Cloud Hosting กับ PDPA: 'ข้อมูลอยู่ในไทย' หมายความว่าอย่างไรจริง ๆ

ผู้ให้บริการคลาวด์ระดับโลกตอนนี้เปิดรีเจียนที่ตั้งอยู่ในไทยจริง ๆ มีประโยชน์จริง แต่ก็ถูกเข้าใจผิดบ่อยเช่นกัน "ข้อมูลของเราโฮสต์อยู่ในไทย" กลายเป็นประโยคที่ธุรกิจหยิบมาใช้เมื่อมีคนถามเรื่องการปฏิบัติตาม PDPA ราวกับที่ตั้งเซิร์ฟเวอร์ตอบคำถามได้ทั้งหมด แต่มันเป็นแค่ปัจจัยหนึ่งในคำตอบที่ใหญ่กว่านั้นเยอะ

Residency ไม่ใช่ Sovereignty

การโฮสต์ในไทยรองรับ data residency แปลว่าข้อมูลที่เลือกไว้ถูกจัดเก็บภายในพรมแดนไทย แต่นั่นแคบกว่า อธิปไตยข้อมูลเต็มรูปแบบมาก ซึ่งหมายถึงกฎหมายไทยมีอำนาจเด็ดขาดเหนือข้อมูลนั้นไม่ว่าใครดำเนินการ โครงสร้างพื้นฐาน ผู้ให้บริการ cloud hosting ระดับโลกที่มีรีเจียนกรุงเทพฯ ยังคงดำเนินงานภายใต้โครงสร้าง องค์กรของตัวเอง แบ็กอัป สำเนาสำรอง หรือการเข้าถึงเพื่อซัพพอร์ตยังอาจแตะระบบนอกไทยได้ ขึ้นอยู่กับการตั้งค่า บัญชี การเลือกรีเจียนไทยคือก้าวที่มีความหมาย แต่ไม่ใช่ใบรับรองการปฏิบัติตามกฎหมายในตัวมันเอง

สิ่งที่ PDPA เรียกร้องจริง ๆ

พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคลของไทยควบคุมวิธีเก็บ รักษาความปลอดภัย ใช้ เปิดเผย และโอนย้ายข้อมูล ส่วนบุคคล มีผลไม่ว่าคุณใช้คลาวด์เจ้าไหน ตั้งแต่มีนาคม 2024 กฎการโอนข้อมูลข้ามพรมแดนควบคุมโดยเฉพาะว่า ข้อมูลส่วนบุคคลของไทยออกนอกประเทศได้อย่างไรตามกฎหมาย สำคัญโดยตรงกับร้านค้าที่ใช้เกตเวย์ชำระเงิน ระหว่างประเทศ เครื่องมือการตลาด หรือแพลตฟอร์ม analytics ที่ประมวลผลข้อมูลในต่างประเทศเป็นเรื่องปกติ

ทั้งหมดนี้ไม่ได้แปลว่าต้องหลีกเลี่ยงผู้ให้บริการคลาวด์ระดับโลก แต่แปลว่าควรมองการปฏิบัติตามกฎหมายเป็น คำถามเรื่องการตั้งค่าและกระบวนการ ไม่ใช่ช่องติ๊กทางการตลาด:

• รู้ว่าคุณเก็บข้อมูลส่วนบุคคลอะไรบ้างจริง ๆ และแต่ละส่วนถูกประมวลผลที่ไหน รวมถึงโดยเครื่องมือ บุคคลที่สามที่เชื่อมต่อกับร้านค้าของคุณ
• เข้ารหัสข้อมูลทั้งระหว่างส่งและขณะจัดเก็บ จัดการว่าใครเข้าถึงได้ ไม่ใช่พึ่งค่าเริ่มต้น
• ทบทวนการโอนข้ามพรมแดนอย่างจงใจ เกตเวย์ชำระเงิน แพลตฟอร์มอีเมล analytics ไม่ใช่ยอมรับสิ่งที่ ปลั๊กอินทำโดยค่าเริ่มต้น
• เขียนเรื่องนี้เป็นลายลักษณ์อักษรกับผู้ให้บริการ ความรับผิดชอบในการรักษาความปลอดภัยเนื้อหาและการ เข้าถึงมักตกอยู่ที่คุณในฐานะลูกค้า ไม่ใช่ผู้ให้บริการคลาวด์โดยอัตโนมัติ แม้เซิร์ฟเวอร์จะอยู่ในประเทศก็ตาม

Data Processing Agreement คุ้มค่าที่จะอ่านจริง ๆ

ผู้ให้บริการที่ประมวลผลข้อมูลส่วนบุคคลแทนคุณ ทั้งผู้ให้บริการโฮสติ้ง เกตเวย์ชำระเงิน แพลตฟอร์มอีเมล เครื่องมือ analytics ควรมี Data Processing Agreement ที่ระบุชัดว่าพวกเขาทำอะไรกับข้อมูล ข้อมูลไปที่ไหน และจะเกิดอะไรขึ้นถ้ามีอะไรผิดพลาด ในทางปฏิบัติหลายฉบับถูกกดยอมรับโดยไม่มีใครอ่านเป็นส่วนหนึ่งของขั้นตอน สมัครใช้งานมาตรฐาน คุ้มค่าที่จะอ่านอย่างน้อยส่วน sub-processor กับที่ตั้งข้อมูลจริง สำหรับผู้ให้บริการที่จัดการ ข้อมูลลูกค้าที่ละเอียดอ่อนจริง ไม่ใช่มองว่า DPA เป็นแค่พิธีการ

ข้อผูกพันการแจ้งเตือนการรั่วไหลของข้อมูลไม่รอเวลาที่สะดวก

PDPA กำหนดให้แจ้งหน่วยงานกำกับดูแล และบางกรณีบุคคลที่ได้รับผลกระทบ ภายในกรอบเวลาที่กำหนดหลังรู้ว่า มีการรั่วไหล ซึ่งแปลว่าธุรกิจต้องรู้จริง ๆ ว่าเกิดการรั่วไหลเมื่อไร ไม่ใช่มาพบทีหลังหลายสัปดาห์ระหว่างการตรวจสอบ ที่ไม่เกี่ยวข้อง นี่คือจุดที่การเฝ้าติดตามที่มีคนดูจริงสำคัญ ไม่ใช่แค่รันอยู่ในทางเทคนิค การรั่วไหลที่ตรวจพบใน วันแรกกับวันที่สี่สิบ เป็นสถานการณ์การปฏิบัติตามกฎหมายที่ต่างกันมาก แม้เหตุการณ์จริงจะเหมือนกันก็ตาม

ทำไมการตัดสินใจเรื่องโฮสติ้งยังคงสำคัญสำหรับอีคอมเมิร์ซไทย

ที่ตั้งส่งผลมากกว่าแค่ภาพลักษณ์การปฏิบัติตามกฎหมาย ให้บริการกรุงเทพฯ จากกรุงเทพฯ แทนที่จะเป็นสิงคโปร์ หรือไกลกว่านั้น ตัดการเดินทางไปกลับออกจากทุกคำขอ แสดงผลตรงในเวลาโหลด และเวลาโหลดไม่ใช่ตัวชี้วัด เชิงความสวยงาม ทุกวินาทีที่ล่าช้าเพิ่มขึ้นลด conversion rate ได้จริง และบนการเชื่อมต่อมือถือที่ผู้ซื้อไทยส่วนใหญ่ ใช้ ช่องว่างนั้นสังเกตได้ชัดกว่าที่ดูบนไฟเบอร์ออฟฟิศ

การเรียกเก็บเงินเป็นบาทและใบกำกับภาษีท้องถิ่นก็สำคัญเหมือนกัน แบบที่เล็กกว่าแต่จริง ใบแจ้งยอดบัตร ต่างประเทศในสกุลเงินอื่นสร้างงานกระทบยอดให้ทีมการเงิน ที่ความสัมพันธ์การเรียกเก็บเงินท้องถิ่นหลีกเลี่ยงได้ทั้งหมด

แบ็กอัปที่ไม่ผ่านการทดสอบไม่ใช่แบ็กอัปจริง ๆ

ตารางแบ็กอัปที่รันสำเร็จไม่ใช่ข้อกล่าวอ้างเดียวกับแบ็กอัปที่กู้คืนได้จริง — ความต่างนี้จะเห็นชัดในช่วงเวลาที่แย่ ที่สุดเท่านั้น ระหว่างเหตุการณ์จริง กระบวนการกู้คืนภัยพิบัติที่แท้จริงต้องมีการทดสอบกู้คืนจริงเป็นระยะ ไม่ใช่แค่ ยืนยันว่างานแบ็กอัปเสร็จโดยไม่มี error เพราะแบ็กอัปที่เสียหายหรือไม่สมบูรณ์รัน "สำเร็จ" ได้นานหลายเดือน ก่อนที่ใครจะลองใช้มันจริง

เลือกระหว่าง Hyperscaler กับผู้ให้บริการไทย

ไม่มีคำตอบที่ถูกต้องสากล ขึ้นอยู่กับสิ่งที่ธุรกิจต้องการจริง ๆ:

• Hyperscale cloud (AWS, Google Cloud, Azure) เหมาะกับร้านค้าที่ต้องการ auto-scaling สำหรับทราฟฟิกพุ่งสูง ระบบนิเวศบริการที่จัดการให้กว้างขวาง และการเข้าถึงระดับโลกควบคู่กับการมีตัวตนในไทย
• ผู้ให้บริการโฮสติ้งไทย (เช่น INET) เหมาะกับธุรกิจที่ให้น้ำหนักกับความสัมพันธ์ซัพพอร์ตท้องถิ่น การเรียกเก็บเงินเป็นบาทที่ตรงไปตรงมา และการติดต่อกับผู้ให้บริการที่อยู่ภายใต้เขตอำนาจศาลไทยทั้งหมด มากกว่าความกว้างขวางของฟีเจอร์แบบ hyperscaler

สิ่งที่ทั้งสองตัวเลือกต้องการเหมือนกัน: การแพตช์ที่มีคนจัดการ การเฝ้าติดตามที่มีคนดูจริง แบ็กอัปที่ผ่านการทดสอบ และมีคนอธิบายได้แบบเฉพาะเจาะจง ไม่ใช่แบบทั่วไป ว่าระบบของคุณตอบสนองข้อผูกพัน PDPA อย่างไรหากถูกถาม

เช็คลิสต์ที่ใช้ได้จริงก่อนเซ็นสัญญากับผู้ให้บริการ

1. ยืนยันว่ารีเจียนและ sub-processor ไหนบ้างที่แตะข้อมูล ไม่ใช่แค่ที่ตั้งโฮสติ้งหลัก
2. ขอ Data Processing Agreement และอ่านส่วน sub-processor กับที่ตั้งข้อมูลจริง ๆ
3. ถามว่าการแจ้งเตือนการรั่วไหลทำงานอย่างไรจริง ๆ — ใครถูกแจ้งเตือน เร็วแค่ไหน และข้อผูกพันของผู้ให้ บริการเองเทียบกับของคุณคืออะไร
4. ยืนยันว่าแบ็กอัปผ่านการทดสอบกู้คืนจริง ไม่ใช่แค่ตั้งตารางไว้แล้วสมมติว่าทำงานได้
5. ทำแผนที่เครื่องมือบุคคลที่สามทุกตัว — เกตเวย์ชำระเงิน analytics อีเมล — ที่แตะข้อมูลส่วนบุคคล และแต่ละตัวประมวลผลที่ไหน

ข้อสรุปที่ใช้งานได้จริง

"เราโฮสต์อยู่ในไทย" เป็นประโยคเริ่มต้นที่สมเหตุสมผล แต่ไม่พอในวินาทีที่มีคนในทีมกฎหมายของคุณ ลูกค้า หรือหน่วยงานกำกับดูแล ถามคำถามต่อไป: ข้อมูลไปที่ไหนต่อจริง ๆ หลังจากนั้น และใครเห็นมันได้บ้างระหว่างทาง Managed hosting ที่ทำอย่างถูกต้องมีคำตอบพร้อมสำหรับคำถามนั้นก่อนที่จะถูกถามด้วยซ้ำ