โควิด-19 : เว็บไซต์ไทยชนะ เส้นบาง ๆ ระหว่างการป้องกันโรคกับการเข้าถึงข้อมูลส่วนบุคคล
"ระบบนี้ฐานข้อมูลจะอยู่ที่กรมควบคุมโรค กระทรวงสาธารณสุข ใช้เจตนากันเพื่อในการติดตามคนที่จะมีการเจ็บไข้ได้ป่วยเท่านั้น ท่านไม่ต้องกังวลใจเรื่องอื่น ๆ เลย...และก็จะเก็บข้อมูลอยู่ในช่วงเวลาหนึ่งเท่านั้น"
นี่เป็นคำยืนยันอีกครั้งหนึ่งของ นพ.ทวีศิลป์ วิษณุโยธิน โฆษกศูนย์บริหารสถานการณ์โควิด-19 (ศบค.)ระหว่างการแถลงข่าวประจำวันที่ 18 พ.ค. หลังจากมีประชาชนแสดงความกังวลใจและไม่สบายใจที่จะต้องให้ข้อมูลส่วนบุคคลในแพลตฟอร์ม "ไทยชนะ.com" ซึ่งเป็นหนึ่งในมาตรการควบคุมและป้องกันการระบาดของโควิด-19 ในช่วงผ่อนปรนระยะที่ 2 ไทยไม่ใช่ประเทศเดียวที่ใช้เทคโนโลยีการเก็บข้อมูลประชาชนเพื่อใช้ในกรณีที่ต้องมีการสอบสวนโรค ติดตามผู้มีความเสี่ยงและข้อมูลความหนาแน่นของคนในพื้นที่หนึ่ง ๆ ในช่วงเวลาหนึ่ง ๆ และไม่ใช่ประเทศเดียวที่ประชาชนมีความกังวลว่าข้อมูลส่วนบุคคลจะถูกนำไปใช้ในทางที่ไม่พึงประสงค์ ในสิงคโปร์มีแอปพลิเคชัน "Trace Together" ด้วยการใช้สัญญาณบลูทูธตรวจจับว่าใครอยู่ใกล้ผู้ป่วยโควิด-19 ในระยะ 2 เมตร เกิน 30 นาที ก็จะถูกติดตามตัว โดยคนป่วยต้องยินยอมที่จะเปิดเผยข้อมูล และผู้ใช้งานสามารถแจ้งให้ยกเลิกการเก็บข้อมูลได้ ทางการออสเตรเลียก็มีแพลตฟอร์มคล้ายคลึงกัน แต่จะลบข้อมูลโดยอัตโนมัติภายใน 21 วัน ขณะที่ฝั่งยุโรปก็มีการพัฒนาซอฟต์แวร์ชื่อว่า Pan-European Privacy-Preserving Proximity Tracing (PEPP-PT) คำถามถึง "ไทยชนะ" "คุณเปิดเงื่อนไขการให้ความยินยอมของฝั่งร้านค้าไว้กว้างเป็นทะเลเพื่ออะไร แล้วกว้างเลยช่วงเวลาโควิดไปทำไม ถ้าเกิดคุณไม่ได้อยากใช้ประโยชน์ในเชิงพาณิชย์ หรือประโยชน์อื่นที่ไม่ใช่การสอบสวนโรค" สฤณี อาชวานันทกุล นักวิชาการอิสระที่ให้ความสนใจประเด็นด้านสิทธิพลเมือง ให้สัมภาษณ์บีบีซีไทย เธอให้ความเห็นว่าโดยหลักการแล้ว ทุกคนพร้อมที่จะให้ความร่วมมือและเห็นด้วยกับการนำเทคโนโลยีมาใช้ในการป้องกันและสอบสวนโรค แต่แพลตฟอร์มไทยชนะมีความน่ากังวลทั้งในด้าน "ประสิทธิผลการใช้งาน" และ "ความปลอดภัยของผู้ใช้" ศบค. ชี้แจงว่า เป้าหมายหลัก 2 ประการของ "ไทยชนะ" คือ หนึ่ง-ประเมินความหนาแน่นของสถานประกอบการ เพื่อให้ร้านค้าสามารถบริหารจัดการและช่วยผู้ใช้ในการตัดสินใจว่าจะไปใช้บริการหรือไม่ และ สอง-เพื่อการสอบสวนโรค ทำให้เจ้าหน้าที่สามารถติดตามผู้สัมผัสใกล้ชิด จากพิกัดสถานที่ที่บุคคลเข้าใช้บริการร้านค้า สฤณีมองว่า หากต้องการทราบความหนาแน่นของประชาชนในพื้นที่หนึ่ง ๆ "ไม่มีความจำเป็นใด ๆ ที่จะต้องรู้ข้อมูลส่วนบุคคล" เพียงแต่ใช้เทคโนโลยีที่สามารถนับจำนวนเข้าออกที่สถานประกอบการหลายแห่งใช้กันเป็นปกติอยู่แล้ว สฤณีตั้งข้อสังเกตว่าแพลตฟอร์มไทยชนะจะบันทึกข้อมูลก็ต่อเมื่อบุคคลนั้น "เช็คอิน" ที่ร้านค้าใดร้านค้าหนึ่งเท่านั้น แต่ไม่ได้เก็บข้อมูลการเดินทาง เนื่องจากไทยมีการจัดเก็บข้อมูลส่วนบุคคลผ่านการลงทะเบียนซิมการ์ดอยู่แล้ว สฤณีเห็นว่าการติดตามตัวผ่านเครือข่ายโทรศัพท์หรือระบบบลูทูธอย่างที่หลายประเทศใช้ แม้จะมีปัญหาเรื่องความแม่นยำเรื่องพิกัด แต่ก็อาจทำให้ได้ข้อมูลมากกว่าการสร้างระบบเก็บข้อมูลใหม่อย่าง "ไทยชนะ" ขึ้นมาซึ่งจะบันทึกข้อมูลก็ต่อเมื่อบุคคลนั้นเข้าใช้บริการร้านค้าใดร้านค้าหนึ่งเท่านั้น โดยไม่ได้มีการติดตามเส้นทางการเดินทางอื่น ๆ "ไทยชนะ" ขัดกับกฎหมายคุ้มครองข้อมูลส่วนบุคคล สฤณีกล่าวว่า พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล พ.ศ.2562 ระบุถึงการเก็บข้อมูลส่วนบุคคลว่าจะต้องมีการระบุผู้ควบคุมข้อมูล ผู้ประมวลผลข้อมูล และเมื่อมีข้อมูลจำนวนมากต้องบอกว่าใครเป็นผู้คุ้มครองข้อมูลนั้น เพื่อเป็นการปกป้องผู้ให้ข้อมูล นอกจากนี้ผู้ให้ข้อมูลยังสามารถร้องเรียนและท้วงถามได้ อีกทั้งผู้ให้ข้อมูลสามารถขอลบข้อมูลได้ตลอดเวลา สฤณีวิจารณ์ว่าการเก็บข้อมูลส่วนบุคคลทางเว็บไซต์ไทยชนะ "เป็นโครงการที่ความโปร่งใสน้อยมาก" เธอยกตัวอย่างกรณีของสิงคโปร์ที่ไม่บังคับให้ประชาชนต้องใช้งาน และมีการเก็บข้อมูลบุคคลไว้ในเซิร์ฟเวอร์กลางของรัฐบาลเลย ยกเว้นบุคคลนั้นจะเป็นผู้ป่วยหรือคนที่ใกล้ชิดผู้ป่วย ข้อมูลทั้งหมดจะถูกบันทึกในโทรศัพท์ของประชาชนแต่ละคน แต่ละคนเอง เมื่อเจ้าหน้าที่ต้องการใช้ข้อมูลของบุคคลนั้นเพื่อนำมาสอบสวนหรือควบคุมโรค จึงจะติดต่อขอข้อมูลเป็นราย ๆ ไป นี่คือการทำตามหลักคุ้มครองข้อมูลส่วนบุคคล เมื่อเกิดเหตุจำเป็นเท่านั้น คือ เมื่อมีการยืนยันผู้ติดเชื้อเจ้าหน้าที่ก็จะติดต่อมา เพื่อขอข้อมูลในเครื่องนั้นทั้งหมดในรอบ 14 วันที่ผ่านมา และลบข้อมูลทั้งหมดทุก 14 วัน สฤณีให้ข้อมูล ต่างกับการทำงานของไทยชนะที่ไม่ทราบว่าเซิร์ฟเวอร์ส่วนกลางถูกจัดเก็บที่ใด และใครเป็นผู้รับผิดชอบที่ชัดเจน "เป็นโครงการที่ความโปร่งใสน้อยมาก ในเว็บไซต์ไม่ได้เขียนด้วยซ้ำว่าหน่วยงานไหนรับผิดชอบ ซึ่งเราก็มารู้กันเองทีหลังว่าทีมพัฒนาอยู่ธนาคารกรุงไทย ก็มีคำถามไปบอกว่าเขาเกี่ยวอะไรด้วยกับการสอบสวนโรค" นักช้อปเข้าคิวเข้าร้านแบรนด์ดังที่ห้างสรรพสินค้าแห่งหนึ่งในกรุงเทพฯ ตามมาตรการเว้นระยะห่างทางสังคม เมื่อดูข้อตกลงระหว่างเจ้าของกิจการกับแพลตฟอร์มไทยชนะ สฤณีพบว่าเจ้าของกิจการต้องแสดงความยินยอมในการลงทะเบียน ซึ่งระบุว่าจะต้องยินยอมที่จะให้นำข้อมูลไปใช้ในการสอบสวนโรคและเพื่อประโยชน์สาธารณะอื่น ๆ ทั้งระหว่างมาตรการและภายหลังมาตรการควบคุมโรค ขณะที่ประชาชนทั่วไปที่ ศบค.กำหนดให้ต้อง "เช็คอิน-เช็คเอาท์" เมื่อใช้บริการที่ร้านค้าหรือสถานประกอบการใด ๆ ทาง "ไทยชนะ" ระบุเงื่อนไขว่าเป็นการยินยอมที่จะให้ข้อมูลกับกระทรวงสาธารณสุข และหน่วยงานในมอบหมาย เพื่อประโยชน์ในการสอบสวนโรค สฤณีตั้งคำถามว่า เหตุใดทางการจึงต้องเก็บข้อมูลร้านค้าที่ลงทะเบียนและการเช็คอิน-เช็คเอาท์ของประชาชนไว้จนถึงช่วงหลังมาตรการควบคุมโรค ขณะที่คำว่า "หน่วยงานในมอบหมาย" นั้นก็ไม่ได้ระบุว่าคือหน่วยงานใดบ้างที่เข้าถึงข้อมูลนั้นได้ อีกประเด็นหนึ่งที่เป็นข้อกังขา คือ เหตุใดแพลตฟอร์ม "ไทยชนะ" จึงเก็บข้อมูลการเข้า-ออกสถานที่ของประชาชนไว้เป็นเวลานานถึง 60 วัน ซึ่ง นพ.ทวีศิลป์ ตอบข้อสงสัยในเรื่องนี้ว่า เหตุที่ต้องเก็บข้อมูลผู้เช็คอินและเช็คเอาท์ถึง 60 วันนั้น ก็เนื่องมาจากการติดเชื้อนั้นสามารถเกิดได้ต่อเนื่องกันถึง 4 รุ่นของผู้ป่วย อย่างเช่นที่เคยเกิดขึ้นในกรณีสนามมวย รุ่นหนึ่งมีระยะเฝ้าระวัง 14 วัน การเก็บข้อมูลเป็นเวลา 60 วันจึงมีความจำเป็นตามหลักการและเหตุผล แอปฯ ติดตามสำหรับผู้เดินทาง นอกจากแพลตฟอร์ม "ไทยชนะ" แล้ว ทางการไทยยังมีแอปพลิเคชัน AOT ของบริษัทท่าอากาศยานไทย จำกัด ซึ่งเป็นแอปฯ แรก ๆ ที่ถูกนำมาใช้ติดตามการเดินทางของประชาชนเพื่อการป้องกันและสอบสวนโรคตั้งแต่ช่วงแรก ๆ ที่มีการระบาดของโควิด-19 เพื่อติดตามตัวผู้ที่เดินทางเข้ามาในประเทศไทย นอกจากฆ่าเชื้อสถานที่อย่างดีแล้ว สถานประกอบการยังต้องมีคิวอาร์โค้ดที่ได้รับจากเว็บไซต์ "ไทยชนะ" มาติดไว้ให้ผู้ใช้บริการสแกนเพื่อบันทึกการเข้า-ออกพื้นที่ สำหรับแอปฯ นี้ ผู้เดินทางเมื่อถึงสนามบินจะต้องดาวน์โหลดและลงทะเบียนในแอปฯ กรอกข้อมูลให้ครบถ้วน ซึ่งจะมีขั้นตอนให้ถ่ายรูปหน้าพาสปอร์ต กรอกข้อมูลเอกสาร ต.8 และแสดงข้อมูลทั้งหมดต่อเจ้าหน้าที่จึงจะสามารถเข้าสู่ประเทศไทยได้ ข้อมูลเหล่านี้ช่วยให้เจ้าหน้าที่จะสามารถระบุพิกัดการกักตัวของแต่ละคนตามที่มีการระบุ พร้อมติดตามการเดินทางได้ทันทีหากพบผู้ติดเชื้อหรือผู้มีความเสี่ยง เช่น อยู่ในเที่ยวบินเดียวกับผู้ติดเชื้อ หรือนั่งใกล้กัน เป็นต้น แอปฯ นี้ ประชาชนทั่วไปดาวน์โหลดมาใช้งานได้เพื่อบันทึกการเดินทางของตัวเอง และเป็นช่องทางให้เจ้าหน้าที่ติดต่อมาหากพบว่าผู้ใช้รายนั้นมีความเสี่ยงหรือเคยอยู่ในสถานที่เดียวกับผู้ติดเชื้อ รู้จักไทยชนะ.com ผู้ใช้งาน ไทยชนะ.com แบ่งเป็น 2 กลุ่ม คือ ผู้ประกอบการ ที่จะต้องลงทะเบียน ให้ข้อมูลต่าง ๆ เกี่ยวกับร้านค้าหรือสถานประกอบการนั้นโดยละเอียด เช่น ชื่อกิจการ สถานที่ตั้งกิจการ หมายเลขโทรศัพท์ ข้อมูลเจ้าของกิจการ พร้อมกับจำนวนลูกค้าที่รับได้ตามมาตรการเว้นระยะห่างทางสังคม เพื่อรับคิวอาร์โค้ด จากนั้นผู้ประกอบการก็จะนำคิวอาร์โค้ดนั้นไปติดที่ร้านเพื่อให้ผู้ใช้บริการเช็คอินและเช็คเอาท์ด้วยการสแกนคิวอาร์โค้ดนั้น ผู้ใช้บริการ คือประชาชนทั่วไปที่ไปใช้บริการร้านค้าหรือสถานประกอบการ เมื่อเข้าไปในสถานที่นั้นจะต้องสแกนคิวอาร์โค้ดที่ผู้ประกอบการนำมาติดไว้เพื่อบันทึกการเข้าและออกพื้นที่ ข้อมูลจะไปปรากฏบนเว็บไซต์แบบเรียลไทม์ว่ามีคนอยู่ในสถานที่นั้นเท่าไหร่ เกินจำนวนที่รับได้หรือไม่ ข้อมูลการเข้าใช้บริการจะถูกบันทึกไว้นาน 60 วัน หากการสอบสวนโรคพบว่าผู้ติดเชื้อมีประวัติเดินทางไปในสถานที่ใด เจ้าหน้าที่ก็จะติดต่อบุคคลที่ "เช็คอิน" ในสถานที่นั้น ๆ ในช่วงเวลานั้น ๆ เพื่อแจ้งว่ามีความเสี่ยงติดเชื้อ เพื่อเข้ารับการตรวจหาเชื้อหรือกักตัวโดยเร็ว แต่หากไม่พบการติดเชื้อในพื้นที่นั้นภายใน 60 วัน ข้อมูลทั้งหมดจะถูกลบทิ้ง โฆษก ศบค. รายงานข้อมูลยอดผู้ใช้งานสะสมจนถึงวันนี้ (20พ.ค.) ว่ามีมากกว่า 5,077,978 คน และมีร้านค้าที่ลงทะเบียน 67,904 ร้าน ส่วนใหญ่อยู่ในกรุงเทพฯ และพบการใช้งานสูงตามเมืองใหญ่ ๆ เช่น ชลบุรี นนทบุรี สมุทรปราการ ปทุมธานี เชียงใหม่ นครราชสีมา ภูเก็ต สุราษฎร์ธานี และขอนแก่น