LAS SHIELD

PDPA Checklist — 10 ข้อที่ SME ต้องทำ (ฉบับสมบูรณ์) ✓

✓ ตรวจทบทวนข้อกฎหมายล่าสุดเมื่อวันที่ 28 กันยายน 2569 · ปรับปรุงเนื้อหาบนเว็บไซต์เมื่อวันที่ 29 กันยายน 2569

ธันย์ธรณ์เทพ แย้มอุทัย, Ph.D. | LAS Legal | อัปเดต 8 เมษายน 2569

ธุรกิจของคุณเก็บข้อมูลลูกค้าหรือไม่? หากคำตอบคือใช่ — คุณอยู่ภายใต้บังคับของ PDPA แม้จะเป็นเพียง SME ขนาดเล็กที่เก็บเพียงชื่อ เบอร์โทร หรืออีเมลลูกค้า พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 บังคับใช้กับทุกองค์กรที่เก็บ ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล ไม่จำกัดขนาดธุรกิจ ไม่จำกัดว่าเป็นนิติบุคคลหรือบุคคลธรรมดา โทษทางปกครองสูงสุดไม่เกิน 5,000,000 บาทตามมาตรา 84 (ข้อมูลส่วนบุคคลตามมาตรา 26) และโทษทางอาญาจำคุกสูงสุดไม่เกิน 1 ปีตามมาตรา 79 วรรคสอง

บทความนี้รวบรวม 10 ข้อที่ SME ต้องดำเนินการ พร้อมคำอธิบายเชิงปฏิบัติ ระบุมาตราที่เกี่ยวข้อง ตารางบทลงโทษ ข้อกำหนด DPO และตัวอย่างแบบฟอร์มที่ต้องจัดเตรียม

สารบัญ (Table of Contents)
  1. จัดทำ ROPA — บันทึกกิจกรรมการประมวลผล
  2. จัดทำ Privacy Policy
  3. จัดการ Consent — ความยินยอม
  4. ข้อมูลอ่อนไหว (Sensitive Data)
  5. ทำ DPA กับ Vendor และผู้ให้บริการ
  6. มาตรการรักษาความปลอดภัย
  7. แผนรับมือ Data Breach
  8. กำหนด Retention Period
  9. รองรับสิทธิเจ้าของข้อมูล
  10. แต่งตั้ง DPO หรือผู้รับผิดชอบ PDPA
  11. ตารางบทลงโทษ PDPA
  12. LAS Risk Assessment
  13. คำถามที่พบบ่อย (FAQ)

ภาพรวม: ใครคือ "ผู้ควบคุมข้อมูลส่วนบุคคล"?

พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ มาตรา ๖ · PDF พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล
      มาตรา ๖ ในพระราชบัญญัตินี้  “ข้อมูลส่วนบุคคล”  หมายความว่า  ข้อมูลเกี่ยวกับบุคคลซึ่งท าให้สามารถระบุตัวบุคคลนั้นได้ไม่ว่าทางตรงหรือทางอ้อม  แต่ไม่รวมถึงข้อมูลของผู้ถึงแก่กรรมโดยเฉพาะ “ผู้ควบคุมข้อมูลส่วนบุคคล”  หมายความว่า  บุคคลหรือนิติบุคคลซึ่งมีอ านาจหน้าที่ตัดสินใจเกี่ยวกับการเก็บรวบรวม  ใช้  หรือเปิดเผยข้อมูลส่วนบุคคล

      “ผู้ประมวลผลข้อมูลส่วนบุคคล”  หมายความว่า  บุคคลหรือนิติบุคคลซึ่งด าเนินการเกี่ยวกับการเก็บรวบรวม  ใช้  หรือเปิดเผยข้อมูลส่วนบุคคลตามค าสั่งหรือในนามของผู้ควบคุมข้อมูลส่วนบุคคล  ทั้งนี้  บุคคลหรือนิติบุคคลซึ่งด าเนินการดังกล่าวไม่เป็นผู้ควบคุมข้อมูลส่วนบุคคล “บุคคล”  หมายความว่า  บุคคลธรรมดา  “คณะกรรมการ”  หมายความว่า  คณะกรรมการคุ้มครองข้อมูลส่วนบุคคล “พนักงานเจ้าหน้าที่”  หมายความว่า  ผู้ซึ่งรัฐมนตรีแต่งตั้งให้ปฏิบัติการตามพระราชบัญญัตินี้  “ส านักงาน”  หมายความว่า  ส านักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล “เลขาธิการ”  หมายความว่า  เลขาธิการคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล  “รัฐมนตรี”  หมายความว่า  รัฐมนตรีผู้รักษาการตามพระราชบัญญัตินี้

พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 มาตรา 6 กำหนดว่า "ผู้ควบคุมข้อมูลส่วนบุคคล" (Data Controller) คือบุคคลหรือนิติบุคคลซึ่งมีอำนาจหน้าที่ตัดสินใจเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล และ "ผู้ประมวลผลข้อมูลส่วนบุคคล" (Data Processor) คือบุคคลหรือนิติบุคคลที่ดำเนินการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลตามคำสั่งหรือในนามของผู้ควบคุมข้อมูล

SME ส่วนใหญ่จะเป็น Data Controller เนื่องจากตัดสินใจว่าจะเก็บข้อมูลอะไร เพื่อวัตถุประสงค์ใด ส่วนผู้ให้บริการ Cloud, ระบบ CRM, บริษัทส่งอีเมล Marketing จะเป็น Data Processor ที่ดำเนินการตามคำสั่ง

1จัดทำบันทึกกิจกรรมการประมวลผลข้อมูล (ROPA — Records of Processing Activities)

มาตรา 39 พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562

พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ มาตรา ๓๙ · PDF พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล
      มาตรา ๓๙ ให้ผู้ควบคุมข้อมูลส่วนบุคคลบันทึกรายการ  อย่างน้อยดังต่อไปนี้  เพื่อให้เจ้าของข้อมูลส่วนบุคคลและส านักงานสามารถตรวจสอบได้  โดยจะบันทึกเป็นหนังสือหรือระบบอิเล็กทรอนิกส์ ก็ได้

      (๑) ข้อมูลส่วนบุคคลที่มีการเก็บรวบรวม

      (๒) วัตถุประสงค์ของการเก็บรวบรวมข้อมูลส่วนบุคคลแต่ละประเภท

      (๓) ข้อมูลเกี่ยวกับผู้ควบคุมข้อมูลส่วนบุคคล

      (๔) ระยะเวลาการเก็บรักษาข้อมูลส่วนบุคคล

      (๕) สิทธิและวิธีการเข้าถึงข้อมูลส่วนบุคคล  รวมทั้งเงื่อนไขเกี่ยวกับบุคคลที่มีสิทธิเข้าถึงข้อมูลส่วนบุคคลและเงื่อนไขในการเข้าถึงข้อมูลส่วนบุคคลนั้น

      (๖) การใช้หรือเปิดเผยตามมาตรา  ๒๗  วรรคสาม

      (๗) การปฏิเสธค าขอหรือการคัดค้านตามมาตรา  ๓๐  วรรคสาม  มาตรา  ๓๑  วรรคสาม  มาตรา  ๓๒  วรรคสาม  และมาตรา  ๓๖  วรรคหนึ่ง

      (๘) ค าอธิบายเกี่ยวกับมาตรการรักษาความมั่นคงปลอดภัยตามมาตรา  ๓๗

      (๑)   ความในวรรคหนึ่งให้น ามาใช้บังคับกับตัวแทนของผู้ควบคุมข้อมูลส่วนบุคคลตามมาตรา  ๕  วรรคสอง  โดยอนุโลม ความใน

      (๑)

      (๒)

      (๓)

      (๔)

      (๕)

      (๖)  และ

      (๘)  อาจยกเว้นมิให้น ามาใช้บังคับกับผู้ควบคุมข้อมูลส่วนบุคคลซึ่งเป็นกิจการขนาดเล็กตามหลักเกณฑ์ที่คณะกรรมการประกาศก าหนด  เว้นแต่ มีการเก็บรวบรวม  ใช้  หรือเปิดเผยข้อมูลส่วนบุคคลที่มีความเสี่ยงที่จะมีผลกระทบต่อสิทธิและเสรีภาพของเจ้าของข้อมูลส่วนบุคคล  หรือมิใช่กิจการที่เก็บรวบรวม  ใช้  หรือเปิดเผยข้อมูลส่วนบุคคลเป็น ครั้งคราว  หรือมีการเก็บรวบรวม  ใช้  หรือเปิดเผยข้อมูลส่วนบุคคลตามมาตรา  ๒๖

อ่านมาตรา ๓๙ ในกล่องด้านบน รายการที่ต้องบันทึกอยู่ที่ตัวบท

สิ่งที่ต้องระบุใน ROPA

วิธีทำ ROPA สำหรับ SME

SME สามารถเริ่มต้นด้วยสเปรดชีตอย่างง่ายที่มีคอลัมน์ดังนี้: (1) ชื่อกิจกรรม (2) ประเภทข้อมูล (3) เจ้าของข้อมูล (4) วัตถุประสงค์ (5) ฐานทางกฎหมาย (Legal Basis) (6) ระยะเวลาจัดเก็บ (7) ผู้รับข้อมูล (8) มาตรการความปลอดภัย จากนั้นค่อยพัฒนาเป็นระบบที่ซับซ้อนขึ้นตามความจำเป็น

🔴 Risk: High — ไม่จัดทำ ROPA

หากไม่มีบันทึกรายการตามมาตรา 39 วรรคหนึ่ง โทษปรับทางปกครองอยู่ที่มาตรา 82 ไม่เกินหนึ่งล้านบาท ไม่ใช่สามล้านบาท เพดานสามล้านบาทอยู่ที่มาตรา 83

2จัดทำนโยบายความเป็นส่วนตัว (Privacy Policy / Privacy Notice)

มาตรา 23 และมาตรา 24 พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562

พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ มาตรา ๒๓ · PDF พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล
      มาตรา ๒๓ ในการเก็บรวบรวมข้อมูลส่วนบุคคล  ผู้ควบคุมข้อมูลส่วนบุคคลจะต้องแจ้ง ให้เจ้าของข้อมูลส่วนบุคคลทราบก่อนหรือในขณะเก็บรวบรวมข้อมูลส่วนบุคคลถึงรายละเอียด  ดังต่อไปนี้  เว้นแต่เจ้าของข้อมูลส่วนบุคคลได้ทราบถึงรายละเอียดนั้นอยู่แล้ว

      (๑) วัตถุประสงค์ของการเก็บรวบรวมเพื่อการน าข้อมูลส่วนบุคคลไปใช้หรือเปิดเผยซึ่งรวมถึงวัตถุประสงค์ตามที่มาตรา  ๒๔  ให้อ านาจในการเก็บรวบรวมได้โดยไม่ได้รับความยินยอมจากเจ้าของข้อมูลส่วนบุคคล

      (๒) แจ้งให้ทราบถึงกรณีที่เจ้าของข้อมูลส่วนบุคคลต้องให้ข้อมูลส่วนบุคคลเพื่อปฏิบัติ ตามกฎหมายหรือสัญญาหรือมีความจ าเป็นต้องให้ข้อมูลส่วนบุคคลเพื่อเข้าท าสัญญา  รวมทั้งแจ้งถึงผลกระทบที่เป็นไปได้จากการไม่ให้ข้อมูลส่วนบุคคล

      (๓) ข้อมูลส่วนบุคคลที่จะมีการเก็บรวบรวมและระยะเวลาในการเก็บรวบรวมไว้  ทั้งนี้  ในกรณีที่ไม่สามารถก าหนดระยะเวลาดังกล่าวได้ชัดเจน  ให้ก าหนดระยะเวลาที่อาจคาดหมายได้ตามมาตรฐานของการเก็บรวบรวม

      (๔) ประเภทของบุคคลหรือหน่วยงานซึ่งข้อมูลส่วนบุคคลที่เก็บรวบรวมอาจจะถูกเปิดเผย

      (๕) ข้อมูลเกี่ยวกับผู้ควบคุมข้อมูลส่วนบุคคล  สถานที่ติดต่อ  และวิธีการติดต่อในกรณี ที่มีตัวแทนหรือเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล  ให้แจ้งข้อมูล  สถานที่ติดต่อ  และวิธีการติดต่อของตัวแทนหรือเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลด้วย

      (๖) สิทธิของเจ้าของข้อมูลส่วนบุคคลตามมาตรา  ๑๙  วรรคห้า  มาตรา  ๓๐  วรรคหนึ่ง  มาตรา  ๓๑  วรรคหนึ่ง  มาตรา  ๓๒  วรรคหนึ่ง  มาตรา  ๓๓  วรรคหนึ่ง  มาตรา  ๓๔  วรรคหนึ่ง  มาตรา  ๓๖  วรรคหนึ่ง  และมาตรา  ๗๓  วรรคหนึ่ง

อ่านมาตรา ๒๓ ในกล่องด้านบนทั้งรายการที่ต้องแจ้ง

รายการที่ต้องแจ้งใน Privacy Notice

ฐานทางกฎหมาย (Legal Basis) 6 ประการ

ฐานมาตราตัวอย่างการใช้งาน
ความยินยอม (Consent)มาตรา 19รับข่าวสาร Newsletter, Marketing
สัญญา (Contract)มาตรา 24 (3)ประมวลผลเพื่อส่งสินค้าที่ซื้อ
ป้องกันอันตรายต่อชีวิต ร่างกาย หรือสุขภาพมาตรา 24 (2)ฉุกเฉินทางการแพทย์
ภารกิจเพื่อประโยชน์สาธารณะหรือใช้อำนาจรัฐมาตรา 24 (4)หน่วยงานรัฐที่ได้รับมอบอำนาจ
ประโยชน์โดยชอบด้วยกฎหมาย (Legitimate Interest)มาตรา 24 (5)การป้องกันการทุจริต ทั้งนี้ต้องชั่งกับสิทธิขั้นพื้นฐานของเจ้าของข้อมูล
ปฏิบัติตามกฎหมายมาตรา 24 (6)เก็บข้อมูลตามกฎหมายภาษี
ข้อสำคัญ: Privacy Notice ต้องแจ้งให้ทราบก่อนหรือขณะเก็บรวบรวมข้อมูล เช่น แสดงบนเว็บไซต์ ในแบบฟอร์มเก็บข้อมูล หรือส่งให้ทางอีเมล ตามมาตรา 23 และหากเป็นการขอความยินยอม ต้องใช้แบบหรือข้อความที่เข้าถึงได้ง่าย เข้าใจได้ และใช้ภาษาที่อ่านง่ายตามมาตรา 19

4ระวังข้อมูลอ่อนไหว (Sensitive Personal Data)

มาตรา 26 พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562

พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ มาตรา ๒๖ · PDF พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล
      มาตรา ๒๖ ห้ามมิให้เก็บรวบรวมข้อมูลส่วนบุคคลเกี่ยวกับเชื้อชาติ  เผ่าพันธุ์  ความคิดเห็นทางการเมือง  ความเชื่อในลัทธิ  ศาสนาหรือปรัชญา  พฤติกรรมทางเพศ  ประวัติอาชญากรรม   ข้อมูลสุขภาพ  ความพิการ  ข้อมูลสหภาพแรงงาน  ข้อมูลพันธุกรรม  ข้อมูลชีวภาพ  หรือข้อมูลอื่นใด ซึ่งกระทบต่อเจ้าของข้อมูลส่วนบุคคลในท านองเดียวกันตามที่คณะกรรมการประกาศก าหนด  โดยไม่ได้รับความยินยอมโดยชัดแจ้งจากเจ้าของข้อมูลส่วนบุคคล  เว้นแต่

      (๑) เพื่อป้องกันหรือระงับอันตรายต่อชีวิต  ร่างกาย  หรือสุขภาพของบุคคลซึ่งเจ้าของข้อมูลส่วนบุคคลไม่สามารถให้ความยินยอมได้  ไม่ว่าด้วยเหตุใดก็ตาม

      (๒) เป็นการด าเนินกิจกรรมโดยชอบด้วยกฎหมายที่มีการคุ้มครองที่เหมาะสมของมูลนิธิ  สมาคม  หรือองค์กรที่ไม่แสวงหาก าไรที่มีวัตถุประสงค์เกี่ยวกับการเมือง  ศาสนา  ปรัชญา  หรือสหภาพแรงงานให้แก่สมาชิก  ผู้ซึ่งเคยเป็นสมาชิก  หรือผู้ซึ่งมีการติดต่ออย่างสม่ าเสมอกับมูลนิธิ  สมาคม  หรือองค์กร ที่ไม่แสวงหาก าไรตามวัตถุประสงค์ดังกล่าวโดยไม่ได้เปิดเผยข้อมูลส่วนบุคคลนั้นออกไปภายนอกมูลนิธิ  สมาคม  หรือองค์กรที่ไม่แสวงหาก าไรนั้น

      (๓) เป็นข้อมูลที่เปิดเผยต่อสาธารณะด้วยความยินยอมโดยชัดแจ้งของเจ้าของข้อมูลส่วนบุคคล

      (๔) เป็นการจ าเป็นเพื่อการก่อตั้งสิทธิเรียกร้องตามกฎหมาย  การปฏิบัติตามหรือการใช้สิทธิเรียกร้องตามกฎหมาย  หรือการยกขึ้นต่อสู้สิทธิเรียกร้องตามกฎหมาย

      (๕) เป็นการจ าเป็นในการปฏิบัติตามกฎหมายเพื่อให้บรรลุวัตถุประสงค์เกี่ยวกับ (ก) เวชศาสตร์ป้องกันหรืออาชีวเวชศาสตร์  การประเมินความสามารถในการท างานของลูกจ้าง  การวินิจฉัยโรคทางการแพทย์  การให้บริการด้านสุขภาพหรือด้านสังคม  การรักษาทางการแพทย์  การจัดการด้านสุขภาพ  หรือระบบและการให้บริการด้านสังคมสงเคราะห์  ทั้งนี้  ในกรณีที่ไม่ใช่การปฏิบัติตามกฎหมายและข้อมูลส่วนบุคคลนั้นอยู่ในความรับผิดชอบของผู้ประกอบอาชีพหรือวิชาชีพหรือผู้มีหน้าที่รักษาข้อมูลส่วนบุคคลนั้นไว้เป็นความลับตามกฎหมาย  ต้องเป็นการปฏิบัติตามสัญญาระหว่างเจ้าของข้อมูลส่วนบุคคลกับผู้ประกอบวิชาชีพทางการแพทย์ (ข) ประโยชน์สาธารณะด้านการสาธารณสุข  เช่น  การป้องกันด้านสุขภาพจากโรคติดต่ออันตรายหรือโรคระบาดที่อาจติดต่อหรือแพร่เข้ามาในราชอาณาจักร  หรือการควบคุมมาตรฐานหรือคุณภาพของยา  เวชภัณฑ์  หรือเครื่องมือแพทย์  ซึ่งได้จัดให้มีมาตรการที่เหมาะสมและเจาะจงเพื่อคุ้มครองสิทธิและเสรีภาพของเจ้าของข้อมูลส่วนบุคคลโดยเฉพาะการรักษาความลับของข้อมูลส่วนบุคคลตามหน้าที่หรือตามจริยธรรมแห่งวิชาชีพ (ค) การคุ้มครองแรงงาน  การประกันสังคม  หลักประกันสุขภาพแห่งชาติ  สวัสดิการเกี่ยวกับการรักษาพยาบาลของผู้มีสิทธิตามกฎหมาย  การคุ้มครองผู้ประสบภัยจากรถ  หรือการคุ้มครองทางสังคม  ซึ่งการเก็บรวบรวมข้อมูลส่วนบุคคลเป็นสิ่งจ าเป็นในการปฏิบัติตามสิทธิหรือหน้าที่ของผู้ควบคุมข้อมูล ส่วนบุคคลหรือเจ้าของข้อมูลส่วนบุคคล  โดยได้จัดให้มีมาตรการที่เหมาะสมเพื่อคุ้มครองสิทธิขั้นพื้นฐานและประโยชน์ของเจ้าของข้อมูลส่วนบุคคล (ง) การศึกษาวิจัยทางวิทยาศาสตร์  ประวัติศาสตร์  หรือสถิติ  หรือประโยชน์สาธารณะอื่น  ทั้งนี้  ต้องกระท าเพื่อให้บรรลุวัตถุประสงค์ดังกล่าวเพียงเท่าที่จ าเป็นเท่านั้น  และได้จัดให้มีมาตรการ ที่เหมาะสมเพื่อคุ้มครองสิทธิขั้นพื้นฐานและประโยชน์ของเจ้าของข้อมูลส่วนบุคคล  ตามที่คณะกรรมการประกาศก าหนด (จ) ประโยชน์สาธารณะที่ส าคัญ  โดยได้จัดให้มีมาตรการที่เหมาะสมเพื่อคุ้มครอง สิทธิขั้นพื้นฐานและประโยชน์ของเจ้าของข้อมูลส่วนบุคคลข้อมูลชีวภาพตามวรรคหนึ่งให้หมายถึงข้อมูลส่วนบุคคลที่เกิดจากการใช้เทคนิคหรือเทคโนโลยีที่เกี่ยวข้องกับการน าลักษณะเด่นทางกายภาพหรือทางพฤติกรรมของบุคคลมาใช้ท าให้สามารถยืนยันตัวตนของบุคคลนั้นที่ไม่เหมือนกับบุคคลอื่นได้  เช่น  ข้อมูลภาพจ าลองใบหน้า  ข้อมูลจ าลองม่านตา  หรือข้อมูลจ าลองลายนิ้วมือ ในกรณีที่เป็นการเก็บรวบรวมข้อมูลส่วนบุคคลเกี่ยวกับประวัติอาชญากรรมต้องกระท าภายใต้การควบคุมของหน่วยงานที่มีอ านาจหน้าที่ตามกฎหมาย  หรือได้จัดให้มีมาตรการคุ้มครองข้อมูลส่วนบุคคลตามหลักเกณฑ์ที่คณะกรรมการประกาศก าหนด 

      การใช้หรือเปิดเผยข้อมูลส่วนบุคคล

อ่านมาตรา ๒๖ ในกล่องด้านบนทั้งวรรค รวมประเภทข้อมูลและข้อยกเว้นในตัวบท ช่องไฟใน PDF เป็นของต้นฉบับ

ประเภทข้อมูลอ่อนไหวตามมาตรา 26

ประเภทตัวอย่างในธุรกิจ SMEข้อยกเว้นที่พบบ่อย
เชื้อชาติ / เผ่าพันธุ์HR เก็บสัญชาติพนักงานจำเป็นตามกฎหมายแรงงาน
ความคิดเห็นทางการเมืองแบบสอบถามทางการเมืองแทบไม่มีข้อยกเว้นสำหรับธุรกิจ
ความเชื่อทางศาสนา / ปรัชญาเก็บเพื่อจัดมื้ออาหารฮาลาลได้รับความยินยอมชัดแจ้ง
พฤติกรรมทางเพศแพลตฟอร์มนัดหมายต้องได้รับความยินยอมโดยชัดแจ้ง
ประวัติอาชญากรรมBackground Check พนักงานจำเป็นตามกฎหมาย / ความยินยอม
ข้อมูลสุขภาพใบรับรองแพทย์ ประกันสุขภาพจำเป็นทางการแพทย์ / ความยินยอม
ข้อมูลสหภาพแรงงานสมาชิกภาพสหภาพแรงงานจำเป็นตามกฎหมายแรงงาน
ข้อมูลพันธุกรรมผลตรวจ DNAจำเป็นทางการแพทย์
ข้อมูลชีวภาพ (Biometric)ลายนิ้วมือ สแกนใบหน้า ระบบ Time Attendanceต้องได้รับความยินยอมโดยชัดแจ้ง
🔴 Risk: High — ระบบ Time Attendance ใช้ลายนิ้วมือ

ระบบบันทึกเวลาด้วย Fingerprint หรือ Face Recognition ถือเป็นการประมวลผลข้อมูลชีวภาพ (Biometric Data) ซึ่งเป็นข้อมูลอ่อนไหว ต้องได้รับความยินยอมโดยชัดแจ้งจากพนักงานทุกคน พร้อมแจ้งวัตถุประสงค์ และต้องมี Privacy Notice แยกสำหรับข้อมูลชีวภาพโดยเฉพาะ

5ทำสัญญาประมวลผลข้อมูล (DPA — Data Processing Agreement) กับ Vendor

มาตรา 40 พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562

พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 มาตรา 40 กำหนดว่าในกรณีที่ผู้ควบคุมข้อมูลส่วนบุคคลมอบหมายให้ผู้ประมวลผลข้อมูลส่วนบุคคลดำเนินการแทน ต้องจัดทำ ข้อตกลงการประมวลผลข้อมูลส่วนบุคคล (DPA) เป็นลายลักษณ์อักษร

Vendor ที่ SME ต้องทำ DPA ด้วย

ข้อกำหนดที่ต้องมีใน DPA

🟡 Risk: Medium — ไม่มี DPA กับผู้ให้บริการ Cloud

หากผู้ให้บริการ Cloud เกิดข้อมูลรั่วไหล และไม่มี DPA กำหนดความรับผิด SME ในฐานะ Data Controller อาจต้องรับผิดชอบต่อเจ้าของข้อมูลแต่เพียงผู้เดียว ควรตรวจสอบว่าผู้ให้บริการที่ใช้อยู่มีข้อกำหนดด้าน DPA อยู่ใน Terms of Service หรือไม่

6จัดทำมาตรการรักษาความปลอดภัย (Technical & Organizational Security Measures)

มาตรา 37 (1) พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562

พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 มาตรา 37 (1) กำหนดให้ผู้ควบคุมข้อมูลส่วนบุคคล "จัดให้มีมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสม" เพื่อป้องกันการสูญหาย เข้าถึง ใช้ เปลี่ยนแปลง แก้ไข หรือเปิดเผยข้อมูลโดยมิชอบ

มาตรการที่ SME ควรมี (Minimum Standard)

ด้านมาตรการระดับความสำคัญ
การควบคุมการเข้าถึงใช้รหัสผ่านที่แข็งแกร่ง, 2FA, กำหนดสิทธิ์ตามตำแหน่งสูง
การเข้ารหัสEncrypt ข้อมูลอ่อนไหว, ใช้ HTTPS บนเว็บสูง
การสำรองข้อมูลBackup สม่ำเสมอ ทดสอบ Restore ได้กลาง
การตรวจสอบการเข้าถึงLog การเข้าถึงข้อมูลสำคัญกลาง
การฝึกอบรมพนักงานอบรม PDPA ปีละอย่างน้อย 1 ครั้งสูง
นโยบายการใช้อุปกรณ์BYOD Policy, Mobile Device Managementกลาง
การกำจัดข้อมูลSecure Deletion, Shredding เอกสารกลาง
หลักการ Privacy by Design: ตามแนวทางสากล ควรออกแบบระบบโดยคำนึงถึงความเป็นส่วนตัวตั้งแต่ต้น เช่น เก็บข้อมูลเฉพาะที่จำเป็น (Data Minimization), กำหนดสิทธิ์การเข้าถึงตามหลัก Need-to-Know เท่านั้น

7เตรียมแผนรับมือเหตุละเมิดข้อมูล (Data Breach Response Plan)

มาตรา 37 (4) พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562

พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 มาตรา 37 (4) กำหนดว่าเมื่อเกิดเหตุละเมิดข้อมูลส่วนบุคคล ผู้ควบคุมข้อมูลต้อง แจ้งสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (สคส.) ภายใน 72 ชั่วโมง นับแต่ทราบเหตุ และหากมีความเสี่ยงสูงต้องแจ้งเจ้าของข้อมูลด้วย

ขั้นตอน Data Breach Response

  1. ตรวจพบ (Detect) — ระบุว่ามีเหตุละเมิดเกิดขึ้น ประเมินขอบเขตเบื้องต้น
  2. ควบคุม (Contain) — ดำเนินการหยุดการรั่วไหลทันที เช่น ปิด Account ที่ถูก Compromise
  3. ประเมิน (Assess) — ประเมินความเสียหาย จำนวนเจ้าของข้อมูลที่ได้รับผล ระดับความเสี่ยง
  4. แจ้ง สคส. (Notify Authority) — ภายใน 72 ชั่วโมง ผ่านระบบออนไลน์ของ สคส. หากไม่สามารถแจ้งครบถ้วนได้ทัน ให้แจ้งเบื้องต้นก่อน แล้วส่งข้อมูลเพิ่มเติมภายหลัง
  5. แจ้งเจ้าของข้อมูล (Notify Data Subjects) — กรณีมีความเสี่ยงสูง ต้องแจ้ง "โดยไม่ชักช้า"
  6. บันทึกและวิเคราะห์ (Document & Review) — บันทึกเหตุการณ์ทั้งหมด วิเคราะห์หาสาเหตุ และปรับปรุงมาตรการ

ข้อมูลที่ต้องแจ้ง สคส. เมื่อเกิด Data Breach

🔴 Risk: High — ไม่แจ้งภายใน 72 ชั่วโมง

พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ มาตรา ๓๗ · PDF พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล
      มาตรา ๓๗ ผู้ควบคุมข้อมูลส่วนบุคคลมีหน้าที่  ดังต่อไปนี้

      (๑) จัดให้มีมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสม  เพื่อป้องกันการสูญหาย  เข้าถึง  ใช้  เปลี่ยนแปลง  แก้ไข  หรือเปิดเผยข้อมูลส่วนบุคคลโดยปราศจากอ านาจหรือโดยมิชอบ  และต้องทบทวนมาตรการดังกล่าวเมื่อมีความจ าเป็นหรือเมื่อเทคโนโลยีเปลี่ยนแปลงไปเพื่อให้มีประสิทธิภาพในการรักษาความมั่นคงปลอดภัยที่เหมาะสม  ทั้งนี้  ให้เป็นไปตามมาตรฐานขั้นต่ าที่คณะกรรมการประกาศก าหนด

      (๒) ในกรณีที่ต้องให้ข้อมูลส่วนบุคคลแก่บุคคลหรือนิติบุคคลอื่นที่ไม่ใช่ผู้ควบคุมข้อมูลส่วนบุคคล  ต้องด าเนินการเพื่อป้องกันมิให้ผู้นั้นใช้หรือเปิดเผยข้อมูลส่วนบุคคลโดยปราศจากอ านาจหรือโดยมิชอบ

      (๓) จัดให้มีระบบการตรวจสอบเพื่อด าเนินการลบหรือท าลายข้อมูลส่วนบุคคลเมื่อพ้นก าหนดระยะเวลาการเก็บรักษา  หรือที่ไม่เกี่ยวข้องหรือเกินความจ าเป็นตามวัตถุประสงค์ในการเก็บรวบรวม ข้อมูลส่วนบุคคลนั้น  หรือตามที่เจ้าของข้อมูลส่วนบุคคลร้องขอ  หรือที่เจ้าของข้อมูลส่วนบุคคล ได้ถอนความยินยอม  เว้นแต่เก็บรักษาไว้เพื่อวัตถุประสงค์ในการใช้เสรีภาพในการแสดงความคิดเห็น

      การเก็บรักษาไว้เพื่อวัตถุประสงค์ตามมาตรา  ๒๔

      (๑)  หรือ

      (๔)  หรือมาตรา  ๒๖

      (๕)  (ก)  หรือ  (ข)  การใช้เพื่อการก่อตั้งสิทธิเรียกร้องตามกฎหมาย  การปฏิบัติตามหรือการใช้สิทธิเรียกร้องตามกฎหมาย  หรือการยกขึ้นต่อสู้สิทธิเรียกร้องตามกฎหมาย  หรือเพื่อการปฏิบัติตามกฎหมาย  ทั้งนี้  ให้น าความในมาตรา  ๓๓  วรรคห้า  มาใช้บังคับกับการลบหรือท าลายข้อมูลส่วนบุคคลโดยอนุโลม

      (๔) แจ้งเหตุการละเมิดข้อมูลส่วนบุคคลแก่ส านักงานโดยไม่ชักช้าภายในเจ็ดสิบสองชั่วโมง นับแต่ทราบเหตุเท่าที่จะสามารถกระท าได้  เว้นแต่การละเมิดดังกล่าวไม่มีความเสี่ยงที่จะมีผลกระทบต่อสิทธิและเสรีภาพของบุคคล  ในกรณีที่การละเมิดมีความเสี่ยงสูงที่จะมีผลกระทบต่อสิทธิและเสรีภาพ ของบุคคล  ให้แจ้งเหตุการละเมิดให้เจ้าของข้อมูลส่วนบุคคลทราบพร้อมกับแนวทางการเยียวยา โดยไม่ชักช้าด้วย  ทั้งนี้  การแจ้งดังกล่าวและข้อยกเว้นให้เป็นไปตามหลักเกณฑ์และวิธีการที่คณะกรรมการประกาศก าหนด

      (๕) ในกรณีที่เป็นผู้ควบคุมข้อมูลส่วนบุคคลตามมาตรา  ๕  วรรคสอง  ต้องแต่งตั้งตัวแทนของผู้ควบคุมข้อมูลส่วนบุคคลเป็นหนังสือซึ่งตัวแทนต้องอยู่ในราชอาณาจักรและตัวแทนต้องได้รับมอบอ านาจให้กระท าการแทนผู้ควบคุมข้อมูลส่วนบุคคลโดยไม่มีข้อจ ากัดความรับผิดใด ๆ  ที่เกี่ยวกับการเก็บรวบรวม  ใช้  หรือเปิดเผยข้อมูลส่วนบุคคลตามวัตถุประสงค์ของผู้ควบคุมข้อมูลส่วนบุคคล

หน้าที่แจ้งเหตุละเมิดภายในเจ็ดสิบสองชั่วโมงอยู่ที่พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 มาตรา 37 (4) โทษปรับทางปกครองของฐานไม่ปฏิบัติตามมาตรา 37 อยู่ที่มาตรา 83 ไม่เกินสามล้านบาท มาตรา 84 เป็นเพดานห้าล้านบาทสำหรับข้อมูลตามมาตรา 26 ไม่ใช่ฐาน 72 ชั่วโมง Option A: จัดทำ Data Breach Response Plan ล่วงหน้าและซ้อม Drill ปีละ 1 ครั้ง | Option B: ใช้บริษัทที่ปรึกษา PDPA ที่มีทีม Incident Response สนับสนุน

8กำหนดระยะเวลาจัดเก็บข้อมูล (Data Retention Policy)

มาตรา 37 (3) พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562

พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 มาตรา 37 (3) กำหนดให้ผู้ควบคุมข้อมูล ลบหรือทำลายข้อมูลส่วนบุคคลเมื่อพ้นความจำเป็นตามวัตถุประสงค์ หรือตามที่เจ้าของข้อมูลร้องขอเว้นแต่จะมีกฎหมายกำหนดให้เก็บต่อไป

ตัวอย่าง Retention Period สำหรับ SME

ประเภทข้อมูลRetention Period แนะนำเหตุผล / ฐานกฎหมาย
ข้อมูลลูกค้า (Active)ตลอดระยะที่เป็นลูกค้า + 10 ปีอายุความทั่วไป ป.พ.พ. มาตรา 193/30
ข้อมูลใบแจ้งหนี้ / ใบเสร็จ5 ปีกฎหมายบัญชี (พ.ร.บ.การบัญชี พ.ศ. 2543)
ข้อมูลพนักงาน (ในระหว่างจ้าง)ตลอดระยะการจ้างงาน + 2 ปีพ.ร.บ.คุ้มครองแรงงาน พ.ศ. 2541 (แก้ไขถึงฉบับที่ 9 พ.ศ. 2568) มาตรา 115
CV / ใบสมัครงาน (ไม่ผ่านการคัดเลือก)6 เดือน - 1 ปีขอบเขตวัตถุประสงค์สิ้นสุด
Log การเข้าเว็บไซต์ / IP Address90 วันตามมาตรฐาน Cybersecurity
ข้อมูล Marketing / Newsletterจนกว่าจะถอนความยินยอมฐาน Consent สิ้นสุด
กล้อง CCTV30-90 วันตามความจำเป็นด้านความปลอดภัย
หลักการ Data Minimization: ตามแนวทางของสำนักงาน สคส. ควรเก็บข้อมูลเท่าที่จำเป็นต่อวัตถุประสงค์ที่กำหนดเท่านั้น (Principle of Purpose Limitation) ไม่ควรเก็บข้อมูล "เผื่อไว้" โดยไม่มีวัตถุประสงค์ที่ชัดเจน

9จัดระบบรองรับสิทธิเจ้าของข้อมูล (Data Subject Rights)

มาตรา 30 ถึงมาตรา 34 มาตรา 35 และมาตรา 36 พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562

พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 มาตรา 30 ถึงมาตรา 34 กำหนดสิทธิของเจ้าของข้อมูล และมาตรา 35 กำหนดหน้าที่ของผู้ควบคุมให้ข้อมูลถูกต้อง เป็นปัจจุบัน สมบูรณ์ ซึ่งเจ้าของข้อมูลร้องขอได้ตามมาตรา 36

สิทธิมาตราเนื้อหาโดยสรุประยะเวลาตอบสนอง
สิทธิเข้าถึง (Access)มาตรา 30ขอดูและขอรับสำเนาข้อมูลที่เก็บไว้เกี่ยวกับตนเองไม่เกินสามสิบวัน ตามมาตรา 30
สิทธิโอนย้าย (Portability)มาตรา 31ขอรับข้อมูลในรูปแบบที่อ่านหรือใช้งานได้ด้วยเครื่องมืออัตโนมัติ และโอนไปยังผู้ควบคุมรายอื่นได้เมื่อสภาพทางเทคนิคเอื้อตามที่กฎหมายกำหนด
สิทธิคัดค้าน (Objection)มาตรา 32คัดค้านการเก็บ ใช้ หรือเปิดเผยตามกรณีที่กฎหมายกำหนดผู้ควบคุมต้องแยกส่วนออกทันทีเมื่อได้รับคำคัดค้าน
สิทธิลบ (Erasure)มาตรา 33ขอให้ลบ ทำลาย หรือทำให้ไม่สามารถระบุตัวบุคคลได้ในกรณีที่กฎหมายกำหนดตามที่กฎหมายกำหนด
สิทธิระงับการใช้ (Restriction)มาตรา 34ขอให้ระงับการใช้ข้อมูลในกรณีที่กฎหมายกำหนด เช่น ระหว่างตรวจสอบตามมาตรา 36ตามที่กฎหมายกำหนด
ขอให้ข้อมูลถูกต้องมาตรา 35 และมาตรา 36มาตรา 35 เป็นหน้าที่ผู้ควบคุมให้ข้อมูลถูกต้อง เป็นปัจจุบัน สมบูรณ์ ไม่ใช่ชื่อสิทธิในตัวบท มาตรา 36 เป็นช่องทางที่เจ้าของข้อมูลร้องขอตามที่กฎหมายกำหนด
สิทธิถอนความยินยอม (Withdraw Consent)มาตรา 19เจ้าของข้อมูลถอนความยินยอมได้เมื่อใดก็ได้ถอนได้ง่ายเช่นเดียวกับการให้ความยินยอม

กระบวนการรับและตอบสนองคำขอ (DSR Process)

10แต่งตั้ง DPO (Data Protection Officer) หรือผู้รับผิดชอบ PDPA

มาตรา 41 และมาตรา 42 พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562

พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ มาตรา ๔๑ · PDF พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล
      มาตรา ๔๑ ผู้ควบคุมข้อมูลส่วนบุคคลและผู้ประมวลผลข้อมูลส่วนบุคคลต้องจัดให้มีเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลของตน  ในกรณีดังต่อไปนี้

      (๑) ผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคลเป็นหน่วยงานของรัฐตามที่คณะกรรมการประกาศก าหนด

      (๒) การด าเนินกิจกรรมของผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคล ในการเก็บรวบรวม  ใช้  หรือเปิดเผย  จ าเป็นต้องตรวจสอบข้อมูลส่วนบุคคลหรือระบบอย่างสม่ าเสมอโดยเหตุที่มีข้อมูลส่วนบุคคลเป็นจ านวนมากตามที่คณะกรรมการประกาศก าหนด

      (๓) กิจกรรมหลักของผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคลเป็น การเก็บรวบรวม  ใช้  หรือเปิดเผยข้อมูลส่วนบุคคลตามมาตรา  ๒๖ ในกรณีที่ผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคลอยู่ในเครือกิจการ หรือเครือธุรกิจเดียวกันเพื่อการประกอบกิจการหรือธุรกิจร่วมกันตามที่คณะกรรมการประกาศก าหนด ตามมาตรา  ๒๙  วรรคสอง  ผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคลดังกล่าว อาจจัดให้มีเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลร่วมกันได้  ทั้งนี้  สถานที่ท าการแต่ละแห่งของผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคลที่อยู่ในเครือกิจการหรือเครือธุรกิจเดียวกันดังกล่าวต้องสามารถติดต่อกับเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลได้โดยง่าย ความในวรรคสองให้น ามาใช้บังคับแก่ผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูล ส่วนบุคคลซึ่งเป็นหน่วยงานของรัฐตาม

      (๑)  ซึ่งมีขนาดใหญ่หรือมีสถานที่ท าการหลายแห่งโดยอนุโลม ในกรณีที่ผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคลตามวรรคหนึ่งต้องแต่งตั้งตัวแทนตามมาตรา  ๓๗

      (๕)  ให้น าความในวรรคหนึ่งมาใช้บังคับแก่ตัวแทนโดยอนุโลม

      ผู้ควบคุมข้อมูลส่วนบุคคลและผู้ประมวลผลข้อมูลส่วนบุคคลมีหน้าที่ต้องแจ้งข้อมูลเกี่ยวกับเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล  สถานที่ติดต่อ  และวิธีการติดต่อให้เจ้าของข้อมูลส่วนบุคคลและส านักงานทราบ  ทั้งนี้  เจ้าของข้อมูลส่วนบุคคลสามารถติดต่อเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลเกี่ยวกับการเก็บรวบรวม  ใช้  หรือเปิดเผยข้อมูลส่วนบุคคลและการใช้สิทธิของเจ้าของข้อมูลส่วนบุคคล ตามพระราชบัญญัตินี้ได้ คณะกรรมการอาจประกาศก าหนดคุณสมบัติของเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลได้ โดยค านึงถึงความรู้หรือความเชี่ยวชาญเกี่ยวกับการคุ้มครองข้อมูลส่วนบุคคล เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลอาจเป็นพนักงานของผู้ควบคุมข้อมูลส่วนบุคคลหรือ ผู้ประมวลผลข้อมูลส่วนบุคคลหรือเป็นผู้รับจ้างให้บริการตามสัญญากับผู้ควบคุมข้อมูลส่วนบุคคลหรือ ผู้ประมวลผลข้อมูลส่วนบุคคลก็ได้

อ่านมาตรา ๔๑ ในกล่องด้านบนทั้งกรณีที่ต้องจัดให้มีเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล

เมื่อไหร่ต้องแต่งตั้ง DPO อย่างเป็นทางการ

หน้าที่ของ DPO ตามมาตรา 42

SME ที่ยังไม่ถึงเกณฑ์บังคับ — ทำอย่างไร?

🟢 แนวทาง: แต่งตั้ง "PDPA Coordinator" ภายใน

แม้ไม่ถึงเกณฑ์บังคับ ควรมอบหมายพนักงานคนหนึ่งเป็น PDPA Coordinator รับผิดชอบ: (1) อัปเดตนโยบายเมื่อกฎหมายเปลี่ยน (2) รับและตอบสนองคำขอจากเจ้าของข้อมูล (3) ประสานงานกับ สคส. หากจำเป็น (4) ฝึกอบรมพนักงาน (5) บันทึกและ Review ROPA ประจำปี

ข้อกำหนดสำหรับ DPO ตามมาตรา 41

ตารางบทลงโทษตาม PDPA

พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 กำหนดบทลงโทษ 3 ประเภท ได้แก่ โทษทางแพ่ง โทษทางอาญา และโทษทางปกครอง

โทษทางแพ่ง (มาตรา 77 และมาตรา 78)

ความผิดโทษ
ก่อความเสียหายต่อเจ้าของข้อมูลจากการฝ่าฝืน พ.ร.บ. (รับผิดไม่ว่าจงใจหรือประมาทเลินเล่อหรือไม่ก็ตาม เว้นแต่พิสูจน์ได้ว่าเหตุสุดวิสัยหรือทำตามคำสั่งเจ้าหน้าที่)ค่าเสียหายตามจริง + ศาลอาจสั่งเพิ่มได้ไม่เกิน 2 เท่า (มาตรา 78)
ส่งข้อมูลออกนอกราชอาณาจักรโดยไม่ชอบค่าเสียหายตามจริง + เพิ่มได้ไม่เกิน 2 เท่า

โทษทางอาญา (มาตรา 79 ถึงมาตรา 81)

ความผิดจำคุกปรับ
ฝ่าฝืนมาตรา 27 หรือมาตรา 28 เกี่ยวกับข้อมูลอ่อนไหวจนทำให้ผู้อื่นเสียหาย (มาตรา 79 วรรคหนึ่ง)ไม่เกิน 6 เดือนไม่เกิน 500,000 บาท
เช่นเดียวกับข้างต้นแต่เพื่อแสวงหาประโยชน์ที่มิควรได้โดยชอบด้วยกฎหมาย (มาตรา 79 วรรคสอง — ความผิดตามมาตรา 79 ยอมความได้ตามวรรคสาม)ไม่เกิน 1 ปีไม่เกิน 1,000,000 บาท
เจ้าหน้าที่ล่วงรู้ข้อมูลจากการปฏิบัติหน้าที่แล้วนำไปเปิดเผย (มาตรา 80)ไม่เกิน 6 เดือนไม่เกิน 500,000 บาท
กรรมการ/ผู้จัดการ/ผู้รับผิดชอบดำเนินงานที่สั่งการหรือปล่อยปละละเลยจนนิติบุคคลกระทำผิด (มาตรา 81)ต้องรับโทษเดียวกับที่กฎหมายกำหนดไว้สำหรับความผิดนั้นด้วย

โทษทางปกครอง (มาตรา 82 ถึงมาตรา 86)

ความผิดโทษปรับสูงสุด
ไม่ปฏิบัติตามมาตรา 23 มาตรา 30 วรรคสี่ มาตรา 39 วรรคหนึ่ง มาตรา 41 วรรคหนึ่ง มาตรา 42 วรรคสองหรือวรรคสาม หรือแบบความยินยอมตามมาตรา 19 (มาตรา 82)ไม่เกิน 1,000,000 บาท
ฝ่าฝืนหลายฐานรวม มาตรา 21 มาตรา 22 มาตรา 24 มาตรา 27 มาตรา 28 มาตรา 32 วรรคสอง มาตรา 37 หรือโอนข้อมูลไม่ตรง มาตรา 29 (มาตรา 83)ไม่เกิน 3,000,000 บาท
ฝ่าฝืนเกี่ยวกับข้อมูลส่วนบุคคลตามมาตรา 26 (ข้อมูลอ่อนไหว) ตามที่มาตรา 84 กำหนดไม่เกิน 5,000,000 บาท
ผู้ประมวลผลไม่ปฏิบัติตามมาตรา 41 วรรคหนึ่ง หรือมาตรา 42 วรรคสองหรือวรรคสาม (มาตรา 85)ไม่เกิน 1,000,000 บาท
ผู้ประมวลผลไม่ปฏิบัติตามมาตรา 40 โดยไม่มีเหตุอันควร หรือโอนข้อมูลไม่ตรง มาตรา 29 (มาตรา 86)ไม่เกิน 3,000,000 บาท

LAS Risk Assessment — PDPA Compliance

ข้อกิจกรรมระดับความเสี่ยงผลกระทบ
3ไม่มี Consent ที่ถูกต้องสำหรับ Marketing🔴 สูงโทษปรับสูงสุด 3 ล้านบาท + ค่าเสียหาย
4ประมวลผล Biometric Data โดยไม่มี Explicit Consent🔴 สูงโทษปรับทางปกครองไม่เกิน 5 ล้านบาทตามมาตรา 84 (ข้อมูลตามมาตรา 26) และอาจมีโทษอาญาตามมาตรา 79 วรรคสองไม่เกิน 1 ปี หรือปรับไม่เกิน 1 ล้านบาท หากเข้าองค์ประกอบ
7ไม่มีแผน Breach Response / ไม่แจ้ง 72 ชม.🔴 สูงโทษปรับสูงสุด 3 ล้านบาท
1ไม่มี ROPA🟡 กลางไม่สามารถพิสูจน์การปฏิบัติตาม PDPA ได้
5ไม่มี DPA กับ Cloud Provider🟡 กลางความรับผิดรั่วไหลทั้งหมดตกที่ Data Controller
9ไม่มีกระบวนการรองรับสิทธิเจ้าของข้อมูล🟡 กลางเสี่ยงถูกร้องเรียน สคส. + ค่าเสียหาย
2ไม่มี Privacy Policy บนเว็บไซต์🟢 ต่ำ-กลางความน่าเชื่อถือต่ำ + เสี่ยงร้องเรียน
6ขาดมาตรการความปลอดภัยพื้นฐาน🟢 ต่ำ (ถ้าไม่มีข้อมูลอ่อนไหว)เสี่ยง Breach

คำถามที่พบบ่อย (FAQ)

Q1: SME ขนาดเล็ก 5 คน ต้องทำตาม PDPA ครบทุกข้อไหม?
ใช่ — พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ไม่ได้ยกเว้นตามขนาดธุรกิจ อย่างไรก็ตาม "ขนาด" ของมาตรการที่ต้องทำสามารถสมส่วนกับขนาดและลักษณะธุรกิจได้ SME ขนาดเล็กที่เก็บข้อมูลลูกค้าพื้นฐานไม่ต้องมีระบบที่ซับซ้อนเท่าองค์กรขนาดใหญ่ แต่ต้องมีพื้นฐาน 10 ข้อนี้ครบ
Q2: DPO ต้องเป็นคนในหรือจ้างภายนอกได้?
ตามมาตรา 41 พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 DPO สามารถเป็นพนักงานของผู้ควบคุมข้อมูล หรือเป็นบุคคลภายนอกที่รับจ้างเป็น "Outsourced DPO" ก็ได้ การใช้ DPO ภายนอกเป็นทางเลือกที่นิยมสำหรับ SME เพราะประหยัดกว่าการจ้างพนักงานเต็มเวลา แต่ DPO ต้องมีความรู้เพียงพอตามมาตรา 41
Q3: กล้อง CCTV หน้าร้านต้องทำ Privacy Notice ไหม?
ใช่ — กล้อง CCTV เก็บภาพบุคคลซึ่งถือเป็นข้อมูลส่วนบุคคล ต้องแจ้งให้ทราบด้วยการติดป้ายในพื้นที่ชัดเจนว่ามีกล้อง CCTV พร้อมระบุวัตถุประสงค์ (เช่น เพื่อความปลอดภัย) ระยะเวลาเก็บ และช่องทางติดต่อ ฐานทางกฎหมายที่มักอ้างคือประโยชน์โดยชอบด้วยกฎหมายตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 มาตรา 24 (5) ไม่มีอนุมาตรา (7) ในมาตรา 24
Q4: หากลูกค้าขอให้ลบข้อมูล แต่เรายังต้องใช้ข้อมูลเพื่อออกใบกำกับภาษี ต้องทำอย่างไร?
ตามมาตรา 33 พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 สิทธิลบข้อมูลไม่ใช่สิทธิเด็ดขาด — หากมีฐานทางกฎหมายอื่นที่ต้องเก็บต่อไป เช่น การปฏิบัติตามหน้าที่ตามกฎหมาย (Legal Obligation) ในกรณีนี้คือกฎหมายภาษีที่กำหนดให้เก็บเอกสารบัญชี 5 ปี สามารถปฏิเสธคำขอลบได้ แต่ต้องแจ้งเหตุผลให้เจ้าของข้อมูลทราบ
Q5: ส่งข้อมูลลูกค้าให้บริษัทต่างชาติ (Cloud ต่างประเทศ) ต้องทำอย่างไร?
ตามมาตรา 28 พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 หลักคือประเทศปลายทางต้องมีมาตรฐานการคุ้มครองข้อมูลส่วนบุคคลที่เพียงพอ เว้นแต่เข้าข้อยกเว้น เช่น ได้รับความยินยอมจากเจ้าของข้อมูลโดยได้รับแจ้งถึงมาตรฐานที่ไม่เพียงพอนั้นแล้ว หรือจำเป็นเพื่อปฏิบัติตามสัญญา ส่วนกรณีโอนข้อมูลในเครือกิจการเดียวกันสามารถใช้กลไก Binding Corporate Rules ตามมาตรา 29 แทนได้ ในทางปฏิบัติ ผู้ให้บริการ Cloud รายใหญ่ระดับโลก (AWS, Google, Microsoft Azure) มักมี Standard Contractual Clauses (SCCs) ในสัญญาอยู่แล้ว แต่ควรตรวจสอบและทำ DPA
จุดเริ่มต้น 30 วัน สำหรับ SME:

สรุป

PDPA ไม่ได้น่ากลัวอย่างที่คิด แต่ต้องลงมือทำอย่างจริงจัง SME ที่ปฏิบัติตามทั้ง 10 ข้อนี้จะมีความพร้อมในการปกป้องข้อมูลลูกค้า ลดความเสี่ยงจากการถูกร้องเรียน และสร้างความไว้วางใจให้กับลูกค้าและคู่ค้าในระยะยาว การลงทุนด้าน PDPA Compliance ไม่ใช่ค่าใช้จ่าย — แต่เป็นการป้องกันความเสี่ยงที่คุ้มค่า เมื่อเทียบกับโทษปรับทางปกครองสูงสุดตามฐาน (มาตรา 83 ไม่เกิน 3,000,000 บาท / มาตรา 84 ไม่เกิน 5,000,000 บาท)

← ตอนที่ 3 LAS SHIELD 4/10 ตอนที่ 5 →
กฎหมายที่เกี่ยวข้อง
พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 มาตรา 6 มาตรา 19 มาตรา 23 มาตรา 24 มาตรา 26 มาตรา 28 มาตรา 30 ถึงมาตรา 34 มาตรา 35 และมาตรา 36 มาตรา 37 มาตรา 39 มาตรา 40 มาตรา 41 ถึงมาตรา 43 มาตรา 77 ถึงมาตรา 86 PDPA SME Privacy Policy DPA DPO Data Breach Consent Sensitive Data
LAS Shield | Legal Advance Solution Co., Ltd.
Knowledge Hub | laslegal.co.th

Disclaimer: บทความนี้จัดทำเพื่อวัตถุประสงค์ทางวิชาการและให้ความรู้ทั่วไปเท่านั้น ไม่ถือเป็นคำแนะนำทางกฎหมายเฉพาะราย ผู้อ่านควรปรึกษาที่ปรึกษากฎหมายก่อนตัดสินใจดำเนินการใด ๆ | This article is for general informational purposes only and does not constitute legal advice. Readers should consult a qualified legal professional before taking any action.