�ݺ�ߣ

1
1
PDPA Workshop
นพ.นวนรรน ธีระอัมพรพันธุ์
คณะแพทยศาสตร์โรงพยาบาลรามาธิบดี มหาวิทยาลัยมหิดล
15 กันยายน 2566

2
2
Disclaimer:
1. เป็นความเห็นทางวิชาการส่วนบุคคล ไม่ผูกพันการทาหน้าที่
ในบทบาทใดในปัจจุบันหรืออนาคต
2. กรณีศึกษาที่เป็นส่วนหนึ่งของ Workshop เป็นสถานการณ์
สมมติ หากมีส่วนใดที่เหมือนหรือคล้ายกับบุคคล หน่วยงาน
สถานที่ บริบท หรือเหตุการณ์จริง เป็นเพียงความบังเอิญ หรือ
เพื่อประโยชน์ในการเรียนรู้เท่านั้น ไม่ได้มีเจตนาเชื่อมโยง ใส่
ความ กล่าวหา กล่าวโทษผู้ใด หรือทาให้ผู้นั้นเสียหาย
3. ไม่ได้มีการเปิดเผยความลับที่ผู้ใดมีการแจ้งเหตุมายังหน่วยงาน
กากับหรือผู้มีอานาจตามกฎหมาย หรือที่หน่วยงานกากับหรือผู้มี
อานาจตามกฎหมาย หรือผู้นาเสนอ ได้มาและมีหน้าที่รักษา
ข้อมูลนั้นไว้เป็นความลับตามกฎหมาย

3
3
สถานการณ์สมมติ
•มีผู้ไม่ประสงค์ดีเปิดเว็บไซต์ 10Far.org อ้างว่ามี
ข้อมูลส่วนบุคคลของคนไทยจานวน 55 ล้านรายการ
สาหรับขาย และมีไฟล์ Sample Data อ้างว่าเป็น
ข้อมูลสาหรับคนที่เกิดในปี ค.ศ. 1990 และอาศัยอยู่
ใน กทม.
•ท่านเป็น DPO ของหน่วยงานของรัฐแห่งหนึ่งที่มี
ข้อมูลของผู้รับบริการ/ประชาชน จานวนหลายสิบ
ล้านคน
•ท่านจะทาอย่างไร
https://breached.vc/ (Now Taken Down)

4
4
The 10Far Incident

5
5
Preliminary Data Assessment
•Sample data: 1990x.txt
•90,000+ records (บาง records มี new line characters = 2
lines)
•Data elements: เลขประจาตัวประชาชน ชื่อ นามสกุล ที่อยู่
หมายเลขโทรศัพท์ (บาง elements มี data masking)
•All records: birthYear==1990 && address==
กรุงเทพมหานคร

6
6
• บาง record มีที่อยู่ที่มีบ้านเลขที่ บาง record มีข้อมูลระดับตาบลขึ้นไป หรือ
อาเภอขึ้นไป แสดงว่าข้อมูลไม่ clean น่าจะมีประเด็นด้านคุณภาพของข้อมูล
(data quality) อาจมีที่มาจากหลายแหล่ง และอาจมีข้อมูลที่ไม่ถูกต้องปะปน
อยู่ได้ (data accuracy issues)
• มีหมายเลขโทรศัพท์ในไฟล์ sample data จึงอาจไม่ใช่ข้อมูลจากระบบทะเบียน
ราษฎรโดยตรงเพียงอย่างเดียว
• บาง record ใน sample data จะถูกปัดเป็น 2 บรรทัด เท่าที่กวาดตาดู มักจะ
เป็น record ที่ไม่มีหมายเลขโทรศัพท์ ทาให้การปกปิด (mask) หมายเลข
โทรศัพท์ด้วย “XXXXXX-” ถูกปัดเป็นบรรทัดต่อไป ซึ่งอาจเป็นข้อผิดพลาด
(bug) ของกระบวนการ transform data ของผู้กระทาผิดเอง เป็นไปได้ว่าตอน
เขียน code เพื่อ mask data อาจ handle logic กรณีไม่มีหมายเลขโทรศัพท์
ผิดพลาด ทาให้ “XXXXXX-” ถูก add หลังอักขระ new line character
แทนที่จะถูก add ก่อนอักขระ new line character ดังกล่าว ซึ่งสะท้อนว่า
ผู้กระทาผิดอาจไม่ใช่มืออาชีพนักหรืออาจไม่ได้มีความละเอียดรอบคอบเต็มที่

7
7
• คานาหน้าชื่อ นอกจาก “นาย” “นาง” “นางสาว” แล้ว ยังมีฐานันดร
และยศ เช่น “หม่อมหลวง” “ว่าที่พ.ต.ต.” และ “ร้อยเอก” เป็นต้น ด้วย
และมีคานาหน้าชื่อที่ไม่เป็นทางการในระบบราชการด้วย เช่น
“นายแพทย์” “แพทย์หญิง” “ทพ.ดร.” “นพ.”
• แต่จากการตรวจสอบเบื้องต้น ไม่พบคานาหน้าชื่อที่เป็นยศทหารระดับ
นายพันหรือนายพล (อาจเป็นเพราะโดยอายุใน sample data ที่เกิดปี
ค.ศ. 1990 ทาให้ยังมีอายุงานและประสบการณ์ไม่ถึงระดับชั้นยศนั้น)
• ทั้งนี้ การที่มีคานาหน้าชื่อที่ไม่เป็นทางการ เช่น “นายแพทย์” ฯลฯ ด้วย
แสดงว่าน่าจะเป็นฐานข้อมูลอื่นที่ไม่ใช่ทะเบียนราษฎร และการที่มีทั้ง
“นายแพทย์” และ “นพ.” แสดงว่าน่าจะมีแหล่งที่มาของข้อมูลจาก
หลายแหล่งประกอบเข้าด้วยกัน

8
8
Interesting Data

9
9

10
10
ข้อมูลของผู้รับบริการ/ประชาชน จานวนหลาย
สิบล้านคน
•ท่านได้รับข้อมูลการวิเคราะห์เพิ่มเติมจากผู้ที่ท่าน
รู้จัก ซึ่งเป็นผู้เชี่ยวชาญด้านสารสนเทศสุขภาพ
ของ รพ.ร (สมมติ) ที่เป็นโรงพยาบาล
มหาวิทยาลัยนอกสังกัดของท่าน ดังรายละเอียด
ต่อไปนี้

11
11
ผลการเปรียบเทียบข้อมูลใน sample data ที่ถูกละเมิด
กับฐานข้อมูลผู้ป่วยของ รพ.ร (สมมติ)
รายการ จานวนแถว
(rows)
ร้อยละ (%)
Total rows 93,154
หลังตัดชื่อที่ซ้ากันออก (After data
deduplication)
86,571 100%
ชื่อ-นามสกุล มีในฐานข้อมูลผู้ป่วยของ
รพ.ร (สมมติ)
15,057 17%
ชื่อ-นามสกุล มีในฐานข้อมูลผู้ป่วยของ
รพ.ร (สมมติ) และเกิดปี ค.ศ. 1990 จาก
ฐานข้อมูลผู้ป่วยของ รพ.ร (สมมติ) จริง
11,543 13%

12
12
ผลการเปรียบเทียบข้อมูลใน sample data ที่ถูกละเมิด กับ
ฐานข้อมูลผู้ที่มารับวัคซีน COVID-19 ที่ รพ.ร (สมมติ) ตั้งต้น
จากฐานข้อมูลผู้ที่มารับวัคซีน COVID-19 ที่ รพ.ร (สมมติ)
รายการ จานวนราย ร้อยละ (%)
ผู้ได้รับวัคซีน COVID-19 ที่ รพ.ร (สมมติ) 415,418
ผู้ได้รับวัคซีน COVID-19 ที่ รพ.ร (สมมติ)
และเกิดปี ค.ศ. 1990
9,711 100%
เลขประจาตัวประชาชน 5 ตัวแรก
(ที่ไม่ถูกปกปิด) + ปีเกิด + นามสกุล มีใน
ฐานข้อมูลผู้ได้รับวัคซีน COVID-19 ที่
3,205 33%
หมายเหตุ : เหตุผลที่ต้องใช้เงื่อนไข เลขประจาตัวประชาชน 5 ตัวแรก (ที่ไม่ถูกปกปิด) + ปีเกิด + นามสกุล ในการเปรียบเทียบระหว่าง 2 ฐานข้อมูล
เพราะมีข้อจากัดในการใช้ชื่อ-นามสกุล เนื่องจากคานาหน้าชื่อใน sample data มีหลายรูปแบบ ไม่สามารถ clean data ได้ทุก pattern (เช่น มีทั้งคา
นาหน้าชื่อที่มีเว้นวรรคหน้าชื่อ และที่ไม่มีเว้นวรรคหน้าชื่อ และมีคานาหน้าชื่อที่หลากหลาย ทั้งยศ คุณวุฒิทางวิชาชีพ(เช่น นายแพทย์ แพทย์หญิง)
คุณวุฒิระดับปริญญาเอก (ดร.) อยู่ด้วยในหลาย pattern จึงไม่สามารถ clean data ในส่วนของชื่อให้สมบูรณ์เพื่อนามาใช้เปรียบเทียบได้ จึง
จาเป็นต้องใช้เฉพาะนามสกุลมาเปรียบเทียบร่วมกับเงื่อนไขอื่นแทน

13
13
ผลการเปรียบเทียบข้อมูลใน sample data ที่ถูกละเมิด กับ
ฐานข้อมูลผู้ที่มารับวัคซีน COVID-19 ที่ รพ.ร (สมมติ) ตั้งต้น
จากข้อมูลใน sample data ที่ถูกละเมิด
รายการ จานวนราย ร้อยละ (%)
Total rows 93,154
หลังตัดชื่อที่ซ้ากันออก (After data
deduplication)
86,571 100%
เลขประจาตัวประชาชน 5 ตัวแรก
(ที่ไม่ถูกปกปิด) + ปีเกิด + นามสกุล มีใน
ฐานข้อมูลผู้ได้รับวัคซีน COVID-19 ที่
3,205 4%
หมายเหตุ : เหตุผลที่ต้องใช้เงื่อนไข เลขประจาตัวประชาชน 5 ตัวแรก (ที่ไม่ถูกปกปิด) + ปีเกิด + นามสกุล ในการเปรียบเทียบระหว่าง 2 ฐานข้อมูล
เพราะมีข้อจากัดในการใช้ชื่อ-นามสกุล เนื่องจากคานาหน้าชื่อใน sample data มีหลายรูปแบบ ไม่สามารถ clean data ได้ทุก pattern (เช่น มีทั้งคา
นาหน้าชื่อที่มีเว้นวรรคหน้าชื่อ และที่ไม่มีเว้นวรรคหน้าชื่อ และมีคานาหน้าชื่อที่หลากหลาย ทั้งยศ คุณวุฒิทางวิชาชีพ(เช่น นายแพทย์ แพทย์หญิง)
คุณวุฒิระดับปริญญาเอก (ดร.) อยู่ด้วยในหลาย pattern จึงไม่สามารถ clean data ในส่วนของชื่อให้สมบูรณ์เพื่อนามาใช้เปรียบเทียบได้ จึง
จาเป็นต้องใช้เฉพาะนามสกุลมาเปรียบเทียบร่วมกับเงื่อนไขอื่นแทน

14
14
ข้อมูลของผู้รับบริการ/ประชาชน จานวนหลายสิบ
ล้านคน
•ท่านได้รับข้อมูลการวิเคราะห์เพิ่มเติมจากผู้ที่ท่านรู้จัก
ซึ่งเป็นผู้เชี่ยวชาญด้านสารสนเทศสุขภาพของ รพ.ร
(สมมติ) ที่เป็นโรงพยาบาลมหาวิทยาลัยนอกสังกัด
ของท่าน ดังรายละเอียดดังกล่าว
•ท่านจะแปลผลการวิเคราะห์ว่าอย่างไร

15
15
แปลผลโดยการอนุมาน (1)
•ผู้ที่มารับวัคซีน COVID-19 ที่ รพ.ร จะมีโอกาสที่จะถูกละเมิด
ข้อมูลส่วนบุคคลในกรณีนี้มากพอสมควร (โดยยังไม่ยืนยันว่า
แหล่งที่มาที่ทาให้ข้อมูลรั่วไหลคือแหล่งใด)
•อย่างไรก็ตาม ร้อยละที่ผู้มารับวัคซีน COVID-19 ที่ รพ.ร จะมี
โอกาสที่จะถูกละเมิดข้อมูลส่วนบุคคลในกรณีนี้ ยังไม่สูงมาก
พอที่จะเป็นข้อมูลส่วนใหญ่ของ sample data กล่าวคือ ผู้ที่มา
รับวัคซีน COVID-19 ที่ รพ.ร ยังไม่ใช่ majority ของ sample
data ที่ถูกละเมิด
•เหตุการละเมิดข้อมูลส่วนบุคคลนี้จึงน่าจะเกิดขึ้นในระดับ
ประชากร (population) ที่ใหญ่กว่าผู้ที่มารับวัคซีน COVID-19
ที่ รพ.ร แต่มีความเป็นไปได้ที่ผู้ที่มารับวัคซีน COVID-19 ที่ รพ.ร
จะเป็นส่วนหนึ่งของข้อมูลที่ถูกละเมิดด้วย

16
16
แปลผลโดยการอนุมาน (2)
•ผู้ที่มีรายชื่อใน sample data ที่ถูกละเมิด จะ
มีโอกาสเป็นผู้ที่มารับวัคซีน COVID-19 ที่
โรงพยาบาล ร น้อยมาก (ประมาณ 4% หาก
พิจารณาจากผู้ที่เกิดปี ค.ศ. 1990)
•โดยผู้ที่มีรายชื่อใน sample data ที่ถูกละเมิด
ส่วนที่เหลืออีกเป็นสัดส่วนจานวนมาก น่าจะไป
รับวัคซีน COVID-19 ที่โรงพยาบาลอื่นที่ไม่ใช่
รพ.ร

17
17
ระบบ MOPH Immunization Center
https://mohpromt.moph.go.th/mpc/wp-content/uploads/2021/10/manual_vaccine-V11.pdf

18
18
•ท่านเป็น DPO ของหน่วยงานของรัฐแห่งหนึ่งที่มีข้อมูล
ของผู้รับบริการ/ประชาชน จานวนหลายสิบล้านคน
•ท่านได้รับข้อมูลการวิเคราะห์เพิ่มเติมจากผู้ที่ท่านรู้จัก ซึ่ง
เป็นผู้เชี่ยวชาญด้านสารสนเทศสุขภาพของ รพ.ร (สมมติ)
ที่เป็นโรงพยาบาลมหาวิทยาลัยนอกสังกัดของท่าน ดัง
รายละเอียดดังกล่าว
•ท่านจะตั้งประเด็นที่ควรพิจารณาอะไรบ้าง และจะ
ดาเนินการต่อไปอย่างไร

19
19
ประเด็นที่ควรพิจารณา
ในทาง Cybersecurity และในทางคดี
1. มี (หรือน่าจะมี) การกระทาความผิดเกิดขึ้นหรือไม่
2. หากมี ผู้ใดเป็นผู้กระทาความผิด มีพยานหลักฐานเพียงใด
3. หากมี ถือเป็นเหตุการณ์ที่เกี่ยวกับความมั่นคงปลอดภัย
ไซเบอร์หรือไม่ และเกี่ยวข้องกับหน่วยงานโครงสร้างพื้นฐาน
สาคัญทางสารสนเทศ (CII) หรือไม่
4. หากเป็น และเกี่ยวข้อง หน่วยงานดังกล่าวมีหน้าที่ตาม
กฎหมายอย่างไร

20
20
ประเด็นที่ควรพิจารณา
ในทางการคุ้มครองข้อมูลส่วนบุคคลและ PDPA
1. มี (หรือน่าจะมี) เหตุการละเมิดข้อมูลส่วนบุคคลเกิดขึ้น
หรือไม่ และจะพิจารณาอย่างไร
2. หากมี ผู้ใดมีหน้าที่ตามกฎหมาย PDPA และมีหน้าที่
อย่างไรบ้าง

21
21
Personal Data Breach Notification
https://ratchakitcha.soc.go.th/documents/17233460.pdf

22
22

23
23

24
24

25
25

26
26

27
27

28
28
ประเด็นที่ควรพิจารณา (เพิ่มเติม)
ในทางการคุ้มครองข้อมูลส่วนบุคคลและ PDPA
1. มี (หรือน่าจะมี) เหตุการละเมิดข้อมูลส่วนบุคคลเกิดขึ้นหรือไม่ และจะ
พิจารณาอย่างไร
2. หากมี ผู้ใดมีหน้าที่ตามกฎหมาย PDPA และมีหน้าที่อย่างไรบ้าง
3. กรณีที่มีหน่วยงานที่เป็นผู้ควบคุมข้อมูลส่วนบุคคลที่เกี่ยวข้องกับระบบหรือ
data source เดียวกันหลายหน่วยงาน ควรดาเนินการอย่างไร
4. กรณีที่ไม่ปรากฏพยานหลักฐานที่ชัดเจน หรือไม่มี log ที่ตรวจสอบได้ ควร
ทาอย่างไร และเมื่อใดจะถือว่า “มีเหตุอันควรเชื่อได้ว่ามีเหตุการละเมิดข้อมูล
ส่วนบุคคล” (“a reasonable degree of certainty” that a breach has
occurred. [EDPB Guidelines 9/2022 on personal data breach
notification under GDPR Version 2.0, Adopted 28 March 2023])
5. หากน่าจะเกิดเหตุก่อน PDPA บังคับใช้ จะต้องแจ้งเหตุหรือไม่
6. ความรับผิดทางกฎหมายในกรณีที่มีเหตุการละเมิดข้อมูลส่วนบุคคลเป็น
อย่างไร

29
29
•ท่านเป็น DPO ของหน่วยงานของรัฐแห่งหนึ่งที่มีข้อมูล
ของผู้รับบริการ/ประชาชน จานวนหลายสิบล้านคน
•ท่านได้รับข้อมูลการวิเคราะห์เพิ่มเติมจากผู้ที่ท่านรู้จัก ซึ่ง
เป็นผู้เชี่ยวชาญด้านสารสนเทศสุขภาพของ รพ.ร (สมมติ)
ที่เป็นโรงพยาบาลมหาวิทยาลัยนอกสังกัดของท่าน ดัง
รายละเอียดดังกล่าว
•หลังจากพิจารณาประเด็นต่าง ๆ และดาเนินการแจ้งเหตุ
ตามกฎหมายอย่างเหมาะสมและครบถ้วนแล้ว ในฐานะ
DPO ท่านจะทาอย่างไรต่อไป

30
30
Lessons Learned
• การพัฒนาระบบที่ประมวลผลข้อมูลส่วนบุคคล ควรคานึงถึงความ
เสี่ยงด้าน cybersecurity & personal data breaches เป็นพิเศษ
โดยเฉพาะหากมี sensitive personal data เช่น ข้อมูลสุขภาพ
• การเร่งพัฒนาระบบในสถานการณ์ฉุกเฉิน ควรคานึงถึงความเสี่ยง
ด้าน cybersecurity & personal data breaches ให้ได้สัดส่วน
กับความจาเป็นเร่งด่วน (โดยเฉพาะกรณีเป็น large-scale
processing) และควรเร่งปิด gap โดยเร็วเท่าที่จะทาได้
• หลักความรับผิดชอบ (Accountability) ของผู้ควบคุมข้อมูลส่วน
บุคคล
• ไม่ว่าอย่างไร เราก็ต้องพัฒนา cybersecurity & privacy
safeguards ของงานด้าน digital health ต่อไป และเรียนรู้และ
ปรับปรุงจากทุกเหตุการณ์ที่เกิดขึ้น

�ݺ�ߣ

Case Study PDPA Workshop (September 15, 2023)

More Related Content

Case Study PDPA Workshop (September 15, 2023)