เมื่อผู้ควบคุมข้อมูลพบว่าฐานข้อมูลถูกดาวน์โหลดผ่านบัญชีที่ถูกยึดครอง ซึ่งเป็นเหตุละเมิดข้อมูลส่วนบุคคล แต่ยังไม่ได้ประเมินผลกระทบ ควรดำเนินการอย่างไร

เฉลยอธิบาย

มาตรา 37 (4) และประกาศการแจ้งเหตุการละเมิดข้อมูลส่วนบุคคล พ.ศ. 2565 กำหนดกระบวนการตามระดับความเสี่ยง ได้แก่ ประเมินความเสี่ยงและบันทึกเหตุ แจ้งสำนักงานโดยไม่ชักช้าภายในเจ็ดสิบสองชั่วโมงเมื่อเข้าเกณฑ์ และหากมีความเสี่ยงสูงให้แจ้งเจ้าของข้อมูลพร้อมแนวทางเยียวยา ข้อ B ผิดเรื่องการรอจนครบกำหนด ข้อ C ผิดเพราะใช้จำนวนระเบียนเป็นเกณฑ์เดียว และข้อ D ตัดหน้าที่แจ้งเจ้าของข้อมูลในกรณีความเสี่ยงสูง