Cloud ในประเทศกับ PDPA: เรื่องที่ตั้งของข้อมูลที่องค์กรควรรู้

สรุปสั้นๆ: PDPA ไม่ได้บังคับให้เก็บข้อมูลส่วนบุคคลไว้ในประเทศไทยเสมอไป แต่ถ้าส่งข้อมูลไปเก็บหรือประมวลผลต่างประเทศ ต้องเป็นไปตามเงื่อนไขของกฎหมาย การใช้ Cloud ในประเทศจึงช่วยให้การวิเคราะห์และการปฏิบัติตามกฎหมายง่ายขึ้น แต่ไม่ได้แทนหน้าที่อื่นตาม PDPA

บทความนี้เป็นข้อมูลทั่วไป ไม่ใช่คำปรึกษาทางกฎหมาย

PDPA พูดถึงการส่งข้อมูลไปต่างประเทศว่าอย่างไร

พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 (PDPA) มีผลบังคับใช้เต็มรูปแบบตั้งแต่ 1 มิถุนายน 2565 ในส่วนของการส่งหรือโอนข้อมูลส่วนบุคคลไปต่างประเทศ หลักการโดยสรุปคือ

• ประเทศหรือองค์กรปลายทางต้องมีมาตรฐานการคุ้มครองข้อมูลที่เพียงพอ ตามหลักเกณฑ์ที่คณะกรรมการคุ้มครองข้อมูลส่วนบุคคลกำหนด
• หรือเข้าข้อยกเว้นที่กฎหมายกำหนด เช่น ได้รับความยินยอมจากเจ้าของข้อมูลหลังแจ้งให้ทราบถึงมาตรฐานของประเทศปลายทาง หรือจำเป็นเพื่อปฏิบัติตามสัญญา
• หรือมีมาตรการคุ้มครองที่เหมาะสม เช่น นโยบายภายในกลุ่มกิจการที่ได้รับการตรวจสอบ

นอกจาก PDPA แล้ว บางอุตสาหกรรม เช่น การเงิน หรือหน่วยงานรัฐ อาจมีข้อกำหนดเฉพาะจากหน่วยงานกำกับดูแล ควรตรวจสอบเพิ่มเติม

ข้อดีของ Cloud ในประเทศ

• วิเคราะห์ข้อกฎหมายง่ายขึ้น เพราะข้อมูลอยู่ในประเทศ ไม่ต้องพิจารณาเงื่อนไขการโอนข้ามประเทศสำหรับการจัดเก็บ
• Latency ต่ำ ผู้ใช้ในประเทศเข้าถึงระบบได้เร็ว
• ติดต่อประสานงานง่าย คุยกับผู้ให้บริการในเขตเวลาและภาษาเดียวกัน

สิ่งที่ยังต้องทำแม้ใช้ Cloud ในประเทศ

1. มีฐานทางกฎหมายในการเก็บและใช้ข้อมูลแต่ละประเภท
2. ทำสัญญาประมวลผลข้อมูล (Data Processing Agreement) กับผู้ให้บริการ
3. กำหนดมาตรการรักษาความปลอดภัย เช่น การควบคุมสิทธิ์เข้าถึง การเข้ารหัส และการสำรองข้อมูล
4. ตรวจว่าผู้ให้บริการมีมาตรฐานความมั่นคงปลอดภัยที่ตรวจสอบได้

Starships Cloud ของ GIST

Starships Cloud เป็นบริการ Infrastructure as a Service (IaaS) ภายในประเทศ (Local Cloud) ภายใต้บริษัท โกลบอล อินโนเวทีฟ โซลูชั่นส์ จำกัด ดำเนินการภายใต้มาตรฐาน ISO/IEC 27001 ซึ่งครอบคลุมบริการ Cloud Service - IaaS ของเรา