SEC // 01
นับ 72 ชั่วโมงจากเมื่อไร
นับจากเวลาที่ผู้ควบคุมข้อมูล "ทราบเหตุ" ว่ามีการละเมิดข้อมูลส่วนบุคคล ไม่ใช่เวลาที่เหตุเกิดขึ้นจริง แต่การปล่อยปละไม่ตรวจสอบสัญญาณผิดปกติอาจถูกมองว่าควรทราบตั้งแต่แรก
SEC // 02
ต้องแจ้งใคร
- แจ้ง สคส. โดยไม่ชักช้าภายใน 72 ชั่วโมง เว้นแต่การละเมิดนั้นไม่มีความเสี่ยงที่จะกระทบสิทธิเสรีภาพของบุคคล
- แจ้งเจ้าของข้อมูลพร้อมแนวทางเยียวยาโดยไม่ชักช้า หากการละเมิดมีความเสี่ยงสูง
- ผู้ประมวลผลข้อมูลต้องแจ้งผู้ควบคุมข้อมูลโดยไม่ชักช้า
SEC // 03
ข้อมูลที่ต้องระบุในการแจ้ง
- ลักษณะของเหตุ ประเภทและจำนวนโดยประมาณของข้อมูลและเจ้าของข้อมูลที่เกี่ยวข้อง
- ชื่อและช่องทางติดต่อของ DPO หรือผู้ประสานงาน
- ผลกระทบที่อาจเกิดขึ้น
- มาตรการที่ใช้หรือจะใช้เพื่อระงับและเยียวยา
หากยังได้ข้อมูลไม่ครบภายใน 72 ชั่วโมง ให้แจ้งเท่าที่มีก่อนแล้วส่งเพิ่มเติมภายหลัง
SEC // 04
เช็กลิสต์รับมือชั่วโมงแรก
- ระงับช่องโหว่: ตัดการเข้าถึง เปลี่ยนรหัสผ่านและคีย์ที่อาจหลุด
- เก็บหลักฐาน: log, snapshot ไม่ลบหรือแก้ไขข้อมูลต้นทาง
- ประเมินความเสี่ยง: ข้อมูลประเภทใด มีข้อมูลอ่อนไหวหรือข้อมูลการเงินไหม เข้ารหัสอยู่หรือไม่
- บันทึกเหตุการณ์ตามเวลาจริง
- ปรึกษาทนายและผู้เชี่ยวชาญด้านนิติวิทยาศาสตร์ดิจิทัล
- เตรียมข้อความแจ้งเจ้าของข้อมูลที่ชัด ไม่ปกปิด
SEC // 05
ความเกี่ยวข้องกับกฎหมายไซเบอร์
หากองค์กรเป็นหน่วยงานโครงสร้างพื้นฐานสำคัญทางสารสนเทศ (CII) ต้องรายงานภัยคุกคามทางไซเบอร์ตาม พ.ร.บ.การรักษาความมั่นคงปลอดภัยไซเบอร์ฯ แยกต่างหากด้วย และหากมีการโจรกรรมข้อมูลควรแจ้งความดำเนินคดีตาม พ.ร.บ.คอมพิวเตอร์ฯ
Q&A // FAQ
คำถามที่พบบ่อย
>ข้อมูลที่หลุดถูกเข้ารหัสไว้ ต้องแจ้งไหม
หากเข้ารหัสอย่างแข็งแรงและคีย์ไม่ได้หลุดไปด้วย ความเสี่ยงอาจต่ำจนไม่ต้องแจ้ง แต่ควรบันทึกการประเมินความเสี่ยงไว้เป็นหลักฐาน
>พนักงานส่งอีเมลผิดคนถือเป็นเหตุละเมิดไหม
ถือเป็นเหตุละเมิดข้อมูลส่วนบุคคลได้ ต้องประเมินความเสี่ยงตามประเภทและปริมาณข้อมูลที่ส่งผิดไป
STATUTE_REF // กฎหมายที่อ้างอิง
- §พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 มาตรา 37(4)
- §ประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง หลักเกณฑ์และวิธีการในการแจ้งเหตุการละเมิดข้อมูลส่วนบุคคล พ.ศ. 2565
ข้อมูล ณ วันที่ 11 ตุลาคม 2569
ตรวจสอบตัวบทและประกาศล่าสุดได้ที่
เนื้อหานี้เป็นข้อมูลทั่วไปเพื่อการศึกษา ไม่ใช่คำแนะนำทางกฎหมายสำหรับกรณีของคุณ กฎหมายและประกาศลำดับรองอาจเปลี่ยนแปลง โปรดตรวจสอบฉบับล่าสุด
ต่อยอดบน Lawslaneถาม Lawslane AI ผู้ช่วยกฎหมายเล่าสถานการณ์ของคุณเป็นภาษาปกติ แล้วให้ AI อธิบายกฎหมายที่เกี่ยวข้องพร้อมตัวบทอ้างอิงADVISORY // LAWSLANE
เรื่องของคุณซับซ้อนหรือมีความเสี่ยงทางกฎหมาย? ให้ทนายความที่ผ่านการยืนยันตัวตนบน Lawslane ช่วยดูให้
ปรึกษาทนายบน Lawslaneอ่านต่อ
PDPAPDPA-01PDPA คืออะไร ใครต้องทำตาม: สรุป พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล ฉบับธุรกิจเล็กถึงใหญ่
PDPA ใช้กับทุกคนที่เก็บ ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลในไทย ตั้งแต่ร้านออนไลน์ไปจนถึงองค์กรใหญ่ รู้บทบาทผู้ควบคุม/ผู้ประมวลผล ฐานทางกฎหมาย และโทษ
อ่าน 6 นาที
คริปโต & ไซเบอร์FINTECH-02พ.ร.บ.ไซเบอร์ 2562 ใช้กับใคร: หน้าที่ของหน่วยงานโครงสร้างพื้นฐานสำคัญ (CII)
พ.ร.บ.การรักษาความมั่นคงปลอดภัยไซเบอร์ฯ กำหนดหน้าที่หลักให้หน่วยงาน CII เช่น ธนาคาร โทรคมนาคม พลังงาน สาธารณสุข ต้องมีมาตรฐานความปลอดภัย ประเมินความเสี่ยง และรายงานภัยคุกคามต่อ สกมช.
อ่าน 2 นาที
PDPAPDPA-06ต้องมี DPO ไหม และ RoPA คืออะไร: เอกสารภายในที่ PDPA บังคับ
DPO บังคับเฉพาะหน่วยงานรัฐ องค์กรที่ติดตามข้อมูลจำนวนมากเป็นประจำ หรือประมวลผลข้อมูลอ่อนไหวเป็นกิจกรรมหลัก ส่วน RoPA คือทะเบียนกิจกรรมการประมวลผลที่ต้องมีพร้อมให้ตรวจ
อ่าน 2 นาที