นับ 72 ชั่วโมงจากเมื่อใด ใครในองค์กรที่ทราบเหตุแล้วถือว่าเริ่มนับ

สรุปประเด็นสำคัญ
กรอบ 72 ชั่วโมงตามมาตรา 37 (4) นับแต่ทราบเหตุ ไม่ใช่นับแต่วันที่เหตุเกิดขึ้นจริง และไม่ใช่นับแต่วันที่องค์กรยืนยันความเสียหายได้ครบถ้วน ประกาศ กคส. ปี 2565 วางลำดับไว้ว่าเมื่อได้รับแจ้งว่า"มีหรือน่าจะมี"เหตุละเมิด ให้เริ่มประเมินความน่าเชื่อถือของข้อมูลและตรวจสอบข้อเท็จจริงทันที ซึ่งแปลว่านาฬิกาเริ่มเดินตั้งแต่จุดที่องค์กรมีเหตุอันควรเชื่อ ไม่ใช่จุดที่พิสูจน์ได้แล้ว
ส่วนคำถามว่าใครในองค์กรที่ทราบแล้วถือว่าองค์กรทราบ — ในทางปฏิบัติควรถือจากจุดที่ผู้มีหน้าที่รับเรื่องหรือผู้มีอำนาจตัดสินใจได้รับทราบ แต่องค์กรจะอ้างว่าฝ่ายกฎหมายเพิ่งรู้เมื่อวาน ทั้งที่พนักงานคุยเรื่องนี้ในกลุ่มแชทมาสามวันแล้วไม่ได้ เพราะข้อความเหล่านั้นตรวจสอบย้อนหลังได้
คำถามที่ดูเหมือนง่ายแต่ตอบยากที่สุดเวลาเกิดเหตุข้อมูลรั่ว คือจะนับ 72 ชั่วโมงจากตรงไหน เพราะเหตุการณ์จริงไม่เคยมาเป็นจุดเดียวชัด ๆ แต่มาเป็นลำดับ คือมีคนสังเกตเห็นอะไรผิดปกติวันหนึ่ง มีการคุยกันในกลุ่มอีกวันหนึ่ง แล้วเรื่องถึงหัวหน้าอีกวันหนึ่ง กว่าฝ่ายกฎหมายจะรู้ก็ผ่านไปแล้วหลายวัน คำถามคือกฎหมายมองจุดไหนว่าเป็นจุดเริ่ม
กฎหมายเขียนว่าอย่างไร
มาตรา 37 (4) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 กำหนดให้ผู้ควบคุมข้อมูลส่วนบุคคลแจ้งเหตุการละเมิดข้อมูลส่วนบุคคลแก่สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลโดยไม่ชักช้าภายใน 72 ชั่วโมงนับแต่ทราบเหตุเท่าที่จะสามารถกระทำได้ เว้นแต่การละเมิดดังกล่าวไม่มีความเสี่ยงที่จะมีผลกระทบต่อสิทธิและเสรีภาพของบุคคล
คำสำคัญคือ "ทราบเหตุ" ไม่ใช่ "เหตุเกิด" และไม่ใช่ "ยืนยันได้" ซึ่งเป็นสามจุดที่ต่างกันมากในทางเวลา เหตุอาจเกิดเมื่อสองเดือนก่อน องค์กรเพิ่งทราบเมื่อวาน และอาจยืนยันขอบเขตได้ครบในอีกสองสัปดาห์ข้างหน้า นาฬิกาเริ่มเดินที่จุดกลาง
ประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง หลักเกณฑ์และวิธีการในการแจ้งเหตุการละเมิดข้อมูลส่วนบุคคล พ.ศ. 2565 ช่วยให้ภาพชัดขึ้น เพราะวางลำดับไว้ว่า เมื่อได้รับแจ้งว่ามีหรือน่าจะมีเหตุละเมิด ให้ประเมินความน่าเชื่อถือของข้อมูลและตรวจสอบข้อเท็จจริงก่อน จากนั้นเมื่อพิจารณาแล้วเห็นว่ามีเหตุอันควรเชื่อว่ามีการละเมิดเกิดขึ้นจริง จึงแจ้งเหตุนั้น
สามจุดที่มักถูกสับสน
| จุด | คืออะไร | ใช้เป็นจุดเริ่มนับหรือไม่ |
|---|---|---|
| เหตุเกิดจริง | วันที่ข้อมูลรั่วออกไปจริง เช่น วันที่ไฟล์ถูกส่งผิด หรือวันที่ระบบถูกเข้าถึง | ไม่ใช่ — บ่อยครั้งองค์กรไม่รู้ด้วยซ้ำว่าเกิดวันไหน |
| ทราบเหตุ | จุดที่องค์กรได้รับแจ้งหรือพบว่ามีหรือน่าจะมีการละเมิด และมีเหตุอันควรเชื่อ | ใช่ นี่คือจุดเริ่มนับตามมาตรา 37 (4) |
| ยืนยันขอบเขตได้ครบ | จุดที่การสอบสวนเสร็จสิ้น ทราบจำนวนผู้ได้รับผลกระทบและความเสียหายที่แน่ชัด | ไม่ใช่ — และมักมาถึงหลังครบ 72 ชั่วโมงไปแล้ว |
ผลในทางปฏิบัติที่สำคัญคือ องค์กรไม่จำเป็นต้องรู้ทุกอย่างก่อนแจ้ง กฎหมายใช้คำว่า "เท่าที่จะสามารถกระทำได้" ซึ่งเปิดช่องให้แจ้งเท่าที่ทราบก่อนแล้วแจ้งเพิ่มเติมภายหลังได้ การรอจนสอบสวนเสร็จจึงเป็นการเลือกที่เสี่ยงกว่าการแจ้งด้วยข้อมูลเท่าที่มี
ใครในองค์กรที่ทราบแล้วถือว่าองค์กรทราบ
นี่คือคำถามที่กฎหมายไม่ได้เขียนตอบไว้เป็นสูตรตายตัว และต้องพิจารณาจากข้อเท็จจริงเป็นรายกรณี แต่มีหลักคิดที่ใช้ได้ในทางปฏิบัติสามข้อ
หนึ่ง ดูจากผู้มีหน้าที่รับเรื่อง องค์กรที่กำหนดไว้ชัดว่าใครคือจุดรับแจ้งเหตุ จะอธิบายได้ง่ายกว่าว่านับจากเมื่อไร ส่วนองค์กรที่ไม่เคยกำหนด จะถูกตั้งคำถามว่าเหตุใดเรื่องจึงใช้เวลาหลายวันกว่าจะถึงผู้มีอำนาจ
สอง ความรู้ของพนักงานไม่ได้ไร้ผล แม้จะอ้างว่าฝ่ายกฎหมายเพิ่งทราบ แต่ถ้ามีข้อความในกลุ่มแชทหรืออีเมลที่พนักงานคุยเรื่องนี้กันมาก่อนหน้านั้นหลายวัน หลักฐานเหล่านั้นตรวจสอบย้อนหลังได้และมักถูกยกขึ้นโต้แย้ง
สาม ความล่าช้าภายในเป็นความเสี่ยงขององค์กรเอง การที่เรื่องติดอยู่ที่หัวหน้าแผนกคนหนึ่งเป็นเวลาสามวัน ไม่ใช่ข้อแก้ตัวที่ดี เพราะเป็นผลจากการที่องค์กรไม่ได้ออกแบบช่องทางรายงานไว้ ซึ่งเป็นเรื่องที่องค์กรควบคุมได้
ข้อสังเกตจากคำสั่งลงโทษปรับที่เคยมี — ในคดีที่หน่วยงานแห่งหนึ่งถูกวินิจฉัยว่าแจ้งเหตุล่าช้า คำสั่งระบุว่าหน่วยงานทราบเหตุในช่วงวันที่ 10 ถึง 11 มิถุนายน 2567 แต่แจ้งอย่างเป็นทางการเมื่อวันที่ 21 มิถุนายน 2567 ซึ่งเกินกรอบเวลา จะเห็นว่าจุดที่ถูกนำมาใช้เป็นตัวตั้งคือช่วงวันที่ทราบเหตุ ไม่ใช่วันที่สอบสวนเสร็จ
คนส่วนใหญ่มักเข้าใจผิดตรงไหน
เข้าใจผิดที่ 1: "ต้องมั่นใจร้อยเปอร์เซ็นต์ก่อนถึงเริ่มนับ" — ความจริง คือประกาศพูดถึงกรณี "มีหรือน่าจะมี" และใช้เกณฑ์ "มีเหตุอันควรเชื่อ" · ผลเสีย คือรอจนแน่ใจแล้วเลยกำหนดไปแล้ว
เข้าใจผิดที่ 2: "72 ชั่วโมงคือ 3 วันทำการ" — ความจริง คือกฎหมายเขียนเป็นชั่วโมง ไม่ได้เขียนเป็นวันทำการ · ผลเสีย คือเหตุที่เกิดเย็นวันศุกร์ ถ้าคิดเป็นวันทำการจะเลยกำหนดโดยไม่รู้ตัว
เข้าใจผิดที่ 3: "ผู้ประมวลผลรู้ ไม่ใช่เรารู้" — ความจริง คือผู้ประมวลผลมีหน้าที่แจ้งกลับมายังผู้ควบคุมข้อมูล และเมื่อผู้ควบคุมได้รับแจ้ง หน้าที่ก็เริ่ม · ผลเสีย คือองค์กรที่ไม่ได้กำหนดกรอบเวลาแจ้งกลับไว้ในสัญญา มักได้รับแจ้งช้าจนไม่เหลือเวลา
เข้าใจผิดที่ 4: "แจ้งช้าไปนิดหน่อย ไม่เป็นไร" — ความจริง คือการแจ้งล่าช้าเป็นประเด็นแยกต่างหากจากประเด็นเรื่องมาตรการรักษาความมั่นคงปลอดภัย และเคยถูกวินิจฉัยเป็นคนละฐานความผิดมาแล้ว · ผลเสีย คือเหตุเดียวกลายเป็นสองประเด็น
เลนส์ทนายยอดทิพย์ธรรม
คนทั่วไปมักเข้าใจว่า… ถ้าอธิบายได้ว่าทำไมถึงช้า ก็น่าจะเข้าใจกันได้ เพราะทุกองค์กรก็มีขั้นตอนภายในเหมือนกัน
แต่ในทางคดี กฎหมายและศาลมักมองว่า… ความล่าช้าที่เกิดจากโครงสร้างภายในขององค์กรเอง เป็นความเสี่ยงที่องค์กรต้องรับ เพราะเป็นสิ่งที่องค์กรออกแบบและควบคุมได้ ต่างจากความล่าช้าที่เกิดจากเหตุภายนอกซึ่งอธิบายได้ง่ายกว่า
จุดเสี่ยงจริงอยู่ตรงนี้… องค์กรส่วนใหญ่ตอบคำถามว่าทราบเหตุเมื่อไรไม่ได้เลย เพราะไม่มีจุดลงทะเบียนรับแจ้ง และเมื่อตอบไม่ได้ ฝ่ายที่โต้แย้งก็จะเลือกจุดที่เร็วที่สุดเท่าที่หลักฐานปรากฏมาเป็นตัวตั้ง ซึ่งมักเป็นข้อความในกลุ่มแชทของพนักงาน
ทางเลือกที่ควรทำต่อคือ… กำหนดจุดรับแจ้งเหตุกลางไว้หนึ่งจุด ประกาศให้ทุกคนรู้ว่าเจอเรื่องผิดปกติต้องแจ้งที่ใดภายในกี่ชั่วโมง และให้จุดนั้นบันทึกวันเวลาทุกครั้งที่ได้รับแจ้ง แม้เรื่องนั้นจะยังไม่แน่ว่าเป็นเหตุละเมิดจริงหรือไม่
ปลายทางถ้านับผิดหรือแจ้งช้า
- เกิดประเด็นเรื่องการแจ้งล่าช้าตามมาตรา 37 (4) ซึ่งแยกจากประเด็นเรื่องมาตรการรักษาความมั่นคงปลอดภัยตามมาตรา 37 (1)
- คณะกรรมการผู้เชี่ยวชาญพิจารณาว่าจะสั่งให้แก้ไข ตักเตือน หรือลงโทษปรับ โดยดูพฤติการณ์และปัจจัยประกอบ
- ในคดีที่เคยมี ประเด็นการแจ้งล่าช้าได้รับเพียงการว่ากล่าวตักเตือน เพราะเห็นว่าหน่วยงานไม่ได้เพิกเฉย มีการระงับเหตุทันที และให้ความร่วมมือในการสอบสวนเป็นอย่างดี ซึ่งแสดงว่าพฤติการณ์ระหว่างทางมีผลจริง
- หากเรื่องบานปลายเป็นข้อร้องเรียนเต็มรูปแบบ กระบวนการจะเดินต่อไปตามที่อธิบายไว้ในงานรับมือข้อร้องเรียนและคำสั่งทางปกครอง
- และในกรณีที่ผู้เสียหายเป็นพนักงาน เรื่องมักเดินคู่ขนานไปที่ศาลแรงงานด้วย
หลักฐานที่ต้องเก็บ
- ทะเบียนรับแจ้งเหตุกลาง ที่บันทึกวันเวลา ผู้แจ้ง ช่องทาง และเนื้อหาที่แจ้ง
- บันทึกว่าเรื่องถูกส่งต่อถึงใครเมื่อใด ตั้งแต่จุดรับแจ้งจนถึงผู้มีอำนาจตัดสินใจ
- บันทึกการประเมินความน่าเชื่อถือของข้อมูลและการตรวจสอบข้อเท็จจริงเบื้องต้น
- เอกสารประเมินความเสี่ยงพร้อมข้อสรุปและเหตุผล
- สำเนาการแจ้งเหตุที่ยื่นไป พร้อมหลักฐานวันเวลาที่ยื่น
- หากแจ้งเพิ่มเติมภายหลัง ให้เก็บทั้งฉบับแรกและฉบับเพิ่มเติม
- หากประเมินแล้วไม่แจ้ง ให้เก็บบันทึกเหตุผลและชื่อผู้ตัดสินใจ
ถ้าเป็นฝ่ายองค์กร ต้องทำอะไรบ้าง
- กำหนดจุดรับแจ้งเหตุกลางหนึ่งจุด และประกาศให้พนักงานทุกคนทราบ
- กำหนดว่าเมื่อพบเรื่องผิดปกติ ต้องแจ้งภายในกี่ชั่วโมง และแจ้งอย่างไรนอกเวลาทำการ
- ให้จุดรับแจ้งบันทึกวันเวลาทุกครั้ง แม้ยังไม่แน่ว่าเป็นเหตุละเมิดจริง
- กำหนดในสัญญากับคู่ค้าว่าต้องแจ้งกลับมาภายในกี่ชั่วโมง โดยให้เหลือเวลาพอสำหรับกรอบ 72 ชั่วโมงขององค์กรเอง
- ตรวจว่าใครมีอำนาจตัดสินใจแจ้งเหตุ และติดต่อได้นอกเวลาทำการหรือไม่
- เตรียมแบบฟอร์มการแจ้งเหตุไว้ล่วงหน้า เพื่อไม่ต้องเสียเวลาออกแบบตอนเกิดเรื่อง
- ซ้อมด้วยสถานการณ์ที่เหตุเกิดเย็นวันศุกร์ ซึ่งเป็นกรณีที่กดดันที่สุด
อีกฝ่ายอาจโต้แย้งอย่างไร
- "องค์กรทราบเหตุก่อนวันที่อ้าง" — ยกข้อความในกลุ่มแชท อีเมล หรือบันทึกระบบที่แสดงว่ามีคนพูดถึงเรื่องนี้ก่อนหน้า
- "อ้างว่ายังไม่แน่ใจ เพื่อยืดเวลา" — เมื่อองค์กรไม่มีบันทึกการตรวจสอบข้อเท็จจริงในช่วงนั้น จะดูเหมือนไม่ได้ทำอะไรเลยมากกว่าดูเหมือนกำลังตรวจสอบ
- "ไม่มีเหตุผลที่จะใช้เวลานานขนาดนั้น" — โดยเทียบกับขอบเขตของเหตุที่ไม่ซับซ้อน
- "คู่ค้าแจ้งมาแล้วแต่องค์กรนิ่ง" — เมื่อมีอีเมลจากคู่ค้าเป็นหลักฐานวันที่ชัดเจน
- "แจ้งหลังจากมีคนเปิดเผยต่อสาธารณะแล้ว" — ซึ่งทำให้ดูเหมือนแจ้งเพราะถูกจับได้ ไม่ใช่แจ้งตามหน้าที่
ถ้าเกิดเหตุวันนี้ ควรทำอะไรตามลำดับ
- บันทึกวันเวลาที่ได้รับแจ้งทันที ก่อนเริ่มตรวจสอบใด ๆ
- ประเมินความน่าเชื่อถือของข้อมูลที่ได้รับ และเริ่มตรวจสอบข้อเท็จจริง
- ระงับไม่ให้ความเสียหายลุกลามเท่าที่ทำได้ทันที พร้อมจดเวลาที่ทำ
- ประเมินความเสี่ยงตามปัจจัยที่ประกาศกำหนด และบันทึกไว้
- ให้ทนายประเมินว่าจุดเริ่มนับควรเป็นเมื่อใด และเข้าเกณฑ์ต้องแจ้งหรือไม่
- หากต้องแจ้ง ให้แจ้งด้วยข้อมูลเท่าที่ทราบภายในกรอบเวลา แล้วแจ้งเพิ่มเติมภายหลัง
กรณีแบบไหนที่ควรปรึกษาทนาย
- ไม่แน่ใจว่าควรถือวันไหนเป็นวันที่ทราบเหตุ
- พบว่ามีพนักงานรู้เรื่องมาก่อนหลายวันแล้วแต่ไม่ได้รายงาน
- เหตุมาจากคู่ค้าและไม่ชัดว่าเริ่มนับตั้งแต่คู่ค้าทราบหรือตั้งแต่องค์กรได้รับแจ้ง
- ใกล้ครบ 72 ชั่วโมงแต่ยังตรวจสอบไม่เสร็จ
- ประเมินแล้วคิดว่าไม่ต้องแจ้ง แต่ไม่มั่นใจในการวิเคราะห์
- เลยกรอบเวลาไปแล้วและต้องตัดสินใจว่าจะทำอย่างไรต่อ
- เรื่องถูกเปิดเผยต่อสาธารณะก่อนที่องค์กรจะแจ้ง
สำนักงานกฎหมายยอดทิพย์ธรรม ช่วยอะไรได้บ้าง
คำถามว่านับจากเมื่อไรเป็นคำถามที่ต้องตอบเร็วและตอบให้ถูก เพราะกำหนดทุกอย่างที่ตามมา · บริการประเมินเหตุข้อมูลรั่วไหลเร่งด่วน ของเราช่วยจัดทำไทม์ไลน์เหตุการณ์ ประเมินจุดเริ่มนับจากข้อเท็จจริงที่มี ประเมินระดับความเสี่ยง และบันทึกเหตุผลประกอบการตัดสินใจแจ้งเหตุไว้เป็นเอกสารที่ใช้ยันได้
เราจะบอกตรง ๆ ทั้งกรณีที่ประเมินแล้วไม่เข้าเกณฑ์ต้องแจ้ง และกรณีที่เลยกำหนดไปแล้วซึ่งควรเร่งแจ้งพร้อมแสดงเหตุผลและมาตรการเยียวยา เพราะพฤติการณ์หลังทราบเหตุเป็นสิ่งที่ถูกนำมาชั่งน้ำหนักจริง ดังที่ปรากฏในคำสั่งที่เคยมี
สรุป
การนับ 72 ชั่วโมงเริ่มจากจุดที่องค์กรทราบเหตุ ซึ่งคือจุดที่มีเหตุอันควรเชื่อว่ามีหรือน่าจะมีการละเมิด ไม่ใช่วันที่เหตุเกิดจริง และไม่ใช่วันที่สอบสวนเสร็จ กฎหมายเปิดช่องให้แจ้งเท่าที่ทราบก่อนแล้วแจ้งเพิ่มเติมภายหลังได้
สิ่งที่ทำให้องค์กรเสียเปรียบไม่ใช่การนับผิด แต่คือการตอบไม่ได้ว่านับจากเมื่อไร เพราะไม่เคยมีใครจด องค์กรที่ตั้งจุดรับแจ้งกลางและบันทึกวันเวลาทุกครั้ง จึงได้เปรียบตั้งแต่ยังไม่เกิดเหตุ
หากคุณกำลังเจอปัญหาลักษณะนี้ ปรึกษาทีมทนายของสำนักงานกฎหมายยอดทิพย์ธรรม โทร 081-327-8551 | LINE @995iqtpa หรือนัดหมายปรึกษาที่นี่
ข้อกฎหมายที่เกี่ยวข้อง
- พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 มาตรา 37 (4) — แจ้งเหตุการละเมิดข้อมูลส่วนบุคคลแก่สำนักงานฯ โดยไม่ชักช้าภายใน 72 ชั่วโมงนับแต่ทราบเหตุเท่าที่จะสามารถกระทำได้ เว้นแต่การละเมิดนั้นไม่มีความเสี่ยงที่จะมีผลกระทบต่อสิทธิและเสรีภาพของบุคคล และหากมีความเสี่ยงสูง ต้องแจ้งเจ้าของข้อมูลพร้อมแนวทางเยียวยาโดยไม่ชักช้า
- ประกาศ กคส. เรื่อง หลักเกณฑ์และวิธีการในการแจ้งเหตุการละเมิดข้อมูลส่วนบุคคล พ.ศ. 2565 — เมื่อได้รับแจ้งว่ามีหรือน่าจะมีเหตุละเมิด ให้ประเมินความน่าเชื่อถือของข้อมูลและตรวจสอบข้อเท็จจริง แล้วเมื่อเห็นว่ามีเหตุอันควรเชื่อว่ามีการละเมิดเกิดขึ้นจริง จึงแจ้งเหตุนั้น
- ประกาศฯ · หน้าที่ระงับเหตุ — หากประเมินแล้วพบว่ามีความเสี่ยงสูงต่อสิทธิและเสรีภาพของบุคคล ให้ดำเนินการป้องกัน ระงับ หรือแก้ไขเพื่อให้การละเมิดสิ้นสุดหรือไม่ส่งผลกระทบเพิ่มเติม โดยทันทีเท่าที่จะทำได้
- มาตรา 37 (1) — หน้าที่จัดให้มีมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสม ซึ่งเป็นคนละฐานความผิดกับหน้าที่แจ้งเหตุ
- บทบาทผู้ประมวลผลข้อมูลส่วนบุคคล — มีหน้าที่แจ้งเหตุการละเมิดกลับมายังผู้ควบคุมข้อมูลส่วนบุคคล เพื่อให้ผู้ควบคุมประเมินและดำเนินการต่อ (ควรตรวจถ้อยคำของมาตราที่เกี่ยวข้องและข้อสัญญาที่ใช้จริงประกอบ)
- ประกาศ กคส. เรื่อง หลักเกณฑ์การพิจารณาออกคำสั่งลงโทษปรับทางปกครองของคณะกรรมการผู้เชี่ยวชาญ พ.ศ. 2565 ข้อ 8 — ปัจจัยที่นำมาพิจารณา ซึ่งรวมถึงการเยียวยาและบรรเทาความเสียหายเมื่อทราบเหตุ
คำถามที่พบบ่อย
72 ชั่วโมงนับเป็นวันทำการหรือนับต่อเนื่อง
มาตรา 37 (4) เขียนเป็นชั่วโมง ไม่ได้เขียนเป็นวันทำการ องค์กรจึงไม่ควรคิดเป็น 3 วันทำการ เพราะเหตุที่เกิดเย็นวันศุกร์หรือก่อนวันหยุดยาว จะทำให้เลยกำหนดโดยไม่รู้ตัว แนวปฏิบัติที่ปลอดภัยคือกำหนดช่องทางติดต่อผู้มีอำนาจตัดสินใจนอกเวลาทำการไว้ล่วงหน้า และซ้อมสถานการณ์ที่เหตุเกิดในช่วงวันหยุดโดยเฉพาะ
ยังไม่รู้ว่าข้อมูลรั่วไปเท่าไร แจ้งได้ไหม
แจ้งได้ และในหลายกรณีควรแจ้ง เพราะมาตรา 37 (4) ใช้ถ้อยคำว่า "เท่าที่จะสามารถกระทำได้" ซึ่งเปิดช่องให้แจ้งด้วยข้อมูลเท่าที่ทราบก่อน แล้วแจ้งรายละเอียดเพิ่มเติมเมื่อตรวจสอบได้ครบถ้วน การรอจนสอบสวนเสร็จแล้วค่อยแจ้งจึงมักเป็นทางเลือกที่เสี่ยงกว่า ทั้งนี้ควรให้ทนายประเมินเนื้อหาที่จะแจ้งก่อน เพราะคำแจ้งฉบับแรกจะถูกใช้อ้างอิงต่อในทุกชั้น
คู่ค้าทราบเหตุก่อนเรา นับจากตอนคู่ค้าทราบหรือตอนเราได้รับแจ้ง
หน้าที่แจ้งเหตุตามมาตรา 37 (4) เป็นหน้าที่ของผู้ควบคุมข้อมูลส่วนบุคคล และผู้ประมวลผลมีหน้าที่แจ้งกลับมายังผู้ควบคุม ในทางปฏิบัติจึงมักถือจากจุดที่ผู้ควบคุมได้รับแจ้ง แต่ประเด็นนี้ขึ้นอยู่กับข้อเท็จจริงและข้อสัญญาระหว่างกัน องค์กรจึงควรกำหนดในสัญญาให้คู่ค้าแจ้งกลับภายในกรอบเวลาที่สั้นพอจะเหลือเวลาให้องค์กรดำเนินการภายใน 72 ชั่วโมงของตนเอง
เลย 72 ชั่วโมงไปแล้ว ควรทำอย่างไร
ควรเร่งแจ้งโดยเร็วที่สุดพร้อมชี้แจงเหตุผลของความล่าช้าและมาตรการที่ได้ดำเนินการไปแล้ว มากกว่าการเลือกไม่แจ้ง เพราะพฤติการณ์หลังทราบเหตุเป็นสิ่งที่ถูกนำมาพิจารณาจริง ในคดีที่เคยมีคำสั่ง ประเด็นการแจ้งล่าช้าได้รับเพียงการว่ากล่าวตักเตือน โดยให้เหตุผลว่าหน่วยงานไม่ได้เพิกเฉย มีการระงับเหตุทันที และให้ความร่วมมือในการสอบสวนเป็นอย่างดี ทั้งนี้ผลในแต่ละกรณีขึ้นอยู่กับข้อเท็จจริง ควรปรึกษาทนายก่อนดำเนินการ
สาขาที่เชี่ยวชาญ: ครอบครัว · มรดกและพินัยกรรม · หนี้สินและบังคับคดี
ดูประวัติทีมทนายความ →บทความนี้เป็นความรู้กฎหมายทั่วไปเพื่อความเข้าใจเบื้องต้น ไม่ใช่คำปรึกษาทางกฎหมายเฉพาะคดี ผลทางกฎหมายขึ้นอยู่กับข้อเท็จจริง เอกสาร และพยานหลักฐานของแต่ละกรณี ควรปรึกษาทนายความเพื่อประเมินเรื่องของท่านโดยเฉพาะ
บทความที่เกี่ยวข้อง
PDPA คุ้มครองข้อมูล
ข้อมูลรั่ว 6 ชั่วโมงแรกต้องทำอะไร เช็กลิสต์ 10 ข้อ ฉบับทนาย
6 ชั่วโมงแรกหลังพบเหตุข้อมูลรั่ว คือช่วงที่กำหนดว่าจะแจ้งเหตุทันหรือไม่ สรุปเช็กลิสต์ 10 ข้อที่ต้องทำก่อน
นายเอกราช ทิพย์แมม
·อ่าน 10 นาที
PDPA คุ้มครองข้อมูล
PDPA กับข้อมูลพนักงาน คู่มือนายจ้างและ HR ตั้งแต่รับสมัครจนพ้นสภาพ
ข้อมูลพนักงาน สรุปหน้าที่นายจ้างตลอดวงจรการจ้าง ตั้งแต่รับสมัคร ระหว่างจ้าง จนพ้นสภาพ พร้อมจุดที่พ่วงคดีแรงงาน
นายเอกราช ทิพย์แมม
·อ่าน 11 นาที
PDPA คุ้มครองข้อมูล
ตารางระยะเวลาเก็บเอกสาร HR ทำอย่างไรให้ถูกทั้ง PDPA และกฎหมายแรงงาน
ตารางระยะเวลาเก็บเอกสาร HR ที่ถูกต้องต้องอิงนาฬิกา 4 เรือนพร้อมกัน ไม่ใช่ลอกตัวเลขจากที่อื่นมาใช้
นายเอกราช ทิพย์แมม
·อ่าน 10 นาที
ปรึกษาทีมทนาย PDPAของเรา
เราพร้อมรับฟังและประเมินแนวทางที่เหมาะกับกรณีของท่าน ทุกเรื่องเป็นความลับ