บทที่ 8 — การสืบสวนจากแหล่งเปิด อย่างถูกกฎหมาย
วันที่ 17 กรกฎาคม 2014 เที่ยวบิน MH17 ของสายการบิน Malaysia Airlines ถูกยิงตกเหนือน่านฟ้าทางตะวันออกของยูเครน คนที่ระบุเส้นทางของรถยิงขีปนาวุธคันที่ก่อเหตุได้คือกลุ่มนักวิจัยที่ไม่มีการตรวจสอบความปลอดภัยระดับความลับ ไม่มีอำนาจออกหมายเรียก และไม่มีสิทธิ์เข้าถึงข่าวกรอง พวกเขาทำได้ด้วยวิธีเดียว — เฝ้าดูทหารโพสต์ภาพถ่ายขบวนรถของตนเองลงโซเชียลมีเดีย
วิธีนั้นคือการระบุพิกัดจากภาพ (geolocation): จับคู่จุดสังเกตในวิดีโอและภาพถ่ายที่ผู้ใช้โพสต์ เข้ากับภาพถ่ายดาวเทียมและภาพระดับถนน ป้ายซูเปอร์มาร์เก็ต "Magnit" ในเฟรมหนึ่ง สี่แยกเฉพาะจุดหนึ่งในอีกเฟรมหนึ่ง ขบวนรถถูกตามรอยจากรัสเซียเข้าไปในพื้นที่ยูเครนที่กบฏยึดครองทีละเฟรม แล้วตรวจสอบไขว้กับโซเชียลมีเดียของทหารเอง ที่แสดงยานพาหนะคันเดียวกันบนเส้นทางเดียวกัน [ESTABLISHED] (Bellingcat, การระบุพิกัดขบวนรถ Buk ของ MH17)
ปี 2018 หลังเหตุวางยาพิษ Skripal ที่เมือง Salisbury หน่วยงานเดียวกันนี้ตรวจบันทึกหนังสือเดินทางของชายสองคนที่รัสเซียนำเสนอว่าเป็นนักท่องเที่ยว หนังสือเดินทางสองเล่มมีหมายเลขต่างกันเพียงสามหลักติดต่อกัน — เป็นไปได้ยากสำหรับพลเมืองธรรมดาที่ไม่เกี่ยวข้องกัน — และมีรหัสหน่วยออกเอกสาร 770001 ที่สงวนไว้สำหรับบุคคลสำคัญของรัฐและเจ้าหน้าที่ข่าวกรอง ทั้งสองคนถูกระบุตัวว่าเป็นพันเอก Anatoliy Chepiga แห่งหน่วย GRU และ ดร. Alexander Mishkin [ESTABLISHED] (Bellingcat)
ปี 2020 ทีม FSB ที่ติดตาม Alexei Navalny ถูกสืบสร้างขึ้นใหม่จากสามอย่างที่ซื้อมาแล้วนำมาตรวจสอบไขว้กัน: บันทึกรายละเอียดการโทร รายชื่อผู้โดยสารเที่ยวบิน และทะเบียนยานพาหนะ ผลคือเจ้าหน้าที่ที่บินก่อนหรือหลังหนึ่งวันตามเส้นทางเดียวกันเป๊ะกับ Navalny และสัญญาณจากเสาโทรศัพท์ที่วางตำแหน่งเจ้าหน้าที่คนหนึ่งไว้ใกล้โรงแรมของเขาในช่วงเวลาที่เกิดการวางยาพิษ [ESTABLISHED] (ระเบียบวิธีของ Bellingcat)
สามคดีนี้คือการสืบสวนที่น่าประทับใจที่สุดเท่าที่บุคคลทั่วไปเคยทำได้ในยุคปัจจุบัน ทิ้งห่างงานอื่นไปมาก และวิธีการที่สามคือวิธีที่คุณใช้ไม่ได้
เส้นแบ่ง ที่ถูกขีดไว้ตรงจุดที่มันอยู่จริง
รายงานระเบียบวิธีของ Bellingcat เองพูดเรื่องนี้ตรงอย่างน่าชื่นชม บันทึกหนังสือเดินทาง โทรศัพท์ และยานพาหนะมาจากตลาดข้อมูลสีดำและสีเทาของรัสเซีย — บอตบน Telegram ขายบันทึกส่วนบุคคลในราคาราวสิบยูโร ส่งมอบภายในไม่กี่นาที รวมแล้วพวกเขาระบุว่าใช้ไปเพียงไม่กี่ร้อยยูโรในสกุลเงินคริปโต พวกเขาเขียนตรงไปตรงมาว่าการค้าขายนี้ผิดกฎหมายภายใต้กฎหมายรัสเซีย ว่านายหน้าข้อมูลถูกจับกุมและดำเนินคดี และสิ่งที่พวกเขาใช้ประโยชน์คือความประมาทของรัฐรัสเซียกับการทุจริตภายใน — ไม่ใช่เทคนิคที่นักสืบสวนทั่วไปสามารถใช้ได้ [ESTABLISHED] (Bellingcat; BBC Russian เรื่องตลาดมืดข้อมูล)
นี่คือการสื่อสารมวลชนเชิงสืบสวนที่รู้ตัวว่ากำลังใช้ข้อมูลที่ได้มาโดยไม่ชอบด้วยกฎหมาย และทำได้เพราะรัฐที่อาชญากรรมของตนกำลังถูกเปิดโปงไม่สามารถดำเนินคดีกับการรั่วไหลนี้ได้อย่างน่าเชื่อถือ ในบริบทเฉพาะนั้นมันเป็นทางเลือกที่ป้องกันได้ มันไม่ใช่แม่แบบให้ทำตาม
การกระทำแบบเดียวกันนี้ ถ้าทำต่อพลเมืองทั่วไปในเขตอำนาจศาลที่มีกฎหมายคุ้มครองข้อมูลส่วนบุคคลที่บังคับใช้ได้จริง — สหภาพยุโรปหรือประเทศไทย — เป็นอาชญากรรมในตัวมันเอง หากคุณจะจดจำสิ่งเดียวจากบทนี้ จงจดจำเส้นแบ่งนี้: งานระบุพิกัดจากภาพทำซ้ำได้และถูกกฎหมาย ส่วนงานฐานข้อมูลนั้นไม่ใช่ทั้งสองอย่าง แทบทุกคนที่อ้าง Bellingcat เป็นแรงบันดาลใจไม่ทันสังเกตว่านี่คือกิจกรรมสองประเภทที่แตกต่างกัน
มาตรฐานที่มีอยู่แล้ว
มีมาตรฐานที่เป็นทางการสำหรับทำสิ่งนี้อย่างถูกต้อง และคนส่วนใหญ่ที่สืบสวนจากแหล่งเปิดไม่เคยเปิดอ่านมันเลย
Berkeley Protocol on Digital Open Source Investigations เผยแพร่ร่วมกันโดยสำนักงานข้าหลวงใหญ่สิทธิมนุษยชนแห่งสหประชาชาติ (UN Human Rights Office) และศูนย์สิทธิมนุษยชนแห่งคณะนิติศาสตร์ UC Berkeley เมื่อวันที่ 3 มกราคม 2022 ชื่อรองฉบับเต็มบอกจุดประสงค์ไว้ครบ: ใช้ข้อมูลจากแหล่งเปิดดิจิทัลอย่างมีประสิทธิผลเพื่อสืบสวนการละเมิดกฎหมายอาญาระหว่างประเทศ กฎหมายสิทธิมนุษยชน และกฎหมายมนุษยธรรม
มันครอบคลุมสิ่งเหล่านี้: ระเบียบวิธีในการรวบรวม วิเคราะห์ และเก็บรักษาข้อมูลจากแหล่งเปิดดิจิทัลอย่างเป็นมืออาชีพ ถูกกฎหมาย และมีจริยธรรม; แนวทางที่สร้างขึ้นเพื่อการรับฟังเป็นพยานหลักฐานต่อศาลระหว่างประเทศ ไม่ใช่เพื่อการเผยแพร่; แบบฟอร์มและอภิธานศัพท์ และบทหนึ่งที่ไม่มีเอกสารใดเทียบเคียงได้มี: มาตรการที่นักสืบสวนควรทำเพื่อปกป้องความปลอดภัยทางดิจิทัล ทางกายภาพ และทางจิตสังคมของตนเอง รวมถึงของพยาน เหยื่อ และผู้ตอบสนองเหตุการณ์แรก เพราะต้องเผชิญเนื้อหาที่สร้างบาดแผลทางใจเป็นประจำ มันมีให้อ่านในทั้งหกภาษาทางการของสหประชาชาติ [ESTABLISHED] (OHCHR; PDF ฉบับเต็ม)
ผมไม่ได้คัดข้อความตรงตัวเรื่องการทำแฮชหรือการเก็บรักษาข้อมูลออกมาจากเนื้อหาเอกสาร และจะไม่เรียบเรียงมันใหม่ราวกับว่าผมทำแล้ว หากคุณต้องการข้อความที่อ้างอิงได้ ให้เปิดไฟล์ PDF [ABSENT] สำหรับรายละเอียดเฉพาะ
บทเรื่องสุขภาวะสมควรได้หนึ่งประโยคของตัวมันเอง ใครที่อ่านเรื่องร้องเรียนการฉ้อโกงหลายร้อยเรื่อง กำลังอ่านวันที่เลวร้ายที่สุดทางการเงินในชีวิตของคนหลายร้อยคนเรียงต่อกัน หลายคนเป็นผู้สูงอายุ หลายคนบรรยายถึงความอับอาย โปรโตคอลนี้ถือว่าการเผชิญเนื้อหาของนักวิเคราะห์เป็นประเด็นเชิงระเบียบวิธี ไม่ใช่จุดอ่อนส่วนบุคคล กรอบคิดนั้นถูกต้อง
เทคนิคที่มีน้ำหนัก
การระบุพิกัดจากภาพ คือเครื่องมือหลักที่ทำงานหนักที่สุด จับคู่สิ่งที่มองเห็นได้ — ป้าย สถาปัตยกรรม เครื่องหมายบนถนน พืชพรรณ ลักษณะภูมิประเทศ ความสัมพันธ์ระหว่างวัตถุที่ตรึงอยู่กับที่ — เข้ากับภาพถ่ายดาวเทียมและภาพระดับถนน มันช้า และใครก็ตามที่ทำตามขั้นตอนเดิมตรวจสอบซ้ำได้ คุณสมบัติข้อหลังนี้เองที่ทำให้มันเป็นหลักฐาน ไม่ใช่เพียงคำยืนยัน
การระบุเวลาจากภาพ (chronolocation) และการวิเคราะห์เงา มุมของดวงอาทิตย์และความยาวของเงาบอกได้ว่าภาพถูกถ่ายเมื่อใด หรือช่วยจำกัดตำแหน่งที่เป็นไปได้เมื่อทราบวันที่และเวลาอยู่แล้ว จุดอ่อนต้องพูดในลมหายใจเดียวกัน: มันต้องรู้หรือประมาณความสูงจริงของวัตถุได้ แสงกระจายทำให้วิธีนี้ใช้ไม่ได้ และมันให้ผลเป็นช่วงของเวลาหรือตำแหน่งที่เป็นไปได้ ไม่ใช่จุดเดียวที่แน่นอน [ESTABLISHED] (Bellingcat)
การค้นหาภาพย้อนกลับ (reverse image search) พร้อมเกรดของแต่ละเครื่องมือตามจริง Google Lens มีดัชนีข้อมูลใหญ่ที่สุดและจดจำวัตถุได้ดีที่สุด และจงใจไม่ทำการจับคู่ใบหน้า — เป็นทางเลือกเชิงออกแบบ ไม่ใช่ข้อจำกัด TinEye หาได้เฉพาะสำเนาที่เหมือนกันทุกประการหรือใกล้เคียงมาก จึงดีสำหรับหาวันที่ปรากฏครั้งแรก และอ่อนสำหรับทุกอย่างอื่น Yandex จับคู่ใบหน้าได้แข็งแกร่งที่สุด มีรายงานความแม่นยำอยู่ในช่วง 65–75% เทียบกับ 30–40% ของ Google และแข็งแกร่งที่สุดกับข้อมูลต้นทางจากรัสเซีย ยุโรปตะวันออก และเอเชีย ข้อจำกัดที่สำคัญคือ: ไม่มีเครื่องมือใดน่าเชื่อถือพอสำหรับการระบุตัวตนที่ชี้ขาด [CONTESTED] — ตัวเลขความแม่นยำมาจากรายงานเชิงเปรียบเทียบ ไม่ใช่จากการประเมินแบบมีการควบคุม (การเปรียบเทียบ, 2026)
ภาพถ่ายดาวเทียม ฟรี และเพียงพอมากกว่าที่คนทั่วไปคาดคิด Copernicus และ Sentinel Hub เปิดให้เข้าถึงภาพถ่ายเชิงแสงและเรดาร์จาก Sentinel-1 และ Sentinel-2 ฟรี พร้อมคลังภาพย้อนหลัง; USGS Landsat เป็นมาตรฐานสำหรับดูการเปลี่ยนแปลงในช่วงหลายปีถึงหลายทศวรรษ; NASA Earthdata ครอบคลุมกว้างและฟรี Google Earth Pro ยังคงเป็นศูนย์กลางสำหรับผู้ปฏิบัติงาน เพราะแถบเลื่อนเวลาของภาพย้อนหลังโดยเฉพาะ มันช่วยให้คุณหาได้ว่าการเปลี่ยนแปลงที่มองเห็นได้เกิดขึ้น*เมื่อใด* ข้อจำกัดด้านความละเอียด: พิกเซลขนาดราว 10 เมตรของ Sentinel-2 แสดงให้เห็นการรวมตัวของยานพาหนะ การก่อสร้างใหม่ และกิจกรรมบนรันเวย์ แต่จะไม่มีวันแสดงให้เห็นตัวบุคคล นั่นต้องใช้ภาพถ่ายเชิงพาณิชย์ความละเอียดต่ำกว่าเมตร และมันไม่ฟรี [ESTABLISHED] (GIJN)
เทคนิคที่ใช้ไม่ได้ผล
เมทาดาทา
ผู้เริ่มต้นทุกคนมีสัญชาตญาณเดียวกัน คือตรวจข้อมูล EXIF ของภาพถ่ายเพื่อหาพิกัด GPS สำหรับสิ่งใดก็ตามที่ดาวน์โหลดมาจากแพลตฟอร์มกระแสหลัก วิธีนี้แทบไร้ประโยชน์ Instagram ลบข้อมูล GPS ยี่ห้อและรุ่นกล้อง และการประทับเวลาออกจากโพสต์ฟีด สตอรี่ และรีล Facebook ลบข้อมูลตำแหน่งและกล้องออกจากสิ่งที่ผู้ชมคนอื่นเห็น — แต่เก็บต้นฉบับทั้งหมดไว้ภายในเพื่อวัตถุประสงค์ของตัวเอง X ลบเมทาดาทาส่วนใหญ่อย่างเข้มงวด
ข้อยกเว้นมีอยู่ และเป็นประเภทที่ควรรู้ไว้: การลบข้อมูลไม่สอดคล้องกันในทุกช่องทางการแชร์ มีการพบ GPS รอดอยู่ในข้อความส่วนตัวของ Instagram เมื่อใช้การแชร์แบบคุณภาพต้นฉบับ และฟีเจอร์ข้อความส่วนตัวกับการแชร์ไฟล์ในหลายแพลตฟอร์มหลักถูกพบว่ารั่วไหลตำแหน่งในบางการตั้งค่า [ESTABLISHED] (การเปรียบเทียบเมทาดาทาของแพลตฟอร์ม, 2026)
นี่คือเหตุผลตรงตัวที่ชุดเครื่องมือของ Bellingcat สร้างขึ้นบนการระบุพิกัดจากภาพเชิงภาพ ไม่ใช่การดึงเมทาดาทา เมทาดาทาหายไปแล้ว ป้ายซูเปอร์มาร์เก็ตยังอยู่ในเฟรม
กฎหมาย และคำถามที่ไม่มีใครตอบให้คุณ
ในสหภาพยุโรป เรื่องนี้ทำให้คนแปลกใจ: การใช้ข้อมูลที่เปิดเผยต่อสาธารณะอย่างแท้จริงถูกกฎหมายโดยหลักการ แต่GDPR ควบคุมการประมวลผลข้อมูลส่วนบุคคล แม้ในกรณีที่ข้อมูลต้นทางเป็นสาธารณะ การประมวลผลต้องมีฐานทางกฎหมายรองรับ โดยทั่วไปคือประโยชน์อันชอบด้วยกฎหมาย (legitimate interest) พร้อมการประเมินที่บันทึกไว้เป็นเอกสาร
เกณฑ์ที่ภาระผูกพันเริ่มต้นถูกอธิบายว่าต่ำมาก และจุดกระตุ้นเจาะจง: ไม่ใช่การค้นดูชั่วครั้งชั่วคราวเพียงครั้งเดียว แต่เป็นจุดที่คุณเริ่มสร้างรูปแบบการใช้ชีวิตของบุคคลหนึ่ง เฝ้าติดตามพวกเขาโดยทั่วไป หรือดึงและเก็บรักษาข้อมูลไว้เป็นบันทึก [ESTABLISHED] (ScienceDirect, การวิเคราะห์เปรียบเทียบประเด็นทางกฎหมายของ OSINT; Proelium Law)
อ่านจุดกระตุ้นนั้นอีกครั้ง เพราะมันคือสิ่งที่นักสืบสวนทำอยู่พอดี วินาทีที่คุณเปิดแฟ้มเกี่ยวกับบุคคลหนึ่งและเริ่มกรอกข้อมูลลงไป คุณกำลังประมวลผลข้อมูลส่วนบุคคลในฐานะบันทึกแล้ว แหล่งข้อมูลจากผู้ปฏิบัติงานระบุความเสี่ยงทางอาญาที่อยู่ใกล้เคียงไว้ตรง ๆ: เข้าถึงระบบสารสนเทศโดยไม่ได้รับอนุญาต ฉ้อโกงหรือปลอมแปลงตัวตน สะกดรอยและคุกคาม และจัดการข้อมูลที่รู้อยู่แล้วว่าได้มาโดยไม่ชอบด้วยกฎหมาย
ในประเทศไทย พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล (PDPA) มีผลบังคับใช้ตั้งแต่ 1 มิถุนายน 2022 และมีผลนอกอาณาเขตกับผู้ใดก็ตามที่ประมวลผลข้อมูลส่วนบุคคลของบุคคลในประเทศไทย ผู้บังคับใช้คือคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล บทลงโทษรวมถึงจำคุกสูงสุดหนึ่งปี และความรับผิดตกอยู่กับตัวบุคคลผู้รับผิดชอบเป็นการส่วนตัวได้ ไม่ใช่เพียงบริษัท [ESTABLISHED] (คู่มือ Securiti; IAPP)
ตอนนี้คือช่องว่าง ผมชี้ให้เห็นแทนที่จะเติมมัน เพราะการเติมจะต้องสร้างกฎหมายขึ้นเอง: ผมไม่พบแหล่งข้อมูลใดเลยที่กล่าวถึงว่า PDPA บังคับใช้กับนักสืบสวนเอกชนที่ไม่แสวงหากำไรในฐานะปัจเจกบุคคลอย่างไร อันแตกต่างจากผู้ควบคุมข้อมูลที่เป็นองค์กร [ABSENT]
นั่นไม่ใช่ช่องโหว่เล็ก ๆ มันคือคำถามข้อที่ใครก็ตามในประเทศไทยที่ทำงานสืบสวนอิสระต้องการคำตอบพอดี และจุดยืนที่ซื่อสัตย์คือมันต้องการความเห็นจากทนายความที่มีคุณสมบัติตามกฎหมายไทย ไม่ใช่ย่อหน้าหนึ่งในหนังสือ หากคุณตั้งใจจะทำงานนี้อย่างจริงจัง ความเห็นนั้นเป็นสิ่งจำเป็นเบื้องต้น ไม่ใช่เรื่องคิดทีหลัง — และการขอความเห็นนั้นก่อนที่คุณจะต้องใช้มัน ก็เป็นหลักฐานของความสุจริตใจในตัวมันเอง หากมีใครถามคุณในภายหลัง
ท่าทีที่ตามมา
การสืบสวนจากแหล่งเปิดแบบที่ถูกกฎหมาย ตรวจสอบได้ และทรงพลังจริงนั้นมีอยู่ และมันมีคุณสมบัติสามประการ
มันทำงานบนสิ่งที่มองเห็นได้ในเนื้อหา ไม่ใช่สิ่งที่ซื้อได้เกี่ยวกับตัวบุคคล มันเก็บรักษาและบันทึกเอกสารไปพร้อมกับทำงาน เพื่อให้คนแปลกหน้าทำซ้ำงานนั้นได้ และสำหรับทุกข้อเท็จจริงในแฟ้ม มันบอกได้ว่าได้มาบนฐานทางกฎหมายใด
การสืบสวน MH17 มีครบทั้งสามข้อ การสืบสวน Navalny มีสองข้อแรกแต่ไม่มีข้อที่สาม และผู้เขียนของมันเองก็พูดเช่นนั้น จงเอาแบบข้อแรก อย่าเอาแบบข้อที่สามแล้วหวังว่าจะไม่มีใครถาม
ท่าประจำบท — เขียนฐานทางกฎหมายลงในแฟ้ม ณ ขณะที่เก็บรวบรวมข้อมูล ทุกครั้งที่คุณบันทึกข้อมูลชิ้นหนึ่งเกี่ยวกับบุคคลหนึ่ง เขียนหนึ่งบรรทัดกำกับไว้ข้าง ๆ: มันมาจากไหน มันเข้าถึงได้แบบสาธารณะโดยไม่ต้องหลบเลี่ยงการควบคุมใด ๆ หรือไม่ และเหตุใดคุณจึงมีสิทธิ์เก็บรักษามันไว้ ทำในขณะที่เก็บรวบรวม ไม่ใช่ทีหลัง เพราะสร้างมันขึ้นใหม่ภายหลังทั้งยากกว่าและน่าเชื่อถือน้อยกว่า นิสัยเดียวนี้คือความแตกต่างระหว่างการสืบสวนกับแฟ้มสะสมข้อมูล และมันคือสิ่งที่หน่วยงานกำกับดูแล ศาล หรือทนายฝ่ายจำเลยจะมองหาเป็นอันดับแรก
อะไรจะทำให้ผมเปลี่ยนใจ: คำวินิจฉัยของหน่วยงานกำกับดูแลไทยหรือความเห็นทางกฎหมายที่เผยแพร่แล้ว ที่กำหนดว่า PDPA ปฏิบัติต่อการประมวลผลเพื่อการสืบสวนของปัจเจกบุคคลอย่างไร จะแทนที่คำถามเปิดที่ใหญ่ที่สุดในบทนี้ด้วยคำตอบ จนกว่าสิ่งนั้นจะมีอยู่จริง ทุกสิ่งที่นี่เกี่ยวกับกฎหมายไทยเป็นเพียงคำแถลงถึงรูปร่างของบทบัญญัติ ไม่ใช่คำแถลงว่ามันจะถูกนำมาใช้กับคุณอย่างไร
บทถัดไป · 10 / 19บทที่ 9 — ห่วงโซ่การครอบครองพยานหลักฐาน