PDPA กับธุรกิจ: สิ่งที่เจ้าของกิจการควรรู้ก่อนโดนร้องเรียน
กฎหมายคุ้มครองข้อมูลส่วนบุคคล (PDPA) บังคับใช้แล้ว และเริ่มมีการร้องเรียน-ตรวจสอบจากหน่วยงานรัฐมากขึ้นเรื่อยๆ สำหรับ SME และเจ้าของกิจการ สิ่งที่เสี่ยงที่สุดไม่ใช่ “เอกสารหนาๆ” แต่คือ ขั้นตอนจริงในองค์กร ตั้งแต่เก็บ ใช้ เปิดเผย ไปจนถึงลบข้อมูล บทความนี้สรุปสิ่งที่ต้องรู้ และรายการที่ลงมือทำได้ทันที
1) PDPA คืออะไร และคุ้มครองใครบ้าง
- คุ้มครอง “ข้อมูลส่วนบุคคล” ของบุคคลธรรมดา เช่น ชื่อ-สกุล เบอร์โทร อีเมล ภาพถ่าย เลขบัตร ฯลฯ
- ครอบคลุมกิจกรรมของธุรกิจที่ เก็บ-ใช้-เปิดเผย ข้อมูลเพื่อวัตถุประสงค์ต่างๆ
- มีบทลงโทษทั้งทางปกครอง/แพ่ง/อาญา รวมถึงความเสียหายด้านชื่อเสียง
2) กิจกรรมที่ธุรกิจมักโดนร้องเรียน
เคสที่พบบ่อย
- ส่ง SMS/อีเมลโฆษณาโดยไม่ได้รับความยินยอม และไม่มีปุ่มยกเลิกรับข่าวสาร
- เก็บสำเนาบัตรประชาชนลูกค้าโดยไม่แจ้งวัตถุประสงค์และระยะเวลาจัดเก็บ
- ใช้ข้อมูลพนักงานเกินวัตถุประสงค์ เช่น นำรูปไปโปรโมตการตลาดโดยไม่ขออนุญาต
- ไม่มีระบบรับคำร้องสิทธิของเจ้าของข้อมูล (ขอลบ/ขอเข้าถึง/ขอคัดค้าน)
* ปัญหาเกิดจาก “ขั้นตอนปฏิบัติ” มากกว่าการมีเอกสารเพียงอย่างเดียว
3) สิ่งที่ควรทำเร่งด่วนสำหรับ SME
| งานที่ต้องทำ | วิธีลงมือแบบเร็ว |
|---|---|
| Privacy Notice (ประกาศความเป็นส่วนตัว) | เขียนให้เข้าใจง่าย: วัตถุประสงค์-ฐานกฎหมาย-ระยะเวลา-สิทธิของเจ้าของข้อมูล และติดหน้าเว็บ/เคาน์เตอร์ |
| Consent (แบบขอความยินยอม เมื่อจำเป็น) | ปุ่มติ๊ก/ฟอร์มที่อธิบายชัดเจน แยกจากเงื่อนไขอื่น และให้ถอนยินยอมได้ง่าย |
| ROPA (บันทึกรายการประมวลผล) | ทำรายการ “เราเก็บอะไร-ทำไม-เก็บนานเท่าไร-แชร์ให้ใคร” เริ่มจากงานขาย การตลาด บุคคล |
| Data Retention (กำหนดอายุข้อมูล) | ตั้งตารางลบ/นิรนามข้อมูล เช่น ลูกค้าที่ไม่เคลื่อนไหวเกิน X เดือน |
| DPIA (ประเมินผลกระทบ) – เมื่อความเสี่ยงสูง | กรณีติดตั้ง CCTV วิเคราะห์พฤติกรรม ใช้เทคโนโลยีใหม่ ให้ทนาย/ผู้เชี่ยวชาญช่วยประเมิน |
4) บทลงโทษถ้าไม่ทำ
- โทษปรับทางปกครองสูงสุด 5,000,000 บาท ตามกรณี
- ความรับผิดทางแพ่ง: ชดใช้ค่าเสียหายให้เจ้าของข้อมูล
- ความเสียหายเชิงชื่อเสียงและความเชื่อมั่นของลูกค้า/คู่ค้า
5) เช็กลิสต์ก่อนเปิดแคมเปญการตลาด
- มีพื้นฐานทางกฎหมายสำหรับการติดต่อ? (เช่น ยินยอม/สัญญา/ประโยชน์โดยชอบด้วยกฎหมาย)
- มีวิธียกเลิกรับข่าวสารที่ใช้งานได้จริง (unsubscribe/opt-out)
- ระบุผู้รับข้อมูลภายนอกชัดเจน (เช่น แพลตฟอร์มอีเมล, CRM, โฆษณา)
- ตั้งอายุการเก็บรักษา และวิธีลบข้อมูลหลังแคมเปญจบ
สรุป
PDPA ไม่ได้มีไว้เพื่อ “จับปรับ” แต่เป็นมาตรฐานที่ช่วยให้ธุรกิจน่าเชื่อถือขึ้น เริ่มจากประกาศความเป็นส่วนตัว การขอความยินยอมแบบโปร่งใส และจัดระบบคำร้องสิทธิ—ทำครบ 3 เรื่องนี้ ลดความเสี่ยงได้มากแล้ว
อยากเริ่ม PDPA ให้ถูกต้องและทำได้จริงในองค์กร?
ทีมทนาย VP Partners ช่วยทำ Privacy Notice/Consent/ROPA พร้อมเวิร์กโฟลว์ใช้งานจริง