การปฏิบัติตามกฎหมายข้อมูลส่วนบุคคล (PDPA) ในไทย

พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 (PDPA) เป็นกฎหมายที่บังคับใช้ตั้งแต่วันที่ 1 มิถุนายน 2565 เพื่อคุ้มครองข้อมูลส่วนบุคคลของประชาชนไทย โดยกำหนดสิทธิเจ้าของข้อมูลและหน้าที่ผู้ควบคุมข้อมูล.

ขอบเขตการบังคับใช้

PDPA ใช้บังคับกับ:

• ผู้ควบคุมข้อมูลหรือผู้ประมวลผลข้อมูลที่อยู่ในประเทศไทย.
• ผู้อยู่นอกประเทศไทย หากเสนอขายสินค้าหรือบริการให้เจ้าของข้อมูลในไทย หรือติดตามพฤติกรรมของเจ้าของข้อมูลในไทย.

ผู้ที่เกี่ยวข้องหลัก

• เจ้าของข้อมูลส่วนบุคคล: ผู้มีข้อมูล เช่น ชื่อ ที่อยู่ เบอร์โทร อีเมล รูปถ่าย บัญชีธนาคาร สามารถระบุตัวตนได้ทั้งรูปแบบกระดาษหรือดิจิทัล.
• ผู้ควบคุมข้อมูลส่วนบุคคล (Data Controller): กำหนดวัตถุประสงค์และวิธีการประมวลผลข้อมูล.
• ผู้ประมวลผลข้อมูลส่วนบุคคล (Data Processor): ประมวลผลตามคำสั่งของผู้ควบคุม.

สิทธิของเจ้าของข้อมูล

• ให้ความยินยอมในการเก็บ รวบรวม ใช้ หรือเปิดเผยข้อมูล โดยต้องแจ้งวัตถุประสงค์ชัดเจน แยกจากส่วนอื่น และเข้าใจง่าย.
• ถอนความยินยอม ลบหรือทำลายข้อมูลได้ทุกเมื่อ.
• ข้อมูลอ่อนไหว (เช่น ข้อมูลสุขภาพ ศาสนา ความคิดเห็นทางการเมือง) มีข้อยกเว้น เช่น เพื่อป้องกันอันตรายต่อชีวิต หรือกิจกรรมขององค์กรไม่แสวงกำไร หากแจ้งล่วงหน้า.

หน้าที่ผู้ควบคุม/ประมวลผลข้อมูล

• ขอความยินยอมก่อนประมวลผลข้อมูล และใช้ตามวัตถุประสงค์ที่แจ้ง.
• บันทึกกิจกรรม การเก็บ ใช้ เปิดเผยข้อมูล.
• แต่งตั้งเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล (DPO) ในกรณีที่กำหนด.
• แจ้งเหตุละเมิดข้อมูลทันที.
• กำหนดระยะเวลาการเก็บข้อมูล เช่น เก็บเพื่อการตลาด 3 ปี แล้วลบ.
• สำหรับผู้ส่งข้อมูลข้ามชาติ ต้องระบุข้อมูลที่แลกเปลี่ยนชัดเจนและกำหนดผู้รับผิดชอบ.

ขั้นตอนปฏิบัติตาม PDPA (สรุป 9 ขั้นตอนหลักจากแนวปฏิบัติ)

1. ระบุข้อมูลส่วนบุคคลและวัตถุประสงค์การประมวลผล.
2. ขอความยินยอมด้วยเอกสารชัดเจน.
3. จัดการความยินยอมถอนและลบข้อมูล.
4. บันทึกทุกกิจกรรมประมวลผล.
5. แต่งตั้ง DPO หากจำเป็น.
6. กำหนดมาตรการรักษาความปลอดภัยข้อมูล.
7. จัดการข้อมูลอ่อนไหวตามข้อยกเว้น.
8. แจ้งการละเมิดข้อมูล.
9. สำหรับองค์กรต่างประเทศ แต่งตั้งตัวแทนในไทย.

หน่วยงานกำกับดูแล

สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล ดูแลการปฏิบัติตาม หากฝ่าฝืนอาจมีโทษทางแพ่ง อาญา และปกครอง.

ปฏิบัติตาม PDPA ช่วยป้องกันการละเมิดข้อมูล เช่น การขายข้อมูลโดยไม่ยินยอม สร้างความเชื่อมั่นในการใช้บริการ. หากต้องการเอกสารเต็ม สามารถตรวจสอบราชกิจจานุเบกษา.