เพกาซัส ไม่ใช่แค่ม้ามีปีกในเทพนิยาย แต่เป็นสปายแวร์สอดแนมของ NSO Group บริษัทด้านข่าวกรองทางไซเบอร์ของอิสราเอล ที่ถูกซื้อขายให้แก่รัฐบาลประเทศต่าง ๆ และมักถูกนำมาใช้สอดแนมผู้ที่รัฐมองว่าเป็นภัยความมั่นคง โดยเคยมีกรณีร้ายแรงถึงชีวิตเกิดขึ้นกับนักข่าวที่วิพากษ์วิจารณ์ราชวงศ์ซาอุดีอาระเบีย ซึ่งมีเบาะแสชี้ว่าบุคคลนั้นถูกสอดแนมโดยเพกาซัสก่อนจะเกิดเหตุ

หลังกระแสการชุมนุมเรียกร้องทางการเมืองช่วงปี 2563-2564 ในรัฐบาลประยุทธ์ สปายแวร์เพกาซัสกลายเป็นที่สนใจในสังคมไทยหลังจากมีข่าวว่านักกิจกรรมไทยได้รับแจ้งเตือนจาก Apple ว่าถูกสอดแนมโดยสปายแวร์ดังกล่าว ผู้มีส่วนได้รับผลกระทบจึงรวมตัวกันฟ้องคดีต่อรัฐบาลประยุทธ์และบริษัท NSO Group ในการใช้สปายแวร์ดังกล่าวสอดแนมนักกิจกรรม 

ความคืบหน้าของคดีเป็นอย่างไร อุปสรรรคและความคาดหวังที่มีต่อการดำเนินคดีเป็นแบบไหน ชวนคุยกับเจ้าหน้าที่ iLaw และทีมทนายความได้ใน “มนุษย์ออนไลน์ ปี 2 EP.5 : พลเมืองฟ้องกลับ!! สปายแวร์เพกาซัส”

พลเมืองฟ้องกลับ!! สปายแวร์เพกาซัส | มนุษย์ออนไลน์ ปี 2 EP.5

พลเมืองฟ้องกลับ!! คดีเพกาซัส ถึงไหนแล้ว? | มนุษย์ออนไลน์ ปี 2 EP.5

รู้จักเพกาซัส จากเรื่องของผู้ที่เป็นทั้งเหยื่อและผู้สืบสวนหาข้อเท็จจริง

บุศรินทร์ แปแนะ เจ้าหน้าที่ iLaw เล่าว่าด้วยการที่ต้องทำงานเกี่ยวกับเสรีภาพในการชุมนุม จึงเลี่ยงไม่ได้ที่จะลงพื้นที่เก็บข้อมูล ที่ต้องพูดคุยกับหลายฝ่าย ทั้งผู้ชุมนุม แกนนำ ไปจนถึงตำรวจหรือเจ้าหน้าที่รัฐ ทำให้หลายครั้งมีชื่ออยู่ในรายงานของตำรวจ หรือข่าวความมั่นคง แต่ตอนนั้นยังไม่ได้คิดอะไรมาก เนื่องจากตัวเองเป็นเพียงนักสังเกตการณ์ไม่ได้มีส่วนกับการชุมนุม คงไม่ถูกจัดให้เป็นภัยความมั่นคงเหมือนกับแกนนำในการชุมนุม ที่มีข้อเรียกร้องที่สูง อย่างเช่นการปฏิรูปสถาบันกษัตริย์

ในช่วงเดือนพฤศจิกายน ของปี 2564 จึงเริ่มเห็นว่าเพื่อนในแวดวงนักกิจกรรมหลายคน ที่ได้รับอีเมลแจ้งเตือนจาก Apple ว่ามือถือของพวกเขา อาจตกเป็นเป้าหมายจากผู้จู่โจมที่ได้รับการสนับสนุนโดยรัฐ ซึ่งไม่ได้คิดว่าจะเกิดขึ้นกับตัวเอง เพราะไม่ได้เป็นแกนนำที่มีชื่อเสียง หรือออกหน้าสื่อ จนได้เช็คอีเมลจึงพบว่าตัวเองก็ได้รับการแจ้งเตือนเดียวกัน และต่อมาถึงได้รู้ว่า ยิ่งชีพ อัชฌานนท์ ผู้อำนวยการของ iLaw ก็ถูกโจมตีเช่นเดียวกัน บุศรินทร์ ยอมรับว่าช่วงแรก ๆนั้นจัดการตัวเองไม่ถูก เพราะไม่รู้ว่ากำลังเผชิญกับอะไร ได้มีการรีบไปเปลี่ยนรหัสต่าง ๆในมือถือ ส่งผลให้การรวบรวมหลักฐานภายหลังยุ่งยากขึ้น

จนมารู้ว่าสิ่งที่มาเจาะข้อมูลเป็นสปายแวร์เพกาซัส หลังจากนั้น 1 สัปดาห์ ส่วนตัวรู้จักสปายแวร์นี้ จากกรณีที่นำไปใช้กับเหตุฆาตกรรมจามาล คาช็อกกี นักข่าวที่วิพากษ์วิจารณ์ราชวงศ์ซาอุดีอาระเบีย “เราไมได้คิดว่าเราจะโดนฆ่าหรอก แต่รู้สึกว่ามันขนาดนั้นเลยหรือ สิ่งที่เราทำเรื่องเสรีภาพการชุมนุม เวลาเด็กโดนยิงแล้วเราไปช่วย ทำให้เราต้องโดนขนาดนี้เลยหรือ” บุศรินทร์บอกถึงความรู้สึกของช่วงเวลานั้น ที่เต็มไปด้วยความสับสน เมื่อเริ่มค้นหาข้อมูลเพิ่ม ก็ได้เห็นตัวอย่างของเหยื่อหลายคน 

เช่น ผู้หญิงอินเดียที่ถูกเอาเรื่องส่วนตัวที่ได้จากการเจาะมือถือมาโจมตีในพื้นที่สาธารณะ “ทำให้รู้เลยว่ายิ่งคุณเป็นผู้หญิง คุณเป็นคนที่เปราะบาง คุณเหมือนมีราคาที่ต้องจ่ายสูงกว่าคนอื่น” แม้จะเจ็บปวด และรู้สึกว่าตัวเองไม่เข้มแข็งพอจะรับมือ แต่ด้วยการเป็นเจ้าหน้าที่ iLaw จึงจำเป็นต้องสกัดกั้นความรู้สึกไว้ แล้วเริ่มทำงานสอบสวนรวบรวมข้อมูลถึงสิ่งที่เกิดขึ้น ส่วนหนึ่งมาจากแนะนำของยิ่งชีพ ผู้อำนวยการ iLaw ที่บอกว่าเมื่อถูกละเมิดสิทธิ สิ่งที่ควรทำคือเงยหน้าสู้เพราะคนที่ละเมิดต้องการให้หยุดพูด ถ้าเราเงียบคนที่ละเมิดเขาจะทำสำเร็จ

เรื่องนี้กลายเป็นสองฟากฝั่งของความรู้สึกที่บุศรินทร์เหมือนถูกผลักไปมา แต่แล้วสุดท้ายก็สามารถผ่านมาได้ ซึ่งมองย้อนกลับไป บุศรินทร์รู้สึกเสียดายที่ตัวเองไม่ออกมาพูดให้เร็วกว่านี้ เพราะที่ผ่านมาทำงานเก็บข้อมูล ทำรายงานสืบสวนหาข้อเท็จจริงเบื้องหลังเป็นส่วนใหญ่ แต่ไม่ได้ออกมาบอกว่าตัวเองก็เป็นเหยื่อ

บุศรินทร์ อธิบายความแตกต่างของเพกาซัสกับโปรแกรมที่แฮ็กข้อมูล หรือดูดเงิน อย่างที่เกิดขึ้นแพร่หลายในปัจจุบัน คือ เพกาซัสเป็นสปายแวร์ขั้นสูงราคาแพง ที่ถูกใช้กับเฉพาะกลุ่ม ไม่ได้ถูกใช้กับคนทั่วไป เป็นแบบ Zero click ที่แม้ว่าเหยื่อจะไม่ได้กดลิ้งฺค์หรือทำอะไรเป็นพิเศษ แต่สปายแวร์สามารถติดตั้งเข้าไปควบคุมอุปกรณ์มือถือได้

พลเมืองฟ้องกลับ ข้อกฎหมายที่ใช้ต่อสู้กับรัฐพันลึกที่สอดแนมเรา

ฉัตรมณี ไตรสนธิ ทนายความในคดี อธิบายว่าในทางกฎหมาย ทุกคนมีสิทธิในความเป็นอยู่ส่วนตัว เราสามารถสื่อสาร ใช้ชีวิตได้โดยที่ไม่ถูกแทรกแซงโดยใครก็ตาม ยกเว้นในกรณีที่มีความจำเป็น มีกฎหมายรับรองให้รัฐสามารถเข้าถึงข้อมูลส่วนบุคคลได้ แต่ต้องอยู่บนพื้นฐานที่ต้องก่อให้เกิดประโยชน์สาธารณะ

การฟ้องคดีเพกาซัสใช้หลักของการละเมิด ในคดีปกครองเป็นการละเมิดของเจ้าหน้าที่ ส่วนคดีแพ่งเป็นการละเมิดของบุคคลธรรมดา

ฉัตรมณี อธิบายต่อว่า “ละเมิด” คือการทำบางสิ่งที่ไม่เป็นไปตามกฎหมาย แล้วก่อให้เกิดความเสียหายต่อผู้อื่น เพกาซัสเป็นการเข้าไปเจาะข้อมูลส่วนบุคคล โดยที่ไม่มีเหตุตามกฎหมาย เพราะถ้าจะเจาะได้ต้องมีกฎหมายที่ให้อำนาจไว้ แล้วเรื่องนั้นต้องประโยชน์สาธารณะด้วย การที่เพกาซัสไปเจาะข้อมูลของนักกิจกรรมทางการเมือง นักวิชาการ นักการเมือง ซึ่งเป็นคนที่ออกมาเรียกร้องทางการเมือง ซึ่งเป็นสิทธิที่สามารถทำได้ การที่รัฐเข้าถึงข้อมูลส่วนบุคคล โดยใช้เหตุผลว่าพวกเขาเคลื่อนไหวทางการเมืองไป จึงไม่ชอบด้วยกฎหมาย

นอกจากนั้นยังมีกฎหมายอื่นที่เกี่ยวข้องคือ พ.ร.บ.คอมพิวเตอร์ ที่ออกแบบมาเพื่อป้องกันไม่ให้มีการดักรับข้อมูล โดยไม่ชอบด้วยกฎหมาย และกรอบกฎหมายระหว่างประเทศ อย่างปฏิญญาสากลว่าด้วยสิทธิมนุษยชน หรือ ICCPR ที่ปกป้องสิทธิความเป็นส่วนตัว 

ขณะที่ฝ่ายรัฐใช้เหตุผลด้านความมั่นคง มาอธิบายให้การสอดแนมต่างๆ ต่อผู้ชุมนุมทางการเมือง ซึ่งฉัตรมณี มองว่า เป็นปัญหาที่คนทำงานด้านสิทธิความเป็นส่วนตัวพบเจอมาโดยตลอด ที่รัฐเองก็จะใช้ข้ออ้างนี้ จึงต้องยืนยันว่าตราบใดที่ประชาชนยังใช้สิทธิเสรีภาพ ภายใต้กรอบรัฐธรรมนูญ อย่างการใช้เสรีภาพในการชุมนุมโดยสงบ ปราศจากอาวุธ ต้องไม่ถูกถือว่าเป็นภัยต่อความมั่นคง

“เส้นแบ่งระหว่างความมั่นคงและเสรีภาพ คือรัฐธรรมนูญ เพราะฉนั้นถ้ามันไม่ชัดเจนจริง ๆว่ามันกระทบต่อความมั่งคง คุณก็ต้องเคารพเสรีภาพเขา นี้คือเส้นที่เราพยายามยึดตลอด” ซึ่งการชุมนุม การเขียนบทความ ยังอยู่ในกรอบนี้ การทำงานทนายในคดีนี้จึงมองถึงการปกป้องเสรีภาพเป็นหลัก

อภิรักษ์ นันทเสรี ทนายอีกคนในคดี เล่าย้อนถึงไทม์ไลน์และความคืบหน้าในคดี ว่าหลังจากในปี 2564 ที่ผู้เสียหายได้รับอีเมลแจ้งเตือน กว่าจะรวบรวมข้อมูล ส่งมือถือไปตรวจกับ Citizen Lab หน่วยงานวิจัยด้านดิจิทัลและสิทธิมนุษยชน จนมั่นใจได้ว่าเป็นการใช้สปายแวร์เพกาซัสจริง ก็ใช้เวลาเกือบ  1 ปี จึงได้เริ่มฟ้องในปี 2565 โดยผู้เสียหาย 8 คนนำโดยยิ่งชีพฟ้องต่อศาลแพ่ง ซึ่งมีข้อจำกัดที่ว่าตอนนั้น ศาลไม่อนุญาตให้รวมคดีมาฟ้องร่วมกันได้ ศาลมองว่ามูลเหตุการละเมิดเกิดขึ้นต่างกัน ทำให้ต้องแยกฟ้องเป็น 8 คน 8 คดี

ด้วยเหตุนี้จึงเป็นภาระต่อผู้เสียหายในการฟ้องร้องในศาลแพ่งต้องมีค่าธรรมเนียมศาลร้อยละ 2 หากฟ้องเรียกร้องค่าเสียหาย 1 ล้านบาท ค่าธรรมเนียมจะคนละ 2 หมื่นต่อคน ด้วยข้อจำกัดนี้ตอนนั้นจึงหยุดการฟ้องในศาลแพ่งไว้ก่อน แล้วเริ่มฟ้องในศาลปกครองในฐานการทำละเมิดของเจ้าหน้าที่ ฟ้องไปที่หน่วยงานของรัฐ ซึ่งผู้ฟ้องเป็นทนายอานนท์ นำภา และยิ่งชีพ เพราะ NSO Group บริษัทสัญชาติอิสราเอล เจ้าของสปายแวร์ระบุชัดเจน ว่าจะขายให้เฉพาะรัฐบาลหรือหน่วยงานรัฐ ที่มีฎหมายให้อำนาจไว้เท่านั้น จึงเป็นการฟ้องหน่วยงานรัฐไป  9 องค์กร เช่น สำนักนายกรัฐมนตรี ที่ดูแล กอ.รมน. หน่วยข่าวกรองแห่งชาติ สำนักงานตำรวจแห่งชาติ ซึ่งทาง สส.พรรคก้าวไกล เคยเจอในกรณีที่ตำรวจ บก.ปส. ที่ทำงานปราบปรามอย่างเสพติด เคยพยายามยื่นของบประมาณจัดซื้อสปายแวร์นี้ในปี 2563 แต่ไม่ได้รับอนุมัติ และยังฟ้องกองทัพเนื่องจากเป็นหน่วยงานที่มีอำนาจในการใช้งานเพกาซัส และรวมไปถึงกรมสอบสวนคดีพิเศษหรือ DSI ที่มีอำนาจในการเจาะติดตามมือถือ ไปจนถึงกระทรวงดิจิทัลเพื่อเศรษฐกิจและสังคม หรือ DE ที่มีอำนาจในการตรวจสอบการซื้อโปรแกรมของรัฐที่มูลค่ามากกว่า 1 ล้านบาทของภาครัฐ ซึ่งเพกาซัสเข้าข่ายนี้ แต่ DE ไม่ควบคุมตรวจสอบ

ซึ่งมีการบรรยายในคำฟ้องว่า เจ้าหน้าที่ไม่ทำปฏิบัติตาม พ.ร.บ.คอม ที่ระบุว่าหากมีการเจาะข้อมูลมือถือของใครต้องมีการขออำนาจศาลก่อน ทำให้ศาลปกครองมองว่าคดีมีลักษณะของคดีอาญามากกว่าคดีปกครอง จึงมีคำสั่งไม่รับฟ้อง ให้ไปฟ้องที่ศาลอาญาแทน ปัจจุบันกำลังมีการอุทธรณ์คำสั่งนี้ของศาลปกครองอยู่ เพราะเจ้าหน้าที่รัฐไม่ได้แค่มีความผิดตาม พ.ร.บ.คอมเท่านั้น แต่ใช้สปายแวร์นี้ละเมิดกฎหมายอื่นๆ อีกด้วย

ในส่วนของคดีแพ่งก็ได้เริ่มฟ้องใหม่ โดยให้จตุภัทร์ บุญภัทรรักษา หรือ ‘ไผ่ ดาวดิน’ เป็นตัวแทนฟ้องต่อ NSO Group เรียกร้องค่าเสียหายทางแพ่ง ทาง NSO ก็ได้ส่งทนายความมาไกล่เกลี่ยจะชดใช้ความเสียหาย แต่ยังหาข้อตกลงกันไม่ได้ จึงต่อนำไปสู่กระบวนการสืบพยานต่อไป

อุปสรรคและข้อจำกัด ในการรวบรวมข้อมูลหลักฐาน

นอกจากอุปสรรคทางข้อกฎหมายที่ไม่เอื้อต่อการต่อสู่คดี ยังมีความยากลำบากในขั้นตอนการรวบข้อมูลหลักฐานฉัตรมณี อธิบายว่าหลักๆ แล้วหลักฐานมาจากเอกสารขององกรค์ต่างประเทศ อย่าง Citizen Lab หรือ Amnesty ที่ทำเรื่องนี้มาก่อน ส่วนหลักฐานที่พิสูจน์ว่ารัฐไทยใช้เพกาซัสจริง มาจากการที่มีรายงานรัฐบาลไทยเคยมีการซื้อเพกาซัสมาตั้งแต่ปี 2557 หลังการทำรัฐประหาร และพบว่าเซิร์ฟเวอร์ของหน่วยงานเช่น กอ.รมน. และกองทัพบก ที่มีร่องรอยการใช้เพกาซัสอยู่ รวมการที่ บก.ปส. เคยพยายามยื่นของบขอซื้อเพกาซัสมาก่อน

การที่ iLaw ได้มีการส่งเครื่องมือถือของนักกกิจกรรมหลายคนไปให้ Citizen Lab ทำการตรวจ ทำให้รู้ว่ามีนักกิจกรรมอย่างน้อย 35 คนที่ถูกเจาะโดยเพกาซัส ซึ่งในความเป็นจริงผู้เสียหายอาจจะมีมากกว่านี้ เพราะบางคนไม่ได้เข้าร่วมเอามือถือส่งตรวจด้วย นอกจากนั้นยังมีกรณีของมือถือในระบบแอนดรอยด์ ที่ก็สามารถถูกเจาะได้เช่นกัน แต่อาจไม่ได้รับการแจ้งเตือน และการหาร่องรอยก็ยากกว่า

ในมุมของบุศรินทร์  ที่เป็นทั้งผู้เสียหายและคนที่รวบรวมข้อมูล ความยากอยู่ตรงที่หลายส่วนเป็นศัพท์เทคนิคทางคอมพิวเตอร์ ต้องทำความเข้าใจระบบคอมพิวเตอร์หรือเครือข่ายคอมพิวเตอร์ใหม่ทั้งหมด

อภิรักษ์ เสริมว่าในทางทนายเองก็ต้องพยายามแปลงภาษาเทคนิคคอมพิวเตอร์ ให้เป็นภาษากฎหมาย หรือให้เป็นคำถามในการใช้สืบพยาน เช่นคำว่า Zero click ต้องอธิบายศาลอย่างไร “ผมต้องนั่งดูคลิป ‘นายอาร์ม’ (Youtuber ด้านเทคโนโลยี) หนึ่งวันเต็ม เพื่อว่าจะใช้ไปเขียนยังไงให้ศาลรับฟ้อง เช่น มือถือวางอยู่ดีๆ สปายแวร์จะเข้ามาได้ยังไง เราต้องปูพื้นเรื่องนี้ให้ศาลเข้าใจ”

ซึ่งระบบศาลของไทยไม่ได้มีระบบหรือชุดความคิดเกี่ยวกับเรื่องนี้โดยเฉพาะ ไม่ได้มีศาลชำนัญพิเศษที่ตั้งขึ้นจัดการ ถึงแม้จะมีกฎหมาย พ.ร.บ.คอม แต่ก็ยังใช้ศาลอาญาทั่วๆ ไปที่มาพิจารณา

ฉัตรมณี อธิบายการเข้าถึงเอกสารต่างๆ ที่ปิดลับไม่เปิดเผย เป็นอุปสรรคใหญ่อีกประการว่า “เอกสารทั้งหมดเวลาเขาทำการจัดซื้อจัดจ้าง มันก็อยู่ในมือของเจ้าหน้าที่ทั้งหมดรัฐทั้งหมด เราไม่สามารถเปิดกูเกิ้ลแล้วหา ‘งบประมาณจัดซื้อเพกาซัส’ แล้วโหลดออกมาได้ แล้วก็ไม่ได้ประกาศอยู่ในสำนักงบฯ ทำให้สังสัยว่าจะเป็นการใช้งบลับในการจัดซื้อ”

ความคาดหวังไม่ใช่แค่ผลของคดี แต่ระหว่างทางจะได้ส่องดูใต้ภูเขาน้ำแข็ง

บุศรินทร์ บอกเล่าถึงความคาดหวังในผลของคดีว่า แน่นอนว่าอยากชนะคดี แต่ผลของคดีหรือค่าเสียเยียวยาไม่ใช่เป้าหมายหลัก สิ่งสำคัญคือระหว่างทาง ที่จะมีการเคลื่อนไหวการรณรงค์ให้สังคมได้ตะหนักรู้ ไปถึงการที่สามารถเข้าถึงเอกสารการจัดซื้อของรัฐบาลไทยได้ หรือได้รับการยอมรับจาก NSO ว่าขายเพกาซัสให้รัฐบาลไทยจริง “จะได้ชี้ให้ถูกตัวว่าใครเป็นคนทำ อย่างน้อยจะได้รู้สึกหวั่นเกรง ในการทำครั้งต่อไป ไม่ใช่ว่าคุณละเมิดแล้วมันจะจบไปนะ เราไม่ได้จะยอม คิดว่ามันเป็นเรื่องของการแคมเปญมากกว่า” บุศรินทร์ กล่าว

หากรัฐยอมรับว่าใช้เพกาซัสกับประชาชนจริง ฉัตรมณี อธิบายความคาดหวังต่อคดี ว่าอยากให้เป็นก้าวแรก ที่จะเป็นการพัฒนากลไกลทางกฎหมายที่สามารถป้องกันประชาชนจาก เทคโนโลยีการสอดแนมที่กำลังเกิดขึ้นมาอีกในอนาคตได้ ซึ่งควรจะมีการควบคุมบางอย่างไม่ให้รัฐสามารถใช้กับใครก็ได้ตามอำเภอใจ 

“เรื่องระหว่างที่เราได้ก็คือ เราต่อจิ๊กซอว์ให้สังคมเห็นว่ามันมีภัยคุกคามแบบใหม่เกิดขึ้นในโลกนี้แล้ว ซึ่งในต่างประเทศเขาตื่นตัวกันมาก แต่ในประเทศไทยยังคิดว่าข้อมูลส่วนบุคคลเป็นของที่ไม่มีค่าอยู่” อภิรักษ์กล่าวพร้อมยกตัวอย่า

ความคืบหน้าในปัจจุบัน ที่คณะกรรมาธิการความมั่นคงแห่งรัฐ กิจการชายแดนไทย ยุทธศาสตร์ชาติและการปฏิรูปประเทศ ของสภาผู้แทนราษฎรที่มี สส.รังสิมันต์ โรม เป็นประธาน กมธ. ได้มีการหยิบเรื่องเพกาซัสไปทำการสอบสวนแล้ว หน่วยรัฐเองก็เริ่มออก มายอมรับแบบอ้อมๆ ว่าใช้โปรแกรมนี้อยู่

“กรณีเพกาซัสทำให้เห็นใต้ภูเขาน้ำแข็ง” บุศรินทร์ อธิบายในมุมที่เป็นนักสังเกตการณ์การชุมนุม ที่ความรุนแรงหรือการละเมิดสิทธิเสรีภาพ ที่เรารับรู้กันได้ตามสื่อ เป็นเหมือนยอดของภูเขาน้ำแข็ง แต่การที่ใช้เพกาซัสกับผู้ชุมนุม สิ่งเหล่านี้คนทั่วไปมองไม่เห็นผลกระทบ ถ้าไม่ส่องลึกลงไปจะไม่รับรู้ว่ามีสิ่งเหล่านี้อยู่ เหมือนอยู่ใต้ภูเขาน้ำแข็ง  กว่าที่ผู้ถูกระทำแต่ละคนจะรู้ว่าถูกละเมิด เวลาก็ผ่านไปนานหลักปี

ถึงตอนนี้ก็ยังไม่สามารถรู้ได้ว่า ข้อมูลส่วนบุคคลของผู้เสียหายทั้ง 35 คนนั้น ถูกขโมยออกมาเท่าไหร่ เป็นข้อมูลเรื่องอะไรบ้าง ถูกใช้นำไปทำอะไร มีการเปิดเผยสู่สาธารณะหรือไม่ การที่จะตีมูลค่าเพื่อเรียกร้องค่าเสียหายทางแพ่งจริงเป็นเรื่องยาก จึงเป็นคำถามว่า “คุณจะเยียวยาความเศร้า การที่ฉันต้องอยู่ในพื้นที่ยวบยาบตลอดเวลาสองสามปีมานี้ได้อย่างไร มันไม่มีมูลค่าจริงๆ”

การสร้างกลไกลป้องกันการสอดแนมควรเริ่มจากตรงไหน?

ฉัตรมณีอธิบายว่าการที่ประเทศมีกฎหมายหลายฉบับไม่ได้ช่วยให้สามารถ คุ้มครองสิทธิความเป็นส่วนตัวของประชาชนให้ดีขึ้น กลับเป็นอุปสรรคเสียมากกว่า อย่างการมีกฎหมาย พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล หรือกฎหมาย PDPA เแต่สุดท้ายตัวบทต่างๆ ก็ไม่ได้คุ้มครองประชาชนได้จริง เพกาซัสใช้โดยเจ้าหน้าที่ ด้วยการอ้างเหตุด้านความมั่นคง ความสงบเรียบร้อย ซึ่งเป็นเหตุผลข้อยกเว้นต่อสิทธิด้านอื่นๆ ที่อยู่ในกฎหมาย PDPA

“ถ้าเราจะป้องกันรัฐไม่ให้ใช้สปายแวร์ ไม่ให้เจาะข้อมูลของคน เราต้องนิยามให้ชัดก่อนว่าแล้วความมั่นคงของรัฐคืออะไร ความมั่นคงของรัฐไม่ได้หมายถึงการที่เราออกมาต่อต้านรัฐบาล ซึ่งรัฐไม่เท่ากับรัฐบาล”

ฉัตรมณี มองว่าควรมีการขีดเส้นว่าด้วยความมั่นคงให้ชัดเจน ไม่ใช่เป็นความมั่นคงของที่ขึ้นอยู่รัฐบาลแต่ละสมัยตีความ ควรมีเส้นแบ่งเป็นมาตรฐาน เช่นก่อการร้าย ค้ามนุษย์ที่กำหนดได้ชัดเจนว่าคือความมั่นคง มากกว่าจะเป็นการตีความเองจะรัฐบาล

นอกจากนั้นยังมีกลไกลฝั่งสังคม ที่ต้องสร้างความตะหนักรู้โดยกว้างว่าข้อมูลส่วนบุคคลมีค่า ต่อให้ไม่ใช่คนที่เคลื่อนไหวทางการเมืองก็ตาม