เช็กลิสต์ทำ PDPA ให้ธุรกิจ 2026: ขั้นตอน ความเสี่ยง และจุดที่มักพลาด

ธุรกิจต้องทำ PDPA อะไรบ้าง เริ่มตรงไหน? เช็กลิสต์ทำ พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล (PDPA) ทีละขั้น ตั้งแต่สำรวจข้อมูล ฐานทางกฎหมาย นโยบายความเป็นส่วนตัว ไปจนถึง DPO และการรับมือข้อมูลรั่ว โดยทีมที่ปรึกษากฎหมายขอนแก่นประสบการณ์ 40 ปี

สำนักงานกฎหมายสุวรรณวรา ลอว์เฟิร์ม— ทีมที่ปรึกษากฎหมายธุรกิจและข้อมูลส่วนบุคคล12 นาที

ทำไม PDPA ยังสำคัญในปี 2026

หลายองค์กรเข้าใจว่า "ทำ PDPA ครั้งเดียวจบ" แต่ความจริงคือการคุ้มครองข้อมูลส่วนบุคคลเป็นกระบวนการต่อเนื่อง โดยเฉพาะเมื่อธุรกิจเก็บข้อมูลลูกค้ามากขึ้น ใช้ระบบออนไลน์มากขึ้น และมีการส่งต่อข้อมูลให้คู่ค้า คู่มือนี้สรุปเป็น เช็กลิสต์ทีละขั้น ให้ธุรกิจไทยนำไปตรวจสอบและวางระบบได้จริง

เนื้อหานี้เป็นแนวทางทั่วไป ไม่ใช่คำปรึกษาเฉพาะกรณี ระดับการทำที่เหมาะสมขึ้นอยู่กับลักษณะข้อมูลและความเสี่ยงของแต่ละองค์กร

PDPA คืออะไรโดยย่อ

พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล (PDPA) กำหนดหลักเกณฑ์การเก็บ ใช้ และเปิดเผย "ข้อมูลส่วนบุคคล" — ข้อมูลที่ระบุตัวบุคคลได้ เช่น ชื่อ เบอร์โทร อีเมล เลขบัตร รูปถ่าย และข้อมูลอ่อนไหว (เช่น สุขภาพ ศาสนา ประวัติอาชญากรรม) ซึ่งต้องดูแลเข้มงวดเป็นพิเศษ หัวใจคือ องค์กรต้องมี ฐานทางกฎหมาย ในการใช้ข้อมูล แจ้งวัตถุประสงค์ให้ชัด และเคารพสิทธิของเจ้าของข้อมูล

เช็กลิสต์ทำ PDPA 10 ขั้น

สำรวจข้อมูล (Data Inventory) — ทำบัญชีว่าองค์กรเก็บข้อมูลอะไร จากใคร เก็บที่ไหน ใช้ทำอะไร ส่งต่อให้ใคร
วิเคราะห์ฐานทางกฎหมาย — แต่ละการใช้ข้อมูลอยู่บนฐานใด (ความยินยอม สัญญา หน้าที่ตามกฎหมาย ประโยชน์โดยชอบด้วยกฎหมาย ฯลฯ)
จัดทำ/ปรับนโยบายความเป็นส่วนตัว (Privacy Notice) — แจ้งวัตถุประสงค์ ระยะเวลาเก็บ และสิทธิของเจ้าของข้อมูลให้ครบและเข้าใจง่าย
ออกแบบหนังสือขอความยินยอม — เฉพาะกรณีที่ต้องใช้ฐานความยินยอม ต้องชัดเจน แยกประเด็น และถอนได้
จัดการสิทธิของเจ้าของข้อมูล — วางช่องทางให้ขอเข้าถึง แก้ไข ลบ คัดค้าน หรือโอนข้อมูล พร้อมกระบวนการตอบสนองภายในเวลาที่เหมาะสม
ทำสัญญากับผู้ประมวลผลข้อมูล (DPA) — เมื่อจ้างบุคคลภายนอกที่เข้าถึงข้อมูล เช่น ระบบคลาวด์ ผู้รับจ้างการตลาด
มาตรการความปลอดภัย — ทั้งทางเทคนิคและการบริหารจัดการ เพื่อป้องกันข้อมูลรั่วไหลหรือเข้าถึงโดยไม่ได้รับอนุญาต
กำหนดระยะเวลาเก็บและการทำลายข้อมูล — ไม่เก็บนานเกินจำเป็น
แต่งตั้งผู้รับผิดชอบ/DPO ตามเกณฑ์ — และอบรมพนักงานให้เข้าใจหน้าที่
แผนรับมือเหตุข้อมูลรั่ว (Incident Response) — ใครทำอะไร แจ้งใคร ภายในเวลาเท่าไร

จุดที่ธุรกิจมักพลาด

คัดลอกนโยบายความเป็นส่วนตัวจากเว็บอื่นมาใช้โดยไม่ตรงกับการใช้ข้อมูลจริง
ขอความยินยอมแบบ "เหมารวม" ทั้งที่บางกรณีใช้ฐานอื่นได้และไม่ควรผูกกับความยินยอม
ลืมทำสัญญากับผู้ให้บริการภายนอกที่เข้าถึงข้อมูล
ไม่มีกระบวนการรองรับเมื่อลูกค้าขอใช้สิทธิ หรือเมื่อเกิดข้อมูลรั่ว

PDPA กับธุรกิจในนิคมอุตสาหกรรมและบริษัทต่างชาติ

โรงงานและบริษัทในเครือต่างชาติมักมีการ ส่งข้อมูลข้ามองค์กรหรือข้ามประเทศ (เช่น ข้อมูลพนักงานส่งไปสำนักงานใหญ่) ซึ่งมีเงื่อนไขเพิ่มเติม การวางระบบ PDPA ควรพิจารณาเรื่องการโอนข้อมูลระหว่างประเทศและความสอดคล้องกับนโยบายของกลุ่มบริษัทไปพร้อมกัน

เราช่วยอะไรได้

สำนักงานของเราช่วยวางระบบ PDPA ครบวงจร ตั้งแต่ตรวจสถานะ (gap assessment) ร่างนโยบายและเอกสารที่จำเป็น จัดทำสัญญาประมวลผลข้อมูล ไปจนถึงอบรมพนักงานและวางแผนรับมือเหตุข้อมูลรั่ว ดูเพิ่มที่บริการที่ปรึกษากฎหมายธุรกิจและ Compliance หรืออ่านคู่มือกฎหมายโรงงานและนิคมอุตสาหกรรม

สรุป

PDPA ที่ทำถูกต้องไม่ใช่แค่ "มีนโยบายแปะไว้" แต่คือระบบที่ใช้ได้จริงตั้งแต่การเก็บข้อมูลจนถึงการรับมือเมื่อเกิดปัญหา การลงทุนวางระบบให้ถูกตั้งแต่ต้น ช่วยลดทั้งความเสี่ยงทางกฎหมายและรักษาความเชื่อมั่นของลูกค้า

หากธุรกิจของคุณยังไม่แน่ใจว่าทำ PDPA ครบหรือยัง ปรึกษาทีมที่ปรึกษาของเรา หรือขอประเมินสถานะเบื้องต้น เราช่วยวางลำดับสิ่งที่ต้องทำให้เหมาะกับขนาดและความเสี่ยงขององค์กรคุณ

คำถามที่พบบ่อย

ธุรกิจเล็กต้องทำ PDPA ไหม?+

โดยหลัก ทุกองค์กรที่เก็บ ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล ไม่ว่าเล็กหรือใหญ่ อยู่ภายใต้กฎหมายคุ้มครองข้อมูลส่วนบุคคล เพียงแต่ขอบเขตการทำอาจต่างกันตามปริมาณและความอ่อนไหวของข้อมูล ธุรกิจเล็กก็ควรมีนโยบายความเป็นส่วนตัวและหนังสือขอความยินยอมที่ถูกต้องเป็นอย่างน้อย

ต้องมี DPO (เจ้าหน้าที่คุ้มครองข้อมูล) ทุกบริษัทไหม?+

ไม่ทุกบริษัท การต้องมี DPO ขึ้นอยู่กับลักษณะและขนาดของการประมวลผลข้อมูล เช่น มีการติดตามพฤติกรรมเป็นวงกว้าง หรือประมวลผลข้อมูลอ่อนไหวเป็นหลัก องค์กรที่ไม่เข้าเกณฑ์บังคับก็ยังควรมอบหมายผู้รับผิดชอบดูแลเรื่องนี้ภายใน

ไม่ทำ PDPA มีโทษอะไร?+

การฝ่าฝืนอาจมีทั้งโทษทางปกครอง (ค่าปรับ) ความรับผิดทางแพ่งต่อเจ้าของข้อมูลที่เสียหาย และในบางกรณีมีโทษอาญา นอกจากบทลงโทษแล้ว ความเสียหายต่อชื่อเสียงและความเชื่อมั่นของลูกค้ามักร้ายแรงกว่า การเตรียมให้ถูกต้องไว้ก่อนจึงคุ้มกว่าการแก้ทีหลัง

เก็บข้อมูลลูกค้าเก่าที่มีอยู่แล้วต้องทำอย่างไร?+

ข้อมูลที่เก็บไว้ก่อนต้องทบทวนว่ามีฐานทางกฎหมายรองรับการใช้ต่อหรือไม่ บางกรณีต้องแจ้งวัตถุประสงค์ใหม่หรือขอความยินยอม และต้องมีกระบวนการให้เจ้าของข้อมูลใช้สิทธิ เช่น ขอลบหรือคัดค้าน ทนายช่วยวางแนวทางจัดการฐานข้อมูลเดิมให้สอดคล้องกฎหมาย

ข้อมูลรั่วไหลต้องทำอย่างไร?+

เมื่อเกิดเหตุละเมิดข้อมูลส่วนบุคคล องค์กรมีหน้าที่ประเมินความเสี่ยงและแจ้งหน่วยงานที่เกี่ยวข้องภายในกรอบเวลาที่กฎหมายกำหนด และในบางกรณีต้องแจ้งเจ้าของข้อมูลด้วย การมีแผนรับมือเหตุข้อมูลรั่ว (incident response) เตรียมไว้ล่วงหน้าจะช่วยลดความเสียหายและความรับผิดได้มาก