พ.ร.บ.มั่นคงไซเบอร์ จ่อคิวรอผ่านสนช. ให้อำนาจรัฐ เข้าถึง-ทดสอบ-ยึดอายัด คอมพิวเตอร์ได้ ไม่ต้องมีหมายศาล

In focus

• มีหลายประเด็นสำคัญในร่าง พ.ร.บ.ฉบับนี้ซึ่งควรจับตาดูอย่างใกล้ชิด เพราะมีความกำกวมที่ต้องอาศัยการตีความ และการให้อำนาจของคณะกรรมการชุดต่างๆ ที่จะเข้าถึงข้อมูลคอมพิวเตอร์ของประชาชน
• ร่างกฎหมายนี้มองระดับความรุนแรงของภัยคุกคามไซเบอร์เป็น 3 ระดับ ซึ่งหากเจ้าหน้าที่เห็นว่ากรณีใดเป็นความรุนแรงระดับ 3 สามารถเข้าตรวจค้นข้อมูลในคอมพิวเตอร์เครื่องนั้นๆ หรืออายัติคอมพิวเตอร์นั้นๆ ได้เลย โดยไม่ต้องมีหมายศาล
• ในภัยคุกคามฯ ระดับ 3 นี้เอง ยังมีอนุมาตรา (ค) ที่หมายรวมถึง ภัยคุกคามที่อาจกระทบต่อความสงบเรียบร้อยของประชาชน หรือเป็นภัยต่อความมั่นคงของรัฐ หรืออาจทำให้ประเทศหรือส่วนใดส่วนหนึ่งของประเทศตกอยู่ในภาวะคับขัน

อย่างที่หลายคนกำลังกังวล ว่าหาก พ.ร.บ. นี้ผ่านแล้ว รัฐจะเข้ามาส่องดูแชต หรือพฤติกรรมทางอินเตอร์เน็ตของพวกเราได้ทุกซอกทุกมุม จนถึงยึดคอมพิวเตอร์เราไปได้โดยง่ายๆ ซึ่งถือเป็นการละเมิดสิทธิเสรีภาพกันอย่างร้ายแรง

22 ก.พ. นี้แล้ว ที่สภานิติบัญญัติแห่งชาติ จะมีวาระพิจารณา พ.ร.บ.การรักษาความมั่นคงปลอดภัยไซเบอร์ ซึ่งคณะกรรมาธิการ (กมธ.) วิสามัญพิจารณาเสร็จแล้วในวาระ 2-3 หลังจากที่ร่างพระราชบัญญัติการรักษาความมั่นคงปลอดภัยไซเบอร์เป็นที่ถกเถียงกันมานาน และมีกระแสต่อต้านมาตั้งแต่ปลาย พ.ศ. 2557 เพราะมีปัญหาเรื่องการให้อำนาจเจ้าหน้าที่รัฐกว้างเกินไปในการสอดส่องข้อมูลของประชาชน และไม่มีกลไกในการอุทธรณ์ตามกฏหมาย

มีหลายประเด็นสำคัญในร่าง พ.ร.บ.ฉบับนี้ซึ่งควรจับตาดูอย่างใกล้ชิด เพราะมีความกำกวมที่ต้องอาศัยการตีความ และการให้อำนาจของคณะกรรมการชุดต่างๆ ที่จะเข้าถึงข้อมูลคอมพิวเตอร์ของประชาชน

เริ่มตั้งแต่นิยามของ ‘ภัยความมั่นคงไซเบอร์’ ที่กินความหมายกว้าง (มาตรา 3) โดยมีคณะกรรมการการรักษาความมั่นคงปลอดภัยไซเบอร์แห่งชาติ ชื่อย่อ กมช. (Cyber Security Committee) เป็นผู้จัดระดับความรุนแรง ซึ่งจะมีผลต่อการใช้อำนาจในการเข้าถึงข้อมูลคอมพิวเตอร์ กรรมการชุดนี้ มีนายกรัฐมนตรีเป็นประธาน กรรมการโดยตำแหน่งคือ รัฐมนตรีกระทรวงกลาโหม รัฐมนตรีกระทรวงดิจิทัลเพื่อเศรษฐกิจและสังคม ปลัดกระทรวงการคลัง ปลัดกระทรวงยุติธรรม ผู้บัญชาการตำรวจแห่งชาติ เลขาธิการสภาความมั่นคงแห่งชาติ

ร่างกฎหมายนี้มองระดับความรุนแรงของภัยคุกคามไซเบอร์ โดยอ้างอิงกับ ‘โครงสร้างพื้นฐานทางสารสนเทศ’ ทั้งหมด 8 ด้าน ได้แก่ ความมั่นคงของรัฐ บริการภาครัฐ การเงินการธนาคาร เทคโนโลยีสารสนเทศและโทรคมนาคม การขนส่งและโลจิสติกส์ พลังงานและสาธารณูปโภค สาธารณสุข ด้านอื่นๆ ตามที่คณะกรรมการกำหนด

ระดับของความรุนแรงแบ่งเป็น 3 ระดับ (มาตรา 59) 1) ระดับไม่ร้ายแรงคือ ภัยที่ทำให้ระบบคอมพิวเตอร์ของหน่วยงานโครงสร้างพื้นฐานสำคัญของประเทศ หรือการให้บริการของรัฐ ‘ด้อยประสิทธิภาพลง’ 2) ระดับร้ายแรง เป็น ภัยคุกคามที่ ‘มีลักษณะการเพิ่มขึ้นอย่างมีนัยสำคัญ’ ของการโจมตีระบบคอมพิวเตอร์ คอมพิวเตอร์ หรือข้อมูลคอมพิวเตอร์ โดยมุ่งหมายเพื่อโจมตี ‘โครงสร้างพื้นฐานสำคัญของประเทศ’ 3) ระดับวิกฤต เป็นระดับที่รัฐไม่สามารถควบคุมการทำงานส่วนกลางของระบบคอมพิวเตอร์ของรัฐได้

ในข้อ 3) นี้ อนุมาตรา (ค) ยังระบุไว้ด้วยว่า เป็นภัยคุกคามทางไซเบอร์อันกระทบหรืออาจกระทบต่อความสงบเรียบร้อยของประชาชน หรือเป็นภัยต่อความมั่นคงของรัฐ หรืออาจทำให้ประเทศหรือส่วนใดส่วนหนึ่งของประเทศตกอยู่ในภาวะคับขันหรือมีการกระทำความผิดเกี่ยวกับการก่อการร้ายตามประมวลกฎหมายอาญา การรบหรือการสงคราม ซึ่งจำเป็นต้องมีมาตรการเร่งด่วนเพื่อรักษาไว้ซึ่งการปกครองระบบประชาธิปไตยอันมีพระมหากษัตริย์ทรงเป็นประมุขตามรัฐธรรมแห่งราชอาณาจักรไทย เอกราชและบูรณภาพแห่งอาณาเขต ผลประโยชน์ของชาติ การปฏิบัติตามกฎหมาย ความปลอดภัยของประชาชน การดำรงชีวิตโดยปกติสุขของประชาชน การคุ้มครองสิทธิเสรีภาพ ความสงบเรียบร้อยหรือประโยชน์ส่วนรวม หรือการป้องปัดหรือแก้ไขเยียวยาความเสียหายจากภัยพิบัติสาธารณะอันมีมาอย่างฉุกเฉินและร้ายแรง

สำหรับภัยคุกคามระดับร้ายแรง มีคณะกรรมการกำกับดูแลด้านความมั่นคงปลอดภัยไซเบอร์ (กกม.) เป็นผู้มีอำนาจดำเนินการ คณะกรรมการชุดนี้มีรัฐมนตรีดิจิทัลฯ เป็นประธาน กรรมการโดยตำแหน่งประกอบด้วย ‘ผู้บัญชาการทหารสูงสุด’ ปลัดกระทรวงต่างๆ ได้แก่ ต่างประเทศ ดิจิทัลฯ พลังงาน สาธารณสุข มหาดไทย ผู้อำนวยการสำนักข่าวกรองแห่งชาติ ผู้ว่าการธนาคารแห่งประเทศไทย เลขาธิการ ก.ล.ต. เลขาธิการกสทช.  รวมทั้งผู้บัญชาการตำรวจแห่งชาติและเลขาธิการสภาความมั่นคงแห่งชาติ ซึ่งก็เป็น กมช. ด้วย และมีคณะกรรมการผู้ทรงคุณวุฒิอีก 4 คน

เพียงแค่คณะกรรมการฯ เห็นว่า หรือ ‘คาดว่า’ จะเกิดภัยคุกคามระดับ ‘ร้ายแรง’ ได้ พวกเขาสามารถสั่งให้สำนักงานคณะกรรมการการรักษาความมั่นคงปลอดภัยไซเบอร์แห่งชาติดำเนินการ เข้าตรวจสอบทั้งข้อมูลและสถานที่ โดยขอเข้าถึงข้อมูล ทดสอบการทำงานของคอมพิวเตอร์ รวมถึงยึดอายัดคอมพิวเตอร์ได้ โดยต้องยื่นคำร้องต่อศาลเสียก่อน (มาตรา 60-61)

ในการป้องกัน รับมือ และลดความเสี่ยงภัยคุกคามระดับ ‘ร้ายแรง’ กกม. ยังมีอำนาจสกัดคัดกรองข้อมูลสารสนเทศหรือโปรแกรมคอมพิวเตอร์ ซึ่งมีเหตุอันเชื่อได้ว่าเกี่ยวข้องหรือได้รับผลกระทบจากภัยคุกคามทางไซเบอร์ โดยยื่นคำร้องต่อศาล (มาตรา 65)

ส่วนหากเหตุนั้นๆ ถูกนิยามว่าเป็นภาวะจำเป็นเร่งด่วนและเป็นภาวะภัยคุกคามไซเบอร์ในระดับวิกฤต กฎหมายนี้ให้อำนาจ กมช. ทำสิ่งต่างๆ ได้ทันที ‘โดยไม่ต้องมีหมายศาล’ และให้ถือเป็นอำนาจของสภาความมั่นคงแห่งชาติ (มาตรา 66 – 67)

ในภาวะที่จำเป็นเร่งด่วนนั้น เจ้าพนักงานสามารถลัดคิวดำเนินการกับระบบคอมพิวเตอร์ได้เลยโดยไม่ต้องขอหมายศาล ผู้ที่ได้รับผลกระทบก็ไม่มีสิทธิ์อุทธรณ์คำสั่งด้วย จะอุทธรณ์คำสั่งได้ก็เฉพาะกรณีภัยคุกคามไซเบอร์ในระดับ ‘ไม่ร้ายแรง’ เท่านั้น ส่วนกรณีที่เจ้าพนักงานนำข้อมูลส่วนตัวของบุคคลที่ยึดมาไปเผยแพร่ มีโทษจำคุกสูงสุด 3 ปี ปรับไม่เกิน 60,000 บาท หรือทั้งจำและปรับ

ฝ่ายผู้ขัดขวางฝ่าฝืนคำสั่งหรือที่ไม่ปฏิบัติตามของ กกม.หรือคำสั่งศาลตามมาตรา 64-65  มีโทษจำคุกสูงสุดไม่เกิน 3 ปี หรือปรับไม่เกิน 60,000 บาทเช่นกัน

นอกจากนี้ ร่างพ.ร.บ.ฉบับนี้ยังให้ความสำคัญกับการจัดทำแนวทางปฏิบัติด้านการรักษาความมั่นคงปลอดภัยไซเบอร์สำหรับหน่วยงานรัฐ และหน่วยงานโครงสร้างพื้นฐานที่สำคัญทางสารสนเทศต้องจัดให้มีการประเมินความเสี่ยงด้านการรักษาความมั่นคงปลอดภัยไซเบอร์ โดยมีผู้ตรวจสอบฯ ภายในและอิสระอย่างน้อยปีละ 1 ครั้ง  

อ่านร่าง พ.ร.บ.การรักษาความมั่นคงปลอดภัยไซเบอร์ พ.ศ. …. ที่คณะกรรมาธิการวิสามัญพิจารณาเสร็จแล้วได้ที่ http://library.senate.go.th/document/mSubject/Ext84/84726_0001.PDF