คือการเปิดเผยข้อมูลที่องค์กรควรดำเนินการเมื่อเกิดการรั่วไหลของข้อมูล

ในกรณีที่เกิดการรั่วไหลของข้อมูล อาจจะมีกรณีที่ต้องมีการตอบสนองต่อรัฐบาล เช่น การรายงาน ขึ้นอยู่กับสถานการณ์ นอกจากการตอบสนองต่อรัฐบาลแล้ว ยังต้องมีการเปิดเผยข้อมูลอย่างเหมาะสมเกี่ยวกับ “ข้อมูลประเภทใด” “เมื่อไหร่” และ “ด้วยวิธีใดที่ข้อมูลได้รั่วไหล”

ดังนั้น ในบทความนี้ จะอธิบายเกี่ยวกับการเปิดเผยข้อมูลที่องค์กรควรดำเนินการในกรณีที่เกิดการรั่วไหลของข้อมูล โดยมุ่งเน้นไปที่บุคคลที่ทำงานในฝ่ายกฎหมายขององค์กร

เกี่ยวกับความแตกต่างระหว่างการตอบสนองต่อการบริหารงานและการเปิดเผยข้อมูล

ในกรณีที่มีการรั่วไหลของข้อมูลส่วนบุคคล คุณจะต้องดำเนินการตอบสนองต่อการควบคุมทางการบริหารตามกฎหมายการคุ้มครองข้อมูลส่วนบุคคลของญี่ปุ่น (Japanese Personal Information Protection Law) และกฎหมายอื่นๆ อย่างไรก็ตาม การตอบสนองต่อการบริหารงานเพียงอย่างเดียวอาจจะไม่เพียงพอสำหรับการตอบสนองขององค์กร

ตัวอย่างเช่น หากองค์กรทำให้ข้อมูลรั่วไหล อาจจะมีผลกระทบทางสังคม

นอกจากนี้ หากเป็นองค์กรที่มีการขึ้นทะเบียนในตลาดหุ้น จะมีความจำเป็นที่จะต้องเปิดเผยข้อมูลอย่างรวดเร็วต่อผู้ถือหุ้น ภาคีเครือ ลูกค้า และผู้มีส่วนได้ส่วนเสียอื่นๆ

สำหรับการตอบสนองต่อการบริหารงาน มีลักษณะเป็นการตอบสนองตามกฎหมาย ในขณะที่การเปิดเผยข้อมูลที่องค์กรดำเนินการ มีลักษณะเป็นการปฏิบัติตามความรับผิดชอบทางสังคมขององค์กรที่จัดการข้อมูล

บทความที่เกี่ยวข้อง: เมื่อมีการรั่วไหลข้อมูลส่วนบุคคล? การตอบสนองต่อการบริหารงานที่องค์กรควรดำเนินการ

บทความที่เกี่ยวข้อง: การจัดการวิกฤติจากการรั่วไหลข้อมูล 650,000 รายการ และบทบาทของทนายความจากกรณีของบริษัท Touken Corporation

เกี่ยวกับการเปิดเผยข้อมูลทันท่วงทีของบริษัทที่เข้าจดทะเบียน

สำหรับบริษัทที่เข้าจดทะเบียน, หากเกิดการรั่วไหลของข้อมูลจะส่งผลกระทบในระดับกว้าง ดังนั้นจึงมีการบังคับให้เปิดเผยข้อมูล

ตัวอย่างเช่น, ในกฎหมายการเข้าจดทะเบียนหลักทรัพย์ที่ตลาดหลักทรัพย์โตเกียวได้ประกาศ, มีการกำหนดเกี่ยวกับการเปิดเผยข้อมูลทันท่วงทีดังนี้

(การเปิดเผยข้อมูลของบริษัท)
มาตรา 402
บริษัทที่เข้าจดทะเบียน, ในกรณีที่ตรงกับข้อใดข้อหนึ่งต่อไปนี้ (ยกเว้นกรณีที่ตรงตามมาตรฐานที่กำหนดโดยกฎหมายและกรณีอื่นๆ ที่ตลาดหลักทรัพย์นี้ยอมรับว่ามีผลกระทบที่ไม่มากต่อการตัดสินใจลงทุนของนักลงทุน) ต้องเปิดเผยข้อมูลทันทีตามที่กฎหมายกำหนด
(ย่อ)
x นอกจากข้อเท็จจริงที่กล่าวไว้ในข้อ a ถึง w แล้ว, ข้อเท็จจริงที่สำคัญเกี่ยวกับการดำเนินงาน, ธุรกิจหรือทรัพย์สินของบริษัทที่เข้าจดทะเบียนหรือหุ้นที่เข้าจดทะเบียนและมีผลกระทบอย่างมากต่อการตัดสินใจลงทุนของนักลงทุน

ตลาดหลักทรัพย์โตเกียว | กฎหมายการเข้าจดทะเบียนหลักทรัพย์

เกี่ยวกับการรั่วไหลของข้อมูล, ถือว่าเป็นสิ่งที่ตรงกับ “ข้อเท็จจริงที่สำคัญเกี่ยวกับการดำเนินงาน, ธุรกิจหรือทรัพย์สินของบริษัทที่เข้าจดทะเบียนหรือหุ้นที่เข้าจดทะเบียนและมีผลกระทบอย่างมากต่อการตัดสินใจลงทุนของนักลงทุน” ดังนั้นจึงควรทำการเปิดเผยข้อมูลทันท่วงที

โดยเฉพาะ, ควรเปิดเผยข้อมูลเกี่ยวกับภาพรวมของการรั่วไหลข้อมูลที่เกิดขึ้น, สาเหตุของการรั่วไหลข้อมูล, และความคาดหวังในอนาคตเกี่ยวกับการตอบสนองต่อการรั่วไหลข้อมูลที่เกิดขึ้น

เรื่องการเปิดเผยข้อมูลที่องค์กรควรดำเนินการด้วยตนเอง

ดังที่ได้กล่าวไว้ข้างต้น องค์กรอาจจะต้องเปิดเผยข้อมูลตามกฎหมายเกี่ยวกับหลักทรัพย์ที่มีมูลค่าและข้อบังคับอื่น ๆ แต่ในฐานะองค์กร องค์กรอาจจะควรพิจารณาเปิดเผยข้อมูลด้วยตนเองเพื่อการจัดการความเสี่ยง

บทความที่เกี่ยวข้อง: ความเสี่ยงของการรั่วไหลของข้อมูลส่วนบุคคลขององค์กรและความเสียหายที่ต้องชดใช้

ในกรณีใดที่ควรเปิดเผยข้อมูล

สำหรับการเปิดเผยข้อมูลด้วยตนเอง ในฐานะองค์กร จากทฤษฎีแล้ว องค์กรสามารถเลือกที่จะไม่เปิดเผยข้อมูลหรือเปิดเผยข้อมูลได้

ดังนั้น สำหรับองค์กร การกำหนดเกณฑ์ในการเลือกว่าจะเปิดเผยข้อมูลหรือไม่เป็นสิ่งที่สำคัญ

เกณฑ์ที่หนึ่งที่ควรพิจารณาคือ ในกรณีที่ไม่คาดว่าจะมีความเสียหายที่ขยายตัวจากการรั่วไหลของข้อมูล

ถึงแม้ข้อมูลจะรั่วไหลจริง แต่ถ้าคิดว่าไม่มีผลกระทบในความเป็นจริง ความจำเป็นในการเปิดเผยข้อมูลด้วยตนเองจะต่ำ

ถ้าเปิดเผยข้อมูลด้วยตนเองในกรณีที่ไม่คาดว่าจะมีความเสียหายที่ขยายตัวจากการรั่วไหลของข้อมูล อาจจะทำให้เกิดความสับสนและทำให้สถานการณ์ยิ่งแย่ลง

เกณฑ์ที่สองที่ควรพิจารณาคือ ในกรณีที่การเปิดเผยข้อมูลอาจทำให้ความเสียหายจากการรั่วไหลของข้อมูลขยายตัว

ถ้าองค์กรยังไม่สามารถจัดการกับการรั่วไหลของข้อมูลอย่างเพียงพอ แต่เผยแพร่ข้อมูลว่ามีการรั่วไหลของข้อมูล อาจทำให้ผู้ที่ต้องการข้อมูลโดยไม่ชอบธรรมสังเกตเห็น และอาจทำให้เกิดการรั่วไหลของข้อมูลเพิ่มเติม

ดังนั้น การเปิดเผยข้อมูลด้วยตนเองอาจทำให้ความเสียหายจากการรั่วไหลของข้อมูลขยายตัว และสุดท้ายแล้วอาจทำให้การละเมิดสิทธิขยายตัว

อย่างไรก็ตาม เกณฑ์ที่กล่าวมาข้างต้นไม่สามารถทั่วไปได้ แต่ต้องตรวจสอบเกณฑ์ในการเปิดเผยข้อมูลในแต่ละกรณี และต้องตัดสินใจว่าควรเปิดเผยข้อมูลหรือไม่

เรื่องที่ควรเปิดเผยข้อมูล

ในกรณีที่เปิดเผยข้อมูล ควรพิจารณาเรื่องที่ควรเปิดเผยข้อมูลอย่างระมัดระวัง

เรื่องที่ควรเปิดเผยข้อมูลอาจจะเป็นเรื่องต่อไปนี้

• ประเภทของการรั่วไหลของข้อมูลที่เกิดขึ้น
• วันที่องค์กรตระหนักถึงการรั่วไหลของข้อมูล
• วันที่เกิดการรั่วไหลของข้อมูล
• รายละเอียดเกี่ยวกับการรั่วไหลของข้อมูล
• สาเหตุของการรั่วไหลของข้อมูล
• ความเสียหายที่อาจเกิดจากการรั่วไหลของข้อมูล
• ความเป็นไปได้ในการขยายตัวของความเสียหายหรือการเกิดความเสียหายครั้งที่สองในอนาคต
• มาตรการที่องค์กรได้ดำเนินการเพื่อจัดการกับการรั่วไหลของข้อมูล
• รายละเอียดของการสอบสวนเกี่ยวกับสาเหตุของการรั่วไหลของข้อมูล
• การรายงานถึงตำรวจหรือไม่

อย่างไรก็ตาม สำหรับเรื่องที่ควรเปิดเผยข้อมูล ขึ้นอยู่กับกรณีที่เกิดขึ้น ดังนั้น ควรตัดสินใจตามกรณีที่เกิดขึ้น

วิธีการเปิดเผยข้อมูล

วิธีการเปิดเผยข้อมูลอาจจะเป็นวิธีต่อไปนี้

• การโพสต์บนเว็บไซต์ขององค์กร
• การประกาศผ่านการสัมภาษณ์ข่าว
• การติดต่อกับบุคคลที่มีความเสี่ยงที่จะถูกละเมิดสิทธิ์จากการรั่วไหลของข้อมูลโดยตรง

วิธีการเปิดเผยข้อมูลที่กล่าวมาข้างต้นเป็นเพียงตัวอย่าง ดังนั้น ควรเลือกวิธีที่เหมาะสมตามกรณีที่เกิดขึ้น

ข้อควรระวังเมื่อจัดการสัมภาษณ์ข่าว

เมื่อจัดการสัมภาษณ์ข่าว ข้อมูลที่เปิดเผยจะถูกทราบโดยคนจำนวนมาก ดังนั้น ควรพิจารณาอย่างระมัดระวังว่าการเปิดเผยข้อมูลผ่านการสัมภาษณ์ข่าวเป็นวิธีที่เหมาะสมหรือไม่

เช่น ถ้าไม่มีข้อมูลใหม่ที่เกินกว่าข้อมูลที่องค์กรได้เปิดเผยบนเว็บไซต์แล้ว การจัดการสัมภาษณ์ข่าวอาจจะไม่สามารถเปิดเผยข้อมูลใหม่ได้ ถ้าจัดการสัมภาษณ์ข่าวที่ไม่มีข้อมูลใหม่ คนที่ดูการสัมภาษณ์ข่าวอาจจะมีภาพลักษณ์ว่า “องค์กรไม่ได้เปิดเผยข้อมูลอย่างเต็มที่และไม่รับผิดชอบในการอธิบาย องค์กรที่ไม่ซื่อสัตย์” ดังนั้น ควรระมัดระวัง

นอกจากนี้ ข้อมูลที่พูดในการสัมภาษณ์ข่าวอาจจะยากที่จะถอนหรือแก้ไข

ดังนั้น ควรเตรียมการสำหรับข้อมูลที่จะพูดในการสัมภาษณ์ข่าวอย่างระมัดระวัง โดยรวมถึงการปรึกษากับทนายความหรือผู้เชี่ยวชาญอื่น ๆ และกำหนดข้อมูลที่จะพูดล่วงหน้า

ข้อควรระวังเมื่อติดต่อกับบุคคลที่มีความเสี่ยงที่จะถูกละเมิดสิทธิ์จากการรั่วไหลของข้อมูลโดยตรง

ถ้าสามารถระบุบุคคลที่มีความเสี่ยงที่จะถูกละเมิดสิทธิ์จากการรั่วไหลของข้อมูลได้ ควรติดต่อกับผู้ที่เสียหายโดยตรงก่อนที่จะเผยแพร่ข้อมูลเกี่ยวกับการรั่วไหลของข้อมูล

ถ้าเผยแพร่ข้อมูลก่อนที่จะติดต่อกับผู้ที่เสียหาย ผู้ที่เสียหายอาจจะมีความรู้สึกที่ไม่ไว้วางใจในองค์กรและเพิ่มความรู้สึกที่ต่อต้าน

นอกจากนี้ ถ้าสามารถติดต่อกับผู้ที่เสียหายโดยตรงได้ แต่เผยแพร่ข้อมูลก่อน ความไว้วางใจทางสังคมขององค์กรอาจจะถูกทำลาย

วิธีที่ธุรกิจสามารถป้องกันการรั่วไหลของข้อมูล

จนถึงตอนนี้ เราได้ทำการอธิบายเกี่ยวกับการเปิดเผยข้อมูลที่ธุรกิจควรทำในกรณีที่มีการรั่วไหลของข้อมูล แต่ที่สำคัญที่สุดคือการป้องกันไม่ให้ข้อมูลรั่วไหลเกิดขึ้น

ในมาตรา 23 ของ “กฎหมายคุ้มครองข้อมูลส่วนบุคคลญี่ปุ่น” มีการกำหนดเกี่ยวกับมาตรการจัดการความปลอดภัยดังนี้

(มาตรการจัดการความปลอดภัย)
มาตราที่ 23 ผู้ประกอบการที่จัดการข้อมูลส่วนบุคคลต้องดำเนินมาตรการที่เหมาะสมและจำเป็นเพื่อป้องกันการรั่วไหล การสูญหาย หรือการทำลายข้อมูลส่วนบุคคล

e-Gov｜กฎหมายคุ้มครองข้อมูลส่วนบุคคลญี่ปุ่น

เนื้อหาของมาตรการจัดการความปลอดภัยอาจจะรวมถึงการดำเนินการดังต่อไปนี้

• การกำหนดนโยบายพื้นฐานในการจัดการข้อมูลส่วนบุคคล
• การจัดระเบียบในการจัดการข้อมูลส่วนบุคคล
• การจัดระบบองค์กร
• การดำเนินการตามระเบียบในการจัดการข้อมูลส่วนบุคคล
• การจัดวิธีการตรวจสอบสถานะการจัดการข้อมูลส่วนบุคคล
• การจัดระบบการตอบสนองต่อเหตุการณ์การรั่วไหลข้อมูล
• การทราบสถานะการจัดการข้อมูลส่วนบุคคลและการทบทวนมาตรการจัดการความปลอดภัย
• การศึกษาและอบรมพนักงานที่จัดการข้อมูลส่วนบุคคล
• การดำเนินการจัดการความปลอดภัยทางกายภาพเพื่อป้องกันการรั่วไหลของข้อมูลส่วนบุคคล
• การดำเนินการจัดการความปลอดภัยทางเทคนิคเพื่อป้องกันการรั่วไหลของข้อมูลส่วนบุคคล

โดยการดำเนินมาตรการจัดการความปลอดภัยดังกล่าวข้างต้นที่เหมาะสมกับสถานการณ์ของธุรกิจ จะสามารถลดความเสี่ยงในการรั่วไหลของข้อมูลได้

สรุป: ควรปรึกษาทนายความเกี่ยวกับการเปิดเผยข้อมูลในกรณีที่มีการรั่วไหลของข้อมูล

ในบทความนี้ เราได้ทำการอธิบายเกี่ยวกับการเปิดเผยข้อมูลที่องค์กรควรดำเนินการในกรณีที่มีการรั่วไหลของข้อมูล โดยมุ่งเน้นไปที่บุคคลที่ทำงานในฝ่ายกฎหมายขององค์กร

แน่นอนว่า การที่ไม่มีการรั่วไหลของข้อมูลเกิดขึ้นเป็นสิ่งที่ดีที่สุด แต่ในความเป็นจริง การป้องกันการรั่วไหลของข้อมูลได้ 100% นั้นเป็นสิ่งที่ยาก

ดังนั้น ในกรณีที่มีการรั่วไหลของข้อมูลเกิดขึ้น การดำเนินการตอบสนองที่เหมาะสมขององค์กรจึงมีความสำคัญ

เราขอแนะนำให้คุณปรึกษากับทนายความที่มีความรู้เชี่ยวชาญในการตอบสนองต่อการรั่วไหลของข้อมูล เนื่องจากการตอบสนองต่อสถานการณ์นี้ต้องการการพิจารณาอย่างรอบคอบที่สอดคล้องกับสถานการณ์

การแนะนำมาตรการจากสำนักงานทนายความของเรา

สำนักงานทนายความ Monolis คือสำนักงานที่มีความเชี่ยวชาญสูงในด้าน IT โดยเฉพาะอย่างยิ่งอินเทอร์เน็ตและกฎหมาย การจัดทำระเบียบข้อบังคับภายในองค์กรจำเป็นต้องมีความรู้ทางเชิงเฉพาะทาง ที่สำนักงานทนายความของเรา เราได้ทำการตรวจสอบเรื่องต่าง ๆ สำหรับองค์กรที่มีการเข้าจดทะเบียนในตลาดหลักทรัพย์ของโตเกียว (Tokyo Stock Exchange) จนถึงบริษัทสตาร์ทอัพ หากคุณมีปัญหาเกี่ยวกับระเบียบข้อบังคับภายในองค์กร กรุณาอ่านบทความด้านล่างนี้

https://monolith.law/contractcreation[ja]