สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (สคส.) หรือ PDPC เร่งติดตามกรณีข้อมูลส่วนบุคคลสำคัญ ทั้งประเด็นระบบบริการสุขภาพ “หมอพร้อม” ที่มีผู้ร้องเรียนแล้วกว่า 30 ราย และเหตุข้อมูลผู้ใช้บริการ TSD Investor Portal รั่วไหลประมาณ 2 แสนราย โดยแจ้งให้หน่วยงานต้นสังกัดนำส่งข้อมูลและพยานหลักฐานเพิ่มเติมเชิงลึกตาม พ.ร.บ. คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 เพื่อตรวจสอบข้อเท็จจริงตั้งแต่สาเหตุ ผลกระทบ ไปจนถึงมาตรการเยียวยา
สคส. จี้ สธ.แจ้งหลักฐานปมข้อมูล “หมอพร้อม” รั่วไหล
สำหรับกรณีข้อมูลที่เกี่ยวข้องกับระบบบริการสุขภาพและสิทธิการรักษาพยาบาล ซึ่งมีความกังวลจากภาคประชาชนว่าอาจมีข้อมูลส่วนบุคคลถูกเข้าถึงหรือนำไปใช้โดยมิชอบนั้น ปัจจุบันมีเจ้าของข้อมูลใช้สิทธิยื่นเรื่องร้องเรียนต่อ สคส. กรณีที่เกี่ยวข้องกับระบบ “หมอพร้อม” แล้วกว่า 30 ราย สคส. จึงได้ประสานและติดตามการตรวจสอบจากกระทรวงสาธารณสุข (สธ.) พร้อมแจ้งให้นำส่งข้อมูลและหลักฐานเพิ่มเติมเพื่อพิสูจน์แหล่งที่มาของข้อมูลประเภทต่างๆ ให้ชัดเจน
กระทรวงสาธารณสุขจะต้องชี้แจงทั้งจำนวนเจ้าของข้อมูลที่อาจได้รับผลกระทบ การเข้าถึงหรือส่งต่อข้อมูลโดยมิชอบ พร้อมส่งมาตรการรักษาความมั่นคงปลอดภัยของข้อมูล บันทึกการเข้าถึงระบบ การระงับเหตุ และผลการประเมินความเสี่ยงต่อสิทธิเสรีภาพของประชาชน เพื่อให้ สคส. นำมาประกอบการพิจารณาว่าได้ดำเนินการแจ้งเหตุละเมิดข้อมูลส่วนบุคคลตามหลักเกณฑ์และระยะเวลาที่กฎหมายกำหนดไว้ครบถ้วนหรือไม่
พ.ต.อ.สุรพงศ์ เปล่งขำ เลขาธิการคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เปิดเผยว่า สคส. ให้ความสำคัญกับทั้งสองกรณีเนื่องจากเกี่ยวข้องกับข้อมูลส่วนบุคคลของประชาชนจำนวนมาก และข้อมูลบางประเภทอาจถูกนำไปเชื่อมโยงเพื่อระบุตัวบุคคล ใช้ประกอบการสวมรอย หรือหลอกลวงเจ้าของข้อมูลได้ จึงจำเป็นต้องตรวจสอบให้ได้ข้อเท็จจริงและหลักฐานที่ครบถ้วน ไม่พิจารณาจากคำชี้แจงหรือข้อมูลที่เผยแพร่ต่อสาธารณะเพียงด้านเดียว
ตรวจสอบเชิงลึกกรณี TSD ข้อมูลผู้ใช้บริการหลุด 2 แสนราย
ในส่วนของ บริษัท ศูนย์รับฝากหลักทรัพย์ (ประเทศไทย) จำกัด (TSD) ได้ตรวจพบการเข้าถึงข้อมูลส่วนบุคคลของผู้ใช้บริการในระบบ TSD Investor Portal โดยไม่ได้รับอนุญาต ซึ่งทาง TSD แถลงว่าตรวจพบความผิดปกติเมื่อช่วงเย็นวันที่ 25 กรกฎาคม 2569 และยืนยันเหตุการณ์ในวันที่ 26 กรกฎาคม 2569 โดยมีผู้ได้รับผลกระทบประมาณ 200,000 ราย จากทั้งหมด 5 ล้านบัญชี ข้อมูลที่กระทบ ได้แก่ ชื่อ-นามสกุล วันเดือนปีเกิด เลขประจำตัวประชาชน ที่อยู่ หมายเลขโทรศัพท์ อีเมล ชื่อบริษัทหลักทรัพย์ เลขบัญชีซื้อขายหลักทรัพย์ รวมถึงชื่อธนาคารและเลขที่บัญชีธนาคารของผู้ใช้บริการบางส่วน
อย่างไรก็ตาม TSD ยืนยันว่าระบบ TSD Investor Portal แยกออกจากระบบรับฝากหลักทรัพย์และระบบธุรกรรมส่วนหลัง โดยยังไม่พบว่าข้อมูลการถือครองหลักทรัพย์หรือข้อมูลธุรกรรมได้รับผลกระทบ และยังไม่พบความเสียหายทางการเงิน ซึ่งหลังเกิดเหตุ TSD ได้ปิดกั้นช่องทางเข้าถึง ประสานตำรวจสืบสวนสอบสวนอาชญากรรมทางเทคโนโลยี แจ้งหน่วยงานกำกับดูแล และส่งอีเมลรวมถึง SMS แจ้งเตือนผู้ได้รับผลกระทบแล้ว
พ.ต.อ.สุรพงศ์ กล่าวว่า แม้ TSD จะชี้แจงรายละเอียดและมาตรการต่อสาธารณะแล้ว แต่ในกระบวนการกำกับดูแลตามกฎหมาย สคส. ยังจำเป็นต้องตรวจสอบข้อมูลและพยานหลักฐานในเชิงลึก โดยเฉพาะสาเหตุ ช่องทางที่ทำให้เกิดการเข้าถึงโดยไม่ได้รับอนุญาต ช่วงเวลาเกิดเหตุ ประสิทธิภาพของมาตรการความปลอดภัย ตลอดจนหลักฐานการแจ้งเหตุละเมิดและการแจ้งเตือนผู้ได้รับผลกระทบ
“การแถลงข้อเท็จจริงต่อสาธารณะถือเป็นส่วนสำคัญของการแสดงความรับผิดชอบ แต่ในทางกฎหมาย สคส. จำเป็นต้องตรวจสอบให้เห็นถึงข้อมูลทางเทคนิค เอกสาร และหลักฐานการดำเนินงานที่ตรวจสอบย้อนกลับได้ เพื่อประเมินว่าองค์กรได้จัดให้มีมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสมกับความเสี่ยง และปฏิบัติหน้าที่ภายหลังเกิดเหตุอย่างครบถ้วนและทันท่วงทีแล้วหรือไม่” พ.ต.อ.สุรพงศ์ กล่าว
ย้ำไม่พบความผิดอัตโนมัติ พร้อมลงโทษหากพบข้อบกพร่อง
พ.ต.อ.สุรพงศ์ ย้ำว่า การเกิดเหตุข้อมูลส่วนบุคคลรั่วไหลไม่ได้หมายความว่าองค์กรนั้นมีความผิดตามกฎหมายโดยอัตโนมัติ การพิจารณาจะต้องอาศัยข้อเท็จจริงและพยานหลักฐานว่า ก่อนเกิดเหตุองค์กรได้จัดให้มีมาตรการป้องกันที่เหมาะสมหรือไม่ สามารถตรวจพบและควบคุมเหตุได้รวดเร็วเพียงใด รวมถึงได้แจ้งเหตุและลดผลกระทบตามหน้าที่แล้วหรือไม่ หากพบข้อบกพร่อง สคส. จะพิจารณาดำเนินการตามอำนาจหน้าที่ ตั้งแต่การกำหนดมาตรการแก้ไข การสั่งยกระดับมาตรฐาน ไปจนถึงการดำเนินกระบวนการตามกฎหมาย
“ข้อมูลของประชาชนที่อยู่ในความดูแลของหน่วยงานรัฐหรือภาคเอกชนไม่ใช่เพียงทรัพยากรสำหรับให้บริการ แต่เป็นสิทธิของประชาชนที่องค์กรมีหน้าที่ต้องดูแลอย่างรอบคอบ โดยเฉพาะข้อมูลด้านสุขภาพ ข้อมูลประจำตัว และข้อมูลที่เชื่อมโยงกับบัญชีทางการเงิน ซึ่งหากรั่วไหลออกไปอาจถูกนำไปใช้สร้างความเสียหายได้ในระยะยาว สคส. จึงต้องตรวจสอบทุกกรณีอย่างจริงจัง โปร่งใส และไม่ปล่อยให้คำชี้แจงที่ยังขาดหลักฐานเป็นข้อยุติ” พ.ต.อ.สุรพงศ์ กล่าวเสริม
ทั้งนี้ สคส. ขอให้ประชาชนที่ได้รับการแจ้งเตือน เพิ่มความระมัดระวังต่ออีเมล SMS โทรศัพท์ หรือบัญชีออนไลน์ที่แอบอ้างเป็นตลาดหลักทรัพย์ บริษัทหลักทรัพย์ ธนาคาร หรือหน่วยงานรัฐ โดยไม่คลิกลิงก์ ไม่ดาวน์โหลดไฟล์ และไม่เปิดเผยรหัสผ่านหรือรหัส OTP โดย สคส. จะติดตามการนำส่งข้อมูลและหลักฐานจากกระทรวงสาธารณสุขและ TSD อย่างใกล้ชิดเพื่อพิจารณาดำเนินการตามกฎหมายต่อไป
#PDPC #คุ้มครองข้อมูลส่วนบุคคล #PDPA #หมอพร้อม #TSD #ข่าวไอที #ศูนย์รับฝากหลักทรัพย์ #กระทรวงสาธารณสุข
