สัญญาประมวลผลข้อมูลส่วนบุคคล (DPA) เทมเพลต 2026

ย่อ: ทุกครั้งที่ธุรกิจส่งข้อมูลส่วนบุคคลให้ผู้ให้บริการภายนอกประมวลผลแทน เช่น ระบบ CRM ผู้ให้บริการคลาวด์ หรือศูนย์บริการลูกค้า ควรมีสัญญาประมวลผลข้อมูลส่วนบุคคล (DPA) กำกับไว้ บทความนี้สรุปหน้าที่ผู้ควบคุมและผู้ประมวลผลตามหลัก PDPA ข้อกำหนดที่ต้องมีในสัญญา ตั้งแต่วัตถุประสงค์ มาตรการความปลอดภัย ผู้ประมวลผลย่อย จนถึงการลบทำลาย พร้อมตารางตรวจสอบก่อนเซ็น

DPA เป็นสัญญาที่หลายองค์กรรู้ว่าควรมี แต่มักจบด้วยการเซ็นเอกสารที่ vendor ส่งมาให้โดยไม่ได้อ่าน เพราะดูเป็นกระดาษเชิงพิธีกรรม ในความจริง DPA คือสัญญาที่กำหนดว่าใครได้รับอนุญาตให้ทำอะไรกับข้อมูลลูกค้าของคุณ และเกิดเหตุข้อมูลรั่วแล้วใครต้องแจ้งใคร บทความนี้เขียนสำหรับเจ้าของธุรกิจและฝ่ายจัดซื้อที่ไม่ใช่ทนาย โดยยึดหลักการทั่วไปที่เป็นที่ยอมรับ และย้ำว่านิยามและหน้าที่ที่บังคับจริงต้องเทียบกับพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคลฉบับปัจจุบัน เสมอ เพราะรายละเอียดอาจถูกแก้ไขเพิ่มเติมได้

PDPA ภาพรวม: ผู้ควบคุมกับผู้ประมวลผลต่างกันอย่างไร

• ผู้ควบคุมข้อมูลส่วนบุคคล: ผู้ที่มีอำนาจตัดสินใจว่าจะเก็บข้อมูลเพื่อวัตถุประสงค์ใดและใช้อย่างไร โดยทั่วไปคือธุรกิจที่เป็นเจ้าของความสัมพันธ์กับลูกค้า เช่น ร้านค้าที่เก็บข้อมูลสมาชิก หรือบริษัทที่เก็บข้อมูลพนักงาน
• ผู้ประมวลผลข้อมูลส่วนบุคคล: ผู้ที่ประมวลผลข้อมูลตามคำสั่งของผู้ควบคุม เช่น ผู้ให้บริการคลาวด์ ระบบส่งอีเมล หรือบริษัทรับทำศูนย์บริการ ไม่ใช่ผู้กำหนดวัตถุประสงค์การใช้ข้อมูลด้วยตัวเอง

เหตุผลที่การแยกบทบาทสำคัญคือหน้าที่ของสองฝ่ายต่างกัน ผู้ควบคุมเป็นผู้ตอบคำถามว่าฐานการประมวลผลคืออะไรและต้องแจ้งเจ้าของข้อมูลอย่างไร ส่วนผู้ประมวลผลมีหน้าที่ปฏิบัติตามคำสั่งที่เป็นลายลักษณ์อักษร รักษาความปลอดภัย และช่วยเหลือผู้ควบคุมเมื่อเจ้าของข้อมูลใช้สิทธิ DPA คือสัญญาที่จับหน้าที่สองชุดนี้ให้เป็นข้อความที่บังคับได้ ภาพรวมงานคุ้มครองข้อมูลขององค์กรอยู่ใน AI กับงานคุ้มครองข้อมูลส่วนบุคคล

ข้อกำหนดที่ต้องมี: วัตถุประสงค์และขอบเขตข้อมูล

หัวใจของ DPA คือการจำกัดขอบเขตให้แคบลงเป็นข้อความที่ตรวจได้ สัญญาที่ดีระบุ (1) ประเภทข้อมูลที่จะส่งให้ประมวลผล เช่น ชื่อ อีเมล หมายเลขโทรศัพท์ หรือข้อมูลที่อ่อนไหวซึ่งควรหลีกเลี่ยงถ้าไม่จำเป็น (2) วัตถุประสงค์การประมวลผล เชื่อมกับบริการที่จ้างเท่านั้น (3) คำสั่งการประมวลผล ว่าผู้ประมวลผลทำได้เฉพาะตามคำสั่งของผู้ควบคุมที่เป็นลายลักษณ์อักษร ไม่ใช้ข้อมูลเพื่อวัตถุประสงค์ของตนเอง เช่น นำไปพัฒนาผลิตภัณฑ์อื่นโดยไม่ได้รับอนุญาต

จุดที่มืออาชีพมักจับต้องคือข้อ "การใช้ข้อมูลในเชิงรวม" เช่น สถิติการใช้งานที่ไม่ระบุตัวบุคคล vendor หลายรายขอสิทธินี้เพื่อพัฒนาบริการ ซึ่งยอมได้หรือไม่ขึ้นกับธุรกิจของคุณ สิ่งที่ต้องเช็กคือนิยามว่าอะไรคือข้อมูลที่ไม่ระบุตัวบุคคล และมีกระบวนการที่ตรวจสอบได้หรือไม่ หลักการเดียวกันกับที่ใช้ตรวจข้อสัญญาระบบ AI ใน AI กับงานความสอดคล้องขององค์กร

มาตรการความปลอดภัยและการตรวจสอบ

หมวดความปลอดภัยควรเขียนให้เป็นข้อผูกพัน ไม่ใช่ประโยคอุทาธรณ์ว่า "รักษาความปลอดภัยอย่างเหมาะสม" เท่านั้น โครงที่ใช้ตรวจได้คือ (1) มาตรการที่ระบุชัด เช่น การควบคุมการเข้าถึง การเข้ารหัสข้อมูลระหว่างส่งและขณะจัดเก็บ การบันทึกการเข้าถึง ซึ่งระดับที่เหมาะสมขึ้นกับธรรมชาติของข้อมูล (2) การแจ้งเหตุ กำหนดว่าเมื่อเกิดเหตุการณ์ที่อาจกระทบข้อมูล ผู้ประมวลผลต้องแจ้งผู้ควบคุมโดยเร็วภายในกรอบเวลาที่สัญญาระบุ พร้อมข้อมูลที่ต้องส่งมา (3) การตรวจสอบ สิทธิของผู้ควบคุมในการขอข้อมูลพิสูจน์การปฏิบัติตาม เช่น รายงานตรวจสอบภายนอกหรือผลการทดสอบระบบ

ข้อที่ฝ่ายจัดซื้อมักพลาดคือหน้าที่ช่วยเหลือเมื่อเจ้าของข้อมูลใช้สิทธิ เช่น ลูกค้าขอให้ลบข้อมูลหรือขอสำเนาข้อมูล ผู้ประมวลผลควรมีหน้าที่ส่งมอบข้อมูลและช่วยตอบสนองภายในกรอบเวลาที่ช่วยให้ผู้ควบคุมไปถึงขั้นตอนถัดไปได้ทัน ถ้าไม่เขียนไว้ คำขอเหล่านี้จะกลายเป็นการเจรจาใหม่ทุกครั้งในช่วงที่กดดันที่สุดขององค์กร

ผู้ประมวลผลย่อย (subprocessor) และการโอนข้ามประเทศ

vendor รายใหญ่เกือบทุกรายใช้ผู้ให้บริการรายอื่นต่อ เช่น ศูนย์ข้อมูล บริการ CDN หรือผู้ให้บริการสนับสนุน DPA ที่ใช้ได้จริงจึงต้องจัดการสามเรื่อง (1) รายการผู้ประมวลผลย่อย ให้ vendor เปิดเผยและแจ้งเมื่อมีการเปลี่ยนแปลง (2) กลไกการอนุมัติ ว่าคุณยอมรับรายใหม่เมื่อไร และมีสิทธิคัดค้านอย่างไร และ (3) การผูกพันแบบไหลผ่าน ว่าผู้ประมวลผลย่อยถูกผูกด้วยข้อผูกพันเดียวกันกับใน DPA ฉบับหลัก

เรื่องการโอนข้อมูลข้ามประเทศเป็นอีกจุดที่ต้องอ่านละเอียด ถ้าผู้ประมวลผลหรือผู้ประมวลผลย่อยจัดเก็บหรือเข้าถึงข้อมูลจากต่างประเทศ อาจมีข้อบังคับเพิ่มตามกฎหมายคุ้มครองข้อมูลที่ใช้บังคับ ซึ่งรายละเอียดต่างกันตามประเทศปลายทางและมีการปรับปรุงได้ จึงควรให้ทนายตรวจเงื่อนไขการโอนข้ามประเทศก่อนเซ็น โดยเฉพาะเมื่อข้อมูลของคุณมีความอ่อนไหวสูง สำหรับเอกสารที่ต้องทำงานข้ามภาษา แนวการจัดการที่ AI กับการแปลเอกสารกฎหมายหลายภาษา ช่วยให้อ่านฉบับภาษาอื่นของ vendor ได้ไม่พลาดประเด็น

การลบ ทำลาย และการคืนข้อมูลเมื่อสิ้นสุดสัญญา

หมวดสุดท้ายที่ควรมีเสมอคือจุดจบของข้อมูล เมื่อสัญญาสิ้นสุด สัญญาควรกำหนดให้ผู้ประมวลผล (1) คืนข้อมูล ในรูปแบบที่ใช้ต่อได้ หรือส่งมอบตามวิธีที่ตกลง (2) ลบหรือทำลาย ข้อมูลที่เหลืออยู่ภายในระยะเวลาที่กำหนด และ (3) ยืนยันการลบ เป็นลายลักษณ์อักษร ข้อที่ต้องเจรจาเสมอคือข้อมูลสำรอง (backup) เพราะระบบสำรองมักลบทันทีไม่ได้ แนวทางที่ยอมรับกันคือให้ข้อมูลใน backup อยู่ภายใต้ข้อผูกพันความลับและถูกลบตามวงจรสำรองข้อมูลปกติ ซึ่งควรเขียนระยะเวลาหรือกลไกไว้ในสัญญา ไม่ใช่ปล่อยเป็นคำสัญญาปากเปล่า

ตารางตรวจสอบก่อนเซ็น DPA

ใช้ AI ช่วยร่างและตรวจ DPA

DPA เป็นสัญญาที่ AI ช่วยได้ดีมาก เพราะโครงมาตรฐานค่อนข้างตายตัว AI ช่วยร่างข้อกำหนดจากรายละเอียดบริการที่คุณจ้าง เทียบ DPA ที่ vendor ส่งมากับแบบที่องค์กรคุ้นเคยเพื่อจับข้อที่ถูกตัดหรือเปลี่ยน และสรุปฉบับยาวเป็นรายการคำถามสำหรับคุยกับ vendor แนวร่างสัญญาด้วย AI อยู่ใน การร่างสัญญาด้วย AI และแนวการทบทวนให้เร็วโดยไม่เสียความถูกต้องอยู่ใน การทบทวนและร่างเอกสารให้เร็วขึ้น

ถ้าองค์กรของคุณจ้างผู้ให้บริการหลายราย การมีเทมเพลต DPA กลางที่ทนายตรวจแล้วหนึ่งชุด แล้วใช้ AI ปรับรายราย ลดภาระทีมกฎหมายได้มาก แนวการตั้งระบบเอกสารซ้ำอยู่ใน ระบบอัตโนมัติสำหรับเอกสารกฎหมาย และเริ่มทดลองใช้เครื่องมือได้ที่ MeshLaw โดยยังให้ทนายตรวจข้อที่ AI ชี้ว่ามีความเสี่ยงก่อนเซ็นจริง รวมถึงเช็กเกณฑ์การเลือกเครื่องมือที่ เช็กลิสต์เลือก AI ทางกฎหมายสำหรับสำนักงานขนาดเล็ก

คำถามที่พบบ่อย

จ้าง vendor ต่างประเทศต้องทำ DPA ด้วยไหม

ควรทำเสมอ ไม่ว่า vendor อยู่ที่ใด เพราะ DPA คือข้อผูกพันเรื่องขอบเขตการประมวลผลและความปลอดภัย ส่วนการโอนข้ามประเทศอาจมีข้อบังคับเพิ่มตามกฎหมายที่ใช้บังคับ ซึ่งรายละเอียดต่างกันตามประเทศปลายทาง ให้เช็กหมวดการโอนข้ามประเทศและที่ตั้งการจัดเก็บข้อมูลก่อนเซ็นเสมอ

ถ้าไม่มี DPA กับ vendor ผลเป็นอย่างไร

องค์กรจะไม่มีข้อผูกพันที่บังคับได้ว่า vendor ทำอะไรกับข้อมูลได้บ้าง แจ้งเหตุภายในกรอบเวลาใด และลบข้อมูลอย่างไรเมื่อยกเลิกบริการ ความเสี่ยงจึงไม่ใช่แค่เรื่องประมาณการโทษตามกฎหมาย แต่เป็นการสูญเสียการควบคุมข้อมูลลูกค้าของตัวเอง ซึ่งกระทบทั้งความน่าเชื่อถือและการตอบคำถามเมื่อเกิดเหตุ

DPA ต่างจาก NDA อย่างไร

NDA คุ้มครองความลับทางการค้าโดยรวม เช่น ราคา แผนธุรกิจ สูตร ส่วน DPA เจาะเฉพาะการประมวลผลข้อมูลส่วนบุคคล กำหนดบทบาทผู้ควบคุม–ผู้ประมวลผล ขอบเขตข้อมูล มาตรการความปลอดภัย และหน้าที่เมื่อเกิดเหตุ สองฉบับมักใช้คู่กันแต่ไม่แทนกัน เอกสารธุรกรรมที่มีข้อมูลส่วนบุคคลจำนวนมากควรมี DPA เป็นของตัวเอง

ใครควรเป็นฝ่ายร่าง DPA

ในทางปฏิบัติ vendor มักส่งฉบับมาตรฐานมาให้เซ็น องค์กรที่มีทีมกฎหมายควรใช้เทมเพลตของตัวเองเป็นฐานต่อรอง องค์กรเล็กที่ไม่มีทีมควรอ่านฉบับของ vendor อย่างน้อยห้าหมวด คือขอบเขตข้อมูล คำสั่งการประมวลผล การแจ้งเหตุ subprocessor และการลบทำลาย แล้วให้ทนายตรวจก่อนเซ็นกับบริการที่ข้อมูลสำคัญ

อนุมัติผู้ประมวลผลย่อยอย่างไรไม่ให้เหนื่อยเกินไป

ใช้โครง "รายการที่อนุมัติแล้ว + การแจ้งล่วงหน้าเมื่อเปลี่ยน + สิทธิคัดค้าน" คือ vendor ระบุรายการปัจจุบัน แจ้งเมื่อจะเพิ่มรายใหม่ และคุณมีสิทธิคัดค้านด้วยเหตุผลที่รับฟังได้ภายในกรอบเวลาที่กำหนด โครงนี้ใช้ได้จริงกว่าการขออนุมัติทุกครั้งซึ่งทำให้ vendor ไม่ยอมรับข้อเสนอ

ต้องระบุมาตรการความปลอดภัยละเอียดแค่ไหน

ละเอียดพอที่จะตรวจได้ว่าปฏิบัติหรือไม่ เช่น การควบคุมการเข้าถึงตามบทบาท การเข้ารหัสข้อมูลระหว่างส่ง การบันทึกการเข้าถึง และการทดสอบระบบเป็นระยะ ระดับความเข้มงวดขึ้นกับธรรมชาติและปริมาณข้อมูล ข้อที่เขียนกลาง ๆ ว่า "เหมาะสม" โดยไม่มีรายการรองรับจะใช้ถกเถียงได้ยากเมื่อเกิดเหตุจริง

เกิดเหตุข้อมูลรั่ว ใครต้องแจ้งใคร

ตามหลักการทั่วไป ผู้ประมวลผลแจ้งผู้ควบคุมโดยเร็วเมื่อรู้เหตุที่อาจกระทบข้อมูล และฝ่ายผู้ควบคุมเป็นผู้ประเมินและดำเนินการตามหน้าที่ทางกฎหมายของตน รวมถึงการแจ้งหน่วยงานกำกับหรือเจ้าของข้อมูลในกรณีที่กฎหมายกำหนด กรอบเวลาและเงื่อนไขให้ตรวจกับกฎหมายฉบับปัจจุบัน และควรเขียนกรอบเวลาการแจ้งภายในระหว่างคู่สัญญาให้สอดคล้องกัน

ยกเลิกบริการแล้ว vendor เก็บ backup ไว้ได้ไหม

โดยทั่วไปได้ในระยะสั้นตามวงจรสำรองข้อมูลปกติ แต่ต้องเขียนไว้ในสัญญาว่าข้อมูลใน backup ยังอยู่ภายใต้ข้อผูกพันความลับ ไม่ถูกนำไปใช้อย่างอื่น และจะถูกลบตามวงจรปกติ พร้อมขอการยืนยันการลบข้อมูลหลักเมื่อคืนหรือลบแล้ว ข้อที่อันตรายคือการเงียบไว้แล้วปล่อยให้ข้อมูลอยู่นอกข้อผูกพันใด ๆ

DPA ต้องทบทวนเป็นระยะไหม

ควรทบทวนเมื่อบริการที่จ้างเปลี่ยนขอบเขต เมื่อ vendor เพิ่มผู้ประมวลผลย่อยรายใหม่ที่สำคัญ หรือเมื่อกฎหมายคุ้มครองข้อมูลมีการแก้ไข องค์กรที่จ้างหลายรายควรมีทะเบียน DPA ว่าเซ็นกับใคร เมื่อไร ขอบเขตข้อมูลอะไร เพื่อใช้ตอบคำถามภายในและภายนอกได้เร็วเมื่อมีการตรวจสอบ

ใช้ AI ช่วยตรวจ DPA ที่ vendor ส่งมาได้จริงไหม

ได้ AI เก่งเรื่องเทียบฉบับยาวกับแบบที่คุณคุ้นเคย จับข้อที่ถูกตัดออกหรือเปลี่ยนคำให้เปลี่ยนความหมาย และสรุปเป็นรายการคำถามสำหรับคุยกับ vendor แต่การตัดสินว่าข้อไหนยอมได้ ข้อไหนต้องแก้ และความเสี่ยงเฉพาะของข้อมูลที่คุณส่งให้ ยังเป็นการตัดสินของคนที่รู้ธุรกิจและทนาย

สรุป

DPA ฉบับที่ใช้ได้จริงในปี 2026 ทำสามอย่าง คือจำกัดขอบเขตข้อมูลและคำสั่งการประมวลผลให้ตรวจได้ ผูกมาตรการความปลอดภัย การแจ้งเหตุ subprocessor และการโอนข้ามประเทศเป็นข้อผูกพันชัดเจน และปิดจุดจบของข้อมูลด้วยการคืน–ลบ–ยืนยัน ให้ AI ช่วยร่างและเทียบฉบับ ส่วนการเทียบกับพระราชบัญญัติฉบับปัจจุบันและการตัดสินข้อที่ยอมหรือแก้ ให้เป็นหน้าที่ของทีมกฎหมายหรือทนายความ