081-327-8551 จ.–ศ. 09:00–18:00 น. info@yodthiptham.com
โลโก้ยอดทิพย์ธรรม ยอดทิพย์ธรรม Yod Thip Tham Law

เลิกจ้างพนักงานที่ทำข้อมูลรั่ว เป็นการเลิกจ้างที่เป็นธรรมหรือไม่

นายเอกราช ทิพย์แมม นายเอกราช ทิพย์แมมคดีครอบครัว มรดก และหนี้สิน
เผยแพร่ อัปเดตล่าสุด อ่าน 9 นาที PDPA คุ้มครองข้อมูล
การประชุมสอบสวนทางวินัยกรณีพนักงานทำข้อมูลส่วนบุคคลรั่วไหลในองค์กร

สรุปประเด็นสำคัญ

การเลิกจ้างเพราะทำข้อมูลรั่วไม่ได้เป็นการเลิกจ้างที่เป็นธรรมโดยอัตโนมัติ เพราะคำถามที่ถูกถามในศาลแรงงานไม่ใช่ "ข้อมูลรั่วจริงไหม" แต่คือ "องค์กรเคยวางมาตรการและแจ้งพนักงานไว้หรือยัง กระบวนการสอบสวนชอบหรือไม่ และโทษได้สัดส่วนกับการกระทำหรือเปล่า"

จุดที่ย้อนกลับมาทำร้ายนายจ้างมากที่สุดคือ องค์กรที่ไม่เคยมีแนวปฏิบัติเป็นลายลักษณ์อักษร มีแต่การกำชับด้วยวาจา เพราะเมื่อองค์กรอ้างว่าพนักงานฝ่าฝืนระเบียบ ก็จะถูกถามกลับว่าระเบียบนั้นอยู่ที่ไหนและเคยแจ้งเมื่อใด — และในคำสั่งลงโทษปรับที่เคยมี การกำชับด้วยวาจาถูกวินิจฉัยว่าไม่เพียงพอตามมาตรฐานที่กฎหมายกำหนด ซึ่งเป็นการชี้ว่าองค์กรเองก็บกพร่อง

ภาพรวม PDPA กับข้อมูลพนักงานทั้งวงจรอยู่ที่คู่มือนายจ้างและ HR · เมื่อเกิดเหตุข้อมูลลูกค้าหรือข้อมูลพนักงานรั่วไหล ปฏิกิริยาแรกขององค์กรจำนวนมากคือหาว่าใครเป็นคนทำ แล้วดำเนินการทางวินัยกับคนนั้นทันที ซึ่งเข้าใจได้ทั้งในแง่ความรู้สึกและในแง่การแสดงความรับผิดชอบต่อผู้เสียหาย แต่การเลิกจ้างเพราะทำข้อมูลรั่วเป็นเรื่องที่ต้องคิดสองชั้น เพราะการชี้ว่าพนักงานผิด มักเท่ากับการยอมรับไปพร้อมกันว่าองค์กรปล่อยให้เรื่องนี้เกิดขึ้นได้

คำถามที่ศาลแรงงานถาม ไม่ใช่คำถามที่นายจ้างคิด

นายจ้างมักเตรียมตัวตอบคำถามว่าข้อมูลรั่วจริงหรือไม่ และพนักงานคนนั้นเป็นคนทำหรือเปล่า ซึ่งเป็นคำถามที่ตอบได้ไม่ยากถ้ามีหลักฐาน แต่คำถามที่ตัดสินผลจริงมักเป็นอีกชุดหนึ่ง

  • องค์กรเคยกำหนดแนวปฏิบัติเรื่องนี้ไว้เป็นลายลักษณ์อักษรหรือไม่ และแจ้งพนักงานเมื่อใด
  • องค์กรเคยจัดอบรมหรือสื่อสารเรื่องนี้หรือเปล่า และมีหลักฐานหรือไม่
  • องค์กรจัดช่องทางที่ปลอดภัยให้พนักงานใช้แทนหรือยัง หรือปล่อยให้ทุกคนทำแบบเดิมมาตลอด
  • เคยมีพนักงานคนอื่นทำแบบเดียวกันมาก่อนหรือไม่ และองค์กรทำอย่างไรกับคนเหล่านั้น
  • กระบวนการสอบสวนได้ให้โอกาสพนักงานชี้แจงหรือเปล่า
  • โทษที่ลงได้สัดส่วนกับพฤติการณ์หรือไม่ เมื่อเทียบกับความเสียหายที่เกิดขึ้นจริง

สังเกตว่าคำถามส่วนใหญ่ไม่ได้ถามถึงตัวพนักงาน แต่ถามถึงตัวองค์กร นี่คือเหตุผลที่การรีบเลิกจ้างโดยไม่ตรวจสถานะของตัวเองก่อน มักทำให้เรื่องแย่ลงแทนที่จะจบ

สามระดับพฤติการณ์ที่ให้คำตอบต่างกัน

ระดับพฤติการณ์สิ่งที่องค์กรต้องพิสูจน์ให้ได้
ระดับที่ 1ผิดพลาดโดยสุจริต เช่น ส่งอีเมลผิดคน หรือแนบไฟล์ผิด ในสภาพแวดล้อมที่องค์กรไม่เคยวางมาตรการไว้ยากที่จะพิสูจน์ว่าเป็นความผิดร้ายแรงของพนักงาน เพราะช่องว่างเกิดจากระบบขององค์กรเอง
ระดับที่ 2ประมาทเลินเล่อซ้ำ ทั้งที่องค์กรมีแนวปฏิบัติชัดเจน เคยอบรม และเคยตักเตือนเป็นลายลักษณ์อักษรมาแล้วต้องมีเอกสารครบทั้งแนวปฏิบัติ หลักฐานการอบรม และหนังสือตักเตือนครั้งก่อน
ระดับที่ 3จงใจนำข้อมูลออกไปใช้ประโยชน์ส่วนตัวหรือส่งให้คู่แข่งต้องมีหลักฐานที่แสดงเจตนา และต้องระวังเรื่องที่มาของหลักฐานเป็นพิเศษ เพราะมักได้จากการตรวจอุปกรณ์หรือระบบ

ข้อผิดพลาดที่พบบ่อยคือองค์กรปฏิบัติกับระดับที่ 1 เหมือนระดับที่ 3 เพราะความเสียหายที่เกิดขึ้นดูรุนแรง ทั้งที่ความรุนแรงของผลลัพธ์กับความร้ายแรงของพฤติการณ์เป็นคนละเรื่องกัน

บทเรียนจากคำสั่งจริง องค์กรเองก็ถูกวินิจฉัยว่าบกพร่องได้

มีคดีที่หน่วยงานแห่งหนึ่งถูกสั่งลงโทษปรับทางปกครองจากเหตุข้อมูลรั่วไหล โดยข้อเท็จจริงคือเจ้าหน้าที่ส่งต่อไฟล์ข้อมูลผ่านแอปพลิเคชันแชทเพื่อความสะดวกในการปฏิบัติงาน เพราะระบบหลักมีอุปสรรค

ประเด็นที่น่าสนใจสำหรับนายจ้างคือ คำสั่งระบุว่าองค์กรไม่มีการตกลงหรือกำหนดมาตรการรักษาความปลอดภัยในการรับส่งข้อมูลอย่างเป็นทางการ มีเพียงการกำชับด้วยวาจาหรือการใช้ความระมัดระวังส่วนบุคคล ซึ่งเห็นว่าไม่เพียงพอตามมาตรฐานที่กฎหมายกำหนด

ข้อสังเกตในเชิงคดีแรงงานคือ ถ้อยคำลักษณะนี้เป็นสิ่งที่พนักงานหยิบไปใช้ได้ทันที เพราะเป็นการยืนยันว่าองค์กรไม่เคยวางมาตรการที่ชัดเจน การอ้างในภายหลังว่าพนักงานฝ่าฝืนระเบียบจึงอ่อนลงมาก และการที่ระบบหลักใช้งานไม่ได้จนพนักงานต้องเลี่ยงไปใช้ช่องทางอื่น ยังเป็นข้อเท็จจริงที่ชี้กลับมาที่องค์กรอีกด้วย

บทเรียนที่ใช้ได้ทันทีคือ ก่อนจะลงโทษพนักงานเรื่องข้อมูล องค์กรควรตอบตัวเองให้ได้ก่อนว่าถ้าถูกถามในชั้นชี้แจงว่ามีมาตรการอะไร จะยกอะไรขึ้นแสดง

เลนส์ทนายยอดทิพย์ธรรม

คนทั่วไปมักเข้าใจว่า… พนักงานทำข้อมูลลูกค้ารั่วจนบริษัทเสียหาย ย่อมเป็นความผิดร้ายแรงที่เลิกจ้างได้อยู่แล้ว

แต่ในทางคดี กฎหมายและศาลมักมองว่า… ความร้ายแรงวัดจากพฤติการณ์ของผู้กระทำและบริบทที่องค์กรสร้างไว้ ไม่ได้วัดจากมูลค่าความเสียหายเพียงอย่างเดียว องค์กรที่ไม่เคยวางมาตรการ ไม่เคยอบรม และไม่เคยจัดช่องทางที่ปลอดภัยให้ ย่อมมีส่วนในการทำให้เหตุเกิด

จุดเสี่ยงจริงอยู่ตรงนี้… เมื่อองค์กรเลิกจ้างแล้วต้องไปชี้แจงเรื่องข้อมูลส่วนบุคคลด้วย จะเจอทางแยกที่ลำบาก เพราะถ้าชี้แจงว่ามาตรการครบถ้วนแล้วแต่พนักงานฝ่าฝืนเอง จะถูกถามหาเอกสาร แต่ถ้าชี้แจงว่ามาตรการยังไม่ครบเพื่อขอลดโทษ ถ้อยคำนั้นก็ย้อนกลับไปทำลายเหตุผลการเลิกจ้างในศาลแรงงาน

ทางเลือกที่ควรทำต่อคือ… ตัดสินใจเรื่องโทษหลังจากเห็นภาพทั้งสองสนามแล้วเท่านั้น และในหลายกรณีทางที่ปลอดภัยกว่าคือใช้โทษที่เบากว่าการเลิกจ้าง พร้อมเร่งวางมาตรการที่ขาดไป ซึ่งช่วยทั้งในชั้นชี้แจงและลดความเสี่ยงคดีแรงงานไปพร้อมกัน

ปลายทางถ้าตัดสินใจผิด

  1. พนักงานฟ้องศาลแรงงาน โดยยกประเด็นว่าองค์กรไม่เคยวางมาตรการและไม่เคยอบรม
  2. องค์กรถูกเรียกให้แสดงเอกสารที่พิสูจน์ว่าเคยมีระเบียบและเคยแจ้ง ซึ่งเป็นเอกสารชุดเดียวกับที่ต้องใช้ในชั้นชี้แจงเรื่องข้อมูลส่วนบุคคล
  3. ในสนามข้อมูลส่วนบุคคล องค์กรยังคงเป็นผู้ควบคุมข้อมูลและมีหน้าที่ตามกฎหมายอยู่ การเลิกจ้างพนักงานไม่ได้ทำให้หน้าที่นั้นหมดไป
  4. คณะกรรมการผู้เชี่ยวชาญพิจารณาว่าจะสั่งให้แก้ไข ตักเตือน หรือลงโทษปรับ โดยดูปัจจัยตามที่ประกาศกำหนด ซึ่งรวมถึงมาตรฐานขององค์กรในขณะที่มีการกระทำความผิด
  5. และผู้เสียหายจากข้อมูลรั่วยังฟ้องแพ่งเรียกค่าสินไหมทดแทนจากองค์กรได้อีกทางหนึ่ง

ประเด็นที่ต้องเน้นคือ ข้อ 3 เป็นสิ่งที่องค์กรมักลืม คือการหาคนรับผิดภายในไม่ได้ทำให้ความรับผิดขององค์กรต่อภายนอกหมดไป

หลักฐานที่ต้องมี ก่อนคิดเรื่องโทษ

  • แนวปฏิบัติหรือระเบียบเรื่องการจัดการข้อมูลที่เป็นลายลักษณ์อักษร พร้อมวันที่ประกาศใช้
  • หลักฐานการแจ้งหรืออบรมพนักงาน พร้อมรายชื่อผู้เข้าอบรมและวันที่
  • ข้อบังคับเกี่ยวกับการทำงานที่ระบุว่าการกระทำลักษณะนี้เป็นความผิดระดับใด
  • หลักฐานว่าองค์กรจัดช่องทางที่ปลอดภัยให้ใช้จริง และช่องทางนั้นใช้งานได้
  • ประวัติการลงโทษกรณีทำนองเดียวกันที่เคยเกิดในองค์กร เพื่อแสดงว่าไม่ได้เลือกปฏิบัติ
  • บันทึกกระบวนการสอบสวน ตั้งแต่การแจ้งข้อกล่าวหาจนถึงคำชี้แจงของพนักงาน
  • หลักฐานที่มาของพยานหลักฐานทุกชิ้น โดยเฉพาะที่ได้จากระบบหรืออุปกรณ์
  • บันทึกการประเมินความเสียหายจริงที่เกิดกับเจ้าของข้อมูล

ถ้าเป็นฝ่ายนายจ้าง ต้องทำอะไรก่อนตัดสินใจ

  • ตรวจก่อนว่าองค์กรมีแนวปฏิบัติเรื่องนี้เป็นลายลักษณ์อักษรหรือไม่ ถ้าไม่มี ให้ยอมรับข้อเท็จจริงนี้ในการประเมิน
  • ตรวจว่าพนักงานคนนี้เคยได้รับการอบรมหรือแจ้งเตือนมาก่อนหรือเปล่า
  • ตรวจว่าเคยมีคนอื่นทำแบบเดียวกันหรือไม่ และองค์กรทำอย่างไร
  • ประเมินว่าพฤติการณ์อยู่ในระดับใดจากสามระดับข้างต้น
  • ประเมินว่าเหตุเกิดเพราะระบบขององค์กรใช้งานยากจนพนักงานต้องเลี่ยงหรือไม่
  • แยกให้ชัดระหว่างความรุนแรงของผลลัพธ์กับความร้ายแรงของพฤติการณ์
  • ตรวจว่ากระบวนการสอบสวนของตนเองครบถ้วนตามข้อบังคับการทำงานหรือยัง
  • ให้ทนายประเมินทั้งสองสนามก่อนตัดสินใจเรื่องโทษ ไม่ใช่หลังจากตัดสินใจไปแล้ว

อีกฝ่ายอาจโต้แย้งอย่างไร

  • "บริษัทไม่เคยมีระเบียบเรื่องนี้" — คำถามแรกที่ถูกถามเสมอ และเป็นจุดที่องค์กรจำนวนมากตอบไม่ได้
  • "ทุกคนก็ทำแบบนี้กันมาตลอด" — ใช้ได้ผลมาก โดยเฉพาะเมื่อมีข้อความในกลุ่มแชทที่แสดงว่าเป็นวิธีทำงานปกติ รวมถึงของหัวหน้างานเอง
  • "ระบบของบริษัทใช้ไม่ได้ จึงต้องทำแบบนี้" — เป็นข้อเท็จจริงที่ชี้กลับมาที่องค์กร และเคยปรากฏเป็นข้อเท็จจริงในคำสั่งจริงมาแล้ว
  • "ไม่เคยได้รับการอบรม" — ตรวจสอบได้ง่ายจากหลักฐานการอบรม ซึ่งถ้าไม่มีก็เท่ากับไม่เคย
  • "เลือกปฏิบัติ" — เมื่อเคยมีกรณีคล้ายกันแต่ลงโทษต่างกันมาก
  • "โทษหนักเกินเหตุ" — โดยเทียบความเสียหายจริงกับโทษที่ลง
  • "หลักฐานได้มาโดยมิชอบ" — โจมตีที่มาของข้อมูลจากอุปกรณ์หรือระบบ

ลำดับที่ควรทำถ้าเกิดเหตุ

  1. จัดการเหตุข้อมูลรั่วก่อนตามหน้าที่ตามกฎหมาย ทั้งการระงับเหตุและการประเมินหน้าที่แจ้งเหตุ
  2. แยกเรื่องวินัยออกจากเรื่องการรับมือเหตุ อย่าให้สองเรื่องปนกันในสัปดาห์แรก
  3. สำรวจสถานะเอกสารขององค์กรเองอย่างตรงไปตรงมา ว่ามีมาตรการอะไรอยู่จริงบ้าง
  4. ดำเนินกระบวนการสอบสวนตามข้อบังคับการทำงาน โดยให้โอกาสพนักงานชี้แจงและบันทึกไว้
  5. ประเมินระดับพฤติการณ์ และเทียบกับกรณีที่เคยเกิดในองค์กร
  6. ให้ทนายประเมินผลกระทบต่อทั้งสองสนามก่อนกำหนดโทษ

กรณีแบบไหนที่ควรปรึกษาทนายก่อนลงโทษ

  • กำลังจะเลิกจ้างโดยอ้างเหตุที่เกี่ยวกับข้อมูลหรือความลับของบริษัท
  • องค์กรไม่มีแนวปฏิบัติเรื่องการจัดการข้อมูลเป็นลายลักษณ์อักษร
  • เหตุเกิดจากการที่ระบบขององค์กรใช้งานยากจนพนักงานเลี่ยงไปใช้ช่องทางอื่น
  • มีพนักงานคนอื่นเคยทำแบบเดียวกันแต่ไม่ถูกลงโทษ
  • หลักฐานหลักได้มาจากการตรวจอุปกรณ์ อีเมล แชท หรือภาพจากกล้องวงจรปิดของพนักงาน
  • องค์กรกำลังต้องชี้แจงต่อหน่วยงานไปพร้อมกับคดีแรงงาน
  • พนักงานคนนั้นมีข้อพิพาทกับองค์กรอยู่ก่อนแล้ว

สำนักงานกฎหมายยอดทิพย์ธรรม ช่วยอะไรได้บ้าง

เรื่องนี้คือจุดที่สองสายงานมาบรรจบกันพอดี · เราดูแลทั้งงาน PDPAและงานคดีแรงงานในที่เดียว จึงประเมินได้ว่าการลงโทษระดับใดที่องค์กรรับความเสี่ยงไหวในทั้งสองสนาม ไม่ใช่ประเมินทีละสนามแล้วมาพบภายหลังว่าขัดกันเอง ทั้งงานวางระบบข้อมูลพนักงาน และงานคดีแรงงาน

เราสื่อสารตรงไปตรงมาและประเมินความคุ้มค่าให้ก่อนเสมอ ในหลายกรณีคำแนะนำที่ตรงที่สุดคือไม่ควรเลิกจ้าง แต่ควรใช้โทษที่เบากว่าพร้อมเร่งวางมาตรการที่ขาดไป เพราะได้ผลดีกว่าทั้งในแง่ต้นทุนคดีและในแง่ที่ใช้แสดงต่อหน่วยงานว่าองค์กรแก้ไขจริง

สรุป

การเลิกจ้างเพราะทำข้อมูลรั่วไม่ได้เป็นธรรมโดยอัตโนมัติ เพราะสิ่งที่ถูกตรวจไม่ใช่เพียงว่าพนักงานทำหรือไม่ทำ แต่คือองค์กรเคยวางมาตรการไว้หรือยัง แจ้งพนักงานหรือเปล่า จัดช่องทางที่ปลอดภัยให้แล้วหรือไม่ และเคยปฏิบัติกับกรณีเดียวกันอย่างไร

คำถามที่ควรถามก่อนตัดสินใจคือ ถ้าองค์กรต้องชี้แจงเรื่องเดียวกันนี้ต่อหน่วยงานในสัปดาห์หน้า คำอธิบายที่ใช้กับพนักงานกับคำอธิบายที่ใช้กับหน่วยงานจะตรงกันหรือไม่ ถ้าไม่ตรง แปลว่ายังไม่ควรตัดสินใจ

หากคุณกำลังเจอปัญหาลักษณะนี้ ปรึกษาทีมทนายของสำนักงานกฎหมายยอดทิพย์ธรรม โทร 081-327-8551 | LINE @995iqtpa หรือนัดหมายปรึกษาที่นี่

ข้อกฎหมายที่เกี่ยวข้อง

  • พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 มาตรา 37 (1) — ผู้ควบคุมข้อมูลส่วนบุคคลมีหน้าที่จัดให้มีมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสม ซึ่งเป็นหน้าที่ขององค์กร ไม่ใช่ของพนักงานรายบุคคล และไม่หมดไปเพราะการลงโทษพนักงาน
  • มาตรา 37 (4) — หน้าที่แจ้งเหตุการละเมิดข้อมูลส่วนบุคคลภายใน 72 ชั่วโมงนับแต่ทราบเหตุ ซึ่งเป็นหน้าที่ที่ต้องทำคู่ขนานไปกับเรื่องวินัย
  • ประกาศ กคส. เรื่อง หลักเกณฑ์การพิจารณาออกคำสั่งลงโทษปรับทางปกครองของคณะกรรมการผู้เชี่ยวชาญ พ.ศ. 2565 ข้อ 8 — ปัจจัยที่นำมาพิจารณา ซึ่งรวมถึงระดับความรับผิดชอบและมาตรฐานขององค์กรในขณะที่มีการกระทำความผิด และการดำเนินการตามมาตรฐานการรักษาความมั่นคงปลอดภัยในขณะนั้น
  • ประกาศฯ ข้อ 9 — กรณีไม่ร้ายแรงให้สั่งแก้ไขหรือตักเตือนก่อน กรณีร้ายแรงหรือคำสั่งไม่เป็นผลจึงสั่งลงโทษปรับ
  • มาตรา 23 · มาตรา 39 — หน้าที่แจ้งวัตถุประสงค์และจัดทำบันทึกกิจกรรมการประมวลผล ซึ่งเป็นเอกสารที่ถูกเรียกดูทั้งในชั้นชี้แจงและในคดีแรงงาน
  • มาตรา 77 และมาตรา 78ม.77 ความรับผิดชดใช้ค่าสินไหมทดแทนต่อเจ้าของข้อมูลแม้ไม่ได้จงใจหรือประมาทเลินเล่อ เว้นแต่พิสูจน์เหตุยกเว้นได้ · ม.78 วรรคหนึ่ง ค่าสินไหมทดแทนเพื่อการลงโทษ ศาลสั่งเพิ่มได้ไม่เกินสองเท่าของค่าสินไหมทดแทนที่แท้จริง · ม.78 วรรคสอง อายุความ 3 ปีนับแต่รู้ถึงความเสียหายและรู้ตัวผู้ต้องรับผิด หรือ 10 ปีนับแต่วันที่มีการละเมิด
  • กฎหมายว่าด้วยการคุ้มครองแรงงาน · กฎหมายว่าด้วยการจัดตั้งศาลแรงงานฯ · และข้อบังคับเกี่ยวกับการทำงานขององค์กร — หลักเกณฑ์เรื่องการสอบสวนทางวินัย การลงโทษ การเลิกจ้าง ค่าชดเชย และการเลิกจ้างที่ไม่เป็นธรรม ⚠️ มีการแก้ไขเพิ่มเติมกฎหมายคุ้มครองแรงงานในระยะหลัง ควรตรวจตัวบทฉบับที่บังคับใช้อยู่และข้อบังคับการทำงานขององค์กรประกอบเป็นรายกรณี

คำถามที่พบบ่อย

พนักงานทำข้อมูลลูกค้ารั่วจนบริษัทถูกปรับ เลิกจ้างได้เลยไหม

ไม่ได้เป็นเหตุเลิกจ้างโดยอัตโนมัติ เพราะการที่องค์กรถูกสั่งลงโทษปรับ แสดงว่าองค์กรในฐานะผู้ควบคุมข้อมูลถูกวินิจฉัยว่ามีข้อบกพร่องด้วย ซึ่งเป็นข้อเท็จจริงที่พนักงานหยิบไปใช้โต้แย้งได้ในศาลแรงงาน สิ่งที่ต้องพิจารณาคือระดับพฤติการณ์ของพนักงาน องค์กรเคยวางมาตรการและอบรมไว้หรือไม่ กระบวนการสอบสวนชอบหรือเปล่า และโทษได้สัดส่วนหรือไม่ ควรให้ทนายประเมินทั้งสองสนามก่อนตัดสินใจ

บริษัทเคยกำชับด้วยวาจาแล้ว ถือว่าพนักงานฝ่าฝืนระเบียบหรือยัง

ในคำสั่งลงโทษปรับที่เคยมี การมีเพียงการกำชับด้วยวาจาหรือการใช้ความระมัดระวังส่วนบุคคล ถูกเห็นว่าไม่เพียงพอตามมาตรฐานที่กฎหมายกำหนด ในทางคดีแรงงาน การอ้างว่าพนักงานฝ่าฝืนระเบียบจึงมักถูกถามหาว่าระเบียบนั้นอยู่ที่ไหน ประกาศใช้เมื่อใด และแจ้งพนักงานอย่างไร องค์กรที่ไม่มีเอกสารมาแสดงจะอยู่ในตำแหน่งที่เสียเปรียบ แม้พนักงานจะทำผิดจริงก็ตาม

ถ้าเลิกจ้างพนักงานไปแล้ว บริษัทยังต้องรับผิดเรื่องข้อมูลรั่วอยู่ไหม

ยังต้องรับผิดตามหน้าที่ของตนเอง เพราะหน้าที่จัดให้มีมาตรการรักษาความมั่นคงปลอดภัยและหน้าที่แจ้งเหตุตามมาตรา 37 เป็นหน้าที่ของผู้ควบคุมข้อมูลส่วนบุคคล ซึ่งก็คือองค์กร การลงโทษหรือเลิกจ้างพนักงานภายในจึงไม่ทำให้ความรับผิดขององค์กรต่อหน่วยงานและต่อเจ้าของข้อมูลหมดไป องค์กรควรดำเนินการทั้งสองเรื่องคู่ขนานกัน ไม่ใช่ใช้เรื่องหนึ่งแทนอีกเรื่องหนึ่ง

พนักงานจงใจเอาข้อมูลลูกค้าออกไป ทำอะไรได้บ้าง

กรณีที่มีพฤติการณ์จงใจจะต่างจากกรณีผิดพลาดโดยสุจริตอย่างมีนัยสำคัญ และองค์กรอาจมีทางดำเนินการได้หลายทางทั้งทางวินัย ทางแพ่ง และในบางกรณีอาจเกี่ยวข้องกับความผิดตามกฎหมายอื่น แต่สิ่งที่ต้องระวังเป็นพิเศษคือที่มาของพยานหลักฐาน เพราะมักได้จากการตรวจอุปกรณ์หรือระบบของพนักงาน ซึ่งหากได้มาโดยไม่มีหลักเกณฑ์รองรับ อาจถูกโต้แย้งและเปิดประเด็นใหม่ย้อนกลับมาที่องค์กร ควรปรึกษาทนายก่อนเริ่มเก็บหลักฐาน

นายเอกราช ทิพย์แมม
ผู้เขียน นายเอกราช ทิพย์แมม คดีครอบครัว มรดก และหนี้สิน

สาขาที่เชี่ยวชาญ: ครอบครัว · มรดกและพินัยกรรม · หนี้สินและบังคับคดี

ดูประวัติทีมทนายความ →

บทความนี้เป็นความรู้กฎหมายทั่วไปเพื่อความเข้าใจเบื้องต้น ไม่ใช่คำปรึกษาทางกฎหมายเฉพาะคดี ผลทางกฎหมายขึ้นอยู่กับข้อเท็จจริง เอกสาร และพยานหลักฐานของแต่ละกรณี ควรปรึกษาทนายความเพื่อประเมินเรื่องของท่านโดยเฉพาะ

แชร์: Facebook LINE

บทความที่เกี่ยวข้อง

เจ้าหน้าที่สรรหาพิจารณาใบสมัครก่อนตรวจประวัติผู้สมัครงานตามกรอบ PDPA PDPA คุ้มครองข้อมูล

ตรวจประวัติผู้สมัครงานได้ถึงระดับไหน — ประวัติอาชญากรรมคือข้อมูลอ่อนไหว ที่นายจ้างมักไม่รู้

ตรวจประวัติผู้สมัครงานทำได้ แต่ประวัติอาชญากรรมเป็นข้อมูลอ่อนไหวตามมาตรา 26 ซึ่งมีเงื่อนไขเข้มกว่าที่นายจ้างส่วนใหญ่คิด

นายเอกราช ทิพย์แมม ·อ่าน 8 นาที
เจ้าหน้าที่ทำเงินเดือนทำงานในพื้นที่แยก พร้อมการควบคุมสิทธิเข้าถึงข้อมูลเงินเดือนพนักงาน PDPA คุ้มครองข้อมูล

ข้อมูลเงินเดือนพนักงาน ใครในบริษัทเข้าถึงได้บ้าง — 5 ระดับสิทธิที่ควรแยก ปี 2569

ข้อมูลเงินเดือนพนักงานควรแยกสิทธิเข้าถึง 5 ระดับ พร้อมจุดรั่วที่พบบ่อยที่สุดคือไฟล์ตารางที่ส่งต่อกันในองค์กร

นายเอกราช ทิพย์แมม ·อ่าน 7 นาที
ผู้บริหารและทนายตรวจบันทึกระบบหลังพบว่าพนักงานนำข้อมูลลูกค้าออกจากบริษัท PDPA คุ้มครองข้อมูล

พนักงานนำข้อมูลลูกค้าออกจากบริษัท ทำอะไรได้บ้าง — 5 ขั้นตอนแรกและหลักฐานที่ต้องรีบเก็บ

พนักงานนำข้อมูลลูกค้าออกจากบริษัท ต้องรีบเก็บหลักฐาน 5 อย่างก่อนหาย และองค์กรเองก็อาจมีหน้าที่แจ้งเหตุด้วย

นายเอกราช ทิพย์แมม ·อ่าน 8 นาที

ปรึกษาทีมทนาย PDPAของเรา

เราพร้อมรับฟังและประเมินแนวทางที่เหมาะกับกรณีของท่าน ทุกเรื่องเป็นความลับ

แชทผ่าน LINE