การเช็กผู้ให้บริการก่อนเซ็นสัญญา คือการดูว่าผู้ที่จะแตะข้อมูลลูกค้าแทนเราเป็นผู้ประมวลผลจริงไหม มาตรการความปลอดภัยถึงขั้นต่ำของประกาศปี 2565 หรือเปล่า และสัญญาให้แจ้งเหตุรั่วภายใน 72 ชั่วโมงแล้วหรือยัง เหมาะกับ DPO ฝ่ายจัดซื้อ และฝ่ายกฎหมาย
- PDPA มาตรา 40 วรรคสาม ให้ผู้ควบคุมข้อมูลส่วนบุคคลต้องทำข้อตกลงกับผู้ประมวลผลทุกราย หน้าที่นี้อยู่ที่เรา ไม่ใช่ที่ผู้ให้บริการ
- ประกาศมาตรการความมั่นคงปลอดภัย 2565 ข้อ 6 ให้มาตรการของผู้ให้บริการเป็นไปตามมาตรฐานขั้นต่ำในข้อ 4
- ประกาศแจ้งเหตุละเมิด 2565 ข้อ 8 ให้ระบุในสัญญาว่าผู้ให้บริการต้องแจ้งเหตุรั่วภายใน 72 ชั่วโมงนับแต่ตนทราบ
- สัญญาเรียกใครว่าผู้ประมวลผลไม่ได้ชี้ขาด TDPG 4.0 ให้ดูข้อเท็จจริงว่าใครกำหนดวัตถุประสงค์ของการใช้ข้อมูล
- ผู้ให้บริการที่ไม่ทำตามมาตรา 40 โดยไม่มีเหตุอันควร มีโทษปรับทางปกครองไม่เกิน 3 ล้านบาทตามมาตรา 86
แทบไม่มีบริษัทไหนประมวลผลข้อมูลลูกค้าเองทั้งหมด ระบบ CRM อยู่บนคลาวด์ คอลเซ็นเตอร์จ้างข้างนอก เงินเดือนให้สำนักงานบัญชีทำ จดหมายแจ้งลูกค้าส่งโรงพิมพ์ ทุกรายที่ได้ข้อมูลไปจากเราเป็นอีกจุดที่ข้อมูลอาจรั่วได้ แต่เมื่อเกิดเรื่อง คนที่ต้องตอบสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (สคส.) ยังเป็นเรา
สัญญาจ้างส่วนใหญ่มาจากฝ่ายขายของผู้ให้บริการ ฝ่ายจัดซื้ออ่านเรื่องราคากับระยะเวลา ส่วนเรื่องข้อมูลส่วนบุคคลมักมีอยู่ย่อหน้าเดียวว่า "คู่สัญญาจะปฏิบัติตามกฎหมายที่เกี่ยวข้อง" ประโยคแบบนี้ไม่ได้ตอบสิ่งที่ประกาศของคณะกรรมการสองฉบับสั่งให้เขียนไว้
ด้านล่างเรียงตามลำดับที่ควรทำจริง ดูก่อนว่าผู้ให้บริการเป็นผู้ประมวลผลข้อมูลหรือไม่ แล้วดูว่ากฎหมายบังคับให้สัญญามีอะไร จากนั้นเป็นแบบสอบถาม 10 ข้อที่ผูกกับตัวบททุกข้อ และเส้นตายเมื่อข้อมูลรั่วที่ฝั่งผู้ให้บริการ
ผู้ให้บริการรายนี้เป็นผู้ประมวลผลข้อมูล หรือเป็นผู้ควบคุมข้อมูลอีกราย?
ให้ดูว่าใครตัดสินใจว่าจะเก็บข้อมูลอะไร เอาไปทำอะไร และทำอย่างไร ถ้าเราเป็นคนตัดสินใจและผู้ให้บริการทำตามคำสั่ง เขาคือผู้ประมวลผลข้อมูลส่วนบุคคล ถ้าเขาเอาข้อมูลไปใช้เพื่อธุรกิจของตัวเองด้วย เขาเป็นผู้ควบคุมข้อมูลอีกรายหรือผู้ควบคุมร่วม และสัญญาต้องเขียนอีกแบบ
แนวปฏิบัติ TDPG 4.0 ซึ่งเป็นแนวปฏิบัติของภาคเอกชน ไม่ใช่กฎหมาย และไม่ผูกพันเท่า พ.ร.บ. วางหลักข้อนี้ไว้ชัดว่าชื่อที่สัญญาใช้เรียกคู่สัญญาไม่ใช่ตัวตัดสิน
B28 การพิจารณาว่าผู้ให้บริการ (Service Provider) มีสถานะเป็นผู้ประมวลผลข้อมูลส่วนบุคคล (Data Processor) หรือไม่นั้น ไม่สามารถพิจารณาจากชื่อเรียกหรือรูปแบบสัญญาเพียงอย่างเดียว แม้สัญญาจะระบุให้ผู้ให้บริการเป็นผู้ประมวลผลข้อมูลส่วนบุคคล (Data Processor) แต่การกำหนดดังกล่าวในสัญญาก็ไม่มีผลชี้ขาดสถานะที่แท้จริง ต้องพิจารณาจากพฤติการณ์ข้อเท็จจริงเป็นหลัก
ข้อนี้มีผลตอนเซ็นมากกว่าที่คิด สัญญาสำเร็จรูปหลายฉบับเขียนว่าผู้ให้บริการเป็น "ผู้ประมวลผล" ไว้ข้อหนึ่ง แต่อีกข้อหนึ่งให้เขาใช้ข้อมูลเพื่อ "พัฒนาบริการ" หรือ "วิเคราะห์ทางการตลาด" ได้ ข้อหลังคือการตั้งวัตถุประสงค์ของเขาเอง ซึ่งตามหลักใน TDPG 4.0 อาจทำให้บทบาทเปลี่ยนไป
ตัวอย่างที่ TDPG 4.0 ยกไว้
ตัวอย่างใน TDPG 4.0 ส่วนใหญ่มาจากแนวทางของยุโรป เอามาเทียบกับผู้ให้บริการของเราได้ตรง ๆ ข้างล่างสรุปห้ากรณีที่ใกล้กับงานจ้างของบริษัทไทยที่สุด
ยิมกำหนดทั้งวัตถุประสงค์และวิธีการ โรงพิมพ์ทำตามคำสั่ง ไม่มีอำนาจตัดสินใจเอง
ลูกค้ากำหนดว่าจะบันทึกที่ไหน เมื่อไร และนานแค่ไหน บริษัทไม่มีดุลพินิจเรื่องวัตถุประสงค์
ผู้ให้บริการเก็บข้อมูลในนามลูกค้าตามคำสั่ง ไม่ได้ใช้ข้อมูลเพื่อวัตถุประสงค์ของตัวเอง
การเพิ่มวัตถุประสงค์ของตัวเองทำให้เอเจนซีเป็นผู้ควบคุมข้อมูลสำหรับการใช้ส่วนนั้น แม้สัญญาจะเขียนไว้อย่างไร
สัญญาเขียนว่าเป็นผู้ประมวลผล แต่ TDPG 4.0 เห็นว่าควรถือเป็นผู้ควบคุมร่วมกับบริษัทที่ว่าจ้าง
กฎหมายบังคับให้สัญญากับผู้ประมวลผลต้องมีอะไร?
อย่างน้อยสามเรื่อง ต้องมีข้อตกลง ข้อตกลงต้องกำหนดมาตรการความปลอดภัยไม่ต่ำกว่าขั้นต่ำ และต้องกำหนดหน้าที่แจ้งเหตุรั่วภายใน 72 ชั่วโมง เรื่องแรกมาจาก พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 โดยตรง
การดำเนินงานตามหน้าที่ของผู้ประมวลผลข้อมูลส่วนบุคคลตามที่ได้รับมอบหมายจากผู้ควบคุมข้อมูลส่วนบุคคลตามวรรคหนึ่ง ผู้ควบคุมข้อมูลส่วนบุคคลต้องจัดให้มีข้อตกลงระหว่างกัน เพื่อควบคุมการดำเนินงานตามหน้าที่ของผู้ประมวลผลข้อมูลส่วนบุคคลให้เป็นไปตามพระราชบัญญัตินี้
มาตรา 40 วรรคสามวางหน้าที่ไว้ที่ผู้ควบคุมข้อมูลส่วนบุคคล ถ้าไม่มีข้อตกลง คนที่ขาดหน้าที่คือฝั่งเรา ส่วนเนื้อหาของข้อตกลง ประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง มาตรการรักษาความมั่นคงปลอดภัยของผู้ควบคุมข้อมูลส่วนบุคคล พ.ศ. 2565 ข้อ 6 กำหนดต่อไว้
ในการจัดให้มีข้อตกลงระหว่างผู้ควบคุมข้อมูลส่วนบุคคลและผู้ประมวลผลข้อมูลส่วนบุคคล ให้ผู้ควบคุมข้อมูลส่วนบุคคลพิจารณากำหนดให้ผู้ประมวลผลข้อมูลส่วนบุคคลจัดให้มีมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสม เพื่อป้องกันการสูญหาย เข้าถึง ใช้ เปลี่ยนแปลง แก้ไข หรือเปิดเผยข้อมูลส่วนบุคคลโดยปราศจากอำนาจหรือโดยมิชอบ รวมทั้งแจ้งให้ผู้ควบคุมข้อมูลส่วนบุคคลทราบถึงเหตุการละเมิดข้อมูลส่วนบุคคลที่เกิดขึ้น โดยมาตรการรักษาความมั่นคงปลอดภัยดังกล่าว จะต้องเป็นไปตามมาตรฐานขั้นต่ำตามข้อ 4
ต้นข้อ 6 ใช้คำว่า "พิจารณากำหนด" อ่านแล้วเหมือนเลือกได้ แต่ท้ายข้อเดียวกันใช้คำว่ามาตรการนั้น "จะต้องเป็นไปตามมาตรฐานขั้นต่ำตามข้อ 4" ทางที่ปลอดภัยคือถือว่ามาตรการของผู้ให้บริการต้องไม่ต่ำกว่าที่เราเองต้องมี และเขียนเป็นภาคผนวกแนบสัญญา
เรื่องที่สามอยู่ในประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง หลักเกณฑ์และวิธีการในการแจ้งเหตุการละเมิดข้อมูลส่วนบุคคล พ.ศ. 2565 ข้อ 8 ซึ่งพูดถึงสัญญากับผู้ประมวลผลไว้ตรง ๆ
ผู้ควบคุมข้อมูลส่วนบุคคลจะต้องระบุไว้ในข้อตกลงหรือในสัญญาที่เกี่ยวข้องให้ผู้ประมวลผลข้อมูลส่วนบุคคลมีหน้าที่แจ้งเหตุการละเมิดข้อมูลส่วนบุคคลแก่ผู้ควบคุมข้อมูลส่วนบุคคลโดยไม่ชักช้าภายในเจ็ดสิบสองชั่วโมงนับแต่ผู้ประมวลผลข้อมูลส่วนบุคคลทราบเหตุเท่าที่จะสามารถกระทำได้เช่นกัน
| เรื่อง | ที่มา | เขียนในสัญญาอย่างไร |
|---|---|---|
| มีข้อตกลงควบคุมการทำงานของผู้ประมวลผล | PDPA มาตรา 40 วรรคสาม | ระบุขอบเขตงาน ประเภทข้อมูล และให้ทำตามคำสั่งที่เป็นลายลักษณ์อักษรเท่านั้น |
| ทำตามคำสั่งของผู้ควบคุมเท่านั้น | PDPA มาตรา 40 (1) | ห้ามใช้ข้อมูลเพื่อวัตถุประสงค์ของผู้ให้บริการเอง และให้แจ้งเราถ้าเห็นว่าคำสั่งขัดกฎหมาย |
| มาตรการความปลอดภัยไม่ต่ำกว่าขั้นต่ำ | ประกาศมาตรการความมั่นคงปลอดภัย 2565 ข้อ 6 และข้อ 4 | แนบภาคผนวกมาตรการ แยกตามข้อ 4 (1) ถึง (7) |
| แจ้งเหตุรั่วภายใน 72 ชั่วโมง | ประกาศแจ้งเหตุละเมิด 2565 ข้อ 8 | ระบุช่องทาง ชื่อผู้รับแจ้ง และข้อมูลที่ต้องส่งมาพร้อมการแจ้ง |
| ผู้ให้บริการมีบันทึกรายการประมวลผลของตัวเอง | PDPA มาตรา 40 (3) (กิจการขนาดเล็กอาจได้รับยกเว้นตามวรรคท้าย) | ให้สิทธิขอดูส่วนที่เกี่ยวกับงานของเรา |
ถ้าผู้ให้บริการใช้ข้อมูลเกินคำสั่ง ใครต้องรับผิด?
ผู้ให้บริการรับผิดในส่วนที่ทำเกินคำสั่ง เพราะมาตรา 40 วรรคสองถือว่าเขาเป็นผู้ควบคุมข้อมูลสำหรับส่วนนั้น แต่ไม่ได้แปลว่าเราหลุดจากหน้าที่ของตัวเอง
ผู้ประมวลผลข้อมูลส่วนบุคคลซึ่งไม่ปฏิบัติตาม (1) สำหรับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลใด ให้ถือว่าผู้ประมวลผลข้อมูลส่วนบุคคลเป็นผู้ควบคุมข้อมูลส่วนบุคคลสำหรับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลนั้น
ผู้ให้บริการที่ไม่ทำตามมาตรา 40 ยังมีโทษปรับทางปกครองของตัวเองตามมาตรา 86 ข้อนี้ใช้ต่อรองได้ เพราะผู้ให้บริการที่รู้ว่าตัวเองมีความเสี่ยงโดยตรงมักยอมให้รายละเอียดมาตรการมากขึ้น
ผู้ประมวลผลข้อมูลส่วนบุคคลผู้ใดไม่ปฏิบัติตามมาตรา 40 โดยไม่มีเหตุอันควร หรือส่งหรือโอนข้อมูลส่วนบุคคลโดยไม่เป็นไปตามมาตรา 29 วรรคหนึ่งหรือวรรคสาม หรือไม่ปฏิบัติตามมาตรา 37 (5) ซึ่งได้นำมาใช้บังคับโดยอนุโลมตามมาตรา 38 วรรคสอง ต้องระวางโทษปรับทางปกครองไม่เกินสามล้านบาท
ฝั่งผู้ควบคุมข้อมูลมีหน้าที่ตามมาตรา 37 (2) ซึ่งใช้ทุกครั้งที่ส่งข้อมูลให้บุคคลอื่นที่ไม่ใช่ผู้ควบคุมข้อมูล ผู้ประมวลผลก็อยู่ในกลุ่มนี้
(2) ในกรณีที่ต้องให้ข้อมูลส่วนบุคคลแก่บุคคลหรือนิติบุคคลอื่นที่ไม่ใช่ผู้ควบคุมข้อมูลส่วนบุคคล ต้องดำเนินการเพื่อป้องกันมิให้ผู้นั้นใช้หรือเปิดเผยข้อมูลส่วนบุคคลโดยปราศจากอำนาจหรือโดยมิชอบ
อ่านมาตรา 37 (2) คู่กับมาตรา 40 แล้ว ผลในทางปฏิบัติคือ ถ้าเราส่งข้อมูลไปโดยไม่ได้เช็กอะไรเลย แล้วผู้ให้บริการเอาไปใช้ผิด เราจะอธิบายได้ยากว่าได้ "ดำเนินการเพื่อป้องกัน" แล้ว แบบสอบถามที่ผู้ให้บริการตอบเป็นหนังสือก่อนเซ็นจึงเป็นทั้งเครื่องมือลดความเสี่ยงและหลักฐานของเราเอง
ก่อนเซ็น ควรถามผู้ให้บริการอะไรบ้าง?
ให้ส่งคำถามเป็นลายลักษณ์อักษรและเก็บคำตอบไว้กับสัญญา แปดข้อแรกในตารางผูกกับประกาศมาตรการความมั่นคงปลอดภัย 2565 ข้อ 4 ทีละข้อ อีกสองข้อเป็นแนวปฏิบัติที่ดี ซึ่งประกาศไม่ได้กำหนดเป็นรายข้อไว้
| คำถาม | ผูกกับ | คำตอบที่ควรระวัง |
|---|---|---|
| ใครในบริษัทของคุณเข้าถึงข้อมูลของเราได้ และให้สิทธิอย่างไร | ข้อ 4 (6) (ก) ให้สิทธิเท่าที่จำเป็น | ทีมงานทุกคนเข้าได้เพื่อความสะดวก |
| พนักงานลาออกหรือย้ายงาน ถอนสิทธิภายในกี่วัน ทบทวนสิทธิบ่อยแค่ไหน | ข้อ 4 (6) (ข) | ไม่มีรอบทบทวนสิทธิ |
| มีข้อห้ามพนักงานคัดลอกข้อมูลออกนอกระบบหรือไม่ | ข้อ 4 (6) (ค) | ไม่มีนโยบายเป็นลายลักษณ์อักษร |
| ระบบเก็บประวัติการเข้าถึง แก้ไข และลบข้อมูลไหม เราขอดูได้หรือเปล่า | ข้อ 4 (6) (ง) | มีแต่ให้ลูกค้าดูไม่ได้ |
| มาตรการครอบคลุมเอกสารกระดาษด้วยหรือไม่ | ข้อ 4 (1) | ดูแลเฉพาะในระบบ |
| ป้องกันกี่ชั้น ทั้งเซิร์ฟเวอร์ เครื่องลูกข่าย เครือข่าย และแอปพลิเคชัน | ข้อ 4 (5) หลักป้องกันเชิงลึก | พึ่งไฟร์วอลล์ตัวเดียว |
| มีขั้นตอนรับมือเหตุและกู้ระบบไหม ซ้อมครั้งล่าสุดเมื่อไร | ข้อ 4 (3) | มีแผนแต่ไม่เคยซ้อม |
| อบรมพนักงานเรื่องข้อมูลส่วนบุคคลบ่อยแค่ไหน | ข้อ 4 (7) | อบรมครั้งเดียวตอนเข้างาน |
| จ้างช่วงให้บริษัทอื่นหรือไม่ บริษัทนั้นอยู่ประเทศใด | แนวปฏิบัติที่ดี ประกอบมาตรา 37 (2) | ไม่ยอมบอกรายชื่อผู้รับจ้างช่วง |
| จบสัญญาแล้วคืนหรือลบข้อมูลอย่างไร มีหนังสือยืนยันไหม | แนวปฏิบัติที่ดี ประกอบมาตรา 37 (2) | ลบตามรอบปกติของระบบ |
คำถามข้อที่สี่อย่ามองข้าม เพราะเมื่อเกิดเหตุ ประวัติการเข้าถึงคือสิ่งเดียวที่บอกได้ว่าข้อมูลของใครหลุดไปบ้าง ประกาศใช้คำว่า audit trails ไว้แบบนี้
(ง) การจัดให้มีวิธีการเพื่อให้สามารถตรวจสอบย้อนหลังเกี่ยวกับการเข้าถึง เปลี่ยนแปลง แก้ไข หรือลบข้อมูลส่วนบุคคล (audit trails) ที่เหมาะสมกับวิธีการและสื่อที่ใช้ในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล
TDPG 4.0 ยังวางแนวไว้อีกข้อหนึ่งที่ใส่ในสัญญาได้ดี คือให้ผู้ประมวลผลบอกเราเมื่อมีวิธีที่ปลอดภัยกว่า ข้อนี้เป็นแนวปฏิบัติ ไม่ใช่หน้าที่ตามกฎหมาย แต่ถ้าเขียนไว้ในสัญญาก็จะกลายเป็นหน้าที่ตามสัญญา
[การเสนอทางเลือกด้านความมั่นคงปลอดภัย] ผู้ประมวลผลมีหน้าที่แจ้งผู้ควบคุมข้อมูลในกรณีที่เห็นว่ามีทางเลือกในการประมวลผลที่มีความมั่นคงปลอดภัยสูงกว่า เพื่อให้ผู้ควบคุมข้อมูลทราบถึงทางเลือกดังกล่าว
ข้อมูลรั่วที่ฝั่งผู้ให้บริการ เส้นตายนับอย่างไร?
มีสองช่วงต่อกัน ช่วงแรกผู้ให้บริการต้องแจ้งเราภายใน 72 ชั่วโมงนับแต่เขาทราบเหตุ ตามที่สัญญาต้องเขียนไว้ตามข้อ 8 ช่วงที่สองเราต้องแจ้ง สคส. ภายใน 72 ชั่วโมงนับแต่เราทราบเหตุตามมาตรา 37 (4) เว้นแต่เหตุนั้นไม่มีความเสี่ยงต่อสิทธิและเสรีภาพของบุคคล
- ผู้ให้บริการพบเหตุเริ่มนับ 72 ชั่วโมงของผู้ให้บริการ ต้องแจ้งเราโดยไม่ชักช้าประกาศแจ้งเหตุ 2565 ข้อ 8
- เราได้รับแจ้งตรวจข้อเท็จจริงเบื้องต้น ถ้าเสี่ยงสูงให้สั่งผู้ให้บริการระงับหรือแก้ไขทันทีเท่าที่ทำได้ประกาศแจ้งเหตุ 2565 ข้อ 5 (1) (2)
- ภายใน 72 ชั่วโมงนับแต่เราทราบแจ้ง สคส. เว้นแต่ไม่มีความเสี่ยง ถ้าเสี่ยงสูงต้องแจ้งเจ้าของข้อมูลพร้อมแนวทางเยียวยาด้วยPDPA มาตรา 37 (4)
- หลังปิดเหตุทบทวนมาตรการความปลอดภัย รวมถึงมาตรการที่กำหนดให้ผู้ให้บริการประกาศมาตรการ 2565 ข้อ 5 วรรคสอง
ส่วนรายละเอียดว่าหลังได้รับแจ้งต้องประเมินความเสี่ยงอย่างไร และเมื่อไรต้องแจ้งเจ้าของข้อมูล อ่านต่อได้ที่ ข้อมูลรั่ว ต้องทำอะไรบ้างใน 72 ชั่วโมงแรก
สัญญาสำเร็จรูปของผู้ให้บริการ มักขาดข้อไหน?
จากที่ไล่ตัวบทมา จุดที่ควรตรวจในสัญญาของผู้ให้บริการมีเจ็ดจุด ทุกจุดเป็นเรื่องที่แก้ได้ตอนเจรจา แต่แก้ยากมากหลังเกิดเหตุ
- ไม่มีภาคผนวกมาตรการความปลอดภัย มีแต่คำว่า "ตามมาตรฐานอุตสาหกรรม" ซึ่งเทียบกับข้อ 4 ของประกาศ 2565 ไม่ได้
- ให้ผู้ให้บริการใช้ข้อมูล "เพื่อปรับปรุงบริการ" โดยไม่จำกัดขอบเขต ซึ่งอาจทำให้บทบาทของเขาเปลี่ยนตามหลัก TDPG 4.0 ข้อ B28
- เขียนหน้าที่แจ้งเหตุว่า "ภายในเวลาอันสมควร" แทนการระบุ 72 ชั่วโมงตามข้อ 8 ของประกาศแจ้งเหตุ
- ไม่พูดถึงผู้รับจ้างช่วง ทั้งที่ข้อมูลอาจไปอยู่กับบริษัทที่สามหรืออยู่นอกประเทศ
- ไม่ให้สิทธิขอตรวจหรือขอหลักฐาน เราจึงพิสูจน์ได้ยากว่าทำตามมาตรา 37 (2) แล้ว
- ไม่กำหนดการคืนหรือลบข้อมูลเมื่อสัญญาจบ
- จำกัดความรับผิดของผู้ให้บริการไว้ต่ำมากสำหรับเหตุข้อมูลรั่ว โดยที่เรายังไม่ได้ประเมินว่ารับได้หรือไม่
ถ้าผู้ให้บริการส่งข้อมูลต่อไปต่างประเทศ ต้องดูเงื่อนไขการส่งข้อมูลออกนอกราชอาณาจักรเพิ่ม ดู ข้อมูลออกนอกไทยเมื่อไร ต้องผ่านมาตรา 28 ทีละขั้น และถ้าข้อมูลที่ส่งให้คู่ค้าเป็นความลับทางธุรกิจด้วย ดู NDA ที่ปกป้องความลับได้จริง
บริษัทที่มีผู้ให้บริการหลายราย ควรใส่แต่ละรายลงในบันทึกรายการประมวลผล (RoPA) พร้อมผลการเช็กและวันที่ทบทวนครั้งถัดไป AIPDPA มีทะเบียน RoPA ที่พิมพ์รายงานตามมาตรา 39 ได้ และมีเอกสารพร้อมใช้ภาษาไทยและอังกฤษ 40 แบบ ไว้ตั้งต้นทำสัญญาฝั่งเรา ดูหลักเพิ่มเติมได้ที่คู่มือ สัญญาผู้ประมวลผลข้อมูล และ มาตรการรักษาความมั่นคงปลอดภัย
คำถามที่พบบ่อย
ผู้ให้บริการคลาวด์รายใหญ่ไม่ยอมแก้สัญญาให้ ทำอย่างไร?
TDPG 4.0 ยกตัวอย่างคลาวด์แบบมาตรฐานที่ลูกค้าปรับบริการได้น้อย และยังถือว่าผู้ให้บริการเป็นผู้ประมวลผล เพราะเก็บข้อมูลตามคำสั่งลูกค้า เมื่อแก้สัญญาไม่ได้ ให้อ่านข้อตกลงด้านข้อมูลที่เขามีอยู่แล้ว เทียบกับมาตรา 40 ประกาศมาตรการ 2565 ข้อ 6 และประกาศแจ้งเหตุ 2565 ข้อ 8 ถ้าขาดเรื่องใด ให้บันทึกการประเมินและมาตรการชดเชยฝั่งเราไว้
ผู้ให้บริการเป็นกิจการเล็ก ต้องทำบันทึกรายการประมวลผลไหม?
มาตรา 40 วรรคท้ายเปิดให้ยกเว้นหน้าที่ตาม (3) แก่ผู้ประมวลผลที่เป็นกิจการขนาดเล็กตามหลักเกณฑ์ที่คณะกรรมการประกาศ แต่ไม่ยกเว้นถ้าการประมวลผลมีความเสี่ยงต่อสิทธิและเสรีภาพของเจ้าของข้อมูล ไม่ได้ทำเป็นครั้งคราว หรือเกี่ยวกับข้อมูลตามมาตรา 26
ถ้าข้อมูลรั่วที่ผู้ให้บริการ เขาต้องแจ้ง สคส. เองหรือไม่?
หน้าที่แจ้ง สคส. ตามมาตรา 37 (4) เป็นของผู้ควบคุมข้อมูลส่วนบุคคล TDPG 4.0 ข้อ B17 ระบุว่าผู้ประมวลผลไม่มีหน้าที่แจ้งผู้กำกับดูแลหรือเจ้าของข้อมูล เว้นแต่ผู้ควบคุมมอบหมายไว้ในสัญญา ส่วนหน้าที่แจ้งเราภายใน 72 ชั่วโมงต้องเขียนไว้ในสัญญาตามประกาศแจ้งเหตุ 2565 ข้อ 8
ใบรับรองมาตรฐานความปลอดภัยใช้แทนแบบสอบถามได้ไหม?
ใช้ประกอบได้ เพราะประกาศมาตรการ 2565 ข้อ 4 (4) ให้คำนึงถึงมาตรฐานที่เป็นที่ยอมรับของกิจการประเภทเดียวกัน แต่ควรถามเพิ่มว่าระบบที่ใช้กับข้อมูลของเราอยู่ในขอบเขตที่ได้รับการตรวจหรือไม่ และขอคำตอบเรื่องการถอนสิทธิ ประวัติการเข้าถึง และการแจ้งเหตุเป็นหนังสือ
สัญญาเก่าที่ทำไว้หลายปีไม่มีข้อเหล่านี้ ต้องทำอย่างไร?
ทำบันทึกแนบท้ายสัญญาเพิ่มข้อตกลงตามมาตรา 40 ภาคผนวกมาตรการตามข้อ 4 และหน้าที่แจ้งเหตุ 72 ชั่วโมงตามข้อ 8 ถ้ามีผู้ให้บริการหลายราย ให้เริ่มจากรายที่ถือข้อมูลมากที่สุดหรือข้อมูลอ่อนไหวก่อน
ตัวบทและแหล่งอ้างอิง
- พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 — มาตรา 37 (2) · มาตรา 40 · มาตรา 86
- ประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง มาตรการรักษาความมั่นคงปลอดภัยของผู้ควบคุมข้อมูลส่วนบุคคล พ.ศ. 2565 — ข้อ 4 · ข้อ 5 · ข้อ 6
- ประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง หลักเกณฑ์และวิธีการในการแจ้งเหตุการละเมิดข้อมูลส่วนบุคคล พ.ศ. 2565 — ข้อ 5 · ข้อ 8
- แนวปฏิบัติการคุ้มครองข้อมูลส่วนบุคคล TDPG 4.0 — B15–B17 · B22–B28 (แนวปฏิบัติ ไม่ใช่กฎหมาย)
ตัวบทที่ยกมาในกรอบ "ตัวบท" คัดคำต่อคำจากคลังกฎหมายของ AIPDPA ซึ่งถอดจากราชกิจจานุเบกษาและเอกสารของหน่วยงานรัฐ แล้วระบบตรวจทุกครั้งที่แก้บทความว่าตรงกับคลังทุกตัวอักษร · บทความนี้เป็นความรู้ทั่วไป ไม่ใช่คำปรึกษากฎหมายสำหรับกรณีใดกรณีหนึ่ง
ลงมือในระบบได้ที่
ใครรับผิดชอบเนื้อหานี้?
เรียบเรียงโดยทีมกฎหมาย AIPDPA · ผู้รับผิดชอบเนื้อหา ภูวรา ครอบตะคุ ทนายความ · เนติบัณฑิตไทย · ที่ปรึกษากฎหมายเทคโนโลยีและทรัพย์สินทางปัญญา
ใบอนุญาตทนายความ 477/2558 · เนติบัณฑิตไทย · นิติศาสตรมหาบัณฑิต กฎหมายทรัพย์สินทางปัญญาและสารสนเทศ (เหรียญทอง)