PDPC ล่าต้นตอข้อมูลรั่ว: lessons จากกรณี 'หมอพร้อม' และ TSD สู่มาตรการป้องกัน PDPA

ข่าวต้นเรื่อง: "PDPC ล่าต้นตอข้อมูลรั่ว ไล่บี้ “หมอพร้อม-TSD” แจงเหตุ ขู่ฟันผิด PDPA" (Thairath.co.th) · ค้นหาต้นฉบับ ต่อไปนี้เป็นบทวิเคราะห์ต้นฉบับที่ AI เรียบเรียงขึ้นโดยอ้างอิงข้อเท็จจริงที่ตรวจสอบจากรายงานข่าวจริง 3 แหล่ง (ไม่ใช่การแปลหรือคัดลอกต้นฉบับ) ดูแหล่งอ้างอิงท้ายบทความ

สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (PDPC) กำลังเร่งตรวจสอบกรณีการรั่วไหลของข้อมูลในแพลตฟอร์ม 'หมอพร้อม' และระบบ TSD Investor Portal ซึ่งส่งผลกระทบต่อผู้ใช้งานจำนวนมาก โดยเน้นย้ำว่าองค์กรต้องพิสูจน์ความเหมาะสมของมาตรการป้องกันและแก้ไขหลังเกิดเหตุ rather than just การแจ้งเกิดเหตุ

ทนายความและฝ่ายกฎหมายจึงจำเป็นต้องทบทวนกระบวนการจัดการข้อมูลส่วนบุคคลและแผนตอบสนองต่อเหตุการณ์ (Incident Response) อย่างเร่งด่วน เพื่อเตรียมความพร้อมในการเผชิญหน้ากับการตรวจสอบที่เข้มงวดขึ้นของหน่วยงานรัฐและหลีกเลี่ยงความเสี่ยงทางกฎหมายภายใต้ พ.ร.บ. คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 (PDPA)

ทำไมตอนนี้ PDPC ถึงเร่งสอบสวนคดี 'หมอพร้อม' และ TSD?

สถานการณ์ปัจจุบันสะท้อนให้เห็นถึงความตื่นตัวสูงสุดของสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (PDPC) ในการเข้าตรวจสอบกรณีการละเมิดข้อมูลของระบบ 'หมอพร้อม' และ TSD Investor Portal อย่างเร่งด่วน ปัจจัยหลักที่ขับเคลื่อนให้หน่วยงานนี้ต้องลงมือปฏิบัติในทันทีไม่ใช่เพียงความเสียหายที่เกิดขึ้น แต่เป็น "เสียงสะท้อนจากสาธารณะ" และจำนวนผู้ร้องเรียนที่เพิ่มขึ้นอย่างต่อเนื่อง ซึ่งบ่งชี้ถึงความเปราะบางของระบบคุ้มครองข้อมูลในภาคบริการสาธารณะและภาคการเงิน

ในกรณีของ 'หมอพร้อม' มีรายงานว่ามีผู้ใช้งานกว่า 30 คน ได้ยื่นคำร้องต่อ PDPC โดยตรง ทำให้เห็นภาพรวมว่าความเสียหายไม่ได้จำกัดอยู่เพียงกลุ่มเล็ก ๆ แต่ส่งผลกระทบต่อสิทธิส่วนบุคคลในวงกว้าง ส่วนกรณีของ TSD Investor Portal นั้นมีความรุนแรงในเชิงปริมาณข้อมูลมากกว่า เมื่อมีการยืนยันว่าข้อมูลของผู้ใช้ประมาณ 200,000 ราย ถูกเปิดเผยออกสู่สาธารณะ ซึ่งครอบคลุมข้อมูลระบุตัวตนที่สำคัญ เช่น ชื่อ-นามสกุล เลขบัตรประชาชน ที่อยู่ และข้อมูลทางการเงินบางส่วน แม้ TSD จะชี้แจงว่าไม่มีข้อมูลการซื้อขายหรือความเสียหายทางการเงินโดยตรง แต่การที่ข้อมูลพื้นฐานเหล่านี้หลุดรอดออกมาได้ ถือเป็นช่องโหว่ด้านความปลอดภัยขั้นพื้นฐานที่ PDPC ไม่อาจเพิกเฉยได้

ความเร่งด่วนนี้ยังเชื่อมโยงกับบริบทกว้าง ๆ ของการบังคับใช้ PDPA ที่เริ่มมีผลบังคับใช้อย่างเต็มรูปแบบ ทำให้ PDPC ต้องแสดงบทบาทเป็น "ผู้พิทักษ์สิทธิ" อย่างแข็งกร้าว เพื่อสร้างบรรทัดฐานใหม่ (New Normal) ในการจัดการข้อมูล โดยกรณีเหล่านี้ถูกใช้เป็นกรณีศึกษาสำคัญในการทดสอบประสิทธิภาพของกฎหมายและมาตรการป้องกันขององค์กรต่าง ๆ ว่าสามารถปฏิบัติตามมาตรฐานความปลอดภัยที่กฎหมายกำหนดได้จริงหรือไม่ หรือเป็นเพียงการปฏิบัติตาม формальноเท่านั้น

ประเด็นหลัก: รายละเอียดการละเมิดข้อมูลและขอบเขตความเสียหาย

แม้ว่าทั้งสองกรณีจะเกิดขึ้นในภาคส่วนที่ต่างกัน แต่มีจุดร่วมสำคัญคือ "ความล่าช้าในการแจ้งเหตุ" และ "ขอบเขตข้อมูลที่หลุดรอด" ซึ่งกลายเป็นประเด็นถกเถียงทางกฎหมายและจริยธรรมที่สำคัญ

1. ลักษณะข้อมูลที่รั่วไหล: ในกรณี TSD ข้อมูลที่หลุดออกมาเป็นข้อมูลระบุตัวตน (Personal Data) และข้อมูลติดต่อ ซึ่งเป็นข้อมูลพื้นฐานที่อาจนำไปสู่การถูกหลอกลวงทางสังคม (Social Engineering) หรือการโจมตีทางไซเบอร์ในรูปแบบอื่น ๆ ในอนาคต แม้จะไม่มีข้อมูลธุรกรรมทางการเงินโดยตรง แต่การมีครบถ้วนของข้อมูลส่วนตัวถือเป็นความเสี่ยงสูง
2. ระยะเวลาการตอบสนอง: TSD ระบุว่าพบความผิดปกติของระบบเมื่อวันที่ 25 กรกฎาคม 2026 และยืนยันเหตุการณ์อย่างเป็นทางการในวันที่ 26 กรกฎาคม การตอบสนองภายใน 1 วันอาจดูรวดเร็วในทางเทคนิค แต่เมื่อเทียบกับขนาดของข้อมูล 200,000 รายการ PDPC อาจต้องพิจารณาว่ากระบวนการภายในเพียงพอต่อการประเมินความเสียหายและแจ้งผู้ได้รับผลกระทบภายในกรอบเวลาที่กฎหมายกำหนดหรือไม่
3. ความเสียหายเชิงนามธรรม vs เชิงรูปธรรม: PDPA ไม่ได้มองเฉพาะความเสียหายทางการเงิน แต่รวมถึงความเสียหายต่อสิทธิและเสรีภาพส่วนบุคคล การที่ผู้ใช้ 'หมอพร้อม' จำนวน 30 คน ยื่นเรื่อง แสดงว่าพวกเขาได้รับผลกระทบในทางปฏิบัติ ซึ่งอาจรวมถึงความกังวลใจ การถูกติดต่อโดยมิชอบ หรือความไม่ไว้วางใจต่อระบบบริการสุขภาพ

สิ่งที่ต้องตรวจสอบ: มาตรการความปลอดภัยและกระบวนการแจ้งเหตุ

เพื่อให้การสอบสวนมีความชัดเจนและยุติธรรม PDPC จำเป็นต้องตรวจสอบประเด็นสำคัญ 3 ประการ ดังนี้:

• มาตรการป้องกันทางเทคนิค (Technical Safeguards): ต้องตรวจสอบว่าองค์กรมีมาตรการเข้ารหัสข้อมูล (Encryption) และควบคุมการเข้าถึงข้อมูล (Access Control) ที่เพียงพอหรือไม่ โดยเฉพาะในส่วนของ TSD ที่ข้อมูลจำนวนมากหลุดออกมา ซึ่งชี้ให้เห็นถึงช่องโหว่ในระบบอาจเกิดจาก Human Error หรือระบบที่ล้าสมัย
• กระบวนการแจ้งเหตุ (Breach Notification Process): ต้องตรวจสอบว่าองค์กรได้แจ้งให้ PDPC

ประเด็นหลัก: รายละเอียดการละเมิดข้อมูลและขอบเขตความเสียหาย

กรณีศึกษาจากเหตุการณ์รั่วไหลของข้อมูลในสององค์กรที่แตกต่างกันอย่างสิ้นเชิง ได้แก่ แพลตฟอร์มบริการทางการแพทย์อย่าง 'หมอพร้อม' และบริษัทหลักทรัพย์ TSD Investor Portal ได้สะท้อนให้เห็นถึงธรรมชาติของภัยคุกคามทางไซเบอร์ที่มุ่งเป้าไปที่ข้อมูลส่วนบุคคลที่มีความอ่อนไหวสูง ในกรณีของ TSD ข้อมูลของผู้ใช้ประมาณ 200,000 คนได้รั่วไหลออกมา ซึ่งประกอบด้วยข้อมูลระบุตัวตนที่สำคัญ เช่น ชื่อ-นามสกุล เลขบัตรประจำตัวประชาชน ที่อยู่ และโดยเฉพาะอย่างยิ่งข้อมูลทางการเงินที่เชื่อมโยงกับบัญชีธนาคารและข้อมูลทางหลักทรัพย์ แม้ว่าจะมีรายงานเบื้องต้นว่าข้อมูลการทำธุรกรรมหรือยอดเงินในบัญชีไม่ได้รับผลกระทบและยังไม่พบความเสียหายทางการเงินที่จับต้องได้ในขณะแรกเริ่ม แต่การที่ข้อมูลพื้นฐานเหล่านี้ตกไปอยู่ในมือของบุคคลที่สาม ย่อมสร้างความเสี่ยงต่อการฉ้อโกงทางIdentity Theft หรือการหลอกลวงทางสังคม (Social Engineering) ในระยะยาวได้อย่างหลีกเลี่ยงไม่ได้

ในขณะเดียวกัน กรณีของ 'หมอพร้อม' ซึ่งมีผู้ร้องเรียนกว่า 30 ราย แม้จำนวนผู้ได้รับผลกระทบจะน้อยกว่าอย่างมีนัยสำคัญ แต่กลับเน้นย้ำถึงมิติของความอ่อนไหวต่อ "ข้อมูลสุขภาพ" ซึ่งเป็นข้อมูลส่วนบุคคลที่มีความละเอียดอ่อนตามนิยามของ พ.ร.บ. คุ้มครองข้อมูลส่วนบุคคล (PDPA) การรั่วไหลของข้อมูลสุขภาพไม่เพียงแต่กระทบต่อความเป็นส่วนตัว แต่ยังอาจนำไปสู่การเลือกปฏิบัติหรือการใช้ข้อมูลในทางที่ผิดต่อผู้ให้บริการหรือผู้ใช้บริการได้ การที่สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (PDPC) เร่งเข้าตรวจสอบทั้งสองกรณีพร้อมกัน แสดงให้เห็นว่าหน่วยงานกำกับดูแลไม่ได้มองเพียงปริมาณข้อมูล แต่ให้ความสำคัญกับ "ลักษณะของข้อมูล" และ "ความเสี่ยงต่อสิทธิและเสรีภาพของเจ้าของข้อมูล" เป็นหลัก ซึ่งทั้งสองกรณีนี้ล้วนมีองค์ประกอบของข้อมูลที่มีความอ่อนไหวสูง (Sensitive Data) ทั้งทางด้านการเงินและสุขภาพ ทำให้ระดับความรุนแรงของผลกระทบทางกฎหมายและสังคมอยู่ในเกณฑ์ที่ต้องได้รับการพิจารณาอย่างเคร่งครัด

การเปรียบเทียบสองกรณีนี้ยังชี้ให้เห็นถึงความท้าทายในการประเมินขอบเขตความเสียหายที่แท้จริงในเบื้องต้น ทั้งสององค์กรต่างยืนยันในเบื้องต้นว่ายังไม่มีความเสียหายทางการเงินโดยตรงเกิดขึ้น แต่ในทางปฏิบัติของกฎหมาย PDPA ความเสียหายไม่ได้จำกัดอยู่เพียง monetary loss เท่านั้น แต่รวมถึงความเสียหายต่อชื่อเสียง ความอับอายขายหน้า หรือความเสี่ยงที่อาจเกิดขึ้นในอนาคต การที่ PDPC สั่งให้ทั้งสององค์กรส่งเอกสารหลักฐานเพิ่มเติมและอธิบายกระบวนการป้องกันนั้น สะท้อนให้เห็นว่าหน่วยงานกำลังพิจารณาว่ามาตรการป้องกันที่มีอยู่ก่อนเกิดเหตุมีความเพียงพอหรือไม่ และเมื่อเกิดเหตุขึ้น องค์กรได้ดำเนินการบรรเทาผลกระทบ (Mitigation) ต่อเจ้าของข้อมูลได้รวดเร็วและเหมาะสมเพียงใด ซึ่งเป็นปัจจัยสำคัญในการกำหนดโทษหรือมาตรการทางปกครองต่อไป

ผลกระทบเชิงปฏิบัติ: ภาระหน้าที่ในการพิสูจน์ความรับผิดชอบ

กรณีศึกษาของ 'หมอพร้อม' และ TSD Investor Portal ชี้ให้เห็นอย่างชัดเจนว่า การเกิดเหตุข้อมูลรั่วไหลมิได้หมายความว่าองค์กรจะต้องรับโทษทางกฎหมายโดยอัตโนมัติ (Automatic Liability) ตามหลักการของ PDPA แต่เป็นภาระหน้าที่ขององค์กรที่ต้อง "พิสูจน์" ว่าตนได้ปฏิบัติตามมาตรฐานความระมัดระวังอย่างเหมาะสมแล้ว PDPC ได้เน้นย้ำในแนวทางการสอบสวนว่า การพิจารณาความรับผิดจะดูที่กระบวนการจัดการเหตุหลังเกิดเหตุ (Post-breach) และมาตรการป้องกันล่วงหน้า (Preventive measures) เป็นหลัก ซึ่งแตกต่างจากความเข้าใจผิดที่ว่าหากข้อมูลหลุดแล้วองค์กรต้องรับผิดทันที

ในกรณีของ TSD แม้จะมีการยืนยันว่าข้อมูลทางการเงินและการซื้อขายไม่ได้รับผลกระทบและยังไม่พบความเสียหายทางการเงิน แต่การที่องค์กรต้องใช้เวลาในการยืนยันความผิดปกติของระบบและแจ้งเหตุ แสดงให้เห็นถึงความสำคัญของการมีกระบวนการตรวจสอบและแจ้งเตือนที่รวดเร็วและโปร่งใส PDPC จึงมีอำนาจสั่งให้ยื่นเอกสารหลักฐานเพิ่มเติมเพื่อตรวจสอบว่า องค์กรได้ดำเนินการตามขั้นตอนที่กำหนดไว้ในกฎหมายหรือไม่ หากองค์กรไม่สามารถแสดงหลักฐานได้ว่าได้มีมาตรการรักษาความปลอดภัยที่เหมาะสมกับระดับความเสี่ยงของข้อมูลแล้ว องค์กรนั้นอาจถูกพิจารณาว่าละเมิด PDPA ได้ แม้จะไม่ใช่ผู้ก่อเหตุโดยตรงก็ตาม

สิ่งที่ต้องตรวจสอบ: มาตรการความปลอดภัยและกระบวนการแจ้งเหตุ

สำหรับองค์กรธุรกิจและหน่วยงานรัฐที่เชื่อมโยงกับระบบ PDPC กำลังตรวจสอบอย่างละเอียดในประเด็นสำคัญ 3 ประการ ได้แก่

• มาตรการป้องกันล่วงหน้า (Preventive Measures): องค์กรมีระบบรักษาความปลอดภัยข้อมูลที่เหมาะสมกับประเภทและปริมาณข้อมูลส่วนบุคคลที่เก็บรวบรวมหรือไม่ เช่น การเข้ารหัสข้อมูล (Encryption) การควบคุมการเข้าถึง (Access Control) และการทดสอบเจาะระบบ (Penetration Testing) เป็นประจำ
• กระบวนการตอบสนองต่อเหตุ (Incident Response Plan): องค์กรมีแผนรับมือเหตุฉุกเฉินที่ชัดเจนหรือไม่ สามารถตรวจจับการละเมิดข้อมูลได้ทันท่วงที และดำเนินการแจ้งให้ PDPC และเจ้าของข้อมูลทราบภายในระยะเวลาที่กำหนดตามกฎหมาย
• ความโปร่งใสและการเปิดเผยข้อมูล: การแจ้งเหตุต่อสาธารณะและหน่วยงานกำกับดูแลต้องมีความถูกต้อง ครบถ้วน และรวดเร็ว โดยไม่ปกปิดหรือบิดเบือนข้อเท็จจริง ซึ่งกรณีของ TSD ที่เปิดเผยรายละเอียดข้อมูลที่ถูกเข้าถึงอย่างชัดเจน ถือเป็นแนวทางหนึ่งที่ช่วยลดความไม่แน่นอนของเจ้าของข้อมูลได้

บทสรุป: การเตรียมความพร้อมสำหรับองค์กรธุรกิจและหน่วยงานรัฐ

จากกรณีดังกล่าว องค์กรทุกประเภทควรทบทวนนโยบายการจัดการข้อมูลส่วนบุคคลใหม่ โดยเน้นที่การสร้างวัฒนธรรมความปลอดภัยข้อมูล (Security Culture) ภายในองค์กร ไม่ใช่เพียงการติดตั้งเทคโนโลยีเท่านั้น แต่ยังต้องมีการฝึกอบรมพนักงานให้ตระหนักถึงความเสี่ยง และมีการทดสอบแผนตอบสนองต่อเหตุเป็นระยะๆ นอกจากนี้ การเก็บรักษาหลักฐานและบันทึกกิจกรรม (Audit Logs) อย่างมีระบบ จะช่วยให้องค์กรสามารถพิสูจน์ความรับผิดชอบของตนเองได้อย่างมีประสิทธิภาพเมื่อเกิดเหตุการณ์ไม่คาดฝันขึ้น ซึ่งจะเป็นเกราะป้องกันทางกฎหมายที่สำคัญภายใต้กรอบของ PDPA

สิ่งต้องตรวจสอบ: มาตรการความปลอดภัยและกระบวนการแจ้งเหตุ

จากกรณีศึกษาของ 'หมอพร้อม' และ TSD Investor Portal ที่มีการเปิดเผยข้อมูลส่วนบุคคลของผู้ใช้บริการเป็นจำนวนมาก ส่งผลให้สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (PDPC) เร่งเข้าตรวจสอบและเรียกเก็บหลักฐานเพิ่มเติม ประเด็นสำคัญที่องค์กรต้องทบทวนอย่างเร่งด่วนไม่ใช่เพียงการป้องกันไม่ให้ข้อมูลรั่วไหล แต่คือ "ความพร้อมของระบบ" ในการตอบสนองต่อเหตุการณ์ไม่พึงประสงค์ (Incident Response) ตามมาตรา 37 ของ พ.ร.บ. คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 (PDPA)

ประการแรก องค์กรจำเป็นต้องประเมินประสิทธิภาพของมาตรการรักษาความปลอดภัยทางเทคนิคและองค์กร (Technical and Organizational Measures) ว่าสามารถตรวจจับการละเมิดข้อมูลได้ทันท่วงทีหรือไม่ ในกรณีของ TSD แม้จะระบุว่าพบความผิดปกติของระบบภายในวันแรก แต่กระบวนการยืนยันข้อเท็จจริงและประเมินขอบเขตความเสียหายใช้เวลาหลายชั่วโมง ซึ่งสะท้อนให้เห็นถึงความจำเป็นในการมีระบบ Monitoring ที่สามารถแจ้งเตือนอัตโนมัติเมื่อมีกิจกรรมต้องสงสัย หรือมีปริมาณการเข้าถึงข้อมูลที่ผิดปกติจากเกณฑ์ปกติ การมีกระบวนการตรวจสอบภายในที่เข้มแข็งจะช่วยให้สามารถระบุต้นตอของปัญหาและขอบเขตของข้อมูลที่ได้รับผลกระทบได้ชัดเจนขึ้น ซึ่งเป็นปัจจัยหลักในการกำหนดระดับความรุนแรงของเหตุการณ์

ประการที่สอง ระยะเวลาในการแจ้งเหตุต่อ PDPC และผู้ควบคุมข้อมูลส่วนบุคคลอื่นที่เกี่ยวข้อง เป็นตัวแปรสำคัญที่ส่งผลต่อโทษทางปกครองและภาพลักษณ์ขององค์กร PDPA กำหนดให้ต้องแจ้งเหตุให้ PDPC ทราบโดยไม่ชักช้าและในกรณีที่เป็นไปได้ภายใน 72 ชั่วโมงนับแต่ทราบเหตุ อย่างไรก็ตาม "ความล่าช้า" ในการแจ้งเหตุอาจถูกตีความว่าเป็นการขาดความระมัดระวังหรือความพยายามปกปิดข้อเท็จจริง ซึ่งอาจนำไปสู่การปรับสูงสุดและคำสั่งให้แก้ไขปรับปรุงอย่างเข้มงวด องค์กรจึงควรมีช่องทางการสื่อสารภายในที่ชัดเจน (Internal Reporting Mechanism) เพื่อให้พนักงานหรือทีม IT สามารถรายงานเหตุผิดปกติไปยังคณะกรรมการคุ้มครองข้อมูลหรือฝ่ายกฎหมายได้ทันที โดยไม่ต้องผ่านกระบวนการอนุมัติที่ซับซ้อนจนเกินไป

ประการที่สาม กระบวนการหลังการละเมิดข้อมูล (Post-Breach Process) ควรครอบคลุมถึงการประเมินความเสี่ยงต่อสิทธิและเสรีภาพของเจ้าของข้อมูลส่วนบุคคล หากมีความเสี่ยงสูง องค์กรมีหน้าที่ต้องติดต่อแจ้งเจ้าของข้อมูลด้วยเช่นกัน จากกรณี TSD ที่ระบุว่าไม่มีข้อมูลทางการเงินหรือรายละเอียดการซื้อขายรั่วไหล แต่มีข้อมูลประจำตัวและข้อมูลติดต่อส่วนบุคคล อาจยังต้องพิจารณาว่ามีความเสี่ยงต่อการถูกหลอกลวงทางไซเบอร์ (Phishing) หรือการกลั่นแกล้งทางออนไลน์หรือไม่ การมีแผนการสื่อสารเพื่อเยียวยาและแจ้งข้อมูลให้เจ้าของข้อมูลทราบอย่างโปร่งใส จะช่วยลดความเสียหายและแสดงความรับผิดชอบขององค์กรได้ดียิ่งกว่าการเงียบเฉยหรือรอให้ PDPC สอบสวนพบข้อเท็จจริง

โดยสรุป องค์กรควรดำเนินการดังนี้:

• ทบทวนและอัปเดตแผนตอบสนองต่อเหตุการณ์ละเมิดข้อมูล (Incident Response Plan) ให้สอดคล้องกับโครงสร้างองค์กรและเทคโนโลยีปัจจุบัน
• ตรวจสอบระบบแจ้งเตือนและบันทึกกิจกรรม (Audit Logs) ว่าสามารถระบุเวลาและแหล่งที่มาของการเข้าถึงข้อมูลผิดปกติได้อย่างแม่นยำ
• กำหนดบทบาทและหน้าที่ของทีมงานที่ต้องรับผิดชอบในการประเมินความเสี่ยงและแจ้งเหตุต่อ PDPC ภายในกรอบเวลาที่กฎหมายกำหนด
• เตรียมแบบฟอร์มและช่องทางสื่อสารสำหรับการแจ้งเหตุต่อเจ้าของข้อมูลส่วนบุคคลในกรณีที่มีความเสี่ยงสูงต่อสิทธิและเสรีภาพของพวกเขา

บทสรุป: การเตรียมความพร้อมสำหรับองค์กรธุรกิจและหน่วยงานรัฐ

จากข้อมูลที่มีรายงานว่าการกำกับดูแลด้านข้อมูลส่วนบุคคล (PDPC) ได้เร่งสอบสวนกรณีการรั่วไหลของข้อมูลในแพลตฟอร์ม 'หมอพร้อม' ซึ่งมีผู้ร้องเรียนกว่า 30 ราย และกรณี TSD Investor Portal ที่มีข้อมูลผู้ใช้ประมาณ 200,000 คนได้รับผลกระทบ องค์กรธุรกิจกว่า 70 แห่งและหน่วยงานรัฐกว่า 200 แห่งที่เชื่อมโยงกับ PDPC จำเป็นต้องยกระดับมาตรการคุ้มครองข้อมูลส่วนบุคคลอย่างเร่งด่วน เพื่อหลีกเลี่ยงบทลงโทษทางกฎหมายและรักษาความน่าเชื่อถือขององค์กร

ประเด็นสำคัญที่องค์กรต้องตระหนักคือ การเกิดเหตุการณ์รั่วไหลของข้อมูลไม่ได้หมายความว่าการละเมิด PDPA จะเกิดขึ้นโดยอัตโนมัติ อย่างไรก็ตาม องค์กรมีภาระหน้าที่ในการพิสูจน์ว่าตนได้ดำเนินการตามมาตรการรักษาความปลอดภัยที่เหมาะสมแล้ว และที่สำคัญคือต้องแสดงให้เห็นถึงกระบวนการแจ้งเหตุและมาตรการป้องกันซ้ำที่เกิดขึ้นอย่างมีประสิทธิภาพภายในกรอบเวลาที่กฎหมายกำหนด

เพื่อให้สอดคล้องกับมาตรฐานทางกฎหมายและลดความเสี่ยงในการถูกดำเนินคดี องค์กรควรดำเนินการตามแนวทางดังนี้:

• ทบทวนและอัปเดตมาตรการรักษาความปลอดภัย: ตรวจสอบระบบ IT และกระบวนการจัดการข้อมูลอย่างสม่ำเสมอ โดยเฉพาะอย่างยิ่งสำหรับหน่วยงานที่เชื่อมโยงกับ PDPC ซึ่งมีจำนวนกว่า 200 หน่วยงานรัฐและ 70 ธุรกิจเอกชน ต้องมั่นใจว่ามีการเข้ารหัสข้อมูลและการควบคุมการเข้าถึงที่เข้มงวด
• เตรียมแผนตอบสนองต่อเหตุการณ์ (Incident Response Plan): ต้องมีกระบวนการที่ชัดเจนในการตรวจจับ แจ้งเตือน และแก้ไขข้อบกพร่องทางเทคนิค โดยต้องสามารถดำเนินการแจ้ง PDPC และผู้ได้รับผลกระทบได้ทันท่วงทีตามข้อกำหนดของ PDPA
• จัดทำเอกสารหลักฐานการปฏิบัติตามกฎหมาย (Compliance Documentation): เก็บรักษาบันทึกการประเมินความเสี่ยง (DPIA) บันทึกการประมวลผลข้อมูล และรายงานการฝึกอบรมพนักงาน เพื่อใช้เป็นหลักฐานในการพิสูจน์ว่าองค์กรได้ปฏิบัติหน้าที่ด้วยความระมัดระวังตามมาตรฐานวิชาชีพ
• สร้างความตระหนักรู้และวัฒนธรรมความปลอดภัยข้อมูล: อบรมพนักงานให้เข้าใจถึงความสำคัญของการปกป้องข้อมูลส่วนบุคคล และกำหนดบทบาทความรับผิดชอบให้ชัดเจน เพื่อป้องกันความผิดพลาดจากมนุษย์ซึ่งเป็นสาเหตุหลักของเหตุการณ์รั่วไหลส่วนใหญ่

คำถามที่พบบ่อย

กรณีข้อมูลรั่วไหลจาก 'หมอพร้อม' และ TSD Investor Portal มีผู้ได้รับผลกระทบและกำลังถูกตรวจสอบอย่างไร?

PDPC กำลังเร่งสอบสวนกรณี 'หมอพร้อม' ที่มีผู้ร้องเรียนกว่า 30 ราย และกรณี TSD ที่มีข้อมูลผู้ใช้ประมาณ 200,000 คนรั่วไหล โดยสั่งให้หน่วยงานที่เกี่ยวข้องส่งหลักฐานเพิ่มเติมเพื่อพิสูจน์ความรับผิดชอบ

หากพบความผิดปกติของระบบแต่ไม่ได้มีข้อมูลถูกขโมยไป ถือว่าผิด PDPA หรือไม่?

PDPC ระบุว่าเหตุการณ์ระบบขัดข้องไม่ได้หมายถึงการละเมิดกฎหมายโดยอัตโนมัติ แต่องค์กรต้องแสดงหลักฐานว่ามีการดำเนินการแก้ไขและป้องกันอย่างเหมาะสมตามมาตรฐาน PDPA เพื่อหลีกเลี่ยงโทษทางกฎหมาย

หน่วยงานรัฐและเอกชนที่เชื่อมโยงกับ PDPC ต้องระวังเรื่องใดในการจัดการข้อมูล?

DPD เตือนให้ระวังการเผยแพร่ข้อมูลส่วนตัวของกรรมการหรือผู้ถือหุ้นโดยไม่ได้รับอนุญาต โดยครอบคลุมถึงหน่วยงานรัฐประมาณ 200 แห่งและภาคเอกชนประมาณ 70 แห่งที่เชื่อมโยงกับระบบดังกล่าว

แหล่งอ้างอิง

• thairath.co.th
• thereporter.asia
• posttoday.com