สรุปสั้น ๆ (TL;DR)
- ระเบียบรัฐบาลฉบับที่ 33 ปี 2569 มี 225 มาตราใน 12 หมวด และมาตรา 225 ให้มีผลหกเดือนหลังประกาศใช้ วันที่ต้องปฏิบัติตามจึงตกอยู่กลางเดือนมกราคม 2570
- มาตรา 2 ผูกพันผู้ควบคุมข้อมูลนอกอินโดนีเซียที่การกระทำก่อผลทางกฎหมายในประเทศหรือกระทบพลเมืองอินโดนีเซียในต่างแดน ผู้ลงโฆษณาในกรุงเทพที่ถือข้อมูลผู้ใช้ชาวอินโดนีเซียจึงอยู่ในขอบเขต
- บันทึกคำอธิบายถือว่าความยินยอมคลุมเครือ เมื่อการตกลงให้ประมวลผลข้อมูลส่วนบุคคลถูกพ่วงไว้กับการตกลงยอมรับข้อกำหนดและเงื่อนไข
- มาตรา 35 กำหนดให้ความยินยอมทางการตลาดต้องระบุบุคคลที่สามที่รับข้อมูล รูปแบบของข้อเสนอ และวิธีถอนความยินยอมหรือแจ้งเมื่อยังได้รับข้อเสนออยู่
- หน้าที่เก้าข้อผูกกับกำหนดเวลาสามคูณยี่สิบสี่ชั่วโมง รวมถึงการแจ้งเหตุละเมิดตามมาตรา 114 และการหยุดประมวลผลหลังถอนความยินยอมตามมาตรา 92
อินโดนีเซียประกาศระเบียบลูกของกฎหมายคุ้มครองข้อมูลส่วนบุคคลที่ผ่านมาตั้งแต่ปี 2565 ออกมาแล้ว และวันที่คนทำโฆษณาเข้าตลาดอินโดนีเซียต้องจำคือกลางเดือนมกราคม 2570 ระเบียบรัฐบาลฉบับที่ 33 ปี 2569 ลงนามที่กรุงจาการ์ตาเมื่อวันที่ 16 กรกฎาคม 2569 โดยประธานาธิบดีปราโบโว ซูเบียนโต และประกาศใช้ในวันเดียวกันโดยรัฐมนตรีเลขาธิการแห่งรัฐ ปราเซตโย ฮาดี เข้าสู่ราชกิจจานุเบกษาแห่งสาธารณรัฐอินโดนีเซียประจำปี 2569 ในลำดับที่ 88 สำนักข่าว PPC Land ซึ่งเรียบเรียงเนื้อหาของระเบียบฉบับนี้ไว้ใน รายงานว่าด้วยกฎข้อมูลชุดใหม่ของอินโดนีเซีย ระบุว่าตัวบทมีทั้งหมด 225 มาตรา แบ่งเป็นสิบสองหมวด พร้อมบันทึกคำอธิบายที่มีความยาวพอ ๆ กัน
มาตรา 225 กำหนดให้ระเบียบมีผลบังคับใช้หกเดือนหลังการประกาศใช้ นับจากวันที่ 16 กรกฎาคม 2569 วันที่ต้องปฏิบัติตามจึงตกอยู่กลางเดือนมกราคม 2570 เท่ากับเหลือเวลาราวห้าเดือนนับจากปลายเดือนสิงหาคม 2569 ระเบียบฉบับนี้ไม่ได้สร้างหน้าที่ขึ้นใหม่ กฎหมายเลขที่ 27 ปี 2565 ว่าด้วยการคุ้มครองข้อมูลส่วนบุคคลทำหน้าที่นั้นไปแล้วตั้งแต่มีผลบังคับใช้ในเดือนตุลาคมปี 2565 โดยกำหนดหน้าที่ให้ผู้ควบคุมข้อมูลและผู้ประมวลผลข้อมูล และผูกโทษทางอาญากับการนำข้อมูลส่วนบุคคลไปใช้ผิดในบางกรณี สิ่งที่กฎหมายปี 2565 ไม่ได้ให้ไว้คือรายละเอียดเชิงปฏิบัติ และตัวกฎหมายมอบสิบเรื่องให้ไปออกเป็นระเบียบภายหลัง ระเบียบฉบับที่ 33 คือระเบียบฉบับนั้น
สิบช่องว่างที่ระเบียบฉบับที่ 33 เข้ามาปิด
บันทึกคำอธิบายไล่รายการสิบเรื่องที่กฎหมายเลขที่ 27 ปี 2565 มอบให้ไปออกระเบียบต่อ และรายการนี้อ่านแล้วเหมือนเช็กลิสต์ของสิ่งที่ทีมการตลาดต้องทำจริงในแต่ละวัน ได้แก่ การคัดค้านการประมวลผลอัตโนมัติ กระบวนการชดเชยค่าเสียหาย สิทธิในการโอนย้ายข้อมูล กลไกการประมวลผล การประเมินผลกระทบ หน้าที่แจ้งเตือนในธุรกรรมควบรวมกิจการ บทบาทของเจ้าหน้าที่คุ้มครองข้อมูล การโอนข้อมูลออกนอกเขตอำนาจอินโดนีเซีย การกำหนดโทษทางปกครอง และการใช้อำนาจของหน่วยงานกำกับดูแล ตลอดสี่ปีที่ผ่านมา สิบเรื่องนี้อยู่ในตัวกฎหมายโดยไม่มีคู่มือ ผู้ควบคุมข้อมูลอ่านหน้าที่ของตัวเองได้ แต่อ่านขั้นตอนไม่ได้ นั่นคือช่องว่างที่ระเบียบเดือนกรกฎาคม 2569 เข้ามาปิด และเป็นเหตุผลว่าทำไมวันกลางเดือนมกราคม 2570 จึงเป็นเส้นตายจริง ไม่ใช่พิธีกรรม
ในสิบเรื่องนั้น มีสองเรื่องที่วางอยู่บนโต๊ะของคนซื้อสื่อโดยตรง เรื่องแรกคือการคัดค้านการประมวลผลอัตโนมัติ ซึ่งเป็นฐานที่ทำให้บุคคลปฏิเสธการตัดสินใจที่ระบบอัตโนมัติทำกับตัวเขาได้ เรื่องที่สองคือการโอนข้อมูลออกนอกเขตอำนาจอินโดนีเซีย ซึ่งเป็นกฎที่กำหนดว่าข้อมูลผู้ใช้ชาวอินโดนีเซียจะไปนั่งอยู่ในคลังข้อมูลที่สิงคโปร์ ในระบบรายงานของเอเจนซีที่กรุงเทพ หรือบนแพลตฟอร์มโฆษณาในสหรัฐอเมริกาได้หรือไม่ ทั้งสองเรื่องไม่ใช่งานหลังบ้าน
มาตรา 2 ให้ระเบียบมีขอบเขตนอกอาณาเขต
มาตรา 2 กำหนดขอบเขตพื้นที่บังคับใช้ไว้สองส่วน ส่วนแรกผูกพันบุคคล หน่วยงานของรัฐ หรือองค์การระหว่างประเทศที่กระทำการทางกฎหมายในการดำเนินการคุ้มครองข้อมูลส่วนบุคคลภายในเขตอำนาจของอินโดนีเซีย ส่วนที่สองผูกพันผู้ที่อยู่นอกเขตอำนาจนั้น หากการกระทำของเขาก่อผลทางกฎหมายภายในอินโดนีเซีย หรือกระทบต่อพลเมืองอินโดนีเซียที่อยู่ต่างประเทศ บันทึกคำอธิบายระบุว่าส่วนที่สองมีขึ้นเพื่อให้เจ้าของข้อมูลชาวอินโดนีเซียที่อยู่นอกประเทศ ซึ่งข้อมูลถูกประมวลผลในต่างแดนและได้รับความเสียหาย ยังคงได้รับความคุ้มครองทางกฎหมาย
ลองอ่านส่วนที่สองเทียบกับงานสื่อของทีมในกรุงเทพตามปกติ เอเจนซีที่รันแคมเปญเก็บลีดเข้าจาการ์ตาจะเก็บชื่อ เบอร์โทรศัพท์ และแอ็กเคานต์ WhatsApp ผ่านฟอร์ม แล้วส่งเข้า CRM ที่โฮสต์อยู่นอกอินโดนีเซีย ซิงก์ออดิเอนซ์ที่แฮชแล้วกลับไปยังแพลตฟอร์มโฆษณา และตัดคนที่เปลี่ยนเป็นลูกค้าแล้วออกจากกลุ่มรีทาร์เก็ตติง ทุกขั้นตอนที่ว่ามาคือการกระทำทางกฎหมายที่ก่อผลภายในอินโดนีเซียกับข้อมูลของเจ้าของข้อมูลชาวอินโดนีเซีย การที่การประมวลผลเกิดขึ้นบนเซิร์ฟเวอร์ในอีกประเทศหนึ่งคือสถานการณ์ที่มาตรา 2 ถูกร่างขึ้นมาเพื่อครอบคลุมพอดี เอเจนซีไม่จำเป็นต้องมีนิติบุคคล สำนักงาน หรือบัญชีธนาคารในอินโดนีเซีย ระเบียบก็ตามไปถึงสิ่งที่เอเจนซีทำกับข้อมูลอยู่ดี
มาตรา 3 ให้ข้อยกเว้นไว้เพียงข้อเดียวที่ควรรู้ คือการประมวลผลเพื่อกิจกรรมส่วนตัวหรือในครัวเรือนล้วน ๆ นิยามว่าเป็นกิจกรรมที่ทำเพื่อความต้องการของบุคคลนั้นเอง ไม่ใช่กิจกรรมทางวิชาชีพหรือทางการค้า และไม่ได้มุ่งเผยแพร่ต่อสาธารณะ การตลาดเชิงพาณิชย์ไม่ผ่านเกณฑ์ทั้งสามข้อ ถ้าคุณรัน แคมเปญโฆษณาบนโซเชียล เข้าอินโดนีเซียให้ลูกค้า ข้อยกเว้นนี้ไม่คุ้มครองคุณ
อะไรนับเป็นข้อมูลส่วนบุคคล รวมถึงข้อมูลที่คุณประกอบขึ้นเอง
ระเบียบแบ่งข้อมูลส่วนบุคคลออกเป็นสองชั้น มาตรา 6 นิยามข้อมูลส่วนบุคคลเฉพาะว่าครอบคลุมข้อมูลและสารสนเทศด้านสุขภาพ ข้อมูลชีวมิติ ข้อมูลพันธุกรรม ประวัติอาชญากรรม ข้อมูลของเด็ก ข้อมูลการเงินส่วนบุคคล และประเภทอื่นที่กระทรวงหรือหน่วยงานอาจกำหนดเพิ่มโดยประสานกับหน่วยงานกำกับดูแล ส่วนมาตรา 7 นิยามข้อมูลส่วนบุคคลทั่วไปว่าครอบคลุมชื่อเต็ม เพศ สัญชาติ ศาสนา สถานภาพสมรส และข้อมูลส่วนบุคคลใด ๆ ที่ถูกนำมาประกอบกันจนระบุตัวบุคคลได้
ประโยคสุดท้ายในมาตรา 7 คือประโยคที่เปลี่ยนวิธีคิดของทีมข้อมูล ตัวมาตราระบุวิธีการประกอบข้อมูลไว้ชัดเจน ได้แก่ การอ้างอิงโดยตรง การอ้างอิงแบบทำแผนที่ข้อมูล การหาจุดตัดจากหลายแหล่ง และการประกอบด้วยวิธีอื่น จากนั้นระบุอย่างชัดแจ้งว่าการประกอบข้อมูลรวมถึงการใช้ข้อมูลที่มีอยู่ในโดเมนสาธารณะด้วย PPC Land ชี้ว่าข้อความนี้มีผลกับผู้ให้บริการด้าน identity resolution และหลักการนี้ใช้ได้กว้างกว่านั้น ข้อมูลที่ประกอบขึ้นจากแหล่งสาธารณะจะกลายเป็นข้อมูลส่วนบุคคลทันทีที่การประกอบนั้นระบุตัวบุคคลได้ ระเบียบยังสั่งให้หน่วยงานกำกับดูแลออกกฎเพิ่มเติมว่าจะประเมินการประกอบข้อมูลอย่างไร ซึ่งยังไม่ได้ออกมา
แปลเป็นภาษาปฏิบัติ ไฟล์สเปรดชีตที่มีชื่อบริษัท ตำแหน่งงานจากโปรไฟล์สาธารณะ และอีเมลที่เดารูปแบบเอา ไม่ใช่สินทรัพย์สำหรับหาลูกค้าที่เป็นกลางอีกต่อไปภายใต้ตัวบทนี้ เมื่อการประกอบข้อมูลชี้ไปยังบุคคลที่ระบุตัวได้ สิ่งนั้นคือข้อมูลส่วนบุคคลที่ต้องมีฐานการประมวลผลรองรับ หลักเดียวกันใช้กับแพลตฟอร์มข้อมูลลูกค้าที่เย็บรหัสอุปกรณ์เข้ากับรายชื่อในไดเรกทอรีสาธารณะแล้วต่อเข้ากับข้อมูลที่กรอกฟอร์ม การเย็บข้อมูลนั่นเองคือการกระทำที่ก่อให้เกิดหน้าที่ ถ้า ระบบวิเคราะห์และวัดผล ของคุณคือจุดที่การเย็บข้อมูลเกิดขึ้น จุดนั้นคือจุดที่การตรวจสอบจะไปลง
ฐานการประมวลผลหกฐาน และนิยามของความยินยอมที่คลุมเครือ
มาตรา 30 ระบุฐานการประมวลผลไว้หกฐาน คือความยินยอมโดยชัดแจ้งที่สมบูรณ์สำหรับวัตถุประสงค์ที่ระบุไว้อย่างน้อยหนึ่งข้อ การปฏิบัติตามสัญญาที่เจ้าของข้อมูลเป็นคู่สัญญาหรือขั้นตอนก่อนทำสัญญาตามคำขอของเจ้าของข้อมูล การปฏิบัติตามหน้าที่ตามกฎหมาย การคุ้มครองประโยชน์สำคัญต่อชีวิต การปฏิบัติภารกิจเพื่อประโยชน์สาธารณะหรือการใช้อำนาจหน้าที่ และประโยชน์อันชอบธรรมอื่นที่ต้องชั่งน้ำหนักกับสิทธิของเจ้าของข้อมูล มาตรา 32 กำหนดให้ความยินยอมโดยชัดแจ้งต้องได้มาโดยอิสระ โดยรู้ตัว โดยเจาะจง และโดยไม่คลุมเครือ
จากนั้นบันทึกคำอธิบายก็นิยามคำว่าคลุมเครือไว้ และนิยามนั้นแคบพอที่จะนำไปใช้ได้จริง โดยระบุว่าความยินยอมถือว่าคลุมเครือเมื่อการตกลงให้ประมวลผลข้อมูลส่วนบุคคลถูกรวมเข้ากับการตกลงยอมรับข้อกำหนดและเงื่อนไข จนทำให้เจ้าของข้อมูลถูกถือว่าให้ความยินยอมเพียงเพราะได้อ่านข้อกำหนดนั้น อินโดนีเซียเขียนหลักการนี้ลงในตัวบทของระเบียบรัฐบาล แทนที่จะปล่อยให้เป็นแนวปฏิบัติของหน่วยงานกำกับดูแล
ทีมการตลาดไทยทุกทีมรู้จักรูปแบบที่ตกเกณฑ์นี้ดี เพราะฟอร์มเก็บลีดส่วนใหญ่ยังใช้อยู่ คือเช็กบ็อกซ์เดียว ข้อความบรรทัดเดียว ประมาณว่า ยอมรับข้อกำหนดและเงื่อนไข และยินยอมรับข้อเสนอทางการตลาด ภายใต้นิยามในบันทึกคำอธิบาย นั่นคือความยินยอมแบบพ่วง และความยินยอมแบบพ่วงคือความยินยอมที่คลุมเครือ ซึ่งไม่ใช่ความยินยอมที่สมบูรณ์ตามมาตรา 32
การแยกให้ถูกต้องไม่ได้สร้างยาก เพียงแต่ทำงานมากกว่าเช็กบ็อกซ์เดียว การยอมรับข้อกำหนดการใช้บริการเป็นตัวควบคุมหนึ่ง ความยินยอมทางการตลาดเป็นตัวควบคุมที่สอง แยกอิสระ ไม่ติ๊กมาให้ล่วงหน้า และมีข้อความของตัวเองที่ระบุวัตถุประสงค์ ถ้าข้อมูลจะถูกส่งต่อไปยังบุคคลที่สาม ให้ระบุไว้ในตัวควบคุมทางการตลาดนั้นเลย ไม่ใช่ซ่อนไว้ในนโยบายความเป็นส่วนตัวที่ผู้ใช้ไม่เคยเปิด ฟอร์มควรบันทึกด้วยว่าติ๊กตัวควบคุมใด เมื่อใด และเทียบกับข้อความเวอร์ชันไหน เพราะมาตรา 36 วางภาระการพิสูจน์ไว้ที่ผู้ควบคุมข้อมูล ซึ่งต้องแสดงให้เห็นได้ว่าความยินยอมที่ได้มานั้นเป็นอย่างไร ภาพหน้าจอของฟอร์มในวันนี้ไม่ใช่หลักฐานของสิ่งที่ผู้ใช้เห็นเมื่อสิบสี่เดือนก่อน
มาตรา 35 คือมาตราของคนทำการตลาด
มาตรา 35 พูดถึงการเสนอขายสินค้าและบริการโดยตรง และเป็นบทบัญญัติที่ทีมสื่อควรอ่านเป็นอันดับแรก เมื่อความยินยอมครอบคลุมวัตถุประสงค์ทางการตลาด ผู้ควบคุมข้อมูลต้องระบุให้ชัดเจนสามเรื่อง คือบุคคลที่สามที่จะได้รับข้อมูล รูปแบบที่ข้อเสนอจะถูกส่งมา และกลไกทั้งสำหรับการถอนความยินยอมและสำหรับการแจ้งกรณีที่ยังได้รับข้อเสนออยู่หลังถอนความยินยอมแล้ว มาตรา 35 วรรคสามห้ามการได้มาซึ่งความยินยอมด้วยวิธีหลอกลวงหรือทำให้เข้าใจผิด มาตรา 35 วรรคหนึ่งกำหนดว่าการปฏิเสธไม่ให้ความยินยอมต้องไม่ทำให้คุณภาพของสินค้า บริการ หรือการสนับสนุนที่ได้รับลดลง เว้นแต่การให้บริการนั้นจำเป็นต้องใช้การประมวลผลจริง ๆ มาตรา 37 กำหนดให้ต้องมีกลไกถอนความยินยอมที่ใช้ได้ตลอดเวลา
ข้อที่ทำได้ยากที่สุดคือการระบุชื่อบุคคลที่สาม ระบบมาร์เทคทั่วไปไม่ได้มีรายชื่อสั้น ๆ ฟอร์มเก็บลีดเพียงฟอร์มเดียวอาจส่งข้อมูลไปยังผู้ให้บริการฟอร์ม คอนเทนเนอร์ของแท็กแมเนเจอร์ ระบบ CRM ผู้ให้บริการอีเมล ผู้ให้บริการติดตามสายโทรศัพท์ คลังข้อมูล ปลายทาง conversions API ของแพลตฟอร์มโฆษณาหนึ่งแห่งหรือมากกว่า แพลตฟอร์มข้อมูลลูกค้า และชั้นรายงานที่วางทับอยู่ข้างบน องค์กรส่วนใหญ่ไม่เคยเขียนรายการนั้นออกมาในรูปแบบที่ผู้ใช้อ่านได้ และผู้รับข้อมูลหลายรายถูกเพิ่มเข้ามาโดยนักพัฒนาหรือเอเจนซี ไม่ใช่โดยการตัดสินใจของฝ่ายการตลาด
การทำรายการนั้นให้เสร็จคืองานที่มีประโยชน์ที่สุดชิ้นเดียวที่ทีมทำได้ระหว่างนี้จนถึงกลางเดือนมกราคม 2570 เพราะมันเป็นเงื่อนไขตั้งต้นของทุกอย่างที่เหลือ คุณเขียนชื่อผู้รับข้อมูลลงในประกาศความยินยอมไม่ได้จนกว่าจะรู้ว่าใครบ้าง และคุณทำตามคำขอถอนความยินยอมให้ทันกำหนดเวลาไม่ได้จนกว่าจะรู้ว่าต้องแจ้งระบบไหนบ้าง การทำรายการแบบนี้มักเจอผู้รับข้อมูลที่ตอนนี้ไม่มีใครเป็นเจ้าของ เมื่อรันการตรวจแบบเดียวกันกับพิกเซลและปลายทางคอนเวอร์ชันของ โฆษณาบนเฟซบุ๊ก สิ่งที่เจอบ่อยคือคอนเทนเนอร์ที่เต็มไปด้วยแท็กซึ่งเจ้าของฝั่งธุรกิจลาออกไปแล้ว
ข้อกำหนดของมาตรา 35 ที่ให้ระบุรูปแบบของข้อเสนอก็ควรบันทึกไว้ต่างหาก ความยินยอมให้ส่งอีเมลไม่ใช่ความยินยอมให้โทรศัพท์หา และทั้งสองอย่างก็ไม่ใช่ความยินยอมให้นำข้อมูลไปจับคู่เข้ากลุ่มออดิเอนซ์แบบกำหนดเองโดยอัตโนมัติ ระเบียบขอให้ผู้ควบคุมข้อมูลเจาะจงเรื่องช่องทาง ซึ่งเป็นโจทย์ของการเขียนข้อความพอ ๆ กับเป็นโจทย์ทางกฎหมาย และเป็นงานของคนที่ดูแล คอนเทนต์และข้อความ บนฟอร์ม ไม่ใช่ของฝ่ายกฎหมายเพียงลำพัง
กรอบเวลา 72 ชั่วโมง และคนที่ต้องรับผิดชอบกล่องข้อความ
ระเบียบผูกกำหนดเวลาที่เขียนไว้ว่าสามคูณยี่สิบสี่ชั่วโมงเข้ากับหน้าที่เก้าข้อแยกกัน นี่คือแกนปฏิบัติของตัวบท และเป็นจุดที่องค์กรส่วนใหญ่จะพลาดก่อน เพราะกำหนดเวลาที่วัดเป็นชั่วโมงไม่มีทางทำสำเร็จได้ด้วยกระบวนการที่ทำงานตอนมีคนนึกขึ้นได้ ตารางด้านล่างไล่หน้าที่ทั้งเก้าข้อพร้อมมาตราที่รองรับ
| มาตรา | หน้าที่ที่ผูกกับกรอบเวลา 72 ชั่วโมง |
|---|---|
| มาตรา 71 | แก้ไขหรือปรับปรุงข้อมูลส่วนบุคคลที่ไม่ถูกต้อง นับจากวันที่ได้รับคำขอ |
| มาตรา 77 | ให้สิทธิเข้าถึงข้อมูลส่วนบุคคล |
| มาตรา 78 | ยืนยันคำขอสำเนาข้อมูล และแจ้งระยะเวลาที่ต้องใช้ในการจัดส่ง |
| มาตรา 87 | แจ้งการลบหรือทำลายข้อมูล ก่อนหรือหลังการกระทำแล้วแต่ฐานที่ใช้ |
| มาตรา 92 | หยุดการประมวลผลเมื่อมีการถอนความยินยอม |
| มาตรา 99 | ระงับหรือจำกัดการประมวลผล |
| มาตรา 100 | ปฏิเสธคำขอให้ระงับหรือจำกัดการประมวลผล |
| มาตรา 103 | แจ้งว่าการระงับการประมวลผลได้เกิดขึ้นแล้ว |
| มาตรา 114 | แจ้งเหตุละเมิดข้อมูลส่วนบุคคล |
มาตรา 1 นิยามคำว่าวันไว้ว่าหมายถึงวันทำการ นิยามนี้มีผลต่อระยะเวลาทางกระบวนการที่ยาวกว่าในหมวดการบังคับใช้ แต่ไม่ได้ทำให้กำหนดเวลาที่นับเป็นชั่วโมงผ่อนลง เจ็ดสิบสองชั่วโมงคือเจ็ดสิบสองชั่วโมง และมันเริ่มนับได้ตั้งแต่เย็นวันศุกร์
ในทางปฏิบัติแปลว่าต้องมีคนรับผิดชอบกล่องข้อความ ไม่ใช่อีเมลกลางที่ไม่มีใครเปิด และไม่ใช่ฟอร์มติดต่อที่วิ่งเข้าคิวคำถามทั่วไป ต้องเป็นคนที่ระบุชื่อได้ มีคนสำรองที่ระบุชื่อได้ มีปลายทางที่มีคนเฝ้า และมีเส้นทางที่กำหนดไว้ชัดจากคำขอที่เข้ามาไปจนถึงการแก้ไขในระบบ มาตรา 92 คือข้อที่กัดฝั่งการตลาดแรงที่สุด เพราะการหยุดประมวลผลภายใน 72 ชั่วโมงนับจากการถอนความยินยอมแปลว่าทุกระบบปลายน้ำที่ถือระเบียนนั้นอยู่ต้องเข้าถึงได้ภายในกรอบเวลานั้น ถ้าการตัดคนออกจากกลุ่มรีทาร์เก็ตติงเป็นงานที่ทำมือทุกไตรมาส นั่นคือความล้มเหลวที่รอคำขอฉบับแรกอยู่
การซ้อมด้วยการยิงคำขอเข้าไปเองคุ้มค่าที่จะทำ ลองส่งคำขอเข้าถึงข้อมูลเข้าไปยังเส้นทางข้อมูลฝั่งอินโดนีเซียของตัวเอง แล้วจับเวลาอย่างซื่อสัตย์ ถ้าคำตอบคือไม่มีใครแน่ใจว่าระบบไหนถือระเบียนนั้นอยู่บ้าง คำตอบก็คือกรอบเวลา 72 ชั่วโมงยังทำไม่ได้ในตอนนี้ และการรู้เรื่องนี้ในเดือนสิงหาคมย่อมดีกว่ารู้ในเดือนมกราคม
ข้อมูลที่ไม่ได้เก็บจากเจ้าของข้อมูลโดยตรง มีเวลาสามสิบวัน
มาตรา 64 กำหนดกรอบเวลาอีกแบบสำหรับข้อมูลที่ได้มาทางอ้อม เมื่อข้อมูลส่วนบุคคลไม่ได้เก็บจากเจ้าของข้อมูลโดยตรง ผู้ควบคุมข้อมูลมีเวลา 30 วันนับจากวันที่เก็บรวบรวม เพื่อแจ้งข้อมูลตามที่มาตรา 62 กำหนด ซึ่งครอบคลุมความชอบด้วยกฎหมายของการประมวลผล วัตถุประสงค์ ประเภทและความเกี่ยวข้องของข้อมูล ระยะเวลาเก็บรักษา รายละเอียดของข้อมูลที่เก็บรวบรวม ระยะเวลาการประมวลผล และสิทธิของเจ้าของข้อมูล
รายชื่อที่ซื้อมา การลงทะเบียนร่วมกับพันธมิตร ไฟล์ผู้เข้าร่วมงานอีเวนต์ที่ผู้จัดส่งมอบให้ และระเบียนที่เสริมข้อมูลจากผู้ให้บริการดาต้า ทั้งหมดอยู่ในขอบเขตของมาตรา 64 สามสิบวันนับจากวันเก็บรวบรวมคือกรอบเวลาที่สั้นสำหรับกระบวนการที่ในองค์กรส่วนใหญ่ยังไม่มีอยู่เลย หน้าที่นี้ไม่ใช่การไปขออนุญาตย้อนหลัง แต่คือการบอกบุคคลนั้นว่าตอนนี้คุณถืออะไรของเขาอยู่และถือไว้ทำไม ภายในหนึ่งเดือน
เรื่องตัวเลขค่าปรับ 2 เปอร์เซ็นต์ของรายได้
พาดหัวของ PPC Land ระบุว่าผู้ควบคุมข้อมูลเผชิญค่าปรับที่ระดับ 2 เปอร์เซ็นต์ของรายได้ภายใต้กฎข้อมูลชุดใหม่ของอินโดนีเซีย ตัวเลขนั้นไม่ปรากฏในเนื้อความที่มีอยู่ในมือ สิ่งที่เนื้อความยืนยันได้คือการกำหนดโทษทางปกครองเป็นหนึ่งในสิบเรื่องที่กฎหมายเลขที่ 27 ปี 2565 มอบให้ระเบียบฉบับนี้ไปกำหนดต่อ ดังนั้นตัวระเบียบมีระบบโทษทางปกครองอยู่จริง ส่วนเพดานตัวเลขที่เจาะจงนั้นเป็นสิ่งที่ PPC Land รายงานไว้ในพาดหัว และรายงานชิ้นนี้ไม่สามารถชี้เลขมาตราที่รองรับตัวเลขดังกล่าวได้
ความต่างตรงนี้ควรพูดออกมาตรง ๆ มากกว่าจะกลบไว้ เพดานค่าปรับที่คิดเป็นเปอร์เซ็นต์ของรายได้คือตัวเลขประเภทที่จะถูกยกไปใส่ในเอกสารเสนอคณะกรรมการ และการยกตัวเลขนั้นพร้อมอ้างเลขมาตราที่ตรวจสอบไม่ได้ คือวิธีที่เอกสารสรุปด้านการกำกับดูแลเสียความน่าเชื่อถือ ให้ถือว่าตัวเลขนี้เป็นสิ่งที่สำนักข่าวรายงาน และให้ที่ปรึกษากฎหมายอ่านตัวระเบียบฉบับที่ 33 เองก่อนที่ตัวเลขจะเข้าไปอยู่ในทะเบียนความเสี่ยงขององค์กร
สิ่งนี้หมายถึงอะไรสำหรับนักการตลาดไทย
สรุปสั้น ๆ ถ้าแคมเปญ ฟอร์มเก็บลีด ระบบ CRM หรือรีทาร์เก็ตติงของคุณแตะข้อมูลผู้ใช้ชาวอินโดนีเซีย คุณมีเส้นตายการปฏิบัติตามกฎอยู่ที่กลางเดือนมกราคม 2570 และมีเวลาเตรียมตัวราวห้าเดือน การที่บริษัทจดทะเบียนในประเทศไทยไม่ได้เปลี่ยนข้อเท็จจริงข้อนี้
งานแบ่งออกเป็นสี่ก้อน และไม่มีก้อนไหนที่ต้องรอความเห็นทางกฎหมายก่อนจึงจะเริ่มได้ ก้อนแรกคือทำรายชื่อผู้รับข้อมูล เขียนออกมาให้ครบว่าระบบใด ผู้ให้บริการรายใด และปลายทางใดบ้างที่รับข้อมูลส่วนบุคคลของชาวอินโดนีเซียจากทรัพย์สินดิจิทัลของคุณ พร้อมระบุชื่อเจ้าของรายการแต่ละรายการ มาตรา 35 บังคับให้คุณระบุบุคคลที่สามได้ และไม่มีประกาศความยินยอมฉบับใดเขียนได้ก่อนที่รายชื่อนี้จะมีอยู่
ก้อนที่สองคือแยกความยินยอมออกจากกัน แยกการยอมรับข้อกำหนดออกจากความยินยอมทางการตลาดในทุกฟอร์มที่เก็บข้อมูลชาวอินโดนีเซีย ทำให้ตัวควบคุมทางการตลาดเป็นอิสระและไม่ติ๊กมาให้ ระบุวัตถุประสงค์และช่องทางไว้ในข้อความของตัวควบคุมนั้นเอง และบันทึกเหตุการณ์การให้ความยินยอมพร้อมเวลาและเวอร์ชันของข้อความ เพื่อให้ภาระการพิสูจน์ตามมาตรา 36 ปลดเปลื้องได้จริง
ก้อนที่สามคือมอบหมายกล่องข้อความและซ้อมจับเวลา หนึ่งเจ้าของ หนึ่งคนสำรอง ปลายทางที่มีคนเฝ้า และเส้นทางที่เขียนไว้ชัดจากคำขอไปจนถึงการเปลี่ยนแปลงในแต่ละระบบ จากนั้นทดสอบกับหน้าที่ที่รัดตัวที่สุดที่คุณมี ซึ่งสำหรับฝั่งการตลาดคือมาตรา 92 การหยุดประมวลผลหลังการถอนความยินยอม
ก้อนที่สี่คือดูจุดที่ข้อมูลถูกเย็บเข้าด้วยกัน ข้อความเรื่องการประกอบข้อมูลในมาตรา 7 แปลว่ากระบวนการใดก็ตามที่ประกอบตัวตนขึ้นจากหลายแหล่ง รวมถึงแหล่งสาธารณะ กำลังสร้างข้อมูลส่วนบุคคลขึ้นมา ฐานข้อมูลหาลูกค้า ผู้ให้บริการเสริมข้อมูล และการเย็บตัวตนภายในแพลตฟอร์มข้อมูลลูกค้า อยู่ในหมวดนี้ทั้งหมด ถ้ายังไม่มีใครทำแผนที่ว่าการเย็บข้อมูลเกิดขึ้นตรงไหนในระบบของคุณ แผนที่นั้นคือเงื่อนไขตั้งต้นของทุกก้อนข้างบน
สิ่งที่แหล่งข่าวไม่ได้ครอบคลุม
มีหลายเรื่องที่พูดจากรายงานชิ้นนี้ไม่ได้ ไม่มีเนื้อหาใดเกี่ยวกับพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคลของไทย ดังนั้นจึงไม่มีการเทียบเคียงระหว่างสองระบบกฎหมายในบทความนี้ ไม่มีประวัติการบังคับใช้ เพราะระเบียบยังไม่มีผลและยังไม่มีคดี ไม่มีแนวปฏิบัติจากหน่วยงานกำกับดูแลของอินโดนีเซีย รวมถึงเรื่องการประเมินการประกอบข้อมูลที่มาตรา 7 สั่งให้ออก และไม่มีรายการประเภทข้อมูลส่วนบุคคลเฉพาะเพิ่มเติมที่กระทรวงหรือหน่วยงานอาจกำหนดตามมาตรา 6 ตราบใดที่การกำหนดนั้นยังไม่ออกมา หมวดนี้ก็ยังเปิดกว้างอยู่
อินโดนีเซียเป็นเขตอำนาจแยกต่างหากที่ใช้เครื่องมือทางกฎหมายของตัวเอง บทความนี้ไม่ได้เปรียบเทียบระดับค่าปรับหรือบทบัญญัติกับกฎหมายของประเทศอื่น เพราะตัวบทเหล่านั้นไม่ได้อยู่ตรงหน้า และการเปรียบเทียบที่สร้างขึ้นจากความทรงจำคือรายละเอียดประเภทที่จะถูกยกกลับมาถามในห้องประชุมกับลูกค้า
คำถามที่พบบ่อย
ระเบียบรัฐบาลฉบับที่ 33 ของอินโดนีเซียมีผลบังคับใช้เมื่อใด
กลางเดือนมกราคม 2570 มาตรา 225 กำหนดให้ระเบียบมีผลหกเดือนหลังการประกาศใช้ และประกาศใช้เมื่อวันที่ 16 กรกฎาคม 2569 โดยรัฐมนตรีเลขาธิการแห่งรัฐ ปราเซตโย ฮาดี วันที่ต้องปฏิบัติตามจึงตกอยู่กลางเดือนมกราคม 2570
ระเบียบนี้ใช้กับเอเจนซีในกรุงเทพที่ไม่มีนิติบุคคลในอินโดนีเซียหรือไม่
ใช้ หากการกระทำของเอเจนซีก่อผลทางกฎหมายภายในอินโดนีเซียหรือกระทบพลเมืองอินโดนีเซียที่อยู่ต่างประเทศ มาตรา 2 ส่วนที่สองขยายการบังคับใช้ไปยังผู้ควบคุมข้อมูลนอกเขตอำนาจอินโดนีเซียบนฐานนี้ และบันทึกคำอธิบายระบุว่าส่วนดังกล่าวมีขึ้นเพื่อคุ้มครองเจ้าของข้อมูลชาวอินโดนีเซียที่ข้อมูลถูกประมวลผลในต่างแดน
เช็กบ็อกซ์เดียวที่รวมข้อกำหนดกับข้อเสนอทางการตลาดถือเป็นความยินยอมที่สมบูรณ์ไหม
ไม่ถือ ตามนิยามในบันทึกคำอธิบาย ซึ่งระบุว่าความยินยอมคลุมเครือเมื่อการตกลงให้ประมวลผลข้อมูลส่วนบุคคลถูกรวมเข้ากับการตกลงยอมรับข้อกำหนดและเงื่อนไข จนเจ้าของข้อมูลถูกถือว่ายินยอมเพียงเพราะได้อ่านข้อกำหนด และมาตรา 32 กำหนดให้ความยินยอมโดยชัดแจ้งต้องไม่คลุมเครือ
กรอบเวลา 72 ชั่วโมงผูกกับหน้าที่อะไรบ้าง
ผูกกับหน้าที่เก้าข้อทั่วทั้งระเบียบ เขียนไว้ว่าสามคูณยี่สิบสี่ชั่วโมง ครอบคลุมการแก้ไขข้อมูลตามมาตรา 71 การให้เข้าถึงตามมาตรา 77 การยืนยันคำขอสำเนาตามมาตรา 78 การแจ้งการลบตามมาตรา 87 การหยุดประมวลผลหลังถอนความยินยอมตามมาตรา 92 การระงับและจำกัดการประมวลผลตามมาตรา 99 มาตรา 100 และมาตรา 103 และการแจ้งเหตุละเมิดตามมาตรา 114
มาตรา 35 กำหนดให้ประกาศความยินยอมทางการตลาดต้องมีอะไรบ้าง
ต้องระบุสามเรื่อง คือบุคคลที่สามที่จะได้รับข้อมูล รูปแบบที่ข้อเสนอจะถูกส่งมา และกลไกสำหรับถอนความยินยอมและสำหรับแจ้งกรณีที่ยังได้รับข้อเสนอหลังถอนความยินยอมแล้ว วรรคสามยังห้ามการได้มาซึ่งความยินยอมด้วยวิธีหลอกลวงหรือทำให้เข้าใจผิด และวรรคหนึ่งห้ามไม่ให้การปฏิเสธทำให้คุณภาพของสินค้าหรือบริการที่ได้รับลดลง
ถ้าคุณรันงานหาลูกค้าเข้าอินโดนีเซียและยังไม่ได้เขียนออกมาว่าระบบใดบ้างที่รับข้อมูลนั้น รายการดังกล่าวคือชิ้นงานแรกที่ควรทำ และเป็นงานระดับหนึ่งสัปดาห์ ไม่ใช่หนึ่งไตรมาส Relevant Audience ช่วยทำแผนที่เส้นทางข้อมูลเบื้องหลังแคมเปญ ฟอร์ม และระบบวัดผลของคุณได้ก่อนที่วันในเดือนมกราคม 2570 จะมาถึง
