บทนำ
ประเทศไทยกำลังเปิดรับฟังความคิดเห็นต่อร่างกฎหมายที่จะวางกรอบใหม่สำหรับการแบ่งปันข้อมูลระหว่างภาครัฐ เอกชน และประชาชน โดย BDI เปิดรับความคิดเห็นตั้งแต่วันที่ 31 กรกฎาคม ถึง 31 สิงหาคม 2569 ตามข้อมูลของ Tilleke & Gibbins และข้อมูลเกี่ยวกับร่างกฎหมายที่เผยแพร่ในปัจจุบัน
แต่สำหรับภาคธุรกิจ เรื่องนี้ไม่ควรถูกมองว่าเป็นเพียง “กฎหมายที่ช่วยให้ข้อมูลเดินทางได้ง่ายขึ้น” เพราะสิ่งที่อาจเปลี่ยนจริงคือ วิธีที่องค์กรต้องคิดเรื่องสิทธิในการส่งต่อข้อมูล ซึ่งไม่ได้จบอยู่แค่การถามว่า “PDPA อนุญาตหรือไม่”
ข้อเท็จจริง: ไทยกำลังวางระบบกลางสำหรับการแบ่งปันข้อมูล
ร่างกฎหมายที่ BDI (Big Data Institute) หรือ สถาบันข้อมูลขนาดใหญ่ (องค์การมหาชน) เปิดรับฟังความคิดเห็นมีเป้าหมายสร้างกรอบการแบ่งปันข้อมูลที่เป็นระบบ โดยมีแพลตฟอร์ม Data Integration and Intelligence Platform หรือ D2 เป็นกลไกสำคัญในการเชื่อมโยงข้อมูล โดยเฉพาะการใช้งานข้อมูลเพื่อการวิเคราะห์ งานวิจัย การกำหนดนโยบาย และการพัฒนานวัตกรรม
แนวคิดของร่างกฎหมายครอบคลุมการแบ่งปันข้อมูล 5 รูปแบบ ได้แก่
G2B รัฐแบ่งข้อมูลให้เอกชน
G2G หน่วยงานรัฐแบ่งข้อมูลระหว่างกัน
B2G เอกชนแบ่งข้อมูลให้รัฐ
B2C ธุรกิจเปิดข้อมูลให้ผู้บริโภคหรือผู้ที่ได้รับมอบหมาย
B2B ธุรกิจแบ่งปันข้อมูลระหว่างกัน
ในกรณีข้อมูลของรัฐมีข้อมูลส่วนบุคคล ร่างกฎหมายกำหนดหลักให้หน่วยงานเจ้าของข้อมูลต้องจัดการความเสี่ยงก่อนการแบ่งปัน เช่น ทำให้ข้อมูลไม่สามารถระบุตัวบุคคลได้ ขอความยินยอม หรือพิจารณาว่ามีฐานทางกฎหมายที่ใช้เปิดเผยข้อมูลได้ตามกฎหมายคุ้มครองข้อมูลส่วนบุคคล
อีกประเด็นที่ธุรกิจควรจับตาคือ กรณีฉุกเฉิน ร่างกฎหมายเปิดช่องให้ภาคเอกชนอาจถูกกำหนดให้แบ่งปันข้อมูลผ่านระบบกลางได้ภายใต้เงื่อนไขที่กำหนด และการไม่ปฏิบัติตามในบางกรณีอาจมีค่าปรับทางแพ่ง โดยร่างที่เผยแพร่ไม่ได้กำหนดโทษอาญาไว้สำหรับการฝ่าฝืนประเภทดังกล่าว
สำหรับการแบ่งปันข้อมูลระหว่างเอกชน ร่างกฎหมายยังคงให้ความสำคัญกับสัญญา กฎหมายคุ้มครองข้อมูลส่วนบุคคล และกฎหมายการแข่งขัน ขณะเดียวกันก็เสนอแนวทางรับรองผู้ให้บริการด้านการแบ่งปันข้อมูลโดยสมัครใจ เช่น ผู้ทำหน้าที่เป็นตัวกลางหรือผู้ให้บริการทำข้อมูลให้ไม่สามารถระบุตัวบุคคลได้
สิ่งที่ธุรกิจควรเริ่มคิดตั้งแต่วันนี้
ลองนึกภาพบริษัทหนึ่งที่มีข้อมูลลูกค้าอยู่ใน CRM มีข้อมูลการซื้ออยู่ในระบบ ERP และมีข้อมูลจากหน่วยงานรัฐที่นำมาใช้วิเคราะห์ตลาด
วันนี้ฝ่ายกฎหมายอาจถามว่า “เรามีฐานทางกฎหมายในการใช้ข้อมูลหรือไม่?”
แต่โลกของ Data Sharing อาจทำให้ต้องถามเพิ่มว่า
ใครเป็นเจ้าของข้อมูล? ใครเป็นผู้มีสิทธิส่ง? ใครเป็นผู้มีสิทธิรับ? ส่งไปเพื่ออะไร? ส่งเท่าที่จำเป็นหรือไม่? ใครตรวจสอบได้ภายหลัง?
นี่คือจุดที่ร่างกฎหมายฉบับนี้น่าสนใจกว่าข่าวเรื่อง “กฎหมายใหม่กำลังมา”
ผลกระทบต่อธุรกิจในประเทศไทย
ผลกระทบที่แท้จริงอาจเกิดขึ้นกับ “กระบวนการหลังบ้าน” มากกว่าตัวกฎหมายบนกระดาษ เพราะองค์กรที่มีการแลกเปลี่ยนข้อมูลจำนวนมากจะต้องบริหารอย่างน้อย 3 ชั้น พร้อมกัน ชั้นแรกคือ สิทธิในการใช้ข้อมูลตามกฎหมายคุ้มครองข้อมูลส่วนบุคคล ชั้นที่สองคือ เงื่อนไขของการแบ่งปันข้อมูล และชั้นที่สามคือ ความสามารถของระบบ IT และกระบวนการภายในในการควบคุมการส่งข้อมูล
ตัวอย่างง่าย ๆ คือ บริษัทหนึ่งมีข้อมูลลูกค้าหลายล้านรายการ หากมีการร้องขอข้อมูลจากภาครัฐหรือเกิดกรณีที่กฎหมายเฉพาะกำหนดให้ต้องแบ่งปัน บริษัทจะต้องรู้ทันทีว่าข้อมูลชุดใดสามารถส่งได้ ข้อมูลชุดใดต้องตัดออก ใครเป็นคนอนุมัติ และสามารถย้อนกลับไปตรวจสอบได้หรือไม่ว่าข้อมูลถูกส่งให้ใคร เมื่อไร และด้วยเหตุผลอะไร
ประเด็นนี้จึงไม่ใช่เรื่องของฝ่ายกฎหมายเพียงฝ่ายเดียว แต่จะลากไปถึง DPO, IT, Security, Data Governance, Procurement และฝ่ายธุรกิจ เพราะการแบ่งปันข้อมูลที่ผิดพลาดอาจสร้างทั้งความเสี่ยงด้านกฎหมาย ความปลอดภัย และความเสียหายทางธุรกิจ
อีกด้านหนึ่ง นี่อาจเป็นโอกาสของธุรกิจเช่นกัน หากภาครัฐสามารถทำให้การเข้าถึงข้อมูลมีมาตรฐานและตรวจสอบได้ง่ายขึ้น บริษัทอาจนำข้อมูลรัฐมาใช้สร้างบริการใหม่ งานวิจัย หรือระบบวิเคราะห์ที่ก่อนหน้านี้ทำได้ยาก แต่โอกาสนั้นจะเกิดขึ้นจริงก็ต่อเมื่อองค์กรมีระบบจัดการข้อมูลที่พร้อม ไม่ใช่เพียงมีข้อมูลจำนวนมาก
ดังนั้น สิ่งที่ผู้บริหารควรถามวันนี้อาจไม่ใช่ “กฎหมายผ่านหรือยัง?” แต่คือ “ถ้าวันหนึ่งเราต้องรับหรือส่งข้อมูลผ่านกลไกแบบนี้ เรารู้หรือยังว่าข้อมูลทุกชุดของเราอยู่ที่ไหน และใครมีสิทธิ์แตะมัน?”
สิ่งที่ควรทำต่อ
- ทำ Data Inventory ตรวจว่าข้อมูลสำคัญขององค์กรอยู่ที่ระบบใด ใครเป็นผู้ดูแล และมีข้อมูลส่วนบุคคลปะปนอยู่หรือไม่
- ทบทวน Data Flow โดยเฉพาะข้อมูลที่ส่งให้หน่วยงานรัฐ คู่ค้า ผู้ให้บริการ หรือแพลตฟอร์มภายนอก
- แยก “สิทธิใช้ข้อมูล” กับ “สิทธิแบ่งปันข้อมูล” อย่าถือว่ามีฐานทางกฎหมายในการใช้ข้อมูลแล้วเท่ากับสามารถส่งต่อข้อมูลได้ทุกกรณี
- ตรวจสัญญาและขั้นตอนอนุมัติ ว่ามีการกำหนดผู้รับผิดชอบ เงื่อนไขการส่งต่อ และการตรวจสอบย้อนหลังไว้อย่างชัดเจนหรือไม่
- พิจารณาส่งความเห็นต่อ BDI โดยเฉพาะธุรกิจที่อาจได้รับผลกระทบจากการแบ่งปันข้อมูล หรือมีข้อจำกัดทางเทคนิคและการปฏิบัติงานที่ร่างกฎหมายยังไม่ตอบโจทย์
BDI มีช่องทางรับฟังความคิดเห็นเกี่ยวกับการใช้ประโยชน์จากข้อมูล และในปี 2569 ยังเดินหน้าพัฒนา D2 ในฐานะแพลตฟอร์มเชื่อมโยงและวิเคราะห์ข้อมูลขนาดใหญ่ด้วย
มุมมองผู้เชี่ยวชาญ
“อย่ารอให้กฎหมายออกแล้วค่อยจัดการข้อมูล เพราะสิ่งที่ต้องใช้เวลามากที่สุดไม่ใช่การอ่านกฎหมาย แต่คือ การทำให้องค์กรรู้ว่าข้อมูลอยู่ตรงไหน ใครมีสิทธิใช้ และใครมีสิทธิส่งต่อ”
— Phuwara Krobtaku —
LL.M. (IP & IT) | M.S. (IT) | Thai Barrister & Attorney-at-Law
แหล่งอ้างอิง
Tilleke & Gibbins — Thailand Launches Public Consultation on Draft Data-Sharing Law
เผยแพร่วันที่ 12 สิงหาคม 2569
อ่านต้นฉบับจาก Tilleke & Gibbins
Big Data Institute (BDI) — ข้อมูลเกี่ยวกับการพัฒนา D2 และการผลักดัน Data Sharing
เว็บไซต์ Big Data Institute
