บริษัท ก เป็นผู้ควบคุมข้อมูลส่วนบุคคล (Data Controller) และใช้บริการคลาวด์จากบริษัท ข ในฐานะผู้ประมวลผลข้อมูล (Data Processor) ตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ความสัมพันธ์และความรับผิดชอบระหว่างสองฝ่ายควรเป็นอย่างไร
กบริษัท ก ต้องจัดทำสัญญากับบริษัท ข กำหนดขอบเขตการประมวลผลข้อมูล และบริษัท ข ต้องประมวลผลข้อมูลตามคำสั่งของบริษัท ก เท่านั้น
ขบริษัท ข มีสิทธิประมวลผลข้อมูลเพื่อวัตถุประสงค์ของตนเองได้ เนื่องจากเป็นผู้ให้บริการที่มีหน้าที่รับผิดชอบโดยตรงต่อเจ้าของข้อมูล
คบริษัท ก สามารถโอนความรับผิดชอบทั้งหมดให้บริษัท ข เมื่อลงนามในสัญญาบริการคลาวด์แล้ว โดยไม่ต้องกำกับดูแลเพิ่มเติม
งบริษัท ข ในฐานะผู้ให้บริการคลาวด์มีอำนาจกำหนดวิธีการประมวลผลข้อมูลได้อิสระ โดยไม่ต้องรับคำสั่งจากบริษัท ก
เฉลยอธิบาย
ตาม พ.ร.บ. คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 มาตรา 40 ผู้ควบคุมข้อมูล (Data Controller) ต้องจัดทำสัญญากับผู้ประมวลผลข้อมูล (Data Processor) เพื่อกำหนดขอบเขตและเงื่อนไขการประมวลผล โดยผู้ประมวลผลข้อมูลต้องดำเนินการตามคำสั่งของผู้ควบคุมข้อมูลเท่านั้น ห้ามนำข้อมูลไปใช้เพื่อวัตถุประสงค์อื่น และผู้ควบคุมข้อมูลยังคงมีความรับผิดชอบต่อเจ้าของข้อมูลแม้จะมอบหมายการประมวลผลให้ผู้อื่นแล้วก็ตาม