แรนซัมแวร์ในมุมกฎหมายไทย คือเหตุละเมิดความพร้อมใช้งานของข้อมูลส่วนบุคคลตามประกาศแจ้งเหตุ พ.ศ. 2565 ข้อ 4 (3) ซึ่งอาจต้องแจ้ง สคส. ภายใน 72 ชั่วโมง บทความนี้ช่วยฝ่ายไอทีและ DPO เรียงหน้าที่ตามกฎหมายสามฉบับ และดูว่าข้อมูลสำรองเปลี่ยนคำตอบได้แค่ไหน
- ข้อมูลถูกเข้ารหัสจนใช้ไม่ได้ คือการละเมิดความพร้อมใช้งาน (Availability Breach) ตามประกาศ 2565 ข้อ 4 (3) แม้ไม่มีข้อมูลหลุดออกไป
- คู่มือ สคส. ตัวอย่างที่ 4: แรนซัมแวร์และไม่มีข้อมูลสำรอง ต้องแจ้งทั้ง สคส. และเจ้าของข้อมูล
- ระบบผู้ป่วยใช้ไม่ได้ 30 ชั่วโมง (ตัวอย่างที่ 8) ก็ต้องแจ้ง ข้อมูลสำรองช่วยลดความเสี่ยง แต่ไม่ได้ปลดหน้าที่ประเมิน
- หน่วยงาน CII ต้องรายงาน สกมช. และหน่วยงานกำกับตาม พ.ร.บ.ไซเบอร์ฯ ม.57 แยกจากการแจ้ง สคส. ส่วนองค์กรอื่นขอความช่วยเหลือได้ตาม ม.58 วรรคสอง
- ผู้โจมตีเข้าข่าย พ.ร.บ.คอมพิวเตอร์ฯ ม.9 และ ม.10 บริษัทจึงควรเก็บหลักฐานก่อนล้างเครื่อง
แรนซัมแวร์ต่างจากข้อมูลรั่วแบบอื่นตรงที่ปัญหาแรกไม่ใช่ "ใครเห็นข้อมูลของเรา" แต่เป็น "เราเปิดข้อมูลของตัวเองไม่ได้" ระบบขาย ระบบบัญชี แฟ้มลูกค้า ถูกเข้ารหัสจนใช้งานไม่ได้ ทุกคนในห้องจะถามเรื่องเดียวกัน คือกู้ระบบให้เร็วที่สุด
แต่ระหว่างที่ทีมไอทีกู้ระบบ มีกฎหมายอย่างน้อยสามฉบับเกี่ยวข้อง และแต่ละฉบับจัดเหตุนี้ไว้คนละแบบ พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล ถือเป็นเหตุละเมิดข้อมูลส่วนบุคคล พ.ร.บ.การรักษาความมั่นคงปลอดภัยไซเบอร์ ถือเป็นภัยคุกคามทางไซเบอร์ ส่วน พ.ร.บ.ว่าด้วยการกระทำความผิดเกี่ยวกับคอมพิวเตอร์ ถือว่าบริษัทเป็นผู้เสียหายจากความผิดอาญา
ข้อมูลถูกล็อกแต่ไม่ได้หลุดออกไป ยังนับเป็นเหตุละเมิดไหม?
นับ ประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่องหลักเกณฑ์และวิธีการในการแจ้งเหตุการละเมิดข้อมูลส่วนบุคคล พ.ศ. 2565 ข้อ 4 แยกเหตุละเมิดเป็นสามแบบ และแบบที่สามเขียนไว้สำหรับกรณีที่ข้อมูลเข้าถึงไม่ได้โดยตรง
(3) การละเมิดความพร้อมใช้งานของข้อมูลส่วนบุคคล (Availability Breach) ซึ่งทำให้ไม่สามารถเข้าถึงข้อมูลส่วนบุคคลได้ หรือมีการทำลายข้อมูลส่วนบุคคล ทำให้ข้อมูลส่วนบุคคลไม่อยู่ในสภาพที่พร้อมใช้งานได้ตามปกติ
หลายองค์กรคิดว่าถ้าตรวจแล้วไม่พบร่องรอยการคัดลอกข้อมูลออกไป ก็ไม่ต้องแจ้งใคร แต่ตัวบทข้อนี้ไม่ได้ดูแค่ว่าข้อมูลหลุดหรือไม่ ลูกค้าหรือพนักงานที่ติดต่อบริษัทไม่ได้ ขอข้อมูลของตัวเองไม่ได้ หรือไม่ได้รับบริการ ก็คือผลกระทบที่ต้องประเมิน
ถ้าการสอบสวนพบภายหลังว่าผู้โจมตีคัดลอกข้อมูลออกไปด้วย เหตุเดียวกันจะเป็นการละเมิดความลับตามข้อ 4 (1) ซ้อนเข้ามา ประกาศข้อ 4 เขียนไว้เองว่าเหตุหนึ่งเหตุอาจเกี่ยวข้องกับการละเมิดหลายประเภท การประเมินจึงต้องเปิดไว้ทั้งสองทางจนกว่าจะรู้ข้อเท็จจริง
สคส. เคยประเมินเหตุแรนซัมแวร์ไว้อย่างไร?
คู่มือแนวทางการประเมินความเสี่ยงและแจ้งเหตุการละเมิดข้อมูลส่วนบุคคล เวอร์ชัน 1.0 ของสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (สคส.) มีตัวอย่างแรนซัมแวร์โดยตรงหนึ่งเรื่อง คือตัวอย่างที่ 4 และมีอีกสองเรื่องที่ช่วยให้เห็นเส้นแบ่งเรื่องความพร้อมใช้งาน คู่มือนี้เป็นแนวทาง ไม่ใช่กฎหมาย แต่เป็นความเห็นที่สำนักงานเขียนไว้เอง
ผู้ควบคุมข้อมูลส่วนบุคคลถูกภัยคุกคามทางไซเบอร์ โดยถูกโจมตีจากมัลแวร์เรียกค่าไถ่ (Ransomware) ข้อมูลส่วนบุคคลทั้งหมดของผู้ควบคุมข้อมูลส่วนบุคคลถูกเข้ารหัสโดยผู้โจมตี (hacker) และไม่มีข้อมูลสำรอง จึงไม่สามารถที่จะเข้าถึงและใช้งานข้อมูลดังกล่าวได้
เนื่องจากข้อมูลส่วนบุคคลดังกล่าวอยู่ในสภาพที่สามารถระบุตัวบุคคลได้ และการถูกโจมตีจากมัลแวร์เรียกค่าไถ่ทำให้ข้อมูลดังกล่าวไม่อยู่ในสภาพที่พร้อมใช้งาน และไม่มีข้อมูลสำรอง นอกจากนี้ ยังอาจก่อให้เกิดความเสียหายต่อธุรกิจของผู้ควบคุมข้อมูลส่วนบุคคล รวมถึงตัวเจ้าของข้อมูลส่วนบุคคล จึงต้องแจ้งเหตุ
ข้อมูลใช้ไม่ได้เพราะปัญหาเทคนิค เมื่อไฟกลับมาข้อมูลก็ใช้ได้ตามเดิม สคส. จึงไม่ถือว่ามีความเสี่ยงต่อสิทธิและเสรีภาพ
ข้อมูลระบุตัวคนได้ ใช้งานไม่ได้ และไม่มีสำรอง เสียหายทั้งต่อธุรกิจและเจ้าของข้อมูล
เป็นข้อมูลสุขภาพซึ่งอ่อนไหว ระบุตัวคนได้ แม้ระบบกลับมาใช้ได้ภายหลัง
เทียบสามเรื่องนี้แล้วจะเห็นเส้นแบ่งชัดขึ้น ตัวอย่างที่ 3 ไม่ต้องแจ้ง เพราะต้นเหตุเป็นไฟดับธรรมดาและข้อมูลกลับมาเอง ส่วนตัวอย่างที่ 8 ระบบก็กลับมาได้เช่นกัน แต่ต้นเหตุคือการโจมตี และข้อมูลเป็นข้อมูลสุขภาพ สคส. จึงให้แจ้ง
โรงพยาบาลแห่งหนึ่งถูกภัยคุกคามทางไซเบอร์ โดยการโจมตีระบบจาก hacker ทำให้ประวัติของผู้ป่วยไม่สามารถเข้าถึงได้เป็นเวลา 30 ชั่วโมง
มีข้อมูลสำรองแล้ว ไม่ต้องแจ้ง สคส. ใช่ไหม?
คู่มือไม่ได้ตอบตรง ๆ ตัวอย่างที่ 4 ใช้คำว่า "ไม่มีข้อมูลสำรอง" เป็นเหตุผลหนึ่งที่ต้องแจ้ง แต่ไม่มีตัวอย่างไหนบอกว่ามีสำรองแล้วไม่ต้องแจ้ง และตัวอย่างที่ 8 ก็แสดงว่าระบบที่กลับมาได้ภายหลังยังต้องแจ้งได้ ถ้าข้อมูลอ่อนไหวและต้นเหตุคือการโจมตี
ข้อสรุปที่ตัวบทรองรับได้จึงแคบกว่าที่หลายคนหวัง ข้อมูลสำรองที่กู้คืนได้เร็วช่วยลดความรุนแรงตามปัจจัยในประกาศฯ ข้อ 12 แต่ไม่ได้ปลดหน้าที่ประเมิน ถ้าจะไม่แจ้ง ผู้ควบคุมข้อมูลยังต้องพิสูจน์ได้ว่าไม่มีความเสี่ยงต่อสิทธิและเสรีภาพของบุคคล
| สถานการณ์สมมติ | ทิศทางการประเมิน | เหตุผล |
|---|---|---|
| ไม่มีสำรอง ข้อมูลลูกค้าหายถาวร | แจ้ง สคส. และเจ้าของข้อมูล | ตรงกับตัวอย่างที่ 4 |
| มีสำรอง แต่กู้ไม่ได้เพราะสำรองถูกเข้ารหัสไปด้วย | เท่ากับไม่มีสำรอง | ข้อมูลยังไม่อยู่ในสภาพพร้อมใช้งาน |
| กู้จากสำรองได้ในไม่กี่ชั่วโมง ข้อมูลทั่วไป ไม่พบการคัดลอกออก | ประเมินตามข้อ 12 อาจเข้าข้อยกเว้นได้ถ้าพิสูจน์ได้ | ใกล้ตัวอย่างที่ 3 ในแง่ผลกระทบ แต่ต้นเหตุเป็นการโจมตี |
| กู้ได้ แต่เป็นข้อมูลสุขภาพหรือข้อมูลอ่อนไหว | แจ้ง สคส. และเจ้าของข้อมูล | ตรงกับตัวอย่างที่ 8 |
| กู้ได้ แต่พบว่าผู้โจมตีคัดลอกข้อมูลออกไป | แจ้ง สคส. และพิจารณาแจ้งเจ้าของข้อมูล | มีการละเมิดความลับซ้อน (ข้อ 4 (1)) |
ส่วนหน้าที่ต้องมีข้อมูลสำรองตั้งแต่ก่อนเกิดเหตุ ประกาศมาตรการรักษาความมั่นคงปลอดภัยฯ ปี 2565 ไม่ได้ใช้คำว่า "สำรองข้อมูล" ตรง ๆ แต่กำหนดให้มาตรการต้องรักษาสภาพพร้อมใช้งานของข้อมูลไว้ได้ตามระดับความเสี่ยง ระบบที่ล่มแล้วไม่มีทางกู้ จึงยากจะอธิบายว่ามาตรการเหมาะสม
มาตรการรักษาความมั่นคงปลอดภัยดังกล่าว จะต้องคำนึงถึงความสามารถในการธำรงไว้ซึ่งความลับ (confidentiality) ความถูกต้องครบถ้วน (integrity) และสภาพพร้อมใช้งาน (availability) ของข้อมูลส่วนบุคคลไว้ได้อย่างเหมาะสมตามระดับความเสี่ยง
กฎหมายแต่ละฉบับสั่งให้ทำอะไร และทำอะไรก่อนหลัง?
สามฉบับนี้ไม่ได้ขัดกัน แต่เรียกคนละกลุ่มให้ทำคนละอย่าง PDPA ใช้กับผู้ควบคุมข้อมูลส่วนบุคคลทุกราย พ.ร.บ.ไซเบอร์ฯ ให้หน้าที่รายงานกับหน่วยงานของรัฐและหน่วยงานโครงสร้างพื้นฐานสำคัญทางสารสนเทศ (CII) ส่วน พ.ร.บ.คอมพิวเตอร์ฯ กำหนดความผิดของผู้โจมตี
| กฎหมาย | ใช้กับใคร | ต้องทำอะไร | กำหนดเวลาในตัวบท |
|---|---|---|---|
| PDPA ม.37 (4) + ประกาศแจ้งเหตุ 2565 | ผู้ควบคุมข้อมูลส่วนบุคคลทุกราย | แจ้ง สคส. ถ้ามีความเสี่ยง และแจ้งเจ้าของข้อมูลถ้าเสี่ยงสูง | 72 ชั่วโมงนับแต่ทราบเหตุ |
| ประกาศแจ้งเหตุ 2565 ข้อ 8 | ผู้ประมวลผลข้อมูลที่ถูกโจมตี | แจ้งผู้ควบคุมข้อมูล ตามที่ต้องเขียนไว้ในสัญญา | 72 ชั่วโมงนับแต่ผู้ประมวลผลทราบเหตุ |
| พ.ร.บ.ไซเบอร์ฯ ม.57 | หน่วยงาน CII | รายงาน สกมช. และหน่วยงานควบคุมหรือกำกับดูแล แล้วรับมือตามส่วนที่ 4 | ไม่ได้ระบุเป็นชั่วโมงในตัว พ.ร.บ. |
| พ.ร.บ.ไซเบอร์ฯ ม.58 | หน่วยงานของรัฐและหน่วยงาน CII | ตรวจสอบ รับมือตามประมวลแนวทางปฏิบัติ และแจ้ง สกมช. กับหน่วยงานกำกับ | "โดยเร็ว" |
| พ.ร.บ.คอมพิวเตอร์ฯ ม.9 · ม.10 | ผู้โจมตี | เป็นความผิดอาญา บริษัทอยู่ในฐานะผู้เสียหาย | ไม่มีกำหนดเวลาให้บริษัท |
แจ้งเหตุการละเมิดข้อมูลส่วนบุคคลแก่สำนักงานโดยไม่ชักช้าภายในเจ็ดสิบสองชั่วโมงนับแต่ทราบเหตุเท่าที่จะสามารถกระทำได้ เว้นแต่การละเมิดดังกล่าวไม่มีความเสี่ยงที่จะมีผลกระทบต่อสิทธิและเสรีภาพของบุคคล
การแจ้ง สคส. ครบแล้วไม่ได้แปลว่าจบ ประกาศแจ้งเหตุปี 2565 เขียนไว้ชัดว่าหน้าที่ตามกฎหมายอื่นยังอยู่ องค์กรที่เป็น CII หรืออยู่ใต้หน่วยงานกำกับเฉพาะ ต้องเช็กช่องทางรายงานของตัวเองแยกต่างหาก
การแจ้งเหตุการละเมิดข้อมูลส่วนบุคคลแก่สำนักงานไม่เป็นเหตุยกเว้นหน้าที่หรือความรับผิดของผู้ควบคุมข้อมูลส่วนบุคคลตามกฎหมายเฉพาะที่เกี่ยวข้องกับกิจการนั้นหรือกฎหมายอื่น
ถ้าเป็นหน่วยงาน CII
เมื่อมีเหตุภัยคุกคามทางไซเบอร์เกิดขึ้นอย่างมีนัยสำคัญต่อระบบของหน่วยงานโครงสร้างพื้นฐานสำคัญทางสารสนเทศ ให้หน่วยงานโครงสร้างพื้นฐานสำคัญทางสารสนเทศ รายงานต่อสำนักงานและหน่วยงานควบคุมหรือกำกับดูแล และปฏิบัติการรับมือกับภัยคุกคามทางไซเบอร์ตามที่กำหนดในส่วนที่ 4
มาตรา 57 ไม่ได้กำหนดจำนวนชั่วโมงไว้ในตัว พ.ร.บ. และเปิดให้คณะกรรมการกำกับดูแลด้านความมั่นคงปลอดภัยไซเบอร์ (กกม.) กำหนดหลักเกณฑ์การรายงานเพิ่มได้ องค์กรที่ไม่แน่ใจว่าตัวเองเป็น CII หรือไม่ ดูเกณฑ์ได้ในบทความเรื่อง CII
ถ้าไม่ใช่ CII และไม่ใช่หน่วยงานของรัฐ
บริษัทเอกชนทั่วไปไม่มีหน้าที่รายงานตามมาตรา 57 หรือ 58 วรรคหนึ่ง แต่มาตรา 58 วรรคสองเปิดช่องให้ขอความช่วยเหลือจาก สกมช. ได้ ข้อนี้มีประโยชน์กับ SME ที่ไม่มีทีมรับมือเหตุของตัวเอง
ในกรณีที่หน่วยงานหรือบุคคลใดพบอุปสรรคหรือปัญหาในการป้องกัน รับมือ และลดความเสี่ยงจากภัยคุกคามทางไซเบอร์ของตน หน่วยงานหรือบุคคลนั้นอาจร้องขอความช่วยเหลือไปยังสำนักงาน
ระบบของผู้ให้บริการโดนแรนซัมแวร์ ใครต้องแจ้งใคร?
แรนซัมแวร์ไม่จำเป็นต้องเกิดในเครื่องของบริษัทเอง อาจเกิดที่ผู้ให้บริการระบบเงินเดือน ระบบ ERP หรือเว็บโฮสติ้งที่ประมวลผลข้อมูลแทนเรา ในกรณีนี้บริษัทยังเป็นผู้ควบคุมข้อมูลส่วนบุคคล และยังเป็นคนที่ต้องแจ้ง สคส.
ผู้ควบคุมข้อมูลส่วนบุคคลจะต้องระบุไว้ในข้อตกลงหรือในสัญญาที่เกี่ยวข้องให้ผู้ประมวลผลข้อมูลส่วนบุคคลมีหน้าที่แจ้งเหตุการละเมิดข้อมูลส่วนบุคคลแก่ผู้ควบคุมข้อมูลส่วนบุคคลโดยไม่ชักช้าภายในเจ็ดสิบสองชั่วโมงนับแต่ผู้ประมวลผลข้อมูลส่วนบุคคลทราบเหตุเท่าที่จะสามารถกระทำได้เช่นกัน
ปัญหาที่พบบ่อยคือสัญญากับผู้ให้บริการไม่มีข้อนี้ หรือมีแต่ไม่ระบุว่าแจ้งใคร ทางไหน ถ้าผู้ให้บริการแจ้งช้า บริษัทก็รู้ช้าและแก้ช้าตามไปด้วย ทั้งยังต้องอธิบายให้ได้ว่าตัวเองทราบเหตุเมื่อไร เพราะเส้นตาย 72 ชั่วโมงตาม PDPA นับจากจุดนั้น ตรวจสัญญาเรื่องนี้ได้จากคู่มือสัญญาผู้ประมวลผล
พ.ร.บ.คอมพิวเตอร์ฯ เกี่ยวกับบริษัทที่เป็นเหยื่ออย่างไร?
พ.ร.บ.ว่าด้วยการกระทำความผิดเกี่ยวกับคอมพิวเตอร์ ไม่ได้สั่งให้เหยื่อแจ้งใคร แต่การเข้ารหัสข้อมูลของคนอื่นและทำให้ระบบใช้งานไม่ได้ เข้าข่ายความผิดในมาตรา 9 และมาตรา 10 ซึ่งมีโทษจำคุกไม่เกินห้าปี หรือปรับไม่เกินหนึ่งแสนบาท หรือทั้งจำทั้งปรับ
ผู้ใดทำให้เสียหาย ทำลาย แก้ไข เปลี่ยนแปลง หรือเพิ่มเติมไม่ว่าทั้งหมดหรือบางส่วน ซึ่งข้อมูลคอมพิวเตอร์ของผู้อื่นโดยมิชอบ ต้องระวางโทษจำคุกไม่เกินห้าปี หรือปรับไม่เกินหนึ่งแสนบาท หรือทั้งจำทั้งปรับ
ผู้ใดกระทำด้วยประการใดโดยมิชอบ เพื่อให้การทำงานของระบบคอมพิวเตอร์ของผู้อื่นถูกระงับ ชะลอ ขัดขวาง หรือรบกวนจนไม่สามารถทำงานตามปกติได้ต้องระวางโทษจำคุกไม่เกินห้าปี หรือปรับไม่เกินหนึ่งแสนบาท หรือทั้งจำทั้งปรับ
ผลในทางปฏิบัติคือ ถ้าบริษัทอยากดำเนินคดีหรือเรียกร้องค่าเสียหายภายหลัง ต้องมีหลักฐานว่าเกิดอะไรขึ้น เครื่องที่ถูกล้างและติดตั้งใหม่ทันทีอาจลบร่องรอยที่ใช้พิสูจน์ได้ ขั้นตอนทางคดีอาญาอยู่ในกฎหมายอื่นที่ไม่อยู่ในคลังของเรา บทความนี้จึงไม่ลงรายละเอียดเรื่องการร้องทุกข์
เห็นหน้าจอเรียกค่าไถ่แล้ว ต้องทำอะไรก่อนหลัง
ลำดับด้านล่างเป็นการเรียงของทีม AIPDPA โดยผูกแต่ละขั้นกับตัวบทที่เกี่ยวข้อง ช่วงเวลาเป็นเป้าหมายในทางปฏิบัติ ไม่ใช่กำหนดเวลาที่กฎหมายเขียนไว้ ยกเว้นเส้นตาย 72 ชั่วโมงของ PDPA
- แยกเครื่องและระบบที่ติดออกจากเครือข่าย ตัดการเชื่อมต่อกับที่เก็บข้อมูลสำรอง เพื่อไม่ให้ข้อมูลสำรองถูกเข้ารหัสไปด้วย (ประกาศแจ้งเหตุ 2565 ข้อ 5 (2))
- จดเวลาที่ทราบเหตุไว้ทันที เพราะเส้นตาย 72 ชั่วโมงตาม PDPA ม.37 (4) นับจากจุดนี้
- เก็บหลักฐานก่อนล้างเครื่อง เช่น ภาพหน้าจอเรียกค่าไถ่ log ของระบบ และสำเนาดิสก์ ถ้าเป็นผู้ให้บริการตาม พ.ร.บ.คอมฯ ม.26 ห้ามลบข้อมูลจราจรที่ต้องเก็บ
- ประเมินว่าเป็นการละเมิดความพร้อมใช้งานอย่างเดียว หรือมีการคัดลอกข้อมูลออกไปด้วย และมีข้อมูลอ่อนไหวหรือไม่
- ถ้าเป็น CII รายงาน สกมช. และหน่วยงานกำกับตาม พ.ร.บ.ไซเบอร์ฯ ม.57 ถ้าไม่ใช่และต้องการความช่วยเหลือ ขอได้ตาม ม.58 วรรคสอง
- แจ้ง สคส. ภายใน 72 ชั่วโมงถ้ามีความเสี่ยง และแจ้งเจ้าของข้อมูลถ้าเสี่ยงสูง
- กู้ระบบจากข้อมูลสำรองที่ตรวจแล้วว่าสะอาด แล้วทบทวนมาตรการตามประกาศแจ้งเหตุ 2565 ข้อ 5 (5)
ใน AIPDPA ทะเบียนเหตุละเมิด จะนับ 72 ชั่วโมงจากเวลาที่กรอกว่าทราบเหตุ เทียบเหตุกับตัวอย่างที่ 3, 4 และ 8 ของ สคส. ให้เห็นว่าใกล้กรณีไหน และออกหนังสือแจ้ง สคส. กับจดหมายถึงเจ้าของข้อมูล โดยมีคนในองค์กรกดยืนยันทุกการตัดสิน
ข้อมูลสำรองที่ดีที่สุดคือข้อมูลสำรองที่ผู้โจมตีแตะไม่ถึง และเคยทดลองกู้จริงมาแล้ว กฎหมายไม่ได้ระบุรูปแบบไว้ แต่ประกาศมาตรการรักษาความมั่นคงปลอดภัยฯ ให้ดูมาตรฐานที่ยอมรับในธุรกิจประเภทเดียวกัน ถ้าต้องการรายการควบคุมที่ตอบทั้ง สคส. และ สกมช. ในชุดเดียว ดูเช็กลิสต์ความปลอดภัย
คำถามที่พบบ่อย
โดนแรนซัมแวร์แต่ไม่มีข้อมูลหลุดออกไป ต้องแจ้ง สคส. ไหม
อาจต้องแจ้ง เพราะข้อมูลที่ใช้งานไม่ได้เป็นการละเมิดความพร้อมใช้งานตามประกาศแจ้งเหตุ 2565 ข้อ 4 (3) คู่มือ สคส. ตัวอย่างที่ 4 (ไม่มีข้อมูลสำรอง) ให้แจ้งทั้งสำนักงานและเจ้าของข้อมูล ถ้าจะไม่แจ้งต้องพิสูจน์ได้ว่าไม่มีความเสี่ยง
กู้ระบบจากข้อมูลสำรองได้ภายในวันเดียว ยังต้องแจ้งไหม
ต้องประเมินตามปัจจัยในประกาศ 2565 ข้อ 12 คู่มือ สคส. ไม่มีตัวอย่างที่บอกว่ามีสำรองแล้วไม่ต้องแจ้ง และตัวอย่างที่ 8 (ระบบผู้ป่วยใช้ไม่ได้ 30 ชั่วโมง) ยังให้แจ้ง เพราะเป็นข้อมูลอ่อนไหวและต้นเหตุคือการโจมตี
บริษัทเอกชนทั่วไปต้องรายงาน สกมช. ด้วยไหม
หน้าที่รายงานตาม พ.ร.บ.ไซเบอร์ฯ มาตรา 57 ใช้กับหน่วยงานโครงสร้างพื้นฐานสำคัญทางสารสนเทศ และมาตรา 58 วรรคหนึ่งใช้กับหน่วยงานของรัฐและ CII บริษัทที่ไม่อยู่ในกลุ่มนี้ไม่มีหน้าที่ตามสองมาตรานี้ แต่ขอความช่วยเหลือจาก สกมช. ได้ตามมาตรา 58 วรรคสอง
ผู้ให้บริการคลาวด์หรือระบบเงินเดือนของเราโดนแรนซัมแวร์ ใครต้องแจ้ง สคส.
บริษัทในฐานะผู้ควบคุมข้อมูลส่วนบุคคลเป็นผู้แจ้ง สคส. ส่วนผู้ให้บริการต้องแจ้งบริษัทภายใน 72 ชั่วโมงนับแต่ทราบเหตุ ตามที่ประกาศแจ้งเหตุ 2565 ข้อ 8 กำหนดให้เขียนไว้ในสัญญา
จ่ายค่าไถ่ผิดกฎหมายไหม
กฎหมายสามฉบับในคลังของ AIPDPA ไม่มีบทบัญญัติเรื่องนี้ บทความนี้จึงไม่ให้ความเห็น ควรปรึกษาทนายความและหน่วยงานกำกับ ที่แน่นอนคือหน้าที่แจ้งเหตุตาม PDPA มาตรา 37 (4) ยังอยู่ไม่ว่าจะจ่ายหรือไม่
ตัวบทและแหล่งอ้างอิง
- พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 — มาตรา 37 (4)
- ประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง หลักเกณฑ์และวิธีการในการแจ้งเหตุการละเมิดข้อมูลส่วนบุคคล พ.ศ. 2565 — ข้อ 4 (3) · ข้อ 7 วรรคสาม · ข้อ 8
- คู่มือแนวทางการประเมินความเสี่ยงและแจ้งเหตุการละเมิดข้อมูลส่วนบุคคล เวอร์ชัน 1.0 (สคส. 15 ธันวาคม 2565) — แนวทาง ไม่ใช่กฎหมาย — ตัวอย่างที่ 3 · ตัวอย่างที่ 4 · ตัวอย่างที่ 8
- ประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง มาตรการรักษาความมั่นคงปลอดภัยของผู้ควบคุมข้อมูลส่วนบุคคล พ.ศ. 2565 — ข้อ 4 (4)
- พ.ร.บ.การรักษาความมั่นคงปลอดภัยไซเบอร์ พ.ศ. 2562 — มาตรา 3 · มาตรา 57 · มาตรา 58
- พ.ร.บ.ว่าด้วยการกระทำความผิดเกี่ยวกับคอมพิวเตอร์ พ.ศ. 2550 (แก้ไขเพิ่มเติม พ.ศ. 2560) — มาตรา 9 · มาตรา 10 · มาตรา 26
ตัวบทที่ยกมาในกรอบ "ตัวบท" คัดคำต่อคำจากคลังกฎหมายของ AIPDPA ซึ่งถอดจากราชกิจจานุเบกษาและเอกสารของหน่วยงานรัฐ แล้วระบบตรวจทุกครั้งที่แก้บทความว่าตรงกับคลังทุกตัวอักษร · บทความนี้เป็นความรู้ทั่วไป ไม่ใช่คำปรึกษากฎหมายสำหรับกรณีใดกรณีหนึ่ง
ลงมือในระบบได้ที่
ใครรับผิดชอบเนื้อหานี้?
เรียบเรียงโดยทีมกฎหมาย AIPDPA · ผู้รับผิดชอบเนื้อหา ภูวรา ครอบตะคุ ทนายความ · เนติบัณฑิตไทย · ที่ปรึกษากฎหมายเทคโนโลยีและทรัพย์สินทางปัญญา
ใบอนุญาตทนายความ 477/2558 · เนติบัณฑิตไทย · นิติศาสตรมหาบัณฑิต กฎหมายทรัพย์สินทางปัญญาและสารสนเทศ (เหรียญทอง)