กรณีศึกษา: บริษัทเจไอบี (JIB) – บทเรียนจากการถูกปรับกว่า 7 ล้านบาท

บริษัท: เจไอบี คอมพิวเตอร์ กรุ๊ป (JIB Computer Group)

       ผู้ประกอบการธุรกิจไอทีรายใหญ่ของประเทศไทย ที่มีทั้งหน้าร้านและช่องทางออนไลน์ให้บริการลูกค้าทั่วประเทศ

เหตุการณ์เกิดขึ้นอย่างไร?

       ในปี 2567 เกิดกรณี ข้อมูลลูกค้ากว่า 2 แสนรายของ JIB รั่วไหล โดยมีการนำข้อมูลไปเผยแพร่บนเว็บไซต์ตลาดมืด (Dark Web)

ข้อมูลที่หลุดประกอบด้วย:

• • ชื่อ-นามสกุล

  • อีเมล

  • หมายเลขโทรศัพท์

  • ที่อยู่จัดส่ง

  • ประวัติการสั่งซื้อสินค้า

ข้อมูลเหล่านี้เพียงพอที่จะนำไปใช้ใน การหลอกลวงทางออนไลน์ (phishing) และ การแอบอ้างตัวตน ได้

ข้อผิดพลาดสำคัญที่พบ

ไม่เข้ารหัสข้อมูล (Lack of Encryption)

• • • ข้อมูลส่วนบุคคลถูกเก็บไว้โดยไม่มีมาตรการเข้ารหัสหรือความปลอดภัยที่เพียงพอ

ไม่มีการแจ้งเหตุภายใน 72 ชั่วโมง

• • • ตามกฎหมาย PDPA หากมีเหตุข้อมูลรั่วไหลต้องแจ้งภายใน 72 ชั่วโมง แต่ในกรณีนี้พบว่าได้มีการแจ้งเหตุล่าช้า

ไม่มีเจ้าหน้าที่ DPO หรือระบบรองรับคำร้อง

• • • องค์กรไม่มีเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล (DPO) อย่างเป็นทางการ

    • ไม่มีช่องทางให้ลูกค้าร้องเรียนหรือใช้สิทธิได้อย่างมีประสิทธิภาพ

ผลลัพธ์และบทลงโทษ

• • สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (PDPC) มีมติลงโทษทางปกครอง

  • ค่าปรับรวมกว่า 7,000,000 บาท

  • ได้รับคำสั่งให้ปรับปรุงระบบจัดเก็บและมาตรการด้านความปลอดภัย

  • มีการร้องเรียนทางโซเชียลมีเดีย ทำให้เสียความเชื่อมั่นอย่างมาก

บทเรียนที่สำคัญจากกรณี JIB

สรุป: JIB = ตัวอย่างจริงที่ย้ำชัดว่า “PDPA ไม่ใช่แค่เรื่องเอกสาร”

กฎหมาย PDPA ไม่ใช่แค่ “ขอความยินยอม” แล้วจบ
แต่หมายถึง การมีระบบที่โปร่งใส ปลอดภัย และเคารพสิทธิของเจ้าของข้อมูล อย่างจริงจัง