ดาต้าเซ็นเตอร์ไทย โอนหุ้น-ที่ดินให้ต่างชาติ หวั่นอธิปไตยข้อมูลรั่วไหล

มึน! กฎหมายเปิดทางต่างชาติถือหุ้น-กรรมสิทธิ์ที่ดินดาต้าเซ็นเตอร์ได้ หากได้รับส่งเสริมจากบีโอไอ ผงะกรุงเทพฯ พบดาต้าเซ็นเตอร์ 34 โครงการ เปิดดำเนินการแล้ว 24 แห่ง กระจุกตัวห้วยขวาง–บางรัก–สาทร หลายโครงการเชื่อมโยงทุนสิงคโปร์ ญี่ปุ่น อังกฤษ และตะวันออกกลาง จับตาความเสี่ยงข้อมูลคนไทยอาจอยู่ภายใต้อำนาจบริษัทแม่ต่างประเทศ

กทม. 30–40 แห่ง แต่ Standalone มี 6 แห่ง

นายชัชชาติ สิทธิพันธุ์ ผู้ว่าราชการกรุงเทพมหานคร ระบุว่า กรุงเทพฯ มีดาต้าเซ็นเตอร์ซึ่งเป็นส่วนหนึ่งของบริษัทหรือหน่วยงานประมาณ 30–40 แห่ง แต่หากนับเฉพาะดาต้าเซ็นเตอร์แบบ Standalone ขนาดใหญ่ที่ยื่นขออนุญาตตั้งแต่ปี 2564–2565 มี 6 แห่ง

ในจำนวนนี้ได้รับอนุญาตแล้ว 3 แห่ง ส่วนอีก 3 แห่งอยู่ระหว่างการทบทวนมาตรฐานที่เกี่ยวข้อง ขณะที่โครงการบริเวณพระราม 9 ยังไม่ได้รับใบอนุญาตก่อสร้างเพิ่มเติม ส่วนโครงการในซอยรามคำแหงได้รับอนุญาตถูกต้องแล้ว

นอกจากนี้ยังมีรายงานด้วยว่า ห้วยขวางเป็นเขตที่มีดาต้าเซ็นเตอร์มากที่สุด 9 โครงการ รองลงมาคือบางนา 6 โครงการ บางรัก 5 โครงการ สาทร บึงกุ่ม และบางกะปิ เขตละ 2 โครงการ ส่วนจตุจักร ราชเทวี บางเขน วัฒนา สวนหลวง และประเวศ เขตละ 1 โครงการ ขณะที่ Stellar DC อีก 1 โครงการยังไม่ปรากฏสถานที่ตั้งโดยละเอียดในชุดข้อมูลดังกล่าว

หากนับเฉพาะ 6 เขตเมืองชั้นในและย่านศูนย์กลางธุรกิจที่เห็นได้ชัด ได้แก่ ห้วยขวาง บางรัก สาทร จตุจักร ราชเทวี และวัฒนา จะมีดาต้าเซ็นเตอร์รวมกันอย่างน้อย 19 โครงการ

หลายโครงการมีทุนต่างประเทศอยู่เบื้องหลัง

ในบรรดาโครงการกรุงเทพฯ ที่รายงานสามารถจำแนกสัญชาติหรือกลุ่มทุนได้ พบว่าเป็นกลุ่มไทย 10 โครงการ สิงคโปร์ 5 โครงการ ญี่ปุ่น 3 โครงการ มาเลเซีย 1 โครงการ สหราชอาณาจักร 1 โครงการ รวมทั้งกิจการร่วมทุนไทย–สหรัฐอาหรับเอมิเรตส์ 2 โครงการ และไทย–สิงคโปร์อีก 1 โครงการ

อย่างไรก็ตาม ภาพรวมโครงการที่ได้รับส่งเสริมจากบีโอไอทั่วประเทศระหว่างปี 2567–2569 จำนวน 42 โครงการ พบว่าเป็นกลุ่มบริษัทไทย 15 โครงการ ส่วนอีก 27 โครงการเชื่อมโยงนักลงทุนจากต่างประเทศ ได้แก่ จีน 10 โครงการ สหรัฐฯ 5 โครงการ สหรัฐอาหรับเอมิเรตส์ 4 โครงการ ญี่ปุ่น 2 โครงการ มาเลเซีย–ฮ่องกง 1 โครงการ และสัญชาติอื่นอีก 5 โครงการ

เท่ากับว่า หากนับตามจำนวนโครงการในฐานข้อมูลบีโอไอ กลุ่มต่างประเทศมีสัดส่วนประมาณ 64% แต่บีโอไอย้ำว่าแหล่งทุนมีความหลากหลาย ไม่ได้กระจุกอยู่กับประเทศใดประเทศหนึ่ง และกลุ่มไทยยังเป็นสัญชาติเดียวที่มีจำนวนโครงการมากที่สุด

นอกจากนี้จากการตรวจสอบข้อมูลนิติบุคคลเบื้องต้น โครงการบริเวณซอยพระราม 9 ซอย 6 ดำเนินการโดยบริษัท ดาเรีย ดาต้า เซ็นเตอร์ แอนด์ คลาวด์ เซอร์วิสเซส จำกัด จดทะเบียนเมื่อวันที่ 19 ธันวาคม 2566 ทุนจดทะเบียน 2,000 ล้านบาท โดยมีรายงานว่าบริษัทแม่อยู่ในสหราชอาณาจักร

ส่วนโครงการในซอยรามคำแหง 28 ดำเนินการโดยบริษัท เอสทีที จีดีซี (ประเทศไทย) จำกัด ทุนจดทะเบียน 9,000 ล้านบาท และมีบริษัทแม่อยู่ในสิงคโปร์

กรณีนี้สะท้อนว่า “บริษัทที่จดทะเบียนในไทย” ไม่จำเป็นต้องหมายถึง “บริษัทที่มีทุนไทยเป็นผู้ควบคุม” เพราะบริษัทสามารถจัดตั้งเป็นนิติบุคคลตามกฎหมายไทย ใช้ชื่อประเทศไทย และเสียภาษีในไทย แต่มีผู้ถือหุ้นใหญ่หรือบริษัทแม่อยู่ต่างประเทศได้

ทำไมต่างชาติถือกิจการดาต้าเซ็นเตอร์ได้?

การมีต่างชาติถือหุ้นดาต้าเซ็นเตอร์ไม่ได้ผิดกฎหมายโดยอัตโนมัติ เนื่องจากกฎหมายไทยไม่ได้ห้ามต่างชาติลงทุนในทุกกิจการ แต่กำหนดช่องทางและเงื่อนไขสำหรับการประกอบธุรกิจไว้

หลักเกณฑ์บีโอไอเปิดให้กิจการที่อยู่ภายใต้บัญชีสองและบัญชีสามตามพระราชบัญญัติการประกอบธุรกิจของคนต่างด้าวมีต่างชาติถือหุ้นได้ทั้งหมด เว้นแต่จะมีกฎหมายเฉพาะกำหนดข้อจำกัดไว้ หรือบีโอไอกำหนดเงื่อนไขเป็นรายกิจการ

หากธุรกิจเข้าข่ายบริการตามบัญชีท้ายกฎหมาย บริษัทที่ต่างชาติถือหุ้นเกิน 49% ต้องได้รับใบอนุญาตประกอบธุรกิจของคนต่างด้าว หรือ Foreign Business License แต่ถ้าเป็นโครงการที่ได้รับส่งเสริมจากบีโอไอ สามารถขอหนังสือรับรองการประกอบธุรกิจของคนต่างด้าว หรือ Foreign Business Certificate ได้

ต่างชาติถือที่ดินได้หรือไม่?

ตามหลักทั่วไป บริษัทที่ต่างชาติถือหุ้นข้างมากไม่สามารถถือกรรมสิทธิ์ที่ดินในประเทศไทยได้ แต่พระราชบัญญัติส่งเสริมการลงทุน มาตรา 27 เปิดข้อยกเว้นให้ผู้ได้รับส่งเสริมจากบีโอไอขอถือกรรมสิทธิ์ที่ดินเท่าที่จำเป็นสำหรับกิจการที่ได้รับส่งเสริมได้

การถือที่ดินจึงไม่เกิดขึ้นโดยอัตโนมัติ บริษัทต้องได้รับบัตรส่งเสริมและขออนุมัติถือกรรมสิทธิ์จากบีโอไอ เมื่อเลิกหรือโอนกิจการที่ได้รับส่งเสริม จะต้องจำหน่ายที่ดินภายในระยะเวลาที่กฎหมายกำหนด

อีกทางหนึ่ง ผู้ประกอบการต่างชาติไม่จำเป็นต้องซื้อที่ดินเอง แต่อาจเช่าที่ดินหรืออาคารจากเจ้าของไทย ตั้งกิจการร่วมทุน หรือแยกบริษัทเจ้าของอสังหาริมทรัพย์ออกจากบริษัทผู้ติดตั้งและบริหารดาต้าเซ็นเตอร์

ดังนั้น เจ้าของที่ดิน เจ้าของอาคาร ผู้ถือหุ้นบริษัทผู้ดำเนินงาน เจ้าของเซิร์ฟเวอร์ ผู้ให้บริการคลาวด์ และเจ้าของข้อมูล อาจเป็นคนละบริษัทและคนละสัญชาติกันทั้งหมด

เสี่ยงอธิปไตยข้อมูล แม้เซิร์ฟเวอร์ตั้งอยู่ในไทย

ความเสี่ยงสำคัญไม่ได้อยู่ที่สัญชาติเจ้าของอาคารเพียงอย่างเดียว แต่อยู่ที่ว่าใครเป็นผู้ควบคุมระบบและถือกุญแจเข้ารหัสข้อมูล

แม้เซิร์ฟเวอร์ตั้งอยู่ในประเทศไทย แต่หากบริษัทแม่ ผู้ให้บริการคลาวด์ หรือผู้ดูแลระบบระดับสูงอยู่ต่างประเทศ อำนาจควบคุมข้อมูลอาจยังอยู่นอกไทย เช่น บริษัทแม่ถือกุญแจถอดรหัส ผู้ดูแลระบบสามารถเชื่อมต่อจากต่างประเทศ

สำเนาสำรองถูกส่งออกไปเก็บนอกประเทศ การตรวจสอบเหตุข้อมูลรั่วต้องผ่านสำนักงานใหญ่และสุดท้ายนโยบายการเปิดเผยข้อมูลถูกกำหนดโดยบริษัทแม่ เป็นต้น

สุดท้ายคำว่า “ข้อมูลตั้งอยู่ในไทย” จึงไม่เท่ากับ “ข้อมูลอยู่ภายใต้การควบคุมของไทยทั้งหมด”

บางประเทศยังมีกฎหมายให้อำนาจรัฐเรียกข้อมูลจากบริษัทสัญชาติของตน แม้ข้อมูลจะถูกเก็บอยู่ในต่างประเทศ ทำให้บริษัทอาจเผชิญความขัดแย้งระหว่างคำสั่งของประเทศแม่กับกฎหมายคุ้มครองข้อมูลส่วนบุคคลของไทย

อย่างไรก็ตาม ไม่ได้หมายความว่ารัฐต่างประเทศหรือเจ้าของดาต้าเซ็นเตอร์จะเปิดดูข้อมูลลูกค้าได้โดยอัตโนมัติ ต้องพิจารณาสัญญา สถาปัตยกรรมระบบ การเข้ารหัส และผู้ถือกุญแจถอดรหัสเป็นรายกรณี

ต้องพึ่งพาต่างชาติในระบบสำคัญ

หากธนาคาร โรงพยาบาล โทรคมนาคม ระบบชำระเงิน หน่วยงานรัฐ และบริการสาธารณะจำนวนมากพึ่งพาผู้ให้บริการคลาวด์หรือดาต้าเซ็นเตอร์ต่างชาติไม่กี่ราย ความขัดข้องเพียงจุดเดียวอาจส่งผลกระทบในวงกว้าง

ความเสี่ยงอาจเกิดจากระบบล่ม บริษัทแม่หยุดให้บริการ มาตรการคว่ำบาตร การควบคุมการส่งออกชิป การตัดสิทธิใช้ซอฟต์แวร์ หรือการถอนการลงทุน

หากไทยไม่มีศูนย์สำรอง ไม่มีแผนย้ายข้อมูล และไม่สามารถเปลี่ยนผู้ให้บริการได้โดยรวดเร็ว โครงสร้างพื้นฐานสำคัญอาจถูกผูกติดกับเทคโนโลยีและคำตัดสินของบริษัทต่างประเทศ

ตรวจสอบผู้ควบคุมตัวจริงไม่ได้

บริษัทดาต้าเซ็นเตอร์อาจมีโครงสร้างผู้ถือหุ้นหลายชั้น ผ่านบริษัทในสิงคโปร์ ฮ่องกง หรือเขตอำนาจศาลอื่น ทำให้การตรวจสอบเฉพาะบัญชีรายชื่อผู้ถือหุ้นของบริษัทไทยยังไม่เพียงพอ

สิ่งที่ต้องตรวจเพิ่มเติมคือเจ้าของผลประโยชน์ที่แท้จริง บริษัทแม่หรือผู้ควบคุมสูงสุด ผู้มีสิทธิแต่งตั้งกรรมการ ผู้ถือสิทธิออกเสียงพิเศษเจ้าหนี้ผู้ให้เงินทุนและมีสิทธิเหนือทรัพย์สินผู้ถือครองเทคโนโลยีและกุญแจเข้ารหัส

หากเกิดข้อมูลรั่วหรือระบบล่ม แม้นิติบุคคลในไทยจะถูกดำเนินคดีได้ แต่หลักฐาน บุคลากร ทรัพย์สิน และระบบหลังบ้านบางส่วนอาจอยู่ต่างประเทศ ทำให้การสอบสวนและบังคับคดียุ่งยากขึ้น

ช่องโหว่กฎหมายเปิดทางสร้างเป็น “คลังสินค้า”

ปัจจุบันกฎหมายไทยยังไม่มีนิยามดาต้าเซ็นเตอร์ที่ชัดเจนครบถ้วนในกฎหมายควบคุมอาคาร ผังเมือง โรงงาน และสิ่งแวดล้อม ทำให้บางโครงการยื่นขออนุญาตในรูปแบบคลังสินค้า สำนักงาน หรืออาคารทั่วไป

เมื่อไม่ได้ถูกจำแนกเป็นโรงงานหรือกิจการที่ต้องจัดทำรายงานผลกระทบสิ่งแวดล้อมโดยตรง การประเมินผลกระทบจากการใช้ไฟ น้ำ ความร้อน เสียง น้ำมัน และความเสี่ยงอัคคีภัยจึงอาจไม่ครอบคลุมลักษณะการใช้งานจริง

กทม.จึงชะลอการอนุญาตโครงการเพิ่มเติม พร้อมเตรียมทบทวนคำนิยาม โซนนิ่ง และหลักเกณฑ์ด้านสิ่งแวดล้อม โดยมีแนวคิดไม่ให้ดาต้าเซ็นเตอร์ขนาดใหญ่ตั้งอยู่ในพื้นที่ชุมชนหนาแน่น

ท้ายที่สุด การมีเซิร์ฟเวอร์ตั้งอยู่บนแผ่นดินไทยยังไม่เพียงพอ หากผู้ควบคุมระบบ กุญแจเข้ารหัส เทคโนโลยี และอำนาจตัดสินใจทั้งหมดอยู่ต่างประเทศ เพราะประเทศไทยอาจมีดาต้าเซ็นเตอร์เต็มประเทศ แต่ยังไม่มีอธิปไตยทางข้อมูลอยู่ในมืออย่างแท้จริง.