# CPRA คืออะไร? คู่มือ California Privacy Rights Act สำหรับธุรกิจไทยที่ส่งออกไปอเมริกา 2026
ถ้าธุรกิจไทยของคุณมีลูกค้าหรือเก็บข้อมูลผู้บริโภคในรัฐแคลิฟอร์เนีย สหรัฐฯ เพียง 1 คน ก็มีโอกาสต้องปฏิบัติตามกฎหมาย CPRA แล้ว รัฐแคลิฟอร์เนียเป็นรัฐที่มี GDP อันดับ 5 ของโลก มีประชากร 39 ล้านคน และเป็นตลาด E-commerce ขนาดใหญ่ที่สุดของอเมริกา
CPRA (California Privacy Rights Act) คือกฎหมายคุ้มครองข้อมูลส่วนบุคคลที่มีผลบังคับใช้เต็มรูปแบบตั้งแต่ 1 กรกฎาคม 2023 เป็นการขยายและปรับปรุงกฎหมาย CCPA (California Consumer Privacy Act) ให้เข้มงวดขึ้น ใกล้เคียงกับ GDPR ของยุโรปมากขึ้น โดยเพิ่มสิทธิ์ใหม่ๆ ให้ผู้บริโภค และตั้งหน่วยงานกำกับดูแลเฉพาะ CPPA (California Privacy Protection Agency)
ในบทความนี้คุณจะได้เรียนรู้ความแตกต่างระหว่าง CPRA กับ CCPA, GDPR และ PDPA ของไทย สิทธิ์ 9 ประการของผู้บริโภคแคลิฟอร์เนีย ธุรกิจไทยแบบไหนต้องปฏิบัติตาม และขั้นตอนเตรียมความพร้อม
ธุรกิจไทยแบบไหนต้องปฏิบัติตาม CPRA?
CPRA บังคับใช้กับทุกธุรกิจไม่ว่าจะตั้งอยู่ที่ไหนในโลก ถ้าเข้าเงื่อนไขข้อใดข้อหนึ่งใน 3 ข้อนี้
SME ไทยที่ขายสินค้าผ่าน Shopee Global, Amazon, Etsy หรือเว็บไซต์ตัวเองที่รับคำสั่งซื้อจากแคลิฟอร์เนียต้องระวัง เพราะถึงยอดขายจะไม่ถึง 25 ล้าน USD แต่ถ้าเก็บข้อมูลลูกค้าแคลิฟอร์เนียเกิน 100,000 คน ก็เข้าเงื่อนไขแล้ว
9 สิทธิ์ของผู้บริโภคตาม CPRA
CPRA ให้สิทธิ์ผู้บริโภคเพิ่มเติมจาก CCPA เดิม โดยเฉพาะเรื่อง Sensitive Personal Information
เปรียบเทียบ CPRA, CCPA, GDPR และ PDPA
| หัวข้อ | CPRA (California) | CCPA (California เดิม) | GDPR (EU) | PDPA (ไทย) |
|--------|-------------------|------------------------|-----------|-----------|
| พื้นที่บังคับใช้ | California | California | ทั่วยุโรป | ประเทศไทย |
| Consent Model | Opt-Out | Opt-Out | Opt-In | Opt-In |
| Sensitive Data | ต้องแยกแยะ | ไม่มีกำหนด | Special Category | ต้องขอ Explicit Consent |
| DPO | ไม่บังคับ | ไม่บังคับ | บังคับ (บางกรณี) | บังคับ (บางกรณี) |
| Penalty สูงสุด | $7,500 / ราย (เจตนา) | $7,500 / ราย | 20 ล้าน EUR หรือ 4% รายได้ | 5 ล้านบาท |
| หน่วยงานกำกับ | CPPA | AG Office | EDPB + DPA ประเทศ | สคส. |
Key Insight: CPRA เข้มงวดกว่า CCPA ในเรื่อง Sensitive Data และ Sharing แต่ยังใช้ Opt-Out Model (ให้ผู้บริโภคต้อง Opt-out) ต่างจาก GDPR และ PDPA ที่ใช้ Opt-In
7 ขั้นตอนเตรียมความพร้อม CPRA
เครื่องมือช่วยปฏิบัติตาม CPRA
สำหรับ SME ไทย Cookiebot + ช่องทาง DSAR แบบ Email Form ก็เพียงพอในระยะเริ่มต้น ประมาณ 400-1,500 บาท/เดือน
บทลงโทษและกรณีศึกษา
CPPA มีอำนาจปรับและดำเนินคดีโดยไม่ต้องผ่านศาล
กรณีศึกษา: Sephora (แบรนด์เครื่องสำอาง) ถูกปรับ $1.2 ล้าน USD ปี 2022 เพราะไม่แจ้งว่าขายข้อมูลลูกค้าและไม่ให้ Opt-Out ได้ — เป็นบทเรียนสำคัญสำหรับ E-commerce ไทยที่มีลูกค้าแคลิฟอร์เนีย
สรุป
CPRA คือกฎหมายคุ้มครองข้อมูลส่วนบุคคลที่เข้มงวดที่สุดในสหรัฐฯ และมีผลข้ามพรมแดนถึงธุรกิจไทยที่มีลูกค้าแคลิฟอร์เนีย แม้ยอดขายจะไม่ถึงเกณฑ์ แต่ถ้าเก็บข้อมูลลูกค้าเกิน 100,000 คนก็ต้องปฏิบัติตาม
Key Takeaways:
ต้องการปรึกษาเรื่อง Compliance สำหรับธุรกิจ Cross-Border? ADS FIT มีทีมผู้เชี่ยวชาญที่ช่วยธุรกิจไทยวางระบบ Privacy Compliance ครอบคลุมทั้ง CPRA, GDPR, PDPA ติดต่อเราเพื่อรับคำปรึกษาฟรี หรืออ่านบทความเกี่ยวกับ GDPR, PDPA, และ DPIA เพื่อเตรียมความพร้อมในยุคที่ข้อมูลส่วนบุคคลคือทรัพย์สินที่มีค่าที่สุดของธุรกิจ