Global CBPR คืออะไร ครม. ไฟเขียวไทยยื่นเจตจำนง ธุรกิจส่งข้อมูลข้ามประเทศได้อะไร

ครม. เห็นชอบร่างหนังสือ Global CBPR แต่ไทยยังไม่เป็นสมาชิก

มติ ครม. ตามที่กรมประชาสัมพันธ์เผยแพร่มี 3 ข้อ ข้อแรก เห็นชอบร่างหนังสือแสดงเจตจำนงการเข้าร่วมกรอบ Global CBPR ข้อสอง อนุมัติให้รัฐมนตรีว่าการกระทรวงดิจิทัลเพื่อเศรษฐกิจและสังคม หรือผู้แทนที่ได้รับมอบหมาย เป็นผู้ลงนามในหนังสือ ข้อสาม มอบหมายให้สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (สคส.) เป็นหน่วยประสานหลักในการขับเคลื่อนการเข้าร่วม

มติยังเปิดทางให้ปรับร่างหนังสือได้ ถ้าต้องแก้ในส่วนที่ไม่ใช่สาระสำคัญและไม่ขัดต่อผลประโยชน์ของประเทศไทย ดศ. โดย สคส. ดำเนินการได้เลยโดยไม่ต้องกลับมาขอความเห็นชอบ ครม. อีก

ขั้นตอนที่ตามมาคือ ไทยต้องส่งร่างหนังสือแสดงเจตจำนงเพื่อให้มีการพิจารณาในเบื้องต้น ก่อนที่จะมีการรับรองในการประชุมสมาชิก Global CBPR (Global Forum Assembly) ในช่วงเดือน ธ.ค. 2569 ดังนั้นสิ่งที่เกิดขึ้นแล้วคือ ครม. เห็นชอบร่างหนังสือ ส่วนการเป็นสมาชิกยังไม่เกิดขึ้น และมติที่เผยแพร่ไม่ได้ระบุว่าไทยจะเป็นสมาชิกเต็มรูปแบบเมื่อใด

ดศ. ชี้ช่วยลดภาระธุรกิจที่ส่งข้อมูลข้ามประเทศ

ดศ. ระบุว่าการเข้าร่วมกรอบนี้จะช่วยลดภาระและต้นทุนการปฏิบัติตามกฎหมายที่ซ้ำซ้อนของภาคธุรกิจไทย โดยธุรกิจสามารถใช้มาตรฐานการรับรองนี้เป็นกลไกกลางในการส่งหรือโอนข้อมูลข้ามพรมแดนได้อย่างถูกต้องตามกฎหมาย นอกจากนี้ ดศ. ยังมองว่าจะยกระดับมาตรฐานการคุ้มครองข้อมูลส่วนบุคคลของไทยให้สอดคล้องกับหลักสากล และลดช่องว่างทางกฎหมายที่แตกต่างกันระหว่างประเทศ

ลองนึกถึงธุรกิจที่เก็บข้อมูลลูกค้าในไทยแล้วต้องส่งต่อให้บริษัทแม่หรือพันธมิตรในต่างประเทศ สิ่งที่ ดศ. เสนอคือให้มีมาตรฐานการรับรองกลางที่ใช้ได้กับการส่งข้อมูลไปยังหน่วยงานในประเทศสมาชิก และระบุว่าจะช่วยลดภาระต้นทุนที่ซ้ำซ้อนของภาคธุรกิจ

ต้องย้ำว่า Global CBPR เป็นกลไกที่ ดศ. เสนอให้ธุรกิจเลือกใช้ได้ ไม่ใช่ข้อบังคับให้ธุรกิจต้องขอรับรอง และตอนนี้ยังไม่มีรายละเอียดเรื่องค่าใช้จ่าย ขั้นตอนการขอรับรอง หรือรายชื่อผู้ตรวจรับรองในไทย ในมติ ครม. ที่เผยแพร่

PDPA รองรับ Global CBPR ตามร่างหนังสือที่ ดศ. เสนอ

ร่างหนังสือแสดงเจตจำนงที่ ดศ. เสนอระบุว่า พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 (PDPA) รับรองระบบ Global CBPR เป็นกลไกการส่งหรือโอนข้อมูลส่วนบุคคลที่ถูกต้องตามกฎหมาย

ร่างหนังสือยังมีอีก 2 ข้อที่เป็นสาระสำคัญ คือ ไทยเห็นพ้องกับหลักการและวัตถุประสงค์ของปฏิญญาและกรอบ Global CBPR Framework (2023) และ สคส. ซึ่งเป็นหน่วยงานกำกับดูแลด้านความเป็นส่วนตัวของไทย เป็นผู้เข้าร่วมในความร่วมมือระดับสากลด้านการบังคับใช้กฎหมายความเป็นส่วนตัว

ส่วนรายละเอียดว่าช่องทางส่งข้อมูลข้ามประเทศแบบอื่นตาม PDPA มีเงื่อนไขอย่างไร และเทียบกับ Global CBPR แล้วต่างกันตรงไหนเชิงเทคนิค ไม่ได้อยู่ในมติ ครม. ฉบับนี้ ธุรกิจที่ต้องส่งข้อมูลจริงจึงควรรอแนวทางจาก สคส. และตรวจสอบกับผู้เชี่ยวชาญด้านกฎหมายของตนเองก่อนตัดสินใจ

SMEs เตรียมตัวระหว่างรอ และธ.ค. 2569 จุดที่ต้องจับตา

สำนักงานสภาพัฒนาการเศรษฐกิจและสังคมแห่งชาติ (สศช.) เห็นควรให้ความสำคัญกับการเตรียมความพร้อมและเสริมสร้างความรู้ความเข้าใจแก่ภาคธุรกิจ โดยเฉพาะวิสาหกิจขนาดกลางและขนาดย่อม (Small and Medium Enterprises หรือ SMEs) ซึ่งอาจมีข้อจำกัดด้านทรัพยากรและต้นทุนในการปฏิบัติตามมาตรฐานนี้ เพื่อให้ผู้ประกอบการเข้าถึงและใช้ประโยชน์จากกรอบความร่วมมือได้อย่างทั่วถึง

ข้อแนะนำต่อไปนี้เป็นแนวทางทั่วไป ไม่ใช่ข้อกำหนดของหน่วยงานรัฐ

• ทำแผนผังว่าข้อมูลลูกค้าอะไรถูกส่งออกนอกประเทศ ส่งไปที่ใด และส่งให้ใคร
• ทบทวนนโยบายความเป็นส่วนตัวว่าบอกลูกค้าเรื่องการส่งข้อมูลไปต่างประเทศชัดเจนหรือยัง
• สำรวจผู้ให้บริการต่างประเทศที่ธุรกิจใช้อยู่ เช่น ระบบจัดเก็บข้อมูลหรือระบบส่งอีเมล
• กำหนดผู้รับผิดชอบเรื่องข้อมูลส่วนบุคคลภายในองค์กร
• ติดตามประกาศจาก สคส. และ ดศ. เรื่องแนวทางและเงื่อนไขการขอรับรอง

การทำแผนผังข้อมูลไม่ได้เป็นประโยชน์เฉพาะกับ Global CBPR ถ้าธุรกิจรู้ว่าข้อมูลไหลไปทางไหนบ้าง ก็จะประเมินได้ง่ายขึ้นว่าควรใช้กลไกใดในการส่งข้อมูล เมื่อมีรายละเอียดจากหน่วยงานไทยออกมา

สำหรับผู้ใช้ทั่วไปที่เป็นเจ้าของข้อมูล ร่างหนังสือระบุว่าการเข้าร่วมกรอบนี้จะช่วยลดความเสี่ยงต่อการละเมิดสิทธิขั้นพื้นฐานของผู้บริโภค เมื่อข้อมูลถูกส่งไปยังหน่วยงานในต่างประเทศ ผลจริงจะเป็นอย่างไรต้องรอดูหลังไทยผ่านกระบวนการเป็นสมาชิก

ขณะนี้ ครม. เห็นชอบร่างหนังสือแสดงเจตจำนงแล้ว และ สคส. เป็นหน่วยประสานหลัก จุดที่ต้องจับตาคือการประชุม Global Forum Assembly ในช่วงเดือน ธ.ค. 2569 ซึ่งเป็นที่ที่ร่างหนังสือของไทยจะถูกพิจารณาก่อนการรับรอง

ยังไม่มีข้อมูลจากหน่วยงานไทยว่าหลังการประชุมนั้น ไทยจะเป็นสมาชิกเต็มรูปแบบเมื่อใด และธุรกิจจะเริ่มขอรับรองได้เมื่อใด รวมถึงยังไม่มีการประกาศค่าใช้จ่ายหรือผู้ตรวจรับรองในไทย

ที่มา: มติคณะรัฐมนตรีเมื่อวันที่ 3 พ.ย. 2569 ตามที่กรมประชาสัมพันธ์เผยแพร่ ซึ่งอ้างข้อมูลที่กระทรวงดิจิทัลเพื่อเศรษฐกิจและสังคมเสนอและความเห็นของสำนักงานสภาพัฒนาการเศรษฐกิจและสังคมแห่งชาติ