บทนำ
ลองนึกภาพบริษัทไทยแห่งหนึ่งที่มีพนักงานในเวียดนาม ใช้ HR Cloud จากสิงคโปร์ และให้สำนักงานใหญ่ในกรุงเทพฯ เข้าดูข้อมูลบางส่วนผ่านระบบเดียวกัน
ในมุม IT เรื่องนี้อาจดูเป็นเพียงการใช้ระบบกลาง แต่ในมุมกฎหมายข้อมูลส่วนบุคคล คำถามสำคัญคือ ข้อมูลกำลังเดินทางไปไหนบ้าง
นี่คือเหตุผลที่กฤษฎีกา Decree No. 330/2026/NĐ-CP ของเวียดนาม น่าสนใจกว่าตัวเลขค่าปรับ เพราะกฤษฎีกานี้มีผลตั้งแต่ 19 สิงหาคม 2569 และกำหนดกรอบลงโทษด้าน Cybersecurity และ Personal Data Protection อย่างเป็นรูปธรรม รวมถึงกรณีที่เกี่ยวข้องกับผู้ประกอบการนอกเวียดนามด้วย
พูดง่ายๆ คือ ช่วงเวลาที่องค์กรสามารถมอง Privacy Compliance เป็นแค่เอกสาร อาจกำลังหมดลง
ข้อเท็จจริง: เวียดนามไม่ได้ปรับแค่เรื่อง Consent
Decree 330/2026/NĐ-CP ออกโดยรัฐบาลเวียดนามเมื่อวันที่ 19 สิงหาคม 2569 และมีผลในวันเดียวกัน โดยเป็นกรอบบทลงโทษสำหรับการฝ่าฝืนกฎหมายด้าน Cybersecurity และ Personal Data Protection
ในส่วนคุ้มครองข้อมูลส่วนบุคคล มีบทลงโทษหลายกลุ่ม เช่น
- การละเมิดเรื่อง Consent ปรับได้สูงสุด 70 ล้านดอง
- การไม่แจ้งเหตุข้อมูลรั่วไหลตามที่กำหนด ปรับได้สูงสุด 80 ล้านดอง
- การไม่จัดทำหรือยื่น DPIA ตามข้อกำหนด ปรับได้สูงสุด 100 ล้านดอง
- การไม่แต่งตั้ง Data Protection Officer (DPO) หรือหน่วยงานรับผิดชอบ ปรับได้สูงสุด 30 ล้านดอง
- การฝ่าฝืนข้อกำหนดเกี่ยวกับ การโอนข้อมูลส่วนบุคคลข้ามประเทศ อาจมีโทษสูงสุดถึง 5% ของรายได้ในปีก่อนหน้า หรือสูงสุด 3,000 ล้านดอง ตามกรอบที่กำหนด
จุดสำคัญไม่ได้อยู่ที่ตัวเลขอย่างเดียว
มาตรการแก้ไขยังอาจรวมถึงการลบข้อมูลที่เก็บโดยไม่ชอบ การบังคับให้แจ้งเหตุข้อมูลรั่วไหล การส่งเอกสารประเมินผลกระทบให้ครบ หรือการ ระงับการโอนข้อมูลข้ามประเทศ จนกว่าจะดำเนินการตามข้อกำหนด
รัฐบาลเวียดนามเองระบุว่ากฤษฎีกานี้ครอบคลุมทั้งการกำหนดความผิด มาตรการลงโทษ และอำนาจของผู้มีอำนาจบังคับใช้ โดยกฤษฎีกามีทั้งหมด 4 หมวด 82 มาตรา
อีกประเด็นที่บริษัทไทยต้องระวังคือ ขอบเขตนอกประเทศ Tilleke & Gibbins ระบุว่ากฎใหม่นี้สามารถใช้กับบริษัทนอกเวียดนามในกรณีที่เข้าเงื่อนไข เช่น ให้บริการโทรคมนาคม อินเทอร์เน็ต เนื้อหาออนไลน์ IT, Cybersecurity หรือบริการข้ามพรมแดน และเกี่ยวข้องกับการประมวลผลข้อมูลของบุคคลที่อยู่ในขอบเขตของกฎหมายเวียดนาม
ดังนั้นคำว่า “บริษัทเราอยู่ไทย” จึงไม่ใช่คำตอบสุดท้ายว่า “กฎหมายเวียดนามไม่เกี่ยว”
ผลกระทบต่อธุรกิจในประเทศไทย: ปัญหาใหญ่จริงๆ อาจไม่ใช่ค่าปรับ
สิ่งที่บริษัทไทยควรจับตาคือ แนวคิดเรื่องความรับผิดชอบกำลังขยับจากตัวเอกสารไปสู่เส้นทางของข้อมูลจริง
บริษัทข้ามชาติในไทยจำนวนมากไม่ได้เก็บข้อมูลไว้ในระบบเดียวอีกต่อไป ข้อมูลพนักงานอาจอยู่ใน HRIS ข้อมูลลูกค้าอยู่ใน CRM ข้อมูลการตลาดอยู่กับ SaaS ผู้ให้บริการภายนอก ข้อมูลสำรองอยู่บน Cloud และทีม Regional หรือสำนักงานใหญ่สามารถเข้าถึงข้อมูลจากอีกประเทศได้ ทั้งหมดนี้ทำให้คำว่า “การโอนข้อมูล” ไม่ได้หมายถึงแค่การกด Export แล้วส่งไฟล์ทางอีเมล แต่ต้องมองทั้งสถาปัตยกรรมของระบบว่า ใครกำลังส่งอะไรไปที่ไหน และด้วยเหตุผลอะไร
กรณีของเวียดนามจึงน่าสนใจมากสำหรับบริษัทไทยที่กำลังขยายธุรกิจในอาเซียน เพราะเมื่อโทษบางประเภทผูกกับรายได้ของปีก่อนหน้า ความเสี่ยงจะเปลี่ยนจาก “ค่าปรับก้อนเล็กที่ฝ่าย Compliance จัดการได้” เป็นความเสี่ยงที่สามารถเข้าไปแตะระดับผู้บริหารและงบประมาณของทั้งองค์กรได้
ที่สำคัญ การไม่ปฏิบัติตามอาจไม่ได้จบด้วยการจ่ายเงิน แต่บางกรณีมีมาตรการแก้ไขหรือระงับกิจกรรมการประมวลผลและการโอนข้อมูลด้วย นั่นหมายความว่า หากข้อมูลของบริษัทเวียดนามถูกส่งกลับมายัง Regional Hub ในไทย แล้วกระบวนการดังกล่าวไม่ผ่านข้อกำหนด ปัญหาอาจกระทบ การทำงานของระบบจริง เช่น HR, Payroll, Customer Service หรือ Shared Services ไม่ใช่แค่แฟ้มเอกสารทางกฎหมาย
นี่คือมุมที่ธุรกิจไทยควรหยิบไปคิดต่อ
Vietnam Compliance ไม่ควรถูกมองเป็นงานของบริษัทลูกในเวียดนามเพียงบริษัทเดียว แต่ควรถูกมองเป็นโจทย์ของ Data Governance ทั้งกลุ่ม
และนี่ไม่ได้หมายความว่าไทยจะต้องใช้กฎของเวียดนามมาเป็นกฎของตัวเอง หรือว่าไทยจะออกมาตรการแบบเดียวกันแน่นอน แต่ในเชิงกลยุทธ์ กรณีนี้เป็นสัญญาณสำคัญว่าองค์กรในอาเซียนกำลังถูกผลักให้แสดงให้เห็นว่า รู้ว่าข้อมูลอยู่ตรงไหน ใครรับผิดชอบ และทำไมจึงประมวลผลหรือโอนข้อมูลนั้น
ในประเทศไทยเอง สคส.ก็มีระบบรองรับการจัดการเหตุละเมิดข้อมูลส่วนบุคคล และระบุกรอบการแจ้งเหตุภายใน 72 ชั่วโมงตามมาตรา 37 ของ PDPA แล้ว ขณะที่แนวทางของ GPPC ยังยกเรื่องการโอนข้อมูลไปต่างประเทศเป็นส่วนหนึ่งของการจัดการ Privacy Compliance ด้วย
ดังนั้นบทเรียนจากเวียดนามสำหรับบริษัทไทยไม่ใช่ “กลัวค่าปรับ 5%”
แต่คือ ถึงเวลาตรวจเส้นทางข้อมูลจริงก่อนที่กฎหมายจะเป็นฝ่ายบังคับให้เราตรวจ
สิ่งที่ควรทำต่อ
- ทำ Data Flow Map ของข้อมูลที่เกี่ยวกับเวียดนาม ตั้งแต่จุดเก็บข้อมูลไปจนถึง Cloud, Vendor, Regional HQ และประเทศปลายทาง
- เช็กว่าการโอนข้อมูลข้ามประเทศเกิดขึ้นตรงไหนบ้าง รวมถึงการเข้าถึงจากสำนักงานใหญ่ไทยหรือ Vendor ที่ตั้งอยู่นอกเวียดนาม
- ตรวจสถานะ DPIA / TIA และเอกสารที่เกี่ยวข้อง ว่ามีการจัดทำและอัปเดตตามกิจกรรมประมวลผลจริงหรือไม่
- ตรวจว่าใครรับผิดชอบ Data Protection ในบริษัท และมีการแต่งตั้งบุคคลหรือหน่วยงานตามข้อกำหนดที่ใช้กับธุรกิจหรือไม่
- ทบทวน Incident Response Plan โดยเฉพาะกรณีข้อมูลรั่วไหล เพราะการมีแผนแต่ไม่มีเจ้าของงานและเส้นทางการแจ้งเหตุที่ชัดเจน อาจไม่พอเมื่อเกิดเหตุจริง
แหล่งอ้างอิง
ต้นฉบับ: Tilleke & Gibbins, “Vietnam Issues Cybersecurity and Personal Data Protection Sanctions Decree,” เผยแพร่ 25 สิงหาคม 2569
กฎหมายฉบับทางการ: Government of Vietnam, Decree No. 330/2026/NĐ-CP ลงวันที่ 19 สิงหาคม 2569 และมีผลใช้บังคับวันเดียวกัน
อ่านบทความต้นฉบับจาก Tilleke & Gibbins
