← กลับหน้าหลัก

PDPA vs GDPR — เปรียบเทียบความเหมือนและความต่าง

PDPA vs GDPR — comparing Thailand and EU data protection laws

พ.ร.บ. คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 (PDPA) ของไทยได้รับอิทธิพลอย่างมากจาก กฎระเบียบคุ้มครองข้อมูลทั่วไป (General Data Protection Regulation หรือ GDPR) ของสหภาพยุโรป ซึ่งบังคับใช้ตั้งแต่ปี 2561 กฎหมายทั้งสองฉบับมีโครงสร้างและหลักการพื้นฐานที่คล้ายกัน แต่มีความแตกต่างสำคัญในรายละเอียดที่ผู้ประกอบการไทยควรทำความเข้าใจ

บทความนี้เปรียบเทียบ PDPA กับ GDPR ใน 7 มิติสำคัญ ได้แก่ ขอบเขตการบังคับใช้ ค่าปรับและบทลงโทษ กฎความยินยอม สิทธิของเจ้าของข้อมูล ข้อกำหนด DPO การโอนข้อมูลข้ามประเทศ และการแจ้งเหตุละเมิดข้อมูล

ตารางเปรียบเทียบ PDPA vs GDPR

PDPA vs GDPR comparison table

หัวข้อPDPA (ไทย)GDPR (EU)
ปีบังคับใช้2562 (บังคับใช้เต็มรูปแบบ 2565)2561 (ค.ศ. 2018)
ขอบเขตครอบคลุมการประมวลผลข้อมูลในไทย และนอกประเทศหากเสนอสินค้า/บริการหรือติดตามพฤติกรรมบุคคลในไทยครอบคลุมการประมวลผลใน EU และนอก EU หากเสนอสินค้า/บริการหรือติดตามพฤติกรรมบุคคลใน EU
ค่าปรับสูงสุดโทษทางปกครองสูงสุด 5,000,000 บาทสูงสุด 20 ล้านยูโร หรือ 4% ของรายได้ทั่วโลก แล้วแต่จำนวนใดสูงกว่า
โทษอาญามี — จำคุกไม่เกิน 1 ปี และ/หรือปรับไม่เกิน 1,000,000 บาทไม่มีโทษอาญาโดยตรง (ขึ้นอยู่กับกฎหมายของแต่ละประเทศสมาชิก)
ค่าเสียหายเชิงลงโทษสูงสุด 2 เท่าของค่าเสียหายจริง (มาตรา 78)ค่าเสียหายตามจริง (ไม่มี punitive damages ในตัว GDPR)
ฐานความยินยอมต้องแสดงเจตนาโดยชัดแจ้ง แยกส่วนจากข้อความอื่น ถอนได้ง่ายเท่ากับการให้ต้องเป็นอิสระ ชัดเจน เฉพาะเจาะจง และเป็นการกระทำ affirmative (freely given, specific, informed, unambiguous)
ฐานทางกฎหมาย6 ฐาน: ความยินยอม สัญญา หน้าที่ตามกฎหมาย ประโยชน์สาธารณะ ประโยชน์โดยชอบด้วยกฎหมาย ประโยชน์สำคัญต่อชีวิต6 ฐาน: ความยินยอม สัญญา หน้าที่ตามกฎหมาย ประโยชน์สำคัญต่อชีวิต ประโยชน์สาธารณะ ประโยชน์โดยชอบด้วยกฎหมาย (ลำดับต่างเล็กน้อย)
สิทธิเจ้าของข้อมูลเข้าถึง ขอสำเนา คัดค้าน ลบ ระงับใช้ แก้ไข โอนย้าย ถอนความยินยอมเข้าถึง แก้ไข ลบ จำกัดการประมวลผล โอนย้าย คัดค้าน ถอนความยินยอม + สิทธิเกี่ยวกับ automated decision-making
DPOต้องแต่งตั้งเมื่อประมวลผลข้อมูลจำนวนมากหรือข้อมูลอ่อนไหวเป็นกิจกรรมหลักต้องแต่งตั้งสำหรับหน่วยงานสาธารณะ การติดตามพฤติกรรมอย่างเป็นระบบ หรือประมวลผลข้อมูลอ่อนไหวจำนวนมาก
โอนข้อมูลข้ามประเทศประเทศปลายทางต้องมีมาตรฐานเพียงพอ เว้นแต่เข้าข้อยกเว้น (มาตรา 28-29)ต้องมี adequacy decision, SCCs, BCRs หรือเข้าข้อยกเว้น (Article 44-49)
แจ้งเหตุละเมิดแจ้ง สคส. ภายใน 72 ชั่วโมง หากเสี่ยงสูงต้องแจ้งเจ้าของข้อมูลด้วยแจ้ง DPA ภายใน 72 ชั่วโมง หากเสี่ยงสูงต้องแจ้งเจ้าของข้อมูลด้วย

ความแตกต่างสำคัญที่ควรรู้

Key differences you should know

1. โทษทางอาญา — PDPA เข้มงวดกว่า

PDPA มีโทษทางอาญาที่มีโทษจำคุกไม่เกิน 1 ปี สำหรับการนำข้อมูลไปใช้เพื่อแสวงหาประโยชน์โดยมิชอบ ในขณะที่ GDPR ไม่มีโทษอาญาในตัวกฎระเบียบเอง (แต่ประเทศสมาชิกอาจมีกฎหมายอาญาเพิ่มเติม) นี่หมายความว่าบุคคลที่กระทำความผิดตาม PDPA อาจมีประวัติอาชญากรรมได้

2. ค่าปรับ — GDPR สูงกว่ามาก

GDPR มีเพดานค่าปรับสูงสุด 20 ล้านยูโร (ประมาณ 750 ล้านบาท) หรือ 4% ของรายได้ทั่วโลก ซึ่งสูงกว่า PDPA ที่มีเพดาน 5 ล้านบาทอย่างมาก อย่างไรก็ตาม สำหรับ SME ไทย ค่าปรับ 5 ล้านบาทก็ถือเป็นจำนวนที่สูงมากและอาจส่งผลกระทบต่อธุรกิจอย่างรุนแรง

3. ค่าเสียหายเชิงลงโทษ — PDPA มี GDPR ไม่มี

PDPA มาตรา 78 อนุญาตให้ศาลสั่งค่าเสียหายเชิงลงโทษได้ไม่เกิน 2 เท่าของค่าเสียหายจริง ในกรณีที่จงใจหรือประมาทเลินเล่ออย่างร้ายแรง ในขณะที่ GDPR ไม่มีบทบัญญัติเรื่อง punitive damages โดยตรง (แต่เจ้าของข้อมูลสามารถฟ้องเรียกค่าเสียหายตามจริงได้)

4. Automated Decision-Making — GDPR ครอบคลุมกว่า

GDPR มาตรา 22 ให้สิทธิเจ้าของข้อมูลเกี่ยวกับการตัดสินใจอัตโนมัติ (automated individual decision-making) รวมถึงการโปรไฟล์ (profiling) ที่ส่งผลกระทบทางกฎหมาย PDPA ยังไม่มีบทบัญญัติเฉพาะในลักษณะนี้ แต่อาจตีความเข้าภายใต้สิทธิคัดค้านหรือสิทธิทั่วไปของเจ้าของข้อมูลได้

5. ข้อยกเว้น — PDPA มีขอบเขตกว้างกว่า

PDPA มีข้อยกเว้นสำหรับหน่วยงานรัฐและกิจการบางประเภทที่กว้างกว่า GDPR รวมถึงมีบทบัญญัติเฉพาะเกี่ยวกับการจัดทำเอกสารประวัติศาสตร์ จดหมายเหตุ และวิจัย ซึ่งอาจทำให้ขอบเขตการบังคับใช้แตกต่างจาก GDPR ในบางกรณี

ความเหมือนที่สำคัญ

Key similarities

  • ✓ หลักการพื้นฐานเหมือนกัน: ความโปร่งใส จำกัดวัตถุประสงค์ ลดปริมาณข้อมูล ความถูกต้อง จำกัดระยะเวลาเก็บ ความมั่นคงปลอดภัย และความรับผิดชอบ
  • ✓ กำหนดให้แจ้งเหตุละเมิดข้อมูลภายใน 72 ชั่วโมง
  • ✓ มีฐานทางกฎหมาย 6 ฐานที่คล้ายคลึงกัน
  • ✓ คุ้มครองข้อมูลอ่อนไหวเป็นพิเศษ
  • ✓ กำหนดให้แต่งตั้ง DPO ในบางกรณี
  • ✓ ให้สิทธิเจ้าของข้อมูลในการเข้าถึง แก้ไข ลบ และโอนย้ายข้อมูล
  • ✓ บังคับใช้นอกอาณาเขต (extraterritorial scope) สำหรับผู้ที่เสนอสินค้า/บริการหรือติดตามพฤติกรรมบุคคลในประเทศ

ตรวจสอบเว็บไซต์ของคุณว่าสอดคล้องกับ PDPA หรือไม่

วาง URL ของคุณเพื่อให้ AI ตรวจสอบความสอดคล้องกับ PDPA ฟรี รับรายงานภายใน 60 วินาที

ตรวจสอบฟรีเลย →

ข้อมูลนี้เป็นข้อมูลทั่วไป ไม่ใช่คำแนะนำทางกฎหมาย