การส่งหรือโอนข้อมูลส่วนบุคคลไปต่างประเทศ (Cross-Border Data Transfer) ไม่ว่าจะเป็นการใช้บริการ Cloud ต่างประเทศ (เช่น AWS, Microsoft Azure, Google Cloud) หรือการแชร์ข้อมูลลูกค้าและพนักงานไปยังบริษัทแม่ในต่างประเทศ เป็นจุดตรวจความเสี่ยงคดีความและค่าปรับสูงสุดของ พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 (PDPA): (1) เกณฑ์ประเทศปลายทางมีมาตรฐานเพียงพอตามมาตรา 28: โดยหลักการ ประเทศปลายทางต้องมีมาตรฐานการคุ้มครองข้อมูลที่เพียงพอตามหลักเกณฑ์ที่คณะกรรมการคุ้มครองข้อมูลส่วนบุคคลประกาศกำหนด (มาตรา 16 (5)) เว้นแต่เข้าข้อยกเว้นตามมาตรา 28 (1) ถึง (6) หรือได้รับยกเว้นตามมาตรา 29; (2) การโอนข้อมูลภายในกลุ่มธุรกิจตามมาตรา 29 วรรคหนึ่ง (BCRs): การส่งหรือโอนข้อมูลไปยังผู้ควบคุมหรือผู้ประมวลผลในต่างประเทศซึ่งอยู่ในเครือกิจการหรือเครือธุรกิจเดียวกันเพื่อประกอบกิจการร่วมกัน อาจอาศัยนโยบายในการคุ้มครองข้อมูลส่วนบุคคลของกลุ่ม (Binding Corporate Rules: BCRs) ที่สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลตรวจสอบและรับรองแล้ว ซึ่งได้รับยกเว้นไม่ต้องปฏิบัติตามมาตรา 28 (มาตรา 29 วรรคหนึ่ง) หากยังไม่ได้รับรอง ต้องอาศัยเหตุอื่น; (3) การจัดให้มีมาตรการคุ้มครองที่เหมาะสมตามมาตรา 29 วรรคสาม (SCCs): หากยังไม่มีคำวินิจฉัยของคณะกรรมการตามมาตรา 28 หรือยังไม่มีนโยบาย BCRs ที่รับรองแล้ว ผู้ส่งข้อมูลต้องจัดให้มีมาตรการคุ้มครองที่เหมาะสมซึ่งบังคับตามสิทธิของเจ้าของข้อมูลส่วนบุคคลได้ รวมทั้งมีมาตรการเยียวยาทางกฎหมายที่มีประสิทธิภาพตามหลักเกณฑ์ที่คณะกรรมการประกาศกำหนด ซึ่งในทางปฏิบัติอาจทำโดยใช้ ข้อสัญญามาตรฐาน (Standard Contractual Clauses: SCCs) เช่น ASEAN Model Contractual Clauses หรือ EU SCCs ที่ปรับปรุงให้สอดคล้องกับกฎหมายไทย [ต้องยืนยันแหล่งที่มา] หรืออาศัยข้อยกเว้นตามมาตรา 28 (เช่น ได้รับความยินยอมโดยแจ้งความเสี่ยงแล้ว, จำเป็นเพื่อปฏิบัติตามสัญญา) หากฝ่าฝืนมีโทษปรับทางปกครองไม่เกิน 3,000,000 บาท และไม่เกิน 5,000,000 บาท หากเป็นข้อมูลส่วนบุคคลตามมาตรา 26 (พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 มาตรา 83 และมาตรา 84)
สถานการณ์ที่ผู้ประกอบการมักพบจริง
- เหตุการณ์: สตาร์ทอัพอีคอมเมิร์ซในไทยที่มีฐานลูกค้า 500,000 ราย กำลังปิดดีล M&A กับกลุ่มทุนระดับภูมิภาค โดยระบบทั้งหมดของสตาร์ทอัพจัดเก็บบนเซิร์ฟเวอร์คลาวด์ในสหรัฐอเมริกา และมีการส่งข้อมูลพฤติกรรมการซื้อของผู้ใช้ไปยัง Data Analytics Platform ในสิงคโปร์
- ความเข้าใจผิด: ผู้ก่อตั้งคิดว่าผู้ให้บริการคลาวด์ระดับโลกย่อมปฏิบัติตามกฎหมายสากลอยู่แล้ว และตนได้เขียน Privacy Policy ระบุว่า "ข้อมูลอาจถูกส่งไปประมวลผลในต่างประเทศ" ย่อมชอบด้วยกฎหมาย
- จุดพลิก: ทีมทนายความของผู้ซื้อตรวจพบว่า นโยบายความเป็นส่วนตัวของสตาร์ทอัพไม่ได้แจ้งประเทศปลายทาง ไม่ได้แจ้งว่าประเทศปลายทางมีมาตรฐานไม่เพียงพอ และไม่มีการทำข้อสัญญา Standard Contractual Clauses (SCCs) หรือจัดให้มีมาตรการคุ้มครองที่เหมาะสมกับผู้ให้บริการในต่างประเทศตามมาตรา 29 วรรคสามและหลักเกณฑ์ที่คณะกรรมการประกาศกำหนด ทำให้การโอนข้อมูลตลอด 2 ปีที่ผ่านมาเข้าข่ายไม่เป็นไปตามมาตรา 28 และมาตรา 29 จึงมีความเสี่ยงที่คณะกรรมการผู้เชี่ยวชาญจะสั่งลงโทษปรับทางปกครองไม่เกิน 3 ล้านบาทตามมาตรา 83 และอาจสั่งให้แก้ไขหรือสั่งห้ามกระทำการที่ก่อให้เกิดความเสียหายแก่เจ้าของข้อมูลตามมาตรา 74 วรรคสาม หลังจากพิจารณาเรื่องร้องเรียนหรือตรวจสอบแล้ว ผู้ซื้อจึงขอหักมูลค่าดีลลง 20 ล้านบาทเพื่อเป็นเงินสำรองความเสี่ยง
- สิ่งที่ได้จากบทความ: แผนผังตรวจสอบ Cross-Border Transfer 4 เส้นทาง, เกณฑ์การใช้ Standard Contractual Clauses (SCCs), ข้อกำหนดข้อยกเว้นความยินยอม (Consent Derogation), การตรวจสัญญา Cloud Service Provider, และ Checklist 10 จุดตรวจการส่งข้อมูลข้ามพรมแดน
แกนหลักของการส่งข้อมูลข้ามพรมแดน
ภายใต้ PDPA ข้อมูลส่วนบุคคลของคนไทยต้องได้รับการคุ้มครองในมาตรฐานเดียวกันไม่ว่าจะถูกส่งไปประมวลผล ณ ที่ใดในโลก กฎหมายจึงวางหลักว่า เมื่อผู้ควบคุมข้อมูลส่วนบุคคลส่งหรือโอนข้อมูลไปยังต่างประเทศ ประเทศปลายทางหรือองค์การระหว่างประเทศที่รับข้อมูลต้องมีมาตรฐานการคุ้มครองที่เพียงพอตามหลักเกณฑ์ที่คณะกรรมการประกาศกำหนด เว้นแต่เข้าข้อยกเว้นตามมาตรา 28 (1) ถึง (6) หรือได้รับยกเว้นตามมาตรา 29 เพื่อป้องกันมิให้ผู้ประกอบการใช้ช่องทางต่างประเทศเป็นสวรรค์ในการหลบเลี่ยงการบังคับใช้กฎหมายคุ้มครองข้อมูลส่วนบุคคล
ผลกระทบเชิงธุรกิจ Business Consequences
- Money (โทษปรับทางปกครองสูงสุด): ผู้ควบคุมข้อมูลส่วนบุคคลที่ฝ่าฝืนมาตรา 28 หรือส่งหรือโอนข้อมูลส่วนบุคคลโดยไม่เป็นไปตามมาตรา 29 วรรคหนึ่งหรือวรรคสาม ต้องระวางโทษปรับทางปกครองไม่เกิน 3,000,000 บาท (พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 มาตรา 83) หากเป็นการฝ่าฝืนมาตรา 28 อันเกี่ยวกับข้อมูลส่วนบุคคลตามมาตรา 26 หรือส่งหรือโอนข้อมูลส่วนบุคคลตามมาตรา 26 โดยไม่เป็นไปตามมาตรา 29 วรรคหนึ่งหรือวรรคสาม ต้องระวางโทษปรับทางปกครองไม่เกิน 5,000,000 บาท (มาตรา 84) ส่วนผู้ประมวลผลข้อมูลส่วนบุคคลที่ส่งหรือโอนข้อมูลส่วนบุคคลโดยไม่เป็นไปตามมาตรา 29 วรรคหนึ่งหรือวรรคสาม ต้องระวางโทษปรับทางปกครองไม่เกิน 3,000,000 บาท (มาตรา 86) และไม่เกิน 5,000,000 บาทหากเป็นข้อมูลส่วนบุคคลตามมาตรา 26 (มาตรา 87)
- Control (การถูกสั่งระงับการใช้ระบบคลาวด์): คณะกรรมการผู้เชี่ยวชาญมีอำนาจสั่งลงโทษปรับทางปกครอง และเมื่อพิจารณาเรื่องร้องเรียนแล้วมีอำนาจสั่งให้แก้ไข หรือสั่งห้ามกระทำการที่ก่อให้เกิดความเสียหายแก่เจ้าของข้อมูล (มาตรา 74 และมาตรา 90) โดยอาจสั่งให้แก้ไขหรือตักเตือนก่อนก็ได้ หากคำสั่งดังกล่าวส่งผลให้สตาร์ทอัพต้องหยุดส่งข้อมูลไปยังระบบคลาวด์ ระบบไอทีทั้งหมดอาจไม่สามารถให้บริการลูกค้าได้
- Evidence/Timing: การทำ Binding Corporate Rules (BCRs) ต้องใช้เวลาในการยื่นขอให้สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลตรวจสอบและรับรองนโยบาย (มาตรา 29 วรรคหนึ่ง) เป็นเวลาหลายเดือน การใช้ Standard Contractual Clauses (SCCs) จึงเป็นทางเลือกที่รวดเร็วและใช้ได้จริงมากที่สุด
กรอบกฎหมายและ Claim Ledger Legal Framework
| Claim ID | ข้อความทางกฎหมายที่ยืนยัน | ฐานกฎหมายปฐมภูมิ | ตำแหน่งในแหล่ง | สถานะการตรวจ |
|---|---|---|---|---|
| C-INVEST-02-01 | ในกรณีที่ผู้ควบคุมข้อมูลส่วนบุคคลส่งหรือโอนข้อมูลส่วนบุคคลไปยังต่างประเทศ ประเทศปลายทางหรือองค์การระหว่างประเทศที่รับข้อมูลต้องมีมาตรฐานการคุ้มครองข้อมูลส่วนบุคคลที่เพียงพอ | พ.ร.บ. คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 มาตรา 28 วรรคหนึ่ง | หมวด 2 การคุ้มครองข้อมูลส่วนบุคคล | ตรวจตรงตัวบท — LAS Audit |
| C-INVEST-02-02 | การส่งหรือโอนข้อมูลส่วนบุคคลไปยังต่างประเทศที่เป็นไปตามนโยบายการคุ้มครองข้อมูลส่วนบุคคลภายในกลุ่มกิจการ (BCRs) ที่ได้รับการตรวจสอบและรับรองจากสำนักงาน ย่อมกระทำได้ | พ.ร.บ. คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 มาตรา 29 วรรคหนึ่ง | หมวด 2 การคุ้มครองข้อมูลส่วนบุคคล | ตรวจตรงตัวบท — LAS Audit |
| C-INVEST-02-03 | ในกรณีที่ยังไม่มีคำวินิจฉัยของคณะกรรมการตามมาตรา 28 หรือยังไม่มีนโยบาย BCRs ผู้ส่งข้อมูลอาจส่งหรือโอนข้อมูลได้โดยได้รับยกเว้นไม่ต้องปฏิบัติตามมาตรา 28 เมื่อจัดให้มีมาตรการคุ้มครองที่เหมาะสมซึ่งสามารถบังคับตามสิทธิของเจ้าของข้อมูลได้ รวมทั้งมีมาตรการเยียวยาทางกฎหมายที่มีประสิทธิภาพตามหลักเกณฑ์และวิธีการที่คณะกรรมการประกาศกำหนด (เช่น SCCs) | พ.ร.บ. คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 มาตรา 29 วรรคสาม | หมวด 2 การคุ้มครองข้อมูลส่วนบุคคล | แก้ไขแล้ว — LAS Audit |
| C-INVEST-02-04 | การส่งข้อมูลโดยอาศัยความยินยอม ต้องแจ้งให้เจ้าของข้อมูลทราบถึงมาตรฐานการคุ้มครองข้อมูลที่ไม่เพียงพอของประเทศปลายทางก่อนให้ความยินยอม | พ.ร.บ. คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 มาตรา 28 (2) | หมวด 2 การคุ้มครองข้อมูลส่วนบุคคล | แก้ไขแล้ว — LAS Audit |
| C-INVEST-02-05 | ผู้ควบคุมข้อมูลส่วนบุคคลที่ฝ่าฝืนมาตรา 28 หรือส่งหรือโอนข้อมูลส่วนบุคคลโดยไม่เป็นไปตามมาตรา 29 วรรคหนึ่งหรือวรรคสาม ต้องระวางโทษปรับทางปกครองไม่เกินสามล้านบาท และไม่เกินห้าล้านบาทหากเป็นข้อมูลส่วนบุคคลตามมาตรา 26 | พ.ร.บ. คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 มาตรา 83 และมาตรา 84 | หมวด 7 บทกำหนดโทษ ส่วนที่ 2 โทษทางปกครอง | แก้ไขแล้ว — LAS Audit |
4 ช่องทางกฎหมายในการโอนข้อมูลไปต่างประเทศ
- Path 1: Adequacy Decision (มาตรา 28): โอนไปยังประเทศหรือองค์การระหว่างประเทศที่มีมาตรฐานเพียงพอตามหลักเกณฑ์ที่คณะกรรมการคุ้มครองข้อมูลส่วนบุคคลประกาศกำหนด (มาตรา 28 และมาตรา 16 (5)) (ณ วันที่ 30 กันยายน 2569 ยังไม่มีการประกาศรายชื่อประเทศที่เป็นทางการ จึงยังไม่อาจใช้ช่องทางนี้เป็นช่องทางเดียวได้ [ต้องยืนยันแหล่งที่มา])
- Path 2: Binding Corporate Rules - BCRs (มาตรา 29 วรรคหนึ่ง): เหมาะสำหรับกลุ่มบริษัทข้ามชาติที่มีนโยบายคุ้มครองข้อมูลร่วมกันและผ่านการตรวจสอบและรับรองจากสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล
- Path 3: Appropriate Safeguards / SCCs (มาตรา 29 วรรคสาม): ช่องทางที่นิยมที่สุด โดยการทำสัญญาถ่ายโอนข้อมูลระหว่างผู้ส่งและผู้รับปลายทางตามแบบข้อสัญญามาตรฐาน (Standard Contractual Clauses: SCCs)
- Path 4: Legal Derogations (ข้อยกเว้นตามมาตรา 28): ใช้เฉพาะกรณีจำเป็น เช่น เพื่อปฏิบัติตามสัญญาที่เจ้าของข้อมูลเป็นคู่สัญญา, ป้องกันอันตรายต่อชีวิต, หรือได้รับความยินยอมโดยแจ้งสภาพมาตรฐานไม่เพียงพอแล้ว
ตารางเปรียบเทียบกลไกการโอนข้อมูลข้ามพรมแดน
| กลไกทางกฎหมาย | ความพร้อมในการใช้งาน | ความยุ่งยากในกระบวนการ | ระดับความปลอดภัยทางกฎหมาย |
|---|---|---|---|
| 1. ข้อสัญญามาตรฐาน (SCCs) | พร้อมใช้ได้ทันที | ปานกลาง (แนบท้ายสัญญาการค้า/DPA) | สูงมาก (ความเสี่ยงทางกฎหมายต่ำสุด) |
| 2. นโยบายกลุ่มบริษัท (BCRs) | ต้องรอการตรวจสอบและรับรองจากสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล | สูงมาก (ต้องจัดทำเอกสารทั้งเครือข่าย) | สูงมากสำหรับกลุ่มบริษัทข้ามชาติ |
| 3. ข้อยกเว้นเพื่อปฏิบัติตามสัญญา | ใช้ได้ทันที | ต่ำ (แต่ต้องพิสูจน์ความจำเป็นแท้จริง) | ปานกลาง (ตีความแคบ หากไม่จำเป็นจริงถือว่าผิด) |
| 4. ความยินยอมโดยได้แจ้งมาตรฐานการคุ้มครองที่ไม่เพียงพอของประเทศปลายทาง (มาตรา 28 (2)) | ใช้ได้ทันที | สูง (เจ้าของข้อมูลถอนความยินยอมได้ตลอดเวลา) | ต่ำสุด ไม่แนะนำให้ใช้เป็นฐานหลัก |
ผู้ให้บริการคลาวด์ชั้นนำ (AWS, Google Cloud, Microsoft Azure) มีเอกสาร Data Processing Addendum (DPA) และ Cross-Border Transfer Addendum สำเร็จรูปอยู่แล้ว [ต้องยืนยันแหล่งที่มา: ควรระบุเวอร์ชันและวันที่ตรวจสัญญาของผู้ให้บริการ] แต่ฝ่ายกฎหมายของไทยต้องตรวจสอบ 2 จุดสำคัญ: (1) ผู้ให้บริการได้ผนวกข้อสัญญามาตรฐาน (SCCs) ที่ครอบคลุมการโอนข้อมูลออกจากประเทศไทยตามกฎหมายไทยหรือไม่ และข้อสัญญานั้นเข้าหลักเกณฑ์ที่คณะกรรมการประกาศตามมาตรา 29 วรรคสามหรือไม่, และ (2) ผู้ให้บริการเปิดให้ลูกค้าสามารถเลือก Data Residency ให้จัดเก็บและประมวลผลข้อมูลในศูนย์ข้อมูลในประเทศไทยได้หรือไม่ ซึ่งช่วยลดการโอนข้อมูลไปต่างประเทศ ส่วนการเก็บที่ศูนย์ข้อมูลนอกประเทศไทย รวมถึงสิงคโปร์ ยังเป็นการโอนข้อมูลไปยังต่างประเทศที่ต้องมีเหตุตามมาตรา 28 หรือมาตรา 29
Clause-Law-Consequence Map (การเชื่อมโยงข้อกำหนดใน Cloud DPA)
| ข้อกำหนดในสัญญา Cloud DPA | ฐานกฎหมาย PDPA | ผลกระทบทางกฎหมายและความเสี่ยง |
|---|---|---|
| Standard Contractual Clauses (SCCs) Addendum | มาตรา 29 วรรคสาม | ช่วยให้การส่งหรือโอนข้อมูลไปยังผู้ให้บริการ Cloud ในต่างประเทศชอบด้วยกฎหมาย ลดความเสี่ยงโทษปรับทางปกครองไม่เกิน 3,000,000 บาท ตามมาตรา 83 (และไม่เกิน 5,000,000 บาทสำหรับข้อมูลตามมาตรา 26 ตามมาตรา 84) |
| Data Residency & Location Selection Clause | มาตรา 28 / มาตรา 29 | การเลือกจัดเก็บและประมวลผลข้อมูลในศูนย์ข้อมูลในประเทศไทยช่วยลดการโอนข้อมูลไปต่างประเทศ ส่วนการเก็บที่ศูนย์ข้อมูลนอกประเทศไทย รวมถึงสิงคโปร์ ยังเป็นการโอนข้อมูลไปยังต่างประเทศที่ต้องมีเหตุตามมาตรา 28 หรือมาตรา 29 |
| Binding Corporate Rules (BCRs) Clause | มาตรา 29 วรรคหนึ่ง | รองรับการถ่ายโอนข้อมูลระหว่างบริษัทในเครือเดียวกันได้อย่างชอบด้วยกฎหมาย เมื่อได้รับการตรวจสอบและรับรองจากสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล |
ข้อต่อสู้ของบริษัทกับสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล Devil's Advocate
| ข้อกล่าวหาของเจ้าพนักงานคุ้มครองข้อมูล | ข้อต่อสู้ของบริษัทตามกฎหมายไทย | หลักฐานที่ชี้ขาด |
|---|---|---|
| บริษัทส่งข้อมูลลูกค้าไปยังสิงคโปร์โดยมิได้รับความยินยอม | การส่งข้อมูลเป็นการปฏิบัติตามสัญญาซื้อขายสินค้าข้ามพรมแดนที่ลูกค้าเป็นคู่สัญญาตามมาตรา 28 (3) | บันทึกคำสั่งซื้อสินค้าและข้อกำหนดการจัดส่งสินค้าระหว่างประเทศ |
| การใช้ระบบคลาวด์ในต่างประเทศถือเป็นการส่งข้อมูลโดยไม่มีมาตรการคุ้มครอง | บริษัทได้ทำสัญญา Data Processing Agreement โดยผนวกข้อสัญญามาตรฐาน SCCs ครบถ้วนตามมาตรา 29 วรรคสาม | สัญญา Cloud DPA และภาคผนวก Standard Contractual Clauses ฉบับลงนาม |
| บริษัทแม่ในต่างประเทศเข้าถึงฐานข้อมูลพนักงานในไทยโดยมิชอบ | กลุ่มบริษัทได้จัดทำนโยบาย BCRs ซึ่งสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลตรวจสอบและรับรองแล้ว (มาตรา 29 วรรคหนึ่ง) และมีข้อสัญญา Intercompany Data Transfer Agreement รองรับ | เอกสาร Intercompany DPA และนโยบายความมั่นคงปลอดภัยสารสนเทศของกลุ่ม |
ตัวอย่างสถานการณ์จำลอง Worked Example
ข้อเท็จจริงสมมติ: โรงพยาบาลเอกชนในไทยร่วมมือกับสถาบันวิจัยการแพทย์ในญี่ปุ่น เพื่อส่งข้อมูลภาพถ่ายเอกซเรย์ปอดของผู้ป่วยไปประมวลผลด้วยระบบ AI ในโตเกียว
ขั้นตอนการจัดทำให้ถูกต้องตาม PDPA: (1) ข้อมูลภาพถ่ายเอกซเรย์เป็นข้อมูลสุขภาพ (Sensitive Data) ซึ่งเป็นข้อมูลตามมาตรา 26 ต้องได้รับความยินยอมโดยชัดแจ้ง (Explicit Consent) เว้นแต่เข้าข้อยกเว้นตามมาตรา 26 (1) ถึง (5) เช่น เป็นการจำเป็นในการปฏิบัติตามกฎหมายเพื่อให้บรรลุวัตถุประสงค์เกี่ยวกับการวินิจฉัยโรคทางการแพทย์ (มาตรา 26 (5) (ก) ซึ่งหากมิใช่การปฏิบัติตามกฎหมาย และข้อมูลนั้นอยู่ในความรับผิดชอบของผู้ประกอบอาชีพหรือวิชาชีพหรือผู้มีหน้าที่รักษาข้อมูลไว้เป็นความลับตามกฎหมาย ต้องเป็นการปฏิบัติตามสัญญาระหว่างเจ้าของข้อมูลกับผู้ประกอบวิชาชีพทางการแพทย์) หรือเพื่อการศึกษาวิจัยทางวิทยาศาสตร์ ประวัติศาสตร์ หรือสถิติเพียงเท่าที่จำเป็น โดยได้จัดให้มีมาตรการที่เหมาะสมตามที่คณะกรรมการประกาศกำหนด (มาตรา 26 (5) (ง)), (2) การโอนไปญี่ปุ่นต้องมีเหตุตามมาตรา 28 หรือมาตรา 29 ต่างหากจากฐานตามมาตรา 26 และหากฝ่าฝืนในกรณีข้อมูลตามมาตรา 26 ผู้ควบคุมข้อมูลต้องระวางโทษปรับทางปกครองไม่เกิน 5,000,000 บาทตามมาตรา 84 ทั้งนี้ ในการส่งข้อมูลข้ามพรมแดน โรงพยาบาลจัดทำ Cross-Border Data Transfer Agreement ร่วมกับสถาบันวิจัยญี่ปุ่น โดยผนวกข้อสัญญามาตรฐาน (SCCs) และข้อกำหนดการเข้ารหัสข้อมูล (Encryption in Transit and at Rest), (3) ทำการตัดชื่อและข้อมูลระบุตัวตนออก (Pseudonymization) ก่อนส่งออกนอกประเทศ เพื่อลดความเสี่ยงการรั่วไหล ทั้งนี้ ข้อมูลที่ตัดชื่อแต่ยังระบุตัวบุคคลได้ทางอ้อมยังเป็นข้อมูลส่วนบุคคลตามมาตรา 6 จึงยังต้องปฏิบัติตามมาตรา 28 และมาตรา 29
ขั้นตอนการทำ Cross-Border Data Audit Action Steps
| ขั้นตอน | การดำเนินงาน | ผู้รับผิดชอบ | เอกสารผลลัพธ์ | กำหนดเวลา |
|---|---|---|---|---|
| 1 | ทำ Data Flow Mapping สำรวจข้อมูลที่ไหลออกนอกประเทศทั้งหมด | DPO / ทีม IT | Cross-Border Data Flow Inventory | สัปดาห์ที่ 1 |
| 2 | ตรวจสอบสัญญาและข้อตกลง DPA กับผู้ให้บริการในต่างประเทศทุกราย | ฝ่ายกฎหมาย LAS | Vendor DPA Compliance Review Memo | สัปดาห์ที่ 2 |
| 3 | จัดทำและลงนามในข้อสัญญามาตรฐาน (SCCs Addendum) กับคู่ค้า | ฝ่ายกฎหมายและผู้บริหาร | Signed Standard Contractual Clauses (SCCs) | สัปดาห์ที่ 3 |
| 4 | ปรับปรุงนโยบายความเป็นส่วนตัว (Privacy Notice) ระบุรายละเอียดการส่งข้อมูล | ทีม DPO | Updated Privacy Notice บนเว็บไซต์ | ภายใน 30 วัน |
Checklist 10 จุดตรวจการคุ้มครองข้อมูลข้ามพรมแดน
- มีการจัดทำ Data Flow Mapping ระบุระบบ คลาวด์ และผู้รับข้อมูลในต่างประเทศทั้งหมด
- มีการลงนามในสัญญา Data Processing Agreement (DPA) กับผู้ให้บริการต่างประเทศทุกราย
- สัญญามีการผนวกข้อสัญญามาตรฐาน (Standard Contractual Clauses: SCCs) ตามเกณฑ์มาตรา 29
- มีการประเมินความเสี่ยงด้านความมั่นคงปลอดภัยสารสนเทศของผู้รับข้อมูลปลายทาง (Transfer Impact Assessment)
- มีการเข้ารหัสข้อมูล (Encryption) ทั้งในระหว่างการส่งผ่านโครงข่ายและขณะจัดเก็บในคลาวด์
- นโยบายความเป็นส่วนตัว (Privacy Notice) ระบุประเภทข้อมูลและประเทศปลายทางไว้อย่างโปร่งใส
- กรณีอาศัยฐานความยินยอม มีการแจ้งให้ทราบชัดเจนถึงสภาพความคุ้มครองของประเทศปลายทางตามมาตรา 28 (2)
- ตรวจสอบว่ามีนโยบายกลุ่มบริษัท (Binding Corporate Rules: BCRs) ที่สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลตรวจสอบและรับรองแล้ว หรือมีเหตุอื่นตามมาตรา 28 และมาตรา 29 รองรับกรณีส่งข้อมูลระหว่างบริษัทในเครือ
- มีข้อสัญญาให้ผู้ประมวลผลในต่างประเทศแจ้งเหตุละเมิดข้อมูล (Data Breach Notification) แก่ผู้ควบคุมข้อมูลภายในเวลาที่สั้นพอ (เช่น 24 ชั่วโมงตามที่คู่สัญญาตกลง) เพื่อให้ผู้ควบคุมข้อมูลปฏิบัติตามหน้าที่แจ้งสำนักงานภายในเจ็ดสิบสองชั่วโมงนับแต่ทราบเหตุตามมาตรา 37 (4)
- มีบันทึกกิจกรรมการประมวลผล (ROPA) บันทึกรายละเอียดการส่งข้อมูลข้ามพรมแดนครบถ้วน
Key Takeaways
- 1. ตรวจสอบการส่งข้อมูลออกนอกพรมแดน: การใช้ Cloud ต่างประเทศหรือแชร์ข้อมูลไปยังบริษัทแม่ เป็นจุดตรวจความเสี่ยงคดีความและโทษปรับทางปกครองไม่เกิน 3,000,000 บาท (ไม่เกิน 5,000,000 บาทสำหรับข้อมูลตามมาตรา 26) ตาม PDPA มาตรา 83 และมาตรา 84
- 2. เลือกใช้กลไกการโอนข้อมูลที่เหมาะสม: ใช้ Standard Contractual Clauses (SCCs) สำหรับคู่ค้าทั่วไป, Binding Corporate Rules (BCRs) สำหรับบริษัทในเครือ, หรืออาศัยข้อยกเว้นตามกฎหมาย
- 3. ตรวจสอบสัญญา Cloud Provider และ Privacy Notice: เร่งตรวจสอบ Data Processing Addendum (DPA) ของผู้ให้บริการ และระบุการส่งข้อมูลปลายทางใน Privacy Notice ให้โปร่งใส
คำถามที่พบบ่อย Frequently Asked Questions
อ้างอิง — References
- พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 มาตรา 6 มาตรา 16 มาตรา 26 มาตรา 28 มาตรา 29 มาตรา 37 มาตรา 74 มาตรา 75 มาตรา 83 มาตรา 84 มาตรา 86 มาตรา 87 มาตรา 89 และมาตรา 90
- ประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง หลักเกณฑ์การให้ความคุ้มครองข้อมูลส่วนบุคคลที่ส่งหรือโอนไปยังต่างประเทศตามมาตรา 28 [ต้องยืนยันแหล่งที่มา: ชื่อ ปี เลขที่ และวันที่ประกาศในราชกิจจานุเบกษา]
- ประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง หลักเกณฑ์การให้ความคุ้มครองข้อมูลส่วนบุคคลที่ส่งหรือโอนไปยังต่างประเทศตามมาตรา 29 [ต้องยืนยันแหล่งที่มา: ชื่อ ปี เลขที่ และวันที่ประกาศในราชกิจจานุเบกษา]
- ASEAN Model Contractual Clauses for Cross Border Data Flows (ASEAN MCCs)
- สำนักงานคณะกรรมการกฤษฎีกา — ระบบสืบค้นกฎหมาย (OCS)