ภาพจากกล้องวงจรปิดหลุด ต้องทำอะไรใน 72 ชั่วโมงแรก

สมมติว่าคลิปจากกล้องหน้าลิฟต์ของคอนโดแห่งหนึ่งไปโผล่ในกลุ่มเฟซบุ๊กของลูกบ้าน ผู้จัดการอาคารรู้เรื่องตอนบ่ายวันศุกร์ จากข้อความของลูกบ้านคนหนึ่ง (เหตุการณ์สมมติ) คำถามแรกที่ทุกคนถามคือ ใครปล่อยคลิปออกไป และต้องแจ้งใครบ้าง

บทความนี้ตอบเฉพาะส่วนที่เกิดหลังภาพหลุดหรือระบบกล้องถูกเจาะ ส่วนเรื่องป้ายแจ้ง ฐานทางกฎหมาย และการเก็บภาพกี่วัน อ่านได้ใน ติดกล้องวงจรปิดในออฟฟิศ ร้าน คอนโด ต้องทำอะไรตาม PDPA ส่วนขั้นตอนทั่วไปของเหตุข้อมูลรั่วทุกชนิดอยู่ใน ข้อมูลรั่ว ต้องทำอะไรบ้างใน 72 ชั่วโมงแรก

ที่มาของบทความคือแนวปฏิบัติความมั่นคงปลอดภัยระบบกล้องวงจรปิดของ สกมช. ฉบับ 1.0.0 (29 กันยายน 2569) ซึ่งมีลำดับขั้นจัดการเหตุละเมิดไว้ในข้อ 2.3.4 และข้อ 3.6 เราเอาลำดับนั้นมาวางคู่กับเส้นตายตามกฎหมายจริง คือ พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล มาตรา 37 (4) และประกาศ สคส. ปี 2565

ภาพจากกล้องหลุดแล้ว ถือเป็นเหตุละเมิดข้อมูลส่วนบุคคลหรือไม่?

ถ้าภาพนั้นเห็นหน้าหรือระบุตัวคนได้ และภาพไปถึงคนที่ไม่มีสิทธิดู ส่วนใหญ่เข้าข่ายเหตุละเมิดข้อมูลส่วนบุคคล ประกาศ สคส. ปี 2565 ข้อ 4 แบ่งเหตุเป็นสามแบบ คือละเมิดความลับ ความถูกต้องครบถ้วน และความพร้อมใช้งาน ภาพหลุดคือแบบแรก

ประกาศฉบับเดียวกันบอกว่าเหตุอาจมาจากตัวผู้ควบคุมข้อมูลเอง ผู้ประมวลผล พนักงาน ผู้รับจ้าง หรือตัวแทน ดังนั้นพนักงานรักษาความปลอดภัยที่ถ่ายหน้าจอส่งกลุ่มไลน์ กับแฮกเกอร์ที่เจาะเครื่องบันทึก เป็นเหตุละเมิดทั้งคู่ ต่างกันที่วิธีรับมือ

แนวปฏิบัติ สกมช. ข้อ 2.3.4 ให้รายการเหตุที่ควรนำมาประเมิน เราจัดว่าแต่ละเหตุเข้าแบบไหนของประกาศ สคส. ไว้ในตารางนี้ (การจัดหมวดเป็นของทีม AIPDPA เอง ไม่ใช่ของ สกมช. และไม่ใช่ของ สคส.)

ภาพที่ไม่มีทางระบุตัวบุคคลได้เลย เช่น กล้องส่องลานจอดรถว่างตอนกลางคืน ไม่ใช่ข้อมูลส่วนบุคคล แต่ถ้ากล้องถูกเจาะ ก็ยังเป็นเหตุความมั่นคงปลอดภัยของระบบที่ต้องจัดการ และต้องตรวจให้แน่ว่าเครื่องบันทึกไม่ได้เก็บภาพช่วงอื่นที่เห็นหน้าคน

เส้นตาย 72 ชั่วโมงเริ่มนับเมื่อไร และต้องแจ้งใคร?

เริ่มนับแต่ผู้ควบคุมข้อมูลทราบเหตุ ไม่ใช่นับแต่เหตุเกิด มาตรา 37 (4) ให้แจ้ง สคส. โดยไม่ชักช้าภายใน 72 ชั่วโมงเท่าที่ทำได้ เว้นแต่เหตุนั้นไม่มีความเสี่ยงต่อสิทธิและเสรีภาพของบุคคล

ข้อ 5 ของประกาศ สคส. ปี 2565 วางลำดับไว้ชัด ได้รับแจ้งหรือทราบเองว่ามีหรือน่าจะมีเหตุ ก็ต้องรีบตรวจว่าน่าเชื่อถือแค่ไหน ถ้าเชื่อได้ว่าเกิดจริง จึงแจ้ง สคส. ภายใน 72 ชั่วโมงนับแต่ทราบเหตุ

ข้อความนี้ใช้คำว่า "นับแต่ทราบเหตุ" ส่วนจะนับจากตอนที่ได้รับแจ้งครั้งแรกหรือตอนที่ตรวจแล้วเชื่อได้ว่าเกิดจริง ตัวประกาศไม่ได้ขยายความไว้ตรง ๆ ทางที่ปลอดภัยคือจดเวลาตั้งแต่ได้รับแจ้งครั้งแรก แนวปฏิบัติ สกมช. ข้อ 3.6.3 ก็แนะนำให้บันทึกแหล่งที่มาของการแจ้งเหตุและเวลาที่ทราบเหตุไว้เหมือนกัน

แจ้งใคร เมื่อไร

เจ้าของกิจการหลายรายสงสัยว่ารู้เหตุตอนเย็นวันศุกร์ 72 ชั่วโมงนับรวมวันเสาร์อาทิตย์ไหม ตัวบทในมาตรา 37 (4) และประกาศ 2565 ใช้หน่วยเป็นชั่วโมงนับแต่ทราบเหตุ และไม่มีข้อความยกเว้นวันหยุด ให้ถือว่านับต่อเนื่อง

ช่องทางแจ้ง สคส. ตามประกาศ สคส. ปี 2568 ข้อ 2 คือไปรษณีย์อิเล็กทรอนิกส์ saraban@pdpc.or.th โดยระบุสาระสำคัญตามข้อ 6 ของประกาศ 2565 เท่าที่ทำได้ ได้แก่ ลักษณะและประเภทของเหตุ ผู้ประสานงานหรือ DPO ผลกระทบที่อาจเกิด และมาตรการที่ใช้หรือจะใช้

72 ชั่วโมงแรกของเหตุกล้องวงจรปิด ทำอะไรก่อนหลัง?

แนวปฏิบัติ สกมช. ข้อ 2.3.4 วางลำดับ 7 ขั้นสำหรับเหตุละเมิดของระบบกล้อง ตั้งแต่ตรวจพบจนถึงป้องกันการเกิดซ้ำ ขั้นตอนนี้ไม่ได้บังคับ แต่เรียงเข้ากับลำดับของประกาศ สคส. ข้อ 5 ได้พอดี

ข้อ 3.6.3 ของแนวปฏิบัติเดียวกันแตกลำดับเป็น 6 ขั้นสำหรับงานช่าง คือ จำกัดและควบคุมเหตุ ประเมินเหตุ แก้ไขสาเหตุและช่องโหว่ กู้คืนระบบ รายงานและสื่อสาร และทบทวนปรับปรุง เรานำสองชุดมาเรียงกับเวลาจริงไว้ด้านล่าง

1. ทันทีที่ทราบเหตุ
   จดว่าใครแจ้ง แจ้งทางไหน และรู้เมื่อกี่โมง แล้วเปิดบันทึกเหตุหนึ่งรายการ เวลานี้คือจุดเริ่มของเส้นตายทุกข้อ ยังไม่ต้องรู้ว่าใครผิดหรือหลุดทางไหนประกาศ 2565 ข้อ 5 · แนวปฏิบัติ สกมช. ข้อ 3.6.3
2. ชั่วโมงแรก ๆ (ข้อเสนอของเรา)
   จำกัดเหตุ ตัดเครื่องบันทึกหรือกล้องที่ต้องสงสัยออกจากอินเทอร์เน็ต ระงับบัญชีและสิทธิที่เกี่ยวข้อง ถอดลิงก์หรือสั่งลบคลิปที่โพสต์ในที่ที่เราสั่งได้ โดยยังไม่รีเซ็ตเครื่องประกาศ 2565 ข้อ 5 (2) · แนวปฏิบัติ สกมช. ข้อ 3.6.3
3. ก่อนรีเซ็ตหรือแก้ไขอุปกรณ์
   ส่งออกบันทึกเหตุการณ์ (log) จดค่าตั้งปัจจุบัน และเก็บสำเนาคลิปที่หลุดไว้เป็นหลักฐาน ตามที่แนวปฏิบัติ สกมช. แนะให้เก็บหลักฐานก่อนรีเซ็ตแนวปฏิบัติ สกมช. ข้อ 3.6.3
4. วันแรก (ข้อเสนอของเรา)
   ประเมินว่าระบบไหน กล้องตัวไหน ช่วงเวลาไหน มีข้อมูลส่วนบุคคลเกี่ยวข้องหรือไม่ กี่คน และความเสี่ยงต่อสิทธิของเขาสูงหรือไม่ ใช้ปัจจัยตามข้อ 12 ของประกาศ 2565ประกาศ 2565 ข้อ 5 (1) · ข้อ 12
5. ก่อนครบ 72 ชั่วโมง
   ถ้าเชื่อได้ว่ามีการละเมิดจริงและไม่ใช่กรณีที่ไม่มีความเสี่ยง ให้แจ้ง สคส. ด้วยสาระตามข้อ 6 เท่าที่ทำได้ ถ้ายังหาข้อเท็จจริงไม่ครบก็แจ้งเท่าที่มี แล้วเติมภายหลังพ.ร.บ. มาตรา 37 (4) · ประกาศ 2565 ข้อ 5 (3) · ข้อ 6
6. เมื่อเสี่ยงสูง
   แจ้งเจ้าของข้อมูลพร้อมแนวทางเยียวยา โดยไม่ชักช้า ดูตัวอย่างหนังสือใน หนังสือแจ้งเจ้าของข้อมูลพ.ร.บ. มาตรา 37 (4) · ประกาศ 2565 ข้อ 5 (4)
7. ถ้าแจ้งไม่ทัน
   รีบชี้แจงเหตุจำเป็นต่อ สคส. และไม่เกิน 15 วันนับแต่ทราบเหตุ เพื่อขอให้พิจารณายกเว้นความผิดจากการแจ้งล่าช้าประกาศ 2565 ข้อ 7
8. หลังเหตุสงบ
   แก้ช่องโหว่ เปลี่ยนรหัสและสิทธิ กู้คืนจากแหล่งที่เชื่อถือได้ เฝ้าระวังเป็นพิเศษ แล้วทบทวนว่าเกิดซ้ำได้อีกไหมประกาศ 2565 ข้อ 5 (5) · แนวปฏิบัติ สกมช. ข้อ 3.6.3

ทำไมต้องเก็บหลักฐานก่อนกดรีเซ็ตกล้อง?

เพราะการรีเซ็ตเครื่องบันทึกหรือกล้องอาจล้างบันทึกเหตุการณ์ที่บอกว่าใครเข้ามา เมื่อไร และทำอะไรไว้ ถ้าไม่มีบันทึกนี้ จะประเมินไม่ได้ว่าภาพถูกดูหรือถูกดึงไปกี่คลิป และจะบอก สคส. ได้แค่ว่าไม่ทราบ

แนวปฏิบัติ สกมช. ข้อ 3.6.3 ระบุในขั้นประเมินเหตุว่าให้เก็บรักษาบันทึกเหตุการณ์และหลักฐานก่อนรีเซ็ตหรือแก้ไขอุปกรณ์ และในตารางมาตรการ ระดับ E และ H จัดเป็น "พึงปฏิบัติ" ส่วนระดับ B เป็น "ควรพิจารณา" (ระดับ B/E/H ในแนวปฏิบัติเป็นระดับความสำคัญของระบบที่เอกสารกำหนดเอง ไม่ใช่การจัดชั้นโครงสร้างพื้นฐานสำคัญทางสารสนเทศ)

ข้อ 3.6.2 ของแนวปฏิบัติเดียวกันยกตัวอย่างสัญญาณผิดปกติที่ควรตรวจสอบ เช่น กล้องหรืออุปกรณ์เริ่มต้นใหม่โดยไม่มีเหตุผล และค่าตั้งระบบถูกเปลี่ยนโดยไม่ได้รับอนุญาต

สัญญาณพวกนี้ไม่ได้แปลว่าเกิดเหตุละเมิดทุกครั้ง แต่เป็นเหตุให้ตรวจ ตารางต่อไปนี้เป็นข้อเสนอของทีม AIPDPA ว่าเห็นสัญญาณแล้วควรเก็บอะไรก่อนลงมือแก้

ถ้าสัญญาณมาจากกล้องที่เปิดให้ดูผ่านอินเทอร์เน็ตด้วยรหัสผ่านเดิมจากโรงงาน อ่านวิธีป้องกันเพิ่มได้ที่ รหัสผ่านเริ่มต้นและการเปิดดูกล้องจากระยะไกล

ภาพหลุดจากคนในหรือผู้รับเหมา ต่างจากถูกเจาะระบบอย่างไร?

ต่างที่ขั้นจำกัดเหตุและขั้นหาหลักฐาน ส่วนหน้าที่แจ้งตามกฎหมายเหมือนกัน เพราะประกาศ สคส. ข้อ 4 นับเหตุที่เกิดจากพนักงานหรือผู้รับจ้างเป็นเหตุละเมิดด้วย กรณีเจ้าหน้าที่ทำภาพหลุดต้องดูทั้งสิทธิเข้าดูภาพ และบันทึกว่าใครเปิดดูหรือส่งออกคลิป

ต้องแจ้งเจ้าของข้อมูลเมื่อไร และเขียนอะไรถึงเขา?

ต้องแจ้งเมื่อเหตุนั้นมีความเสี่ยงสูงต่อสิทธิและเสรีภาพของบุคคล ตามมาตรา 37 (4) และข้อ 5 (4) ของประกาศ 2565 ส่วนจะสูงหรือไม่ ประกาศข้อ 12 ให้พิจารณาปัจจัย 8 ข้อ เช่น ประเภทของข้อมูล ปริมาณ สถานะของเจ้าของข้อมูล ความร้ายแรงของผลกระทบ และมาตรการที่ใช้อยู่

สำหรับภาพจากกล้อง ปัจจัยที่เรามักต้องชั่งคือ ภาพเห็นหน้าชัดแค่ไหน กล้องอยู่ในพื้นที่ที่คนคาดหวังความเป็นส่วนตัวสูงหรือไม่ (เช่น ทางเดินหน้าห้องพัก) มีเด็กหรือผู้สูงอายุในภาพหรือไม่ และภาพเผยแพร่ออกไปแล้วดึงกลับได้หรือไม่ ข้อเหล่านี้เป็นข้อสังเกตของทีม AIPDPA ที่ต่อยอดจากปัจจัยในข้อ 12 ไม่ใช่เกณฑ์ที่ สคส. ประกาศเฉพาะกล้อง

หนังสือถึงเจ้าของข้อมูลควรบอกว่าเกิดอะไร ข้อมูลของเขาเกี่ยวข้องแค่ไหน ผลกระทบที่อาจเกิด สิ่งที่องค์กรทำแล้ว และช่องทางติดต่อ ดูโครงในบทความ หนังสือแจ้งเจ้าของข้อมูลหลังข้อมูลรั่ว เหตุภาพจากกล้องมักมีผู้ได้รับผลกระทบเป็นลูกบ้านหรือลูกค้าที่เราไม่มีเบอร์ติดต่อ ให้คิดช่องทางแจ้งไว้ล่วงหน้า เช่น ป้ายประกาศในอาคารและอีเมลที่ลงทะเบียนไว้ (ข้อเสนอของเรา)

ควรเตรียมอะไรไว้ก่อน เพื่อไม่ต้องคิดสดในวันเกิดเหตุ?

เตรียมสามอย่างตามที่แนวปฏิบัติ สกมช. ข้อ 2.3.4 ปิดท้าย คือบทบาท ช่องทางรายงาน และผู้มีอำนาจตัดสินใจ เขียนให้ชัดว่าใครรับแจ้ง ใครสั่งตัดระบบได้ และใครเซ็นหนังสือถึง สคส.

แนวปฏิบัติข้อ 3.6.3 มีตารางมาตรการแยกตามระดับ B/E/H ซึ่งเป็นระดับความสำคัญของระบบที่เอกสารกำหนดเอง และเอกสารบอกชัดว่าไม่ใช่การจัดชั้นโครงสร้างพื้นฐานสำคัญทางสารสนเทศ ตามตาราง การกำหนดผู้รับผิดชอบและช่องทางแจ้งเหตุ การแยกอุปกรณ์ที่สงสัย และการรายงานตามกฎหมาย เป็น "พึงปฏิบัติ" ทุกระดับ ส่วนการซ้อมกระบวนการเป็น "พึงปฏิบัติ" เฉพาะระดับ H และ "ควรพิจารณา" ที่ระดับ E

ถ้าอยากซ้อมแบบไม่ต้องเขียนแผนใหญ่ ลองใช้เหตุสมมติสั้น ๆ ในรูปแบบของ การซ้อมรับมือข้อมูลรั่ว ครั้งละครึ่งชั่วโมง โดยใช้โจทย์ "คลิปจากกล้องหลุดเข้ากลุ่มไลน์"

ระบบ AIPDPA มีทะเบียนเหตุละเมิดที่นับถอยหลัง 72 ชั่วโมงจากเวลาที่องค์กรทราบเหตุ และมีตัวช่วยตัดสินว่าต้องแจ้งใครภายในเมื่อไร ทุกการตัดสินใจต้องให้คนยืนยันและมีบันทึก ดูตัวอย่างได้ในบัญชีตัวอย่าง

ถ้าเหตุของคุณเป็นข้อมูลรั่วที่ไม่เกี่ยวกับกล้อง ให้เริ่มจาก คู่มือสั้นเรื่อง 72 ชั่วโมง

ใครรับผิดชอบเนื้อหานี้?

เรียบเรียงโดยทีมกฎหมาย AIPDPA · ผู้รับผิดชอบเนื้อหา ภูวรา ครอบตะคุ ทนายความ · เนติบัณฑิตไทย · ที่ปรึกษากฎหมายเทคโนโลยีและทรัพย์สินทางปัญญา

ใบอนุญาตทนายความ 477/2558 · เนติบัณฑิตไทย · นิติศาสตรมหาบัณฑิต กฎหมายทรัพย์สินทางปัญญาและสารสนเทศ (เหรียญทอง)