PDPA กับธุรกิจ: สิ่งที่เจ้าของกิจการควรรู้ก่อนโดนร้องเรียน
กฎหมายคุ้มครองข้อมูลส่วนบุคคล (PDPA) เริ่มมีการร้องเรียนและตรวจสอบมากขึ้น สิ่งที่เสี่ยงไม่ใช่แค่ “เอกสาร” แต่คือ ขั้นตอนจริงในองค์กร ตั้งแต่เก็บ ใช้ เปิดเผย ไปจนถึงการลบข้อมูล บทความนี้สรุปสิ่งที่ต้องรู้และรายการที่ลงมือทำได้ทันที
1) PDPA คืออะไร และคุ้มครองใครบ้าง
- คุ้มครอง “ข้อมูลส่วนบุคคล” ของบุคคลธรรมดา เช่น ชื่อ-สกุล เบอร์โทร อีเมล ภาพถ่าย เลขบัตร ฯลฯ
- ครอบคลุมกิจกรรมของธุรกิจที่ เก็บ-ใช้-เปิดเผย ข้อมูลเพื่อวัตถุประสงค์ต่าง ๆ
- มีบทลงโทษทั้งทางปกครอง/แพ่ง/อาญา รวมถึงความเสียหายด้านชื่อเสียง
2) กิจกรรมที่ธุรกิจมักโดนร้องเรียน
เคสที่พบบ่อย
- ส่ง SMS/อีเมลโฆษณาโดยไม่ได้รับความยินยอม และไม่มีปุ่มยกเลิกรับข่าวสาร
- เก็บสำเนาบัตรประชาชนลูกค้าโดยไม่แจ้งวัตถุประสงค์และระยะเวลาจัดเก็บ
- นำข้อมูลพนักงานไปใช้เกินวัตถุประสงค์ เช่น ใช้รูปเพื่อการตลาดโดยไม่ขออนุญาต
- ไม่มีระบบรับคำร้องสิทธิของเจ้าของข้อมูล (ขอเข้าถึง/ลบ/คัดค้าน)
ปัญหามักเกิดจาก “ขั้นตอนปฏิบัติ” มากกว่าการมีเอกสารเพียงอย่างเดียว
3) สิ่งที่ควรทำเร่งด่วนสำหรับ SME
| งานที่ต้องทำ | วิธีลงมือแบบเร็ว |
|---|---|
| Privacy Notice (ประกาศความเป็นส่วนตัว) | เขียนให้เข้าใจง่าย: วัตถุประสงค์–ฐานกฎหมาย–ระยะเวลา–สิทธิ และติดหน้าเว็บ/เคาน์เตอร์ |
| Consent (แบบขอความยินยอมเมื่อจำเป็น) | แยกช่องจากเงื่อนไขอื่น อธิบายชัด และให้ถอนยินยอมได้ง่าย |
| ROPA (บันทึกรายการประมวลผล) | ทำรายการ “เราเก็บอะไร–ทำไม–นานเท่าไร–แชร์ให้ใคร” เริ่มจากขาย/การตลาด/บุคคล |
| Data Retention (กำหนดอายุข้อมูล) | ตั้งตารางลบ/นิรนาม เช่น ลูกค้าที่ไม่เคลื่อนไหวเกิน X เดือน |
| DPIA (ประเมินผลกระทบ เมื่อความเสี่ยงสูง) | กรณีติดตั้ง CCTV วิเคราะห์พฤติกรรม ใช้เทคโนโลยีใหม่ ให้ผู้เชี่ยวชาญประเมิน |
4) บทลงโทษถ้าไม่ทำ
- โทษปรับทางปกครองสูงสุด 5,000,000 บาท ตามกรณี
- ความรับผิดทางแพ่ง: ชดใช้ค่าเสียหายให้เจ้าของข้อมูล
- ความเสียหายต่อชื่อเสียงและความเชื่อมั่นของลูกค้า/คู่ค้า
5) เช็กลิสต์ก่อนเปิดแคมเปญการตลาด
- มีพื้นฐานทางกฎหมายสำหรับการติดต่อ? (ยินยอม/สัญญา/ประโยชน์โดยชอบด้วยกฎหมาย)
- มีวิธียกเลิกรับข่าวสารที่ใช้งานได้จริง (unsubscribe/opt-out)
- ระบุผู้รับข้อมูลภายนอกชัดเจน (แพลตฟอร์มอีเมล, CRM, โฆษณา)
- ตั้งอายุการเก็บรักษา และวิธีลบข้อมูลหลังแคมเปญจบ
สรุป
PDPA คือมาตรฐานที่ช่วยยกระดับความน่าเชื่อถือธุรกิจ เริ่มจาก Privacy Notice, Consent โปร่งใส และระบบคำร้องสิทธิ — ทำครบ 3 เรื่องนี้ ลดความเสี่ยงได้มากแล้ว
อยากเริ่ม PDPA ให้ถูกต้องและทำได้จริงในองค์กร?
ทีมทนาย VP Partners ช่วยทำ Privacy Notice/Consent/ROPA พร้อมเวิร์กโฟลว์ใช้งานจริง