สรุปสาระสำคัญพระราชบัญญัติว่าด้วยการกระทำความผิดเกี่ยวกับคอมพิวเตอร์ พ.ศ. 2550 และประกาศกระทรวงเทคโนโลยีสารสนเทศและการสื่อสารเรื่อง หลักเกณฑ์การเก็บรักษาข้อมูลจราจรทางคอมพิวเตอร์ของผู้ให้บริการ พ.ศ. 2550ในส่วนที่เกี่ยวข้องกับกรมป้องกันและบรรเทาสาธารณภัย
1. หลักการและเหตุผล ด้วยในปัจจุบันการติดต่อสื่อสารผ่านระบบคอมพิวเตอร์หรือระบบอิเล็กทรอนิกส์เข้ามามีบทบาทและมีความสำคัญต่อชีวิตประจำวันมากขึ้น แต่ในขณะเดียวกันการกระทำความผิดเกี่ยวกับคอมพิวเตอร์มีแนวโน้มขยายวงกว้างและทวีความรุนแรงมากขึ้น ข้อมูลจราจรทางคอมพิวเตอร์นับเป็นพยานหลักฐานที่สำคัญในการดำเนินคดีอันเป็นประโยชน์ต่อการสืบสวน สอบสวน เพื่อนำตัวผู้กระทำความผิดมาลงโทษ ดังนั้นจึงกำหนดให้ผู้ให้บริการมีหน้าที่เก็บรักษาข้อมูลจราจรทางคอมพิวเตอร์
2. คำนิยามศัพท์ที่สำคัญ (มาตรา 3 แห่งพระราชบัญญัติว่าด้วยการกระทำความผิดเกี่ยวกับคอมพิวเตอร์ พ.ศ. 2550 และประกาศกระทรวงเทคโนโลยีสารสนเทศและการสื่อสาร เรื่อง หลักเกณฑ์การเก็บรักษาข้อมูลจราจรทางคอมพิวเตอร์ของผู้ให้บริการ พ.ศ. 2550)
“ระบบคอมพิวเตอร์”
หมายความว่า
อุปกรณ์หรือชุดอุปกรณ์ของคอมพิวเตอร์ที่เชื่อมการทำงานเข้าด้วยกัน
โดยได้มีการกำหนดคำสั่ง ชุดคำสั่ง หรือสิ่งอื่นใด
และแนวทางปฏิบัติงานให้อุปกรณ์หรือชุดอุปกรณ์ทำหน้าที่ประมวลผลข้อมูลโดยอัตโนมัติ
“ข้อมูลคอมพิวเตอร์”
หมายความว่า ข้อมูล ข้อความ คำสั่ง ชุดคำสั่ง
หรือสิ่งอื่นใดบรรดาที่อยู่ในระบบคอมพิวเตอร์ในสภาพที่ระบบคอมพิวเตอร์อาจประมวลผลได้
และให้หมายความรวมถึงข้อมูลอิเล็กทรอนิกส์ตามกฎหมายว่าด้วยธุรกรรมทางอิเล็กทรอนิกส์ด้วย
“ข้อมูลจราจรทางคอมพิวเตอร์”
หมายความว่า ข้อมูลเกี่ยวกับการติดต่อสื่อสารของระบบคอมพิวเตอร์
ซึ่งแสดงถึงแหล่งกำเนิด ต้นทาง ปลายทาง เส้นทาง เวลา วันที่ ปริมาณ
ระยะเวลาชนิดของบริการ หรืออื่นๆ
ที่เกี่ยวข้องกับการติดต่อสื่อสารของระบบคอมพิวเตอร์นั้น
“ผู้ให้บริการ” หมายความว่า
(1)
ผู้ให้บริการแก่บุคคลอื่นในการเข้าสู่อินเทอร์เน็ต
หรือให้สามารถติดต่อถึงกันโดยประการอื่น โดยผ่านทางระบบคอมพิวเตอร์ ทั้งนี้
ไม่ว่าจะเป็นการให้บริการในนามของตนเอง หรือในนามหรือเพื่อประโยชน์ของบุคคลอื่น
(2)
ผู้ให้บริการเก็บรักษาข้อมูลคอมพิวเตอร์เพื่อประโยชน์ของบุคคลอื่น
“ผู้ใช้บริการ”
หมายความว่า ผู้ใช้บริการของผู้ให้บริการไม่ว่าต้องเสียค่าใช้บริการหรือไม่ก็ตาม
“พนักงานเจ้าหน้าที่”
หมายความว่า
ผู้ซึ่งรัฐมนตรีแต่งตั้งให้ปฏิบัติการตามพระราชบัญญัตินี้
3. หน้าที่ของกรมป้องกันและบรรเทาสาธารณภัยในฐานะผู้ให้บริการ (มาตรา 14-15 และมาตรา 26 แห่งพระราชบัญญัติว่าด้วยการกระทำความผิดเกี่ยวกับคอมพิวเตอร์ พ.ศ. 2550 และประกาศกระทรวงเทคโนโลยีสารสนเทศและการสื่อสาร เรื่อง หลักเกณฑ์การเก็บรักษาข้อมูลจราจรทางคอมพิวเตอร์ของ ผู้ให้บริการ พ.ศ. 2550 ข้อ 5 - 10 )
3.1 ดูแลระบบคอมพิวเตอร์ที่อยู่ในความควบคุมของตนไม่จงใจสนับสนุนหรือยินยอมให้มีการกระทำความผิด ต่อไปนี้
3.1.1
นำเข้าสู่ระบบคอมพิวเตอร์ซึ่งข้อมูลคอมพิวเตอร์ปลอมไม่ว่าทั้งหมดหรือบางส่วน
หรือข้อมูลคอมพิวเตอร์อันเป็นเท็จ
โดยประการที่น่าจะเกิดความเสียหายแก่ผู้อื่นหรือประชาชน 3.1.2 นำเข้าสู่ระบบคอมพิวเตอร์ซึ่งข้อมูลคอมพิวเตอร์อันเป็นเท็จ
โดยประการที่น่าจะเกิดความเสียหายต่อความมั่นคงของประเทศหรือก่อให้เกิดความตื่นตระหนกแก่ประชาชน
3.1.3
นำเข้าสู่ระบบคอมพิวเตอร์ซึ่งข้อมูลคอมพิวเตอร์ใดๆ
อันเป็นความผิดเกี่ยวกับความมั่นคงแห่งราชอาณาจักรหรือความผิดเกี่ยวกับการก่อการร้ายตามประมวลกฎหมายอาญา
3.1.4
นำเข้าสู่ระบบคอมพิวเตอร์ซึ่งข้อมูลคอมพิวเตอร์ใดๆ
ที่มีลักษณะอันลามกและข้อมูลคอมพิวเตอร์นั้นประชาชนทั่วไปอาจเข้าถึงได้
3.1.5
เผยแพร่หรือส่งต่อซึ่งข้อมูลคอมพิวเตอร์โดยรู้อยู่แล้วว่าเป็นข้อมูลคอมพิวเตอร์ตามข้อ
3.1.1-3.1.4
3.2 เก็บรักษาข้อมูลจราจรทางคอมพิวเตอร์ การจัดเก็บรักษาข้อมูลจราจรทางคอมพิวเตอร์เฉพาะในส่วนที่เป็นข้อมูลจราจรที่เกิดจากส่วนที่เกี่ยวข้องกับบริการของกรม
ปภ. ดังนี้
3.2.1 ข้อมูลอินเตอร์เน็ตที่เกิดจากการเข้าถึงระบบเครือข่าย
(1) ข้อมูล
Log
ที่มีการบันทึกไว้เมื่อมีการเข้าถึงระบบเครือข่ายซึ่งระบุถึงตัวตนและสิทธิในการเข้าถึงเครือข่าย
(Access Logs Specific to Authentication and Authorization Servers เช่น TACACS (Terminal Access Controller Access-Control System)
or RADIUS (Remote Authentication Dial-In User Service) or DIAMETER (Used to
Control Access to IP Routers or Network Access Servers))
(2) ข้อมูลเกี่ยวกับวัน
และเวลาการติดต่อของเครื่องที่เข้ามาใช้บริการและเครื่องให้บริการ (Date
and Time of Connection of Client to Server)
(3) เกี่ยวกับชื่อที่ระบุตัวตนผู้ใช้
(User
ID)
(4) ข้อมูลหมายเลขชุดอินเทอร์เน็ตที่ถูกกำหนดให้โดยระบบผู้ให้บริการ
(Assigned IP Address)
(5) ข้อมูลที่บอกถึงหมายเลขสายที่เรียกเข้ามา
(Calling Line Identification)
3.2.2 ข้อมูลอินเทอร์เน็ตบนเครื่องผู้ให้บริการจดหมายอิเล็กทรอนิกส์ (e-mail servers)
(1) ข้อมูล
Log ที่บันทึกไว้เมื่อเข้าถึงเครื่องให้บริการไปรษณีย์อิเล็กทรอนิกส์
(Simple Mail Transfer Protocol : SMTP Log) ซึ่งได้แก่
-
ข้อมูลหมายเลขของข้อความที่ระบุในจดหมายอิเล็กทรอนิกส์ (Message ID)
- ข้อมูลชื่อที่อยู่อิเล็กทรอนิกส์ของผู้ส่ง (Sender E-mail
Address)
- ข้อมูลชื่อที่อยู่อิเล็กทรอนิกส์ของผู้รับ (Receiver E-mail
Address)
- ข้อมูลที่บอกถึงสถานะในการตรวจสอบ (Status Indicator) ซึ่งได้แก่ จดหมายอิเล็กทรอนิกส์ที่ส่งสำเร็จ
จดหมายอิเล็กทรอนิกส์ที่ส่งคืน จดหมายอิเล็กทรอนิกส์ที่มีการส่งล่าช้า เป็นต้น
(2) ข้อมูลหมายเลขชุดอินเตอร์เน็ตของเครื่องคอมพิวเตอร์ผู้ใช้บริการที่เชื่อมต่ออยู่ขณะเข้ามาใช้บริการ
(IP Address of Client Connected to Server)
(3) ข้อมูลวัน
และเวลาการติดต่อของเครื่องที่เข้ามาใช้บริการและเครื่องให้บริการ (Date and time of
connection of Client Connected to server)
(4) ข้อมูลหมายเลขชุดอินเทอร์เน็ตของเครื่องบริการจดหมายอิเล็กทรอนิกส์
ที่ถูกเชื่อมต่ออยู่ในขณะนั้น (IP
Address of Sending Computer)
(5) ชื่อผู้ใช้งาน
(User ID) (ถ้ามี)
(6) ข้อมูลที่บันทึกการเข้าถึงข้อมูลจดหมายอิเล็กทรอนิกส์
ผ่านโปรแกรมจัดการจากเครื่องของสมาชิก
หรือการเข้าถึงเพื่อเรียกข้อมูลจดหมายอิเล็กทรอนิกส์ไปยังเครื่องสมาชิก
โดยยังคงจัดเก็บข้อมูลที่บันทึกการเข้าถึงข้อมูลจดหมายอิเล็กทรอนิกส์ที่ดึงไปนั้น
ไว้ที่เครื่องให้บริการ (POP3 (Post Office Protocol version 3) Log or
IMAP4 (Internet Message Access Protocol Version 4) Log)
3.2.3 ข้อมูลอินเทอร์เน็ตจากการโอนแฟ้มข้อมูลบนเครื่องให้บริการโอนแฟ้มข้อมูล
(1) ข้อมูล
Log ที่บันทึกเมื่อมีการเข้าถึงเครื่องให้บริการโอนแฟ้มข้อมูล
(2)
ข้อมูลวัน และเวลาการติดต่อของเครื่องที่เข้ามาใช้บริการและเครื่องให้บริการ (Date and Time of
Connection of Client to Server)
(3)
ข้อมูลหมายเลขชุดอินเทอร์เน็ตของเครื่องคอมพิวเตอร์ผู้เข้าใช้ที่เชื่อมต่ออยู่ในขณะนั้น
(IP Source Address)
(4)
ข้อมูลชื่อผู้ใช้งาน (User ID) (ถ้ามี)
(5)
ข้อมูลตำแหน่ง (Path) และชื่อไฟล์ที่อยู่บนเครื่องให้บริการโอนถ่ายข้อมูลที่มีการส่งขึ้นมาบันทึก
หรือให้ดึงข้อมูลออกไป (Path and Filename of Data Object Uploaded or
Downloaded)
3.2.4 ข้อมูลอินเทอร์เน็ตบนเครื่องผู้ให้บริการเว็บ
(1) ข้อมูล
Log ที่บันทึกเมื่อมีการเข้าถึงเครื่องผู้ให้บริการเว็บ
(2)
ข้อมูลวัน และเวลาการติดต่อของเครื่องที่เข้ามาใช้บริการและเครื่องให้บริการ
(3) ข้อมูลหมายเลขชุดอินเทอร์เน็ตของเครื่องคอมพิวเตอร์ผู้เข้าใช้ที่เชื่อมต่ออยู่ในขณะนั้น
(4)
ข้อมูลคำสั่งการใช้งานระบบ
(5) ข้อมูลที่บ่งบอกถึงเส้นทางในการเรียกดูข้อมูล (URI: Uniform
Resource Identifier) เช่น ตำแหน่งของเว็บเพ็จ
3.2.5 ชนิดของข้อมูลบนเครือข่ายคอมพิวเตอร์ขนาดใหญ่ (Usenet)
(1) ข้อมูล
Log ที่บันทึกเมื่อมีการเข้าถึงเครือข่าย (NNTP
(Network News Transfer Protocol)Log)
(2)
ข้อมูลวัน และเวลาการติดต่อของเครื่องที่เข้ามาใช้บริการและเครื่องให้บริการ (Date and Time of
Connection of Client to Server)
(3)
ข้อมูลหมายเลข
Port
(4)
ข้อมูลชื่อเครื่องให้บริการ (Host Name)
(5)
ข้อมูลหมายเลขลำดับข้อความที่ได้ถูกส่งไปแล้ว (Post Message
ID)
3.2.6 ข้อมูลที่เกิดจากการโต้ตอบกันบนเครือข่ายอินเทอร์เน็ต
เช่น Internet
Relay Chat (IRC) หรือ Instance Messaging (IM) เป็นต้น
- ข้อมูล
Log เช่น ข้อมูลเกี่ยวกับวัน เวลาการติดต่อของผู้ใช้บริการ (Date and
Time of Connection of Client to Server) และ ข้อมูลชื่อเครื่องบนเครือข่าย
และหมายเลขเครื่องของผู้ให้บริการที่เครื่องคอมพิวเตอร์เชื่อมต่ออยู่ในขณะนั้น (Hostname
and IP Address) เป็นต้น
3.2.7 ข้อมูลอินเทอร์เน็ตบนเครื่องผู้ให้บริการเก็บรักษาข้อมูลคอมพิวเตอร์
(Content
Service Provider)
(1) ข้อมูลรหัสประจำตัวผู้ใช้หรือข้อมูลที่สามารถระบุตัวผู้ใช้บริการได้
หรือเลขประจำตัว (User ID) ของผู้ขายสินค้าหรือบริการ
หรือเลขประจำตัวผู้ใช้บริการ (User ID)
และที่อยู่จดหมายอิเล็กทรอนิกส์ของผู้ใช้บริการ
(2)
บันทึกข้อมูลการเข้าใช้บริการ
(3)
กรณีผู้ให้บริการเว็บบอร์ด (Web board) หรือผู้ให้บริการบล็อก
(Blog) ให้เก็บข้อมูลของผู้ประกาศ (Post) ข้อมูล
3.3
วิธีการเก็บข้อมูลจราจรทางคอมพิวเตอร์ ผู้ให้บริการต้องใช้วิธีการที่มั่นคงปลอดภัย
ดังต่อไปนี้
3.3.1
เก็บในสื่อ (Media)
ที่สามารถรักษาความครบถ้วนถูกต้องแท้จริง (Integrity) และระบุตัวบุคคล (Identification)
ที่เข้าถึงสื่อดังกล่าวได้
3.3.2
มีระบบการเก็บรักษาความลับของข้อมูลที่จัดเก็บ
และกำหนดชั้นความลับในการเข้าถึงข้อมูลดังกล่าว
เพื่อรักษาความน่าเชื่อถือของข้อมูล
และไม่ให้ผู้ดูและระบบสามารถแก้ไขข้อมูลที่เก็บรักษาไว้ เช่น
การเก็บไว้ใน Centralized
Log Server หรือการทำ Data Archiving หรือทำ Data
Hashing เป็นต้น เว้นแต่ ผู้มีหน้าที่เกี่ยวข้องที่เจ้าของหรือผู้บริการองค์กร
กำหนดให้สามารถเข้าถึงข้อมูลดังกล่าวได้ เช่น ผู้ตรวจสอบระบบสารสนเทศขององค์กร (IT Auditor) หรือบุคคลที่องค์กรมอบหมาย เป็นต้น
รวมทั้งพนักงานเจ้าหน้าที่ตามพระราชบัญญัตินี้
3.3.3
จัดให้มีผู้มีหน้าที่ประสานงานและให้ข้อมูลกับพนักงานเจ้าหน้าที่ซึ่งได้รับการแต่งตั้งตามประกาศกระทรวงเทคโนโลยีสารสนเทศและการสื่อสาร
เรื่อง แต่งตั้งพนักงานเจ้าหน้าที่
ตามพระราชบัญญัติว่าด้วยการกระทำความผิดเกี่ยวกับคอมพิวเตอร์ พ.ศ.2550 ลงวันที่ 24
สิงหาคม 2550 เพื่อให้การส่งมอบข้อมูลเป็นไปด้วยความรวดเร็ว
3.3.4
ในการเก็บข้อมูลจราจรนั้น ต้องสามารถระบุรายละเอียดผู้ใช้บริการเป็นรายบุคคลได้ (Identification
and Authentication) เช่น ลักษณะการใช้บริการ Proxy Server,
Network Address Translation (NAT) หรือ Proxy Cache หรือ Cache Engine หรือบริการ Free Internet หรือบริการ 1222 หรือ WI-Fi Hotspot ต้องสามารถระบุตัวตนของผู้ใช้บริการเป็นรายบุคคลได้จริง
3.3.5
การให้บริการในนามของตนเอง แต่เป็นบริการที่ใช้ระบบของผู้ให้บริการซึ่งเป็นบุคคลที่สาม
ทำให้ไม่สามารถรู้ได้ว่าผู้ใช้บริการที่เข้ามาในระบบนั้นเป็นใคร ผู้ให้บริการจะต้องดำเนินการให้มีวิธีการระบุและยืนยันตัวบุคคล (Identification
and Authentication) ของผู้ใช้บริการผ่านบริการของตนเองด้วย
3.3.6
ผู้ให้บริการต้องตั้งนาฬิกาของอุปกรณ์บริการทุกชนิดให้ตรงกับเวลาอ้างอิงสากล (Stratum 0) โดยผิดพลาดไม่เกิน 10 มิลลิวินาที
เพื่อให้ข้อมูลจราจรมีความถูกต้องและนำมาใช้ประโยชน์ได้จริง
3.4 ระยะเวลาการเก็บข้อมูลจราจรทางคอมพิวเตอร์
ผู้ให้บริการจะต้องเก็บข้อมูลจราจรทางคอมพิวเตอร์ไว้ไม่น้อยกว่าเก้าสิบวันนับแต่วันที่ข้อมูลนั้นเข้าสู่ระบบคอมพิวเตอร์
แต่ในกรณีจำเป็นพนักงานเจ้าหน้าที่จะสั่งให้ผู้ให้บริการผู้ใดเก็บรักษาข้อมูลจราจรทางคอมพิวเตอร์ไว้เกินเก้าสิบวันแต่ไม่เกินหนึ่งปีเป็นกรณีพิเศษเฉพาะรายและเฉพาะคราวก็ได้
และจะต้องเก็บรักษาข้อมูลของผู้ใช้บริการเท่าที่จำเป็นเพื่อให้สามารถระบุตัวผู้ใช้บริการนับตั้งแต่เริ่มใช้บริการและต้องเก็บรักษาไว้เป็นเวลาไม่น้อยกว่าเก้าสิบวันนับตั้งแต่การใช้บริการสิ้นสุดลง โดยแยกเป็นประเภทของผู้ให้บริการ
ดังนี้
3.4.1 ผู้ให้บริการการเข้าถึงระบบเครือข่ายคอมพิวเตอร์
(Access
Service Provider)
จะต้องเริ่มเก็บข้อมูลจราจรทางคอมพิวเตอร์ตั้งแต่วันที่
19 กุมภาพันธ์ 2551 เป็นต้นไป
(เมื่อพ้นหนึ่งร้อยแปดสิบวันนับจากวันประกาศในราชกิจจานุเบกษา)
3.4.2
ผู้ให้บริการผ่านแอพพลิเคชั่นต่างๆ (Content and Application Service Provider) เช่น ผู้ให้บริการเว็บบอร์ด (Web board) หรือผู้ให้บริการบล็อค
(Blog) จะต้องเริ่มเก็บข้อมูลจราจรทางคอมพิวเตอร์ตั้งแต่วันที่ 24 สิงหาคม 2551 เป็นต้นไป
(เมื่อพ้นหนึ่งปีวันนับจากวันประกาศใน
ราชกิจจานุเบกษา)
3.5 บทกำหนดโทษ ผู้ให้บริการตามพระราชบัญญัตินี้มีโทษทางอาญา หากได้ดำเนินการ ดังนี้
3.5.1
ไม่เก็บรักษาข้อมูลจราจรคอมพิวเตอร์ มีโทษปรับไม่เกินห้าแสนบาท (มาตรา 26 )
3.5.2
ไม่ปฏิบัติตามคำสั่งของศาลหรือพนักงานเจ้าหน้าที่ มีโทษปรับไม่เกินสองแสนบาท
และปรับเป็นรายวันอีกวันละห้าพันบาทจนกว่าจะปฏิบัติให้ถูกต้อง (มาตรา 27)
3.5.3
ไม่ควบคุมดูแลระบบคอมพิวเตอร์ที่อยู่ในความควบคุมของตนจงใจสนับสนุนหรือยินยอมให้มีการกระทำความผิดตามพระราชบัญญัตินี้
มีโทษจำคุกไม่เกินห้าปี และปรับไม่เกินหนึ่งแสนบาท (มาตรา 14, 15 และมาตรา 26)
