4 ปี PDPC จากกฎหมายบนกระดาษ สู่ผู้พิทักษ์ข้อมูลของคนไทย เมื่อการคุ้มครองข้อมูลส่วนบุคคลกลายเป็นด่านหน้าสร้าง “Digital Trust” ในยุค AI

ในวันที่ข้อมูลส่วนบุคคล ตั้งแต่ชื่อ เบอร์โทรศัพท์ ไปจนถึงใบหน้าและเสียง กลายเป็นสิ่งมีค่าไม่ต่างจากเงินในกระเป๋า ย้อนกลับไปเมื่อเพียง 4 ปีก่อน คำถามที่ได้ยินบ่อยที่สุดยังเป็นเพียงว่า ประเทศไทยพร้อมแล้วหรือยัง กับการมีกฎหมายคุ้มครองข้อมูลส่วนบุคคล แต่วันนี้ คำถามนั้นเปลี่ยนไปแล้ว เพราะการดูแลข้อมูลของคนไทยได้เดินทางมาไกลกว่าที่หลายคนคิด

เนื่องในโอกาสครบรอบ 4 ปี วันสถาปนาสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (สคส.) และครบ 4 ปีของการบังคับใช้พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 หรือ PDPA อย่างเต็มรูปแบบ สคส. ได้จัดเวทีเสวนา “4^th Anniversary PDPC Thailand ความก้าวหน้า และพัฒนาการด้านการคุ้มครองข้อมูลส่วนบุคคล กับการขับเคลื่อนเศรษฐกิจและสังคมดิจิทัลของประเทศ” เพื่อทบทวนเส้นทางตลอด 4 ปีที่ผ่านมา ภายใต้แนวคิดที่ พ.ต.อ.สุรพงศ์ เปล่งขำ เลขาธิการคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เน้นย้ำมาโดยตลอดว่า PDPA ไม่ได้เป็นเพียงกฎหมาย แต่เป็นการสร้าง “Digital Trust” หรือความเชื่อมั่นในสังคมเศรษฐกิจดิจิทัลของประเทศ

เส้นทางของ สคส. เริ่มต้นอย่างไม่ธรรมดา โดย นายพันธ์ศักดิ์ ศิริรัชตพงษ์ กรรมการผู้ทรงคุณวุฒิด้านเทคโนโลยีสารสนเทศและการสื่อสาร ในคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล ได้อธิบายว่า PDPA เป็นกฎหมายลักษณะพิเศษที่ “กฎหมายมาก่อนองค์กร” แตกต่างจากกฎหมายทั่วไปที่มักมีหน่วยงานแข็งแรงรองรับอยู่ก่อนแล้ว

ขณะที่ ดร.ปริญญา หอมเอนก กรรมการผู้ทรงคุณวุฒิในคณะกรรมการกำกับสำนักงานฯ กล่าวเปรียบการก่อตั้ง สคส. ว่าเหมือนการสร้างสตาร์ตอัพจากศูนย์ ที่ในวันเริ่มต้นไม่มีทั้งเลขาธิการ ไม่มีสำนักงาน และไม่มีงบประมาณ แต่กลับต้องเร่งสรรหาบุคลากรมาขับเคลื่อนองค์กรให้ทันกับกฎหมายที่ประกาศออกมาแล้ว

ในปีแรกจึงเป็นปีแห่งการวางรากฐาน ด้วยพนักงานเพียง 50 คน สคส. ได้เร่งออกกฎหมายลูกถึง 22 ฉบับ เพื่อให้กลไกการบังคับใช้เดินหน้าได้จริง พร้อมจัดตั้งศูนย์รับเรื่องร้องเรียนและให้คำปรึกษา ซึ่งในปีแรกมีเรื่องร้องเรียนเข้ามากว่า 200 เรื่อง

จุดเปลี่ยนสำคัญมาถึงในปีที่ 2 เมื่อภัยจากแก๊งคอลเซ็นเตอร์ระบาดหนัก และทุกฝ่ายเห็นตรงกันว่าต้นตอของการหลอกลวงคือข้อมูลส่วนบุคคลที่รั่วไหล การคุ้มครองข้อมูลจึงกลายเป็นการแก้ปัญหาอาชญากรรมไปพร้อมกัน สคส. ได้จัดตั้ง ศูนย์เฝ้าระวังการละเมิดข้อมูลส่วนบุคคล หรือ PDPC Eagle Eye ที่ทำงานเชิงรุกด้วยระบบค้นหาและแจ้งเตือนอัตโนมัติในลักษณะ “เจอก่อนโจร”

พ.ต.อ.สุรพงศ์ เล่าถึงผลงานที่จับต้องได้ ว่านับตั้งแต่ปี 2566 จนถึงปัจจุบัน PDPC Eagle Eye ค้นหาไปแล้วราว 900,000 URL และแก้ไขจัดการได้กว่า 7,000 เรื่องโดยไม่เกิดความเสียหาย และเมื่อพบการซื้อขายข้อมูลเพื่อนำไปก่ออาชญากรรม สคส. ได้ร่วมกับเจ้าหน้าที่ตำรวจผลักดันมาตรา 11/2 พระราชกำหนดมาตรการป้องกัน และปราบปรามอาชญากรรมทางเทคโนโลยี (ฉบับที่ 2) พ.ศ. 2568 จนนำไปสู่การจับกุมจริงรวมแล้ว 18 ราย

ตรงกับแนวคิดที่ ดร.ปริญญา ย้ำว่ารากเหง้าของปัญหาทั้งหมดคือ Data Breach หรือข้อมูลรั่วไหล หากลดปัญหานี้ลงได้ มิจฉาชีพก็จะมีข้อมูลไปหลอกลวงประชาชนน้อยลง และผลลัพธ์นี้ก็เริ่มเห็นชัดขึ้น เมื่อมูลค่าความเสียหายจากภัยออนไลน์เฉลี่ยต่อวันลดลงจากราว 117 ล้านบาทในช่วงต้นปี 2567 เหลือราว 65 ล้านบาทในช่วงต้นปี 2568 หรือลดลงเกือบ 40%

ซึ่งเมื่อรากฐานเริ่มมั่นคง ภารกิจของ สคส. ก็ได้ขยายจาก “การปราบปราม” ไปสู่ “การส่งเสริม” องค์กรได้ขยายอัตรากำลังที่เพิ่มขึ้นเป็น 175 คน มีเครือข่ายเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล (DPO) ขยายครอบคลุมทั้งภาครัฐและเอกชนเกือบ 4,000 หน่วยงาน พร้อมมีการพัฒนาเครื่องมือให้ประชาชนและองค์กรใช้งานได้ฟรี ทั้งแพลตฟอร์ม GPPC ที่เริ่มเปิดบริการสำหรับ SME แอปพลิเคชัน Smart PDPA และระบบ e-Learning ที่มีผู้เข้าเรียนแล้วเกือบแสนคน อีกทั้ง ความก้าวหน้านี้ยังได้รับการยอมรับในระดับสากล โดยโครงการ GPPC เป็นหนึ่งในโครงการที่ผ่านเข้ารอบ Champions (Top 5) 1 ใน 5 ผลงานที่ดีที่สุดในหมวดนโยบายและการส่งเสริมไอซีที จากเวที WSIS Prizes 2026 เพื่อยกย่องโครงการดิจิทัลจากทั่วโลกที่มีความโดดเด่นและสร้างผลกระทบเชิงบวกต่อสังคมอย่างยั่งยืน

สำหรับบทต่อไปของ สคส. คือการรับมือกับโจทย์ในยุคปัญญาประดิษฐ์ โดย ดร.ปริญญา ชี้ว่าความท้าทายในวันนี้ไม่ใช่แค่แฮกเกอร์ที่เจาะระบบ แต่รวมถึงแพลตฟอร์มที่ออกแบบให้ผู้ใช้กด “ยินยอม” แบ่งปันข้อมูลโดยแทบไม่รู้ตัว หรือที่เรียกว่า Privacy Engineering โดยยกตัวอย่างว่าปัจจุบันมีแพลตฟอร์มมากถึง 17 ใน 20 ที่แอบเก็บข้อมูลผู้ใช้แชร์ออกไป

ด้าน นายพันธ์ศักดิ์ ระบุว่าคณะกรรมการได้ตั้งอนุกรรมการเฉพาะเพื่อจัดทำแนวปฏิบัติด้าน AI สำหรับ 5 กลุ่ม ตั้งแต่ประชาชนทั่วไป ผู้บริหารระดับสูง ผู้ควบคุมข้อมูล ผู้ประมวลผล ไปจนถึงนักพัฒนา ควบคู่กับการเดินหน้าความร่วมมือระหว่างประเทศ ทั้งการวางกรอบการส่งข้อมูลข้ามพรมแดน (Cross Border Transfer) และการแลกเปลี่ยนองค์ความรู้กับหน่วยงานคุ้มครองข้อมูลของต่างชาติ เพื่อให้ประเทศไทยใช้ประโยชน์จากข้อมูลและ AI ในการขับเคลื่อนเศรษฐกิจดิจิทัลได้อย่างเต็มที่ โดยไม่ต้องแลกมาด้วยการละเมิดสิทธิของประชาชน

ความเชื่อมั่นที่ สคส. สร้างขึ้นตลอด 4 ปี ตั้งอยู่บนแนวทางสองด้านที่เสริมกัน ด้านหนึ่งคือการบังคับใช้กฎหมายอย่างจริงจัง โดยมียอดค่าปรับทางปกครองสะสมกับทั้งหน่วยงานรัฐและเอกชนรวมกว่า 21.5 ล้านบาท (ยอดสะสม ณ ปีงบประมาณ 2568) ซึ่งสะท้อนว่ากฎหมายฉบับนี้มีสภาพบังคับจริง ไม่ใช่เพียงกฎหมายบนกระดาษ และอีกด้านคือการยกระดับเชิงบวก ด้วยการออกเครื่องหมายรับรองมาตรฐานการคุ้มครองข้อมูลส่วนบุคคล หรือ PDPC Certification (Trust Mark) อย่างเป็นทางการ เพื่อเปิดโอกาสให้หน่วยงานที่ทำได้ดีได้รับการยอมรับและสร้างความเชื่อมั่นให้คู่ค้าและประชาชน โดยผู้ที่ประสงค์จะขอรับรองต้องผ่านการประเมินระดับความพร้อมที่เรียกว่า Privacy Maturity Model (PMM) ถึงระดับ 5 และต้องไม่เคยถูกลงโทษตาม PDPA มาก่อนเป็นเวลา 2 ปี

ท้ายที่สุด การคุ้มครองข้อมูลที่ดีที่สุดยังคงเริ่มต้นที่ตัวเราเอง พ.ต.อ.สุรพงศ์ ฝากหลักง่าย ๆ ให้ประชาชน คือ เปิดเผยข้อมูลเท่าที่จำเป็น ตั้งรหัสผ่านให้เข้มแข็งและเปลี่ยนอย่างสม่ำเสมอ และระมัดระวังธุรกรรมที่น่าสงสัย ยึดหลัก “ไม่หลงเชื่อ ไม่หลงโหลด ไม่หลงโอน” หรือแม้แต่การตั้ง “รหัสลับของครอบครัว” ไว้ยืนยันตัวตน ในวันที่มิจฉาชีพใช้ AI ปลอมได้แม้กระทั่งใบหน้าและเสียงของคนที่เรารัก

เพราะสำหรับ สคส. แล้ว PDPA ไม่ใช่เรื่องของกฎหมายที่ไกลตัว แต่เป็น Digital Trust ที่เดินเคียงข้างทุกคน จากกฎหมายบนกระดาษเมื่อ 4 ปีก่อน ในวันนี้ สคส. กำลังยืนหยัดในฐานะผู้พิทักษ์ข้อมูลที่พร้อมก้าวไปกับคนไทยในยุค AI อย่างมั่นคง

Tagged: AI Digital Trust DPA สคส