Data Center กับความท้าทายด้านความเป็นส่วนตัวและกฎหมายข้ามแดนในยุคดิจิทัล

ในยุคที่ข้อมูลกลายเป็นสิ่งสำคัญหลักในการขับเคลื่อนเศรษฐกิจ โครงสร้างพื้นฐานทางเทคโนโลยีจึงแปรสภาพเป็นหัวใจสำคัญของการดำเนินงานในทุกภาคส่วน ไม่ว่าจะเป็นการสแกนชำระเงินผ่าน PromptPay การสำรองรูปภาพเก็บไว้บนคลาวด์ไปจนถึงการประมวลผลของปัญญาประดิษฐ์ (AI) ในเสี้ยววินาที ต่างต้องพึ่งพาศูนย์บริการข้อมูล (Data Center) ซึ่งทำหน้าที่สตรีมมิ่ง สำรองข้อมูล ประมวลผล และเป็นแหล่งกระจายสัญญาณตลอด 24 ชั่วโมง การเปลี่ยนผ่านสู่ดิจิทัลทำให้ทั้งภาครัฐและเอกชนในประเทศไทยพึ่งพาผู้ให้บริการ Data Center ทั้งในและต่างประเทศอย่างมีนัยสำคัญ

ในทางเทคโนโลยีสารสนเทศ ศูนย์บริการข้อมูล (Data Center) หมายถึง สิ่งอำนวยความสะดวกสถานที่หรือห้อง สำหรับรวบรวมคอมพิวเตอร์เซิร์ฟเวอร์ และระบบเครือข่ายต่าง ๆ เพื่อรวมศูนย์จัดเก็บ รวบรวม และบริหารจัดการอุปกรณ์เทคโนโลยีสารสนเทศ เช่น เซิร์ฟเวอร์ ระบบจัดเก็บข้อมูล และอุปกรณ์เครือข่ายไว้ในที่เดียวอย่างเป็นระบบ เพื่อรองรับการประมวลผลและการจัดส่งข้อมูลจำนวนมากให้แก่ระบบงานหรือแอปพลิเคชันต่าง ๆ โดย Data Center มีหน้าที่ในการจัดเก็บข้อมูลไว้เป็นศูนย์กลางการ ประมวลผลข้อมูล และมีไว้สำหรับกระจายข้อมูลดิจิทัลให้ผู้ใช้งานสามารถเข้าถึงข้อมูล และใช้งานร่วมกันจากส่วนกลางได้อย่างมีประสิทธิภาพ

อย่างไรก็ดี เมื่อข้อมูลที่ถูกจัดเก็บหรือประมวลผลอยู่ใน Data Center มีลักษณะเป็น "ข้อมูลส่วนบุคคล" ตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 (PDPA) ความสัมพันธ์ทางเทคโนโลยีจึงแปลงสภาพเป็นความสัมพันธ์ทางกฎหมายทันที ความท้าทายหลักจึงตกอยู่ที่การระบุสถานะทางกฎหมายของผู้ให้บริการ Data Center ว่าเป็นเพียงผู้จัดเก็บข้อมูล (Storage Provider) ผู้ประมวลผลข้อมูลส่วนบุคคล (Data Processor) หรือมีภาระหน้าที่และความรับผิดชอบเพิ่มเติมขึ้นมาตามบทบัญญัติแห่งกฎหมาย

กรอบภาระหน้าที่พื้นฐานตามกฎหมาย PDPA สำหรับ Data Center

ตามกฎหมายคุ้มครองข้อมูลส่วนบุคคล ผู้ควบคุมข้อมูลส่วนบุคคล (Data Controller) หมายถึง บุคคลหรือนิติบุคคลที่กำหนดวัตถุประสงค์และวิธีการประมวลผลข้อมูลส่วนบุคคล เช่น การนำข้อมูลส่วนบุคคลของพนักงานในบริษัทที่เก็บรวบรวมมาใช้ประมวลเพื่อจ่ายเงินเดือน เป็นต้น และผู้ประมวลผลข้อมูล (Data Processor) หมายถึง บุคคลหรือนิติบุคคลที่ต้องประมวลผลข้อมูลตามคำสั่งของผู้ควบคุมข้อมูล (Data Controller) โดยไม่มีอำนาจตัดสินใจวัตถุประสงค์การใช้ข้อมูล เช่น บริษัท Outsource ทำระบบเงินเดือนต้องคำนวณและจ่ายเงินเดือนพนักงานตามข้อมูลและคำสั่งที่บริษัทผู้จ้างส่งมาให้ เป็นต้น

จากตัวอย่างข้างต้นจะทำให้เราพอเห็นภาพว่า การระบุสถานะที่ถูกต้อง ไม่ได้ขึ้นอยู่กับสรรพนามที่ตกลงกันในเอกสารเท่านั้น แต่พิจารณากันจากความเป็นจริงที่ว่า ในทางปฏิบัติใครเป็นผู้มีอำนาจควบคุมการประมวลผลข้อมูล โดยหากนำเรื่องนี้มาพิจารณาในบริบทของ Data Center ภาพจะยิ่งชัดเจนขึ้น 

โดยทั่วไป เมื่อองค์กรหนึ่ง (Data Controller) จ้างผู้ให้บริการ Data Center (Data Processor) เพื่อฝากฐานข้อมูล ผู้ให้บริการจะทำหน้าที่เพียงอำนวยความสะดวกด้านโครงสร้างพื้นฐานตามคำสั่งเท่านั้น โดยไม่มีสิทธิ์นำข้อมูลไปใช้ในวัตถุประสงค์อื่นด้วยตนเอง

ดังนั้น หากเรานิยามว่า องค์กรผู้จ้างในฐานะผู้ควบคุมข้อมูลส่วนบุคคล (Data Controller) นำข้อมูลไปจัดเก็บหรือประมวลผลที่ Data Center ของผู้รับจ้างซึ่งมีฐานะเป็นผู้ประมวลผลข้อมูลส่วนบุคคล (Data Processor) หน้าที่ขององค์กรผู้จ้างในฐานะที่เป็นผู้ควบคุมข้อมูลส่วนบุคคลจะมีหน้าที่ตามกฎหมาย 3 ประการ ดังนี้

1. การจัดทำสัญญาประมวลผลข้อมูลส่วนบุคคล (Data Processing Agreement - DPA)

แม้องค์กรจะย้ายข้อมูลไปจัดเก็บที่ Data Center แต่ความรับผิดชอบทางกฎหมายยังคงอยู่ที่องค์กร ตามมาตรา 40 แห่ง พ.ร.บ. คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ซึ่งกำหนดให้ผู้ควบคุมข้อมูลส่วนบุคคลต้องจัดให้มีข้อตกลงหรือสัญญาหรือที่เราเรียกว่า Data Processing Agreement หรือ DPA เพื่อกำกับดูแลการประมวลผลข้อมูลของ Data Center ให้ดำเนินการตามคำสั่งที่ได้รับมอบหมายเท่านั้น

โดยการจัดทำข้อตกลงการประมวลผลข้อมูลส่วนบุคคล (DPA) ตามที่กฎหมายตามพ.ร.บ. คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 กำหนด อย่างน้อยต้องมีสาระสำคัญดังต่อไปนี้

• โครงสร้างและขอบเขตแห่งนิติสัมพันธ์ เช่น การกำหนดให้ผู้ประมวลผลข้อมูลส่วนบุคคลดำเนินการเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลตามคำสั่งที่ได้รับจากผู้ควบคุมข้อมูลส่วนบุคคล เป็นต้น
• มาตรการความมั่นคงปลอดภัยและการกำกับดูแล เช่น ระบุให้ผู้ประมวลผลข้อมูลส่วนบุคคลจัดให้มีมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสม เพื่อป้องกันการสูญหาย เข้าถึง ใช้ เปลี่ยนแปลง แก้ไข หรือเปิดเผยข้อมูลส่วนบุคคลโดยปราศจากอำนาจหรือโดยไม่ชอบ
• การบริหารจัดการความเสี่ยง เช่น การระบุให้ผู้ประมวลผลข้อมูลส่วนบุคคลมีหน้าที่แจ้งเหตุการละเมิดข้อมูลส่วนบุคคล แก่ผู้ควบคุมข้อมูลส่วนบุคคลโดยไม่ซักช้าภายใน 72 ชั่วโมงนับแต่ผู้ประมวลผลข้อมูลส่วนบุคคลทราบเหตุเท่าที่จะสามารถกระทำได้
• การกำหนดให้ผู้ประมวลผลข้อมูลส่วนบุคคลจัดทำบันทึกรายการของกิจกรรมการประมวลผลข้อมูลส่วนบุคคล

นอกจากนี้ DPA ยังเป็นเกราะคุ้มกันทางกฎหมายที่พิสูจน์ความระมัดระวังขององค์กร และใช้เป็นหลักฐานสำคัญในการไล่เบี้ยเรียกร้องความเสียหายหากเกิดเหตุข้อมูลรั่วไหลจากฝั่ง Data Center อีกด้วย

2. การจัดให้มีมาตรการรักษาความปลอดภัย (Security Measures)

เมื่อมีการส่งมอบข้อมูลตลอดจนวงจรการประมวลผลข้อมูล กฎหมายตามมาตรา 37 (1) และมาตรา 40 (2) และข้อ 6 ของประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลมาตรการรักษาความมั่นคงปลอดภัยของผู้ควบคุมข้อมูลส่วนบุคคล พ.ศ. 2565 ไม่ได้มองว่าเป็นหน้าที่ของฝ่ายใดฝ่ายหนึ่งเพียงลำพัง แต่กำหนดให้ทั้งผู้ควบคุมข้อมูลและผู้ประมวลผลข้อมูลมีหน้าที่ทางกฎหมายร่วมกัน ในการจัดให้มีมาตรการรักษาความปลอดภัยที่เหมาะสม โดยผู้ควบคุมข้อมูลต้องกำหนดไว้ในข้อตกลงให้ผู้ประมวลผลจัดให้มีมาตรการเทียบเท่ากับมาตรฐานการรักษาความมั่นคงปลอดภัยขั้นต่ำเพื่อธำรงไว้ซึ่งความลับ ความถูกต้องครบถ้วน และสภาพพร้อมใช้งานของข้อมูลส่วนบุคคลขององค์กร โดยจะต้องมีมาตรการครอบคลุมทั้ง 3 มิติหลัก คือ 

2.1 มาตรการเชิงองค์กร (Organizational Measures) เช่น การจัดทำนโยบายและแนวปฏิบัติด้านการคุ้มครองข้อมูลส่วนบุคคล การกำหนดบทบาทหน้าที่และสิทธิการเข้าถึงข้อมูลตามหลักหลักรู้เท่าที่จำเป็น และหลักการให้สิทธิเท่าที่จำเป็น การทำข้อตกลงรักษาความลับกับบุคลากร การฝึกอบรมสร้างความตระหนักรู้ ตลอดจนการจัดทำแผนเผชิญเหตุละเมิดข้อมูล

2.2 มาตรการทางเทคนิค (Technical Measures) เช่น การเข้ารหัสข้อมูล (Encryption), ระบบป้องกันทางไซเบอร์ (Cybersecurity) เพื่อป้องกันการแฮกหรือดักรับข้อมูลระหว่างการจัดเก็บและส่งผ่าน

2.3 มาตรการทางกายภาพ (Physical Measures) เช่น ระบบควบคุมการเข้าถึงห้องเซิร์ฟเวอร์ เพื่อป้องกันการสูญหาย การเข้าถึง เปลี่ยนแปลง แก้ไข หรือเปิดเผยข้อมูลโดยมิชอบ เพื่อจำกัดไม่ให้ผู้ไม่มีส่วนเกี่ยวข้องเข้าถึงเซิร์ฟเวอร์ได้

ทั้งนี้ มาตรการดังกล่าวควรได้รับการทบทวนและปรับปรุง ตามนโยบายขององค์กร หรือ เมื่อมีความจำเป็น หรือมีการเปลี่ยนแปลงทางเทคโนโลยี หรือทันทีที่เกิดเหตุละเมิดข้อมูลส่วนบุคคล 

3 การประเมินและกำกับดูแลการส่งหรือโอนข้อมูลไปยังต่างประเทศ (Cross-Border Data Transfer)

เมื่อองค์กรตัดสินใจนำข้อมูลไปจัดเก็บหรือประมวลผล ณ Data Center หรือ Cloud ที่มีเซิร์ฟเวอร์หลักหรือเซิร์ฟเวอร์สำรอง (Backup) อยู่ในต่างประเทศ แม้กฎหมายจะไม่ถือว่าการกระทำดังกล่าวเป็นการส่งหรือโอนข้อมูลข้ามพรมแดนในทุกกรณี เนื่องจากตามประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง หลักเกณฑ์การคุ้มครองข้อมูลส่วนบุคคลที่ส่งหรือโอนไปยังต่างประเทศฯ พ.ศ. 2566 กำหนดว่า หากเป็นการใช้บริการฝากจัดเก็บข้อมูล (Data Storage) หรือการส่งผ่านข้อมูล (Data Transit) โดยไม่มีบุคคลใดนอกจากผู้ควบคุมข้อมูลส่วนบุคคลและผู้ประมวลผลข้อมูลส่วนบุคคลสามารถเข้าถึงข้อมูลส่วนบุคคลนั้นได้ เช่น องค์กรมีการเข้ารหัสข้อมูลด้วยเทคนิคที่รัดกุมและเป็นผู้ถือกุญแจเข้ารหัสแต่เพียงผู้เดียว โดยที่ผู้ให้บริการ Cloud หรือบุคคลภายนอกไม่สามารถถอดรหัสหรือมองเห็นเนื้อหาข้อมูลได้ กรณีเช่นนี้จะ ไม่ถือว่า เป็นการส่งหรือโอนข้อมูลส่วนบุคคลไปยังต่างประเทศตามมาตรา 28

อย่างไรก็ตาม หากผู้ให้บริการ Data Center/Cloud ในต่างประเทศ หรือบุคคลภายนอกมีสิทธิหรือสามารถเข้าถึงเนื้อหาข้อมูลส่วนบุคคลได้ การกระทำดังกล่าวจะถือเป็นการส่งหรือโอนข้อมูลไปยังต่างประเทศ ซึ่งผู้ควบคุมข้อมูลมีหน้าที่ต้องประเมินว่าประเทศปลายทางมีมาตรฐานการคุ้มครองข้อมูลส่วนบุคคลที่เพียงพอ หรือจัดให้มีมาตรการคุ้มครองที่เหมาะสม เช่น การจัดทำสัญญาตามข้อสัญญามาตรฐาน (SCCs) เพื่อให้มั่นใจว่าข้อมูลส่วนบุคคลจะยังคงได้รับคุ้มครองตามมาตรฐานของกฎหมาย และหากประเทศปลายทางไม่มีมาตรฐานที่เพียงพอและไม่มีมาตรการคุ้มครองที่เหมาะสม การส่งหรือโอนข้อมูลจะกระทำได้ก็ต่อเมื่อเข้าข้อยกเว้นทางกฎหมายตามมาตรา 28 เช่น เป็นการปฏิบัติตามกฎหมาย อาศัยความยินยอมจากเจ้าของข้อมูลส่วนบุคคล โดยได้แจ้งให้ทราบถึงมาตรฐานการคุ้มครองข้อมูลส่วนบุคคลที่ไม่เพียงพอของประเทศปลายทางแล้ว หรือเป็นการจำเป็นเพื่อการปฏิบัติตามสัญญาซึ่งเจ้าของข้อมูลส่วนบุคคลเป็นคู่สัญญา หรือเพื่อใช้ในการดำเนินการตามคำขอของเจ้าของข้อมูลส่วนบุคคลก่อนเข้าทำสัญญานั้น เป็นต้น

กรณีศึกษา: ภาพลวงตาของ Data Localization และความซับซ้อนทางกฎหมาย

 ในทางทฤษฎี หลายองค์กรจะวางมาตรการกำกับผู้ให้บริการ Data Center ไว้ผ่าน 3 กลไกสำคัญ ทั้ง การทำสัญญา DPA การจัดให้มีมาตรการรักษาความปลอดภัย และการกำกับดูแลการโอนข้อมูลข้ามพรมแดน แต่ในทางปฏิบัติ การบังคับใช้ทั้ง 3 กลไกยังมีข้อท้าทายและช่องว่างที่คาดไม่ถึง โดยหลายองค์กรจะมีความเชื่อว่าการจัดเก็บข้อมูลไว้ใน Data Center ภายในประเทศไทย คือ คำตอบที่ดีที่สุดสำหรับความปลอดภัย แต่ในความเป็นจริงแล้วเรื่องของตำแหน่งที่ตั้งทางกายภาพเป็นเพียงการมองในมิติเดียวเท่านั้น เพราะในโลกของดิจิทัลนั้น ความเสี่ยงแฝงยังคงเกิดขึ้นได้เสมอ แม้ข้อมูลที่องค์กรได้ฝากไว้จะไม่เคยออกนอกประเทศ ไม่เคยส่งโอนข้ามพรมแดนใดๆ แต่ความเสี่ยงประการแรกคือ การเข้าถึงจากระยะไกล (Remote Access) จากบุคคลที่อยู่ในต่างประเทศ และความเสี่ยงประการต่อมาคือ ภาระผูกพันด้านสัญชาติของผู้ให้บริการที่อาจทำให้ Data Center ในไทยถูกบังคับใช้โดยกฎหมายต่างแดน ซึ่งอาจทำให้เกิดความขัดแย้งกับกฎหมายไทย โดยอธิบายเป็นประเด็นได้ดังต่อไปนี้

1. มายาคติเรื่อง Data Localization และกรณีการเข้าถึงจากระยะไกล (Remote Access)

ผู้คนมักมีความเชื่อที่ผิดว่า หากเลือกใช้ Data Center ที่ตั้งอยู่ในประเทศไทย (Local Data Center) ข้อมูลจะถูกจัดเก็บอยู่ภายในราชอาณาจักร และไม่มีทางเกิดประเด็นเรื่องการโอนข้อมูลข้ามพรมแดน ทว่าในความเป็นจริงแล้ว ระบบสารสนเทศที่สำคัญ เช่น ระบบงานธนาคาร (Core-Banking) แม้เซิร์ฟเวอร์จะตั้งอยู่ในไทย แต่การบริหารจัดการมักพึ่งพาโมเดล "Follow-the-Sun" ซึ่งใช้ทีม IT Support จากต่างประเทศ โดยมีการเข้าถึงจากระยะไกล หรือ รีโมท (Remote Access) เข้ามาแก้ไขปัญหาระบบตลอด 24 ชั่วโมง 

ในทางกฎหมาย สาระสำคัญตามมาตรา 28 แห่ง PDPA และแนวปฏิบัติสากล (เช่น EDPB Guidelines 05/2021 ตัวอย่างที่ 8.1) มุ่งพิจารณาที่ "การให้สิทธิในการเข้าถึงข้อมูล" (Granting Access) เป็นสำคัญกว่าตำแหน่งทางกายภาพของเซิร์ฟเวอร์ ดังนั้น การให้บุคคลในต่างประเทศเข้าถึงข้อมูลส่วนบุคคลจากระยะไกล แม้จะไม่มีการดาวน์โหลดไฟล์ก็อาจก่อให้เกิดประเด็นเกี่ยวกับการประมวลผลและการส่งหรือโอนข้อมูลข้ามพรมแดน ทั้งนี้ ต้องพิจารณาถึงสถานะของผู้เข้าถึงข้อมูลและลักษณะของการเข้าถึงข้อมูลประกอบกัน

1.1. ข้อพิจารณาสำคัญขึ้นอยู่กับสถานะนิติบุคคลของผู้เข้าถึงข้อมูล

• กรณีทีม IT Support เป็นบุคคลภายนอก (Third-Party / Separated Entity) หากผู้รีโมทเป็นบริษัทรับจ้างดูแลระบบ (Vendor) หรือบริษัทในเครือที่จดทะเบียนนิติบุคคลแยกต่างหากในต่างประเทศการรีโมท จะถือเป็นการส่งหรือโอนข้อมูลส่วนบุคคลไปยังต่างประเทศ ตามมาตรา 28 เนื่องจากเป็นการเปิดให้บุคคลภายนอกเข้าถึงข้อมูล ส่งผลให้ต้องประเมินมาตรฐานประเทศปลายทาง และจัดทำสัญญา DPA ร่วมด้วย
• กรณีทีม IT Support เป็นบุคลากรของนิติบุคคลเดียวกัน หากผู้รีโมทเป็นพนักงานขององค์กรเดียวกันที่ประจำอยู่สาขาต่างประเทศ การเข้าถึงข้อมูลจะถูกตีความว่าเป็นเพียงสื่อกลางในการส่งผ่านข้อมูล (Data Transit) เนื่องจากข้อมูลยังคงอยู่ภายใต้ขอบเขตความรับผิดชอบและการคุ้มครองตามกฎหมาย (Material Scope) ของนิติบุคคลเดิม โดยไม่มีบุคคลภายนอกเข้ามาแทรกแซง

2. การขัดกันของกฎหมายข้ามชาติและการเข้าถึงข้อมูลโดยรัฐต่างชาติ (Extraterritorial Jurisdiction)

ประเด็นความท้าทายระดับนโยบายเกิดขึ้นเมื่อ Data Center ตั้งอยู่ในประเทศไทย แต่เป็นสาขาหรือบริษัทลูกของบริษัทที่ไม่ได้จดทะเบียนนิติบุคคลในประเทศไทย เช่น ผู้ให้บริการที่อยู่ภายใต้เขตอำนาจศาลของสหรัฐอเมริกา ซึ่งอาจอยู่ภายใต้กฎหมายสหรัฐฯ เช่น US CLOUD Act (2018) 

• US CLOUD Act: ให้อำนาจรัฐบาลสหรัฐสามารถมีคำสั่งให้บริษัทสัญชาติอเมริกันส่งมอบข้อมูลที่อยู่ในความดูแล ไม่ว่าข้อมูลดังกล่าวจะอยู่ในเซิร์ฟเวอร์ซึ่งตั้งอยู่ที่ใดในโลก
• PDPA (ประเทศไทย): กำหนดให้การเปิดเผยข้อมูลส่วนบุคคลแก่หน่วยงานภายนอกหรือรัฐต่างชาติ ต้องมีฐานทางกฎหมาย (Lawful Basis) รองรับอย่างถูกต้องตามมาตรา 27 มาตรา 24 หรือ 26 และต้องสอดคล้องกับมาตรา 28 และ 29

จากตัวอย่างข้างต้น จะเห็นได้ว่า ผู้ให้บริการ Data Center อาจตกอยู่ในสภาวะยากลำบากที่จะต้องตัดสินใจระหว่างการเลือกปฏิบัติตามคำสั่งของรัฐบาลของประเทศที่บริษัทตั้งอยู่ กับการละเมิดกฎหมาย PDPA ของประเทศไทยในฐานะประเทศที่ข้อมูลตั้งอยู่ ซึ่งจำเป็นต้องหาแนวทางปฏิบัติและมาตรการทางเทคนิคเพื่อบรรเทาความเสี่ยงทางกฎหมายดังกล่าว

แนวทางการเลือกใช้และบริหารจัดการ Data Center ให้สอดคล้องตามกฎหมายคุ้มครองข้อมูลส่วนบุคคล

จากกรณีศึกษาและความท้าทายทางกฎหมายข้างต้น สามารถสรุปเป็นแนวทางปฏิบัติสำหรับองค์กรในการเลือกใช้และบริหารจัดการ Data Center ให้สอดคล้องกับ PDPA ได้ดังนี้

1. ประเมินระบบและรูปแบบการเข้าถึงข้อมูล (Remote Access Analysis): วิเคราะห์ก่อนเลือกใช้บริการว่าระบบของ Data Center มีการบริหารจัดการในลักษณะ Follow-the-Sun หรือไม่ และทีมงานที่เข้าถึงระบบเป็นพนักงานขององค์กรเดียวกันหรือเป็น Vendor บุคคลภายนอก เพื่อกำหนดภาระหน้าที่ทางกฎหมายให้ถูกต้องตั้งแต่ต้น

2. ตรวจสอบหรือจัดให้มีสัญญาประมวลผลข้อมูลส่วนบุคคล (DPA): ตรวจสอบ DPA ให้ครอบคลุมเพื่อให้สามารถควบคุม กำกับ ผู้ให้บริการ Data Center โดยกำหนดขอบเขตคำสั่ง มาตรการความปลอดภัย และเงื่อนไขการรีโมทของทีม IT Support ในต่างประเทศอย่างชัดเจน พร้อมทั้งกำหนดกลไกการแจ้งเตือนหากมีคำสั่งขอเข้าถึงข้อมูลจากหน่วยงานรัฐต่างชาติ

3. กำหนดมาตรการรักษาความมั่นคงปลอดภัยทั้งทางเทคนิคและกายภาพ: จัดให้มีการเข้ารหัสข้อมูล (Encryption) ทั้งขณะจัดเก็บ (Data at Rest) และขณะส่งผ่าน (Data in Transit) รวมทั้งควบคุมการเข้าถึงห้องเซิร์ฟเวอร์จริง (Physical Access Control) เพื่อป้องกันการเข้าถึงข้อมูลโดยมิชอบ

บทสรุป

การเลือกใช้และบริหารจัดการ Data Center ในยุคปัจจุบัน ไม่ควรคำนึงถึงเพียงเรื่องสถานที่ตั้งทางกายภาพของตู้เซิร์ฟเวอร์ แต่จำเป็นต้องพิจารณาอย่างครอบคลุมถึง รูปแบบของระบบ สิทธิการเข้าถึงข้อมูล และโครงสร้างนิติบุคคลของผู้ให้บริการ เพื่อให้การใช้งาน Data Center สอดคล้องตามกฎหมาย PDPA ทั้งนี้ องค์กรควรประเมินและบริหารจัดการความเสี่ยงในหลายมิติไปพร้อมกัน ไม่ว่าจะเป็นเงื่อนไขการรีโมทจากทีมงานในต่างประเทศที่อาจเข้าข่ายการโอนข้อมูลข้ามพรมแดน การเตรียมแนวทางรับมือกับกฎหมายข้ามชาติ ที่อาจส่งกระทบต่อความเป็นส่วนตัวของข้อมูล ตลอดจนการนำมาตรการทางเทคนิคขั้นสูง เช่น การเข้ารหัสข้อมูล (Encryption) มาใช้เพื่อจำกัดสิทธิการเข้าถึง โดยการดำเนินการเหล่านี้ไม่เพียงแต่ช่วยให้องค์กรปฏิบัติตามกฎหมายได้อย่างถูกต้อง แต่ยังเป็นหัวใจสำคัญในการปกป้องสิทธิและเสรีภาพของเจ้าของข้อมูลส่วนบุคคลได้อย่างมีประสิทธิภาพและยั่งยืน และยกระดับมาตรฐานด้านความเป็นส่วนตัวขององค์กร