本文适合谁阅读，核心要点是什么
本文写给刚刚得知客户数据泄露的公司所有者或管理者——无论是遭到黑客攻击、员工把文件发错人、设备丢失，还是外部服务商的系统出了问题。
核心要点有 3 条
- 时钟自得知事件之时起开始走。 数据控制者必须不迟延地、在可行范围内自得知事件起 72 小时内通知个人数据保护委员会办公室（สคส.），除非对个人的权利和自由不构成风险
- 必须先评估风险，再决定是否报告，并记录理由
- 不要为了尽快了事而删除或清空系统。 证据是评估风险、并证明公司已完整履行职责的依据
关于事发前如何搭建 PDPA 体系，参见为业务做好 PDPA 的检查清单；本文只聚焦事件已经发生之后的阶段。
数据控制者与数据处理者有何区别，谁必须报告
| 角色 | 是谁 | 数据泄露时的义务 |
|---|---|---|
| 数据控制者 | 决定数据使用目的与方式的人，例如自行收集客户数据的公司 | 评估风险、通知 สคส.（泰国个人数据保护委员会办公室）、通知数据主体并处置事件（第 37(4) 条） |
| 数据处理者 | 依据控制者的指令或代表控制者处理数据的人，例如云服务商、CRM 系统、薪酬会计服务公司 | 通知数据控制者事件情况，并落实安全措施（第 40 条） |
企业主常犯的错误，是以为数据放在服务商的系统上就得由服务商自己处理。事实是：向 สคส. 和数据主体报告的义务，仍然属于作为控制者的公司，即便起因出在服务商一方。
委员会的公告还规定，如果控制者使用处理者，必须在合同中约定：处理者应自其知悉事件起 72 小时内，毫不迟延地通知控制者。如果你的合同里还没有这一条，应在这次事件处理完毕后补上。
发现数据泄露后首先要做的步骤有哪些
以下顺序是我们建议的操作指引，依据各条所列的法定义务。
第1步：指定负责人并开始记录时间
指定一名协调人，并立即记录谁在何时、通过何种渠道得知此事，因为"知悉事件"的时间是通知期限的起算点。委员会公告认为，控制者从任何人那里收到初步信息时即须进行核查，无论该信息是以口头、书面还是电子邮件形式提供。
第2步：止损，但保留证据
应当做的事：
- 撤销被使用的账户权限，更换密码和 API 密钥，将可疑的设备或系统从网络中隔离
- 在系统被覆盖之前，备份日志，包括服务器、应用程序、防火墙和电子邮件的日志
- 截屏，保存相关邮件或信息，并记录下谁对系统做过什么操作
不应当做的事包括：重装系统加以覆盖、删除被修改过的文件，或在未先备份取证数据的情况下匆忙关闭所有服务。委员会公告规定，控制者在发现高风险时，须在力所能及的范围内立即采取预防、制止或补救措施。保存证据与这一义务并不冲突。
第3步：联系相关服务提供商和合作方
立即通知云服务商、主机托管商、CRM 系统或系统开发商，要求他们以书面形式提供日志和事件报告。至少要问清楚：哪类数据、属于谁、涉及多少人、泄露发生在什么时间段，以及漏洞是否已经修复。如果聘有网络安全咨询公司，应在这一步就请他们介入。至于网络安全保险（如有），应及时阅读事故通知条款，因为有些保单规定必须在聘请专家之前先通知保险公司。
第4步：评估对数据主体的风险
委员会公告第12条要求控制者考虑以下因素：
- 违规的性质和类型（数据的保密性、完整性或可用性）
- 所涉数据的类型，例如身份证号码、财务数据、健康数据、密码
- 数量，既包括数据主体的人数，也包括数据条目的数量
- 数据主体的身份状况，例如儿童、残障人士或弱势群体
- 已发生或可能发生影响的严重程度，以及所采取制止措施的有效性
如果属于公告所指的"无风险"情形，例如数据无法识别到个人，或者由于具备充分的技术措施（例如已适当加密且密钥未泄露）而使数据处于无法使用的状态，控制者必须能够证明，并可能需要向该办公室提交证明文件供其审查。因此，在没有记录的情况下自行断定"应该没有风险"是有风险的。
第5步：决定是否通知，并及时通知
参见下一节。如果评估后需要通知，就按公告规定，将当时已有的详情准备好。不必等到各方面信息齐全才通知，因为公告使用的措辞是"在力所能及的范围内"。
第6步：如属黑客入侵或系统攻击，应报案并联系主管机关
不当访问设有防护措施的系统或计算机数据，构成**《计算机犯罪法》**（第5条和第7条）规定的犯罪。公司因此可以以受害人身份报案，并附上日志、时间线和专家报告。报案与 PDPA 下的义务是两回事，两者不能相互替代；委员会公告也指出，向 สคส.（个人数据保护委员会办公室）作出通知，并不能免除与经营活动相关的其他法律义务。
第7步：与客户沟通
参见下文"如何通知客户"一节。
第8步：复盘并消除根源
委员会公告规定，控制者须采取必要且适当的措施，以制止、应对、补救、恢复和防止事件再次发生，并审查安全措施。每次都应撰写内部事件报告。
何时必须向 PDPC 报告，以及何时必须通知客户
| 情形 | 法律义务 |
|---|---|
| 不存在可能影响个人权利与自由的风险 | 无须向 PDPC（个人数据保护委员会办公室）报告，但必须能够证明不存在风险 |
| 存在风险 | 应在可行范围内，自知悉事件起 72 小时内尽快向 PDPC 报告 |
| 存在高风险 | 向 PDPC 报告，并通知受影响的个人数据主体，同时提供补救措施，且不得迟延 |
依据为《个人数据保护法》第 37 条第 (4) 项，以及委员会公告第 5 条至第 10 条。
向 PDPC 报告需要包含哪些内容 公告第 6 条规定，应以书面形式或通过该办公室规定的电子方式报告，并在可行范围内载明以下内容：
- 关于数据泄露事件性质与类型的简要信息，可说明数据主体的人数或记录条数
- DPO 或公司指定负责联络的人员的姓名和联系方式
- 可能造成的影响
- 已采取或拟采取以防止、制止、纠正或补救的措施
实际操作中，每次报告前都应先在 PDPC 网站上核对提交渠道，因为提交方式由该办公室规定。
如果超过 72 小时才报告 第 7 条规定，在存在不可避免的必要情形时，可请求该办公室考虑免予处罚，例如必须先进行初步核查或先行防止、制止事件；但必须说明理由并尽快报告，最迟不得超过自知悉事件起 15 天。该办公室日后可能要求补充说明。这属于申请豁免，并非自动享有的权利，因此始终应按期限报告，事后再补充细节。
如何通知客户、该说什么、不该说什么
当风险较高时，第10条要求发给数据主体的通知至少必须包含：事件性质的简要说明、DPO（数据保护官）或协调人员的联系方式、可能对其造成的影响、补救途径，以及对其可自行采取的措施的建议，例如修改密码，或警惕电话和电子邮件诈骗。
如果无法逐一联系，第11条允许以群体通知或通过公共媒体、网络媒体进行一般性公告，但不得对数据主体造成额外损害。
沟通实践指引（不属于法律强制要求）
- 该说：已核实的事实、涉及哪类数据、公司已采取的措施、客户应做的事，以及确实能联系上的渠道。
- 不该说：在核查结果出来前猜测原因或行为人；在没有证据的情况下用“应该不会有什么影响”之类措辞淡化严重性；在发给客户的信中把责任推给服务商；或在评估责任之前就承诺赔偿。
- 发给客户的通知与向 สคส.（泰国个人数据保护委员会办公室）报告的内容应保持一致。信息互相矛盾会在事后带来麻烦。
- 使用通俗语言，通过客户信任的渠道发送，并注意不要让事件通知本身成为诈骗分子仿冒的渠道。
不通知的处罚是什么
数据控制者若不遵守第37条——其中包括第(4)款规定的通知义务——须依据第83条被处以行政罚款不超过三百万泰铢。这是上限，具体将根据每一事件的情节裁量。
请勿与某些资料中出现的五百万泰铢上限混淆。该上限属于第84条，涉及敏感数据与跨境数据传输，而非通知义务。但如果泄露的数据属于敏感数据，例如健康数据，也可能随之产生其他问题。
至于数据处理者无正当理由不遵守第40条的，同样依据第86条被处以不超过三百万泰铢的行政罚款。除罚款外，第77条还规定，控制者或处理者违反法律致使数据主体受损的，须承担损害赔偿，即使并非故意或过失，除非能证明法律规定的除外情形。总体概览请见 2569年泰国企业PDPA法律更新
是否也需要向国家网络安全委员会办公室报告
只有被监管机构认定为**关键信息基础设施（CII）**的公司，在其系统遭遇重大网络威胁时，才需要报告。《网络安全维护法》（佛历2562年）第57条规定，须向国家网络安全委员会办公室以及主管或监管机构报告。这是一项与 PDPA 相分离的义务，必须同时履行。
不属于 CII 范畴的一般公司，没有该条规定的此项义务；但处于设有专门监管机构的行业（例如金融或电信）的公司，应另行查阅该监管机构的规定。
前72小时检查清单
- 记录知悉事件的时间及来源，指定协调人
- 切断异常访问，更换密码和密钥
- 在清除或重新安装系统之前，备份日志与证据
- 通知服务提供商和数据处理者，并要求提供书面报告
- 确定数据类别、涉及人数以及数据主体群体
- 依据公告中的各项因素评估风险，并记录理由
- 如存在风险，按现有信息通知 สคส.（泰国个人数据保护委员会办公室）；如属高风险，准备致数据主体的通知文本
- 如遭黑客攻击，报案并保存相关文件
- 核查是否属于 CII（关键信息基础设施），或是否受专门监管机构管辖
- 编写事件报告和整改计划，包括修订与数据处理者的合同
