GDPR และ PDPA: สิ่งที่ธุรกิจในประเทศไทยซึ่งมีลูกค้าในยุโรปควรรู้

สำหรับบริษัทที่ตั้งอยู่ในประเทศไทย การพิจารณาความสัมพันธ์ระหว่าง GDPR และ PDPA ในประเทศไทย ต้องดูตามกิจกรรมการประมวลผลแต่ละประเภท โดย PDPA ของไทยเป็นกรอบหลัก ขณะที่ GDPR ของสหภาพยุโรปอาจใช้บังคับกับบางกิจกรรม การมีลูกค้าในยุโรปเพียงอย่างเดียวไม่ได้ทำให้ GDPR ใช้กับการประมวลผลทั้งหมดโดยอัตโนมัติ การวิเคราะห์ต้องพิจารณาสถานที่ตั้งของบริษัท บุคคลที่เป็นเป้าหมาย ลักษณะบริการ และกระแสข้อมูลระหว่างสหภาพยุโรปกับประเทศไทย

สำหรับบริษัทไทยที่ทำธุรกิจกับยุโรป ประเด็นสำคัญจึงไม่ใช่การเลือกระหว่างกฎหมายสองฉบับ แต่คือการสร้างธรรมาภิบาลข้อมูลที่สามารถระบุได้อย่างชัดเจนว่า กฎหมายใดใช้กับการประมวลผลใด และมีหน้าที่ใดที่ต้องปฏิบัติ

PDPA เป็นกรอบหลักด้านการคุ้มครองข้อมูลในประเทศไทย

พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 หรือ PDPA เป็นกฎหมายหลักของประเทศไทยด้านการคุ้มครองข้อมูลส่วนบุคคล บทบัญญัติหลักมีผลใช้บังคับอย่างเต็มรูปแบบตั้งแต่วันที่ 1 มิถุนายน 2565 และครอบคลุมการเก็บรวบรวม การใช้ การเปิดเผย การเก็บรักษา และความมั่นคงปลอดภัยของข้อมูลส่วนบุคคล

เช่นเดียวกับ GDPR, PDPA ตั้งอยู่บนหลักสำคัญหลายประการ ได้แก่ ต้องมีฐานกฎหมายในการประมวลผล แจ้งข้อมูลแก่เจ้าของข้อมูล จำกัดวัตถุประสงค์และระยะเวลาการเก็บรักษา ปกป้องข้อมูล และเปิดให้เจ้าของข้อมูลใช้สิทธิตามกฎหมาย ดังนั้น ความยินยอมจึงไม่ใช่ฐานกฎหมายเพียงอย่างเดียวที่ใช้ได้

บริษัทที่ตั้งอยู่ในประเทศไทยควรเริ่มจากการระบุว่ากิจกรรมการประมวลผลใดอยู่ภายใต้ PDPA บทบาทของผู้ควบคุมข้อมูลและผู้ประมวลผลข้อมูล ฐานกฎหมายที่ใช้ ข้อมูลส่วนบุคคลที่มีความอ่อนไหว และมาตรการรักษาความมั่นคงปลอดภัยที่เกี่ยวข้อง

เมื่อใด GDPR จึงอาจใช้กับบริษัทไทย

ขอบเขตการใช้บังคับเชิงดินแดนของ GDPR กำหนดไว้ใน มาตรา 3 สำหรับบริษัทที่ตั้งอยู่ในประเทศไทย ควรแยกพิจารณาอย่างน้อยสามสถานการณ์

บริษัทมีสถานประกอบการในสหภาพยุโรป

หากการประมวลผลเกิดขึ้นในบริบทของกิจกรรมของสถานประกอบการที่ตั้งอยู่ในสหภาพยุโรป GDPR อาจใช้บังคับแม้ว่าการประมวลผลทางเทคนิคจะดำเนินการในประเทศไทย ดังนั้น ตำแหน่งของเซิร์ฟเวอร์เพียงอย่างเดียวจึงไม่ใช่เกณฑ์ตัดสิน

บริษัทมุ่งเสนอสินค้าและบริการแก่บุคคลที่อยู่ในสหภาพยุโรป

บริษัทที่ไม่มีสถานประกอบการในสหภาพยุโรปอาจอยู่ภายใต้ GDPR หากประมวลผลข้อมูลของบุคคล ที่อยู่ในสหภาพยุโรป และการประมวลผลนั้นเกี่ยวข้องกับการเสนอสินค้าหรือบริการแก่บุคคลเหล่านั้น ไม่ว่าจะมีการเรียกเก็บเงินหรือไม่ก็ตาม

บริษัทติดตามพฤติกรรมของบุคคลที่อยู่ในสหภาพยุโรป

GDPR อาจใช้บังคับเช่นกันเมื่อบริษัทนอกสหภาพยุโรปติดตามพฤติกรรมของบุคคลที่อยู่ในสหภาพ เช่น การทำโปรไฟลิงหรือการติดตามออนไลน์บางรูปแบบเพื่อวิเคราะห์หรือคาดการณ์ความสนใจ พฤติกรรม หรือการเคลื่อนไหว

ในทางกลับกัน การมีลูกค้าชาวฝรั่งเศส เยอรมัน หรือชาวยุโรปโดยทั่วไปไม่ได้ทำให้ GDPR ใช้กับการประมวลผลทั้งหมดโดยอัตโนมัติ สัญชาติไม่ใช่เกณฑ์ตามมาตรา 3 ต้องวิเคราะห์บริบทจริงของการประมวลผล

GDPR และ PDPA มีหลักพื้นฐานร่วมกัน

ทั้งสองกรอบมีกลไกพื้นฐานร่วมกันมากพอที่จะสร้างฐานธรรมาภิบาลเดียวกันได้ ในทั้งสองกรณี องค์กรต้องระบุกิจกรรมการประมวลผล กำหนดวัตถุประสงค์ เลือกฐานกฎหมายที่เหมาะสม แจ้งข้อมูลแก่เจ้าของข้อมูล จัดการระยะเวลาการเก็บรักษา รองรับคำขอใช้สิทธิ และใช้มาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสมกับความเสี่ยง

• จัดทำแผนผังกิจกรรมการประมวลผลและกระแสข้อมูล
• ระบุผู้ควบคุมข้อมูล ผู้ประมวลผลข้อมูล และผู้รับข้อมูล
• จัดทำเอกสารวัตถุประสงค์และฐานกฎหมาย
• จัดให้มีการแจ้งข้อมูลแก่เจ้าของข้อมูลและกระบวนการจัดการคำขอใช้สิทธิ
• กำหนดระยะเวลาการเก็บรักษาที่มีเหตุผลรองรับ
• ใช้มาตรการทางเทคนิคและมาตรการเชิงองค์กรที่เหมาะสมกับความเสี่ยง
• เตรียมกระบวนการจัดการและบันทึกเหตุละเมิดข้อมูลส่วนบุคคล

ความใกล้เคียงนี้ไม่ได้หมายความว่ากฎหมายทั้งสองใช้แทนกันได้ หน้าที่เฉพาะ ข้อยกเว้น หน่วยงานกำกับ และกลไกการโอนข้อมูลระหว่างประเทศยังต้องพิจารณาแยกกัน

ความแตกต่างควรถูกจัดการในรูปแบบการวิเคราะห์ช่องว่างด้านการปฏิบัติตามข้อกำหนด

GDPR และ PDPA ใช้กลไกและถ้อยคำทางกฎหมายที่ไม่เหมือนกันทั้งหมด แนวทางที่เหมาะสมจึงควรสร้างฐานร่วม แล้วทำ การวิเคราะห์ช่องว่าง สำหรับแต่ละเขตอำนาจศาล

• หน่วยงานกำกับดูแลและขั้นตอนดำเนินการแตกต่างกัน ในสหภาพยุโรป อำนาจหน้าที่ขึ้นอยู่กับประเทศและบริบทของการประมวลผล ส่วนในประเทศไทย กรอบการกำกับดูแลอยู่ภายใต้คณะกรรมการคุ้มครองข้อมูลส่วนบุคคลและสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล
• เงื่อนไขการแต่งตั้งเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลหรือ DPO ต้องประเมินแยกกันภายใต้กฎหมายแต่ละฉบับ
• ข้อกำหนดด้านเอกสาร บันทึก และการประเมินความเสี่ยงไม่ได้กำหนดไว้เหมือนกันทั้งหมด
• กลไกการโอนข้อมูลระหว่างประเทศแตกต่างกันและต้องพิจารณาให้สอดคล้องกันเมื่อมีการส่งข้อมูลระหว่างยุโรปกับประเทศไทย
• บทลงโทษ ขั้นตอนทางปกครอง และช่องทางอุทธรณ์อยู่ภายใต้กรอบกฎหมายที่แตกต่างกัน

การโอนข้อมูลระหว่างสหภาพยุโรปกับประเทศไทยเป็นประเด็นสำคัญ

สำหรับหลายบริษัท ประเด็นที่เป็นรูปธรรมที่สุดไม่ใช่เพียงขอบเขตเชิงดินแดนของ GDPR แต่คือ การโอนข้อมูลส่วนบุคคลจากเขตเศรษฐกิจยุโรปมายังประเทศไทย

ปัจจุบันประเทศไทยยังไม่อยู่ในรายชื่อประเทศที่ได้รับ คำตัดสินความเพียงพอของการคุ้มครองข้อมูลจากคณะกรรมาธิการยุโรป ดังนั้น เมื่อ GDPR ใช้บังคับ การโอนข้อมูลจาก EEA มายังประเทศไทยต้องอาศัยกลไกตามบทที่ V ของ GDPR

ในการทำธุรกิจทั่วไป Standard Contractual Clauses หรือ SCC ของคณะกรรมาธิการยุโรป เป็นหนึ่งในกลไกที่ใช้บ่อย ทั้งนี้ ตามบริบทอาจต้องประเมินเงื่อนไขของการโอนและมาตรการเพิ่มเติมด้วย พร้อมกับพิจารณากฎของไทยเกี่ยวกับการโอนข้อมูลไปต่างประเทศควบคู่กัน

ในทางปฏิบัติ บริษัทต้องทราบว่า ข้อมูลใดออกจากยุโรป เพื่อวัตถุประสงค์ใด ไปยังผู้รับรายใด ภายใต้บทบาทตามสัญญาแบบใด และมีมาตรการคุ้มครองอะไร การทำแผนผังนี้เป็นขั้นตอนสำคัญก่อนเลือกกลไกทางกฎหมาย

DPO และผู้แทนในสหภาพยุโรปไม่ใช่บทบาทเดียวกัน

สองบทบาทนี้มักถูกสับสน เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล หรือ DPO ทำหน้าที่สนับสนุนองค์กรด้านการปฏิบัติตามกฎหมายเมื่อกฎหมายกำหนดหรือองค์กรแต่งตั้งโดยสมัครใจ ส่วน ผู้แทนในสหภาพยุโรป ตามมาตรา 27 ของ GDPR ในบางกรณี ทำหน้าที่เป็นตัวแทนของผู้ควบคุมข้อมูลหรือผู้ประมวลผลข้อมูลที่ไม่ได้ตั้งอยู่ในสหภาพแต่เข้าข่ายมาตรา 3(2)

บริษัทไทยที่เข้าข่ายการใช้บังคับนอกอาณาเขตของ GDPR จึงต้องประเมินแยกกันว่าต้องแต่งตั้งผู้แทนในสหภาพยุโรปหรือไม่ และเข้าข่ายต้องมี DPO หรือไม่ หนึ่งบทบาทไม่สามารถแทนอีกบทบาทได้

เหตุละเมิดข้อมูล: เกณฑ์ 72 ชั่วโมงมีอยู่ในทั้งสองกรอบ

ตรงข้ามกับความเข้าใจที่พบได้บ่อย ระยะเวลาแจ้งเหตุหลักไม่ใช่ความแตกต่างสำคัญระหว่าง GDPR กับ PDPA โดย GDPR กำหนดให้แจ้งหน่วยงานกำกับที่มีอำนาจโดยไม่ล่าช้า และหากเป็นไปได้ภายใน 72 ชั่วโมง หลังทราบเหตุ เว้นแต่เหตุละเมิดนั้นไม่น่าจะก่อให้เกิดความเสี่ยงต่อสิทธิและเสรีภาพของบุคคล

PDPA ของไทยก็กำหนดให้แจ้งโดยไม่ล่าช้าและหากเป็นไปได้ภายใน 72 ชั่วโมง โดยขึ้นอยู่กับการประเมินความเสี่ยง หากความเสี่ยงสูง อาจต้องแจ้งเจ้าของข้อมูลที่ได้รับผลกระทบด้วย

ความท้าทายในทางปฏิบัติจึงอยู่ที่การมีกระบวนการร่วมสำหรับตรวจจับเหตุ ระบุข้อมูลที่เกี่ยวข้อง ประเมินความเสี่ยง กำหนดว่าต้องแจ้งหน่วยงานหรือบุคคลใด บันทึกการตัดสินใจ และปฏิบัติตามข้อกำหนดเฉพาะของแต่ละกฎหมาย

วิธีการร่วมช่วยลดงานซ้ำซ้อน

สำหรับองค์กรที่อยู่ภายใต้ทั้งสองกรอบจริง การทำ GDPR และ PDPA เป็นสองโครงการแยกกันโดยสิ้นเชิงมักทำให้เกิดการทำรายการ กระบวนการ และการควบคุมซ้ำกัน แนวทางที่มีประสิทธิภาพกว่าคือสร้าง ฐานธรรมาภิบาลข้อมูลร่วม แล้วเชื่อมข้อกำหนดเฉพาะของแต่ละกฎหมายเข้ากับฐานนั้น

1. จัดทำแผนผังกิจกรรมการประมวลผล ระบบ ผู้ให้บริการ และการโอนข้อมูล
2. กำหนดบทบาทของบริษัทและกฎหมายที่ใช้กับการประมวลผลแต่ละรายการ
3. จัดทำเอกสารฐานกฎหมาย ข้อมูลที่แจ้งแก่เจ้าของข้อมูล และระยะเวลาการเก็บรักษา
4. ตรวจสอบสัญญากับผู้ประมวลผลข้อมูลและกลไกการโอนข้อมูลระหว่างประเทศ
5. ประเมินความจำเป็นของ DPO ผู้แทนในสหภาพยุโรป และการประเมินผลกระทบหรือความเสี่ยง
6. จัดทำกระบวนการใช้สิทธิของเจ้าของข้อมูลและการจัดการเหตุละเมิดข้อมูล
7. กำหนดการติดตามอย่างต่อเนื่อง แทนการมองการปฏิบัติตามข้อกำหนดเป็นโครงการครั้งเดียว

แนวทางนี้เป็นการบริหารการปฏิบัติตามข้อกำหนด โดยเชื่อมหน้าที่ทางกฎหมายเข้ากับกระบวนการ ความรับผิดชอบ เครื่องมือ และมาตรการรักษาความมั่นคงปลอดภัยขององค์กร

คำถามที่ควรตรวจสอบสำหรับองค์กรของคุณ

ก่อนสรุปว่าบริษัทไทยอยู่หรือไม่อยู่ภายใต้ GDPR ควรจัดทำข้อมูลประกอบสำหรับคำถามต่อไปนี้

• บริษัทมีสถานประกอบการหรือการดำเนินงานอย่างต่อเนื่องในสหภาพยุโรปหรือไม่
• บริษัทตั้งใจเสนอสินค้าหรือบริการแก่บุคคลที่อยู่ในสหภาพยุโรปหรือไม่
• บริษัทติดตามพฤติกรรมของบุคคลที่อยู่ในสหภาพยุโรปหรือไม่
• บริษัทรับข้อมูลส่วนบุคคลที่โอนจาก EEA มายังประเทศไทยหรือไม่
• กิจกรรมการประมวลผลใดอยู่ภายใต้ PDPA ของไทย
• สัญญากับลูกค้าและผู้ให้บริการระบุบทบาทและการโอนข้อมูลไว้อย่างถูกต้องหรือไม่
• ได้ประเมินข้อกำหนดเกี่ยวกับ DPO ผู้แทนในสหภาพยุโรป และเหตุละเมิดข้อมูลแล้วหรือไม่

สร้างการปฏิบัติตามข้อกำหนดที่สอดคล้องกันระหว่างยุโรปและประเทศไทย

การกำกับดูแล GDPR และ PDPA ในประเทศไทย สามารถใช้หลักการร่วมกันเป็นฐานได้ แต่ต้องคงการวิเคราะห์ข้อแตกต่างของแต่ละกฎหมาย บริษัทที่ตั้งอยู่ในประเทศไทยควรระบุกิจกรรมการประมวลผลและกระแสข้อมูลระหว่างประเทศอย่างชัดเจน แล้วจึงใช้กรอบกฎหมายที่เกี่ยวข้องกับแต่ละรายการ

Cybersiam สนับสนุนแนวทางนี้ด้วยการเชื่อมความมั่นคงปลอดภัยไซเบอร์เข้ากับการปฏิบัติตามข้อกำหนด ตั้งแต่การทำแผนผังข้อมูล ธรรมาภิบาล มาตรการรักษาความมั่นคงปลอดภัย การกำหนดความรับผิดชอบ ไปจนถึงการติดตามข้อกำหนดที่ใช้บังคับ เป้าหมายไม่ใช่การซ้อนโครงการ compliance สองชุด แต่คือการสร้างระบบการบริหารจัดการเดียวที่รองรับข้อกำหนดของยุโรปและไทยในกรณีที่ใช้บังคับจริง

บทความนี้นำเสนอหลักการทั่วไป การใช้บังคับที่แน่นอนของ GDPR, PDPA และกลไกการโอนข้อมูลระหว่างประเทศขึ้นอยู่กับบริบททางกฎหมายและการดำเนินงานของแต่ละองค์กร