วันพุธที่ 16 พฤศจิกายน 2565 ที่ผ่านมา “สภาดิจิทัลเพื่อเศรษฐกิจและสังคมแห่งประเทศไทย” นำโดย “นางเขมนรินทร์ รัตนาอัมพวัลย์” รองประธานสภาดิจิทัลเพื่อเศรษฐกิจและสังคมแห่งประเทศไทย และประธานพันธกิจด้านการพัฒนาศักยภาพทรัพยากรมนุษย์ด้านดิจิทัล ร่วมกันประชุมออนไลน์คณะกรรมการสภาฯ พร้อมทั้งรับฟังความคิดเห็นต่อร่างประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง หลักเกณฑ์และวิธีการในการแจ้งเหตุการณ์ละเมิดข้อมูลส่วนบุคคล พ.ศ. .... เพื่อใช้เป็นเกณฑ์พิจารณาแนวทางการกำหนดหลักเกณฑ์แจ้งเหตุการณ์ละเมิดข้อมูลส่วนบุคคลที่เหมาะสม และเป็นไปตามมาตรฐานสากล โดยสภาดิจิทัลฯ จะดำเนินการรวบรวมความคิดเห็นและข้อเสนอแนะจากคณะกรรมสภาฯ นำเสนอต่อสำนักงานปลัดกระทรวงดิจิทัลเพื่อเศรษฐกิจและสังคมเพื่อพิจารณาต่อไป

ทั้งนี้ การรับฟังความคิดเห็นต่อร่างหลักเกณฑ์และวิธีการในการแจ้งเหตุการณ์ละเมิดข้อมูลส่วนบุคคล ประกอบด้วย 1) ความเหมาะสมของนิยามและขอบเขตการละเมิดข้อมูลส่วนบุคคล 2) แนวทางการแจ้งเหตุการละเมิดข้อมูลส่วนบุคคล สาระสำคัญที่ต้องแจ้ง และการดำเนินการกรณีแจ้งเหตุล่าช้า 3) แนวทางแจ้งเหตุฯ กรณีทำข้อตกลงมอบหมายให้ Data Processor ดำเนินการประมวลผลแทน Data Controller 4) ข้อยกเว้นการแจ้งเหตุฯ 5) แนวทางแจ้งเหตุฯ ต่อเจ้าของข้อมูลส่วนบุคคล 6) การประเมินความเสี่ยงในการรายงานเหตุฯ 7) ตัวอย่างการประเมินระดับความเสี่ยงในการรายงานเหตุฯ และ 8) ข้อเสนอแนะอื่นๆ

สำหรับการประชุมระดมข้อคิดเห็นในครั้งนี้ ได้มีการสรุปข้อคิดเห็นจากคณะกรรมการสภาดิจิทัลฯ โดยมีประเด็นสำคัญ ได้แก่ ควรมีลักษณะหรือตัวอย่างในการแสดงข้อมูลส่วนบุคคล ในกรณีการแจ้งเหตุต่อสาธารณะ การพิจารณาหน้าที่ของ Data Processor และ Data Controller โดยทางองค์กรจะต้องระบุถึงหน้าที่ได้อย่างถูกต้อง สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (สคส.) สามารถอัพเดทตัวอย่างหรือ Case Study ไว้บนเว็บไซต์ เพื่อเป็นแนวทางการดำเนินงานให้กับผู้ควบคุมข้อมูลส่วนบุคคล หรือ เจ้าของข้อมูลส่วนบุคคลต่อไป รวมทั้งการพิจารณาความผิดและข้อลงโทษของผู้กระทำความผิด ตลอดจน ในกรณีหากมีการร่างกฎหมายลำดับรองฉบับอื่น ๆ ในอนาคตขอเสนอแนะให้มีการจัดทำตัวอย่างเช่นในเอกสารแนบท้ายประกาศฉบับนี้ ซึ่งเป็นประโยชน์อย่างมากในการเป็นแนวทางปฏิบัติตามของผู้มีหน้าที่ที่เกี่ยวข้องเช่นเดียวกับในตัวอย่างตามเอกสารแนบท้ายประกาศนี้ที่สามารถอธิบายถึงเหตุผลและตัวอย่างของความเสี่ยงว่าความเสี่ยงระดับใดที่ต้องรายงานสคส. หรือแจ้งเจ้าของข้อมูลส่วนบุคคลตามประกาศต่อไป