ประเทศไหนถือว่า adequate?

สคส. ยังไม่ประกาศรายชื่อ adequacy อย่างเป็นทางการ ณ ปี 2026 — ต้องใช้ SCC หรือ BCR เป็น default

SCC ต้องยื่น สคส. ไหม?

ไม่ต้องยื่น แต่ต้องเก็บไว้ให้ตรวจสอบและระบุใน ROPA

BCR ใช้ได้กับ group เดียวเท่านั้น?

ใช่ — สำหรับการโอนภายในเครือบริษัท ต้องได้รับอนุมัติ สคส. ก่อนใช้

โอนข้อมูลข้ามพรมแดน PDPA (SCC / BCR)

PDPA Cross-Border Data Transfer (SCC / BCR) · § CrossBorder

Quick Answer

แพ็กเกจ SCC + Transfer Impact Assessment (TIA) เริ่ม 45,000 บาท — mapping data flow, gap vs PDPC adequacy list, ร่าง SCC (align กับ EU SCC 2021), TIA scoring 5 มิติ (law, safeguards, redress, oversight, contract)

ระยะเวลา: Assessment 5 วัน · Draft SCC 5 วัน · Negotiation vendor 2–4 สัปดาห์

ค่าธรรมเนียมทางการ: ไม่มีค่าธรรมเนียม (BCR ที่ยื่น สคส. ปัจจุบันยังไม่มีค่าธรรมเนียม)

ฐานทางกฎหมาย

พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล 2562 มาตรา 28–29 ประกาศ สคส. เรื่องหลักเกณฑ์การโอนข้อมูลไปต่างประเทศ 2566 — ต้องใช้กลไก adequacy, SCC, BCR หรือ derogation ที่ระบุใน มาตรา 28(3)

เหมาะกับใคร

SaaS ที่ใช้ AWS/GCP ต่างประเทศ MNC ที่ send HR data ไปสำนักงานใหญ่ ecommerce ที่ใช้ payment gateway ต่างชาติ และคลินิกที่ส่ง lab test ไป lab ต่างประเทศ

เอกสารที่ต้องเตรียม

รายการ vendor + ประเทศปลายทาง
ประเภทข้อมูลที่โอน
SCC หรือ DPA ที่ vendor เสนอ
หลักฐาน adequacy หรือ safeguards

ข้อควรระวัง (Pitfalls)

assume Google/AWS = safe โดยไม่เซ็น DPA เพิ่มเติม
ใช้ EU SCC ตรงๆ โดยไม่ปรับกับกฎหมายไทย
ไม่มี TIA เมื่อ vendor อยู่ในประเทศที่ไม่มี adequacy

กรณีที่ลูกค้ามักใช้

โอน HR data ไป parent company US
คลินิก IVF ส่ง embryo genetic data ไป lab สหรัฐ
startup ใช้ OpenAI API — ต้องมี DPA + TIA

คำถามที่พบบ่อย

ประเทศไหนถือว่า adequate?: สคส. ยังไม่ประกาศรายชื่อ adequacy อย่างเป็นทางการ ณ ปี 2026 — ต้องใช้ SCC หรือ BCR เป็น default
SCC ต้องยื่น สคส. ไหม?: ไม่ต้องยื่น แต่ต้องเก็บไว้ให้ตรวจสอบและระบุใน ROPA
BCR ใช้ได้กับ group เดียวเท่านั้น?: ใช่ — สำหรับการโอนภายในเครือบริษัท ต้องได้รับอนุมัติ สคส. ก่อนใช้