อีเมลและไดรฟ์บนคลาวด์เป็นบริการแบบ SaaS ที่ข้อมูลมักเดินทางหรือเก็บอยู่นอกไทย แต่จะนับเป็นการส่งข้อมูลไปต่างประเทศตาม PDPA ก็ต่อเมื่อมีคนนอกองค์กรเข้าถึงข้อมูลได้ บทความนี้เหมาะกับ DPO และฝ่ายไอทีที่ต้องตอบว่าการใช้งานแต่ละแบบเข้ามาตรา 28 หรือ 29 หรือไม่ และใช้ฐานไหน
- ประกาศ สคส. ตามมาตรา 28 นับ SaaS เป็นผู้ให้บริการระบบคลาวด์ และไม่นับการส่งผ่านหรือเก็บพักที่ไม่มีคนนอกเข้าถึงเป็นการโอน
- TDPG 4.0 อธิบายว่าอีเมลที่ส่งถึงผู้รับในไทยแต่วิ่งผ่านเซิร์ฟเวอร์ต่างประเทศ เป็นเพียงทางผ่าน (แนวปฏิบัติ ไม่ใช่กฎหมาย)
- ส่งไฟล์ให้ผู้รับที่อยู่ต่างประเทศ หรือเปิดให้ทีมของผู้ให้บริการในต่างประเทศเข้าดูได้ เป็นการโอนที่ต้องมีฐาน
- ฐานที่ใช้ได้มีสามทาง คือประเทศปลายทางมีมาตรฐานเพียงพอ ข้อยกเว้นตามมาตรา 28 (1)–(6) หรือมาตรการคุ้มครองที่เหมาะสมตามมาตรา 29
- ไม่ปฏิบัติตามมาตรา 28 หรือ 29 มีโทษปรับทางปกครองไม่เกิน 3 ล้านบาทตามมาตรา 83
ฝ่ายบุคคลส่งไฟล์เงินเดือนทางอีเมล ฝ่ายขายแชร์รายชื่อลูกค้าในไดรฟ์ ทีมบริการลูกค้าคุยกับลูกค้าผ่านแชตกลุ่ม ทั้งหมดนี้วิ่งบนบริการคลาวด์ที่เซิร์ฟเวอร์ส่วนใหญ่อยู่นอกประเทศ คำถามที่ DPO ได้ยินบ่อยจึงเป็นว่า แบบนี้เราส่งข้อมูลไปต่างประเทศทุกวันหรือเปล่า
คำตอบสั้นคือ ไม่เสมอไป พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 และประกาศของคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลไม่ได้ตัดสินจากที่ตั้งเซิร์ฟเวอร์ แต่ดูว่ามีคนนอกองค์กรเข้าถึงข้อมูลได้หรือไม่ หลักทั่วไปเรื่องการโอนอธิบายไว้แล้วในข้อมูลออกนอกไทยเมื่อไร บทความนี้เจาะเฉพาะเครื่องมือทำงานที่ทุกคนใช้
อีเมลและไดรฟ์บนคลาวด์ นับเป็นผู้ให้บริการคลาวด์ตามประกาศ สคส. ไหม?
นับ ข้อ 3 ของประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลเรื่องการโอนตามมาตรา 28 ปี 2566 นิยามผู้ให้บริการระบบคลาวด์ไว้กว้าง และยกตัวอย่างผู้ให้บริการซอฟต์แวร์ (SaaS) ไว้ด้วย ชุดเครื่องมือสำนักงานออนไลน์จึงอยู่ในนิยามนี้
"ผู้ให้บริการระบบคลาวด์ (cloud computing service provider)" หมายความว่า ผู้ให้บริการเก็บรักษาข้อมูลหรือเก็บพักข้อมูลแก่บุคคลอื่นในรูปแบบชั่วคราวหรือถาวร โดยมีระบบที่บริหารจัดการข้อมูลบนอินเทอร์เน็ต
การอยู่ในนิยามนี้ไม่ได้แปลว่าทุกการใช้งานเป็นการโอน นิยามคำว่า "ส่งหรือโอนข้อมูลส่วนบุคคล" ในข้อเดียวกันตัดการส่งผ่านและการเก็บพักที่ไม่มีคนนอกเข้าถึงออกไป และยกตัวอย่างกรณีคลาวด์ที่มีมาตรการทางเทคนิคหรือเงื่อนไขทางกฎหมายรองรับไว้ตรง ๆ
ส่งอีเมลถึงเพื่อนร่วมงานในไทย แต่เซิร์ฟเวอร์อยู่ต่างประเทศ เป็นการโอนไหม?
แนวปฏิบัติ TDPG 4.0 มองว่าไม่เป็น ถ้าผู้รับอยู่ในไทยและไม่มีใครในประเทศที่ตั้งเซิร์ฟเวอร์เข้าถึงข้อมูล ประเทศนั้นเป็นเพียงทางผ่าน TDPG เป็นแนวปฏิบัติที่ภาคเอกชนจัดทำ ไม่ผูกพันเหมือนตัว พ.ร.บ. แต่เหตุผลในข้อ F5 สอดคล้องกับนิยามในประกาศ
การส่งหรือโอนข้อมูลส่วนบุคคลโดยผู้ควบคุมข้อมูลที่อยู่ในประเทศไทยโดยทางอีเมลไปยังผู้รับโอนข้อมูลซึ่งอยู่ในประเทศไทยนั้นย่อมไม่มีลักษณะเป็นการส่งหรือโอนข้อมูลบุคคลไปยังต่างประเทศตามกฎหมาย แม้ว่าข้อมูลส่วนบุคคลจะเดินทางผ่านเครื่องคอมพิวเตอร์แม่ข่าย (Server) ซึ่งตั้งอยู่ต่างประเทศ เนื่องจากไม่ได้มีการแสดงผลหรือเข้าถึงข้อมูลส่วนบุคคลในประเทศที่เครื่องคอมพิวเตอร์แม่ข่าย (Server) ตั้งอยู่
เหตุผลเดียวกันใช้กับไฟล์ที่เก็บในไดรฟ์ของบริษัท TDPG ข้อ F11 ยกกรณีข้อมูลเก็บบนคลาวด์ที่เซิร์ฟเวอร์อยู่นอกไทย แต่ไม่มีบุคคลอื่นนอกประเทศเข้าถึงได้ ว่าอาจไม่ถือเป็นการโอน คำว่า "อาจ" ตรงนี้สำคัญ เพราะผลขึ้นกับว่าพิสูจน์ได้จริงหรือไม่ว่าคนนอกเข้าไม่ถึง
F11 อย่างไรก็ตาม การเก็บรักษาข้อมูลในระบบคลาวด์นั้นอาจไม่ถือเป็นการส่งหรือโอนข้อมูลไปยังต่างประเทศได้ เช่น กรณีที่ข้อมูลส่วนบุคคลถูกเก็บรักษาเอาไว้ในระบบคลาวด์ซึ่งอาศัยคอมพิวเตอร์แม่ข่ายตั้งอยู่นอกประเทศไทย แต่ไม่มีบุคคลอื่นที่อยู่นอกประเทศไทยสามารถเข้าถึงข้อมูลส่วนบุคคลเหล่านี้ได้
แล้วเมื่อไรการใช้เครื่องมือเหล่านี้กลายเป็นการโอนจริง?
เมื่อมีคนนอกองค์กรที่อยู่ต่างประเทศเห็นหรือใช้ข้อมูลได้ กรณีที่ชัดที่สุดคือส่งอีเมลหรือแชร์ไฟล์ให้ผู้รับที่อยู่ต่างประเทศ แม้จะเป็นบริษัทในเครือเดียวกัน TDPG ข้อ F3 ยกตัวอย่างการส่งข้อมูลพนักงานทางอีเมลไปบริษัทแม่ในสหรัฐอเมริกา แล้วสรุปไว้ดังนี้
กรณีตามตัวอย่างข้างต้น ถือเป็นการส่งหรือโอนข้อมูลส่วนบุคคลไปยังต่างประเทศ เนื่องจากผู้รับข้อมูลซึ่งตั้งอยู่ต่างประเทศนั้นสามารถเข้าถึงข้อมูลส่วนบุคคลที่ส่งผ่านอีเมลและเครือข่ายอินเทอร์เน็ตได้
อีกกรณีที่มักถูกมองข้ามคือการเข้าถึงจากฝั่งผู้ให้บริการเอง ถ้าเงื่อนไขการให้บริการเปิดให้ทีมซัพพอร์ตหรือบริษัทในเครือของผู้ให้บริการในต่างประเทศเข้าดูข้อมูลได้ ก็มีคนนอกเข้าถึงแล้ว ข้อยกเว้นเรื่องการเก็บพักจึงใช้ไม่ได้ ต้องอ่านเงื่อนไขส่วนนี้ของผู้ให้บริการที่ใช้อยู่ให้ละเอียด
ตารางแยกทีละการใช้งาน: อะไรเป็นการโอน อะไรไม่เป็น
ตารางนี้เป็นการวิเคราะห์ของเราจากนิยามในประกาศ ม.28 ข้อ 3 และตัวอย่างใน TDPG ภายใต้สมมติฐานที่เขียนไว้ในแต่ละแถว ถ้าข้อเท็จจริงขององค์กรต่างไป ผลอาจเปลี่ยน
| การใช้งาน | สมมติฐาน | ผลที่น่าจะเป็น | อ้างอิง |
|---|---|---|---|
| ส่งอีเมลถึงเพื่อนร่วมงานในไทย | เซิร์ฟเวอร์อยู่ต่างประเทศ ไม่มีคนนอกเข้าถึง | ไม่ใช่การโอน เป็นทางผ่าน | ประกาศ ม.28 ข้อ 3 · TDPG F5 |
| เก็บไฟล์ลูกค้าในไดรฟ์ของบริษัท | แชร์เฉพาะพนักงาน ผู้ให้บริการเข้าถึงไม่ได้ด้วยมาตรการหรือสัญญา | อาจไม่ใช่การโอน ต้องมีหลักฐาน | ประกาศ ม.28 ข้อ 3 · TDPG F11 |
| แชร์ไฟล์ให้ผู้รับเหมาหรือคู่ค้าในต่างประเทศ | ผู้รับเป็นคนละนิติบุคคล | เป็นการโอน ต้องมีฐาน | TDPG F3 |
| ส่งข้อมูลพนักงานให้บริษัทแม่ต่างประเทศ | บริษัทในเครือแต่คนละนิติบุคคล | เป็นการโอน ใช้ BCR หรือข้อสัญญาได้ | TDPG F3 · มาตรา 29 |
| ทีมซัพพอร์ตของผู้ให้บริการในต่างประเทศเข้าดูข้อมูลได้ | ตามเงื่อนไขการให้บริการ | เป็นการโอน ต้องมีฐาน | ประกาศ ม.28 ข้อ 3 |
| ประชุมออนไลน์กับลูกค้าต่างประเทศ แล้วเปิดไฟล์ข้อมูลบุคคลที่สามให้ดู | ผู้เข้าประชุมเห็นข้อมูลบนจอ | ควรถือเป็นการโอน | หลักเดียวกับ TDPG F3 |
ถ้าเป็นการโอน ต้องใช้ฐานไหน?
มีสามทาง ทางแรกคือประเทศปลายทางมีมาตรฐานคุ้มครองที่เพียงพอตามมาตรา 28 วรรคหนึ่ง ทางที่สองคือเข้าข้อยกเว้นข้อใดข้อหนึ่งในมาตรา 28 (1) ถึง (6) ทางที่สามคือมาตรการคุ้มครองที่เหมาะสมตามมาตรา 29 และประกาศ สคส. ที่ออกตามมาตรานั้น
ในกรณีที่ผู้ควบคุมข้อมูลส่วนบุคคลส่งหรือโอนข้อมูลส่วนบุคคลไปยังต่างประเทศ ประเทศปลายทางหรือองค์การระหว่างประเทศที่รับข้อมูลส่วนบุคคลต้องมีมาตรฐานการคุ้มครองข้อมูลส่วนบุคคลที่เพียงพอ
ทางที่หนึ่ง: ประเทศปลายทางมีมาตรฐานเพียงพอ
ข้อ 6 ของประกาศ ม.28 ให้คณะกรรมการวินิจฉัยรายกรณี หรือประกาศรายชื่อประเทศที่ถือว่ามีมาตรฐานเพียงพอได้ แต่คลังเอกสารของเรายังไม่มีรายชื่อดังกล่าว จึงไม่ควรตั้งต้นจากสมมติฐานว่าประเทศใดผ่านแล้ว
ทางที่สอง: ข้อยกเว้นในมาตรา 28
ข้อยกเว้นอย่างการปฏิบัติตามสัญญากับเจ้าของข้อมูลตามมาตรา 28 (3) ใช้ได้ดีกับงานเฉพาะเรื่อง เช่นส่งชื่อผู้เดินทางให้โรงแรมต่างประเทศตามที่ลูกค้าจอง แต่ไม่เหมาะเป็นฐานของการใช้ระบบอีเมลหรือไดรฟ์ทั้งองค์กร เพราะการใช้งานประจำวันส่วนใหญ่ไม่ได้จำเป็นต่อสัญญากับเจ้าของข้อมูลคนใดโดยตรง
ทางที่สาม: มาตรการคุ้มครองที่เหมาะสมตามมาตรา 29
สำหรับผู้ให้บริการเครื่องมือทำงาน ทางนี้ใช้จริงบ่อยที่สุด ข้อ 8 ของประกาศ สคส. ตามมาตรา 29 ปี 2566 รับรองไว้สามรูปแบบ คือข้อสัญญา การรับรอง (certification) และตราสารระหว่างหน่วยงานรัฐ ส่วนข้อ 10 (2) ยอมรับข้อสัญญาต้นแบบจากต่างประเทศไว้สองชุด
(ก) ข้อสัญญาต้นแบบของอาเซียนสำหรับการไหลเวียนข้อมูลข้ามพรมแดน (ASEAN Model Contractual Clauses for Cross Border Data Flows) (ข) ข้อสัญญามาตรฐานสำหรับการโอนข้อมูลส่วนบุคคลไปยังต่างประเทศ (Standard Contractual Clauses for the Transfer of Personal Data to Third Countries) ที่ออกตามความใน Article 46 (1) ประกอบ Article 46 (2) (c) และ Article 28 (7) ของกฎหมาย Regulation (EU) 2016/679 ของสหภาพยุโรป (European Union) หรือ General Data Protection Regulation (GDPR)
ในทางปฏิบัติ ให้เปิดเอกสารข้อตกลงการประมวลผลข้อมูลของผู้ให้บริการ แล้วดูว่าอ้างข้อสัญญาชุดใด ถ้าเป็นหนึ่งในสองชุดนี้ ก็มีจุดเริ่มที่ดี แต่ข้อ 10 อยู่ภายใต้ข้อ 9 อีกชั้น ข้อสัญญาต้องบังคับใช้ได้จริง รับรองสิทธิของเจ้าของข้อมูล และมีมาตรการความปลอดภัยไม่ต่ำกว่ามาตรฐานขั้นต่ำตามกฎหมายไทย
เลิกใช้บริการแล้ว ข้อมูลที่ค้างอยู่ต้องทำอย่างไร?
ถ้าใช้ข้อสัญญาที่คู่สัญญาร่างเองตามข้อ 10 (1) และผู้ให้บริการเป็นผู้ประมวลผลข้อมูล ข้อสัญญาต้องกำหนดให้คืน ลบ หรือทำลายข้อมูล และให้ผู้ให้บริการยืนยันเป็นหนังสือ ข้อนี้เขียนไว้ใน 10 (1) (ค) 3) ถัดไปข้อ 4) ยังให้ผู้รับแจ้งเหตุละเมิดกลับมาภายใน 72 ชั่วโมงนับแต่ทราบเหตุเท่าที่ทำได้
3) ผู้รับข้อมูลส่วนบุคคลต้องส่งคืนข้อมูลส่วนบุคคลตามข้อสัญญาแก่ผู้ส่งหรือโอนข้อมูลส่วนบุคคล หรือลบหรือทำลายข้อมูลส่วนบุคคล หรือทำให้ข้อมูลส่วนบุคคลเป็นข้อมูลที่ไม่สามารถระบุตัวบุคคลที่เป็นเจ้าของข้อมูลส่วนบุคคลได้ โดยวิธีการที่เหมาะสม ตามหลักเกณฑ์และเงื่อนไขที่ผู้ส่งหรือโอนข้อมูลส่วนบุคคลกำหนด และผู้รับข้อมูลส่วนบุคคลจะต้องยืนยันเป็นลายลักษณ์อักษรต่อผู้ส่งหรือโอนข้อมูลส่วนบุคคลเมื่อมีการดำเนินการดังกล่าวแล้ว
ถึงจะใช้ข้อสัญญาต้นแบบแทน การเลิกใช้บริการก็ควรมีขั้นตอนของตัวเอง ทั้งส่งออกข้อมูลที่ต้องเก็บต่อ ขอหลักฐานการลบ และบันทึกวันที่ไว้ในระบบเก็บรักษาข้อมูลขององค์กร
ถ้าไม่ทำตามมาตรา 28 หรือ 29 เสี่ยงอะไร?
มาตรา 83 ของ พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล กำหนดโทษปรับทางปกครองไม่เกิน 3 ล้านบาท สำหรับผู้ควบคุมข้อมูลที่ไม่ปฏิบัติตามมาตรา 28 หรือส่งหรือโอนโดยไม่เป็นไปตามมาตรา 29 วรรคหนึ่งหรือวรรคสาม
หรือส่งหรือโอนข้อมูลส่วนบุคคลโดยไม่เป็นไปตามมาตรา 29 วรรคหนึ่งหรือวรรคสาม ต้องระวางโทษปรับทางปกครองไม่เกินสามล้านบาท
เริ่มจัดการเครื่องมือที่ใช้อยู่ได้อย่างไรในสัปดาห์นี้?
- ทำรายชื่อเครื่องมือออนไลน์ที่ใช้จริงทั้งหมด รวมถึงที่แต่ละแผนกสมัครใช้เอง
- เปิดข้อตกลงการประมวลผลข้อมูลของแต่ละราย หาว่าใครเข้าถึงข้อมูลได้บ้าง และอ้างข้อสัญญาชุดใด
- ใช้ตารางข้างบนแยกการใช้งานที่เป็นการโอนออกจากที่ไม่ใช่ แล้วเขียนฐานของแต่ละรายการ
- บันทึกการโอนแต่ละรายการลงบันทึกรายการกิจกรรมการประมวลผล (RoPA)
- ตั้งกติกาภายในเรื่องการแชร์ไฟล์ออกนอกองค์กร เช่น ปิดลิงก์สาธารณะเป็นค่าเริ่มต้น
งานข้อ 3 และ 4 คือส่วนที่องค์กรส่วนใหญ่ค้างไว้ AIPDPA มีทะเบียน RoPA ที่พิมพ์รายงานตามมาตรา 39 ได้ ใช้บันทึกการโอนและฐานของแต่ละเครื่องมือไว้ในที่เดียว ลองดูได้ที่บัญชีตัวอย่าง
คำถามที่พบบ่อย
ถ้าผู้ให้บริการมีศูนย์ข้อมูลในไทย ก็ไม่ต้องคิดเรื่องมาตรา 28 เลยใช่ไหม?
ไม่เสมอไป ที่ตั้งข้อมูลเป็นแค่ส่วนหนึ่ง ถ้ายังมีทีมหรือบริษัทในเครือของผู้ให้บริการในต่างประเทศเข้าถึงข้อมูลได้ ก็ยังเข้านิยามการส่งหรือโอนตามข้อ 3 ของประกาศ ม.28
พนักงานไปต่างประเทศแล้วเปิดอีเมลงาน นับเป็นการโอนไหม?
TDPG 4.0 ข้อ F7 มองว่าไม่เป็น ตราบที่พนักงานทำงานให้บริษัทและทำตามมาตรฐานคุ้มครองข้อมูลของบริษัท ข้อนี้เป็นแนวปฏิบัติ ไม่ใช่ตัวบทกฎหมาย
ขอความยินยอมจากพนักงานทุกคนให้ส่งข้อมูลผ่านบริการคลาวด์ได้ไหม?
มาตรา 28 (2) ใช้ความยินยอมได้ก็ต่อเมื่อแจ้งเจ้าของข้อมูลแล้วว่าประเทศปลายทางมีมาตรฐานไม่เพียงพอ และความยินยอมของพนักงานมีปัญหาเรื่องความสมัครใจ อ่านเพิ่มที่เลือกฐาน PDPA ให้ถูกงาน
ใช้ AI แชตบอตในชุดเครื่องมือสำนักงาน ต้องดูอะไรเพิ่ม?
หลักเรื่องใครเข้าถึงข้อมูลยังใช้เหมือนเดิม แต่มีประเด็นอื่นนอกจากการโอน เช่นความลับทางการค้าและลิขสิทธิ์ ดูต่อที่ ChatGPT ในที่ทำงาน: กฎหมายสี่ฉบับ
หน่วยงานรัฐใช้บริการคลาวด์ ต้องดูอะไรนอกจาก PDPA?
หน่วยงานรัฐและ CII ต้องดูมาตรฐานคลาวด์ของ กมช. ปี 2567 ด้วย ซึ่งให้ข้อมูลส่วนบุคคลได้ระดับความลับอย่างน้อยระดับกลาง อ่านต่อที่มาตรฐานคลาวด์ สกมช. 2567
ตัวบทและแหล่งอ้างอิง
- พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 — มาตรา 28 · มาตรา 83
- ประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง หลักเกณฑ์การให้ความคุ้มครองข้อมูลส่วนบุคคลที่ส่งหรือโอนไปยังต่างประเทศ ตามมาตรา 28 ฯ พ.ศ. 2566 — ข้อ 3
- ประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง หลักเกณฑ์การให้ความคุ้มครองข้อมูลส่วนบุคคลที่ส่งหรือโอนไปยังต่างประเทศ ตามมาตรา 29 ฯ พ.ศ. 2566 — ข้อ 8 · ข้อ 10
- แนวปฏิบัติการคุ้มครองข้อมูลส่วนบุคคล TDPG 4.0 (แนวปฏิบัติ ไม่ใช่กฎหมาย) — TDPG4.0-F ข้อ F3 · F5 · F11
ตัวบทที่ยกมาในกรอบ "ตัวบท" คัดคำต่อคำจากคลังกฎหมายของ AIPDPA ซึ่งถอดจากราชกิจจานุเบกษาและเอกสารของหน่วยงานรัฐ แล้วระบบตรวจทุกครั้งที่แก้บทความว่าตรงกับคลังทุกตัวอักษร · บทความนี้เป็นความรู้ทั่วไป ไม่ใช่คำปรึกษากฎหมายสำหรับกรณีใดกรณีหนึ่ง
ลงมือในระบบได้ที่
ใครรับผิดชอบเนื้อหานี้?
เรียบเรียงโดยทีมกฎหมาย AIPDPA · ผู้รับผิดชอบเนื้อหา ภูวรา ครอบตะคุ ทนายความ · เนติบัณฑิตไทย · ที่ปรึกษากฎหมายเทคโนโลยีและทรัพย์สินทางปัญญา
ใบอนุญาตทนายความ 477/2558 · เนติบัณฑิตไทย · นิติศาสตรมหาบัณฑิต กฎหมายทรัพย์สินทางปัญญาและสารสนเทศ (เหรียญทอง)