น้องแว่น — Kelomn Legal Café · กฎหมายคุ้มครองข้อมูลส่วนบุคคล (PDPA)
DPO กับผู้ควบคุมข้อมูล PDPA ต่างกันยังไง?
ชื่อในบทความนี้เป็นชื่อสมมติ ไม่มีตัวตนจริง เป็นเพียงการเล่าเรื่องทางวิชาการ ไม่ได้ตั้งใจจะพาดพิงบุคคลใดนะคะ
มีคนสับสนเรื่องนี้เยอะมากค่ะ — "ผู้ควบคุมข้อมูลส่วนบุคคล" (Data Controller) กับ "DPO" (เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล) คือคนเดียวกันหรือเปล่า? แล้วกิจการของเราต้องมี DPO ไหม?
คำตอบสั้น ๆ คือ คนละบทบาทกันค่ะ องค์กรเป็นผู้ "ตัดสินใจและรับผิดชอบ" ส่วน DPO เป็น "ผู้กำกับดูแลภายใน" ที่คอยเตือนและตรวจสอบ เดี๋ยวน้องแว่นจะค่อย ๆ แยกให้เห็นชัดทีละภาพ พร้อมตารางและไดอะแกรม อ่านครั้งเดียวก็จำได้ค่ะ
ส่วนที่ 1 · ผู้ควบคุมข้อมูลคือใคร และมีหน้าที่อะไร
ผู้ควบคุมข้อมูลส่วนบุคคล คือใคร?
ตอบสั้น ๆ ก่อนเลยค่ะ: ผู้ควบคุมข้อมูลส่วนบุคคล (Data Controller) คือ คนหรือองค์กรที่ "มีอำนาจตัดสินใจ" ว่าจะเก็บ ใช้ หรือเปิดเผยข้อมูลของเราอย่างไร — ก็คือเจ้าของกิจการ องค์กร หรือหน่วยงานที่เราไปฝากข้อมูลไว้นั่นเองค่ะ
ลองนึกภาพ ลุง A เปิดร้านขายของออนไลน์ เก็บชื่อ เบอร์ ที่อยู่ลูกค้าไว้ส่งของ — ลุง A เป็นคนตัดสินใจว่าจะเก็บอะไร เก็บไว้ทำไม เก็บนานแค่ไหน ดังนั้น ลุง A = ผู้ควบคุมข้อมูล ค่ะ ส่วนบริษัทขนส่งที่ลุง A จ้างให้ส่งของ ทำตามคำสั่งลุง A เท่านั้น จะเป็น "ผู้ประมวลผลข้อมูล" อีกบทบาทหนึ่ง
| ตัวอย่างองค์กร | เป็นผู้ควบคุมข้อมูลไหม | ข้อมูลที่ดูแล |
|---|---|---|
| ร้านค้า / อีคอมเมิร์ซ | ใช่ | ชื่อ เบอร์ ที่อยู่ ประวัติการซื้อ |
| โรงพยาบาล / คลินิก | ใช่ | เวชระเบียน ข้อมูลสุขภาพ (อ่อนไหว) |
| นายจ้าง / ฝ่ายบุคคล | ใช่ | ข้อมูลพนักงาน เงินเดือน |
| แอปพลิเคชัน / เว็บไซต์ | ใช่ | บัญชีผู้ใช้ พฤติกรรมการใช้งาน |
| บริษัทขนส่งที่รับจ้างส่งของ | เป็น "ผู้ประมวลผล" | ทำตามคำสั่งผู้ควบคุมเท่านั้น |
(อ้างอิงจากบทนิยาม มาตรา ๖ พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒)
มาตรา ๖ ในพระราชบัญญัตินี้ “ข้อมูลส่วนบุคคล” หมายความว่า ข้อมูลเกี่ยวกับบุคคลซึ่งทำให้สามารถระบุตัวบุคคลนั้นได้ไม่ว่าทางตรงหรือทางอ้อม แต่ไม่รวมถึงข้อมูลของผู้ถึงแก่กรรมโดยเฉพาะ “ผู้ควบคุมข้อมูลส่วนบุคคล” หมายความว่า บุคคลหรือนิติบุคคลซึ่งมีอำนาจหน้าที่ตัดสินใจเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล “ผู้ประมวลผลข้อมูลส่วนบุคคล” หมายความว่า บุคคลหรือนิติบุคคลซึ่งดำเนินการเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลตามคำสั่งหรือในนามของผู้ควบคุมข้อมูลส่วนบุคคล ทั้งนี้ บุคคลหรือนิติบุคคลซึ่งดำเนินการดังกล่าวไม่เป็นผู้ควบคุมข้อมูลส่วนบุคคล “บุคคล” หมายความว่า บุคคลธรรมดา “คณะกรรมการ” หมายความว่า คณะกรรมการคุ้มครองข้อมูลส่วนบุคคล “พนักงานเจ้าหน้าที่” หมายความว่า ผู้ซึ่งรัฐมนตรีแต่งตั้งให้ปฏิบัติการตามพระราชบัญญัตินี้ “สำนักงาน” หมายความว่า สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล “เลขาธิการ” หมายความว่า เลขาธิการคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล “รัฐมนตรี” หมายความว่า รัฐมนตรีผู้รักษาการตามพระราชบัญญัตินี้
น้องแว่นสรุปค่ะ
- ผู้ควบคุม = คนตัดสินใจ ว่าจะเก็บ ใช้ เปิดเผยข้อมูลอย่างไรค่ะ
- ร้านเล็กก็เป็นผู้ควบคุมได้ ถ้าเก็บข้อมูลลูกค้า ก็มีหน้าที่ตามกฎหมาย
- ผู้ประมวลผล (ม.๔๐) ทำตามคำสั่ง เป็นคนละบทบาทกับผู้ควบคุมค่ะ
หน้าที่ผู้ควบคุมข้อมูล 5 ข้อ ตามมาตรา ๓๗
ตอบสั้น ๆ: มาตรา ๓๗ กำหนดหน้าที่ของผู้ควบคุมข้อมูลไว้ 5 ข้อ หัวใจคือ "ดูแลข้อมูลให้ปลอดภัย ลบเมื่อหมดความจำเป็น และถ้าข้อมูลรั่วต้องรีบแจ้ง" มาดู mind-map กันค่ะ
โฟกัสข้อ 4 — "แจ้งเหตุข้อมูลรั่ว 72 ชั่วโมง" เป็นข้อที่พลาดกันบ่อยที่สุดและโดนปรับเยอะที่สุด ลองดูเป็นไดอะแกรมค่ะ
มาตรา ๓๗ ผู้ควบคุมข้อมูลส่วนบุคคลมีหน้าที่ ดังต่อไปนี้ (๑) จัดให้มีมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสม เพื่อป้องกันการสูญหาย เข้าถึง ใช้ เปลี่ยนแปลง แก้ไข หรือเปิดเผยข้อมูลส่วนบุคคลโดยปราศจากอำนาจหรือโดยมิชอบ และต้องทบทวนมาตรการดังกล่าวเมื่อมีความจำเป็นหรือเมื่อเทคโนโลยีเปลี่ยนแปลงไปเพื่อให้มีประสิทธิภาพในการรักษาความมั่นคงปลอดภัยที่เหมาะสม ทั้งนี้ ให้เป็นไปตามมาตรฐานขั้นต่ำที่คณะกรรมการประกาศกำหนด (๒) ในกรณีที่ต้องให้ข้อมูลส่วนบุคคลแก่บุคคลหรือนิติบุคคลอื่นที่ไม่ใช่ผู้ควบคุมข้อมูลส่วนบุคคลต้องดำเนินการเพื่อป้องกันมิให้ผู้นั้นใช้หรือเปิดเผยข้อมูลส่วนบุคคลโดยปราศจากอำนาจหรือโดยมิชอบ (๓) จัดให้มีระบบการตรวจสอบเพื่อดำเนินการลบหรือทำลายข้อมูลส่วนบุคคลเมื่อพ้นกำหนดระยะเวลาการเก็บรักษา หรือที่ไม่เกี่ยวข้องหรือเกินความจำเป็นตามวัตถุประสงค์ในการเก็บรวบรวมข้อมูลส่วนบุคคลนั้น หรือตามที่เจ้าของข้อมูลส่วนบุคคลร้องขอ หรือที่เจ้าของข้อมูลส่วนบุคคลได้ถอนความยินยอม เว้นแต่เก็บรักษาไว้เพื่อวัตถุประสงค์ในการใช้เสรีภาพในการแสดงความคิดเห็น การเก็บรักษาไว้เพื่อวัตถุประสงค์ตามมาตรา ๒๔ (๑) หรือ (๔) หรือมาตรา ๒๖ (๕) (ก) หรือ (ข) การใช้เพื่อการก่อตั้งสิทธิเรียกร้องตามกฎหมาย การปฏิบัติตามหรือการใช้สิทธิเรียกร้องตามกฎหมายหรือการยกขึ้นต่อสู้สิทธิเรียกร้องตามกฎหมาย หรือเพื่อการปฏิบัติตามกฎหมาย ทั้งนี้ ให้นำความในมาตรา ๓๓ วรรคห้า มาใช้บังคับกับการลบหรือทำลายข้อมูลส่วนบุคคลโดยอนุโลม (๔) แจ้งเหตุการละเมิดข้อมูลส่วนบุคคลแก่สำนักงานโดยไม่ชักช้าภายในเจ็ดสิบสองชั่วโมงนับแต่ทราบเหตุเท่าที่จะสามารถกระทำได้ เว้นแต่การละเมิดดังกล่าวไม่มีความเสี่ยงที่จะมีผลกระทบต่อสิทธิและเสรีภาพของบุคคล ในกรณีที่การละเมิดมีความเสี่ยงสูงที่จะมีผลกระทบต่อสิทธิและเสรีภาพของบุคคล ให้แจ้งเหตุการละเมิดให้เจ้าของข้อมูลส่วนบุคคลทราบพร้อมกับแนวทางการเยียวยาโดยไม่ชักช้าด้วย ทั้งนี้ การแจ้งดังกล่าวและข้อยกเว้นให้เป็นไปตามหลักเกณฑ์และวิธีการที่คณะกรรมการประกาศกำหนด (๕) ในกรณีที่เป็นผู้ควบคุมข้อมูลส่วนบุคคลตามมาตรา ๕ วรรคสอง ต้องแต่งตั้งตัวแทนของผู้ควบคุมข้อมูลส่วนบุคคลเป็นหนังสือซึ่งตัวแทนต้องอยู่ในราชอาณาจักรและตัวแทนต้องได้รับมอบอำนาจให้กระทำการแทนผู้ควบคุมข้อมูลส่วนบุคคลโดยไม่มีข้อจำกัดความรับผิดใด ๆ ที่เกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลตามวัตถุประสงค์ของผู้ควบคุมข้อมูลส่วนบุคคล
น้องแว่นสรุปค่ะ
- หน้าที่มี 5 ข้อ (1–5) ไม่มีข้อ 6 นะคะ จำให้แม่น
- หัวใจคือ ปลอดภัย–ลบเมื่อหมดจำเป็น–แจ้งเมื่อรั่ว
- ข้อมูลรั่ว แจ้งสำนักงานภายใน 72 ชม. นับแต่ทราบเหตุค่ะ
รู้จักผู้ควบคุมแล้ว มาทำความรู้จัก "DPO" กันต่อ — กาแฟอีกแก้วไหมคะ?
ส่วนที่ 2 · DPO คือใคร ใครต้องมี และมีหน้าที่อะไร
DPO คือใคร และใครบ้างที่ "ต้องมี"?
ตอบสั้น ๆ: DPO (Data Protection Officer) หรือ "เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล" คือ คนที่องค์กรแต่งตั้งให้คอยดูแลเรื่อง PDPA ภายในองค์กร ไม่ใช่ทุกองค์กรที่ต้องมี — มาตรา ๔๑ กำหนด 3 กรณีที่ "บังคับต้องมี" ค่ะ
ป้า B ถามว่า "ร้านกาแฟเล็ก ๆ ของป้า ต้องมี DPO ไหม?" — คำตอบคือ โดยทั่วไปไม่ต้องค่ะ เพราะไม่ได้เก็บข้อมูลจำนวนมากหรือข้อมูลอ่อนไหวเป็นกิจกรรมหลัก แต่ถ้าเป็น โรงพยาบาลที่เก็บข้อมูลสุขภาพ หรือ แพลตฟอร์มที่ติดตามพฤติกรรมคนเป็นแสน ๆ ราย แบบนี้ "ต้องมี" DPO ค่ะ
3 กรณีที่ "บังคับต้องมี" DPO ตามมาตรา ๔๑:
เกณฑ์ "ข้อมูลจำนวนมาก" ตามข้อ (2) ดูได้จากประกาศคณะกรรมการฯ พ.ศ. 2566 (ประกาศ 31 ส.ค. 2566 มีผลประมาณ 90 วันหลังประกาศ) สรุปเป็นตารางพอเข้าใจค่ะ:
| ลักษณะองค์กร (เกณฑ์โดยสรุป) | เข้าเกณฑ์ต้องมี DPO? |
|---|---|
| หน่วยงานของรัฐ | ต้องมี |
| ประมวลผลข้อมูลตั้งแต่ 100,000 รายขึ้นไป | ต้องมี |
| ติดตามพฤติกรรมเพื่อโฆษณา/วิเคราะห์อย่างสม่ำเสมอ | ต้องมี |
| สถาบันการเงิน / ผู้ประมวลผลด้านโทรคมนาคม | ต้องมี |
| กิจกรรมหลักเป็นข้อมูลอ่อนไหว | ต้องมี |
| ร้านค้าเล็ก เก็บข้อมูลลูกค้าทั่วไปไม่มาก | ไม่บังคับ |
(เกณฑ์ตามประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง การจัดให้มีเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลตามมาตรา ๔๑ (๒) พ.ศ. ๒๕๖๖ — สรุปโดยย่อ)
มาตรา ๔๑ ผู้ควบคุมข้อมูลส่วนบุคคลและผู้ประมวลผลข้อมูลส่วนบุคคลต้องจัดให้มีเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลของตน ในกรณีดังต่อไปนี้ (๑) ผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคลเป็นหน่วยงานของรัฐตามที่คณะกรรมการประกาศกำหนด (๒) การดำเนินกิจกรรมของผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคลในการเก็บรวบรวม ใช้ หรือเปิดเผย จำเป็นต้องตรวจสอบข้อมูลส่วนบุคคลหรือระบบอย่างสม่ำเสมอโดยเหตุที่มีข้อมูลส่วนบุคคลเป็นจำนวนมากตามที่คณะกรรมการประกาศกำหนด (๓) กิจกรรมหลักของผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคลเป็นการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลตามมาตรา ๒๖ ในกรณีที่ผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคลอยู่ในเครือกิจการหรือเครือธุรกิจเดียวกันเพื่อการประกอบกิจการหรือธุรกิจร่วมกันตามที่คณะกรรมการประกาศกำหนดตามมาตรา ๒๙ วรรคสอง ผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคลดังกล่าวอาจจัดให้มีเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลร่วมกันได้ ทั้งนี้ สถานที่ทำการแต่ละแห่งของผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคลที่อยู่ในเครือกิจการหรือเครือธุรกิจเดียวกันดังกล่าวต้องสามารถติดต่อกับเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลได้โดยง่าย ความในวรรคสองให้นำมาใช้บังคับแก่ผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคลซึ่งเป็นหน่วยงานของรัฐตาม (๑) ซึ่งมีขนาดใหญ่หรือมีสถานที่ทำการหลายแห่งโดยอนุโลม ในกรณีที่ผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคลตามวรรคหนึ่งต้องแต่งตั้งตัวแทนตามมาตรา ๓๗ (๕) ให้นำความในวรรคหนึ่งมาใช้บังคับแก่ตัวแทนโดยอนุโลม ผู้ควบคุมข้อมูลส่วนบุคคลและผู้ประมวลผลข้อมูลส่วนบุคคลมีหน้าที่ต้องแจ้งข้อมูลเกี่ยวกับเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล สถานที่ติดต่อ และวิธีการติดต่อให้เจ้าของข้อมูลส่วนบุคคลและสำนักงานทราบ ทั้งนี้ เจ้าของข้อมูลส่วนบุคคลสามารถติดต่อเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลและการใช้สิทธิของเจ้าของข้อมูลส่วนบุคคลตามพระราชบัญญัตินี้ได้ คณะกรรมการอาจประกาศกำหนดคุณสมบัติของเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลได้ โดยคำนึงถึงความรู้หรือความเชี่ยวชาญเกี่ยวกับการคุ้มครองข้อมูลส่วนบุคคล เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลอาจเป็นพนักงานของผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคลหรือเป็นผู้รับจ้างให้บริการตามสัญญากับผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคลก็ได้
น้องแว่นสรุปค่ะ
- ไม่ใช่ทุกองค์กรต้องมี มาตรา ๔๑ กำหนด 3 กรณีบังคับค่ะ
- รัฐ / ข้อมูลมาก / ข้อมูลอ่อนไหว (ม.๒๖) = ต้องมี
- เกณฑ์ “จำนวนมาก” ดูประกาศ พ.ศ. 2566 เช่น ตั้งแต่ 100,000 รายค่ะ
หน้าที่ DPO 4 ข้อ และสิทธิที่กฎหมายคุ้มครอง ตามมาตรา ๔๒
ตอบสั้น ๆ: มาตรา ๔๒ ให้ DPO มีหน้าที่ 4 ข้อ คือ ให้คำแนะนำ–ตรวจสอบ–ประสานงานกับสำนักงาน–รักษาความลับ และที่สำคัญ กฎหมายห้ามองค์กรไล่ DPO ออกเพราะทำหน้าที่ตามกฎหมาย ค่ะ
🛡️ เกราะคุ้มครอง DPO: มาตรา ๔๒ วรรคสาม ระบุว่า องค์กร "จะให้ DPO ออกจากงานหรือเลิกสัญญาจ้างเพราะเหตุที่ DPO ปฏิบัติหน้าที่ตามกฎหมายนี้ไม่ได้" และเมื่อมีปัญหา DPO ต้องรายงานตรงถึง ผู้บริหารสูงสุด ได้ค่ะ — นี่คือหลักประกันความเป็นอิสระของ DPO
มาตรา ๔๒ เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลมีหน้าที่ ดังต่อไปนี้ (๑) ให้คำแนะนำแก่ผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคล รวมทั้งลูกจ้างหรือผู้รับจ้างของผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคลเกี่ยวกับการปฏิบัติตามพระราชบัญญัตินี้ (๒) ตรวจสอบการดำเนินงานของผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคล รวมทั้งลูกจ้างหรือผู้รับจ้างของผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคลเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลเพื่อให้เป็นไปตามพระราชบัญญัตินี้ (๓) ประสานงานและให้ความร่วมมือกับสำนักงานในกรณีที่มีปัญหาเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลของผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคล รวมทั้งลูกจ้างหรือผู้รับจ้างของผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคลในการปฏิบัติตามพระราชบัญญัตินี้ (๔) รักษาความลับของข้อมูลส่วนบุคคลที่ตนล่วงรู้หรือได้มาเนื่องจากการปฏิบัติหน้าที่ตามพระราชบัญญัตินี้ ผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคลต้องสนับสนุนการปฏิบัติหน้าที่ของเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลโดยจัดหาเครื่องมือหรืออุปกรณ์อย่างเพียงพอ รวมทั้งอำนวยความสะดวกในการเข้าถึงข้อมูลส่วนบุคคลเพื่อการปฏิบัติหน้าที่ ผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคลจะให้เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลออกจากงานหรือเลิกสัญญาการจ้างด้วยเหตุที่เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลปฏิบัติหน้าที่ตามพระราชบัญญัตินี้ไม่ได้ ทั้งนี้ ในกรณีที่มีปัญหาในการปฏิบัติหน้าที่ เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลต้องสามารถรายงานไปยังผู้บริหารสูงสุดของผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคลโดยตรงได้ เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลอาจปฏิบัติหน้าที่หรือภารกิจอื่นได้ แต่ผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคลต้องรับรองกับสำนักงานว่าหน้าที่หรือภารกิจดังกล่าวต้องไม่ขัดหรือแย้งต่อการปฏิบัติหน้าที่ตามพระราชบัญญัตินี้
น้องแว่นสรุปค่ะ
- DPO มีหน้าที่ 4 ข้อ แนะนำ–ตรวจสอบ–ประสานงาน–รักษาความลับค่ะ
- ห้ามไล่ DPO ออก เพราะเหตุที่ทำหน้าที่ตามกฎหมาย
- รายงานตรงถึงผู้บริหารสูงสุดได้ เพื่อความเป็นอิสระค่ะ
ส่วนที่ 3 · เทียบ 3 บทบาท เคสจริง และโทษถ้าละเลย
สรุปภาพรวม: เทียบ 3 บทบาท Controller · Processor · DPO
ตอบสั้น ๆ: 3 บทบาทนี้ทำงานคนละหน้าที่ค่ะ — ผู้ควบคุม "ตัดสินใจ", ผู้ประมวลผล "ทำตามคำสั่ง", DPO "กำกับดูแล" มาดูตารางเทียบให้เห็นภาพชัด ๆ
| หัวข้อ | ผู้ควบคุมข้อมูล (Controller) | ผู้ประมวลผล (Processor) | DPO |
|---|---|---|---|
| บทบาทหลัก | ตัดสินใจ & รับผิดชอบ | ทำตามคำสั่งผู้ควบคุม | กำกับดูแลภายใน |
| ตัวอย่าง | ร้านค้า รพ. นายจ้าง | ผู้รับจ้างประมวลผล/คลาวด์ | พนักงานหรือผู้รับจ้างที่ถูกตั้ง |
| จำแบบกฎหมาย | ตัดสินใจแล้วต้องดูแลข้อมูล | ทำตามคำสั่ง ถ้าทำเกินอาจกลายเป็นผู้ควบคุม | ให้คำแนะนำ ตรวจสอบ และรายงานตรงผู้บริหาร |
| รับผิดแทนองค์กรไหม | รับผิดชอบเต็ม | รับผิดตามขอบเขต | ไม่รับผิดแทน (กำกับดูแล) |
(อ้างอิงจากบทนิยาม มาตรา ๖, หน้าที่ผู้ควบคุม มาตรา ๓๗, ผู้ประมวลผล มาตรา ๔๐ และ DPO มาตรา ๔๑ มาตรา ๔๒)
มาตรา ๔๐ ผู้ประมวลผลข้อมูลส่วนบุคคลมีหน้าที่ ดังต่อไปนี้ (๑) ดำเนินการเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลตามคำสั่งที่ได้รับจากผู้ควบคุมข้อมูลส่วนบุคคลเท่านั้น เว้นแต่คำสั่งนั้นขัดต่อกฎหมายหรือบทบัญญัติในการคุ้มครองข้อมูลส่วนบุคคลตามพระราชบัญญัตินี้ (๒) จัดให้มีมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสม เพื่อป้องกันการสูญหาย เข้าถึง ใช้ เปลี่ยนแปลง แก้ไข หรือเปิดเผยข้อมูลส่วนบุคคลโดยปราศจากอำนาจหรือโดยมิชอบ รวมทั้งแจ้งให้ผู้ควบคุมข้อมูลส่วนบุคคลทราบถึงเหตุการละเมิดข้อมูลส่วนบุคคลที่เกิดขึ้น (๓) จัดทำและเก็บรักษาบันทึกรายการของกิจกรรมการประมวลผลข้อมูลส่วนบุคคลไว้ตามหลักเกณฑ์และวิธีการที่คณะกรรมการประกาศกำหนด ผู้ประมวลผลข้อมูลส่วนบุคคลซึ่งไม่ปฏิบัติตาม (๑) สำหรับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลใด ให้ถือว่าผู้ประมวลผลข้อมูลส่วนบุคคลเป็นผู้ควบคุมข้อมูลส่วนบุคคลสำหรับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลนั้น การดำเนินงานตามหน้าที่ของผู้ประมวลผลข้อมูลส่วนบุคคลตามที่ได้รับมอบหมายจากผู้ควบคุมข้อมูลส่วนบุคคลตามวรรคหนึ่ง ผู้ควบคุมข้อมูลส่วนบุคคลต้องจัดให้มีข้อตกลงระหว่างกัน เพื่อควบคุมการดำเนินงานตามหน้าที่ของผู้ประมวลผลข้อมูลส่วนบุคคลให้เป็นไปตามพระราชบัญญัตินี้ ความใน (๓) อาจยกเว้นมิให้นำมาใช้บังคับกับผู้ประมวลผลข้อมูลส่วนบุคคลซึ่งเป็นกิจการขนาดเล็กตามหลักเกณฑ์ที่คณะกรรมการประกาศกำหนด เว้นแต่มีการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลที่มีความเสี่ยงที่จะมีผลกระทบต่อสิทธิและเสรีภาพของเจ้าของข้อมูลส่วนบุคคล หรือมิใช่กิจการที่เก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลเป็นครั้งคราว หรือมีการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลตามมาตรา ๒๖
น้องแว่นสรุปค่ะ
- Controller สั่ง · Processor ทำ · DPO ตรวจ จำแค่นี้ก็แยกออกค่ะ
- ความรับผิดหลักอยู่ที่ผู้ควบคุม (ม.๓๗) ไม่ใช่ที่ DPO
- ผู้ประมวลผลที่ทำเกินคำสั่ง อาจถูกถือเป็นผู้ควบคุมเองตาม ม.๔๐ ค่ะ
เคสจริง (ตามรายงานข่าว): PDPA บังคับใช้จริง มีค่าปรับจริง
ตอบสั้น ๆ: หลายคนยังคิดว่า PDPA เป็นแค่กระดาษ แต่ ตามรายงานข่าว มีการออก "คำสั่งปรับทางปกครอง" จริงหลายเคสแล้วค่ะ และประเด็นที่โดนซ้ำ ๆ คือ "ไม่ตั้ง DPO" กับ "แจ้งเหตุข้อมูลรั่วช้าเกิน 72 ชม."
ตารางนี้สรุป ตามรายงานข่าว (อ้างจากการแถลงข่าวของสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล) โดยปกปิดชื่อองค์กรไว้นะคะ — เป็น "คำสั่งปรับทางปกครอง" ไม่ใช่คำพิพากษาศาล จึงไม่มีเลขคดี เน้นให้เห็นว่า "การนิ่งเฉยมีราคา" ค่ะ
| เคส (ปกปิดชื่อ) | ค่าปรับ | วันที่ | ประเด็นหลัก |
|---|---|---|---|
| ผู้ค้าปลีกไอทีออนไลน์รายใหญ่ | 7,000,000 บาท | ส.ค. 2567 | ไม่ตั้ง DPO ทั้งที่เข้าเกณฑ์ + มาตรการไม่พอ + แจ้งเหตุล่าช้า; ข้อมูลลูกค้ากว่า 100,000 รายรั่วไปแก๊งคอลเซ็นเตอร์ |
| โรงพยาบาลเอกชน (เวชระเบียน) | 1,210,000 บาท | ส.ค. 2568 | ข้อมูลสุขภาพต้องดูแลเข้ม แต่การทำลายเอกสารและการแจ้งเหตุยังไม่พอ |
| ชุดรวม 5 เคส / 8 คำสั่ง | ราว 21,500,000 บาท | 1 ส.ค. 2568 | ประเด็นซ้ำคือไม่แจ้งเหตุภายใน 72 ชม. และขาดมาตรการควบคุม |
ที่มา: ตามรายงานข่าว (อ้างจากการแถลงข่าวของสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล) — ปกปิดชื่อองค์กร เป็นคำสั่งปรับทางปกครอง ไม่ใช่คำพิพากษา
น้องแว่นสรุปค่ะ
- PDPA บังคับใช้จริง มีคำสั่งปรับทางปกครองจริงตามรายงานข่าวค่ะ
- ประเด็นซ้ำคือ ม.๓๗(๔) แจ้งเหตุช้า และ ม.๔๑ ไม่ตั้ง DPO
- การนิ่งเฉย/ละเลย = เสี่ยงโทษหนัก เตรียมตัวไว้ดีกว่าค่ะ
โทษถ้าละเลย: ปรับทางปกครอง + โทษอาญา
ตอบสั้น ๆ: โทษ PDPA มี 2 แบบค่ะ — "ปรับทางปกครอง" (คณะกรรมการผู้เชี่ยวชาญสั่งปรับ) กับ "โทษอาญา" (จำคุก/ปรับ) มาดูว่ามาตราไหนใช้กับเรื่องอะไร
| ความเสี่ยง | จำง่าย | เพดานโทษ | เมื่อมักเจอ |
|---|---|---|---|
| ปรับทางปกครอง | ละเลยหน้าที่พื้นฐาน | ปรับไม่เกิน 3 ล้านบาท | มาตรการไม่พอ / ไม่แจ้งเหตุ 72 ชม. |
| ปรับทางปกครองขั้นสูง | ข้อมูลอ่อนไหวต้องเข้มกว่าเดิม | ปรับไม่เกิน 5 ล้านบาท | ข้อมูลสุขภาพ ชีวภาพ ศาสนา หรือข้อมูลอ่อนไหวอื่น |
| โทษอาญา | ทำให้เสียหายหรือหาประโยชน์มิชอบ | จำคุก/ปรับ สูงสุด 1 ปี / 1 ล้าน | ใช้หรือเปิดเผยข้อมูลอ่อนไหวผิดทาง |
| โทษอาญาจากความลับ | รู้จากหน้าที่แล้วเอาไปเปิดเผย | จำคุกไม่เกิน 6 เดือน / ปรับไม่เกิน 5 แสน | คนทำหน้าที่ รวมถึง DPO เปิดเผยข้อมูล |
(อ้างอิงจากมาตรา ๗๙ มาตรา ๘๐ มาตรา ๘๓ มาตรา ๘๔ และปัจจัยการพิจารณาตามมาตรา ๙๐ พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒)
มาตรา ๘๓ ผู้ควบคุมข้อมูลส่วนบุคคลผู้ใดฝ่าฝืนหรือไม่ปฏิบัติตามมาตรา ๒๑ มาตรา ๒๒ มาตรา ๒๔ มาตรา ๒๕ วรรคหนึ่ง มาตรา ๒๗ วรรคหนึ่งหรือวรรคสอง มาตรา ๒๘ มาตรา ๓๒ วรรคสอง หรือมาตรา ๓๗ หรือขอความยินยอมโดยการหลอกลวงหรือทำให้เจ้าของข้อมูลส่วนบุคคลเข้าใจผิดในวัตถุประสงค์ หรือไม่ปฏิบัติตามมาตรา ๒๑ ซึ่งได้นำมาใช้บังคับโดยอนุโลมตามมาตรา ๒๕ วรรคสอง หรือส่งหรือโอนข้อมูลส่วนบุคคลโดยไม่เป็นไปตามมาตรา ๒๙ วรรคหนึ่งหรือวรรคสาม ต้องระวางโทษปรับทางปกครองไม่เกินสามล้านบาท
มาตรา ๘๔ ผู้ควบคุมข้อมูลส่วนบุคคลผู้ใดฝ่าฝืนมาตรา ๒๖ วรรคหนึ่งหรือวรรคสาม หรือฝ่าฝืนมาตรา ๒๗ วรรคหนึ่งหรือวรรคสอง หรือมาตรา ๒๘ อันเกี่ยวกับข้อมูลส่วนบุคคลตามมาตรา ๒๖ หรือส่งหรือโอนข้อมูลส่วนบุคคลตามมาตรา ๒๖ โดยไม่เป็นไปตามมาตรา ๒๙ วรรคหนึ่งหรือวรรคสาม ต้องระวางโทษปรับทางปกครองไม่เกินห้าล้านบาท
มาตรา ๗๙ ผู้ควบคุมข้อมูลส่วนบุคคลผู้ใดฝ่าฝืนมาตรา ๒๗ วรรคหนึ่งหรือวรรคสอง หรือไม่ปฏิบัติตามมาตรา ๒๘ อันเกี่ยวกับข้อมูลส่วนบุคคลตามมาตรา ๒๖ โดยประการที่น่าจะทำให้ผู้อื่นเกิดความเสียหาย เสียชื่อเสียง ถูกดูหมิ่น ถูกเกลียดชัง หรือได้รับความอับอาย ต้องระวางโทษจำคุกไม่เกินหกเดือน หรือปรับไม่เกินห้าแสนบาท หรือทั้งจำทั้งปรับ ผู้ควบคุมข้อมูลส่วนบุคคลผู้ใดฝ่าฝืนมาตรา ๒๗ วรรคหนึ่งหรือวรรคสอง หรือไม่ปฏิบัติตามมาตรา ๒๘ อันเกี่ยวกับข้อมูลส่วนบุคคลตามมาตรา ๒๖ เพื่อแสวงหาประโยชน์ที่มิควรได้โดยชอบด้วยกฎหมายสำหรับตนเองหรือผู้อื่น ต้องระวางโทษจำคุกไม่เกินหนึ่งปี หรือปรับไม่เกินหนึ่งล้านบาท หรือทั้งจำทั้งปรับ ความผิดตามมาตรานี้เป็นความผิดอันยอมความได้
มาตรา ๘๐ ผู้ใดล่วงรู้ข้อมูลส่วนบุคคลของผู้อื่นเนื่องจากการปฏิบัติหน้าที่ตามพระราชบัญญัตินี้ ถ้าผู้นั้นนำไปเปิดเผยแก่ผู้อื่น ต้องระวางโทษจำคุกไม่เกินหกเดือน หรือปรับไม่เกินห้าแสนบาท หรือทั้งจำทั้งปรับ ความในวรรคหนึ่ง มิให้นำมาใช้บังคับแก่การเปิดเผย ในกรณีดังต่อไปนี้ (๑) การเปิดเผยตามหน้าที่ (๒) การเปิดเผยเพื่อประโยชน์แก่การสอบสวน หรือการพิจารณาคดี (๓) การเปิดเผยแก่หน่วยงานของรัฐในประเทศหรือต่างประเทศที่มีอำนาจหน้าที่ตามกฎหมาย (๔) การเปิดเผยที่ได้รับความยินยอมเป็นหนังสือเฉพาะครั้งจากเจ้าของข้อมูลส่วนบุคคล (๕) การเปิดเผยข้อมูลส่วนบุคคลที่เกี่ยวกับการฟ้องร้องคดีต่าง ๆ ที่เปิดเผยต่อสาธารณะ
มาตรา ๙๐ คณะกรรมการผู้เชี่ยวชาญมีอำนาจสั่งลงโทษปรับทางปกครองตามที่กำหนดไว้ในส่วนนี้ ทั้งนี้ ในกรณีที่เห็นสมควรคณะกรรมการผู้เชี่ยวชาญจะสั่งให้แก้ไขหรือตักเตือนก่อนก็ได้ ในการพิจารณาออกคำสั่งลงโทษปรับทางปกครอง ให้คณะกรรมการผู้เชี่ยวชาญคำนึงถึงความร้ายแรงแห่งพฤติกรรมที่กระทำผิด ขนาดกิจการของผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคล หรือพฤติการณ์ต่าง ๆ ประกอบด้วย ทั้งนี้ ตามหลักเกณฑ์ที่คณะกรรมการกำหนด ในกรณีที่ผู้ถูกลงโทษปรับทางปกครองไม่ยอมชำระค่าปรับทางปกครอง ให้นำบทบัญญัติเกี่ยวกับการบังคับทางปกครองตามกฎหมายว่าด้วยวิธีปฏิบัติราชการทางปกครองมาใช้บังคับโดยอนุโลม และในกรณีที่ไม่มีเจ้าหน้าที่ดำเนินการบังคับตามคำสั่ง หรือมีแต่ไม่สามารถดำเนินการบังคับทางปกครองได้ ให้คณะกรรมการผู้เชี่ยวชาญมีอำนาจฟ้องคดีต่อศาลปกครองเพื่อบังคับชำระค่าปรับ ในการนี้ ถ้าศาลปกครองเห็นว่าคำสั่งให้ชำระค่าปรับนั้นชอบด้วยกฎหมาย ให้ศาลปกครองมีอำนาจพิจารณาพิพากษา และบังคับให้มีการยึดหรืออายัดทรัพย์สินขายทอดตลาดเพื่อชำระค่าปรับได้ คำสั่งลงโทษปรับทางปกครองและคำสั่งในการบังคับทางปกครอง ให้นำความในมาตรา ๗๔ วรรคหก มาใช้บังคับโดยอนุโลม และให้นำความในมาตรา ๗๔ วรรคสี่ มาใช้บังคับกับการบังคับทางปกครองตามวรรคสามโดยอนุโลม
น้องแว่นสรุปค่ะ
- ปรับทางปกครอง: ม.๘๓ ไม่เกิน 3 ล้าน · ม.๘๔ ไม่เกิน 5 ล้าน ค่ะ
- โทษอาญา: ม.๗๙ และ ม.๘๐ มีทั้งจำและปรับ
- ม.๙๐ ดูความร้ายแรง+ขนาดกิจการ และอาจตักเตือนก่อนได้ค่ะ
หัวใจของเรื่องนี้คือ — องค์กรเป็นผู้ "รับผิดชอบ" ส่วน DPO เป็นผู้ "กำกับดูแล" คนละบทบาทกัน และ "ไม่ใช่ทุกองค์กรต้องมี DPO" แต่ทุกองค์กรที่เก็บข้อมูล "ต้องทำหน้าที่ตามมาตรา ๓๗" ค่ะ
- ผู้ควบคุมข้อมูลคนที่ตัดสินใจเก็บ/ใช้/เปิดเผยข้อมูล — มีหน้าที่ตาม ม.๓๗ ดูข้อ 1
- แจ้งเหตุ 72 ชม.ข้อมูลรั่ว ต้องแจ้งสำนักงานภายใน 72 ชั่วโมง (ม.๓๗(๔)) ดูข้อ 2
- ใครต้องมี DPOรัฐ / ข้อมูลจำนวนมาก / ข้อมูลอ่อนไหว ม.๒๖ (ม.๔๑ + ประกาศ 2566) ดูข้อ 3
- เกราะคุ้มครอง DPOห้ามไล่ออกเพราะทำหน้าที่ + รายงานตรงผู้บริหารสูงสุด (ม.๔๒) ดูข้อ 4
- 3 บทบาทController สั่ง · Processor ทำ · DPO ตรวจ ดูข้อ 5
- โทษถ้าละเลยปรับปกครอง ม.๘๓ (3 ล้าน) / ม.๘๔ (5 ล้าน) + อาญา ม.๗๙, ๘๐ ดูข้อ 7
✅ Checklist ผู้ควบคุมข้อมูล
- มีมาตรการความปลอดภัยที่เหมาะสม
- มีระบบลบ/ทำลายข้อมูลเมื่อหมดจำเป็น
- มีขั้นตอนแจ้งเหตุภายใน 72 ชม.
- ทำข้อตกลงกับผู้ประมวลผล
✅ Checklist เรื่อง DPO
- ประเมินว่าเข้า 3 กรณีบังคับไหม (ม.๔๑)
- ถ้าเข้าเกณฑ์ แต่งตั้ง DPO + แจ้งสำนักงาน
- ให้ DPO เป็นอิสระ รายงานผู้บริหารสูงสุดได้
- สนับสนุนเครื่องมือให้ DPO ทำงาน
เรื่อง PDPA ดูเหมือนยุ่งยาก แต่ถ้าเริ่มจาก "รู้บทบาทตัวเอง" ว่าเราเป็นผู้ควบคุมหรือผู้ประมวลผล แล้วทำตามหน้าที่ทีละข้อ ก็จะไม่น่ากลัวเท่าไรค่ะ ถ้ากิจการมีรายละเอียดซับซ้อนหรือไม่แน่ใจว่าต้องมี DPO ไหม แนะนำให้ปรึกษาทนายความหรือผู้เชี่ยวชาญด้าน PDPA โดยตรงนะคะ
ถ้าข้อมูลนี้เป็นประโยชน์ ให้ส่ง กาแฟและขนมปัง ให้เป็นกำลังใจ
กดให้กาแฟ หรือ ขนมปัง สัก 1 อย่างไหมคะ?