អាជីវកម្មហូឡង់ទាំងអស់ដែលដំណើរការទិន្នន័យផ្ទាល់ខ្លួនត្រូវតែធានាវាឱ្យមានសុវត្ថិភាពក្រោមមាត្រា 32 GDPR ហើយរាយការណ៍ពីការរំលោភទិន្នន័យទៅអាជ្ញាធរការពារទិន្នន័យហូឡង់ (Autoriteit Persoonsgegevens, AP) ក្នុងរយៈពេល 72 ម៉ោងក្រោមមាត្រា 33 GDPR។ លើសពីនេះទៅទៀត ចាប់តាំងពីថ្ងៃទី 15 ខែសីហា ឆ្នាំ 2026 មក អង្គការសំខាន់ៗ និងសំខាន់ៗជាង 8,000 ក៏ត្រូវតែអនុវត្តតាមច្បាប់សន្តិសុខតាមអ៊ីនធឺណិត (Cyberbeveiligingswet, Cbw) ដែលជាការអនុវត្តរបស់ហូឡង់លើសេចក្តីណែនាំ NIS2 របស់ EU។ ធនាគារ និងអង្គភាពហិរញ្ញវត្ថុផ្សេងទៀតអនុវត្តតាម DORA សម្រាប់បញ្ហាទាំងនេះជំនួសវិញ។
តារាងមាតិកា
តើ GDPR តម្រូវអ្វីខ្លះសម្រាប់សុវត្ថិភាពទិន្នន័យ?
វិធានការបច្ចេកទេស និងអង្គការសមស្រប ដែលត្រូវបានវាយតម្លៃធៀបនឹងស្ថានភាពបច្ចុប្បន្ន តម្លៃនៃការអនុវត្ត និងហានិភ័យចំពោះបុគ្គលពាក់ព័ន្ធ (មាត្រា 32 GDPR)។ អ្វីដែលសមស្របសម្រាប់ការអនុវត្តពីរនាក់គឺខុសពីអ្វីដែលក្រុមហ៊ុនដែលដំណើរការទិន្នន័យសុខភាពក្នុងទ្រង់ទ្រាយធំត្រូវការ។ ស្តង់ដារកើនឡើងជាមួយនឹងហានិភ័យ។
ទីភ្នាក់ងារព័ត៌មាន AP រំពឹងថានឹងឃើញវិធានការដែលមិនគួរឱ្យកត់សម្គាល់៖ ការគ្រប់គ្រងការចូលប្រើ និងការផ្ទៀងផ្ទាត់ពហុកត្តា ការអ៊ិនគ្រីបឧបករណ៍ និងការបម្រុងទុក ការបិទភ្ជាប់ ការកត់ត្រា និងនីតិវិធីស្តារឡើងវិញដែលបានសាកល្បង។ អ្វីដែលជួយអ្នកឱ្យរួចផុតពីការត្រួតពិនិត្យគឺថា វិធានការទាំងនេះត្រូវបានកត់ត្រា និងពិនិត្យឡើងវិញមុនពេលមានអ្វីខុស។
តើពេលណាត្រូវរាយការណ៍អំពីការបំពានទិន្នន័យ?
ក្នុងរយៈពេល 72 ម៉ោងបន្ទាប់ពីបានដឹងអំពីវា សូមជូនដំណឹងដល់ AP លុះត្រាតែការរំលោភបំពាននេះទំនងជាមិនបង្កហានិភ័យដល់មនុស្សដែលរងផលប៉ះពាល់ (មាត្រា 33 GDPR)។ ក្នុងករណីដែលមានហានិភ័យខ្ពស់ចំពោះពួកគេ អ្នកក៏ត្រូវតែជូនដំណឹងដល់មនុស្សទាំងនោះដោយមិនពន្យារពេល (មាត្រា 34 GDPR)។
នាឡិកាដំណើរការចេញពីការយល់ដឹង មិនមែនមកពីការស៊ើបអង្កេតដែលបានបញ្ចប់នោះទេ ដូច្នេះនីតិវិធីឧប្បត្តិហេតុ (អ្នកណាសម្រេចចិត្ត អ្នកណាត្រូវបានហៅ អ្វីដែលត្រូវបានកត់ត្រា) មានតម្លៃច្រើនជាងការគ្រប់គ្រងបច្ចេកទេសតែមួយ។ យោងតាមមាត្រា 33(5) GDPR អ្នកត្រូវតែកត់ត្រារាល់ការរំលោភបំពានជាលក្ខណៈផ្ទៃក្នុង រួមទាំងការរំលោភបំពានដែលអ្នកមិនបានរាយការណ៍ ជាមួយនឹងហេតុផលសម្រាប់ការសម្រេចចិត្តនោះ។
តើ Cyberbeveiligingswet បន្ថែមអ្វីខ្លះ?
ការចុះឈ្មោះ ជាកាតព្វកិច្ចថែទាំ និងរាយការណ៍ពីឧប្បត្តិហេតុសម្រាប់អង្គការនានាក្នុងវិស័យចំនួន 18 ដូចជាថាមពល ដឹកជញ្ជូន ថែទាំសុខភាព ហេដ្ឋារចនាសម្ព័ន្ធឌីជីថល និងរដ្ឋបាលសាធារណៈ។ ច្បាប់ស្តីពីភាពធន់នៃអង្គភាពសំខាន់ៗ (Wet weerbaarheid kritieke entiteiten) បានចូលជាធរមាននៅថ្ងៃទី 15 ខែសីហា ឆ្នាំ 2026។ អង្គការដែលមានវិសាលភាពត្រូវតែចុះឈ្មោះជាមួយមជ្ឈមណ្ឌលសន្តិសុខតាមអ៊ីនធឺណិតជាតិ (NCSC) ចាត់វិធានការគ្រប់គ្រងហានិភ័យ និងរាយការណ៍ពីឧប្បត្តិហេតុសំខាន់ៗទៅ CSIRT និងអ្នកត្រួតពិនិត្យវិស័យរបស់ពួកគេក្នុងរយៈពេលកំណត់។
ក្រុមប្រឹក្សាភិបាលគ្រប់គ្រងត្រូវតែអនុម័ត និងត្រួតពិនិត្យវិធានការទាំងនេះ ហើយត្រូវតែមានចំណេះដឹងគ្រប់គ្រាន់ រួមទាំងការបណ្តុះបណ្តាលផងដែរ។ ក្រុមប្រឹក្សាភិបាលមិនអាចផ្ទេរភារកិច្ចនេះទៅឱ្យនាយកដ្ឋានព័ត៌មានវិទ្យាបានឡើយ។ ក្នុងរយៈពេលប៉ុន្មានថ្ងៃនៃការចូលជាធរមាន មានតែអង្គការប្រហែល 3,200 ក្នុងចំណោមអង្គការជាង 8,000 ប៉ុណ្ណោះដែលបានចុះឈ្មោះ ដូច្នេះសូមពិនិត្យមើលការចុះឈ្មោះរបស់អ្នកឥឡូវនេះ ប្រសិនបើអ្នកអាចស្ថិតនៅក្នុងវិសាលភាព។
តើរឿងនេះទៅដល់អង្គការនានានៅខាងក្រៅវិសាលភាពរបស់ Cbw យ៉ាងដូចម្តេច?
តាមរយៈកិច្ចសន្យា។ អតិថិជនធំៗកំពុងដាក់ចេញនូវតម្រូវការសុវត្ថិភាព សិទ្ធិសវនកម្ម និងរយៈពេលជូនដំណឹងអំពីការរំលោភបំពានកាន់តែខ្លាំងឡើង ហើយកិច្ចព្រមព្រៀងដំណើរការក្រោមមាត្រា 28 GDPR គឺជាកាតព្វកិច្ចនៅពេលណាដែលអ្នកដំណើរការទិន្នន័យផ្ទាល់ខ្លួនក្នុងនាមអ្នកដទៃ។ ក្រុមហ៊ុនហូឡង់ជាច្រើនបានបំពេញតាមស្តង់ដារទាំងនេះជាលើកដំបូង ពីព្រោះអតិថិជនក្នុងវិសាលភាពនៃ Cbw បានទាមទារពួកគេ។
តើអ្នកណាអាចដាក់ពាក្យបណ្តឹងបាន បន្ទាប់ពីមានហេតុការណ៍កើតឡើង?
AP ដែលអាចពិន័យជាប្រាក់រហូតដល់ 20 លានអឺរ៉ូ ឬ 4% នៃប្រាក់ចំណូលទូទាំងពិភពលោក ក្រោមមាត្រា 83 GDPR; បុគ្គល ដែលអាចទាមទារសំណងក្រោមមាត្រា 82 GDPR; អតិថិជនក្រោមកិច្ចសន្យា; និងក្រុមតាមរយៈសកម្មភាពរួមក្រោម WAMCA។ ថាតើក្រុមហ៊ុនធានារ៉ាប់រងរបស់អ្នកបង់ប្រាក់ឬអត់ អាស្រ័យលើពាក្យពេចន៍នៃគោលនយោបាយ និងថាតើអ្នកអាចបង្ហាញថាវិធានការដែលបានព្រមព្រៀងគ្នាមានសុពលភាពឬអត់។
ក្នុងនាមជាអង្គការមួយ ក្នុងវិសាលភាពនៃ Cbw តើអ្នកគួរពិនិត្យមើលអ្វីខ្លះ?
- តើអ្នកបានចុះឈ្មោះជាមួយ NCSC ហើយឬនៅ?
- តើក្រុមប្រឹក្សាភិបាលបានអនុម័តវិធានការគ្រប់គ្រងហានិភ័យ និងបានបញ្ចប់ការបណ្តុះបណ្តាលដែរឬទេ?
- តើអ្នកដឹងពីកម្រិតនៃឧប្បត្តិហេតុសំខាន់ៗនៅក្នុងវិស័យរបស់អ្នក ហើយអ្នករាយការណ៍ទៅអ្នកណាដែរឬទេ?
- តើកិច្ចសន្យាអ្នកផ្គត់ផ្គង់របស់អ្នកដាក់បន្ទុកលើកាតព្វកិច្ចសន្តិសុខ និងការជូនដំណឹងដែរឬទេ?
- តើអ្នកក៏អាចរាយការណ៍ពីការលួចចូលទិន្នន័យផ្ទាល់ខ្លួនទៅ AP ក្នុងរយៈពេល 72 ម៉ោងដែរឬទេ?
ក្នុងនាមជាអ្នកផ្គត់ផ្គង់ដល់អង្គការបែបនេះ តើអ្នកគួរពិនិត្យមើលអ្វីខ្លះ?
- តើកិច្ចសន្យាអតិថិជនរបស់អ្នកដាក់ចេញនូវតម្រូវការសន្តិសុខ និងសិទ្ធិសវនកម្មអ្វីខ្លះ?
- តើអ្នកត្រូវជូនដំណឹងដល់អតិថិជនរបស់អ្នកអំពីឧប្បត្តិហេតុមួយយ៉ាងឆាប់រហ័សប៉ុណ្ណា?
- តើមានកិច្ចព្រមព្រៀងដំណើរការក្រោមមាត្រា 28 GDPR ដែលអ្នកគ្រប់គ្រងទិន្នន័យផ្ទាល់ខ្លួនដែរឬទេ?
- តើការទទួលខុសត្រូវរបស់អ្នកចំពោះឧប្បត្តិហេតុមានកម្រិតកំណត់ដែរឬទេ ហើយតើក្រុមហ៊ុនធានារ៉ាប់រងរបស់អ្នកគ្របដណ្តប់វាដែរឬទេ?
តើយើងអាចធ្វើអ្វីបានសម្រាប់អ្នកជាមួយនឹងកាតព្វកិច្ចសន្តិសុខតាមអ៊ីនធឺណិត?
មេធាវីផ្នែកព័ត៌មានវិទ្យា របស់យើង ផ្តល់ដំបូន្មានលើផ្នែកច្បាប់នៃសន្តិសុខតាមអ៊ីនធឺណិត។ យើងអាច៖
- វាយតម្លៃថាតើអង្គការរបស់អ្នកស្ថិតនៅក្នុងវិសាលភាពនៃ Cbw ដែរឬទេ។
- ព្រាង ឬពិនិត្យកិច្ចព្រមព្រៀងដំណើរការ និងប្រការសុវត្ថិភាពនៅក្នុងកិច្ចសន្យាអ្នកផ្គត់ផ្គង់។
- សរសេរនីតិវិធីជូនដំណឹងអំពីឧប្បត្តិហេតុ និងការរំលោភបំពានរបស់អ្នក។
- ដោះស្រាយការជូនដំណឹងអំពីការរំលោភបំពាន និងការឆ្លើយឆ្លងជាមួយ AP។
- ផ្តល់ដំបូន្មានលើការទទួលខុសត្រូវចំពោះអតិថិជន និងបុគ្គលម្នាក់ៗ បន្ទាប់ពីឧប្បត្តិហេតុមួយ។
សេចក្តីសង្ខេប
- មាត្រា 32 GDPR តម្រូវឱ្យមានវិធានការសន្តិសុខដែលត្រូវគ្នាទៅនឹងស្ថានភាពទំនើប និងហានិភ័យ សម្រាប់គ្រប់អង្គការដែលដំណើរការទិន្នន័យផ្ទាល់ខ្លួន។
- ជាធម្មតា ការលួចចូលទិន្នន័យត្រូវតែរាយការណ៍ទៅ AP ក្នុងរយៈពេល 72 ម៉ោងបន្ទាប់ពីបានដឹងអំពីវា។
- ចាប់តាំងពីថ្ងៃទី 15 ខែសីហា ឆ្នាំ 2026 មក Cbw បានបន្ថែមភារកិច្ចចុះបញ្ជី ការគ្រប់គ្រងហានិភ័យ និងការរាយការណ៍ឧប្បត្តិហេតុសម្រាប់អង្គការជាង 8,000 ដោយមានការទទួលខុសត្រូវពីក្រុមប្រឹក្សាភិបាល។
- ឧប្បត្តិហេតុមួយអាចបង្កឱ្យមានការទាមទារពី AP បុគ្គល អតិថិជន និងសកម្មភាពសមូហភាព។
