คู่มือการใช้เอกสารข้อตกลง
การประมวลผลข้อมูลส่วนบุคคล

(Data Processing Agreement - DPA)

รายละเอียด และ คำแนะนำในการใช้งาน

·       ในกรณีมีการส่งต่อและ/หรือเปิดเผยข้อมูลส่วนบุคคลของบุคคล ระหว่างบริษัทบัญชีกับบุคคลภายนอก โดยเฉพาะบุคคลผู้อยู่ในฐานะ “ผู้ประมวลผลข้อมูลส่วนบุคคล (Data Processor)” เช่น Freelance ที่จ้างมากรอกข้อมูลหรือผู้ให้บริการภายนอกอื่นๆ บริษัทบัญชีในฐานะ “ผู้ควบคุมข้อมูล (Data Controller)” มีหน้าที่ในการจัดทำสัญญาหรือข้อตกลงการประมวลผลข้อมูลส่วนบุคคล (DPA) กับผู้ที่ได้รับข้อมูลส่วนบุคคลจากบริษัท เพื่อเป็นการกำหนดกรอบที่ชัดเจนเกี่ยวกับสิทธิและหน้าที่ ความรับผิดชอบระหว่างบริษัท และบุคคลภายนอกที่มีการส่งต่อเปิดเผยข้อมูลระหว่างกันดังกล่าว

·       โดยสามารถใช้เอกสารร่าง “สัญญาการประมวลผลข้อมูลส่วนบุคคล” มาปรับแก้ไขให้เหมาะสมกับการใช้งานได้ โดยมี คำแนะนำการปรับเนื้อหาสัญญา การประมวลผลข้อมูลส่วนบุคคล ดังนี้

○    ระบุรายละเอียดข้อมูลของคู่สัญญาแต่ละฝ่าย โดย (ก) คือฝ่ายที่ส่งข้อมูลส่วนบุคคล (Data Controller) และ (ข) คือฝ่ายที่ได้รับข้อมูลส่วนบุคคล (Data Processor)

○    ระบุวัตถุประสงค์ในการรับ ส่งต่อ และ/หรือเปิดเผยข้อมูลส่วนบุคคลนั้นๆ

·       ในกรณีมีการจัดทำสัญญาว่าจ้างหรือสัญญาประเภทอื่นระหว่างบริษัท และผู้ให้บริการภายนอกที่จะมีการเปิดเผยข้อมูลส่วนบุคคลระหว่างกัน บริษัทอาจพิจารณารวมเอาเนื้อหาข้อสัญญาย่อ เกี่ยวกับการกำหนดกรอบการประมวลผลข้อมูลส่วนบุคคลเข้าไปรวมเป็นส่วนหนึ่งของสัญญาดังกล่าวได้ แทนการใช้เอกสาร DPA ได้เช่นกัน โดย EasyPDPA มีคำแนะนำให้ใช้เนื้อหา ดังต่อไปนี้

ข้อ [ ]      ข้อตกลงการประมวลผลข้อมูลส่วนบุคคล

ผู้ให้บริการภายนอกยอมรับและรับทราบว่า ในระหว่างการปฏิบัติหน้าที่ของผู้ให้บริการ ผู้ให้บริการอาจเข้าถึงหรือได้รับข้อมูลส่วนบุคคลของบุคคลจากเจ้าของข้อมูลส่วนบุคคลโดยตรง หรือจากบริษัท ซึ่งในกรณีดังกล่าวผู้ให้บริการรับทราบและยอมรับว่า ตนมีหน้าที่ภายใต้สัญญาที่เกี่ยวข้องในการปฏิบัติตามกฎหมายคุ้มครองข้อมูลส่วนบุคคล ดังนี้

1. ผู้ให้บริการภายนอกต้องไม่เก็บ รวบรวม ใช้ คัดลอกหรือตัดทอน ประมวลผล เก็บรักษา หรือส่งต่อเปิดเผยข้อมูลส่วนบุคคล นอกเหนือจากวัตถุประสงค์ที่ระบุไว้ในสัญญาฉบับนี้

เพื่อหลีกเลี่ยงข้อสงสัย หากผู้ให้บริการภายนอกประมวลผลข้อมูลส่วนบุคคล นอกเหนือจากวัตถุประสงค์ที่ระบุไว้ ผู้ให้บริการภายนอก จะมีฐานะเป็น “ผู้ควบคุมข้อมูลส่วนบุคคล” ซึ่งมีหน้าที่โดยตรงภายใต้กฎหมายคุ้มครองข้อมูลส่วนบุคคลต่อเจ้าของข้อมูลส่วนบุคคลดังกล่าวโดยฝ่ายเดียว และหากการประมวลผลข้อมูลดังกล่าวของผู้รับข้อมูลส่วนบุคคล นำไป สู่ความเสียหายไม่ว่าทางตรง ทางอ้อม หรือไม่ว่าลักษณะใดต่อบริษัท ผู้ให้บริการภายนอกดังกล่าวต้องรับผิดและชดเชยให้แก่บริษัทสำหรับความเสียหายและการเรียกร้องใด ๆ ที่เจ้าของข้อมูลอาจเรียกร้องจากการประมวลผลข้อมูลส่วนบุคคลโดยผู้ให้บริการภายนอกที่เพิ่มเติมนั้นอย่างเต็มส่วน

2. ผู้ให้บริการภายนอกต้องไม่เปิดเผยข้อมูลส่วนบุคคลที่ได้รับให้แก่บุคคลใด เว้นแต่ได้รับความยินยอมเป็นลายลักษณ์อักษรจากบริษัท หรือเว้นเป็นกรณีการเปิดเผยข้อมูลให้แก่ เจ้าหน้าที่ ลูกจ้าง ตัวแทน ที่ปรึกษาของผู้ให้บริการภายนอก “เท่าที่จำเป็น” เพื่อวัตถุประสงค์การปฏิบัติสิทธิและหน้าที่ภายใต้สัญญาฉบับนี้เท่านั้น

เพื่อหลีกเลี่ยงข้อสงสัย กรณีการเปิดเผยข้อมูลส่วนบุคคลที่ดำเนินการโดยสอดคล้องกับข้อ 2 ผู้ให้บริการภายนอกต้องรับประกันให้บุคคลที่ได้รับข้อมูลทั้งหมดปฏิบัติหน้าที่การรักษาความมั่นคงปลอดภัยของข้อมูล ในมาตรฐานข้อกำหนดเดียวกับที่กำหนดไว้ภายใต้สัญญาฉบับนี้ และในกรณีที่บุคคลดังกล่าวปฏิบัติผิดเงื่อนไขในการรักษาความมั่นคงปลอดภัยข้อมูล ผู้ให้บริการภายนอกต้องรับผิดชอบต่อบริษัทสำหรับการกระทำผิดของบุคคลดังกล่าว และต้องจัดทำมาตรการ เพื่อยับยั้งบุคคลนั้นจากการฝ่าผืน หรือกระทำโดยไม่ได้รับอนุญาต

3. ผู้ให้บริการภายนอกต้องไม่โอนข้อมูลส่วนบุคคลไปยังพื้นที่นอกประเทศไทย (ทั้งในลักษณะของการโอนส่งต่อโดยตรงหรือการเปิดให้เข้าถึงจากระยะไกล) โดยไม่ได้รับความยินยอมหรือคำสั่งอันเป็นลายลักษณ์อักษรของบริษัท ทั้งนี้ ในการที่จะดำเนินการโอนข้อมูลดังกล่าว ผู้ให้บริการภายนอกต้องรับประกันมาตรฐานการคุ้มครองข้อมูลต่อข้อมูลส่วนบุคคลที่ถูกโอนหรือถูกเข้าถึงจากระยะไกลของประเทศและผู้รับโอนข้อมูลส่วนบุคคลปลายทางที่เทียบเท่ากับการคุ้มครองภายใต้สัญญาฉบับนี้หรือภายใต้กฎหมายคุ้มครองข้อมูลส่วนบุคคลที่ใช้บังคับของประเทศไทย

4. ผู้ให้บริการภายนอกต้องจัดทำ และเก็บรักษาบันทึกรายการกิจกรรมการประมวลผลข้อมูลส่วนบุคคลที่ตนดำเนินการประมวลผลไว้ โดยสอดคล้องกับหลักเกณฑ์ที่ระบุไว้ภายใต้กฎหมายคุ้มครองข้อมูลส่วนบุคคล เพื่อให้บริษัท สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล หรือเจ้าของข้อมูลเข้าดำเนินการตรวจสอบได้

5. ผู้ให้บริการภายนอกต้องเก็บ หรือประมวลผลข้อมูลส่วนบุคคล เป็นระยะเวลาเท่าที่จำเป็น เพื่อดำเนินการตามขอบเขตการปฏิบัติหน้าที่และสิทธิภายใต้สัญญาฉบับนี้เท่านั้น และต้องทำลายหรือส่งคืนข้อมูลส่วนบุคคลให้แก่บริษัททันที (ก) เมื่อสัญญาฉบับนี้หรือสัญญาหลักสิ้นสุดลงไม่ว่าด้วยเหตุผลใด (ข) เมื่อได้รับคำสั่งเป็นลายลักษณ์อักษรจากบริษัท

6. ในกรณีที่ผู้ให้บริการภายนอก มีหน้าที่ต้องเปิดเผยข้อมูลส่วนบุคคลใด ตามกฎหมาย คำสั่งศาล หรือตามข้อปฏิบัติของหน่วยงานของรัฐ ผู้ให้บริการภายนอกต้องแจ้งให้บริษัททราบเป็นลายลักษณ์อักษรโดยเร็วที่สุด เพื่อให้บริษัทมีสิทธิคัดค้าน หรือดำเนินการเพื่อการปกป้องสิทธิอันชอบด้วยกฎหมายของตนได้ และต้องเปิดเผยเฉพาะข้อมูลเท่าที่จำเป็นเพื่อการปฏิบัติหน้าที่ของตนเท่านั้น