แจ้งเหตุละเมิดข้อมูลส่วนบุคคลภายใน 72 ชั่วโมง ต้องทำอย่างไร กำหนดเวลาแจ้งเหตุละเมิดข้อมูลส่วนบุคคลคือ โดยไม่ชักช้าภายใน 72 ชั่วโมงนับแต่ทราบเหตุ เมื่อมีเหตุอันควรเชื่อว่าเกิดการละเมิด ผู้ควบคุมข้อมูลส่วนบุคคลต้องแจ้งสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (สคส.) ตามมาตรา 37 (4) แห่ง พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 เว้นแต่การละเมิดนั้นไม่มีความเสี่ยงต่อสิทธิและเสรีภาพของบุคคล ถ้ามีความเสี่ยงสูง ต้องแจ้งเจ้าของข้อมูลพร้อมแนวทางเยียวยาโดยไม่ชักช้าด้วย
เช้าวันเสาร์ ผู้จัดการร้านค้าออนไลน์แห่งหนึ่งพบว่าไฟล์รายชื่อลูกค้าพร้อมที่อยู่และเบอร์โทรศัพท์ถูกเปิดให้ใครก็ดาวน์โหลดได้ผ่านลิงก์สาธารณะ ทีมงานถกกันทั้งวันว่าต้องแจ้งใคร แจ้งอย่างไร และเวลา 72 ชั่วโมงเริ่มนับตั้งแต่เมื่อไร
สรุปสิ่งที่ต้องรู้
5 ประเด็นที่สำคัญที่สุดของเรื่องนี้ สรุปจากตัวบทและแนวปฏิบัติที่อ้างอิงไว้ท้ายคู่มือ อ่านแค่ส่วนนี้ก็ตัดสินใจขั้นต่อไปได้
- แจ้ง สคส. โดยไม่ชักช้าภายใน 72 ชั่วโมงนับแต่ทราบเหตุ เว้นแต่การละเมิดไม่มีความเสี่ยงต่อสิทธิและเสรีภาพของบุคคล
- ถ้ามีความเสี่ยงสูง ต้องแจ้งเจ้าของข้อมูลพร้อมแนวทางเยียวยาโดยไม่ชักช้าด้วย
- แจ้งช้ากว่า 72 ชั่วโมงเพราะเหตุจำเป็น ขอให้ สคส. พิจารณายกเว้นความผิดได้ แต่ต้องแจ้งไม่เกิน 15 วันนับแต่ทราบเหตุ
- สัญญากับผู้ประมวลผลข้อมูลต้องกำหนดให้ผู้ประมวลผลแจ้งเหตุต่อผู้ควบคุมภายใน 72 ชั่วโมงนับแต่ผู้ประมวลผลทราบเหตุ
- ช่องทางอิเล็กทรอนิกส์ในการแจ้ง สคส. คืออีเมล saraban@pdpc.or.th ตามประกาศสำนักงานฯ พ.ศ. 2568
ทำตามนี้ 6 ขั้นตอน
ทำตามลำดับ 6 ขั้นนี้ได้ทันที แต่ละขั้นเขียนให้ทีมในองค์กรไทยลงมือได้จริงโดยไม่ต้องรอที่ปรึกษา และเก็บหลักฐานไว้ให้ผู้ตรวจดูได้
- บันทึกเวลาที่ทราบเหตุจดวันและเวลาที่ได้รับแจ้งหรือพบเหตุครั้งแรก ไม่ว่าจะมาทางวาจา หนังสือ หรือช่องทางอิเล็กทรอนิกส์ เพราะกำหนด 72 ชั่วโมงนับแต่ทราบเหตุ
- ตรวจข้อเท็จจริงและหยุดความเสียหายประเมินความน่าเชื่อถือของข้อมูลและตรวจมาตรการรักษาความมั่นคงปลอดภัยโดยไม่ชักช้า ถ้าพบความเสี่ยงสูง ให้ป้องกัน ระงับ หรือแก้ไขทันทีเท่าที่ทำได้ ทั้งด้วยตนเองหรือสั่งให้ผู้ประมวลผลทำ (ข้อ 5 (1) และ (2) ของประกาศฯ พ.ศ. 2565)
- ประเมินระดับความเสี่ยงพิจารณาปัจจัย 8 ข้อตามข้อ 12 เช่น ประเภทและปริมาณข้อมูล ความร้ายแรงของผลกระทบ และมีผู้เยาว์ ผู้พิการ หรือบุคคลเปราะบางอยู่ในกลุ่มที่ได้รับผลกระทบหรือไม่
- แจ้ง สคส. ภายใน 72 ชั่วโมงส่งหนังสือแจ้งที่มีสาระสำคัญ 4 ข้อตามข้อ 6 เท่าที่ทราบในขณะนั้น ทางอีเมล saraban@pdpc.or.th
- แจ้งเจ้าของข้อมูลถ้ามีความเสี่ยงสูงแจ้งโดยไม่ชักช้าตามข้อ 10 พร้อมแนวทางเยียวยาและคำแนะนำสิ่งที่เจ้าของข้อมูลทำได้เอง ถ้าติดต่อรายบุคคลไม่ได้ อาจแจ้งเป็นกลุ่มหรือผ่านสื่อสาธารณะตามข้อ 11
- แก้ไขและทบทวนมาตรการระงับ แก้ไข และฟื้นฟูจากเหตุ แล้วทบทวนมาตรการรักษาความมั่นคงปลอดภัยเพื่อป้องกันเหตุแบบเดียวกันในอนาคตตามข้อ 5 (5) พร้อมเก็บหลักฐานทุกขั้นตอน
ต้องแจ้ง สคส. ว่าอะไรบ้าง และส่งทางไหน?
ข้อ 6 ของประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง หลักเกณฑ์และวิธีการในการแจ้งเหตุการละเมิดข้อมูลส่วนบุคคล พ.ศ. 2565 กำหนดให้แจ้งเป็นลายลักษณ์อักษรหรือทางอิเล็กทรอนิกส์ และระบุสาระสำคัญ 4 ข้อต่อไปนี้เท่าที่จะทำได้
ประกาศสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง ช่องทางอิเล็กทรอนิกส์ในการแจ้งเหตุฯ พ.ศ. 2568 ซึ่งยกเลิกฉบับ พ.ศ. 2566 กำหนดให้ส่งทางอีเมล saraban@pdpc.or.th โดยตั้งชื่อเรื่องว่า [การแจ้งเหตุการละเมิดข้อมูลส่วนบุคคล] ตามด้วยชื่อผู้ควบคุมข้อมูลส่วนบุคคล
- ลักษณะและประเภทของการละเมิด ซึ่งอาจระบุจำนวนเจ้าของข้อมูลหรือจำนวนรายการข้อมูลที่เกี่ยวข้อง
- ชื่อและช่องทางติดต่อของเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล (DPO) หรือผู้ประสานงานที่ได้รับมอบหมาย
- ผลกระทบที่อาจเกิดขึ้นจากเหตุละเมิด
- มาตรการที่ใช้หรือจะใช้เพื่อป้องกัน ระงับ หรือแก้ไขเหตุ หรือเยียวยาความเสียหาย
ถ้าแจ้งไม่ทัน 72 ชั่วโมงจะทำอย่างไร?
ถ้ามีเหตุจำเป็น เช่น ต้องตรวจข้อมูลเบื้องต้นหรือต้องระงับเหตุก่อน ข้อ 7 ให้ผู้ควบคุมข้อมูลขอให้ สคส. พิจารณายกเว้นความผิดจากการแจ้งล่าช้าได้ โดยต้องชี้แจงเหตุผลและรายละเอียด และต้องแจ้งโดยเร็วไม่เกิน 15 วันนับแต่ทราบเหตุ
ถ้า สคส. เห็นควรยกเว้น ให้ถือว่าผู้ควบคุมข้อมูลได้รับยกเว้นจากกำหนดเวลาตามมาตรา 37 (4) ทั้งนี้ การแจ้ง สคส. ไม่ได้ยกเว้นหน้าที่หรือความรับผิดตามกฎหมายเฉพาะของธุรกิจนั้นหรือกฎหมายอื่น
กรณีไหนไม่ต้องแจ้ง สคส.?
ไม่ต้องแจ้งเมื่อการละเมิดไม่มีความเสี่ยงต่อสิทธิและเสรีภาพของบุคคล แต่ผู้ควบคุมข้อมูลต้องพิสูจน์ได้เอง ข้อ 9 ยกตัวอย่างข้อมูลที่ระบุตัวเจ้าของข้อมูลไม่ได้ หรือข้อมูลที่อยู่ในสภาพใช้งานไม่ได้เพราะมีมาตรการทางเทคโนโลยีที่เพียงพอ
ผู้ควบคุมข้อมูลที่ยกข้อยกเว้นนี้ต้องส่งข้อมูล เอกสาร หรือหลักฐาน รวมถึงรายละเอียดมาตรการรักษาความมั่นคงปลอดภัย ให้ สคส. พิจารณา
ปัญหาที่พบบ่อยและวิธีแก้
องค์กรส่วนใหญ่พลาดเรื่องนี้ใน 3 จุดเดิม ๆ ตารางด้านล่างบอกทั้งวิธีแก้ด้วยตัวเอง และวิธีที่ AIPDPA ช่วยให้เสร็จเร็วกว่าพร้อมหลักฐานครบ
| ปัญหา | วิธีแก้ |
|---|---|
| ✗ รอข้อมูลครบทุกอย่างก่อนแจ้ง จนเลย 72 ชั่วโมง | ✓ ข้อ 6 ให้ระบุสาระสำคัญเท่าที่จะทำได้ แนวปฏิบัติที่ดีจึงเป็นการส่งรายงานแรกภายในกำหนด แล้วส่งข้อมูลเพิ่มเมื่อได้ข้อเท็จจริงมากขึ้น ทะเบียนเหตุละเมิดของ AIPDPA มีนาฬิกานับถอยหลัง 72 ชั่วโมง และสร้างหนังสือแจ้ง สคส. จากข้อมูลที่บันทึกไว้ได้ทันที |
| ✗ สัญญากับผู้ให้บริการไม่มีข้อแจ้งเหตุภายใน 72 ชั่วโมง | ✓ ข้อ 8 กำหนดให้ผู้ควบคุมระบุในสัญญาให้ผู้ประมวลผลแจ้งเหตุภายใน 72 ชั่วโมงนับแต่ผู้ประมวลผลทราบเหตุ ไล่ตรวจสัญญาผู้ให้บริการทุกรายจากทะเบียนผู้ให้บริการของ AIPDPA และใช้สัญญาประมวลผลข้อมูล (DPA) พร้อมใช้เป็นฐานในการแก้สัญญา |
| ✗ ตัดสินว่า 'ไม่ต้องแจ้ง' โดยไม่มีเหตุผลเป็นลายลักษณ์อักษร | ✓ บันทึกผลประเมินตามปัจจัยในข้อ 12 และหลักฐาน เช่น การเข้ารหัส ไว้ทุกครั้ง แบบประเมินความเสี่ยงในทะเบียนเหตุละเมิดของ AIPDPA เก็บเหตุผลของการตัดสินใจไว้เป็นหลักฐานพร้อมส่ง สคส. |
พร้อมรับมือเหตุละเมิดก่อนนาฬิกา 72 ชั่วโมงจะเริ่มเดิน
ทะเบียนเหตุละเมิดของ AIPDPA มีนาฬิกานับถอยหลัง 72 ชั่วโมง แบบประเมินความเสี่ยง และหนังสือแจ้ง สคส. กับเจ้าของข้อมูลที่พร้อมใช้ ดูบัญชีตัวอย่างได้ ไม่ต้องสมัคร
มีในแพ็กเกจ GROWTH · PRO · ENTERPRISE เริ่มต้น 4,900 บาท/ปี · ดูบัญชีตัวอย่างได้ ไม่ต้องสมัคร
คำถามที่พบบ่อย
คำถามที่คนค้นหาบ่อยที่สุดเรื่องนี้ แต่ละคำตอบสั้น ตรงประเด็น และอ่านแยกข้อได้
ต้องแจ้งเหตุละเมิดข้อมูลส่วนบุคคลภายในกี่ชั่วโมง?
ต้องแจ้ง สคส. โดยไม่ชักช้าภายใน 72 ชั่วโมงนับแต่ทราบเหตุเท่าที่จะทำได้ ตามมาตรา 37 (4) และข้อ 5 (3) ของประกาศฯ พ.ศ. 2565 เว้นแต่การละเมิดไม่มีความเสี่ยงต่อสิทธิและเสรีภาพของบุคคล
เกิน 72 ชั่วโมงแล้วยังแจ้ง สคส. ได้ไหม?
ได้ ถ้ามีเหตุจำเป็นที่ทำให้ล่าช้า ให้แจ้งพร้อมชี้แจงเหตุผลเพื่อขอให้ สคส. พิจารณายกเว้นความผิด แต่ต้องแจ้งโดยเร็วไม่เกิน 15 วันนับแต่ทราบเหตุ ตามข้อ 7 ของประกาศฯ พ.ศ. 2565
ข้อมูลที่รั่วถูกเข้ารหัสไว้ ยังต้องแจ้งไหม?
อาจไม่ต้องแจ้ง ถ้าพิสูจน์ได้ว่าไม่มีความเสี่ยงต่อสิทธิและเสรีภาพของบุคคล ข้อ 9 ยกตัวอย่างข้อมูลที่ใช้งานไม่ได้เพราะมีมาตรการทางเทคโนโลยีเพียงพอ แต่ผู้ควบคุมข้อมูลต้องส่งหลักฐานให้ สคส. พิจารณา
ผู้ให้บริการภายนอกทำข้อมูลรั่ว ใครต้องแจ้ง สคส.?
ผู้ควบคุมข้อมูลส่วนบุคคลยังมีหน้าที่แจ้ง เพราะข้อ 4 ของประกาศฯ พ.ศ. 2565 ครอบคลุมเหตุที่เกิดจากผู้ประมวลผลข้อมูลด้วย และข้อ 8 กำหนดให้สัญญาต้องระบุให้ผู้ประมวลผลแจ้งผู้ควบคุมภายใน 72 ชั่วโมงนับแต่ผู้ประมวลผลทราบเหตุ
ติดต่อเจ้าของข้อมูลทุกคนไม่ได้ ต้องทำอย่างไร?
ข้อ 11 ของประกาศฯ พ.ศ. 2565 ให้แจ้งเป็นกลุ่ม หรือแจ้งทั่วไปผ่านสื่อสาธารณะ สื่อสังคมออนไลน์ หรือช่องทางอิเล็กทรอนิกส์ที่ผู้ได้รับผลกระทบเข้าถึงได้ โดยการแจ้งนั้นต้องไม่ก่อความเสียหายแก่เจ้าของข้อมูล
แหล่งอ้างอิง
คู่มือนี้อ้างอิงเอกสาร 3 รายการ ตัวบทกฎหมายระบุมาตราหรือข้อไว้ชัดเจน ส่วนแนวปฏิบัติและมาตรฐานเป็นแนวทาง ไม่ใช่กฎหมาย
- พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 มาตรา 37 (4)
- ประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง หลักเกณฑ์และวิธีการในการแจ้งเหตุการละเมิดข้อมูลส่วนบุคคล พ.ศ. 2565 ข้อ 4–12
- ประกาศสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง ช่องทางอิเล็กทรอนิกส์ในการแจ้งเหตุการละเมิดข้อมูลส่วนบุคคลสำหรับผู้ควบคุมข้อมูลส่วนบุคคล พ.ศ. 2568 ข้อ 2
ตัวบทในบทความนี้อ้างอิงจากคลังกฎหมายของ AIPDPA ซึ่งถอดจากราชกิจจานุเบกษา · เนื้อหาเป็นความรู้ทั่วไป หากกรณีของคุณมีข้อเท็จจริงเฉพาะ ทีมทนายของเราช่วยดูให้ได้
เครื่องมือและบริการที่ช่วยได้ทันที
อยากทำเองให้เร็วขึ้น ใช้เครื่องมือใน AIPDPA · อยากให้ทนายดูแลให้ หรืออยากเรียนให้เป็น เลือกบริการในเครือที่ตรงกับคุณได้เลย
นาฬิกานับถอยหลัง 72 ชั่วโมงเริ่มทันทีที่บันทึกเหตุ ประเมินความเสี่ยง และออกหนังสือแจ้งสำนักงานกับเจ้าของข้อมูลพร้อมใช้
ลงชื่อรอเปิดใช้งาน →เอกสารพร้อมใช้ 40 แบบ ไทย/อังกฤษ ยืนยันข้อสัญญาที่ AI เขียนเพิ่มครบ 88 ข้อ กรอกจากทะเบียนให้เอง และมี QR ยืนยันฉบับที่อนุมัติ
ลงชื่อรอเปิดใช้งาน →รู้ว่าใครประมวลผลข้อมูลแทนคุณ ความเสี่ยงระดับไหน และสัญญาครบหรือยัง
ลงชื่อรอเปิดใช้งาน →มี DPO มืออาชีพดูแลต่อเนื่องโดยไม่ต้องจ้างพนักงานประจำ
ดูแพ็กเกจ →
ใครรับผิดชอบเนื้อหานี้?
เรียบเรียงโดยทีมกฎหมาย AIPDPA · ผู้รับผิดชอบเนื้อหา ภูวรา ครอบตะคุ ทนายความ · เนติบัณฑิตไทย · ที่ปรึกษากฎหมายเทคโนโลยีและทรัพย์สินทางปัญญา
ใบอนุญาตทนายความ 477/2558 · เนติบัณฑิตไทย · นิติศาสตรมหาบัณฑิต กฎหมายทรัพย์สินทางปัญญาและสารสนเทศ (เหรียญทอง)
อ่านต่อ
คู่มือที่มักต้องทำต่อจากเรื่องนี้ เลือกอ่านได้ตามลำดับงานขององค์กรคุณ