PDPA พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล เรื่องใกล้ตัวเรากว่าที่คิด

บรษิ ทั โงวฮก จาํ กดั

เชิญชวนเพือนๆชาวโงวฮก มารู้จักกับ พ.ร.บ. คุ้มครองคุ้มครองข้อมูลส่วนบุคคล

ปจจุบันเรามีการให้ข้อมูลส่วนบุคคลในหลายรูปเเบบ หรอื ทังทีไม่เคยให้
เเต่ก็ยังมีบุคคลหรอื นิติบุคคลทีได้ข้อมูลของท่านไปโดยไม่ถูกต้อง เชือว่าทุกท่านคงเคยมี

ประสบการณ์ทีบรษิ ัทประกันโทรมาขายประกัน หรอื ธนาคารโทรมาขายบัตรเครดิต
ทังทีเราไม่เคยให้ข้อมูลส่วนบุคคลกับบรษิ ัทเหล่านันเลย

ดังนันต้องมาเรยี นรูเ้ เล้วว่ากฎหมายฉบับนีจะเข้ามาช่วยพวกเราชาวโงวฮกได้อย่างไร

พ.ร.บ.คุม้ ครองขอ้ มูลส่วนบคุ คล คอื ?

คือ กฎหมายทีมีวัตถุประสงค์ในการคุ้มครองข้อมูลส่วนบุคคลไม่ให้ถูก
นาํ ไปใช้ประโยชน์ด้านอืนๆ เเละปองกันแก้ไขปญหาการล่วงละเมิดสิทธิทีอาจ
เกิดขึนเพือคุ้มครองไม่ให้มีการก่อความเดือดร้อนราํ คาญ หรือสร้างความเสียหาย
ให้แก่เจ้าของข้อมูลส่วนบุคคล

บรษิ ทั โงวฮก จาํ กดั

เหตผุ ลในการประกาศใช้ PDPA เนืองมาจากเทคโนโลยมี ีความก้าวหน้าขนึ
ชอ่ งทางสอื สารต่างๆมีหลากหลายขนึ ทําให้การละเมิดสทิ ธคิ วามเปนสว่ นตัวของ
ขอ้ มูลสว่ นบุคคลทําได้ง่ายขนึ และหลายครงั ก็นํามาซงึ ความเดือดรอ้ นราํ คาญ หรอื
สรา้ งความเสยี หายให้แก่เจ้าของขอ้ มูล เชน่ จากขา่ วทีแพลตฟอรม์ ยกั ษ์ใหญอ่ ยา่ ง
Facebook โดนค่าปรบั มหาศาล หรอื บรษิ ัทต่างๆ ทีโดนฟองเรอื งการละเมิดสทิ ธิ
สว่ นบุคคล โดยการนําขอ้ มูลเชงิ ลึกไปใชห้ รอื ออกมาขายโดยไมไ่ ด้รบั อนุญาต

ดังนันจึงต้องมีกฎหมายว่าด้วยการค้มุ ครองขอ้ มูลสว่ นบุคคลขนึ เพอื กําหนด
หลักเกณฑ์ กลไก หรอื มาตรการกํากับดแู ล เกียวกับการให้ความค้มุ ครองขอ้ มูล
สว่ นบุคคลทีรวมถึงการเก็บรวบรวม ใช้ หรอื เปดเผยขอ้ มูลสว่ นบุคคลขนึ

พระราชบญั ญตั ิค้มุ ครองขอ้ มลู สว่ นบุคคล
พ.ศ.2562 จะมีผลบงั คับใชอ้ ยา่ งเต็มรูปแบบ
ในวันที 1 มถิ นุ ายน พ.ศ. 2565 ทําให้องค์กร
ธุรกิจขนาดเล็กไปจนถึงขนาดใหญ่ จะต้อง
ปรบั ตัวให้สอดคล้องกับกฎหมายดังกล่าว
เพอื เตรยี มการปองกันไมใ่ ห้เกิดการนําขอ้ มูลไป
ใชใ้ นทางทีผิดกฎหมาย

การประมวลผลข้อมูลส่วนบุคคล โดยชอบด้วยกฎหมาย โปรง่ ใส และตรวจสอบได้
(Lawfulness Fairness and Transparency)

ในฐานะทีโงวฮกมีการประมวลผลข้อมูลส่วนบุคคล ดังนันการประมวลผลต้อง
สมเหตุสมผล ไม่ละเมิดสิทธิและประโยชน์ของพนักงาน และต้องแสดงรายละเอียด
การประมวลผลข้อมูลส่วนบุคคลอย่างชัดเจน ด้วยภาษาทีง่ายต่อความเข้าใจ ไม่ซับ
ซ้อนหรือไม่ทําให้เกิดความเข้าใจผิดได้ง่าย

การประมวลผลข้อมูลส่วนบคุ คล หมายถงึ การเกบ็ รวบรวม ใช้
หรอื เปดเผย ข้อมลู ส่วนบุคคล

การประมวลผลข้อมูลส่วนบุคคลตามวัตถุประสงค์อันชอบด้วยกฎหมาย
(Purpose Limitation)

การเก็บรวบรวมข้อมูลส่วนบุคคลควรเก็บเฉพาะข้อมูลทีเกียวข้อง และจําเปน
เพือประมวลผลข้อมูลส่วนบุคคลตามวัตถุประสงค์อันชอบด้วยกฎหมาย เช่น โงวฮกมี
การเก็บข้อมูลส่วนบุคคลของพนักงานตังเเต่สมัครงาน เพือใช้พิจารณาการรับเข้าทํางาน
ซึงข้อมูลดังกล่าวจะไม่ถูกนําไปใช้เพือวัตถุประสงค์อืน

การประมวลผลข้อมูลส่วนบุคคลเท่าทีจาํ เปน เกียวข้อง และจาํ กัดตาม
วัตถุประสงค์ (Data Minimization)

โงวฮกได้มีการเก็บรักษา ลบ หรือทําลายข้อมูลส่วนบุคคลบางส่วน เท่าทีจําเปน
เกียวข้อง และทําตามวัตถุประสงค์ เพือประโยชน์ของพนักงานเปนหลัก

ข้อมูลส่วนบุคคลต้องมี ความถูกต้อง สมบูรณ์ และเปนปจจุบัน (Accuracy)

เมือพนักงานมีความต้องจะเปลียนข้อมูลส่วนบุคคลให้ถูกต้อง สมบูรณ์ เเละ
เปนปจจุบัน สามารถเเจ้งได้ทีฝาย HR ทันที

การเก็บรกั ษาข้อมูลส่วนบุคคลเท่าทีจาํ เปน ตามระยะเวลาทีเหมาะสม
หรอื ตามระยะเวลาทีกฎหมายกาํ หนด (Storage Limitation)

โงวฮกได้มีการเก็บรักษาข้อมูลส่วนบุคคลบางส่วนของพนักงานเท่าทีจําเปนตาม
ระยะเวลาทีเหมาะสม เเละตามวัตถุประสงค์ในการประมวลผลข้อมูลส่วนบุคคล

มีการรกั ษาความปลอดภัยของข้อมูลส่วนบุคคล
(Integrity and Confidentiality)

ฝาย HR บริษัทโงวฮกได้มีการรักษาความปลอดภัยข้อมูลส่วนบุคคลของพนักงาน
เช่นกัน โดยการเก็บเอกสารทีมีข้อมูลส่วนบุคคลในตู้ล็อค ระบุรหัสผ่านเมือต้องเข้าใช้
โปรเเกรม เเละจํากัดสิทธิการเข้าถึงข้อมูล

หน้าทีและความรบั ผิดชอบในการประมวลผลข้อมูลส่วนบุคคล
(Accountability)

โงวฮกมีหน้าทีและความรับผิดชอบในการประมวลผลข้อมูลส่วนบุคคลให้เปนไป
ตามหลักการสาํ คัญในการคุ้มครองข้อมูลส่วนบุคคล

ข้อมูลสว่ นบุคคล คือ ข้อมูลเกียวกับบุคคลซึงทําให้สามารถระบุตัวบุคคล
นันได้ ไม่ว่าทางตรงหรือทางอ้อม จะเปนรูปแบบใดก็ตาม เชน่ รูปกระดาษหรือ
อิเล็กทรอนิกส์ ตัวหนังสือรูปภาพหรือเสียง

ข้อมลู ส่วนบุคคล เเบง่ เปน 2 ประเภท

ขอ้ มลู สว่ นบคุ คลทวั ไป (General Data) ตวั อยา่ งเช่น

ชือ-นามสกลุ / เบอรโ์ ทรศพั ท์ วนั เดอื น ป เกดิ
เลขประจาํ ตวั ประชาชน

ทอี ยู่ เลขบญั ชีธนาคาร/ อเี มล ขอ้ มลู อปุ กรณ์ เช่น

บตั รเครดติ / เดบติ IP Address, Cookie ID

ขอ้ มลู ของผ้ถู งึ แก่กรรม และขอ้ มลู นิติบคุ คล ไมถ่ อื เปนขอ้ มลู สว่ นบุคคล ตาม พ.ร.บ.นี

ขอ้ มลู สว่ นบคุ คลทมี คี วามออ่ นไหว (Sensitive Data)

ข้อมูลอ่อนไหว คือ ข้อมูลส่วนบุคคลทีมีความละเอียดอ่อน และมีความสุ่มเสียง
ต่อการถูกใช้ในกรณีเลือกปฏิบัติอย่างไม่เปนธรรม ตัวอย่างเช่น

ขอ้ มลู สขุ ภาพ มา่ นตา พนั ธกุ รรม ลายนิวมอื

ความเหน็ ทางการเมอื ง ประวตั อิ าชญากรรม ความพกิ าร

ศาสนา/ ปรชั ญา ลทั ธ/ิ ความเชือ เชือชาต/ิ เผา่ พนั ธ์ุ

ผทู้ เี กยี วขอ้ งกบั ขอ้ มลู สว่ นบคุ คล

1. เจ้าของขอ้ มลู สว่ นบุคคล (Data Subject) คือ บุคคลทีขอ้ มูลระบุไปถึง เชน่ ขอ้ มูลทีพนักงานเคย
ให้ไว้กับบรษิ ัทตอนสมัครงาน ดังนันเจ้าของขอ้ มลู คือพนักงาน

2. ผคู้ วบคมุ ขอ้ มลู สว่ นบุคคล (Data Controller) คือ บุคคลหรอื นิติบุคคลซงึ มีอํานาจหน้าทีตัดสนิ ใจ
เกียวกับการเก็บรวบรวม ใช้ หรอื เปดเผยขอ้ มูลสว่ นบุคคล เชน่ บรษิ ัทโงวฮกเปนผู้ดเู เลขอ้ มูลของ
พนักงาน ดังนันบรษิ ัทโงวฮกคือผคู้ วบคมุ ขอ้ มลู สว่ นบุคคล

3. ผปู้ ระมวลผลขอ้ มลู สว่ นบุคคล (Data Processor) คือ บุคคลหรอื นิติบุคคลซงึ ดําเนินการเกียวกับ
การเก็บรวบรวม ใช้ หรอื เปดเผยขอ้ มูลสว่ นบุคคล ตามคําสงั หรอื ในนามของผคู้ วบคมุ ขอ้ มลู
สว่ นบุคคล ทังนีผู้ประมวลผลขอ้ มูลสว่ นบุคคล ไมไ่ ด้เปนผู้ควบคมุ ขอ้ มูลสว่ นบุคคล เชน่ บรษิ ัท
โงวฮกมีการจ้างบรษิ ัทตรวจสขุ ภาพให้เเก่พนักงาน ซงึ ขอ้ มูลของพนักงานจะถกู ใชเ้ พอื ตรวจสขุ ภาพ
ตามคําสงั ของบรษิ ัทโงวฮกเท่านัน ดังนันบรษิ ัทตรวจสขุ ภาพคือผปู้ ระมวลผลขอ้ มลู สว่ นบุคคล

ในฐานะทีบริษัทโงวฮกเปนผู้ควบคุมข้อมูลส่วนบุคคล ซึงมีการเก็บ
รวบรวม ใช้ หรือเปดเผยข้อมูลส่วนบุคคล ดังนันบริษัทโงวฮกต้อง
มีหน้าที ดังนี

1. จัดให้มกี ารรกั ษาความปลอดภัย เพือปองกันการสูญหาย เข้าถึง ใช้
เปลียนเเปลง เเก้ไข เปดเผยข้อมูลส่วนบุคคล

2. การเก็บรวบรวม ใช้ หรือเปดเผยข้อมูลส่วนบุคคล ต้องดําเนินการเท่าที
จําเปนตามวัตถุประสงค์ เเละต้องปองกันมิให้ผู้อืนใช้หรอื เปดเผย
ข้อมูลส่วนบุคคลโดยมิชอบ

3. จัดให้มีระบบตรวจสอบเพือดําเนินการลบหรอื ทําลายข้อมูลส่วนบุคคล
เมือพ้นระยะเวลาจัดเก็บหรือไม่จําเปน

4. เปดให้มชี ่องทางการติดต่อใช้สิทธิของเจ้าของข้อมูลส่วนบุคคล

5. ถ้ามีการจ้างผู้ประมวลผลข้อมูลส่วนบุคคลดูเเลข้อมูล ต้องมขี ้อตกลง
ระหว่างกันเพือควบคุมหน้าทีของผู้ประมวลผลให้เปนไปตามกฎหมายนี

6. เเจ้งเหตุละเมิดข้อมูลส่วนบุคคลเเก่สาํ นักงานคุ้มครองข้อมูลส่วนบุคคล
(สคส.) ภายใน 72 ชัวโมง นับเเต่ทราบเหตุ เเละต้องเเจ้งเจ้าของข้อมูลให้
ทราบพร้อมมาตรการเเก้ไขเเละเยียวยา

7. แต่งตังตัวแทนภายในราชอาณาจักร กรณีผู้ควบคุม/ ผู้ประมวลผลข้อมูล
ส่วนบุคคลอยู่ต่างประเทศต่างประเทศ

ถ้าโงวฮกมีการจ้างบริษัทภายนอกเพือดาํ เนินการเก็บรวบรวม ใช้ หรือ
เปดเผยข้อมูลส่วนบุคคล เช่น จ้างห้างหุ้นส่วนจาํ กัดรับทาํ นามบัตร
จ้างบริษัทรับทาํ บัญชี เปนต้น บริษัทนันต้องมีหน้าที ดังนี

1. เก็บรวบรวม ใช้ หรือเปดเผยข้อมูลส่วนบุคคลตามคําสังของผู้ควบคุม
ข้อมูลส่วนบุคคลเท่านัน เว้นเเต่คําสังนันขัดต่อกฎหมาย

2. จัดให้มมี าตรการรกั ษาความมันคงปลอดภัย รวมทังแจ้งให้ผู้ควบคุม
ข้อมูลส่วนบุคคลทราบถึงเหตุการละเมิดข้อมูล

3. จัดทําและเก็บรกั ษาบันทึกรายการของกิจกรรมการประมวลผล
ข้อมูลส่วนบุคคล

เจา้ หน้าทคี มุ้ ครองขอ้ มลู สว่ นบคุ คล หรอื
Data Protection Officer : DPO

เปนตําแหน่งงานใหม่ทีเกิดขึนมาพรอ้ มกับกฎหมายคุ้มครองข้อมูลสว่ นบุคคล
โดยเปน “ผู้รบั ผิดชอบ” ให้แน่ใจว่าการประมวลผลข้อมูลขององค์กร
ดําเนินการอย่างถูกต้องตามกฎหมาย

เเลว้ บริษทั โงวฮกจําเปนตอ้ งมี DPO หรือไม่ ?

บรษิ ัทโงวฮกจําเปนจะต้องมี DPO เนื องจากบรษิ ัทมีกิจกรรม
หลักเปนการประมวลผลข้อมูลส่ วนบุคคลของพนั กงาน

DPO ของโงวฮกตอ้ งมีหน้าอะไรบ้าง

ใหค ําเเนะนาํ กบั ผคู วบคมุ / ผูประมวลขอ มูลสวนบุคคล

ตรวจสอบการดําเนนิ งานการเกบ็ ใช หรอื เปด เภยขอ มลู
สว นบคุ คล

ประสานงานและรว มมือกับสาํ นักงานคุมครองขอ มลู สวน
บุคคล (หรือหนวยงานทเี่ กยี่ วขอ ง) ในกรณีทีม่ ีปญ หาใน
การประมวลผลขอมลู

รกั ษาความลับของขอมลู สว นบุคคลจากการปฏบิ ตั ิหนาท่ี

พวกเราชาวโงวฮก มีสิทธิอะไรบ้างในฐานะทีเปนเจ้าของข้อมูลส่วนบุคคล

สทิ ธิของเจ้าของขอ้ มลู สว่ นบคุ คล มี 7 สทิ ธิ ดงั นี

4 สทิ ธใิ นการขอใหล้ บ

ขอ้ มลู สว่ นบุคคล

3 5
สทิ ธใิ นการขอใหเ้ เก้ไข สทิ ธใิ นการขอใหร้ ะงับ
ขอ้ มลู สว่ นบุคคลใหถ้ กู ต้อง การใชข้ อ้ มลู สว่ นบุคคล

2 6
สทิ ธใิ นการเขา้ ถึง สทิ ธใิ นการขอใหโ้ อนยา้ ย
ขอ้ มลู สว่ นบุคคล ขอ้ มลู สว่ นบุคคล

1 7
สทิ ธใิ นการเพกิ ถอน สทิ ธใิ นการคัดค้าน การเก็บ
ความยนิ ยอม รวบรวม ใช้ หรอื เปดเภย
ขอ้ มลู สว่ นบุคคล

7 ฐานการประมวลผลข้อมูลส่วนบุคคลตามกฎหมาย
ทีชาวโงวฮกควรรู้

1.ฐานความยนิ ยอม (Consent)
การเก็บรวบรวม เปดเผย ใช้ ข้อมูลส่วนบุคคลต้องได้รบั ความยินยอมจากเจ้าของ

ข้อมูลส่วนบุคคล เว้นแต่ เข้าข้อยกเว้นตามฐานการประมวลผลข้อมูลส่วนบุคคลฐานอืน
ทังนี กรณีทีเปนข้อมูล Sensitive Data ต้องได้รับความยินยอมจากเจ้าของข้อมูลส่วนบุคคล

2.ฐานสญั ญา (Contract)
เพือการปฏิบัติตามสัญญาซึงเจ้าของข้อมูลส่วนบุคคลเปนคู่สัญญา หรอื เพือใช้ใน

การดําเนินการตามคําขอของเจ้าของข้อมูลส่วนบุคคลก่อนเข้าทําสัญญา

3.ฐานจดหมายเหต/ุ วิจัย/ สถิติ (Historical Document/ Statistic/ Research)
เพือให้บรรลุวัตถุประสงค์ทีเกียวกับการจัดทําเอกสารประวัติศาสตรห์ รอื

จดหมายเหตุ เพือประโยชน์สาธารณะ หรือทีเกียวกับการศกึ ษาวิจัยหรอื สถิติ ซึงได้
จัดให้มีมาตรการปกปองทีเหมาะสม

4.ฐานภารกิจของรฐั (Public Task)
เพือการปฏิบัติหน้าทีในการดําเนินภารกิจเพือประโยชน์สาธารณะของผู้ควบคุม

ข้อมูลส่วนบุคคล หรอื ปฏิบัติหน้าทีในการใช้อํานาจรฐั ทีได้มอบให้แก่ผู้ควบคุมข้อมูล
ส่วนบุคคล

5.ฐานหน้าทตี ามกฎหมาย (Legal Obligation)
เพือการปฏิบัติตามกฎหมายของผู้ควบคุมข้อมูลส่วนบุคคล เช่น การเปดเผยเงิน

เดือนของพนักงานต่อกรมสรรพากร

6.ฐานประโยชน์อันชอบธรรม (Legitimate Interest)
โงวฮกสามารถประมวลผลข้อมูลส่วนบุคคลได้ในกรณีทีจําเปนต่อการดําเนินการ

เพือประโยชน์อันชอบธรรมของผู้ควบคุมข้อมูลและบุคคลอืนอย่างสมเหตุสมผล
เช่น การบันทึกวงจรปดเพือปองกันอาชญากรรม การประมวลผลข้อมูลเพือรักษาความ
ปลอดภัยของระบบและเครือข่าย เปนต้น

7.ฐานประโยชน์สาํ คัญต่อชวี ิต (Vital Interest)
เพือประโยชน์ในการระงับอันตรายต่อชีวิต ร่างกาย สุขภาพ เช่น การให้ข้อมูล

เมือเกิดอุบัติเหตุ

อยา่ งไรกต็ ามการประมวลผลข้อมูลสว่ นบคุ คลตอ้ งมมี าตรการปกปอง
คุ้มครองขอ้ มลู อยา่ งเหมาะสม เเละสอดคล้องกับหลกั การพืนฐานของ
การคมุ้ ครองขอ้ มลู ส่วนบคุ คล

เจ้าของข้อมูลหรือพนักงานไม่ควรเซ็นยินยอมถ้าหากการ
ขอความยินยอมไม่ถูกต้องตามหลักการ ดังนี

หลักการขอความยินยอมจากเจ้าของข้อมลู ส่วนบคุ คล

ทําเปนเปนหนั งสือหรอื ทําโดยผ่านระบบอิเล็กทรอนิ กส์

ต้องแจ้งเจ้าของข้อมูลส่ วนบุคคลทราบถึงวัตถุประสงค์ของ
การเก็บรวบรวม ใช้ หรอื เปดเผย ให้ชดั เจน

ข้อความในการขอความยินยอมต้องแยกส่ วนออกจาก
ข้อความอืนอย่างชดั เจน

หลกั การขอความยนิ ยอมจากเจ้าของขอ้ มลู ส่วนบคุ คล

ข้อความในการขอความยินยอมไม่เปนการหลอกลวง

ข้อความในการขอความยินยอมไม่มีเงอื นไขในการให้ความ
ยินยอม
ข้อความการขอความยินยอมต้องชดั เจนเข้าใจงา่ ย

ต้องคํานึ งถึงความเปนอิสระของเจ้าของข้อมูลส่วนบุคคล
ในการให้ความยินยอม

พ.ร.บ. ฉบับนีใช้บังคับแก่การเก็บรวบรวม ใช้ หรือเปดเผยข้อมูลส่วนบุคคลโดย
บุคคลหรือนิติบุคคล เว้นเเต่ทีกฎหมายกําหนดข้อยกเว้น ดังนี

ข้อยกเว้นการใช้บังคับพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562

เกบ็ รวบรวม ใช้ เปดเผย เพอื การดาํ เนินการของหน่วยงานของรฐั เกบ็ รวบรวม เพอื กจิ การ
เพอื ประโยชน์สว่ นตน ทมี หี น้าที ในการรกั ษาความมนั คงของรฐั สอื มวลชน งานศลิ ปกรรม
หรอื เพอื กจิ กรรม ความมนั คงทางการคลงั ของรฐั หรอื การ
ในครอบครวั หรอื งานวรรณกรรม
รกั ษาความปลอดภยั ของประชาชน อนั เปนไปตามจรยิ ธรรมแหง่
รวมทงั หน้าทเี กยี วกบั การปองกนั และ การประกอบวชิ าชีพ หรอื เปน
ประโยชน์สาธารณะเทา่ นัน
ปราบปรามการฟอกเงนิ หรอื
นิตวิ ทิ ยาศาสตร์ หรอื การรกั ษาความ

มนั คงปลอดภยั ไซเบอร์

ข้อยกเว้นการใช้บังคับพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562

เกบ็ รวบรวม ใช้ เปดเผย การพจิ ารณาคดขี องศาล การดาํ เนินการกบั ขอ้ มลู ของ
ตามหน้าทแี ละอาํ นาจของ และการดาํ เนินงานของเจา้ หน้าที บรษิ ทั ขอ้ มลู เครดติ และ
สภาผแู้ ทนราษฎร วฒุ สิ ภา
รฐั สภา หรอื คณะกรรมาธกิ าร ในกระบวนการพจิ ารณาคดี สมาชิกตามกฎหมายวา่ ดว้ ย
การบงั คบั คดี และการวางทรพั ย์ การประกอบธรุ กจิ ขอ้ มลู เครดติ
รวมทงั การดาํ เนินงานกระบวนการ

ยตุ ธิ รรมทางอาญา