# PDPA vs GDPR 2026: เปรียบเทียบ Data Privacy ครบทุกมิติ คู่มือ SME ไทย
ปี 2026 ธุรกิจ SME ไทยจำนวนมากเริ่มขยายไปยังตลาดยุโรป ส่งออกสินค้าออนไลน์ หรือใช้บริการ Cloud จากต่างประเทศ ทำให้ต้องเผชิญกับกฎหมายคุ้มครองข้อมูลส่วนบุคคลถึง 2 ฉบับพร้อมกัน คือ PDPA (Personal Data Protection Act) ของไทย และ GDPR (General Data Protection Regulation) ของสหภาพยุโรป
แม้กฎหมายทั้งสองฉบับจะมีหลักการคล้ายกันคือคุ้มครองสิทธิของเจ้าของข้อมูล แต่รายละเอียดเรื่องโทษปรับ ขอบเขตการบังคับใช้ และข้อกำหนดเฉพาะมีความแตกต่างที่ผู้บริหารและทีมไอทีต้องเข้าใจให้ถ่องแท้
บทความนี้จะเปรียบเทียบกฎหมายทั้งสองในแง่มุมที่สำคัญ พร้อมแนะนำวิธีปฏิบัติให้สอดคล้องกับทั้งสองฉบับในแบบประหยัดต้นทุนสำหรับ SME ที่ต้องการขยายธุรกิจไปต่างประเทศโดยไม่ต้องกลัวค่าปรับมหาศาล
ภาพรวม PDPA และ GDPR
PDPA หรือ พ.ร.บ. คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 มีผลบังคับใช้เต็มรูปแบบเมื่อ 1 มิถุนายน 2565 อยู่ภายใต้การกำกับดูแลของสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (สคส. หรือ PDPC) มีจุดมุ่งหมายให้ธุรกิจที่เก็บข้อมูลของบุคคลในประเทศไทยต้องขอความยินยอม รักษาความปลอดภัย และเปิดสิทธิ์ให้ผู้ใช้เข้าถึงหรือลบข้อมูลของตนได้
GDPR เริ่มใช้งานในสหภาพยุโรปเมื่อ 25 พฤษภาคม 2561 ครอบคลุมทุกองค์กรที่เก็บหรือประมวลผลข้อมูลของผู้พำนักในยุโรป ไม่ว่าบริษัทนั้นจะตั้งอยู่ที่ใดก็ตาม จึงทำให้ธุรกิจ SME ไทยที่ขายสินค้าออนไลน์ไปยุโรปต้องปฏิบัติตามด้วย
เปรียบเทียบหลักการสำคัญ
| หัวข้อ | PDPA (ไทย) | GDPR (EU) |
|--------|------------|-----------|
| ปีบังคับใช้ | 2565 (2022) | 2561 (2018) |
| ขอบเขต | ผู้พำนักในไทย | ผู้พำนักใน EU |
| โทษปรับสูงสุด | 5 ล้านบาท + ทางอาญา | 20 ล้านยูโร หรือ 4% รายได้ทั่วโลก |
| DPO บังคับ | บางกรณี | บางกรณี |
| ระยะเวลาแจ้งเหตุ | 72 ชั่วโมง | 72 ชั่วโมง |
| ตัวแทนในประเทศ | จำเป็นกรณีบริษัทต่างชาติ | จำเป็นกรณีบริษัทนอก EU |
| Data Portability | กำหนดไว้ | กำหนดไว้ชัดเจน |
| Right to be forgotten | มี | มีพร้อมเงื่อนไขละเอียดกว่า |
ความแตกต่างที่ SME ไทยต้องระวัง
1. โทษปรับและความรับผิดทางอาญา
GDPR เน้นโทษปรับเป็นเปอร์เซ็นต์ของรายได้ทั่วโลก ซึ่งสามารถสูงกว่า 20 ล้านยูโรได้หากบริษัทใหญ่ ส่วน PDPA แม้โทษเงินจะต่ำกว่า แต่มีโทษอาญา จำคุกสูงสุด 1 ปีในกรณีร้ายแรง เช่น เปิดเผยข้อมูลสุขภาพหรือข้อมูลอ่อนไหวโดยไม่ได้รับอนุญาต
2. ข้อกำหนด Lawful Basis ในการประมวลผล
GDPR ระบุชัดเจนถึง 6 ฐานทางกฎหมาย เช่น Consent, Contract, Legitimate interest, Legal obligation, Vital interest, Public interest ส่วน PDPA ระบุไว้คล้ายกัน 7 ฐาน แต่ในทางปฏิบัติ "ฐานประโยชน์โดยชอบด้วยกฎหมาย" (Legitimate interest) ของไทยมีตัวอย่างการตีความน้อยกว่า
3. การโอนข้อมูลข้ามพรมแดน
ปัจจุบันยุโรปยังไม่ได้รับรองไทยเป็นประเทศ Adequate ดังนั้น SME ไทยที่ต้องนำข้อมูลของลูกค้ายุโรปกลับมาประมวลผลในไทย ต้องลงนาม SCC หรือใช้ Encryption + Access Control เป็นมาตรการเสริม
4. บทบาทของ DPO (Data Protection Officer)
PDPA บังคับ DPO เมื่อ:
GDPR บังคับ DPO เมื่อ:
5 ขั้นตอนเตรียมความพร้อมสำหรับ SME
เทคโนโลยีและเครื่องมือที่แนะนำ
| ความต้องการ | Open-Source | SaaS |
|-------------|-------------|------|
| Consent Management | Klaro, Cookiebot CE | OneTrust, Usercentrics |
| Data Mapping | Privado, OpenDPIA | Securiti, BigID |
| DSAR Workflow | Custom Laravel/Next.js | Transcend, OneTrust |
| Encryption | OpenSSL, Vault | AWS KMS, Azure Key Vault |
| Audit Log | ELK Stack, Grafana Loki | Datadog, Splunk |
เปรียบเทียบ Compliance Cost สำหรับ SME
| รายการ | PDPA Only | GDPR Only | ทั้ง 2 |
|--------|-----------|-----------|--------|
| ที่ปรึกษาเริ่มต้น | 50,000 - 150,000 บาท | 200,000 - 500,000 บาท | 250,000 - 600,000 บาท |
| ค่าระบบ Consent ต่อปี | 0 - 30,000 บาท | 50,000 - 200,000 บาท | 60,000 - 220,000 บาท |
| DPO ต่อเดือน | 30,000 - 80,000 บาท | 60,000 - 150,000 บาท | 60,000 - 150,000 บาท |
| ซ้อม Incident ต่อปี | 20,000 บาท | 50,000 บาท | 60,000 บาท |
ตัวอย่างการประยุกต์ใช้งานจริง
ร้านค้าออนไลน์ขนาดกลางที่ขายเครื่องประดับในไทยและส่งออก EU ควรพิจารณาดังนี้
สรุปและข้อแนะนำ
PDPA และ GDPR มีหลักการคล้ายกันถึงประมาณ 80% แต่ความต่างใน 20% ที่เหลือสามารถสร้างความเสี่ยงทางกฎหมายและธุรกิจได้อย่างมาก สำหรับ SME ไทยที่มีลูกค้าทั้งในประเทศและ EU แนะนำให้ออกแบบกระบวนการแบบ Highest Common Denominator คือทำตาม GDPR ซึ่งเข้มงวดกว่าในหลายจุด แล้วเสริมจุดเฉพาะของ PDPA เช่นการแต่งตั้งตัวแทนในไทยและการรองรับโทษอาญา
จุดแรกที่ควรลงทุนคือ Data Mapping เพราะหากไม่รู้ว่าเก็บข้อมูลอะไรไว้ที่ไหน ก็ไม่สามารถปฏิบัติตามกฎหมายใดได้เลย หลังจากนั้นจึงค่อยลงทุนเพิ่มในระบบ Consent, DSAR และ Breach Response ตามลำดับ
หากธุรกิจของคุณต้องการคำปรึกษาเรื่องการออกแบบระบบ Compliance แบบรวม PDPA + GDPR ติดต่อทีมงาน ADS FIT เพื่อรับคำแนะนำเฉพาะธุรกิจของคุณ หรืออ่านบทความ ISO 27701 และ AI TRiSM เพื่อต่อยอดความเข้าใจในด้าน Privacy Engineering สำหรับยุค AI