สคส. (PDPC) เดินหน้าตรวจสอบกรณีข้อมูลส่วนบุคคลรั่วไหลจากระบบ “หมอพร้อม” และ TSD Investor Portal จี้กระทรวงสาธารณสุขและ TSD นำส่งข้อเท็จจริงและหลักฐานเพิ่มเติม ย้ำต้องตรวจสอบเชิงลึกถึงต้นเหตุ มาตรการเยียวยา และการป้องกันเหตุซ้ำ ก่อนพิจารณาดำเนินการตามกฎหมาย
สคส. จี้ สธ. และ TSD ส่งหลักฐานเพิ่ม ปมข้อมูลรั่วไหล
พ.ต.อ.สุรพงศ์ เปล่งขำ เลขาธิการคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เปิดเผยว่า สคส. ให้ความสำคัญกับทั้งสองกรณี เนื่องจากเกี่ยวข้องกับข้อมูลส่วนบุคคลของประชาชนจำนวนมาก และข้อมูลบางประเภทอาจถูกนำไปเชื่อมโยงเพื่อระบุตัวบุคคล ใช้ประกอบการสวมรอย หรือหลอกลวงเจ้าของข้อมูลได้ จึงจำเป็นต้องตรวจสอบให้ได้ข้อเท็จจริงและหลักฐานที่ครบถ้วน ไม่พิจารณาจากคำชี้แจงหรือข้อมูลที่เผยแพร่ต่อสาธารณะเพียงด้านเดียว
ร้องเรียน “หมอพร้อม” กว่า 30 ราย จี้ สธ. แจงความปลอดภัย
สำหรับกรณีข้อมูลที่เกี่ยวข้องกับระบบบริการสุขภาพและสิทธิการรักษาพยาบาล ซึ่งมีข้อกังวลจากภาคประชาชน ปัจจุบันมีเจ้าของข้อมูลใช้สิทธิยื่นเรื่องร้องเรียนต่อ สคส. กรณีที่เกี่ยวข้องกับระบบ “หมอพร้อม” แล้วกว่า 30 ราย สคส. จึงได้ประสานและติดตามการตรวจสอบจากกระทรวงสาธารณสุข พร้อมแจ้งให้นำส่งข้อมูลและหลักฐานเพิ่มเติม เพื่อพิสูจน์ให้ชัดเจนว่าข้อมูลที่เป็นประเด็นมีแหล่งที่มาจากระบบหรือหน่วยงานใด ประกอบด้วยข้อมูลประเภทใด มีเจ้าของข้อมูลจำนวนเท่าใดที่อาจได้รับผลกระทบ รวมถึงมีการเข้าถึง เปิดเผย หรือส่งต่อข้อมูลโดยมิชอบหรือไม่
นอกจากนี้ กระทรวงสาธารณสุขจะต้องชี้แจงมาตรการรักษาความมั่นคงปลอดภัยของข้อมูล การตรวจสอบช่องโหว่และบันทึกการเข้าถึงระบบ การระงับเหตุและจำกัดผลกระทบ ตลอดจนผลการประเมินความเสี่ยงต่อสิทธิและเสรีภาพของประชาชน ว่าได้ดำเนินการครบถ้วนตามหลักเกณฑ์และระยะเวลาที่กฎหมายกำหนดแล้วหรือไม่
เจาะลึกกรณี TSD กระทบผู้ใช้ 2 แสนราย ย้ำต้องมีหลักฐานชัดเจน
ส่วนกรณี TSD ตรวจพบการเข้าถึงข้อมูลส่วนบุคคลของผู้ใช้บริการในระบบ TSD Investor Portal โดยไม่ได้รับอนุญาต ส่งผลกระทบต่อผู้ใช้บริการประมาณ 200,000 ราย จากบัญชีในระบบประมาณ 5 ล้านบัญชี โดยข้อมูลที่อาจได้รับผลกระทบประกอบด้วย ชื่อ–นามสกุล วันเดือนปีเกิด เลขประจำตัวประชาชน ที่อยู่ หมายเลขโทรศัพท์ อีเมล ชื่อบริษัทหลักทรัพย์และเลขบัญชีซื้อขายหลักทรัพย์ รวมถึงชื่อธนาคารและเลขที่บัญชีธนาคารบางส่วน
แม้ TSD จะยืนยันว่าระบบ TSD Investor Portal แยกออกจากระบบรับฝากหลักทรัพย์ และยังไม่พบความเสียหายทางการเงิน พร้อมทั้งได้ปิดกั้นช่องทาง แจ้งตำรวจไซเบอร์ และแจ้งเตือนผู้ได้รับผลกระทบแล้ว แต่ พ.ต.อ.สุรพงศ์ กล่าวว่า ในกระบวนการกำกับดูแลตามกฎหมาย สคส. ยังจำเป็นต้องตรวจสอบข้อมูลและพยานหลักฐานในเชิงลึก โดยเฉพาะสาเหตุและช่องทางที่ทำให้เกิดการเข้าถึงข้อมูล รวมถึงประสิทธิภาพของมาตรการรักษาความมั่นคงปลอดภัยก่อนและหลังเกิดเหตุ
“การแถลงข้อเท็จจริงต่อสาธารณะถือเป็นส่วนสำคัญของการแสดงความรับผิดชอบ แต่ในทางกฎหมาย สคส. จำเป็นต้องตรวจสอบให้เห็นถึงข้อมูลทางเทคนิค เอกสาร และหลักฐานการดำเนินงานที่ตรวจสอบย้อนกลับได้ เพื่อประเมินว่าองค์กรได้จัดให้มีมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสมกับความเสี่ยง และปฏิบัติหน้าที่ภายหลังเกิดเหตุอย่างครบถ้วนและทันท่วงทีแล้วหรือไม่” พ.ต.อ.สุรพงศ์ กล่าว
ข้อมูลประชาชนคือสิทธิที่ต้องดูแล เตือนระวังมิจฉาชีพ
เลขาธิการคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลย้ำว่า การเกิดเหตุข้อมูลส่วนบุคคลรั่วไหลไม่ได้หมายความว่าองค์กรนั้นมีความผิดตามกฎหมายโดยอัตโนมัติ การพิจารณาจะต้องอาศัยข้อเท็จจริงและพยานหลักฐาน หากพบข้อบกพร่อง สคส. จะพิจารณาดำเนินการตามอำนาจหน้าที่ ตั้งแต่การสั่งแก้ไขไปจนถึงการดำเนินกระบวนการตามกฎหมาย
พร้อมกันนี้ สคส. ขอให้ประชาชนที่ได้รับการแจ้งเตือนจาก TSD หรือหน่วยงานที่เกี่ยวข้อง เพิ่มความระมัดระวังต่ออีเมล ข้อความ SMS โทรศัพท์ หรือบัญชีออนไลน์ที่แอบอ้างเป็นตลาดหลักทรัพย์ บริษัทหลักทรัพย์ ธนาคาร หรือหน่วยงานภาครัฐ โดยไม่คลิกลิงก์ ไม่ดาวน์โหลดไฟล์ และไม่เปิดเผยรหัสผ่านหรือรหัส OTP แก่บุคคลที่ติดต่อมา หากมีข้อสงสัยควรติดต่อหน่วยงานหรือผู้ให้บริการผ่านช่องทางอย่างเป็นทางการโดยตรง