PDPA 2569 ช็คลิสต์องค์กร 2026 — สิ่งที่ธุรกิจมักพลาด

ย่อ: งาน PDPA ขององค์กรส่วนใหญ่ไม่ได้พลาดที่กฎหมายยาก แต่พลาดที่ขั้นพื้นฐานถูกข้าม เช่น ฐานกฎหมายที่เลือกผิดตั้งแต่ต้น การเก็บข้อมูลเก่าไว้ไม่มีกำหนดลบ หรือแผนรับมือเหตุละเมิดที่ไม่เคยซ้อม บทความนี้เป็นภาพรวมเชิงระวัง พร้อมตารางเช็คลิสต์สิ่งที่ธุรกิจมักพลาด ไม่ใช่คำแนะนำทางกฎหมายเฉพาะกรณี

PDPA เป็นกฎหมายที่ธุรกิจไทยจำนวนมากรู้จักในรูปของปุ่มยอมรับคุกกี้ แต่ขอบเขตจริงของกฎหมายครอบคลุมวิธีที่องค์กรเก็บ ใช้ และส่งต่อข้อมูลส่วนบุคคลในทุกขั้น ตั้งแต่ฐานข้อมูลลูกค้า แฟ้มประวัติพนักงาน ไปจนถึงไฟล์สแกนที่วางไว้ในเครื่องพนักงาน บทความนี้เขียนเป็นภาพรวมเชิงระวังสำหรับเจ้าของธุรกิจและผู้บริหารที่ต้องจัดลำดับว่าควรเริ่มตรวจอะไรก่อน ไม่ใช่คำแนะนำทางกฎหมายเฉพาะกรณี เกณฑ์และบทลงโทษที่ใช้จริงขึ้นกับกฎหมายปัจจุบันและข้อเท็จจริงของแต่ละองค์กร จึงควรตรวจกับแหล่งข้อมูลที่เป็นทางการและที่ปรึกษาก่อนตัดสินใจ

PDPA ภาพรวม: ใครอยู่ในขอบเขต

หลักการกว้าง ๆ คือองค์กรที่ประมวลผลข้อมูลส่วนบุคคลในกิจกรรมที่กฎหมายครอบคลุม ไม่ว่าจะเป็นการขายสินค้าออนไลน์ การรับสมัครพนักงาน การทำการตลาดผ่านอีเมล หรือการฝากข้อมูลกับผู้ให้บริการคลาวด์ ขอบเขตบางส่วนมีเงื่อนไขเกี่ยวกับการนำข้อมูลไปใช้ต่างประเทศและข้อยกเว้นสำหรับการประมวลผลบางประเภท ซึ่งรายละเอียดเหล่านี้เปลี่ยนตามกฎหมายและแนวปฏิบัติที่ออกมาภายหลัง จุดที่ผู้บริหารควรจำคือคำถามไม่ใช่เราเป็นบริษัทใหญ่หรือเล็ก แต่คือเราเก็บข้อมูลบุคคลอะไรบ้าง เพื่ออะไร และใครเข้าถึงได้ ถ้าตอบสามคำถามนี้ไม่ได้ นั่นคือจุดเริ่มต้นของการตรวจสอบ

DPO: ใครต้องมี และหน้าที่จริงคืออะไร

เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล (DPO) ไม่ใช่ตำแหน่งที่ทุกองค์กรต้องมีตามกฎหมาย แต่เป็นตำแหน่งที่องค์กรบางประเภทต้องแต่งตั้งตามเงื่อนไขที่กฎหมายกำหนด และองค์กรจำนวนมากเลือกแต่งตั้งเพื่อให้มีจุดรับผิดชอบชัดเจน ความเข้าใจผิดที่พบบ่อยสองแบบคือ แบบแรกคิดว่า DPO คือคนที่ต้องรู้ทุกอย่างและรับผิดทุกอย่างแทนองค์กร แบบที่สองคือตั้งชื่อใครสักคนใส่ไว้ในนโยบายแล้วจบ หน้าที่ที่ใช้ได้จริงของ DPO คือการเป็นศูนย์กลางของบันทึกกิจกรรมประมวลผล จุดติดต่อเมื่อเจ้าของข้อมูลใช้สิทธิ และคนที่รู้ก่อนว่ากระบวนการใหม่ที่องค์กรจะเปิดตัวมีความเสี่ยงข้อมูลแบบใด

สำหรับธุรกิจขนาดเล็ก คำถามที่ใช้ได้คือถ้าเกิดเหตุละเมิดข้อมูลพรุ่งนี้ ใครคนใดคนหนึ่งในองค์กรจะเป็นคนจัดการเรื่องนี้ ถ้าไม่มีคำตอบ นั่นคือช่องว่างที่ต้องแก้ก่อนเรื่องอื่น และการแต่งตั้ง DPO ไม่จำเป็นต้องเป็นการจ้างคนใหม่เต็มเวลาเสมอไป แต่ต้องเป็นบทบาทที่มีเวลาและอำนาจเพียงพอที่จะทำงานได้จริง

ฐานกฎหมาย: เลือกผิดตั้งแต่ต้นแก้ยากภายหลัง

ทุกกิจกรรมประมวลผลข้อมูลควรมีฐานกฎหมายรองรับ ไม่ใช่มีช่องยินยอมไว้เฉย ๆ ฐานที่ใช้กันทั่วไปมีหลายแบบ เช่น สัญญาหรือการดำเนินการก่อนทำสัญญา ภาระผูกพันทางกฎหมาย ผลประโยชน์ที่ชอบด้วยกฎหมาย และความยินยอม ข้อผิดพลาดที่แพงที่สุดคือการใช้ความยินยอมกับทุกอย่าง เพราะความยินยอมที่ถูกต้องต้องถอนได้ง่ายเท่าที่ให้มา เมื่อลูกค้าถอน องค์กรต้องหยุดใช้ข้อมูลนั้นตามฐานความยินยอมทันที ถ้ากิจกรรมจริงของคุณทำต่อไม่ได้เมื่อลูกค้าถอนความยินยอม เช่น การออกใบเสร็จ กิจกรรมนั้นไม่ควรพึ่งความยินยอมเป็นฐานตั้งแต่แรก ควรใช้ฐานที่เหมาะสมกว่าและเขียนแจ้งไว้ในนโยบายความเป็นส่วนตัว

การทำบัญชีกิจกรรมประมวลผลที่ระบุว่ากิจกรรมใดใช้ฐานใด คือเอกสารชิ้นแรกที่ควรมี และเป็นเอกสารที่ทำให้งานที่เหลือทั้งหมดมีที่ยืน เพราะการลบข้อมูลตามกำหนด การตอบคำขอใช้สิทธิ และการประเมินความเสี่ยง ล้วนต้องรู้ก่อนว่าข้อมูลชุดนั้นอยู่ใต้ฐานกฎหมายใด

คุกกี้และความยินยอม: กล่องติ๊กไม่ใช่คำตอบทั้งหมด

แบนเนอร์คุกกี้เป็นส่วนที่มองเห็นได้มากที่สุดของ PDPA แต่เป็นส่วนเล็กที่สุดของความสมบูรณ์ ปัญหาที่พบบ่อยคือแบนเนอร์ที่ทำให้การปฏิเสธยากกว่าการยอมรับ หรือติดตั้งสคริปต์วิเคราะห์และโฆษณาไว้ก่อนที่ผู้ใช้จะเลือก ซึ่งขัดกับหลักการที่ว่าความยินยอมต้องเกิดก่อนการเก็บ แนวทางที่ระวังกว่าคือแยกคุกกี้ตามวัตถุประสงค์ คุกกี้ที่จำเป็นต่อการใช้งานเว็บไม่ต้องขอความยินยอม ส่วนคุกกี้การตลาดและวิเคราะห์ควรรอการยินยอมก่อน และควรมีบันทึกว่าผู้ใช้เลือกอะไรไว้เมื่อใด

นอกเหนือจากเว็บ ความยินยอมยังใช้กับการตลาดทางตรง การส่งข่าวสาร และการแชร์ข้อมูลให้พันธมิตร องค์กรที่ซื้อฐานข้อมูลรายชื่อมาโทรขายควรถือว่าตนอยู่ในพื้นที่เสี่ยงสูงสุดของหัวข้อนี้ เพราะไม่มีหลักฐานความยินยอมจากเจ้าของข้อมูลเลย

การแจ้งเหตุละเมิดข้อมูล: นาฬิกาเดินตั้งแต่รู้เหตุ

เหตุละเมิดข้อมูลไม่ได้หมายถึงการถูกแฮ็กอย่างเดียว อีเมลที่ส่งฐานลูกค้าให้ผิดผู้รับ แฟลชไดรฟ์ที่หาย หรือระบบทดสอบที่เปิดให้สาธารณะเข้าถึงข้อมูลจริงโดยไม่ตั้งใจ ล้วนอาจเข้าข่าย สิ่งที่องค์กรควรมีไว้ก่อนเกิดเหตุคือแผนสั้น ๆ ที่ตอบได้ทันทีว่า ใครเป็นคนตัดสินใจว่าเหตุการณ์นี้เข้าข่ายหรือไม่ ใครปิดช่องโหว่ ใครร่างการแจ้งเจ้าหน้าที่และเจ้าของข้อมูล และเอกสารหรือระบบไหนต้องถูกเก็บหลักฐานไว้ ระยะเวลาที่ต้องแจ้งมีกำหนดตามกฎหมาย และการนับระยะเวลาเริ่มตั้งแต่ที่องค์กรรู้เหตุ ไม่ใช่ตั้งแต่ตรวจสอบเสร็จ จึงควรออกแบบกระบวนการให้ตัดสินใจเบื้องต้นได้ในวันแรก ๆ

แผนที่ไม่เคยถูกซ้อมมักใช้ไม่ได้ในวันจริง การซ้อมแบบง่ายที่สุดคือเดินตามแผนกับสถานการณ์สมมุติหนึ่งกรณีต่อปี แล้วจดว่าขั้นไหนติด เช่น ไม่รู้ว่าข้อมูลอยู่ในระบบใดบ้าง หรือไม่มีใครมีสิทธิอนุมัติข้อความแจ้ง ข้อติดเหล่านี้คืองานที่ต้องแก้ก่อนเหตุจริง

บทลงโทษและความเสียหายที่มากกว่าค่าปรับ

กฎหมายกำหนดบทลงโทษทางบริหารและทางอาญาสำหรับการละเมิดบางประเภท พร้อมความรับผิดในทางแพ่งต่อเจ้าของข้อมูล วงเงินและเกณฑ์ที่ใช้จริงขึ้นกับกฎหมายปัจจุบันและข้อเท็จจริงของแต่ละกรณี จึงไม่ควรวางแผนจากตัวเลขที่ลอกมาจากบทความเก่า สิ่งที่ผู้บริหารมักประเมินต่ำคือความเสียหายที่ไม่ใช่ค่าปรับ คือความเชื่อมั่นของลูกค้า B2B ที่ต้องการให้คุณตอบแบบฟอร์มประเมินผู้ขาย การเสียดีลเพราะตอบคำถามเรื่องการคุ้มครองข้อมูลไม่ได้ พบได้มากกว่าค่าปรับในทางปฏิบัติของธุรกิจขนาดกลาง

ตารางเช็คลิสต์: สิ่งที่ธุรกิจมักพลาด

สิ่งที่พลาดบ่อยที่สุดสามเรื่อง

เรื่องแรกคือข้อมูลที่ไม่มีกำหนดลบ องค์กรเก็บทุกอย่างไว้เพราะกลัวจำเป็น แต่ยิ่งเก็บนาน ต้นทุนความเสี่ยงยิ่งสูง เพราะข้อมูลที่รั่วจากฐานข้อมูลสิบปีคือความเสียหายสิบปี เรื่องที่สองคือผู้ให้บริการภายนอก ธุรกิจยุคนี้ใช้เครื่องมือ SaaS จำนวนมาก แต่ละตัวจับข้อมูลลูกค้า ถ้าไม่มีการตรวจว่าใครเก็บอะไรที่ไหน คำถามง่าย ๆ อย่างข้อมูลอยู่ที่ไหนจะตอบไม่ได้ตอนเกิดเหตุ เรื่องที่สามคือความเชื่อว่า PDPA เป็นงานของฝ่าย IT เป็นงานของกระบวนการทั้งองค์กร ฝ่ายขายที่ส่งรายชื่อลูกค้าให้เพื่อนร่วมทีมผ่านแชทส่วนตัว คือความเสี่ยงที่ระบบป้องกันไม่ได้

AI ช่วยงาน PDPA ได้ตรงไหน

AI ช่วยได้ดีในงานเอกสารและงานที่มีรูปแบบ อย่างการร่างนโยบายความเป็นส่วนตัวฉบับตั้งต้น การทบทวนข้อตกลงกับผู้ให้บริการ และการจัดหมวดคำถามที่เจ้าของข้อมูลส่งเข้ามา ภาพรวมการใช้ AI ในงานความเป็นส่วนตัวสรุปไว้ใน PDPA และการคุ้มครองข้อมูลส่วนบุคคลด้วย AI และถ้างานขององค์กรมีมิติความมั่นคงปลอดภัยร่วมด้วย แนวเดียวกับ การทำคอมไพแอนซ์ด้วย AI ใช้ประกอบการวางกระบวนการได้

ข้อควรระวังคืออย่าส่งข้อมูลส่วนบุคคลจริงเข้าเครื่องมือ AI ที่ไม่ได้ตรวจข้อตกลงการใช้งาน เพราะการทำเช่นนั้นอาจสร้างเหตุละเมิดใหม่ในระหว่างที่พยายามแก้งาน PDPA อยู่เอง ใช้ข้อมูลสมมุติหรือข้อมูลที่ปิดบังตัวตนแทน และถ้าองค์กรกำลังทำข้อตกลงกับผู้ประมวลผลข้อมูล โครงข้อกำหนดที่ต้องมีสรุปไว้ใน เทมเพลตสัญญาประมวลผลข้อมูลส่วนบุคคล

ถ้าต้องการเครื่องมือช่วยทบทวนเอกสารและจัดระบบงานเอกสารกฎหมายขององค์กร เริ่มจาก MeshLaw โดยงานที่กระทบการตีความกฎหมายเฉพาะกรณียังควรผ่านที่ปรึกษา และถ้าองค์กรกำลังเลือกเครื่องมือ AI เป็นครั้งแรก เช็กลิสต์ใน การเลือก AI ทางกฎหมายสำหรับสำนักงานขนาดเล็ก และภาพรวมการใช้งานใน AI ทางกฎหมายในสำนักงานกฎหมายไทย ช่วยตั้งเกณฑ์ได้ สำหรับทีมที่ใช้ AI ทั่วไปในงานเอกสาร ข้อควรระวังเรื่องข้อมูลองค์กรสรุปไว้ใน การใช้ ChatGPT ในงานกฎหมาย

คำถามที่พบบ่อย

ธุรกิจขนาดเล็กต้องมี DPO หรือไม่

ขึ้นกับเงื่อนไขที่กฎหมายกำหนดสำหรับกิจกรรมขององค์กร เช่น ลักษณะ ขอบเขต และวัตถุประสงค์ของการประมวลผล องค์กรที่ไม่เข้าเงื่อนไขบังคับก็อาจเลือกแต่งตั้งเพื่อให้มีจุดรับผิดชอบชัด สิ่งที่สำคัญกว่าชื่อตำแหน่งคือมีคนที่มีเวลาและอำนาจจริงในการดูแลเรื่องนี้ ควรยืนยันเงื่อนไขที่ใช้กับองค์กรของคุณกับแหล่งข้อมูลที่เป็นทางการ

ฐานกฎหมายควรใช้แบบใดเมื่อใด

เลือกตามธรรมชาติของกิจกรรม การทำสัญญาและการส่งมอบบริการใช้ฐานสัญญา การทำตามกฎหมายอื่นใช้ฐานภาระทางกฎหมาย การคุ้มครองประโยชน์ขององค์กรที่คาดหวังได้ใช้ฐานผลประโยชน์ที่ชอบด้วยกฎหมายอย่างระวัง และการตลาดทางตรงมักใช้ความยินยอม หลักคืออย่าใช้ความยินยอมกับสิ่งที่องค์กรต้องทำต่อได้ไม่ได้ถ้าลูกค้าถอน

แบนเนอร์คุกกี้แบบยอมรับทั้งหมดเป็นตัวเลือกที่ปลอดภัยไหม

ไม่ใช่ แบนเนอร์ที่ทำให้ปฏิเสธยากกว่ายอมรับ หรือยิงสคริปต์วิเคราะห์ก่อนผู้ใช้เลือก เป็นแนวทางที่เสี่ยง แนวที่ระวังกว่าคือแยกคุกกี้จำเป็นออกจากคุกกี้การตลาดและวิเคราะห์ ให้ความยินยอมเกิดก่อนการเก็บของกลุ่มหลัง และเก็บบันทึกการเลือกของผู้ใช้ไว้ตรวจสอบ

เก็บข้อมูลลูกค้าเก่าไว้ตลอดได้ไหม

ไม่ควร หลักจำกัดการเก็บคือข้อมูลควรมีอายุตามวัตถุประสงค์และข้อบังคับที่เกี่ยวข้อง องค์กรควรกำหนดอายุต่อประเภทข้อมูล พร้อมกระบวนการลบหรือทำให้ระบุตัวตนไม่ได้เมื่อครบกำหนด ข้อมูลที่ไม่มีกำหนดลบคือหนี้ความเสี่ยงที่โตทุกปี

เกิดเหตุละเมิดข้อมูลแล้วต้องแจ้งภายในเท่าไร

กฎหมายกำหนดระยะเวลาแจ้งเจ้าหน้าที่และอาจต้องแจ้งเจ้าของข้อมูลในบางกรณี โดยระยะเวลานับจากที่องค์กรรู้เหตุ แนวปฏิบัติที่แนะนำคืออย่ารอให้ตรวจสอบเสร็จทุกอย่าง แต่ให้มีกระบวนการตัดสินใจเบื้องต้นและเริ่มนับเวลาอย่างถูกต้องตั้งแต่วันแรก ตรวจระยะเวลาที่ใช้จริงจากกฎหมายปัจจุบัน

ใช้คลาวด์และ SaaS ต้องทำอะไรเพิ่ม

ทำบัญชีว่าเครื่องมือใดจับข้อมูลส่วนบุคคลอะไร ตรวจข้อตกลงการใช้บริการว่าผู้ให้บริการอยู่ในบทบาทใด และทำข้อตกลงประมวลผลข้อมูลกับผู้ให้บริการที่จับข้อมูลจริง รวมถึงตรวจว่าข้อมูลถูกเก็บในภูมิภาคใด เพราะการส่งข้อมูลข้ามประเทศมีเงื่อนไขของตัวเอง

ลูกค้าขอลบข้อมูล องค์กรต้องทำอย่างไร

มีช่องทางรับคำขอที่ชัด ยืนยันตัวตนผู้ขอ ตรวจว่าข้อมูลชุดนั้นอยู่ใต้ฐานกฎหมายใด เพราะสิทธิลบมีข้อจำกัด เช่น ข้อมูลที่ต้องเก็บตามภาระทางกฎหมาย แล้วดำเนินการภายในกำหนดเวลาตามกฎหมาย องค์กรที่มีบัญชีกิจกรรมประมวลผลและระบบที่รู้ว่าข้อมูลอยู่ที่ไหน จะตอบคำขอประเภทนี้ได้เร็วกว่ามาก

พนักงานเก็บข้อมูลลูกค้าไว้ในเครื่องส่วนตัว ใครรับผิดชอบ

ความรับผิดชอบในการควบคุมอยู่ที่องค์กร ไม่ว่าข้อมูลจะไปอยู่ที่เครื่องใด ทางแก้ไม่ใช่การห้ามเฉย ๆ แต่คือการให้ช่องทางทำงานที่ถูกต้องง่ายกว่าทางลัด เช่น ระบบแชร์ไฟล์ที่มีสิทธิเข้าถึง พร้อมนโยบายและการอบรมที่อธิบายว่าทำไมต้องใช้ช่องทางนั้น

บทลงโทษหนักแค่ไหน

มีทั้งทางบริหาร ทางอาญาในบางประเภทการละเมิด และความรับผิดทางแพ่งต่อเจ้าของข้อมูล วงเงินที่ใช้จริงขึ้นกับกฎหมายปัจจุบันและข้อเท็จจริงของกรณี จึงไม่ควรวางแผนจากตัวเลขในบทความเก่า สำหรับธุรกิจขนาดกลาง ต้นทุนที่พบจริงบ่อยคือการเสียดีล B2B เพราะตอบแบบประเมินผู้ขายเรื่องความปลอดภัยข้อมูลไม่ได้

องค์กรควรเริ่มจากอะไรก่อน

เริ่มจากบัญชีกิจกรรมประมวลผล เพราะเอกสารนี้บังคับให้ทั้งองค์กรตอบว่าเก็บอะไร เพื่ออะไร ใครเข้าถึง และอยู่ที่ไหน เมื่อมีภาพนี้ งานที่เหลือทั้งหมด ตั้งแต่การกำหนดฐานกฎหมาย การตั้งอายุลบ ไปจนถึงแผนรับเหตุละเมิด จะมีฐานที่ทำงานได้ การเริ่มจากการซื้อระบบหรือทำแบนเนอร์คุกกี้ก่อนมักไม่แก้ปัญหาจริง

ใช้ AI ช่วยงาน PDPA ได้ตรงไหน

ดีที่สุดในงานเอกสารและงานรูปแบบเดิมซ้ำ ๆ เช่น ร่างนโยบายตั้งต้น ทบทวนข้อตกลงผู้ให้บริการ จัดหมวดคำขอใช้สิทธิ และสรุปสถานะการปฏิบัติตามข้อกำหนดของ vendor ข้อจำกัดสำคัญคืออย่าป้อนข้อมูลส่วนบุคคลจริงเข้าเครื่องมือที่ไม่ได้ตรวจข้อตกลง และการตีความกฎหมายเฉพาะกรณียังเป็นงานของที่ปรึกษา

ต้องจ้างที่ปรึกษาภายนอกหรือทำเอง

ขั้นพื้นฐานอย่างบัญชีกิจกรรมประมวลผล การตั้งอายุลบ และการอบรมพนักงาน ทำเองได้ด้วยเวลาและความสม่ำเสมอ ส่วนกรณีที่ควรมีที่ปรึกษาคือเมื่อองค์กรประมวลผลข้อมูลที่อ่อนไหว มีการโอนข้อมูลต่างประเทศซับซ้อน หรือกำลังเผชิญเหตุละเมิดจริง เพราะการตัดสินใจในจุดเหล่านั้นมีผลทางกฎหมายโดยตรง

สรุป

PDPA สำหรับองค์กรในปี 2026 ไม่ใช่โปรเจกต์ที่ทำครั้งเดียวจบ แต่เป็นชุดกระบวนการที่ต้องมีเจ้าของ บัญชีกิจกรรมประมวลผล ฐานกฎหมายที่เลือกถูกตั้งแต่ต้น กำหนดอายุข้อมูล ข้อตกลงกับผู้ให้บริการ และแผนรับเหตุละเมิดที่เคยซ้อม คือหกชิ้นที่องค์กรส่วนใหญ่ข้ามแล้วเสียเวลาแก้ทีหลัง ให้ AI ช่วยงานเอกสารที่มีรูปแบบ แต่เก็บข้อมูลส่วนบุคคลออกจากเครื่องมือที่ไม่ได้ตรวจ และให้การตีความกฎหมายเฉพาะกรณีเป็นหน้าที่ของที่ปรึกษาที่ดูกฎหมายปัจจุบันได้