# GDPR vs PDPA 2026: คู่มือเปรียบเทียบกฎหมายคุ้มครองข้อมูล EU-ไทย สำหรับ SME
ปี 2026 เป็นปีที่กฎหมายคุ้มครองข้อมูลส่วนบุคคลทั้งฝั่งยุโรป (GDPR) และไทย (PDPA) มีการบังคับใช้เข้มงวดขึ้น พร้อมค่าปรับสูงสุดที่ทำให้ SME ไทยที่ทำธุรกิจส่งออกหรือมีลูกค้าใน EU ต้องตื่นตัว — บทเรียนล่าสุดคือบริษัทไทยถูกปรับกว่า 50 ล้านบาทเพราะส่งข้อมูลลูกค้าไป Server นอกประเทศโดยไม่มี Standard Contractual Clauses
หลายบริษัท SME คิดว่าตัวเองไม่เข้าข่าย เพราะ "ไม่ใช่บริษัทยักษ์ใหญ่" หรือ "ไม่ได้ขายให้ EU" แต่แค่มีลูกค้า EU เข้ามาดูเว็บไซต์และเก็บ Cookie ก็เข้าข่าย GDPR แล้ว
บทความนี้จะเปรียบเทียบ GDPR และ PDPA แบบเชิงปฏิบัติ พร้อมตัวอย่างจริง รายการตรวจสอบที่ SME ใช้ได้ทันที และคำแนะนำสำหรับธุรกิจที่ต้องปฏิบัติตามทั้งสองฉบับพร้อมกัน
ภาพรวม GDPR และ PDPA
GDPR (General Data Protection Regulation) บังคับใช้ทั่ว EU ตั้งแต่ พ.ศ. 2561 มีขอบเขตครอบคลุมองค์กรทั่วโลกที่ประมวลผลข้อมูลของพลเมือง EU — ค่าปรับสูงสุด 20 ล้านยูโร หรือ 4% ของรายได้ทั่วโลก แล้วแต่จำนวนใดจะมากกว่า
PDPA (Personal Data Protection Act พ.ศ. 2562) ของไทย บังคับใช้เต็มรูปแบบเมื่อมิถุนายน 2565 มีค่าปรับสูงสุด 5 ล้านบาทต่อกรณี และมีบทลงโทษทางอาญาสูงสุด 1 ปี — ใช้กับองค์กรที่มี Data Subject ในไทย
ตารางเปรียบเทียบที่ SME ต้องรู้
| หัวข้อ | GDPR | PDPA |
|--------|------|------|
| ขอบเขตทางภูมิศาสตร์ | ทั่วโลก หากมี Data Subject EU | ในไทย และข้อมูลของคนไทย |
| ค่าปรับสูงสุด | 20M EUR หรือ 4% รายได้ | 5M THB ต่อกรณี + อาญา |
| Data Protection Officer | บังคับเฉพาะกรณีจัดการ Sensitive | บังคับเฉพาะกรณี Sensitive |
| Data Breach Notification | 72 ชม. | โดยไม่ชักช้า (ไม่ระบุชั่วโมง) |
| Right to be Forgotten | ระบุชัดเจน | ขอลบได้ในบางเงื่อนไข |
| Cross-border Transfer | ต้องมี SCC/Adequacy | ต้องมี Standard เทียบเท่า |
| Consent | ชัดเจน specific เพิกถอนง่าย | ชัดเจน เพิกถอนง่าย |
| อายุ Minor | 16 ปี (แต่ละประเทศปรับได้) | ต่ำกว่า 20 ปี ต้องผู้ปกครองยินยอม |
หลักการพื้นฐานที่เหมือนกัน
แม้รายละเอียดต่างกัน แต่หลักการสำคัญทั้งสองฉบับเหมือนกัน ได้แก่:
ความแตกต่างที่ต้องระวังเป็นพิเศษ
Checklist สำหรับ SME ไทยที่ต้องปฏิบัติทั้ง GDPR + PDPA
Tooling แนะนำสำหรับ SME
| เครื่องมือ | License | ราคา | ใช้สำหรับ |
|-----------|---------|------|-----------|
| OneTrust | Commercial | สูง | Enterprise full suite |
| Iubenda | Freemium | $9+ | Privacy Notice + Consent |
| Cookiebot | Freemium | ฟรี-$15 | Cookie Consent |
| Klaro | Open-Source | ฟรี | Cookie Consent self-host |
| OpenDSR | Open-Source | ฟรี | DSAR ในรูปแบบ JSON |
Summary + CTA
GDPR และ PDPA มีหลักการพื้นฐานคล้ายกัน — SME ไทยที่จัดทำ Compliance ระดับ GDPR จะครอบคลุม PDPA เกือบทั้งหมด แต่ต้องระวังเรื่อง Cross-border Transfer และคำจำกัดความของ Sensitive Data ที่แตกต่าง
Key Takeaways: (1) ทำ Data Inventory ครบถ้วน (2) ใช้ Consent Mechanism แบบ Opt-in (3) เซ็น DPA กับทุก Vendor (4) เตรียม DSAR + Breach Notification Process
ทีม ADSFIT ช่วยลูกค้าหลายราย Audit ระบบ Laravel/Next.js เพื่อเตรียมความพร้อม PDPA และ GDPR — ติดต่อเรารับ Compliance Audit ฟรี 1 ชม. หรืออ่านบทความ Compliance อื่นๆ ของเราในหน้า Blog