เลเซอร์ไอดี... บ่วงพันคอที่พรรคส้มดิ้นไม่หลุด!

ประเด็นเลเซอร์ไอดีของพรรคประชาชน หรือ “พรรคส้ม” ไม่ได้อยู่ที่ว่าได้รับอนุญาตหรือไม่ได้รับอนุญาตจากกรมการปกครอง เพราะเอกสารลงวันที่ 16 กันยายน 2567 ระบุชัดว่าอนุญาตให้ใช้บริการระบบพิสูจน์และยืนยันตัวตนทางดิจิทัลแล้ว

หัวใจของเรื่องจึงไม่ใช่เรื่อง “อนุญาตหรือไม่อนุญาต”

แต่คือการจัดการข้อมูลหลังจากนั้น ว่ามีการเก็บรวบรวม ใช้ ส่งต่อ หรือลบเลเซอร์ไอดีของสมาชิกอย่างไร และสอดคล้องกับกฎหมายคุ้มครองข้อมูลส่วนบุคคลหรือไม่

พรรคส้มกำหนดให้ผู้สมัครสมาชิกกรอกเลขบัตรประชาชน 13 หลัก พร้อมรหัส 12 หลักหลังบัตร หรือเลเซอร์ไอดี และกำหนดให้อัปโหลดภาพถ่ายตนเองถือบัตรเข้าสู่ระบบออนไลน์ เมื่อรวมกันแล้ว ข้อมูลชุดนี้สามารถยืนยันตัวบุคคลได้ครบถ้วนในระดับสูงกว่าการสมัครสมาชิกทั่วไป

การร้องขอข้อมูลระดับนี้จึงต้องอธิบายให้ชัด ว่ามีความจำเป็นเพียงใด และสัดส่วนสอดคล้องกับวัตถุประสงค์ตามกฎหมายหรือไม่

กฎหมายพรรคการเมืองกำหนดคุณสมบัติของสมาชิกพรรค เช่น ต้องมีสัญชาติไทย อายุไม่ต่ำกว่า 18 ปี และไม่เป็นบุคคลต้องห้ามตามที่กฎหมายบัญญัติ พร้อมกำหนดให้พรรคจัดทำและดูแลทะเบียนสมาชิกแจ้งต่อคณะกรรมการการเลือกตั้ง แต่กฎหมายไม่ได้บัญญัติว่าการรับสมาชิกต้องใช้ “เลเซอร์ไอดี” เป็นเงื่อนไขบังคับ

กล่าวให้ชัดยิ่งขึ้น กฎหมายกำหนด “คุณสมบัติของบุคคล” และ “หน้าที่ของพรรคในการจัดทำทะเบียน” แต่ไม่ได้กำหนดรูปแบบทางเทคนิคว่าต้องใช้ข้อมูลระดับเลเซอร์ไอดีในการยืนยันตัวตน การเลือกใช้ข้อมูลประเภทใดจึงเป็นวิธีการที่พรรคกำหนดขึ้นเอง

ในทางปฏิบัติ พรรคการเมืองจำนวนมากรับสมัครสมาชิกทั้งผ่านช่องทางออนไลน์และออฟไลน์ โดยใช้ข้อมูลพื้นฐานตามที่กฎหมายกำหนด และตรวจสอบความถูกต้องในกรอบที่เห็นว่าเพียงพอ โดยไม่ได้กำหนดเลเซอร์ไอดีเป็นเงื่อนไขทั่วไปในการสมัครสมาชิก

แนวปฏิบัติของกรมการปกครองระบุว่า หากจะตรวจสอบตัวบุคคลผ่านระบบสมาร์ทการ์ด ต้องส่งข้อมูล 5 รายการ ได้แก่ เลขบัตรประชาชน ชื่อ นามสกุล วันเดือนปีเกิด และเลขหลังบัตร เพื่อให้กรมตอบกลับเพียงว่า “ถูกต้อง” หรือ “ไม่ถูกต้อง” เท่านั้น และไม่ได้กำหนดให้พรรคต้องจัดเก็บเลขหลังบัตรหรือเลเซอร์ไอดีไว้เป็นฐานข้อมูลถาวร

จึงแยกได้ชัดว่า การ “ส่งตรวจสอบ” เป็นขั้นตอนทางเทคนิคของการยืนยันตัวตน ส่วนการ “เก็บรักษาข้อมูลหลังจากตรวจสอบแล้ว” เป็นอีกเรื่องหนึ่ง และเป็นความรับผิดชอบของพรรคโดยตรงว่าจะจัดการอย่างไรให้สอดคล้องกับกฎหมายคุ้มครองข้อมูลส่วนบุคคล

พรรคส้มระบุเองในเอกสารนโยบายความเป็นส่วนตัวว่า พรรคเป็น “ผู้ควบคุมข้อมูลส่วนบุคคล” ส่วนบริษัท Spectre C เป็น “ผู้ประมวลผลข้อมูลส่วนบุคคล”

สถานะนี้มีความหมายทางกฎหมายชัดเจน ผู้ควบคุมข้อมูลเป็นผู้กำหนดวัตถุประสงค์และขอบเขตการใช้ข้อมูล และต้องรับผิดหากการเก็บหรือประมวลผลเกินกว่าที่กฎหมายอนุญาต

ในพื้นที่สาธารณะมีการตั้งข้อสังเกตต่อ Spectre C ว่าอาจเกี่ยวข้องกับปฏิบัติการข้อมูลข่าวสารหรือที่เรียกว่า “ไอโอ” เมื่อบริษัทเดียวกันถูกระบุว่าเป็นผู้ประมวลผลข้อมูลสมาชิกพรรค ความคาดหวังเรื่องความปลอดภัยและความโปร่งใสของข้อมูลจึงถูกจับตามองมากเป็นพิเศษ

อีกจุดที่ถูกตั้งข้อสังเกตคือ หน้าเว็บไซต์สมัครสมาชิกออนไลน์ไม่มีช่องติ๊ก “ยินยอม” แยกเฉพาะการให้เลเซอร์ไอดีเหมือนที่สถาบันการเงินปฏิบัติ ทั้งที่การใช้ข้อมูลประเภทนี้ต้องอาศัยความยินยอมโดยชัดแจ้งจากเจ้าของข้อมูล

ความยินยอมตามกฎหมายต้องแสดงเจตนาอย่างชัดเจน แยกจากเงื่อนไขทั่วไป และเจ้าของข้อมูลต้องรับรู้วัตถุประสงค์และขอบเขตการใช้ หากขั้นตอนนี้ไม่รัดกุมเพียงพอ ย่อมเปิดช่องให้ถูกตั้งคำถามในทางกฎหมายได้

นอกจากประเด็นเรื่องฐานกฎหมายและความยินยอมแล้ว ลำดับเหตุการณ์ของการดำเนินการก็เป็นอีกจุดที่ต้องพิจารณา

เอกสารของกรมการปกครองลงวันที่ 16 กันยายน 2567 ระบุว่าอนุญาตให้พรรคส้มใช้บริการระบบพิสูจน์และยืนยันตัวตนทางดิจิทัลได้แล้ว นับจากวันนั้นจนถึงปัจจุบันเป็นระยะเวลากว่าสองปี

ตลอดช่วงเวลาหลังจากมีหนังสืออนุญาต พรรคเปิดให้สมาชิกสมัครผ่านระบบออนไลน์ พร้อมให้กรอกเลเซอร์ไอดีตามขั้นตอนที่กำหนดไว้บนหน้าเว็บไซต์

อย่างไรก็ตาม เมื่อวานนี้พรรคชี้แจงว่า “ระบบยังอยู่ระหว่างการเชื่อมต่อ” จึงได้ปรับหน้าเว็บไซต์และนำช่องกรอกเลเซอร์ไอดีออกไปก่อน พร้อมระบุว่าจะเปิดใช้อีกครั้งเมื่อการเชื่อมต่อเสร็จสมบูรณ์

เมื่อข้อเท็จจริงทั้งสองส่วนวางคู่กัน คือมีหนังสืออนุญาตตั้งแต่ 16 กันยายน 2567 แต่เพิ่งชี้แจงว่าระบบยังไม่เชื่อมต่อ คำถามจึงเกิดขึ้นชัดเจนขึ้น

ระหว่างเดือนกันยายน 2567 จนถึงวันที่มีการปรับหน้าเว็บไซต์ มีสมาชิกสมัครผ่านระบบออนไลน์ไปแล้วกี่ราย และในช่วงที่พรรคระบุว่า “ระบบยังอยู่ระหว่างการเชื่อมต่อ” นั้น มีการตรวจสอบข้อมูลกับกรมการปกครองได้อย่างไร ตรวจสอบผ่านช่องทางใด หรือยังไม่ได้เชื่อมต่อระบบตามที่ระบุจริง

หากระบบยังไม่เชื่อมต่อเต็มรูปแบบ ข้อมูลที่สมาชิกกรอกเข้าสู่ระบบในช่วงเวลาดังกล่าวถูกจัดการอย่างไร อยู่ในสถานะใด และมีการส่งต่อหรือสำรองข้อมูลไว้หรือไม่

พรรคส้มระบุว่า “ไม่ได้เก็บ” เลเซอร์ไอดี แต่ในทางกฎหมาย การรับข้อมูลเข้าสู่ระบบ การตรวจสอบ และการลบภายหลัง ล้วนถือเป็นการประมวลผลข้อมูล ไม่ได้พิจารณาเฉพาะการเก็บถาวรเท่านั้น

คำชี้แจงจึงควรมีหลักฐานประกอบให้ตรวจสอบได้ เช่น บันทึกการลบ บันทึกการเข้าถึง หรือรายละเอียดการทำงานของระบบในช่วงเวลานั้น มิฉะนั้นประเด็นนี้ย่อมยังคงเป็นคำถามที่สังคมรอคำตอบอย่างชัดเจน

พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 กำหนดหลักความจำเป็นและสัดส่วน หากเก็บหรือใช้ข้อมูลเกินกว่าความจำเป็น หรือไม่มีความยินยอมที่ถูกต้อง ผู้ควบคุมข้อมูลอาจถูกลงโทษปรับทางปกครองในระดับสูงหลายล้านบาท ถูกฟ้องเรียกค่าเสียหายทางแพ่ง และในบางกรณีอาจมีโทษจำคุกและปรับทางอาญา

เมื่อข้อมูลที่ร้องขอมีทั้งเลขบัตร เลเซอร์ไอดี และภาพถ่ายใบหน้าคู่บัตร ระดับความละเอียดจึงสูงกว่าข้อมูลพื้นฐานทั่วไป ความรับผิดก็สูงตามไปด้วย

ก่อนหน้านี้ ผู้สมัคร สส. ของพรรคส้มสองรายถูกตั้งข้อกล่าวหาในคดีฟอกเงินและเว็บพนันออนไลน์ เหตุการณ์ดังกล่าวแม้อาจไม่เกี่ยวโดยตรงกับเลเซอร์ไอดี แต่ย่อมทำให้สังคมจับตาระบบตรวจสอบและการจัดการข้อมูลของพรรคมากขึ้น

เมื่อพรรคส้มประกาศชัดว่าตนเป็นผู้ควบคุมข้อมูล และมอบหมายให้ Spectre C เป็นผู้ประมวลผล ภาระความรับผิดตามกฎหมายจึงตกอยู่ที่พรรคโดยตรง หากการเก็บ ใช้ หรือประมวลผลข้อมูลใดขัดต่อหลักความจำเป็น หรือความยินยอมไม่ครบถ้วนตามที่กฎหมายกำหนด ผู้ควบคุมข้อมูลต้องรับผิดตาม PDPA ทั้งโทษปรับทางปกครอง ความรับผิดทางแพ่ง และในบางกรณีอาจมีโทษอาญา

ในมิติทางการเมือง หากมีข้อเท็จจริงภายหลังว่าการจัดการข้อมูลสมาชิกเข้าข่ายฝ่าฝืนกฎหมายอย่างมีนัยสำคัญ ก็อาจถูกนำเข้าสู่กระบวนการตามกฎหมาย ซึ่งผลกระทบไม่จำกัดเพียงค่าปรับ แต่กระทบถึงสถานะของพรรคโดยตรง

สองปีที่เหตุการณ์เกิดขึ้นต่อเนื่องกัน เอกสารลงวันที่ 16 กันยายน 2567 ระบบที่ยังไม่เชื่อมต่อเต็มรูปแบบ การปรับหน้าเว็บไซต์ และคำยืนยันว่า “ไม่ได้เก็บ” จึงเป็นลำดับเหตุการณ์ที่พรรคต้องอธิบายให้ครบ

หากหลักฐานยังไม่ชัดเจน ผลที่ตามมาย่อมไม่หยุดอยู่แค่แรงกดดันทางการเมือง หากแต่อาจลุกลามไปถึงความรับผิดตามกฎหมายที่พรรคส้มไม่อาจหลีกเลี่ยงได้.