เมื่อรัฐขอข้อมูลประชาชน ใครรับผิดชอบเมื่อรัฐรักษาข้อมูลไม่ได้?

บางบริการยังต้องแนบเอกสารหลายรายการ ทั้งที่ข้อมูลจำนวนหนึ่งรัฐมีอยู่แล้ว

ประชาชนอาจไม่เคยถามว่าข้อมูลเหล่านั้นถูกเก็บไว้ที่ไหน ใครเข้าถึงได้ หรือจะเกิดอะไรขึ้นหากระบบมีช่องโหว่ เพราะเชื่อว่ารัฐย่อมดูแลข้อมูลที่ขอไปอย่างเหมาะสม แต่เมื่อข่าวข้อมูลรั่วไหลยังปรากฏเป็นระยะ คำถามจึงไม่ใช่เพียงระบบใดถูกโจมตี หากเป็นเรื่องพื้นฐานกว่านั้นว่า เมื่อรัฐขอข้อมูลจากประชาชน รัฐพร้อมรับผิดชอบต่อข้อมูลนั้นเพียงใด

ไม่มีระบบสารสนเทศใดปลอดภัยสมบูรณ์ร้อยเปอร์เซ็นต์ ความผิดพลาดอาจเกิดจากผู้ไม่หวังดี การออกแบบระบบ หรือการกำหนดสิทธิ์เข้าถึงที่ไม่รัดกุม สิ่งที่แยกองค์กรที่พร้อมรับมือออกจากองค์กรที่ยังไม่พร้อม จึงไม่ใช่คำประกาศว่าระบบปลอดภัยที่สุด แต่คือ ความสามารถในการตรวจพบ ประเมิน และหยุดความเสียหายเมื่อเกิดเหตุ

ลองนึกภาพว่าเจ้าหน้าที่ได้รับแจ้งว่าผู้ใช้คนหนึ่งสามารถเห็นข้อมูลของคนอื่นได้ แต่ต้องรอผู้ดูแลระบบ รอผู้รับจ้าง หรือรออนุมัติตามลำดับชั้น ระหว่างนั้นบริการยังเปิดอยู่ และความเสี่ยงก็ยังอยู่เช่นเดิม กรณีสมมตินี้ชี้ให้เห็นว่า ช่องโหว่อาจอยู่ในระบบคอมพิวเตอร์ แต่ความล่าช้าอาจอยู่ในระบบบริหารงาน

ภัยคุกคามทางไซเบอร์ไม่ได้หยุดตามวันเวลาราชการ หน่วยงานที่ถือครองข้อมูลประชาชนจำนวนมากจึงต้องตอบให้ได้ว่า ใครรับแจ้งเหตุ ใครประเมินความรุนแรง และใครมีอำนาจตัดสินใจจำกัดการเข้าถึงหรือระงับบริการบางส่วนได้ทันที โดยไม่ต้องรอให้ความเสียหายขยายวง

พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 หรือ PDPA มาตรา 37 กำหนดให้ผู้ควบคุมข้อมูลส่วนบุคคลจัดมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสม และกำหนดหน้าที่แจ้งเหตุละเมิดข้อมูลต่อสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลโดยไม่ชักช้าภายใน 72 ชั่วโมงนับแต่ทราบเหตุเท่าที่สามารถกระทำได้

เว้นแต่เหตุที่ไม่มีความเสี่ยงต่อสิทธิและเสรีภาพของบุคคล หากมีความเสี่ยงสูง ยังต้องแจ้งเจ้าของข้อมูลพร้อมแนวทางเยียวยาโดยไม่ชักช้าด้วย

แต่ต้องเข้าใจว่า 72 ชั่วโมงเป็นกรอบการแจ้งเหตุ ไม่ใช่เวลาที่อนุญาตให้ปล่อยช่องโหว่ไว้เฉยๆ การจัดการอาจเป็นการแก้ระบบ จำกัดสิทธิ์ หรือหยุดบางบริการชั่วคราวตามระดับความเสี่ยง ไม่จำเป็นต้องปิดทั้งระบบทุกครั้ง สิ่งสำคัญคือมีผู้ตัดสินใจและลงมือทำจริง

การมีเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล (DPO) หรือฝ่ายไอที ไม่ได้หมายความว่าผู้บริหารสามารถวางความรับผิดไว้กับบุคคลเหล่านั้นทั้งหมด DPO ทำหน้าที่ให้คำแนะนำและตรวจสอบการปฏิบัติตามกฎหมาย ส่วนการจัดสรรทรัพยากร การกำหนดอำนาจฉุกเฉิน และการกำกับให้มีมาตรการพร้อมใช้งานเป็นเรื่องที่องค์กรและผู้บริหารต้องรับผิดชอบตามบทบาทของตน

ความสัมพันธ์ระหว่างรัฐกับประชาชนยิ่งทำให้ประเด็นนี้สำคัญ เพราะในบริการภาครัฐหลายประเภท ประชาชนเลือกผู้เก็บข้อมูลไม่ได้ การขออนุญาต ขึ้นทะเบียน หรือรับสิทธิบางอย่าง ต้องยื่นข้อมูลต่อหน่วยงานที่กฎหมายกำหนด ไม่ได้มีทางเลือกเหมือนการเปลี่ยนร้านค้าหรือแพลตฟอร์มเอกชน

เมื่อรัฐกำหนดให้ต้องส่งข้อมูล การปกป้องข้อมูลจึงไม่ควรเป็นเพียงข้อความในประกาศความเป็นส่วนตัว หรือช่องให้กดยอมรับ และข้อมูลที่รัฐเก็บตามอำนาจกฎหมายก็ไม่จำเป็นต้องอาศัยความยินยอมเสมอไป หน้าที่สำคัญคือ เก็บเท่าที่จำเป็น ใช้ตามวัตถุประสงค์ จำกัดผู้เข้าถึง และรับผิดชอบเมื่อมีความเสี่ยง

ท่ามกลางการเชื่อมฐานข้อมูลและขยายบริการออนไลน์ รัฐบาลดิจิทัลไม่ควรวัดความสำเร็จจากจำนวนแอปพลิเคชันหรือธุรกรรมออนไลน์อย่างเดียว แต่ต้องวัดความสามารถในการคุ้มครองข้อมูลด้วย โดยเฉพาะเมื่อระบบหลายหน่วยงานเชื่อมโยงกัน ความผิดพลาดจุดหนึ่งอาจส่งผลกระทบกว้างกว่าที่คาด

สิ่งที่ควรทำจึงไม่ใช่เพียงออกกฎเพิ่ม แต่ต้องทำให้ขั้นตอนรับมือเหตุการณ์ใช้การได้จริง ตั้งแต่ช่องทางรับแจ้งตลอดเวลา การจัดระดับความรุนแรง การมอบอำนาจให้ผู้ปฏิบัติงานตัดสินใจในขอบเขตที่กำหนด และการมีผู้รับผิดชอบสำรองเมื่อเกิดเหตุนอกเวลาทำการ

หลังแก้ไขแล้วก็ควรตรวจสอบว่าเหตุเกิดอย่างไร มีใครเข้าถึงข้อมูลโดยมิชอบหรือไม่ และต้องแจ้งหรือเยียวยาประชาชนอย่างไร การบอกเพียงว่า “ระบบกลับมาใช้งานได้ตามปกติ” ยังไม่เพียงพอหากไม่ตอบว่าข้อมูลของประชาชนปลอดภัยเพียงใด

ความโปร่งใสไม่ใช่การทำลายภาพลักษณ์หน่วยงาน ตรงกันข้าม การยอมรับปัญหา อธิบายข้อเท็จจริงเท่าที่เปิดเผยได้ และแก้ไขอย่างตรวจสอบได้ อาจสร้างความเชื่อมั่นได้มากกว่าการทำให้ทุกอย่างดูเหมือนไม่มีอะไรเกิดขึ้น

ท้ายที่สุด การเปลี่ยนผ่านสู่รัฐบาลดิจิทัลไม่ใช่เพียงการย้ายเอกสารกระดาษขึ้นออนไลน์ แต่ต้องเปลี่ยนวิธีคิดเรื่องความรับผิดชอบต่อข้อมูลด้วย ประชาชนอาจไม่รู้ว่ารัฐใช้เทคโนโลยีรักษาความปลอดภัยชนิดใด แต่มีสิทธิคาดหวังว่าข้อมูลที่จำเป็นต้องมอบให้รัฐจะได้รับการดูแล

เพราะการขอข้อมูลจากประชาชนอาจทำได้เพียงไม่กี่คลิก แต่ความไว้วางใจที่สูญเสียไปอาจเรียกคืนไม่ได้ง่าย ๆ และความสำเร็จของรัฐบาลดิจิทัลอาจไม่ได้พิสูจน์ในวันที่ทุกระบบทำงานปกติ แต่อยู่ที่วันที่ระบบมีปัญหา แล้วรัฐสามารถตอบได้ว่า ใครรับผิดชอบ และจะปกป้องประชาชนอย่างไร