ขอร่วมคิด
ในฐานะที่ทำงานอยู่ในองค์กรที่ถือเป็นผู้ให้บริการ Access Service Provider ตามประกาศกระทรวง ICT ฉบับข้างต้น มีความเห็นว่า สิ่งที่ประกาศนี้บอกให้ access provider เก็บ ซึ่งเขียนอ้างอิงตาม RADIUS accounting log ที่ออกมาจากอุปกรณ์ประเภท RAS (remote-access server) นั้นเป็นการจำกัดมากเกินไป การให้บริการหลายอย่างไม่มีลักษณะ logon-logoff เช่นนั้น เช่น การใช้งานอินเตอร์เน็ตผ่านเครือข่ายแลนในออฟฟิศ ทำให้หน่วยงานต่างๆ หรือแม้กระทั่งร้านกาแฟที่ให้บริการ WiFi ฟรี ขาดหลักเกณฑ์อ้างอิง มีการตีความไปต่างๆนาๆ ว่าถ้าเช่นนั้นควรจะเก็บอะไร เก็บอย่างไรจึงจะเป็นไปตาม พรบ. เปิดช่องให้ผู้ผลิตอุปกรณ์เพื่อการเก็บข้อมูลจราจรฯ ตีความไปในทางที่ว่า ต้องเก็บอย่างละเอียด ต้องใช้อุปกรณ์ที่ตนผลิตขึ้น เพื่อให้ comply พรบ.



ซึ่งหากมองภาพกว้างๆ ผู้ผลิตอุปกรณ์ต่างๆ บางรายก็มีส่วนร่วมในกระบวนการร่าง พรบ. นี้ด้วยเช่นกัน หากไม่มองในแง่ลบ ก็อาจจะคาดหมายได้ว่า ท่านเหล่านั้นเป็นผู้เชี่ยวชาญด้านความมั่นคงปลอดภัยสารสนเทศ ซึ่งคงจะต้องให้ความเห็นเรื่องต่างๆเหล่านี้อยู่แล้ว



แต่การณ์กลับกลายเป็นว่า อุปกรณ์ต่างๆที่ใช้ในการเก็บ internet access log ที่เกิดจากการใช้งานของผู้ใช้งานผ่านเครือข่ายของผู้ให้บริการ (ไม่ใช่ Log ที่เกิดทางฝั่ง server ที่ให้บริการ) ที่อ้างว่าสามารถเก็บข้อมูลได้ครอบคลุมตามที่ พรบ. กำหนดนั้น มีราคาหลักแสนบาท หรืออย่างต่ำๆ ก็หลายหมื่นบาท เป็นการผลักภาระให้แก่องค์กรต่างๆ ไม้เว้นแม้แต่ร้านกาแฟ ซึ่งให้บริการโดยไม่คิดค่าใช้จ่าย ไม่มีรายได้จากการให้บริการอินเตอร์เน็ต แต่ถ้าจะเก็บ Log File ให้ได้รายละเอียดตามที่กฎหมายกำหนด กลับต้องจ่ายเงินหลายหมื่นบาท อุปกรณ์พวกนี้บางประเภทใช้หลักการเก็บ session data ซึ่งจะเกิดขึ้นทุกครั้งที่ซอฟต์แวร์ใดๆ เริ่มหรือเลิกการติดต่อกับ server ซึ่งแม้จะเป็นผู้ใช้งานเพียงรายเดียวก็จะเกิดขึ้นได้หลายครั้งใน 1 วินาที นับเป็นปริมาณข้อมูลที่มากโขอยู่

อยากให้การเก็บข้อมูลดังกล่าวควรจะวางกรอบแนวคิดคร่าวๆ แทนที่จะลงรายละเอียดโดยอิงกับระบบใดระบบหนึ่ง และให้มีความเป็นไปได้ในทางปฏิบัติ มีความชัดเจนที่จะสามารถตีความได้ง่าย และไม่สร้างภาระต้นทุนเพิ่มแก่ธุรกิจมากเกินไปนัก