ธันย์ธรณ์เทพ แย้มอุทัย, Ph.D. | LAS Legal | อัปเดต 8 เมษายน 2569
ธุรกิจของคุณเก็บข้อมูลลูกค้าหรือไม่? หากคำตอบคือใช่ — คุณอยู่ภายใต้บังคับของ PDPA แม้จะเป็นเพียง SME ขนาดเล็กที่เก็บเพียงชื่อ เบอร์โทร หรืออีเมลลูกค้า พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 บังคับใช้กับทุกองค์กรที่เก็บ ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล ไม่จำกัดขนาดธุรกิจ ไม่จำกัดว่าเป็นนิติบุคคลหรือบุคคลธรรมดา โทษทางปกครองสูงสุดถึง 5,000,000 บาท โทษทางอาญาจำคุกสูงสุด 1 ปี
บทความนี้รวบรวม 10 ข้อที่ SME ต้องดำเนินการ พร้อมคำอธิบายเชิงปฏิบัติ ระบุมาตราที่เกี่ยวข้อง ตารางบทลงโทษ ข้อกำหนด DPO และตัวอย่างแบบฟอร์มที่ต้องจัดเตรียม
พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 มาตรา 6 กำหนดว่า "ผู้ควบคุมข้อมูลส่วนบุคคล" (Data Controller) คือบุคคลหรือนิติบุคคลซึ่งมีอำนาจหน้าที่ตัดสินใจเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล และ "ผู้ประมวลผลข้อมูลส่วนบุคคล" (Data Processor) คือบุคคลหรือนิติบุคคลที่ดำเนินการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลตามคำสั่งหรือในนามของผู้ควบคุมข้อมูล
SME ส่วนใหญ่จะเป็น Data Controller เนื่องจากตัดสินใจว่าจะเก็บข้อมูลอะไร เพื่อวัตถุประสงค์ใด ส่วนผู้ให้บริการ Cloud, ระบบ CRM, บริษัทส่งอีเมล Marketing จะเป็น Data Processor ที่ดำเนินการตามคำสั่ง
1จัดทำบันทึกกิจกรรมการประมวลผลข้อมูล (ROPA — Records of Processing Activities)
มาตรา 39 พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562
ROPA คือเอกสารสำคัญที่สุดในการปฏิบัติตาม PDPA พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 มาตรา 39 กำหนดให้ผู้ควบคุมข้อมูลส่วนบุคคลจัดทำบันทึกรายการกิจกรรมการประมวลผลข้อมูลส่วนบุคคล ซึ่งต้องระบุรายละเอียดต่อไปนี้อย่างครบถ้วน
SME สามารถเริ่มต้นด้วยสเปรดชีตอย่างง่ายที่มีคอลัมน์ดังนี้: (1) ชื่อกิจกรรม (2) ประเภทข้อมูล (3) เจ้าของข้อมูล (4) วัตถุประสงค์ (5) ฐานทางกฎหมาย (Legal Basis) (6) ระยะเวลาจัดเก็บ (7) ผู้รับข้อมูล (8) มาตรการความปลอดภัย จากนั้นค่อยพัฒนาเป็นระบบที่ซับซ้อนขึ้นตามความจำเป็น
หากไม่มี ROPA เจ้าหน้าที่ สคส. สามารถสั่งให้หยุดการประมวลผลข้อมูลชั่วคราวได้ตามมาตรา 58 และอาจมีโทษทางปกครองตามมาตรา 82 สูงสุดถึง 3,000,000 บาท
2จัดทำนโยบายความเป็นส่วนตัว (Privacy Policy / Privacy Notice)
มาตรา 23-24 พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562
พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 มาตรา 23 กำหนดให้ผู้ควบคุมข้อมูลส่วนบุคคล แจ้งให้เจ้าของข้อมูลทราบก่อนหรือในขณะที่เก็บรวบรวมข้อมูล โดยต้องแจ้งข้อมูลดังต่อไปนี้
| ฐาน | มาตรา | ตัวอย่างการใช้งาน |
|---|---|---|
| ความยินยอม (Consent) | ม.19 | รับข่าวสาร Newsletter, Marketing |
| สัญญา (Contract) | ม.24(3) | ประมวลผลเพื่อส่งสินค้าที่ซื้อ |
| หน้าที่ตามกฎหมาย (Legal Obligation) | ม.24(6) | เก็บข้อมูลตามกฎหมายภาษี |
| ประโยชน์สำคัญ (Vital Interest) | ม.24(4) | ฉุกเฉินทางการแพทย์ |
| ผลประโยชน์สาธารณะ (Public Task) | ม.24(5) | หน่วยงานรัฐ |
| ประโยชน์โดยชอบด้วยกฎหมาย (Legitimate Interest) | ม.24(7) | การป้องกันการทุจริต Fraud Prevention |
3จัดการเรื่องความยินยอม (Consent Management)
มาตรา 19-21 พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562
พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 มาตรา 19 กำหนดว่าการเก็บรวบรวมข้อมูลส่วนบุคคลต้องได้รับ ความยินยอมจากเจ้าของข้อมูล ก่อนหรือในขณะที่เก็บรวบรวมข้อมูล โดยความยินยอมต้องมีคุณสมบัติสำคัญดังนี้
ตัวอย่าง: หนังสือให้ความยินยอมในการเก็บรวบรวมข้อมูลส่วนบุคคล
บริษัท [ชื่อบริษัท] ("ผู้ควบคุมข้อมูล") ขอเก็บรวบรวมข้อมูลส่วนบุคคลของท่าน ดังนี้
ข้อมูลที่เก็บ: ชื่อ-นามสกุล, อีเมล, เบอร์โทรศัพท์, ที่อยู่
วัตถุประสงค์: เพื่อ [ระบุวัตถุประสงค์เฉพาะ] เท่านั้น
ระยะเวลา: [ระบุระยะเวลา] นับจากวันที่ท่านให้ความยินยอม
สิทธิของท่าน: ท่านมีสิทธิถอนความยินยอมได้ตลอดเวลา โดยติดต่อ [ช่องทาง]
☐ ข้าพเจ้ายินยอมให้เก็บรวบรวมข้อมูลส่วนบุคคลตามที่ระบุข้างต้น
การเก็บข้อมูลโดยไม่มีความยินยอมที่ถูกต้อง หรือใช้ข้อมูลเกินกว่าที่ได้รับความยินยอม อาจมีโทษทางปกครองตามมาตรา 82 สูงสุด 3,000,000 บาท หากเป็นข้อมูลอ่อนไหว โทษสูงขึ้นถึง 5,000,000 บาท ตามมาตรา 83
4ระวังข้อมูลอ่อนไหว (Sensitive Personal Data)
มาตรา 26 พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562
พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 มาตรา 26 กำหนดให้ข้อมูลบางประเภทได้รับการคุ้มครองเป็นพิเศษ เรียกว่า "ข้อมูลส่วนบุคคลที่มีความอ่อนไหว" ซึ่งต้องได้รับ ความยินยอมโดยชัดแจ้ง (Explicit Consent) ก่อนเสมอ เว้นแต่จะมีข้อยกเว้นตามที่กฎหมายกำหนด
| ประเภท | ตัวอย่างในธุรกิจ SME | ข้อยกเว้นที่พบบ่อย |
|---|---|---|
| เชื้อชาติ / เผ่าพันธุ์ | HR เก็บสัญชาติพนักงาน | จำเป็นตามกฎหมายแรงงาน |
| ความคิดเห็นทางการเมือง | แบบสอบถามทางการเมือง | แทบไม่มีข้อยกเว้นสำหรับธุรกิจ |
| ความเชื่อทางศาสนา / ปรัชญา | เก็บเพื่อจัดมื้ออาหารฮาลาล | ได้รับความยินยอมชัดแจ้ง |
| พฤติกรรมทางเพศ | แพลตฟอร์มนัดหมาย | ต้องได้รับความยินยอมโดยชัดแจ้ง |
| ประวัติอาชญากรรม | Background Check พนักงาน | จำเป็นตามกฎหมาย / ความยินยอม |
| ข้อมูลสุขภาพ | ใบรับรองแพทย์ ประกันสุขภาพ | จำเป็นทางการแพทย์ / ความยินยอม |
| ข้อมูลสหภาพแรงงาน | สมาชิกภาพสหภาพแรงงาน | จำเป็นตามกฎหมายแรงงาน |
| ข้อมูลพันธุกรรม | ผลตรวจ DNA | จำเป็นทางการแพทย์ |
| ข้อมูลชีวภาพ (Biometric) | ลายนิ้วมือ สแกนใบหน้า ระบบ Time Attendance | ต้องได้รับความยินยอมโดยชัดแจ้ง |
ระบบบันทึกเวลาด้วย Fingerprint หรือ Face Recognition ถือเป็นการประมวลผลข้อมูลชีวภาพ (Biometric Data) ซึ่งเป็นข้อมูลอ่อนไหว ต้องได้รับความยินยอมโดยชัดแจ้งจากพนักงานทุกคน พร้อมแจ้งวัตถุประสงค์ และต้องมี Privacy Notice แยกสำหรับข้อมูลชีวภาพโดยเฉพาะ
5ทำสัญญาประมวลผลข้อมูล (DPA — Data Processing Agreement) กับ Vendor
มาตรา 40 พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562
พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 มาตรา 40 กำหนดว่าในกรณีที่ผู้ควบคุมข้อมูลส่วนบุคคลมอบหมายให้ผู้ประมวลผลข้อมูลส่วนบุคคลดำเนินการแทน ต้องจัดทำ ข้อตกลงการประมวลผลข้อมูลส่วนบุคคล (DPA) เป็นลายลักษณ์อักษร
หากผู้ให้บริการ Cloud เกิดข้อมูลรั่วไหล และไม่มี DPA กำหนดความรับผิด SME ในฐานะ Data Controller อาจต้องรับผิดชอบต่อเจ้าของข้อมูลแต่เพียงผู้เดียว ควรตรวจสอบว่าผู้ให้บริการที่ใช้อยู่มีข้อกำหนดด้าน DPA อยู่ใน Terms of Service หรือไม่
6จัดทำมาตรการรักษาความปลอดภัย (Technical & Organizational Security Measures)
มาตรา 37(1) พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562
พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 มาตรา 37(1) กำหนดให้ผู้ควบคุมข้อมูลส่วนบุคคล "จัดให้มีมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสม" เพื่อป้องกันการสูญหาย เข้าถึง ใช้ เปลี่ยนแปลง แก้ไข หรือเปิดเผยข้อมูลโดยมิชอบ
| ด้าน | มาตรการ | ระดับความสำคัญ |
|---|---|---|
| การควบคุมการเข้าถึง | ใช้รหัสผ่านที่แข็งแกร่ง, 2FA, กำหนดสิทธิ์ตามตำแหน่ง | สูง |
| การเข้ารหัส | Encrypt ข้อมูลอ่อนไหว, ใช้ HTTPS บนเว็บ | สูง |
| การสำรองข้อมูล | Backup สม่ำเสมอ ทดสอบ Restore ได้ | กลาง |
| การตรวจสอบการเข้าถึง | Log การเข้าถึงข้อมูลสำคัญ | กลาง |
| การฝึกอบรมพนักงาน | อบรม PDPA ปีละอย่างน้อย 1 ครั้ง | สูง |
| นโยบายการใช้อุปกรณ์ | BYOD Policy, Mobile Device Management | กลาง |
| การกำจัดข้อมูล | Secure Deletion, Shredding เอกสาร | กลาง |
7เตรียมแผนรับมือเหตุละเมิดข้อมูล (Data Breach Response Plan)
มาตรา 37(4) พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562
พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 มาตรา 37(4) กำหนดว่าเมื่อเกิดเหตุละเมิดข้อมูลส่วนบุคคล ผู้ควบคุมข้อมูลต้อง แจ้งสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (สคส.) ภายใน 72 ชั่วโมง นับแต่ทราบเหตุ และหากมีความเสี่ยงสูงต้องแจ้งเจ้าของข้อมูลด้วย
การไม่แจ้งเหตุละเมิดข้อมูลส่วนบุคคลภายใน 72 ชั่วโมงโดยไม่มีเหตุผลอันควร อาจมีโทษทางปกครองตามมาตรา 84 สูงสุด 3,000,000 บาท Option A: จัดทำ Data Breach Response Plan ล่วงหน้าและซ้อม Drill ปีละ 1 ครั้ง | Option B: ใช้บริษัทที่ปรึกษา PDPA ที่มีทีม Incident Response สนับสนุน
8กำหนดระยะเวลาจัดเก็บข้อมูล (Data Retention Policy)
มาตรา 37(3) พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562
พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 มาตรา 37(3) กำหนดให้ผู้ควบคุมข้อมูล ลบหรือทำลายข้อมูลส่วนบุคคลเมื่อพ้นความจำเป็นตามวัตถุประสงค์ หรือตามที่เจ้าของข้อมูลร้องขอเว้นแต่จะมีกฎหมายกำหนดให้เก็บต่อไป
| ประเภทข้อมูล | Retention Period แนะนำ | เหตุผล / ฐานกฎหมาย |
|---|---|---|
| ข้อมูลลูกค้า (Active) | ตลอดระยะที่เป็นลูกค้า + 3 ปี | อายุความเรียกร้อง ปพพ. ม.193/30 |
| ข้อมูลใบแจ้งหนี้ / ใบเสร็จ | 5 ปี | กฎหมายบัญชี (พ.ร.บ.การบัญชี พ.ศ. 2543) |
| ข้อมูลพนักงาน (ในระหว่างจ้าง) | ตลอดระยะการจ้างงาน + 2 ปี | พ.ร.บ.คุ้มครองแรงงาน ม.123 |
| CV / ใบสมัครงาน (ไม่ผ่านการคัดเลือก) | 6 เดือน - 1 ปี | ขอบเขตวัตถุประสงค์สิ้นสุด |
| Log การเข้าเว็บไซต์ / IP Address | 90 วัน | ตามมาตรฐาน Cybersecurity |
| ข้อมูล Marketing / Newsletter | จนกว่าจะถอนความยินยอม | ฐาน Consent สิ้นสุด |
| กล้อง CCTV | 30-90 วัน | ตามความจำเป็นด้านความปลอดภัย |
9จัดระบบรองรับสิทธิเจ้าของข้อมูล (Data Subject Rights)
มาตรา 30-36 พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562
พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 มาตรา 30-36 กำหนดสิทธิ 7 ประการของเจ้าของข้อมูล ที่ SME ต้องสร้างกระบวนการรองรับ
| สิทธิ | มาตรา | เนื้อหาโดยสรุป | ระยะเวลาตอบสนอง |
|---|---|---|---|
| สิทธิเข้าถึง (Access) | ม.30 | ขอดูข้อมูลที่เก็บไว้เกี่ยวกับตนเอง | ภายใน 30 วัน |
| สิทธิแก้ไข (Rectification) | ม.34 | ขอแก้ไขข้อมูลที่ไม่ถูกต้องหรือไม่สมบูรณ์ | ภายใน 30 วัน |
| สิทธิลบ (Erasure / Right to be Forgotten) | ม.33 | ขอให้ลบข้อมูลเมื่อหมดความจำเป็น | ภายใน 30 วัน |
| สิทธิระงับการใช้ (Restriction) | ม.35 | ขอให้หยุดใช้ข้อมูลชั่วคราวระหว่างพิจารณา | ภายใน 30 วัน |
| สิทธิโอนย้าย (Portability) | ม.31 | ขอรับข้อมูลในรูปแบบที่ใช้งานได้ / โอนไปที่อื่น | ภายใน 30 วัน |
| สิทธิคัดค้าน (Objection) | ม.32 | คัดค้านการประมวลผลด้วย Legitimate Interest | ทันที (หยุดก่อน) |
| สิทธิถอนความยินยอม (Withdraw Consent) | ม.19 วรรค3 | ถอนความยินยอมได้ตลอดเวลา | ทันที |
10แต่งตั้ง DPO (Data Protection Officer) หรือผู้รับผิดชอบ PDPA
มาตรา 41-45 พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562
พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 มาตรา 41 กำหนดให้แต่งตั้ง DPO ในกรณีที่กำหนดไว้ โดย DPO มีหน้าที่หลักดังนี้
แม้ไม่ถึงเกณฑ์บังคับ ควรมอบหมายพนักงานคนหนึ่งเป็น PDPA Coordinator รับผิดชอบ: (1) อัปเดตนโยบายเมื่อกฎหมายเปลี่ยน (2) รับและตอบสนองคำขอจากเจ้าของข้อมูล (3) ประสานงานกับ สคส. หากจำเป็น (4) ฝึกอบรมพนักงาน (5) บันทึกและ Review ROPA ประจำปี
พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 กำหนดบทลงโทษ 3 ประเภท ได้แก่ โทษทางแพ่ง โทษทางอาญา และโทษทางปกครอง
| ความผิด | โทษ |
|---|---|
| ละเมิดสิทธิเจ้าของข้อมูลโดยจงใจหรือประมาทเลินเล่อ | ค่าเสียหายตามจริง + เพิ่มได้ไม่เกิน 2 เท่า (Punitive) |
| ส่งข้อมูลออกนอกราชอาณาจักรโดยไม่ชอบ | ค่าเสียหายตามจริง + เพิ่มได้ไม่เกิน 2 เท่า |
| ความผิด | จำคุก | ปรับ |
|---|---|---|
| ใช้ประโยชน์จากข้อมูลส่วนบุคคลโดยมิชอบ (ม.79) | ไม่เกิน 6 เดือน | ไม่เกิน 500,000 บาท |
| เปิดเผยข้อมูลอ่อนไหวโดยมิชอบ (ม.80) | ไม่เกิน 1 ปี | ไม่เกิน 1,000,000 บาท |
| เจ้าหน้าที่ ล่วงรู้ข้อมูลและเปิดเผย (ม.81) | ไม่เกิน 6 เดือน | ไม่เกิน 500,000 บาท |
| หากกระทำโดยนิติบุคคล (ม.81 วรรคสอง) | — | ปรับอัตรา 2 เท่าของบุคคลธรรมดา |
| ความผิด | โทษปรับสูงสุด |
|---|---|
| เก็บข้อมูลโดยไม่มีฐานทางกฎหมาย / ไม่ได้รับความยินยอม (ม.82) | 3,000,000 บาท |
| ประมวลผลข้อมูลอ่อนไหวโดยไม่ชอบ (ม.83) | 5,000,000 บาท |
| ไม่แจ้งเหตุละเมิดข้อมูลภายใน 72 ชั่วโมง (ม.84) | 3,000,000 บาท |
| ขัดขวางการดำเนินงานของ สคส. (ม.85) | 500,000 บาท |
| ไม่ปฏิบัติตามคำสั่งของ สคส. (ม.86) | 500,000 บาท |
| ข้อ | กิจกรรม | ระดับความเสี่ยง | ผลกระทบ |
|---|---|---|---|
| 3 | ไม่มี Consent ที่ถูกต้องสำหรับ Marketing | 🔴 สูง | โทษปรับสูงสุด 3 ล้านบาท + ค่าเสียหาย |
| 4 | ประมวลผล Biometric Data โดยไม่มี Explicit Consent | 🔴 สูง | โทษปรับสูงสุด 5 ล้านบาท + อาญา 1 ปี |
| 7 | ไม่มีแผน Breach Response / ไม่แจ้ง 72 ชม. | 🔴 สูง | โทษปรับสูงสุด 3 ล้านบาท |
| 1 | ไม่มี ROPA | 🟡 กลาง | ไม่สามารถพิสูจน์การปฏิบัติตาม PDPA ได้ |
| 5 | ไม่มี DPA กับ Cloud Provider | 🟡 กลาง | ความรับผิดรั่วไหลทั้งหมดตกที่ Data Controller |
| 9 | ไม่มีกระบวนการรองรับสิทธิเจ้าของข้อมูล | 🟡 กลาง | เสี่ยงถูกร้องเรียน สคส. + ค่าเสียหาย |
| 2 | ไม่มี Privacy Policy บนเว็บไซต์ | 🟢 ต่ำ-กลาง | ความน่าเชื่อถือต่ำ + เสี่ยงร้องเรียน |
| 6 | ขาดมาตรการความปลอดภัยพื้นฐาน | 🟢 ต่ำ (ถ้าไม่มีข้อมูลอ่อนไหว) | เสี่ยง Breach |
PDPA ไม่ได้น่ากลัวอย่างที่คิด แต่ต้องลงมือทำอย่างจริงจัง SME ที่ปฏิบัติตามทั้ง 10 ข้อนี้จะมีความพร้อมในการปกป้องข้อมูลลูกค้า ลดความเสี่ยงจากการถูกร้องเรียน และสร้างความไว้วางใจให้กับลูกค้าและคู่ค้าในระยะยาว การลงทุนด้าน PDPA Compliance ไม่ใช่ค่าใช้จ่าย — แต่เป็นการป้องกันความเสี่ยงที่คุ้มค่า เมื่อเทียบกับโทษปรับสูงสุด 5,000,000 บาท
Disclaimer: บทความนี้จัดทำเพื่อวัตถุประสงค์ทางวิชาการและให้ความรู้ทั่วไปเท่านั้น ไม่ถือเป็นคำแนะนำทางกฎหมายเฉพาะราย ผู้อ่านควรปรึกษาที่ปรึกษากฎหมายก่อนตัดสินใจดำเนินการใด ๆ | This article is for general informational purposes only and does not constitute legal advice. Readers should consult a qualified legal professional before taking any action.