บริษัทได้รับหนังสือตาม พ.ร.บ.คอมพิวเตอร์ ม.18: กำหนดเวลาและการเก็บหลักฐาน

1) อ่านหนังสือให้ออกว่าเป็นอำนาจข้อใดของมาตรา 18

มาตรา 18 ให้อำนาจพนักงานเจ้าหน้าที่ 8 ข้อ ใช้ได้เมื่อมีเหตุอันควรเชื่อว่ามีความผิดตาม พ.ร.บ.นี้ หรือเมื่อพนักงานสอบสวนร้องขอในคดีอาญาตามกฎหมายอื่นที่เกี่ยวข้องกับระบบหรือข้อมูลคอมพิวเตอร์ และใช้ได้เฉพาะเท่าที่จำเป็นเพื่อเป็นหลักฐานและหาตัวผู้กระทำความผิด

ข้อ (1) ถึง (3) เป็นการใช้หนังสือโดยไม่ต้องขอศาล ได้แก่ (1) สอบถามหรือเรียกบุคคลมาให้ถ้อยคำ ส่งคำชี้แจงหรือเอกสาร (2) เรียกข้อมูลจราจรทางคอมพิวเตอร์จากผู้ให้บริการหรือบุคคลที่เกี่ยวข้อง (3) สั่งให้ผู้ให้บริการส่งมอบข้อมูลผู้ใช้บริการที่ต้องเก็บตามมาตรา 26 หรือที่อยู่ในความครอบครอง หรือสั่งให้เก็บไว้ก่อน

ข้อ (4) ถึง (8) กระทบสิทธิมากกว่า ได้แก่ ทำสำเนาข้อมูลจากระบบ สั่งส่งมอบข้อมูลหรืออุปกรณ์ เข้าถึงระบบ ถอดรหัสลับ และยึดหรืออายัดระบบคอมพิวเตอร์ มาตรา 19 กำหนดให้เจ้าหน้าที่ยื่นคำร้องต่อศาลที่มีเขตอำนาจก่อน โดยระบุเหตุอันควรเชื่อ เหตุที่ต้องใช้อำนาจ ลักษณะความผิด และรายละเอียดอุปกรณ์เท่าที่ระบุได้

• •ตรวจหัวหนังสือว่าอ้างมาตรา 18 วรรคหนึ่งข้อใด และผู้ลงนามเป็นพนักงานเจ้าหน้าที่ที่รัฐมนตรีแต่งตั้งหรือพนักงานสอบสวนที่ร้องขอผ่านพนักงานเจ้าหน้าที่
• •จดวันที่ได้รับหนังสือจริง ไม่ใช่วันที่ลงในหนังสือ เพราะกำหนดเวลาเริ่มนับแต่วันที่ได้รับ
• •ถ้าเจ้าหน้าที่มาทำสำเนาหรือยึดอุปกรณ์ ให้ขอดูคำสั่งศาลและสำเนาบันทึกเหตุอันควรเชื่อ ซึ่งมาตรา 19 วรรคสองกำหนดให้มอบแก่เจ้าของหรือผู้ครอบครองก่อนดำเนินการ

• ETDA — พ.ร.บ.ว่าด้วยการกระทำความผิดเกี่ยวกับคอมพิวเตอร์ พ.ศ. 2550 และฉบับที่ 2 พ.ศ. 2560 (ฉบับรวม)

2) กำหนดเวลาตามกฎหมาย: 7 วัน หรือ 7–15 วัน ไม่ใช่ 24–72 ชั่วโมง

มาตรา 18 วรรคสามกำหนดว่าผู้ได้รับคำร้องขอตามข้อ (1) (2) และ (3) ต้องดำเนินการโดยไม่ชักช้า แต่ไม่เกิน 7 วันนับแต่วันที่ได้รับ หรือภายในระยะเวลาที่พนักงานเจ้าหน้าที่กำหนด ซึ่งต้องไม่น้อยกว่า 7 วันและไม่เกิน 15 วัน หากมีเหตุสมควรต้องใช้เวลามากกว่านั้น ต้องได้รับอนุญาตจากพนักงานเจ้าหน้าที่ และรัฐมนตรีอาจประกาศกำหนดระยะเวลาเฉพาะประเภทผู้ให้บริการได้

ในทางปฏิบัติ หากข้อมูลที่ขอมีปริมาณมาก อยู่ในระบบของผู้รับจ้างภายนอก หรือต้องกู้คืนจากข้อมูลสำรอง ให้มีหนังสือแจ้งเหตุและขออนุญาตขยายเวลาก่อนครบกำหนด พร้อมระบุวันที่คาดว่าจะส่งได้ การเงียบจนเลยกำหนดเสี่ยงต่อโทษตามมาตรา 27

กรอบ 72 ชั่วโมงที่หลายคนจำได้มาจากกฎหมายคุ้มครองข้อมูลส่วนบุคคล ไม่ใช่จาก พ.ร.บ.คอมพิวเตอร์ ดูหัวข้อที่ 6 หากเหตุการณ์เดียวกันเป็นการละเมิดข้อมูลส่วนบุคคลด้วย

3) โทษเมื่อไม่ปฏิบัติตามคำสั่ง และข้อจำกัดของเจ้าหน้าที่

มาตรา 27 กำหนดว่าผู้ไม่ปฏิบัติตามคำสั่งของศาลหรือพนักงานเจ้าหน้าที่ที่สั่งตามมาตรา 18 หรือมาตรา 20 หรือคำสั่งศาลตามมาตรา 21 ต้องระวางโทษปรับไม่เกิน 200,000 บาท และปรับเป็นรายวันอีกไม่เกินวันละ 5,000 บาทจนกว่าจะปฏิบัติให้ถูกต้อง ความผิดตามมาตรา 27 อยู่ในกลุ่มที่คณะกรรมการเปรียบเทียบที่รัฐมนตรีแต่งตั้งมีอำนาจเปรียบเทียบได้

กฎหมายจำกัดอำนาจเจ้าหน้าที่ไว้ด้วย การทำสำเนาข้อมูลตามข้อ (4) ต้องไม่เป็นอุปสรรคต่อการดำเนินกิจการของเจ้าของข้อมูลเกินความจำเป็น การยึดหรืออายัดตามข้อ (8) สั่งได้ไม่เกิน 30 วัน หากต้องการนานกว่านั้นต้องขอศาล ซึ่งขยายได้รวมกันอีกไม่เกิน 60 วัน และเมื่อหมดความจำเป็นต้องคืนหรือถอนการอายัดโดยพลัน หัวหน้าผู้ดำเนินการยังต้องส่งบันทึกรายละเอียดให้ศาลภายใน 48 ชั่วโมงนับแต่ลงมือ

ข้อมูลที่เจ้าหน้าที่ได้ไปตามมาตรา 18 ห้ามเปิดเผยแก่บุคคลอื่น เว้นแต่เพื่อดำเนินคดีตามที่กฎหมายกำหนด ผู้ฝ่าฝืนมีโทษตามมาตรา 22 ถึง 24 บริษัทจึงขอให้ระบุในบันทึกส่งมอบได้ว่าข้อมูลใดเป็นความลับทางการค้าหรือข้อมูลส่วนบุคคลของลูกค้า

4) บริษัทของท่านเป็น "ผู้ให้บริการ" ตามมาตรา 26 หรือไม่

มาตรา 3 นิยามผู้ให้บริการไว้สองกลุ่ม คือ (1) ผู้ให้บริการแก่บุคคลอื่นในการเข้าสู่อินเทอร์เน็ตหรือให้ติดต่อถึงกันผ่านระบบคอมพิวเตอร์ ไม่ว่าในนามตนเองหรือเพื่อประโยชน์ของผู้อื่น และ (2) ผู้ให้บริการเก็บรักษาข้อมูลคอมพิวเตอร์เพื่อประโยชน์ของบุคคลอื่น กิจการที่มี Wi-Fi ให้ลูกค้า แพลตฟอร์มที่มีบัญชีผู้ใช้ เว็บบอร์ด หรือบริการฝากไฟล์ จึงควรตรวจว่าตนเข้าข่ายประเภทใด

มาตรา 26 กำหนดให้ผู้ให้บริการเก็บข้อมูลจราจรทางคอมพิวเตอร์ไม่น้อยกว่า 90 วันนับแต่ข้อมูลเข้าสู่ระบบ และในกรณีจำเป็นเจ้าหน้าที่สั่งให้เก็บเกิน 90 วันได้แต่ไม่เกิน 2 ปีเป็นรายกรณี ทั้งต้องเก็บข้อมูลผู้ใช้บริการเท่าที่จำเป็นเพื่อระบุตัวผู้ใช้ตั้งแต่เริ่มใช้บริการ และเก็บไว้ไม่น้อยกว่า 90 วันนับแต่การใช้บริการสิ้นสุด ผู้ให้บริการที่ไม่ปฏิบัติมีโทษปรับไม่เกิน 500,000 บาท

รายละเอียดว่าผู้ให้บริการแต่ละประเภทต้องเก็บข้อมูลรายการใด อยู่ในประกาศกระทรวงดิจิทัลเพื่อเศรษฐกิจและสังคม เรื่อง หลักเกณฑ์การเก็บรักษาข้อมูลจราจรทางคอมพิวเตอร์ของผู้ให้บริการ พ.ศ. 2564 ซึ่งประกาศในราชกิจจานุเบกษาเมื่อ 13 สิงหาคม 2564 และยกเลิกประกาศฉบับปี 2550 บริษัทควรเทียบระบบ log ของตนกับภาคผนวกของประกาศนี้ ก่อนจะมีหนังสือเรียกข้อมูลเข้ามา

• ราชกิจจานุเบกษา — ประกาศกระทรวงดิจิทัลฯ เรื่อง หลักเกณฑ์การเก็บรักษาข้อมูลจราจรทางคอมพิวเตอร์ของผู้ให้บริการ พ.ศ. 2564

5) รักษาพยานหลักฐานดิจิทัลให้มีน้ำหนัก

กฎหมายไม่ได้กำหนดสูตรตายตัวว่าบริษัทต้องทำ forensic image ภายในกี่ชั่วโมง แต่ศาลชั่งน้ำหนักข้อมูลอิเล็กทรอนิกส์จากความน่าเชื่อถือของวิธีสร้าง เก็บรักษา และส่งข้อมูล ความครบถ้วนไม่เปลี่ยนแปลง และวิธีระบุตัวผู้ส่งข้อมูล ตามหลักใน พ.ร.บ.ว่าด้วยธุรกรรมทางอิเล็กทรอนิกส์ พ.ศ. 2544 มาตรา 11 บันทึกที่แสดงว่าใครเก็บ เก็บเมื่อใด และไม่มีการแก้ไข จึงสำคัญเท่ากับตัวข้อมูล

มาตรา 25 ของ พ.ร.บ.คอมพิวเตอร์ให้รับฟังข้อมูลที่เจ้าหน้าที่ได้มาเป็นพยานหลักฐานได้ แต่ต้องไม่ได้มาจากการจูงใจ มีคำมั่นสัญญา ขู่เข็ญ หลอกลวง หรือโดยมิชอบประการอื่น บริษัทจึงไม่ควรส่งข้อมูลนอกช่องทางหรือเกินคำขอ เพราะอาจทำให้เกิดข้อโต้แย้งภายหลังทั้งเรื่องการรับฟังและการคุ้มครองข้อมูลส่วนบุคคล

• •ออกคำสั่งระงับการลบข้อมูล (legal hold) เฉพาะระบบและช่วงเวลาที่เกี่ยวข้อง และหยุดงานลบ log อัตโนมัติที่จะลบข้อมูลช่วงนั้น
• •ทำสำเนาข้อมูลด้วยวิธีที่บันทึกค่า hash ไว้ก่อนและหลัง เก็บต้นฉบับแยกจากสำเนาที่ใช้ตรวจ
• •ทำบันทึกการส่งต่อหลักฐาน (chain of custody) ระบุผู้ส่ง ผู้รับ วันเวลา และสถานที่เก็บทุกครั้ง
• •เก็บสำเนาหนังสือของเจ้าหน้าที่ หนังสือตอบ และบัญชีรายการข้อมูลที่ส่งมอบ ลงนามรับทั้งสองฝ่าย

6) เมื่อเหตุการณ์เป็นการละเมิดข้อมูลส่วนบุคคลด้วย

ถ้าเหตุที่ถูกสอบสวนคือข้อมูลลูกค้าหรือพนักงานรั่วไหล บริษัทในฐานะผู้ควบคุมข้อมูลส่วนบุคคลมีหน้าที่แยกต่างหากตาม พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 มาตรา 37 (4) คือแจ้งเหตุละเมิดต่อสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลโดยไม่ชักช้าภายใน 72 ชั่วโมงนับแต่ทราบเหตุเท่าที่จะทำได้ เว้นแต่ไม่มีความเสี่ยงที่จะกระทบสิทธิและเสรีภาพของบุคคล และหากมีความเสี่ยงสูงต้องแจ้งเจ้าของข้อมูลพร้อมแนวทางเยียวยาด้วย

การตอบหนังสือเจ้าหน้าที่ตาม พ.ร.บ.คอมพิวเตอร์ ไม่ได้แทนการแจ้ง สคส. และการแจ้ง สคส. ก็ไม่ได้แทนการตอบหนังสือ ทั้งสองเส้นทางมีกำหนดเวลาและผู้รับต่างกัน ควรมีผู้รับผิดชอบแยกกันแต่ใช้ข้อเท็จจริงชุดเดียวกัน

• สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (สคส.)

7) ความรับผิดของบริษัท ผู้ให้บริการ และกรรมการ

พ.ร.บ.คอมพิวเตอร์ไม่มีบทสันนิษฐานทั่วไปว่ากรรมการต้องรับผิดร่วมกับบริษัท ความรับผิดอาญาของแต่ละคนจึงพิจารณาจากการกระทำและเจตนาของบุคคลนั้นตามหลักประมวลกฎหมายอาญา การที่บริษัทได้รับหนังสือเรียกข้อมูลไม่ได้หมายความว่าบริษัทหรือกรรมการเป็นผู้ต้องหา

ประเด็นที่ผู้ให้บริการต้องระวังคือมาตรา 15 ผู้ให้บริการที่ให้ความร่วมมือ ยินยอม หรือรู้เห็นเป็นใจให้มีความผิดตามมาตรา 14 ในระบบที่อยู่ในความควบคุมของตน ต้องระวางโทษเช่นเดียวกับผู้กระทำ แต่หากพิสูจน์ได้ว่าปฏิบัติตามประกาศรัฐมนตรีเรื่องขั้นตอนการแจ้งเตือน การระงับการแพร่หลาย และการนำข้อมูลออกจากระบบแล้ว ไม่ต้องรับโทษ แพลตฟอร์มที่เปิดให้ผู้ใช้โพสต์จึงควรมีขั้นตอนรับแจ้งและนำออกที่บันทึกเวลาได้

ตัวอย่าง: ร้านค้าออนไลน์ได้รับหนังสือเรียกข้อมูลบัญชีลูกค้า

บริษัทขายสินค้าออนไลน์ได้รับหนังสือเมื่อวันจันทร์ที่ 2 พฤศจิกายน ขอข้อมูลการลงทะเบียนและ log การเข้าใช้ของบัญชีผู้ใช้รายหนึ่งระหว่าง 1–31 ตุลาคม อ้างมาตรา 18 (2) และ (3) และไม่ได้กำหนดระยะเวลาไว้

กำหนดส่งคือไม่เกิน 7 วันนับแต่วันที่ได้รับ ฝ่ายกฎหมายบันทึกวันที่ได้รับ สั่งระงับการลบ log ของบัญชีนั้นตั้งแต่เดือนกันยายนถึงปัจจุบัน และตรวจว่าระบบเก็บ log ย้อนหลังครบ 90 วันตามมาตรา 26 หรือไม่ ผู้ให้บริการระบบคลาวด์ต้องส่งข้อมูลบางส่วนให้ บริษัทจึงทำหนังสือขอขยายเวลาก่อนครบกำหนด ระบุเหตุและวันที่จะส่ง

เมื่อส่งข้อมูล บริษัทส่งเฉพาะบัญชีและช่วงเวลาที่ขอ แนบค่า hash ของไฟล์ บัญชีรายการ และบันทึกการส่งมอบที่ลงนามทั้งสองฝ่าย ไม่ส่งข้อมูลลูกค้ารายอื่นที่อยู่ในไฟล์เดียวกัน ถ้าภายหลังเจ้าหน้าที่ต้องการเข้าตรวจเซิร์ฟเวอร์เอง จะต้องเป็นอำนาจตามข้อ (4) หรือ (6) ที่ต้องมีคำสั่งศาล

ขอบเขตของบทความ

บทความนี้อธิบายตัวบทเพื่อเตรียมการเบื้องต้น ไม่ใช่ความเห็นทางกฎหมายสำหรับคดีใดคดีหนึ่ง หากบริษัทถูกแจ้งข้อกล่าวหาหรือเจ้าหน้าที่ขอเข้าตรวจระบบ ควรให้ทนายความตรวจหนังสือและคำสั่งศาลก่อนดำเนินการ

• สำนักงานคณะกรรมการกฤษฎีกา — ค้นหาตัวบทกฎหมาย