บทที่ 4

แนวทางในการออกฎหมายลายมือชื่ออิเล็กทรอนิกส์ในประเทศไทย

ในอนาคตอันใกล้ประเทศไทยคงจะมีกฎหมายพื้นฐานสำหรับการพาณิชย์อิเล็กทรอนิกส์  ซึ่งยอมรับฐานะทางกฎหมายของเอกสารและลายมือ ชื่ออิเล็กทรอนิกส์  จุดมุ่งหมายของการออกกฎหมายลายมือชื่ออิเล็กทรอนิกส์เพิ่มเติมจากกฎหมายดังกล่าว คือ การกำหนดลักษณะของ ลายมือชื่ออิเล็กทรอนิกส์ที่ยอมรับได้ และส่งเสริมให้เกิดการใช้เทคโนโลยีดังกล่าวอย่างแพร่หลายในการพาณิชย์อิเล็กทรอนิกส์ โดยสร้างสภาวะแวดล้อมทางกฎหมายที่มีความแน่นอนและสามารถคาดหมายผลลัพท์ได้

ในบทนี้ผู้วิจัยจะนำเสนอแนวทางในการออกกฎหมายลายมือชื่ออิเล็กทรอนิกส์ในประเทศไทย  โดยจะวิเคราะห์ประเด็นสำคัญที่ต้องพิจารณา 4 ประเด็นดังต่อไปนี้คือ

  1. ควรกำหนดขอบเขตของกฎหมายให้มุ่งใช้กับลายมือชื่อและใบรับรองอิเล็กทรอนิกส์ที่ใช้เทคโนโลยีใดเป็นการเฉพาะเจาะจงหรือไม่
  2. ควรกำกับดูแลองค์กรออกใบรับรองด้วยระบบใบอนุญาตหรือไม่ อย่างไร
  3. ควรแบ่งหน้าที่และความรับผิดชอบของฝ่ายต่างๆ ที่เกี่ยวข้องเช่น เจ้าของลายมือชื่ออิเล็กทรอนิกส์  ผู้ใช้ลายมืออิเล็กทรอนิกส์ของผู้อื่น และองค์กรออกใบรับรองอย่างไร
  4. ควรยอมรับลายมือชื่ออิเล็กทรอนิกส์ที่ออกโดยองค์กรออกใบรับรองที่ตั้งอยู่ในต่างประเทศหรือไม่ ภายใต้เงื่อนไขใด

คำตอบของคำถามดังกล่าวจะเป็นอย่างไรย่อมขึ้นอยู่กับหลักการและจุดประสงค์ในการออกกฎหมาย  ผู้วิจัยเสนอว่าหลักการและจุดประสงค์ ในการออกกฎหมายดังกล่าวในประเทศไทยควรประกอบไปด้วย

  1. หลักความเป็นกลางทางเทคโนโลยี (technology neutrality) ไม่บิดเบือนกลไกตลาด เพื่อให้ตลาดสามารถคัดเลือกเทคโนโลยี ที่เหมาะสมที่สุด
  2. หลักการที่ถือว่าเอกชนควรเป็นผู้นำในการพาณิชย์อิเล็กทรอนิกส์ โดยรัฐจะไม่เข้าไปแทรกแซงโดยไม่มีเหตุผลอันสมควร
  3. หลักการส่งเสริมความสอดคล้องกับสากลเนื่องจากการพาณิชย์อิเล็กทรอนิกส์เป็นรูปแบบของการพาณิชย์ซึ่งอาจเกี่ยวข้อง กับผู้ซื้อและผู้ขายที่อยู่ในคนละประเทศ  ความสอดคล้องของกฎหมายไทยกับกฎหมายสากลจึงเป็นสิ่งที่มีความสำคัญเป็นอย่างยิ่ง

ในการวิเคราะห์ประเด็นต่างๆ ในบทนี้ ผู้วิจัยจะอ้างอิงร่างข้อกำหนดมาตรฐานว่าด้วยลายมือชื่ออิเล็กทรอนิกส์ของคณะกรรมาธิการด้านกฎหมาย ของสหประชาชาติ (UNCITRAL Uniform Rules on Electronic Signatures) และกฎหมายที่เกี่ยวข้องของประเทศอื่นๆ เช่น กฎหมายธุรกรรม อิเล็กทรอนิกส์ของสิงคโปร์ (Singapore’s Electronic Transaction Act) และร่างข้อกำหนดของสหภาพยุโรป (EU Directive) ประกอบ19

4.1 ขอบเขตของกฎหมาย

ปัญหาแรกที่ผู้ออกกฎหมายลายมือชื่ออิเล็กทรอนิกส์จะต้องตัดสินใจ คือ จะออกกฎหมายให้สามารถใช้ได้กับเทคโนโลยีในการออกใบรับรอง ทั้งหมดเช่นการเข้ารหัสโดยใช้กุญแจสาธารณะ การตรวจสอบลักษณะทางชีวภาพ (biometrics) ตลอดจนเทคโนโลยีอื่นๆ ที่ยังไม่ถูกคิดค้นขึ้น ในปัจจุบัน  หรือจะออกกฎหมายที่มุ่งใช้กับเทคโนโลยีที่แพร่หลายอยู่ในปัจจุบันคือเทคโนโลยีการเข้ารหัสด้วยกุญแจสาธารณะโดยเฉพาะ

หากยึดหลักการความเป็นกลางทางเทคโนโลยีแล้ว  การออกกฎหมายลายมือชื่ออิเล็กทรอนิกส์ไม่ควรที่จะมุ่งเน้นเฉพาะเทคโนโลยีใด เทคโนโลยีหนึ่ง  เนื่องจากการออกกฎหมายที่มุ่งเน้นเฉพาะเทคโนโลยีนอกจากจะบิดเบือนกลไกลตลาดจากการทำให้เทคโนโลยีแต่ละชนิด มีฐานะทางกฎหมายที่แตกต่างกันแล้ว ยังจะทำให้กฎหมายล้าสมัยได้ง่ายเมื่อเกิดเทคโนโลยีใหม่มาทดแทนเทคโนโลยีเดิมเช่นในปี 1995 ผู้ออกกฎหมายลายมือชื่ออิเล็กทรอนิกส์ส่วนใหญ่เชื่อกันว่าการเข้ารหัสด้วยกุญแจสาธารณะเป็นวิธีการเดียวในการระบุตัวบุคคล   อย่างไรก็ตาม หลังจากนั้นเราจะเห็นว่าเกิดเทคโนโลยีในการระบุตัวบุคคลชนิดต่างๆ มากมายเช่นการตรวจสอบลักษณะทางชีวภาพ หรือการกำหนดเลขหมาย (serial number) ของไมโครโปรเซสเซอร์เพนเทียมรุ่นที่สาม (Pentium III) ของบริษัทอินเทล  ซึ่งจะช่วยให้ระบุตัวผู้ใช้เครื่องคอมพิวเตอร์ได้ง่ายขึ้น แม้ว่าวิธีดังกล่าวได้รับการคัดค้านจนต้องล้มเลิกไปในที่สุดก็ตาม

นอกจากนี้หากเรายึดถือหลักความเป็นกลางทางเทคโนโลยีอย่างเคร่งครัด เราก็ไม่ควรแบ่งลายมือชื่อออกเป็นชั้นต่างๆ เช่นแบ่งเป็น 2 ระดับ (two-tier approach) คือลายมือชื่อดิจิตัลหรือที่เรียกกันว่า “ลายมือชื่อขั้นสูง” (enhanced signature หรือ secure signature)  กับลายมือชื่อ อิเล็กทรอนิกส์อื่นๆ ดังที่ปรากฏอยู่ในกฎหมายของบางประเทศซึ่งกำหนดให้ลายมือชื่อ ทั้งสองแบบนี้มีผลทางกฎหมายที่แตกต่างกัน เช่น ในการลงลายมือชื่อดิจิตัลให้สันนิษฐานว่า เจ้าของกุญแจส่วนตัวที่ใช้ในการลงลายมือชื่อนั้นเป็นผู้ลงลายมือชื่อ (presumption of identity) และได้แสดงเจตนาในการลงลายมือชื่อในเอกสาร (presumption of  intent to sign) ในขณะที่การลงลายมือชื่ออิเล็กทรอนิกส์แบบอื่น จะไม่มีผลทางกฎหมายในลักษณะดังกล่าว20

4.2 การกำกับดูแลด้วยระบบใบอนุญาต

ประเด็นปัญหาอีกประการหนึ่งซึ่งผู้ยกร่างกฎหมายลายมือชื่ออิเล็กทรอนิกส์ต้องตัดสินใจ คือ จะกำหนดให้ธุรกิจออกใบรับรองเป็นธุรกิจ ที่ต้องได้รับใบอนุญาตในการประกอบการหรือจะปล่อยเป็นธุรกิจที่ประกอบการได้โดยเสรี เหตุผลในการใช้ระบบใบอนุญาต คือ รัฐจะสามารถกำกับดูแลธุรกิจดังกล่าวได้สะดวกขึ้น ซึ่งอาจมีความจำเป็นในการคุ้มครองผู้ถือใบรับรองหรือผู้ที่ใช้ใบรับรองในการระบุตัวผู้อื่น

ตัวอย่างของกฎหมายที่กำกับดูแลธุรกิจออกใบรับรองในระบบใบอนุญาต ได้แก่ กฎหมายของอิตาลีซึ่งกำหนดให้องค์กรออกใบรับรอง ทุกแห่งต้องจดทะเบียนกับหน่วยงานกำกับดูแล และต้องปฏิบัติตามข้อกำหนดด้านการเงินและด้านเทคนิคต่างๆ เช่น จะต้องมีเงินทุน จดทะเบียนไม่น้อยกว่า 7.5 ล้านดอลลาร์สหรัฐ และพนักงานขององค์กรออกใบรับรองจะต้องมีคุณสมบัติเช่นเดียวกับพนักงานธนาคารพาณิชย์ เป็นต้น

นอกจากทางเลือกในการกำกับดูแลด้วยระบบใบอนุญาตแบบบังคับ (mandatory licensing scheme) ดังตัวอย่างของอิตาลีแล้ว  รัฐยังสามารถ กำกับดูแลธุรกิจออกใบรับรองได้ด้วยระบบใบอนุญาตแบบสมัครใจ (voluntary licensing scheme) ดังที่ปรากฎในกฎหมายธุรกรรม อิเล็กทรอนิกส์ของสิงคโปร์ ซึ่งอนุญาตให้มีทั้งองค์กรออกใบรับรองที่ได้รับอนุญาต (licensed CA) และองค์กรออกใบรับรองอื่นๆ (unlicensed CA) โดยกำหนดให้องค์กรออกใบรับรองในกลุ่มแรกมีเงื่อนไขในการประกอบกิจการที่เข้มงวดกว่า  ในขณะเวลาเดียวกันก็จูงใจให้องค์กรออก ใบรับรองต่างๆ เข้าสู่ระบบใบอนุญาตโดยกำหนดให้องค์กรออกใบรับรองที่ได้รับใบอนุญาต ไม่ต้องมีความรับผิดชอบในกรณีที่มีผู้ปลอมแปลง ใบรับรอง และสามารถจำกัดความรับผิดชอบสูงสุดในบางกรณีได้ ตัวอย่างของเงื่อนไขในการประกอบการขององค์กรออกใบรับรองที่ได้รับ ใบอนุญาตตามกฎหมายธุรกรรมอิเล็กทรอนิกส์ของสิงคโปร์ได้แก่

แนวทางการกำกับดูแลองค์กรออกใบรับรองด้วยระบบใบอนุญาตแบบสมัครใจของสิงคโปร์เป็นแนวทางที่สอดคล้องกับร่างข้อกำหนด ของสหภาพยุโรป (EU Directive) ซึ่งห้ามประเทศสมาชิกออกกฎหมายบังคับให้องค์กรออกใบรับรองทุกแห่งต้องขอใบอนุญาตประกอบการ ในกรณีที่ประเทศสมาชิกต้องการใช้ระบบใบอนุญาต  ร่างข้อกำหนดดังกล่าวก็ให้ใช้นำระบบใบอนุญาตแบบสมัครใจมาใช้โดยเงื่อนไข ในการขอใบอนุญาตต้องมีความที่ชัดเจนโปร่งใส และไม่มีลักษณะเลือกปฏิบัติ21

ผู้วิจัยมีข้อสังเกตว่าระบบใบอนุญาตไม่ได้เป็นเงื่อนไขที่จำเป็นในการกำกับดูแล ดังจะเห็นได้จากการที่กฎหมายธุรกรรมอิเล็กทรอนิกส์ของ สิงคโปร์ กำหนดให้องค์กรออกใบรับรองทุกแห่งต้องประกาศถ้อยแถลงแนวทางปฏิบัติในการออกใบรับรอง (Certification Practice Statement)  และต้องปฏิบัติตามมาตรฐานในการเปิดเผยข้อมูลต่างๆ แก่สาธารณะและขั้นตอนในการยกเลิกหรือระงับใบรับรองชั่วคราว  ไม่ว่าองค์กร ออกใบรับรองนั้นจะได้รับใบอนุญาตหรือไม่  ระบบใบอนุญาตเพียงแต่ช่วยให้สามารถกำกับดูแลองค์กรออกใบรับรองได้สะดวกขึ้นเท่านั้น

ข้อพึงระวังในการยกร่างกฎหมายลายมือชื่ออิเล็กทรอนิกส์ในประเทศไทยก็คือ หากรัฐต้องการนำระบบใบอนุญาตมาใช้ ระบบใบอนุญาตนั้น ควรเป็นระบบใบอนุญาตแบบสมัครใจเพื่อป้องกันมิให้กฎหมายสร้างต้นทุนที่สูงขึ้นโดยไม่จำเป็นแก่องค์กรออกใบรับรอง โดยเฉพาะอย่างยิ่ง องค์กรออกใบรับรองที่ให้บริการในสภาพแวดล้อมแบบปิดซึ่งฝ่ายต่างๆ ที่เกี่ยวข้องมีความสัมพันธ์กันโดยสัญญาทั้งหมด  ทำให้ความจำเป็น ในการคุ้มครองจากความเสียหายจากการออกใบรับรองที่ผิดพลาดมีไม่มาก

4.3 หน้าที่และความรับผิดชอบของฝ่ายต่างๆ

 กฎหมายลายมือชื่ออิเล็กทรอนิกส์ควรกำหนดหน้าที่ของฝ่ายต่างๆ ที่เกี่ยวข้องกับการใช้ลายมือชื่ออิเล็กทรอนิกส์คือผู้ลงลายมือชื่อ (signature holder) ผู้ใช้ลายมือชื่อ (relying party) และองค์กรออกใบรับรอง (certification authority) เพื่อให้การใช้ลายมือชื่ออิเล็กทรอนิกส์นั้นเป็นไปอย่าง ระมัดระวังไม่ก่อให้เกิดความเสียหายโดยไม่สมควรจากความประมาทหรือการกระทำที่เสี่ยงภัยเกินเหตุ (moral hazard)22 โดยหลักการแล้ว แต่ละฝ่ายควรจะมีหน้าที่ในการใช้ลายมือชื่ออิเล็กทรอนิกส์อย่างระมัดระวังตามสมควร (due care) ดังต่อไปนี้

ผู้ลงลายมือชื่อควรมีหน้าที่ในการใช้ลายมือชื่อของตนอย่างระมัดระวังโดย

ผู้ใช้ลายมือชื่อของผู้อื่นควรมีความระมัดระวังตามสมควรโดย

องค์กรออกใบรับรองมีภาระหน้าที่ขั้นต่ำในการให้บริการดังต่อไปนี้

หากฝ่ายใดไม่ทำตามหน้าที่ดังกล่าวของตนโดยมีสาเหตุจากความประมาทเลินเล่อ  ผู้นั้นก็จะต้องรับผิดชอบในการชดใช้ความเสียหายให้แก่ ผู้เสียหาย ซึ่งมูลค่าของความเสียหายที่จะต้องชดใช้ให้แก่กันนั้นอาจถูกกำหนดล่วงหน้าในสัญญาระหว่างฝ่ายต่างๆ  ส่วนในกรณีที่ไม่มี การทำสัญญา ล่วงหน้าระหว่างองค์กรออกใบรับรองและผู้ใช้ใบรับรอง ซึ่งอาจเกิดขึ้นได้ในสภาพแวดล้อมแบบเปิด  การชดใช้ค่าเสียหาย ก็จะเป็นไปตามหลักแห่งกฎหมายละเมิด23 ในกรณีนี้กฎหมายของบางประเทศอาจอนุญาตให้องค์กรออกใบรับรองสามารถกำหนดขอบเขต ของความรับผิดชอบสูงสุดของตนได้เช่น กฎหมายของสิงคโปร์อนุญาตให้องค์กรออกใบรับรองที่ได้รับใบอนุญาต (licensed CA) สามารถจำกัดความรับผิดชอบสูงสุดของตนได้โดยระบุมูลค่าสูงสุดในใบรับรอง  ซึ่งอาจใช้เป็นแบบอย่างในการออกกฎหมายลายมือชื่อ อิเล็กทรอนิกส์ในประเทศไทยได้

สิ่งที่จะเกิดขึ้นจากการยินยอมให้ธุรกิจออกใบรับรองสามารถจำกัดภาระความรับผิดชอบได้ก็คือ ผู้ใช้ใบรับรองจะต้องประเมินความเสี่ยง ของตนที่อาจเกิดขึ้นโดยเทียบกับประโยชน์ที่จะได้รับ ในกรณีที่ธุรกรรมมีมูลค่าสูงผู้ใช้อาจไม่ยอมใช้ใบรับรองนั้น หากเห็นว่าอาจไม่ได้รับ การชดเชยอย่างเพียงพอ    ผู้วิจัยเสนอว่าก่อนที่รัฐจะทำการแทรกแซงตลาดโดยวิธีการใดเพื่อแก้ไขปัญหาดังกล่าว ก็ควรปล่อยให้กลไกตลาด แก้ไขปัญหาเองก่อน เพราะหากตลาดสามารถทำงานได้อย่างสมบูรณ์  ในที่สุดจะมีองค์กรออกใบรับรองบางแห่งที่จะยอมชดใช้ความเสียหายใน
มูลค่าที่สูงขึ้น โดยปรับค่าธรรมเนียมในการออกใบรับรองให้เหมาะสม

4.4 การยอมรับลายมือชื่ออิเล็กทรอนิกส์หรือใบรับรองที่ออกในต่างประเทศ

ผู้วิจัยเชื่อว่าในเวทีการเจรจาการค้าระหว่าประเทศว่าด้วยการพาณิชย์อิเล็กทรอนิกส์ในอนาคต ประเด็นที่จะมีความสำคัญเป็นอย่างสูงคือ การยอมรับลายมือชื่อหรือใบรับรองที่ออกโดยหน่วยงานรับรองในต่างประเทศ โดยประเทศพัฒนาแล้วคงจะพยายามผลักดันให้ประเทศอื่นๆ ไม่เลือกปฏิบัติ (non-discrimination) ต่อใบรับรองของตน24

ตัวอย่างบทบัญญัติที่ป้องกันการเลือกปฏิบัติต่อใบรับรองต่างชาติได้แก่25

  1. ในการพิจารณาว่าใบรับรองอิเล็กทรอนิกส์ใดจะมีผลทางกฎหมายหรือไม่ จะไม่นำสถานที่ที่ออกใบรับรอง  ตลอดจนประเทศที่เป็นที่ตั้ง ของหน่วยงานที่ออกใบรับรองนั้นมาพิจารณา
  2. ใบรับรองที่ออกโดยหน่วยงานออกใบรับรองในต่างประเทศจะมีผลทางกฎหมายเช่นเดียวกันกับใบรับรองที่ออกโดยหน่วยงานออก ใบรับรองในประเทศ  หากแนวทางปฏิบัติในการออกใบรับรองของหน่วยงานดังกล่าวมีความเชื่อถือได้ที่ไม่น้อยไปกว่าแนวทางปฏิบัติ ที่กำหนดในกฎหมายในประเทศ
  3. ลายมือชื่ออิเล็กทรอนิกส์ที่ออกตามข้อกำหนดของกฎหมายต่างประเทศจะมีผลทางกฎหมายเทียบเท่ากับลายมือชื่อที่ออกในประเทศ หากกฎหมายของต่างประเทศกำหนดมาตรฐานความเชื่อถือได้ไม่ต่ำกว่ามาตรฐานที่กำหนดไว้ในกฎหมายในประเทศ
  4. ให้อิสระกับคู่สัญญาซึ่งทำธุรกรรมอิเล็กทรอนิกส์ในการกำหนดองค์กรรับรอง หรือมาตรฐานขององค์กรรับรองหรือใบรับรอง ในการติดต่อกันที่ทั้งสองฝ่ายยอมรับ

ต่อประเด็นนี้ ผู้วิจัยเห็นว่าหลักการปฏิบัติเยี่ยงคนชาติดังกล่าวเป็นหลักการที่ประเทศไทยควรยอมรับ  เพราะการยอมรับใบรับรองต่างชาติ ที่ได้มาตรฐานให้มีฐานะทางกฎหมายจะช่วยเพิ่มทางเลือกให้แก่ผู้ใช้ในประเทศไทย  อย่างไรก็ตาม ข้อควรระวังก็คือ ต่างประเทศอาจจะ ไม่ยอมรับใบรับรองของประเทศไทย ทั้งจากการไม่กำหนดบทบัญญัติในลักษณะดังกล่าวข้างต้นในกฎหมายของตน หรือแม้จะกำหนดบทบัญญัติ ดังกล่าวลงในกฎหมาย ก็อาจจะอ้างว่าการออกลายมือชื่อหรือใบรับรองในประเทศไทยไม่ได้มาตรฐานเพื่อกีดกันทางการค้าได้  ทั้งนี้เนื่องจาก การเปรียบเทียบมาตรฐานในการออกใบรับรองของแต่ละประเทศไม่สามารถหลีกเลี่ยงความเป็นอัตวิสัย (subjectivity)  ได้ทั้งหมด  ทางออกในเรื่องดังกล่าวน่าจะได้แก่การเสนอให้มีการกำหนดมาตรฐานขั้นต่ำซึ่งมีความโปร่งใส  ซึ่งทุกประเทศที่ทำความตกลงร่วมกันจะต้อง ยอมรับใบรับรองที่ผ่านมาตรฐานดังกล่าว26

นอกจากประเด็นต่างๆ ดังกล่าวข้างต้นแล้ว กฎหมายลายมือชื่ออิเล็กทรอนิกส์ของประเทศไทยควรพิจารณาให้คู่สัญญามีอิสระในการทำสัญญา ที่แตกต่างจากข้อกำหนดในกฎหมายได้ตามสมควรตราบเท่าที่การกระทำเช่นนั้นไม่ส่งผลกระทบร้ายแรงต่อบุคคลที่สาม เช่น ควรยินยอมให้ คู่สัญญาสามารถเปลี่ยนแปลงหน้าที่และความรับผิดชอบได้ตามสมควรเพื่อป้องกันมิให้กฎหมายเป็นอุปสรรคต่อการทำธุรกรรมทาง การพาณิชย์อิเล็กทรอนิกส์ โดยเฉพาะการทำธุรกรรมในสภาพแวดล้อมแบบปิดซึ่งแต่ละฝ่ายมีความสัมพันธ์เชิงสัญญากันอยู่แล้ว

นอกจากนี้เพื่อให้กฎหมายลายมือชื่ออิเล็กทรอนิกส์ของไทยมีความสอดคล้องกับกฎหมายของนานาประเทศ ผู้ดำเนินการยกร่างกฎหมายดังกล่าว ควรติดตามความเคลื่อนไหวในการออกกฎหมายที่เกี่ยวข้องในต่างประเทศอย่างใกล้ชิด โดยเฉพาะร่างข้อกำหนดมาตรฐานว่าด้วยลายมือชื่อ อิเล็กทรอนิกส์ของคณะกรรมาธิการด้านกฎหมายของสหประชาชาติ ซึ่งอาจจะกลายเป็นกฎหมายต้นแบบของประเทศต่างๆ ในอนาคต