นัดชี้สองสถานคดีไผ่-จตุภัทร์ ฟ้อง NSO Group ฐานละเมิดใช้เพกาซัส สปายแวร์ปี 2564

6 พฤศจิกายน 2566 เวลา 13.30 น. ศาลแพ่งนัดชี้สองสถานในคดีที่ไผ่-จตุภัทร์ บุญภัทรรักษา เป็นโจทก์ยื่นฟ้องต่อบริษัท NSO Group บริษัทผู้พัฒนาและส่งออกเพกาซัส สปายแวร์ สัญชาติอิสราเอล ฐานละเมิดจากการใช้เทคโนโลยีขโมยข้อมูลในโทรศัพท์มือถือ โดยเรียกค่าเสียหาย 2,500,000 บาท ถือเป็นครั้งแรกที่โจทก์และจำเลยจะได้มาพบหน้าต่อหน้ากระบวนการยุติธรรม และเป็นครั้งแรกที่บริษัท NSO Group แต่งตั้งตัวแทนเข้ามาพูดคุยอย่างเป็นทางการในประเทศไทย

เวลา 13.34 น. ศาลขึ้นนั่งบัลลังก์ ทนายโจทก์แถลงต่อศาลว่า หนังสือมอบอำนาจจาก NSO Group ให้แก่สำนักกฎหมายและส่งช่วงต่อให้ทนายจำเลยไม่ชอบตามมาตรา 47 ของประมวลวิธีพิจารณาความแพ่ง (วิแพ่ง) ดังนั้นจึงไม่ถือว่า จำเลยมีผู้รับมอบอำนาจโดยชอบ และส่งเอกสารในการต่อสู้คดีเช่น คำให้การและบัญชีพยาน ทนายจำเลยชี้แจงว่า เหตุที่เป็นเช่นนี้เนื่องจากภาวะสงครามในประเทศอิสราเอล ทำให้ต้องเลื่อนนัดไปจนกว่าจะสามารถติดต่อหน่วยงานราชการ เป็นผู้รับรองการมอบอำนาจตามมาตรา 47 ของวิแพ่ง จากนั้นจึงลงบัลลังก์เพื่อปรึกษาเจ้าของสำนวน

เมื่อกลับขึ้นนั่งบัลลังก์อีกครั้ง ศาลเรียกทนายโจทก์และจำเลยมาสอบถาม ทนายจำเลยขอให้เลื่อนคดีออกไปก่อนจนกว่าสถานการณ์สงครามจะดีขึ้นและสามารถหาหน่วยงานราชการรับรองการมอบอำนาจได้ ทนายโจทก์แย้งติดสำนวนว่า การมอบอำนาจของจำเลยเกิดขึ้นระหว่างวันที่ 21 และ 24 กันยายน 2566 ซึ่งเกิดขึ้นก่อนสงครามอิสราเอลในวันที่ 7 ตุลาคม 2566 อย่างไรก็ตามการหารือได้ข้อสรุปว่า จะให้เลื่อนคดีออกไปก่อนสามเดือนเพื่อให้โอกาสจำเลยในการแก้ไขการมอบอำนาจให้ถูกต้อง นัดหมายอีกครั้งวันที่ 5 กุมภาพันธ์ 2567 เป็นนัดพร้อมเพื่อรอฟังเรื่องการแก้ไขเอกสารการมอบอำนาจ และนัดชี้สองสถาน

สปายแวร์เพกาซัส เป็นเครื่องมือสอดส่องข้อมูลประชาชน ที่ก้าวหน้าที่สุดในยุคหนึ่ง โดยผู้ผลิตระบุว่า เป็นเครื่องมือที่ช่วยรัฐในการป้องกันการก่อการร้าย การปราบปรามยาเสพติดและปฏิบัติการฟอกเงิน แต่ในความเป็นจริงเพกาซัสถูกรัฐบาลหลายสิบประเทศใช้งานเพื่อแอบดูข้อมูลและปราบปรามผู้เห็นต่างทางการเมือง โดยเฉพาะอย่างยิ่งในรัฐเผด็จการอันนำสู่การทำลายหลักการสิทธิมนุษยชน 

สำหรับในประเทศไทย เพกาซัสเป็นที่รู้จักในวงกว้างครั้งแรกในหลังจากเดือนพฤศจิกายน 2564 Apple ส่งอีเมล์แจ้งเตือนนักกิจกรรม นักวิชาการและผู้ทำงานภาคประชาสังคมผู้ใช้งาน iPhone ว่า อาจเป็นเป้าหมายจากการโจมตีของผู้โจมตีที่สนับสนุนโดยรัฐ จึงเกิดความร่วมมือกับ Citizen Lab และ DigitalReach SEA เพื่อสืบสวนข้อเท็จจริง และสรุปเป็นรายงานเผยแพร่ในเดือนกรกฎาคม 2565 พบว่า มีผู้ถูกโจมตีด้วยสปายแวร์นี้อย่างน้อย 35 คน แทบทั้งหมดมีส่วนในการชุมนุมเพื่อเรียกร้องประชาธิปไตยในปี 2563-2564

จากข้อมูลที่ค้นพบนำไปสู่การฟ้องร้องคดีเพื่อพิสูจน์การละเมิดสิทธิครั้งนี้สามคดี โดยมีคดีที่ยังอยู่ในกระบวนการสองคดี ได้แก่ คดีในศาลแพ่งของไผ่-จตุภัทร์และคดีในศาลปกครองของอานนท์ นำภาและยิ่งชีพ อัชฌานนท์ กรณีของไผ่ ตามรายงานที่เผยแพร่เมื่อวันที่ 18 กรกฎาคม 2565 ระบุว่า เขาถูกโจมตีโดยเพกาซัสสามครั้ง คือ วันที่ 23 และ 28 มิถุนายน และวันที่ 9 กรกฎาคม 2564

โจทก์ระบุ NSO Group รู้เห็นการใช้งานที่ละเมิดสิทธิ ด้านจำเลยอ้างบริษัทขายสิทธิการใช้งานเท่านั้น

คำฟ้องโจทก์กล่าวหาบริษัท NSO Group ว่า หลังจากที่ขายสิทธิการใช้งานให้แก่รัฐบาลต่างๆ แล้ว NSO Group ยังมีหน้าที่ให้การดูแล ควบคุมการใช้งานสปายแวร์ดังกล่าวกับบุคคลเป้าหมาย โดยเมื่อรัฐบาลที่ซื้อสปายแวร์ดังกล่าวระบุตัวเป้าหมายแล้ว NSO Group เป็นผู้ที่ควบคุมเพื่อทำการเจาะระบบ สอดแนมบุคคลเป้าหมาย ทำสำเนาข้อมูลและส่งให้กับหน่วยงานของรัฐอีกทอดหนึ่ง ในประเทศไทย หลังการจัดซื้อแล้ว NSO Group ยังทำหน้าที่อบรมการใช้งานให้เจ้าหน้าที่ของรัฐในการใช้กับโจทก์ และยังมีหน้าที่ตรวจสอบว่าหน่วยงานรัฐที่เป็นลูกค้านำสปายแวร์ไปใช้ในทางที่ผิดหรือไม่

ต่อมา NSO Group ซึ่งเป็นจำเลยมอบอำนาจให้ผู้แทนกฎหมายในไทยต่อสู้คดี โดยเขียนคำให้การวางข้อต่อสู้ในประเด็นนี้ว่า NSO Group ไม่ได้ดูแล ควบคุม และ/หรือใช้เพกาซัสกับเป้าหมาย แต่เป็นเพียงผู้คิดค้นและพัฒนาสปายแวร์เพื่อจำหน่ายภายใต้การคัดกรองภายในและจะต้องได้รับใบอนุญาตส่งออกที่เข้มงวด และลูกค้าต้องปฏิบัติตามข้อกำหนดในสัญญาที่ทำไว้ว่าาจะใช้งานสปายแวร์ตามวัตถุประสงค์ หากผิดวัตถุประสงค์จะเพิกถอนสิทธิทันที ในส่วนของการใช้งานบริษัทไม่ได้มีส่วนเกี่ยวข้อง ไม่ได้เป็นผู้ควบคุมการใช้งานและไม่รู้ว่า เป้าหมายของลูกค้าคือบุคคลใด

ทั้งนี้ทนายความของ NSO Group ไม่ได้ปฏิเสธว่า ไม่เคยมีการใช้สปายแวร์เพกาซัส เพื่อดำเนินการหาข้อมูลของไผ่ และไม่ได้ปฏิเสธว่าไม่เคยขาย หรือไม่เคยมีการใช้สปายแวร์นี้ในประเทศไทย

คำฟ้องของโจทก์ขาดอายุความ

คดีนี้ไผ่-จตุภัทร์ โจทก์ยื่นฟ้องต่อศาลในวันที่ 13 กรกฎาคม 2566 โดยระบุว่า ทราบว่าถูกโจมตีวันที่ 18 กรกฎาคม 2565 จำเลยคัดค้านว่า ที่จริงแล้วเขาทราบว่า โดนโจมตีตั้งแต่เดือนพฤศจิกายน 2564 ซึ่งการฟ้องร้องเรียกค่าเสียหายฐานละเมิดต้องฟ้องภายในหนึ่งปีนับตั้งแต่รู้ คดีจึงขาดอายุความ 

อย่างไรก็ดี ศาลอาญามีคำสั่งไม่ให้ประกันตัวไผ่ในคดี “ประติมากรรมต้านอำนาจรัฐ” เมื่อวันที่ 9 สิงหาคม 2564 และทำให้โจทก์ในคดีนี้ต้องอยู่ในเรือนจำเรื่อยมาจนถึงวันที่ 10 กุมภาพันธ์ 2565 ขณะที่จากการตรวจสอบพื้นฐานครั้งแรก ไผ่ไม่สามารถเข้าถึงอีเมล์ที่แจ้งเตือนได้จึงยังไม่ทราบแน่ชัดว่า ถูกโจมตีหรือไม่ ต่อมาในวันที่ 17 กรกฎาคม 2565 จึงได้รับการยืนยันผ่านรายงานของ Citizen Lab เรื่อง “GeckoSpy Pegasus Spyware Used against Thailand’s Pro-Democracy Movement” ว่า ถูกโจมตีจริง ตามมาด้วยการยืนยันในวันที่ 18 กรกฎาคม 2565 รายงานร่วมของ iLaw และ DigitalReach Asia เรื่อง “ปรสิตติดโทรศัพท์ : รายงานข้อค้นพบการใช้เพกาซัสสปายแวร์ในประเทศไทย” 

นอกจากนี้ยังอ้างว่า จำเลยยังต่อสู้ว่า โจทก์เรียกค่าเสียหายโดยไม่ได้อธิบายว่า ได้รับผลกระทบต่อชีวิตอย่างไร คำนวณอย่างไร และในเรื่องความเสียหายทางจิตใจก็ไม่มีบทบัญญัติตามกฎหมายใดที่ให้โจทก์เรียกค่าเสียหายในส่วนนี้ได้ คดีนี้โจทก์เรียกค่าเสียหายรวม 2,500,000 บาท ทั้งที่ความเป็นจริงความเสียหายในการละเมิดสิทธิความเป็นส่วนตัว ถูกโจมตีจากสปายแวร์เข้าถึงโทรศัพท์นำข้อมูลทั้งหมด ทั้งที่สัมพันธ์กับการเคลื่อนไหวทางการเมือง เรื่องส่วนตัวและการเงิน เป็นความเสียหายที่ประเมินค่าไม่ได้ ยังไม่นับรวมความเสียหายทางจิตใจ และในการฟ้องเรียกค่าเสียหายโจทก์จำเป็นต้องวางเงินเป็นค่าธรรมเนียมร้อยละ 2 ของจำนวนที่เรียกค่าเสียหาย โจทก์มีทุนทรัพย์วางเป็นค่าธรรมเนียมศาลเพียงเท่านี้