กฎหมายคอมพิวเตอร์และ PDPA

พระราชบัญญัติว่าด้วยการกระทำความผิดเกี่ยวกับคอมพิวเตอร์ (ฉบับที่ 2) พ.ศ. 2560 ปรับปรุงจากปี 2550 เพื่อให้ทันสมัยขึ้น

มาตรา 14 เป็นมาตราที่สำคัญและมีการฟ้องร้องบ่อยที่สุด มีโทษจำคุกไม่เกิน 5 ปี ปรับไม่เกิน 100,000 บาท

• 14(1): ทุจริต/หลอกลวง นำเข้าข้อมูลปลอม/เท็จ ทำให้ผู้อื่นเสียหาย (เช่น Phishing)
• 14(2): ข้อมูลเท็จที่น่าจะเกิดความเสียหายต่อความมั่นคง/สาธารณะ/เศรษฐกิจ
• 14(3): ข้อมูลที่เป็นความผิดเกี่ยวกับความมั่นคง/ก่อการร้าย
• 14(4): ข้อมูลลามกที่ประชาชนเข้าถึงได้
• 14(5): เผยแพร่หรือส่งต่อข้อมูลตาม (1)-(4) (การแชร์ก็ผิด!)

ผู้ให้บริการ (ISP, ร้านเน็ต, องค์กรที่มีพนักงานใช้อินเทอร์เน็ต) ต้องเก็บรักษาข้อมูลจราจรทางคอมพิวเตอร์ (Log File)

• ต้องเก็บ Log File ไว้อย่างน้อย 90 วัน (พนักงานเจ้าหน้าที่สั่งให้เก็บเพิ่มได้แต่ไม่เกิน 2 ปี)
• ต้องระบุตัวตนผู้ใช้บริการได้ (Authentication)
• ไม่เก็บ Log หรือเก็บไม่ครบ มีโทษปรับไม่เกิน 500,000 บาท

Personal Data Protection Act (PDPA) บังคับใช้เพื่อคุ้มครองสิทธิของเจ้าของข้อมูลส่วนบุคคล

เจ้าของข้อมูลมีสิทธิตามกฎหมายที่องค์กรต้องรองรับ

• 1. สิทธิขอเข้าถึงและรับสำเนาข้อมูล (Right of Access)
• 2. สิทธิขอแก้ไขข้อมูลให้ถูกต้อง (Right to Rectification)
• 3. สิทธิขอเบอลบหรือทำลายข้อมูล (Right to be Forgotten)
• 4. สิทธิขอระงับการใช้ข้อมูล (Right to Restrict Processing)
• 5. สิทธิคัดค้านการเก็บรวบรวม/ใช้/เปิดเผย (Right to Object)
• 6. สิทธิขอโอนย้ายข้อมูล (Right to Data Portability)
• 7. สิทธิถอนความยินยอม (Right to Withdraw Consent)

การเก็บข้อมูลต้องมีฐานทางกฎหมายรองรับ ไม่จำเป็นต้องขอ Consent เสมอไป ถ้าเข้าข่ายฐานอื่น

• โทษทางแพ่ง: จ่ายค่าสินไหมทดแทนตามจริง + ค่าสินไหมเพื่อการลงโทษ (ไม่เกิน 2 เท่าของค่าเสียหายจริง)
• โทษทางอาญา: กรณีใช้ข้อมูลโดยทุจริต หรือเปิดเผยข้อมูล Sensitive ให้ผู้อื่นเสียหาย (จำคุกสูงสุด 1 ปี หรือปรับสูงสุด 1 ล้านบาท)
• โทษทางปกครอง: ปรับสูงสุด 5 ล้านบาท (เช่น ไม่ขอ Consent, ไม่แจ้งวัตถุประสงค์)

การเก็บรวบรวมพยานหลักฐานทางคอมพิวเตอร์เพื่อใช้ในชั้นศาล:

• หลักการสำคัญ: ห้ามเปลี่ยนแปลงข้อมูลต้นฉบับเด็ดขาด (Touch nothing, change nothing)
• Chain of Custody (ห่วงโซ่การคุ้มครองพยานหลักฐาน): ต้องบันทึกทุกขั้นตอนว่าใครจับต้องหลักฐานบ้าง เมื่อไหร่ อย่างไร
• Order of Volatility (ลำดับความอ่อนไหว): เก็บข้อมูลที่หายง่ายก่อนเสมอ (CPU Cache > RAM > HDD > Backup Tape)
• Imaging/hashing: การทำสำเนาแบบ Bit-by-bit และคำนวณ Hash เพื่อยืนยันว่าสำเนาตรงกับต้นฉบับ 100%

กฎหมายที่ออกมาเพื่อป้องกัน รับมือ และลดความเสี่ยงจากภัยคุกคามทางไซเบอร์:

กฎหมายที่รับรองว่า 'เอกสารอิเล็กทรอนิกส์' มีผลทางกฎหมายเท่ากับกระดาษ:

• หลักการ: ห้ามปฏิเสธผลทางกฎหมายเพียงเพราะอยู่ในรูปข้อมูลอิเล็กทรอนิกส์
• ลายมือชื่ออิเล็กทรอนิกส์ (Digital Signature): คือข้อมูลที่แนบไปกับข้อความเพื่อระบุตัวตนและยืนยันว่าข้อความไม่ถูกแก้ไข
• มาตรา 9: ลายมือชื่ออิเล็กทรอนิกส์เชื่อถือได้ ถ้าใช้วิธีการที่สามารถระบุตัวเจ้าของได้และเจ้าของควบคุมการใช้งานได้
• e-Timestamp: การประทับรับรองเวลาเพื่อยืนยันว่าเอกสารนี้มีอยู่จริง ณ เวลานั้นๆ

การคุ้มครองงานสร้างสรรค์ในยุคดิจิทัล:

บัญญัติ 10 ประการของผู้ใช้อินเทอร์เน็ต (Ten Commandments of Computer Ethics):

• 1. ไม่ใช้คอมฯ ทำร้ายผู้อื่น
• 2. ไม่รบกวนการทำงานของผู้อื่น
• 3. ไม่เปิดดูไฟล์ของผู้อื่น
• 4. ไม่ใช้คอมฯ โจรกรรมข้อมูล
• 5. ไม่ใช้คอมฯ สร้างหลักฐานเท็จ
• 6. ไม่คัดลอกโปรแกรมที่มีลิขสิทธิ์
• 7. ไม่ละเมิดการใช้ทรัพยากรคอมฯ
• 8. ไม่นำผลงานคนอื่นมาแอบอ้าง
• 9. คำนึงถึงผลกระทบต่อสังคม
• 10. ใช้คอมฯ ด้วยความเคารพกฎกติกา

GDPR (General Data Protection Regulation) ของยุโรป เป็นต้นแบบของ PDPA ไทย:

เส้นแบ่งบางๆ ระหว่างเสรีภาพกับการกระทำผิดกฎหมาย:

• Freedom of Speech: วิจารณ์โดยสุจริต ติชมด้วยความเป็นธรรม (ไม่ผิด)
• Hate Speech: การใช้ถ้อยคำรุนแรง สร้างความเกลียดชัง ยุยงปลุกปั่น (อาจผิด ม.14(2) หรือ ม.14(3) พ.ร.บ.คอมฯ หรือ หมิ่นประมาท)
• Cyberbullying: การกลั่นแกล้งบนโลกออนไลน์ (ยังไม่มีกฎหมายเฉพาะ แต่ผิดกฎหมายอาญา/แพ่งได้)