บทนำ
Digital Infrastructure Bill Thailand หรือร่าง พ.ร.บ.การประกอบกิจการให้บริการโครงสร้างพื้นฐานด้านดิจิทัล กำลังเสนอระบบใบอนุญาตสำหรับดาต้าเซ็นเตอร์ คลาวด์ และแพลตฟอร์ม พร้อมหลักให้ข้อมูลบางประเภทเก็บในประเทศไทย ข่าวนี้ต้องอ่านอย่างระมัดระวัง เพราะยังเป็นเพียงร่างที่เปิดรับฟังความคิดเห็น ไม่ใช่คำสั่งให้ทุกบริษัทรีบย้ายระบบกลับไทยในวันนี้
ประเด็นสำคัญที่สุดสำหรับธุรกิจไม่ใช่คำถามว่า เซิร์ฟเวอร์อยู่ที่ไหน เพียงข้อเดียว แต่คือบริษัทตอบได้หรือไม่ว่าข้อมูลอะไรอยู่กับใคร โอนไปประเทศใด ย้ายออกได้เร็วแค่ไหน และสัญญากำหนดให้ใครรับต้นทุนเมื่อกติกาเปลี่ยน
สารบัญ
- ร่าง พ.ร.บ.โครงสร้างพื้นฐานดิจิทัล คืออะไร และถึงขั้นตอนไหนแล้ว
- ข้อเท็จจริงสำคัญใน Digital Infrastructure Bill Thailand มีอะไรบ้าง
- Digital Infrastructure Bill Thailand กระทบธุรกิจไทยอย่างไร
- ธุรกิจไทยควรทำอะไรต่อก่อน 15 ตุลาคม 2569
- มุมมองผู้เชี่ยวชาญต่อร่างกฎหมายดิจิทัลไทย
- แหล่งอ้างอิง และคำถามที่พบบ่อย
ร่าง พ.ร.บ.โครงสร้างพื้นฐานดิจิทัล คืออะไร และถึงขั้นตอนไหนแล้ว
ร่าง พ.ร.บ.ฉบับนี้เป็นข้อเสนอของนายศุภชัย ใจสมุทร กับคณะ เพื่อกำกับดาต้าเซ็นเตอร์ บริการคลาวด์ และแพลตฟอร์มดิจิทัลผ่านระบบใบอนุญาต ร่างถูกเสนอเมื่อ 8 กรกฎาคม 2569 และรัฐสภาเปิดรับฟังความคิดเห็นระหว่าง 3 กันยายนถึง 15 ตุลาคม 2569 จึงยังอาจถูกแก้ไขระหว่างกระบวนการนิติบัญญัติ
จุดที่ต้องแก้ความเข้าใจจากข่าวสั้นคือ ร่างนี้ไม่ได้ระบุว่ากระทรวงดิจิทัลเพื่อเศรษฐกิจและสังคมเป็นผู้เสนอ แม้ร่างจะให้อำนาจรัฐมนตรีว่าการกระทรวงดิจิทัลฯ ออกใบอนุญาตและออกกฎลำดับรองหลายเรื่อง ผู้เสนอที่ปรากฏในเอกสารรัฐสภาคือนายศุภชัย ใจสมุทร กับคณะ
คำศัพท์ง่าย ๆ ก่อนอ่านต่อ
คำศัพท์ต่อไปนี้ช่วยแยกให้ชัดว่าเรื่องใดเป็นสถานที่ เรื่องใดเป็นบริการ และเรื่องใดเป็นเงื่อนไขทางกฎหมาย
ดาต้าเซ็นเตอร์: สถานที่และระบบที่ใช้วางเครื่องคอมพิวเตอร์ขนาดใหญ่ ระบบเครือข่าย ไฟฟ้า และระบบระบายความร้อน
คลาวด์: บริการเช่าพื้นที่เก็บข้อมูล กำลังประมวลผล หรือซอฟต์แวร์ผ่านอินเทอร์เน็ต โดยผู้ใช้ไม่ต้องเป็นเจ้าของเครื่องทั้งหมดเอง
SaaS: ซอฟต์แวร์ที่เปิดใช้ผ่านอินเทอร์เน็ต เช่น ระบบ HR, CRM, อีเมล หรือระบบบัญชี
Data localization: กติกาที่กำหนดให้ข้อมูลบางประเภทต้องเก็บหรือประมวลผลในประเทศตามเงื่อนไขที่กฎหมายกำหนด
Exit Plan: แผนย้ายข้อมูลและระบบออกจากผู้ให้บริการเดิมเมื่อสัญญาสิ้นสุด ราคาเปลี่ยน หรือผู้ให้บริการทำตามกติกาไม่ได้
ข้อเท็จจริงสำคัญใน Digital Infrastructure Bill Thailand มีอะไรบ้าง
Digital Infrastructure Bill Thailand มี 36 มาตรา แบ่งเป็น 6 หมวด และวางกติกาตั้งแต่ใบอนุญาต การใช้พลังงานและน้ำ ความมั่นคงปลอดภัยของคลาวด์ การรับเรื่องร้องเรียนบนแพลตฟอร์ม ไปจนถึงการเก็บข้อมูลในประเทศไทย รายละเอียดสำคัญจำนวนมากยังต้องรอกฎกระทรวงหรือประกาศของรัฐมนตรี จึงยังประเมินต้นทุนจริงไม่ได้ทั้งหมด
| ประเด็น | ถ้อยคำสำคัญของร่าง | สิ่งที่ต้องระวัง |
| ใบอนุญาต | ผู้ประกอบกิจการตามร่างต้องได้รับใบอนุญาตจากรัฐมนตรี | หลักเกณฑ์จริงจะอยู่ในกฎกระทรวง |
| เก็บข้อมูลในไทย | มาตรา 6 วางหลักให้ข้อมูลคนไทย นิติบุคคลไทย และข้อมูลรัฐเก็บในราชอาณาจักร | การโอนหรือประมวลผลนอกประเทศยังทำได้เมื่อมีเหตุจำเป็นและเป็นไปตามกฎกระทรวง |
| ไม่มีใบอนุญาต | มาตรา 27 เสนอจำคุกไม่เกิน 5 ปี หรือปรับตั้งแต่ 10 ล้านบาท และปรับรายวันไม่เกิน 1 ล้านบาท | เป็นโทษตามร่าง ยังไม่มีผลใช้บังคับ |
| ไม่เก็บข้อมูลคนไทยในไทย | มาตรา 28 เสนอจำคุกไม่เกิน 3 ปี หรือปรับตั้งแต่ 6 ล้านบาท | ถ้อยคำบทลงโทษเจาะถึงข้อมูลส่วนบุคคลของผู้มีสัญชาติไทย |
| กิจการเดิม | มาตรา 36 ให้ยื่นขอใบอนุญาตภายใน 180 วัน | เริ่มนับจากวันที่กฎกระทรวงตามมาตรา 5 ใช้บังคับ ไม่ใช่จากวันที่เห็นข่าว |
ข้อมูลต้องเก็บในไทย แต่ยังมีช่องโอนไปต่างประเทศหรือไม่
ร่างมาตรา 6 วางหลักให้ผู้ประกอบกิจการที่รวบรวม เก็บ ประมวลผล หรือรับฝากข้อมูลที่ระบุไว้ต้องเก็บข้อมูลในราชอาณาจักร แต่ร่างไม่ได้ปิดทางต่างประเทศทั้งหมด เพราะเปิดให้ส่ง โอน เก็บ ประมวลผล หรือสำรองนอกประเทศได้เมื่อมีเหตุผลความจำเป็นและทำตามหลักเกณฑ์ในกฎกระทรวง
คำว่า มีเหตุผลความจำเป็น จะตีความกว้างเพียงใด ต้องใช้เอกสารอะไร และบริการคลาวด์แบบกระจายหลายประเทศจะทำอย่างไร ยังเป็นคำถามที่ควรเสนอในช่วงรับฟังความคิดเห็น ไม่ควรเดาคำตอบแทนกฎกระทรวงที่ยังไม่ออก
กำหนดเวลา 180 วันเริ่มนับเมื่อใด
ระยะเวลา 180 วันสำหรับกิจการเดิมเริ่มนับเมื่อกฎกระทรวงเรื่องใบอนุญาตตามมาตรา 5 ใช้บังคับ ไม่ได้เริ่มนับทันทีจากวันที่ร่างกฎหมายถูกเสนอหรือวันที่มีข่าว ผู้ประกอบการจึงควรติดตามทั้งตัว พ.ร.บ. และกฎหมายลำดับรอง ไม่ใช่จำเพียงตัวเลข 180 วัน
Digital Infrastructure Bill Thailand กระทบธุรกิจไทยอย่างไร
ผลกระทบต่อประเทศไทยจะเกิดทั้งกับผู้ให้บริการที่อาจต้องขอใบอนุญาตและกับลูกค้าที่ฝากระบบไว้กับผู้ให้บริการเหล่านั้น แม้บริษัทที่ซื้อ SaaS ไม่ได้ถูกเขียนให้เป็นผู้รับใบอนุญาตทุกกรณี แต่ราคา รูปแบบบริการ ตำแหน่งข้อมูล สัญญา และความต่อเนื่องของระบบอาจเปลี่ยนตามต้นทุนของผู้ให้บริการ
บริษัทที่ใช้ SaaS ต่างประเทศต้องย้ายข้อมูลกลับไทยทันทีหรือไม่
ยังสรุปเช่นนั้นไม่ได้ เพราะร่างยังไม่เป็นกฎหมายและมาตรา 6 เขียนหน้าที่ไว้กับผู้ประกอบกิจการตามร่าง ไม่ได้สั่งลูกค้า SaaS ทุกบริษัทให้ย้ายข้อมูลทันที อย่างไรก็ดี ลูกค้าควรตรวจว่าผู้ให้บริการรองรับพื้นที่ข้อมูลในไทยหรือไม่ มีผู้รับช่วงประมวลผลที่ใด และย้ายข้อมูลออกได้อย่างไรหากบริการต้องปรับตามกติกาใหม่
ร่างกฎหมายซ้อนกับ PDPA มาตรา 28 และ 29 อย่างไร
PDPA มาตรา 28 และ 29 วางกรอบการส่งหรือโอนข้อมูลส่วนบุคคลไปต่างประเทศ ส่วนร่างกฎหมายใหม่นี้เสนอชั้นกำกับเรื่องสถานที่เก็บข้อมูลและเงื่อนไขของผู้ประกอบกิจการ หากร่างผ่าน ธุรกิจที่เกี่ยวข้องอาจต้องตรวจทั้งฐานและกลไกการโอนตาม PDPA พร้อมกับเงื่อนไขการเก็บข้อมูลของกฎหมายใหม่นี้ แทนที่จะเลือกทำเพียงฉบับใดฉบับหนึ่ง
ข้อมูลอยู่ในไทย แปลว่าทำ PDPA ครบแล้วหรือไม่
ไม่ใช่ การวางเซิร์ฟเวอร์ในประเทศไทยไม่ได้ตอบคำถามเรื่องวัตถุประสงค์ ฐานกฎหมาย ระยะเวลาเก็บ สิทธิของเจ้าของข้อมูล ความปลอดภัย หรือหน้าที่ระหว่างผู้ควบคุมกับผู้ประมวลผลครบทั้งหมด Data residency เป็นเพียงส่วนหนึ่งของการกำกับข้อมูล ไม่ใช่ใบรับรองว่าองค์กรทำ PDPA ครบแล้ว
SME จะได้รับผลกระทบแบบใด
SME อาจไม่ได้ยื่นขอใบอนุญาตเอง แต่มีโอกาสรับต้นทุนผ่านค่าบริการ การเปลี่ยนแพ็กเกจ การจำกัดบางฟังก์ชัน หรือค่าใช้จ่ายในการย้ายข้อมูล ผลกระทบหนักที่สุดจะเกิดกับกิจการที่ใช้ระบบต่างประเทศหลายตัวแต่ไม่มีรายชื่อระบบ ไม่มีสำเนาข้อมูลในรูปแบบมาตรฐาน และไม่มีสิทธิช่วยเหลือเมื่อต้องย้ายออก
ประสบการณ์ตรงจากงานกฎหมายและระบบไอที: เวลาตรวจระบบ ความล่าช้ามักไม่ได้เกิดจากเทคโนโลยีเพียงอย่างเดียว แต่เกิดจากองค์กรตอบไม่ได้ว่าระบบใดเป็นของใคร ข้อมูลชุดใดส่งไปที่ไหน และเอกสารสัญญาฉบับใดเป็นฉบับที่ใช้อยู่จริง ถ้ารอให้กฎหมายมีผลแล้วค่อยเริ่มรวบรวมข้อมูล ต้นทุนส่วนใหญ่จะมาจากเวลาและการประสานงาน ไม่ใช่ค่าซอฟต์แวร์
ธุรกิจไทยควรทำอะไรต่อก่อน 15 ตุลาคม 2569
ก่อนปิดรับฟังความคิดเห็นวันที่ 15 ตุลาคม 2569 ธุรกิจควรทำงานที่ย้อนกลับได้และมีประโยชน์แม้ร่างถูกแก้ ได้แก่ ทำแผนที่ข้อมูล ตรวจสัญญา ทดสอบการนำข้อมูลออก จัดลำดับระบบสำคัญ และส่งความเห็นที่มีตัวเลขต้นทุนหรือข้อจำกัดทางเทคนิค ไม่จำเป็นต้องย้ายระบบเพราะข่าวเพียงอย่างเดียว
- ทำ Data Map แบบใช้งานจริง: ระบุชื่อระบบ เจ้าของระบบ ประเภทข้อมูล ประเทศที่เก็บข้อมูล ผู้รับช่วงประมวลผล และระยะเวลาเก็บ
- จัดลำดับระบบสำคัญก่อน: เริ่มจาก HR, CRM, สุขภาพ การเงิน เอกสารลูกค้า ระบบ AI และฐานข้อมูลที่หยุดไม่ได้
- ตรวจสัญญา Vendor: ดูข้อกำหนดเรื่อง data location, subprocessor, การแจ้งเปลี่ยนพื้นที่ประมวลผล การนำข้อมูลออก การลบข้อมูล ค่าใช้จ่าย และความช่วยเหลือเมื่อเลิกสัญญา
- ทดสอบ Exit Plan: ลองส่งออกข้อมูลจริงหนึ่งระบบ ตรวจรูปแบบไฟล์ ระยะเวลา ความครบถ้วน และวิธีนำเข้าระบบใหม่
บทความต่อไปนี้ช่วยเชื่อมเรื่องกฎหมายใหม่กับความปลอดภัย สัญญา และการกำกับผู้ให้บริการ
Data Center ไทย เตือนแรง กติกาใหม่รัฐกำลังเขย่าธุรกิจ Cloud
Cloud Security ไทย บังคับแล้ว ใครต้องรีบเช็ก ก่อนมาตรฐานเว็บตามมา
AI Infrastructure Governance จาก Data Center สู่การกำกับความเสี่ยง
ช่องโหว่ AI Agent OpenAI กับความเสี่ยงข้อมูลรั่วในไทย
มุมมองผู้เชี่ยวชาญต่อร่างกฎหมายดิจิทัลไทย
“ร่างนี้ไม่ใช่สัญญาณให้ทุกบริษัทรีบย้ายระบบกลับไทยพรุ่งนี้ครับ จุดสำคัญกว่าคือ วันนี้บริษัทตอบได้หรือยังว่าข้อมูลอะไรอยู่ที่ไหน ใครย้ายได้ ต้องใช้เวลาเท่าไร และถ้าผู้ให้บริการทำตามกติกาไทยไม่ได้ เราจะออกจากระบบอย่างไร ถ้าตอบไม่ได้ ความเสี่ยงอยู่ที่สัญญาและการไม่มีทางออก ไม่ใช่แค่ตำแหน่งของเซิร์ฟเวอร์”
ภูวรา ครอบตะคุ | LL.M. กฎหมายทรัพย์สินทางปัญญาและสารสนเทศ, M.S. Information Technology, เนติบัณฑิตไทย และทนายความ
แหล่งอ้างอิง
ฐานเศรษฐกิจ – ชำแหละร่าง พ.ร.บ.โครงสร้างพื้นฐานดิจิทัล คุมดาต้าเซ็นเตอร์
Parliament Watch – สถานะและข้อมูลผู้เสนอร่างกฎหมาย
ราชกิจจานุเบกษา – พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562
คำถามที่พบบ่อยเกี่ยวกับ Digital Infrastructure Bill Thailand
คำถามต่อไปนี้สรุปสถานะและผลกระทบของร่างกฎหมายจากเอกสารที่เปิดเผย ณ วันที่ 24 กันยายน 2569 คำตอบอาจเปลี่ยนได้หากรัฐสภาแก้ไขร่างหรือออกกฎหมายลำดับรองเพิ่มเติม
ร่าง พ.ร.บ.โครงสร้างพื้นฐานดิจิทัลมีผลใช้แล้วหรือยัง
ยังไม่มีผลใช้บังคับ ณ วันที่ 24 กันยายน 2569 ร่างอยู่ในกระบวนการรับฟังความคิดเห็นและยังอาจแก้ไขได้
ทุกบริษัทไทยต้องเก็บข้อมูลไว้ในไทยหรือไม่
ยังสรุปเช่นนั้นไม่ได้ ถ้อยคำมาตรา 6 ผูกหน้าที่กับผู้ประกอบกิจการตามร่าง ส่วนลูกค้าที่ใช้ SaaS อาจได้รับผลกระทบทางอ้อมผ่านบริการและสัญญา
ร่างกฎหมายห้ามโอนข้อมูลไปต่างประเทศทั้งหมดหรือไม่
ไม่ห้ามทั้งหมด ร่างเปิดให้ส่ง โอน เก็บ ประมวลผล หรือสำรองข้อมูลนอกประเทศได้เมื่อมีเหตุผลความจำเป็นและทำตามเงื่อนไขในกฎกระทรวง
ระยะเวลา 180 วันเริ่มนับเมื่อใด
ร่างมาตรา 36 เริ่มนับ 180 วันจากวันที่กฎกระทรวงเรื่องใบอนุญาตตามมาตรา 5 ใช้บังคับ ไม่ใช่จากวันที่เผยแพร่ข่าว
ธุรกิจควรย้าย Cloud ตอนนี้เลยหรือไม่
ไม่ควรย้ายเพราะข่าวเพียงอย่างเดียว ธุรกิจควรเริ่มจากทำ Data Map ตรวจสัญญา และทดสอบ Exit Plan ก่อนตัดสินใจจากข้อเท็จจริงของระบบและกฎหมายฉบับสุดท้าย
ข้อจำกัดความรับผิดทางกฎหมาย
บทความนี้เป็นการสรุปข่าวและให้ข้อมูลทั่วไป ไม่ใช่คำแนะนำทางกฎหมาย หากต้องการคำปรึกษาเฉพาะกรณีของธุรกิจคุณ ควรปรึกษาผู้เชี่ยวชาญ
