เรื่องนี้สำหรับใคร และหลักสำคัญคืออะไร
บทความนี้เขียนให้เจ้าของหรือผู้บริหารบริษัทที่เพิ่งรู้ว่า ข้อมูลลูกค้ารั่วไหล ไม่ว่าจะถูกแฮก พนักงานส่งไฟล์ผิดคน อุปกรณ์หาย หรือระบบของผู้ให้บริการภายนอกมีปัญหา
หลักสำคัญมี 3 ข้อ
- นาฬิกาเริ่มเดินตั้งแต่ทราบเหตุ ผู้ควบคุมข้อมูลต้องแจ้งสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (สคส.) โดยไม่ชักช้า ภายใน 72 ชั่วโมง นับแต่ทราบเหตุเท่าที่จะทำได้ เว้นแต่ไม่มีความเสี่ยงต่อสิทธิและเสรีภาพของบุคคล
- ต้องประเมินความเสี่ยงก่อนตัดสินใจแจ้งหรือไม่แจ้ง และบันทึกเหตุผลไว้
- อย่าลบหรือล้างระบบเพื่อให้เรื่องจบเร็ว หลักฐานคือสิ่งที่ทำให้ประเมินความเสี่ยงได้ และพิสูจน์ได้ว่าบริษัททำหน้าที่ครบ
เรื่องการเตรียมระบบ PDPA ก่อนเกิดเหตุ ดู เช็กลิสต์ทำ PDPA ให้ธุรกิจ ส่วนบทความนี้เน้นเฉพาะช่วงที่เหตุเกิดแล้ว
ผู้ควบคุมข้อมูลกับผู้ประมวลผลต่างกันอย่างไร และใครต้องแจ้ง
| บทบาท | คือใคร | หน้าที่เมื่อข้อมูลรั่ว |
|---|---|---|
| ผู้ควบคุมข้อมูล | ผู้กำหนดวัตถุประสงค์และวิธีการใช้ข้อมูล เช่น บริษัทที่เก็บข้อมูลลูกค้าของตนเอง | ประเมินความเสี่ยง แจ้ง สคส. แจ้งเจ้าของข้อมูล และแก้ไขเหตุ (มาตรา 37 (4)) |
| ผู้ประมวลผลข้อมูล | ผู้ที่ทำงานกับข้อมูลตามคำสั่งหรือในนามของผู้ควบคุม เช่น ผู้ให้บริการคลาวด์ ระบบ CRM บริษัทรับทำบัญชีเงินเดือน | แจ้งผู้ควบคุมข้อมูล ถึงเหตุที่เกิดขึ้น และจัดมาตรการความปลอดภัย (มาตรา 40) |
ประเด็นที่เจ้าของกิจการมักพลาดคือคิดว่าถ้าข้อมูลอยู่บนระบบของผู้ให้บริการแล้วเขาต้องจัดการเอง ความจริงคือ หน้าที่แจ้งต่อ สคส. และเจ้าของข้อมูลยังเป็นของบริษัทในฐานะผู้ควบคุม แม้ต้นเหตุจะอยู่ที่ผู้ให้บริการ
ประกาศคณะกรรมการฯ ยังกำหนดว่า หากผู้ควบคุมใช้ผู้ประมวลผล ต้องระบุในสัญญาให้ผู้ประมวลผลแจ้งผู้ควบคุมโดยไม่ชักช้าภายใน 72 ชั่วโมงนับแต่ผู้ประมวลผลทราบเหตุ ถ้าสัญญาของคุณยังไม่มีข้อนี้ ควรเพิ่มเมื่อเหตุครั้งนี้ผ่านพ้นไปแล้ว
ขั้นตอนแรกที่ต้องทำเมื่อรู้ว่าข้อมูลรั่วมีอะไรบ้าง
ลำดับด้านล่างเป็น แนวปฏิบัติที่เราแนะนำ โดยอิงหน้าที่ตามกฎหมายที่ระบุในแต่ละข้อ
ขั้นที่ 1 จัดคนรับผิดชอบและเริ่มจดเวลา
ตั้งผู้ประสานงานหนึ่งคน และจดทันทีว่า ใครรู้เรื่องเมื่อไร จากช่องทางใด เพราะเวลา "ทราบเหตุ" เป็นจุดเริ่มนับกำหนดแจ้ง ประกาศคณะกรรมการฯ ถือว่าผู้ควบคุมต้องตรวจสอบเมื่อได้รับแจ้งข้อมูลเบื้องต้นจากใครก็ตาม ไม่ว่าด้วยวาจา หนังสือ หรืออีเมล
ขั้นที่ 2 หยุดความเสียหาย แต่เก็บหลักฐานไว้
สิ่งที่ควรทำ
- ตัดสิทธิ์บัญชีที่ถูกใช้ เปลี่ยนรหัสผ่านและกุญแจ API แยกเครื่องหรือระบบที่ต้องสงสัยออกจากเครือข่าย
- สำรองล็อก ของเซิร์ฟเวอร์ แอปพลิเคชัน ไฟร์วอลล์ และอีเมล ก่อนที่ระบบจะเขียนทับ
- ถ่ายภาพหน้าจอ เก็บอีเมลหรือข้อความที่เกี่ยวข้อง และจดว่าใครทำอะไรกับระบบไปแล้วบ้าง
สิ่งที่ไม่ควรทำ ได้แก่ ติดตั้งระบบใหม่ทับ ลบไฟล์ที่ถูกแก้ไข หรือรีบปิดบริการทุกอย่างโดยไม่สำรองข้อมูลนิติวิทยาศาสตร์ก่อน ประกาศคณะกรรมการฯ กำหนดให้ผู้ควบคุมดำเนินการป้องกัน ระงับ หรือแก้ไขโดยทันทีเท่าที่ทำได้ เมื่อพบความเสี่ยงสูง การเก็บหลักฐานไม่ขัดกับหน้าที่นี้
ขั้นที่ 3 ติดต่อผู้ให้บริการและคู่ค้าที่เกี่ยวข้อง
แจ้งผู้ให้บริการคลาวด์ โฮสติ้ง ระบบ CRM หรือผู้พัฒนาระบบทันที ขอให้เขาส่งล็อกและรายงานเหตุเป็นลายลักษณ์อักษร ถามอย่างน้อยว่า ข้อมูลประเภทใด ของใคร กี่ราย รั่วในช่วงเวลาใด และปิดช่องโหว่แล้วหรือยัง ถ้ามีบริษัทที่ปรึกษาด้านไซเบอร์ ให้เรียกเข้ามาในขั้นนี้ ส่วนประกันภัยไซเบอร์ (ถ้ามี) ควรอ่านเงื่อนไขการแจ้งเหตุให้ทัน เพราะบางกรมธรรม์กำหนดให้แจ้งบริษัทประกันก่อนจ้างผู้เชี่ยวชาญ
ขั้นที่ 4 ประเมินความเสี่ยงต่อเจ้าของข้อมูล
ประกาศคณะกรรมการฯ ข้อ 12 ให้ผู้ควบคุมพิจารณาปัจจัยเหล่านี้
- ลักษณะและประเภทของการละเมิด (ความลับ ความถูกต้อง หรือความพร้อมใช้งานของข้อมูล)
- ประเภทของข้อมูลที่เกี่ยวข้อง เช่น เลขบัตรประชาชน ข้อมูลการเงิน ข้อมูลสุขภาพ รหัสผ่าน
- ปริมาณ ทั้งจำนวนเจ้าของข้อมูลและจำนวนรายการ
- สถานะของเจ้าของข้อมูล เช่น เด็ก ผู้พิการ หรือบุคคลเปราะบาง
- ความร้ายแรงของผลกระทบที่เกิดหรืออาจเกิด และประสิทธิผลของมาตรการที่ใช้ระงับเหตุ
กรณีที่เข้าข่าย "ไม่มีความเสี่ยง" ตามประกาศ เช่น ข้อมูลไม่สามารถระบุตัวบุคคลได้ หรือข้อมูลอยู่ในสภาพที่ใช้งานไม่ได้เพราะมีมาตรการทางเทคโนโลยีเพียงพอ (เช่น เข้ารหัสไว้อย่างเหมาะสมและกุญแจไม่รั่ว) ผู้ควบคุม ต้องพิสูจน์ได้ และอาจต้องส่งเอกสารหลักฐานให้สำนักงานพิจารณา การสรุปเองว่า "ไม่น่ามีความเสี่ยง" โดยไม่มีบันทึกจึงเสี่ยง
ขั้นที่ 5 ตัดสินใจเรื่องการแจ้งและแจ้งให้ทัน
ดูหัวข้อถัดไป ถ้าประเมินแล้วต้องแจ้ง ให้เตรียมรายละเอียดตามที่ประกาศกำหนดเท่าที่มีในขณะนั้น ไม่ต้องรอข้อมูลครบทุกด้านจึงค่อยแจ้ง เพราะประกาศใช้ถ้อยคำว่า "เท่าที่จะสามารถกระทำได้"
ขั้นที่ 6 แจ้งความและติดต่อเจ้าหน้าที่ ถ้าเป็นการแฮกหรือโจมตีระบบ
การเข้าถึงระบบหรือข้อมูลคอมพิวเตอร์ที่มีมาตรการป้องกันโดยมิชอบเป็นความผิดตาม พ.ร.บ.ว่าด้วยการกระทำความผิดเกี่ยวกับคอมพิวเตอร์ (มาตรา 5 และมาตรา 7) บริษัทจึงแจ้งความเป็นผู้เสียหายได้ โดยนำล็อก ไทม์ไลน์ และรายงานของผู้เชี่ยวชาญไปประกอบ การแจ้งความเป็นเรื่องแยกต่างหากจากหน้าที่ตาม PDPA ไม่ทดแทนกัน และประกาศคณะกรรมการฯ ก็ระบุว่าการแจ้ง สคส. ไม่ได้ทำให้พ้นหน้าที่ตามกฎหมายอื่นที่เกี่ยวข้องกับกิจการ
ขั้นที่ 7 สื่อสารกับลูกค้า
ดูหัวข้อ "แจ้งลูกค้าอย่างไร" ด้านล่าง
ขั้นที่ 8 ทบทวนและแก้ต้นเหตุ
ประกาศคณะกรรมการฯ กำหนดให้ผู้ควบคุมดำเนินมาตรการที่จำเป็นและเหมาะสมเพื่อระงับ ตอบสนอง แก้ไข ฟื้นฟู และป้องกันเหตุซ้ำ รวมถึงทบทวนมาตรการความปลอดภัย ควรเขียนรายงานเหตุการณ์ภายในไว้ทุกครั้ง
ต้องแจ้ง สคส. และต้องแจ้งลูกค้าเมื่อไร
| กรณี | หน้าที่ตามกฎหมาย |
|---|---|
| ไม่มีความเสี่ยงที่จะกระทบสิทธิและเสรีภาพของบุคคล | ไม่ต้องแจ้ง สคส. แต่ต้องพิสูจน์ได้ว่าไม่มีความเสี่ยง |
| มีความเสี่ยง | แจ้ง สคส. โดยไม่ชักช้า ภายใน 72 ชั่วโมงนับแต่ทราบเหตุเท่าที่ทำได้ |
| มีความเสี่ยงสูง | แจ้ง สคส. และ แจ้งเจ้าของข้อมูลที่ได้รับผลกระทบ พร้อมแนวทางเยียวยา โดยไม่ชักช้า |
ที่มาคือ มาตรา 37 (4) และประกาศคณะกรรมการฯ ข้อ 5 ถึงข้อ 10
แจ้ง สคส. ต้องมีอะไรบ้าง ประกาศข้อ 6 ให้แจ้งเป็นลายลักษณ์อักษรหรือผ่านวิธีทางอิเล็กทรอนิกส์ตามที่สำนักงานกำหนด โดยระบุเท่าที่ทำได้
- ข้อมูลโดยสังเขปเกี่ยวกับลักษณะและประเภทของการละเมิด อาจบรรยายจำนวนเจ้าของข้อมูลหรือจำนวนรายการ
- ชื่อและช่องทางติดต่อของ DPO หรือผู้ที่บริษัทมอบหมายให้ประสานงาน
- ผลกระทบที่อาจเกิดขึ้น
- มาตรการที่ใช้หรือจะใช้เพื่อป้องกัน ระงับ แก้ไข หรือเยียวยา
ช่องทางส่งในทางปฏิบัติให้ตรวจที่เว็บไซต์ สคส. ก่อนแจ้งทุกครั้ง เพราะสำนักงานเป็นผู้กำหนดวิธีการ
ถ้าแจ้งล่าช้ากว่า 72 ชั่วโมง ข้อ 7 ให้ขอให้สำนักงานพิจารณายกเว้นความผิดได้ เมื่อมีเหตุจำเป็นที่หลีกเลี่ยงไม่ได้ เช่น ต้องตรวจสอบเบื้องต้นหรือป้องกันระงับเหตุก่อน โดยต้องชี้แจงเหตุผลและแจ้งโดยเร็ว ไม่เกิน 15 วันนับแต่ทราบเหตุ สำนักงานอาจขอคำชี้แจงเพิ่มภายหลัง นี่คือการขอยกเว้น ไม่ใช่สิทธิอัตโนมัติ จึงควรแจ้งตามกำหนดเสมอและเติมรายละเอียดทีหลัง
แจ้งลูกค้าอย่างไร ควรพูดอะไร และไม่ควรพูดอะไร
เมื่อความเสี่ยงสูง ประกาศข้อ 10 ให้ข้อความถึงเจ้าของข้อมูล ต้องมีอย่างน้อย ข้อมูลสังเขปเกี่ยวกับลักษณะของเหตุ ช่องทางติดต่อ DPO หรือผู้ประสานงาน ผลกระทบที่อาจเกิดกับเขา และแนวทางเยียวยา พร้อมข้อแนะนำสิ่งที่เขาทำเองได้ เช่น เปลี่ยนรหัสผ่านหรือระวังการหลอกลวงทางโทรศัพท์และอีเมล
ถ้าติดต่อรายบุคคลไม่ได้ ข้อ 11 ให้แจ้งเป็นกลุ่มหรือแจ้งทั่วไปผ่านสื่อสาธารณะหรือสื่อออนไลน์ได้ แต่ต้องไม่ก่อให้เกิดความเสียหายเพิ่มแก่เจ้าของข้อมูล
แนวปฏิบัติด้านการสื่อสาร (ไม่ใช่ข้อบังคับของกฎหมาย)
- ควรพูด ข้อเท็จจริงที่ยืนยันแล้ว ข้อมูลประเภทใดที่เกี่ยวข้อง สิ่งที่บริษัททำไปแล้ว สิ่งที่ลูกค้าควรทำ และช่องทางติดต่อที่ตอบได้จริง
- ไม่ควรพูด คาดเดาต้นเหตุหรือตัวผู้กระทำก่อนผลตรวจสอบ ลดความร้ายแรงด้วยถ้อยคำเช่น "ไม่น่ามีผลกระทบ" โดยไม่มีหลักฐาน โยนความผิดให้ผู้ให้บริการในจดหมายถึงลูกค้า หรือสัญญาว่าจะชดเชยก่อนประเมินความรับผิด
- ให้ข้อความถึงลูกค้ากับที่แจ้ง สคส. สอดคล้องกัน ข้อมูลที่ขัดกันสร้างปัญหาภายหลัง
- ใช้ภาษาธรรมดา ส่งผ่านช่องทางที่ลูกค้าไว้ใจ และระวังไม่ให้ข้อความแจ้งเหตุเองกลายเป็นช่องให้มิจฉาชีพลอกเลียน
โทษถ้าไม่แจ้งเป็นอย่างไร
ผู้ควบคุมข้อมูลที่ไม่ปฏิบัติตามมาตรา 37 ซึ่งรวมหน้าที่แจ้งเหตุตามอนุมาตรา (4) ต้องระวางโทษปรับทางปกครอง ไม่เกินสามล้านบาท ตามมาตรา 83 นั่นคือเพดาน ซึ่งจะพิจารณาตามพฤติการณ์ของแต่ละเหตุ
อย่าสับสนกับเพดานห้าล้านบาทที่พบในบางแหล่ง เพดานนั้นเป็นของมาตรา 84 ซึ่งเกี่ยวกับข้อมูลอ่อนไหวและการโอนข้อมูลข้ามประเทศ ไม่ใช่หน้าที่แจ้งเหตุ แต่ถ้าข้อมูลที่รั่วเป็นข้อมูลอ่อนไหว เช่น ข้อมูลสุขภาพ ก็อาจมีประเด็นอื่นตามมาด้วย
ส่วนผู้ประมวลผลที่ไม่ปฏิบัติตามมาตรา 40 โดยไม่มีเหตุอันควร ก็ต้องระวางโทษปรับทางปกครองไม่เกินสามล้านบาทเช่นกันตามมาตรา 86 นอกจากโทษปรับแล้ว มาตรา 77 ยังให้ผู้ควบคุมหรือผู้ประมวลผลที่ฝ่าฝืนกฎหมายจนเจ้าของข้อมูลเสียหายต้องชดใช้ค่าสินไหมทดแทน แม้ไม่ได้จงใจหรือประมาท เว้นแต่พิสูจน์ข้อยกเว้นที่กฎหมายกำหนดได้ ดูภาพรวมที่ อัปเดตกฎหมาย PDPA สำหรับธุรกิจไทย ปี 2569
ต้องแจ้ง สกมช. ด้วยหรือไม่
เฉพาะบริษัทที่เป็น หน่วยงานโครงสร้างพื้นฐานสำคัญทางสารสนเทศ (CII) ตามที่หน่วยงานกำกับดูแลกำหนด เมื่อเกิดภัยคุกคามทางไซเบอร์อย่างมีนัยสำคัญต่อระบบ มาตรา 57 แห่ง พ.ร.บ.การรักษาความมั่นคงปลอดภัยไซเบอร์ พ.ศ. 2562 กำหนดให้รายงานต่อสำนักงานคณะกรรมการการรักษาความมั่นคงปลอดภัยไซเบอร์แห่งชาติและหน่วยงานควบคุมหรือกำกับดูแล ซึ่งเป็นหน้าที่แยกจาก PDPA และต้องทำควบคู่กัน
บริษัททั่วไปที่ไม่ได้อยู่ในกลุ่ม CII ไม่มีหน้าที่นี้ตามมาตราดังกล่าว แต่ผู้ที่อยู่ในภาคที่มีหน่วยงานกำกับเฉพาะ เช่น การเงินหรือโทรคมนาคม ควรตรวจกฎของหน่วยงานนั้นเพิ่ม
รายการตรวจสำหรับ 72 ชั่วโมงแรก
- จดเวลาที่ทราบเหตุและแหล่งที่มา ตั้งผู้ประสานงาน
- ระงับการเข้าถึงที่ผิดปกติ เปลี่ยนรหัสผ่านและกุญแจ
- สำรองล็อกและหลักฐานก่อนล้างหรือติดตั้งระบบใหม่
- แจ้งผู้ให้บริการและผู้ประมวลผล ขอรายงานเป็นลายลักษณ์อักษร
- ระบุประเภทข้อมูล จำนวนราย และกลุ่มเจ้าของข้อมูล
- ประเมินความเสี่ยงตามปัจจัยในประกาศ และบันทึกเหตุผล
- ถ้ามีความเสี่ยง แจ้ง สคส. ตามข้อมูลที่มี ถ้ามีความเสี่ยงสูง เตรียมข้อความถึงเจ้าของข้อมูล
- ถ้าถูกแฮก แจ้งความและเก็บเอกสารประกอบ
- ตรวจว่าเป็น CII หรืออยู่ภายใต้หน่วยกำกับเฉพาะหรือไม่
- ทำรายงานเหตุการณ์และแผนแก้ไข รวมถึงแก้สัญญากับผู้ประมวลผล
