ข้อมูลรั่ว ต้องทำอะไรบ้างใน 72 ชั่วโมงแรก

สมมติว่าคืนวันอังคาร เวลา 02:15 น. เจ้าหน้าที่ไอทีที่อยู่เวรเห็นปริมาณข้อมูลขาออกจากเซิร์ฟเวอร์ฐานข้อมูลลูกค้าสูงผิดปกติ อีกห้านาทีต่อมา มีคนส่งลิงก์เข้ากลุ่ม LINE ของทีม เป็นกระทู้ในฟอรัมที่ประกาศขายไฟล์ซึ่งหน้าตาเหมือนตารางสมาชิกของบริษัท

ทุกคนถามเหมือนกันว่า "แน่ใจหรือยังว่าเป็นของเรา" แต่สิ่งที่กฎหมายถามคือ องค์กรรู้เรื่องนี้ตั้งแต่กี่โมง เพราะเส้นตาย 72 ชั่วโมงอาจเริ่มนับไปแล้ว

บทความนี้เรียงหน้าที่ตามกฎหมาย 3 ฉบับไว้บนเส้นเวลาเดียวกัน ได้แก่ พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 (รวมประกาศคณะกรรมการเรื่องการแจ้งเหตุ พ.ศ. 2565 และประกาศสำนักงานเรื่องช่องทางอิเล็กทรอนิกส์ พ.ศ. 2568) พ.ร.บ.ว่าด้วยการกระทำความผิดเกี่ยวกับคอมพิวเตอร์ พ.ศ. 2550 และ พ.ร.บ.การรักษาความมั่นคงปลอดภัยไซเบอร์ พ.ศ. 2562

เส้นตายและคำว่า "ต้อง" ทุกจุดในบทความนี้ยกมาจากตัวบทในคลัง ส่วนการแบ่งงานเป็นช่วงชั่วโมงเป็นข้อแนะนำเชิงปฏิบัติของเรา กฎหมายไม่ได้แบ่งไว้ให้

เส้นตาย 72 ชั่วโมงตาม PDPA เริ่มนับเมื่อไร?

เริ่มนับตั้งแต่ผู้ควบคุมข้อมูลส่วนบุคคล ทราบเหตุ ตาม พ.ร.บ.คุ้มครองข้อมูลฯ มาตรา 37 (4) และประกาศคณะกรรมการ พ.ศ. 2565 ข้อ 5 อธิบายต่อว่า รวมถึงตอนที่มีใครแจ้งข้อมูลเบื้องต้นเข้ามาว่ามี "หรือน่าจะมี" เหตุละเมิดด้วย ตัวบทหลักเขียนไว้ว่า

ประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง หลักเกณฑ์และวิธีการในการแจ้งเหตุการละเมิดข้อมูลส่วนบุคคล พ.ศ. 2565 ข้อ 5 เขียนจุดเริ่มต้นไว้ชัดกว่า คือไม่ต้องรอให้แน่ใจร้อยเปอร์เซ็นต์ ได้ข่าวมาทางวาจา ทางแชต หรือทางอีเมล ก็ถือว่าได้รับแจ้งแล้ว

ที่ยืนยันได้ว่าเวลาตรวจสอบเบื้องต้นนับรวมอยู่ใน 72 ชั่วโมง คือประกาศฯ 2565 ข้อ 7 ข้อนี้บอกว่า ถ้าแจ้งช้าเพราะ "การตรวจสอบข้อมูลในเบื้องต้น" ผู้ควบคุมข้อมูลต้องขอให้สำนักงานพิจารณายกเว้นความผิด

ถ้าเวลาตรวจสอบไม่ได้นับรวม ก็ไม่ต้องขอยกเว้นอะไร เพราะฉะนั้นการเริ่มนับตอนที่ "ทีมสรุปผลเสร็จ" จึงนับผิดตั้งแต่แรก

72 ชั่วโมงแรกหลังข้อมูลรั่ว ต้องทำอะไรก่อนหลัง?

ช่วงแรกให้หยุดการรั่วและเก็บหลักฐาน ช่วงกลางประเมินความเสี่ยงตามปัจจัยในประกาศฯ 2565 ข้อ 12 และช่วงท้ายส่งหนังสือแจ้ง สคส. ให้ทันก่อนครบ 72 ชั่วโมง

ลำดับงานด้านล่างนับเวลา 02:15 น. ในตัวอย่างเป็นชั่วโมงที่ 0 ช่องท้ายของแต่ละขั้นบอกว่าผูกกับตัวบทข้อไหน

1. ชั่วโมงที่ 0 (02:15)
   จดเวลาที่ทราบเหตุ ใครแจ้ง แจ้งทางไหน แล้วลงทะเบียนเหตุทันที เส้นตายทุกข้อนับจากเวลานี้ แม้ยังไม่แน่ใจว่าเป็นเหตุละเมิดจริงPDPA ม.37 (4) · ประกาศ 2565 ข้อ 5
2. ชั่วโมงที่ 0–2
   ปิดทางที่ข้อมูลรั่ว เช่น ระงับบัญชีที่ถูกยึด เปลี่ยนรหัสผ่าน ตัดเครื่องออกจากเครือข่าย แต่ อย่าเพิ่งล้างเครื่องหรือลงระบบใหม่ ให้ถ่าย snapshot และส่งออก log ไปเก็บนอกเครื่องที่ถูกโจมตีก่อนประกาศ 2565 ข้อ 5 (2) · พ.ร.บ.คอมฯ ม.26
3. ชั่วโมงที่ 2–6
   เรียก DPO ฝ่ายไอที และผู้บริหารที่ตัดสินใจได้มาคุยกัน ถ้าระบบอยู่กับผู้ประมวลผลข้อมูล เช่น ผู้ให้บริการคลาวด์ โฮสติ้ง หรือบริษัทรับจ้าง ให้สั่งระงับเหตุและส่งข้อเท็จจริงกลับมา พร้อมตรวจมาตรการด้านองค์กร เทคนิค และกายภาพประกาศ 2565 ข้อ 5 (1) (2) · ข้อ 8
4. ชั่วโมงที่ 2–12 (เฉพาะ CII)
   ถ้าเป็นหน่วยงานโครงสร้างพื้นฐานสำคัญทางสารสนเทศและภัยคุกคามมีนัยสำคัญ ให้รายงานสำนักงานคณะกรรมการการรักษาความมั่นคงปลอดภัยไซเบอร์แห่งชาติ และหน่วยงานควบคุมหรือกำกับดูแล ตัว พ.ร.บ. ไม่ได้กำหนดเป็นชั่วโมง แต่มาตรา 58 ใช้คำว่า "โดยเร็ว"พ.ร.บ.ไซเบอร์ฯ ม.57 · ม.58
5. ชั่วโมงที่ 12–24
   แยกให้ได้ว่าเป็นการละเมิดความลับ ความถูกต้องครบถ้วน หรือความพร้อมใช้งาน แล้วประเมินความเสี่ยงตามปัจจัย 8 ข้อ เช่น ประเภทข้อมูล ปริมาณ กลุ่มเปราะบาง ความร้ายแรง และเทียบกับ 10 ตัวอย่างในคู่มือของ สคส.ประกาศ 2565 ข้อ 4 · ข้อ 12
6. ชั่วโมงที่ 24–48
   ตัดสินใจและเขียนเหตุผลไว้ว่า ไม่ต้องแจ้ง (เก็บหลักฐานว่าไม่มีความเสี่ยง) แจ้ง สคส. หรือแจ้งทั้ง สคส. และเจ้าของข้อมูล แล้วเริ่มเขียนหนังสือแจ้งตามสาระ 4 หัวข้อประกาศ 2565 ข้อ 5 (3) (4) · ข้อ 6 · ข้อ 9
7. ชั่วโมงที่ 48–72
   ส่งอีเมลถึง saraban@pdpc.or.th โดยตั้งหัวเรื่องตามแบบของสำนักงาน ข้อมูลส่วนไหนยังไม่ครบให้ใส่เท่าที่มี ดีกว่าเงียบจนเลยกำหนดประกาศสำนักงาน 2568 ข้อ 2 · ข้อ 3
8. ทันทีที่พบว่าเสี่ยงสูง
   แจ้งเจ้าของข้อมูลที่ได้รับผลกระทบพร้อมแนวทางเยียวยาโดยไม่ชักช้า ไม่ต้องรอแจ้ง สคส. ให้เสร็จก่อน ถ้าติดต่อทีละคนไม่ได้ จะแจ้งเป็นกลุ่มหรือประกาศทั่วไปก็ได้ แต่ต้องไม่ทำให้เสียหายเพิ่มประกาศ 2565 ข้อ 5 (4) · ข้อ 10 · ข้อ 11
9. หลังชั่วโมงที่ 72
   ถ้ายังไม่ได้แจ้ง ให้แจ้งโดยเร็วพร้อมชี้แจงเหตุจำเป็นที่เลี่ยงไม่ได้เพื่อขอยกเว้นความผิด แต่ต้องไม่เกิน 15 วันนับแต่ทราบเหตุ จากนั้นทบทวนมาตรการรักษาความมั่นคงปลอดภัยไม่ให้เกิดซ้ำประกาศ 2565 ข้อ 7 · ข้อ 5 (5)

สังเกตว่าการแจ้งเจ้าของข้อมูลไม่ได้อยู่ท้ายสุด ประกาศฯ 2565 ข้อ 10 ใช้ได้ทั้งตอนที่ "ได้แจ้งเหตุการละเมิดแก่สำนักงานแล้วหรืออยู่ระหว่างการเตรียมการเพื่อแจ้งสำนักงาน"

ถ้ารหัสผ่านของลูกค้าหลุด การบอกให้ลูกค้าเปลี่ยนรหัสตั้งแต่ชั่วโมงที่ 10 ช่วยลูกค้าได้มากกว่ารอส่งพร้อมหนังสือถึง สคส. ในชั่วโมงที่ 70

กฎหมายแต่ละฉบับให้ใครแจ้งใคร ภายในเมื่อไร?

PDPA ให้ผู้ควบคุมข้อมูลแจ้ง สคส. ภายใน 72 ชั่วโมง และแจ้งเจ้าของข้อมูลโดยไม่ชักช้าเมื่อเสี่ยงสูง ส่วน พ.ร.บ.ไซเบอร์ฯ ให้หน่วยงานโครงสร้างพื้นฐานสำคัญทางสารสนเทศรายงานอีกช่องทางหนึ่ง

พ.ร.บ.คอมพิวเตอร์ฯ ไม่ได้สั่งให้แจ้งใคร แต่สั่งให้ผู้ให้บริการเก็บข้อมูลจราจรไว้ ตารางนี้รวมหน้าที่ทั้งหมดไว้ที่เดียว

แถวที่มักถูกลืมคือแถวของผู้ประมวลผลข้อมูล ประกาศฯ 2565 ข้อ 8 ไม่ได้ให้เวลาผู้ควบคุมเพิ่มเพราะผู้รับจ้างรู้ช้า แต่สั่งให้ผู้ควบคุม เขียนไว้ในสัญญา ว่าผู้ประมวลผลต้องแจ้งภายใน 72 ชั่วโมงนับแต่ผู้ประมวลผลทราบเหตุ

ถ้าสัญญากับผู้ให้บริการคลาวด์หรือเอเจนซียังไม่มีข้อนี้ ควรแก้ก่อนเกิดเหตุ เพราะระหว่างเกิดเหตุไม่มีใครมีเวลาเจรจาสัญญา ดู ข้อตกลงประมวลผลข้อมูล

แจ้ง สคส. ทางไหน และต้องเขียนอะไรบ้าง?

ช่องทางอิเล็กทรอนิกส์คืออีเมล ตามประกาศสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง ช่องทางอิเล็กทรอนิกส์ฯ พ.ศ. 2568 ซึ่งยกเลิกฉบับ พ.ศ. 2566 แล้ว ถ้าคู่มือของทีมยังอ้างฉบับ 2566 อยู่ ควรตรวจช่องทางอีกครั้ง

เนื้อหาในอีเมลให้เขียนตามประกาศฯ 2565 ข้อ 6 ซึ่งมี 4 หัวข้อ ได้แก่ (1) ลักษณะและประเภทของการละเมิด พร้อมจำนวนเจ้าของข้อมูลหรือจำนวนรายการ (2) ชื่อและช่องทางติดต่อ DPO หรือผู้ประสานงาน (3) ผลกระทบที่อาจเกิดขึ้น และ (4) มาตรการที่ใช้หรือจะใช้เพื่อป้องกัน ระงับ แก้ไข หรือเยียวยา

ข้อ 6 ใช้คำว่า "เท่าที่จะสามารถกระทำได้" เช่นเดียวกับประกาศสำนักงาน 2568 ข้อ 3 จึงไม่ต้องรอจนรู้จำนวนรายการที่แน่นอน ถ้ายังไม่รู้ ให้ใส่ตัวเลขโดยประมาณและบอกว่ากำลังตรวจสอบ ส่วนการติดตามเรื่อง ประกาศสำนักงาน 2568 ข้อ 4 ให้โทรสอบถามในวันและเวลาราชการ

ทำไมต้องเก็บ log ก่อนล้างเครื่อง?

เพราะ log เป็นหลักฐานเดียวที่ตอบคำถามในหนังสือแจ้ง สคส. ได้ว่ารั่วอะไร กี่ราย และหยุดได้แล้วหรือยัง ยิ่งถ้าองค์กรเป็น "ผู้ให้บริการ" ตาม พ.ร.บ.ว่าด้วยการกระทำความผิดเกี่ยวกับคอมพิวเตอร์ มาตรา 26 ก็มีหน้าที่เก็บข้อมูลจราจรทางคอมพิวเตอร์อยู่แล้ว

ต้องอ่านขอบเขตของมาตรา 26 ให้ถูก พ.ร.บ.คอมพิวเตอร์ฯ มาตรา 3 นิยาม "ผู้ให้บริการ" ว่าคือผู้ให้บริการเข้าสู่อินเทอร์เน็ตหรือให้ติดต่อถึงกันผ่านระบบคอมพิวเตอร์ และผู้ที่เก็บรักษาข้อมูลคอมพิวเตอร์เพื่อประโยชน์ของบุคคลอื่น

ส่วนผู้ให้บริการประเภทไหนต้องเก็บอย่างไร เป็นไปตามที่รัฐมนตรีประกาศ บริษัททั่วไปจึงไม่ได้อยู่ใต้มาตรานี้ทุกแห่ง รายละเอียดอยู่ใน คู่มือข้อมูลจราจรทางคอมพิวเตอร์

แต่ถึงจะไม่ใช่ผู้ให้บริการตามมาตรา 26 การลงระบบเซิร์ฟเวอร์ใหม่กลางดึกเพื่อ "ให้ระบบกลับมาเร็ว" ก็ทำให้ตอบสาระตามประกาศฯ 2565 ข้อ 6 ไม่ได้ และประเมินตามข้อ 12 ไม่ได้ว่าข้อมูลออกไปจริงหรือไม่

ลำดับที่แนะนำคือ ตัดเครื่องออกจากเครือข่าย ทำสำเนาดิสก์และหน่วยความจำ ส่งออก log ไปเก็บแยก แล้วค่อยกู้ระบบ ทำแบบนี้ทั้งฝ่ายไอทีและ DPO ได้สิ่งที่ต้องการครบ

หน่วยงานโครงสร้างพื้นฐานสำคัญทางสารสนเทศ ต้องรายงานอีกทางหนึ่ง

พ.ร.บ.การรักษาความมั่นคงปลอดภัยไซเบอร์ มาตรา 57 ไม่ได้กำหนดจำนวนชั่วโมงไว้ แต่เปิดให้คณะกรรมการกำกับดูแลด้านความมั่นคงปลอดภัยไซเบอร์ (กกม.) กำหนดหลักเกณฑ์และวิธีการรายงานได้ มาตรา 58 ใช้คำว่า "โดยเร็ว" และมาตรา 73 กำหนดโทษปรับไม่เกิน 200,000 บาท ถ้าไม่รายงานตามมาตรา 57 โดยไม่มีเหตุอันสมควร

หนังสือแจ้ง สคส. ใช้แทนรายงานนี้ไม่ได้ เพราะประกาศฯ 2565 ข้อ 7 วรรคสามเขียนไว้ว่า การแจ้ง สคส. ไม่ได้ยกเว้นหน้าที่ตามกฎหมายเฉพาะหรือกฎหมายอื่น ถ้าไม่แน่ใจว่าองค์กรเป็น CII หรือไม่ อ่าน คู่มือ พ.ร.บ.ไซเบอร์ฯ สำหรับ CII

พลาดตรงไหนบ้างที่ทำให้นับเวลาผิดตั้งแต่ต้น?

ความผิดพลาดที่แพงที่สุดมักไม่ใช่หนังสือแจ้งที่เขียนไม่ดี แต่เป็นการอ่านตัวบทผิดไปคำเดียว แล้วทั้งทีมนับเวลาผิดตามกันหมด หกข้อด้านล่างผูกกับถ้อยคำในตัวบทที่ทำให้แต่ละข้อผิด

1. เริ่มนับตอนตรวจสอบเสร็จ ทั้งที่ประกาศฯ 2565 ข้อ 5 ให้เริ่มตั้งแต่ได้รับแจ้ง "ว่ามีหรือน่าจะมี" เหตุละเมิด และข้อ 7 ถือว่า "การตรวจสอบข้อมูลในเบื้องต้น" เป็นเหตุของความล่าช้าที่ต้องขอยกเว้น
2. เริ่มนับตอนผู้บริหารรู้ ทั้งที่มาตรา 37 (4) นับ "นับแต่ทราบเหตุ" ของผู้ควบคุมข้อมูล ข้อความที่ลูกค้าส่งเข้าแชตฝ่ายบริการลูกค้ากลางดึกก็ถือเป็นการได้รับแจ้งข้อมูลเบื้องต้นแล้ว ทางแก้คือให้ทุกช่องทางที่รับเรื่องส่งต่อถึง DPO โดยอัตโนมัติ
3. คิดว่า 15 วันเป็นเส้นตายรอบสอง ประกาศฯ 2565 ข้อ 7 ไม่ได้ขยายเวลาให้ใครโดยอัตโนมัติ เป็นเพียงช่องทาง "ขอให้สำนักงานพิจารณายกเว้นความผิด" ต้องชี้แจงเหตุจำเป็นที่เลี่ยงไม่ได้ และสำนักงานอาจไม่ยกเว้นก็ได้
4. รอให้ผู้รับจ้างสรุปก่อน ข้อ 8 ให้ผู้ประมวลผลแจ้งผู้ควบคุมภายใน 72 ชั่วโมงนับแต่ผู้ประมวลผลทราบ แต่เส้นตายของผู้ควบคุมนับจากเวลาที่ผู้ควบคุมทราบเอง ถ้าคุณเห็นข่าวก่อนผู้รับจ้างโทรมา เวลาของคุณก็เริ่มนับแล้ว
5. ล้างเครื่องก่อนเก็บหลักฐาน ทำให้เขียนสาระตามข้อ 6 ไม่ได้ และอาจขัดหน้าที่เก็บข้อมูลจราจรตาม พ.ร.บ.คอมพิวเตอร์ฯ มาตรา 26 ถ้าองค์กรเป็นผู้ให้บริการตามนิยาม
6. ส่งอีเมลแจ้งเจ้าของข้อมูลโดยใส่ทุกคนไว้ในช่อง To ข้อ 11 ให้แจ้งเป็นกลุ่มได้ แต่วรรคสองบังคับว่า "จะต้องไม่ก่อให้เกิดความเสียหายหรือผลกระทบต่อเจ้าของข้อมูลส่วนบุคคล" การเปิดรายชื่อผู้เสียหายให้เห็นกันเองคือข้อมูลรั่วซ้ำอีกรอบ

เลย 72 ชั่วโมงไปแล้ว ยังทำอะไรได้บ้าง?

ยังแจ้งได้ และควรแจ้งทันที ประกาศฯ 2565 ข้อ 7 ให้ขอยกเว้นความผิดฐานแจ้งล่าช้าได้ ถ้าแสดงได้ว่ามีเหตุจำเป็นที่เลี่ยงไม่ได้ โดยมีเพดานเวลาไว้ชัดเจน

คำชี้แจงที่หนักแน่นต้องมีเวลากำกับ เช่น ทราบเหตุเมื่อไร ระงับการรั่วได้เมื่อไร และอะไรทำให้ยืนยันข้อเท็จจริงไม่ได้ก่อนหน้านั้น ถ้าทะเบียนเหตุบันทึกเวลาไว้ตั้งแต่ชั่วโมงที่ 0 คำชี้แจงนี้แทบจะเขียนเสร็จในตัว

ถ้าไม่ได้บันทึกไว้ ทีมต้องมานั่งไล่ความจำของแต่ละคน ซึ่งเป็นหลักฐานที่อ่อนที่สุด ส่วนโทษนั้น พ.ร.บ.คุ้มครองข้อมูลฯ มาตรา 83 กำหนดโทษปรับทางปกครองไม่เกิน 3 ล้านบาท ถ้าไม่ทำตามมาตรา 37 ดูภาพรวมโทษได้ที่ คู่มือโทษ PDPA

ถ้าคำถามของคุณคือ "เหตุของเราต้องแจ้งไหม" มากกว่า "ต้องแจ้งเมื่อไร" อ่านต่อที่ 10 เหตุข้อมูลรั่วที่ สคส. วางแนวไว้แล้ว ซึ่งไล่ครบทุกตัวอย่างในคู่มือของสำนักงาน และอธิบายว่าทำไมการเข้ารหัสช่วยได้แค่บางประเภทของเหตุ ส่วนขั้นตอนฉบับย่อสำหรับทีมอยู่ใน คู่มือแจ้งเหตุภายใน 72 ชั่วโมง

ใครรับผิดชอบเนื้อหานี้?

เรียบเรียงโดยทีมกฎหมาย AIPDPA · ผู้รับผิดชอบเนื้อหา ภูวรา ครอบตะคุ ทนายความ · เนติบัณฑิตไทย · ที่ปรึกษากฎหมายเทคโนโลยีและทรัพย์สินทางปัญญา

ใบอนุญาตทนายความ 477/2558 · เนติบัณฑิตไทย · นิติศาสตรมหาบัณฑิต กฎหมายทรัพย์สินทางปัญญาและสารสนเทศ (เหรียญทอง)