สารบัญ
- ทำไม Data Center ไทยกำลังกลายเป็นเรื่องของฝ่ายกฎหมาย
- ข้อเท็จจริงที่เกิดขึ้น
- สิ่งที่รัฐบาลกำลังเปลี่ยน
- ผลกระทบต่อธุรกิจในประเทศไทย
- สิ่งที่ควรทำต่อ
- มุมมองผู้เชี่ยวชาญ
- แหล่งอ้างอิง
บทนำ
Data Center ไทยกำลังเข้าสู่ช่วงที่องค์กรไม่ควรมองเป็นเรื่องของฝ่าย IT อย่างเดียวอีกต่อไป หลังรัฐบาลเดินหน้าจัดระบบกำกับดูแลกิจการดาต้าเซ็นเตอร์ และจัดประชุมคณะกรรมการนโยบายการประกอบกิจการดาต้าเซ็นเตอร์ครั้งแรกเมื่อวันที่ 4 กันยายน 2569 โดยตั้งเป้าทำให้การกำกับดูแลจากเดิมที่แยกกันหลายหน่วยงานมีกรอบร่วมมากขึ้น
จุดเริ่มต้นมาจากการตรวจพบการเก็บเชื้อเพลิงจำนวนมากในอาคารดาต้าเซ็นเตอร์ย่านพระราม 9 และข้อกังวลว่าบางโครงการอาจใช้สถานะอาคารหรือรูปแบบการขออนุญาตที่ไม่สะท้อนการใช้งานจริง แต่สิ่งที่น่าสนใจกว่านั้นคือ รัฐกำลังขยับจากการแก้ปัญหาเฉพาะจุด ไปสู่การวาง “กติกากลาง” สำหรับอุตสาหกรรมทั้งระบบ
ทำไม Data Center ไทยกำลังกลายเป็นเรื่องของฝ่ายกฎหมาย
ลองนึกภาพบริษัทแห่งหนึ่งกำลังเลือกผู้ให้บริการ Cloud รายใหม่
สิ่งที่ฝ่าย IT มักถามก่อนคือ ระบบเสถียรแค่ไหน ราคาเท่าไร มี Backup หรือไม่ และรองรับ AI Workload ได้หรือไม่
แต่เมื่อทิศทางการกำกับดูแลของรัฐเริ่มมอง Data Center พร้อมกันทั้งเรื่องพื้นที่ ความปลอดภัย พลังงาน น้ำ สิ่งแวดล้อม และความมั่นคงของข้อมูล คำถามจึงเปลี่ยนไป
“ผู้ให้บริการรายนี้ปลอดภัยแค่ไหน” อาจไม่เพียงพอ
บริษัทต้องเริ่มถามต่อว่า “สถานที่ที่ระบบของเราอยู่ มีความพร้อมตามกรอบกำกับดูแลใหม่หรือไม่” และ “ถ้าเกิดปัญหาที่ตัว Data Center ใครรับผิดชอบต่อธุรกิจและข้อมูลของเรา”
นี่คือเหตุผลว่าทำไมข่าวเรื่องการตรวจ Data Center จึงไม่ควรถูกอ่านเป็นข่าวอสังหาริมทรัพย์ ข่าวพลังงาน หรือข่าว IT แยกกัน
มันกำลังกลายเป็นเรื่องของ Enterprise Risk
ข้อเท็จจริงที่เกิดขึ้น
The Star รายงานเมื่อวันที่ 3 กันยายน 2569 ว่า รัฐบาลเตรียมใช้คณะกรรมการ Data Centre Business Policy Committee เพื่อเร่งทบทวนกฎหมาย หลักเกณฑ์ และมาตรฐานที่เกี่ยวข้องกับดาต้าเซ็นเตอร์ หลังพบช่องว่างจากระบบกำกับดูแลที่กระจายอยู่ในหลายหน่วยงาน
ในส่วนของเหตุการณ์ที่พระราม 9 The Star ระบุว่ามีการนำเชื้อเพลิงออกจากพื้นที่ประมาณ 200,000 ลิตร และพบว่าการจัดเก็บไม่ได้รับใบอนุญาตตามที่กฎหมายกำหนด ขณะที่กระทรวงพลังงานไทยรายงานแยกต่างหากว่าเจ้าหน้าที่พบถังเก็บน้ำมันที่มีความจุเกิน 150,000 ลิตรโดยไม่ได้รับอนุญาต และเตรียมดำเนินการตามกฎหมาย
สิ่งที่เกิดขึ้นหลังจากนั้นสำคัญกว่าเหตุการณ์ต้นเรื่อง
รัฐบาลจัดประชุมคณะกรรมการนโยบายการประกอบกิจการดาต้าเซ็นเตอร์ครั้งแรกในวันที่ 4 กันยายน 2569 และประกาศแนวทางให้การจัดตั้ง Data Center สอดคล้องกับยุทธศาสตร์ประเทศ รวมถึงการกำหนดมาตรฐานขั้นต่ำ การรวบรวมข้อมูลจากหลายหน่วยงาน และการพิจารณาผลกระทบต่อพื้นที่และประชาชน
รัฐบาลยังระบุประเด็นที่จะต้องพิจารณา เช่น การกำหนดนิยามและสถานะทางกฎหมายของ Data Center มาตรฐาน Green Data Center การใช้พลังงานหมุนเวียน การคุ้มครองข้อมูล ความมั่นคงปลอดภัยทางไซเบอร์ ตลอดจนการสนับสนุนระบบนิเวศ AI และ Cloud ของประเทศไทย
สำหรับธุรกิจ นี่หมายความว่าเกมกำลังเปลี่ยนจาก “มีใบอนุญาตที่เกี่ยวข้องครบหรือยัง” ไปสู่คำถามที่ใหญ่ขึ้นว่า “โครงการ Data Center นี้ผ่านกรอบขั้นต่ำและตอบโจทย์ยุทธศาสตร์ประเทศหรือไม่”
Data Center ไทยกำลังเปลี่ยนจาก IT Procurement เป็น Governance Issue
ตรงนี้คือมุมที่ธุรกิจไทยควรจับตา
ในอดีต การเลือก Data Center หรือ Cloud Provider มักอยู่ในทีม Infrastructure, IT Procurement หรือ Information Security แต่เมื่อโครงสร้างกำกับดูแลกำลังเชื่อมหลายประเด็นเข้าด้วยกัน หน้าที่ของฝ่ายกฎหมายและ Privacy จะหลีกเลี่ยงไม่ได้
โดยเฉพาะองค์กรที่ประมวลผลข้อมูลส่วนบุคคลจำนวนมาก
PDPC มีกรอบหน้าที่เกี่ยวกับผู้ควบคุมข้อมูลและผู้ประมวลผลข้อมูล รวมถึงกรณีที่องค์กรต้องมี DPO เมื่อการดำเนินกิจกรรมเกี่ยวข้องกับข้อมูลส่วนบุคคลจำนวนมากและต้องมีการตรวจสอบข้อมูลหรือระบบอย่างสม่ำเสมอ
อย่างไรก็ตาม ต้องระวังไม่ตีความเกินจริงว่า “คณะกรรมการ Data Center = กฎหมาย PDPA ฉบับใหม่” เพราะจากข้อมูลที่ยืนยันได้ในขณะนี้ คณะกรรมการกำลังจัดทำกรอบนโยบายและมาตรฐานร่วม ส่วนรายละเอียดที่จะกลายเป็นข้อบังคับเฉพาะยังต้องติดตามต่อไป
นั่นทำให้ช่วงเวลานี้เป็นช่วงที่องค์กรควร “เตรียมตัวก่อนกฎเสร็จ” มากกว่ารอให้กฎออกแล้วค่อยเริ่ม
ผลกระทบต่อธุรกิจในประเทศไทย
ผลกระทบชั้นแรก คือ ต้นทุนการตรวจสอบ Vendor จะสูงขึ้น แต่ประเด็นไม่ได้อยู่ที่ค่าตรวจอย่างเดียว หากมาตรฐานใหม่ทำให้ Data Center ต้องแสดงหลักฐานด้านสถานที่ ระบบสำรองไฟ การใช้ทรัพยากร ความปลอดภัย และการบริหารความเสี่ยง ลูกค้าองค์กรย่อมต้องนำข้อมูลเหล่านี้เข้าไปอยู่ในกระบวนการจัดซื้อและประเมินผู้ให้บริการด้วย สิ่งที่เคยตัดสินกันจาก SLA ราคา และ uptime อาจไม่เพียงพออีกต่อไป
ชั้นที่สอง คือ สัญญา Cloud และ Colocation จะต้องถูกอ่านใหม่ เพราะความเสี่ยงของลูกค้าไม่ได้เกิดเฉพาะตอนข้อมูลถูกโจมตี หากสถานที่ให้บริการมีข้อจำกัดด้านใบอนุญาต พลังงาน การใช้น้ำ หรือการดำเนินงานจนกระทบต่อความต่อเนื่องของบริการ ลูกค้าอาจเจอผลกระทบทางธุรกิจโดยที่ไม่ได้เป็นผู้กระทำผิดเอง ดังนั้น SLA, Business Continuity, Disaster Recovery, Incident Notification, Audit Right, Data Deletion, Data Return และ Exit Assistance จะมีความสำคัญมากขึ้น
ชั้นที่สาม คือ PDPA และ Data Governance จะเชื่อมกับ Infrastructure มากขึ้น เมื่อข้อมูลส่วนบุคคลถูกเก็บ ประมวลผล หรือส่งต่อผ่านระบบ Cloud องค์กรต้องรู้ว่าใครมีบทบาทเป็นผู้ควบคุมข้อมูล ผู้ประมวลผลข้อมูล หรือผู้รับช่วงประมวลผล และระบบอยู่ที่ไหน การมี Data Center อยู่ในประเทศไทยไม่ได้แปลโดยอัตโนมัติว่าองค์กรปฏิบัติตาม PDPA ครบ เพราะคำถามสำคัญยังอยู่ที่วัตถุประสงค์ ฐานทางกฎหมาย มาตรการรักษาความมั่นคงปลอดภัย การกำกับผู้ให้บริการ และการโอนข้อมูลในแต่ละกรณี
ชั้นที่สี่ คือ ธุรกิจ AI จะได้รับผลโดยตรง เพราะ AI Workload ต้องพึ่ง Data Center, Compute, Network, Storage และพลังงาน หากไทยสร้างมาตรฐานกลางขึ้นจริง การเลือกโครงสร้างพื้นฐานสำหรับ AI จะไม่ใช่เพียงคำถามเรื่องประสิทธิภาพของ GPU หรือราคา Compute แต่จะกลายเป็นโจทย์ด้าน Governance ด้วย เรื่องนี้สอดคล้องกับทิศทางรัฐบาลที่วาง Data Center เชื่อมกับ AI, Cloud, ความปลอดภัยทางไซเบอร์ และการคุ้มครองข้อมูลไว้ในระดับนโยบายเดียวกัน
ชั้นที่ห้า คือ ความเสี่ยงของผู้เช่าจะเพิ่มขึ้นตามความสำคัญของ Infrastructure บริษัทจำนวนมากอาจคิดว่า “เราไม่ได้เป็นเจ้าของ Data Center จึงไม่ใช่เรื่องของเรา” แต่ในทางบริหารความเสี่ยง ประโยคนี้อาจอันตราย เพราะลูกค้ายังเป็นผู้รับผลกระทบเมื่อระบบหยุดทำงาน ข้อมูลเข้าถึงไม่ได้ หรือผู้ให้บริการมีเหตุที่ทำให้บริการสะดุด ดังนั้น Vendor Due Diligence ต้องขยับจากการตรวจ Security Questionnaire ไปสู่การตรวจ “ทั้งระบบ”
ในมุมของ Tech Law Now นี่อาจเป็นจุดเริ่มต้นของการเปลี่ยนแปลงสำคัญอีกเรื่อง คือ Data Center ไทยจะไม่ได้แข่งขันกันเฉพาะเรื่องราคาและพื้นที่อีกต่อไป แต่แข่งขันกันด้วยความสามารถในการพิสูจน์ว่า Infrastructure ของตัวเอง “Governed” แล้ว
สำหรับผู้บริหาร นี่เป็นสัญญาณให้เลิกถามเพียงว่า “Cloud เจ้านี้ดีไหม” และเริ่มถามว่า “ถ้าเกิดเหตุทางกฎหมายหรือโครงสร้างพื้นฐานขึ้นกับผู้ให้บริการรายนี้ บริษัทเราจะยังควบคุมข้อมูลและเดินธุรกิจต่อได้หรือไม่”
สิ่งที่ควรทำต่อ
- ทำ Data Center และ Cloud Vendor Map
ระบุว่าระบบสำคัญขององค์กรอยู่กับใคร อยู่ที่ไหน ใช้ Data Center ใด และมี Subprocessor ต่ออีกกี่ชั้น - เปิดสัญญา Cloud/Colocation ขึ้นมาตรวจใหม่
ดู SLA, Incident Notification, Liability, Audit Right, Data Return, Data Deletion, Subprocessor และ Exit Assistance - ทำ Data Flow Review ควบคู่กับ PDPA Review
อย่าดูเฉพาะว่า “ข้อมูลอยู่ในไทยหรือไม่” แต่ให้ดูว่าข้อมูลส่วนบุคคลถูกใช้ ส่งต่อ และเข้าถึงโดยใครบ้าง - เพิ่ม Infrastructure Risk เข้า Vendor Due Diligence
ตรวจ Business Continuity, Backup Power, Disaster Recovery, Physical Security และความพร้อมในการรับมือกับข้อกำหนดใหม่ของภาครัฐ - ตั้งทีมร่วม Legal + Privacy + Security + IT + Procurement
Data Center ไม่ควรถูกประเมินโดยฝ่ายใดฝ่ายหนึ่ง เพราะความเสี่ยงเกิดข้ามหน่วยงาน
แหล่งอ้างอิง
แหล่งข่าวต้นทาง
The Star (Malaysia/AsiaOne), “Thailand targets data-centre loopholes after Bangkok fuel breach”, 3 September 2026. อ่านข่าวต้นฉบับจาก The Star
แหล่งข้อมูลราชการและข้อมูลประกอบ
รัฐบาลไทย — การประชุมคณะกรรมการนโยบายการประกอบกิจการดาต้าเซ็นเตอร์ ครั้งที่ 1/2569 วันที่ 4 กันยายน 2569 ดูข้อมูลจากรัฐบาลไทย
รัฐบาลไทย — ผลการประชุมคณะกรรมการนโยบายการประกอบกิจการดาต้าเซ็นเตอร์ ครั้งที่ 1/2569 อ่านรายละเอียดผลการประชุม
กระทรวงพลังงาน — การตรวจและจัดระเบียบ Data Center ในกรุงเทพมหานคร วันที่ 3 กันยายน 2569 อ่านข่าวกระทรวงพลังงาน
กระทรวงดิจิทัลเพื่อเศรษฐกิจและสังคม — การหารือยกระดับแนวทางกำกับดูแล Data Center อ่านข้อมูลจากกระทรวงดีอี
สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (PDPC) — ข้อมูลเกี่ยวกับหน้าที่ DPO และผู้ควบคุม/ผู้ประมวลผลข้อมูลส่วนบุคคล ตรวจสอบข้อมูลจาก PDPC
อ่านต่อ: AI Infrastructure Governance ในประเทศไทย — เพื่อเชื่อมภาพ Data Center, Cloud, AI, PDPA, Cybersecurity และ Vendor Risk เข้าด้วยกัน
อ่านต่อ: มาตรฐานความมั่นคงปลอดภัยไซเบอร์ NCSA สำหรับธุรกิจไทย — สำหรับองค์กรที่ต้องประเมินความเสี่ยง Cloud และ Security ต่อเนื่อง
อ่านต่อ: ก.ล.ต. ปรับ AI Governance Framework รับ Agentic AI และ PDPA ไทย — เชื่อมประเด็น AI Governance, PDPA และ Third-party/Vendor Risk
YMYL Disclaimer
บทความนี้เป็นการสรุปข่าวและให้ข้อมูลทั่วไป ไม่ใช่คำแนะนำทางกฎหมาย
หากต้องการคำปรึกษาเฉพาะกรณีของธุรกิจคุณ ควรปรึกษาผู้เชี่ยวชาญ
