สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (สคส.) หรือ PDPC ยกระดับการตรวจสอบกรณีข้อมูลรั่วไหลครั้งใหญ่ 2 กรณี ทั้งระบบ “หมอพร้อม” ที่มีผู้ร้องเรียนแล้วกว่า 30 ราย และเหตุลักลอบเข้าถึงข้อมูล TSD Investor Portal กระทบผู้ใช้กว่า 2 แสนคน สั่งหน่วยงานนำส่งหลักฐานทางเทคนิคย้อนหลัง เพื่อพิสูจน์ความรับผิดชอบตามกฎหมาย PDPA
พ.ต.อ.สุรพงศ์ เปล่งขำ เลขาธิการคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เปิดเผยความคืบหน้าการกำกับดูแลกรณีข้อมูลส่วนบุคคลรั่วไหลในหน่วยงานสำคัญ โดยระบุว่า สคส. ได้แจ้งให้กระทรวงสาธารณสุข (สธ.) และบริษัท ศูนย์รับฝากหลักทรัพย์ (ประเทศไทย) จำกัด (TSD) เร่งนำส่งคำชี้แจงและพยานหลักฐานเชิงลึกเพิ่มเติม เพื่อประเมินขอบเขตผลกระทบและมาตรฐานความปลอดภัยของข้อมูล
กรณี ‘หมอพร้อม’: ร้องเรียนแล้วกว่า 30 ราย
สำหรับประเด็นข้อมูลสุขภาพและสิทธิการรักษาพยาบาลที่ถูกเข้าถึงโดยมิชอบ ปัจจุบันมีประชาชนยื่นเรื่องร้องเรียนกรณีระบบ “หมอพร้อม” แล้วกว่า 30 ราย โดย สคส. ได้สั่งการให้กระทรวงสาธารณสุขพิสูจน์แหล่งที่มาของข้อมูลอย่างชัดเจน รวมถึงต้องชี้แจงบันทึกการเข้าถึงระบบ (Log files) และมาตรการระงับเหตุ หากพบว่ามีการแจ้งเหตุล่าช้ากว่าที่กฎหมายกำหนด จะถือเป็นการละเมิดหน้าที่ผู้ควบคุมข้อมูลส่วนบุคคล
กรณี TSD: ข้อมูลรั่วไหลกว่า 200,000 ราย
ในส่วนของ TSD ที่ตรวจพบความผิดปกติเมื่อปลายเดือนกรกฎาคม 2569 พบว่ามีข้อมูลส่วนบุคคลของผู้ใช้บริการถูกเข้าถึงโดยไม่ได้รับอนุญาตประมาณ 2 แสนราย จากทั้งหมด 5 ล้านบัญชี ซึ่งครอบคลุมทั้งข้อมูลส่วนตัว เลขบัตรประชาชน ที่อยู่ และเลขบัญชีธนาคารบางส่วน
แม้ TSD จะแจ้งว่าระบบที่ถูกเจาะแยกส่วนจากระบบรับฝากหลักทรัพย์และยังไม่พบความเสียหายทางการเงิน แต่ สคส. ยืนยันว่าจำเป็นต้องตรวจสอบ “สาเหตุและช่องทาง” ในเชิงลึก รวมถึงประสิทธิภาพของมาตรการรักษาความมั่นคงปลอดภัยก่อนเกิดเหตุ
“ถูกแฮกไม่ได้แปลว่าผิด แต่ต้องพิสูจน์ว่าป้องกันดีพอ”
พ.ต.อ.สุรพงศ์ ย้ำว่า องค์กรที่เกิดเหตุรั่วไหลไม่ได้มีความผิดตามกฎหมายโดยอัตโนมัติ แต่ต้องพิสูจน์ให้เห็นว่า “ได้จัดให้มีมาตรการป้องกันที่เหมาะสมกับความเสี่ยงแล้วหรือไม่” รวมถึงการตรวจพบและการควบคุมเหตุทำได้รวดเร็วเพียงใด
“ข้อมูลประชาชนไม่ใช่แค่ทรัพยากรสำหรับให้บริการ แต่เป็นสิทธิที่องค์กรต้องดูแลอย่างรอบคอบ หากผลการตรวจสอบพบข้อบกพร่อง สคส. จะดำเนินการตามอำนาจหน้าที่ ตั้งแต่การสั่งแก้ไขไปจนถึงการลงโทษตามระดับความร้ายแรง เพื่อสร้างมาตรฐานความรับผิดชอบในระดับประเทศ”
สคส. ยังได้ฝากเตือนประชาชนที่ได้รับแจ้งเตือนจากหน่วยงานที่เกี่ยวข้อง ให้ระมัดระวังการแอบอ้างผ่าน SMS หรืออีเมลเพื่อหลอกลวงซ้ำซ้อน โดยย้ำว่าห้ามคลิกลิงก์หรือเปิดเผยรหัส OTP แก่บุคคลที่ติดต่อมาโดยตรง และควรตรวจสอบผ่านช่องทางทางการของหน่วยงานเท่านั้น
