สารบัญ7 หัวข้อหลัก
- 1.โครงสร้างกฎหมาย นิยาม และฐานวินิจฉัยสิทธิ
- 2.การเข้าถึง ดักรับ และเปลี่ยนแปลงข้อมูล
- 3.การรบกวนระบบ สแปม เหตุฉกรรจ์ และเครื่องมือ
- 4.ข้อมูลผิดกฎหมาย การส่งต่อ และความรับผิดผู้ให้บริการ
- 5.การแจ้งเตือน นำข้อมูลออก และเยียวยาภาพดัดแปลง
- 6.อำนาจเจ้าหน้าที่และการควบคุมโดยศาล
- 7.การระงับข้อมูล ความลับ พยาน และหน้าที่ผู้ให้บริการ
โครงสร้างกฎหมาย นิยาม และฐานวินิจฉัยสิทธิ
พระราชบัญญัตินี้มีสามชั้นที่มักถูกนํามาปนกัน ได้แก่ ฐานความผิดของผู้กระทํา เช่น เข้าระบบ แก้ข้อมูล หรือส่งข้อมูลเท็จ, ความรับผิดและหน้าที่ของผู้ให้บริการ เช่น notice and takedown กับการเก็บข้อมูลจราจร, และ อํานาจพนักงานเจ้าหน้าที่ เช่น เรียกข้อมูล ทําสําเนา ยึดอุปกรณ์ หรือขอศาลระงับข้อมูล การเห็นคําว่า “ข้อมูลผิดกฎหมาย” จึงยังไม่พอจะเลือกมาตราได้; ลําดับวิเคราะห์ที่ปลอดภัยคือระบุวัตถุของการกระทําก่อนว่าเป็นระบบ ข้อมูลที่เก็บอยู่ ข้อมูลระหว่างส่ง ข้อมูลจราจร หรือภาพบุคคล จากนั้นตรวจสิทธิและมาตรการป้องกัน วิธีการ เจตนา ผลที่น่าจะเกิด และจึงเทียบมาตรา ห้ามเริ่มด้วยผลลัพธ์ที่อยากได้แล้วค่อยหาถ้อยคํามารองรับ; เมื่อเป็นการใช้อํานาจรัฐ โดยต้องรักษาความหมายและหลักฐานอ้างอิงให้ครบถ้วน
ตัวบทหลักคือพระราชบัญญัติว่าด้วยการกระทําความผิดเกี่ยวกับคอมพิวเตอร์ พ.ศ. 2550 ประกาศราชกิจจานุเบกษา 18 มิถุนายน 2550 และมีผลเมื่อพ้นสามสิบวัน ต่อมาแก้ไขสาระสําคัญโดยฉบับที่ 2 พ.ศ. 2560 ประกาศ 24 มกราคม 2560 และมีผลเมื่อพ้นหนึ่งร้อยยี่สิบวัน; การใช้งานจริงต้องอ่านฉบับรวมที่ใส่ข้อความแก้ไขแล้ว ไม่หยิบบทบัญญัติที่เกี่ยวข้อง, 15, 18, 20 หรือ 26 จากสําเนา พ.ศ. 2550 เดิม เพราะองค์ประกอบ ขั้นตอน และถ้อยคําหลายส่วนเปลี่ยนไป สรุปนี้ตรวจจากไฟล์ฉบับรวมของสํานักงานพัฒนาธุรกรรมทางอิเล็กทรอนิกส์และไฟล์ราชกิจจานุเบกษาของกระทรวงดิจิทัลเพื่อเศรษฐกิจและสังคม; กฎหมายลําดับรองที่มีผลโดยตรงในปัจจุบัน ได้แก่ ประกาศข้อมูลจราจร พ.ศ. 2564, ประกาศขั้นตอนแจ้งเตือนและนําข้อมูลออก พ.ศ. 2565, โดยต้องรักษาความหมายและหลักฐานอ้างอิงให้ครบถ้วน
บทบัญญัติที่เกี่ยวข้อง–4 เป็นบททั่วไปและนิยาม บทบัญญัติที่เกี่ยวข้อง–17/1 วางฐานความผิด โทษ เขตอํานาจ และการเปรียบเทียบ บทบัญญัติที่เกี่ยวข้อง–31 วางอํานาจพนักงานเจ้าหน้าที่ การรักษาความลับ การรับฟังพยานหลักฐาน หน้าที่เก็บข้อมูลจราจร สถานะเจ้าหน้าที่ และค่าใช้จ่าย; บทบัญญัติที่เกี่ยวข้อง–13 เน้นการบุกรุก ความลับ ความถูกต้อง และความพร้อมใช้งานของระบบหรือข้อมูล ส่วนบทบัญญัติที่เกี่ยวข้อง–16/2 เน้นเนื้อหาบางประเภท ความรับผิดผู้ให้บริการ และภาพบุคคล ความต่างนี้ช่วยป้องกันการเอาบทบัญญัติที่เกี่ยวข้อง ไปครอบทุกพฤติกรรมออนไลน์; บทอํานาจรัฐไม่ได้ให้สิทธิค้นทุกอย่างเพียงเพราะสงสัยคดีคอมพิวเตอร์ บทบัญญัติที่เกี่ยวข้อง แบ่งระดับความรุกล้ํา บทบัญญัติที่เกี่ยวข้อง บังคับคําสั่งศาลล่วงหน้าสําหรับอํานาจ (4)–(8) และกําหนดบันทึก การรายงาน การคัดลอก โดยต้องรักษาความหมายและหลักฐานอ้างอิงให้ครบถ้วน
“ระบบคอมพิวเตอร์” คืออุปกรณ์หรือชุดอุปกรณ์ที่เชื่อมการทํางานกันและถูกกําหนดคําสั่ง ชุดคําสั่ง หรือสิ่งอื่นใดให้ทํางานประมวลผลอัตโนมัติ ตัวอย่างคือเซิร์ฟเวอร์ ระบบหลังบ้าน เราเตอร์ กลุ่มอุปกรณ์ควบคุมโรงงาน หรือบริการคลาวด์ที่ทํางานเป็นระบบ; “ข้อมูลคอมพิวเตอร์” คือข้อมูล ข้อความ คําสั่ง ชุดคําสั่ง หรือสิ่งอื่นที่อยู่ในระบบและระบบประมวลผลได้ รวมถึงข้อมูลอิเล็กทรอนิกส์ตามกฎหมายธุรกรรมทางอิเล็กทรอนิกส์ แฟ้มเงินเดือน ยอดคงเหลือ โค้ดโปรแกรม ภาพดิจิทัล และค่าตั้งระบบจึงอาจเป็นข้อมูล; การแยกวัตถุมีผลต่อมาตรา: เข้าถึงหน้าระบบที่ป้องกันไว้โดยไม่มีสิทธิอาจครบบทบัญญัติที่เกี่ยวข้อง แม้ยังไม่เปิดแฟ้ม ขณะที่ผู้มีสิทธิใช้ระบบแต่เปิดแฟ้มจํากัดสิทธิของผู้อื่นอาจเป็นบทบัญญัติที่เกี่ยวข้อง โดยต้องรักษาความหมายและหลักฐานอ้างอิงให้ครบถ้วน
ข้อมูลจราจรคือข้อมูลเกี่ยวกับการติดต่อสื่อสารของระบบซึ่งแสดงแหล่งกําเนิด ต้นทาง ปลายทาง เส้นทาง เวลา วันที่ ปริมาณ ระยะเวลา ชนิดบริการ หรือสิ่งอื่นที่เกี่ยวข้องกับการสื่อสารนั้น จุดมุ่งหมายคือเชื่อมเหตุการณ์ ผู้ใช้ และเส้นทางเชิงเทคนิค; ตัวอย่างได้แก่ IP ต้นทางและปลายทาง เวลาเข้าสู่ระบบ หมายเลขพอร์ต บัญชีที่ใช้ ระยะเชื่อมต่อ และข้อมูลที่ภาคผนวกประกาศ พ.ศ. 2564 กําหนดตามประเภทบริการ เนื้อหาแชตหรือไฟล์แนบไม่กลายเป็น “traffic data” เพียงเพราะถูกส่งผ่านเครือข่าย; บทบัญญัติที่เกี่ยวข้อง กําหนดหน้าที่เก็บข้อมูลจราจรและข้อมูลผู้ใช้ที่จําเป็นต่อการระบุตัวบุคคล ไม่ได้สั่งให้ผู้ให้บริการเก็บเนื้อหาทุกข้อความ การเก็บแต่เนื้อหาไว้สามสิบวันจึงไม่แทน log โดยต้องรักษาความหมายและหลักฐานอ้างอิงให้ครบถ้วน
“ผู้ให้บริการ” ครอบคลุมผู้ให้บุคคลอื่นเข้าสู่อินเทอร์เน็ตหรือให้ติดต่อกันผ่านระบบ ไม่ว่าจะในนามตน ในนาม หรือเพื่อประโยชน์บุคคลอื่น และครอบคลุมผู้เก็บรักษาข้อมูลคอมพิวเตอร์เพื่อประโยชน์ของบุคคลอื่นด้วย จึงกว้างกว่า ISP แบบดั้งเดิม; “ผู้ใช้บริการ” คือผู้ใช้บริการของผู้ให้บริการไม่ว่าจะเสียค่าใช้บริการหรือไม่ บริการฟรี เครือข่ายภายในที่เปิดให้ผู้อื่นใช้ แพลตฟอร์มฝากข้อมูล หรือสื่อสังคมออนไลน์จึงต้องวิเคราะห์หน้าที่จากบริการจริง ไม่ใช่ดูว่ามีค่าบริการหรือจดทะเบียนเป็นบริษัทโทรคมนาคมหรือไม่; “พนักงานเจ้าหน้าที่” ต้องเป็นผู้ซึ่งรัฐมนตรีแต่งตั้งให้ปฏิบัติตามพระราชบัญญัติ การเป็นข้าราชการ ตํารวจ ผู้เชี่ยวชาญไอที หรือผู้รับจ้างของรัฐไม่ได้ทําให้มีอํานาจมาตรา โดยต้องรักษาความหมายและหลักฐานอ้างอิงให้ครบถ้วน
- 1ระบุระบบ ข้อมูล บัญชี อุปกรณ์ บุคคล และช่วงเวลาที่เกิดเหตุ
- 2ตรวจสิทธิ อำนาจ ความยินยอม และมาตรการป้องกันในเวลานั้น
- 3แยกการเข้าถึง ดักรับ เปลี่ยนข้อมูล รบกวนระบบ นำเข้า หรือส่งต่อ
- 4ตรวจเจตนา ความรู้ ผลเสีย ผู้เสียหาย และเหตุเพิ่มความร้ายแรง
- 5รักษาหลักฐานและเลือกทั้งฐานความผิดกับกระบวนการใช้อำนาจที่ตรงข้อเท็จจริง
การเข้าถึง ดักรับ และเปลี่ยนแปลงข้อมูล
คําว่า “โดยมิชอบ” ต้องอ่านร่วมสิทธิที่ได้รับ มาตรการป้องกัน วัตถุประสงค์การอนุญาต เวลา และขอบเขตข้อมูล ผู้ดูแลระบบอาจมีสิทธิทางเทคนิคสูง แต่ไม่มีสิทธิทางกฎหมายเปิดข้อมูลส่วนตัวเพื่อประโยชน์ตน; ต้องแยก “เข้าสู่ระบบได้” จาก “เข้าถึงข้อมูลนี้ได้” และแยก “อ่านได้” จาก “แก้ไข ลบ ส่งต่อ หรือดักรับได้” สิทธิแต่ละชั้นอาจต่างกัน การใช้บัญชีผู้อื่นหรือหลบมาตรการป้องกันเป็นข้อเท็จจริงสําคัญ แต่ไม่ใช่เงื่อนไขเดียวของทุกมาตรา; หลักฐานควรมีนโยบายสิทธิ คําสั่งแต่งตั้ง ข้อตกลงการใช้ บัญชีและ role, access-control list, log การยืนยันตัวตน, รายการแฟ้ม, การเปลี่ยนสิทธิ และหนังสือยกเลิกสิทธิเมื่อพ้นงาน ควรหลีกเลี่ยงตัดสินจากคําบอกของหัวหน้าหรือชื่อ job title โดยต้องรักษาความหมายและหลักฐานอ้างอิงให้ครบถ้วน
บทบัญญัติที่เกี่ยวข้อง ใช้เมื่อเข้าถึงระบบคอมพิวเตอร์ของผู้อื่นที่มีมาตรการป้องกันการเข้าถึงโดยเฉพาะ และมาตรการนั้นมิได้มีไว้สําหรับผู้กระทํา โทษจําคุกไม่เกินหกเดือน หรือปรับไม่เกินหนึ่งหมื่นบาท หรือทั้งจําทั้งปรับ; องค์ประกอบสําคัญคือขอบเขต “ระบบ” มาตรการป้องกัน และสิทธิของผู้กระทํา รหัสผ่าน การยืนยันหลายปัจจัย firewall หรือการจํากัดเครือข่ายอาจเป็นมาตรการ ต้องพิสูจน์ว่ามาตรการคุ้มครองระบบส่วนใดและผู้กระทําไม่มีสิทธิผ่านมาตรการนั้น; ความผิดอาจสําเร็จเมื่อเข้าเขตระบบที่ป้องกันได้ แม้ยังไม่เปิดแฟ้ม ไม่ดาวน์โหลด หรือไม่แก้ข้อมูล ตัวอย่างผู้เดารหัสจนเข้าหน้าหลังบ้านสําเร็จควรตรวจบทบัญญัติที่เกี่ยวข้อง ก่อน แล้วค่อยดูว่ามีพฤติกรรมต่อเนื่องเข้าบทบัญญัติที่เกี่ยวข้อง หรือ 9 หรือไม่; โดยต้องรักษาความหมายและหลักฐานอ้างอิงให้ครบถ้วน
บทบัญญัติที่เกี่ยวข้อง ลงโทษผู้ล่วงรู้มาตรการป้องกันการเข้าถึงระบบที่ผู้อื่นจัดทําขึ้นเป็นการเฉพาะ แล้วนํามาตรการนั้นไปเปิดเผยโดยมิชอบในประการที่น่าจะเกิดความเสียหายแก่ผู้อื่น โทษจําคุกไม่เกินหนึ่งปี หรือปรับไม่เกินสองหมื่นบาท หรือทั้งจําทั้งปรับ; ฐานนี้ไม่ต้องรอให้บุคคลภายนอกใช้รหัสเข้าระบบสําเร็จ จุดเน้นคือการล่วงรู้มาตรการเฉพาะ การเปิดเผยโดยมิชอบ และความน่าจะเกิดความเสียหาย ผู้ดูแลโพสต์รหัสฉุกเฉินในกลุ่มสาธารณะจึงต้องตรวจบทบัญญัติที่เกี่ยวข้อง แม้ยังไม่พบ log บุกรุก; ไม่ใช่ความรู้ด้านความปลอดภัยทุกอย่างเป็นมาตรการเฉพาะของผู้อื่น คู่มือสาธารณะหรือคําแนะนําทั่วไปต่างจากรหัส กุญแจเข้ารหัส token หรือวิธี bypass ที่เจ้าของจัดคุ้มครองระบบนั้น โดยต้องรักษาความหมายและหลักฐานอ้างอิงให้ครบถ้วน
บทบัญญัติที่เกี่ยวข้อง ใช้กับการเข้าถึงข้อมูลคอมพิวเตอร์ของผู้อื่นที่มีมาตรการป้องกันการเข้าถึงเป็นการเฉพาะและมาตรการนั้นมิได้มีไว้สําหรับผู้กระทํา โทษจําคุกไม่เกินสองปี หรือปรับไม่เกินสี่หมื่นบาท หรือทั้งจําทั้งปรับ; ความต่างจากบทบัญญัติที่เกี่ยวข้อง อยู่ที่วัตถุ: บทบัญญัติที่เกี่ยวข้อง คุ้มครองเขตระบบ ส่วนบทบัญญัติที่เกี่ยวข้อง คุ้มครองตัวข้อมูล ผู้มีบัญชีระบบกลางอาจไม่มีสิทธิเปิดแฟ้มเงินเดือน เวชระเบียน หรือกุญแจลับ จึงอาจไม่ผิดฐานเข้าระบบแต่ยังต้องตรวจฐานเข้าข้อมูล; หลักฐานควรแสดงสิทธิระดับแฟ้ม ตาราง หรือ object, วิธีผ่านมาตรการ, เวลาอ่าน ดาวน์โหลด หรือ query และขอบเขตงานที่อนุญาต การพบไฟล์ในโฟลเดอร์ที่เปิดผิดพลาดไม่ตอบองค์ประกอบครบ ต้องตรวจความรู้ เจตนา และมาตรการเฉพาะด้วย; โดยต้องรักษาความหมายและหลักฐานอ้างอิงให้ครบถ้วน
บทบัญญัติที่เกี่ยวข้อง ลงโทษการดักรับโดยมิชอบด้วยวิธีการทางอิเล็กทรอนิกส์ซึ่งข้อมูลคอมพิวเตอร์ของผู้อื่นที่อยู่ระหว่างการส่งในระบบ และข้อมูลนั้นมิได้มีไว้เพื่อประโยชน์สาธารณะหรือให้บุคคลทั่วไปใช้ประโยชน์ได้ โทษจําคุกไม่เกินสามปี หรือปรับไม่เกินหกหมื่นบาท หรือทั้งจําทั้งปรับ; จุดชี้ขาดคือสถานะ “ระหว่างส่ง” การใช้ packet capture อ่านแชตส่วนตัวระหว่างสองระบบอาจเข้าองค์ประกอบ แต่การเปิดไฟล์ที่จัดเก็บอยู่แล้วควรเริ่มจากบทบัญญัติที่เกี่ยวข้อง แม้เครื่องมือเดียวกันจะเก็บทั้งข้อมูลสดและข้อมูลย้อนหลัง; ต้องพิสูจน์วิธีทางอิเล็กทรอนิกส์ เจ้าของข้อมูล ช่วงเวลา เส้นทาง ความไม่เป็นสาธารณะ และอํานาจของผู้ดัก ผู้ดูแลเครือข่ายมีหน้าที่วิเคราะห์ performance ไม่ได้หมายความว่าอ่านเนื้อหาส่วนตัวได้ทุกกรณี; โดยต้องรักษาความหมายและหลักฐานอ้างอิงให้ครบถ้วน
บทบัญญัติที่เกี่ยวข้อง ใช้เมื่อกระทําโดยมิชอบให้ข้อมูลคอมพิวเตอร์ของผู้อื่นเสียหาย ถูกทําลาย แก้ไข เปลี่ยนแปลง หรือเพิ่มเติม ไม่ต้องพิสูจน์ว่าระบบทั้งระบบล่ม โทษจําคุกไม่เกินห้าปี หรือปรับไม่เกินหนึ่งแสนบาท หรือทั้งจําทั้งปรับ; คํากริยาครอบคลุมทั้งลบไฟล์ เปลี่ยนยอด เติมข้อมูลปลอม แก้ค่า config หรือเข้ารหัสข้อมูลจนใช้ไม่ได้ ประเด็นคือข้อมูลของผู้อื่น การกระทําโดยมิชอบ และความสัมพันธ์ระหว่างการกระทํากับการเปลี่ยนแปลง ไม่ใช่ขนาดความเสียหายเพียงอย่างเดียว; ผู้รับจ้างที่เคยมีสิทธิแต่สัญญาสิ้นสุดแล้วกลับมาแก้ยอดคงเหลืออาจเข้าองค์ประกอบแม้บริการยังทํางาน ให้เก็บ snapshot ก่อนหลัง transaction log, account mapping, สิทธิ ณ เวลาเกิดเหตุ โดยต้องรักษาความหมายและหลักฐานอ้างอิงให้ครบถ้วน
เนื้อหาสรุปนี้จัดทำขึ้นเพื่อการศึกษาส่วนบุคคล ห้ามคัดลอก ทำซ้ำ หรือนำไปใช้เพื่อวัตถุประสงค์ทางการค้าโดยไม่ได้รับอนุญาต