Thailand Data Protection Guidelines 1 · 6 Thailand Data Protection Guidelines 1.0 ทั้งนี้ คณะนิติศาสตร์ ขอขอบคุณ ดร.พิเชฐ

Thailand Data Protection Guidelines 1.0

แนวปฏบตเกยวกบการคมครองขอมลสวนบคคล

Final Version 1.0

กนยายน 2561

ศนยวจยกฎหมายและการพฒนา คณะนตศาสตร

จฬาลงกรณมหาวทยาลย

สนบสนนโดย

2 Thailand Data Protection Guidelines 1.0

ขอมลทางบรรณานกรมของส านกหอสมดแหงชาต National Library of Thailand Cataloging in Publication Data

ปยะบตร บญอรามเรอง, ปต เอยมจ ารญลาภ, ชวน อนภทร และ ฐตรตน ทพยสมฤทธกล

Thailand Data Protection Guidelines 1.0 : แนวปฏบตเกยวกบ การคมครองขอมลสวนบคคล

ISBN 978-616-407-369-2

พมพครงท 1 จ านวนพมพ จ านวนหนา จดท าโดย

พมพท

กนยายน 2561 700 เลม 107 หนา ศนยวจยกฎหมายและการพฒนา คณะนตศาสตร จฬาลงกรณมหาวทยาลย ถนนพญาไท ปทมวน กรงเทพฯ 10330 โทร. 02-218-2017

โรงพมพแหงจฬาลงกรณมหาวทยาลย [6112-019D] โทร. 0 2218 3549-50 โทรสาร 0 2215 3612

ศนยวจยกฎหมายและการพฒนา คณะนตศาสตร จฬาลงกรณมหาวทยาลย 3

จดท าโดย ศนยวจยกฎหมายและการพฒนา คณะนตศาสตร จฬาลงกรณมหาวทยาลย สนบสนนโดย ส านกงานพฒนาธรกรรมทางอเลกทรอนกส (องคการมหาชน)

บรษท เอพ (ไทยแลนด) จ ากด (มหาชน) บรษท อารแอนดท เอเชย (ประเทศไทย) จ ากด

ทปรกษา รศ.ธตพนธ เชอบญชย (ผอ านวยการศนยวจยกฎหมายและการพฒนา) ผศ.ดร.ปารณา ศรวนชย (คณบด)

ผแตง ผศ.ดร.ปยะบตร บญอรามเรอง อ.ดร.ปต เอยมจ ารญลาภ อ.ดร.ชวน อนภทร อ.ฐตรตน ทพยสมฤทธกล

ผจดการโครงการ ผศ.ดร.พฒนาพร โกวพฒนกจ วนทเผยแพร กนยายน 2561

ขอปฏเสธความรบผด (Disclaimer) ศนยวจยกฎหมายและการพฒนา คณะนตศาสตร จฬาลงกรณมหาวทยาลย รวมถงทปรกษาและผแตงของแนวปฏบตน (รวมเรยกวา “ผแตง”) ไมไดใหการรบรองหรอรบประกนใดๆถงความถกตองครบถวนของเนอหาของงานน และผแตงขอปฏเสธอยางชดแจงวาไมไดใหการรบรองหรอรบประกนใดๆทงสนตอเนอหาของงานน โดยขอแนะน าทปรากฏในงานนอาจไมเหมาะสมตอสถานการณบางลกษณะ เนอหาของงานนจงไมใชการใหค าปรกษาทางกฎหมายหรอค าปรกษาทางวชาชพใดๆทงสน หากผอานจ าเปนตองไดรบค าปรกษาทเกยวของ ผอานจ าเปนตองตดตอขอค าปรกษาจากผเชยวชาญในดานนนโดยตรง ผแตงจงไมมความรบผดชอบและไมตองรบผดใดๆตอความเสยหายทอางวาเกดขนจากการปฏบตตามเนอหาของงานน และหากมการอางองใดๆถงงานนไมวาในรปแบบใด ผแตงขอปฏเสธอยางชดแจงไมใหการรบรองหรอการรบประกนการอางองนน การรบรองใดๆทอาจมขนตองออกเปนหนงสอโดยผแตงเทานน นอกจากนผอานควรตระหนกไวดวยวารายการอางองทางเวบไซตใดๆในงานนอาจมการเปลยนแปลงหรอสญหายไปไดเมอเวลาททานไดอานงานน


ลขสทธทงหมดของงานนเปนของผแตงและไดรบความคมครองตามกฎหมายลขสทธและกฎหมายอนทใชบงคบ หามน างานไปใชอยางอน นอกจากการใชทไดรบอนญาตนหรอตามกฎหมายลขสทธ หนงสอเลมน

ไดจดใหใชไดตามขอตกลงของสญญาอนญาตสาธารณะของ Creative Commons แบบแสดงทมา 3.0 ป ร ะ เ ท ศ ไ ทย ( CC BY 3.0 TH), https://creativecommons.org/licenses/by/3.0/th/ legalcode


เมอสหภาพยโรปไดออก GDPR หรอ General Data Protection Regulation ซงเปน

กฎหมายคมครองขอมลสวนบคคลมาบงคบใชเมอเดอนพฤษภาคม 2561 ทผานมา โดยมขอก าหนดใหองคกรตางๆ ทมธรกรรมหรอการด าเนนการบนอนเทอรเนตทมขอมลสวนบคคลของผบรโภคตองปฏบตตามมาตรการตางๆ ทเขมงวดขนเพอเพมความคมครองขอมลสวนตวของบคคล

คณะนตศาสตร จฬาลงกรณมหาวทยาลย ในฐานะสถาบนการศกษาชนน าทมพนธกจในการผลตบณฑต วจย สรางองคความร รวมทงเผยแพร ใหบรการทางวชาการ และขอเสนอแนะทเปนประโยชนตอสงคม ตระหนกถงผลกระทบของ GDPR ของสหภาพยโรปฉบบนตอองคกรธรกจและหนวยงานตางๆ ในประเทศไทย จงเหนความส าคญและความจ าเปนทควรมการศกษาวจยเพอแนวปฏบตเกยวกบการคมครองขอมลสวนบคคลเพอรองรบการมผลบงคบใชของ GDPR (EU General Data Protection Regulation)

การน ศนยวจยกฎหมายและการพฒนา คณะนตศาสตร จฬาลงกรณมหาวทยาลย จงรวมกนกบองคกรภาครฐและเอกชน จดใหม “โครงการจดท าคมอแนวปฏบตเกยวกบการคมครองขอมลสวนบคคล” โดยเรมจากการจดสมมนาเชงลกเมอวนจนทรท 2 กรกฎาคม 2561 ระดมความคดเหน-ประเดนตางๆ และน ามาตอยอด ศกษา วจยและประชมกลมยอยของคณะผวจยอกหลายครงจนท าใหได “แนวปฏบตเกยวกบการคมครองขอมลสวนบคคล” หรอ “Thailand Data Protection Guidelines 1.0” ฉบบนขน

คณะนตศาสตร จฬาลงกรณมหาวทยาลย หวงเปนอยางยงวา “แนวปฏบตเกยวกบการคมครองขอมลสวนบคคล” ทเปนผลงานของศนยวจยกฎหมายและการพฒนา คณะนตศาสตร ชนน จะกอใหเกดการตระหนกรของภาครฐและภาคเอกชน รวมทงเกดประโยชนแกองคกรตางๆ และผประกอบการของไทย ทจะสามารถน าแนวปฏบตนไปใชไดจรงเพอใหการด าเนนการคมครองขอมลสวนบคคลเปนไปตามมาตรฐานซงเปนทยอมรบตามความมงหมายและวตถประสงคของโครงการน


ทงน คณะนตศาสตร ขอขอบคณ ดร.พเชฐ ดรงคเวโรจน รฐมนตรวาดวยกระทรวงดจทลเพอเศรษฐกจและสงคม ส านกงานพฒนาธรกรรมทางอเลกทรอนกส (องคการมหาชน) บรษท เอพ (ไทยแลนด) จ ากด (มหาชน) บรษท อารแอนดท เอเชย (ประเทศไทย) จ ากด วทยากร ผลงทะเบยนเขารวมสมมนา และผสนบสนนจ านวนมาก ทท าใหโครงการนส าเรจลลวงดวยด รวมทงขอขอบคณตลาดหลกทรพยแหงประเทศไทย ทรวมจดงานสมมนาเพอเผยแพรแนวปฏบตนสสาธารณะ

ผศ.ดร.ปารณา ศรวนชย (คณบด)

กนยายน 2561


ขอขอบคณ

โครงการฯขอขอบคณผสนบสนนหลกของโครงการ 3 รายทเลงเหนความส าคญและสนบสนนการจดท าแนวปฏบตนเพอประโยชนสาธารณะ ไดแก

ผสนบสนนหลก ส านกงานพฒนาธรกรรมทางอเลกทรอนกส (องคการมหาชน)

บรษท เอพ (ไทยแลนด) จ ากด (มหาชน) บรษท อารแอนดท เอเชย (ประเทศไทย) จ ากด

ขอขอบคณผสนบสนนและชวยเหลอการจดท าโครงการสมมนาฯและการจดท าแนวปฏบต

นอยางเขมขนมาตงแตเรมจดประเดนการจดท าแนวปฏบตนขนมา ไดแก

ผสนบสนน คณสมยศ สธรพรชย (ฬ30)

คณพนชนะ วฒนเสถยร (ฬ31) คณประเสรฐ ปอมปองศก คณชนกมล ศรสมโภชน คณณฐชา ววฒนศรกล

ขอขอบคณคณะทานวทยากรทไดใหความกรณารวมใหความรและแลกเปลยนมมมอง

เกยวกบการจดท าแนวปฏบตในงานสมมนา ไดแก

วทยากร ดร.พเชฐ ดรงคเวโรจน

(รฐมนตรวาดวยกระทรวงดจทลเพอเศรษฐกจและสงคม) คณสรางคณา วายภาพ

(ผอ านวยการส านกงานธรกรรมอเลกทรอนกส (องคการมหาชน))


ดร.สทธนย จนทรานนท (ผอ านวยการส านกรองกรรมการผอ านวยการใหญ

สายบรหารงานกฎหมายและบรหารทวไป บมจ.การบนไทย) ดร.เยาวลกษณ ชาตบญชาชย

(หนสวน ส านกงาน อวาย กรงเทพ) Ms. Kristina Nesset Kjerstad

(VP Privacy Europe, Telenor Group) คณวศษยศกด อรณสรตนภกด

(ทนายความหนสวน บรษท อาร แอนด ท เอเชย (ประเทศไทย) จ ากด) ดร.พณชต กตตปญญางาม

(นายกสมาคมการคาเพอสงเสรมผประกอบการเทคโนโลยรายใหม) คณมนตร สถาพรกล

(เจาหนาทคมครองขอมลสวนบคคล บมจ.โทเทล แอคเซส คอมมนเคชน)

ขอขอบคณผทรงคณวฒและผเชยวชาญทใหโอกาสผแตงหารอและสมภาษณเชงลกเพอ

น ามาปรบปรงรางแนวปฏบตจนส าเรจลลวงลงได

ผทรงคณวฒ คณกตตเมศร สกลลลารศม

คณจตราภรณ หวงหล คณเถลงศกด ศรพนธ

คณณรงคฤทธ สลสวยสม คณณฐวฒ มหทธเมธากจ คณปาลธรรม เกษมทรพย

คณสรรช แขงขนด คณอาทตย สรยะวงศกล


แนวปฏบตนจะไมสามารถด าเนนการไดส าเรจลลวงโดยปราศจากผชวยในทกๆดานทเกยวของตงแตการจดงานสมมนาจนถงการจดท าแนวปฏบต โครงการขอขอบคณผชวยทนารกดงตอไปน

ผชวยวจย คณโมกขพศทธ รตารณ คณพชญนร มงคลวทย คณกฤษณะ ขาวเรอง คณสนทร นาคทอง

ทายทสดนขอขอบคณตลาดหลกทรพยแหงประเทศไทยทใหการสนบสนนและเออเฟอรวม

จดงานสมมนาเพอเผยแพรแนวปฏบตนเมอวนท 25 กนยายน 2561 ณ หอประชม ศ.สงเวยน อนทรวชย ชน 7 ตลาดหลกทรพยแหงประเทศไทย

หากแนวปฏบตนมขอผดพลาดหรอไมครบถวนสมบรณในสวนใด ความบกพรองนนเปนของผแตงแตเพยงผเดยว

พฒนาพร โกวพฒนกจ

(ผจดการโครงการ) กนยายน 2561



สารบญ

ขอขอบคณ ................................................................................................................................. 7

สารบญ .................................................................................................................................... 11

A. บทน าและค านยาม ......................................................................................................... 13

A1. บทน า ................................................................................................................................... 13 A2. ค านยาม ............................................................................................................................... 19

B. แนวปฏบตการก าหนดและแยกแยะขอมลสวนบคคล (GUIDELINE FOR PERSONAL DATA CLASSIFICATION) ................................................................................................................. 21

B1. ขอบเขตของขอมลสวนบคคล (SCOPE) .................................................................................. 22 B2. การก าหนดและแยกแยะขอมลสวนบคคลตามความเสยงและความรายแรงทอาจกระทบตอสทธและเสรภาพของบคคล ......................................................................................................... 28

C. แนวปฏบตเกยวกบฐานในการประมวลผลขอมลสวนบคคล (GUIDELINE ON LAWFUL BASIS FOR PROCESSING PERSONAL DATA) ................................................................... 43

C1. ฐานในการประมวลผลขอมลทเหมาะสม .............................................................................. 44 ฐานสญญา (Contract) .......................................................................................................... 44 ฐานความยนยอม (Consent) ............................................................................................... 46 ฐานประโยชนส าคญตอชวต (Vital Interest) ........................................................................ 48 ฐานหนาทตามกฎหมาย (Legal Obligation) ....................................................................... 48 ฐานภารกจของรฐ (Public Task) .......................................................................................... 49 ฐานประโยชนอนชอบธรรม (Legitimate Interest) .............................................................. 50

C2. เงอนไขของความยนยอม (CONSENT) .................................................................................... 52

D. แนวปฏบตเกยวกบหนาทและความรบผดชอบของผควบคมและผประมวลผลขอมล (GUIDELINE ON DUTIES AND RESPONSIBILITIES OF CONTROLLERS AND PROCESSORS) ....................................................................................................................... 61


D1. แนวปฏบตเกยวกบสทธหนาทโดยทวไปของผควบคมและผประมวลผลขอมล .................... 64 ผควบคมขอมล (Data Controller) ...................................................................................... 64 ผประมวลผลขอมล (Data Processor) ................................................................................ 70

D2. แนวปฏบตในการท าขอสญญาประมวลผลขอมล (DATA PROCESSING AGREEMENT)............... 73 ตวอยางขอตกลงใหประมวลผลขอมล (Data Processing Agreement) ........................ 80

D3. แนวปฏบตเกยวกบการจดการค ารองขอของเจาของขอมล.................................................. 84 หนาทของผควบคมขอมลเมอเจาของขอมลรองขอ (Data Subject Request to the Controller) .......................................................................................................................... 84 หนาทของผประมวลผลขอมลเมอเจาของขอมลรองขอ (Data Subject Request to the Processor) ......................................................................................................................... 101

D4. แนวปฏบตกรณมค ารองขอหรอค าสงขอเขาถงขอมลสวนบคคลจากรฐ (GOVERNMENT

REQUEST) .................................................................................................................................. 102

ค าถามทพบบอย .................................................................................................................... 105


A. บทน าและค านยาม

A1. บทน า

แนวปฏบตเปนเครองมอส าคญประการหนงทชวยใหการด าเนนการตามกฎหมายหรอ

หลกการใดๆทมก าหนดขนเปนไปในอยางสมเหตสมผลในทางปฏบต เพราะในความจรงแลวการ

บญญตกฎหมายหรอก าหนดหลกการ “อะไร” ขนมาประการหนงและก าหนด “ใหท า”

(prescriptive), “ไมใหท า” (proscriptive) หรอ “อธบาย” (descriptive) สงนน ยอมตามมาซง

ค าถามเกยวกบวธการปฏบตวาควรท า “อยางไร” โดยเฉพาะอยางยงกบกฎหมายทโดยทวไปแลว

สามารถก าหนดไดเพยงในระดบทก าหนด “หาม” เปนหลกการไวเทานน แตในขนตอนปฏบตยอมไม

สามารถลงรายละเอยดวธการหรอกรณเฉพาะทงปวงได เพราะจะท าใหกฎหมายนนมความเครงครด

มากเสยจนไมอาจน าไปใชไดจรง

ในกรณของ “การคมครองขอมลสวนบคคล” กเชนเดยวกน เนองจากกฎหมายไมสามารถ

ก าหนดวธปฏบตในรายละเอยดลงไปโดยสมบรณได จงมค าถามเกยวกบวธการปฏบตวาควรท า

“อยางไร” มขอสงเกตวากฎหมายคมครองขอมลสวนบคคลมเปาหมายระบโดยตรงไป “ขอมลสวน

บคคล” (Personal Data) ไมใช “ตวบคคล” (Person) โดยตรง ซงการคมครองขอมลสวนบคคลนน

จะมผลเปนการปกปอง “บคคล” จากผลรายทอาจเกดขนจากการประมวลผล “ขอมลสวนบคคล”

อกชนหนง อนเปนแนวทางตามแบบสหภาพยโรป กลาวคอ จะสามารถประมวลผลขอมลสวนบคคล

โดยชอบดวยกฎหมายกตอไปม “ฐานทางกฎหมาย” (lawful basis) ใหท าได หลกการพนฐานของ

การคมครองขอมลสวนบคคลจงไดแก

“หามประมวลผลขอมลสวนบคคล เวนแตจะมฐานหรอเหตแหงการประมวลผล

ก าหนดใหท าไดตามกฎหมาย” (รายละเอยดปรากฏในสวน B)


เรองการหามประมวลผลขอมลสวนบคคลนน หลกการจะมความแตกตางไปใน

สหรฐอเมรกาและทอนทมกจะเรยกหลกการนในอกชอหนงวา “การคมครองความเปนสวนตวของ

ขอมล” (Data Privacy) เพราะโดยหลกแลวจะยอมรบใหสามารถประมวลผลขอมลได กฎหมายจง

มงคมครองไมใหมการละเมดความเปนสวนตวของ “บคคล” เชน หามการดกฟง เปนตน โดยตาม

แนวทางนการประมวลผลขอมลจะสามารถท าได เวนแตจะมเหตผลสมควรตามสถานการณและ

ขอเทจจรงทบคคลพงจะคาดหมายความเปนสวนตวไดตามสมควร (reasonable expectation of

privacy) ผประกอบการจงท าหนาทแจงผใชบรการถงการประมวลผลขอมลทจะเกดขนใหทราบเปน

หลกเทานน บคคลกพงคาดหมายความเปนสวนตวของตนไดเพยงในทพกอาศยเปนหลกเชนกน การ

สอสารและขอมลทเกดขนภายนอกทพกอาศยจงแทบไมไดรบการคมครองเลย

เมอสหภาพยโรปไดออกกฎหมายฉบบใหมเกยวกบการคมครองขอมลสวนบคคลหรอท

เรยกกนวา “GDPR” (EU General Data Protection Regulation) ซงเปนการปรบปรงกฎหมาย

เดม (EU Data Protection Directive 95/46/EC) ซงใชบงคบมานานมากวา 20 ป ท าใหเกดการ

เปลยนแปลงหลกการทส าคญ เชน

- ก าหนดการใชอ านาจนอกอาณาเขต (extraterritorial jurisdiction) กลาวคอ ขอมล

สวนบคคลของสหภาพยโรปอยภายใตความคมครองไมวาจะอยในทใดในโลก

- ก าหนดบทลงโทษสงขน โดยองคกรทกระท าผดอาจตองจายคาปรบสงถงอตรารอยละ

4 ของผลประกอบการรายไดทวโลก

- ก าหนดใหการขอความยนยอมจากเจาของขอมลตองชดเจนและชดแจง (clear and

affirmative consent)

- ก าหนดการแจงเตอนเมอเกดเหตขอมลรวไหล หนวยงานผควบคมขอมลและผ

ประมวลผลขอมลตองแจงใหหนวยงานก ากบดแล และประชาชนทราบภายใน 72

ชวโมง

- ก าหนดขอบเขตสทธของเจาของขอมล ใหผควบคมขอมลตองแจงใหเจาของขอมล

ทราบวาขอมลจะถกใชอยางไร เพอวตถประสงคใด และตองจดท าส าเนาขอมลใหกบ

เจาของขอมลในรปแบบอเลกทรอนกส โดยหามเกบคาใชจายเพม

- ก าหนดรบรองสทธในการโอนขอมลไปยงผประกอบการอน (Right to data

portability)


- ก าหนดรบรองสทธทจะถกลม (Right to be Forgotten) เจาของขอมลสามารถขอให

หนวยงานควบคมขอมลลบขอมลของตวเองออกได

GDPR มผลบงคบใชเมอวนท 25 พฤษภาคม 2561 ทผานมา ซงนอกจากการมผลบงคบใช

แกการสงขอมลภายในประเทศสมาชกสหภาพยโรปแลว ส าหรบผประกอบการไทยหากจะท าการ

ตดตอรบ-สงขอมลกบบคคลของประเทศสมาชก กตองมมาตรการคมครองขอมลสวนบคคลท

เหมาะสมเพยงพอเชนเดยวกน เปนเหตใหผประกอบการไทยตองปรบตวเพอรองรบมาตรฐานการ

คมครองขอมลสวนบคคลดงกลาว

แมรฐบาลไดใชความพยายามในการผลกดนใหมกฎหมายการคมครองขอมลสวนบคคลมา

เปนเวลากวา 20 ป แตกยงไมประสบความส าเรจ และยงตองด าเนนการตามขนตอนการพจารณา

เสนอกฎหมายอกหลายขนตอน ขณะทองคกรเอกชนทงหลายทเรมไดรบผลกระทบจากการบงคบใช

GDPR แลวกมความกงวลตอการด าเนนการจดการขอมลสวนบคคลในความครอบครองของตน

เพอใหเปนไปตามหลกเกณฑดงกลาว ซงมแนวโนมวาจะเปนมาตรฐานใหมของการคมครองขอมล

สวนบคคลของโลกในไมชา

แนวปฏบตน (ซงตอไปจะเรยกวา “TDPG1.0”) จงมเจตนาทจะตอบค าถามเกยวกบวธการ

วาควรท า “อยางไร” ส าหรบประเทศไทยซงยงไมเคยมแนวปฏบตใดๆในเรองนมากอน โดยม GDPR

เปนตนแบบและเปาหมายของแนวปฏบตน อยางไรกดแนวปฏบตไดระบตนเองไววาเปนเพยงเวอร

ชน 1.0 เทานน ซงหมายความวาแนวปฏบตนเปนเพยงจดเรมตนของวธการปฏบตเพอการคมครอง

ขอมลสวนบคคลซงจะไดพฒนาอยางตอเนองตอไป การปฏบตตามแนวปฏบตนจงไมใชการปฏบต

ตามมาตรฐาน GDPR โดยครบถวน แตเปนเพยงขอแนะน าทควรจะปฏบตในขนแรก

ตอค าถามทมกจะพบบอยในระยะนวา ผประกอบการไทยหากไมไดมเปาหมายจะใหบรการ

ในสหภาพยโรป จะมความจ าเปนตองปฏบตตาม GDPR หรอไม และจะสามารถแยกสวนการจดการ

ขอมลคนชาตยโรปออกจากสวนอนไดหรอไมนน ผแตงพบวาสถานการณของไทยนนอยในขนท

เรยกวาแทบจะเรมตนจากศนย กลาวคอ ยงไมเคยมมาตรฐานการคมครองขอมลสวนบคคลใดๆมา

กอน ทผานมามประกาศของบางหนวยงานทประกาศเฉพาะแกบางภาคธรกจ แตกเปนเพยงการ


ก าหนดหลกการกวางๆเทานนและอยเปนสวนเลกๆของมาตรการความปลอดภยไซเบอร (network

security) ยงไมถงขนาดเปนการวางแนวปฏบตหรอมาตรฐานในเรองนได 1

รายงานของคณะท างานดานพาณชยอเลกทรอนกสของ APEC ระบวาจากสมาชก APEC

จ านวน 21 เขตเศรษฐกจ มเพยง 5 เขตเศรษฐกจทยงไมมกฎหมายคมครองขอมลสวนบคคล ไดแก

บรไน, จน, อนโดนเซย, ปาปวนวกน และไทย และยอมรวมถงวาเขตเศรษฐกจดงกลาวไมมหนวยงาน

ก ากบดแลการคมครองขอมลสวนบคคลไปดวย ท าใหประเทศไทยไมสามารถเขารวมโปรแกรม

CBPRs (Cross-Border Privacy Rules System) ทจะเปนกลไกใหหนวยงานและองคกรทงหลาย

เขารวมแบบสมครใจเพอรบการรบรองวามการคมครองขอมลสวนบคคลเปนทยอมรบ 2

การด าเนนการใดๆในเรองนจงมแตจะท าใหสถานะของประเทศไทยดขนอยางแนนอน ไม

วากฎหมายและนโยบายของไทยในเรองการคมครองขอมลสวนบคคลจะมงไปตามแนวทางสหภาพ

ยโรปหรอสหรฐอเมรกาหรอทอน นอกจากนผทรงคณวฒกมความเหนตรงกนในเรองนวามความ

จ าเปนตองมมาตรฐานในเรองนขนมา และไมมความคมคาในทางปฏบตทจะแยกสวนการจดการ

ขอมลสวนบคคลตามมาตรฐาน GDPR ออกจากขอมลสวนบคคลกลมอน

TDPG1.0 จงเสมอนเปนแนวปฏบตพนฐานทจ าเปนตอการด าเนนการเพอการคมครอง

ขอมลสวนบคคลตอไปในทศทางทจะมมาตรฐานสากลเทยบเทากบ GDPR ในอนาคต TDPG1.0 จง

เปนความพยายามแรกทจะไดวางแนวปฏบตทเกยวกบการคมครองขอมลสวนบคคลอยางเปนระบบ

และมแนวทางใหด าเนนการท ชดเจนน าไปปฏบตไดเปนฉบบแรก โดยหวงเปนอยางยงวา

1 ทถอวาใกลเคยงทสดไดแก

- [ภาคโทรคมนาคม] ประกาศ กทช. เรอง มาตรการคมครองสทธของผใชบรการโทรคมนาคมเกยวกบขอมลสวนบคคล สทธในความเปนสวนตว และเสรภาพในการสอสารถงกนโดยทางโทรคมนาคม พ.ศ.2549

- [ภาครฐ] ประกาศคณะกรรมการธรกรรมทางอเลกทรอนกส เรอง แนวนโยบายและแนวปฏบตในการรกษาความมนคงปลอดภยดานสารสนเทศของหนวยงานของรฐ พ.ศ.2553

- [ภาคการเงน] เอกสารแนบ 6 ประกาศธนาคารแหงประเทศไทยท สกส.1/2561 เรองการบรหารจดการดานการใหบรการแกลกคาอยางเปนธรรา (market conduct) โดยมสาระส าคญเนนเรองการไมเปดเผยขอมลลกคาและการขอความยนยอม

2 ELECTRONIC COMMERCE STEERING GROUP, SURVEY ON THE READINESS FOR JOINING CROSS BORDER PRIVACY RULES

SYSTEM - CBPRS (2017), https://www.apec.org/Publications/2017/01/Survey-on-the-Readiness-for-Joining-Cross-Border-Privacy-Rules-System---CBPRs (last visited Sep 4, 2018).

https://www.apec.org/Publications/2017/01/Survey-on-the-Readiness-for-Joining-Cross-Border-Privacy-Rules-System---CBPRs

https://www.apec.org/Publications/2017/01/Survey-on-the-Readiness-for-Joining-Cross-Border-Privacy-Rules-System---CBPRs


ผประกอบการและหนวยงานทเกยวของจะไดใชเปนประโยชนในการพฒนานโยบายการคมครอง

ขอมลสวนบคคลของตนเองตอไป ในเวอรชนน TDPG1.0 จงไดระบเนอหาพนฐานทส าคญ 3 สวน

ไดแก

(1) แนวปฏบตการก าหนดและแยกแยะขอมลสวนบคคล (Guideline for Personal

Data Classification)

(2) แนวปฏบตเกยวกบฐานในการประมวลผลขอมลสวนบคคล (Guideline on Lawful

Basis for Processing Personal Data)

(3) แนวปฏบตเกยวกบหนาทและความรบผดชอบของผควบคมและผประมวลผลขอมล

(Guideline on Duties and Responsibilities of Controllers and Processors)

แผนภาพตอไปแสดงใหเหนแนวคดรวบยอดของ TDPG1.0 ซงจะชวยใหผอานเหนภาพวา

เนอหาของสวนตางๆในแนวปฏบตมความเชอมโยงกนอยางไร และจะมแนวทางพฒนาแนวปฏบตน

ตอไปอยางไร


Data Classification

Data Policy

Data Discovery

Data Proliferation

Data Risk Level

Data Protection

Lawful Basis for Processing

Contract

Consent

Vital Interest

Legal Obligation

Public Task

Legitimate Interest

Controllers & Processors

Duties & Responsibilities

Data Processing Agreement

User Requests

Government Requests

DPIA (Data Protection Impact Assessment)

Cross-Border Data Transfer

Pseudonymization

Sectoral Issues

Current Version

Next Versions


A2. ค านยาม

Th En ค าอธบาย

การแฝงขอมล Pseudonymization การประมวลผลขอมลสวนบคคลในลกษณะทขอมลสวนบคคลไมสามารถระบตวเจาของขอมลไดหากปราศจากการใชขอมลเพมเตมประกอบ ทงนขอมลเพมเตมนมการเกบรกษาไวแยกออกจากกนและอยภายใตมาตรการเชงเทคนคและมาตรเชงบรหารจดการเพอประกนวาขอมลสวนบคคลจะไมสามารถระบไปถงบคคลธรรมดาได (GDPR, Article 4(5))

การประมวลผลขอมล

Processing การด าเนนการหรอชดการด าเนนการใดๆ ซงกระท าตอขอมลสวนบคคลหรอชดขอมลสวนบคคล ไมวาจะโดยวธการอตโนมตหรอไม เชน การเกบ บนทก จดระบบ จดโครงสราง เกบรกษา เปลยนแปลงหรอปรบเปลยน การรบ พจารณา ใช เปดเผยดวยการสงตอ เผยแพร หรอการกระท าอนใดซงท าใหเกดดความพรอมใชงาน การจดวางหรอผสมเขาดวยกน การจ ากด การลบ หรอการท าลาย (GDPR Article 4(2))

ขอมลออนไหว Sensitive Personal Data

เปนขอมลสวนบคคลทเปนเรองสวนตวโดยแทของบคคล แตมความละเอยดออนและสมเสยงตอการถกใชในการเลอกปฏบตอยางไมเปนธรรม จงจ าเปนตองด าเนนการดวยความระมดระวงเปนพเศษ

ขอมลสวนบคคล Personal Data ขอมลใดๆทระบไปถง “เจาของขอมล” (Data Subject) ได

ขอมลสวนบคคลรวไหล

Personal Data Breach

การรวไหลหรอละเมดมาตรการความมนคงปลอดภยตอขอมลสวนบคคลท าใหเกด ความเสยหาย, สญหาย, เปลยนแปลง, เปดเผยโดยไมไดรบอนญาต, หรอเขาถงขอมลสวนบคคลทใชงาน (GDPR, Article 4 (12))

ขอมลแฝง Pseudonymous Data

ขอมลทท าการแฝงขอมลแลว (ด “การแฝงขอมล”)


Th En ค าอธบาย

เจาของขอมล Data Subject มความหมายในลกษณะเปนบคคลทขอมลนนบงชไปถง ไมใชเปนเจาของในลกษณะทรพยสทธ หรอเปนคนสรางขอมลนนขนมา มความแตกตางจาก data owner ในกฎหมาย (บางตว) ของสหรฐอเมรกา

โปรไฟลง Profiling รบแบบการประมวลผลขอมลสวนบคคลใดๆ ซงมการใชขอมลสวนบคคลในการประเมนแงมมเกยวกบบคคล โดยเฉพาะอยางยงเพอวเคราะหหรอคาดการณเกยวกบบคคลธรรมดาในเรองประสทธภาพในการท างาน สถานะทางเศรษฐกจ สขภาพของบคคล ความชนชอบสวนบคคล ประโยชนของบคคล พฤตกรรมของบคคล ความนาเชอถอของบคคล ต าแหนงทางภมศาสตร หรอความเคลอนไหวของบคคล

ผควบคมขอมล Data Controller บคคลธรรมดาหรอนตบคคล หนวยงานของรฐ หนวยงาน หรอองคกรใดซงเปนผก าหนดวตถประสงคและวธการในการประมวลผลขอมลสวนบคคล (GDPR 4(7))

ผประมวลผลขอมล

Data Processor บคคลธรรมดาหรอนตบคคล หนวยงานของรฐ หนวยงาน หรอองคกรใดซงประมวลผลขอมลแทนผควบคมขอมล (GDPR 4(8))

GDPR Regulation (EU) 2016/679 of the European Parliament and of the Council of 27 April 2016 on the protection of natural persons with regard to the processing of personal data and on the free movement of such data, and repealing Directive 95/46/EC (General Data Protection Regulation), OJ L 119, 4.5.2016, p. 1–88

SGPDPA Singapore Personal Data Protection Act 2012

UKDPA UK Data Protection Act 2018


B. แนวปฏบตการก าหนดและแยกแยะขอมลสวนบคคล

(Guideline for Personal Data Classification)

ผประกอบการทกรายยอมไดรบผลกระทบจากการปรบปรงหรอเปลยนผานวธการท างาน

ของตนเพอใชงานเทคโนโลยดจทล ยงผประกอบการตองใชขอมลดจทลมากเทาใด ยงท าใหเกดประเดนการบรหารจดการเกยวกบขอมลทตนเองใช โดยเฉพาะอยางยงการบรหารความเสยงของการใชขอมลทงหลาย รวมถงขอมลสวนบคคล ผประกอบการจงตองสามารถระบขอมลและจดการขอมลตางๆบนพนฐานของความเสยงไดอยางเหมาะสม แนวปฏบตนจงเปนขนตอนพนฐานทสดเพอการจดการขอมลสวนบคคลในประเดนอนๆตอไป โดยแบงออกเปน 2 สวนไดแก

(1) ขอบเขตของขอมลสวนบคคล ซงจะชวยใหทราบวาขอมลใดเปนขอมลทอยในขอบเขตความหมายของขอมลสวนบคคล (in-scope)

(2) การก าหนดและแยกแยะขอมลสวนบคคล ซงจะชวยใหสามารถระบขอมลสวนบคคลตามกระบวนการท างานตางๆขององคกรและจดการตามความเสยงของแนวปฏบตน โดยมขนตอนทส าคญ 5 ขนตอน

Data Protec-

tion

Data Risk Level

Data Prolifera-

tion

Data Discovery

Data Policy


B1. ขอบเขตของขอมลสวนบคคล (Scope)

B1.1 “ขอมลสวนบคคล” (Personal Data) หมายถง ขอมลใดๆทระบไปถง “เจาของขอมล”

(Data Subject) ได B1.2 “เจาของขอมล” (Data Subject) หมายถง บคคลทขอมลสวนบคคลนนระบไปถง

- ไมใชกรณทบคคลมความเปนเจาของ (Ownership) ขอมล หรอเปนผสรางหรอเกบรวบรวมขอมลนนเองเทานน

- “บคคล” (Natural Person) ในทนหมายถง บคคลธรรมดาทมชวตอย 3 ไมรวมถง “นตบคคล” (Juridical Person) ทจดตงขนตามกฎหมาย เชน บรษท, สมาคม, มลนธ หรอองคกรอนใด

B1.3 ความสามารถในการระบไปถงเจาของขอมลมอยางนอย 3 ลกษณะ 4

- การแยกแยะ (Distinguishability) หมายถง การทขอมลสามารถระบแยกแยะตวบคคลออกจากกนได เชน ชอนามสกล หรอเลขประจ าตวประชาชน แตขอมลคะแนนเครดตเพยงอยางเดยวไมสามารถใชแยกแยะบคคลได

- การตดตาม (Traceability) หมายถง การทขอมลสามารถถกใชในการตดตามพฤตกรรมหรอกจกรรมทบคคลนนท าได เชน log file

3 การคมครองขอมลสวนบคคล ส าหรบ “บคคล” มความแตกตางกนในแตละประเทศ เชน

- GDPR, Recital (27) ไมครอบคลมถงผตาย แตเปดใหรฐสมาชกออกกฎหมายเฉพาะของตนเอง

- UKDPA § 3(2) ครอบคลมเฉพาะขอมลสวนบคคลของผทมชวตอยเทานน

- SGPDPA § 4 กฎหมายของสงคโปรก าหนดใหคมครองขอมลสวนบคคลของผตายเปนระยะเวลา 10 ป แตกเปนไปอยางจ ากด

- ราง พรบ.คมครองขอมลสวนบคคลฯ มาตรา 6 ไมครอบคลมถงผตาย โดยระบวา ““ขอมลสวนบคคล” หมายความวา ขอมลเกยวกบบคคลซงทาใหสามารถระบตวบคคลนนไดไมวาทางตรงหรอทางออม”

4 NATIONAL INSTITUTE OF STANDARDS AND TECHNOLOGY (NIST SPECIAL PUBLICATION 800-122): GUIDE TO

PROTECTING THE CONFIDENTIALITY OF PERSONALLY IDENTIFIABLE INFORMATION (PII) (2010), at 2.1


- การเชอมโยง (Linkability) หมายถง การทขอมลสามารถถกใชเชอมโยงกนเพอระบไปถงตวบคคลได โดยแบงออกเปน 2 กรณ o ขอมลทถกเชอมโยงแลว (linked) เปนกรณหากมขอมลทเกยวของกบขอมลท

เมอใชดวยกนแลวสามารถระบถงตวบคคล เชน ชดขอมล 2 ชด แตละชดมขอมลแยกกน แตหากมบคคลทสามารถเขาถงขอมลทง 2 ชดนนไดกจะสามารถเชอมโยงและระบไปถงตวบคคลได

o ขอมลทอาจถกเชอมโยง (linkable) เปนกรณหากมชดขอมลทหากใชรวมกนกบขอมลอนแลวกจะสามารถระบตวบคคลได แตโดยทขอมลอนทจะน ามาใชรวมนนไมอยในระบบ หรออยในอนเทอรเนต หรออยทอนใด

B1.4 “ขอมล” (Data) นนอาจเปนขอมลในลกษณะใดๆกไดทงทเปนขอมลทมนษยเขาใจได

หรอไมกได โดยเปนขอมลทคอมพวเตอรหรออปกรณตางๆสามารถเขาถงไดโดยอตโนมตหรอถกจดไวอยางเปนระบบพรอมใหเขาถงขอมลเพอใชใน - การเกบรวบรวมเพอการประมวลผลของคอมพวเตอรหรออปกรณนน หรอเพอเปน

สวนหนงของระบบขอมลเพอการประมวลผลนน - การประมวลผลโดยคอมพวเตอรหรออปกรณนนตามค าสงหรอโปรแกรมทก าหนดไว

B1.5 “ขอมลสวนบคคล” จงเปน “ขอมล” ทงหลายทสามารถใชระบถงบคคลทเปน “เจาของ

ขอมล” ได - แมวาจะเปนขอมลทอยในรปแบบกระดาษหรอในรปแบบอนๆ แตไดมไวเพอจะ

น าไปใชประมวลผลตอไป - แมวาตวขอมลทมอยนนจะไมสามารถใชระบถงบคคลไดแตหากใชรวมกนกบขอมล

หรอสารสนเทศอนๆประกอบกนแลวกจะสามารถระบถงตวบคคลได โดยไมจ าเปนวาขอมลหรอสารสนเทศอนนนไดมอยดวยกน

- โดยไมขนอยกบวาขอมลนนจะเปนจรงหรอเปนเทจ


B1.6 ตวอยางขอมลทเปนขอมลสวนบคคล

(1) ชอ-นามสกล หรอชอเลน (2) เลขประจ าตวประชาชน, เลขหนงสอเดนทาง, เลขบตรประกนสงคม, เลข

ใบอนญาตขบข, เลขประจ าตวผเสยภาษ, เลขบญชธนาคาร, เลขบตรเครดต (การเกบเปนภาพส าเนาบตรประชาชนหรอส าเนาบตรอนๆทมขอมลสวนบคคลทกลาวมายอมสามารถใชระบตวบคคลไดโดยตวมนเอง จงถอเปนขอมลสวนบคคล)

(3) ทอย, อเมล, เลขโทรศพท (4) ขอมลอปกรณหรอเครองมอ เชน IP address, MAC address, Cookie ID (5) ขอมลทางชวมต (Biometric) เชน รปภาพใบหนา, ลายนวมอ, ฟลมเอกซเรย,

ขอมลสแกนมานตา, ขอมลอตลกษณเสยง, ขอมลพนธกรรม (6) ขอมลระบทรพยสนของบคคล เชน ทะเบยนรถยนต, โฉนดทดน (7) ขอมลทสามารถเชอมโยงไปยงขอมลขางตนได เชน วนเกดและสถานทเกด, เชอ

ชาต, สญชาต, น าหนก, สวนสง, ขอมลต าแหนงทอย (location), ขอมลการแพทย, ขอมลการศกษา, ขอมลทางการเงน, ขอมลการจางงาน

(8) ขอมลหมายเลขอางองทเกบไวในไมโครฟลม แมไมสามารถระบไปถงตวบคคลได แตหากใชรวมกบระบบดชนขอมลอกระบบหนงกจะสามารถระบไปถงตวบคคลได ดงนนขอมลในไมโครฟลมจงเปนขอมลสวนบคคล

(9) ขอมลการประเมนผลการท างานหรอความเหนของนายจางตอการท างานของลกจาง

(10) ขอมลบนทกตางๆทใชตดตามตรวจสอบกจกรรมตางๆของบคคล เชน log file (11) ขอมลทสามารถใชในการคนหาขอมลสวนบคคลอนในอนเทอรเนต


B1.7 ตวอยางขอมลทไมเปนขอมลสวนบคคล

(1) เลขทะเบยนบรษท (2) ขอมลส าหรบการตดตอทางธรกจทไมไดระบถงตวบคคล เชน หมายเลขโทรศพท หรอ

แฟกซทท างาน, ทอยส านกงาน, อเมลทใชในการท างาน, อเมลของบรษท เชน [email protected] เปนตน

(3) ขอมลนรนาม (Anonymized Data) หรอขอมลแฝง (Pseudonymous Data) หมายถง ขอมลหรอชดขอมลทถกท าใหไมสามารถระบตวบคคลไดอกโดยวธการทางเทคนค

(4) ขอมลผตาย

B1.8 หนวยงานหรอองคกรทงหลายจงไมตองขอความยนยอมเพอทจะเกบรวบรวม ใช หรอ

เปดเผย ขอมลส าหรบการตดตอทางธรกจ และไมตองปฏบตตามแนวปฏบตนในสวนทเกยวของกบ ขอมลส าหรบการตดตอทางธรกจ

B1.9 ขอมลตดตอทางธรกจทระบถงตวบคคลยอมเปนขอมลสวนบคคลตามความหมายของแนว

ปฏบตน B1.10 ขอมลออนไหว (Sensitive Personal Data) เปนขอมลสวนบคคลทเปนเรองสวนตวโดย

แทของบคคล แตมความละเอยดออนและสมเสยงตอการถกใชในการเลอกปฏบตอยางไมเปนธรรม จงจ าเปนตองด าเนนการดวยความระมดระวงเปนพเศษ


B1.11 ตวอยางขอมลสวนบคคลทเปนขอมลออนไหว

(1) เชอชาต (2) เผาพนธ (3) ความคดเหนทางการเมอง (4) ความเชอในลทธ ศาสนาหรอปรชญา (5) พฤตกรรมทางเพศ (6) ประวตอาชญากรรม (7) ขอมลสขภาพรางกาย หรอขอมลสขภาพจต (8) ขอมลอนใดซงกระทบความรสกของประชาชน

B1.12 ขอมลแฝง (Pseudonymous Data) เปนขอมลสวนบคคลทถกแฝงขอมลทระบตวบคคล

ไดเอาไว โดยอาจใชวธเปลยนขอมลทระบตวบคคล (Identifier) ดวยขอมลอน หรอเลขทก าหนดใหมขนมา โดยทขอมลทเกยวของอนๆจะ - ไมเพยงพอทจะสามารถเชอมโยงกลบไปยงเจาของขอมลได หรอ - กรณทผเชยวชาญโดยทวไปแมจะไดใชความพยายามตามสมควรแลวกไมสามารถใช

กระบวนการใดๆเพอเชอมโยงกลบไปยงตวเจาของขอมลไดเวนแตตวผท าการแฝงขอมลจะด าเนนการเอง

B1.13 ในเชงพนท (Territorial Scope) การประมวลผลขอมลสวนบคคลจะตองเปนไปตาม

มาตรฐานของ GDPR หาก (1) ผประกอบการมบรษทหรอสาขาทจดตงในสหภาพยโรป ไมวาการประมวลผลขอมล

สวนบคคลนนจะเกดขนในสหภาพยโรปหรอไมกตาม 5 (2) ผประกอบการทไมมบรษทหรอสาขาทจดตงในสหภาพยโรป แต

- เสนอขายสนคาหรอบรการแกเจาของขอมลในสหภาพยโรป (data subjects in the Union) ไมวาจะมการช าระเงนหรอไมกตาม หรอ

5 GDPR, Article 3.1


- มการตดตามและจดเกบขอมลพฤตกรรมของเจาของขอมลในสหภาพยโรป (data subjects in the Union) ตราบเทาทพฤตกรรมทจดเกบนนเกดขนในสหภาพยโรป 6

6 GDPR, Article 3.2


B2. การก าหนดและแยกแยะขอมลสวนบคคล

ตามความเสยงและความรายแรงทอาจกระทบ

ตอสทธและเสรภาพของบคคล

B2.1 โดยทวไปแลวผประกอบการมความรบผดชอบในขอมลสวนบคคลทตนเองไดเกบรวบรวม

และใช แมประเทศไทยจะยงไมมกฎหมายคมครองขอมลสวนบคคล แตความรบผดกอาจเกดขนหากไมมการบรหารจดการขอมลทดพอ เชน น าขอมลสวนบคคลของบคคลอนไปเผยแพรเพอหาประโยชนโดยไมไดรบอนญาต ยอมมความรบผดตอเจาของขอมลฐานละเมดสทธตามรฐธรรมนญ 7 และอาจเปนการใชสทธซงมแตจะใหเกดเสยหายแกบคคลอน 8

รฐธรรมนญแหงราชอาณาจกรไทย พ.ศ.2560 มาตรา 32 “บคคลยอมมสทธในความเปนอยสวนตว เกยรตยศ ชอเสยง และครอบครว การกระท าอนเปนการละเมดหรอกระทบตอสทธของบคคลตามวรรคหนง หรอ

การน าขอมลสวนบคคลไปใชประโยชนไมวาในทางใดๆ จะกระท ามได เวนแตโดยอาศยอ านาจตามบทบญญตแหงกฎหมายทตราขนเพยงเทาทจ าเปนเพอประโยชนสาธารณะ”

ประมวลกฎหมายแพงและพาณชย “มาตรา 420 ผใดจงใจหรอประมาทเลนเลอ ท าตอบคคลอน โดยผดกฎหมายให

เขาเสยหายถงแกชวตกด แกรางกายกด อนามยกด เสรภาพกด ทรพยสนหรอสทธอยางหนงอยางใดกด ทานวา ผนนท าละเมด จ าตองใชคาสนไหมทดแทนเพอการนน”

“มาตรา 421 การใชสทธซงมแตจะใหเกดเสยหายแกบคคลอนนน ทานวาเปนการอนมชอบดวยกฎหมาย”

7 บทบญญตลกษณะเดยวกนนมปรากฏในรฐธรรมนญแหงราชอาณาจกรไทย พ.ศ.2540 มาตรา 34 และ พ.ศ.2550 มาตรา 35 8 ประมวลกฎหมายแพงและพาณชย มาตรา 420 - 421


B2.2 โดยทวไปแลวผประกอบการจดเกบขอมลตางๆเอาไวในสวนตางๆขององคกรของตน ซงกระจดกระจายแยกกนอย แลวแตงานของสวนงานนนๆ แลวแตพฒนาการของเทคโนโลยในเรองนนๆ และแลวแตสถานการณทเกดขนจรงทจะท าใหสามารถจดเกบขอมลไวไดมากนอยแคไหน ซงไมวาจะอยางไรดงไดกลาวมาแลวในเรองขอบเขตของขอมล จงมความเปนไปไดมากวาขอมลทงหลายนนไมวาจะอยทใดในรปแบบใดยอมตกอยในขอบเขตของขอมลสวนบคคลแทบทงสนไมมากกนอย

B2.3 ผประกอบการจงจ าเปนตองมมาตรฐานการจดการเกยวกบขอมลสวนบคคล เพอทจะ

สามารถแสดงใหเหนไดวาตนเองนนไดใชความระมดระวงทเพยงพอแลว โดยสามารถอางองตามแนวปฏบตนและแนวปฏบตในสวนอนๆได มาตรฐานสากลทส าคญประการหนงในการจดการขอมลสวนบคคลในสวนน ไดแก “การก าหนดและแยกแยะขอมลสวนบคคลตามความเสยงและความรายแรงของผลกระทบตอสทธและเสรภาพของบคคล”

B2.4 ผประกอบการจ าเปนตองแสดงใหเหนวามขนตอนการก าหนดขอมลใหเปนขอมลสวน

บคคลในองคกร โดยอยางนอยประกอบดวย (1) [Data Policy] การก าหนดนโยบายและนยามความหมายของขอมลสวนบคคล (2) [Data Discovery] การก าหนดขนตอนการตรวจสอบขอมลสวนบคคล (3) [Data Proliferation] การระบความเชอมโยงและเสนทางการสงขอมลสวนบคคลท

จะเกดขนในองคกร รวมถงระบแหลงทจะไดมาซงขอมลสวนบคคลทงหลาย (4) [Data Risk Level] การก าหนดความเสยงของขอมลสวนบคคลชดตางๆ (5) [Data Protection] มมาตรการคมครองขอมลสวนบคคล

Data Protection

Data Risk Level

Data Prolifera-

tion

Data Discovery

Data Policy


B2.5 [Data Policy] ผประกอบการตองก าหนดนโยบายและขอบเขตของขอมลสวนบคคลของตน โดยอาจเลอกก าหนดนโยบายของตนตาม TDPG1.0 (Thailand Data Protection Guidelines 1.0) ฉบบนกได ในกรณเชนนผประกอบการกจะไมตองก าหนดนโยบายของตนเองแตสามารถใช TDPG1.0 เปนนโยบายของตนเองไดเลย

B2.6 [Data Discovery] ผประกอบการก าหนดขนตอนการตรวจสอบขอมลสวนบคคลตามท

ระบไวในสวนท 1 โดย - ครงทหนง อาจด าเนนการเองหรอโดยระบบอตโนมต - ครงตอๆไป เปนกระบวนการตอเนอง

B2.7 [Data Proliferation] ผประกอบการจะตองมขนตอนตอไปนเพอ 9 (1) [Actors and Roles] ระบตวบคคลตางๆทเกยวของกบกระบวนการทงหลายท

เกยวของกบการคมครองขอมลสวนบคคลโดยอยางนอยประกอบดวยบคคลทเกยวของ 4 ประเภท - เจาของขอมล (Data Subjects) - ผควบคมขอมล (Controllers) - ผประมวลผลขอมล (Processors) - บคคลภายนอก (Third Parties)

(2) [Interactions] ระบความสมพนธระหวางบคคลตางๆทเกยวของ โดยระบถงความสมพนธทอาจมขนดงตอไปน A. เจาของขอมลสงขอมลสวนบคคลใหกบผควบคมขอมล เชน เมอมการลงทะเบยน

เพอใชบรการของผควบคมขอมล เปนตน B. ผควบคมขอมลสงขอมลสวนบคคลใหกบผประมวลผลขอมล เชน ตามขอตกลง

จางงานภายนอก (Outsourcing) เปนตน C. เจาของขอมลสงขอมลสวนบคคลใหกบผประมวลผลขอมล ซงเปนสวนหนงของ

การด าเนนงานในนามของผควบคมขอมล

9 ปรบปรงจาก ISO/IEC 29100:2011 - Information technology - Security techniques - Privacy framework


D. ผควบคมขอมลสงขอมลสวนบคคลใหกบเจาของขอมล เชน การด าเนนการตามทเจาของขอมลรองขอ เปนตน

E. ผประมวลผลขอมลสงขอมลสวนบคคลใหกบเจาของขอมล เชน ตามทผควบคมสงการ เปนตน

F. ผประมวลผลขอมลสงขอมลสวนบคคลใหกบผควบคมขอมล เชน เมอไดท างานตามขอตกลงแลวเสรจ เปนตน

G. ผควบคมขอมลสงขอมลสวนบคคลใหกบบคคลภายนอก เชน การด าเนนการตามขอตกลงทางธรกจ เปนตน

H. ผประมวลผลขอมลสงขอมลสวนบคคลใหกบบคคลภายนอก เชน ตามทผควบคมสงการ เปนตน

Data Subject Controller Processor Third Parties A. Provider Recipient

B. Provider Recipient C. Provider Recipient D. Recipient Provider E. Recipient Provider F. Recipient Provider G. Provider Recipient H. Provider Recipient

(3) [Identifiers] ระบขอมลสวนบคคลตามทก าหนดในสวนท 1 รวมถง ขอมลทใช

แยกแยะ (distinguishability), ขอมลทใชตดตาม (traceability) และขอมลทใชเชอมโยง (linkability) ดวย

B2.8 หากผประกอบการไดมการสงตอหรออนญาตใหเขาถงขอมลแกระบบสารสนเทศภายนอก

ผประกอบการตองมขอตกลงเกยวกบบทบาทหนาทและความรบผดชอบทเหมาะสม รวมถงการจ ากดไมใหมการสงตอขอมลไปยงบคคลอน, การแจงเตอนเมอมการรวไหลหรอ


ละเมดขอมลสวนบคคล, มาตรการความมนคงปลอดภยขนต า, และขอตกลงอนๆทเกยวของ หรอทเรยกวา BCR (Binding Corporate Rules)

B2.9 ความเสยงและความรายแรงของผลกระทบ (harm) ทอาจจะเกดขนจากการรวไหลหรอ

การละเมดขอมลสวนบคคล อาจประเมนไดใน 2 กลม - ระดบบคคล เชน การแบลคเมล, การถกสวมรอยบคคล (identity theft), การถกท า

รายรางกาย, การถกเลอกปฏบต หรอความเสยหายทางจตใจ เปนตน - ระดบองคกร เชน การสญเสยความสามารถในการรกษาความลบ, ความเสยหาย

ทางการเงน, การสญเสยชอเสยงและความเชอมน หรอความรบผดทางกฎหมายตางๆ เชน ทางแพง, ทางอาญา และทางปกครอง เปนตน

B2.10 [Data Risk Level] การก าหนดความเสยงและความรายแรงของผลกระทบ (Impact

Levels) อาจแบงไดเปน 3 ระดบ ตามมาตรฐานความมนคงปลอดภยระบบสารสนเทศ 10 ไดแก (1) ระดบต า (Low) ไดแก กรณทผลกระทบจากการสญเสยการรกษาความลบ

(Confidentiality), ความถกตองสมบรณ (Integrity) และความพรอมใชงาน (Availability) มแนวโนมทจะมอยอยางจ ากด (limited adverse effect) ทงในระดบบคคลและระดบองคกร เชน - เกดผลกระทบเลกนอยตอระบบสารสนเทศท าใหสงเกตเหนไดวาดอย

ประสทธภาพลง แตยงคงสามารถท าหนาทหรอใหบรการพนฐานขององคกรได - เกดความเสยหายเลกนอยตอสนทรพยขององคกร - เกดความเสยหายทางการเงนเพยงเลกนอย - เกดผลกระทบเลกนอยตอบคคล เชน ท าใหตองเปลยนเลขหมายโทรศพท เปน

ตน

10 อางองตาม US Federal Information Processing Standards (FIPS) Publication 1999, Standards for Security Categorization of Federal Information and Information Systems


(2) ระดบกลาง (Moderate) ไดแก กรณทผลกระทบจากการสญเสยการรกษาความลบ (Confidentiality), ความถกตองสมบรณ (Integrity) และความพรอมใชงาน (Availability) มแนวโนมทจะมผลกระทบมาก (serious adverse effect) ทงในระดบบคคลและระดบองคกร เชน - เกดผลกระทบมากตอระบบสารสนเทศท าใหดอยประสทธภาพลงอยางม

นยส าคญ แตยงคงสามารถท าหนาทหรอใหบรการพนฐานขององคกรได - เกดความเสยหายมากอยางมนยส าคญตอสนทรพยขององคกร - เกดความเสยหายทางการเงนมากอยางมนยส าคญ - เกดผลกระทบมากอยางมนยส าคญตอบคคล แตไมถงขนาดทเกยวกบความเปน

ความตาย หรอไดรบบาดเจบขนรายแรงถงชวต เชน ท าใหเกดความเสยหายทางการเงนเพราะถกสวมรอยบคคลหรอถกปฏเสธไมใหประโยชนบางอยาง, ท าใหตองอบอายแกสาธารณะ, ท าใหถกเลอกปฏบต, ท าใหถกแบลคเมล เปนตน

(3) ระดบสง (High) ไดแก กรณทผลกระทบจากการสญเสยการรกษาความลบ (Confidentiality), ความถกตองสมบรณ (Integrity) และความพรอมใชงาน (Availability) มแนวโนมทจะมความรายแรงหรอเปนหายนะ (severe or catastrophic adverse effect) ทงในระดบบคคลและระดบองคกร เชน - เกดผลกระทบรายแรงตอระบบสารสนเทศท าใหดอยประสทธภาพลงอยางมาก

จนถงขนาดทไมสามารถท าหนาทหรอใหบรการพนฐานหนงหรอมากกวานนขององคกรได

- เกดความเสยหายรายแรงตอสนทรพยขององคกร - เกดความเสยหายรายแรงทางการเงน - เกดผลกระทบรายแรงตอบคคล ถงขนาดทเกยวกบความเปนความตาย หรอ

ไดรบบาดเจบขนรายแรงถงชวต เชน ความเสยหายรายแรงทางรางกาย, สงคม หรอทางการเงน ท าใหตองสญเสยชวต, สญเสยความเปนอยอนปกตสข หรอถกหนวงเหนยวกกขง เปนตน


B2.11 ความเสยงระดบสง (High) นน รวมถงความเสยงทจะเกดผลกระทบตอ “สทธและเสรภาพของเจาของขอมล” (to the rights and freedom of data subjects) ซงรวมถงสทธและเสรภาพดงตอไปน - สทธในการไมถกเลอกปฏบต (right to non-discrimination) - เสรภาพในการแสดงความคดเหน (freedom of speech) - เสรภาพทางความคดความเชอและศาสนา (freedom of thought, conscience

and religion) - เสรภาพในการเคลอนยายถนฐาน (freedom of movement) 11

B2.12 หากชดขอมลใดมความเสยงระดบสง (High) กจ าเปนตองมกระบวนการ DPIA (Data

Protection Impact Assessment) ตอไป (รายละเอยดเนอหาสวนนจะปรากฏในเวอรชนตอไป)

B2.13 การก าหนดความเสยงของขอมลสวนบคคลชดตางๆโดยอยางนอยค านงถง

- [Identifiability] ผประกอบการตองมการประเมนวาขอมลสวนบคคลนนสามารถใช

เพอระบตวบคคลไดงายเพยงใด เชน ชดขอมลทม ชอและนามสกล, ลายนวมอ หรอ

11 Article 29 Data Protection Working Party, STATEMENT ON THE ROLE OF A RISK-BASED APPROACH IN DATA

PROTECTION LEGAL FRAMEWORKS (2014), at paragraph 8.

Identifiability

Volume

Access & Activity

Adverse Effects to Data Subjects

Adverse Effects to Organization


เลขประจ าตวประชาชน ยอมถอวาสามารถระบตวบคคลไดโดยตรง ในขณะทชดขอมลทม รหสไปรษณย และวนเกด สามารถใชเพอระบตวบคคลไดโดยออม 12

- [Volume] ผประกอบการตองประเมนวาจะมผไดรบผลกระทบโดยถกระบตวตนไดเปนจ านวนมากเพยงใด เพราะชดขอมลขนาดใหญเมอเกดเหตรวไหลของขอมลสวนบคคลยอมสรางผลกระทบตอบคคลเปนจ านวนมาก และสรางผลกระทบตอชอเสยงขององคกร กรณเชนนกจ าเปนทจะก าหนดระดบความเสยงทสงเอาไว แตกไมไดหมายความวาถามชดขอมลขนาดเลกกจะมระดบความเสยงทต า

- [User Access and Activity] ผประกอบการตองประเมนวามผใชงานไดแกใครบางและใชงานบอยและมากแคไหน ยงมผทสามารถเขาถงขอมลไดมากและบอยยอมท าใหมความเสยงทจะรวไหลได ท านองเดยวกนกบการเขาถงขอมลจากสวนงานตางๆกน ดวยอปกรณตางๆกน ดวยแอพพลเคชนตางๆกน ทงจากภายในและภายนอกองคกร หรอแมแตภายนอกประเทศ ยอมท าใหมความเสยงทจะรวไหลไดมากกวา นอกจากนกรณทตองมการจดเกบขอมลและโอนยายขอมลออกจากระบบยอมมความเสยงมากกวาเชนกน

- [Adverse Effects to Data Subjects] ผประกอบการตองประเมนความออนไหวของขอมลสวนบคคลทมอย ขอมลเลขบตรประชาชน, ขอมลทางการแพทย หรอขอมลทางการเงน ยอมถอเปนขอมลทมความออนไหวมากกวาเลขหมายโทรศพท หรอรหสไปรษณย ตวอยางเชน

i. หากมขอมลเลขบตรประชาชนในชดขอมลยอมตองก าหนดระดบความเสยงไวในระดบกลาง (moderate)

ii. หากมขอมลเลขบตรประชาชนกบเลขบตรเครดตยอมตองก าหนดระดบความเสยงไวในระดบกลาง (moderate)

12 มผลงานวจยพบวา 97% ของบคคลทม ชอและทอย ตามบญชผมสทธเลอกตง สามารถใชเพยงขอมลรหสไปรษณย

และวนเกดในการระบตวบคคลตามบญชได, Latanya Sweeney, Computational disclosure control : a primer on data privacy protection, 2001, http://dspace.mit.edu/handle/1721.1/8589; see also Paul Ohm, Broken Promises of Privacy: Responding to The Surprising Failure of Anonymization, UCLA

LAW REVIEW 77; Arvind Narayanan & Edward W Felten, No silver bullet: De-identification still doesn’t work, http://randomwalker.info/ publications/no-silver-bullet-de-identification.pdf; Contra. Ann Cavoukian & Daniel Castro, Big Data and Innovation, Setting the Record Straight: De-identification Does Work, (2014), http://www2.itif.org/2014-big-data-deidentification.pdf

http://dspace.mit.edu/handle/1721.1/8589

http://randomwalker.info/%20publications/no-silver-bullet-de-identification.pdf

http://www2.itif.org/2014-big-data-deidentification.pdf


iii. หากมขอมลสถานทเกดหรอชอบดามารดา ซงมกถกใชเปนขอมลยนยนตวตนในการขอกรหสผานของเวบไซตจ านวนมาก ยอมตองก าหนดระดบความเสยงไวในระดบกลาง (moderate)

- [Adverse Effects to Organization] ผประกอบการอาจตองรบผดตอความเสยหายทอาจเกดขนจากขอมลรวไหลหรอถกละเมด รวมถงความรบผดตามกฎหมายตางๆ เชน กฎหมายคมครองขอมลสวนบคคล, กฎหมายอนทก าหนดความรบผดกรณขอมลรวไหล หรอความรบผดตามกฎหมายตางประเทศ เชน GDPR เปนตน

B2.14 ตวอยางการก าหนดความเสยงขอมล

ตวอยางบนทกเขาออกอาคาร บรษทจดเกบขอมลของบคคลทเขาและออกอาคารส านกงานของตนดวยระบบ

สแกนบตรพนกงาน และการแลกบตรประจ าตวประชาชนของบคคลภายนอก เพอบนทกการเขาออกเพอความปลอดภยและตรวจสอบไดเมอมเหตทไมปลอดภย ท าใหมการจดเกบ ชอ-นามสกล หนวยงานทสงกด ต าแหนงงาน เลขประจ าตวพนกงาน และเลขบตรประจ าตวประชาชน พรอมลงเวลาเขาและออก โดยบนทกไวในระบบคอมพวเตอรเปน log file

[Identifiability] การจดเกบขอมลดงกลาวยอมระบถงตวบคคลเจาของขอมลไดโดยตรง

[Volume] ขอมลมประมาณ 100 รายการตอวน ถอวามปรมาณมาก [User Access and Activity] ขอมลสามารถเขาถงไดจากเจาหนาททมหนาท

ตรวจสอบเรองการเขาออกเทานน โดยเปนการเขาถงภายในองคกรเทานนและไมเชอมตอขอมลดงกลาวไปยงสวนอนใด บคคลอนไมสามารถเขาถงได เวนแตไดรบอนญาตจาก ผบรหารระดบสง

[Adverse Effects to Data Subjects] ขอมลสวนบคคลทจดเกบไวอาจสรางผลกระทบท าใหเกดความอบอาย เชน ขอมลการเขาออกกอนเวลาท างาน แตเนองจากเปนขอมลทจ ากดเฉพาะการใชงานภายในองคกร โอกาสทจะสรางผลกระทบดงกลาวจงมอยจ ากด

[Adverse Effects to Organization] หากเกดการรวไหลหรอละเมด อาจตองรบผดชอบชดเชยความเสยหาย ซงมโอกาสเกดขนไมมาก

ระดบความเสยง: ต า เพราะมผลกระทบนอยและคอนขางจ ากด


ตวอยางการจดเกบขอมลการใชงานภายในองคกร (Intranet Activity Tracking) 13 ผประกอบการจดเกบขอมลการใชงานเวบไซตภายในองคกร (intranet) ของ

พนกงานโดยจดเกบขอมลไดแก IP Address, URL ทใชงานกอนทจะสเวบไซตดงกลาว, วนและเวลาทใช, หนาเวบหรอหวขอทใชงานภายในเวบไซตองคกร

[Identifiability] ขอมลทจดเกบไมใชขอมลทสามารถระบตวบคคลไดโดยตรง แตกมระบบ login ทมขอมลทเชอมโยงไดแก ขอมล User ID และ IP Address ซงถาหากสามารถเขาถงขอมลทงสองไดกจะท าใหสามารถระบตวบคคลได อยางไรกดขอมลทจดเกบสวนใหญเปนขอมลเกยวกบการใชงานเวบไซตภายในองคกร และม ผดแลระบบจ านวนนอยทสามารถเขาถงขอมลไดทง 2 ระบบ

[Volume] ขอมลมปรมาณมาก [User Access and Activity] ขอมลสามารถเขาถงไดจากผดแลระบบจ านวน

นอย และเปนการเขาถงจากระบบภายในองคกรเทานน [Adverse Effects to Data Subjects] ขอมลทจดเกบอาจสรางผลกระทบท า

ใหเกดความอบอาย เชน ขอมลคนหาการใชงานโปรแกรมทไมเหมาะสม แตเนองจากเปนขอมลทจ ากดเฉพาะการใชงานภายในองคกร จ านวนขอมลทจะสรางผลกระทบดงกลาวจงมอยจ ากด

[Adverse Effects to Organization] หากเกดการรวไหลหรอละเมด บรษทอาจมภาระตองบรหารจดการปญหาภายในองคกรทอาจเกดขนตามมา

ระดบความเสยง: ต า เพราะมผลกระทบนอยและคอนขางจ ากด

ตวอยางการเฝาระวงการปฏบตงานของพนกงานบรษท 14 บรษทจดเกบขอมลกจกรรมตางๆของพนกงานเพอการเฝาระวง (systematic

monitoring) รวมถง การนงท างานทโตะท างาน หรอการใชงานอนเทอรเนต เปนตน [Identifiability] การจดเกบขอมลดงกลาวยอมระบถงตวบคคลเจาของขอมลได

โดยตรง

13 NIST SPECIAL PUBLICATION 800-122, at 3.3.2 14 Article 29 Data Protection Working Party (WP29) Guidelines on Data Protection Impact Assessment (DPIA) (wp248rev.01), p.11


[Volume] ขอมลมปรมาณมาก [User Access and Activity] ขอมลสามารถเขาถงไดจากผบรหารตามสายงาน

ซงถอวาคอนขางเปดโอกาสใหมการเขาถงไดงาย [Adverse Effects to Data Subjects] ขอมลสวนบคคลทจดเกบไวอาจสราง

ผลกระทบท าใหเกดความอบอาย เชน ขอมลการเขาออกกอนเวลาท างาน หรอการเขาถงเวบไซตทไมเหมาะสม หรอพฤตกรรมอนๆทอาจตรวจพบ ท าใหอาจไมสามารถใชชวตอยางปกตสขอกตอไปได

[Adverse Effects to Organization] หากเกดการรวไหลหรอละเมด จะสงผลเปนการท าลายความไววางใจในองคกร บรษทอาจตองรบผดชอบชดเชยความเสยหาย และรบผดตามกฎหมายทเกยวของซงมความเปนไปไดตางๆนาๆ

ระดบความเสยง: สง เพราะมผลกระทบรายแรง จ าเปนตองท า DPIA ตอไป

ตวอยางท าโปรไฟลขอมลสอสงคมออนไลน 15 บรษทจดเกบขอมลสอสงคมออนไลนสาธารณะเพอจดท าโปรไฟลง (profiling) [Identifiability] การจดเกบขอมลดงกลาวยอมระบถงตวบคคลเจาของขอมลได

โดยงาย [Volume] ขอมลมปรมาณมาก [User Access and Activity] ขอมลถกใชเพอการท างานของบรษทเกอบ

ทงหมด โดยไมไดมการแฝงขอมล (pseudonymization) หรอผสมขอมล (aggregation) เพอไมใหระบตวบคคลเจาของขอมลได นอกจากนยงมการเชอมโยงขอมลระหวางชดขอมลโดยตลอด

[Adverse Effects to Data Subjects] ขอมลสวนบคคลบนสอสงคมออนไลนมลกษณะเปนขอมลสวนบคคลทเปนเรองสวนตวโดยแทของบคคล มความละเอยดออนและสมเสยงตอการถกใชในการเลอกปฏบตอยางไมเปนธรรม

15 WP29 Guidelines on Data Protection Impact Assessment (DPIA) (wp248rev.01), p.11


[Adverse Effects to Organization] หากเกดการรวไหลหรอละเมด จะสงผลเปนการท าลายความไววางใจในองคกร บรษทอาจตองรบผดชอบชดเชยความเสยหาย และรบผดตามกฎหมายทเกยวของซงมความเปนไปไดมากมาย


ตวอยางขอมลการรายงานการประพฤตมชอบ 16 ฐานขอมลจดเกบการรองเรยนการประพฤตมชอบ ซงบางรายการเกยวของกบ

ฐานความผดรายแรง เชน การกลาวหาวารบสนบน หรอการละเลยไมบงคบใชมาตรการเพอความปลอดภย นอกจากนยงมการจดเกบขอมลชอทอยเพอการตดตอ ซงผรองเรยนกมกจะกรอกขอมลสวนบคคลไวให โดยเวบไซตนจดเกบ IP Address และเวบไซตอางองดวย

[Identifiability] แมระบบจะไมไดก าหนดใหผใชงานตองใหขอมลสวนบคคล แตผใชงานจ านวนมากเลอกทจะใหขอมลสวนบคคลเอาไว นอกจากนยงจดเกบ IP Address แมจะไมไดเชอมโยงขอมลอนเพอระบตวบคคลเอาไว

[Volume] ขอมลประมาณ 50 รายการมขอมลสวนบคคลจากทงหมดประมาณ 1,000 รายการ

[User Access and Activity] ขอมลสามารถเขาถงไดจากผทมหนาทตรวจสอบเรองรองเรยนซงมจ านวนนอย โดยเปนการเขาถงภายในองคกรเทานน

[Adverse Effects to Data Subjects] ขอมลสวนบคคลทจดเกบไวม ชอ ทอย อเมล และเลขหมายโทรศพท ซงมความออนไหวในแงทบคคลตามขอมลดงกลาวอาจไดรบผลกระทบรายแรง เชน การแบลคเมล ความเครยดขนรนแรง การออกจากงาน หรออาจไดรบอนตรายแกกายหรอจตใจ

[Adverse Effects to Organization] หากเกดการรวไหลหรอละเมด จะสงผลเปนการท าลายความไววางใจในองคกร บรษทอาจตองรบผดชอบชดเชยความเสยหาย และรบผดตามกฎหมายทเกยวของ


16 NIST SPECIAL PUBLICATION 800-122, at 3.3.3


ตวอยางสงอเมลขาวสารประจ าวนเพอการประชาสมพนธ 17 บรษทจดเกบอเมลของผเขาชมเวบไซตเพอจดสงอเมลขาวสารประจ าวน (daily

digest) แกผสมคร [Volume] ขอมลมปรมาณมาก [Identifiability] การจดเกบขอมลดงกลาวยอมระบถงตวบคคลเจาของขอมลได

โดยงาย [User Access and Activity] ขอมลถกใชเพอการสงอเมลขาวโดยระบบ

อตโนมต และไมไดเชอมโยงไปยงระบบอนๆ [Adverse Effects to Data Subjects] ขอมลอเมลดงกลาวท าใหเกดความ

ร าคาญส าหรบผทไมประสงคจะรบอเมลขาวดงกลาว [Adverse Effects to Organization] หากเกดการรวไหลหรอละเมด บรษท

อาจมภาระตองด าเนนการและรบผดชอบตามกฎหมายคมครองขอมลสวนบคคล ระดบความเสยง: ต า เพราะมผลกระทบนอยและคอนขางจ ากด

B2.15 [Data Protection] ผประกอบการตองมกระบวนการขนตอนรองรบการคมครองขอมล

สวนบคคลใหเหมาะสมตามความเสยงและความรายแรงของผลกระทบ (1) เงอนไขการเขาถงขอมลสวนบคคล เชน การก าหนดชนความลบ การจ ากดการเขาถง

ขอมลสวนบคคล รวมถงการควบคมการเขาถงขอมลตาม เวลา สถานท และบทบาทของผเขาถงขอมลและรบผดชอบ เปนตน

(2) กระบวนการรองรบการเกบรกษาขอมลสวนบคคลทางกายภาพ (Physical Security) เชน - การก าหนดพนทเพอความปลอดภย (secure areas) - การก าหนดหนวยเกบขอมลเพอความปลอดภย (secure storage) - การก าหนดกระบวนการก าจดขอมลและอปกรณเพอความปลอดภย (secure

disposal) (3) กระบวนการรองรบการจดการขอมลสวนบคคลตลอดการพฒนาระบบเทคโนโลย

สารสนเทศ เชน การแฝงขอมล (pseudonymization) หรอการเขารหสขอมล (encryption) และการปลดระวางขอมล เปนตน

17 WP29 Guidelines on Data Protection Impact Assessment (DPIA) (wp248rev.01), p.11


(4) แผนเผชญเหตเมอมการรวไหลหรอละเมดขอมลสวนบคคล (5) มาตรการเมอมการไมปฏบตตามขนตอนการคมครองขอมลสวนบคคล (6) กระบวนการฝกอบรมพนกงาน

B2.16 ในกรณทจะมการสงขอมลสวนบคคลไปยงตางประเทศหรอองคกรระหวางประเทศ

ผประกอบการทเปนผควบคมขอมลหรอผประมวลผลขอมลจะตองท าใหแนใจวามมาตรการคมครองขอมลสวนบคคลทเพยงพอ (appropriate safeguards) และจะสามารถบงคบใชสทธของเจาของขอมล รวมทงมมาตรการเยยวยาตามกฎหมายทจะบงคบใชได 18 (รายละเอยดเนอหาสวนนจะปรากฏในเวอรชนตอไป)

18 GDPR, Article 46.1



C. แนวปฏบตเกยวกบฐานในการประมวลผลขอมลสวนบคคล

(Guideline on Lawful Basis for Processing Personal Data)

เหตผลของการประมวลผลขอมลคออะไร? เนอหาของการขอความยนยอม (Consent)

(1) การปฏบตตามสญญา (2) ความยนยอม (3) ผลประโยชนส าคญจ าเปนตอชวต (4) หนาทตามกฎหมาย (5) การด าเนนงานตามภารกจของรฐ (6) ผลประโยชนอนชอบธรรมของเจาของขอมลหรอบคคล

อน หมายเหต * ตองมการแจงฐานในการประมวลผลกบเจาของขอมล ** ขอมลชดเดยวกนอาจมฐานในการประมวลผลขอมลไมเหมอนกน *** ความยนยอมไมใชฐานในการประมวลผลขอมลทดทสด

ขอมลเกยวกบตวผควบคมขอมล วตถประสงคการประมวลผล ขอมลใดบางทจะถกเกบรวบรวมและใช วธการประมวลผลขอมล การใชระบบตดสนใจอตโนมต หรอโปรไฟลง

(profiling) (หากม) การโอนขอมลไปตางประเทศ การเปดเผยขอมลตอบคคลอน ระยะเวลาในการจดเกบขอมล วธการถอนความยนยอม สทธตางๆของเจาของขอมล

วธการขอความยนยอม การจดการกบความยนยอม

• มนใจวาความยนยอมเปนฐานในการประมวลผลทเหมาะสม

• หลกเลยงกรณทความยนยอมเปนเงอนไขในการใหบรการ

• ขอความยนยอมอยแยกสวนกบกบเงอนไขในการใหบรการอน

• ออกแบบใหเจาของขอมลตองมการกระท าทใหความยนยอมชดเจน (clear affirmative action)

• หากใชขอมลชดเดยวกนเพอประมวลผลหลายวตถประสงค ตองใหเจาของขอมลมทางเลอกไดวายนยอมส าหรบกรณใดบาง

• ออกแบบทางเลอกใหสามารถปฏเสธทจะใหความยนยอมได

• เขยนดวยภาษาทเขาใจงาย มรายละเอยด แตไมยาวจนเกนไป (เชน มลงกขอมลแยกหากจ าเปน)

• ปรบ user interface ใหงาย ไมลอลวงใหเขาใจผด

• ค านงถงอายของผใหความยนยอม (โดยเฉพาะกรณผเยาว)

• ขอความยนยอมเมอจ าเปนจรงๆ เทานน

• บนทกเนอหาขอมลทแจง และวธการใหความยนยอม

• แยกประเภทและขอบเขตของของความยนยอมรายบคคลเอาไวเพอเตรยมพรอมส าหรบการใชสทธของเจาของขอมลรวมถงการถอนความยนยอม

• ก าหนดการตรวจสอบความเหมาะสมและขอบเขตของความยนยอมเมอผานไประยะหนง

• กระบวนการถอนความยนยอมตองชดเจน ไมยงยาก

• เตรยมพรอมเพอตอบสนองตอค าขอถอนความยนยอมไดอยางรวดเรว

• ตองไมลงโทษหรอท าใหเจาของขอมลเสยผลประโยชนเมอถอนความยนยอม


C1. ฐานในการประมวลผลขอมลทเหมาะสม

C1.1 การประมวลผลขอมลจะเกดขนอยางถกตองไดเมอมฐาน (basis) หรอเหตผลในการ

ประมวลผลขอมลนนๆ ไมวาจะเปนการเกบรวบรวม การใช การเผยแพร และการเกบรกษา ในการประมวลผลขอมลแตละครงผควบคมขอมลจะตองระบฐานในการประมวลผลใหไดฐานใดฐานหนง แจงฐานในการประมวลผลใหเจาของขอมลทราบ และด าเนนการกบขอมลนนๆ ตามขอจ ากดทแตกตางกนของแตละฐาน รวมถงเกบบนทกไวดวยวาใชฐานใดการประมวลผลขอมลแตละชด

C1.2 การด าเนนงานขององคกรธรกจจะมความเกยวของกบฐานการปฏบตตามสญญา

(contract) และฐานความยนยอม (consent) มากทสด ส าหรบฐานความยนยอม (consent) ซงมรายละเอยดเงอนไขของความยนยอมทชอบธรรม จะอธบายอยางละเอยดในสวนถดไป

ฐานสญญา (Contract)

C1.3 กรณทการประมวลผลขอมลจ าเปนตอการใหบรการตามสญญาทตกลงกนไวระหวางผ

ควบคมขอมลและเจาของขอมล หรอเมอจ าเปนตองประมวลผลขอมลสวนบคคลเพอปฏบตตามค าขอของเจาของขอมลกอนทจะเขาสการท าสญญา หากใชสญญาดงกลาวเปนฐานในการประมวลผลแลวกไมตองขอความยนยอมเพมเตม ฐานนใชไดกบขอมลสวนบคคลทวไปเทานน ขอมลออนไหว (sensitive data) ใชการท าตามสญญาเปนฐานในการประมวลผลไมได


ตวอยาง ❖ เวบไซต e-commerce เกบรวบรวมขอมลทอยการจดสงเพอสงตอใหรานคาจดสงสนคาและ

ขอมลอเมลเพอสงใบเสรจเปนการปฏบตตามสญญาซอขายสนคา (อาจเปนสญญาระหวางรานคากบเจาของขอมล หรอสญญาระหวางเวบไซตกบเจาของขอมล ตามแตรปแบบของเวบไซตนนๆ)

❖ เวบไซตรบจองโรงแรมเกบรวบรวมขอมลบตรเครดตของลกคาไวเพอเปนหลกประกนในการจองหองพก เปนไปตามค าขอของเจาของขอมลกอนทจะเขาสการท าสญญาจองหองพก

❖ บรษทเกบรวบรวมขอมลบญชธนาคารของลกจางเพอจายคาจาง เปนไปตามสญญาจางงาน

ขอควรระวงเกยวกบ “ความจ าเปนในการปฏบตตามสญญา”

C1.4 ในกรณทสามารถปฏบตหนาทตามสญญาหรอตามค าขอไดโดยไมตองประมวลผลขอมล

สวนบคคลถอวา “ไมจ าเปน” ดงนนผควบคมขอมลควรประเมนขอบเขตของสญญาใหแนชด เพอจะไดทราบถงขอบเขตของขอมลทจ าเปนในการปฏบตตามสญญา อกท ง การประมวลผลขอมลเพอการปฏบตตามสญญาจะตองเปนไปอยางเฉพาะเจาะจงตามทระบในสญญานนๆ ซงไมรวมถงการประมวลผลขอมลนนเปนไปเพอใหเกดผลดกบธรกจโดยรวม

ตวอยาง

❖ การประมวลผลขอมลทอยเพอจดสงสนคาบนเวบไซต e-commerce เปนเรองจ าเปนส าหรบการปฏบตตามสญญาซอขายสนคา แตการประมวลผลขอมลพฤตกรรมการใชเวบไซตของลกคาเพอน าไปวเคราะหเพมประสทธภาพในการแสดงผลโฆษณาบนหนาเวบไซต ไมใชการประมวลผลขอมลทจ าเปนตอการปฏบตตามสญญานอยางเฉพาะเจาะจง แมวาการท าโฆษณาในรปแบบนจะเปนประโยชนตอการด ารงความสมพนธระหวางธรกจกบลกคาและจ าเปนตอโมเดลธรกจกตาม หากตองการประมวลผลขอมลเชนนผควบคมขอมลอาจพจารณาใชฐานความยนยอมหรอฐานผลประโยชนอนชอบธรรมแทน


ฐานความยนยอม (Consent) 19

C1.5 ความยนยอมเปนฐานในการประมวลผลไดเฉพาะในกรณทเจาของขอมลไดสมครใจ

“เลอก” ทจะยนยอมใหผควบคมขอมลประมวลผลได โดยหากตองการใชความยนยอมเปนฐานในการประมวลผล ผควบคมขอมลจะตองเชญชวนใหเจาของขอมลยอมรบหรออนญาตใหมการประมวลผลขอมลสวนบคคลนนๆได โดยมนใจวาเปนสถานการณทเจาของขอมลเลอกทจะปฏเสธไดจรง และหากเจาของขอมลเลอกทจะปฏเสธผควบคมขอมลกไมสามารถประมวลผลได

C1.6 ความยนยอมจะตองไมเปนเงอนไขในการรบบรการ หรอผกตดอยกบความจ าเปนในการ

ปฏบตตามสญญา การใชความยนยอมเปนฐานในการประมวลผลจงมกเกดขนในกรณทเปนบรการเสรมจากบรการหลกซงไมครอบคลมตามสญญา การใชฐานความยนยอมจงตองกระท าโดยความระมดระวง อกทง ควรตระหนกวาผควบคมขอมลจะมภาระพสจนวาเจาของขอมลนนไดเลอกทจะยนยอมโดยสมครใจจรงๆ และความยนยอมของเจาของขอมลไมใชใบอนญาตใหท าอะไรกบขอมลนนกได การประมวลผลขอมลบนฐานของความยนยอมยงตองยดตามหลกความจ าเปน และตองท าใหเนอหาของขอมลถกตองดวย

ตวอยาง ❖ เวบไซต e-commerce ขอความยนยอมในการเกบขอมลอเมลไวหลงการซอขายสนคาจบลง

เพอสงจดหมายขาวเกยวกบสนคาตอไป โดยลกคาสามารถถอนความยนยอมไดงาย เชนโดยการลอกอนเขาระบบ หรอกด unsubscribe ในอเมลจดหมายขาว

❖ แอพพลเคชนแผนทขอประมวลผลขอมลต าแหนงทอยของผใชเพอใหบรการในการแนะน าเสนทางอยางมประสทธภาพมากขน ถาหากผใชบรการปฏเสธการใหขอมลนกยงใชบรการแอพพลเคชนไดอย แตอาจมความสะดวกนอยลง เชน ตองก าหนดต าแหนงทอยในการเรมตนเดนทางเอง เสนทางทแนะน ามความแมนย านอยลง

❖ หลงจากการจองหองพกด าเนนไปเรยบรอยแลว เวบไซตรบจองโรงแรมขอเกบขอมลบตรเครดตของลกคาไวเพอความสะดวกในการจองหองครงถดไปในอนาคต

19 รายละเอยดของเงอนไขความยนยอมดหวขอ C2. เงอนไขความยนยอม


ขอควรระวงเกยวกบความยนยอมระหวางบคคลทมอ านาจตอรองไมเทากน

C1.7 เนองจากความยนยอมจะตองเกดขนโดยสมครใจอยางแทจรง ในกรณทอ านาจตอรองของ

ผควบคมขอมลและเจาของขอมลแตกตางกนมากๆ จงมกใชความยนยอมเปนฐานไมได เชน ในกรณของการด าเนนภารกจหนวยงานของรฐ และความสมพนธระหวางนายจางกบลกจาง ยกเวนแตในกรณทเจาของขอมลสามารถมทางเลอกในการปฏเสธทจะไมใหขอมลไดจรงๆ

ตวอยาง : กรณหนวยงานของรฐสามารถใชฐานความยนยอมในการประมวลผลขอมลสวนบคคล ❖ หนวยงานของรฐแจงขาวสารทางเวบไซตทางการและชองทางอนๆ อยแลว แตขออเมลของ

ผเกยวของเพอแจงขาวสารเพมเตมโดยตรง โดยบอกชดเจนวาไมใชหนาทของเจาของขอมลทจะตองใหอเมล และจะใชอเมลเพอวตถประสงคนเทานน (และแมไมใหอเมลเพอรบขาวสาร กยงสามารถรบขาวสารจากชองทางอนได

❖ หนวยงานของรฐสองแหงขอรวม (merge) ไฟลขอมลสวนบคคลเพอความสะดวกในการบรหารจดการ ถาหากเจาของขอมลปฏเสธกยงด าเนนงานบนไฟลแยกไดอย

❖ โรงเรยนรฐขอรปถายนกเรยนไปใชในวารสารประชาสมพนธ โดยทนกเรยนสามารถปฏเสธทจะไมใหรปได

ตวอยาง : กรณนายจางสามารถใชฐานความยนยอมในการประมวลผลขอมลสวนบคคล ❖ นายจางขอใหลกจางปรากฏตวบนหนงสารคดทมาถายทบรษท โดยลกจางสามารถปฏเสธได

โดยงาย และจดใหสามารถไปนงในบรเวณอนทไมถกถายได


ฐานประโยชนส าคญตอชวต (Vital Interest)

C1.8 กรณทการประมวลผลขอมลมความจ ำเปนตอการปกปองประโยชนส าคญของเจาของ

ขอมลหรอบคคลอน เชน ปองกนอนตรายรายแรงอนอาจเกดตอสขภาพและชวตดวยการประมวลผลขอมลสขภาพหรอขอมลออนไหว (sensitive data) ผประกอบการจะสามารถใชฐานนในการประมวลผลไดเฉพาะในกรณทเจาของขอมลอยในสภาวะทไมสามารถใหความยนยอมได และไมมวธอนทสามารถปกปองชวตบคคลอนโดยไมตองประมวลผลขอมลนแลว

ตวอยาง ❖ โรงพยาบาลหนงเปดเผยประวตสขภาพตออกโรงพยาบาลเพอชวยเหลอผปวยประสบอบตเหต

ทางรถยนตทตองการการรกษาอยางเรงดวนและหมดสต ❖ โรงพยาบาลประมวลผลขอมลของพอแมเพอปองกนอนตรายทอาจเกดกบชวตของลก ❖ หนวยงานดานสาธารณสขประมวลผลขอมลเกยวกบการตดเชอของประชาชนเพอตดตามเฝา

ระวงสถานการณโรคระบาด

ฐานหนาทตามกฎหมาย (Legal Obligation)

C1.9 กรณการประมวลผลขอมลจ ำเปนตอการปฏบตหนาททผควบคมขอมลนนมตามทกฎหมาย

ก าหนด ผควบคมขอมล (ซงมกเปนองคกรเอกชน) จะตองระบไดอยางชดเจนวาก าลงปฏบตหนาทตามบทบญญตใดของกฎหมาย หรอท าตามค าสงของหนวยงานใดของรฐทมอ านาจ

C1.10 ฐานนจะใชไมไดหากผควบคมขอมลสามารถใชดลยพนจไดวาจะประมวลผลขอมลนเพอท า

ตามกฎหมาย หรอมทางเลอกอนทเหมาะสมในการปฏบตตามกฎหมายนอกเหนอจากการประมวลผลขอมลสวนบคคล ในกรณทประมวลผลตามฐานน เจาของขอมลจะไมมสทธในการลบ โอนยายขอมล หรอคดคานการประมวลผล


ตวอยาง

❖ นายจางเปดเผยขอมลเงนเดอนของลกจางตอกรมสรรพากรเพอแจกแจงรายละเอยดในการค านวณรายไดรายจายของกจการตามมาตรา 65 ประมวลรษฎากร

❖ สถาบนการเงนแจงผลการตรวจสอบความถกตองของรายการทรพยสนและหนสนใหกบคณะกรรมการปองกนและปราบปรามการทจรตแหงชาตตามมาตรา 112 ของพระราชบญญตประกอบรฐธรรมนญวาดวยการปองกนและปราบปรามการทจรต

❖ การด าเนนการประมวลผลขอมลตามค าสงศาล

ฐานภารกจของรฐ (Public Task)

C1.11 กรณทการประมวลผลขอมลจ าเปนตอการด าเนนงานตามภารกจของรฐทก าหนดไวตาม

กฎหมาย ผทจะประมวลผลขอมลตามฐานนไดมกเปนเจาหนาทหรอองคกรของรฐ เชน ศาล รฐสภา เจาหนาทของกระทรวงตางๆ ทปฏบตภารกจตามกฎหมาย รวมถงหนวยงานเอกชนทปฏบตหนาทเพอผลประโยชนสาธารณะตามกฎหมาย

C1.12 ฐานนใชไมไดในกรณทสามารถด าเนนงานตามหนาทของรฐไดโดยไมตองประมวลผลขอมล

ในกรณทประมวลผลตามฐานน เจาของขอมลจะไมมสทธในการลบ และโอนยายขอมล แตมสทธในคดคานการประมวลผล

ตวอยาง ❖ กรมสรรพากรคดค านวณขอมลเงนเดอนของลกจางเพอตรวจสอบการรายการรายไดรายจายท

กจการนนๆ ยน ❖ คณะกรรมการปองกนและปราบปรามการทจรตแหงชาตเกบรวมรวมขอมลเกยวกบการ

ตรวจสอบความถกตองของรายการทรพยสนและหนสนจากสถาบนการเงน


ฐานประโยชนอนชอบธรรม (Legitimate Interest)

C1.13 ผประกอบการอาจประมวลผลขอมลสวนบคคลในกรณทจ ำเปนตอการด าเนนการเพอ

ประโยชนอนชอบธรรมของผควบคมขอมลและบคคลอน โดยไมเกนขอบเขตทเจาของขอมลสามารถคาดหมายไดอยางสมเหตสมผล เชน การปองกนการฉอโกง การสงตอในเครอบรษทเพอการบรหารจดการภายในองคกรทไมรวมการสงไปตางประเทศ การรกษาความปลอดภยของระบบและเครอขาย การชวยเหลอเจาหนาทรฐในการปฏบตภารกจในลกษณะทไมขดกบหนาทในการรกษาความลบ เปนตน

C1.14 การใชฐานประโยชนอนชอบธรรม (legitimate interest) ในการประมวลผลขอมลท าใหม

ขอบเขตคอนขางกวางและคอนขางยดหยนในการปรบใช ดงนนผควบคมขอมลจะตองใชดลยพนจอยางมาก เพอชงน าหนกระหวางประโยชนอนชอบธรรมนนไมใหขดกบสทธและประโยชนของเจาของขอมล โดยผควบคมขอมลจะตองระบไดวาอะไรคอประโยชนอนชอบธรรมทจะไดรบ และอะไรคอความจ าเปนของการประมวลผลขอมล อกทงยงตองมหนาทในการปกปองสทธเสรภาพและประโยชนของเจาของขอมลใหสมดลกบประโยชนอนชอบธรรมทจะไดรบดวย การใชดลยพนจเชนนยอมท าใหเกดความเสยงมากในการตดสนใจผดพลาดซงผควบคมขอมลอาจตองรบผดภายหลงได


ตวอยาง ❖ ธนาคารด าเนนการตามแนวปฏบตของตนเพอตรวจสอบขอมลสวนบคคลเพอยนยนตวตนของ

ลกคาทตองการเปดบญชใหมกบธนาคาร และบนทกวาไดใชขอมลใดเพอยนยนตวตน ในกรณเชนนผลประโยชนของผควบคมขอมลนนชอบธรรมและเนอหาของขอมลทประมวลผลกมจ านวนนอยและจ ากด ทงยงเปนมาตรฐานเดยวกนกบธนาคารอนๆ และมไดท าใหเกดผลกระทบอยางไมไดสดสวนตอเจาของขอมล จงสามารถอางฐานผลประโยชนอนชอบธรรมได หรอในกรณทหนวยงานผก ากบดแลออกเปนกฎใหตองยนยนตวตนดวยวธเฉพาะ กจะสามารถอางฐานปฏบตตามกฎหมายไดดวย

❖ บรษทเกบรวบรวมขอมลจ านวนชวโมงท างานของทนายทปรกษาเพอคดค านวณคาใชจายและโบนส ในกรณนบรษทไดรบผลประโยชนในการบรหารจดการภายใน และทนายทปรกษาไมไดถกละเมดความเปนสวนตวมากจนเกนไป ระบบคอนขางมความโปรงใสจงสามารถโตแยงไดดวย จงสามารถอางฐานผลประโยชนอนชอบธรรมได และอาจอางฐานการปฏบตตามสญญาไดดวยหากสอดคลองกบเนอหาสญญาวาจาง

❖ บรษทเฝาระวงการใชงานอนเทอรเนตของพนกงานเพอปองกนไมใหพนกงานใชทรพยากรไอทของบรษทไปเพอการสวนตวมากจนเกนไป ขอมลทเกบรวบรวมเพอการเฝาระวงนรวมถงขอมลคกกทแสดงประวตการเขาชมเวบไซตและการดาวนโหลด การเฝาระวงนกระท าโดยมไดแจงใหพนกงานหรอสหภาพแรงงานทราบกอน และไมไดแจงรายละเอยดของการประมวลผลขอมลอยางชดเจน ในกรณเชนนแมบรษทจะมผลประโยชนอนชอบธรรม แตวาเปนการขดกบสทธความเปนสวนตวของพนกงานอยางมาก รวมไปถงการเกบรวบรวมขอมลอาจกระท าเกนจ าเปน ไมไดสดสวน และไมโปรงใส อกทงยงมวธอนทละเมดสทธของพนกงานนอยกวา เชน จ ากดการเขาชมเวบไซตบางประเภทจากคอมพวเตอรของบรษท เปนตน จงไมสามารถอางฐานผลประโยชนอนชอบธรรมได


C2. เงอนไขของความยนยอม (Consent) C2.1 [ความยนยอมตองขอกอนจะมการประมวลผลเกดขน] ผควบคมขอมลจะตองไดรบความ

ยนยอมจากเจาของขอมลกอนจงจะเกบรวบรวม ใช เปดเผยขอมลนนๆ ได C2.2 [ความยนยอมตองไมเปนเงอนไขในการใหบรการ] ผควบคมขอมลจะไมน าฐานความ

ยนยอม (consent) กบฐานการปฏบตตามสญญา (contract) มาปะปนกน ดงนนจะตองแยกแยะใหไดวาขอมลใดจ าเปนส าหรบการปฏบตตามสญญาและขอมลใดไมจ าเปน

C2.3 ผควบคมขอมลตองระบชแจงประโยชนทจะเกดขนแกตนและแกเจาของขอมลหากไดรบ

ความยนยอม เชน จะท าใหประสบการณการใชบรการสะดวกรวดเรวมากขน ลดขนตอนและระยะเวลาในการตรวจสอบตวตน เปนตน อกทงการอธบายเกยวกบมาตรการทจะชวยสรางความปลอดภยใหกบขอมลทไดรบความยนยอมใหประมวลผลนนกอาจชวยท าใหเจาของขอมลมความไววางใจและยนยอมใหประมวลขอมลไดงายขน

ตวอยาง ❖ กรณทแอพพลเคชนแตงรปขอประมวลผลขอมลต าแหนงทอยของผใชบรการเพอน าไป

ประมวลผลส าหรบการโฆษณาตามลกษณะพฤตกรรม ทงทขอมลต าแหนงทอยและการโฆษณาตามพฤตกรรมตางไมมความจ าเปนตอการใหบรการแตงรปและไมเกยวของกบการใหบรการหลก แตผใชบรการไมสามารถใชแอพพลเคชนไดโดยไมยนยอมกบการประมวลผลเชนน กรณเชนน ความยนยอมกลายเปนเงอนไขของการใหบรการ จงไมถอเปนความยนยอมทใหตามความสมครใจโดยอสระ

C2.4 [ความยนยอมตองอยแยกสวนกบกบเงอนไขในการใหบรการ] การขอความยนยอม

จะตองไมแสรงวาเปนสวนหนงของสญญาหรอเงอนไขในการใหบรการ หรอท าใหเขาใจผดวาหากไมใหความยนยอมแลวจะไมไดรบบรการ โดยเฉพาะในกรณทการประมวลผลขอมลนนไมจ าเปนส าหรบการใหบรการตามสญญานนๆ ซงหากการประมวลผลขอมลนนจ าเปนส าหรบการใหบรการใหไปใชฐานสญญา


ตวอยาง ❖ ในการสมครใชบตรเครดต สถาบนการเงนขอความยนยอมในการเปดเผยขอมลสวนบคคลบาง

ประการใหบคคลทสามโดยแยกกระดาษทใหลกคาเซนยนยอมออกมาจากเงอนไขการใชบรการบตรเครดต และแจงวาลกคาสามารถไมเซนยนยอมในสวนนโดยทยงสมครใชบตรเครดตไดอย

C2.5 [วตถประสงคของการประมวลผลขอมลตองเฉพาะเจาะจง] วตถประสงคในการประมวล

ขอมลแตละอยางตองชดเจนและเฉพาะเจาะจง ผควบคมขอมลไมสามารถเตมวตถประสงคใหมเองไดโดยไมขอความยนยอมใหม การประมวลผลหลายอยางเพอวตถประสงคเดยวกนสามารถรวมอยในความยนยอมครงเดยว แตหากใชขอมลชดเดยวกนเพอประมวลผลหลายวตถประสงค ตองใหเจาของขอมลมทางเลอกไดวายนยอมส าหรบวตถประสงคใดบาง

ตวอยาง ❖ การขอประมวลผลขอมลลกคาเพอสงอเมลการตลาด ตองแยกออกจากการขอประมวลผลขอมล

เพอสงขอมลใหบรษทในเครอ ❖ นอกเหนอจากการขอประมวลผลขอมลต าแหนงทอยเพอใหบรการอยางสะดวกและแมนย าแลว

แอพพลเคชนแผนทจะขอประมวลผลขอมลพฤตกรรมการใชแอพพลเคชนดวย เพอบรการในการแนะน าเสนทางทมประสทธภาพมากขน เชน ลดขนตอนในการใสขอมลปลายทางในเวลาทใชแอพพลเคชนเปนประจ า โดยก าหนดใหเปนทางเลอกเพมเตมจากการประมวลผลขอมลต าแหนงทอย ในกรณเชนนถอวาตองแจงวตถประสงคทแตกตางกนในการประมวลผลขอมลแตละอยาง ตองใหผใชบรการสามารถเลอกปฏเสธการใหขอมลพฤตกรรรม แตยนยอมใหขอมลต าแหนงทอย หรอเลอกปฏเสธทงสองอยางกได

C2.6 [ความยนยอมตองชดเจนไมคลมเครอ] การใหความยนยอมตองเกดขนโดยสมครใจและ

เปนการเลอกของเจาของขอมลเสมอ ดงนนเพอใหเจาของขอมลสามารถ “เลอก” ไดอยางแทจรง จงตองออกแบบใหเจาของขอมลตองมการกระท าทใหความยนยอมอยางชดเจน (clear affirmative action) จะตองไมขอความยนยอมในลกษณะทก าหนดไวแลวลวงหนา การเงยบเฉยหรอการเชคถกในชองไวกอน (pre-ticked box) ไมถอเปนความยนยอมทชดเจน


C2.7 การเคลอนไหวทางกายภาพ (physical motion) เชน การเลอนขวาไปบนต าแหนงท

ก าหนดบนหนาจอ (swipe bar) การโบกมอใหกลอง การหมนโทรศพทตามเขมนาฬกา ฯลฯ อาจถอเปนการกระท าทใหความยนยอมอยางชดเจน (clear affirmative action) ได แตตองออกแบบใหล าดบขนตอนการขอความยนยอม (consent flow) นนใหขอมลชดวาพฤตกรรมแตละอยางนนหมายถงอะไร เปนการใหความยนยอมส าหรบวตถประสงคใด และผควบคมขอมลตองเกบขอมลไดดวยวาใชวธใดในการขอความยนยอม อกทงควรระมดระวงไมใหเกดความเหนอยลาจากการคลกใหความยนยอมมากจนเกนไป (click fatigue) ท าใหการใหความยนยอมแตละครงไมมความหมายทแทจรง

ตวอยาง ❖ การใหความยนยอมเพอสงรายงานความผดพลาดของโปรแกรมแบบเปดเผยตวตน (non-

anonymised crash reports) จะตองกระท าโดยการการกด “ยนยอม (I consent)” ไมใชเพยงการกด “ใหไปตอ (continue)” และตองสามารถกด “ปฏเสธ (cancel)” ไดดวย

❖ การเลอนไปจนสดหนาจอไมใช clear and affirmative action เพราะขอความแจงเตอนวา

การเลอนไปจนสดหนาจอหมายถงการใหความยนยอมนนอาจจะยากทจะมองเหน หรอพลาดไมสามารถทราบได และการเลอนเมาสอยางรวดเรวนนไมใชการแสดงความยนยอมอยางชดเจนไมคลมเครอเพยงพอ (not sufficiently unambiguous)

รายละเอยดการขอความ

ยนยอม

………………………………

………………………………

………………………………

……………………


C2.8 [ออกแบบทางเลอกใหสามารถปฏเสธทจะใหความยนยอมได หรอมโอกาสถอนความ

ยนยอมไดโดยไมไดรบผลกระทบมากเกนเหต] ผควบคมขอมลตองประเมนและแยกแยะใหชดเจนวาขอมลใดจ าเปนส าหรบการปฏบตตามสญญาใหบรการ และขอมลใดจ าเปนตองขอความยนยอมเพอใหบรการเสรม ดงนนเมอเจาของขอมลปฏเสธการใหความยนยอม หรอถอนความยนยอมจะตองไมกระทบเนอหาการใหบรการหลกแมอาจมประสทธภาพนอยลง และไมท าใหเกดผลเปนการลงโทษทถอนความยนยอม อกทงการถอนความยนยอมจะตองจะกระท าไดงายในระดบเดยวกนกบการใหความยนยอม

ตวอยาง ❖ แอพพลเคชนไลฟสไตลขอขอมลการเคลอนไหวของรางกาย (accelerometer) ซงเปน

ประโยชนส าหรบการเรยนรขอมลการเคลอนไหวและระดบกจกรรมของผใช แตไมจ าเปนตอการใหบรการขอมลเกยวกบไลฟสไตลซงเปนบรการหลก เมอผใชยกเลกความยนยอม ขอบเขตการใหบรการของแอพพลเคชนตองไมนอยลง

❖ ลกคาบอกรบจดหมายขาวของรานขายเสอผา รานขายเสอผาขอขอมลสวนตวของลกคาเกาเพมเตม (เชน ประวตการซอ (shopping history) หรอขอใหกรอกแบบสอบถาม) เพอจะสงจดหมายขาวทเฉพาะเจาะจงมากขนและลดเนอหาทลกคาไมสนใจลงไป ตอมาเมอลกคาถอนความยนยอม ลกคากจะกลบไปไดรบจดหมายขาวแบบทวไปตามเดม

❖ นตยสารแฟชนขอขอมลทอยจากลกคาเกาทบอกรบจดหมายขาว เพอจะสงขอมลและสนคาตวอยางไปใหเพอเสนอขายสนคากอนการเปดตวสนคาอยางเปนทางการ เมอลกคาปฏเสธทจะใหขอมลทอย กยงรบขอมลสนคาจากจดหมายขาวปกตได

C2.9 [เนอหาความยนยอมเขาใจงายและเขาถงงาย] การขอความยนยอมจะตองมรายละเอยด

ขอมลตางๆอยางครบถวน 20 แตเนอหาจะตองไมยาวจนเกนไป โดยอาจใชเทคนคเสรม เชน FAQs, pop-up screen, chatbot ทท าใหการใหขอมลนนชดเจนมากขน การใหขอมลอาจกระท าไดหลายรปแบบ ทงขอเขยน ปากเปลา วดโอ ขอความเสยง หรอขอความอเลกทรอนกสกได ตราบใดทขอมลเหลานนสามารถเขาถงไดงายและมความชดเจนแยกออกจากเนอหาเรองอนๆ ผควบคมขอมลควรทดสอบดวยวาเนอหาสามารถอานเขาใจได

20 ดรายละเอยดในหวขอ C-2.2


งายและไมแตกตางไปจากความคาดหมายปกตส าหรบคนทวไป อกทงตองค านงถงอายของผใหความยนยอมวาภาษาทใชนนเหมาะสมกบระดบความสามารถในการเขาใจดวยหรอไม 21

ตวอยาง ❖ กรณทแจงขอมลในรปแบบอเลกทรอนกส อาจน าเสนอขอมลแบบเปนชน ( layered

information) เชน pop-up screen แยกออกมาจากเนอหาการใหบรการ และมสแตกตาง แตตองระวงไมใหขดขวางการใชงานปกตมากจนเกนไป

[เนอหาหลกของเวบไซต]

[เนอหาการขอความยนยอม] เราตองการเปดเผยขอมลเกยวกบการทองเวบไซตของเรากบแบรนดและพารทเนอรผชวยวเคราะห

(คลกเพอดรายละเอยดเพมเตม) เพอจะเสนอสนคาและประสบการณทดใหกบคณได และชวยใหเราปรบปรงเวบไซตใหดขนไดดวย

ขอมลนจะถกลบหลงจาก 6 เดอนผานไป คณสามารถถอนการอนญาตใหเกบขอมลนไดทกเมอโดยเขาไปท ขอมลของฉน

คณสามารถเขาถงรายละเอยดอนๆ เกยวกบสทธของคณในการจดการขอมลสวนบคคลไดทน

คณรบทราบและยนยอมใหเราเกบรวบรวมขอมลการทองเวบของเราหรอไม NO OK

21 รายละเอยดเพมเตมอาจอางอง UN Convention on the Rights of the Child in Child Friendly Language


ตวอยาง ❖ ในกรณทมเนอหาหลายสวนและซบซอน อาจออกแบบใหเหนภาพรวมและเปดดเนอหาทละ

สวนได หรออาจมลงกขอมลแยกเฉพาะสวนเพอปองกนความสบสน

นโยบายความเปนสวนตว

• เราเกบขอมลสวนบคคลอะไรของคณบาง? +

• เราใชขอมลสวนบคคลของคณอยางไร? +

• เราเปดเผยขอมลสวนบคคลของคณใหกบใครบาง? +

• เราเกบขอมลสวนบคคลของคณไวทไหน? มความปลอดภยหรอไม -

• [เนอหารายละเอยด]

เราไดใชมาตรการทางกายภาพและทางเทคนคเพอปกปองขอมลสวนบคคลของคณ

แตอยางไรกตาม

.................................................................................. .................................

........................................................................................................................................

• เราโอนขอมลไปตางประเทศหรอไม? +

C2.10 [การขอความยนยอมแบบชดแจง (Explicit Consent) ส าหรบขอมลทออนไหว] การประมวลผลขอมลทออนไหวใชการท าตามสญญาเปนฐานไมได จงตองใชฐานความยนยอม หรอฐานภารกจของหนวยงานรฐ หรอฐานประโยชนอนชอบธรรมเปนหลก ผควบคมขอมลควรขอความยนยอมเปนขอเขยน และอาจใหลงลายมอชอก ากบไวดวยเพอลดความเสยง หากเปนการขอความยนยอมดวยชองทางอเลกทรอนกส อาจใชวธอนๆเชน สงอเมล อพโหลดเอกสารสแกนทมลายมอชอ หรอใชลายมอชออเลกทรอนกส เปนตน

C2.11 การใหความยนยอมปากเปลากเปนความยนยอมแบบชดแจงได แตอาจยากตอการพสจน ในกรณของโทรศพทอาจท าไดหากใหขอมลเพยงพอ มทางเลอก และเนอหาชดเจน โดยขอใหผใชบรการกดปมยนยนหรอใหความยนยอมปากเปลาอยางชดเจน และมการอดเสยงบนทกไว


ตวอยาง ❖ เวบไซตอาจขนเปนหนาจอความยนยอม (consent screen) ดวยขอความวา “ขาพเจายนยอม

ใหประมวลผลขอมลของขาพเจา” (ไมใชขอความแบบคลมเครอวา “ขาพเจาเขาใจชดเจนวาขอมลขาพเจาจะถกประมวลผล”)

❖ คลนกความงามขอสงขอมลไปยงบคคลทสามเพอขอความเหนทสอง (second opinion) ตามค าเรยกรองของผปวย คลนกขอลายมอชออเลกทรอนกสของผปวยกอนสงขอมลไป

❖ อาจใชการยนยนความยนยอมสองขน (two stage verification of consent) เชน ไดรบอเมลแจงเตอนแลวตอบกลบวา “ยอมรบ (I agree.)” และไดรบลงกเพอคลกยนยน หรอ SMS ทมรหสยนยนตวตนจะชวยท าใหความยนยอมชดแจงขนได

❖ สายการบนจะขอขอมลสขภาพลกคาทมความพการเพอใหความชวยเหลออยางมประสทธภาพมากขน ตองขอความยนยอมแบบชดแจง แตวาหากลกคาไมยนยอมให กยงสามารถใหบรการแบบปกตไดแตอาจไมไดรบความสะดวกสบายเตมท

❖ บรษทขายแวนตาด าน าส าหรบผมสายตาสนขอขอมลเกยวกบสายตาของลกคา จ าเปนตองขอความยนยอมแบบชดแจง หากลกคาไมตองการใหขอมลเฉพาะตวสามารถซอแวนตาด าน าแบบปกตได

C2.12 [เนอหาของการขอความยนยอม] การขอความยนยอมอยางนอยตองประกอบดวยเนอหา

ดงตอไปน ใคร? ขอมลเกยวกบตวผควบคมขอมล (ชอ ทอย DPO ฯลฯ)

อะไร? วตถประสงคการประมวลผลทชดเจนและเฉพาะเจาะจง ขอมลใดบางทจะถกเกบรวบรวมและใช

อยางไร? วธการประมวลผลขอมล การใชระบบตดสนใจอตโนมต หรอ โปรไฟลง (profiling) (หากม) การโอนขอมลไปตางประเทศ การเปดเผยขอมลตอบคคลอน

เมอไร? ระยะเวลาในการจดเกบขอมล

หากมปญหา? วธการถอนความยนยอม สทธตางๆ ของเจาของขอมล โดยเฉพาะสทธในการถอนความยนยอม


C2.13 [ขอควรระวงในการจดการความยนยอม] ผควบคมขอมลพงระวงในการจดการความ

ยนยอมโดยเฉพาะประเดนดงตอไปน (1) ขอความยนยอมเมอจ าเปนตองประมวลผลขอมลนนเทานน (2) บนทกเนอหาขอมลทแจงตอนขอความยนยอม และวธการใหความยนยอม (3) แยกประเภทและขอบเขตของความยนยอมรายบคคลเอาไว (4) ก าหนดการตรวจสอบความเหมาะสมและขอบเขตของความยนยอมเมอผานไประยะ

หนง (5) กระบวนการถอนความยนยอมตองชดเจน ไมยงยากกวาตอนทใหความยนยอม (6) เตรยมพรอมเพอตอบสนองตอค าขอการใชสทธของเขาของขอมล โดยเฉพาะการถอน

ความยนยอมไดอยางรวดเรว (7) ตองไมลงโทษหรอท าใหเจาของขอมลเสยประโยชนเมอถอนความยนยอม



D. แนวปฏบตเกยวกบหนาทและความรบผดชอบ

ของผควบคมและผประมวลผลขอมล

(Guideline on Duties and Responsibilities

of Controllers and Processors)

สวนนจะไดกลาวถงแนวปฏบตเกยวกบหนาทและความรบผดชอบของผควบคมขอมลและ

ผประมวลผลขอมลโดยประกอบไปดวยเนอหา 4 สวนยอย ไดแก D1 แนวปฏบตเกยวกบสทธหนาทโดยทวไปของผควบคมและผประมวลผลของมล D2 แนวปฏบตในการท าสญญาประมวลผลขอมล (Data Processing Agreement) D3 แนวปฏบตเกยวกบการจดการค ารองขอของเจาของขอมล และ D4 แนวปฏบตเกยวกบการจดการค ารองขอจากรฐหรอเจาหนาทรฐ โดยผประกอบการตองระบสถานะใหไดวาทานเปนผควบคมขอมล (Data Controller)

หรอเปนผประมวลผลขอมล (Data Processor) โดยพจารณาวาทานเปนผก าหนดความเปนไปของขอมลสวนบคคล กลาวคอ สามารถก าหนดวตถประสงค วธการตลอดจนการด าเนนการตางๆ กบขอมลสวนบคคลไดหรอไม

ใช ทานเปนผควบคมขอมล (Data Controller) ไมใช ทานเปนผประมวลผลขอมล (Data Processor)

ทงน บคคลคนหนงอาจมสถานะเปนทงผควบคมขอมลและผประมวลผลขอมลได แตส าหรบขอมลคนละชด เชน กรณผประกอบการ Cloud Computing ไดรบขอมลและจดการขอมลในฐานะผควบคมขอมล แตไดรบมอบหมายจากผควบคมขอมลรายอนใหประมวลผลขอมลอกชดหนง ส าหรบขอมลชดทไดรบมอบหมายนผประกอบการรายนจะมสถานะเปนผประมวลผลขอมล เปนตน

ภาพรวมหนาทและความรบผดชอบของผควบคมขอมลและผประมวลผลขอมลทจะกลาวถงในบทนเปนไปตามตารางตอไปน


สวนท ทานเปนผควบคมขอมล (Controller) ทานเปนผประมวลผลขอมล (Processor)

D1 หนาทของผควบคมขอมล (ภายในองคกร) o มมาตรการเชงเทคนคและเชงบรหารจดการ

เพอประมวลผลขอมลสวนบคคลใหถกตองตามกฎหมาย (D1.1)

o มมาตรการเชงเทคนคและเชงบรหารจดการเพอรกษาความมนคงปลอดภยในการประมวลผลทเหมาะสมกบความเสยง (D1.3)

o เกบบนทกรายการประมวลผลขอมล (D1.5) o ตงเจาหนาทคมครองขอมลสวนบคคล

(DPO) (D1.6) o ประเมนผลกระทบดานการคมครองขอมล

สวนบคคล (DPIA) (D1.7) o เลอกผประมวลผลขอมลทมมาตรการเชง

เทคนคและเชงบรหารจดการทเหมาะสมในการประมวลผลและการรกษาความมนคงปลอดภย (D1.8)

หนาททวไปของผควบคมขอมล (ตอบคคลภายนอก) o แจงเจาของขอมล (D1.2) o แจงเหตแกผก ากบดแลหรอเจาของขอมล

เมอมขอมลสวนบคคลรวไหล (Data Breach) (D1.4)

หนาทของผประมวลผลขอมล (ภายในองคกร) o มมาตรการเชงเทคนคและเชงบรหารจดการ

เพอรกษาความมนคงปลอดภยในการประมวลผลทเหมาะสมกบความเสยง (D1.10)

o เกบบนทกรายการประมวลผลขอมล (D1.12)

o ตงเจาหนาทคมครองขอมลสวนบคคล (DPO) (D1.13)

หนาททวไปของผประมวลผลขอมล (ตอบคคลภายนอก) o ประมวลผลขอมลตามขอตกลงระหวางผ

ควบคมและผประมวลผลขอมล (D1.9) o แจงเหตแกผควบคมขอมลกรณขอมลสวน

บคคลรวไหล (Data Breach) (D1.11) o แจงผควบคมขอมลในกรณทเหนวาม

ทางเลอกในการประมวลผลทมความมนคงปลอดภยสงกวา D(1.10)

D2 แนวปฏบตเกยวกบสญญาประมวลผลขอมลระหวางผควบคมขอมลและผประมวลผลขอมล o ตวอยางขอตกลงใหประมวลผลขอมล

D3 หนาทเมอเจาของขอมลรองขอ o หนาทในการด าเนนการใหเปนไปตามสทธ

ของเจาของขอมลตามทเจาของขอมลรองขอ

หนาทเมอเจาของขอมลรองขอ o ไมมหนาทโดยตรงตอเจาของขอมลทรองขอ

แตตองจดใหมมาตรการตางๆ ทเพยงพอส าหรบการรองรบใหผควบคมขอมลปฏบตหนาทเมอเจาของขอมลรองขอ


สวนท ทานเปนผควบคมขอมล (Controller) ทานเปนผประมวลผลขอมล (Processor)

D4 หนาทเมอภาครฐรองขอ o หนาทใหความรวมมอกบองคกรก ากบดแล o หนาทท าตามกฎหมาย หรอตามค าสงของ

หนวยงานรฐ (อาท หมายศาล ค าสงศาล หรออ านาจโดยชอบทจะเขาถงขอมล)

หนาทเมอภาครฐรองขอ o หนาทใหความรวมมอกบองคกรก ากบดแล o หนาทท าตามกฎหมาย หรอตามค าสงของ

หนวยงานรฐ (อาท หมายศาล ค าสงศาล หรออ านาจโดยชอบทจะเขาถงขอมล)


D1. แนวปฏบตเกยวกบสทธหนาทโดยทวไปของ

ผควบคมและผประมวลผลขอมล

ผควบคมขอมล (Data Controller)

D1.1 ผควบคมขอมลจะประมวลผลขอมลสวนบคคลไดตามขอบเขตทไดรบตามยนยอมหรออาศยฐานทางกฎหมายในการประมวลผลอนๆ ในการนผควบคมขอมลจะตองมมาตรการเชงเทคนค (Technical Measure) และมาตรการเชงบรหารจดการ (Organizational Measure) เพอประมวลผลขอมลสวนบคคลใหถกตองตามกฎหมาย

D1.2 ผควบคมขอมลจะตองแจงเจาของขอมลเมอไดรบขอมลสวนบคคลไมวาจะไดรบขอมล

โดยตรงจากเจาของขอมลหรอไดรบขอมลจากแหลงอน (1) [การปฏบตตามสทธ] ทานจะตองจดเตรยมขอมลและแจงขอมลเกยวกบการเกบ

รวบรวม และการใชขอมลสวนบคคลใหแกเจาของขอมลโดยจะตองแจงใหแกเจาของขอมลขณะทมการไดรบขอมลสวนบคคลนนทนทททานไดรบขอมลสวนบคคล โดยขอมล (Privacy Information) ททานจะตองจดเตรยมใหแกเจาของขอมลนนขนอยกบแหลงทมาของขอมล ดงน


ขอมลทตองจดเตรยม กรณไดรบขอมลจากเจาของขอมล

กรณไดรบขอมลจากแหลงอน

ชอและรายละเอยดการตดตอขององคกรทาน ✓ ✓ ชอและรายละเอยดการตดตอของตวแทนผรบผดชอบของทาน ✓ ✓ ชอและรายละเอยดการตดตอผรบผดชอบเกยวกบการคมครองขอมลสวนบคคลหรอ (ถาม) เจาหนาทคมครองขอมล (Data Protection Officer) ของทาน

✓ ✓

วตถประสงคในการประมวลผลขอมล ✓ ✓ ฐานทชอบดวยกฎหมายของการประมวลผลขอมล

- การปฏบตตามสญญาหรอการเขาท าสญญา - ความยนยอมของเจาของขอมล - หนาทตามกฎหมาย - ประโยชนส าคญตอชวต - ภารกจของรฐ - ประโยชนอนชอบธรรม ( legitimate interest) : โดย

จะตองระบดวยวามสทธดกวาสทธเสรภาพขนพนฐานของเจาของขอมลอยางไร

✓ ✓

ประเภทของขอมลสวนบคคลทไดรบ ✓ บคคลทสามทเปนผรบขอมล หรอประเภทของผรบขอมลสวนบคคล ✓ ✓

รายละเอยดการโอนขอมลสวนบคคลไปยงบคคลทสามทตางประเทศ หรอ องคการระหวางประเทศ (ถาม) ✓ ✓

ระยะเวลาในการเกบขอมลสวนบคคล (ถาม) ✓ ✓ สทธตางๆ ของเจาของขอมลทมเกยวกบการประมวลผลขอมล โดยเฉพาะอยางยง สทธในการเพกถอนความยนยอม (ถาม) ✓ ✓

การแจงสทธในการยนค ารองทกขตอหนวยงานก ากบดแล ✓ ✓ แหลงทมาของขอมลสวนบคคล (ถาม) ✓ รายละเอยดวาเจาของขอมลมหนาทตามสญญา หรอ ตามกฎหมายทจะตองใหขอมลแกผควบคมขอมลหรอไม (ถาม) ✓

รายละเอยดทเกยวของกบการตดสนใจอตโนมต และโปรไฟลง (profiling) (ถาม) ✓ ✓


(2) [การปฏบตตามสทธ] ระยะเวลาในการแจงขอมลใหแกเจาของขอมลนน แตกตางกนขนอยกบสถานการณ (2.1) กรณไดรบขอมลสวนบคคลจากเจาของขอมล ตองแจงโดยไมชกชาเมอไดรบ

ขอมลสวนบคคล แตตองไมเกน 1 เดอน (2.2) กรณไดรบขอมลสวนบคคลจากแหลงอน ตองแจงภายในระยะเวลาตาม

สมควร แตตองไมเกน 1 เดอน (2.3) กรณการใชขอมลเปนไปเพอการตดตอสอสารกบเจาของขอมล ทานจะตอง

แจงอยางชาเมอมการตดตอสอสารครงแรก (2.4) กรณคาดหมายไดวาจะมการเปดเผยขอมลสวนบคคลดงกลาวตอบคคลทสาม

ทานจะตองแจงอยางชาเมอมการเปดเผยขอมลดงกลาว

(3) [ค าแนะน า] ขอมลทจดเตรยมจะตองชดเจน โปรงใส สามารถเขาใจไดงาย อยในรปแบบทเขาถงไดงาย ใชภาษาทเรยบงาย โดยใชเกณฑของบคคลทวไป (average person) ในการวดความรความเขาใจในขอมลดงกลาว ทงน ทานอาจพจารณาแจงขอมลดงกลาวใหแกเจาของขอมลดวยวธตางๆ ดงน (ดรายละเอยดเพมเตมเรองความยนยอมในแนวปฏบตเกยวฐานในการประมวลผลขอมลสวนบคคล) (3.1) น าขอมลเผยแพรในเวบไซตของทาน (3.2) ใชวธน าเสนอขอมลแบบเปนชน (layered approach) โดยอาจก าหนดหวขอ

หลก หรอใจความส าคญของขอความตางๆ ใหชดเจนและงายตอการท าความเขาใจ และใหแยกสวนของรายละเอยดเพมเตมไวเปนอกสวนหนงซงจดเตรยมไวส าหรบเฉพาะเจาของขอมลทสนใจรายละเอยดเพมเตม (more details) กดเขาไปดอกชนหนงได

(3.3) การใชไอคอน (Icons) โดยอาจท าเปนสญลกษณบางประการใหงายตอการมองเหนและงายตอความเขาใจ สอความหมายชดเจน ทงน ไมควรเลอกใชวธนเพยงวธเดยว เพราะอาจถกโตแยงเรองความชดเจนในขอมลทเปดเผยใหแกเจาของขอมลได

(3.4) การแจงเตอนผานแอปพลเคชนส าหรบโทรศพทมอถอหรออปกรณอจฉรยะ


(4) [กรณทไมตองแจงเจาของขอมล] ในกรณตอไปน ทานอาจไมแจงขอมลใหแกเจาของขอมลได (4.1) กรณไดรบขอมลสวนบคคลจากเจาของขอมล

- เมอเจาของขอมลมขอมลดงกลาวอยแลว (4.2) กรณไดรบขอมลสวนบคคลจากแหลงอน

- เมอเจาของขอมลมขอมลดงกลาวอยแลว - เมอการแจงขอมลดงกลาวไมสามารถกระท าไดหรอเปนภาระเกน

สมควร ซงการประมวลผลดงกลาวเกดจากการประมวลผลเพอประโยชนสาธารณะ การวจยทางวทยาศาสตร ประวตศาสตร หรอทางสถต

- เมอการแจงขอมลดงกลาวจะสงผลกระทบอยางรายแรงและขดตอวตถประสงคในการประมวลผลขอมลสวนบคคล

- เมอทานมอ านาจตามกฎหมายทจะตองเกบรวบรวมหรอเปดเผยขอมลสวนบคคล

- เมอทานมหนาทจะตองรกษาความลบตามกฎหมายทคมครองเกยวกบขอมลสวนบคคลนน เชน หนาทรกษาความลบอยางผมวชาชพ เปนตน

(5) [แนวปฏบตทด] ทานอาจพจารณาจดใหมขนตอนเพมเตมดงตอไปน เพอใหเกดแนว

ปฏบตทด (5.1) จดใหมการสอบถามลกคาทเปนเจาของขอมลเพอประเมนศกยภาพและให

ความคดเหนเกยวกบระบบการแจงขอมลเกยวกบความเปนสวนตว (Privacy Information)

(5.2) ตรวจสอบความถกตองของขอมลเกยวกบความเปนสวนตว ( Privacy Information) อยางสม าเสมอ


D1.3 ผควบคมขอมลจะตองมมาตรการเชงเทคนคและเชงบรหารจดการเพอรกษาความมนคงปลอดภยในการประมวลผลขอมลสวนบคคลทเหมาะสมกบความเสยง (1) [แนวทางเบองตน] ผควบคมขอมลจะตองพจารณาถงความเสยง ความเปนไปได

รวมถงความรายแรงทจะสงผลกระทบตอสทธเสรภาพของเจาของขอมล โดยอาจใชมาตรการรกษาความมนคงปลอดภยดงตอไปนตามทเหนวาเหมาะสมกบลกษณะของขอมลและการประมวลผล (1.1) การแฝงขอมล (pseudonymization) หรอการเขารหส (encryption) (1.2) ความสามารถในการรกษาความลบ ความถกตองและแทจรง ความพรอมใช

งานและการพรอมรบมอตอการเปลยนแปลงตางๆ ของระบบหรอบรการประมวลผล

(1.3) ความสามารถทจะท าใหความพรอมและใชงานและเขาถงขอมลสวนบคคลกลบสสภาพทใชงานไดทนทวงทเมอมเหตขดของทางกายภาพหรอทางเทคนค

(1.4) กระบวนการตามปกตในการทดสอบ ประเมน และวดผลประสทธภาพของมาตรการเชงเทคนคและเชงบรหารจดการเพอสรางความมนคงปลอดภยในการประมวลผล

(2) [มาตรการภายใน] ผควบคมขอมลจะตองมมาตรการเพอควบคมบคคลธรรมดาซงปฏบตงานภายใตอ านาจของผควบคมขอมลและเขาถงขอมลได ใหบคคลนนไมประมวลผลขอมลโดยปราศจากค าสงหรอขอก าหนดของผควบคมขอมล

D1.4 ผควบคมขอมลจะตองแจงเหตแกผก ากบดแลหรอเจาของขอมลเมอมขอมลสวนบคคล

รวไหล (Data Breach) (1) [ความหมาย] กรณขอมลสวนบคคลรวไหลมความหมายกวางครอบคลมการทขอมล

ถกท าลาย การสญหาย การแกไขเปลยนแปลง การเปดเผย หรอการเขาถง สงตอ เกบรกษาหรอถกประมวลผลอยางอนไมวาจะเกดจากการกระท าอนมชอบดวยกฎหมายหรอโดยอบตเหต

(2) [หนาทแจงตอผก ากบดแล] ผควบคมขอมลมหนาทแจงกรณขอมลสวนบคคลรวไหลภายใน 72 ชวโมงนบแตไดทราบ เวนแตเหตทเกดนนไมนาจะกอใหเกดความเสยงใดๆ ตอสทธและเสรภาพของเจาของขอมล กรณทไมอาจแจงเหตไดภายใน 72 ชวโมง ผควบคมจะตองแจงเหตผลแหงการแจงเหตลาชาดวย


(3) [หนาทแจงตอเจาของขอมล] ผควบคมขอมลมหนาทแจงเจาของขอมลโดยไมชกชาตอเมอการรวไหลของขอมลนนกอใหเกดความเสยงสงตอสทธเสรภาพของเจาของขอมล ในกรณเชนวานจะตองแจงใหเจาของขอมลทราบดวยภาษาทเขาใจงายและมความชดเจนและมรายละเอยดอยางนอยดงตอไปน (3.1) ค าอธบายลกษณะของการรวไหลของขอมล (3.2) ชอหรอขอมลการตดตอเจาหนาทผรบผดชอบหรอ (ถาม) เจาหนาทคมครอง

ขอมล (Data Protection Officer) (3.3) ผลทอาจจะเกดขนจากการทขอมลรวไหล (3.4) มาตรการทเสนอแนะใหเจาของขอมลกระท าเพอรบมอกบกรณดงกลาวท

อาจจะลดผลรายทอาจเกดจากการทขอมลรวไหลได D1.5 ผควบคมขอมลจะตองเกบบนทกรายการประมวลผลขอมล 22

(1) [รายละเอยดของบนทก] บนทกรายการประมวลผลขอมลจะตองมขอมลตอไปน (1.1) ชอและขอมลการตดตอผควบคมขอมล ตวแทนหรอเจาหนาทคมครองขอมล (1.2) วตถประสงคของการประมวลผล (1.3) ค าอธบายการจดประเภทของเจาของขอมลและขอมลสวนบคคล (1.4) ประเภทของผรบขอมลซงไดรบขอมลไปแลวหรอจะไดรบขอมลในอนาคต

รวมถงผรบซงอยในตางประเทศหรอองคการระหวางประเทศดวย (1.5) (ถาม) การสงตอขอมลสวนบคคลไปยงตางประเทศหรอองคการระหวาง

ประเทศ (1.6) (เมอเปนไปได) ระยะเวลาทก าหนดส าหรบการลบขอมลประเภทตางๆ (1.7) (เมอเปนไปได) ค าอธบายทวไปวาดวยมาตรการเชงเทคนคและเชงองคกรใน

การรกษาความมนคงปลอดภยในขอมลสวนบคคล (2) [รปแบบของบนทก] บนทกรายการประมวลผลขอมลจะตองจดท าเปนลายลกษณ

อกษรโดยจะอยในรปแบบขอมลอเลกทรอนกสกได

22 ตาม GDPR หนาทนใชบงคบตอเมอเปนองคกรทมจ านวนลกจางตงแต 250 คนขนไป ในกรณทมจ านวนลกจางนอยกวา 250 คน ผควบคมขอมลจะมหนาทเกบบนทกนเมอการประมวลผลขอมลนนอาจกอใหเกดความเสยงตอสทธเสรภาพของเจาของขอมล การประมวลผลขอมลไมไดด าเนนการเปนครงคราว หรอการประมวลผลขอมลเปนการประมวลผลขอมลออนไหวหรอขอมลอาชญากรรม


D1.6 ผควบคมขอมลจะตองมบคลากรทท าหนาทเกยวกบการคมครองขอมลสวนบคคล (Data

Protection Officer) 23 D1.7 ผควบคมขอมลจะตองด าเนนการประเมนผลกระทบดานการคมครองขอมลสวนบคคล

(DPIA) 24 D1.8 ในกรณทผควบคมขอมลไมไดเปนผประมวลผลขอมลดวยตนเอง ผควบคมขอมลมหนาท

เลอกผประมวลผลขอมลทมมาตรการเชงเทคนคและเชงบรหารจดการทเหมาะสมในการประมวลผลและการรกษาความมนคงปลอดภย

ผประมวลผลขอมล (Data Processor)

D1.9 ผประมวลผลขอมลจะตองประมวลผลตามขอตกลงระหวางผควบคมและผประมวลผล

ขอมล 25 D1.10 ผประมวลผลขอมลจะตองมมาตรการเชงเทคนคและเชงบรหารจดการเพอรกษาความ

มนคงปลอดภยในการประมวลผลทเหมาะสมกบความเสยง (1) [แนวทางเบองตน] ผประมวลผลขอมลจะตองพจารณาถงความเสยง ความเปนไปได

รวมถงความรายแรงทจะสงผลกระทบตอสทธเสรภาพของเจาของขอมล โดยอาจใชมาตรการรกษาความมนคงปลอดภยดงตอไปนตามทเหนวาเหมาะสมกบลกษณะของขอมลและการประมวลผล (1.1) การแฝงขอมล (pseudonymization) หรอการเขารหส (encryption)

23 หนาทในสวนนจะมการขยายความในแนวปฏบตเวอรชนถดไป 24 หนาทในสวนนจะมการขยายความในแนวปฏบตเวอรชนถดไป 25 ขอใหดรายละเอยดในสวนของแนวปฏบตวาดวยสญญาระหวางผควบคมขอมลและผประมวลผลขอมล


(1.2) ความสามารถในการรกษาความลบ ความถกตองและแทจรง ความพรอมใชงานและการพรอมรบมอตอการเปลยนแปลงตางๆ ของระบบหรอบรการประมวลผล

(1.3) ความสามารถทจะท าใหความพรอมและใชงานและเขาถงขอมลสวนบคคลกลบสสภาพทใชงานไดทนทวงทเมอมเหตขดของทางกายภาพหรอทางเทคนค

(1.4) กระบวนการตามปกตในการทดสอบ ประเมน และวดผลประสทธภาพของมาตรการเชงเทคนคและเชงบรหารจดการเพอสรางความมนคงปลอดภยในการประมวลผล

(2) [มาตรการภายใน] ผประมวลขอมลจะตองมมาตรการเพอควบคมบคคลธรรมดาซงปฏบตงานภายใตอ านาจของผประมวลผลขอมลและเขาถงขอมลได ใหบคคลนนไมประมวลผลขอมลโดยปราศจากค าสงหรอขอก าหนดของผประมวลผลขอมล

(3) [การเสนอทางเลอกดานความมนคงปลอดภย] ผประมวลผลมหนาทแจงผควบคมขอมลในกรณทเหนวามทางเลอกในการประมวลผลทมความมนคงปลอดภยสงกวา เพอใหผควบคมขอมลทราบถงทางเลอกดงกลาว

D1.11 ผประมวลผลขอมลจะตองแจงเหตแกผควบคมขอมลกรณขอมลสวนบคคลรวไหล (Data

Breach) (1) [ความหมาย] กรณขอมลสวนบคคลรวไหลมความหมายกวางครอบคลมการทขอมล

ถกท าลาย การสญหาย การแกไขเปลยนแปลง การเปดเผย หรอการเขาถง สงตอ เกบรกษาหรอถกประมวลผลอยางอนไมวาจะเกดจากการกระท าอนมชอบดวยกฎหมายหรอโดยอบตเหต

(2) [หนาทแจงผควบคมขอมล] ผประมวลผลขอมลมหนาทแจงผควบคมขอมลโดยไมชกชาหลงจากไดทราบ

(3) [หนาทแจงผก ากบดแลหรอเจาของขอมล] ผประมวลผลขอมลไมมหนาทแจงผก ากบดแลหรอเจาของขอมล เวนแตผควบคมขอมลมอบหมายใหท าโดยอาศยสญญาระหวางผควบคมขอมลและผประมวลผลขอมล


D1.12 ผประมวลผลขอมลจะตองเกบบนทกรายการประมวลผลขอมล 26 (1) [รายละเอยดของบนทก] บนทกรายการประมวลผลขอมลจะตองมขอมลตอไปน

(1.1) ชอและขอมลการตดตอผประมวลผลขอมลและผควบคมขอมล ตวแทนหรอเจาหนาทคมครองขอมล

(1.2) ประเภทการประมวลผลซงท าแทนผควบคมขอมล (1.3) (ถาม) การสงตอขอมลสวนบคคลไปยงตางประเทศหรอองคการระหวาง

ประเทศ (1.4) (เมอเปนไปได) ค าอธบายทวไปวาดวยมาตรการเชงเทคนคและเชงองคกรใน

การรกษาความมนคงปลอดภยในขอมลสวนบคคล (2) [รปแบบของบนทก] บนทกรายการประมวลผลขอมลจะตองจดท าเปนลายลกษณ

อกษรโดยจะอยในรปแบบขอมลอเลกทรอนกสกได D1.13 ผประมวลผลขอมลจะตองตงเจาหนาทคมครองขอมลสวนบคคล (DPO) 27

26 ตาม GDPR หนาทนใชบงคบตอเมอเปนองคกรทมจ านวนลกจางตงแต 250 คนขนไป ในกรณทมจ านวนลกจางนอยกวา 250 คน ผควบคมขอมลจะมหนาทเกบบนทกนเมอการประมวลผลขอมลนนอาจกอใหเกดความเสยงตอสทธเสรภาพของเจาของขอมล การประมวลผลขอมลไมไดด าเนนการเปนครงคราว หรอการประมวลผลขอมลเปนการประมวลผลขอมลออนไหวหรอขอมลอาชญากรรม 27 หนาทในสวนนจะมการขยายความในแนวปฏบตเวอรชนถดไป


D2. แนวปฏบตในการท าขอสญญาประมวลผลขอมล

(Data Processing Agreement)

ในปจจบนการประมวลผลขอมลสามารถท าไดในรปของการประมวลผลแบบกลมเมฆ

(Cloud Computing) กลาวคอ ผ ใ ชคอมพวเตอรสามารถรบบรการประมวลผลขอมลผานอนเทอรเนต (หรอเครอขายเฉพาะ) โดยผใหบรการ (service provider) จะแบงปนทรพยากรใหกบผตองการใชงานนน (โดยอาจมการคดคาบรการ) หรอกลาวอกนยหนงคอ ระบบโปรแกรมคอมพวเตอรทประมวลผลบนเครอขายอนเทอรเนต และ รบขอมลแสดงผลผานเวบเบราวเซอร โดยทผรบบรการไมจ าเปนตองตดตงโปรแกรมและเปดใชงานบนเครองคอมพวเตอรของตน

ขอบเขตของการประมวลผลขอมลผาน Cloud Computing ในปจจบนสามารถแบงออกไดเปน 3 ประเภทหลก ๆ ไดแก

(1) การใหบรการดานซอฟตแวรและแอปพลเคชนผานทางอนเทอรเนต คลายกบการเชาใช คดคาบรการตามลกษณะการใชงาน (Pay as you go) ซงเรยกวา Software as a Service หรอ “SaaS”

(2) การใหบรการดานแพลตฟอรม ส าหรบการพฒนาซอฟตแวรและแอปพลเคชนโดยผใหบรการจะจดเตรยมสงทจ าเปนตองใชในการพฒนาซอฟตแวรและแอปพลเคชนซงเรยกวา Platform as a Service หรอ “PaaS” และ

(3) การใหบรการเฉพาะโครงสรางพนฐาน เชน เซรฟเวอรสวนตอประสานกบผใชและระบบจดเกบขอมลซงเรยกวา Infrastructure as a Service หรอ “IaaS” ซงสามารถอธยายไดตามแผนภาพดานลางน 28

28 พฒนาขนจากขอมลของ Microsoft Azure, ‘What is SaaS?’ (Microsoft Azure, 2018) <https://azure. microsoft.com/en-in/overview/what-is-saas/> accessed 23 August 2018.


โดยทวไปแลว ขอตกลงทเกยวกบสทธและหนาทในเรองการประมวลผลขอมล (Data Processing Agreement หรอ “DPA”) นนมกจะถกผนวกรวมเขาเปนสวนหนงของสญญาการใหบรการ เชน Customer Agreement หรอสญญาทกอตงนตสมพนธระหวางผใหบรการกบผใชบรการในชออนๆ ยกตวอยางเชน หากบคคลคนหนงมความประสงคทจะใหผประมวลผลขอมล เชน Salesforce หรอ AWS ใหบรการประมวลผลขอมล บคคลดงกลาวสามารถท าสญญาเพอกอตงสถานะผใชบรการและผใหบรการตลอดจนก าหนดขอบเขตของการบรการไดกบ Salesforce หรอ AWS ได ดงสามารถแสดงตวอยางไดตามแผนภาพดานลางน

การเขาเปนคสญญาตาม Master Subscription Agreement และ AWS Customer Agreement จะท าใหผใชบรการเกดนตสมพนธขนกบ Salesforce และ AWS ขนตามล าดบ สญญาดงกลาวจะก าหนดสทธและหนาทระหวางคสญญา เชน ประเดนเรองขอบเขตของการใหบรการ โดย

SaaS

Hosting for Webs and

Apps

PaaS

Developing Tools

OS

IaaS

StorageNetwork Security

Information Center

(Physical)

ProcessorsService AgreementsController

You

Master Subscription Agreement

Salesforce

Customer Agreement

AWS


ในกรณของ Master Subscription Agreement มการก าหนดนยามของ “บรการ (services)” ทงทมการคดคาตอบแทนและไมคดคาตอบแทน 29 สวน AWS Customer Agreement กไดมการกลาวถงการใชสงทถกเสนอเพอใหบรการ (Use of Service Offerings) 30 นอกจากน จะมการก าหนดสทธหนาทอน ๆ เชน หนาทในการช าระคาบรการ 31 สทธในทางทรพยสน (Proprietary Rights) 32 และกา รยก เล ก สญญา (Termination) 33 เ ป นต น อย า ง ไ ร ก ต าม ท ง Master Subscription Agreement และ AWS Customer Agreement นนไมไดก าหนดรายละเอยดเกยวการประมวลผลขอมลสวนบคคลเอาไว

เพอปฏบตหนาทเกยวกบการประมวลผลขอมลสวนบคคลตามทก าหนดตามนโยบายคมครองขอมลสวนบคคลซงโดยหลกแลวทง Salesforce และ AWS ตางกไดก าหนดตามมาตรฐาน GDPR ไวใน “ภาคผนวกของสญญาวาดวยการประมวลขอมล” (Data Processing Addendum) ขนโดยใหภาคผนวกดงกลาวเปนสวนเสรมหรอถอเปนสวนหนงของสญญาหลก เชน Master Subscription Agreement 34 และ AWS Customer Agreement 35 โดยภาคผนวกดงกลาวจะมเนอหาเฉพาะเรองเกยวกบการประมวลผลขอมลโดยเฉพาะ เชน การก าหนดหนาทในการประมวลขอมลเฉพาะตามค าสงของผใชบรการเทานน (ก าหนดสถานะการเปนผควบคมขอมลและประมวลผลขอมลขน) หนาทในการรกษาความลบของขอมลสวนบคคล และ หนาทในรกษาความปลอดภยของขอมลสวนบคคล เปนตน ซงสามารถอธบายไดตามแผนภาพดานลางน

29 Salesforce Master Subscription Agreement (2018), Clauses 1. 30 AWS Customer Agreement (2018), Clause 1. 31 Salesforce Master Subscription Agreement (2018), Clauses 6 และ AWS Customer Agreement (2018), Clause 5. 32 Salesforce Master Subscription Agreement (2018), Clauses 7 และ AWS Customer Agreement (2018), Clause 8. 33 Salesforce Master Subscription Agreement (2018), Clauses 12 และ AWS Customer Agreement (2018), Clause 7. 34 Salesforce Master Subscription Agreement ก าหนดวา “This Data Processing Addendum, including its Schedules and Appendices, (“DPA”) forms part of the Master Subscription Agreement...” 35 AWS Customer Agreement (2018) ก า ห น ด ว า “This Data Processing Addendum (“DPA”) supplements the AWS Customer Agreement...”


ส าหรบประเดนวาภาคผนวกนนจะถกปรบใชเมอใดนน ตวอยางของ AWS GDPR Data Processing Addendum นนไดสรางความชดเจนขนโดยก าหนดเอาไวอยางชดเจนวาภาคผนวกของสญญาฉบบนจะมผลใชเฉพาะเมอการใชบรการของลกคาเพอประมวลผลขอมลนนตกอยในบงคบของ GDPR 36

ดงนนการทบคคลผซงสามารถตดสนใจไดวาจะใหมการด าเนนการอยางไรกบขอมลสวนบคคล (“ผควบคมขอมล”) ก าหนดใหบคคลอกคนหนงท าการ เชน เกบรวบรวม และวเคราะหขอมลสวนบคคล (“ผประมวลผลขอมล”) อาจเกดขนในรปแบบของสญญาวาจางใหท าการประมวลผลขอมลโดยเฉพาะ (ในรปของสญญาจางท าของตามประมวลกฎหมายแพงและพาณชย) 37 หรออาจท าขนในรปของภาคผนวกทายสญญาจางดงกลาว (Data Processing Addendum) กได ดงนน ในการกอนตสมพนธขางตนจ าเปนทจะตองมการกลาวถงคกรณหรอคสญญา/ขอตกลงใหประมวลผลขอมลกอนซงสามารถยกตวอยางไดเชน

36 AWS GDPR Data Processing Agreement ก า ห น ดว า “ This Data Processing Addendum (“DPA”) supplements the AWS Customer Agreement available at http://aws.amazon.com/agreement, as updated from time to time between Customer and AWS, or other agreement between Customer and AWS governing Customer’s use of the Service Offerings (the “Agreement”) when the GDPR applies to your use of the AWS Services to process Customer Data. …” 37 มาตรา 587 บญญตวา อนวาจางท าของนน คอสญญาซงบคคลคนหนง เรยกวาผรบจาง ตกลงจะท าการงานสงใดสงหนงจนส าเรจใหแกบคคลอกคนหนง เรยกวาผวาจาง และผวาจางตกลงจะใหสนจางเพอผลส าเรจแหงการทท านน

ProcessorsData

Processing Addendum

Service Agreements

Controller

You

Master Subscription Agreement

Data Processing Addendum

Salesforce

Customer Agreement

GDPR Data Processing Addendum

AWS


สญญา/ขอตกลงใหประมวลผลขอมลฉบบนท าขน ณ วนท [..] เดอน [..] พ.ศ. [..] ระหวาง

(1) [บรษท] ซงจดทะเบยนจดตงขนตามกฎหมายของประเทศไทย และมส านกงานตงอยท [..] โดยมเลขทะเบยนนตบคคลคอ [..] (ซงตอไปนจะเรยกวา “ผใหบรการ/ผประมวลผลขอมล”)

(2) [บรษท] ซงจดทะเบยนจดตงขนตามกฎหมายของประเทศไทย และมส านกงานตงอยท [..] โดยมเลขทะเบยนนตบคคลคอ [..] (ซงตอไปนจะเรยกวา “ผรบบรการ/ผควบคมขอมล”)

ในสญญาฉบบน ค าวา “คสญญาฝายหนง” หมายถง ผประมวลผลขอมล หรอ ผควบคมขอมลเพยงฝายหนงฝายใด หากเปนกรณทหมายถงคสญญาทงสองฝายจะใชค าวา “คสญญา”

เนอหาสวนตอมาของสญญาอาจมการกลาวถงอารมภบท (Recital) เพอบรรยายถง

วตถประสงคของสญญา/ขอตกลง ซงเปนการบรรยายถงขอมลเบองตนส าหรบการตความสญญา หรอการกลาวรบรองคณสมบต หรอความเขาใจของคสญญาได 38 ซงมตวอยางดงตอไปน

โดยท (1) ผใหบรการเปนผใหบรการประมวลขอมลซงมมาตรการคมครองขอมลสวนบคคลท ม

ความเหมาะสม และเปนผด าเนนการเกยวกบการเกบรวบรวม ใช หรอเปดเผยขอมลสวนบคคลตามค าสงของผควบคมขอมลสวนบคคลโดยไมไดเปนผควบคมขอมลสวนบคคล

(2) ผใชบรการมความประสงคทจะใหผประมวลผลขอมลใหบรการเกยวกบ [..] ซงมสวนทเกยวของกบขอมลสวนบคคล โดยเปนผมอ านาจหนาทตดสนใจเกยวกบการเกบรวบรวม ใช หรอเปดเผยขอมลสวนบคคล

ดวยเหตน คสญญาจงไดท าสญญาซงก าหนดสทธและหนาทไวมขอความดงตอไปน

กรณมขอสงเกตเพมเตมวาการกลาวรบรองคณสมบตของคสญญา เชน การกลาวรบรองวาตนเปนผมประสบการณและสามารถจดหามาตรการทเหมาะสมในการคมครองความปลอดภยของขอมลไดนน เปนเรองทผกลาวจะตองระมดระวงวาตนเปนผมคณสมบตตามค ารบรองจรง มฉะนนอาจท าใหสญญาตกเปนโมฆยะเพราะการแสดงความเทจ (กลฉอฉล) ได 39

38 อธก อศวานนท. เจรจาและรางสญญาธรกจ (กรงเทพฯ: ส านกพมพวญญชน 2552) หนา 61-62. 39 ประมวลกฎหมายแพงและพาณชย มาตรา 159 วรรคหนง


นอกจากน เพอความสะดวกในการกลาวถงถอยค าทอาจมนยามเฉพาะหรอทตองการความชดเจน คกรณอาจก าหนดใหมขอสญญาทก าหนดนยามของค าศพททจะใชในสญญาหรอขอตกลงใหประมวลผลขอมลสวนบคคลได เชน

ตวอยางค านยาม หากไมไดมการก าหนดไวเปนอยางอนในสญญาฉบบน ใหถอยค าในสญญาฉบบนมความหมายดงตอไปน

“สญญา” หมายถง สญญาใหประมวลผลขอมลและเอกสารแนบทาย “ขอมลทเปนความลบ” หมายถง ขอมลอยางใดอยางหนงหรอทงหมดทเกยวกบการใหบรการ

ซงบรษทฯไดจดหาหรอเปดเผยใหผรบขอมลไดทราบ โดยเปนขอมลทบรษทฯ เปนเจาของหรอมสทธครอบครองโดยชอบดวยกฎหมาย

“บรการ” หมายถง การใหบรการ [..] ซงรวมถงการประมวลผลขอมลอกดวย ทงน ตามรายละเอยดทก าหนดในเอกสารแนบทายสญญาหมายเลข [..]

“เจาของขอมล” หมายถง บคคลธรรมดาซงเปนเจาของขอมลสวนบคคล และใหหมายรวมถง ผใชอ านาจปกครองทมอ านาจกระท าการแทนผเยาว ผอนบาลทมอ านาจกระท าการแทนคนไรความสามารถ หรอ ผพทกษทมอ านาจกระท าการแทนคนเสมอนไรความสามารถ

“ขอมลสวนบคคล” หมายถง ขอมลเกยวกบบคคลซงท าใหสามารถระบตวบคคลนนไดไมวาทางตรงหรอทางออม แตไมรวมถงการระบเฉพาะชอ ต าแหนง สถานทท างาน หรอ ทอยทางธรกจ และขอมลของผถงแกกรรมโดยเฉพาะ

“การประมวลผลขอมล” หมายถง การปฏบตการหรอสวนหนงชองการปฏบตการซงไดกระท าตอขอมลสวนบคคลไมวาโดยวธการอตโนมตหรอไม เชน การเกบรวบรวม การบนทก การจดระเบยบ การจดโครงสราง การจดเกบ การดดแปลง ปรบเปลยน การกคน การใหค าปรกษา การใช การเปดเผยโดยการสง การแพรกระจาย หรอท าใหมอย การจดวางใหถกต าแหนงหรอการรวม การจ ากด การลบ และการท าลาย 40

ในล าดบถดไป คกรณอาจก าหนดถงสทธหนาทในสวนทเกยวกบการประมวลผลขอมล

โดยเฉพาะ ซงหากคกรณประสงคทจะท าใหความตกลงเกยวกบการประมวลผลขอมลสวนบคคลม

40 GDPR, Article 4.


เนอหาหรอมมาตรฐานทสอดคลองกบกฎหมายของสหภาพยโรปวาดวยการคมครองขอมลสวนบคคล (General Data Protection Regulation (GDPR)) การก าหนดสทธและหนาทกจะตองสะทอนเงอนไขในการประมวลผลขอมลสวนบคคลตามท GDPR ก าหนดโดยเฉพาะอยางยงตามมาตรา 28 ของ GDPR ซงใหความส าคญกบประเดนตาง ๆ ดงตอไปน

- การประมวลผลขอมลสวนบคคลนนจะตองเปนกรณทมค าสงเปนเอกสารจากผควบคมขอมลแลวเทานน โดยพจารณาถงขอก าหนดตามกฎหมายทเกยวของ

- การท าใหแนใจวาบคคลผท าการประมวลผลขอมลสวนบคคล (เชน บคลากรหรอบรษทในเครอของ ผประมวลผลขอมล) นนมหนาท (ทสามารถบงคบไดตามกฎหมาย) ในการรกษาความลบของขอมลสวนบคคลทถกประมวลผล

- หนาทในการรกษาความปลอดภยของขอมลสวนบคคล เชน มาตรการทงในเชงองคกรและเชงเทคนคทมความเหมาะสม

- การลบและสงคนขอมลสวนบคคล - การสนบสนนใหผควบคมขอมลสามารถปฏบตตามหนาททกฎหมายก าหนดเกยวกบการ

ควบคมขอมลสวนบคคลได และ - การใหผควบคมขอมลไดรบขอมลใด ๆ ทแสดงถงการปฏบตตามหนาททกฎหมาย เปน

ตน ซงสามารถยกตวอยางตามประเภทของการประมวลผลขอมลแบบ Cloud Computing ได

ตามตวอยางดงตอไปน


ตวอยางขอตกลงใหประมวลผลขอมล (Data Processing Agreement) 41

1. ขอบเขตการบงคบใช ขอตกลงใหประมวลผลขอมลนใชบงคบกบการประมวลผลขอมลสวนบคคลของผใชบรการ โดยขอตกลงนถอเปนสวนหนงของสญญาการใหบรการ 2. ความสมพนธระหวางคสญญา 2.1 ผใชบรการ ผใชบรการจะอยในฐานะผควบคมขอมลตลอดระยะเวลาของสญญาใหบรการ โดยผใชบรการในฐานะผควบคมขอมลมหนาทตองปฏบตตามกฎหมายเกยวกบการควบคมขอมลทมผลใชบงคบกบกรณ 2.2 ผใหบรการ ผใหบรการจะอยในฐานะของผประมวลขอมลตลอดระยะเวลาของสญญาใหบรการ โดยผใหบรการในฐานะผควบคมขอมลมหนาทตองปฏบตตามกฎหมายเกยวกบการประมวลผลขอมลทมผลใชบงคบกบกรณ 3. ประเภทของขอมลสวนบคคล ผใชบรการตระหนกและยอมรบวาการใชบรการแพลตฟอรมตามสญญาใหบรการถอเปนการสงใหผใหบรการอาจท าการประมวลขอมลสวนบคคลดงตอไปนไมวาทงหมดหรอเพยงบางสวน

- ขอมลส าหรบการตดตอ (contact information) เชน ทอย เบอรโทรศพทบานหรอมอถอ อเมล หรอรหสตาง ๆ - ขอมลทเกยวกบครอบครว เชน วถชวต อาย วนเกด สถานภาพ จ านวนบตร - ขอมลเกยวกบการจางงาน เชน ชอของนายจาง ต าแหนง หนาท ประวตการท างาน

เงนเดอน และ - ขอมลทางเงน เปนตน

41 ปรบปรงมาจากตวอยางของ Salesforce, AWS, Microsoft Azure และ Oracle


4. หนาทในการประมวลขอมล 4.1 ค าสงใหประมวลผลขอมล

ผใหบรการจะท าการประมวลผลขอมลสวนบคคลเมอไดรบค าสงทเปนลายลกษณอกษรจากผใชบรการแลวเทานน 4.2 ค าสงใหประมวลผลขอมลเพมเตม ผใชบรการอาจสงใหผใหบรการประมวลผลขอมลเพมเตมไดภายใตขอบเขตทกฎหมายก าหนด โดยผใหบรการจะท าการประมวลขอมลดงกลาวโดยพลน ทงน จะตองเปนกรณมความจ าเปนเพอใหบรการ หรอเปนการชวยใหผใชบรการสามารถปฏบตหนาทตามทกฎหมายก าหนดได 4.3 การออกค าสงใหประมวลผลขอมลโดยมชอบ ในกรณทผใหบรการพจารณาแลวเหนวา การออกค าสงตามขอ 4.1 และ 4.2 นนเปนการออกค าสงทละเมดตอกฎหมาย ผใหบรการจะท าการแจงผใชบรการโดยพลน แตทงน ผใชบรการตระหนกและยอมรบวาผใหบรการนนไมไดมหนาทใหค าปรกษาทางกฎหมายใด ๆ แกผใชบรการ 5. สทธของเจาของขอมล

5.1 การเขาถงขอมล ผใหบรการจะสนบสนนใหผใชบรการสามารถเขาถงขอมลสวนบคคลของเจาของขอมลได

ทงน เพอใหผใชบรการสามารถตอบสนองตอค ารองขอขอมลของเจาของขอมลซงอาจมสทธทจะเรยกด แกไข หรอลบขอมลสวนบคคลของตนไดตามกฎหมาย

5.2 การรองขอโดยเจาของขอมล ในกรณทผใหบรการไดรบค ารองขอจากเจาของขอมลซงไดระบวาผใชบรการนนเปนผ

ควบคมขอมล ผใหบรการจะท าการสงค ารองขอนนตอไปยงผใชบรการ โดยจะไมท าการตอบสนองตอค ารองดงกลาว 6. การถายโอนขอมลสวนบคคล 6.1 สถานทเกบรกษาขอมล ภายในบงคบของขอ 6.2 ขอมลสวนบคคลทเกยวของกบการใหบรการของผใหบรการจะถกเกบรกษาในภมภาคทก าหนดไวในสญญาหรอทผใชบรการไดก าหนด โดยผใหบรการจะไมท าการโอนถายขอมลสวนบคคลไปยงภมภาคอนเวนแตจะไดรบค าอนญาตเปนลายลกษณอกษรจากผใชบรการ


6.2 ขอยกเวนเรองการโอนถายขอมล อยางไรกตาม ในกรณมความจ าเปนเพอใหบรการและเปนกรณทไดรบค าสงใหประมวลผลขอมลสวนบคคลจากผใชบรการแลว ผใหบรการสามารถเขาถงและประมวลผลขอมลสวนบคคลจากพนทหรอต าแหนงนอกภมภาคทก าหนดในขอ 6.1 ได 7. หนาทของบรษทในเครอและผประมวลผลขอมลชวง 7.1 การตงผประมวลผลขอมลชวง

ภายใตบงคบของสทธและหนาททก าหนดในขอตกลงน ถอวาผใชบรการไดใหค าอนญาตแกผใหบรการในการใหบคคลภายนอก (ผประมวลผลขอมลชวง) ใหมสวนชวยหรอสนบสนนในการใหบรการตามสญญา

7.2 หนาทของบรษทในเครอและผประมวลผลขอมลชวง บรษทในเครอของผใหบรการและผประมวลผลขอมลชวงทผใหบรการก าหนดใหเขามาม

สวนรวมในการใหบรการจะตองมการท าความตกลงเพอก าหนดหนาทในการคมครองและรกษาความปลอดภยของขอมลสวนบคคลในระดบเดยวกบหนาทของผใหบรการตามขอตกลงน

ทงน ผใหบรการยงคงมหนาทรบผดชอบใหบรษทในเครอและผประมวลผลขอมลชวงดงกลาวปฏบตหนาทตามทขอตกลงไดก าหนดขน ตลอดจนตามทกฎหมายทบงคบกบกรณก าหนด

8. มาตรการคมครองความปลอดภยของขอมล 8.1 มาตรการรกษาความปลอดภย

ผใหบรการมหนาทจะตองจดใหมและธ ารงรกษาไวซงมาตรการรกษาความปลอดภยส าหรบการประมวลผลขอมลทมความเหมาะสมทงในเชงองคกรและเชงเทคนค มาตรการขางตนจะตองค านงถงลกษณะ ขอบเขต และวตถประสงคของการประมวลผลขอมลตามทก าหนดในสญญา โดยมวตถประสงคเพอคมครองขอมลสวนบคคลจากความเสยงอนเกยวเนองกบการประมวลผลขอมลสวนบคคล เชน ความเสยงอนเกดจากอบตเหต การท าลาย การสญหาย การเปลยนแปลง การเปดเผย การโอน การเกบขอมลสวนบคคลโดยไมชอบดวยกฎหมาย

8.2 การรกษาความลบของขอมล ผใหบรการ บรษทในเครอและผประมวลผลชวงตามขอ 7. มหนาทท าการประมวลผล

ขอมลสวนบคคลภายใตขอตกลงเรองการรกษาความลบทเปนลายลกษณอกษร


9. การแจงเตอนหากเกดปญหาดานความปลอดภย 9.1 กรณมการละเมดตอมาตรการรกษาความปลอดภย ผใหบรการมหนาทท าการประเมนและตอบสนองตอการกระท าใด ๆ ซงอาจมลกษณะเปนการเขาถงหรอประมวลผลขอมลสวนบคคลโดยไมชอบดวยกฎหมาย ทงน บคคลากรของผใหบรการตลอดจนบรษทในเครอของผใหบรการถกก าหนดใหมหนาททจะตอบสนองตอเหตการณขางตน 9.2 กระบวนการแจงเตอน ในกรณทผใหบรการตะหนกไดวามการกระท าอนเปนการละเมดตอความปลอดภยซงกอใหเกดความเสยงอนเกดจากอบตเหต การท าลาย การสญหาย การเปลยนแปลง การเปดเผย การโอน การเกบขอมลสวนบคคล โดยไมชอบดวยกฎหมาย ผใหบรการจะท าการแจงตอผใชบรการโดยไมชกชา ทงนภายในระยะเวลา 24 ชวโมง 9.3 การด าเนนการ ผใหบรการจะใชมาตรการตามทเหนสมควรในการระบถงสาเหตของการละเมด และปองกนปญหาดงกลาวมใหเกดซ า และจะใหขอมลแกผใชบรการภายใตขอบเขตทกฎหมายก าหนดดงตอไปน

- รายละเอยดของลกษณะและผลทอาจเกดขนของการละเมด - มาตรการทถกใชเพอลดกระทบของการละเมด - ประเภทของขอมลสวนบคคลและเจาของขอมลทถกละเมด (หากเปนไปได) และ - ขอมลอน ๆ ทเกยวของกบการละเมด


D3. แนวปฏบตเกยวกบการจดการค ารองขอของเจาของขอมล

แนวปฏบตเกยวกบการจดการค ารองขอของเจาของขอมลนนเพอใหผควบคมขอมลหรอผ

ประมวลผลขอมลสามารถด าเนนการเพอใหเปนไปตามสทธของเจาของขอมลตามกฎหมายไดอยางเหมาะสม

หนาทของผควบคมขอมลเมอเจาของขอมลรองขอ

(Data Subject Request to the Controller)

D3.1 ขนตอนส าหรบการปฏบตหนาทของผควบคมขอมลเมอเจาของขอมลรองขอ สามารถสรป

พอสงเขปไดดงน

ไดรบค ารองขอของเจาของขอมล

ตรวจสอบตวตนของผยนค ารองขอ

พจารณาความถกตองของค าขอ

พจารณาด าเนนการตามสทธทรองขอ

แจงผลการพจารณาด าเนนการตามสทธทรองขอ

รวบรวมขอมลทไดรบการรองขอใหชแจง

ด าเนนการตามสทธทรองขอ


D3.2 โดยในแตละขนตอนส าหรบการด าเนนการตามค าขอของเจาของขอมล สามารถอธบายรายละเอยดไดดงตอไปน

ขนตอน ค าอธบาย ระยะเวลา บคคลทเกยวของ


• เจาของขอมลยนค ารองขอตอทาน - กา รย น ค า ขอด ง กล า ว ในร ปแบบต า งๆ เ ช น

อเลกทรอนกส (อเมล หรอ เวบไซต) วาจา (โทรศพท หรอ ตอหนาบคคล) ลายลกษณอกษร

- ทานอาจพจารณาจดท าแบบฟอรมค ารองขอเปนลายลกษณอกษร และแจงใหแกเจาของขอมลทราบในเอกสารขอความยนยอม หรอเอกสารแจงการประมวลผลขอมล (ถาม) ใหตดตอและยนค ารองขอใหแกทานตามรปแบบทก าหนดไวเพอใหงายตอการด าเนนการตามสทธทรองขอ และการจดท าระบบส าหรบบนทกขอมลเกยวกบการรองขอตอไป

• บคลากรหรอฝายทไดรบค ารองขอดงกลาว จะตองด าเนนการสงเรองตอใหแกฝายบรหารจดการขอมล/ฝายทรบผดชอบของทานเพอด าเนนการขนตอนตอไปทนท

• ทานจะตองจดใหมระบบบนทกรายการเกยวกบค ารองขอ เชน วนทไดรบ ผขอ ผรบเรอง เปนตน โดยอาจพจารณาจดท าระบบการบนทกรายการเกยวกบค ารองขอ ในรปแบบ (1) บนทกใหอยในไฟลเดยวกบตวขอมลทเจาของขอมล

รองขอ (2) จดท าเปนเอกสารหรอระบบการบนทกแยกจากขอมล

ทเจาของขอมลรองขอ โดยอาจท าเปนลกษณะตารางทมรายละเอยดอยางนอย คอ เรอง วนทไดรบเรอง ผขอ ผรบเรอง ความคบหนาในการด าเนนการ เปนตน

• นอกจากน ทานอาจจดใหมบคลากรผรบผดชอบส าหรบการตดตามความคบหนาของการด าเนนการตามค ารองขอ เพอมใหเกดการตกหลนในการด าเนนการตามค ารองขอ

ภายใน 1 เดอน

นบแตวนทไดรบค ารองขอ

ฝายบรหารจดการขอมล/

ฝายทรบผดชอบ

พนกงานทกราย

ฝายบรหาร

จดการขอมล/ฝายท

รบผดชอบ



ตรวจสอบตวตนของผยนค ารองขอ

• ทานจะตองตรวจสอบตวตนของผยนค ารอง โดยในกรณทเปนเจาของขอมลยนค ารองขอดวยตนเอง กใหพจารณาเอกสารทเกยวของเพอระบตวตนวาเปนเจาของขอมลทแทจรง

• ในกรณทผยนค ารองขอเปนบคคลอน ทานจะตองพจารณาตอไปวาบคคลดงกลาวเปนบคคลทมอ านาจในการด าเนนการแทนเจาของขอมลหรอไม อาท หนงสอมอบอ านาจ (กรณมอบอ านาจ) หรอผปกครอง (ในกรณเจาของขอมลเปนเดก) หรอผอนบาล ผพทกษ (ในกรณเจาของขอมลเปนคนไรความสามารถหรอเสมอนไรความสามารถ)

• หากทานมความจ าเปนใหผยนค ารองขอหรอเจาของขอมลจดเตรยมขอมลเพมเตมเพอพจารณายนยนตวตน ทานจะตองแจงใหแกบคคลดงกลาวทราบโดยไมชกชา

• เมอทานไดด าเนนการตรวจสอบตวตนเรยบรอยแลว ทานอาจพจารณาเกบขอมลเทาทจ าเปนเกยวกบการพจารณายนยนตวตน เชน log ในการขอใชสทธ วน เวลา รปแบบค าขอ ผลส าเรจในการตรวจสอบตวตน เพอเปนหลกฐานไวพสจนความนาเชอถอ และมาตรการในการตรวจสอบตวตนของทาน หากเกดกรณมการฟองรองคดในอนาคต





พจารณาความถกตองของค าขอ

• โดยหลกแลว เมอเจาของขอมลรองขอใหทานด าเนนการประการใดตามสทธท เจาของขอมลม ทานจะตองด าเนนการตามค ารองขอนน โดยไมคดคาใชจาย อยางไรกด ทานอาจปฏเสธการด าเนนการตามสทธหรอคดคาใชจายเพมเตมไดหากเปนไปตามเหตแหงการปฏเสธทก าหนดไวตามกฎหมาย

• ทานตองพจารณาวาค ารองขอดงกลาวถกตอง สมบรณจะเปนค ารองขอทมอาศยสทธตามทกฎหมายรบรองหรอไม และมข อยกเวนในการปฏ เสธ อาท ค าขอน น ไม







สมเหตสมผล (unfounded) 42 หรอฟมเฟอยเกนความจ า เปน (excessive) 43 อยางชดแจ ง หรอ เหตอนๆ หรอไม (โปรดดตารางเปรยบเทยบเหตแหงการปฏเสธการด าเนนการตามค ารองของเจาของขอมล)

• หากเปนไปตามเงอนไขแหงการปฏเสธขางตน ทานมสทธทจะปฏเสธไมด าเนนการตามค ารองขอหรอคดคาใชจายตามสมควร (reasonable fee) ส าหรบการด าเนนการดงกลาวได

• ในกรณทมการปฏเสธไมด าเนนการตามค ารองขอนนทานจะตองแจงใหเจาของขอมลทราบถงเหตผลแหงการปฏเสธ สทธในการรองทกขตอหนวยงานก ากบดแล และสทธในการเรยกรองคาสนไหมทดแทนทางศาล ( judicial remedy) ใหแกเจาของขอมลทราบ ดวย

• ในกรณทท านประสงคจะคดคาใชจายส าหรบการด าเนนการตามค ารองขอนน ทานจะตองแจงใหเจาของขอมลทราบโดยไมชกชา และทานมสทธยงไมด าเนนการตามค ารองขอจนกวาจะไดรบช าระเงนคาใชจายดงกลาว

พจารณาด าเนนการตามสทธทรองขอ

• เมอพจารณาแลวค ารองขอนนเข าเกณฑท จะตองด าเนนการนน ทานอาจพจารณาการด าเนนการตามสทธในประเดน ดงน (1) คาใชจายส าหรบการด าเนนการตามค ารองขอ (2) ระยะเวลาส าหรบการด าเนนการ (3) บคคลทเกยวของส าหรบการด าเนนการตามค ารอง

ขอ





แจงผลการพจารณา

• ในกรณทมการปฏเสธ การก าหนดเงอนไขเพมเตม เชน การคดคาใชจายเพมเตมกบเจาของขอมล หรอเกดความ

โดยไมชกชา แตไมเกน 1


42 ค าขอไมสมเหตสมผล (unfounded) ตองเปนค าขอทไมสมเหตสมผลต งแตแรกทมการรองขอ โดยความไมสมเหตสมผลนนอาจเกดขนในกรณทเจาของขอมลรองขอใหลบขอมล ซงผควบคมขอมลไมไดมหรอจดเกบหรอประมวลผลขอมลชดดงกลาว 43 ค าขอฟมเฟอย (excessive) เปนค าขอทมลกษณะเปนการรองขอซ าๆ ในเรองเดยวกน ( repetitive character) หลายครงโดยไมมเหตอนสมควร




ลาชาในการด าเนนการตามค ารองขอ ทานจะตองแจงใหเจาของขอมลทราบถงเหตผลสนบสนนของการนน โดยจะตองระบถงสทธของเจาของขอมลในการรองทกขตอหนวยงานก ากบดแลทเกยวของตอไปได และสทธในการเรยกรองคาสนไหมทดแทนทางศาล (judicial remedy) ดวย

เดอนนบแตวนทไดรบค า

รองขอ


รวบรวมขอมลทไดรบการรองขอใหชแจง

• เมอพจารณาแลวทานเหนวาจะตองด าเนนการตามค ารองขอแลว ทานจะตองตดตอกบฝายทเกยวของเพอรวบรวมขอมลตางๆ ทเกยวของเพอแจงและด าเนนการตามค ารองขอของเจาของขอมล




ฝายทรบผดชอบ/

ฝายทเกยวของกบการเกบรกษาขอมล


• ด าเนนการตามสทธทรองขอ ตามรายละเอยดในหวขอ D3.5 – D3.14

• กรณนอาจขยายระยะเวลาในการด าเนนการไดไมเกน 2 เดอน หากมเหตผลเปนกรณมความซบซอน หรอ ปรมาณของค ารองขอมจ านวนมาก




ฝายทรบผดชอบ/

ฝายทเกยวของกบการจดเกบรกษาขอมล


D3.3 สทธของเจาของขอมลทไดรบการรบรองตามแนวปฏบตน ไดแก 44 (1) สทธในการเพกถอนความยนยอม (right to withdraw consent) (2) สทธการไดรบแจงขอมล (right to be informed) (3) สทธในการเขาถงขอมลสวนบคคล (right of access) (4) สทธในการแกไขขอมลสวนบคคลใหถกตอง (right to rectification) (5) สทธในการลบขอมลสวนบคคล (right to erasure) (6) สทธ ในการห ามม ใหประมวลผลขอมลส วนบคค ล ( right to restriction of

processing) (7) สทธในการใหโอนยายขอมลสวนบคคล (right to data portability) (8) สทธในการคดคานการประมวลผลขอมลสวนบคคล (right to object) (9) สทธในการไมตกอยภายใตการตดสนใจอตโนมตเพยงอยางเดยว (right not to be

subject to automated individual decision-making, including profiling) D3.4 นอกจากสทธในการไดรบแจงขอมล (right to be informed) ซงผควบคมขอมลจะตอง

ด าเนนการโดยไมตองมการรองขอแลว ผควบคมขอมลยงมหนาทจะตองด าเนนการตามสทธอนๆขางตนเมอเจาของขอมลรองขอ (Data Subject’s Request) การจดการการรองขอของเจาของขอมลในสวนนจงครอบคลมสทธ 8 ประการ มรายละเอยดและแนวทางในการปฏบตตามค ารองขอตามสทธตางๆ พอสงเขปดงน

D3.5 หนาทในการหยดการด าเนนการประมวลผลขอมลสวนบคคลเมอเจาของขอมลเพกถอน

ความยนยอม (1) [เงอนไข] เมอเจาของขอมลเพกถอนความยนยอมในการประมวลผลขอมลแลว ทาน

จะตองหยดประมวลผลขอมลดงกลาว เวนแต กรณมเหตใหการด าเนนการประมวลผลไมจ าเปนตองขอความยนยอมจากเจาของขอมล (ดแนวปฏบตเกยวกบฐานในการประมวลผลขอมลสวนบคคล) เชน การประมวลผลอนเนองมาจากการปฏบตตาม

44 สทธในการไมตกอยภายใตการตดสนใจอตโนมตเพยงอยางเดยว (right not to be subject to automated individual decision-making, including profiling) สทธทไดรบการรบรองตาม GDPR เทานน แตยงมไดรบรองไวในรางพระราชบญญตคมครองขอมลสวนบคคล พ.ศ. .... (ฉบบรบฟงความคดเหนวนท 11 กนยายน พ.ศ.2561)


สญญาระหวางทานและเจาของขอมล หรอกรณการประมวลผลเพอปกปองสทธในชวตของเจาของขอมล เปนตน

(2) [การปฏบตตามสทธ] การเพกถอนความยนยอมนนอาจท าในรปแบบใดกได ซงตองสามารถกระท าไดดวยขนตอนทไมยากไปกวาการใหความยนยอม อาท การเพกถอนความยนยอมทางอเลกทรอนกส เปนตน ทงน ความยนยอมทมลกษณะเปนลายลกษณอกษรควรก าหนดใหการเพกถอนมลกษณะเปนลายลกษณอกษรเชนกน เพอใหมหลกฐานทชดเจน

(3) [กรณเจาของขอมลเปนผเยาว] ในกรณทเจาของขอมลเปนผเยาวซงมอายต ากวา 20 ป การเพกถอนความยนยอมจะตองไดรบความยนยอมจากผปกครอง ผแทนโดยชอบธรรม หรอบคคลทมอ านาจตามกฎหมาย 45

(4) [การด าเนนการเมอเพกถอนความยนยอมแลว] เมอเจาของขอมลไดเพกถอนความยนยอมแลว หากทานไมมความจ าเปนหรอไมมฐานโดยชอบดวยกฎหมายอนๆ ทจะประมวลผลขอมลสวนบคคลดงกลาวอกตอไป ทานจะตองด าเนนการลบขอมลสวนบคคลนนออกจากระบบการจดเกบขอมลของทานทงหมด ทงน เนองจากการประมวลผลโดยนยามแลวรวมถงการจดเกบขอมลดวย

D3.6 หนาทในการใหเจาของขอมลเขาถงขอมลสวนบคคลทอยในครอบครองของทาน

(1) [การปฏบตตามสทธ] เมอทานไดรบค ารองขอจากเจาของขอมลเพอขอเขาถงขอมลสวนบคคลของตนทอยในความครอบครองของทาน ทานจะตองจดเตรยมขอมลทเกยวของขอมลสวนบคคลและการประมวลผลขอมล กลาวคอ (2.1) ค ารบรองวาทานไดประมวลผลขอมลสวนบคคลนน (2.2) ส าเนาของขอมลสวนบคคลดงกลาวใหแกเจาของขอมล และ (2.3) ขอมลประกอบทเกยวของ ดงตอไปน

- วตถประสงคในการประมวลผลขอมล - ประเภทของขอมลสวนบคคล

45 ตามมาตรา 20 แหงรางพระราชบญญตคมครองขอมลสวนบคคล พ.ศ. .... (ฉบบรบฟงความคดเหนวนท 11 กนยายน พ.ศ.2561) ไดก าหนดเงอนไขการใหความยนยอมและการเพกถอนความยนยอมของผเยาว ซงผเยาวหมายความถงผเยาวตามประมวลกฎหมายแพงและพาณชย (อายครบ 20 ปบรบรณ หรอ จดทะเบยนสมรสกนกอนอาย 20 ป)


- ผรบขอมลหรอประเภทของผรบขอมลสวนบคคลทไดรบหรอจะไดรบขอมลโดยเฉพาะอยางยง ผรบขอมลทอยในประเทศทสามหรอองคการระหวางประเทศ

- ระยะเวลาทจะจดเกบขอมลสวนบคคล หรอ เกณฑในการก าหนดระยะเวลาจดเกบขอมล

- สทธในการแกไขขอมล ลบขอมล หามหรอคดคานมใหประมวลผลขอมลสวนบคคล

- สทธในการยนค ารองทกขตอหนวยงานก ากบดแล - แหลงทมาของขอมลสวนบคคล (กรณไดรบมาจากแหลงอน) - รายละเอยดทเกยวของกบการตดสนใจอตโนมต และโปรไฟลง (profiling)

รวมถง ตรรกะเหตผลทใช และผลทคาดวาจะเกดขนจากการประมวลผลดวยวธการดงกลาว

ทงน ขอมลขางตนทจะตองสงใหแกเจาของขอมลควรเปนขอมลทมอยในขณะทสงขอมลใหแกเจาของขอมล (แมวาจะมการแกไขขอมลในระหวางทไดรบค ารองขอกบการด าเนนการแจงขอมลตามค ารองขอกตาม)

(2) [เหตแหงการปฏเสธ] การขอเขาถงขอมลของเจาของขอมลในลกษณะการขอส าเนาเอกสารขอมลสวนบคคลนน อาจถกปฏเสธ หากการด าเนนการดงกลาวกระทบในดานลบตอสทธ เสรภาพของบคคลอนๆ เชน การเปดเผยขอมลทมความลบทางการคา (trade secret) หรอ มทรพยสนทางปญญาของบคคลอนเปนสวนหนงของขอมลดงกลาว

(3) [เหตแหงการปฏเสธ] ส าหรบการเปดเผยขอมลทมขอมลของบคคลทสามอยดวยนน ทานมสทธทจะปฏเสธไมเปดเผยขอมลเฉพาะในสวนทเกยวของกบบคคลทสามนนใหแกเจาของขอมลได แตไมสามารถอางเหตผลดงกลาวเพอปฏเสธการเขาถงขอมลทงหมด ซงมขอมลสวนบคคลของเจาของขอมลรวมอยดวยตามสทธในขอนได

(4) [แนวปฏบตทด] ทานอาจพจารณาจดใหมระบบในการตรวจสอบ เขาถงขอมลสวนบคคลทางไกล (remote access) ของเจาของขอมล เพอใหเจาของขอมลสามารถรบรและเขาถงขอมลสวนบคคลของตนไดตลอดเวลา เชน การเขาถงขอมลผานระบบออนไลนในเวบไซตของทาน (website interface) โดยจะตองมการยนยนตวตนผานชอผใช (username) และรหส (password)


D3.7 หนาทในการแกไขขอมลสวนบคคลใหถกตอง

(1) [การปฏบตตามสทธ] ทานจะตองแกไขขอมลสวนบคคลใหถกตอง หรอเพมเตมใหขอมลสวนบคคลดงกลาวใหครบถวนสมบรณเปนปจจบน รวมถงการจดท ารายละเอยดประกอบการแกไขขอมล (supplementary statement) เกยวกบขอมลสวนบคคลทไมสมบรณ ตามทเจาของขอมลรองขอ

ขอมลทไมถกตอง (inaccurate) คอ ขอมลทไมถกตองตรงกบความเปนจรง ขอมลทไมสมบรณ (incomplete) คอ ขอมลทถกตองตรงกบความเปนจรง แตมไมครบถวนสมบรณ

(2) [ค าแนะน า] ทานอาจก าหนดหลกเกณฑใหเจาของขอมลน าหลกฐานหรอเอกสารท

เกยวของมาเพอพสจนประกอบการพจารณาวาขอมลสวนบคคลททานมอยไมถกตองหรอไมสมบรณอยางไร

(3) [การเกบขอมลการแกไข] ในกรณทขอมลนนไมถกตองในตวเองอนเนองมาจากความผดพลาดในการพจารณาขอมลดงกลาวและมการแกไขเพมเตมใหถกตองนน ทานจะตองเกบขอมลทง 2 ชดไวเพอเปนหลกฐานแสดงความมอยของขอมลสวนบคคลนน อาท กรณมการวนจฉยโรคของผปวยผดพลาดในตอนแรก และมการวนจฉยอกครงหนงใหถกตองนน ขอมลทง 2 ชดจะตองถกเกบไวเพอเปนหลกฐาน

(4) [แจงการแกไขไปยงบคคลทสาม] ในกรณทขอมลสวนบคคลไดถกเผยแพรไปยงบคคลทสาม เมอมการแกไขเพมเตมความถกตองหรอความสมบรณ ทานจะตองแจงรายการดงกลาวใหแกผรบขอมลทราบดวย

(5) [แนวปฏบตทด] ทานอาจพจารณาจดใหมระบบงานดงตอไปน เพอเปนแนวทางในการปฏบตงานทด - ในกรณทเจาของขอมลรองขอใหตรวจสอบขอมลสวนบคคลนน ทานควรจะตอง

ระงบการประมวลผลขอมลดงกลาว ในระหวางการตรวจสอบขอมลสวนบคคล ไมวาเจาของขอมลจะใชสทธในการหามมใหประมวลผลแลวหรอไมกตาม

- จดใหมระบบหรอขนตอนในการตรวจสอบความถกตองของขอมลสวนบคคลตงแตขณะทไดรบขอมลดงกลาว หรอตรวจสอบในชวงเวลาอนๆ แมจะยงมไดมการรองขอจากเจาของขอมลกตาม


- จดใหมบนทกการรองขอใหมการแกไขหรอตรวจสอบความถกตองของขอมลสวนบคคลนน พรอมดวยเหตผลของเจาของขอมลประกอบ

D3.8 หนาทในการด าเนนการตามสทธการขอใหลบขอมลสวนบคคล

(1) [การปฏบตตามสทธ] ทานจะตองด าเนนการลบขอมลสวนบคคล หากปรากฏเหตตามค ารองขอของเจาของขอมล ดงน - ขอมลสวนบคคลดงกลาวไมมความจ าเปนส าหรบการเกบรวบรวมหรอ

ประมวลผลตามวตถประสงคทไดเกบรวบรวมขอมลสวนบคคลอกตอไป - เจาของขอมลเพกถอนความยนยอมในการประมวลผลขอมลสวนบคคล - เจาของขอมลใชสทธในการคดคานการประมวลผล และทานไมมเหตเกยวกบ

ผลประโยชนโดยชอบธรรมเพอใชอางเพอประมวลผลได - การประมวลผลขอมลสวนบคคลนนไมชอบดวยกฎหมาย - การลบขอมลเปนไปตามหนาทตามกฎหมายของทาน - กรณทานไดประมวลผลขอมลเกยวกบค า เสนอใหบรการส งคมขอมล

(information society services) ใหแกเดก (2) [การปฏบตตามสทธ] ทานจะตองลบขอมลในลกษณะทท าใหบคคลอน ไมสามารถ

เขาถง อาน หรอประมวลผลขอมลสวนบคคลดงกลาวได รวมถงท าใหไมสามารถน ากลบมาใชไดอกดวย

(3) [การปฏบตตามสทธ] ในกรณทขอมลสวนบคคลถกเปดเผยใหแกบคคลทสาม หรอ ทานไดท าใหขอมลดงกลาวเผยแพรสสาธารณะ ทานจะตองจดใหมมาตรการทางเทคโนโลย ส าหรบการแจงใหบคคลอนลบขอมลดงกลาวดวย ไมวาขอมลนนจะอยในรปแบบใด ไมวาตนฉบบหรอส าเนา หรอลงคใดๆ ทเชอมโยงถงขอมลสวนบคคลนน ดวยคาใชจายของทานเอง อาท กรณมการเปดเผยขอมลสวนบคคลทางออนไลน

(4) [เหตแหงการปฏเสธ] หากมกรณดงตอไปน ทานสามารถปฏเสธไมด าเนนการลบขอมลตามค ารองขอได - เมอการประมวลผลมความจ าเปนในการแสดงออกหรอการใชสทธเสรภาพใน

ขอมล ทงน ควรพจารณาความจ าเปนและความเหมาะสมในการน าขอมลสวนบคคลมาใชเพอแสดงออก เชน ขอมลดงกลาวเกาเกนสมควรทจะน ามาใชแลวหรอไม


- เพอใหเปนไปตามหนาทตามกฎหมาย ด าเนนการตามหนาทเกยวกบประโยชนสาธารณะ หรอเปนการใชอ านาจรฐของผควบคมขอมล

- เปนการประมวลผลขอมลสวนบคคลชนดพเศษเกยวของกบประโยชนสาธารณะทางดานสขภาพของประชาชน หรอเพอประโยชนทางดานสขภาพการวนจฉยโรคภายใตความรบผดชอบทจะตองรกษาความลบของผมวชาชพ

- เปนการประมวลผลเพอประโยชนสาธารณะทางดานการวจยทางวทยาศาสตรประวตศาสตร หรอสถต

- เปนการประมวลผลเพอกอตง ใช หรอการตอสตามสทธเรยกรองทางกฎหมาย D3.9 หนาทในการระงบการประมวลผลขอมลสวนบคคลแบงออกเปน 2 กรณ คอ กรณทคอ

กรณทเจาของขอมลหามมใหประมวลผล และกรณทเจาของขอมลคดคานการประมวลผล D3.10 หนาทในการระงบการประมวลผลเมอเจาของขอมลหามมใหประมวลผล

(1) [การปฏบตตามสทธ] เมอเจาของขอมลหามมใหประมวลขอมลสวนบคคลดวยเหตดงตอไปน ทานจะตองระงบการประมวลผล (โดยสวนใหญแลวจะเปนการหามมใหประมวลผลเปนชวงระยะเวลาใดเวลาหนง อนเนองมาจากความถกตองของขอมล หรอ ลกษณะของการประมวลผลไมถกตอง) - เจาของขอมลโตแยงความถกตองของขอมลสวนบคคล และอยในระหวางการ

ตรวจสอบความถกตอง - การประมวลผลขอมลสวนบคคลเปนไปโดยมชอบดวยกฎหมาย และเจาของ

ขอมลไดรองขอใหมการหามมใหประมวลผลแทนการขอใหลบขอมลสวนบคคล - ทานไมมความจ าเปนตองประมวลผลขอมลสวนบคคลดงกลาวตอไป แตเจาของ

ขอมลไดเรยกรองใหทานเกบขอมลไวเพอใชในการกอตง ใช หรอปองกนสทธเรยกรองทางกฎหมายของเจาของขอมล

- เจาของขอมลคดคานการประมวลผลขอมลเพอรอการพสจนขออางตามกฎหมายของทานวามสทธในการประมวลผลขอมลเหนอกวาเจาของขอมลหรอไม

(2) [การปฏบตตามสทธ] ทงน เจาของขอมลอาจหามมใหประมวลผลได แมจะไดใชสทธอนๆ อยแลวกตาม เชน กรณการขอหามมใหประมวลผลในระหวางทานตรวจสอบความถกตองของขอมลตามสทธ หรออยในระหวางการพจารณาการระงบการประมวลผลขอมลสวนบคคลตามสทธในการคดคานการประมวลผล ในหวขอ D3.11


(3) [การด าเนนการระงบการประมวลผล] การระงบการประมวลผลนน อาจกระท าไดหลายวธ ขนอยกบลกษณะการประมวลผลในรปแบบตางๆ โดยทานอาจระงบการประมวลผลดวยวธการดงตอไปน - การเคลอนยายขอมลสวนบคคลชวคราวไปไวทระบบการประมวลผลอน - การระงบการใหผใชขอมลเขาถงขอมลชวคราว - การถอนขอมลออกจากหนาเวบไซต หรอ ระบบชวคราว

(4) [แจงบคคลทสามใหระงบการประมวลผลดวย] ในกรณทขอมลสวนบคคลถกเปดเผยใหแกบคคลทสาม ทานจะตองแจงใหบคคลอนระงบการประมวลผลดวย

(5) [เหตแหงการปฏเสธ] ขอยกเวนททานสามารถปฏเสธไมด าเนนการระงบการประมวลผลได มดงน - การเกบขอมล (storage) ในระหวางระงบการประมวลผล - ทานไดรบความยนยอมจากเจาของขอมล - การประมวลผลเปนไปเพอกอตง ใช หรอปองกนสทธทางกฎหมาย - การประมวลผลเปนไปเพอปองกนสทธของบคคลทสาม - การประมวลผลเปนไปเพอประโยชนสาธารณะทส าคญ

(6) [เหตแหงการปฏเสธ] กรณทมการระงบการประมวลผลขอมลสวนบคคลแลว หากเกดกรณดงตอไปน ทานอาจพจารณาในการยกเลกการระงบการประมวลผลและแจงใหแกเจาของขอมลทราบกอนการยกเลกการระงบการประมวลผล พรอมทงแจงสทธในการด าเนนการตางๆ ในลกษณะเดยวกบการแจงการปฏเสธสทธตามทระบไวในตารางขางตน - กรณททานตรวจสอบขอมลสวนบคคลทรองขอแลวเหนวาขอมลดงกลาวถกตอง

ครบถวนสมบรณ หรอ ทานเหนวาทานมสทธปฏเสธไมลบขอมลตามค ารองขอ - กรณเจาของขอมลคดคานการประมวลผลแลวทานเหนวาทานมสทธในการ

ด าเนนการประมวลผลตอไปตามเหตแหงการปฏเสธ อาท การปฏบตหนาทเพอประโยชนสาธารณะ หรอการอางผลประโยชนโดยชอบธรรมเพอประมวลผล เปนตน

(7) [แนวปฏบตทด] ทานควรจะตองระงบการประมวลผลทนททมการรองขอจากเจาของขอมลหรอ จดใหมผรบผดชอบ หรอระบบในการตดตามการระงบการประมวลผล


เพอตรวจสอบความถกตองขอมล หรอ อยในระหวางการพจารณาฐานตามกฎหมายในการปฏบตหรอไมปฏบตตามสทธของเจาของขอมล

D3.11 หนาทในการระงบการประมวลผลเมอเจาของขอมลคดคานการประมวลผลขอมล

(1) [การปฏบตตามสทธ] เมอเจาของขอมลคดคานการประมวลขอมลสวนบคคลดวยเหตดงตอไปน ทานจะตองระงบการประมวลผล - กรณทมการประมวลผล หรอ โปรไฟลง (profiling) ทมวตถประสงคเพอ

การตลาดแบบตรง (direct marketing) (ไมมขอยกเวนส าหรบการประมวลผลในลกษณะน)

- กรณทมการประมวลผล หรอโปรไฟลง (profiling) โดยทวไป ซงรวมถงกรณการปฏบตหนาทเพอประโยชนสาธารณะ การปฏบตตามค าสงของเจาหนาทรฐ การประมวลผลโดยใชฐานผลประโยชนโดยชอบธรรมของทาน ทงน เวนแตการประมวลผลนนส าคญกวาผลประโยชน สทธ เสรภาพของเจาของขอมล หรอ เปนการประมวลผลเพอการตงสทธหรอปองกนสทธในการด าเนนคดตามกฎหมาย

- กรณขอมลทประมวลผล หรอโปรไฟลง (profiling) นนเปนขอมลทางการวจยเกยวกบวทยาศาสตร ประวตศาสตร หรอ ขอมลทางสถต ซงมความเกยวของกบขอมลสวนบคคลของเจาของขอมล ทงน เวนแต เปนการประมวลผลเพอประโยชนสาธารณะ

(2) [การปฏบตตามสทธ] ทานจะตองแจงสทธในการคดคานการประมวลผลใหแกเจาของขอมลทราบ อยางชาทสด ณ เวลาแรกททานไดตดตอกบเจาของขอมล

(3) [ขอแนะน า] โดยทวไปแลว เมอทานตองระงบการประมวลผลขอมลตามสทธการคดคานการประมวลผล ทานจะตองด าเนนการลบขอมลสวนบคคลดงกลาวดวย (ไมไดมขอยกเวนใหเกบขอมลไดเชนเดยวกบกรณการระงบการประมวลผลขอมลตามสทธในการหามการประมวลผลตามขอยอยขางตน) อยางไรกด อาจมบางกรณททานไมตองลบขอมลสวนบคคลดงกลาว หากทานยงคงมความจ าเปนในการประมวลผลตามวตถประสงคอนทเจาของขอมลมไดคดคาน หรอไมมสทธคดคาน

D3.12 หนาทในการโอนยายขอมลสวนบคคล

(1) [การปฏบตตามสทธ] ทานจะตองจดเตรยมขอมลสวนบคคลใหอยในรปแบบทมการจดเรยงแลว (structured) ใชกนทวไป และเครองคอมพวเตอรสามารถอานได เพอ


เตรยมพรอมกรณทมการรองขอใหมการโอนยายขอมลสวนบคคลใหแกผควบคมขอมลรายอน โดยการโอนยายขอมลนนจะตองไมมลกษณะทเปนอปสรรคตอการประมวลผลของผรบโอนยายขอมล

(2) [การปฏบตตามสทธ] ทงน ขอมลสวนบคคลททานตองปฏบตตามขอน จะตองเปนขอมลสวนบคคลทไดรบมาจากเจาของขอมลเทานน ซงรวมถงกรณการสอดสองพฤตกรรม กจกรรมของเจาของขอมลดวย เชน ขอมลการคนหาขอมลทางอนเตอรเนต ขอมลการจราจร ขอมลของต าแหนงของเจาของขอมล ขอมลดบทไดรบการประมวลผลจากเครองมอวด หรอ อปกรณสวมใส (อาท เครองวดอตราการเตนของหวใจในอปกรณวง เปนตน) เทานน อยางไรกด ขอมลดงกลาวไมรวมถงขอมลทมการท าใหไมสามารถบงบอกถงตวตนของเจาของขอมลได (anonymization) แตหากเปนแฝงขอมล (pseudonymize) จะตองตกอยภายใตเรองนหากสามารถเชอมโยงกบเจาของขอมลไดอยางชดเจน

(3) [การปฏบตตามสทธ] การโอนยายขอมลสวนบคคลสามารถกระท าได เฉพาะกรณดงตอไปน - ไดรบความยนยอมจากเจาของขอมล และเปนขอมลทเกดจากการประมวลผล

ดวยวธการอตโนมต (automated means) - เปนการปฏบตหนาทตามสญญาระหวางเจาของขอมลกบผควบคมขอมล และ

เปนขอมลทเกดจากการประมวลผลดวยวธการอตโนมต (automated means) (4) [เหตแหงการปฏเสธ] ขอยกเวน ในการปฏเสธไมด าเนนการโอนยายขอมล มดงน

- การประมวลผลนนเปนการด าเนนการตามหนาทเกยวกบประโยชนสาธารณะ - ผควบคมขอมลเปนหนวยงานรฐทใชอ านาจรฐเอง - การด าเนนการดงกลาวกระทบในดานลบตอสทธ เสรภาพของบคคลอนๆ เชน

การเปดเผยขอมลทมความลบทางการคา (trade secret) หรอ มทรพยสนทางปญญาของบคคลอนเปนสวนหนงของขอมลดงกลาว

D3.13 หนาทในการไมใชกระบวนการตดสนใจอตโนมตและโปรไฟลง (profiling) เพยงอยางเดยว

(automated individual decision-making) 46

46 สทธในการไมตกอยภายใตการตดสนใจอตโนมตเพยงอยางเดยวนน ยงไมถกรบรองในรางของพระราชบญญตคมครองขอมลสวนบคคล พ.ศ. .... (ฉบบรบฟงความคดเหนวนท 11 กนยายน พ.ศ.2561)


(1) [การปฏบตตามสทธ] ในกรณททานใชกระบวนการตดสนใจอตโนมตและโปรไฟลง (profiling) ทกอใหเกดผลทางกฎหมาย หรอ ผลในลกษณะเดยวกนตอเจาของขอมล ซงมผลในทางดานลบอยางรนแรง อาท การอนมตเงนกออนไลน การจางงานออนไลน การประมวลผลการทดสอบตางๆ การประมวลผลขอมลเพอก าหนดรสนยมของบคคล หรอ พฤตกรรมของเจาของขอมล ซงสวนใหญจะเกดขนในธรกจเกยวกบการตลาด การเงน การศกษา สขภาพ เปนตน ซงเจาของขอมลมสทธทจะรองขอใหทานจดใหมบคคลเขาไปมสวนรวมในการพจารณาและตดสนใจในเรองนนๆ ดวย โดยไมใชแคกระบวนการตดสนใจอตโนมตเพยงอยางเดยว

(2) [เหตแหงการปฏเสธ ] หากมกรณดงตอไปน ทานสามารถทจะด าเนนการใชกระบวนการตดสนใจอตโนมตเพยงอยางเดยวไดแมเปนเรองทกระทบตอผลทางกฎหมาย หรอ ผลในลกษณะเดยวกนตอเจาของขอมลกต าม แตทานจะตองมมาตรการเพอปกปองสทธของเจาของขอมลจากการประมวลผลในรปแบบดงกลาว ซงอยางนอยจะตองมการใหสทธเจาของขอมลในการใหมบคคลเขามามสวนรวมในการตดสนใจดวย หรอ มสทธในการโตแยงการตดสนใจดงกลาวได - กรณการเขาท าสญญา หรอ การปฏบตหนาทตามสญญาระหวางเจาของขอมล

กบทาน - ไดรบความยนยอมโดยชดแจงจากเจาของขอมล

(3) [เหตแหงการปฏเสธ] หากเปนกรณมกฎหมายก าหนดใหสามารถใชการประมวลผลรปแบบดงกลาวไดเพยงอยางเดยว อาท กรณการพจารณาเรองการฉอโกง หรอ การเลยงภาษ ทานกสามารถทจะด าเนนการใชกระบวนการตดสนใจอตโนมตเพยงอยางเดยวไดแมเปนเรองทกระทบตอผลทางกฎหมาย หรอ ผลในลกษณะเดยวกนตอเจาของขอมลกตาม

(4) [เหตแหงการปฏเสธ] หากเปนกรณขอมลทประมวลผลนนเปนขอมลสวนบคคลชนดพเศษ จะไมสามารถกระท าการประมวลผลดวยกระบวนการตดสนใจอตโนมตเพยงอยางเดยวได เวนแต - ไดรบความยนยอมโดยชดแจงจากเจาของขอมล - การประมวลผลมความจ าเปนเพอประโยชนสาธารณะ

(5) [แนวปฏบตทด] อยางไรกด แมวาทานจะสามารถใชแคกระบวนการตดสนใจอตโนมตเพยงอยางเดยวได แตทานควรค านงถงความรความเขาใจ และหลกเกณฑใน


การตดสนใจซงมผลกระทบทางดานกฎหมายตอเจาของขอมลดวย โดยทานอาจจดใหมสงดงตอไปน - จดเตรยมขอมลเกยวกบการประมวลผลและกระบวนการตดสนใจอตโนมตเพยง

อยางเดยว เชน ตรรกะทางการตดสนใจ หรอ กระบวนการทางคณตศาสตร สถต เพอชแจงตอเจาของขอมล รวมถงตองไมมอคต หรอเลอกปฏบตในการตดสนใจ

- ใหสทธเจาของขอมลในการโตแยง หรอใหความเหนตอการตดสนใจดงกลาวได - จดใหมมาตรการทางเทคนค หรอในเชงบรหารจดการ ทเหมาะสม รวมถง

มาตรการในการคมครองสทธเสรภาพ รวมถงผลประโยชนโดยชอบธรรมของเจาของขอมล เพอตรวจสอบความถกตองของขอมลสวนบคคล และลดความเสยงของความผดพลาดของการตดสนใจ

D3.14 ตารางเปรยบเทยบสทธของเจาของขอมลและเหตในการปฏเสธไมด าเนนการตามค ารองขอ

ของเจาของขอมล ดงตอไปน - ค าขอไมสมเหตสมผล - ค าขอฟมเฟอย - เจาของขอมลมขอมลอยแลว - เกบรวบรวมขอมลเพอประโยชนสาธารณะ การวจยดานวทยาศาสตร

ประวตศาสตร สถต - เกยวกบการท าตามสญญา หรอการเขาท าสญญาระหวางเจาของขอมลกบผ

ควบคมขอมล - กฎหมายอนญาต - การประมวลผลกอใหเกดผลกระทบดานลบแกบคคลอน - ขอมลนนจ าเปนส าหรบการประมวลผล - ประมวลผลเพอประโยชนสาธารณะ หรอ เปนการใชอ านาจรฐ - กอตง ใช หรอปองกนสทธทางกฎหมาย - สทธของผควบคมขอมลมเหนอกวาสทธของเจาของขอมล

สทธ เหตแหงการปฏเสธการปฏบตตามค ารองของเจาของขอมล

ค าขอไมสมเหตสมผล

ค าขอฟมเฟอย

เจาของขอมลมขอมลอย

แลว

เกบขอมลเพอ

ประโยชนสาธารณะ

เกยวกบการท าตาม

สญญา

กฎหมายอนญาต

เกดผลกระทบดานลบแกบคคล

อน

จ าเปนส าหรบการประมวลผล

ประโยชนสาธารณะ หรออ านาจ

รฐ

กอตง ใช หรอปองกน

สทธทางกฎหมาย

ผควบคมขอมลมสทธเหนอกวา

1.การเพกถอนความยนยอม 2.การเขาถงขอมลสวนบคคล ✓ ✓ ✓ 3.การแกไขขอมลสวนบคคลใหถกตอง ✓ ✓ 4.การลบขอมลสวนบคคล ✓ ✓ ✓ ✓ ✓ ✓ ✓ 5.การหามมใหประมวลผลขอมล ✓ ✓ ✓ ✓ ✓ 6.การใหโอนยายขอมลสวนบคคล ✓ ✓ ✓ ✓ 7.การคดคานการประมวลผลขอมล ✓ ✓ ✓ ✓ ✓ 8.การไมตกอยภายใตการตดสนใจอตโนมตเพยงอยางเดยว ✓ ✓ ✓ ✓ ✓


หนาทของผประมวลผลขอมลเมอเจาของขอมลรองขอ

(Data Subject Request to the Processor)

D3.15 ผประมวลผลไมมหนาทโดยตรงตอเจาของขอมลทรองขอ อยางไรกด หากมกรณเจาของขอมลมารองขอตามสทธตางๆ ของตนแลว ผประมวลผลกยงควรจดใหมมาตรการตางๆ ทเพยงพอส าหรบการรองรบใหผควบคมขอมลปฏบตหนาทเมอเจาของขอมลรองขอได ทงน สทธและหนาทของผประมวลผลจะถกก าหนดไปตามขอตกลงระหวางผควบคมและผประมวลผลขอมล ตามทไดอธบายโดยละเอยดแลวในหวขอ D1. และ D2. โดยจะมขนตอนด าเนนการโดยสงเขปดงแผนผงดานลางน

D3.16 หากเปนกรณททานเปนผประมวลผลขอมลทใหบรการตอผควบคมขอมลในลกษณะ

รบผดชอบในหนาทของผควบคมขอมลทงหมดนน ทานกมหนาททจะตองปฏบตตามขอก าหนด หนาท เงอนไขวาดวยสทธตางๆ ของเจาของขอมลตามทไดอธบายโดยละเอยดแลวในสวนของหนาทของผควบคมขอมล


สงค ารองขอใหแกผควบคมขอมล

ผควบคมขอมลพจารณา

ผควบคมสงใหด าเนนการตามค ารองขอ

รวบรวมขอมลทไดรบการรองขอใหแกผควบคมขอมล


D4. แนวปฏบตกรณมค ารองขอหรอค าสงขอเขาถงขอมลสวนบคคลจากรฐ

(Government Request) D4.1 กรณนเปนกรณทหนวยงานรฐหรอองคกรผถออ านาจรฐมค ารองขอเขาถงขอมลสวนบคคล

เทานน ไมรวมไปถงกรณทผควบคมขอมลหรอผประมวลผลขอมลมหนาทตามกฎหมายอยแลวในการรายงานหรอสงขอมลใหแกผก ากบดแลตามปกต เชน การรายงานธรกรรมทตองสงสยตามกฎหมายฟอกเงน กรณนแมไมมการรองขอกเปนหนาทตามกฎหมายทจะตองท าอยแลว เปนตน กรณเชนน เมอกฎหมายก าหนดใหตองท าจงเปนฐานในการประมวลผลทชอบแลวเพราะเปนหนาทตามกฎหมาย (Legal Obligation)

D4.2 ผควบคมขอมลมหนาทใหหนวยงานของรฐ/รฐบาลเขาถงขอมลสวนบคคลไดเฉพาะเมอรฐ

มอ านาจตามกฎหมายเทานน หากรฐไมมอ านาจตามกฎหมาย ผควบคมขอมลสวนบคคลจะตองไมใหรฐเขาถงหรอเปดเผยขอมลสวนบคคล มเชนนนผควบคมขอมลสวนบคคลจะมความรบผดตามกฎหมายจากการใหรฐเขาถงหรอเปดเผยขอมลใหรฐโดยไมมหนาทตามกฎหมาย

D4.3 ผประมวลผลขอมลใหหนวยงานของรฐ/รฐบาลเขาถงขอมลสวนบคคลไดเฉพาะเมอรฐม

อ านาจตามกฎหมายเทานน ในขณะเดยวกนตนกมความผกพนกบผควบคมขอมลตามสญญาวาจะไมใหเขาถงหรอเปดเผยขอมลแกบคคลอน หากรฐไมมอ านาจตามกฎหมาย ผควบคมขอมลสวนบคคลจะตองไมใหรฐเขาถงหรอเปดเผยขอมลสวนบคคล มเชนน นผประมวลผลขอมลอาจมความรบผดตามกฎหมายและความรบผดทางสญญาตอผควบคมขอมลหากใหรฐเขาถงขอมลหรอเปดเผยขอมลดงกลาวใหรฐอกดวย


D4.4 ขนตอนในการพจารณาด าเนนการเมอมค ารองขอหรอค าสงจากรฐเพอเขาถงขอมลสวนบคคล

❒ พจารณาค ารองขอ/ค าสง โดยระบหนวยงาน/องคกรของรฐ/เจาหนาท ผรองขอ

❒ เจาหนาทและตนสงกด

❒ วนทไดรบค ารองขอ

❒ ขอมลสวนบคคลทตองการเขาถงหรอใหเปดเผย

❒ ตรวจสอบอ านาจของผรองขอวามอ านาจตามกฎหมายหรอไมและมขอยกเวนอยางไร

❒ เจาหนาทไมมเอกสารมาแสดง

❒ เจาหนาทมเอกสารมาแสดง หมายศาล/ค าสงศาล อนๆ ............

❒ พจารณาความถกตองแทจรงของเอกสาร (ถาม)

❒ กรณหมายศาล/ค าสงศาล ใหด าเนนการตามค ารองขอ

❒ กรณเอกสารอนๆ ใหตรวจสอบเปนพเศษ โดยพจารณาถงสถานะของผรองขอ อ านาจหนาทตามกฎหมาย วตถประสงคทจะเขาถงขอมล และแหลงอางองทมาของอ านาจตามกฎหมายซงตองเปนอ านาจเฉพาะ มใชอ านาจสบสวนสอบสวนเปนการทวไปหรออ านาจทบญญตไวกวางๆ ท านองวามอ านาจหนาทอนใดเพอใหการปฏบตหนาทบรรลวตถประสงค ( เ ชน พระราชบญญตวาดวยการกระท าความผดเกยวกบคอมพวเตอร พ.ศ.2550 มาตรา 18(2) เรยกขอมลจราจรคอมพวเตอร เปนตน) หากพจารณาแลวมความนาเชอถอและเหนวามหนาทตามกฎหมายจรง ใหด าเนนการตามค ารองขอ

❒ กรณไมมเอกสารหรอมขอสงสยเกยวกบเอกสาร 47 ใหไมด าเนนการตามค ารองขอจนกวาจะพสจนไดวาเจาหนาทมอ านาจตามกฎหมายจรงหรอมขอยกเวนตามกฎหมาย

47 ในกรณเปนทสงสยผควบคมขอมลหรอผประมวลผลขอมลแลวแตกรณอาจโตแยงอ านาจของเจาหนาทไดในลกษณะของการอทธรณค าสงทางปกครองตอผบงคบบญชาของผออกค าสง บคคลหรอหนวยงานทกฎหมายก าหนดหรอศาลปกครอง แลวแตกรณ


ประการอนทจะท าใหเขาถงหรอเปดเผยขอมลได (เชน เปดเผยเพอประโยชนส าคญของเจาของขอมล (Vital Interest) เปนตน)

❒ ด าเนนการ 48 ไมด าเนนการตามค ารองขอ

❒ เกบบนทกเกยวกบการรองขอและกระบวนการด าเนนการ/ไมด าเนนการตามค ารองขอทงหมดตงแตตนจนสนสดกระบวนการ

48 การสงเอกสารหรอขอมลใด ควรสงไปยงตนสงกดหรอหวหนาหนวยงานรฐทใชอ านาจตามกระบวนการทเปนทางการ ไมควรสงมอบหรอใหขอมลแกเจาหนาททมาตดตอ


ค าถามทพบบอย

Q: บรษทไทยทมบรษทลกหรอบรษทรวมตงหรอประกอบธรกจอยในสหภาพยโรป สามารถแชรขอมลสวนบคคลทไดรบใหกบบรษทแมในประเทศไทยหรอไม

A: ได โดยปฏบตตามเงอนไขของ GDPR ดวย Binding Corporate Rules หรอขอความยนยอม (Consent) เปนครงคราว

Q: กรณพนกงานขายเกบขอมลลกคา EU เชน เบอรโทร ไวในโทรศพทสวนตวของพนกงานเองแบบนบรษทอยในบงคบตามขอบเขต extra scope ของ GDPR หรอไม

A: ขอมลลกคาถาระบตวตนไดเปนขอมลสวนบคคลตาม GDPR แตกรณนเนองจากเกบขอมลไวในโทรศพทสวนตวจงอาจดเหมอนวาเปนการเกบสวนตวแบบชวคราวทไมเขาขอบเขตตาม Article 2 Material Scope ทจะบงคบใชกบขอมลทเปนสวนหนงของ filing system หรอตงใจ (intended) จะใหเปนสวนหนงของ filing system ซงสวนใหญเมอพนกงานท างานใหกบบรษทและเกบขอมลลกคาเพอวตถประสงคทางการคา ขอมลสวนนกมกจะถกน าไปเกบเขาระบบของบรษทอยแลว (นอกเสยจากวาจะพสจนไดวาไมไดตงใจจะน าขอมลสวนนมาเขาระบบ ซงนาจะพสจนไดยากยง)

Q: ในกรณทประเทศไทยยงไมมกฎหมายคมครองขอมลสวนบคคล บรษทประกนภยในประเทศไทยทไมมแนวปฏบตทเปนไปตาม GDPR จะมปญหาในการท า re-insurance กบบรษทประกนภยในสหภาพยโรปหรอไม

A: การโอนขอมลสวนบคคลจากไทยไปใหบรษททอยใน EU ในกรณเชนนจะท าใหทงสองบรษทมสถานะเปนผควบคมขอมลรวมในขอมลสวนบคคลชดเดยวกน ดงนนบรษทใน EU อาจเรยกรองใหทางบรษทไทยตองท าตามมาตรฐานของ GDPR (รวมถงเขากรณของขอ 14 GDPR)


Q: ราง พรบ คมครองขอมลสวนบคคล บญญตสอดคลองหรอมแนวทางเดยวกบ GDPR ในเรองอะไรบาง และมสวนทแตกตางกบ GDPR ในเรองอะไรบาง ขอยกตวอยางพอสงเขป

A: สวนใหญมความสอดคลองกน เชนในประเดนหลกความจ าเปน หลกความความโปรงใส สทธของเจาของขอมล ฯลฯ แมบางสวนของรางกฎหมายไทยยงไมชดเจนและลงรายละเอยดเทากบ GDPR เชน มไดขอบทเฉพาะเจาะจงเกยวกบเรองการประมวลผลขอมลทใชการตดสนใจอตโนมต (แตหลกการใหญกยงสามารถปรบใชไดเชนกน) และในรางลาสด (ทมการรบฟงความคดเหนเมอวนท 11 กนยายน พ.ศ.2561) ไดมการเพมเตมในสวนทวาดวยสทธของเจาของขอมลทน าเอาแนวทางมาจาก GDPR มากยงขนอก

Q: สรปแลว GDPR สามารถเอาผดบรษทนอก EU อยางไทยไดเหรอเปลา มความเปนไปไดแคไหน

A: ได ถามสนทรพยอยใน EU ความเปนไปไดอาจขนอยกบลกษณะผลกระทบของการกระท าผดดวย

Q: มชาว EU มาเปดบญชกบธนาคารไทย มขอมลสวนบคคลเกบไวแลวเขากลบไป EU ธนาคารไทยตองเขา GDPR หรอไม

A: ไมเขา GDPR Art.3(2)a (แตอาจจะเขา Art.3(2)b หากมการตดตามพฤตกรรมของบคคลนนระหวางทอยใน EU (“monitoring of their behaviour as far as their behaviour takes place within the Union”) แตการตความในสวนนยงมชดเจนวา “พฤตกรรมของบคคลนนระหวางทอยใน EU” นนจะกวางขวางเพยงใด

Q: หากบรษทมสาขาอยในกลมประเทศ EU บรษทแมตองปฏบตตามกฎหมายน อยากทราบวา มขอก าหนดทบรษทแมตองท าสญญาคมครองขอมลกบสาขาใน EU หรอไม หากบรษทแมม security/privacy by design แลว

A: ตองท า เพราะการโอนขอมลตองม appropriate safeguard ตาม Art.46


Q: GDPR กบ รางกฎหมายไทยในเรองน มผลกระทบตอธรกจทใช Big Data หรอไม อยางไร

A: ถาการใช Big Data นนเกยวของกบขอมลสวนบคคลกเขาขอบเขต (โดยเฉพาะถามระบบ automate decision จะตองปฏบตตาม GDPR Art.22 ดวย)

Q: GDPR มผลกบการท างานของผตรวจบญชอยางไร ลกคาสามารถ challenge การขอขอมลท details เยอะเกนไป เชน list of all employees with pay details, customer with outstanding balances แทนทจะเปน sample

A: ผตรวจบญชเปน data controller เพราะใหบรการทางวชาชพซงมอ านาจในการตดสนใจกบการจดการขอมล แมจะไมไดเกบรวบรวมขอมลจากเจาของขอมลโดยตรงกตาม (ตองปฏบตตามกรณของขอ 14 GDPR ดวย) สวนใหญฐานในการประมวลผลขอมลในกรณเชนนจะเปนการปฏบตตามสญญา (performance of contract) ตาม Art.6(1)b และอาจเขา legal obligations ตามขอ Art.6(1)c ดวยส าหรบขอมลสวนทกฎหมายก าหนดใหผตรวจสอบบญชตองประมวลผล

Documents

Thailand Data Protection Guidelines 1 · 6 Thailand Data Protection Guidelines 1.0 ทั้งนี้ คณะนิติศาสตร์ ขอขอบคุณ ดร.พิเชฐ