ข้อมูลรั่วต้องแจ้งภายใน 72 ชั่วโมง—แต่ไม่ใช่ทุกเหตุที่ต้องประกาศต่อเจ้าของข้อมูล

เมื่อผู้ควบคุมข้อมูลทราบเหตุละเมิดข้อมูลส่วนบุคคลที่มีความเสี่ยงต่อสิทธิและเสรีภาพของบุคคล ต้องแจ้งสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลโดยไม่ชักช้า ภายใน 72 ชั่วโมงนับแต่ทราบเหตุเท่าที่จะทำได้ ตามแนวปฏิบัติของกรมการขนส่งทางราง หากประเมินแล้วมีความเสี่ยงสูง ต้องแจ้งเจ้าของข้อมูลที่ได้รับผลกระทบพร้อมแนวทางเยียวยาโดยไม่ชักช้าด้วย

ทีมจึงต้องตอบคำถามให้ได้ว่าเหตุใดเข้าข่ายละเมิด องค์กรทราบเหตุเมื่อใด และผลที่อาจเกิดกับคนอยู่ระดับใด เหตุที่พิสูจน์ได้ว่าไม่มีความเสี่ยงอาจไม่ต้องแจ้งภายนอก แต่ควรเก็บข้อเท็จจริงและเหตุผลไว้ในบันทึกเหตุ การตัดสินใจนี้ทำได้ก่อนรู้สาเหตุทั้งหมด โดยระบุให้ชัดว่าส่วนใดยืนยันแล้วและส่วนใดยังต้องตรวจ

รับเหตุทันที พร้อมเก็บหลักฐานที่อาจหายไป

ผู้พบความผิดปกติควรส่งรายงานถึงผู้รับผิดชอบภายในทันที ไม่ว่าจะเป็นอีเมลส่งผิดผู้รับ บัญชีถูกใช้โดยคนไม่มีสิทธิ อุปกรณ์สูญหาย หรือข้อมูลถูกเปลี่ยนโดยไม่ทราบสาเหตุ รายงานแรกไม่จำเป็นต้องวินิจฉัยข้อกฎหมายให้เสร็จ เพียงบอกสิ่งที่เห็น แหล่งที่พบ และวิธีติดต่อกลับ เพื่อให้คนรับเรื่องเริ่มตรวจสอบได้

เมื่อได้รับรายงาน ให้แยกการระงับเหตุออกจากการทำลายร่องรอย ทีมเทคนิคอาจปิดสิทธิที่ถูกใช้ผิด ระงับการส่งออกข้อมูล หรือแยกส่วนระบบที่ได้รับผลกระทบ ขณะเดียวกันควรเก็บบันทึกการเข้าถึง ข้อความแจ้งเตือน สำเนาการตั้งค่าที่เกี่ยวข้อง และรายละเอียดการเปลี่ยนแปลงที่ตนทำไว้ การปิดบัญชีทันทีอาจจำเป็น แต่ต้องจดเวลาปิดและรักษาหลักฐานก่อนข้อมูลอัตโนมัติถูกเขียนทับ

แนวทางจัดการเหตุของธนาคารอาคารสงเคราะห์ กำหนดให้รับรายงานเหตุที่เกิดขึ้นจริงหรือสงสัยว่าจะเกิดขึ้น เก็บบันทึกตั้งแต่พบเหตุจนถึงการแก้ไข และระงับการลบหลักฐานที่เกี่ยวข้อง สำหรับสตาร์ทอัพ หลักการที่นำมาใช้ได้คือให้มีผู้รับเรื่องหลักคนเดียวซึ่งติดตามงานข้ามทีม และมีผู้สำรองเมื่อคนหลักติดต่อไม่ได้

หลักฐานต้องช่วยตอบทั้งคำถามทางเทคนิคและคำถามเรื่องผลกระทบต่อคน จึงควรเก็บข้อมูลว่าระบบใดเกี่ยวข้อง บัญชีใดเข้าถึงไฟล์ได้ และสิทธินั้นควรมีหรือไม่ ถ้าเหตุเกี่ยวกับผู้ให้บริการภายนอก ให้ขอเวลาที่ผู้ให้บริการพบเหตุ ขอบเขตระบบที่ได้รับผลกระทบ และมาตรการที่เขาทำแล้ว โดยเก็บข้อความตอบกลับฉบับเดิมไว้ด้วย

อย่าให้การกู้บริการกลบลำดับเหตุการณ์ หากต้องคืนค่าระบบจากสำเนาสำรอง ให้บันทึกว่าสำเนามาจากเวลาใด ใครอนุมัติ และข้อมูลใดอาจเปลี่ยนไประหว่างกู้คืน หากต้องเปลี่ยนรหัสผ่านหรือเพิกถอนโทเค็น ให้จดขอบเขตบัญชีที่ถูกเปลี่ยน การบันทึกเช่นนี้ช่วยแยกสิ่งที่ผู้ไม่หวังดีทำออกจากสิ่งที่ทีมตอบสนองทำภายหลัง

การจัดเก็บหลักฐานควรจำกัดผู้เข้าถึง เพราะหลักฐานเองอาจมีข้อมูลส่วนบุคคลอยู่มากกว่าชุดข้อมูลที่รั่ว กำหนดผู้ถือสำเนา ตำแหน่งที่เก็บ และเวลาที่ส่งต่อให้ตรวจสอบ หากต้องส่งตัวอย่างข้อมูลให้ผู้เชี่ยวชาญ ควรส่งเท่าที่จำเป็นต่อการพิสูจน์เหตุและเก็บร่องรอยการส่ง ไม่ควรกระจายไฟล์จริงไปในห้องสนทนาทั่วบริษัท

นับเวลาเมื่อบริษัททราบอะไรแล้วบ้าง

เวลาเกิดเหตุ เวลาเห็นสัญญาณ และเวลาที่ผู้ควบคุมข้อมูลทราบเหตุเป็นคนละเรื่องกัน ผู้โจมตีอาจเข้าถึงข้อมูลก่อนมีใครตรวจพบ ส่วนข้อความเตือนอัตโนมัติอาจยังบอกไม่ได้ว่ามีการละเมิดข้อมูลส่วนบุคคลจริง เมื่อมีข้อมูลน่าเชื่อถือพอให้เชื่อว่าเกิดเหตุ ทีมควรบันทึกเวลานั้นพร้อมข้อเท็จจริงที่รองรับ และเริ่มประเมินหน้าที่แจ้งโดยไม่รอผลสืบสวนทุกประเด็น

รายงานเบื้องต้นที่ยังคลุมเครือต้องถูกตรวจโดยเร็ว ไม่ควรวางทิ้งไว้เพราะผู้รายงานไม่มีศัพท์เทคนิค ตัวอย่างเช่น ข้อความว่า “ลูกค้าเห็นข้อมูลของคนอื่น” อาจต้องตรวจสิทธิการเข้าถึงและตัวอย่างหน้าที่แสดงผลก่อนสรุป ขณะที่หลักฐานการดาวน์โหลดข้อมูลโดยบัญชีที่ถูกยึดใช้ทำให้ต้องยกระดับการตอบสนองทันที ความแตกต่างอยู่ที่หลักฐาน ไม่ใช่ความมั่นใจของผู้รายงาน

ใน Incident Log ให้แยกเวลารับแจ้งจากเวลาที่พบหลักฐานเพิ่มเติม และระบุผู้ที่ทราบข้อมูลในแต่ละช่วง หากข้อมูลใหม่เปลี่ยนความเข้าใจเดิม ให้เพิ่มรายการแก้ไขพร้อมเวลาและเหตุผล แทนการเขียนทับข้อความเก่า วิธีนี้ทำให้เห็นว่าเหตุใดองค์กรจึงเริ่มนับเวลา ณ จุดหนึ่ง และตัดสินใจบนข้อมูลชุดใดในขณะนั้น

ผู้ให้บริการที่ประมวลผลข้อมูลแทนบริษัทต้องมีทางแจ้งเหตุถึงผู้ควบคุมข้อมูลอย่างรวดเร็ว สัญญาควรกำหนดผู้รับแจ้ง ช่องทางสำรอง และข้อมูลขั้นต่ำที่จะส่งได้ทันที การส่งรายงานจากผู้ให้บริการไม่ทำให้บริษัทพ้นหน้าที่ประเมินความเสี่ยงของข้อมูลที่ตนควบคุม จึงควรมีคนในบริษัทรับช่วงต่อโดยไม่รอให้ผู้ให้บริการส่งรายงานฉบับสมบูรณ์

กำหนดจุดตัดสินใจภายในให้เร็วกว่ากรอบแจ้งภายนอก เช่น ให้ทีมเทคนิคส่งข้อเท็จจริงที่ยืนยันแล้วแก่ผู้ประเมินทันทีที่ตรวจพบการเข้าถึงผิดสิทธิ จุดตัดสินใจภายในเป็นการจัดงาน ไม่ใช่จุดเริ่มนับเวลาตามกฎหมาย หากรายงานมาถึงนอกเวลางาน ผู้รับเรื่องสำรองต้องเข้าถึงช่องทางและอำนาจประสานทีมได้จริง มิฉะนั้นเวลาจะหมดไปกับการตามหาคน

หากเหตุหนึ่งเกี่ยวข้องกับหลายระบบ อย่ารอรวมทุกระบบเป็นภาพเดียวก่อนประเมินสิ่งที่รู้แล้ว ทีมอาจยืนยันได้ก่อนว่าข้อมูลลูกค้าชุดหนึ่งถูกเปิดเผย ส่วนฐานข้อมูลอีกชุดยังตรวจสอบอยู่ ให้บันทึกขอบเขตที่ยืนยันแล้วและขอบเขตที่ยังไม่ทราบแยกกัน การขยายขอบเขตภายหลังเป็นเหตุให้ปรับการประเมินและข้อความแจ้ง ไม่ใช่เหตุให้ลบเวลาที่ทราบเหตุเดิม

ตัดสินระดับความเสี่ยงจากผลต่อเจ้าของข้อมูล

เริ่มจากชนิดของการละเมิด ข้อมูลอาจถูกเปิดเผยแก่ผู้ไม่มีสิทธิ ถูกแก้ไขจนไม่ถูกต้อง สูญหาย หรือไม่พร้อมใช้งาน จากนั้นถามว่าคนที่ได้รับผลกระทบอาจเสียสิทธิหรือประโยชน์อย่างไร ชื่อกับข้อมูลติดต่ออาจนำไปสู่การติดต่อหลอกลวง ข้อมูลเข้าสู่ระบบอาจนำไปสู่การยึดบัญชี ส่วนข้อมูลส่วนตัวที่ละเอียดอ่อนอาจก่อความเสียหายแม้มีผู้เกี่ยวข้องไม่มาก

ขนาดของไฟล์เป็นเพียงปัจจัยหนึ่ง ต้องดูด้วยว่าข้อมูลอ่านได้หรือไม่ ใครเข้าถึงได้ ระยะเวลาที่เปิดให้เข้าถึง และมาตรการที่ยังทำงานอยู่มีประสิทธิผลเพียงใด จำนวนรายการมากไม่ได้ทำให้ทุกเหตุเป็นความเสี่ยงสูงโดยอัตโนมัติ ในทางกลับกัน ข้อมูลจำนวนน้อยอาจมีผลรุนแรงต่อบุคคลที่ระบุตัวได้ชัดเจน

ใช้ตารางประเมินแบบย่อในบันทึกเหตุ โดยเขียนหลักฐานประกอบทุกระดับ ไม่ใช้ชื่อระดับเป็นคำตอบในตัวเอง หากหลักฐานยังไม่พอพิสูจน์ว่าไม่มีความเสี่ยง ให้ระบุข้อที่ยังไม่ทราบและผู้รับผิดชอบการตรวจ แทนการใส่ระดับต่ำเพื่อปิดงานชั่วคราว

• ไม่มีความเสี่ยงที่พิสูจน์ได้: มีหลักฐานว่าข้อมูลไม่อาจอ่านหรือใช้โดยผู้ไม่มีสิทธิ และไม่มีผลกระทบต่อสิทธิและเสรีภาพที่ระบุได้ บันทึกมาตรการป้องกัน หลักฐานที่ตรวจ และเหตุผลของการไม่แจ้ง พร้อมกำหนดให้ทบทวนหากข้อเท็จจริงเปลี่ยน
• มีความเสี่ยง: ข้อมูลอาจถูกเข้าถึง ใช้ หรือเปิดเผยจนกระทบเจ้าของข้อมูล แม้ผลกระทบยังไม่ถึงระดับสูง เตรียมแจ้งสำนักงานโดยไม่ชักช้า และติดตามหลักฐานที่จะเปลี่ยนขอบเขตหรือความรุนแรงของเหตุ
• ความเสี่ยงสูง: ลักษณะข้อมูล โอกาสถูกนำไปใช้ หรือความรุนแรงของผลกระทบบ่งชี้ว่าคนที่เกี่ยวข้องต้องได้รับคำเตือนและแนวทางลดความเสียหาย แจ้งเจ้าของข้อมูลโดยไม่ชักช้า ควบคู่กับหน้าที่แจ้งสำนักงาน

กรณีอุปกรณ์หรือไฟล์เข้ารหัส ต้องตรวจว่าการเข้ารหัสครอบคลุมข้อมูลที่เกี่ยวข้องจริง กุญแจถอดรหัสหรือรหัสผ่านถูกเก็บแยกหรือไม่ และยังมีสำเนาที่อ่านได้หลุดออกไปหรือเปล่า คำว่า “เข้ารหัสแล้ว” เพียงคำเดียวไม่พอใช้ตัดความเสี่ยง หากข้อมูลพร้อมใช้งานจากสำเนาสำรองและไม่มีหลักฐานการนำออกไป ผลต่อเจ้าของข้อมูลอาจต่างจากกรณีที่บริการหยุดและไม่มีข้อมูลสำรอง

ในอีกด้านหนึ่ง การไม่พบหลักฐานดาวน์โหลดไม่เท่ากับพิสูจน์ว่าไม่มีการเข้าถึง ต้องดูว่าระบบเก็บบันทึกเหตุการณ์ครบหรือไม่ บันทึกครอบคลุมช่วงเวลาที่สงสัยหรือเปล่า และผู้ไม่มีสิทธิมีช่องทางเปิดอ่านข้อมูลได้อย่างไร เมื่อหลักฐานมีช่องว่าง ให้เขียนข้อจำกัดของการตรวจไว้ตรง ๆ แล้วประเมินตามผลกระทบที่เป็นไปได้ ไม่ใช่ตามความเงียบของระบบ

หากข้อมูลของผู้เยาว์หรือบุคคลที่ปกป้องประโยชน์ตนเองได้จำกัดอยู่ในชุดที่เกี่ยวข้อง ให้พิจารณาสถานะนั้นในการประเมินด้วย คำถามสำคัญคือเจ้าของข้อมูลจะรู้ตัวหรือป้องกันความเสียหายได้เร็วเพียงใด และองค์กรมีมาตรการลดผลกระทบที่ได้ผลแล้วหรือยัง การจัดระดับต้องโยงกับผลต่อคนที่ได้รับผลกระทบ ไม่ใช่ความเสียหายต่อชื่อเสียงของบริษัทเพียงอย่างเดียว

กรณีมีหลายกลุ่มข้อมูล อาจต้องประเมินผลต่อแต่ละกลุ่มแยกกัน ข้อมูลติดต่อทั่วไปกับข้อมูลเข้าสู่ระบบมีทางนำไปใช้และวิธีเยียวยาต่างกัน แม้อยู่ในฐานข้อมูลเดียวกัน การแยกกลุ่มยังช่วยให้ข้อความแจ้งเจ้าของข้อมูลระบุสิ่งที่แต่ละคนควรทำได้ตรงกว่า โดยไม่ขอให้ทุกคนเปลี่ยนรหัสผ่านทั้งที่รหัสผ่านไม่เกี่ยวข้องกับเหตุ

แจ้งสำนักงาน แจ้งเจ้าของข้อมูล และจัดการเมื่อข้อมูลยังไม่ครบ

หนังสือแจ้งสำนักงานควรระบุลักษณะและประเภทการละเมิด กลุ่มหรือจำนวนเจ้าของข้อมูลและรายการข้อมูลเท่าที่ทราบ ผู้ประสานงาน ผลกระทบที่อาจเกิด และมาตรการที่ทำแล้วหรือจะทำ ประกาศหลักเกณฑ์การแจ้งเหตุ กำหนดให้ระบุสาระสำคัญเท่าที่สามารถทำได้ จึงควรแยกตัวเลขที่ยืนยันแล้วออกจากค่าประมาณและรายการที่ยังตรวจอยู่

การแจ้งในขณะที่ข้อเท็จจริงยังไม่ครบควรทำให้ผู้อ่านเห็นขอบเขตความไม่แน่นอน ระบุช่วงเวลาที่ตรวจสอบ ระบบที่เกี่ยวข้อง วิธีพบเหตุ และสิ่งที่บริษัทได้ระงับแล้ว หากยังไม่ทราบจำนวนเจ้าของข้อมูล ให้บอกวิธีที่จะตรวจหาจำนวนและผู้รับผิดชอบงานนั้น เมื่อได้ข้อมูลเพิ่ม ให้ติดตามแก้ไขสาระที่เคยแจ้งโดยเก็บฉบับก่อนหน้าไว้

สำหรับเจ้าของข้อมูล เกณฑ์คือความเสี่ยงสูงต่อสิทธิและเสรีภาพของเขา ข้อความแจ้งควรอธิบายลักษณะเหตุ ผลที่อาจเกิด ช่องทางติดต่อ มาตรการของบริษัท และแนวทางที่เจ้าของข้อมูลทำได้เอง ถ้าข้อมูลเข้าสู่ระบบอาจถูกใช้ผิด คำแนะนำเรื่องเปลี่ยนรหัสผ่านหรือเฝ้าระวังบัญชีควรระบุเฉพาะบัญชีที่เกี่ยวข้อง การแจ้งกว้างเกินจริงอาจทำให้คนไม่ทราบว่าตนต้องป้องกันอะไร

เริ่มจากการแจ้งผู้ได้รับผลกระทบเป็นรายบุคคลเมื่อมีช่องทางติดต่อที่ใช้ได้ หากไม่มีช่องทางติดต่อหรือมีเหตุจำเป็นที่ทำให้แจ้งรายบุคคลไม่ได้ อาจใช้การแจ้งเป็นกลุ่มหรือการประกาศที่ผู้ได้รับผลกระทบเข้าถึงได้ โดยพิจารณาไม่ให้วิธีประกาศสร้างผลเสียเพิ่ม การประกาศสาธารณะจึงเป็นวิธีส่งข่าวในบางเงื่อนไข ไม่ใช่ขั้นตอนที่ต้องทำกับเหตุละเมิดทุกครั้ง

ข้อความจากฝ่ายสื่อสารต้องตรงกับการประเมินของผู้รับผิดชอบข้อมูลส่วนบุคคล หากยังไม่ยืนยันว่าข้อมูลถูกนำออกไป อย่าเขียนว่าข้อมูลทั้งหมดถูกขโมย แต่หากยืนยันได้ว่าผู้ไม่มีสิทธิเข้าถึงข้อมูล ก็ไม่ควรลดระดับเป็นเพียง “ความผิดปกติ” ระบุสิ่งที่รู้ ณ เวลาส่งข้อความ แล้วให้ช่องทางรับคำถามที่มีคนตอบได้จริง

ถ้าพ้นกรอบแจ้งสำนักงาน ให้แจ้งโดยเร็วพร้อมบันทึกเหตุจำเป็นที่ทำให้ล่าช้า หลักฐานควรแสดงว่าเวลาแต่ละช่วงถูกใช้เพื่อตรวจสอบ ระงับ หรือแก้ไขเหตุอย่างไร การขอให้สำนักงานพิจารณายกเว้นความผิดจากการแจ้งล่าช้าเป็นเรื่องที่สำนักงานต้องพิจารณา ไม่ใช่สิทธิขยายเวลาอัตโนมัติ การสืบสวนที่ยังไม่เสร็จจึงไม่ควรกลายเป็นเหตุให้หยุดการตัดสินใจทั้งหมด

หากผลตรวจภายหลังยกระดับเหตุจากมีความเสี่ยงเป็นความเสี่ยงสูง ให้เริ่มงานแจ้งเจ้าของข้อมูลตามข้อเท็จจริงล่าสุดทันที บันทึกว่าหลักฐานใหม่คืออะไร พบเมื่อใด และเหตุใดจึงเปลี่ยนข้อสรุป หากพบว่ากลุ่มผู้ได้รับผลกระทบกว้างขึ้น ให้ปรับรายชื่อและเนื้อหาที่ส่งโดยรักษาประวัติฉบับก่อน เพื่อให้ตรวจสอบการตัดสินใจย้อนหลังได้

Incident Log หนึ่งหน้าที่รับช่วงงานได้

บันทึกเหตุควรตอบได้ว่าเกิดอะไรขึ้น ใครรู้เมื่อใด หลักฐานอยู่ที่ไหน และเหตุใดบริษัทจึงแจ้งหรือไม่แจ้งใคร ใช้ช่อง “ยังไม่ทราบ” เมื่อไม่มีคำตอบ พร้อมชื่อผู้ตรวจและเวลาที่จะกลับมาเติมข้อมูล การปล่อยช่องว่างทำให้คนรับช่วงแยกไม่ออกระหว่างเรื่องที่ยังไม่ได้ตรวจ กับเรื่องที่ตรวจแล้วไม่พบ

แบบฟอร์มหนึ่งหน้าไม่ต้องแทนรายงานเทคนิคทั้งหมด ให้เป็นหน้าสรุปที่ชี้ไปยังหลักฐานต้นทางและบันทึกการเปลี่ยนแปลง ฉบับที่ใช้ตัดสินใจแจ้งควรถูกเก็บไว้แม้มีฉบับปรับปรุงภายหลัง เพราะการประเมินต้องอ่านคู่กับข้อมูลที่มีอยู่ในเวลานั้น

• ตัวระบุเหตุ: รหัสเหตุ ผู้รายงาน ช่องทางรับรายงาน ผู้รับเรื่องหลัก และผู้รับช่วงสำรอง ระบุระบบหรือผู้ให้บริการที่อาจเกี่ยวข้องโดยยังไม่เดาขอบเขตเกินหลักฐาน
• เส้นเวลา: เวลาที่เหตุอาจเริ่ม เวลาที่พบสัญญาณ เวลาที่ผู้ควบคุมข้อมูลทราบเหตุ และหลักฐานของแต่ละเวลา จดเหตุผลเมื่อเวลาที่ใช้ประเมินเปลี่ยนไป
• ข้อมูลที่เกี่ยวข้อง: ประเภทข้อมูล กลุ่มเจ้าของข้อมูล จำนวนที่ยืนยันแล้ว จำนวนที่ยังเป็นประมาณการ และข้อจำกัดของวิธีนับ แยกข้อมูลที่อ่านได้จากข้อมูลที่มีมาตรการป้องกัน
• หลักฐานและการควบคุม: ตำแหน่งเก็บบันทึกระบบ สำเนาที่รักษาไว้ ผู้เข้าถึงหลักฐาน การระงับบัญชีหรือช่องทางที่เกี่ยวข้อง ผู้ลงมือ และเวลาที่ทำ
• การประเมินผลต่อคน: ผลกระทบที่อาจเกิด โอกาสเกิด มาตรการลดความเสี่ยง หลักฐานที่สนับสนุนระดับความเสี่ยง ข้อที่ยังไม่ทราบ และเวลาทบทวน
• การแจ้ง: ผู้ตัดสินใจ ผู้รับแจ้ง ช่องทาง เวลาส่ง สาระที่ส่ง หลักฐานการส่ง เหตุผลของการไม่แจ้งหรือการแจ้งล่าช้า และข้อมูลที่ต้องส่งเพิ่มเติม
• การปิดเหตุ: สาเหตุที่ยืนยันแล้ว งานแก้ไขที่เสร็จ งานค้าง ผู้รับผิดชอบมาตรการป้องกันซ้ำ และวันที่ประเมินผลมาตรการอีกครั้ง

ตัวอย่างสมมติ: หากพบว่าบัญชีพนักงานเปิดไฟล์ลูกค้าที่ไม่อยู่ในหน้าที่ ช่อง “ข้อเท็จจริง” ควรระบุบัญชี ไฟล์ ช่วงเวลา และบันทึกสิทธิที่ตรวจพบ ช่อง “ยังไม่ทราบ” อาจระบุว่าต้องตรวจว่ามีการส่งต่อไฟล์หรือไม่ ส่วนช่อง “การควบคุม” ระบุเวลาระงับบัญชีและผู้ดำเนินการ การเขียนแบบนี้เปิดให้ผู้ประเมินเห็นหลักฐานโดยไม่ต้องเดาจากคำว่า “สงสัยข้อมูลรั่ว”

หากเหตุไม่เข้าเกณฑ์แจ้งภายนอก ให้บันทึกเหตุผลเชิงบวกว่าหลักฐานใดทำให้สรุปว่าไม่มีความเสี่ยง ไม่ใช่เพียงติ๊กช่อง “ไม่แจ้ง” เมื่อมีข้อมูลใหม่ที่หักล้างหลักฐานเดิม ต้องเปิดการประเมินอีกครั้ง บันทึกเดิมจึงเป็นฐานสำหรับแก้ข้อสรุป ไม่ใช่ใบปิดคดีถาวร

ส่งต่องานระหว่างเทคนิค ผู้ดูแลข้อมูล ผู้บริหาร และฝ่ายสื่อสาร

ทีมเทคนิคเป็นเจ้าของข้อเท็จจริงของระบบและมาตรการระงับเหตุ หน้าที่หลักคือยืนยันสิ่งที่เกิดขึ้น รักษาหลักฐาน และบอกข้อจำกัดของการตรวจอย่างชัดเจน ทีมนี้ไม่ควรต้องตัดสินเกณฑ์แจ้งทางกฎหมายลำพัง แต่ต้องส่งข้อมูลที่จำเป็นต่อการตัดสินใจทันเวลา แม้คำตอบบางข้อยังไม่สมบูรณ์

DPO หรือผู้รับผิดชอบข้อมูลส่วนบุคคลรับช่วงประเมินผลต่อสิทธิและเสรีภาพ จัดระดับความเสี่ยง และเตรียมสาระสำหรับแจ้งภายนอก หากบริษัทไม่มี DPO ให้กำหนดผู้ประสานงานเรื่องนี้ไว้ล่วงหน้า พร้อมผู้สำรองและสิทธิในการขอข้อมูลจากทีมเทคนิค การไม่มีชื่อตำแหน่งไม่ได้ทำให้หน้าที่ประเมินของผู้ควบคุมข้อมูลหายไป

ผู้บริหารต้องจัดทรัพยากรและตัดสินเรื่องที่กระทบการดำเนินธุรกิจ เช่น หยุดบริการบางส่วน จ้างผู้เชี่ยวชาญ หรือเพิ่มคนรับคำถามจากลูกค้า การอนุมัติภายในควรมีผู้แทนเมื่อผู้บริหารหลักไม่อยู่ เพื่อไม่ให้การส่งแจ้งค้างที่ลายเซ็น ผู้ตัดสินใจควรเห็นทั้งข้อเท็จจริงที่ยืนยันแล้ว ความไม่แน่นอน และผลของการรอข้อมูลเพิ่ม

ฝ่ายสื่อสารรับข้อมูลจากผู้ประเมินและทีมเทคนิคเพื่อเขียนข้อความที่คนอ่านเข้าใจตรงกัน ข้อความสำหรับสำนักงาน เจ้าของข้อมูล พนักงาน และคู่ค้าต่างมีผู้รับและรายละเอียดที่ต้องรู้ต่างกัน แต่ไม่ควรขัดกันในข้อเท็จจริงหลัก ให้ระบุผู้ตอบคำถาม ช่องทางติดต่อ และวิธีแก้ข้อความเมื่อมีหลักฐานใหม่ โดยเก็บฉบับที่ส่งจริงทุกครั้ง

เมื่อเหตุสงบ ผู้รับเรื่องหลักควรตรวจว่ามาตรการระงับเหตุทำงานแล้วหรือยัง บริการที่คืนมามีความเสี่ยงเดิมหลงเหลือหรือไม่ และคำตัดสินแจ้งภายนอกสอดคล้องกับหลักฐานฉบับล่าสุดหรือเปล่า งานป้องกันซ้ำต้องมีเจ้าของและกำหนดตรวจผล ไม่ควรจบเพียงข้อความว่า “แก้ไขแล้ว” ในบันทึกเหตุ เพราะเหตุเดียวกันอาจกลับมาได้หากสิทธิ การตั้งค่า หรือขั้นตอนรับแจ้งยังเหมือนเดิม