ETS ข้อมูลรั่ว คือเหตุที่ระบบของ ETS ผู้รับจ้างจัดสอบให้รัฐแคลิฟอร์เนีย สหรัฐ ถูกคัดลอกข้อมูลนักเรียน รวมถึงสถานะความพิการ นานเกือบ 4 เดือนก่อนมีคนพบ บทความนี้เหมาะกับผู้บริหารโรงเรียน มหาวิทยาลัย และบริษัท EdTech ไทย อ่านแล้วจะรู้ว่าสัญญากับผู้รับจ้างต้องมีอะไร
ลองนึกภาพโรงเรียนเอกชนในต่างจังหวัดที่ส่งรายชื่อนักเรียนให้บริษัทจัดสอบวัดระดับ พร้อมข้อมูลว่าเด็กคนไหนต้องการความช่วยเหลือพิเศษ หลังสอบเสร็จ ไม่มีใครถามว่าบริษัทลบข้อมูลแล้วหรือยัง เหตุของ ETS แสดงว่าข้อมูลแบบนี้อาจค้างอยู่ในระบบผู้รับจ้างได้นานหลายปี
สรุปสั้น: ข้อมูลนักเรียนรัฐแคลิฟอร์เนียถูกคัดลอกจากระบบของ ETS ผ่าน SFTP ตั้งแต่ 22 พฤษภาคมถึง 18 กันยายน 2569 รวมสถานะความพิการ และกระทบผู้ที่ออกจากระบบตั้งแต่ ค.ศ. 2006 สถานศึกษาและ EdTech ไทยควรกำหนดระยะเก็บและลบข้อมูล สิทธิ audit และหน้าที่เก็บ log ไว้ในสัญญาผู้รับจ้าง
ETS ข้อมูลรั่ว เกิดอะไรขึ้น ข้อมูลอะไรหลุดไปบ้าง
ETS ข้อมูลรั่วครั้งนี้เกิดจากการคัดลอกข้อมูลผ่าน SFTP ระหว่าง 22 พฤษภาคมถึง 18 กันยายน 2569 (ค.ศ. 2026) ETS พบเหตุเมื่อ 25 กันยายน และเริ่มแจ้งผู้ได้รับผลกระทบเมื่อ 16 ตุลาคม ตามรายงานของ The Record ยังไม่มีกลุ่มใดอ้างความรับผิดชอบ
ผู้ได้รับผลกระทบคือนักเรียนรัฐทุกคนตั้งแต่ ค.ศ. 2023 และผู้ที่ออกจากระบบตั้งแต่ ค.ศ. 2006 โดยไม่มีหลักฐานการย้าย เพื่อให้เห็นขนาด ปี ค.ศ. 2025 รัฐแคลิฟอร์เนียมีนักเรียนกว่า 5.7 ล้านคน ตัวเลขนี้คือจำนวนนักเรียนทั้งรัฐ ไม่ใช่จำนวนผู้ได้รับผลกระทบที่ยืนยันแล้ว
| ประเด็น | ข้อเท็จจริงตามรายงาน |
|---|---|
| ช่วงที่ข้อมูลถูกคัดลอก | 22 พ.ค.–18 ก.ย. 2569 ผ่าน SFTP |
| วันที่พบเหตุ / เริ่มแจ้ง | 25 ก.ย. / 16 ต.ค. 2569 |
| ผู้ได้รับผลกระทบ | นักเรียนรัฐตั้งแต่ ค.ศ. 2023 และผู้ที่ออกตั้งแต่ ค.ศ. 2006 โดยไม่มีหลักฐานย้าย |
| ข้อมูลที่หลุด | ชื่อ วันเกิด ที่อยู่ รหัสนักเรียน สถานะความพิการ/Section 504 |
| ผู้อ้างความรับผิดชอบ | ยังไม่มี |
ETS ข้อมูลรั่ว กระทบสถานศึกษาและ EdTech ไทยอย่างไร
ETS ข้อมูลรั่ว กระทบสถานศึกษาไทยในฐานะบทเรียน เพราะโรงเรียนไทยก็ส่งข้อมูลนักเรียนให้ผู้รับจ้างหลายราย ทั้งบริษัทจัดสอบ ระบบทะเบียน และแอปการเรียน ส่วนนี้เป็นการวิเคราะห์ของผู้เขียน
โรงเรียนที่ส่งข้อมูลนักเรียนให้บริษัทจัดสอบ ต้องรับผิดชอบอะไร
โรงเรียนเป็นผู้ควบคุมข้อมูล ส่วนบริษัทจัดสอบเป็นผู้ประมวลผล ถ้าผู้รับจ้างทำข้อมูลรั่ว โรงเรียนยังต้องตอบผู้ปกครองและ สคส. ว่าเลือกและกำกับผู้รับจ้างอย่างไร PDPA มาตรา 40 วางหน้าที่ของผู้ประมวลผลไว้ แต่หน้าที่จะบังคับได้จริงเมื่อเขียนลงในสัญญา
ข้อมูลความพิการของนักเรียนต้องดูแลเข้มกว่าข้อมูลทั่วไปแค่ไหน
เข้มกว่ามาก เพราะข้อมูลความพิการเป็นข้อมูลสุขภาพ ซึ่งเป็นข้อมูลอ่อนไหวตาม PDPA มาตรา 26 การเก็บต้องมีฐานที่กฎหมายกำหนดเฉพาะ และเมื่อเป็นข้อมูลผู้เยาว์ ยังต้องคำนึงถึงมาตรา 20 เรื่องความยินยอมของผู้เยาว์ด้วย
ขั้นตอนจัดการข้อมูลอ่อนไหวทีละข้อ อยู่ใน คู่มือ: จัดการข้อมูลอ่อนไหว เช่น ข้อมูลสุขภาพ ประวัติอาชญากรรม ตามมาตรา 26 อย่างไร
ทำไมข้อมูลรั่วนานเกือบ 4 เดือนโดยไม่มีใครรู้
เพราะไม่มีใครเฝ้าดูการดึงไฟล์ผิดปกติ ข้อมูลถูกคัดลอกตั้งแต่ 22 พฤษภาคม แต่ ETS พบเหตุ 25 กันยายน ผู้เขียนมองว่าถ้าสัญญาบังคับให้ผู้รับจ้างเก็บ log การเข้าถึงและส่งรายงานเป็นระยะ ช่วงเวลาที่ไม่มีใครรู้จะสั้นลง
ทำไมข้อมูลนักเรียนที่ออกไปตั้งแต่ ค.ศ. 2006 จึงยังอยู่ในระบบ
เพราะไม่มีการกำหนดระยะเก็บแล้วลบ ข้อมูลที่ไม่ได้ใช้แล้วไม่มีประโยชน์ต่อโรงเรียน แต่ยังเป็นความเสี่ยงเต็มตัวเมื่อรั่ว บริษัท EdTech ไทยที่เก็บข้อมูลผู้ใช้เก่าไว้ทั้งหมดควรทบทวนเรื่องนี้ ประเด็นข้อมูลเด็กในแอปการศึกษาดูเพิ่มได้ใน Meta AI ให้ผู้ปกครองดูหัวข้อที่วัยรุ่นคุยกับ AI ย้อนหลัง 7 วัน แอปการศึกษาไทยต้องดูแลข้อมูลเด็กอย่างไร
เทียบกับกฎหมายไทย: ETS ข้อมูลรั่ว ต่างจาก PDPA อย่างไร
ถ้าเหตุแบบ ETS เกิดกับโรงเรียนไทย PDPA มีหน้าที่ครอบคลุมทุกจุดของเรื่องนี้ ตารางนี้เทียบสิ่งที่เกิดในข่าวกับหน้าที่ตามกฎหมายไทย
| ประเด็น | กรณี ETS | กฎหมายไทย |
|---|---|---|
| ข้อมูลความพิการ | สถานะความพิการ/Section 504 หลุด | PDPA มาตรา 26 ข้อมูลอ่อนไหว |
| ข้อมูลผู้เยาว์ | นักเรียนทั้งรัฐ | PDPA มาตรา 20 ความยินยอมของผู้เยาว์ |
| ผู้รับจ้าง | ETS ประมวลผลแทนรัฐ | PDPA มาตรา 40 หน้าที่ผู้ประมวลผล |
| ความปลอดภัย | ถูกคัดลอกผ่าน SFTP เกือบ 4 เดือน | PDPA มาตรา 37(1) มาตรการรักษาความมั่นคงปลอดภัย |
| แจ้งเหตุ | พบ 25 ก.ย. เริ่มแจ้ง 16 ต.ค. | PDPA มาตรา 37(4) แจ้ง สคส. ภายใน 72 ชม. |
ช่องว่างของไทยอยู่ที่การปฏิบัติ ไม่ใช่ตัวบท สถานศึกษาจำนวนมากใช้สัญญาจ้างทั่วไปที่ไม่มีข้อกำหนดเรื่องระยะเก็บข้อมูล การลบ และสิทธิ audit จึงกำกับผู้รับจ้างไม่ได้จริงเมื่อเกิดเหตุ
ถ้าไม่ทำอะไรเลย สถานศึกษาไทยเสี่ยงอะไร
ถ้าไม่ทำอะไร สถานศึกษาเสี่ยงถูกร้องเรียนจากผู้ปกครองเมื่อข้อมูลอ่อนไหวของเด็กรั่ว และไม่มีหลักฐานว่ากำกับผู้รับจ้างอย่างเหมาะสม ข้อมูลความพิการที่หลุดอาจทำให้เด็กถูกตีตราไปอีกนาน
ความเสี่ยงอีกด้านคือขนาด ข้อมูลเก่าที่ไม่เคยลบทำให้เหตุเดียวกระทบศิษย์เก่าหลายรุ่น แบบเดียวกับที่ ETS ต้องแจ้งผู้ที่ออกจากระบบตั้งแต่ ค.ศ. 2006
สถานศึกษาและ EdTech ไทยควรทำอะไรตอนนี้
สถานศึกษาและ EdTech ไทยควรทำ 5 เรื่องต่อไปนี้ เพื่อไม่ให้เหตุแบบ ETS ข้อมูลรั่วเกิดกับข้อมูลนักเรียนของตัวเอง
- 1. ทำรายชื่อผู้รับจ้างที่ถือข้อมูลนักเรียน ระบุว่าแต่ละรายได้ข้อมูลอะไร โดยเฉพาะข้อมูลสุขภาพหรือความพิการ
- 2. กำหนดระยะเก็บและการลบในสัญญา ให้ผู้รับจ้างลบข้อมูลเมื่อจบงาน และส่งหนังสือยืนยันการลบ
- 3. ขอสิทธิ audit และ log การเข้าถึง ให้ผู้รับจ้างเก็บ log การดึงไฟล์และส่งรายงานเป็นระยะ
- 4. ส่งข้อมูลอ่อนไหวเท่าที่จำเป็น ถ้างานจัดสอบไม่ต้องใช้สถานะความพิการ ไม่ต้องส่ง
- 5. กำหนดเวลาแจ้งเหตุเป็นชั่วโมง ให้ผู้รับจ้างแจ้งโรงเรียนเร็วพอที่โรงเรียนจะแจ้ง สคส. ทัน 72 ชั่วโมง
ถ้าต้องการต้นแบบสัญญา ดู ชุดสัญญาประมวลผล/แบ่งปันข้อมูล (DPA/DSA) แล้วเพิ่มเงื่อนไขเฉพาะข้อมูลนักเรียน ประเด็นผู้รับจ้างทำข้อมูลอ่อนไหวรั่วในภาคสุขภาพดูได้ที่ Medyc เวชระเบียนรั่ว โปแลนด์เตรียมบังคับรับรองมาตรฐานผู้ประมวลผลข้อมูลสุขภาพ โรงพยาบาลไทยที่ใช้ HIS ภายนอกต้องระวังอะไร
มุมมองผู้เชี่ยวชาญ
เหตุของ ETS ไม่ได้บอกแค่ว่าระบบถูกเจาะ แต่บอกว่าข้อมูลของเด็กที่ออกจากโรงเรียนไปเกือบ 20 ปียังถูกเก็บไว้ ข้อมูลที่ไม่ได้ใช้แล้วไม่มีคุณค่าต่อโรงเรียนเลย แต่มีคุณค่าเต็มที่สำหรับคนร้าย จุดที่สถานศึกษามักพลาดคือเซ็นสัญญาจ้างโดยไม่เขียนว่าต้องลบข้อมูลเมื่อไร ควรเช็กสัญญาผู้รับจ้างทุกฉบับที่แตะข้อมูลสุขภาพของเด็ก
— Phuwara Krobtaku —
LL.M. (IP & IT) | M.S. (IT) | Thai Barrister & Attorney-at-Law
ประวัติผู้เขียน · นโยบายบรรณาธิการ
คำถามที่พบบ่อยเกี่ยวกับ ETS ข้อมูลรั่ว
ETS ข้อมูลรั่ว กระทบนักเรียนกี่คน
รายงานไม่ได้ระบุจำนวนผู้ได้รับผลกระทบที่ยืนยันแล้ว แต่ระบุว่ากระทบนักเรียนรัฐทุกคนตั้งแต่ ค.ศ. 2023 และผู้ที่ออกตั้งแต่ ค.ศ. 2006 โดยไม่มีหลักฐานย้าย ปี ค.ศ. 2025 รัฐแคลิฟอร์เนียมีนักเรียนกว่า 5.7 ล้านคน
ข้อมูลอะไรของนักเรียนหลุดไปบ้าง
ข้อมูลที่หลุดคือชื่อ วันเกิด ที่อยู่ รหัสนักเรียน และสถานะความพิการหรือ Section 504 ยังไม่มีกลุ่มใดอ้างความรับผิดชอบ
ข้อมูลความพิการของนักเรียนเป็นข้อมูลอ่อนไหวตาม PDPA หรือไม่
เป็น เพราะข้อมูลความพิการเป็นข้อมูลสุขภาพซึ่งอยู่ในข้อมูลอ่อนไหวตาม PDPA มาตรา 26 การเก็บและส่งต่อจึงต้องมีฐานทางกฎหมายเฉพาะและมาตรการดูแลที่เข้มกว่าข้อมูลทั่วไป
โรงเรียนต้องเขียนอะไรในสัญญากับบริษัทจัดสอบ
ควรเขียนเรื่องขอบเขตข้อมูลที่ส่ง ระยะเก็บและการลบ สิทธิ audit หน้าที่เก็บ log การเข้าถึง และเวลาแจ้งเหตุเป็นชั่วโมง เพื่อให้โรงเรียนแจ้ง สคส. ได้ทัน 72 ชั่วโมง
อ่านต่อ: ความรู้ที่เกี่ยวกับเรื่องนี้
- สัญญาประมวลผลข้อมูลส่วนบุคคล (ผู้ควบคุม–ผู้ประมวลผล) ต้องมีอะไรบ้าง — รายการข้อสัญญาที่โรงเรียนควรมีเมื่อส่งข้อมูลนักเรียนให้ผู้รับจ้าง (ok.aipdpa.com)
แหล่งอ้างอิง
- The Record — (อ่านต้นฉบับ) — อ่านข่าวที่ The Record
บทความนี้เป็นการสรุปข่าวและให้ข้อมูลทั่วไป ไม่ใช่คำแนะนำทางกฎหมาย หากต้องการคำปรึกษาเฉพาะกรณีของธุรกิจคุณ ควรปรึกษาผู้เชี่ยวชาญ
[…] […]