ผู้รับช่วงประมวลผลคือใคร ต้องรู้รายชื่อแค่ไหนก่อนใช้บริการ

สำหรับประเด็น “ผู้รับช่วงประมวลผล” ต้องเริ่มจากข้อเท็จจริงของงานที่จะทำ บทความนี้อธิบายเงื่อนไขที่ทำให้คำตอบต่างกัน พร้อมวิธีตัดสินใจและหลักฐานที่ควรเตรียมก่อนเกิดข้อร้องเรียน

สถานการณ์แบบใดให้คำตอบต่างกัน

ตัวอย่างต่อไปนี้เป็นกรณีสมมติเพื่ออธิบายหลัก ไม่ใช่การเปิดเผยข้อมูลลูกความหรือคำพิพากษา

• บริษัทเงินเดือนใช้คลาวด์อีกบริษัทเก็บฐานข้อมูล ต้องตรวจงานที่คลาวด์ทำและสิทธิที่เข้าถึง
• คอลเซ็นเตอร์จ้างบริษัทภายนอกถอดเสียง ทำให้ข้อมูลสนทนามีผู้รับเพิ่ม
• ผู้ให้บริการเปลี่ยนระบบวิเคราะห์ที่ส่งข้อมูลไปต่างประเทศ ต้องประเมินก่อนเปิดการเชื่อมต่อใหม่

ควรตัดสินใจตามลำดับใด

เริ่มจากแผนผังข้อมูลแล้วถามผู้ให้บริการว่าใครเก็บ ใครเปิดอ่าน และใครสนับสนุนระบบ แยกผู้รับช่วงประมวลผลออกจากผู้ขายทั่วไปที่ไม่ทำกับข้อมูล จากนั้นตกลงรายชื่อเริ่มต้นและวิธีแจ้งเปลี่ยนที่ทำให้องค์กรมีเวลาประเมินจริง

ข้อมูลผู้รับช่วงประมวลผลที่ควรขอมีอะไรบ้าง

ชื่อและหน้าที่

ขอชื่อผู้ให้บริการ นิติบุคคลคู่สัญญา กิจกรรม และชุดข้อมูล ไม่ใช้เพียงชื่อผลิตภัณฑ์ที่ไม่รู้ว่าใครรับผิด

ที่ตั้งและการเข้าถึง

ระบุประเทศจัดเก็บ สำรอง และทีมสนับสนุนที่เข้าถึงได้ ข้อความว่าใช้ภูมิภาคเอเชียยังไม่พอประเมินปลายทาง

การเปลี่ยนรายชื่อ

ตกลงเวลาแจ้งล่วงหน้า ช่องทางคัดค้าน เหตุคัดค้านที่มีสาระ และทางเลือกหากตกลงกันไม่ได้ เช่น ย้ายงานหรือยุติบริการส่วนที่ได้รับผล

ภาระที่ส่งต่อ

ให้ผู้ให้บริการหลักส่งหน้าที่ด้านคำสั่ง ความลับ ความปลอดภัย การแจ้งเหตุและลบข้อมูลต่อไป พร้อมสิทธิขอหลักฐานจากทั้งสายโดยปกป้องข้อมูลผู้อื่น

ฐานกฎหมายและขอบเขตที่ต้องแยก

มาตรา 40 วางหน้าที่ของผู้ประมวลผลและข้อตกลงควบคุมการทำงาน รายละเอียดการขออนุมัติผู้รับช่วงควรเขียนให้ชัดใน DPA ส่วนการส่งหรือโอนต่างประเทศต้องตรวจมาตรา 28 หรือ 29 เพิ่ม ไม่จบเพียงการอนุมัติชื่อผู้รับช่วง

อ่านตัวบท พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ประกอบการพิจารณาหน้าที่ของแต่ละฝ่าย

เลนส์ทนายยอดทิพย์ธรรม: ถ้าพลาดแล้วเรื่องไปทางใด

หากผู้รับช่วงใช้ข้อมูลผิดวัตถุประสงค์ องค์กรอาจไม่รู้ขอบเขตเหตุและตอบคำขอของเจ้าของข้อมูลไม่ได้ การอนุมัติผู้รับช่วงไม่ควรกลายเป็นข้อความยกเว้นความรับผิดของผู้ให้บริการหลักทั้งหมด

เมื่อได้รับหนังสือหรือข้อเรียกร้อง ให้ตรวจผู้ส่ง ประเด็นที่ถามและกำหนดตอบจากเอกสารจริง รักษาข้อมูลต้นฉบับที่เกี่ยวข้อง พร้อมแยกข้อเท็จจริงที่ยืนยันได้ออกจากประเด็นที่ยังสอบสวน การแก้ปัญหาปัจจุบันควรทำควบคู่กับการเตรียมชี้แจง โดยไม่แก้บันทึกเก่าให้คลาดจากเหตุการณ์

หลักฐานที่ต้องเก็บและวิธีจัดให้ใช้ได้จริง

• ทะเบียนผู้รับช่วงพร้อมประวัติรายชื่อและวันที่เริ่มใช้
• แผนผังข้อมูลรายประเทศและสิทธิผู้สนับสนุน
• หนังสือแจ้งเปลี่ยน ผลประเมิน และการอนุมัติหรือคัดค้าน
• คำรับรองการส่งต่อหน้าที่และหลักฐานตรวจติดตาม

จุดที่ควรตรวจเพิ่มคือทะเบียนผู้รับช่วงพร้อมประวัติรายชื่อและวันที่เริ่มใช้ เอกสารนี้ตอบได้เฉพาะข้อเท็จจริงที่มีการตรวจและรับรองไว้ หากอีกฝ่ายโต้แย้งว่างานจริงต่างจากเอกสาร ให้ใช้ข้อมูลจากระบบและผู้ปฏิบัติงานตรวจเทียบ ไม่สรุปว่ามีเอกสารแล้วจึงถูกต้องทุกขั้นตอน กรณีที่หลักฐานขัดกัน ควรเก็บทั้งสองชุดไว้พร้อมบันทึกเหตุที่ตรวจพบ เพื่อให้ผู้รับผิดชอบประเมินอย่างครบถ้วนและไม่ตัดข้อมูลที่เสียเปรียบออกจากแฟ้ม

ให้เจ้าของงานระบุผู้จัดทำ ผู้ตรวจรับ วันที่และเวอร์ชัน เก็บต้นฉบับในพื้นที่ที่จำกัดสิทธิตามหน้าที่ ส่วนสำเนาสำหรับตรวจควรปกปิดข้อมูลที่ไม่เกี่ยวข้อง ระยะเก็บต้องสัมพันธ์กับวัตถุประสงค์ หน้าที่ตามกฎหมายและสิทธิเรียกร้องที่เกี่ยวข้อง หากมีข้อพิพาทให้ประเมินการพักทำลายเฉพาะข้อมูลที่จำเป็น พร้อมกำหนดผู้ทบทวน ไม่เก็บทุกอย่างตลอดไป

นำไปใช้กับทีมงานอย่างไร

คนที่ต้องร่วมตัดสินใจ

เจ้าของบริการควรยืนยันว่าข้อมูลใดต้องส่งและผลหากระบบหยุด ฝ่ายเทคนิคตรวจว่ามาตรการทำงานจริง ฝ่ายจัดซื้อรักษาเงื่อนไขที่ตกลง ส่วนฝ่ายกฎหมายตรวจบทบาทและสิทธิ อย่าให้การรับรองของแผนกเดียวครอบข้อเท็จจริงที่แผนกนั้นไม่ได้ตรวจ

แยกสิ่งที่ทราบกับสิ่งที่คู่ค้ายังไม่ตอบ

ในบันทึกตรวจให้ระบุข้อเท็จจริงที่มีหลักฐาน ข้อมูลที่ยังรอ และผลต่อการตัดสินใจแยกกัน หากต้องเปิดใช้งานก่อนแก้ครบ ให้จำกัดข้อมูลหรือสิทธิ พร้อมผู้อนุมัติและวันทบทวนที่ชัดเจน การเงียบของคู่ค้าไม่ใช่การยืนยันว่าความเสี่ยงไม่มี

ตรวจภาคปฏิบัติก่อนถือว่าปิดงาน

ให้ทีมที่ต้องลงมือสาธิตขั้นตอนสำคัญด้วยข้อมูลทดสอบ บันทึกผลที่ทำได้และข้อจำกัด หากเอกสารสัญญารับรองมากกว่าระบบทำได้ ต้องแก้ทั้งเงื่อนไขและวิธีปฏิบัติ ไม่ทำเครื่องหมายผ่านเพียงเพราะมีลายเซ็นครบ

แผนลงมือวันนี้ ภายใน 7 วันและ 30 วัน

ช่วงเวลาต่อไปนี้เป็นตัวอย่างแผนจัดงานภายใน ไม่ใช่กำหนดตามกฎหมาย และไม่เลื่อนหน้าที่เร่งด่วนที่ต้องทำก่อน

ช่วงงาน	งานที่มอบหมาย	สิ่งที่ใช้ตรวจรับ
วันนี้	ขอรายชื่อผู้รับช่วงของบริการที่เก็บข้อมูลอ่อนไหว	ขอบเขตงานและผู้รับผิดชอบ
ภายใน 7 วัน	ตรวจช่องว่างข้อมูลประเทศและสิทธิใช้ข้อมูลต่อ	ข้อค้นพบและรายการที่ต้องแก้
ภายใน 30 วัน	ทดสอบการแจ้งเหตุจากผู้รับช่วงและการเปลี่ยนรายชื่อ	ผลตรวจหรือทดสอบและงานที่ยังค้าง

ข้อผิดพลาดที่ควรหลีกเลี่ยง

รายชื่อบนเว็บไซต์อาจเปลี่ยนได้ ควรเก็บเวอร์ชันที่ใช้กับสัญญาและเงื่อนไขแจ้งเปลี่ยน ไม่เก็บเพียง URL ที่ย้อนตรวจวันที่เกิดเหตุไม่ได้

อ่านต่อและจัดระบบให้เหมาะกับองค์กร

ภาพรวมของเรื่องนี้อยู่ในคู่มือจัดการคู่ค้าและ DPA สำหรับองค์กร ก่อนส่งข้อมูลจนเลิกใช้ระบบ ใช้ตรวจว่าประเด็นเฉพาะเชื่อมกับหน้าที่ส่วนอื่นอย่างไร

สำหรับขั้นตอนที่เกี่ยวข้อง อ่านตรวจคู่ค้าก่อนส่งข้อมูลพนักงานหรือลูกค้า ต้องขอหลักฐานอะไร และเซิร์ฟเวอร์อยู่ต่างประเทศ ถือเป็นการโอนข้อมูลข้ามแดนหรือไม่

หากงานเชื่อมกับกระบวนการอื่น ให้อ่านข้อมูลรั่วไหล ต้องแจ้งใครภายใน 72 ชั่วโมง? คู่มือรับมือ PDPA สำหรับองค์กรประกอบก่อนกำหนดผู้รับผิดชอบ

สำนักงานกฎหมายยอดทิพย์ธรรมช่วยตรวจข้อเท็จจริง เอกสารและพยานหลักฐานผ่านบริการกฎหมาย PDPA รวมถึงข้อสัญญากับคู่ค้า สามารถนัดหมายเพื่อนำเอกสารที่เกี่ยวข้องมาประเมินก่อนตัดสินใจ

ข้อกฎหมายที่เกี่ยวข้อง

มาตรา 40 วางหน้าที่ของผู้ประมวลผลและข้อตกลงควบคุมการทำงาน รายละเอียดการขออนุมัติผู้รับช่วงควรเขียนให้ชัดใน DPA ส่วนการส่งหรือโอนต่างประเทศต้องตรวจมาตรา 28 หรือ 29 เพิ่ม ไม่จบเพียงการอนุมัติชื่อผู้รับช่วง

คำถามที่พบบ่อย

ต้องรู้พนักงานคู่ค้าทุกคนหรือไม่

ควรควบคุมบทบาทและสิทธิผู้เข้าถึงตามความจำเป็น ส่วนทะเบียนผู้รับช่วงมุ่งที่ผู้ให้บริการในสายประมวลผล ไม่ใช่รายชื่อพนักงานทุกคนโดยอัตโนมัติ

คู่ค้าเปลี่ยนผู้รับช่วงได้เองไหม

ต้องดูเงื่อนไขที่ตกลง ควรมีกลไกแจ้งและประเมินก่อนเปลี่ยนในส่วนที่กระทบความเสี่ยง

ผู้รับช่วงเป็นบริษัทในเครือจึงไม่ต้องตรวจหรือไม่

ไม่ใช่ ต้องดูนิติบุคคล บทบาท การเข้าถึงและประเทศเช่นเดียวกับผู้ให้บริการอื่น

ผู้เขียน นายเอกราช ทิพย์แมม คดีครอบครัว มรดก และหนี้สิน

สาขาที่เชี่ยวชาญ: ครอบครัว · มรดกและพินัยกรรม · หนี้สินและบังคับคดี

ดูประวัติทีมทนายความ →

บทความนี้เป็นความรู้กฎหมายทั่วไปเพื่อความเข้าใจเบื้องต้น ไม่ใช่คำปรึกษาทางกฎหมายเฉพาะคดี ผลทางกฎหมายขึ้นอยู่กับข้อเท็จจริง เอกสาร และพยานหลักฐานของแต่ละกรณี ควรปรึกษาทนายความเพื่อประเมินเรื่องของท่านโดยเฉพาะ