本文適合誰閱讀，核心要點是什麼
本文寫給剛剛得知客戶資料洩露的公司所有者或管理者——無論是遭到駭客攻擊、員工把檔案發錯人、裝置丟失，還是外部服務商的系統出了問題。
核心要點有 3 條
- 時鐘自得知事件之時起開始走。 資料控制者必須不遲延地、在可行範圍內自得知事件起 72 小時內通知個人資料保護委員會辦公室（สคส.），除非對個人的權利和自由不構成風險
- 必須先評估風險，再決定是否報告，並記錄理由
- 不要為了儘快了事而刪除或清空系統。 證據是評估風險、並證明公司已完整履行職責的依據
關於事發前如何搭建 PDPA 體系，參見為業務做好 PDPA 的檢查清單；本文只聚焦事件已經發生之後的階段。
資料控制者與資料處理者有何區別，誰必須報告
| 角色 | 是誰 | 資料洩露時的義務 |
|---|---|---|
| 資料控制者 | 決定資料使用目的與方式的人，例如自行收集客戶資料的公司 | 評估風險、通知 สคส.（泰國個人資料保護委員會辦公室）、通知資料主體並處置事件（第 37(4) 條） |
| 資料處理者 | 依據控制者的指令或代表控制者處理資料的人，例如雲服務商、CRM 系統、薪酬會計服務公司 | 通知資料控制者事件情況，並落實安全措施（第 40 條） |
企業主常犯的錯誤，是以為資料放在服務商的系統上就得由服務商自己處理。事實是：向 สคส. 和資料主體報告的義務，仍然屬於作為控制者的公司，即便起因出在服務商一方。
委員會的公告還規定，如果控制者使用處理者，必須在合同中約定：處理者應自其知悉事件起 72 小時內，毫不遲延地通知控制者。如果你的合同裡還沒有這一條，應在這次事件處理完畢後補上。
發現數據洩露後首先要做的步驟有哪些
以下順序是我們建議的操作指引，依據各條所列的法定義務。
第1步：指定負責人並開始記錄時間
指定一名協調人，並立即記錄誰在何時、通過何種渠道得知此事，因為"知悉事件"的時間是通知期限的起算點。委員會公告認為，控制者從任何人那裡收到初步資訊時即須進行核查，無論該資訊是以口頭、書面還是電子郵件形式提供。
第2步：止損，但保留證據
應當做的事：
- 撤銷被使用的賬戶許可權，更換密碼和 API 金鑰，將可疑的裝置或系統從網路中隔離
- 在系統被覆蓋之前，備份日誌，包括伺服器、應用程式、防火牆和電子郵件的日誌
- 截圖，儲存相關郵件或資訊，並記錄下誰對系統做過什麼操作
不應當做的事包括：重灌系統加以覆蓋、刪除被修改過的檔案，或在未先備份取證資料的情況下匆忙關閉所有服務。委員會公告規定，控制者在發現高風險時，須在力所能及的範圍內立即採取預防、制止或補救措施。儲存證據與這一義務並不衝突。
第3步：聯絡相關服務提供商和合作方
立即通知雲服務商、主機託管商、CRM 系統或系統開發商，要求他們以書面形式提供日誌和事件報告。至少要問清楚：哪類資料、屬於誰、涉及多少人、洩露發生在什麼時間段，以及漏洞是否已經修復。如果聘有網路安全諮詢公司，應在這一步就請他們介入。至於網路安全保險（如有），應及時閱讀事故通知條款，因為有些保單規定必須在聘請專家之前先通知保險公司。
第4步：評估對資料主體的風險
委員會公告第12條要求控制者考慮以下因素：
- 違規的性質和型別（資料的保密性、完整性或可用性）
- 所涉資料的型別，例如身份證號碼、財務資料、健康資料、密碼
- 數量，既包括資料主體的人數，也包括資料條目的數量
- 資料主體的身份狀況，例如兒童、殘障人士或弱勢群體
- 已發生或可能發生影響的嚴重程度，以及所採取制止措施的有效性
如果屬於公告所指的"無風險"情形，例如資料無法識別到個人，或者由於具備充分的技術措施（例如已適當加密且金鑰未洩露）而使資料處於無法使用的狀態，控制者必須能夠證明，並可能需要向該辦公室提交證明檔案供其審查。因此，在沒有記錄的情況下自行斷定"應該沒有風險"是有風險的。
第5步：決定是否通知，並及時通知
參見下一節。如果評估後需要通知，就按公告規定，將當時已有的詳情準備好。不必等到各方面資訊齊全才通知，因為公告使用的措辭是"在力所能及的範圍內"。
第6步：如屬駭客入侵或系統攻擊，應報案並聯系主管機關
不當訪問設有防護措施的系統或計算機資料，構成**《計算機犯罪法》**（第5條和第7條）規定的犯罪。公司因此可以以受害人身份報案，並附上日誌、時間線和專家報告。報案與 PDPA 下的義務是兩回事，兩者不能相互替代；委員會公告也指出，向 สคส.（個人資料保護委員會辦公室）作出通知，並不能免除與經營活動相關的其他法律義務。
第7步：與客戶溝通
參見下文"如何通知客戶"一節。
第8步：覆盤並消除根源
委員會公告規定，控制者須採取必要且適當的措施，以制止、應對、補救、恢復和防止事件再次發生，並審查安全措施。每次都應撰寫內部事件報告。
何時必須向 PDPC 報告，以及何時必須通知客戶
| 情形 | 法律義務 |
|---|---|
| 不存在可能影響個人權利與自由的風險 | 無須向 PDPC（個人資料保護委員會辦公室）報告，但必須能夠證明不存在風險 |
| 存在風險 | 應在可行範圍內，自知悉事件起 72 小時內儘快向 PDPC 報告 |
| 存在高風險 | 向 PDPC 報告，並通知受影響的個人資料主體，同時提供補救措施，且不得遲延 |
依據為《個人資料保護法》第 37 條第 (4) 項，以及委員會公告第 5 條至第 10 條。
向 PDPC 報告需要包含哪些內容 公告第 6 條規定，應以書面形式或通過該辦公室規定的電子方式報告，並在可行範圍內載明以下內容：
- 關於資料洩露事件性質與型別的簡要資訊，可說明資料主體的人數或記錄條數
- DPO 或公司指定負責聯絡的人員的姓名和聯絡方式
- 可能造成的影響
- 已採取或擬採取以防止、制止、糾正或補救的措施
實際操作中，每次報告前都應先在 PDPC 網站上核對提交渠道，因為提交方式由該辦公室規定。
如果超過 72 小時才報告 第 7 條規定，在存在不可避免的必要情形時，可請求該辦公室考慮免予處罰，例如必須先進行初步核查或先行防止、制止事件；但必須說明理由並儘快報告，最遲不得超過自知悉事件起 15 天。該辦公室日後可能要求補充說明。這屬於申請豁免，並非自動享有的權利，因此始終應按期限報告，事後再補充細節。
如何通知客戶、該說什麼、不該說什麼
當風險較高時，第10條要求發給資料主體的通知至少必須包含：事件性質的簡要說明、DPO（資料保護官）或協調人員的聯絡方式、可能對其造成的影響、補救途徑，以及對其可自行採取的措施的建議，例如修改密碼，或警惕電話和電子郵件詐騙。
如果無法逐一聯絡，第11條允許以群體通知或通過公共媒體、網路媒體進行一般性公告，但不得對資料主體造成額外損害。
溝通實踐指引（不屬於法律強制要求）
- 該說：已核實的事實、涉及哪類資料、公司已採取的措施、客戶應做的事，以及確實能聯絡上的渠道。
- 不該說：在核查結果出來前猜測原因或行為人；在沒有證據的情況下用“應該不會有什麼影響”之類措辭淡化嚴重性；在發給客戶的信中把責任推給服務商；或在評估責任之前就承諾賠償。
- 發給客戶的通知與向 สคส.（泰國個人資料保護委員會辦公室）報告的內容應保持一致。資訊互相矛盾會在事後帶來麻煩。
- 使用通俗語言，通過客戶信任的渠道傳送，並注意不要讓事件通知本身成為詐騙分子仿冒的渠道。
不通知的處罰是什麼
資料控制者若不遵守第37條——其中包括第(4)款規定的通知義務——須依據第83條被處以行政罰款不超過三百萬泰銖。這是上限，具體將根據每一事件的情節裁量。
請勿與某些資料中出現的五百萬泰銖上限混淆。該上限屬於第84條，涉及敏感資料與跨境資料傳輸，而非通知義務。但如果洩露的資料屬於敏感資料，例如健康資料，也可能隨之產生其他問題。
至於資料處理者無正當理由不遵守第40條的，同樣依據第86條被處以不超過三百萬泰銖的行政罰款。除罰款外，第77條還規定，控制者或處理者違反法律致使資料主體受損的，須承擔損害賠償，即使並非故意或過失，除非能證明法律規定的除外情形。總體概覽請見 2569年泰國企業PDPA法律更新
是否也需要向國家網路安全委員會辦公室報告
只有被監管機構認定為**關鍵資訊基礎設施（CII）**的公司，在其系統遭遇重大網路威脅時，才需要報告。《網路安全維護法》（佛曆2562年）第57條規定，須向國家網路安全委員會辦公室以及主管或監管機構報告。這是一項與 PDPA 相分離的義務，必須同時履行。
不屬於 CII 範疇的一般公司，沒有該條規定的此項義務；但處於設有專門監管機構的行業（例如金融或電信）的公司，應另行查閱該監管機構的規定。
前72小時檢查清單
- 記錄知悉事件的時間及來源，指定協調人
- 切斷異常訪問，更換密碼和金鑰
- 在清除或重新安裝系統之前，備份日誌與證據
- 通知服務提供商和資料處理者，並要求提供書面報告
- 確定資料類別、涉及人數以及資料主體群體
- 依據公告中的各項因素評估風險，並記錄理由
- 如存在風險，按現有資訊通知 สคส.（泰國個人資料保護委員會辦公室）；如屬高風險，準備致資料主體的通知文本
- 如遭駭客攻擊，報案並儲存相關檔案
- 核查是否屬於 CII（關鍵資訊基礎設施），或是否受專門監管機構管轄
- 編寫事件報告和整改計劃，包括修訂與資料處理者的合同
