ข้อมูลรั่วไหล ต้องแจ้งใครภายใน 72 ชั่วโมง? คู่มือรับมือ PDPA สำหรับองค์กร

บ่ายวันศุกร์ ฝ่ายไอทีเดินมาบอกว่าไฟล์ลูกค้าถูกดาวน์โหลดออกจากระบบ คำถามแรกของผู้บริหารคือ "ต้องทำอะไรบ้าง" ซึ่งตอบไม่ได้ถ้าไม่เตรียมไว้ก่อน เพราะเมื่อเกิดข้อมูลรั่วไหล นาฬิกา 72 ชั่วโมงเริ่มเดินทันทีที่องค์กรทราบเหตุ ไม่ใช่เมื่อสอบสวนเสร็จ บทความนี้เป็นคู่มือหลักของทั้งเรื่อง ตั้งแต่นับเวลา ประเมิน ตัดสินใจว่าจะแจ้งหรือไม่ ไปจนถึงสิ่งที่ควรเตรียมไว้ก่อน

นาฬิกา 72 ชั่วโมงเริ่มเดินเมื่อไหร่

มาตรา 37 (4) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 กำหนดให้ผู้ควบคุมข้อมูลส่วนบุคคล แจ้งเหตุการละเมิดข้อมูลส่วนบุคคลแก่สำนักงานโดยไม่ชักช้าภายในเจ็ดสิบสองชั่วโมงนับแต่ทราบเหตุเท่าที่จะสามารถกระทำได้ เว้นแต่การละเมิดดังกล่าวไม่มีความเสี่ยงที่จะมีผลกระทบต่อสิทธิและเสรีภาพของบุคคล

คำที่ตัดสินทั้งเรื่องคือ นับแต่ทราบเหตุ ไม่ใช่นับแต่วันที่เหตุเกิด และไม่ใช่วันที่สอบสวนเสร็จ คำถามที่ตามมาคือใครในองค์กรที่รู้แล้วถือว่าองค์กรทราบเหตุ อธิบายไว้ที่นับ 72 ชั่วโมงจากเมื่อใด

ห้าขั้นตอนที่ประกาศปี 2565 กำหนดไว้

ประกาศ กคส. เรื่องหลักเกณฑ์และวิธีการในการแจ้งเหตุการละเมิดข้อมูลส่วนบุคคล พ.ศ. 2565 วางลำดับไว้ห้าขั้นเมื่อองค์กรทราบว่ามีหรือน่าจะมีเหตุ

ขั้น	ต้องทำอะไร	เจาะลึกต่อ
1 · ตรวจและประเมิน	ประเมินความน่าเชื่อถือของข้อมูล ตรวจข้อเท็จจริง ตรวจมาตรการที่มี และประเมินความเสี่ยง	เช็กลิสต์ 10 อย่างใน 6 ชั่วโมงแรก
2 · ระงับความเสียหาย	ถ้าเสี่ยงสูง ให้ป้องกัน ระงับ หรือแก้ไขทันทีเท่าที่ทำได้	หลักฐานที่ต้องเก็บทันทีเมื่อระบบถูกแฮก
3 · แจ้งสำนักงานฯ	เมื่อมีเหตุอันควรเชื่อว่ามีการละเมิดจริง ให้แจ้งภายใน 72 ชั่วโมง เว้นแต่ไม่มีความเสี่ยง	เหตุแบบใดที่ไม่ต้องแจ้ง
4 · แจ้งเจ้าของข้อมูล	ถ้าเสี่ยงสูง ให้แจ้งเจ้าของข้อมูลพร้อมแนวทางเยียวยาโดยไม่ชักช้า	แจ้งเจ้าของข้อมูลเมื่อใด เขียนอย่างไร
5 · แก้ไขและทบทวน	ดำเนินมาตรการระงับ แก้ไข ป้องกันไม่ให้เกิดซ้ำ และทบทวนมาตรการที่มีอยู่	แบบฟอร์มบันทึกเหตุที่ใช้ยันได้

ขั้นที่ 1 กับ 2 ต้องเดินขนานกัน ไม่ใช่รอประเมินเสร็จแล้วค่อยระงับ · ประกาศยังจำแนกการละเมิดเป็นสามประเภท คือความลับ ความถูกต้องครบถ้วน และความพร้อมใช้งาน

เลนส์ทนายยอดทิพย์ธรรม

คนทั่วไปมักเข้าใจว่า ควรสอบสวนให้ชัดเจนก่อนว่าเกิดอะไรขึ้น รู้ตัวคนทำ และประเมินความเสียหายให้ครบ แล้วค่อยแจ้งหน่วยงานทีเดียวจบ

แต่ในทางคดี กฎหมายและผู้พิจารณามักมองว่า ตัวบทเขียนว่าแจ้งภายใน 72 ชั่วโมงเท่าที่จะสามารถกระทำได้ ซึ่งแปลว่ากฎหมายรู้อยู่แล้วว่าองค์กรยังไม่มีข้อมูลครบในวันที่สาม การแจ้งเท่าที่รู้แล้วส่งข้อมูลเพิ่มภายหลัง จึงตรงกับเจตนาของตัวบทมากกว่าการเงียบไว้จนกว่าจะรู้ครบ

จุดเสี่ยงจริงอยู่ตรงนี้ องค์กรที่รอให้ชัดเจนก่อนมักเลย 72 ชั่วโมงไปแล้ว และเมื่อถูกถามว่าทราบเหตุเมื่อใด คำตอบมักขัดกับบันทึกในระบบ เพราะการแจ้งเตือนและข้อความในกลุ่มแชทมีวันเวลากำกับอยู่

ทางเลือกที่ควรทำต่อคือ แยกสองเรื่องตั้งแต่ชั่วโมงแรก คือหน้าที่ตามกรอบเวลา กับการสอบสวนหาสาเหตุ ให้คนละทีมเดินคู่กัน เพราะการรวมไว้ทีมเดียวคือสาเหตุที่ทำให้เลยกำหนดโดยไม่มีใครตั้งใจ

เหตุแบบไหนที่พบบ่อยที่สุด และแต่ละแบบตัดสินอย่างไร

เหตุที่องค์กรไทยเจอจริงไม่ค่อยใช่การถูกแฮกแบบในข่าว แต่เกิดจากงานประจำวัน

เหตุที่เจอจริง	สิ่งที่ตัดสินว่าต้องแจ้งหรือไม่
ส่งอีเมลผิดคนหรือแนบไฟล์ผิด	ผู้รับเป็นใคร เปิดอ่านแล้วหรือยัง ถอนได้ทันหรือไม่
ส่งไฟล์ข้อมูลผ่านแชท	มีคำสั่งลงโทษปรับจริงในกรณีนี้แล้ว จึงเป็นเรื่องที่ประเมินได้จากของจริง
อุปกรณ์หายหรือส่งไฟล์เงินเดือนผิดกลุ่ม	เข้ารหัสไว้หรือไม่ ปริมาณข้อมูลและจำนวนผู้กระทบ
ถูกเรียกค่าไถ่ข้อมูล	ข้อมูลถูกนำออกไปหรือเพียงถูกเข้ารหัส และมีหน้าที่ตามกฎหมายอื่นเพิ่มหรือไม่
ข้อมูลรั่วจากคู่ค้า	หน้าที่แจ้งสำนักงานฯ ยังเป็นขององค์กร ส่วนคู่ค้ามีหน้าที่แจ้งกลับมาตามมาตรา 40 (2)

แถวสุดท้ายเข้าใจผิดกันมากที่สุด เพราะหลายองค์กรคิดว่าเหตุเกิดที่ระบบคู่ค้าแล้วคู่ค้าควรแจ้งหน่วยงานเอง ทั้งที่มาตรา 40 (2) ให้ผู้ประมวลผลข้อมูลแจ้งกลับมายังผู้ควบคุมข้อมูล แล้วผู้ควบคุมข้อมูลแจ้งหน่วยงานต่อ · และตัวบทไม่ได้กำหนดกรอบเวลาให้คู่ค้าแจ้งกลับ ช่องว่างนี้ต้องปิดด้วยข้อสัญญา

ตัดสินอย่างไรว่าต้องแจ้งหรือไม่ต้องแจ้ง

ประกาศปี 2565 วางปัจจัยประเมินความเสี่ยงไว้แปดข้อ ซึ่งใช้ตอบทั้งคำถามว่าต้องแจ้งสำนักงานฯ หรือไม่ และคำถามว่าเสี่ยงสูงจนต้องแจ้งเจ้าของข้อมูลด้วยหรือไม่

• ลักษณะและประเภทของการละเมิด
• ลักษณะและประเภทของข้อมูลที่ถูกละเมิด
• ปริมาณข้อมูลและจำนวนรายการ
• ลักษณะและสถานะของเจ้าของข้อมูล ว่าเป็นกลุ่มเปราะบางหรือไม่
• ความร้ายแรงของผลกระทบและประสิทธิภาพของมาตรการเยียวยา
• ผลกระทบวงกว้างต่อธุรกิจหรือสาธารณะ
• ลักษณะระบบเก็บข้อมูลและมาตรการที่มีอยู่
• สถานะทางกฎหมายและขนาดของผู้ควบคุมข้อมูล

ข้อยกเว้นไม่ต้องแจ้งมีอยู่จริงตามตัวบท แต่ต้องบันทึกเหตุผลของการตัดสินใจไว้ให้ใช้ยันได้ เพราะการเงียบโดยไม่มีบันทึก กับการประเมินแล้วสรุปว่าไม่ต้องแจ้ง มีน้ำหนักคนละระดับ วิธีประเมินทีละปัจจัยอยู่ที่เหตุแบบใดไม่ต้องแจ้ง และต้องบันทึกเหตุผลอย่างไร

ถ้าต้องแจ้งเจ้าของข้อมูล ต้องเขียนอะไรบ้าง

ประกาศปี 2565 ระบุรายละเอียดที่ต้องแจ้งเจ้าของข้อมูลไว้สี่รายการ คือ ข้อมูลโดยสังเขปเกี่ยวกับลักษณะการละเมิด · ช่องทางติดต่อเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลหรือผู้ประสานงาน · ผลกระทบที่อาจเกิดขึ้น · และแนวทางเยียวยาพร้อมข้อแนะนำที่เจ้าของข้อมูลทำได้เอง

ข้อควรระวังคือหนังสือฉบับนี้จะกลายเป็นพยานเอกสารในทุกคดีที่ตามมา ถ้อยคำที่เขียนด้วยความหวังดี เช่น สรุปว่าเหตุเกิดจากความบกพร่องของระบบบริษัท อาจกลายเป็นคำรับที่ใช้อ้างอิงในคดีแพ่งได้ทันที วิธีเขียนอยู่ที่แจ้งเจ้าของข้อมูลเมื่อใด และเขียนอย่างไร

ปลายทางถ้าไม่แจ้งหรือแจ้งช้า

ในเชิงบทลงโทษ มาตรา 83 กำหนดว่าผู้ควบคุมข้อมูลส่วนบุคคลที่ฝ่าฝืนหรือไม่ปฏิบัติตามมาตรา 37 ต้องระวางโทษปรับทางปกครองไม่เกินสามล้านบาท ซึ่งครอบคลุมทั้งหน้าที่จัดให้มีมาตรการรักษาความมั่นคงปลอดภัยตาม (1) และหน้าที่แจ้งเหตุตาม (4)

แต่สิ่งที่ควรเข้าใจให้ตรงคือ กระบวนการไม่ได้เริ่มที่ค่าปรับ ประกาศหลักเกณฑ์การพิจารณาออกคำสั่งลงโทษปรับทางปกครอง พ.ศ. 2565 วางลำดับไว้ว่ากรณีที่ไม่ร้ายแรงจะเริ่มจากการสั่งแก้ไข ตักเตือน หรือสั่งจำกัดการประมวลผลก่อน และจะสั่งปรับเมื่อกรณีร้ายแรงหรือคำสั่งก่อนหน้าไม่เป็นผล

ปัจจัยกำหนดโทษ 13 ข้อยังรวมถึง มาตรฐานองค์กรในขณะกระทำผิด และ การเยียวยาเมื่อทราบเหตุ ซึ่งพิสูจน์ได้ด้วยเอกสารเท่านั้น องค์กรที่มีบันทึกครบตั้งแต่ชั่วโมงแรกจึงอยู่คนละสถานะกับองค์กรที่ไม่มี แม้ข้อเท็จจริงเหมือนกัน ขั้นตอนในชั้นชี้แจงอยู่ที่7 วันแรกหลังได้รับหนังสือร้องเรียน

ก่อนเกิดเหตุ ควรเตรียมอะไร

ทุกอย่างข้างต้นทำได้จริงก็ต่อเมื่อเตรียมไว้ก่อน เพราะ 72 ชั่วโมงไม่พอให้เริ่มคิดว่าใครทำอะไร

1. กำหนดจุดรับแจ้งกลางหนึ่งจุด และประกาศให้ทุกคนทราบ เพราะจุดนี้คือจุดที่บันทึกวันเวลาที่องค์กรทราบเหตุ
2. ทำแบบฟอร์มบันทึกเหตุแบบสั้นและแบบเต็ม แยกช่องข้อเท็จจริงกับช่องความเห็น ดูโครง 7 ส่วนที่แบบฟอร์มบันทึกเหตุการณ์ที่ใช้ยันได้จริง
3. กำหนดผู้มีอำนาจตัดสินใจว่าจะแจ้งหรือไม่แจ้ง พร้อมผู้ทำหน้าที่แทนเมื่อไม่อยู่ เพราะเหตุมักเกิดนอกเวลาทำการ
4. ทำรายการว่าข้อมูลชุดใดอยู่ในระบบใด ซึ่งคือรายการบันทึกตามมาตรา 39
5. เขียนข้อสัญญากับคู่ค้าให้กำหนดกรอบเวลาแจ้งกลับ เพราะตัวบทไม่ได้กำหนดไว้
6. ซ้อมจริงอย่างน้อยปีละครั้ง โดยให้ผู้บริหาร ฝ่ายบุคคล ไอที และกฎหมาย ซ้อมพร้อมกัน ดูสิ่งที่ต้องซ้อมที่ซ้อมรับมือเหตุข้อมูลรั่ว ต้องซ้อมอะไรบ้าง

ข้อ 6 เปลี่ยนผลลัพธ์มากที่สุด เพราะองค์กรที่เคยซ้อมจะรู้ว่าจุดติดขัดจริงมักไม่ใช่เรื่องเทคนิค แต่เป็นเรื่องว่าใครมีอำนาจตัดสินใจตอนตีสองของวันเสาร์

กรณีแบบไหนที่ควรปรึกษาทนายทันที

• ไม่แน่ใจว่าเหตุที่เกิดเข้าข่ายต้องแจ้งหรือไม่ และเหลือเวลาไม่ถึงหนึ่งวัน
• ข้อมูลที่รั่วมีข้อมูลอ่อนไหวตามมาตรา 26 ปนอยู่ ซึ่งมีเงื่อนไขและบทลงโทษที่ต่างจากข้อมูลทั่วไป
• เหตุเกิดจากพนักงาน ซึ่งจะพ่วงเรื่องวินัยและคดีแรงงานเข้ามาอีกสนาม
• เหตุเกิดที่ระบบของคู่ค้า และสัญญาไม่ได้เขียนเรื่องการแจ้งกลับไว้
• ผ่านมาเกิน 72 ชั่วโมงแล้วและยังไม่ได้แจ้ง
• มีเจ้าของข้อมูลติดต่อเข้ามาขู่ว่าจะร้องเรียน หรือเหตุมีมูลทางอาญา

สำนักงานกฎหมายยอดทิพย์ธรรม ช่วยอะไรได้บ้าง

งานที่ปรึกษากฎหมาย PDPA สำหรับองค์กรของเราครอบคลุมทั้งก่อนและหลังเกิดเหตุ · องค์กรที่กำลังอยู่ในเหตุ ดูขอบเขตที่งานรับมือเหตุข้อมูลรั่วไหล ซึ่งเราช่วยประเมินว่าต้องแจ้งหรือไม่ ร่างหนังสือแจ้งทั้งฉบับที่ส่งหน่วยงานและฉบับที่ส่งเจ้าของข้อมูล และคุมถ้อยคำไม่ให้กลายเป็นหลักฐานมัดตัว

ส่วนองค์กรที่ยังไม่เกิดเหตุ การวางระบบไว้ก่อนถูกกว่าและได้ผลกว่ามาก ดูที่ตรวจสุขภาพ PDPA และหากเหตุพ่วงเรื่องข้อมูลพนักงาน ดูที่งานคุ้มครองข้อมูลพนักงานสำหรับ HR กับงานคดีแรงงาน

สิ่งที่เราเน้นตั้งแต่ชั่วโมงแรกคือการจัดระบบเอกสารและพยานหลักฐาน เพราะจากงานจริง สิ่งที่ทำให้เสียเปรียบมักไม่ใช่การทำผิด แต่คือพิสูจน์ไม่ได้ว่าทำถูกและทันเวลา

สรุป

เมื่อเกิดข้อมูลรั่วไหล หน้าที่ตามมาตรา 37 (4) คือแจ้งสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลภายใน 72 ชั่วโมงนับแต่ทราบเหตุเท่าที่จะสามารถกระทำได้ เว้นแต่ไม่มีความเสี่ยง และถ้าเสี่ยงสูงต้องแจ้งเจ้าของข้อมูลพร้อมแนวทางเยียวยาด้วย สิ่งที่ตัดสินไม่ใช่ความรวดเร็วในการสอบสวน แต่คือการตอบให้ได้ว่าทราบเหตุเมื่อใดและทำอะไรไปบ้างในแต่ละชั่วโมง ซึ่งพิสูจน์ได้ด้วยบันทึกเท่านั้น การไม่ปฏิบัติตามมาตรา 37 มีโทษปรับทางปกครองไม่เกินสามล้านบาทตามมาตรา 83 ตัวบทและแนวปฏิบัติทั้งหมดควรตรวจกับฉบับล่าสุดจากสำนักงานคณะกรรมการกฤษฎีกา และสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล ก่อนนำไปใช้ทุกครั้ง

หากองค์กรของคุณกำลังอยู่ในเหตุและยังไม่แน่ใจว่าต้องแจ้งหรือไม่ ปรึกษาทีมทนายของสำนักงานกฎหมายยอดทิพย์ธรรม โทร 081-327-8551 | LINE @995iqtpa หรือนัดหมายปรึกษาที่นี่

ข้อกฎหมายที่เกี่ยวข้อง

• พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 มาตรา 37 (4) — แจ้งเหตุการละเมิดแก่สำนักงานฯ โดยไม่ชักช้าภายใน 72 ชั่วโมงนับแต่ทราบเหตุ เท่าที่จะสามารถกระทำได้ เว้นแต่ไม่มีความเสี่ยงที่จะมีผลกระทบต่อสิทธิและเสรีภาพของบุคคล · หากเสี่ยงสูงต้องแจ้งเจ้าของข้อมูลพร้อมแนวทางเยียวยาโดยไม่ชักช้าด้วย
• มาตรา 37 (1) — จัดให้มีมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสม และต้องทบทวนมาตรการเมื่อจำเป็นหรือเมื่อเทคโนโลยีเปลี่ยนแปลงไป ตามมาตรฐานขั้นต่ำที่คณะกรรมการประกาศกำหนด · (2) เมื่อให้ข้อมูลแก่ผู้อื่น ต้องป้องกันมิให้ผู้นั้นใช้หรือเปิดเผยโดยมิชอบ · (3) จัดให้มีระบบตรวจสอบเพื่อลบหรือทำลายเมื่อพ้นกำหนดระยะเวลาเก็บ
• มาตรา 83 ⭐ — ผู้ควบคุมข้อมูลที่ฝ่าฝืนหรือไม่ปฏิบัติตามมาตรา 37 และมาตราอื่นที่ระบุไว้ ต้องระวางโทษปรับทางปกครองไม่เกินสามล้านบาท
• มาตรา 84 — กรณีที่เกี่ยวกับข้อมูลอ่อนไหวตามมาตรา 26 โทษปรับทางปกครองไม่เกินห้าล้านบาท ซึ่งสูงกว่ากรณีข้อมูลทั่วไป
• มาตรา 40 (2) — ผู้ประมวลผลข้อมูล (คู่ค้า) ต้องจัดให้มีมาตรการรักษาความมั่นคงปลอดภัย และแจ้งให้ผู้ควบคุมข้อมูลทราบถึงเหตุการละเมิดที่เกิดขึ้น · ⚠️ ตัวบทไม่ได้กำหนดกรอบเวลาแจ้งกลับ จึงต้องปิดด้วยข้อสัญญา
• ประกาศ กคส. เรื่องหลักเกณฑ์และวิธีการในการแจ้งเหตุการละเมิดข้อมูลส่วนบุคคล พ.ศ. 2565 — นิยามการละเมิด · การจำแนก 3 ประเภท (ความลับ · ความถูกต้องครบถ้วน · ความพร้อมใช้งาน) · 5 ขั้นตอนเมื่อทราบเหตุ · ปัจจัยประเมินความเสี่ยง 8 ข้อ · รายละเอียด 4 รายการที่ต้องแจ้งเจ้าของข้อมูล
• ประกาศ กคส. เรื่องหลักเกณฑ์การพิจารณาออกคำสั่งลงโทษปรับทางปกครอง พ.ศ. 2565 — ข้อ 9 กรณีไม่ร้ายแรงเริ่มจากสั่งแก้ไขหรือตักเตือนก่อน · ข้อ 8 ปัจจัยกำหนดโทษ 13 ข้อ รวมถึงมาตรฐานองค์กรในขณะกระทำผิด และการเยียวยาเมื่อทราบเหตุ
• มาตรา 39 — รายการบันทึกกิจกรรมการประมวลผล ซึ่งใช้ระบุว่าข้อมูลชุดใดอยู่ในระบบใดในวันที่เกิดเหตุ

คำถามที่พบบ่อย

นับ 72 ชั่วโมงจากเมื่อไหร่กันแน่

ตัวบทเขียนว่านับแต่ทราบเหตุ ไม่ใช่นับแต่วันที่เหตุเกิดหรือวันที่สอบสวนเสร็จ คำถามที่ตามมาคือใครในองค์กรที่รู้แล้วถือว่าองค์กรทราบเหตุ ซึ่งในทางปฏิบัติควรตอบด้วยการกำหนดจุดรับแจ้งกลางไว้ล่วงหน้าและบันทึกวันเวลาไว้ทุกครั้ง เพราะองค์กรที่ไม่มีบันทึกจะเถียงเรื่องจุดเริ่มนับไม่ได้เลย

ยังไม่รู้สาเหตุชัดเจน แจ้งไปเลยได้ไหม

ได้ และมักเป็นทางที่ปลอดภัยกว่า เพราะตัวบทเขียนว่าแจ้งภายใน 72 ชั่วโมง เท่าที่จะสามารถกระทำได้ ซึ่งแสดงว่ากฎหมายเข้าใจว่าองค์กรยังมีข้อมูลไม่ครบในช่วงนั้น แนวปฏิบัติที่อธิบายได้คือแจ้งเท่าที่ทราบภายในกรอบเวลา แล้วส่งข้อมูลเพิ่มเติมภายหลังพร้อมบันทึกไว้ว่าส่งเมื่อใด

เหตุเล็ก ๆ ต้องแจ้งด้วยหรือไม่

ตัวบทมีข้อยกเว้นสำหรับกรณีที่การละเมิดไม่มีความเสี่ยงที่จะมีผลกระทบต่อสิทธิและเสรีภาพของบุคคล แต่การจะใช้ข้อยกเว้นนี้ต้องประเมินตามปัจจัย 8 ข้อในประกาศปี 2565 และบันทึกเหตุผลไว้ เพราะการเงียบโดยไม่มีบันทึก กับการประเมินแล้วสรุปว่าไม่ต้องแจ้ง มีน้ำหนักต่างกันมากในชั้นชี้แจง

เหตุเกิดที่ระบบของคู่ค้า ใครเป็นคนแจ้ง

หน้าที่แจ้งสำนักงานฯ ตามมาตรา 37 (4) ยังเป็นขององค์กรในฐานะผู้ควบคุมข้อมูลส่วนบุคคล ส่วนคู่ค้าในฐานะผู้ประมวลผลข้อมูลมีหน้าที่ตามมาตรา 40 (2) คือแจ้งให้ผู้ควบคุมข้อมูลทราบ การจ้างผู้อื่นทำงานจึงไม่ได้โอนหน้าที่ตามกฎหมายออกไป ข้อควรระวังคือตัวบทไม่ได้กำหนดว่าคู่ค้าต้องแจ้งกลับภายในกี่ชั่วโมง ต้องปิดช่องนี้ด้วยข้อสัญญา

ไม่แจ้งมีโทษเท่าไร

มาตรา 83 กำหนดว่าผู้ควบคุมข้อมูลที่ฝ่าฝืนหรือไม่ปฏิบัติตามมาตรา 37 ต้องระวางโทษปรับทางปกครองไม่เกินสามล้านบาท และหากเป็นกรณีที่เกี่ยวกับข้อมูลอ่อนไหวตามมาตรา 26 มาตรา 84 กำหนดโทษไว้ไม่เกินห้าล้านบาท ทั้งนี้ประกาศปี 2565 วางลำดับไว้ว่ากรณีไม่ร้ายแรงจะเริ่มจากการสั่งแก้ไขหรือตักเตือนก่อน จึงไม่ใช่ว่าทุกกรณีจะถูกปรับทันที

แจ้งเจ้าของข้อมูลต้องเขียนอะไรบ้าง

ประกาศปี 2565 ระบุไว้สี่รายการ คือข้อมูลโดยสังเขปเกี่ยวกับลักษณะการละเมิด ช่องทางติดต่อเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลหรือผู้ประสานงาน ผลกระทบที่อาจเกิดขึ้น และแนวทางเยียวยารวมถึงข้อแนะนำที่เจ้าของข้อมูลทำได้เอง ข้อควรระวังคือหนังสือฉบับนี้จะกลายเป็นพยานเอกสารในคดีที่ตามมา จึงควรให้ทนายตรวจถ้อยคำก่อนส่ง

ผู้เขียน นายเอกราช ทิพย์แมม คดีครอบครัว มรดก และหนี้สิน

สาขาที่เชี่ยวชาญ: ครอบครัว · มรดกและพินัยกรรม · หนี้สินและบังคับคดี

ดูประวัติทีมทนายความ →

บทความนี้เป็นความรู้กฎหมายทั่วไปเพื่อความเข้าใจเบื้องต้น ไม่ใช่คำปรึกษาทางกฎหมายเฉพาะคดี ผลทางกฎหมายขึ้นอยู่กับข้อเท็จจริง เอกสาร และพยานหลักฐานของแต่ละกรณี ควรปรึกษาทนายความเพื่อประเมินเรื่องของท่านโดยเฉพาะ