สัญญาผู้ประมวลผลข้อมูล คือข้อตกลงที่ผู้ควบคุมข้อมูลต้องทำกับผู้รับจ้างตามมาตรา 40 วรรคสาม เพื่อคุมให้ทำตามคำสั่ง มีมาตรการความปลอดภัย และแจ้งเหตุละเมิดภายใน 72 ชั่วโมง ฝ่ายกฎหมายและ DPO จะได้รายการข้อที่ขาดไม่ได้ พร้อมบอกว่าข้อไหนมาจากกฎหมาย ข้อไหนเป็นแนวปฏิบัติ
- PDPA มาตรา 40 วรรคสาม บังคับให้ผู้ควบคุมข้อมูลจัดให้มีข้อตกลงกับผู้ประมวลผลทุกราย เพื่อคุมงานให้เป็นไปตามกฎหมาย
- ประกาศแจ้งเหตุละเมิด 2565 ข้อ 8 บังคับให้เขียนในสัญญาว่าผู้ประมวลผลต้องแจ้งเหตุภายใน 72 ชั่วโมงนับแต่ตนทราบเหตุ
- ประกาศมาตรการความปลอดภัย 2565 ข้อ 6 ให้กำหนดมาตรการของผู้ประมวลผลไม่ต่ำกว่ามาตรฐานขั้นต่ำในข้อ 4
- ผู้ประมวลผลที่ทำนอกคำสั่ง ถือเป็นผู้ควบคุมข้อมูลสำหรับงานนั้น (มาตรา 40 วรรคสอง)
- TDPG 4.0 ชี้ว่าเขียนโอนความรับผิดไปให้ผู้ประมวลผลแล้ว ผู้ควบคุมก็ยังหลุดจากความรับผิดตามกฎหมายไม่ได้ (แนวปฏิบัติ)
บริษัทขนาดกลางทั่วไปมีผู้ประมวลผลข้อมูลมากกว่าที่คิด ผู้ให้บริการเงินเดือน ระบบ CRM บนคลาวด์ เอเจนซีส่งอีเมลการตลาด บริษัทรักษาความปลอดภัยที่ดูกล้องวงจรปิด ทุกเจ้าใช้ข้อมูลส่วนบุคคลแทนเรา และส่วนใหญ่เซ็นสัญญากันด้วยใบเสนอราคากับสัญญาบริการที่ไม่มีข้อเรื่องข้อมูลเลย
TDPG 4.0 พูดถึงปัญหานี้ไว้ตรง ๆ ว่าสัญญาจ้างทั่วไปมักกำหนดแค่ขอบเขตงาน ค่าบริการ ความรับผิด และทรัพย์สินทางปัญญา แต่ไม่มีข้อเรื่องการคุ้มครองข้อมูลส่วนบุคคล บทความนี้รวบรวมว่าข้อตกลงกับผู้ประมวลผลต้องมีอะไร และบอกชัดว่าแต่ละข้อมาจากกฎหมาย ประกาศ หรือแค่แนวปฏิบัติ
กฎหมายบังคับให้ทำสัญญากับผู้ประมวลผลข้อมูลจริงไหม?
จริง และหน้าที่นี้อยู่กับผู้ควบคุมข้อมูล ไม่ใช่ผู้รับจ้าง พ.ร.บ.คุ้มครองข้อมูลฯ มาตรา 40 วรรคสาม ใช้คำว่า "ต้องจัดให้มี" ไม่ใช่ "ควร"
การดำเนินงานตามหน้าที่ของผู้ประมวลผลข้อมูลส่วนบุคคลตามที่ได้รับมอบหมายจากผู้ควบคุมข้อมูลส่วนบุคคลตามวรรคหนึ่ง ผู้ควบคุมข้อมูลส่วนบุคคลต้องจัดให้มีข้อตกลงระหว่างกัน เพื่อควบคุมการดำเนินงานตามหน้าที่ของผู้ประมวลผลข้อมูลส่วนบุคคลให้เป็นไปตามพระราชบัญญัตินี้
มาตรา 37 (2) เสริมอีกชั้นว่าเมื่อต้องให้ข้อมูลแก่บุคคลอื่น ผู้ควบคุมต้องดำเนินการเพื่อป้องกันไม่ให้ผู้นั้นใช้หรือเปิดเผยข้อมูลโดยมิชอบ ข้อตกลงเป็นเครื่องมือที่ชัดที่สุดในการทำหน้าที่ข้อนี้
ไม่ต้องรื้อสัญญาเดิม TDPG 4.0 ข้อ K5 แนะว่าทำข้อตกลงการประมวลผลข้อมูล (Data Processing Agreement หรือ DPA) แยกอีกฉบับ แล้วระบุให้เป็นส่วนหนึ่งของสัญญาบริการหลักได้ ผู้ให้บริการคลาวด์รายใหญ่ก็ใช้วิธีนี้ในรูปภาคผนวก
รู้ได้อย่างไรว่าผู้รับจ้างเป็นผู้ประมวลผล ไม่ใช่ผู้ควบคุม?
ดูจากสิ่งที่เขาทำจริง ไม่ใช่ชื่อที่เขียนในสัญญา TDPG 4.0 ข้อ B28 ย้ำว่าแม้สัญญาจะเรียกผู้ให้บริการว่าผู้ประมวลผล ก็ไม่ชี้ขาดสถานะ ตัวอย่างใน TDPG คือเอเจนซีการตลาดที่สัญญาเรียกว่าผู้ประมวลผล แต่เอาฐานข้อมูลลูกค้าไปใช้โปรโมตสินค้าของลูกค้ารายอื่นด้วย จึงกลายเป็นผู้ควบคุมสำหรับงานส่วนนั้น
PDPA เขียนผลนี้ไว้ในตัวบทเอง ผู้ประมวลผลมีหน้าที่ทำตามคำสั่งเท่านั้น ถ้าทำนอกคำสั่ง กฎหมายถือเป็นผู้ควบคุมข้อมูลสำหรับการกระทำนั้น และต้องรับหน้าที่ของผู้ควบคุมทั้งหมด
ผู้ประมวลผลข้อมูลส่วนบุคคลซึ่งไม่ปฏิบัติตาม (1) สำหรับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลใด ให้ถือว่าผู้ประมวลผลข้อมูลส่วนบุคคลเป็นผู้ควบคุมข้อมูลส่วนบุคคลสำหรับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลนั้น
ข้อไหนบ้างที่สัญญาขาดไม่ได้?
ตารางนี้รวม 10 ข้อ โดยแยกที่มาให้เห็นชัด ข้อที่มาจาก พ.ร.บ. หรือประกาศคณะกรรมการมีผลผูกพัน ส่วนข้อจาก TDPG 4.0 เป็นแนวปฏิบัติที่วงการใช้ ไม่ใช่กฎหมาย แต่ช่วยให้สัญญาตอบคำถามที่ตัวบทไม่ได้ลงรายละเอียด
| # | ข้อในสัญญา | ที่มา | สถานะ |
|---|---|---|---|
| 1 | ทำตามคำสั่งที่เป็นลายลักษณ์อักษรของผู้ควบคุมเท่านั้น | ม.40 (1) · TDPG ข้อ K5 | กฎหมาย + แนวปฏิบัติ (เรื่องลายลักษณ์อักษร) |
| 2 | ผู้ประมวลผลต้องดูว่าคำสั่งชอบด้วยกฎหมาย และผู้ควบคุมรับรองว่าคำสั่งไม่เกินวัตถุประสงค์ | ม.40 (1) · TDPG ข้อ K5 | กฎหมาย + แนวปฏิบัติ |
| 3 | จำกัดผู้เข้าถึงเฉพาะคนที่จำเป็น และผูกหน้าที่รักษาความลับ | TDPG ข้อ K5 · ประกาศมาตรการ ข้อ 4 (6) | แนวปฏิบัติ + ประกาศ |
| 4 | มาตรการความปลอดภัยไม่ต่ำกว่ามาตรฐานขั้นต่ำ | ม.40 (2) · ประกาศมาตรการ ข้อ 6 | กฎหมาย + ประกาศ |
| 5 | แจ้งเหตุละเมิดแก่ผู้ควบคุมภายใน 72 ชั่วโมงนับแต่ผู้ประมวลผลทราบเหตุ | ม.40 (2) · ประกาศแจ้งเหตุ ข้อ 8 | กฎหมาย + ประกาศ (ต้องเขียนในสัญญา) |
| 6 | ช่วยผู้ควบคุมตอบคำขอใช้สิทธิ และส่งต่อคำขอที่ได้รับ | TDPG ข้อ K5 | แนวปฏิบัติ |
| 7 | ลบหรือทำลายข้อมูลภายในกี่วันหลังสัญญาจบ และทำตามประกาศเรื่องการลบ 2567 เมื่อมีคำขอลบ | TDPG ข้อ K5 | แนวปฏิบัติ |
| 8 | ห้ามส่งหรือโอนข้อมูลไปต่างประเทศโดยไม่ได้รับความยินยอมเป็นหนังสือจากผู้ควบคุม | TDPG ข้อ K5 · ม.28 | แนวปฏิบัติ + เงื่อนไขตามกฎหมาย |
| 9 | ใช้ผู้ประมวลผลช่วงได้เมื่ออนุญาตล่วงหน้า และต้องผูกหน้าที่เดียวกันต่อไป | TDPG ข้อ B21 | แนวปฏิบัติ |
| 10 | ผู้ประมวลผลจัดทำบันทึกรายการกิจกรรมการประมวลผลของตนเอง | ม.40 (3) | กฎหมาย |
ข้อ 1–2 คำสั่งต้องชัดและตรวจได้
มาตรา 40 (1) พูดแค่ว่าต้องทำตามคำสั่ง แต่ไม่ได้บอกว่าคำสั่งต้องอยู่ในรูปใด TDPG 4.0 เติมให้ว่าคำสั่งควรเป็นลายลักษณ์อักษร เหตุผลก็คือ เมื่อเกิดปัญหา ทั้งสองฝ่ายต้องชี้ได้ว่าคำสั่งคืออะไร ถ้าคำสั่งอยู่ในแชตหรือคุยปากเปล่า ก็พิสูจน์ไม่ได้ว่าใครทำเกินคำสั่ง
ผู้ประมวลผลข้อมูลส่วนบุคคลจะต้องไม่ประมวลผลข้อมูลส่วนบุคคลนอกเหนือไปจากคำสั่งของผู้ควบคุมข้อมูล (ที่เป็นลายลักษณ์อักษร)
ข้อ 3–4 มาตรการความปลอดภัยต้องมีมาตรฐานรองรับ
เขียนแค่ว่า "ผู้รับจ้างจะรักษาความปลอดภัยของข้อมูลอย่างเหมาะสม" ไม่พอ ประกาศมาตรการรักษาความมั่นคงปลอดภัย 2565 ข้อ 6 ให้ผู้ควบคุมพิจารณากำหนดในข้อตกลงให้ผู้ประมวลผลมีมาตรการที่เหมาะสมและแจ้งเหตุละเมิด และมาตรการนั้นต้องเป็นไปตามมาตรฐานขั้นต่ำในข้อ 4
ในการจัดให้มีข้อตกลงระหว่างผู้ควบคุมข้อมูลส่วนบุคคลและผู้ประมวลผลข้อมูลส่วนบุคคล ให้ผู้ควบคุมข้อมูลส่วนบุคคลพิจารณากำหนดให้ผู้ประมวลผลข้อมูลส่วนบุคคลจัดให้มีมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสม
วิธีเขียนให้ตรวจได้คือแนบภาคผนวกมาตรการ ไล่ตามข้อ 4 ของประกาศ เช่น การควบคุมการเข้าถึงตามหลักให้สิทธิเท่าที่จำเป็น การทบทวนและถอนสิทธิผู้ใช้ บันทึกย้อนหลังการเข้าถึงและแก้ไขข้อมูล (audit trails) และการอบรมพนักงาน รายละเอียดแต่ละข้ออ่านได้ที่ เช็กลิสต์ความปลอดภัยฉบับเดียว ตอบทั้ง สคส. และ สกมช.
ข้อ 5 แจ้งเหตุละเมิด ข้อเดียวที่ประกาศสั่งให้เขียนในสัญญา
ประกาศหลักเกณฑ์การแจ้งเหตุละเมิด 2565 ข้อ 8 ใช้คำว่า "จะต้องระบุไว้ในข้อตกลงหรือในสัญญา" ข้อนี้จึงไม่ใช่ทางเลือก สัญญาที่ไม่มีข้อนี้ถือว่าผู้ควบคุมไม่ได้ทำตามประกาศ
ผู้ควบคุมข้อมูลส่วนบุคคลจะต้องระบุไว้ในข้อตกลงหรือในสัญญาที่เกี่ยวข้องให้ผู้ประมวลผลข้อมูลส่วนบุคคลมีหน้าที่แจ้งเหตุการละเมิดข้อมูลส่วนบุคคลแก่ผู้ควบคุมข้อมูลส่วนบุคคลโดยไม่ชักช้าภายในเจ็ดสิบสองชั่วโมงนับแต่ผู้ประมวลผลข้อมูลส่วนบุคคลทราบเหตุเท่าที่จะสามารถกระทำได้เช่นกัน
สังเกตว่า 72 ชั่วโมงของผู้ประมวลผลนับแต่ผู้ประมวลผลทราบเหตุ ส่วน 72 ชั่วโมงที่ผู้ควบคุมต้องแจ้ง สคส. ตามมาตรา 37 (4) นับแต่ผู้ควบคุมทราบเหตุ ถ้าผู้ประมวลผลใช้เวลาเต็ม 72 ชั่วโมงกว่าจะบอก ผู้ควบคุมก็เหลือเวลาตรวจสอบน้อยมาก TDPG 4.0 ยอมให้สัญญากำหนดสั้นกว่า 72 ชั่วโมงได้ แต่ไม่เกินนั้น
- ผู้ประมวลผลต้องแจ้งผู้ควบคุมทุกเหตุ ไม่ต้องประเมินระดับความเสี่ยงเหมือนผู้ควบคุม (TDPG 4.0 หมวด J)
- ผู้ประมวลผลที่ให้บริการหลายบริษัท ต้องแจ้งรายละเอียดแยกให้ผู้ควบคุมแต่ละราย (TDPG 4.0 หมวด J)
- สัญญาจะให้ผู้ประมวลผลแจ้ง สคส. แทนก็ได้ ถ้าได้รับอนุญาตถูกต้อง แต่ความรับผิดตามกฎหมายยังเป็นของผู้ควบคุม (TDPG 4.0 หมวด J)
- ระบุในสัญญาว่าต้องแจ้งใคร ทางช่องทางใด และต้องมีข้อมูลอะไรบ้าง เช่น ช่วงเวลาที่เกิดเหตุ ระบบที่เกี่ยว และจำนวนรายการที่กระทบ (แนวปฏิบัติของทีม AIPDPA)
ผู้ประมวลผลข้อมูลสามารถแจ้งเหตุละเมิดข้อมูลแทนผู้ควบคุมข้อมูลได้ หากผู้ควบคุมข้อมูลได้ให้การอนุญาตอย่างถูกต้อง และการดำเนินการดังกล่าวเป็นส่วนหนึ่งของข้อตกลงในสัญญาที่ทำไว้ระหว่างผู้ควบคุมและผู้ประมวลผลข้อมูล
ข้อ 6–10 เรื่องที่มักนึกได้ตอนเลิกจ้าง
ตอนเซ็นสัญญาไม่ค่อยมีใครสนใจข้อเหล่านี้ แต่มักเป็นปัญหาตอนเลิกจ้าง ลูกค้าขอลบข้อมูลแล้วผู้รับจ้างไม่ลบ เปลี่ยนผู้ให้บริการแล้วไม่รู้ว่าข้อมูลเก่าอยู่ที่ไหน หรือเพิ่งรู้ว่าผู้รับจ้างส่งงานต่อให้บริษัทในต่างประเทศอีกทอดหนึ่ง
TDPG 4.0 ข้อ K5 แนะให้เขียนจำนวนวันที่ต้องลบหลังสัญญาจบไว้ชัด ให้ผู้ประมวลผลทำนโยบายการลบแจ้งผู้ควบคุม และเมื่อมีคำขอลบจากเจ้าของข้อมูล ให้ทำตามประกาศคณะกรรมการเรื่องหลักเกณฑ์การลบหรือทำลาย พ.ศ. 2567 ส่วนการส่งข้อมูลไปต่างประเทศ ควรห้ามไว้ก่อน เว้นแต่ผู้ควบคุมยินยอมเป็นหนังสือ เพราะการส่งออกนอกประเทศมีเงื่อนไขตามมาตรา 28 ของตัวเอง
B21 ผู้ประมวลผลอาจต้องการมอบหมายกิจกรรมการประมวลผลบางส่วนหรือทั้งหมดให้แก่ผู้ประมวลผลอื่น (sub-processor) การมอบหมายดังกล่าวต้องได้รับอนุญาตล่วงหน้าจากผู้ควบคุม ซึ่งอาจเป็นการอนุญาตเฉพาะเจาะจงหรือการอนุญาตทั่วไปก็ได้
ข้อสุดท้ายเป็นหน้าที่ตามกฎหมายของผู้ประมวลผลเองตามมาตรา 40 (3) คือต้องจัดทำและเก็บบันทึกรายการกิจกรรมการประมวลผลตามหลักเกณฑ์ที่คณะกรรมการประกาศ การเขียนซ้ำไว้ในสัญญาและขอดูบันทึกนั้นได้ ช่วยให้ผู้ควบคุมรู้ว่าข้อมูลของตนไปอยู่ในระบบใดบ้าง
เขียนให้ผู้ประมวลผลรับผิดแทนทั้งหมด ได้ผลแค่ไหน?
ได้ผลระหว่างคู่สัญญา แต่ไม่ได้ผลต่อเจ้าของข้อมูล TDPG 4.0 ข้อ K6 ยกตัวอย่างว่าถ้าเจ้าของข้อมูลขอลบ แล้วผู้ประมวลผลละเลยไม่ลบ ผู้ควบคุมซึ่งมีหน้าที่ลบตามกฎหมายก็ยังต้องรับผิดต่อเจ้าของข้อมูล แล้วค่อยไปไล่เบี้ยผู้ประมวลผลตามสัญญา
ผู้ควบคุมข้อมูลส่วนบุคคลก็ไม่สามารถอ้างข้อกำหนดในข้อตกลงดังกล่าวเพื่อให้ตนหลุดพ้นจากความรับผิดตามกฎหมาย
ก่อนเซ็น ตรวจอะไรบ้าง?
- ทำรายชื่อผู้รับจ้างทุกรายที่ใช้ข้อมูลส่วนบุคคลแทนบริษัท ดึงจาก RoPA ช่องผู้รับข้อมูล
- แยกว่ารายใดเป็นผู้ประมวลผล รายใดเป็นผู้ควบคุมอีกคน ตามสิ่งที่เขาทำจริง (TDPG ข้อ B28)
- ขอ DPA ของผู้ให้บริการรายใหญ่มาอ่าน มักมีภาคผนวกอยู่แล้ว ตรวจว่ามีข้อแจ้งเหตุ 72 ชั่วโมงตามประกาศข้อ 8 หรือไม่ เพราะ DPA ที่เขียนตามกฎหมายต่างประเทศอาจใช้กรอบเวลาอื่น
- รายที่ไม่มี DPA ใช้ข้อตกลงของบริษัทเอง แนบเป็นส่วนหนึ่งของสัญญาหลัก
- แนบภาคผนวกมาตรการความปลอดภัยที่ไล่ตามประกาศ 2565 ข้อ 4
- ใส่ชื่อผู้ติดต่อเหตุละเมิดของทั้งสองฝ่าย และทดสอบช่องทางนั้นจริงปีละครั้ง (แนวปฏิบัติ)
- จดผู้ประมวลผลแต่ละรายไว้ใน RoPA เพื่อให้ตอบได้ทันทีเมื่อเกิดเหตุว่าข้อมูลอยู่ที่ใคร
ถ้าเหตุเกิดขึ้นแล้ว ลำดับงานใน 72 ชั่วโมงแรกอยู่ที่ ข้อมูลรั่ว ต้องทำอะไรบ้างใน 72 ชั่วโมงแรก และถ้าผู้รับจ้างอยู่ต่างประเทศ อ่านต่อที่ ข้อมูลออกนอกไทยเมื่อไร ต้องผ่านมาตรา 28 ทีละขั้น
คำถามที่พบบ่อย
จ้างบริษัทภายนอกประมวลผลข้อมูล ต้องทำสัญญาแยกไหม
PDPA มาตรา 40 วรรคสาม บังคับให้ผู้ควบคุมจัดให้มีข้อตกลงกับผู้ประมวลผล ไม่ได้บังคับว่าต้องแยกฉบับ TDPG 4.0 แนะว่าทำเป็นข้อตกลงแยกแล้วระบุให้เป็นส่วนหนึ่งของสัญญาหลักได้ โดยไม่ต้องยกเลิกสัญญาเดิม
สัญญากับผู้ประมวลผลต้องกำหนดเวลาแจ้งเหตุละเมิดเท่าไร
ประกาศหลักเกณฑ์การแจ้งเหตุละเมิด 2565 ข้อ 8 ให้ระบุในสัญญาว่าผู้ประมวลผลต้องแจ้งผู้ควบคุมโดยไม่ชักช้าภายใน 72 ชั่วโมงนับแต่ผู้ประมวลผลทราบเหตุ TDPG 4.0 ยอมให้กำหนดสั้นกว่านั้นได้
ผู้ให้บริการคลาวด์ต่างประเทศมี DPA ของตัวเองแล้ว ใช้ได้เลยไหม
มักใช้เป็นฐานได้ แต่ต้องตรวจว่ามีข้อที่กฎหมายไทยบังคับครบ โดยเฉพาะการแจ้งเหตุภายใน 72 ชั่วโมงตามประกาศข้อ 8 และเงื่อนไขการส่งข้อมูลออกนอกประเทศตามมาตรา 28
ผู้ประมวลผลทำเกินคำสั่ง ใครรับผิด
มาตรา 40 วรรคสองให้ถือว่าผู้ประมวลผลเป็นผู้ควบคุมข้อมูลสำหรับการกระทำนั้น แต่ผู้ควบคุมเดิมยังต้องดูหน้าที่ของตัวเองด้วย เช่น มาตรา 37 (2) ที่ให้ป้องกันไม่ให้ผู้รับข้อมูลใช้โดยมิชอบ
เขียนในสัญญาให้ผู้ประมวลผลรับผิดทั้งหมดแทนได้ไหม
เขียนได้ในระหว่างคู่สัญญา แต่ TDPG 4.0 ข้อ K6 ชี้ว่าผู้ควบคุมอ้างข้อนี้เพื่อหลุดพ้นความรับผิดตามกฎหมายไม่ได้ ต้องรับผิดต่อเจ้าของข้อมูลก่อน แล้วไล่เบี้ยผู้ประมวลผลตามสัญญา
ตัวบทและแหล่งอ้างอิง
- พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 — มาตรา 37 (2) · 40
- ประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง มาตรการรักษาความมั่นคงปลอดภัยของผู้ควบคุมข้อมูลส่วนบุคคล พ.ศ. 2565 — ข้อ 4 · ข้อ 6
- ประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง หลักเกณฑ์และวิธีการในการแจ้งเหตุการละเมิดข้อมูลส่วนบุคคล พ.ศ. 2565 — ข้อ 8
- TDPG4.0 แนวปฏิบัติการคุ้มครองข้อมูลส่วนบุคคล (แนวปฏิบัติ ไม่ใช่กฎหมาย) — TDPG4.0-B ข้อ B21 · TDPG4.0-J · TDPG4.0-K ข้อ K5 K6
ตัวบทที่ยกมาในกรอบ "ตัวบท" คัดคำต่อคำจากคลังกฎหมายของ AIPDPA ซึ่งถอดจากราชกิจจานุเบกษาและเอกสารของหน่วยงานรัฐ แล้วระบบตรวจทุกครั้งที่แก้บทความว่าตรงกับคลังทุกตัวอักษร · บทความนี้เป็นความรู้ทั่วไป ไม่ใช่คำปรึกษากฎหมายสำหรับกรณีใดกรณีหนึ่ง
ลงมือในระบบได้ที่
ใครรับผิดชอบเนื้อหานี้?
เรียบเรียงโดยทีมกฎหมาย AIPDPA · ผู้รับผิดชอบเนื้อหา ภูวรา ครอบตะคุ ทนายความ · เนติบัณฑิตไทย · ที่ปรึกษากฎหมายเทคโนโลยีและทรัพย์สินทางปัญญา
ใบอนุญาตทนายความ 477/2558 · เนติบัณฑิตไทย · นิติศาสตรมหาบัณฑิต กฎหมายทรัพย์สินทางปัญญาและสารสนเทศ (เหรียญทอง)