ลิงก์แชร์ไฟล์เปิดสาธารณะ ไม่พบดาวน์โหลดต้องทำอย่างไร

ลิงก์แชร์ไฟล์เปิดสาธารณะต้องรีบจำกัดการเข้าถึง เก็บหลักฐาน และประเมินผลต่อเจ้าของข้อมูล แม้ระบบไม่แสดงการดาวน์โหลด บริษัทก็ยังต้องตรวจว่ามีการเปิดดู คัดลอก หรือเข้าถึงข้อมูลผ่านช่องทางอื่นหรือไม่ ก่อนสรุปเรื่องหน้าที่แจ้งเหตุ

ลิงก์แชร์ไฟล์เปิดสาธารณะ แต่ไม่พบดาวน์โหลด ถือว่าข้อมูลรั่วไหม?

การไม่พบดาวน์โหลดเพียงอย่างเดียวยังสรุปไม่ได้ว่าไม่มีเหตุละเมิด ต้องตรวจว่าข้อมูลส่วนบุคคลถูกเปิดเผยหรือเข้าถึงโดยไม่มีอำนาจหรือไม่ รวมถึงข้อจำกัดของบันทึกระบบ จากนั้นจึงประเมินความเสี่ยงต่อสิทธิและเสรีภาพ เพื่อพิจารณาหน้าที่แจ้งสำนักงานและเจ้าของข้อมูลตามเงื่อนไขกฎหมาย

พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 มาตรา 37 (1) กำหนดหน้าที่จัดมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสม และมาตรา 37 (4) วางหน้าที่แจ้งเหตุละเมิด การตั้งค่าให้บุคคลทั่วไปอ่านแฟ้มรายชื่อลูกค้าได้จึงต้องตรวจข้อเท็จจริงทันที ไม่จำเป็นต้องรอให้มีผู้ร้องเรียนหรือพบข้อมูลถูกขายก่อนจึงเริ่มประเมิน

ประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง หลักเกณฑ์และวิธีการในการแจ้งเหตุการละเมิดข้อมูลส่วนบุคคล พ.ศ. 2565 ครอบคลุมการเสียความลับ ความถูกต้องครบถ้วน และความพร้อมใช้งาน การจำกัดการดาวน์โหลดเป็นเพียงการควบคุมอย่างหนึ่ง หากยังอ่านรายชื่อบนหน้าจอได้ ความเสี่ยงจากการเปิดเผยก็อาจยังอยู่ ส่วนการตั้งค่าผิดแต่ถูกระบบอีกชั้นปิดกั้นจริงต้องแยกวิเคราะห์ตามหลักฐาน

ตัวอย่างสมมติ: เจ้าหน้าที่แชร์ตารางลูกค้าให้ผู้รับจ้างโดยเลือก “ทุกคนที่มีลิงก์” ตารางมีชื่อ เบอร์โทร และรายละเอียดนัดหมาย ระบบแสดงว่าไม่มีการดาวน์โหลด แต่ไม่ได้บันทึกผู้เปิดดูที่ไม่ลงชื่อเข้าใช้ กรณีนี้บริษัทไม่ควรเขียนว่า “ไม่มีผู้เข้าถึง” ควรระบุว่าไม่พบรายการดาวน์โหลดในแหล่งบันทึกที่ตรวจ และยังยืนยันการเปิดดูของบุคคลภายนอกไม่ได้ พร้อมอธิบายงานตรวจที่เหลือ

ขอบเขตการประเมินควรครอบคลุมไฟล์ต้นฉบับ โฟลเดอร์ที่รับสิทธิจากระดับบน สำเนาที่ส่งต่อ และข้อมูลในแท็บซ่อนหรือความคิดเห็นด้วย การเห็นเพียงหน้าแรกว่าไม่มีข้อมูลสำคัญอาจทำให้ประเมินต่ำกว่าความจริง ควรอ่านร่วมกับ แนวทางรับมือเหตุละเมิดและกำหนดแจ้ง 72 ชั่วโมง เพื่อจัดงานตรวจและงานแจ้งไปพร้อมกัน

ประเมินความเสี่ยงอย่างไรเมื่อบันทึกการเข้าถึงไม่ครบ?

• ถ้าลิงก์เปิดจากบัญชีบุคคลภายนอกได้ ให้จำกัดสิทธิทันทีและเก็บผลทดสอบก่อนกับหลังแก้ โดยใช้ข้อมูลเท่าที่จำเป็น
• ถ้าไฟล์ไม่มีข้อมูลที่ระบุตัวบุคคลได้จริง ให้บันทึกเหตุผลและตัวอย่างที่ตรวจ อย่าตัดสินจากชื่อไฟล์อย่างเดียว
• ถ้าพบข้อมูลสุขภาพ การเงิน หรือข้อมูลเด็ก ให้ประเมินผลเสียเฉพาะกลุ่ม รวมถึงโอกาสหลอกลวงและการตีตรา
• ถ้าบันทึกครอบคลุมเฉพาะผู้ลงชื่อเข้าใช้ ให้แยกช่วงที่ตรวจได้ออกจากช่วงที่ยืนยันไม่ได้ และขอข้อมูลจากผู้ให้บริการตามช่องทางที่เหมาะสม
• ถ้าพบการส่งต่อไปยังกลุ่มหรือเว็บไซต์อื่น ให้ติดตามขอบเขตใหม่ และทบทวนทั้งข้อความแจ้งกับมาตรการลดผลกระทบ

ควรทำตารางข้อเท็จจริงสามช่องว่า “ทราบแล้ว” “ยังไม่ทราบ” และ “จะตรวจจากอะไร” เช่น ระยะเวลาเปิดลิงก์อาจทราบจากประวัติการเปลี่ยนสิทธิ แต่จำนวนผู้เข้าถึงอาจไม่ทราบ การระบุช่องว่างตรงไปตรงมาช่วยให้ผู้ตัดสินใจประเมินได้ดีกว่าการแทนค่าที่ไม่ทราบด้วยศูนย์

ข้อยกเว้นการแจ้งสำนักงานใช้เมื่อเหตุไม่มีความเสี่ยงต่อสิทธิและเสรีภาพตามเงื่อนไข ไม่ใช่เพียงยังพิสูจน์ความเสียหายเป็นเงินไม่ได้ ผู้ควบคุมข้อมูลต้องมีเหตุผลรองรับการประเมินนั้น และทบทวนเมื่อพบข้อมูลเพิ่ม

เลนส์ทนายยอดทิพย์ธรรม: หลักฐานว่าไม่พบ ต่างจากหลักฐานว่าไม่มี

คนมักเข้าใจว่า: ตัวเลขดาวน์โหลดเป็นศูนย์แปลว่าไม่มีข้อมูลรั่ว และเมื่อปิดลิงก์แล้วเรื่องก็จบ ความเข้าใจนี้ทำให้บริษัทรีบส่งคำยืนยันที่ภายหลังต้องแก้ไขเมื่อพบสำเนาหรือภาพหน้าจอจากภายนอก

กฎหมายมองว่า: ต้องพิจารณาเหตุละเมิดและความเสี่ยงจากข้อเท็จจริงทั้งหมด ทั้งชนิดข้อมูล บุคคลที่อาจเข้าถึง ระยะเวลา มาตรการป้องกัน และผลเสียที่อาจเกิด การแจ้งเจ้าของข้อมูลพิจารณาเมื่อมีความเสี่ยงสูง ไม่ใช่ทุกกรณีใช้ข้อสรุปเดียวกัน

จุดเสี่ยงจริง: รายงานระบุว่าไม่มีการเข้าถึง ทั้งที่ระบบไม่ได้บันทึกกิจกรรมชนิดนั้น หรือฝ่ายเทคนิคลบไฟล์จนไม่เหลือหลักฐานตรวจขอบเขต ควรใช้ถ้อยคำที่แยกข้อค้นพบจากข้อจำกัด และเก็บสำเนาหลักฐานในพื้นที่จำกัดสิทธิแทนการส่งตารางลูกค้าทั้งชุดไปมา

มองสองฝั่ง: ผู้ควบคุมข้อมูลกับผู้รับจ้างแชร์ไฟล์

การเป็นผู้รับจ้างไม่ได้ทำให้เป็นผู้ประมวลผลทุกกรณี ต้องดูอำนาจตัดสินใจและการใช้ข้อมูลจริง หากเป็นผู้ประมวลผลให้ตรวจข้อตกลงตามมาตรา 40 และหน้าที่ส่งข้อมูลเหตุละเมิดด้วย

กำหนดเวลาเริ่มเมื่อไร และปิดลิงก์แล้วนับใหม่หรือไม่?

มาตรา 37 (4) กำหนดให้แจ้งสำนักงานโดยไม่ชักช้าภายใน 72 ชั่วโมงนับแต่ทราบเหตุเท่าที่สามารถกระทำได้ เว้นแต่เข้าเงื่อนไขไม่มีความเสี่ยง ส่วนเหตุที่มีความเสี่ยงสูงต้องแจ้งเจ้าของข้อมูลพร้อมแนวทางเยียวยาโดยไม่ชักช้า การปิดลิงก์หรือมอบงานให้ผู้รับจ้างไม่ได้ทำให้เริ่มนับใหม่

ให้บันทึกว่าใครได้รับสัญญาณอะไร เวลาใด และเมื่อใดมีข้อเท็จจริงเพียงพอให้ทราบเหตุ การกำหนดเวลารับทราบต้องอธิบายได้จากเหตุการณ์จริง ไม่เลือกเวลาที่ผู้บริหารลงนามเพื่อเลื่อนกำหนด หากข้อมูลยังไม่ครบ ควรพิจารณารายงานตามข้อมูลที่มีพร้อมระบุข้อจำกัดและการติดตามเพิ่มเติมตามเกณฑ์

ตัวอย่างแผนภายในคือให้ทีมระบบรายงานสถานะการปิดสิทธิภายในสองชั่วโมง และให้ผู้รับผิดชอบตรวจความเสี่ยงซ้ำเมื่อได้บันทึกเพิ่มเติม เวลาดังกล่าวเป็นตัวอย่างการบริหารงาน ไม่ใช่ระยะเวลาที่กฎหมายกำหนดแทน 72 ชั่วโมง และไม่ใช่เหตุให้ชะลอการแก้ไขที่ทำได้ทันที

ค่าใช้จ่ายรับมือควรแยกจากเงินชดใช้อย่างไร?

ตัวอย่างงบสมมติ: ตรวจบันทึก 8 ชั่วโมง × 1,000 บาท = 8,000 บาท ปรับสิทธิและทดสอบ 4,000 บาท และจัดช่องทางช่วยเหลือ 3,000 บาท รวมงบปฏิบัติการ 15,000 บาท ตัวเลขนี้ใช้วางแผนเท่านั้น ไม่ใช่อัตราค่าบริการหรือจำนวนเงินที่เจ้าของข้อมูลมีสิทธิได้รับอัตโนมัติ

แยกบัญชีค่าแก้ระบบ ค่าใช้จ่ายลดผลกระทบ และข้อเรียกร้องชดใช้ไว้ต่างหาก ความรับผิดทางแพ่งต้องพิจารณาองค์ประกอบตามมาตรา 77–78 และหลักฐานความเสียหาย ไม่ควรคูณจำนวนรายชื่อด้วยตัวเลขชดเชยที่ไม่มีที่มาแล้วรายงานว่าเป็นหนี้ที่แน่นอน

ก่อนจ้างตรวจเพิ่มเติม ให้ระบุสิ่งส่งมอบ เช่น ช่วงเวลาบันทึกที่ตรวจ ข้อจำกัด ผลทดสอบสิทธิ และรายการสำเนาที่ยังติดตามไม่ได้ เพื่อให้บริษัททราบว่าจ่ายเงินแล้วลดความไม่แน่นอนเรื่องใด ไม่ควรซื้อเพียงหนังสือรับรองกว้าง ๆ ว่าระบบปลอดภัยทั้งหมด

หลักฐานที่ควรเก็บก่อนแก้การแชร์มีอะไรบ้าง?

• URL และรหัสไฟล์ เก็บในพื้นที่จำกัดสิทธิ ไม่ใส่ลิงก์ที่ยังเปิดได้ในรายงานวงกว้าง
• ภาพการตั้งค่าสิทธิ ระดับโฟลเดอร์ และรายชื่อกลุ่มที่ได้รับสิทธิ พร้อมวันเวลาและเขตเวลา
• ประวัติสร้างลิงก์ เปลี่ยนสิทธิ เปิดดู ดาวน์โหลด และรายการที่ระบบไม่รองรับการบันทึก
• ประเภทข้อมูล จำนวนเจ้าของข้อมูลโดยประมาณ และวิธีนับที่ไม่ปนจำนวนแถวกับจำนวนบุคคล
• หลักฐานปิดสิทธิและการทดสอบจากบัญชีที่ไม่มีอำนาจ โดยไม่ทำสำเนาข้อมูลเกินจำเป็น
• บันทึกประเมินความเสี่ยง ผู้ตัดสินใจ เหตุผลการแจ้งหรือไม่แจ้ง และจุดทบทวนครั้งถัดไป

รักษาไฟล์ต้นฉบับกับสำเนาสำหรับตรวจแยกกัน บันทึกผู้ส่งมอบและผู้เข้าถึง ใช้ค่าแฮชประกอบเมื่อเหมาะสม และหลีกเลี่ยงการแก้ไฟล์ต้นทางเพื่อทำรายงาน อ่าน รายการตรวจรายงานปิดเหตุ ก่อนรับรองว่างานติดตามสำเนาและงานป้องกันเกิดซ้ำเสร็จแล้ว

ต้องตรวจเรื่องสัญญาและคดีอื่นร่วมด้วยหรือไม่?

หากผู้รับจ้างเป็นผู้ตั้งค่าสาธารณะ ต้องตรวจขอบเขตงาน หน้าที่รักษาความลับ การแจ้งเหตุ และการชดใช้ในสัญญา โดยแยกจากหน้าที่ PDPA ของบริษัท แนวทาง กฎหมายธุรกิจและสัญญา ช่วยจัดประเด็นสิทธิเรียกร้องและหลักฐานส่งมอบงานได้

ถ้าพบการเข้าถึงหรือเอาข้อมูลไปใช้โดยมิชอบ อาจต้องประเมินกฎหมายอาญาและกฎหมายคอมพิวเตอร์ตามพฤติการณ์ ไม่กล่าวหาว่าบุคคลใดกระทำผิดจากบันทึกบัญชีเพียงรายการเดียว ดูขอบเขต งานคดีอาญา และรักษาหลักฐานก่อนติดต่อผู้เกี่ยวข้อง

ทางไปต่อ: ปิดลิงก์ ประเมินเหตุ และตรวจผลให้จบ

1. จำกัดสิทธิไฟล์และสำเนาที่ทราบ โดยเก็บหลักฐานที่จำเป็นอย่างปลอดภัย
2. รวบรวมเวลาเปิดเผย ชนิดข้อมูล ผู้ที่อาจเข้าถึง และข้อจำกัดของบันทึก
3. ตัดสินใจเรื่องการแจ้งตามความเสี่ยง พร้อมบันทึกเหตุผลและผู้รับผิดชอบ
4. ติดตามข้อมูลเพิ่ม ทบทวนข้อความแจ้ง และทดสอบการเข้าถึงหลังแก้
5. แก้รูปแบบการแชร์เริ่มต้นและตรวจงานที่คล้ายกันก่อนปิดเหตุ

ควรขอความช่วยเหลือเร็วเมื่อไม่ทราบระยะเวลาเปิดเผย พบข้อมูลอ่อนไหว มีผู้ส่งต่อภายนอก หรือกำหนดแจ้งใกล้ครบ สามารถ ติดต่อทีมงาน เพื่อหารือ บริการด้าน PDPA และ งานรับมือเหตุละเมิดข้อมูล โดยเริ่มจากรายละเอียดเหตุที่ไม่เปิดเผยข้อมูลลูกค้าเกินจำเป็น

แหล่งกฎหมาย: พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 และ ประกาศหลักเกณฑ์แจ้งเหตุละเมิด พ.ศ. 2565

ผู้เขียน นายเอกราช ทิพย์แมม คดีครอบครัว มรดก และหนี้สิน

สาขาที่เชี่ยวชาญ: ครอบครัว · มรดกและพินัยกรรม · หนี้สินและบังคับคดี

ดูประวัติทีมทนายความ →

บทความนี้เป็นความรู้กฎหมายทั่วไปเพื่อความเข้าใจเบื้องต้น ไม่ใช่คำปรึกษาทางกฎหมายเฉพาะคดี ผลทางกฎหมายขึ้นอยู่กับข้อเท็จจริง เอกสาร และพยานหลักฐานของแต่ละกรณี ควรปรึกษาทนายความเพื่อประเมินเรื่องของท่านโดยเฉพาะ