# PDPA DPA 2026: คู่มือ Data Processing Agreement สัญญาประมวลผลข้อมูลส่วนบุคคล SME ไทย
นับตั้งแต่ พ.ร.บ. คุ้มครองข้อมูลส่วนบุคคล (PDPA) มีผลบังคับใช้เต็มรูปแบบ องค์กรทุกขนาดต่างเริ่มตื่นตัวกับ Data Processing Agreement (DPA) หรือ "สัญญาประมวลผลข้อมูลส่วนบุคคล" สัญญาฉบับนี้คือเอกสารทางกฎหมายที่ผูกพันระหว่าง Data Controller (ผู้ควบคุมข้อมูล) กับ Data Processor (ผู้ประมวลผลข้อมูล) เพื่อกำหนดขอบเขต ความรับผิด และมาตรการป้องกันข้อมูลส่วนบุคคลของลูกค้า
หาก SME ของคุณใช้บริการ Cloud, SaaS, Outsourced Marketing หรือ Vendor ที่ต้องเข้าถึงข้อมูลลูกค้าโดยไม่มี DPA นั่นคือความเสี่ยงทางกฎหมายที่อาจถูก สคส. (PDPC) ปรับสูงสุด 5 ล้านบาท บทความนี้จะพาคุณรู้จักโครงสร้าง DPA ขั้นตอนการจัดทำ พร้อมเทมเพลตและ Checklist ที่ใช้ได้จริงในปี 2026
DPA คืออะไร และทำไมต้องมีในปี 2026
DPA เป็นสัญญาที่กฎหมาย PDPA มาตรา 40 และ GDPR มาตรา 28 กำหนดให้ Controller ต้องทำกับ Processor ทุกราย เพื่อให้มั่นใจว่าผู้ที่เข้าถึงข้อมูลส่วนบุคคลแทนเรามีมาตรการปกป้องที่เพียงพอ ปี 2026 เทรนด์สำคัญคือ Vendor Risk Management ที่เข้มข้นขึ้น ลูกค้าระดับองค์กรเริ่มขอ DPA เป็นเงื่อนไขก่อนเซ็นสัญญา ทำให้ SME ต้องมี DPA Template มาตรฐานพร้อมตอบ
| องค์ประกอบ | คำอธิบาย |
|------------|-----------|
| Subject Matter | วัตถุประสงค์การประมวลผล |
| Duration | ระยะเวลาที่อนุญาต |
| Categories of Data | ประเภทข้อมูลที่เกี่ยวข้อง |
| Obligations | ความรับผิดและสิทธิทั้งสองฝ่าย |
| Security Measures | มาตรการความปลอดภัย |
| Subprocessor | การจ้างช่วงต่อ |
| Audit Rights | สิทธิตรวจสอบ |
| Breach Notification | การแจ้งเหตุข้อมูลรั่วไหล |
องค์ประกอบหลักของ DPA ฉบับสมบูรณ์
DPA ที่ดีต้องครอบคลุม 8 ส่วนต่อไปนี้
ทุกหัวข้อต้องเขียนชัดเจนพร้อมตัวอย่างเชิงปฏิบัติ ไม่ใช่แค่กล่าวลอย ๆ
How-to: 7 ขั้นตอนจัดทำ DPA สำหรับ SME
ทำขั้นตอนเหล่านี้ภายในไตรมาสแรก จะช่วยลดความเสี่ยงและเสริมภาพลักษณ์องค์กรในระยะยาว
Subprocessor Management ที่ต้องไม่มองข้าม
Subprocessor หมายถึง Processor ที่ Vendor หลักว่าจ้างต่อให้ทำงานบางส่วน ตัวอย่างเช่น Vendor SaaS ใช้ AWS เก็บข้อมูล AWS ก็คือ Subprocessor มาตรา 40 ของ PDPA กำหนดว่า Processor ต้องไม่จ้างช่วงโดยไม่ได้รับอนุญาตจาก Controller ก่อน DPA ที่ดีจึงควรกำหนดสามเรื่อง
ในทางปฏิบัติ ควรขอ Subprocessor List ทุก 6 เดือน และเก็บไว้ในระบบเป็นหลักฐาน
เปรียบเทียบ DPA Template: PDPC vs EU SCC vs Custom
| หัวข้อ | PDPC Template | EU SCC | Custom (ทำเอง) |
|--------|----------------|---------|-----------------|
| ภาษา | ไทย | อังกฤษ | ปรับได้ |
| ขอบเขต | PDPA ไทย | ครอบคลุม Cross-border EU | ตามต้องการ |
| ความครบถ้วน | ปานกลาง | สูงมาก | ขึ้นอยู่กับทีมกฎหมาย |
| เหมาะกับใคร | SME ไทยที่ลูกค้าอยู่ในประเทศ | บริษัทที่มี Vendor ในยุโรป | บริษัทใหญ่ที่ต้องการความยืดหยุ่น |
| ค่าใช้จ่าย | ฟรี | ฟรี | สูง (ต้องจ้างที่ปรึกษา) |
แนะนำสำหรับ SME ไทยปี 2026: ใช้ PDPC Template เป็นพื้นฐาน เพิ่มข้อกำหนดเฉพาะ Subprocessor และ Audit ตาม EU SCC แล้วให้ที่ปรึกษากฎหมายตรวจสอบครั้งสุดท้าย
ข้อผิดพลาดที่ SME มักเจอ
หลีกเลี่ยงข้อผิดพลาดเหล่านี้ตั้งแต่เริ่ม จะประหยัดทั้งเวลาและค่าใช้จ่ายในระยะยาว
Checklist DPA Compliance 2026
ก่อนเซ็น DPA ทุกครั้ง ตรวจสอบ 10 ข้อนี้
นำ Checklist นี้ไปเป็นเครื่องมือทบทวนทุก DPA ที่ทำกับ Vendor ใหม่
สรุปและขั้นตอนต่อไป
DPA ไม่ใช่แค่เอกสารทางกฎหมาย แต่เป็นเครื่องมือบริหารความเสี่ยงและสร้างความเชื่อมั่นกับลูกค้า SME ที่จัดทำ DPA อย่างเป็นระบบจะได้เปรียบเมื่อต้องประมูลงานกับองค์กรใหญ่หรือลูกค้าต่างประเทศ
ขั้นตอนแรกที่แนะนำ: ทำ Vendor Inventory ภายในสัปดาห์นี้ จัดประเภทตามความเสี่ยง แล้วเริ่มทำ DPA จาก Vendor High-risk ก่อน
ต้องการที่ปรึกษาด้าน PDPA ระบบจัดการสัญญา หรือ Compliance Tool ที่ครบจบในที่เดียว ติดต่อทีม ADS FIT เพื่อรับคำแนะนำฟรี หรือเลือกอ่านบทความเพิ่มเติมเกี่ยวกับ Risk Appetite, ISO 27001 และ Privacy by Design