บริษัทแม่ต่างประเทศขอข้อมูลพนักงานและลูกค้า บริษัทไทยต้องตรวจอะไรก่อนส่ง

บริษัทไทยที่มีบริษัทแม่หรือบริษัทในเครืออยู่ต่างประเทศมักได้รับอีเมลแนวนี้ "ช่วยส่งรายชื่อพนักงานพร้อมเงินเดือนมาให้ HQ" "ขอสิทธิ์เข้าใช้งาน CRM ของลูกค้าไทยทั้งหมด" หรือ "ทีมตรวจสอบภายในจะบินมา ขอสำเนาแฟ้มประวัติพนักงานและสัญญาลูกค้าล่วงหน้า" ฝ่ายบัญชีหรือฝ่ายบุคคลมักตอบรับเพราะเป็นคำสั่งจากต้นสังกัด แต่ในทางกฎหมาย บริษัทไทยเป็นผู้ที่ต้องรับผิดต่อพนักงานและลูกค้าในฐานะผู้ควบคุมข้อมูล การเป็นบริษัทในเครือเดียวกันไม่ใช่เหตุที่ทำให้ส่งข้อมูลได้เอง

คำตอบหลัก

ก่อนส่งข้อมูลพนักงานหรือลูกค้าให้บริษัทแม่ บริษัทไทยต้องตอบให้ได้ห้าข้อ คือ ขอไปเพื่ออะไร ข้อมูลที่ขอจำเป็นต่อวัตถุประสงค์นั้นจริงหรือไม่ บริษัทแม่มีบทบาทอะไรกับข้อมูลนี้ (ผู้ควบคุมข้อมูลอีกราย ผู้ควบคุมร่วม หรือผู้ประมวลผล) ฐานทางกฎหมายของแต่ละวัตถุประสงค์คืออะไร และเมื่อข้อมูลออกนอกประเทศ ใช้ช่องทางใดตามมาตรา 28 หรือมาตรา 29 ของ พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 นอกจากนี้ต้องดูสัญญากับลูกค้าด้วยว่ามีข้อห้ามเปิดเผยข้อมูลหรือไม่ เพราะข้อตกลงรักษาความลับผูกพันบริษัทไทยต่างหากจาก PDPA

คำตอบที่ปลอดภัยที่สุดมักไม่ใช่ "ส่งหรือไม่ส่ง" แต่เป็น "ส่งเท่าไรและส่งอย่างไร" เช่น ส่งตัวเลขรวมหรือข้อมูลที่ไม่ระบุตัวตนแทนรายตัว เปิดสิทธิดูเฉพาะฟิลด์และเฉพาะคนที่จำเป็น และทำข้อตกลงโอนข้อมูลภายในกลุ่มก่อนข้อมูลชุดแรกออกจากไทย

มุมมองเชิงปฏิบัติของเรา ปัญหาที่เห็นบ่อยไม่ใช่การส่งข้อมูลโดยเจตนาไม่ดี แต่เป็นการส่งไปก่อนแล้วค่อยหาเอกสารมารองรับ เมื่อมีพนักงานร้องเรียนหรือลูกค้าถามว่าข้อมูลไปอยู่ที่ไหน บริษัทไทยจึงตอบไม่ได้ว่าส่งเพราะอะไรและใครเห็นบ้าง การทำแผนที่ข้อมูลหนึ่งหน้าก่อนตอบ HQ ช่วยได้มากกว่าการร่างข้อตกลงฉบับยาวทีหลัง

1. เริ่มจากทำแผนที่คำขอ: ขออะไร ของใคร เพื่ออะไร

อย่าเริ่มที่คำถามว่า "ส่งได้ไหม" ให้เริ่มจากให้ HQ ระบุคำขอเป็นลายลักษณ์อักษร แล้วบริษัทไทยกรอกตารางนี้ก่อนตัดสินใจ

คำขอจำนวนไม่น้อยตอบข้อ "เพื่ออะไร" ไม่ได้ชัด เช่น "เผื่อใช้ภายหลัง" หรือ "ตามนโยบายกลุ่ม" ถ้าตอบไม่ได้ ให้ถือว่ายังไม่ถึงเวลาส่ง เพราะกฎหมายให้เก็บรวบรวมได้เท่าที่จำเป็นภายใต้วัตถุประสงค์ที่ชอบด้วยกฎหมาย (มาตรา 22) และให้ใช้หรือเปิดเผยได้ตามวัตถุประสงค์ที่แจ้งไว้ตอนเก็บข้อมูล (มาตรา 21)

2. บริษัทไทยและบริษัทแม่ต่างมีบทบาทอะไร

PDPA แบ่งผู้เกี่ยวข้องเป็น "ผู้ควบคุมข้อมูล" ซึ่งเป็นผู้ตัดสินใจเกี่ยวกับการเก็บ ใช้ หรือเปิดเผยข้อมูล และ "ผู้ประมวลผลข้อมูล" ซึ่งทำตามคำสั่งของผู้ควบคุม บทบาทกำหนดจากข้อเท็จจริงว่าใครกำหนดวัตถุประสงค์และวิธีการ ไม่ใช่จากชื่อที่เขียนในสัญญา

• บริษัทไทย เป็นผู้ควบคุมข้อมูลของพนักงานและลูกค้าที่ตนเก็บอยู่แล้ว ไม่ว่า HQ จะขอหรือไม่
• บริษัทแม่ อาจเป็นได้สามแบบ ขึ้นอยู่กับสิ่งที่ทำจริง

ข้อสังเกตที่เปลี่ยนคำตอบได้ คือ ถ้า HQ ใช้ข้อมูลของพนักงานไทยเพื่อเป้าหมายของ HQ เอง ทั้งที่สัญญาเขียนว่าเป็นผู้ประมวลผล ข้อเท็จจริงจะชี้ไปทางผู้ควบคุมข้อมูลอีกราย และเอกสารที่เขียนไว้ผิดบทบาทไม่ช่วยบริษัทไทย

3. แต่ละวัตถุประสงค์ใช้ฐานทางกฎหมายอะไร

ฐานทางกฎหมายต้องกำหนดแยกตามวัตถุประสงค์ ไม่ใช่เลือกฐานเดียวคลุมทั้งคำขอ มาตรา 24 วางฐานที่เก็บรวบรวมได้โดยไม่ต้องขอความยินยอม ได้แก่ ฐานสัญญา ฐานปฏิบัติตามกฎหมาย ฐานประโยชน์โดยชอบด้วยกฎหมายของผู้ควบคุมข้อมูลหรือบุคคลอื่น (เว้นแต่สิทธิขั้นพื้นฐานของเจ้าของข้อมูลสำคัญกว่า) ฐานป้องกันอันตรายต่อชีวิต ฐานภารกิจเพื่อประโยชน์สาธารณะ และฐานเอกสารประวัติศาสตร์หรือการวิจัย ส่วนมาตรา 19 ว่าด้วยความยินยอม

เรื่องความยินยอมของพนักงาน ควรระวังเป็นพิเศษ มาตรา 19 ให้ผู้ควบคุมข้อมูลคำนึงถึงความเป็นอิสระในการให้ความยินยอม และห้ามกำหนดให้ความยินยอมเป็นเงื่อนไขของสัญญาในเรื่องที่ไม่จำเป็นต่อสัญญานั้น อีกทั้งเจ้าของข้อมูลถอนความยินยอมได้ทุกเมื่อ ถ้าบริษัทพึ่งความยินยอมเป็นฐานเดียวและพนักงานบางคนถอน บริษัทจะติดอยู่กลางทาง ควรใช้ฐานอื่นเป็นหลักเมื่อมี

4. ส่งน้อยที่สุด: เงินเดือนรวม แทนเงินเดือนรายตัว

หลักลดข้อมูล (data minimisation) คือเครื่องมือที่ถูกที่สุดและได้ผลที่สุด หลายคำขอของ HQ ไม่ต้องใช้ข้อมูลรายตัวเลย

ข้อมูลที่ "ไม่ระบุตัวตน" อย่างแท้จริงไม่ถือเป็นข้อมูลส่วนบุคคล แต่ข้อมูลที่เพียงใช้รหัสแทนชื่อ (pseudonymised) ยังเป็นข้อมูลส่วนบุคคลได้ถ้า HQ ไขกลับได้ เช่น มีตารางจับคู่รหัสกับชื่ออยู่ จึงควรเก็บตารางจับคู่ไว้ที่บริษัทไทยเท่านั้น และตรวจว่าชุดข้อมูลเล็กจนระบุตัวบุคคลจากตำแหน่งหรือเงินเดือนได้หรือไม่ เช่นแผนกที่มีคนเดียว

ข้อมูลอ่อนไหว มาตรา 26 ระบุข้อมูลสุขภาพ ประวัติอาชญากรรม ข้อมูลชีวมิติ ข้อมูลพันธุกรรม ความพิการ การเป็นสมาชิกสหภาพแรงงาน และอื่นๆ ว่าห้ามเก็บรวบรวมโดยไม่ได้รับความยินยอมโดยชัดแจ้ง เว้นแต่เข้าข้อยกเว้น เช่น ที่จำเป็นเพื่อการปฏิบัติตามกฎหมายเรื่องการคุ้มครองแรงงานหรือประกันสังคม หรือเพื่อก่อตั้งสิทธิเรียกร้องตามกฎหมาย ตัวอย่างในที่ทำงานคือใบรับรองแพทย์ผู้ลาป่วย ผลตรวจสุขภาพประจำปี ข้อมูลสแกนลายนิ้วมือเข้างาน และผลตรวจประวัติอาชญากรรมก่อนรับเข้าทำงาน ควรตั้งหลักว่าไม่ส่งข้อมูลกลุ่มนี้ให้ HQ หากส่งสรุปได้ เช่น "ผ่านการตรวจสอบคุณสมบัติ" ก็ส่งเพียงผลสรุป

5. เมื่อข้อมูลออกนอกประเทศ: มาตรา 28 และมาตรา 29

การให้ HQ เปิดดูข้อมูลที่เก็บในไทยจากต่างประเทศ หรือส่งไฟล์ข้ามประเทศ ถือเป็นการส่งหรือโอนข้อมูลไปต่างประเทศ ผู้ควบคุมข้อมูลมีทางเลือกหลักสี่ทาง

ทางที่ 1 ประเทศปลายทางมีมาตรฐานเพียงพอ (มาตรา 28) มาตรา 28 กำหนดว่าประเทศปลายทางหรือองค์การระหว่างประเทศที่รับข้อมูลต้องมีมาตรฐานการคุ้มครองข้อมูลที่เพียงพอ ตามหลักเกณฑ์ที่คณะกรรมการคุ้มครองข้อมูลส่วนบุคคลประกาศกำหนด ประกาศฉบับปี 2566 ว่าด้วยหลักเกณฑ์มาตรา 28 และฉบับว่าด้วยมาตรา 29 มีผลตั้งแต่ 24 มีนาคม 2567 โดยตามประกาศ ประเทศปลายทางต้องมีมาตรการทางกฎหมายที่สอดคล้องกับ PDPA และมีหน่วยงานกำกับดูแล คณะกรรมการอาจวินิจฉัยเป็นรายกรณี ก่อนอ้างทางนี้จึงต้องตรวจก่อนว่าประเทศของ HQ ได้รับการยอมรับว่าเพียงพอหรือไม่ ไม่ควรสันนิษฐานเอง

ทางที่ 2 นโยบายคุ้มครองข้อมูลภายในกลุ่มที่ได้รับการตรวจรับรอง หรือ BCR (มาตรา 29) ใช้ได้กับการส่งให้ผู้ประกอบการที่อยู่ในเครือกิจการหรือเครือธุรกิจเดียวกัน โดยนโยบายของทั้งสองฝ่ายต้องได้รับการตรวจสอบและรับรองจากสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลก่อน เนื้อหาต้องผูกพันทุกบริษัทในกลุ่มและพนักงาน รับรองสิทธิของเจ้าของข้อมูลและการร้องเรียน และมีมาตรการรักษาความมั่นคงปลอดภัยตามมาตรฐานขั้นต่ำ BCR เหมาะกับกลุ่มใหญ่ที่แลกเปลี่ยนข้อมูลบ่อยและพร้อมลงทุนทำขั้นตอนขอรับรอง ส่วนบริษัทไทยที่ HQ ยังไม่มี BCR ที่ผ่านการรับรอง ทางนี้ยังไม่พร้อมใช้

ทางที่ 3 มาตรการปกป้องที่เหมาะสม (มาตรา 29 วรรคสอง) เมื่อไม่มีการวินิจฉัยว่าประเทศปลายทางเพียงพอและไม่มี BCR ที่รับรองแล้ว การส่งยังทำได้ถ้ามีมาตรการปกป้องที่เหมาะสมซึ่งเจ้าของข้อมูลบังคับใช้สิทธิได้และมีมาตรการเยียวยาทางกฎหมายที่มีประสิทธิภาพ ตามประกาศ รูปแบบหนึ่งคือข้อสัญญา ซึ่งอาจเป็นข้อสัญญามาตรฐานที่ประกาศยอมรับ เช่น ASEAN Model Contractual Clauses หรือข้อสัญญามาตรฐานของสหภาพยุโรป (EU SCCs) หรือเป็นสัญญาที่คู่สัญญาร่างเองโดยมีเนื้อหาขั้นต่ำตามประกาศ อีกรูปแบบคือการรับรองมาตรฐานการเก็บ ใช้ และเปิดเผยข้อมูลของผู้ส่งหรือผู้รับ สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลเผยแพร่เอกสารสัญญาต้นแบบไว้ที่เว็บไซต์ของสำนักงาน ในทางปฏิบัติ ทางนี้เป็นทางที่บริษัทไทยในเครือต่างชาติใช้ได้เร็วที่สุด

ทางที่ 4 ข้อยกเว้นตามมาตรา 28 แม้ไม่เข้าสามทางแรก ก็ยังส่งได้ในกรณีเช่น เป็นการปฏิบัติตามกฎหมาย ได้รับความยินยอมโดยแจ้งให้เจ้าของข้อมูลทราบถึงมาตรฐานคุ้มครองที่ไม่เพียงพอของปลายทางแล้ว เป็นการจำเป็นเพื่อปฏิบัติตามสัญญาที่เจ้าของข้อมูลเป็นคู่สัญญา หรือเพื่อป้องกันอันตรายต่อชีวิต ข้อยกเว้นเหล่านี้ตีความเคร่ง และมักไม่เหมาะกับการส่งข้อมูลประจำ

• ความยินยอม ใช้ยากกับพนักงานด้วยเหตุผลในหัวข้อ 3 และต้องแจ้งความเสี่ยงของประเทศปลายทางก่อนด้วย
• ความจำเป็นตามสัญญา ใช้ได้เมื่อการส่งข้อมูลจำเป็นต่อสัญญาจริง เช่น พนักงานที่ถูกส่งไปทำงานที่บริษัทแม่ต้องใช้ข้อมูลของตนที่นั่น แต่การจ่ายเงินเดือนพนักงานไทยตามสัญญาจ้างโดยปกติไม่ต้องให้ HQ ถือข้อมูลรายตัว จึงอ้างข้อนี้เพื่อส่งรายงานให้ HQ ไม่ได้ง่ายนัก

ข้อควรจำ คือ มาตรา 28 และ 29 แก้ปัญหา "การส่งออกนอกประเทศ" เท่านั้น ยังต้องมีฐานตามมาตรา 24 หรือ 19 สำหรับการเปิดเผยข้อมูลให้ HQ และต้องแจ้งเจ้าของข้อมูลด้วยเสมอ

6. สัญญาลูกค้ามีข้อห้ามเปิดเผยหรือไม่

PDPA อนุญาตไม่เท่ากับสัญญาอนุญาต ลูกค้าองค์กรจำนวนมาก โดยเฉพาะธนาคาร โรงพยาบาล หน่วยงานรัฐ และบริษัทจดทะเบียน ใส่ข้อตกลงรักษาความลับ ข้อจำกัดการใช้ผู้รับเหมาช่วง หรือข้อกำหนดให้เก็บข้อมูลในประเทศไทยไว้ในสัญญา ก่อนเปิดสิทธิเข้า CRM ให้ HQ ควรตรวจ

• ข้อมูลของลูกค้ารายนั้นถูกกำหนดเป็น "ข้อมูลที่เป็นความลับ" หรือไม่ และห้ามเปิดเผยแก่บริษัทในเครือหรือไม่
• มีข้อกำหนดให้ขออนุญาตเป็นลายลักษณ์อักษรก่อนให้บุคคลที่สามเข้าถึงหรือไม่ และบริษัทแม่นับเป็นบุคคลที่สามหรือไม่
• มีข้อห้ามเก็บหรือประมวลผลข้อมูลนอกประเทศไทยหรือไม่
• มีข้อกำหนดเรื่องมาตรฐานความปลอดภัย การตรวจสอบ และการแจ้งเหตุที่ HQ ต้องปฏิบัติตามหรือไม่

ถ้าเข้าข่ายข้อห้าม ทางออกคือขอความยินยอมจากลูกค้าเป็นลายลักษณ์อักษร หรือแยกส่งเฉพาะข้อมูลที่ไม่เกี่ยวกับลูกค้ารายนั้น หรือให้ทีมบริษัทไทยทำงานแทน การฝ่าฝืนข้อตกลงรักษาความลับเป็นการผิดสัญญาที่อาจนำไปสู่การเรียกค่าเสียหายและการเลิกสัญญา ไม่ว่าจะผ่าน PDPA หรือไม่

7. หนังสือแจ้งความเป็นส่วนตัวครอบคลุมการส่งให้ HQ หรือยัง

มาตรา 23 กำหนดให้แจ้งเจ้าของข้อมูลก่อนหรือขณะเก็บรวบรวม ในเรื่องวัตถุประสงค์ ข้อมูลที่เก็บและระยะเวลาเก็บ ประเภทของบุคคลหรือหน่วยงานที่อาจได้รับการเปิดเผย ข้อมูลผู้ควบคุมข้อมูล และสิทธิของเจ้าของข้อมูล ตรวจว่าประกาศที่ให้พนักงานและลูกค้าไว้เดิมระบุหรือไม่ว่า

• ข้อมูลอาจถูกเปิดเผยแก่บริษัทแม่และบริษัทในเครือ พร้อมวัตถุประสงค์
• ข้อมูลอาจถูกส่งหรือเก็บในต่างประเทศ ระบุประเทศหรือภูมิภาคเท่าที่ทำได้
• มาตรการปกป้องที่ใช้ เช่น ข้อสัญญามาตรฐาน

ถ้าไม่ครอบคลุม ต้องแจ้งใหม่ก่อนส่ง และถ้าวัตถุประสงค์ใหม่ต่างจากที่แจ้งไว้เดิม ต้องปฏิบัติตามมาตรา 21 คือแจ้งวัตถุประสงค์ใหม่และขอความยินยอมก่อน เว้นแต่กฎหมายให้ทำได้ การเพิ่มข้อความกว้างๆ ในนโยบายหลังจากเก็บข้อมูลไปแล้วอาจไม่พอ

8. เมื่อส่งแล้ว: การเข้าถึง บันทึก และการลบ

หน้าที่ของบริษัทไทยไม่จบที่การส่ง มาตรา 37 กำหนดให้ผู้ควบคุมข้อมูลมีมาตรการรักษาความมั่นคงปลอดภัย และเมื่อต้องให้ข้อมูลแก่บุคคลที่ไม่ใช่ผู้ควบคุมข้อมูล ต้องดำเนินการเพื่อป้องกันไม่ให้ผู้นั้นใช้หรือเปิดเผยโดยมิชอบ รวมทั้งมีระบบตรวจสอบเพื่อลบหรือทำลายข้อมูลเมื่อพ้นระยะเวลาเก็บรักษา หรือเมื่อไม่เกี่ยวข้องหรือเกินความจำเป็น ในทางปฏิบัติควรกำหนด

• การเข้าถึงตามหน้าที่ ระบุรายชื่อผู้เข้าถึงของ HQ ให้สิทธิอ่านอย่างเดียวและเฉพาะฟิลด์ที่จำเป็น ปิดการดาวน์โหลดหรือส่งออกถ้าไม่จำเป็น
• บันทึกการเข้าใช้ (log) เก็บบันทึกว่าใครเข้าดูข้อมูลอะไร เมื่อไร และตรวจสอบเป็นระยะ
• ห้ามส่งต่อ ห้าม HQ ส่งต่อให้บริษัทอื่นหรือผู้รับเหมาโดยไม่ได้รับอนุญาตจากบริษัทไทย
• ตรวจสอบภายใน: ลบหลังเสร็จงาน กำหนดว่าเมื่อการตรวจสอบเสร็จ HQ ต้องลบหรือคืนสำเนาภายในกำหนด และยืนยันเป็นหนังสือ
• แจ้งเหตุรั่วไหล ให้ HQ แจ้งบริษัทไทยทันที เพราะบริษัทไทยในฐานะผู้ควบคุมข้อมูลมีหน้าที่แจ้งสำนักงานโดยไม่ชักช้าภายใน 72 ชั่วโมงนับแต่ทราบเหตุเท่าที่ทำได้ เว้นแต่การรั่วไหลนั้นไม่น่าจะมีความเสี่ยงต่อสิทธิและเสรีภาพของบุคคล (มาตรา 37) ดูแผนรับมือในคู่มือข้อมูลลูกค้ารั่วไหล

บริษัทไทยในฐานะผู้ควบคุมข้อมูลต้องจัดทำบันทึกรายการประมวลผลตามมาตรา 39 ซึ่งรวมถึงข้อมูลที่เก็บ วัตถุประสงค์ ระยะเวลาเก็บ ผู้รับข้อมูล และมาตรการรักษาความปลอดภัย การส่งข้อมูลให้ HQ ควรถูกบันทึกในรายการนี้ด้วย

9. เอกสารที่ควรเตรียม

เอกสารทั้งหมดควรลงนามโดยกรรมการผู้มีอำนาจของบริษัทไทย และเก็บไว้ในแฟ้มเดียวที่ตรวจสอบได้เมื่อมีพนักงานร้องเรียนหรือเจ้าหน้าที่ขอตรวจ

10. ตารางตัดสินใจตามสถานการณ์

11. ข้อผิดพลาดที่พบบ่อย

• ถือว่าบริษัทในเครือเดียวกันส่งข้อมูลหากันได้โดยไม่ต้องมีเอกสาร PDPA ไม่มีข้อยกเว้นให้กับบริษัทแม่ลูกโดยอัตโนมัติ ข้อยกเว้นเดียวที่เกี่ยวข้องโดยตรงคือ BCR ที่ได้รับการตรวจรับรองตามมาตรา 29
• ใช้ความยินยอมของพนักงานเป็นฐานเดียว ความยินยอมถอนได้ และความไม่เท่าเทียมของนายจ้างกับลูกจ้างทำให้เสี่ยงว่าไม่เป็นอิสระ
• ส่งเต็มชุดเพราะ HQ ขอ หลายคำขอใช้ข้อมูลรวมได้ ให้ถามก่อนว่า HQ จะนำข้อมูลไปทำอะไร
• ให้ HQ เป็นผู้ประมวลผลในกระดาษ แต่ HQ ใช้ข้อมูลเพื่อตนเอง บทบาทตามความเป็นจริงมีน้ำหนักกว่าชื่อในสัญญา
• ลืมสัญญาลูกค้า ตรวจ PDPA ผ่านแล้วแต่ผิดข้อตกลงรักษาความลับ
• ส่งไฟล์ทางอีเมลหรือแชตส่วนตัว ไม่มี log ไม่มีการควบคุมการส่งต่อ และลบกลับไม่ได้
• ไม่กำหนดวันลบข้อมูลหลังตรวจสอบเสร็จ ข้อมูลค้างอยู่ที่ HQ ไม่มีกำหนด
• ไม่แจ้งพนักงานและลูกค้า ประกาศความเป็นส่วนตัวเดิมไม่ได้พูดถึงบริษัทแม่หรือต่างประเทศ

12. รายการตรวจก่อนตอบ HQ

• ให้ HQ ระบุคำขอเป็นลายลักษณ์อักษร: ข้อมูลอะไร ของใคร เพื่ออะไร ใครเห็น เก็บที่ไหน เก็บนานเท่าไร
• ตรวจว่าข้อมูลที่ขอจำเป็นต่อวัตถุประสงค์จริงหรือไม่ และลดเป็นข้อมูลรวมหรือใช้รหัสแทนชื่อได้หรือไม่
• ระบุบทบาทของ HQ: ผู้ควบคุมข้อมูลอีกราย ผู้ควบคุมร่วม หรือผู้ประมวลผล ตามที่ทำจริง
• กำหนดฐานทางกฎหมายแยกตามวัตถุประสงค์ และไม่พึ่งความยินยอมพนักงานเป็นฐานเดียว
• คัดข้อมูลอ่อนไหว (สุขภาพ อาชญากรรม ชีวมิติ ฯลฯ) ออก หรือส่งเฉพาะผลสรุป
• เลือกช่องทางส่งไปต่างประเทศ: ประเทศปลายทางเพียงพอ BCR ข้อสัญญามาตรฐาน หรือข้อยกเว้นตามมาตรา 28
• อ่านสัญญาลูกค้ารายสำคัญ: ข้อรักษาความลับ ข้อห้ามให้บุคคลที่สามเข้าถึง ข้อกำหนดเก็บข้อมูลในไทย
• ตรวจว่าหนังสือแจ้งความเป็นส่วนตัวครอบคลุมบริษัทแม่และต่างประเทศ ถ้าไม่ครอบคลุมให้แจ้งใหม่
• ทำข้อตกลงโอนข้อมูลหรือสัญญาประมวลผล ก่อนส่งข้อมูลชุดแรก
• จำกัดสิทธิเข้าถึง เปิด log กำหนดห้ามส่งต่อ และกำหนดวันลบหรือคืนข้อมูล
• บันทึกการส่งในรายการประมวลผล (มาตรา 39) และเก็บเอกสารทั้งหมดในแฟ้มเดียว

อ่านเพิ่มเติม

• บริษัทต่างชาติไม่มีฝ่ายกฎหมายในไทย บริหารบริษัทลูกในไทยอย่างไร — โครงสร้างการสื่อสารและการอนุมัติระหว่าง HQ กับบริษัทลูก
• ข้อมูลลูกค้ารั่วไหล บริษัทควรทำอะไรเป็นลำดับแรก — แผนรับมือ 72 ชั่วโมงเมื่อข้อมูลที่ส่งให้ HQ รั่ว
• พนักงานใช้ ChatGPT กับข้อมูลลูกค้า บริษัทต้องมีนโยบาย AI อะไรบ้าง — ควบคุมข้อมูลลูกค้าที่ออกไปยังเครื่องมือภายนอก
• พนักงานเก่าเอารายชื่อลูกค้าไปใช้ — ความลับทางการค้าและเอกสารที่ควรมีไว้ก่อน

ก่อนส่งข้อมูลพนักงานหรือลูกค้าให้บริษัทแม่ ให้ตอบให้ได้ว่าส่งเพื่ออะไร ส่งเท่าที่จำเป็น บริษัทแม่มีบทบาทอะไร ใช้ช่องทางตามมาตรา 28 หรือ 29 ข้อใด และสัญญาลูกค้าอนุญาตหรือไม่ แล้วทำเอกสารให้เสร็จก่อนข้อมูลชุดแรกออกจากไทย

เราช่วยร่างข้อตกลงโอนข้อมูลภายในกลุ่มและสัญญาประมวลผลข้อมูล ตรวจสัญญาลูกค้าที่มีข้อห้ามเปิดเผย ปรับหนังสือแจ้งความเป็นส่วนตัว และวางแนวทางตอบคำขอของ HQ ให้บริษัทไทยที่มีบริษัทแม่ต่างประเทศ ปรึกษาเบื้องต้น โทร 092-254-2045 หรือ ส่งรายละเอียดให้เรา ดูเพิ่มเติมที่ งานด้าน PDPA และ สัญญาและเอกสาร

คู่มือนี้เผยแพร่โดย สำนักงานกฎหมายสุวรรณวรา ลอว์เฟิร์ม — สำนักงานกฎหมายในจังหวัดขอนแก่น ก่อตั้งเมื่อปี 1986 เป็นข้อมูลทั่วไปเท่านั้น ไม่ใช่คำแนะนำทางกฎหมายสำหรับเรื่องใดเรื่องหนึ่งโดยเฉพาะ