ข้อมูลรั่วไหล ต้องแจ้งใครภายใน 72 ชั่วโมง? คู่มือรับมือ PDPA สำหรับองค์กร

นายเอกราช ทิพย์แมมคดีครอบครัว มรดก หนี้สิน และ PDPA

เผยแพร่ 24 ก.ค. 2569 อัปเดตล่าสุด 4 พ.ย. 2569 อ่าน 11 นาที PDPA คุ้มครองข้อมูล

ข้อมูลรั่วไหล ต้องแจ้งเหตุภายใน 72 ชั่วโมงตาม PDPA

สรุปประเด็นสำคัญ

เมื่อเกิดเหตุข้อมูลรั่วไหล มาตรา 37 (4) กำหนดให้ผู้ควบคุมข้อมูลส่วนบุคคลแจ้งสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลโดยไม่ชักช้าภายใน 72 ชั่วโมงนับแต่ทราบเหตุ เท่าที่จะสามารถกระทำได้ เว้นแต่การละเมิดนั้นไม่มีความเสี่ยงที่จะมีผลกระทบต่อสิทธิและเสรีภาพของบุคคล และถ้าความเสี่ยงสูงต้องแจ้งเจ้าของข้อมูลพร้อมแนวทางเยียวยาโดยไม่ชักช้าด้วย

จุดที่องค์กรพลาดมากที่สุดไม่ใช่การแจ้งช้า แต่คือตอบไม่ได้ว่าทราบเหตุเมื่อใด เพราะไม่มีจุดรับแจ้งกลางและไม่มีบันทึก ทำให้เถียงเรื่องจุดเริ่มนับไม่ได้เลย · การไม่ปฏิบัติตามมาตรา 37 มีโทษปรับทางปกครองไม่เกินสามล้านบาทตามมาตรา 83

บ่ายวันศุกร์ ฝ่ายไอทีเดินมาบอกว่าไฟล์ลูกค้าถูกดาวน์โหลดออกจากระบบ คำถามแรกของผู้บริหารคือ "ต้องทำอะไรบ้าง" ซึ่งตอบไม่ได้ถ้าไม่เตรียมไว้ก่อน เพราะเมื่อเกิดข้อมูลรั่วไหล นาฬิกา 72 ชั่วโมงเริ่มเดินทันทีที่องค์กรทราบเหตุ ไม่ใช่เมื่อสอบสวนเสร็จ บทความนี้เป็นคู่มือหลักของทั้งเรื่อง ตั้งแต่นับเวลา ประเมิน ตัดสินใจว่าจะแจ้งหรือไม่ ไปจนถึงสิ่งที่ควรเตรียมไว้ก่อน

นาฬิกา 72 ชั่วโมงเริ่มเดินเมื่อไหร่

มาตรา 37 (4) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 กำหนดให้ผู้ควบคุมข้อมูลส่วนบุคคล แจ้งเหตุการละเมิดข้อมูลส่วนบุคคลแก่สำนักงานโดยไม่ชักช้าภายในเจ็ดสิบสองชั่วโมงนับแต่ทราบเหตุเท่าที่จะสามารถกระทำได้ เว้นแต่การละเมิดดังกล่าวไม่มีความเสี่ยงที่จะมีผลกระทบต่อสิทธิและเสรีภาพของบุคคล

คำที่ตัดสินทั้งเรื่องคือ นับแต่ทราบเหตุ ไม่ใช่นับแต่วันที่เหตุเกิด และไม่ใช่วันที่สอบสวนเสร็จ คำถามที่ตามมาคือใครในองค์กรที่รู้แล้วถือว่าองค์กรทราบเหตุ อธิบายไว้ที่นับ 72 ชั่วโมงจากเมื่อใด

ห้าขั้นตอนที่ประกาศปี 2565 กำหนดไว้

ประกาศ กคส. เรื่องหลักเกณฑ์และวิธีการในการแจ้งเหตุการละเมิดข้อมูลส่วนบุคคล พ.ศ. 2565 วางลำดับไว้ห้าขั้นเมื่อองค์กรทราบว่ามีหรือน่าจะมีเหตุ

ขั้น	ต้องทำอะไร	เจาะลึกต่อ
1 · ตรวจและประเมิน	ประเมินความน่าเชื่อถือของข้อมูล ตรวจข้อเท็จจริง ตรวจมาตรการที่มี และประเมินความเสี่ยง	เช็กลิสต์ 10 อย่างใน 6 ชั่วโมงแรก
2 · ระงับความเสียหาย	ถ้าเสี่ยงสูง ให้ป้องกัน ระงับ หรือแก้ไขทันทีเท่าที่ทำได้	หลักฐานที่ต้องเก็บทันทีเมื่อระบบถูกแฮก
3 · แจ้งสำนักงานฯ	เมื่อมีเหตุอันควรเชื่อว่ามีการละเมิดจริง ให้แจ้งภายใน 72 ชั่วโมง เว้นแต่ไม่มีความเสี่ยง	เหตุแบบใดที่ไม่ต้องแจ้ง
4 · แจ้งเจ้าของข้อมูล	ถ้าเสี่ยงสูง ให้แจ้งเจ้าของข้อมูลพร้อมแนวทางเยียวยาโดยไม่ชักช้า	แจ้งเจ้าของข้อมูลเมื่อใด เขียนอย่างไร
5 · แก้ไขและทบทวน	ดำเนินมาตรการระงับ แก้ไข ป้องกันไม่ให้เกิดซ้ำ และทบทวนมาตรการที่มีอยู่	แบบฟอร์มบันทึกเหตุที่ใช้ยันได้

ขั้นที่ 1 กับ 2 ต้องเดินขนานกัน ไม่ใช่รอประเมินเสร็จแล้วค่อยระงับ · ประกาศยังจำแนกการละเมิดเป็นสามประเภท คือความลับ ความถูกต้องครบถ้วน และความพร้อมใช้งาน

เลนส์ทนายยอดทิพย์ธรรม

คนทั่วไปมักเข้าใจว่า ควรสอบสวนให้ชัดเจนก่อนว่าเกิดอะไรขึ้น รู้ตัวคนทำ และประเมินความเสียหายให้ครบ แล้วค่อยแจ้งหน่วยงานทีเดียวจบ

แต่ในทางคดี กฎหมายและผู้พิจารณามักมองว่า ตัวบทเขียนว่าแจ้งภายใน 72 ชั่วโมงเท่าที่จะสามารถกระทำได้ ซึ่งแปลว่ากฎหมายรู้อยู่แล้วว่าองค์กรยังไม่มีข้อมูลครบในวันที่สาม การแจ้งเท่าที่รู้แล้วส่งข้อมูลเพิ่มภายหลัง จึงตรงกับเจตนาของตัวบทมากกว่าการเงียบไว้จนกว่าจะรู้ครบ

จุดเสี่ยงจริงอยู่ตรงนี้ องค์กรที่รอให้ชัดเจนก่อนมักเลย 72 ชั่วโมงไปแล้ว และเมื่อถูกถามว่าทราบเหตุเมื่อใด คำตอบมักขัดกับบันทึกในระบบ เพราะการแจ้งเตือนและข้อความในกลุ่มแชทมีวันเวลากำกับอยู่

ทางเลือกที่ควรทำต่อคือ แยกสองเรื่องตั้งแต่ชั่วโมงแรก คือหน้าที่ตามกรอบเวลา กับการสอบสวนหาสาเหตุ ให้คนละทีมเดินคู่กัน เพราะการรวมไว้ทีมเดียวคือสาเหตุที่ทำให้เลยกำหนดโดยไม่มีใครตั้งใจ

เหตุแบบไหนที่พบบ่อยที่สุด และแต่ละแบบตัดสินอย่างไร

เหตุที่องค์กรไทยเจอจริงไม่ค่อยใช่การถูกแฮกแบบในข่าว แต่เกิดจากงานประจำวัน

เหตุที่เจอจริง	สิ่งที่ตัดสินว่าต้องแจ้งหรือไม่
ส่งอีเมลผิดคนหรือแนบไฟล์ผิด	ผู้รับเป็นใคร เปิดอ่านแล้วหรือยัง ถอนได้ทันหรือไม่
ส่งไฟล์ข้อมูลผ่านแชท	มีคำสั่งลงโทษปรับจริงในกรณีนี้แล้ว จึงเป็นเรื่องที่ประเมินได้จากของจริง
อุปกรณ์หายหรือส่งไฟล์เงินเดือนผิดกลุ่ม	เข้ารหัสไว้หรือไม่ ปริมาณข้อมูลและจำนวนผู้กระทบ
ถูกเรียกค่าไถ่ข้อมูล	ข้อมูลถูกนำออกไปหรือเพียงถูกเข้ารหัส และมีหน้าที่ตามกฎหมายอื่นเพิ่มหรือไม่
ข้อมูลรั่วจากคู่ค้า	หน้าที่แจ้งสำนักงานฯ ยังเป็นขององค์กร ส่วนคู่ค้ามีหน้าที่แจ้งกลับมาตามมาตรา 40 (2)

มาตรา 40 (2) กำหนดให้ผู้ประมวลผลแจ้งเหตุแก่ผู้ควบคุม แม้ตัวมาตรานี้ไม่ระบุจำนวนชั่วโมง แต่ต้องอ่านร่วมกับ ประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง หลักเกณฑ์และวิธีการในการแจ้งเหตุการละเมิดข้อมูลส่วนบุคคล พ.ศ. 2565 ข้อ 8 ซึ่งกำหนดให้ผู้ควบคุมระบุในข้อตกลงหรือสัญญาให้ผู้ประมวลผลแจ้งโดยไม่ชักช้าภายใน 72 ชั่วโมงนับแต่ผู้ประมวลผลทราบเหตุเท่าที่ทำได้ ไม่ใช่สิทธิรอให้ครบ 72 ชั่วโมงก่อนแจ้ง ส่วนมาตรา 37 (4) เป็นหน้าที่ผู้ควบคุมต่อสำนักงานและเจ้าของข้อมูล การกำหนดเวลาตามสัญญาให้เร็วขึ้นไม่เลื่อนจุดเริ่มนับหรือยกเว้นหน้าที่ของผู้ควบคุม

หากบริษัทกำลังร่างข้อตกลงเองหรือได้รับร่างจากผู้ให้บริการ อ่านแนวทาง รับร่างสัญญา DPA และตรวจ DPA ของผู้ให้บริการก่อนเซ็น เพื่อเตรียมสัญญาหลักและประเด็นเจรจาเรื่องเวลาแจ้งเหตุ ขอบเขตข้อมูล และความรับผิดให้สัมพันธ์กัน

ตัดสินอย่างไรว่าต้องแจ้งหรือไม่ต้องแจ้ง

ประกาศปี 2565 วางปัจจัยประเมินความเสี่ยงไว้แปดข้อ ซึ่งใช้ตอบทั้งคำถามว่าต้องแจ้งสำนักงานฯ หรือไม่ และคำถามว่าเสี่ยงสูงจนต้องแจ้งเจ้าของข้อมูลด้วยหรือไม่

ลักษณะและประเภทของการละเมิด
ลักษณะและประเภทของข้อมูลที่ถูกละเมิด
ปริมาณข้อมูลและจำนวนรายการ
ลักษณะและสถานะของเจ้าของข้อมูล ว่าเป็นกลุ่มเปราะบางหรือไม่
ความร้ายแรงของผลกระทบและประสิทธิภาพของมาตรการเยียวยา
ผลกระทบวงกว้างต่อธุรกิจหรือสาธารณะ
ลักษณะระบบเก็บข้อมูลและมาตรการที่มีอยู่
สถานะทางกฎหมายและขนาดของผู้ควบคุมข้อมูล

ข้อยกเว้นไม่ต้องแจ้งมีอยู่จริงตามตัวบท แต่ต้องบันทึกเหตุผลของการตัดสินใจไว้ให้ใช้ยันได้ เพราะการเงียบโดยไม่มีบันทึก กับการประเมินแล้วสรุปว่าไม่ต้องแจ้ง มีน้ำหนักคนละระดับ วิธีประเมินทีละปัจจัยอยู่ที่เหตุแบบใดไม่ต้องแจ้ง และต้องบันทึกเหตุผลอย่างไร

ถ้าต้องแจ้งเจ้าของข้อมูล ต้องเขียนอะไรบ้าง

ประกาศปี 2565 ระบุรายละเอียดที่ต้องแจ้งเจ้าของข้อมูลไว้สี่รายการ คือ ข้อมูลโดยสังเขปเกี่ยวกับลักษณะการละเมิด · ช่องทางติดต่อเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลหรือผู้ประสานงาน · ผลกระทบที่อาจเกิดขึ้น · และแนวทางเยียวยาพร้อมข้อแนะนำที่เจ้าของข้อมูลทำได้เอง

ข้อควรระวังคือหนังสือฉบับนี้จะกลายเป็นพยานเอกสารในทุกคดีที่ตามมา ถ้อยคำที่เขียนด้วยความหวังดี เช่น สรุปว่าเหตุเกิดจากความบกพร่องของระบบบริษัท อาจกลายเป็นคำรับที่ใช้อ้างอิงในคดีแพ่งได้ทันที วิธีเขียนอยู่ที่แจ้งเจ้าของข้อมูลเมื่อใด และเขียนอย่างไร

ปลายทางถ้าไม่แจ้งหรือแจ้งช้า

ในเชิงบทลงโทษ มาตรา 83 กำหนดว่าผู้ควบคุมข้อมูลส่วนบุคคลที่ฝ่าฝืนหรือไม่ปฏิบัติตามมาตรา 37 ต้องระวางโทษปรับทางปกครองไม่เกินสามล้านบาท ซึ่งครอบคลุมทั้งหน้าที่จัดให้มีมาตรการรักษาความมั่นคงปลอดภัยตาม (1) และหน้าที่แจ้งเหตุตาม (4)

แต่สิ่งที่ควรเข้าใจให้ตรงคือ กระบวนการไม่ได้เริ่มที่ค่าปรับ ประกาศหลักเกณฑ์การพิจารณาออกคำสั่งลงโทษปรับทางปกครอง พ.ศ. 2565 วางลำดับไว้ว่ากรณีที่ไม่ร้ายแรงจะเริ่มจากการสั่งแก้ไข ตักเตือน หรือสั่งจำกัดการประมวลผลก่อน และจะสั่งปรับเมื่อกรณีร้ายแรงหรือคำสั่งก่อนหน้าไม่เป็นผล

ปัจจัยกำหนดโทษ 13 ข้อยังรวมถึง มาตรฐานองค์กรในขณะกระทำผิด และ การเยียวยาเมื่อทราบเหตุ ซึ่งพิสูจน์ได้ด้วยเอกสารเท่านั้น องค์กรที่มีบันทึกครบตั้งแต่ชั่วโมงแรกจึงอยู่คนละสถานะกับองค์กรที่ไม่มี แม้ข้อเท็จจริงเหมือนกัน ขั้นตอนในชั้นชี้แจงอยู่ที่7 วันแรกหลังได้รับหนังสือร้องเรียน

ก่อนเกิดเหตุ ควรเตรียมอะไร

ทุกอย่างข้างต้นทำได้จริงก็ต่อเมื่อเตรียมไว้ก่อน เพราะ 72 ชั่วโมงไม่พอให้เริ่มคิดว่าใครทำอะไร

กำหนดจุดรับแจ้งกลางหนึ่งจุด และประกาศให้ทุกคนทราบ เพราะจุดนี้คือจุดที่บันทึกวันเวลาที่องค์กรทราบเหตุ
ทำแบบฟอร์มบันทึกเหตุแบบสั้นและแบบเต็ม แยกช่องข้อเท็จจริงกับช่องความเห็น ดูโครง 7 ส่วนที่แบบฟอร์มบันทึกเหตุการณ์ที่ใช้ยันได้จริง
กำหนดผู้มีอำนาจตัดสินใจว่าจะแจ้งหรือไม่แจ้ง พร้อมผู้ทำหน้าที่แทนเมื่อไม่อยู่ เพราะเหตุมักเกิดนอกเวลาทำการ
ทำรายการว่าข้อมูลชุดใดอยู่ในระบบใด ซึ่งคือรายการบันทึกตามมาตรา 39 หากต้องการให้ทนายช่วยสำรวจหรือทวนร่าง ดูขอบเขตบริการรับทำ ROPA และข้อมูลที่ควรเตรียมก่อนเริ่มงาน
เขียนข้อสัญญากับคู่ค้าให้ตรงประกาศแจ้งเหตุฯ ข้อ 8 โดยกำหนดแจ้งโดยไม่ชักช้าภายใน 72 ชั่วโมงนับแต่ผู้ประมวลผลทราบเหตุเท่าที่ทำได้ และพิจารณาตกลงเวลาที่เร็วขึ้นตามความเสี่ยง พร้อมช่องทางรับเรื่องจริง
ซ้อมจริงอย่างน้อยปีละครั้ง โดยให้ผู้บริหาร ฝ่ายบุคคล ไอที และกฎหมาย ซ้อมพร้อมกัน ดูสิ่งที่ต้องซ้อมที่ซ้อมรับมือเหตุข้อมูลรั่ว ต้องซ้อมอะไรบ้าง

ข้อ 6 เปลี่ยนผลลัพธ์มากที่สุด เพราะองค์กรที่เคยซ้อมจะรู้ว่าจุดติดขัดจริงมักไม่ใช่เรื่องเทคนิค แต่เป็นเรื่องว่าใครมีอำนาจตัดสินใจตอนตีสองของวันเสาร์

กรณีแบบไหนที่ควรปรึกษาทนายทันที

ไม่แน่ใจว่าเหตุที่เกิดเข้าข่ายต้องแจ้งหรือไม่ และเหลือเวลาไม่ถึงหนึ่งวัน
ข้อมูลที่รั่วมีข้อมูลอ่อนไหวตามมาตรา 26 ปนอยู่ ซึ่งมีเงื่อนไขและบทลงโทษที่ต่างจากข้อมูลทั่วไป
เหตุเกิดจากพนักงาน ซึ่งจะพ่วงเรื่องวินัยและคดีแรงงานเข้ามาอีกสนาม
เหตุเกิดที่ระบบของคู่ค้า และสัญญาไม่ได้เขียนเรื่องการแจ้งกลับไว้
ผ่านมาเกิน 72 ชั่วโมงแล้วและยังไม่ได้แจ้ง
มีเจ้าของข้อมูลติดต่อเข้ามาขู่ว่าจะร้องเรียน หรือเหตุมีมูลทางอาญา

สำนักงานกฎหมายยอดทิพย์ธรรม ช่วยอะไรได้บ้าง

งานที่ปรึกษากฎหมาย PDPA สำหรับองค์กรของเราครอบคลุมทั้งก่อนและหลังเกิดเหตุ · องค์กรที่กำลังอยู่ในเหตุ ดูขอบเขตที่งานรับมือเหตุข้อมูลรั่วไหล ซึ่งเราช่วยประเมินว่าต้องแจ้งหรือไม่ ร่างหนังสือแจ้งทั้งฉบับที่ส่งหน่วยงานและฉบับที่ส่งเจ้าของข้อมูล และคุมถ้อยคำไม่ให้กลายเป็นหลักฐานมัดตัว

ส่วนองค์กรที่ยังไม่เกิดเหตุ การวางระบบไว้ก่อนถูกกว่าและได้ผลกว่ามาก ดูที่ตรวจสุขภาพ PDPA และหากเหตุพ่วงเรื่องข้อมูลพนักงาน ดูที่งานคุ้มครองข้อมูลพนักงานสำหรับ HR กับงานคดีแรงงาน

สิ่งที่เราเน้นตั้งแต่ชั่วโมงแรกคือการจัดระบบเอกสารและพยานหลักฐาน เพราะจากงานจริง สิ่งที่ทำให้เสียเปรียบมักไม่ใช่การทำผิด แต่คือพิสูจน์ไม่ได้ว่าทำถูกและทันเวลา

สรุป

เมื่อเกิดข้อมูลรั่วไหล หน้าที่ตามมาตรา 37 (4) คือแจ้งสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลภายใน 72 ชั่วโมงนับแต่ทราบเหตุเท่าที่จะสามารถกระทำได้ เว้นแต่ไม่มีความเสี่ยง และถ้าเสี่ยงสูงต้องแจ้งเจ้าของข้อมูลพร้อมแนวทางเยียวยาด้วย สิ่งที่ตัดสินไม่ใช่ความรวดเร็วในการสอบสวน แต่คือการตอบให้ได้ว่าทราบเหตุเมื่อใดและทำอะไรไปบ้างในแต่ละชั่วโมง ซึ่งพิสูจน์ได้ด้วยบันทึกเท่านั้น การไม่ปฏิบัติตามมาตรา 37 มีโทษปรับทางปกครองไม่เกินสามล้านบาทตามมาตรา 83 ตัวบทและแนวปฏิบัติทั้งหมดควรตรวจกับฉบับล่าสุดจากสำนักงานคณะกรรมการกฤษฎีกา และสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล ก่อนนำไปใช้ทุกครั้ง

หากองค์กรของคุณกำลังอยู่ในเหตุและยังไม่แน่ใจว่าต้องแจ้งหรือไม่ ปรึกษาทีมทนายของสำนักงานกฎหมายยอดทิพย์ธรรม โทร 081-327-8551 | LINE @995iqtpa หรือนัดหมายปรึกษาที่นี่

อ่านต่อเพื่อจัดการงานที่เกี่ยวข้อง

เมื่อประเด็นนี้เชื่อมกับการใช้ผู้ให้บริการ ระบบใหม่ หรือการตรวจเอกสาร ให้พิจารณาขั้นตอนต่อไปนี้ประกอบ

อ่านต่อ: สิทธิและแนวปฏิบัติในสถานการณ์ที่เกี่ยวข้อง

งานรายงานเพิ่มเติมและปิดเหตุ

ตรวจขอบเขตเหตุจากการแชร์ไฟล์และสิทธิผู้ดูแล

ข้อกฎหมายที่เกี่ยวข้อง

พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 มาตรา 37 (4) — แจ้งเหตุการละเมิดแก่สำนักงานฯ โดยไม่ชักช้าภายใน 72 ชั่วโมงนับแต่ทราบเหตุ เท่าที่จะสามารถกระทำได้ เว้นแต่ไม่มีความเสี่ยงที่จะมีผลกระทบต่อสิทธิและเสรีภาพของบุคคล · หากเสี่ยงสูงต้องแจ้งเจ้าของข้อมูลพร้อมแนวทางเยียวยาโดยไม่ชักช้าด้วย
มาตรา 37 (1) — จัดให้มีมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสม และต้องทบทวนมาตรการเมื่อจำเป็นหรือเมื่อเทคโนโลยีเปลี่ยนแปลงไป ตามมาตรฐานขั้นต่ำที่คณะกรรมการประกาศกำหนด · (2) เมื่อให้ข้อมูลแก่ผู้อื่น ต้องป้องกันมิให้ผู้นั้นใช้หรือเปิดเผยโดยมิชอบ · (3) จัดให้มีระบบตรวจสอบเพื่อลบหรือทำลายเมื่อพ้นกำหนดระยะเวลาเก็บ
มาตรา 83 ⭐ — ผู้ควบคุมข้อมูลที่ฝ่าฝืนหรือไม่ปฏิบัติตามมาตรา 37 และมาตราอื่นที่ระบุไว้ ต้องระวางโทษปรับทางปกครองไม่เกินสามล้านบาท
มาตรา 84 — กรณีที่เกี่ยวกับข้อมูลอ่อนไหวตามมาตรา 26 โทษปรับทางปกครองไม่เกินห้าล้านบาท ซึ่งสูงกว่ากรณีข้อมูลทั่วไป
มาตรา 40 (2) และประกาศแจ้งเหตุฯ พ.ศ. 2565 ข้อ 8: ผู้ประมวลผลต้องรักษาความมั่นคงปลอดภัยและแจ้งเหตุแก่ผู้ควบคุม โดยผู้ควบคุมต้องระบุในสัญญาให้แจ้งโดยไม่ชักช้าภายใน 72 ชั่วโมงนับแต่ผู้ประมวลผลทราบเหตุเท่าที่ทำได้ อ่าน ประกาศฉบับเต็ม
ประกาศ กคส. เรื่องหลักเกณฑ์และวิธีการในการแจ้งเหตุการละเมิดข้อมูลส่วนบุคคล พ.ศ. 2565 — นิยามการละเมิด · การจำแนก 3 ประเภท (ความลับ · ความถูกต้องครบถ้วน · ความพร้อมใช้งาน) · 5 ขั้นตอนเมื่อทราบเหตุ · ปัจจัยประเมินความเสี่ยง 8 ข้อ · รายละเอียด 4 รายการที่ต้องแจ้งเจ้าของข้อมูล
ประกาศ กคส. เรื่องหลักเกณฑ์การพิจารณาออกคำสั่งลงโทษปรับทางปกครอง พ.ศ. 2565 — ข้อ 9 กรณีไม่ร้ายแรงเริ่มจากสั่งแก้ไขหรือตักเตือนก่อน · ข้อ 8 ปัจจัยกำหนดโทษ 13 ข้อ รวมถึงมาตรฐานองค์กรในขณะกระทำผิด และการเยียวยาเมื่อทราบเหตุ
มาตรา 39 — รายการบันทึกกิจกรรมการประมวลผล ซึ่งใช้ระบุว่าข้อมูลชุดใดอยู่ในระบบใดในวันที่เกิดเหตุ

คำถามที่พบบ่อย

นับ 72 ชั่วโมงจากเมื่อไหร่กันแน่

ตัวบทเขียนว่านับแต่ทราบเหตุ ไม่ใช่นับแต่วันที่เหตุเกิดหรือวันที่สอบสวนเสร็จ คำถามที่ตามมาคือใครในองค์กรที่รู้แล้วถือว่าองค์กรทราบเหตุ ซึ่งในทางปฏิบัติควรตอบด้วยการกำหนดจุดรับแจ้งกลางไว้ล่วงหน้าและบันทึกวันเวลาไว้ทุกครั้ง เพราะองค์กรที่ไม่มีบันทึกจะเถียงเรื่องจุดเริ่มนับไม่ได้เลย

ยังไม่รู้สาเหตุชัดเจน แจ้งไปเลยได้ไหม

ได้ และมักเป็นทางที่ปลอดภัยกว่า เพราะตัวบทเขียนว่าแจ้งภายใน 72 ชั่วโมง เท่าที่จะสามารถกระทำได้ ซึ่งแสดงว่ากฎหมายเข้าใจว่าองค์กรยังมีข้อมูลไม่ครบในช่วงนั้น แนวปฏิบัติที่อธิบายได้คือแจ้งเท่าที่ทราบภายในกรอบเวลา แล้วส่งข้อมูลเพิ่มเติมภายหลังพร้อมบันทึกไว้ว่าส่งเมื่อใด

เหตุเล็ก ๆ ต้องแจ้งด้วยหรือไม่

ตัวบทมีข้อยกเว้นสำหรับกรณีที่การละเมิดไม่มีความเสี่ยงที่จะมีผลกระทบต่อสิทธิและเสรีภาพของบุคคล แต่การจะใช้ข้อยกเว้นนี้ต้องประเมินตามปัจจัย 8 ข้อในประกาศปี 2565 และบันทึกเหตุผลไว้ เพราะการเงียบโดยไม่มีบันทึก กับการประเมินแล้วสรุปว่าไม่ต้องแจ้ง มีน้ำหนักต่างกันมากในชั้นชี้แจง

เหตุเกิดที่ระบบของคู่ค้า ใครเป็นคนแจ้ง

หากคู่ค้าเป็นผู้ประมวลผล หน้าที่แจ้งสำนักงานฯ ตามมาตรา 37 (4) ยังเป็นขององค์กรในฐานะผู้ควบคุม ส่วนคู่ค้าต้องแจ้งผู้ควบคุมตามมาตรา 40 (2) และต้องอ่านร่วมกับประกาศแจ้งเหตุฯ พ.ศ. 2565 ข้อ 8 ซึ่งให้ผู้ควบคุมระบุในสัญญาว่าผู้ประมวลผลต้องแจ้งโดยไม่ชักช้าภายใน 72 ชั่วโมงนับแต่ทราบเหตุเท่าที่ทำได้ อาจตกลงให้เร็วขึ้นตามความเสี่ยง การจ้างคู่ค้าไม่โอนหน้าที่ผู้ควบคุมออกไป และไม่ทำให้ผู้ควบคุมรอเริ่มประเมินจนคู่ค้าส่งรายงานครบได้

ไม่แจ้งมีโทษเท่าไร

มาตรา 83 กำหนดว่าผู้ควบคุมข้อมูลที่ฝ่าฝืนหรือไม่ปฏิบัติตามมาตรา 37 ต้องระวางโทษปรับทางปกครองไม่เกินสามล้านบาท และหากเป็นกรณีที่เกี่ยวกับข้อมูลอ่อนไหวตามมาตรา 26 มาตรา 84 กำหนดโทษไว้ไม่เกินห้าล้านบาท ทั้งนี้ประกาศปี 2565 วางลำดับไว้ว่ากรณีไม่ร้ายแรงจะเริ่มจากการสั่งแก้ไขหรือตักเตือนก่อน จึงไม่ใช่ว่าทุกกรณีจะถูกปรับทันที

แจ้งเจ้าของข้อมูลต้องเขียนอะไรบ้าง

ประกาศปี 2565 ระบุไว้สี่รายการ คือข้อมูลโดยสังเขปเกี่ยวกับลักษณะการละเมิด ช่องทางติดต่อเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลหรือผู้ประสานงาน ผลกระทบที่อาจเกิดขึ้น และแนวทางเยียวยารวมถึงข้อแนะนำที่เจ้าของข้อมูลทำได้เอง ข้อควรระวังคือหนังสือฉบับนี้จะกลายเป็นพยานเอกสารในคดีที่ตามมา จึงควรให้ทนายตรวจถ้อยคำก่อนส่ง

อ่านต่อ: ข้อมูลรั่วไหลและการแจ้งเหตุ 72 ชั่วโมง

ดูบทความ PDPA ทั้งหมดแยกตามสถานการณ์

ผู้เขียน นายเอกราช ทิพย์แมม คดีครอบครัว มรดก หนี้สิน และ PDPA

สาขาที่เชี่ยวชาญ: ครอบครัว · มรดกและพินัยกรรม · หนี้สินและบังคับคดี · คุ้มครองข้อมูลส่วนบุคคล (PDPA)

ดูประวัติและช่องทางติดต่อผู้เขียน →

บทความนี้เป็นความรู้กฎหมายทั่วไปเพื่อความเข้าใจเบื้องต้น ไม่ใช่คำปรึกษาทางกฎหมายเฉพาะคดี ผลทางกฎหมายขึ้นอยู่กับข้อเท็จจริง เอกสาร และพยานหลักฐานของแต่ละกรณี ควรปรึกษาทนายความเพื่อประเมินเรื่องของท่านโดยเฉพาะ