เมื่อข้อมูลส่วนบุคคลถูกละเมิด ไม่ว่าจะด้วยการแฮก การจัดเก็บผิดพลาด หรือการเปิดเผยโดยไม่ได้ตั้งใจ องค์กรจะต้องตอบสนองอย่างรวดเร็ว รอบคอบ และมีระบบ PDPA Thailand สรุปมาให้แล้วจากงานเสวนาออนไลน์ PDPA GURU ถอดบทเรียน การประเมินความเสี่ยง (Risk Assessment) หลังเกิด Data Breach องค์กรต้องเตรียมตัวอย่างไร? โดย PDPA Thailand และ DBC Group ซึ่งมีผู้เชี่ยวชาญ 4 ท่านมาร่วมถ่ายทอดความรู้และประสบการณ์  ในการเสวนาเกิดอะไรขึ้นบ้าง? มาติดตามกันครับ..

ความหมายของ “การละเมิดข้อมูล” ไม่ได้แปลว่า “ถูกแฮก” เท่านั้น

การละเมิดข้อมูลส่วนบุคคล (Data Breach) ตามกฎหมาย PDPA ไม่ได้จำกัดแค่การโดนเจาะระบบหรือข้อมูลรั่วไหลเท่านั้น แต่รวมถึงการเข้าถึงข้อมูลโดยไม่ได้รับอนุญาตด้วย เช่น:

• พนักงานที่ไม่เกี่ยวข้องเปิดดูข้อมูลเวชระเบียน
  

• ข้อมูลถูกเปลี่ยนแปลงโดยไม่ได้รับอนุญาต
  

• ระบบล่ม ทำให้ไม่สามารถใช้งานข้อมูลได้
  
  

ประเภทการละเมิดแบ่งออกเป็น 3 ด้านหลัก:

• • Confidentiality: ความลับรั่วไหล
    

  • Integrity: ข้อมูลถูกแก้ไข
    

  • Availability: ข้อมูลไม่พร้อมใช้งาน
    

“เพียงแค่มีด้านใดด้านหนึ่งเกิดขึ้น ก็ถือว่าเป็นการละเมิดข้อมูลตามกฎหมาย” 

กฎหมายกำหนดให้ประเมินความเสี่ยงและแจ้งภายใน 72 ชั่วโมง

หากเกิดเหตุการณ์ละเมิดข้อมูล องค์กรในฐานะ “ผู้ควบคุมข้อมูล” (Data Controller) มีหน้าที่ต้องประเมินความเสี่ยง และแจ้งให้สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (PDPC) ทราบภายใน 72 ชั่วโมง หากมีความเสี่ยงกระทบสิทธิเสรีภาพของเจ้าของข้อมูล

ปัจจัยในการประเมินความเสี่ยง

การประเมินต้องพิจารณาจาก:

• ลักษณะของเหตุการณ์ (เช่น ถูกแฮก vs ระบบล่ม)

• ประเภทข้อมูล (ข้อมูลสุขภาพ, ข้อมูลทางการเงิน = เสี่ยงสูง)

• จำนวนข้อมูลที่เกี่ยวข้อง (1 ราย vs 100,000 ราย)

• กลุ่มเป้าหมาย (เด็ก, ผู้สูงอายุ ฯลฯ)

• มาตรการป้องกันที่องค์กรมีอยู่เดิม

• มองจากมุมของเจ้าของข้อมูลก่อนเสมอ ไม่ใช่แค่ความเสียหายขององค์กร
  

ขั้นตอนปฏิบัติเมื่อเกิดเหตุการณ์

1. เตรียมพร้อม (Preparation)
    – ซ้อมรับมือล่วงหน้า เช่น ฝึกเหตุการณ์จำลอง
   

2. ตรวจจับเหตุ (Detection)
    – ใช้ระบบตรวจสอบเช่น SIEM, DLP
   

3. จำกัดวงความเสียหาย (Containment)
    – แยกระบบ/เครื่องที่ได้รับผลกระทบ ห้ามปิดเครื่องโดยพลการ
   

4. เก็บหลักฐาน (Preservation)
    – ไม่ลบ Log หรือทำให้ข้อมูลหาย
   

5. แก้ไขและกู้คืน (Recovery)
    – ฟื้นฟูระบบกลับมาใช้งาน พร้อมจัดการผลกระทบ
   

6. สื่อสารวิกฤต (Crisis Communication)
    – มีแผนการสื่อสารกับทั้งภายในและภายนอก
   

การลงทุนด้านความปลอดภัย ไม่จำเป็นต้องแพง แต่ต้องมี

• องค์กรขนาดเล็กก็สามารถเริ่มต้นจากมาตรการพื้นฐาน เช่น:
  

  • การจำกัดสิทธิ์การเข้าถึง
    

  • การใช้รหัสผ่านที่ปลอดภัย
    

  • การเข้ารหัสข้อมูล
    
    

ต้นทุนในการป้องกันมักถูกกว่าค่าปรับหรือความเสียหายจากเหตุการณ์จริง

• บางประเทศมีการเปิดเผยชื่อองค์กรที่ถูกปรับ (Name and Shame) ซึ่งอาจกระทบชื่อเสียงมากกว่าค่าปรับเสียอีก
  
  

การแจ้งเจ้าของข้อมูล: ทำอย่างไรให้โปร่งใสและน่าเชื่อถือ

สิ่งที่ควรแจ้ง:

• รายละเอียดเหตุการณ์
  

• ผลกระทบที่อาจเกิดขึ้น
  

• ช่องทางติดต่อ
  

• แนวทางการเยียวยา
  
  

หลีกเลี่ยง:

• การพูดโทษฝ่ายอื่น
  

• การใช้ศัพท์เทคนิคที่เข้าใจยาก
  

• การเปิดเผยข้อมูลของผู้อื่นโดยไม่จำเป็น
  
  

แล้วถ้าใช้ Cloud หรือ SaaS ใครรับผิดชอบ?

• องค์กรยังคงต้องรับผิดชอบ แม้ใช้บริการจากภายนอก
  

• ควรทำ Data Processing Agreement (DPA) กับผู้ให้บริการ
  

• ผู้ให้บริการต้องแจ้งเหตุอย่างรวดเร็ว และมี SLA ชัดเจน
  

• ต้องประเมินความเสี่ยงทั้งใน ซัพพลายเชน ไม่ใช่แค่ในองค์กร
  
  

การบังคับใช้กฎหมาย: ไม่ต้องรอ “ผู้เสียหาย” ร้องเรียน

• PDPC สามารถดำเนินการตรวจสอบได้ทันที หากพบข้อมูลรั่วในที่สาธารณะ
  

• มีบทลงโทษทั้งทางปกครอง, แพ่ง (สามารถฟ้องแบบกลุ่มได้), และอาญา
  
  

ข้อเสนอแนะจากผู้เชี่ยวชาญ

• สร้าง Template และ Guideline สำหรับใช้ในองค์กร
  

• อบรม DPO อย่างจริงจัง ไม่แต่งตั้งเพียงเพื่อให้ครบตามกฎหมาย
  

• เข้าร่วม Community PDPA เพื่อแลกเปลี่ยนความรู้
  

• ลงทุนใน 3 ด้าน:
   People (คนเก่ง), Process (กระบวนการดี), Technology (เครื่องมือเหมาะสม)
  

• เปลี่ยนมุมมอง: อย่าคิดว่า “ไม่โดนหรอก” ให้คิดว่า “วันนึงต้องโดนแน่” แล้ววางแผนรับมือไว้ล่วงหน้าดีกว่า
  
  

สรุป

การจัดการเหตุละเมิดข้อมูลส่วนบุคคลไม่ใช่แค่การทำตามกฎหมาย PDPA แต่คือการรักษาความน่าเชื่อถือขององค์กรในสายตาลูกค้าและสังคม
การเตรียมพร้อมที่ดี ทั้งในด้านบุคลากร กระบวนการ และเทคโนโลยี จะช่วยให้องค์กรรับมือได้อย่างมืออาชีพเมื่อเหตุการณ์เกิดขึ้นจริง