ขั้นตอนการแจ้งเหตุการณ์ละเมิดข้อมูลส่วนบุคคล

๓๔คู่มือขั้นตอนการแจ้งเหตุการณ์ละเมิดข้อมูลส่วนบุคคล เพื่อแจ้งเหตุแก่หน่วยงาน และ/หรือเจ้าของข้อมูลส่วนบุคคลดย. จะต้องแจ้งเหตุแก่ผู้กำกับดูแลหรือเจ้าของข้อมูลเมื่อมีข้อมูลส่วนบุคคลรั่วไหล (data breach) ซึ่งคำว่า “ข้อมูลส่วนบุคคลรั่วไหล” มีความหมายกว้างและครอบคลุมการที่ข้อมูลถูกทำลาย การสูญหาย การแก้ไขเปลี่ยนแปลง การเปิดเผย หรือการเข้าถึง ส่งต่อ เก็บรักษาหรือถูกประมวลผลอย่างอื่นไม่ว่าจะเกิดจากการกระทำอันมิชอบด้วยกฎหมายหรือโดยอุบัติเหตุก็ตามการพิจารณาเหตุละเมิดข้อมูลส่วนบุคคลเป็นเรื่องที่ละเอียดอ่อนมาก เพราะการดำเนินการอาจนำมาซึ่งการเปิดเผยข้อมูลส่วนบุคคลโดยไม่เจตนา อันกลฉ้อฉลที่ทำให้เจ้าหน้าที่ของ ดย. เปิดเผยข้อมูลส่วนบุคคลหรือโดยหลงผิดตัวบุคคลผู้ เป็นเจ้าของข้อมูลที่แท้จริง อนึ่งการดำเนินการป้องกันภัยต่อเหตุละเมิด หรือตอบสนองต่อเหตุนั้นอาจเป็นเหตุให้เกิดการเปิดเผยข้อมูลส่วนบุคคลให้แก่เจ้าหน้าที่ ดย. ผู้ไม่มีสิทธิในการเข้าถึงข้อมูลส่วนบุคคลอีกด้วยโดยสรุปสาระสำคัญของกระบวนการได้ดังนี้❖ เจ้าหน้าที่ต้องแจ้งแก่คณะทำงาน กรณีข้อมูลส่วนบุคคลรั่วไหลภายใน ๗๒ ชั่วโมงนับแต่ได้ทราบ เว้นแต่เหตุที่เกิดนั้นไม่น่าจะก่อให้เกิดความเสี่ยงใดๆ ต่อสิทธิและเสรีภาพของเจ้าของข้อมูล กรณีที่ไม่อาจแจ้งเหตุได้ภายใน ๗๒ ชั่วโมง เจ้าหน้าที่จะต้องแจ้งเหตุผลแห่งการแจ้งเหตุล่าช้าต่อคณะทำงานด้วย โดยข้อมูลที่ต้องแจ้งมี