สรุป พ.ร.บ. คอมพิวเตอร์ ฉบับล่าสุด เจ้าของธุรกิจต้องเก็บ Log อะไรบ้าง

โรงแรมขนาดกลางแห่งหนึ่งในเชียงใหม่ โทรหาผมด้วยน้ำเสียงตื่นตระหนกกลางดึกเมื่อเดือนก่อน เจ้าหน้าที่ตำรวจพร้อมหมายขอค้นข้อมูลเครือข่ายอินเทอร์เน็ตย้อนหลัง 2 เดือน เนื่องจากมีผู้ไม่หวังดีใช้ WiFi ฟรีของโรงแรมในการโพสต์ฉ้อโกงออนไลน์ แต่ปัญหาใหญ่คือ โรงแรมแห่งนั้นใช้เพียงแค่เราเตอร์แถมจากผู้ให้บริการอินเทอร์เน็ต ไม่มีการเก็บ Log หรือระบบยืนยันตัวตนใดๆ ทำให้เจ้าของโรงแรมต้องตกเป็นผู้สงสัยและถูกดำเนินคดีในฐานะผู้ให้บริการที่ไม่จัดเก็บข้อมูลจราจรทางคอมพิวเตอร์ตามที่กฎหมายกำหนด

เหตุการณ์แบบนี้ไม่ใช่เรื่องไกลตัวเลยครับ ไม่ว่าคุณจะทำร้านกาแฟ อพาร์ตเมนต์ โรงแรม หรือแม้กระทั่งออฟฟิศสำนักงาน การเปิดให้อยู่อาศัยหรือทำงานในเครือข่ายอินเทอร์เน็ตเดียวกันโดยไม่มีระบบบันทึกข้อมูล ถือเป็นความเสี่ยงมหาศาล วันนี้ผมในฐานะวิศวกรและผู้ให้บริการระบบเครือข่าย SIAM-LOGIN จึงอยากมาสรุป พ.ร.บ. คอมพิวเตอร์ เก็บ Log ฉบับล่าสุดให้เข้าใจง่ายๆ ว่าในฐานะเจ้าของธุรกิจ คุณต้องเก็บอะไรบ้าง และทำอย่างไรไม่ให้มีความผิดครับ

พ.ร.บ. คอมพิวเตอร์ คืออะไร และทำไมเจ้าของธุรกิจถึงต้องแคร์?

พระราชบัญญัติว่าด้วยการกระทำความผิดเกี่ยวกับคอมพิวเตอร์ (รวมถึงประกาศกระทรวงดิจิทัลเพื่อเศรษฐกิจและสังคม เรื่อง หลักเกณฑ์การเก็บรักษาข้อมูลจราจรทางคอมพิวเตอร์ของผู้ให้บริการ) ได้กำหนดหน้าที่ให้ "ผู้ให้บริการ" ทุกประเภท ซึ่งหมายรวมถึงผู้ประกอบการที่ให้บริการอินเทอร์เน็ตแก่บุคคลอื่น ไม่ว่าจะเป็นลูกค้า พนักงาน หรือแขกผู้มาเยือน ต้องทำการบันทึกและเก็บรักษา ข้อมูลจราจรทางคอมพิวเตอร์ (Log Data)

หากเจ้าของธุรกิจปล่อยปละละเลย ไม่เก็บ Log หรือเก็บไม่ถูกต้องตามมาตรฐาน มีโทษปรับสูงสุดถึง 500,000 บาท และที่น่ากลัวกว่านั้นคือ เมื่อเกิดคดีอาชญากรรมทางไซเบอร์ หากคุณไม่มี Log ไปยืนยัน คุณอาจกลายเป็นผู้ต้องสงสัยคนแรกที่ต้องรับผิดชอบแทนผู้กระทำความผิดตัวจริง

เจ้าของธุรกิจต้องเก็บข้อมูล Log อะไรบ้างตามกฎหมาย?

หลายคนเข้าใจผิดว่า การเก็บ Log คือการแอบดูว่าลูกค้าเข้าเว็บอะไรบ้าง ดูรูปอะไร หรือคุยอะไรกับใคร ซึ่งนั่นเป็นความเข้าใจที่ผิดและละเมิดความเป็นส่วนตัวครับ กฎหมายไม่ได้ให้เราเก็บเนื้อหา (Content) แต่ให้เก็บ "ข้อมูลจราจร" ที่สามารถระบุตัวตนและการเชื่อมต่อได้ โดยหลักๆ ประกอบด้วย 3 ส่วนสำคัญดังนี้ครับ:

1. ข้อมูลระบุตัวตนผู้ใช้งาน (User Identity Log)

ต้องสามารถระบุได้ว่า ใครเป็นผู้ใช้งานในขณะนั้น ตัวอย่างเช่น:

• ชื่อ-นามสกุล หรือเลขบัตรประชาชน / Passport (กรณีมีระบบ Captive Portal ลงทะเบียน)
• หมายเลข MAC Address ของอุปกรณ์ (โทรศัพท์, โน้ตบุ๊ก) ที่เชื่อมต่อ WiFi
• Username / Password ที่ใช้ล็อกอินเข้าสู่ระบบ (เช่น ระบบ Authenticate ผ่าน RADIUS Server)
• หมายเลขโทรศัพท์มือถือที่ใช้รับ OTP ในการยืนยันตัวตน

2. ข้อมูลการเชื่อมต่อเครือข่าย (Network Traffic & Session Log)

ต้องบันทึกเส้นทางการเดินทางของข้อมูล เพื่อให้ทราบว่าอุปกรณ์นั้นเชื่อมต่อจากไหนไปไหน ได้แก่:

• หมายเลข IP Address ฝั่งขาเข้า (Internal IP Address) ที่แจกให้อุปกรณ์ชั่วคราว
• หมายเลข IP Address ฝั่งขาออก (External/Public IP Address) ที่ใช้ออกสู่อินเทอร์เน็ต
• หมายเลขพอร์ต (Source Port และ Destination Port) ซึ่งตรงนี้สำคัญมากเพราะการทำ NAT ในปัจจุบันจำเป็นต้องมี Port ถึงจะแยกแยะผู้ใช้ได้
• หมายเลข IP Address หรือ Domain Name ของปลายทางที่เชื่อมต่อไป

3. ข้อมูลเวลามาตรฐาน (Time Synchronization / NTP Log)

ข้อมูลทั้งหมดที่บันทึกไว้ จะไม่มีความหมายและใช้อ้างอิงในชั้นศาลไม่ได้เลย หากเวลาในอุปกรณ์บันทึก Log ไม่ตรงกับเวลามาตรฐานสากล ดังนั้น อุปกรณ์เครือข่าย เช่น MikroTik Router, Firewall หรือ Log Server ทุกตัว ต้องตั้งค่าเชื่อมต่อกับ NTP Server (Network Time Protocol) ของสถาบันมาตรวิทยาแห่งชาติ หรือผู้ให้บริการเวลามาตรฐาน เพื่อให้เวลาถูกต้องตรงกันในระดับวินาที

ต้องเก็บ Log ไว้นานแค่ไหน? สรุปตามกฎหมายฉบับล่าสุด

ตาม พ.ร.บ. คอมพิวเตอร์ ฉบับล่าสุด กฎหมายกำหนดให้ผู้ให้บริการต้องเก็บรักษาข้อมูล Log ไว้อย่างน้อย 90 วัน นับแต่วันที่ข้อมูลนั้นเข้าสู่ระบบคอมพิวเตอร์

แต่มีข้อยกเว้นสำคัญที่เจ้าของธุรกิจควรรู้ครับ คือในกรณีที่เจ้าหน้าที่ตำรวจหรือพนักงานเจ้าหน้าที่มีคำสั่งเฉพาะเจาะจง กฎหมายเปิดช่องให้เจ้าหน้าที่สามารถสั่งให้ผู้ให้บริการเก็บรักษา Log เพิ่มเติมเป็นการเฉพาะรายได้สูงสุดไม่เกิน 2 ปี (หรือ 1 ปี ขยายได้อีก 1 ปี) ดังนั้น โซลูชัน Log Server ที่ดีควรเผื่อความจุฮาร์ดดิสก์ให้รองรับข้อมูลระยะยาวได้ด้วย

วิธีจัดวางระบบเก็บ Log ให้ถูกต้องและประหยัดงบสำหรับธุรกิจ

จากประสบการณ์ที่ผมไปวางระบบเครือข่ายให้กับลูกค้าหลายร้อยแห่ง วิธีการเก็บ Log ที่ถูกต้อง ปลอดภัย และผ่านเกณฑ์ตาม พ.ร.บ. คอมพิวเตอร์ มีแนวทางปฏิบัติที่ไม่ยุ่งยากดังนี้ครับ:

1. ใช้ Router ที่รองรับ Syslog และสร้างระบบ Captive Portal

สำหรับร้านกาแฟ โรงแรม หรืออพาร์ตเมนต์ การใช้เราเตอร์ระดับองค์กรอย่าง MikroTik ร่วมกับระบบ ยื่นยันตัวตน WiFi ผ่าน Captive Portal จะช่วยให้คุณสามารถบังคับให้ผู้ใช้กรอกข้อมูล (เช่น บัตรประชาชน หรือ SMS OTP) ก่อนใช้งาน WiFi ได้อย่างราบรื่น

2. ส่ง Log ออกไปเก็บไว้ที่ Centralized Log Server ถาวร

เราเตอร์ทั่วไปมีหน่วยความจำจำกัด ไม่สามารถเก็บ Log ย้อนหลัง 90 วันได้ในตัวเองครับ ทางออกคือการตั้งค่า MikroTik Syslog ให้ส่งข้อมูล Log ไปยัง Log Server หรือ Cloud Log Storage ภายนอก ซึ่งต้องมีการเข้ารหัส (Encryption) เพื่อป้องกันไม่ให้ข้อมูลถูกแก้ไขดัดแปลง (Data Integrity) ตามมาตรฐานกฎหมาย

3. จำกัดสิทธิ์การเข้าถึงข้อมูล Log (Access Control)

ผู้ที่จะเข้าถึงไฟล์ Log ได้ ต้องเป็นผู้ดูแลระบบ (Admin) ที่ได้รับมอบหมายเท่านั้น และต้องมี Log บันทึกด้วยว่า ใครเข้ามาเปิดดู Log เมื่อไหร่ เพื่อป้องกันการรั่วไหลของข้อมูลส่วนบุคคลตาม พ.ร.บ. คุ้มครองข้อมูลส่วนบุคคล (PDPA) อีกด้วย

สรุป: ป้องกันไว้ดีกว่าแก้ อย่ารอให้เกิดเรื่องแล้วค่อยคิดทำ

การลงทุนในระบบเก็บ Log และ Log Server อาจดูเหมือนมีค่าใช้จ่ายในวันแรก แต่เมื่อเทียบกับความเสี่ยงเรื่องโทษปรับ 500,000 บาท หรือความเดือดร้อนที่ต้องไปขึ้นศาลคดีอาญาแทนคนร้ายแล้ว ถือเป็นการลงทุนที่คุ้มค่าและจำเป็นอย่างยิ่งสำหรับทุกธุรกิจครับ

หากคุณยังไม่แน่ใจว่าระบบเครือข่ายปัจจุบันของร้านหรือองค์กรคุณ มีการเก็บ Log ถูกต้องตามกฎหมาย พ.ร.บ. คอมพิวเตอร์ หรือยัง ผมและทีมงาน SIAM-LOGIN ยินดีให้คำปรึกษา ออกแบบ และติดตั้งระบบ Log Server ที่ได้มาตรฐาน ปลอดภัย และใช้งานง่าย ให้คุณดำเนินธุรกิจได้อย่างสบายใจครับ