ถ้ามีการรั่วไหลของข้อมูลส่วนบุคคล? อธิบายการตอบสนองทางการบริหารที่บริษัทควรดำเนินการ

ด้วยการพัฒนาของอินเทอร์เน็ตและความสามารถในการแลกเปลี่ยนข้อมูลออนไลน์ ทำให้เกิดกรณีที่ข้อมูลสำคัญขององค์กรรั่วไหลออกไปในรูปแบบที่ไม่คาดคิดมากขึ้น

ในปัจจุบัน ความสำคัญของข้อมูลมีแนวโน้มเพิ่มขึ้น ดังนั้น หากเกิดการรั่วไหลของข้อมูล อาจกลายเป็นปัญหาใหญ่ที่ทำให้สูญเสียความน่าเชื่อถือ สำหรับองค์กร หากเกิดการรั่วไหลข้อมูล จำเป็นต้องดำเนินการตอบสนองที่เหมาะสมอย่างรวดเร็ว

ในที่นี้ จะอธิบายเกี่ยวกับการตอบสนองที่องค์กรควรดำเนินการเมื่อเกิดการรั่วไหลข้อมูล โดยเน้นที่การตอบสนองต่อการดำเนินการของรัฐบาลอย่างละเอียด

การรั่วไหลของข้อมูลที่ต้องมีการตอบสนองจากฝ่ายบริหาร

แม้ว่าจะเรียกว่าการรั่วไหลของข้อมูล แต่ละข้อมูลและความสำคัญของข้อมูลนั้นต่างกัน การที่ต้องมีการตอบสนองจากฝ่ายบริหารเมื่อเกิดการรั่วไหลของข้อมูลคือในกรณีที่มีการรั่วไหลของข้อมูลส่วนบุคคล

ความหมายของข้อมูลส่วนบุคคลได้รับการกำหนดใน กฎหมายที่เกี่ยวข้องกับการป้องกันข้อมูลส่วนบุคคล (หรือ “กฎหมายการป้องกันข้อมูลส่วนบุคคล” ในภาษาญี่ปุ่น) ในมาตรา 2 ข้อ 1 ดังนี้

(ความหมาย)
มาตราที่ 2 ในกฎหมายนี้ “ข้อมูลส่วนบุคคล” หมายถึงข้อมูลที่เกี่ยวข้องกับบุคคลที่ยังมีชีวิตอยู่ ซึ่งเป็นข้อมูลที่ตรงกับข้อใดข้อหนึ่งต่อไปนี้
1. ข้อมูลที่สามารถระบุบุคคลที่เฉพาะเจาะจงได้จากชื่อ วันเดือนปีเกิด และข้อมูลอื่น ๆ ที่รวมอยู่ในข้อมูลนั้น (รวมถึงข้อมูลที่ถูกบันทึกในรูปแบบที่ไม่สามารถรับรู้ได้ด้วยการรับรู้ของมนุษย์ เช่น รูปแบบอิเล็กทรอนิกส์ รูปแบบแม่เหล็ก หรือรูปแบบอื่น ๆ ที่ถูกบันทึกด้วยวิธีการทางไฟฟ้า รวมถึงข้อมูลที่ถูกบันทึกหรือแสดงผลด้วยเสียง การกระทำ หรือวิธีการอื่น ๆ ที่ไม่รวมถึงรหัสประจำตัวบุคคล)
2. ข้อมูลที่รวมถึงรหัสประจำตัวบุคคล

e-GOV｜กฎหมายที่เกี่ยวข้องกับการป้องกันข้อมูลส่วนบุคคล

ข้อมูลที่ตรงกับความหมายดังกล่าวจะได้รับการป้องกันตามกฎหมายการป้องกันข้อมูลส่วนบุคคล

บทความที่เกี่ยวข้อง: กฎหมายการป้องกันข้อมูลส่วนบุคคลและข้อมูลส่วนบุคคลคืออะไร? ทนายความอธิบาย

นอกจากนี้ ในกรณีที่เกิดการรั่วไหลของข้อมูล การตอบสนองที่องค์กรควรดำเนินการ นอกจากการตอบสนองจากฝ่ายบริหารแล้ว อาจจำเป็นต้องมีการเปิดเผยข้อมูลด้วย สำหรับรายละเอียด โปรดดูในบทความด้านล่างนี้

บทความที่เกี่ยวข้อง: การเปิดเผยข้อมูลที่องค์กรควรดำเนินการเมื่อเกิดการรั่วไหลของข้อมูลคืออะไร

หน้าที่ในการรายงานเกี่ยวกับการรั่วไหลของข้อมูลส่วนบุคคล

ผู้ประกอบการที่จัดการข้อมูลส่วนบุคคลมีหน้าที่ต้องรายงานให้กับคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลของญี่ปุ่น (Japanese Personal Information Protection Commission) เมื่อเกิดสถานการณ์ที่มีการรั่วไหลของข้อมูลส่วนบุคคลหรือมีความเป็นไปได้ที่จะเกิดการรั่วไหลของข้อมูลส่วนบุคคลขึ้น

อย่างไรก็ตาม ก่อนวันที่ 1 เมษายน พ.ศ. 2025 (ปี 4 ของยุคเรวะ) การรายงานเกี่ยวกับสถานการณ์ที่มีการรั่วไหลของข้อมูลส่วนบุคคลหรือมีความเป็นไปได้ที่จะเกิดการรั่วไหลของข้อมูลส่วนบุคคลขึ้น ต่อคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลของญี่ปุ่น ไม่ได้ถือเป็นหน้าที่ แต่เป็นการทำอย่างที่ควรทำ แต่หลังจากที่กฎหมายคุ้มครองข้อมูลส่วนบุคคลของญี่ปุ่นได้รับการแก้ไข หลังจากวันที่ 1 เมษายน พ.ศ. 2025 เป็นต้นไป การรายงานต่อคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลของญี่ปุ่นจึงกลายเป็นหน้าที่ที่ต้องทำ

ในที่นี้ “ผู้ประกอบการที่จัดการข้อมูลส่วนบุคคล” หมายถึง ผู้ที่ใช้ฐานข้อมูลข้อมูลส่วนบุคคลเป็นส่วนหนึ่งของธุรกิจของตน (ตามมาตรา 16 ข้อ 2 ของกฎหมายคุ้มครองข้อมูลส่วนบุคคลของญี่ปุ่น) อย่างไรก็ตาม หน่วยงานของรัฐ องค์กรของรัฐท้องถิ่น องค์กรของรัฐท้องถิ่นที่เป็นอิสระ ไม่ถือว่าเป็นผู้ประกอบการที่จัดการข้อมูลส่วนบุคคล

“ฐานข้อมูลข้อมูลส่วนบุคคล” หมายถึง การรวมข้อมูลที่มีข้อมูลส่วนบุคคล ที่ไม่รวมถึงข้อมูลที่กำหนดโดยพระราชบัญญัติที่มีความเสี่ยงต่ำในการทำให้สิทธิและผลประโยชน์ของบุคคลถูกทำลาย และต้องเป็นข้อมูลที่ตรงกับข้อกำหนดใดข้อกำหนดหนึ่งต่อไปนี้ (ตามมาตรา 16 ข้อ 1 ของกฎหมายคุ้มครองข้อมูลส่วนบุคคลของญี่ปุ่น)

• ข้อมูลที่ถูกจัดระบบให้สามารถค้นหาข้อมูลส่วนบุคคลที่เฉพาะเจาะจงได้โดยใช้คอมพิวเตอร์
• ข้อมูลที่ถูกจัดระบบให้สามารถค้นหาข้อมูลส่วนบุคคลที่เฉพาะเจาะจงได้โดยง่าย

ผู้ประกอบการที่จัดการข้อมูลส่วนบุคคลและใช้ฐานข้อมูลข้อมูลส่วนบุคคลเป็นส่วนหนึ่งของธุรกิจของตนจะต้องรับผิดชอบในการรายงานต่อคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลของญี่ปุ่น

บทความที่เกี่ยวข้อง: การแก้ไขกฎหมายคุ้มครองข้อมูลส่วนบุคคลของญี่ปุ่นปี 2022 คำแนะนำเกี่ยวกับ “ความรับผิดชอบของผู้ประกอบการ”

สี่กรณีที่ต้องรายงานถึงคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล

ในกรณีที่มีการรั่วไหลของข้อมูลส่วนบุคคล จะต้องรายงานถึงคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล มีสี่กรณีที่กำหนดไว้ดังนี้ (ตามกฎหมายการปฏิบัติเกี่ยวกับการคุ้มครองข้อมูลส่วนบุคคล มาตราที่ 7)

1. เมื่อมีการรั่วไหลของข้อมูลส่วนบุคคลที่ต้องให้ความสำคัญเป็นพิเศษ หรือมีความเป็นไปได้ที่จะเกิดขึ้น
2. เมื่อมีการรั่วไหลของข้อมูลส่วนบุคคลที่อาจทำให้เกิดความเสียหายทางทรัพย์สินจากการใช้โดยไม่ชอบด้วยกฎหมาย หรือมีความเป็นไปได้ที่จะเกิดขึ้น
3. เมื่อมีการรั่วไหลของข้อมูลส่วนบุคคลที่มีความเป็นไปได้ว่าได้ถูกดำเนินการด้วยเจตนาที่ไม่ชอบด้วยกฎหมาย หรือมีความเป็นไปได้ที่จะเกิดขึ้น
4. เมื่อมีการรั่วไหลของข้อมูลส่วนบุคคลที่เกี่ยวข้องกับบุคคลที่มากกว่า 1,000 คน หรือมีความเป็นไปได้ที่จะเกิดขึ้น

ต่อไปนี้ จะอธิบายเกี่ยวกับกรณีเหล่านี้

การรั่วไหลของข้อมูลส่วนบุคคลที่ต้องให้ความสำคัญเป็นพิเศษ

“ข้อมูลส่วนบุคคลที่ต้องให้ความสำคัญเป็นพิเศษ” หมายถึงข้อมูลส่วนบุคคลที่กำหนดโดยพระราชบัญญัติเพื่อให้ความสำคัญเป็นพิเศษในการจัดการ เพื่อป้องกันการเลือกปฏิบัติ การเลือกปฏิบัติ และความเสียหายอื่น ๆ ที่อาจเกิดขึ้นกับบุคคลนั้น ๆ

ตัวอย่างเช่น ผลการตรวจสุขภาพของพนักงาน หรือข้อมูลเกี่ยวกับประวัติการเจ็บป่วยของพนักงาน จะถือว่าเป็นข้อมูลส่วนบุคคลที่ต้องให้ความสำคัญเป็นพิเศษ

การรั่วไหลของข้อมูลส่วนบุคคลที่อาจทำให้เกิดความเสียหายทางทรัพย์สิน

ในที่นี้ กำหนดเกี่ยวกับกรณีที่ข้อมูลส่วนบุคคลที่อาจทำให้เกิดความเสียหายทางทรัพย์สินจากการใช้โดยไม่ชอบด้วยกฎหมายได้รั่วไหล

ตัวอย่างเช่น กรณีที่บริษัทได้ทำให้ข้อมูลบัตรเครดิตของลูกค้ารั่วไหล

การรั่วไหลของข้อมูลส่วนบุคคลที่ดำเนินการด้วยเจตนาที่ไม่ชอบด้วยกฎหมาย

กรณีที่ผู้ที่ทำให้ข้อมูลส่วนบุคคลรั่วไหลมีเจตนาที่ไม่ชอบด้วยกฎหมาย จะถูกจัดว่าเป็นกรณีนี้

ตัวอย่างเช่น กรณีที่บุคคลที่สามหรือพนักงานของบริษัท ได้เข้าถึงเครือข่ายของบริษัทโดยไม่ชอบด้วยกฎหมาย เพื่อใช้ข้อมูลส่วนบุคคลโดยไม่ชอบด้วยกฎหมาย และทำให้ข้อมูลส่วนบุคคลรั่วไหล

การรั่วไหลของข้อมูลส่วนบุคคลขนาดใหญ่

กรณีที่ข้อมูลส่วนบุคคลที่เกี่ยวข้องกับบุคคลที่มากกว่า 1,000 คนได้รั่วไหล จะถูกจัดว่าเป็นกรณีนี้

สำหรับบริษัทที่จัดการข้อมูลส่วนบุคคลจำนวนมาก จำเป็นต้องระวังเพราะมีความเป็นไปได้ที่ข้อมูลส่วนบุคคลจำนวนมากจะรั่วไหลในครั้งเดียว

รายการที่ต้องรายงานให้กับคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลของญี่ปุ่นเมื่อมีการรั่วไหลของข้อมูล

ในกรณีที่ต้องรายงานให้กับคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลของญี่ปุ่น คุณจำเป็นต้องรายงานรายการที่กำหนดไว้ในมาตรา 8 ข้อ 1 ของกฎหมายคุ้มครองข้อมูลส่วนบุคคลของญี่ปุ่น

(การรายงานให้กับคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลของญี่ปุ่น)
มาตราที่ 8 ผู้ประกอบธุรกิจที่จัดการข้อมูลส่วนบุคคลต้องรายงานข้อมูลต่อไปนี้ที่เกี่ยวข้องกับสถานการณ์ที่กำหนดไว้ในข้อกำหนดแต่ละข้อของมาตราก่อนหน้านี้ โดยทันท่วงทีหลังจากที่ทราบถึงสถานการณ์ดังกล่าว (เฉพาะข้อมูลที่ทราบในขณะที่ต้องการรายงาน ในมาตราถัดไปก็เช่นกัน)

e-GOV｜กฎหมายคุ้มครองข้อมูลส่วนบุคคลของญี่ปุ่น

ในกรณีที่ต้องรายงานตามที่กล่าวมาข้างต้น ผู้ประกอบธุรกิจต้องรายงานรายการต่อไปนี้ให้กับคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลของญี่ปุ่นโดยทันท่วงที:

• ภาพรวม
• รายการข้อมูลส่วนบุคคลที่มีการรั่วไหล หรือที่อาจจะมีการรั่วไหล
• จำนวนข้อมูลส่วนบุคคลที่มีการรั่วไหล หรือที่อาจจะมีการรั่วไหล
• สาเหตุ
• การเกิดความเสียหายที่สอง หรือความเสี่ยงที่จะเกิดความเสียหายที่สอง และรายละเอียดของความเสียหาย
• สถานะการดำเนินการตอบสนองต่อผู้ที่ข้อมูลส่วนบุคคลของพวกเขาถูกรั่วไหล
• สถานะการเปิดเผยข้อมูล
• มาตรการเพื่อป้องกันการเกิดขึ้นซ้ำ
• รายการอื่น ๆ ที่เป็นประโยชน์

อย่างไรก็ตาม คุณสามารถรายงานเฉพาะรายการที่คุณทราบในขณะที่รายงานได้

กำหนดเวลาในการรายงานถึงคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลในกรณีที่มีการรั่วไหลของข้อมูล

สำหรับการรายงานถึงคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลนั้น มีกำหนดเวลาที่ถูกกำหนดไว้ (ตามมาตรา 8 ข้อ 2 ของกฎหมายญี่ปุ่นเกี่ยวกับการปกป้องข้อมูลส่วนบุคคล).

การรายงานถึงคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล ต้องดำเนินการภายใน 30 วันนับจากวันที่ทราบถึงสถานการณ์การรั่วไหลของข้อมูล โดยหลักการ. ในกรณีที่มีเจตนาที่ไม่ซื่อสัตย์จากผู้ที่ทำให้ข้อมูลส่วนบุคคลรั่วไหล จำเป็นต้องรายงานภายใน 60 วัน.

หน้าที่ในการแจ้งเตือนต่อบุคคลที่เกี่ยวข้อง

ในกรณีที่มีการรั่วไหลของข้อมูลส่วนบุคคล นอกจากหน้าที่ในการรายงานต่อคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลแล้ว ยังมีการกำหนดหน้าที่ในการแจ้งเตือนต่อบุคคลที่เกี่ยวข้องด้วย (ตามมาตรา 26 ข้อ 2 ของ พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคลของญี่ปุ่น)

เรื่องการแจ้งเตือนต่อบุคคลที่เกี่ยวข้องนั้น มีวัตถุประสงค์เพื่อป้องกันการละเมิดสิทธิและผลประโยชน์ของบุคคลที่เกี่ยวข้อง โดยให้บุคคลที่เกี่ยวข้องสามารถดำเนินการตอบสนองต่อการรั่วไหลของข้อมูลส่วนบุคคลในระยะเวลาที่เร็วที่สุด ดังนั้น ผู้ประกอบธุรกิจที่จัดการข้อมูลส่วนบุคคลจึงต้องแจ้งเตือนต่อบุคคลที่เกี่ยวข้องโดยเร็วที่สุด

สรุป: หากมีการรั่วไหลของข้อมูลส่วนบุคคล ควรปรึกษาทนายความเกี่ยวกับการตอบสนองของรัฐบาล

ดังที่ได้กล่าวไว้ข้างต้น ในกรณีที่มีการรั่วไหลของข้อมูลส่วนบุคคลในองค์กร การตอบสนองที่องค์กรต้องดำเนินการ โดยเฉพาะการตอบสนองของรัฐบาล ได้รับการอธิบายอย่างละเอียด

สำหรับองค์กร สิ่งที่สำคัญที่สุดคือการสร้างระบบที่ไม่มีการรั่วไหลของข้อมูล แต่ในกรณีที่มีการรั่วไหลของข้อมูล จำเป็นต้องมีการตอบสนองที่เหมาะสม

สำหรับกฎหมายการคุ้มครองข้อมูลส่วนบุคคลของญี่ปุ่น มีการแก้ไขบ่อยครั้งและมีโครงสร้างที่ซับซ้อน ดังนั้น ในการดำเนินการตอบสนองที่เหมาะสม แนะนำให้ปรึกษากับทนายความที่มีความรู้เชี่ยวชาญ

การแนะนำมาตรการจากสำนักงานทนายความของเรา

สำนักงานทนายความ Monolis คือสำนักงานที่มีความเชี่ยวชาญสูงในด้าน IT โดยเฉพาะอินเทอร์เน็ตและกฎหมาย ในปัจจุบัน การรั่วไหลของข้อมูลส่วนบุคคลกำลังกลายเป็นปัญหาที่ใหญ่ หากข้อมูลส่วนบุคคลรั่วไหล อาจส่งผลกระทบร้ายแรงต่อกิจกรรมทางธุรกิจ สำนักงานของเรามีความรู้เชี่ยวชาญเฉพาะทางเกี่ยวกับการป้องกันและมาตรการตอบสนองต่อการรั่วไหลของข้อมูล รายละเอียดเพิ่มเติมได้ระบุไว้ในบทความด้านล่างนี้

https://monolith.law/practices/itlaw[ja]