ผู้ควบคุมข้อมูลและผู้ประมวลผลข้อมูล: ใครมีหน้าที่อะไร?

ในโลกของพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล (PDPA) มีสองคำศัพท์สำคัญที่เราต้องทำความเข้าใจอย่างถ่องแท้ นั่นคือ "ผู้ควบคุมข้อมูล" และ "ผู้ประมวลผลข้อมูล" ทั้งสองบทบาทนี้มีความสำคัญอย่างยิ่งในการทำให้การประมวลผลข้อมูลส่วนบุคคลเป็นไปอย่างถูกต้องตามกฎหมาย และแต่ละบทบาทก็มีหน้าที่ความรับผิดชอบที่แตกต่างกัน

ผู้ควบคุมข้อมูล (Data Controller): ผู้วางแผนและสั่งการ

ผู้ควบคุมข้อมูล คือ บุคคลธรรมดาหรือนิติบุคคล (เช่น บริษัท องค์กร หรือหน่วยงานรัฐ) ที่มีอำนาจตัดสินใจเกี่ยวกับ "วัตถุประสงค์" และ "วิธีการ" ในการประมวลผลข้อมูลส่วนบุคคล

พูดง่ายๆ ก็คือ ผู้ควบคุมข้อมูลเป็นคนกำหนดว่า "จะเก็บข้อมูลอะไร" "เก็บไปทำไม" "จะเก็บไว้นานแค่ไหน" และ "จะประมวลผลข้อมูลอย่างไร" ผู้ควบคุมข้อมูลมีอำนาจสูงสุดในการควบคุมข้อมูลส่วนบุคคล

ตัวอย่าง:

บริษัทขายสินค้าออนไลน์: บริษัทนี้เป็นผู้ควบคุมข้อมูล เพราะเป็นคนกำหนดว่าจะเก็บข้อมูลลูกค้าอะไรบ้าง (ชื่อ ที่อยู่ อีเมล เบอร์โทรศัพท์ ประวัติการสั่งซื้อ) เพื่อวัตถุประสงค์อะไร (เช่น จัดส่งสินค้า ทำการตลาด วิเคราะห์พฤติกรรมลูกค้า) และจะเก็บข้อมูลเหล่านั้นไว้นานแค่ไหน
โรงพยาบาล: โรงพยาบาลเป็นผู้ควบคุมข้อมูล เพราะเป็นคนกำหนดว่าจะเก็บข้อมูลผู้ป่วยอะไรบ้าง (ชื่อ ที่อยู่ ประวัติการรักษา ผลการตรวจ) เพื่อวัตถุประสงค์อะไร (เช่น การรักษา การวินิจฉัย การติดตามผล) และจะเก็บข้อมูลเหล่านั้นไว้นานแค่ไหน
เว็บไซต์ข่าว: เว็บไซต์ข่าวเป็นผู้ควบคุมข้อมูล เพราะเป็นคนกำหนดว่าจะเก็บข้อมูลผู้ใช้งานอะไรบ้าง (เช่น อีเมล cookie IP address) เพื่อวัตถุประสงค์อะไร (เช่น แสดงผลโฆษณา วิเคราะห์สถิติผู้เข้าชม) และจะเก็บข้อมูลเหล่านั้นไว้นานแค่ไหน

หน้าที่และความรับผิดชอบหลักของผู้ควบคุมข้อมูล:

กำหนดวัตถุประสงค์และวิธีการประมวลผลข้อมูลส่วนบุคคล
ปฏิบัติตามหลักการพื้นฐานของ PDPA (เช่น ความโปร่งใส ความถูกต้อง ความจำกัดวัตถุประสงค์)
ขอความยินยอมจากเจ้าของข้อมูล (ถ้าจำเป็น)
จัดให้มีมาตรการรักษาความปลอดภัยที่เหมาะสม
ตอบสนองต่อคำขอของเจ้าของข้อมูล (เช่น การเข้าถึง การแก้ไข การลบข้อมูล)
แจ้งเหตุละเมิดข้อมูลส่วนบุคคลต่อสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (สคส.)

ผู้ประมวลผลข้อมูล (Data Processor): ผู้ปฏิบัติตามคำสั่ง

ผู้ประมวลผลข้อมูล คือ บุคคลธรรมดาหรือนิติบุคคล ที่ประมวลผลข้อมูลส่วนบุคคล "ตามคำสั่ง" หรือ "ในนาม" ของผู้ควบคุมข้อมูล

ผู้ประมวลผลข้อมูลไม่มีอำนาจในการตัดสินใจเกี่ยวกับวัตถุประสงค์หรือวิธีการประมวลผลข้อมูล หน้าที่หลักคือการปฏิบัติตามคำสั่งของผู้ควบคุมข้อมูลอย่างเคร่งครัด

ตัวอย่าง:

บริษัท Cloud Storage: บริษัทที่ให้บริการพื้นที่จัดเก็บข้อมูลบนคลาวด์ เป็นผู้ประมวลผลข้อมูล เพราะทำหน้าที่จัดเก็บข้อมูลลูกค้าของบริษัทขายสินค้าออนไลน์ (ซึ่งเป็นผู้ควบคุมข้อมูล) ตามคำสั่งของบริษัทขายสินค้าออนไลน์
บริษัท Marketing Automation: บริษัทที่ให้บริการระบบส่งอีเมลอัตโนมัติ เป็นผู้ประมวลผลข้อมูล เพราะทำหน้าที่ส่งอีเมลไปยังลูกค้าของบริษัทขายสินค้าออนไลน์ (ซึ่งเป็นผู้ควบคุมข้อมูล) ตามคำสั่งของบริษัทขายสินค้าออนไลน์
บริษัทวิเคราะห์ข้อมูล: บริษัทที่ให้บริการวิเคราะห์ข้อมูลลูกค้า เป็นผู้ประมวลผลข้อมูล เพราะทำหน้าที่วิเคราะห์ข้อมูลลูกค้าของบริษัทขายสินค้าออนไลน์ (ซึ่งเป็นผู้ควบคุมข้อมูล) ตามคำสั่งของบริษัทขายสินค้าออนไลน์

หน้าที่และความรับผิดชอบหลักของผู้ประมวลผลข้อมูล:

ประมวลผลข้อมูลส่วนบุคคลตามคำสั่งของผู้ควบคุมข้อมูลเท่านั้น
รักษาความลับและความปลอดภัยของข้อมูลส่วนบุคคล
แจ้งให้ผู้ควบคุมข้อมูลทราบทันทีหากมีการละเมิดข้อมูลส่วนบุคคล
ให้ความร่วมมือกับผู้ควบคุมข้อมูลในการปฏิบัติตาม PDPA
จัดให้มีบันทึกรายการกิจกรรมการประมวลผลข้อมูล (Records of Processing Activities - RoPA)

ความสัมพันธ์ระหว่างผู้ควบคุมข้อมูลและผู้ประมวลผลข้อมูล

ความสัมพันธ์ระหว่างผู้ควบคุมข้อมูลและผู้ประมวลผลข้อมูลมีความสำคัญอย่างยิ่งต่อการปฏิบัติตาม PDPA ผู้ควบคุมข้อมูลต้องเลือกผู้ประมวลผลข้อมูลที่มีความน่าเชื่อถือและสามารถรักษาความปลอดภัยของข้อมูลส่วนบุคคลได้ นอกจากนี้ ผู้ควบคุมข้อมูลและผู้ประมวลผลข้อมูลจะต้องทำข้อตกลงเป็นลายลักษณ์อักษร (Data Processing Agreement - DPA) ซึ่งระบุรายละเอียดเกี่ยวกับขอบเขตของการประมวลผลข้อมูล หน้าที่ความรับผิดชอบ และมาตรการรักษาความปลอดภัย

ข้อตกลงการประมวลผลข้อมูล (Data Processing Agreement - DPA) ควรมีรายละเอียดดังนี้:

วัตถุประสงค์และขอบเขตของการประมวลผลข้อมูล
ประเภทของข้อมูลส่วนบุคคลที่จะประมวลผล
ระยะเวลาของการประมวลผลข้อมูล
สิทธิและหน้าที่ของผู้ควบคุมข้อมูลและผู้ประมวลผลข้อมูล
มาตรการรักษาความปลอดภัยของข้อมูล
ข้อกำหนดเกี่ยวกับการโอนข้อมูลไปยังต่างประเทศ (ถ้ามี)
กระบวนการแจ้งเหตุละเมิดข้อมูลส่วนบุคคล

องค์กรเดียวกันหรือต่างองค์กรกัน?

ผู้ควบคุมข้อมูลและผู้ประมวลผลข้อมูล "อาจ" เป็นองค์กรเดียวกัน หรือต่างองค์กรกันก็ได้

กรณีองค์กรเดียวกัน: เช่น บริษัทขนาดใหญ่ที่มีแผนกหนึ่งทำหน้าที่เก็บรวบรวมข้อมูลลูกค้า (ผู้ควบคุมข้อมูล) และอีกแผนกหนึ่งทำหน้าที่วิเคราะห์ข้อมูลลูกค้าเพื่อปรับปรุงการตลาด (ผู้ประมวลผลข้อมูล) ถึงแม้จะเป็นบริษัทเดียวกัน แต่ PDPA ก็ยังกำหนดให้มีการแบ่งแยกหน้าที่และความรับผิดชอบอย่างชัดเจน
กรณีต่างองค์กรกัน: เช่น บริษัทขายสินค้าออนไลน์ (ผู้ควบคุมข้อมูล) ใช้บริการบริษัทคลาวด์ (ผู้ประมวลผลข้อมูล) ในการจัดเก็บข้อมูลลูกค้า

ตัวอย่างสถานการณ์และ Code (ถ้าเกี่ยวข้อง)

สมมติว่าเรามีบริษัทชื่อ "HappyShop" ซึ่งเป็นร้านค้าออนไลน์ HappyShop ต้องการส่งอีเมลโปรโมชั่นให้กับลูกค้า

HappyShop (ผู้ควบคุมข้อมูล): กำหนดว่าจะเก็บข้อมูลอีเมลของลูกค้า (เพื่อวัตถุประสงค์ในการส่งโปรโมชั่น) และใช้บริการ "EmailBlast" ในการส่งอีเมล

EmailBlast (ผู้ประมวลผลข้อมูล): ทำหน้าที่ส่งอีเมลตามคำสั่งของ HappyShop

แม้ว่าตัวอย่างนี้จะไม่จำเป็นต้องใช้โค้ดโดยตรง แต่เราสามารถอธิบายในเชิงคอนเซ็ปต์ได้ว่า HappyShop จะส่งข้อมูลอีเมลของลูกค้าไปยัง EmailBlast ผ่าน API (Application Programming Interface) ที่ปลอดภัย:

# ตัวอย่างการส่งข้อมูลไปยัง EmailBlast API (Python)

import requests
import json

api_endpoint = "https://api.emailblast.com/send_email"
api_key = "YOUR_EMAILBLAST_API_KEY"  # แทนที่ด้วย API Key จริง

data = {
  "recipient_email": "customer@example.com",
  "subject": "โปรโมชั่นสุดพิเศษจาก HappyShop!",
  "body": "สวัสดีค่ะ/ครับ! พบกับโปรโมชั่น..."
}

headers = {
  "Content-Type": "application/json",
  "Authorization": f"Bearer {api_key}"
}

try:
  response = requests.post(api_endpoint, data=json.dumps(data), headers=headers)
  response.raise_for_status() # ตรวจสอบ HTTP error
  print("ส่งอีเมลสำเร็จ!")

except requests.exceptions.RequestException as e:
  print(f"เกิดข้อผิดพลาดในการส่งอีเมล: {e}")

คำอธิบาย Code:

`api_endpoint`: URL ของ API ที่ EmailBlast ให้บริการ
`api_key`: คีย์ที่ HappyShop ได้รับจาก EmailBlast เพื่อยืนยันตัวตนและสิทธิ์ในการใช้งาน API
`data`: ข้อมูลที่จะส่งไปยัง EmailBlast (อีเมลผู้รับ หัวข้อ เนื้อหา)
`headers`: ส่วนหัวของ HTTP request ที่ระบุประเภทของข้อมูลและ API Key
`requests.post()`: ฟังก์ชันที่ส่ง HTTP POST request ไปยัง API
`response.raise_for_status()`: ตรวจสอบว่า API ตอบกลับด้วย HTTP status code ที่แสดงถึงความสำเร็จหรือไม่ (เช่น 200 OK) ถ้ามี error จะ raise exception

ข้อควรระวัง:

โค้ดนี้เป็นเพียงตัวอย่างเพื่อแสดงแนวคิดเท่านั้น ในการใช้งานจริงจะต้องมีการจัดการ error ที่ครอบคลุมมากขึ้น และตรวจสอบให้แน่ใจว่า API Key ถูกเก็บรักษาอย่างปลอดภัย
การส่งข้อมูลส่วนบุคคล (เช่น อีเมล) ผ่าน API จะต้องทำผ่านช่องทางที่เข้ารหัส (HTTPS) เพื่อป้องกันการดักจับข้อมูล

สรุป

การทำความเข้าใจบทบาทและหน้าที่ของผู้ควบคุมข้อมูลและผู้ประมวลผลข้อมูลเป็นสิ่งสำคัญอย่างยิ่งในการปฏิบัติตาม PDPA ผู้ควบคุมข้อมูลมีหน้าที่รับผิดชอบในการตัดสินใจเกี่ยวกับวัตถุประสงค์และวิธีการประมวลผลข้อมูล ในขณะที่ผู้ประมวลผลข้อมูลมีหน้าที่ปฏิบัติตามคำสั่งของผู้ควบคุมข้อมูลอย่างเคร่งครัด การทำข้อตกลงการประมวลผลข้อมูล (DPA) ที่ชัดเจนจะช่วยให้ทั้งสองฝ่ายเข้าใจบทบาทหน้าที่ของตนเองและปฏิบัติตาม PDPA ได้อย่างถูกต้อง