# วิธีแจ้งเหตุละเมิดข้อมูลส่วนบุคคลต่อ สคส. ภายใน 72 ชั่วโมงตาม PDPA ทีละขั้น

> คู่มือแจ้งเหตุละเมิดข้อมูลส่วนบุคคลต่อ สคส. ตาม PDPA มาตรา 37 (4) ตั้งแต่ประเมินความเสี่ยง กรอกแบบ ตข. 001 ส่งใน 72 ชั่วโมง ถึงแจ้งเจ้าของข้อมูลเมื่อเสี่ยงสูง

- ประเภท: คู่มือ · หมวด: Policy & Law
- เผยแพร่: 2026-10-22T12:50:00.000Z · อัปเดต: 2026-10-22T12:50:00.000Z
- โดย: กองบรรณาธิการ THAI DATA, THAI DATA IT BUSINESS ENTERPRISE
- ที่มา: https://thaidata.co.th/policy/pdpa-data-breach-notification-72-hours-guide/

## สรุปประเด็นสำคัญ

- **PDPA มาตรา 37 (4)** ให้ผู้ควบคุมข้อมูลแจ้งเหตุละเมิดข้อมูลส่วนบุคคลต่อ สคส. โดยไม่ชักช้าภายใน **72 ชั่วโมง**นับแต่ทราบเหตุ เว้นแต่ไม่มีความเสี่ยงต่อสิทธิและเสรีภาพของบุคคล ถ้าเสี่ยงสูงต้องแจ้งเจ้าของข้อมูลพร้อมแนวทางเยียวยาด้วย
- ประกาศคณะกรรมการฯ เรื่องการแจ้งเหตุ พ.ศ. 2565 กำหนดสาระที่ต้องแจ้ง **4 ข้อ** ปัจจัยประเมินความเสี่ยง **8 ข้อ** และให้ขอยกเว้นความผิดเมื่อแจ้งช้า โดยชี้แจงไม่เกิน **15 วัน**นับแต่ทราบเหตุ
- ณ ตุลาคม 2026 หน้าเว็บ สคส. ให้แจ้งเหตุละเมิดข้อมูลส่วนบุคคลด้วย **แบบ ตข. 001** (Word หรือ PDF ลงวันที่ 25 ก.พ. 2569) ส่งทางอีเมล saraban@pdpc.or.th โดยไม่มีค่าธรรมเนียม
- ผู้ประมวลผลข้อมูลต้องแจ้งเหตุละเมิดข้อมูลส่วนบุคคลแก่ผู้ควบคุมข้อมูลภายใน 72 ชั่วโมงนับแต่ตนทราบเหตุตามที่สัญญาต้องระบุ ส่วนผู้ควบคุมข้อมูลที่ไม่ปฏิบัติตามมาตรา 37 มีโทษปรับทางปกครองไม่เกิน **3 ล้านบาท**

การแจ้งเหตุละเมิดข้อมูลส่วนบุคคลตาม PDPA คือหน้าที่ของผู้ควบคุมข้อมูลส่วนบุคคลที่ต้องแจ้งสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (สคส.) โดยไม่ชักช้าภายใน 72 ชั่วโมงนับแต่ทราบเหตุ เว้นแต่เหตุนั้นไม่มีความเสี่ยงต่อสิทธิและเสรีภาพของบุคคล ถ้าเสี่ยงสูงต้องแจ้งเจ้าของข้อมูลพร้อมแนวทางเยียวยาด้วย ช่องทางที่ สคส. ระบุตอนนี้คือกรอกแบบ ตข. 001 แล้วส่งทางอีเมล

คู่มือนี้เขียนสำหรับ DPO ฝ่ายไอที และฝ่ายกฎหมาย ขั้นตอนแจ้งเหตุละเมิดข้อมูลส่วนบุคคลทั้งหมดตรวจกับ พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ประกาศคณะกรรมการฯ เรื่องการแจ้งเหตุ พ.ศ. 2565 และหน้าแบบฟอร์มของ สคส. ณ ตุลาคม 2026 ไม่ใช่คำปรึกษาทางกฎหมาย กรณีจริงควรให้ DPO หรือที่ปรึกษากฎหมายประเมิน

## เหตุแบบไหนต้องแจ้งเหตุละเมิดข้อมูลส่วนบุคคล

ประกาศคณะกรรมการฯ ข้อ 3 นิยามการละเมิดข้อมูลส่วนบุคคลว่าเป็นการละเมิดมาตรการรักษาความมั่นคงปลอดภัยที่ทำให้ข้อมูลส่วนบุคคลสูญหาย ถูกเข้าถึง ใช้ เปลี่ยนแปลง แก้ไข หรือเปิดเผยโดยมิชอบ ไม่ว่าจะเกิดจากเจตนา ความประมาทเลินเล่อ ภัยคุกคามทางไซเบอร์ ข้อผิดพลาด หรืออุบัติเหตุ ข้อ 4 ระบุว่าผู้ก่อเหตุอาจเป็นตัวผู้ควบคุมข้อมูลเอง ผู้ประมวลผลข้อมูล พนักงาน ผู้รับจ้าง หรือบุคคลอื่น และแบ่งการละเมิดเป็น 3 ประเภท ซึ่งเหตุหนึ่งอาจเข้าหลายประเภท

| ประเภทตามประกาศข้อ 4 | ความหมาย | ตัวอย่างที่เข้าข่าย |
| --- | --- | --- |
| Confidentiality Breach (ความลับ) | ข้อมูลถูกเข้าถึงหรือเปิดเผยโดยมิชอบ หรือจากข้อผิดพลาด | ส่งไฟล์รายชื่อลูกค้าถึงผู้รับผิดคน |
| Integrity Breach (ความถูกต้องครบถ้วน) | ข้อมูลถูกแก้จนไม่ถูกต้องหรือไม่ครบถ้วน | ข้อมูลบัญชีรับเงินของลูกค้าถูกแก้โดยผู้ไม่มีสิทธิ์ |
| Availability Breach (ความพร้อมใช้งาน) | เข้าถึงข้อมูลไม่ได้ หรือข้อมูลถูกทำลาย | ไฟล์ถูกเข้ารหัสโดย[แรนซัมแวร์](/glossary/ransomware/) |

ประเภทที่สามคือจุดที่มักถูกมองข้าม เหตุที่ข้อมูลไม่ได้หลุดออกไป แต่ระบบใช้งานไม่ได้ ก็เข้านิยามและต้องประเมินว่าต้องแจ้งเหตุละเมิดข้อมูลส่วนบุคคลหรือไม่เช่นกัน

## แจ้งเหตุละเมิดข้อมูลส่วนบุคคลภายใน 72 ชั่วโมง เริ่มนับเมื่อไร

มาตรา 37 (4) ให้แจ้ง "โดยไม่ชักช้าภายในเจ็ดสิบสองชั่วโมงนับแต่ทราบเหตุเท่าที่จะสามารถกระทำได้" ประกาศข้อ 5 อธิบายว่าเมื่อผู้ควบคุมข้อมูลได้รับแจ้งเบื้องต้นจากผู้ใด ไม่ว่าทางวาจา หนังสือ หรือทางอิเล็กทรอนิกส์ หรือทราบเอง ว่ามีหรือน่าจะมีเหตุละเมิด ต้องตรวจข้อเท็จจริงเบื้องต้นโดยไม่ชักช้า และเมื่อมีเหตุอันควรเชื่อว่าละเมิดจริง ให้แจ้ง สคส. ภายใน 72 ชั่วโมงนับแต่ทราบเหตุ

ประกาศไม่ได้เขียนให้เริ่มนับหลังตรวจสอบเสร็จ ทางที่ปลอดภัยคือบันทึกวันเวลาที่ได้รับแจ้งครั้งแรก แล้ววางแผนให้การแจ้งเหตุละเมิดข้อมูลส่วนบุคคลเสร็จภายใน 72 ชั่วโมงจากเวลานั้น ประกาศข้อ 6 ให้ระบุสาระ "เท่าที่จะสามารถกระทำได้" จึงไม่ต้องรอสืบสวนครบทุกรายละเอียด ข้อยกเว้นมีข้อเดียวคือเหตุนั้นไม่มีความเสี่ยงต่อสิทธิและเสรีภาพของบุคคล และข้อ 9 ให้ผู้ควบคุมข้อมูลเป็นฝ่ายพิสูจน์

## ก่อนเริ่ม: เตรียมอะไรไว้ก่อนเกิดเหตุ

รายการนี้ไล่ตามช่องที่แบบ ตข. 001 และประกาศถาม เตรียมไว้ก่อนจะทำให้แจ้งเหตุละเมิดข้อมูลส่วนบุคคลทันเวลาได้ง่ายขึ้น

- ชื่อ ที่อยู่ อีเมล และเบอร์โทรของเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล (DPO) หรือผู้ประสานงาน พร้อมสำเนาหนังสือแต่งตั้ง DPO หรือหนังสือมอบอำนาจที่แบบฟอร์มให้แนบ
- บันทึกรายการกิจกรรมการประมวลผลข้อมูล (RoPA) ตามมาตรา 39 เพราะแบบฟอร์มมีช่องให้กรอก
- คำอธิบายมาตรการรักษาความมั่นคงปลอดภัย 3 ด้าน คือ เชิงองค์กร เชิงเทคนิค และทางกายภาพ
- สัญญากับผู้ประมวลผลข้อมูลทุกรายที่ระบุหน้าที่แจ้งเหตุภายใน 72 ชั่วโมง (ข้อ 8)
- ช่องทางติดต่อเจ้าของข้อมูล และช่องทางประกาศทั่วไปเผื่อติดต่อรายคนไม่ได้ (ข้อ 11)
- แนวทางเก็บหลักฐานทางคอมพิวเตอร์ เพราะกรณีแรนซัมแวร์ หมายเหตุท้ายแบบ ตข. 001 ขอผลการตรวจสอบการจราจรทางคอมพิวเตอร์

## ไทม์ไลน์แจ้งเหตุละเมิดข้อมูลส่วนบุคคล ตั้งแต่ทราบเหตุถึงชั่วโมงที่ 72

ตารางนี้เรียงจากถ้อยคำของพระราชบัญญัติและประกาศเท่านั้น คำว่า "โดยไม่ชักช้า" และ "โดยทันที" ไม่มีตัวเลขกำกับ ตัวเลขที่กำหนดไว้ชัดในเรื่องนี้มีสองตัว คือ 72 ชั่วโมงและ 15 วัน

| ช่วงเวลา | สิ่งที่ต้องทำ | ที่มา |
| --- | --- | --- |
| เมื่อได้รับแจ้งหรือทราบเอง (เริ่มนับ) | บันทึกเวลา ประเมินความน่าเชื่อถือ ตรวจข้อเท็จจริงเบื้องต้นโดยไม่ชักช้า | ประกาศข้อ 5 (1) |
| ระหว่างตรวจ ถ้าพบความเสี่ยงสูง | ป้องกัน ระงับ หรือแก้ไขโดยทันทีเท่าที่ทำได้ | ประกาศข้อ 5 (2) |
| เมื่อมีเหตุอันควรเชื่อว่าละเมิดจริง | ประเมินระดับความเสี่ยงตามปัจจัย 8 ข้อ | ประกาศข้อ 5 (3) และข้อ 12 |
| ภายใน 72 ชั่วโมงนับแต่ทราบเหตุ | ส่งแบบ ตข. 001 ถึง สคส. เว้นแต่ไม่มีความเสี่ยง | มาตรา 37 (4) ประกาศข้อ 6 |
| โดยไม่ชักช้า เมื่อเสี่ยงสูง | แจ้งเจ้าของข้อมูลพร้อมแนวทางเยียวยา | มาตรา 37 (4) ประกาศข้อ 10 |
| ถ้าจำเป็นต้องช้ากว่า 72 ชั่วโมง | ชี้แจงเหตุผลขอยกเว้นความผิด ไม่เกิน 15 วันนับแต่ทราบเหตุ | ประกาศข้อ 7 |
| หลังจากนั้น | ฟื้นฟู ทบทวนมาตรการ และให้ข้อมูลหาก สคส. เชิญ | ประกาศข้อ 5 (5) คู่มือการให้บริการ |

## ตรวจสอบเหตุและประเมินความเสี่ยงก่อนแจ้งเหตุละเมิดข้อมูลส่วนบุคคล

### ขั้นตอนที่ 1: ตรวจข้อเท็จจริงและระงับเหตุ

ประกาศข้อ 5 (1) ให้ตรวจมาตรการรักษาความมั่นคงปลอดภัยของข้อมูลชุดนั้น ทั้งของตัวเองและของผู้ประมวลผลข้อมูล พนักงาน และผู้รับจ้าง เพื่อยืนยันว่าละเมิดจริงหรือไม่ ถ้าพบว่าเสี่ยงสูง ข้อ 5 (2) ให้ป้องกัน ระงับ หรือแก้ไขทันทีเท่าที่ทำได้ จดวันเวลาที่ทราบเหตุ ผู้แจ้ง ระบบที่เกี่ยวข้อง และสิ่งที่ทำไปแล้ว เพราะต้องใช้กรอกแบบฟอร์ม ถ้ามีการกระทำผิดทางอาญา หมายเหตุในแบบ ตข. 001 ให้แจ้งความร้องทุกข์กับพนักงานสอบสวน

### ขั้นตอนที่ 2: ประเมินความเสี่ยงตามปัจจัย 8 ข้อ

ประกาศข้อ 12 ให้พิจารณา (1) ลักษณะและประเภทของการละเมิด (2) ประเภทข้อมูลที่เกี่ยวข้อง (3) ปริมาณ ดูจากจำนวนเจ้าของข้อมูลหรือจำนวนรายการ (records) (4) สถานะของเจ้าของข้อมูล เช่น มีผู้เยาว์ ผู้พิการ หรือบุคคลเปราะบางหรือไม่ (5) ความร้ายแรงของผลกระทบและประสิทธิผลของมาตรการบรรเทา (6) ผลกระทบในวงกว้างต่อธุรกิจหรือสาธารณะ (7) ลักษณะของระบบจัดเก็บและมาตรการรักษาความมั่นคงปลอดภัย และ (8) สถานะทางกฎหมาย ขนาด และลักษณะของกิจการ แบบ ตข. 001 อ้างข้อ 12 โดยตรง และให้เลือกผลเป็น ไม่เสี่ยง เสี่ยง หรือเสี่ยงสูง พร้อมเหตุผล

## ไม่เสี่ยง เสี่ยง เสี่ยงสูง ต้องแจ้งต่างกันอย่างไร

![ระดับความเสี่ยงสามระดับในแบบ ตข. 001 กับหน้าที่แจ้ง สคส. และเจ้าของข้อมูลตามมาตรา 37 (4)](https://thaidata-co-th.s3.ap-southeast-1.amazonaws.com/thaidata.co.th/images/articles/pdpa-data-breach-notification-72-hours-guide/pdpa-breach-risk-levels.webp?v=9d8beba8) _(ภาพ: THAI DATA (ข้อมูล: พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ประกาศคณะกรรมการฯ พ.ศ. 2565 และแบบ ตข. 001 ของ สคส.))_

| ผลประเมิน | แจ้ง สคส. | แจ้งเจ้าของข้อมูล | สิ่งที่ต้องมีในมือ |
| --- | --- | --- | --- |
| ไม่เสี่ยง | ไม่ต้องตามมาตรา 37 (4) | ไม่ต้อง | หลักฐานว่าไม่มีความเสี่ยง เช่น ระบุตัวบุคคลไม่ได้ หรือใช้งานไม่ได้เพราะมีมาตรการทางเทคโนโลยีที่เพียงพอ (ข้อ 9) |
| เสี่ยง | ภายใน 72 ชั่วโมง | ไม่บังคับ | แบบ ตข. 001 ที่มีสาระ 4 ข้อตามประกาศข้อ 6 |
| เสี่ยงสูง | ภายใน 72 ชั่วโมง | โดยไม่ชักช้า พร้อมแนวทางเยียวยา | แบบ ตข. 001 และหนังสือหรือประกาศถึงเจ้าของข้อมูลตามข้อ 10 |

ข้อ 9 เป็นข้อยกเว้นที่ต้องยกขึ้นพร้อมหลักฐาน เช่น โน้ตบุ๊กที่หายพร้อมข้อมูลลูกค้า หลักฐานว่าดิสก์เข้ารหัสไว้คือสิ่งที่ใช้ประกอบการประเมิน (ดู[คู่มือเข้ารหัสดิสก์โน้ตบุ๊ก BitLocker และ FileVault](/security/laptop-disk-encryption-bitlocker-filevault-guide/))

## วิธีกรอกแบบฟอร์มแจ้งเหตุละเมิดข้อมูลส่วนบุคคล

### ขั้นตอนที่ 3: ดาวน์โหลดแบบ ตข. 001 สำหรับแจ้งเหตุละเมิดข้อมูลส่วนบุคคล

เปิดหน้า [หน่วยงานแจ้งเหตุละเมิด](https://www.pdpc.or.th/17259/) บน pdpc.or.th (เมนู บริการของเรา > หน่วยงานแจ้งเหตุละเมิด) แล้วกด Download ที่ "แบบฟอร์มการแจ้งเหตุการละเมิดข้อมูลส่วนบุคคล" เลือก [Word] หรือ [PDF] ทั้งสองไฟล์ลงวันที่ 25 Feb 2569

![หน้าหน่วยงานแจ้งเหตุละเมิดบนเว็บไซต์ สคส. มีปุ่มดาวน์โหลดแบบฟอร์มทั้ง Word และ PDF และบอกให้ส่งทางอีเมล saraban@pdpc.or.th](https://thaidata-co-th.s3.ap-southeast-1.amazonaws.com/thaidata.co.th/images/articles/pdpa-data-breach-notification-72-hours-guide/pdpc-breach-form-download-page.webp?v=a4868805) _(ภาพ: สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (ภาพหน้าจอ))_

### ขั้นตอนที่ 4: กรอกสาระสำคัญเท่าที่ทำได้

ประกาศข้อ 6 กำหนดสาระที่การแจ้งเหตุละเมิดข้อมูลส่วนบุคคลต่อ สคส. ต้องมี 4 ข้อ คือ (1) ลักษณะและประเภทของการละเมิด รวมถึงจำนวนเจ้าของข้อมูลหรือจำนวนรายการ (2) ชื่อและช่องทางติดต่อของ DPO หรือผู้ประสานงาน (3) ผลกระทบที่อาจเกิดขึ้น และ (4) มาตรการที่ใช้หรือจะใช้เพื่อป้องกัน ระงับ แก้ไข หรือเยียวยา

![ข้อ 6 และข้อ 7 ของประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลว่าด้วยสาระที่ต้องแจ้งและการขอยกเว้นเมื่อแจ้งช้า ตามที่ลงราชกิจจานุเบกษา 15 ธันวาคม 2565](https://thaidata-co-th.s3.ap-southeast-1.amazonaws.com/thaidata.co.th/images/articles/pdpa-data-breach-notification-72-hours-guide/pdpc-breach-announcement-clause-6-7.webp?v=ab6d1c80) _(ภาพ: สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล / ราชกิจจานุเบกษา (ภาพหน้าจอ))_

แบบ ตข. 001 แตกสาระเป็นช่องย่อย เช่น กลุ่มอุตสาหกรรม (เลือก 1 จาก 11 กลุ่ม) รายละเอียดเหตุ ปริมาณและประเภทข้อมูล มาตรการแก้ไขเบื้องต้น การแจ้งความ มาตรการรักษาความมั่นคงปลอดภัย 3 ด้าน RoPA และผลประเมินความเสี่ยง ช่องที่ยังไม่มีข้อมูลให้เขียนว่าอยู่ระหว่างตรวจสอบแล้วส่งเพิ่มภายหลัง ดีกว่ารอจนเลย 72 ชั่วโมง

![แบบ ตข. 001 หน้าที่ 2 มีช่องมาตรการแก้ไขเบื้องต้น การแจ้งความ มาตรการรักษาความมั่นคงปลอดภัย 3 ด้าน RoPA และตารางประเมินความเสี่ยง ไม่เสี่ยง เสี่ยง เสี่ยงสูง](https://thaidata-co-th.s3.ap-southeast-1.amazonaws.com/thaidata.co.th/images/articles/pdpa-data-breach-notification-72-hours-guide/pdpc-form-td001-risk-section.webp?v=9d715e64) _(ภาพ: สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (ภาพหน้าจอ))_

## ส่งแบบแจ้งเหตุละเมิดข้อมูลส่วนบุคคลถึง สคส. ช่องทางไหน

### ขั้นตอนที่ 5: ส่งทางอีเมลแล้วเก็บหลักฐาน

หน้าแบบฟอร์มของ สคส. ให้ส่งแบบที่กรอกแล้วทางไปรษณีย์อิเล็กทรอนิกส์ saraban@pdpc.or.th แนบหนังสือแต่งตั้ง DPO หรือหนังสือมอบอำนาจ และเก็บอีเมลที่ส่งพร้อมเวลาไว้เป็นหลักฐานว่าแจ้งเหตุละเมิดข้อมูลส่วนบุคคลทันกรอบ 72 ชั่วโมง ประกาศข้อ 6 ยอมรับทั้งการแจ้งเป็นลายลักษณ์อักษรและทางอิเล็กทรอนิกส์ตามที่สำนักงานกำหนด

เบอร์สอบถามที่ สคส. เผยแพร่มีสองชุด หน้าแบบฟอร์มให้โทรสำนักตรวจสอบและกำกับดูแล 08 1245 4862 ส่วนหมายเหตุท้ายแบบ ตข. 001 ให้โทร 02 111 8800 ต่อ 3 หรือ 081 245 5414 คู่มือการให้บริการระบุว่าไม่มีค่าธรรมเนียม และให้บริการวันจันทร์ถึงศุกร์ (เว้นวันหยุดราชการ) 08.30–16.30 น. แต่มาตรา 37 (4) นับเป็นชั่วโมงและไม่มีข้อยกเว้นวันหยุด เหตุที่พบนอกเวลาราชการจึงควรส่งอีเมลทันที

## แจ้งเจ้าของข้อมูลเมื่อไร ต้องบอกอะไร

### ขั้นตอนที่ 6: แจ้งเจ้าของข้อมูลเมื่อผลประเมินคือเสี่ยงสูง

ประกาศข้อ 10 ให้แจ้งเจ้าของข้อมูลที่ได้รับผลกระทบโดยไม่ชักช้า ไม่ว่าจะแจ้ง สคส. ไปแล้วหรืออยู่ระหว่างเตรียมแจ้ง โดยมีสาระ 4 ข้อ

1. ข้อมูลโดยสังเขปเกี่ยวกับลักษณะของการละเมิด
2. ชื่อและช่องทางติดต่อของ DPO หรือผู้ประสานงาน
3. ผลกระทบที่อาจเกิดขึ้นกับเจ้าของข้อมูล
4. แนวทางเยียวยา มาตรการที่องค์กรใช้หรือจะใช้ และคำแนะนำว่าเจ้าของข้อมูลทำอะไรเพิ่มเองได้

ข้อ 11 ระบุว่าถ้าแจ้งรายบุคคลไม่ได้ เพราะไม่มีช่องทางติดต่อหรือเหตุจำเป็นอื่น จะแจ้งเป็นกลุ่มหรือประกาศผ่านสื่อสาธารณะ สื่อสังคมออนไลน์ หรือช่องทางที่ผู้ได้รับผลกระทบเข้าถึงได้ก็ได้ แต่ต้องไม่ก่อความเสียหายเพิ่มแก่เจ้าของข้อมูล

## หลังแจ้งเหตุละเมิดข้อมูลส่วนบุคคลแล้วทำอะไรต่อ

### ขั้นตอนที่ 7: ฟื้นฟู ทบทวนมาตรการ และเตรียมชี้แจง

ประกาศข้อ 5 (5) ให้ฟื้นฟูสภาพ ป้องกันเหตุแบบเดียวกัน และทบทวนมาตรการรักษาความมั่นคงปลอดภัย คู่มือการให้บริการระบุว่ากรณีที่มีผลกระทบในวงกว้างและเป็นที่ตื่นตระหนกของประชาชน สคส. จะมีหนังสือเชิญหน่วยงานมาให้ข้อมูล ขั้นตอนวันนั้นคือ ตรวจเอกสาร 10 นาที ให้ข้อมูลต่อพนักงานเจ้าหน้าที่ 90 นาที และบันทึกถ้อยคำ 30 นาที

ข้อ 7 วรรคท้ายย้ำว่าการแจ้งเหตุละเมิดข้อมูลส่วนบุคคลต่อ สคส. ไม่ได้ยกเว้นหน้าที่ตามกฎหมายเฉพาะของกิจการ ธุรกิจที่มีหน่วยงานกำกับของตัวเองจึงต้องตรวจเกณฑ์รายงานเหตุของหน่วยงานนั้นแยกต่างหาก

## ผู้ประมวลผลข้อมูลต้องแจ้งเหตุละเมิดข้อมูลส่วนบุคคลอย่างไร

มาตรา 40 (2) ให้ผู้ประมวลผลข้อมูลส่วนบุคคลมีมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสม และแจ้งผู้ควบคุมข้อมูลถึงเหตุละเมิดที่เกิดขึ้น ประกาศข้อ 8 ให้ผู้ควบคุมข้อมูลระบุในสัญญาว่าผู้ประมวลผลต้องแจ้งโดยไม่ชักช้าภายใน 72 ชั่วโมงนับแต่ผู้ประมวลผลทราบเหตุ ส่วนการแจ้งเหตุละเมิดข้อมูลส่วนบุคคลต่อ สคส. ยังเป็นหน้าที่ของผู้ควบคุมข้อมูล

สองกรอบเวลานี้นับจากเวลาที่แต่ละฝ่ายทราบเหตุ จึงควรตรวจว่าสัญญากับผู้ให้บริการที่ประมวลผลข้อมูลแทนองค์กร เช่น ระบบเงินเดือน มีข้อนี้ครบ มาตรา 40 วรรคสองระบุว่าผู้ประมวลผลที่ทำนอกคำสั่ง ให้ถือเป็นผู้ควบคุมข้อมูลสำหรับการประมวลผลนั้น และมาตรา 86 มีโทษปรับทางปกครองไม่เกิน 3 ล้านบาทแก่ผู้ประมวลผลที่ไม่ปฏิบัติตามมาตรา 40 โดยไม่มีเหตุอันควร

## แจ้งช้าหรือไม่แจ้งเหตุละเมิดข้อมูลส่วนบุคคล มีโทษอย่างไร

ถ้ามีเหตุจำเป็นที่ทำให้แจ้งเหตุละเมิดข้อมูลส่วนบุคคลช้า เช่น การตรวจสอบเบื้องต้นหรือการระงับเหตุที่จำเป็น ประกาศข้อ 7 ให้ขอให้ สคส. พิจารณายกเว้นความผิดได้ โดยชี้แจงเหตุผลโดยเร็วและไม่เกิน 15 วันนับแต่ทราบเหตุ ถ้า สคส. เห็นควรยกเว้น ให้ถือว่าได้รับยกเว้นกำหนดเวลาตามมาตรา 37 (4)

| บทบัญญัติ | ใคร | ผลทางกฎหมาย |
| --- | --- | --- |
| มาตรา 83 | ผู้ควบคุมข้อมูลที่ไม่ปฏิบัติตามมาตรา 37 | ปรับทางปกครองไม่เกิน 3,000,000 บาท |
| มาตรา 86 | ผู้ประมวลผลที่ไม่ปฏิบัติตามมาตรา 40 โดยไม่มีเหตุอันควร | ปรับทางปกครองไม่เกิน 3,000,000 บาท |
| มาตรา 77 | ผู้ที่ฝ่าฝืนจนเจ้าของข้อมูลเสียหาย | ชดใช้ค่าสินไหมทดแทน รวมค่าใช้จ่ายเพื่อป้องกันหรือระงับความเสียหาย |
| มาตรา 78 | กรณีเดียวกับมาตรา 77 | ศาลสั่งค่าสินไหมทดแทนเพื่อการลงโทษเพิ่มได้ไม่เกิน 2 เท่าของค่าเสียหายจริง |

มาตรา 90 ให้คณะกรรมการผู้เชี่ยวชาญสั่งให้แก้ไขหรือตักเตือนก่อนลงโทษปรับได้ โดยคำนึงถึงความร้ายแรงของพฤติกรรมและขนาดกิจการ

## ข้อผิดพลาดที่พบบ่อยเมื่อแจ้งเหตุละเมิดข้อมูลส่วนบุคคล

| อาการ | วิธีแก้ตามกฎหมายและประกาศ |
| --- | --- |
| รอสืบสวนให้ครบก่อนแจ้งเหตุละเมิดข้อมูลส่วนบุคคล จนเลย 72 ชั่วโมง | ข้อ 6 ให้ระบุสาระเท่าที่ทำได้ ส่งข้อมูลที่มีก่อนแล้วเติมภายหลัง |
| ตัดสินว่าไม่เสี่ยงแต่ไม่มีบันทึก | ข้อ 9 ให้ผู้ควบคุมข้อมูลพิสูจน์ เก็บผลประเมินตามปัจจัยข้อ 12 ทุกครั้ง |
| คิดว่าแรนซัมแวร์ที่ไม่มีข้อมูลหลุดไม่ต้องแจ้ง | ข้อ 4 (3) นับการเข้าถึงข้อมูลไม่ได้เป็น Availability Breach |
| สัญญากับผู้ให้บริการไม่มีเรื่องแจ้งเหตุ | ข้อ 8 ให้ระบุหน้าที่แจ้งภายใน 72 ชั่วโมงในสัญญา |
| ติดต่อเจ้าของข้อมูลรายคนไม่ได้ | ข้อ 11 ให้แจ้งเป็นกลุ่มหรือประกาศทั่วไปได้ |

## สิ่งที่องค์กรไทยควรทำตั้งแต่วันนี้

1. เขียนขั้นตอนแจ้งเหตุละเมิดข้อมูลส่วนบุคคลภายในองค์กร ระบุผู้รับแจ้ง ผู้ประเมิน และผู้มีอำนาจส่งเรื่องถึง สคส. ภายใน 72 ชั่วโมง
2. ดาวน์โหลดแบบ ตข. 001 ฉบับล่าสุด แล้วกรอกส่วนที่รู้ล่วงหน้าไว้ เช่น ชื่อหน่วยงาน กลุ่มอุตสาหกรรม ข้อมูล DPO และมาตรการรักษาความมั่นคงปลอดภัย
3. ปรับ RoPA ให้เป็นปัจจุบัน และตรวจสัญญาผู้ประมวลผลข้อมูลทุกฉบับเรื่องหน้าที่แจ้งเหตุภายใน 72 ชั่วโมง
4. ซ้อมแจ้งเหตุละเมิดข้อมูลส่วนบุคคลอย่างน้อยหนึ่งกรณี เช่น โน้ตบุ๊กหายหรือแรนซัมแวร์ แล้ววัดว่ากรอกแบบเสร็จทันกรอบเวลาหรือไม่
5. ติดตามแนวทางใหม่ของ สคส. เช่น [แนวทาง PDPA สำหรับการพัฒนาและใช้งาน AI](/policy/pdpc-pdpa-ai-guidelines-version-1/) และข่าวกฎหมายดิจิทัลอื่นใน[หมวดกฎหมายและนโยบาย](/policy/)

## คำถามที่พบบ่อย

### แจ้งเหตุละเมิดข้อมูลส่วนบุคคลต่อ สคส. ต้องทำภายในกี่ชั่วโมง?

PDPA มาตรา 37 (4) ให้ผู้ควบคุมข้อมูลแจ้งเหตุละเมิดข้อมูลส่วนบุคคลต่อ สคส. โดยไม่ชักช้าภายใน 72 ชั่วโมงนับแต่ทราบเหตุเท่าที่จะทำได้ เว้นแต่การละเมิดนั้นไม่มีความเสี่ยงต่อสิทธิและเสรีภาพของบุคคล ถ้ามีเหตุจำเป็นที่ทำให้แจ้งช้ากว่านั้น ต้องชี้แจงเหตุผลต่อ สคส. โดยเร็วและไม่เกิน 15 วันนับแต่ทราบเหตุ

### แจ้งเหตุละเมิดข้อมูลส่วนบุคคลกับ สคส. ผ่านช่องทางไหน?

หน้า 'หน่วยงานแจ้งเหตุละเมิด' บน pdpc.or.th ให้ดาวน์โหลดแบบ ตข. 001 เป็นไฟล์ Word หรือ PDF กรอกแล้วส่งแจ้งเหตุละเมิดข้อมูลส่วนบุคคลทางอีเมล saraban@pdpc.or.th ถ้ามีข้อสงสัย หน้าเดียวกันให้ติดต่อสำนักตรวจสอบและกำกับดูแล โทร 08 1245 4862

### ข้อมูลรั่วไหลทุกครั้งต้องแจ้งเจ้าของข้อมูลด้วยหรือไม่?

ไม่ทุกครั้ง กฎหมายบังคับให้แจ้งเหตุละเมิดข้อมูลส่วนบุคคลถึงเจ้าของข้อมูลเมื่อการละเมิดมีความเสี่ยงสูงต่อสิทธิและเสรีภาพของบุคคล โดยแจ้งโดยไม่ชักช้า บอกลักษณะของเหตุ ช่องทางติดต่อ DPO ผลกระทบที่อาจเกิดขึ้น และแนวทางเยียวยา ถ้าติดต่อรายคนไม่ได้ แจ้งเป็นกลุ่มหรือประกาศผ่านสื่อสาธารณะได้ แต่ต้องไม่ก่อความเสียหายเพิ่ม

### ข้อมูลที่หลุดไปถูกเข้ารหัสไว้ ยังต้องแจ้งเหตุละเมิดข้อมูลส่วนบุคคลไหม?

ประกาศคณะกรรมการฯ ข้อ 9 ให้ผู้ควบคุมข้อมูลยกข้อยกเว้นได้ถ้าพิสูจน์ได้ว่าเหตุนั้นไม่มีความเสี่ยง ซึ่งรวมถึงกรณีที่ข้อมูลไม่อยู่ในสภาพที่ใช้งานได้เพราะมีมาตรการทางเทคโนโลยีที่เพียงพอ แต่ต้องส่งข้อมูลและหลักฐานเรื่องมาตรการรักษาความมั่นคงปลอดภัยให้ สคส. พิจารณา จึงต้องประเมินและเก็บหลักฐานทุกครั้ง

### ผู้รับจ้างประมวลผลข้อมูล (Data Processor) ต้องแจ้งเหตุให้ใคร?

มาตรา 40 ให้ผู้ประมวลผลข้อมูลส่วนบุคคลแจ้งผู้ควบคุมข้อมูลเมื่อเกิดเหตุละเมิด และประกาศคณะกรรมการฯ ข้อ 8 ให้ผู้ควบคุมข้อมูลระบุในสัญญาว่าผู้ประมวลผลต้องแจ้งโดยไม่ชักช้าภายใน 72 ชั่วโมงนับแต่ผู้ประมวลผลทราบเหตุ ส่วนหน้าที่แจ้งเหตุละเมิดข้อมูลส่วนบุคคลต่อ สคส. เป็นของผู้ควบคุมข้อมูล


## แหล่งอ้างอิง

- [พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562](https://www.pdpc.or.th/wp-content/uploads/2023/12/1_Personal-Data-Protection-2562.pdf) — สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล
- [ประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง หลักเกณฑ์และวิธีการในการแจ้งเหตุการละเมิดข้อมูลส่วนบุคคล พ.ศ. 2565](https://www.pdpc.or.th/2405/) — สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล
- [หน่วยงานแจ้งเหตุละเมิด](https://www.pdpc.or.th/17259/) — สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล
- [คู่มือการให้บริการการแจ้งเหตุการละเมิดข้อมูลส่วนบุคคล](https://www.pdpc.or.th/11463/) — สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล