คือการเปิดเผยข้อมูลที่องค์กรควรดำเนินการเมื่อเกิดการรั่วไหลของข้อมูล
ในกรณีที่เกิดการรั่วไหลของข้อมูล อาจจะมีกรณีที่ต้องมีการตอบสนองต่อรัฐบาล เช่น การรายงาน ขึ้นอยู่กับสถานการณ์ นอกจากการตอบสนองต่อรัฐบาลแล้ว ยังต้องมีการเปิดเผยข้อมูลอย่างเหมาะสมเกี่ยวกับ “ข้อมูลประเภทใด” “เมื่อไหร่” และ “ด้วยวิธีใดที่ข้อมูลได้รั่วไหล”
ดังนั้น ในบทความนี้ จะอธิบายเกี่ยวกับการเปิดเผยข้อมูลที่องค์กรควรดำเนินการในกรณีที่เกิดการรั่วไหลของข้อมูล โดยมุ่งเน้นไปที่บุคคลที่ทำงานในฝ่ายกฎหมายขององค์กร
เกี่ยวกับความแตกต่างระหว่างการตอบสนองต่อการบริหารงานและการเปิดเผยข้อมูล
ในกรณีที่มีการรั่วไหลของข้อมูลส่วนบุคคล คุณจะต้องดำเนินการตอบสนองต่อการควบคุมทางการบริหารตามกฎหมายการคุ้มครองข้อมูลส่วนบุคคลของญี่ปุ่น (Japanese Personal Information Protection Law) และกฎหมายอื่นๆ อย่างไรก็ตาม การตอบสนองต่อการบริหารงานเพียงอย่างเดียวอาจจะไม่เพียงพอสำหรับการตอบสนองขององค์กร
ตัวอย่างเช่น หากองค์กรทำให้ข้อมูลรั่วไหล อาจจะมีผลกระทบทางสังคม
นอกจากนี้ หากเป็นองค์กรที่มีการขึ้นทะเบียนในตลาดหุ้น จะมีความจำเป็นที่จะต้องเปิดเผยข้อมูลอย่างรวดเร็วต่อผู้ถือหุ้น ภาคีเครือ ลูกค้า และผู้มีส่วนได้ส่วนเสียอื่นๆ
สำหรับการตอบสนองต่อการบริหารงาน มีลักษณะเป็นการตอบสนองตามกฎหมาย ในขณะที่การเปิดเผยข้อมูลที่องค์กรดำเนินการ มีลักษณะเป็นการปฏิบัติตามความรับผิดชอบทางสังคมขององค์กรที่จัดการข้อมูล
บทความที่เกี่ยวข้อง: เมื่อมีการรั่วไหลข้อมูลส่วนบุคคล? การตอบสนองต่อการบริหารงานที่องค์กรควรดำเนินการ
บทความที่เกี่ยวข้อง: การจัดการวิกฤติจากการรั่วไหลข้อมูล 650,000 รายการ และบทบาทของทนายความจากกรณีของบริษัท Touken Corporation
เกี่ยวกับการเปิดเผยข้อมูลทันท่วงทีของบริษัทที่เข้าจดทะเบียน
สำหรับบริษัทที่เข้าจดทะเบียน, หากเกิดการรั่วไหลของข้อมูลจะส่งผลกระทบในระดับกว้าง ดังนั้นจึงมีการบังคับให้เปิดเผยข้อมูล
ตัวอย่างเช่น, ในกฎหมายการเข้าจดทะเบียนหลักทรัพย์ที่ตลาดหลักทรัพย์โตเกียวได้ประกาศ, มีการกำหนดเกี่ยวกับการเปิดเผยข้อมูลทันท่วงทีดังนี้
(การเปิดเผยข้อมูลของบริษัท)
ตลาดหลักทรัพย์โตเกียว | กฎหมายการเข้าจดทะเบียนหลักทรัพย์
มาตรา 402
บริษัทที่เข้าจดทะเบียน, ในกรณีที่ตรงกับข้อใดข้อหนึ่งต่อไปนี้ (ยกเว้นกรณีที่ตรงตามมาตรฐานที่กำหนดโดยกฎหมายและกรณีอื่นๆ ที่ตลาดหลักทรัพย์นี้ยอมรับว่ามีผลกระทบที่ไม่มากต่อการตัดสินใจลงทุนของนักลงทุน) ต้องเปิดเผยข้อมูลทันทีตามที่กฎหมายกำหนด
(ย่อ)
x นอกจากข้อเท็จจริงที่กล่าวไว้ในข้อ a ถึง w แล้ว, ข้อเท็จจริงที่สำคัญเกี่ยวกับการดำเนินงาน, ธุรกิจหรือทรัพย์สินของบริษัทที่เข้าจดทะเบียนหรือหุ้นที่เข้าจดทะเบียนและมีผลกระทบอย่างมากต่อการตัดสินใจลงทุนของนักลงทุน
เกี่ยวกับการรั่วไหลของข้อมูล, ถือว่าเป็นสิ่งที่ตรงกับ “ข้อเท็จจริงที่สำคัญเกี่ยวกับการดำเนินงาน, ธุรกิจหรือทรัพย์สินของบริษัทที่เข้าจดทะเบียนหรือหุ้นที่เข้าจดทะเบียนและมีผลกระทบอย่างมากต่อการตัดสินใจลงทุนของนักลงทุน” ดังนั้นจึงควรทำการเปิดเผยข้อมูลทันท่วงที
โดยเฉพาะ, ควรเปิดเผยข้อมูลเกี่ยวกับภาพรวมของการรั่วไหลข้อมูลที่เกิดขึ้น, สาเหตุของการรั่วไหลข้อมูล, และความคาดหวังในอนาคตเกี่ยวกับการตอบสนองต่อการรั่วไหลข้อมูลที่เกิดขึ้น
เรื่องการเปิดเผยข้อมูลที่องค์กรควรดำเนินการด้วยตนเอง
ดังที่ได้กล่าวไว้ข้างต้น องค์กรอาจจะต้องเปิดเผยข้อมูลตามกฎหมายเกี่ยวกับหลักทรัพย์ที่มีมูลค่าและข้อบังคับอื่น ๆ แต่ในฐานะองค์กร องค์กรอาจจะควรพิจารณาเปิดเผยข้อมูลด้วยตนเองเพื่อการจัดการความเสี่ยง
บทความที่เกี่ยวข้อง: ความเสี่ยงของการรั่วไหลของข้อมูลส่วนบุคคลขององค์กรและความเสียหายที่ต้องชดใช้
ในกรณีใดที่ควรเปิดเผยข้อมูล
สำหรับการเปิดเผยข้อมูลด้วยตนเอง ในฐานะองค์กร จากทฤษฎีแล้ว องค์กรสามารถเลือกที่จะไม่เปิดเผยข้อมูลหรือเปิดเผยข้อมูลได้
ดังนั้น สำหรับองค์กร การกำหนดเกณฑ์ในการเลือกว่าจะเปิดเผยข้อมูลหรือไม่เป็นสิ่งที่สำคัญ
เกณฑ์ที่หนึ่งที่ควรพิจารณาคือ ในกรณีที่ไม่คาดว่าจะมีความเสียหายที่ขยายตัวจากการรั่วไหลของข้อมูล
ถึงแม้ข้อมูลจะรั่วไหลจริง แต่ถ้าคิดว่าไม่มีผลกระทบในความเป็นจริง ความจำเป็นในการเปิดเผยข้อมูลด้วยตนเองจะต่ำ
ถ้าเปิดเผยข้อมูลด้วยตนเองในกรณีที่ไม่คาดว่าจะมีความเสียหายที่ขยายตัวจากการรั่วไหลของข้อมูล อาจจะทำให้เกิดความสับสนและทำให้สถานการณ์ยิ่งแย่ลง
เกณฑ์ที่สองที่ควรพิจารณาคือ ในกรณีที่การเปิดเผยข้อมูลอาจทำให้ความเสียหายจากการรั่วไหลของข้อมูลขยายตัว
ถ้าองค์กรยังไม่สามารถจัดการกับการรั่วไหลของข้อมูลอย่างเพียงพอ แต่เผยแพร่ข้อมูลว่ามีการรั่วไหลของข้อมูล อาจทำให้ผู้ที่ต้องการข้อมูลโดยไม่ชอบธรรมสังเกตเห็น และอาจทำให้เกิดการรั่วไหลของข้อมูลเพิ่มเติม
ดังนั้น การเปิดเผยข้อมูลด้วยตนเองอาจทำให้ความเสียหายจากการรั่วไหลของข้อมูลขยายตัว และสุดท้ายแล้วอาจทำให้การละเมิดสิทธิขยายตัว
อย่างไรก็ตาม เกณฑ์ที่กล่าวมาข้างต้นไม่สามารถทั่วไปได้ แต่ต้องตรวจสอบเกณฑ์ในการเปิดเผยข้อมูลในแต่ละกรณี และต้องตัดสินใจว่าควรเปิดเผยข้อมูลหรือไม่
เรื่องที่ควรเปิดเผยข้อมูล
ในกรณีที่เปิดเผยข้อมูล ควรพิจารณาเรื่องที่ควรเปิดเผยข้อมูลอย่างระมัดระวัง
เรื่องที่ควรเปิดเผยข้อมูลอาจจะเป็นเรื่องต่อไปนี้
- ประเภทของการรั่วไหลของข้อมูลที่เกิดขึ้น
- วันที่องค์กรตระหนักถึงการรั่วไหลของข้อมูล
- วันที่เกิดการรั่วไหลของข้อมูล
- รายละเอียดเกี่ยวกับการรั่วไหลของข้อมูล
- สาเหตุของการรั่วไหลของข้อมูล
- ความเสียหายที่อาจเกิดจากการรั่วไหลของข้อมูล
- ความเป็นไปได้ในการขยายตัวของความเสียหายหรือการเกิดความเสียหายครั้งที่สองในอนาคต
- มาตรการที่องค์กรได้ดำเนินการเพื่อจัดการกับการรั่วไหลของข้อมูล
- รายละเอียดของการสอบสวนเกี่ยวกับสาเหตุของการรั่วไหลของข้อมูล
- การรายงานถึงตำรวจหรือไม่
อย่างไรก็ตาม สำหรับเรื่องที่ควรเปิดเผยข้อมูล ขึ้นอยู่กับกรณีที่เกิดขึ้น ดังนั้น ควรตัดสินใจตามกรณีที่เกิดขึ้น
วิธีการเปิดเผยข้อมูล
วิธีการเปิดเผยข้อมูลอาจจะเป็นวิธีต่อไปนี้
- การโพสต์บนเว็บไซต์ขององค์กร
- การประกาศผ่านการสัมภาษณ์ข่าว
- การติดต่อกับบุคคลที่มีความเสี่ยงที่จะถูกละเมิดสิทธิ์จากการรั่วไหลของข้อมูลโดยตรง
วิธีการเปิดเผยข้อมูลที่กล่าวมาข้างต้นเป็นเพียงตัวอย่าง ดังนั้น ควรเลือกวิธีที่เหมาะสมตามกรณีที่เกิดขึ้น
ข้อควรระวังเมื่อจัดการสัมภาษณ์ข่าว
เมื่อจัดการสัมภาษณ์ข่าว ข้อมูลที่เปิดเผยจะถูกทราบโดยคนจำนวนมาก ดังนั้น ควรพิจารณาอย่างระมัดระวังว่าการเปิดเผยข้อมูลผ่านการสัมภาษณ์ข่าวเป็นวิธีที่เหมาะสมหรือไม่
เช่น ถ้าไม่มีข้อมูลใหม่ที่เกินกว่าข้อมูลที่องค์กรได้เปิดเผยบนเว็บไซต์แล้ว การจัดการสัมภาษณ์ข่าวอาจจะไม่สามารถเปิดเผยข้อมูลใหม่ได้ ถ้าจัดการสัมภาษณ์ข่าวที่ไม่มีข้อมูลใหม่ คนที่ดูการสัมภาษณ์ข่าวอาจจะมีภาพลักษณ์ว่า “องค์กรไม่ได้เปิดเผยข้อมูลอย่างเต็มที่และไม่รับผิดชอบในการอธิบาย องค์กรที่ไม่ซื่อสัตย์” ดังนั้น ควรระมัดระวัง
นอกจากนี้ ข้อมูลที่พูดในการสัมภาษณ์ข่าวอาจจะยากที่จะถอนหรือแก้ไข
ดังนั้น ควรเตรียมการสำหรับข้อมูลที่จะพูดในการสัมภาษณ์ข่าวอย่างระมัดระวัง โดยรวมถึงการปรึกษากับทนายความหรือผู้เชี่ยวชาญอื่น ๆ และกำหนดข้อมูลที่จะพูดล่วงหน้า
ข้อควรระวังเมื่อติดต่อกับบุคคลที่มีความเสี่ยงที่จะถูกละเมิดสิทธิ์จากการรั่วไหลของข้อมูลโดยตรง
ถ้าสามารถระบุบุคคลที่มีความเสี่ยงที่จะถูกละเมิดสิทธิ์จากการรั่วไหลของข้อมูลได้ ควรติดต่อกับผู้ที่เสียหายโดยตรงก่อนที่จะเผยแพร่ข้อมูลเกี่ยวกับการรั่วไหลของข้อมูล
ถ้าเผยแพร่ข้อมูลก่อนที่จะติดต่อกับผู้ที่เสียหาย ผู้ที่เสียหายอาจจะมีความรู้สึกที่ไม่ไว้วางใจในองค์กรและเพิ่มความรู้สึกที่ต่อต้าน
นอกจากนี้ ถ้าสามารถติดต่อกับผู้ที่เสียหายโดยตรงได้ แต่เผยแพร่ข้อมูลก่อน ความไว้วางใจทางสังคมขององค์กรอาจจะถูกทำลาย
วิธีที่ธุรกิจสามารถป้องกันการรั่วไหลของข้อมูล
จนถึงตอนนี้ เราได้ทำการอธิบายเกี่ยวกับการเปิดเผยข้อมูลที่ธุรกิจควรทำในกรณีที่มีการรั่วไหลของข้อมูล แต่ที่สำคัญที่สุดคือการป้องกันไม่ให้ข้อมูลรั่วไหลเกิดขึ้น
ในมาตรา 23 ของ “กฎหมายคุ้มครองข้อมูลส่วนบุคคลญี่ปุ่น” มีการกำหนดเกี่ยวกับมาตรการจัดการความปลอดภัยดังนี้
(มาตรการจัดการความปลอดภัย)
e-Gov｜กฎหมายคุ้มครองข้อมูลส่วนบุคคลญี่ปุ่น
มาตราที่ 23 ผู้ประกอบการที่จัดการข้อมูลส่วนบุคคลต้องดำเนินมาตรการที่เหมาะสมและจำเป็นเพื่อป้องกันการรั่วไหล การสูญหาย หรือการทำลายข้อมูลส่วนบุคคล
เนื้อหาของมาตรการจัดการความปลอดภัยอาจจะรวมถึงการดำเนินการดังต่อไปนี้
- การกำหนดนโยบายพื้นฐานในการจัดการข้อมูลส่วนบุคคล
- การจัดระเบียบในการจัดการข้อมูลส่วนบุคคล
- การจัดระบบองค์กร
- การดำเนินการตามระเบียบในการจัดการข้อมูลส่วนบุคคล
- การจัดวิธีการตรวจสอบสถานะการจัดการข้อมูลส่วนบุคคล
- การจัดระบบการตอบสนองต่อเหตุการณ์การรั่วไหลข้อมูล
- การทราบสถานะการจัดการข้อมูลส่วนบุคคลและการทบทวนมาตรการจัดการความปลอดภัย
- การศึกษาและอบรมพนักงานที่จัดการข้อมูลส่วนบุคคล
- การดำเนินการจัดการความปลอดภัยทางกายภาพเพื่อป้องกันการรั่วไหลของข้อมูลส่วนบุคคล
- การดำเนินการจัดการความปลอดภัยทางเทคนิคเพื่อป้องกันการรั่วไหลของข้อมูลส่วนบุคคล
โดยการดำเนินมาตรการจัดการความปลอดภัยดังกล่าวข้างต้นที่เหมาะสมกับสถานการณ์ของธุรกิจ จะสามารถลดความเสี่ยงในการรั่วไหลของข้อมูลได้
สรุป: ควรปรึกษาทนายความเกี่ยวกับการเปิดเผยข้อมูลในกรณีที่มีการรั่วไหลของข้อมูล
ในบทความนี้ เราได้ทำการอธิบายเกี่ยวกับการเปิดเผยข้อมูลที่องค์กรควรดำเนินการในกรณีที่มีการรั่วไหลของข้อมูล โดยมุ่งเน้นไปที่บุคคลที่ทำงานในฝ่ายกฎหมายขององค์กร
แน่นอนว่า การที่ไม่มีการรั่วไหลของข้อมูลเกิดขึ้นเป็นสิ่งที่ดีที่สุด แต่ในความเป็นจริง การป้องกันการรั่วไหลของข้อมูลได้ 100% นั้นเป็นสิ่งที่ยาก
ดังนั้น ในกรณีที่มีการรั่วไหลของข้อมูลเกิดขึ้น การดำเนินการตอบสนองที่เหมาะสมขององค์กรจึงมีความสำคัญ
เราขอแนะนำให้คุณปรึกษากับทนายความที่มีความรู้เชี่ยวชาญในการตอบสนองต่อการรั่วไหลของข้อมูล เนื่องจากการตอบสนองต่อสถานการณ์นี้ต้องการการพิจารณาอย่างรอบคอบที่สอดคล้องกับสถานการณ์
การแนะนำมาตรการจากสำนักงานทนายความของเรา
สำนักงานทนายความ Monolis คือสำนักงานที่มีความเชี่ยวชาญสูงในด้าน IT โดยเฉพาะอย่างยิ่งอินเทอร์เน็ตและกฎหมาย การจัดทำระเบียบข้อบังคับภายในองค์กรจำเป็นต้องมีความรู้ทางเชิงเฉพาะทาง ที่สำนักงานทนายความของเรา เราได้ทำการตรวจสอบเรื่องต่าง ๆ สำหรับองค์กรที่มีการเข้าจดทะเบียนในตลาดหลักทรัพย์ของโตเกียว (Tokyo Stock Exchange) จนถึงบริษัทสตาร์ทอัพ หากคุณมีปัญหาเกี่ยวกับระเบียบข้อบังคับภายในองค์กร กรุณาอ่านบทความด้านล่างนี้
