081-327-8551 จ.–ศ. 09:00–18:00 น. info@yodthiptham.com
โลโก้ยอดทิพย์ธรรม ยอดทิพย์ธรรม Yod Thip Tham Law

นับ 72 ชั่วโมงจากเมื่อใด ใครในองค์กรที่ทราบเหตุแล้วถือว่าเริ่มนับ

การบันทึกวันเวลาที่ทราบเหตุเพื่อใช้เป็นจุดเริ่มนับ 72 ชั่วโมงตาม PDPA

สรุปประเด็นสำคัญ

กรอบ 72 ชั่วโมงตามมาตรา 37 (4) นับแต่ทราบเหตุ ไม่ใช่นับแต่วันที่เหตุเกิดขึ้นจริง และไม่ใช่นับแต่วันที่องค์กรยืนยันความเสียหายได้ครบถ้วน ประกาศ กคส. ปี 2565 วางลำดับไว้ว่าเมื่อได้รับแจ้งว่า"มีหรือน่าจะมี"เหตุละเมิด ให้เริ่มประเมินความน่าเชื่อถือของข้อมูลและตรวจสอบข้อเท็จจริงทันที ซึ่งแปลว่านาฬิกาเริ่มเดินตั้งแต่จุดที่องค์กรมีเหตุอันควรเชื่อ ไม่ใช่จุดที่พิสูจน์ได้แล้ว

ส่วนคำถามว่าใครในองค์กรที่ทราบแล้วถือว่าองค์กรทราบ — ในทางปฏิบัติควรถือจากจุดที่ผู้มีหน้าที่รับเรื่องหรือผู้มีอำนาจตัดสินใจได้รับทราบ แต่องค์กรจะอ้างว่าฝ่ายกฎหมายเพิ่งรู้เมื่อวาน ทั้งที่พนักงานคุยเรื่องนี้ในกลุ่มแชทมาสามวันแล้วไม่ได้ เพราะข้อความเหล่านั้นตรวจสอบย้อนหลังได้

คำถามที่ดูเหมือนง่ายแต่ตอบยากที่สุดเวลาเกิดเหตุข้อมูลรั่ว คือจะนับ 72 ชั่วโมงจากตรงไหน เพราะเหตุการณ์จริงไม่เคยมาเป็นจุดเดียวชัด ๆ แต่มาเป็นลำดับ คือมีคนสังเกตเห็นอะไรผิดปกติวันหนึ่ง มีการคุยกันในกลุ่มอีกวันหนึ่ง แล้วเรื่องถึงหัวหน้าอีกวันหนึ่ง กว่าฝ่ายกฎหมายจะรู้ก็ผ่านไปแล้วหลายวัน คำถามคือกฎหมายมองจุดไหนว่าเป็นจุดเริ่ม

กฎหมายเขียนว่าอย่างไร

มาตรา 37 (4) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 กำหนดให้ผู้ควบคุมข้อมูลส่วนบุคคลแจ้งเหตุการละเมิดข้อมูลส่วนบุคคลแก่สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลโดยไม่ชักช้าภายใน 72 ชั่วโมงนับแต่ทราบเหตุเท่าที่จะสามารถกระทำได้ เว้นแต่การละเมิดดังกล่าวไม่มีความเสี่ยงที่จะมีผลกระทบต่อสิทธิและเสรีภาพของบุคคล

คำสำคัญคือ "ทราบเหตุ" ไม่ใช่ "เหตุเกิด" และไม่ใช่ "ยืนยันได้" ซึ่งเป็นสามจุดที่ต่างกันมากในทางเวลา เหตุอาจเกิดเมื่อสองเดือนก่อน องค์กรเพิ่งทราบเมื่อวาน และอาจยืนยันขอบเขตได้ครบในอีกสองสัปดาห์ข้างหน้า นาฬิกาเริ่มเดินที่จุดกลาง

ประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง หลักเกณฑ์และวิธีการในการแจ้งเหตุการละเมิดข้อมูลส่วนบุคคล พ.ศ. 2565 ช่วยให้ภาพชัดขึ้น เพราะวางลำดับไว้ว่า เมื่อได้รับแจ้งว่ามีหรือน่าจะมีเหตุละเมิด ให้ประเมินความน่าเชื่อถือของข้อมูลและตรวจสอบข้อเท็จจริงก่อน จากนั้นเมื่อพิจารณาแล้วเห็นว่ามีเหตุอันควรเชื่อว่ามีการละเมิดเกิดขึ้นจริง จึงแจ้งเหตุนั้น

สามจุดที่มักถูกสับสน

จุดคืออะไรใช้เป็นจุดเริ่มนับหรือไม่
เหตุเกิดจริงวันที่ข้อมูลรั่วออกไปจริง เช่น วันที่ไฟล์ถูกส่งผิด หรือวันที่ระบบถูกเข้าถึงไม่ใช่ — บ่อยครั้งองค์กรไม่รู้ด้วยซ้ำว่าเกิดวันไหน
ทราบเหตุจุดที่องค์กรได้รับแจ้งหรือพบว่ามีหรือน่าจะมีการละเมิด และมีเหตุอันควรเชื่อใช่ นี่คือจุดเริ่มนับตามมาตรา 37 (4)
ยืนยันขอบเขตได้ครบจุดที่การสอบสวนเสร็จสิ้น ทราบจำนวนผู้ได้รับผลกระทบและความเสียหายที่แน่ชัดไม่ใช่ — และมักมาถึงหลังครบ 72 ชั่วโมงไปแล้ว

ผลในทางปฏิบัติที่สำคัญคือ องค์กรไม่จำเป็นต้องรู้ทุกอย่างก่อนแจ้ง กฎหมายใช้คำว่า "เท่าที่จะสามารถกระทำได้" ซึ่งเปิดช่องให้แจ้งเท่าที่ทราบก่อนแล้วแจ้งเพิ่มเติมภายหลังได้ การรอจนสอบสวนเสร็จจึงเป็นการเลือกที่เสี่ยงกว่าการแจ้งด้วยข้อมูลเท่าที่มี

ใครในองค์กรที่ทราบแล้วถือว่าองค์กรทราบ

นี่คือคำถามที่กฎหมายไม่ได้เขียนตอบไว้เป็นสูตรตายตัว และต้องพิจารณาจากข้อเท็จจริงเป็นรายกรณี แต่มีหลักคิดที่ใช้ได้ในทางปฏิบัติสามข้อ

หนึ่ง ดูจากผู้มีหน้าที่รับเรื่อง องค์กรที่กำหนดไว้ชัดว่าใครคือจุดรับแจ้งเหตุ จะอธิบายได้ง่ายกว่าว่านับจากเมื่อไร ส่วนองค์กรที่ไม่เคยกำหนด จะถูกตั้งคำถามว่าเหตุใดเรื่องจึงใช้เวลาหลายวันกว่าจะถึงผู้มีอำนาจ

สอง ความรู้ของพนักงานไม่ได้ไร้ผล แม้จะอ้างว่าฝ่ายกฎหมายเพิ่งทราบ แต่ถ้ามีข้อความในกลุ่มแชทหรืออีเมลที่พนักงานคุยเรื่องนี้กันมาก่อนหน้านั้นหลายวัน หลักฐานเหล่านั้นตรวจสอบย้อนหลังได้และมักถูกยกขึ้นโต้แย้ง

สาม ความล่าช้าภายในเป็นความเสี่ยงขององค์กรเอง การที่เรื่องติดอยู่ที่หัวหน้าแผนกคนหนึ่งเป็นเวลาสามวัน ไม่ใช่ข้อแก้ตัวที่ดี เพราะเป็นผลจากการที่องค์กรไม่ได้ออกแบบช่องทางรายงานไว้ ซึ่งเป็นเรื่องที่องค์กรควบคุมได้

ข้อสังเกตจากคำสั่งลงโทษปรับที่เคยมี — ในคดีที่หน่วยงานแห่งหนึ่งถูกวินิจฉัยว่าแจ้งเหตุล่าช้า คำสั่งระบุว่าหน่วยงานทราบเหตุในช่วงวันที่ 10 ถึง 11 มิถุนายน 2567 แต่แจ้งอย่างเป็นทางการเมื่อวันที่ 21 มิถุนายน 2567 ซึ่งเกินกรอบเวลา จะเห็นว่าจุดที่ถูกนำมาใช้เป็นตัวตั้งคือช่วงวันที่ทราบเหตุ ไม่ใช่วันที่สอบสวนเสร็จ

คนส่วนใหญ่มักเข้าใจผิดตรงไหน

เข้าใจผิดที่ 1: "ต้องมั่นใจร้อยเปอร์เซ็นต์ก่อนถึงเริ่มนับ" — ความจริง คือประกาศพูดถึงกรณี "มีหรือน่าจะมี" และใช้เกณฑ์ "มีเหตุอันควรเชื่อ" · ผลเสีย คือรอจนแน่ใจแล้วเลยกำหนดไปแล้ว

เข้าใจผิดที่ 2: "72 ชั่วโมงคือ 3 วันทำการ" — ความจริง คือกฎหมายเขียนเป็นชั่วโมง ไม่ได้เขียนเป็นวันทำการ · ผลเสีย คือเหตุที่เกิดเย็นวันศุกร์ ถ้าคิดเป็นวันทำการจะเลยกำหนดโดยไม่รู้ตัว

เข้าใจผิดที่ 3: "ผู้ประมวลผลรู้ ไม่ใช่เรารู้" — ความจริง คือผู้ประมวลผลมีหน้าที่แจ้งกลับมายังผู้ควบคุมข้อมูล และเมื่อผู้ควบคุมได้รับแจ้ง หน้าที่ก็เริ่ม · ผลเสีย คือองค์กรที่ไม่ได้กำหนดกรอบเวลาแจ้งกลับไว้ในสัญญา มักได้รับแจ้งช้าจนไม่เหลือเวลา

เข้าใจผิดที่ 4: "แจ้งช้าไปนิดหน่อย ไม่เป็นไร" — ความจริง คือการแจ้งล่าช้าเป็นประเด็นแยกต่างหากจากประเด็นเรื่องมาตรการรักษาความมั่นคงปลอดภัย และเคยถูกวินิจฉัยเป็นคนละฐานความผิดมาแล้ว · ผลเสีย คือเหตุเดียวกลายเป็นสองประเด็น

เลนส์ทนายยอดทิพย์ธรรม

คนทั่วไปมักเข้าใจว่า… ถ้าอธิบายได้ว่าทำไมถึงช้า ก็น่าจะเข้าใจกันได้ เพราะทุกองค์กรก็มีขั้นตอนภายในเหมือนกัน

แต่ในทางคดี กฎหมายและศาลมักมองว่า… ความล่าช้าที่เกิดจากโครงสร้างภายในขององค์กรเอง เป็นความเสี่ยงที่องค์กรต้องรับ เพราะเป็นสิ่งที่องค์กรออกแบบและควบคุมได้ ต่างจากความล่าช้าที่เกิดจากเหตุภายนอกซึ่งอธิบายได้ง่ายกว่า

จุดเสี่ยงจริงอยู่ตรงนี้… องค์กรส่วนใหญ่ตอบคำถามว่าทราบเหตุเมื่อไรไม่ได้เลย เพราะไม่มีจุดลงทะเบียนรับแจ้ง และเมื่อตอบไม่ได้ ฝ่ายที่โต้แย้งก็จะเลือกจุดที่เร็วที่สุดเท่าที่หลักฐานปรากฏมาเป็นตัวตั้ง ซึ่งมักเป็นข้อความในกลุ่มแชทของพนักงาน

ทางเลือกที่ควรทำต่อคือ… กำหนดจุดรับแจ้งเหตุกลางไว้หนึ่งจุด ประกาศให้ทุกคนรู้ว่าเจอเรื่องผิดปกติต้องแจ้งที่ใดภายในกี่ชั่วโมง และให้จุดนั้นบันทึกวันเวลาทุกครั้งที่ได้รับแจ้ง แม้เรื่องนั้นจะยังไม่แน่ว่าเป็นเหตุละเมิดจริงหรือไม่

ปลายทางถ้านับผิดหรือแจ้งช้า

  1. เกิดประเด็นเรื่องการแจ้งล่าช้าตามมาตรา 37 (4) ซึ่งแยกจากประเด็นเรื่องมาตรการรักษาความมั่นคงปลอดภัยตามมาตรา 37 (1)
  2. คณะกรรมการผู้เชี่ยวชาญพิจารณาว่าจะสั่งให้แก้ไข ตักเตือน หรือลงโทษปรับ โดยดูพฤติการณ์และปัจจัยประกอบ
  3. ในคดีที่เคยมี ประเด็นการแจ้งล่าช้าได้รับเพียงการว่ากล่าวตักเตือน เพราะเห็นว่าหน่วยงานไม่ได้เพิกเฉย มีการระงับเหตุทันที และให้ความร่วมมือในการสอบสวนเป็นอย่างดี ซึ่งแสดงว่าพฤติการณ์ระหว่างทางมีผลจริง
  4. หากเรื่องบานปลายเป็นข้อร้องเรียนเต็มรูปแบบ กระบวนการจะเดินต่อไปตามที่อธิบายไว้ในงานรับมือข้อร้องเรียนและคำสั่งทางปกครอง
  5. และในกรณีที่ผู้เสียหายเป็นพนักงาน เรื่องมักเดินคู่ขนานไปที่ศาลแรงงานด้วย

หลักฐานที่ต้องเก็บ

  • ทะเบียนรับแจ้งเหตุกลาง ที่บันทึกวันเวลา ผู้แจ้ง ช่องทาง และเนื้อหาที่แจ้ง
  • บันทึกว่าเรื่องถูกส่งต่อถึงใครเมื่อใด ตั้งแต่จุดรับแจ้งจนถึงผู้มีอำนาจตัดสินใจ
  • บันทึกการประเมินความน่าเชื่อถือของข้อมูลและการตรวจสอบข้อเท็จจริงเบื้องต้น
  • เอกสารประเมินความเสี่ยงพร้อมข้อสรุปและเหตุผล
  • สำเนาการแจ้งเหตุที่ยื่นไป พร้อมหลักฐานวันเวลาที่ยื่น
  • หากแจ้งเพิ่มเติมภายหลัง ให้เก็บทั้งฉบับแรกและฉบับเพิ่มเติม
  • หากประเมินแล้วไม่แจ้ง ให้เก็บบันทึกเหตุผลและชื่อผู้ตัดสินใจ

ถ้าเป็นฝ่ายองค์กร ต้องทำอะไรบ้าง

  • กำหนดจุดรับแจ้งเหตุกลางหนึ่งจุด และประกาศให้พนักงานทุกคนทราบ
  • กำหนดว่าเมื่อพบเรื่องผิดปกติ ต้องแจ้งภายในกี่ชั่วโมง และแจ้งอย่างไรนอกเวลาทำการ
  • ให้จุดรับแจ้งบันทึกวันเวลาทุกครั้ง แม้ยังไม่แน่ว่าเป็นเหตุละเมิดจริง
  • กำหนดในสัญญากับคู่ค้าว่าต้องแจ้งกลับมาภายในกี่ชั่วโมง โดยให้เหลือเวลาพอสำหรับกรอบ 72 ชั่วโมงขององค์กรเอง
  • ตรวจว่าใครมีอำนาจตัดสินใจแจ้งเหตุ และติดต่อได้นอกเวลาทำการหรือไม่
  • เตรียมแบบฟอร์มการแจ้งเหตุไว้ล่วงหน้า เพื่อไม่ต้องเสียเวลาออกแบบตอนเกิดเรื่อง
  • ซ้อมด้วยสถานการณ์ที่เหตุเกิดเย็นวันศุกร์ ซึ่งเป็นกรณีที่กดดันที่สุด

อีกฝ่ายอาจโต้แย้งอย่างไร

  • "องค์กรทราบเหตุก่อนวันที่อ้าง" — ยกข้อความในกลุ่มแชท อีเมล หรือบันทึกระบบที่แสดงว่ามีคนพูดถึงเรื่องนี้ก่อนหน้า
  • "อ้างว่ายังไม่แน่ใจ เพื่อยืดเวลา" — เมื่อองค์กรไม่มีบันทึกการตรวจสอบข้อเท็จจริงในช่วงนั้น จะดูเหมือนไม่ได้ทำอะไรเลยมากกว่าดูเหมือนกำลังตรวจสอบ
  • "ไม่มีเหตุผลที่จะใช้เวลานานขนาดนั้น" — โดยเทียบกับขอบเขตของเหตุที่ไม่ซับซ้อน
  • "คู่ค้าแจ้งมาแล้วแต่องค์กรนิ่ง" — เมื่อมีอีเมลจากคู่ค้าเป็นหลักฐานวันที่ชัดเจน
  • "แจ้งหลังจากมีคนเปิดเผยต่อสาธารณะแล้ว" — ซึ่งทำให้ดูเหมือนแจ้งเพราะถูกจับได้ ไม่ใช่แจ้งตามหน้าที่

ถ้าเกิดเหตุวันนี้ ควรทำอะไรตามลำดับ

  1. บันทึกวันเวลาที่ได้รับแจ้งทันที ก่อนเริ่มตรวจสอบใด ๆ
  2. ประเมินความน่าเชื่อถือของข้อมูลที่ได้รับ และเริ่มตรวจสอบข้อเท็จจริง
  3. ระงับไม่ให้ความเสียหายลุกลามเท่าที่ทำได้ทันที พร้อมจดเวลาที่ทำ
  4. ประเมินความเสี่ยงตามปัจจัยที่ประกาศกำหนด และบันทึกไว้
  5. ให้ทนายประเมินว่าจุดเริ่มนับควรเป็นเมื่อใด และเข้าเกณฑ์ต้องแจ้งหรือไม่
  6. หากต้องแจ้ง ให้แจ้งด้วยข้อมูลเท่าที่ทราบภายในกรอบเวลา แล้วแจ้งเพิ่มเติมภายหลัง

กรณีแบบไหนที่ควรปรึกษาทนาย

  • ไม่แน่ใจว่าควรถือวันไหนเป็นวันที่ทราบเหตุ
  • พบว่ามีพนักงานรู้เรื่องมาก่อนหลายวันแล้วแต่ไม่ได้รายงาน
  • เหตุมาจากคู่ค้าและไม่ชัดว่าเริ่มนับตั้งแต่คู่ค้าทราบหรือตั้งแต่องค์กรได้รับแจ้ง
  • ใกล้ครบ 72 ชั่วโมงแต่ยังตรวจสอบไม่เสร็จ
  • ประเมินแล้วคิดว่าไม่ต้องแจ้ง แต่ไม่มั่นใจในการวิเคราะห์
  • เลยกรอบเวลาไปแล้วและต้องตัดสินใจว่าจะทำอย่างไรต่อ
  • เรื่องถูกเปิดเผยต่อสาธารณะก่อนที่องค์กรจะแจ้ง

สำนักงานกฎหมายยอดทิพย์ธรรม ช่วยอะไรได้บ้าง

คำถามว่านับจากเมื่อไรเป็นคำถามที่ต้องตอบเร็วและตอบให้ถูก เพราะกำหนดทุกอย่างที่ตามมา · บริการประเมินเหตุข้อมูลรั่วไหลเร่งด่วน ของเราช่วยจัดทำไทม์ไลน์เหตุการณ์ ประเมินจุดเริ่มนับจากข้อเท็จจริงที่มี ประเมินระดับความเสี่ยง และบันทึกเหตุผลประกอบการตัดสินใจแจ้งเหตุไว้เป็นเอกสารที่ใช้ยันได้

เราจะบอกตรง ๆ ทั้งกรณีที่ประเมินแล้วไม่เข้าเกณฑ์ต้องแจ้ง และกรณีที่เลยกำหนดไปแล้วซึ่งควรเร่งแจ้งพร้อมแสดงเหตุผลและมาตรการเยียวยา เพราะพฤติการณ์หลังทราบเหตุเป็นสิ่งที่ถูกนำมาชั่งน้ำหนักจริง ดังที่ปรากฏในคำสั่งที่เคยมี

สรุป

การนับ 72 ชั่วโมงเริ่มจากจุดที่องค์กรทราบเหตุ ซึ่งคือจุดที่มีเหตุอันควรเชื่อว่ามีหรือน่าจะมีการละเมิด ไม่ใช่วันที่เหตุเกิดจริง และไม่ใช่วันที่สอบสวนเสร็จ กฎหมายเปิดช่องให้แจ้งเท่าที่ทราบก่อนแล้วแจ้งเพิ่มเติมภายหลังได้

สิ่งที่ทำให้องค์กรเสียเปรียบไม่ใช่การนับผิด แต่คือการตอบไม่ได้ว่านับจากเมื่อไร เพราะไม่เคยมีใครจด องค์กรที่ตั้งจุดรับแจ้งกลางและบันทึกวันเวลาทุกครั้ง จึงได้เปรียบตั้งแต่ยังไม่เกิดเหตุ

หากคุณกำลังเจอปัญหาลักษณะนี้ ปรึกษาทีมทนายของสำนักงานกฎหมายยอดทิพย์ธรรม โทร 081-327-8551 | LINE @995iqtpa หรือนัดหมายปรึกษาที่นี่

ข้อกฎหมายที่เกี่ยวข้อง

  • พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 มาตรา 37 (4) — แจ้งเหตุการละเมิดข้อมูลส่วนบุคคลแก่สำนักงานฯ โดยไม่ชักช้าภายใน 72 ชั่วโมงนับแต่ทราบเหตุเท่าที่จะสามารถกระทำได้ เว้นแต่การละเมิดนั้นไม่มีความเสี่ยงที่จะมีผลกระทบต่อสิทธิและเสรีภาพของบุคคล และหากมีความเสี่ยงสูง ต้องแจ้งเจ้าของข้อมูลพร้อมแนวทางเยียวยาโดยไม่ชักช้า
  • ประกาศ กคส. เรื่อง หลักเกณฑ์และวิธีการในการแจ้งเหตุการละเมิดข้อมูลส่วนบุคคล พ.ศ. 2565 — เมื่อได้รับแจ้งว่ามีหรือน่าจะมีเหตุละเมิด ให้ประเมินความน่าเชื่อถือของข้อมูลและตรวจสอบข้อเท็จจริง แล้วเมื่อเห็นว่ามีเหตุอันควรเชื่อว่ามีการละเมิดเกิดขึ้นจริง จึงแจ้งเหตุนั้น
  • ประกาศฯ · หน้าที่ระงับเหตุ — หากประเมินแล้วพบว่ามีความเสี่ยงสูงต่อสิทธิและเสรีภาพของบุคคล ให้ดำเนินการป้องกัน ระงับ หรือแก้ไขเพื่อให้การละเมิดสิ้นสุดหรือไม่ส่งผลกระทบเพิ่มเติม โดยทันทีเท่าที่จะทำได้
  • มาตรา 37 (1) — หน้าที่จัดให้มีมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสม ซึ่งเป็นคนละฐานความผิดกับหน้าที่แจ้งเหตุ
  • บทบาทผู้ประมวลผลข้อมูลส่วนบุคคล — มีหน้าที่แจ้งเหตุการละเมิดกลับมายังผู้ควบคุมข้อมูลส่วนบุคคล เพื่อให้ผู้ควบคุมประเมินและดำเนินการต่อ (ควรตรวจถ้อยคำของมาตราที่เกี่ยวข้องและข้อสัญญาที่ใช้จริงประกอบ)
  • ประกาศ กคส. เรื่อง หลักเกณฑ์การพิจารณาออกคำสั่งลงโทษปรับทางปกครองของคณะกรรมการผู้เชี่ยวชาญ พ.ศ. 2565 ข้อ 8 — ปัจจัยที่นำมาพิจารณา ซึ่งรวมถึงการเยียวยาและบรรเทาความเสียหายเมื่อทราบเหตุ

คำถามที่พบบ่อย

72 ชั่วโมงนับเป็นวันทำการหรือนับต่อเนื่อง

มาตรา 37 (4) เขียนเป็นชั่วโมง ไม่ได้เขียนเป็นวันทำการ องค์กรจึงไม่ควรคิดเป็น 3 วันทำการ เพราะเหตุที่เกิดเย็นวันศุกร์หรือก่อนวันหยุดยาว จะทำให้เลยกำหนดโดยไม่รู้ตัว แนวปฏิบัติที่ปลอดภัยคือกำหนดช่องทางติดต่อผู้มีอำนาจตัดสินใจนอกเวลาทำการไว้ล่วงหน้า และซ้อมสถานการณ์ที่เหตุเกิดในช่วงวันหยุดโดยเฉพาะ

ยังไม่รู้ว่าข้อมูลรั่วไปเท่าไร แจ้งได้ไหม

แจ้งได้ และในหลายกรณีควรแจ้ง เพราะมาตรา 37 (4) ใช้ถ้อยคำว่า "เท่าที่จะสามารถกระทำได้" ซึ่งเปิดช่องให้แจ้งด้วยข้อมูลเท่าที่ทราบก่อน แล้วแจ้งรายละเอียดเพิ่มเติมเมื่อตรวจสอบได้ครบถ้วน การรอจนสอบสวนเสร็จแล้วค่อยแจ้งจึงมักเป็นทางเลือกที่เสี่ยงกว่า ทั้งนี้ควรให้ทนายประเมินเนื้อหาที่จะแจ้งก่อน เพราะคำแจ้งฉบับแรกจะถูกใช้อ้างอิงต่อในทุกชั้น

คู่ค้าทราบเหตุก่อนเรา นับจากตอนคู่ค้าทราบหรือตอนเราได้รับแจ้ง

หน้าที่แจ้งเหตุตามมาตรา 37 (4) เป็นหน้าที่ของผู้ควบคุมข้อมูลส่วนบุคคล และผู้ประมวลผลมีหน้าที่แจ้งกลับมายังผู้ควบคุม ในทางปฏิบัติจึงมักถือจากจุดที่ผู้ควบคุมได้รับแจ้ง แต่ประเด็นนี้ขึ้นอยู่กับข้อเท็จจริงและข้อสัญญาระหว่างกัน องค์กรจึงควรกำหนดในสัญญาให้คู่ค้าแจ้งกลับภายในกรอบเวลาที่สั้นพอจะเหลือเวลาให้องค์กรดำเนินการภายใน 72 ชั่วโมงของตนเอง

เลย 72 ชั่วโมงไปแล้ว ควรทำอย่างไร

ควรเร่งแจ้งโดยเร็วที่สุดพร้อมชี้แจงเหตุผลของความล่าช้าและมาตรการที่ได้ดำเนินการไปแล้ว มากกว่าการเลือกไม่แจ้ง เพราะพฤติการณ์หลังทราบเหตุเป็นสิ่งที่ถูกนำมาพิจารณาจริง ในคดีที่เคยมีคำสั่ง ประเด็นการแจ้งล่าช้าได้รับเพียงการว่ากล่าวตักเตือน โดยให้เหตุผลว่าหน่วยงานไม่ได้เพิกเฉย มีการระงับเหตุทันที และให้ความร่วมมือในการสอบสวนเป็นอย่างดี ทั้งนี้ผลในแต่ละกรณีขึ้นอยู่กับข้อเท็จจริง ควรปรึกษาทนายก่อนดำเนินการ

นายเอกราช ทิพย์แมม
ผู้เขียน นายเอกราช ทิพย์แมม คดีครอบครัว มรดก และหนี้สิน

สาขาที่เชี่ยวชาญ: ครอบครัว · มรดกและพินัยกรรม · หนี้สินและบังคับคดี

ดูประวัติทีมทนายความ →

บทความนี้เป็นความรู้กฎหมายทั่วไปเพื่อความเข้าใจเบื้องต้น ไม่ใช่คำปรึกษาทางกฎหมายเฉพาะคดี ผลทางกฎหมายขึ้นอยู่กับข้อเท็จจริง เอกสาร และพยานหลักฐานของแต่ละกรณี ควรปรึกษาทนายความเพื่อประเมินเรื่องของท่านโดยเฉพาะ

แชร์: Facebook LINE

บทความที่เกี่ยวข้อง

ทีมรับมือเหตุขององค์กรกำลังบันทึกไทม์ไลน์ใน 6 ชั่วโมงแรกหลังพบเหตุข้อมูลรั่วไหล PDPA คุ้มครองข้อมูล

ข้อมูลรั่ว 6 ชั่วโมงแรกต้องทำอะไร เช็กลิสต์ 10 ข้อ ฉบับทนาย

6 ชั่วโมงแรกหลังพบเหตุข้อมูลรั่ว คือช่วงที่กำหนดว่าจะแจ้งเหตุทันหรือไม่ สรุปเช็กลิสต์ 10 ข้อที่ต้องทำก่อน

นายเอกราช ทิพย์แมม ·อ่าน 10 นาที
ฝ่ายบุคคลหารือกับพนักงานเรื่องการจัดการข้อมูลส่วนบุคคลตาม PDPA ในที่ทำงาน PDPA คุ้มครองข้อมูล

PDPA กับข้อมูลพนักงาน คู่มือนายจ้างและ HR ตั้งแต่รับสมัครจนพ้นสภาพ

ข้อมูลพนักงาน สรุปหน้าที่นายจ้างตลอดวงจรการจ้าง ตั้งแต่รับสมัคร ระหว่างจ้าง จนพ้นสภาพ พร้อมจุดที่พ่วงคดีแรงงาน

นายเอกราช ทิพย์แมม ·อ่าน 11 นาที
ชั้นเก็บแฟ้มเอกสารพนักงานที่จัดตามตารางระยะเวลาเก็บเอกสารตาม PDPA และกฎหมายแรงงาน PDPA คุ้มครองข้อมูล

ตารางระยะเวลาเก็บเอกสาร HR ทำอย่างไรให้ถูกทั้ง PDPA และกฎหมายแรงงาน

ตารางระยะเวลาเก็บเอกสาร HR ที่ถูกต้องต้องอิงนาฬิกา 4 เรือนพร้อมกัน ไม่ใช่ลอกตัวเลขจากที่อื่นมาใช้

นายเอกราช ทิพย์แมม ·อ่าน 10 นาที

ปรึกษาทีมทนาย PDPAของเรา

เราพร้อมรับฟังและประเมินแนวทางที่เหมาะกับกรณีของท่าน ทุกเรื่องเป็นความลับ

แชทผ่าน LINE