สคส. สั่งปรับเอกชนรายใหญ่ 7 ล้าน ปล่อยข้อมูลส่วนตัวหลุดถึงแก๊งคอลเซ็นเตอร์ | คมชัดลึก

การป้องกันและแก้ไขปัญหาข้อมูลรั่วไหลภาครัฐ ภาคเอกชน รวมถึงการปราบปรามแก๊งคอลเซ็นเตอร์ที่ใช้ข้อมูลส่วนบุคคลของประชาชนไปกระทำความผิดกฎหมายที่สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (สคส.) กระทรวงดิจิทัลเพื่อเศรษฐกิจและสังคม (ดีอี)

 

 

นายประเสริฐ จันทรรวงทอง รัฐมนตรีว่าดีอี เปิดเผยว่า คณะกรรมการผู้เชี่ยวชาญ คณะที่ 2 ที่รับข้อร้องเรียนเกี่ยวกับเทคโนโลยีและอื่นๆ ได้มีคำสั่งปรับบริษัทเอกชนรายใหญ่ของประเทศที่มีการซื้อขายสินค้าออนไลน์ ที่ปล่อยให้ข้อมูลส่วนบุคคลจำนวนมากรั่วไหลไปยังแก๊งคอลเซ็นเตอร์ โดยไม่มีมาตรการควบคุมดูแลรักษาความมั่นคงปลอดภัยตามที่ พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 กำหนด รวมถึงบริษัทดังกล่าวไม่มีการแต่งตั้งเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล (DPO) และละเลยไม่แจ้งเหตุละเมิดข้อมูลส่วนบุคคลที่รั่วไหลให้แก่สำนักงานคุ้มครองข้อมูลส่วนบุคคลทราบภายในระยะเวลาที่กฎหมายกำหนด  

โดยคณะกรรมการผู้เชี่ยวชาญ คณะที่ 2 ได้มีคำสั่งลงโทษปรับทางการปกครองบริษัทดังกล่าวในอัตราสูงสุดรวมจำนวนทั้งสิ้น 7 ล้านบาท โดยมีรายละเอียดดังนี้

 

1) บริษัทที่ถูกร้องเรียนได้เก็บรวบรวมข้อมูลส่วนบุคคลของลูกค้าจำนวนมากกว่า 1 แสนราย และใช้ข้อมูลดังกล่าวในการประกอบธุรกิจหลักของบริษัท แต่กลับไม่มีเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล ตามที่กฎหมายกำหนด จึงทำให้เมื่อเกิดข้อมูลรั่วไหล บริษัทดังกล่าวไม่สามารถเยียวยาแก้ไขปัญหาได้ ซึ่งเป็นกรณีดำเนินการที่ขัดต่อมาตรา 41 แห่ง พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562

 

2) ผู้ถูกร้องเรียนดังกล่าวไม่มีมาตรการรักษาความปลอดภัยที่เหมาะสมตามที่ พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 กำหนด ทำให้ข้อมูลรั่วไหลจากบริษัทดังกล่าวไปยังกลุ่มมิจฉาชีพคือแก๊งคอลเซ็นเตอร์ และก่อให้เกิดความเสียหายในวงกว้าง การกระทำดังกล่าวจึงเป็นการกระทำที่ขัดต่อมาตรา 37(1) แห่งพ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562

 

3) เมื่อเกิดเหตุข้อร้องเรียนจากเจ้าของข้อมูลส่วนบุคคล บริษัทกลับเพิกเฉยไม่ดำเนินการแก้ไข และแจ้งเหตุให้สำนักงานคุ้มครองข้อมูลส่วนบุคคลล่าช้า ทำให้ไม่สามารถเยียวยาได้ อันเป็นความผิดตามมาตรา 37 

 

(4) พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล พ.ศ.2562

นายประเสริฐ กล่าวต่อว่า นอกจากนี้คณะกรรมการผู้เชี่ยวชาญ คณะที่ 2 ยังมีคำสั่งให้บริษัทผู้ถูกร้องเรียนปรับปรุงมาตรการรักษาความปลอดภัย โดยที่ป้องกันไม่ให้ข้อมูลรั่วไหลอีก รวมทั้งได้มีคำสั่งกำชับให้บริษัทผู้ถูกร้องเรียนดำเนินการอบรมพนักงานเจ้าหน้าที่ รวมถึงเพิ่มเติมมาตรการรักษาความปลอดภัยให้ทันสมัย กับเทคโนโลยีที่เปลี่ยนแปลงไป และมีหน้าที่ต้องแจ้งให้สำนักงานคุ้มครองข้อมูลส่วนบุคคลทราบถึงมาตรการแก้ไขดังกล่าวภายใน 7 วัน นับแต่ได้รับคำสั่ง

 

“คำสั่งลงโทษปรับทางการปกครองดังกล่าว เป็นคำสั่งลงโทษปรับทางการปกครองฉบับแรกกับบริษัทเอกชนรายใหญ่ โดยคณะกรรมการผู้เชี่ยวชาญ คณะที่ 2 ตั้งแต่ พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 มีผลใช้บังคับ ซึ่งเป็นไปตามหลักเกณฑ์ของกฎหมายคุ้มครองข้อมูลส่วนบุคคลของสหภาพยุโรปหรือ GDPR” นายประเสริฐ กล่าวย้ำ 

 

สำหรับคำสั่งปรับดังกล่าวต้องการคุ้มครองประชาชนจากปัญหากรณีแก๊งคอลเซ็นเตอร์และข้อมูลส่วนบุคคลรั่วไหลที่เป็นปัญหาหลักของประเทศในตลอดระยะเวลา 2 ปีที่ผ่านมา รวมถึงเป็นการแจ้งเตือนไปยังหน่วยงานภาครัฐและหน่วยงานภาคเอกชนที่มีข้อมูลส่วนบุคคลรั่วไหล ให้ต้องดำเนินการแจ้งสำนักงานคุ้มครองข้อมูลส่วนบุคคลตามที่กฎหมายกำหนด โดยคำสั่งปรับทางการปกครองฉบับนี้จะใช้เป็นมาตรฐาน และบรรทัดฐานในการพิจารณาเรื่องข้อมูลรั่วไหลในภาครัฐ และภาคเอกชน ที่มีการร้องเรียนเข้าที่สำนักงานคุ้มครองข้อมูลส่วนบุคคลต่อไป