การซ้อมรับมือข้อมูลรั่วแบบครึ่งวัน คือการให้ทุกฝ่ายเล่นเหตุสมมติบนโต๊ะตามลำดับเวลา เพื่อดูว่าบริษัทแจ้ง สคส. ทันภายใน 72 ชั่วโมงนับแต่ทราบเหตุหรือไม่ บทความนี้ให้ DPO ไอที และผู้บริหาร ได้ตารางซ้อมสี่ชั่วโมง โจทย์จากคู่มือ สคส. และเกณฑ์วัดผล
- PDPA ม.37 (4) และประกาศฯ 2565 ข้อ 5 กำหนดให้แจ้ง สคส. ภายใน 72 ชั่วโมงนับแต่ทราบเหตุ ทีมที่ไม่เคยซ้อมมักเสียเวลาไปกับการหาคนตัดสินใจ
- บริษัทเอกชนทั่วไปไม่มีกฎหมายสั่งให้ซ้อม แต่หน่วยงานของรัฐ หน่วยงานกำกับดูแล และหน่วยงาน CII ต้องมีการฝึกซ้อมตามประกาศ กมช. พ.ศ. 2566
- TDPG 4.0 (แนวปฏิบัติ ไม่ใช่กฎหมาย) เตือนว่าถ้าไม่มีขั้นตอนให้พนักงานแจ้งเหตุภายใน อาจถือว่าบริษัทไม่มีมาตรการรักษาความปลอดภัยที่เหมาะสม
- โจทย์ซ้อมที่ดีที่สุดหยิบจาก 10 ตัวอย่างในคู่มือ สคส. เพราะมีคำตอบของหน่วยงานกำกับไว้ให้เทียบ
- ผลที่ต้องได้จากการซ้อมมีสามอย่าง คือเวลาที่ทราบเหตุพร้อมเหตุผล ผู้มีอำนาจสั่งแจ้ง และหนังสือแจ้ง สคส. ที่กรอกครบพร้อมส่ง
บริษัทส่วนใหญ่มีแผนรับมือเหตุข้อมูลรั่วเก็บไว้ในแฟ้มแล้ว ปัญหาคือแผนนั้นไม่เคยถูกใช้จริง พอเกิดเรื่องขึ้นมา คนในห้องจึงเถียงกันตั้งแต่ข้อแรกว่า ตกลงเรารู้เรื่องนี้ตั้งแต่เมื่อไร และใครมีอำนาจสั่งให้แจ้ง
คำถามสองข้อนี้ไม่ใช่เรื่องเล็ก เพราะ พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 มาตรา 37 (4) นับเส้นตาย 72 ชั่วโมงจากเวลาที่ ทราบเหตุ ไม่ใช่จากเวลาที่ประชุมเสร็จ เวลาที่เสียไปกับการตามหาคนเซ็นจึงถูกนับรวมอยู่ในเส้นตายด้วย
การซ้อมบนโต๊ะ (tabletop exercise) เป็นวิธีที่ประหยัดที่สุดในการหาจุดอ่อนเหล่านี้ก่อนเกิดเหตุจริง ใช้แค่ห้องประชุมหนึ่งห้อง คนจากแต่ละฝ่าย และโจทย์ที่เตรียมไว้ล่วงหน้า บทความนี้วางตารางซ้อมแบบสี่ชั่วโมงที่ทำเสร็จได้ในเช้าวันเดียว
กฎหมายบังคับให้บริษัทซ้อมรับมือข้อมูลรั่วไหม?
สำหรับบริษัทเอกชนทั่วไป ไม่มีบทบัญญัติใน PDPA ที่สั่งให้ซ้อม แต่กฎหมายกำหนดผลลัพธ์ที่ทำได้ยากมากถ้าไม่เคยซ้อม คือต้องตรวจสอบข้อเท็จจริง ประเมินความเสี่ยง และแจ้ง สคส. ให้ทันในกรอบเวลาเดียว
เมื่อพิจารณาจากข้อเท็จจริงตาม (1) แล้วเห็นว่า มีเหตุอันควรเชื่อว่ามีการละเมิดข้อมูลส่วนบุคคลจริง ให้ผู้ควบคุมข้อมูลส่วนบุคคลแจ้งเหตุการละเมิดแก่สำนักงานโดยไม่ชักช้าภายในเจ็ดสิบสองชั่วโมงนับแต่ทราบเหตุเท่าที่จะสามารถกระทำได้
กลุ่มที่มีหน้าที่ซ้อมชัดเจนคือหน่วยงานตามประกาศคณะกรรมการการรักษาความมั่นคงปลอดภัยไซเบอร์แห่งชาติ (กมช.) เรื่อง มาตรฐานขั้นต่ำของข้อมูลหรือระบบสารสนเทศ พ.ศ. 2566 ซึ่งนิยามคำว่า “หน่วยงาน” ไว้แคบ ไม่รวมบริษัทเอกชนที่ไม่ใช่โครงสร้างพื้นฐานสำคัญ
หมายความว่า หน่วยงานของรัฐ หน่วยงานควบคุมหรือกำกับดูแลและหน่วยงานโครงสร้างพื้นฐานสำคัญทางสารสนเทศ
(ญ) การฝึกซ้อมความมั่นคงปลอดภัยไซเบอร์ (Cybersecurity Exercise)
ถ้าบริษัทของคุณเป็นหน่วยงานโครงสร้างพื้นฐานสำคัญทางสารสนเทศ การซ้อมจึงเป็นมาตรการขั้นต่ำที่ต้องมี ส่วนบริษัททั่วไป การซ้อมเป็นวิธีพิสูจน์กับตัวเองว่ามาตรการรักษาความมั่นคงปลอดภัยตาม PDPA มาตรา 37 (1) ใช้ได้จริง ไม่ได้มีแค่บนกระดาษ ดูวิธีเช็กสถานะได้ที่ บริษัทเราเป็น CII ไหม
ถ้าไม่เคยซ้อม บริษัทเสี่ยงอะไรบ้าง?
ความเสี่ยงแรกคือแจ้งไม่ทัน ความเสี่ยงที่สองมองเห็นยากกว่า คือแนวปฏิบัติ TDPG 4.0 หมวด J ถือว่าการไม่มีขั้นตอนให้พนักงานแจ้งเหตุเข้าหน่วยงานที่รับผิดชอบ เป็นสัญญาณว่ามาตรการรักษาความปลอดภัยยังไม่เหมาะสม แม้เส้นตาย 72 ชั่วโมงจะยังไม่เริ่มนับก็ตาม
อย่างไรก็ดี การที่ผู้ควบคุมข้อมูลไม่ได้กำหนดในนโยบายและขั้นตอนปฏิบัติงานให้บุคลากรแจ้งเหตุมาที่หน่วยงานรับผิดชอบนั้น ผู้ควบคุมข้อมูลนั้นก็มีความเสี่ยงที่จะถือว่าไม่ได้จัดให้มีมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสม [47]
TDPG 4.0 ยังเตือนอีกเรื่องที่การซ้อมมักเจอ คือบริษัทที่ใช้ระบบตั๋วงาน (ticket) ชอบนับ 72 ชั่วโมงจากเวลาเปิดตั๋ว ซึ่งไม่ถูกเสมอไป เพราะเวลาที่ถือว่าทราบเหตุขึ้นกับข้อเท็จจริง ไม่ได้ขึ้นกับว่ามีคนกรอกระบบเมื่อไร
กรณีองค์กรที่ใช้ระบบการติดตามปัญหา (Issue Tracking System) การเริ่มต้นนับระยะเวลา 72 ชั่วโมงไม่สามารถนับจากเวลาที่เปิด Ticket ได้ทุกกรณี เนื่องจากระยะเวลา 72 ชั่วโมงต้องพิจารณาจากสถานการณ์ที่เกิดขึ้นจริง
ใครต้องเข้าห้องซ้อมบ้าง?
เชิญให้ครบทุกคนที่ต้องตัดสินใจหรือส่งข้อมูลในเหตุจริง ไม่ใช่แค่ทีมไอที ห้องที่มีแต่คนไอทีจะซ้อมได้เฉพาะการกู้ระบบ แต่ตอบไม่ได้ว่าใครเซ็นหนังสือถึง สคส. และใครคุยกับลูกค้า
| บทบาท | ใครรับ | หน้าที่ในห้องซ้อม |
|---|---|---|
| ผู้คุมการซ้อม | DPO ภายนอก ที่ปรึกษา หรือคนที่ไม่ได้ร่วมตัดสินใจ | ปล่อยโจทย์ทีละซอง เดินเวลาสมมติ ไม่ช่วยตอบ |
| ผู้จดเวลา | พนักงานหนึ่งคนที่ไม่ได้อยู่ในทีมตัดสินใจ | จดเวลาจริงและเวลาสมมติของทุกการตัดสินใจ พร้อมชื่อผู้ตัดสิน |
| DPO หรือผู้ประสานงาน | เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล หรือคนที่บริษัทมอบหมาย | ชี้ว่าเหตุเข้าข่ายต้องแจ้งไหม และเป็นชื่อผู้ติดต่อในหนังสือแจ้ง (ประกาศฯ 2565 ข้อ 6 (2)) |
| ไอทีและความปลอดภัย | หัวหน้าไอที ผู้ดูแลระบบ | ตอบว่ารู้อะไรแล้ว ยังไม่รู้อะไร และหยุดความเสียหายอย่างไร |
| ผู้มีอำนาจตัดสินใจ | กรรมการผู้จัดการหรือผู้ที่ได้รับมอบอำนาจ | สั่งแจ้ง สคส. และเจ้าของข้อมูล ภายในเวลาที่กำหนด |
| กฎหมายและสื่อสาร | ฝ่ายกฎหมาย ฝ่ายสื่อสารองค์กร คอลเซ็นเตอร์ | ร่างข้อความถึงลูกค้า ตอบสื่อ และรับสายสอบถาม |
| ตัวแทนผู้ให้บริการภายนอก | ผู้ดูแลคลาวด์ CRM หรือเว็บ (ถ้าเชิญได้) | ทดสอบว่าช่องทางแจ้งเหตุตามสัญญาใช้งานได้จริง |
ตารางซ้อมครึ่งวันมีหน้าตาอย่างไร?
หลักการคือย่อ 72 ชั่วโมงลงมาเหลือราวสามชั่วโมง แล้วปล่อยโจทย์ทีละช่วงเหมือนข่าวที่ทยอยเข้ามาในเหตุจริง ผู้คุมการซ้อมประกาศเวลาสมมติทุกครั้ง เช่น “ตอนนี้คือชั่วโมงที่ 20” ให้ทีมรู้ว่าเหลือเวลาอีกเท่าไร
เหตุสมมติในตารางข้างล่างคือร้านค้าออนไลน์ที่ข้อมูลลูกค้าหลุดผ่านระบบ CRM ของผู้ให้บริการภายนอก เลือกเรื่องนี้เพราะบังคับให้ทีมเจอทั้งหน้าที่ของผู้ควบคุมข้อมูล หน้าที่ของผู้ประมวลผล และการแจ้งเจ้าของข้อมูลในการซ้อมครั้งเดียว
- 09:00 · ชั่วโมงสมมติที่ 0โจทย์ที่ 1: คอลเซ็นเตอร์รายงานว่าลูกค้าสามรายโทรมาบอกว่าได้รับ SMS ที่มีชื่อและเลขคำสั่งซื้อของตัวเอง พร้อมลิงก์แปลก ๆ ทีมต้องตอบว่าเรื่องนี้ต้องส่งถึงใคร ผ่านช่องทางไหน และใครเป็นคนรับประกาศฯ 2565 ข้อ 5 · TDPG ข้อ J16
- 09:30 · ชั่วโมงสมมติที่ 6โจทย์ที่ 2: ไอทีพบ log ว่ามีการส่งออกตารางลูกค้าผิดปกติจากบัญชีของผู้ให้บริการ CRM ผู้จดเวลาบันทึกว่าทีมถือว่า “ทราบเหตุ” ณ เวลาใด และเหตุผลคืออะไร คำตอบนี้คือจุดเริ่มนับ 72 ชั่วโมงม.37 (4) · TDPG ข้อ J12
- 10:00 · ชั่วโมงสมมติที่ 12โจทย์ที่ 3: ผู้ให้บริการ CRM ส่งอีเมลยืนยันว่ามีช่องโหว่ฝั่งตน ทีมเปิดสัญญาดูว่ามีข้อบังคับให้ผู้ให้บริการแจ้งเหตุภายใน 72 ชั่วโมงหรือไม่ และสั่งให้ผู้ให้บริการทำอะไรต่อประกาศฯ 2565 ข้อ 5 (2) · ข้อ 8
- 10:30 · ชั่วโมงสมมติที่ 24โจทย์ที่ 4: ข้อมูลที่หลุดมีชื่อ เบอร์โทร ที่อยู่ และประวัติการซื้อราว 8,000 ราย (ตัวเลขสมมติ) ทีมประเมินความเสี่ยงตามปัจจัย 8 ข้อ แล้วตัดสินว่าต้องแจ้งเจ้าของข้อมูลด้วยหรือไม่ประกาศฯ 2565 ข้อ 12 · ข้อ 10
- 11:15 · ชั่วโมงสมมติที่ 40โจทย์ที่ 5: ภาพหน้าจอ SMS หลอกลวงถูกแชร์ในโซเชียล นักข่าวโทรมาถาม ฝ่ายสื่อสารต้องเขียนข้อความชี้แจงสาธารณะที่ไม่เปิดเผยข้อมูลลูกค้าเพิ่มประกาศฯ 2565 ข้อ 11
- 11:45 · ชั่วโมงสมมติที่ 66โจทย์ที่ 6: ยังไม่รู้จำนวนรายการที่แน่นอน ทีมต้องตัดสินว่าจะส่งหนังสือถึง สคส. เท่าที่มี หรือรอ และต้องกรอกหนังสือฉบับซ้อมให้ครบสี่หัวข้อ พร้อมหัวเรื่องอีเมลตามรูปแบบของสำนักงานประกาศฯ 2565 ข้อ 6 · ข้อ 7 · ประกาศสำนักงาน 2568 ข้อ 2
- 12:15 · หลังจบการซ้อมสรุปบทเรียน 45 นาที เทียบเวลาที่จดได้กับเส้นตาย ไล่ดูว่าใครรอใคร และมอบหมายงานแก้พร้อมกำหนดวันเสร็จประกาศฯ 2565 ข้อ 5 (5)
สังเกตว่าโจทย์ที่ 6 จงใจให้ข้อมูลไม่ครบ เพราะในเหตุจริงแทบไม่มีครั้งไหนที่ข้อมูลครบก่อนเส้นตาย ประกาศฯ 2565 ข้อ 6 ใช้คำว่าให้ระบุสาระสำคัญ “เท่าที่จะสามารถกระทำได้” ทีมควรฝึกส่งของที่มีอยู่ให้ทันก่อน แล้วค่อยส่งข้อมูลเพิ่มตามหลัง
วิธีการแจ้งเหตุการละเมิดข้อมูลส่วนบุคคลแก่สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลผ่านช่องทางอิเล็กทรอนิกส์ ให้ยื่นผ่านไปรษณีย์อิเล็กทรอนิกส์ : saraban@pdpc.or.th
ถ้าทีมทำไม่ทันในการซ้อม
ผลแบบนี้มีค่าที่สุดของการซ้อม ให้ผู้คุมการซ้อมจดไว้ว่าช้าเพราะอะไร แล้วเปิดประกาศฯ 2565 ข้อ 7 ให้ทุกคนอ่านพร้อมกัน ข้อนี้เปิดทางให้ขอยกเว้นความผิดได้ แต่ต้องมีเหตุจำเป็นที่ชี้แจงได้ และมีเพดานที่ขยายไม่ได้
โดยจะต้องแจ้งแก่สำนักงานโดยเร็ว ทั้งนี้ ต้องไม่เกินสิบห้าวันนับแต่ทราบเหตุ
โจทย์ซ้อมควรเอามาจากไหน?
แหล่งที่ดีที่สุดคือ คู่มือแนวทางการประเมินความเสี่ยงและแจ้งเหตุการละเมิดข้อมูลส่วนบุคคล ของสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (สคส.) ซึ่งมี 10 ตัวอย่างพร้อมคำตอบว่าต้องแจ้งใคร คู่มือนี้เป็นแนวทาง ไม่ใช่กฎหมาย แต่ทำให้ผู้คุมการซ้อมมีเฉลยที่อ้างอิงได้
| ตัวอย่างในคู่มือ | ทดสอบเรื่องอะไร | คำตอบของคู่มือ |
|---|---|---|
| ตัวอย่างที่ 1: USB ที่เข้ารหัสด้วยเทคโนโลยีน่าเชื่อถือหาย | ทีมกล้าตัดสินว่า “ไม่ต้องแจ้ง” และบันทึกเหตุผลไว้ได้ไหม | ไม่ต้องแจ้งทั้ง สคส. และเจ้าของข้อมูล |
| ตัวอย่างที่ 4: ransomware เข้ารหัสข้อมูลทั้งหมดและไม่มีข้อมูลสำรอง | แยกได้ไหมว่าข้อมูลใช้งานไม่ได้ก็เป็นเหตุละเมิด แม้ไม่มีใครเห็นข้อมูล | ต้องแจ้งทั้ง สคส. และเจ้าของข้อมูล |
| ตัวอย่างที่ 7: ผู้รับจ้างดูแลเว็บ (Web Hosting) โปรแกรมตรวจสิทธิผิดพลาด ลูกค้าเข้าใช้ไม่ได้ | ผู้ให้บริการรู้ไหมว่าต้องแจ้งบริษัท และบริษัทรู้ไหมว่าต้องแจ้ง สคส. ต่อ | ผู้รับจ้างแจ้งผู้ควบคุมข้อมูล ผู้ควบคุมแจ้ง สคส. ยังไม่ต้องแจ้งเจ้าของข้อมูล |
| ตัวอย่างที่ 10: ส่งอีเมลการตลาดโดยใส่ผู้รับ 100 คนในช่อง To หรือ Cc | เหตุเล็กที่เกิดจากคน ทีมจะมองข้ามหรือไม่ | ต้องแจ้งทั้ง สคส. และเจ้าของข้อมูล เว้นแต่ข้อมูลเข้ารหัสด้วยเทคโนโลยีที่น่าเชื่อถือ |
ซ้อมปีละหนึ่งเรื่องก็พอ แต่ควรสลับประเภทเหตุ ปีนี้ซ้อมเรื่องข้อมูลหลุดออกไปข้างนอก ปีหน้าซ้อมเรื่องระบบใช้งานไม่ได้ เพราะประกาศฯ 2565 ข้อ 4 แบ่งเหตุละเมิดเป็นสามประเภท คือด้านความลับ ความถูกต้องครบถ้วน และความพร้อมใช้งาน แต่ละแบบทำให้ทีมคิดต่างกัน รายละเอียดทั้ง 10 กรณีอ่านได้ที่ เข้ารหัสแล้วยังต้องแจ้งเหตุไหม
การซ้อมมักสะดุดตรงไหน?
จุดที่ทำให้ช้ามักไม่ใช่ความรู้กฎหมาย แต่เป็นเรื่องการประสานงานระหว่างคนในทีม ผู้คุมการซ้อมควรเตรียมโจทย์ไว้กระตุ้นแต่ละจุดข้างล่างนี้โดยเฉพาะ
ทีมรอให้ไอทียืนยันร้อยเปอร์เซ็นต์ก่อน ทั้งที่ TDPG 4.0 ข้อ J12 อธิบายว่าทราบเหตุเมื่อมีความแน่นอนในระดับที่สมเหตุสมผล ให้ตั้งกติกาไว้ล่วงหน้าว่าใครเป็นคนประกาศ
ประกาศฯ 2565 ข้อ 5 (2) ให้ผู้ควบคุมข้อมูลสั่งการผู้ประมวลผลให้ระงับความเสียหาย ถ้าติดต่อไม่ได้ก็สั่งไม่ได้ ให้ทำรายชื่อผู้ติดต่อฉุกเฉินแนบท้ายสัญญา
เส้นตายนับต่อเนื่อง ไม่หยุดรอใคร ให้กำหนดผู้รับมอบอำนาจลำดับที่สองไว้ในแผน
ประกาศฯ 2565 ข้อ 11 ให้แจ้งเป็นการทั่วไปได้เมื่อแจ้งรายบุคคลไม่ได้ และการแจ้งนั้นต้องไม่ก่อความเสียหายแก่เจ้าของข้อมูล ข้อความที่ใส่รายละเอียดมากเกินไปอาจเข้าทางมิจฉาชีพ
ประกาศฯ 2565 ข้อ 9 ให้ยกข้อยกเว้นได้ถ้าพิสูจน์ได้ว่าไม่มีความเสี่ยง และต้องส่งหลักฐานให้สำนักงานพิจารณา การซ้อมที่จบด้วยเหตุผลที่เขียนไว้จึงถือว่าดี
วัดผลการซ้อมอย่างไรให้รู้ว่าดีขึ้นจริง?
อย่าวัดว่า “ทุกคนเข้าใจ” เพราะวัดไม่ได้ ให้วัดจากสิ่งที่ผู้จดเวลาบันทึกไว้ แล้วเก็บตัวเลขชุดเดิมทุกปีเพื่อเทียบกัน
- เวลาตั้งแต่โจทย์แรกถึงการประกาศว่าทราบเหตุ พร้อมเหตุผลเป็นลายลักษณ์อักษร
- เวลาตั้งแต่ทราบเหตุถึงการสั่งแจ้ง สคส. โดยผู้มีอำนาจตัวจริง
- หนังสือแจ้ง สคส. ฉบับซ้อม กรอกครบสี่หัวข้อตามประกาศฯ 2565 ข้อ 6 หรือไม่ โดยเฉพาะชื่อและช่องทางติดต่อของ DPO
- ผลประเมินความเสี่ยง อ้างปัจจัยตามประกาศฯ 2565 ข้อ 12 ได้กี่ข้อ และตัดสินเรื่องการแจ้งเจ้าของข้อมูลพร้อมเหตุผลหรือไม่
- การติดต่อผู้ให้บริการภายนอก ใช้เวลาเท่าไรกว่าจะได้คนที่ตอบคำถามเทคนิคได้
- งานแก้หลังซ้อม มีเจ้าของงานและวันเสร็จครบทุกข้อหรือไม่
หลังซ้อมเสร็จ ต้องเก็บอะไรไว้เป็นหลักฐาน?
เก็บสามอย่าง คือบันทึกเวลาของผู้จดเวลา หนังสือแจ้ง สคส. ฉบับซ้อม และรายการงานแก้ที่มีชื่อผู้รับผิดชอบ เอกสารชุดนี้ใช้ตอบได้ว่าบริษัทเคยทดสอบมาตรการรักษาความมั่นคงปลอดภัยของตัวเองจริง
เมื่อเกิดเหตุจริงแล้ว ประกาศฯ 2565 ข้อ 5 (5) สั่งให้ทบทวนมาตรการเพื่อป้องกันเหตุแบบเดียวกันในอนาคตอยู่แล้ว บริษัทที่ซ้อมเป็นประจำจะมีรายการงานแก้รออยู่ก่อน ไม่ต้องมานั่งคิดใหม่ทั้งหมดในช่วงที่ทุกคนรับมือเหตุอยู่
ดำเนินการตามมาตรการที่จำเป็นและเหมาะสมเพื่อระงับ ตอบสนอง แก้ไข หรือฟื้นฟูสภาพจากเหตุการละเมิดข้อมูลส่วนบุคคลดังกล่าว รวมทั้งป้องกันและลดผลกระทบจากการเกิดเหตุการละเมิดข้อมูลส่วนบุคคลในลักษณะเดียวกันในอนาคต
ขั้นตอนเต็มของเหตุจริงตั้งแต่นาทีแรกอ่านต่อได้ที่ ข้อมูลรั่ว ต้องทำอะไรบ้างใน 72 ชั่วโมงแรก ส่วนการเขียนข้อความถึงลูกค้าที่ได้รับผลกระทบ ดู จดหมายแจ้งเจ้าของข้อมูลเมื่อข้อมูลรั่ว
คำถามที่พบบ่อย
บริษัทเล็กที่ไม่มี DPO ซ้อมแบบนี้ได้ไหม?
ได้ ให้ผู้ที่บริษัทมอบหมายเป็นผู้ประสานงานรับบทแทน DPO เพราะประกาศฯ 2565 ข้อ 6 (2) ก็เปิดให้ระบุชื่อผู้ที่ได้รับมอบหมายแทนได้ ลดเหลือสองชั่วโมงและโจทย์สามข้อก็พอ
ต้องแจ้ง สคส. ไหมว่าบริษัทจัดซ้อม?
ไม่มีตัวบทในคลังที่กำหนดให้แจ้ง และห้ามส่งอีเมลซ้อมไปที่ saraban@pdpc.or.th เด็ดขาด ให้เขียนถึงขั้นพร้อมส่งแล้วเก็บไว้เป็นหลักฐานภายใน
ควรซ้อมบ่อยแค่ไหน?
กฎหมายไม่ได้กำหนดสำหรับบริษัทเอกชนทั่วไป ข้อแนะนำของเราคือปีละครั้ง และซ้อมเพิ่มเมื่อเปลี่ยนผู้ให้บริการระบบสำคัญ เปลี่ยนผู้บริหาร หรือหลังเกิดเหตุจริง
ควรเชิญผู้ให้บริการภายนอกเข้าร่วมด้วยไหม?
ถ้าเชิญได้ควรเชิญ เพราะประกาศฯ 2565 ข้อ 8 ให้บริษัทกำหนดในสัญญาว่าผู้ประมวลผลต้องแจ้งเหตุภายใน 72 ชั่วโมงนับแต่ทราบเหตุ การซ้อมคือโอกาสทดสอบว่าช่องทางนั้นใช้ได้จริง
หน่วยงาน CII ใช้ตารางนี้แทนการฝึกซ้อมตามประกาศ กมช. ได้ไหม?
ใช้เป็นส่วนหนึ่งได้ แต่ประกาศ กมช. พ.ศ. 2566 ผูกการฝึกซ้อมไว้กับประมวลแนวทางปฏิบัติและกรอบมาตรฐานของ สกมช. ซึ่งมีรายละเอียดของตัวเอง ควรเทียบกับฉบับนั้นอีกชั้นหนึ่ง
ตัวบทและแหล่งอ้างอิง
- พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 — มาตรา 37 (4)
- ประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง หลักเกณฑ์และวิธีการในการแจ้งเหตุการละเมิดข้อมูลส่วนบุคคล พ.ศ. 2565 — ข้อ 5 · ข้อ 6 · ข้อ 7 · ข้อ 8 · ข้อ 11 · ข้อ 12
- ประกาศสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง ช่องทางอิเล็กทรอนิกส์ในการแจ้งเหตุการละเมิดข้อมูลส่วนบุคคลสำหรับผู้ควบคุมข้อมูลส่วนบุคคล พ.ศ. 2568 — ข้อ 2
- คู่มือแนวทางการประเมินความเสี่ยงและแจ้งเหตุการละเมิดข้อมูลส่วนบุคคล เวอร์ชัน 1.0 (สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล · 15 ธันวาคม 2565) — แนวทาง ไม่ใช่กฎหมาย — ตัวอย่างที่ 1 · 4 · 7 · 10 (แนวทาง ไม่ใช่กฎหมาย)
- TDPG 4.0 แนวปฏิบัติการคุ้มครองข้อมูลส่วนบุคคล หมวด J การจัดการเหตุละเมิด — แนวปฏิบัติ ไม่ใช่กฎหมาย — TDPG 4.0 ข้อ J12–J16 (แนวปฏิบัติ ไม่ใช่กฎหมาย)
- ประกาศคณะกรรมการการรักษาความมั่นคงปลอดภัยไซเบอร์แห่งชาติ เรื่อง มาตรฐานขั้นต่ำของข้อมูลหรือระบบสารสนเทศ พ.ศ. 2566 — ข้อ 3 · ข้อ 4 (1) (ญ)
ตัวบทที่ยกมาในกรอบ "ตัวบท" คัดคำต่อคำจากคลังกฎหมายของ AIPDPA ซึ่งถอดจากราชกิจจานุเบกษาและเอกสารของหน่วยงานรัฐ แล้วระบบตรวจทุกครั้งที่แก้บทความว่าตรงกับคลังทุกตัวอักษร · บทความนี้เป็นความรู้ทั่วไป ไม่ใช่คำปรึกษากฎหมายสำหรับกรณีใดกรณีหนึ่ง
ลงมือในระบบได้ที่
ใครรับผิดชอบเนื้อหานี้?
เรียบเรียงโดยทีมกฎหมาย AIPDPA · ผู้รับผิดชอบเนื้อหา ภูวรา ครอบตะคุ ทนายความ · เนติบัณฑิตไทย · ที่ปรึกษากฎหมายเทคโนโลยีและทรัพย์สินทางปัญญา
ใบอนุญาตทนายความ 477/2558 · เนติบัณฑิตไทย · นิติศาสตรมหาบัณฑิต กฎหมายทรัพย์สินทางปัญญาและสารสนเทศ (เหรียญทอง)