เซิร์ฟเวอร์อยู่ต่างประเทศ ถือเป็นการโอนข้อมูลข้ามแดนหรือไม่

สำหรับประเด็น “โอนข้อมูลข้ามแดน” ต้องเริ่มจากข้อเท็จจริงของงานที่จะทำ บทความนี้อธิบายเงื่อนไขที่ทำให้คำตอบต่างกัน พร้อมวิธีตัดสินใจและหลักฐานที่ควรเตรียมก่อนเกิดข้อร้องเรียน

สถานการณ์แบบใดให้คำตอบต่างกัน

ตัวอย่างต่อไปนี้เป็นกรณีสมมติเพื่ออธิบายหลัก ไม่ใช่การเปิดเผยข้อมูลลูกความหรือคำพิพากษา

• ฝากข้อมูลในต่างประเทศโดยไม่มีบุคคลภายนอกเข้าถึงได้เพราะมาตรการทางเทคนิคหรือเงื่อนไขกฎหมาย ต้องตรวจว่าตรงข้อยกเว้นนิยามหรือไม่
• ทีมสนับสนุนของผู้ให้บริการต่างประเทศเปิดดูแฟ้มลูกค้าได้ ต้องประเมินผู้รับและการส่งหรือโอนจากสิทธิและวิธีทำงานจริง
• ส่งข้อมูลให้บริษัทในเครือต่างประเทศวิเคราะห์ลูกค้า เป็นกิจกรรมที่ต้องตรวจกลไกการโอน ไม่ยกเว้นเพียงเพราะอยู่ในกลุ่มเดียวกัน

ควรตัดสินใจตามลำดับใด

ทำแผนผังที่จัดเก็บและผู้เข้าถึง ตรวจนิยามตามประกาศก่อน หากเป็นการส่งหรือโอน ให้ระบุทางกฎหมายตามมาตรา 28 หรือ 29 พร้อมหลักฐาน ไม่ใช้ฐานประโยชน์โดยชอบด้วยกฎหมายของกิจกรรมภายในมาแทนกลไกการโอน

ตรวจการโอนข้อมูลข้ามแดนจากคลาวด์อย่างไร

อย่าหยุดที่ชื่อภูมิภาค

ขอประเทศของฐานหลัก สำรอง และทีมสนับสนุน รวมถึงผู้รับช่วง การเลือกเก็บในไทยไม่ได้ตอบว่าผู้ให้บริการจากที่อื่นเข้าถึงได้หรือไม่

ข้อยกเว้นสื่อกลางต้องมีข้อเท็จจริง

ประกาศแยกการส่งผ่านหรือเก็บพักที่ไม่มีบุคคลภายนอกเข้าถึงนอกจากผู้ส่งและบุคลากรที่เกี่ยวข้องตามนิยาม ต้องแสดงมาตรการหรือเงื่อนไขรองรับ ไม่ใช่อ้างเพียงว่าเข้ารหัสทั้งที่คู่ค้าถือกุญแจและเปิดอ่านได้

DPA ไม่ใช่กลไกโอนครบทุกกรณี

DPA ควบคุมงานประมวลผล ส่วนกลไกข้ามแดนต้องตอบอีกชุดว่าผู้รับคุ้มครองและบังคับสิทธิได้อย่างไร หากใช้ข้อสัญญาคุ้มครอง ต้องตรวจเนื้อหาและการนำไปใช้จริงตามประกาศ

ความยินยอมไม่ใช่ทางลัดเสมอ

ข้อยกเว้นตามมาตรา 28 (2) ต้องแจ้งเรื่องมาตรฐานไม่เพียงพอ และความยินยอมต้องมีคุณสมบัติตามกฎหมาย ไม่ควรผูกกับบริการที่ไม่จำเป็นหรือใช้แก้ความเสี่ยงทุกโครงการด้วยช่องติ๊กเดียว

ฐานกฎหมายและขอบเขตที่ต้องแยก

มาตรา 28 วางหลักมาตรฐานคุ้มครองที่เพียงพอและข้อยกเว้นเฉพาะ เช่น ความจำเป็นตามสัญญาหรือความยินยอมหลังแจ้งมาตรฐานที่ไม่เพียงพอ มาตรา 29 แยกนโยบายในเครือที่ได้รับตรวจสอบและรับรอง กับมาตรการคุ้มครองที่เหมาะสมซึ่งบังคับสิทธิและเยียวยาได้ ต้องอ่านประกาศตามมาตรา 28 และ 29 พ.ศ. 2566 ประกอบ

อ่านตัวบท พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ประกอบการพิจารณาหน้าที่ของแต่ละฝ่าย

ประกาศตามมาตรา 28 พ.ศ. 2566

ประกาศตามมาตรา 29 พ.ศ. 2566

เลนส์ทนายยอดทิพย์ธรรม: ถ้าพลาดแล้วเรื่องไปทางใด

การโอนโดยไม่มีเงื่อนไขรองรับอาจเป็นการฝ่าฝืน PDPA แม้ข้อมูลไม่รั่ว หากเป็นข้อมูลอ่อนไหวต้องตรวจมาตรา 26 เพิ่ม และไม่ควรรับรองประเทศใดว่าผ่านทั้งหมดโดยไม่มีคำวินิจฉัยหรือหลักฐานที่ใช้กับกรณีนั้น

เมื่อได้รับหนังสือหรือข้อเรียกร้อง ให้ตรวจผู้ส่ง ประเด็นที่ถามและกำหนดตอบจากเอกสารจริง รักษาข้อมูลต้นฉบับที่เกี่ยวข้อง พร้อมแยกข้อเท็จจริงที่ยืนยันได้ออกจากประเด็นที่ยังสอบสวน การแก้ปัญหาปัจจุบันควรทำควบคู่กับการเตรียมชี้แจง โดยไม่แก้บันทึกเก่าให้คลาดจากเหตุการณ์

หลักฐานที่ต้องเก็บและวิธีจัดให้ใช้ได้จริง

• แผนผังประเทศและนิติบุคคลผู้รับข้อมูล
• การตั้งค่าสิทธิ กุญแจเข้ารหัส และหลักฐานสิทธิทีมสนับสนุน
• บันทึกเลือกกลไกตามมาตรา 28 หรือ 29 และเอกสารประกอบ
• สัญญาผู้รับช่วงและบันทึกทบทวนเมื่อปลายทางเปลี่ยน

จุดที่ควรตรวจเพิ่มคือแผนผังประเทศและนิติบุคคลผู้รับข้อมูล เอกสารนี้ตอบได้เฉพาะข้อเท็จจริงที่มีการตรวจและรับรองไว้ หากอีกฝ่ายโต้แย้งว่างานจริงต่างจากเอกสาร ให้ใช้ข้อมูลจากระบบและผู้ปฏิบัติงานตรวจเทียบ ไม่สรุปว่ามีเอกสารแล้วจึงถูกต้องทุกขั้นตอน กรณีที่หลักฐานขัดกัน ควรเก็บทั้งสองชุดไว้พร้อมบันทึกเหตุที่ตรวจพบ เพื่อให้ผู้รับผิดชอบประเมินอย่างครบถ้วนและไม่ตัดข้อมูลที่เสียเปรียบออกจากแฟ้ม

ให้เจ้าของงานระบุผู้จัดทำ ผู้ตรวจรับ วันที่และเวอร์ชัน เก็บต้นฉบับในพื้นที่ที่จำกัดสิทธิตามหน้าที่ ส่วนสำเนาสำหรับตรวจควรปกปิดข้อมูลที่ไม่เกี่ยวข้อง ระยะเก็บต้องสัมพันธ์กับวัตถุประสงค์ หน้าที่ตามกฎหมายและสิทธิเรียกร้องที่เกี่ยวข้อง หากมีข้อพิพาทให้ประเมินการพักทำลายเฉพาะข้อมูลที่จำเป็น พร้อมกำหนดผู้ทบทวน ไม่เก็บทุกอย่างตลอดไป

นำไปใช้กับทีมงานอย่างไร

คนที่ต้องร่วมตัดสินใจ

เจ้าของบริการควรยืนยันว่าข้อมูลใดต้องส่งและผลหากระบบหยุด ฝ่ายเทคนิคตรวจว่ามาตรการทำงานจริง ฝ่ายจัดซื้อรักษาเงื่อนไขที่ตกลง ส่วนฝ่ายกฎหมายตรวจบทบาทและสิทธิ อย่าให้การรับรองของแผนกเดียวครอบข้อเท็จจริงที่แผนกนั้นไม่ได้ตรวจ

แยกสิ่งที่ทราบกับสิ่งที่คู่ค้ายังไม่ตอบ

ในบันทึกตรวจให้ระบุข้อเท็จจริงที่มีหลักฐาน ข้อมูลที่ยังรอ และผลต่อการตัดสินใจแยกกัน หากต้องเปิดใช้งานก่อนแก้ครบ ให้จำกัดข้อมูลหรือสิทธิ พร้อมผู้อนุมัติและวันทบทวนที่ชัดเจน การเงียบของคู่ค้าไม่ใช่การยืนยันว่าความเสี่ยงไม่มี

ตรวจภาคปฏิบัติก่อนถือว่าปิดงาน

ให้ทีมที่ต้องลงมือสาธิตขั้นตอนสำคัญด้วยข้อมูลทดสอบ บันทึกผลที่ทำได้และข้อจำกัด หากเอกสารสัญญารับรองมากกว่าระบบทำได้ ต้องแก้ทั้งเงื่อนไขและวิธีปฏิบัติ ไม่ทำเครื่องหมายผ่านเพียงเพราะมีลายเซ็นครบ

แผนลงมือวันนี้ ภายใน 7 วันและ 30 วัน

ช่วงเวลาต่อไปนี้เป็นตัวอย่างแผนจัดงานภายใน ไม่ใช่กำหนดตามกฎหมาย และไม่เลื่อนหน้าที่เร่งด่วนที่ต้องทำก่อน

ช่วงงาน	งานที่มอบหมาย	สิ่งที่ใช้ตรวจรับ
วันนี้	ขอรายชื่อประเทศและผู้ที่เปิดอ่านข้อมูลได้	ขอบเขตงานและผู้รับผิดชอบ
ภายใน 7 วัน	ประเมินนิยามการโอนและกลไกกฎหมายรายเส้นทาง	ข้อค้นพบและรายการที่ต้องแก้
ภายใน 30 วัน	ทดสอบสิทธิและตั้งขั้นตอนอนุมัติการเปลี่ยนภูมิภาคหรือผู้รับช่วง	ผลตรวจหรือทดสอบและงานที่ยังค้าง

ข้อผิดพลาดที่ควรหลีกเลี่ยง

การมีเงื่อนไขห้ามเปิดข้อมูลบนกระดาษไม่ควรใช้สรุปโดยไม่ตรวจสถาปัตยกรรมและวิธีช่วยเหลือจริง ต้องระวังข้อยกเว้นในสัญญาที่เปิดทางให้ใช้ข้อมูลเพื่อวัตถุประสงค์อื่น

อ่านต่อและจัดระบบให้เหมาะกับองค์กร

ภาพรวมของเรื่องนี้อยู่ในคู่มือจัดการคู่ค้าและ DPA สำหรับองค์กร ก่อนส่งข้อมูลจนเลิกใช้ระบบ ใช้ตรวจว่าประเด็นเฉพาะเชื่อมกับหน้าที่ส่วนอื่นอย่างไร

สำหรับขั้นตอนที่เกี่ยวข้อง อ่านผู้รับช่วงประมวลผลคือใคร ต้องรู้รายชื่อแค่ไหนก่อนใช้บริการ และร่าง DPA ต้องมีข้อใดบ้าง ขอบเขตที่ทำให้สัญญาใช้งานได้จริง

หากงานเชื่อมกับกระบวนการอื่น ให้อ่านPDPA Audit-Ready หลักฐานที่องค์กรต้องมีเมื่อถูกตรวจหรือร้องเรียนประกอบก่อนกำหนดผู้รับผิดชอบ

สำนักงานกฎหมายยอดทิพย์ธรรมช่วยตรวจข้อเท็จจริง เอกสารและพยานหลักฐานผ่านบริการกฎหมาย PDPA รวมถึงข้อสัญญากับคู่ค้า สามารถนัดหมายเพื่อนำเอกสารที่เกี่ยวข้องมาประเมินก่อนตัดสินใจ

อ่านต่อ: สิทธิและแนวปฏิบัติในสถานการณ์ที่เกี่ยวข้อง

• PDPA โรงงานและแรงงานต่างด้าว เก็บพาสปอร์ต สุขภาพและสแกนหน้าอย่างไร

ข้อกฎหมายที่เกี่ยวข้อง

มาตรา 28 วางหลักมาตรฐานคุ้มครองที่เพียงพอและข้อยกเว้นเฉพาะ เช่น ความจำเป็นตามสัญญาหรือความยินยอมหลังแจ้งมาตรฐานที่ไม่เพียงพอ มาตรา 29 แยกนโยบายในเครือที่ได้รับตรวจสอบและรับรอง กับมาตรการคุ้มครองที่เหมาะสมซึ่งบังคับสิทธิและเยียวยาได้ ต้องอ่านประกาศตามมาตรา 28 และ 29 พ.ศ. 2566 ประกอบ

คำถามที่พบบ่อย

ใช้เซิร์ฟเวอร์ในไทยแล้วหมดปัญหาข้ามแดนไหม

ยังต้องตรวจทีมต่างประเทศ ผู้รับช่วง สำรอง และการเข้าถึงจริง การตั้งฐานหลักในไทยอย่างเดียวไม่จบการประเมิน

อยู่บริษัทในเครือเดียวกันส่งได้เลยไหม

ไม่ได้ยกเว้นโดยอัตโนมัติ ต้องตรวจเงื่อนไขและกลไกที่ใช้ เช่น นโยบายในเครือที่ได้รับตรวจสอบและรับรองตามกฎหมาย

เข้ารหัสแล้วไม่ถือเป็นการโอนเสมอหรือไม่

ไม่เสมอ ต้องดูผู้ถือกุญแจ สิทธิเข้าถึง และเงื่อนไขนิยามในประกาศที่ใช้กับรูปแบบบริการนั้น

ผู้เขียน นายเอกราช ทิพย์แมม คดีครอบครัว มรดก และหนี้สิน

สาขาที่เชี่ยวชาญ: ครอบครัว · มรดกและพินัยกรรม · หนี้สินและบังคับคดี

ดูประวัติทีมทนายความ →

บทความนี้เป็นความรู้กฎหมายทั่วไปเพื่อความเข้าใจเบื้องต้น ไม่ใช่คำปรึกษาทางกฎหมายเฉพาะคดี ผลทางกฎหมายขึ้นอยู่กับข้อเท็จจริง เอกสาร และพยานหลักฐานของแต่ละกรณี ควรปรึกษาทนายความเพื่อประเมินเรื่องของท่านโดยเฉพาะ