PDPA Essentials Every Thai Business Must Know ✓
✓ Legal content last reviewed 29 September 2026 · synced with the audited Thai edition
A practical guide for business owners — not lawyers. Featuring insights from Ms. Nanthanat Saengthong, PDPA Lead at Legal Advance Solution.
Authors: Thundthornthep Yamoutai, Ph.D. — Founder & Managing Director, Legal Advance Solution Co., Ltd. | Co-authored by Ms. Nanthanat Saengthong — PDPA Lead, LAS
Published: April 3, 2026 | Category: Data Protection & Privacy Law | Reading Time: ~8 minutes
Contents
1. Introduction: PDPA Is in Force, but Most Businesses Are Not Ready
Thailand's Personal Data Protection Act B.E. 2562 (2019), commonly known as PDPA, has been fully enforceable since June 1, 2022. Yet, a significant number of Thai businesses have not taken the steps required by law. Some business owners are not even aware that their operations fall within the scope of PDPA.
Many entrepreneurs assume that PDPA is only relevant to technology companies or large corporations. In reality, every business that collects customer or employee data — whether a restaurant, a beauty clinic, an online store, or even a freelancer with a client database — must comply with PDPA.
Surveys by the Office of the Personal Data Protection Committee (OPDPC) [unconfirmed — source to be confirmed] indicate that over 70% of Thai SMEs still lack a legally compliant Privacy Policy, and more than 80% have never prepared a Record of Processing Activities (ROPA). These figures demonstrate that a large number of Thai entrepreneurs are at risk of penalties without realizing it.
This article breaks down PDPA in accessible terms — written for business owners, not lawyers. It features practical insights from Ms. Nanthanat Saengthong, PDPA Lead at Legal Advance Solution, a specialist in PDPA compliance for businesses.
2. What Is PDPA? (One-Minute Summary)
PDPA stands for the Personal Data Protection Act B.E. 2562 (2019) (Thai: พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562). It establishes the legal framework for the collection, use, and disclosure of personal data in Thailand. Its purpose is to protect the rights of data subjects from the unlawful use of their personal information.
Who Does PDPA Apply To?
The law applies to every organization that collects, uses, or discloses personal data, including:
- Limited companies and partnerships — that have employees or customers
- Online shops — that collect names, addresses, and phone numbers
- Clinics and hospitals — that collect health data (classified as sensitive data)
- Restaurants and hotels — that collect data through booking systems or loyalty programs
- Freelancers and independent professionals — that maintain client databases
Three Tiers of Penalties
| Penalty Type | Details | Legal Basis |
|---|---|---|
| Civil Liability | Actual damages + punitive damages up to 2x the actual amount | PDPA Sections 77-78 |
| Criminal Penalties | Imprisonment up to 6 months and/or fines up to 500,000 THB; up to 1 year and/or 1,000,000 THB where committed to obtain an unlawful benefit (sensitive data under Section 26) | PDPA Section 79 (and Section 80) |
| Administrative Fines | Fines up to 1, 3 or 5 million THB per violation, depending on the provision breached (5 million for sensitive data under Section 26) | PDPA Sections 82-84 (Committee's power: Section 90) |
Important: Company directors and authorized officers may be held personally liable if the violation occurred as a result of their order, action, or failure to act.
3. Five Things Every Entrepreneur Must Do Immediately
Action 1: Draft a Privacy Policy
A Privacy Policy is the document that informs customers and employees about what data you collect, why you collect it, how long you retain it, and who has access to it. PDPA requires data controllers to provide these details to data subjects before or at the time of collection.
A good Privacy Policy should be written in plain, accessible language — not dense legal jargon — and should be easy to find, such as on your website or within your mobile application.
Action 2: Obtain Consent Properly
Under PDPA Section 19, the request for consent must be made explicitly, in writing or through an electronic system (unless by its nature that is not possible), must state the purposes, and must be clearly separated from other text, in an easily accessible and understandable form and in plain language, without deceiving or misleading the data subject. It cannot be a pre-ticked checkbox. The data subject must be able to withdraw consent as easily as it was given.
มาตรา ๑๙ ผู้ควบคุมข้อมูลส่วนบุคคลจะกระท าการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลไม่ได้หากเจ้าของข้อมูลส่วนบุคคลไม่ได้ให้ความยินยอมไว้ก่อนหรือในขณะนั้น เว้นแต่บทบัญญัติแห่งพระราชบัญญัตินี้หรือกฎหมายอื่นบัญญัติให้กระท าได้ การขอความยินยอมต้องท าโดยชัดแจ้ง เป็นหนังสือหรือท าโดยผ่านระบบอิเล็กทรอนิกส์ เว้นแต่โดยสภาพไม่อาจขอความยินยอมด้วยวิธีการดังกล่าวได้ ในการขอความยินยอมจากเจ้าของข้อมูลส่วนบุคคล ผู้ควบคุมข้อมูลส่วนบุคคลต้องแจ้งวัตถุประสงค์ของการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลไปด้วย และการขอความยินยอมนั้นต้องแยกส่วนออกจากข้อความอื่นอย่างชัดเจน มีแบบหรือข้อความที่เข้าถึงได้ง่ายและเข้าใจได้ รวมทั้ง ใช้ภาษาที่อ่านง่าย และไม่เป็นการหลอกลวงหรือท าให้เจ้าของข้อมูลส่วนบุคคลเข้าใจผิดในวัตถุประสงค์ดังกล่าว ทั้งนี้ คณะกรรมการจะให้ผู้ควบคุมข้อมูลส่วนบุคคลขอความยินยอมจากเจ้าของข้อมูลส่วนบุคคลตามแบบและข้อความที่คณะกรรมการประกาศก าหนดก็ได้ ในการขอความยินยอมจากเจ้าของข้อมูลส่วนบุคคล ผู้ควบคุมข้อมูลส่วนบุคคลต้องค านึง อย่างถึงที่สุดในความเป็นอิสระของเจ้าของข้อมูลส่วนบุคคลในการให้ความยินยอม ทั้งนี้ ในการเข้าท าสัญญาซึ่งรวมถึงการให้บริการใด ๆ ต้องไม่มีเงื่อนไขในการให้ความยินยอมเพื่อเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลที่ไม่มีความจ าเป็นหรือเกี่ยวข้องส าหรับการเข้าท าสัญญาซึ่งรวมถึงการให้บริการนั้น ๆ
เจ้าของข้อมูลส่วนบุคคลจะถอนความยินยอมเสียเมื่อใดก็ได้โดยจะต้องถอนความยินยอมได้ง่ายเช่นเดียวกับการให้ความยินยอม เว้นแต่มีข้อจ ากัดสิทธิในการถอนความยินยอมโดยกฎหมายหรือ สัญญาที่ให้ประโยชน์แก่เจ้าของข้อมูลส่วนบุคคล ทั้งนี้ การถอนความยินยอมย่อมไม่ส่งผลกระทบต่อการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลที่เจ้าของข้อมูลส่วนบุคคลได้ให้ความยินยอมไปแล้วโดยชอบตามที่ก าหนดไว้ในหมวดนี้ ในกรณีที่การถอนความยินยอมส่งผลกระทบต่อเจ้าของข้อมูลส่วนบุคคลในเรื่องใด ผู้ควบคุมข้อมูลส่วนบุคคลต้องแจ้งให้เจ้าของข้อมูลส่วนบุคคลทราบถึงผลกระทบจากการถอนความยินยอมนั้น การขอความยินยอมจากเจ้าของข้อมูลส่วนบุคคลที่ไม่เป็นไปตามที่ก าหนดไว้ในหมวดนี้ ไม่มีผลผูกพันเจ้าของข้อมูลส่วนบุคคล และไม่ท าให้ผู้ควบคุมข้อมูลส่วนบุคคลสามารถท าการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลได้
Read มาตรา ๑๙ in the box. The statutory Thai text is the PDF. English on this page is a reading aid.
What not to do: Use pre-ticked checkboxes, bundle consent within other agreements, or make consent a mandatory condition for receiving a service (unless the data is strictly necessary for that service).
Action 3: Appoint a DPO or Responsible Person
Under PDPA Sections 41-42, a Data Protection Officer (DPO) is required only where (1) the controller or processor is a public body designated by the Committee; (2) its activities require regular monitoring of personal data or systems because of the large volume of personal data, as designated by the Committee; or (3) its core activities consist of collecting, using or disclosing sensitive personal data under Section 26. For SMEs that are not legally required to appoint a DPO, it is strongly recommended to designate at least one person to oversee PDPA compliance. A DPO may be an internal employee or an external service provider.
Action 4: Prepare a Record of Processing Activities (ROPA)
A ROPA is a document that records what data your organization collects, where it comes from, how it is used, where it is stored, how long it is retained, and who it is shared with. This document serves as key evidence that your organization complies with PDPA.
A ROPA does not need to be complex. For small businesses, it can start as a simple spreadsheet recording at least the items required by Section 39: the personal data collected, the purposes, the controller's details, the retention period, data subjects' access rights and methods, any use or disclosure under Section 27 paragraph 3, refusals of data-subject requests, and a description of security measures. Small businesses may be exempted from some of these items under the Committee's criteria, but not where the processing risks affecting data subjects' rights, is not occasional, or involves sensitive data under Section 26.
Action 5: Establish a Breach Notification Plan
Under PDPA Section 37(4), if a personal data breach occurs, the data controller must notify the OPDPC without delay and within 72 hours of becoming aware of the breach, as far as practicable, unless the breach is unlikely to risk individuals' rights and freedoms. If the breach is likely to pose a high risk to those rights and freedoms, the data subjects must also be notified without delay, together with remedial measures. The manner of notification and the exceptions follow the Committee's notification.
มาตรา ๓๗ ผู้ควบคุมข้อมูลส่วนบุคคลมีหน้าที่ ดังต่อไปนี้
(๑) จัดให้มีมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสม เพื่อป้องกันการสูญหาย เข้าถึง ใช้ เปลี่ยนแปลง แก้ไข หรือเปิดเผยข้อมูลส่วนบุคคลโดยปราศจากอ านาจหรือโดยมิชอบ และต้องทบทวนมาตรการดังกล่าวเมื่อมีความจ าเป็นหรือเมื่อเทคโนโลยีเปลี่ยนแปลงไปเพื่อให้มีประสิทธิภาพในการรักษาความมั่นคงปลอดภัยที่เหมาะสม ทั้งนี้ ให้เป็นไปตามมาตรฐานขั้นต่ าที่คณะกรรมการประกาศก าหนด
(๒) ในกรณีที่ต้องให้ข้อมูลส่วนบุคคลแก่บุคคลหรือนิติบุคคลอื่นที่ไม่ใช่ผู้ควบคุมข้อมูลส่วนบุคคล ต้องด าเนินการเพื่อป้องกันมิให้ผู้นั้นใช้หรือเปิดเผยข้อมูลส่วนบุคคลโดยปราศจากอ านาจหรือโดยมิชอบ
(๓) จัดให้มีระบบการตรวจสอบเพื่อด าเนินการลบหรือท าลายข้อมูลส่วนบุคคลเมื่อพ้นก าหนดระยะเวลาการเก็บรักษา หรือที่ไม่เกี่ยวข้องหรือเกินความจ าเป็นตามวัตถุประสงค์ในการเก็บรวบรวม ข้อมูลส่วนบุคคลนั้น หรือตามที่เจ้าของข้อมูลส่วนบุคคลร้องขอ หรือที่เจ้าของข้อมูลส่วนบุคคล ได้ถอนความยินยอม เว้นแต่เก็บรักษาไว้เพื่อวัตถุประสงค์ในการใช้เสรีภาพในการแสดงความคิดเห็น
การเก็บรักษาไว้เพื่อวัตถุประสงค์ตามมาตรา ๒๔
(๑) หรือ
(๔) หรือมาตรา ๒๖
(๕) (ก) หรือ (ข) การใช้เพื่อการก่อตั้งสิทธิเรียกร้องตามกฎหมาย การปฏิบัติตามหรือการใช้สิทธิเรียกร้องตามกฎหมาย หรือการยกขึ้นต่อสู้สิทธิเรียกร้องตามกฎหมาย หรือเพื่อการปฏิบัติตามกฎหมาย ทั้งนี้ ให้น าความในมาตรา ๓๓ วรรคห้า มาใช้บังคับกับการลบหรือท าลายข้อมูลส่วนบุคคลโดยอนุโลม
(๔) แจ้งเหตุการละเมิดข้อมูลส่วนบุคคลแก่ส านักงานโดยไม่ชักช้าภายในเจ็ดสิบสองชั่วโมง นับแต่ทราบเหตุเท่าที่จะสามารถกระท าได้ เว้นแต่การละเมิดดังกล่าวไม่มีความเสี่ยงที่จะมีผลกระทบต่อสิทธิและเสรีภาพของบุคคล ในกรณีที่การละเมิดมีความเสี่ยงสูงที่จะมีผลกระทบต่อสิทธิและเสรีภาพ ของบุคคล ให้แจ้งเหตุการละเมิดให้เจ้าของข้อมูลส่วนบุคคลทราบพร้อมกับแนวทางการเยียวยา โดยไม่ชักช้าด้วย ทั้งนี้ การแจ้งดังกล่าวและข้อยกเว้นให้เป็นไปตามหลักเกณฑ์และวิธีการที่คณะกรรมการประกาศก าหนด
(๕) ในกรณีที่เป็นผู้ควบคุมข้อมูลส่วนบุคคลตามมาตรา ๕ วรรคสอง ต้องแต่งตั้งตัวแทนของผู้ควบคุมข้อมูลส่วนบุคคลเป็นหนังสือซึ่งตัวแทนต้องอยู่ในราชอาณาจักรและตัวแทนต้องได้รับมอบอ านาจให้กระท าการแทนผู้ควบคุมข้อมูลส่วนบุคคลโดยไม่มีข้อจ ากัดความรับผิดใด ๆ ที่เกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลตามวัตถุประสงค์ของผู้ควบคุมข้อมูลส่วนบุคคล
Read มาตรา ๓๗ in the box. The statutory Thai text is the PDF. English on this page is a reading aid.
Every business should have a Breach Response Plan that clearly defines: who receives reports, the risk assessment process, the channel for notifying the OPDPC, and the method for notifying affected data subjects. It is far better to prepare this in advance than to scramble during an actual incident.
4. PDPA Insights by Ms. Nanthanat Saengthong
Ms. Nanthanat Saengthong (Khun Mhew)
PDPA Lead, Legal Advance Solution Co., Ltd.
Specialist in personal data protection law for businesses
Insight 1: "Health Data Is Not Content"
Ms. Nanthanat emphasizes that patient photographs, before-and-after treatment images, or any information about medical conditions all constitute "sensitive personal data" under PDPA Section 26. Sensitive data is subject to stricter protections than ordinary personal data.
Any beauty clinic, dental practice, or healthcare facility that posts patient photos on social media for marketing purposes without obtaining explicit consent from the data subject is in immediate violation of PDPA — even if the face is blurred or the name is omitted, if the person can still be identified.
Recommendation: Prepare a separate consent form specifically for the use of images and health data in marketing materials, distinct from the consent form for medical treatment.
Insight 2: "No Name Does Not Mean No PDPA"
Many business owners mistakenly believe that if they do not include a person's name, PDPA does not apply. Ms. Nanthanat points out that under PDPA Section 6, "personal data" means any information that enables the identification of a person, whether directly or indirectly.
มาตรา ๖ ในพระราชบัญญัตินี้ “ข้อมูลส่วนบุคคล” หมายความว่า ข้อมูลเกี่ยวกับบุคคลซึ่งท าให้สามารถระบุตัวบุคคลนั้นได้ไม่ว่าทางตรงหรือทางอ้อม แต่ไม่รวมถึงข้อมูลของผู้ถึงแก่กรรมโดยเฉพาะ “ผู้ควบคุมข้อมูลส่วนบุคคล” หมายความว่า บุคคลหรือนิติบุคคลซึ่งมีอ านาจหน้าที่ตัดสินใจเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล
“ผู้ประมวลผลข้อมูลส่วนบุคคล” หมายความว่า บุคคลหรือนิติบุคคลซึ่งด าเนินการเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลตามค าสั่งหรือในนามของผู้ควบคุมข้อมูลส่วนบุคคล ทั้งนี้ บุคคลหรือนิติบุคคลซึ่งด าเนินการดังกล่าวไม่เป็นผู้ควบคุมข้อมูลส่วนบุคคล “บุคคล” หมายความว่า บุคคลธรรมดา “คณะกรรมการ” หมายความว่า คณะกรรมการคุ้มครองข้อมูลส่วนบุคคล “พนักงานเจ้าหน้าที่” หมายความว่า ผู้ซึ่งรัฐมนตรีแต่งตั้งให้ปฏิบัติการตามพระราชบัญญัตินี้ “ส านักงาน” หมายความว่า ส านักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล “เลขาธิการ” หมายความว่า เลขาธิการคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล “รัฐมนตรี” หมายความว่า รัฐมนตรีผู้รักษาการตามพระราชบัญญัตินี้
Read มาตรา ๖ in the box. The statutory Thai text is the PDF. English on this page is a reading aid.
Examples include: national ID numbers, passport numbers, email addresses, phone numbers, facial photographs, GPS location data, IP addresses, Cookie IDs, or even a combination of multiple data points that together can identify an individual. All of these qualify as personal data under the law.
Recommendation: Always assess whether the data your business collects can "identify a person" before concluding that PDPA does not apply.
Insight 3: Social Media Marketing and Targeted Ads
Using customer data for targeted advertising on social media platforms — such as uploading a Customer List to create a Custom Audience on Facebook, or using purchase behavior data for retargeting campaigns — requires a lawful basis under PDPA.
Ms. Nanthanat advises that business owners must determine which lawful basis applies: Consent under Section 19, Legitimate Interest under Section 24(5), or another basis. In all cases, the data subject must have been informed of the marketing purpose.
Recommendation: Clearly state "marketing and advertising" as a purpose in your Privacy Policy, and obtain separate consent for promotional communications.
5. Penalties You Need to Know
PDPA imposes three tiers of penalties, and all three can apply simultaneously for a single violation:
Administrative Fines (Sections 82-90)
Up to 1, 3 or 5 million THB per violation, depending on the provision breached (Sections 82-84; the 5 million ceiling applies to sensitive personal data under Section 26). Imposed by the Expert Committee under Section 90 without the need for court proceedings; the Committee may order correction or issue a warning first. Examples of conduct that may result in fines include: collecting data without disclosing the purpose, failing to implement appropriate security measures, failing to notify a breach within 72 hours, and failing to maintain a ROPA.
Criminal Penalties (Section 79)
Imprisonment up to 6 months and/or fines up to 500,000 THB; up to 1 year and/or fines up to 1,000,000 THB where committed to obtain an unlawful benefit. These apply to a controller who breaches Sections 27 or 28 in respect of sensitive personal data, such as using it without consent, in a manner likely to cause harm, reputational damage, or public contempt. The offence is compoundable. Section 80 separately punishes anyone who discloses personal data learned in the course of duties under the Act.
Civil Liability (Sections 77-78)
Actual damages plus punitive damages up to twice the actual amount as determined by the court. Data subjects may bring civil claims for both actual harm and emotional distress. Notably, liability does not depend on intent or negligence: the data controller is liable unless it proves that the damage arose from force majeure, from the data subject's own act or omission, or from compliance with an order of an official acting under legal authority (Section 77).
Critical note: Company directors, managers, and authorized officers of a juristic person may be held personally liable if the violation is proven to have resulted from their order, action, or failure to act. PDPA compliance is not just a "company issue" — it is a personal responsibility of business leaders.
6. Follow Ms. Nanthanat Saengthong
BizLaw by Mhew
Ms. Nanthanat Saengthong (Khun Mhew) creates accessible PDPA and business law content for entrepreneurs and business owners. Follow her work:
- Instagram: @bizlawbymhew
- Facebook: BizLaw by Mhew
- Facebook Video: PDPA Content Series
7. Contact LAS for PDPA Advisory
Legal Advance Solution Co., Ltd. (LAS) provides end-to-end PDPA advisory services, from gap analysis and document preparation (Privacy Policy, Consent Forms, ROPA, Data Processing Agreements) to employee training and outsourced DPO services.
The LAS PDPA team is led by:
- Thundthornthep Yamoutai, Ph.D. — Founder & Managing Director, 20+ years in Thai business law
- Ms. Nanthanat Saengthong — PDPA Lead, specialist in data protection compliance for businesses
Related Resources
Disclaimer: This article is for educational and general informational purposes only and does not constitute specific legal advice. Readers should consult a legal advisor before taking any action.
About the Authors
Thundthornthep Yamoutai, Ph.D.
Founder and Managing Director of Legal Advance Solution Co., Ltd. with over 20 years of experience in Thai business law. Lecturer at Kasetsart University, Bangkokthonburi University, and Suan Sunandha Rajabhat University. NIA-funded AI legal technology researcher. ACI-published scholar. Parliamentary Committee member. Signature practice areas include Due Diligence, Condition Precedent analysis, and PDPA compliance advisory.
Ms. Nanthanat Saengthong (Khun Mhew)
PDPA Lead at Legal Advance Solution Co., Ltd. Specialist in personal data protection compliance for businesses. Creator of PDPA and business law content through BizLaw by Mhew.
Official Profile | Knowledge Hub | LAS Website | @bizlawbymhew