พนักงานทำโน้ตบุ๊กหายหรือส่งไฟล์เงินเดือนผิดกลุ่ม องค์กรต้องทำอะไร

เหตุข้อมูลรั่วที่เกิดบ่อยที่สุดในองค์กรไทยไม่ใช่การถูกโจมตีจากภายนอก แต่เป็นเหตุจากคนทำงานธรรมดาในวันธรรมดา คือพนักงานทำอุปกรณ์หายระหว่างเดินทาง กับฝ่ายบุคคลส่งไฟล์เงินเดือนผิดกลุ่ม สองเหตุนี้ดูเล็กจนหลายองค์กรจัดการกันเองแล้วจบ ทั้งที่ทั้งคู่เข้าข่ายเหตุละเมิดข้อมูลส่วนบุคคลได้และมีกรอบเวลาเดินอยู่

ทำไมสองเหตุนี้ถึงถูกมองข้าม

เพราะทั้งคู่ไม่มีผู้ร้าย ไม่มีการโจมตี และมักจบด้วยความรู้สึกว่าเป็นความซวยของพนักงานคนนั้น ผลคือเรื่องมักจบที่ระดับหัวหน้าแผนกโดยไม่มีใครรายงานขึ้นไป และไม่มีใครบันทึกอะไรเลย

แต่ในทางกฎหมาย นิยามการละเมิดข้อมูลส่วนบุคคลไม่ได้ต้องการผู้ร้าย ประกาศฉบับปี 2565 ระบุชัดว่าครอบคลุมไม่ว่าจะเกิดจากเจตนา ความจงใจ ความประมาทเลินเล่อ หรือข้อผิดพลาดบกพร่องและอุบัติเหตุ การไม่มีคนตั้งใจทำผิดจึงไม่ได้ทำให้เหตุนั้นหายไป

สิ่งที่ทำให้เรื่องนี้สำคัญกว่าที่คิดคือ ข้อมูลที่เกี่ยวข้องมักเป็นข้อมูลที่อ่อนไหวในทางปฏิบัติ เพราะโน้ตบุ๊กของฝ่ายบุคคลมักมีแฟ้มพนักงานทั้งบริษัท และไฟล์เงินเดือนมักมีเลขบัญชีธนาคารกับเลขบัตรประจำตัวประชาชนอยู่ในตารางเดียวกัน

สองเหตุ ตัวแปรคนละชุด

ประเด็น	อุปกรณ์หาย	ส่งไฟล์ผิดคนหรือผิดกลุ่ม
รู้หรือไม่ว่าใครได้ข้อมูลไป	ไม่รู้เลย ซึ่งทำให้ประเมินยากกว่า	รู้ตัวผู้รับ จึงสอบถามและขอให้ลบได้
ตัวแปรที่สำคัญที่สุด	อุปกรณ์เข้ารหัสไว้หรือไม่ และล็อกจากระยะไกลได้หรือเปล่า	ผู้รับเปิดอ่านหรือดาวน์โหลดไปแล้วหรือยัง
มาตรการระงับที่ทำได้ทันที	ล็อกเครื่องจากระยะไกล ลบข้อมูลจากระยะไกล เพิกถอนสิทธิเข้าถึงระบบและบัญชีที่ค้างอยู่	ถอนข้อความ ติดต่อผู้รับให้ลบ ขอคำยืนยันเป็นลายลักษณ์อักษร
หลักฐานที่ต้องรีบเก็บ	บันทึกว่าเครื่องนั้นมีข้อมูลอะไร สถานะการเข้ารหัส บันทึกการเข้าถึงระบบหลังเวลาที่หาย	สำเนาข้อความหรืออีเมลที่ส่ง รายชื่อผู้รับทั้งหมด และเวลาที่ส่ง
ความเสี่ยงที่มักถูกประเมินต่ำไป	บัญชีที่ยัง login ค้างอยู่ในเครื่อง ซึ่งอันตรายกว่าไฟล์ในเครื่อง	ผู้รับส่งต่อไปยังคนอื่นก่อนที่จะรู้ตัว

แถวสุดท้ายของคอลัมน์อุปกรณ์หายเป็นจุดที่องค์กรมองข้ามบ่อยที่สุด เพราะมัวกังวลเรื่องไฟล์ในเครื่อง ทั้งที่ความเสี่ยงจริงมักอยู่ที่บัญชีอีเมลและระบบภายในที่ยังเปิดค้างอยู่ ซึ่งเปิดทางให้เข้าถึงข้อมูลได้มากกว่าที่อยู่ในเครื่องหลายเท่า

เลนส์ทนายยอดทิพย์ธรรม

คนทั่วไปมักเข้าใจว่า… เหตุแบบนี้เป็นความผิดพลาดส่วนบุคคลของพนักงาน องค์กรจึงควรจัดการที่ตัวคน เช่น ตักเตือนหรือให้ชดใช้ค่าเครื่อง

แต่ในทางคดี กฎหมายและศาลมักมองว่า… คำถามแรกไม่ได้ถามว่าพนักงานประมาทหรือไม่ แต่ถามว่าองค์กรวางมาตรการรองรับความผิดพลาดที่คาดหมายได้ไว้หรือยัง เพราะการที่คนทำของหายหรือส่งอีเมลผิดเป็นความเสี่ยงที่รู้กันทั่วไป ไม่ใช่เหตุที่คาดไม่ถึง

จุดเสี่ยงจริงอยู่ตรงนี้… องค์กรที่ไม่ได้เข้ารหัสอุปกรณ์ ไม่มีระบบล็อกจากระยะไกล และปล่อยให้ไฟล์รวมทั้งบริษัทอยู่ในเครื่องพนักงานได้ จะอธิบายเรื่องความเหมาะสมของมาตรการตามมาตรา 37 (1) ได้ยาก และการลงโทษพนักงานยิ่งทำให้ภาพชัดขึ้นว่าองค์กรโยนความเสี่ยงไปที่ตัวบุคคลแทนที่จะวางระบบ

ทางเลือกที่ควรทำต่อคือ… จัดการเหตุตามหน้าที่ทางกฎหมายก่อน แล้วค่อยพิจารณาเรื่องวินัยแยกออกมา และใช้เหตุที่เกิดเป็นข้อมูลปรับปรุงระบบ เพราะนั่นคือสิ่งที่ประกาศกำหนดให้ทำอยู่แล้ว คือป้องกันไม่ให้เกิดในลักษณะเดียวกันอีก

มาตรการที่ทำไว้ก่อน เปลี่ยนผลการประเมินได้จริง

ปัจจัยประเมินความเสี่ยงตามประกาศรวมถึงประสิทธิภาพของมาตรการป้องกัน ระงับ แก้ไข หรือเยียวยา และลักษณะของระบบเก็บข้อมูลกับมาตรการที่มีอยู่ ซึ่งแปลว่าสิ่งที่ทำไว้ก่อนเกิดเหตุมีน้ำหนักโดยตรงต่อผลการประเมิน

ตัวอย่างที่เห็นภาพชัดที่สุด — โน้ตบุ๊กสองเครื่องหายในสถานการณ์เดียวกัน เครื่องแรกเข้ารหัสทั้งไดรฟ์ ตั้งรหัสผ่านเข้าเครื่อง ไม่มีบัญชีค้าง และล็อกจากระยะไกลได้สำเร็จภายในชั่วโมงแรก · เครื่องที่สองเปิดแล้วใช้ได้ทันที มีแฟ้มพนักงานทั้งบริษัทอยู่ในเดสก์ท็อป และอีเมลบริษัทเปิดค้างอยู่ · สองเครื่องนี้อยู่คนละระดับความเสี่ยงโดยสิ้นเชิง ทั้งที่เหตุการณ์ภายนอกเหมือนกัน

มาตรการที่คุ้มค่าที่สุดสำหรับเหตุสองแบบนี้ ไม่ใช่ระบบราคาแพง แต่เป็นสิ่งพื้นฐานที่ทำได้เลย ได้แก่ การเข้ารหัสอุปกรณ์ทั้งเครื่อง การตั้งรหัสผ่านและล็อกอัตโนมัติ ความสามารถล็อกและลบข้อมูลจากระยะไกล การจำกัดไม่ให้เก็บไฟล์รวมทั้งองค์กรไว้ในเครื่องส่วนตัว การใส่รหัสผ่านไฟล์ที่มีข้อมูลอ่อนไหวก่อนส่งโดยส่งรหัสคนละช่องทาง และการตั้งค่าให้ระบบอีเมลหน่วงเวลาส่งหรือเตือนเมื่อส่งออกนอกองค์กร

ปลายทางถ้าพลาด

1. หากประเมินแล้วเข้าเกณฑ์ต้องแจ้งแต่ไม่ได้แจ้งภายใน 72 ชั่วโมงนับแต่ทราบเหตุ จะเป็นประเด็นตามมาตรา 37 (4)
2. หากเหตุสะท้อนว่าองค์กรไม่มีมาตรการที่เหมาะสม เช่น ไม่เข้ารหัสอุปกรณ์ที่มีข้อมูลพนักงานทั้งบริษัท จะเป็นอีกประเด็นตามมาตรา 37 (1)
3. คณะกรรมการผู้เชี่ยวชาญพิจารณาว่าจะสั่งให้แก้ไข ตักเตือน หรือลงโทษปรับ โดยดูปัจจัยที่ประกาศกำหนด รวมถึงมาตรฐานขององค์กรในขณะเกิดเหตุ
4. หากข้อมูลที่หลุดเป็นข้อมูลพนักงาน เรื่องอาจเดินต่อไปที่ศาลแรงงานได้ โดยเฉพาะหากองค์กรลงโทษพนักงานที่ทำของหายด้วย
5. เจ้าของข้อมูลที่ได้รับผลกระทบยังฟ้องแพ่งเรียกค่าสินไหมทดแทนได้อีกทางหนึ่ง

หลักฐานที่ต้องเก็บ

• วันเวลาที่พนักงานรู้ตัวและวันเวลาที่รายงานเข้าองค์กร ซึ่งมักเป็นคนละเวลา
• รายการข้อมูลที่อยู่ในอุปกรณ์หรือในไฟล์ที่ส่งผิด และจำนวนเจ้าของข้อมูลที่กระทบ
• สถานะมาตรการของอุปกรณ์ ณ วันที่หาย เช่น การเข้ารหัส การตั้งรหัสผ่าน และบัญชีที่เปิดค้าง
• บันทึกการล็อกหรือลบข้อมูลจากระยะไกล พร้อมเวลาและผลลัพธ์
• บันทึกการเข้าถึงระบบด้วยบัญชีของพนักงานคนนั้นหลังเวลาที่อุปกรณ์หาย
• กรณีส่งไฟล์ผิด ให้เก็บสำเนาข้อความที่ส่ง รายชื่อผู้รับ และคำยืนยันจากผู้รับ
• เอกสารประเมินความเสี่ยงพร้อมข้อสรุปและเหตุผล
• บันทึกการแก้ไขเชิงระบบหลังเกิดเหตุ

ถ้าเป็นฝ่ายองค์กร ต้องทำอะไรบ้าง

• ให้พนักงานรายงานทันทีโดยไม่ต้องกลัวว่าจะถูกลงโทษก่อน เพราะเวลามีค่ากว่าการหาคนผิด
• ล็อกและเพิกถอนสิทธิเข้าถึงระบบของบัญชีที่เกี่ยวข้องเป็นอันดับแรก ก่อนคิดเรื่องตัวเครื่อง
• ตรวจว่าอุปกรณ์นั้นเข้ารหัสไว้หรือไม่ และมีข้อมูลอะไรอยู่บ้าง
• กรณีส่งไฟล์ผิด ให้ติดต่อผู้รับทันทีและขอคำยืนยันเป็นลายลักษณ์อักษร ไม่ใช่ทางโทรศัพท์อย่างเดียว
• ประเมินความเสี่ยงตามปัจจัยที่ประกาศกำหนด แล้วบันทึกไว้ไม่ว่าผลจะออกทางใด
• ทบทวนว่าเหตุนี้เกิดเพราะระบบเปิดช่องหรือไม่ แล้วแก้ที่ระบบ
• แยกเรื่องวินัยออกจากเรื่องการรับมือเหตุ อย่าให้ปนกันในสัปดาห์แรก
• เก็บบันทึกเหตุไว้ในทะเบียนเดียวกันกับเหตุอื่น เพื่อดูแนวโน้มว่าเกิดซ้ำหรือไม่

อีกฝ่ายอาจโต้แย้งอย่างไร

• "ไม่เข้ารหัสอุปกรณ์ทั้งที่มีข้อมูลพนักงานทั้งบริษัท" — เป็นประเด็นเรื่องความเหมาะสมของมาตรการที่ตอบยาก
• "ปล่อยให้ไฟล์รวมอยู่ในเครื่องส่วนตัวได้" — ชี้ว่าองค์กรไม่ได้จำกัดการเข้าถึงเท่าที่จำเป็น
• "รู้ตั้งแต่วันเสาร์แต่เพิ่งจัดการวันจันทร์" — ช่องว่างของเวลาตรวจสอบได้จากบันทึกระบบ
• "อ้างว่าผู้รับลบแล้วโดยไม่มีหลักฐาน" — คำยืนยันด้วยวาจามีน้ำหนักน้อย
• "เกิดซ้ำหลายครั้งแล้วยังไม่แก้ระบบ" — ทะเบียนเหตุขององค์กรเองกลายเป็นหลักฐาน จึงต้องแสดงด้วยว่าแก้อะไรไปแล้ว
• "ลงโทษพนักงานแทนที่จะแก้ระบบ" — ซึ่งอาจนำไปสู่ประเด็นในสนามแรงงานเพิ่มอีกทาง

ถ้าเกิดวันนี้ ควรทำอะไรตามลำดับ

1. บันทึกเวลาที่ทราบเหตุทันที
2. ระงับความเสี่ยงที่กว้างที่สุดก่อน คือเพิกถอนสิทธิเข้าถึงระบบและบัญชีของผู้ใช้รายนั้น
3. ล็อกหรือลบข้อมูลจากระยะไกลถ้าทำได้ พร้อมบันทึกผล
4. ระบุให้ชัดว่าข้อมูลอะไรอยู่ในนั้น กระทบกี่ราย และมีข้อมูลอ่อนไหวหรือไม่
5. ประเมินความเสี่ยงและบันทึกผล ไม่ว่าจะสรุปว่าต้องแจ้งหรือไม่ต้องแจ้ง
6. ให้ทนายประเมินหากมีข้อมูลอ่อนไหว กระทบคนจำนวนมาก หรืออุปกรณ์ไม่ได้เข้ารหัส

กรณีแบบไหนที่ควรปรึกษาทนาย

• อุปกรณ์ที่หายไม่ได้เข้ารหัสและมีข้อมูลพนักงานหรือลูกค้าจำนวนมาก
• บัญชีระบบยังเปิดค้างอยู่ในอุปกรณ์นั้นและเพิกถอนสิทธิไม่ทัน
• ไฟล์ที่ส่งผิดมีเลขบัตรประจำตัวประชาชน เลขบัญชีธนาคาร หรือข้อมูลอ่อนไหว
• ผู้รับเป็นบุคคลภายนอกองค์กรหรือติดต่อไม่ได้
• ผู้รับส่งต่อไปยังผู้อื่นแล้ว
• เจ้าของข้อมูลรู้เรื่องแล้วและกำลังทวงถาม
• องค์กรกำลังจะดำเนินการทางวินัยกับพนักงานที่ทำเหตุ

สำนักงานกฎหมายยอดทิพย์ธรรม ช่วยอะไรได้บ้าง

บริการประเมินเหตุข้อมูลรั่วไหลเร่งด่วน ในงานที่ปรึกษากฎหมาย PDPA สำหรับองค์กร ของเราออกแบบมาให้ใช้ได้กับเหตุระดับเล็กที่เกิดบ่อยแบบนี้ด้วย ไม่ใช่เฉพาะเหตุใหญ่ โดยช่วยประเมินความเสี่ยงและบันทึกเหตุผลไว้ให้ใช้ยันได้ในภายหลัง

และเมื่อเหตุเกี่ยวข้องกับข้อมูลพนักงานหรือนำไปสู่การพิจารณาทางวินัย เราอ่านเรื่องด้วยสายตาของทนายคดีแรงงานไปพร้อมกัน เพราะการลงโทษพนักงานที่ทำของหายอาจเปิดประเด็นใหม่ให้องค์กรได้ · เราจะบอกตรง ๆ ว่ากรณีไหนที่ควรลงทุนแก้ระบบมากกว่าลงโทษคน เพราะได้ผลกว่าทั้งในแง่ความเสี่ยงและในแง่ที่ใช้แสดงต่อหน่วยงาน

สรุป

พนักงานทำอุปกรณ์หายและการส่งไฟล์เงินเดือนผิดกลุ่ม เข้าข่ายเหตุละเมิดข้อมูลส่วนบุคคลได้ทั้งคู่ เพราะนิยามในประกาศครอบคลุมถึงความประมาทเลินเล่อและอุบัติเหตุ องค์กรจึงต้องประเมินและบันทึกทุกครั้ง ไม่ใช่จัดการกันเองในระดับแผนก

สิ่งที่เปลี่ยนผลได้มากที่สุดคือมาตรการที่ทำไว้ก่อนเกิดเหตุ โดยเฉพาะการเข้ารหัสอุปกรณ์และการจำกัดไม่ให้ไฟล์รวมทั้งองค์กรอยู่ในเครื่องส่วนตัว ซึ่งเป็นสิ่งที่ลงทุนไม่มากแต่เปลี่ยนสถานะขององค์กรได้ทั้งในการประเมินความเสี่ยงและในชั้นชี้แจง

หากคุณกำลังเจอปัญหาลักษณะนี้ ปรึกษาทีมทนายของสำนักงานกฎหมายยอดทิพย์ธรรม โทร 081-327-8551 | LINE @995iqtpa หรือนัดหมายปรึกษาที่นี่

ข้อกฎหมายที่เกี่ยวข้อง

• ประกาศ กคส. เรื่อง หลักเกณฑ์และวิธีการในการแจ้งเหตุการละเมิดข้อมูลส่วนบุคคล พ.ศ. 2565 · นิยาม — การละเมิดครอบคลุมการสูญหาย เข้าถึง ใช้ เปลี่ยนแปลง แก้ไข หรือเปิดเผยข้อมูลโดยปราศจากอำนาจหรือโดยมิชอบ ไม่ว่าเกิดจากเจตนา ความจงใจ ความประมาทเลินเล่อ ข้อผิดพลาดบกพร่องหรืออุบัติเหตุ หรือเหตุอื่นใด
• ประกาศฯ · ปัจจัยประเมินความเสี่ยง — รวมถึงประเภทและปริมาณข้อมูล จำนวนเจ้าของข้อมูล ความร้ายแรงของผลกระทบ ประสิทธิภาพของมาตรการป้องกัน ระงับ แก้ไข หรือเยียวยา และลักษณะของระบบเก็บข้อมูลกับมาตรการรักษาความมั่นคงปลอดภัยที่มีอยู่
• ประกาศฯ · หน้าที่หลังเกิดเหตุ — ดำเนินการป้องกัน ระงับ หรือแก้ไขโดยทันทีเท่าที่จะทำได้เมื่อพบว่าเสี่ยงสูง และดำเนินมาตรการป้องกันเหตุในลักษณะเดียวกันในอนาคตพร้อมทบทวนมาตรการ
• พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 มาตรา 37 (4) — แจ้งเหตุแก่สำนักงานฯ ภายใน 72 ชั่วโมงนับแต่ทราบเหตุ เว้นแต่ไม่มีความเสี่ยงต่อสิทธิและเสรีภาพของบุคคล
• มาตรา 37 (1) — หน้าที่จัดให้มีมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสม ซึ่งครอบคลุมถึงการเข้ารหัสอุปกรณ์และการจำกัดสิทธิเข้าถึง
• มาตรา 26 — ข้อมูลอ่อนไหว ซึ่งอาจอยู่ในแฟ้มพนักงานหรือไฟล์ที่ส่งผิด และมีผลต่อระดับความเสี่ยง
• ประเด็นการดำเนินการทางวินัยกับพนักงานที่ทำเหตุ ควรพิจารณาตามกฎหมายว่าด้วยการคุ้มครองแรงงานและข้อบังคับเกี่ยวกับการทำงานขององค์กรประกอบเป็นรายกรณี

คำถามที่พบบ่อย

โน้ตบุ๊กที่หายเข้ารหัสไว้แล้ว ยังต้องแจ้งเหตุไหม

ต้องประเมินก่อน ไม่ใช่สรุปว่าไม่ต้องแจ้งโดยอัตโนมัติ การเข้ารหัสเป็นมาตรการที่มีน้ำหนักมากในการประเมิน เพราะปัจจัยเรื่องประสิทธิภาพของมาตรการป้องกันเป็นข้อที่ประกาศกำหนดไว้ แต่ยังต้องดูปัจจัยอื่นประกอบ เช่น มีบัญชีระบบเปิดค้างอยู่หรือไม่ รหัสผ่านถูกจดไว้ในเครื่องหรือเปล่า และการเข้ารหัสนั้นครอบคลุมทั้งไดรฟ์จริงหรือไม่ ไม่ว่าผลจะออกทางใด ต้องบันทึกการประเมินไว้เสมอ

ส่งไฟล์เงินเดือนผิดกลุ่มแต่รีบถอนข้อความทัน ถือว่าจบไหม

การถอนข้อความทันเป็นมาตรการระงับที่ดีและมีน้ำหนักในการประเมิน แต่ยังต้องตรวจว่าผู้รับเปิดอ่านหรือดาวน์โหลดไปก่อนหรือไม่ และควรขอคำยืนยันเป็นลายลักษณ์อักษร ไม่ใช่ทางโทรศัพท์อย่างเดียว เพราะคำยืนยันด้วยวาจามีน้ำหนักน้อยหากถูกตรวจสอบภายหลัง จากนั้นจึงประเมินความเสี่ยงตามปัจจัยที่ประกาศกำหนดและบันทึกผลไว้

ควรลงโทษพนักงานที่ทำอุปกรณ์หายไหม

ควรแยกเรื่องนี้ออกจากการรับมือเหตุและพิจารณาทีหลัง เพราะการรีบลงโทษทำให้พนักงานคนอื่นไม่กล้ารายงานเหตุในอนาคต ซึ่งเพิ่มความเสี่ยงให้องค์กรมากกว่าเดิม นอกจากนี้หากองค์กรเองไม่ได้วางมาตรการรองรับความผิดพลาดที่คาดหมายได้ เช่น ไม่เข้ารหัสอุปกรณ์ การลงโทษพนักงานอาจถูกโต้แย้งได้ทั้งในมุมความเป็นธรรมและกลายเป็นหลักฐานว่าองค์กรโยนความเสี่ยงไปที่ตัวบุคคล ควรปรึกษาทนายก่อนหากจะลงโทษร้ายแรง

เหตุแบบนี้เกิดเดือนละหลายครั้ง ต้องบันทึกทุกครั้งจริงหรือ

ควรบันทึกทุกครั้ง และการที่เกิดบ่อยยิ่งเป็นเหตุผลให้ต้องบันทึก เพราะทะเบียนเหตุจะแสดงว่าองค์กรรู้ปัญหาและได้แก้เชิงระบบอย่างไร ซึ่งเป็นสิ่งที่ประกาศกำหนดให้ทำอยู่แล้ว คือป้องกันเหตุในลักษณะเดียวกันในอนาคตและทบทวนมาตรการให้เหมาะสม องค์กรที่มีทะเบียนพร้อมบันทึกการแก้ไข อยู่ในสถานะที่ต่างจากองค์กรที่ปล่อยให้เกิดซ้ำโดยไม่มีร่องรอยว่าเคยทำอะไร

ผู้เขียน นายเอกราช ทิพย์แมม คดีครอบครัว มรดก และหนี้สิน

สาขาที่เชี่ยวชาญ: ครอบครัว · มรดกและพินัยกรรม · หนี้สินและบังคับคดี

ดูประวัติทีมทนายความ →

บทความนี้เป็นความรู้กฎหมายทั่วไปเพื่อความเข้าใจเบื้องต้น ไม่ใช่คำปรึกษาทางกฎหมายเฉพาะคดี ผลทางกฎหมายขึ้นอยู่กับข้อเท็จจริง เอกสาร และพยานหลักฐานของแต่ละกรณี ควรปรึกษาทนายความเพื่อประเมินเรื่องของท่านโดยเฉพาะ