สรุป พ.ร.บ.คอมพิวเตอร์ มาตรา 26 หอพักต้องเก็บ Log อย่างไร

มีสายโทรศัพท์จากเจ้าของหอพักรายหนึ่งในโซนรังสิตโทรหาผมด้วยน้ำเสียงตื่นตระหนก เมื่อช่วงบ่ายวันอังคาร เจ้าหน้าที่ตำรวจถือหมายเรียกพร้อมเอกสารจากกองบังคับการปราบปรามการกระทำความผิดเกี่ยวกับอาชญากรรมทางเทคโนโลยี (ปอท.) เดินเข้ามาขอข้อมูล Log การใช้งานอินเทอร์เน็ต เนื่องจากมีผู้เช่าในหอพักนำ IP Address ของหอไปใช้ฉ้อโกงออนไลน์ เจ้าของหอพักทำอะไรไม่ถูกเพราะตลอดเวลาที่เปิดหอพักมา 5 ปี เขาแค่อย่างเดียวคือปล่อยสัญญาณ WiFi ให้ลูกบ้านเสียบสายเข้า Router โดยไม่มีระบบยืนยันตัวตน และไม่มีการเก็บ Log ใดๆ ทั้งสิ้น

เคสแบบนี้ไม่ได้เกิดขึ้นครั้งแรกครับ ในฐานะวิศวกรระบบเครือข่ายของ SIAM-LOGIN ที่ดูแลระบบอินเทอร์เน็ตให้หอพักและอพาร์ตเมนต์มาหลายร้อยแห่ง ผมพบว่าเจ้าของธุรกิจจำนวนมากยังเข้าใจผิด คิดว่าการติดอินเทอร์เน็ตบ้านแล้วกระจาย WiFi ให้ผู้เช่าใช้นั้นเพียงพอแล้ว แต่ในทางกฎหมาย หากเกิดคดีความขึ้นมา เจ้าของสถานที่ในฐานะผู้ให้บริการอินเทอร์เน็ตอาจต้องรับเคราะห์แทนผู้กระทำผิด วันนี้ผมเลยอยากมาสรุปเรื่อง พ.ร.บ.คอมพิวเตอร์ มาตรา 26 แบบภาษาคนไอทีให้ฟังครับว่าต้องทำอย่างไรถึงจะถูกต้อง

ทำความเข้าใจ พ.ร.บ.คอมพิวเตอร์ มาตรา 26 สำหรับผู้ให้บริการหอพัก

กฎหมายตามพระราชบัญญัติว่าด้วยการกระทำความผิดเกี่ยวกับคอมพิวเตอร์ (ฉบับแก้ไขเพิ่มเติม พ.ศ. 2560) และประกาศกระทรวงดิจิทัลเพื่อเศรษฐกิจและสังคม เรื่อง หลักเกณฑ์การเก็บรักษาข้อมูลจราจรทางคอมพิวเตอร์ของผู้ให้บริการ ระบุไว้อย่างชัดเจนว่า ผู้ให้บริการ (Service Provider) ซึ่งครอบคลุมถึงเจ้าของอพาร์ตเมนต์ หอพัก โรงแรม ร้านกาแฟ และสำนักงาน มีหน้าที่ต้องเก็บรักษาข้อมูลจราจรทางคอมพิวเตอร์ไว้ไม่น้อยกว่า 90 วัน (และในบางกรณีอาจต้องเก็บสูงสุดถึง 2 ปีหากมีคำสั่งจากพนักงานเจ้าหน้าที่)

หากเจ้าของหอพักไม่ทำการ เก็บ Log อินเทอร์เน็ต ตามที่กฎหมายกำหนด จะมีโทษปรับสูงสุดไม่เกิน 500,000 บาท ตามมาตรา 26 และที่น่ากลัวกว่าเงินปรับ คือเมื่อเกิดคดีอาชญากรรมไซเบอร์ เช่น การโพสต์หมิ่นประมาท การพนันออนไลน์ หรือการหลอกลวงโอนเงิน หากตำรวจตาม trace สายมาถึง IP Address ของหอพักคุณ แล้วคุณไม่มี Log ยืนยันว่าใครเป็นผู้ใช้งาน ณ เวลานั้น คุณในฐานะผู้จดทะเบียนสายอินเทอร์เน็ตอาจตกเป็นผู้ต้องสงสัยคนแรกทันที

ข้อมูล Log อินเทอร์เน็ต ที่หอพักต้องเก็บ มีอะไรบ้าง?

หลายคนเข้าใจผิดว่าการเก็บ Log คือการแอบดูว่าผู้เช่าเข้าเว็บไซต์อะไร หรือแอบอ่านแชท ซึ่งนั่นเป็นการละเมิดสิทธิส่วนบุคคลและผิดกฎหมายนะครับ สิ่งที่ พ.ร.บ.คอมพิวเตอร์ บังคับให้เก็บ คือ ข้อมูลจราจรทางคอมพิวเตอร์ (Traffic Data) และข้อมูลที่สามารถเชื่อมโยงไปถึงตัวผู้ใช้งานได้ โดยแบ่งเป็น 2 ส่วนหลักดังนี้:

1. ข้อมูลระบุตัวตนผู้ใช้งาน (Identity Data)

คุณต้องมีระบบที่ระบุได้ว่าใครเป็นผู้ใช้งาน ณ ช่วงเวลานั้น เช่น ชื่อ-นามสกุล, เลขบัตรประชาชน, เลขห้องพัก หรือเบอร์โทรศัพท์ ซึ่งปกติเราจะใช้ระบบยืนยันตัวตนผ่านหน้า Captive Portal ก่อนเข้าใช้งาน WiFi เพื่อให้ผู้เช่ากรอก Username/Password ที่สร้างขึ้นตามเลขห้อง หรือลงทะเบียนด้วยเลขบัตรประชาชน

2. ข้อมูลจราจรคอมพิวเตอร์ (Traffic Data)

ตัวอุปกรณ์เครือข่ายจะต้องบันทึกค่าทางเทคนิค ดังต่อไปนี้ไว้ในระบบ:

• Date & Time: วัน เวลา ที่เริ่มต้นใช้งาน และเวลาที่เลิกใช้งาน (Time Log)
• IP Address & MAC Address: หมายเลข IP และหมายเลขประจำเครื่อง (MAC Address) ของอุปกรณ์ผู้ใช้งาน เช่น โทรศัพท์มือถือ หรือโน้ตบุ๊ก
• Destination IP / Port: หมายเลข IP ปลายทางและพอร์ตที่มีการเชื่อมต่อออกไป
• Internal IP & NAT Mapping: ในกรณีที่ใช้ IP Shared (ทำ NAT) ต้องเก็บบันทึกได้ว่า Internal IP ไหน แปลงไปเป็น External IP ปลายทางอะไร

3 เงื่อนไขสำคัญที่ต้องทำให้ถูกต้อง ไม่งั้นถือว่า Log ใช้ไม่ได้

การเก็บบันทึกไฟล์ Log File ทิ้งไว้ในแฟลชไดรฟ์หรือคอมพิวเตอร์ทั่วไปเฉยๆ ไม่ได้แปลว่าถูกต้องตามกฎหมายเสมอไปนะครับ ประกาศกระทรวงดิจิทัลฯ กำหนดเงื่อนไขความถูกต้องของ Log ไว้ 3 ข้อหลักที่ผมเน้นย้ำกับลูกค้าเสมอ:

1. การซิงค์เวลาด้วย NTP Server

เวลาบน Log ทุกชิ้นต้องตรงกับเวลามาตรฐานสากล โดยอุปกรณ์เน็ตเวิร์ก เช่น Router และ Log Server ต้องมีการเชื่อมโยงการตั้งเวลาผ่าน NTP Server (Network Time Protocol) ที่น่าเชื่อถือ หากเวลาใน Log เพี้ยนไปแม้กระทั่งไม่กี่นาที ในทางกฎหมายถือว่า Log นั้นขาดความน่าเชื่อถือและไม่สามารถใช้เป็นหลักฐานในชั้นศาลได้

2. ความสมบูรณ์และห้ามแก้ไข (Integrity & Security)

ระบบเก็บ Log ต้องมีความปลอดภัยสูง ข้อมูลที่บันทึกแล้วจะต้องไม่สามารถแก้ไข ลบ หรือเปลี่ยนแปลงได้ (Read-Only) มีการใส่รหัสผ่านควบคุมการเข้าถึง และควรมีกระบวนการทำ Hashing (เช่น SHA-256) เพื่อยืนยันว่าไฟล์ Log ไม่ได้ถูกดัดแปลงแก้ไขย้อนหลัง

3. จัดเก็บย้อนหลังอย่างน้อย 90 วัน

เซิร์ฟเวอร์จัดเก็บข้อมูลจราจร หรือ Syslog Server ต้องมีพื้นที่จัดเก็บเพียงพอสำหรับเก็บ Log ย้อนหลังไม่น้อยกว่า 90 วันนับตั้งแต่วันที่มีการส่งข้อมูล และระบบต้องสามารถดึงข้อมูลออกมาให้เจ้าหน้าที่ในรูปแบบที่อ่านเข้าใจได้เมื่อมีคำสั่งขอตรวจสอบ

ทางออกทางเทคนิค: ติดตั้งระบบ Hotspot ร่วมกับ Syslog Server

จากประสบการณ์ตรงของผม ทางออกที่ประหยัด เสถียร และถูกต้องตามกฎหมายที่สุดสำหรับหอพักและอพาร์ตเมนต์ คือการใช้ Router ประสิทธิภาพสูง (เช่น MikroTik) ทำหน้าที่เป็น Gateway จัดการระบบ Hotspot Authenticate คู่กับ Syslog Server หรือเซิร์ฟเวอร์ RADIUS เฉพาะทาง

เมื่อลูกบ้านเชื่อมต่อ WiFi ระบบจะเด้งหน้า Captive Portal เพื่อให้ใส่รหัสผ่านประจำห้อง เมื่อล็อกอินสำเร็จ อุปกรณ์ Router จะทำการจับคู่ MAC Address, IP Address และ Username แล้วส่งข้อมูลการเชื่อมต่อทั้งหมดไปเก็บบันทึกไว้ที่ Log Server ภายนอกแบบ Real-time ทันที วิธีนี้ช่วยให้ตัว Router ไม่ต้องรับภาระเก็บข้อมูลเอง ทำให้ระบบเน็ตไม่ค้าง และมั่นใจได้ว่าข้อมูล Log จะปลอดภัยแม้อุปกรณ์ Network จะโดนถอดปลั๊กหรือเสียหาย

สรุปจากประสบการณ์ของผม

การปฏิบัติตาม พ.ร.บ.คอมพิวเตอร์ มาตรา 26 ไม่ใช่เรื่องของการสร้างภาระให้เจ้าของหอพัก แต่มันคือ เกราะป้องกันตัวเจ้าของธุรกิจเอง จากภัยคุกคามทางไซเบอร์และคดีความที่คุณไม่ได้เป็นคนก่อครับ เงินลงทุนระบบจัดการผู้ใช้งานและระบบเก็บ Log หลักหมื่นบาท เมื่อเทียบกับความเสี่ยงโดนปรับ 500,000 บาท หรือการต้องไปนั่งให้ปากคำกับตำรวจที่สถานีตำรวจแล้ว ถือเป็นการลงทุนที่คุ้มค่าและจำเป็นอย่างยิ่งสำหรับธุรกิจอพาร์ตเมนต์ในยุคปัจจุบันครับ