เมื่อผู้รับจ้างทำข้อมูลรั่วไหล
การบริหารความเสี่ยงขององค์กรจากการใช้ผู้รับจ้างภายนอกในการประมวลผลข้อมูลส่วนบุคคลเพิ่มความท้าทายมากขึ้นเรื่อยๆ เมื่อเทคโนโลยีมีการเปลี่ยนแปลงไปอย่างรวดเร็ว โดยภัยคุกคามและความเสี่ยงต่างๆ ที่เกี่ยวเนื่องกับการประมวลผลข้อมูลส่วนบุคคลนั้น พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล พ.ศ.2562 กำหนดให้เป็นหน้าที่และความรับผิดชอบหลักขององค์กรที่เป็น “ผู้ควบคุมข้อมูลส่วนบุคคล” ในการที่จะประเมินและบริหารความเสี่ยงโดยการจัดให้มีมาตรการเชิงเทคนิคและมาตรการเชิงองค์กรที่เหมาะสม โดยเฉพาะการที่ต้องจัดให้มีมาตรการด้านความมั่นคงปลอดภัยที่เหมาะสม และหน้าที่ในการแจ้งเหตุการละเมิดข้อมูลส่วนบุคคล หน้าที่ดังกล่าว รวมไปถึงเมื่อมีการจ้างบุคคลที่สามมาทำการประมวลผลข้อมูลส่วนบุคคลอีกด้วยที่องค์กรในฐานะผู้ว่าจ้างต้องบริหารจัดการความเสี่ยงที่อาจเกิดขึ้นจากบุคคลที่สามอย่างเหมาะสม โดยเฉพาะในการดำเนินการที่เกี่ยวข้องเมื่อเกิดเหตุการละเมิดข้อมูลส่วนบุคคลตาม พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคลฯ ทั้งผู้ว่าจ้างและผู้รับจ้างมีหน้าที่และความรับผิดร่วมกันในส่วนของการจัดให้มี “มาตรการรักษาความมั่นคงปลอดภัย” แต่หน้าที่ในส่วนของการแจ้งตามกฎหมายเมื่อเกิดเหตุการละเมิดข้อมูลส่วนบุคคล (Breach notification) เป็นหน้าที่และความรับผิดของผู้ว่าจ้างในฐานะผู้ควบคุมข้อมูลส่วนบุคคลเท่านั้น ผู้ว่าจ้างจึงมีหน้าที่ในการบริหารจัดการความเสี่ยงในส่วนที่เกี่ยวเนื่องกับการแจ้งเหตุการละเมิดข้อมูลส่วนบุคคลอย่างเหมาะสม การเริ่มนับระยะเวลา 72 ชั่วโมงในกรณีที่เหตุการละเมิดข้อมูลส่วนบุคคลเกิดจากการดำเนินการของผู้รับจ้างจึงเป็นส่วนหนึ่งของการบริการจัดการความเสี่ยงที่สำคัญ โดยตามแนวทางของ WP29 Guidelines on Personal data breach notification under Regulation 2016/679 (GDPR) ให้ข้อสังเกตว่าการเริ่มนับระยะเวลา “นับแต่ทราบเหตุ” ให้พิจารณาหลักเกณฑ์ ดังนี้ มีการยืนยันว่ามีเหตุการละเมิดข้อมูลส่วนบุคคล (confirmed breach) : ผู้ควบคุมข้อมูลส่วนบุคคลมีความมั่นใจในระดับที่เหมาะสมว่าเกิดเหตุการณ์ด้านความมั่นคงปลอดภัย (security…