การส่งข้อมูลออกนอกไทยตามมาตรา 28 คือการโอนข้อมูลไปต่างประเทศที่ต้องผ่านเงื่อนไขทีละขั้น โดยเก็บบนคลาวด์ต่างประเทศไม่นับเป็นการโอนถ้าไม่มีบุคคลภายนอกเข้าถึงได้ เหมาะกับ DPO ฝ่ายไอทีและฝ่ายกฎหมาย ได้ลำดับตรวจปลายทาง BCR และข้อยกเว้น
- เก็บข้อมูลบนคลาวด์ต่างประเทศโดยไม่มีคนนอกเข้าถึง ไม่นับเป็นการส่งหรือโอน (ประกาศ ม.28 ข้อ 3)
- ถ้าผู้ให้บริการหรือคนนอกในต่างประเทศเข้าถึงข้อมูลได้ ต้องหาฐานตามมาตรา 28 หรือ 29 ก่อนส่ง
- ความเพียงพอของปลายทางดูสองปัจจัย คือกฎหมายคุ้มครองข้อมูลที่สอดคล้องกับไทย และหน่วยงานที่บังคับใช้ได้จริง (ข้อ 5)
- ข้อยกเว้นมาตรา 28 (1) “ปฏิบัติตามกฎหมาย” หมายถึงกฎหมายไทยเท่านั้น ตามความเห็นในข้อหารือของธนาคาร Z
- ใช้ความยินยอมตามมาตรา 28 (2) ต้องแจ้งเจ้าของข้อมูลว่ามาตรฐานของปลายทางไม่เพียงพอ
ทุกวันนี้แทบไม่มีบริษัทไหนที่ข้อมูลอยู่ในประเทศไทยล้วน ๆ ระบบ CRM อีเมล และแชตบอตส่วนใหญ่เป็นบริการจากต่างประเทศ บางบริษัทจ้างทีมซัพพอร์ตนอกประเทศ บริษัทลูกของกลุ่มต่างชาติก็ส่งรายงานให้สำนักงานใหญ่ทุกเดือน
ก่อนจะถามว่าปลายทางมีกฎหมายดีพอไหม ต้องตอบให้ได้ก่อนว่ากรณีนี้นับเป็นการส่งหรือโอนข้อมูลไปต่างประเทศหรือเปล่า ถ้าตอบขั้นนี้ผิด ขั้นต่อจากนั้นผิดหมด บทความนี้ไล่ลำดับตามที่ พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ประกาศสองฉบับปี 2566 และแนวปฏิบัติ TDPG 4.0 วางไว้
ใช้ SaaS หรือคลาวด์ต่างประเทศ ถือว่าส่งข้อมูลไปต่างประเทศแล้วหรือยัง?
ยังไม่แน่ ขึ้นกับว่ามีบุคคลภายนอกเข้าถึงข้อมูลได้หรือไม่ ข้อ 3 ของประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลเรื่องการโอนตามมาตรา 28 นิยามคำว่า “ส่งหรือโอนข้อมูลส่วนบุคคล” โดยตัดสองกรณีออก คือการเป็นเพียงทางผ่าน และการเก็บพักข้อมูลที่ไม่มีคนนอกเข้าถึง
แต่มิให้หมายความรวมถึงการส่งและรับข้อมูลส่วนบุคคลในลักษณะที่เป็นเพียงสื่อกลาง (intermediary) ในการส่งผ่านข้อมูล (data transit) ระหว่างระบบคอมพิวเตอร์หรือระบบเครือข่ายหรือการเก็บพักข้อมูล (data storage) ในรูปแบบชั่วคราวหรือถาวรที่ไม่มีบุคคลภายนอกเข้าถึงข้อมูลส่วนบุคคลดังกล่าว
นิยามเดียวกันยกตัวอย่างคลาวด์ไว้ตรง ๆ และวางเงื่อนไขสำคัญไว้ท้ายประโยค การที่คนนอกเข้าถึงไม่ได้ต้องมีเหตุรองรับ จะอ้างลอย ๆ ว่าผู้ให้บริการไม่เปิดดูข้อมูลของเราไม่พอ
หรือการส่งข้อมูลผ่านระบบของผู้ให้บริการระบบคลาวด์ (cloud computing service provider) ที่ไม่มีบุคคลใดนอกจากผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคลที่เป็นผู้ส่งข้อมูลส่วนบุคคลนั้น หรือบุคลากร พนักงาน หรือลูกจ้าง เข้าถึงข้อมูลส่วนบุคคล เนื่องจากมีมาตรการทางเทคนิคหรือเงื่อนไขทางกฎหมายรองรับ
มาตรการทางเทคนิคที่เห็นภาพชัด เช่น การเข้ารหัสที่บริษัทถือกุญแจเอง เงื่อนไขทางกฎหมาย เช่น ข้อสัญญาที่ห้ามผู้ให้บริการเข้าถึง ถ้าสัญญา SaaS เขียนว่าทีมซัพพอร์ตของผู้ให้บริการเข้าดูข้อมูลได้เพื่อแก้ปัญหา ข้อยกเว้นนี้ใช้ไม่ได้
แนวปฏิบัติ TDPG 4.0 ยกตัวอย่างให้เห็นความต่าง (TDPG เป็นแนวปฏิบัติของภาคเอกชน ไม่ใช่กฎหมาย) ข้อมูลเก็บบนเซิร์ฟเวอร์ในอินเดียที่ไม่มีใครภายนอกเข้าถึงได้ ไม่นับเป็นการโอน แต่ถ้าตั้งระบบให้บริษัทวิเคราะห์ข้อมูลในสิงคโปร์เข้าใช้ข้อมูลเดียวกันได้ ผลจะเปลี่ยน
กรณีนี้จะถือว่าเป็นการส่งหรือโอนข้อมูลส่วนบุคคลไปต่างประเทศ เนื่องจากผู้รับจ้างวิเคราะห์ข้อมูลที่อยู่ที่ประเทศสิงคโปร์ซึ่งเป็นบุคคลภายนอกนั้นสามารถเข้าถึงและใช้ข้อมูลส่วนบุคคลของผู้ควบคุมข้อมูลส่วนบุคคลที่เก็บในประเทศไทยซึ่งถูกเก็บรักษาเอาไว้ในเครื่องคอมพิวเตอร์แม่ข่ายที่อยู่ประเทศอินเดียได้
อีกกรณีที่คนถามบ่อย คือพนักงานไปทำงานต่างประเทศแล้วเปิดอีเมลงานที่มีข้อมูลลูกค้า TDPG ข้อ F7 มองว่าไม่เป็นการเข้าถึงข้อมูลในต่างประเทศ ตราบที่พนักงานทำงานให้บริษัทและทำตามมาตรฐานคุ้มครองข้อมูลของบริษัท
กรณีนี้ไม่ถือว่าเป็นการเข้าถึงข้อมูลส่วนบุคคลในต่างประเทศ ตราบเท่าที่พนักงานคนนั้นได้ปฏิบัติงานของผู้ควบคุมข้อมูลและดำเนินการตามมาตรฐานและวิธีปฏิบัติเพื่อการคุ้มครองข้อมูลส่วนบุคคลของผู้ควบคุมข้อมูล
ถ้าเป็นการโอนจริง มาตรา 28 ต้องการอะไร?
ต้องการให้ประเทศปลายทางหรือองค์การระหว่างประเทศที่รับข้อมูลมีมาตรฐานคุ้มครองข้อมูลส่วนบุคคลที่เพียงพอ ตามหลักเกณฑ์ที่คณะกรรมการประกาศ เว้นแต่จะเข้าข้อยกเว้นหกข้อในวรรคเดียวกัน
ในกรณีที่ผู้ควบคุมข้อมูลส่วนบุคคลส่งหรือโอนข้อมูลส่วนบุคคลไปยังต่างประเทศ ประเทศปลายทางหรือองค์การระหว่างประเทศที่รับข้อมูลส่วนบุคคลต้องมีมาตรฐานการคุ้มครองข้อมูลส่วนบุคคลที่เพียงพอ
หลักเกณฑ์ที่ว่าอยู่ในประกาศ ม.28 พ.ศ. 2566 ซึ่งมีผลตั้งแต่ 25 มีนาคม 2567 ข้อ 5 ให้ดูข้อเท็จจริงสองเรื่องประกอบกัน
- กฎหมายหรือกลไกของปลายทางสอดคล้องกับกฎหมายไทย โดยเฉพาะหน้าที่จัดมาตรการรักษาความปลอดภัย มาตรการคุ้มครองที่บังคับตามสิทธิเจ้าของข้อมูลได้ และการเยียวยาที่มีประสิทธิภาพ (ข้อ 5 (1))
- มีหน่วยงานที่มีอำนาจบังคับใช้กฎหมายคุ้มครองข้อมูล ในประเทศหรือองค์การปลายทาง (ข้อ 5 (2))
ผู้ตัดสินขั้นสุดท้ายเมื่อมีปัญหาเรื่องความเพียงพอคือคณะกรรมการ มาตรา 28 วรรคสามให้เสนอเรื่องให้คณะกรรมการวินิจฉัย และข้อ 6 ของประกาศเปิดทางให้ทำได้ทั้งรายกรณีและแบบรายชื่อประเทศ
โดยคณะกรรมการอาจพิจารณาวินิจฉัยเป็นรายกรณี หรือพิจารณากำหนดรายชื่อประเทศปลายทางหรือองค์การระหว่างประเทศที่รับข้อมูลส่วนบุคคล ซึ่งถือว่ามีมาตรฐานการคุ้มครองข้อมูลส่วนบุคคลที่เพียงพอก็ได้
คำว่า “อาจ” แปลว่าเป็นอำนาจที่คณะกรรมการจะใช้หรือไม่ใช้ก็ได้ ก่อนจะอ้างว่าประเทศใดผ่านเกณฑ์แล้ว ให้ตรวจที่เว็บไซต์ สคส. ว่ามีคำวินิจฉัยหรือรายชื่อประกาศออกมาจริง อย่าอ้างจากรายชื่อของประเทศอื่น เช่น รายชื่อ adequacy ของสหภาพยุโรป
สคส. เคยตอบข้อหารือเรื่องนี้ว่าอย่างไร?
หนังสือรวมสำเนาสรุปการตอบข้อหารือของ สคส. มีกรณีธนาคาร Z ที่ต้องส่งข้อมูลกรรมการธนาคารให้ ACRA หน่วยงานกำกับบริษัทของสิงคโปร์ และถามว่าข้อยกเว้น “ปฏิบัติตามกฎหมาย” ในมาตรา 28 (1) รวมกฎหมายต่างประเทศด้วยหรือไม่ คณะอนุกรรมการเฉพาะกิจตอบไว้ชัด
โดยจะต้องเป็นกฎหมายที่มีสภาพบังคับต่อผู้ควบคุมข้อมูลส่วนบุคคล ดังนั้น กรณีที่จะสามารถใช้ข้อยกเว้นตามมาตรา ๒๘ (๑) ได้ จึงต้องเป็นกรณีการปฏิบัติตามกฎหมายของประเทศไทย
ในประเด็นที่สอง ความเห็นระบุว่าขณะตอบยังไม่มีหลักเกณฑ์และคำวินิจฉัยเรื่องประเทศที่มีมาตรฐานเพียงพอ ธนาคารจึงต้องดูข้อยกเว้นอื่น เช่น มาตรา 28 (3) การปฏิบัติตามสัญญาที่กรรมการเป็นคู่สัญญา ถ้าไม่เข้าข้อใดเลยจึงใช้ความยินยอมตามมาตรา 28 (2) ทุกวันนี้ประกาศหลักเกณฑ์ตามมาตรา 28 ออกมาแล้ว แต่ลำดับความคิดแบบนี้ยังใช้ได้
ไล่ลำดับตัดสินใจอย่างไร จากมาตรา 28 ไปมาตรา 29 และข้อยกเว้น?
TDPG 4.0 หมวด F เรียงลำดับไว้ว่า ดูความเพียงพอของปลายทางก่อน ถ้าไม่มี ให้ดู BCR หรือมาตรการคุ้มครองที่เหมาะสม ข้อยกเว้นเป็นทางสุดท้าย ตารางข้างล่างจัดลำดับนี้เป็นคำถามทีละข้อ ให้หยุดที่ข้อแรกที่ตอบว่าใช่
| ขั้น | คำถาม | ถ้าใช่ | ฐาน |
|---|---|---|---|
| 0 | มีบุคคลภายนอกในต่างประเทศเข้าถึงข้อมูลได้หรือไม่ | ไปขั้น 1 ถ้าไม่มีและพิสูจน์ได้ด้วยมาตรการทางเทคนิคหรือสัญญา ไม่นับเป็นการส่งหรือโอน | ประกาศ ม.28 ข้อ 3 |
| 1 | ปลายทางมีมาตรฐานเพียงพอตามหลักเกณฑ์ หรือมีคำวินิจฉัยของคณะกรรมการแล้วหรือไม่ | ส่งได้ บันทึกเหตุผลและหลักฐานไว้ ถ้าสงสัยให้เสนอคณะกรรมการวินิจฉัย | มาตรา 28 · ประกาศ ม.28 ข้อ 5–6 |
| 2 | ผู้รับอยู่ในเครือเดียวกัน และมี BCR ที่ สคส. รับรองแล้วหรือไม่ | ส่งได้ตามขอบเขตของ BCR | มาตรา 29 วรรคหนึ่ง |
| 3 | จัดมาตรการคุ้มครองที่เหมาะสมได้หรือไม่ เช่น ข้อสัญญาตามประกาศ ม.29 ข้อ 10 | ส่งได้เมื่อลงนามข้อสัญญาครบ | มาตรา 29 วรรคสาม · ประกาศ ม.29 ข้อ 8–11 |
| 4 | เข้าข้อยกเว้นข้อใดข้อหนึ่งในมาตรา 28 (1)–(6) หรือไม่ | ส่งได้เฉพาะเท่าที่ข้อยกเว้นนั้นรองรับ | มาตรา 28 (1)–(6) · ประกาศ ม.28 ข้อ 4 |
| 5 | ไม่เข้าข้อใดเลย | ยังไม่ควรส่ง ปรับวิธีทำงาน เช่น ตัดข้อมูลที่ระบุตัวบุคคลออก หรือเปลี่ยนผู้ให้บริการ | — |
สำหรับบริษัทเอกชนส่วนใหญ่ คำตอบจริงมักจบที่ขั้น 3 คือทำข้อสัญญาตามประกาศ ม.29 ซึ่งใช้ข้อสัญญาต้นแบบอย่าง ASEAN MCC หรือ EU SCC ได้ รายละเอียดและการเทียบกับ BCR อยู่ใน ส่งข้อมูลให้บริษัทในเครือต่างประเทศ
ข้อยกเว้นในมาตรา 28 (1)–(6) ใช้ได้เมื่อไร?
ใช้ได้เมื่อการส่งข้อมูลครั้งนั้นตรงกับข้อยกเว้นข้อใดข้อหนึ่งจริง ข้อยกเว้นไม่ได้ออกแบบมาเป็นฐานของการส่งข้อมูลประจำทุกวัน TDPG อธิบายข้อยกเว้นเรื่องการปฏิบัติตามกฎหมายไว้ดังนี้
ซึ่งอาจจำเป็นต้องดำเนินการหลายครั้ง แต่ไม่ใช่กรณีดำเนินการเป็นประจำที่โดยหลักจะต้องจัดให้มีมาตรการที่เหมาะสม (Appropriate Safeguards)
ข้อยกเว้นที่คนชอบหยิบมาใช้ที่สุดคือความยินยอม แต่มาตรา 28 (2) ไม่ได้ต้องการแค่ความยินยอมธรรมดา ต้องแจ้งให้เจ้าของข้อมูลรู้ก่อนว่าปลายทางมีมาตรฐานคุ้มครองไม่เพียงพอ
ได้รับความยินยอมจากเจ้าของข้อมูลส่วนบุคคลโดยได้แจ้งให้เจ้าของข้อมูลส่วนบุคคลทราบถึงมาตรฐานการคุ้มครองข้อมูลส่วนบุคคลที่ไม่เพียงพอของประเทศปลายทางหรือองค์การระหว่างประเทศที่รับข้อมูลส่วนบุคคลแล้ว
- (1) ปฏิบัติตามกฎหมาย ต้องเป็นกฎหมายไทยที่บังคับผู้ควบคุมข้อมูล กฎหมายของประเทศปลายทางใช้ไม่ได้ (ข้อหารือธนาคาร Z)
- (2) ความยินยอม ต้องแจ้งเรื่องมาตรฐานที่ไม่เพียงพอ TDPG ข้อ F33 แนะนำให้แจ้งผู้รับ ประเทศปลายทาง เหตุผล ประเภทข้อมูล สิทธิถอนความยินยอม และความเสี่ยง
- (3) จำเป็นตามสัญญาที่เจ้าของข้อมูลเป็นคู่สัญญา เช่น จองโรงแรมต่างประเทศให้ลูกค้าที่ซื้อแพ็กเกจทัวร์
- (4) ทำตามสัญญากับบุคคลอื่นเพื่อประโยชน์ของเจ้าของข้อมูล เจ้าของข้อมูลไม่ได้เป็นคู่สัญญาเอง แต่ได้ประโยชน์จากสัญญานั้น
- (5) ป้องกันอันตรายต่อชีวิต ร่างกาย หรือสุขภาพ เมื่อเจ้าของข้อมูลให้ความยินยอมในขณะนั้นไม่ได้ TDPG ข้อ F36 ว่าโดยทั่วไปต้องเป็นเรื่องความเป็นความตาย
- (6) ภารกิจเพื่อประโยชน์สาธารณะที่สำคัญ TDPG ข้อ F37 ว่าต้องเป็นประโยชน์สาธารณะที่กฎหมายไทยรองรับ
สถานการณ์ที่พบบ่อย เข้าข่ายข้อไหน?
สมมติฐานในแต่ละกรณีเขียนไว้ในหัวข้อ ถ้าข้อเท็จจริงของคุณต่างไป ผลอาจเปลี่ยน ให้ย้อนกลับไปไล่ตารางลำดับข้างบนใหม่
มีบุคคลภายนอกในต่างประเทศเข้าถึงได้ ใช้ข้อสัญญาตามประกาศ ม.29 ข้อ 10 ควบคู่ข้อตกลงผู้ประมวลผลตามมาตรา 40
เข้าข้อ 3 ของประกาศ ม.28 ถ้าพิสูจน์ได้ว่าคนนอกเข้าถึงไม่ได้เพราะมาตรการทางเทคนิค ควรเก็บหลักฐานการจัดการกุญแจไว้
ผู้รับเป็นคนละนิติบุคคล ใช้ BCR หรือข้อสัญญาตามมาตรา 29 หรือส่งเป็นยอดรวมที่ระบุตัวลูกค้าไม่ได้
ผู้รับจ้างเข้าถึงข้อมูลลูกค้าโดยตรง ต้องมีฐานตามมาตรา 29 และข้อตกลงผู้ประมวลผล รวมถึงเรื่องแจ้งเหตุภายใน 72 ชั่วโมงถ้าร่างข้อสัญญาเอง
TDPG ข้อ F7 มองว่าเป็นทางผ่าน ตราบที่พนักงานทำงานให้บริษัทและทำตามมาตรฐานคุ้มครองข้อมูลของบริษัท
ข้อหารือธนาคาร Z ว่ามาตรา 28 (1) หมายถึงกฎหมายไทย ต้องดูข้อยกเว้นอื่น เช่น (3) หรือขอความยินยอมตาม (2)
ขึ้นกับว่าผู้ให้บริการ AI เข้าถึงและใช้ข้อมูลได้หรือไม่ ดูบทความเรื่อง ChatGPT ในที่ทำงานประกอบ
กรณีสุดท้ายมีกฎหมายมากกว่า PDPA เกี่ยวข้อง อ่านต่อได้ที่ ChatGPT ในที่ทำงาน: กฎหมายสี่ฉบับ ส่วนเรื่องมาตรฐานความปลอดภัยของคลาวด์สำหรับหน่วยงานรัฐและ CII อยู่ใน มาตรฐานคลาวด์ สกมช. 2567
ควรเริ่มจากตรงไหน?
เริ่มจากรายการ ทำบัญชีว่ามีระบบหรือคู่ค้าใดบ้างที่อยู่นอกประเทศหรือมีคนนอกประเทศเข้าถึงได้ แล้วตอบขั้น 0 ของตารางให้ครบทุกรายการก่อน ขั้นนี้มักทำให้รายการที่ต้องจัดการจริงสั้นลงมาก
ทะเบียนกิจกรรมการประมวลผลใน AIPDPA บันทึกประเทศปลายทางและฐานที่ใช้ส่งข้อมูลออกไว้ในแต่ละกิจกรรม และพิมพ์เป็นรายงานตามมาตรา 39 ได้ ดูภาพรวมและแบบฟอร์มที่เกี่ยวข้องได้ที่ คู่มือการโอนข้อมูลไปต่างประเทศ
คำถามที่พบบ่อย
ใช้ Google Workspace หรือ Microsoft 365 ที่เซิร์ฟเวอร์อยู่ต่างประเทศ ผิดมาตรา 28 หรือไม่?
ไม่ได้ผิดโดยอัตโนมัติ ต้องดูว่าผู้ให้บริการหรือคนนอกเข้าถึงข้อมูลได้หรือไม่ ถ้าเข้าถึงได้ จะเป็นการส่งหรือโอนที่ต้องมีฐาน ซึ่งส่วนใหญ่คือข้อสัญญาตามประกาศ ม.29 ถ้าเข้าถึงไม่ได้เพราะมีมาตรการทางเทคนิคหรือสัญญารองรับ ไม่นับเป็นการส่งหรือโอนตามประกาศ ม.28 ข้อ 3
ประเทศไทยมีรายชื่อประเทศที่มีมาตรฐานคุ้มครองข้อมูลเพียงพอแล้วหรือยัง?
ประกาศ ม.28 ข้อ 6 ให้คณะกรรมการ “อาจ” กำหนดรายชื่อหรือวินิจฉัยเป็นรายกรณี ก่อนอ้างว่าประเทศใดผ่านเกณฑ์ ควรตรวจที่เว็บไซต์ สคส. ว่ามีคำวินิจฉัยออกมาแล้วจริง
ขอความยินยอมลูกค้าก่อนส่งข้อมูลไปต่างประเทศ พอหรือไม่?
ใช้ได้ตามมาตรา 28 (2) แต่ต้องแจ้งให้เจ้าของข้อมูลทราบว่ามาตรฐานคุ้มครองของปลายทางไม่เพียงพอ และเจ้าของข้อมูลถอนความยินยอมได้ จึงไม่เหมาะเป็นฐานของการส่งข้อมูลประจำ
ต้องส่งข้อมูลตามกฎหมายต่างประเทศ ใช้ข้อยกเว้นการปฏิบัติตามกฎหมายได้หรือไม่?
ไม่ได้ ตามความเห็นในข้อหารือของธนาคาร Z ข้อยกเว้นมาตรา 28 (1) ต้องเป็นกฎหมายของประเทศไทยที่บังคับผู้ควบคุมข้อมูล ต้องหาข้อยกเว้นอื่นหรือใช้มาตรา 29
ส่งข้อมูลให้บริษัทแม่ต่างประเทศ ต้องใช้ฐานอะไร?
บริษัทแม่เป็นคนละนิติบุคคล จึงเป็นการโอนไปต่างประเทศ ใช้ BCR ที่ สคส. รับรองตามมาตรา 29 วรรคหนึ่ง หรือข้อสัญญาตามมาตรา 29 วรรคสามได้ รายละเอียดอยู่ในบทความเรื่อง BCR
ตัวบทและแหล่งอ้างอิง
- พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 — มาตรา 28 · มาตรา 29
- ประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง หลักเกณฑ์การให้ความคุ้มครองข้อมูลส่วนบุคคลที่ส่งหรือโอนไปยังต่างประเทศ ตามมาตรา 28 แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 พ.ศ. 2566 — ข้อ 3 · ข้อ 4 · ข้อ 5 · ข้อ 6
- ประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง หลักเกณฑ์การให้ความคุ้มครองข้อมูลส่วนบุคคลที่ส่งหรือโอนไปยังต่างประเทศ ตามมาตรา 29 แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 พ.ศ. 2566 — ข้อ 8 · ข้อ 10
- TDPG 4.0 แนวปฏิบัติการคุ้มครองข้อมูลส่วนบุคคล (แนวปฏิบัติ ไม่ใช่กฎหมาย) — TDPG4.0-F (F7 · F13 · F32)
- สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล: รวมคำสั่งทางปกครองของคณะกรรมการผู้เชี่ยวชาญ และสำเนาสรุปการตอบข้อหารือ (แนวทาง ไม่ใช่กฎหมาย) — ข้อหารือธนาคาร Z (ACRA สิงคโปร์)
ตัวบทที่ยกมาในกรอบ "ตัวบท" คัดคำต่อคำจากคลังกฎหมายของ AIPDPA ซึ่งถอดจากราชกิจจานุเบกษาและเอกสารของหน่วยงานรัฐ แล้วระบบตรวจทุกครั้งที่แก้บทความว่าตรงกับคลังทุกตัวอักษร · บทความนี้เป็นความรู้ทั่วไป ไม่ใช่คำปรึกษากฎหมายสำหรับกรณีใดกรณีหนึ่ง
ลงมือในระบบได้ที่
ใครรับผิดชอบเนื้อหานี้?
เรียบเรียงโดยทีมกฎหมาย AIPDPA · ผู้รับผิดชอบเนื้อหา ภูวรา ครอบตะคุ ทนายความ · เนติบัณฑิตไทย · ที่ปรึกษากฎหมายเทคโนโลยีและทรัพย์สินทางปัญญา
ใบอนุญาตทนายความ 477/2558 · เนติบัณฑิตไทย · นิติศาสตรมหาบัณฑิต กฎหมายทรัพย์สินทางปัญญาและสารสนเทศ (เหรียญทอง)