การขาดดุลดิจิทัล กำลังกลายเป็นโจทย์ที่มากกว่าการไหลออกของเม็ดเงินจากประเทศไทย
เมื่อผู้บริโภคและภาคธุรกิจจ่ายเงินให้บริการออนไลน์จากต่างประเทศเป็นจำนวนมาก ขณะเดียวกันข้อมูลสำคัญขององค์กรจำนวนไม่น้อยยังถูกจัดเก็บและประมวลผลบนโครงสร้างพื้นฐานที่อยู่ภายใต้กฎหมายของประเทศอื่น
ข้อมูลจาก “ภาวุธ พงษ์วิทยภานุ” สมาชิกสภาผู้แทนราษฎร พรรคประชาชน ระบุว่า ในช่วง 4 ปีที่ผ่านมา ผู้บริโภคและภาคธุรกิจไทยจ่ายเงินให้ผู้ให้บริการออนไลน์จากต่างประเทศรวมมากกว่า 420,000 ล้านบาท
ตัวเลขดังกล่าวคำนวณจากการชำระเงินให้บริษัทต่างประเทศ 258 บริษัทที่จดทะเบียนอยู่ในระบบภาษีของไทย และยังไม่ถูกรวมอยู่ในบัญชีรายได้ประชาชาติของประเทศ
การไหลออกของเงินครอบคลุมตั้งแต่บริการสตรีมมิง แพลตฟอร์มโฆษณา ระบบคลาวด์ ไปจนถึงเครื่องมือปัญญาประดิษฐ์ (AI) ซึ่งสะท้อนถึงโครงสร้างเศรษฐกิจดิจิทัลของไทยยังต้องพึ่งพาผู้ให้บริการจากต่างประเทศในหลายระดับ
‘อีเมล’ ไม่ใช่แค่เครื่องมือสื่อสาร
ในมุมของ เบรต คันนิงแฮม ประธานเจ้าหน้าที่ฝ่ายผลิตภัณฑ์ บริษัท Zimbra ผู้ให้บริการระบบอีเมลและแพลตฟอร์มการทำงานร่วมกันสำหรับองค์กร มีมุมมองว่า ประเด็นที่ถูกพูดถึงน้อยกว่าคือเงินที่ไหลออกผ่านโครงสร้างพื้นฐานดิจิทัลที่องค์กรใช้งานทุกวัน โดยเฉพาะอีเมล การทำงานร่วมกัน (Collaboration) และระบบจัดการเอกสาร
บริการเหล่านี้อาจไม่ปรากฏในรูปแบบค่าใช้จ่ายที่ผู้บริโภคเห็นได้ชัดเหมือนค่าสมาชิกแพลตฟอร์มสตรีมมิงหรือค่าโฆษณา แต่เป็นระบบที่รองรับการดำเนินงานขององค์กร และเป็นพื้นที่จัดเก็บข้อมูลที่มีความอ่อนไหวสูง
อีเมลและแพลตฟอร์ม Collaboration เป็นแหล่งเก็บข้อมูลสำคัญขององค์กร ทั้งข้อมูลลูกค้า รายละเอียดทางการเงิน การสื่อสารภายใน และข้อมูลเกี่ยวกับการตัดสินใจทางธุรกิจ
ข้อมูลเหล่านี้ยังถูกนำไปใช้ในการวิเคราะห์ข้อมูลและการทำงานของ AI มากขึ้น ทำให้ตำแหน่งที่จัดเก็บข้อมูล รวมถึงเขตอำนาจทางกฎหมายที่ข้อมูลอยู่ภายใต้กลายเป็นประเด็นสำคัญ หากระบบดังกล่าวถูกโฮสต์อยู่ในต่างประเทศและอยู่ภายใต้กฎหมายของประเทศอื่น ความสามารถขององค์กรในการควบคุมข้อมูลที่มีความอ่อนไหวย่อมมีข้อจำกัด
ในอดีตองค์กรอาจมองว่าการใช้บริการจากต่างประเทศเป็นการแลกเปลี่ยนระหว่างความสะดวก ประสิทธิภาพ และต้นทุน แต่การบังคับใช้กฎหมายด้านข้อมูลที่เข้มข้นขึ้นทำให้เรื่องดังกล่าวกลายเป็นประเด็นด้านความเสี่ยงและธรรมาภิบาล
PDPA เพิ่มแรงกดดันองค์กร
สำหรับประเทศไทยได้เห็นว่าทิศทางการบังคับใช้กฎหมายคุ้มครองข้อมูลส่วนบุคคลเริ่มมีความชัดเจนมากขึ้น ในเดือน ส.ค. 2568 คณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (สคส. หรือ PDPC) ออกคำสั่งปรับทางปกครองรวม 8 คำสั่งใน 5 คดี ภายใต้พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล (PDPA) คิดเป็นมูลค่ารวม 14.5 ล้านบาทในการประกาศครั้งเดียว ส่งผลให้ยอดค่าปรับสะสมนับตั้งแต่เริ่มบังคับใช้กฎหมายอยู่ที่ประมาณ 21.5 ล้านบาท
คดีดังกล่าวครอบคลุมทั้งหน่วยงานรัฐ โรงพยาบาล ธุรกิจค้าปลีก และบริษัทเครื่องสำอาง โดยข้อบกพร่องที่พบ ได้แก่ การรักษาความมั่นคงปลอดภัยของข้อมูลไม่เพียงพอ การไม่รายงานเหตุละเมิดข้อมูล และการกำกับดูแลผู้ประมวลผลข้อมูลหรือบุคคลที่สามที่ยังไม่มีประสิทธิภาพ
ต่อมาในเดือน ต.ค. 2568 ราชกิจจานุเบกษาประกาศให้หน่วยงานของรัฐทุกแห่งต้องแต่งตั้งเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล หรือ Data Protection Officer (DPO)
การเปลี่ยนแปลงดังกล่าวทำให้โจทย์ขององค์กรไม่ได้จำกัดอยู่ที่การมีนโยบายคุ้มครองข้อมูล แต่รวมถึงความสามารถในการควบคุมและตรวจสอบระบบที่ใช้จัดเก็บข้อมูลด้วย
คำถามสำคัญจึงขยับจาก “จะปฏิบัติตามกฎหมายหรือไม่” ไปสู่ “องค์กรสามารถควบคุมระบบและข้อมูลของตัวเองได้จริงเพียงใด”
SME แบกรับความเสี่ยงมากกว่า
ผลกระทบจากการขาดดุลดิจิทัลจึงไม่ได้หยุดอยู่ที่ระดับเศรษฐกิจมหภาค แต่เชื่อมโยงกับความเสี่ยงในการดำเนินธุรกิจ โดยเฉพาะกลุ่มธุรกิจขนาดกลางและขนาดย่อม (SME)
องค์กรขนาดใหญ่ เช่น ธนาคารหรือบริษัทข้ามชาติ มีทรัพยากรในการต่อรองเงื่อนไขกับผู้ให้บริการระดับโลก รวมถึงมีทีมงานด้านกฎหมาย การกำกับดูแล และความปลอดภัยไซเบอร์รองรับ
ในทางกลับกัน SME มีอำนาจต่อรองกับผู้ให้บริการแพลตฟอร์มต่างประเทศน้อยกว่า และอาจมองไม่เห็นอย่างชัดเจนว่าข้อมูลถูกประมวลผลที่ใด หรืออยู่ภายใต้เขตอำนาจศาลใด ขณะเดียวกันยังมีงบประมาณจำกัดกว่าในการลงทุนด้านทีมรักษาความปลอดภัยและการกำกับดูแลข้อมูล
ความแตกต่างดังกล่าวทำให้ผลกระทบจากเหตุข้อมูลรั่วไหลหรือค่าปรับมีน้ำหนักไม่เท่ากัน อาจส่งผลกระทบต่อการดำเนินธุรกิจอย่างมีนัยสำคัญ อยู่ในจุดที่ต้องรับทั้งแรงกดดันจากต้นทุนดิจิทัลและความเสี่ยงด้านข้อมูล
จากต้นทุนไอทีสู่ ‘อธิปไตยข้อมูล’
อีกประเด็นที่ถูกหยิบยกขึ้นมาคือ ข้อจำกัดของการใช้ระบบที่ติดตั้งและดำเนินงานภายในประเทศ หรือแนวทาง Data Sovereignty ซึ่งมักถูกตั้งคำถามว่าจะต้องแลกกับประสิทธิภาพ ฟังก์ชันการใช้งาน หรือประสบการณ์ของผู้ใช้หรือไม่
สำหรับองค์กรที่ต้องการลดความเสี่ยง แนวคิดสำคัญจึงไม่จำเป็นต้องเป็นการรื้อระบบทั้งหมด แต่คือการเปลี่ยนมุมมองต่อโครงสร้างพื้นฐานด้านการสื่อสารขององค์กร
คันนิงแฮมเสนอให้มองโครงสร้างพื้นฐานดังกล่าวในฐานะ “Sovereign-Critical Infrastructure” หรือโครงสร้างพื้นฐานที่มีความสำคัญต่ออธิปไตยของข้อมูล เช่นเดียวกับโครงสร้างพื้นฐานสำคัญอื่น ๆ
สิ่งที่องค์กรควรเริ่มต้นคือการตอบคำถาม 3 ข้อ คือ
- ข้อมูลที่มีความละเอียดอ่อนที่สุดขององค์กรจัดเก็บอยู่ที่ใดในทางกายภาพ
- ข้อมูลดังกล่าวอยู่ภายใต้กฎหมายของประเทศใดเมื่อเกิดปัญหาขึ้น
- องค์กรสามารถตรวจสอบ พิสูจน์ และรับรองการกำกับดูแลข้อมูลได้ด้วยตัวเองหรือไม่ โดยไม่ต้องพึ่งพาคำกล่าวอ้างของผู้ให้บริการเพียงฝ่ายเดียว
คำถามทั้งสามข้อทำให้การเลือกโครงสร้างพื้นฐานไม่ใช่เพียงการพิจารณาต้นทุนหรือฟังก์ชันการใช้งาน แต่กลายเป็นการตัดสินใจด้านความเสี่ยงและธรรมาภิบาลข้อมูล
ขณะเดียวกัน การรักษาข้อมูลไว้ภายในประเทศไม่ได้หมายความว่าจะต้องแลกกับประสิทธิภาพการทำงานเสมอไป
‘ข้อมูล’ อยู่ที่ใด? ใครควบคุม?
ท้ายที่สุดประเด็น Digital Deficit จึงไม่ได้จำกัดอยู่ที่จำนวนเงินที่ไหลออกนอกประเทศ แต่เชื่อมโยงกับคำถามว่า คุณค่าและอำนาจในการควบคุมข้อมูลขององค์กรควรอยู่ที่ใด
ในบรรดาต้นทุนดิจิทัลขององค์กร ระบบสื่อสารอย่างอีเมลและ Collaboration อาจเป็นส่วนที่ถูกมองข้ามมากที่สุด ทั้งที่เป็นพื้นที่จัดเก็บข้อมูลสำคัญและเป็นโครงสร้างพื้นฐานที่องค์กรใช้งานทุกวัน
ประเทศไทยมีโครงสร้างพื้นฐานสำหรับการดำเนินงานภายในประเทศอยู่แล้ว ขณะที่โจทย์ต่อไปคือการขยายการใช้งานไปยังภาคเอกชนและ SME ซึ่งต้องรับมือทั้งต้นทุนจากการพึ่งพาบริการดิจิทัลต่างประเทศและความเสี่ยงจากการสูญเสียการควบคุมข้อมูล
การตัดสินใจเลือกโครงสร้างพื้นฐานดิจิทัลจึงไม่ได้เป็นเพียงเรื่องของระบบไอที แต่เกี่ยวข้องกับคำถามว่า รากฐานของระบบดิจิทัลที่สำคัญที่สุดขององค์กรจะตั้งอยู่ที่ใด และข้อมูลจะอยู่ภายใต้การควบคุมของใคร
