นับ 72 ชั่วโมงจากเมื่อใด ใครในองค์กรที่ทราบเหตุแล้วถือว่าเริ่มนับ

สรุปประเด็นสำคัญ
กรอบ 72 ชั่วโมงตามมาตรา 37 (4) นับแต่ทราบเหตุ ไม่ใช่นับแต่วันที่เหตุเกิดขึ้นจริง และไม่ใช่นับแต่วันที่องค์กรยืนยันความเสียหายได้ครบถ้วน ประกาศ กคส. ปี 2565 วางลำดับไว้ว่าเมื่อได้รับแจ้งว่า"มีหรือน่าจะมี"เหตุละเมิด ให้เริ่มประเมินความน่าเชื่อถือของข้อมูลและตรวจสอบข้อเท็จจริงทันที ซึ่งแปลว่านาฬิกาเริ่มเดินตั้งแต่จุดที่องค์กรมีเหตุอันควรเชื่อ ไม่ใช่จุดที่พิสูจน์ได้แล้ว
ส่วนคำถามว่าใครในองค์กรที่ทราบแล้วถือว่าองค์กรทราบ — ในทางปฏิบัติควรถือจากจุดที่ผู้มีหน้าที่รับเรื่องหรือผู้มีอำนาจตัดสินใจได้รับทราบ แต่องค์กรจะอ้างว่าฝ่ายกฎหมายเพิ่งรู้เมื่อวาน ทั้งที่พนักงานคุยเรื่องนี้ในกลุ่มแชทมาสามวันแล้วไม่ได้ เพราะข้อความเหล่านั้นตรวจสอบย้อนหลังได้
คำถามที่ดูเหมือนง่ายแต่ตอบยากที่สุดเวลาเกิดเหตุข้อมูลรั่ว คือจะนับ 72 ชั่วโมงจากตรงไหน เพราะเหตุการณ์จริงไม่เคยมาเป็นจุดเดียวชัด ๆ แต่มาเป็นลำดับ คือมีคนสังเกตเห็นอะไรผิดปกติวันหนึ่ง มีการคุยกันในกลุ่มอีกวันหนึ่ง แล้วเรื่องถึงหัวหน้าอีกวันหนึ่ง กว่าฝ่ายกฎหมายจะรู้ก็ผ่านไปแล้วหลายวัน คำถามคือกฎหมายมองจุดไหนว่าเป็นจุดเริ่ม
กฎหมายเขียนว่าอย่างไร
มาตรา 37 (4) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 กำหนดให้ผู้ควบคุมข้อมูลส่วนบุคคลแจ้งเหตุการละเมิดข้อมูลส่วนบุคคลแก่สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลโดยไม่ชักช้าภายใน 72 ชั่วโมงนับแต่ทราบเหตุเท่าที่จะสามารถกระทำได้ เว้นแต่การละเมิดดังกล่าวไม่มีความเสี่ยงที่จะมีผลกระทบต่อสิทธิและเสรีภาพของบุคคล
ภาพรวมหน้าที่แจ้งเหตุอยู่ที่คู่มือข้อมูลรั่วไหล 72 ชั่วโมง · คำสำคัญคือ "ทราบเหตุ" ไม่ใช่ "เหตุเกิด" และไม่ใช่ "ยืนยันได้" ซึ่งเป็นสามจุดที่ต่างกันมากในทางเวลา เหตุอาจเกิดเมื่อสองเดือนก่อน องค์กรเพิ่งทราบเมื่อวาน และอาจยืนยันขอบเขตได้ครบในอีกสองสัปดาห์ข้างหน้า นาฬิกาเริ่มเดินที่จุดกลาง
ประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง หลักเกณฑ์และวิธีการในการแจ้งเหตุการละเมิดข้อมูลส่วนบุคคล พ.ศ. 2565 ช่วยให้ภาพชัดขึ้น เพราะวางลำดับไว้ว่า เมื่อได้รับแจ้งว่ามีหรือน่าจะมีเหตุละเมิด ให้ประเมินความน่าเชื่อถือของข้อมูลและตรวจสอบข้อเท็จจริงก่อน จากนั้นเมื่อพิจารณาแล้วเห็นว่ามีเหตุอันควรเชื่อว่ามีการละเมิดเกิดขึ้นจริง จึงแจ้งเหตุนั้น
สามจุดที่มักถูกสับสน
| จุด | คืออะไร | ใช้เป็นจุดเริ่มนับหรือไม่ |
|---|---|---|
| เหตุเกิดจริง | วันที่ข้อมูลรั่วออกไปจริง เช่น วันที่ไฟล์ถูกส่งผิด หรือวันที่ระบบถูกเข้าถึง | ไม่ใช่ — บ่อยครั้งองค์กรไม่รู้ด้วยซ้ำว่าเกิดวันไหน |
| ทราบเหตุ | จุดที่องค์กรได้รับแจ้งหรือพบว่ามีหรือน่าจะมีการละเมิด และมีเหตุอันควรเชื่อ | ใช่ นี่คือจุดเริ่มนับตามมาตรา 37 (4) |
| ยืนยันขอบเขตได้ครบ | จุดที่การสอบสวนเสร็จสิ้น ทราบจำนวนผู้ได้รับผลกระทบและความเสียหายที่แน่ชัด | ไม่ใช่ — และมักมาถึงหลังครบ 72 ชั่วโมงไปแล้ว |
ผลในทางปฏิบัติที่สำคัญคือ องค์กรไม่จำเป็นต้องรู้ทุกอย่างก่อนแจ้ง กฎหมายใช้คำว่า "เท่าที่จะสามารถกระทำได้" ซึ่งเปิดช่องให้แจ้งเท่าที่ทราบก่อนแล้วแจ้งเพิ่มเติมภายหลังได้ การรอจนสอบสวนเสร็จจึงเป็นการเลือกที่เสี่ยงกว่าการแจ้งด้วยข้อมูลเท่าที่มี
ใครในองค์กรที่ทราบแล้วถือว่าองค์กรทราบ
นี่คือคำถามที่กฎหมายไม่ได้เขียนตอบไว้เป็นสูตรตายตัว และต้องพิจารณาจากข้อเท็จจริงเป็นรายกรณี แต่มีหลักคิดที่ใช้ได้ในทางปฏิบัติสามข้อ
หนึ่ง ดูจากผู้มีหน้าที่รับเรื่อง องค์กรที่กำหนดไว้ชัดว่าใครคือจุดรับแจ้งเหตุ จะอธิบายได้ง่ายกว่าว่านับจากเมื่อไร ส่วนองค์กรที่ไม่เคยกำหนด จะถูกตั้งคำถามว่าเหตุใดเรื่องจึงใช้เวลาหลายวันกว่าจะถึงผู้มีอำนาจ
สอง ความรู้ของพนักงานไม่ได้ไร้ผล แม้จะอ้างว่าฝ่ายกฎหมายเพิ่งทราบ แต่ถ้ามีข้อความในกลุ่มแชทหรืออีเมลที่พนักงานคุยเรื่องนี้กันมาก่อนหน้านั้นหลายวัน หลักฐานเหล่านั้นตรวจสอบย้อนหลังได้และมักถูกยกขึ้นโต้แย้ง
สาม ความล่าช้าภายในเป็นความเสี่ยงขององค์กรเอง การที่เรื่องติดอยู่ที่หัวหน้าแผนกคนหนึ่งเป็นเวลาสามวัน ไม่ใช่ข้อแก้ตัวที่ดี เพราะเป็นผลจากการที่องค์กรไม่ได้ออกแบบช่องทางรายงานไว้ ซึ่งเป็นเรื่องที่องค์กรควบคุมได้
ข้อสังเกตจากคำสั่งลงโทษปรับที่เคยมี — ในคดีที่หน่วยงานแห่งหนึ่งถูกวินิจฉัยว่าแจ้งเหตุล่าช้า คำสั่งระบุว่าหน่วยงานทราบเหตุในช่วงวันที่ 10 ถึง 11 มิถุนายน 2567 แต่แจ้งอย่างเป็นทางการเมื่อวันที่ 21 มิถุนายน 2567 ซึ่งเกินกรอบเวลา จะเห็นว่าจุดที่ถูกนำมาใช้เป็นตัวตั้งคือช่วงวันที่ทราบเหตุ ไม่ใช่วันที่สอบสวนเสร็จ
คนส่วนใหญ่มักเข้าใจผิดตรงไหน
เข้าใจผิดที่ 1: "ต้องมั่นใจร้อยเปอร์เซ็นต์ก่อนถึงเริ่มนับ" — ความจริง คือประกาศพูดถึงกรณี "มีหรือน่าจะมี" และใช้เกณฑ์ "มีเหตุอันควรเชื่อ" · ผลเสีย คือรอจนแน่ใจแล้วเลยกำหนดไปแล้ว
เข้าใจผิดที่ 2: "72 ชั่วโมงคือ 3 วันทำการ" — ความจริง คือกฎหมายเขียนเป็นชั่วโมง ไม่ได้เขียนเป็นวันทำการ · ผลเสีย คือเหตุที่เกิดเย็นวันศุกร์ ถ้าคิดเป็นวันทำการจะเลยกำหนดโดยไม่รู้ตัว
เข้าใจผิดที่ 3: "ผู้ประมวลผลรู้ ไม่ใช่เรารู้" — ความจริง คือผู้ประมวลผลมีหน้าที่แจ้งกลับมายังผู้ควบคุมข้อมูล และเมื่อผู้ควบคุมได้รับแจ้ง หน้าที่ก็เริ่ม · ผลเสีย คือองค์กรที่ไม่ได้กำหนดกรอบเวลาแจ้งกลับไว้ในสัญญา มักได้รับแจ้งช้าจนไม่เหลือเวลา
เข้าใจผิดที่ 4: "แจ้งช้าไปนิดหน่อย ไม่เป็นไร" — ความจริง คือการแจ้งล่าช้าเป็นประเด็นแยกต่างหากจากประเด็นเรื่องมาตรการรักษาความมั่นคงปลอดภัย และเคยถูกวินิจฉัยเป็นคนละฐานความผิดมาแล้ว · ผลเสีย คือเหตุเดียวกลายเป็นสองประเด็น
เลนส์ทนายยอดทิพย์ธรรม
คนทั่วไปมักเข้าใจว่า… ถ้าอธิบายได้ว่าทำไมถึงช้า ก็น่าจะเข้าใจกันได้ เพราะทุกองค์กรก็มีขั้นตอนภายในเหมือนกัน
แต่ในทางคดี กฎหมายและศาลมักมองว่า… ความล่าช้าที่เกิดจากโครงสร้างภายในขององค์กรเอง เป็นความเสี่ยงที่องค์กรต้องรับ เพราะเป็นสิ่งที่องค์กรออกแบบและควบคุมได้ ต่างจากความล่าช้าที่เกิดจากเหตุภายนอกซึ่งอธิบายได้ง่ายกว่า
จุดเสี่ยงจริงอยู่ตรงนี้… องค์กรส่วนใหญ่ตอบคำถามว่าทราบเหตุเมื่อไรไม่ได้เลย เพราะไม่มีจุดลงทะเบียนรับแจ้ง และเมื่อตอบไม่ได้ ฝ่ายที่โต้แย้งก็จะเลือกจุดที่เร็วที่สุดเท่าที่หลักฐานปรากฏมาเป็นตัวตั้ง ซึ่งมักเป็นข้อความในกลุ่มแชทของพนักงาน
ทางเลือกที่ควรทำต่อคือ… กำหนดจุดรับแจ้งเหตุกลางไว้หนึ่งจุด ประกาศให้ทุกคนรู้ว่าเจอเรื่องผิดปกติต้องแจ้งที่ใดภายในกี่ชั่วโมง และให้จุดนั้นบันทึกวันเวลาทุกครั้งที่ได้รับแจ้ง แม้เรื่องนั้นจะยังไม่แน่ว่าเป็นเหตุละเมิดจริงหรือไม่
ปลายทางถ้านับผิดหรือแจ้งช้า
- เกิดประเด็นเรื่องการแจ้งล่าช้าตามมาตรา 37 (4) ซึ่งแยกจากประเด็นเรื่องมาตรการรักษาความมั่นคงปลอดภัยตามมาตรา 37 (1)
- คณะกรรมการผู้เชี่ยวชาญพิจารณาว่าจะสั่งให้แก้ไข ตักเตือน หรือลงโทษปรับ โดยดูพฤติการณ์และปัจจัยประกอบ
- ในคดีที่เคยมี ประเด็นการแจ้งล่าช้าได้รับเพียงการว่ากล่าวตักเตือน เพราะเห็นว่าหน่วยงานไม่ได้เพิกเฉย มีการระงับเหตุทันที และให้ความร่วมมือในการสอบสวนเป็นอย่างดี ซึ่งแสดงว่าพฤติการณ์ระหว่างทางมีผลจริง
- หากเรื่องบานปลายเป็นข้อร้องเรียนเต็มรูปแบบ กระบวนการจะเดินต่อไปตามที่อธิบายไว้ในงานรับมือข้อร้องเรียนและคำสั่งทางปกครอง
- และในกรณีที่ผู้เสียหายเป็นพนักงาน เรื่องมักเดินคู่ขนานไปที่ศาลแรงงานด้วย
หลักฐานที่ต้องเก็บ
- ทะเบียนรับแจ้งเหตุกลาง ที่บันทึกวันเวลา ผู้แจ้ง ช่องทาง และเนื้อหาที่แจ้ง
- บันทึกว่าเรื่องถูกส่งต่อถึงใครเมื่อใด ตั้งแต่จุดรับแจ้งจนถึงผู้มีอำนาจตัดสินใจ
- บันทึกการประเมินความน่าเชื่อถือของข้อมูลและการตรวจสอบข้อเท็จจริงเบื้องต้น
- เอกสารประเมินความเสี่ยงพร้อมข้อสรุปและเหตุผล
- สำเนาการแจ้งเหตุที่ยื่นไป พร้อมหลักฐานวันเวลาที่ยื่น
- หากแจ้งเพิ่มเติมภายหลัง ให้เก็บทั้งฉบับแรกและฉบับเพิ่มเติม
- หากประเมินแล้วไม่แจ้ง ให้เก็บบันทึกเหตุผลและชื่อผู้ตัดสินใจ
ถ้าเป็นฝ่ายองค์กร ต้องทำอะไรบ้าง
- กำหนดจุดรับแจ้งเหตุกลางหนึ่งจุด และประกาศให้พนักงานทุกคนทราบ
- กำหนดว่าเมื่อพบเรื่องผิดปกติ ต้องแจ้งภายในกี่ชั่วโมง และแจ้งอย่างไรนอกเวลาทำการ
- ให้จุดรับแจ้งบันทึกวันเวลาทุกครั้ง แม้ยังไม่แน่ว่าเป็นเหตุละเมิดจริง
- กำหนดในสัญญากับคู่ค้าว่าต้องแจ้งกลับมาภายในกี่ชั่วโมง โดยให้เหลือเวลาพอสำหรับกรอบ 72 ชั่วโมงขององค์กรเอง
- ตรวจว่าใครมีอำนาจตัดสินใจแจ้งเหตุ และติดต่อได้นอกเวลาทำการหรือไม่
- เตรียมแบบฟอร์มการแจ้งเหตุไว้ล่วงหน้า เพื่อไม่ต้องเสียเวลาออกแบบตอนเกิดเรื่อง
- ซ้อมด้วยสถานการณ์ที่เหตุเกิดเย็นวันศุกร์ ซึ่งเป็นกรณีที่กดดันที่สุด
อีกฝ่ายอาจโต้แย้งอย่างไร
- "องค์กรทราบเหตุก่อนวันที่อ้าง" — ยกข้อความในกลุ่มแชท อีเมล หรือบันทึกระบบที่แสดงว่ามีคนพูดถึงเรื่องนี้ก่อนหน้า
- "อ้างว่ายังไม่แน่ใจ เพื่อยืดเวลา" — เมื่อองค์กรไม่มีบันทึกการตรวจสอบข้อเท็จจริงในช่วงนั้น จะดูเหมือนไม่ได้ทำอะไรเลยมากกว่าดูเหมือนกำลังตรวจสอบ
- "ไม่มีเหตุผลที่จะใช้เวลานานขนาดนั้น" — โดยเทียบกับขอบเขตของเหตุที่ไม่ซับซ้อน
- "คู่ค้าแจ้งมาแล้วแต่องค์กรนิ่ง" — เมื่อมีอีเมลจากคู่ค้าเป็นหลักฐานวันที่ชัดเจน
- "แจ้งหลังจากมีคนเปิดเผยต่อสาธารณะแล้ว" — ซึ่งทำให้ดูเหมือนแจ้งเพราะถูกจับได้ ไม่ใช่แจ้งตามหน้าที่
ถ้าเกิดเหตุวันนี้ ควรทำอะไรตามลำดับ
- บันทึกวันเวลาที่ได้รับแจ้งทันที ก่อนเริ่มตรวจสอบใด ๆ (ดูเช็กลิสต์ 6 ชั่วโมงแรก)
- ประเมินความน่าเชื่อถือของข้อมูลที่ได้รับ และเริ่มตรวจสอบข้อเท็จจริง
- ระงับไม่ให้ความเสียหายลุกลามเท่าที่ทำได้ทันที พร้อมจดเวลาที่ทำ
- ประเมินความเสี่ยงตามปัจจัยที่ประกาศกำหนด และบันทึกไว้
- ให้ทนายประเมินว่าจุดเริ่มนับควรเป็นเมื่อใด และเข้าเกณฑ์ต้องแจ้งหรือไม่
- หากต้องแจ้ง ให้แจ้งด้วยข้อมูลเท่าที่ทราบภายในกรอบเวลา แล้วแจ้งเพิ่มเติมภายหลัง
กรณีแบบไหนที่ควรปรึกษาทนาย
- ไม่แน่ใจว่าควรถือวันไหนเป็นวันที่ทราบเหตุ
- พบว่ามีพนักงานรู้เรื่องมาก่อนหลายวันแล้วแต่ไม่ได้รายงาน
- เหตุมาจากคู่ค้าและไม่ชัดว่าเริ่มนับตั้งแต่คู่ค้าทราบหรือตั้งแต่องค์กรได้รับแจ้ง
- ใกล้ครบ 72 ชั่วโมงแต่ยังตรวจสอบไม่เสร็จ
- ประเมินแล้วคิดว่าไม่ต้องแจ้ง แต่ไม่มั่นใจในการวิเคราะห์
- เลยกรอบเวลาไปแล้วและต้องตัดสินใจว่าจะทำอย่างไรต่อ
- เรื่องถูกเปิดเผยต่อสาธารณะก่อนที่องค์กรจะแจ้ง
สำนักงานกฎหมายยอดทิพย์ธรรม ช่วยอะไรได้บ้าง
คำถามว่านับจากเมื่อไรเป็นคำถามที่ต้องตอบเร็วและตอบให้ถูก เพราะกำหนดทุกอย่างที่ตามมา · บริการประเมินเหตุข้อมูลรั่วไหลเร่งด่วน ของเราช่วยจัดทำไทม์ไลน์เหตุการณ์ ประเมินจุดเริ่มนับจากข้อเท็จจริงที่มี ประเมินระดับความเสี่ยง และบันทึกเหตุผลประกอบการตัดสินใจแจ้งเหตุไว้เป็นเอกสารที่ใช้ยันได้
เราจะบอกตรง ๆ ทั้งกรณีที่ประเมินแล้วไม่เข้าเกณฑ์ต้องแจ้ง และกรณีที่เลยกำหนดไปแล้วซึ่งควรเร่งแจ้งพร้อมแสดงเหตุผลและมาตรการเยียวยา เพราะพฤติการณ์หลังทราบเหตุเป็นสิ่งที่ถูกนำมาชั่งน้ำหนักจริง ดังที่ปรากฏในคำสั่งที่เคยมี
สรุป
การนับ 72 ชั่วโมงเริ่มจากจุดที่องค์กรทราบเหตุ ซึ่งคือจุดที่มีเหตุอันควรเชื่อว่ามีหรือน่าจะมีการละเมิด ไม่ใช่วันที่เหตุเกิดจริง และไม่ใช่วันที่สอบสวนเสร็จ กฎหมายเปิดช่องให้แจ้งเท่าที่ทราบก่อนแล้วแจ้งเพิ่มเติมภายหลังได้
สิ่งที่ทำให้องค์กรเสียเปรียบไม่ใช่การนับผิด แต่คือการตอบไม่ได้ว่านับจากเมื่อไร เพราะไม่เคยมีใครจด องค์กรที่ตั้งจุดรับแจ้งกลางและบันทึกวันเวลาทุกครั้ง จึงได้เปรียบตั้งแต่ยังไม่เกิดเหตุ
หากคุณกำลังเจอปัญหาลักษณะนี้ ปรึกษาทีมทนายของสำนักงานกฎหมายยอดทิพย์ธรรม โทร 081-327-8551 | LINE @995iqtpa หรือนัดหมายปรึกษาที่นี่
ข้อกฎหมายที่เกี่ยวข้อง
- พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 มาตรา 37 (4) — แจ้งเหตุการละเมิดข้อมูลส่วนบุคคลแก่สำนักงานฯ โดยไม่ชักช้าภายใน 72 ชั่วโมงนับแต่ทราบเหตุเท่าที่จะสามารถกระทำได้ เว้นแต่การละเมิดนั้นไม่มีความเสี่ยงที่จะมีผลกระทบต่อสิทธิและเสรีภาพของบุคคล และหากมีความเสี่ยงสูง ต้องแจ้งเจ้าของข้อมูลพร้อมแนวทางเยียวยาโดยไม่ชักช้า
- ประกาศ กคส. เรื่อง หลักเกณฑ์และวิธีการในการแจ้งเหตุการละเมิดข้อมูลส่วนบุคคล พ.ศ. 2565 — เมื่อได้รับแจ้งว่ามีหรือน่าจะมีเหตุละเมิด ให้ประเมินความน่าเชื่อถือของข้อมูลและตรวจสอบข้อเท็จจริง แล้วเมื่อเห็นว่ามีเหตุอันควรเชื่อว่ามีการละเมิดเกิดขึ้นจริง จึงแจ้งเหตุนั้น
- ประกาศฯ · หน้าที่ระงับเหตุ — หากประเมินแล้วพบว่ามีความเสี่ยงสูงต่อสิทธิและเสรีภาพของบุคคล ให้ดำเนินการป้องกัน ระงับ หรือแก้ไขเพื่อให้การละเมิดสิ้นสุดหรือไม่ส่งผลกระทบเพิ่มเติม โดยทันทีเท่าที่จะทำได้
- มาตรา 37 (1) — หน้าที่จัดให้มีมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสม ซึ่งเป็นคนละฐานความผิดกับหน้าที่แจ้งเหตุ
- มาตรา 40 (2) — ผู้ประมวลผลข้อมูลส่วนบุคคลมีหน้าที่จัดให้มีมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสม รวมทั้งแจ้งให้ผู้ควบคุมข้อมูลส่วนบุคคลทราบถึงเหตุการละเมิดที่เกิดขึ้น · ⚠️ กฎหมายไม่ได้กำหนดกรอบเวลาที่ผู้ประมวลผลต้องแจ้งกลับ ต่างจากกรอบ 72 ชั่วโมงของผู้ควบคุมข้อมูล ช่องว่างนี้จึงต้องปิดด้วยข้อสัญญา
- ประกาศ กคส. เรื่อง หลักเกณฑ์การพิจารณาออกคำสั่งลงโทษปรับทางปกครองของคณะกรรมการผู้เชี่ยวชาญ พ.ศ. 2565 ข้อ 8 — ปัจจัยที่นำมาพิจารณา ซึ่งรวมถึงการเยียวยาและบรรเทาความเสียหายเมื่อทราบเหตุ
คำถามที่พบบ่อย
72 ชั่วโมงนับเป็นวันทำการหรือนับต่อเนื่อง
มาตรา 37 (4) เขียนเป็นชั่วโมง ไม่ได้เขียนเป็นวันทำการ องค์กรจึงไม่ควรคิดเป็น 3 วันทำการ เพราะเหตุที่เกิดเย็นวันศุกร์หรือก่อนวันหยุดยาว จะทำให้เลยกำหนดโดยไม่รู้ตัว แนวปฏิบัติที่ปลอดภัยคือกำหนดช่องทางติดต่อผู้มีอำนาจตัดสินใจนอกเวลาทำการไว้ล่วงหน้า และซ้อมสถานการณ์ที่เหตุเกิดในช่วงวันหยุดโดยเฉพาะ
ยังไม่รู้ว่าข้อมูลรั่วไปเท่าไร แจ้งได้ไหม
แจ้งได้ และในหลายกรณีควรแจ้ง เพราะมาตรา 37 (4) ใช้ถ้อยคำว่า "เท่าที่จะสามารถกระทำได้" ซึ่งเปิดช่องให้แจ้งด้วยข้อมูลเท่าที่ทราบก่อน แล้วแจ้งรายละเอียดเพิ่มเติมเมื่อตรวจสอบได้ครบถ้วน การรอจนสอบสวนเสร็จแล้วค่อยแจ้งจึงมักเป็นทางเลือกที่เสี่ยงกว่า ทั้งนี้ควรให้ทนายประเมินเนื้อหาที่จะแจ้งก่อน เพราะคำแจ้งฉบับแรกจะถูกใช้อ้างอิงต่อในทุกชั้น
คู่ค้าทราบเหตุก่อนเรา นับจากตอนคู่ค้าทราบหรือตอนเราได้รับแจ้ง
หน้าที่แจ้งเหตุตามมาตรา 37 (4) เป็นหน้าที่ของผู้ควบคุมข้อมูลส่วนบุคคล และผู้ประมวลผลมีหน้าที่แจ้งกลับมายังผู้ควบคุม ในทางปฏิบัติจึงมักถือจากจุดที่ผู้ควบคุมได้รับแจ้ง แต่ประเด็นนี้ขึ้นอยู่กับข้อเท็จจริงและข้อสัญญาระหว่างกัน องค์กรจึงควรกำหนดในสัญญาให้คู่ค้าแจ้งกลับภายในกรอบเวลาที่สั้นพอจะเหลือเวลาให้องค์กรดำเนินการภายใน 72 ชั่วโมงของตนเอง
เลย 72 ชั่วโมงไปแล้ว ควรทำอย่างไร
ควรเร่งแจ้งโดยเร็วที่สุดพร้อมชี้แจงเหตุผลของความล่าช้าและมาตรการที่ได้ดำเนินการไปแล้ว มากกว่าการเลือกไม่แจ้ง เพราะพฤติการณ์หลังทราบเหตุเป็นสิ่งที่ถูกนำมาพิจารณาจริง ในคดีที่เคยมีคำสั่ง ประเด็นการแจ้งล่าช้าได้รับเพียงการว่ากล่าวตักเตือน โดยให้เหตุผลว่าหน่วยงานไม่ได้เพิกเฉย มีการระงับเหตุทันที และให้ความร่วมมือในการสอบสวนเป็นอย่างดี ทั้งนี้ผลในแต่ละกรณีขึ้นอยู่กับข้อเท็จจริง ควรปรึกษาทนายก่อนดำเนินการ
สาขาที่เชี่ยวชาญ: ครอบครัว · มรดกและพินัยกรรม · หนี้สินและบังคับคดี
ดูประวัติทีมทนายความ →บทความนี้เป็นความรู้กฎหมายทั่วไปเพื่อความเข้าใจเบื้องต้น ไม่ใช่คำปรึกษาทางกฎหมายเฉพาะคดี ผลทางกฎหมายขึ้นอยู่กับข้อเท็จจริง เอกสาร และพยานหลักฐานของแต่ละกรณี ควรปรึกษาทนายความเพื่อประเมินเรื่องของท่านโดยเฉพาะ
บทความที่เกี่ยวข้อง
PDPA คุ้มครองข้อมูล
ตรวจประวัติผู้สมัครงานได้ถึงระดับไหน — ประวัติอาชญากรรมคือข้อมูลอ่อนไหว ที่นายจ้างมักไม่รู้
ตรวจประวัติผู้สมัครงานทำได้ แต่ประวัติอาชญากรรมเป็นข้อมูลอ่อนไหวตามมาตรา 26 ซึ่งมีเงื่อนไขเข้มกว่าที่นายจ้างส่วนใหญ่คิด
นายเอกราช ทิพย์แมม
·อ่าน 8 นาที
PDPA คุ้มครองข้อมูล
ข้อมูลเงินเดือนพนักงาน ใครในบริษัทเข้าถึงได้บ้าง — 5 ระดับสิทธิที่ควรแยก ปี 2569
ข้อมูลเงินเดือนพนักงานควรแยกสิทธิเข้าถึง 5 ระดับ พร้อมจุดรั่วที่พบบ่อยที่สุดคือไฟล์ตารางที่ส่งต่อกันในองค์กร
นายเอกราช ทิพย์แมม
·อ่าน 7 นาที
PDPA คุ้มครองข้อมูล
พนักงานนำข้อมูลลูกค้าออกจากบริษัท ทำอะไรได้บ้าง — 5 ขั้นตอนแรกและหลักฐานที่ต้องรีบเก็บ
พนักงานนำข้อมูลลูกค้าออกจากบริษัท ต้องรีบเก็บหลักฐาน 5 อย่างก่อนหาย และองค์กรเองก็อาจมีหน้าที่แจ้งเหตุด้วย
นายเอกราช ทิพย์แมม
·อ่าน 8 นาที
ปรึกษาทีมทนาย PDPAของเรา
เราพร้อมรับฟังและประเมินแนวทางที่เหมาะกับกรณีของท่าน ทุกเรื่องเป็นความลับ