สรุปเนื้อหาสำคัญจาก ประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง หลักเกณฑ์และวิธีการในการแจ้งเหตุละเมิดข้อมูลส่วนบุคคล พ.ศ 2565

เมื่อวันที่ 15 ธันวาคม 2565 ที่ผ่านมา คณะกรรมการคุ้มครองส่วนบุคคลได้เผยแพร่ประกาศฉบับใหม่ที่มีเนื้อหาเกี่ยวกับวิธีการในการแจ้งเหตุละเมิดข้อมูลส่วนบุคคล โดยมีใจความสำคัญอยู่ที่รายละเอียดและขั้นตอนที่ Data Controller ต้องปฏิบัติเมื่อเกิดเหตุละเมิด รายละเอียดที่ต้องคำนึงในการประเมินความเสี่ยง และการแจ้งเหตุละเมิดข้อมูลส่วนบุคคลแก่เจ้าของข้อมูลส่วนบุคคล รวมถึงรายละเอียดอื่นๆ ที่เป็นประโยชน์ต่อผู้ควบคุมข้อมูลส่วนบุคคล พร้อมกันนี้คณะกรรมการคุ้มครองข้อมูลส่วนบุคคล ยังเผยแพร่ คู่มือแนวทางการประเมินความเสี่ยงและแจ้งเหตุการละเมิดข้อมูลส่วนบุคคล เวอร์ชั่น 1.0 เพื่อใช้เป็นแนวทางประกอบกับประกาศฉบับล่าสุดอีกด้วย

ประกาศนี้เกิดจากการบูรณาการระหว่าง ‌พ.ร.บ. คุ้มครองข้อมูลส่วนบุคคล มาตรา 16 (4) ที่กล่าวถึง หน้าที่และอำนาจของคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล ในการออกประกาศหรือระเบียบการเพื่อให้การดำเนินการเป็นไปตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล บวกกับเนื้อหาจากพ.ร.บ. คุ้มครองข้อมูลส่วนบุคคล มาตรา 37 (4) กล่าวถึง การแจ้งเหตุละเมิดข้อมูลส่วนบุคคลแก่สำนักงานฯ โดยไม่ชักช้า ภายใน 72 ชม. นับแต่ทราบเหตุเท่าที่จะสามารถกระทำได้ เว้นแต่เหตุละเมิดดังกล่าวไม่มีความเสี่ยงที่จะมีผลกระทบต่อสิทธิและเสรีภาพของบุคคล ฯลฯ

สรุปเนื้อหาสำคัญจาก ประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง หลักเกณฑ์และวิธีการในการแจ้งเหตุละเมิดข้อมูลส่วนบุคคล พ.ศ 2565

คำนิยาม

**‌”การละเมิดข้อมูลส่วนบุคคล” หมายถึง?การละเมิดมาตรการรักษาความมั่นคงปลอดภัยที่ทำให้เกิดการสูญหาย เข้าถึง ใช้ เปลี่ยนแปลง แก้ไข หรือเปิดเผยข้อมูลส่วนบุคคลโดยปราศจากอำนาจหรือโดยมิชอบ” **ไม่ว่าจะเกิดจากเจตนา ความจงใจ ความประมาทเลินเล่อ การกระทำโดยปราศจากอำนาจหรือโดยมิชอบ การกระทำความผิดเกี่ยวกับคอมพิวเตอร์ ภัยคุกคามทางไซเบอร์ ข้อผิดพลาดบกพร่องหรืออุบัติเหตุ หรือเหตุอื่นใด

‌จำแนกการละเมิดข้อมูลส่วนบุคคล เป็น 3 ประเภท ได้แก่

1. การละเมิดความลับของข้อมูลส่วนบุคคล (Confidentiality breach)
2. การละเมิดความถูกต้องครบถ้วนของข้อมูลส่วนบุคคล (Integrity breach)
3. การละเมิดความพร้อมใช้งานของข้อมูลส่วนบุคคล (Availability breach)

ขั้นตอนการปฏิบัติเมื่อ ‌Data Controller ได้รับแจ้งข้อมูลว่า มี หรือ น่าจะมี เหตุละเมิดข้อมูลส่วนบุคคล

• ประเมินความน่าเชื่อถือของข้อมูล และตรวจสอบข้อเท็จจริงเกี่ยวกับการละเมิด โดยตรวจสอบมาตรการรักษาความมั่นคงปลอดภัยของข้อมูลส่วนบุคคล รวมถึงการประเมินความเสี่ยงจากการละเมิดข้อมูลส่วนบุคคล

• หากประเมินความเสี่ยงแล้วพบว่า การละเมิดดังกล่าวมีความเสี่ยงสูงที่จะมีผลกระทบต่อสิทธิและเสรีภาพของบุคคล ให้ดำเนินการป้องกัน ระงับ หรือแก้ไขเพื่อให้การละเมิดดังกล่าวสิ้นสุด หรือไม่ให้การละเมิดส่งผลกระทบเพิ่มเติม โดยทันทีเท่าที่จะทำได้

• เมื่อพิจารณาแล้วเห็นว่า มีเหตุอันควรเชื่อว่ามีการละเมิดเกิดขึ้นจริง ให้แจ้งเหตุดังกล่าวแก่ PDPC (ภายใน 72 ชั่วโมง) นับแต่พบเหตุละเมิด เว้นแต่เป็นกรณีไม่มีความเสี่ยง

• กรณีมีความเสี่ยงสูง ต้องแจ้งเหตุละเมิดให้เจ้าของข้อมูลส่วนบุคคลทราบ พร้อมกับแนวทางการเยียวยา (โดยไม่ชักช้า)

• ดำเนินการตามมาตรการที่จำเป็น เหมาะสม เพื่อระงับ ตอบสนอง แก้ไขเหตุละเมิด และป้องกันเหตุละเมิด และผลกระทบที่อาจเกิดในลักษณะเดียวกันในอนาคต รวมถึงการทบทวน security measures ให้เหมาะสม โดยคำนึงถึงระดับความเสี่ยง บริบท สภาพแวดล้อม ลักษณะการประมวลผลข้อมูลส่วนบุคคล

2 ข้อยกเว้น ที่ระบุไว้ใน ข้อยกเว้น กรณีที่ไม่ต้องแจ้งเหตุละเมิดข้อมูลส่วนบุคคล

• ‌ข้อยกเว้น การแจ้งเหตุละเมิดข้อมูลส่วนบุคคลล่าช้ากว่า 72 ชั่วโมง ‌ [indent data=1]หากมีเหตุจำเป็น ทำให้แจ้งเหตุละเมิดล่าช้ากว่า 72 ชั่วโมง สามารถขอให้ PDPC พิจารณายกเว้นความผิดที่แจ้งล่าช้าได้ โดยต้องชี้แจงถึงเหตุผลความจำเป็น และรายละเอียดที่เกี่ยวข้อง เพื่อแสดงให้เห็นว่ามีเหตุจำเป็น โดยต้องแจ้งไม่เกิน 15 วันนับแต่ทราบเหตุ ทั้งนี้ การแจ้งเหตุละเมิดแก่ PDPC ไม่ยกเว้นหน้าที่หรือความรับผิดของ Data Controller[/indent]

• ‌ข้อยกเว้น กรณีที่ไม่ต้องแจ้งเหตุละเมิดข้อมูลส่วนบุคคล [indent data=1]Data Controller อาจไม่ต้องแจ้งเหตุละเมิดต่อ PDPC หากพิสูจน์ได้ว่าเหตุละเมิดดังกล่าว ไม่มีความเสี่ยงที่จะมีผลกระทบต่อสิทธิเสรีภาพของบุคคล ซึ่งรวมถึงเหตุละเมิดข้อมูล เกิดกับข้อมูลที่ไม่สามารถระบุตัวบุคคลได้ หรือข้อมูลดังกล่าวไม่อยู่ในสภาพที่ใช้งานได้ เนื่องจากมี security measures ที่เพียงพอ[/indent]

‌ปัจจัยที่ Data Controller ต้องพิจารณาในการประเมินความเสี่ยงสำหรับการละเมิดข้อมูลส่วนบุคคล

• ลักษณะและประเภทของการละเมิด

• ลักษณะและประเภทของข้อมูลส่วนบุคคลที่เกี่ยวข้องกับเหตุละเมิด

• ปริมาณของข้อมูลที่เกี่ยวข้องกับการละเมิด โดยพิจารณาจำนวนข้อมูล จำนวนรายการที่เกี่ยวข้อง

• ลักษณะ ประเภท สถานะของ Data Subject (พิจารณาว่าเป็นกลุ่มเปราะบางหรือไม่)

• ความร้ายแรงของผลกระทบ และความเสียหายที่จะเกิดขึ้นกับ Data Subject และประสิทธิภาพของมาตรการป้องกัน ระงับ แก้ไขเหตุละเมิด หรือการเยียวยาความเสียหา

• ผลกระทบในวงกว้างต่อธุรกิจ หรือการดำเนินการของ Data Controller หรือสาธารณะ

• ลักษณะของระบบเก็บข้อมูลที่เกี่ยวกับการละเมิด และ security measures ของ Data Controller

• สถานะทางกฎหมาย และขนาดกิจการของ Data Controller

‌รายละเอียดการแจ้งเหตุละเมิดข้อมูลส่วนบุคคล ต่อ คณะกรรมการคุ้มครองข้อมูลส่วนบุคคล

• ลักษณะการละเมิดข้อมูลส่วนบุคคล โดยระบุจำนวนเจ้าของข้อมูล จำนวนรายการของข้อมูลส่วนบุคคล ที่เกี่ยวข้องกับการละเมิด

• ช่องทางติดต่อ DPO หรือบุคคลที่ได้รับมอบหมายให้ประสานงาน

• ข้อมูลเกี่ยวกับผลกระทบที่อาจเกิดขึ้นจากการละเมิด

• ข้อมูลเกี่ยวกับมาตรการที่จะป้องกัน ระงับเหตุละเมิด หรือเยียวยาความเสียหาย

‌การแจ้งเหตุละเมิดข้อมูลส่วนบุคคลแก่เจ้าของข้อมูลส่วนบุคคล (Data Subject)

หาก Data Controller ประเมินแล้วพบว่าการละเมิดที่เกิดขึ้น ‌มีความเสี่ยงสูงที่จะมีผลกระทบต่อสิทธิเสรีภาพของบุคคล ให้แจ้งเหตุละเมิดแก่เจ้าของข้อมูลที่ได้รับผลกระทบ (โดยไม่ชักช้า) โดยต้องมีรายละเอียดดังนี้

• ‌ข้อมูลโดยสังเขปเกี่ยวกับลักษณะของการละเมิดข้อมูลส่วนบุคคล

• ช่องทางติดต่อ DPO หรือบุคคลที่ได้รับมอบหมายให้ประสานงาน

• ผลกระทบที่อาจเกิดขึ้น

• แนวทางเยียวยาความเสียหาย มาตรการที่จะป้องกัน ระงับ แก้ไขเหตุละเมิด รวมถึงข้อแนะนำเกี่ยวกับมาตรการที่ Data Subject อาจดำเนินการได้ เพื่อป้องกัน ระงับ แก้ไข เยียวยาความเสียหาย

ศึกษา ประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง หลักเกณฑ์และวิธีการในการแจ้งเหตุละเมิดข้อมูลส่วนบุคคล พ.ศ 2565 ฉบับเต็มได้ที่ https://www.mdes.go.th/uploads/tinymce/source/สคส/ประกาศหลักเกณฑ์และวิธีการในการแจ้งเหตุการละเมิดข้อมูลส่วนบุคคล 2565.pdf

แหล่งอ้างอิง: กระทรวงดิจิทัลเพื่อเศรษฐกิจและสังคม. (2562). พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ 2562. สืบค้นเมื่อ 28 ธันวาคม 2565 จาก https://www.mdes.go.th/uploads/tinymce/source/สคส/ประกาศหลักเกณฑ์และวิธีการในการแจ้งเหตุการละเมิดข้อมูลส่วนบุคคล 2565.pdf