"72 ชั่วโมง" กรอบเวลาการจัดการเหตุการณ์ข้อมูลส่วนบุคคลรั่วไหลภายใต้กฎหมาย PDPA/Privacy คืออะไร?

16 ต.ค.

ยาว 1 นาที

ประเด็นสำคัญ

PDPA บังคับให้ต้องแจ้งเหตุต่อสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (สคส.) โดยไม่ช้า และหากเป็นไปได้ควรดำเนินการภายใน 72 ชั่วโมงนับแต่ได้รับรู้ถึงเหตุการณ์ เว้นแต่จะประเมินแล้วว่าไม่มีความเสี่ยง
หากเป็นเหตุละเมิดที่มีความเสี่ยงสูง จะต้องแจ้งให้เจ้าของข้อมูลที่ได้รับผลกระทบทราบ พร้อมทั้งระบุมาตรการเยียวยาแก้ไขด้วย
ห้ามรอจนกว่าจะสืบสวนเสร็จสิ้นสมบูรณ์แล้วจึงค่อยเริ่มกระบวนการตอบสนอง
บันทึกรายละเอียดลำดับเวลา (Timeline) และเหตุผลเบื้องหลังทุกการตัดสินใจเกี่ยวกับแจ้งหรือไม่แจ้งเหตุไว้เป็นลายลักษณ์อักษร
จัดทำแผนรับมือและนำมาฝึกซ้อมจริง โดยทีมคุ้มครองข้อมูลส่วนบุคคล ฝ่ายกฎหมาย และทีมสื่อสารองค์กรต้องทำงานร่วมกันอย่างใกล้ชิด

สัญญาแรกเมื่อมีสิ่งผิดปกติด้าน Privacy มันมักจะเริ่มต้นด้วยสิ่งเล็ก ๆ เช่น ลูกค้าโทรมาถามว่าทำไมถึงได้รับอีเมลแปลก ๆ ที่มีการระบุหมายเลขคำสั่งซื้อของพวกเขา พนักงานคนหนึ่งสังเกตุเห็นว่าโฟลเดอร์ที่แชร์ไว้ถูกตั้งค่าเปิดสาธารณะให้ใครก็ตามที่มีลิงก์เข้าถึงได้ หรือซัพพลายเออร์ส่งข้อความแจ้งว่าตรวจพบกิจกรรมน่าสงสัย

ท่ามมกลางจุดเริ่มต้นของข้อความแรกเหล่านั้น คือจุดเริ่มต้นของข้อผูกพันทางกฎหมาย เพราะภายใต้กฎหมาย PDPA นาฬิกาจะเริ่มนับถอยหลังทันทีที่องค์กรตระหนักหรือรับรู้ถึงเหตุการละเมิดข้อมูลส่วนส่วนบุคคล

สิ่งที่กฎหมายบังคับใช้

ภายใต้กฎหมาย PDPA เมื่อเกิดเหตุละเมิดข้อมูลส่วนบุคคลขึ้น ผู้ควบคุมข้อมูลส่วนบุคคลจะต้องแจ้งต่อสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (สคส.) โดยไม่ช้า และหากเป็นไปได้ควรดำเนินการภายใน 72 ชั่วโมงนับแต่แรกที่ได้รับรู้ถึงเหตุการณ์ เว้นแต่การละเมิดนั้นจะไม่มีความเสี่ยงที่จะมีผลกระทบต่อสิทธิและเสรีภาพของบุคคล

หากการละเมิดนั้นมีแนวโน้มที่จะก่อให้เกิดความเสี่ยงสูง ผู้ควบคุมข้อมูลส่วนบุคคลจะต้องแจ้งให้บุคคลที่ได้รับผลกระทบทราบโดยไม่ช้า พร้อมทั้งอธิบายมาตรการเยียวยาแก้ไขด้วย ทั้งนี้ สคส. ได้ออกประกาศโดยละเอียดเพื่อระบุถึงสิ่งที่ต้งมีในรายงานและวิธีประเมินความเสี่ยงดังกล่าว

สำหรับผู้ประมวลผลข้อมูลส่วนบุคคล มีหน้าที่ต้องแจ้งเหตุการละเมิดให้ผู้ควบคุมข้อมูลส่วนบุคคลทราบ ซึ่งในสัญญาควรมีการระบุระยะเวลาแจ้งเตือนไว้อย่างชัดเจน นอกจากนี้ กฎหมาย GDPR ก็ใช้ระยะเวลา 72 ชั่วโมง ในการแจ้งต่อหน่วยงานกำกับดูแลในลักษณะเดียวกัน ดังนั้น องค์กรธุรกิจระหว่างประเทสควรเตรียมพร้อมรับมือกับการประเมินควบคู่กันไปทังสองระบบ

สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (สคส.) แสดงให้เห็นแล้วว่าพวกเขาจริงจังกับการไม่แจ้งเหตุละเมิด โดยมองว่าเป็นความผิดตัวเองในหลาย ๆ คดีการบังคับใช้กฎหมาย ซึ่งหมายความว่า วิธีที่บริษัทตอบสนองในช่วงไม่กี่วันแรกมีความสำคัญมากพอ ๆ กับตัวเหตุการณ์ที่เกิดขึ้นเลยทีเดียว

ชั่วโมงที่ศูนย์ (Hour Zero) อะไรคือสิ่งที่ถือว่า “รับรู้” แล้ว

บางองค์กรมักจะเข้าใจผิดว่านาฬิกาจะเริ่มนับถอยหลังต่อเมื่อพิสูจน์หลักฐานทางดิจิทัล (Forensic) อย่างถี่ถ้วนเสร็จสิ้นแล้วเท่านั้น ซึ่งไม่เป็นความจริง โดยทั่วไปแล้ว "การรับรู้" เกิดขึ้นเมื่อองค์กรมีความมั่นใจในระดับที่สมเหตุสมผลว่าเกิดเหตุการณ์ความไม่ปลอดภัยที่กระทบต่อข้อมูลส่วนบุคคลขึ้น การรอให้ได้ข้อมูลที่สมบูรณ์แบบร้อยเปอร์เซ็นต์จึงเป็นข้อผิดพลาด

แนวทางปฏิบัติจริงคือ ให้เริ่มกระบวนการภายในทันทีที่ได้รับรายงานที่มีน้ำหนักน่าเชื่อถือ พร้อมทั้งบันทึก วัน เวลา และวิธีการที่บริษัทได้รับรู้ถึงเหตุการณ์นั้นไว้เป็นหลักฐาน แล้วจึงทำการสืบสวนควบคู่ไปพร้อมกับการดำเนินงานตามขั้นตอนต่างๆ

72 ชั่วโมง หรือ "สามวันแรก"

ในช่วงชั่วโมงแรกๆ ต้องควบคุมและจำกัดความเสียหายของเหตุการณ์ก่อน เช่น ระงับบัญชีผู้ใช้ที่ถูกแฮกหรือหลุดรอด ปิดช่องทางการเข้าถึงที่เปิดรั่วไว้ เก็บรักษาบันทึกระบบ (Logs) และพยานหลักฐาน ตลอดจนดึงผู้ที่มีอำนาจและหน้าที่รับผิดชอบเข้ามาจัดการ ได้แก่ ทีม IT หรือ Security, ผู้ดูแลด้านความเป็นส่วนตัวหรือ DPO, ที่ปรึกษากฎหมาย และทีมสื่อสารองค์กร พร้อมทั้งมอบหมายให้คนหนึ่งเป็นผู้ประสานงานหลัก และอีกคนหนึ่งเป็นผู้บันทึก ลำดับเวลา (Timeline) ของการตัดสินใจทั้งหมดไว้เป็นลายลักษณ์อักษร

ในวันถัดมา ให้ประเมินสถานการณ์ว่าเกิดอะไรขึ้น เช่น ระบบและชุดข้อมูลใดบ้างที่ได้รับผลกระทบ เป็นข้อมูลของใคร และมีข้อมูลอ่อนไหว (Sensitive Data) เช่น ข้อมูลสุขภาพ หรือเอกสารยืนยันตัวตน รวมอยู่ด้วยหรือไม่ รวมถึงข้อมูลเหล่านั้นได้รับการเข้ารหัส (Encryption) ไว้หรือไม่ จากนั้นจึงประเมินความเสี่ยงที่มีต่อเจ้าของข้อมูล ซึ่งการประเมินความเสี่ยงนี้ต้องอาศัยการใช้วิจารณญาณที่รอบคอบ และควรรวบรวมข้อสรุปไว้พร้อมกับเหตุผลประกอบเสมอ ซึ่งรวมถึงการลงบันทึกเหตุผลในกรณีที่มีข้อสรุปว่า "ไม่ต้องแจ้งเหตุ" ด้วยเช่นกัน

ภายใน 72 ชั่วโมง หากประเมินแล้วพบว่าจำเป็นต้องแจ้งเหตุ ให้ยื่นรายงานพร้อมรายละเอียดตามที่กฎหมายกำหนดต่อสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (สคส.) และหากความเสี่ยงอยู่ในระดับสูง ให้เตรียมจัดทำหนังสือแจ้งเตือนไปยังเจ้าของข้อมูลรายบุคคลทันที ทั้งนี้ หากยังไม่ทราบรายละเอียดครบถ้วนทุกประการ ให้รายงานข้อมูลเท่าที่มี ณ ขณะนั้นไปก่อน แล้วจึงทยอยส่งข้อมูลอัปเดตตามไปภายหลัง เพราะการรายงานที่รวดเร็ว ตรงไปตรงมา แม้จะยังไม่สมบูรณ์ ย่อมดีกว่าการรายงานที่ล่าช้าแต่แต่งเติมจนสมบูรณ์แบบ

การสื่อสารกับผู้ได้รับผลกระทบ

การแจ้งเตือนไปยังเจ้าของข้อมูลส่วนบุคคลควรใช้ภาษาที่เข้าใจง่ายและนำไปปฏิบัติได้จริง โดยระบุอย่างชัดเจนว่าเกิดอะไรขึ้น ข้อมูลใดบ้างที่ได้รับผลกระทบ บริษัทกำลังดำเนินการอย่างไรเพื่อแก้ไขปัญหา และเจ้าของข้อมูลสามารถทำอย่างไรได้บ้างเพื่อปกป้องตนเอง เช่น การเปลี่ยนรหัสผ่าน หรือการคอยสังเกตข้อความที่น่าสงสัย นอกจากนี้ ควรกำหนดช่องทางการติดต่ออย่างชัดเจน

จุดนี้คือจุดที่การสื่อสารในภาวะวิกฤตและกฎหมายคุ้มครองข้อมูลส่วนบุคคลจะต้องทำงานร่วมกัน ถ้อยแถลงที่ถูกต้องตามกฎหมายแต่ดูเหินห่าง คลุมเครือ หรือโยนความผิด จะยิ่งทำลายความไว้วางใจ ในขณะที่ถ้อยแถลงที่ตรงไปตรงมาและแสดงออกถึงความห่วงใย จะช่วยรักษาความไว้วางใจนั้นไว้ได้

เรียนรู้ก่อนเกิดเหตุจริง

การเตรียมตัว 2 ประการนี้จะให้ผลตอบแทนอย่างคุ้มค่าเกินคาด: ประการแรก คือการทำแผนรับมือเหตุการณ์ข้อมูลรั่วไหลเป็นลายลักษณ์อักษร โดยระบุชื่อผู้รับผิดชอบตามบทบาท ข้อมูลการติดต่อ ชุดคำถามสำหรับประเมินความเสี่ยง และแบบฟอร์มสำเร็จรูปสำหรับการแจ้งเหตุอย่างชัดเจน ประการที่สอง คือการซ้อมแผนในกระดาษ (Tabletop Exercise) เพื่อทดสอบแผนดังกล่าวกับสถานการณ์จำลองที่สมจริง ทีมที่เคยผ่านการฝึกซ้อมมาแล้วอย่างน้อยหนึ่งครั้ง มักจะรับมือได้ดีกว่าทีมที่เพิ่งเปิดอ่านแผนเป็นครั้งแรกท่ามกลางภาวะกดดันอย่างเห็นได้ชัด

หลังจากจบเหตุการณ์ ให้ทำการทบทวนและสรุปบทเรียน: มีมาตรการควบคุมส่วนใดที่ล้มเหลว? ขั้นตอนใดที่ล่าช้า? ได้มีการเก็บรวบรวมหรือจัดเก็บข้อมูลไว้เกินความจำเป็นหรือไม่? เพราะหน่วยงานกำกับดูแลไม่ได้ให้ความสนใจเพียงแค่ว่า "เกิดอะไรผิดพลาดขึ้น" เท่านั้น แต่ยังให้ความสำคัญอย่างยิ่งว่า "ได้รับการแก้ไขอย่างไร" ด้วยเช่นกัน

บทความนี้จัดทำขึ้นเพื่อวัตถุประสงค์ในการให้ข้อมูลทั่วไปเท่านั้น ไม่ใช่คำแนะนำทางกฎหมาย หากคุณต้องการสร้างและทดสอบแผนรับมือเหตุการณ์ข้อมูลรั่วไหล ทีมงานด้านความเป็นส่วนตัวของ Epsilon Legal ของเราได้นะครับ เราพร้อมที่จะให้ความช่วยเหลือและดูแลคุณ