ข้อมูลส่วนบุคคล

เริ่มปีใหม่ 2021 ก็ปวดหัวกันตั้งแต่ต้นปี เพราะบริษัทจำกัด (มหาชน) แห่งหนึ่งในไทยทำข้อมูลส่วนบุคคลรั่ว

‍เรื่องนี้ดูเบาไม่ได้ เพราะนอกจากจะอันตรายกับบริษัทแล้ว นี่ยังเสี่ยงต่อการโดนลงโทษ พ.ร.บ. คุ้มครองข้อมูลส่วนบุคคล (PDPA) จะต้องรับโทษข้อไหน? ทำยังไงดี? และในแง่มุมลูกค้าที่จะเข้ามาฟ้องร้อง ในส่วนองค์กรหรือธุรกิจคุณสามารถทำอะไรได้บ้างเพื่อเลี่ยงความอันตรายจากการรั่วไหลของข้อมูล? (สามารถทำความเข้าใจเรื่อง PDPA ได้ที่ Blog ของเรา) https://t-reg.co/blog/pdpa/what-is-pdpa/ 

เริ่มมาดูกันก่อนว่าปัญหาเกิดจากอะไร?

จากฝ่าย Hacker (ALTDOS) ได้อ้างว่า

“เราไม่ได้ขโมยแค่ข้อมูลที่บันทึกไว้แค่ ‘บางส่วน’ แต่เราขโมยข้อมูล ‘ทั้งหมด’ ข้อมูลที่ขโมยได้ไม่ใช่แค่ชื่ออายุ ด้วย Database ของ HR แล้วมันมีทุกอย่างตั้งแต่ข้อมูลพ่อ แม่ พี่น้องชายหญิง การศึกษา ประวัติการทำงาน เงินเดือน และอีกเยอะเลย”

และ

“ไม่พบการป้องกันหรือแม้แต่ Firewall ทั้งทีได้แจ้งเตือนวันและเวลาก่อนการโจมตีด้วยซ้ำ”

พร้อมกับแนบ 2 รูปนี้…

HR Database จากบริษัทแห่งหนึ่ง HR Database จากบริษัทแห่งหนึ่ง

ข้อมูลส่วนบุคคลที่ถูกเผยแพร่ ข้อมูลส่วนบุคคลที่ถูกเผยแพร่

ล่าสุดทางบริษัทได้ชี้แจงว่า “เป็นการขู่กรรโชก” เท่านั้น แต่ ALTDOS ตอบกลับว่าได้เรียกค่าไถ่กับทางบริษัทเป็นจำนวนเงิน 5 แสนเหรียญ แต่ทางบริษัทมหาชนได้เจรจาต่อรองจ่ายเพียง 1 ใน 3 พร้อมว่าจ้างให้ทาง ALTDOS เป็นพนักงานดูแล Cyber Security ซึ่งเขาปฏิเสธ

ในเรื่องนี้ มีความผิดทางโทษของ PDPA เต็มๆ

  • ทางบริษัทต้องความรับผิดทางแพ่ง ตามความเสียหายจริง และอาจต้องชดใช้ค่าสินไหมทดแทน สูงสุดไม่เกิน 2 เท่าของค่าเสียหาย
  • อาจโดนโทษทางอาญา จำคุกไม่เกิน 1 ปี หรือปรับไม่เกิน 1 ล้านบาท หรือทั้งจำทั้งปรับ
  • และอาจโดนโทษทางปกครอง ปรับไม่เกิน 5 ล้านบาท

แล้วต้องทำอย่างไรต่อ?

เหตุการณ์นี้จะไม่มีทางเกิดขึ้น หากมีการทำ PDPA ในองค์กร เพราะตัว พ.ร.บ. PDPA นั้นมีหลายกระบวนการและหลายขั้นตอนในการจัดการ ทั้งนี้ทั้งนั้นก็เพื่อทำให้ข้อมูลไม่รั่วไหลไปง่ายๆ แต่ก็น่าคิดว่า ระยะเวลาในการทำนั้นจะทำทันก่อนวันที่ 1 มิ.ย. 2564 รึเปล่า?

เบื้องต้นคุณสามารถแก้ไขความเสี่ยงได้ด้วยตนเอง

  • การจัดเตรียมข้อมูลเอกสารที่เป็นข้อมูลอ่อนไหวและข้อมูลส่วนบุคคล
  • การแต่งตั้งบุคคลพร้อมเอกสารสำหรับผู้ที่จะเข้ามาดูแลด้าน PDPA โดยเฉพาะ
  • การจัดทำระบบแสดงการไหลของข้อมูล
  • การระบุเหตุผลของการใช้ข้อมูล
  • และอีกหลายส่วนที่สำคัญในการรักษาความปลอดภัย

Recommended Posts

No comment yet, add your voice below!


Add a Comment

Your email address will not be published. Required fields are marked *