เหตุข้อมูลรั่วแบบไหนที่ไม่ต้องแจ้ง และต้องบันทึกเหตุผลอย่างไรให้ใช้ยันได้

คอนเทนต์เรื่อง PDPA ส่วนใหญ่ในตลาดพูดเรื่องเดียวคือต้องแจ้งภายใน 72 ชั่วโมง จนหลายองค์กรเข้าใจว่าเกิดอะไรขึ้นก็ต้องแจ้งไว้ก่อน ซึ่งไม่ตรงกับตัวบท เพราะกฎหมายเขียนข้อยกเว้นไว้ชัดเจน และการรู้ว่ามีเหตุที่ไม่ต้องแจ้งอยู่จริง ช่วยให้องค์กรตัดสินใจได้อย่างมีหลักเกณฑ์ แทนที่จะแจ้งทุกอย่างเพราะกลัว

กฎหมายเขียนข้อยกเว้นไว้ว่าอย่างไร

มาตรา 37 (4) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 กำหนดให้แจ้งเหตุการละเมิดข้อมูลส่วนบุคคลแก่สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลโดยไม่ชักช้าภายใน 72 ชั่วโมงนับแต่ทราบเหตุเท่าที่จะสามารถกระทำได้ เว้นแต่การละเมิดดังกล่าวไม่มีความเสี่ยงที่จะมีผลกระทบต่อสิทธิและเสรีภาพของบุคคล

ประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง หลักเกณฑ์และวิธีการในการแจ้งเหตุการละเมิดข้อมูลส่วนบุคคล พ.ศ. 2565 เดินตามหลักเดียวกัน โดยวางลำดับว่าเมื่อพิจารณาแล้วเห็นว่ามีเหตุอันควรเชื่อว่ามีการละเมิดเกิดขึ้นจริง ให้แจ้งเหตุนั้นแก่สำนักงานฯ เว้นแต่เป็นกรณีไม่มีความเสี่ยง

ผลก็คือมีสามระดับที่ต้องแยกให้ออก และแต่ละระดับมีหน้าที่ต่างกัน

ระดับ	หน้าที่แจ้ง สคส.	หน้าที่แจ้งเจ้าของข้อมูล	หน้าที่บันทึก
ไม่มีความเสี่ยงต่อสิทธิและเสรีภาพของบุคคล	ไม่ต้องแจ้ง	ไม่ต้องแจ้ง	ต้องบันทึกการประเมินและเหตุผล
มีความเสี่ยง แต่ไม่ถึงระดับสูง	ต้องแจ้งภายใน 72 ชั่วโมงนับแต่ทราบเหตุ	ไม่ต้องแจ้ง	ต้องบันทึก
ความเสี่ยงสูงต่อสิทธิและเสรีภาพของบุคคล	ต้องแจ้ง	ต้องแจ้งพร้อมแนวทางเยียวยาโดยไม่ชักช้า	ต้องบันทึก

ขอให้สังเกตคอลัมน์สุดท้าย ซึ่งเป็นคอลัมน์เดียวที่ไม่มีคำว่าไม่ต้องเลยสักช่อง

ลักษณะเหตุที่มักประเมินได้ว่าความเสี่ยงต่ำ

ประกาศไม่ได้ให้รายการสำเร็จรูปว่าเหตุแบบใดไม่ต้องแจ้ง แต่ให้ปัจจัยประเมินไว้แปดข้อ ซึ่งเมื่อนำมาใช้จริงจะเห็นรูปแบบที่ผลมักออกมาทางความเสี่ยงต่ำ · ทั้งนี้เป็นเพียงแนวทางประกอบการพิจารณา ผลในกรณีจริงขึ้นอยู่กับข้อเท็จจริงเป็นรายกรณี

• ข้อมูลถูกเข้ารหัสหรือมีรหัสผ่านที่ผู้ได้รับไม่มี เพราะข้อมูลอยู่ในสภาพที่นำไปใช้ไม่ได้จริง ปัจจัยเรื่องประสิทธิภาพของมาตรการจึงมีน้ำหนัก
• ข้อมูลที่หลุดไม่สามารถระบุตัวบุคคลได้ เช่น ข้อมูลที่ผ่านการทำให้ไม่สามารถระบุตัวบุคคลอย่างเหมาะสมแล้ว
• ผู้ได้รับข้อมูลอยู่ในวงที่มีหน้าที่รักษาความลับอยู่แล้ว และเข้าถึงได้เพียงชั่วครู่โดยไม่มีการคัดลอกหรือส่งต่อ
• ปริมาณน้อยมากและเป็นข้อมูลทั่วไปที่หาได้จากแหล่งสาธารณะอยู่แล้ว
• ระงับเหตุได้ทันทีและยืนยันได้ว่าไม่มีการเข้าถึงหรือใช้ข้อมูล
• เป็นการละเมิดความพร้อมใช้งานชั่วคราวที่กู้คืนได้ครบถ้วน เช่น ระบบล่มแล้วกู้ข้อมูลกลับมาได้ทั้งหมดโดยไม่มีการสูญหายหรือถูกเข้าถึง

ในทางกลับกัน มีปัจจัยที่พอปรากฏแล้วมักดันผลไปทางต้องแจ้งเสมอ ได้แก่ มีข้อมูลอ่อนไหวปนอยู่ มีเลขบัตรประจำตัวประชาชนหรือข้อมูลทางการเงินที่นำไปสวมรอยได้ กระทบกลุ่มเปราะบาง กระทบคนจำนวนมาก หรือข้อมูลออกสู่สาธารณะแล้ว

เลนส์ทนายยอดทิพย์ธรรม

คนทั่วไปมักเข้าใจว่า… แจ้งไว้ก่อนย่อมปลอดภัยกว่า เพราะถ้าไม่แจ้งแล้วผิดจะเสียหายมากกว่าการแจ้งเกินความจำเป็น

แต่ในทางคดี กฎหมายและศาลมักมองว่า… การแจ้งกับการไม่แจ้งเป็นการใช้ดุลพินิจที่ต้องมีฐาน ไม่ใช่การเลือกทางที่รู้สึกปลอดภัยกว่า และการแจ้งทุกเหตุโดยไม่ประเมินก็สะท้อนว่าองค์กรไม่มีกระบวนการประเมิน ซึ่งเป็นคนละปัญหาแต่เป็นปัญหาเหมือนกัน

จุดเสี่ยงจริงอยู่ตรงนี้… ไม่ได้อยู่ที่การตัดสินใจถูกหรือผิด แต่อยู่ที่องค์กรอธิบายได้หรือไม่ว่าตัดสินใจบนอะไร เพราะการประเมินความเสี่ยงเป็นเรื่องที่เห็นต่างกันได้ตามข้อเท็จจริง องค์กรที่ประเมินอย่างมีหลักเกณฑ์แล้วสรุปว่าไม่ต้องแจ้ง ย่อมอธิบายได้ แม้ผู้พิจารณาจะเห็นต่าง แต่องค์กรที่ไม่มีอะไรเลยจะอธิบายไม่ได้ตั้งแต่ต้น

ทางเลือกที่ควรทำต่อคือ… ทำแบบฟอร์มประเมินที่วางตามปัจจัยแปดข้อ แล้วบังคับให้ทุกเหตุต้องผ่านแบบฟอร์มนี้ ไม่ว่าจะเล็กแค่ไหน เพราะต้นทุนของการกรอกแบบฟอร์มหนึ่งหน้าน้อยกว่าต้นทุนของการอธิบายไม่ได้มาก

บันทึกที่ใช้ยันได้ต้องมีอะไรบ้าง

เอกสารการประเมินที่ดีไม่จำเป็นต้องยาว แต่ต้องตอบคำถามที่จะถูกถามได้ครบ ซึ่งมีอยู่หกข้อ

1. เกิดอะไรขึ้น ระบุข้อเท็จจริงตามลำดับเวลา รวมถึงวันเวลาที่ทราบเหตุ
2. ข้อมูลอะไรเกี่ยวข้อง ประเภทข้อมูล ปริมาณ จำนวนเจ้าของข้อมูลที่กระทบ และมีข้อมูลอ่อนไหวหรือไม่
3. ประเมินแต่ละปัจจัยอย่างไร ไล่ทีละข้อตามที่ประกาศกำหนด พร้อมเหตุผลสั้น ๆ ในแต่ละข้อ
4. ทำอะไรไปแล้วเพื่อระงับและเยียวยา พร้อมเวลาที่ทำและผลลัพธ์
5. สรุปว่าอย่างไรและเพราะอะไร ระบุให้ชัดว่าเห็นว่าไม่มีความเสี่ยงต่อสิทธิและเสรีภาพของบุคคล ด้วยเหตุผลใด
6. ใครเป็นผู้ตัดสินใจ ชื่อ ตำแหน่ง และวันที่

ข้อ 5 คือข้อที่มักหายไป องค์กรจำนวนมากบันทึกว่าเกิดอะไรขึ้นและทำอะไรไปแล้ว แต่ไม่ได้เขียนบรรทัดสรุปว่า "จึงเห็นว่ากรณีนี้ไม่มีความเสี่ยงที่จะมีผลกระทบต่อสิทธิและเสรีภาพของบุคคล จึงไม่เข้าเกณฑ์ต้องแจ้งตามมาตรา 37 (4)" ซึ่งเป็นบรรทัดเดียวที่เชื่อมข้อเท็จจริงเข้ากับข้อกฎหมาย

สิ่งที่ยังต้องทำ แม้ประเมินแล้วว่าไม่ต้องแจ้ง

การไม่ต้องแจ้งไม่ได้แปลว่าไม่ต้องทำอะไรเลย ประกาศฉบับปี 2565 กำหนดขั้นตอนไว้ว่าหลังจากตรวจสอบข้อเท็จจริงและประเมินความเสี่ยงแล้ว องค์กรยังต้องดำเนินการตามมาตรการที่จำเป็นและเหมาะสมเพื่อระงับ ตอบสนอง และแก้ไขเหตุละเมิด รวมทั้งป้องกันเหตุและผลกระทบที่อาจเกิดในลักษณะเดียวกันในอนาคต และทบทวนมาตรการรักษาความมั่นคงปลอดภัยให้เหมาะสม

ในทางปฏิบัติจึงมีสามอย่างที่ยังต้องทำ คือหนึ่ง แก้ต้นเหตุไม่ให้เกิดซ้ำ สอง ทบทวนว่ามาตรการที่มีอยู่เพียงพอหรือไม่ และสาม เก็บบันทึกไว้ในที่ที่ค้นย้อนหลังได้ เพราะเหตุเล็ก ๆ ที่เกิดซ้ำหลายครั้งเป็นสัญญาณเชิงระบบที่ผู้พิจารณาให้ความสำคัญ

ปลายทางถ้าประเมินพลาด

1. หากภายหลังปรากฏว่าเหตุนั้นมีความเสี่ยงจริงและองค์กรไม่ได้แจ้ง จะเป็นประเด็นตามมาตรา 37 (4)
2. คณะกรรมการผู้เชี่ยวชาญพิจารณาว่าจะสั่งให้แก้ไข ตักเตือน หรือลงโทษปรับทางปกครอง โดยดูพฤติการณ์และปัจจัยที่ประกาศกำหนด
3. ในกรณีที่องค์กรมีเอกสารประเมินอย่างมีหลักเกณฑ์ พฤติการณ์จะต่างจากกรณีที่ไม่ได้ประเมินเลยอย่างชัดเจน เพราะปัจจัยเรื่องเจตนา ความประมาทเลินเล่ออย่างร้ายแรง และมาตรฐานขององค์กรในขณะกระทำผิด ล้วนถูกนำมาชั่งน้ำหนัก
4. ในทางกลับกัน หากองค์กรไม่แจ้งโดยไม่มีบันทึกใด ๆ จะไม่มีอะไรให้ยกขึ้นแสดงว่าได้ใช้ความระมัดระวังตามสมควร
5. เจ้าของข้อมูลที่ได้รับผลกระทบยังฟ้องแพ่งเรียกค่าสินไหมทดแทนได้อีกทางหนึ่ง โดยไม่ขึ้นกับว่าองค์กรแจ้งเหตุหรือไม่

หลักฐานที่ต้องเก็บ

• แบบฟอร์มประเมินความเสี่ยงที่กรอกครบตามปัจจัยแปดข้อ พร้อมเหตุผลรายข้อ
• บรรทัดสรุปที่เชื่อมข้อเท็จจริงเข้ากับข้อยกเว้นตามมาตรา 37 (4)
• ชื่อและตำแหน่งผู้ตัดสินใจ พร้อมวันเวลา
• บันทึกมาตรการระงับและเยียวยาที่ทำไปแล้ว
• บันทึกการแก้ต้นเหตุและการทบทวนมาตรการหลังเกิดเหตุ
• หลักฐานประกอบที่ใช้ในการประเมิน เช่น คำยืนยันจากผู้รับ หรือหลักฐานว่าไฟล์ถูกเข้ารหัสไว้
• ทะเบียนรวมเหตุทั้งหมดที่เกิดขึ้น เพื่อดูแนวโน้มว่าเหตุลักษณะใดเกิดซ้ำ

ถ้าเป็นฝ่ายองค์กร ต้องทำอะไรบ้าง

• เลิกใช้หลัก "แจ้งไว้ก่อนปลอดภัยกว่า" แล้วเปลี่ยนเป็น "ประเมินทุกครั้งและบันทึกทุกครั้ง"
• ทำแบบฟอร์มประเมินที่วางตามปัจจัยแปดข้อ ให้กรอกได้จบในหน้าเดียว
• กำหนดว่าใครมีอำนาจสรุปว่าไม่เข้าเกณฑ์ต้องแจ้ง และต้องมีผู้ทบทวนอีกคนหรือไม่
• กำหนดว่ากรณีใดต้องส่งให้ทนายดูก่อนเสมอ เช่น มีข้อมูลอ่อนไหวหรือกระทบเกินจำนวนที่กำหนด
• เก็บบันทึกทุกเหตุไว้ในทะเบียนเดียวกัน แม้เหตุที่สรุปว่าไม่ต้องแจ้ง
• ทบทวนทะเบียนทุกไตรมาสเพื่อดูว่าเหตุลักษณะใดเกิดซ้ำและควรแก้เชิงระบบ
• ตรวจว่าการแก้ต้นเหตุหลังแต่ละเหตุถูกบันทึกไว้จริงหรือไม่

อีกฝ่ายอาจโต้แย้งอย่างไร

• "ไม่ได้ประเมินจริง แค่อ้างว่าประเมินแล้ว" — เมื่อไม่มีเอกสารลงวันที่รองรับ ข้อโต้แย้งนี้แทบไม่มีทางแก้
• "ประเมินโดยคนที่เป็นต้นเหตุเอง" — ทำให้ความน่าเชื่อถือของการประเมินถูกตั้งคำถาม
• "ประเมินตอนไหน" — ถ้าเอกสารลงวันที่หลังจากมีคนมาร้องเรียนแล้ว จะเสียหายมากกว่าไม่มีเอกสาร
• "มองข้ามปัจจัยสำคัญ" — เช่น ไม่ได้ประเมินเรื่องกลุ่มเปราะบาง ทั้งที่ผู้ได้รับผลกระทบเข้าข่าย
• "เกิดซ้ำแล้วยังสรุปว่าไม่เสี่ยงทุกครั้ง" — รูปแบบที่ซ้ำกันเองกลายเป็นหลักฐานว่าองค์กรใช้ข้อยกเว้นเป็นทางหนี

ก่อนสรุปว่าไม่ต้องแจ้ง ควรทำอะไรตามลำดับ

1. บันทึกวันเวลาที่ทราบเหตุก่อนเสมอ แม้จะคิดว่าเรื่องเล็ก
2. ระงับและเก็บหลักฐานเท่าที่ทำได้ทันที เพราะมีผลต่อการประเมินโดยตรง
3. ให้ผู้ที่ไม่มีส่วนได้เสียเป็นผู้ประเมิน หรืออย่างน้อยให้มีผู้ทบทวนอีกคน
4. ไล่ปัจจัยทั้งแปดข้อทีละข้อ อย่าข้ามข้อที่ดูไม่เกี่ยว เพราะการข้ามคือช่องให้โต้แย้ง
5. เขียนบรรทัดสรุปที่อ้างข้อยกเว้นตามมาตรา 37 (4) ให้ชัดเจน
6. ถ้ามีข้อมูลอ่อนไหวหรือกระทบคนจำนวนมาก ให้ทนายทบทวนก่อนสรุป

กรณีแบบไหนที่ควรปรึกษาทนายก่อนสรุปว่าไม่ต้องแจ้ง

• มีข้อมูลอ่อนไหวเกี่ยวข้อง เช่น ข้อมูลสุขภาพหรือข้อมูลชีวภาพ
• มีเลขบัตรประจำตัวประชาชนหรือข้อมูลทางการเงินที่นำไปสวมรอยได้
• ผู้ได้รับผลกระทบเป็นกลุ่มเปราะบาง
• จำนวนผู้ได้รับผลกระทบมาก หรือประเมินจำนวนไม่ได้แน่ชัด
• ข้อมูลออกไปนอกองค์กรและติดตามไม่ได้ว่าถูกส่งต่อไปที่ใดบ้าง
• เหตุลักษณะเดียวกันเกิดซ้ำหลายครั้งในรอบปี
• เจ้าของข้อมูลรู้เรื่องแล้วและกำลังทวงถาม

สำนักงานกฎหมายยอดทิพย์ธรรม ช่วยอะไรได้บ้าง

ในงานที่ปรึกษากฎหมาย PDPA สำหรับองค์กร เราวางเกณฑ์ประเมินความเสี่ยงและแบบฟอร์มบันทึกที่ใช้ได้จริง พร้อมกำหนดชัดว่ากรณีใดที่ทีมภายในสรุปเองได้ และกรณีใดที่ต้องส่งให้ทนายทบทวนก่อน เพื่อไม่ให้ทุกเหตุกลายเป็นภาระ · และถ้าเหตุเพิ่งเกิดและต้องตัดสินใจภายในวันเดียว บริการประเมินเหตุข้อมูลรั่วไหลเร่งด่วน ช่วยประเมินและบันทึกเหตุผลให้ใช้ยันได้

จุดที่เราต่างจากผู้ขายแพ็กเกจคือเราคิดค่าบริการตามงาน จึงบอกได้ตรง ๆ ว่ากรณีไหนที่ไม่ต้องทำอะไรเพิ่ม ในหลายกรณีคำแนะนำที่ตรงที่สุดคือเหตุนี้ไม่เข้าเกณฑ์ต้องแจ้ง เพียงแต่ต้องบันทึกให้ถูกวิธี ซึ่งใช้เวลาไม่นานและไม่ต้องลงทุนอะไรเพิ่ม

สรุป

เหตุที่ไม่ต้องแจ้งมีอยู่จริงตามมาตรา 37 (4) ซึ่งยกเว้นไว้สำหรับการละเมิดที่ไม่มีความเสี่ยงที่จะมีผลกระทบต่อสิทธิและเสรีภาพของบุคคล องค์กรจึงไม่ต้องแจ้งทุกเหตุเพื่อความสบายใจ และการแจ้งเกินความจำเป็นก็มีต้นทุนของมันเอง

แต่สิ่งที่กฎหมายไม่ได้ยกเว้นให้เลยคือหน้าที่ประเมินและหน้าที่บันทึก ความต่างระหว่างองค์กรที่ปลอดภัยกับองค์กรที่เสี่ยง จึงไม่ได้อยู่ที่แจ้งหรือไม่แจ้ง แต่อยู่ที่มีเอกสารอธิบายได้หรือเปล่าว่าตัดสินใจบนอะไร

หากคุณกำลังเจอปัญหาลักษณะนี้ ปรึกษาทีมทนายของสำนักงานกฎหมายยอดทิพย์ธรรม โทร 081-327-8551 | LINE @995iqtpa หรือนัดหมายปรึกษาที่นี่

ข้อกฎหมายที่เกี่ยวข้อง

• พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 มาตรา 37 (4) — หน้าที่แจ้งเหตุการละเมิดภายใน 72 ชั่วโมงนับแต่ทราบเหตุ เว้นแต่การละเมิดดังกล่าวไม่มีความเสี่ยงที่จะมีผลกระทบต่อสิทธิและเสรีภาพของบุคคล และหากมีความเสี่ยงสูง ต้องแจ้งเจ้าของข้อมูลพร้อมแนวทางเยียวยาโดยไม่ชักช้า
• ประกาศ กคส. เรื่อง หลักเกณฑ์และวิธีการในการแจ้งเหตุการละเมิดข้อมูลส่วนบุคคล พ.ศ. 2565 — เมื่อเห็นว่ามีเหตุอันควรเชื่อว่ามีการละเมิดเกิดขึ้นจริง ให้แจ้งเหตุแก่สำนักงานฯ เว้นแต่เป็นกรณีไม่มีความเสี่ยง
• ประกาศฯ · ปัจจัยประเมินความเสี่ยง 8 ข้อ — ลักษณะและประเภทของการละเมิด · ลักษณะและประเภทของข้อมูล · ปริมาณข้อมูลและจำนวนรายการ · ลักษณะและสถานะของเจ้าของข้อมูลรวมถึงกลุ่มเปราะบาง · ความร้ายแรงของผลกระทบและประสิทธิภาพของมาตรการป้องกันระงับแก้ไขหรือเยียวยา · ผลกระทบในวงกว้าง · ลักษณะระบบเก็บข้อมูลและมาตรการที่มีอยู่ · สถานะทางกฎหมายและขนาดของผู้ควบคุมข้อมูล
• ประกาศฯ · หน้าที่หลังประเมิน — ดำเนินการตามมาตรการที่จำเป็นและเหมาะสมเพื่อระงับ ตอบสนอง แก้ไขเหตุละเมิด และป้องกันเหตุที่อาจเกิดในลักษณะเดียวกันในอนาคต รวมถึงทบทวนมาตรการรักษาความมั่นคงปลอดภัยให้เหมาะสม
• ประกาศ กคส. เรื่อง หลักเกณฑ์การพิจารณาออกคำสั่งลงโทษปรับทางปกครองฯ พ.ศ. 2565 ข้อ 8 — ปัจจัยที่นำมาพิจารณา รวมถึงว่าเป็นการกระทำโดยเจตนา จงใจ ประมาทเลินเล่ออย่างร้ายแรง หรือขาดความระมัดระวังตามสมควร และมาตรฐานขององค์กรในขณะที่มีการกระทำความผิด
• มาตรา 37 (1) — หน้าที่จัดให้มีมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสม ซึ่งไม่ได้หายไปแม้เหตุนั้นจะประเมินแล้วว่าไม่ต้องแจ้ง

คำถามที่พบบ่อย

ถ้าไม่แน่ใจ ควรแจ้งไว้ก่อนไหม

การแจ้งไว้ก่อนไม่ใช่ทางที่ปลอดภัยเสมอไป เพราะการแจ้งทุกเหตุโดยไม่ประเมินสะท้อนว่าองค์กรไม่มีกระบวนการประเมิน และการแจ้งยังมีต้นทุนทั้งด้านการดำเนินการและด้านชื่อเสียง สิ่งที่ควรทำเมื่อไม่แน่ใจคือประเมินตามปัจจัยที่ประกาศกำหนดให้ครบก่อน แล้วหากยังไม่ชัดเจน โดยเฉพาะกรณีที่มีข้อมูลอ่อนไหวหรือกระทบคนจำนวนมาก จึงควรปรึกษาทนายเพื่อประเมินเป็นรายกรณีก่อนตัดสินใจ

ประเมินว่าไม่ต้องแจ้ง ต้องเก็บบันทึกไว้นานแค่ไหน

กฎหมายไม่ได้กำหนดจำนวนปีไว้เป็นการเฉพาะสำหรับบันทึกการประเมินเหตุละเมิด แต่ในทางปฏิบัติควรเก็บให้ครอบคลุมอย่างน้อยจนพ้นระยะเวลาที่ผู้เสียหายอาจใช้สิทธิเรียกร้อง เพราะเอกสารนี้คือสิ่งเดียวที่แสดงว่าองค์กรได้ใช้ความระมัดระวังตามสมควร นอกจากนี้ควรเก็บไว้ในทะเบียนรวมเพื่อดูแนวโน้มว่าเหตุลักษณะใดเกิดซ้ำ ซึ่งเป็นข้อมูลที่ใช้ปรับปรุงระบบได้จริง

ใครควรเป็นผู้สรุปว่าไม่เข้าเกณฑ์ต้องแจ้ง

ควรเป็นผู้ที่มีอำนาจตัดสินใจแทนองค์กรและไม่ใช่ผู้ที่มีส่วนได้เสียในเหตุนั้น เพราะการประเมินโดยผู้ที่เป็นต้นเหตุเองมักถูกตั้งคำถามเรื่องความน่าเชื่อถือ องค์กรควรกำหนดไว้ล่วงหน้าว่าใครมีอำนาจสรุป และควรกำหนดด้วยว่ากรณีใดต้องมีผู้ทบทวนอีกชั้นหรือต้องส่งให้ทนายดูก่อน เช่น กรณีที่มีข้อมูลอ่อนไหวหรือกระทบเกินจำนวนที่กำหนด

เหตุเล็ก ๆ ที่เกิดซ้ำบ่อย จะกลายเป็นปัญหาไหม

อาจกลายเป็นปัญหาได้ เพราะแม้แต่ละครั้งจะประเมินว่าไม่มีความเสี่ยง แต่รูปแบบที่เกิดซ้ำสะท้อนว่ามาตรการรักษาความมั่นคงปลอดภัยที่มีอยู่อาจไม่เหมาะสมตามมาตรา 37 (1) ซึ่งเป็นคนละประเด็นกับหน้าที่แจ้งเหตุ ประกาศยังกำหนดให้ต้องดำเนินมาตรการป้องกันเหตุในลักษณะเดียวกันในอนาคตและทบทวนมาตรการให้เหมาะสม องค์กรจึงควรทบทวนทะเบียนเหตุเป็นระยะและบันทึกไว้ว่าได้แก้เชิงระบบอย่างไร

ผู้เขียน นายเอกราช ทิพย์แมม คดีครอบครัว มรดก และหนี้สิน

สาขาที่เชี่ยวชาญ: ครอบครัว · มรดกและพินัยกรรม · หนี้สินและบังคับคดี

ดูประวัติทีมทนายความ →

บทความนี้เป็นความรู้กฎหมายทั่วไปเพื่อความเข้าใจเบื้องต้น ไม่ใช่คำปรึกษาทางกฎหมายเฉพาะคดี ผลทางกฎหมายขึ้นอยู่กับข้อเท็จจริง เอกสาร และพยานหลักฐานของแต่ละกรณี ควรปรึกษาทนายความเพื่อประเมินเรื่องของท่านโดยเฉพาะ