พนักงานลาออกแล้วเอาลิสต์ลูกค้ากับซอร์สโค้ดไป เป็นการละเมิดความลับทางการค้า (มาตรา 6) ถ้าข้อมูลเข้านิยามมาตรา 3 คือยังไม่รู้กันทั่วไป มีมูลค่าเพราะเป็นความลับ และบริษัทมีมาตรการรักษา เหมาะกับเจ้าของกิจการและฝ่ายกฎหมาย ได้รู้ว่าขอศาลสั่งระงับชั่วคราวได้ (มาตรา 8)
- ความลับทางการค้าต้องครบ 3 ข้อ: ยังไม่รู้กันทั่วไป มีมูลค่าเพราะเป็นความลับ และมีมาตรการที่เหมาะสมรักษาไว้ (มาตรา 3)
- เอาไป เปิดเผย หรือใช้โดยไม่ได้รับความยินยอม ในลักษณะขัดต่อการค้าที่สุจริต รวมถึงผิดสัญญา คือการละเมิด (มาตรา 6)
- ขอศาลสั่งระงับชั่วคราวได้ก่อนฟ้องคดี (มาตรา 8) และต้องฟ้องภายใน 3 ปีนับแต่รู้ แต่ไม่เกิน 10 ปีนับแต่วันละเมิด (มาตรา 10)
- บัญชีที่ยังไม่ปิดหลังพนักงานออก เปิดทางทั้งความผิดเข้าถึงระบบโดยมิชอบ และช่องโหว่ตามประกาศมาตรการความปลอดภัยของ สคส.
- ถ้าข้อมูลที่หลุดเป็นข้อมูลส่วนบุคคล ต้องประเมินเหตุละเมิดและแจ้ง สคส. ภายใน 72 ชั่วโมงนับแต่ทราบเหตุ เว้นแต่ไม่มีความเสี่ยง (PDPA มาตรา 37 (4))
สมมติว่าผู้จัดการฝ่ายขายของบริษัทจัดจำหน่ายแห่งหนึ่งยื่นใบลาออก หนึ่งเดือนต่อมาลูกค้าประจำหลายรายเริ่มได้รับข้อเสนอราคาจากบริษัทคู่แข่ง ทีมไอทีเปิดดูบันทึกการใช้งานแล้วพบว่า สองวันก่อนยื่นใบลาออก บัญชีของเขาดาวน์โหลดรายชื่อลูกค้าทั้งหมดจากระบบ CRM พร้อมราคาขายรายลูกค้า
คำถามแรกที่ผู้บริหารถามคือ “ฟ้องได้ไหม” แต่ก่อนจะตอบได้ ต้องตอบอีกสองคำถามก่อน คือข้อมูลชุดนี้เป็นความลับทางการค้าตามกฎหมายหรือไม่ และบริษัทในฐานะผู้ควบคุมข้อมูลส่วนบุคคลของลูกค้า มีหน้าที่อะไรต้องทำเองบ้าง
บทความนี้วางกฎหมายสี่ฉบับไว้ด้วยกัน ได้แก่ พ.ร.บ.ความลับทางการค้า พ.ศ. 2545 พ.ร.บ.ว่าด้วยการกระทำความผิดเกี่ยวกับคอมพิวเตอร์ พ.ศ. 2550 พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 (PDPA) กับประกาศที่ออกตาม PDPA และ พ.ร.บ.ลิขสิทธิ์ พ.ศ. 2537 สำหรับซอร์สโค้ด แล้วสรุปเป็นเช็กลิสต์วันพนักงานออกที่ใช้ได้ทั้งฝ่ายบุคคลและฝ่ายไอที
รายชื่อลูกค้าเป็นความลับทางการค้าหรือไม่?
เป็นได้ แต่ไม่ใช่โดยอัตโนมัติ มาตรา 3 แห่ง พ.ร.บ.ความลับทางการค้า นิยาม “ข้อมูลการค้า” ไว้กว้างพอจะรวมรายชื่อลูกค้าและซอร์สโค้ด เพราะรวมถึงงานที่ได้รวบรวมหรือประกอบขึ้นและโปรแกรม
สิ่งที่สื่อความหมายให้รู้ข้อความ เรื่องราวข้อเท็จจริง หรือสิ่งใดไม่ว่าการสื่อความหมายนั้นจะผ่านวิธีการใด ๆ และไม่ว่าจะจัดไว้ในรูปใด ๆ และให้หมายความรวมถึงสูตร รูปแบบ งานที่ได้รวบรวมหรือประกอบขึ้น โปรแกรม วิธีการ เทคนิค หรือกรรมวิธีด้วย
ข้อมูลการค้าจะกลายเป็น “ความลับทางการค้า” ได้ต้องผ่านอีกสามเงื่อนไขในนิยามถัดไปของมาตราเดียวกัน
ข้อมูลการค้าซึ่งยังไม่รู้จักกันโดยทั่วไป หรือยังเข้าถึงไม่ได้ในหมู่บุคคลซึ่งโดยปกติแล้วต้องเกี่ยวข้องกับข้อมูลดังกล่าว โดยเป็นข้อมูลที่มีประโยชน์ในเชิงพาณิชย์เนื่องจากการเป็นความลับ และเป็นข้อมูลที่ผู้ควบคุมความลับทางการค้าได้ใช้มาตรการที่เหมาะสมเพื่อรักษาไว้เป็นความลับ
เงื่อนไขที่บริษัทแพ้บ่อยที่สุดคือข้อสุดท้าย “ได้ใช้มาตรการที่เหมาะสมเพื่อรักษาไว้เป็นความลับ” ถ้ารายชื่อลูกค้าอยู่ในไฟล์ Excel ที่ส่งกันในกลุ่มแชตทั้งบริษัท ทุกคนดาวน์โหลดได้ และไม่เคยมีใครบอกว่าเป็นความลับ บริษัทจะยืนยันได้ยากว่าดูแลข้อมูลนี้เป็นความลับมาตลอด
รายชื่อที่หาได้จากสมุดหน้าเหลืองหรือเว็บไซต์ของลูกค้าเอง ก็อาจตกเงื่อนไขข้อแรก ส่วนที่มีโอกาสเป็นความลับทางการค้าสูงกว่ามักเป็นข้อมูลที่บริษัทสะสมขึ้นเอง เช่น ราคาที่ตกลงรายลูกค้า ประวัติการสั่งซื้อ ชื่อผู้ติดต่อตัวจริง และรอบการสั่งซื้อ
แค่ไหนจึงนับเป็นการละเมิดความลับทางการค้า?
การเปิดเผย เอาไป หรือใช้ โดยไม่ได้รับความยินยอม และในลักษณะที่ขัดต่อแนวทางปฏิบัติทางการค้าที่สุจริต ผู้ทำต้องรู้หรือมีเหตุอันควรรู้ด้วย มาตรา 6 เขียนไว้ดังนี้
การละเมิดสิทธิในความลับทางการค้าตามพระราชบัญญัตินี้ ได้แก่ การกระทําที่เป็นการเปิดเผย เอาไป หรือใช้ซึ่งความลับทางการค้าโดยไม่ได้รับความยินยอมจากเจ้าของความลับทางการค้านั้น อันมีลักษณะขัดต่อแนวทางปฏิบัติในเชิงพาณิชย์ที่สุจริตต่อกัน ทั้งนี้ ผู้ละเมิดจะต้องรู้หรือมีเหตุอันควรรู้ว่าการกระทําดังกล่าวเป็นการขัดต่อแนวทางปฏิบัติเช่นว่านั้น
มาตรา 6 วรรคสองระบุว่าการกระทำที่ขัดต่อแนวทางการค้าที่สุจริต รวมถึงการผิดสัญญา และการละเมิดหรือจูงใจให้ละเมิดความลับที่ไว้เนื้อเชื่อใจกัน ข้อนี้ทำให้สัญญาจ้างและข้อตกลงรักษาความลับมีน้ำหนักมาก เพราะเป็นหลักฐานว่าพนักงานรู้ว่าข้อมูลนี้เอาไปใช้เองไม่ได้
มาตรา 7 ระบุกรณีที่ไม่ถือเป็นการละเมิด เช่น คนที่ค้นพบเองโดยอิสระด้วยความรู้ความชำนาญของตน และการทำวิศวกรรมย้อนกลับจากสินค้าที่ได้มาโดยสุจริต เว้นแต่จะตกลงกับเจ้าของหรือผู้ขายไว้เป็นอย่างอื่นโดยชัดแจ้ง ความรู้และทักษะทั่วไปที่พนักงานพกติดตัวไปจึงต่างจากไฟล์ที่ดาวน์โหลดออกไป
บริษัทใช้สิทธิทางศาลอะไรได้บ้าง และต้องรีบแค่ไหน?
ทางที่เร็วที่สุดคือขอให้ศาลสั่งระงับการละเมิดเป็นการชั่วคราว ซึ่งมาตรา 8 วรรคสองให้ทำได้ก่อนฟ้องคดี เงื่อนไขคือต้องมีหลักฐานโดยชัดแจ้ง
เมื่อมีหลักฐานโดยชัดแจ้งว่าผู้ใดละเมิดหรือกําลังจะกระทําอย่างใดอย่างหนึ่งอันเป็นการละเมิดสิทธิในความลับทางการค้า ผู้ควบคุมความลับทางการค้าที่ถูก หรือกําลังจะถูกละเมิดสิทธินั้นมีสิทธิดังต่อไปนี้ (1) ร้องขอให้ศาลมีคําสั่งให้ผู้นั้นระงับหรือละเว้นการละเมิดสิทธิในความลับทางการค้านั้นเป็นการชั่วคราว และ
- ฟ้องขอคำสั่งห้ามและเรียกค่าสินไหมทดแทน ตามมาตรา 8 (2) โดยขอให้ศาลสั่งทำลายหรือริบเครื่องมือและอุปกรณ์ที่ใช้ละเมิดได้ตามมาตรา 11
- ค่าสินไหมทดแทน ศาลอาจให้คืนผลประโยชน์ที่ผู้ละเมิดได้รับรวมเข้าไปด้วยตามมาตรา 13 (1) และถ้ามีหลักฐานชัดแจ้งว่าละเมิดโดยจงใจหรือกลั่นแกล้งจนความลับสิ้นสภาพ สั่งค่าสินไหมเพื่อการลงโทษเพิ่มได้ไม่เกิน 2 เท่าตามมาตรา 13 (3)
- ไกล่เกลี่ย ก่อนใช้สิทธิตามมาตรา 8 คู่กรณีตกลงให้คณะกรรมการความลับทางการค้าไกล่เกลี่ยได้ตามมาตรา 9
- อายุความ ห้ามฟ้องเมื่อพ้น 3 ปีนับแต่รู้ถึงการละเมิดและรู้ตัวผู้ละเมิด และไม่เกิน 10 ปีนับแต่วันละเมิด ตามมาตรา 10
- โทษอาญา ผู้ที่เปิดเผยความลับทางการค้าของผู้อื่นให้รู้กันทั่วไปจนสิ้นสภาพความลับ โดยเจตนากลั่นแกล้งให้เสียหายทางธุรกิจ มีโทษจำคุกไม่เกิน 1 ปี หรือปรับไม่เกิน 200,000 บาท หรือทั้งจำทั้งปรับ ตามมาตรา 33 และเป็นความผิดอันยอมความได้ตามมาตรา 37
สังเกตว่าโทษอาญาตามมาตรา 33 จำกัดเฉพาะการเปิดเผยต่อสาธารณะโดยเจตนากลั่นแกล้ง กรณีพนักงานเอารายชื่อลูกค้าไปใช้หาลูกค้าให้บริษัทใหม่แบบเงียบ ๆ เครื่องมือหลักจึงเป็นทางแพ่งตามมาตรา 8 ถึงมาตรา 13 ซึ่งต้องอาศัยหลักฐานที่บริษัทเก็บไว้ก่อนเกิดเรื่อง
พ.ร.บ.คอมพิวเตอร์ใช้ได้เมื่อไร?
ใช้ได้ชัดที่สุดเมื่อมีการเข้าระบบหรือข้อมูลด้วยสิทธิที่ไม่ใช่ของตน เช่น เข้าระบบหลังพ้นสภาพพนักงานแล้ว มาตรา 5 ลงโทษการเข้าถึงระบบคอมพิวเตอร์โดยมิชอบ ส่วนมาตรา 7 ลงโทษการเข้าถึงข้อมูลคอมพิวเตอร์
ผู้ใดเข้าถึงโดยมิชอบซึ่งข้อมูลคอมพิวเตอร์ที่มีมาตรการป้องกันการเข้าถึงโดยเฉพาะและมาตรการนั้นมิได้มีไว้สำหรับตน ต้องระวางโทษจำคุกไม่เกินสองปี หรือปรับไม่เกินสี่หมื่นบาท หรือทั้งจำทั้งปรับ
ถ้อยคำที่ต้องอ่านช้า ๆ คือ “มาตรการนั้นมิได้มีไว้สำหรับตน” พนักงานที่ยังทำงานอยู่และใช้รหัสผ่านของตัวเองดาวน์โหลดข้อมูลที่บริษัทให้สิทธิไว้ จะเข้ามาตรา 7 หรือไม่ต้องดูข้อเท็จจริงเป็นรายกรณี ส่วนการใช้บัญชีเดิมหลังออกจากงานแล้ว หรือยืมรหัสของเพื่อนร่วมงาน ใกล้กับถ้อยคำของมาตรา 5 และมาตรา 7 มากกว่า
อีกกรณีที่เจอบ่อยคือคนที่ลบงานทิ้งก่อนออก มาตรา 9 ลงโทษการทำให้เสียหาย ทำลาย แก้ไข เปลี่ยนแปลง หรือเพิ่มเติมข้อมูลคอมพิวเตอร์ของผู้อื่นโดยมิชอบ จำคุกไม่เกิน 5 ปี หรือปรับไม่เกิน 100,000 บาท หรือทั้งจำทั้งปรับ ส่วนมาตรา 5 มีโทษจำคุกไม่เกิน 6 เดือน หรือปรับไม่เกิน 10,000 บาท หรือทั้งจำทั้งปรับ
ถ้าข้อมูลครบเงื่อนไขมาตรา 3 การเอาไปโดยไม่ได้รับความยินยอมและขัดต่อสัญญาเข้ามาตรา 6 ส่วนมาตรา 7 แห่ง พ.ร.บ.คอมฯ ต้องดูว่าเกินสิทธิที่บริษัทให้หรือไม่ และฝั่ง PDPA ต้องประเมินเหตุละเมิด
สิทธิเข้าระบบไม่ได้มีไว้สำหรับคนที่ออกไปแล้ว ใกล้ถ้อยคำมาตรา 5 และ 7 แต่บริษัทก็พลาดเรื่องถอนสิทธิผู้ใช้งานตามประกาศมาตรการความปลอดภัย ข้อ 4 (6) (ข) เช่นกัน
ทำให้เสียหาย ทำลาย หรือแก้ไขข้อมูลคอมพิวเตอร์ของผู้อื่นโดยมิชอบ ไม่ว่าทั้งหมดหรือบางส่วน
พ.ร.บ.ลิขสิทธิ์ มาตรา 9 ให้ลิขสิทธิ์ในงานที่ลูกจ้างสร้างเป็นของลูกจ้าง ถ้าไม่ได้ทำเป็นหนังสือตกลงไว้เป็นอย่างอื่น ส่วนความลับทางการค้าในโค้ดต้องพิจารณาแยกตามมาตรา 3 และ 6
มาตรา 7 (4) ยกเว้นการทำวิศวกรรมย้อนกลับจากผลิตภัณฑ์ที่ได้มาโดยสุจริต เว้นแต่ได้ทำสัญญาไว้เป็นอย่างอื่นโดยชัดแจ้ง
ซอร์สโค้ดที่พนักงานเขียน ลิขสิทธิ์เป็นของใคร?
ถ้าไม่ได้ตกลงกันเป็นหนังสือ ลิขสิทธิ์เป็นของพนักงานผู้เขียน ข้อนี้ทำให้หลายบริษัทตกใจ เพราะโปรแกรมคอมพิวเตอร์เป็นวรรณกรรมตามนิยามในมาตรา 4 แห่ง พ.ร.บ.ลิขสิทธิ์ และมาตรา 9 วางหลักเรื่องงานของลูกจ้างไว้แบบนี้
งานที่ผู้สร้างสรรค์ได้สร้างสรรค์ขึ้นในฐานะพนักงานหรือลูกจ้าง ถ้ามิได้ทำเป็นหนังสือตกลงกันไว้เป็นอย่างอื่น ให้ลิขสิทธิ์ในงานนั้นเป็นของผู้สร้างสรรค์ แต่นายจ้างมีสิทธินำงานนั้นออกเผยแพร่ต่อสาธารณชนได้ตามที่เป็นวัตถุประสงค์แห่งการจ้างแรงงานนั้น
ทางแก้อยู่ที่วันเซ็นสัญญาจ้าง ไม่ใช่วันลาออก ให้มีข้อตกลงเป็นหนังสือว่าลิขสิทธิ์ในงานที่สร้างขึ้นในงานจ้างเป็นของบริษัท รายละเอียดอยู่ใน คู่มือลิขสิทธิ์งานของพนักงาน ส่วนการคุ้มครองโค้ดในฐานะความลับทางการค้าเป็นอีกชั้นหนึ่งที่ใช้คู่กันได้ ดู คู่มือปกป้องความลับทางการค้า
ถ้าข้อมูลที่ถูกเอาไปเป็นข้อมูลส่วนบุคคล บริษัทมีหน้าที่อะไร?
บริษัทเป็นทั้งผู้เสียหายและผู้ควบคุมข้อมูลส่วนบุคคลในเวลาเดียวกัน รายชื่อลูกค้าที่มีชื่อคน เบอร์โทร และอีเมล เป็นข้อมูลส่วนบุคคล และ PDPA ไม่ได้ยกเว้นหน้าที่ให้เพียงเพราะคนทำผิดเป็นพนักงานของบริษัทเอง
ประกาศของคณะกรรมการฯ ว่าด้วยการแจ้งเหตุละเมิดข้อมูลส่วนบุคคล ปี 2565 นิยามเหตุละเมิดไว้กว้าง ครอบคลุมทั้งการกระทำโดยเจตนาและการกระทำโดยปราศจากอำนาจ
การละเมิดมาตรการรักษาความมั่นคงปลอดภัย ที่ทำให้เกิดการสูญหาย เข้าถึง ใช้ เปลี่ยนแปลง แก้ไข หรือเปิดเผยข้อมูลส่วนบุคคลโดยปราศจากอำนาจหรือโดยมิชอบ ไม่ว่าจะเกิดจากเจตนา ความจงใจ ความประมาทเลินเล่อ การกระทำโดยปราศจากอำนาจหรือโดยมิชอบ การกระทำความผิดเกี่ยวกับคอมพิวเตอร์ ภัยคุกคามทางไซเบอร์ ข้อผิดพลาดบกพร่องหรืออุบัติเหตุ หรือเหตุอื่นใด
เมื่อเข้านิยามนี้ มาตรา 37 (4) แห่ง PDPA ให้แจ้งสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (สคส.) โดยไม่ชักช้าภายใน 72 ชั่วโมงนับแต่ทราบเหตุ เว้นแต่ไม่มีความเสี่ยงต่อสิทธิและเสรีภาพของบุคคล และถ้าเสี่ยงสูงต้องแจ้งเจ้าของข้อมูลพร้อมแนวทางเยียวยาด้วย
แจ้งเหตุการละเมิดข้อมูลส่วนบุคคลแก่สำนักงานโดยไม่ชักช้าภายในเจ็ดสิบสองชั่วโมงนับแต่ทราบเหตุเท่าที่จะสามารถกระทำได้ เว้นแต่การละเมิดดังกล่าวไม่มีความเสี่ยงที่จะมีผลกระทบต่อสิทธิและเสรีภาพของบุคคล
ในทางปฏิบัติ เส้นตาย 72 ชั่วโมงนับจากเวลาที่บริษัททราบเหตุ ซึ่งอาจเป็นวันที่ทีมไอทีเห็นบันทึกการดาวน์โหลด ไม่ใช่รอจนทนายสรุปว่าจะฟ้องหรือไม่ งานสองสายนี้จึงต้องเดินคู่กัน ลำดับการทำงานในชั่วโมงแรก ๆ อยู่ในบทความ 72 ชั่วโมงแรกหลังข้อมูลรั่ว และ คู่มือแจ้งเหตุภายใน 72 ชั่วโมง
ประกาศฉบับนั้นเขียนเรื่องพนักงานไว้ตรงจุด ข้อ 4 (6) กำหนดให้มีการบริหารสิทธิผู้ใช้งาน รวมถึงการถอนสิทธิ และให้กำหนดหน้าที่ของผู้ใช้งานเพื่อกันการทำสำเนาข้อมูลโดยมิชอบ
การกำหนดหน้าที่ความรับผิดชอบของผู้ใช้งาน (user responsibilities) เพื่อป้องกันการเข้าถึง ใช้ เปลี่ยนแปลง แก้ไข ลบ หรือเปิดเผยข้อมูลส่วนบุคคลโดยปราศจากอำนาจหรือโดยมิชอบ ซึ่งรวมถึงกรณีที่เป็นการกระทำนอกเหนือบทบาทหน้าที่ที่ได้รับมอบหมาย ตลอดจนการลักลอบทำสำเนาข้อมูลส่วนบุคคลโดยปราศจากอำนาจหรือโดยมิชอบ และการลักขโมยอุปกรณ์จัดเก็บหรือประมวลผลข้อมูลส่วนบุคคล
ข้อ 4 (6) (ข) พูดถึงการลงทะเบียนและการถอนสิทธิผู้ใช้งาน การทบทวนสิทธิ และการถอดถอนหรือปรับปรุงสิทธิการเข้าถึง ส่วนข้อ 4 (6) (ง) ให้มีบันทึกย้อนหลังการเข้าถึง แก้ไข หรือลบข้อมูล (audit trails) และข้อ 5 วรรคสองถือว่าเมื่อเกิดเหตุละเมิด บริษัทจำเป็นต้องทบทวนมาตรการ เว้นแต่เหตุนั้นไม่มีความเสี่ยง
การรั่วผ่านคนในไม่ได้มีแค่การดาวน์โหลดไฟล์ การที่พนักงานคัดลอกข้อมูลลูกค้าไปวางในเครื่องมือ AI ภายนอกก็เป็นเส้นทางเดียวกัน อ่านต่อที่ พนักงานแปะข้อมูลลูกค้าลง ChatGPT ผิดตรงไหน
เช็กลิสต์วันพนักงานลาออก ทำอะไรก่อนหลัง?
ลำดับนี้ออกแบบให้ได้สองอย่างพร้อมกัน คือหลักฐานว่าบริษัทใช้มาตรการที่เหมาะสมตามมาตรา 3 แห่ง พ.ร.บ.ความลับทางการค้า และการทำตามประกาศมาตรการความปลอดภัยของ สคส.
- วันเริ่มงาน (ก่อนเกิดเรื่อง)ทำข้อตกลงรักษาความลับและข้อตกลงเรื่องลิขสิทธิ์งานเป็นหนังสือ ติดป้าย “ลับ” ที่ข้อมูลสำคัญ และให้สิทธิเข้าถึงเท่าที่จำเป็นต่อหน้าที่ความลับทางการค้า ม.3 · ม.6 · ลิขสิทธิ์ ม.9 · ประกาศ สคส. ข้อ 4 (6) (ก)
- วันที่รับใบลาออกทำรายการระบบและข้อมูลที่พนักงานเข้าถึงได้ ลดสิทธิ์ส่วนที่ไม่จำเป็นต่องานที่เหลือ และเตือนเป็นหนังสือถึงหน้าที่รักษาความลับที่ยังมีอยู่ประกาศ สคส. ข้อ 4 (6) (ข) (ค)
- ระหว่างช่วงแจ้งล่วงหน้าตรวจบันทึกการดาวน์โหลด ส่งออก และส่งต่อข้อมูล เก็บสำเนาบันทึกไว้เป็นหลักฐานโดยไม่แก้ไขประกาศ สคส. ข้อ 4 (6) (ง)
- วันทำงานวันสุดท้ายปิดทุกบัญชี รวมบัญชีคลาวด์และแอปที่สมัครด้วยอีเมลบริษัท เปลี่ยนรหัสที่ใช้ร่วมกัน รับคืนอุปกรณ์และสื่อบันทึกข้อมูลประกาศ สคส. ข้อ 4 (6) (ข) · พ.ร.บ.คอมฯ ม.5 · ม.7
- 1–7 วันหลังออกตรวจบันทึกย้อนหลังอีกรอบ ถ้าพบว่าข้อมูลส่วนบุคคลถูกเอาออกไป ประเมินความเสี่ยงทันที เพราะเส้นตาย 72 ชั่วโมงนับจากวันที่ทราบเหตุPDPA ม.37 (4) · ประกาศแจ้งเหตุ ข้อ 3
- เมื่อพบว่ามีการนำไปใช้รวบรวมหลักฐาน พิจารณาขอศาลสั่งระงับชั่วคราวซึ่งทำได้ก่อนฟ้อง และนับอายุความ 3 ปีนับแต่รู้ตัวผู้ละเมิดความลับทางการค้า ม.8 · ม.10
- หลังปิดเรื่องทบทวนมาตรการรักษาความมั่นคงปลอดภัยและบันทึกสิ่งที่แก้ไขประกาศ สคส. ข้อ 5 วรรคสอง
งานที่พลาดบ่อยคือขั้นปิดบัญชี เพราะบัญชีกระจายอยู่หลายระบบและไม่มีใครถือรายการครบ AIPDPA มีชุดมาตรการความปลอดภัยที่เทียบกับประกาศของ สคส. ให้ติดตามว่าข้อไหนทำแล้ว และทะเบียนเหตุละเมิดที่นับถอยหลัง 72 ชั่วโมงจากเวลาที่ทราบเหตุ พร้อมตัวช่วยตัดสินใจว่าต้องแจ้งใคร โดยมีคนยืนยันทุกการตัดสินใจ ดูบัญชีตัวอย่าง
คำถามที่พบบ่อย
รายชื่อลูกค้าเป็นความลับทางการค้าเสมอไหม?
ไม่เสมอ ตามมาตรา 3 แห่ง พ.ร.บ.ความลับทางการค้า พ.ศ. 2545 ข้อมูลต้องยังไม่รู้จักกันทั่วไปหรือยังเข้าถึงไม่ได้ในวงการ มีประโยชน์เชิงพาณิชย์เพราะเป็นความลับ และบริษัทต้องได้ใช้มาตรการที่เหมาะสมรักษาความลับไว้ รายชื่อที่หาได้จากแหล่งสาธารณะหรือเปิดให้ทุกคนดาวน์โหลดได้ยืนยันยาก
พนักงานลาออกแล้วเอาข้อมูลลูกค้าไป ต้องแจ้ง สคส. ไหม?
ต้องประเมิน นิยามเหตุละเมิดในข้อ 3 ของประกาศแจ้งเหตุละเมิด พ.ศ. 2565 ครอบคลุมการเข้าถึง ใช้ หรือเปิดเผยโดยปราศจากอำนาจที่เกิดจากเจตนา ถ้าเข้านิยามและมีความเสี่ยงต่อเจ้าของข้อมูล ต้องแจ้ง สคส. ภายใน 72 ชั่วโมงนับแต่ทราบเหตุตามมาตรา 37 (4) แห่ง PDPA
ขอให้ศาลสั่งหยุดการใช้ข้อมูลก่อนฟ้องคดีได้ไหม?
ได้ มาตรา 8 แห่ง พ.ร.บ.ความลับทางการค้า ให้ผู้ควบคุมความลับทางการค้าร้องขอให้ศาลสั่งระงับการละเมิดเป็นการชั่วคราว เมื่อมีหลักฐานโดยชัดแจ้ง และมาตรา 8 วรรคสองให้ทำได้ก่อนฟ้องคดีขอคำสั่งห้ามและค่าสินไหมทดแทน
อดีตพนักงานใช้บัญชีเดิมเข้าระบบบริษัท ผิดกฎหมายอะไร?
อาจเข้ามาตรา 5 (เข้าถึงระบบคอมพิวเตอร์โดยมิชอบ) และมาตรา 7 (เข้าถึงข้อมูลคอมพิวเตอร์โดยมิชอบ) แห่ง พ.ร.บ.ว่าด้วยการกระทำความผิดเกี่ยวกับคอมพิวเตอร์ เพราะมาตรการป้องกันการเข้าถึงไม่ได้มีไว้สำหรับคนที่พ้นสภาพแล้ว แต่บริษัทเองก็ควรถอนสิทธิตั้งแต่วันสุดท้ายตามข้อ 4 (6) (ข) ของประกาศมาตรการความปลอดภัย
โค้ดที่พนักงานเขียน บริษัทเป็นเจ้าของลิขสิทธิ์ไหม?
ตามมาตรา 9 แห่ง พ.ร.บ.ลิขสิทธิ์ พ.ศ. 2537 ถ้าไม่ได้ทำเป็นหนังสือตกลงกันไว้เป็นอย่างอื่น ลิขสิทธิ์เป็นของพนักงานผู้สร้างสรรค์ นายจ้างมีสิทธินำงานออกเผยแพร่ตามวัตถุประสงค์ของการจ้าง จึงควรมีข้อตกลงเป็นหนังสือตั้งแต่วันเริ่มงาน
ตัวบทและแหล่งอ้างอิง
- พระราชบัญญัติความลับทางการค้า พ.ศ. 2545 (ฉบับรวมแก้ไขถึงฉบับที่ 2 พ.ศ. 2558) — มาตรา 3 · 6 · 7 · 8 · 9 · 10 · 11 · 13 · 33 · 37
- พระราชบัญญัติว่าด้วยการกระทำความผิดเกี่ยวกับคอมพิวเตอร์ พ.ศ. 2550 — มาตรา 5 · 7 · 9
- ประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง มาตรการรักษาความมั่นคงปลอดภัยของผู้ควบคุมข้อมูลส่วนบุคคล พ.ศ. 2565 — ข้อ 4 (6) (ข) (ค) (ง) · ข้อ 5
- ประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง หลักเกณฑ์และวิธีการในการแจ้งเหตุการละเมิดข้อมูลส่วนบุคคล พ.ศ. 2565 — ข้อ 3 (นิยามการละเมิดข้อมูลส่วนบุคคล)
- พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 — มาตรา 37 (4)
- พระราชบัญญัติลิขสิทธิ์ พ.ศ. 2537 — มาตรา 9
ตัวบทที่ยกมาในกรอบ "ตัวบท" คัดคำต่อคำจากคลังกฎหมายของ AIPDPA ซึ่งถอดจากราชกิจจานุเบกษาและเอกสารของหน่วยงานรัฐ แล้วระบบตรวจทุกครั้งที่แก้บทความว่าตรงกับคลังทุกตัวอักษร · บทความนี้เป็นความรู้ทั่วไป ไม่ใช่คำปรึกษากฎหมายสำหรับกรณีใดกรณีหนึ่ง
ลงมือในระบบได้ที่
ใครรับผิดชอบเนื้อหานี้?
เรียบเรียงโดยทีมกฎหมาย AIPDPA · ผู้รับผิดชอบเนื้อหา ภูวรา ครอบตะคุ ทนายความ · เนติบัณฑิตไทย · ที่ปรึกษากฎหมายเทคโนโลยีและทรัพย์สินทางปัญญา
ใบอนุญาตทนายความ 477/2558 · เนติบัณฑิตไทย · นิติศาสตรมหาบัณฑิต กฎหมายทรัพย์สินทางปัญญาและสารสนเทศ (เหรียญทอง)