อีเมลหรือไฟล์ที่ส่งผิดคน คือเหตุละเมิดข้อมูลส่วนบุคคลประเภทละเมิดความลับตามประกาศเรื่องการแจ้งเหตุ พ.ศ. 2565 ข้อ 4 (1) แม้เกิดจากความพลั้งเผลอ บทความนี้ช่วย DPO และหัวหน้างานตัดสินว่าต้องแจ้ง สคส. และเจ้าของข้อมูลหรือไม่ โดยเทียบกับตัวอย่างที่ สคส. ประเมินไว้
- ส่งผิดคนเพราะพลั้งเผลอก็เป็นเหตุละเมิด ประกาศ 2565 ข้อ 3 และข้อ 4 (1) เขียนรวม "ข้อผิดพลาดบกพร่องหรืออุบัติเหตุ" ไว้ชัด
- คู่มือ สคส. มีกรณีส่งผิดผู้รับ 3 เรื่อง (ตัวอย่างที่ 5, 9, 10) ทั้งสามเรื่อง สคส. เห็นว่าต้องแจ้งสำนักงาน
- ใส่อีเมลผู้รับ 100 คนในช่อง To/Cc สคส. ให้แจ้งทั้งสำนักงานและเจ้าของข้อมูล เว้นแต่ข้อมูลเข้ารหัสด้วยเทคโนโลยีที่น่าเชื่อถือ
- จะไม่แจ้ง ต้องพิสูจน์ได้ว่าไม่มีความเสี่ยงตามข้อ 9 และพร้อมส่งหลักฐานมาตรการให้สำนักงานพิจารณา
- แจ้งสำนักงานภายใน 72 ชั่วโมงนับแต่ทราบเหตุ (PDPA ม.37 (4)) ถ้าเสี่ยงสูงต้องแจ้งเจ้าของข้อมูลพร้อมแนวทางเยียวยาด้วย
สมมติว่าเช้าวันจันทร์ เจ้าหน้าที่บัญชีส่งไฟล์เงินเดือนทั้งแผนกให้ผู้สอบบัญชี แต่โปรแกรมอีเมลเติมชื่อผู้รับให้เอง ไฟล์จึงไปถึงลูกค้ารายหนึ่งที่ชื่อขึ้นต้นเหมือนกัน กว่าจะมีคนเห็นก็ผ่านไปครึ่งวัน
เหตุแบบนี้ไม่มีใครเจาะระบบ ไม่มีไวรัส ระบบก็ไม่ได้ล่ม หลายบริษัทจึงจัดเป็น "เรื่องเล็ก ขอโทษผู้รับแล้วจบ" แต่ถ้าเปิดประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่องหลักเกณฑ์และวิธีการในการแจ้งเหตุการละเมิดข้อมูลส่วนบุคคล พ.ศ. 2565 จะเห็นว่าเหตุนี้เข้านิยามการละเมิดเต็ม ๆ
บทความนี้ไม่ได้ทบทวนตัวอย่างทั้ง 10 เรื่องของ สคส. ซึ่งเราเขียนไว้แล้วในบทความเรื่องการเข้ารหัส แต่เจาะเฉพาะกรณี "ส่งผิดผู้รับ" ที่เกิดได้ในวันทำงานธรรมดา แล้วไล่ว่าต้องแจ้งใคร เมื่อไร และจะไม่แจ้งได้ในกรณีไหน
ส่งอีเมลผิดคนนับเป็นเหตุละเมิดข้อมูลไหม?
นับ ประกาศฯ ปี 2565 ข้อ 3 นิยามการละเมิดไว้กว้าง ครอบคลุมการเปิดเผยข้อมูลโดยมิชอบที่เกิดจากความประมาทหรืออุบัติเหตุ ไม่จำเป็นต้องมีผู้ร้ายหรือเจตนาร้าย
การละเมิดมาตรการรักษาความมั่นคงปลอดภัย ที่ทำให้เกิดการสูญหาย เข้าถึง ใช้ เปลี่ยนแปลง แก้ไข หรือเปิดเผยข้อมูลส่วนบุคคลโดยปราศจากอำนาจหรือโดยมิชอบ ไม่ว่าจะเกิดจากเจตนา ความจงใจ ความประมาทเลินเล่อ การกระทำโดยปราศจากอำนาจหรือโดยมิชอบ การกระทำความผิดเกี่ยวกับคอมพิวเตอร์ ภัยคุกคามทางไซเบอร์ ข้อผิดพลาดบกพร่องหรืออุบัติเหตุ หรือเหตุอื่นใด
ส่วนประเภทของเหตุ ประกาศฯ ข้อ 4 แบ่งไว้สามแบบ อีเมลส่งผิดคนตรงกับแบบแรก คือการละเมิดความลับ เพราะข้อมูลไปอยู่ในมือคนที่ไม่มีสิทธิเห็น ข้อมูลยังครบและยังใช้งานได้ตามปกติ
(1) การละเมิดความลับของข้อมูลส่วนบุคคล (Confidentiality Breach) ซึ่งมีการเข้าถึงหรือเปิดเผยข้อมูลส่วนบุคคล โดยปราศจากอำนาจหรือโดยมิชอบ หรือเกิดจากข้อผิดพลาดบกพร่องหรืออุบัติเหตุ
ข้อนี้สำคัญกว่าที่เห็น เพราะเมื่อเป็นการละเมิดความลับ ข้อมูลที่หลุดไปแล้วเรียกคืนไม่ได้จริง ผู้รับอาจลบให้ แต่บริษัทพิสูจน์ไม่ได้ว่าเขาไม่ได้ส่งต่อหรือบันทึกไว้ การประเมินความเสี่ยงจึงต้องเริ่มจากสมมติฐานว่าข้อมูลออกไปแล้ว
สคส. เคยตัดสินกรณีส่งผิดผู้รับไว้อย่างไร?
คู่มือแนวทางการประเมินความเสี่ยงและแจ้งเหตุการละเมิดข้อมูลส่วนบุคคล เวอร์ชัน 1.0 ของสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (สคส.) ลงวันที่ 15 ธันวาคม 2565 มีตัวอย่าง 10 เรื่อง ในนั้นมีสามเรื่องที่เป็นการส่งข้อมูลไปถึงคนผิด และ สคส. เห็นว่าต้องแจ้งสำนักงานทั้งสามเรื่อง
ลูกค้าธนาคารรายหนึ่งได้ใบแจ้งหนี้ของคนที่ไม่รู้จัก ธนาคารตรวจภายใน 24 ชั่วโมง พบข้อมูลหลุด 10 ราย สคส. เห็นว่าข้อมูลรั่วออกไปจริง และให้ตรวจต่อว่ามีรายอื่นอีกไหม
โรงเรียนส่งข้อมูลนักเรียนจำนวนมากทางอีเมลไปให้ผู้รับเหมาขนส่งแทนผู้ปกครอง ไม่ได้เข้ารหัส และอาจมีข้อมูลอ่อนไหวปน
อีเมลการตลาดที่ควรส่งทีละคน กลับเปิดให้ผู้รับเห็นที่อยู่อีเมลของกันและกัน สคส. ถือว่าเป็นข้อมูลของคนจำนวนมาก
ตัวอย่างที่ 10 เข้มกว่าที่หลายคนคาด
สิ่งที่หลุดในตัวอย่างที่ 10 มีแค่ที่อยู่อีเมลของผู้รับด้วยกันเอง ไม่มีเลขบัตรประชาชน ไม่มีข้อมูลการเงิน หลายบริษัทจึงคิดว่าไม่ต้องทำอะไร แต่ สคส. เห็นว่าต้องแจ้งทั้งสำนักงานและเจ้าของข้อมูล
บริษัทแห่งหนึ่งทำการตลาดแบบตรง โดยการส่งข้อมูลส่วนบุคคลไปยังผู้รับข้อมูลแต่ละราย แต่ด้วยความผิดพลาด จึงมีการใส่ที่อยู่ของบุคคลที่รับอีเมลทั้ง 100 คน เข้าไปในช่อง To หรือ Cc ทำให้ผู้รับอีเมลเห็นอีเมลที่มีข้อมูลส่วนบุคคลของบุคคลอื่น
ต้องแจ้ง เนื่องจากเป็นการส่งข้อมูลของเจ้าของข้อมูลส่วนบุคคลจำนวนมาก จึงจำเป็นต้องแจ้งเหตุ แต่หากข้อมูลดังกล่าวมีการเข้ารหัสโดยเทคโนโลยีที่น่าเชื่อถือ อาจได้รับยกเว้นไม่ต้องแจ้งเหตุ
เหตุผลที่ สคส. ให้ไว้คือจำนวนคน ไม่ใช่ความอ่อนไหวของข้อมูล บทเรียนสำหรับฝ่ายการตลาดคือ รายชื่ออีเมลลูกค้าหลักร้อยที่หลุดไปพร้อมกัน อย่าเพิ่งปัดตกว่าเป็นเรื่องเล็กโดยยังไม่ได้ประเมิน
ส่งผิดไปหาคู่ค้าที่รู้จัก ก็ยังต้องแจ้ง
บางคนคิดว่าส่งผิดไปหาคู่ค้าที่รู้จักกันไม่น่าห่วง เพราะเป็นบริษัทที่มีสัญญากันอยู่ ตัวอย่างที่ 9 ของ สคส. ตอบเรื่องนี้ตรง ๆ ผู้รับเป็นผู้รับเหมาของโรงเรียนเอง แต่ สคส. ยังเห็นว่าเสี่ยงพอที่ต้องแจ้งทั้งสองทาง
เนื่องจากการส่งข้อมูลดังกล่าวไม่มีการเข้ารหัส และเป็นข้อมูลส่วนบุคคลของบุคคลจำนวนมาก ซึ่งอาจมีทั้งข้อมูลส่วนบุคคลทั่วไป และข้อมูลส่วนบุคคลที่มีความอ่อนไหว ซึ่งผู้รับเหมาอาจจะนำข้อมูลดังกล่าวไปใช้โดยมิชอบและก่อให้เกิดความเสียหายได้
เหตุผลสามข้อในตัวอย่างนี้ใช้เป็นคำถามตั้งต้นได้ทุกครั้ง คือ ไฟล์เข้ารหัสไหม มีข้อมูลของกี่คน และมีข้อมูลอ่อนไหวปนอยู่หรือเปล่า ถ้าตอบว่า "ไม่เข้ารหัส หลายคน มีข้อมูลอ่อนไหว" ก็แทบไม่เหลือเหตุผลที่จะไม่แจ้ง
ตรวจให้ทั่ว อย่าหยุดที่รายแรก
ตัวอย่างที่ 5 เริ่มจากลูกค้าคนเดียวโทรมาบอก แต่ผลตรวจพบ 10 ราย สคส. ให้แจ้งเจ้าของข้อมูลเฉพาะ 10 รายนั้น และย้ำว่าต้องหาต่อว่ามีใครได้รับผลกระทบอีก
เนื่องจากข้อมูลดังกล่าวเป็นข้อมูลที่รั่วไหลออกไปจริง ในเบื้องต้นมีผลกระทบเฉพาะผู้ที่ถูกเรียกเก็บเงินตามใบแจ้งหนี้ อย่างไรก็ตาม ธนาคารในฐานะผู้ควบคุมข้อมูลส่วนบุคคลจะต้องดำเนินการตรวจสอบเพิ่มเติมว่ามีบุคคลอื่นใดที่ข้อมูลรั่วไหลออกไปภายนอกหรือไม่ หากพบจะต้องแจ้งเพิ่มเติม
อีเมลส่งผิดหนึ่งฉบับมักเป็นอาการของปัญหาที่ใหญ่กว่า เช่น สูตรจับคู่ชื่อในระบบส่งเอกสารผิด หรือไฟล์ต้นทางเรียงลำดับเพี้ยน ก่อนสรุปว่าเกิดครั้งเดียว ควรเช็กรอบส่งเดียวกันทั้งหมดก่อน
ประเมินความเสี่ยงอย่างไร เมื่อเหตุของเราไม่ตรงกับตัวอย่าง?
ใช้ปัจจัยแปดข้อในประกาศฯ ข้อ 12 ซึ่งเป็นตัวบทจริง ต่างจากคู่มือที่เป็นแนวทาง ประกาศใช้คำว่าผู้ควบคุมข้อมูลส่วนบุคคล "อาจพิจารณา" จากปัจจัยเหล่านี้ จึงไม่ต้องติ๊กครบทุกข้อ แต่ข้อที่เกี่ยวกับเหตุของคุณควรมีคำตอบ
| ปัจจัย | คำถามสำหรับอีเมลส่งผิด | สัญญาณว่าเสี่ยงขึ้น |
|---|---|---|
| (1) ลักษณะและประเภทของการละเมิด | ข้อมูลถูกเปิดให้ใครเห็น ผู้รับคนเดียวหรือทั้งรายชื่อ | ส่งออกนอกองค์กร หรือส่งเข้ากลุ่มอีเมลขนาดใหญ่ |
| (2) ลักษณะหรือประเภทของข้อมูล | ในไฟล์มีอะไรบ้าง | เลขบัตรประชาชน บัญชีธนาคาร เงินเดือน ข้อมูลสุขภาพ |
| (3) ปริมาณข้อมูล | กี่คน กี่รายการ | หลักสิบขึ้นไป (ตัวอย่างที่ 10 คือ 100 คน) |
| (4) สถานะของเจ้าของข้อมูล | มีเด็ก ผู้ป่วย หรือคนเปราะบางไหม | ข้อมูลนักเรียน คนไข้ ผู้สูงอายุ |
| (5) ความร้ายแรงและผลของมาตรการแก้ไข | เรียกคืนหรือให้ผู้รับลบได้จริงไหม | ผู้รับไม่ตอบ หรือส่งต่อไปแล้ว |
| (7) ระบบจัดเก็บและมาตรการรักษาความปลอดภัย | ไฟล์เข้ารหัสไหม รหัสผ่านส่งแยกช่องทางหรือเปล่า | ไม่เข้ารหัส หรือส่งรหัสผ่านไปในอีเมลฉบับเดียวกัน |
ปัจจัยที่ (4) ควรอ่านตัวบทเต็ม เพราะประกาศระบุกลุ่มคนที่ต้องระวังเป็นพิเศษไว้ชัด องค์กรที่ส่งเอกสารเกี่ยวกับเด็กหรือผู้ป่วยบ่อย ๆ เช่น โรงเรียน คลินิก หรือบริษัทประกัน จึงควรตั้งเกณฑ์ภายในให้เข้มกว่าปกติ
(4) ลักษณะ ประเภท หรือสถานะของเจ้าของข้อมูลส่วนบุคคลที่ได้รับผลกระทบ รวมถึงข้อเท็จจริงว่าเจ้าของข้อมูลส่วนบุคคลที่ได้รับผลกระทบ ประกอบด้วยผู้เยาว์ ผู้พิการ ผู้ไร้ความสามารถ ผู้เสมือนไร้ความสามารถ หรือบุคคลเปราะบาง (vulnerable persons) ที่ขาดความสามารถในการปกป้องสิทธิและประโยชน์ของตนเนื่องจากข้อจำกัดต่าง ๆ ด้วยหรือไม่ เพียงใด
กรณีไหนที่อาจไม่ต้องแจ้ง สคส.?
กรณีที่ผู้ควบคุมข้อมูลพิสูจน์ได้ว่าเหตุนั้นไม่มีความเสี่ยงต่อสิทธิและเสรีภาพของบุคคล ประกาศฯ ข้อ 9 ยกตัวอย่างไว้สองแบบ คือข้อมูลระบุตัวคนไม่ได้ กับข้อมูลอยู่ในสภาพที่ใช้งานไม่ได้เพราะมีมาตรการทางเทคโนโลยีเพียงพอ
หากผู้ควบคุมข้อมูลส่วนบุคคลพิสูจน์ได้ว่าเหตุการละเมิดข้อมูลส่วนบุคคลนั้น ไม่มีความเสี่ยงที่จะมีผลกระทบต่อสิทธิและเสรีภาพของบุคคล ซึ่งรวมถึงกรณีที่ข้อมูลส่วนบุคคลตามเหตุการละเมิดข้อมูลส่วนบุคคลนั้น เป็นข้อมูลที่ไม่สามารถระบุตัวบุคคลที่เป็นเจ้าของข้อมูลส่วนบุคคลได้ หรือข้อมูลส่วนบุคคลนั้นไม่อยู่ในสภาพที่ใช้งานได้เนื่องจากมีมาตรการทางเทคโนโลยีที่เพียงพอ
สำหรับอีเมลส่งผิด คำว่า "มาตรการทางเทคโนโลยีที่เพียงพอ" มักหมายถึงไฟล์แนบที่เข้ารหัส โดยผู้รับผิดคนไม่มีรหัสผ่าน ถ้าส่งรหัสผ่านไว้ในอีเมลฉบับเดียวกัน หรือใช้รหัสที่เดาง่ายอย่างวันเกิด ก็แทบยกข้อยกเว้นนี้ไม่ขึ้น
| สถานการณ์ | ตัวอย่างของ สคส. ที่ใกล้ที่สุด | ทิศทาง |
|---|---|---|
| ส่ง CSV รายชื่อลูกค้า 300 คน พร้อมเบอร์โทร ไปหาบริษัทภายนอกผิดราย ไม่เข้ารหัส | ตัวอย่างที่ 9 | แจ้ง สคส. และพิจารณาแจ้งเจ้าของข้อมูล |
| จดหมายข่าวส่งแบบเปิดช่อง Cc เห็นอีเมลกันหลายสิบคน | ตัวอย่างที่ 10 | แจ้ง สคส. และเจ้าของข้อมูล เว้นแต่พิสูจน์ได้ตามข้อ 9 |
| ส่งสลิปเงินเดือนของพนักงาน 1 คนไปหาพนักงานอีกคนในบริษัท | ตัวอย่างที่ 5 (รั่วจริง จำนวนน้อย) | ประเมินตามข้อ 12 ถ้าจะไม่แจ้ง ต้องมีหลักฐานว่าไม่มีความเสี่ยงตามข้อ 9 |
| ไฟล์แนบเข้ารหัสแข็งแรง รหัสผ่านส่งทาง SMS ถึงผู้รับที่ถูกต้องเท่านั้น | ตัวอย่างที่ 10 (กรณีเข้ารหัส) | อาจยกข้อยกเว้นตามข้อ 9 ได้ เก็บหลักฐานการเข้ารหัสไว้ |
| ส่งใบรับรองแพทย์ของพนักงานผิดคน | ตัวอย่างที่ 9 (มีข้อมูลอ่อนไหว) | เสี่ยงสูง แจ้ง สคส. และเจ้าของข้อมูล |
ต้องทำอะไรบ้างตั้งแต่รู้ว่าส่งผิด จนครบ 72 ชั่วโมง?
ประกาศฯ ข้อ 5 เรียงหน้าที่ไว้ให้แล้ว เริ่มจากตรวจข้อเท็จจริง ระงับความเสียหาย แจ้งสำนักงาน แจ้งเจ้าของข้อมูลถ้าเสี่ยงสูง และป้องกันไม่ให้เกิดซ้ำ เส้นตาย 72 ชั่วโมงเริ่มนับเมื่อทราบเหตุ ไม่ใช่เมื่อสอบสวนเสร็จ
(3) เมื่อพิจารณาจากข้อเท็จจริงตาม (1) แล้วเห็นว่า มีเหตุอันควรเชื่อว่ามีการละเมิดข้อมูลส่วนบุคคลจริง ให้ผู้ควบคุมข้อมูลส่วนบุคคลแจ้งเหตุการละเมิดแก่สำนักงานโดยไม่ชักช้าภายในเจ็ดสิบสองชั่วโมงนับแต่ทราบเหตุเท่าที่จะสามารถกระทำได้ เว้นแต่การละเมิดดังกล่าวไม่มีความเสี่ยงที่จะมีผลกระทบต่อสิทธิและเสรีภาพของบุคคล
- นาทีแรก ๆลองเรียกคืนอีเมล (ถ้าระบบรองรับ) ยกเลิกลิงก์แชร์ไฟล์ แล้วติดต่อผู้รับให้ลบและยืนยันกลับเป็นลายลักษณ์อักษรประกาศ 2565 ข้อ 5 (2)
- ภายในวันแรกระบุว่าไฟล์มีข้อมูลของใคร กี่คน ประเภทไหน และเช็กว่ารอบส่งเดียวกันมีฉบับอื่นผิดอีกไหมข้อ 5 (1) · ข้อ 12
- ภายใน 72 ชั่วโมงแจ้ง สคส. ถ้ามีความเสี่ยง หรือบันทึกเหตุผลและหลักฐานถ้าจะยกข้อยกเว้นPDPA ม.37 (4) · ข้อ 5 (3) · ข้อ 9
- โดยไม่ชักช้าถ้าเสี่ยงสูง แจ้งเจ้าของข้อมูลที่ได้รับผลกระทบ พร้อมแนวทางเยียวยาและวิธีป้องกันตัวข้อ 5 (4) · ข้อ 10
- หลังปิดเหตุทบทวนมาตรการ เช่น ค่าเริ่มต้นของการเติมชื่อผู้รับ การหน่วงเวลาส่ง หรือการเข้ารหัสไฟล์แนบข้อ 5 (5)
คำยืนยันจากผู้รับว่าลบแล้วช่วยลดความเสี่ยงตามปัจจัยข้อ 12 (5) ได้ แต่ไม่ได้ทำให้เหตุละเมิดหายไป เพราะเหตุเกิดขึ้นแล้ว สิ่งที่เปลี่ยนไปคือระดับความเสี่ยงที่ใช้ตัดสินว่าต้องแจ้งใคร
ใน AIPDPA ทะเบียนเหตุละเมิด มีตัวช่วยเทียบเหตุกับ 10 ตัวอย่างของ สคส. เช่น เมื่อกรอกว่าเป็นอีเมลส่งผิดและมีข้อมูลหลายสิบคน ระบบจะชี้ไปที่ตัวอย่างที่ 9 หรือ 10 นับเวลา 72 ชั่วโมงจากเวลาที่ทราบเหตุ และให้คนในองค์กรกดยืนยันการตัดสินทุกครั้งพร้อมเก็บประวัติ
ป้องกันอย่างไรไม่ให้ส่งผิดซ้ำ?
ประกาศฯ ข้อ 5 (5) ให้ทบทวนมาตรการหลังเกิดเหตุ โดยดูความเสี่ยง ทรัพยากร และความเป็นไปได้ประกอบกัน มาตรการด้านล่างเป็นแนวทางที่ใช้กันทั่วไป กฎหมายไม่ได้ระบุชื่อเครื่องมือใดไว้ เลือกตามขนาดองค์กรได้
- ปิดหรือจำกัดการเติมชื่อผู้รับอัตโนมัติ สำหรับทีมที่ส่งไฟล์ข้อมูลบุคคลเป็นประจำ เช่น บัญชีและบุคคล
- ตั้งให้อีเมลหน่วงเวลาก่อนออกจริง ให้มีเวลากดยกเลิก
- ส่งจดหมายข่าวผ่านระบบที่ส่งทีละคน ไม่ใช้ช่อง To หรือ Cc กับรายชื่อลูกค้า
- เข้ารหัสไฟล์แนบที่มีข้อมูลบุคคล และส่งรหัสผ่านทางช่องทางอื่น
- ใช้ลิงก์แชร์ที่ต้องยืนยันตัวผู้รับและหมดอายุเองแทนการแนบไฟล์
- เตือนเมื่อส่งออกนอกโดเมนบริษัท โดยเฉพาะเมื่อมีไฟล์ Excel หรือ CSV แนบไปด้วย
สองข้อสุดท้ายตรงกับเหตุผลที่ สคส. ใช้ในตัวอย่างที่ 9 และ 10 คือการเข้ารหัส เมื่อไฟล์ถูกเข้ารหัสด้วยเทคโนโลยีที่น่าเชื่อถือ การส่งผิดคนครั้งถัดไปอาจยังเป็นเหตุละเมิด แต่มีทางยกข้อยกเว้นตามข้อ 9 ได้จริง ถ้าต้องการลำดับงานเต็มของ 72 ชั่วโมงแรก อ่านต่อที่บทความข้อมูลรั่ว 72 ชั่วโมงแรก
คำถามที่พบบ่อย
ส่งอีเมลผิดคนแค่ฉบับเดียว ต้องแจ้ง สคส. ทุกครั้งไหม
ไม่ทุกครั้ง พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล มาตรา 37 (4) ยกเว้นกรณีที่ไม่มีความเสี่ยงต่อสิทธิและเสรีภาพของบุคคล แต่ผู้ควบคุมข้อมูลต้องพิสูจน์ได้ตามประกาศฯ 2565 ข้อ 9 และในตัวอย่างส่งผิดผู้รับทั้งสามเรื่องของคู่มือ สคส. สำนักงานเห็นว่าต้องแจ้ง
ผู้รับตอบกลับมาว่าลบแล้ว ยังต้องแจ้งอีกไหม
การลบช่วยลดความเสี่ยงตามปัจจัยข้อ 12 (5) แต่ไม่ได้ทำให้เหตุละเมิดหายไป ต้องประเมินต่อว่าข้อมูลมีอะไร กี่คน และเข้ารหัสหรือไม่ ถ้ายังมีความเสี่ยงก็ต้องแจ้ง สคส. ภายใน 72 ชั่วโมงนับแต่ทราบเหตุ
ใส่อีเมลลูกค้าในช่อง CC แทน BCC ร้ายแรงขนาดไหน
คู่มือ สคส. ตัวอย่างที่ 10 คือกรณีนี้ (ผู้รับ 100 คน) และ สคส. ให้แจ้งทั้งสำนักงานและเจ้าของข้อมูล เพราะเป็นข้อมูลของคนจำนวนมาก เว้นแต่ข้อมูลเข้ารหัสด้วยเทคโนโลยีที่น่าเชื่อถือ
ส่งผิดไปหาพนักงานในบริษัทเดียวกัน นับเป็นเหตุละเมิดไหม
นับได้ ถ้าผู้รับไม่มีสิทธิเห็นข้อมูลนั้น เพราะประกาศฯ ข้อ 4 (1) ใช้คำว่าการเข้าถึงหรือเปิดเผยโดยปราศจากอำนาจ ไม่ได้จำกัดว่าต้องเป็นคนนอก แต่ความเสี่ยงอาจต่ำกว่าการส่งออกนอกองค์กร ต้องประเมินตามข้อ 12
ต้องแจ้งเจ้าของข้อมูลเมื่อไร
เมื่อเหตุมีความเสี่ยงสูงต่อสิทธิและเสรีภาพของบุคคล ประกาศฯ ข้อ 10 ให้แจ้งโดยไม่ชักช้า พร้อมลักษณะของเหตุ ช่องทางติดต่อ ผลกระทบ และแนวทางเยียวยา ถ้าติดต่อรายตัวไม่ได้ ข้อ 11 ให้แจ้งเป็นกลุ่มหรือผ่านสื่อสาธารณะได้
ตัวบทและแหล่งอ้างอิง
- ประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง หลักเกณฑ์และวิธีการในการแจ้งเหตุการละเมิดข้อมูลส่วนบุคคล พ.ศ. 2565 — ข้อ 3 · ข้อ 4 (1) · ข้อ 5 · ข้อ 9 · ข้อ 12
- คู่มือแนวทางการประเมินความเสี่ยงและแจ้งเหตุการละเมิดข้อมูลส่วนบุคคล เวอร์ชัน 1.0 (สคส. 15 ธันวาคม 2565) — แนวทาง ไม่ใช่กฎหมาย — ตัวอย่างที่ 5 · ตัวอย่างที่ 9 · ตัวอย่างที่ 10 · หมายเหตุท้ายตาราง
- พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 — มาตรา 37 (4)
ตัวบทที่ยกมาในกรอบ "ตัวบท" คัดคำต่อคำจากคลังกฎหมายของ AIPDPA ซึ่งถอดจากราชกิจจานุเบกษาและเอกสารของหน่วยงานรัฐ แล้วระบบตรวจทุกครั้งที่แก้บทความว่าตรงกับคลังทุกตัวอักษร · บทความนี้เป็นความรู้ทั่วไป ไม่ใช่คำปรึกษากฎหมายสำหรับกรณีใดกรณีหนึ่ง
ลงมือในระบบได้ที่
ใครรับผิดชอบเนื้อหานี้?
เรียบเรียงโดยทีมกฎหมาย AIPDPA · ผู้รับผิดชอบเนื้อหา ภูวรา ครอบตะคุ ทนายความ · เนติบัณฑิตไทย · ที่ปรึกษากฎหมายเทคโนโลยีและทรัพย์สินทางปัญญา
ใบอนุญาตทนายความ 477/2558 · เนติบัณฑิตไทย · นิติศาสตรมหาบัณฑิต กฎหมายทรัพย์สินทางปัญญาและสารสนเทศ (เหรียญทอง)