สคส. สั่งปรับครั้งแรก 7 ล้านบาท ! บริษัทเอกชนรายใหญ่ปล่อยข้อมูลลูกค้าหลุด

วันนี้ 21 สิงหาคม 2567 นายประเสริฐ จันทรรวงทอง รัฐมนตรีว่าการกระทรวงดิจิทัลเพื่อเศรษฐกิจและสังคม (กระทรวง DE) ได้แถลงว่าเพื่อป้องกันปัญหาเรื่องข้อมูลรั่วไหลภาครัฐ ภาคเอกชน รวมถึงแก้ไขปัญหาแก๊งคอลเซนเตอร์ที่ใช้ข้อมูลส่วนบุคคลของประชาชนไปกระทำผิดกฎหมาย ที่สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (สคส.) กระทรวงดิจิทัลเพื่อเศรษฐกิจและสังคม

เพื่อเพิ่มความเชื่อมั่นให้กับประชาชนในการทำธุรกรรมออนไลน์ รวมถึงโครงการต่าง ๆ ของภาครัฐ ซึ่งต้องมีการใช้ข้อมูลส่วนบุคคลในการยืนยันตัวตน คณะกรรมการผู้เชี่ยวชาญ คณะที่ 2 ที่รับข้อร้องเรียนเกี่ยวกับเทคโนโลยีและอื่น ๆ

สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (สคส.) ได้มีคำสั่งปรับบริษัทเอกชนรายใหญ่ของประเทศที่มีการซื้อขายสินค้าออนไลน์ ที่ปล่อยให้ข้อมูลส่วนบุคคลจำนวนมากรั่วไหลไปยังแก๊งคอลเซนเตอร์ โดยไม่มีมาตรการควบคุมดูแลรักษาความมั่นคงปลอดภัยตามที่ พ.ร.บ. คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 กำหนด

รวมถึงบริษัทดังกล่าวไม่มีการแต่งตั้งเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล (DPO) และละเลยไม่แจ้งเหตุละเมิดข้อมูลส่วนบุคคลที่รั่วไหลให้แก่สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลทราบภายในระยะเวลาที่กฎหมายกำหนด คณะกรรมการผู้เชี่ยวชาญ คณะที่ 2 จึงมีคำสั่งลงโทษปรับทางการปกครองบริษัทดังกล่าวในอัตราสูงสุดรวมจำนวนทั้งสิ้น 7 ล้านบาท โดยมีรายละเอียดดังนี้

• บริษัทที่ถูกร้องเรียนได้เก็บรวบรวมข้อมูลส่วนบุคคลของลูกค้าจำนวนมากกว่า 1 แสนราย และใช้ข้อมูลดังกล่าวในการประกอบธุรกิจหลักของบริษัท แต่กลับไม่มีเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลตามที่กฎหมายกำหนด จึงทำให้เมื่อเกิดข้อมูลรั่วไหล บริษัทดังกล่าวไม่สามารถเยียวยาแก้ไขปัญหาได้ ซึ่งเป็นกรณีดำเนินการที่ขัดต่อมาตรา 41 แห่ง พ.ร.บ. คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ซึ่งคดีนี้โดนปรับเป็นจำนวนเงิน 1 ล้านบาท
• ผู้ถูกร้องเรียนดังกล่าวไม่มีมาตรการรักษาความปลอดภัยที่เหมาะสมตามที่ พ.ร.บ. คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 กำหนด ทำให้ข้อมูลรั่วไหลจากบริษัทดังกล่าวไปยังกลุ่มมิจฉาชีพคือแก๊งคอลเซนเตอร์ และก่อให้เกิดความเสียหายในวงกว้าง การกระทำดังกล่าวจึงเป็นการกระทำที่ขัดต่อมาตรา 37(1) แห่ง พ.ร.บ. คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ซึ่งคดีนี้โดนปรับเป็นจำนวนเงิน 3 ล้านบาท
• เมื่อเกิดเหตุข้อร้องเรียนจากเจ้าของข้อมูลส่วนบุคคล บริษัทกลับเพิกเฉยไม่ดำเนินการแก้ไข และแจ้งเหตุให้สำนักงานคุ้มครองข้อมูลส่วนบุคคลล่าช้า ทำให้ไม่สามารถเยียวยาได้ อันเป็นความผิดตามมาตรา 37 (4) พ.ร.บ. คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ซึ่งคดีนี้โดนปรับเป็นจำนวนเงิน 3 ล้านบาท

นอกจากคำสั่งในการปรับทางปกครองดังกล่าวเป็นจำนวน 7 ล้านบาท คณะกรรมการผู้เชี่ยวชาญ คณะที่ 2 ยังมีคำสั่งให้บริษัทผู้ถูกร้องเรียนปรับปรุงมาตรการรักษาความปลอดภัย เพื่อป้องกันไม่ให้ข้อมูลรั่วไหลอีก และต้องมีการดำเนินการอบรมพนักงานเจ้าหน้าที่

รวมถึงเพิ่มเติมมาตรการรักษาความปลอดภัยให้ทันสมัย กับเทคโนโลยีที่เปลี่ยนแปลงไป และมีหน้าที่ต้องแจ้งให้สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลทราบถึงมาตรการแก้ไขดังกล่าวภายใน 7 วัน นับแต่ได้รับคำสั่ง

คำสั่งลงโทษปรับทางการปกครองดังกล่าว เป็นคำสั่งลงโทษปรับทางการปกครองฉบับแรกกับบริษัทเอกชนรายใหญ่ โดยคณะกรรมการผู้เชี่ยวชาญ คณะที่ 2 ตั้งแต่ พ.ร.บ. คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 มีผลใช้บังคับ ซึ่งเป็นไปตามหลักเกณฑ์ของกฎหมายคุ้มครองข้อมูลส่วนบุคคลของสหภาพยุโรปหรือ GDPR

โดยรัฐมนตรีว่าการกระทรวง DE ได้แถลงเพิ่มเติมว่า คำสั่งปรับดังกล่าวต้องการคุ้มครองประชาชนจากปัญหากรณีแก๊งคอลเซนเตอร์และข้อมูลส่วนบุคคลรั่วไหลที่เป็นปัญหาหลักของประเทศในตลอดระยะเวลา 2 ปีที่ผ่านมา รวมถึงเป็นการแจ้งเตือนไปยังหน่วยงานภาครัฐและหน่วยงานภาคเอกชนที่มีข้อมูลส่วนบุคคลรั่วไหล ให้ต้องดำเนินการแจ้งสำนักงานคุ้มครองข้อมูลส่วนบุคคลตามที่กฎหมายกำหนด โดยคำสั่งปรับทางการปกครองฉบับนี้จะใช้เป็นมาตรฐาน และบรรทัดฐานในการพิจารณาเรื่องข้อมูลรั่วไหลในภาครัฐ และภาคเอกชน ที่มีการร้องเรียนเข้าที่สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลต่อไป

ซึ่งผลจากการปรับครั้งนี้จะทำให้ภาครัฐและภาคเอกชนตื่นตัวในเรื่องการเคร่งครัดและปฏิบัติตาม พ.ร.บ. คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ให้มากขึ้น รวมถึงเป็นส่วนหนึ่งของมาตรการในการป้องปรามอาชญากรรมแก๊งคอลเซนเตอร์ที่เกิดขึ้น จากการนำเอาข้อมูลส่วนบุคคลของประชาชนที่มีอยู่มากในปัจจุบันไปใช้โดยผิดกฎหมาย

นอกจากนี้มาตรการดังกล่าวยังช่วยในการเยียวยาบรรเทาความเสียหายให้กับเจ้าของข้อมูลส่วนบุคคลที่ข้อมูลส่วนบุคคลรั่วไหลจากเหตุดังกล่าวข้างต้น และสร้างความเชื่อมั่นให้กับประชาชนในการใช้ข้อมูลส่วนบุคคลทางออนไลน์ทั้งภาครัฐและภาคเอกชนให้มากขึ้น

ช่องทางการติดต่อ PDPC หรือ สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (สคส.) สามารถติดต่อ เพื่อสอบถาม ขอคำปรึกษา หรือปรึกษาการยื่นเรื่องร้องเรียนได้ในวันและเวลาราชการ

• 📞 ขอคำปรึกษาเกี่ยวกับกฎหมายคุ้มครองข้อมูลส่วนบุคคล 02 114 8504 และ 02 141 6993
• 📞 สอบถามการยื่นคำร้องเรียน : 02 142 1033
• 📞 ติดต่อ PDPA Center : 02 027 8852
• Line ID: @pdpcthailand
• 💻 ส่งหนังสือราชการ ผ่านช่องทางอิเล็กทรอนิกส์ได้ ดังนี้
• 📧 e-mail : saraban@pdpc.or.th 🌐 เว็บไซต์ : www.pdpc.or.th