พนักงานนำข้อมูลลูกค้าออกจากบริษัท ทำอะไรได้บ้าง — 5 ขั้นตอนแรกและหลักฐานที่ต้องรีบเก็บ

เรื่องมักเริ่มเหมือนกันเสมอ คือลูกค้าโทรมาบอกว่ามีคนจากบริษัทอื่นติดต่อไปโดยรู้ข้อมูลละเอียดเกินกว่าที่ควรรู้ แล้วพอไล่ดูจึงพบว่าพนักงานที่เพิ่งลาออกไปอยู่คู่แข่ง เมื่อพนักงานนำข้อมูลลูกค้าออกจากบริษัท ความรู้สึกแรกของเจ้าของกิจการคืออยากฟ้องทันที แต่ลำดับที่ถูกต้องไม่ใช่แบบนั้น เพราะสิ่งที่ตัดสินคดีคือหลักฐานที่เก็บได้ในวันแรก ไม่ใช่ความเร็วในการยื่นฟ้อง บทความนี้เรียงลำดับสิ่งที่ต้องทำ พร้อมชี้ด้านที่นายจ้างมักมองข้ามจนกลายเป็นปัญหาซ้อน

สิ่งที่ต้องทำใน 24 ชั่วโมงแรก

1. สั่งหยุดทำลายข้อมูลทันที ก่อนทำอย่างอื่นทั้งหมด เพราะบันทึกระบบและกล่องจดหมายมีรอบลบของตัวเอง ดูวิธีสั่งที่หยุดทำลายข้อมูลเมื่อมีข้อพิพาท
2. เก็บหลักฐานดิจิทัลโดยไม่แตะต้องต้นฉบับ ให้ไอทีทำสำเนาแบบอ่านอย่างเดียวและบันทึกไว้ว่าใครทำ เมื่อใด ด้วยวิธีใด
3. ระงับสิทธิเข้าถึงที่ยังค้างอยู่ ทั้งบัญชีที่ยังไม่ถูกปิด สิทธิในระบบของคู่ค้า และการเข้าถึงจากอุปกรณ์ส่วนตัว
4. ประเมินว่าเข้าข่ายต้องแจ้งเหตุหรือไม่ เพราะข้อมูลลูกค้าที่หลุดออกไปคือข้อมูลส่วนบุคคลของบุคคลที่สาม
5. ให้ทนายเข้ามาก่อนติดต่ออดีตพนักงาน เพราะข้อความที่ส่งไปในช่วงนี้จะกลายเป็นเอกสารในสำนวนทั้งหมด

ลำดับนี้สำคัญ เพราะข้อ 1 กับข้อ 2 ทำได้ภายในไม่กี่ชั่วโมง แต่ถ้าปล่อยผ่านไปหนึ่งสัปดาห์ อาจไม่เหลืออะไรให้เก็บ ส่วนข้อ 5 เป็นข้อที่ถูกข้ามบ่อยที่สุดและเสียหายเงียบ ๆ ที่สุด ภาพรวมหน้าที่ทั้งหมดของนายจ้างต่อข้อมูลในองค์กรอยู่ที่คู่มือ PDPA กับข้อมูลพนักงานสำหรับนายจ้างและ HR

หลักฐานห้าชุดที่หายเร็วที่สุด

หลักฐาน	บอกอะไร	ทำไมต้องรีบ
บันทึกการเข้าใช้ระบบ	เข้าระบบเมื่อใด จากที่ไหน ดูอะไรบ้าง	ระบบส่วนใหญ่ตั้งรอบเก็บไว้สั้น และทับตัวเองอัตโนมัติ
ประวัติการส่งออกและดาวน์โหลด	ดึงข้อมูลชุดใดออกไป ปริมาณเท่าใด	เป็นหลักฐานที่ตรงประเด็นที่สุด แต่หลายระบบไม่ได้เปิดเก็บไว้แต่แรก
บันทึกการเชื่อมต่ออุปกรณ์	เสียบอุปกรณ์เก็บข้อมูลเมื่อใด	เครื่องถูกล้างและส่งต่อให้พนักงานคนใหม่เร็วมาก
กล่องจดหมายและกล่องส่งออก	ส่งไฟล์ไปที่อีเมลส่วนตัวหรือปลายทางภายนอกหรือไม่	บัญชีมักถูกปิดและลบตามกระบวนการพ้นสภาพ
แชทของทีมและกลุ่มงาน	บริบทและเจตนา รวมถึงการชักชวนลูกค้า	กลุ่มแชทมักตั้งลบอัตโนมัติและสมาชิกออกจากกลุ่มได้

ข้อควรระวังคือ การเปิดดูอีเมลและแชทของพนักงานมีเงื่อนไขของตัวเอง ไม่ใช่ว่าเป็นบัญชีบริษัทแล้วจะเปิดดูได้ทุกกรณี รายละเอียดอยู่ที่นายจ้างเปิดดูอีเมลและแชทพนักงานได้แค่ไหน และเมื่อจะนำมาใช้ในกระบวนการทางวินัย ให้ดูที่สอบสวนทางวินัยโดยดึงแชทและอีเมล

เลนส์ทนายยอดทิพย์ธรรม

คนทั่วไปมักเข้าใจว่า เมื่อพนักงานเอาข้อมูลลูกค้าไป บริษัทเป็นผู้เสียหายฝ่ายเดียว จึงคิดแต่ว่าจะเอาผิดอดีตพนักงานอย่างไร

แต่ในทางคดี กฎหมายและผู้พิจารณามักมองว่า ข้อมูลที่หลุดออกไปคือข้อมูลส่วนบุคคลของลูกค้า ซึ่งบริษัทเป็นผู้ควบคุมข้อมูล เมื่อข้อมูลถูกนำออกไปโดยปราศจากอำนาจ เหตุนั้นเข้านิยามการละเมิดข้อมูลส่วนบุคคล และหน้าที่ตามมาตรา 37 (4) เป็นของบริษัท ไม่ใช่ของพนักงานที่เอาไป

จุดเสี่ยงจริงอยู่ตรงนี้ บริษัทที่มุ่งเอาผิดพนักงานอย่างเดียวโดยไม่ประเมินหน้าที่แจ้งเหตุ อาจพบว่าตัวเองถูกร้องเรียนจากลูกค้าอีกทางหนึ่ง และคำถามแรกที่จะถูกถามคือ รู้เรื่องวันไหน และทำอะไรไปบ้างในสามวันแรก

ทางเลือกที่ควรทำต่อคือ เดินสองเรื่องพร้อมกันตั้งแต่วันแรก คือเรื่องเอาผิดอดีตพนักงาน และเรื่องหน้าที่ในฐานะผู้ควบคุมข้อมูล โดยให้ทีมเดียวกันดูทั้งสองเรื่อง เพราะเอกสารชุดเดียวกันถูกใช้ทั้งสองทาง และถ้าเขียนคนละมุมจะขัดกันเอง

ต้องแจ้งเหตุตามมาตรา 37 (4) หรือไม่

คำตอบขึ้นกับการประเมินความเสี่ยง ไม่ใช่ขึ้นกับว่าใครเป็นคนทำ มาตรา 37 (4) กำหนดให้ผู้ควบคุมข้อมูลส่วนบุคคลแจ้งเหตุการละเมิดแก่สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลโดยไม่ชักช้าภายใน 72 ชั่วโมงนับแต่ทราบเหตุ เท่าที่จะสามารถกระทำได้ เว้นแต่การละเมิดนั้นไม่มีความเสี่ยงที่จะมีผลกระทบต่อสิทธิและเสรีภาพของบุคคล และหากมีความเสี่ยงสูงต้องแจ้งเจ้าของข้อมูลพร้อมแนวทางเยียวยาโดยไม่ชักช้าด้วย

ปัจจัยที่ทำให้กรณีนี้มักเข้าข่ายต้องแจ้ง คือข้อมูลลูกค้าปกติมีทั้งชื่อ ช่องทางติดต่อ และประวัติการซื้อขาย ผู้รับปลายทางคือคู่แข่งซึ่งไม่มีหน้าที่รักษาความลับต่อบริษัท และองค์กรควบคุมไม่ได้ว่าข้อมูลถูกส่งต่อไปที่ใดอีก วิธีประเมินทีละปัจจัยอยู่ที่เหตุแบบใดที่ไม่ต้องแจ้ง และขั้นตอนในชั่วโมงแรกอยู่ที่เช็กลิสต์ 6 ชั่วโมงแรกหลังพบเหตุ

ข้อสังเกตในเชิงคดีคือ องค์กรที่แจ้งเหตุตามหน้าที่และบันทึกไว้ครบ อยู่ในสถานะที่ต่างจากองค์กรที่เงียบไว้แล้วค่อยถูกลูกค้าร้องเรียนย้อนหลังมาก เพราะประกาศหลักเกณฑ์การพิจารณาออกคำสั่งลงโทษปรับทางปกครอง พ.ศ. 2565 ระบุการเยียวยาเมื่อทราบเหตุไว้เป็นหนึ่งในปัจจัยกำหนดโทษ

เอาผิดอดีตพนักงานได้ทางไหนบ้าง

ในทางปฏิบัติมีหลายทางที่เดินคู่กันได้ และแต่ละทางใช้พยานหลักฐานคนละชุด

• ทางแรงงานและวินัย — กรณียังไม่พ้นสภาพ หรือพ้นสภาพแล้วแต่มีเรื่องค่าชดเชยค้างอยู่ ซึ่งต้องระวังเรื่องความชอบของกระบวนการสอบสวน
• ทางแพ่งเรื่องผิดสัญญา — เมื่อสัญญาจ้างหรือข้อตกลงรักษาความลับกำหนดหน้าที่ไว้ ซึ่งข้อสัญญาที่เขียนไว้ดีจะทำให้เรื่องนี้ง่ายขึ้นมาก
• ทางแพ่งเรื่องละเมิด — เมื่อพิสูจน์ความเสียหายได้ เช่น ลูกค้าที่ย้ายไปและรายได้ที่หายไป
• ทางความลับทางการค้า — เมื่อข้อมูลนั้นมีมาตรการรักษาความลับที่เหมาะสมอยู่จริง ซึ่งเป็นเงื่อนไขที่หลายบริษัทตกม้าตายเพราะไม่เคยจำกัดสิทธิเข้าถึงมาก่อน
• ทางอาญาที่เกี่ยวกับคอมพิวเตอร์ — เมื่อพฤติการณ์เข้าองค์ประกอบ ซึ่งต้องประเมินจากข้อเท็จจริงเป็นรายกรณี

ข้อควรระวังที่สุดคือทางที่สี่ เพราะการอ้างว่าข้อมูลเป็นความลับทางการค้าจะถูกโต้แย้งทันทีว่าบริษัทมีมาตรการรักษาความลับจริงหรือไม่ ถ้าพนักงานทุกคนดาวน์โหลดฐานลูกค้าทั้งก้อนได้ตั้งแต่แรก ข้ออ้างนี้จะอ่อนลงมาก ซึ่งเป็นเรื่องเดียวกับหน้าที่จัดให้มีมาตรการรักษาความมั่นคงปลอดภัยตามมาตรา 37 (1) ที่บริษัทมีอยู่แล้ว ส่วนงานฝั่งคดีแรงงานโดยตรง ดูขอบเขตได้ที่งานคดีแรงงานของสำนักงาน และงานร่างตรวจสัญญาอยู่ที่งานธุรกิจและสัญญา

ข้อผิดพลาดที่ทำให้คดีอ่อนลง

• ให้ไอทีเข้าไปเปิดเครื่องหาไฟล์เอง ซึ่งเปลี่ยนแปลงร่องรอยบนเครื่องและถูกโต้แย้งได้ว่าหลักฐานถูกแก้ไข
• ล้างเครื่องแล้วส่งต่อให้คนใหม่ ตามกระบวนการปกติ ทั้งที่รู้แล้วว่ามีเรื่อง
• ส่งข้อความต่อว่าอดีตพนักงาน ก่อนปรึกษาทนาย ซึ่งกลายเป็นเอกสารที่อีกฝ่ายหยิบไปใช้
• ไม่ประเมินหน้าที่แจ้งเหตุเลย เพราะคิดว่าตัวเองเป็นผู้เสียหาย
• ไม่มีบันทึกว่ารู้เรื่องวันไหน ทำให้ตอบไม่ได้ว่านับ 72 ชั่วโมงจากเมื่อใด ซึ่งอธิบายไว้ที่นับ 72 ชั่วโมงจากเมื่อใด
• ไม่เคยจำกัดสิทธิเข้าถึงมาก่อน ทำให้ข้ออ้างเรื่องความลับอ่อนลงตั้งแต่ต้น

สำนักงานกฎหมายยอดทิพย์ธรรม ช่วยอะไรได้บ้าง

กรณีแบบนี้ต้องเดินสองสนามพร้อมกัน คือสนามเอาผิดอดีตพนักงาน กับสนามหน้าที่ในฐานะผู้ควบคุมข้อมูล ทีมที่ปรึกษากฎหมาย PDPA ของเราทำงานร่วมกับทีมคดีแรงงานและทีมสัญญาในสำนักงานเดียวกัน จึงประเมินได้ตั้งแต่วันแรกว่าเอกสารชุดใดใช้ได้ทั้งสองทาง และถ้อยคำใดที่จะย้อนกลับมาทำร้ายฝ่ายเราเอง สำหรับงานด้านข้อมูลพนักงานโดยตรง ดูที่งานคุ้มครองข้อมูลพนักงานสำหรับ HR และหากต้องการปิดช่องก่อนเกิดเหตุ ดูที่ตรวจสุขภาพ PDPA

เราสื่อสารตรงไปตรงมาและประเมินความคุ้มค่าให้ก่อนเริ่มดำเนินคดี เพราะในหลายกรณีสิ่งที่ได้ผลกว่าการฟ้องคือการหยุดความเสียหายให้เร็วที่สุดแล้วปิดช่องไม่ให้เกิดซ้ำ ส่วนการฟ้องจะคุ้มหรือไม่ขึ้นกับหลักฐานที่เก็บได้ในวันแรกเป็นหลัก

สรุป

เมื่อพนักงานนำข้อมูลลูกค้าออกจากบริษัท ลำดับที่ถูกต้องคือหยุดทำลายข้อมูล เก็บหลักฐานโดยไม่แตะต้นฉบับ ระงับสิทธิที่ค้างอยู่ ประเมินหน้าที่แจ้งเหตุ แล้วจึงให้ทนายเข้ามาก่อนติดต่ออีกฝ่าย สิ่งที่นายจ้างมักมองข้ามคือบริษัทมีสองสถานะพร้อมกัน ทั้งผู้เสียหายและผู้ควบคุมข้อมูลที่ทำข้อมูลลูกค้าหลุด และหน้าที่ตามมาตรา 37 (4) เป็นของบริษัทเสมอ ตัวบทและเงื่อนไขทั้งหมดควรตรวจกับฉบับล่าสุดจากสำนักงานคณะกรรมการกฤษฎีกา และแนวปฏิบัติของสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล ก่อนนำไปใช้

หากคุณเพิ่งพบว่ามีข้อมูลลูกค้าถูกนำออกไป ปรึกษาทีมทนายของสำนักงานกฎหมายยอดทิพย์ธรรม โทร 081-327-8551 | LINE @995iqtpa หรือนัดหมายปรึกษาที่นี่

ข้อกฎหมายที่เกี่ยวข้อง

• พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 มาตรา 37 (4) — ผู้ควบคุมข้อมูลต้องแจ้งเหตุการละเมิดแก่สำนักงานฯ โดยไม่ชักช้าภายใน 72 ชั่วโมงนับแต่ทราบเหตุเท่าที่จะสามารถกระทำได้ เว้นแต่ไม่มีความเสี่ยง · ถ้าเสี่ยงสูงต้องแจ้งเจ้าของข้อมูลพร้อมแนวทางเยียวยาโดยไม่ชักช้า
• มาตรา 37 (1) — หน้าที่จัดให้มีมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสม เพื่อป้องกันการเข้าถึงหรือเปิดเผยข้อมูลโดยปราศจากอำนาจหรือโดยมิชอบ และต้องทบทวนมาตรการเมื่อจำเป็น — เป็นทั้งหน้าที่ขององค์กรและเป็นสิ่งที่ใช้ยันว่าข้อมูลนั้นมีมาตรการรักษาความลับจริง
• มาตรา 39 — รายการบันทึกกิจกรรมการประมวลผล ซึ่งใช้ระบุว่าข้อมูลลูกค้าชุดใดอยู่ในระบบใดและใครเข้าถึงได้
• มาตรา 77 — ผู้ควบคุมข้อมูลต้องชดใช้ค่าสินไหมทดแทนต่อเจ้าของข้อมูล แม้ไม่ได้จงใจหรือประมาทเลินเล่อ เว้นแต่พิสูจน์เหตุยกเว้นได้ · มาตรา 78 วรรคหนึ่ง ศาลสั่งค่าสินไหมเพื่อการลงโทษเพิ่มได้ไม่เกินสองเท่า · มาตรา 78 วรรคสอง อายุความ 3 ปี หรือ 10 ปี
• มาตรา 82 — โทษปรับทางปกครองไม่เกินหนึ่งล้านบาท กรณีไม่ปฏิบัติตามมาตรา 23 · มาตรา 30 วรรคสี่ · มาตรา 39 วรรคหนึ่ง · มาตรา 41 วรรคหนึ่ง · มาตรา 42 วรรคสองหรือวรรคสาม
• ⚠️ กฎหมายอื่นที่เกี่ยวข้องและต้องตรวจตัวบทเป็นรายกรณี — กฎหมายว่าด้วยความลับทางการค้า · กฎหมายว่าด้วยการกระทำความผิดเกี่ยวกับคอมพิวเตอร์ · กฎหมายว่าด้วยการคุ้มครองแรงงาน · และข้อสัญญารักษาความลับที่องค์กรใช้อยู่

คำถามที่พบบ่อย

พนักงานลาออกไปแล้ว ยังเอาผิดได้หรือไม่

ได้ เพราะหน้าที่รักษาความลับตามสัญญาและความรับผิดทางละเมิดไม่ได้สิ้นสุดพร้อมการพ้นสภาพการเป็นลูกจ้าง สิ่งที่ตัดสินได้จริงคือหลักฐานว่าข้อมูลถูกนำออกไปเมื่อใดและด้วยวิธีใด จึงควรเก็บหลักฐานดิจิทัลก่อนเป็นอันดับแรก และควรตรวจข้อสัญญาที่ใช้อยู่ว่าครอบคลุมช่วงหลังพ้นสภาพหรือไม่

บริษัทเป็นผู้เสียหาย ทำไมยังต้องแจ้งเหตุอีก

เพราะหน้าที่ตามมาตรา 37 (4) ผูกอยู่กับสถานะผู้ควบคุมข้อมูลส่วนบุคคล ไม่ได้ผูกกับว่าใครเป็นต้นเหตุ ข้อมูลที่หลุดออกไปเป็นข้อมูลของลูกค้าซึ่งเป็นบุคคลที่สาม บริษัทจึงยังมีหน้าที่ประเมินความเสี่ยงและแจ้งตามที่กฎหมายกำหนด การเป็นผู้เสียหายจากพนักงานไม่ได้ทำให้หน้าที่นี้หายไป

จะรู้ได้อย่างไรว่าเขาเอาข้อมูลไปจริง

ต้องดูจากบันทึกของระบบเป็นหลัก เช่น ประวัติการเข้าใช้ ประวัติการส่งออกหรือดาวน์โหลด และบันทึกการเชื่อมต่ออุปกรณ์ ข้อจำกัดที่พบบ่อยคือหลายองค์กรไม่ได้เปิดเก็บบันทึกเหล่านี้ไว้ตั้งแต่แรก ทำให้พิสูจน์ย้อนหลังไม่ได้ ซึ่งเป็นเหตุผลที่การจำกัดสิทธิและเปิดบันทึกไว้ล่วงหน้ามีค่ามากกว่าที่คิด

เปิดคอมพิวเตอร์ของอดีตพนักงานเพื่อหาหลักฐานได้เลยไหม

ควรระวัง เพราะการเข้าไปเปิดค้นเองอาจเปลี่ยนแปลงร่องรอยบนเครื่องจนถูกโต้แย้งว่าหลักฐานไม่น่าเชื่อถือ และการเปิดดูเนื้อหาส่วนตัวมีเงื่อนไขของตัวเองตามกฎหมายคุ้มครองข้อมูลส่วนบุคคล แนวปฏิบัติที่ปลอดภัยกว่าคือรักษาสภาพเครื่องไว้ ทำสำเนาแบบอ่านอย่างเดียว และบันทึกไว้ว่าใครทำเมื่อใด

ถ้าลูกค้ารู้เรื่องแล้วมาเรียกค่าเสียหาย ต้องรับผิดไหม

มาตรา 77 กำหนดให้ผู้ควบคุมข้อมูลส่วนบุคคลชดใช้ค่าสินไหมทดแทนแก่เจ้าของข้อมูล แม้การดำเนินการนั้นจะไม่ได้เกิดจากความจงใจหรือประมาทเลินเล่อก็ตาม เว้นแต่พิสูจน์ได้ว่าเป็นเหตุสุดวิสัยหรือเข้าเหตุยกเว้นอื่นตามตัวบท สิ่งที่ช่วยได้ในทางปฏิบัติคือหลักฐานว่าองค์กรมีมาตรการอยู่จริงก่อนเกิดเหตุ และลงมือแก้ไขทันทีเมื่อทราบเรื่อง

ผู้เขียน นายเอกราช ทิพย์แมม คดีครอบครัว มรดก และหนี้สิน

สาขาที่เชี่ยวชาญ: ครอบครัว · มรดกและพินัยกรรม · หนี้สินและบังคับคดี

ดูประวัติทีมทนายความ →

บทความนี้เป็นความรู้กฎหมายทั่วไปเพื่อความเข้าใจเบื้องต้น ไม่ใช่คำปรึกษาทางกฎหมายเฉพาะคดี ผลทางกฎหมายขึ้นอยู่กับข้อเท็จจริง เอกสาร และพยานหลักฐานของแต่ละกรณี ควรปรึกษาทนายความเพื่อประเมินเรื่องของท่านโดยเฉพาะ