Data Localization กำลังจะกลายเป็นเรื่องของทุกบริษัทไทย ไม่ใช่แค่ธนาคารหรือหน่วยงานรัฐ ลองนึกภาพบริษัท 20 คนที่ใช้อีเมลบน Google Workspace เก็บรายชื่อลูกค้าใน CRM ของต่างประเทศ และสำรองไฟล์ไว้บน AWS ร่าง พ.ร.บ. โครงสร้างพื้นฐานดิจิทัลที่กำลังเปิดรับฟังความเห็น ตั้งคำถามตรง ๆ ว่าข้อมูลเหล่านั้นควรอยู่ในประเทศไทยหรือไม่ และเหลือเวลาส่งความเห็นถึง 15 ตุลาคม 2569 เท่านั้น
สรุปสั้น: ร่าง พ.ร.บ. โครงสร้างพื้นฐานดิจิทัลวางหลัก Data Localization ให้ข้อมูลส่วนบุคคลของคนไทยและนิติบุคคลไทยเก็บในไทยเป็นค่าเริ่มต้น การโอนไปต่างประเทศทำได้เฉพาะกรณีจำเป็นตามเงื่อนไขที่จะออกภายหลัง ผู้ให้บริการ Data Center, Cloud และแพลตฟอร์มต้องขอใบอนุญาตจากรัฐมนตรีดีอี ธุรกิจที่ใช้คลาวด์ต่างประเทศยังไม่ต้องย้ายระบบวันนี้ แต่ควรทำแผนที่ข้อมูลและส่งความเห็นก่อน 15 ต.ค. 2569
ร่าง พ.ร.บ. โครงสร้างพื้นฐานดิจิทัล คืออะไร เกิดอะไรขึ้น
ร่าง พ.ร.บ. โครงสร้างพื้นฐานดิจิทัลคือร่างกฎหมายที่จะกำกับผู้ให้บริการโครงสร้างพื้นฐานอย่าง Data Center, Cloud และแพลตฟอร์ม พร้อมวางหลัก Data Localization หรือการเก็บข้อมูลไว้ในประเทศ ฐานเศรษฐกิจและ Nation Thailand รายงานสาระสำคัญของร่างนี้เมื่อวันที่ 23 กันยายน 2569
ตามข่าว ผู้ประกอบการ Data Center, Cloud และแพลตฟอร์มต้องได้รับใบอนุญาตจากรัฐมนตรีว่าการกระทรวงดิจิทัลเพื่อเศรษฐกิจและสังคม (ดีอี) และบุคลากรในส่วนควบคุมต้องเป็นคนไทยอย่างน้อยร้อยละ 50
หัวใจของร่างคือข้อมูลส่วนบุคคลของคนไทยและนิติบุคคลไทยต้องเก็บในไทยเป็นค่าเริ่มต้น การโอนไปต่างประเทศทำได้เฉพาะ “กรณีจำเป็น” ซึ่งเงื่อนไขจะออกเป็นกฎหมายลำดับรองภายหลัง พูดง่าย ๆ คือ ตอนนี้ยังไม่มีใครรู้ว่า “จำเป็น” แคบหรือกว้างแค่ไหน
| ประเด็น | ข้อเท็จจริงตามข่าว |
|---|---|
| ร่างกฎหมาย | ร่าง พ.ร.บ. โครงสร้างพื้นฐานดิจิทัล |
| ผู้ที่ต้องขอใบอนุญาต | ผู้ประกอบการ Data Center, Cloud และแพลตฟอร์ม (ขอจากรัฐมนตรีดีอี) |
| หลักการเก็บข้อมูล | ข้อมูลส่วนบุคคลของคนไทยและนิติบุคคลไทยเก็บในไทยเป็นค่าเริ่มต้น |
| การโอนไปต่างประเทศ | เฉพาะกรณีจำเป็น ตามเงื่อนไขที่จะออกภายหลัง |
| บุคลากรส่วนควบคุม | คนไทยอย่างน้อยร้อยละ 50 |
| โทษประกอบกิจการไม่มีใบอนุญาต | จำคุกไม่เกิน 5 ปี และ/หรือปรับตั้งแต่ 10 ล้านบาท และปรับรายวันไม่เกิน 1 ล้านบาท |
| โทษฝ่าฝืนเรื่องการเก็บข้อมูล | จำคุกไม่เกิน 3 ปี และ/หรือปรับตั้งแต่ 6 ล้านบาท |
| ปิดรับฟังความเห็น | 15 ตุลาคม 2569 |
ตัวเลขโทษข้างต้นเป็นตัวเลขตามที่สื่อรายงานจากร่าง ยังไม่ใช่กฎหมายที่ใช้บังคับ และถ้อยคำอาจเปลี่ยนได้หลังรับฟังความเห็น
Data Localization กระทบธุรกิจไทยอย่างไร
Data Localization ในร่างนี้กระทบธุรกิจไทย 3 กลุ่มในระดับไม่เท่ากัน กลุ่มที่โดนตรงที่สุดคือผู้ให้บริการ Data Center และ Cloud กลุ่มที่กว้างที่สุดคือบริษัททั่วไปที่เป็นผู้ใช้คลาวด์ และกลุ่มที่มักถูกลืมคือบริษัทข้ามชาติที่มีสาขาในไทย ส่วนนี้เป็นการวิเคราะห์ของผู้เขียนจากข้อเท็จจริงในข่าว
ผู้ให้บริการ Data Center, Cloud และแพลตฟอร์มต้องเตรียมอะไร
ผู้ให้บริการ Data Center, Cloud และแพลตฟอร์มต้องเตรียมเรื่องใบอนุญาตและโครงสร้างบุคลากรเป็นอันดับแรก เพราะร่างกำหนดทั้งการขออนุญาตจากรัฐมนตรีและสัดส่วนคนไทยในส่วนควบคุม
ประเด็นที่ยังไม่ชัดคือคำว่า “แพลตฟอร์ม” ครอบคลุมแค่ไหน ถ้าตีความกว้าง แอปขายของออนไลน์หรือระบบจองคิวที่มีผู้ใช้คนไทยจำนวนมากก็อาจถูกนับเข้าไปด้วย ผู้เขียนมองว่าจุดนี้เป็นเรื่องที่ควรขอให้ร่างเขียนนิยามให้ชัดในช่วงรับฟังความเห็น
SME และองค์กรที่ใช้คลาวด์ต่างประเทศเสี่ยงอะไร
SME และองค์กรที่ใช้คลาวด์ต่างประเทศเสี่ยงเรื่องต้นทุนและความต่อเนื่องของระบบ ถ้าเงื่อนไข “กรณีจำเป็น” ออกมาแคบ บริษัทที่เก็บข้อมูลลูกค้าไว้บน Google Workspace, AWS หรือ CRM ต่างประเทศ อาจต้องทบทวนสถาปัตยกรรมข้อมูลทั้งระบบ
ลองนึกภาพ ตัวอย่างสมมติ: คลินิกความงามที่ใช้ระบบนัดหมายและประวัติลูกค้าจากผู้ให้บริการต่างประเทศ ถ้าผู้ให้บริการรายนั้นไม่มีศูนย์ข้อมูลในไทย คลินิกอาจต้องเลือกระหว่างย้ายระบบ ขอให้ผู้ให้บริการเปลี่ยนที่เก็บข้อมูล หรือพิสูจน์ว่าเข้ากรณีจำเป็น ทุกทางมีค่าใช้จ่าย
ข่าวดีคือร่างยังไม่มีผลบังคับ บริษัทยังไม่ต้องย้ายอะไรวันนี้ สิ่งที่ควรทำคือรู้ให้ได้ก่อนว่าข้อมูลของตัวเองอยู่ที่ไหน เพื่อประเมินผลกระทบได้จริงเมื่อกฎหมายลำดับรองออกมา
Data Localization ทับซ้อนกับ PDPA อย่างไร
Data Localization ในร่างนี้ทับซ้อนกับ PDPA มาตรา 28–29 ซึ่งกำกับการส่งข้อมูลส่วนบุคคลไปต่างประเทศอยู่แล้ว PDPA ใช้หลักว่าส่งออกได้ถ้าเข้าเงื่อนไขที่กฎหมายกำหนด ส่วนร่างนี้ใช้หลักกลับกันว่าเก็บในไทยก่อน แล้วค่อยยกเว้น
ผลคือบริษัทอาจต้องผ่านกติกาสองชั้นสำหรับข้อมูลชุดเดียวกัน ชั้นแรกคือเงื่อนไขการส่งข้อมูลไปต่างประเทศตาม PDPA ชั้นที่สองคือเงื่อนไข “กรณีจำเป็น” ของร่างนี้ ถ้าสองชั้นนี้เขียนไม่สอดคล้องกัน คนที่รับภาระคือผู้ประกอบการ อ่านประเด็น PDPA เพิ่มเติมได้ที่ หมวด PDPA & Privacy
บริษัทข้ามชาติและกลุ่มบริษัทที่มีสำนักงานใหญ่ต่างประเทศ
บริษัทข้ามชาติที่รวมศูนย์ข้อมูลพนักงานหรือข้อมูลลูกค้าไว้ที่สำนักงานใหญ่ต่างประเทศ อาจกระทบหนักกว่าที่คิด เพราะร่างครอบคลุมข้อมูลของนิติบุคคลไทยด้วย ไม่ใช่แค่ข้อมูลบุคคลธรรมดา ระบบ HR หรือระบบบัญชีกลางของกลุ่มบริษัทจึงเป็นจุดที่ควรตรวจก่อน
ถ้าไม่ทำอะไรเลย จะเสี่ยงอะไร
ถ้าไม่ทำอะไรเลยตอนนี้ ความเสี่ยงแรกคือเสียโอกาสบอกผลกระทบของตัวเองในช่วงรับฟังความเห็น ซึ่งเป็นช่วงที่ร่างยังแก้ได้ง่ายที่สุด ความเสี่ยงที่สองคือถ้าร่างผ่านโดยเงื่อนไขแคบ บริษัทที่ไม่รู้ว่าข้อมูลอยู่ที่ไหนจะมีเวลาปรับตัวน้อยมาก และถ้าฝ่าฝืนเรื่องการเก็บข้อมูล ร่างที่สื่อรายงานกำหนดโทษทั้งจำคุกและปรับระดับหลายล้านบาท
ธุรกิจไทยที่ใช้คลาวด์ควรทำอะไรตอนนี้
ธุรกิจไทยที่ใช้คลาวด์ควรเริ่มจากการทำแผนที่ข้อมูลและส่งความเห็นต่อร่างให้ทันกำหนด งานทั้งหมดนี้ทำได้ก่อนวันที่ 15 ตุลาคม 2569 และใช้ต่อได้ไม่ว่าร่างจะออกมาแบบไหน
- 1. ทำแผนที่ข้อมูล (Data Map) ว่าข้อมูลลูกค้าและพนักงานอยู่ที่ไหน ไล่ทุกระบบ อีเมล CRM บัญชี HR และที่สำรองข้อมูล ระบุว่าเซิร์ฟเวอร์อยู่ประเทศไหน
- 2. เปิดบันทึกรายการ (RoPA) ตาม PDPA มาตรา 39 มาเทียบ ถ้ามี RoPA อยู่แล้ว ให้เพิ่มคอลัมน์ “ที่ตั้งข้อมูล” ถ้ายังไม่มี นี่คือเหตุผลที่ดีที่จะเริ่ม
- 3. ตรวจสัญญาคลาวด์เรื่องที่ตั้งข้อมูล ดูว่าผู้ให้บริการเลือกเก็บข้อมูลในไทยหรือภูมิภาคใกล้เคียงได้ไหม และมีค่าใช้จ่ายเพิ่มเท่าไร
- 4. จัดกลุ่มข้อมูลที่ “จำเป็น” ต้องอยู่ต่างประเทศ เขียนเหตุผลทางธุรกิจไว้ล่วงหน้า เช่น ระบบกลางของกลุ่มบริษัท เพื่อใช้ประกอบเมื่อเงื่อนไขกรณีจำเป็นออกมา
- 5. ส่งความเห็นต่อร่างก่อน 15 ต.ค. 2569 ขอให้นิยาม “แพลตฟอร์ม” และ “กรณีจำเป็น” ให้ชัด และให้สอดคล้องกับ PDPA มาตรา 28–29
ถ้าองค์กรต้องการคนช่วยประเมินช่องว่างเรื่องที่ตั้งข้อมูลและ RoPA ดูรายละเอียดได้ที่ บริการ AI Governance และ PDPA ของ Kooru และติดตามกฎหมายเทคโนโลยีฉบับอื่นได้ที่ หมวด Tech Law & IP
มุมมองผู้เชี่ยวชาญ
ผมไม่ได้กังวลว่าหลัก Data Localization จะแรงเกินไป ผมกังวลว่าคำว่า “กรณีจำเป็น” ยังว่างอยู่ แล้วธุรกิจส่วนใหญ่ไม่รู้ด้วยซ้ำว่าข้อมูลของตัวเองอยู่ประเทศไหน กฎหมายเขียนที่ตั้งข้อมูลได้ แต่บริษัทที่ไม่เคยทำแผนที่ข้อมูลจะไม่มีทางรู้ว่าตัวเองผิดหรือถูก ช่วงรับฟังความเห็นคือช่วงเดียวที่ภาคธุรกิจกำหนดหน้าตาของกติกาได้ ผมอยากเห็นทั้ง SME และบริษัทใหญ่ส่งความเห็นเข้าไปมากกว่าที่เคยเป็น
— Phuwara Krobtaku —
LL.M. (IP & IT) | M.S. (IT) | Thai Barrister & Attorney-at-Law
คำถามที่พบบ่อยเกี่ยวกับ Data Localization
Data Localization คืออะไร
Data Localization คือหลักที่ให้ข้อมูลของคนในประเทศเก็บบนระบบที่ตั้งอยู่ในประเทศนั้น ในร่าง พ.ร.บ. โครงสร้างพื้นฐานดิจิทัล หมายถึงให้ข้อมูลส่วนบุคคลของคนไทยและนิติบุคคลไทยเก็บในไทยเป็นค่าเริ่มต้น การโอนไปต่างประเทศทำได้เฉพาะกรณีจำเป็น
ร่าง พ.ร.บ. โครงสร้างพื้นฐานดิจิทัลมีผลบังคับแล้วหรือยัง
ยังไม่มีผลบังคับ ร่างนี้อยู่ในช่วงรับฟังความเห็นถึง 15 ตุลาคม 2569 เงื่อนไขเรื่องกรณีจำเป็นจะออกเป็นกฎหมายลำดับรองภายหลัง เนื้อหาจึงอาจเปลี่ยนได้
บริษัทที่ใช้ Google Workspace หรือ AWS ต้องย้ายข้อมูลกลับไทยไหม
วันนี้ยังไม่ต้องย้าย เพราะร่างยังไม่เป็นกฎหมายและยังไม่มีเงื่อนไขกรณีจำเป็น สิ่งที่ควรทำคือรู้ว่าข้อมูลอยู่ที่ไหน ตรวจสัญญาคลาวด์ และส่งความเห็นถ้าการย้ายระบบจะกระทบธุรกิจ
ร่างนี้ต่างจากเรื่องโอนข้อมูลไปต่างประเทศใน PDPA อย่างไร
PDPA มาตรา 28–29 อนุญาตให้ส่งข้อมูลไปต่างประเทศได้ถ้าเข้าเงื่อนไข ส่วนร่างนี้ตั้งหลักให้เก็บในไทยก่อนแล้วค่อยยกเว้น บริษัทจึงอาจต้องผ่านกติกาทั้งสองชั้นสำหรับข้อมูลชุดเดียวกัน
แหล่งอ้างอิง
- ฐานเศรษฐกิจ — (อ่านต้นฉบับ) — อ่านที่ฐานเศรษฐกิจ
- Nation Thailand — (อ่านต้นฉบับ) — อ่านที่ Nation Thailand
อ่านหลักการคัดเลือกและตรวจสอบข่าวของเราได้ที่ นโยบายบรรณาธิการ
บทความนี้เป็นการสรุปข่าวและให้ข้อมูลทั่วไป ไม่ใช่คำแนะนำทางกฎหมาย หากต้องการคำปรึกษาเฉพาะกรณีของธุรกิจคุณ ควรปรึกษาผู้เชี่ยวชาญ
[…] […]