เมื่อผู้รับจ้างทำข้อมูลรั่ว หน้าที่แจ้งเป็นทอด ๆ คือผู้ประมวลผลต้องแจ้งผู้ควบคุมข้อมูลตาม PDPA มาตรา 40 (2) และภายใน 72 ชั่วโมงตามสัญญา แล้วผู้ควบคุมข้อมูลจึงแจ้ง สคส. และเจ้าของข้อมูลตามมาตรา 37 (4) บทความนี้บอกฝ่ายจัดซื้อและ DPO ว่าใครแจ้งใคร เมื่อไร และสัญญาต้องเขียนอะไร
- ผู้ประมวลผลมีหน้าที่ตาม PDPA ม.40 (2) ต้องแจ้งผู้ควบคุมข้อมูลเมื่อเกิดเหตุ โดยไม่ต้องประเมินความเสี่ยงก่อน
- ประกาศฯ 2565 ข้อ 8 บังคับให้ผู้ควบคุมเขียนในสัญญาว่าผู้ประมวลผลต้องแจ้งภายใน 72 ชั่วโมงนับแต่ผู้ประมวลผลทราบเหตุ
- การแจ้ง สคส. และเจ้าของข้อมูลเป็นหน้าที่ของผู้ควบคุมตาม ม.37 (4) ให้ผู้รับจ้างแจ้งแทนได้ แต่ความรับผิดไม่ย้ายตามไป
- TDPG 4.0 (แนวปฏิบัติ) อธิบายว่าผู้ควบคุมถือว่าทราบเหตุเมื่อผู้ประมวลผลแจ้งมา เส้นตาย 72 ชั่วโมงของผู้ควบคุมจึงเริ่มตรงนั้น
- ผู้รับจ้างที่ใช้ข้อมูลนอกคำสั่ง ม.40 วรรคสองให้ถือเป็นผู้ควบคุมข้อมูลสำหรับการนั้น
ทุกวันนี้แทบไม่มีบริษัทไหนเก็บข้อมูลลูกค้าไว้เองทั้งหมด ระบบเงินเดือนอยู่บนคลาวด์ของผู้ให้บริการ ฐานลูกค้าอยู่ใน CRM เจ้าดัง รายชื่อผู้รับพัสดุอยู่ที่บริษัทขนส่ง ผู้ให้บริการเหล่านี้ถือข้อมูลแทนเรา และข้อมูลอาจรั่วจากฝั่งเขาได้ทุกเมื่อ
เมื่อเกิดเหตุ เรื่องแรกที่ต้องตอบให้ได้คือ ใครต้องแจ้งใคร ผู้ให้บริการต้องแจ้ง สคส. เองหรือไม่ บริษัทเราต้องรอให้เขาสอบสวนเสร็จก่อนไหม และเส้นตาย 72 ชั่วโมงของเราเริ่มนับเมื่อไร บทความนี้ไล่ตอบจากตัวบททีละทอด
ในภาษากฎหมาย บริษัทที่ตัดสินใจว่าจะเก็บข้อมูลเพื่ออะไรคือ ผู้ควบคุมข้อมูลส่วนบุคคล ส่วนผู้รับจ้างที่ทำตามคำสั่งหรือในนามของบริษัทคือ ผู้ประมวลผลข้อมูลส่วนบุคคล หน้าที่แจ้งเหตุของสองฝ่ายนี้ไม่เหมือนกัน และสับสนกันบ่อยที่สุด
ผู้รับจ้างทำข้อมูลรั่ว ต้องแจ้งใครก่อน?
ผู้ประมวลผลต้องแจ้ง ผู้ควบคุมข้อมูล คือบริษัทผู้ว่าจ้าง ไม่ใช่แจ้ง สคส. หน้าที่นี้มาจาก พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 มาตรา 40 (2) โดยตรง ไม่ต้องรอให้สัญญาเขียนไว้
(2) จัดให้มีมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสม เพื่อป้องกันการสูญหาย เข้าถึง ใช้ เปลี่ยนแปลง แก้ไข หรือเปิดเผยข้อมูลส่วนบุคคลโดยปราศจากอำนาจหรือโดยมิชอบ รวมทั้งแจ้งให้ผู้ควบคุมข้อมูลส่วนบุคคลทราบถึงเหตุการละเมิดข้อมูลส่วนบุคคลที่เกิดขึ้น
สังเกตว่ามาตรา 40 (2) ไม่ได้กำหนดเวลาไว้ เวลามาจากประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง หลักเกณฑ์และวิธีการในการแจ้งเหตุการละเมิดข้อมูลส่วนบุคคล พ.ศ. 2565 ข้อ 8 ซึ่งเขียนเป็นหน้าที่ของ ผู้ควบคุม ที่ต้องใส่ไว้ในสัญญา
ผู้ควบคุมข้อมูลส่วนบุคคลจะต้องระบุไว้ในข้อตกลงหรือในสัญญาที่เกี่ยวข้องให้ผู้ประมวลผลข้อมูลส่วนบุคคลมีหน้าที่แจ้งเหตุการละเมิดข้อมูลส่วนบุคคลแก่ผู้ควบคุมข้อมูลส่วนบุคคลโดยไม่ชักช้าภายในเจ็ดสิบสองชั่วโมงนับแต่ผู้ประมวลผลข้อมูลส่วนบุคคลทราบเหตุเท่าที่จะสามารถกระทำได้เช่นกัน
ผลในทางปฏิบัติคือ ถ้าสัญญากับผู้ให้บริการไม่มีข้อนี้ ผู้ให้บริการก็ยังต้องแจ้งตามมาตรา 40 (2) แต่บริษัทผู้ว่าจ้างเองตกอยู่ในสถานะที่ไม่ได้ทำตามประกาศฯ ข้อ 8 จึงควรแก้สัญญาเสียตั้งแต่ก่อนเกิดเหตุ
ผู้ประมวลผลต้องประเมินความเสี่ยงก่อนแจ้งไหม
ไม่ต้อง ผู้ควบคุมเท่านั้นที่ต้องชั่งว่าเหตุนั้นเสี่ยงต่อสิทธิเสรีภาพของคนเพียงใด แนวปฏิบัติ TDPG 4.0 อธิบายไว้ตรง ๆ ว่าผู้ประมวลผลต้องแจ้งทุกครั้งที่เป็นเหตุละเมิด ข้อนี้สำคัญเพราะผู้ให้บริการบางรายชอบตัดสินแทนลูกค้าว่า “เรื่องเล็ก ไม่ต้องบอก”
เนื่องจากกฎหมายระบุว่าผู้ประมวลผลข้อมูลต้องแจ้งเหตุละเมิดข้อมูลส่วนบุคคลไปยังผู้ควบคุมข้อมูล ดังนั้น หากเหตุที่เกิดขึ้นเป็นเหตุละเมิดข้อมูลส่วนบุคคล ผู้ประมวลผลข้อมูลต้องแจ้งผู้ควบคุมข้อมูลทุกกรณี ไม่จำต้องพิจารณาถึงระดับความเสี่ยงเหมือนผู้ควบคุมข้อมูล [31]
ผู้ให้บริการแจ้ง สคส. แทนบริษัทได้ไหม?
ทำแทนได้ถ้าตกลงกันไว้ แต่ หน้าที่ตามกฎหมายยังเป็นของผู้ควบคุมข้อมูล มาตรา 37 (4) เขียนหน้าที่แจ้ง สคส. และแจ้งเจ้าของข้อมูลไว้เป็นของผู้ควบคุมเท่านั้น ไม่มีบทใดย้ายหน้าที่นี้ไปให้ผู้ประมวลผล
แจ้งเหตุการละเมิดข้อมูลส่วนบุคคลแก่สำนักงานโดยไม่ชักช้าภายในเจ็ดสิบสองชั่วโมงนับแต่ทราบเหตุเท่าที่จะสามารถกระทำได้ เว้นแต่การละเมิดดังกล่าวไม่มีความเสี่ยงที่จะมีผลกระทบต่อสิทธิและเสรีภาพของบุคคล
ผู้ประมวลผลข้อมูลสามารถแจ้งเหตุละเมิดข้อมูลแทนผู้ควบคุมข้อมูลได้ หากผู้ควบคุมข้อมูลได้ให้การอนุญาตอย่างถูกต้อง และการดำเนินการดังกล่าวเป็นส่วนหนึ่งของข้อตกลงในสัญญาที่ทำไว้ระหว่างผู้ควบคุมและผู้ประมวลผลข้อมูล
TDPG 4.0 ข้อเดียวกันย้ำต่อท้ายว่าความรับผิดชอบตามกฎหมายในการแจ้งยังคงเป็นของผู้ควบคุมข้อมูล แปลว่าถ้าผู้ให้บริการรับปากจะแจ้งแทนแล้วแจ้งช้า บริษัทผู้ว่าจ้างคือฝ่ายที่ต้องตอบ สคส. ส่วนเรื่องที่ผู้ให้บริการผิดสัญญาก็ต้องไปว่ากันทางแพ่งอีกเรื่องหนึ่ง
เส้นตาย 72 ชั่วโมงของบริษัทเริ่มนับเมื่อไร?
TDPG 4.0 ข้อ J17 อธิบายว่าผู้ควบคุมถือว่า ทราบเหตุตั้งแต่ผู้ประมวลผลแจ้งมา เส้นตาย 72 ชั่วโมงในการแจ้ง สคส. ของบริษัทจึงเริ่มนับตอนที่ได้รับแจ้งจากผู้ให้บริการ ไม่ใช่ตอนที่ผู้ให้บริการพบเหตุ
ดังนั้นจะถือว่าผู้ควบคุมข้อมูลส่วนบุคคลได้รับทราบเหตุละเมิดข้อมูลส่วนบุคคลนับตั้งแต่ผู้ประมวลผลข้อมูลส่วนบุคคลได้แจ้งถึงเหตุการณ์ละเมิดนั้นมายังผู้ควบคุมข้อมูลส่วนบุคคล [55]
ถ้าอ่านตามนี้ ช่วงเวลาตั้งแต่ผู้ให้บริการพบเหตุจนถึงบริษัทแจ้ง สคส. อาจยาวได้ถึง 72 บวก 72 ชั่วโมง แต่อย่าวางแผนตามตัวเลขนี้ ทั้งประกาศฯ 2565 ข้อ 8 และมาตรา 37 (4) ใช้คำว่า โดยไม่ชักช้า นำหน้า 72 ชั่วโมงเสมอ TDPG 4.0 ข้อ J9 ก็เตือนว่า 72 ชั่วโมงเป็นแค่กรอบ ไม่ใช่สิทธิที่จะรอให้ครบ
| ทอด | ผู้แจ้ง → ผู้รับแจ้ง | เกณฑ์ | เวลา | ที่มา |
|---|---|---|---|---|
| 1 | ผู้ประมวลผล → ผู้ควบคุม | ทุกเหตุละเมิด ไม่ต้องประเมินความเสี่ยงก่อน | โดยไม่ชักช้า ภายใน 72 ชั่วโมงนับแต่ผู้ประมวลผลทราบเหตุ (ตามที่สัญญาต้องกำหนด) | ม.40 (2) · ประกาศฯ 2565 ข้อ 8 · TDPG [31] |
| 2 | ผู้ควบคุม → สคส. | ทุกเหตุ เว้นแต่ไม่มีความเสี่ยงต่อสิทธิและเสรีภาพของบุคคล | โดยไม่ชักช้า ภายใน 72 ชั่วโมงนับแต่ทราบเหตุ | ม.37 (4) · ประกาศฯ 2565 ข้อ 5 (3) |
| 3 | ผู้ควบคุม → เจ้าของข้อมูล | เมื่อมีความเสี่ยงสูง พร้อมแนวทางเยียวยา | โดยไม่ชักช้า | ม.37 (4) · ประกาศฯ 2565 ข้อ 10 |
| — | ผู้ประมวลผล → สคส. หรือเจ้าของข้อมูล | ไม่มีหน้าที่ตามตัวบท ทำแทนได้เมื่อผู้ควบคุมอนุญาตตามสัญญา | ตามที่ตกลง | TDPG ข้อ J9 [37] (แนวปฏิบัติ) |
คู่มือของ สคส. ตอบกรณีผู้รับจ้างไว้อย่างไร?
คู่มือแนวทางการประเมินความเสี่ยงและแจ้งเหตุการละเมิดข้อมูลส่วนบุคคลของ สคส. มีตัวอย่างที่ 7 เป็นกรณีผู้รับจ้างพอดี คือผู้ให้บริการ Web Hosting ที่โปรแกรมตรวจสิทธิผิดพลาดจนลูกค้าเข้าใช้บริการไม่ได้ คู่มือนี้เป็นแนวทาง ไม่ใช่กฎหมาย
แจ้งเหตุแก่สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล: ต้องแจ้งผู้ควบคุมข้อมูลส่วนบุคคล เพื่อให้ผู้ควบคุมข้อมูลส่วนบุคคลแจ้งสำนักงานฯ เนื่องจากมีผลกระทบต่อกลุ่มลูกค้าพอสมควร
ข้อสังเกตคือคู่มือไม่ได้ให้ผู้รับจ้างแจ้ง สคส. เอง แต่ให้แจ้งผู้ควบคุมเพื่อให้ผู้ควบคุมแจ้งต่อ ส่วนคำอธิบายเหตุผล คู่มือเขียนต่อว่าถ้าสอบแล้วพบว่าถูกโจมตีทางไซเบอร์ ผู้รับจ้างต้องรีบแจ้งผู้ควบคุม และผู้ควบคุมต้องรีบแจ้งทั้ง สคส. และเจ้าของข้อมูล
ระบบล่มก็นับเป็นเหตุละเมิดได้ เพราะประกาศฯ 2565 ข้อ 4 รวมการละเมิดความพร้อมใช้งาน (Availability Breach) ไว้ด้วย ผู้ให้บริการที่คิดว่า “แค่ล่ม ไม่ได้รั่ว ไม่ต้องบอกลูกค้า” จึงคิดผิดตั้งแต่ต้น
ถ้าผู้รับจ้างเอาข้อมูลไปใช้นอกคำสั่ง จะเป็นอย่างไร?
มาตรา 40 วรรคสองตอบไว้ชัด ผู้ประมวลผลที่ไม่ทำตามคำสั่งของผู้ควบคุมในการเก็บ ใช้ หรือเปิดเผยข้อมูลใด จะถูกถือเป็นผู้ควบคุมข้อมูลสำหรับการนั้น
ผู้ประมวลผลข้อมูลส่วนบุคคลซึ่งไม่ปฏิบัติตาม (1) สำหรับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลใด ให้ถือว่าผู้ประมวลผลข้อมูลส่วนบุคคลเป็นผู้ควบคุมข้อมูลส่วนบุคคลสำหรับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลนั้น
ความเห็นของเราคือ เมื่อถูกถือเป็นผู้ควบคุมแล้ว หน้าที่ของผู้ควบคุมตามมาตรา 37 รวมถึงการแจ้งเหตุก็ควรตามไปด้วยสำหรับการใช้ข้อมูลส่วนนั้น แต่บริษัทผู้ว่าจ้างไม่ควรอาศัยข้อนี้เป็นทางหนี เพราะมาตรา 37 (2) ยังกำหนดให้ผู้ควบคุมต้องป้องกันไม่ให้ผู้รับข้อมูลใช้หรือเปิดเผยโดยมิชอบอยู่ตั้งแต่แรก
ไม่แจ้งตามหน้าที่ มีโทษอะไร?
โทษของทั้งสองฝ่ายเป็นโทษปรับทางปกครองใน PDPA หมวด 7 ส่วนที่ 2 และแยกกันคนละมาตรา ผู้ประมวลผลรับผิดตามมาตรา 86 ส่วนผู้ควบคุมรับผิดตามมาตรา 83
| ใคร | ฝ่าฝืนอะไร | เพดานโทษปรับ | มาตรา |
|---|---|---|---|
| ผู้ประมวลผล | ไม่ปฏิบัติตามมาตรา 40 โดยไม่มีเหตุอันควร รวมถึงไม่แจ้งเหตุแก่ผู้ควบคุม | ไม่เกิน 3 ล้านบาท | ม.86 |
| ผู้ควบคุม | ฝ่าฝืนหรือไม่ปฏิบัติตามมาตรา 37 รวมถึงไม่แจ้ง สคส. หรือเจ้าของข้อมูล | ไม่เกิน 3 ล้านบาท | ม.83 |
ผู้ประมวลผลข้อมูลส่วนบุคคลผู้ใดไม่ปฏิบัติตามมาตรา 40 โดยไม่มีเหตุอันควร
มาตรา 86 ของฝ่ายผู้ประมวลผลมีคำว่า “โดยไม่มีเหตุอันควร” แต่มาตรา 83 ของฝ่ายผู้ควบคุมไม่มีคำนี้ จึงเป็นอีกเหตุผลที่บริษัทผู้ว่าจ้างไม่ควรคิดว่าโยนความเสี่ยงไปให้ผู้ให้บริการได้ทั้งหมด
สัญญากับผู้ให้บริการควรเขียนเรื่องแจ้งเหตุอย่างไร?
มาตรา 40 วรรคสามสั่งให้ผู้ควบคุมจัดให้มีข้อตกลงกับผู้ประมวลผลอยู่แล้ว ข้อตกลงนี้มักเรียกว่า DPA (Data Processing Agreement) รายการข้างล่างคือข้อที่ควรมีในหมวดแจ้งเหตุ ข้อ 1 มาจากประกาศฯ ข้อ 8 ข้ออื่นเป็นข้อแนะนำของเรา
การดำเนินงานตามหน้าที่ของผู้ประมวลผลข้อมูลส่วนบุคคลตามที่ได้รับมอบหมายจากผู้ควบคุมข้อมูลส่วนบุคคลตามวรรคหนึ่ง ผู้ควบคุมข้อมูลส่วนบุคคลต้องจัดให้มีข้อตกลงระหว่างกัน เพื่อควบคุมการดำเนินงานตามหน้าที่ของผู้ประมวลผลข้อมูลส่วนบุคคลให้เป็นไปตามพระราชบัญญัตินี้
- แจ้งโดยไม่ชักช้าและไม่เกิน 72 ชั่วโมงนับแต่ผู้ให้บริการทราบเหตุ (ข้อบังคับตามประกาศฯ 2565 ข้อ 8) จะกำหนดสั้นกว่านี้ก็ได้
- แจ้งทุกเหตุละเมิด โดยไม่ต้องรอประเมินความเสี่ยง เพราะการประเมินเป็นหน้าที่ของบริษัท
- เนื้อหาขั้นต่ำของการแจ้ง ให้ตรงกับสี่หัวข้อในประกาศฯ 2565 ข้อ 6 บริษัทจะได้ส่งต่อให้ สคส. ได้ทันที
- ผู้ติดต่อฉุกเฉินทั้งสองฝ่าย พร้อมเบอร์ที่ติดต่อได้นอกเวลาทำการ และหน้าที่แจ้งเมื่อเปลี่ยนตัว
- หน้าที่ทำตามคำสั่งระงับความเสียหาย ซึ่งรองรับประกาศฯ 2565 ข้อ 5 (2) ที่ให้ผู้ควบคุมสั่งการผู้ประมวลผลได้
- ผู้รับจ้างช่วง ต้องแจ้งผ่านผู้ให้บริการหลักภายในกรอบเวลาเดียวกัน
- ห้ามแจ้ง สคส. หรือลูกค้าแทน เว้นแต่บริษัทอนุญาตเป็นลายลักษณ์อักษร
- ผู้ให้บริการที่มีลูกค้าหลายราย ต้องรายงานแยกให้แต่ละราย ตามที่ TDPG 4.0 ข้อ J9 แนะนำ
อยากรู้ว่าทีมพร้อมจริงไหม ลองใช้เหตุผู้รับจ้างทำข้อมูลรั่วเป็นโจทย์ใน การซ้อมรับมือข้อมูลรั่วแบบครึ่งวัน และถ้าต้องแจ้งลูกค้า อ่านต่อที่ จดหมายแจ้งเจ้าของข้อมูลเมื่อข้อมูลรั่ว
คำถามที่พบบ่อย
ผู้ให้บริการคลาวด์ต่างประเทศต้องทำตามประกาศฯ 2565 ข้อ 8 ด้วยไหม?
ข้อ 8 เป็นหน้าที่ของผู้ควบคุมที่ต้องเขียนในสัญญา บริษัทไทยในฐานะผู้ควบคุมจึงต้องมีข้อนี้ในสัญญากับผู้ให้บริการทุกราย ไม่ว่าอยู่ที่ไหน ถ้าผู้ให้บริการไม่ยอมแก้สัญญามาตรฐาน ให้บันทึกการประเมินและมาตรการชดเชยไว้
ผู้ให้บริการแจ้งมาว่า “อยู่ระหว่างตรวจสอบ” นับว่าบริษัททราบเหตุแล้วหรือยัง?
TDPG 4.0 ข้อ J17 ถือว่าผู้ควบคุมทราบเหตุตั้งแต่ผู้ประมวลผลแจ้งถึงเหตุละเมิด ถ้าข้อความนั้นแจ้งว่าเกิดเหตุแล้ว ควรถือว่าเริ่มนับ และบันทึกเวลาที่ได้รับไว้ ถ้าคลุมเครือ ให้ถามกลับเป็นลายลักษณ์อักษรทันที
ผู้ให้บริการไม่แจ้งเลย บริษัทมารู้จากข่าว บริษัทยังผิดไหม?
ผู้ให้บริการอาจผิดมาตรา 40 (2) แต่บริษัทยังมีหน้าที่ตามมาตรา 37 (4) นับแต่ทราบเหตุ ซึ่งในกรณีนี้คือเวลาที่บริษัทได้ข่าวและมีข้อมูลพอจะเชื่อว่าเกิดเหตุจริง
บริษัทส่งพัสดุที่ทำรายชื่อลูกค้าหาย นับเป็นผู้ประมวลผลไหม?
ถ้าเขาใช้ข้อมูลตามคำสั่งหรือในนามของบริษัทเพื่อส่งของให้ เขาอยู่ในบทบาทผู้ประมวลผล หน้าที่แจ้งตามบทความนี้จึงใช้ได้ ส่วนกรณีที่เขาใช้ข้อมูลเพื่อวัตถุประสงค์ของตัวเองต้องพิจารณาบทบาทแยกต่างหาก
ถ้าผู้ประมวลผลแจ้งหลัง 72 ชั่วโมง บริษัทจะได้เวลาเพิ่มไหม?
เส้นตายของบริษัทนับจากเวลาที่บริษัททราบเหตุ ไม่ได้ลดลงหรือเพิ่มขึ้นตามความช้าของผู้ให้บริการ แต่ความช้านั้นเป็นหลักฐานผิดสัญญาที่บริษัทควรเก็บไว้
ตัวบทและแหล่งอ้างอิง
- พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 — มาตรา 37 (2) (4) · มาตรา 40 · มาตรา 83 · มาตรา 86
- ประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง หลักเกณฑ์และวิธีการในการแจ้งเหตุการละเมิดข้อมูลส่วนบุคคล พ.ศ. 2565 — ข้อ 4 · ข้อ 5 (2) · ข้อ 8
- TDPG 4.0 แนวปฏิบัติการคุ้มครองข้อมูลส่วนบุคคล หมวด J การจัดการเหตุละเมิด — แนวปฏิบัติ ไม่ใช่กฎหมาย — TDPG 4.0 ข้อ J6–J9 · J17 · J53–J54 (แนวปฏิบัติ ไม่ใช่กฎหมาย)
- คู่มือแนวทางการประเมินความเสี่ยงและแจ้งเหตุการละเมิดข้อมูลส่วนบุคคล เวอร์ชัน 1.0 (สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล · 15 ธันวาคม 2565) — แนวทาง ไม่ใช่กฎหมาย — ตัวอย่างที่ 7 (แนวทาง ไม่ใช่กฎหมาย)
ตัวบทที่ยกมาในกรอบ "ตัวบท" คัดคำต่อคำจากคลังกฎหมายของ AIPDPA ซึ่งถอดจากราชกิจจานุเบกษาและเอกสารของหน่วยงานรัฐ แล้วระบบตรวจทุกครั้งที่แก้บทความว่าตรงกับคลังทุกตัวอักษร · บทความนี้เป็นความรู้ทั่วไป ไม่ใช่คำปรึกษากฎหมายสำหรับกรณีใดกรณีหนึ่ง
ลงมือในระบบได้ที่
ใครรับผิดชอบเนื้อหานี้?
เรียบเรียงโดยทีมกฎหมาย AIPDPA · ผู้รับผิดชอบเนื้อหา ภูวรา ครอบตะคุ ทนายความ · เนติบัณฑิตไทย · ที่ปรึกษากฎหมายเทคโนโลยีและทรัพย์สินทางปัญญา
ใบอนุญาตทนายความ 477/2558 · เนติบัณฑิตไทย · นิติศาสตรมหาบัณฑิต กฎหมายทรัพย์สินทางปัญญาและสารสนเทศ (เหรียญทอง)