ระบบสอดแนม ICR ของรัฐบาลอังกฤษ กับความเสี่ยงด้านความเป็นส่วนตัวของพลเมือง
รัฐบาลสหราชอาณาจักร กำลังเดินหน้าพัฒนาเทคโนโลยีการสอดแนมที่สร้างข้อถกเถียงอย่างหนัก โดยระบบนี้มีความสามารถในการบันทึกและจัดเก็บประวัติการใช้งานอินเทอร์เน็ตของประชาชนจำนวนหลายล้านคน ซึ่งอาจกลายเป็นเครื่องมือทรงพลังสำหรับหน่วยงานบังคับใช้กฎหมายในการติดตามพฤติกรรมออนไลน์ของพลเมือง
ทำความรู้จักกับ ICR: บันทึกการเชื่อมต่ออินเทอร์เน็ตคืออะไร?
Internet Connection Records (ICRs) หรือ บันทึกการเชื่อมต่ออินเทอร์เน็ต คือข้อมูลที่ระบุว่าผู้ใช้งานมีการเชื่อมต่อกับเว็บไซต์หรือบริการใดบ้าง โดยภายใต้กฎหมาย Investigatory Powers Act (หรือที่ถูกขนานนามว่า Snooper’s Charter) ผู้ให้บริการอินเทอร์เน็ตและบริษัทโทรคมนาคมสามารถถูกสั่งให้จัดเก็บข้อมูลเหล่านี้ไว้เป็นเวลา 12 เดือน โดยต้องได้รับการอนุมัติจากผู้พิพากษาอาวุโส
อย่างไรก็ตาม ICR ไม่ใช่การบันทึกทุกหน้าเว็บที่ผู้ใช้คลิกอ่าน แต่จะเป็นการเก็บข้อมูลในลักษณะกว้างๆ เช่น:
- ที่อยู่ IP (IP Address) และหมายเลขลูกค้า
- ชื่อโดเมนของเว็บไซต์ ที่เข้าถึง (เช่น ทราบว่าเข้าเว็บ Wired.com แต่ไม่ทราบว่าอ่านบทความไหน)
- วันและเวลา ที่มีการเข้าถึงข้อมูล
- ปริมาณข้อมูล ที่มีการรับส่ง
- การใช้งานแอปพลิเคชัน (เช่น ทราบว่ามีการเปิดแอป EasyJet แต่ไม่ทราบว่าทำรายการอะไรในแอป)
การขยายผลจากโครงการทดลองสู่ระดับชาติ
จากรายงานของกระทรวงมหาดไทย (Home Office) พบว่า National Crime Agency (NCA) ได้ทดสอบระบบ ICR และพบว่ามีประโยชน์อย่างมากในการปฏิบัติงาน โดยมีการทดลองขนาดเล็กที่มุ่งเน้นไปที่เว็บไซต์เผยแพร่ภาพอนาจารเด็ก ซึ่งสามารถระบุตัวตนผู้เข้าใช้งานได้ 120 ราย โดยในจำนวนนี้มีเพียง 4 รายเท่านั้นที่อยู่ในฐานข้อมูลเฝ้าระวังของเจ้าหน้าที่มาก่อน
ความสำเร็จในการทดลองนี้ นำไปสู่การประกาศจัดซื้อจัดจ้างเพื่อสร้าง "บริการ ICR ระดับชาติ" (National ICR Service) โดยรัฐบาลได้จัดสรรงบประมาณสูงถึง 2 ล้านปอนด์ และได้มอบสัญญาการพัฒนาระบบทางเทคนิคให้กับบริษัทด้านกลาโหมอย่าง Bae Systems เมื่อเดือนกรกฎาคม 2022
| หัวข้อ | รายละเอียด |
|---|---|
| กฎหมายรองรับ | Investigatory Powers Act (Snooper’s Charter) |
| ระยะเวลาจัดเก็บข้อมูล | สูงสุด 12 เดือน |
| งบประมาณพัฒนาระบบ | สูงสุด 2 ล้านปอนด์ |
| บริษัทผู้พัฒนาระบบ | Bae Systems |
| หน่วยงานหลักที่ใช้งาน | National Crime Agency (NCA) และ Home Office |
ข้อกังวลด้านสิทธิมนุษยชนและความปลอดภัยของข้อมูล
กลุ่มสิทธิพลเมืองอย่าง Privacy International แสดงความกังวลว่าการเก็บข้อมูลในลักษณะนี้เป็นการละเมิดความเป็นส่วนตัวอย่างรุนแรง และการที่รัฐบาลพยายามปกปิดรายละเอียดทางเทคนิคโดยอ้างเหตุผลด้านความมั่นคงแห่งชาติ ยิ่งทำให้ขาดความโปร่งใส
นอกจากนี้ ยังมีหลักฐานความผิดพลาดเกิดขึ้นแล้ว โดยรายงานปี 2020 ของ Investigatory Powers Commissioner's Office (IPCO) ระบุว่ามีบริษัทโทรคมนาคมแห่งหนึ่งส่งข้อมูลให้รัฐบาลเกินกว่าที่ได้รับอนุญาตเนื่องจากข้อผิดพลาดทางเทคนิค ซึ่งตอกย้ำความเสี่ยงที่ข้อมูลมหาศาลเหล่านี้อาจถูกนำไปใช้ในทางที่ผิดหรือถูกโจรกรรม
ข้อเท็จจริงสำคัญ
- ระบบ ICR บันทึกว่าคุณเข้าเว็บไหน แต่ไม่ได้บันทึกว่าคุณทำอะไรในเว็บนั้น
- รัฐบาลอังกฤษจ้างบริษัท Bae Systems พัฒนาระบบจัดเก็บข้อมูลระดับชาติ
- การทดลองใช้ ICR ช่วยให้ NCA พบผู้กระทำผิดที่ไม่อยู่ในบัญชีเฝ้าระวังได้มากขึ้น
- มีการยอมรับว่าเคยเกิดความผิดพลาดทางเทคนิคในการส่งข้อมูลเกินขอบเขตที่กฎหมายกำหนด
- ผู้เชี่ยวชาญเตือนว่าการเก็บข้อมูลจำนวนมากไม่ได้เพิ่มความปลอดภัย แต่เพิ่มความเสี่ยงต่อการถูกละเมิดข้อมูล
คำถามที่พบบ่อย
ICR แตกต่างจากการดักฟังข้อมูลทั่วไปอย่างไร?
ICR เน้นการเก็บ "บันทึกการเชื่อมต่อ" (Connection Logs) เช่น ใคร เข้าเว็บไหน เมื่อไหร่ แทนที่จะเป็นการดักจับเนื้อหาของการสื่อสาร (Content) โดยตรง แต่ข้อมูลเหล่านี้ก็เพียงพอที่จะวิเคราะห์พฤติกรรมและไลฟ์สไตล์ของผู้ใช้งานได้อย่างละเอียด
ใครเป็นผู้ควบคุมการเข้าถึงข้อมูล ICR?
การเข้าถึงข้อมูลต้องได้รับอนุมัติจากผู้พิพากษาอาวุโส และอยู่ภายใต้การกำกับดูแลของ Investigatory Powers Commissioner's Office (IPCO) เพื่อให้เป็นไปตามกฎหมาย Investigatory Powers Act
ทำไมรัฐบาลถึงไม่เปิดเผยรายละเอียดทางเทคนิคของระบบ?
กระทรวงมหาดไทยอ้างว่าข้อมูลดังกล่าวเป็นความลับทางการค้าของบริษัทผู้พัฒนา และเป็นข้อมูลที่ละเอียดอ่อนด้านความมั่นคง ซึ่งหากเปิดเผยอาจทำให้กลุ่มอาชญากรที่มีความเชี่ยวชาญทางเทคนิคสามารถหลบเลี่ยงการตรวจสอบได้
การเก็บข้อมูล ICR ส่งผลกระทบต่อผู้ใช้งานทั่วไปอย่างไร?
แม้ผู้ใช้ทั่วไปที่ไม่ได้ทำผิดกฎหมายอาจไม่รู้สึกถึงผลกระทบโดยตรง แต่ข้อมูลประวัติการท่องเว็บจะถูกจัดเก็บไว้ในเซิร์ฟเวอร์ของผู้ให้บริการ ซึ่งมีความเสี่ยงที่จะถูกนำไปใช้ในทางที่ผิด หรือถูกเข้าถึงโดยไม่ได้รับอนุญาตหากระบบรักษาความปลอดภัยล้มเหลว
