หน้าหลัก

การแจ้งเหตุละเมิดข้อมูลส่วนบุคคล

4 แนวคิดที่เกี่ยวข้อง · 3 มาตราอ้างอิง
สารบัญในมาตรานี้
  1. นิยาม
  2. ตัวอย่าง
  3. มาตราที่เกี่ยวข้อง
  4. ประกาศที่เกี่ยวข้อง
  5. หมายเหตุ
  6. แนวคิดที่เกี่ยวข้อง

นิยาม

การแจ้งเหตุละเมิดข้อมูลส่วนบุคคล คือหน้าที่ของผู้ควบคุมข้อมูลที่ต้องแจ้งเหตุการละเมิดข้อมูล (เช่น การรั่วไหล การถูกเข้าถึงโดยไม่ชอบ การสูญหาย การเปลี่ยนแปลงโดยไม่ได้รับอนุญาต) — ทั้งต่อสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล และต่อเจ้าของข้อมูลที่ได้รับผลกระทบ (ในกรณีที่มีความเสี่ยงสูง) — ภายในกรอบเวลาที่กฎหมายกำหนด

พ.ร.บ. คุ้มครองข้อมูลส่วนบุคคลกำหนดข้อบังคับไว้ใน มาตรา 37 (4) — ส่วนผู้ประมวลผลข้อมูลมีหน้าที่แจ้งให้ผู้ควบคุมทราบตาม มาตรา 40 (2)

ตัวอย่าง

โครงสร้างหน้าที่แจ้งตาม มาตรา 37 (4)

ขั้นที่ 1 — แจ้งสำนักงานคณะกรรมการ (บังคับเกือบทุกกรณี):

ขั้นที่ 2 — แจ้งเจ้าของข้อมูล (เฉพาะกรณีความเสี่ยงสูง):

หลักเกณฑ์และวิธีการ: ตามที่คณะกรรมการประกาศกำหนด (มาตรา 37 (4) วรรคท้าย)

ตัวอย่างเหตุละเมิดข้อมูล

เหตุที่ต้องแจ้งสำนักงานและเจ้าของข้อมูล (ความเสี่ยงสูง):

เหตุที่ต้องแจ้งสำนักงานเท่านั้น (ไม่ใช่ความเสี่ยงสูง):

เหตุที่อาจไม่ต้องแจ้ง (ไม่มีความเสี่ยง):

ตัวอย่างเนื้อหาการแจ้งเจ้าของข้อมูล (กรณีความเสี่ยงสูง)

ผู้ควบคุมควรแจ้ง:

  1. คำอธิบายเหตุการละเมิด — เกิดอะไรขึ้น เมื่อใด
  2. ประเภทของข้อมูลที่ได้รับผลกระทบ — เช่น ชื่อ ที่อยู่ เลขประจำตัวประชาชน ข้อมูลทางการเงิน ข้อมูลอ่อนไหว
  3. ผลกระทบที่อาจเกิดขึ้น — เช่น การฉ้อโกง การขโมยอัตลักษณ์ การถูกเลือกปฏิบัติ
  4. มาตรการที่ผู้ควบคุมได้ดำเนินการแล้ว — เช่น การปิดระบบที่ถูกบุกรุก การแจ้งความ การปรับปรุงระบบ
  5. มาตรการเยียวยาที่แนะนำให้เจ้าของข้อมูลทำ — เช่น เปลี่ยนรหัสผ่าน ติดตามรายการธุรกรรมในบัญชี ระงับบัตรเครดิตชั่วคราว
  6. ช่องทางติดต่อ DPO หรือผู้รับผิดชอบ สำหรับคำถามเพิ่มเติม

ผู้ประมวลผลตาม มาตรา 40 (2)

ผู้ประมวลผลข้อมูลที่ทราบเหตุการละเมิดต้องแจ้ง ผู้ควบคุม (ไม่ใช่สำนักงานหรือเจ้าของข้อมูลโดยตรง) — ผู้ควบคุมเป็นผู้รับผิดชอบในการประเมินและแจ้งสำนักงาน/เจ้าของข้อมูลตาม มาตรา 37 (4) ต่อไป

มาตราที่เกี่ยวข้อง

บทบัญญัติหลัก:

กลไกการบังคับใช้:

ประกาศที่เกี่ยวข้อง

-

หมายเหตุ