Kelomn.com
Business Law for the Business Life

แชร์บทความนี้

แชท ฟีด เครือข่ายงาน โพสต์สั้น
น้องแว่นในร้านกาแฟ Kelomn อ่านเรื่องการคุ้มครองข้อมูลส่วนบุคคล PDPA

น้องแว่น — Kelomn Legal Café · กฎหมายคุ้มครองข้อมูลส่วนบุคคล (PDPA)

DPO กับผู้ควบคุมข้อมูล PDPA ต่างกันยังไง?

ชื่อในบทความนี้เป็นชื่อสมมติ ไม่มีตัวตนจริง เป็นเพียงการเล่าเรื่องทางวิชาการ ไม่ได้ตั้งใจจะพาดพิงบุคคลใดนะคะ

มีคนสับสนเรื่องนี้เยอะมากค่ะ — "ผู้ควบคุมข้อมูลส่วนบุคคล" (Data Controller) กับ "DPO" (เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล) คือคนเดียวกันหรือเปล่า? แล้วกิจการของเราต้องมี DPO ไหม?

คำตอบสั้น ๆ คือ คนละบทบาทกันค่ะ องค์กรเป็นผู้ "ตัดสินใจและรับผิดชอบ" ส่วน DPO เป็น "ผู้กำกับดูแลภายใน" ที่คอยเตือนและตรวจสอบ เดี๋ยวน้องแว่นจะค่อย ๆ แยกให้เห็นชัดทีละภาพ พร้อมตารางและไดอะแกรม อ่านครั้งเดียวก็จำได้ค่ะ

ส่วนที่ 1  ·  ผู้ควบคุมข้อมูลคือใคร และมีหน้าที่อะไร

1

ผู้ควบคุมข้อมูลส่วนบุคคล คือใคร?

ตอบสั้น ๆ ก่อนเลยค่ะ: ผู้ควบคุมข้อมูลส่วนบุคคล (Data Controller) คือ คนหรือองค์กรที่ "มีอำนาจตัดสินใจ" ว่าจะเก็บ ใช้ หรือเปิดเผยข้อมูลของเราอย่างไร — ก็คือเจ้าของกิจการ องค์กร หรือหน่วยงานที่เราไปฝากข้อมูลไว้นั่นเองค่ะ

ลองนึกภาพ ลุง A เปิดร้านขายของออนไลน์ เก็บชื่อ เบอร์ ที่อยู่ลูกค้าไว้ส่งของ — ลุง A เป็นคนตัดสินใจว่าจะเก็บอะไร เก็บไว้ทำไม เก็บนานแค่ไหน ดังนั้น ลุง A = ผู้ควบคุมข้อมูล ค่ะ ส่วนบริษัทขนส่งที่ลุง A จ้างให้ส่งของ ทำตามคำสั่งลุง A เท่านั้น จะเป็น "ผู้ประมวลผลข้อมูล" อีกบทบาทหนึ่ง

ตัวอย่างองค์กรเป็นผู้ควบคุมข้อมูลไหมข้อมูลที่ดูแล
ร้านค้า / อีคอมเมิร์ซใช่ชื่อ เบอร์ ที่อยู่ ประวัติการซื้อ
โรงพยาบาล / คลินิกใช่เวชระเบียน ข้อมูลสุขภาพ (อ่อนไหว)
นายจ้าง / ฝ่ายบุคคลใช่ข้อมูลพนักงาน เงินเดือน
แอปพลิเคชัน / เว็บไซต์ใช่บัญชีผู้ใช้ พฤติกรรมการใช้งาน
บริษัทขนส่งที่รับจ้างส่งของเป็น "ผู้ประมวลผล"ทำตามคำสั่งผู้ควบคุมเท่านั้น

(อ้างอิงจากบทนิยาม มาตรา ๖ พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒)

💡 จุดที่หลายคนงง: "ผู้ควบคุม" ไม่ได้แปลว่าต้องเป็นบริษัทใหญ่ ร้านเล็ก ๆ ที่เก็บข้อมูลลูกค้าก็เป็นผู้ควบคุมข้อมูลและมีหน้าที่ตามกฎหมายเหมือนกันค่ะ
พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ บัญญัติไว้ว่า
มาตรา ๖ ในพระราชบัญญัตินี้
“ข้อมูลส่วนบุคคล” หมายความว่า ข้อมูลเกี่ยวกับบุคคลซึ่งทำให้สามารถระบุตัวบุคคลนั้นได้ไม่ว่าทางตรงหรือทางอ้อม แต่ไม่รวมถึงข้อมูลของผู้ถึงแก่กรรมโดยเฉพาะ
“ผู้ควบคุมข้อมูลส่วนบุคคล” หมายความว่า บุคคลหรือนิติบุคคลซึ่งมีอำนาจหน้าที่ตัดสินใจเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล
“ผู้ประมวลผลข้อมูลส่วนบุคคล” หมายความว่า บุคคลหรือนิติบุคคลซึ่งดำเนินการเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลตามคำสั่งหรือในนามของผู้ควบคุมข้อมูลส่วนบุคคล ทั้งนี้ บุคคลหรือนิติบุคคลซึ่งดำเนินการดังกล่าวไม่เป็นผู้ควบคุมข้อมูลส่วนบุคคล
“บุคคล” หมายความว่า บุคคลธรรมดา
“คณะกรรมการ” หมายความว่า คณะกรรมการคุ้มครองข้อมูลส่วนบุคคล
“พนักงานเจ้าหน้าที่” หมายความว่า ผู้ซึ่งรัฐมนตรีแต่งตั้งให้ปฏิบัติการตามพระราชบัญญัตินี้
“สำนักงาน” หมายความว่า สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล
“เลขาธิการ” หมายความว่า เลขาธิการคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล
“รัฐมนตรี” หมายความว่า รัฐมนตรีผู้รักษาการตามพระราชบัญญัตินี้
ที่มา: พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ มาตรา ๖ (บทนิยาม)
น้องแว่น Kelomn

น้องแว่นสรุปค่ะ

  1. ผู้ควบคุม = คนตัดสินใจ ว่าจะเก็บ ใช้ เปิดเผยข้อมูลอย่างไรค่ะ
  2. ร้านเล็กก็เป็นผู้ควบคุมได้ ถ้าเก็บข้อมูลลูกค้า ก็มีหน้าที่ตามกฎหมาย
  3. ผู้ประมวลผล (ม.๔๐) ทำตามคำสั่ง เป็นคนละบทบาทกับผู้ควบคุมค่ะ
2

หน้าที่ผู้ควบคุมข้อมูล 5 ข้อ ตามมาตรา ๓๗

ตอบสั้น ๆ: มาตรา ๓๗ กำหนดหน้าที่ของผู้ควบคุมข้อมูลไว้ 5 ข้อ หัวใจคือ "ดูแลข้อมูลให้ปลอดภัย ลบเมื่อหมดความจำเป็น และถ้าข้อมูลรั่วต้องรีบแจ้ง" มาดู mind-map กันค่ะ

1มาตรการความปลอดภัยจัดให้มีมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสม และทบทวนเมื่อเทคโนโลยีเปลี่ยน
2คุมต่อเมื่อส่งต่อเมื่อต้องส่งข้อมูลให้คนอื่น ต้องป้องกันไม่ให้เขาใช้/เปิดเผยโดยมิชอบ
3ระบบลบ/ทำลายมีระบบตรวจสอบเพื่อลบหรือทำลายข้อมูลเมื่อพ้นกำหนดหรือถอนความยินยอม
4แจ้งเหตุละเมิดข้อมูลรั่ว ต้องแจ้งสำนักงานภายใน 72 ชั่วโมง (ดูไดอะแกรมด้านล่าง)
5ตั้งตัวแทนในไทยถ้าผู้ควบคุมอยู่นอกราชอาณาจักร (ม.๕ วรรคสอง) ต้องตั้งตัวแทนในประเทศไทย
💡 จำง่าย ๆ: มาตรา ๓๗ มี "5 ข้อพอดี" ค่ะ ไม่มีข้อที่ 6 — ใครเห็นที่ไหนเขียนว่ามี 6 ข้อ ให้รู้เลยว่าคลาดเคลื่อนนะคะ

โฟกัสข้อ 4 — "แจ้งเหตุข้อมูลรั่ว 72 ชั่วโมง" เป็นข้อที่พลาดกันบ่อยที่สุดและโดนปรับเยอะที่สุด ลองดูเป็นไดอะแกรมค่ะ

ขั้น 1รู้ว่ารั่วเริ่มนับเวลาตั้งแต่ "ทราบเหตุ" การละเมิดข้อมูล
ขั้น 2ภายใน 72 ชม.แจ้งเหตุต่อสำนักงานโดยไม่ชักช้า
ขั้น 3เสี่ยงสูง?ถ้าเสี่ยงสูงต่อสิทธิเสรีภาพ ต้องแจ้งเจ้าของข้อมูลพร้อมแนวทางเยียวยาด้วย
มาตรา ๓๗ บัญญัติหน้าที่ผู้ควบคุมข้อมูลไว้ว่า
มาตรา ๓๗ ผู้ควบคุมข้อมูลส่วนบุคคลมีหน้าที่ ดังต่อไปนี้
(๑) จัดให้มีมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสม เพื่อป้องกันการสูญหาย เข้าถึง ใช้ เปลี่ยนแปลง แก้ไข หรือเปิดเผยข้อมูลส่วนบุคคลโดยปราศจากอำนาจหรือโดยมิชอบ และต้องทบทวนมาตรการดังกล่าวเมื่อมีความจำเป็นหรือเมื่อเทคโนโลยีเปลี่ยนแปลงไปเพื่อให้มีประสิทธิภาพในการรักษาความมั่นคงปลอดภัยที่เหมาะสม ทั้งนี้ ให้เป็นไปตามมาตรฐานขั้นต่ำที่คณะกรรมการประกาศกำหนด
(๒) ในกรณีที่ต้องให้ข้อมูลส่วนบุคคลแก่บุคคลหรือนิติบุคคลอื่นที่ไม่ใช่ผู้ควบคุมข้อมูลส่วนบุคคลต้องดำเนินการเพื่อป้องกันมิให้ผู้นั้นใช้หรือเปิดเผยข้อมูลส่วนบุคคลโดยปราศจากอำนาจหรือโดยมิชอบ
(๓) จัดให้มีระบบการตรวจสอบเพื่อดำเนินการลบหรือทำลายข้อมูลส่วนบุคคลเมื่อพ้นกำหนดระยะเวลาการเก็บรักษา หรือที่ไม่เกี่ยวข้องหรือเกินความจำเป็นตามวัตถุประสงค์ในการเก็บรวบรวมข้อมูลส่วนบุคคลนั้น หรือตามที่เจ้าของข้อมูลส่วนบุคคลร้องขอ หรือที่เจ้าของข้อมูลส่วนบุคคลได้ถอนความยินยอม เว้นแต่เก็บรักษาไว้เพื่อวัตถุประสงค์ในการใช้เสรีภาพในการแสดงความคิดเห็น การเก็บรักษาไว้เพื่อวัตถุประสงค์ตามมาตรา ๒๔
(๑) หรือ (๔) หรือมาตรา ๒๖ (๕) (ก) หรือ (ข) การใช้เพื่อการก่อตั้งสิทธิเรียกร้องตามกฎหมาย การปฏิบัติตามหรือการใช้สิทธิเรียกร้องตามกฎหมายหรือการยกขึ้นต่อสู้สิทธิเรียกร้องตามกฎหมาย หรือเพื่อการปฏิบัติตามกฎหมาย ทั้งนี้ ให้นำความในมาตรา ๓๓ วรรคห้า มาใช้บังคับกับการลบหรือทำลายข้อมูลส่วนบุคคลโดยอนุโลม
(๔) แจ้งเหตุการละเมิดข้อมูลส่วนบุคคลแก่สำนักงานโดยไม่ชักช้าภายในเจ็ดสิบสองชั่วโมงนับแต่ทราบเหตุเท่าที่จะสามารถกระทำได้ เว้นแต่การละเมิดดังกล่าวไม่มีความเสี่ยงที่จะมีผลกระทบต่อสิทธิและเสรีภาพของบุคคล ในกรณีที่การละเมิดมีความเสี่ยงสูงที่จะมีผลกระทบต่อสิทธิและเสรีภาพของบุคคล ให้แจ้งเหตุการละเมิดให้เจ้าของข้อมูลส่วนบุคคลทราบพร้อมกับแนวทางการเยียวยาโดยไม่ชักช้าด้วย ทั้งนี้ การแจ้งดังกล่าวและข้อยกเว้นให้เป็นไปตามหลักเกณฑ์และวิธีการที่คณะกรรมการประกาศกำหนด
(๕) ในกรณีที่เป็นผู้ควบคุมข้อมูลส่วนบุคคลตามมาตรา ๕ วรรคสอง ต้องแต่งตั้งตัวแทนของผู้ควบคุมข้อมูลส่วนบุคคลเป็นหนังสือซึ่งตัวแทนต้องอยู่ในราชอาณาจักรและตัวแทนต้องได้รับมอบอำนาจให้กระทำการแทนผู้ควบคุมข้อมูลส่วนบุคคลโดยไม่มีข้อจำกัดความรับผิดใด ๆ ที่เกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลตามวัตถุประสงค์ของผู้ควบคุมข้อมูลส่วนบุคคล
ที่มา: พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ มาตรา ๓๗
น้องแว่น Kelomn

น้องแว่นสรุปค่ะ

  1. หน้าที่มี 5 ข้อ (1–5) ไม่มีข้อ 6 นะคะ จำให้แม่น
  2. หัวใจคือ ปลอดภัย–ลบเมื่อหมดจำเป็น–แจ้งเมื่อรั่ว
  3. ข้อมูลรั่ว แจ้งสำนักงานภายใน 72 ชม. นับแต่ทราบเหตุค่ะ
น้องแว่นนั่งจิบกาแฟอ่านเรื่อง DPO ในร้านกาแฟ Kelomn

รู้จักผู้ควบคุมแล้ว มาทำความรู้จัก "DPO" กันต่อ — กาแฟอีกแก้วไหมคะ?

ส่วนที่ 2  ·  DPO คือใคร ใครต้องมี และมีหน้าที่อะไร

3

DPO คือใคร และใครบ้างที่ "ต้องมี"?

ตอบสั้น ๆ: DPO (Data Protection Officer) หรือ "เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล" คือ คนที่องค์กรแต่งตั้งให้คอยดูแลเรื่อง PDPA ภายในองค์กร ไม่ใช่ทุกองค์กรที่ต้องมี — มาตรา ๔๑ กำหนด 3 กรณีที่ "บังคับต้องมี" ค่ะ

ป้า B ถามว่า "ร้านกาแฟเล็ก ๆ ของป้า ต้องมี DPO ไหม?" — คำตอบคือ โดยทั่วไปไม่ต้องค่ะ เพราะไม่ได้เก็บข้อมูลจำนวนมากหรือข้อมูลอ่อนไหวเป็นกิจกรรมหลัก แต่ถ้าเป็น โรงพยาบาลที่เก็บข้อมูลสุขภาพ หรือ แพลตฟอร์มที่ติดตามพฤติกรรมคนเป็นแสน ๆ ราย แบบนี้ "ต้องมี" DPO ค่ะ

3 กรณีที่ "บังคับต้องมี" DPO ตามมาตรา ๔๑:

(1) หน่วยงานของรัฐหน่วยงานรัฐตามที่คณะกรรมการประกาศกำหนด
(2) ตรวจข้อมูลจำนวนมากกิจกรรมหลักต้องตรวจสอบข้อมูลส่วนบุคคล/ระบบ อย่างสม่ำเสมอ เพราะมีข้อมูลจำนวนมาก
(3) ข้อมูลอ่อนไหวกิจกรรมหลักเป็นการประมวลผลข้อมูลอ่อนไหวตามมาตรา ๒๖

เกณฑ์ "ข้อมูลจำนวนมาก" ตามข้อ (2) ดูได้จากประกาศคณะกรรมการฯ พ.ศ. 2566 (ประกาศ 31 ส.ค. 2566 มีผลประมาณ 90 วันหลังประกาศ) สรุปเป็นตารางพอเข้าใจค่ะ:

ลักษณะองค์กร (เกณฑ์โดยสรุป)เข้าเกณฑ์ต้องมี DPO?
หน่วยงานของรัฐต้องมี
ประมวลผลข้อมูลตั้งแต่ 100,000 รายขึ้นไปต้องมี
ติดตามพฤติกรรมเพื่อโฆษณา/วิเคราะห์อย่างสม่ำเสมอต้องมี
สถาบันการเงิน / ผู้ประมวลผลด้านโทรคมนาคมต้องมี
กิจกรรมหลักเป็นข้อมูลอ่อนไหวต้องมี
ร้านค้าเล็ก เก็บข้อมูลลูกค้าทั่วไปไม่มากไม่บังคับ

(เกณฑ์ตามประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง การจัดให้มีเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลตามมาตรา ๔๑ (๒) พ.ศ. ๒๕๖๖ — สรุปโดยย่อ)

💡 เครือกิจการแชร์ DPO ได้: ถ้าอยู่ในเครือธุรกิจเดียวกัน มาตรา ๔๑ วรรคสองอนุญาตให้จัดให้มี DPO "ร่วมกัน" ได้ ขอแค่ทุกสาขาติดต่อ DPO ได้โดยง่ายค่ะ
มาตรา ๔๑ บัญญัติว่า ใครต้องจัดให้มี DPO
มาตรา ๔๑ ผู้ควบคุมข้อมูลส่วนบุคคลและผู้ประมวลผลข้อมูลส่วนบุคคลต้องจัดให้มีเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลของตน ในกรณีดังต่อไปนี้
(๑) ผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคลเป็นหน่วยงานของรัฐตามที่คณะกรรมการประกาศกำหนด
(๒) การดำเนินกิจกรรมของผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคลในการเก็บรวบรวม ใช้ หรือเปิดเผย จำเป็นต้องตรวจสอบข้อมูลส่วนบุคคลหรือระบบอย่างสม่ำเสมอโดยเหตุที่มีข้อมูลส่วนบุคคลเป็นจำนวนมากตามที่คณะกรรมการประกาศกำหนด
(๓) กิจกรรมหลักของผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคลเป็นการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลตามมาตรา ๒๖
ในกรณีที่ผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคลอยู่ในเครือกิจการหรือเครือธุรกิจเดียวกันเพื่อการประกอบกิจการหรือธุรกิจร่วมกันตามที่คณะกรรมการประกาศกำหนดตามมาตรา ๒๙ วรรคสอง ผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคลดังกล่าวอาจจัดให้มีเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลร่วมกันได้ ทั้งนี้ สถานที่ทำการแต่ละแห่งของผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคลที่อยู่ในเครือกิจการหรือเครือธุรกิจเดียวกันดังกล่าวต้องสามารถติดต่อกับเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลได้โดยง่าย
ความในวรรคสองให้นำมาใช้บังคับแก่ผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคลซึ่งเป็นหน่วยงานของรัฐตาม
(๑) ซึ่งมีขนาดใหญ่หรือมีสถานที่ทำการหลายแห่งโดยอนุโลม
ในกรณีที่ผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคลตามวรรคหนึ่งต้องแต่งตั้งตัวแทนตามมาตรา ๓๗ (๕) ให้นำความในวรรคหนึ่งมาใช้บังคับแก่ตัวแทนโดยอนุโลม
ผู้ควบคุมข้อมูลส่วนบุคคลและผู้ประมวลผลข้อมูลส่วนบุคคลมีหน้าที่ต้องแจ้งข้อมูลเกี่ยวกับเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล สถานที่ติดต่อ และวิธีการติดต่อให้เจ้าของข้อมูลส่วนบุคคลและสำนักงานทราบ ทั้งนี้ เจ้าของข้อมูลส่วนบุคคลสามารถติดต่อเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลและการใช้สิทธิของเจ้าของข้อมูลส่วนบุคคลตามพระราชบัญญัตินี้ได้
คณะกรรมการอาจประกาศกำหนดคุณสมบัติของเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลได้ โดยคำนึงถึงความรู้หรือความเชี่ยวชาญเกี่ยวกับการคุ้มครองข้อมูลส่วนบุคคล
เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลอาจเป็นพนักงานของผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคลหรือเป็นผู้รับจ้างให้บริการตามสัญญากับผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคลก็ได้
ที่มา: พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ มาตรา ๔๑
น้องแว่น Kelomn

น้องแว่นสรุปค่ะ

  1. ไม่ใช่ทุกองค์กรต้องมี มาตรา ๔๑ กำหนด 3 กรณีบังคับค่ะ
  2. รัฐ / ข้อมูลมาก / ข้อมูลอ่อนไหว (ม.๒๖) = ต้องมี
  3. เกณฑ์ “จำนวนมาก” ดูประกาศ พ.ศ. 2566 เช่น ตั้งแต่ 100,000 รายค่ะ
4

หน้าที่ DPO 4 ข้อ และสิทธิที่กฎหมายคุ้มครอง ตามมาตรา ๔๒

ตอบสั้น ๆ: มาตรา ๔๒ ให้ DPO มีหน้าที่ 4 ข้อ คือ ให้คำแนะนำ–ตรวจสอบ–ประสานงานกับสำนักงาน–รักษาความลับ และที่สำคัญ กฎหมายห้ามองค์กรไล่ DPO ออกเพราะทำหน้าที่ตามกฎหมาย ค่ะ

หน้าที่ DPO (ม.๔๒)
① ให้คำแนะนำแนะนำองค์กร พนักงาน ผู้รับจ้าง เรื่องการปฏิบัติตาม PDPA
② ตรวจสอบตรวจการเก็บ ใช้ เปิดเผยข้อมูล ให้เป็นไปตามกฎหมาย
③ ประสานงานประสานและร่วมมือกับสำนักงานเมื่อมีปัญหา
④ รักษาความลับรักษาความลับข้อมูลที่ล่วงรู้จากการทำหน้าที่

🛡️ เกราะคุ้มครอง DPO: มาตรา ๔๒ วรรคสาม ระบุว่า องค์กร "จะให้ DPO ออกจากงานหรือเลิกสัญญาจ้างเพราะเหตุที่ DPO ปฏิบัติหน้าที่ตามกฎหมายนี้ไม่ได้" และเมื่อมีปัญหา DPO ต้องรายงานตรงถึง ผู้บริหารสูงสุด ได้ค่ะ — นี่คือหลักประกันความเป็นอิสระของ DPO

💡 DPO ทำงานอื่นควบได้: แต่องค์กรต้องรับรองต่อสำนักงานว่างานอื่นนั้นไม่ขัดหรือแย้งกับการทำหน้าที่ DPO นะคะ
มาตรา ๔๒ บัญญัติหน้าที่และความคุ้มครอง DPO ว่า
มาตรา ๔๒ เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลมีหน้าที่ ดังต่อไปนี้
(๑) ให้คำแนะนำแก่ผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคล รวมทั้งลูกจ้างหรือผู้รับจ้างของผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคลเกี่ยวกับการปฏิบัติตามพระราชบัญญัตินี้
(๒) ตรวจสอบการดำเนินงานของผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคล รวมทั้งลูกจ้างหรือผู้รับจ้างของผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคลเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลเพื่อให้เป็นไปตามพระราชบัญญัตินี้
(๓) ประสานงานและให้ความร่วมมือกับสำนักงานในกรณีที่มีปัญหาเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลของผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคล รวมทั้งลูกจ้างหรือผู้รับจ้างของผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคลในการปฏิบัติตามพระราชบัญญัตินี้
(๔) รักษาความลับของข้อมูลส่วนบุคคลที่ตนล่วงรู้หรือได้มาเนื่องจากการปฏิบัติหน้าที่ตามพระราชบัญญัตินี้
ผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคลต้องสนับสนุนการปฏิบัติหน้าที่ของเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลโดยจัดหาเครื่องมือหรืออุปกรณ์อย่างเพียงพอ รวมทั้งอำนวยความสะดวกในการเข้าถึงข้อมูลส่วนบุคคลเพื่อการปฏิบัติหน้าที่
ผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคลจะให้เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลออกจากงานหรือเลิกสัญญาการจ้างด้วยเหตุที่เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลปฏิบัติหน้าที่ตามพระราชบัญญัตินี้ไม่ได้ ทั้งนี้ ในกรณีที่มีปัญหาในการปฏิบัติหน้าที่ เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลต้องสามารถรายงานไปยังผู้บริหารสูงสุดของผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคลโดยตรงได้
เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลอาจปฏิบัติหน้าที่หรือภารกิจอื่นได้ แต่ผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคลต้องรับรองกับสำนักงานว่าหน้าที่หรือภารกิจดังกล่าวต้องไม่ขัดหรือแย้งต่อการปฏิบัติหน้าที่ตามพระราชบัญญัตินี้
ที่มา: พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ มาตรา ๔๒
น้องแว่น Kelomn

น้องแว่นสรุปค่ะ

  1. DPO มีหน้าที่ 4 ข้อ แนะนำ–ตรวจสอบ–ประสานงาน–รักษาความลับค่ะ
  2. ห้ามไล่ DPO ออก เพราะเหตุที่ทำหน้าที่ตามกฎหมาย
  3. รายงานตรงถึงผู้บริหารสูงสุดได้ เพื่อความเป็นอิสระค่ะ

ส่วนที่ 3  ·  เทียบ 3 บทบาท เคสจริง และโทษถ้าละเลย

5

สรุปภาพรวม: เทียบ 3 บทบาท Controller · Processor · DPO

ตอบสั้น ๆ: 3 บทบาทนี้ทำงานคนละหน้าที่ค่ะ — ผู้ควบคุม "ตัดสินใจ", ผู้ประมวลผล "ทำตามคำสั่ง", DPO "กำกับดูแล" มาดูตารางเทียบให้เห็นภาพชัด ๆ

หัวข้อผู้ควบคุมข้อมูล (Controller)ผู้ประมวลผล (Processor)DPO
บทบาทหลักตัดสินใจ & รับผิดชอบทำตามคำสั่งผู้ควบคุมกำกับดูแลภายใน
ตัวอย่างร้านค้า รพ. นายจ้างผู้รับจ้างประมวลผล/คลาวด์พนักงานหรือผู้รับจ้างที่ถูกตั้ง
จำแบบกฎหมายตัดสินใจแล้วต้องดูแลข้อมูลทำตามคำสั่ง ถ้าทำเกินอาจกลายเป็นผู้ควบคุมให้คำแนะนำ ตรวจสอบ และรายงานตรงผู้บริหาร
รับผิดแทนองค์กรไหมรับผิดชอบเต็มรับผิดตามขอบเขตไม่รับผิดแทน (กำกับดูแล)

(อ้างอิงจากบทนิยาม มาตรา ๖, หน้าที่ผู้ควบคุม มาตรา ๓๗, ผู้ประมวลผล มาตรา ๔๐ และ DPO มาตรา ๔๑ มาตรา ๔๒)

💡 จำง่าย ๆ: Controller "สั่ง" · Processor "ทำ" · DPO "ตรวจ" — DPO เป็นที่ปรึกษาและผู้ตรวจสอบ ไม่ใช่คนรับผิดแทนองค์กรค่ะ
หน้าที่ผู้ประมวลผลข้อมูล มาตรา ๔๐ บัญญัติว่า
มาตรา ๔๐ ผู้ประมวลผลข้อมูลส่วนบุคคลมีหน้าที่ ดังต่อไปนี้
(๑) ดำเนินการเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลตามคำสั่งที่ได้รับจากผู้ควบคุมข้อมูลส่วนบุคคลเท่านั้น เว้นแต่คำสั่งนั้นขัดต่อกฎหมายหรือบทบัญญัติในการคุ้มครองข้อมูลส่วนบุคคลตามพระราชบัญญัตินี้
(๒) จัดให้มีมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสม เพื่อป้องกันการสูญหาย เข้าถึง ใช้ เปลี่ยนแปลง แก้ไข หรือเปิดเผยข้อมูลส่วนบุคคลโดยปราศจากอำนาจหรือโดยมิชอบ รวมทั้งแจ้งให้ผู้ควบคุมข้อมูลส่วนบุคคลทราบถึงเหตุการละเมิดข้อมูลส่วนบุคคลที่เกิดขึ้น
(๓) จัดทำและเก็บรักษาบันทึกรายการของกิจกรรมการประมวลผลข้อมูลส่วนบุคคลไว้ตามหลักเกณฑ์และวิธีการที่คณะกรรมการประกาศกำหนด
ผู้ประมวลผลข้อมูลส่วนบุคคลซึ่งไม่ปฏิบัติตาม
(๑) สำหรับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลใด ให้ถือว่าผู้ประมวลผลข้อมูลส่วนบุคคลเป็นผู้ควบคุมข้อมูลส่วนบุคคลสำหรับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลนั้น
การดำเนินงานตามหน้าที่ของผู้ประมวลผลข้อมูลส่วนบุคคลตามที่ได้รับมอบหมายจากผู้ควบคุมข้อมูลส่วนบุคคลตามวรรคหนึ่ง ผู้ควบคุมข้อมูลส่วนบุคคลต้องจัดให้มีข้อตกลงระหว่างกัน เพื่อควบคุมการดำเนินงานตามหน้าที่ของผู้ประมวลผลข้อมูลส่วนบุคคลให้เป็นไปตามพระราชบัญญัตินี้
ความใน (๓) อาจยกเว้นมิให้นำมาใช้บังคับกับผู้ประมวลผลข้อมูลส่วนบุคคลซึ่งเป็นกิจการขนาดเล็กตามหลักเกณฑ์ที่คณะกรรมการประกาศกำหนด เว้นแต่มีการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลที่มีความเสี่ยงที่จะมีผลกระทบต่อสิทธิและเสรีภาพของเจ้าของข้อมูลส่วนบุคคล หรือมิใช่กิจการที่เก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลเป็นครั้งคราว หรือมีการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลตามมาตรา ๒๖
ที่มา: พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ มาตรา ๔๐
น้องแว่น Kelomn

น้องแว่นสรุปค่ะ

  1. Controller สั่ง · Processor ทำ · DPO ตรวจ จำแค่นี้ก็แยกออกค่ะ
  2. ความรับผิดหลักอยู่ที่ผู้ควบคุม (ม.๓๗) ไม่ใช่ที่ DPO
  3. ผู้ประมวลผลที่ทำเกินคำสั่ง อาจถูกถือเป็นผู้ควบคุมเองตาม ม.๔๐ ค่ะ
6

เคสจริง (ตามรายงานข่าว): PDPA บังคับใช้จริง มีค่าปรับจริง

ตอบสั้น ๆ: หลายคนยังคิดว่า PDPA เป็นแค่กระดาษ แต่ ตามรายงานข่าว มีการออก "คำสั่งปรับทางปกครอง" จริงหลายเคสแล้วค่ะ และประเด็นที่โดนซ้ำ ๆ คือ "ไม่ตั้ง DPO" กับ "แจ้งเหตุข้อมูลรั่วช้าเกิน 72 ชม."

ตารางนี้สรุป ตามรายงานข่าว (อ้างจากการแถลงข่าวของสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล) โดยปกปิดชื่อองค์กรไว้นะคะ — เป็น "คำสั่งปรับทางปกครอง" ไม่ใช่คำพิพากษาศาล จึงไม่มีเลขคดี เน้นให้เห็นว่า "การนิ่งเฉยมีราคา" ค่ะ

เคส (ปกปิดชื่อ)ค่าปรับวันที่ประเด็นหลัก
ผู้ค้าปลีกไอทีออนไลน์รายใหญ่7,000,000 บาทส.ค. 2567ไม่ตั้ง DPO ทั้งที่เข้าเกณฑ์ + มาตรการไม่พอ + แจ้งเหตุล่าช้า; ข้อมูลลูกค้ากว่า 100,000 รายรั่วไปแก๊งคอลเซ็นเตอร์
โรงพยาบาลเอกชน (เวชระเบียน)1,210,000 บาทส.ค. 2568ข้อมูลสุขภาพต้องดูแลเข้ม แต่การทำลายเอกสารและการแจ้งเหตุยังไม่พอ
ชุดรวม 5 เคส / 8 คำสั่งราว 21,500,000 บาท1 ส.ค. 2568ประเด็นซ้ำคือไม่แจ้งเหตุภายใน 72 ชม. และขาดมาตรการควบคุม

ที่มา: ตามรายงานข่าว (อ้างจากการแถลงข่าวของสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล) — ปกปิดชื่อองค์กร เป็นคำสั่งปรับทางปกครอง ไม่ใช่คำพิพากษา

💡 บทเรียนสำคัญ: เคสที่ค่าปรับสูง มักมาจาก "ละเลยหลายข้อพร้อมกัน" — ไม่ตั้ง DPO ทั้งที่เข้าเกณฑ์ + มาตรการอ่อน + แจ้งเหตุช้า การเตรียมตัวตั้งแต่วันนี้ถูกกว่าค่าปรับมากค่ะ
น้องแว่น Kelomn

น้องแว่นสรุปค่ะ

  1. PDPA บังคับใช้จริง มีคำสั่งปรับทางปกครองจริงตามรายงานข่าวค่ะ
  2. ประเด็นซ้ำคือ ม.๓๗(๔) แจ้งเหตุช้า และ ม.๔๑ ไม่ตั้ง DPO
  3. การนิ่งเฉย/ละเลย = เสี่ยงโทษหนัก เตรียมตัวไว้ดีกว่าค่ะ
7

โทษถ้าละเลย: ปรับทางปกครอง + โทษอาญา

ตอบสั้น ๆ: โทษ PDPA มี 2 แบบค่ะ — "ปรับทางปกครอง" (คณะกรรมการผู้เชี่ยวชาญสั่งปรับ) กับ "โทษอาญา" (จำคุก/ปรับ) มาดูว่ามาตราไหนใช้กับเรื่องอะไร

ความเสี่ยงจำง่ายเพดานโทษเมื่อมักเจอ
ปรับทางปกครองละเลยหน้าที่พื้นฐานปรับไม่เกิน 3 ล้านบาทมาตรการไม่พอ / ไม่แจ้งเหตุ 72 ชม.
ปรับทางปกครองขั้นสูงข้อมูลอ่อนไหวต้องเข้มกว่าเดิมปรับไม่เกิน 5 ล้านบาทข้อมูลสุขภาพ ชีวภาพ ศาสนา หรือข้อมูลอ่อนไหวอื่น
โทษอาญาทำให้เสียหายหรือหาประโยชน์มิชอบจำคุก/ปรับ สูงสุด 1 ปี / 1 ล้านใช้หรือเปิดเผยข้อมูลอ่อนไหวผิดทาง
โทษอาญาจากความลับรู้จากหน้าที่แล้วเอาไปเปิดเผยจำคุกไม่เกิน 6 เดือน / ปรับไม่เกิน 5 แสนคนทำหน้าที่ รวมถึง DPO เปิดเผยข้อมูล

(อ้างอิงจากมาตรา ๗๙ มาตรา ๘๐ มาตรา ๘๓ มาตรา ๘๔ และปัจจัยการพิจารณาตามมาตรา ๙๐ พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒)

💡 ปรับเท่าไรไม่ใช่ตายตัว: มาตรา ๙๐ ให้คณะกรรมการผู้เชี่ยวชาญพิจารณา "ความร้ายแรง" และ "ขนาดกิจการ" ประกอบ และอาจสั่งให้แก้ไขหรือตักเตือนก่อนได้ค่ะ
โทษปรับทางปกครองหลัก มาตรา ๘๓ และ ๘๔ บัญญัติว่า
มาตรา ๘๓ ผู้ควบคุมข้อมูลส่วนบุคคลผู้ใดฝ่าฝืนหรือไม่ปฏิบัติตามมาตรา ๒๑ มาตรา ๒๒ มาตรา ๒๔ มาตรา ๒๕ วรรคหนึ่ง มาตรา ๒๗ วรรคหนึ่งหรือวรรคสอง มาตรา ๒๘ มาตรา ๓๒ วรรคสอง หรือมาตรา ๓๗ หรือขอความยินยอมโดยการหลอกลวงหรือทำให้เจ้าของข้อมูลส่วนบุคคลเข้าใจผิดในวัตถุประสงค์ หรือไม่ปฏิบัติตามมาตรา ๒๑ ซึ่งได้นำมาใช้บังคับโดยอนุโลมตามมาตรา ๒๕ วรรคสอง หรือส่งหรือโอนข้อมูลส่วนบุคคลโดยไม่เป็นไปตามมาตรา ๒๙ วรรคหนึ่งหรือวรรคสาม ต้องระวางโทษปรับทางปกครองไม่เกินสามล้านบาท
มาตรา ๘๔ ผู้ควบคุมข้อมูลส่วนบุคคลผู้ใดฝ่าฝืนมาตรา ๒๖ วรรคหนึ่งหรือวรรคสาม หรือฝ่าฝืนมาตรา ๒๗ วรรคหนึ่งหรือวรรคสอง หรือมาตรา ๒๘ อันเกี่ยวกับข้อมูลส่วนบุคคลตามมาตรา ๒๖ หรือส่งหรือโอนข้อมูลส่วนบุคคลตามมาตรา ๒๖ โดยไม่เป็นไปตามมาตรา ๒๙ วรรคหนึ่งหรือวรรคสาม ต้องระวางโทษปรับทางปกครองไม่เกินห้าล้านบาท
ที่มา: พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ มาตรา ๘๓, ๘๔
โทษอาญา มาตรา ๗๙ และ ๘๐ บัญญัติว่า
มาตรา ๗๙ ผู้ควบคุมข้อมูลส่วนบุคคลผู้ใดฝ่าฝืนมาตรา ๒๗ วรรคหนึ่งหรือวรรคสอง หรือไม่ปฏิบัติตามมาตรา ๒๘ อันเกี่ยวกับข้อมูลส่วนบุคคลตามมาตรา ๒๖ โดยประการที่น่าจะทำให้ผู้อื่นเกิดความเสียหาย เสียชื่อเสียง ถูกดูหมิ่น ถูกเกลียดชัง หรือได้รับความอับอาย ต้องระวางโทษจำคุกไม่เกินหกเดือน หรือปรับไม่เกินห้าแสนบาท หรือทั้งจำทั้งปรับ
ผู้ควบคุมข้อมูลส่วนบุคคลผู้ใดฝ่าฝืนมาตรา ๒๗ วรรคหนึ่งหรือวรรคสอง หรือไม่ปฏิบัติตามมาตรา ๒๘ อันเกี่ยวกับข้อมูลส่วนบุคคลตามมาตรา ๒๖ เพื่อแสวงหาประโยชน์ที่มิควรได้โดยชอบด้วยกฎหมายสำหรับตนเองหรือผู้อื่น ต้องระวางโทษจำคุกไม่เกินหนึ่งปี หรือปรับไม่เกินหนึ่งล้านบาท หรือทั้งจำทั้งปรับ
ความผิดตามมาตรานี้เป็นความผิดอันยอมความได้
มาตรา ๘๐ ผู้ใดล่วงรู้ข้อมูลส่วนบุคคลของผู้อื่นเนื่องจากการปฏิบัติหน้าที่ตามพระราชบัญญัตินี้ ถ้าผู้นั้นนำไปเปิดเผยแก่ผู้อื่น ต้องระวางโทษจำคุกไม่เกินหกเดือน หรือปรับไม่เกินห้าแสนบาท หรือทั้งจำทั้งปรับ
ความในวรรคหนึ่ง มิให้นำมาใช้บังคับแก่การเปิดเผย ในกรณีดังต่อไปนี้
(๑) การเปิดเผยตามหน้าที่
(๒) การเปิดเผยเพื่อประโยชน์แก่การสอบสวน หรือการพิจารณาคดี
(๓) การเปิดเผยแก่หน่วยงานของรัฐในประเทศหรือต่างประเทศที่มีอำนาจหน้าที่ตามกฎหมาย
(๔) การเปิดเผยที่ได้รับความยินยอมเป็นหนังสือเฉพาะครั้งจากเจ้าของข้อมูลส่วนบุคคล
(๕) การเปิดเผยข้อมูลส่วนบุคคลที่เกี่ยวกับการฟ้องร้องคดีต่าง ๆ ที่เปิดเผยต่อสาธารณะ
ที่มา: พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ มาตรา ๗๙, ๘๐
ปัจจัยการพิจารณาโทษปรับ มาตรา ๙๐ บัญญัติว่า
มาตรา ๙๐ คณะกรรมการผู้เชี่ยวชาญมีอำนาจสั่งลงโทษปรับทางปกครองตามที่กำหนดไว้ในส่วนนี้ ทั้งนี้ ในกรณีที่เห็นสมควรคณะกรรมการผู้เชี่ยวชาญจะสั่งให้แก้ไขหรือตักเตือนก่อนก็ได้
ในการพิจารณาออกคำสั่งลงโทษปรับทางปกครอง ให้คณะกรรมการผู้เชี่ยวชาญคำนึงถึงความร้ายแรงแห่งพฤติกรรมที่กระทำผิด ขนาดกิจการของผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคล หรือพฤติการณ์ต่าง ๆ ประกอบด้วย ทั้งนี้ ตามหลักเกณฑ์ที่คณะกรรมการกำหนด
ในกรณีที่ผู้ถูกลงโทษปรับทางปกครองไม่ยอมชำระค่าปรับทางปกครอง ให้นำบทบัญญัติเกี่ยวกับการบังคับทางปกครองตามกฎหมายว่าด้วยวิธีปฏิบัติราชการทางปกครองมาใช้บังคับโดยอนุโลม และในกรณีที่ไม่มีเจ้าหน้าที่ดำเนินการบังคับตามคำสั่ง หรือมีแต่ไม่สามารถดำเนินการบังคับทางปกครองได้ ให้คณะกรรมการผู้เชี่ยวชาญมีอำนาจฟ้องคดีต่อศาลปกครองเพื่อบังคับชำระค่าปรับ ในการนี้ ถ้าศาลปกครองเห็นว่าคำสั่งให้ชำระค่าปรับนั้นชอบด้วยกฎหมาย ให้ศาลปกครองมีอำนาจพิจารณาพิพากษา และบังคับให้มีการยึดหรืออายัดทรัพย์สินขายทอดตลาดเพื่อชำระค่าปรับได้
คำสั่งลงโทษปรับทางปกครองและคำสั่งในการบังคับทางปกครอง ให้นำความในมาตรา ๗๔ วรรคหก มาใช้บังคับโดยอนุโลม และให้นำความในมาตรา ๗๔ วรรคสี่ มาใช้บังคับกับการบังคับทางปกครองตามวรรคสามโดยอนุโลม
ที่มา: พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ มาตรา ๙๐
น้องแว่น Kelomn

น้องแว่นสรุปค่ะ

  1. ปรับทางปกครอง: ม.๘๓ ไม่เกิน 3 ล้าน · ม.๘๔ ไม่เกิน 5 ล้าน ค่ะ
  2. โทษอาญา: ม.๗๙ และ ม.๘๐ มีทั้งจำและปรับ
  3. ม.๙๐ ดูความร้ายแรง+ขนาดกิจการ และอาจตักเตือนก่อนได้ค่ะ

หัวใจของเรื่องนี้คือ — องค์กรเป็นผู้ "รับผิดชอบ" ส่วน DPO เป็นผู้ "กำกับดูแล" คนละบทบาทกัน และ "ไม่ใช่ทุกองค์กรต้องมี DPO" แต่ทุกองค์กรที่เก็บข้อมูล "ต้องทำหน้าที่ตามมาตรา ๓๗" ค่ะ

  • ผู้ควบคุมข้อมูลคนที่ตัดสินใจเก็บ/ใช้/เปิดเผยข้อมูล — มีหน้าที่ตาม ม.๓๗  ดูข้อ 1
  • แจ้งเหตุ 72 ชม.ข้อมูลรั่ว ต้องแจ้งสำนักงานภายใน 72 ชั่วโมง (ม.๓๗(๔))  ดูข้อ 2
  • ใครต้องมี DPOรัฐ / ข้อมูลจำนวนมาก / ข้อมูลอ่อนไหว ม.๒๖ (ม.๔๑ + ประกาศ 2566)  ดูข้อ 3
  • เกราะคุ้มครอง DPOห้ามไล่ออกเพราะทำหน้าที่ + รายงานตรงผู้บริหารสูงสุด (ม.๔๒)  ดูข้อ 4
  • 3 บทบาทController สั่ง · Processor ทำ · DPO ตรวจ  ดูข้อ 5
  • โทษถ้าละเลยปรับปกครอง ม.๘๓ (3 ล้าน) / ม.๘๔ (5 ล้าน) + อาญา ม.๗๙, ๘๐  ดูข้อ 7

✅ Checklist ผู้ควบคุมข้อมูล

  • มีมาตรการความปลอดภัยที่เหมาะสม
  • มีระบบลบ/ทำลายข้อมูลเมื่อหมดจำเป็น
  • มีขั้นตอนแจ้งเหตุภายใน 72 ชม.
  • ทำข้อตกลงกับผู้ประมวลผล

✅ Checklist เรื่อง DPO

  • ประเมินว่าเข้า 3 กรณีบังคับไหม (ม.๔๑)
  • ถ้าเข้าเกณฑ์ แต่งตั้ง DPO + แจ้งสำนักงาน
  • ให้ DPO เป็นอิสระ รายงานผู้บริหารสูงสุดได้
  • สนับสนุนเครื่องมือให้ DPO ทำงาน

เรื่อง PDPA ดูเหมือนยุ่งยาก แต่ถ้าเริ่มจาก "รู้บทบาทตัวเอง" ว่าเราเป็นผู้ควบคุมหรือผู้ประมวลผล แล้วทำตามหน้าที่ทีละข้อ ก็จะไม่น่ากลัวเท่าไรค่ะ ถ้ากิจการมีรายละเอียดซับซ้อนหรือไม่แน่ใจว่าต้องมี DPO ไหม แนะนำให้ปรึกษาทนายความหรือผู้เชี่ยวชาญด้าน PDPA โดยตรงนะคะ

อ้างอิง  ·  ① ม.๖ (บทนิยามผู้ควบคุม/ผู้ประมวลผล)  ·  ② ม.๓๗ (หน้าที่ผู้ควบคุม 5 ข้อ)  ·  ③ ม.๔๐ (หน้าที่ผู้ประมวลผล)  ·  ④ ม.๔๑ (ใครต้องมี DPO)  ·  ⑤ ม.๔๒ (หน้าที่+เกราะคุ้มครอง DPO)  ·  ⑥ ม.๒๖ (ข้อมูลอ่อนไหว)  ·  ⑦ ม.๘๓ (ปรับ 3 ล้าน)  ·  ⑧ ม.๘๔ (ปรับ 5 ล้าน)  ·  ⑨ ม.๗๙, ม.๘๐ (โทษอาญา)  ·  ⑩ ม.๙๐ (ปัจจัยพิจารณาโทษปรับ)

ถ้าข้อมูลนี้เป็นประโยชน์ ให้ส่ง กาแฟและขนมปัง ให้เป็นกำลังใจ

กดให้กาแฟ หรือ ขนมปัง สัก 1 อย่างไหมคะ?

ทานกาแฟ ไปแล้ว 18 แก้ว · ทานขนมปัง ไปแล้ว 1 แผ่น

อ่านต่อในชุด PDPA และข้อมูลส่วนบุคคล

กลับหน้าหลัก PDPA และข้อมูลส่วนบุคคล 128 Checklist มาตรฐานใหม่ PDPA ใบรับรอง PDPA มาแล้ว จะขอยังไง? ข้อมูลลูกค้ารั่ว กรรมการรับผิด PDPA แค่ไหน ข้อมูลลูกค้ารั่ว ธุรกิจต้องทำอะไรตาม PDPA

💛 หมายเหตุจาก Kelomn: บทความนี้จัดทำขึ้นเพื่อเป็นข้อมูลความรู้ทั่วไปด้านกฎหมายธุรกิจและกฎหมายที่เกี่ยวข้อง ไม่ใช่คำปรึกษาทางกฎหมายเฉพาะกรณี และไม่สามารถใช้แทนการปรึกษาผู้เชี่ยวชาญได้ หากมีประเด็นทางกฎหมายที่ต้องการความชัดเจน ควรตรวจตัวบทฉบับเป็นทางการและขอคำปรึกษาจากผู้เชี่ยวชาญที่เกี่ยวข้อง ตัวบทกฎหมายทางการสามารถดูได้ที่ สำนักงานคณะกรรมการกฤษฎีกา (OCS) — Kelomn · AI Legal Research Project · Business Law for the Business Life

รับอัปเดตกฎหมายธุรกิจจาก Kelomn

ติดตามบทความใหม่ เครื่องมือ KKB และสรุปประเด็นกฎหมายธุรกิจที่ควรรู้จากหน้านี้ได้ต่อใน KKB Fans

สมัครรับข่าว ติดต่อทีม Kelomn