การส่งข้อมูลให้บริษัทในเครือต่างประเทศเป็นการโอนข้อมูลไปต่างประเทศ เพราะเป็นคนละนิติบุคคล ตามมาตรา 29 เลือก BCR ที่ สคส. รับรองแล้ว หรือข้อสัญญามาตรฐานก็ได้ บทความนี้เหมาะกับ DPO และฝ่ายกฎหมายของกลุ่มบริษัท ได้เปรียบเทียบสองทางและเงื่อนไขของแต่ละทาง
- บริษัทในเครือที่เป็นคนละนิติบุคคลกับบริษัทในไทย นับเป็นผู้รับข้อมูลในต่างประเทศ (TDPG 4.0 ข้อ F3 ซึ่งเป็นแนวปฏิบัติ)
- BCR ต้องยื่นให้ สคส. ตรวจสอบและรับรองก่อน ตรวจเอกสาร 15 วัน พิจารณาเนื้อหา 180 วัน ไม่มีค่าธรรมเนียม
- ต้องมีสมาชิกผู้รับผิดที่ตั้งอยู่ในไทย และผู้ยื่นคำขอต้องเป็นนิติบุคคลเดียวกันนั้น (ระเบียบ 2568 ข้อ 7)
- ข้อสัญญามาตรฐานใช้ได้ทันทีไม่ต้องรออนุมัติ เช่น ASEAN MCC หรือ EU SCC แต่ต้องมีครบ 7 เรื่องตามประกาศ ม.29 ข้อ 11
- ถ้าร่างสัญญาเอง ผู้รับข้อมูลต้องแจ้งเหตุละเมิดกลับมาภายใน 72 ชั่วโมง (ประกาศ ม.29 ข้อ 10 (1))
สมมติว่าบริษัทจำกัดแห่งหนึ่งในกรุงเทพฯ เป็นบริษัทลูกของกลุ่มธุรกิจจากต่างประเทศ ทุกเดือนฝ่ายบุคคลส่งเงินเดือนและผลประเมินพนักงานเข้าระบบ HR กลางของบริษัทแม่ ฝ่ายขายส่งรายชื่อลูกค้ารายใหญ่ให้สำนักงานภูมิภาคทำรายงาน ทุกคนเข้าใจว่าเป็นการส่งข้อมูลกันเองในบ้าน
ในสายตาของ พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 บริษัทแม่กับบริษัทลูกเป็นนิติบุคคลคนละราย การส่งข้อมูลข้ามประเทศระหว่างกันจึงต้องมีฐานตามมาตรา 28 หรือมาตรา 29 บทความนี้เทียบสองเครื่องมือหลักของมาตรา 29 คือ BCR กับข้อสัญญามาตรฐาน ว่าแบบไหนเหมาะกับใคร
ส่งข้อมูลให้บริษัทแม่ในต่างประเทศ นับเป็นการโอนข้อมูลไปต่างประเทศหรือไม่?
นับ ถ้าผู้รับเป็นบริษัทคนละนิติบุคคลและเข้าถึงข้อมูลได้ แนวปฏิบัติ TDPG 4.0 ยกตัวอย่างบริษัทในไทยที่อีเมลข้อมูลพนักงานไปให้บริษัทแม่ในสหรัฐอเมริกา แล้วสรุปไว้ดังนี้ (TDPG เป็นแนวปฏิบัติของภาคเอกชน ไม่ใช่กฎหมาย และไม่ผูกพันเหมือนตัว พ.ร.บ.)
กรณีตามตัวอย่างข้างต้น ถือเป็นการส่งหรือโอนข้อมูลส่วนบุคคลไปยังต่างประเทศ เนื่องจากผู้รับข้อมูลซึ่งตั้งอยู่ต่างประเทศนั้นสามารถเข้าถึงข้อมูลส่วนบุคคลที่ส่งผ่านอีเมลและเครือข่ายอินเทอร์เน็ตได้ ทั้งนี้ แม้ว่าจะเป็นการส่งและรับข้อมูลของบริษัทในเครือธุรกิจเดียวกันแต่เป็นคนละนิติบุคคลแยกต่างหากจากกัน
TDPG แยกอีกกรณีไว้ในข้อ F9 คือนิติบุคคลเดียวกันที่มีสาขาทั้งในไทยและต่างประเทศ พนักงานสาขากรุงเทพฯ ส่งข้อมูลให้พนักงานสาขาต่างประเทศของนิติบุคคลเดียวกัน แนวปฏิบัติมองว่าไม่เป็นการโอนที่ต้องทำตามมาตรา 28 เพราะทั้งสองฝั่งอยู่ใต้ PDPA เหมือนกัน
เส้นแบ่งจึงอยู่ที่โครงสร้างนิติบุคคล ไม่ได้อยู่ที่ชื่อแบรนด์หรือผังองค์กร ก่อนเลือกเครื่องมือ ให้ไล่ดูก่อนว่าผู้รับแต่ละรายเป็นสาขาหรือบริษัทแยก
มาตรา 29 เปิดทางให้บริษัทในเครือกี่ทาง?
สองทาง ทางแรกอยู่ในวรรคหนึ่ง คือนโยบายคุ้มครองข้อมูลในเครือกิจการที่สำนักงานตรวจสอบและรับรองแล้ว หรือที่เรียกกันว่า Binding Corporate Rules (BCR) เมื่อได้รับรอง การโอนที่เป็นไปตามนโยบายนั้นได้รับยกเว้นจากมาตรา 28
หากนโยบายในการคุ้มครองข้อมูลส่วนบุคคลดังกล่าวได้รับการตรวจสอบและรับรองจากสำนักงาน การส่งหรือโอนข้อมูลส่วนบุคคลไปยังต่างประเทศที่เป็นไปตามนโยบายในการคุ้มครองข้อมูลส่วนบุคคลที่ได้รับการตรวจสอบและรับรองดังกล่าว ให้สามารถกระทำได้โดยได้รับยกเว้นไม่ต้องปฏิบัติตามมาตรา 28
ทางที่สองอยู่ในวรรคสาม ใช้เมื่อยังไม่มีคำวินิจฉัยเรื่องประเทศปลายทางตามมาตรา 28 หรือยังไม่มี BCR ผู้ส่งต้องจัดให้มีมาตรการคุ้มครองที่เหมาะสม ซึ่งเจ้าของข้อมูลบังคับสิทธิได้และมีทางเยียวยาที่ได้ผล
ผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคลอาจส่งหรือโอนข้อมูลส่วนบุคคลไปยังต่างประเทศได้โดยได้รับยกเว้นไม่ต้องปฏิบัติตามมาตรา 28 เมื่อผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคลได้จัดให้มีมาตรการคุ้มครองที่เหมาะสมสามารถบังคับตามสิทธิของเจ้าของข้อมูลส่วนบุคคลได้ รวมทั้งมีมาตรการเยียวยาทางกฎหมายที่มีประสิทธิภาพตามหลักเกณฑ์และวิธีการที่คณะกรรมการประกาศกำหนด
ประกาศ ม.29 ข้อ 8 ระบุรูปแบบของมาตรการคุ้มครองที่เหมาะสมไว้สามแบบ คือ ข้อสัญญาตามที่คณะกรรมการกำหนด การรับรอง (certification) ตามมาตรฐานที่ยอมรับ และข้อตกลงระหว่างหน่วยงานรัฐของสองประเทศ สำหรับบริษัทเอกชน ทางที่ใช้กันมากคือข้อสัญญา ส่วนเรื่อง certification ข้อ 14 ให้เป็นไปตามที่คณะกรรมการประกาศกำหนดแยกต่างหาก ก่อนเลือกทางนี้จึงต้องตรวจว่ามีประกาศดังกล่าวแล้วหรือยัง
BCR คืออะไร และใครในเครือใช้ได้บ้าง?
BCR คือนโยบายหรือข้อตกลงคุ้มครองข้อมูลที่ผู้ส่งและผู้รับในเครือเดียวกันตกลงกันและผูกพันกันจริง ใช้ได้เฉพาะภายใน “เครือกิจการหรือเครือธุรกิจเดียวกัน” ซึ่งประกาศ ม.29 นิยามจากอำนาจควบคุม
กิจการที่ผู้ประกอบกิจการมีอำนาจควบคุมหรือบริหารจัดการเหนือกิจการอื่น หรือกิจการที่ถูกควบคุมโดยผู้ประกอบกิจการที่มีอำนาจเหนือกิจการอื่น ในรูปแบบบริษัทใหญ่ บริษัทย่อย หรือบริษัทร่วม
ระเบียบสำนักงานฯ ปี 2568 เพิ่มศัพท์ที่ต้องรู้ก่อนเริ่มร่าง แต่ละคำคือชิ้นส่วนที่ สคส. จะมองหาในเอกสาร
- BCR-C กับ BCR-P ฉบับแรกใช้เมื่อสมาชิกส่งและประมวลผลข้อมูลในฐานะผู้ควบคุมข้อมูล ฉบับหลังใช้เมื่อสมาชิกทำงานในฐานะผู้ประมวลผลให้ผู้ควบคุมข้อมูลที่เป็นบุคคลภายนอก
- สมาชิกของนโยบาย (BCR Member) นิติบุคคลในเครือที่ตกลงผูกพันตามนโยบาย
- ข้อตกลงระหว่างเครือกิจการ (IGA) สัญญาเป็นลายลักษณ์อักษรที่ทำให้นโยบายผูกพันสมาชิกทุกราย
- สิทธิของบุคคลภายนอกผู้รับประโยชน์ เจ้าของข้อมูลใช้สิทธิหรือฟ้องบังคับตามนโยบายได้โดยตรงต่อสมาชิก เสมือนเป็นคู่สัญญา
- สมาชิกของนโยบายผู้รับผิด (Liable BCR Member) สมาชิกที่ตั้งและมีสำนักงานในไทย ยอมรับผิดแทนสมาชิกต่างประเทศ
สมาชิกของนโยบายที่จัดตั้งขึ้นในราชอาณาจักรและมีสำนักงานอยู่ในราชอาณาจักรที่ได้รับการระบุไว้อย่างชัดแจ้งในนโยบายในการคุ้มครองข้อมูลส่วนบุคคลในเครือกิจการหรือเครือธุรกิจเดียวกันว่าตกลงยอมรับผิดและรับผิดชอบในการชดใช้ค่าสินไหมทดแทนสำหรับความเสียหายใด ๆ ที่เกิดจากการละเมิดนโยบายโดยสมาชิกของนโยบายรายอื่นที่อยู่นอกราชอาณาจักร
ข้อนี้คือจุดที่บริษัทในไทยต้องคิดให้ดีก่อนรับบท เพราะสมาชิกผู้รับผิดต้องชดใช้ความเสียหายที่สมาชิกในต่างประเทศก่อ ระเบียบข้อ 7 วรรคสองยังกำหนดให้นิติบุคคลที่ยื่นคำขอต้องเป็นรายเดียวกับสมาชิกผู้รับผิดด้วย
ยื่นขอรับรอง BCR ที่ สคส. มีขั้นตอนอย่างไร?
ระเบียบสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลว่าด้วยการตรวจสอบและรับรอง BCR พ.ศ. 2568 วางขั้นตอนไว้ตามลำดับนี้ ทั้งกระบวนการไม่มีค่าธรรมเนียม (ข้อ 19)
- ก่อนยื่นเตรียมคำขอและเอกสารเป็นภาษาไทย ได้แก่ นโยบายฉบับเต็มพร้อมรายชื่อสมาชิก เครื่องมือที่ทำให้ผูกพัน เช่น ร่าง IGA และหนังสือรับรองนิติบุคคล เอกสารภาษาต่างประเทศควรมีคำแปลที่ Notary Public รับรองระเบียบ ข้อ 8
- วันยื่นยื่นตรง ทางไปรษณีย์ ทางอีเมล หรือช่องทางอื่นที่สำนักงานกำหนด เลือกได้ช่องทางเดียวระเบียบ ข้อ 9
- ภายใน 15 วันสำนักงานตรวจความครบถ้วน ถ้าครบออกใบรับคำขอพร้อมรหัสอ้างอิง ถ้าไม่ครบแจ้งให้ส่งเพิ่มระเบียบ ข้อ 13
- ระหว่างพิจารณาพนักงานผู้รับผิดชอบ (Case Officer) อ่านเนื้อหาโดยละเอียด อาจมีหนังสือขอข้อมูลหรือขอให้แก้ระเบียบ ข้อ 14
- ภายใน 180 วันนับจากเอกสารครบเลขาธิการพิจารณาผลเป็นรับรอง รับรองโดยมีเงื่อนไข หรือไม่รับรอง ถ้ารับรองจะได้หนังสือรับรองตามแบบท้ายระเบียบระเบียบ ข้อ 15 · ข้อ 16
- หลังได้ผลไม่เห็นด้วยกับผลรับรองแบบมีเงื่อนไขหรือไม่รับรอง อุทธรณ์ได้ตามกฎหมายวิธีปฏิบัติราชการทางปกครองระเบียบ ข้อ 18
สำนักงานจะดำเนินการพิจารณาเนื้อหาของนโยบายในการคุ้มครองข้อมูลส่วนบุคคลในเครือกิจการหรือเครือธุรกิจเดียวกันให้แล้วเสร็จภายในระยะเวลา 180 วัน นับแต่วันที่เอกสารประกอบคำขอตรวจสอบและรับรองถูกต้องครบถ้วนตามข้อ 8
180 วันนับจากวันที่เอกสารครบ ไม่ได้นับจากวันยื่น และข้อ 16 ยังเปิดช่องให้เกินกำหนดได้ถ้ามีเหตุจำเป็น โดยขึ้นกับความซับซ้อนของโครงสร้างองค์กรและความครบของเอกสาร ควรวางแผนให้มีทางสำรองระหว่างรอ
ถ้าเครือมี BCR ที่ EU หรือ UK อนุมัติแล้ว ต้องเริ่มใหม่ไหม?
ไม่ต้องเริ่มจากศูนย์ ระเบียบข้อ 11 มีกระบวนการพิเศษสำหรับ BCR ที่ได้รับรองตาม GDPR หรือ UK GDPR หรือจากประเทศที่คณะกรรมการประกาศตามมาตรา 28 ผู้ยื่นส่งหลักฐานการรับรอง สำเนานโยบาย และเอกสาร “ข้อกำหนดเพิ่มเติมสำหรับประเทศไทย” (Thai BCR Addendum) แทนชุดเอกสารเต็ม
การยืนยันว่าเจ้าของข้อมูลส่วนบุคคลในประเทศไทยมีสิทธิของบุคคลภายนอกผู้รับประโยชน์ที่สามารถร้องเรียน และฟ้องร้องบังคับคดีตามนโยบายในการคุ้มครองข้อมูลส่วนบุคคลในเครือกิจการหรือเครือธุรกิจเดียวกันได้ในราชอาณาจักร
Addendum ควรมีอีกสามเรื่อง คือชื่อสมาชิกผู้รับผิดในไทย การยอมรับอำนาจของ สคส. และศาลไทย และการปรับข้อกำหนดให้เข้ากับ PDPA หัวใจคือเจ้าของข้อมูลในไทยต้องฟ้องได้ที่ศาลไทย ไม่ต้องไปฟ้องที่ประเทศของบริษัทแม่
ข้อสัญญามาตรฐานใช้แทน BCR ได้แค่ไหน?
ใช้แทนได้ทั้งในเครือและนอกเครือ โดยไม่ต้องรอใครอนุมัติ ประกาศ ม.29 ข้อ 10 ให้เลือกได้สองแบบ แบบแรกคู่สัญญาร่างเองให้มีเนื้อหาครบตามข้อ 10 (1) (ก) ถึง (จ) แบบที่สองใช้ข้อสัญญาต้นแบบที่มีอยู่แล้ว
ข้อสัญญาที่คู่สัญญาจัดทำขึ้นตามกฎหมายของต่างประเทศ หรือจัดทำโดยองค์การระหว่างประเทศ และมีเนื้อหาและข้อกำหนดที่เกี่ยวข้องกับการคุ้มครองข้อมูลส่วนบุคคล โดยใช้ข้อสัญญาต้นแบบอย่างใดอย่างหนึ่ง ดังนี้ (ก) ข้อสัญญาต้นแบบของอาเซียนสำหรับการไหลเวียนข้อมูลข้ามพรมแดน (ASEAN Model Contractual Clauses for Cross Border Data Flows)
ข้อ 10 (2) (ข) รับ EU Standard Contractual Clauses ที่ออกตาม GDPR ด้วย กลุ่มบริษัทที่ใช้ EU SCC อยู่แล้วจึงต่อยอดได้ แต่ต้องตรวจว่ามีครบ 7 เรื่องตามข้อ 11 เช่น การแจ้งเจ้าของข้อมูล การจำกัดการโอนเท่าที่จำเป็น และการเยียวยา ข้อ 12 ให้แก้เนื้อหาส่วนที่ไม่ใช่สาระสำคัญได้ ถ้าไม่ขัดข้อ 11
ถ้าเลือกร่างเอง จุดที่หลุดบ่อยคือเรื่องแจ้งเหตุละเมิด ประกาศกำหนดให้ผู้รับฝั่งต่างประเทศแจ้งกลับมาภายใน 72 ชั่วโมง ทั้งกรณีผู้รับเป็นผู้ประมวลผลและเป็นผู้ควบคุมข้อมูล
ผู้รับข้อมูลส่วนบุคคลต้องแจ้งเหตุการละเมิดข้อมูลส่วนบุคคลตามกฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคลแก่ผู้ส่งหรือโอนข้อมูลส่วนบุคคลโดยไม่ชักช้าภายในเจ็ดสิบสองชั่วโมงนับแต่ทราบเหตุเท่าที่จะสามารถกระทำได้
BCR กับข้อสัญญามาตรฐาน ต่างกันตรงไหน?
ตารางนี้เทียบจากตัวประกาศ ม.29 และระเบียบ 2568 แถวสุดท้ายเป็นความเห็นของเราจากโครงสร้างของสองเครื่องมือ ไม่ใช่ข้อกำหนดของกฎหมาย
| ประเด็น | BCR (มาตรา 29 วรรคหนึ่ง) | ข้อสัญญา (มาตรา 29 วรรคสาม) |
|---|---|---|
| ใช้กับใคร | เฉพาะบริษัทในเครือกิจการหรือเครือธุรกิจเดียวกัน (ประกาศ ข้อ 3) | คู่สัญญาใดก็ได้ ทั้งในเครือและคู่ค้านอกเครือ |
| ต้องให้ สคส. อนุมัติก่อนหรือไม่ | ต้อง สำนักงานตรวจสอบและรับรองก่อนใช้ (ประกาศ ข้อ 5–7) | ประกาศไม่ได้กำหนดขั้นตอนขออนุมัติ ใช้ได้เมื่อลงนาม |
| ใช้เวลา | ตรวจเอกสาร 15 วัน + พิจารณาเนื้อหา 180 วันนับจากเอกสารครบ (ระเบียบ ข้อ 13 · 16) | เท่าเวลาเจรจาและลงนามสัญญา |
| ค่าธรรมเนียมราชการ | ไม่มี (ระเบียบ ข้อ 19) | ไม่มี |
| อายุ | ไม่มีวันหมดอายุ จนกว่าสำนักงานแก้ไข เปลี่ยนแปลง หรือเพิกถอน (ระเบียบ ข้อ 17) | ตามอายุสัญญา |
| ผู้รับผิดในไทย | ต้องมีสมาชิกผู้รับผิดที่ตั้งในไทย (ระเบียบ ข้อ 3 · 7) | ไม่มีบทบังคับเรื่องนี้ แต่ต้องมีมาตรการเยียวยาที่มีประสิทธิภาพ (ประกาศ ข้อ 10 (1) (จ) · 11 (7)) |
| เนื้อหาขั้นต่ำ | หลักการ 6 ข้อตามระเบียบ ข้อ 12 รวมการให้ความร่วมมือกับ สคส. และ RoPA | ข้อ 10 (1) (ก)–(จ) ถ้าร่างเอง หรือข้อสัญญาต้นแบบที่มีครบ 7 เรื่องตามข้อ 11 |
| ภาษาเอกสาร | คำขอและเอกสารเป็นภาษาไทย เอกสารต่างประเทศควรมีคำแปลรับรอง (ระเบียบ ข้อ 8) | ประกาศไม่ได้กำหนด |
| เหมาะกับ (ความเห็นของเรา) | เครือที่ส่งข้อมูลระหว่างกันหลายบริษัท หลายประเทศ ต่อเนื่องหลายปี | เส้นทางส่งข้อมูลไม่กี่เส้น หรือผู้รับเป็นคู่ค้านอกเครือ หรือใช้ระหว่างรอ BCR |
การรับรองนโยบายในการคุ้มครองข้อมูลส่วนบุคคลในเครือกิจการหรือเครือธุรกิจเดียวกันที่ออกโดยสำนักงานไม่มีกำหนดระยะเวลาสิ้นสุด และจะยังคงมีผลบังคับใช้ตราบเท่าที่ยังไม่มีการแก้ไข เปลี่ยนแปลง หรือเพิกถอนโดยสำนักงาน
ข้อผิดพลาดที่พบบ่อยเมื่อส่งข้อมูลในเครือไปต่างประเทศมีอะไรบ้าง?
ถ้าผู้รับเป็นคนละนิติบุคคล TDPG ข้อ F3 มองว่าเป็นการโอนไปต่างประเทศ ต้องมีฐานตามมาตรา 28 หรือ 29
ประกาศ ม.29 ข้อ 11 กำหนดเนื้อหา 7 เรื่องที่ข้อสัญญาต้นแบบต้องมี ข้อ 12 ให้เติมหรือปรับส่วนที่ไม่ใช่สาระสำคัญได้
ข้อ 10 (1) (ค) 4) และ (ง) ให้ผู้รับแจ้งเหตุละเมิดกลับมาภายใน 72 ชั่วโมงนับแต่ทราบเหตุ
ระเบียบ ข้อ 7 วรรคสอง ให้ผู้ยื่นคำขอเป็นนิติบุคคลเดียวกับสมาชิกผู้รับผิด
ระเบียบ ข้อ 9 วรรคสอง ให้ยื่นผ่านช่องทางเดียวเท่านั้น
มาตรา 29 วรรคสาม ใช้ได้เมื่อยังไม่มีนโยบายตามวรรคหนึ่ง จึงเป็นทางที่ใช้ระหว่างรอได้
งานแรกที่ควรทำก่อนเลือกเครื่องมือ คือทำรายการว่าข้อมูลอะไรไปที่บริษัทไหน ประเทศใด เพื่ออะไร ทะเบียนกิจกรรมการประมวลผลใน AIPDPA บันทึกผู้รับและปลายทางต่างประเทศไว้ในแต่ละกิจกรรม พร้อมเอกสารพร้อมใช้ภาษาไทยและอังกฤษ ดูวิธีทำทะเบียนได้ที่ คู่มือ RoPA
ถ้ายังไม่แน่ใจว่าเส้นทางไหนเข้ามาตรา 28 ตั้งแต่ต้น อ่าน ส่งข้อมูลออกนอกไทยตามมาตรา 28 ซึ่งไล่ลำดับการตัดสินใจจากมาตรา 28 ไปมาตรา 29 และข้อยกเว้น และถ้าข้อมูลอยู่บนคลาวด์ของหน่วยงานรัฐหรือ CII ดู มาตรฐานคลาวด์ สกมช. 2567 ภาพรวมทั้งหมดอยู่ที่ คู่มือการโอนข้อมูลไปต่างประเทศ
คำถามที่พบบ่อย
ส่งข้อมูลพนักงานให้บริษัทแม่ในต่างประเทศ ต้องขอความยินยอมพนักงานทุกคนหรือไม่?
ไม่จำเป็นเสมอไป มาตรา 29 ให้ใช้ BCR ที่ สคส. รับรอง หรือข้อสัญญาที่เป็นมาตรการคุ้มครองที่เหมาะสมแทนได้ ความยินยอมตามมาตรา 28 (2) เป็นข้อยกเว้นอีกทางหนึ่ง ซึ่งต้องแจ้งเรื่องมาตรฐานที่ไม่เพียงพอของปลายทางด้วย
ขอรับรอง BCR ใช้เวลานานเท่าไร?
ระเบียบ สคส. พ.ศ. 2568 ให้ตรวจความครบของเอกสารภายใน 15 วัน และพิจารณาเนื้อหาให้เสร็จภายใน 180 วันนับจากวันที่เอกสารครบ ซึ่งอาจเกินได้ถ้ามีเหตุจำเป็น
ขอรับรอง BCR เสียค่าธรรมเนียมเท่าไร?
ไม่มีค่าธรรมเนียม ระเบียบ ข้อ 19 เขียนว่าการดำเนินการตามระเบียบนี้ไม่มีการเรียกเก็บค่าธรรมเนียมหรือค่าบริการ
BCR ที่รับรองแล้วมีอายุกี่ปี?
ไม่มีกำหนดหมดอายุ ระเบียบ ข้อ 17 ให้มีผลตราบที่สำนักงานยังไม่แก้ไข เปลี่ยนแปลง หรือเพิกถอน
ใช้ EU SCC กับการโอนข้อมูลจากไทยได้หรือไม่?
ได้ ประกาศ ม.29 ข้อ 10 (2) (ข) รับข้อสัญญามาตรฐานที่ออกตาม GDPR แต่ต้องมีเนื้อหาครบ 7 เรื่องตามข้อ 11 และปรับส่วนที่ไม่ใช่สาระสำคัญได้ตามข้อ 12
สาขาต่างประเทศของนิติบุคคลเดียวกันต้องมี BCR หรือไม่?
TDPG 4.0 ข้อ F9 มองว่าการส่งข้อมูลภายในนิติบุคคลเดียวกันระหว่างสาขาไทยกับสาขาต่างประเทศไม่เป็นการโอนที่ต้องทำตามมาตรา 28 แต่ TDPG เป็นแนวปฏิบัติ ไม่ใช่กฎหมาย ควรบันทึกเหตุผลไว้ใน RoPA
ตัวบทและแหล่งอ้างอิง
- พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 — มาตรา 29
- ประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง หลักเกณฑ์การให้ความคุ้มครองข้อมูลส่วนบุคคลที่ส่งหรือโอนไปยังต่างประเทศ ตามมาตรา 29 แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 พ.ศ. 2566 — ข้อ 3 · ข้อ 5–13
- ระเบียบสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล ว่าด้วยการตรวจสอบและรับรองนโยบายในการคุ้มครองข้อมูลส่วนบุคคลในเครือกิจการหรือเครือธุรกิจเดียวกัน พ.ศ. 2568 — ข้อ 3 · ข้อ 7–19
- TDPG 4.0 แนวปฏิบัติการคุ้มครองข้อมูลส่วนบุคคล (แนวปฏิบัติ ไม่ใช่กฎหมาย) — TDPG4.0-F (F3 · F9)
ตัวบทที่ยกมาในกรอบ "ตัวบท" คัดคำต่อคำจากคลังกฎหมายของ AIPDPA ซึ่งถอดจากราชกิจจานุเบกษาและเอกสารของหน่วยงานรัฐ แล้วระบบตรวจทุกครั้งที่แก้บทความว่าตรงกับคลังทุกตัวอักษร · บทความนี้เป็นความรู้ทั่วไป ไม่ใช่คำปรึกษากฎหมายสำหรับกรณีใดกรณีหนึ่ง
ลงมือในระบบได้ที่
ใครรับผิดชอบเนื้อหานี้?
เรียบเรียงโดยทีมกฎหมาย AIPDPA · ผู้รับผิดชอบเนื้อหา ภูวรา ครอบตะคุ ทนายความ · เนติบัณฑิตไทย · ที่ปรึกษากฎหมายเทคโนโลยีและทรัพย์สินทางปัญญา
ใบอนุญาตทนายความ 477/2558 · เนติบัณฑิตไทย · นิติศาสตรมหาบัณฑิต กฎหมายทรัพย์สินทางปัญญาและสารสนเทศ (เหรียญทอง)