เมื่อข้อมูลภาครัฐกำลังจะเชื่อมกัน โจทย์คือ “แชร์อย่างไรให้ถูกกฎหมายและยังช่วยประชาชนได้ทันเวลา”

วันที่ 4 กันยายน 2569 มีการประกาศ ระเบียบสำนักนายกรัฐมนตรี ว่าด้วยการแบ่งปันข้อมูลดิจิทัล พ.ศ. 2569 ในราชกิจจานุเบกษา และมีผลใช้บังคับตั้งแต่วันที่ 5 กันยายน 2569 เป็นต้นไป

ระเบียบฉบับนี้นับเป็นความเปลี่ยนแปลงสำคัญของการบริหารข้อมูลภาครัฐ เพราะกำหนดกลไกให้หน่วยงานของรัฐเชื่อมโยงและแบ่งปันข้อมูลดิจิทัลผ่านระบบกลางอย่างเป็นระบบ โดยในระยะเร่งด่วน บัญชีท้ายระเบียบกำหนดชุดข้อมูลด้านการจัดการภัยพิบัติและสถานการณ์ฉุกเฉินไว้ถึง 118 ชุดข้อมูล

เมื่อเห็นตัวเลข 118 ชุดข้อมูล หลายคนอาจตั้งคำถามว่า นี่หมายถึงการนำข้อมูลประชาชนจำนวนมหาศาลเข้าสู่ระบบกลางหรือไม่ และการดำเนินการดังกล่าวจะขัดกับพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 หรือ PDPA
หรือเปล่า

สาระสำคัญไม่ได้อยู่ที่จำนวนชุดข้อมูลเพียงอย่างเดียว แต่อยู่
ที่ว่า ข้อมูลอะไรถูกนำไปใช้ เพื่อวัตถุประสงค์อะไร ใครเป็นผู้ใช้ ใช้เมื่อใด ใช้เท่าใด และมีกฎหมายใดรองรับการประมวลผลนั้น

นี่คือจุดที่ธรรมาภิบาลข้อมูล (Data Governance) และการคุ้มครองข้อมูลส่วนบุคคล (Data Protection) ต้องทำงานร่วมกัน

118 ชุดข้อมูลไม่ได้เป็นข้อมูลส่วนบุคคลทั้งหมด

สิ่งที่ต้องเข้าใจก่อนคือ ข้อมูลทั้ง 118 ชุดไม่ได้เป็นข้อมูลส่วนบุคคลทั้งหมด

ข้อมูลจำนวนมากเกี่ยวข้องกับสภาพแวดล้อมและโครงสร้างพื้นฐาน เช่น ระดับน้ำ ข้อมูลอุตุนิยมวิทยา เส้นทางคมนาคม ระบบไฟฟ้า โทรคมนาคม พื้นที่เสี่ยงภัย แผนที่ และข้อมูลทรัพยากรน้ำ

แต่ในบัญชีเดียวกันก็มีข้อมูลที่เกี่ยวข้องกับประชาชนโดยตรง เช่น ทะเบียนราษฎร ผู้ประกันตน กลุ่มเปราะบาง เกษตรกร และผู้สูญหาย ซึ่งหากสามารถระบุตัวบุคคลได้ ย่อมเป็นข้อมูลส่วนบุคคลตามนิยามในมาตรา 6 ของ PDPA

โดยเฉพาะข้อมูลลำดับท้ายของภาคผนวก เช่น สถานะสุขภาพ โรคประจำตัว ยาที่ใช้รักษา ผลตรวจทางห้องปฏิบัติการ รายงานผลภาพถ่ายรังสี และประวัติวัคซีน ซึ่งเป็นข้อมูลสุขภาพและอยู่ภายใต้ข้อกำหนดของมาตรา 26

ดังนั้น สิ่งที่หน่วยงานต้องทำคือจำแนกให้ได้ว่า ใน 118 ชุดข้อมูลนั้น ชุดใดไม่มีข้อมูลส่วนบุคคล ชุดใดมีข้อมูลส่วนบุคคล และชุดใดมีข้อมูลส่วนบุคคลที่มีความอ่อนไหว พร้อมทั้งระบุฐานกฎหมายและมาตรการคุ้มครองของแต่ละกรณีให้ชัดเจน

เมื่อจำแนกข้อมูลได้ถูกต้อง วิธีบริหารความเสี่ยงตาม PDPA ก็จะชัดเจนขึ้นตามไปด้วย

ระเบียบแบ่งปันข้อมูลไม่ได้ทำให้ PDPA หายไป

การมีระเบียบสำนักนายกรัฐมนตรีฉบับนี้ไม่ได้หมายความว่า หน่วยงานรัฐสามารถใช้หรือเปิดเผยข้อมูลส่วนบุคคลได้โดยไม่ต้องคำนึงถึง PDPA

การประมวลผลข้อมูลส่วนบุคคลยังต้องมีฐานกฎหมายรองรับ และการใช้หรือเปิดเผยต้องอยู่ภายใต้วัตถุประสงค์ที่สอดคล้องกับฐานการประมวลผลและข้อจำกัดตามกฎหมาย

สำหรับหน่วยงานรัฐ ฐานกฎหมายที่อาจเกี่ยวข้องไม่ได้มีเพียงความยินยอมตามมาตรา 19 แต่อาจรวมถึงกรณีจำเป็นเพื่อป้องกันหรือระงับอันตรายต่อชีวิต ร่างกาย หรือสุขภาพตามมาตรา 24(2) การปฏิบัติภารกิจเพื่อประโยชน์สาธารณะหรือการใช้อำนาจรัฐตามมาตรา 24(4) และการปฏิบัติตามกฎหมายตามมาตรา 24(6) ทั้งนี้ต้องพิจารณาตามภารกิจ วัตถุประสงค์ และข้อเท็จจริงของแต่ละกิจกรรม

หน่วยงานจึงควรตอบให้ได้ว่า กิจกรรมการประมวลผลแต่ละกิจกรรมอาศัยฐานใดตาม PDPA และกฎหมายที่กำหนดอำนาจหน้าที่ของหน่วยงาน

การทำ ตารางฐานกฎหมาย (Legal Basis Matrix) จึงมีความสำคัญ เพราะช่วยเชื่อมระหว่างชุดข้อมูล วัตถุประสงค์ อำนาจหน้าที่ และฐานการประมวลผลเข้าด้วยกัน

ข้อมูลสุขภาพไม่จำเป็นต้องใช้ Consent เสมอไป แต่ก็ไม่ได้หมายความว่าจะใช้ได้ทุกกรณี

ข้อมูลสุขภาพเป็นข้อมูลส่วนบุคคลที่มีความอ่อนไหวตามมาตรา 26 และอยู่ภายใต้เงื่อนไขที่เข้มงวดกว่าข้อมูลส่วนบุคคลทั่วไป

อย่างไรก็ตาม มาตรา 26 มีข้อยกเว้นจากการขอความยินยอมโดยชัดแจ้งหลายกรณี เช่น การป้องกันหรือระงับอันตรายต่อชีวิต ร่างกาย หรือสุขภาพในกรณีที่เจ้าของข้อมูลไม่สามารถให้ความยินยอมได้ ตลอดจนการดำเนินการบางประเภทเกี่ยวกับการรักษาพยาบาล ระบบสุขภาพ และประโยชน์สาธารณะด้านสาธารณสุขภายใต้เงื่อนไขที่กฎหมายกำหนด

เพราะฉะนั้น การเกิดภัยพิบัติไม่ได้หมายความว่าจะสามารถใช้ข้อมูลสุขภาพได้ทุกกรณีโดยอัตโนมัติ แต่ต้องตรวจสอบว่าเข้าเงื่อนไขของข้อยกเว้นตามมาตรา 26 ที่เกี่ยวข้องจริงหรือไม่

ลองพิจารณากรณีผู้ป่วยติดเตียงอยู่ในพื้นที่น้ำท่วม เจ้าหน้าที่อาจจำเป็นต้องรู้ว่าบุคคลนั้นอยู่ที่ไหน มีโรคประจำตัวอะไร และต้องใช้ยาชนิดใด การทำให้ข้อมูลไม่สามารถระบุตัวบุคคลได้ทั้งหมดในสถานการณ์เช่นนี้อาจทำให้ระบบไม่สามารถช่วยเหลือบุคคลนั้นได้อย่างเหมาะสม

หลักที่ควรใช้จึงเป็น การใช้ข้อมูลเท่าที่จำเป็นต่อวัตถุประสงค์

ถ้าการช่วยเหลือจำเป็นต้องรู้ตัวบุคคล ก็ควรใช้ข้อมูลที่ระบุตัวได้เท่าที่จำเป็น แต่ถ้าการวิเคราะห์สถานการณ์ไม่จำเป็นต้องรู้ว่าเป็นใคร ก็ควรลดรายละเอียด ใช้ข้อมูลนามแฝง หรือใช้ข้อมูลรวมตามความเหมาะสม

แนวทางนี้สอดคล้องกับมาตรา 22 ของ PDPA ซึ่งกำหนดให้การเก็บรวบรวมข้อมูลส่วนบุคคลต้องจำกัดเท่าที่จำเป็นภายใต้วัตถุประสงค์อันชอบด้วยกฎหมาย หรือหลัก Data Minimization

การ “เชื่อมระบบ” ไม่เท่ากับ “เปิดเผยข้อมูลตลอดเวลา”

บัญชีท้ายระเบียบไม่ได้กำหนดให้ข้อมูลทุกชุดถูกนำส่งเข้าสู่ระบบกลางด้วยรูปแบบเดียวกัน

ข้อมูลบางชุดต้องเชื่อมและนำส่งตามที่กำหนด ขณะที่บางกลุ่ม โดยเฉพาะข้อมูลเกี่ยวกับประชาชนหรือสุขภาพ มีลักษณะให้เตรียมระบบสำหรับการเชื่อมโยงไว้ และนำส่งเมื่อเกิดเงื่อนไข เช่น มีการประกาศภัยพิบัติหรือสถานการณ์ฉุกเฉิน

จึงต้องแยก ความพร้อมในการเชื่อมต่อระบบ ออกจาก การเปิดเผยข้อมูลจริง

ระบบอาจพร้อมเชื่อมกันอยู่ตลอดเวลา แต่ข้อมูลที่มีความเสี่ยงสูงควรถูกเปิดให้ใช้เมื่อมีเหตุ โดยมีผู้มีอำนาจดำเนินการ มีวัตถุประสงค์ชัดเจน และมีการบันทึกการเข้าถึงและการใช้ข้อมูลไว้ตรวจสอบได้

หากจะเรียกให้จำง่าย ผมเรียกหลักนี้ว่า

Always Connected, Conditionally Released — ระบบพร้อมเชื่อม แต่เปิดข้อมูลเมื่อมีเหตุและมีสิทธิ

แนวคิดนี้ควรเป็นหลักสำคัญประการหนึ่งของการออกแบบระบบแบ่งปันข้อมูลภาครัฐ

BDI เป็น Processor หรือ Controller?

อีกคำถามสำคัญตามหลัก PDPA คือสถานะของ สถาบันข้อมูลขนาดใหญ่ (องค์การมหาชน) หรือ BDI

ระเบียบกำหนดให้มีการจัดทำข้อตกลงการประมวลผลข้อมูล (Data Processing Agreement) กับสำนักงาน แต่ชื่อของข้อตกลงเพียงอย่างเดียวไม่สามารถกำหนดสถานะของ BDI ตาม PDPA ได้

สถานะต้องพิจารณาจากข้อเท็จจริงของการประมวลผล

หาก BDI ดำเนินการตามคำสั่งหรือในนามของผู้ควบคุมข้อมูล ก็มีลักษณะของผู้ประมวลผลข้อมูลส่วนบุคคล (Data Processor)

แต่หากในกิจกรรมใด BDI เป็นผู้มีอำนาจตัดสินใจเกี่ยวกับวัตถุประสงค์หรือวิธีการสำคัญของการประมวลผล ก็ต้องพิจารณาสถานะผู้ควบคุมข้อมูลส่วนบุคคล (Data Controller) ในกิจกรรมนั้น

หากมีหลายหน่วยงานร่วมกันกำหนดวัตถุประสงค์หรือวิธีการประมวลผล ก็ต้องพิจารณาความสัมพันธ์และกำหนดหน้าที่ความรับผิดของแต่ละฝ่ายให้ชัดเจน

ประเด็นนี้มีความสำคัญ เพราะระเบียบเปิดให้ระบบกลางทำได้มากกว่าการรับและส่งข้อมูล เช่น การแปลงสภาพข้อมูล การสร้างข้อมูลรวม การวิเคราะห์ รวมถึงการสร้างผลลัพธ์ในรูป Dashboard หรือแบบจำลองปัญญาประดิษฐ์

ดังนั้น การกำหนดสถานะของ BDI ควรวิเคราะห์เป็นรายกิจกรรม ไม่ควรกำหนดสถานะเดียวครอบคลุมทั้งระบบ

หน่วยงานจึงควรจัดทำ ตารางบทบาทในการประมวลผล เพื่อให้เห็นว่า ในแต่ละกิจกรรมใครเป็นผู้ควบคุมข้อมูล ผู้ประมวลผลข้อมูล ผู้รับข้อมูล หรือหน่วยงานผู้ครอบครองข้อมูล และใครต้องรับผิดชอบเรื่องใด

สิ่งที่ต้องระวังไม่ใช่เพียงข้อมูลรั่ว แต่คือการใช้ข้อมูลผิดวัตถุประสงค์

เมื่อพูดถึงการแบ่งปันข้อมูล คนจำนวนมากมักกังวลว่าข้อมูลจะรั่วหรือไม่ ซึ่งเรื่องความมั่นคงปลอดภัยเป็นเรื่องสำคัญแน่นอน

แต่ยังมีความเสี่ยงอีกด้านหนึ่ง คือ ข้อมูลไม่ได้รั่วออกจากระบบ แต่ถูกนำไปใช้เกินกว่าวัตถุประสงค์ที่กฎหมายรองรับ

ตัวอย่างเช่น ข้อมูลสุขภาพอาจถูกใช้เพื่อช่วยเหลือประชาชนในเหตุภัยพิบัติ โดยมีฐานกฎหมายรองรับ แต่เมื่อเหตุการณ์สิ้นสุดลง ข้อมูลชุดเดียวกันกลับถูกนำไปวิเคราะห์พฤติกรรมประชาชน หรือใช้ประกอบการตัดสินใจเรื่องอื่นที่ไม่มีฐานกฎหมายรองรับ

แม้ข้อมูลจะไม่เคยรั่วออกจากระบบ ก็อาจเกิดปัญหาการปฏิบัติตาม PDPA ได้

ดังนั้น ระบบกลางต้องควบคุมมากกว่าความมั่นคงปลอดภัยทางเทคนิค โดยต้องกำหนดให้ชัดตั้งแต่วัตถุประสงค์ ผู้มีสิทธิเข้าถึง วิธีใช้ การเปิดเผย ไปจนถึงระยะเวลาจัดเก็บข้อมูล

หลังเหตุฉุกเฉิน อย่าคิดว่าต้อง “ลบทั้งหมดทันที”

เมื่อภัยพิบัติสิ้นสุดลง หลักสำคัญคือไม่ควรเก็บข้อมูลไว้ต่อไปโดยไม่มีความจำเป็น

แต่การกำหนดให้ลบข้อมูลทั้งหมดทันทีอาจไม่เหมาะสมในทุกกรณี เพราะข้อมูลบางส่วนอาจยังจำเป็นต่อการเยียวยา การพิสูจน์สิทธิ การตรวจสอบย้อนหลัง การประเมินผลการตอบสนองต่อเหตุการณ์ หรือการปฏิบัติหน้าที่ตามกฎหมายอื่น

แนวทางที่เหมาะสมกว่าคือ การทบทวนการเก็บรักษาข้อมูลหลังสิ้นสุดเหตุการณ์ (Post-event Retention Review)

เมื่อเหตุการณ์จบลง หน่วยงานควรตรวจสอบว่า ข้อมูลใดยังจำเป็นต้องเก็บ ข้อมูลใดสามารถลดรายละเอียดได้ ข้อมูลใดควรทำให้ไม่สามารถระบุตัวบุคคล และข้อมูลใดหมดความจำเป็นจนควรลบหรือทำลาย

นี่คือการบริหารระยะเวลาจัดเก็บตามวัตถุประสงค์และความจำเป็น ไม่ใช่การกำหนดว่าจะ “เก็บทั้งหมด” หรือ “ลบทั้งหมด” ด้วยหลักเดียวกัน

หน่วยงานรัฐต้องทำอะไรในเวลาที่เหลือ?

ด้วยบทเฉพาะกาลของระเบียบกำหนดกรอบเวลาค่อนข้างสั้น หน่วยงานที่อยู่ในบัญชีท้ายระเบียบต้องดำเนินการเชื่อมโยงและนำข้อมูลเข้าสู่ระบบกลางภายใน 60 วัน และหากยังไม่มีความพร้อม ต้องประสานกับสำนักงานภายใน 15 วัน เพื่อกำหนดแนวทางและแผนการดำเนินงาน

เวลาในช่วงนี้จึงไม่ควรถูกใช้เฉพาะกับการพัฒนา API หรือการเชื่อมต่อทางเทคนิค

DPO ทีมกฎหมาย ทีมข้อมูล ทีมเทคโนโลยีสารสนเทศของหน่วยงานต่าง ๆ และ BDI ควรทำงานร่วมกันอย่างน้อยใน 5 เรื่อง

หนึ่ง ต้องรู้ว่ามีข้อมูลอะไรอยู่จริง

หน่วยงานต้องทำแผนผังข้อมูลให้ถึงระดับรายการข้อมูล ไม่ควรพิจารณาเพียงชื่อฐานข้อมูล เพราะความเสี่ยงจำนวนมากเกิดขึ้นในระดับ Data Element เช่น เลขประจำตัว ที่อยู่ ตำแหน่งที่อยู่ ข้อมูลสุขภาพ หรือข้อมูลที่สามารถนำไปเชื่อมโยงกับฐานอื่นแล้วระบุตัวบุคคลได้

สอง ต้องรู้ว่าใช้ฐานกฎหมายใด

ทุกการแบ่งปันต้องตอบได้ว่า ส่งข้อมูลอะไร เพื่ออะไร ให้ใคร อาศัยอำนาจตามกฎหมายใด และมีเงื่อนไขในการนำส่งเมื่อใด

สาม ต้องกำหนดบทบาทและความรับผิดชอบให้ชัด

ต้องทราบว่าในแต่ละกิจกรรม ใครเป็นผู้ควบคุมข้อมูล ผู้ประมวลผลข้อมูล ผู้รับข้อมูล หรือหน่วยงานผู้ครอบครองข้อมูล และใครมีหน้าที่รับผิดชอบต่อเจ้าของข้อมูลและต่อหน่วยงานกำกับดูแล

สี่ ต้องประเมินความเสี่ยงก่อนใช้งานจริง

กิจกรรมที่มีความเสี่ยงสูง เช่น การเชื่อมข้อมูลสุขภาพ ข้อมูลกลุ่มเปราะบาง การรวมข้อมูลจากหลายฐาน หรือการใช้ปัญญาประดิษฐ์ ควรผ่านการประเมินผลกระทบด้านการคุ้มครองข้อมูลส่วนบุคคล (Data Protection Impact Assessment: DPIA) และการประเมินความมั่นคงปลอดภัยที่เหมาะสม

ห้า ต้องมีขั้นตอนสำหรับเหตุฉุกเฉินไว้ก่อนเกิดเหตุ

ระบบควรกำหนดล่วงหน้าว่า เหตุการณ์แบบใดเป็นเงื่อนไขให้เปิดใช้ข้อมูล ใครมีอำนาจเปิดสิทธิ ข้อมูลขั้นต่ำที่จำเป็นคืออะไร ใครสามารถเข้าถึงได้ ต้องบันทึกอะไรไว้ และเมื่อเหตุการณ์สิ้นสุดแล้วต้องจัดการข้อมูลอย่างไร

เพราะเมื่อภัยพิบัติเกิดขึ้นจริง เราไม่มีเวลามาประชุมเพื่อตีความกฎหมายและกำหนดสิทธิกันใหม่

Data Governance กับ PDPA ไม่ได้อยู่คนละฝั่ง

ระเบียบฉบับนี้มีเป้าหมายที่เข้าใจได้ชัดเจน ภาครัฐไม่ควรต้องรอหนังสือราชการหลายวันกว่าจะทราบว่าพื้นที่ใดกำลังน้ำท่วม หรือประชาชนกลุ่มใดต้องได้รับการช่วยเหลือก่อน

แต่ความรวดเร็วไม่จำเป็นต้องแลกกับการคุ้มครองสิทธิ

ในทางกลับกัน การคุ้มครองข้อมูลส่วนบุคคลก็ไม่ควรถูกตีความจนทำให้รัฐไม่สามารถนำข้อมูลที่จำเป็นมาใช้ปกป้องชีวิตและช่วยเหลือประชาชนได้

สิ่งที่เราต้องการจึงเป็น การแบ่งปันข้อมูลที่มี Privacy และ Accountability อยู่ในการออกแบบตั้งแต่ต้น

ระเบียบสำนักนายกรัฐมนตรี ว่าด้วยการแบ่งปันข้อมูลดิจิทัล พ.ศ. 2569 จึงไม่ควรถูกมองว่าเป็นเพียงโครงการเชื่อมฐานข้อมูลของรัฐ

หากดำเนินการอย่างเหมาะสม นี่อาจเป็นจุดเริ่มต้นสำคัญของธรรมาภิบาลข้อมูลภาครัฐรูปแบบใหม่ของประเทศไทย

แต่หากเร่งเชื่อมระบบก่อน โดยยังตอบไม่ได้ว่าใช้ข้อมูลเพื่ออะไร อาศัยฐานกฎหมายใด ใครมีสิทธิเข้าถึง และใครรับผิดชอบ การมีเทคโนโลยีที่เชื่อมข้อมูลได้รวดเร็วก็อาจไม่ได้แก้ปัญหา

เพราะท้ายที่สุด หน่วยงานยังต้องตอบคำถามพื้นฐานให้ได้ว่า “ใครมีสิทธิใช้ข้อมูลนี้เพื่ออะไร และเพราะอะไร?”

ซึ่งคำถามนี้ควรมีคำตอบที่ชัดเจน ก่อนข้อมูลชุดแรกถูกส่งผ่านระบบกลาง