รายงานเหตุข้อมูลรั่วเพิ่มเติม เมื่อพบข้อมูลใหม่ต้องทำอย่างไร

รายงานเหตุข้อมูลรั่วเพิ่มเติมควรอ้างอิงรายงานเดิม ระบุข้อมูลที่เปลี่ยน เหตุที่เพิ่งทราบ และผลต่อการประเมินความเสี่ยง หากพบผู้ได้รับผลกระทบหรือประเภทข้อมูลเพิ่ม ต้องตรวจด้วยว่าจำเป็นต้องแจ้งเจ้าของข้อมูลเพิ่มหรือแก้ข้อความที่เคยแจ้งไปแล้วอย่างไร

รายงานเหตุข้อมูลรั่วเพิ่มเติมควรมีอะไรบ้าง?

ระบุเลขอ้างอิงเหตุเดิม เวลาพบข้อมูลใหม่ และรายการแก้ไข พร้อมอธิบายผลต่อจำนวนคน ประเภทข้อมูล หรือความเสี่ยง ส่งข้อเท็จจริงที่ยืนยันได้และแยกส่วนที่ยังตรวจ ไม่รอรายงานเทคนิคสมบูรณ์จนละเลยหน้าที่แจ้งเหตุหรือเจ้าของข้อมูลตามกฎหมาย

พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 มาตรา 37 (4) กำหนดให้แจ้งเหตุแก่สำนักงานโดยไม่ชักช้าภายใน 72 ชั่วโมงนับแต่ทราบเหตุเท่าที่สามารถกระทำได้ เว้นแต่ไม่มีความเสี่ยงต่อสิทธิและเสรีภาพของบุคคล และหากมีความเสี่ยงสูงให้แจ้งเจ้าของข้อมูลพร้อมแนวทางเยียวยาโดยไม่ชักช้าด้วย ต้องแยกผู้รับและเงื่อนไขของหน้าที่สองส่วนนี้

ประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง หลักเกณฑ์และวิธีการในการแจ้งเหตุการละเมิดข้อมูลส่วนบุคคล พ.ศ. 2565 ข้อ 6 กำหนดสาระสำคัญที่แจ้งเท่าที่สามารถทำได้ ได้แก่ ลักษณะเหตุ ผู้ติดต่อ ผลกระทบ และมาตรการตอบสนอง เมื่อตรวจพบข้อมูลใหม่ที่เปลี่ยนสาระเหล่านี้ แนวทางจัดรายงานที่เหมาะสมคืออ้างอิงฉบับเดิมและชี้ส่วนเปลี่ยนให้หน่วยงานติดตามได้ โดยตรวจช่องทางหรือคำขอเพิ่มเติมที่ได้รับจริง

ข้อ 10 กล่าวถึงกรณีแจ้งสำนักงานแล้วหรือกำลังเตรียมแจ้ง และต่อมาพบความเสี่ยงสูง ให้แจ้งเจ้าของข้อมูลที่ได้รับผลกระทบโดยไม่ชักช้า จึงไม่ควรใช้เหตุว่ารายงานแรกระบุความเสี่ยงต่ำเป็นข้อสรุปถาวร หากข้อเท็จจริงใหม่เปลี่ยนการประเมิน

ตัวอย่างสมมติ: รายงานแรกระบุว่ามีข้อมูลติดต่อ 200 รายการ ต่อมาพบไฟล์แนบเกี่ยวกับสุขภาพในบางรายการและตรวจจำนวนคนได้ 170 คน รายงานเพิ่มเติมควรอธิบายว่าจำนวนรายการกับจำนวนคนต่างกันอย่างไร ระบุประเภทข้อมูลที่เพิ่ม และทบทวนผลกระทบรายกลุ่ม ไม่เปลี่ยนตัวเลขในรายงานเก่าเงียบ ๆ

ตรวจรายละเอียดจาก ประกาศการแจ้งเหตุละเมิดข้อมูล พ.ศ. 2565 และอ่าน แนวทางจัดการเหตุข้อมูลรั่วภายในกรอบ 72 ชั่วโมง ประกอบ

ถ้าข้อมูลใหม่เพิ่มหรือลดความเสี่ยง ต้องปรับอะไร?

ถ้าพบคนหรือรายการเพิ่ม ให้จัดตารางเทียบจำนวนเดิม จำนวนใหม่ และวิธีตรวจนับ โดยบอกว่ามีรายการซ้ำหรือยังรอยืนยันหรือไม่ อย่ารวมบัญชีผู้ใช้ ไฟล์ และบุคคลเป็นหน่วยเดียว เพราะอาจทำให้เข้าใจขอบเขตผิด

ถ้าพบข้อมูลที่อ่อนไหวกว่าเดิม ต้องประเมินผลกระทบใหม่ตามบริบท เช่น ข้อมูลสุขภาพอาจก่อผลต่อบุคคลต่างจากข้อมูลติดต่อทั่วไป ไม่ควรใช้จำนวนคนน้อยเพียงอย่างเดียวตัดสินว่าไม่มีความเสี่ยงสูง และต้องตรวจแนวทางแจ้งเจ้าของข้อมูลให้เหมาะกับผลกระทบที่พบ

ถ้าพบว่าขอบเขตแคบกว่าที่แจ้ง สามารถอธิบายผลตรวจและเหตุที่ปรับการประเมิน แต่ต้องเก็บหลักฐานรองรับ คำว่าไม่พบการดาวน์โหลดไม่เท่ากับพิสูจน์ว่าไม่มีการเข้าถึง หากระบบไม่ได้เก็บบันทึกส่วนที่จำเป็นตั้งแต่แรก

ถ้าเจ้าหน้าที่ขอเอกสารเพิ่ม ให้ตอบตามขอบเขตและกำหนดในหนังสือ พร้อมทำรายการสิ่งที่ส่งและข้อจำกัด หากข้อมูลบางส่วนยังไม่มี ให้ชี้แจงสถานะและแนวทางจัดหา ไม่แนบข้อมูลส่วนบุคคลทั้งหมดโดยไม่คัดความจำเป็น

เลนส์ทนายยอดทิพย์ธรรม: แก้รายงานต้องเห็นรอยเปลี่ยน

คนมักเข้าใจว่า: รายงานแรกควรสมบูรณ์จนไม่ต้องแก้ หรือเมื่อส่งแล้วจะเปลี่ยนข้อมูลไม่ได้ ความคิดนี้ทำให้บางองค์กรรอผลตรวจทุกอย่างจนพลาดการแจ้งตามเวลา หรืออีกด้านหนึ่งไม่ยอมแก้ข้อเท็จจริงที่รู้แล้วว่าคลาดเคลื่อน

กฎหมายมองว่า: ข้อ 6 ให้แจ้งสาระสำคัญเท่าที่สามารถกระทำได้ ขณะเดียวกันหน้าที่ประเมินและตอบสนองเหตุต้องอิงข้อเท็จจริงที่ตรวจพบ การระบุข้อจำกัดอย่างตรงไปตรงมาจึงต่างจากการส่งข้อมูลที่รู้ว่าไม่ถูกต้องหรือปล่อยให้ข้อสรุปเดิมชวนเข้าใจผิด

จุดเสี่ยงจริง: รายงานของฝ่ายระบบ ฝ่ายกฎหมาย และจดหมายถึงลูกค้าใช้ตัวเลขคนละชุด ควรกำหนดเจ้าของข้อมูลกลางของเหตุ มีเวลาปิดยอดแต่ละฉบับ และบันทึกการอนุมัติข้อความก่อนส่ง เพื่อให้ตอบได้ว่าตัวเลขนั้นทราบเมื่อใดและมาจากหลักฐานใด

มองสองฝั่ง: องค์กรกับเจ้าของข้อมูลต้องรู้อะไรเพิ่ม?

ข้อความถึงเจ้าของข้อมูลควรอธิบายสิ่งที่เปลี่ยนและสิ่งที่เขาควรทำ โดยไม่ใส่รายละเอียดเทคนิคเกินจำเป็น ส่วนรายงานต่อหน่วยงานควรมีหลักฐานและรหัสอ้างอิงที่ช่วยตรวจสอบได้

ข้อมูลใหม่ทำให้เริ่มนับ 72 ชั่วโมงใหม่ทุกครั้งหรือไม่?

ไม่ควรใช้การพบข้อมูลเพิ่มในเหตุเดิมเป็นเหตุเริ่มเวลาแจ้งเหตุแรกใหม่เพื่อกลบความล่าช้า ให้เก็บเวลาที่ทราบเหตุเดิม เวลาส่งครั้งแรก และเวลาที่รู้ข้อเท็จจริงเพิ่มแยกกัน หากเป็นเหตุใหม่จริงต้องประเมินจากข้อเท็จจริง ไม่ตัดสินจากการตั้งเลขสำนวนใหม่เอง

ประกาศข้อ 7 วางเงื่อนไขขอพิจารณายกเว้นความผิดจากการแจ้งล่าช้าเพราะเหตุจำเป็น โดยต้องชี้แจงและแจ้งโดยเร็วไม่เกิน 15 วันนับแต่ทราบเหตุ กรอบนี้ไม่ใช่การขยายเวลาอัตโนมัติให้ทุกเหตุ และไม่ใช่กำหนดรายงานฉบับสุดท้ายทั่วไป

สำหรับการรายงานเพิ่มเติม ให้ตรวจช่องทางรับเรื่อง หนังสือขอข้อมูล และกำหนดเฉพาะที่หน่วยงานแจ้ง แผนภายใน เช่น ทบทวนข้อมูลทุกวันระหว่างตรวจเหตุ เป็นวิธีจัดงานที่องค์กรเลือกใช้ ไม่ควรนำไปเขียนเป็นข้อบังคับตามกฎหมาย อ่าน จุดเริ่มนับกรอบ 72 ชั่วโมง เพื่อแยกเวลาแต่ละประเภท

ต้นทุนแจ้งเพิ่มเติมควรคำนวณจากอะไร?

แยกค่าตรวจข้อมูลเพิ่ม ค่าสื่อสาร และค่าเยียวยาออกจากกัน เพื่อไม่ให้ยอดงบประมาณถูกอ่านเป็นการยอมรับค่าเสียหายทั้งหมด สูตรวางงบสื่อสารเบื้องต้นคือ จำนวนผู้รับที่ต้องติดต่อจริง × ต้นทุนต่อการติดต่อหนึ่งราย บวกค่าจัดเตรียมและติดตามผล

ตัวอย่างสมมติ: ต้องติดต่อเพิ่ม 300 ราย ต้นทุนส่งและติดตามเฉลี่ยรายละ 20 บาท เท่ากับ 6,000 บาท หากค่าตรวจรายชื่อและจัดข้อความ 4,000 บาท รวมงบส่วนนี้ 10,000 บาท ตัวเลขเป็นตัวอย่างบริหารงาน ไม่ใช่อัตราค่าบริการหรือค่าเยียวยาที่กฎหมายรับรอง

ก่อนอนุมัติให้ตรวจว่ารายชื่อซ้ำกับผู้รับเดิมหรือไม่ และจำเป็นต้องใช้ช่องทางใดเพื่อให้ถึงผู้ได้รับผลกระทบ หากใช้ผู้รับจ้างสื่อสาร ต้องกำหนดขอบเขตข้อมูลและความปลอดภัยในการส่ง ไม่ลดต้นทุนด้วยการแนบรายชื่อผู้ได้รับผลกระทบทั้งหมดในอีเมลเดียว

หลักฐานใดต้องแนบกับรายงานเพิ่มเติม?

• เลขอ้างอิงเหตุเดิมและสำเนารายงานที่ส่งจริง
• ตารางเปรียบเทียบสาระเดิมกับสาระใหม่ พร้อมเหตุที่แก้ไข
• เวลาและแหล่งที่พบข้อมูลใหม่ รวมถึงผู้ตรวจยืนยัน
• วิธีนับจำนวนบุคคลและรายการ พร้อมข้อจำกัดของข้อมูล
• ผลประเมินความเสี่ยงฉบับใหม่และมาตรการที่ปรับตาม
• ข้อความแจ้งเจ้าของข้อมูลและหลักฐานส่งที่เกี่ยวข้อง

รักษาต้นฉบับบันทึกระบบและรายงานผู้ตรวจ ไม่แก้ทับเพื่อให้ตรงกับข้อสรุปล่าสุด หากนำมาทำตารางหรือปิดข้อมูลบางส่วน ควรเก็บสำเนาต้นทางแยกไว้และระบุวิธีจัดทำ เพื่อให้ตรวจย้อนกลับได้ว่ารายงานอาศัยหลักฐานชุดใด

ในรายงานให้ระบุข้อจำกัด เช่น ช่วงเวลาที่ระบบไม่ได้เก็บบันทึกหรือข้อมูลจากคู่ค้าที่ยังรอ ข้อจำกัดเหล่านี้เป็นข้อมูลประกอบการตัดสินใจ ไม่ใช่สิ่งที่ควรลบทิ้งเพียงเพื่อให้เอกสารดูสรุปจบ

สัญญาคู่ค้าและความรับผิดอื่นต้องปรับตามหรือไม่?

สัญญาประมวลผลข้อมูล: ผู้รับจ้างควรส่งข้อเท็จจริงและหลักฐานตามข้อตกลงเพื่อให้ผู้ควบคุมประเมินเหตุได้ หากสัญญาขาดช่องทางประสานหรือกำหนดส่งข้อมูล ควรตรวจร่วมกับ งานสัญญาธุรกิจ และไม่ใช้ปัญหาสัญญาเป็นเหตุเลื่อนหน้าที่ของตนโดยอัตโนมัติ

ความเสียหายทางแพ่ง: ข้อมูลใหม่อาจเปลี่ยนการประเมินผลกระทบและรายการเยียวยา แต่ยังต้องตรวจความสัมพันธ์กับเหตุและหลักฐานรายบุคคล งาน ข้อพิพาททางแพ่ง จึงควรใช้ข้อมูลฉบับเดียวกับทีมตรวจเหตุโดยแยกข้อสันนิษฐานชัดเจน

กฎหมายเฉพาะกิจการ: ธุรกิจบางประเภทอาจมีหน้าที่รายงานต่อผู้กำกับของตนเพิ่ม การแจ้งสำนักงานคุ้มครองข้อมูลส่วนบุคคลไม่ได้ยกเว้นหน้าที่ตามกฎหมายอื่น จึงควรตรวจผู้รับรายงานและเงื่อนไขของแต่ละหน่วยงานแยกกัน

ทางไปต่อ: ทำรายงานเพิ่มเติมให้ติดตามเหตุเดิมได้

1. เก็บรายงานเดิมและกำหนดเลขฉบับเพิ่มเติมให้ชัด
2. ตรวจข้อเท็จจริงใหม่และแยกสิ่งที่ยังไม่ยืนยัน
3. ทบทวนความเสี่ยงและผู้ได้รับผลกระทบรายกลุ่ม
4. ตรวจหน้าที่แจ้งหน่วยงานและเจ้าของข้อมูลที่เปลี่ยนไป
5. ส่งตามช่องทางที่กำหนด เก็บหลักฐานรับ และกำหนดงานติดตาม

ควรให้ผู้เชี่ยวชาญช่วยเมื่อจำนวนคนเปลี่ยนมาก พบข้อมูลอ่อนไหว รายงานแต่ละฝ่ายขัดกัน หรือใกล้กำหนดตอบหน่วยงาน สามารถดู งานรับมือเหตุข้อมูลรั่ว ใน บริการกฎหมาย PDPA และ ติดต่อยอดทิพย์ธรรม พร้อมรายงานเดิมและรายการข้อมูลใหม่

ผู้เขียน นายเอกราช ทิพย์แมม คดีครอบครัว มรดก และหนี้สิน

สาขาที่เชี่ยวชาญ: ครอบครัว · มรดกและพินัยกรรม · หนี้สินและบังคับคดี

ดูประวัติทีมทนายความ →

บทความนี้เป็นความรู้กฎหมายทั่วไปเพื่อความเข้าใจเบื้องต้น ไม่ใช่คำปรึกษาทางกฎหมายเฉพาะคดี ผลทางกฎหมายขึ้นอยู่กับข้อเท็จจริง เอกสาร และพยานหลักฐานของแต่ละกรณี ควรปรึกษาทนายความเพื่อประเมินเรื่องของท่านโดยเฉพาะ