PDPC จี้ สธ.-TSD ส่งหลักฐานเพิ่ม ปม “หมอพร้อม” ข้อมูลนักลงทุนรั่ว 2 แสนราย

สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล หรือ สคส. (PDPC) เดินหน้าตรวจสอบกรณีที่อาจกระทบข้อมูลส่วนบุคคลของประชาชนอย่างเข้มงวด พร้อมแจ้งให้กระทรวงสาธารณสุข และบริษัท ศูนย์รับฝากหลักทรัพย์ (ประเทศไทย) จำกัด หรือ TSD นำส่งข้อมูล คำชี้แจง และพยานหลักฐานเกี่ยวกับการดำเนินการตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 เพิ่มเติมให้ครบถ้วน

การตรวจสอบครอบคลุมกรณีข้อมูลที่เกี่ยวข้องกับระบบบริการสุขภาพและสิทธิการรักษาพยาบาล “หมอพร้อม” ซึ่งมีผู้ใช้สิทธิยื่นเรื่องร้องเรียนแล้วกว่า 30 ราย รวมถึงเหตุข้อมูลผู้ใช้บริการระบบ TSD Investor Portal ถูกเข้าถึงโดยไม่ได้รับอนุญาต ซึ่งกระทบผู้ใช้บริการประมาณ 200,000 ราย

พ.ต.อ.สุรพงศ์ เปล่งขำ เลขาธิการคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เปิดเผยว่า สคส.ให้ความสำคัญกับทั้งสองกรณี เนื่องจากเกี่ยวข้องกับข้อมูลส่วนบุคคลของประชาชนจำนวนมาก และข้อมูลบางประเภทอาจถูกเชื่อมโยงเพื่อนำไปใช้สวมรอยหรือหลอกลวงเจ้าของข้อมูลได้

ดังนั้น การพิจารณาจะต้องอาศัยข้อเท็จจริงและหลักฐานที่ครบถ้วน ไม่สามารถพิจารณาจากคำชี้แจงหรือข้อมูลที่เผยแพร่ต่อสาธารณะเพียงด้านเดียวได้

สำหรับกรณี “หมอพร้อม” สคส.ได้ประสานและติดตามการตรวจสอบจากกระทรวงสาธารณสุข พร้อมขอให้นำส่งข้อมูลเพิ่มเติม เพื่อพิสูจน์แหล่งที่มาของข้อมูล ประเภทข้อมูล จำนวนเจ้าของข้อมูลที่อาจได้รับผลกระทบ และตรวจสอบว่ามีการเข้าถึง เปิดเผย หรือส่งต่อข้อมูลโดยมิชอบหรือไม่

กระทรวงสาธารณสุขจะต้องชี้แจงมาตรการรักษาความมั่นคงปลอดภัย การตรวจสอบช่องโหว่และบันทึกการเข้าถึงระบบ การระงับเหตุและจำกัดผลกระทบ รวมถึงผลการประเมินความเสี่ยงต่อสิทธิและเสรีภาพของประชาชน

ข้อมูลดังกล่าวจะนำมาประกอบการพิจารณาว่า หน่วยงานได้แจ้งเหตุละเมิดข้อมูลส่วนบุคคลต่อ สคส. และแจ้งเจ้าของข้อมูลภายในหลักเกณฑ์และระยะเวลาที่กฎหมายกำหนดอย่างครบถ้วนหรือไม่

ส่วนกรณี TSD ตรวจพบการเข้าถึงข้อมูลส่วนบุคคลในระบบ TSD Investor Portal โดยไม่ได้รับอนุญาตนั้น จากการชี้แจงของ TSD เมื่อวันที่ 28 ก.ค.69 ระบุว่า หน่วยงานด้านเทคโนโลยีสารสนเทศตรวจพบความผิดปกติในช่วงเย็นวันที่ 25 ก.ค.69 ก่อนยืนยันในวันที่ 26 ก.ค.69 ว่ามีข้อมูลส่วนบุคคลบางส่วนถูกเข้าถึง

เหตุการณ์ดังกล่าวส่งผลกระทบต่อผู้ใช้บริการประมาณ 200,000 ราย จากบัญชีในระบบประมาณ 5 ล้านบัญชี โดยข้อมูลที่อาจได้รับผลกระทบประกอบด้วย ชื่อ–นามสกุล วันเดือนปีเกิด เลขประจำตัวประชาชน ที่อยู่ หมายเลขโทรศัพท์ อีเมล ชื่อบริษัทหลักทรัพย์ เลขบัญชีซื้อขายหลักทรัพย์ ตลอดจนชื่อธนาคารและเลขที่บัญชีธนาคารของผู้ใช้บริการบางส่วน

อย่างไรก็ตาม TSD ยืนยันว่า ระบบ TSD Investor Portal แยกออกจากระบบรับฝากหลักทรัพย์และระบบธุรกรรมส่วนหลัง โดยยังไม่พบว่าข้อมูลการถือครองหลักทรัพย์และข้อมูลธุรกรรมซื้อขายได้รับผลกระทบ รวมถึงยังไม่พบความเสียหายทางการเงินที่เชื่อมโยงกับเหตุการณ์ดังกล่าว

ภายหลังตรวจพบเหตุ TSD ได้ปิดกั้นช่องทางการเข้าถึงที่ผิดปกติ ประสานตำรวจไซเบอร์เพื่อติดตามผู้กระทำผิด แจ้งหน่วยงานกำกับดูแล พร้อมประสานบริษัทหลักทรัพย์ ธนาคาร และหน่วยงานที่เกี่ยวข้องให้ยกระดับการเฝ้าระวัง รวมถึงส่งอีเมลและข้อความ SMS แจ้งผู้ได้รับผลกระทบ

พ.ต.อ.สุรพงศ์ กล่าวว่า แม้ TSD จะชี้แจงรายละเอียดต่อสาธารณะแล้ว แต่กระบวนการกำกับดูแลตามกฎหมายยังต้องตรวจสอบข้อมูลเชิงเทคนิค เอกสาร และหลักฐานที่ตรวจสอบย้อนกลับได้ โดยเฉพาะสาเหตุและช่องทางการเข้าถึง ระยะเวลาเกิดเหตุ ประเภทและจำนวนข้อมูลที่ได้รับผลกระทบ รวมถึงประสิทธิภาพของมาตรการรักษาความปลอดภัยก่อนและหลังเกิดเหตุ

นอกจากนี้ สคส.จะตรวจสอบหลักฐานการแจ้งเหตุละเมิด การประเมินระดับความเสี่ยง วิธีการและระยะเวลาแจ้งเตือนผู้ได้รับผลกระทบ ตลอดจนมาตรการเฝ้าระวัง เยียวยา และป้องกันไม่ให้เกิดเหตุซ้ำ

เลขาธิการ สคส.ย้ำว่า การเกิดเหตุข้อมูลส่วนบุคคลรั่วไหลไม่ได้หมายความว่าองค์กรนั้นมีความผิดตามกฎหมายโดยอัตโนมัติ แต่ต้องพิจารณาว่า ก่อนเกิดเหตุมีมาตรการป้องกันที่เหมาะสมหรือไม่ สามารถตรวจพบและควบคุมเหตุได้รวดเร็วเพียงใด รวมถึงปฏิบัติหน้าที่ในการแจ้งเหตุ แจ้งเจ้าของข้อมูล และลดผลกระทบตามที่กฎหมายกำหนดครบถ้วนหรือไม่

หากผลการตรวจสอบพบข้อบกพร่องหรือการดำเนินการที่ไม่เป็นไปตามกฎหมาย สคส.จะพิจารณาดำเนินการตามระดับความร้ายแรง ตั้งแต่กำหนดมาตรการแก้ไข สั่งยกระดับมาตรฐานการคุ้มครองข้อมูล ไปจนถึงดำเนินกระบวนการตามกฎหมาย

ทั้งนี้ สคส.ขอให้ประชาชนที่ได้รับการแจ้งเตือนจาก TSD หรือหน่วยงานที่เกี่ยวข้อง เพิ่มความระมัดระวังต่ออีเมล ข้อความ SMS โทรศัพท์ หรือบัญชีออนไลน์ที่แอบอ้างเป็นตลาดหลักทรัพย์ บริษัทหลักทรัพย์ ธนาคาร หรือหน่วยงานภาครัฐ โดยไม่ควรคลิกลิงก์ ดาวน์โหลดไฟล์ หรือเปิดเผยรหัสผ่านและรหัส OTP แก่บุคคลที่ติดต่อมา