เมื่อเกิดการส่งผ่าน/ประมวลผลข้อมูลข้ามประเทศ ระหว่าง ไทย PDPA ต้องเจอกับ ประเทศที่มีมาตรฐาน GDPR จะต้องทำอย่างไรดี

หัวใจสำคัญ

• บริการคลาวด์ ทีมงานประจำภูมิภาค และผู้ให้บริการภายนอก ทำให้ธุรกิจส่วนใหญ่ในปัจจุบันมีการส่งโอนข้อมูลข้ามพรมแดนอย่างหลีกเลี่ยงไม่ได้ 

• PDPA กำหนดให้ประเทศปลายทางต้องมีมาตรฐานการคุ้มครองข้อมูลที่เพียงพอ หรือต้องเข้าเงื่อนไขข้อยกเว้นตามที่กฎหมายอนุญาต เช่น การมีมาตรการคุ้มครองที่เหมาะสม การได้รับความยินยอม หรือการใช้ข้อกำหนดภายในกลุ่มบริษัท 

• โดยทั่วไป GDPR กำหนดให้ต้องมีมาตรฐานที่เพียงพอ ข้อกำหนด หรือข้อยกเว้นที่จำกัด ซึ่งประเทศไทยยังไม่ได้รับการยอมรับว่ามีมาตรฐานที่เพียงพอ

• กฎหมายทั้งสองฉบับสามารถบังคับใช้ได้นอกเขตอำนาจศาล ในบางครั้งอาจใช้กับธุรกิจเดียวกันด้วย

• ทำแผนผังการส่งโอนข้อมูล (Data Map) จับคู่แต่ละรายการเข้ากับช่องทางที่ถูกต้องตามกฎหมาย พร้อมทั้งอัปเดตสัญญาและประกาศความเป็นส่วนตัว 

เป็นเรื่องง่ายที่จะจินตนาการว่าข้อมูลส่วนบุคคลจะอยู่ในสถานที่ที่เก็บรวบรวม แต่ความจริงแล้ว รายชื่อลูกค้าของผู้ค้าปลีกในไทยอาจจะถูกเก็บไว้ในคลาวด์เซิร์ฟเวอร์ในประเทศสิงคโปร์ และถูกวิเคราะห์โดยผู้ให้บริการในประเทศอินเดีย เข้าถึงข้อมูลโดยการตลาดประจำภูมิภาคในฮ่องกง และส่งรายงานไปยังบริษัทแม่ในยุโรป ซึ่งการเดินทางของข้อมูลในแต่ละขั้นตอนเป็นการส่งข้อมูลข้ามประเทศทั้งสิ้น และแต่ละจุดเชื่อมโยงก็เกี่ยวข้องกับกฎหมายของอย่างน้อย 1 ประเทศ หรือบางครั้งอาจหลายประเทศพร้อมกัน

สองกฎหมายที่มีความสำคัญที่สุดคือ PDPA และ GDPR โดยทั้งสองกฎหมายนี้มีเค้าโครงที่คล้ายคลึงกัน เนื่องจาก PDPA ได้รับการถอดแบบและหลักการต่างๆมาจาก GDPR แต่อย่างไรก็ดีทั้งสองกฎหมายนี้ยังมีความแตกต่างกันในจุดสำคัญซึ่งมีผลค่อการดำเนินงานในชีวิตประจำวัน

แนวทางการรับมือกับการโอนข้อมูลส่วนบุคคลตามกฎหมาย PDPA

ตามกฎหมาย PDPA ผู้ควบคุมข้อมูลส่วนบุคคลจะไม่สามารถส่งข้อมูลส่วนบุคคลไปต่างประเทศได้ เว้นแต่ประเทศปลายทางจะมีมาตรฐานการคุ้มครองข้อมูลที่เพียงพอ หรือเข้าเงื่อนไขข้อยกเว้นตามที่กฎหมายอนุญาต กฎหมายเปิดช่องให้ส่งโอนข้อมูลได้ในหลายกรณี เช่น เจ้าของข้อมูลส่วนบุคคลให้ความยินยอมหลังจากได้รับการแจ้งถึงมาตรฐานการคุ้มครองข้อมูลที่ไม่เพียงพอของประเทศปลายทาง การส่งโอนเพื่อปฏิบัติตามสัญญาการปฏิบัติตามกฎหมาย หรือการมีมาตรการคุ้มครองที่เหมาะสม สำหรับกลุ่มบริษัทเดียวกัน PDPA ได้กำหนดให้ใช้ข้อกำหนดการบริหารจัดการข้อมูลภายในองค์กร ที่ได้รับความคุ้มครองและอนุมัติจากองค์กรกำกับดูแล นอกจากนี้ คณะกรรมการคุ้มครองข้อมูลส่วนบุคคล ได้ออกประกาศกำหนดหลักเกณฑ์อย่างละเอียด ทั้งมาตรการคุ้มครองที่ได้รับการยอมรับอย่างข้อสัญญามาตรฐาน (Standard Contractual Clauses) และกลไกการรับรองมาตรฐาน (Certification Mechanisms) รวมถึงเริ่มเผยแพร่รายชื่อประเทศที่มีมาตรฐานเพียงพอแล้ว อย่างไรก็ตาม เนื่องจากเกณฑ์ในเรื่องนี้มีการพัฒนาอย่างต่อเนื่อง ผู้เกี่ยวข้องจึงควรตรวจสอบรายชื่อและข้อความอัปเดตล่าสุด ณ ช่วงเวลาที่จะทำการส่งโอนข้อมูลทุกครั้ง

แนวทางการรับมือกับการโอนข้อมูลส่วนบุคคลตามกฎหมาย GDPR

กฎหมาย GDPR จำกัดการส่งโอนข้อมูลส่วนบุคคลจากเขตเศรษฐกิจยุโรป (EEA) ไปยังประเทศอื่น เว้นแต่ประเทศนั้นจะได้รับการยอมรับว่ามีระดับการคุ้มครองข้อมูลที่เพียงพอ (Adequacy Decision) จากคณะกรรมาธิการยุโรป หรือมีมาตรการคุ้มครองที่เหมาะสม เช่น ข้อสัญญามาตรฐาน (Standard Contractual Clauses) หรือเข้าข้อยกเว้นเฉพาะบางประการ เท่าที่ทราบในปัจจุบัน ประเทศไทยยังไม่ได้รับการรับรองระดับการคุ้มครองข้อมูลที่เพียงพอจากสหภาพยุโรป ดังนั้น บริษัทในยุโรปที่ต้องส่งข้อมูลมายังบริษัทลูกหรือผู้ให้บริการในไทย จึงมักใช้ข้อสัญญามาตรฐานร่วมกับการประเมินผลกระทบจากการส่งโอนข้อมูล (Transfer Impact Assessment) เป็นหลัก

นอกจากนี้ GDPR ยังอาจมีผลบังคับใช้โดยตรงกับธุรกิจไทยที่มุ่งเสนอกรรมสิทธิ์สินค้าหรือบริการแก่บุคคลในสหภาพยุโรป หรือมีการติดตามพฤติกรรมของคนกลุ่มดังกล่าว ในขณะเดียวกัน PDPA ของไทยก็มีขอบเขตการบังคับใช้ข้ามพรมแดนเช่นกัน โดยครอบคลุมถึงองค์กรในต่างประเทศที่เสนอขายสินค้า บริการ หรือติดตามพฤติกรรมของคนที่อยู่ในประเทศไทย ส่งผลให้ธุรกิจอาจต้องปฏิบัติตามกฎหมายทั้งสองฉบับไปพร้อมกัน

ความแตกต่าง 4 ด้านในการปฏิบัติ

• ประการแรก บทลงโทษ โทษปรับตามกฎหมาย GDPR อาจสูงถึงหลายสิบล้านยูโร หรือคิดเป็นเปอร์เซ็นต์จากรายได้รวมทั่วโลก ในขณะที่โทษปรับทางปกครองของ PDPA แม้จะมีจำนวนเงินที่น้อยกว่า แต่ก็มีความเสี่ยงเพิ่มเข้ามาจากโทษทางอาญาและค่าเสียหายเชิงลงโทษ

• ประการที่สอง การแจ้งเหตุละเมิด ทั้งสองกฎหมายกำหนดระยะเวลาไว้ที่ 72 ชั่วโมงเหมือนกัน แต่มีเงื่อนไขและเกณฑ์ในการแจ้งที่แตกต่างกัน ทำให้เหตุการณ์ละเมิดเพียงครั้งเดียวอาจต้องวิเคราะห์แยกตามกฎหมายแต่ละฉบับ

• ประการที่สาม ฐานการประมวลผลข้อมูลตามกฎหมาย GDPR ยอมรับฐานประโยชน์โดยชอบด้วยกฎหมาย (Legitimate Interests) ในขอบเขตที่กว้างกว่า ขณะที่ PDPA แม้จะมีแนวคิดคล้ายกัน แต่องค์กรกำกับดูแลมีแนวโน้มจะตีความการขอความยินยอมอย่างเข้มงวด โดยเฉพาะข้อมูลส่วนบุคคลอ่อนไหว 

• ประการที่สี่ เอกสารประกอบการดำเนินงาน การเน้นย้ำเรื่องความรับผิดชอบและความสามารถในการตรวจสอบได้ตาม GDPR ซึ่งรวมถึงการประมวลผลประเมินผลกระทบด้านการคุ้มครองข้อมูล เริ่มถูกนำมาปรับใช้ในการทำงานจริงของไทยมากขึ้นเรื่อยๆ 

ขั้นตอนการนำไปใช้ในชีวิตจริง

แนวทางที่น่าเชื่อถือที่สุดควรเริ่มต้นจากการทำแผนผังข้อมูล (Data Map) โดยระบุการส่งโอนข้อมูลทุกรายการว่า ส่งให้ใคร ส่งไปที่ไหน และส่งไปด้วยเหตุผลใด จากนั้นจัดคู่การส่งโอนแต่ละรายการเข้ากับช่องทางที่ถูกต้องตามกฎหมาย ไม่ว่าจะเป็นการส่งไปยังประเทศที่มีมาตรฐานเพียงพอ การใช้ข้อสัญญามาตรฐาน ข้อกำหนดภายในกลุ่มบริษัท หรือฐานทางกฎหมายอื่นที่ได้รับอนุญาต

ถัดมาคือการอัปเดตสัญญาผู้ให้บริการ โดยเพิ่มข้อกำหนดเกี่ยวกับการส่งโอนข้อมูล หน้าที่ด้านความปลอดภัย และความร่วมมือเมื่อเกิดเหตุละเมิด พร้อมทั้งปรับปรุงประกาศความเป็นส่วนตัว (Privacy Notice) เพื่อแจ้งให้บุคคลเจ้าของข้อมูลทราบว่า ข้อมูลของตนอาจถูกส่งไปยังต่างประเทศ และส่งไปยังผู้รับกลุ่มใดบ้าง

ขั้นตอนสุดท้ายควรประเมินผู้ให้บริการล่วงพัฒนาก่อนเริ่มใช้งานจริง เพราะการส่งโอนข้อมูลส่วนใหญ่มักไม่ได้เกิดจากการตัดสินใจอย่างเป็นทางการ แต่เกิดจากการที่ทีมงานลงชื่อเข้าใช้เครื่องมือซอฟต์แวร์ใหม่ๆ โดยไม่ได้ระวัง

ทั้งนี้ สำหรับกลุ่มบริษัทข้ามชาติ การใช้กรอบการทำงานหลักเพียงชุดเดียวที่สอดคล้องกับมาตรฐานที่เข้มงวดที่สุด แล้วจึงนำมาปรับใช้ตามกฎหมายของแต่ละท้องถิ่น มักจะให้ผลลัพธ์ที่ดีที่สุด เพราะช่วยลดความซ้ำซ้อนของการแยกกระบวนการทำงานเป็นส่วนๆ

เป้าหมายที่เปลี่ยนแปลง

กฎหมายเกี่ยวกับการส่งโอนข้อมูลข้ามพรมแดนระหว่างประเทศกำลังเปลี่ยนแปลงอย่างรวดเร็ว โดยมีการจัดทำข้อตกลงระดับภูมิภาค คำตัดสินของศาล และการออกกฎหมายระดับประเทศใหม่ๆ เกิดขึ้นทุกปีทั้งในเอเชียและทั่วโลก ดังนั้น การทบทวนและตรวจสอบอย่างสม่ำเสมอจึงไม่ใช่เรื่องที่มองข้ามได้ และคำถามสำคัญที่ต้องหยิบยกขึ้นมาถามทุกครั้งที่มีการต่อสัญญาคือ "ข้อมูลนี้ถูกส่งไปที่ไหน และมีฐานทางกฎหมายใดรองรับให้ส่งไปได้" 

บทความนี้จัดทำขึ้นเพื่อเป็นข้อมูลทั่วไปเท่านั้น และไม่ใช่คำแนะนำทางกฎหมาย ทีมงานด้านความเป็นส่วนตัวของ Epsilon Legal ให้บริการคำปรึกษาเกี่ยวกับการปฏิบัติตามกฎหมาย PDPA, GDPR และการส่งโอนข้อมูลข้ามพรมแดน