ร่างกฎข้อมูลส่วนบุคคลฉบับใหม่ของจีนอาจเปลี่ยนเกมแพลตฟอร์มขนาดใหญ่

สำนักงานบริหารไซเบอร์สเปซแห่งจีน (Cyberspace Administration of China หรือ CAC) เปิดรับฟังความคิดเห็นต่อร่างกฎ 50 มาตราในชื่อ ข้อกำหนดว่าด้วยการคุ้มครองข้อมูลส่วนบุคคลสำหรับผู้ประมวลผลข้อมูลส่วนบุคคลรายใหญ่ (Provisions on Personal Information Protection for Large Personal Information Handlers)

ร่างดังกล่าวเผยแพร่เมื่อวันที่ 7 สิงหาคม 2026 โดยรวบรวมข้อเสนอรับฟังความคิดเห็น 2 ฉบับก่อนหน้าเข้าไว้ด้วยกัน และยังไม่ใช่กฎหมายที่มีผลบังคับใช้

สาระสำคัญไม่ได้จำกัดอยู่เพียงวิธีเก็บข้อมูลผู้ใช้ในแต่ละวัน แต่ยังครอบคลุมการขึ้นทะเบียน การจัดเก็บข้อมูลภายในประเทศ การโอนข้อมูลออกนอกจีน การรายงาน การประเมินความเสี่ยง และการกำกับดูแลโดยบุคคลภายนอก สำหรับองค์กรที่มีการประมวลผลข้อมูลในวงกว้างหรือมีอิทธิพลต่อประโยชน์สาธารณะอย่างมีนัยสำคัญ

กำหนดส่งความคิดเห็นและช่องทางยื่นข้อเสนอ

ผู้สนใจต้องส่งความคิดเห็นถึง CAC ภายในวันที่ 7 กันยายน 2026 โดยส่งอีเมลไปที่ shujuju@cac.gov.cn หรือส่งทางไปรษณีย์ไปยังสำนักงานบริหารไซเบอร์สเปซแห่งจีน สำนักบริหารจัดการข้อมูลเครือข่าย เลขที่ 15 ถนนฝู่เฉิง เขตไห่เตี้ยน กรุงปักกิ่ง 100048 และควรระบุชื่อการรับฟังความคิดเห็นไว้บนซองจดหมาย

เนื่องจากเป็นร่างที่อยู่ระหว่างการรับฟังความคิดเห็น องค์กรต่าง ๆ จึงควรมองข้อกำหนดเหล่านี้เป็น หน้าที่ที่เสนอไว้ ไม่ใช่ภาระการปฏิบัติตามขั้นสุดท้าย โดยมาตรา 50 ของร่างยังเว้นว่างวันที่มีผลบังคับใช้ไว้

ใครบ้างอาจถูกจัดเป็นผู้ประมวลผลข้อมูลรายใหญ่

ร่างกฎใช้การประเมินหลายปัจจัย ไม่ได้อาศัยตัวเลขผู้ใช้เพียงอย่างเดียว เกณฑ์สำคัญประกอบด้วยว่าองค์กรนั้น:

• ประมวลผลข้อมูลส่วนบุคคลของบุคคลธรรมดามากกว่า 10 ล้านคน
• ให้บริการออนไลน์ที่มีความสำคัญและเกี่ยวข้องกับการประมวลผลข้อมูลส่วนบุคคล หรือดำเนินธุรกิจที่เกี่ยวข้องหลายประเภท
• มีผลกระทบอย่างมีนัยสำคัญต่อความมั่นคงของชาติ การดำเนินงานทางเศรษฐกิจ เสถียรภาพทางสังคม สุขภาพของประชาชน หรือความปลอดภัย

องค์กรที่ประมวลผลข้อมูลของคนมากกว่า 10 ล้านคน รวมถึงองค์กรที่ประเมินตนเองว่าเข้าเกณฑ์ด้านความสำคัญและผลกระทบ จะต้องยื่นขอการรับรองสถานะผ่าน CAC ระดับมณฑล

จากนั้น CAC ส่วนกลางร่วมกับหน่วยงานที่เกี่ยวข้องจะเป็นผู้พิจารณาและประกาศรายชื่ออย่างเป็นทางการ ขณะเดียวกัน หน่วยงานรัฐก็สามารถสั่งให้องค์กรที่ดูเหมือนจะเข้าเกณฑ์ แต่ยังไม่ได้ยื่นคำขอ เข้าสู่กระบวนการดังกล่าวได้

นั่นหมายความว่าแพลตฟอร์มที่มีอิทธิพลสูงบางรายอาจอยู่ในขอบเขตของกฎ แม้จำนวนผู้ใช้เพียงอย่างเดียวจะยังไม่ชี้ขาดก็ตาม

ต่างชาติอาจถูกจำกัดการรับข้อมูลจากจีน

ร่างกฎเปิดทางให้หน่วยงานกำกับดูแลไซเบอร์สเปซของจีนประกาศรายชื่อองค์กรหรือบุคคลต่างชาติที่ดำเนินกิจกรรมประมวลผลข้อมูลส่วนบุคคลซึ่งละเมิดสิทธิของพลเมืองจีน หรือเป็นภัยต่อความมั่นคงของชาติและประโยชน์สาธารณะของจีน

ผู้ที่อยู่ในรายชื่ออาจถูกจำกัดหรือห้ามรับข้อมูลส่วนบุคคลจากจีนโดยสิ้นเชิง

ข้อเสนอนี้จึงอาจสร้างความเสี่ยงด้านการปฏิบัติตามกฎให้แก่ผู้รับข้อมูลในต่างประเทศโดยตรง ไม่ใช่เฉพาะแพลตฟอร์มจีนที่เป็นผู้ส่งข้อมูลเท่านั้น และทำให้การประเมินความเสี่ยงของการไหลเวียนข้อมูลข้ามพรมแดนต้องพิจารณาประเด็นด้านความมั่นคงและประโยชน์สาธารณะควบคู่กับเรื่องความเป็นส่วนตัว

หลักเกณฑ์การประมวลผลและการขอความยินยอม

ผู้ประมวลผลข้อมูลที่อยู่ในขอบเขตของกฎจะต้องดำเนินการตามหลักความชอบด้วยกฎหมาย ความเหมาะสม ความจำเป็น และความสุจริต การเก็บข้อมูลต้องจำกัดเฉพาะข้อมูลที่จำเป็นต่อผลิตภัณฑ์หรือบริการนั้น ๆ และต้องไม่เกินความจำเป็น

หากใช้ความยินยอมเป็นฐานทางกฎหมาย ร่างกฎกำหนดให้ต้องขอความยินยอมแยกต่างหากสำหรับกิจกรรมที่มีความเสี่ยงสูง ได้แก่:

• การส่งข้อมูลให้ผู้ประมวลผลข้อมูลส่วนบุคคลรายอื่น
• การส่งข้อมูลออกนอกจีน
• การเปิดเผยข้อมูลต่อสาธารณะ
• การประมวลผลข้อมูลส่วนบุคคลที่มีความละเอียดอ่อน

หากมีการเปลี่ยนแปลงวัตถุประสงค์ วิธีการ หรือประเภทของข้อมูลที่ประมวลผล จะต้องขอความยินยอมใหม่ และต้องจัดให้มีช่องทางที่สะดวกสำหรับบุคคลในการถอนความยินยอม

สำหรับเด็กอายุต่ำกว่า 14 ปี การประมวลผลข้อมูลต้องได้รับความยินยอมจากบิดามารดาหรือผู้ปกครอง พร้อมมีกลไกที่ใช้งานได้ง่ายสำหรับการให้หรือถอนความยินยอมดังกล่าว

ข้อมูลที่เก็บหรือสร้างในจีนต้องอยู่ในจีน

ข้อมูลส่วนบุคคลที่เก็บรวบรวมหรือสร้างขึ้นจากการดำเนินงานในจีนจะต้องจัดเก็บไว้ภายในจีน โดยศูนย์ข้อมูลที่ใช้ต้องตั้งอยู่ในจีนและปฏิบัติตามนโยบายและมาตรฐานระดับชาติที่เกี่ยวข้อง

นอกจากนี้ นิติบุคคลที่บริหารศูนย์ข้อมูลจะต้องมีผู้แทนตามกฎหมายหรือผู้ควบคุมที่แท้จริงเป็นพลเมืองจีน

ร่างกฎยังวางภาระไว้กับผู้ให้บริการศูนย์ข้อมูลด้วย โดยต้องมีระบบควบคุมภายในและแผนรับมือเหตุการณ์ ระบุและแก้ไขช่องโหว่ด้านความปลอดภัย แจ้งแพลตฟอร์มและหน่วยงานรัฐเมื่อจำเป็น รวมถึงช่วยเหลือในการรับมือเหตุข้อมูลรั่วไหล

สำหรับบริษัทที่พึ่งพาผู้ให้บริการโครงสร้างพื้นฐานภายนอก การเลือกศูนย์ข้อมูล การจัดทำสัญญา และการกำกับดูแลการปฏิบัติงานจะกลายเป็นหัวใจของแผนปฏิบัติตามกฎ ไม่ใช่เพียงเรื่องทางเทคนิคหรือการจัดซื้อจัดจ้างเท่านั้น

ยังโอนข้อมูลออกนอกจีนได้ แต่มีเงื่อนไขมากขึ้น

ข้อกำหนดให้จัดเก็บข้อมูลภายในประเทศไม่ได้หมายความว่าการส่งข้อมูลออกนอกจีนจะถูกห้ามทั้งหมด ร่างกฎยังเปิดทางให้โอนข้อมูลข้ามพรมแดนได้เมื่อมีความจำเป็นต่อธุรกิจอย่างแท้จริง แต่ผู้ดำเนินการต้องใช้กลไกการส่งข้อมูลออกนอกประเทศตามกฎของจีน และต้องได้รับความยินยอมแยกต่างหากตามที่กำหนด

ในทางปฏิบัติ องค์กรขนาดใหญ่จะต้องแยกให้ชัดเจนระหว่างการ เก็บข้อมูลไว้ในจีน กับการ ส่งข้อมูลให้ผู้รับในต่างประเทศ การจัดเก็บในจีนจะเป็นข้อกำหนดพื้นฐาน ส่วนการส่งออกจะมาพร้อมขั้นตอนและการควบคุมทางกฎหมายเพิ่มเติม

เพิ่มความรับผิดชอบระดับผู้บริหารและระบบรายงาน

ร่างกฎเสนอให้ผู้ประมวลผลข้อมูลรายใหญ่มีโครงสร้างกำกับดูแลความเป็นส่วนตัวที่เป็นทางการมากขึ้น รวมถึงแต่งตั้งผู้รับผิดชอบด้านการคุ้มครองข้อมูลส่วนบุคคลจากฝ่ายบริหารระดับสูง โดยรายงานเกี่ยวกับร่างกฎระบุว่าบุคคลดังกล่าวต้องมีสัญชาติจีน ไม่มีสถานะผู้มีถิ่นพำนักถาวรหรือใบอนุญาตพำนักระยะยาวในต่างประเทศ มีความรู้เฉพาะด้านการคุ้มครองข้อมูลส่วนบุคคล และมีประสบการณ์ที่เกี่ยวข้อง

มาตรการกำกับดูแลอื่น ๆ ที่เสนอ ได้แก่:

• จัดตั้งโครงสร้างกำกับการปฏิบัติตามกฎโดยตรงและกำหนดผู้รับผิดชอบอย่างชัดเจน
• จัดทำการประเมินผลกระทบด้านการคุ้มครองข้อมูลส่วนบุคคลเป็นประจำ
• ตรวจสอบการปฏิบัติตามกฎเป็นระยะ
• ติดตามกิจกรรมการประมวลผลและช่องโหว่ด้านความปลอดภัย
• มีกระบวนการระบุความเสี่ยงและแก้ไขปัญหา
• จัดให้มีช่องทางที่มีประสิทธิภาพสำหรับการร้องเรียนและการใช้สิทธิของบุคคล
• เผยแพร่รายงานความรับผิดชอบต่อสังคมด้านการคุ้มครองข้อมูลส่วนบุคคลเป็นประจำทุกปี

ร่างกฎยังเน้นมาตรการคุ้มครองผู้เยาว์โดยเฉพาะ รวมถึงกระบวนการให้และถอนความยินยอมของผู้ปกครองที่ใช้งานได้จริง

คณะกรรมการกำกับอิสระ: การเปลี่ยนแปลงเชิงโครงสร้างครั้งใหญ่

ผู้ประมวลผลข้อมูลที่อยู่ในขอบเขตของกฎจะต้องจัดตั้ง คณะกรรมการกำกับดูแลการคุ้มครองข้อมูลส่วนบุคคล เพื่อทำหน้าที่ตรวจสอบแนวทางการจัดการข้อมูลอย่างเป็นอิสระ

คณะกรรมการที่เสนอจะต้องมีคุณสมบัติสำคัญดังนี้:

• มีสมาชิกเป็นจำนวนคี่
• มีสมาชิกอย่างน้อย 7 คน
• มีขนาดเหมาะสมกับขนาดธุรกิจและฐานผู้ใช้
• มีสมาชิกภายนอกอย่างน้อยสองในสาม
• มีประธานเป็นสมาชิกภายนอกที่มีความสามารถระดับสูงด้านการตรวจสอบการปฏิบัติตามกฎคุ้มครองข้อมูลส่วนบุคคล

สมาชิกภายนอกต้องมีความเป็นอิสระ มีชื่อเสียงน่าเชื่อถือ และมีประสบการณ์ด้านงานกำกับดูแลที่เกี่ยวข้อง โดยทั่วไปจะจำกัดให้ดำรงตำแหน่งกับผู้ประมวลผลข้อมูลรายใหญ่พร้อมกันไม่เกิน 3 แห่ง

หน้าที่ของคณะกรรมการจะรวมถึงการกำกับการปฏิบัติตามกฎและประเด็นคุ้มครองข้อมูลที่มีนัยสำคัญ ตรวจสอบนโยบายและกิจกรรมประมวลผลที่มีความเสี่ยงสูง ให้ความเห็นหรือข้อเสนอแนะ ตลอดจนสนับสนุนความรับผิดชอบผ่านระบบรายงานและการกำกับดูแล องค์กรยังต้องจัดสรรทรัพยากรให้เพียงพอต่อการทำงานของคณะกรรมการ

ดังนั้น ข้อเสนอนี้จึงไม่ใช่เพียงการเพิ่มตำแหน่งเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล แต่เป็นการสร้างชั้นกำกับดูแลอีกระดับที่มีบุคคลภายนอกเป็นเสียงข้างมาก และยกระดับการคุ้มครองข้อมูลให้เป็นส่วนหนึ่งของโครงสร้างความรับผิดชอบขององค์กรอย่างเป็นทางการ

องค์กรที่อาจเข้าข่ายควรเตรียมตัวอย่างไร

สิ่งที่ควรทำในทันทีคือประเมินว่าองค์กรเข้าข่ายจากเกณฑ์จำนวนผู้ใช้งานหรือจากเกณฑ์ด้านความสำคัญและผลกระทบในวงกว้างหรือไม่ พร้อมจัดเตรียมความคิดเห็นก่อนเส้นตายวันที่ 7 กันยายน 2026

องค์กรที่อาจอยู่ในขอบเขตควรเริ่มทำแผนที่ข้อมูลและโครงสร้างกำกับดูแลในประเด็นต่อไปนี้:

1. จำนวนและประเภทของบุคคลที่องค์กรประมวลผลข้อมูล
2. บริการหลัก สายธุรกิจ และผลกระทบที่อาจมีต่อประโยชน์สาธารณะ
3. สถานที่จัดเก็บข้อมูลส่วนบุคคลของผู้ใช้ในจีน และผู้ควบคุมศูนย์ข้อมูลที่เกี่ยวข้อง
4. ขั้นตอนการขอความยินยอมสำหรับข้อมูลละเอียดอ่อน การเปิดเผย การเผยแพร่ และการส่งออกข้อมูล
5. กลไกการโอนข้อมูลข้ามพรมแดนและรายชื่อผู้รับข้อมูลในต่างประเทศ
6. ความรับผิดชอบของผู้บริหารระดับสูงและระบบตรวจสอบ
7. ความเป็นอิสระ จำนวนสมาชิก องค์ประกอบ และทรัพยากรที่จำเป็นสำหรับคณะกรรมการกำกับดูแล

ร่างกฎยังอาจมีการแก้ไขก่อนประกาศใช้ แต่ทิศทางของนโยบายค่อนข้างชัดเจน: จีนกำลังพิจารณาระบบที่มองผู้ประมวลผลข้อมูลรายใหญ่และมีอิทธิพลสูงเป็นองค์กรที่ต้องอยู่ภายใต้การควบคุมด้านการปฏิบัติงานที่เข้มข้นขึ้น มีโครงสร้างพื้นฐานภายในประเทศ ความรับผิดชอบในระดับผู้บริหาร และการกำกับดูแลด้านความเป็นส่วนตัวจากผู้เชี่ยวชาญภายนอก