BEHAVE! - Big Brother Is Watching You!

รายงาน จับตา ไอซีที : ออก กม.ลูก บังคับเก็บประวัติคนเล่นเน็ต เลข 13 หลัก เลขบัญชี เลขบัตรเครดิต (ประชาไท)

ประกาศกฎกระทรวง เกี่ยวกับข้อมูลจราจรคอมพิวเตอร์
(เพื่อประกอบใช้กับ พ.ร.บ.ว่าด้วยการกระทำความผิดเกี่ยวกับคอมพิวเตอร์)

ข้อ 6 ผู้ให้บริการ มีหน้าที่จัดเก็บข้อมูลจราจรทางคอมพิวเตอร์ ดังนี้

(1) ข้อมูลที่สามารถระบุและติดตามถึงแหล่งกำเนิด ต้นทางของการติดต่อสื่อสารถึงกันด้วยระบบคอมพิวเตอร์ หรือการเข้าถึงอินเทอร์เน็ตได้
(2) ข้อมูลที่สามารถระบุปลายทางของการติดต่อสื่อสารถึงกันด้วยระบบคอมพิวเตอร์ หรือการเข้าถึงอินเทอร์เน็ตได้
(3) ข้อมูลที่สามารถระบุพฤติกรรมการติดต่อสื่อสารถึงกันด้วยระบบคอมพิวเตอร์ หรือการเข้าถึงอินเทอร์เน็ต เช่น วันที่ เวลา ปริมาณการติดต่อ และระยะเวลาของการติดต่อสื่อสารระบบคอมพิวเตอร์ หรือการเข้าถึงอินเทอร์เน็ตได้

ทั้งนี้ ในการเก็บรักษาข้อมูลจราจรทางคอมพิวเตอร์ตามวรรคหนึ่ง ให้ผู้ให้บริการเก็บเพียงเฉพาะในส่วนที่เป็นข้อมูลจราจรทางคอมพิวเตอร์ที่เกิดจากส่วนที่เกี่ยวข้องกับบริการของตน

พี่ใหญ่เค้าอยากจะรู้ทุกอย่าง

ดูข่าวเพิ่มเติม ฐาน, blognone, ประชาไท

---

หลักพื้นฐานทั่วไปอันหนึ่ง ที่น่าจะใช้เป็นแนวทางพิจารณาตรวจสอบขอบเขตอำนาจกฏกระทรวงอันนี้ได้ ว่าล้ำเส้นเกินไปหรือไม่ คือ หลักการให้ความคุ้มครองข้อมูลส่วนบุคคลของ OECD ซึ่งมีสาระสำคัญดังนี้ (อ้าง ศูนย์เทคโนโลยีสารสนเทศ สำนักงานเศรษฐกิจการคลัง):

1. หลักข้อจำกัดในการเก็บรวบรวมข้อมูล (Collection Limitation Principle)
2. หลักคุณภาพของข้อมูล (Data Quality Principle)
3. หลักการกำหนดวัตถุประสงค์ในการจัดเก็บ (Purpose Specification Principle)
4. หลักในการนำไปใช้ (Use Limitation)
5. หลักการรักษาความปลอดภัยข้อมูล (Security Safeguards Principle)
6. หลักการเปิดเผยข้อมูล (Openness Principle)
7. หลักการมีส่วนร่วมของบุคคล (Individual Participation Principle)
8. หลักการความรับผิดชอบ (Accountability Principle)

ช่วยกันดูครับ พูด ตอนที่ยังพูดได้

ตอนนี้พ.ร.บ.กำหนดให้ต้องเก็บ และได้ระบุระยะเวลาเอาไว้
ส่วนกฎกระทรวงกำลังจะระบุว่า จะให้เก็บอะไร เยอะแค่ไหน
(ซึ่งดูแนวแล้วเป็นลักษณะ เก็บไว้เยอะๆ ก่อน - ไม่ใช่แนว "น้อยที่สุดเท่าที่จะใช้ได้")

แต่ไม่มีใครบอกว่า ใครมีสิทธิขอดู เมื่อไหร่ ในสถานการณ์ไหน และสามารถถูกปฏิเสธได้หรือไม่ (เช่น ผู้ให้บริการสามารถปฏิเสธเจ้าหน้าที่รัฐได้หรือไม่ ในกรณีไหน หรือ ผู้ใช้บริการสามารถปฏิเสธไม่ให้ผู้ให้บริการเก็บข้อมูลส่วนไหนได้บ้าง ในกรณีไหน)

เรื่องทำนองนี้ ส่วนหนึ่ง มีอยู่ใน ร่างพ.ร.บ.ว่าด้วยการคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ....
ซึ่งร่างฉบับนี้ ในตอนแรกร่างขึ้นโดยยึดแนวทางของ EU Directive เป็นหลัก แต่ต่อมาเมื่อพบปัญหาทางเทคนิคว่าอาจจะยากต่อการบังคับใช้ ก็ได้เปลี่ยนมาใช้รูปแบบของออสเตรเลีย ซึ่งแนวทางของ OECD ที่กล่าวมาข้างต้นนั้น ก็ถูกพัฒนาขึ้นโดยกลุ่มผู้เชี่ยวชาญของ OECD ภายใต้การดูแลของประธานคณะกรรมการปฏิรูปกฎหมายออสเตรเลีย จึงอาจกล่าวได้ว่า ร่างพ.ร.บ.นี้ของไทย ก็มีแนวทางคล้ายคลึงกับของ OECD

ร่างดูดี แต่ไม่คลอดซักทีครับ :)

พ.ร.บ.ข้อมูลส่วนบุคคล เป็นพ.ร.บ.พี่น้องกับ พ.ร.บ.ความผิดคอมพิวเตอร์ — ตัวหนึ่งจะมีผลบังคับใช้ในอีกไม่กี่วันแล้ว อีกตัวหนึ่งถูกดอง และคงจะถูกลืม...

---

อ้างอิง

• หลักการให้ความคุ้มครองข้อมูลส่วนบุคคล, ศูนย์เทคโนโลยีสารสนเทศ สำนักงานเศรษฐกิจการคลัง
• OECD Guidelines on the Protection of Privacy and Transborder Flows of Personal Data
• OECD Information Security and Privacy
• The Australian Privacy Foundation
• ร่างพ.ร.บ.ว่าด้วยการคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ....
• กฎหมายเทคโนโลยีสารสนเทศและการสื่อสาร, เนคเทค

technorati tags: surveillance, Thailand, law