หลังเมื่อช่วงบ่ายของวันพฤหัสบดีที่ 28 กุมภาพันธ์ที่ผ่านมา ที่ประชุมสภานิติบัญญัติแห่งชาติ (สนช.) ได้มีมติ 133 ต่อ 0 งดออกเสียง 16 เสียง เห็นชอบให้ประกาศใช้ร่างพระราชบัญญัติว่าด้วยการรักษาความมั่นคงปลอดภัยไซเบอร์ เสียงวิพากษ์วิจารณ์รวมถึงความกังวลที่มีต่อร่างกฎหมายฉบับนี้ก็แพร่กระจายออกไปในวงกว้างอย่างรวดเร็ว

โดยเฉพาะประเด็นที่ระบุว่านิยามภัยคุกคามไซเบอร์ค่อนข้างตีความได้กว้าง ทั้งยังครอบคลุม ‘เนื้อหา’ บนโลกออนไลน์ ประกอบกับเจ้าหน้าที่รัฐก็สามารถขอข้อมูลเพื่อประโยชน์ในการทำงานได้ ทำให้หลายคนกังวลใจว่าตนจะถูกสอดแนมการใช้งานบนโลกโซเชียลมีเดียหรือไม่ เพราะหากใช่ก็จะเท่ากับว่าสิทธิความเป็นส่วนตัวของประชาชนถูกลิดรอนโดยรัฐบาลอย่างไม่ชอบธรรมทันที

THE STANDARD คุยกับ อัจฉรินทร์ พัฒนพันธ์ชัย ปลัดกระทรวงดิจิทัลเพื่อเศรษฐกิจและสังคม เพื่อไขข้อสงสัยในประเด็นทั้งหมดที่กล่าวมานี้ รวมถึงจุดประสงค์หลักที่ทาง สนช. และกระทรวงฯ ต้องเร่งให้กฎหมายฉบับนี้ผ่านร่างโดยเร็ว

พ.ร.บ. ความมั่นคงปลอดภัยไซเบอร์สำคัญกับสถานการณ์ปัจจุบันอย่างไร เหตุใดจึงต้องมีการเร่งรัดผลักดันเพื่อออกเป็นกฎหมาย
พ.ร.บ. ความมั่นคงปลอดภัยไซเบอร์เป็นกฎหมายฉบับหนึ่งที่มีความสำคัญต่อการเป็นประเทศที่มีเศรษฐกิจและสังคมดิจิทัล มีเป้าหมายเพื่อปกป้องโครงสร้างพื้นฐานที่สำคัญทางสารสนเทศ พูดง่ายๆ ก็คือบริการหลักๆ ที่ให้บริการประชาชนหรือหน่วยงานภาครัฐที่ใช้ระบบคอมพิวเตอร์หรือไอทีสามารถให้บริการได้อย่างต่อเนื่อง มีการปกป้องให้ระบบไม่ถูกโจมตีโดยไวรัสหรือมัลแวร์ได้ง่ายๆ มีการเฝ้าระวังเพื่อให้รู้ว่าจะมีไวรัสเข้ามา เพื่อให้เกิดการรับมือ ทำลาย จำกัด หรือจะฟื้นฟูให้ระบบกลับมาทำงานได้ปกติอย่างไร

ดังนั้น พ.ร.บ. จึงมีความสำคัญที่จะทำให้หน่วยงานโครงสร้างพื้นฐานที่เชื่อมต่อกับหน่วยงานภาครัฐทั้งหลายแหล่ที่ให้บริการมีมาตรฐานและปลอดภัยพอ ไม่อย่างนั้นก็จะเกิดเหตุการณ์ระบบล่ม ระบบทำงานไม่ได้ รถไฟใต้ดินอาจจะต้องหยุดให้บริการเนื่องจากระบบไอทีขัดข้อง นี่คือเป้าหมายและเหตุผลที่เราต้องมี พ.ร.บ. ฉบับนี้ เพราะทุกวันนี้การโจมตีทางไซเบอร์กับระบบหลักๆ ด้วยการปล่อยไวรัสและมัลแวร์เกิดขึ้นตลอดเวลาจากผู้ไม่หวังดี

ถ้าไม่มี พ.ร.บ. นี้ เราก็จะไม่มีมาตรฐาน พ.ร.บ. เพื่อช่วยกำหนดว่าหน่วยงานเหล่านี้จะต้องมีมาตรฐาน การเฝ้าระวังและพร้อมรับมือในกรณีที่เกิดเหตุการณ์จริง รวมถึงมีหน่วยงานกลางที่คอยประสานงานกับหน่วยงานต่างประเทศเพื่อให้ทราบว่ามีการโจมตีทางไซเบอร์อย่างไร นี่คือหลักสำคัญและความจำเป็นของ พ.ร.บ. นี้

การจะเฝ้าระวังในที่นี้จะทำโดยวิธีใด เข้าข่ายการสอดแนมการใช้งานโซเชียลมีเดียของประชาชนหรือไม่

การเฝ้าระวังเป็น ‘การเฝ้าระวังระบบ’ ไม่ได้เป็นการเฝ้าระวังเนื้อหาหรือคอนเทนต์ที่คุณส่งต่อหากัน มันเป็นคนละเรื่องกัน ประเด็นเรื่องการไม่ใส่ร้ายกันหรือขายของปลอมเป็นหน้าที่ของ พ.ร.บ. คอมพิวเตอร์ที่จะดูแล กฎหมายฉบับนี้ไม่เกี่ยวข้องเลย

การเฝ้าระวังในที่นี้คือการที่หน่วยงานทั้งหลายแหล่จะต้องเฝ้าระวังการแพร่กระจายของไวรัสในโครงข่าย เช่น ไวรัสติดคอมพิวเตอร์เครื่องหนึ่งจะต้องรีบแจ้ง ไม่เช่นนั้นมันจะแพร่กระจายเข้าไปยึดเซิร์ฟเวอร์แม่ นั่นคือการเฝ้าระวัง ไม่ใช่การดูแลเนื้อหา วัตถุประสงค์คือเพื่อให้เน็ตเวิร์กหรือภาคผู้ให้บริการใหญ่ๆ ยังสามารถให้บริการต่อไปได้

ยืนยันว่าไม่เกี่ยวข้องกับการสอดแนมข้อมูลของประชาชนโดยเด็ดขาด

ไม่เกี่ยวข้องเลยค่ะ ขอยืนยันว่า พ.ร.บ. ความมั่นคงปลอดภัยไซเบอร์ไม่มีหน้าที่ไปยุ่งเกี่ยวหรือดูข้อมูลการแชตของประชาชนเด็ดขาด นั่นไม่ใช่หน้าที่ของเรา อย่างที่เรียนว่าการดูแลในส่วนนั้นเป็นหน้าที่ของ พ.ร.บ. คอมพิวเตอร์ กฎหมายฉบับนี้ใช้กับหน่วยงานโครงสร้างขั้นพื้นฐานที่สำคัญและงานบริการของภาครัฐ ไม่ใช่ระบบของประชาชน มีหน้าที่ในการเฝ้าระวังระบบคอมพิวเตอร์และโครงข่ายคอมพิวเตอร์ของโครงสร้างพื้นฐานของประเทศให้สามารถทำงานต่อได้

ประเทศไทยกำลังเดินหน้าไปสู่การเลือกตั้ง หากรอให้รัฐบาลที่มาจากการเลือกตั้งเป็นผู้ผลักดันกฎหมายฉบับนี้จะช่วยลดแรงต้านหรือเสียงวิพากษ์วิจารณ์ได้ไหม

คิดว่าแรงต้านหรือการวิพากษ์วิจารณ์มาจากการเผยแพร่ข้อมูลที่ไม่ถูกต้อง เราเห็นว่ามีการให้ข้อมูลที่เป็นเท็จออกมา ถ้าคุณเข้าใจอย่างที่อธิบายว่า พ.ร.บ. ความมั่นคงปลอดภัยไซเบอร์มีมาเพื่ออะไร ก็จะทราบถึงความจำเป็นว่าทำไมมันถึงต้องมี พ.ร.บ. ฉบับนี้ มันร่างมาแล้วกว่า 3 ปี และผ่านทาง สนช. แล้วด้วย ประเด็นที่ท่านพูดกันมันไม่ใช่ความจริง เลยอยากจะให้แยกก่อนว่าถ้าเราเอาความจริงมาดูแล้ว เราก็ไม่เห็นประเด็นว่าทำไมถึงต้องชะลอการผ่านร่างกฎหมายฉบับนี้

ต้องอย่าลืมว่าเมื่อกฎหมายฉบับนี้จะมีผลบังคับใช้ มันจำเป็นจะต้องมีคณะกรรมการ คณะทำงาน หน่วยงานที่ต้องมาทำหน้าที่วางมาตรฐานหรือกฎหมายลูก ซึ่งจะต้องใช้เวลาอีกกว่า 1 ปี หากเราเริ่มช้า เราก็จะทำให้หน่วยงานโครงสร้างขั้นพื้นฐานต้องรอต่อไปอีก ยิ่งช้าเท่าไรก็ยิ่งมีความเสี่ยงมากขึ้นต่อการถูกโจมตีโดยมัลแวร์เรียกค่าไถ่

กฎหมายฉบับนี้น่าจะเป็นประโยชน์มากกว่าด้วยซ้ำ แล้วเราจะต้องใช้เวลาในการออกมาตรฐานให้หน่วยงานหลายแห่งต้องปรับตัว ดังนั้นมันเลยไม่ควรช้า เหตุผลที่คนต่อต้านเพราะคนได้ข้อมูลที่ผิดและเข้าใจผิด ทั้งๆ ที่กฎหมายฉบับนี้ ทุกมาตราที่เขียนมาไม่ได้เกี่ยวข้องกับการเข้าถึงข้อมูลของบุคคลเลย พ.ร.บ. นี้จะเป็นการไปบังคับให้หน่วยงานโครงสร้างขั้นพื้นฐานของประเทศมีความมั่นคงปลอดภัย

แนวคิดการผ่านร่างกฎหมายฉบับนี้มีการสร้างสมดุลอย่างไร ระหว่างการรักษาความมั่นคงปลอดภัยกับการคุ้มครองสิทธิส่วนบุคคล

เมื่อเกิดภัยคุกคามอย่างร้ายแรง แปลว่าระบบโครงสร้างพื้นฐานไม่สามารถให้บริการได้ อันดับแรก หน่วยงานกลางหรือคณะกรรมการกลางจะสั่งให้หน่วยงานโครงสร้างขั้นพื้นฐานต้องทำอะไรก่อน ประการถัดมา เมื่อเจ้าหน้าที่จะต้องเข้าไปดูข้อมูลการจราจรคอมพิวเตอร์ของหน่วยงานนั้นจะต้องใช้คำสั่งศาลหรือหมายศาล ดังนั้นแล้วไม่มีการทำอะไรโดยพลการเลย

เมื่อมีการเข้าถึงทราฟฟิกกรณีที่เกิดภัยคุกคามระดับร้ายแรง หน่วยงานที่สามารถเข้าถึงข้อมูลจะมีอำนาจแกะรอยข้อมูลจนเข้าถึงข้อมูลส่วนตัวของประชาชนหรือไม่

ไม่ค่ะ เพราะเราดูที่ตัวทราฟฟิกต้นเหตุของปัญหาเป็นหลัก ไม่ได้เข้าไปดูว่าใครแชตอะไร ถ้าจะแกะรอยต้องแกะว่า ‘มัลแวร์’ หรือไวรัสที่ระบาดออกมามีต้นตอจากไหน อุปกรณ์ใดเป็นต้นกำเนิดของการแพร่ระบาด นอกจากประชาชนคนนั้นเป็นแฮกเกอร์หรืออาชญากรทางไซเบอร์ที่เข้าไปล่มระบบคอมพิวเตอร์ผู้ให้บริการหลักๆ ของประเทศ

คิดเห็นอย่างไรต่อเสียงคัดค้านของประชาชน โดยเฉพาะในโลกออนไลน์ที่มองว่าปัญหาหลักของกฎหมายฉบับนี้คือการเปิดช่องให้เกิดการตีความได้กว้างเกินไป

เข้าใจว่าสาเหตุน่าจะเกิดจากการให้ข่าวที่ไม่ถูกต้อง จะด้วยวัตถุประสงค์อะไรก็ไม่ทราบ แต่ในฐานะกระทรวง เราก็มีหน้าที่ให้ข้อมูลที่ถูกต้อง

ในฐานะผู้ผลักดันกฎหมายฉบับนี้ สามารถให้ความมั่นใจกับประชาชนได้ไหมว่าในอนาคตกฎหมายนี้จะไม่ถูกใช้เป็นเครื่องมือในการละเมิดสิทธิของประชาชน

ให้ความมั่นใจได้ค่ะ เพราะว่าไม่มีมาตราไหนเลยที่เปิดช่องให้ทำเช่นนั้น การเข้าถึงข้อมูลใดก็จะต้องใช้คำสั่งศาล

มาตรา 65 ของ พ.ร.บ. ความมั่นคงไซเบอร์ อนุญาตให้พนักงานเจ้าหน้าที่ปฏิบัติการสามารถเข้าถึงข้อมูลคอมพิวเตอร์ที่เชื่อว่าเกี่ยวข้องกับภัยคุกคามทางไซเบอร์ได้ อะไรจะเป็นตัวบอกว่าการปฏิบัติหน้าที่ของเจ้าหน้าที่เป็นไปเนื่องด้วยเหตุผลดังกล่าวจริงๆ ไม่ใช่การใส่ร้ายป้ายสีหรือมีจุดประสงค์อื่นแอบแฝง

กฎหมายต้องกำหนดแล้วว่าภัยคุกคามทางไซเบอร์คืออะไร มีรายละเอียดอย่างไร การรับมือกับภัยคุกคามคืออะไร เพราะฉะนั้นการรับมือกับภัยคุกคาม ถ้าเจ้าหน้าที่ทำอะไรที่ไม่เป็นไปตามกฎหมายก็จะถือเป็นความผิดของเจ้าหน้าที่คนนั้นโดยทันที จะต้องรับความผิดส่วนบุคคลไป อย่างที่บอกว่าการใช้สิทธินี้ไม่ได้ทำได้โดยพลการทั้งหมด จำเป็นจะต้องทำเรื่องเสนอศาลโดยเร็ว แปลว่าการกระทำทั้งหมดนี้จะต้องไปสู่กระบวนการศาล

เบื้องต้นผู้สื่อข่าว THE STANDARD ได้ติดต่อไปยัง LINE และ Facebook ประเทศไทย เพื่อสอบถามความคืบหน้าในประเด็นดังกล่าว โดยผู้ให้บริการแพลตฟอร์มโซเชียลมีเดียทั้งสองรายยืนยันว่าตั้งแต่มีการผ่านร่าง พ.ร.บ. ความมั่นคงไซเบอร์ ก็ยังไม่มีการพูดคุยกับหน่วยงานรัฐบาลหรือแม้แต่กระทรวงดิจิทัลเพื่อเศรษฐกิจและสังคม

พิสูจน์อักษร: ภาสิณี เพิ่มพันธุ์พงศ์