PDPC ตรวจเข้มคุ้มครองข้อมูลประชาชน แจ้ง สธ. และ TSD ส่งข้อมูล–หลักฐานการดำเนินการตาม PDPA เพิ่มเติมให้ครบถ้วน

สคส. เร่งติดตาม 2 กรณีข้อมูลส่วนบุคคลสำคัญ ทั้งข้อมูลที่เกี่ยวข้องกับสิทธิการรักษาพยาบาล “หมอพร้อม” ได้มีผู้ใช้สิทธิ์ร้องเรียนแล้วกว่า 30 ราย และเหตุข้อมูลผู้ใช้บริการ TSD Investor Portal รั่วไหลประมาณ 2 แสนราย แจ้งหน่วยงานนำส่งข้อเท็จจริงและหลักฐานเพิ่มเติม ย้ำต้องตรวจสอบตั้งแต่ต้นเหตุ ขอบเขตผลกระทบ การแจ้งเหตุ ตลอดจนมาตรการเยียวยาและป้องกันเหตุซ้ำ ก่อนพิจารณาดำเนินการตามกฎหมาย

สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (สคส.) หรือ PDPC เดินหน้าตรวจสอบกรณีที่อาจกระทบต่อข้อมูลส่วนบุคคลของประชาชนอย่างเข้มงวด โดยได้แจ้งให้กระทรวงสาธารณสุข (สธ.) และบริษัท ศูนย์รับฝากหลักทรัพย์ (ประเทศไทย) จำกัด (TSD) นำส่งข้อมูล คำชี้แจง และพยานหลักฐานเกี่ยวกับการดำเนินการตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 เพิ่มเติมให้ครบถ้วน เพื่อประเมินข้อเท็จจริง ขอบเขตผลกระทบ และความเหมาะสมของมาตรการคุ้มครองข้อมูลส่วนบุคคลในแต่ละกรณี

พ.ต.อ.สุรพงศ์ เปล่งขำ เลขาธิการคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เปิดเผยว่า สคส. ให้ความสำคัญกับทั้งสองกรณี เนื่องจากเกี่ยวข้องกับข้อมูลส่วนบุคคลของประชาชนจำนวนมาก และข้อมูลบางประเภทอาจถูกนำไปเชื่อมโยงเพื่อระบุตัวบุคคล ใช้ประกอบการสวมรอย หรือหลอกลวงเจ้าของข้อมูลได้ จึงจำเป็นต้องตรวจสอบให้ได้ข้อเท็จจริงและหลักฐานที่ครบถ้วน ไม่พิจารณาจากคำชี้แจงหรือข้อมูลที่เผยแพร่ต่อสาธารณะเพียงด้านเดียว

สำหรับกรณีข้อมูลที่เกี่ยวข้องกับระบบบริการสุขภาพและสิทธิการรักษาพยาบาล ซึ่งมีการนำเสนอข้อมูลผ่านสื่อมวลชนและมีข้อกังวลจากภาคประชาชนว่าอาจมีข้อมูลส่วนบุคคลถูกเข้าถึงหรือนำไปใช้โดยมิชอบนั้น ปัจจุบันมีเจ้าของข้อมูลใช้สิทธิยื่นเรื่องร้องเรียนต่อ สคส. กรณีที่เกี่ยวข้องกับระบบ “หมอพร้อม” แล้วกว่า 30 ราย สคส. จึงได้ประสานและติดตามการตรวจสอบจากกระทรวงสาธารณสุข พร้อมแจ้งให้นำส่งข้อมูลและหลักฐานเพิ่มเติม เพื่อพิสูจน์ให้ชัดเจนว่าข้อมูลที่เป็นประเด็นมีแหล่งที่มาจากระบบหรือหน่วยงานใด ประกอบด้วยข้อมูลประเภทใด มีเจ้าของข้อมูลจำนวนเท่าใดที่อาจได้รับผลกระทบ รวมถึงมีการเข้าถึง เปิดเผย หรือส่งต่อข้อมูลโดยมิชอบหรือไม่นอกจากนี้ กระทรวงสาธารณสุขจะต้องชี้แจงมาตรการรักษาความมั่นคงปลอดภัยของข้อมูล การตรวจสอบช่องโหว่และบันทึกการเข้าถึงระบบ การระงับเหตุและจำกัดผลกระทบ ตลอดจนผลการประเมินความเสี่ยงต่อสิทธิและเสรีภาพของประชาชน เพื่อประกอบการพิจารณาว่าได้ดำเนินการแจ้งเหตุละเมิดข้อมูลส่วนบุคคล รวมถึงแจ้งเจ้าของข้อมูลตามหลักเกณฑ์และระยะเวลาที่กฎหมายกำหนดครบถ้วนแล้วหรือไม่

ส่วนกรณี TSD ตรวจพบการเข้าถึงข้อมูลส่วนบุคคลของผู้ใช้บริการในระบบ TSD Investor Portal โดยไม่ได้รับอนุญาต จากการแถลงข่าวของ TSD เมื่อวันที่ 28 กรกฎาคม 2569 ระบุว่า หน่วยงานด้านเทคโนโลยีสารสนเทศตรวจพบความผิดปกติในช่วงเย็นวันที่ 25 กรกฎาคม 2569 ก่อนตรวจสอบเพิ่มเติมและยืนยันในวันที่ 26 กรกฎาคม 2569 ว่ามีข้อมูลส่วนบุคคลบางส่วนถูกเข้าถึง

TSD เปิดเผยว่า เหตุการณ์ดังกล่าวส่งผลกระทบต่อผู้ใช้บริการประมาณ 200,000 ราย จากบัญชีในระบบประมาณ 5 ล้านบัญชี โดยข้อมูลที่อาจได้รับผลกระทบประกอบด้วย ชื่อ–นามสกุล วันเดือนปีเกิด เลขประจำตัวประชาชน ที่อยู่ หมายเลขโทรศัพท์ อีเมล ชื่อบริษัทหลักทรัพย์และเลขบัญชีซื้อขายหลักทรัพย์ ตลอดจนชื่อธนาคารและเลขที่บัญชีธนาคารของผู้ใช้บริการบางส่วน

อย่างไรก็ตาม TSD ยืนยันว่า ระบบ TSD Investor Portal แยกออกจากระบบรับฝากหลักทรัพย์และระบบธุรกรรมส่วนหลัง โดยจากการตรวจสอบในขณะนี้ยังไม่พบว่าข้อมูลการถือครองหลักทรัพย์และข้อมูลธุรกรรมซื้อขายหลักทรัพย์ได้รับผลกระทบ รวมถึงยังไม่พบความเสียหายทางการเงินที่เชื่อมโยงกับเหตุการณ์ดังกล่าว

ภายหลังตรวจพบเหตุ TSD ระบุว่าได้ดำเนินการปิดกั้นช่องทางการเข้าถึงที่ผิดปกติ ประสานกองบังคับการตำรวจสืบสวนสอบสวนอาชญากรรมทางเทคโนโลยีเพื่อสืบสวนติดตามผู้กระทำผิด แจ้งหน่วยงานกำกับดูแล ตลอดจนประสานบริษัทหลักทรัพย์ ธนาคาร และหน่วยงานที่เกี่ยวข้องให้เพิ่มระดับการเฝ้าระวัง พร้อมส่งอีเมลและข้อความ SMS แจ้งเตือนไปยังผู้ที่ได้รับผลกระทบแล้ว

พ.ต.อ.สุรพงศ์กล่าวว่า แม้ TSD จะชี้แจงรายละเอียดและมาตรการที่ได้ดำเนินการต่อสาธารณะแล้ว แต่ในกระบวนการกำกับดูแลตามกฎหมาย สคส. ยังจำเป็นต้องตรวจสอบข้อมูลและพยานหลักฐานในเชิงลึก โดยเฉพาะสาเหตุและช่องทางที่ทำให้เกิดการเข้าถึงข้อมูลโดยไม่ได้รับอนุญาต ช่วงเวลาที่เริ่มต้นและสิ้นสุดของเหตุการณ์ ประเภทและจำนวนข้อมูลที่ได้รับผลกระทบ ตลอดจนประสิทธิภาพของมาตรการรักษาความมั่นคงปลอดภัยก่อนและหลังเกิดเหตุ

ขณะเดียวกัน จะต้องตรวจสอบหลักฐานการแจ้งเหตุละเมิดข้อมูลส่วนบุคคลต่อ สคส. การประเมินระดับความเสี่ยงต่อเจ้าของข้อมูล วิธีการและระยะเวลาในการแจ้งเตือนผู้ได้รับผลกระทบ ตลอดจนมาตรการเฝ้าระวัง เยียวยา และป้องกันไม่ให้เกิดเหตุในลักษณะเดียวกันซ้ำอีก

“การแถลงข้อเท็จจริงต่อสาธารณะถือเป็นส่วนสำคัญของการแสดงความรับผิดชอบ แต่ในทางกฎหมาย สคส. จำเป็นต้องตรวจสอบให้เห็นถึงข้อมูลทางเทคนิค เอกสาร และหลักฐานการดำเนินงานที่ตรวจสอบย้อนกลับได้ เพื่อประเมินว่าองค์กรได้จัดให้มีมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสมกับความเสี่ยง และปฏิบัติหน้าที่ภายหลังเกิดเหตุอย่างครบถ้วนและทันท่วงทีแล้วหรือไม่” พ.ต.อ.สุรพงศ์กล่าว

เลขาธิการคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลย้ำว่า การเกิดเหตุข้อมูลส่วนบุคคลรั่วไหลไม่ได้หมายความว่าองค์กรนั้นมีความผิดตามกฎหมายโดยอัตโนมัติ การพิจารณาจะต้องอาศัยข้อเท็จจริงและพยานหลักฐานว่า ก่อนเกิดเหตุองค์กรได้จัดให้มีมาตรการป้องกันที่เหมาะสมหรือไม่ สามารถตรวจพบและควบคุมเหตุได้รวดเร็วเพียงใด รวมถึงได้แจ้งเหตุ แจ้งเจ้าของข้อมูล และลดผลกระทบตามหน้าที่ที่กฎหมายกำหนดแล้วหรือไม่

หากผลการตรวจสอบพบข้อบกพร่องหรือการดำเนินการที่ไม่เป็นไปตามกฎหมาย สคส. จะพิจารณาดำเนินการตามอำนาจหน้าที่และตามระดับความร้ายแรงของแต่ละกรณี ตั้งแต่การกำหนดมาตรการแก้ไข การสั่งให้ยกระดับมาตรฐานการคุ้มครองข้อมูลส่วนบุคคล ไปจนถึงการดำเนินกระบวนการตามกฎหมาย เพื่อคุ้มครองสิทธิของประชาชนและสร้างมาตรฐานความรับผิดชอบให้กับองค์กรที่เก็บรวบรวมและใช้ข้อมูลส่วนบุคคลจำนวนมาก

“ข้อมูลของประชาชนที่อยู่ในความดูแลของหน่วยงานรัฐหรือภาคเอกชนไม่ใช่เพียงทรัพยากรสำหรับให้บริการ แต่เป็นสิทธิของประชาชนที่องค์กรมีหน้าที่ต้องดูแลอย่างรอบคอบ โดยเฉพาะข้อมูลด้านสุขภาพ ข้อมูลประจำตัว และข้อมูลที่เชื่อมโยงกับบัญชีทางการเงิน ซึ่งหากรั่วไหลออกไปอาจถูกนำไปใช้สร้างความเสียหายได้ในระยะยาว สคส. จึงต้องตรวจสอบทุกกรณีอย่างจริงจัง โปร่งใส และไม่ปล่อยให้คำชี้แจงที่ยังขาดหลักฐานเป็นข้อยุติ” พ.ต.อ.สุรพงศ์กล่าว

สคส. ขอให้ประชาชนที่ได้รับการแจ้งเตือนจาก TSD หรือหน่วยงานที่เกี่ยวข้อง เพิ่มความระมัดระวังต่ออีเมล ข้อความ SMS โทรศัพท์ หรือบัญชีออนไลน์ที่แอบอ้างเป็นตลาดหลักทรัพย์ บริษัทหลักทรัพย์ ธนาคาร หรือหน่วยงานภาครัฐ โดยไม่คลิกลิงก์ ไม่ดาวน์โหลดไฟล์ และไม่เปิดเผยรหัสผ่านหรือรหัส OTP แก่บุคคลที่ติดต่อมา หากมีข้อสงสัยควรติดต่อหน่วยงานหรือผู้ให้บริการผ่านช่องทางอย่างเป็นทางการโดยตรง

ทั้งนี้ สคส. จะติดตามการนำส่งข้อมูลและพยานหลักฐานจากกระทรวงสาธารณสุขและ TSD อย่างใกล้ชิด และจะพิจารณาดำเนินการตามกฎหมายเมื่อรวบรวมข้อเท็จจริงได้ครบถ้วน โดยยืนยันว่าจะดำเนินงานบนหลักความเป็นธรรม รอบคอบ และให้ความสำคัญสูงสุดกับสิทธิและความปลอดภัยของประชาชน