ใจนึงก็อยากให้โทษนี้ไม่หนักมากในเบอร์นี้ (ด้วยเหตุเป็นเหตุสุดวิสัยพอควร คือเจตนาให้เกิดนั้นไม่มี)

แต่อยากให้โทษในการเอาข้อมูลมา Cross-matching เป็น Shadow identity ที่ใช้ชี้ไปหาบุคคลได้ นั้นมีโทษสองสามเท่าของเหตุแบบนี้ (ด้วยว่าเหตุนั้นเป็นเหตุที่เกิดโดยเจตนา)

EU นี่ปรับแต่ละทีนี่แพงมากๆ

บางทีผมก็สงสัยระบบลงโทษโดยการปรับเงินนะ หมายความว่า "ยิ่งมีโจรมาก => EU ยิ่งรวย" มันใช่หรอ?

คือเข้าใจนะครับว่าวิธีการที่คนอื่นจะกดดันจากภายนอกบริษัทโดยใช้ระบบเงินมันสะดวกดี
แต่ตรรกะการไหลของการแลกเปลี่ยนและชดเชยมันแปลกๆ
เพราะปกติโทษปรับ จะมีเหตุผลจากการ ริบคืนในสิ่งที่ไม่ควรได้ไป หรือ ปรับเงินเพื่อชดเชยความเสียหายที่เกิด เช่น ปรับโรงงานยาสูบเพื่อไปใช้รักษาคนป่วยจากบุหรี่
แต่ข้อมูลที่รั่วนี่ประเมิณมูลค่ายังไง แถมรั่วทั่วโลกไม่ใช่แค่ยุโรป ทำไม EU จึงควรได้เงิน

จริงๆ แล้วโทษปรับ GDPR ไม่ควรให้มีด้วยซ้ำไปในบางกรณี ถ้าบริษัทนั้นแสดงให้เห็นถึงพฤติการณ์ที่ได้มีการจัดการป้องกันข้อมูลอย่างแน่นหนาตามมาตรฐานหรือมากกว่าที่หน่วยงานของรัฐเป็นผู้กำหนดว่าใช้เครื่องมือนี้แล้วข้อมูลจะปลอดภัย แล้วมาตรฐานนี้ได้รับการปรับปรุงและต่อเนื่องตามกาลเวลา

อย่างกรณีนี้ผมว่า เฟสบุ๊คออกมาค่อนข้างเร็วนะ ออกมายอมรับและแก้ไขโดยเร็ว ถึงแม้จะมีการใช้ช่องโหว่นั้นในการใช้งานไปแล้วก็ตาม

อย่างหนึ่งที่เราต้องยอมรับว่าในโลกวิทยาการคอมพิวเตอร์ ไม่มีอะไรปลอดภัยไปทั้งหมด เราพัฒนาซอฟตแวร์หรือฮาร์ดแวร์ออกมามันก็ต้องมีกันบ้างที่มีช่องโหว่ แต่หลังจากนั้นเราก็แก้ไขกันไป อย่างที่เราเจอๆ กันที่ผ่านมา ซึ่งช่องโหว่บางตัวเหนือการควบคุมของตัวเราด้วยซ้ำ เป็นช่องโหว่ของผู้ผลิต ซึ่งเราใช้สินค้าชิ้นนั้นอยู่ แต่เราถูกแฮกและโดนปรับเงิน แบบนี้มันคุ้มค่ากันหรือเปล่า? GDPR กำหนดแบบลอยๆ ไม่มีมาตรฐาน บอกแค่ว่าถ้าถูกแฮกได้ก็โดนปรับ...หรือบางประเทศถึงขั้นเป็นคดีอาญา แบบนี้โอเคเหรอครับ? ใครเข้าออนไลน์ขาข้างหนึ่งอยู่ในคุกในตารางแล้วนะครับ

จากประสบการณ์ทำงานกับ GDPR ของผมนะ เพราะธุรกิจผมเป็นขนาดเล็ก และค้าขายกับยุโรปเป็นหลัก ผมเห็นด้วยกับ GDPR ในบางเรื่องนะ เช่นความเป็นส่วนตัว การส่งต่อคุ๊กกี้ หรือข้อมูลส่วนตัวให้บุคคลที่สาม หรือเรื่อง bad cookie แต่เราไม่มีพฤติการณ์ และไม่มีความประสงค์ที่จะทำแบบนั้นไง GDPR มันก็ควรจะจบ แต่มันไม่จบตรงที่มีเรื่องของความปลอดภัยของการจัดเก็บข้อมูลเข้ามาเกี่ยวข้องด้วย แล้วคุ้มครองถึงข้อมูลที่ไปหลุดไม่ว่าจะเข้ารหัสหรือไม่เข้ารหัสคุณจะยังแฮปปี้อยู่ไหม?

เรื่องนี้โดนแฮกนี่คือประเด็นใหญ่ครับ โดนแฮกยังไม่พอแล้วแล้วถูกปรับเงินอีกต่างหาก หรือบางประเทศถึงขั้นจะเอาผิดทางอาญา ผมไม่ค่อยเห็นด้วยสักเท่าไหร่นะครับ ไม่มีเว็บไซต์ไหน บริษัทไหนที่ต้องการให้ถูกแฮกเพราะกระทบต่อความเชื่อมั่นของลูกค้า และความปลอดภัยของเว็บไวต์นั้นๆ อีกด้วย เหมือนกฎหมายนี้เขียนนี้ขึ้นมาเพื่อกลั่นแกล้ง บังคับ บางบริษัทมากกว่าเพื่อจะคุ้มครองตามความเป็นตัวของผู้ใช้ มันเหมือนเคสมันเหมือนร้านขายของไม่รับบัตรเดบิต ถ้าเราต้องการจ่ายผ่านบัตรแต่ร้านไม่รับก็ไปซื้อร้านอื่นจบ ไม่ใช่ไปยัดเยียดว่า เขาต้องติดตั้งเครื่องรับบัตรโน้นนั้นนี่ สร้างข้อจำกัดให้เขาเข้าตลาดไม่ได้...เหมือนกันครับ GDPR กับ ธุรกิจรายเล็กๆ ย่อยๆ ของยุโรปเขาก็โวยกันนะครับ บางเว็บนี่คือนิ่งไปเลย บางเว็บกลายเป็นเว็บแนะนำเฉยๆ ดังนั้นผมว่าหน่วยงานที่เกี่ยวข้องกับเมืองไทยน่าจะเอาเคสนี้มาเป็นตัวอย่างนะครับ เพราะกฎหมายฉบับนี้เป็นเหมือนดาบ 2 คม ที่จะชี้วัดว่า Thailand จะ 4.0 หรือ 0.4 กันแน่? แรงไปคนไม่กล้าก็ 0.4 กันต่อไปนะครับ ฝากผู้เกี่ยวข้องลองพิจารณาดูครับ

กฎหมาย GPDR กลายเป็นทำพิษกับบริษัทรายย่อยโดยปริยาย โดนแฮ็กทีวายวอด กลุ่มนี้ไม่มีงบประมาณสูงไว้ป้องกันเหมือนบริษัทใหญ่นะ แล้วไม่อยากโดนแฮ็คให้เสียชื่อด้วย

ผมว่า GDPR ควรมีและการปรับแบบนี้ถือว่าเบาแล้ว เพราะเบากว่านี้ก็จะมีคนบ่นเหมือนกสทช. ว่าเสือกระดาษปรับเบายังไม่เท่ากำไรบริษัทในหนึ่งวันเลย ส่วนทำไมต้องปรับ EU อยากรวยหรอ บอกเลยว่าไม่ใช่ครับเพราะเขาอยากให้บริษัทมองว่าต้นทุนในการคุ้มครองข้อมูลส่วนบุคคลสำคัญ และแพงถ้าโดนปรับครับไม่ใช่ค่าปรับถูกงั้นก็ปรับไปสิแบบประเทศไทย ส่วนข้อมูลส่วนบุคคลทำไป EU ต้องคุ้มครองหนักหนา ถ้ามันตกอยู่ในมืออาชญากร คนของเขาอาจตายได้ครับ สมัยผมเด็กๆครอบครัวโดนตามฆ่า ก็ต้องปิดมือถือหนีเพราะไอพนักงานบริษัทให้บริการมือถือมันขายข้อมูลให้มาเฟีย จนไม่กี่ปีก่อนก็มีข่าวนั้นไงคือสาเหตุ กสทช.ก็โคตรเสือกระดาษไม่ทำอะไรเลย