Pippa Boardman รู้ว่าตนเองป่วยเป็นโรคมะเร็งจากคนรู้จัก ไม่ใช่จากแพทย์ และไม่ใช่จากจดหมายแจ้งเตือน แต่มาจากคนที่ไม่ควรจะได้รับรู้เรื่องนี้เลย ข้อมูลผลการวินิจฉัยโรคถูกเข้าถึงและเปิดเผยโดยเจ้าหน้าที่ของ NHS ตามคำกล่าวของ Boardman ซึ่งระบุว่าการรั่วไหลของข้อมูลในครั้งนี้ทำให้เธอต้องสูญเสียทั้งศักดิ์ศรีและความเป็นส่วนตัว
เหตุการณ์นี้เป็นกรณีของการสอดแนมข้อมูลโดยคนใน (insider snooping) ไม่ใช่การถูกแฮ็กจากภายนอก ไม่มีระบบใดถูกเจาะเข้ามา แต่มีใครบางคนที่มีสิทธิ์เข้าถึงประวัติผู้ป่วยอย่างถูกต้อง ได้เข้าไปดูข้อมูลที่ตนไม่มีความจำเป็นต้องใช้ แล้วนำไปเล่าต่อให้กับคนที่ตนรู้จัก ความแตกต่างตรงนี้มีความสำคัญอย่างยิ่งต่อแนวทางการจัดการกรณีดังกล่าว รวมถึงแนวทางที่ไม่ควรนำไปพูดถึงด้วย
สิ่งที่ Boardman เผยว่าเกิดขึ้น
เรื่องราวที่ Boardman เล่านั้นตรงไปตรงมาและน่าหดหู่ พนักงานของ NHS คนหนึ่งได้เปิดดูข้อมูลทางการแพทย์ที่เป็นความลับของเธอ เห็นผลการวินิจฉัยโรคมะเร็ง แล้วนำไปบอกต่อกับคนรู้จัก สิ่งต่อมาที่ Boardman รับรู้คือ การมีคนภายนอกที่ไม่ได้อยู่ในทีมดูแลรักษาอาการป่วยมาบอกเรื่องโรคประจำตัวของเธอเอง
📊 ภาพรวมข้อมูลตลาด
เธออธิบายว่าผลที่ตามมาคือการสูญเสียศักดิ์ศรีและความเป็นส่วนตัว นั่นคือทั้งหมดของข้อมูลที่ปรากฏต่อสาธารณะจนถึงตอนนี้ ยังไม่มีสัญญาณของการลงโทษทางวินัยอย่างเป็นทางการ คำขอโทษ หรือการลงโทษปรับจากหน่วยงานกำกับดูแล ข้อมูลข้อเท็จจริงยังมีอยู่น้อยเนื่องจากคดีนี้เพิ่งเกิดขึ้นไม่นาน และโดยทั่วไปแล้วหน่วยงาน NHS Trust มักจะแทบไม่เปิดเผยข้อมูลใดๆ ในระหว่างที่กระบวนการสอบสวนภายในกำลังดำเนินอยู่
การเข้าถึงข้อมูลโดยคนในคือปัญหาที่ยากจะแก้
รายงานข่าวเกี่ยวกับ "การรั่วไหลของข้อมูลด้านการดูแลสุขภาพ" ส่วนใหญ่มักทำให้เห็นภาพแฮกเกอร์ที่นั่งทำงานอยู่ในห้องใต้ดิน แต่ความเป็นจริงที่พบบ่อยกว่านั้นคือพนักงานที่มีสิทธิ์ล็อกอินและเกิดความอยากรู้อยากเห็น ระบบรักษาความปลอดภัยรอบขอบเขตเครือข่าย (Perimeter security) ไม่อาจหยุดยั้งเรื่องนี้ได้ การเข้ารหัสข้อมูล (Encryption) ก็ไม่อาจหยุดได้เช่นกัน เมื่อแพทย์หรือผู้ดูแลระบบเข้าสู่ระบบเวชระเบียนแล้ว สิ่งเดียวที่เหลือไว้ป้องกันคือการควบคุมการเข้าถึง (access controls), บันทึกการตรวจสอบ (audit logs) และความกลัวที่จะถูกจับได้
นั่นคือเหตุผลที่คดีนี้มีความน่าสนใจมากกว่าขนาดของเหตุการณ์ที่ปรากฏ มันชี้ให้เห็นถึงปัญหาที่ข้อมูลประจำตัวที่จำกัดขอบเขตการเข้าถึง (access-scoped credentials) และบันทึกการตรวจสอบที่ป้องกันการดัดแปลงแก้ไข (tamper-evident audit trails) มุ่งหมายที่จะแก้ไขได้อย่างตรงจุด อีกทั้งยังตอกย้ำถึงขีดจำกัดของสิ่งต่างๆ ที่เทคโนโลยีจะสามารถให้คำมั่นสัญญาได้ ระบบอัตลักษณ์แบบกระจายศูนย์ (decentralized identity) อาจช่วยจำกัดสิ่งที่พนักงานสามารถมองเห็นและบันทึกประวัติว่าพวกเขาได้ดูอะไรไปบ้าง แต่มันไม่สามารถหยุดยั้งคนๆ นั้นไม่ให้เดินเข้าไปในผับแล้วเล่าสิ่งที่ตนเองอ่านมาให้คนอื่นฟังได้
ใครก็ตามที่พยายามตีกรอบเรื่องนี้ว่าเป็นชัยชนะของเทคโนโลยีคริปโตที่เน้นความเป็นส่วนตัว (privacy-preserving crypto) ถือว่ามองโลกในแง่ดีเกินจริง ความล้มเหลวที่เกิดขึ้นตรงนี้เป็นเรื่องของมนุษย์และขั้นตอนการปฏิบัติ เครื่องมือต่างๆ อาจช่วยลดพื้นที่เสี่ยงต่อการถูกคุกคามลงได้ แต่ไม่สามารถแก้ไขพฤติกรรมของตัวบุคคลได้
มุมมองด้านการบังคับใช้กฎหมายของสหราชอาณาจักร
ส่วนสำคัญของเรื่องนี้ที่จะส่งผลกระทบต่อเนื่องในระยะยาวคือเรื่องของกฎระเบียบข้อบังคับ ไม่ใช่เรื่องของเทคโนโลยี หน่วยงาน NHS Trust ที่เผชิญกับเหตุการณ์เปิดเผยข้อมูลลับจะต้องถูกตรวจสอบจากสำนักงานคณะกรรมการข้อมูลข่าวสาร (ICO: Information Commissioner's Office) และถ้อยคำที่ Boardman ใช้ เช่น ศักดิ์ศรีและความเป็นส่วนตัว ล้วนเป็นกรอบแนวคิดที่มีน้ำหนักในการบังคับใช้กฎหมายคุ้มครองข้อมูลส่วนบุคคล
หาก ICO มีคำสั่งลงโทษหรือออกหนังสือแจ้งเตือนการบังคับใช้กฎหมาย คดีนี้ก็จะกลายเป็นบรรทัดฐาน ซึ่งเป็นกระบวนการที่เชื่องช้าและน่าเบื่อหน่ายหากเฝ้าติดตาม แต่นี่คือแนวทางที่เป็นไปได้จริงซึ่งจะทำให้กฎเกณฑ์ด้านอำนาจอธิปไตยเหนือข้อมูล (data sovereignty) ของสหราชอาณาจักรมีความเข้มงวดมากขึ้น และนำไปสู่วิถีทางที่องค์กรต่างๆ จะหันมาพิจารณาใช้เครื่องมืออัตลักษณ์แบบกระจายศูนย์และการลดปริมาณข้อมูลให้น้อยที่สุด (data minimization) อย่างจริงจัง แต่คงไม่ใช่ในสัปดาห์นี้ และไม่ใช่เพราะการรั่วไหลเพียงครั้งเดียว
ไม่มีปัจจัยใดในเรื่องนี้ที่ส่งผลต่อตลาด
ไม่มีความเชื่อมโยงโดยตรงระหว่างการละเมิดความลับของ NHS กับราคาคริปโต ขณะนี้ Bitcoin มีการซื้อขายอยู่ที่ราว 82,703 ดอลลาร์ ด้วยปริมาณการซื้อขายที่ต่ำและสัดส่วนการครองตลาดที่ยังคงอยู่ในระดับสูง และเหตุการณ์ด้านความเป็นส่วนตัวเพียงกรณีเดียวในสหราชอาณาจักรจะไม่สามารถเปลี่ยนทิศทางดังกล่าวได้ ใครก็ตามที่พยายามซื้อขายสินทรัพย์ตามพาดหัวข่าวนี้ก็เป็นเพียงการเทรดตามสัญญาณรบกวน (noise) เท่านั้น
มุมมองที่ตรงไปตรงมาเกี่ยวกับกระแสเรื่องความเป็นส่วนตัว (privacy narrative) นั้นมีขอบเขตที่แคบกว่าสิ่งที่กลุ่มผู้สนับสนุนแบบสุดโต่งคาดหวังไว้ กรณีศึกษาอย่างของ Boardman กำลังสั่งสมเพิ่มขึ้นเรื่อยๆ แต่ละกรณีช่วยเพิ่มน้ำหนักให้กับข้อโต้แย้งที่ว่า ผู้ป่วยควรมีสิทธิ์ควบคุมว่าใครสามารถดูเวชระเบียนของตนได้บ้าง และรับรู้ได้ว่ามีใครเข้ามาดูข้อมูลไปเมื่อใด ข้อโต้แย้งนี้เป็นเรื่องที่เกิดขึ้นจริง เพียงแต่มันขับเคลื่อนไปอย่างช้าๆ และไม่ได้ให้ผลลัพธ์ที่รวดเร็วทันรอบวงจรข่าว
สิ่งที่ต้องจับตาดูอย่างเป็นรูปธรรมต่อไปคือ ทาง ICO จะเปิดการสอบสวนอย่างเป็นทางการต่อหน่วยงาน NHS Trust ที่เกี่ยวข้องหรือไม่ และกรณีของ Boardman จะนำไปสู่ข้อสรุปที่เปิดเผยต่อสาธารณะหรือไม่ จนกว่าจะถึงเวลานั้น ข้อมูลทั้งหมดยังคงมีเพียงคำบอกเล่าของผู้ป่วยรายหนึ่ง กับข้อเท็จจริงที่ไม่อาจปฏิเสธได้เพียงประการเดียว นั่นคือ เธอทราบผลการวินิจฉัยโรคของตัวเองจากผิดคน
