PDPA คืออะไร? ทำไมธุรกิจ SME ต้องรู้จัก PDPA
PDPA (Personal Data Protection Act) หรือ พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 คือกฎหมายที่คุ้มครองสิทธิ์ของเจ้าของข้อมูลส่วนบุคคล และกำหนดหน้าที่ขององค์กรที่เก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลเหล่านั้น
กฎหมายมีผลบังคับใช้เต็มรูปแบบตั้งแต่ 1 มิถุนายน 2565 โดยมีโทษปรับทางแพ่งสูงสุด 5 ล้านบาท และโทษอาญาจำคุกสูงสุด 1 ปี ทำให้ทุกธุรกิจที่จัดเก็บข้อมูลลูกค้าต้องปฏิบัติตามอย่างเคร่งครัด
ข้อมูลส่วนบุคคลหมายถึงอะไรบ้าง?
ข้อมูลส่วนบุคคลครอบคลุมข้อมูลทุกประเภทที่สามารถระบุตัวตนบุคคลได้ ไม่ว่าทางตรงหรือทางอ้อม เช่น ชื่อ-นามสกุล, เบอร์โทรศัพท์, อีเมล, ที่อยู่, เลขบัตรประชาชน, IP Address และข้อมูลพฤติกรรมการใช้งานเว็บไซต์
| ประเภทข้อมูล | ตัวอย่าง | ระดับความอ่อนไหว |
|-------------|---------|----------------|
| ข้อมูลทั่วไป | ชื่อ, อีเมล, เบอร์โทร | ปกติ |
| ข้อมูลออนไลน์ | IP, Cookie, พฤติกรรม | ปกติ |
| ข้อมูลอ่อนไหว | เชื้อชาติ, ศาสนา, สุขภาพ | สูงมาก |
| ข้อมูลทางการเงิน | บัญชีธนาคาร, บัตรเครดิต | สูง |
| ข้อมูลชีวมิติ | ลายนิ้วมือ, Face ID | สูงมาก |
---
ธุรกิจ SME ต้องทำอะไรบ้างภายใต้ PDPA?
1. กำหนดฐานทางกฎหมาย (Lawful Basis)
ก่อนเก็บข้อมูล ต้องมีฐานทางกฎหมายอย่างน้อย 1 ข้อ ได้แก่:
2. จัดทำนโยบายความเป็นส่วนตัว (Privacy Policy)
ทุกธุรกิจต้องมี Privacy Policy ที่ระบุ: ประเภทข้อมูลที่เก็บ, วัตถุประสงค์การใช้งาน, ระยะเวลาการเก็บรักษา, สิทธิ์ของเจ้าของข้อมูล และวิธีติดต่อเพื่อใช้สิทธิ์
3. ขอ Consent ให้ถูกต้อง
Consent ที่ถูกต้องตาม PDPA ต้องมีคุณสมบัติดังนี้:
> ⚠️ ข้อผิดพลาดที่พบบ่อย: การให้ติ๊กช่อง "ยอมรับข้อตกลง" เพียงครั้งเดียวโดยไม่ระบุวัตถุประสงค์ชัดเจน ถือว่าไม่ผ่าน PDPA
---
สิทธิ์ของเจ้าของข้อมูลที่ธุรกิจต้องรองรับ
| สิทธิ์ | ความหมาย | ระยะเวลาตอบสนอง |
|-------|---------|----------------|
| Right to Access | ขอดูข้อมูลของตนเอง | 30 วัน |
| Right to Rectification | ขอแก้ไขข้อมูลที่ผิด | 30 วัน |
| Right to Erasure | ขอลบข้อมูล (Right to be Forgotten) | 30 วัน |
| Right to Restrict | ขอระงับการใช้ข้อมูล | 30 วัน |
| Right to Portability | ขอรับข้อมูลในรูปแบบที่ใช้งานได้ | 30 วัน |
| Right to Object | คัดค้านการประมวลผล | ทันที |
ธุรกิจต้องมีช่องทางให้เจ้าของข้อมูลใช้สิทธิ์เหล่านี้ได้จริง ไม่ใช่แค่ระบุใน Policy
---
Checklist: 10 ขั้นตอนปฏิบัติตาม PDPA สำหรับ SME
---
โทษและบทลงโทษของ PDPA
| ประเภทโทษ | ความรุนแรง | รายละเอียด |
|----------|-----------|-----------|
| โทษทางแพ่ง | สูงถึง 2 เท่าของความเสียหาย | บวกค่าเสียหายเชิงลงโทษอีก 2 เท่า |
| โทษทางปกครอง | ปรับ 1–5 ล้านบาท | ออกโดย สคส. |
| โทษทางอาญา | จำคุก 6 เดือน – 1 ปี | สำหรับความผิดร้ายแรง เช่น ขายข้อมูล |
---
เครื่องมือที่ช่วยให้ปฏิบัติตาม PDPA ได้ง่ายขึ้น
---
สรุป: เริ่มต้น PDPA Compliance วันนี้ ก่อนโดนปรับพรุ่งนี้
PDPA ไม่ใช่แค่ภาระทางกฎหมาย แต่เป็นโอกาสสร้างความไว้วางใจให้ลูกค้า ธุรกิจที่จัดการข้อมูลอย่างโปร่งใสและปลอดภัยจะได้เปรียบในระยะยาว
3 สิ่งที่ควรทำทันทีหลังอ่านบทความนี้:
> 🛡️ ต้องการความช่วยเหลือจัดระบบ PDPA Compliance สำหรับธุรกิจ? ADS FIT มีบริการวางระบบ Digital Compliance ครบวงจร ตั้งแต่ Privacy Policy, Consent Management จนถึงระบบรับเรื่องร้องเรียน [ปรึกษาเราฟรี](/contact)