ความเสี่ยงในการสูญเสียข้อมูลและความรับผิดชอบทางกฎหมายของผู้ดำเนินการธุรกิจการดำเนินการระบบ

อาจมีปัญหาที่เกิดขึ้นในฝ่ายระบบของบริษัท คือ ข้อมูลสำคัญของบริษัทที่เก็บไว้ในฐานข้อมูลสูญหายเนื่องจากเหตุสุดวิสัย ในกรณีเช่นนี้ หากบริษัทได้ทำการส่งมอบงานด้านการดำเนินการระบบให้กับผู้รับจ้างภายนอก จะสามารถติดตามความรับผิดชอบจากผู้รับจ้างภายนอกได้หรือไม่ตามกฎหมาย?

ในบทความนี้ เราจะอธิบายเกี่ยวกับการสูญหายของข้อมูลในบริษัท และความรับผิดชอบทางกฎหมายจะอยู่ที่ใคร

ความหมายของ “การดำเนินงาน” ในระบบ IT

ถ้าจะอธิบายให้ง่ายๆ คำว่า “การดำเนินงาน” ในระบบ IT คือ “งานที่ต้องทำเพื่อให้ระบบที่มีอยู่สามารถทำงานต่อไปได้เหมือนเดิม” นั่นเอง ระบบที่ได้รับการพัฒนา (หรือสร้างขึ้น) โดยวิศวกร IT หรือโปรแกรมเมอร์ ไม่ได้หมายความว่าเมื่อสร้างขึ้นแล้วก็จบสิ้น ตัวอย่างเช่น ถ้าคุณต้องการทำการดำเนินงานที่ไม่สามารถทำได้จากหน้าจอ คุณจะต้องเชื่อมต่อคอมพิวเตอร์กับฐานข้อมูลและป้อนภาษาคอมพิวเตอร์ (เช่น SQL) โดยตรง ซึ่งอาจจะเกี่ยวข้องกับการดึงข้อมูลหรือการเปลี่ยนแปลงข้อมูลที่ไม่สามารถทำได้จากหน้าจอ

งานดำเนินการเหล่านี้ มักจะเป็นงานที่สามารถทำให้เป็นมาตรฐานได้ง่ายๆ โดยการจัดทำคู่มือการทำงาน และมักจะสามารถส่งมอบให้ผู้รับเหมาภายนอกทำได้ง่าย

อย่างไรก็ตาม แม้ว่างานจะเป็นงานที่สามารถทำให้เป็นมาตรฐานได้ง่าย แต่เนื่องจากเป็นงานที่ต้องดำเนินการกับฐานข้อมูลขององค์กรโดยตรง จึงมักจะมีความเสี่ยงที่จะเกิดเหตุการณ์ที่ไม่คาดคิดได้ ความเสี่ยงที่เกี่ยวข้องกับการรั่วไหลหรือการสูญหายของข้อมูลขององค์กร อาจจะเพิ่มขึ้นอย่างมาก ถ้าองค์กรดำเนินการส่งมอบงานให้ผู้รับเหมาภายนอกโดยไม่รับรู้ถึงความรับผิดชอบที่มากมายของงาน

ความเสี่ยงในการสูญเสียข้อมูลอยู่รอบตัวมากกว่าที่คิด

แม้ว่าฐานข้อมูลที่องค์กรใช้จะมีหลายประเภท แต่สาระสำคัญคือมันเป็นซอฟต์แวร์หนึ่ง และการดึงข้อมูล การเปลี่ยนแปลง การเพิ่ม และการลบข้อมูลที่จัดการในที่นั้น โดยพื้นฐานแล้วจะใช้ภาษาคอมพิวเตอร์ที่เรียกว่า SQL

ความสำคัญของกฎหมาย

งานของวิศวกรที่เกี่ยวข้องกับระบบ IT มีหลายประเภท รวมถึงการพัฒนา การดำเนินการ และการบำรุงรักษา แต่สิ่งที่เหมือนกันในวิธีการทำงานของพวกเขาคือ การจัดการกับสิ่งที่เป็นนามธรรม เช่น “ข้อมูล” และ “ภาษาคอมพิวเตอร์” เป็นสิ่งสำคัญ ดังนั้น แม้ว่าจะดูจากภายนอกเท่านั้น การทำงานอาจเป็นเพียงการกดปุ่มผิดหรือการป้อนข้อมูลผิดพลาดเล็กน้อย แต่ขอบเขตของผลกระทบจากข้อผิดพลาดนั้นอาจกระจายไปทั่วที่กว้างขวางมากกว่าที่คาดการณ์ไว้ นี่คือสิ่งที่ทุกคนที่ทำงานที่เกี่ยวข้องกับระบบควรตระหนัก ไม่ว่าจะเป็นผู้เชี่ยวชาญด้านเทคโนโลยี IT หรือไม่ งานที่เกี่ยวข้องกับระบบมักมีลักษณะที่ถ้ามีปัญหาเกิดขึ้น ขอบเขตของผลกระทบจะเกินกว่าแผนกที่เกี่ยวข้องและข้ามขอบเขตภายในองค์กร และกระจายไปทั่วที่ในทันที ความสำคัญของกฎหมายในระบบสามารถอธิบายได้จากทั้งมุมมองของผู้สั่งซื้อและผู้รับจ้าง

ความเสี่ยงในการสูญเสียข้อมูลขององค์กร

ลองพิจารณาตัวอย่างที่เป็นประจำวัน คำสั่ง (query) ใน SQL ที่ใช้ลบข้อมูลทั้งหมดในตารางเดียวเพียงแค่เขียน “TRUNCATE” บรรทัดเดียว การคิดเกี่ยวกับความเสี่ยงในการสูญเสียข้อมูลขององค์กร การทราบไวยากรณ์ SQL หรือวิธีการดำเนินการกับซอฟต์แวร์ฐานข้อมูลอาจไม่สำคัญมาก แต่ควรตระหนักถึงจุดที่การลบข้อมูลทั้งหมดที่องค์กรเก็บรักษา ถ้าพูดถึงวิธีการ ก็อาจเป็นเพียงเรื่องที่ไม่น่าเชื่อถือเท่านั้น การรับรู้ความเป็นจริงนี้อาจเป็นจุดเริ่มต้นในการคิดเกี่ยวกับความเสี่ยงในการสูญเสียข้อมูลขององค์กร

แน่นอนว่าการดำเนินการสามารถทำให้เป็นมาตรฐานได้ง่าย และถ้าทำตามขั้นตอน มักจะไม่มีปัญหา แต่ในเวลาเดียวกัน ถ้าไม่ทำตามขั้นตอนและทำให้เกิดสถานการณ์ที่ไม่ปกติ ความสำคัญของกฎหมายก็จะเป็นที่ชัดเจน

การสูญเสียข้อมูลเป็นความรับผิดชอบของใครตามกฎหมาย

ลักษณะทางกฎหมายของงานของผู้ดำเนินการ

ดังนั้น ในกรณีที่ข้อมูลสูญหายเนื่องจากเหตุการณ์ที่ไม่คาดคิด และไม่มีวิธีการกู้คืน ความรับผิดชอบทางกฎหมายจะอยู่ที่ใคร? ในต่อไปนี้ เราจะมาวิเคราะห์เหตุการณ์เหล่านี้จากมุมมองทางกฎหมาย

การติดตามหน้าที่ในการเก็บรักษาตามสัญญาฝากของนั้นยาก

เมื่อพิจารณาถึงความรับผิดชอบของผู้ประกอบการที่ดำเนินการด้านข้อมูลแทน หนึ่งในโครงสร้างทฤษฎีที่เราสามารถพิจารณาได้คือ การติดตามหน้าที่ในการดูแลรักษาอย่างดีตามสัญญาฝากของที่มีค่าใช้จ่าย นี่คือ ในกรณีที่ผู้ประกอบการที่รับฝากสิ่งของในตู้ล็อกเกอร์ที่มีค่าใช้จ่าย เช่น สูญหายสิ่งของ โดยทั่วไปจะต้องรับผิดชอบในการชดใช้ความเสียหาย ในทำนองเดียวกัน คือ สามารถติดตามความรับผิดชอบในการสูญหายข้อมูลได้หรือไม่ แต่ถ้าพิจารณาในทางปฏิบัติ การคิดว่า “หน้าที่ในการเก็บรักษาข้อมูล” จะเกิดขึ้นเหมือนกับ “หน้าที่ในการเก็บรักษาสิ่งของ” ในความเป็นจริง ตามกฎหมายปัจจุบัน นั้นไม่เป็นไปได้

ขึ้นอยู่กับเนื้อหาของสัญญาแต่ละราย

ในที่สุด “ปัญหาว่าใครจะรับผิดชอบในการเก็บรักษาข้อมูล” นั้น การหาคำตอบที่เดียวกันจากกฎหมายแพ่งญี่ปุ่น (Japanese Civil Law) อาจจะยาก ดังนั้น คำตอบที่เหมาะสมคือ “ขึ้นอยู่กับว่าเนื้อหาของสัญญาแต่ละรายได้กำหนดอย่างไร”

และ “เนื้อหาของสัญญาคืออะไร” ไม่จำเป็นต้องอ้างอิงเฉพาะเอกสารสัญญาเท่านั้น แต่ยังต้องพิจารณาจากบันทึกการประชุมและเอกสารอื่น ๆ ด้วย สำหรับความสำคัญของบันทึกการประชุม ได้มีการอธิบายอย่างละเอียดในบทความด้านล่างนี้

https://monolith.law/corporate/the-minutes-in-system-development[ja]

การดำเนินคดีความรับผิดชอบต่อการกระทำผิดที่มาจากบุคคลที่ไม่ได้เป็นส่วนหนึ่งในสัญญานั้นยาก

อย่างไรก็ตาม การดำเนินคดีความรับผิดชอบต่อการกระทำผิดที่มาจากบุคคลที่ไม่ได้เป็นส่วนหนึ่งในสัญญานั้นเป็นไปไม่ได้ ซึ่งได้รับการยืนยันอย่างชัดเจนในตัวอย่างคดีที่ผ่านมา ในตัวอย่างคดีนี้ ปัญหาที่เกิดขึ้นคือ ผู้ใช้บริการเซิร์ฟเวอร์เช่ามีความสามารถในการเรียกร้องค่าเสียหายจากการกระทำผิดหรือไม่ ในกรณีที่มีการสูญหายของข้อมูล

ตัวอย่างของการกระทำผิดที่เป็นที่รู้จักกันดี คือ อุบัติเหตุจราจร ตัวอย่างเช่น ในกรณีที่มีการทำให้ผู้อื่นได้รับบาดเจ็บจากอุบัติเหตุรถยนต์ที่เกิดจากความผิดของผู้ขับขี่ ผู้ขับขี่จะต้องรับผิดชอบทั้งในด้านอาญาและในด้านแพ่ง แม้ว่าจะไม่มีสัญญาที่กำหนดว่า “จะไม่ขับรถชนคนอื่น” ระหว่างผู้ที่ไม่รู้จักกัน แต่ยังคิดได้ว่า ความรับผิดชอบในการชดใช้ค่าเสียหายสามารถเกิดขึ้นได้ ด้วยกรอบการรับผิดชอบต่อการกระทำผิดนี้ การดำเนินคดีความรับผิดชอบต่อการสูญหายของข้อมูล แม้จะไม่มีความสัมพันธ์ในสัญญาโดยตรงก็ยังเป็นเรื่องที่ถูกโต้แย้ง

อย่างไรก็ตาม ศาลได้ชี้แจงว่า การนำคุณสมบัติของข้อมูลดิจิตอลมาใช้เป็นหลักฐานในการสร้างความผูกพันที่เป็นธรรมดานั้นยาก

เซิร์ฟเวอร์ไม่ได้สมบูรณ์แบบ อาจเกิดความผิดพลาดและสามารถทำให้โปรแกรมที่ถูกจัดเก็บหายไป แต่โปรแกรมเป็นข้อมูลดิจิตอล สามารถทำสำเนาได้ง่าย ผู้ใช้งานสามารถบันทึกและจัดเก็บโปรแกรมไว้ แม้โปรแกรมจะหายไป ก็สามารถเริ่มใช้งานโปรแกรมใหม่ได้ ซึ่งเป็นสิ่งที่รู้จักกันอย่างกว้างขวาง (ตามทั้งหมดของการโต้แย้ง) ดังนั้น ผู้ฟ้องสามารถทำการป้องกันการสูญหายของโปรแกรมและข้อมูลได้ง่าย ดังนั้น ไม่มีเหตุผลหรือความจำเป็นที่จะต้องให้ผู้ถูกฟ้องที่ติดตั้งและจัดการเซิร์ฟเวอร์นี้รับผิดชอบในการป้องกันการสูญหายของบันทึกของผู้ฟ้อง (ตัดออก) ผู้ฟ้องเชื่อว่า สัญญาเช่าเซิร์ฟเวอร์มีลักษณะเป็นสัญญาฝากของของบุคคลที่สามหรือข้อมูล และใช้เป็นหลักฐานว่า ผู้ถูกฟ้องมีหน้าที่ดูแลด้วยความระมัดระวังในฐานะผู้ให้บริการเช่าเซิร์ฟเวอร์ต่อทุกคนที่จัดเก็บบันทึกบนเซิร์ฟเวอร์นี้ โดยเฉพาะอย่างยิ่ง มีหน้าที่ไม่ให้บันทึกบนเซิร์ฟเวอร์หายไป และอ้างว่า ผู้ถูกฟ้องได้ทำให้บันทึกของผู้ฟ้องที่ถูกจัดเก็บบนเซิร์ฟเวอร์หายไป ซึ่งเป็นการละเมิดหน้าที่ป้องกันการสูญหายของบันทึก

อย่างไรก็ตาม ผู้ถูกฟ้องมีสัญญาการใช้บริการโฮสติ้งเซิร์ฟเวอร์ร่วมกับผู้ใช้ A เท่านั้น ไม่มีความสัมพันธ์ในสัญญากับผู้ฟ้อง และไม่สามารถกล่าวได้ว่ามีลักษณะเป็นสัญญาฝากของหรือข้อมูลที่ถูกจัดเก็บบนเซิร์ฟเวอร์นี้ ดังนั้น ไม่มีหลักฐานที่จะทำให้ผู้ถูกฟ้องต้องรับผิดชอบต่อผู้ฟ้องที่ไม่มีความสัมพันธ์ในสัญญาในการดูแลบันทึกที่ถูกจัดเก็บบนเซิร์ฟเวอร์นี้ตามกฎหมายการกระทำผิด ดังนั้น ไม่สามารถกล่าวได้ว่า ผู้ถูกฟ้องมีหน้าที่ดูแลบันทึกที่ถูกจัดเก็บบนเซิร์ฟเวอร์นี้ด้วยความระมัดระวังหรือมีหน้าที่ป้องกันการสูญหายของบันทึกเพียงเพราะเป็นผู้ให้บริการเช่าเซิร์ฟเวอร์ ในความสัมพันธ์กับบุคคลที่ไม่มีความสัมพันธ์ในสัญญา

คำพิพากษาของศาลจังหวัดโตเกียว วันที่ 20 พฤษภาคม พ.ศ. 2552 (2009)

คำพิพากษานี้ชี้แจงว่า ไม่เหมาะสมที่จะสมมติว่ามี “หน้าที่ไม่ให้ข้อมูลหายไป” สำหรับบุคคลที่ไม่มีความสัมพันธ์ในสัญญาโดยตรง (ผู้ฟ้อง) คำพิพากษานี้ได้รับความสนใจอย่างมาก เนื่องจากเป็นตัวอย่างที่สามารถนำมาใช้ในกรณีที่เกิดเหตุการณ์ที่คล้ายคลึงกันในอนาคต

สรุปแล้ว การติดตามความรับผิดชอบมักจะเป็นเรื่อง ‘ยาก’

นอกจากนี้ ถ้าพูดถึงสัญญาที่ใช้บ่อยในทางปฏิบัติ การจัดเก็บและสำรองข้อมูลไม่ได้เป็นความรับผิดชอบของผู้ดำเนินการบริการ และจำนวนของสัญญาที่กำหนดว่าเป็นความรับผิดชอบของผู้ใช้บริการ (นั่นคือ บริษัทที่เป็นลูกค้า) มีมากกว่าอย่างเห็นได้ชัด

ดังนั้น ยกเว้นกรณีที่มีข้อตกลงพิเศษ การคิดว่าผู้ดำเนินการบริการระบบมีหน้าที่รับผิดชอบในการป้องกันการสูญเสียข้อมูลจนถึงขั้นตอนนี้ จะเป็นเรื่องที่ยากมากในทางกฎหมาย

สิ่งที่ควรทำเพื่อเตรียมรับมือกับความเสี่ยงในการสูญเสียข้อมูล

ในที่สุดแล้ว ความเสี่ยงในการสูญเสียข้อมูลที่องค์กรมี ก็เกี่ยวข้องกับข้อมูลที่องค์กรนั้นเองเก็บรักษาอยู่ ดังนั้น การพิจารณาความเสี่ยงในการสูญเสียข้อมูลและการสร้างระบบการเก็บรักษาข้อมูล ก็ควรเป็นสิ่งที่องค์กรนั้นเองต้องตัดสินใจ

นอกจากนี้ แม้ว่าจะมีการยอมรับความรับผิดชอบของผู้ประกอบการ ก็ยังอาจมีการลดลงของค่าเสียหายที่ได้รับการยอมรับเต็มจำนวน เนื่องจากการชดเชยความผิด ในกรณีที่ผู้ถูกฟ้องที่เก็บข้อมูลของผู้ฟ้องบนเซิร์ฟเวอร์ได้ทำลายข้อมูล มีการตัดสินว่า การที่ผู้ฟ้องไม่ได้สำรองข้อมูลเป็น “ความผิด” และได้รับการยอมรับในการชดเชยความผิด

ผู้ฟ้องสามารถสำรองข้อมูลได้ง่าย และด้วยการนั้น (ข้าม) สามารถป้องกันการเกิดความเสียหาย และสามารถจำกัดความเสียหายให้น้อยที่สุด แต่ในขณะที่เกิดอุบัติเหตุการสูญเสียนี้ ไม่มีข้อมูลที่เหลืออยู่ที่ผู้ฟ้อง

ดังนั้น ในกรณีนี้ ในการกำหนดจำนวนค่าเสียหายที่ผู้ถูกฟ้องต้องรับผิดชอบ ควรใช้กฎหมายการชดเชยความผิดโดยพิจารณาจุดนี้ ซึ่งเป็นสิ่งที่เหมาะสมตามหลักการของกฎหมายค่าเสียหาย (ข้าม)

ในทางกลับกัน ผู้ฟ้องอ้างว่า ไม่สามารถทำนายได้ว่าไฟล์จะถูกทำลายจากเซิร์ฟเวอร์โดยผู้ให้บริการ และไม่ควรทำนายได้ ดังนั้น ไม่สามารถยอมรับว่ามีหน้าที่ทางกฎหมายในการสำรองข้อมูล และไม่สามารถกล่าวว่าการไม่กระทำนั้นเป็นความผิดทางกฎหมาย และปฏิเสธการใช้กฎหมายการชดเชยความผิด

อย่างไรก็ตาม ในการใช้กฎหมายการชดเชยความผิด ถ้าผู้ฟ้องสามารถทำนายได้ว่าจะมีผลลัพธ์ในการสูญเสียไฟล์นี้ ก็เพียงพอ ไม่จำเป็นต้องทำนายได้ว่าจะมีผลลัพธ์ในการสูญเสียไฟล์นี้เนื่องจากการละเว้นหน้าที่ของผู้ถูกฟ้อง

ในกรณีนี้ (ข้าม) มีการรับรู้ถึงความเสี่ยงที่จะมีการบุกรุกเข้ามาในหน้าเว็บ และผู้ฟ้องยอมรับว่ามีความเสี่ยงในการเปลี่ยนแปลงและทำลายข้อมูลในการสื่อสารผ่านอินเทอร์เน็ต และความเสี่ยงนี้สามารถทำนายได้ ดังนั้น ผู้ฟ้องสามารถทำนายได้ว่ามีความเสี่ยงที่ไฟล์จะสูญเสียเนื่องจากสาเหตุที่เฉพาะเจาะจงของการสื่อสารผ่านอินเทอร์เน็ต และสามารถยืนยันได้ว่ามีความเป็นไปได้ในการทำนายผลลัพธ์ในการสูญเสียไฟล์ และไม่มีอุปสรรคในการยอมรับการใช้กฎหมายการชดเชยความผิด

คำพิพากษาศาลโตเกียว วันที่ 28 กันยายน พ.ศ. 2544 (2001)

ในกรณีนี้ “เนื่องจากไม่ได้สำรองข้อมูล สามารถทำนายได้ว่ามีความเสี่ยงที่ไฟล์จะสูญเสียเนื่องจากการบุกรุกของแฮกเกอร์หรือเหตุผลอื่น ๆ ดังนั้นมีการใช้กฎหมายการชดเชยความผิด” ทำให้จำนวนค่าเสียหายลดลงเป็นครึ่งหนึ่ง

สรุป

แม้จะเป็นเรื่องเฉพาะเกี่ยวกับความเสี่ยงในการสูญเสียข้อมูล แต่ในหลายๆ ครั้งที่ผู้ใช้งานมอบหมายงานเกี่ยวกับระบบให้กับผู้รับเหมาภายนอก พวกเขามักจะสนใจเพียงแค่ความรู้สึกในการทำงานบนหน้าจอ และมักจะมองข้ามเรื่องของการจัดการฐานข้อมูลที่เก็บอยู่เบื้องหลัง ซึ่งทำให้การดำเนินงานขององค์กรไม่สามารถครอบคลุมถึงด้านนี้ได้

อย่างไรก็ตาม ตัวอย่างคดีที่ผ่านมาได้แสดงให้เห็นว่า เรื่องเหล่านี้ไม่ใช่เรื่องที่เราสามารถมองว่า “ไม่เกี่ยวข้อง” ได้ หากจะแปลความหมาย การจัดการระบบที่คำนึงถึงความเสี่ยงในการสูญเสียข้อมูล เช่น การสำรองข้อมูล ควรจะเป็นเรื่องที่ผู้ใช้งาน (หรือภายในองค์กร) ต้องมีความรู้สึกที่ตัวเองต้องรับผิดชอบ

ตัวอย่างคดีที่ผ่านมาได้แนะนำว่า การไม่เตรียมตัวเพื่อรับมือกับความเสี่ยงเหล่านี้ อาจนำไปสู่สถานการณ์ที่ไม่สามารถแก้ไขได้ และควรเข้าใจว่า การป้องกันเป็นสิ่งที่จำเป็น