กฎหมาย / PDPA
โอนข้อมูลส่วนบุคคลไปต่างประเทศ: PDPA มาตรา 28–29 และ SCC
คำตอบสั้น
คำตอบสั้น: การส่งข้อมูลส่วนบุคคลไปต่างประเทศต้องผ่านทางใดทางหนึ่ง ทางแรกคือประเทศปลายทางมีมาตรฐานคุ้มครองเพียงพอตามเกณฑ์ในประกาศตามมาตรา 28 ซึ่งพิจารณา 2 ปัจจัย คือมีกฎหมายหรือกลไกคุ้มครองที่สอดคล้องกับกฎหมายไทย และมีหน่วยงานที่มีอำนาจบังคับใช้ ทางที่สองคือใช้นโยบายคุ้มครองข้อมูลในเครือกิจการ (BCR) ที่สำนักงานตรวจสอบและรับรองแล้ว ทางที่สามคือใช้มาตรการคุ้มครองที่เหมาะสมตามประกาศตามมาตรา 29 เช่น ข้อสัญญาที่คู่สัญญาร่างเองครบเนื้อหาที่ประกาศกำหนด หรือข้อสัญญาต้นแบบ ASEAN MCC หรือ EU SCC ทางสุดท้ายคือข้อยกเว้น 6 ข้อในมาตรา 28 เช่น ความยินยอมหลังแจ้งว่าปลายทางคุ้มครองไม่เพียงพอ หรือความจำเป็นตามสัญญากับเจ้าของข้อมูล ทั้งสองประกาศใช้บังคับตั้งแต่ 24 มีนาคม 2567 การฝ่าฝืนมาตรา 28 หรือมาตรา 29 มีโทษปรับทางปกครองไม่เกิน 3 ล้านบาท และไม่เกิน 5 ล้านบาทถ้าเป็นข้อมูลอ่อนไหว
ฉบับก่อนหน้าของหน้านี้มีจุดที่ต้องแก้หลายจุด เขียนว่าสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลยังไม่มีข้อสัญญาต้นแบบ ทั้งที่ประกาศตามมาตรา 29 ข้อ 10(2) รับรอง ASEAN MCC และ EU SCC ไว้แล้ว และสำนักงานเผยแพร่ลิงก์ข้อสัญญาทั้งสองตั้งแต่เมษายน 2567 ให้เกณฑ์ประเมินประเทศปลายทาง 4 มิติ “ไม่ผ่าน 2 ใน 4” ซึ่งไม่มีในประกาศใด และยังมีคำถามเรื่องกำหนดก่อน 24 มีนาคม 2567 ที่ล่วงเลยมาแล้ว รวมถึงคำสัญญาส่งมอบงานในระยะเวลาตายตัวซึ่งไม่ควรอยู่ในบทความ บทความนี้ปรับใหม่ทั้งหมดในวันที่ 8 พ.ย. 2569 จากการอ่านตัวบท PDPA มาตรา 28 29 37 83 และ 84 กับข้อความเต็มของประกาศทั้งสองฉบับลงวันที่ 12 ธันวาคม 2566 ซึ่งประกาศในราชกิจจานุเบกษาวันที่ 25 ธันวาคม 2566 เป็นข้อมูลทั่วไปสำหรับฝ่ายกฎหมาย ฝ่ายไอที และผู้จัดซื้อระบบ ไม่ใช่ความเห็นว่าผู้ให้บริการหรือประเทศใดผ่านเกณฑ์
1) อะไรนับเป็น “การส่งหรือโอน” และอะไรไม่นับ: ข้อยกเว้นเรื่องทางผ่านและที่เก็บข้อมูล
ประกาศทั้งสองฉบับนิยามการส่งหรือโอนข้อมูลส่วนบุคคลว่าเป็นการส่งไปยังผู้รับในต่างประเทศ ไม่ว่าทางกายภาพหรือผ่านระบบคอมพิวเตอร์ แต่ไม่รวมกรณีที่ข้อมูลเพียงผ่านเครือข่ายระหว่างทาง (data transit) หรือถูกเก็บพักไว้ชั่วคราวหรือถาวรในรูปแบบที่บุคคลภายนอกเข้าถึงไม่ได้ เว้นแต่ผู้ควบคุม ผู้ประมวลผล หรือบุคลากรและผู้รับจ้างของบุคคลเหล่านั้น ประกาศยกตัวอย่างการส่งผ่านเครือข่ายระหว่างประเทศ และการส่งผ่านระบบของผู้ให้บริการคลาวด์ที่ไม่มีบุคคลอื่นเข้าถึงข้อมูลได้เพราะมาตรการทางเทคนิคหรือเงื่อนไขทางกฎหมาย
ผลในทางปฏิบัติคือ การมีศูนย์ข้อมูลอยู่ต่างประเทศอย่างเดียวยังไม่ตัดสินว่าเป็นการโอน สิ่งที่ตัดสินคือใครเข้าถึงข้อมูลได้จริง ถ้าพนักงานฝ่ายสนับสนุนของผู้ให้บริการในต่างประเทศเปิดดูข้อมูลลูกค้าได้ หรือผู้ให้บริการใช้ข้อมูลเพื่อวัตถุประสงค์ของตนเอง การส่งนั้นเข้าข่ายการโอนและต้องหาทางตามมาตรา 28 หรือ 29 แต่ถ้าข้อมูลเข้ารหัสและมีเพียงบริษัทเองที่ถือกุญแจ ข้อเท็จจริงนั้นสนับสนุนการอ้างข้อยกเว้นเรื่องที่เก็บข้อมูลได้ ควรเก็บหลักฐานทางเทคนิคและข้อสัญญาที่แสดงเรื่องนี้ไว้
- •ข้อมูลผ่านเครือข่ายระหว่างประเทศเพื่อส่งถึงปลายทางในไทย: ไม่ใช่การโอนตามนิยาม
- •เก็บสำรองบนคลาวด์ต่างประเทศที่เข้ารหัสและบริษัทถือกุญแจเอง: มีฐานอ้างข้อยกเว้นเรื่องที่เก็บข้อมูล
- •ระบบ CRM หรือระบบเงินเดือนที่ทีมผู้ให้บริการต่างประเทศเข้าดูข้อมูลได้: เป็นการโอน ต้องใช้มาตรา 28 หรือ 29
- •ส่งข้อมูลให้บริษัทแม่ บริษัทในเครือ หรือคู่ค้าต่างประเทศใช้งาน: เป็นการโอนเสมอ
2) มาตรา 28: เกณฑ์ประเทศปลายทาง 2 ปัจจัย และสถานะรายชื่อประเทศ
มาตรา 28 ใช้กับผู้ควบคุมข้อมูลที่ส่งข้อมูลไปต่างประเทศ ประเทศปลายทางหรือองค์การระหว่างประเทศต้องมีมาตรฐานคุ้มครองที่เพียงพอ ข้อ 5 ของประกาศตามมาตรา 28 ให้พิจารณา 2 ปัจจัย ปัจจัยแรกคือมีมาตรการหรือกลไกทางกฎหมายที่สอดคล้องกับกฎหมายไทย โดยเฉพาะหน้าที่ของผู้ควบคุมในการรักษาความมั่นคงปลอดภัย มาตรการคุ้มครองที่บังคับได้ตามสิทธิของเจ้าของข้อมูล และการเยียวยาที่มีผลจริง ปัจจัยที่สองคือมีหน่วยงานที่มีหน้าที่และอำนาจบังคับใช้กฎหมายคุ้มครองข้อมูล
ข้อ 6 ให้คณะกรรมการวินิจฉัยเป็นรายกรณี หรือจัดทำรายชื่อประเทศหรือองค์การระหว่างประเทศที่มีมาตรฐานเพียงพอ ณ วันที่ทบทวนบทความนี้ เราไม่พบรายชื่อที่คณะกรรมการประกาศแล้ว ผู้ส่งข้อมูลจึงต้องประเมินเองและบันทึกเหตุผล หรือเลือกใช้ทางตามมาตรา 29 แทน การนำรายชื่อ adequacy ของสหภาพยุโรปมาใช้โดยตรงไม่ใช่การประเมินตามเกณฑ์ไทย แม้ข้อมูลจากรายชื่อนั้นใช้ประกอบการวิเคราะห์ได้
ถ้าผู้ส่งข้อมูลไม่แน่ใจ มาตรา 28 วรรคสามและข้อ 6 ของประกาศเปิดให้เสนอเรื่องต่อคณะกรรมการวินิจฉัยได้ โดยสำนักงานอาจรับเรื่องที่ผู้ควบคุมเสนอหรือรวบรวมข้อมูลเสนอเอง และข้อ 7 ให้สำนักงานจัดทำรายงานมาตรฐานคุ้มครองของปลายทางประกอบ
3) ข้อยกเว้น 6 ข้อ: เลือกฐานที่ตรงข้อเท็จจริงก่อนคิดถึงความยินยอม
มาตรา 28 วรรคหนึ่ง (1) ถึง (6) และข้อ 4 ของประกาศ ให้โอนได้แม้ปลายทางไม่มีมาตรฐานเพียงพอ ถ้าเป็นการปฏิบัติตามกฎหมาย ได้รับความยินยอมหลังแจ้งเจ้าของข้อมูลว่าปลายทางคุ้มครองไม่เพียงพอ จำเป็นเพื่อปฏิบัติตามสัญญาที่เจ้าของข้อมูลเป็นคู่สัญญาหรือเพื่อดำเนินการตามคำขอก่อนทำสัญญา เป็นการทำตามสัญญาระหว่างผู้ควบคุมกับบุคคลอื่นเพื่อประโยชน์ของเจ้าของข้อมูล เพื่อป้องกันอันตรายต่อชีวิต ร่างกาย หรือสุขภาพเมื่อเจ้าของข้อมูลให้ความยินยอมไม่ได้ในขณะนั้น หรือจำเป็นเพื่อภารกิจเพื่อประโยชน์สาธารณะที่สำคัญ มาตรา 29 วรรคท้ายให้ใช้ข้อยกเว้นชุดเดียวกันเมื่อไม่มี BCR หรือมาตรการคุ้มครองที่เหมาะสม
ความยินยอมเป็นฐานที่เปราะที่สุด เพราะต้องแจ้งความไม่เพียงพอของปลายทางก่อน เจ้าของข้อมูลถอนได้ตลอด และในความสัมพันธ์ที่อำนาจต่อรองไม่เท่ากัน เช่น นายจ้างกับลูกจ้าง ความสมัครใจถูกโต้แย้งได้ง่าย การโอนที่เกิดขึ้นเป็นประจำในระบบงาน เช่น ระบบเงินเดือนของกลุ่มบริษัท จึงควรใช้ BCR หรือข้อสัญญาตามมาตรา 29 มากกว่า
ตัวอย่าง A (ฐานตามสัญญากับเจ้าของข้อมูล): บริษัททัวร์ในไทยส่งชื่อ เลขหนังสือเดินทาง และวันเข้าพักของลูกค้าให้โรงแรมในต่างประเทศเพื่อจองห้องตามที่ลูกค้าซื้อแพ็กเกจ การส่งนี้จำเป็นเพื่อปฏิบัติตามสัญญาที่ลูกค้าเป็นคู่สัญญา จึงใช้มาตรา 28(3) ได้ แต่ข้อยกเว้นนี้ครอบคลุมเฉพาะข้อมูลที่จำเป็นต่อการจอง ถ้าบริษัทส่งประวัติการซื้อทั้งหมดให้โรงแรมเพื่อทำการตลาด ส่วนเกินนั้นไม่มีฐานจากข้อนี้
4) BCR สำหรับเครือกิจการ: ต้องได้รับการตรวจสอบและรับรองจากสำนักงานก่อนใช้
ข้อ 5 ของประกาศตามมาตรา 29 ให้ผู้ควบคุมหรือผู้ประมวลผลในไทยโอนข้อมูลให้ผู้รับในต่างประเทศที่อยู่ในเครือกิจการหรือเครือธุรกิจเดียวกันได้ เมื่อมีนโยบายคุ้มครองข้อมูลในเครือกิจการที่สำนักงานตรวจสอบและรับรองแล้ว คำว่าเครือกิจการพิจารณาจากอำนาจควบคุมแบบบริษัทใหญ่ บริษัทย่อย หรือบริษัทร่วม ตามมาตรฐานการบัญชีที่รับรองทั่วไป ข้อ 6 ให้ยื่นนโยบายต่อสำนักงานด้วยตนเอง ทางไปรษณีย์ หรือทางอิเล็กทรอนิกส์
ข้อ 7 กำหนดเกณฑ์ขั้นต่ำ 3 ข้อ นโยบายต้องมีผลบังคับได้ตามกฎหมายต่อทุกนิติบุคคลในเครือที่เกี่ยวข้องและต่อพนักงาน ต้องมีข้อรับรองการคุ้มครองข้อมูล สิทธิของเจ้าของข้อมูล และช่องทางร้องเรียนสำหรับข้อมูลที่ถูกโอน และต้องมีมาตรการรักษาความมั่นคงปลอดภัยไม่ต่ำกว่ามาตรฐานขั้นต่ำตามกฎหมาย คู่มือ Chambers 2026 รายงานว่าคณะกรรมการออกระเบียบว่าด้วยการยื่น การพิจารณา การตรวจสอบ การรับรอง และการกำกับ BCR เมื่อ 29 กันยายน 2568 ซึ่งแยก BCR สำหรับผู้ควบคุมและสำหรับผู้ประมวลผล ผู้ที่จะยื่นควรอ่านระเบียบฉบับนั้นจากสำนักงานโดยตรง
ตัวอย่าง B (ช่วงเปลี่ยนผ่านของกลุ่มบริษัท): บริษัทลูกในไทยส่งข้อมูลพนักงานให้สำนักงานใหญ่ในญี่ปุ่นทุกเดือน และเริ่มจัดทำ BCR ระหว่างที่สำนักงานยังไม่รับรอง การโอนจะอ้าง BCR ไม่ได้ บริษัทต้องลงนามข้อสัญญาตามมาตรา 29 ข้อ 10 กับสำนักงานใหญ่ไปก่อน เมื่อได้รับการรับรองแล้วจึงย้ายฐานมาใช้ BCR และควรปรับประกาศความเป็นส่วนตัวของพนักงานให้ระบุฐานใหม่
5) มาตรการคุ้มครองที่เหมาะสม: ข้อสัญญาร่างเอง หรือ ASEAN MCC และ EU SCC พร้อม 7 เรื่องที่ต้องมี
ข้อ 8 ของประกาศตามมาตรา 29 ใช้เมื่อยังไม่มีคำวินิจฉัยเรื่องความเพียงพอของปลายทางหรือไม่มี BCR มาตรการที่เหมาะสมมี 3 แบบ คือข้อสัญญา การรับรองมาตรฐาน (certification) ตามที่คณะกรรมการกำหนด และข้อตกลงระหว่างหน่วยงานรัฐ ข้อ 9 กำหนดให้ทุกแบบต้องบังคับได้ตามกฎหมายต่อผู้ส่ง ผู้รับ และผู้ประมวลผลที่เกี่ยวข้อง ต้องรับรองสิทธิของเจ้าของข้อมูลและช่องทางร้องเรียน และต้องมีมาตรการรักษาความมั่นคงปลอดภัยไม่ต่ำกว่ามาตรฐานขั้นต่ำ
ข้อ 10 แยกข้อสัญญาเป็น 2 ทาง ทาง (1) คือข้อสัญญาที่คู่สัญญาตกลงกันเอง ซึ่งต้องมีเนื้อหาครบ เช่น การประมวลผลและการโอนเป็นไปตามกฎหมายคุ้มครองข้อมูล มาตรการความมั่นคงปลอดภัยขั้นต่ำ หน้าที่ของผู้รับที่เป็นผู้ประมวลผลให้ทำตามคำสั่ง แจ้งคำขอใช้สิทธิของเจ้าของข้อมูล คืนหรือลบข้อมูลพร้อมยืนยันเป็นหนังสือ และแจ้งเหตุละเมิดภายใน 72 ชั่วโมง ทาง (2) คือข้อสัญญาตามกฎหมายต่างประเทศหรือขององค์การระหว่างประเทศ ได้แก่ ASEAN Model Contractual Clauses, EU Standard Contractual Clauses ตาม GDPR และข้อสัญญาอื่นที่คณะกรรมการกำหนด
ข้อ 11 บังคับว่าข้อสัญญาตามทาง (2) ต้องมีเนื้อหา 7 เรื่อง และข้อ 12 อนุญาตให้อ้างกฎหมายที่ใช้บังคับ เพิ่มมาตรการคุ้มครอง หรือแก้ข้อความที่ไม่ใช่สาระสำคัญได้ ตราบที่ไม่ขัดหลักในข้อ 11 และไม่กระทบสิทธิเสรีภาพของเจ้าของข้อมูล ตัวอย่าง C: บริษัทใช้ EU SCC ที่ผู้ให้บริการคลาวด์แนบมากับสัญญามาตรฐาน แล้วเพิ่มภาคผนวกระบุ PDPA ช่องทางร้องเรียนต่อสำนักงาน และหน้าที่แจ้งเหตุภายใน 72 ชั่วโมง การเพิ่มแบบนี้ทำได้ตามข้อ 12 แต่ถ้าภาคผนวกตัดสิทธิเจ้าของข้อมูลในการขอลบข้อมูลออก จะขัดข้อ 11(6) และไม่ใช่การแก้ไขที่อนุญาต
- •11(1) วิธีแจ้งเจ้าของข้อมูลว่ามีการส่งหรือโอน
- •11(2) จำกัดการโอนเท่าที่จำเป็นและเกี่ยวข้องกับวัตถุประสงค์
- •11(3) ทางเลือกให้เจ้าของข้อมูลถอนความยินยอมการโอนต่อบุคคลที่สาม หรือการใช้นอกวัตถุประสงค์
- •11(4) ความรับผิดชอบของคู่สัญญา รวมถึงการโอนต่อไปยังบุคคลที่สาม
- •11(5) มาตรการความมั่นคงปลอดภัยเพื่อป้องกันการละเมิดข้อมูล
- •11(6) สิทธิเข้าถึง ความถูกต้องครบถ้วนของข้อมูล และการลบ ทำลาย หรือทำให้ระบุตัวไม่ได้
- •11(7) การเยียวยาที่มีผล การบังคับใช้ และความรับผิดจากการโอนโดยไม่ชอบ
6) เส้นตาย 72 ชั่วโมงเมื่อข้อมูลที่โอนไปรั่ว และหน้าที่ของผู้ส่งข้อมูลในไทย
ข้อสัญญาตามข้อ 10(1) ต้องให้ผู้รับในต่างประเทศแจ้งผู้ส่งโดยไม่ชักช้าภายใน 72 ชั่วโมงนับแต่ทราบเหตุละเมิด ถ้าผู้รับเป็นผู้ควบคุมข้อมูลเอง มีข้อยกเว้นเมื่อเหตุนั้นไม่มีความเสี่ยงที่จะกระทบสิทธิเสรีภาพของบุคคล ส่วนผู้ควบคุมในไทยมีหน้าที่ของตนเองตาม PDPA มาตรา 37(4) ที่ต้องแจ้งสำนักงานภายใน 72 ชั่วโมงนับแต่ทราบเหตุ เว้นแต่ไม่มีความเสี่ยง และแจ้งเจ้าของข้อมูลพร้อมแนวทางเยียวยาเมื่อมีความเสี่ยงสูง สองเส้นตายนี้นับแยกกัน
ตัวอย่าง D (นับชั่วโมง): ผู้ให้บริการระบบในสิงคโปร์ตรวจพบการเข้าถึงโดยไม่ได้รับอนุญาตเวลา 09:00 น. ของวันที่ 10 มีนาคม 2570 ตามสัญญาต้องแจ้งบริษัทในไทยภายใน 09:00 น. ของวันที่ 13 มีนาคม 2570 ถ้าแจ้งมาถึงบริษัทเวลา 15:00 น. ของวันที่ 12 มีนาคม 2570 บริษัทต้องประเมินและแจ้งสำนักงานภายใน 15:00 น. ของวันที่ 15 มีนาคม 2570 ถ้าเหตุนั้นมีความเสี่ยง บริษัทจึงควรกำหนดในสัญญาให้ผู้รับแจ้งเร็วกว่าเพดาน 72 ชั่วโมง และกำหนดข้อมูลขั้นต่ำที่ต้องแจ้ง เพื่อให้มีเวลาประเมินของตนเองจริง
- •ระบุชื่อผู้ติดต่อเรื่องเหตุละเมิดทั้งสองฝั่งพร้อมช่องทางที่ติดต่อได้ตลอดเวลา
- •กำหนดรายการข้อมูลที่ต้องแจ้ง เช่น ประเภทข้อมูล จำนวนรายการโดยประมาณ ช่วงเวลา และมาตรการที่ทำแล้ว
- •ซ้อมสถานการณ์ข้ามประเทศอย่างน้อยปีละครั้ง และบันทึกผลไว้เป็นหลักฐานมาตรการรักษาความปลอดภัย
7) โทษปรับ ทะเบียนการโอน และขั้นตอนตรวจก่อนเปิดระบบใหม่
PDPA มาตรา 83 กำหนดโทษปรับทางปกครองไม่เกิน 3 ล้านบาทสำหรับผู้ควบคุมที่ฝ่าฝืนมาตรา 28 หรือโอนโดยไม่เป็นไปตามมาตรา 29 วรรคหนึ่งหรือวรรคสาม และมาตรา 84 เพิ่มเป็นไม่เกิน 5 ล้านบาทเมื่อเป็นข้อมูลอ่อนไหวตามมาตรา 26 เช่น ข้อมูลสุขภาพ ข้อมูลชีวภาพ หรือประวัติอาชญากรรม ตัวอย่าง E: บริษัทส่งรายชื่อลูกค้าทั่วไปให้ผู้ให้บริการต่างประเทศโดยไม่มีฐานใดเลย เพดานโทษคือ 3,000,000 บาท ถ้าชุดเดียวกันมีผลตรวจสุขภาพพนักงานด้วย เพดานของส่วนนั้นคือ 5,000,000 บาท ตัวเลขเหล่านี้เป็นเพดานที่คณะกรรมการผู้เชี่ยวชาญใช้ดุลพินิจตามพฤติการณ์ ไม่ใช่อัตราคงที่ และไม่รวมความรับผิดทางแพ่งตามมาตรา 77
เครื่องมือที่ช่วยมากที่สุดคือทะเบียนการโอนรายเส้นทาง แต่ละแถวควรมีระบบ ผู้รับ ประเทศ ประเภทข้อมูล ข้อมูลอ่อนไหวหรือไม่ ใครเข้าถึงได้ ฐานที่ใช้ เอกสารหลักฐาน และวันทบทวน ทะเบียนนี้ต่อกับบันทึกรายการตามมาตรา 39 ได้โดยตรง เพราะมาตรา 39(1) และ (2) ต้องบันทึกข้อมูลที่เก็บและวัตถุประสงค์อยู่แล้ว
ตัวอย่าง F (ก่อนเปิดระบบใหม่): ฝ่ายขายต้องการใช้ระบบ CRM ที่โฮสต์ในต่างประเทศ ขั้นแรกตรวจว่าทีมผู้ให้บริการเข้าถึงข้อมูลได้หรือไม่ ถ้าได้ถือเป็นการโอน ขั้นที่สองตรวจว่ามีคำวินิจฉัยความเพียงพอของประเทศนั้นหรือไม่ ถ้าไม่มี ให้ขอข้อสัญญามาตรฐานของผู้ให้บริการ แล้วไล่ครบ 7 เรื่องตามข้อ 11 ขั้นที่สามเพิ่มภาคผนวกตามข้อ 12 ขั้นที่สี่ปรับประกาศความเป็นส่วนตัวให้แจ้งการโอน ขั้นสุดท้ายบันทึกเส้นทางนี้ลงทะเบียนการโอนก่อนนำข้อมูลจริงเข้าระบบ
สรุป
การโอนข้อมูลไปต่างประเทศที่ตรวจสอบได้เริ่มจากคำถามว่าใครเข้าถึงข้อมูลได้จริง แล้วจึงเลือกทางที่ตรงกับความสัมพันธ์ระหว่างผู้ส่งกับผู้รับ ไม่ใช่เริ่มจากแบบฟอร์มความยินยอม ถ้าต้องการให้เราไล่ระบบที่ใช้อยู่ ทำทะเบียนการโอน ตรวจข้อสัญญามาตรฐานของผู้ให้บริการเทียบกับข้อ 11 หรือร่างภาคผนวกตามกฎหมายไทย ส่งรายชื่อระบบและประเทศปลายทางมาให้เจ้าหน้าที่ประเมินขอบเขตและออกใบเสนอราคาได้
ติดต่อขอคำปรึกษาคำถามที่พบบ่อย
ต้องขออนุญาตหรือแจ้งสำนักงานก่อนโอนข้อมูลด้วยข้อสัญญามาตรฐานหรือไม่+
ประกาศตามมาตรา 29 ไม่ได้กำหนดให้ขออนุญาตหรือแจ้งสำนักงานก่อนใช้ข้อสัญญาตามข้อ 10 แต่ผู้ส่งต้องพิสูจน์ได้ว่าข้อสัญญามีเนื้อหาครบตามข้อ 9 ถึงข้อ 11 ส่วน BCR ต่างออกไป เพราะต้องได้รับการตรวจสอบและรับรองจากสำนักงานก่อนจึงอ้างเป็นฐานได้ตามข้อ 5
เก็บข้อมูลบนคลาวด์ที่ศูนย์ข้อมูลอยู่ต่างประเทศ ถือว่าโอนข้อมูลไปต่างประเทศหรือไม่+
ไม่เสมอไป ประกาศยกเว้นการเก็บพักข้อมูลที่บุคคลภายนอกเข้าถึงไม่ได้ นอกจากผู้ควบคุม ผู้ประมวลผล และบุคลากรของผู้ควบคุมหรือผู้ประมวลผล เพราะมาตรการทางเทคนิคหรือเงื่อนไขทางกฎหมาย ถ้าผู้ให้บริการหรือบุคคลอื่นเข้าถึงข้อมูลได้ เช่น ทีมสนับสนุนเปิดดูข้อมูลลูกค้า หรือผู้ให้บริการใช้ข้อมูลเพื่อตนเอง ควรถือเป็นการโอนและใช้ทางตามมาตรา 28 หรือ 29
ใช้ความยินยอมของลูกค้าเป็นฐานโอนข้อมูลทั้งหมดได้หรือไม่+
ทำได้ตามมาตรา 28(2) แต่ต้องแจ้งก่อนว่าประเทศปลายทางมีมาตรฐานคุ้มครองไม่เพียงพอ และเจ้าของข้อมูลถอนความยินยอมได้ ซึ่งจะทำให้การโอนต่อจากนั้นไม่มีฐาน สำหรับการโอนที่เป็นส่วนหนึ่งของระบบงานประจำ ข้อสัญญาตามมาตรา 29 หรือข้อยกเว้นเรื่องความจำเป็นตามสัญญากับเจ้าของข้อมูลมักมั่นคงกว่า
แก้ไข EU SCC หรือ ASEAN MCC ให้เข้ากับกฎหมายไทยได้แค่ไหน+
ข้อ 12 ของประกาศตามมาตรา 29 อนุญาตให้อ้างกฎหมายที่ใช้บังคับ แก้ข้อความอื่น เพิ่มมาตรการคุ้มครอง หรือแก้ส่วนที่ไม่ใช่สาระสำคัญได้ ถ้าไม่ขัดหลัก 7 เรื่องในข้อ 11 และไม่กระทบสิทธิเสรีภาพของเจ้าของข้อมูล การเพิ่มภาคผนวกเรื่อง PDPA และช่องทางร้องเรียนทำได้ แต่การตัดสิทธิหรือการเยียวยาของเจ้าของข้อมูลทำไม่ได้
ผู้ประมวลผลข้อมูลในไทยที่ส่งข้อมูลต่อไปต่างประเทศต้องทำตามเกณฑ์นี้ด้วยหรือไม่+
ต้องทำ มาตรา 29 และประกาศตามมาตรา 29 ใช้กับทั้งผู้ควบคุมและผู้ประมวลผลที่อยู่ในราชอาณาจักร ผู้ประมวลผลที่ใช้ผู้รับจ้างช่วงหรือระบบในต่างประเทศจึงต้องมี BCR ที่ได้รับการรับรองหรือข้อสัญญาตามข้อ 10 กับผู้รับ และควรได้รับความเห็นชอบจากผู้ควบคุมตามสัญญาประมวลผลก่อนเปลี่ยนผู้รับจ้างช่วง
บทความที่เกี่ยวข้อง
ดูทั้งหมด →