PDPC ประกาศปรับบริษัทเอกชน 7 ล้านบาท ฐานละเมิดข้อมูลส่วนบุคคล

วันที่ 21 สิงหาคม 2567 กระทรวงดิจิทัลเพื่อเศรษฐกิจและสังคม และสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (PDPC) แถลงข่าวลงโทษปรับทางปกครองแก่บริษัทเอกชนรายหนึ่งเป็นเงิน 7 ล้านบาท ฐานละเมิดพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562

บริษัทดังกล่าวละเมิดข้อมูลส่วนบุคคลของลูกค้ากว่า 100,000 ราย โดยไม่แต่งตั้งเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล (DPO) ไม่มีมาตรการรักษาความปลอดภัยที่เหมาะสม และล่าช้าในการแจ้งเหตุละเมิดข้อมูลต่อ PDPC ทำให้ข้อมูลที่รั่วไหลถูกนำไปใช้โดยแก๊งคอลเซ็นเตอร์

ค่าปรับแบ่งเป็น 1 ล้านบาทจากการไม่แต่งตั้ง DPO, 3 ล้านบาทจากการไม่มีมาตรการรักษาความปลอดภัยที่เหมาะสม และ 3 ล้านบาทจากความล่าช้าในการแจ้งเหตุละเมิด ถือเป็นการบังคับใช้กฎหมาย PDPA ครั้งสำคัญของไทยที่มีการลงโทษจริงต่อบริษัทเอกชนเป็นครั้งแรก

PDPC ย้ำว่าองค์กรที่มีข้อมูลส่วนบุคคลเกิน 100,000 รายการต้องแต่งตั้ง DPO และเมื่อเกิดเหตุข้อมูลรั่วไหลต้องแจ้ง PDPC ภายใน 72 ชั่วโมงหรือไม่เกิน 15 วัน ซึ่งเกี่ยวข้องโดยตรงกับธุรกิจที่เก็บข้อมูลลูกค้าจำนวนมาก รวมถึงคลินิกและสถานพยาบาลที่เก็บข้อมูลผู้ใช้บริการผ่านระบบออนไลน์