ส่งข้อมูลส่วนบุคคลไปต่างประเทศหรือใช้คลาวด์ต่างประเทศอย่างไรให้ถูก PDPA เงื่อนไขหลักของการส่งหรือโอนข้อมูลส่วนบุคคลไปต่างประเทศคือ ประเทศหรือองค์การระหว่างประเทศปลายทางต้องมีมาตรฐานการคุ้มครองที่เพียงพอ ตามมาตรา 28 แห่ง พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 หรือต้องเข้าข้อยกเว้น เช่น ได้ความยินยอมหลังแจ้งว่ามาตรฐานปลายทางไม่เพียงพอ หรือจำเป็นต่อสัญญากับเจ้าของข้อมูล นอกจากนี้ มาตรา 29 เปิดทางให้ใช้นโยบายในเครือกิจการ (BCR) ที่สำนักงานรับรอง หรือมาตรการคุ้มครองที่เหมาะสมตามประกาศ พ.ศ. 2566
ร้านค้าออนไลน์ในกรุงเทพฯ ใช้ระบบบริหารลูกค้าแบบ SaaS ที่เซิร์ฟเวอร์อยู่ต่างประเทศ และส่งยอดขายพร้อมรายชื่อลูกค้าให้สำนักงานใหญ่ประจำภูมิภาคทุกสัปดาห์ วันหนึ่งผู้บริหารต่างชาติถามว่า “ที่เราทำอยู่นี้ถูก PDPA หรือเปล่า” ไม่มีใครในทีมตอบได้
สรุปสิ่งที่ต้องรู้
6 ประเด็นที่สำคัญที่สุดของเรื่องนี้ สรุปจากตัวบทและแนวปฏิบัติที่อ้างอิงไว้ท้ายคู่มือ อ่านแค่ส่วนนี้ก็ตัดสินใจขั้นต่อไปได้
- หลักคือปลายทางต้องมีมาตรฐานการคุ้มครองข้อมูลที่เพียงพอ ตามหลักเกณฑ์ที่คณะกรรมการประกาศกำหนด (มาตรา 28)
- ประกาศตามมาตรา 28 และมาตรา 29 พ.ศ. 2566 ใช้บังคับแล้วตั้งแต่ 25 มีนาคม 2567
- การเก็บพักข้อมูลบนคลาวด์ที่ไม่มีบุคคลภายนอกเข้าถึงได้ เพราะมีมาตรการทางเทคนิคหรือเงื่อนไขทางกฎหมายรองรับ ไม่อยู่ในนิยาม “ส่งหรือโอน” ของประกาศ
- ใช้ความยินยอมเป็นข้อยกเว้นได้ ต่อเมื่อแจ้งเจ้าของข้อมูลแล้วว่าปลายทางมีมาตรฐานไม่เพียงพอ
- ส่งให้บริษัทในเครือต่างประเทศ ใช้ BCR ที่สำนักงานตรวจสอบและรับรองแล้วได้ (มาตรา 29)
- ถ้ายังไม่มีคำวินิจฉัยของคณะกรรมการหรือ BCR ใช้มาตรการคุ้มครองที่เหมาะสมซึ่งบังคับตามสิทธิได้และมีการเยียวยาทางกฎหมายที่มีประสิทธิภาพแทนได้
ทำตามนี้ 7 ขั้นตอน
ทำตามลำดับ 7 ขั้นนี้ได้ทันที แต่ละขั้นเขียนให้ทีมในองค์กรไทยลงมือได้จริงโดยไม่ต้องรอที่ปรึกษา และเก็บหลักฐานไว้ให้ผู้ตรวจดูได้
- ทำแผนที่ข้อมูลที่ออกนอกประเทศไล่รายการคลาวด์ ระบบ SaaS บริษัทในเครือ และผู้ให้บริการที่อยู่ต่างประเทศ แล้วบันทึกประเทศปลายทาง ผู้รับ และกลไกที่ใช้ไว้ในบันทึกรายการกิจกรรมการประมวลผล (RoPA)
- แยกว่าเป็นการส่งหรือโอน หรือแค่เก็บพักตรวจว่านอกจากคุณและพนักงานของคุณ มีใครเข้าถึงข้อมูลได้หรือไม่ ถ้าไม่มีเพราะมีมาตรการทางเทคนิคหรือเงื่อนไขทางกฎหมายรองรับ อาจไม่อยู่ในนิยามการส่งหรือโอน แนวปฏิบัติที่ดีคือเก็บหลักฐานมาตรการนั้นไว้
- ตรวจความเพียงพอของปลายทางดูว่าคณะกรรมการวินิจฉัยหรือประกาศรายชื่อปลายทางนั้นไว้หรือไม่ และพิจารณาปัจจัยตามข้อ 5 ของประกาศ คือกฎหมายคุ้มครองข้อมูลที่สอดคล้องกับของไทย และมีหน่วยงานบังคับใช้
- ถ้าไม่เพียงพอ ใช้ข้อยกเว้นตามมาตรา 28เลือกข้อยกเว้นที่ตรงกับข้อเท็จจริง เช่น ปฏิบัติตามกฎหมาย ได้ความยินยอมหลังแจ้งว่ามาตรฐานไม่เพียงพอ หรือจำเป็นต่อสัญญากับเจ้าของข้อมูล
- บริษัทในเครือ ใช้ BCRถ้าส่งให้บริษัทในเครือกิจการเดียวกันเพื่อประกอบธุรกิจร่วมกัน ให้ทำนโยบายคุ้มครองข้อมูลในเครือ (BCR) และยื่นให้สำนักงานตรวจสอบและรับรอง
- กรณีอื่น วางมาตรการคุ้มครองที่เหมาะสมใช้มาตรการคุ้มครองที่เหมาะสมตามมาตรา 29 วรรคสามและประกาศ พ.ศ. 2566 แนวปฏิบัติที่ดีคือทำข้อตกลงเป็นหนังสือกับผู้รับปลายทาง แล้วตรวจเนื้อหาเทียบกับประกาศ
- บันทึกและทบทวนเก็บผลการตรวจทุกขั้นไว้คู่กับกิจกรรม และทบทวนเมื่อเปลี่ยนผู้ให้บริการหรือประเทศปลายทาง
ใช้คลาวด์ต่างประเทศถือว่าส่งข้อมูลไปต่างประเทศไหม?
ไม่เสมอไป ประกาศคณะกรรมการตามมาตรา 28 และ 29 พ.ศ. 2566 นิยาม “ส่งหรือโอนข้อมูลส่วนบุคคล” ว่าไม่รวมการเป็นเพียงสื่อกลางส่งผ่านข้อมูล หรือการเก็บพักข้อมูลที่ไม่มีบุคคลภายนอกเข้าถึง นอกจากผู้ส่งเองและบุคลากรของผู้ส่ง
ตัวอย่างในประกาศคือการส่งข้อมูลผ่านระบบของผู้ให้บริการคลาวด์ ซึ่งไม่มีใครอื่นเข้าถึงได้เพราะมีมาตรการทางเทคนิคหรือเงื่อนไขทางกฎหมายรองรับ ถ้าผู้ให้บริการหรือบุคคลอื่นเข้าถึงข้อมูลได้ กรณีนั้นไม่อยู่ในข้อยกเว้นของนิยาม จึงต้องผ่านเกณฑ์ตามมาตรา 28 หรือ 29
ประเทศปลายทางแบบไหนถือว่ามีมาตรฐานเพียงพอ?
ข้อ 5 ของประกาศตามมาตรา 28 ให้พิจารณาสองปัจจัย คือ ปลายทางมีมาตรการหรือกลไกทางกฎหมายที่สอดคล้องกับกฎหมายคุ้มครองข้อมูลของไทย และมีหน่วยงานที่มีอำนาจบังคับใช้กฎหมายนั้น
ข้อ 6 ให้คณะกรรมการวินิจฉัยเป็นรายกรณี หรือกำหนดรายชื่อประเทศหรือองค์การระหว่างประเทศที่ถือว่ามีมาตรฐานเพียงพอก็ได้ ผู้ควบคุมข้อมูลเสนอเรื่องให้วินิจฉัยได้ และสำนักงานขอให้ทบทวนคำวินิจฉัยได้เมื่อมีหลักฐานใหม่
- กฎหมายปลายทางต้องกำหนดหน้าที่จัดมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสม
- เจ้าของข้อมูลต้องบังคับตามสิทธิของตนได้
- ต้องมีมาตรการเยียวยาทางกฎหมายที่มีประสิทธิภาพ
- ต้องมีหน่วยงานที่มีหน้าที่และอำนาจบังคับใช้กฎหมายคุ้มครองข้อมูล
ถ้าปลายทางมาตรฐานไม่เพียงพอ ยังส่งข้อมูลได้ไหม?
ได้ ถ้าเข้าข้อยกเว้นข้อใดข้อหนึ่งในมาตรา 28 หรือใช้ช่องทางตามมาตรา 29 คือ BCR ที่สำนักงานรับรอง หรือมาตรการคุ้มครองที่เหมาะสมตามหลักเกณฑ์ที่คณะกรรมการประกาศกำหนด
- เป็นการปฏิบัติตามกฎหมาย
- ได้ความยินยอม โดยแจ้งเจ้าของข้อมูลแล้วว่าปลายทางมีมาตรฐานไม่เพียงพอ
- จำเป็นเพื่อปฏิบัติตามสัญญาที่เจ้าของข้อมูลเป็นคู่สัญญา หรือตามคำขอของเขาก่อนเข้าทำสัญญา
- ทำตามสัญญาระหว่างผู้ควบคุมข้อมูลกับบุคคลอื่นเพื่อประโยชน์ของเจ้าของข้อมูล
- ป้องกันหรือระงับอันตรายต่อชีวิต ร่างกาย หรือสุขภาพ เมื่อเจ้าของข้อมูลให้ความยินยอมในขณะนั้นไม่ได้
- จำเป็นเพื่อภารกิจเพื่อประโยชน์สาธารณะที่สำคัญ
ส่งข้อมูลให้บริษัทแม่หรือบริษัทในเครือต่างประเทศทำอย่างไร?
ใช้นโยบายคุ้มครองข้อมูลในเครือกิจการ (Binding Corporate Rules หรือ BCR) ที่สำนักงานตรวจสอบและรับรองแล้ว การส่งตามนโยบายนั้นได้รับยกเว้นไม่ต้องปฏิบัติตามมาตรา 28 ตามมาตรา 29
ประกาศตามมาตรา 29 นิยามเครือกิจการว่ารวมบริษัทใหญ่ บริษัทย่อย บริษัทร่วม และผู้ที่เกี่ยวข้องกันทางกฎหมายหรือประกอบธุรกิจร่วมกัน และนิยาม BCR ว่าเป็นนโยบายหรือข้อตกลงที่ผู้ส่งและผู้รับตกลงร่วมกันและมีผลผูกพัน
ปัญหาที่พบบ่อยและวิธีแก้
องค์กรส่วนใหญ่พลาดเรื่องนี้ใน 4 จุดเดิม ๆ ตารางด้านล่างบอกทั้งวิธีแก้ด้วยตัวเอง และวิธีที่ AIPDPA ช่วยให้เสร็จเร็วกว่าพร้อมหลักฐานครบ
| ปัญหา | วิธีแก้ |
|---|---|
| ✗ เหมาว่าใช้คลาวด์ต่างประเทศแล้วผิดทันที หรือเหมาว่าไม่เกี่ยวกับ PDPA เลย | ✓ ตรวจทีละระบบว่ามีบุคคลภายนอกเข้าถึงข้อมูลได้หรือไม่ ตามนิยามในประกาศ พ.ศ. 2566 ทะเบียนผู้ให้บริการของ AIPDPA รวบรวมผู้ให้บริการพร้อมความเสี่ยงไว้ในที่เดียว ให้เห็นว่าต้องตรวจรายใดก่อน |
| ✗ ขอความยินยอมให้ส่งข้อมูลไปต่างประเทศ แต่ไม่บอกว่ามาตรฐานปลายทางไม่เพียงพอ | ✓ มาตรา 28 (2) ใช้ได้เฉพาะเมื่อแจ้งเรื่องมาตรฐานที่ไม่เพียงพอแล้ว เขียนข้อนี้ไว้ในแบบขอความยินยอมให้ชัด คลังเอกสารพร้อมใช้ของ AIPDPA มีแบบฟอร์มขอความยินยอมและสัญญาประมวลผลข้อมูล (DPA) ไทยและอังกฤษที่ข้อสัญญาผ่านการตรวจโดยทนายความ เอกสารพร้อมใช้ทันที |
| ✗ ส่งข้อมูลลูกค้าให้บริษัทแม่ทุกสัปดาห์ โดยไม่มี BCR หรือมาตรการคุ้มครองใด ๆ | ✓ เลือกช่องทางให้ชัด: ปลายทางเพียงพอ ข้อยกเว้นตามมาตรา 28 BCR ที่รับรองแล้ว หรือมาตรการคุ้มครองที่เหมาะสมตามมาตรา 29 ถ้าต้องการคนช่วยวางระบบทั้งชุด Kooru Data Shield ตรวจและวางระบบ PDPA ให้โดยทีมที่นำโดยทนายความ |
| ✗ ไม่มีใครรู้ว่าข้อมูลของบริษัทไปอยู่ประเทศไหนบ้าง | ✓ บันทึกการส่งข้อมูลออกนอกประเทศไว้กับแต่ละกิจกรรม ทะเบียน RoPA ของ AIPDPA มีช่องประเทศปลายทาง ผู้รับ กลไกที่ใช้ และมาตรการคุ้มครอง พร้อมพิมพ์รายงานให้ผู้ตรวจสอบได้ |
รู้ว่าข้อมูลของคุณออกนอกประเทศไปที่ไหน ด้วยกลไกอะไร
ทะเบียน RoPA ของ AIPDPA บันทึกการส่งข้อมูลออกนอกประเทศของทุกกิจกรรม ทั้งประเทศปลายทาง ผู้รับ กลไกที่ใช้ และมาตรการคุ้มครอง ใช้คู่กับทะเบียนผู้ให้บริการเพื่อติดตามความเสี่ยง ดูบัญชีตัวอย่างได้ ไม่ต้องสมัคร
มีในทุกแพ็กเกจ เริ่มต้น 2,900 บาท/ปี · ดูบัญชีตัวอย่างได้ ไม่ต้องสมัคร
คำถามที่พบบ่อย
คำถามที่คนค้นหาบ่อยที่สุดเรื่องนี้ แต่ละคำตอบสั้น ตรงประเด็น และอ่านแยกข้อได้
ใช้อีเมลหรือที่เก็บไฟล์บนคลาวด์ต่างประเทศ ผิด PDPA ไหม?
ไม่ผิดโดยอัตโนมัติ ถ้าผู้ให้บริการเป็นเพียงที่เก็บพักและไม่มีบุคคลภายนอกเข้าถึงได้เพราะมีมาตรการทางเทคนิคหรือเงื่อนไขทางกฎหมายรองรับ ไม่ถือเป็นการส่งหรือโอนตามประกาศ ถ้ามีคนอื่นเข้าถึงได้ ต้องผ่านเกณฑ์ตามมาตรา 28 หรือ 29
ประเทศไหนบ้างที่ถือว่ามีมาตรฐานคุ้มครองข้อมูลเพียงพอ?
ข้อ 6 ของประกาศตามมาตรา 28 ให้คณะกรรมการวินิจฉัยเป็นรายกรณีหรือกำหนดรายชื่อปลายทางได้ ก่อนส่งให้ตรวจว่ามีคำวินิจฉัยสำหรับปลายทางของคุณหรือยัง ถ้ายังไม่มี ให้ใช้ข้อยกเว้นตามมาตรา 28 หรือช่องทางตามมาตรา 29
ขอความยินยอมลูกค้าแทนการตรวจปลายทางได้ไหม?
ความยินยอมเป็นข้อยกเว้นหนึ่งตามมาตรา 28 (2) แต่ต้องแจ้งเจ้าของข้อมูลก่อนว่าปลายทางมีมาตรฐานไม่เพียงพอ แนวปฏิบัติที่ดีคือใช้เมื่อไม่มีช่องทางอื่น เพราะต้องเก็บหลักฐานความยินยอมของทุกคน
ผู้ประมวลผลข้อมูลต้องทำตามเรื่องการโอนข้อมูลไปต่างประเทศด้วยไหม?
มาตรา 29 ใช้กับทั้งผู้ควบคุมข้อมูลและผู้ประมวลผลข้อมูลที่อยู่ในประเทศไทย และประกาศตามมาตรา 29 นิยามผู้ส่งหรือโอนข้อมูลให้รวมผู้ประมวลผลข้อมูลด้วย
ประกาศเรื่องการส่งข้อมูลไปต่างประเทศมีผลเมื่อไร?
ประกาศตามมาตรา 28 และมาตรา 29 พ.ศ. 2566 ใช้บังคับเมื่อพ้น 90 วันนับแต่ประกาศในราชกิจจานุเบกษา และมีผลแล้วตั้งแต่ 25 มีนาคม 2567
ไม่แน่ใจว่าปลายทางมีมาตรฐานเพียงพอหรือไม่ ทำอย่างไร?
มาตรา 28 ให้เสนอปัญหาต่อคณะกรรมการเป็นผู้วินิจฉัย และข้อ 6 ของประกาศให้สำนักงานรับเรื่องที่ผู้ควบคุมข้อมูลเสนอได้ ระหว่างรอ ให้ใช้ข้อยกเว้นตามมาตรา 28 หรือช่องทางตามมาตรา 29
แหล่งอ้างอิง
คู่มือนี้อ้างอิงเอกสาร 4 รายการ ตัวบทกฎหมายระบุมาตราหรือข้อไว้ชัดเจน ส่วนแนวปฏิบัติและมาตรฐานเป็นแนวทาง ไม่ใช่กฎหมาย
- พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 มาตรา 28
- พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 มาตรา 29
- ประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง หลักเกณฑ์การให้ความคุ้มครองข้อมูลส่วนบุคคลที่ส่งหรือโอนไปยังต่างประเทศ ตามมาตรา 28 แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 พ.ศ. 2566 ข้อ 3–6
- ประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง หลักเกณฑ์การให้ความคุ้มครองข้อมูลส่วนบุคคลที่ส่งหรือโอนไปยังต่างประเทศ ตามมาตรา 29 แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 พ.ศ. 2566 ข้อ 3
ตัวบทในบทความนี้อ้างอิงจากคลังกฎหมายของ AIPDPA ซึ่งถอดจากราชกิจจานุเบกษา · เนื้อหาเป็นความรู้ทั่วไป หากกรณีของคุณมีข้อเท็จจริงเฉพาะ ทีมทนายของเราช่วยดูให้ได้
เครื่องมือและบริการที่ช่วยได้ทันที
อยากทำเองให้เร็วขึ้น ใช้เครื่องมือใน AIPDPA · อยากให้ทนายดูแลให้ หรืออยากเรียนให้เป็น เลือกบริการในเครือที่ตรงกับคุณได้เลย
ทะเบียนเติมจากโครงสร้างองค์กรให้เอง เลือกฐานกฎหมายพร้อมมาตรา แล้วพิมพ์รายงานตามมาตรา 39 ได้ทันที
ลงชื่อรอเปิดใช้งาน →รู้ว่าใครประมวลผลข้อมูลแทนคุณ ความเสี่ยงระดับไหน และสัญญาครบหรือยัง
ลงชื่อรอเปิดใช้งาน →เอกสารพร้อมใช้ 40 แบบ ไทย/อังกฤษ ยืนยันข้อสัญญาที่ AI เขียนเพิ่มครบ 88 ข้อ กรอกจากทะเบียนให้เอง และมี QR ยืนยันฉบับที่อนุมัติ
ลงชื่อรอเปิดใช้งาน →ทีมทนายความตรวจความพร้อมและวางระบบ PDPA ให้ครบ เหมาะกับ SME ที่ไม่มีเวลาทำเอง
ดูบริการ →คอร์สเสริมทักษะ PDPA, DPO และธรรมาภิบาล AI พร้อม Digital Product ชุดเครื่องมือพร้อมใช้
ดูคอร์สและสินค้า →
ใครรับผิดชอบเนื้อหานี้?
เรียบเรียงโดยทีมกฎหมาย AIPDPA · ผู้รับผิดชอบเนื้อหา ภูวรา ครอบตะคุ ทนายความ · เนติบัณฑิตไทย · ที่ปรึกษากฎหมายเทคโนโลยีและทรัพย์สินทางปัญญา
ใบอนุญาตทนายความ 477/2558 · เนติบัณฑิตไทย · นิติศาสตรมหาบัณฑิต กฎหมายทรัพย์สินทางปัญญาและสารสนเทศ (เหรียญทอง)
อ่านต่อ
คู่มือที่มักต้องทำต่อจากเรื่องนี้ เลือกอ่านได้ตามลำดับงานขององค์กรคุณ