# GDPR คืออะไร? คู่มือปฏิบัติตาม GDPR สำหรับธุรกิจไทยปี 2026
ถ้าธุรกิจของคุณขายสินค้าออนไลน์ให้ลูกค้าในยุโรป มีเว็บไซต์ที่ผู้ใช้จากยุโรปเข้าใช้งาน หรือมีพาร์ทเนอร์ธุรกิจในสหภาพยุโรป คุณอาจต้องปฏิบัติตาม GDPR โดยไม่รู้ตัว
GDPR (General Data Protection Regulation) คือกฎหมายคุ้มครองข้อมูลส่วนบุคคลของสหภาพยุโรปที่มีผลบังคับใช้กับองค์กรทั่วโลก — รวมถึงธุรกิจไทย — ที่ประมวลผลข้อมูลของบุคคลในสหภาพยุโรป โดยมีโทษปรับสูงถึง 20 ล้านยูโร หรือ 4% ของรายได้ทั่วโลก
บทความนี้จะช่วยให้คุณเข้าใจ GDPR อย่างครบถ้วน พร้อมแนวทางปฏิบัติที่เป็นรูปธรรมสำหรับธุรกิจไทยในปี 2026
GDPR คืออะไร?
GDPR (General Data Protection Regulation) คือระเบียบคุ้มครองข้อมูลส่วนบุคคลของสหภาพยุโรปที่มีผลบังคับใช้ตั้งแต่วันที่ 25 พฤษภาคม 2018 มีเป้าหมายเพื่อ:
ความแตกต่างระหว่าง GDPR และ PDPA
| หัวข้อ | GDPR (EU) | PDPA (ไทย) |
|--------|-----------|-----------|
| บังคับใช้ | พฤษภาคม 2018 | มิถุนายน 2022 |
| ขอบเขต | ข้อมูลของบุคคลใน EU | ข้อมูลของบุคคลในไทย |
| โทษปรับสูงสุด | 20 ล้านยูโร หรือ 4% รายได้ | 5 ล้านบาท |
| Data Breach แจ้ง | ภายใน 72 ชั่วโมง | ภายใน 72 ชั่วโมง |
ธุรกิจไทยแบบไหนที่ต้องปฏิบัติตาม GDPR?
GDPR มีหลักการ Extraterritorial Application หมายความว่าบังคับใช้กับองค์กรนอก EU หากมีกิจกรรมต่อไปนี้:
ต้องปฏิบัติตาม GDPR ถ้า:
อาจไม่ต้องปฏิบัติตาม GDPR ถ้า:
หลักการ 7 ข้อของ GDPR
1. Lawfulness, Fairness and Transparency
การประมวลผลข้อมูลต้องมีฐานทางกฎหมาย โปร่งใส และเป็นธรรม ฐานทางกฎหมายที่ใช้ได้:
2. Purpose Limitation
ใช้ข้อมูลเพื่อวัตถุประสงค์ที่แจ้งไว้เท่านั้น ห้ามนำไปใช้วัตถุประสงค์อื่นโดยไม่แจ้งใหม่
3. Data Minimisation
เก็บเฉพาะข้อมูลที่จำเป็น ไม่เก็บข้อมูลเกินความต้องการ
4. Accuracy
รักษาความถูกต้องของข้อมูลและอัปเดตเมื่อมีการเปลี่ยนแปลง
5. Storage Limitation
ไม่เก็บข้อมูลนานกว่าที่จำเป็น กำหนด Retention Period ที่ชัดเจน
6. Integrity and Confidentiality
ปกป้องข้อมูลด้วยมาตรการความปลอดภัยที่เหมาะสม
7. Accountability
องค์กรต้องพิสูจน์ได้ว่าปฏิบัติตาม GDPR จริง
สิทธิ์ของเจ้าของข้อมูลตาม GDPR
| สิทธิ์ | คำอธิบาย | ระยะเวลาตอบสนอง |
|-------|----------|----------------|
| Right to Access | ขอดูข้อมูลที่เก็บไว้ | 1 เดือน |
| Right to Rectification | ขอแก้ไขข้อมูลที่ผิด | 1 เดือน |
| Right to Erasure | ขอลบข้อมูล ("Right to be Forgotten") | 1 เดือน |
| Right to Restriction | ขอจำกัดการประมวลผล | 1 เดือน |
| Right to Portability | ขอรับข้อมูลในรูปแบบที่ใช้ต่อได้ | 1 เดือน |
| Right to Object | คัดค้านการประมวลผลข้อมูล | ทันที |
| Right to be informed | ได้รับแจ้งเกี่ยวกับการประมวลผล | ก่อนเก็บข้อมูล |
แนวทางปฏิบัติ GDPR สำหรับธุรกิจไทย
ขั้นตอนที่ 1: Data Audit — รู้จักข้อมูลที่คุณมี
ก่อนอื่นต้องสำรวจว่ามีข้อมูลใดบ้าง:
ขั้นตอนที่ 2: สร้าง Privacy Policy ที่ครบถ้วน
Privacy Policy ต้องระบุ:
ขั้นตอนที่ 3: ระบบ Consent Management
สำหรับเว็บไซต์:
ขั้นตอนที่ 4: Data Security
ขั้นตอนที่ 5: แต่งตั้ง DPO (Data Protection Officer)
บางองค์กรต้องมี DPO ได้แก่:
ค่าปรับและบทลงโทษ GDPR
GDPR แบ่งโทษปรับเป็น 2 ระดับ:
ระดับที่ 1 — โทษเบากว่า:
ระดับที่ 2 — โทษหนักที่สุด:
ตัวอย่างค่าปรับที่เกิดขึ้นจริง:
สรุปและขั้นตอนต่อไป
GDPR ไม่ใช่เรื่องที่ธุรกิจไทยจะมองข้ามได้อีกต่อไป โดยเฉพาะธุรกิจที่มีลูกค้าในยุโรปหรือมีเว็บไซต์ที่เปิดให้ผู้ใช้ทั่วโลกเข้าถึง การปฏิบัติตาม GDPR ไม่ใช่แค่การหลีกเลี่ยงค่าปรับ แต่ยังช่วยสร้างความน่าเชื่อถือและความไว้วางใจจากลูกค้า
สิ่งที่ต้องทำทันที:
1. ตรวจสอบว่าธุรกิจของคุณต้องปฏิบัติตาม GDPR หรือไม่
2. ทำ Data Audit เพื่อรู้จักข้อมูลที่มีอยู่
3. ปรับปรุง Privacy Policy และระบบ Consent
4. ปรึกษาผู้เชี่ยวชาญด้าน Compliance
ADS FIT มีทีมผู้เชี่ยวชาญด้าน Data Compliance ที่พร้อมช่วยองค์กรของคุณประเมินความพร้อมด้าน GDPR และ PDPA พร้อมวางแนวทางปฏิบัติที่เหมาะสม [ติดต่อทีมของเรา](/contact) เพื่อรับคำปรึกษาฟรี