ข้อกำหนด พ.ร.บ. คอมพิวเตอร์ ฉบับล่าสุด: ผู้ประกอบการหอพักและโรงแรมต้องเก็บ Log อย่างไรไม่ให้ผิดกฎหมาย

ในยุคที่อินเทอร์เน็ตกลายเป็นสาธารณูปโภคพื้นฐานสำหรับธุรกิจบริการ ไม่ว่าจะเป็นโรงแรม หอพัก เซอร์วิสอพาร์ตเมนต์ หรือร้านกาแฟ การให้บริการ WiFi แก่ลูกค้าหรือผู้เช่าถือเป็นเรื่องปกติ แต่สิ่งหนึ่งที่ผู้ประกอบการหลายท่านอาจละเลยหรือยังเข้าใจไม่ถูกต้องคือ "การจัดเก็บข้อมูลจราจรทางคอมพิวเตอร์ (Traffic Data Log)" ตามพระราชบัญญัติว่าด้วยการกระทำความผิดเกี่ยวกับคอมพิวเตอร์ (พ.ร.บ. คอมพิวเตอร์)

หากเกิดกรณีที่มีผู้ใช้บริการเน็ตเวิร์กของท่านไปกระทำความผิดทางกฎหมาย เช่น การโจรกรรมข้อมูล การฉ้อโกงออนไลน์ หรือการโพสต์ข้อความผิดกฎหมาย เจ้าหน้าที่ตำรวจไซเบอร์จะทำการสืบหาเบาะแสจาก IP Address ซึ่งจะพุ่งตรงมายังผู้ประกอบการในฐานะเจ้าของสัญญาอินเทอร์เน็ตทันที หากไม่มีระบบเก็บ Log ที่ถูกต้อง ผู้ประกอบการอาจต้องรับโทษตามกฎหมายตามมา

1. ผู้ประกอบการหอพักและโรงแรม ถือเป็น "ผู้ให้บริการ" ตามกฎหมายหรือไม่?

คำตอบคือ "เป็น" ตามประกาศกระทรวงดิจิทัลเพื่อเศรษฐกิจและสังคม (DE) เรื่อง หลักเกณฑ์การเก็บรักษาข้อมูลจราจรทางคอมพิวเตอร์ของผู้ให้บริการ พ.ศ. 2564 ได้ระบุให้ผู้ที่ให้บริการเชื่อมต่ออินเทอร์เน็ตแก่บุคคลอื่น ไม่ว่าจะคิดค่าบริการหรือให้ใช้ฟรี เช่น โรงแรม หอพัก อพาร์ตเมนต์ ร้านอาหาร และ Co-Working Space ถือเป็น "ผู้ให้บริการ (Service Provider)" ประเภทหนึ่ง ซึ่งมีหน้าที่ต้องจัดเก็บข้อมูลจราจรทางคอมพิวเตอร์ตามที่กฎหมายกำหนด

2. กฎหมายกำหนดให้ต้องเก็บ Log อะไรบ้าง?

การเก็บ Log ที่ถูกต้องตามหลักวิศวกรรมเครือข่ายและข้อกำหนดทางกฎหมาย ไม่ใช่เพียงแค่การบันทึกประวัติเว็บที่เข้าดู (URL History) แต่เป็นการบันทึกข้อมูลทางเทคนิคของระบบเครือข่าย (Network Traffic Data) ซึ่งรวมถึง:

• ข้อมูลยืนยันตัวตนผู้ใช้ (Identification Data): เช่น ชื่อ-นามสกุล, เลขบัตรประชาชน/หนังสือเดินทาง, หมายเลขห้องพัก, หรือ Username ที่ใช้เข้าสู่ระบบ Hotspot
• หมายเลขประจำเครื่อง (MAC Address): หมายเลขฮาร์ดแวร์เฉพาะของอุปกรณ์ที่เชื่อมต่อ เช่น สมาร์ทโฟน หรือโน้ตบุ๊ก
• ไอพีแอดเดรสต้นทางและปลายทาง (Source & Destination IP Address): หมายเลข IP ภายใน (Private IP) ที่แจกให้ลูกข่าย และ IP สาธารณะ (Public IP) ที่ใช้ออกสู่อินเทอร์เน็ต
• หมายเลขพอร์ต (Source & Destination Port): เพื่อแยกแยะ Traffic ในกรณีที่มีการทำ NAT (Network Address Translation)
• วันและเวลาที่เริ่มต้นและสิ้นสุดการเชื่อมต่อ (Timestamp): บันทึกเวลา Login และ Logout ของทุก Session

3. 3 หลักการสำคัญในการเก็บ Log ให้ถูกต้องและมีผลทางกฎหมาย

3.1 การเทียบเวลามาตรฐาน (NTP Synchronization)

ระบบบันทึก Log และอุปกรณ์เครือข่ายทั้งหมด (เช่น MikroTik Router, Switch, Access Point และ Syslog Server) จะต้องตั้งค่าให้เทียบเวลากับ NTP Server (Network Time Protocol) มาตรฐาน เช่น สถาบันมาตรวิทยาแห่งชาติ หรือ กองทัพเรือ เพื่อให้เวลาใน Log ทุกอุปกรณ์ตรงกันและมีความเที่ยงตรงในระดับมิลลิวินาที ซึ่งมีความสำคัญอย่างยิ่งเมื่อต้องใช้เป็นหลักฐานในชั้นศาล

3.2 ระยะเวลาในการจัดเก็บ (Retention Period)

กฎหมายกำหนดให้ผู้ให้บริการต้องจัดเก็บ Log ไว้เป็นเวลา ไม่น้อยกว่า 90 วัน นับตั้งแต่วันที่ข้อมูลนั้นเกิดขึ้น และในกรณีจำเป็นเฉพาะราย เจ้าหน้าที่อาจสั่งให้ผู้ให้บริการเก็บรักษาข้อมูลไว้เกิน 90 วัน แต่ไม่เกิน 2 ปี ผู้ประกอบการจึงต้องเตรียมพื้นที่จัดเก็บ (Storage) ให้เพียงพอต่อ Traffic ของผู้ใช้งานตลอดระยะเวลาดังกล่าว

3.3 ความปลอดภัยและความน่าเชื่อถือของข้อมูล (Log Integrity)

ไฟล์ Log ที่จัดเก็บจะต้องได้รับการคุ้มครองไม่ให้มีการแก้ไข ดัดแปลง ลบ หรือทำลาย โดยต้องมีการล็อกสิทธิ์เข้าถึง (Access Control) และมีกระบวนการตรวจสอบความถูกต้องของไฟล์ เช่น การสร้าง Hash Value (SHA-256) หรือการส่ง Log ไปยัง Centralized Log Server ที่แยกต่างหากจาก Router หลัก

4. แนวทางวางระบบ Log ด้วย MikroTik และ RADIUS Server สำหรับหอพักและโรงแรม

สำหรับผู้ประกอบการหอพักและโรงแรม การใช้อุปกรณ์ Router ทั่วไปของ ISP มักไม่สามารถรองรับการเก็บ Log ตาม พ.ร.บ. คอมพิวเตอร์ ได้ SIAM-LOGIN ขอแนะนำสถาปัตยกรรมระบบเน็ตเวิร์กที่ถูกต้องและนิยมใช้ในระดับอุตสาหกรรมดังนี้:

• ใช้ MikroTik Router เป็น Core Gateway: ทำหน้าที่จัดการ NAT, Bandwidth Management (Queue) และส่ง Syslog หรือ NetFlow (IPFIX) ข้อมูลการเชื่อมต่อออกไปยัง Log Server
• ติดตั้งระบบ Authenticate (Captive Portal / RADIUS): บังคับให้ผู้ใช้งานต้องกรอก Username/Password หรือลงทะเบียนก่อนใช้งาน WiFi เพื่อผูก Identity เข้ากับ MAC Address และ IP Address
• มี Centralized Syslog / Log Server Dedicated: แยกเครื่อง Server สำหรับบันทึก Log โดยเฉพาะ หรือใช้ระบบ Cloud Log Server ที่ได้มาตรฐาน ISO/IEC 27001 เพื่อป้องกันไม่ให้ข้อมูล Log สูญหายหาก Router มีปัญหา

5. สรุป

การจัดเก็บ Log ตาม พ.ร.บ. คอมพิวเตอร์ ไม่ใช่เรื่องยุ่งยากเกินไปหากมีการวางโครงสร้างระบบเน็ตเวิร์ก (Network Architecture) ที่ถูกต้องตั้งแต่แรก การเลือกรุ่น MikroTik Router ที่เหมาะสม การตั้งค่า NTP Time และการเชื่อมต่อเข้ากับ RADIUS / Log Server ที่ได้มาตรฐาน ไม่เพียงช่วยให้ธุรกิจของท่านดำเนินไปได้อย่างถูกต้องตามกฎหมาย ปราศจากความเสี่ยงทางคดีความ แต่ยังช่วยให้ผู้บริหารสามารถตรวจสอบและบริหารจัดการเครือข่ายได้อย่างมีประสิทธิภาพสูงสุด