การละเมิดข้อมูลส่วนบุคคล (Data Breach)

การละเมิดข้อมูลส่วนบุคคล (Data Breach) คือ เหตุการณ์ที่ข้อมูลส่วนบุคคลถูกเข้าถึง เปิดเผย สูญหาย เปลี่ยนแปลง หรือถูกทำลายโดยไม่ได้รับอนุญาต ไม่ว่าจะโดยอุบัติเหตุหรือโดยมิชอบ ตามกรอบของ PDPA เหตุละเมิดข้อมูลอาจเกิดจากการถูกแฮกระบบ การส่งอีเมลผิดผู้รับ การทำอุปกรณ์เก็บข้อมูลสูญหาย หรือการที่พนักงานเข้าถึงข้อมูลโดยไม่ได้รับอนุญาต

เมื่อเกิดเหตุละเมิดข้อมูล ผู้ควบคุมข้อมูลมีหน้าที่ต้องแจ้งเหตุต่อสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (สคส.) โดยไม่ชักช้าและภายใน 72 ชั่วโมงนับแต่ทราบเหตุ เว้นแต่การละเมิดนั้นไม่มีความเสี่ยงต่อสิทธิและเสรีภาพของเจ้าของข้อมูล หากการละเมิดมีความเสี่ยงสูงต่อสิทธิและเสรีภาพ ผู้ควบคุมข้อมูลต้องแจ้งเหตุและแนวทางการเยียวยาให้เจ้าของข้อมูลทราบด้วย

เพื่อป้องกันและรับมือเหตุละเมิดข้อมูล ผู้ควบคุมข้อมูลต้องจัดให้มีมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสม ตามมาตรา 37 เช่น การเข้ารหัสข้อมูล การควบคุมการเข้าถึง การสำรองข้อมูล และการฝึกอบรมพนักงาน รวมถึงต้องจัดให้มีขั้นตอนการตอบสนองต่อเหตุละเมิด (Incident Response Plan) ที่ชัดเจน เพื่อให้สามารถตรวจพบ ประเมิน และแจ้งเหตุได้อย่างทันท่วงที

สำหรับ SME การเตรียมพร้อมรับมือเหตุละเมิดข้อมูลเป็นสิ่งสำคัญ แม้ธุรกิจจะเล็กก็ตกเป็นเป้าหมายของการโจมตีได้ มาตรการพื้นฐานเช่น การใช้รหัสผ่านที่แข็งแรง การอัปเดตซอฟต์แวร์สม่ำเสมอ การเข้ารหัสข้อมูลลูกค้า และการจำกัดสิทธิ์การเข้าถึงข้อมูลตามความจำเป็น ล้วนช่วยลดความเสี่ยงและแสดงถึงความรับผิดชอบของผู้ควบคุมข้อมูล

คำถามที่พบบ่อย

Frequently asked questions

เนื้อหาที่เกี่ยวข้อง

Related content