ล้านบาทได้ รวมทั้งโทษทางอาญากับผู้บริหารที่เกี่ยวข้องอีกด้วยการประเมินความเสียหาย นอกจากการฟ้องร้องที่เกิดขึ้นจริงแล้ว TCAS และมหาวิทยาลัยแห่งนั้นยังมีค่าความเสียหายอันเกิดจากภาพลักษณ์ที่ถูกทำลาย การฟื้นฟู และการสร้างแบรนด์ในภายหลังอีกด้วย

“กรณีของ TCAS ครั้งนี้สะท้อนปัญหาของหน่วยงานที่เกี่ยวข้องกับข้อมูลส่วนบุคคลจำนวนมาก โดยเฉพาะมหาวิทยาลัยสามารถเข้าถึงข้อมูลของ TCAS ได้ แต่ถ้าไม่สร้างระบบการจัดเก็บข้อมูลที่ดีพอ ไม่มีแนวทางปฏิบัติและกฎเกณฑ์การกำกับที่ชัดเจน เมื่อเกิดความเสียหายแล้วจึงค่อยมาตระหนัก ซึ่งจะเกิดเหตุการณ์แบบนี้กับหน่วยงานราชการอื่นต่อไป ซ้ำไปซ้ำมา โดยข้อมูลที่รั่วไหลก็มักจะเกิดจากความประมาทของเจ้าหน้าที่แม้จะมีระบบไอทีราคาแพงอยู่ในมือก็ไม่สามารถป้องกันได้” ดร.อุดมธิปก กล่าว

เนื่องจากขณะนี้เป็นช่วงสุญญากาศของกฎหมายคุ้มครองข้อมูลส่วนบุคคล การซื้อขายข้อมูลจากการละเมิดยังถูกเอาผิดไม่ได้เต็มที่ โดยที่ผู้ถูกละเมิดไม่สามารถสืบค้นข้อมูลย้อนหลังของแหล่งที่มาได้ แต่ถ้ากฎหมายมีการบังคับใช้แล้ว ผู้เสียหายจากกรณี TCAS นี้สามารถใช้สิทธิตามกฎหมายให้มหาวิทยาลัยที่ทำข้อมูลรั่วไหลออกมาเยียวยาค่าเสียหายได้ โดยการฟ้องร้องผ่านสำนักงานคุ้มครองข้อมูลส่วนบุคคล หรือฟ้องศาลได้โดยตรง

ดังนั้นหลังจาก 1 มิถุนายนนี้ การบังคับกฎหมาย PDPA จะทำให้ทุกองค์กรต้องมีการมอบนโยบายการคุ้มครองข้อมูลส่วนบุคคลให้พนักงานที่เกี่ยวข้องรับทราบและปฏิบัติ มีการระบุรายละเอียดและ job description หรือหน้าที่การทำงานออกมาอย่างชัดเจน พนักงานต้องรับรู้ตั้งแต่เริ่ม ถ้าเกิดข้อผิดพลาดจนเกิดความเสียหายร้ายแรง เกิดการร้องเรียน การเรียกความเสียหายทางแพ่ง และทางอาญา องค์กรสามารถบอกเลิกจ้างได้ในทันทีพร้อมทั้งเรียกร้องความเสียหายตามหลังได้ บทลงโทษนี้ต้องมีการเตรียมการตั้งแต่เริ่มมิเช่นนั้นผู้บริหารองค์กรก็ค้องรับผิด 100%

นายสันต์ภพ พรวัฒนะกิจ ผู้เชี่ยวชาญกฎหมายแรงงาน ที่ปรึกษาและวิทยากรด้าน PDPA สถาบันพัฒนาและทดสอบทักษะดิจิทัล (DDT) เปิดเผยว่า ก่อนกฎหมายคุ้มครองข้อมูลส่วนบุคคลบังคับใช้ องค์กรต้องรีบปรับปรุงรายละเอียดสัญญา ข้อบังคับการทำงานระหว่างนายจ้าง และลูกจ้าง ถ้าไม่ก็จะส่งผลต่อการคุ้มครองข้อมูลส่วนบุคคล เวลาเกิดความเสียหายนายจ้างจะเลิกจ้าง หรือจะลงโทษทางวินัย อาจฝ่าฝืนข้อบังคับเกี่ยวกับการทำงาน แต่ถ้าข้อมูลหลุดรั่วออกไปเกิดจากการที่พนักงานมีหน้าที่ในการเฝ้าระวังเกิดความประมาทเลิ่นเล่อจริง ก็ทำให้เป็นเหตุเลิกจ้างตามมาตรา 119 อนุ 3 ของกฎหมายคุ้มครองแรงงานได้

ด้านกระบวนการดำเนินคดี หากเกิดการหลุดรั่วของข้อมูลส่วนบุคคลออกไป เจ้าของข้อมูลส่วนบุคคลสามารถเลือกใช้สิทธิ์ในการร้องเรียนต่อคณะงานกรรมการร้องเรียนข้อมูลส่วนบุคคลได้ คณะกรรมการจะเริ่มดำเนินการสืบสวนสอบสวน ตั้งแต่กระบวนการการทำงานขององค์กรที่ทำข้อมูลหลุดรั่วว่าได้ทำหน้าที่ตามที่กฎหมายกำหนดแล้วหรือยัง และสามารถตรวจสอบถึงลูกจ้างกับคนที่รับจ้างนั้นมีบทบาทหน้าที่ มีความรับผิดชอบ และมีความประมาทเลิ่นเล่อในการทำงานมากน้อยแค่ไหน นอกจากองค์กรจะเสียเวลา เสียค่าใช้จ่าย ในการเข้าไปให้ปากคำกับพนักงานสอบสวน ต้องไปตรวจสอบข้อเท็จจริง เข้าไปตรวจสอบยืนยัน ซึ่งถ้าการสอบสวนระบุว่ามีปัญหา องค์กรจะต้องรับผิดชอบตามมาตรา 81 แม้องค์กรจะสามารถไล่พนักงานนั้นออกได้เลยแค่ผู้บริหารก็ยังต้องรับผิดชอบสูงสุดอยู่ดี