สรุปเหตุการณ์ 5 กรณีสำคัญ จาก 8 หน่วยงาน ถูกลงโทษทางปกครอง PDPA รายละเอียดดังนี้

1. หน่วยงานรัฐถูกปรับ เหตุทำข้อมูลประชาชนรั่ว

     หน่วยงานของรัฐแห่งหนึ่งให้บริการผ่าน Web Application ซึ่งว่าจ้างบริษัทแห่งหนึ่งพัฒนาระบบ แต่ละเลยมาตรการรักษาความมั่นคงปลอดภัยของข้อมูลที่เหมาะสม ใช้รหัสผ่านอ่อนแอ ไม่มีการประเมินความเสี่ยง และไม่จัดทำข้อตกลง Data Processing Agreement (DPA) กับบริษัทพัฒนาระบบ

ผลคือ มีการเจาะระบบและนำข้อมูลประชาชนกว่า 200,000 รายไปขายใน Dark Web นำไปสู่การลงโทษปรับในครั้งนี้

โดยแบ่งการลงโทษออกเป็น 2 กรณี

1. หน่วยงานของรัฐ ในฐานะของผู้ควบคุมข้อมูลส่วนบุคคล (Data Controller) ถูกลงโทษปรับ 153,120 บาท

2. บริษัทผู้พัฒนาระบบ ในฐานะผู้ประมวลผลข้อมูลส่วนบุคคล (Data Processor) ถูกลงโทษปรับ 153,120 บาท

2. โรงพยาบาลเอกชนทำข้อมูลเวชระเบียนหลุด เกิดเป็นกระแสถุงขนมโตเกียว

     โรงพยาบาลเอกชนขนาดใหญ่ ในฐานะผู้ควบคุมข้อมูลส่วนบุคคล (DC) ทำข้อมูลเวชระเบียนผู้ป่วยรั่วไหล แล้วเอกสารข้อมูลดังกล่าวถูกนำไปเป็นซองขนมโตเกียว เกิดเป็นข่าวในสื่อสังคมออนไลน์ 

ตรวจสอบพบว่า โรงพยาบาลดังกล่าวทำสัญญากับกิจการขนาดเล็กซึ่งมีลักษณะเป็นธุรกิจครอบครัวให้ทำหน้าที่ทำลายเอกสารเวชระเบียน แต่ไม่ได้มีการติดตาม ควบคุม หรือตรวจสอบกระบวนการให้เป็นไปตามมาตรฐานที่กำหนด ทำให้เอกสารเวชระเบียนกว่า 1,000 ฉบับ รั่วไหล

ในส่วนของเอกชน (บุคคลธรรมดา) ผู้รับจ้างทำลายเอกสาร ก็ได้นำเวชระเบียนผู้ป่วยที่ได้รับจากโรงพยาบาลกลับไปพักไว้ที่บ้านของตนเอง โดยไม่ได้ดำเนินการตามขั้นตอนที่ตกลงไว้ และไม่ได้แจ้งเหตุการรั่วไหลให้โรงพยาบาลทราบ จึงเข้าข่ายเป็นการไม่ปฏิบัติตามหน้าที่ของผู้ประมวลผลข้อมูลส่วนบุคคล นำไปสู่บทลงโทษครั้งนี้

โดยแบ่งการลงโทษออกเป็น 2 กรณี

1. โรงพยาบาล ในฐานะของผู้ควบคุมข้อมูลส่วนบุคคล (Data Controller) ถูกลงโทษปรับ 1,210,000 บาท

2. บุคคลธรรมดา ในฐานะผู้ประมวลผลข้อมูลส่วนบุคคล (Data Processor) ถูกลงโทษปรับ 16,940 บาท

3. บริษัทขายสินค้า IT ชื่อดัง ทำข้อมูลรั่ว ถูกร้องเรียนอันนำไปสู่โทษปรับกว่า 7 ล้านบาท

     บริษัทขายอุปกรณ์คอมพิวเตอร์ ไม่จัดให้มีมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสม ไม่แจ้งเหตุการละเมิดข้อมูลส่วนบุคคลแก่หน่วยงานกำกับดูแลหรือ สคส. ซึ่งเป็นหน่วยงานที่มีการเก็บรวบรวมข้อมูลส่วนบุคคลอย่างสม่ำเสมอด้วยเหตุที่มีข้อมูลส่วนบุคคลจำนวนมากแต่ไม่จัดให้มีเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล รวม 3 ข้อหา ถูกลงโทษปรับรวม 7,000,000 บาท

4. บริษัทขายเครื่องสำอาง ทำข้อมูลรั่ว นำไปสู่กระบวนการแก๊งคอลเซ็นเตอร์ และไม่มีการเยียวยา

     บริษัทขายเครื่องสำอาง ไม่จัดให้มีมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสม และไม่แจ้งเหตุการละเมิดของมูลส่วนบุคคลแก่หน่วยงานกำกับดูแลหรือ สคส. รวม 2 ข้อหา ถูกลงโทษปรับรวม 2.500,000 บาท

5. บริษัทขายของเล่นสะสมระดับโลก ถูก Hacker เจาะระบบการจองสินค้า

     บริษัทขายของเล่นสะสม ว่าจ้างบริษัทผู้พัฒนาระบบเพื่อใช้สำหรับจองสินค้า แต่ระบบการจองดังกล่าวถูก Hacker เจาะระบบ ตรวจสอบพบว่า ไม่มีมาตรการรักษาความมั่นคงปลอดภัยของระบบสารสนเทศอย่างเหมาะสม แต่มีการเยียวยาผู้เสียหายซึ่งเป็นเจ้าของข้อมูลส่วนบุคคลโดยเร็ว

ส่วนของบริษัทผู้พัฒนาระบบ ซึ่งรับหน้าที่ดูแลระบบการจองของบริษัทขายของเล่นสะสมดังกล่าว ตรวจสอบพบว่า ไม่มีมาตรการรักษาความมั่นคงปลอดภัยของระบบสารสนเทศอย่างเหมาะสม และไม่มีการตอบสนองที่รวดเร็ว และไม่มีการเยียวยาต่อผู้เสียหาย อันนำไปสู่บทลงโทษครั้งนี้

โดยแบ่งการลงโทษออกเป็น 2 กรณี

1. บริษัทขายของเล่นสะสม ในฐานะของผู้ควบคุมข้อมูลส่วนบุคคล (Data Controller) ถูกลงโทษปรับ 500,000 บาท

2. บริษัทผู้พัฒนาระบบ ในฐานะผู้ประมวลผลข้อมูลส่วนบุคคล (Data Processor) ถูกลงโทษปรับ 3,000,000 บาท