Chapter 8 — Open Source, Lawfully
บทที่ 8 — การสืบสวนจากแหล่งเปิด อย่างถูกกฎหมาย
On 17 July 2014, Malaysia Airlines Flight 17 was shot down over eastern Ukraine. A group of researchers with no security clearance, no subpoena power and no access to intelligence established the route of the missile launcher that did it — by watching soldiers post photographs of their own convoy.
วันที่ 17 กรกฎาคม 2014 เที่ยวบิน MH17 ของสายการบิน Malaysia Airlines ถูกยิงตกเหนือน่านฟ้าทางตะวันออกของยูเครน คนที่ระบุเส้นทางของรถยิงขีปนาวุธคันที่ก่อเหตุได้คือกลุ่มนักวิจัยที่ไม่มีการตรวจสอบความปลอดภัยระดับความลับ ไม่มีอำนาจออกหมายเรียก และไม่มีสิทธิ์เข้าถึงข่าวกรอง พวกเขาทำได้ด้วยวิธีเดียว — เฝ้าดูทหารโพสต์ภาพถ่ายขบวนรถของตนเองลงโซเชียลมีเดีย
The method was geolocation: matching landmarks visible in user-posted video and photographs to satellite and street-level imagery. A "Magnit" supermarket sign in one frame. A particular intersection in another. The convoy traced from Russia into rebel-held Ukraine, frame by frame, cross-checked against the soldiers' own social media showing the same vehicles along the same route. [ESTABLISHED] (Bellingcat, geolocating the MH17 Buk convoy)
วิธีนั้นคือการระบุพิกัดจากภาพ (geolocation): จับคู่จุดสังเกตในวิดีโอและภาพถ่ายที่ผู้ใช้โพสต์ เข้ากับภาพถ่ายดาวเทียมและภาพระดับถนน ป้ายซูเปอร์มาร์เก็ต "Magnit" ในเฟรมหนึ่ง สี่แยกเฉพาะจุดหนึ่งในอีกเฟรมหนึ่ง ขบวนรถถูกตามรอยจากรัสเซียเข้าไปในพื้นที่ยูเครนที่กบฏยึดครองทีละเฟรม แล้วตรวจสอบไขว้กับโซเชียลมีเดียของทหารเอง ที่แสดงยานพาหนะคันเดียวกันบนเส้นทางเดียวกัน [ESTABLISHED] (Bellingcat, การระบุพิกัดขบวนรถ Buk ของ MH17)
In 2018, after the Skripal poisoning in Salisbury, the same outfit examined the passport records of the two men Russia presented as tourists. The passports carried numbers differing by three consecutive digits — implausible for unrelated ordinary citizens — and an issuing-unit code, 770001, reserved for state VIPs and intelligence officers. The two were identified as GRU Colonel Anatoliy Chepiga and Dr Alexander Mishkin. [ESTABLISHED] (Bellingcat)
ปี 2018 หลังเหตุวางยาพิษ Skripal ที่เมือง Salisbury หน่วยงานเดียวกันนี้ตรวจบันทึกหนังสือเดินทางของชายสองคนที่รัสเซียนำเสนอว่าเป็นนักท่องเที่ยว หนังสือเดินทางสองเล่มมีหมายเลขต่างกันเพียงสามหลักติดต่อกัน — เป็นไปได้ยากสำหรับพลเมืองธรรมดาที่ไม่เกี่ยวข้องกัน — และมีรหัสหน่วยออกเอกสาร 770001 ที่สงวนไว้สำหรับบุคคลสำคัญของรัฐและเจ้าหน้าที่ข่าวกรอง ทั้งสองคนถูกระบุตัวว่าเป็นพันเอก Anatoliy Chepiga แห่งหน่วย GRU และ ดร. Alexander Mishkin [ESTABLISHED] (Bellingcat)
In 2020, the FSB team that had followed Alexei Navalny was reconstructed from purchased call-detail records, flight manifests and vehicle registrations cross-referenced against one another: operatives who flew a day early or late along Navalny's exact route, cell-tower pings placing one of them near his hotel at the time of the poisoning. [ESTABLISHED] (Bellingcat methodology)
ปี 2020 ทีม FSB ที่ติดตาม Alexei Navalny ถูกสืบสร้างขึ้นใหม่จากสามอย่างที่ซื้อมาแล้วนำมาตรวจสอบไขว้กัน: บันทึกรายละเอียดการโทร รายชื่อผู้โดยสารเที่ยวบิน และทะเบียนยานพาหนะ ผลคือเจ้าหน้าที่ที่บินก่อนหรือหลังหนึ่งวันตามเส้นทางเดียวกันเป๊ะกับ Navalny และสัญญาณจากเสาโทรศัพท์ที่วางตำแหน่งเจ้าหน้าที่คนหนึ่งไว้ใกล้โรงแรมของเขาในช่วงเวลาที่เกิดการวางยาพิษ [ESTABLISHED] (ระเบียบวิธีของ Bellingcat)
These are, by some distance, the most impressive investigations conducted by private individuals in the modern era. And the third one is not a method you may use.
สามคดีนี้คือการสืบสวนที่น่าประทับใจที่สุดเท่าที่บุคคลทั่วไปเคยทำได้ในยุคปัจจุบัน ทิ้งห่างงานอื่นไปมาก และวิธีการที่สามคือวิธีที่คุณใช้ไม่ได้
The line, drawn where it actually is
เส้นแบ่ง ที่ถูกขีดไว้ตรงจุดที่มันอยู่จริง
Bellingcat's own methodology write-up is admirably direct about this. The passport, phone and vehicle records came from Russia's black and grey data markets — Telegram bots selling personal records for around ten euros, delivered in minutes, for a total spend they describe as a few hundred euros of cryptocurrency. They state plainly that this trade is illegal under Russian law, that data brokers are caught and prosecuted, and that what they exploited was Russian state negligence and internal corruption — not a technique available to investigators generally. [ESTABLISHED] (Bellingcat; BBC Russian on the data black market)
รายงานระเบียบวิธีของ Bellingcat เองพูดเรื่องนี้ตรงอย่างน่าชื่นชม บันทึกหนังสือเดินทาง โทรศัพท์ และยานพาหนะมาจากตลาดข้อมูลสีดำและสีเทาของรัสเซีย — บอตบน Telegram ขายบันทึกส่วนบุคคลในราคาราวสิบยูโร ส่งมอบภายในไม่กี่นาที รวมแล้วพวกเขาระบุว่าใช้ไปเพียงไม่กี่ร้อยยูโรในสกุลเงินคริปโต พวกเขาเขียนตรงไปตรงมาว่าการค้าขายนี้ผิดกฎหมายภายใต้กฎหมายรัสเซีย ว่านายหน้าข้อมูลถูกจับกุมและดำเนินคดี และสิ่งที่พวกเขาใช้ประโยชน์คือความประมาทของรัฐรัสเซียกับการทุจริตภายใน — ไม่ใช่เทคนิคที่นักสืบสวนทั่วไปสามารถใช้ได้ [ESTABLISHED] (Bellingcat; BBC Russian เรื่องตลาดมืดข้อมูล)
This was investigative journalism knowingly using unlawfully obtained data because the state whose crime was being exposed could not credibly prosecute the leak. It was a defensible choice in that specific configuration. It is not a template.
นี่คือการสื่อสารมวลชนเชิงสืบสวนที่รู้ตัวว่ากำลังใช้ข้อมูลที่ได้มาโดยไม่ชอบด้วยกฎหมาย และทำได้เพราะรัฐที่อาชญากรรมของตนกำลังถูกเปิดโปงไม่สามารถดำเนินคดีกับการรั่วไหลนี้ได้อย่างน่าเชื่อถือ ในบริบทเฉพาะนั้นมันเป็นทางเลือกที่ป้องกันได้ มันไม่ใช่แม่แบบให้ทำตาม
The same act, performed against a private citizen in a jurisdiction with functioning data protection law — the European Union, or Thailand — is itself a crime. If you take one thing from this chapter, take the separation: the geolocation work is replicable and lawful; the database work is neither. Almost everyone who cites Bellingcat as inspiration has failed to notice that these are two different kinds of activity.
การกระทำแบบเดียวกันนี้ ถ้าทำต่อพลเมืองทั่วไปในเขตอำนาจศาลที่มีกฎหมายคุ้มครองข้อมูลส่วนบุคคลที่บังคับใช้ได้จริง — สหภาพยุโรปหรือประเทศไทย — เป็นอาชญากรรมในตัวมันเอง หากคุณจะจดจำสิ่งเดียวจากบทนี้ จงจดจำเส้นแบ่งนี้: งานระบุพิกัดจากภาพทำซ้ำได้และถูกกฎหมาย ส่วนงานฐานข้อมูลนั้นไม่ใช่ทั้งสองอย่าง แทบทุกคนที่อ้าง Bellingcat เป็นแรงบันดาลใจไม่ทันสังเกตว่านี่คือกิจกรรมสองประเภทที่แตกต่างกัน
The standard that exists
มาตรฐานที่มีอยู่แล้ว
There is a formal standard for doing this properly, and most people who do open-source investigation have never opened it.
มีมาตรฐานที่เป็นทางการสำหรับทำสิ่งนี้อย่างถูกต้อง และคนส่วนใหญ่ที่สืบสวนจากแหล่งเปิดไม่เคยเปิดอ่านมันเลย
The Berkeley Protocol on Digital Open Source Investigations was published jointly by the UN Human Rights Office and the Human Rights Center at UC Berkeley School of Law on 3 January 2022. Its full subtitle names its purpose: the effective use of digital open source information in investigating violations of international criminal, human rights and humanitarian law.
Berkeley Protocol on Digital Open Source Investigations เผยแพร่ร่วมกันโดยสำนักงานข้าหลวงใหญ่สิทธิมนุษยชนแห่งสหประชาชาติ (UN Human Rights Office) และศูนย์สิทธิมนุษยชนแห่งคณะนิติศาสตร์ UC Berkeley เมื่อวันที่ 3 มกราคม 2022 ชื่อรองฉบับเต็มบอกจุดประสงค์ไว้ครบ: ใช้ข้อมูลจากแหล่งเปิดดิจิทัลอย่างมีประสิทธิผลเพื่อสืบสวนการละเมิดกฎหมายอาญาระหว่างประเทศ กฎหมายสิทธิมนุษยชน และกฎหมายมนุษยธรรม
What it covers: methodologies for gathering, analysing and preserving digital open-source information in a professional, legal and ethical manner; guidance built for admissibility before international tribunals rather than for publication; templates and a glossary. And a chapter that no comparable document has: measures investigators should take to protect their own digital, physical and psychosocial safety and that of witnesses, victims and first responders, given routine exposure to traumatic material. It is available in all six UN languages. [ESTABLISHED] (OHCHR; full PDF)
มันครอบคลุมสิ่งเหล่านี้: ระเบียบวิธีในการรวบรวม วิเคราะห์ และเก็บรักษาข้อมูลจากแหล่งเปิดดิจิทัลอย่างเป็นมืออาชีพ ถูกกฎหมาย และมีจริยธรรม; แนวทางที่สร้างขึ้นเพื่อการรับฟังเป็นพยานหลักฐานต่อศาลระหว่างประเทศ ไม่ใช่เพื่อการเผยแพร่; แบบฟอร์มและอภิธานศัพท์ และบทหนึ่งที่ไม่มีเอกสารใดเทียบเคียงได้มี: มาตรการที่นักสืบสวนควรทำเพื่อปกป้องความปลอดภัยทางดิจิทัล ทางกายภาพ และทางจิตสังคมของตนเอง รวมถึงของพยาน เหยื่อ และผู้ตอบสนองเหตุการณ์แรก เพราะต้องเผชิญเนื้อหาที่สร้างบาดแผลทางใจเป็นประจำ มันมีให้อ่านในทั้งหกภาษาทางการของสหประชาชาติ [ESTABLISHED] (OHCHR; PDF ฉบับเต็ม)
I did not extract verbatim clauses on hashing or retention from the document body and will not paraphrase them as though I had. If you need quotable text, open the PDF. [ABSENT] on the specifics.
ผมไม่ได้คัดข้อความตรงตัวเรื่องการทำแฮชหรือการเก็บรักษาข้อมูลออกมาจากเนื้อหาเอกสาร และจะไม่เรียบเรียงมันใหม่ราวกับว่าผมทำแล้ว หากคุณต้องการข้อความที่อ้างอิงได้ ให้เปิดไฟล์ PDF [ABSENT] สำหรับรายละเอียดเฉพาะ
The wellbeing chapter deserves a sentence of its own. Anyone who works through hundreds of fraud complaints is reading, in sequence, the worst financial day of several hundred people's lives, many of them elderly, many describing shame. The protocol treats the analyst's exposure as a methodological issue rather than a personal weakness, and that framing is correct.
บทเรื่องสุขภาวะสมควรได้หนึ่งประโยคของตัวมันเอง ใครที่อ่านเรื่องร้องเรียนการฉ้อโกงหลายร้อยเรื่อง กำลังอ่านวันที่เลวร้ายที่สุดทางการเงินในชีวิตของคนหลายร้อยคนเรียงต่อกัน หลายคนเป็นผู้สูงอายุ หลายคนบรรยายถึงความอับอาย โปรโตคอลนี้ถือว่าการเผชิญเนื้อหาของนักวิเคราะห์เป็นประเด็นเชิงระเบียบวิธี ไม่ใช่จุดอ่อนส่วนบุคคล กรอบคิดนั้นถูกต้อง
The techniques that carry weight
เทคนิคที่มีน้ำหนัก
Geolocation is the workhorse. Match what is visible — signage, architecture, road markings, vegetation, terrain profile, the relationship between fixed objects — against satellite and street-level imagery. It is slow and it is verifiable by anyone who repeats it, which is the property that makes it evidence rather than assertion.
การระบุพิกัดจากภาพ คือเครื่องมือหลักที่ทำงานหนักที่สุด จับคู่สิ่งที่มองเห็นได้ — ป้าย สถาปัตยกรรม เครื่องหมายบนถนน พืชพรรณ ลักษณะภูมิประเทศ ความสัมพันธ์ระหว่างวัตถุที่ตรึงอยู่กับที่ — เข้ากับภาพถ่ายดาวเทียมและภาพระดับถนน มันช้า และใครก็ตามที่ทำตามขั้นตอนเดิมตรวจสอบซ้ำได้ คุณสมบัติข้อหลังนี้เองที่ทำให้มันเป็นหลักฐาน ไม่ใช่เพียงคำยืนยัน
Chronolocation and shadow analysis. Sun angle and shadow length can establish when an image was taken, or narrow candidate locations given a known date and time. Failure mode, stated in the same breath: it requires the object's true height to be known or estimable, diffuse light defeats it, and it yields a band of possible times or locations rather than a point. [ESTABLISHED] (Bellingcat)
การระบุเวลาจากภาพ (chronolocation) และการวิเคราะห์เงา มุมของดวงอาทิตย์และความยาวของเงาบอกได้ว่าภาพถูกถ่ายเมื่อใด หรือช่วยจำกัดตำแหน่งที่เป็นไปได้เมื่อทราบวันที่และเวลาอยู่แล้ว จุดอ่อนต้องพูดในลมหายใจเดียวกัน: มันต้องรู้หรือประมาณความสูงจริงของวัตถุได้ แสงกระจายทำให้วิธีนี้ใช้ไม่ได้ และมันให้ผลเป็นช่วงของเวลาหรือตำแหน่งที่เป็นไปได้ ไม่ใช่จุดเดียวที่แน่นอน [ESTABLISHED] (Bellingcat)
Reverse image search, with its instruments honestly graded. Google Lens has the largest index and the best object recognition, and deliberately does not perform facial matching — a design choice, not a limitation. TinEye finds only exact or near-exact copies, which makes it good for dating a first appearance and weak for everything else. Yandex has the strongest face matching, with reported accuracy in the 65–75% range against Google's 30–40%, and is strongest on Russian, Eastern European and Asian source material. And the qualification that matters: none is reliable enough for definitive identification. [CONTESTED] — the accuracy figures come from comparative reporting rather than controlled evaluation. (comparison, 2026)
การค้นหาภาพย้อนกลับ (reverse image search) พร้อมเกรดของแต่ละเครื่องมือตามจริง Google Lens มีดัชนีข้อมูลใหญ่ที่สุดและจดจำวัตถุได้ดีที่สุด และจงใจไม่ทำการจับคู่ใบหน้า — เป็นทางเลือกเชิงออกแบบ ไม่ใช่ข้อจำกัด TinEye หาได้เฉพาะสำเนาที่เหมือนกันทุกประการหรือใกล้เคียงมาก จึงดีสำหรับหาวันที่ปรากฏครั้งแรก และอ่อนสำหรับทุกอย่างอื่น Yandex จับคู่ใบหน้าได้แข็งแกร่งที่สุด มีรายงานความแม่นยำอยู่ในช่วง 65–75% เทียบกับ 30–40% ของ Google และแข็งแกร่งที่สุดกับข้อมูลต้นทางจากรัสเซีย ยุโรปตะวันออก และเอเชีย ข้อจำกัดที่สำคัญคือ: ไม่มีเครื่องมือใดน่าเชื่อถือพอสำหรับการระบุตัวตนที่ชี้ขาด [CONTESTED] — ตัวเลขความแม่นยำมาจากรายงานเชิงเปรียบเทียบ ไม่ใช่จากการประเมินแบบมีการควบคุม (การเปรียบเทียบ, 2026)
Satellite imagery, free and adequate for more than people expect. Copernicus and Sentinel Hub give free access to Sentinel-1 and Sentinel-2 optical and radar imagery with historical archive; USGS Landsat is the standard for change over years and decades; NASA Earthdata is broad and free. Google Earth Pro remains central to practitioners specifically because of its historical-imagery time slider, which lets you find when a visible change occurred. Resolution caveat: Sentinel-2's roughly 10-metre pixels will show you vehicle concentrations, new construction and runway activity, and will never show you a person. That requires commercial sub-metre imagery, which is not free. [ESTABLISHED] (GIJN)
ภาพถ่ายดาวเทียม ฟรี และเพียงพอมากกว่าที่คนทั่วไปคาดคิด Copernicus และ Sentinel Hub เปิดให้เข้าถึงภาพถ่ายเชิงแสงและเรดาร์จาก Sentinel-1 และ Sentinel-2 ฟรี พร้อมคลังภาพย้อนหลัง; USGS Landsat เป็นมาตรฐานสำหรับดูการเปลี่ยนแปลงในช่วงหลายปีถึงหลายทศวรรษ; NASA Earthdata ครอบคลุมกว้างและฟรี Google Earth Pro ยังคงเป็นศูนย์กลางสำหรับผู้ปฏิบัติงาน เพราะแถบเลื่อนเวลาของภาพย้อนหลังโดยเฉพาะ มันช่วยให้คุณหาได้ว่าการเปลี่ยนแปลงที่มองเห็นได้เกิดขึ้น*เมื่อใด* ข้อจำกัดด้านความละเอียด: พิกเซลขนาดราว 10 เมตรของ Sentinel-2 แสดงให้เห็นการรวมตัวของยานพาหนะ การก่อสร้างใหม่ และกิจกรรมบนรันเวย์ แต่จะไม่มีวันแสดงให้เห็นตัวบุคคล นั่นต้องใช้ภาพถ่ายเชิงพาณิชย์ความละเอียดต่ำกว่าเมตร และมันไม่ฟรี [ESTABLISHED] (GIJN)
The technique that does not work
เทคนิคที่ใช้ไม่ได้ผล
Metadata.
เมทาดาทา
The instinct of every newcomer is to check a photograph's EXIF data for GPS coordinates. For anything downloaded from a mainstream platform, this is close to useless. Instagram strips GPS, camera make and model, and timestamps from feed posts, stories and reels. Facebook strips location and camera data from what other viewers see — while retaining the full original internally for its own purposes. X strips most metadata aggressively.
ผู้เริ่มต้นทุกคนมีสัญชาตญาณเดียวกัน คือตรวจข้อมูล EXIF ของภาพถ่ายเพื่อหาพิกัด GPS สำหรับสิ่งใดก็ตามที่ดาวน์โหลดมาจากแพลตฟอร์มกระแสหลัก วิธีนี้แทบไร้ประโยชน์ Instagram ลบข้อมูล GPS ยี่ห้อและรุ่นกล้อง และการประทับเวลาออกจากโพสต์ฟีด สตอรี่ และรีล Facebook ลบข้อมูลตำแหน่งและกล้องออกจากสิ่งที่ผู้ชมคนอื่นเห็น — แต่เก็บต้นฉบับทั้งหมดไว้ภายในเพื่อวัตถุประสงค์ของตัวเอง X ลบเมทาดาทาส่วนใหญ่อย่างเข้มงวด
The exception, and it is the kind of exception worth knowing: stripping is not consistent across sharing modes. GPS has been found surviving in Instagram direct messages when original-quality sharing is used, and direct-message and file-sharing features across several major platforms have been found to leak location in some configurations. [ESTABLISHED] (platform metadata comparison, 2026)
ข้อยกเว้นมีอยู่ และเป็นประเภทที่ควรรู้ไว้: การลบข้อมูลไม่สอดคล้องกันในทุกช่องทางการแชร์ มีการพบ GPS รอดอยู่ในข้อความส่วนตัวของ Instagram เมื่อใช้การแชร์แบบคุณภาพต้นฉบับ และฟีเจอร์ข้อความส่วนตัวกับการแชร์ไฟล์ในหลายแพลตฟอร์มหลักถูกพบว่ารั่วไหลตำแหน่งในบางการตั้งค่า [ESTABLISHED] (การเปรียบเทียบเมทาดาทาของแพลตฟอร์ม, 2026)
This is precisely why Bellingcat's toolkit is built on visual geolocation rather than metadata extraction. The metadata is gone. The supermarket sign is still in the frame.
นี่คือเหตุผลตรงตัวที่ชุดเครื่องมือของ Bellingcat สร้างขึ้นบนการระบุพิกัดจากภาพเชิงภาพ ไม่ใช่การดึงเมทาดาทา เมทาดาทาหายไปแล้ว ป้ายซูเปอร์มาร์เก็ตยังอยู่ในเฟรม
The law, and the question nobody has answered for you
กฎหมาย และคำถามที่ไม่มีใครตอบให้คุณ
In the European Union, and this surprises people: using genuinely public information is lawful in principle, but GDPR governs the processing of personal data even when the source data is public. Processing requires a lawful basis, commonly legitimate interest, and a documented assessment of it.
ในสหภาพยุโรป เรื่องนี้ทำให้คนแปลกใจ: การใช้ข้อมูลที่เปิดเผยต่อสาธารณะอย่างแท้จริงถูกกฎหมายโดยหลักการ แต่GDPR ควบคุมการประมวลผลข้อมูลส่วนบุคคล แม้ในกรณีที่ข้อมูลต้นทางเป็นสาธารณะ การประมวลผลต้องมีฐานทางกฎหมายรองรับ โดยทั่วไปคือประโยชน์อันชอบด้วยกฎหมาย (legitimate interest) พร้อมการประเมินที่บันทึกไว้เป็นเอกสาร
The threshold at which obligations begin is described as low, and the trigger is specific: it is not a single transient lookup, but the point at which you begin building a pattern of life on an individual, monitoring them generally, or extracting and retaining information as a record. [ESTABLISHED] (ScienceDirect, comparative analysis of OSINT legal aspects; Proelium Law)
เกณฑ์ที่ภาระผูกพันเริ่มต้นถูกอธิบายว่าต่ำมาก และจุดกระตุ้นเจาะจง: ไม่ใช่การค้นดูชั่วครั้งชั่วคราวเพียงครั้งเดียว แต่เป็นจุดที่คุณเริ่มสร้างรูปแบบการใช้ชีวิตของบุคคลหนึ่ง เฝ้าติดตามพวกเขาโดยทั่วไป หรือดึงและเก็บรักษาข้อมูลไว้เป็นบันทึก [ESTABLISHED] (ScienceDirect, การวิเคราะห์เปรียบเทียบประเด็นทางกฎหมายของ OSINT; Proelium Law)
Read that trigger again, because it is exactly what an investigator does. The moment you open a file on a person and start filling it, you are processing personal data as a record. Practitioner sources name the adjacent criminal exposures plainly: unauthorised access to information systems, identity fraud or impersonation, stalking and harassment, and knowingly handling unlawfully obtained data.
อ่านจุดกระตุ้นนั้นอีกครั้ง เพราะมันคือสิ่งที่นักสืบสวนทำอยู่พอดี วินาทีที่คุณเปิดแฟ้มเกี่ยวกับบุคคลหนึ่งและเริ่มกรอกข้อมูลลงไป คุณกำลังประมวลผลข้อมูลส่วนบุคคลในฐานะบันทึกแล้ว แหล่งข้อมูลจากผู้ปฏิบัติงานระบุความเสี่ยงทางอาญาที่อยู่ใกล้เคียงไว้ตรง ๆ: เข้าถึงระบบสารสนเทศโดยไม่ได้รับอนุญาต ฉ้อโกงหรือปลอมแปลงตัวตน สะกดรอยและคุกคาม และจัดการข้อมูลที่รู้อยู่แล้วว่าได้มาโดยไม่ชอบด้วยกฎหมาย
In Thailand, the Personal Data Protection Act took effect 1 June 2022 and applies extraterritorially to anyone processing the personal data of people in Thailand. It is enforced by the Personal Data Protection Committee. Penalties include up to one year's imprisonment, and liability can attach personally to a responsible individual rather than only to a company. [ESTABLISHED] (Securiti guide; IAPP)
ในประเทศไทย พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล (PDPA) มีผลบังคับใช้ตั้งแต่ 1 มิถุนายน 2022 และมีผลนอกอาณาเขตกับผู้ใดก็ตามที่ประมวลผลข้อมูลส่วนบุคคลของบุคคลในประเทศไทย ผู้บังคับใช้คือคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล บทลงโทษรวมถึงจำคุกสูงสุดหนึ่งปี และความรับผิดตกอยู่กับตัวบุคคลผู้รับผิดชอบเป็นการส่วนตัวได้ ไม่ใช่เพียงบริษัท [ESTABLISHED] (คู่มือ Securiti; IAPP)
And now the gap, which I am flagging rather than filling because filling it would require inventing law: I found no source addressing how the PDPA applies to an individual, non-commercial investigator as distinct from a corporate data controller. [ABSENT]
ตอนนี้คือช่องว่าง ผมชี้ให้เห็นแทนที่จะเติมมัน เพราะการเติมจะต้องสร้างกฎหมายขึ้นเอง: ผมไม่พบแหล่งข้อมูลใดเลยที่กล่าวถึงว่า PDPA บังคับใช้กับนักสืบสวนเอกชนที่ไม่แสวงหากำไรในฐานะปัจเจกบุคคลอย่างไร อันแตกต่างจากผู้ควบคุมข้อมูลที่เป็นองค์กร [ABSENT]
That is not a small hole. It is the exact question anyone in Thailand doing independent investigative work needs answered, and the honest position is that it requires an opinion from a Thai-qualified lawyer, not a paragraph in a book. If you intend to do this work seriously, that opinion is a prerequisite, not an afterthought — and obtaining one before you need it is itself evidence of good faith if you are ever asked.
นั่นไม่ใช่ช่องโหว่เล็ก ๆ มันคือคำถามข้อที่ใครก็ตามในประเทศไทยที่ทำงานสืบสวนอิสระต้องการคำตอบพอดี และจุดยืนที่ซื่อสัตย์คือมันต้องการความเห็นจากทนายความที่มีคุณสมบัติตามกฎหมายไทย ไม่ใช่ย่อหน้าหนึ่งในหนังสือ หากคุณตั้งใจจะทำงานนี้อย่างจริงจัง ความเห็นนั้นเป็นสิ่งจำเป็นเบื้องต้น ไม่ใช่เรื่องคิดทีหลัง — และการขอความเห็นนั้นก่อนที่คุณจะต้องใช้มัน ก็เป็นหลักฐานของความสุจริตใจในตัวมันเอง หากมีใครถามคุณในภายหลัง
The posture that follows
ท่าทีที่ตามมา
There is a version of open-source investigation that is lawful, verifiable and genuinely powerful, and it has three properties.
การสืบสวนจากแหล่งเปิดแบบที่ถูกกฎหมาย ตรวจสอบได้ และทรงพลังจริงนั้นมีอยู่ และมันมีคุณสมบัติสามประการ
It works on what is visible in the material rather than what can be bought about the person. It preserves and documents as it goes, so a stranger can repeat the work. And it can state, for every fact in the file, the lawful basis on which it was obtained.
มันทำงานบนสิ่งที่มองเห็นได้ในเนื้อหา ไม่ใช่สิ่งที่ซื้อได้เกี่ยวกับตัวบุคคล มันเก็บรักษาและบันทึกเอกสารไปพร้อมกับทำงาน เพื่อให้คนแปลกหน้าทำซ้ำงานนั้นได้ และสำหรับทุกข้อเท็จจริงในแฟ้ม มันบอกได้ว่าได้มาบนฐานทางกฎหมายใด
The MH17 investigation has all three. The Navalny investigation has the first two and not the third, and its authors said so themselves. Take the first. Do not take the third and hope nobody asks.
การสืบสวน MH17 มีครบทั้งสามข้อ การสืบสวน Navalny มีสองข้อแรกแต่ไม่มีข้อที่สาม และผู้เขียนของมันเองก็พูดเช่นนั้น จงเอาแบบข้อแรก อย่าเอาแบบข้อที่สามแล้วหวังว่าจะไม่มีใครถาม
The Move — Write the lawful basis in the file, at the moment of collection. Every time you record a piece of information about a person, write one line beside it: where it came from, whether it was publicly accessible without circumventing any control, and why you are entitled to retain it. Do it at collection, not later, because reconstructing it afterwards is both harder and less credible. This single habit is the difference between an investigation and a dossier, and it is the difference a regulator, a court, or a defence lawyer will look for first.
ท่าประจำบท — เขียนฐานทางกฎหมายลงในแฟ้ม ณ ขณะที่เก็บรวบรวมข้อมูล ทุกครั้งที่คุณบันทึกข้อมูลชิ้นหนึ่งเกี่ยวกับบุคคลหนึ่ง เขียนหนึ่งบรรทัดกำกับไว้ข้าง ๆ: มันมาจากไหน มันเข้าถึงได้แบบสาธารณะโดยไม่ต้องหลบเลี่ยงการควบคุมใด ๆ หรือไม่ และเหตุใดคุณจึงมีสิทธิ์เก็บรักษามันไว้ ทำในขณะที่เก็บรวบรวม ไม่ใช่ทีหลัง เพราะสร้างมันขึ้นใหม่ภายหลังทั้งยากกว่าและน่าเชื่อถือน้อยกว่า นิสัยเดียวนี้คือความแตกต่างระหว่างการสืบสวนกับแฟ้มสะสมข้อมูล และมันคือสิ่งที่หน่วยงานกำกับดูแล ศาล หรือทนายฝ่ายจำเลยจะมองหาเป็นอันดับแรก
What would change my mind: a published Thai regulatory decision or legal opinion establishing how the PDPA treats individual investigative processing would replace the largest open question in this chapter with an answer. Until that exists, everything here about Thai law is a statement of the statute's shape, not of how it will be applied to you.
อะไรจะทำให้ผมเปลี่ยนใจ: คำวินิจฉัยของหน่วยงานกำกับดูแลไทยหรือความเห็นทางกฎหมายที่เผยแพร่แล้ว ที่กำหนดว่า PDPA ปฏิบัติต่อการประมวลผลเพื่อการสืบสวนของปัจเจกบุคคลอย่างไร จะแทนที่คำถามเปิดที่ใหญ่ที่สุดในบทนี้ด้วยคำตอบ จนกว่าสิ่งนั้นจะมีอยู่จริง ทุกสิ่งที่นี่เกี่ยวกับกฎหมายไทยเป็นเพียงคำแถลงถึงรูปร่างของบทบัญญัติ ไม่ใช่คำแถลงว่ามันจะถูกนำมาใช้กับคุณอย่างไร