ตามกฎหมาย PDPA กรณีใดต่อไปนี้ ไม่ จำเป็นต้องตรวจสอบว่าประเทศปลายทางมีมาตรฐานการคุ้มครองข้อมูลส่วนบุคคลที่เพียงพอ?
(ก) บริษัทในไทยส่งข้อมูลส่วนบุคคลของลูกค้าไปยังบริษัทแม่ในต่างประเทศ เพื่อใช้ในการวิเคราะห์ข้อมูลเพื่อพัฒนาสินค้าและบริการ
(ข) บริษัทในไทยส่งข้อมูลส่วนบุคคลของพนักงานไปยังบริษัทลูกในต่างประเทศ เพื่อใช้ในการจัดการ payroll
(ค) บริษัทในไทยส่งข้อมูลส่วนบุคคลของลูกค้าไปยังหน่วยงานรัฐในต่างประเทศตามคำร้องขอ
(ง) บริษัทในไทยส่งข้อมูลส่วนบุคคลของลูกค้าไปยังบริษัทคู่ค้าในต่างประเทศ เพื่อใช้ในการจัดส่งสินค้า
ข้อที่ถูกต้องคือ (ก) บริษัทในไทยส่งข้อมูลส่วนบุคคลของลูกค้าไปยังบริษัทแม่ในต่างประเทศ เพื่อใช้ในการวิเคราะห์ข้อมูลเพื่อพัฒนาสินค้าและบริการ
เนื่องจาก คำตอบ:

(ก) บริษัทในไทยส่งข้อมูลส่วนบุคคลของลูกค้าไปยังบริษัทแม่ในต่างประเทศ เพื่อใช้ในการวิเคราะห์ข้อมูลเพื่อพัฒนาสินค้าและบริการ

เหตุผล:
กฎหมาย PDPA มาตรา 28 ระบุว่า กรณีที่ผู้ควบคุมข้อมูลส่วนบุคคล (Data Controller) ส่งหรือโอนข้อมูลส่วนบุคคลไปยังต่างประเทศ ประเทศปลายทางหรือองค์การระหว่างประเทศที่รับข้อมูลส่วนบุคคล (Data Recipient) ต้องมีมาตรฐานการคุ้มครองข้อมูลส่วนบุคคลที่เพียงพอตามหลักเกณฑ์การให้ความคุ้มครองข้อมูลส่วนบุคคลตามที่คณะกรรมการประกาศกำหนด

อย่างไรก็ตาม มีข้อยกเว้นบางประการที่ ไม่ จำเป็นต้องตรวจสอบว่าประเทศปลายทางมีมาตรฐานการคุ้มครองข้อมูลส่วนบุคคลที่เพียงพอ หนึ่งในข้อยกเว้นนั้นคือ กรณีที่การส่งหรือโอนข้อมูลส่วนบุคคลเป็นการปฏิบัติตามกฎหมาย

ในกรณีตัวอย่าง (ก) การส่งข้อมูลส่วนบุคคลของลูกค้าไปยังบริษัทแม่ในต่างประเทศ เพื่อใช้ในการวิเคราะห์ข้อมูลเพื่อพัฒนาสินค้าและบริการ ไม่ ได้อยู่ในข้อยกเว้นนี้ บริษัทในไทยจำเป็นต้องตรวจสอบว่าประเทศปลายทางมีมาตรฐานการคุ้มครองข้อมูลส่วนบุคคลที่เพียงพอตามหลักเกณฑ์ของ PDPA

ตัวเลือกอื่นๆ:

(ข) บริษัทในไทยส่งข้อมูลส่วนบุคคลของพนักงานไปยังบริษัทลูกในต่างประเทศ เพื่อใช้ในการจัดการ payroll จำเป็นต้อง ตรวจสอบว่าประเทศปลายทางมีมาตรฐานการคุ้มครองข้อมูลส่วนบุคคลที่เพียงพอ

(ค) บริษัทในไทยส่งข้อมูลส่วนบุคคลของลูกค้าไปยังหน่วยงานรัฐในต่างประเทศตามคำร้องขอ จำเป็นต้อง ตรวจสอบว่าประเทศปลายทางมีมาตรฐานการคุ้มครองข้อมูลส่วนบุคคลที่เพียงพอ

(ง) บริษัทในไทยส่งข้อมูลส่วนบุคคลของลูกค้าไปยังบริษัทคู่ค้าในต่างประเทศ เพื่อใช้ในการจัดส่งสินค้า จำเป็นต้อง ตรวจสอบว่าประเทศปลายทางมีมาตรฐานการคุ้มครองข้อมูลส่วนบุคคลที่เพียงพอ
กฎหมายไซเบอร์-คุ้มครองข้อมูลส่วนบุคคล(PDPA)