จดหมายแจ้งเจ้าของข้อมูลเมื่อข้อมูลรั่ว ต้องมีอะไรบ้าง

เวลาข้อมูลรั่ว บริษัทส่วนใหญ่ทุ่มแรงไปที่หนังสือถึง สคส. เพราะมีเส้นตาย 72 ชั่วโมงชัดเจน ส่วนจดหมายถึงลูกค้ามักเขียนเป็นอย่างสุดท้าย และออกมาเป็นภาษาราชการที่อ่านจบแล้วไม่รู้ว่าตัวเองต้องทำอะไร

ทั้งที่ลูกค้าได้เห็นแค่จดหมายฉบับนี้ เขาไม่ได้อ่านหนังสือถึง สคส. และไม่ได้เห็นรายงานไอที ลูกค้าจะยังเชื่อใจบริษัทหรือไม่ จึงขึ้นอยู่กับจดหมายฉบับนี้มากกว่าที่คิด

บทความนี้ไล่ให้ครบสามเรื่อง คือ เมื่อไรต้องส่ง ต้องมีอะไรตามกฎหมาย และเขียนอย่างไรให้คนธรรมดาอ่านรู้เรื่อง พร้อมตัวอย่างจดหมายสมมติที่ปรับใช้ได้

เมื่อไรต้องส่งจดหมายแจ้งเจ้าของข้อมูล?

ต้องส่งเมื่อเหตุละเมิดนั้น มีความเสี่ยงสูง ที่จะกระทบสิทธิและเสรีภาพของบุคคล เกณฑ์นี้สูงกว่าเกณฑ์แจ้ง สคส. ซึ่งใช้แค่ “มีความเสี่ยง” เหตุบางเรื่องจึงต้องแจ้ง สคส. แต่ไม่ต้องแจ้งลูกค้า

ตัวบทไม่ได้ให้ตัวเลขชั่วโมงสำหรับเจ้าของข้อมูล ใช้คำว่า “โดยไม่ชักช้า” อย่างเดียว และประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง หลักเกณฑ์และวิธีการในการแจ้งเหตุการละเมิดข้อมูลส่วนบุคคล พ.ศ. 2565 ข้อ 10 เปิดให้แจ้งได้ทั้งตอนที่แจ้ง สคส. แล้ว หรือ ยังอยู่ระหว่างเตรียมแจ้ง บริษัทจึงไม่จำเป็นต้องรอให้หนังสือถึง สคส. ออกไปก่อน

จะรู้ว่าเสี่ยงสูงหรือไม่ ให้ประเมินตามปัจจัยแปดข้อในประกาศฯ 2565 ข้อ 12 เช่น ประเภทข้อมูล จำนวนคน และผู้ได้รับผลกระทบเป็นผู้เยาว์หรือบุคคลเปราะบางหรือไม่ ตัวอย่างในคู่มือของ สคส. ช่วยเทียบได้ เช่น ตัวอย่างที่ 6 ร้านค้าออนไลน์ที่รายชื่อ รหัสผ่าน และประวัติการซื้อถูกโพสต์บนอินเทอร์เน็ต คู่มือเห็นว่าต้องแจ้งลูกค้าเพราะเสี่ยงสูงที่จะถูกนำไปทำธุรกรรมผิดกฎหมาย ดูกรณีอื่นได้ที่ 10 ตัวอย่างที่ สคส. ตอบไว้

จดหมายต้องมีอะไรบ้างตามกฎหมาย?

ประกาศฯ 2565 ข้อ 10 กำหนดสาระสำคัญไว้สี่เรื่อง ทุกเรื่องมีคำว่า “เท่าที่จะสามารถกระทำได้” กำกับอยู่ในวรรคนำ จึงไม่ต้องรอข้อเท็จจริงครบทุกข้อก่อนส่ง

ข้อ (4) ยาวที่สุดและเขียนตกหล่นบ่อยที่สุด บริษัทมักเล่าแต่สิ่งที่ตัวเองทำ เช่น ปิดระบบ เปลี่ยนรหัส จ้างผู้เชี่ยวชาญ แต่ลืมครึ่งหลังของข้อ คือ ข้อแนะนำว่าเจ้าของข้อมูลควรทำอะไรเอง ซึ่งเป็นส่วนที่ลูกค้าใช้ได้จริงมากที่สุด

จดหมายถึงลูกค้าต่างจากหนังสือถึง สคส. อย่างไร

สาระของหนังสือถึง สคส. อยู่ในประกาศฯ 2565 ข้อ 6 และประกาศสำนักงานฯ 2568 ยังกำหนดช่องทางกับหัวเรื่องอีเมลไว้ด้วย ส่วนจดหมายถึงเจ้าของข้อมูลไม่มีแบบฟอร์มหรือช่องทางที่ สคส. กำหนดตายตัว มีเพียงสาระตามข้อ 10 และกรอบช่องทางตามข้อ 11

เขียนอย่างไรให้คนธรรมดาอ่านรู้เรื่อง?

กฎหมายบอกว่าต้องมีอะไร แต่ไม่ได้บอกว่าต้องเขียนอย่างไร เรื่องนี้แนวปฏิบัติ TDPG 4.0 หมวด J ช่วยได้มาก แม้จะเป็นแนวปฏิบัติ ไม่ใช่กฎหมาย แต่ตรงกับเหตุผลของข้อ 10 ที่ต้องการให้ผู้ได้รับผลกระทบป้องกันตัวเองได้

ตารางข้างล่างเป็นประโยคที่พบบ่อยในจดหมายแจ้งเหตุ เทียบกับแบบที่เขียนใหม่ให้คนอ่านเข้าใจทันที ทุกแถวเป็นตัวอย่างสมมติ

ตัวอย่างจดหมายแจ้งเหตุที่เขียนด้วยภาษาเข้าใจง่าย

เรื่อง ข้อมูลสมาชิกของท่านรั่วไหล และสิ่งที่ท่านควรทำตอนนี้

เรียน คุณ[ชื่อ] บริษัท ตัวอย่างช็อป จำกัด ขอแจ้งให้ท่านทราบว่าข้อมูลสมาชิกของท่านเป็นส่วนหนึ่งของข้อมูลที่รั่วไหลออกจากระบบของเรา เราขออภัยอย่างยิ่ง และขอแจ้งรายละเอียดเท่าที่ตรวจสอบได้ ณ วันที่ส่งจดหมายนี้

เกิดอะไรขึ้น ระหว่างวันที่ 1–3 ตุลาคม มีผู้ไม่ได้รับอนุญาตใช้ช่องโหว่ในระบบสมาชิกคัดลอกข้อมูลออกไป เราพบเรื่องนี้เมื่อวันที่ 3 ตุลาคม จากการตรวจสอบระบบ ข้อมูลของท่านที่หลุดไปคือ ชื่อ เบอร์โทรศัพท์ อีเมล และที่อยู่จัดส่ง ส่วนรหัสผ่านถูกเก็บแบบเข้ารหัส และระบบนี้ไม่มีข้อมูลบัตรเครดิต

อาจกระทบท่านอย่างไร ผู้ที่ได้ข้อมูลไปอาจโทรหรือส่ง SMS แอบอ้างเป็นบริษัทเรา เพื่อหลอกให้ท่านโอนเงิน กดลิงก์ หรือบอกรหัส OTP

เราทำอะไรไปแล้ว ปิดช่องโหว่แล้ว บังคับเปลี่ยนรหัสผ่านทุกบัญชี แจ้งสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (สคส.) แล้ว และให้ผู้เชี่ยวชาญภายนอกตรวจระบบทั้งหมด หากตรวจพบข้อมูลเพิ่มเติมที่เกี่ยวกับท่าน เราจะแจ้งท่านอีกครั้ง

1. สิ่งที่ท่านควรทำตอนนี้: บริษัทจะไม่โทรหรือส่งข้อความขอรหัสผ่าน รหัส OTP หรือให้โอนเงินไม่ว่ากรณีใด ถ้าได้รับ ให้วางสายหรือลบทิ้ง
2. ถ้าท่านใช้รหัสผ่านเดียวกันกับบริการอื่น ให้เปลี่ยนรหัสผ่านของบริการนั้นด้วย
3. ระวังลิงก์ใน SMS หรืออีเมลที่อ้างชื่อบริษัท ให้เข้าเว็บไซต์โดยพิมพ์ที่อยู่เองเท่านั้น

ติดต่อเรา คุณ[ชื่อ] เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล โทร [เบอร์] ทุกวัน [เวลา] หรืออีเมล [อีเมล] ที่อยู่ [ที่อยู่บริษัท] หากท่านเห็นว่าเรายังจัดการเรื่องนี้ไม่เหมาะสม ท่านมีสิทธิร้องเรียนต่อ สคส. ได้

สังเกตว่าตัวอย่างนี้ตอบครบทั้งสี่ข้อของข้อ 10 โดยไม่ต้องอ้างเลขข้อในตัวจดหมาย ลูกค้าไม่จำเป็นต้องรู้ว่าประกาศฉบับไหนสั่ง แค่ต้องรู้ว่าเกิดอะไรขึ้นและต้องทำอะไรต่อ ถ้าอยากดูโครงอีกแบบที่ละเอียดกว่า TDPG 4.0 มีตัวอย่างหนังสือแจ้งเหตุให้ศึกษาต่อ

ส่งช่องทางไหนดี ถ้าไม่มีอีเมลของทุกคน?

หลักคือแจ้งรายบุคคลเป็นหนังสือหรือทางอิเล็กทรอนิกส์ ถ้าทำไม่ได้เพราะไม่มีช่องทางติดต่อหรือมีเหตุจำเป็นอื่น ประกาศฯ 2565 ข้อ 11 ให้แจ้งเป็นกลุ่มหรือประกาศทั่วไปได้ แต่มีเงื่อนไขกำกับไว้ในวรรคสอง

เงื่อนไข “ต้องไม่ก่อความเสียหาย” มีผลต่อการเขียนประกาศทั่วไปโดยตรง ห้ามใส่รายชื่อหรือข้อมูลที่ทำให้รู้ว่าใครบ้างได้รับผลกระทบ และไม่ควรใส่ลิงก์ให้กรอกข้อมูลยืนยันตัวตน เพราะมิจฉาชีพลอกหน้าตาประกาศไปหลอกต่อได้ง่าย

TDPG 4.0 ข้อ J48 แนะนำช่องทางที่ถึงตัวคนจริง เช่น อีเมล SMS ข้อความตรง แบนเนอร์เด่นบนเว็บไซต์ และไปรษณีย์ และบอกว่าอาจต้องใช้หลายช่องทางพร้อมกัน ส่วนข้อ J49 แนะนำให้ใช้ภาษาที่บริษัทใช้กับลูกค้าคนนั้นตามปกติ ลูกค้าต่างชาติจึงควรได้จดหมายภาษาที่เขาอ่านออก

ข้อผิดพลาดที่ทำให้จดหมายแจ้งเหตุใช้ไม่ได้

ถ้าข้อมูลรั่วจากผู้ให้บริการภายนอก จดหมายยังเป็นหน้าที่ของบริษัทในฐานะผู้ควบคุมข้อมูล อ่านต่อที่ ผู้รับจ้างทำข้อมูลรั่ว ใครต้องแจ้งใคร และอยากฝึกเขียนจดหมายนี้ภายใต้เวลาบีบ ลองใส่เป็นโจทย์ใน การซ้อมรับมือข้อมูลรั่วแบบครึ่งวัน

ใครรับผิดชอบเนื้อหานี้?

เรียบเรียงโดยทีมกฎหมาย AIPDPA · ผู้รับผิดชอบเนื้อหา ภูวรา ครอบตะคุ ทนายความ · เนติบัณฑิตไทย · ที่ปรึกษากฎหมายเทคโนโลยีและทรัพย์สินทางปัญญา

ใบอนุญาตทนายความ 477/2558 · เนติบัณฑิตไทย · นิติศาสตรมหาบัณฑิต กฎหมายทรัพย์สินทางปัญญาและสารสนเทศ (เหรียญทอง)