PDPA มีอะไรบ้าง? กฎหมายที่ทุกองค์กรต้องรู้

ในยุคปัจจุบัน การคุ้มครองข้อมูลส่วนบุคคลกลายเป็นประเด็นสำคัญระดับโลก ประเทศไทยได้ก้าวเข้าสู่ยุคใหม่ของการคุ้มครองข้อมูลส่วนบุคคลด้วยการบังคับใช้พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล หรือ PDPA อย่างเต็มรูปแบบ แต่ยังมีคนจำนวนไม่น้อยที่ยังไม่รู้ว่ากฎหมายนี้คืออะไร คุณจะได้รู้จักกฎหมายฉบับนี้มากขึ้นตั้งแต่แก่นของกฎหมาย บทบาทความสำคัญ และขั้นตอนการทำตาม PDPA ผ่านบทความนี้

 

 

PDPA คืออะไร?

 

 

PDPA หรือ Personal Data Protection Act คือพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ที่มีผลบังคับใช้อย่างเต็มรูปแบบเมื่อวันที่ 1 มิถุนายน 2565 กฎหมายฉบับนี้ถูกออกแบบมาเพื่อสร้างมาตรฐานการคุ้มครองข้อมูลส่วนบุคคลของประชาชนไทย กฎหมายฉบับนี้เกิดขึ้นเพื่อกำหนดกรอบในการจัดการข้อมูลส่วนบุคคลอย่างเหมาะสม ป้องกันการละเมิดสิทธิความเป็นส่วนตัว และสร้างความเชื่อมั่นในระบบเศรษฐกิจดิจิทัล

 

ความสำคัญของ PDPA ไม่เพียงแค่การปกป้องสิทธิขั้นพื้นฐานของประชาชน แต่ยังช่วยยกระดับมาตรฐานการจัดการข้อมูลส่วนบุคคลของประเทศไทยให้ทัดเทียมระดับสากล เช่น GDPR ของสหภาพยุโรป ทำให้องค์กรไทยสามารถดำเนินธุรกิจข้ามพรมแดนได้อย่างราบรื่น

 

 

ขอบเขตของ PDPA ครอบคลุมข้อมูลแบบใดบ้าง

PDPA แบ่งประเภทข้อมูลส่วนบุคคลออกเป็นสองประเภทหลัก ซึ่งแต่ละประเภทมีข้อกำหนดในการจัดการที่แตกต่างกันดังนี้

 

ข้อมูลส่วนบุคคลทั่วไป

ข้อมูลประเภทนี้ครอบคลุมข้อมูลที่สามารถระบุตัวตนของบุคคลได้ไม่ว่าทางตรงหรือทางอ้อม เช่น

• ชื่อ-นามสกุล
• ที่อยู่
• หมายเลขโทรศัพท์
• อีเมล
• หมายเลขบัตรประชาชน
• ข้อมูลการศึกษา
• ประวัติการทำงาน
• IP Address หรือ Cookie ID

 

ข้อมูลส่วนบุคคลอ่อนไหว (Sensitive Data)

ข้อมูลอ่อนไหวเป็นข้อมูลพิเศษที่ต้องการการปกป้องในระดับที่สูงขึ้น เพราะมีความเสี่ยงที่จะก่อให้เกิดการเลือกปฏิบัติอย่างไม่เป็นธรรม ข้อมูลประเภทนี้ได้แก่

• เชื้อชาติ
• ความเชื่อทางศาสนา
• ข้อมูลพันธุกรรม
• ข้อมูลชีวภาพ เช่น ลายนิ้วมือ การสแกนใบหน้า
• ข้อมูลสุขภาพ
• ข้อมูลความพิการ
• รสนิยมทางเพศ
• ประวัติอาชญากรรม
• ความคิดเห็นทางการเมือง

 

กรณีที่ไม่อยู่ภายใต้ PDPA

กฎหมาย PDPA มีข้อยกเว้นในบางกรณี ไม่ครอบคลุมการเก็บรวบรวมข้อมูลในสถานการณ์ต่อไปนี้

• การเก็บข้อมูลส่วนบุคคลเพื่อประโยชน์ส่วนตัวหรือเพื่อกิจกรรมในครอบครัว
• การดำเนินงานของหน่วยงานรัฐที่เกี่ยวข้องกับความมั่นคงของประเทศ
• การพิจารณาพิพากษาคดีของศาล
• การดำเนินงานของสื่อมวลชนเพื่อประโยชน์สาธารณะ

 

 

สิทธิของเจ้าของข้อมูลตามกฎหมาย PDPA มีอะไรบ้าง

 

สิทธิในการเข้าถึงและขอสำเนาข้อมูล

เจ้าของข้อมูลมีสิทธิขอเข้าถึงข้อมูลของตัวเอง พร้อมทั้งขอรับสำเนาข้อมูลนั้น ๆ ได้ โดยองค์กรจะต้องตอบคำขอภายใน 30 วัน และสามารถขยายเวลาได้อีก 30 วันหากมีเหตุจำเป็น

 

สิทธิในการแก้ไขหรือเปลี่ยนแปลงข้อมูล

หากข้อมูลส่วนบุคคลที่องค์กรเก็บไว้ไม่ถูกต้อง ไม่เป็นปัจจุบัน หรือไม่ครบถ้วน เจ้าของข้อมูลมีสิทธิร้องขอให้ทำการแก้ไขให้ถูกต้องได้ เช่น การเปลี่ยนที่อยู่ หมายเลขโทรศัพท์ หรือข้อมูลการติดต่อที่เปลี่ยนแปลงไป

 

สิทธิในการเพิกถอนความยินยอม

เจ้าของข้อมูลสามารถเพิกถอนความยินยอมที่ให้ไว้กับองค์กรในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลได้ตลอดเวลา ยกเว้นมีข้อจำกัดสิทธิตามกฎหมาย ซึ่งการเพิกถอนความยินยอมต้องทำได้โดยง่าย เช่นเดียวกับตอนที่ให้ความยินยอม

 

สิทธิในการลบข้อมูล

เจ้าของข้อมูลมีสิทธิขอให้องค์กรลบ ทำลาย หรือทำให้ข้อมูลส่วนบุคคลเป็นข้อมูลที่ไม่สามารถระบุตัวบุคคลได้ ในกรณีที่ข้อมูลนั้นหมดความจำเป็นตามวัตถุประสงค์  เพิกถอนความยินยอม คัดค้านการประมวลผล หรือข้อมูลที่ถูกเก็บรวบรวม ใช้ หรือเปิดเผยโดยไม่ชอบด้วยกฎหมาย

 

นอกจากสิทธิพื้นฐานเหล่านี้ เจ้าของข้อมูลยังมีสิทธิอื่น ๆ อีก เช่น สิทธิในการโอนย้ายข้อมูล สิทธิในการคัดค้านการประมวลผล และสิทธิในการระงับการใช้ข้อมูลชั่วคราว ซึ่งทั้งหมดนี้ช่วยให้เจ้าของข้อมูลมีอำนาจควบคุมข้อมูลส่วนบุคคลของตนเองอย่างแท้จริง

 

 

หน้าที่ขององค์กรและผู้ควบคุมข้อมูลส่วนบุคคล

องค์กรที่จัดการข้อมูลส่วนบุคคลมีความรับผิดชอบหลายประการภายใต้กฎหมาย PDPA โดยจะต้องปฏิบัติตามหลักการพื้นฐานในการคุ้มครองข้อมูลส่วนบุคคล เพื่อสร้างความมั่นใจว่าข้อมูลของประชาชนจะได้รับการปกป้องอย่างเหมาะสม

 

การขอความยินยอมอย่างชัดเจน

องค์กรต้องขอความยินยอมจากเจ้าของข้อมูลก่อนเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล โดยความยินยอมต้องเป็นการแสดงเจตนาโดยอิสระ เฉพาะเจาะจงสำหรับวัตถุประสงค์นั้น ๆ มีการแจ้งให้ทราบอย่างชัดเจน และไม่เป็นการหลอกลวงหรือทำให้เข้าใจผิด

 

การแจ้งวัตถุประสงค์ก่อนเก็บข้อมูล

ก่อนเก็บรวบรวมข้อมูลส่วนบุคคล องค์กรต้องแจ้งรายละเอียดต่อเจ้าของข้อมูล ซึ่งประกอบด้วยวัตถุประสงค์ในการเก็บรวบรวม ประเภทของข้อมูลที่จะเก็บรวบรวม ระยะเวลาในการเก็บ

 

นอกจากนี้องค์กรจะต้องแจ้งเช่นกันว่าข้อมูลส่วนบุคคลใดที่ต้องให้เพื่อปฏิบัติตามกฎหมายหรือสัญญา รวมถึงผลกระทบที่อาจเกิดขึ้นหากไม่ให้ข้อมูล และบุคคลหรือหน่วยงานใดบ้างที่อาจได้รับการเปิดเผยข้อมูล

 

การรักษาความปลอดภัยของข้อมูล

องค์กรต้องจัดให้มีมาตรการรักษาความปลอดภัยที่เหมาะสม เพื่อป้องกันการสูญหาย เข้าถึง ใช้ เปลี่ยนแปลง แก้ไข หรือเปิดเผยข้อมูลส่วนบุคคลโดยไม่ได้รับอนุญาต มาตรการเหล่านี้ควรครอบคลุมทั้งด้านเทคนิค องค์กร และกายภาพ เช่น

• การเข้ารหัสข้อมูล
• การควบคุมการเข้าถึงข้อมูล
• การสำรองข้อมูล
• การตรวจสอบการเข้าถึงระบบ

 

การแต่งตั้ง DPO (Data Protection Officer)

องค์กรบางประเภทจำเป็นต้องแต่งตั้งเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล หรือ DPO ได้แก่

• หน่วยงานรัฐ
• องค์กรที่มีการประมวลผลข้อมูลส่วนบุคคลที่มีความเสี่ยงสูงหรือมีปริมาณมาก
• องค์กรที่มีกิจกรรมหลักเกี่ยวกับการประมวลผลข้อมูลที่ละเอียดอ่อน

DPO มีหน้าที่ให้คำแนะนำเกี่ยวกับการปฏิบัติตามกฎหมาย PDPA ตรวจสอบการดำเนินงาน และประสานงานกับสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล

จะเกิดอะไรขึ้นถ้าละเมิด PDPA

การละเมิดกฎหมาย PDPA มีบทลงโทษทั้งทางแพ่ง ทางอาญา และทางปกครอง ซึ่งมีความรุนแรงแตกต่างกันตามลักษณะของการละเมิด ดังนี้

โทษทางแพ่ง

เจ้าของข้อมูลที่ได้รับความเสียหายจากการละเมิด PDPA สามารถฟ้องร้องเรียกค่าสินไหมทดแทนได้ โดยศาลสามารถสั่งให้จ่ายค่าสินไหมทดแทนเพิ่มขึ้นได้ถึง 2 เท่าของความเสียหายที่แท้จริง หากการละเมิดเกิดจาก

• ความจงใจหรือประมาทเลินเล่ออย่างร้ายแรง
• การเปิดเผยข้อมูลที่นำไปสู่การสร้างความเสียหายต่อชื่อเสียงของเจ้าของข้อมูล

โทษทางอาญา

การละเมิดบางประเภทมีโทษทางอาญา เช่น

• การเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลอ่อนไหวโดยไม่ได้รับความยินยอม มีโทษจำคุกไม่เกิน 1 ปี หรือปรับไม่เกิน 1 ล้านบาท หรือทั้งจำทั้งปรับ
• การนำข้อมูลส่วนบุคคลไปใช้ผิดวัตถุประสงค์เพื่อแสวงหาประโยชน์โดยทุจริต มีโทษจำคุกไม่เกิน 3 ปี หรือปรับไม่เกิน 3 ล้านบาท หรือทั้งจำทั้งปรับ

โทษทางปกครอง

คณะกรรมการคุ้มครองข้อมูลส่วนบุคคลมีอำนาจสั่งปรับทางปกครอง ซึ่งมีอัตราโทษสูงสุดดังนี้

• ไม่ขอความยินยอมหรือไม่แจ้งวัตถุประสงค์: ปรับไม่เกิน 3 ล้านบาท
• ไม่ปฏิบัติตามข้อกำหนดเกี่ยวกับข้อมูลอ่อนไหว: ปรับไม่เกิน 5 ล้านบาท
• ไม่ปฏิบัติตามคำขอใช้สิทธิของเจ้าของข้อมูล: ปรับไม่เกิน 1 ล้านบาท
• ส่งหรือโอนข้อมูลไปต่างประเทศโดยไม่เป็นไปตามเงื่อนไข: ปรับไม่เกิน 5 ล้านบาท

นอกจากโทษทางกฎหมาย การละเมิด PDPA ยังส่งผลกระทบต่อชื่อเสียงและความน่าเชื่อถือขององค์กร ซึ่งอาจสร้างความเสียหายที่ประเมินค่าไม่ได้ในระยะยาว

 

PDPA เกี่ยวข้องกับเว็บไซต์อย่างไร?

กฎหมายฉบับนี้มีความเกี่ยวข้องกับเว็บไซต์โดยตรง โดยเฉพาะเว็บไซต์ที่มีการเก็บข้อมูลผู้ใช้งานไม่ว่าจะเป็นผ่าน ฟอร์มกรอกข้อมูล ระบบสมัครสมาชิก คุกกี้ ระบบติดตามพฤติกรรมการใช้งาน (Tracking) หรือระบบวิเคราะห์ข้อมูล ต่าง ๆ ซึ่งการดำเนินการเหล่านี้ถือว่าเป็นการจัดเก็บและประมวลผลข้อมูลส่วนบุคคล และอยู่ภายใต้การควบคุมของ PDPA

 

 

ขั้นตอนทำตามกฏ PDPA ฉบับเจ้าของเว็บไซต์

 

 

1. จัดทำนโยบายความเป็นส่วนตัว (Privacy Policy) ที่ชัดเจน

ระบุข้อมูลที่เว็บไซต์เก็บ เช่น ชื่อ เบอร์โทร อีเมล พฤติกรรมการใช้งาน มีการอธิบายวัตถุประสงค์การเก็บ ใช้ และแบ่งปันข้อมูล พร้อมทั้งแจ้งสิทธิของเจ้าของข้อมูล เช่น การแก้ไข ลบ หรือเพิกถอนความยินยอม แนะนำให้วางลิงก์นโยบายนี้ในทุกหน้าของเว็บไซต์ (เช่น footer)

 

2. ติดตั้งระบบ Cookie Consent Banner

ขอความยินยอมจากผู้ใช้ก่อนเก็บข้อมูลผ่านคุกกี้ที่ไม่จำเป็น เช่น คุกกี้โฆษณา โดยให้ผู้ใช้สามารถเลือกเปิดหรือปิดคุกกี้แต่ละประเภทได้ และแสดงลิงก์ไปยัง Cookie Policy เพื่อความโปร่งใส

 

3. ขอความยินยอมก่อนเก็บข้อมูลผ่านฟอร์มต่าง ๆ

ทุกแบบฟอร์มควรระบุวัตถุประสงค์ของการเก็บข้อมูล โดยแสดงกล่องติ๊กยินยอมให้ผู้ใช้งานก่อนส่งฟอร์ม (เช่น “ข้าพเจ้ายินยอมให้เว็บไซต์เก็บและใช้ข้อมูลตามนโยบายความเป็นส่วนตัว”

 

4. ใช้เครื่องมือ Tracking อย่างโปร่งใส

หากเว็บไซต์ใช้ Google Analytics, Facebook Pixel หรือเครื่องมือวิเคราะห์อื่น ๆ ควรแจ้งให้ผู้ใช้ทราบผ่าน Cookie Banner หรือ Privacy Policy ให้ตัวเลือกในการปิดการติดตาม (Opt-Out)

 

5. มีระบบให้ผู้ใช้งานจัดการข้อมูลของตนเอง

จัดช่องทางให้เจ้าของข้อมูลสามารถขอเข้าถึงข้อมูล แก้ไข/ลบข้อมูล และถอนความยินยอมได้ (เช่น ผ่านแบบฟอร์มหรืออีเมล)

 

6. รักษาความปลอดภัยของข้อมูล

ใช้ระบบเข้ารหัสข้อมูล (เช่น HTTPS, SSL) และป้องกันการเข้าถึงข้อมูลโดยไม่ได้รับอนุญาต (Access Control) โดยสำรองข้อมูลเป็นระยะ และมีแผนรับมือหากเกิดข้อมูลรั่วไหล (Data Breach)

 

7. ฝึกอบรมและสร้างความเข้าใจให้กับทีมงาน

หากเว็บไซต์มีหลายผู้ดูแล ควรมีการจัดอบรมเรื่อง PDPA และแนวปฏิบัติที่ถูกต้อง เพื่อให้ทีมพัฒนาเว็บไซต์เข้าใจการเก็บและใช้ข้อมูลอย่างถูกต้องตามกฎหมาย

 

8. อัปเดตนโยบายและระบบให้ทันสมัย

ตรวจสอบและอัปเดต Privacy Policy และระบบที่เกี่ยวข้องกับข้อมูลส่วนบุคคลอย่างสม่ำเสมอ หากมีการเปลี่ยนแปลงระบบหรือวัตถุประสงค์ ต้องแจ้งผู้ใช้ล่วงหน้าและขอความยินยอมใหม่

 

สรุป

PDPA เป็นกฎหมายสำคัญที่องค์กรทุกขนาดต้องปฏิบัติตาม ซึ่งไม่ใช่เพียงการปฏิบัติตามข้อกำหนดทางกฎหมาย แต่เป็นการยกระดับธรรมาภิบาลข้อมูลขององค์กร ซึ่งสะท้อนถึงความรับผิดชอบต่อสังคมและความเคารพในสิทธิพื้นฐานของประชาชน องค์กรที่มีการจัดการข้อมูลส่วนบุคคลที่ดีจะมีความได้เปรียบในการแข่งขันทางธุรกิจและสร้างความเชื่อมั่นจากผู้มีส่วนได้ส่วนเสียทุกฝ่าย แม้การปฏิบัติตามกฎหมายอาจดูเป็นภาระในช่วงแรก แต่การลงทุนในระบบและกระบวนการที่เหมาะสมจะช่วยลดความเสี่ยงจากการละเมิดกฎหมายและสร้างความเชื่อมั่นจากลูกค้าในระยะยาว

 

หากคุณกำลังมองหาความช่วยเหลือในการพัฒนาเว็บไซต์หรือการตลาดดิจิทัลเพื่อเพิ่มประสิทธิภาพการทำธุรกิจของคุณ เราขอแนะนำให้คุณติดต่อ Yes Web Design Studio เราเป็นผู้เชี่ยวชาญที่รับออกแบบเว็บไซต์ SEO และการตลาดออนไลน์ครบวงจร พร้อมช่วยพัฒนาเว็บไซต์ที่เหมาะสมกับความต้องการทางธุรกิจของคุณให้เติบโตได้อย่างยั่งยืน

 

 

 

 

Yes Web Design Studio
Tel. : 096-879-5445
LINE : @yeswebdesign
E-mail : [email protected]
Address : ชั้น 17 อาคารวิทยกิตติ์ ถนนพญาไท วังใหม่ ปทุมวัน กรุงเทพมหานคร 10330 (สถานี BTS สยาม)