หน่วยงานกำกับดูแลข้อมูลไอร์แลนด์ลงดาบสั่งปรับ Health Service Executive ฐานละเมิด GDPR กรณีข้อมูลรั่วไหล

คณะกรรมการคุ้มครองข้อมูลส่วนบุคคลแห่งสาธารณรัฐไอร์แลนด์ (Data Protection Commission - DPC) ได้เผยแพร่คำตัดสินขั้นสุดท้ายอันเป็นผลสืบเนื่องจากการไต่สวนหน่วยงานบริการสาธารณสุขของไอร์แลนด์ (Health Service Executive หรือ HSE) ซึ่งพบการกระทำผิดและละเลยข้อกำหนดสำคัญภายใต้กฎหมายคุ้มครองข้อมูลส่วนบุคคลของสหภาพยุโรป (GDPR)\n\nผลการสอบสวนชี้ชัดว่า HSE ละเมิดหลักการพื้นฐานหลายประการ โดยเฉพาะมาตรา 5 ที่เกี่ยวข้องกับหลักการประมวลผลข้อมูลส่วนบุคคล, มาตรา 32 ด้านมาตรการรักษาความปลอดภัยของการประมวลผลข้อมูล (Security of processing) ที่ไม่รัดกุมเพียงพอต่อการป้องกันภัยคุกคาม นอกจากนี้ยังพบความล้มเหลวในการปฏิบัติตามมาตรา 33 และมาตรา 34 ซึ่งกำหนดให้ผู้ควบคุมข้อมูลต้องแจ้งเหตุละเมิดข้อมูลส่วนบุคคลแก่หน่วยงานกำกับดูแลและเจ้าของข้อมูลอย่างทันท่วงที ส่งผลให้ DPC มีคำสั่งลงโทษทางปกครองด้วยการปรับเป็นเงิน พร้อมทั้งออกคำสั่งบังคับให้ปรับปรุงแก้ไขมาตรการและแจ้งเตือนผู้ได้รับผลกระทบโดยทันที\n\n## ข้อเสนอแนะเชิงปฏิบัติสำหรับองค์กรและภาคสาธารณสุข\n\nกรณีศึกษานี้สะท้อนให้เห็นว่าองค์กรที่ดูแลข้อมูลที่มีความอ่อนไหวสูง เช่น ข้อมูลสุขภาพ จำเป็นต้องยกระดับความมั่นคงปลอดภัยไซเบอร์อย่างเข้มงวด โดยผู้เชี่ยวชาญจาก FORTSECURE GLOBAL แนะนำแนวทางปฏิบัติดังนี้:\n\n1. ประเมินและยกระดับมาตรการทางเทคนิคและองค์กร (Article 32): จัดทำระบบป้องกันเชิงลึก (Defense-in-Depth) การเข้ารหัสข้อมูล (Encryption) ทั้งในขณะจัดเก็บและส่งผ่าน รวมถึงการควบคุมสิทธิ์การเข้าถึงอย่างเคร่งครัดตามหลักการ Least Privilege\n2. จัดทำแผนรับมือและแจ้งเตือนเหตุละเมิด (Incident Response Plan): ซักซ้อมกระบวนการรายงานเหตุการณ์ภายในเพื่อรองรับเงื่อนไขการแจ้งเตือนหน่วยงานกำกับดูแลภายใน 72 ชั่วโมง (ตาม GDPR มาตรา 33 หรือเทียบเคียงกับ PDPA ของไทย) และสื่อสารแก่เจ้าของข้อมูลอย่างโปร่งใสเมื่อมีความเสี่ยงสูง\n3. การตรวจสอบและประเมินผลอย่างต่อเนื่อง: หมั่นตรวจสอบระบบ (Security Audit) และประเมินความเสี่ยงด้านข้อมูลส่วนบุคคล (DPIA) สม่ำเสมอเพื่ออุดช่องโหว่ก่อนถูกโจมตีทางไซเบอร์

---

แหล่งที่มา: European Data Protection Board (EDPB) เผยแพร่ครั้งแรก: Thu, 03 Sep 2026 12:00:00 +0000 บทความต้นฉบับ: อ่านต้นฉบับ