ข้อสัญญาแจ้งเหตุข้อมูลรั่วจากคู่ค้า ควรกำหนดกี่ชั่วโมง

สำหรับประเด็น “ข้อสัญญาแจ้งเหตุข้อมูลรั่ว” ต้องเริ่มจากข้อเท็จจริงของงานที่จะทำ บทความนี้อธิบายเงื่อนไขที่ทำให้คำตอบต่างกัน พร้อมวิธีตัดสินใจและหลักฐานที่ควรเตรียมก่อนเกิดข้อร้องเรียน

สถานการณ์แบบใดให้คำตอบต่างกัน

ตัวอย่างต่อไปนี้เป็นกรณีสมมติเพื่ออธิบายหลัก ไม่ใช่การเปิดเผยข้อมูลลูกความหรือคำพิพากษา

• คู่ค้าพบการเข้าถึงฐานข้อมูลแต่ยังไม่รู้จำนวนคน ควรแจ้งเบื้องต้นตามเงื่อนไขที่ตกลง
• เหตุเกิดคืนวันศุกร์แต่แจ้งเฉพาะอีเมลเวลาทำการ ทำให้ไม่มีคนเปิดอ่าน
• ผู้รับช่วงแจ้งผู้ให้บริการหลักช้า แม้ผู้ให้บริการหลักแจ้งบริษัททันที เวลาจัดการเหตุของบริษัทก็เหลือน้อย

ควรตัดสินใจตามลำดับใด

กำหนดจุดเริ่มแจ้งจากการตรวจพบเหตุหรือข้อสงสัยที่มีมูลตามระดับที่ตกลง แล้วแบ่งการแจ้งครั้งแรกกับการอัปเดตข้อเท็จจริง แยกนาฬิกาตามสัญญาออกจากจุดที่ผู้ควบคุมทราบเหตุซึ่งใช้ประเมินหน้าที่กฎหมาย

ข้อสัญญาแจ้งเหตุข้อมูลรั่วควรเขียนอย่างไร

เลือกระยะเวลาตามความเสี่ยง

ตัวอย่างเพื่อเจรจา เช่น แจ้งเบื้องต้นภายใน 4 ชั่วโมงนับแต่ตรวจพบเหตุที่มีมูลสำหรับระบบเงินเดือน และอัปเดตภายใน 24 ชั่วโมง ตัวเลขนี้เป็นข้อเสนอทางสัญญา ไม่ใช่เวลาบังคับทั่วไป ต้องทดสอบว่าทีมคู่ค้าปฏิบัติได้

แยกการแจ้งครั้งแรก

อย่างน้อยให้รู้ระบบ ประเภทเหตุ เวลาโดยประมาณ ผู้ประสานงาน และการกักเหตุที่ทำแล้ว ระบุรายการที่ยังไม่ทราบได้ ไม่บังคับให้ข้อมูลครบจนคู่ค้าเลือกเงียบ

กำหนดการรับเรื่องจริง

ใช้โทรศัพท์ฉุกเฉินร่วมกับอีเมลหรือระบบ Ticket ระบุคนสำรองและการยกระดับหากไม่มีผู้รับ หลีกเลี่ยงเงื่อนไขนับเฉพาะวันทำการในงานที่เสี่ยงต่อเนื่อง

ส่งหน้าที่ต่อถึงผู้รับช่วง

ต้องมีเวลาส่งต่อและข้อกำหนดรักษาหลักฐานที่สอดคล้องกัน มิฉะนั้นสัญญาหลักที่ดีจะไม่ช่วยเมื่อเหตุเริ่มจากชั้นถัดไป

ฐานกฎหมายและขอบเขตที่ต้องแยก

มาตรา 40 (2) กำหนดหน้าที่แจ้งเหตุแก่ผู้ควบคุม ส่วนมาตรา 37 (4) กำหนดหน้าที่ผู้ควบคุมต่อสำนักงานและเจ้าของข้อมูล การระบุเวลาใน DPA ไม่เปลี่ยนจุดเริ่มนับหรือยกเว้นหน้าที่ตามกฎหมายของผู้ควบคุม

อ่านตัวบท พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ประกอบการพิจารณาหน้าที่ของแต่ละฝ่าย

เลนส์ทนายยอดทิพย์ธรรม: ถ้าพลาดแล้วเรื่องไปทางใด

เงื่อนไขรอพิสูจน์ความเสียหายหรือรอผู้บริหารคู่ค้าอนุมัติอาจทำให้องค์กรพลาดการประเมินและแจ้งเหตุ องค์กรควรบันทึกว่ารับรู้อะไรเมื่อใด แม้ยังโต้แย้งกับคู่ค้าว่าแจ้งช้าหรือไม่

เมื่อได้รับหนังสือหรือข้อเรียกร้อง ให้ตรวจผู้ส่ง ประเด็นที่ถามและกำหนดตอบจากเอกสารจริง รักษาข้อมูลต้นฉบับที่เกี่ยวข้อง พร้อมแยกข้อเท็จจริงที่ยืนยันได้ออกจากประเด็นที่ยังสอบสวน การแก้ปัญหาปัจจุบันควรทำควบคู่กับการเตรียมชี้แจง โดยไม่แก้บันทึกเก่าให้คลาดจากเหตุการณ์

หลักฐานที่ต้องเก็บและวิธีจัดให้ใช้ได้จริง

• DPA และนิยามเหตุที่ต้องแจ้งพร้อมจุดเริ่มนับ
• ข้อความแจ้งครั้งแรก การตอบรับ และรายงานอัปเดต
• ผลซ้อมนอกเวลางานและรายชื่อผู้ติดต่อสำรอง
• ตารางช่องว่างเวลาระหว่างผู้รับช่วง ผู้ให้บริการ และบริษัท

จุดที่ควรตรวจเพิ่มคือDPA และนิยามเหตุที่ต้องแจ้งพร้อมจุดเริ่มนับ เอกสารนี้ตอบได้เฉพาะข้อเท็จจริงที่มีการตรวจและรับรองไว้ หากอีกฝ่ายโต้แย้งว่างานจริงต่างจากเอกสาร ให้ใช้ข้อมูลจากระบบและผู้ปฏิบัติงานตรวจเทียบ ไม่สรุปว่ามีเอกสารแล้วจึงถูกต้องทุกขั้นตอน กรณีที่หลักฐานขัดกัน ควรเก็บทั้งสองชุดไว้พร้อมบันทึกเหตุที่ตรวจพบ เพื่อให้ผู้รับผิดชอบประเมินอย่างครบถ้วนและไม่ตัดข้อมูลที่เสียเปรียบออกจากแฟ้ม

ให้เจ้าของงานระบุผู้จัดทำ ผู้ตรวจรับ วันที่และเวอร์ชัน เก็บต้นฉบับในพื้นที่ที่จำกัดสิทธิตามหน้าที่ ส่วนสำเนาสำหรับตรวจควรปกปิดข้อมูลที่ไม่เกี่ยวข้อง ระยะเก็บต้องสัมพันธ์กับวัตถุประสงค์ หน้าที่ตามกฎหมายและสิทธิเรียกร้องที่เกี่ยวข้อง หากมีข้อพิพาทให้ประเมินการพักทำลายเฉพาะข้อมูลที่จำเป็น พร้อมกำหนดผู้ทบทวน ไม่เก็บทุกอย่างตลอดไป

นำไปใช้กับทีมงานอย่างไร

คนที่ต้องร่วมตัดสินใจ

เจ้าของบริการควรยืนยันว่าข้อมูลใดต้องส่งและผลหากระบบหยุด ฝ่ายเทคนิคตรวจว่ามาตรการทำงานจริง ฝ่ายจัดซื้อรักษาเงื่อนไขที่ตกลง ส่วนฝ่ายกฎหมายตรวจบทบาทและสิทธิ อย่าให้การรับรองของแผนกเดียวครอบข้อเท็จจริงที่แผนกนั้นไม่ได้ตรวจ

แยกสิ่งที่ทราบกับสิ่งที่คู่ค้ายังไม่ตอบ

ในบันทึกตรวจให้ระบุข้อเท็จจริงที่มีหลักฐาน ข้อมูลที่ยังรอ และผลต่อการตัดสินใจแยกกัน หากต้องเปิดใช้งานก่อนแก้ครบ ให้จำกัดข้อมูลหรือสิทธิ พร้อมผู้อนุมัติและวันทบทวนที่ชัดเจน การเงียบของคู่ค้าไม่ใช่การยืนยันว่าความเสี่ยงไม่มี

ตรวจภาคปฏิบัติก่อนถือว่าปิดงาน

ให้ทีมที่ต้องลงมือสาธิตขั้นตอนสำคัญด้วยข้อมูลทดสอบ บันทึกผลที่ทำได้และข้อจำกัด หากเอกสารสัญญารับรองมากกว่าระบบทำได้ ต้องแก้ทั้งเงื่อนไขและวิธีปฏิบัติ ไม่ทำเครื่องหมายผ่านเพียงเพราะมีลายเซ็นครบ

แผนลงมือวันนี้ ภายใน 7 วันและ 30 วัน

ช่วงเวลาต่อไปนี้เป็นตัวอย่างแผนจัดงานภายใน ไม่ใช่กำหนดตามกฎหมาย และไม่เลื่อนหน้าที่เร่งด่วนที่ต้องทำก่อน

ช่วงงาน	งานที่มอบหมาย	สิ่งที่ใช้ตรวจรับ
วันนี้	ตรวจว่าสัญญาปัจจุบันเริ่มแจ้งเมื่อพบเหตุหรือเมื่อสอบสวนเสร็จ	ขอบเขตงานและผู้รับผิดชอบ
ภายใน 7 วัน	ตกลงเวลาที่เหมาะกับระบบและช่องทางสำรอง	ข้อค้นพบและรายการที่ต้องแก้
ภายใน 30 วัน	ซ้อมเหตุในวันหยุดพร้อมจับเวลารับเรื่องจริง	ผลตรวจหรือทดสอบและงานที่ยังค้าง

ข้อผิดพลาดที่ควรหลีกเลี่ยง

คำว่าโดยเร็วที่สุดที่ไม่มีช่องทางและผู้รับผิดชอบอาจทำให้ต่างฝ่ายเข้าใจไม่ตรงกัน ส่วนการตั้งเวลาเข้มมากแต่ไม่มีคนเฝ้าระบบก็ไม่ช่วย ต้องวางคนและหลักฐานควบคู่ข้อความ

อ่านต่อและจัดระบบให้เหมาะกับองค์กร

ภาพรวมของเรื่องนี้อยู่ในคู่มือจัดการคู่ค้าและ DPA สำหรับองค์กร ก่อนส่งข้อมูลจนเลิกใช้ระบบ ใช้ตรวจว่าประเด็นเฉพาะเชื่อมกับหน้าที่ส่วนอื่นอย่างไร

สำหรับขั้นตอนที่เกี่ยวข้อง อ่านข้อมูลรั่วจากระบบเงินเดือนหรือคลาวด์ ใครรับผิดและใครต้องแจ้ง และผู้รับช่วงประมวลผลคือใคร ต้องรู้รายชื่อแค่ไหนก่อนใช้บริการ

หากงานเชื่อมกับกระบวนการอื่น ให้อ่านนับ 72 ชั่วโมงจากเมื่อใด ใครในองค์กรที่ทราบเหตุแล้วถือว่าเริ่มนับประกอบก่อนกำหนดผู้รับผิดชอบ

สำนักงานกฎหมายยอดทิพย์ธรรมช่วยตรวจข้อเท็จจริง เอกสารและพยานหลักฐานผ่านบริการกฎหมาย PDPA รวมถึงข้อสัญญากับคู่ค้า สามารถนัดหมายเพื่อนำเอกสารที่เกี่ยวข้องมาประเมินก่อนตัดสินใจ

ข้อกฎหมายที่เกี่ยวข้อง

มาตรา 40 (2) กำหนดหน้าที่แจ้งเหตุแก่ผู้ควบคุม ส่วนมาตรา 37 (4) กำหนดหน้าที่ผู้ควบคุมต่อสำนักงานและเจ้าของข้อมูล การระบุเวลาใน DPA ไม่เปลี่ยนจุดเริ่มนับหรือยกเว้นหน้าที่ตามกฎหมายของผู้ควบคุม

คำถามที่พบบ่อย

กำหนด 24 ชั่วโมงได้หรือไม่

ตกลงได้ตามความเหมาะสม แต่ต้องเผื่อเวลาทำหน้าที่ของผู้ควบคุมและไม่ทำให้การแจ้งตามกฎหมายช้าลง

คู่ค้าต้องรู้จำนวนผู้เสียหายครบก่อนแจ้งไหม

สัญญาควรให้แจ้งเบื้องต้นได้และทยอยเพิ่มข้อมูล การรอครบอาจทำให้องค์กรจัดการเหตุไม่ทัน

วันหยุดหยุดนับเวลาหรือไม่

ไม่ควรตั้งระบบรับเหตุให้หยุดตามวันทำการ ส่วนกรอบกฎหมายต้องพิจารณาตามหลักเกณฑ์แจ้งเหตุ ไม่ใช่เวลาทำการของคู่ค้า

ผู้เขียน นายเอกราช ทิพย์แมม คดีครอบครัว มรดก และหนี้สิน

สาขาที่เชี่ยวชาญ: ครอบครัว · มรดกและพินัยกรรม · หนี้สินและบังคับคดี

ดูประวัติทีมทนายความ →

บทความนี้เป็นความรู้กฎหมายทั่วไปเพื่อความเข้าใจเบื้องต้น ไม่ใช่คำปรึกษาทางกฎหมายเฉพาะคดี ผลทางกฎหมายขึ้นอยู่กับข้อเท็จจริง เอกสาร และพยานหลักฐานของแต่ละกรณี ควรปรึกษาทนายความเพื่อประเมินเรื่องของท่านโดยเฉพาะ