ผู้ประมวลผลข้อมูลส่วนบุคคล (Data Processor)

ผู้ประมวลผลข้อมูลส่วนบุคคล (Data Processor) คือ บุคคลหรือนิติบุคคลที่ดำเนินการเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล "ตามคำสั่งหรือในนามของผู้ควบคุมข้อมูล" โดยไม่ได้เป็นผู้ตัดสินใจวัตถุประสงค์ของการประมวลผลเอง ตามนิยามในมาตรา 6 ของ PDPA

ตัวอย่างของผู้ประมวลผลข้อมูล ได้แก่ ผู้ให้บริการคลาวด์ที่เก็บข้อมูลแทนบริษัท ผู้ให้บริการอีเมลมาร์เก็ตติ้งที่ส่งอีเมลในนามร้านค้า บริษัทรับทำบัญชีที่จัดการข้อมูลพนักงาน หรือแพลตฟอร์มอีคอมเมิร์ซที่ประมวลผลการสั่งซื้อให้ร้านค้า ในความสัมพันธ์นี้ ร้านค้าคือผู้ควบคุมข้อมูล ส่วนผู้ให้บริการภายนอกคือผู้ประมวลผลข้อมูล

ผู้ประมวลผลข้อมูลมีหน้าที่ตามกฎหมายเช่นกัน โดยต้องดำเนินการเฉพาะตามคำสั่งของผู้ควบคุมข้อมูลเท่านั้น ไม่สามารถนำข้อมูลไปใช้เพื่อวัตถุประสงค์ของตนเองได้ ต้องจัดให้มีมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสม และต้องช่วยผู้ควบคุมข้อมูลในการตอบสนองต่อการใช้สิทธิของเจ้าของข้อมูล นอกจากนี้ ระหว่างผู้ควบคุมและผู้ประมวลผลควรมีสัญญาการประมวลผลข้อมูล (Data Processing Agreement) ที่กำหนดขอบเขตและหน้าที่อย่างชัดเจน

สำหรับ SME ที่ใช้บริการภายนอก เช่น ระบบ CRM, บริการส่ง SMS, หรือแพลตฟอร์มโฆษณา ควรตรวจสอบว่าผู้ให้บริการเหล่านั้นมีมาตรฐานการรักษาความปลอดภัยที่เหมาะสม และมีข้อตกลงที่ชัดเจนเกี่ยวกับการจัดการข้อมูลส่วนบุคคล เพราะหากผู้ประมวลผลทำข้อมูลรั่วไหล ผู้ควบคุมข้อมูลอาจต้องร่วมรับผิดชอบด้วย

คำถามที่พบบ่อย

Frequently asked questions

เนื้อหาที่เกี่ยวข้อง

Related content