คู่ค้าใช้ข้อมูลลูกค้าเอง ต้องแก้สัญญาและฐานอะไร

คู่ค้าใช้ข้อมูลลูกค้าเพื่อประโยชน์ของตนต้องตรวจบทบาทและฐานกฎหมายใหม่ ไม่ควรเพิ่มข้อความอนุญาตใน DPA แล้วถือว่าครบ บริษัทควรระบุข้อมูล วัตถุประสงค์ ผู้รับ และผลต่อเจ้าของข้อมูลก่อนยอมให้คู่ค้านำไปพัฒนาสินค้า ทำการตลาด หรือใช้กับลูกค้ารายอื่น

คู่ค้าใช้ข้อมูลลูกค้าเอง ต้องแก้ DPA อย่างเดียวพอไหม?

ไม่เพียงพอ ต้องตรวจว่าคู่ค้ายังทำตามคำสั่งหรือมีวัตถุประสงค์ของตน และตรวจฐานการใช้กับการเปิดเผยของแต่ละฝ่าย การแก้สัญญาไม่แทนความชอบด้วยกฎหมายของข้อมูล หากบทบาทเปลี่ยนต้องจัดคำแจ้ง หน้าที่ และการควบคุมให้ตรงกิจกรรมจริงก่อนเริ่มใช้

พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 มาตรา 6 ใช้แยกผู้ควบคุมกับผู้ประมวลผลจากบทบาทจริง ส่วนมาตรา 40 (1) กำหนดให้ผู้ประมวลผลทำตามคำสั่งที่ได้รับ เว้นแต่คำสั่งขัดกฎหมายหรือบทบัญญัติคุ้มครองข้อมูล และมาตรา 40 วรรคสองกำหนดผลเมื่อไม่ปฏิบัติตามคำสั่งสำหรับการประมวลผลนั้น

มาตรา 21 เกี่ยวข้องเมื่อวัตถุประสงค์ต่างจากที่แจ้ง มาตรา 24 และ 26 ใช้ตรวจฐานตามประเภทข้อมูล และมาตรา 27 ใช้ตรวจการใช้หรือเปิดเผย การที่บริษัทกับคู่ค้าตกลงกันได้จึงไม่แปลว่าเจ้าของข้อมูลได้รับคำแจ้งหรือให้ความยินยอมตามเงื่อนไขครบแล้ว

ตัวอย่างสมมติ: ผู้รับจ้างระบบสมาชิกขอใช้ประวัติซื้อของลูกค้าหลายบริษัทเพื่อสร้างผลิตภัณฑ์วิเคราะห์ของตน คำว่า “ปรับปรุงบริการ” ในสัญญาไม่ตอบว่าใช้ข้อมูลอะไร เชื่อมกันอย่างไร และระบุตัวบุคคลได้หรือไม่ บริษัทควรขอรายละเอียดและตรวจบทบาทกับฐานก่อน ไม่อนุมัติจากส่วนลดค่าบริการเพียงอย่างเดียว

บทบาทอาจต่างกันในแต่ละกิจกรรม คู่ค้าอาจเป็นผู้ประมวลผลสำหรับงานหนึ่งและมีหน้าที่ในฐานะผู้ควบคุมสำหรับอีกงาน จึงควรแยกตารางกิจกรรม อ่าน คู่มือจัดการคู่ค้าและ DPA เพื่อเชื่อมบทบาทกับข้อสัญญาและงานตรวจจริง

ถ้าคู่ค้าขอใช้ต่อ ควรถามอะไรและเลือกทางไหน?

• ถ้าใช้ตามคำสั่งเพื่อบริการเดิม ให้ตรวจความจำเป็น ขอบเขต และมาตรการในฐานะผู้ประมวลผล
• ถ้าใช้เพื่อเป้าหมายของคู่ค้าเอง ให้แยกกิจกรรมนั้นและตรวจหน้าที่ผู้ควบคุมกับฐานของทั้งผู้ส่งและผู้รับ
• ถ้าคู่ค้าอ้างข้อมูลนิรนาม ให้ขอวิธีและผลประเมินการระบุกลับ ไม่ยอมรับเพียงการลบชื่อหรือคำรับรองกว้าง
• ถ้ามีการฝึกระบบหรือส่งต่อผู้รับช่วง ให้ระบุข้อมูล ผลลัพธ์ ระยะเก็บ และทางจัดการเมื่อสิ้นสุดหรือถอนสิทธิ
• ถ้ารายละเอียดไม่พอ ให้พักการอนุญาตส่วนนั้นและจัดทางทำงานเดิมที่มีฐานรองรับต่ออย่างแยกชัด

ควรตรวจว่ามีข้อความอนุญาตใช้ต่อซ่อนในเงื่อนไขบริการ นโยบายออนไลน์ หรือเอกสารที่ถูกอ้างรวมอยู่หรือไม่ การห้ามใน DPA แต่อนุญาตกว้างในสัญญาหลักอาจทำให้ตีความขัดกัน ต้องจัดลำดับเอกสารและวิธีเปลี่ยนเงื่อนไขให้แน่นอน

หากใช้ข้อมูลเพื่อวัตถุประสงค์ใหม่ อ่าน เงื่อนไขเปลี่ยนวัตถุประสงค์ใช้ข้อมูล ก่อนสรุปว่าบริษัทมีสิทธิอนุญาตแทนลูกค้าได้ โดยเฉพาะข้อมูลที่เก็บมาเพื่อบริการจำกัดเรื่อง

เลนส์ทนายยอดทิพย์ธรรม: สัญญากำหนดหน้าที่ แต่ไม่เปลี่ยนข้อเท็จจริงของบทบาท

คนมักเข้าใจว่า: เรียกคู่ค้าว่าผู้ประมวลผลในทุกเอกสารแล้วคู่ค้าใช้ข้อมูลเองได้ตราบที่บริษัทลงนามยอมรับ หรือเขียนว่าข้อมูลเป็นของบริษัทแล้วบริษัทขายสิทธิใช้ได้ทุกแบบ

กฎหมายมองว่า: บทบาทต้องดูการตัดสินใจและการประมวลผลจริง มาตรา 40 มีผลต่อผู้ประมวลผลที่ไม่ทำตามคำสั่งสำหรับกิจกรรมนั้น และการใช้ข้อมูลยังต้องมีฐานกับวัตถุประสงค์ตามกฎหมาย

จุดเสี่ยงจริง: อนุญาตใช้เพื่อพัฒนาระบบโดยไม่รู้ว่ารวมข้อมูลกับลูกค้ารายอื่นหรือคงข้อมูลในผลลัพธ์อย่างไร ควรแยกข้อมูลต้นทาง ผลที่สร้าง และสำเนาที่เกี่ยวข้อง พร้อมกำหนดหลักฐานที่คู่ค้าต้องส่งให้ตรวจ

มองสองฝั่ง: บริษัทผู้ส่งข้อมูลกับคู่ค้าผู้ใช้ต่อ

ข้อชดใช้ระหว่างคู่สัญญาอาจช่วยจัดความรับผิดภายใน แต่ไม่ทำให้สิทธิของเจ้าของข้อมูลหรือหน้าที่ตามกฎหมายหายไป

ควรอนุมัติเมื่อไรและหยุดใช้หลังจบสัญญาอย่างไร?

ตรวจและตกลงก่อนเริ่มกิจกรรมใหม่ หากต้องแจ้งหรือได้รับความยินยอมตามเงื่อนไข ต้องดำเนินให้ครบก่อนใช้ ไม่ใช้สัญญาที่ลงนามภายหลังเพื่อรับรองย้อนหลังว่าการใช้เดิมชอบทั้งหมด

กำหนดเหตุสิ้นสุด เช่น จบโครงการ สิ้นสัญญา หรือฐานไม่รองรับ พร้อมระบุว่าข้อมูลและผลที่เกี่ยวข้องจะคืน ลบ หรือคงไว้ด้วยเหตุใด การเขียนว่าสิทธิใช้คงอยู่ตลอดไปต้องถูกตรวจอย่างจริงจัง ไม่รับไว้เป็นข้อความมาตรฐานโดยไม่ดูผล

ตัวอย่างแผนภายในคือให้คู่ค้าส่งผลการทดสอบและร่างเงื่อนไขก่อนวันเปิดโครงการสองสัปดาห์ เป็นเพียงกรอบจัดงาน ไม่ใช่กำหนด PDPA หากเริ่มใช้แล้วโดยยังไม่ตรวจ ต้องรักษาข้อเท็จจริงและประเมินแนวแก้ รวมถึงเหตุละเมิดเมื่อเข้าเงื่อนไข

ส่วนลดค่าบริการกับความเสี่ยงข้อมูลควรประเมินอย่างไร?

ตัวอย่างสมมติ: คู่ค้าเสนอส่วนลด 2,000 บาทต่อเดือน × 12 เดือน = 24,000 บาท แต่มีค่าตรวจขอบเขตและปรับระบบ 10,000 บาท ส่วนต่างต้นทุนเบื้องต้นคือ 14,000 บาท ตัวเลขนี้ใช้วิเคราะห์งบเท่านั้น ไม่ใช่ราคาซื้อสิทธิข้อมูลหรือเหตุให้ข้ามเงื่อนไขกฎหมาย

ต้องนับภาระติดตามคำขอเจ้าของข้อมูล การเปลี่ยนผู้รับช่วง และการตรวจหยุดใช้ด้วย ไม่ดูเฉพาะส่วนลดสัญญาปีแรก ข้อตกลงควรระบุว่าใครรับผิดชอบงานและค่าใช้จ่ายเมื่อมีการเปลี่ยนวัตถุประสงค์หรือเกิดเหตุ

การชดใช้หรือเพดานความรับผิดในสัญญาต้องตรวจตามข้อเท็จจริงและกฎหมาย ไม่รับรองว่าบริษัทจะไม่ต้องรับผิดเพียงเพราะคู่ค้าสัญญารับผิดทั้งหมด และไม่ตั้งเงินชดใช้เจ้าของข้อมูลจากยอดส่วนลดโดยอัตโนมัติ

หลักฐานตรวจการใช้ข้อมูลของคู่ค้ามีอะไร?

• คำขอใช้ต่อที่ระบุวัตถุประสงค์ ข้อมูล และผลที่สร้าง
• ตารางบทบาทและฐานกฎหมายแยกแต่ละกิจกรรม
• คำแจ้งหรือความยินยอมที่เกี่ยวข้องและหลักฐานการดำเนินการ
• สัญญาหลัก DPA เงื่อนไขออนไลน์ และลำดับบังคับเอกสาร
• ผู้รับช่วง สถานที่ประมวลผล ระยะเก็บ และมาตรการตรวจการใช้
• ผลทดสอบการหยุด คืน ลบ และข้อจำกัดของข้อมูลหรือผลลัพธ์ที่ยังคงอยู่

ควรเก็บเอกสารรุ่นที่ตกลงจริง ไม่เก็บเพียงลิงก์นโยบายที่ผู้ขายเปลี่ยนได้ภายหลัง และกำหนดว่าการเปลี่ยนที่กระทบข้อมูลต้องเข้าสู่การตรวจอย่างไร สำหรับวิธีตรวจให้ดู การกำหนดสิทธิตรวจสอบใน DPA เพื่อให้ข้อตกลงใช้ตรวจได้จริง

สัญญาธุรกิจและความเสียหายทางแพ่งเกี่ยวข้องอย่างไร?

งาน กฎหมายธุรกิจและสัญญา ต้องตรวจสิทธิใช้ข้อมูล ความลับ ผลงาน และการสิ้นสุดให้สอดคล้องกัน ไม่ใช้ข้อโอนสิทธิในผลงานมาเหมารวมสิทธิในข้อมูลส่วนบุคคล

เมื่อมีข้อพิพาทว่าคู่ค้าใช้เกินขอบเขต งาน คดีแพ่ง ต้องดูคำสั่งที่ให้จริง รุ่นสัญญา และหลักฐานการใช้ก่อนเรียกร้อง ควรแยกการระงับความเสี่ยงเร่งด่วนออกจากการเจรจาเงินชดใช้ที่อาจใช้เวลา

ทางไปต่อ: แยกกิจกรรมใหม่ก่อนอนุญาตคู่ค้าใช้ข้อมูล

1. ขอรายละเอียดการใช้ต่อและผู้รับทั้งหมด
2. ตรวจบทบาท ฐาน และวัตถุประสงค์ของแต่ละฝ่าย
3. ปรับคำแจ้ง ระบบ และสัญญาที่เกี่ยวข้องก่อนเริ่ม
4. กำหนดหลักฐานตรวจและสิทธิหยุดกิจกรรมที่ไม่ผ่าน
5. ติดตามผลและจัดการข้อมูลเมื่อสิ้นเหตุใช้

ควรขอความช่วยเหลือเมื่อคู่ค้าขอฝึก AI รวมข้อมูลหลายบริษัท เก็บผลลัพธ์ไม่มีกำหนด หรือแก้เงื่อนไขออนไลน์ฝ่ายเดียว สามารถ ติดต่อทีมงาน เพื่อหารือ บริการด้าน PDPA พร้อมร่างสัญญาและคำอธิบายกิจกรรมที่ไม่แนบข้อมูลลูกค้าจริงเกินจำเป็น

แหล่งกฎหมาย: พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 มาตรา 6, 21, 24, 26–27 และ 40

ผู้เขียน นายเอกราช ทิพย์แมม คดีครอบครัว มรดก และหนี้สิน

สาขาที่เชี่ยวชาญ: ครอบครัว · มรดกและพินัยกรรม · หนี้สินและบังคับคดี

ดูประวัติทีมทนายความ →

บทความนี้เป็นความรู้กฎหมายทั่วไปเพื่อความเข้าใจเบื้องต้น ไม่ใช่คำปรึกษาทางกฎหมายเฉพาะคดี ผลทางกฎหมายขึ้นอยู่กับข้อเท็จจริง เอกสาร และพยานหลักฐานของแต่ละกรณี ควรปรึกษาทนายความเพื่อประเมินเรื่องของท่านโดยเฉพาะ