บทนำ — PDPA บังคับใช้แล้ว แต่ผู้ประกอบการยังตามไม่ทัน Introduction — PDPA in Force: Compliance Gap Among Thai Businesses
พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 หรือ PDPA มีผลบังคับใช้เต็มรูปแบบตั้งแต่วันที่ 1 มิถุนายน 2565 แต่จนถึงวันนี้ ผู้ประกอบการจำนวนมากยังไม่ได้ดำเนินการตามกฎหมาย บางรายไม่รู้ด้วยซ้ำว่าธุรกิจของตนอยู่ภายใต้บังคับของ PDPA
หลายคนเข้าใจผิดว่า PDPA เป็นเรื่องของบริษัทเทคโนโลยีหรือธุรกิจขนาดใหญ่เท่านั้น แต่ความจริงแล้ว ทุกธุรกิจที่เก็บข้อมูลลูกค้าหรือพนักงาน ไม่ว่าจะเป็นร้านอาหาร คลินิกความงาม ร้านค้าออนไลน์ หรือแม้แต่ฟรีแลนซ์ที่มีฐานข้อมูลลูกค้า ล้วนต้องปฏิบัติตาม PDPA ทั้งสิ้น
SME ไทยกว่า 70% ยังไม่มีนโยบายความเป็นส่วนตัว (Privacy Policy) ที่ถูกต้องตามมาตรา 23 และกว่า 80% ไม่เคยจัดทำบันทึกกิจกรรมการประมวลผลข้อมูล (ROPA) ตามมาตรา 39 ตัวเลขเหล่านี้สะท้อนว่าผู้ประกอบการไทยจำนวนมากกำลังเสี่ยงต่อการถูกลงโทษโดยไม่รู้ตัว
ขอบเขตการบังคับใช้ Scope of Application — มาตรา 5
ตาม มาตรา 5 พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 กฎหมายฉบับนี้ใช้บังคับกับผู้ควบคุมข้อมูลและผู้ประมวลผลข้อมูลที่อยู่ในราชอาณาจักร ไม่ว่าจะเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลในหรือนอกราชอาณาจักร (มาตรา 5 วรรคหนึ่ง) และใช้บังคับกับผู้ควบคุมข้อมูลหรือผู้ประมวลผลข้อมูลที่อยู่นอกราชอาณาจักรด้วย หากเสนอสินค้าหรือบริการให้แก่ หรือเฝ้าติดตามพฤติกรรมของเจ้าของข้อมูลที่อยู่ในราชอาณาจักร (มาตรา 5 วรรคสอง)
| ประเภทธุรกิจ | ตัวอย่างข้อมูลที่เก็บ | เข้าข่าย PDPA |
|---|---|---|
| บริษัทจำกัด / ห้างหุ้นส่วน | ข้อมูลพนักงาน ลูกค้า คู่ค้า | ใช่ |
| ร้านค้าออนไลน์ / E-Commerce | ชื่อ ที่อยู่ เบอร์โทร ข้อมูลบัตรเครดิต | ใช่ |
| คลินิก / โรงพยาบาล / สถานพยาบาล | ข้อมูลสุขภาพ ประวัติการรักษา (ข้อมูลอ่อนไหว) | ใช่ (เข้มงวดกว่า) |
| ร้านอาหาร / โรงแรม | ข้อมูลจากระบบจอง Loyalty Program | ใช่ |
| ฟรีแลนซ์ / ผู้ประกอบอาชีพอิสระ | ฐานข้อมูลลูกค้า | ใช่ |
| บุคคลธรรมดา (เพื่อประโยชน์ส่วนตนหรือครอบครัว) | ข้อมูลส่วนตัวภายในครัวเรือน | ได้รับยกเว้น มาตรา 4 (1) |
ข้อมูลอ้างอิง: พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 มาตรา 4 และมาตรา 5
ฐานกฎหมายการประมวลผลข้อมูล 6 ฐาน 6 Lawful Bases for Processing — มาตรา 24 กับมาตรา 19 Consent
ตาม มาตรา 24 พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ผู้ควบคุมข้อมูลสามารถเก็บรวบรวมข้อมูลส่วนบุคคลได้โดยไม่ต้องขอความยินยอมในกรณีที่มีฐานกฎหมายรองรับ ดังตาราง:
| ฐานกฎหมาย | หลักเกณฑ์หลัก | ตัวอย่างการใช้งานจริง | ข้อจำกัดสำคัญ |
|---|---|---|---|
| ความยินยอม (Consent) มาตรา 19 | ต้องชัดแจ้ง (Explicit) เป็นหนังสือหรืออิเล็กทรอนิกส์ แยกจากข้อความอื่น | การส่ง Newsletter, Marketing Email, การโพสต์ภาพลูกค้า | ห้าม pre-ticked checkbox, ถอนได้ทุกเมื่อ, ไม่บังคับเป็นเงื่อนไขบริการ |
| สัญญา (Contract) มาตรา 24 (3) | จำเป็นต้องประมวลผลเพื่อปฏิบัติตามสัญญาที่เจ้าของข้อมูลเป็นคู่สัญญา | ข้อมูลจัดส่งสินค้า, ประมวลผลการชำระเงิน, สัญญาจ้างงาน | ข้อมูลต้องจำเป็นจริง ไม่เกินความจำเป็น |
| หน้าที่ตามกฎหมาย (Legal Obligation) มาตรา 24 (6) | จำเป็นเพื่อปฏิบัติตามหน้าที่ตามกฎหมายของผู้ควบคุมข้อมูล | รายงานภาษี, ข้อมูลพนักงานตามกฎหมายแรงงาน, รายงาน AML | ต้องระบุกฎหมายที่กำหนดหน้าที่ได้ชัดเจน |
| ผลประโยชน์สำคัญ (Vital Interest) มาตรา 24 (2) | จำเป็นเพื่อป้องกันหรือระงับอันตรายต่อชีวิต ร่างกาย หรือสุขภาพ | กรณีฉุกเฉินทางการแพทย์ ภัยพิบัติ | ใช้เฉพาะกรณีจำเป็นจริง — มาตรา 24 (2) ไม่ได้กำหนดเงื่อนไขว่าเจ้าของข้อมูลต้องไม่สามารถให้ความยินยอมได้ (เงื่อนไขนั้นใช้กับข้อมูลอ่อนไหวตามมาตรา 26 (1)) |
| ประโยชน์สาธารณะ (Public Interest) มาตรา 24 (1) และมาตรา 24 (4) | มาตรา 24 (1): จัดทำเอกสารประวัติศาสตร์ จดหมายเหตุ การศึกษาวิจัย หรือสถิติเพื่อประโยชน์สาธารณะ; มาตรา 24 (4): การปฏิบัติภารกิจเพื่อประโยชน์สาธารณะหรือการใช้อำนาจรัฐที่ได้รับมอบหมาย | งานวิจัย สถิติการสาธารณสุข หน่วยงานรัฐ | ต้องมีมาตรการปกป้องสิทธิที่เหมาะสม |
| ประโยชน์โดยชอบด้วยกฎหมาย (Legitimate Interest) มาตรา 24 (5) | ประโยชน์อันชอบด้วยกฎหมายของผู้ควบคุมข้อมูลหรือบุคคลอื่น ไม่ล่วงเกินสิทธิเจ้าของข้อมูล | การรักษาความปลอดภัย (CCTV), Targeted Ads (ต้องผ่าน Balancing Test) | ต้องทำ Legitimate Interest Assessment (LIA) ก่อน |
ทนายหมิวแนะนำว่า ผู้ประกอบการต้องพิจารณาว่าจะใช้ฐานกฎหมายใดสำหรับแต่ละกิจกรรม เช่น การนำข้อมูลลูกค้าไปใช้ทำ Targeted Advertising บน Facebook (อัปโหลด Customer List / สร้าง Custom Audience) ต้องระบุให้ชัดว่าใช้ฐาน Consent มาตรา 19 หรือ Legitimate Interest มาตรา 24 (5) โดยต้องผ่าน Balancing Test และระบุใน Privacy Policy
Data Controller กับ Data Processor Key Distinction — มาตรา 6 Definitions
ตาม มาตรา 6 พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 กฎหมายแยกบทบาทออกเป็น 2 ฝ่ายหลัก:
| หัวข้อ | ผู้ควบคุมข้อมูลส่วนบุคคล (Data Controller) | ผู้ประมวลผลข้อมูลส่วนบุคคล (Data Processor) |
|---|---|---|
| นิยาม (มาตรา 6) | บุคคล/นิติบุคคลที่มีอำนาจตัดสินใจว่าจะเก็บ ใช้ หรือเปิดเผยข้อมูลอย่างไร | บุคคล/นิติบุคคลที่ดำเนินการประมวลผลข้อมูลตามคำสั่งของ Controller |
| ตัวอย่าง | เจ้าของธุรกิจ, บริษัทที่เก็บข้อมูลลูกค้า | บริษัท Cloud Service, บริษัท Payroll, บริษัท Call Center ภายนอก |
| หน้าที่หลัก | มาตรา 19 ถึงมาตรา 39: วัตถุประสงค์, ความยินยอม, Privacy Notice, ROPA, Security, Breach Notification, ตัวแทน | มาตรา 40 (1): ประมวลผลตามคำสั่ง Controller เท่านั้น, มาตรา 40 (2): จัดให้มีมาตรการรักษาความปลอดภัยและแจ้ง Controller เมื่อเกิดเหตุละเมิด, มาตรา 40 (3): จัดทำบันทึกรายการกิจกรรมการประมวลผลของตน |
| ความรับผิด | รับผิดต่อเจ้าของข้อมูลโดยตรง (มาตรา 77), ถูกปรับปกครองสูงสุด 5 ล้านบาท | รับผิดต่อเจ้าของข้อมูลได้เช่นกัน (มาตรา 77) และหากประมวลผลนอกเหนือคำสั่งของ Controller ถือเป็น Controller สำหรับการนั้นเอง (มาตรา 40 วรรคสอง), ถูกปรับปกครองตามมาตรา 85 ถึงมาตรา 87 |
| ต้องทำสัญญา (DPA) | ต้องจัดให้มีข้อตกลงกับ Processor ทุกราย (มาตรา 40 วรรคสาม) | ต้องปฏิบัติตามสัญญา DPA และรายงาน Breach ต่อ Controller |
5 สิ่งที่ผู้ประกอบการต้องทำทันที 5 Immediate Compliance Actions for Thai Businesses
ตาม มาตรา 23 ผู้ควบคุมข้อมูลส่วนบุคคลต้องแจ้งรายละเอียดให้เจ้าของข้อมูลทราบก่อนหรือในขณะเก็บรวบรวม ได้แก่: วัตถุประสงค์, กรณีที่ต้องให้ข้อมูลตามกฎหมายหรือสัญญาและผลของการไม่ให้ข้อมูล, ประเภทข้อมูลที่เก็บและระยะเวลาจัดเก็บ, ประเภทผู้รับข้อมูล, ข้อมูลติดต่อของผู้ควบคุมข้อมูล ตัวแทน หรือ DPO, และสิทธิของเจ้าของข้อมูล (มาตรา 23 (1) ถึง (6)) Privacy Policy ที่ดีต้องเขียนด้วยภาษาที่เข้าใจง่าย และต้องเข้าถึงได้สะดวก เช่น แสดงบนเว็บไซต์หรือในแอปพลิเคชัน
ตาม มาตรา 19 ความยินยอมต้องเป็นการแสดงเจตนาโดยชัดแจ้ง เป็นหนังสือหรือผ่านระบบอิเล็กทรอนิกส์ แยกส่วนจากข้อความอื่น และเจ้าของข้อมูลต้องสามารถถอนความยินยอมได้ง่ายเท่ากับตอนให้ความยินยอม
- ใช้ pre-ticked checkbox
- รวมความยินยอมไว้ในข้อตกลงการใช้บริการ (T&C) ฉบับเดียวกัน
- บังคับให้ยินยอมเป็นเงื่อนไขในการรับบริการ (เว้นแต่ข้อมูลนั้นจำเป็นจริง)
ตาม มาตรา 41 องค์กรบางประเภทต้องแต่งตั้งเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล (Data Protection Officer — DPO) สำหรับ SME ที่ไม่ได้อยู่ในข่ายบังคับ ก็ควรมีผู้รับผิดชอบที่ชัดเจนอย่างน้อย 1 คน DPO สามารถเป็นพนักงานภายในหรือจ้างผู้เชี่ยวชาญภายนอกได้
ตาม มาตรา 39 ผู้ควบคุมข้อมูลต้องบันทึกรายการกิจกรรมการประมวลผลข้อมูล (Record of Processing Activities — ROPA) อย่างน้อยประกอบด้วย: ข้อมูลส่วนบุคคลที่เก็บรวบรวม, วัตถุประสงค์ของแต่ละประเภท, ข้อมูลผู้ควบคุมข้อมูล, ระยะเวลาเก็บรักษา, สิทธิและวิธีการเข้าถึงข้อมูล, การใช้หรือเปิดเผยตามมาตรา 27 วรรคสาม, การปฏิเสธคำขอหรือคำคัดค้าน และคำอธิบายมาตรการรักษาความมั่นคงปลอดภัย (มาตรา 39 (1) ถึง (8)) กิจการขนาดเล็กอาจได้รับยกเว้นบางรายการตามประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง การยกเว้นการบันทึกรายการของผู้ควบคุมข้อมูลส่วนบุคคลซึ่งเป็นกิจการขนาดเล็ก พ.ศ. 2565 (มาตรา 39 วรรคสาม) สำหรับธุรกิจขนาดเล็กอาจเริ่มจากตาราง Excel ง่าย ๆ
ตาม มาตรา 37 (4) หากเกิดเหตุละเมิดข้อมูลส่วนบุคคล (Data Breach) ผู้ควบคุมข้อมูลต้องแจ้ง สคส. ภายใน 72 ชั่วโมงนับแต่ทราบเหตุ และหากมีความเสี่ยงสูงต่อสิทธิของเจ้าของข้อมูล ต้องแจ้งเจ้าของข้อมูลด้วย หลักเกณฑ์และวิธีการแจ้งเป็นไปตามประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง หลักเกณฑ์และวิธีการในการแจ้งเหตุการละเมิดข้อมูลส่วนบุคคล พ.ศ. 2565 (หากแจ้งไม่ทัน 72 ชั่วโมง ต้องแจ้งพร้อมเหตุผลโดยไม่ชักช้าและไม่เกิน 15 วันนับแต่ทราบเหตุ) ธุรกิจควรมี Breach Response Plan ที่กำหนดชัดเจนว่า: ใครเป็นผู้รับแจ้ง, ขั้นตอนประเมินความเสี่ยง, ช่องทางแจ้ง สคส. และวิธีแจ้งเจ้าของข้อมูล
สิทธิของเจ้าของข้อมูลส่วนบุคคล 7 สิทธิ 7 Data Subject Rights — มาตรา 30 ถึงมาตรา 36
พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 มอบสิทธิ 7 ประการแก่เจ้าของข้อมูล (Data Subject) ที่ผู้ควบคุมข้อมูลต้องรับรองและอำนวยความสะดวก:
| สิทธิ | มาตรา | สาระสำคัญ | หน้าที่ Controller | ข้อยกเว้นสำคัญ |
|---|---|---|---|---|
| สิทธิเข้าถึง (Right of Access) | มาตรา 30 | ขอเข้าถึงและขอรับสำเนาข้อมูลที่เกี่ยวกับตน หรือขอให้เปิดเผยแหล่งที่มา | ต้องปฏิบัติตามคำขอ เว้นแต่มีเหตุตามกฎหมาย | ศาลหรือกฎหมายอื่นห้ามไว้ กระทบสิทธิผู้อื่น |
| สิทธิโอน (Data Portability) | มาตรา 31 | ขอรับข้อมูลในรูปแบบอิเล็กทรอนิกส์ที่อ่านได้ทั่วไป และโอนไปยัง Controller อื่น | ต้องส่งในรูปแบบที่ใช้งานได้ทั่วไปโดยสภาพทางเทคนิคที่สามารถทำได้ | โดยสภาพทางเทคนิคไม่สามารถทำได้ |
| สิทธิคัดค้าน (Right to Object) | มาตรา 32 | คัดค้านการประมวลผลได้ทุกเมื่อ โดยเฉพาะกรณีฐาน Legitimate Interest หรือ Direct Marketing | ต้องยุติการประมวลผล เว้นแต่พิสูจน์เหตุผลสำคัญที่ล้ำกว่าสิทธิเจ้าของข้อมูล | การก่อตั้ง ปฏิบัติ หรือต่อสู้สิทธิเรียกร้องตามกฎหมาย |
| สิทธิลบ/ทำลาย (Right to Erasure) | มาตรา 33 | ขอให้ลบ ทำลาย หรือทำให้ไม่สามารถระบุตัวบุคคลได้ เมื่อหมดความจำเป็น หรือถอนความยินยอม | ต้องดำเนินการตามคำขอ หากไม่ดำเนินการ เจ้าของข้อมูลร้องเรียนต่อคณะกรรมการผู้เชี่ยวชาญได้ (มาตรา 33 วรรคสี่) | เสรีภาพแสดงความคิดเห็น, ประโยชน์สาธารณะตามมาตรา 24 (1) หรือ (4), สิทธิเรียกร้องตามกฎหมาย |
| สิทธิระงับ (Right to Restriction) | มาตรา 34 | ขอให้ระงับการใช้ข้อมูลชั่วคราว ระหว่างการตรวจสอบหรือกรณีอื่นที่กำหนด | ต้องระงับการใช้ข้อมูลตามที่ร้องขอ | เหตุการก่อตั้งสิทธิเรียกร้องหรือปฏิบัติตามกฎหมาย |
| สิทธิแก้ไข (Right to Rectification) | มาตรา 35 และมาตรา 36 | ขอให้ข้อมูลถูกต้อง เป็นปัจจุบัน สมบูรณ์ ไม่ก่อให้เกิดความเข้าใจผิด | ต้องดำเนินการแก้ไข หากไม่ทำต้องบันทึกเหตุผลไว้ใน ROPA | ขึ้นกับดุลยพินิจของ Controller ที่มีเหตุผลชอบด้วยกฎหมาย |
| สิทธิถอนความยินยอม (Right to Withdraw Consent) | มาตรา 19 วรรคห้า | ถอนความยินยอมได้ทุกเมื่อ ง่ายเท่ากับตอนให้ความยินยอม | ต้องอำนวยความสะดวก และแจ้งผลกระทบก่อน | ไม่กระทบการประมวลผลที่กระทำไปแล้วก่อนถอน |
จัดทำ "Data Subject Request Form" และกำหนด SLA ตอบสนอง (เช่น ภายใน 30 วัน) พร้อมระบุช่องทางยื่นคำขอใน Privacy Policy
เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล (DPO) — หน้าที่และเงื่อนไข Data Protection Officer — Mandatory Conditions มาตรา 41 และมาตรา 42
| # | เงื่อนไข | ตัวอย่างองค์กร |
|---|---|---|
| 1 | เป็นหน่วยงานของรัฐตามที่คณะกรรมการประกาศกำหนด | กรมต่าง ๆ, รัฐวิสาหกิจ |
| 2 | กิจกรรมการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลจำเป็นต้องตรวจสอบข้อมูลส่วนบุคคลหรือระบบอย่างสม่ำเสมอ เพราะมีข้อมูลส่วนบุคคลเป็นจำนวนมากตามที่คณะกรรมการประกาศกำหนด (ประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง การจัดให้มีเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลตามมาตรา 41 (2) พ.ศ. 2566) | แพลตฟอร์มออนไลน์, Loyalty Program ขนาดใหญ่ |
| 3 | กิจกรรมหลักเป็นการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลอ่อนไหว (มาตรา 26) — กฎหมายไม่ได้กำหนดเงื่อนไข "เป็นจำนวนมาก" สำหรับกรณีนี้ | โรงพยาบาล, คลินิกทันตกรรม, บริษัทประกัน |
| # | หน้าที่ | สาระ |
|---|---|---|
| 1 | ให้คำแนะนำ | แนะนำ Controller, Processor และพนักงานเกี่ยวกับการปฏิบัติตาม PDPA |
| 2 | ตรวจสอบ | ตรวจสอบให้ Controller และ Processor ปฏิบัติตาม PDPA และนโยบายภายใน |
| 3 | ประสานงาน สคส. | ติดต่อและร่วมมือกับสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (สคส.) |
| 4 | เป็นจุดติดต่อ | รับคำร้องเรียนและรับเรื่องจากเจ้าของข้อมูลเกี่ยวกับการใช้สิทธิ (มาตรา 41 วรรคห้า) |
| 5 | รักษาความลับ | ต้องรักษาความลับข้อมูลส่วนบุคคลที่ได้รับจากการปฏิบัติหน้าที่ |
DPO สามารถเป็นพนักงานภายใน (Internal DPO) หรือจ้างภายนอก (Outsourced DPO) ก็ได้ LAS ให้บริการ Outsourced DPO สำหรับ SME ที่ไม่มีผู้เชี่ยวชาญภายใน
ข้อมูลอ่อนไหว (Sensitive Personal Data) — มาตรา 26 Special Categories of Sensitive Data — มาตรา 26
ตาม มาตรา 26 ข้อมูลอ่อนไหวได้รับการคุ้มครองเข้มงวดกว่าข้อมูลส่วนบุคคลทั่วไป กฎหมายห้ามเก็บรวบรวม เว้นแต่จะได้รับความยินยอมโดยชัดแจ้ง (Explicit Consent) หรือเข้าข้อยกเว้นตามมาตรา 26 (1) ถึง (5):
| ประเภทข้อมูลอ่อนไหว | ตัวอย่างข้อมูล | ธุรกิจที่ต้องระวัง |
|---|---|---|
| เชื้อชาติ / เผ่าพันธุ์ | ข้อมูลที่บ่งชี้เชื้อชาติหรือชาติพันธุ์ (หมายเหตุ: มาตรา 26 ไม่ได้ระบุ "สัญชาติ" ไว้โดยตรง) | HR, ธุรกิจท่องเที่ยว |
| ความคิดเห็นทางการเมือง | การลงคะแนนเสียง สังกัดพรรค | สื่อมวลชน วิจัย |
| ความเชื่อทางศาสนา / ปรัชญา | ศาสนา ความเชื่อ | ทุกธุรกิจ |
| พฤติกรรมทางเพศ | รสนิยมทางเพศ | แพลตฟอร์มสังคมออนไลน์ |
| ประวัติอาชญากรรม | คดีความ ประวัติการถูกจับกุม | HR Background Check |
| ข้อมูลสุขภาพ | ประวัติการรักษา ภาพก่อน-หลัง ยา โรคประจำตัว | คลินิก โรงพยาบาล ร้านขายยา |
| ความพิการ | ประเภทความพิการ | HR บริการสาธารณะ |
| ข้อมูลสหภาพแรงงาน | สมาชิกภาพสหภาพ | HR โรงงาน |
| ข้อมูลพันธุกรรม | DNA ผลตรวจพันธุกรรม | ห้องแล็บ บริษัทประกัน |
| ข้อมูลชีวภาพ (Biometric) | ลายนิ้วมือ ใบหน้า ม่านตา | ระบบ Access Control Fintech |
ภาพผู้ป่วย ภาพก่อน-หลังการรักษา หรือข้อมูลเกี่ยวกับอาการเจ็บป่วย ทั้งหมดนี้ถือเป็น "ข้อมูลอ่อนไหว" ตามมาตรา 26 คลินิกความงาม ทันตกรรม หรือสถานพยาบาลที่นำภาพผู้ป่วยมาโพสต์โซเชียลมีเดียเพื่อโปรโมตธุรกิจ โดยไม่ได้ขอ Explicit Consent แยกต่างหากสำหรับการใช้ภาพในสื่อการตลาด ถือว่าผิด PDPA ทันที แม้จะเบลอหน้าหรือไม่ระบุชื่อ หากยังสามารถระบุตัวบุคคลได้
คำแนะนำ: จัดทำแบบฟอร์มความยินยอมเฉพาะสำหรับการใช้ภาพ/ข้อมูลสุขภาพในสื่อการตลาด แยกจากแบบฟอร์มความยินยอมในการรักษา
PDPA Insights โดยทนายหมิว Practitioner Insights by Nanthanat Saengthong (Mhew), PDPA Lead, LAS
ผู้ประกอบการหลายรายเข้าใจผิดว่า หากไม่ระบุชื่อ-นามสกุล ก็ไม่เข้าข่าย PDPA แต่ตาม มาตรา 6 "ข้อมูลส่วนบุคคล" หมายถึงข้อมูลใด ๆ ที่ทำให้สามารถระบุตัวบุคคลได้ ทั้งทางตรงและทางอ้อม ข้อมูลต่อไปนี้ล้วนเป็นข้อมูลส่วนบุคคลทั้งสิ้น:
- เลขบัตรประชาชน, เลขหนังสือเดินทาง
- Email address, เบอร์โทรศัพท์
- รูปถ่ายใบหน้า, ข้อมูลตำแหน่ง GPS
- IP address, Cookie ID
- การรวมข้อมูลหลายชิ้นเข้าด้วยกันจนสามารถระบุตัวบุคคลได้
ตรวจสอบว่าข้อมูลที่ธุรกิจเก็บ "ระบุตัวบุคคลได้" หรือไม่ ก่อนตัดสินใจว่าเข้าข่าย PDPA หรือไม่
การนำข้อมูลลูกค้าไปใช้ทำ Targeted Advertising เช่น การอัปโหลด Customer List เพื่อสร้าง Custom Audience บน Facebook หรือการใช้ข้อมูลพฤติกรรมการซื้อเพื่อยิงโฆษณา Retargeting ทั้งหมดนี้ต้องมีฐานกฎหมายรองรับ ทนายหมิวแนะนำให้พิจารณาว่าจะใช้ฐาน Consent มาตรา 19 หรือ Legitimate Interest มาตรา 24 (5) โดยต้องมั่นใจว่าได้แจ้งวัตถุประสงค์แก่เจ้าของข้อมูลแล้ว
ระบุวัตถุประสงค์ "การตลาดและโฆษณา" ใน Privacy Policy อย่างชัดเจน และขอ Consent แยกต่างหากสำหรับการส่งโปรโมชันทางอีเมล/SMS
- Instagram: @bizlawbymhew
- Facebook: BizLaw by ทนายหมิว
- Facebook Video: PDPA Content Series
โทษ 3 ระดับ Three-Tier Penalty Framework — มาตรา 77 ถึงมาตรา 90
PDPA กำหนดโทษไว้ 3 ระดับ ซึ่งอาจเกิดขึ้นพร้อมกันได้ในการกระทำผิดครั้งเดียว:
| ระดับโทษ | มาตรา | อัตราสูงสุด | ตัวอย่างการกระทำที่ถูกลงโทษ | ผู้มีอำนาจสั่ง |
|---|---|---|---|---|
| โทษปกครอง | มาตรา 82 ถึงมาตรา 90 | ปรับสูงสุด 5,000,000 บาท (มาตรา 84) | ไม่แจ้งรายละเอียดตามมาตรา 23 หรือไม่จัดทำ ROPA ตามมาตรา 39 (มาตรา 82 ≤ 1 ล้านบาท), ไม่มีมาตรการรักษาความปลอดภัยหรือไม่แจ้งเหตุละเมิดภายใน 72 ชั่วโมงตามมาตรา 37 (มาตรา 83 ≤ 3 ล้านบาท), เก็บข้อมูลอ่อนไหวไม่ชอบด้วยกฎหมาย (มาตรา 84 ≤ 5 ล้านบาท), ผู้ประมวลผลข้อมูล (มาตรา 85 ถึงมาตรา 87) | คณะกรรมการผู้เชี่ยวชาญ (มาตรา 90) — ไม่ต้องผ่านศาล |
| โทษอาญา | มาตรา 79 และมาตรา 80 | วรรคหนึ่ง: จำคุก ≤ 6 เดือน หรือปรับ ≤ 500,000 บาท หรือทั้งจำทั้งปรับ วรรคสอง (แสวงประโยชน์): จำคุก ≤ 1 ปี หรือปรับ ≤ 1,000,000 บาท หรือทั้งจำทั้งปรับ | มาตรา 79 วรรคหนึ่ง: ใช้ เปิดเผย หรือโอนข้อมูลอ่อนไหว (มาตรา 26) โดยฝ่าฝืน มาตรา 27 หรือมาตรา 28 ในลักษณะที่น่าจะทำให้ผู้อื่นเสียหายหรือถูกดูหมิ่น มาตรา 79 วรรคสอง: กระทำผิดเพื่อแสวงหาประโยชน์ที่มิควรได้ มาตรา 80: ผู้ล่วงรู้ข้อมูลจากการปฏิบัติหน้าที่ตาม พ.ร.บ. นำไปเปิดเผย (จำคุก ≤ 6 เดือน หรือปรับ ≤ 500,000 บาท หรือทั้งจำทั้งปรับ) | ศาลอาญา (ความผิดตามมาตรา 79 เป็นความผิดอันยอมความได้ มาตรา 79 วรรคสาม) |
| โทษแพ่ง | มาตรา 77 และมาตรา 78 | ค่าสินไหมทดแทนจริง + ค่าเสียหายเชิงลงโทษไม่เกิน 2 เท่าของค่าสินไหมทดแทนจริง | ทุกกรณีที่ประมวลผลข้อมูลโดยฝ่าฝืนหรือไม่ปฏิบัติตาม PDPA ทำให้เจ้าของข้อมูลเสียหาย (มาตรา 77) — รับผิดแม้ไม่จงใจหรือประมาทเลินเล่อ เว้นแต่พิสูจน์ได้ว่าเกิดจากเหตุสุดวิสัย การกระทำของเจ้าของข้อมูลเอง หรือการปฏิบัติตามคำสั่งเจ้าหน้าที่ตามกฎหมาย; อายุความ 3 ปีนับแต่รู้ถึงความเสียหาย / 10 ปีนับแต่วันละเมิด (มาตรา 78 วรรคสอง) | ศาลแพ่ง / ศาลผู้บริโภค |
ตาม มาตรา 81 กรรมการบริษัท ผู้จัดการ หรือผู้รับผิดชอบในการดำเนินงานของนิติบุคคล อาจถูกลงโทษเป็นการส่วนตัวได้ แต่ต้องพิสูจน์ได้ว่า การกระทำผิดของนิติบุคคลนั้นเกิดจากการสั่งการ การกระทำ หรือการละเว้นกระทำของบุคคลนั้น
ความรับผิดตามมาตรา 81 เป็นแบบ Derivative Liability ไม่ใช่ Strict Liability — ต้องพิสูจน์ความเชื่อมโยงระหว่างการสั่งการ/กระทำ/ละเว้นกับการกระทำผิดของนิติบุคคล นี่ไม่ใช่แค่เรื่องของ "บริษัท" แต่เป็นเรื่องส่วนตัวของผู้บริหารด้วย
FAQ — คำถามที่พบบ่อย Frequently Asked Questions on PDPA Compliance
PDPA คืออะไร มีผลบังคับใช้เมื่อไหร่?
PDPA คือ พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 มีผลบังคับใช้เต็มรูปแบบตั้งแต่วันที่ 1 มิถุนายน 2565 ใช้บังคับกับทุกธุรกิจที่เก็บ ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลของลูกค้าหรือพนักงาน มีโทษทั้งทางแพ่ง อาญา และปกครอง — อ้างอิง มาตรา 2 และมาตรา 5 พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562
ธุรกิจ SME ขนาดเล็กต้องปฏิบัติตาม PDPA หรือไม่?
ใช่ กฎหมายไม่ได้กำหนดขนาดธุรกิจขั้นต่ำ ทุกองค์กรที่เก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล ต้องปฏิบัติตาม PDPA (มาตรา 5) เว้นแต่เป็นการเก็บข้อมูลส่วนตัวหรือเพื่อกิจกรรมในครอบครัว (มาตรา 4 (1)) ข้อยกเว้นนี้แคบมาก ไม่ครอบคลุมการใช้ข้อมูลในเชิงพาณิชย์
โทษของการไม่ปฏิบัติตาม PDPA มีอะไรบ้าง?
PDPA มีโทษ 3 ระดับที่อาจเกิดขึ้นพร้อมกัน: (1) โทษปกครองตามมาตรา 82 ถึงมาตรา 90 — ปรับสูงสุด 5 ล้านบาท (2) โทษอาญาตามมาตรา 79 วรรคสอง — กรณีแสวงหาประโยชน์ จำคุกสูงสุด 1 ปี หรือปรับสูงสุด 1 ล้านบาท (3) โทษแพ่งตามมาตรา 77 และมาตรา 78 — ค่าสินไหมทดแทนจริงบวกค่าเสียหายเชิงลงโทษไม่เกิน 2 เท่า
กรรมการบริษัทถูกลงโทษส่วนตัวจาก PDPA ได้หรือไม่?
ได้ ตามมาตรา 81 แต่เป็น Derivative Liability ไม่ใช่ Strict Liability — ต้องพิสูจน์ได้ว่าการกระทำผิดของนิติบุคคลเกิดจากการสั่งการ การกระทำ หรือการละเว้นกระทำของกรรมการหรือผู้จัดการผู้นั้นโดยตรง จึงจะต้องรับโทษส่วนตัว
ต้องขอ Consent ทุกครั้งที่เก็บข้อมูลหรือไม่?
ไม่จำเป็นเสมอไป Consent (มาตรา 19) เป็นเพียงหนึ่งใน 6 ฐานกฎหมายตามมาตรา 24 ผู้ควบคุมข้อมูลอาจอาศัยฐานสัญญา (มาตรา 24 (3)), หน้าที่ตามกฎหมาย (มาตรา 24 (6)), จดหมายเหตุ/วิจัย/สถิติเพื่อประโยชน์สาธารณะ (มาตรา 24 (1)), ภารกิจเพื่อประโยชน์สาธารณะ (มาตรา 24 (4)), ป้องกันอันตรายต่อชีวิต ร่างกาย หรือสุขภาพ (มาตรา 24 (2)) หรือ Legitimate Interest (มาตรา 24 (5)) ก็ได้ ขึ้นอยู่กับลักษณะของกิจกรรมการประมวลผล
หากเกิด Data Breach ต้องทำอะไรบ้าง?
ตามมาตรา 37 (4) ต้องแจ้ง สคส. ภายใน 72 ชั่วโมงนับแต่ทราบเหตุ และหากเหตุละเมิดมีความเสี่ยงสูงต่อสิทธิของเจ้าของข้อมูล ต้องแจ้งเจ้าของข้อมูลด้วยโดยไม่ชักช้า ธุรกิจควรมี Breach Response Plan ที่เตรียมไว้ล่วงหน้า
อ้างอิง References & Citations
หมายเหตุ: มาตราทุกมาตราที่อ้างอิงในบทความนี้ได้รับการตรวจสอบกับตัวบทพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 แล้ว (ตรวจทานล่าสุด กันยายน 2569)
บทความที่เกี่ยวข้อง Related Articles
Disclaimer — Legal Advance Solution Co., Ltd.
บทความนี้จัดทำเพื่อวัตถุประสงค์ทางวิชาการและให้ความรู้ทั่วไปเท่านั้น ไม่ถือเป็นคำแนะนำทางกฎหมายเฉพาะราย การอ้างอิงมาตราทุกมาตราได้รับการตรวจสอบจากฐานข้อมูลตัวบทกฎหมายอย่างเป็นทางการ แต่ผู้อ่านควรปรึกษาที่ปรึกษากฎหมายก่อนตัดสินใจดำเนินการใด ๆ เนื่องจากข้อเท็จจริงของแต่ละกรณีอาจแตกต่างกัน
AI-assisted legal output — Legal Advance Solution Co., Ltd. | ธันย์ธรณ์เทพ แย้มอุทัย, Ph.D. & ทนายหมิว (นันทนัช แสงทอง) | อัปเดต มิถุนายน 2569
เกี่ยวกับผู้เขียน Authors