เงื่อนไขการใช้สิทธิและการบริหารจัดการสิทธิตาม PDPA

บทความน่าสนใจ

    พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล พ.ศ.2562 หรือ PDPA กำหนดให้เจ้าของข้อมูลส่วนบุคคลมีสิทธิหลาย ๆ ประการที่กฎหมายบัญญัติไว้ในมาตรา 30-36   ได้แก่ สิทธิในการขอเข้าถึงและขอรับสำเนา (Access) สิทธิขอให้โอนข้อมูล (Portability) สิทธิคัดค้าน (Object) สิทธิขอให้ลบ (Erasure) สิทธิขอให้ระงับการใช้ (Restriction) และสิทธิขอให้แก้ไขข้อมูล (Rectification)   กฎหมายได้กำหนดเป็นหน้าที่ขององค์กรต่าง ๆ ในฐานะผู้ควบคุมข้อมูลส่วนบุคคล ให้มีหน้าที่ดำเนินการตอบสนองต่อคำขอใช้สิทธิของเจ้าของข้อมูลส่วนบุคคลด้วย (Responding to Data Subject Requests: DSRs)   สิทธิทั้ง 6 ประการดังกล่าวมีเงื่อนไขและขอบเขตการใช้บังคับหรือการดำเนินการตาม DSRs ที่แตกต่างกันขึ้นอยู่กับเงื่อนไขการใช้สิทธิแต่ละประเภท และฐานทางกฎหมายที่เกี่ยวข้อง (lawful basis) กับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล   European Data Protection Board (EDPB) ซึ่งเป็นหน่วยงานกำกับการบังคับใช้ GDPR…

การรักษาความมั่นคงปลอดภัยของข้อมูลและการแจ้งเหตุการละเมิด

บทความน่าสนใจ

    พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล พ.ศ.2562 เป็นกฎหมายที่กำหนดหน้าที่และความรับผิดชอบขององค์กร ในฐานะผู้ควบคุมข้อมูลส่วนบุคคลและผู้ประมวลผลข้อมูลส่วนบุคคลที่ต้องปฏิบัติ เมื่อดำเนินการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล   หน้าที่ที่สำคัญประการหนึ่งขององค์กร คือ การจัดให้มีมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสม (Security of Processing/Data Security)   และในกรณีที่ “มาตรการรักษาความมั่นคงปลอดภัย” ดังกล่าวที่องค์กรดำเนินการไม่เป็นไปตามมาตรฐานหรือเกิดข้อผิดพลาด อันอาจนำไปสู่เหตุการละเมิดข้อมูลส่วนบุคคล (Data Breach)   องค์กรก็จะมีหน้าที่แจ้งเหตุการละเมิดข้อมูลส่วนบุคคลตามเงื่อนไขที่กฎหมายกำหนด (Data Breach Notification)   หน้าที่ในส่วนของ “การมีมาตรการรักษาความมั่นคงปลอดภัย” และ “การแจ้งเหตุการละเมิด” จึงเป็นสองหน้าที่ที่มาควบคู่กันเสมอ   ในระบบกฎหมายด้านการคุ้มครองข้อมูลส่วนบุคคล ถือว่าเมื่อองค์กรนำเข้าและใช้ประโยชน์จากข้อมูลส่วนบุคคล องค์กรก็มีหน้าที่ต้องดูแลรักษา และเมื่อไม่สามารถดูแลได้จนนำมาซึ่งการเกิดเหตุการละเมิดข้อมูลส่วนบุคคล   องค์กรก็ต้องรีบดำเนินการแจ้งเหตุการละเมิดข้อมูลส่วนบุคคลตามเงื่อนไขของกฎหมาย   เพื่อให้มีการประเมินและพิจารณาความเสี่ยงต่อสิทธิและเสรีภาพของเจ้าของข้อมูลส่วนบุคคลโดยเร็ว   พร้อมทั้งดำเนินการเยียวยาแก้ไขความเสียหายและผลกระทบใด ๆ ที่อาจมีต่อเจ้าของข้อมูลส่วนบุคคล อันเป็นการปกป้องส่วนได้เสียต่าง ๆ ของผู้ใช้บริการ/ประชาชน   ตามประกาศฯ มาตรการรักษาความมั่นคงปลอดภัย ข้อ…

ดีอีเอส รู้ตัว 9near แล้ว! รับหลายหน่วยงานรัฐยังมีช่องโหว่จริง

การรักษาความลับ, ข่าวประจำวัน, สถานการณ์ไซเบอร์

    ชัยวุฒิ เผยรู้ตัวผู้ใช้งานบัญชี 9near แล้ว พบเป็นคนในประเทศและทำเป็นขบวนการหวังดิสเครดิตรัฐ ยอมรับระบบเทคโนโลยีของภาครัฐยังมีช่องโหว่ อาจส่งผลให้ข้อมูลประชาชนรั่วไหลได้   ชัยวุฒิ ธนาคมานุสรณ์ รัฐมนตรีว่าการกระทรวงดิจิทัลเพื่อเศรษฐกิจและสังคม (ดีอีเอส) เผยความคืบหน้ากรณี ผู้ใช้ชื่อบัญชี “9near” อ้างว่ามีข้อมูลส่วนตัวของคนไทยกว่า 55 ล้านรายชื่อ   ทั้งนี้ เจ้าหน้าที่ตำรวจได้ข้อมูลมาพอสมควรและได้ล็อกเป้าคนร้ายแล้ว แต่ยังไม่สามารถยืนยันได้ว่าข้อมูลหลุดออกมาจากหน่วยงานไหน ต้องรอจับคนร้ายให้ได้ก่อนแล้วจึงขยายผล เบื้องต้นเชื่อว่าเป็นการดิสเครดิต ต้องการให้รู้ว่าระบบมีปัญหา ไม่ได้เป็นการเรียกค่าไถ่ หรือหาเงินจากเรื่องนี้   คิดว่าการโจมตีครั้งนี้ มีการทำเป็นขบวนการไม่สามารถทำคนเดียวได้ ยืนยันหากจับคนร้ายได้แล้วข้อมูลไม่รั่วไหลแน่นอน   โดยได้มอบหมายให้ปลัดกระทรวงดิจิทัลฯ ประสานงานกับผู้เกี่ยวข้องเร่งหาข้อเท็จจริง รวมทั้งดูแลผู้เสียหายจากเคส 9near ด้วย   อย่างไรก็ตาม นายชัยวุฒิ มองว่า มีหลายหน่วยงานที่มีโอกาสทำข้อมูลรั่วไหล โดยเฉพาะระบบที่ประชาชนต้องลงทะเบียน รวมถึงการแจ้งผลการลงทะเบียนของประชาชน ที่จำเป็นต้องมีการระบุ ชื่อ ที่อยู่ เบอร์โทรศัพท์บนแพลตฟอร์มที่เป็นสาธารณะ   ตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ.2562 (PDPA) ระบุให้หน่วยงานที่รู้ตัวว่าทำข้อมูลหลุดต้องแจ้งต่อ…

ผ่าแนวคิด “สกมช.” มือปราบภัยไซเบอร์ รับมือ ภัยคุกคามป่วนหนัก

บทความน่าสนใจ

  ภัยไซเบอร์ ที่คุกคามเข้ามาส่งผลกระทบให้กับคนไทยในช่วงที่ผ่านมา นอกจากจะมีรูปแบบเดิม ๆ คือ มัลแวร์ แรนซัมแวร์ ฟิชชิ่ง แล้ว ทุกวันนี้ออนไลน์ต้องเผชิญหน้ากับภัยจากการหลอกลวงให้โอนเงิน กดลิงก์ปลอม หลอกให้ติดตั้งแอปพลิเคชัน หรือ แม้แต่การเสียบสายชาร์จสมาร์ตโฟน ก็สามารถทำให้เงินหายเกลี้ยงบัญชีได้ รัฐบาลได้จัดตั้งสำนักงานคณะกรรมการการรักษาความมั่นคงปลอดภัยไซเบอร์ (สกมช.) เพื่อรับผิดชอบในส่วนนี้โดยเฉพาะ   พล.อ.ต.อมร ชมเชย เลขาธิการสกมช. กล่าวว่า ภัยไซเบอร์ขององค์กรปีนี้ยังคงพบความเสี่ยงขององค์กรที่ไม่มีการอัปเกรดเซิร์ฟเวอร์ จนกลายเป็นช่องโหว่ของ แก๊งแรนซัมแวร์ ในการขโมยข้อมูล เรียกค่าไถ่ ประจาน และเปิดเผยข้อมูล ซึ่งทั่วโลกมีบริษัทถูกแฮกข้อมูลกว่า 100 บริษัทต่อเดือน   ขณะที่ประเทศไทยถูกแฮก เฉลี่ยเดือนละ 5-6 บริษัท แต่ไม่มีใครเปิดเผย เพราะกลัวมีความผิดตาม พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล หรือ พีดีพีเอ   เรื่องข้อมูลส่วนบุคคลในต่างประเทศ อาทิ สิงคโปร์ ออสเตรเลีย ให้ความสำคัญมากมีบริการ เครดิต วอช ด้วยการซื้อประกันข้อมูลรั่ว หากข้อมูลรั่วบริษัทต้องจ่ายค่าเสียหายให้ลูกค้าและรัฐบาล เชื่อว่าอีกไม่นานประเทศไทยต้องมีบริการรูปแบบนี้…

สกมช.เตรียมแก้ กม.เพิ่มอำนาจปรับหน่วยงานระบบไอทีไม่ปลอดภัย

ข่าวประจำวัน, สถานการณ์ไซเบอร์

    เหตุเป็นช่องแฮกเกอร์เจาะข้อมูล หลังพบสถิติองค์กรไทยถูกแก๊งแรนซัมแวร์ขโมยข้อมูล เรียกค่าไถ่ เดือนละ 5-6 บริษัท   พล.อ.ต.อมร ชมเชย เลขาธิการสำนักงานคณะกรรมการการรักษาความมั่นคงปลอดภัยไซเบอร์ (สกมช.) กล่าวว่า ภัยไซเบอร์ขององค์กรปีนี้ยังคงพบความเสี่ยงขององค์กรที่ไม่มีการอัปเกรดเซิร์ฟเวอร์ จนกลายเป็นช่องโหว่ของ แก๊งแรนซัมแวร์ ในการขโมยข้อมูล เรียกค่าไถ่ ประจาน และเปิดเผยข้อมูล ซึ่งทั่วโลกมีบริษัทถูกแฮกข้อมูลกว่า 100 บริษัทต่อเดือน ขณะที่ประเทศไทยถูกแฮกเฉลี่ยเดือนละ 5-6 บริษัท แต่ไม่มีใครเปิดเผย เพราะกลัวมีความผิดตาม พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล หรือ พีดีพีเอ   ทั้งนี้ เรื่องข้อมูลส่วนบุคคลในต่างประเทศ อาทิ สิงคโปร์ ออสเตรเลีย ให้ความสำคัญอย่างมาก โดยมีบริการ เครดิต วอช ด้วยการซื้อประกันข้อมูลรั่ว หากข้อมูลรั่วบริษัทต้องจ่ายค่าเสียหายให้ลูกค้าและรัฐบาล เชื่อว่าอีกไม่นานประเทศไทยต้องมีบริการรูปแบบนี้ เพราะ พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล มีโทษปรับทางปกครองสูงสุดไม่เกิน 5,000,000 บาท กับหน่วยงานที่ปล่อยให้ข้อมูลส่วนบุคคลรั่ว   อย่างไรก็ตาม ที่ผ่านมา สกมช.มีหน้าที่ในการกำหนดมาตรฐานระบบไอทีให้หน่วยงานโครงสร้างพื้นฐานที่สำคัญของประเทศ…

แนวทางในการคัดเลือก เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล (DPO)

บทความน่าสนใจ

  เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล (Data Protection Officer:DPO) ถือเป็นบุคคลสำคัญในการกำกับดูแลด้านการคุ้มครองข้อมูลส่วนบุคคลขององค์กร   พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 จึงได้กำหนดหน้าที่ในการจัดให้มีเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลไว้ โดยให้ผู้ควบคุมข้อมูลส่วนบุคคลและผู้ประมวลผลข้อมูลส่วนบุคคลต้องจัดให้มี DPO ในกรณีดังต่อไปนี้   (1) ผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคลเป็นหน่วยงานของรัฐตามที่คณะกรรมการคุ้มครองข้อมูลส่วนบุคคลประกาศกำหนด หรือ   (2) การดำเนินกิจกรรมของผู้ควบคุมข้อมูลส่วนบุคคล หรือผู้ประมวลผลข้อมูลส่วนบุคคลในการเก็บรวบรวม ใช้ หรือเปิดเผย จำเป็นต้องตรวจสอบข้อมูลส่วนบุคคลหรือระบบอย่างสม่ำเสมอโดยเหตุที่มีข้อมูลส่วนบุคคลเป็นจำนวนมากตามที่คณะกรรมการคุ้มครองข้อมูลส่วนบุคคลประกาศกำหนด หรือ   (3) “กิจกรรมหลัก” ของผู้ควบคุมข้อมูลส่วนบุคคล หรือผู้ประมวลผลข้อมูลส่วนบุคคลเป็นการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลตามมาตรา 26   ในปัจจุบัน คณะกรรมการคุ้มครองข้อมูลส่วนบุคคลยังไม่ได้มีการออกประกาศตามข้อ (1) และ (2) ดังกล่าวข้างต้น   ในส่วนของบุคคลที่จะทำหน้าที่ DPO กฎหมายกำหนดว่าอาจเป็นพนักงานของผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคล หรือเป็นผู้รับจ้างให้บริการตามสัญญาก็ได้เช่นกัน   หน้าที่หลัก ๆ ของ DPO คือ การให้คำแนะนำและตรวจสอบองค์กรนั้น ๆ ในการปฏิบัติและดำเนินการให้สอดคล้องกับพ.ร.บ.คุ้มครองข้อมูลส่วนบุคคลฯ…