← กลับหน้าบทความ

PDPA คืออะไร? — คู่มือฉบับสมบูรณ์ พ.ร.บ. คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562

What is PDPA? — The Complete Guide to Thailand's Personal Data Protection Act B.E. 2562

เผยแพร่ 21 กรกฎาคม 2569 · อ่านประมาณ 12 นาที

PDPA (Personal Data Protection Act) คือ พ.ร.บ. คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 — กฎหมายไทยที่กำหนดกฎเกณฑ์การเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลของบุคคลในประเทศไทย บังคับใช้เต็มรูปแบบตั้งแต่วันที่ 1 มิถุนายน 2565 โดยมีสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (สคส. หรือ PDPC) เป็นผู้กำกับดูแล

ไม่ว่าคุณจะเป็นเจ้าของ SME ร้านค้าออนไลน์ นักพัฒนาเว็บไซต์ หรือผู้ดูแลระบบ หากองค์กรของคุณเก็บข้อมูลส่วนบุคคล เช่น ชื่อ อีเมล เบอร์โทรศัพท์ หรือแม้แต่ข้อมูลจากคุกกี้ คุณต้องปฏิบัติตาม PDPA บทความนี้จะอธิบายทุกประเด็นสำคัญตั้งแต่พื้นฐานจนถึงการปฏิบัติจริง

สำคัญ: PDPA ไม่มีข้อยกเว้นสำหรับธุรกิจขนาดเล็ก แม้เป็นร้านค้าออนไลน์คนเดียวหรือเว็บไซต์ส่วนตัวที่เก็บอีเมลผู้สมัครรับข่าวสาร ก็ต้องปฏิบัติตามกฎหมายนี้

ประวัติและที่มาของ PDPA

History and background of PDPA

ประเทศไทยเริ่มตระหนักถึงความสำคัญของการคุ้มครองข้อมูลส่วนบุคคลมานาน แต่เดิมการคุ้มครองข้อมูลกระจัดกระจายอยู่ในกฎหมายหลายฉบับ เช่น พ.ร.บ. ข้อมูลข่าวสารของราชการ พ.ศ. 2540, พ.ร.บ. ธุรกรรมทางอิเล็กทรอนิกส์ และประมวลกฎหมายแพ่งและพาณิชย์ มาตรา 420 (ละเมิด) แต่ไม่มีกฎหมายเฉพาะที่คุ้มครองข้อมูลส่วนบุคคลอย่างครบถ้วน

เมื่อสหภาพยุโรปบังคับใช้ GDPR (General Data Protection Regulation) ในปี 2561 ประเทศไทยจึงเร่งจัดทำกฎหมายคุ้มครองข้อมูลส่วนบุคคลของตนเอง เพื่อให้ทัดเทียมมาตรฐานสากลและอำนวยความสะดวกทางการค้าระหว่างประเทศ

ไทม์ไลน์สำคัญของ PDPA

  • 2562ประกาศในราชกิจจานุเบกษา 27 พฤษภาคม 2562
  • 2563เลื่อนการบังคับใช้ครั้งแรก (จากกำหนดเดิมพฤษภาคม 2563)
  • 2564เลื่อนการบังคับใช้อีกครั้ง และจัดตั้ง สคส. (PDPC)
  • 2565บังคับใช้เต็มรูปแบบ 1 มิถุนายน 2565
  • 2566ออกประกาศลูกบทหลายฉบับ เช่น การแจ้งเหตุละเมิดข้อมูล, DPO
  • 2567เริ่มมีคำสั่งปรับทางปกครองกรณีละเมิดข้อมูลส่วนบุคคล

โครงสร้างของ PDPA ได้รับอิทธิพลอย่างมากจาก GDPR ของสหภาพยุโรป แต่ปรับให้เหมาะสมกับบริบทของประเทศไทย เช่น การมีบทลงโทษทางอาญา และการยกเว้นบางประการสำหรับหน่วยงานรัฐ

PDPA คุ้มครองอะไรบ้าง?

What does PDPA protect?

PDPA คุ้มครอง "ข้อมูลส่วนบุคคล" (Personal Data) ซึ่งหมายถึง ข้อมูลเกี่ยวกับบุคคลที่ทำให้สามารถระบุตัวบุคคลนั้นได้ ไม่ว่าทางตรงหรือทางอ้อม ครอบคลุมทั้งข้อมูลออนไลน์และออฟไลน์

ข้อมูลส่วนบุคคลทั่วไป

General Personal Data

  • • ชื่อ-นามสกุล
  • • เบอร์โทรศัพท์
  • • อีเมล
  • • ที่อยู่
  • • เลขบัตรประชาชน
  • • ข้อมูลตำแหน่ง (Location)
  • • IP Address / Cookie ID
  • • ข้อมูลการสั่งซื้อ

ข้อมูลอ่อนไหว (Sensitive Data)

มาตรา 26 — คุ้มครองเข้มงวดเป็นพิเศษ

  • • เชื้อชาติ เผ่าพันธุ์
  • • ความคิดเห็นทางการเมือง
  • • ศาสนา ปรัชญา
  • • พฤติกรรมทางเพศ
  • • ประวัติอาชญากรรม
  • • ข้อมูลสุขภาพ ความพิการ
  • • ข้อมูลสหภาพแรงงาน
  • • ข้อมูลพันธุกรรม ชีวภาพ

ข้อควรรู้: ข้อมูลอ่อนไหว (Sensitive Data) ตามมาตรา 26 ได้รับความคุ้มครองเข้มงวดกว่าข้อมูลทั่วไป การเก็บข้อมูลอ่อนไหวต้องได้รับความยินยอมโดยชัดแจ้ง (Explicit Consent) เท่านั้น และค่าปรับกรณีละเมิดข้อมูลอ่อนไหวสูงถึง 5 ล้านบาท

ใครต้องปฏิบัติตาม PDPA?

Who must comply with PDPA?

PDPA ใช้กับทุกองค์กรและบุคคลที่เก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลของบุคคลในประเทศไทย โดยไม่จำกัดขนาดธุรกิจ รวมถึงองค์กรต่างประเทศที่เสนอสินค้าหรือบริการให้คนในประเทศไทย

ผู้ควบคุมข้อมูล (Data Controller)

บุคคลหรือนิติบุคคลที่มีอำนาจตัดสินใจเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล เช่น บริษัท ร้านค้า เว็บไซต์ ผู้ควบคุมข้อมูลมีหน้าที่หลักในการปฏิบัติตาม PDPA

ผู้ประมวลผลข้อมูล (Data Processor)

บุคคลหรือนิติบุคคลที่ดำเนินการเกี่ยวกับข้อมูลส่วนบุคคลตามคำสั่งของผู้ควบคุมข้อมูล เช่น บริษัทรับทำบัญชี ผู้ให้บริการคลาวด์ ผู้ให้บริการอีเมลมาร์เก็ตติ้ง ผู้ประมวลผลต้องมีสัญญาประมวลผลข้อมูล (DPA) กับผู้ควบคุมข้อมูล

ตัวอย่างผู้ที่ต้องปฏิบัติตาม

  • •ร้านค้าออนไลน์บน Shopee, Lazada, LINE Shopping ที่เก็บข้อมูลลูกค้า
  • •เว็บไซต์ SME ที่ใช้ Google Analytics หรือ Facebook Pixel
  • •แอปพลิเคชันที่เก็บข้อมูลผู้ใช้
  • •บริษัทที่มีฐานข้อมูลพนักงาน ลูกค้า หรือผู้สมัครงาน
  • •คลินิก โรงพยาบาล ที่เก็บข้อมูลสุขภาพผู้ป่วย

สิทธิเจ้าของข้อมูล (Data Subject Rights)

Rights of data subjects — Sections 30-36

PDPA มาตรา 30-36 กำหนดสิทธิของเจ้าของข้อมูล (Data Subject) ไว้ 8 ประการ ซึ่งเป็นหัวใจสำคัญของกฎหมาย ผู้ควบคุมข้อมูลต้องอำนวยความสะดวกให้เจ้าของข้อมูล ใช้สิทธิเหล่านี้ได้โดยสะดวก

1

สิทธิเข้าถึงข้อมูล (Right to Access)

ขอเข้าถึงและขอรับสำเนาข้อมูลส่วนบุคคลที่องค์กรเก็บไว้

2

สิทธิโอนย้ายข้อมูล (Right to Data Portability)

ขอรับข้อมูลในรูปแบบที่อ่านได้ด้วยเครื่องมืออัตโนมัติ และส่งต่อให้ผู้ควบคุมข้อมูลรายอื่น

3

สิทธิคัดค้าน (Right to Object)

คัดค้านการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล

4

สิทธิลบข้อมูล (Right to Erasure)

ขอให้ลบหรือทำลายข้อมูลเมื่อไม่จำเป็นต้องใช้ตามวัตถุประสงค์แล้ว

5

สิทธิระงับการใช้ (Right to Restrict Processing)

ขอให้ระงับการใช้ข้อมูลส่วนบุคคลชั่วคราว

6

สิทธิแก้ไขข้อมูล (Right to Rectification)

ขอให้แก้ไขข้อมูลให้ถูกต้อง เป็นปัจจุบัน สมบูรณ์

7

สิทธิถอนความยินยอม (Right to Withdraw Consent)

ถอนความยินยอมที่เคยให้ไว้เมื่อใดก็ได้

8

สิทธิร้องเรียน (Right to Complain)

ร้องเรียนต่อ สคส. หากผู้ควบคุมข้อมูลไม่ปฏิบัติตาม PDPA

ผู้ควบคุมข้อมูลต้องดำเนินการตามคำขอใช้สิทธิภายใน 30 วัน และต้องจัดให้มีช่องทางที่สะดวกในการยื่นคำขอ อ่านรายละเอียดเพิ่มเติมได้ที่ สิทธิเจ้าของข้อมูล 8 ประการตาม PDPA

ค่าปรับและโทษตาม PDPA

PDPA penalties and fines

PDPA กำหนดบทลงโทษ 3 ประเภท ได้แก่ โทษทางปกครอง โทษทางอาญา และค่าเสียหายทางแพ่ง ซึ่งสามารถลงโทษพร้อมกันได้

ประเภทโทษรายละเอียดสูงสุด
ค่าปรับทางปกครองละเมิดข้อมูลทั่วไป (มาตรา 82-90)฿3,000,000
ค่าปรับทางปกครองละเมิดข้อมูลอ่อนไหว (มาตรา 26)฿5,000,000
โทษทางอาญาเปิดเผยข้อมูลอ่อนไหวโดยมิชอบจำคุก 1 ปี
ค่าเสียหายทางแพ่งค่าเสียหายเชิงลงโทษ (Punitive Damages)2 เท่า

อ่านรายละเอียดค่าปรับแต่ละมาตราและกรณีตัวอย่างได้ที่ ค่าปรับ PDPA — บทลงโทษแต่ละมาตรา

หน้าที่ผู้ควบคุมข้อมูล (Data Controller Obligations)

Obligations of data controllers — Sections 37-41

ผู้ควบคุมข้อมูล (Data Controller) คือผู้ที่มีหน้าที่หลักในการปฏิบัติตาม PDPA มาตรา 37-41 กำหนดหน้าที่สำคัญดังนี้

1. แจ้งวัตถุประสงค์ (Privacy Notice)

ก่อนเก็บข้อมูล ต้องแจ้งเจ้าของข้อมูลว่าเก็บอะไร เพื่ออะไร เก็บไว้นานเท่าใด ใครเป็นผู้ควบคุม และสิทธิของเจ้าของข้อมูล (มาตรา 23)

2. ขอความยินยอมอย่างถูกต้อง

ความยินยอมต้องขอโดยชัดแจ้ง เป็นหนังสือหรือผ่านระบบอิเล็กทรอนิกส์ ไม่ใช้การติ๊กถูกไว้ล่วงหน้า และต้องแยกจากข้อความอื่น (มาตรา 19)

3. จัดทำบันทึกรายการประมวลผล (ROPA)

บันทึกว่าเก็บข้อมูลอะไร จากไหน ใช้ทำอะไร ส่งต่อให้ใคร เก็บไว้นานเท่าใด และมีมาตรการรักษาความปลอดภัยอย่างไร

4. จัดมาตรการรักษาความปลอดภัย

มีมาตรการทางเทคนิคและองค์กรที่เหมาะสมเพื่อป้องกันการสูญหาย เข้าถึง ใช้ เปลี่ยนแปลง หรือเปิดเผยข้อมูลโดยมิชอบ

5. แจ้งเหตุละเมิดข้อมูล (Data Breach Notification)

หากเกิดการละเมิดข้อมูลส่วนบุคคล ต้องแจ้ง สคส. ภายใน 72 ชั่วโมง และแจ้งเจ้าของข้อมูลหากมีความเสี่ยงสูงต่อสิทธิและเสรีภาพ

6. แต่งตั้ง DPO (เมื่อจำเป็น)

หน่วยงานรัฐ องค์กรที่ประมวลผลข้อมูลจำนวนมาก หรือองค์กรที่ประมวลผลข้อมูลอ่อนไหวเป็นประจำ ต้องแต่งตั้งเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล (DPO)

วิธีเริ่มต้นปฏิบัติตาม PDPA สำหรับ SME

How to get started with PDPA compliance for SMEs

การเริ่มต้นปฏิบัติตาม PDPA อาจดูซับซ้อน แต่สำหรับ SME สามารถเริ่มจากขั้นตอนพื้นฐาน 7 ขั้นตอนต่อไปนี้

ขั้นตอนที่ 1: สำรวจข้อมูล (Data Mapping)

สำรวจว่าองค์กรเก็บข้อมูลอะไรบ้าง เก็บจากไหน ใช้ทำอะไร ส่งต่อให้ใคร และเก็บไว้ที่ไหน (เช่น ฐานข้อมูล, Excel, อีเมล, กระดาษ)

ขั้นตอนที่ 2: จัดทำนโยบายความเป็นส่วนตัว

เขียน Privacy Policy เป็นภาษาไทยที่เข้าใจง่าย ระบุข้อมูลที่เก็บ วัตถุประสงค์ ระยะเวลา สิทธิเจ้าของข้อมูล และช่องทางติดต่อ

ขั้นตอนที่ 3: ติดตั้ง Cookie Consent Banner

หากเว็บไซต์ใช้คุกกี้ที่ไม่จำเป็น (เช่น Google Analytics, Facebook Pixel) ต้องมีแบนเนอร์ขอความยินยอมก่อนติดตั้งคุกกี้

ขั้นตอนที่ 4: ปรับแบบฟอร์มขอความยินยอม

ตรวจสอบว่า checkbox ไม่ถูกติ๊กไว้ล่วงหน้า แยกความยินยอมแต่ละวัตถุประสงค์ และมีลิงก์ไป Privacy Policy

ขั้นตอนที่ 5: กำหนดมาตรการรักษาความปลอดภัย

ใช้ HTTPS, เข้ารหัสข้อมูลสำคัญ, จำกัดการเข้าถึงข้อมูล, สำรองข้อมูลเป็นประจำ และอบรมพนักงานเรื่องความปลอดภัยข้อมูล

ขั้นตอนที่ 6: จัดทำบันทึก ROPA

จัดทำบันทึกรายการประมวลผลข้อมูลส่วนบุคคล ระบุประเภทข้อมูล วัตถุประสงค์ ฐานทางกฎหมาย และระยะเวลาเก็บ

ขั้นตอนที่ 7: ตรวจสอบและปรับปรุงอย่างต่อเนื่อง

ทบทวนนโยบายและมาตรการอย่างน้อยปีละครั้ง อัปเดตเมื่อมีการเปลี่ยนแปลงกฎหมายหรือกระบวนการทำงาน

ดูเช็คลิสต์ฉบับเต็มได้ที่ เช็คลิสต์ PDPA 6 ข้อสำหรับเว็บไซต์ SME

คำถามที่พบบ่อยเกี่ยวกับ PDPA

Frequently asked questions about PDPA

PDPA ย่อมาจากอะไร?

PDPA ย่อมาจาก Personal Data Protection Act หรือชื่อเต็มภาษาไทยคือ พ.ร.บ. คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562

PDPA คุ้มครองใครบ้าง?

PDPA คุ้มครอง "เจ้าของข้อมูลส่วนบุคคล" (Data Subject) ซึ่งเป็นบุคคลธรรมดาที่ข้อมูลสามารถระบุตัวตนได้ ไม่คุ้มครองข้อมูลนิติบุคคลหรือข้อมูลที่ไม่สามารถระบุตัวบุคคลได้

เก็บข้อมูลลูกค้าโดยไม่ขอความยินยอมได้ไหม?

ได้ในบางกรณี PDPA มีฐานทางกฎหมาย 6 ฐานที่ไม่ต้องขอความยินยอม เช่น ฐานสัญญา (จำเป็นสำหรับการส่งสินค้า) ฐานประโยชน์โดยชอบด้วยกฎหมาย แต่ต้องแจ้งวัตถุประสงค์ให้เจ้าของข้อมูลทราบ (Privacy Notice) ก่อนเสมอ

เว็บไซต์ส่วนตัวต้องมี Privacy Policy ไหม?

หากเว็บไซต์ส่วนตัวเก็บข้อมูลส่วนบุคคล (เช่น มีแบบฟอร์มติดต่อ, รับสมัครสมาชิก, ใช้ Google Analytics) ควรมี Privacy Policy แม้เป็นเว็บไซต์ที่ไม่แสวงหากำไร

PDPA กับ GDPR เหมือนหรือต่างกันอย่างไร?

โครงสร้างคล้ายกันมาก แต่ PDPA มีบทลงโทษทางอาญา (จำคุก) ซึ่ง GDPR ไม่มี, ค่าปรับสูงสุดของ PDPA คือ ฿5,000,000 ขณะที่ GDPR สูงถึง 20 ล้านยูโร และ PDPA มีข้อยกเว้นสำหรับหน่วยงานรัฐบางประเภท

ข้อมูลนี้เป็นข้อมูลทั่วไป ไม่ใช่คำแนะนำทางกฎหมาย หากมีข้อสงสัยเกี่ยวกับการปฏิบัติตาม PDPA ควรปรึกษาทนายความหรือผู้เชี่ยวชาญด้านกฎหมายคุ้มครองข้อมูลส่วนบุคคล

Informational only — not legal advice. Consult a PDPA-qualified lawyer for specific guidance.

ตรวจสอบเว็บไซต์ของคุณตาม PDPA ฟรี

วาง URL เว็บไซต์ของคุณเพื่อให้ AI ตรวจสอบความสอดคล้องกับ PDPA ฟรีภายใน 60 วินาที ไม่ต้องสมัครสมาชิก

สแกนฟรีเลย →