กฎหมาย / PDPA
โอนข้อมูลลูกค้าออกนอกไทยหลังประกาศ PDPC 2567: SCC, BCR หรือ Consent อย่างไหนถูกเลือกใช้
เขียนโดย
หุ้นส่วนผู้จัดการ
ทนายความอาวุโส สภาทนายความในพระบรมราชูปถัมภ์
ที่ปรึกษากฎหมายธุรกิจ ดูแลงานควบรวมกิจการ สัญญาการค้า และข้อพิพาทพาณิชย์ระหว่างประเทศให้ลูกค้าองค์กร
ตรวจทานโดย
หัวหน้าฝ่ายบัญชี (CPA)
ผู้สอบบัญชีรับอนุญาต ขึ้นทะเบียนสภาวิชาชีพบัญชี
ตรวจความถูกต้องของข้อกฎหมายและตัวเลขก่อนเผยแพร่ · เผยแพร่ 2026-07-23 · แก้ไขล่าสุด 2026-07-23
ดูคุณวุฒิผู้ตรวจทานหลังคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลออกประกาศเรื่องหลักเกณฑ์การให้ความคุ้มครองข้อมูลส่วนบุคคลที่ส่งหรือโอนไปยังต่างประเทศ พ.ศ. 2566 และประกาศฉบับที่ 2 เรื่อง Binding Corporate Rules มีผลบังคับใช้ 24 มี.ค. 2567 บริษัทไทยที่ใช้ HubSpot, Salesforce, Workday, หรือแม้แต่ Google Workspace ต้องเลือกกลไกโอนข้อมูล 1 ใน 4 ทาง (Adequacy, SCC, BCR, Explicit Consent) มิเช่นนั้นจะถูกปรับตามมาตรา 83 สูงสุด 5 ล้านบาท บวกโทษทางปกครองรายวัน บทความนี้สรุปวิธีเลือกกลไกที่เหมาะกับธุรกิจแต่ละขนาด
ทำไมประเทศไม่ 'เพียงพอ' อีกต่อไป
PDPC ประกาศรายชื่อประเทศ Adequacy ครั้งแรกเมื่อ ก.ย. 2567 ครอบคลุมเพียง EU 27 ประเทศ + UK + Switzerland เท่านั้น สหรัฐฯ, ออสเตรเลีย, สิงคโปร์ ยังไม่อยู่ในรายชื่อ ทำให้การใช้เซิร์ฟเวอร์ AWS us-east-1 หรือ Azure ap-southeast ต้องมีสัญญากลไกเสริมทุกครั้ง
Standard Contractual Clauses (SCC) ฉบับไทย
PDPC ยังไม่ได้ประกาศ template ของตนเอง แนวปฏิบัติจริงคือใช้ EU SCC 2021 ฉบับ Module 2 (Controller→Processor) หรือ Module 3 (Processor→Processor) เป็นแม่แบบ แล้วเพิ่ม Annex เพื่อระบุกฎหมายไทยและช่องทางร้องเรียนต่อ PDPC
- •ต้องแนบ Data Processing Addendum + TIA (Transfer Impact Assessment)
- •ระบุระยะเวลาเก็บข้อมูล และวิธี pseudonymisation ก่อนส่ง
- •กำหนดสิทธิเจ้าของข้อมูลใช้ภาษาไทยฟ้องได้ในศาลไทย
Binding Corporate Rules สำหรับกลุ่มบริษัท
เหมาะสำหรับ MNE ที่โอนข้อมูลระหว่างบริษัทในเครือมากกว่า 3 ประเทศ ระยะเวลาดำเนินการขึ้นอยู่กับการพิจารณาของ PDPC และความซับซ้อนของกลุ่มบริษัท ส่วนค่าที่ปรึกษาต้องขอใบเสนอราคาตามขอบเขตงาน
Explicit Consent — ทางที่ดูง่ายแต่เสี่ยง
ต้องแยก consent การโอนออกจากการเก็บ, ระบุประเทศปลายทาง, ระบุความเสี่ยงเป็นภาษาไทยเข้าใจง่าย และให้ withdraw ได้ทุกเวลา ในทางปฏิบัติเหมาะกับ B2C ที่มี user จำนวนน้อยเท่านั้น เพราะการ withdraw ต้องหยุดโอนได้จริงภายใน 30 วัน
Transfer Impact Assessment (TIA) ทำอย่างไร
ประเมิน 4 มิติ: กฎหมายสอดส่องของประเทศปลายทาง, สิทธิการเยียวยาของเจ้าของข้อมูล, การเข้าถึงโดยหน่วยงานความมั่นคง, และมาตรการเทคนิคเสริม (encryption ที่ผู้รับไม่มี key) หากปลายทางไม่ผ่าน 2 ใน 4 ต้องเพิ่ม pseudonymisation หรือ split-key encryption
สรุป
สำหรับ SME ที่ใช้ SaaS 3–5 ตัว แนวทางเร็วที่สุดคือรวม SCC + TIA ไว้ในสัญญาแม่ผู้ให้บริการ พร้อมประกาศ Privacy Notice ปรับเวอร์ชันใหม่ ทีมเราจัดทำชุด SCC ไทย + TIA + Privacy Notice ประเมินราคาตามขอบเขตงาน โดยทั่วไปใช้เวลาประมาณ 3 สัปดาห์
ปรึกษาทีมเราฟรีคำถามที่พบบ่อย
ใช้ Google Workspace ต้องแก้อะไรก่อน 24 มี.ค. 2567+
ตรวจว่า Google Cloud DPA ระบุ EU SCC 2021 หรือไม่ ถ้ามีอยู่แล้วให้ทำ TIA เพิ่ม และแจ้ง PDPC ในรายงานประจำปีของ DPO
BCR คุ้มค่าสำหรับกลุ่มกี่ประเทศ+
โดยทั่วไปคุ้มเมื่อโอนข้อมูลระหว่าง 5 ประเทศขึ้นไปเป็นประจำ หรือมีพนักงานร่วม 500 คนขึ้นไปในเครือ
บทความที่เกี่ยวข้อง
ดูทั้งหมด →เชนงาน Notary → MFA → สถานทูต: ตารางเวลา 5 วันทำการที่ใช้ได้จริง
ตารางวันต่อวัน — จาก Notary ถึงสถานทูตออสเตรเลีย พร้อมค่าใช้จ่ายและจุดที่มักติดขัด
ลายเซ็นอิเล็กทรอนิกส์ในไทย 3 ระดับ: เลือก DocuSign, CloudSign ETDA หรือ Certificate จาก NRCA
พ.ร.บ. ธุรกรรมทางอิเล็กทรอนิกส์ (ฉบับที่ 4) พ.ศ. 2565 แบ่งลายเซ็นเป็น 3 ระดับ บทความเปรียบเทียบการยอมรับในศาลไทยและต้นทุนต่อสัญญาแต่ละแบบ
ยื่นวีซ่านิวซีแลนด์ INZ และ Medical Council: NAATI จากไทยใช้ได้จริงเมื่อไหร่
Immigration New Zealand (INZ) และ Medical Council of New Zealand (MCNZ) มีข้อกำหนดคำแปลต่างจากออสเตรเลีย บทความสรุปว่าเมื่อไหร่ใช้ NAATI ได้ และเมื่อไหร่ต้องใช้ผู้แปลที่ NZSTI รับรอง
ตารางเก็บเอกสารบริษัท: PDPA ภาษี และบัญชี
วิธีกำหนดอายุเก็บเอกสารบริษัทโดยเทียบกฎหมายแต่ละฉบับ วัตถุประสงค์การใช้ข้อมูล อายุความ และเหตุระงับการทำลายก่อนอนุมัติจริง