ส่งไฟล์ข้อมูลผ่าน LINE ผิด PDPA ไหม ถอดบทเรียนคดีที่ถูกสั่งปรับ 335,000 บาท

คำถามที่ฝ่ายไอทีและ HR ถามบ่อยที่สุดข้อหนึ่งคือ องค์กรส่งไฟล์ผ่าน LINE กันทุกวัน ทั้งไฟล์รายชื่อพนักงาน ไฟล์เงินเดือน ไฟล์ข้อมูลลูกค้า แบบนี้ผิด PDPA หรือเปล่า คำตอบสั้น ๆ คือช่องทางไม่ใช่สิ่งที่ผิด แต่การไม่มีมาตรการรองรับต่างหากที่ผิด และเรื่องนี้ไม่ใช่การตีความในทางทฤษฎีอีกต่อไป เพราะมีคำสั่งลงโทษปรับจริงที่ตั้งอยู่บนพฤติการณ์แบบนี้แล้ว

กฎหมายเขียนว่าอย่างไร

มาตรา 37 (1) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 กำหนดหน้าที่ของผู้ควบคุมข้อมูลส่วนบุคคลให้จัดให้มีมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสม เพื่อป้องกันการสูญหาย เข้าถึง ใช้ เปลี่ยนแปลง แก้ไข หรือเปิดเผยข้อมูลส่วนบุคคลโดยปราศจากอำนาจหรือโดยมิชอบ

ส่วนหน้าที่แจ้งเหตุเมื่อข้อมูลรั่วแล้ว อ่านได้ที่คู่มือแจ้งเหตุข้อมูลรั่วไหลภายใน 72 ชั่วโมง · ขอให้สังเกตว่ากฎหมายไม่ได้ระบุเทคโนโลยีหรือแอปพลิเคชันใดเป็นการเฉพาะ คำที่ใช้คือ "เหมาะสม" ซึ่งแปลว่าต้องเหมาะสมกับความเสี่ยงของข้อมูลชุดนั้น ไฟล์รายชื่อพร้อมเลขบัตรประจำตัวประชาชนสองหมื่นรายกับไฟล์ตารางเวรของทีมสิบคน จึงไม่ได้ต้องการมาตรการระดับเดียวกัน

ผลที่ตามมาคือ คำถามที่ถูกต้องไม่ใช่ "ส่งทาง LINE ได้ไหม" แต่คือ "ข้อมูลชุดนี้ความเสี่ยงระดับไหน และมาตรการที่มีอยู่รองรับความเสี่ยงระดับนั้นหรือยัง"

คดีที่ถูกสั่งปรับจริง เกิดอะไรขึ้น

กรณีนี้เป็นเรื่องที่คณะกรรมการผู้เชี่ยวชาญมีคำสั่งลงโทษปรับหน่วยงานรัฐแห่งหนึ่งในฐานะผู้ควบคุมข้อมูลส่วนบุคคล จากเหตุที่ข้อมูลรายชื่อผู้ได้รับเลือกในกระบวนการคัดเลือกระดับอำเภอรั่วไหลออกสู่สาธารณะ

ประเด็น	ข้อเท็จจริงตามที่ปรากฏในคำสั่ง
ข้อมูลที่รั่วไหล	รายชื่อผู้ได้รับเลือกระดับอำเภอ จำนวน 23,645 รายชื่อ ประกอบด้วยคำนำหน้านาม ชื่อ-นามสกุล หมายเลขบัตรประจำตัวประชาชน ชื่อกลุ่ม รหัสกลุ่ม อำเภอหรือเขต และจังหวัด
ช่องทางที่รั่ว	ไฟล์ข้อมูลถูกส่งต่อผ่านแอปพลิเคชัน LINE และมีการเผยแพร่ต่อไปยังเว็บไซต์สื่อมวลชน
เหตุที่ทำให้ต้องส่งทางแชท	ระบบบริหารจัดการมีอุปสรรคในการดำเนินการ หน่วยงานจึงต้องขอข้อมูลในรูปแบบ PDF และ Excel ทุกวันผ่านแอปพลิเคชัน
มาตรการที่มีอยู่จริง	ไม่มีการตกลงหรือกำหนดมาตรการรักษาความปลอดภัยในการรับส่งข้อมูลผ่านแอปอย่างเป็นทางการ มีเพียงการกำชับด้วยวาจาหรือใช้ความระมัดระวังส่วนบุคคล ไม่มีการเข้ารหัสไฟล์หรือกำหนดสิทธิเข้าถึง
ประเด็นที่ 1	มาตรการรักษาความมั่นคงปลอดภัยไม่เหมาะสม ตามมาตรา 37 (1) → สั่งปรับ 335,000 บาท
ประเด็นที่ 2	แจ้งเหตุละเมิดล่าช้า ตามมาตรา 37 (4) — ทราบเหตุช่วงวันที่ 10–11 มิถุนายน 2567 แต่แจ้งอย่างเป็นทางการวันที่ 21 มิถุนายน 2567 ซึ่งเกิน 72 ชั่วโมง → ว่ากล่าวตักเตือน
เหตุที่ลดหย่อนโทษประเด็นที่ 2	เห็นว่าหน่วยงานไม่ได้เพิกเฉย มีการระงับเหตุทันที และให้ความร่วมมือในการสอบสวนเป็นอย่างดี
คำสั่งให้แก้ไข	กำหนดมาตรการรักษาความมั่นคงปลอดภัย · กำหนดแนวปฏิบัติเรื่องการส่งต่อเอกสารข้อมูลส่วนบุคคลผ่านสื่อสังคมออนไลน์อย่างเป็นทางการ · กำชับเจ้าหน้าที่และรายงานผลภายใน 30 วัน

ข้อเท็จจริงข้างต้นสรุปจากรายงานที่เผยแพร่โดยผู้ได้รับสำเนาคำสั่ง ควรตรวจสอบกับคำสั่งต้นฉบับก่อนนำไปอ้างอิงในกรณีจริง

บทเรียน 5 ข้อที่ถอดได้จากคดีนี้

หนึ่ง "กำชับด้วยวาจา" ไม่ถือเป็นมาตรการ จุดนี้คือหัวใจของคดี หน่วยงานไม่ได้ปล่อยปละละเลย มีการเตือนกันอยู่ แต่เมื่อไม่มีเอกสารกำหนดแนวปฏิบัติอย่างเป็นทางการ ก็ไม่มีอะไรให้ยกขึ้นแสดงว่ามีมาตรการ ในชั้นชี้แจง สิ่งที่พิสูจน์ไม่ได้เท่ากับไม่มี

สอง เหตุการณ์เดียวแตกเป็นสองฐานความผิด ฐานแรกคือมาตรการไม่เหมาะสม ฐานที่สองคือแจ้งเหตุล่าช้า และทั้งสองฐานถูกพิจารณาแยกกัน โดยฐานแรกได้รับโทษปรับ ส่วนฐานที่สองได้รับเพียงตักเตือน องค์กรที่คิดว่า "เกิดเหตุครั้งเดียวก็ผิดข้อเดียว" จึงประเมินความเสี่ยงต่ำกว่าความจริง

สาม การระงับเหตุทันทีและให้ความร่วมมือ มีผลจริงต่อโทษ ประเด็นที่สองได้รับเพียงตักเตือนแทนการปรับ ด้วยเหตุผลว่าหน่วยงานไม่ได้เพิกเฉย ระงับเหตุทันที และให้ความร่วมมือในการสอบสวนเป็นอย่างดี ซึ่งสอดคล้องกับปัจจัยเรื่องการเยียวยาและบรรเทาความเสียหายที่กำหนดไว้ในประกาศหลักเกณฑ์การพิจารณาออกคำสั่งลงโทษปรับ พ.ศ. 2565

สี่ ข้อจำกัดของระบบไม่ใช่ข้อแก้ตัว เหตุที่เจ้าหน้าที่ต้องส่งไฟล์ผ่านแชทคือระบบหลักมีอุปสรรคในการใช้งาน ซึ่งเป็นเหตุผลที่เข้าใจได้ในทางปฏิบัติ แต่ไม่ได้ทำให้หน้าที่ตามมาตรา 37 (1) หายไป องค์กรที่รู้ว่าพนักงานเลี่ยงระบบเพราะระบบใช้ยาก จึงมีหน้าที่ต้องจัดการเรื่องนี้ ไม่ใช่ปล่อยไว้

ห้า ความเสี่ยงไม่ได้จบที่คนที่ส่ง ไฟล์ถูกส่งต่อจากแชทออกไปสู่เว็บไซต์สื่อ ซึ่งเป็นธรรมชาติของไฟล์ที่หลุดจากการควบคุมแล้ว การประเมินความเสี่ยงจึงต้องคิดถึงการส่งต่อชั้นที่สองและสามด้วย ไม่ใช่คิดแค่ผู้รับคนแรก

เลนส์ทนายยอดทิพย์ธรรม

คนทั่วไปมักเข้าใจว่า… ถ้าห้ามส่งไฟล์ทาง LINE ได้ก็จบ ปัญหาคือห้ามแล้วงานไม่เดิน สุดท้ายก็กลับมาส่งเหมือนเดิม

แต่ในทางคดี กฎหมายและศาลมักมองว่า… สิ่งที่ถูกวัดไม่ใช่ว่าองค์กรห้ามหรือไม่ห้าม แต่คือองค์กรตัดสินใจอย่างมีหลักเกณฑ์และบันทึกไว้หรือไม่ องค์กรที่อนุญาตให้ส่งได้ภายใต้เงื่อนไขที่เขียนไว้ชัด อยู่ในตำแหน่งที่ดีกว่าองค์กรที่ห้ามบนกระดาษแต่ทุกคนทำกันจริง

จุดเสี่ยงจริงอยู่ตรงนี้… ไม่ได้อยู่ที่แอปพลิเคชัน แต่อยู่ที่สามอย่าง — ไม่มีเอกสารกำหนดแนวปฏิบัติ ไม่มีการแยกระดับความอ่อนไหวของข้อมูล และไม่มีหลักฐานว่าเคยสื่อสารเรื่องนี้กับพนักงานเป็นลายลักษณ์อักษร

ทางเลือกที่ควรทำต่อคือ… เขียนแนวปฏิบัติหนึ่งหน้าที่ระบุว่าข้อมูลประเภทใดห้ามส่งผ่านแชทเด็ดขาด ประเภทใดส่งได้เมื่อเข้ารหัสหรือใส่รหัสผ่าน และประเภทใดส่งได้ตามปกติ แล้วแจ้งพนักงานพร้อมเก็บหลักฐานการแจ้ง เท่านี้ก็เปลี่ยนสถานะขององค์กรจาก "ไม่มีมาตรการ" เป็น "มีมาตรการ" ได้แล้ว

ปลายทางถ้าพลาด

เส้นทางของเรื่องแบบนี้ โดยหลักเดินตามลำดับ คือมีผู้ร้องเรียนหรือมีการตรวจพบ จากนั้นคณะกรรมการผู้เชี่ยวชาญเรียกให้ชี้แจง แล้วพิจารณาว่าจะสั่งให้แก้ไขหรือตักเตือนก่อน หรือจะสั่งลงโทษปรับ ตามความร้ายแรงของพฤติการณ์และปัจจัยอื่นที่ประกาศกำหนด

สิ่งที่องค์กรควรเตรียมใจคือ คำสั่งไม่ได้มีแค่ค่าปรับ แต่มักมีคำสั่งให้แก้ไขพ่วงมาด้วย พร้อมกำหนดเวลารายงานผล ซึ่งในคดีนี้คือภายใน 30 วัน คำสั่งให้แก้ไขนี้เองที่สร้างภาระงานจริงหลังจบเรื่อง และหากไม่ปฏิบัติตาม ก็กลายเป็นเหตุใหม่ได้อีก

ส่วนกรณีที่ข้อมูลรั่วนั้นกระทบเจ้าของข้อมูลจำนวนมาก ยังมีความเป็นไปได้ที่จะมีการเรียกค่าสินไหมทดแทนทางแพ่งตามมาอีกทางหนึ่ง ซึ่งเป็นคนละส่วนกับค่าปรับทางปกครอง

หลักฐานที่ต้องเก็บ

• เอกสารแนวปฏิบัติเรื่องการส่งข้อมูลผ่านช่องทางสื่อสารออนไลน์ พร้อมวันที่ประกาศใช้
• หลักฐานการแจ้งหรืออบรมพนักงานเรื่องแนวปฏิบัตินี้ พร้อมรายชื่อผู้รับทราบ
• การจัดชั้นความอ่อนไหวของข้อมูล ว่าข้อมูลประเภทใดอยู่ชั้นใด
• หลักฐานว่ามีช่องทางที่ปลอดภัยให้ใช้จริง เช่น ระบบแชร์ไฟล์ภายในหรือระบบใส่รหัสผ่าน
• บันทึกเหตุผลกรณีที่ยอมให้ส่งผ่านแชทเป็นการชั่วคราว พร้อมเงื่อนไขที่กำหนด
• บันทึกไทม์ไลน์ตั้งแต่นาทีที่ทราบเหตุ หากเกิดเหตุขึ้นจริง

ถ้าเป็นฝ่ายองค์กร ต้องเช็กอะไรบ้าง

• ตอนนี้พนักงานส่งไฟล์อะไรผ่านแชทกันบ้าง และไฟล์ไหนมีเลขบัตรประจำตัวประชาชนอยู่
• มีเอกสารแนวปฏิบัติเรื่องนี้หรือยัง หรือมีแต่การกำชับด้วยวาจา
• ถ้าห้ามส่งผ่านแชท มีช่องทางอื่นที่ใช้งานได้จริงและเร็วพอหรือไม่
• ไฟล์ที่ส่งออกไปมีการใส่รหัสผ่านหรือเข้ารหัสหรือไม่ และรหัสผ่านส่งไปช่องทางเดียวกันหรือเปล่า
• กลุ่มแชทที่ใช้ส่งไฟล์ มีใครอยู่บ้าง และเคยทบทวนรายชื่อครั้งล่าสุดเมื่อไร
• เมื่อพนักงานลาออก มีการนำออกจากกลุ่มแชททันทีหรือไม่
• องค์กรรู้หรือไม่ว่าถ้าเกิดเหตุ ใครมีหน้าที่ประเมินและใครมีอำนาจตัดสินใจแจ้งเหตุ

อีกฝ่ายอาจโต้แย้งอย่างไร

• "มีนโยบายอยู่แล้ว" — จะถูกถามกลับว่าประกาศใช้เมื่อไร แจ้งใครบ้าง และมีหลักฐานการแจ้งหรือไม่
• "ระบบหลักใช้งานไม่ได้ จำเป็นต้องส่งทางแชท" — ข้อจำกัดของระบบไม่ทำให้หน้าที่ตามมาตรา 37 หายไป และการรู้ปัญหาแล้วไม่แก้ กลับกลายเป็นน้ำหนักในทางลบ
• "เป็นความผิดส่วนตัวของพนักงาน" — องค์กรในฐานะผู้ควบคุมข้อมูลยังมีหน้าที่จัดให้มีมาตรการ การโยนไปที่พนักงานจึงไม่ตัดความรับผิดขององค์กร
• "ข้อมูลไม่อ่อนไหว แค่ชื่อกับที่อยู่" — เมื่อมีเลขบัตรประจำตัวประชาชนรวมอยู่ด้วย ความเสี่ยงต่อการสวมรอยเปลี่ยนไปทันที
• "รู้เหตุแล้วรีบแก้" — จะถูกเทียบกับวันที่แจ้งเหตุอย่างเป็นทางการ ซึ่งเป็นคนละเรื่องกับการแก้ไขภายใน

ก่อนตัดสินใจ ควรทำอะไรตามลำดับ

1. สำรวจก่อนว่าตอนนี้มีการส่งข้อมูลอะไรผ่านแชทบ้าง โดยถามหน้างานจริง ไม่ใช่ถามจากนโยบาย
2. จัดชั้นข้อมูลเป็นสามระดับ คือห้ามส่งเด็ดขาด ส่งได้เมื่อมีการป้องกัน และส่งได้ตามปกติ
3. เขียนแนวปฏิบัติหนึ่งหน้าที่พนักงานอ่านแล้วทำตามได้ทันที ไม่ใช่เอกสารสิบหน้าที่ไม่มีใครอ่าน
4. จัดช่องทางทดแทนที่ใช้งานได้จริง ก่อนประกาศห้าม มิฉะนั้นพนักงานจะกลับไปทำแบบเดิม
5. แจ้งพนักงานเป็นลายลักษณ์อักษรและเก็บหลักฐานการแจ้ง
6. ซ้อมสถานการณ์ส่งไฟล์ผิดกลุ่มหนึ่งรอบ เพื่อดูว่าองค์กรรู้หรือไม่ว่าต้องเริ่มนับเวลาจากเมื่อใด

กรณีแบบไหนที่ควรปรึกษาทนาย

• เพิ่งทราบว่ามีไฟล์ข้อมูลหลุดออกจากกลุ่มแชท และยังไม่แน่ใจว่าต้องแจ้งเหตุหรือไม่ (ดูเช็กลิสต์ 6 ชั่วโมงแรก)
• ไฟล์ที่หลุดมีเลขบัตรประจำตัวประชาชน ข้อมูลสุขภาพ หรือข้อมูลอ่อนไหวอื่น
• ข้อมูลที่หลุดถูกนำไปเผยแพร่ต่อในเว็บไซต์หรือสื่อสังคมออนไลน์แล้ว
• เหตุเกิดจากพนักงานที่กำลังมีข้อพิพาทกับองค์กร ซึ่งอาจพ่วงประเด็นแรงงาน
• ไฟล์หลุดจากคู่ค้าหรือผู้ให้บริการภายนอก จนไม่ชัดว่าใครมีหน้าที่แจ้ง
• องค์กรจะออกแนวปฏิบัติเรื่องการส่งข้อมูลผ่านช่องทางออนไลน์ และอยากให้เขียนแล้วใช้ยันได้จริง
• ได้รับหนังสือให้ชี้แจงหรือหนังสือร้องเรียนเรื่องนี้แล้ว

สำนักงานกฎหมายยอดทิพย์ธรรม ช่วยอะไรได้บ้าง

ถ้าเหตุเกิดแล้วและต้องตัดสินใจภายในวันเดียว บริการประเมินเหตุข้อมูลรั่วไหลเร่งด่วน ซึ่งอยู่ในงานที่ปรึกษากฎหมาย PDPA สำหรับองค์กรของเราช่วยจัดทำไทม์ไลน์เหตุการณ์ ตรวจข้อเท็จจริงเบื้องต้น ประเมินระดับความเสี่ยง และบันทึกเหตุผลประกอบการตัดสินใจแจ้งเหตุ ซึ่งเป็นเอกสารที่ต้องใช้ยันในชั้นชี้แจงภายหลัง

ถ้ายังไม่เกิดเหตุและอยากปิดช่องนี้ก่อน เราตรวจของเดิมที่ทำไว้ผ่านการตรวจความพร้อม PDPA แล้วเขียนแนวปฏิบัติเรื่องการส่งข้อมูลให้ใช้งานได้จริง · จุดที่เราให้ความสำคัญคือการมองจุดเสี่ยงที่คนทั่วไปมองข้าม ซึ่งในเรื่องนี้คือช่องว่างระหว่างสิ่งที่นโยบายเขียนไว้กับสิ่งที่หน้างานทำจริงทุกวัน

สรุป

การส่งไฟล์ผ่าน LINE ไม่ได้ผิดกฎหมายในตัวเอง แต่การส่งข้อมูลที่มีความเสี่ยงสูงโดยไม่มีมาตรการรองรับ และไม่มีเอกสารใดยืนยันว่าองค์กรเคยกำหนดหลักเกณฑ์ไว้ คือพฤติการณ์ที่เคยถูกวินิจฉัยว่าฝ่าฝืนมาตรา 37 (1) และถูกสั่งปรับมาแล้วจริง

บทเรียนที่ใช้ได้ทันทีคือ การกำชับด้วยวาจาไม่นับเป็นมาตรการ และเหตุการณ์เดียวอาจแตกเป็นหลายฐานความผิด องค์กรที่ใช้เวลาหนึ่งวันเขียนแนวปฏิบัติหนึ่งหน้าแล้วแจ้งพนักงานเป็นลายลักษณ์อักษร จึงเปลี่ยนสถานะของตัวเองได้มากกว่าที่คิด

หากคุณกำลังเจอปัญหาลักษณะนี้ หรือเพิ่งพบว่ามีไฟล์หลุดออกจากกลุ่มแชท ปรึกษาทีมทนายของสำนักงานกฎหมายยอดทิพย์ธรรม โทร 081-327-8551 | LINE @995iqtpa หรือนัดหมายปรึกษาที่นี่

ข้อกฎหมายที่เกี่ยวข้อง

• พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 มาตรา 37 (1) — ผู้ควบคุมข้อมูลส่วนบุคคลมีหน้าที่จัดให้มีมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสม เพื่อป้องกันการสูญหาย เข้าถึง ใช้ เปลี่ยนแปลง แก้ไข หรือเปิดเผยข้อมูลส่วนบุคคลโดยปราศจากอำนาจหรือโดยมิชอบ
• มาตรา 37 (4) — หน้าที่แจ้งเหตุการละเมิดข้อมูลส่วนบุคคลแก่สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลโดยไม่ชักช้าภายใน 72 ชั่วโมงนับแต่ทราบเหตุเท่าที่จะสามารถกระทำได้
• คำสั่งคณะกรรมการผู้เชี่ยวชาญ คณะที่ 3 ที่ 17/2568 — กรณีข้อมูลรายชื่อผู้ได้รับเลือกระดับอำเภอ 23,645 รายชื่อรั่วไหลจากการส่งไฟล์ผ่านแอปพลิเคชัน สั่งปรับ 335,000 บาทตามมาตรา 37 (1) และว่ากล่าวตักเตือนกรณีแจ้งเหตุล่าช้าตามมาตรา 37 (4) พร้อมคำสั่งให้แก้ไขและรายงานผลภายใน 30 วัน (ควรตรวจสอบกับคำสั่งต้นฉบับก่อนอ้างอิง)
• ประกาศ กคส. เรื่อง หลักเกณฑ์การพิจารณาออกคำสั่งลงโทษปรับทางปกครองของคณะกรรมการผู้เชี่ยวชาญ พ.ศ. 2565 ข้อ 8 — ปัจจัยที่นำมาพิจารณา รวมถึงการเยียวยาและบรรเทาความเสียหายเมื่อทราบเหตุ และขนาดกิจการ
• ประกาศฯ ข้อ 9 — กรณีไม่ร้ายแรงให้สั่งแก้ไขหรือตักเตือนก่อน กรณีร้ายแรงหรือคำสั่งไม่เป็นผลจึงสั่งลงโทษปรับ
• ประกาศ กคส. เรื่อง หลักเกณฑ์และวิธีการในการแจ้งเหตุการละเมิดข้อมูลส่วนบุคคล พ.ศ. 2565 — รายละเอียดการประเมินความเสี่ยงและวิธีแจ้งเหตุ (ควรตรวจสอบฉบับที่บังคับใช้ล่าสุดก่อนอ้างอิง)

คำถามที่พบบ่อย

ส่งไฟล์ผ่าน LINE ผิด PDPA เลยหรือไม่

ไม่ได้ผิดโดยตัวมันเอง เพราะกฎหมายไม่ได้ห้ามใช้แอปพลิเคชันใดเป็นการเฉพาะ แต่มาตรา 37 (1) กำหนดให้ผู้ควบคุมข้อมูลต้องจัดให้มีมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสมกับความเสี่ยงของข้อมูลชุดนั้น การส่งไฟล์ที่มีข้อมูลจำนวนมากและมีเลขบัตรประจำตัวประชาชนโดยไม่มีการเข้ารหัสหรือกำหนดสิทธิเข้าถึง จึงเป็นพฤติการณ์ที่เคยถูกวินิจฉัยว่าไม่เป็นไปตามมาตรฐานที่กฎหมายกำหนด

บริษัทกำชับพนักงานด้วยวาจาแล้ว ถือว่ามีมาตรการหรือยัง

ในคดีที่เคยมีคำสั่งลงโทษปรับ คณะกรรมการผู้เชี่ยวชาญเห็นว่าการมีเพียงการกำชับด้วยวาจาหรือการใช้ความระมัดระวังส่วนบุคคล ไม่เพียงพอตามมาตรฐานที่กฎหมายกำหนด องค์กรจึงควรจัดทำแนวปฏิบัติเป็นลายลักษณ์อักษร ระบุให้ชัดว่าข้อมูลประเภทใดส่งผ่านช่องทางใดได้บ้างและต้องมีการป้องกันอย่างไร พร้อมเก็บหลักฐานการแจ้งพนักงานไว้

ส่งไฟล์ผิดกลุ่มแล้วรีบลบข้อความ ถือว่าจบเรื่องไหม

การลบข้อความไม่ได้ทำให้หน้าที่ตามกฎหมายหายไป เพราะผู้รับอาจดาวน์โหลดหรือส่งต่อไปแล้ว องค์กรยังต้องประเมินว่าเข้าข่ายเหตุการละเมิดข้อมูลส่วนบุคคลที่ต้องแจ้งหรือไม่ และต้องบันทึกไทม์ไลน์ตั้งแต่นาทีที่ทราบเหตุ เพราะกรอบเวลาแจ้งเหตุตามมาตรา 37 (4) เริ่มนับตั้งแต่ทราบเหตุ ไม่ใช่ตั้งแต่ยืนยันความเสียหายได้ครบถ้วน

ถ้าองค์กรห้ามส่งผ่านแชทไปเลย จะปลอดภัยกว่าไหม

การห้ามอย่างเดียวโดยไม่มีช่องทางทดแทนที่ใช้งานได้จริง มักทำให้พนักงานกลับไปใช้วิธีเดิม และเมื่อเกิดเหตุ องค์กรจะอยู่ในสถานะที่แย่กว่า เพราะมีนโยบายที่ไม่ได้บังคับใช้จริง แนวทางที่ปฏิบัติได้มากกว่าคือจัดชั้นข้อมูลให้ชัด กำหนดว่าประเภทใดห้ามส่งเด็ดขาด ประเภทใดส่งได้เมื่อมีการป้องกัน แล้วจัดช่องทางที่ปลอดภัยและใช้งานสะดวกพอให้พนักงานเลือกใช้

ผู้เขียน นายเอกราช ทิพย์แมม คดีครอบครัว มรดก และหนี้สิน

สาขาที่เชี่ยวชาญ: ครอบครัว · มรดกและพินัยกรรม · หนี้สินและบังคับคดี

ดูประวัติทีมทนายความ →

บทความนี้เป็นความรู้กฎหมายทั่วไปเพื่อความเข้าใจเบื้องต้น ไม่ใช่คำปรึกษาทางกฎหมายเฉพาะคดี ผลทางกฎหมายขึ้นอยู่กับข้อเท็จจริง เอกสาร และพยานหลักฐานของแต่ละกรณี ควรปรึกษาทนายความเพื่อประเมินเรื่องของท่านโดยเฉพาะ