PDPA สิ่งที่ผู้ประกอบการต้องรู้ ✓

✓ ตรวจทบทวนข้อกฎหมายล่าสุดเมื่อวันที่ 11 กันยายน 2569 · นำการแก้ไขจากการตรวจขึ้นเว็บไซต์เมื่อวันที่ 29 กันยายน 2569

PDPA Essentials Every Thai Business Must Know — ทนายหมิว x LAS

เปิดเรื่อง: PDPA บังคับใช้แล้ว แต่ผู้ประกอบการยังตามไม่ทัน

พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 หรือ PDPA มีผลบังคับใช้เต็มรูปแบบตั้งแต่วันที่ 1 มิถุนายน 2565 แต่จนถึงวันนี้ ผู้ประกอบการจำนวนมากยังไม่ได้ดำเนินการตามกฎหมาย บางรายไม่รู้ด้วยซ้ำว่าธุรกิจของตนอยู่ภายใต้บังคับของ PDPA

หลายคนเข้าใจว่า PDPA เป็นเรื่องของบริษัทเทคโนโลยีหรือธุรกิจขนาดใหญ่เท่านั้น แต่ความจริงแล้ว ทุกธุรกิจที่เก็บข้อมูลลูกค้าหรือพนักงาน ไม่ว่าจะเป็นร้านอาหาร คลินิกความงาม ร้านค้าออนไลน์ หรือแม้แต่ฟรีแลนซ์ที่มีฐานข้อมูลลูกค้า ล้วนต้องปฏิบัติตาม PDPA ทั้งสิ้น

ผลสำรวจจากสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (สคส.) [ต้องยืนยันแหล่งที่มา] พบว่า SME ไทยกว่า 70% ยังไม่มีนโยบายความเป็นส่วนตัว (Privacy Policy) ที่ถูกต้องตามกฎหมาย และกว่า 80% ไม่เคยจัดทำบันทึกกิจกรรมการประมวลผลข้อมูล (ROPA) ตัวเลขเหล่านี้สะท้อนว่า ผู้ประกอบการไทยจำนวนมากกำลังเสี่ยงต่อการถูกลงโทษโดยไม่รู้ตัว

PDPA คืออะไร? (สรุป 1 นาที)

PDPA ย่อมาจาก Personal Data Protection Act หรือ พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 เป็นกฎหมายที่กำหนดกรอบในการเก็บรวบรวม ใช้ และเปิดเผยข้อมูลส่วนบุคคล โดยมีวัตถุประสงค์เพื่อคุ้มครองสิทธิของเจ้าของข้อมูล (Data Subject) จากการนำข้อมูลไปใช้โดยไม่ชอบด้วยกฎหมาย

ใครอยู่ภายใต้บังคับ PDPA?

กฎหมายฉบับนี้ใช้บังคับกับทุกองค์กรที่เก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล ไม่ว่าจะเป็น:

• บริษัทจำกัด / ห้างหุ้นส่วน — ที่มีพนักงานหรือลูกค้า
• ร้านค้าออนไลน์ — ที่เก็บชื่อ ที่อยู่ เบอร์โทรลูกค้า
• คลินิก / โรงพยาบาล — ที่เก็บข้อมูลสุขภาพ (ข้อมูลอ่อนไหว)
• ร้านอาหาร / โรงแรม — ที่เก็บข้อมูลผ่านระบบจอง หรือ loyalty program
• ฟรีแลนซ์ / ผู้ประกอบอาชีพอิสระ — ที่มีฐานข้อมูลลูกค้า

โทษมี 3 ระดับ

5 สิ่งที่ผู้ประกอบการต้องทำทันที

1. จัดทำนโยบายความเป็นส่วนตัว (Privacy Policy)

นโยบายความเป็นส่วนตัว คือเอกสารที่บอกลูกค้าและพนักงานว่า ธุรกิจของคุณเก็บข้อมูลอะไร เพื่ออะไร เก็บนานแค่ไหน และใครเข้าถึงได้บ้าง PDPA กำหนดให้ผู้ควบคุมข้อมูลส่วนบุคคล (Data Controller) ต้องแจ้งรายละเอียดเหล่านี้ให้เจ้าของข้อมูลทราบก่อนหรือในขณะที่เก็บรวบรวมข้อมูล

Privacy Policy ที่ดีต้องเขียนด้วยภาษาที่เข้าใจง่าย ไม่ใช่ภาษากฎหมายที่ซับซ้อน และต้องเข้าถึงได้ง่าย เช่น แสดงบนเว็บไซต์ หรือแจ้งในแอปพลิเคชัน

2. ขอความยินยอม (Consent) อย่างถูกวิธี

      มาตรา ๖ ในพระราชบัญญัตินี้  “ข้อมูลส่วนบุคคล”  หมายความว่า  ข้อมูลเกี่ยวกับบุคคลซึ่งท าให้สามารถระบุตัวบุคคลนั้นได้ไม่ว่าทางตรงหรือทางอ้อม  แต่ไม่รวมถึงข้อมูลของผู้ถึงแก่กรรมโดยเฉพาะ “ผู้ควบคุมข้อมูลส่วนบุคคล”  หมายความว่า  บุคคลหรือนิติบุคคลซึ่งมีอ านาจหน้าที่ตัดสินใจเกี่ยวกับการเก็บรวบรวม  ใช้  หรือเปิดเผยข้อมูลส่วนบุคคล

      “ผู้ประมวลผลข้อมูลส่วนบุคคล”  หมายความว่า  บุคคลหรือนิติบุคคลซึ่งด าเนินการเกี่ยวกับการเก็บรวบรวม  ใช้  หรือเปิดเผยข้อมูลส่วนบุคคลตามค าสั่งหรือในนามของผู้ควบคุมข้อมูลส่วนบุคคล  ทั้งนี้  บุคคลหรือนิติบุคคลซึ่งด าเนินการดังกล่าวไม่เป็นผู้ควบคุมข้อมูลส่วนบุคคล “บุคคล”  หมายความว่า  บุคคลธรรมดา  “คณะกรรมการ”  หมายความว่า  คณะกรรมการคุ้มครองข้อมูลส่วนบุคคล “พนักงานเจ้าหน้าที่”  หมายความว่า  ผู้ซึ่งรัฐมนตรีแต่งตั้งให้ปฏิบัติการตามพระราชบัญญัตินี้  “ส านักงาน”  หมายความว่า  ส านักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล “เลขาธิการ”  หมายความว่า  เลขาธิการคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล  “รัฐมนตรี”  หมายความว่า  รัฐมนตรีผู้รักษาการตามพระราชบัญญัตินี้

      มาตรา ๑๙ ผู้ควบคุมข้อมูลส่วนบุคคลจะกระท าการเก็บรวบรวม  ใช้  หรือเปิดเผยข้อมูลส่วนบุคคลไม่ได้หากเจ้าของข้อมูลส่วนบุคคลไม่ได้ให้ความยินยอมไว้ก่อนหรือในขณะนั้น  เว้นแต่บทบัญญัติแห่งพระราชบัญญัตินี้หรือกฎหมายอื่นบัญญัติให้กระท าได้ การขอความยินยอมต้องท าโดยชัดแจ้ง  เป็นหนังสือหรือท าโดยผ่านระบบอิเล็กทรอนิกส์  เว้นแต่โดยสภาพไม่อาจขอความยินยอมด้วยวิธีการดังกล่าวได้  ในการขอความยินยอมจากเจ้าของข้อมูลส่วนบุคคล  ผู้ควบคุมข้อมูลส่วนบุคคลต้องแจ้งวัตถุประสงค์ของการเก็บรวบรวม  ใช้  หรือเปิดเผยข้อมูลส่วนบุคคลไปด้วย  และการขอความยินยอมนั้นต้องแยกส่วนออกจากข้อความอื่นอย่างชัดเจน  มีแบบหรือข้อความที่เข้าถึงได้ง่ายและเข้าใจได้  รวมทั้ง ใช้ภาษาที่อ่านง่าย  และไม่เป็นการหลอกลวงหรือท าให้เจ้าของข้อมูลส่วนบุคคลเข้าใจผิดในวัตถุประสงค์ดังกล่าว  ทั้งนี้  คณะกรรมการจะให้ผู้ควบคุมข้อมูลส่วนบุคคลขอความยินยอมจากเจ้าของข้อมูลส่วนบุคคลตามแบบและข้อความที่คณะกรรมการประกาศก าหนดก็ได้ ในการขอความยินยอมจากเจ้าของข้อมูลส่วนบุคคล  ผู้ควบคุมข้อมูลส่วนบุคคลต้องค านึง อย่างถึงที่สุดในความเป็นอิสระของเจ้าของข้อมูลส่วนบุคคลในการให้ความยินยอม  ทั้งนี้  ในการเข้าท าสัญญาซึ่งรวมถึงการให้บริการใด ๆ  ต้องไม่มีเงื่อนไขในการให้ความยินยอมเพื่อเก็บรวบรวม  ใช้  หรือเปิดเผยข้อมูลส่วนบุคคลที่ไม่มีความจ าเป็นหรือเกี่ยวข้องส าหรับการเข้าท าสัญญาซึ่งรวมถึงการให้บริการนั้น ๆ

      เจ้าของข้อมูลส่วนบุคคลจะถอนความยินยอมเสียเมื่อใดก็ได้โดยจะต้องถอนความยินยอมได้ง่ายเช่นเดียวกับการให้ความยินยอม  เว้นแต่มีข้อจ ากัดสิทธิในการถอนความยินยอมโดยกฎหมายหรือ สัญญาที่ให้ประโยชน์แก่เจ้าของข้อมูลส่วนบุคคล  ทั้งนี้  การถอนความยินยอมย่อมไม่ส่งผลกระทบต่อการเก็บรวบรวม  ใช้  หรือเปิดเผยข้อมูลส่วนบุคคลที่เจ้าของข้อมูลส่วนบุคคลได้ให้ความยินยอมไปแล้วโดยชอบตามที่ก าหนดไว้ในหมวดนี้ ในกรณีที่การถอนความยินยอมส่งผลกระทบต่อเจ้าของข้อมูลส่วนบุคคลในเรื่องใด  ผู้ควบคุมข้อมูลส่วนบุคคลต้องแจ้งให้เจ้าของข้อมูลส่วนบุคคลทราบถึงผลกระทบจากการถอนความยินยอมนั้น การขอความยินยอมจากเจ้าของข้อมูลส่วนบุคคลที่ไม่เป็นไปตามที่ก าหนดไว้ในหมวดนี้  ไม่มีผลผูกพันเจ้าของข้อมูลส่วนบุคคล  และไม่ท าให้ผู้ควบคุมข้อมูลส่วนบุคคลสามารถท าการเก็บรวบรวม  ใช้  หรือเปิดเผยข้อมูลส่วนบุคคลได้

      มาตรา ๓๗ ผู้ควบคุมข้อมูลส่วนบุคคลมีหน้าที่  ดังต่อไปนี้

      (๑) จัดให้มีมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสม  เพื่อป้องกันการสูญหาย  เข้าถึง  ใช้  เปลี่ยนแปลง  แก้ไข  หรือเปิดเผยข้อมูลส่วนบุคคลโดยปราศจากอ านาจหรือโดยมิชอบ  และต้องทบทวนมาตรการดังกล่าวเมื่อมีความจ าเป็นหรือเมื่อเทคโนโลยีเปลี่ยนแปลงไปเพื่อให้มีประสิทธิภาพในการรักษาความมั่นคงปลอดภัยที่เหมาะสม  ทั้งนี้  ให้เป็นไปตามมาตรฐานขั้นต่ าที่คณะกรรมการประกาศก าหนด

      (๒) ในกรณีที่ต้องให้ข้อมูลส่วนบุคคลแก่บุคคลหรือนิติบุคคลอื่นที่ไม่ใช่ผู้ควบคุมข้อมูลส่วนบุคคล  ต้องด าเนินการเพื่อป้องกันมิให้ผู้นั้นใช้หรือเปิดเผยข้อมูลส่วนบุคคลโดยปราศจากอ านาจหรือโดยมิชอบ

      (๓) จัดให้มีระบบการตรวจสอบเพื่อด าเนินการลบหรือท าลายข้อมูลส่วนบุคคลเมื่อพ้นก าหนดระยะเวลาการเก็บรักษา  หรือที่ไม่เกี่ยวข้องหรือเกินความจ าเป็นตามวัตถุประสงค์ในการเก็บรวบรวม ข้อมูลส่วนบุคคลนั้น  หรือตามที่เจ้าของข้อมูลส่วนบุคคลร้องขอ  หรือที่เจ้าของข้อมูลส่วนบุคคล ได้ถอนความยินยอม  เว้นแต่เก็บรักษาไว้เพื่อวัตถุประสงค์ในการใช้เสรีภาพในการแสดงความคิดเห็น

      การเก็บรักษาไว้เพื่อวัตถุประสงค์ตามมาตรา  ๒๔

      (๑)  หรือ

      (๔)  หรือมาตรา  ๒๖

      (๕)  (ก)  หรือ  (ข)  การใช้เพื่อการก่อตั้งสิทธิเรียกร้องตามกฎหมาย  การปฏิบัติตามหรือการใช้สิทธิเรียกร้องตามกฎหมาย  หรือการยกขึ้นต่อสู้สิทธิเรียกร้องตามกฎหมาย  หรือเพื่อการปฏิบัติตามกฎหมาย  ทั้งนี้  ให้น าความในมาตรา  ๓๓  วรรคห้า  มาใช้บังคับกับการลบหรือท าลายข้อมูลส่วนบุคคลโดยอนุโลม

      (๔) แจ้งเหตุการละเมิดข้อมูลส่วนบุคคลแก่ส านักงานโดยไม่ชักช้าภายในเจ็ดสิบสองชั่วโมง นับแต่ทราบเหตุเท่าที่จะสามารถกระท าได้  เว้นแต่การละเมิดดังกล่าวไม่มีความเสี่ยงที่จะมีผลกระทบต่อสิทธิและเสรีภาพของบุคคล  ในกรณีที่การละเมิดมีความเสี่ยงสูงที่จะมีผลกระทบต่อสิทธิและเสรีภาพ ของบุคคล  ให้แจ้งเหตุการละเมิดให้เจ้าของข้อมูลส่วนบุคคลทราบพร้อมกับแนวทางการเยียวยา โดยไม่ชักช้าด้วย  ทั้งนี้  การแจ้งดังกล่าวและข้อยกเว้นให้เป็นไปตามหลักเกณฑ์และวิธีการที่คณะกรรมการประกาศก าหนด

      (๕) ในกรณีที่เป็นผู้ควบคุมข้อมูลส่วนบุคคลตามมาตรา  ๕  วรรคสอง  ต้องแต่งตั้งตัวแทนของผู้ควบคุมข้อมูลส่วนบุคคลเป็นหนังสือซึ่งตัวแทนต้องอยู่ในราชอาณาจักรและตัวแทนต้องได้รับมอบอ านาจให้กระท าการแทนผู้ควบคุมข้อมูลส่วนบุคคลโดยไม่มีข้อจ ากัดความรับผิดใด ๆ  ที่เกี่ยวกับการเก็บรวบรวม  ใช้  หรือเปิดเผยข้อมูลส่วนบุคคลตามวัตถุประสงค์ของผู้ควบคุมข้อมูลส่วนบุคคล

อ่านมาตรา ๖ มาตรา ๑๙ และมาตรา ๓๗ ในกล่องด้านบน ช่องไฟใน PDF เป็นของต้นฉบับ ความยินยอมและการแจ้งเหตุละเมิดเป็นคนละมาตรา

สิ่งที่ห้ามทำ: ใช้ pre-ticked checkbox, รวมความยินยอมไว้ในข้อตกลงอื่น, บังคับให้ยินยอมเป็นเงื่อนไขในการรับบริการ (ยกเว้นข้อมูลนั้นจำเป็นจริง ๆ)

3. แต่งตั้ง DPO หรือผู้รับผิดชอบ

ตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 มาตรา 41 และมาตรา 42 องค์กรบางประเภทต้องแต่งตั้ง เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล (Data Protection Officer — DPO) ซึ่งเป็นข้อบังคับเฉพาะกรณีต่อไปนี้ (1) หน่วยงานของรัฐตามที่คณะกรรมการประกาศกำหนด (2) องค์กรที่ต้องตรวจสอบข้อมูลส่วนบุคคลหรือระบบอย่างสม่ำเสมอเพราะมีข้อมูลส่วนบุคคลจำนวนมากตามที่คณะกรรมการประกาศกำหนด (ประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง การจัดให้มีเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลตามมาตรา 41 (2) พ.ศ. 2566) และ (3) องค์กรที่มีกิจกรรมหลักเป็นการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลอ่อนไหวตามมาตรา 26

สำหรับ SME ที่ไม่ได้อยู่ในข่ายบังคับ ก็ควรมีผู้รับผิดชอบที่ชัดเจนอย่างน้อย 1 คน เพื่อดูแลเรื่อง PDPA ในองค์กร DPO สามารถเป็นพนักงานภายในหรือจ้างผู้เชี่ยวชาญภายนอกก็ได้

4. จัดทำบันทึกกิจกรรมการประมวลผล (ROPA)

ROPA (Record of Processing Activities) คือเอกสารที่บันทึกว่าองค์กรเก็บข้อมูลอะไรบ้าง จากแหล่งไหน ใช้ทำอะไร เก็บที่ไหน นานเท่าไร และส่งต่อให้ใครบ้าง เอกสารนี้เป็นหลักฐานสำคัญที่แสดงว่าองค์กรปฏิบัติตาม PDPA

ROPA ไม่จำเป็นต้องซับซ้อน สำหรับธุรกิจขนาดเล็กอาจเริ่มจากตาราง Excel ง่าย ๆ ที่ระบุอย่างน้อยตามมาตรา 39 ได้แก่ ข้อมูลส่วนบุคคลที่เก็บรวบรวม วัตถุประสงค์ ข้อมูลเกี่ยวกับผู้ควบคุมข้อมูล ระยะเวลาการเก็บรักษา สิทธิและวิธีการเข้าถึงข้อมูล การใช้หรือเปิดเผยตามมาตรา 27 วรรคสาม การปฏิเสธคำขอ และมาตรการรักษาความมั่นคงปลอดภัย ส่วนผู้ประมวลผลข้อมูลมีหน้าที่จัดทำบันทึกตามมาตรา 40 (3) ทั้งนี้ กิจการขนาดเล็กอาจได้รับยกเว้นการบันทึกบางรายการตามประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลว่าด้วยการยกเว้นการบันทึกรายการ พ.ศ. 2565

5. วางแผนแจ้งเหตุละเมิดภายใน 72 ชั่วโมง

ตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 มาตรา 37 (4) หากเกิดเหตุละเมิดข้อมูลส่วนบุคคล (Data Breach) ผู้ควบคุมข้อมูลต้องแจ้ง สคส. ภายใน 72 ชั่วโมงนับแต่ทราบเหตุ และหากเหตุละเมิดนั้นมีความเสี่ยงสูงที่จะกระทบสิทธิของเจ้าของข้อมูล ต้องแจ้งเจ้าของข้อมูลด้วย ทั้งนี้ หลักเกณฑ์และวิธีการแจ้งเป็นไปตามประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง หลักเกณฑ์และวิธีการในการแจ้งเหตุการละเมิดข้อมูลส่วนบุคคล พ.ศ. 2565 หากแจ้งไม่ทัน 72 ชั่วโมง ต้องแจ้งพร้อมเหตุผลโดยไม่ชักช้าและไม่เกิน 15 วันนับแต่ทราบเหตุ

ธุรกิจควรมี Breach Response Plan ที่กำหนดชัดเจนว่า: ใครเป็นผู้รับแจ้ง, ขั้นตอนประเมินความเสี่ยง, ช่องทางแจ้ง สคส., และวิธีแจ้งเจ้าของข้อมูล เตรียมไว้ล่วงหน้าดีกว่ามาทำตอนเกิดเหตุ

PDPA Insights โดยทนายหมิว

ทนายหมิว (นันทนาถ แสงทอง)

PDPA Lead, Legal Advance Solution Co., Ltd.
ผู้เชี่ยวชาญด้านกฎหมายคุ้มครองข้อมูลส่วนบุคคลสำหรับธุรกิจ

Insight 1: "ข้อมูลสุขภาพไม่ใช่คอนเทนต์"

Insight 2: "ไม่ใส่ชื่อก็ผิดได้"

Insight 3: Social Media Marketing — ข้อมูลลูกค้ากับ Targeted Ads

โทษที่ต้องรู้

PDPA กำหนดโทษไว้ 3 ระดับ ซึ่งอาจเกิดขึ้นพร้อมกันได้ในการกระทำผิดครั้งเดียว:

โทษปกครอง (มาตรา 82 ถึงมาตรา 90)

โทษอาญา (มาตรา 79 และมาตรา 80)

โทษทางแพ่ง (มาตรา 77 และมาตรา 78)

ติดตามทนายหมิว

BizLaw by ทนายหมิว

ทนายหมิว (นันทนาถ แสงทอง) นำเสนอเนื้อหา PDPA และกฎหมายธุรกิจในภาษาที่เข้าใจง่าย เหมาะสำหรับผู้ประกอบการและเจ้าของธุรกิจ ติดตามได้ที่:

• Instagram: @bizlawbymhew
• Facebook: BizLaw by ทนายหมิว
• Facebook Video: PDPA Content Series

ปรึกษา LAS เรื่อง PDPA

บทความที่เกี่ยวข้อง

Disclaimer: บทความนี้จัดทำเพื่อวัตถุประสงค์ทางวิชาการและให้ความรู้ทั่วไปเท่านั้น ไม่ถือเป็นคำแนะนำทางกฎหมายเฉพาะราย ผู้อ่านควรปรึกษาที่ปรึกษากฎหมายก่อนตัดสินใจดำเนินการใด ๆ

เกี่ยวกับผู้เขียน