สคส. เดินหน้าสอบ 2 กรณีข้อมูลส่วนบุคคลที่กระทบประชาชน ทั้งข้อมูลที่เกี่ยวข้องกับ "หมอพร้อม" ซึ่งมีผู้ร้องเรียนแล้วกว่า 30 ราย และเหตุข้อมูลผู้ใช้ TSD Investor Portal รั่วไหลประมาณ 2 แสนราย

สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (สคส.) หรือ PDPC เดินหน้าตรวจสอบ 2 กรณีข้อมูลส่วนบุคคลที่อาจส่งผลกระทบต่อประชาชนในวงกว้าง ได้แก่ กรณีข้อมูลที่เกี่ยวข้องกับระบบบริการสุขภาพและสิทธิการรักษาพยาบาล "หมอพร้อม" ซึ่งมีผู้ใช้สิทธิร้องเรียนแล้วกว่า 30 ราย และกรณีข้อมูลผู้ใช้บริการระบบ TSD Investor Portal รั่วไหลประมาณ 200,000 ราย โดยสั่งให้กระทรวงสาธารณสุขและบริษัท ศูนย์รับฝากหลักทรัพย์ (ประเทศไทย) จำกัด (TSD) นำส่งข้อเท็จจริง คำชี้แจง และพยานหลักฐานเพิ่มเติม เพื่อใช้ประกอบการพิจารณาตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562

พ.ต.อ.สุรพงศ์ เปล่งขำ เลขาธิการคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล กล่าวว่า ทั้งสองกรณีเกี่ยวข้องกับข้อมูลส่วนบุคคลของประชาชนจำนวนมาก บางประเภทสามารถนำไปเชื่อมโยงเพื่อระบุตัวบุคคล ใช้สวมรอย หรือหลอกลวงเจ้าของข้อมูลได้ จึงจำเป็นต้องตรวจสอบจากพยานหลักฐานและข้อมูลเชิงเทคนิคอย่างรอบด้าน ไม่ใช่อาศัยเพียงคำชี้แจงหรือข้อมูลที่เผยแพร่ต่อสาธารณะ

สำหรับกรณีข้อมูลที่เกี่ยวข้องกับระบบ "หมอพร้อม" ปัจจุบันมีเจ้าของข้อมูลยื่นเรื่องร้องเรียนต่อ สคส. แล้วกว่า 30 ราย หลังเกิดข้อกังวลว่าข้อมูลส่วนบุคคลอาจถูกเข้าถึงหรือนำไปใช้โดยมิชอบ สคส. จึงประสานกระทรวงสาธารณสุขให้ส่งข้อมูลเพิ่มเติม เพื่อพิสูจน์ว่าข้อมูลที่เป็นประเด็นมีแหล่งที่มาจากระบบหรือหน่วยงานใด เป็นข้อมูลประเภทใด มีประชาชนได้รับผลกระทบจำนวนเท่าใด และมีการเข้าถึง เปิดเผย หรือส่งต่อข้อมูลโดยไม่ได้รับอนุญาตหรือไม่

นอกจากนี้ ยังให้กระทรวงสาธารณสุขชี้แจงมาตรการรักษาความมั่นคงปลอดภัยของข้อมูล การตรวจสอบช่องโหว่และบันทึกการเข้าถึงระบบ การควบคุมเหตุและจำกัดผลกระทบ รวมถึงผลการประเมินความเสี่ยงต่อสิทธิและเสรีภาพของเจ้าของข้อมูล เพื่อพิจารณาว่าได้แจ้งเหตุละเมิดข้อมูลส่วนบุคคลและแจ้งเจ้าของข้อมูลภายในระยะเวลาที่กฎหมายกำหนดหรือไม่

ส่วนกรณี TSD Investor Portal นั้น TSD เปิดเผยว่าตรวจพบการเข้าถึงข้อมูลส่วนบุคคลโดยไม่ได้รับอนุญาต หลังพบความผิดปกติเมื่อวันที่ 25 กรกฎาคม 2569 และยืนยันเหตุการณ์ในวันที่ 26 กรกฎาคม 2569 โดยมีผู้ได้รับผลกระทบประมาณ 200,000 ราย จากบัญชีผู้ใช้ทั้งหมดราว 5 ล้านบัญชี

ข้อมูลที่อาจได้รับผลกระทบ ได้แก่ ชื่อ-นามสกุล วันเดือนปีเกิด เลขประจำตัวประชาชน ที่อยู่ หมายเลขโทรศัพท์ อีเมล ชื่อบริษัทหลักทรัพย์ เลขบัญชีซื้อขายหลักทรัพย์ รวมถึงชื่อธนาคารและเลขบัญชีธนาคารของผู้ใช้บริการบางส่วน อย่างไรก็ตาม TSD ระบุว่า ยังไม่พบว่าข้อมูลการถือครองหลักทรัพย์หรือข้อมูลธุรกรรมซื้อขายได้รับผลกระทบ และยังไม่พบความเสียหายทางการเงินที่เชื่อมโยงกับเหตุการณ์ดังกล่าว

ภายหลังตรวจพบเหตุ TSD ได้ปิดกั้นช่องทางการเข้าถึงที่ผิดปกติ ประสานตำรวจไซเบอร์สืบสวนผู้กระทำผิด แจ้งหน่วยงานกำกับดูแล รวมทั้งประสานบริษัทหลักทรัพย์ ธนาคาร และหน่วยงานที่เกี่ยวข้องให้เพิ่มมาตรการเฝ้าระวัง พร้อมส่งอีเมลและข้อความ SMS แจ้งเตือนผู้ได้รับผลกระทบแล้ว

เลขาธิการ สคส. กล่าวว่า แม้ TSD จะชี้แจงต่อสาธารณะแล้ว แต่ สคส. ยังต้องตรวจสอบเชิงลึกถึงสาเหตุของการรั่วไหล ช่วงเวลาที่เกิดเหตุ ประเภทและจำนวนข้อมูลที่ได้รับผลกระทบ ตลอดจนประสิทธิภาพของมาตรการรักษาความมั่นคงปลอดภัยก่อนและหลังเกิดเหตุ รวมถึงหลักฐานการแจ้งเหตุ การประเมินความเสี่ยง การแจ้งเตือนผู้ได้รับผลกระทบ และมาตรการเยียวยาและป้องกันไม่ให้เกิดเหตุซ้ำ

พ.ต.อ.สุรพงศ์ย้ำว่า การเกิดเหตุข้อมูลส่วนบุคคลรั่วไหลไม่ได้หมายความว่าองค์กรจะมีความผิดตามกฎหมายโดยอัตโนมัติ การพิจารณาจะอาศัยข้อเท็จจริงว่าองค์กรมีมาตรการป้องกันที่เหมาะสมหรือไม่ ตรวจพบและควบคุมเหตุได้รวดเร็วเพียงใด รวมถึงปฏิบัติตามหน้าที่ในการแจ้งเหตุและลดผลกระทบตามที่กฎหมายกำหนดครบถ้วนหรือไม่

หากผลการตรวจสอบพบข้อบกพร่องหรือการดำเนินการไม่เป็นไปตามกฎหมาย สคส. จะพิจารณาดำเนินการตามอำนาจหน้าที่ ตั้งแต่กำหนดมาตรการแก้ไข สั่งยกระดับมาตรฐานการคุ้มครองข้อมูลส่วนบุคคล ไปจนถึงดำเนินกระบวนการตามกฎหมาย เพื่อคุ้มครองสิทธิของประชาชนและยกระดับความรับผิดชอบขององค์กรที่เก็บและใช้ข้อมูลส่วนบุคคลจำนวนมาก

พร้อมกันนี้ สคส. ขอให้ประชาชนที่ได้รับการแจ้งเตือนจาก TSD หรือหน่วยงานที่เกี่ยวข้อง เพิ่มความระมัดระวังการติดต่อที่แอบอ้างผ่านอีเมล ข้อความ SMS โทรศัพท์ หรือช่องทางออนไลน์ ไม่คลิกลิงก์หรือดาวน์โหลดไฟล์จากแหล่งที่ไม่น่าเชื่อถือ และไม่เปิดเผยรหัสผ่านหรือรหัส OTP แก่บุคคลอื่น หากพบความผิดปกติควรติดต่อหน่วยงานหรือผู้ให้บริการผ่านช่องทางอย่างเป็นทางการโดยตรง