DPA คืออะไร สัญญากับคู่ค้ารายใดต้องมี และรายใดต้องแยกบทบาท

สำหรับประเด็น “DPA คืออะไร” ต้องเริ่มจากข้อเท็จจริงของงานที่จะทำ บทความนี้อธิบายเงื่อนไขที่ทำให้คำตอบต่างกัน พร้อมวิธีตัดสินใจและหลักฐานที่ควรเตรียมก่อนเกิดข้อร้องเรียน

สถานการณ์แบบใดให้คำตอบต่างกัน

ตัวอย่างต่อไปนี้เป็นกรณีสมมติเพื่ออธิบายหลัก ไม่ใช่การเปิดเผยข้อมูลลูกความหรือคำพิพากษา

• ผู้รับจ้างส่งอีเมลตามรายชื่อและข้อความที่บริษัทกำหนด เป็นตัวอย่างของงานประมวลผลแทน
• ธนาคารรับข้อมูลเพื่อดำเนินบริการและปฏิบัติหน้าที่ตามกฎหมายของตน อาจเป็นผู้ควบคุมแยกสำหรับกิจกรรมนั้น
• ร้านขายอุปกรณ์ที่ไม่เข้าถึงข้อมูลลูกค้าไม่ได้ต้องทำ DPA เพียงเพราะมีสัญญาซื้อขาย แต่บริการซ่อมที่เข้าถึงข้อมูลต้องประเมินเพิ่ม

ควรตัดสินใจตามลำดับใด

ถามว่าใครกำหนดเหตุผลในการใช้ข้อมูล ใครมีสิทธิตัดสินใจเรื่องสำคัญ และผู้รับจ้างนำข้อมูลไปใช้เองได้หรือไม่ แยกคำตอบทีละกิจกรรม หากเป็นงานแทนให้จัดทำข้อตกลงตามมาตรา 40 หากเป็นการเปิดเผยให้ผู้ควบคุมอีกราย ให้ตรวจฐานการเปิดเผยและหน้าที่ของทั้งสองฝ่าย

DPA คืออะไร ต่างจาก NDA และสัญญาบริการอย่างไร

DPA กำกับการกระทำกับข้อมูล

ต้องบอกงานที่ให้ทำ ข้อมูลที่ให้ใช้ และข้อห้าม ไม่ใช่เพียงสัญญาว่าจะรักษาความลับ เพราะการใช้ข้อมูลเกินคำสั่งอาจเกิดขึ้นได้โดยไม่มีข้อมูลเผยแพร่ต่อสาธารณะ

NDA เน้นความลับ

NDA อาจคุ้มครองข้อมูลธุรกิจที่ไม่ใช่ข้อมูลส่วนบุคคลด้วย แต่ถ้าไม่กำหนดหน้าที่ประมวลผล การแจ้งเหตุ และการคืนข้อมูล ก็ยังไม่ตอบโจทย์มาตรา 40

สัญญาบริการกำหนดงานและราคา

สามารถรวม DPA เป็นภาคผนวกของสัญญาบริการได้ ต้องกำหนดลำดับเอกสารเมื่อขัดกัน และให้ภาคผนวกผูกพันคู่สัญญาเดียวกับผู้ให้บริการจริง

หนึ่งคู่ค้าอาจมีหลายบทบาท

ผู้ให้บริการเงินเดือนอาจประมวลผลแฟ้มพนักงานแทนบริษัท แต่เป็นผู้ควบคุมข้อมูลผู้ติดต่อเพื่อออกใบแจ้งหนี้ของตน การเขียนบทบาทเดียวครอบทุกกิจกรรมอาจทำให้หน้าที่คลาดเคลื่อน

ฐานกฎหมายและขอบเขตที่ต้องแยก

มาตรา 6 นิยามผู้ควบคุมและผู้ประมวลผลโดยดูอำนาจหน้าที่จริง มาตรา 40 วรรคสามกำหนดข้อตกลงสำหรับการประมวลผลตามคำสั่ง ขณะที่มาตรา 27 และมาตรา 37 (2) ยังเกี่ยวข้องกับการเปิดเผยและการป้องกันการใช้ข้อมูลโดยมิชอบ

อ่านตัวบท พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ประกอบการพิจารณาหน้าที่ของแต่ละฝ่าย

เลนส์ทนายยอดทิพย์ธรรม: ถ้าพลาดแล้วเรื่องไปทางใด

เรียกคู่ค้าว่าผู้ประมวลผลในเอกสารไม่ได้ป้องกันการตรวจข้อเท็จจริง หากเปิดสิทธิให้ใช้ข้อมูลเองกว้างเกินไปอาจเป็นการเปิดเผยโดยไม่มีฐานรองรับ และเมื่อผู้ประมวลผลไม่ทำตามคำสั่ง มาตรา 40 วรรคสองให้ถือเป็นผู้ควบคุมสำหรับการนั้น

เมื่อได้รับหนังสือหรือข้อเรียกร้อง ให้ตรวจผู้ส่ง ประเด็นที่ถามและกำหนดตอบจากเอกสารจริง รักษาข้อมูลต้นฉบับที่เกี่ยวข้อง พร้อมแยกข้อเท็จจริงที่ยืนยันได้ออกจากประเด็นที่ยังสอบสวน การแก้ปัญหาปัจจุบันควรทำควบคู่กับการเตรียมชี้แจง โดยไม่แก้บันทึกเก่าให้คลาดจากเหตุการณ์

หลักฐานที่ต้องเก็บและวิธีจัดให้ใช้ได้จริง

• ตารางบริการ ข้อมูล วัตถุประสงค์ และผู้ตัดสินใจรายกิจกรรม
• สัญญาหลักและข้อตกลงข้อมูลที่มีผลผูกพัน
• คำสั่งงานจริง ตัวอย่างการตั้งค่า และรายชื่อผู้เข้าถึง
• บันทึกเหตุผลกรณีที่ประเมินว่าไม่ต้องมี DPA

จุดที่ควรตรวจเพิ่มคือตารางบริการ ข้อมูล วัตถุประสงค์ และผู้ตัดสินใจรายกิจกรรม เอกสารนี้ตอบได้เฉพาะข้อเท็จจริงที่มีการตรวจและรับรองไว้ หากอีกฝ่ายโต้แย้งว่างานจริงต่างจากเอกสาร ให้ใช้ข้อมูลจากระบบและผู้ปฏิบัติงานตรวจเทียบ ไม่สรุปว่ามีเอกสารแล้วจึงถูกต้องทุกขั้นตอน กรณีที่หลักฐานขัดกัน ควรเก็บทั้งสองชุดไว้พร้อมบันทึกเหตุที่ตรวจพบ เพื่อให้ผู้รับผิดชอบประเมินอย่างครบถ้วนและไม่ตัดข้อมูลที่เสียเปรียบออกจากแฟ้ม

ให้เจ้าของงานระบุผู้จัดทำ ผู้ตรวจรับ วันที่และเวอร์ชัน เก็บต้นฉบับในพื้นที่ที่จำกัดสิทธิตามหน้าที่ ส่วนสำเนาสำหรับตรวจควรปกปิดข้อมูลที่ไม่เกี่ยวข้อง ระยะเก็บต้องสัมพันธ์กับวัตถุประสงค์ หน้าที่ตามกฎหมายและสิทธิเรียกร้องที่เกี่ยวข้อง หากมีข้อพิพาทให้ประเมินการพักทำลายเฉพาะข้อมูลที่จำเป็น พร้อมกำหนดผู้ทบทวน ไม่เก็บทุกอย่างตลอดไป

นำไปใช้กับทีมงานอย่างไร

คนที่ต้องร่วมตัดสินใจ

เจ้าของบริการควรยืนยันว่าข้อมูลใดต้องส่งและผลหากระบบหยุด ฝ่ายเทคนิคตรวจว่ามาตรการทำงานจริง ฝ่ายจัดซื้อรักษาเงื่อนไขที่ตกลง ส่วนฝ่ายกฎหมายตรวจบทบาทและสิทธิ อย่าให้การรับรองของแผนกเดียวครอบข้อเท็จจริงที่แผนกนั้นไม่ได้ตรวจ

แยกสิ่งที่ทราบกับสิ่งที่คู่ค้ายังไม่ตอบ

ในบันทึกตรวจให้ระบุข้อเท็จจริงที่มีหลักฐาน ข้อมูลที่ยังรอ และผลต่อการตัดสินใจแยกกัน หากต้องเปิดใช้งานก่อนแก้ครบ ให้จำกัดข้อมูลหรือสิทธิ พร้อมผู้อนุมัติและวันทบทวนที่ชัดเจน การเงียบของคู่ค้าไม่ใช่การยืนยันว่าความเสี่ยงไม่มี

ตรวจภาคปฏิบัติก่อนถือว่าปิดงาน

ให้ทีมที่ต้องลงมือสาธิตขั้นตอนสำคัญด้วยข้อมูลทดสอบ บันทึกผลที่ทำได้และข้อจำกัด หากเอกสารสัญญารับรองมากกว่าระบบทำได้ ต้องแก้ทั้งเงื่อนไขและวิธีปฏิบัติ ไม่ทำเครื่องหมายผ่านเพียงเพราะมีลายเซ็นครบ

แผนลงมือวันนี้ ภายใน 7 วันและ 30 วัน

ช่วงเวลาต่อไปนี้เป็นตัวอย่างแผนจัดงานภายใน ไม่ใช่กำหนดตามกฎหมาย และไม่เลื่อนหน้าที่เร่งด่วนที่ต้องทำก่อน

ช่วงงาน	งานที่มอบหมาย	สิ่งที่ใช้ตรวจรับ
วันนี้	เลือกสัญญาที่มีข้อมูลพนักงานหรือลูกค้าแล้วแยกกิจกรรม	ขอบเขตงานและผู้รับผิดชอบ
ภายใน 7 วัน	ให้เจ้าของงานยืนยันบทบาทก่อนส่งร่าง DPA ให้คู่ค้า	ข้อค้นพบและรายการที่ต้องแก้
ภายใน 30 วัน	ตรวจการทำงานจริงว่าตรงกับบทบาทที่บันทึกหรือมีวัตถุประสงค์ใหม่	ผลตรวจหรือทดสอบและงานที่ยังค้าง

ข้อผิดพลาดที่ควรหลีกเลี่ยง

การส่ง DPA ฉบับเดียวให้ผู้รับข้อมูลทุกรายทำให้เอกสารดูครบแต่กำหนดบทบาทผิด ควรเริ่มจากแผนผังงานและเลือกข้อตกลงให้ตรงกับการเปิดเผยแต่ละแบบ

อ่านต่อและจัดระบบให้เหมาะกับองค์กร

ภาพรวมของเรื่องนี้อยู่ในคู่มือจัดการคู่ค้าและ DPA สำหรับองค์กร ก่อนส่งข้อมูลจนเลิกใช้ระบบ ใช้ตรวจว่าประเด็นเฉพาะเชื่อมกับหน้าที่ส่วนอื่นอย่างไร

สำหรับขั้นตอนที่เกี่ยวข้อง อ่านร่าง DPA ต้องมีข้อใดบ้าง ขอบเขตที่ทำให้สัญญาใช้งานได้จริง และตรวจคู่ค้าก่อนส่งข้อมูลพนักงานหรือลูกค้า ต้องขอหลักฐานอะไร

หากงานเชื่อมกับกระบวนการอื่น ให้อ่านPDPA Audit-Ready หลักฐานที่องค์กรต้องมีเมื่อถูกตรวจหรือร้องเรียนประกอบก่อนกำหนดผู้รับผิดชอบ

สำนักงานกฎหมายยอดทิพย์ธรรมช่วยตรวจข้อเท็จจริง เอกสารและพยานหลักฐานผ่านบริการกฎหมาย PDPA รวมถึงข้อสัญญากับคู่ค้า สามารถนัดหมายเพื่อนำเอกสารที่เกี่ยวข้องมาประเมินก่อนตัดสินใจ

ข้อกฎหมายที่เกี่ยวข้อง

มาตรา 6 นิยามผู้ควบคุมและผู้ประมวลผลโดยดูอำนาจหน้าที่จริง มาตรา 40 วรรคสามกำหนดข้อตกลงสำหรับการประมวลผลตามคำสั่ง ขณะที่มาตรา 27 และมาตรา 37 (2) ยังเกี่ยวข้องกับการเปิดเผยและการป้องกันการใช้ข้อมูลโดยมิชอบ

คำถามที่พบบ่อย

คู่ค้าเป็นบริษัทเล็กจึงไม่ต้องมี DPA ใช่ไหม

ขนาดบริษัทไม่ได้ทำให้หน้าที่จัดทำข้อตกลงตามมาตรา 40 หายไปโดยทั่วไป ต้องแยกจากข้อยกเว้นบางหน้าที่ที่กฎหมายกำหนด

พนักงานในบริษัทต้องเซ็น DPA แบบคู่ค้าหรือไม่

ต้องแยกการทำงานในองค์กรออกจากการว่าจ้างผู้ประมวลผลภายนอก พนักงานควรมีคำสั่ง สิทธิการเข้าถึงและหน้าที่รักษาความลับที่เหมาะสม

DPA ภาษาอังกฤษใช้ได้หรือไม่

ภาษาไม่ได้เป็นตัวตัดสินเพียงอย่างเดียว ต้องมีข้อความชัดเจน มีผลผูกพัน และทีมที่ต้องปฏิบัติเข้าใจหน้าที่จริง

ผู้เขียน นายเอกราช ทิพย์แมม คดีครอบครัว มรดก และหนี้สิน

สาขาที่เชี่ยวชาญ: ครอบครัว · มรดกและพินัยกรรม · หนี้สินและบังคับคดี

ดูประวัติทีมทนายความ →

บทความนี้เป็นความรู้กฎหมายทั่วไปเพื่อความเข้าใจเบื้องต้น ไม่ใช่คำปรึกษาทางกฎหมายเฉพาะคดี ผลทางกฎหมายขึ้นอยู่กับข้อเท็จจริง เอกสาร และพยานหลักฐานของแต่ละกรณี ควรปรึกษาทนายความเพื่อประเมินเรื่องของท่านโดยเฉพาะ