ถูก Ransomware เรียกค่าไถ่ข้อมูล ต้องแจ้งใครบ้างและเกี่ยวกับ PDPA อย่างไร

ภาพรวมหน้าที่แจ้งเหตุอยู่ที่คู่มือข้อมูลรั่วไหล 72 ชั่วโมง · เช้าวันหนึ่งพนักงานเปิดคอมพิวเตอร์แล้วพบว่าไฟล์ทั้งหมดเปิดไม่ได้ พร้อมข้อความเรียกค่าไถ่ คำถามแรกที่ผู้บริหารถามมักเป็นจ่ายดีไหมและจะกู้ข้อมูลได้เมื่อไร ซึ่งเป็นคำถามที่เข้าใจได้ แต่มีอีกคำถามที่มีกรอบเวลาบีบกว่าและมักถูกลืม คือเมื่อองค์กรถูก Ransomware แล้ว มีหน้าที่ตามกฎหมายคุ้มครองข้อมูลส่วนบุคคลที่ต้องทำภายใน 72 ชั่วโมงหรือไม่

Ransomware เกี่ยวกับ PDPA อย่างไร

ความเข้าใจผิดที่พบบ่อยที่สุดคือคิดว่าถ้าข้อมูลยังอยู่ในระบบและไม่ได้ถูกขโมยออกไป ก็ไม่ใช่เหตุละเมิด แต่ประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง หลักเกณฑ์และวิธีการในการแจ้งเหตุการละเมิดข้อมูลส่วนบุคคล พ.ศ. 2565 จำแนกการละเมิดข้อมูลส่วนบุคคลไว้สามประเภท

ประเภทการละเมิด	หมายถึง	เกิดในเหตุ Ransomware อย่างไร
ความลับ	ข้อมูลถูกเข้าถึงหรือเปิดเผยโดยปราศจากอำนาจ	ผู้โจมตีเข้าถึงระบบและอาจคัดลอกข้อมูลออกไปก่อนเข้ารหัส
ความถูกต้องครบถ้วน	ข้อมูลถูกเปลี่ยนแปลงหรือแก้ไขโดยมิชอบ	ข้อมูลถูกเข้ารหัสหรือถูกแก้ไข ทำให้ไม่อยู่ในสภาพเดิม
ความพร้อมใช้งาน	ข้อมูลสูญหายหรือใช้งานไม่ได้	องค์กรเองเข้าถึงข้อมูลไม่ได้ ทำให้ให้บริการเจ้าของข้อมูลไม่ได้

เหตุ Ransomware สมัยใหม่มักเข้าข่ายมากกว่าหนึ่งประเภท เพราะผู้โจมตีจำนวนมากใช้วิธีคัดลอกข้อมูลออกไปก่อนแล้วจึงเข้ารหัส เพื่อให้มีอำนาจต่อรองสองชั้น คือขู่ว่าจะไม่คืนข้อมูลและขู่ว่าจะเผยแพร่ องค์กรจึงประเมินเฉพาะมุมความพร้อมใช้งานอย่างเดียวไม่ได้

คำถามที่ต้องตอบให้ได้ก่อนตัดสินใจแจ้ง

การประเมินเหตุ Ransomware ยากกว่าเหตุข้อมูลรั่วทั่วไป เพราะองค์กรมักไม่รู้แน่ว่าผู้โจมตีทำอะไรไปบ้าง สิ่งที่ต้องพยายามตอบมีสี่ข้อ

1. มีการนำข้อมูลออกไปหรือไม่ ตรวจจากปริมาณข้อมูลที่ถูกส่งออกจากเครือข่ายในช่วงก่อนถูกเข้ารหัส ซึ่งเป็นหลักฐานที่หายเร็วมาก
2. ข้อมูลชุดใดได้รับผลกระทบ ระบบใดถูกเข้ารหัสบ้าง และในระบบนั้นมีข้อมูลส่วนบุคคลประเภทใดอยู่
3. องค์กรใช้ข้อมูลไม่ได้นานแค่ไหน และกระทบเจ้าของข้อมูลอย่างไร เช่น จ่ายเงินเดือนไม่ได้ ให้บริการลูกค้าไม่ได้ หรือดูประวัติการรักษาไม่ได้
4. สำเนาสำรองใช้ได้จริงหรือไม่ ซึ่งกระทบทั้งการกู้ระบบและการประเมินความร้ายแรงของผลกระทบ

ข้อ 1 เป็นข้อที่กำหนดทิศทางทั้งหมด เพราะถ้าพิสูจน์ได้ว่ามีการนำข้อมูลออกไป ความเสี่ยงต่อเจ้าของข้อมูลจะสูงขึ้นมากและมักเข้าเกณฑ์ต้องแจ้ง ในขณะที่หากพิสูจน์ได้ว่าไม่มีการนำออกและกู้ข้อมูลกลับมาได้ครบ ผลการประเมินอาจต่างออกไป · แต่ข้อควรระวังคือการพิสูจน์ว่า "ไม่มี" ยากกว่าการพิสูจน์ว่า "มี" มาก องค์กรที่ไม่มีบันทึกการเชื่อมต่อขาออกจะตอบข้อนี้ไม่ได้เลย

เลนส์ทนายยอดทิพย์ธรรม

คนทั่วไปมักเข้าใจว่า… ถ้ากู้ข้อมูลกลับมาได้จากสำเนาสำรองโดยไม่ต้องจ่ายค่าไถ่ ก็ถือว่าจบ ไม่ต้องแจ้งใคร เพราะไม่มีความเสียหายเหลืออยู่

แต่ในทางคดี กฎหมายและศาลมักมองว่า… การกู้ข้อมูลได้เป็นมาตรการเยียวยาที่มีน้ำหนักในการประเมิน แต่ไม่ได้ทำให้เหตุละเมิดที่เกิดขึ้นแล้วหายไป เพราะการที่ผู้โจมตีเข้าถึงระบบได้ในตอนแรกคือตัวเหตุ และคำถามว่าเขาเห็นหรือเอาอะไรไปบ้างยังคงต้องตอบ

จุดเสี่ยงจริงอยู่ตรงนี้… องค์กรที่กู้ระบบสำเร็จมักหยุดสอบสวนทันทีเพราะธุรกิจกลับมาเดินแล้ว ทำให้ไม่มีใครตอบได้ว่ามีการนำข้อมูลออกไปหรือไม่ และเมื่อข้อมูลไปปรากฏบนอินเทอร์เน็ตในอีกสามเดือนต่อมา องค์กรจะอยู่ในสถานะที่แย่มาก เพราะดูเหมือนรู้แล้วไม่แจ้ง

ทางเลือกที่ควรทำต่อคือ… แยกงานเป็นสองสาย สายกู้ระบบให้ธุรกิจเดินต่อ กับสายตรวจสอบว่ามีการนำข้อมูลออกไปหรือไม่ โดยสายที่สองต้องเริ่มพร้อมกันไม่ใช่หลังจากนั้น และต้องรักษาบันทึกการเชื่อมต่อขาออกไว้ก่อนที่จะถูกเขียนทับ

จ่ายค่าไถ่หรือไม่จ่าย เกี่ยวอะไรกับหน้าที่ตามกฎหมาย

การตัดสินใจเรื่องจ่ายค่าไถ่เป็นการตัดสินใจทางธุรกิจและความเสี่ยงที่ต้องพิจารณาหลายด้าน แต่ในมุมของหน้าที่ตามกฎหมายคุ้มครองข้อมูลส่วนบุคคล มีสามข้อที่ควรเข้าใจให้ตรงกัน

• การจ่ายหรือไม่จ่ายไม่ได้เปลี่ยนหน้าที่แจ้งเหตุ เพราะหน้าที่เกิดจากการที่มีเหตุละเมิดและมีความเสี่ยง ไม่ได้เกิดจากผลของการเจรจา
• การจ่ายไม่ได้รับประกันว่าข้อมูลจะไม่ถูกเผยแพร่ องค์กรจึงยังต้องประเมินความเสี่ยงต่อเจ้าของข้อมูลตามความเป็นจริง ไม่ใช่ตามคำสัญญาของผู้โจมตี
• การจ่ายค่าไถ่อาจมีประเด็นทางกฎหมายอื่นที่ต้องพิจารณา ซึ่งแตกต่างกันตามข้อเท็จจริงและประเภทขององค์กร ควรปรึกษาทนายก่อนตัดสินใจ ไม่ใช่หลังจากโอนเงินไปแล้ว

ข้อผิดพลาดที่พบบ่อยคือองค์กรใช้เวลาสองวันแรกไปกับการเจรจาและตัดสินใจเรื่องค่าไถ่ทั้งหมด แล้วเพิ่งมานึกถึงหน้าที่แจ้งเหตุในวันที่สาม ซึ่งเป็นวันที่กรอบ 72 ชั่วโมงกำลังจะครบพอดี

ปลายทางถ้าพลาด

1. หากเข้าเกณฑ์ต้องแจ้งแต่ไม่ได้แจ้งภายใน 72 ชั่วโมงนับแต่ทราบเหตุ จะเป็นประเด็นตามมาตรา 37 (4)
2. หากเหตุสะท้อนว่ามาตรการรักษาความมั่นคงปลอดภัยไม่เหมาะสม เช่น ไม่มีการแบ่งแยกเครือข่าย ไม่มีสำเนาสำรองที่แยกจากระบบหลัก หรือไม่ได้อัปเดตแพตช์ที่รู้กันทั่วไป จะเป็นอีกประเด็นตามมาตรา 37 (1)
3. คณะกรรมการผู้เชี่ยวชาญพิจารณาว่าจะสั่งให้แก้ไข ตักเตือน หรือลงโทษปรับ โดยดูปัจจัยตามที่ประกาศกำหนด ซึ่งรวมถึงลักษณะของระบบเก็บข้อมูลและมาตรการที่มีอยู่ในขณะเกิดเหตุ
4. หากข้อมูลถูกเผยแพร่ในภายหลัง องค์กรที่เคยสรุปว่าไม่มีการนำข้อมูลออกโดยไม่มีหลักฐานรองรับ จะอธิบายได้ยากมาก
5. เจ้าของข้อมูลยังฟ้องแพ่งเรียกค่าสินไหมทดแทนได้อีกทางหนึ่ง
6. และหากองค์กรอยู่ในประเภทที่มีกฎหมายอื่นกำหนดหน้าที่แจ้งเหตุไว้ต่างหาก เช่น กฎหมายเฉพาะของอุตสาหกรรมหรือกฎหมายว่าด้วยความมั่นคงปลอดภัยไซเบอร์ ก็อาจมีหน้าที่แจ้งหน่วยงานอื่นเพิ่มเติมด้วย ซึ่งต้องประเมินตามประเภทองค์กรเป็นรายกรณี

หลักฐานที่ต้องเก็บ

• วันเวลาที่ทราบเหตุ และผู้ที่พบเหตุคนแรก
• บันทึกการเชื่อมต่อขาออกในช่วงก่อนถูกเข้ารหัส ซึ่งเป็นหลักฐานหลักในการตอบว่ามีการนำข้อมูลออกหรือไม่
• รายการระบบที่ถูกเข้ารหัส และประเภทข้อมูลส่วนบุคคลที่อยู่ในระบบเหล่านั้น
• ข้อความเรียกค่าไถ่และการติดต่อทั้งหมดกับผู้โจมตี ถ้ามี
• สถานะและผลการทดสอบสำเนาสำรอง ว่ากู้ได้ครบหรือไม่
• ไทม์ไลน์การกู้ระบบ และช่วงเวลาที่องค์กรใช้ข้อมูลไม่ได้
• หลักฐานมาตรการที่มีอยู่ก่อนเกิดเหตุ เช่น การแบ่งแยกเครือข่าย นโยบายสำเนาสำรอง และบันทึกการอัปเดตระบบ
• เอกสารประเมินความเสี่ยงพร้อมข้อสรุปว่าจะแจ้งหรือไม่แจ้ง และเพราะเหตุใด

ถ้าเป็นฝ่ายองค์กร ต้องทำอะไรบ้าง

• แยกทีมกู้ระบบออกจากทีมตรวจสอบขอบเขต และให้ทั้งสองทีมเริ่มพร้อมกัน
• รักษาบันทึกการเชื่อมต่อขาออกทันที ก่อนที่จะถูกเขียนทับ
• อย่าเพิ่งล้างเครื่องหรือติดตั้งใหม่จนกว่าจะสำเนาหลักฐานออกมาเก็บแยก
• ตรวจว่าสำเนาสำรองแยกจากระบบหลักจริงหรือไม่ และถูกเข้ารหัสไปด้วยหรือเปล่า
• เริ่มนับกรอบ 72 ชั่วโมงตั้งแต่ทราบเหตุ ไม่ใช่ตั้งแต่กู้ระบบเสร็จ
• ประเมินว่ามีข้อมูลอ่อนไหวอยู่ในระบบที่ถูกกระทบหรือไม่
• ตรวจว่าองค์กรอยู่ในประเภทที่มีกฎหมายอื่นกำหนดหน้าที่แจ้งเพิ่มเติมหรือไม่
• เตรียมการสื่อสารภายในก่อน เพราะข่าวลักษณะนี้รั่วออกนอกองค์กรเร็วมาก

อีกฝ่ายอาจโต้แย้งอย่างไร

• "สรุปว่าไม่มีการนำข้อมูลออกโดยไม่มีหลักฐาน" — เป็นข้อโต้แย้งที่หนักที่สุด โดยเฉพาะเมื่อข้อมูลไปปรากฏภายหลัง
• "มัวแต่เจรจาค่าไถ่จนเลยกรอบเวลา" — เทียบวันที่ทราบเหตุกับวันที่แจ้ง ซึ่งตรวจสอบได้ตรง ๆ
• "สำเนาสำรองอยู่ในเครือข่ายเดียวกันจึงถูกเข้ารหัสไปด้วย" — เป็นประเด็นเรื่องความเหมาะสมของมาตรการที่อธิบายยาก
• "รู้ว่ามีช่องโหว่แต่ไม่ได้อัปเดต" — เมื่อช่องทางที่ถูกใช้เจาะเป็นช่องโหว่ที่มีการแจ้งเตือนมาก่อนแล้ว
• "ไม่ได้แจ้งเจ้าของข้อมูลทั้งที่กระทบการให้บริการหลายวัน" — โดยเฉพาะเมื่อผู้ได้รับผลกระทบเป็นกลุ่มเปราะบาง

ถ้าเกิดเหตุวันนี้ ควรทำอะไรตามลำดับ

1. บันทึกเวลาที่ทราบเหตุ แล้วแยกระบบที่ถูกกระทบออกจากเครือข่าย (ดูเช็กลิสต์ 6 ชั่วโมงแรก)
2. ออกคำสั่งหยุดทำลายและหยุดเขียนทับข้อมูล โดยเน้นบันทึกการเชื่อมต่อขาออกเป็นอันดับแรก
3. ตั้งสองทีมพร้อมกัน คือทีมกู้ระบบและทีมตรวจสอบขอบเขต
4. ระบุว่าระบบใดถูกกระทบและมีข้อมูลส่วนบุคคลประเภทใดอยู่
5. ประเมินความเสี่ยงตามปัจจัยที่ประกาศกำหนด โดยประเมินทั้งมุมข้อมูลถูกนำออกและมุมความพร้อมใช้งาน
6. ให้ทนายประเมินหน้าที่แจ้งเหตุตาม PDPA และตรวจว่ามีหน้าที่ตามกฎหมายอื่นเพิ่มเติมหรือไม่ ก่อนที่จะตัดสินใจเรื่องค่าไถ่

กรณีแบบไหนที่ควรปรึกษาทนายทันที

• พบข้อความเรียกค่าไถ่ และยังไม่ได้ตัดสินใจว่าจะทำอย่างไร
• ไม่สามารถระบุได้ว่ามีการนำข้อมูลออกไปหรือไม่
• ระบบที่ถูกเข้ารหัสมีข้อมูลอ่อนไหวหรือข้อมูลจำนวนมาก
• สำเนาสำรองถูกเข้ารหัสไปด้วยหรือกู้ไม่ได้
• องค์กรใช้ข้อมูลไม่ได้จนกระทบการให้บริการเจ้าของข้อมูลหลายวัน
• ผู้โจมตีติดต่อมาโดยตรงหรือเริ่มข่มขู่ว่าจะเผยแพร่ข้อมูล
• องค์กรอยู่ในอุตสาหกรรมที่อาจมีกฎหมายเฉพาะกำหนดหน้าที่แจ้งเหตุไว้ต่างหาก

สำนักงานกฎหมายยอดทิพย์ธรรม ช่วยอะไรได้บ้าง

บริการประเมินเหตุข้อมูลรั่วไหลเร่งด่วน ในงานที่ปรึกษากฎหมาย PDPA สำหรับองค์กร ของเรา เข้าไปช่วยตั้งหลักในชั่วโมงแรก คือกำหนดว่าต้องรักษาหลักฐานอะไรก่อน ประเมินว่าเหตุนี้เข้าข่ายการละเมิดประเภทใด และตรวจว่ามีหน้าที่แจ้งตามกฎหมายอื่นเพิ่มเติมหรือไม่ตามประเภทขององค์กร

เราสื่อสารตรงไปตรงมาและจะแยกให้ชัดว่าเรื่องใดเป็นการตัดสินใจทางกฎหมายที่มีกรอบเวลาบังคับ กับเรื่องใดเป็นการตัดสินใจทางธุรกิจที่องค์กรเลือกได้ เพราะในสถานการณ์กดดัน สองเรื่องนี้มักถูกปนกันจนตัดสินใจผิดลำดับ

สรุป

เมื่อองค์กรถูก Ransomware ต้องเลิกคิดว่าถ้าข้อมูลไม่ถูกขโมยก็ไม่ใช่เหตุละเมิด เพราะการที่ข้อมูลถูกเข้ารหัสจนใช้ไม่ได้เข้าข่ายการละเมิดความพร้อมใช้งาน และเหตุลักษณะนี้มักเข้าข่ายหลายประเภทพร้อมกัน

สิ่งที่ต้องทำคู่ขนานกับการกู้ระบบคือการตอบให้ได้ว่ามีการนำข้อมูลออกไปหรือไม่ ซึ่งต้องอาศัยบันทึกการเชื่อมต่อขาออกที่หายเร็วมาก และนาฬิกา 72 ชั่วโมงเริ่มเดินตั้งแต่ทราบเหตุ ไม่ใช่ตั้งแต่กู้ข้อมูลสำเร็จ องค์กรที่ใช้สองวันแรกไปกับการเจรจาค่าไถ่ทั้งหมด จึงมักเหลือเวลาไม่พอสำหรับหน้าที่ที่กฎหมายกำหนด

หากคุณกำลังเจอปัญหาลักษณะนี้ ปรึกษาทีมทนายของสำนักงานกฎหมายยอดทิพย์ธรรม โทร 081-327-8551 | LINE @995iqtpa หรือนัดหมายปรึกษาที่นี่

ข้อกฎหมายที่เกี่ยวข้อง

• ประกาศ กคส. เรื่อง หลักเกณฑ์และวิธีการในการแจ้งเหตุการละเมิดข้อมูลส่วนบุคคล พ.ศ. 2565 · ประเภทของการละเมิด — จำแนกเป็นการละเมิดความลับของข้อมูล การละเมิดความถูกต้องครบถ้วน และการละเมิดความพร้อมใช้งานของข้อมูลส่วนบุคคล
• ประกาศฯ · นิยาม — การละเมิดครอบคลุมถึงการสูญหาย เข้าถึง ใช้ เปลี่ยนแปลง แก้ไข หรือเปิดเผยข้อมูลโดยปราศจากอำนาจหรือโดยมิชอบ ไม่ว่าเกิดจากการกระทำความผิดเกี่ยวกับคอมพิวเตอร์ ภัยคุกคามทางไซเบอร์ หรือเหตุอื่นใด
• ประกาศฯ · ปัจจัยประเมินความเสี่ยง — รวมถึงลักษณะและประเภทของการละเมิด ประเภทและปริมาณข้อมูล ความร้ายแรงของผลกระทบ ประสิทธิภาพของมาตรการเยียวยา และลักษณะของระบบเก็บข้อมูลกับมาตรการที่มีอยู่
• พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 มาตรา 37 (4) — แจ้งเหตุแก่สำนักงานฯ ภายใน 72 ชั่วโมงนับแต่ทราบเหตุ เว้นแต่ไม่มีความเสี่ยงที่จะมีผลกระทบต่อสิทธิและเสรีภาพของบุคคล และหากมีความเสี่ยงสูง ต้องแจ้งเจ้าของข้อมูลพร้อมแนวทางเยียวยาโดยไม่ชักช้า
• มาตรา 37 (1) — หน้าที่จัดให้มีมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสม ซึ่งครอบคลุมถึงการมีสำเนาสำรองที่แยกจากระบบหลักและการจัดการช่องโหว่
• ⚠️ องค์กรบางประเภทอาจมีหน้าที่แจ้งเหตุตามกฎหมายอื่นเพิ่มเติมแยกต่างหากจาก PDPA เช่น กฎหมายว่าด้วยการรักษาความมั่นคงปลอดภัยไซเบอร์หรือกฎหมายเฉพาะของอุตสาหกรรมนั้น บทความนี้ไม่ได้ระบุรายละเอียดเพราะขึ้นอยู่กับประเภทองค์กร ควรตรวจสอบและปรึกษาทนายเป็นรายกรณี
• ⚠️ ประเด็นการจ่ายค่าไถ่อาจเกี่ยวข้องกับกฎหมายอื่น ควรปรึกษาทนายก่อนตัดสินใจ

คำถามที่พบบ่อย

กู้ข้อมูลกลับมาได้จากสำเนาสำรอง ยังต้องแจ้งเหตุไหม

ต้องประเมินก่อน ไม่ใช่สรุปว่าไม่ต้องแจ้งโดยอัตโนมัติ เพราะการกู้ข้อมูลได้เป็นมาตรการเยียวยาที่มีน้ำหนักในการประเมินความเสี่ยง แต่ไม่ได้ลบเหตุที่เกิดขึ้นแล้ว คำถามที่ยังต้องตอบคือผู้โจมตีเข้าถึงข้อมูลอะไรได้บ้างและมีการนำข้อมูลออกไปหรือไม่ หากตอบไม่ได้เพราะไม่มีบันทึก ก็จะประเมินว่าไม่มีความเสี่ยงได้ยาก และไม่ว่าผลจะออกทางใด ต้องบันทึกการประเมินไว้เสมอ

จ่ายค่าไถ่แล้วผู้โจมตีบอกว่าลบข้อมูลให้แล้ว ถือว่าปลอดภัยไหม

คำยืนยันจากผู้โจมตีไม่ใช่หลักฐานที่พิสูจน์ได้ และองค์กรไม่มีทางตรวจสอบว่าข้อมูลถูกลบจริงหรือถูกเก็บสำเนาไว้ การประเมินความเสี่ยงต่อเจ้าของข้อมูลจึงต้องทำตามความเป็นจริงของสถานการณ์ ไม่ใช่ตามคำสัญญาของผู้โจมตี นอกจากนี้การจ่ายหรือไม่จ่ายไม่ได้เปลี่ยนหน้าที่แจ้งเหตุตามกฎหมาย ซึ่งเกิดจากการมีเหตุละเมิดและมีความเสี่ยง ควรปรึกษาทนายก่อนตัดสินใจเรื่องการจ่าย

ต้องแจ้งหน่วยงานอื่นนอกจากสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลไหม

ขึ้นอยู่กับประเภทขององค์กรและลักษณะของเหตุ องค์กรบางประเภทอาจมีหน้าที่แจ้งตามกฎหมายอื่นเพิ่มเติม เช่น กฎหมายว่าด้วยการรักษาความมั่นคงปลอดภัยไซเบอร์หรือกฎหมายเฉพาะของอุตสาหกรรม ซึ่งเป็นหน้าที่ที่แยกต่างหากและอาจมีกรอบเวลาต่างกัน องค์กรจึงควรตรวจสอบตั้งแต่ชั่วโมงแรกว่าตนอยู่ในข่ายที่มีหน้าที่เพิ่มเติมหรือไม่ และควรปรึกษาทนายเพื่อประเมินเป็นรายกรณี

นับ 72 ชั่วโมงจากตอนที่กู้ระบบเสร็จหรือตอนที่พบเหตุ

นับจากตอนที่ทราบเหตุ ไม่ใช่ตอนที่กู้ระบบเสร็จหรือตอนที่ทราบขอบเขตความเสียหายครบถ้วน มาตรา 37 (4) ใช้ถ้อยคำว่านับแต่ทราบเหตุเท่าที่จะสามารถกระทำได้ ซึ่งเปิดช่องให้แจ้งด้วยข้อมูลเท่าที่มีก่อนแล้วแจ้งเพิ่มเติมภายหลัง องค์กรที่รอจนกู้ระบบเสร็จและสอบสวนครบถ้วนจึงมักเลยกรอบเวลา โดยเฉพาะเหตุ Ransomware ที่ใช้เวลากู้หลายวัน

อ่านต่อ: ข้อมูลรั่วไหลและการแจ้งเหตุ 72 ชั่วโมง

• พนักงานทำโน้ตบุ๊กหายหรือส่งไฟล์เงินเดือนผิดกลุ่ม องค์กรต้องทำอะไร
• ต้องแจ้งเจ้าของข้อมูลเมื่อใด และเขียนคำแจ้งอย่างไรไม่ให้กลายเป็นหลักฐานมัดตัว
• แบบฟอร์มบันทึกเหตุข้อมูลรั่วไหลที่ใช้ยันได้จริงในชั้นชี้แจง มี 7 ส่วน
• ซ้อมรับมือเหตุข้อมูลรั่ว ผู้บริหาร HR ไอที และกฎหมาย ต้องซ้อมอะไรบ้าง
• ส่งอีเมลผิดคนหรือแนบไฟล์ผิด ถือเป็นเหตุละเมิดข้อมูลที่ต้องแจ้งหรือไม่
• รายงานเหตุข้อมูลรั่วเพิ่มเติม เมื่อพบข้อมูลใหม่ต้องทำอย่างไร

ดูบทความ PDPA ทั้งหมดแยกตามสถานการณ์

ผู้เขียน นายเอกราช ทิพย์แมม คดีครอบครัว มรดก หนี้สิน และ PDPA

สาขาที่เชี่ยวชาญ: ครอบครัว · มรดกและพินัยกรรม · หนี้สินและบังคับคดี · คุ้มครองข้อมูลส่วนบุคคล (PDPA)

ดูประวัติและช่องทางติดต่อผู้เขียน →

บทความนี้เป็นความรู้กฎหมายทั่วไปเพื่อความเข้าใจเบื้องต้น ไม่ใช่คำปรึกษาทางกฎหมายเฉพาะคดี ผลทางกฎหมายขึ้นอยู่กับข้อเท็จจริง เอกสาร และพยานหลักฐานของแต่ละกรณี ควรปรึกษาทนายความเพื่อประเมินเรื่องของท่านโดยเฉพาะ