นิยาม
PIPL คือกฎหมายเฉพาะทางฉบับแรกของจีนที่ออกมาเพื่อกำกับดูแลการเก็บรวบรวม ใช้ เปิดเผย และโอนย้ายข้อมูลส่วนบุคคลโดยตรง มีผลบังคับใช้ตั้งแต่ 1 พฤศจิกายน 2021 ครอบคลุมทั้งบริษัทในจีนและบริษัทต่างชาติที่ให้บริการหรือเก็บข้อมูลของคนในจีน ไม่ว่าจะมีสำนักงานในจีนหรือไม่ก็ตาม
พูดแบบชาว DTC คือ — ถ้าร้านคุณยิงแอดไปจีน หรือมีลูกค้าจีนสั่งของเข้ามาในระบบ คุณเข้าข่าย PIPL ทันที ไม่ว่าจะอยู่ไทย สิงคโปร์ หรือจีนก็ตาม
อะนาล็อกที่เข้าใจง่าย
ลองนึกภาพว่า PIPL คือ "พนักงานต้อนรับหน้าประตูห้าง" ที่จะถามทุกครั้งก่อนใครจะหยิบข้อมูลลูกค้าไปใช้
- ถ้าจะเก็บข้อมูล → ต้องบอกก่อนว่าจะเอาไปทำอะไร
- ถ้าจะส่งต่อให้พาร์ทเนอร์ → ต้องขออนุญาตแยก
- ถ้าจะส่งออกนอกประเทศ → ต้องผ่านด่านตรวจเพิ่มอีกชั้น
เทียบกับ GDPR ของสหภาพยุโรปจะเห็นว่า PIPL เข้มกว่าในเรื่อง การโอนข้อมูลข้ามพรมแดน และ บทลงโทษ ที่สูงมาก
สูตรคำนวณค่าปรับ (Penalty Formula)
ค่าปรับสูงสุดของ PIPL คำนวณได้จาก 2 เพดาน โดยเลือกอันที่สูงกว่า:
ค่าปรับสูงสุด = MAX(50,000,000 หยวน , 5% ของรายได้ทั้งปีของบริษัท)
ตัวอย่างจริง 3 กรณี:
| กรณี | รายได้ทั้งปี | 5% ของรายได้ | เพดาน 50 ล้านหยวน | ค่าปรับที่ใช้จริง |
|---|---|---|---|---|
| บริษัท A | 800 ล้านหยวน | 40 ล้านหยวน | 50 ล้านหยวน | 50 ล้านหยวน |
| บริษัท B | 2,000 ล้านหยวน | 100 ล้านหยวน | 50 ล้านหยวน | 100 ล้านหยวน |
| บริษัท C | 600 ล้านหยวน | 30 ล้านหยวน | 50 ล้านหยวน | 50 ล้านหยวน |
นอกจากค่าปรับแล้ว ยังสามารถ ระงับการให้บริการ, เพิกถอนใบอนุญาต, และห้ามผู้บริหารดำรงตำแหน่ง ได้อีกด้วย
ตารางเปรียบเทียบ PIPL vs GDPR vs PDPA (ไทย)
| ประเด็น | PIPL (จีน) | GDPR (EU) | PDPA (ไทย) |
|---|---|---|---|
| วันที่บังคับใช้ | 1 พ.ย. 2021 | 25 พ.ค. 2018 | 1 มิ.ย. 2022 |
| ค่าปรับสูงสุด | 50 ล้านหยวน หรือ 5% รายได้ | 20 ล้านยูโร หรือ 4% รายได้ | 5 ล้านบาท หรือ 1% รายได้ |
| การขอความยินยอม | ต้องแยกเป็นรายกรณี ชัดเจน | ต้องชัดเจน แต่ยืดหยุ่นกว่า | ต้องชัดเจน เป็นลายลักษณ์อักษร |
| การโอนข้อมูลออกนอกประเทศ | ต้องผ่านมาตรฐานความปลอดภัย + ตรวจสอบ | ใช้ SCCs / BCRs | ต้องขออนุญาตจากสำนักงาน |
| สิทธิเจ้าของข้อมูล | 8 สิทธิ์หลัก | 8 สิทธิ์หลัก | 7 สิทธิ์หลัก |
| ตัวแทนในประเทศ | ต้องมีถ้าต่างชาติ | ต้องมีถ้าต่างชาติ | ต้องมีถ้าต่างชาติ |
สถานการณ์ใช้งานจริงใน DTC/อีคอมเมิร์ซ
1. การเก็บข้อมูลลูกค้าจีน
เมื่อลูกค้าจีนกรอกที่อยู่ในหน้าชำระเงิน ร้านคุณต้องแจ้ง วัตถุประสงค์การเก็บ ให้ชัดเจน เช่น ใช้เพื่อจัดส่ง ใช้เพื่อทำการตลาด ใช้เพื่อวิเคราะห์พฤติกรรม — ถ้าจะใช้เพื่อการตลาด ต้องมี checkbox แยก ไม่สามารถรวมในเงื่อนไขการใช้บริการได้
2. การส่งข้อมูลไปยัง HQ ที่ไทย
ถ้าร้านคุณมี HQ ที่กรุงเทพฯ และเก็บข้อมูลลูกค้าจีนในเซิร์ฟเวอร์ไทย ถือเป็นการ โอนข้อมูลข้ามพรมแดน ต้องผ่านหนึ่งในสามช่องทาง:
- ผ่านการประเมินความปลอดภัย (Security Assessment) โดย CAC
- ผ่านการรับรองมาตรฐาน (Certification)
- ใช้สัญญามาตรฐาน (Standard Contract) ยื่นต่อหน่วยงาน
3. การใช้ผู้ให้บริการภายนอก
ถ้าใช้ Facebook Ads, Google Analytics, หรือ CRM ต่างชาติ ที่เก็บข้อมูลลูกค้าจีน คุณต้องมี สัญญาประมวลผลข้อมูล (Data Processing Agreement) และตรวจสอบว่าปลายทางมีมาตรฐานคุ้มครองเทียบเท่า PIPL
4. การตลาดแบบ Personalized
การใช้ AI แนะนำสินค้า หรือ retargeting ต้องขอความยินยอม แบบ explicit และลูกค้ามีสิทธิ์ขอให้ลบข้อมูลได้ทันที (Right to Erasure)
ความเข้าใจผิดที่พบบ่อย
❌ "ร้านอยู่ไทย ไม่ต้องสน PIPL"
✅ ผิด — PIPL ใช้กับทุกบริษัทที่ประมวลผลข้อมูลของคนในจีน ไม่ว่าอยู่ที่ไหน
❌ "ขอความยินยอมครั้งเดียว ใช้ได้ตลอด"
✅ ผิด — ต้องขอใหม่เมื่อวัตถุประสงค์เปลี่ยน และลูกค้าถอนได้ตลอดเวลา
❌ "ส่งข้อมูลไป HQ ตัวเอง ไม่ถือเป็นการโอน"
✅ ผิด — การส่งออกนอกพรมแดนจีนถือเป็นการโอนทั้งหมด แม้เป็นบริษัทในเครือเดียวกัน
❌ "ค่าปรับแค่ 50 ล้านหยวน"
✅ ผิด — ถ้ารายได้สูงกว่า 1,000 ล้านหยวน ค่าปรับ 5% จะสูงกว่าเพดาน 50 ล้านมาก
❌ "ใช้ Privacy Policy แบบ GDPR ได้เลย"
✅ ผิด — PIPL มีข้อกำหนดเฉพาะเรื่องการโอนข้ามพรมแดนและสิทธิ์ที่แตกต่าง
คำศัพท์ที่เกี่ยวข้อง
- PIPL — พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคลจีน
- CAC — สำนักงานบริหารไซเบอร์สเปซแห่งประเทศจีน (หน่วยงานกำกับ)
- Cross-border Transfer — การโอนข้อมูลข้ามพรมแดน
- Standard Contract — สัญญามาตรฐานสำหรับการโอนข้อมูล
- Security Assessment — การประเมินความปลอดภัยก่อนส่งข้อมูลออก
- Separate Consent — ความยินยอมแยกกรณี
- Data Localization — การเก็บข้อมูลไว้ในประเทศ
- PIPL Representative — ตัวแทนในจีนสำหรับบริษัทต่างชาติ
- DSAR — คำขอใช้สิทธิ์ของเจ้าของข้อมูล
- Sensitive Personal Information — ข้อมูลส่วนบุคคลอ่อนไหว (ชีวมิติ ศาสนา การแพทย์)
สรุปสั้น ๆ สำหรับคนทำ DTC: ถ้าคุณมีลูกค้าจีนแม้แค่คนเดียวในระบบ PIPL เกี่ยวข้องกับคุณทันที เริ่มจากการทำแผนที่ข้อมูล (Data Mapping) ตรวจสอบว่าข้อมูลไหลไปที่ไหน แล้ววางระบบขอความยินยอมแยกกรณี + สัญญากับพาร์ทเนอร์ให้ครบ ก่อนจะสายเพราะค่าปรับเริ่มที่หลักสิบล้านหยวนขึ้นไป