อรพิณ ยิ่งยงพัฒนา

คนใช้เน็ตส่วนใหญ่น่าจะรู้แล้ว หรือหากยังไม่รู้ก็ต้องเตรียมตามข่าวและรับมือกับความเคลื่อนไหว ที่ กลางเดือนนี้ คือวันที่ 18 ก.ค. 50 กฎหมายฉบับใหม่ตัวหนึ่งที่เกี่ยวกับคนในโลกอินเตอร์เน็ตโดยตรงจะมีผลบังคับใช้ นั่นคือ ‘พระราชบัญญัติการกระทำความผิดเกี่ยวกับคอมพิวเตอร์ พ.ศ. 2550’

เนื้อความในกฎหมายฉบับนี้ แม้จะเป็นเรื่องเทคนิคที่อาจเข้าใจยาก แต่เนื้อหากฎหมายช่างใกล้ตัวทั้งคนไทยและต่างประเทศ คนที่ต้องปรับตัวไม่เพียงเฉพาะประชาชนทั่วไปเท่านั้น แต่รวมถึงเจ้าหน้าที่รัฐที่ต้องเร่งทำความเข้าใจกฎหมายฉบับนี้ให้ทันการณ์ด้วย

ทั้งนี้ ตามกฎหมาย พ.ร.บ. การกระทำความผิดเกี่ยวกับคอมพิวเตอร์นั้น จะต้องใช้ควบคู่ไปกับ ‘ประกาศและหรือกฎกระทรวง’ ซึ่งเป็นกฎหมายเสริมที่ให้รายละเอียดลึกกว่ากฎหมายแม่ เช่น ประกาศ/กฎกระทรวงว่าด้วยที่มาของเจ้าหน้าที่รัฐ ที่จะมีอำนาจดำเนินการภายใต้กฎหมายนี้ ซึ่งต้องมีความเชี่ยวชาญและความเข้าใจสังคม วัฒนธรรม และกระบวนการต่างๆ ที่เกิดขึ้นในโลกไซเบอร์

นอกจากนี้ยังต้องมีประกาศ/กฎกระทรวงที่กำหนดถึงรายละเอียดที่ผู้ให้บริการพึงปฏิบัติ โดยเฉพาะประเด็นที่เป็นห่วงกันมาก คือเรื่องการเก็บ Log file 90 วัน ว่าจะมีความละเอียดในการเก็บ และความเป็นไปได้จะออกมาเป็นข้อบังคับที่มีหน้าตาอย่างไร

แม้การผลักดันพ.ร.บ.การกระทำความผิดเกี่ยวกับคอมพิวเตอร์จะเกิดขึ้นอย่างรวดเร็ว โดยเป็นกฎหมายฉบับแรกที่ถูกดันเข้าสู่สภานิติบัญญัติแห่งชาติ แต่การออกประกาศ/กฎกระทรวงที่ต้องนำมาใช้เคียงคู่กัน กลับเป็นความเคลื่อนไหวอันเงียบกริบ ไม่มีการประชาพิจารณ์ หรือแม้วงเสวนาที่ให้สาธารณะชนเข้าถึง ทั้งที่รายละเอียดที่ถูกกล่าวถึงในประกาศ/กฎกระทรวง คือสิ่งที่จะกระทบต่อประชาชนโดยตรง

และที่สำคัญและน่าวิตกคือ ประกาศ/กฎกระทรวงเหล่านี้ ต้องคลอดออกมาให้ทันวันที่ 18 ก.ค. 50 ซึ่งเป็นวันที่ พ.ร.บ.การกระทำความผิดเกี่ยวกับคอมพิวเตอร์มีผลบังคับใช้

ผู้ให้บริการ ช่วยจับ ‘ผู้ร้าย’ ด้วย

สืบเนื่องจากมาตรา 26 ของพระราชบัญญัติการกระทำความผิดเกี่ยวกับคอมพิวเตอร์ พ.ศ. 2550 ที่ระบุว่า ผู้ให้บริการจะต้องเก็บจัดเก็บข้อมูลจราจรทางคอมพิวเตอร์ (Log File) สำหรับผู้ให้บริการเครือข่ายคอมพิวเตอร์ เป็นเวลา 90 วัน นับตั้งแต่วันที่ข้อมูลเข้าสู่คอมพิวเตอร์ หากผู้ให้บริการรายใดไม่ดำเนินการจัดเก็บข้อมูลจราจรทางคอมพิวเตอร์ (Log File) มีความผิดปรับไม่เกิน 500,000 บาท หากเจ้าหน้าที่เรียกตรวจสอบข้อมูลแล้วผู้ให้บริการไม่มีข้อมูลดังกล่าว ถูกปรับไม่เกิน 200,000 แสนบาท และปรับเป็นรายวันอีกไม่เกินวันละห้าพันบาทจนกว่าจะปฏิบัติถูกต้อง

จากมาตราดังกล่าว กระทรวงเทคโนโลยีสารสนเทศและการสื่อสาร หรือไอซีที ในฐานะหน่วยงานที่มีอำนาจตาม พ.ร.บ. จึงเตรียมออก ‘ประกาศรัฐมนตรีว่าการกระทรวงเทคโนโลยีสารสนเทศและการสื่อสาร เรื่อง หลักเกณฑ์การเก็บรักษาข้อมูลจราจรทางคอมพิวเตอร์ของผู้ให้บริการ พ.ศ. 2550’

ในร่างประกาศดังกล่าวฉบับปรับปรุงเมื่อวันที่ 4 ก.ค. 50 นั้น ได้ร่างรายละเอียดเพิ่มเติมถึงสิ่งที่ผู้ให้บริการจะต้องเก็บบันทึกเอาไว้

เข้าใจได้ว่า เจตนารมณ์ของประกาศฉบับนี้ ต้องการให้ ‘ผู้ให้บริการ’ เก็บรักษาข้อมูลของ ‘ผู้ใช้บริการ’ ในลํกษณะที่ผู้ให้บริการสามารถ ‘ระบุตัว’ ผู้ใช้บริการได้

หรือภาษาบ้านๆ คือ ไอซีที หรือ ตำรวจคอมพิวเตอร์ คงคาดหวังว่า แค่ไปถามผู้ให้บริการสักรายว่า คนโพสต์ข้อความนี้เป็นใคร!?! ผู้ให้บริการต้องมีคำตอบให้

เก็บทุกเม็ด ไม่เว้นเลข 13 หลัก บัญชีธนาคาร เลขบัตรเครดิต

‘ผู้ให้บริการ’ จะต้องเก็บข้อมูลหลายอย่าง ตั้งแต่ ชื่อประจำตัว (Username) ที่อยู่จดหมายอิเล็คทรอนิคส์ (email) หมายเลขที่อยู่บนอินเตอร์เน็ต (IP Address)

ร่างประกาศที่เตรียมจะประกาศใช้ยังระบุว่า กรณีเวบบอร์ดและเวบบล็อกนั้น ผู้ให้บริการต้องเก็บข้อมูลทั้ง ชื่อ สกุล รหัสประจำตัวประชาชนของผู้ใช้บริการ และ/หรือ เลขบัญชีธนาคาร และ/หรือข้อมูลที่เป็นประโยชน์ต่อการชำระเงิน เช่น เลขบัญชีธนาคาร เลขบัตรเครดิต

เรื่องนี้ร้อนถึงทุกฝ่ายทั้งผู้ประกอบการ คนทำเว็บอิสระ คนเล่นเน็ต เพราะมาตรการบังคับให้กรอกรายละเอียดอย่างเข้มงวด จะกีดกันคนจำนวนหนึ่งทางอ้อมให้ตัดสินใจไม่ใช้อินเตอร์เน็ต เช่น คนที่ไม่เคยมีอีเมล หรือคนที่ไม่อยากให้ข้อมูลส่วนตัว และอาจะทำให้รู้สึกว่าการบังคับกรอกรายละเอียด เป็นเรื่องรุกล้ำข้อมูลส่วนบุคคลจนเกินไป

ไม่เพียงเท่านั้น รายละเอียดข้อมูลที่บังคับตามประกาศก็ละเอียดมาก บางข้อมูลค่อนข้างอ่อนไหว เช่น รหัสบัตรเครดิตนั้น แม้ในเว็บไซต์ที่ให้บริการทางการค้าเป็นหลัก ยังเลือกที่จะใช้นโยบายไม่เก็บบันทึกรหัสเหล่านี้ไว้ เพื่อความสะดวกใจและเชื่อมั่นจากผู้ใช้บริการ

หรือไอซีที จะไม่ค่อยเข้าใจโลกออนไลน์

ไอซีทีน่าจะคิดได้ว่า ภาระที่จะเกิดขึ้นใหม่ ไม่ควรจะเป็นเรื่องพิสดารจนเกินไป และสิ่งที่บังคับก็ควรเป็นสิ่งที่เป็นไปได้

เช่น แม้กฎหมายจะมีเจตนาให้ผู้ให้บริการมีส่วนรับผิดชอบต่อสังคม ผ่านการควบคุมผู้ใช้ด้วยการเก็บบันทึกรายละเอียดประวัติต่างๆ ก็ตาม แต่หากกฎระเบียบที่เกิดขึ้นนั้นไม่สามารถใช้ได้จริง ก็เป็นไปได้ว่าจะนำไปสู่การปฏิบัติตามกฎหมายแบบศรีธนญชัย นั่นคือ ผู้ให้บริการทำเท่าที่ทำได้ ให้ตัวพ้นจากความผิดต่อกฎหมาย เช่น สร้างซอฟท์แวร์ วางระบบขึ้นมารองรับตามที่กฎหมายอยากให้เป็น

ไอซีทีอาจจะลืมไปว่า ผู้ให้บริการอาจให้ความร่วมมือต่างๆ ได้บ้าง แต่ไม่สามารถบรรลุเป้าหมายที่ไอซีทีต้องการได้ คือไม่สามารถบังคับให้คนกรอกข้อมูลตามข้อเท็จจริงได้ เช่น ให้กรอกรหัส 13 หลัก หรือรหัสบัตรเครดิต แต่จะให้รู้ว่าตัวเลขเหล่านั้นเป็นของจริง และเป็นของเจ้าตัวจริงหรือไม่ นั่นเป็นเรื่องเกินคาด

ผู้ให้บริการ อาจให้ความร่วมมือตามกฎหมายกำหนด แต่ก็ไม่สามารถทำหน้าที่ ‘พิสูจน์ตัวตน’ หรือ ‘ชี้ตัว’ได้แทนตำรวจว่า ข้อความเหล่านั้น รูปภาพเหล่านั้น มาจาก นาย/นางสาว รหัส 13 หลักคืออะไร อยู่บ้านเลขที่เท่าไร

สิ่งเหล่านี้ เป็นเงื่อนไขของโลกออนไลน์ ที่ใครต่อใครที่ใช้อินเตอรเน็ตต่างก็เข้าใจ และไอซีทีก็น่าจะเข้าใจด้วย

แน่นอนว่า กระทรวงไอซีทีอาจจะมีโจทย์ในใจไว้แล้วว่า ต้องการจับ ‘ผู้ร้าย’ ให้สะดวก โดยออกกฎหมายให้ผู้ให้บริการประเภทต่างๆ มาให้ความร่วมมือ แต่กระทรวงไอซีทีน่าจะมีความเข้าใจพื้นฐานในเรื่องธรรมชาติของโลกออนไลน์บ้าง

ประกาศฉบับนี้จึงน่าจะกำหนดให้ชัดว่า ข้อมูลแค่ไหนที่อยากรู้ (และเป็นไปได้) User ID? IP Address? ชื่อสกุล? เลขประจำตัวประชาชน? บัญชีธนาคาร? วันที่เวลาการเข้าออกของผู้ใช้อินเตอร์เน็ต? พร้อมกับทบทวนดูว่า ระหว่างการออกประกาศแบบที่ชัดเจนใช้การได้ กับการสร้างกรอบแบบครอบจักรวาลเอาไว้ก่อน วิธีไหนเป็นประโยชน์ต่อ ‘ไอซีที’ มากกว่ากัน

แล้วอย่าลืมทำความเข้าใจธรรมชาติของโลกออนไลน์ ว่ายอมให้บอกตัวตนได้แค่ไหน ...หรือไอซีทีจะเป็นฝ่ายนั่งรอให้ข้อมูลวิ่งเข้าหา โดยไม่ขยับตัวทำอะไรเลย

นอกจากใช้อำนาจออกกฎหมายบังคับ แล้วลิดรอนสิทธิเสรีภาพอย่างสบายใจ