หน้า ๒

เล่ม ๑๔๓ ตอนพิเศษ ๔๔ ง ราชกิจจานุเบกษา ๑๗ กุมภาพันธ์ ๒๕๖๙

ระเบียบสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล

ว่าด้วยการตรวจสอบและรับรองนโยบายในการคุ้มครองข้อมูลส่วนบุคคล
ในเครือกิจการหรือเครือธุรกิจเดียวกัน

พ.ศ. ๒๕๖๘

โดยที่เป็นการสมควรกำหนดระเบียบสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล ว่าด้วยการตรวจสอบและรับรองนโยบายในการคุ้มครองข้อมูลส่วนบุคคลในเครือกิจการหรือเครือธุรกิจเดียวกัน พ.ศ. ๒๕๖๘ เพื่อใช้เป็นแนวทางในการปฏิบัติสำหรับสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล และหน่วยงานที่ประสงค์อื่นคำขอให้ตรวจสอบและรับรองนโยบายในการคุ้มครองข้อมูลส่วนบุคคล ในเครือกิจการหรือเครือธุรกิจเดียวกัน ให้สอดคล้องกับประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง หลักเกณฑ์การให้ความคุ้มครองข้อมูลส่วนบุคคลที่ส่งหรือโอนไปยังต่างประเทศตามมาตรา ๒๙ แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ พ.ศ. ๒๕๖๖

อาศัยอำนาจตามความในมาตรา ๒๙ วรรคสอง มาตรา ๔๔ (๓) และมาตรา ๖๓ (๒) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ ประกอบข้อ ๕ ข้อ ๖ และข้อ ๗ ของประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง หลักเกณฑ์การให้ความคุ้มครองข้อมูลส่วนบุคคลที่ส่งหรือโอนไปยังต่างประเทศตามมาตรา ๒๙ แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ พ.ศ. ๒๕๖๖ เลขาธิการคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล จึงวางระเบียบไว้ ดังต่อไปนี้

ข้อ ๑ ระเบียบนี้เรียกว่า “ระเบียบสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล ว่าด้วยการตรวจสอบและรับรองนโยบายในการคุ้มครองข้อมูลส่วนบุคคลในเครือกิจการหรือเครือธุรกิจเดียวกัน พ.ศ. ๒๕๖๘”

ข้อ ๒ ระเบียบนี้ให้ใช้บังคับตั้งแต่วันประกาศเป็นต้นไป

ข้อ ๓ ในระเบียบนี้

“นโยบายในการคุ้มครองข้อมูลส่วนบุคคลในเครือกิจการหรือเครือธุรกิจเดียวกัน (Binding Corporate Rules หรือ BCR)” หมายความว่า นโยบายหรือข้อตกลงในการคุ้มครองข้อมูลส่วนบุคคล ที่ผู้ส่งหรือโอนข้อมูลส่วนบุคคลและผู้รับข้อมูลส่วนบุคคลตกลงร่วมกันและมีผลผูกพัน เพื่อกำหนดมาตรการคุ้มครองข้อมูลส่วนบุคคลที่เหมาะสมระหว่างเครือกิจการหรือเครือธุรกิจเดียวกัน

“นโยบายในการคุ้มครองข้อมูลส่วนบุคคลในเครือกิจการหรือเครือธุรกิจเดียวกันสำหรับผู้ควบคุมข้อมูลส่วนบุคคล (BCR for Controllers หรือ BCR-C)” หมายความว่า นโยบายหรือข้อตกลงในการคุ้มครองข้อมูลส่วนบุคคลที่ผู้ส่งหรือโอนข้อมูลส่วนบุคคลและผู้รับข้อมูลส่วนบุคคลตกลงร่วมกัน และมีผลผูกพัน เพื่อกำหนดมาตรการคุ้มครองข้อมูลส่วนบุคคลที่เหมาะสมระหว่างเครือกิจการ

หน้า ๓

เล่ม ๑๔๓ ตอนพิเศษ ๔๔ ง ราชกิจจานุเบกษา ๑๗ กุมภาพันธ์ ๒๕๖๙

หรือเครือธุรกิจเดียวกันที่ใช้บังคับในกรณีที่สมาชิกของนโยบายทำการส่งหรือโอนและประมวลผลข้อมูลส่วนบุคคลในฐานะผู้ควบคุมข้อมูลส่วนบุคคล

“นโยบายในการคุ้มครองข้อมูลส่วนบุคคลในเครือกิจการหรือเครือธุรกิจเดียวกันสำหรับผู้ประมวลผลข้อมูลส่วนบุคคล (BCR for Processors หรือ BCR-P)” หมายความว่า นโยบายหรือข้อตกลงในการคุ้มครองข้อมูลส่วนบุคคลที่ผู้ส่งหรือโอนข้อมูลส่วนบุคคลและผู้รับข้อมูลส่วนบุคคลตกลงร่วมกันและมีผลผูกพัน เพื่อกำหนดมาตรการคุ้มครองข้อมูลส่วนบุคคลที่เหมาะสมระหว่างเครือกิจการหรือเครือธุรกิจเดียวกันที่ใช้บังคับในกรณีที่สมาชิกของนโยบายทำการส่งหรือโอนข้อมูลส่วนบุคคลในฐานะผู้ประมวลผลข้อมูลส่วนบุคคลตามคำสั่งหรือในนามของผู้ควบคุมข้อมูลส่วนบุคคลซึ่งเป็นบุคคลภายนอก

“เครือกิจการหรือเครือธุรกิจเดียวกัน” หมายความว่า กิจการที่ผู้ประกอบกิจการมีอำนาจควบคุมหรือบริหารจัดการเหนือกิจการอื่น หรือกิจการที่ถูกควบคุมโดยผู้ประกอบกิจการที่มีอำนาจเหนือกิจการอื่นในรูปแบบบริษัทใหญ่ บริษัทย่อย หรือบริษัทร่วม รวมทั้งบุคคลธรรมดาหรือนิติบุคคลที่มีความเกี่ยวข้องกันทางกฎหมายหรือเกี่ยวข้องกันเนื่องจากประกอบกิจการหรือธุรกิจร่วมกัน โดยใช้หลักเกณฑ์การพิจารณาตามกฎหมายที่เกี่ยวข้องและมาตรฐานทางบัญชีอันเป็นที่ยอมรับโดยทั่วไป

“สมาชิกของนโยบาย (BCR Member)” หมายความว่า นิติบุคคลภายในเครือกิจการหรือเครือธุรกิจเดียวกันที่ตกลงผูกพันตนตามข้อกำหนดของนโยบายในการคุ้มครองข้อมูลส่วนบุคคลในเครือกิจการหรือเครือธุรกิจเดียวกัน

“สมาชิกของนโยบายผู้รับผิด (Liable BCR Member)” หมายความว่า สมาชิกของนโยบายที่จัดตั้งขึ้นในราชอาณาจักรและมีสำนักงานอยู่ในราชอาณาจักรที่ได้รับการระบุไว้อย่างชัดแจ้งในนโยบายในการคุ้มครองข้อมูลส่วนบุคคลในเครือกิจการหรือเครือธุรกิจเดียวกันว่าตกลงยอมรับผิดและรับผิดชอบในการชดใช้ค่าสินไหมทดแทนสำหรับความเสียหายใด ๆ ที่เกิดจากการละเมิดนโยบายโดยสมาชิกของนโยบายรายอื่นที่อยู่นอกราชอาณาจักร เพื่อเป็นหลักประกันว่าเจ้าของข้อมูลส่วนบุคคลในราชอาณาจักรจะมีช่องทางที่เข้าถึงกระบวนการร้องเรียนได้อย่างมีประสิทธิภาพ และได้รับการเยียวยาความเสียหายผ่านกระบวนการร้องเรียน หรือการใช้สิทธิทางศาลในราชอาณาจักรได้

“ข้อตกลงระหว่างเครือกิจการหรือเครือธุรกิจเดียวกัน (Intra-Group Agreement - IGA)” หมายความว่า สัญญาหรือข้อตกลงที่เป็นลายลักษณ์อักษรซึ่งจัดทำขึ้นระหว่างสมาชิกของนโยบายเพื่อกำหนดสภาพบังคับทางกฎหมายภายในเครือกิจการหรือเครือธุรกิจเดียวกันให้นโยบายในการคุ้มครองข้อมูลส่วนบุคคลในเครือกิจการหรือเครือธุรกิจเดียวกันมีผลผูกพันกับสมาชิกทุกราย

“สิทธิของบุคคลภายนอกผู้รับประโยชน์ (Third-Party Beneficiary Rights)” หมายความว่าสิทธิที่นโยบายในการคุ้มครองข้อมูลส่วนบุคคลในเครือกิจการหรือเครือธุรกิจเดียวกันกำหนดขึ้นอย่างชัดแจ้งโดยไม่มีเงื่อนไข เพื่อให้เจ้าของข้อมูลส่วนบุคคลสามารถใช้สิทธิตามนโยบาย หรือฟ้องร้องบังคับคดีตามข้อกำหนดในนโยบายได้โดยตรงต่อสมาชิกของนโยบายเสมือนหนึ่งเป็นคู่สัญญา

หน้า ๔

เล่ม ๑๔๓ ตอนพิเศษ ๔๔ ง ราชกิจจานุเบกษา ๑๗ กุมภาพันธ์ ๒๕๖๙

“สำนักงาน” หมายความว่า สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล

“เลขาธิการ” หมายความว่า เลขาธิการคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล

“พนักงาน” หมายความว่า บุคคลผู้ที่สำนักงานบรรจุและแต่งตั้งเป็นพนักงาน โดยมีการกำหนดเงื่อนไข การจ้างตามที่ระบุในสัญญาการปฏิบัติงานหรือข้อตกลงการจ้าง

“พนักงานผู้รับผิดชอบ (Case Officer)” หมายความว่า พนักงานที่ผู้อำนวยการสำนักตรวจสอบ และกำกับดูแลมอบหมายให้พิจารณาเนื้อหาของนโยบายในการคุ้มครองข้อมูลส่วนบุคคลในเครือกิจการ หรือเครือธุรกิจเดียวกันพร้อมจัดทำความเห็นเสนอผู้บังคับบัญชาตามลำดับ

หมวด ๑
บททั่วไป

ส่วนที่ ๑
ขอบเขตการบังคับใช้

ข้อ ๔ ระเบียบนี้ให้ใช้เป็นแนวทางในการพิจารณาการยื่นคำขอ การพิจารณา การตรวจสอบ และรับรอง และการกำกับดูแลนโยบายในการคุ้มครองข้อมูลส่วนบุคคลในเครือกิจการหรือเครือธุรกิจเดียวกัน สำหรับการส่งหรือโอนข้อมูลส่วนบุคคลจากประเทศไทยโดยผู้ส่งหรือโอนข้อมูลส่วนบุคคลซึ่งอยู่ในราชอาณาจักร ไปยังผู้รับข้อมูลส่วนบุคคลซึ่งอยู่ต่างประเทศและอยู่ในเครือกิจการหรือเครือธุรกิจเดียวกัน เพื่อการประกอบกิจการหรือธุรกิจร่วมกัน โดยประเทศปลายทางนั้นอาจมีหรือไม่มีมาตรฐานการคุ้มครอง ข้อมูลส่วนบุคคลที่เพียงพอตามที่คณะกรรมการคุ้มครองข้อมูลส่วนบุคคลประกาศกำหนดก็ได้

ระเบียบนี้ครอบคลุมนโยบายในการคุ้มครองข้อมูลส่วนบุคคลในเครือกิจการหรือเครือธุรกิจเดียวกัน ทั้งสองประเภท ได้แก่ นโยบายในการคุ้มครองข้อมูลส่วนบุคคลในเครือกิจการหรือเครือธุรกิจเดียวกัน สำหรับผู้ควบคุมข้อมูลส่วนบุคคล (BCR for Controllers หรือ BCR-C) และนโยบายในการคุ้มครอง ข้อมูลส่วนบุคคลในเครือกิจการหรือเครือธุรกิจเดียวกันสำหรับผู้ประมวลผลข้อมูลส่วนบุคคล (BCR for Processors หรือ BCR-P)

หมวด ๒
หลักการพื้นฐานและประเภทของ
นโยบายในการคุ้มครองข้อมูลส่วนบุคคลในเครือกิจการหรือเครือธุรกิจเดียวกัน

ส่วนที่ ๑
สถานะทางกฎหมายของนโยบาย

หน้า ๕

เล่ม ๑๔๓ ตอนพิเศษ ๔๔ ง ราชกิจจานุเบกษา ๑๗ กุมภาพันธ์ ๒๕๖๙

ข้อ ๕ นโยบายในการคุ้มครองข้อมูลส่วนบุคคลในเครือกิจการหรือเครือธุรกิจเดียวกันที่ได้รับการตรวจสอบและรับรองตามระเบียบนี้ เป็นหนึ่งในเครื่องมือในการส่งหรือโอนข้อมูลส่วนบุคคลไปยังต่างประเทศตามมาตรา ๒๙ แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒

ส่วนที่ ๒

การจำแนกประเภทของนโยบาย

ข้อ ๖ ประเภทของนโยบายในการคุ้มครองข้อมูลส่วนบุคคลในเครือกิจการหรือเครือธุรกิจเดียวกันอาจจำแนกได้สองประเภท ได้แก่ นโยบายในการคุ้มครองข้อมูลส่วนบุคคลในเครือกิจการหรือเครือธุรกิจเดียวกันสำหรับผู้ควบคุมข้อมูลส่วนบุคคล (BCR for Controllers หรือ BCR-C) หรือนโยบายในการคุ้มครองข้อมูลส่วนบุคคลในเครือกิจการหรือเครือธุรกิจเดียวกันสำหรับผู้ประมวลผลข้อมูลส่วนบุคคล (BCR for Processors หรือ BCR-P)

หมวด ๓

การยื่นคำขอตรวจสอบและรับรอง

นโยบายในการคุ้มครองข้อมูลส่วนบุคคลในเครือกิจการหรือเครือธุรกิจเดียวกัน

ส่วนที่ ๑

การพิจารณาคุณสมบัติของผู้ยื่นคำขอตรวจสอบและรับรอง

ข้อ ๗ ผู้ยื่นคำขอต้องเป็นสมาชิกของเครือกิจการหรือเครือธุรกิจเดียวกัน ในการพิจารณาคำขอตรวจสอบและรับรองนโยบาย ให้สำนักงานพิจารณาว่าผู้ยื่นคำขอนั้นได้จัดตั้งขึ้นตามกฎหมายไทย และมีสถานประกอบการในราชอาณาจักรหรือไม่ โดยสำนักงานอาจพิจารณาจากลักษณะอย่างใดอย่างหนึ่งดังต่อไปนี้

(๑) เป็นสำนักงานใหญ่ของเครือกิจการหรือเครือธุรกิจเดียวกันในราชอาณาจักร

(๒) ในกรณีที่เครือกิจการหรือเครือธุรกิจเดียวกันไม่มีสำนักงานใหญ่ในราชอาณาจักร ผู้ยื่นคำขอต้องเป็นสมาชิกที่ได้รับมอบหมายให้มีหน้าที่รับผิดชอบด้านการคุ้มครองข้อมูลส่วนบุคคลในราชอาณาจักร นิติบุคคลผู้ยื่นคำขอตามวรรคหนึ่ง ต้องเป็นนิติบุคคลเดียวกับที่ถูกกำหนดให้เป็นสมาชิกของนโยบายผู้รับผิด

ส่วนที่ ๒

การตรวจสอบและรับรอง

ข้อ ๘ ให้ผู้ยื่นคำขอจัดทำคำขอและเอกสารประกอบคำขอตรวจสอบและรับรองเป็นภาษาไทย โดยสำนักงานอาจกำหนดแบบสำหรับการยื่นคำขอเพื่ออำนวยความสะดวกก็ได้ กรณีที่เอกสารประกอบคำขอ

หน้า ๖

เล่ม ๑๔๓ ตอนพิเศษ ๔๔ ง ราชกิจจานุเบกษา ๑๗ กุมภาพันธ์ ๒๕๖๙

เป็นภาษาต่างประเทศ เพื่อความสะดวกรวดเร็วและสอดคล้องกับกฎหมายว่าด้วยวิธีปฏิบัติราชการทางปกครอง ผู้ยื่นคำขอควรจัดทำคำแปลเป็นภาษาไทยที่มีการรับรองความถูกต้องมาพร้อมด้วยซึ่งประกอบด้วยเอกสารอย่างน้อย ดังต่อไปนี้

(๑) คำขอให้ตรวจสอบและรับรองนโยบายในการคุ้มครองข้อมูลส่วนบุคคลในเครือกิจการหรือเครือธุรกิจเดียวกันตามประเภทที่ถูกต้อง (BCR-C หรือ BCR-P) โดยต้องมีรายละเอียดสำคัญถูกต้องครบถ้วนตามที่กำหนดไว้ในข้อ ๗ ของประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่องหลักเกณฑ์การให้ความคุ้มครองข้อมูลส่วนบุคคลที่ส่งหรือโอนไปยังต่างประเทศตามมาตรา ๒๙ แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ พ.ศ. ๒๕๖๖

(๒) เอกสารนโยบายในการคุ้มครองข้อมูลส่วนบุคคลในเครือกิจการหรือเครือธุรกิจเดียวกันฉบับสมบูรณ์พร้อมภาคผนวกของนโยบายนั้นทั้งหมด เช่น รายชื่อสมาชิกของนโยบายที่ผูกพันตามนโยบาย

(๓) เครื่องมือทางกฎหมายที่ใช้กำหนดสภาพบังคับ (Binding Instrument) เช่น ร่างข้อตกลงระหว่างเครือกิจการ (Intra-Group Agreement - IGA)

(๔) เพื่อประโยชน์ในการพิจารณาคำขอให้เป็นไปอย่างรวดเร็วและมีประสิทธิภาพ ผู้ยื่นคำขออาจนำส่งตารางตรวจสอบองค์ประกอบและหลักการ (Referential Checklist) ตามประเภทของนโยบายที่ถูกต้อง (BCR-C หรือ BCR-P) เพื่อใช้ในการประกอบการพิจารณาคำขอให้ตรวจสอบและรับรองนโยบายในการคุ้มครองข้อมูลส่วนบุคคลในเครือกิจการหรือเครือธุรกิจเดียวกัน โดยตารางตรวจสอบองค์ประกอบและหลักการดังกล่าวควรมีการอ้างอิงข้อกำหนดแต่ละข้อตามระเบียบนี้ไปยังเนื้อหาส่วนที่เกี่ยวข้องในเอกสารนโยบายในการคุ้มครองข้อมูลส่วนบุคคลในเครือกิจการหรือเครือธุรกิจเดียวกัน และเครื่องมือทางกฎหมายที่ใช้กำหนดสภาพบังคับ

(๕) เอกสารประกอบอื่น ๆ ที่มีการอ้างอิงถึงในนโยบาย (ถ้ามี) เช่น นโยบายการคุ้มครองข้อมูลส่วนบุคคลฉบับเต็ม ระเบียบปฏิบัติต้านการตรวจสอบ หรือเอกสารการฝึกอบรม

(๖) หนังสือรับรองความเป็นนิติบุคคลที่รับรองโดยหน่วยงานของรัฐในราชอาณาจักรที่มีอำนาจ

(๗) หนังสือมอบอำนาจให้ยื่นคำขอตรวจสอบและรับรองแทนที่มีรายละเอียดเรื่องที่มอบอำนาจและติดอากรแสตมป์ที่ถูกต้องครบถ้วน และลงนามโดยผู้มอบอำนาจและผู้รับมอบอำนาจ พร้อมแนบสำเนาบัตรประจำตัวประชาชน สำเนาหนังสือเดินทาง หรือสำเนาเอกสารประจำตัวอื่นของผู้มอบอำนาจและผู้รับมอบอำนาจซึ่งออกโดยราชการซึ่งรับรองสำเนาถูกต้องโดยผู้มอบอำนาจและผู้รับมอบอำนาจ กรณีที่มีการมอบอำนาจให้ยื่นคำขอตรวจสอบและรับรองแทน

(๘) เอกสารประกอบอื่น ๆ (ถ้ามี)

การรับรองคำแปลตามวรรคหนึ่ง ให้กระทำโดยทนายความผู้ได้รับใบอนุญาตให้รับรองลายมือชื่อและเอกสาร (Notary Public) หรือบุคคลตามที่ระบุไว้ในกฎกระทรวง (พ.ศ. ๒๕๔๐) ออกตามความในพระราชบัญญัติวิธีปฏิบัติราชการทางปกครอง พ.ศ. ๒๕๓๙ มาตรา ๒๖ วรรคสอง

หน้า ๗

เล่ม ๑๔๓ ตอนพิเศษ ๔๔ ง ราชกิจจานุเบกษา ๑๗ กุมภาพันธ์ ๒๕๖๙

ส่วนที่ ๓

ช่องทางสำหรับยื่นคำขอตรวจสอบและรับรอง

ข้อ ๙ ให้สำนักงานจัดให้มีช่องทางสำหรับยื่นคำขอตรวจสอบและรับรอง ดังต่อไปนี้
(๑) ยื่นโดยตรงต่อสำนักงาน
(๒) ยื่นผ่านทางไปรษณีย์มายังสำนักงาน
(๓) ยื่นผ่านทางไปรษณีย์อิเล็กทรอนิกส์
(๔) ยื่นผ่านทางช่องทางอื่นใดตามที่สำนักงานกำหนด

ผู้ยื่นคำขอต้องยื่นคำขอตรวจสอบและรับรองผ่านช่องทางใดช่องทางหนึ่งตามวรรคหนึ่งเพียงช่องทางเดียวเท่านั้น

ส่วนที่ ๔

ขั้นตอนการยื่นคำขอตรวจสอบและรับรอง

ข้อ ๑๐ เมื่อสำนักงานได้รับคำขอแล้ว ให้ดำเนินการตามขั้นตอน ดังนี้
(๑) การรับคำขอและการตรวจสอบความสมบูรณ์ (Application Receipt & Administrative Check)
สำนักงานจะตรวจสอบความถูกต้องครบถ้วนของเอกสารตามข้อ ๘ หากถูกต้องครบถ้วน ให้พนักงานออกใบรับคำขอ โดยระบุวันที่ที่รับคำขอและรหัสอ้างอิงในการรับคำขอให้แก่ผู้ยื่นคำขอ หากเอกสารไม่ครบถ้วนจะแจ้งให้ผู้ยื่นคำขอจัดส่งเพิ่มเติมภายในระยะเวลาที่กำหนด
(๒) การประเมินเบื้องต้นและการมอบหมายผู้รับผิดชอบ (Preliminary Assessment & Assignment)
เมื่อเอกสารครบถ้วน สำนักงานจะทำการประเมินเบื้องต้นเพื่อทำความเข้าใจภาพรวมและจำแนกประเภทของนโยบายในการคุ้มครองข้อมูลส่วนบุคคลในเครือกิจการหรือเครือธุรกิจเดียวกัน พร้อมทั้งมอบหมายให้พนักงานผู้รับผิดชอบ (Case Officer) เป็นผู้ดำเนินการพิจารณาในขั้นตอนต่อไป

ส่วนที่ ๕

กระบวนการพิเศษสำหรับนโยบายในการคุ้มครองข้อมูลส่วนบุคคลในเครือกิจการหรือเครือธุรกิจเดียวกัน

ที่ได้รับการรับรองจากหน่วยงานกำกับดูแลอื่น

ข้อ ๑๑ นโยบายในการคุ้มครองข้อมูลส่วนบุคคลในเครือกิจการหรือเครือธุรกิจเดียวกันที่ได้รับการตรวจสอบและรับรองตามกฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคลของสหภาพยุโรป (Regulation (EU) 2016/679 of the European Parliament and of the Council of 27 April 2016 on the protection of natural persons with regard to the processing of personal data and on the free movement of such data, and repealing Directive 95/46/EC (General Data Protection Regulation)) หรือกฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคล

หน้า ๘

เล่ม ๑๔๓ ตอนพิเศษ ๔๔ ง ราชกิจจานุเบกษา ๑๗ กุมภาพันธ์ ๒๕๖๙

ของสหราชอาณาจักร (UK GDPR) หรือจากประเทศไทยตามที่คณะกรรมการคุ้มครองข้อมูลส่วนบุคคล ประกาศกำหนดตามมาตรา ๒๘ แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ แล้ว ผู้ยื่นคำขออาจยื่นคำขอตรวจสอบและรับรองตามกระบวนการพิเศษได้ตามที่กำหนดไว้ในส่วนนี้

ผู้ยื่นคำขอตามวรรคหนึ่ง อาจยื่นเอกสารดังต่อไปนี้แทนเอกสารประกอบคำขอตามข้อ ๘ กรณีที่เอกสารประกอบคำขอเป็นภาษาต่างประเทศ เพื่อความสะดวกรวดเร็วและสอดคล้องกับกฎหมาย ว่าด้วยวิธีปฏิบัติราชการทางปกครอง ผู้ยื่นคำขอควรจัดทำคำแปลเป็นภาษาไทยที่มีการรับรอง ความถูกต้องมาพร้อมด้วย

(๑) หลักฐานที่แสดงว่านโยบายในการคุ้มครองข้อมูลส่วนบุคคลในเครือกิจการหรือเครือธุรกิจเดียวกัน ได้รับการรับรองจากหน่วยงานกำกับดูแล (Supervisory Authority) ที่มีอำนาจของสหภาพยุโรป หรือสหราชอาณาจักร หรือจากประเทศไทยตามที่คณะกรรมการคุ้มครองข้อมูลส่วนบุคคลประกาศกำหนด ตามมาตรา ๒๘ แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒

(๒) สำเนาเอกสารนโยบายในการคุ้มครองข้อมูลส่วนบุคคลในเครือกิจการหรือเครือธุรกิจเดียวกัน ฉบับที่ได้รับการรับรองดังกล่าว

(๓) เอกสาร “ข้อกำหนดเพิ่มเติมสำหรับประเทศไทย” (Thai BCR Addendum) ซึ่งควรมี เนื้อหาอย่างน้อย ดังต่อไปนี้

(ก) การระบุชื่อสมาชิกของนโยบายผู้รับผิดที่จัดตั้งขึ้นในประเทศไทย

(ข) การยืนยันว่าเจ้าของข้อมูลส่วนบุคคลในประเทศไทยมีสิทธิของบุคคลภายนอกผู้รับประโยชน์ ที่สามารถร้องเรียน และฟ้องร้องบังคับคดีตามนโยบายในการคุ้มครองข้อมูลส่วนบุคคลในเครือกิจการ หรือเครือธุรกิจเดียวกันได้ในราชอาณาจักร

(ค) การยอมรับอำนาจกำกับดูแลของสำนักงานและเขตอำนาจศาลไทยในประเด็น ที่เกี่ยวข้องกับนโยบายในการคุ้มครองข้อมูลส่วนบุคคลในเครือกิจการหรือเครือธุรกิจเดียวกัน

(ง) การชี้แจงหรือเพิ่มเติมข้อกำหนดอื่นใดเพื่อให้สอดคล้องกับพระราชบัญญัติคุ้มครอง ข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ อนุบัญญัติที่เกี่ยวข้อง และระเบียบนี้

ให้นำความในข้อ ๘ วรรคสอง มาใช้กับการรับรองตามข้อนี้โดยอนุโลม

หมวด ๕

องค์ประกอบและหลักการสำคัญของ

นโยบายในการคุ้มครองข้อมูลส่วนบุคคลในเครือกิจการหรือเครือธุรกิจเดียวกัน

ข้อ ๑๒ ในการรับรองนโยบายในการคุ้มครองข้อมูลส่วนบุคคลในเครือกิจการหรือเครือธุรกิจเดียวกัน ที่ยื่นขอรับการตรวจสอบและรับรอง ให้สำนักงานพิจารณาเนื้อหาและหลักการสำคัญ ดังต่อไปนี้

หน้า ๙

เล่ม ๑๔๓ ตอนพิเศษ ๔๔ ง ราชกิจจานุเบกษา ๑๗ กุมภาพันธ์ ๒๕๖๙

(๑) การมีผลและสภาพบังคับในทางกฎหมาย โดยนโยบายในการคุ้มครองข้อมูลส่วนบุคคลในเครือกิจการหรือเครือธุรกิจเดียวกันแสดงให้เห็นอย่างเหมาะสมถึงกลไกที่สร้างสภาพบังคับทางกฎหมายทั้งภายในและภายนอกเครือกิจการหรือเครือธุรกิจเดียวกัน

(๒) การบังคับใช้อย่างมีประสิทธิผล นโยบายในการคุ้มครองข้อมูลส่วนบุคคลในเครือกิจการหรือเครือธุรกิจเดียวกันแสดงให้เห็นอย่างเหมาะสมถึงกลไกที่สามารถตรวจสอบได้เพื่อให้แน่ใจว่ามีการปฏิบัติตามนโยบายในทางปฏิบัติอย่างแท้จริง

(๓) หน้าที่ในการให้ความร่วมมือ นโยบายในการคุ้มครองข้อมูลส่วนบุคคลในเครือกิจการหรือเครือธุรกิจเดียวกันมีข้อความที่ระบุอย่างชัดแจ้งและมีเงื่อนไขว่าสมาชิกของนโยบายทุกรายตกลงที่จะให้ความร่วมมือกับสำนักงานในการปฏิบัติหน้าที่ ยอมรับการตรวจสอบจากสำนักงาน และปฏิบัติตามคำแนะนำและคำสั่งของสำนักงานในประเด็นที่เกี่ยวข้องกับนโยบาย สำหรับนโยบายในการคุ้มครองข้อมูลส่วนบุคคลในเครือกิจการหรือเครือธุรกิจเดียวกันสำหรับผู้ประมวลผลข้อมูลส่วนบุคคล (BCR-P) ควรมีข้อกำหนดเพิ่มเติมเกี่ยวกับหน้าที่ในการให้ความร่วมมือและช่วยเหลือผู้ควบคุมข้อมูลส่วนบุคคลซึ่งเป็นบุคคลภายนอกในการปฏิบัติตามกฎหมาย

(๔) ข้อกำหนดที่รับรองการคุ้มครองข้อมูลส่วนบุคคล นโยบายในการคุ้มครองข้อมูลส่วนบุคคลในเครือกิจการหรือเครือธุรกิจเดียวกันได้กำหนดสิทธิของเจ้าของข้อมูลส่วนบุคคลและการร้องเรียนสำหรับข้อมูลส่วนบุคคลที่ถูกส่งหรือโอนไปยังต่างประเทศในเครือกิจการหรือเครือธุรกิจเดียวกัน

(๕) มาตรการคุ้มครองข้อมูลส่วนบุคคล นโยบายในการคุ้มครองข้อมูลส่วนบุคคลในเครือกิจการหรือเครือธุรกิจเดียวกันแสดงให้เห็นอย่างเหมาะสมถึงหลักการคุ้มครองข้อมูลส่วนบุคคลตามกฎหมายเข้าไว้เป็นส่วนหนึ่งของข้อผูกพัน ซึ่งอย่างน้อยต้องประกอบด้วยหลักการพื้นฐานด้านการคุ้มครองข้อมูลส่วนบุคคล มาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสมซึ่งต้องเป็นไปตามมาตรฐานขั้นต่ำตามที่กฎหมายกำหนด

(๖) ความรับผิดชอบและกลไกสนับสนุนอื่น ๆ นโยบายในการคุ้มครองข้อมูลส่วนบุคคลในเครือกิจการหรือเครือธุรกิจเดียวกันควรแสดงให้เห็นถึงกลไกความรับผิดชอบ (Accountability) อื่น ๆ เช่น การจัดทำและเก็บรักษาบันทึกรายการกิจกรรมการประมวลผลข้อมูลส่วนบุคคล (Record of Processing Activities หรือ ROPA) และแนวทางการประเมินความเสี่ยง เป็นต้น

หมวด ๕
กระบวนการพิจารณาและการรับรองของสำนักงาน

ส่วนที่ ๑
การตรวจสอบความสมบูรณ์ของคำขอ

ข้อ ๑๓ สำนักงานจะดำเนินการตรวจสอบความถูกต้องครบถ้วนของเอกสารประกอบคำขอตรวจสอบและรับรองตามที่กำหนดในข้อ ๘ ภายใน ๑๕ วัน นับแต่วันที่ได้รับคำขอ หากถูกต้องครบถ้วน

หน้า ๑๐

เล่ม ๑๔๓ ตอนพิเศษ ๔๔ ง ราชกิจจานุเบกษา ๑๗ กุมภาพันธ์ ๒๕๖๙

ให้พนักงานออกใบรับคำขอ โดยระบุวันที่ที่รับคำขอและรหัสอ้างอิงในการรับคำขอให้แก่ผู้ยื่นคำขอ หากพบว่าไม่ถูกต้องหรือไม่ครบถ้วน ให้สำนักงานแจ้งให้ผู้ยื่นคำขอดำเนินการแก้ไขหรือจัดส่งเอกสาร ประกอบคำขอเพิ่มเติมภายในระยะเวลาที่เหมาะสม

ส่วนที่ ๒
การพิจารณาเชิงเนื้อหา

ข้อ ๑๔ หากคำขอตรวจสอบและรับรองมีความครบถ้วนสมบูรณ์ตามข้อ ๑๓ แล้ว ให้พนักงานผู้รับผิดชอบ (Case Officer) ดำเนินการพิจารณาเนื้อหาของนโยบายในการคุ้มครองข้อมูล ส่วนบุคคลในเครือกิจการหรือเครือธุรกิจเดียวกันและเอกสารประกอบโดยละเอียด

ในระหว่างการพิจารณา สำนักงานอาจมีหนังสือร้องขอข้อมูลเพิ่มเติมหรือหนังสือร้องขอให้แก้ไข ไปยังผู้ยื่นคำขอหรือผู้รับมอบอำนาจเพื่อขอให้ชี้แจงประเด็นที่ยังไม่ชัดเจน หรือแก้ไขเนื้อหาส่วนที่ยังไม่สอดคล้อง กับหลักเกณฑ์ตามประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง หลักเกณฑ์การให้ความคุ้มครอง ข้อมูลส่วนบุคคลที่ส่งหรือโอนไปยังต่างประเทศตามมาตรา ๒๙ แห่งพระราชบัญญัติคุ้มครองข้อมูล ส่วนบุคคล พ.ศ. ๒๕๖๒ พ.ศ. ๒๕๖๖

ส่วนที่ ๓
การจัดทำความเห็นและการพิจารณา

ข้อ ๑๕ เมื่อได้รับข้อมูลหรือเอกสารฉบับแก้ไขที่ครบถ้วนสมบูรณ์จากผู้ยื่นคำขอ และกระบวนการพิจารณาเชิงเนื้อหาเสร็จสิ้นแล้ว ให้พนักงานผู้รับผิดชอบ (Case Officer) จัดทำ รายงานสรุปผลการพิจารณาพร้อมความเห็นเสนอผู้บังคับบัญชาตามลำดับ ก่อนเสนอเลขาธิการพิจารณา นโยบายในการคุ้มครองข้อมูลส่วนบุคคลในเครือกิจการหรือเครือธุรกิจเดียวกัน ตามผลการพิจารณา ดังต่อไปนี้

(๑) รับรอง หากนโยบายมีองค์ประกอบและหลักการครบถ้วนตามที่กำหนดในประกาศ คณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง หลักเกณฑ์การให้ความคุ้มครองข้อมูลส่วนบุคคล ที่ส่งหรือโอนไปยังต่างประเทศตามมาตรา ๒๙ แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ พ.ศ. ๒๕๖๖

(๒) รับรองโดยมีเงื่อนไข หากนโยบายมีความสอดคล้องในสาระสำคัญ แต่อาจต้องมีการแก้ไข ข้อความหรือดำเนินการบางประการให้แล้วเสร็จภายในระยะเวลาที่กำหนดก่อนที่การรับรองจะมีผลสมบูรณ์

(๓) ไม่รับรอง หากนโยบายไม่สอดคล้องกับประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง หลักเกณฑ์การให้ความคุ้มครองข้อมูลส่วนบุคคลที่ส่งหรือโอนไปยังต่างประเทศตามมาตรา ๒๙ แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ พ.ศ. ๒๕๖๖

หน้า ๑๑

เล่ม ๑๔๓ ตอนพิเศษ ๔๔ ง ราชกิจจานุเบกษา ๑๗ กุมภาพันธ์ ๒๕๖๙

กรณีผลการพิจารณาเป็นไปตามข้อ ๑๕ (๑) ให้สำนักงานออกหนังสือรับรองตามแบบที่กำหนดในภาคผนวก ก - ง ท้ายระเบียบนี้ หากผลการพิจารณาเป็นไปตามข้อ ๑๕ (๒) หรือ (๓) ให้สำนักงานมีหนังสือแจ้งผลการพิจารณาไปยังผู้ยื่นคำขอทราบ

ส่วนที่ ๔
ระยะเวลาการพิจารณา

ข้อ ๑๖ สำนักงานจะดำเนินการพิจารณาเนื้อหาของนโยบายในการคุ้มครองข้อมูลส่วนบุคคลในเครือกิจการหรือเครือธุรกิจเดียวกันให้แล้วเสร็จภายในระยะเวลา ๑๘๐ วัน นับแต่วันที่เอกสารประกอบคำขอตรวจสอบและรับรองถูกต้องครบถ้วนตามข้อ ๘ ทั้งนี้ หากพ้นกำหนดระยะเวลาดังกล่าว แล้วยังพิจารณาไม่แล้วเสร็จด้วยเหตุจำเป็นอื่นอันไม่อาจก้าวล่วงได้ ให้พนักงานผู้รับผิดชอบ (Case Officer) พิจารณาเนื้อหาของนโยบายให้แล้วเสร็จโดยเร็วพร้อมรายงานเหตุขัดข้องต่อผู้บังคับบัญชาตามลำดับจนถึงเลขาธิการ ทั้งนี้ ระยะเวลาการพิจารณาขึ้นอยู่กับความซับซ้อนของโครงสร้างองค์กร ลักษณะของข้อมูล และความสมบูรณ์ของเอกสารที่ผู้ยื่นคำขอได้จัดทำมา

ส่วนที่ ๕
ระยะเวลาการมีผลและการทบทวนการรับรอง

ข้อ ๑๗ การรับรองนโยบายในการคุ้มครองข้อมูลส่วนบุคคลในเครือกิจการหรือเครือธุรกิจเดียวกันที่ออกโดยสำนักงานไม่มีกำหนดระยะเวลาสิ้นสุด และจะยังคงมีผลบังคับใช้ตราบเท่าที่ยังไม่มีการแก้ไขเปลี่ยนแปลง หรือเพิกถอนโดยสำนักงาน

หมวด ๖
การอุทธรณ์

ข้อ ๑๘ กรณีที่ผู้ยื่นคำขอไม่เห็นด้วยกับผลการพิจารณาตามข้อ ๑๕ (๒) หรือ (๓) ผู้ยื่นคำขอสามารถยื่นอุทธรณ์ผลการพิจารณาได้ เว้นแต่บทบัญญัติแห่งกฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคลจะกำหนดไว้เป็นอย่างอื่น การอุทธรณ์และวิธีพิจารณาอุทธรณ์ ให้ผู้ยื่นคำขอและสำนักงานนำกฎหมายว่าด้วยวิธีปฏิบัติราชการทางปกครองมาใช้โดยอนุโลม

ค่าธรรมเนียมหรือค่าบริการ

ข้อ ๑๙ การดำเนินการตามระเบียบนี้ไม่มีการเรียกเก็บค่าธรรมเนียมหรือค่าบริการ

หน้า ๑๒
เล่ม ๑๔๓ ตอนพิเศษ ๔๔ ง ราชกิจจานุเบกษา ๑๗ กุมภาพันธ์ ๒๕๖๙

บทเฉพาะกาล

ข้อ ๒๐ กรณีที่ผู้ยื่นคำขอได้ยื่นนโยบายในการคุ้มครองข้อมูลส่วนบุคคลในเครือกิจการหรือเครือธุรกิจเดียวกันให้สำนักงาน และสำนักงานได้ดำเนินการตรวจสอบเรียบร้อยแล้วก่อนระเบียบนี้ประกาศให้สำนักงานดำเนินการรับรอง โดยผู้ยื่นคำขอไม่ต้องยื่นคำขอตรวจสอบและรับรองหรือเอกสารประกอบการพิจารณาใหม่ เว้นแต่มีเหตุอันสมควรที่ต้องขอเอกสารประกอบการพิจารณาเพิ่มเติม

นโยบายในการคุ้มครองข้อมูลส่วนบุคคลในเครือกิจการหรือเครือธุรกิจเดียวกันที่สำนักงานยังไม่ได้ดำเนินการตรวจสอบให้แล้วเสร็จ หรืออยู่ระหว่างดำเนินการ ให้สำนักงานดำเนินการต่อไปได้ภายใต้ระเบียบนี้ ทั้งนี้ สำนักงานอาจขอเอกสารประกอบคำขอตรวจสอบและรับรองเพิ่มเติมได้

ข้อ ๒๑ ในกรณีที่สำนักงานได้ตรวจสอบและรับรองนโยบายในการคุ้มครองข้อมูลส่วนบุคคลในเครือกิจการหรือเครือธุรกิจเดียวกันไปก่อนวันที่ระเบียบฉบับนี้จะมีผลใช้บังคับ ให้นโยบายนั้นยังมีสภาพบังคับต่อไปตามที่ได้รับการรับรองไว้ และให้ถือว่าเป็นนโยบายที่ได้รับการรับรองภายใต้ระเบียบนี้ โดยสมาชิกของนโยบายผู้รับผิดมีหน้าที่ในการปฏิบัติตามเงื่อนไขต่าง ๆ ของระเบียบนี้

ประกาศ ณ วันที่ ๒๙ กันยายน พ.ศ. ๒๕๖๘
พันตำรวจเอก สุรพงศ์ เปล่งขำ
เลขาธิการคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล

• ๑๑ -

ภาคผนวก

(๑) ภาคผนวก ก แบบหนังสือรับรองฉบับภาษาไทย

(๒) ภาคผนวก ข แบบหนังสือรับรองฉบับภาษาอังกฤษ

(๓) ภาคผนวก ค แบบประกาศนียบัตรฉบับภาษาไทย

(๔) ภาคผนวก ง แบบประกาศนียบัตรฉบับภาษาอังกฤษ

ที่

สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล
๑๒๐ หมู่ ๓ ชั้น ๕ - ๗ ศูนย์ราชการเฉลิมพระเกียรติ
๘๐ พรรษา ๕ ธันวาคม (อาคาร ชี) ซอยแจ้งวัฒนะ ๗
ถนนแจ้งวัฒนะ เลขวงคุ้มครอง เขตหลักสี่ กรุงเทพฯ
๑๐๒๑๐

หนังสือรับรอง

หนังสือฉบับนี้ให้ไว้เพื่อรับรองว่า นโยบายในการคุ้มครองข้อมูลส่วนบุคคลในเครือกิจการ
หรือเครือธุรกิจเดียวกัน (binding corporate rules) ของ ชื่อหน่วยงาน มีหลักเกณฑ์และมาตรฐานการคุ้มครอง
ข้อมูลส่วนบุคคลตามที่ระบุไว้ในกฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคล กฎหมายลำดับรอง และประกาศ
ที่เกี่ยวข้อง

ให้ไว้ ณ วันที่

พันตำรวจเอก
(สุรพงศ์ เปล่งขำ)
เลขาธิการคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล

The Office of the Personal Data Protection Committee
120, Moo 3, 5th–7th Floors, Government Complex
Building C, Chaeng Watthana Soi 7, Chaeng Watthana Road,
Thung Song Hong, Lak Si, Bangkok 10210

No.

CERTIFICATE

This is to certify that the Binding Corporate Rules (BCR) of COMPANY NAME have been approved as complying with the principles and standards of personal data protection as prescribed under the Personal Data Protection Act B.E. 2562 (2019), together with its subordinate legislations and relevant notifications.

Issued on this th day of September, B.E. 2568 (2025).

Police Colonel
(Suraphong Plengkham)
Secretary-General of The Personal Data Protection Committee

หนังสือรับรอง

สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล
ขอรับรองว่า

ชื่อหน่วยงาน

มีนโยบายในการคุ้มครองข้อมูลส่วนบุคคลในเครือกิจการหรือเครือธุรกิจเดียวกัน
ที่ผ่านการตรวจสอบและรับรองจากสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล
ว่ามีหลักเกณฑ์และมาตรฐานการคุ้มครองข้อมูลส่วนบุคคลตามที่ระบุไว้ในกฎหมาย
ว่าด้วยการคุ้มครองข้อมูลส่วนบุคคล กฎหมายลำดับรอง และประกาศที่เกี่ยวข้อง

ให้ไว้ ณ วันที่　　กันยายน พ.ศ. 2568

พันตำรวจเอก
(สุรพงศ์ เปล่งขำ)
เลขาธิการคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล

pdpc
ਰਸਰ.
ਟੀਚਾ ਪਲੇਟਫੋਰ ਡੇਅਰ
ਉਦਾਹਰਨੀ ਪੁਨਰਗੇ

CERTIFICATE

OF BCR APPROVAL

The Office of the Personal Data Protection Committee is presented to

COMPANY NAME

For Binding Corporate Rules (BCR) have been approved as complying with the principles and standards of personal data protection as prescribed under the Personal Data Protection Act B.E. 2562 (2019), together with its subordinate legislations and relevant notifications.

on September, 2025

Police Colonel
(Suraphong Plengkham)
Secretary-General of The Personal Data Protection Committee