ข้อมูลรั่วไหล ต้องแจ้งใครภายใน 72 ชั่วโมง? คู่มือรับมือ PDPA สำหรับองค์กร

เมื่อองค์กรเจอเหตุข้อมูลรั่วไหล ไม่ว่าจะถูกแฮก ถูกเรียกค่าไถ่ข้อมูล (ransomware) พนักงานทำไฟล์ลูกค้าหลุด หรือส่งอีเมลแนบข้อมูลผิดคน สิ่งที่หลายองค์กรไม่รู้คือ กฎหมาย PDPA กำหนดให้ต้องรีบประเมินและอาจต้อง "แจ้งเหตุภายใน 72 ชั่วโมง" ซึ่งเป็นกรอบเวลาที่สั้นมาก บทความนี้สรุปว่าต้องแจ้งใคร แจ้งอะไร นับเวลาอย่างไร และองค์กรควรเตรียมตัวแบบไหน

เรื่องนี้เกิดขึ้นบ่อยอย่างไร

เหตุข้อมูลรั่วไหลไม่ได้มีแค่การถูกแฮกจากภายนอก แต่รวมถึงเหตุที่เกิดจากภายในและความผิดพลาดในการทำงาน เช่น ถูกฝัง ransomware เข้ารหัสข้อมูล ฐานข้อมูลถูกเข้าถึงโดยไม่ได้รับอนุญาต พนักงานส่งไฟล์รายชื่อลูกค้าผิดคน ทำโน้ตบุ๊กหรือ USB หาย หรือตั้งค่าสิทธิ์เข้าถึงผิดจนข้อมูลเปิดสาธารณะ

จุดที่ทำให้องค์กรเสียเปรียบคือ ไม่มีแผนรับมือที่ซ้อมไว้ พอเกิดเหตุจริงจึงเสียเวลาไปกับความสับสนว่าใครรับผิดชอบ ต้องแจ้งใคร และนับเวลาอย่างไร จนกรอบ 72 ชั่วโมงเดินไปโดยเปล่าประโยชน์

องค์กรส่วนใหญ่มักเข้าใจผิดตรงไหน

เข้าใจผิดที่ 1: "ต้องแจ้งเมื่อมั่นใจ 100% ว่าข้อมูลรั่วจริง" — ความจริงคือ เมื่อมีเหตุอันควรเชื่อว่ามีการละเมิด ก็ต้องเริ่มประเมินและนับเวลา ผลเสียคือรอจนสายเกินกรอบ 72 ชั่วโมง

เข้าใจผิดที่ 2: "ใช้ผู้ให้บริการคลาวด์/ผู้รับจ้างแล้ว เป็นความรับผิดชอบของเขา" — ความจริงคือ ในฐานะผู้ควบคุมข้อมูล องค์กรยังมีหน้าที่แจ้งเหตุ ส่วนผู้ประมวลผลมีหน้าที่แจ้งกลับมาที่ผู้ควบคุม ผลเสียคือโยนกันจนไม่มีใครแจ้ง

เข้าใจผิดที่ 3: "ข้อมูลรั่วนิดหน่อย ไม่ต้องแจ้งก็ได้" — ความจริงคือ ต้องประเมินความเสี่ยงอย่างมีหลักเกณฑ์ และบันทึกเหตุผลไว้ ผลเสียคือถ้าประเมินพลาดโดยไม่มีหลักฐาน อาจถูกมองว่าละเลยหน้าที่

เลนส์ทนายยอดทิพย์ธรรม

คนทั่วไปมักเข้าใจว่า... ข้อมูลรั่วเป็นเรื่องของฝ่ายไอที แก้ระบบให้ปลอดภัยแล้วก็จบ

แต่ในทางกฎหมายมักมองว่า... ข้อมูลรั่วไหลคือ "หน้าที่ตามกฎหมายที่มีกรอบเวลา" ไม่ใช่แค่ปัญหาทางเทคนิค องค์กรต้องประเมินความเสี่ยง ตัดสินใจว่าต้องแจ้งหรือไม่ และทำภายในเวลาที่กำหนด พร้อมเก็บหลักฐานการตัดสินใจ

จุดเสี่ยงจริงอยู่ตรงนี้... องค์กรส่วนใหญ่ไม่มีแผนรับมือที่ซ้อมไว้ ไม่รู้ว่าใครมีอำนาจตัดสินใจ และไม่ได้บันทึกไทม์ไลน์ตั้งแต่นาทีแรกที่ทราบเหตุ ทำให้พิสูจน์ภายหลังได้ยากว่าได้ทำหน้าที่ครบถ้วน

ทางเลือกที่ควรทำต่อคือ... ตั้งสติทำ Incident Timeline ทันที ประเมินความเสี่ยงอย่างมีหลักเกณฑ์ ปรึกษาทนายเพื่อตัดสินใจเรื่องการแจ้ง และเก็บบันทึกเหตุผลประกอบทุกขั้นตอน

ข้อกฎหมายที่เกี่ยวข้องแบบเข้าใจง่าย

หน้าที่แจ้งเหตุ (มาตรา 37(4)): เมื่อเกิดการละเมิดข้อมูลส่วนบุคคล ผู้ควบคุมข้อมูลต้องแจ้ง สคส. โดยไม่ชักช้าภายใน 72 ชั่วโมง นับแต่ทราบเหตุเท่าที่จะสามารถทำได้ เว้นแต่การละเมิดนั้นไม่มีความเสี่ยงที่จะกระทบต่อสิทธิและเสรีภาพของบุคคล และหากมีความเสี่ยงสูง ต้องแจ้งเจ้าของข้อมูลพร้อมแนวทางเยียวยาด้วย

หลักเกณฑ์การแจ้งเหตุ (ประกาศ กคส. พ.ศ. 2565): คณะกรรมการคุ้มครองข้อมูลส่วนบุคคลได้ออกประกาศเรื่องหลักเกณฑ์และวิธีการในการแจ้งเหตุการละเมิดข้อมูลส่วนบุคคล พ.ศ. 2565 กำหนดรายละเอียดการประเมินความเสี่ยง สิ่งที่ต้องแจ้ง และวิธีแจ้งทั้งต่อ สคส. และต่อเจ้าของข้อมูล

บทบาทผู้ประมวลผลข้อมูล: หากองค์กรใช้ผู้ให้บริการภายนอก (เช่น คลาวด์ ผู้รับจ้างทำระบบ) ในฐานะผู้ประมวลผลข้อมูล ผู้ประมวลผลมีหน้าที่แจ้งเหตุกลับมายังผู้ควบคุมข้อมูล เพื่อให้ผู้ควบคุมประเมินและแจ้งเหตุต่อไป

โทษหากไม่แจ้ง (มาตรา 83): ผู้ควบคุมข้อมูลที่ฝ่าฝืนหรือไม่ปฏิบัติตามมาตรา 37 (ซึ่งรวมถึงหน้าที่แจ้งเหตุ) ต้องระวางโทษปรับทางปกครองไม่เกิน สามล้านบาท และในทางปฏิบัติเริ่มมีการออกคำสั่งลงโทษปรับทางปกครองจริงแล้วในหลายกรณี

รายละเอียดและถ้อยคำของกฎหมายและประกาศลำดับรองมีการปรับปรุงได้ ควรตรวจสอบข้อมูลล่าสุดจาก สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (สคส.) และปรึกษาทนายก่อนตัดสินใจในสถานการณ์จริงทุกครั้ง

นับ 72 ชั่วโมงอย่างไร เริ่มเมื่อไหร่

กรอบ 72 ชั่วโมงโดยหลักเริ่มนับตั้งแต่องค์กร "ทราบเหตุ" ว่ามีการละเมิดเกิดขึ้น ไม่ใช่นับจากวันที่ภัยเกิดขึ้นจริง ดังนั้นเมื่อทีมงานหรือผู้ประมวลผลรายงานว่าพบเหตุน่าสงสัย นาฬิกาก็เริ่มเดิน

• บันทึกวันเวลาที่ "ทราบเหตุ" ให้ชัดเจนตั้งแต่นาทีแรก
• เริ่มประเมินความเสี่ยงทันที ไม่รอจนสอบสวนเสร็จสมบูรณ์
• หากยังได้ข้อมูลไม่ครบ กฎหมายเปิดช่องให้แจ้งเท่าที่ทราบก่อนและแจ้งเพิ่มเติมภายหลังได้
• เก็บหลักฐานทุกการตัดสินใจว่าเพราะเหตุใดจึงแจ้งหรือไม่แจ้ง

ถ้าเป็นองค์กร (ผู้ควบคุมข้อมูล) ต้องทำอะไรบ้าง (เช็กลิสต์)

• ตั้งทีมรับมือเหตุและระบุผู้มีอำนาจตัดสินใจทันที
• ควบคุมความเสียหาย (ปิดช่องโหว่ ตัดการเข้าถึง เปลี่ยนรหัสผ่าน)
• จัดทำ Incident Timeline บันทึกข้อเท็จจริงตามลำดับเวลา
• ประเมินว่าข้อมูลประเภทใดรั่ว ปริมาณเท่าใด และกระทบใครบ้าง
• ประเมินระดับความเสี่ยงต่อสิทธิและเสรีภาพของเจ้าของข้อมูล
• ตัดสินใจเรื่องการแจ้ง สคส. ภายใน 72 ชั่วโมง และการแจ้งเจ้าของข้อมูล (ถ้าเข้าเกณฑ์)
• เก็บหลักฐานเหตุผลประกอบการตัดสินใจทุกขั้นตอน
• วางแนวทางเยียวยาและป้องกันไม่ให้เกิดซ้ำ

แบบไหนที่เข้าข่าย "ความเสี่ยงสูง" ต้องแจ้งเจ้าของข้อมูล

การประเมินว่าเป็น "ความเสี่ยงสูง" หรือไม่ ต้องดูข้อเท็จจริงเป็นรายกรณี โดยพิจารณาปัจจัยประกอบ เช่น

• ประเภทข้อมูลที่รั่ว โดยเฉพาะข้อมูลอ่อนไหว (สุขภาพ ข้อมูลชีวภาพ ฯลฯ) หรือข้อมูลที่นำไปใช้ทุจริตได้ (เลขบัตร บัญชี รหัสผ่าน)
• ปริมาณข้อมูลและจำนวนเจ้าของข้อมูลที่ได้รับผลกระทบ
• โอกาสที่ข้อมูลจะถูกนำไปใช้ในทางที่ก่อความเสียหาย เช่น สวมรอย ฉ้อโกง
• ความง่ายในการระบุตัวบุคคลจากข้อมูลที่รั่ว
• มาตรการที่มีอยู่ เช่น ข้อมูลถูกเข้ารหัสไว้หรือไม่

ยิ่งความเสี่ยงต่อบุคคลสูง ยิ่งมีแนวโน้มต้องแจ้งเจ้าของข้อมูลพร้อมแนวทางป้องกันตัว

ก่อนเกิดเหตุ ควรเตรียมอะไร (ขั้นตอน)

1. จัดทำแผนรับมือเหตุละเมิดข้อมูล (Incident Response Plan) เป็นลายลักษณ์อักษร
2. กำหนดผู้รับผิดชอบและสายการตัดสินใจให้ชัด
3. ทำบันทึกรายการประมวลผลข้อมูล (ROPA) เพื่อรู้ว่ามีข้อมูลอะไรอยู่ที่ไหน
4. ใส่ข้อกำหนดเรื่องการแจ้งเหตุไว้ในสัญญากับผู้ประมวลผล (DPA)
5. ซักซ้อมแผนรับมือเหตุเป็นระยะ เพื่อให้ทำได้จริงภายใน 72 ชั่วโมง

กรณีแบบไหนที่ควรปรึกษาทนาย (สัญญาณ)

• เพิ่งทราบเหตุและต้องตัดสินใจภายใต้เวลาจำกัด
• ไม่แน่ใจว่าเหตุที่เกิดเข้าข่ายต้องแจ้งหรือไม่
• ไม่แน่ใจว่าเป็น "ความเสี่ยงสูง" ที่ต้องแจ้งเจ้าของข้อมูลหรือไม่
• เหตุเกี่ยวข้องกับผู้ให้บริการภายนอกหรือหลายฝ่าย
• มีข้อมูลอ่อนไหวหรือข้อมูลจำนวนมากเกี่ยวข้อง
• กังวลเรื่องความรับผิดและการถูกร้องเรียนหรือฟ้องเรียกค่าเสียหาย

สำนักงานกฎหมายยอดทิพย์ธรรม ช่วยอะไรได้บ้าง

เมื่อองค์กรเพิ่งทราบเหตุและต้องตัดสินใจด่วน เรามีบริการรับมือข้อมูลรั่วไหลแบบเร่งด่วน (Rapid Data Breach Legal Triage) ช่วยจัดทำ Incident Timeline ตรวจข้อเท็จจริงเบื้องต้น ประเมินระดับความเสี่ยง และบันทึกเหตุผลประกอบการตัดสินใจแจ้งเหตุ เพื่อให้องค์กรตั้งหลักได้ภายในเวลาจำกัด โดยมีทีมที่ปรึกษากฎหมาย PDPA ของเราดูแลอย่างเป็นระบบ

ก่อนเกิดเหตุ เราช่วยตรวจความพร้อมด้วยPDPA Legal Health Check และวางระบบข้อมูลพนักงานที่เชื่อมกับ กฎหมายแรงงาน รวมถึงจัดทำข้อตกลงประมวลผลข้อมูล (DPA) ในงานธุรกิจและสัญญา และหากเกิดข้อพิพาทหรือการเรียกค่าเสียหาย เราดูแลต่อเนื่องถึงงานคดีแพ่งได้ จุดเด่นของเราคือเชื่อม PDPA เข้ากับงานกฎหมายด้านอื่นให้ใช้ได้จริง — ดูข้อมูลทีมทนายความก่อนตัดสินใจ

คำถามที่พบบ่อย

ถาม: ข้อมูลรั่วไหลต้องแจ้งใครบ้าง?
ตอบ: โดยหลักต้องแจ้งสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (สคส.) ภายใน 72 ชั่วโมง และหากมีความเสี่ยงสูงต่อบุคคล ต้องแจ้งเจ้าของข้อมูลพร้อมแนวทางเยียวยาด้วย

ถาม: 72 ชั่วโมงเริ่มนับตั้งแต่เมื่อไหร่?
ตอบ: โดยหลักนับแต่ "ทราบเหตุ" ว่ามีการละเมิด ไม่ใช่นับจากวันที่เหตุเกิดจริง จึงควรบันทึกเวลาที่ทราบเหตุให้ชัด

ถาม: ถ้าไม่แจ้งจะมีโทษอะไร?
ตอบ: การไม่ปฏิบัติตามหน้าที่ตามมาตรา 37 มีโทษปรับทางปกครองไม่เกินสามล้านบาท และอาจมีความรับผิดอื่นตามมา ควรตรวจสอบอัตราและแนวปฏิบัติล่าสุด

ถาม: ใช้คลาวด์หรือผู้รับจ้างภายนอก ใครต้องแจ้ง?
ตอบ: ผู้ควบคุมข้อมูล (องค์กร) ยังมีหน้าที่แจ้งเหตุต่อ สคส. ส่วนผู้ประมวลผล (ผู้ให้บริการ) มีหน้าที่แจ้งกลับมายังผู้ควบคุม จึงควรกำหนดเรื่องนี้ไว้ในสัญญา

ถาม: เหตุเล็กน้อยต้องแจ้งทุกครั้งไหม?
ตอบ: หากประเมินแล้วว่าไม่มีความเสี่ยงต่อสิทธิและเสรีภาพของบุคคล อาจไม่ต้องแจ้ง แต่ต้องประเมินอย่างมีหลักเกณฑ์และเก็บหลักฐานเหตุผลไว้

ถาม: องค์กรเล็ก (SME) ต้องทำตามเรื่องนี้ไหม?
ตอบ: โดยหลัก PDPA ใช้กับผู้ควบคุมข้อมูลทุกขนาด แม้ระดับมาตรการที่เหมาะสมจะต่างกันตามลักษณะและปริมาณข้อมูล

สรุป

เมื่อเกิดข้อมูลรั่วไหล นาฬิกา 72 ชั่วโมงเริ่มเดินทันทีที่องค์กรทราบเหตุ หน้าที่ตามกฎหมายคือประเมินความเสี่ยง แจ้ง สคส. ภายในกรอบเวลา และแจ้งเจ้าของข้อมูลเมื่อมีความเสี่ยงสูง พร้อมเก็บหลักฐานการตัดสินใจ องค์กรที่มีแผนรับมือซ้อมไว้ล่วงหน้าจะรับมือได้เร็วและลดความเสี่ยงถูกลงโทษได้มาก

หากองค์กรของคุณกำลังเจอเหตุลักษณะนี้ หรือต้องการเตรียมความพร้อมก่อนเกิดเหตุ ปรึกษาทีมทนายของ สำนักงานกฎหมายยอดทิพย์ธรรม เพื่อช่วยวิเคราะห์ข้อเท็จจริง เอกสาร และแนวทางที่เหมาะกับองค์กรของคุณ โทร 081-327-8551 | LINE @995iqtpa | อีเมล info@yodthiptham.com หรือนัดหมายปรึกษาที่นี่

บทความนี้เป็นข้อมูลกฎหมายทั่วไป ไม่ใช่คำวินิจฉัยเฉพาะกรณี เพราะหน้าที่และผลทางกฎหมายที่แท้จริงขึ้นอยู่กับข้อเท็จจริง ประเภทและปริมาณข้อมูล และกฎหมายลำดับรองที่บังคับใช้ ณ ขณะนั้น ควรปรึกษาทนายเพื่อประเมินองค์กรของท่านโดยเฉพาะ

ผู้เขียน นายเอกราช ทิพย์แมม คดีครอบครัว มรดก และหนี้สิน

สาขาที่เชี่ยวชาญ: ครอบครัว · มรดกและพินัยกรรม · หนี้สินและบังคับคดี

ดูประวัติทีมทนายความ →

บทความนี้เป็นความรู้กฎหมายทั่วไปเพื่อความเข้าใจเบื้องต้น ไม่ใช่คำปรึกษาทางกฎหมายเฉพาะคดี ผลทางกฎหมายขึ้นอยู่กับข้อเท็จจริง เอกสาร และพยานหลักฐานของแต่ละกรณี ควรปรึกษาทนายความเพื่อประเมินเรื่องของท่านโดยเฉพาะ