มาตรา 88

ตัวบท

มาตรา 88 ตัวแทนผู้ควบคุมข้อมูลส่วนบุคคลหรือตัวแทนผู้ประมวลผลข้อมูลส่วนบุคคลผู้ใดไม่ปฏิบัติตามมาตรา 39 วรรคหนึ่ง ซึ่งได้นำมาใช้บังคับโดยอนุโลมตามมาตรา 39 วรรคสอง และมาตรา 41 วรรคหนึ่ง ซึ่งได้นำมาใช้บังคับโดยอนุโลมตามมาตรา 41 วรรคสี่ ต้องระวางโทษปรับทางปกครองไม่เกินหนึ่งล้านบาท

สรุป

มาตรานี้กำหนดโทษปรับทางปกครองไม่เกิน 1 ล้านบาทสำหรับตัวแทนของผู้ควบคุม/ผู้ประมวลผล (กรณีผู้ควบคุม/ผู้ประมวลผลอยู่ต่างประเทศ) ที่ไม่ปฏิบัติ: (1) มาตรา 39 วรรค 1 อนุโลมจาก มาตรา 39 วรรค 2 — ไม่จัดทำ ROPA; (2) มาตรา 41 วรรค 1 อนุโลมจาก มาตรา 41 วรรค 4 — ไม่ตั้ง DPO — ปิดห่วงโซ่ความรับผิดชอบของกลไกการคุ้มครองข้อมูลข้ามประเทศ

องค์ประกอบสำคัญ

• ผู้ต้องรับผิด: ตัวแทนของผู้ควบคุม/ผู้ประมวลผลข้อมูลส่วนบุคคล
• โทษ: ปรับทางปกครองไม่เกิน 1 ล้านบาท
• การกระทำ:
  • (1) ไม่จัดทำ ROPA — มาตรา 39 วรรค 1 อนุโลมจาก มาตรา 39 วรรค 2
  • (2) ไม่ตั้ง DPO — มาตรา 41 วรรค 1 อนุโลมจาก มาตรา 41 วรรค 4

มาตราที่อ้างอิง

• มาตรา 39 — บันทึกรายการการประมวลผล (ROPA) — วรรค 1 (หน้าที่จัดทำ) + วรรค 2 (อนุโลมให้ตัวแทน)
• มาตรา 41 — การตั้งตัวแทน/DPO — วรรค 1 (หน้าที่ตั้ง DPO) + วรรค 4 (อนุโลมให้ตัวแทน)

หมายเหตุ

• เหตุที่ต้องมี "ตัวแทน":
  • ผู้ควบคุม/ผู้ประมวลผลที่อยู่ต่างประเทศแต่ประมวลผลข้อมูลของเจ้าของข้อมูลในไทย → ต้องตั้งตัวแทนในไทย
  • ตัวแทนเป็นจุดติดต่อสำหรับเจ้าของข้อมูลและคณะกรรมการ
  • คล้ายกับ "ตัวแทนใน EU" ตาม GDPR Art. 27
• บทบาทของตัวแทน:
  • ปฏิบัติหน้าที่แทนผู้ควบคุม/ผู้ประมวลผลในไทย
  • รวมถึงการจัดทำ ROPA และการตั้ง DPO
  • รับผิดทางกฎหมายแทน
• เหตุที่ตัวแทนรับโทษเพียง 1 ล้าน:
  • หน้าที่ของตัวแทน = กรอบขั้นต่ำ (ROPA + DPO) ไม่ครอบคลุมหน้าที่ใจกลาง (ฐานในการประมวลผล)
  • ผู้ควบคุม/ผู้ประมวลผลตัวจริง (ในต่างประเทศ) อาจรับโทษเต็มจาก มาตรา 82/มาตรา 83/มาตรา 84 ตาม
• ความเชื่อมโยงกับห่วงโซ่ความรับผิดชอบ:
  • ผู้ควบคุมตัวจริง: อยู่ต่างประเทศ — รับโทษทางปกครอง มาตรา 82/มาตรา 83/มาตรา 84 ได้ (กฎหมายมีผลข้ามประเทศตามขอบเขตของ มาตรา 5)
  • ตัวแทนในไทย: รับโทษมาตรานี้ — เพราะเป็นจุดติดต่อในประเทศ
  • DPO ที่ตัวแทนตั้ง: อาจรับโทษอาญาตาม มาตรา 80 ถ้าเปิดเผยข้อมูลตามหน้าที่
• ปัญหาในเชิงปฏิบัติ — การติดตามผู้กระทำผิดต่างประเทศ:
  • การปรับผู้ควบคุมในต่างประเทศอาจบังคับยาก — ขึ้นกับการบังคับคำสั่งข้ามประเทศ
  • การตั้งตัวแทนในไทย → ทำให้คณะกรรมการบังคับโทษได้ในประเทศ
  • ตัวแทนในไทยมีทรัพย์สินในไทย → สามารถยึด/อายัดได้ตาม มาตรา 90 วรรค 3
• เปรียบเทียบกับ มาตรา 82:
  • มาตรา 82: ผู้ควบคุม → 1 ล้าน — ไม่ปฏิบัติ ROPA + DPO + หน้าที่อื่น
  • มาตรานี้: ตัวแทน → 1 ล้าน — ไม่ปฏิบัติ ROPA + DPO เท่านั้น (ขอบเขตแคบกว่า)
• การเลือกตัวแทน:
  • ตัวแทนต้องผูกพันด้วยสัญญากับผู้ควบคุม/ผู้ประมวลผล
  • มักเป็นบริษัทที่ปรึกษากฎหมายหรือสำนักงานกฎหมายในไทย
  • การเลือกตัวแทนที่ขาดความรู้อาจทำให้ตัวแทนต้องรับโทษ → ผู้ควบคุมต่างประเทศควรเลือกอย่างระมัดระวัง