ประเมินและตอบสนองเหตุข้อมูลรั่วไหล
หากกำลังเกิดเหตุ ให้ใช้ช่องทางรับเหตุขององค์กรและรักษาหลักฐานก่อนรอคำตอบแบบฟอร์มเว็บ บันทึกเวลารับรู้เหตุ ประเภทข้อมูลและผลกระทบ เพื่อให้ผู้ควบคุมประเมินหน้าที่แจ้งอย่างรวดเร็ว
เอกสารและข้อมูลก่อนเริ่มงาน
- ลำดับเวลาที่ทราบเหตุและการตอบสนอง
- ประเภทข้อมูล ผู้ได้รับผลกระทบและระบบที่เกี่ยวข้อง
- บันทึกระบบที่เก็บอย่างปลอดภัย มาตรการควบคุมเหตุและรายชื่อผู้ประสาน
สิ่งที่ส่งมอบตามขอบเขต
- การประเมินความเสี่ยงและเหตุผลเรื่องหน้าที่แจ้ง
- ร่างแจ้งเหตุและรายการข้อมูลที่ยังต้องติดตาม
- แผนแก้ไขและบันทึกการตัดสินใจตามหลักฐานที่ได้รับ
ข้อกฎหมายที่ต้องตรวจ
PDPA มาตรา 37(4) และประกาศเรื่องหลักเกณฑ์และวิธีการแจ้งเหตุการละเมิดข้อมูลส่วนบุคคล พ.ศ. 2565
ข้อจำกัดและสิ่งที่ไม่รวมโดยอัตโนมัติ
มาตรา 37(4) กำหนดแจ้ง สคส. โดยไม่ชักช้าภายใน 72 ชั่วโมงนับแต่ทราบเหตุเท่าที่สามารถทำได้ เว้นแต่ไม่มีความเสี่ยงต่อสิทธิและเสรีภาพ หากมีความเสี่ยงสูงต้องแจ้งบุคคลพร้อมแนวทางเยียวยาโดยไม่ชักช้า; งาน forensic และการรับเหตุต้องยืนยันขอบเขต ไม่รับประกัน 24/7
ขั้นตอนการให้บริการ PDPA
- ขั้นที่ 1: ควบคุมเหตุร่วมกับผู้ดูแลระบบโดยไม่ทำลายหลักฐาน
- ขั้นที่ 2: บันทึกการรับรู้เหตุและประเมินความเสี่ยงต่อบุคคล
- ขั้นที่ 3: พิจารณาแจ้ง สคส. และบุคคลตามระดับความเสี่ยงและกรอบกฎหมาย
- ขั้นที่ 4: ติดตามข้อเท็จจริงเพิ่มเติมและปิดช่องโหว่พร้อมบันทึกผล
คำถามที่พบบ่อย
- ต้องรอผล forensic ครบก่อนแจ้งเหตุหรือไม่?
- ไม่ควรรอจนพ้นกรอบเวลาที่ใช้ ต้องประเมินจากข้อมูลที่มี บันทึกข้อจำกัดและตรวจวิธีแจ้งข้อมูลเพิ่มเติมตามประกาศที่เกี่ยวข้อง โดยให้ผู้รับผิดชอบตัดสินใจและรักษาหลักฐาน
- ต้องขอความยินยอมทุกครั้งหรือไม่?
- ไม่ใช่ ต้องตรวจวัตถุประสงค์และฐานกฎหมายตามกิจกรรมจริง รวมเงื่อนไขข้อมูลตามมาตรา 26 ไม่ควรเลือกความยินยอมหรือประโยชน์โดยชอบด้วยกฎหมายเพียงเพื่อให้ง่ายต่อการดำเนินงาน
- มีนโยบายบนเว็บไซต์แล้วถือว่าทำ PDPA ครบหรือไม่?
- ไม่ครบ ต้องตรวจการเก็บ ใช้ เปิดเผย ระยะเก็บ ความปลอดภัย ผู้ให้บริการและการใช้สิทธิจริง ประกาศเป็นเพียงส่วนหนึ่ง และต้องตรงกับการทำงานของระบบ
- ใช้บริการแล้วรับประกันไม่ถูกปรับหรือไม่?
- ไม่รับประกัน ผลพิจารณาขึ้นกับข้อเท็จจริงและอำนาจของหน่วยงาน งานที่ปรึกษาช่วยแยกหน้าที่ หลักฐานและแผนแก้ไขตามขอบเขตที่ตกลง ไม่ใช่การรับรองจาก สคส.
- ค่าบริการและกำหนดส่งงานประเมินจากอะไร?
- จำนวนกิจกรรม ระบบ กลุ่มบุคคล ผู้ให้บริการ ภาษา ความพร้อมเอกสารและระดับความเสี่ยง รวมงานทางเทคนิคหรือข้อพิพาทที่ต้องทำเพิ่ม ต้องยืนยันขอบเขตและกำหนดเวลาที่ตกลงก่อนเริ่ม
แหล่งกฎหมายและข้อควรตรวจ
- ตัวบท PDPA ฉบับแปลเผยแพร่โดยกระทรวงดิจิทัลฯ — เมื่อใช้ตีความ ให้ตรวจตัวบทภาษาไทยและประกาศที่มีผลใช้บังคับ
- สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (สคส.) — ตรวจประกาศและช่องทางของหน่วยงานล่าสุด
ทบทวนเนื้อหา 8 ตุลาคม 2569 · ข้อมูลทั่วไป ไม่ใช่คำวินิจฉัยเฉพาะเรื่อง และไม่รับประกันการยุติเรื่อง การลดค่าปรับ หรือผลพิจารณา
ปรึกษาขอบเขตงาน PDPA
แจ้งกิจกรรม ระบบและปัญหาที่ต้องแก้ก่อน ไม่ส่งฐานข้อมูลลูกค้าหรือข้อมูลอ่อนไหวผ่านแบบฟอร์มติดต่อทั่วไป หากเกิดเหตุ ให้ใช้ช่องทางรับเหตุขององค์กรและเก็บหลักฐานไว้ก่อน
ติดต่อประเมินขอบเขต PDPA