ขนส่งทำซองเอกสารลูกค้าหาย ใครต้องแจ้ง สคส.

แผนรับมือข้อมูลรั่วของบริษัทส่วนใหญ่เขียนถึงแฮกเกอร์ แรนซัมแวร์ และอีเมลส่งผิดคน แทบไม่มีฉบับไหนเขียนถึงซองกระดาษ ทั้งที่ทุกเดือนบริษัทส่งใบแจ้งยอด บัตร สัญญา สลิปเงินเดือน ผลตรวจสุขภาพ และพัสดุ ออกไปกับไปรษณีย์ บริษัทขนส่ง และแมสเซนเจอร์ เป็นร้อยเป็นพันซอง

ซองเหล่านี้พ้นมือบริษัทตั้งแต่จุดฝากส่ง พนักงานขนส่งวางผิดบ้านหรือทำตกหล่นระหว่างทาง โดยบริษัทไม่ได้ทำอะไรผิดสักขั้น หลายบริษัทจึงเชื่อว่าเรื่องนี้เป็นปัญหาของขนส่ง ธนาคารแห่งหนึ่งก็คิดแบบนั้น และถามสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (สคส.) ถึงสองครั้ง

บทความนี้ใช้ข้อหารือสองเรื่องที่ สคส. เผยแพร่ คือข้อหารือ สคส. เรื่อง ธนาคาร W ขอหารือเกี่ยวกับการแจ้งเหตุการละเมิดข้อมูลส่วนบุคคลที่เกิดขึ้นจากบริษัทจัดส่งเอกสาร และเรื่อง บริษัท X ขอหารือแนวทางการตีความกฎหมายเกี่ยวกับการแจ้งเหตุการละเมิดข้อมูลส่วนบุคคล วางคู่กับตัวบท PDPA และประกาศฯ ปี 2565 เนื้อความของข้อหารือเป็นการเล่าสรุปด้วยคำของเรา ส่วนข้อความในกรอบตัวบทคัดจากกฎหมายคำต่อคำ

ธนาคาร W ถาม สคส. ว่าอะไร และได้คำตอบแบบไหน?

ธนาคาร W เล่าว่าเอกสารที่มีข้อมูลลูกค้าจะใส่ซอง จ่าหน้าชื่อและที่อยู่ครบ ปิดผนึกแน่น แล้วฝากบริษัทจัดส่งเอกสาร เช่น บริษัท ไปรษณีย์ไทย จำกัด ต่อมาผู้จัดส่งนำซองไปให้คนที่ไม่ใช่ชื่อบนหน้าซอง ผู้รับเข้าใจผิดว่าเป็นของตัวเองจึงเปิดซอง

ธนาคารถามสองข้อ ข้อแรก ธนาคารทำขั้นตอนของตัวเองถูกต้องครบถ้วน ไม่ได้จงใจหรือประมาทเลินเล่อ จึงไม่ถือเป็นผู้ทำละเมิดต่อข้อมูลส่วนบุคคลใช่หรือไม่ ข้อสอง ถ้าไม่ใช่ผู้ทำละเมิด ธนาคารยังต้องทำอะไรตาม PDPA หรือกฎหมายอื่นอีกหรือไม่

รอบแรกทางอีเมล: ผู้จัดส่งเป็นฝ่ายแจ้ง

ข้อหารือบันทึกว่าธนาคารเคยถามเรื่องเดียวกันทางอีเมลมาก่อน คณะทำงานที่ตอบข้อหารือทางอีเมลให้ความเห็นโดยสรุปว่า ต้องดูว่าเหตุเกิดกับมาตรการรักษาความมั่นคงปลอดภัยของผู้ควบคุมข้อมูลรายใด เมื่อผู้จัดส่งส่งผิดคน ผู้จัดส่งในฐานะผู้ควบคุมข้อมูลที่เกิดเหตุเป็นฝ่ายมีหน้าที่แจ้ง ธนาคารไม่ต้องแจ้ง เว้นแต่ธนาคารจ่าหน้าผิดเอง

ถ้าเรื่องจบตรงนั้น ผู้ฝากส่งทุกรายคงสบายใจ แต่ธนาคาร W ขอหารืออย่างเป็นทางการอีกครั้ง คราวนี้คณะอนุกรรมการตอบข้อหารือฯ ในคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลเป็นผู้พิจารณา และคำตอบออกมาอีกทางหนึ่ง

รอบทางการ: ผู้ฝากส่งเป็นฝ่ายแจ้ง

คณะอนุกรรมการฯ เห็นว่า โดยทั่วไปผู้จัดส่งเอกสารภายนอกไม่ได้เก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลที่อยู่ในซองโดยตรง ถึงจะครอบครองซองอยู่ก็ไม่รู้ว่าข้างในมีอะไร และเปิดดูไม่ได้ ข้อหารืออ้างพระราชบัญญัติไปรษณีย์ พุทธศักราช 2477 และไปรษณียนิเทศ พ.ศ. 2566 ประกอบ แล้วสรุปว่าบริษัท ไปรษณีย์ไทย จำกัด ไม่มีฐานะเป็นผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคล สำหรับเนื้อหาที่บรรจุอยู่ในซองหรือพัสดุปิดผนึก

ผลที่ตามมาคือ ผู้จัดส่งที่ทำซองหายหรือส่งผิด ไม่มีหน้าที่ตามกฎหมายคุ้มครองข้อมูลส่วนบุคคลเกี่ยวกับการหายหรือการส่งผิดนั้น หน้าที่ตกแก่ผู้ฝากส่ง เหตุผลของ สคส. ตรงไปตรงมา ผู้ฝากส่งรู้ว่าในซองมีข้อมูลอะไร จึงประเมินได้ว่าเหตุนี้กระทบเจ้าของข้อมูลแค่ไหน ผู้จัดส่งไม่รู้ จึงประเมินไม่ได้

บริษัทไม่ได้ประมาทเลย ทำไมยังต้องแจ้งเหตุ?

เพราะหน้าที่แจ้งเหตุกับความรับผิดทางละเมิดเป็นคนละเรื่องกัน สคส. ตอบธนาคาร W ว่า ความรับผิดในฐานะผู้ทำละเมิดตามมาตรา 420 แห่งประมวลกฎหมายแพ่งและพาณิชย์ จากการกระทำโดยจงใจหรือประมาทเลินเล่อ เป็นคนละกรณีกับหน้าที่แจ้งเหตุของผู้ควบคุมข้อมูลตามมาตรา 37 (4) หน้าที่อย่างหลังเกิดขึ้นเมื่อมีเหตุละเมิดที่เสี่ยงต่อสิทธิและเสรีภาพของบุคคล ผู้ควบคุมข้อมูลจะเป็นต้นเหตุหรือไม่ก็ตาม

มาตรา 37 (4) ไม่ถามว่าใครทำ เงื่อนไขมีข้อเดียว คือเหตุนั้นเสี่ยงต่อสิทธิและเสรีภาพของบุคคลหรือไม่ ประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง หลักเกณฑ์และวิธีการในการแจ้งเหตุการละเมิดข้อมูลส่วนบุคคล พ.ศ. 2565 ข้อ 4 เขียนขยายไว้ว่าเหตุที่ต้องแจ้งเกิดจากใครได้บ้าง

สคส. จัดประเภทเหตุให้ด้วย ซองไปถึงมือคนที่ไม่เกี่ยวข้องเป็นการละเมิดความลับของข้อมูลส่วนบุคคล (Confidentiality Breach) ส่วนเอกสารหายระหว่างจัดส่งเป็นการละเมิดความพร้อมใช้งาน (Availability Breach) ทั้งสองประเภทอยู่ในประกาศฯ ข้อ 4 และเกิดจากข้อผิดพลาดบกพร่องหรืออุบัติเหตุได้ ไม่ต้องมีใครตั้งใจ

กระดาษก็อยู่ใต้กฎเดียวกับไฟล์

หลายบริษัทยังเข้าใจว่ามาตรการรักษาความมั่นคงปลอดภัยเป็นเรื่องของระบบคอมพิวเตอร์ ประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง มาตรการรักษาความมั่นคงปลอดภัยของผู้ควบคุมข้อมูลส่วนบุคคล พ.ศ. 2565 เขียนไว้กว้างกว่านั้น และข้อหารือธนาคาร W ก็อ้างประกาศฉบับนี้เป็นฐานของคำตอบ

บริษัทขนส่งเป็นผู้ประมวลผลข้อมูลของเราหรือไม่?

สคส. แยกข้อมูลเป็นสองชั้น ชั้นแรกคือเนื้อหาในซอง ชั้นที่สองคือชื่อ ที่อยู่ และรายละเอียดการติดต่อของผู้รับและผู้ฝากส่ง ที่ผู้จัดส่งใช้ส่งของและติดตามพัสดุ สองชั้นนี้ได้คำตอบไม่เหมือนกัน

เกณฑ์ที่ สคส. ใช้แบ่งคือ ฝ่ายใดเป็นผู้ตัดสินใจเรื่องวัตถุประสงค์และวิธีการเก็บ ใช้ หรือเปิดเผยข้อมูลเพื่อการจัดส่ง บริษัทจึงต้องดูสัญญาและวิธีทำงานจริงของผู้จัดส่งทีละราย ชื่อบริการบอกฐานะไม่ได้ เมื่อรายใดเป็นผู้ประมวลผล สคส. ย้ำกับธนาคาร W ว่าต้องมีข้อตกลงตามบทนี้

ข้อควรระวังในการนำไปใช้ คำตอบส่วนที่เขียนถึงไปรษณีย์ไทยอาศัยกฎหมายไปรษณีย์เป็นฐาน ข้อหารือไม่ได้วิเคราะห์บริษัทขนส่งเอกชนทีละราย หลักทั่วไปที่ สคส. วางไว้คือ ผู้จัดส่งที่ทำโดยสุจริตไม่รู้ว่าในซองปิดผนึกมีข้อมูลส่วนบุคคลหรือไม่ ในความเห็นของเรา ถ้าผู้จัดส่งรายใดเปิดซอง บรรจุเอกสาร หรือเห็นเนื้อหาได้ตามลักษณะงาน ข้อเท็จจริงก็ต่างจากเรื่องธนาคาร W และต้องวิเคราะห์ฐานะใหม่

หน้าที่ของผู้ประมวลผลเมื่อเกิดเหตุ และการแจ้งเป็นทอดจากผู้รับจ้างถึงผู้ว่าจ้าง อ่านต่อได้ที่ ผู้รับจ้างทำข้อมูลรั่ว ใครต้องแจ้งใคร ภายในกี่ชั่วโมง

ซองหายแบบไหน ต้องแจ้ง สคส. หรือแจ้งลูกค้า?

ตารางด้านล่างมีเฉพาะกรณีที่ข้อหารือธนาคาร W และคู่มือแนวทางการประเมินความเสี่ยงและแจ้งเหตุการละเมิดข้อมูลส่วนบุคคลของ สคส. พูดถึง คู่มือเป็นแนวทาง ไม่ใช่กฎหมาย และ สคส. เขียนในข้อหารือว่าผู้ควบคุมข้อมูลต้องพิจารณาตามข้อเท็จจริงเป็นรายกรณี

แถวที่ 5 และ 6 คือขอบเขตความรับผิดชอบของผู้ส่ง สคส. แบ่งไว้ที่จังหวะส่งมอบ เมื่อผู้จัดส่งนำของไปถึงผู้รับตามชื่อและที่อยู่ที่ระบุถูกต้องแล้ว เหตุที่เกิดหลังจากนั้นในตู้จดหมาย ที่เก็บพัสดุ หรือในความดูแลของผู้รับและผู้รับแทน ไม่ใช่การละเมิดมาตรการรักษาความมั่นคงปลอดภัยของผู้ส่ง ในความเห็นของเรา หลักฐานการนำจ่ายจึงเป็นเอกสารที่ต้องขอจากผู้จัดส่งให้ได้ เพราะใช้พิสูจน์ว่าเหตุเกิดก่อนหรือหลังส่งมอบ

เอกสารหายระหว่างทางเป็นแถวที่ยากที่สุด ซองที่ส่งผิดบ้านยังตามไปถามผู้รับได้ว่าเปิดแล้วหรือยัง ซองที่หายไม่มีใครให้ถาม บริษัทจึงไม่มีหลักฐานว่าไม่มีคนเปิดอ่าน ข้อสังเกตนี้เป็นของเรา ข้อหารือบอกเพียงว่าเป็นการละเมิดความพร้อมใช้งานที่ผู้ฝากส่งต้องประเมินความเสี่ยง

ตัวอย่างที่ 5 ของคู่มือใกล้กับเรื่องซองเอกสารที่สุด ลูกค้ารายเดียวติดต่อมาว่าได้ใบแจ้งหนี้ของคนที่ไม่รู้จัก ธนาคารตรวจภายใน 24 ชั่วโมงแล้วพบว่ามี 10 ราย คู่มือให้แจ้งทั้ง สคส. และเจ้าของข้อมูลที่ได้รับผลกระทบ แล้วให้ตรวจต่อว่ามีรายอื่นอีกหรือไม่ ถ้าพบต้องแจ้งเพิ่ม ซองที่ลูกค้าคนหนึ่งแจ้งเข้ามาจึงอาจเป็นเพียงซองแรกของทั้งรอบจัดส่ง

เนื้อหาในซองกำหนดระดับความเสี่ยง

สคส. ตั้งข้อสังเกตเพิ่มให้ธนาคาร W ว่า ถ้าเป็นการละเมิดความลับหรือความถูกต้องครบถ้วนของข้อมูล และข้อมูลนั้นเป็นข้อมูลสุขภาพหรือข้อมูลอื่นตามมาตรา 26 หรือเป็นข้อมูลเกี่ยวกับการทวงถามหนี้ตามพระราชบัญญัติการทวงถามหนี้ พ.ศ. 2558 หรือการเรียกร้องให้ชำระหนี้หรือค่าสินไหมทดแทน ความเสี่ยงต่อสิทธิและเสรีภาพของบุคคลอาจมีค่อนข้างมาก

ในความเห็นของเรา ซองผลตรวจสุขภาพ ซองจากฝ่ายติดตามหนี้ และหนังสือเรียกค่าสินไหมทดแทน จึงควรจัดเป็นกลุ่มเสี่ยงสูงตั้งแต่ก่อนฝากส่ง สคส. ยังให้ดูด้วยว่าเจ้าของข้อมูลที่ได้รับผลกระทบมีผู้เยาว์ ผู้พิการ หรือบุคคลเปราะบางอยู่ด้วยหรือไม่ ตามปัจจัยในประกาศฯ ข้อ 12

72 ชั่วโมงเริ่มนับตอนไหน เมื่อขนส่งโทรมาบอกว่าของหาย?

เริ่มนับเมื่อบริษัทตรวจสอบเบื้องต้นแล้วเห็นว่ามีเหตุอันควรเชื่อว่าเกิดการละเมิดข้อมูลส่วนบุคคลจริง ถ้าตอนรับสายยังประเมินไม่ได้ทันที เวลายังไม่เริ่มนับจากสายนั้น สคส. ตอบเรื่องนี้ตรงกันทั้งในข้อหารือบริษัท X และข้อหารือธนาคาร W

บริษัท X ถามว่า 72 ชั่วโมงเริ่มเมื่อยืนยันได้ว่ามีเหตุอันควรเชื่อ โดยไม่รวมขั้นตอนตรวจสอบเพิ่มเติมโดยละเอียดและการระงับผลกระทบ ใช่หรือไม่ สคส. ตอบว่าคำว่า “นับแต่ทราบเหตุ” ในตัวบท เริ่มเมื่อผู้ควบคุมข้อมูลประเมินความน่าเชื่อถือของข้อมูลและตรวจสอบข้อเท็จจริงแล้วเห็นว่ามีเหตุอันควรเชื่อว่าเกิดเหตุจริง จุดเริ่มของแต่ละเหตุต้องพิจารณาเป็นรายกรณี

สคส. ยกตัวอย่างไว้สองแบบ บางเหตุยืนยันได้ตั้งแต่แรก เช่น ส่งอีเมลที่มีข้อมูลส่วนบุคคลไปยังผู้รับที่ผิด บางเหตุต้องใช้เวลาตรวจ เช่น มีข่าวอ้างว่าข้อมูลของบริษัทถูกเปิดเผยจากภัยคุกคามทางไซเบอร์ ในความเห็นของเรา เหตุกับซองเอกสารเป็นได้ทั้งสองแบบ ลูกค้าส่งรูปซองที่ถูกเปิดแล้วมาให้ดู ก็แทบยืนยันได้ทันที ส่วนสถานะพัสดุที่ค้างไม่ขยับ ต้องถามผู้จัดส่งก่อนจึงรู้ว่าหายจริงหรือแค่ล่าช้า

ตรวจสอบเบื้องต้นช้าไม่ได้

เวลาก่อนเริ่มนับ 72 ชั่วโมงก็มีกำหนดของมันเอง ประกาศฯ ข้อ 5 (1) ให้ประเมินความน่าเชื่อถือของข้อมูลและตรวจสอบข้อเท็จจริงเบื้องต้นโดยไม่ชักช้าเท่าที่จะทำได้ บริษัทที่รับเรื่องจากขนส่งแล้วเก็บไว้เป็นสัปดาห์โดยไม่ตรวจ เพื่อให้ 72 ชั่วโมงยังไม่เริ่ม จึงไม่ได้ทำตามประกาศตั้งแต่ขั้นแรก

อีกเรื่องที่บริษัท X ถามคือการระงับเหตุ สคส. เห็นว่าการป้องกัน ระงับ หรือแก้ไขตามประกาศฯ ข้อ 5 (2) ต้องทำควบคู่ไปกับหน้าที่แจ้งเหตุ บริษัทจึงอ้างไม่ได้ว่ากำลังตามซองคืนอยู่ ขอแจ้งทีหลัง ถ้ารายละเอียดยังไม่ครบ สคส. เปิดทางให้แจ้งเป็นระยะ คือแจ้งเบื้องต้นก่อน แล้วส่งข้อมูลเพิ่มจนครบสาระสำคัญตามประกาศฯ ข้อ 6

1. ได้รับแจ้งครั้งแรก
   ผู้จัดส่ง ลูกค้า หรือคนที่ได้ซองผิดติดต่อมา จดวันเวลา ชื่อผู้แจ้ง และเลขพัสดุ ถ้ายังประเมินไม่ได้ทันทีว่าเกิดเหตุจริง 72 ชั่วโมงยังไม่เริ่มนับประกาศฯ ข้อ 5
2. ทันทีหลังรับแจ้ง
   ตรวจสอบเบื้องต้นโดยไม่ชักช้า ซองไหน ของใคร ข้างในมีเอกสารอะไร ส่งผิดหรือหาย ผู้รับเปิดซองแล้วหรือยังข้อ 5 (1)
3. เมื่อมีเหตุอันควรเชื่อว่าเกิดเหตุจริง
   เริ่มนับ 72 ชั่วโมง จดเวลานี้พร้อมเหตุผล แล้วประเมินความเสี่ยงตามปัจจัย 8 ข้อข้อ 5 (3) · ข้อ 12
4. ทำคู่กันไป
   ถ้าพบว่าความเสี่ยงสูง ต้องป้องกัน ระงับ หรือแก้ไขทันที ตัวอย่างของเรา เช่น ขอรับซองคืนจากผู้ที่ได้รับผิด หรือระงับบัตรที่อยู่ในซองข้อ 5 (2)
5. ภายใน 72 ชั่วโมง
   ถ้ามีความเสี่ยงต่อสิทธิและเสรีภาพของบุคคล แจ้ง สคส. พร้อมสาระสำคัญ 4 เรื่อง ข้อมูลยังไม่ครบก็แจ้งเป็นระยะได้ม.37 (4) · ข้อ 6
6. โดยไม่ชักช้า
   ถ้าความเสี่ยงสูง แจ้งเจ้าของข้อมูลที่ได้รับผลกระทบ พร้อมแนวทางเยียวยาข้อ 5 (4) · ข้อ 10
7. ไม่เกิน 15 วันนับแต่ทราบเหตุ
   ถ้าแจ้งไม่ทัน 72 ชั่วโมงเพราะมีเหตุจำเป็น แจ้งโดยเร็วพร้อมชี้แจงเหตุผล เพื่อขอให้ สคส. พิจารณายกเว้นความผิดจากการแจ้งล่าช้าข้อ 7
8. หลังปิดเหตุ
   ทบทวนมาตรการ ตั้งแต่ขั้นตอนตรวจชื่อที่อยู่ก่อนฝากส่ง จนถึงการเลือกผู้จัดส่งข้อ 5 (5)

ลำดับงานของเหตุละเมิดทุกประเภทอยู่ใน ข้อมูลรั่ว ต้องทำอะไรบ้างใน 72 ชั่วโมงแรก ส่วนเหตุส่งผิดคนทางอีเมลมีบทความแยกที่ ส่งอีเมลหรือไฟล์ผิดคน ต้องแจ้ง สคส. หรือไม่

ประเมินแล้วไม่ต้องแจ้ง ต้องเก็บอะไรไว้?

เก็บบันทึกการประเมินความน่าเชื่อถือ การตรวจสอบข้อเท็จจริง และการประเมินความเสี่ยง บริษัท X ถามว่าต้องส่งรายละเอียดให้ สคส. ต่อเมื่อ สคส. ร้องขอเท่านั้นใช่หรือไม่ สคส. ตอบว่าเมื่อไม่มีความเสี่ยงก็ไม่ต้องแจ้ง และไม่ต้องส่งข้อมูลหรือเอกสารให้ สคส. โดยตรง แต่ควรเก็บหลักฐานไว้อ้างอิง เผื่อมีเรื่องร้องเรียน หรือคณะกรรมการผู้เชี่ยวชาญหรือพนักงานเจ้าหน้าที่แจ้งให้ส่งข้อมูล เอกสาร หรือหลักฐาน

เหตุผลที่ สคส. ให้ไว้ทั้งกับบริษัท X และธนาคาร W คือ ภาระพิสูจน์ว่าปฏิบัติถูกต้องตามกฎหมายเป็นของผู้ควบคุมข้อมูล ประกาศฯ ข้อ 9 วรรคสองเขียนเรื่องนี้เป็นหน้าที่ไว้

กับซองเอกสาร หลักฐานแบบนี้หายากกว่าเหตุในระบบคอมพิวเตอร์ เพราะไม่มี log ให้ดึง ของที่พอมีคือคำยืนยันของผู้ที่ได้ซองผิดว่ายังไม่ได้เปิด ภาพถ่ายซองที่ผนึกยังครบ บันทึกการรับซองคืน และรายงานของผู้จัดส่ง รายการนี้เป็นข้อเสนอของเรา ข้อหารือบอกเพียงว่าควรเก็บบันทึกการประเมินและการตรวจสอบไว้เป็นหลักฐาน

ไม่ทำอะไรเลย บริษัทเสี่ยงอะไรบ้าง?

ความเสี่ยงมีสองทาง ทางแรกคือโทษปรับทางปกครองที่คณะกรรมการผู้เชี่ยวชาญสั่ง ทางที่สองคือค่าสินไหมทดแทนที่เจ้าของข้อมูลเรียกร้องทางศาล ข้อหารือทั้งสองเรื่องไม่ได้พูดถึงอัตราโทษ บริษัท X ถามเรื่องโทษของการแจ้งเกินกำหนดไว้ด้วย แต่ สคส. เห็นว่าไม่ต้องให้ความเห็น เมื่อตอบแล้วว่าเหตุที่ไม่มีความเสี่ยงไม่ต้องแจ้ง ตัวเลขในตารางจึงมาจากตัวบท PDPA โดยตรง

มาตรา 90 ให้คณะกรรมการผู้เชี่ยวชาญสั่งให้แก้ไขหรือตักเตือนก่อนก็ได้ และให้คำนึงถึงความร้ายแรงของพฤติกรรมกับขนาดกิจการ โทษปรับเต็มเพดานจึงไม่ได้เกิดกับทุกเหตุ ความรับผิดทางแพ่งเป็นอีกเรื่องหนึ่ง และเป็นจุดที่เหตุผลของธนาคาร W ช่วยได้น้อยที่สุด

ธนาคาร W ยกเรื่องไม่จงใจและไม่ประมาทขึ้นถาม มาตรา 77 ไม่รับฟังเหตุผลข้อนี้ ถ้าบริษัทฝ่าฝืนหรือไม่ปฏิบัติตาม PDPA แล้วเจ้าของข้อมูลเสียหาย บริษัทต้องชดใช้ไม่ว่าจะจงใจหรือประมาทหรือไม่ ข้อยกเว้นในตัวบทมีเพียงพิสูจน์ได้ว่าความเสียหายเกิดจากเหตุสุดวิสัย จากการกระทำหรือละเว้นการกระทำของเจ้าของข้อมูลเอง หรือเป็นการปฏิบัติตามคำสั่งของเจ้าหน้าที่

ต้องบอกให้ชัดว่า สคส. ไม่ได้ให้ความเห็นเรื่องมาตรา 77 ในข้อหารือนี้ ความผิดพลาดของผู้จัดส่งจะเข้าข้อยกเว้นข้อใดหรือไม่ จึงยังไม่มีคำตอบจากข้อหารือ และเป็นเรื่องที่ต้องดูข้อเท็จจริงเป็นรายคดี

ค่าสินไหมทดแทนตามมาตรา 77 รวมค่าใช้จ่ายที่เจ้าของข้อมูลจ่ายไปตามความจำเป็นเพื่อป้องกันหรือระงับความเสียหายด้วย มาตรา 78 วรรคสองกำหนดอายุความไว้ 3 ปีนับแต่วันที่ผู้เสียหายรู้ถึงความเสียหายและรู้ตัวผู้ต้องรับผิด หรือ 10 ปีนับแต่วันที่เกิดการละเมิดข้อมูลส่วนบุคคล เหตุกับซองฉบับเดียวในวันนี้จึงยังถูกเรียกร้องได้อีกหลายปี

บริษัทมักเข้าใจผิดเรื่องไหนบ้าง?

ความเข้าใจห้าข้อด้านล่างได้ยินบ่อยในฝ่ายธุรการและฝ่ายปฏิบัติการ ข้อหารือสองเรื่องนี้ตอบไว้ครบทุกข้อ

ต้องแก้อะไรก่อนซองถัดไปจะหาย?

สคส. แนะนำธนาคาร W ว่า ความผิดพลาดในการจ่าหน้าซองและการจัดส่งเป็นความเสี่ยงที่คาดหมายได้ ผู้ควบคุมข้อมูลจึงควรมีมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสมตามมาตรา 37 (1) ให้ครบสามด้านตามประกาศมาตรการฯ ข้อ 4 (2)

แถวสุดท้ายเกี่ยวกับงานออกแบบซองโดยตรง สมมติว่าซองพิมพ์ชื่อฝ่ายติดตามหนี้ หรือชื่อแผนกของโรงพยาบาลไว้ด้านนอก คนส่งของและเพื่อนบ้านจะรู้เรื่องของผู้รับตั้งแต่ยังไม่มีใครเปิดซอง ตัวอย่างนี้เป็นของเรา คำแนะนำของ สคส. เขียนเป็นหลักกว้าง ๆ ตามที่สรุปไว้ในตาราง

ข้อสัญญาที่ควรขอจากผู้จัดส่ง

กับผู้จัดส่งที่เป็นผู้ประมวลผลข้อมูล กฎหมายบังคับสองเรื่อง คือต้องมีข้อตกลงตามมาตรา 40 วรรคสาม และข้อตกลงต้องให้ผู้ประมวลผลแจ้งเหตุแก่บริษัทโดยไม่ชักช้าภายใน 72 ชั่วโมงนับแต่ผู้ประมวลผลทราบเหตุ ตามประกาศฯ ปี 2565 ข้อ 8 รายการด้านล่างเป็นแนวปฏิบัติที่ดีของทีม AIPDPA ไม่ใช่หน้าที่ตามกฎหมาย เราแนะนำให้ขอจากผู้จัดส่งทุกราย เพราะผู้จัดส่งจะมีฐานะใด บริษัทก็เป็นฝ่ายที่ต้องประเมินและแจ้งเหตุ

1. แจ้งทุกครั้งที่ของหาย ส่งผิด ซองฉีกขาด หรือนำจ่ายไม่ได้ ภายในเวลาที่กำหนดเป็นชั่วโมง พร้อมเลขพัสดุและชื่อผู้รับที่เกี่ยวข้อง
2. ผู้ติดต่อเมื่อเกิดเหตุของทั้งสองฝ่าย ติดต่อได้นอกเวลาทำการ
3. หลักฐานการนำจ่าย เช่น ลายมือชื่อผู้รับ วันเวลา และสถานที่ ส่งให้บริษัทเมื่อร้องขอ เพื่อพิสูจน์ว่าเหตุเกิดก่อนหรือหลังส่งมอบ
4. ห้ามเปิดซอง และห้ามใช้ชื่อที่อยู่ของผู้รับเพื่อการอื่นนอกจากการจัดส่ง
5. ช่วยตามซองคืน จากผู้ที่ได้รับผิด และรายงานว่าซองถูกเปิดแล้วหรือยัง
6. ผู้รับจ้างช่วง ต้องผูกพันตามเงื่อนไขเดียวกัน
7. วิธีส่งสำหรับเอกสารเสี่ยงสูง เช่น ส่งแบบมีลายมือชื่อผู้รับ สำหรับเอกสารสุขภาพและเอกสารทวงถามหนี้

ตรวจตัวเอง 5 ข้อ

ลองตอบห้าข้อนี้โดยไม่เปิดเอกสาร ข้อที่ตอบไม่ได้คืองานที่ต้องทำก่อน

• แผนรับมือเหตุละเมิดของบริษัทมีขั้นตอนสำหรับเอกสารกระดาษและพัสดุหรือยัง
• ถ้าผู้จัดส่งแจ้งว่าของหาย คนรับสายรู้หรือไม่ว่าต้องส่งเรื่องต่อให้ใคร และต้องจดอะไร
• บริษัทรู้หรือไม่ว่าซองแต่ละประเภทมีข้อมูลอะไรอยู่ข้างใน และประเภทไหนมีข้อมูลสุขภาพหรือเอกสารทวงถามหนี้
• ผู้จัดส่งแต่ละรายมีฐานะอะไรสำหรับข้อมูลชื่อที่อยู่ของผู้รับ และรายที่เป็นผู้ประมวลผลมีข้อตกลงแล้วหรือยัง
• เหตุครั้งก่อนที่ตัดสินใจไม่แจ้ง มีบันทึกการประเมินเก็บไว้ให้ สคส. ตรวจได้หรือไม่

แผน 7 วัน

1. วันที่ 1 รวมรายการเอกสารและพัสดุที่มีข้อมูลส่วนบุคคลที่บริษัทส่งออก พร้อมชื่อผู้จัดส่งแต่ละราย
2. วันที่ 2 จัดระดับความเสี่ยงของเอกสารแต่ละประเภท ดูข้อมูลตามมาตรา 26 เอกสารทวงถามหนี้ และกลุ่มผู้รับที่เปราะบาง
3. วันที่ 3 ตรวจฐานะของผู้จัดส่งแต่ละราย ว่าใครตัดสินใจเรื่องวัตถุประสงค์และวิธีการ แล้วทำข้อตกลงกับรายที่เป็นผู้ประมวลผล
4. วันที่ 4 เขียนขั้นตอนตรวจชื่อ ที่อยู่ และเอกสารก่อนฝากส่ง และทบทวนแบบซอง
5. วันที่ 5 เพิ่มเหตุกับเอกสารกระดาษในแผนรับมือเหตุละเมิด กำหนดผู้รับเรื่อง ผู้ตัดสินใจ และแบบบันทึกการประเมิน
6. วันที่ 6 ตกลงช่องทางและกำหนดเวลาแจ้งเหตุกับผู้จัดส่ง
7. วันที่ 7 ซ้อมหนึ่งรอบ โดยสมมติว่าลูกค้าแจ้งว่าได้ซองของคนอื่น

ถ้าประเมินแล้วต้องแจ้งลูกค้า วิธีเขียนหนังสือแจ้งอยู่ใน จดหมายแจ้งเจ้าของข้อมูลเมื่อข้อมูลรั่ว ต้องมีอะไรบ้าง ส่วนเนื้อหาของข้อตกลงกับผู้ประมวลผล ดูได้ที่ คู่มือข้อตกลงการประมวลผลข้อมูล

ข้อหารือสองเรื่องนี้ใช้อ้างได้แค่ไหน?

ทั้งสองเรื่องเป็นความเห็นของคณะอนุกรรมการตอบข้อหารือฯ ต่อข้อเท็จจริงที่ผู้หารือเล่ามา ไม่ใช่ตัวบทกฎหมาย และไม่ใช่คำสั่งลงโทษ สคส. เขียนในข้อหารือธนาคาร W เองว่าผู้ควบคุมข้อมูลมีหน้าที่พิจารณาตามข้อเท็จจริงเป็นรายกรณี บริษัทจึงควรใช้เป็นแนวอ่านตัวบท แล้วจดเหตุผลของตัวเองทุกครั้งที่ตัดสินใจ

มีสามเรื่องที่ข้อหารือไม่ได้ตอบ และบทความนี้ไม่ตอบแทน เรื่องแรก ผู้จัดส่งต้องรับผิดต่อผู้ฝากส่งอย่างไร เป็นเรื่องของสัญญาและกฎหมายอื่น เรื่องที่สอง ความรับผิดตามกฎหมายไปรษณีย์ ข้อหารืออ้างกฎหมายนั้นเพียงเพื่ออธิบายว่าผู้จัดส่งเปิดซองไม่ได้ เรื่องที่สาม เอกสารหายแต่ละกรณีต้องแจ้งหรือไม่ สคส. ให้ผู้ควบคุมข้อมูลประเมินเอง

ใครรับผิดชอบเนื้อหานี้?

เรียบเรียงโดยทีมกฎหมาย AIPDPA · ผู้รับผิดชอบเนื้อหา ภูวรา ครอบตะคุ ทนายความ · เนติบัณฑิตไทย · ที่ปรึกษากฎหมายเทคโนโลยีและทรัพย์สินทางปัญญา

ใบอนุญาตทนายความ 477/2558 · เนติบัณฑิตไทย · นิติศาสตรมหาบัณฑิต กฎหมายทรัพย์สินทางปัญญาและสารสนเทศ (เหรียญทอง)