ข้อมูลรั่วจากคู่ค้าหรือผู้ให้บริการ ใครมีหน้าที่แจ้งเหตุ

องค์กรจำนวนมากใช้บริการภายนอกสำหรับงานที่ต้องแตะข้อมูลส่วนบุคคล ทั้งระบบเงินเดือน ระบบบริหารงานบุคคล คลาวด์เก็บเอกสาร คอลเซ็นเตอร์ และผู้รับจ้างทำการตลาด คำถามที่ตามมาเมื่อเกิดเหตุคือ ถ้าข้อมูลรั่วจากคู่ค้า ใครเป็นคนแจ้ง และองค์กรยังต้องรับผิดชอบอยู่หรือไม่ทั้งที่ไม่ได้เป็นคนทำ

กฎหมายแบ่งหน้าที่ไว้อย่างไร

PDPA แบ่งบทบาทเป็นสองฝ่ายที่มีหน้าที่ต่างกัน คือผู้ควบคุมข้อมูลส่วนบุคคลซึ่งเป็นผู้ตัดสินใจว่าจะเก็บและใช้ข้อมูลอย่างไร กับผู้ประมวลผลข้อมูลส่วนบุคคลซึ่งดำเนินการตามคำสั่งของผู้ควบคุม

ฝ่าย	ตัวอย่าง	หน้าที่เมื่อเกิดเหตุ	กรอบเวลา
ผู้ควบคุมข้อมูล (องค์กรของคุณ)	บริษัทที่จ้างระบบเงินเดือน · โรงพยาบาลที่ใช้คลาวด์	แจ้งสำนักงานฯ ตามมาตรา 37 (4) และแจ้งเจ้าของข้อมูลหากเสี่ยงสูง	72 ชั่วโมงนับแต่ทราบเหตุ
ผู้ประมวลผลข้อมูล (คู่ค้า)	ผู้ให้บริการระบบเงินเดือน · ผู้ให้บริการคลาวด์ · คอลเซ็นเตอร์	จัดให้มีมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสม และแจ้งให้ผู้ควบคุมข้อมูลทราบถึงเหตุการละเมิดที่เกิดขึ้น ตามมาตรา 40	กฎหมายไม่ได้กำหนดไว้

ช่องขวาล่างคือช่องว่างที่สร้างปัญหาจริงมากที่สุด เพราะมาตรา 40 กำหนดหน้าที่แจ้งไว้ชัดเจน แต่ไม่ได้ระบุว่าต้องแจ้งภายในเวลาเท่าใด ในขณะที่หน้าที่ของฝ่ายผู้ควบคุมมีตัวเลข 72 ชั่วโมงกำกับไว้ชัด

ผลในทางปฏิบัติคือช่องว่างนี้ต้องปิดด้วยสัญญา ไม่ใช่ด้วยกฎหมาย องค์กรที่ไม่ได้กำหนดกรอบเวลาแจ้งกลับไว้ในข้อตกลงประมวลผลข้อมูล จึงฝากความทันเวลาของตัวเองไว้กับความสมัครใจของคู่ค้า

หน้าที่ตามมาตรา 40 ของผู้ประมวลผลข้อมูล

มาตรา 40 กำหนดหน้าที่ของผู้ประมวลผลข้อมูลส่วนบุคคลไว้สามเรื่องหลัก

1. ดำเนินการตามคำสั่งที่ได้รับจากผู้ควบคุมข้อมูลเท่านั้น เว้นแต่คำสั่งนั้นขัดต่อกฎหมายหรือบทบัญญัติเรื่องการคุ้มครองข้อมูลส่วนบุคคล
2. จัดให้มีมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสม เพื่อป้องกันการสูญหาย เข้าถึง ใช้ เปลี่ยนแปลง แก้ไข หรือเปิดเผยข้อมูลโดยปราศจากอำนาจหรือโดยมิชอบ รวมทั้งแจ้งให้ผู้ควบคุมข้อมูลทราบถึงเหตุการละเมิดข้อมูลส่วนบุคคลที่เกิดขึ้น
3. จัดทำและเก็บรักษาบันทึกรายการของกิจกรรมการประมวลผลข้อมูลส่วนบุคคล

ข้อสังเกตที่สำคัญคือ หน้าที่ในข้อ 2 เป็นการแจ้งต่อผู้ควบคุมข้อมูล ไม่ใช่ต่อสำนักงานฯ ดังนั้นแม้คู่ค้าจะทำหน้าที่ของตนครบถ้วน องค์กรก็ยังต้องเป็นผู้แจ้งหน่วยงานเอง และหากองค์กรไม่แจ้ง องค์กรจะเป็นผู้รับผลของการไม่แจ้ง ไม่ใช่คู่ค้า

คนส่วนใหญ่มักเข้าใจผิดตรงไหน

เข้าใจผิดที่ 1: "คู่ค้าเป็นคนทำ คู่ค้าก็ไปแจ้งเอง" — ความจริง คือหน้าที่แจ้งสำนักงานฯ ตามมาตรา 37 (4) เป็นหน้าที่ของผู้ควบคุมข้อมูล · ผลเสีย คือทั้งสองฝ่ายรอกันจนไม่มีใครแจ้ง

เข้าใจผิดที่ 2: "จ้างเขาทำแล้ว ความรับผิดก็เป็นของเขา" — ความจริง คือการมอบงานให้ผู้อื่นทำไม่ได้โอนหน้าที่ตามกฎหมายของผู้ควบคุมข้อมูลไปด้วย · ผลเสีย คือองค์กรไม่ได้เตรียมอะไรไว้เลยเพราะคิดว่าไม่ใช่เรื่องของตน

เข้าใจผิดที่ 3: "รอให้คู่ค้าสอบสวนเสร็จก่อนค่อยแจ้ง" — ความจริง คือนาฬิกาของคุณเดินตั้งแต่คุณทราบเหตุ ไม่ได้หยุดรอผลการสอบสวนของคู่ค้า · ผลเสีย คือเลยกำหนดโดยที่คุณควบคุมอะไรไม่ได้เลย

เข้าใจผิดที่ 4: "ในสัญญาเขียนว่าคู่ค้ารับผิดชอบทั้งหมดแล้ว" — ความจริง คือข้อสัญญามีผลระหว่างคู่สัญญาในการเรียกค่าเสียหายกันเอง แต่ไม่ได้เปลี่ยนหน้าที่ที่กฎหมายกำหนดให้ผู้ควบคุมข้อมูลมีต่อหน่วยงานและต่อเจ้าของข้อมูล · ผลเสีย คือองค์กรอ้างสัญญาในชั้นชี้แจงแล้วไม่ได้ผล

เลนส์ทนายยอดทิพย์ธรรม

คนทั่วไปมักเข้าใจว่า… การเลือกคู่ค้าที่ใหญ่และมีมาตรฐานสากล เป็นการโอนความเสี่ยงออกไปจากองค์กรแล้ว

แต่ในทางคดี กฎหมายและศาลมักมองว่า… องค์กรยังคงเป็นผู้ควบคุมข้อมูลอยู่เสมอ และคำถามที่จะถูกถามคือองค์กรได้ตรวจสอบคู่ค้าก่อนส่งข้อมูลหรือไม่ กำหนดหน้าที่ไว้ในสัญญาอย่างไร และมีการติดตามหรือเปล่า ซึ่งเป็นคำถามที่วัดตัวองค์กรเอง ไม่ได้วัดคู่ค้า

จุดเสี่ยงจริงอยู่ตรงนี้… ไม่ได้อยู่ที่คู่ค้าทำผิดพลาด แต่อยู่ที่ช่องว่างของเวลาระหว่างคู่ค้าทราบเหตุกับองค์กรทราบเหตุ ซึ่งเป็นช่วงที่องค์กรมองไม่เห็นอะไรเลยและควบคุมไม่ได้ ถ้าสัญญาไม่ได้กำหนดกรอบเวลาไว้ ช่องว่างนี้อาจยาวหลายวัน

ทางเลือกที่ควรทำต่อคือ… กำหนดในสัญญาให้คู่ค้าแจ้งกลับภายในกรอบเวลาที่สั้นพอจะเหลือเวลาให้องค์กรทำหน้าที่ของตนเองได้จริง เช่น ภายใน 24 ชั่วโมงนับแต่คู่ค้าทราบเหตุ พร้อมกำหนดว่าต้องแจ้งอะไรบ้างและช่องทางใด เพื่อไม่ให้ได้อีเมลสั้น ๆ ที่ใช้ประเมินอะไรไม่ได้

สิ่งที่ควรมีในข้อสัญญาเรื่องการแจ้งเหตุ

หัวข้อ	ควรกำหนดว่าอย่างไร
กรอบเวลาแจ้ง	ระบุเป็นชั่วโมงนับแต่คู่ค้าทราบหรือควรทราบเหตุ โดยสั้นพอให้องค์กรเหลือเวลาประเมินและแจ้งภายใน 72 ชั่วโมงของตน
เนื้อหาที่ต้องแจ้ง	ลักษณะของเหตุ ระบบและข้อมูลที่กระทบ จำนวนเจ้าของข้อมูลโดยประมาณ มาตรการที่ดำเนินการแล้ว และช่องทางติดต่อผู้รับผิดชอบ
ช่องทางแจ้ง	ระบุชื่อตำแหน่งและช่องทางที่ติดต่อได้นอกเวลาทำการ ไม่ใช่แจ้งเข้าอีเมลกลางที่ไม่มีใครดูวันหยุด
หน้าที่ให้ความร่วมมือ	ต้องให้ข้อมูล บันทึกระบบ และความช่วยเหลือที่จำเป็นแก่องค์กรในการประเมินและแจ้งเหตุ ภายในกรอบเวลาที่กำหนด
หน้าที่รักษาหลักฐาน	ต้องหยุดทำลายหรือเขียนทับบันทึกที่เกี่ยวข้องทันทีเมื่อทราบเหตุ
ห้ามสื่อสารกับภายนอกเอง	ห้ามคู่ค้าแจ้งเจ้าของข้อมูลหรือสื่อโดยไม่ได้รับความเห็นชอบจากองค์กรก่อน เพื่อไม่ให้ข้อความสองฝ่ายขัดกัน
ผู้รับช่วงประมวลผล	ต้องเปิดเผยรายชื่อ และผูกหน้าที่เดียวกันนี้ไปถึงผู้รับช่วงด้วย

ข้อสุดท้ายสำคัญกว่าที่คิด เพราะเหตุจำนวนมากไม่ได้เกิดที่คู่ค้าโดยตรง แต่เกิดที่ผู้ให้บริการที่คู่ค้าไปจ้างต่ออีกทอด ถ้าไม่ได้ผูกไว้ ข้อมูลอาจใช้เวลาเดินทางกลับมาถึงองค์กรผ่านสองทอดจนหมดเวลาพอดี

ปลายทางถ้าพลาด

1. องค์กรแจ้งเหตุเลยกรอบ 72 ชั่วโมง ซึ่งเป็นประเด็นตามมาตรา 37 (4) แม้ความล่าช้าจะเกิดจากคู่ค้า
2. เกิดประเด็นเพิ่มว่าองค์กรมีมาตรการที่เหมาะสมหรือไม่ตามมาตรา 37 (1) เพราะการเลือกและกำกับคู่ค้าเป็นส่วนหนึ่งของมาตรการ
3. คณะกรรมการผู้เชี่ยวชาญพิจารณาว่าจะสั่งให้แก้ไข ตักเตือน หรือลงโทษปรับ โดยดูปัจจัยที่ประกาศกำหนด
4. คู่ค้าเองอาจมีความรับผิดของตนตามมาตรา 40 แยกต่างหาก แต่นั่นไม่ได้ทำให้ความรับผิดขององค์กรหมดไป
5. เจ้าของข้อมูลฟ้องแพ่งได้ โดยมักฟ้ององค์กรที่ตนมีความสัมพันธ์ด้วย ไม่ใช่ฟ้องคู่ค้าที่ตนไม่รู้จัก
6. องค์กรอาจเรียกค่าเสียหายคืนจากคู่ค้าตามสัญญาได้ แต่เป็นคนละเรื่องกับความรับผิดต่อหน่วยงานและต่อเจ้าของข้อมูล และต้องมีหลักฐานความเสียหายที่ชัดเจน

หลักฐานที่ต้องเก็บ

• วันเวลาที่คู่ค้าแจ้งมา และช่องทางที่แจ้ง พร้อมเนื้อหาที่แจ้งฉบับแรก
• วันเวลาที่คู่ค้าทราบเหตุ ซึ่งควรระบุให้ได้และอาจต่างจากวันที่แจ้งองค์กร
• การติดต่อทั้งหมดกับคู่ค้า ทั้งคำขอข้อมูลและคำตอบ พร้อมเวลา
• ข้อตกลงประมวลผลข้อมูลฉบับที่ใช้อยู่ พร้อมข้อสัญญาเรื่องการแจ้งเหตุ
• เอกสารการตรวจสอบคู่ค้าก่อนเริ่มใช้บริการ
• บันทึกว่าองค์กรทำอะไรทันทีที่ได้รับแจ้ง
• เอกสารประเมินความเสี่ยงและข้อสรุปเรื่องการแจ้ง
• บันทึกความพยายามขอบันทึกระบบจากคู่ค้า และผลที่ได้รับ

ถ้าเป็นฝ่ายองค์กร ต้องเช็กอะไรบ้าง

• ตอนนี้มีคู่ค้ากี่รายที่เข้าถึงข้อมูลส่วนบุคคลได้ และมีรายชื่อครบหรือไม่
• มีข้อตกลงประมวลผลข้อมูลกับทุกรายหรือยัง
• ในสัญญากำหนดกรอบเวลาแจ้งกลับไว้กี่ชั่วโมง หรือไม่ได้กำหนดเลย
• รู้หรือไม่ว่าคู่ค้าแต่ละรายจ้างช่วงต่อให้ใครบ้าง
• ถ้าเกิดเหตุคืนวันศุกร์ องค์กรติดต่อผู้รับผิดชอบของคู่ค้าได้หรือไม่
• องค์กรเข้าถึงบันทึกระบบของคู่ค้าได้เองหรือต้องขอทุกครั้ง
• เคยซ้อมสถานการณ์ที่เหตุเกิดฝั่งคู่ค้าหรือยัง
• ในสัญญาห้ามคู่ค้าสื่อสารกับเจ้าของข้อมูลเองหรือไม่

อีกฝ่ายอาจโต้แย้งอย่างไร

• "องค์กรไม่ได้ตรวจสอบคู่ค้าก่อนส่งข้อมูล" — เป็นประเด็นเรื่องมาตรการที่ตรวจสอบได้ง่ายจากเอกสาร
• "ไม่มีข้อตกลงประมวลผลข้อมูลเลย" — พบบ่อยกว่าที่คิด โดยเฉพาะกับคู่ค้ารายเล็กหรือสัญญาเก่า
• "สัญญาไม่ได้กำหนดกรอบเวลาแจ้ง" — ทำให้องค์กรอธิบายความล่าช้าได้ยาก เพราะเป็นสิ่งที่องค์กรกำหนดเองได้แต่ไม่ได้ทำ
• "รู้ตั้งแต่วันนั้นแต่เพิ่งแจ้ง" — เมื่อมีอีเมลจากคู่ค้าลงวันที่ชัดเจน
• "โยนความผิดให้คู่ค้าแทนที่จะรับผิดชอบ" — ซึ่งกระทบทั้งการพิจารณาโทษและชื่อเสียง

ถ้าคู่ค้าแจ้งมาวันนี้ ควรทำอะไรตามลำดับ

1. บันทึกวันเวลาที่ได้รับแจ้งทันที เพราะเป็นจุดเริ่มนับของนาฬิกาองค์กร
2. ถามคู่ค้าให้ชัดว่าเขาทราบเหตุเมื่อใด ซึ่งมักเป็นคนละวันกับที่แจ้งมา
3. ขอข้อมูลที่จำเป็นต่อการประเมินเป็นลายลักษณ์อักษร พร้อมกำหนดเวลาตอบกลับ
4. สั่งให้คู่ค้าหยุดทำลายหรือเขียนทับบันทึกที่เกี่ยวข้อง
5. ประเมินความเสี่ยงด้วยข้อมูลเท่าที่มี โดยไม่รอจนคู่ค้าสอบสวนเสร็จ
6. ให้ทนายประเมินหน้าที่แจ้งเหตุและตรวจข้อสัญญาเรื่องความรับผิดไปพร้อมกัน

กรณีแบบไหนที่ควรปรึกษาทนาย

• คู่ค้าแจ้งเหตุมาแล้วแต่ให้ข้อมูลไม่พอจะประเมิน
• ไม่ชัดว่าใครเป็นผู้ควบคุมและใครเป็นผู้ประมวลผลในความสัมพันธ์นั้น
• เหตุเกิดที่ผู้รับช่วงประมวลผลซึ่งองค์กรไม่เคยรู้จักมาก่อน
• คู่ค้าปฏิเสธไม่ให้บันทึกระบบหรือให้ความร่วมมือไม่เต็มที่
• องค์กรใกล้ครบ 72 ชั่วโมงแต่ยังได้ข้อมูลไม่พอ
• ต้องการเรียกค่าเสียหายคืนจากคู่ค้า
• ไม่มีข้อตกลงประมวลผลข้อมูลกับคู่ค้ารายนั้น

สำนักงานกฎหมายยอดทิพย์ธรรม ช่วยอะไรได้บ้าง

ในงานที่ปรึกษากฎหมาย PDPA สำหรับองค์กร เราตรวจและร่างข้อตกลงประมวลผลข้อมูลโดยเน้นข้อที่ใช้ได้จริงตอนเกิดเหตุ ทั้งกรอบเวลาแจ้งกลับ เนื้อหาที่ต้องแจ้ง หน้าที่รักษาหลักฐาน และการผูกหน้าที่ไปถึงผู้รับช่วง ซึ่งเป็นข้อที่สัญญามาตรฐานของคู่ค้ามักไม่มี · งานนี้เชื่อมกับงานตรวจและร่างสัญญาธุรกิจโดยตรง

และถ้าเหตุเกิดแล้ว บริการประเมินเหตุข้อมูลรั่วไหลเร่งด่วน ช่วยประเมินด้วยข้อมูลเท่าที่มี ร่างหนังสือขอข้อมูลจากคู่ค้า และบันทึกเหตุผลประกอบการตัดสินใจไว้ให้ใช้ยันได้ · เราจะบอกตรง ๆ ว่าข้อสัญญาที่มีอยู่คุ้มครององค์กรได้จริงแค่ไหน เพราะหลายฉบับเขียนว่าคู่ค้ารับผิดชอบทั้งหมดแต่ใช้บังคับจริงไม่ได้

สรุป

เมื่อข้อมูลรั่วจากคู่ค้า หน้าที่แจ้งสำนักงานฯ ภายใน 72 ชั่วโมงยังเป็นขององค์กรในฐานะผู้ควบคุมข้อมูล ส่วนคู่ค้ามีหน้าที่ตามมาตรา 40 คือแจ้งให้ผู้ควบคุมข้อมูลทราบ การจ้างผู้อื่นทำงานจึงไม่ได้โอนหน้าที่ตามกฎหมายออกไป

ช่องว่างที่อันตรายที่สุดคือกฎหมายไม่ได้กำหนดว่าคู่ค้าต้องแจ้งกลับภายในกี่ชั่วโมง ในขณะที่นาฬิกาขององค์กรเดินตั้งแต่ทราบเหตุ ช่องว่างนี้ปิดได้ด้วยสัญญาเท่านั้น และเป็นสิ่งที่ควรทำก่อนเกิดเหตุ เพราะหลังเกิดเหตุแล้วแก้ไม่ทัน

หากคุณกำลังเจอปัญหาลักษณะนี้ ปรึกษาทีมทนายของสำนักงานกฎหมายยอดทิพย์ธรรม โทร 081-327-8551 | LINE @995iqtpa หรือนัดหมายปรึกษาที่นี่

ข้อกฎหมายที่เกี่ยวข้อง

• พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 มาตรา 40 — หน้าที่ของผู้ประมวลผลข้อมูลส่วนบุคคล ได้แก่ (1) ดำเนินการตามคำสั่งที่ได้รับจากผู้ควบคุมข้อมูลเท่านั้น เว้นแต่คำสั่งนั้นขัดต่อกฎหมาย (2) จัดให้มีมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสม รวมทั้งแจ้งให้ผู้ควบคุมข้อมูลส่วนบุคคลทราบถึงเหตุการละเมิดข้อมูลส่วนบุคคลที่เกิดขึ้น (3) จัดทำและเก็บรักษาบันทึกรายการของกิจกรรมการประมวลผลข้อมูลส่วนบุคคล
• มาตรา 37 (4) — หน้าที่ของผู้ควบคุมข้อมูลในการแจ้งเหตุแก่สำนักงานฯ ภายใน 72 ชั่วโมงนับแต่ทราบเหตุ และแจ้งเจ้าของข้อมูลเมื่อมีความเสี่ยงสูง
• มาตรา 37 (1) — หน้าที่จัดให้มีมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสม ซึ่งครอบคลุมถึงการเลือกและกำกับดูแลผู้ประมวลผลข้อมูล
• ประกาศ กคส. เรื่อง หลักเกณฑ์และวิธีการในการแจ้งเหตุการละเมิดข้อมูลส่วนบุคคล พ.ศ. 2565 — ขั้นตอนและปัจจัยประเมินความเสี่ยง ซึ่งใช้กับเหตุที่เกิดฝั่งคู่ค้าเช่นเดียวกัน
• มาตรา 39 — บันทึกรายการกิจกรรมการประมวลผลของผู้ควบคุมข้อมูล ซึ่งควรระบุด้วยว่าข้อมูลชุดใดอยู่กับคู่ค้ารายใด
• ความรับผิดตามสัญญาระหว่างองค์กรกับคู่ค้าเป็นคนละส่วนกับหน้าที่ตามกฎหมายที่มีต่อหน่วยงานและต่อเจ้าของข้อมูล ควรให้ทนายตรวจข้อสัญญาที่ใช้อยู่จริงเป็นรายกรณี

คำถามที่พบบ่อย

คู่ค้าเป็นคนทำข้อมูลรั่ว ทำไมองค์กรยังต้องแจ้งเอง

เพราะหน้าที่แจ้งสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลตามมาตรา 37 (4) เป็นหน้าที่ของผู้ควบคุมข้อมูลส่วนบุคคล ซึ่งคือองค์กรที่ตัดสินใจว่าจะเก็บและใช้ข้อมูลอย่างไร ส่วนผู้ประมวลผลข้อมูลมีหน้าที่ตามมาตรา 40 คือแจ้งให้ผู้ควบคุมข้อมูลทราบถึงเหตุที่เกิดขึ้น การจ้างผู้อื่นดำเนินการจึงไม่ได้โอนหน้าที่ตามกฎหมายของผู้ควบคุมออกไป แม้ในสัญญาจะเขียนว่าคู่ค้ารับผิดชอบก็ตาม

กฎหมายกำหนดไหมว่าคู่ค้าต้องแจ้งกลับมาภายในกี่ชั่วโมง

มาตรา 40 กำหนดหน้าที่แจ้งให้ผู้ควบคุมข้อมูลทราบไว้ แต่ไม่ได้ระบุกรอบเวลาเป็นตัวเลขเหมือนกรอบ 72 ชั่วโมงของผู้ควบคุมข้อมูล ช่องว่างนี้จึงต้องปิดด้วยข้อสัญญา โดยกำหนดให้คู่ค้าแจ้งกลับภายในกรอบเวลาที่สั้นพอจะเหลือเวลาให้องค์กรประเมินและแจ้งหน่วยงานได้ทัน พร้อมระบุด้วยว่าต้องแจ้งข้อมูลอะไรบ้างและผ่านช่องทางใดที่ติดต่อได้นอกเวลาทำการ

ในสัญญาเขียนว่าคู่ค้ารับผิดชอบความเสียหายทั้งหมดแล้ว ยังต้องกังวลไหม

ข้อสัญญาลักษณะนี้มีผลในการเรียกค่าเสียหายระหว่างคู่สัญญากันเอง แต่ไม่ได้เปลี่ยนหน้าที่ที่กฎหมายกำหนดให้ผู้ควบคุมข้อมูลมีต่อหน่วยงานและต่อเจ้าของข้อมูล องค์กรจึงยังต้องแจ้งเหตุเองและยังถูกพิจารณาว่ามีมาตรการที่เหมาะสมหรือไม่ นอกจากนี้ข้อจำกัดความรับผิดในสัญญาหลายฉบับยังมีเพดานที่ต่ำกว่าความเสียหายจริงมาก จึงควรให้ทนายตรวจว่าข้อสัญญาที่มีอยู่คุ้มครองได้จริงแค่ไหน

เหตุเกิดที่บริษัทที่คู่ค้าจ้างช่วงอีกทอด องค์กรทำอย่างไร

โดยหลักองค์กรยังคงเป็นผู้ควบคุมข้อมูลและมีหน้าที่แจ้งเหตุเช่นเดิม ปัญหาในทางปฏิบัติคือข้อมูลต้องเดินทางผ่านสองทอดกว่าจะถึงองค์กร ซึ่งมักทำให้ล่าช้าจนกระทบกรอบเวลา วิธีป้องกันคือกำหนดในสัญญาให้คู่ค้าเปิดเผยรายชื่อผู้รับช่วงประมวลผลทั้งหมด และผูกหน้าที่แจ้งเหตุกับกรอบเวลาเดียวกันไปถึงผู้รับช่วงด้วย ซึ่งเป็นข้อที่สัญญามาตรฐานของคู่ค้ามักไม่มี

ผู้เขียน นายเอกราช ทิพย์แมม คดีครอบครัว มรดก และหนี้สิน

สาขาที่เชี่ยวชาญ: ครอบครัว · มรดกและพินัยกรรม · หนี้สินและบังคับคดี

ดูประวัติทีมทนายความ →

บทความนี้เป็นความรู้กฎหมายทั่วไปเพื่อความเข้าใจเบื้องต้น ไม่ใช่คำปรึกษาทางกฎหมายเฉพาะคดี ผลทางกฎหมายขึ้นอยู่กับข้อเท็จจริง เอกสาร และพยานหลักฐานของแต่ละกรณี ควรปรึกษาทนายความเพื่อประเมินเรื่องของท่านโดยเฉพาะ