บทความฉบับภาษาอังกฤษ (English version) อ่านได้ที่: https://fosrlaw.com/2026/thai-pdpa-representative-local-contact/
บทบาทที่มากกว่าผู้ประสานงานในประเทศ
บริษัทต่างชาติมักเริ่มต้นด้วยคำถามง่าย ๆ ภายใต้พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ของไทย (“PDPA”) ว่า
เราจำเป็นต้องมีตัวแทนในประเทศไทยหรือไม่
คำถามนี้ถือเป็นจุดเริ่มต้นที่ดี แต่ยังไม่ครอบคลุมประเด็นทั้งหมด
ตัวแทนตาม PDPA ของไทยไม่ได้มีบทบาทเพียงเป็นชื่อ ที่อยู่ หรือช่องทางติดต่อในประเทศไทยเท่านั้น เอกสารแต่งตั้งอาจส่งผลต่อความเข้าใจของบริษัทต่างชาติ ตัวแทนในประเทศไทย เจ้าของข้อมูลส่วนบุคคล และสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (“สำนักงานฯ”) เกี่ยวกับบทบาทของบริษัทต่างชาติภายใต้ PDPA
หากร่างเอกสารไม่ชัดเจนหรือไม่รอบคอบ อาจเกิดปัญหาตามมาได้ การแต่งตั้งที่กำหนดขอบเขตแคบเกินไปอาจไม่ครอบคลุมหน้าที่ตามที่ PDPA กำหนด ส่วนการแต่งตั้งที่กำหนดขอบเขตกว้างเกินไปอาจทำให้เกิดความเข้าใจว่าตัวแทนในประเทศไทยมีบทบาทอื่นด้วย เช่น เป็นผู้ควบคุมข้อมูลส่วนบุคคล ผู้ประมวลผลข้อมูลส่วนบุคคล เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล ตัวแทนทางการค้า ตัวแทนในการดำเนินคดี หรือบุคคลที่มีอำนาจยอมรับความรับผิดแทนบริษัท
ควรวิเคราะห์ข้อกฎหมายที่เกี่ยวข้องให้ชัดเจนก่อน แล้วจึงจัดทำเอกสารแต่งตั้งให้สอดคล้องกับผลการวิเคราะห์นั้น ไม่ควรถือว่าการจัดทำเอกสารแต่งตั้งเพียงอย่างเดียวสามารถทดแทนการวิเคราะห์ข้อกฎหมายได้
สำหรับประเด็นเกี่ยวกับการโอนข้อมูลข้ามพรมแดน ซึ่งรวมถึงมาตรา 28 และมาตรา 29 ข้อสัญญามาตรฐานของสหภาพยุโรป ข้อสัญญาต้นแบบของอาเซียน และมาตรการคุ้มครองการโอนข้อมูล โปรดดูบทความที่เกี่ยวข้องของเราเรื่อง “การโอนข้อมูลลูกค้าข้ามพรมแดนภายใต้ PDPA ของไทย” สำหรับบทความนี้เน้นเฉพาะประเด็นเกี่ยวกับเอกสารแต่งตั้งตัวแทน
ตัวแทนตาม PDPA ของไทยคืออะไร
PDPA ของไทยอาจใช้บังคับกับผู้ควบคุมข้อมูลส่วนบุคคลและผู้ประมวลผลข้อมูลส่วนบุคคลที่อยู่นอกประเทศไทยได้ด้วย
มาตรา 5 กำหนดให้ PDPA ใช้บังคับกับผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคลที่อยู่นอกราชอาณาจักร หากมีการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลที่เกี่ยวข้องกับกิจกรรมอย่างใดอย่างหนึ่งต่อไปนี้
- การเสนอสินค้าหรือบริการให้แก่เจ้าของข้อมูลส่วนบุคคลที่อยู่ในประเทศไทย ไม่ว่าจะมีการชำระเงินหรือไม่ก็ตาม หรือ
- การเฝ้าติดตามพฤติกรรมของเจ้าของข้อมูลส่วนบุคคล โดยพฤติกรรมนั้นเกิดขึ้นในประเทศไทย
หากผู้ควบคุมข้อมูลส่วนบุคคลต่างชาติเข้าข่ายตามมาตรา 5 วรรคสอง มาตรา 37(5) กำหนดให้แต่งตั้งตัวแทนในประเทศไทยเป็นหนังสือ ประเด็นสำคัญอยู่ที่ถ้อยคำของกฎหมาย โดยตัวแทนต้องอยู่ในประเทศไทยและได้รับมอบอำนาจให้กระทำการแทนผู้ควบคุมข้อมูลส่วนบุคคล “โดยไม่มีข้อจำกัดความรับผิดใด ๆ” ในเรื่องที่เกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลตามวัตถุประสงค์ของผู้ควบคุมข้อมูลส่วนบุคคล
เงื่อนไขนี้สำคัญและไม่ควรมองข้าม
เอกสารแต่งตั้งสามารถกำหนดวิธีที่ตัวแทนจะใช้อำนาจในทางปฏิบัติได้ เช่น ช่องทางการสื่อสาร ขั้นตอนการส่งเรื่องให้ผู้มีอำนาจพิจารณา การจัดทำหรือเก็บรักษาบันทึก และขั้นตอนการอนุมัติภายใน อย่างไรก็ตาม ข้อตกลงภายในเหล่านี้ต้องไม่จำกัดอำนาจตามมาตรา 37(5) หรือทำให้เข้าใจว่าผู้ควบคุมข้อมูลส่วนบุคคลต่างชาติสามารถลดความรับผิดตาม PDPA ได้ด้วยการจำกัดบทบาทของตัวแทน
การมีตัวแทนทำให้เจ้าของข้อมูลส่วนบุคคลและสำนักงานฯ มีบุคคลที่สามารถติดต่อได้ในประเทศไทย แต่บริษัทต่างชาติยังคงต้องรับผิดชอบต่อการปฏิบัติตาม PDPA ของตนเอง ประเด็นนี้ยิ่งมีความสำคัญในช่วงที่การบังคับใช้ PDPA ของไทยกำลังเปลี่ยนจากการมีเพียงนโยบายพื้นฐานไปสู่การกำหนดความรับผิดชอบในทางปฏิบัติที่ชัดเจนมากขึ้น ซึ่งเราได้กล่าวถึงไว้ในบทความเรื่อง “PDPA ของไทยในระยะที่สอง”
พิจารณามาตรา 5 ก่อนเริ่มร่างเอกสาร
ก่อนเลือกตัวแทนในประเทศไทยหรือเริ่มแก้ไขแบบเอกสาร บริษัทควรพิจารณาให้ชัดเจนก่อนว่ามาตรา 5 ใช้บังคับกับตนหรือไม่
บริษัทต่างชาติไม่จำเป็นต้องแต่งตั้งตัวแทนในประเทศไทยเพียงเพราะมีข้อมูลของบุคคลที่อยู่ในประเทศไทยปรากฏอยู่ในระบบของบริษัท กิจกรรมที่เกี่ยวข้องต้องเป็นการเสนอสินค้าหรือบริการให้แก่เจ้าของข้อมูลส่วนบุคคลในประเทศไทย หรือการเฝ้าติดตามพฤติกรรมของบุคคลดังกล่าวในประเทศไทย
ประเด็นนี้เกี่ยวข้องโดยตรงกับธุรกิจหลายประเภท ไม่ว่าจะเป็นแพลตฟอร์ม ผู้ให้บริการคลาวด์ ผู้ให้บริการซอฟต์แวร์ ศูนย์สนับสนุนระดับภูมิภาค ผู้ผลิต ผู้ให้บริการวิเคราะห์ข้อมูล และบริษัทในเครือ
บริษัทต่างชาติอาจเข้าข่ายตามมาตรา 5 อย่างชัดเจน หากทำการตลาดโดยมุ่งเป้าไปยังเจ้าของข้อมูลส่วนบุคคลในประเทศไทย ให้บริการดิจิทัลแก่ผู้ใช้ในประเทศไทย ติดตามหรือสร้างโปรไฟล์ของผู้ใช้ หรือปรับบริการให้เหมาะกับแต่ละบุคคลโดยอาศัยพฤติกรรมที่เกิดขึ้นในประเทศไทย
บริษัทต่างชาติที่ทำเพียงงานประมวลผลเบื้องหลังในขอบเขตจำกัดตามคำสั่งของบริษัทอื่นอาจมีสถานะต่างออกไป อย่างไรก็ตาม ชื่อที่ใช้เรียกลักษณะงานไม่ใช่ข้อยุติ แม้จะเรียกกิจกรรมนั้นว่า “การสนับสนุนทางเทคนิค” “การตรวจสอบคุณภาพ” “การวิเคราะห์ข้อมูล” “การบำรุงรักษาระบบ” หรือ “การพัฒนาผลิตภัณฑ์” ก็ยังอาจมีประเด็นตามมาตรา 5 หากบริษัทต่างชาติใช้ข้อมูลส่วนบุคคลของบุคคลในประเทศไทยเพื่อติดตาม ประเมิน สร้างโปรไฟล์ ปรับบริการให้เหมาะกับแต่ละบุคคล หรือตัดสินใจเกี่ยวกับบุคคลนั้นโดยอิสระ
ประเด็นนี้ยิ่งต้องพิจารณาอย่างรอบคอบเมื่อมีการวิเคราะห์ข้อมูล การตัดสินใจโดยอัตโนมัติ เทคโนโลยีที่ช่วยให้ระบบคอมพิวเตอร์เรียนรู้และวิเคราะห์ข้อมูลได้โดยอัตโนมัติ (Machine Learning) หรือการสร้างโปรไฟล์จากพฤติกรรมเข้ามาเกี่ยวข้อง สำหรับภาพรวมกฎหมายและกฎเกณฑ์ของไทยที่เกี่ยวข้องกับเทคโนโลยีเหล่านี้ โปรดดูบทความของเราเรื่อง “ปัญญาประดิษฐ์ เทคโนโลยีการเรียนรู้จากข้อมูล และข้อมูลขนาดใหญ่ในประเทศไทย”
สิ่งที่ต้องพิจารณาคือกิจกรรมที่เกิดขึ้นจริง ไม่ใช่ชื่อที่ใช้เรียกกิจกรรมนั้น
ผู้ประมวลผลข้อมูลส่วนบุคคลต้องพิจารณามาตรา 38 เช่นกัน
บริษัทต่างชาติบางแห่งเข้าใจว่าหน้าที่แต่งตั้งตัวแทนใช้กับผู้ควบคุมข้อมูลส่วนบุคคลเท่านั้น
มาตรา 37(5) กล่าวถึงผู้ควบคุมข้อมูลส่วนบุคคลต่างชาติ ส่วนมาตรา 38 ขยายหลักเกณฑ์เรื่องตัวแทนให้ใช้กับผู้ประมวลผลข้อมูลส่วนบุคคลของผู้ควบคุมข้อมูลส่วนบุคคลต่างชาตินั้นโดยอนุโลม หรือกล่าวอีกนัยหนึ่งคือ ให้นำหลักเกณฑ์ดังกล่าวมาปรับใช้เท่าที่เหมาะสมกับบทบาทของผู้ประมวลผลข้อมูลส่วนบุคคล
ดังนั้น บริษัทต่างชาติจึงไม่ควรด่วนสรุปว่าตน “เป็นเพียงผู้ประมวลผลข้อมูลส่วนบุคคล” แม้ข้อสรุปดังกล่าวอาจถูกต้องในแง่การแบ่งบทบาท แต่มาตรา 38 ก็ยังอาจใช้บังคับได้
มาตรา 38 กำหนดข้อยกเว้นไว้ 2 กรณี โดยไม่ต้องแต่งตั้งตัวแทนในกรณีต่อไปนี้
- ผู้ควบคุมข้อมูลส่วนบุคคลเป็นหน่วยงานของรัฐตามที่คณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (“คณะกรรมการฯ”) ประกาศกำหนด หรือ
- การเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลของผู้ควบคุมข้อมูลส่วนบุคคลไม่เกี่ยวข้องกับข้อมูลส่วนบุคคลที่มีความอ่อนไหวตามมาตรา 26 และไม่เป็นการประมวลผลข้อมูลส่วนบุคคลเป็นจำนวนมากตามมาตรา 41(2)
ข้อยกเว้นกรณีที่สองต้องพิจารณาอย่างรอบคอบ บริษัทไม่สามารถอ้างเพียงว่าการดำเนินงานมีขนาดเล็ก หากการประมวลผลเกี่ยวข้องกับข้อมูลส่วนบุคคลที่มีความอ่อนไหวตามมาตรา 26 บริษัทอาจไม่สามารถใช้ข้อยกเว้นนี้ได้ แม้จะประมวลผลข้อมูลในปริมาณไม่มากก็ตาม
การแต่งตั้งตัวแทนไม่ช่วยแก้ปัญหาหากวิเคราะห์บทบาทผิด
PDPA แยกบทบาทของผู้ควบคุมข้อมูลส่วนบุคคลออกจากผู้ประมวลผลข้อมูลส่วนบุคคลอย่างชัดเจน
ผู้ควบคุมข้อมูลส่วนบุคคลเป็นผู้ตัดสินใจว่าจะเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลเพื่อวัตถุประสงค์ใดและด้วยวิธีใด ส่วนผู้ประมวลผลข้อมูลส่วนบุคคลดำเนินการตามคำสั่งของผู้ควบคุมข้อมูลส่วนบุคคล
หากบริษัทระบุบทบาทของตนตาม PDPA ไม่ตรงกับข้อเท็จจริง การแต่งตั้งตัวแทนก็ไม่ทำให้การระบุบทบาทนั้นถูกต้องขึ้น
หากบริษัทต่างชาติเป็นผู้ตัดสินใจเองว่าจะนำข้อมูลส่วนบุคคลของบุคคลในประเทศไทยไปใช้เพื่ออะไร นำข้อมูลดังกล่าวไปรวมกับข้อมูลอื่นเพื่อวัตถุประสงค์ของตน กำหนดระยะเวลาเก็บรักษาเอง เปิดเผยข้อมูลต่อเพื่อประโยชน์ทางธุรกิจของตน หรือใช้ข้อมูลเพื่อการวิเคราะห์หรือพัฒนาผลิตภัณฑ์โดยอิสระ เอกสารต่าง ๆ ไม่ควรระบุเพียงว่าบริษัทเป็นผู้ประมวลผลข้อมูลส่วนบุคคลแล้วจบการวิเคราะห์ไว้เท่านั้น
ในทางกลับกัน หากบริษัทต่างชาติดำเนินการตามคำสั่งในฐานะผู้ประมวลผลข้อมูลส่วนบุคคลอย่างแท้จริง เอกสารแต่งตั้งไม่ควรใช้ถ้อยคำที่ทำให้ดูเสมือนว่าบริษัทเป็นผู้ควบคุมข้อมูลส่วนบุคคล เช่น เป็นผู้กำหนดฐานทางกฎหมาย ควบคุมการติดต่อกับเจ้าของข้อมูลส่วนบุคคล กำหนดวิธีปฏิบัติตามหน้าที่ด้านความโปร่งใส หรือตัดสินใจเกี่ยวกับข้อมูลส่วนบุคคลของบุคคลในประเทศไทยโดยอิสระ
การใช้เอกสารต้นแบบจากต่างประเทศอาจทำให้เกิดความเข้าใจคลาดเคลื่อนในประเด็นนี้ได้ แม้เอกสารที่จัดทำขึ้นตาม GDPR จะใช้เป็นจุดเริ่มต้นได้ แต่ไม่ได้หมายความว่าเอกสารดังกล่าวจะสอดคล้องกับข้อกำหนดของกฎหมายไทยโดยอัตโนมัติ เราได้อธิบายความแตกต่างบางประการไว้ในบทความเรื่อง “GDPR กับ PDPA ของไทย”
เอกสารแต่งตั้งต้องสะท้อนบทบาทตามข้อเท็จจริง ไม่ใช่กำหนดบทบาทขึ้นใหม่ให้แตกต่างจากผลการวิเคราะห์ทางกฎหมาย
อย่าสับสนตัวแทนกับเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล
การเป็นตัวแทนตาม PDPA ของไทยไม่ได้ทำให้บุคคลนั้นเป็นเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลโดยอัตโนมัติ
มาตรา 41 และมาตรา 42 กำหนดหลักเกณฑ์เกี่ยวกับการแต่งตั้งและหน้าที่ของเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล (“DPO”) โดยอาจต้องจัดให้มี DPO ในบางกรณี เช่น การประมวลผลบางประเภทโดยหน่วยงานของรัฐ กิจกรรมหลักที่ต้องตรวจสอบข้อมูลส่วนบุคคลหรือระบบอย่างสม่ำเสมอเนื่องจากมีข้อมูลส่วนบุคคลเป็นจำนวนมาก หรือกิจกรรมหลักที่เกี่ยวข้องกับข้อมูลส่วนบุคคลที่มีความอ่อนไหวตามมาตรา 26 หน้าที่ของ DPO ได้แก่ การให้คำแนะนำเกี่ยวกับการปฏิบัติตามกฎหมาย ตรวจสอบการดำเนินงาน ประสานงานกับสำนักงานฯ และรักษาความลับของข้อมูลที่ได้รับจากการปฏิบัติหน้าที่
ส่วนตัวแทนมีหน้าที่อีกลักษณะหนึ่ง
ตัวแทนอาจรับเรื่องหรือประสานการติดต่อระหว่างสำนักงานฯ เจ้าของข้อมูลส่วนบุคคล หรือ DPO ของบริษัทต่างชาติ แต่หน้าที่เหล่านี้ไม่ได้ทำให้ตัวแทนเป็น DPO หากผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคลต่างชาติมีหน้าที่ต้องจัดให้มี DPO ตัวแทนในประเทศไทยก็มีหน้าที่จัดให้มี DPO ตามมาตรา 41 เช่นกัน อย่างไรก็ตาม กฎหมายไม่ได้กำหนดว่าตัวแทนต้องทำหน้าที่เป็น DPO ด้วยตนเอง
หากแยกบทบาทของตัวแทนและ DPO ออกจากกัน เอกสารแต่งตั้งควรระบุให้ชัดเจน บริษัทในเครือ ผู้ขาย หรือผู้ให้บริการในประเทศไทยอาจตกลงเป็นตัวแทนตาม PDPA ได้ แต่ไม่ได้หมายความว่าบุคคลนั้นต้องรับหน้าที่ DPO ด้วย เว้นแต่คู่สัญญาจะได้ประเมินและตกลงเรื่องนี้แยกต่างหาก
อย่าให้อำนาจตัวแทนกว้างจนกลายเป็นตัวแทนทั่วไปโดยไม่ตั้งใจ
คำว่า “ตัวแทน” อาจทำให้เกิดความสับสน เพราะมีความหมายแตกต่างกันไปตามบริบท
ตัวแทนตาม PDPA ควรมีอำนาจเฉพาะในเรื่องที่เกี่ยวข้องกับ PDPA เว้นแต่คู่สัญญาตั้งใจจะให้อำนาจเพิ่มเติมไว้อย่างชัดเจน เอกสารแต่งตั้งจึงไม่ควรทำให้ตัวแทนในประเทศไทยกลายเป็น
- ตัวแทนทางการค้าทั่วไป
- ตัวแทนที่มีอำนาจเข้าทำสัญญาแทนบริษัท
- ตัวแทนที่มีอำนาจรับหมายเรียกหรือเอกสารในคดีแพ่ง
- บุคคลที่มีอำนาจยอมรับความรับผิดแทนบริษัท
- บุคคลที่มีอำนาจประนีประนอมยอมความ
- บุคคลที่มีอำนาจสละสิทธิ หรือ
- บุคคลที่มีอำนาจให้ถ้อยแถลงซึ่งผูกพันบริษัทในเรื่องที่อยู่นอกขอบเขตหน้าที่ตาม PDPA
อย่างไรก็ตาม ไม่ได้หมายความว่าการแต่งตั้งตัวแทนควรมีอยู่เพียงในนามหรือไม่มีผลในทางปฏิบัติ มาตรา 37(5) กำหนดให้มีตัวแทนที่มีอยู่จริงและมีอำนาจดำเนินการในเรื่องที่เกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลนั้น
เอกสารที่ร่างอย่างเหมาะสมต้องกำหนดขอบเขตให้ชัดเจน การรับเรื่อง ส่งต่อ ประสานงาน และอำนวยความสะดวกเกี่ยวกับการติดต่อภายใต้ PDPA แตกต่างจากการมีอำนาจผูกพันบริษัทต่างชาติในเรื่องทางการค้า การดำเนินคดี หรือการระงับข้อพิพาท
เอกสารแต่งตั้งต้องสอดคล้องกับบันทึกและข้อตกลงการประมวลผลข้อมูล
เอกสารแต่งตั้งตัวแทนไม่ควรถูกจัดทำแยกจากเอกสารด้านการคุ้มครองข้อมูลส่วนบุคคลอื่น ๆ
มาตรา 39 กำหนดให้ผู้ควบคุมข้อมูลส่วนบุคคลจัดทำและเก็บรักษาบันทึกรายการที่สำคัญ เช่น ประเภทข้อมูลส่วนบุคคลที่เก็บรวบรวม วัตถุประสงค์ของการเก็บรวบรวม รายละเอียดของผู้ควบคุมข้อมูลส่วนบุคคล ระยะเวลาเก็บรักษา สิทธิและวิธีการเข้าถึงข้อมูล การใช้หรือเปิดเผยข้อมูลในบางกรณี คำขอหรือคำคัดค้านที่ถูกปฏิเสธ และมาตรการรักษาความมั่นคงปลอดภัย หน้าที่ตามมาตรา 39 นี้ใช้กับตัวแทนของผู้ควบคุมข้อมูลส่วนบุคคลต่างชาติตามมาตรา 5 วรรคสองโดยอนุโลมด้วย
มาตรา 40 กำหนดหน้าที่ของผู้ประมวลผลข้อมูลส่วนบุคคลไว้ต่างหาก โดยต้องดำเนินการตามคำสั่งของผู้ควบคุมข้อมูลส่วนบุคคล จัดให้มีมาตรการรักษาความมั่นคงปลอดภัย แจ้งเหตุละเมิดข้อมูลส่วนบุคคลแก่ผู้ควบคุมข้อมูลส่วนบุคคล และจัดทำและเก็บรักษาบันทึกรายการกิจกรรมการประมวลผลข้อมูลส่วนบุคคลตามที่คณะกรรมการฯ กำหนด นอกจากนี้ ผู้ควบคุมข้อมูลส่วนบุคคลและผู้ประมวลผลข้อมูลส่วนบุคคลต้องจัดทำข้อตกลงที่กำหนดและควบคุมกิจกรรมการประมวลผลข้อมูลส่วนบุคคล ซึ่งเรียกโดยทั่วไปว่า “ข้อตกลงการประมวลผลข้อมูลส่วนบุคคล” (DPA) หากผู้ประมวลผลข้อมูลส่วนบุคคลดำเนินการนอกเหนือคำสั่งของผู้ควบคุมข้อมูลส่วนบุคคล ให้ถือว่าผู้ประมวลผลข้อมูลส่วนบุคคลเป็นผู้ควบคุมข้อมูลส่วนบุคคลสำหรับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลนั้น
เอกสารทุกฉบับต้องอธิบายโครงสร้างและบทบาทของแต่ละฝ่ายให้สอดคล้องกัน
ประกาศความเป็นส่วนตัว ข้อตกลงการประมวลผลข้อมูลส่วนบุคคล ข้อกำหนดเกี่ยวกับการโอนข้อมูล บันทึกรายการกิจกรรมการประมวลผลข้อมูลส่วนบุคคล ขั้นตอนรับมือเหตุละเมิดข้อมูลส่วนบุคคล และเอกสารแต่งตั้งตัวแทน ต้องสอดคล้องกับการไหลของข้อมูลที่เกิดขึ้นจริง หากเอกสารแต่ละฉบับอธิบายโครงสร้างไว้ต่างกัน บริษัทจะประสบปัญหาเมื่อมีคำขอใช้สิทธิ ข้อร้องเรียน เหตุละเมิดข้อมูลส่วนบุคคล หรือการสอบถามจากสำนักงานฯ
ความสอดคล้องของเอกสารมีความสำคัญอย่างยิ่งเมื่อเกิดเหตุละเมิดข้อมูลส่วนบุคคล เพราะองค์กรต้องทราบว่าใครเป็นผู้ควบคุมข้อมูล ใครเป็นผู้ประมวลผลข้อมูล ใครได้รับข้อมูล ใครมีหน้าที่แจ้งใคร และใครเป็นผู้ติดต่อกับสำนักงานฯ หรือเจ้าของข้อมูลส่วนบุคคลที่ได้รับผลกระทบ สำหรับหน้าที่ในการแจ้งเหตุ โปรดดูบทความของเราเรื่อง “การแจ้งเหตุละเมิดข้อมูลส่วนบุคคลภายใต้ PDPA ของไทย”
เอกสารแต่งตั้งควรครอบคลุมเรื่องใดบ้าง
ก่อนลงนามในเอกสารแต่งตั้งตัวแทนตาม PDPA ของไทย บริษัทต่างชาติและผู้ที่จะเป็นตัวแทนในประเทศไทยควรพิจารณาคำถามต่อไปนี้
ขอบเขตการใช้บังคับในประเทศไทย
มาตรา 5 วรรคสองใช้บังคับหรือไม่ บริษัทต่างชาติเสนอสินค้าหรือบริการให้แก่เจ้าของข้อมูลส่วนบุคคลในประเทศไทย เฝ้าติดตามพฤติกรรมที่เกิดขึ้นในประเทศไทย หรือทำเพียงงานประมวลผลเบื้องหลังในขอบเขตจำกัดตามคำสั่งของบุคคลอื่น
การแบ่งบทบาท
บริษัทต่างชาติมีสถานะเป็นผู้ควบคุมข้อมูลส่วนบุคคล ผู้ประมวลผลข้อมูลส่วนบุคคล หรือมีทั้งสองสถานะสำหรับกิจกรรมคนละประเภท มาตรา 37(5) ใช้บังคับโดยตรงหรือไม่ และมาตรา 38 ใช้บังคับเนื่องจากผู้ควบคุมข้อมูลส่วนบุคคลต่างชาติว่าจ้างผู้ประมวลผลข้อมูลส่วนบุคคลหรือไม่
ข้อยกเว้น
ข้อยกเว้นตามมาตรา 38 ใช้ได้หรือไม่ การประมวลผลเกี่ยวข้องกับข้อมูลส่วนบุคคลที่มีความอ่อนไหวตามมาตรา 26 หรือไม่ และเป็นการประมวลผลข้อมูลส่วนบุคคลเป็นจำนวนมากตามมาตรา 41(2) หรือไม่
ขอบเขตอำนาจของตัวแทน
ตัวแทนมีอำนาจเพียงรับเรื่อง ส่งต่อ และประสานการติดต่อภายใต้ PDPA หรือมีอำนาจดำเนินการในสาระสำคัญแทนบริษัทต่างชาติด้วย เรื่องใดที่ตัวแทนต้องรายงานหรือส่งต่อให้บริษัทพิจารณา และต้องดำเนินการภายในระยะเวลาเท่าใด
บันทึกและคำขอใช้สิทธิ
ใครเป็นผู้จัดทำและเก็บรักษาบันทึกตามมาตรา 39 หรือมาตรา 40 ใครเป็นผู้รับผิดชอบคำขอใช้สิทธิของเจ้าของข้อมูลส่วนบุคคล ใครเป็นผู้ติดต่อกับสำนักงานฯ และบริษัทต่างชาติต้องให้ข้อมูลใดแก่ตัวแทน
บทบาทของ DPO และข้อจำกัดของการเป็นตัวแทน
ตัวแทนจะทำหน้าที่เป็น DPO ด้วยหรือไม่ หรือจะแยกสองบทบาทนี้ออกจากกัน เอกสารแต่งตั้งหลีกเลี่ยงถ้อยคำที่อาจทำให้เข้าใจว่าตัวแทนมีอำนาจทั่วไป มีอำนาจรับหมายเรียกหรือเอกสารในคดีแพ่ง มีอำนาจระงับข้อพิพาท หรือมีอำนาจยอมรับความรับผิดแทนบริษัทแล้วหรือไม่
ประเด็นเหล่านี้ควรตกลงกันให้ชัดเจนก่อนลงนามในเอกสาร ไม่ใช่รอให้เกิดข้อร้องเรียนหรือเหตุละเมิดข้อมูลส่วนบุคคลก่อน
ประเด็นสำคัญในทางปฏิบัติ
เอกสารแต่งตั้งตัวแทนตาม PDPA ของไทยเป็นเอกสารที่ใช้กำหนดและแบ่งบทบาทของแต่ละฝ่าย
บริษัทต่างชาติควรพิจารณาก่อนว่ามาตรา 5 ใช้บังคับหรือไม่ ตนมีสถานะเป็นผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคลอย่างไร ข้อมูลไหลไปยังบุคคลใดและเพื่อวัตถุประสงค์ใด รวมถึงมีข้อยกเว้นตามมาตรา 38 หรือไม่ จากนั้นจึงจัดทำเอกสารแต่งตั้งให้สอดคล้องกับผลการวิเคราะห์
สำหรับบริษัทหรือบุคคลในประเทศไทยที่ได้รับการติดต่อให้เป็นตัวแทน ก็ควรพิจารณาเรื่องนี้จากอีกมุมหนึ่ง โดยต้องเข้าใจให้ชัดเจนว่ากำลังรับหน้าที่และความรับผิดชอบใด เอกสารแต่งตั้งควรกำหนดขอบเขตอำนาจ หน้าที่ด้านการติดต่อสื่อสาร การจัดทำและเก็บรักษาบันทึก ความสัมพันธ์กับบทบาทของ DPO และข้อจำกัดของการเป็นตัวแทนให้ชัดเจน
ความเสี่ยงไม่ได้มีเพียงการไม่แต่งตั้งตัวแทนเมื่อ PDPA กำหนดให้ต้องแต่งตั้ง แต่ยังรวมถึงการแต่งตั้งโดยใช้ถ้อยคำที่ทำให้เกิดความสับสนว่าใครเป็นผู้ควบคุมข้อมูลส่วนบุคคล ใครเป็นผู้ประมวลผลข้อมูลส่วนบุคคล ใครเป็นผู้ติดต่อกับหน่วยงานกำกับดูแล ใครเป็นผู้รับผิดชอบคำขอใช้สิทธิของเจ้าของข้อมูลส่วนบุคคล และใครต้องรับผิดตามกฎหมาย
ตัวแทนในประเทศไทยอาจเป็นบุคคลที่เจ้าของข้อมูลส่วนบุคคลและหน่วยงานกำกับดูแลติดต่อในฐานะผู้แทนของบริษัทต่างชาติสำหรับเรื่องที่เกี่ยวกับ PDPA เอกสารแต่งตั้งจึงต้องอธิบายให้ชัดเจนว่าบทบาทนี้ครอบคลุมเรื่องใด และไม่ครอบคลุมเรื่องใด
ข้อคิดเห็นในบทความนี้จัดทำขึ้นเพื่อการอภิปรายและให้ข้อมูลทั่วไปเท่านั้น และอาจไม่ครอบคลุมพัฒนาการทางกฎหมายล่าสุด เนื้อหาในบทความนี้ไม่ถือเป็นคำแนะนำทางกฎหมายและไม่ควรนำไปใช้แทนคำแนะนำทางกฎหมายสำหรับกรณีใดกรณีหนึ่ง
