ทำสัญญาประมวลผลข้อมูล (DPA) กับผู้ให้บริการภายนอกอย่างไรตามมาตรา 40? เมื่อให้ผู้ประมวลผลข้อมูลส่วนบุคคล (data processor) ดำเนินการแทน ผู้ควบคุมข้อมูลต้องจัดให้มีข้อตกลงระหว่างกันเพื่อควบคุมการทำงานของผู้ประมวลผลให้เป็นไปตาม พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ตามมาตรา 40 สัญญาประมวลผลข้อมูล (DPA) ควรผูกหน้าที่ของผู้ประมวลผลตามมาตรา 40 ให้ครบ คือ ทำตามคำสั่งเท่านั้น มีมาตรการรักษาความปลอดภัยที่เหมาะสม แจ้งเหตุละเมิดให้ผู้ควบคุมทราบ และจัดทำบันทึกรายการกิจกรรมการประมวลผล
บริษัทจัดหางานขนาดกลางแห่งหนึ่งใช้ระบบเงินเดือนบนคลาวด์และผู้ให้บริการส่งเอสเอ็มเอสเพื่อติดต่อผู้สมัคร เช้าวันหนึ่งผู้ให้บริการระบบเงินเดือนแจ้งว่าเซิร์ฟเวอร์ถูกเจาะตั้งแต่สัปดาห์ก่อน เมื่อกรรมการผู้จัดการเปิดสัญญาดู ไม่มีข้อใดพูดถึงข้อมูลส่วนบุคคล การแจ้งเหตุ หรือการลบข้อมูลเลย
สรุปสิ่งที่ต้องรู้
5 ประเด็นที่สำคัญที่สุดของเรื่องนี้ สรุปจากตัวบทและแนวปฏิบัติที่อ้างอิงไว้ท้ายคู่มือ อ่านแค่ส่วนนี้ก็ตัดสินใจขั้นต่อไปได้
- มาตรา 40 กำหนดให้ผู้ควบคุมข้อมูลต้องจัดให้มีข้อตกลงกับผู้ประมวลผลข้อมูล เพื่อควบคุมการทำงานให้เป็นไปตาม PDPA
- ผู้ประมวลผลต้องทำตามคำสั่งของผู้ควบคุมเท่านั้น เว้นแต่คำสั่งนั้นขัดต่อกฎหมาย
- ผู้ประมวลผลต้องมีมาตรการรักษาความปลอดภัยที่เหมาะสม และต้องแจ้งเหตุละเมิดข้อมูลให้ผู้ควบคุมทราบ
- ผู้ประมวลผลที่ทำนอกคำสั่ง จะถูกถือว่าเป็นผู้ควบคุมข้อมูลสำหรับการประมวลผลส่วนนั้น
- ผู้ควบคุมยังต้องแจ้งเหตุละเมิดแก่ สคส. ภายใน 72 ชั่วโมงนับแต่ทราบเหตุตามมาตรา 37 (4) สัญญาจึงควรให้ผู้ประมวลผลแจ้งเร็วพอ
ทำตามนี้ 6 ขั้นตอน
ทำตามลำดับ 6 ขั้นนี้ได้ทันที แต่ละขั้นเขียนให้ทีมในองค์กรไทยลงมือได้จริงโดยไม่ต้องรอที่ปรึกษา และเก็บหลักฐานไว้ให้ผู้ตรวจดูได้
- ระบุว่าคู่ค้ารายใดเป็นผู้ประมวลผลไล่รายชื่อผู้ให้บริการที่แตะข้อมูลส่วนบุคคลแทนองค์กร เช่น ระบบเงินเดือน คลาวด์ ขนส่ง คอลเซ็นเตอร์ หรือบริษัทรักษาความปลอดภัย แล้วแยกรายที่ทำงานตามคำสั่งของคุณออกมาเป็นผู้ประมวลผลข้อมูล
- กำหนดขอบเขตและคำสั่งให้ชัดเขียนในข้อตกลงว่าประมวลผลข้อมูลประเภทใด ของใคร เพื่อวัตถุประสงค์ใด และให้ทำตามคำสั่งที่เป็นลายลักษณ์อักษรเท่านั้น สอดคล้องกับมาตรา 40 (1)
- ผูกมาตรการรักษาความปลอดภัยกำหนดให้ผู้ประมวลผลมีมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสมตามมาตรา 40 (2) และระบุมาตรการที่คาดหวัง เช่น การควบคุมสิทธิเข้าถึงและการเข้ารหัสข้อมูล
- ตั้งเวลาแจ้งเหตุละเมิดมาตรา 40 (2) ให้ผู้ประมวลผลแจ้งเหตุละเมิดแก่ผู้ควบคุม แนวปฏิบัติที่ดีคือกำหนดเวลาให้สั้นกว่า 72 ชั่วโมงมาก เช่น ภายใน 24 ชั่วโมง เพื่อให้ผู้ควบคุมยังแจ้ง สคส. ได้ทันตามมาตรา 37 (4)
- กำหนดเรื่องบันทึกและการลบข้อมูลให้ผู้ประมวลผลจัดทำและเก็บบันทึกรายการกิจกรรมการประมวลผลตามมาตรา 40 (3) และส่งคืนหรือลบข้อมูลเมื่อสัญญาสิ้นสุด เพื่อให้ผู้ควบคุมทำหน้าที่ตามมาตรา 37 (3) ได้ครบ
- ขอสิทธิตรวจสอบและคุมผู้รับช่วงแนวปฏิบัติที่ดีคือสงวนสิทธิตรวจสอบหรือขอหลักฐานการปฏิบัติตาม และกำหนดให้การใช้ผู้รับช่วงประมวลผล (sub-processor) ต้องได้รับอนุญาตจากคุณก่อน
ทำไมต้องมีสัญญาประมวลผลข้อมูล (DPA)?
เพราะมาตรา 40 กำหนดว่า เมื่อผู้ประมวลผลข้อมูลทำงานตามที่ผู้ควบคุมข้อมูลมอบหมาย ผู้ควบคุมข้อมูลต้องจัดให้มีข้อตกลงระหว่างกัน เพื่อควบคุมการดำเนินงานของผู้ประมวลผลให้เป็นไปตาม พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562
มาตรา 37 (2) ยังกำหนดว่า เมื่อต้องให้ข้อมูลส่วนบุคคลแก่บุคคลหรือนิติบุคคลอื่นที่ไม่ใช่ผู้ควบคุมข้อมูล ผู้ควบคุมต้องดำเนินการป้องกันมิให้ผู้นั้นใช้หรือเปิดเผยข้อมูลโดยปราศจากอำนาจหรือโดยมิชอบ สัญญาคือเครื่องมือหลักในการทำหน้าที่นี้
ผู้ประมวลผลข้อมูลมีหน้าที่อะไรตามมาตรา 40?
มาตรา 40 วางหน้าที่ของผู้ประมวลผลไว้ 3 ข้อ และ DPA ที่ดีควรเขียนทั้ง 3 ข้อเป็นภาระผูกพันตามสัญญา
หน้าที่ข้อ (3) อาจได้รับยกเว้นสำหรับกิจการขนาดเล็กตามหลักเกณฑ์ที่คณะกรรมการประกาศ เว้นแต่การประมวลผลมีความเสี่ยงต่อสิทธิและเสรีภาพของเจ้าของข้อมูล ไม่ได้ทำเป็นครั้งคราว หรือเกี่ยวกับข้อมูลตามมาตรา 26
- (1) เก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลตามคำสั่งของผู้ควบคุมเท่านั้น เว้นแต่คำสั่งนั้นขัดต่อกฎหมาย
- (2) มีมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสม และแจ้งเหตุละเมิดข้อมูลที่เกิดขึ้นให้ผู้ควบคุมทราบ
- (3) จัดทำและเก็บรักษาบันทึกรายการกิจกรรมการประมวลผลตามหลักเกณฑ์ที่คณะกรรมการประกาศกำหนด
ถ้าผู้ประมวลผลทำนอกคำสั่ง จะเกิดอะไรขึ้น?
มาตรา 40 ให้ถือว่าผู้ประมวลผลที่ไม่ทำตามคำสั่งของผู้ควบคุม เป็นผู้ควบคุมข้อมูลสำหรับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนนั้น จึงต้องรับผิดชอบในฐานะผู้ควบคุมข้อมูลสำหรับกิจกรรมนั้นเอง
DPA ควรกำหนดเวลาแจ้งเหตุละเมิดไว้กี่ชั่วโมง?
มาตรา 40 (2) ไม่ได้กำหนดจำนวนชั่วโมงที่ผู้ประมวลผลต้องแจ้งผู้ควบคุม แต่ผู้ควบคุมต้องแจ้งสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (สคส.) โดยไม่ชักช้าภายใน 72 ชั่วโมงนับแต่ทราบเหตุเท่าที่จะทำได้ตามมาตรา 37 (4) สัญญาจึงควรให้ผู้ประมวลผลแจ้งเร็วกว่านั้นมาก
หากเหตุละเมิดมีความเสี่ยงสูงต่อสิทธิและเสรีภาพของบุคคล ผู้ควบคุมต้องแจ้งเจ้าของข้อมูลพร้อมแนวทางเยียวยาโดยไม่ชักช้าด้วย สัญญาจึงควรกำหนดให้ผู้ประมวลผลส่งข้อเท็จจริงที่จำเป็นต่อการประเมินความเสี่ยงมาพร้อมการแจ้ง
ปัญหาที่พบบ่อยและวิธีแก้
องค์กรส่วนใหญ่พลาดเรื่องนี้ใน 3 จุดเดิม ๆ ตารางด้านล่างบอกทั้งวิธีแก้ด้วยตัวเอง และวิธีที่ AIPDPA ช่วยให้เสร็จเร็วกว่าพร้อมหลักฐานครบ
| ปัญหา | วิธีแก้ |
|---|---|
| ✗ ใช้สัญญาบริการทั่วไปที่ไม่มีข้อเรื่องข้อมูลส่วนบุคคลเลย | ✓ แนบข้อตกลงประมวลผลข้อมูลเข้ากับสัญญาหลัก ให้ครอบคลุมหน้าที่ตามมาตรา 40 ทั้ง 3 ข้อ แม่แบบสัญญาประมวลผลข้อมูล (DPA) ใน AIPDPA มีทั้งภาษาไทยและอังกฤษ ข้อสัญญาผ่านการตรวจโดยทนายความ เป็นเอกสารพร้อมใช้เพียงใส่รายละเอียดคู่ค้า |
| ✗ ไม่รู้ว่าคู่ค้ารายไหนยังไม่มี DPA | ✓ ทำทะเบียนคู่ค้าที่ระบุบทบาทและสถานะสัญญาของแต่ละราย ทะเบียนคู่ค้าของ AIPDPA บันทึกว่าคู่ค้ารายใดเป็นผู้ประมวลผล สัญญามีข้อ DPA หรือไม่ กำหนดแจ้งเหตุกี่ชั่วโมง มีสิทธิตรวจสอบหรือไม่ และให้คะแนนความเสี่ยงของคู่ค้าแต่ละราย |
| ✗ สัญญาไม่กำหนดเวลาแจ้งเหตุ กว่าจะรู้ก็เลยกรอบ 72 ชั่วโมงไปแล้ว | ✓ เขียนชั่วโมงแจ้งเหตุและข้อมูลที่ต้องส่งไว้ในสัญญาให้ชัด เมื่อบันทึกเหตุลงทะเบียนเหตุละเมิดของ AIPDPA ระบบจะเริ่มนาฬิกานับถอยหลัง 72 ชั่วโมง พร้อมแบบประเมินความเสี่ยงและหนังสือแจ้ง สคส. ที่พร้อมใช้ |
สัญญา DPA พร้อมใช้ และรู้ทันทีว่าคู่ค้ารายไหนยังขาด
ทะเบียนคู่ค้าของ AIPDPA ชี้ว่าผู้ประมวลผลรายใดยังไม่มีข้อ DPA และมีแม่แบบสัญญาไทย-อังกฤษที่ข้อสัญญาผ่านการตรวจโดยทนายความพร้อมใช้ ดูบัญชีตัวอย่างได้ ไม่ต้องสมัคร
มีในแพ็กเกจ GROWTH · PRO · ENTERPRISE เริ่มต้น 4,900 บาท/ปี · ดูบัญชีตัวอย่างได้ ไม่ต้องสมัคร
คำถามที่พบบ่อย
คำถามที่คนค้นหาบ่อยที่สุดเรื่องนี้ แต่ละคำตอบสั้น ตรงประเด็น และอ่านแยกข้อได้
ผู้ควบคุมข้อมูลกับผู้ประมวลผลข้อมูลต่างกันอย่างไร?
ในทางปฏิบัติ ผู้ประมวลผลข้อมูลทำงานกับข้อมูลแทนผู้ควบคุม และมาตรา 40 (1) ให้ทำตามคำสั่งของผู้ควบคุมเท่านั้น ถ้าทำนอกคำสั่ง มาตรา 40 ให้ถือว่าผู้นั้นเป็นผู้ควบคุมข้อมูลสำหรับการประมวลผลนั้น
ต้องทำ DPA กับผู้ให้บริการทุกรายไหม?
ต้องทำกับผู้ให้บริการทุกรายที่ประมวลผลข้อมูลส่วนบุคคลตามที่คุณมอบหมาย เพราะมาตรา 40 ให้ผู้ควบคุมจัดให้มีข้อตกลงเพื่อควบคุมการทำงานของผู้ประมวลผล ส่วนคู่ค้าที่ไม่ได้แตะข้อมูลส่วนบุคคลไม่จำเป็นต้องมี
DPA ต้องทำเป็นสัญญาแยก หรือเพิ่มในสัญญาหลักได้?
มาตรา 40 กำหนดให้มีข้อตกลงโดยไม่ได้ระบุรูปแบบ จะทำเป็นสัญญาแยกหรือภาคผนวกของสัญญาหลักก็ได้ แนวปฏิบัติที่ดีคือทำเป็นลายลักษณ์อักษรเพื่อใช้เป็นหลักฐาน
ผู้ประมวลผลต้องทำ RoPA ของตัวเองด้วยหรือไม่?
ต้องทำ มาตรา 40 (3) ให้ผู้ประมวลผลจัดทำและเก็บบันทึกรายการกิจกรรมการประมวลผล เว้นแต่ได้รับยกเว้นในฐานะกิจการขนาดเล็กตามหลักเกณฑ์ที่คณะกรรมการประกาศ และไม่เข้ากรณีที่ยกเว้นไม่ได้
ผู้ให้บริการคลาวด์ต่างประเทศต้องเซ็น DPA ไหม?
ถ้าผู้ให้บริการประมวลผลข้อมูลตามที่คุณมอบหมาย ก็ต้องมีข้อตกลงตามมาตรา 40 ผู้ให้บริการรายใหญ่มักมีข้อตกลงมาตรฐาน ควรตรวจว่าครอบคลุมหน้าที่ทั้ง 3 ข้อ ส่วนการโอนข้อมูลไปต่างประเทศเป็นอีกเรื่องที่ต้องพิจารณาแยก
แหล่งอ้างอิง
คู่มือนี้อ้างอิงเอกสาร 4 รายการ ตัวบทกฎหมายระบุมาตราหรือข้อไว้ชัดเจน ส่วนแนวปฏิบัติและมาตรฐานเป็นแนวทาง ไม่ใช่กฎหมาย
- พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 มาตรา 40
- พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 มาตรา 37 (2)
- พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 มาตรา 37 (3)
- พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 มาตรา 37 (4)
ตัวบทในบทความนี้อ้างอิงจากคลังกฎหมายของ AIPDPA ซึ่งถอดจากราชกิจจานุเบกษา · เนื้อหาเป็นความรู้ทั่วไป หากกรณีของคุณมีข้อเท็จจริงเฉพาะ ทีมทนายของเราช่วยดูให้ได้
เครื่องมือและบริการที่ช่วยได้ทันที
อยากทำเองให้เร็วขึ้น ใช้เครื่องมือใน AIPDPA · อยากให้ทนายดูแลให้ หรืออยากเรียนให้เป็น เลือกบริการในเครือที่ตรงกับคุณได้เลย
รู้ว่าใครประมวลผลข้อมูลแทนคุณ ความเสี่ยงระดับไหน และสัญญาครบหรือยัง
ลงชื่อรอเปิดใช้งาน →เอกสารพร้อมใช้ 40 แบบ ไทย/อังกฤษ ยืนยันข้อสัญญาที่ AI เขียนเพิ่มครบ 88 ข้อ กรอกจากทะเบียนให้เอง และมี QR ยืนยันฉบับที่อนุมัติ
ลงชื่อรอเปิดใช้งาน →นาฬิกานับถอยหลัง 72 ชั่วโมงเริ่มทันทีที่บันทึกเหตุ ประเมินความเสี่ยง และออกหนังสือแจ้งสำนักงานกับเจ้าของข้อมูลพร้อมใช้
ลงชื่อรอเปิดใช้งาน →ทีมทนายความตรวจความพร้อมและวางระบบ PDPA ให้ครบ เหมาะกับ SME ที่ไม่มีเวลาทำเอง
ดูบริการ →คำอธิบายสัญญาไทยรายฉบับพร้อมมาตราที่อ้าง อากรแสตมป์ และภาษี
เปิดคลังความรู้ →
ใครรับผิดชอบเนื้อหานี้?
เรียบเรียงโดยทีมกฎหมาย AIPDPA · ผู้รับผิดชอบเนื้อหา ภูวรา ครอบตะคุ ทนายความ · เนติบัณฑิตไทย · ที่ปรึกษากฎหมายเทคโนโลยีและทรัพย์สินทางปัญญา
ใบอนุญาตทนายความ 477/2558 · เนติบัณฑิตไทย · นิติศาสตรมหาบัณฑิต กฎหมายทรัพย์สินทางปัญญาและสารสนเทศ (เหรียญทอง)
อ่านต่อ
คู่มือที่มักต้องทำต่อจากเรื่องนี้ เลือกอ่านได้ตามลำดับงานขององค์กรคุณ