ประกาศฉบับนี้อยู่ในราชกิจจานุเบกษาเล่ม 139 ตอนพิเศษ 292 ง ลงวันที่ 15 ธ.ค. 2565 มีผลตั้งแต่วันที่ลงประกาศ ข้อ 5 กำหนดสิ่งที่ผู้ควบคุมข้อมูลส่วนบุคคลต้องทำเมื่อทราบเหตุไว้เป็นลำดับ โดยสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (สคส.) เป็นผู้รับแจ้ง
| ลำดับในข้อ 5 |
ประกาศกำหนดให้ทำอะไร |
กรอบเวลา |
| (1) |
ตรวจสอบข้อเท็จจริงและมาตรการรักษาความปลอดภัย ทั้งของตัวเอง ผู้ประมวลผล และบุคคลที่เกี่ยวข้อง แล้วประเมินความเสี่ยง |
โดยไม่ชักช้าเท่าที่ทำได้ หลังได้รับแจ้งหรือทราบเองว่ามีหรือน่าจะมีเหตุ |
| (2) |
ถ้าพบว่าเสี่ยงสูง ให้ป้องกัน ระงับ หรือแก้ไขเพื่อให้การละเมิดสิ้นสุด |
โดยทันทีเท่าที่ทำได้ |
| (3) |
ถ้ามีเหตุอันควรเชื่อว่าละเมิดจริง ให้แจ้ง สคส. |
ไม่ชักช้าและไม่เกิน 72 ชั่วโมงนับแต่ทราบเหตุ ส่วนการละเมิดที่ไม่มีความเสี่ยงกระทบสิทธิและเสรีภาพของใครไม่ต้องแจ้ง |
| (4) |
ถ้าเสี่ยงสูง ให้บอกเจ้าของข้อมูลและบอกวิธีเยียวยาไปด้วย |
โดยไม่ชักช้า |
| (5) |
ระงับ ฟื้นฟู และทบทวนมาตรการเพื่อกันเหตุซ้ำ |
ประกาศไม่ได้กำหนด |
ลำดับในตารางนี้ตอบคำถามที่ผู้บริหารหลายคนถามผิดตั้งแต่ต้น คือ "ต้องแถลงข่าวภายในกี่ชั่วโมง" ประกาศไม่ได้พูดถึงการแถลงข่าวเลย สิ่งที่ประกาศบังคับคือการแจ้งสำนักงานและการแจ้งผู้ได้รับผลกระทบ การแถลงต่อสาธารณะเป็นการตัดสินใจทางการสื่อสารที่แยกออกมาอีกชั้น
คำว่านับแต่ทราบเหตุ เริ่มนับตอนไหน
ประกาศไม่ได้นิยามคำว่า "ทราบเหตุ" ไว้ ข้อ 5 เริ่มหน้าที่ทั้งหมดตั้งแต่ผู้ควบคุมข้อมูล "ได้รับแจ้งข้อมูลในเบื้องต้นจากผู้ใด" หรือ "ทราบเอง ว่ามีหรือน่าจะมีเหตุการละเมิด" จากนั้นข้อ 5 (1) ให้ตรวจสอบข้อเท็จจริง "โดยไม่ชักช้าเท่าที่จะสามารถกระทำได้" และข้อ 5 (3) ให้แจ้งสำนักงานเมื่อพบว่ามีเหตุอันควรเชื่อว่าละเมิดจริง ภายใน 72 ชั่วโมง "นับแต่ทราบเหตุ" ตัวบทจึงไม่ได้ให้เริ่มนับหลังตรวจสอบเสร็จ งานตรวจสอบต้องทำภายในกรอบเวลาเดียวกัน องค์กรจึงต้องบันทึกเวลาที่ได้รับแจ้งครั้งแรกและสิ่งที่ทำไว้ทุกขั้น เพราะเป็นหลักฐานที่อธิบายได้ภายหลังว่าใช้เวลาไปกับอะไร ส่วนการตัดสินว่าองค์กร "ทราบเหตุ" เมื่อใดในเหตุแต่ละครั้ง ควรทำร่วมกับทนายความที่อ่านข้อเท็จจริงของเหตุนั้นจริง
ประกาศนี้ใช้กับเหตุละเมิดข้อมูลส่วนบุคคลเท่านั้น วิกฤตประเภทอื่น เช่น สินค้าไม่ปลอดภัยหรืออุบัติเหตุในสถานที่ทำงาน มีหน่วยงานและกฎหมายเฉพาะของตัวเอง บทความนี้ยกประกาศฉบับนี้มาเพราะเป็นกรณีที่กรอบเวลาเขียนไว้ชัดที่สุด ไม่ได้แทนคำปรึกษาทางกฎหมายสำหรับเหตุการณ์จริง
