บันทึกข้อตกลงการแบ่งปันข้อมูลส่วนบุคคล (ผู้ควบคุมกับผู้ควบคุม) ต้องมีอะไรบ้าง
สองกิจการที่ต่างเป็นเจ้าของข้อมูลลูกค้าของตัวเอง ตกลงกันว่าจะส่งข้อมูลให้กันอย่างไร และใครรับผิดชอบอะไรตาม PDPA · ฝ่ายส่งต้องเคยแจ้งเจ้าของข้อมูลว่าจะเปิดเผยให้ใคร (ม.23) — ไม่เคยแจ้ง ต้องแจ้งเพิ่ม/ขอความยินยอมก่อนส่ง
| ใช้เมื่อ | ทำโปรโมชันร่วมกันและแลกฐานลูกค้า |
|---|---|
| ค่าใช้แบบฟอร์มบนเว็บนี้ | 490 บาท |
ใช้สัญญาฉบับนี้เมื่อไร
- ทำโปรโมชันร่วมกันและแลกฐานลูกค้า
- ผู้ผลิตส่งข้อมูลลูกค้าให้ตัวแทนจำหน่าย/ศูนย์บริการ
- แฟรนไชส์ซอร์กับแฟรนไชส์ซีใช้ระบบสมาชิกร่วมกัน
- โรงพยาบาล/คลินิกกับบริษัทประกันหรือพันธมิตรสุขภาพ
จุดที่พลาดบ่อยและต้องระวัง
- ฝ่ายส่งต้องเคยแจ้งเจ้าของข้อมูลว่าจะเปิดเผยให้ใคร (ม.23) — ไม่เคยแจ้ง ต้องแจ้งเพิ่ม/ขอความยินยอมก่อนส่ง
- ฝ่ายรับต้องแจ้งเจ้าของข้อมูลภายใน 30 วันที่ได้ข้อมูลมา (ม.25)
- ข้อมูลอ่อนไหว (สุขภาพ ศาสนา ฯลฯ) ส่งได้เฉพาะมีความยินยอมชัดแจ้งหรือข้อยกเว้น ม.26
- พันธมิตรต่างชาติ/ระบบต่างประเทศ = โอนข้อมูลต่างประเทศ ม.28
- ละเมิดต้องแจ้ง สคส. ใน 72 ชม. — ตั้งเวลาแจ้งกันให้เร็วกว่านั้น
กรณีที่ไม่ควรใช้ฉบับนี้
- อีกฝ่ายแค่ทำตามคำสั่งคุณ (ทำเงินเดือน คลาวด์ ส่งของ) — ใช้สัญญาประมวลผลข้อมูลส่วนบุคคล
- ไม่มีข้อมูลบุคคล แค่ข้อมูลธุรกิจ — ใช้ NDA
- ขายฐานข้อมูลลูกค้าให้คนอื่นเฉย ๆ — ต้องมีความยินยอมเฉพาะและเสี่ยงสูง ไม่ใช่กรณีของแบบนี้
- สัญญาอนุญาตให้ใช้ชุดข้อมูล ภาษาอังกฤษ — ใช้ Dataset Licence Agreement — สัญญาอนุญาตให้ใช้ชุดข้อมูล ภาษาอังกฤษ
- ข้อตกลงแบ่งปันข้อมูลส่วนบุคคลระหว่างผู้ควบคุมข้อมูล ภาษาอังกฤษ — ใช้ Data Sharing Agreement — ข้อตกลงแบ่งปันข้อมูลส่วนบุคคลระหว่างผู้ควบคุมข้อมูล ภาษาอังกฤษ
แบ่งปันข้อมูล ≠ จ้างประมวลผล
- แบ่งปัน (controller-to-controller): ทั้งสองฝ่ายต่างตัดสินใจเองว่าเอาข้อมูลไปทำอะไร — พันธมิตรการตลาดร่วม โรงพยาบาลกับบริษัทประกัน ผู้ผลิตกับตัวแทนจำหน่าย แฟรนไชส์ซอร์กับแฟรนไชส์ซี → ใช้ แบบนี้
- จ้างประมวลผล (controller-to-processor): ผู้รับทำตามคำสั่งเท่านั้น → ใช้ สัญญาประมวลผลข้อมูลส่วนบุคคล (PDPA ม.40)
- เลือกผิดแบบ = หน้าที่ตามกฎหมายผิดฝั่ง ฝ่ายที่คิดว่าตัวเองเป็น «แค่ผู้ประมวลผล» แต่จริง ๆ ใช้ข้อมูลเอง จะไม่ได้แจ้งเจ้าของข้อมูลและไม่มีฐานทางกฎหมาย
หน้าที่ที่แต่ละฝ่ายต้องทำเองในฐานะผู้ควบคุม
- ฝ่ายผู้ส่ง: ต้องมีฐานทางกฎหมายในการ «เปิดเผย» (ม.24/ม.19) และต้องแจ้งเจ้าของข้อมูลว่าจะเปิดเผยให้ใคร (ม.23) — ถ้าตอนเก็บข้อมูลไม่เคยบอกว่าจะส่งให้พันธมิตร ต้องแจ้งเพิ่มหรือขอความยินยอมก่อนส่ง
- ฝ่ายผู้รับ: ได้ข้อมูลมาจากคนอื่นต้องแจ้งเจ้าของข้อมูลภายใน 30 วัน (ม.25 วรรคสอง) เว้นแต่เข้าข้อยกเว้น และมีฐานทางกฎหมายของตัวเองในการใช้
- ทั้งสองฝ่าย: บันทึกรายการประมวลผล (ม.39) มาตรการความปลอดภัย (ม.37(1)) แจ้ง สคส. เมื่อละเมิดใน 72 ชม. (ม.37(4)) ตอบคำขอใช้สิทธิ (ม.30–36)
ข้อมูลอ่อนไหว (ข้อ 3.5)
สุขภาพ ศาสนา เชื้อชาติ ประวัติอาชญากรรม ชีวภาพ ฯลฯ — แบ่งปันได้เฉพาะมีความยินยอมโดยชัดแจ้งหรือเข้าข้อยกเว้น ม.26 ระบุให้ชัดในข้อ 2 ถ้าจะส่ง ไม่งั้นห้าม
โอนต่างประเทศ (ข้อ 6)
พันธมิตรต่างชาติ หรือระบบที่โฮสต์ต่างประเทศ ต้องเข้าหลักเกณฑ์ ม.28–29 — ประเทศปลายทางมีมาตรฐานเพียงพอ / มีข้อสัญญามาตรฐานหรือนโยบายในเครือที่ สคส. รับรอง / เข้าข้อยกเว้น
เอกสารแนบท้าย
- สำเนาสัญญาหลัก · ตัวอย่างประกาศความเป็นส่วนตัวของแต่ละฝ่ายที่ระบุการเปิดเผยให้อีกฝ่าย
- หนังสือรับรอง + หนังสือมอบอำนาจ (ถ้ามี · ติดอากร 10/30 บาท)
วันลงนาม
- 2 ฉบับ · ประทับตรา (ถ้ามี) · พยาน 2 คน · ไม่ต้องติดอากรแสตมป์
- ตรวจประกาศความเป็นส่วนตัวของทั้งสองฝ่ายก่อนส่งข้อมูลชุดแรก ว่าครอบคลุมการเปิดเผยครั้งนี้
ผู้เขียนและผู้ตรวจทาน
เขียนและตรวจทานโดย ภูวรา ครอบตะคุ ทนายความ (ใบอนุญาต 477/2558) · เนติบัณฑิตไทย · น.ม. กฎหมายทรัพย์สินทางปัญญาและสารสนเทศ — การเลือกประเด็น การจัดหมวด และคำอธิบายในบทความนี้เป็นงานอันมีลิขสิทธิ์ของผู้เขียน ส่วนตัวบทกฎหมายที่ยกมาไม่มีลิขสิทธิ์และตรวจกับราชกิจจานุเบกษาได้เสมอ · ทะเบียนบทความ OKC-519D0B · หากนำไปใช้ต่อ โปรดระบุชื่อผู้เขียนและลิงก์ต้นฉบับ
คำถามที่พบบ่อย
ใช้บันทึกข้อตกลงการแบ่งปันข้อมูลส่วนบุคคล (ผู้ควบคุมกับผู้ควบคุม)ตอนไหน
ทำโปรโมชันร่วมกันและแลกฐานลูกค้า · ผู้ผลิตส่งข้อมูลลูกค้าให้ตัวแทนจำหน่าย/ศูนย์บริการ · แฟรนไชส์ซอร์กับแฟรนไชส์ซีใช้ระบบสมาชิกร่วมกัน · โรงพยาบาล/คลินิกกับบริษัทประกันหรือพันธมิตรสุขภาพ
ทำบันทึกข้อตกลงการแบ่งปันข้อมูลส่วนบุคคล (ผู้ควบคุมกับผู้ควบคุม)ต้องระวังอะไร
ฝ่ายส่งต้องเคยแจ้งเจ้าของข้อมูลว่าจะเปิดเผยให้ใคร (ม.23) — ไม่เคยแจ้ง ต้องแจ้งเพิ่ม/ขอความยินยอมก่อนส่ง · ฝ่ายรับต้องแจ้งเจ้าของข้อมูลภายใน 30 วันที่ได้ข้อมูลมา (ม.25) · ข้อมูลอ่อนไหว (สุขภาพ ศาสนา ฯลฯ) ส่งได้เฉพาะมีความยินยอมชัดแจ้งหรือข้อยกเว้น ม.26 · พันธมิตรต่างชาติ/ระบบต่างประเทศ = โอนข้อมูลต่างประเทศ ม.28 · ละเมิดต้องแจ้ง สคส. ใน 72 ชม. — ตั้งเวลาแจ้งกันให้เร็วกว่านั้น
กรณีไหนที่ไม่ควรใช้บันทึกข้อตกลงการแบ่งปันข้อมูลส่วนบุคคล (ผู้ควบคุมกับผู้ควบคุม)
อีกฝ่ายแค่ทำตามคำสั่งคุณ (ทำเงินเดือน คลาวด์ ส่งของ) — ใช้สัญญาประมวลผลข้อมูลส่วนบุคคล · ไม่มีข้อมูลบุคคล แค่ข้อมูลธุรกิจ — ใช้ NDA · ขายฐานข้อมูลลูกค้าให้คนอื่นเฉย ๆ — ต้องมีความยินยอมเฉพาะและเสี่ยงสูง ไม่ใช่กรณีของแบบนี้ · สัญญาอนุญาตให้ใช้ชุดข้อมูล ภาษาอังกฤษ — ใช้ Dataset Licence Agreement — สัญญาอนุญาตให้ใช้ชุดข้อมูล ภาษาอังกฤษ · ข้อตกลงแบ่งปันข้อมูลส่วนบุคคลระหว่างผู้ควบคุมข้อมูล ภาษาอังกฤษ — ใช้ Data Sharing Agreement — ข้อตกลงแบ่งปันข้อมูลส่วนบุคคลระหว่างผู้ควบคุมข้อมูล ภาษาอังกฤษ
ลงนามบันทึกข้อตกลงการแบ่งปันข้อมูลส่วนบุคคล (ผู้ควบคุมกับผู้ควบคุม)ต้องมีพยานไหม ทำกี่ฉบับ
2 ฉบับ · ประทับตรา (ถ้ามี) · พยาน 2 คน · ไม่ต้องติดอากรแสตมป์ ตรวจประกาศความเป็นส่วนตัวของทั้งสองฝ่ายก่อนส่งข้อมูลชุดแรก ว่าครอบคลุมการเปิดเผยครั้งนี้
ทำบันทึกข้อตกลงการแบ่งปันข้อมูลส่วนบุคคล (ผู้ควบคุมกับผู้ควบคุม)ต้องเตรียมเอกสารอะไรแนบท้าย
สำเนาสัญญาหลัก · ตัวอย่างประกาศความเป็นส่วนตัวของแต่ละฝ่ายที่ระบุการเปิดเผยให้อีกฝ่าย หนังสือรับรอง + หนังสือมอบอำนาจ (ถ้ามี · ติดอากร 10/30 บาท)
กฎหมายที่อ้างถึงในบทความนี้
ถ้อยคำด้านล่างคัดจากตัวบท 10 มาตรา — ใช้อ้างอิงได้ แต่หากต้องใช้ในชั้นศาล ควรตรวจกับราชกิจจานุเบกษาฉบับทางการอีกครั้ง
พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 มาตรา 40
ผู้ประมวลผลข้อมูลส่วนบุคคลมีหน้าที่ ดังต่อไปนี้ (1) ดำเนินการเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลตามคำสั่งที่ได้รับ จากผู้ควบคุมข้อมูลส่วนบุคคลเท่านั้น เว้นแต่คำสั่งนั้นขัดต่อกฎหมายหรือบทบัญญัติในการคุ้มครอง ข้อมูลส่วนบุคคลตามพระราชบัญญัตินี้ (2) จัดให้มีมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสม เพื่อป้องกันการสูญหาย เข้าถึง ใช้ เปลี่ยนแปลง แก้ไข หรือเปิดเผยข้อมูลส่วนบุคคลโดยปราศจากอำนาจหรือโดยมิชอบ รวมทั้ง แจ้งให้ผู้ควบคุมข้อมูลส่วนบุคคลทราบถึงเหตุการละเมิดข้อมูลส่วนบุคคลที่เกิดขึ้น (3) จัดทำและเก็บรักษาบันทึกรายการของกิจกรรมการประมวลผลข้อมูลส่วนบุคคลไว้ ตามหลักเกณฑ์และวิธีการที่คณะกรรมการประกาศกำหนด ผู้ประมวลผลข้อมูลส่วนบุคคลซึ่งไม่ปฏิบัติตาม (1) สำหรับการเก็บรวบรวม ใช้ หรือเปิดเผย ข้อมูลส่วนบุคคลใด ให้ถือว่าผู้ประมวลผลข้อมูลส่วนบุคคลเป็นผู้ควบคุมข้อมูลส่วนบุคคลสำหรับ การเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลนั้น การดำเนินงานตามหน้าที่ของผู้ประมวลผลข้อมูลส่วนบุคคลตามที่ได้รับมอบหมายจากผู้ควบคุม ข้อมูลส่วนบุคคลตามวรรคหนึ่ง ผู้ควบคุมข้อมูลส่วนบุคคลต้องจัดให้มีข้อตกลงระหว่างกัน เพื่อควบคุม การดำเนินงานตามหน้าที่ของผู้ประมวลผลข้อมูลส่วนบุคคลให้เป็นไปตามพระราชบัญญัตินี้ ความใน (3) อาจยกเว้นมิให้นำมาใช้บังคับกับผู้ประมวลผลข้อมูลส่วนบุคคลซึ่งเป็นกิจการ ขนาดเล็กตามหลักเกณฑ์ที่คณะกรรมการประกาศกำหนด เว้นแต่มีการเก็บรวบรวม ใช้ หรือเปิดเผย ข้อมูลส่วนบุคคลที่มีความเสี่ยงที่จะมีผลกระทบต่อสิทธิและเสรีภาพของเจ้าของข้อมูลส่วนบุคคล หรือ มิใช่กิจการที่เก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลเป็นครั้งคราว หรือมีการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลตามมาตรา 26
พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 (เฉพาะส่วนที่ใช้ร่างสัญญา)
ประมวลกฎหมายแพ่งและพาณิชย์ มาตรา 24
ผู้เยาว์อาจทำการใด ๆ ได้ทั้งสิ้น ซึ่งเป็นการสมแก่ฐานานุรูปแห่งตนและเป็นการอันจำเป็นในการดำรงชีพตามสมควร
ความสามารถของบุคคล — ป.พ.พ. ม.19–36
ประมวลกฎหมายแพ่งและพาณิชย์ มาตรา 19
บุคคลย่อมพ้นจากภาวะผู้เยาว์และบรรลุนิติภาวะเมื่อมีอายุยี่สิบปีบริบูรณ์
ความสามารถของบุคคล — ป.พ.พ. ม.19–36
ประมวลกฎหมายแพ่งและพาณิชย์ มาตรา 23
ผู้เยาว์อาจทำการใด ๆ ได้ทั้งสิ้น ซึ่งเป็นการต้องทำเองเฉพาะตัว
ความสามารถของบุคคล — ป.พ.พ. ม.19–36
ประมวลกฎหมายแพ่งและพาณิชย์ มาตรา 25
ผู้เยาว์อาจทำพินัยกรรมได้เมื่ออายุสิบห้าปีบริบูรณ์
ความสามารถของบุคคล — ป.พ.พ. ม.19–36
ประมวลกฎหมายแพ่งและพาณิชย์ มาตรา 39
ถ้าภูมิลำเนาไม่ปรากฏ ให้ถือว่าถิ่นที่อยู่เป็นภูมิลำเนา
ภูมิลำเนา — ป.พ.พ. ม.37–47
ประมวลกฎหมายแพ่งและพาณิชย์ มาตรา 37
ภูมิลำเนาของบุคคลธรรมดา ได้แก่ถิ่นอันบุคคลนั้นมีสถานที่อยู่เป็นแหล่งสำคัญ
ภูมิลำเนา — ป.พ.พ. ม.37–47
ประมวลกฎหมายแพ่งและพาณิชย์ มาตรา 30
การใด ๆ อันบุคคลวิกลจริตซึ่งศาลยังมิได้สั่งให้เป็นคนไร้ความสามารถได้กระทำลง การนั้นจะเป็นโมฆียะต่อเมื่อได้กระทำในขณะที่บุคคลนั้นจริตวิกลอยู่ และคู่กรณีอีกฝ่ายหนึ่งได้รู้แล้วด้วยว่าผู้กระทำเป็นคนวิกลจริต
ความสามารถของบุคคล — ป.พ.พ. ม.19–36
ประมวลกฎหมายแพ่งและพาณิชย์ มาตรา 26
ถ้าผู้แทนโดยชอบธรรมอนุญาตให้ผู้เยาว์จำหน่ายทรัพย์สินเพื่อการอันใดอันหนึ่งอันได้ระบุไว้ ผู้เยาว์จะจำหน่ายทรัพย์สินนั้นเป็นประการใดภายในขอบของการที่ระบุไว้นั้นก็ทำได้ตามใจสมัคร อนึ่ง ถ้าได้รับอนุญาตให้จำหน่ายทรัพย์สินโดยมิได้ระบุว่าเพื่อการอันใด ผู้เยาว์ก็จำหน่ายได้ตามใจสมัคร
ความสามารถของบุคคล — ป.พ.พ. ม.19–36
ประมวลกฎหมายแพ่งและพาณิชย์ มาตรา 28
บุคคลวิกลจริตผู้ใด ถ้าคู่สมรสก็ดี ผู้บุพการีกล่าวคือ บิดา มารดา ปู่ย่า ตายาย ทวดก็ดี ผู้สืบสันดานกล่าวคือ ลูก หลาน เหลน ลื่อก็ดี ผู้ปกครองหรือผู้พิทักษ์ก็ดี ผู้ซึ่งปกครองดูแลบุคคลนั้นอยู่ก็ดี หรือพนักงานอัยการก็ดี ร้องขอต่อศาลให้สั่งให้บุคคลวิกลจริตผู้นั้นเป็นคนไร้ความสามารถ ศาลจะสั่งให้บุคคลวิกลจริตผู้นั้นเป็นคนไร้ความสามารถก็ได้
ความสามารถของบุคคล — ป.พ.พ. ม.19–36