การโอนข้อมูลข้ามประเทศ (Cross-Border Transfer)

การโอนข้อมูลข้ามประเทศ (Cross-Border Transfer) คือ การส่งหรือโอนข้อมูลส่วนบุคคลจากประเทศไทยไปยังผู้รับในต่างประเทศ หรือการเก็บข้อมูลส่วนบุคคลไว้บนเซิร์ฟเวอร์ที่ตั้งอยู่นอกประเทศไทย ตามมาตรา 28 และ 29 ของ PDPA การโอนข้อมูลข้ามประเทศมีกฎเกณฑ์ที่เข้มงวดกว่าการประมวลผลภายในประเทศ เพื่อป้องกันไม่ให้ข้อมูลของบุคคลในไทยได้รับการคุ้มครองที่ลดลงเมื่อย้ายออกนอกประเทศ

หลักการสำคัญคือ ประเทศปลายทางหรือองค์การระหว่างประเทศที่รับข้อมูลต้องมีมาตรฐานการคุ้มครองข้อมูลส่วนบุคคลที่เพียงพอ (Adequacy) ตามที่คณะกรรมการคุ้มครองข้อมูลส่วนบุคคลประกาศกำหนด เว้นแต่จะเข้าข้อยกเว้น เช่น ได้รับความยินยอมจากเจ้าของข้อมูลหลังจากแจ้งให้ทราบถึงมาตรฐานที่ไม่เพียงพอแล้ว การโอนจำเป็นเพื่อปฏิบัติตามสัญญา การโอนจำเป็นเพื่อประโยชน์สาธารณะ หรือการโอนจำเป็นเพื่อปกป้องชีวิตของเจ้าของข้อมูล

ในทางปฏิบัติ SME ไทยจำนวนมากโอนข้อมูลข้ามประเทศโดยไม่รู้ตัว เช่น การใช้คลาวด์เซิร์ฟเวอร์ที่ตั้งอยู่ต่างประเทศ (AWS, Google Cloud) การใช้เครื่องมือวิเคราะห์ข้อมูลอย่าง Google Analytics ที่ส่งข้อมูลไปประมวลผลในต่างประเทศ หรือการใช้บริการอีเมลมาร์เก็ตติ้งที่มีเซิร์ฟเวอร์อยู่ต่างประเทศ กรณีเหล่านี้ล้วนถือเป็นการโอนข้อมูลข้ามประเทศที่ต้องพิจารณาฐานทางกฎหมายและมาตรการคุ้มครองที่เหมาะสม

SME ที่ใช้บริการคลาวด์หรือเครื่องมือต่างประเทศควรตรวจสอบว่าผู้ให้บริการมีมาตรการคุ้มครองข้อมูลที่เหมาะสม เช่น ข้อสัญญามาตรฐาน (Standard Contractual Clauses) หรือการรับรองมาตรฐานความปลอดภัย และควรแจ้งให้เจ้าของข้อมูลทราบในนโยบายความเป็นส่วนตัวว่าข้อมูลอาจถูกโอนไปยังต่างประเทศ

คำถามที่พบบ่อย

Frequently asked questions

เนื้อหาที่เกี่ยวข้อง

Related content