H.I.S. ไทยถูกเจาะ ข้อมูลพาสปอร์ตสูงสุด 627 คนอาจรั่ว ธุรกิจท่องเที่ยวไทยจะตอบ PDPA 72 ชั่วโมงได้อย่างไร

PDPA 72 ชั่วโมง คือกำหนดเวลาตามมาตรา 37(4) ที่ผู้ควบคุมข้อมูลต้องแจ้ง สคส. นับแต่ทราบเหตุละเมิดข้อมูลส่วนบุคคล เว้นแต่เหตุนั้นไม่มีความเสี่ยง บทความนี้ใช้กรณีบริษัทลูกของ H.I.S. ในไทยที่ข้อมูลพาสปอร์ตสูงสุด 627 คนอาจรั่ว เหมาะกับบริษัทนำเที่ยว โรงแรม และ DMC ที่ถือไฟล์พาสปอร์ตลูกค้า อ่านแล้วจะรู้ว่าต้องเตรียมอะไรให้ตอบทัน

ลองนึกภาพบริษัททัวร์ขนาดกลางที่มีไฟล์สแกนพาสปอร์ตของลูกค้ากองอยู่ในไดรฟ์กลางมาหลายปี (ตัวอย่างสมมติ) วันหนึ่งระบบเตือนว่ามีคนแปลกหน้าเข้าไฟล์เซิร์ฟเวอร์ คำถามแรกคือในนั้นมีข้อมูลของใครบ้าง ถ้าตอบไม่ได้ ก็เท่ากับเสียเวลาไปแล้วตั้งแต่ก่อนเริ่มประเมิน เรื่องนี้เกิดขึ้นจริงกับ H.I.S. ในไทย ตามที่ TRAICY Global รายงานเมื่อ 7 ต.ค. 2569

สรุปสั้น: TRAICY Global รายงานว่าบริษัทลูกของ H.I.S. ในไทยถูกบุคคลภายนอกเข้าถึงไฟล์เซิร์ฟเวอร์โดยไม่ได้รับอนุญาต ข้อมูลพาสปอร์ตสูงสุด 627 คนอาจรั่ว และบริษัทใช้เวลานานเพราะข้อมูลปนกันจนค้นอัตโนมัติไม่ได้ ข่าวไม่ได้ระบุว่าแจ้ง สคส. ของไทยหรือไม่ บทเรียนคือธุรกิจท่องเที่ยวไทยต้องรู้ว่าเก็บข้อมูลอะไรไว้ที่ไหน จึงจะตอบ PDPA 72 ชั่วโมงทัน

PDPA 72 ชั่วโมง คืออะไร และกรณี H.I.S. ไทยเกิดอะไรขึ้น

PDPA 72 ชั่วโมง คือหน้าที่แจ้งเหตุละเมิดต่อ สคส. ภายใน 72 ชั่วโมงนับแต่ทราบเหตุ ตามมาตรา 37(4) เว้นแต่เหตุนั้นไม่มีความเสี่ยง กรณี H.I.S. แสดงให้เห็นว่าเส้นตายนี้ท้าทายแค่ไหน เมื่อบริษัทต้องใช้เวลาหลายเดือนกว่าจะรู้ว่าไฟล์ในเซิร์ฟเวอร์มีข้อมูลของใครบ้าง

บริษัทอธิบายว่าที่ช้าเพราะเซิร์ฟเวอร์มีข้อมูลหลายรูปแบบปนกับเอกสารบัญชี ค้นหาอัตโนมัติไม่ได้ ต้องตรวจทีละรายการ ระหว่างวันที่ซอฟต์แวร์เตือนกับวันที่ข่าวเผยแพร่ 7 ต.ค. 2569 ห่างกันกว่า 9 เดือน ข้อมูลทั้งหมดมาจาก TRAICY Global แหล่งเดียว ยังไม่มีสื่ออื่นยืนยัน

PDPA 72 ชั่วโมง กระทบบริษัทนำเที่ยวและโรงแรมไทยอย่างไร

PDPA 72 ชั่วโมง กระทบบริษัทนำเที่ยว โรงแรม และ DMC (บริษัทจัดการท่องเที่ยวปลายทาง) ในไทยโดยตรง เพราะเป็นกลุ่มที่รับไฟล์พาสปอร์ตจากพันธมิตรต่างประเทศ และถ้าเก็บไว้ในไดรฟ์ที่ใช้ร่วมกันก็เสี่ยงเจอปัญหาแบบเดียวกัน ส่วนที่เป็นข้อเท็จจริงมาจาก TRAICY Global ส่วนการเชื่อมกับกฎหมายไทยเป็นการวิเคราะห์ของผู้เขียน

บริษัทลูกของ H.I.S. ในไทยอยู่ภายใต้ PDPA หรือไม่

อยู่ภายใต้ เพราะบริษัทลูกตั้งอยู่ในไทย จึงต้องปฏิบัติตาม พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ซึ่งมาตรา 37(4) กำหนดให้แจ้ง สคส. ภายใน 72 ชั่วโมงนับแต่ทราบเหตุ ข่าวไม่ได้ระบุว่าแจ้ง สคส. ของไทยหรือไม่ จึงยังสรุปไม่ได้ว่าทำตามกำหนดหรือเปล่า รายงานพูดถึงแต่การแจ้งหน่วยงานญี่ปุ่น

คำว่า “ทราบเหตุ” เป็นจุดที่ตีความได้ว่านับตอนระบบเตือน หรือตอนยืนยันว่ามีข้อมูลของใครเกี่ยวข้อง ผู้เขียนมองว่าไม่ควรเดิมพันกับการตีความ ควรเตรียมให้ประเมินได้เร็วที่สุด เรื่องเปรียบเทียบขั้นตอนแจ้งเหตุกับต่างประเทศ ดูได้ใน Simba ข้อมูลลูกค้า 23,549 ราย รวมเลขบัตรประชาชนหลุด PDPC สิงคโปร์เปิดสอบ ขั้นตอนแจ้งเหตุตาม PDPA ไทยต่างกันตรงไหน

ข้อมูลแพ้อาหารและแพ้ยาเป็นข้อมูลอ่อนไหวหรือไม่

เป็นข้อมูลอ่อนไหว เพราะข้อมูลการแพ้อาหารและแพ้ยาเป็นข้อมูลสุขภาพตามมาตรา 26 ของ PDPA ส่วนชื่อ เลขพาสปอร์ต และวันเกิดเป็นข้อมูลส่วนบุคคลทั่วไป ถ้าสองกลุ่มนี้เก็บรวมกัน การป้องกันและการประเมินความเสี่ยงควรเข้มตามกลุ่มที่อ่อนไหวกว่า ข้อนี้เป็นข้อสังเกตของผู้เขียน

ทำไมข้อมูลที่เก็บเกินจำเป็นทำให้ตอบ PDPA 72 ชั่วโมงไม่ทัน

เพราะประเมินเหตุไม่ได้ถ้าไม่รู้ว่าเก็บอะไรไว้ที่ไหน ผู้ได้รับผลกระทบรวมคนที่เดินทางตั้งแต่ปี 2560 น่าจะแปลว่าไฟล์เก่าหลายปียังอยู่บนเซิร์ฟเวอร์ และปนกับเอกสารบัญชีจนค้นอัตโนมัติไม่ได้

ผู้เขียนมองว่าปัญหาจริงไม่ใช่การถูกเจาะ แต่คือไม่รู้ว่าตัวเองเก็บอะไรไว้ ผู้ควบคุมข้อมูลมีหน้าที่จัดมาตรการรักษาความมั่นคงปลอดภัย (มาตรา 37(1)) และทำบันทึกรายการ RoPA (มาตรา 39) ซึ่งถ้า RoPA ไม่ครอบคลุมไฟล์ที่ไม่มีโครงสร้าง ก็คือความเสี่ยงของธุรกิจท่องเที่ยวไทย

ถ้าไม่เตรียมรับมือ PDPA 72 ชั่วโมง จะเสี่ยงอะไร

ถ้าไม่เตรียม บริษัทจะเสียเวลาไปกับการตามหาว่าข้อมูลอยู่ตรงไหน แทนที่จะประเมินความเสี่ยงและแจ้งเหตุ ผลคือพลาดเส้นตายแจ้ง สคส. หรือแจ้งไปโดยไม่รู้ขอบเขตที่แท้จริง ลูกค้าและพันธมิตรต่างประเทศที่ส่งพาสปอร์ตมาให้ก็จะถามว่ารั่วอะไรบ้าง ซึ่งบริษัทตอบไม่ได้

เหตุเดียวอาจต้องแจ้งหลายประเทศด้วย เหมือน H.I.S. ที่รายงานหน่วยงานญี่ปุ่นเพราะเซิร์ฟเวอร์มีข้อมูลที่เก็บในญี่ปุ่น ธุรกิจไทยที่รับข้อมูลจากต่างประเทศจึงต้องรู้ว่าไฟล์ไหนมาจากประเทศใด

ธุรกิจท่องเที่ยวและโรงแรมควรทำอะไรเพื่อตอบ PDPA 72 ชั่วโมงให้ทัน

ธุรกิจท่องเที่ยวและโรงแรมควรเริ่มจากรู้ว่าไฟล์อยู่ที่ไหนก่อนซื้อเครื่องมือใด ๆ 5 ข้อนี้ทำได้โดยไม่ต้องรอให้เกิดเหตุจริง

• 1. ทำแผนที่ไฟล์พาสปอร์ต ไล่ดูว่าสแกนพาสปอร์ต รายชื่อผู้เดินทาง และบันทึกแพ้อาหารหรือยา อยู่ที่ไหนบ้าง ทั้งไฟล์เซิร์ฟเวอร์ ไดรฟ์ที่ใช้ร่วมกัน อีเมล และกลุ่มแชต
• 2. ล้างไฟล์ที่หมดความจำเป็น กำหนดอายุเก็บข้อมูลแต่ละประเภท เช่น หลังจบทริปเก็บไว้นานเท่าไรเพื่ออะไร แล้วลบตามรอบ
• 3. กำหนดเจ้าของข้อมูลทุกโฟลเดอร์ ระบุว่าใครรับผิดชอบ ใครเข้าได้ และแยกข้อมูลสุขภาพมาจำกัดสิทธิ์เป็นพิเศษ
• 4. เขียนขั้นตอนประเมินเหตุภายใน 72 ชั่วโมง ใครเป็นคนตัดสิน ตรวจอะไรก่อน (ประเภทข้อมูล จำนวนคน ความเสี่ยง) ใครแจ้ง สคส. และบันทึกเวลาที่ทราบเหตุไว้
• 5. ปรับ RoPA ให้ครอบคลุมไฟล์ที่ไม่มีโครงสร้าง และตกลงกับพันธมิตรต่างประเทศว่าส่งพาสปอร์ตมาทางไหน ใครเก็บ ลบเมื่อไร

ถ้าต้องการคนช่วยวางขั้นตอนประเมินเหตุและทบทวน RoPA ดูรายละเอียดได้ที่ บริการ AI Governance และ PDPA ของ Kooru โรงแรมที่สแกนพาสปอร์ตผู้เข้าพักอ่านเพิ่มได้ใน สตม. เปิดแอป THIM สแกนพาสปอร์ต NFC และใบหน้าต่างชาติ ผู้ใช้กว่า 580,000 ราย PDPA คุ้มครองอย่างไร และโรงแรมไทยต้องเตรียมอะไร และติดตามเรื่องข้อมูลส่วนบุคคลต่อได้ที่ หมวด PDPA & Privacy

มุมมองผู้เชี่ยวชาญ

ผมมองว่าข่าวนี้สอนเรื่องที่น่าอึดอัดกว่าเรื่องแฮกเกอร์ คือบริษัทจำนวนมากไม่รู้ว่าตัวเองเก็บอะไรไว้ในเซิร์ฟเวอร์ เส้นตาย 72 ชั่วโมงไม่ได้เริ่มนับจากวันที่เราพร้อม แต่นับจากวันที่เรารู้ตัว ถ้าไฟล์ยังกองรวมกันจนหาไม่เจอ ต่อให้ระบบเตือนทันก็ตอบ สคส. ไม่ทัน จุดที่องค์กรมักพลาดคือทำ RoPA เฉพาะฐานข้อมูลที่เห็นชัด แต่ลืมไฟล์ที่กองอยู่ในไดรฟ์กลาง

— Phuwara Krobtaku —
LL.M. (IP & IT) | M.S. (IT) | Thai Barrister & Attorney-at-Law

คำถามที่พบบ่อยเกี่ยวกับ PDPA 72 ชั่วโมง

PDPA 72 ชั่วโมง นับจากเมื่อไร

นับแต่ทราบเหตุละเมิดข้อมูลส่วนบุคคลตามมาตรา 37(4) แต่เหตุที่ค่อย ๆ ชัดขึ้นอย่างกรณี H.I.S. อาจตีความได้ว่า “ทราบเหตุ” คือจังหวะไหน ควรปรึกษาผู้เชี่ยวชาญและบันทึกเวลาที่ทราบเหตุไว้ทุกครั้ง

ข้อมูลพาสปอร์ตรั่วต้องแจ้ง สคส. ไหม

ต้องแจ้งภายใน 72 ชั่วโมง เว้นแต่เหตุนั้นไม่มีความเสี่ยงตามมาตรา 37(4) ข้อมูลพาสปอร์ตที่มีวันเกิดและเลขเอกสาร (บางกรณีมีข้อมูลสุขภาพด้วย) ไม่ควรด่วนสรุปว่าไม่มีความเสี่ยง ควรประเมินเป็นรายเหตุ

H.I.S. ไทยแจ้ง สคส. แล้วหรือยัง

ข่าวไม่ได้ระบุ จึงยังยืนยันไม่ได้ รายงานพูดถึงเฉพาะการรายงานต่อคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลของญี่ปุ่นและ JIPDEC หลังบริษัทยืนยันเมื่อ 29 ธ.ค. 2568 ว่ามีข้อมูลที่เก็บในญี่ปุ่นด้วย

ข้อมูลพาสปอร์ตที่อาจรั่วมีสูงสุดกี่คน

สูงสุด 627 คน ตามที่บริษัทสรุปเมื่อ 24 ก.พ. 2569 ข่าวใช้คำว่าอาจรั่ว จึงเป็นจำนวนสูงสุดของคนที่ข้อมูลอาจได้รับผลกระทบ ไม่ใช่ตัวเลขที่ยืนยันแล้วว่ารั่วจริงทุกราย

แหล่งอ้างอิง

• TRAICY Global — (อ่านต้นฉบับ) — อ่านข่าวที่ TRAICY Global

บทความนี้เป็นการสรุปข่าวและให้ข้อมูลทั่วไป ไม่ใช่คำแนะนำทางกฎหมาย หากต้องการคำปรึกษาเฉพาะกรณีของธุรกิจคุณ ควรปรึกษาผู้เชี่ยวชาญ

Related Posts

ประกาศ สคส. เรื่องสิทธิขอเข้าถึงและขอรับสำเนาข้อมูลมีผลแล้ว องค์กรต้องตอบใน 30 วัน คิดค่าธรรมเนียมได้แค่ไหน ปฏิเสธได้เมื่อไร

ประกาศคณะกรรมการคุ้มครองข…

ตรงเรื่อง 74.1%

โบสถ์ใหญ่ 2 แห่งในเกาหลีใต้สอบเหตุถูกแฮก ข้อมูลสมาชิกอาจรั่วราว 1 ล้านรายการ วัดและมูลนิธิไทยต้องทำอะไรตาม PDPA

โบสถ์ Yoido Full Gospel แ…

ตรงเรื่อง 72.5%