ทำไมการส่งข้อมูลข้ามพรมแดนจึงเป็นประเด็นเร่งด่วนสำหรับองค์กรไทยในปี 2026
ในยุคที่การดำเนินธุรกิจพึ่งพาเทคโนโลยีและบริการ Cloud ข้ามชาติมากขึ้นทุกวัน องค์กรไทยจำนวนมากส่งข้อมูลส่วนบุคคลออกนอกประเทศโดยอาจไม่รู้ตัว ไม่ว่าจะเป็นการใช้ CRM บนระบบ SaaS ที่ตั้งเซิร์ฟเวอร์ในสิงคโปร์ การส่งข้อมูล HR ไปยังบริษัทแม่ในยุโรป หรือการใช้บริการ Email Marketing จากผู้ให้บริการในสหรัฐอเมริกา
พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 (PDPA) ได้วางกรอบกฎเกณฑ์สำหรับการส่งข้อมูลประเภทนี้ไว้อย่างชัดเจนในมาตรา 28 และ 29 ซึ่งหลายองค์กรยังมีความเข้าใจไม่ครบถ้วน บทความนี้จึงรวบรวมข้อกำหนดสำคัญ พร้อม Checklist ปฏิบัติได้จริง เพื่อช่วยให้ DPO เจ้าหน้าที่ Compliance และทีมกฎหมายสามารถประเมินและจัดการความเสี่ยงได้อย่างมีประสิทธิภาพ
มาตรา 28: หลักการพื้นฐานของการส่งข้อมูลไปยังต่างประเทศ
มาตรา 28 แห่ง PDPA กำหนดว่า ผู้ควบคุมข้อมูลส่วนบุคคล (Data Controller) ไม่อาจส่งหรือโอนข้อมูลส่วนบุคคลไปยังต่างประเทศได้อย่างเสรี เว้นแต่ประเทศปลายทางหรือองค์การระหว่างประเทศที่รับข้อมูลนั้นจะมีมาตรฐานการคุ้มครองข้อมูลส่วนบุคคลที่เพียงพอ
ประเทศที่มีมาตรฐานการคุ้มครองเพียงพอ (Adequacy Decision)
สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (PDPC) มีอำนาจประกาศรายชื่อประเทศหรือดินแดนที่ได้รับการยอมรับว่ามีมาตรฐานการคุ้มครองข้อมูลส่วนบุคคลที่เพียงพอเทียบเท่าประเทศไทย ในกรณีที่ส่งข้อมูลไปยังประเทศเหล่านี้ ผู้ควบคุมข้อมูลสามารถดำเนินการได้โดยไม่ต้องใช้กลไกเพิ่มเติม
อย่างไรก็ตาม จนถึงปัจจุบัน PDPC ยังอยู่ในระหว่างการพัฒนารายชื่อประเทศดังกล่าว ดังนั้น องค์กรส่วนใหญ่ยังคงต้องพึ่งพากลไกอื่น ที่กฎหมายกำหนดไว้เป็นทางเลือก
มาตรา 29: ข้อยกเว้นและกลไกทดแทน
เมื่อประเทศปลายทางไม่ผ่านเกณฑ์ Adequacy Decision มาตรา 29 ได้กำหนดกลไกทดแทน 6 ประการที่ผู้ควบคุมข้อมูลสามารถนำมาใช้ได้ ดังนี้
1. Binding Corporate Rules (BCR)
BCR คือนโยบายการคุ้มครองข้อมูลส่วนบุคคลภายในกลุ่มบริษัท ซึ่งผ่านการรับรองจาก PDPC หรือหน่วยงานกำกับดูแลที่ได้รับการยอมรับ เหมาะสำหรับบริษัทข้ามชาติหรือกลุ่มธุรกิจที่มีการแลกเปลี่ยนข้อมูลระหว่างบริษัทในเครืออย่างสม่ำเสมอ
ข้อดี: ครอบคลุมการส่งข้อมูลทุกกรณีภายในกลุ่มบริษัท ลดภาระในการขอความยินยอมรายครั้ง
ข้อเสีย: กระบวนการจัดทำและได้รับการรับรองมีความซับซ้อนและใช้เวลานาน
2. Standard Contractual Clauses (SCC)
SCC คือสัญญามาตรฐานระหว่างผู้ส่งข้อมูลและผู้รับข้อมูลในต่างประเทศ ซึ่ง PDPC อาจกำหนดแบบมาตรฐานขึ้น หรืออาจอ้างอิงจากแบบมาตรฐานที่หน่วยงานกำกับดูแลระดับสากลยอมรับ เช่น SCC ของสหภาพยุโรป
สิ่งที่ต้องระวัง: SCC จะมีผลก็ต่อเมื่อทั้งสองฝ่ายผูกพันตามสัญญาจริง และผู้ส่งข้อมูลต้องตรวจสอบว่าผู้รับปฏิบัติตามพันธะที่กำหนดไว้อย่างต่อเนื่อง
3. ความยินยอมที่ชัดแจ้งจากเจ้าของข้อมูล
ผู้ควบคุมข้อมูลสามารถส่งข้อมูลออกนอกประเทศได้ หากได้รับความยินยอมอย่างชัดแจ้ง (Explicit Consent) จากเจ้าของข้อมูลก่อน โดยต้องแจ้งให้ทราบถึง
- ประเทศปลายทางที่ข้อมูลจะถูกส่งไป
- มาตรฐานการคุ้มครองของประเทศนั้นที่อาจต่ำกว่าไทย
- ความเสี่ยงที่อาจเกิดขึ้นจากการส่งข้อมูลดังกล่าว
ข้อจำกัดสำคัญ: ความยินยอมที่ฝังอยู่ในเงื่อนไขการให้บริการทั่วไปอาจไม่เพียงพอ และต้องมีกลไกให้เจ้าของข้อมูลสามารถถอนความยินยอมได้
4. ความจำเป็นเพื่อการปฏิบัติตามสัญญา
หากการส่งข้อมูลจำเป็นต่อการปฏิบัติตามสัญญาระหว่างผู้ควบคุมข้อมูลและเจ้าของข้อมูล หรือเพื่อดำเนินการตามคำขอของเจ้าของข้อมูลก่อนทำสัญญา สามารถดำเนินการได้โดยไม่ต้องขอความยินยอมเพิ่มเติม
ตัวอย่าง: การจองโรงแรมหรือตั๋วเครื่องบินระหว่างประเทศ ซึ่งจำเป็นต้องส่งข้อมูลผู้โดยสารไปยังผู้ให้บริการในต่างประเทศ
5. ประโยชน์สาธารณะหรือผลประโยชน์สำคัญ
สามารถใช้ได้ในกรณีที่การส่งข้อมูลมีความจำเป็นเพื่อประโยชน์สาธารณะหรือเพื่อปกป้องผลประโยชน์สำคัญของเจ้าของข้อมูล เช่น การส่งข้อมูลด้านสุขภาพเพื่อการรักษาฉุกเฉินในต่างประเทศ
6. การเรียกร้องสิทธิทางกฎหมาย
ในกรณีที่จำเป็นต้องส่งข้อมูลเพื่อการก่อตั้ง การใช้สิทธิ หรือการยกขึ้นต่อสู้ซึ่งสิทธิเรียกร้องตามกฎหมาย
ข้อพิจารณาพิเศษสำหรับบริการ Cloud
หนึ่งในความท้าทายที่พบบ่อยที่สุดในทางปฏิบัติคือ บริการ Cloud จากผู้ให้บริการต่างประเทศ ซึ่งมีลักษณะพิเศษที่ต้องพิจารณาเพิ่มเติม
Data Residency vs. Data Sovereignty
องค์กรหลายแห่งเข้าใจผิดว่าการเลือก "Region Asia Pacific" หรือ "Singapore Region" ในบริการ Cloud หมายความว่าข้อมูลไม่ถูกส่งออกนอกประเทศไทย แต่ในความเป็นจริง
- Metadata และ Log Files อาจถูกประมวลผลในภูมิภาคอื่น
- Backup และ Disaster Recovery อาจมีการจำลองข้อมูลไปยังหลาย Region
- Support Access ทีมสนับสนุนของผู้ให้บริการจากต่างประเทศอาจเข้าถึงข้อมูลได้
สิ่งที่ต้องดำเนินการ: ตรวจสอบ Data Processing Agreement (DPA) และ Privacy Policy ของผู้ให้บริการ Cloud แต่ละราย และระบุให้ชัดเจนว่าข้อมูลส่วนบุคคลถูกประมวลผลหรือจัดเก็บที่ใดบ้าง
Sub-processor และ Third-party Vendors
ผู้ประมวลผลข้อมูล (Data Processor) ที่เป็นผู้ให้บริการ Cloud มักใช้ Sub-processor หลายราย ซึ่งแต่ละรายอาจตั้งอยู่ในประเทศที่แตกต่างกัน ผู้ควบคุมข้อมูลมีหน้าที่ตรวจสอบว่า Sub-processor เหล่านี้มีมาตรฐานการคุ้มครองข้อมูลที่เพียงพอด้วย
