Knowledge Link — คลังความรู้กฎหมาย PDPA ไทย (ทั้งคลัง 460 โนด)
ประกอบด้วย: พ.ร.บ. คุ้มครองข้อมูลส่วนบุคคล — มาตรา 96 · ข้อหารือคณะกรรมการ (PDPC) — คำตอบเชิงปฏิบัติ 69 · แนวคิดหลัก (นิยามศัพท์) 23 · แนวปฏิบัติ Trustmark (มาตรฐานขั้นต่ำ 10 ด้าน) 198 · คำสั่งคณะกรรมการผู้เชี่ยวชาญ (คำวินิจฉัย/บทลงโทษ) 53 · ประกาศคณะกรรมการ (กฎหมายลำดับรอง) 21
สร้างเมื่อ: 2026-08-10 · แหล่งทางการ: https://link.pdpalawbase.com (อัปเดตล่าสุดดูที่เว็บ)

กติกาเมื่อใช้ไฟล์นี้ตอบคำถาม:
- อ้าง "ชื่อโนด + ลิงก์อ้างอิง" (บรรทัด ลิงก์อ้างอิง:) ของทุกประเด็นที่ใช้
- ถ้าไม่พบคำตอบในคลัง ให้บอกว่าไม่พบ อย่าเดา อย่าแต่งเลขมาตรา
- เพื่อการศึกษา ไม่ใช่คำแนะนำทางกฎหมาย


# ชุดข้อมูล: พ.ร.บ. คุ้มครองข้อมูลส่วนบุคคล — มาตรา (96 โนด)

============================================================
โนด: มาตรา 1
ลิงก์อ้างอิง: https://link.pdpalawbase.com/section/1.md

# มาตรา 1

## ตัวบท

> มาตรา 1 พระราชบัญญัตินี้เรียกว่า "พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562"

## สรุป

มาตรานี้กำหนด **ชื่อย่อของพระราชบัญญัติ** — ใช้ชื่อ "พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562" เป็นชื่อทางการ. ในวงการมักเรียกย่อว่า **PDPA**

## มาตราที่อ้างอิง

- [มาตรา 2](https://link.pdpalawbase.com/section/2.md) — กำหนดวันบังคับใช้

## หมายเหตุ

- พ.ศ. 2562 = ค.ศ. 2019 (พ.ศ. = ค.ศ. + 543)
- กำหนดเวลาบังคับใช้กำหนดใน [มาตรา 2](https://link.pdpalawbase.com/section/2.md)
- คำย่อในวงการ: "PDPA" — ไม่มีคำย่อทางการในภาษาไทย

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/section/1.md

============================================================
โนด: มาตรา 2
ลิงก์อ้างอิง: https://link.pdpalawbase.com/section/2.md

# มาตรา 2

## ตัวบท

> มาตรา 2 พระราชบัญญัตินี้ให้ใช้บังคับตั้งแต่วันถัดจากวันประกาศในราชกิจจานุเบกษาเป็นต้นไป เว้นแต่บทบัญญัติในหมวด 2 หมวด 3 หมวด 5 หมวด 6 หมวด 7 และความใน [มาตรา 95](https://link.pdpalawbase.com/section/95.md) และ [มาตรา 96](https://link.pdpalawbase.com/section/96.md) ให้ใช้บังคับเมื่อพ้นกำหนดหนึ่งปีนับแต่วันประกาศในราชกิจจานุเบกษาเป็นต้นไป

## สรุป

มาตรานี้กำหนด **ระยะเวลาก่อนกฎหมายมีผล** — แบ่งเป็น 2 ระดับ: (1) บทบัญญัติทั่วไป มีผลตั้งแต่วันถัดจากวันประกาศในราชกิจจานุเบกษา, (2) บทบัญญัติเชิงปฏิบัติการสำคัญ (หมวด 2-3, 5-7 และ [มาตรา 95](https://link.pdpalawbase.com/section/95.md) และ [มาตรา 96](https://link.pdpalawbase.com/section/96.md)) ให้รอ **1 ปี** เพื่อให้ผู้เกี่ยวข้องเตรียมตัว

## องค์ประกอบสำคัญ

- **กลุ่มที่ 1 — มีผลทันที** (วันถัดจากวันประกาศในราชกิจจานุเบกษา):
  - ทุกบทบัญญัติที่ไม่อยู่ในกลุ่มที่ 2 (เช่น บททั่วไป, หมวด 1 คณะกรรมการ, หมวด 4 สำนักงาน)
- **กลุ่มที่ 2 — รอ 1 ปี** หลังวันประกาศในราชกิจจานุเบกษา:
  - หมวด 2 (การคุ้มครองข้อมูลส่วนบุคคล)
  - หมวด 3 (สิทธิของเจ้าของข้อมูลส่วนบุคคล)
  - หมวด 5 (การร้องเรียน)
  - หมวด 6 (ความรับผิดทางแพ่ง)
  - หมวด 7 (บทกำหนดโทษ)
  - [มาตรา 95](https://link.pdpalawbase.com/section/95.md) (บทเฉพาะกาล — ข้อมูลเก่าก่อน พ.ร.บ.)
  - [มาตรา 96](https://link.pdpalawbase.com/section/96.md) (พระราชกฤษฎีกาเลื่อนการบังคับใช้)
- **เหตุผลของระยะเวลาผ่อนผัน 1 ปี:** ให้เวลาผู้ควบคุมข้อมูลเตรียมการปฏิบัติตามกฎหมาย (DPO, ROPA, ขั้นตอนการขอความยินยอม) ก่อนถูกบังคับใช้จริง

## มาตราที่อ้างอิง

- [มาตรา 95](https://link.pdpalawbase.com/section/95.md) — บทเฉพาะกาล (สำหรับข้อมูลที่เก็บก่อน พ.ร.บ. มีผล)
- [มาตรา 96](https://link.pdpalawbase.com/section/96.md) — อำนาจ ครม. ออกพระราชกฤษฎีกาเลื่อนเวลาบังคับใช้

## หมายเหตุ

- **กลุ่มที่ 2 มีผลล่าช้า** ตามอำนาจ [มาตรา 96](https://link.pdpalawbase.com/section/96.md) ที่ให้ ครม. ออกพระราชกฤษฎีกาเลื่อนเวลาบังคับใช้
- **vacatio legis 2 ระดับ** เป็นรูปแบบการร่างกฎหมายที่ให้ผู้บังคับใช้เตรียมความพร้อม (เปรียบกับ GDPR ที่มี 2 ปี ระยะเวลาผ่อนผัน)

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/section/2.md

============================================================
โนด: มาตรา 3
ลิงก์อ้างอิง: https://link.pdpalawbase.com/section/3.md

# มาตรา 3

## ตัวบท

> มาตรา 3 ในกรณีที่มีกฎหมายว่าด้วยการใดบัญญัติเกี่ยวกับการคุ้มครองข้อมูลส่วนบุคคลในลักษณะใด กิจการใด หรือหน่วยงานใดไว้โดยเฉพาะแล้ว ให้บังคับตามบทบัญญัติแห่งกฎหมายว่าด้วยการนั้น เว้นแต่
>
> (1) บทบัญญัติเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล และบทบัญญัติเกี่ยวกับสิทธิของเจ้าของข้อมูลส่วนบุคคล รวมทั้งบทกำหนดโทษที่เกี่ยวข้อง ให้บังคับตามบทบัญญัติแห่งพระราชบัญญัตินี้เป็นการเพิ่มเติม ไม่ว่าจะซ้ำกับบทบัญญัติแห่งกฎหมายว่าด้วยการนั้นหรือไม่ก็ตาม
>
> (2) บทบัญญัติเกี่ยวกับการร้องเรียน บทบัญญัติที่ให้อำนาจแก่คณะกรรมการผู้เชี่ยวชาญออกคำสั่งเพื่อคุ้มครองเจ้าของข้อมูลส่วนบุคคล และบทบัญญัติเกี่ยวกับอำนาจหน้าที่ของพนักงานเจ้าหน้าที่ รวมทั้งบทกำหนดโทษที่เกี่ยวข้อง ให้บังคับตามบทบัญญัติแห่งพระราชบัญญัตินี้ ในกรณีดังต่อไปนี้
>
> (ก) ในกรณีที่กฎหมายว่าด้วยการนั้นไม่มีบทบัญญัติเกี่ยวกับการร้องเรียน
>
> (ข) ในกรณีที่กฎหมายว่าด้วยการนั้นมีบทบัญญัติที่ให้อำนาจแก่เจ้าหน้าที่ผู้มีอำนาจพิจารณาเรื่องร้องเรียนตามกฎหมายดังกล่าวออกคำสั่งเพื่อคุ้มครองเจ้าของข้อมูลส่วนบุคคล แต่ไม่เพียงพอเท่ากับอำนาจของคณะกรรมการผู้เชี่ยวชาญตามพระราชบัญญัตินี้และเจ้าหน้าที่ผู้มีอำนาจตามกฎหมายดังกล่าวร้องขอต่อคณะกรรมการผู้เชี่ยวชาญหรือเจ้าของข้อมูลส่วนบุคคลผู้เสียหายยื่นคำร้องเรียนต่อคณะกรรมการผู้เชี่ยวชาญตามพระราชบัญญัตินี้ แล้วแต่กรณี

## สรุป

มาตรานี้กำหนด **กฎหมายเฉพาะเรื่องมีผลแทน พ.ร.บ. นี้** — ถ้ามีกฎหมายอื่นบัญญัติเรื่องคุ้มครองข้อมูลส่วนบุคคลไว้โดยเฉพาะ ให้บังคับตามกฎหมายนั้น **เว้นแต่ 2 ประเภทบทบัญญัติที่ พ.ร.บ. นี้มีผลแทนกลับ** — เรื่องการประมวลผลข้อมูล/สิทธิเจ้าของ (ตาม (1)) และเรื่องการร้องเรียน/อำนาจกรรมการผู้เชี่ยวชาญ (ตาม (2))

## องค์ประกอบสำคัญ

**หลักทั่วไป:** กฎหมายเฉพาะเรื่องมีผลแทน พ.ร.บ. นี้

**ข้อยกเว้นที่ พ.ร.บ. นี้มีผลแทน:**

- **(1) บทบัญญัติเกี่ยวกับการเก็บรวบรวม ใช้ เปิดเผยข้อมูล + สิทธิของเจ้าของข้อมูล + บทลงโทษ** → ใช้ พ.ร.บ. นี้ **เป็นการเพิ่มเติม** (มีผลแทนกฎหมายอื่น แม้จะซ้ำกัน)
- **(2) บทบัญญัติเกี่ยวกับการร้องเรียน + อำนาจคณะกรรมการผู้เชี่ยวชาญ + อำนาจพนักงานเจ้าหน้าที่** → ใช้ พ.ร.บ. นี้ในกรณี:
  - **(ก)** กฎหมายอื่นไม่มีบทบัญญัติเกี่ยวกับการร้องเรียน
  - **(ข)** กฎหมายอื่นมีบทบัญญัติให้อำนาจ แต่อำนาจไม่เพียงพอเท่ากับคณะกรรมการผู้เชี่ยวชาญตาม พ.ร.บ. นี้

## มาตราที่อ้างอิง

_ไม่มี — มาตรานี้เป็นกฎที่กำหนดความสัมพันธ์ระหว่าง พ.ร.บ. นี้ กับกฎหมายอื่น (ไม่อ้างมาตราภายใน พ.ร.บ.)_

## หมายเหตุ

- **lex specialis** เป็นหลักกฎหมายโรมัน — กฎหมายเฉพาะเรื่องมีผลแทนกฎหมายทั่วไปเมื่อขัดแย้ง — มาตรานี้ใช้หลักนั้นเป็นหลักทั่วไป แต่พลิกกลับใน 2 เรื่องข้างต้น
- **ในทางปฏิบัติ:** องค์กรในธุรกิจที่มีกฎหมายเฉพาะของตน ต้องตรวจสอบทั้ง PDPA + กฎหมายเฉพาะ — ถ้าซ้อน → ใช้กฎหมายเฉพาะเรื่อง (เว้น (1)(2))
- **หลักความเป็นกฎหมายเฉพาะของรัฐสมาชิก:** GDPR ใช้แนวคิดคล้ายกัน — เคารพกฎหมายเฉพาะของรัฐสมาชิก EU ในเรื่องที่ EU ไม่ปรับเป็นมาตรฐานกลางเต็มที่

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/section/3.md

============================================================
โนด: มาตรา 4
ลิงก์อ้างอิง: https://link.pdpalawbase.com/section/4.md

# มาตรา 4

## ตัวบท

> มาตรา 4 พระราชบัญญัตินี้ไม่ใช้บังคับแก่
>
> (1) การเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลของบุคคลที่ทำการเก็บรวบรวมข้อมูลส่วนบุคคลเพื่อประโยชน์ส่วนตนหรือเพื่อกิจกรรมในครอบครัวของบุคคลนั้นเท่านั้น
>
> (2) การดำเนินการของหน่วยงานของรัฐที่มีหน้าที่ในการรักษาความมั่นคงของรัฐ ซึ่งรวมถึงความมั่นคงทางการคลังของรัฐ หรือการรักษาความปลอดภัยของประชาชน รวมทั้งหน้าที่เกี่ยวกับการป้องกันและปราบปรามการฟอกเงิน นิติวิทยาศาสตร์ หรือการรักษาความมั่นคงปลอดภัยไซเบอร์
>
> (3) บุคคลหรือนิติบุคคลซึ่งใช้หรือเปิดเผยข้อมูลส่วนบุคคลที่ทำการเก็บรวบรวมไว้เฉพาะเพื่อกิจการสื่อมวลชน งานศิลปกรรม หรืองานวรรณกรรมอันเป็นไปตามจริยธรรมแห่งการประกอบวิชาชีพหรือเป็นประโยชน์สาธารณะเท่านั้น
>
> (4) สภาผู้แทนราษฎร วุฒิสภา และรัฐสภา รวมถึงคณะกรรมาธิการที่แต่งตั้งโดยสภาดังกล่าว ซึ่งเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลในการพิจารณาตามหน้าที่และอำนาจของสภาผู้แทนราษฎร วุฒิสภา รัฐสภา หรือคณะกรรมาธิการ แล้วแต่กรณี
>
> (5) การพิจารณาพิพากษาคดีของศาลและการดำเนินงานของเจ้าหน้าที่ในกระบวนการพิจารณาคดี การบังคับคดี และการวางทรัพย์ รวมทั้งการดำเนินงานตามกระบวนการยุติธรรมทางอาญา
>
> (6) การดำเนินการกับข้อมูลของบริษัทข้อมูลเครดิตและสมาชิกตามกฎหมายว่าด้วยการประกอบธุรกิจข้อมูลเครดิต
>
> การยกเว้นไม่ให้นำบทบัญญัติแห่งพระราชบัญญัตินี้ทั้งหมดหรือแต่บางส่วนมาใช้บังคับแก่ผู้ควบคุมข้อมูลส่วนบุคคลในลักษณะใด กิจการใด หรือหน่วยงานใดทำนองเดียวกับผู้ควบคุมข้อมูลส่วนบุคคลตามวรรคหนึ่ง หรือเพื่อประโยชน์สาธารณะอื่นใด ให้ตราเป็นพระราชกฤษฎีกา
>
> ผู้ควบคุมข้อมูลส่วนบุคคลตามวรรคหนึ่ง (2) (3) (4) (5) และ (6) และผู้ควบคุมข้อมูลส่วนบุคคลของหน่วยงานที่ได้รับยกเว้นตามที่กำหนดในพระราชกฤษฎีกาตามวรรคสอง ต้องจัดให้มีการรักษาความมั่นคงปลอดภัยของข้อมูลส่วนบุคคลให้เป็นไปตามมาตรฐานด้วย

## สรุป

มาตรานี้กำหนด **ขอบเขตที่ พ.ร.บ. นี้ไม่ใช้บังคับ** — มี 6 ประเภทกิจกรรม/หน่วยงานที่ได้รับยกเว้น เปิดทางให้ออกพระราชกฤษฎีกาเพื่อยกเว้นเพิ่มเติม และยังบังคับให้ผู้ที่ได้รับยกเว้นใน (2)-(6) ต้องมีมาตรการความมั่นคงปลอดภัยข้อมูลตามมาตรฐาน

## องค์ประกอบสำคัญ

**6 ประเภทที่ได้รับยกเว้น (วรรคหนึ่ง):**

- **(1)** การใช้ข้อมูลเพื่อ**ประโยชน์ส่วนตนหรือกิจกรรมในครอบครัว**
- **(2)** **หน่วยงานของรัฐ** ที่มีหน้าที่รักษาความมั่นคง (รวมถึงความมั่นคงทางการคลัง การปราบปรามการฟอกเงิน นิติวิทยาศาสตร์ ความมั่นคงปลอดภัยไซเบอร์)
- **(3)** **สื่อมวลชน งานศิลปกรรม งานวรรณกรรม** ตามจริยธรรมวิชาชีพ หรือเพื่อประโยชน์สาธารณะ
- **(4)** **สภาผู้แทนราษฎร วุฒิสภา รัฐสภา** และคณะกรรมาธิการ ในการปฏิบัติหน้าที่
- **(5)** **การพิจารณาพิพากษาของศาล** กระบวนการบังคับคดี และกระบวนการยุติธรรมทางอาญา
- **(6)** **บริษัทข้อมูลเครดิต** ตามกฎหมายว่าด้วยการประกอบธุรกิจข้อมูลเครดิต

**กลไกขยาย (วรรคสอง):** ครม. สามารถออก**พระราชกฤษฎีกา**เพื่อยกเว้นเพิ่มเติม สำหรับผู้ควบคุมข้อมูลในลักษณะคล้ายกับ (1)-(6) หรือเพื่อประโยชน์สาธารณะอื่นใด

**ข้อจำกัด (วรรคสาม):** แม้ได้รับยกเว้นใน (2)-(6) หรือยกเว้นเพิ่มเติมตามพระราชกฤษฎีกา → **ยังต้องจัดให้มีการรักษาความมั่นคงปลอดภัยข้อมูลส่วนบุคคลตามมาตรฐาน** ((1) การใช้ส่วนตัว/ครอบครัว ไม่อยู่ภายใต้หน้าที่นี้)

## มาตราที่อ้างอิง

_ไม่มี — มาตรานี้กำหนดขอบเขตยกเว้นจากการบังคับใช้ พ.ร.บ. นี้ (ไม่อ้างมาตราภายใน พ.ร.บ.)_

## หมายเหตุ

- **เหตุผลของยกเว้น:** แต่ละข้อสะท้อนหลักการสำคัญที่ขัดกับการใช้บังคับ พ.ร.บ. คุ้มครองข้อมูลทั่วไป — เช่น ความมั่นคงของรัฐ (2), เสรีภาพสื่อ (3), เอกสิทธิ์รัฐสภา (4), ความเป็นอิสระของศาล (5), หรือกฎหมายเฉพาะของบริษัทข้อมูลเครดิต (6)
- **ยกเว้น ≠ ไม่มีหน้าที่ใดเลย:** วรรคสามบังคับว่าผู้ที่ได้รับยกเว้นใน (2)-(6) ยังต้องมีมาตรการความมั่นคงปลอดภัยข้อมูล — แม้ไม่ต้องปฏิบัติตามบทบัญญัติอื่นของ พ.ร.บ. นี้
- **(1) การใช้ส่วนตัว/ในครอบครัว ได้รับยกเว้นแบบเต็ม** เพราะการใช้ข้อมูลในครอบครัวอยู่นอกขอบเขตที่กฎหมายควรเข้าไปกำกับ — สอดคล้องกับ GDPR (กฎหมายคุ้มครองข้อมูลของ EU) ที่มีหลักการคล้ายกัน
- **กลไกพระราชกฤษฎีกา (วรรคสอง)** ทำให้ ครม. สามารถปรับขอบเขตยกเว้นได้ตามสถานการณ์ โดยไม่ต้องแก้ไข พ.ร.บ. — ลดความเสี่ยงของกฎหมายล้าสมัย

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/section/4.md

============================================================
โนด: มาตรา 5
ลิงก์อ้างอิง: https://link.pdpalawbase.com/section/5.md

# มาตรา 5

## ตัวบท

> มาตรา 5 พระราชบัญญัตินี้ให้ใช้บังคับแก่การเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลโดยผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคลซึ่งอยู่ในราชอาณาจักร ไม่ว่าการเก็บรวบรวม ใช้ หรือเปิดเผยนั้น ได้กระทำในหรือนอกราชอาณาจักรก็ตาม
>
> ในกรณีที่ผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคลอยู่นอกราชอาณาจักร พระราชบัญญัตินี้ให้ใช้บังคับแก่การเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลของเจ้าของข้อมูลส่วนบุคคลซึ่งอยู่ในราชอาณาจักรโดยการดำเนินกิจกรรมของผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคลดังกล่าว เมื่อเป็นกิจกรรม ดังต่อไปนี้
>
> (1) การเสนอสินค้าหรือบริการให้แก่เจ้าของข้อมูลส่วนบุคคลซึ่งอยู่ในราชอาณาจักร ไม่ว่าจะมีการชำระเงินของเจ้าของข้อมูลส่วนบุคคลหรือไม่ก็ตาม
>
> (2) การเฝ้าติดตามพฤติกรรมของเจ้าของข้อมูลส่วนบุคคลที่เกิดขึ้นในราชอาณาจักร

## สรุป

มาตรานี้กำหนด **ขอบเขตเชิงพื้นที่ของ พ.ร.บ. นี้** — บังคับใช้ทั้ง (1) ผู้ควบคุม/ประมวลผลข้อมูลที่อยู่**ในประเทศไทย** (ไม่ว่าจะประมวลผลในหรือนอกประเทศก็ตาม) และ (2) ผู้ควบคุม/ประมวลผลที่อยู่**ต่างประเทศ** แต่เก็บข้อมูลของผู้ที่อยู่ในประเทศไทย ผ่านการเสนอสินค้า/บริการ หรือการเฝ้าติดตามพฤติกรรม

## องค์ประกอบสำคัญ

**กรณีที่ 1 — ผู้ควบคุม/ประมวลผลอยู่ในประเทศไทย (วรรคหนึ่ง):**

บังคับใช้ครอบคลุม **ทั้งหมด** ไม่ว่าการประมวลผลจะกระทำในหรือนอกราชอาณาจักร

→ **หลักการ: "สถานที่ตั้งของผู้ควบคุม"** เป็นเกณฑ์

**กรณีที่ 2 — ผู้ควบคุม/ประมวลผลอยู่นอกประเทศไทย (วรรคสอง):**

บังคับใช้เฉพาะกรณีที่ผู้ควบคุม/ประมวลผลต่างประเทศทำกิจกรรมต่อ**ผู้ที่อยู่ในประเทศไทย** ผ่าน:

- **(1)** การเสนอ**สินค้าหรือบริการ** ให้กับผู้ที่อยู่ในประเทศไทย (ไม่ว่าจะคิดเงินหรือไม่)
- **(2)** การ**เฝ้าติดตามพฤติกรรม**ของผู้ที่อยู่ในประเทศไทย

→ **หลักการ: "มุ่งเป้าไปที่เจ้าของข้อมูล"** เป็นเกณฑ์

## มาตราที่อ้างอิง

_ไม่มี — มาตรานี้กำหนดขอบเขตเชิงพื้นที่ของการบังคับใช้ พ.ร.บ. นี้ (ไม่อ้างมาตราภายใน พ.ร.บ.)_

## หมายเหตุ

- **ขอบเขตคู่:** มาตรานี้บังคับใช้บนหลัก 2 ระบบ — "สถานที่ตั้งของผู้ควบคุม" (วรรคหนึ่ง) และ "มุ่งเป้าไปที่เจ้าของข้อมูล" (วรรคสอง) — ครอบคลุมทั้งกรณีในประเทศและข้ามประเทศ
- **กรณีที่ 1 ครอบคลุมการประมวลผลข้ามชายแดน:** ผู้ควบคุมในไทยที่ใช้เซิร์ฟเวอร์ต่างประเทศ หรือว่าจ้างบริษัทต่างประเทศประมวลผลข้อมูล → ยังบังคับใช้ พ.ร.บ. นี้
- **กรณีที่ 2 ครอบคลุมบริษัทต่างประเทศที่ไม่มีสำนักงานในไทย:** เช่น แพลตฟอร์มออนไลน์ต่างประเทศที่ให้บริการคนไทย หรือระบบวิเคราะห์ข้อมูลที่ติดตามพฤติกรรมคนไทย → อยู่ใต้ พ.ร.บ. นี้
- **"(1) ไม่ว่าจะคิดเงินหรือไม่" ครอบคลุมบริการฟรี** เช่น โซเชียลมีเดีย เครื่องมือออนไลน์ — แม้ไม่มีการชำระเงิน
- **สอดคล้องกับ GDPR (กฎหมายคุ้มครองข้อมูลของ EU)** ใน Article 3 (ข้อ 3) กำหนดขอบเขตเชิงพื้นที่คล้ายกัน — รูปแบบ "อาณาเขต + การมุ่งเป้า" นี้เป็นมาตรฐานของกฎหมายคุ้มครองข้อมูลสมัยใหม่

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/section/5.md

============================================================
โนด: มาตรา 6
ลิงก์อ้างอิง: https://link.pdpalawbase.com/section/6.md

# มาตรา 6

## ตัวบท

> มาตรา 6 ในพระราชบัญญัตินี้
>
> "ข้อมูลส่วนบุคคล" หมายความว่า ข้อมูลเกี่ยวกับบุคคลซึ่งทำให้สามารถระบุตัวบุคคลนั้นได้ ไม่ว่าทางตรงหรือทางอ้อม แต่ไม่รวมถึงข้อมูลของผู้ถึงแก่กรรมโดยเฉพาะ
>
> "ผู้ควบคุมข้อมูลส่วนบุคคล" หมายความว่า บุคคลหรือนิติบุคคลซึ่งมีอำนาจหน้าที่ตัดสินใจเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล
>
> "ผู้ประมวลผลข้อมูลส่วนบุคคล" หมายความว่า บุคคลหรือนิติบุคคลซึ่งดำเนินการเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลตามคำสั่งหรือในนามของผู้ควบคุมข้อมูลส่วนบุคคล ทั้งนี้ บุคคลหรือนิติบุคคลซึ่งดำเนินการดังกล่าวไม่เป็นผู้ควบคุมข้อมูลส่วนบุคคล
>
> "บุคคล" หมายความว่า บุคคลธรรมดา
>
> "คณะกรรมการ" หมายความว่า คณะกรรมการคุ้มครองข้อมูลส่วนบุคคล
>
> "พนักงานเจ้าหน้าที่" หมายความว่า ผู้ซึ่งรัฐมนตรีแต่งตั้งให้ปฏิบัติการตามพระราชบัญญัตินี้
>
> "สำนักงาน" หมายความว่า สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล
>
> "เลขาธิการ" หมายความว่า เลขาธิการคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล
>
> "รัฐมนตรี" หมายความว่า รัฐมนตรีผู้รักษาการตามพระราชบัญญัตินี้

## สรุป

มาตรานี้กำหนด **บทนิยาม** ของคำสำคัญ 9 คำที่ใช้ในพระราชบัญญัตินี้ — ครอบคลุมตั้งแต่นิยามของ "ข้อมูลส่วนบุคคล" และ "ผู้ควบคุม/ประมวลผลข้อมูล" ที่เป็นหัวใจของกฎหมาย ไปจนถึงนิยามของหน่วยงาน (คณะกรรมการ สำนักงาน) และตำแหน่งทางราชการ (เลขาธิการ รัฐมนตรี)

## องค์ประกอบสำคัญ

นิยาม 9 คำที่ปรากฏซ้ำตลอด พ.ร.บ.:

- **"ข้อมูลส่วนบุคคล"** — ข้อมูลที่ระบุตัวบุคคลได้ (ทางตรง/ทางอ้อม) ยกเว้นข้อมูลผู้เสียชีวิต
- **"ผู้ควบคุมข้อมูลส่วนบุคคล"** — บุคคล/นิติบุคคลที่ตัดสินใจเก็บ ใช้ เปิดเผย
- **"ผู้ประมวลผลข้อมูลส่วนบุคคล"** — บุคคล/นิติบุคคลที่ดำเนินการตามคำสั่งของผู้ควบคุม (ไม่ใช่ผู้ควบคุมเอง)
- **"บุคคล"** — บุคคลธรรมดาเท่านั้น (ไม่รวมนิติบุคคล)
- **"คณะกรรมการ"** — คณะกรรมการคุ้มครองข้อมูลส่วนบุคคล
- **"พนักงานเจ้าหน้าที่"** — ผู้ที่รัฐมนตรีแต่งตั้ง
- **"สำนักงาน"** — สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล
- **"เลขาธิการ"** — เลขาธิการของสำนักงาน
- **"รัฐมนตรี"** — รัฐมนตรีผู้รักษาการ (ตาม [มาตรา 7](https://link.pdpalawbase.com/section/7.md))

## มาตราที่อ้างอิง

- [มาตรา 7](https://link.pdpalawbase.com/section/7.md) — กำหนดผู้รักษาการ (ที่นิยาม "รัฐมนตรี" อ้างถึง)

## หมายเหตุ

- **หัวใจของ พ.ร.บ.:** นิยามของ "ข้อมูลส่วนบุคคล" + "ผู้ควบคุม/ประมวลผล" คือพื้นฐานในการตีความทุกบทบัญญัติที่ตามมา
- **"บุคคล" = บุคคลธรรมดาเท่านั้น:** พ.ร.บ. นี้คุ้มครองข้อมูลของบุคคลธรรมดา ไม่ใช่ของนิติบุคคล
- **ข้อมูลผู้เสียชีวิต:** ไม่อยู่ใต้ พ.ร.บ. นี้ (ตามนิยาม "ข้อมูลส่วนบุคคล")

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/section/6.md

============================================================
โนด: มาตรา 7
ลิงก์อ้างอิง: https://link.pdpalawbase.com/section/7.md

# มาตรา 7

## ตัวบท

> มาตรา 7 ให้รัฐมนตรีว่าการกระทรวงดิจิทัลเพื่อเศรษฐกิจและสังคมรักษาการตามพระราชบัญญัตินี้ และให้มีอำนาจแต่งตั้งพนักงานเจ้าหน้าที่ เพื่อปฏิบัติการตามพระราชบัญญัตินี้

## สรุป

มาตรานี้กำหนด **ผู้รักษาการ พ.ร.บ.** คือ **รัฐมนตรีว่าการกระทรวงดิจิทัลเพื่อเศรษฐกิจและสังคม** และให้รัฐมนตรีมีอำนาจแต่งตั้ง "พนักงานเจ้าหน้าที่" เพื่อปฏิบัติการตามพระราชบัญญัตินี้

## องค์ประกอบสำคัญ

- **ผู้รักษาการ:** รัฐมนตรีว่าการกระทรวงดิจิทัลเพื่อเศรษฐกิจและสังคม
- **อำนาจของรัฐมนตรี:** แต่งตั้งพนักงานเจ้าหน้าที่ตาม [มาตรา 6](https://link.pdpalawbase.com/section/6.md) (นิยาม "พนักงานเจ้าหน้าที่")

## มาตราที่อ้างอิง

- [มาตรา 6](https://link.pdpalawbase.com/section/6.md) — บทนิยาม "พนักงานเจ้าหน้าที่" ที่อ้างถึงในมาตรานี้

## หมายเหตุ

- มาตรานี้คือกลไกแต่งตั้ง "พนักงานเจ้าหน้าที่" (ตามนิยามใน [มาตรา 6](https://link.pdpalawbase.com/section/6.md)) — ไม่ใช่แค่กำหนดชื่อตำแหน่งรักษาการ

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/section/7.md

============================================================
โนด: มาตรา 8
ลิงก์อ้างอิง: https://link.pdpalawbase.com/section/8.md

# มาตรา 8

## ตัวบท

> มาตรา 8 ให้มีคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล ประกอบด้วย
>
> (1) ประธานกรรมการ ซึ่งสรรหาและแต่งตั้งจากผู้มีความรู้ ความเชี่ยวชาญ และประสบการณ์เป็นที่ประจักษ์ในด้านการคุ้มครองข้อมูลส่วนบุคคล ด้านการคุ้มครองผู้บริโภค ด้านเทคโนโลยีสารสนเทศและการสื่อสาร ด้านสังคมศาสตร์ ด้านกฎหมาย ด้านสุขภาพ ด้านการเงิน หรือด้านอื่น ทั้งนี้ ต้องเกี่ยวข้องและเป็นประโยชน์ต่อการคุ้มครองข้อมูลส่วนบุคคล
>
> (2) ปลัดกระทรวงดิจิทัลเพื่อเศรษฐกิจและสังคม เป็นรองประธานกรรมการ
>
> (3) กรรมการโดยตำแหน่ง จำนวนห้าคน ได้แก่ ปลัดสำนักนายกรัฐมนตรี เลขาธิการคณะกรรมการกฤษฎีกา เลขาธิการคณะกรรมการคุ้มครองผู้บริโภค อธิบดีกรมคุ้มครองสิทธิและเสรีภาพ และอัยการสูงสุด
>
> (4) กรรมการผู้ทรงคุณวุฒิ จำนวนเก้าคน ซึ่งสรรหาและแต่งตั้งจากผู้มีความรู้ ความเชี่ยวชาญ และประสบการณ์เป็นที่ประจักษ์ในด้านการคุ้มครองข้อมูลส่วนบุคคล ด้านการคุ้มครองผู้บริโภค ด้านเทคโนโลยีสารสนเทศและการสื่อสาร ด้านสังคมศาสตร์ ด้านกฎหมาย ด้านสุขภาพ ด้านการเงิน หรือด้านอื่น ทั้งนี้ ต้องเกี่ยวข้องและเป็นประโยชน์ต่อการคุ้มครองข้อมูลส่วนบุคคล
>
> ให้เลขาธิการเป็นกรรมการและเลขานุการ และให้เลขาธิการแต่งตั้งพนักงานของสำนักงานเป็นผู้ช่วยเลขานุการได้ไม่เกินสองคน
>
> หลักเกณฑ์และวิธีการสรรหาบุคคลเพื่อแต่งตั้งเป็นประธานกรรมการและกรรมการผู้ทรงคุณวุฒิ รวมทั้งการสรรหาประธานกรรมการและกรรมการผู้ทรงคุณวุฒิเพื่อดำรงตำแหน่งแทนผู้ที่พ้นจากตำแหน่งก่อนวาระตาม[มาตรา 13](https://link.pdpalawbase.com/section/13.md) ให้เป็นไปตามที่คณะรัฐมนตรีประกาศกำหนด ทั้งนี้ ต้องคำนึงถึงความโปร่งใสและความเป็นธรรมในการสรรหา

## สรุป

มาตรานี้กำหนด **องค์ประกอบของคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล** — ประกอบด้วยประธาน 1 คน (สรรหา), รองประธาน 1 คน (ปลัดกระทรวงดิจิทัล), กรรมการโดยตำแหน่ง 5 คน, และกรรมการผู้ทรงคุณวุฒิ 9 คน (สรรหา) รวม 16 คน — โดยมีเลขาธิการเป็นกรรมการและเลขานุการ

## องค์ประกอบสำคัญ

- **(1) ประธานกรรมการ** — สรรหาจากผู้มีความรู้/ประสบการณ์ในด้านที่เกี่ยวข้อง
- **(2) รองประธานกรรมการ** — ปลัดกระทรวงดิจิทัลเพื่อเศรษฐกิจและสังคม
- **(3) กรรมการโดยตำแหน่ง 5 คน** — ปลัดสำนักนายกฯ + เลขาธิการกฤษฎีกา + เลขาธิการคุ้มครองผู้บริโภค + อธิบดีกรมคุ้มครองสิทธิและเสรีภาพ + อัยการสูงสุด
- **(4) กรรมการผู้ทรงคุณวุฒิ 9 คน** — สรรหาจากผู้มีความรู้/ประสบการณ์ในด้านที่เกี่ยวข้อง
- **เลขาธิการ** — เป็นกรรมการและเลขานุการ + แต่งตั้งผู้ช่วยเลขานุการได้ไม่เกิน 2 คน
- **กลไกสรรหา** — คณะรัฐมนตรีกำหนดหลักเกณฑ์ + ต้องคำนึงถึงความโปร่งใส; กรณีพ้นจากตำแหน่งก่อนวาระตาม [มาตรา 13](https://link.pdpalawbase.com/section/13.md)

## มาตราที่อ้างอิง

- [มาตรา 13](https://link.pdpalawbase.com/section/13.md) — เหตุพ้นจากตำแหน่งก่อนวาระ (ที่ส่งผลต่อการสรรหาแทน)

## หมายเหตุ

- **โครงสร้างคณะกรรมการ:** 1 + 1 + 5 + 9 = 16 คน + เลขาธิการ (กรรมการและเลขานุการ)

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/section/8.md

============================================================
โนด: มาตรา 9
ลิงก์อ้างอิง: https://link.pdpalawbase.com/section/9.md

# มาตรา 9

## ตัวบท

> มาตรา 9 ให้มีคณะกรรมการสรรหาคณะหนึ่งจำนวนแปดคนทำหน้าที่คัดเลือกบุคคลที่สมควรได้รับการแต่งตั้งเป็นประธานกรรมการตาม[มาตรา 8](https://link.pdpalawbase.com/section/8.md) (1) หรือกรรมการผู้ทรงคุณวุฒิ ตาม[มาตรา 8](https://link.pdpalawbase.com/section/8.md) (4) ประกอบด้วย
>
> (1) บุคคลซึ่งนายกรัฐมนตรีแต่งตั้งจำนวนสองคน
>
> (2) บุคคลซึ่งประธานรัฐสภาแต่งตั้งจำนวนสองคน
>
> (3) บุคคลซึ่งผู้ตรวจการแผ่นดินแต่งตั้งจำนวนสองคน และ
>
> (4) บุคคลซึ่งคณะกรรมการสิทธิมนุษยชนแห่งชาติแต่งตั้งจำนวนสองคน
>
> ในกรณีที่ผู้มีอำนาจแต่งตั้งตาม (2) (3) หรือ (4) ไม่สามารถแต่งตั้งกรรมการสรรหาในส่วนของตนได้ภายในสี่สิบห้าวันนับแต่วันที่ได้รับแจ้งจากสำนักงาน ให้สำนักงานเสนอชื่อให้นายกรัฐมนตรีพิจารณาแต่งตั้งบุคคลที่เหมาะสมเป็นกรรมการสรรหาแทนผู้มีอำนาจแต่งตั้งนั้น
>
> ให้คณะกรรมการสรรหาเลือกกรรมการสรรหาคนหนึ่งเป็นประธานกรรมการสรรหาและเลือกกรรมการสรรหาอีกคนหนึ่งเป็นเลขานุการคณะกรรมการสรรหา และให้สำนักงานปฏิบัติหน้าที่เป็นหน่วยธุรการของคณะกรรมการสรรหา
>
> ในกรณีที่ตำแหน่งกรรมการสรรหาว่างลง ให้ดำเนินการเพื่อให้มีกรรมการสรรหาแทนในตำแหน่งนั้นโดยเร็ว ในระหว่างที่ยังไม่ได้กรรมการสรรหาใหม่ ให้คณะกรรมการสรรหาประกอบด้วยกรรมการสรรหาเท่าที่มีอยู่
>
> กรรมการสรรหาไม่มีสิทธิได้รับการเสนอชื่อเป็นประธานกรรมการตาม[มาตรา 8](https://link.pdpalawbase.com/section/8.md) (1) หรือกรรมการผู้ทรงคุณวุฒิตาม[มาตรา 8](https://link.pdpalawbase.com/section/8.md) (4)

## สรุป

มาตรานี้กำหนด **คณะกรรมการสรรหา** จำนวน 8 คน ทำหน้าที่คัดเลือกประธานกรรมการและกรรมการผู้ทรงคุณวุฒิตาม [มาตรา 8](https://link.pdpalawbase.com/section/8.md) — ประกอบด้วย 4 องค์กรที่แต่งตั้ง องค์กรละ 2 คน (นายกรัฐมนตรี, ประธานรัฐสภา, ผู้ตรวจการแผ่นดิน, คณะกรรมการสิทธิมนุษยชนแห่งชาติ)

## องค์ประกอบสำคัญ

- **โครงสร้างคณะกรรมการสรรหา 8 คน:**
  - **(1)** นายกรัฐมนตรีแต่งตั้ง 2 คน
  - **(2)** ประธานรัฐสภาแต่งตั้ง 2 คน
  - **(3)** ผู้ตรวจการแผ่นดินแต่งตั้ง 2 คน
  - **(4)** คณะกรรมการสิทธิมนุษยชนแห่งชาติแต่งตั้ง 2 คน
- **กรณีแต่งตั้งไม่ทันใน 45 วัน:** สำนักงานเสนอชื่อให้นายกฯ แต่งตั้งแทน
- **โครงสร้างภายใน:** เลือกกันเอง 1 คนเป็นประธาน + 1 คนเป็นเลขานุการ; สำนักงานเป็นหน่วยธุรการ
- **ข้อห้าม:** กรรมการสรรหาไม่มีสิทธิได้รับเสนอชื่อเป็นกรรมการที่ตนเองสรรหา (ป้องกันผลประโยชน์ทับซ้อน)

## มาตราที่อ้างอิง

- [มาตรา 8](https://link.pdpalawbase.com/section/8.md) — องค์ประกอบคณะกรรมการ (ที่คณะกรรมการสรรหานี้ทำหน้าที่คัดเลือก)

## หมายเหตุ

- **หลักการแบ่งแต่งตั้ง 4 องค์กร:** กระจายอำนาจการสรรหาให้องค์กรอิสระหลายแห่ง — ลดอิทธิพลของฝ่ายบริหารเดียวต่อการเลือกกรรมการ

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/section/9.md

============================================================
โนด: มาตรา 10
ลิงก์อ้างอิง: https://link.pdpalawbase.com/section/10.md

# มาตรา 10

## ตัวบท

> มาตรา 10 ในการสรรหาประธานกรรมการตาม[มาตรา 8](https://link.pdpalawbase.com/section/8.md) (1) หรือกรรมการผู้ทรงคุณวุฒิ ตาม[มาตรา 8](https://link.pdpalawbase.com/section/8.md) (4) ให้คณะกรรมการสรรหาคัดเลือกบุคคลผู้มีคุณสมบัติตาม[มาตรา 8](https://link.pdpalawbase.com/section/8.md) (1) หรือตาม[มาตรา 8](https://link.pdpalawbase.com/section/8.md) (4) แล้วแต่กรณี รวมทั้งมีคุณสมบัติและไม่มีลักษณะต้องห้ามตาม[มาตรา 11](https://link.pdpalawbase.com/section/11.md) และยินยอมให้เสนอชื่อเข้ารับคัดเลือกเท่ากับจำนวนประธานกรรมการตาม[มาตรา 8](https://link.pdpalawbase.com/section/8.md) (1) หรือกรรมการผู้ทรงคุณวุฒิตาม[มาตรา 8](https://link.pdpalawbase.com/section/8.md) (4) ที่จะได้รับแต่งตั้ง
>
> เมื่อได้คัดเลือกบุคคลเป็นประธานกรรมการตาม[มาตรา 8](https://link.pdpalawbase.com/section/8.md) (1) หรือกรรมการผู้ทรงคุณวุฒิ ตาม[มาตรา 8](https://link.pdpalawbase.com/section/8.md) (4) ครบจำนวนแล้ว ให้คณะกรรมการสรรหาแจ้งรายชื่อประธานกรรมการตาม[มาตรา 8](https://link.pdpalawbase.com/section/8.md) (1) หรือกรรมการผู้ทรงคุณวุฒิตาม[มาตรา 8](https://link.pdpalawbase.com/section/8.md) (4) พร้อมหลักฐานแสดงคุณสมบัติและการไม่มีลักษณะต้องห้าม รวมทั้งความยินยอมของบุคคลดังกล่าวต่อคณะรัฐมนตรีเพื่อแต่งตั้งเป็นประธานกรรมการตาม[มาตรา 8](https://link.pdpalawbase.com/section/8.md) (1) หรือกรรมการผู้ทรงคุณวุฒิตาม[มาตรา 8](https://link.pdpalawbase.com/section/8.md) (4)
>
> ให้นายกรัฐมนตรีประกาศรายชื่อประธานกรรมการตาม[มาตรา 8](https://link.pdpalawbase.com/section/8.md) (1) หรือกรรมการผู้ทรงคุณวุฒิ ตาม[มาตรา 8](https://link.pdpalawbase.com/section/8.md) (4) ซึ่งได้รับแต่งตั้งจากคณะรัฐมนตรีในราชกิจจานุเบกษา

## สรุป

มาตรานี้กำหนด **กระบวนการสรรหา** ประธานกรรมการและกรรมการผู้ทรงคุณวุฒิตาม [มาตรา 8](https://link.pdpalawbase.com/section/8.md) — ต้องผ่าน 3 ขั้นตอน: (1) คัดเลือกผู้มีคุณสมบัติ + ไม่มีลักษณะต้องห้ามตาม [มาตรา 11](https://link.pdpalawbase.com/section/11.md), (2) แจ้งรายชื่อต่อ ครม. แต่งตั้ง, (3) นายกรัฐมนตรีประกาศในราชกิจจานุเบกษา

## องค์ประกอบสำคัญ

- **ขั้นที่ 1 — คัดเลือก:** คณะกรรมการสรรหาคัดเลือกบุคคลผู้มี
  - คุณสมบัติตาม [มาตรา 8](https://link.pdpalawbase.com/section/8.md) (1) หรือ (4)
  - คุณสมบัติและไม่มีลักษณะต้องห้ามตาม [มาตรา 11](https://link.pdpalawbase.com/section/11.md)
  - ความยินยอมเข้ารับคัดเลือก
- **ขั้นที่ 2 — เสนอ ครม.:** แจ้งรายชื่อ + หลักฐาน + ความยินยอม ต่อคณะรัฐมนตรี
- **ขั้นที่ 3 — ประกาศ:** นายกรัฐมนตรีประกาศในราชกิจจานุเบกษา

## มาตราที่อ้างอิง

- [มาตรา 8](https://link.pdpalawbase.com/section/8.md) — องค์ประกอบคณะกรรมการ (ที่ระบุคุณสมบัติประธานและกรรมการผู้ทรงคุณวุฒิ)
- [มาตรา 11](https://link.pdpalawbase.com/section/11.md) — คุณสมบัติและลักษณะต้องห้าม

## หมายเหตุ

_(ไม่มี)_

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/section/10.md

============================================================
โนด: มาตรา 11
ลิงก์อ้างอิง: https://link.pdpalawbase.com/section/11.md

# มาตรา 11

## ตัวบท

> มาตรา 11 ประธานกรรมการและกรรมการผู้ทรงคุณวุฒิต้องมีคุณสมบัติและไม่มีลักษณะต้องห้าม ดังต่อไปนี้
>
> (1) มีสัญชาติไทย
>
> (2) ไม่เป็นบุคคลล้มละลายหรือเคยเป็นบุคคลล้มละลายทุจริต
>
> (3) ไม่เป็นคนไร้ความสามารถหรือคนเสมือนไร้ความสามารถ
>
> (4) ไม่เคยต้องคำพิพากษาถึงที่สุดให้จำคุกไม่ว่าจะได้รับโทษจำคุกจริงหรือไม่ เว้นแต่เป็นโทษสำหรับความผิดที่ได้กระทำโดยประมาทหรือความผิดลหุโทษ
>
> (5) ไม่เคยถูกไล่ออก ปลดออก หรือให้ออกจากราชการ หน่วยงานของรัฐ หรือรัฐวิสาหกิจ หรือจากหน่วยงานของเอกชน เพราะทุจริตต่อหน้าที่หรือประพฤติชั่วอย่างร้ายแรง
>
> (6) ไม่เคยถูกถอดถอนออกจากตำแหน่งตามกฎหมาย
>
> (7) ไม่เป็นผู้ดำรงตำแหน่งทางการเมือง สมาชิกสภาท้องถิ่น หรือผู้บริหารท้องถิ่น กรรมการหรือผู้ดำรงตำแหน่งซึ่งรับผิดชอบการบริหารพรรคการเมือง ที่ปรึกษาพรรคการเมือง หรือเจ้าหน้าที่พรรคการเมือง

## สรุป

มาตรานี้กำหนด **คุณสมบัติและลักษณะต้องห้าม** ของประธานกรรมการและกรรมการผู้ทรงคุณวุฒิ — มี 7 ข้อ ครอบคลุมตั้งแต่สัญชาติ ฐานะทางการเงิน ความสามารถทางกฎหมาย ประวัติอาชญากรรม ประวัติการทำงาน และความเป็นกลางทางการเมือง

## องค์ประกอบสำคัญ

- **(1) สัญชาติไทย** (คุณสมบัติเชิงบวกเดียว)
- **(2) ไม่เคยล้มละลายทุจริต**
- **(3) ไม่เป็นคนไร้ความสามารถ**
- **(4) ไม่เคยต้องโทษจำคุก** (เว้นแต่ความผิดประมาท/ลหุโทษ)
- **(5) ไม่เคยถูกไล่ออก/ปลดออก** เพราะทุจริต/ประพฤติชั่วร้ายแรง
- **(6) ไม่เคยถูกถอดถอนออกจากตำแหน่งตามกฎหมาย**
- **(7) ไม่เป็นผู้ดำรงตำแหน่งทางการเมือง** (รวมถึงผู้บริหารพรรคการเมือง)

## มาตราที่อ้างอิง

_ไม่มี — มาตรานี้คือรายการคุณสมบัติเอง_

## หมายเหตุ

- **โครงสร้างแบบรายการข้อห้าม:** 6 จาก 7 ข้อเป็นข้อห้าม (ลักษณะต้องห้าม) มีเพียงข้อ (1) ที่เป็นคุณสมบัติเชิงบวก (สัญชาติไทย)

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/section/11.md

============================================================
โนด: มาตรา 12
ลิงก์อ้างอิง: https://link.pdpalawbase.com/section/12.md

# มาตรา 12

## ตัวบท

> มาตรา 12 ประธานกรรมการและกรรมการผู้ทรงคุณวุฒิมีวาระการดำรงตำแหน่งคราวละสี่ปี เมื่อครบกำหนดตามวาระในวรรคหนึ่ง หากยังมิได้มีการแต่งตั้งประธานกรรมการหรือกรรมการผู้ทรงคุณวุฒิขึ้นใหม่ ให้ประธานกรรมการหรือกรรมการผู้ทรงคุณวุฒิซึ่งพ้นจากตำแหน่งตามวาระนั้น อยู่ในตำแหน่งเพื่อดำเนินงานต่อไปจนกว่าประธานกรรมการหรือกรรมการผู้ทรงคุณวุฒิซึ่งได้รับแต่งตั้งใหม่เข้ารับหน้าที่
>
> ประธานกรรมการและกรรมการผู้ทรงคุณวุฒิซึ่งพ้นจากตำแหน่งตามวาระอาจได้รับแต่งตั้งอีกได้ แต่จะดำรงตำแหน่งเกินสองวาระไม่ได้

## สรุป

มาตรานี้กำหนด **วาระการดำรงตำแหน่ง** ของประธานกรรมการและกรรมการผู้ทรงคุณวุฒิ — คราวละ 4 ปี + รักษาการต่อไปได้จนกว่ามีคนใหม่ + แต่งตั้งซ้ำได้แต่ไม่เกิน 2 วาระ (รวม 8 ปีสูงสุด)

## องค์ประกอบสำคัญ

- **วาระ 4 ปี ต่อครั้ง**
- **รักษาการชั่วคราว:** ถ้ายังไม่ได้แต่งตั้งคนใหม่ คนเดิมอยู่ต่อจนกว่าคนใหม่เข้ารับหน้าที่
- **เพดาน 2 วาระ:** แต่งตั้งซ้ำได้ แต่ไม่เกิน 2 วาระ (รวมสูงสุด 8 ปี)

## มาตราที่อ้างอิง

_ไม่มี — มาตรานี้กำหนดวาระเอง_

## หมายเหตุ

_(ไม่มี)_

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/section/12.md

============================================================
โนด: มาตรา 13
ลิงก์อ้างอิง: https://link.pdpalawbase.com/section/13.md

# มาตรา 13

## ตัวบท

> มาตรา 13 นอกจากการพ้นจากตำแหน่งตามวาระตาม[มาตรา 12](https://link.pdpalawbase.com/section/12.md) ประธานกรรมการและกรรมการผู้ทรงคุณวุฒิพ้นจากตำแหน่ง เมื่อ
>
> (1) ตาย
>
> (2) ลาออก
>
> (3) คณะรัฐมนตรีให้ออก เพราะบกพร่องต่อหน้าที่ มีความประพฤติเสื่อมเสีย หรือหย่อนความสามารถ
>
> (4) ขาดคุณสมบัติหรือมีลักษณะต้องห้ามตาม[มาตรา 11](https://link.pdpalawbase.com/section/11.md)
>
> ในกรณีที่ประธานกรรมการหรือกรรมการผู้ทรงคุณวุฒิพ้นจากตำแหน่งก่อนวาระ ให้ผู้ที่ได้รับแต่งตั้งแทนตำแหน่งที่ว่างนั้นดำรงตำแหน่งได้เท่ากับวาระที่เหลืออยู่ของประธานกรรมการหรือกรรมการผู้ทรงคุณวุฒิซึ่งตนแทน เว้นแต่วาระที่เหลืออยู่ไม่ถึงเก้าสิบวันจะไม่แต่งตั้งประธานกรรมการหรือกรรมการผู้ทรงคุณวุฒิแทนก็ได้
>
> ในกรณีที่ประธานกรรมการหรือกรรมการผู้ทรงคุณวุฒิพ้นจากตำแหน่งก่อนวาระ ให้คณะกรรมการประกอบด้วยกรรมการทั้งหมดเท่าที่มีอยู่จนกว่าจะมีการแต่งตั้งประธานกรรมการหรือกรรมการผู้ทรงคุณวุฒิตามวรรคสอง และในกรณีที่ประธานกรรมการพ้นจากตำแหน่งก่อนวาระ ให้รองประธานกรรมการทำหน้าที่ประธานกรรมการเป็นการชั่วคราว

## สรุป

มาตรานี้กำหนด **เหตุพ้นจากตำแหน่งก่อนวาระ** ของประธานกรรมการและกรรมการผู้ทรงคุณวุฒิ — มี 4 เหตุ (ตาย, ลาออก, ครม. ให้ออก, ขาดคุณสมบัติตาม [มาตรา 11](https://link.pdpalawbase.com/section/11.md)) + กลไกแต่งตั้งแทน + รักษาการชั่วคราวกรณีประธานพ้นจากตำแหน่ง

## องค์ประกอบสำคัญ

- **4 เหตุพ้นจากตำแหน่งก่อนวาระ:**
  - **(1)** ตาย
  - **(2)** ลาออก
  - **(3)** คณะรัฐมนตรีให้ออก (บกพร่องหน้าที่/ประพฤติเสื่อมเสีย/หย่อนความสามารถ)
  - **(4)** ขาดคุณสมบัติหรือมีลักษณะต้องห้ามตาม [มาตรา 11](https://link.pdpalawbase.com/section/11.md)
- **กลไกแต่งตั้งแทน:** ดำรงตำแหน่งเท่าวาระที่เหลือ — เว้นแต่เหลือไม่ถึง 90 วัน ไม่ต้องแต่งตั้งแทนก็ได้
- **รักษาการชั่วคราว:** ถ้าประธานกรรมการพ้นจากตำแหน่ง รองประธานทำหน้าที่ประธานชั่วคราว
- **คณะกรรมการในระหว่างนั้น:** ประกอบด้วยกรรมการเท่าที่มีอยู่ จนกว่าจะมีการแต่งตั้งใหม่

## มาตราที่อ้างอิง

- [มาตรา 12](https://link.pdpalawbase.com/section/12.md) — กำหนดวาระการดำรงตำแหน่ง (ที่มาตรานี้เพิ่มเติม "นอกจาก...")
- [มาตรา 11](https://link.pdpalawbase.com/section/11.md) — คุณสมบัติและลักษณะต้องห้าม (ที่ใช้เกณฑ์ใน (4))

## หมายเหตุ

_(ไม่มี)_

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/section/13.md

============================================================
โนด: มาตรา 14
ลิงก์อ้างอิง: https://link.pdpalawbase.com/section/14.md

# มาตรา 14

## ตัวบท

> มาตรา 14 การประชุมคณะกรรมการ ต้องมีกรรมการมาประชุมไม่น้อยกว่ากึ่งหนึ่งของจำนวนกรรมการที่มีอยู่ จึงจะเป็นองค์ประชุม
>
> ให้ประธานกรรมการเป็นประธานในที่ประชุม ในกรณีที่ประธานกรรมการไม่มาประชุมหรือไม่อาจปฏิบัติหน้าที่ได้ ให้รองประธานกรรมการทำหน้าที่เป็นประธานในที่ประชุม ในกรณีที่ประธานกรรมการและรองประธานกรรมการไม่มาประชุมหรือไม่อาจปฏิบัติหน้าที่ได้ ให้กรรมการซึ่งมาประชุมเลือกกรรมการคนหนึ่งเป็นประธานในที่ประชุม
>
> การวินิจฉัยชี้ขาดของที่ประชุมให้ถือเสียงข้างมาก กรรมการคนหนึ่งให้มีเสียงหนึ่งในการลงคะแนน ถ้าคะแนนเสียงเท่ากัน ให้ประธานในที่ประชุมออกเสียงเพิ่มขึ้นอีกเสียงหนึ่งเป็นเสียงชี้ขาด
>
> การประชุมของคณะกรรมการอาจกระทำได้โดยวิธีการทางอิเล็กทรอนิกส์หรือวิธีการอื่นได้ตามที่คณะกรรมการกำหนด

## สรุป

มาตรานี้กำหนด **กฎการประชุมคณะกรรมการ** — องค์ประชุมต้องไม่น้อยกว่ากึ่งหนึ่ง, ลำดับผู้ทำหน้าที่ประธาน (ประธาน → รองประธาน → กรรมการเลือก), เสียงข้างมากตัดสิน + ประธานออกเสียงชี้ขาดถ้าเสียงเท่ากัน, ประชุมทางอิเล็กทรอนิกส์ได้

## องค์ประกอบสำคัญ

- **องค์ประชุม:** ≥ กึ่งหนึ่งของจำนวนกรรมการที่มีอยู่
- **ลำดับประธานที่ประชุม:**
  1. ประธานกรรมการ
  2. รองประธานกรรมการ (ถ้าประธานไม่มา)
  3. กรรมการเลือกกันเอง (ถ้าทั้งคู่ไม่มา)
- **การลงคะแนน:** เสียงข้างมาก / กรรมการคนละ 1 เสียง / ประธานออกเสียงชี้ขาดถ้าเสียงเท่ากัน
- **รูปแบบการประชุม:** ปกติ หรือทางอิเล็กทรอนิกส์ (ตามที่คณะกรรมการกำหนด)

## มาตราที่อ้างอิง

_ไม่มี — มาตรานี้กำหนดกฎการประชุมเอง_

## หมายเหตุ

_(ไม่มี)_

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/section/14.md

============================================================
โนด: มาตรา 15
ลิงก์อ้างอิง: https://link.pdpalawbase.com/section/15.md

# มาตรา 15

## ตัวบท

> มาตรา 15 กรรมการผู้ใดมีส่วนได้เสียไม่ว่าโดยตรงหรือโดยอ้อมในเรื่องที่ที่ประชุมพิจารณา ให้แจ้งการมีส่วนได้เสียของตนให้คณะกรรมการทราบล่วงหน้าก่อนการประชุม และห้ามมิให้ผู้นั้นเข้าร่วมประชุมพิจารณาในเรื่องดังกล่าว

## สรุป

มาตรานี้กำหนด **หลักการป้องกันผลประโยชน์ทับซ้อน** ของกรรมการ — กรรมการที่มีส่วนได้เสีย (ทางตรง/ทางอ้อม) ในเรื่องที่ประชุมพิจารณา ต้องแจ้งล่วงหน้า + ห้ามเข้าร่วมประชุมในเรื่องนั้น

## องค์ประกอบสำคัญ

- **ขอบเขต:** ส่วนได้เสีย "ทางตรงหรือทางอ้อม" ในเรื่องที่ประชุมพิจารณา
- **หน้าที่ 2 ข้อ:**
  - แจ้งคณะกรรมการ **ล่วงหน้าก่อนการประชุม**
  - ห้ามเข้าร่วมประชุมพิจารณาในเรื่องนั้น

## มาตราที่อ้างอิง

_ไม่มี — มาตรานี้กำหนดหลักการเอง_

## หมายเหตุ

_(ไม่มี)_

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/section/15.md

============================================================
โนด: มาตรา 16
ลิงก์อ้างอิง: https://link.pdpalawbase.com/section/16.md

# มาตรา 16

## ตัวบท

> มาตรา 16 คณะกรรมการมีหน้าที่และอำนาจ ดังต่อไปนี้
>
> (1) จัดทำแผนแม่บทการดำเนินงานด้านการส่งเสริม และการคุ้มครองข้อมูลส่วนบุคคล ที่สอดคล้องกับนโยบาย ยุทธศาสตร์ชาติ และแผนระดับชาติที่เกี่ยวข้อง เพื่อเสนอต่อคณะกรรมการดิจิทัลเพื่อเศรษฐกิจและสังคมแห่งชาติตามกฎหมายว่าด้วยการพัฒนาดิจิทัลเพื่อเศรษฐกิจและสังคม
>
> (2) ส่งเสริมและสนับสนุนหน่วยงานของรัฐและภาคเอกชน ดำเนินกิจกรรมตามแผนแม่บทตาม (1) รวมทั้งจัดให้มีการประเมินผลการดำเนินงานตามแผนแม่บทดังกล่าว
>
> (3) กำหนดมาตรการหรือแนวทางการดำเนินการเกี่ยวกับการคุ้มครองข้อมูลส่วนบุคคลเพื่อให้เป็นไปตามพระราชบัญญัตินี้
>
> (4) ออกประกาศหรือระเบียบเพื่อให้การดำเนินการเป็นไปตามพระราชบัญญัตินี้
>
> (5) ประกาศกำหนดหลักเกณฑ์การให้ความคุ้มครองข้อมูลส่วนบุคคลที่ส่งหรือโอนไปยังต่างประเทศ
>
> (6) ประกาศกำหนดข้อปฏิบัติในการคุ้มครองข้อมูลส่วนบุคคลเป็นแนวทางให้ผู้ควบคุมข้อมูลส่วนบุคคลและผู้ประมวลผลข้อมูลส่วนบุคคลปฏิบัติ
>
> (7) เสนอแนะต่อคณะรัฐมนตรีให้มีการตราหรือปรับปรุงกฎหมายหรือกฎที่ใช้บังคับอยู่ในส่วนที่เกี่ยวข้องกับการคุ้มครองข้อมูลส่วนบุคคล
>
> (8) เสนอแนะต่อคณะรัฐมนตรีในการตราพระราชกฤษฎีกาหรือทบทวนความเหมาะสมของพระราชบัญญัตินี้อย่างน้อยทุกรอบห้าปี
>
> (9) ให้คำแนะนำและคำปรึกษาเกี่ยวกับการดำเนินการใด ๆ เพื่อให้ความคุ้มครองข้อมูลส่วนบุคคลของหน่วยงานของรัฐและภาคเอกชนในการปฏิบัติตามพระราชบัญญัตินี้
>
> (10) ตีความและวินิจฉัยชี้ขาดปัญหาที่เกิดจากการบังคับใช้พระราชบัญญัตินี้
>
> (11) ส่งเสริมและสนับสนุนให้เกิดทักษะการเรียนรู้และความเข้าใจเกี่ยวกับการคุ้มครองข้อมูลส่วนบุคคลให้แก่ประชาชน
>
> (12) ส่งเสริมและสนับสนุนการวิจัย เพื่อพัฒนาเทคโนโลยีที่เกี่ยวข้องกับการคุ้มครองข้อมูลส่วนบุคคล
>
> (13) ปฏิบัติการอื่นใดตามที่พระราชบัญญัตินี้หรือกฎหมายอื่นกำหนดให้เป็นหน้าที่และอำนาจของคณะกรรมการ

## สรุป

มาตรานี้กำหนด **13 หน้าที่และอำนาจ** ของคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล — ครอบคลุมตั้งแต่การจัดทำแผนแม่บท ออกประกาศ/ระเบียบ ส่งเสริม/สนับสนุน เสนอแนะกฎหมาย ตีความปัญหา ไปจนถึงการให้ความรู้ประชาชนและส่งเสริมการวิจัย

## องค์ประกอบสำคัญ

**กลุ่มงานวางแผน/นโยบาย:**

- **(1)** จัดทำแผนแม่บท + เสนอคณะกรรมการดิจิทัลแห่งชาติ
- **(2)** ส่งเสริม/สนับสนุนหน่วยงานรัฐ-เอกชนดำเนินการตามแผนแม่บท + ประเมินผล

**กลุ่มงานออกกฎ:**

- **(3)** กำหนดมาตรการ/แนวทางการคุ้มครองข้อมูล
- **(4)** ออกประกาศ/ระเบียบเพื่อบังคับใช้ พ.ร.บ.
- **(5)** ประกาศหลักเกณฑ์การส่ง/โอนข้อมูลไปต่างประเทศ
- **(6)** ประกาศข้อปฏิบัติเป็นแนวทางให้ผู้ควบคุม/ประมวลผล

**กลุ่มงานเสนอแนะ:**

- **(7)** เสนอแนะ ครม. ในการตรา/ปรับปรุงกฎหมาย
- **(8)** เสนอแนะ ครม. ในการตราพระราชกฤษฎีกา + ทบทวน พ.ร.บ. ทุก 5 ปี

**กลุ่มงานบริการ:**

- **(9)** ให้คำแนะนำ/คำปรึกษาแก่หน่วยงานรัฐ-เอกชน
- **(10)** ตีความและวินิจฉัยปัญหาจากการบังคับใช้

**กลุ่มงานส่งเสริม:**

- **(11)** ส่งเสริมความรู้ความเข้าใจให้ประชาชน
- **(12)** ส่งเสริมการวิจัยเทคโนโลยีคุ้มครองข้อมูล
- **(13)** ปฏิบัติการอื่นตามที่ พ.ร.บ. หรือกฎหมายอื่นกำหนด

## มาตราที่อ้างอิง

_ไม่มี — มาตรานี้คือรายการอำนาจหน้าที่ของคณะกรรมการ_

## หมายเหตุ

- **ทบทวน พ.ร.บ. ทุก 5 ปี** ตาม (8) เป็นกลไกป้องกันกฎหมายล้าสมัย

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/section/16.md

============================================================
โนด: มาตรา 17
ลิงก์อ้างอิง: https://link.pdpalawbase.com/section/17.md

# มาตรา 17

## ตัวบท

> มาตรา 17 ให้ประธานกรรมการ รองประธานกรรมการ และกรรมการได้รับเบี้ยประชุมและประโยชน์ตอบแทนอื่นตามหลักเกณฑ์ที่คณะรัฐมนตรีกำหนด
>
> ประธานอนุกรรมการ อนุกรรมการ ประธานกรรมการผู้เชี่ยวชาญ และกรรมการผู้เชี่ยวชาญที่คณะกรรมการแต่งตั้ง ให้ได้รับเบี้ยประชุมและประโยชน์ตอบแทนอื่นตามหลักเกณฑ์ที่คณะกรรมการกำหนดโดยความเห็นชอบของกระทรวงการคลัง

## สรุป

มาตรานี้กำหนด **เบี้ยประชุมและค่าตอบแทน** ของคณะกรรมการและคณะอนุกรรมการ — กรรมการหลัก (ประธาน รองประธาน กรรมการ) ตามหลักเกณฑ์ของ ครม.; ส่วนอนุกรรมการและกรรมการผู้เชี่ยวชาญ ตามหลักเกณฑ์ของคณะกรรมการเองโดยความเห็นชอบของกระทรวงการคลัง

## องค์ประกอบสำคัญ

- **กรรมการหลัก** (ประธาน + รองประธาน + กรรมการ): ค่าตอบแทนตามหลักเกณฑ์ของ **คณะรัฐมนตรี**
- **อนุกรรมการ + กรรมการผู้เชี่ยวชาญ**: ค่าตอบแทนตามหลักเกณฑ์ของ **คณะกรรมการเอง** โดยความเห็นชอบของ **กระทรวงการคลัง**

## มาตราที่อ้างอิง

_ไม่มี — มาตรานี้กำหนดหลักเกณฑ์ค่าตอบแทนเอง_

## หมายเหตุ

_(ไม่มี)_

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/section/17.md

============================================================
โนด: มาตรา 18
ลิงก์อ้างอิง: https://link.pdpalawbase.com/section/18.md

# มาตรา 18

## ตัวบท

> มาตรา 18 คณะกรรมการมีอำนาจแต่งตั้งคณะอนุกรรมการเพื่อพิจารณาหรือปฏิบัติการอย่างใดอย่างหนึ่งตามที่คณะกรรมการมอบหมายได้
>
> การประชุมคณะอนุกรรมการ ให้นำความใน[มาตรา 14](https://link.pdpalawbase.com/section/14.md) และ[มาตรา 15](https://link.pdpalawbase.com/section/15.md) มาใช้บังคับโดยอนุโลม

## สรุป

มาตรานี้กำหนด **อำนาจแต่งตั้งคณะอนุกรรมการ** ของคณะกรรมการ — เพื่อพิจารณา/ปฏิบัติการเฉพาะเรื่องตามที่คณะกรรมการมอบหมาย และให้กฎการประชุม ([มาตรา 14](https://link.pdpalawbase.com/section/14.md)) + ผลประโยชน์ทับซ้อน ([มาตรา 15](https://link.pdpalawbase.com/section/15.md)) นำมาใช้บังคับโดยอนุโลม

## องค์ประกอบสำคัญ

- **อำนาจแต่งตั้งอนุกรรมการ:** คณะกรรมการแต่งตั้งได้ตามที่มอบหมาย (เพื่อพิจารณา/ปฏิบัติการเฉพาะเรื่อง)
- **กฎการประชุมอนุกรรมการ:** ใช้กฎการประชุมคณะกรรมการ ([มาตรา 14](https://link.pdpalawbase.com/section/14.md)) และกฎผลประโยชน์ทับซ้อน ([มาตรา 15](https://link.pdpalawbase.com/section/15.md)) โดยอนุโลม

## มาตราที่อ้างอิง

- [มาตรา 14](https://link.pdpalawbase.com/section/14.md) — กฎการประชุมคณะกรรมการ (นำมาใช้กับอนุกรรมการโดยอนุโลม)
- [มาตรา 15](https://link.pdpalawbase.com/section/15.md) — กฎผลประโยชน์ทับซ้อน (นำมาใช้กับอนุกรรมการโดยอนุโลม)

## หมายเหตุ

_(ไม่มี)_

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/section/18.md

============================================================
โนด: มาตรา 19
ลิงก์อ้างอิง: https://link.pdpalawbase.com/section/19.md

# มาตรา 19

## ตัวบท

> มาตรา 19 ผู้ควบคุมข้อมูลส่วนบุคคลจะกระทำการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลไม่ได้ หากเจ้าของข้อมูลส่วนบุคคลไม่ได้ให้ความยินยอมไว้ก่อนหรือในขณะนั้น เว้นแต่บทบัญญัติแห่งพระราชบัญญัตินี้หรือกฎหมายอื่นบัญญัติให้กระทำได้
>
> การขอความยินยอมต้องทำโดยชัดแจ้ง เป็นหนังสือหรือทำโดยผ่านระบบอิเล็กทรอนิกส์ เว้นแต่โดยสภาพไม่อาจขอความยินยอมด้วยวิธีการดังกล่าวได้
>
> ในการขอความยินยอมจากเจ้าของข้อมูลส่วนบุคคล ผู้ควบคุมข้อมูลส่วนบุคคลต้องแจ้งวัตถุประสงค์ของการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลไปด้วย และการขอความยินยอมนั้นต้องแยกส่วนออกจากข้อความอื่นอย่างชัดเจน มีแบบหรือข้อความที่เข้าถึงได้ง่ายและเข้าใจได้ รวมทั้งใช้ภาษาที่อ่านง่าย และไม่เป็นการหลอกลวงหรือทำให้เจ้าของข้อมูลส่วนบุคคลเข้าใจผิดในวัตถุประสงค์ดังกล่าว ทั้งนี้ คณะกรรมการจะให้ผู้ควบคุมข้อมูลส่วนบุคคลขอความยินยอมจากเจ้าของข้อมูลส่วนบุคคลตามแบบและข้อความที่คณะกรรมการประกาศกำหนดก็ได้
>
> ในการขอความยินยอมจากเจ้าของข้อมูลส่วนบุคคล ผู้ควบคุมข้อมูลส่วนบุคคลต้องคำนึงอย่างถึงที่สุดในความเป็นอิสระของเจ้าของข้อมูลส่วนบุคคลในการให้ความยินยอม ทั้งนี้ ในการเข้าทำสัญญาซึ่งรวมถึงการให้บริการใด ๆ ต้องไม่มีเงื่อนไขในการให้ความยินยอมเพื่อเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลที่ไม่มีความจำเป็นหรือเกี่ยวข้องสำหรับการเข้าทำสัญญาซึ่งรวมถึงการให้บริการนั้น ๆ
>
> เจ้าของข้อมูลส่วนบุคคลจะถอนความยินยอมเสียเมื่อใดก็ได้ โดยจะต้องถอนความยินยอมได้ง่ายเช่นเดียวกับการให้ความยินยอม เว้นแต่มีข้อจำกัดสิทธิในการถอนความยินยอมโดยกฎหมายหรือสัญญาที่ให้ประโยชน์แก่เจ้าของข้อมูลส่วนบุคคล ทั้งนี้ การถอนความยินยอมย่อมไม่ส่งผลกระทบต่อการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลที่เจ้าของข้อมูลส่วนบุคคลได้ให้ความยินยอมไปแล้วโดยชอบตามที่กำหนดไว้ในหมวดนี้
>
> ในกรณีที่การถอนความยินยอมส่งผลกระทบต่อเจ้าของข้อมูลส่วนบุคคลในเรื่องใด ผู้ควบคุมข้อมูลส่วนบุคคลต้องแจ้งให้เจ้าของข้อมูลส่วนบุคคลทราบถึงผลกระทบจากการถอนความยินยอมนั้น
>
> การขอความยินยอมจากเจ้าของข้อมูลส่วนบุคคลที่ไม่เป็นไปตามที่กำหนดไว้ในหมวดนี้ ไม่มีผลผูกพันเจ้าของข้อมูลส่วนบุคคล และไม่ทำให้ผู้ควบคุมข้อมูลส่วนบุคคลสามารถทำการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลได้

## สรุป

มาตรานี้คือ **หลักการความยินยอม** — รากฐานของการคุ้มครองข้อมูลส่วนบุคคลตาม พ.ร.บ. นี้: ผู้ควบคุมข้อมูลห้ามเก็บ/ใช้/เปิดเผยข้อมูลโดยไม่ได้รับความยินยอมจากเจ้าของข้อมูล เว้นแต่กฎหมายบัญญัติให้กระทำได้ — และกำหนดเงื่อนไขการขอความยินยอม รูปแบบ ความเป็นอิสระในการให้ความยินยอม สิทธิถอนความยินยอม รวมถึงผลทางกฎหมายของการขอความยินยอมที่ไม่ถูกต้อง

## องค์ประกอบสำคัญ

- **หลักการพื้นฐาน (วรรค 1):** ห้ามเก็บ/ใช้/เปิดเผยข้อมูลโดยไม่มีความยินยอม เว้นแต่ พ.ร.บ. นี้หรือกฎหมายอื่นบัญญัติ
- **รูปแบบการขอความยินยอม (วรรค 2):** ต้องชัดแจ้ง — เป็นหนังสือ หรือทางอิเล็กทรอนิกส์ เว้นแต่สภาพทำไม่ได้
- **เงื่อนไขการขอความยินยอม (วรรค 3):**
  - ต้องแจ้งวัตถุประสงค์ของการประมวลผล
  - แยกส่วนจากข้อความอื่นอย่างชัดเจน
  - แบบเข้าถึงได้ง่าย เข้าใจได้ ใช้ภาษาที่อ่านง่าย
  - ไม่หลอกลวงหรือทำให้เข้าใจผิดในวัตถุประสงค์
  - คณะกรรมการอาจประกาศกำหนดแบบและข้อความได้
- **ความเป็นอิสระในการให้ความยินยอม (วรรค 4):**
  - ผู้ควบคุมต้องคำนึง "อย่างถึงที่สุด" ในความเป็นอิสระของเจ้าของข้อมูล
  - ห้ามผูกการให้ความยินยอมเข้ากับการเข้าทำสัญญา/การให้บริการ ที่ไม่จำเป็นหรือไม่เกี่ยวข้องกับสัญญานั้น
- **สิทธิถอนความยินยอม (วรรค 5):**
  - ถอนได้เมื่อใดก็ได้ — และต้องถอน "ได้ง่าย" เช่นเดียวกับการให้ความยินยอม
  - ข้อจำกัด: เฉพาะที่กฎหมายหรือสัญญาที่ให้ประโยชน์แก่เจ้าของข้อมูลกำหนด
  - ผลของการถอน: ไม่ย้อนหลัง — ไม่กระทบต่อการประมวลผลที่กระทำไปแล้วโดยชอบ
- **หน้าที่แจ้งผลกระทบ (วรรค 6):** ในกรณีการถอนความยินยอมส่งผลกระทบ ผู้ควบคุมต้องแจ้งให้เจ้าของข้อมูลทราบ
- **ผลทางกฎหมายของการขอความยินยอมที่ไม่ถูกต้อง (วรรค 7):**
  - ความยินยอมที่ขอไม่เป็นไปตามหมวดนี้ — **ไม่มีผลผูกพัน** เจ้าของข้อมูล
  - ผู้ควบคุมไม่ได้สิทธิประมวลผล แม้ว่าเจ้าของข้อมูลจะ "ลงนามยินยอม" แล้วก็ตาม

## มาตราที่อ้างอิง

ตัวบทมาตรานี้ไม่ได้อ้างอิงมาตราอื่นโดยตรง แต่เป็นรากฐานที่ถูกอ้างอิงจากหลายมาตรา (อ้างกลับ):

- [มาตรา 20](https://link.pdpalawbase.com/section/20.md) — ขยายความสำหรับเจ้าของข้อมูลที่เป็นผู้เยาว์/คนไร้ความสามารถ/คนเสมือนไร้ความสามารถ (ใครเป็นผู้ให้ความยินยอมแทน)
- [มาตรา 23](https://link.pdpalawbase.com/section/23.md) — ใน (6) แจ้งสิทธิเจ้าของข้อมูลรวมถึงสิทธิถอนความยินยอมตามวรรคห้าของมาตรานี้
- [มาตรา 24](https://link.pdpalawbase.com/section/24.md) — ฐานทางกฎหมาย 6 ข้อยกเว้นที่ไม่ต้องขอความยินยอมในการเก็บรวบรวม
- [มาตรา 25](https://link.pdpalawbase.com/section/25.md) — การเก็บข้อมูลจากแหล่งอื่นที่ไม่ใช่เจ้าของข้อมูลโดยตรง — อิงหลักความยินยอมของมาตรานี้
- [มาตรา 26](https://link.pdpalawbase.com/section/26.md) — ฐานสำหรับข้อมูลอ่อนไหวที่ต้อง "ความยินยอมโดยชัดแจ้ง" (เข้มกว่าความยินยอมทั่วไปในมาตรานี้)

## หมายเหตุ

- **หลักห้ามผูกความยินยอมกับสัญญาที่ไม่เกี่ยวข้อง (วรรค 4):** ห้ามผูกความยินยอมเข้ากับการเข้าทำสัญญา/การให้บริการที่ไม่เกี่ยวข้อง — ป้องกันการบังคับให้เจ้าของข้อมูลต้องยอมรับการประมวลผลที่ไม่จำเป็นเพื่อจะได้ใช้บริการ
- **สิทธิถอนความยินยอมต้อง "ได้ง่ายเช่นเดียวกับการให้" (วรรค 5):** หลักความเท่าเทียมระหว่างการให้และการถอน — ถ้าให้ความยินยอมด้วยการคลิก 1 ครั้ง การถอนต้องไม่ยุ่งยากกว่านั้น (ในแนวปฏิบัติคือ ต้องมีช่องทางถอนความยินยอมที่มองเห็นได้และทำได้ทันที)
- **ผลย้อนหลังของการถอน (วรรค 5):** การถอนความยินยอม **ไม่ลบล้าง** การประมวลผลที่ทำไปแล้ว — ดังนั้นเจ้าของข้อมูลที่ต้องการลบข้อมูลย้อนหลังต้องใช้สิทธิอื่น (เช่น สิทธิขอลบ) แยกต่างหาก
- **ความสัมพันธ์กับมาตราอื่นในหมวด 2:** มาตรานี้เป็น **หลักทั่วไป** ของการประมวลผลด้วยความยินยอม; [มาตรา 20](https://link.pdpalawbase.com/section/20.md) = ผู้ให้ความยินยอมแทนสำหรับผู้เยาว์/คนไร้ความสามารถ/คนเสมือนไร้ความสามารถ; [มาตรา 24](https://link.pdpalawbase.com/section/24.md) = ฐานข้อยกเว้นที่ไม่ต้องขอความยินยอม; [มาตรา 26](https://link.pdpalawbase.com/section/26.md) = ฐานข้อมูลอ่อนไหวที่เข้มกว่า

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/section/19.md

============================================================
โนด: มาตรา 20
ลิงก์อ้างอิง: https://link.pdpalawbase.com/section/20.md

# มาตรา 20

## ตัวบท

> มาตรา 20 ในกรณีที่เจ้าของข้อมูลส่วนบุคคลเป็นผู้เยาว์ซึ่งยังไม่บรรลุนิติภาวะโดยการสมรสหรือไม่มีฐานะเสมือนดังบุคคลซึ่งบรรลุนิติภาวะแล้วตามมาตรา 27 แห่งประมวลกฎหมายแพ่งและพาณิชย์ การขอความยินยอมจากเจ้าของข้อมูลส่วนบุคคลดังกล่าว ให้ดำเนินการ ดังต่อไปนี้
>
> (1) ในกรณีที่การให้ความยินยอมของผู้เยาว์ไม่ใช่การใด ๆ ซึ่งผู้เยาว์อาจให้ความยินยอมโดยลำพังได้ตามที่บัญญัติไว้ในมาตรา 22 มาตรา 23 หรือมาตรา 24 แห่งประมวลกฎหมายแพ่งและพาณิชย์ ต้องได้รับความยินยอมจากผู้ใช้อำนาจปกครองที่มีอำนาจกระทำการแทนผู้เยาว์ด้วย
>
> (2) ในกรณีที่ผู้เยาว์มีอายุไม่เกินสิบปี ให้ขอความยินยอมจากผู้ใช้อำนาจปกครองที่มีอำนาจกระทำการแทนผู้เยาว์
>
> ในกรณีที่เจ้าของข้อมูลส่วนบุคคลเป็นคนไร้ความสามารถ การขอความยินยอมจากเจ้าของข้อมูลส่วนบุคคลดังกล่าว ให้ขอความยินยอมจากผู้อนุบาลที่มีอำนาจกระทำการแทนคนไร้ความสามารถ
>
> ในกรณีที่เจ้าของข้อมูลส่วนบุคคลเป็นคนเสมือนไร้ความสามารถ การขอความยินยอมจากเจ้าของข้อมูลส่วนบุคคลดังกล่าว ให้ขอความยินยอมจากผู้พิทักษ์ที่มีอำนาจกระทำการแทนคนเสมือนไร้ความสามารถ
>
> ให้นำความในวรรคหนึ่ง วรรคสอง และวรรคสาม มาใช้บังคับกับการถอนความยินยอมของเจ้าของข้อมูลส่วนบุคคล การแจ้งให้เจ้าของข้อมูลส่วนบุคคลทราบ การใช้สิทธิของเจ้าของข้อมูลส่วนบุคคล การร้องเรียนของเจ้าของข้อมูลส่วนบุคคล และการอื่นใดตามพระราชบัญญัตินี้ในกรณีที่เจ้าของข้อมูลส่วนบุคคลเป็นผู้เยาว์ คนไร้ความสามารถ หรือคนเสมือนไร้ความสามารถ โดยอนุโลม

## สรุป

มาตรานี้ขยายความ [มาตรา 19](https://link.pdpalawbase.com/section/19.md) **สำหรับเจ้าของข้อมูลที่เป็นผู้เยาว์ คนไร้ความสามารถ หรือคนเสมือนไร้ความสามารถ** — กำหนดว่าใครเป็นผู้ให้ความยินยอมแทน (ผู้ใช้อำนาจปกครอง / ผู้อนุบาล / ผู้พิทักษ์) ตามสถานะของเจ้าของข้อมูล รวมถึงให้กฎเดียวกันใช้กับการถอนความยินยอม การแจ้ง การใช้สิทธิ และการร้องเรียน โดยอนุโลม

## องค์ประกอบสำคัญ

- **ผู้เยาว์ (วรรคหนึ่ง):** เจ้าของข้อมูลที่ยังไม่บรรลุนิติภาวะตามประมวลกฎหมายแพ่งและพาณิชย์ (ป.พ.พ.) — ทั้งโดยอายุและโดยฐานะ
  - **(1) กรณีทั่วไป:** ต้องได้รับความยินยอมจากผู้ใช้อำนาจปกครองด้วย — ยกเว้นกรณีที่ผู้เยาว์ให้ความยินยอมโดยลำพังได้ตาม ป.พ.พ. (ดูในตัวบทข้างต้น)
  - **(2) ผู้เยาว์อายุไม่เกิน 10 ปี:** ขอความยินยอมจากผู้ใช้อำนาจปกครองโดยตรง (ไม่ขอจากผู้เยาว์เลย)
- **คนไร้ความสามารถ (วรรคสอง):** ขอความยินยอมจาก **ผู้อนุบาล** ที่มีอำนาจกระทำการแทน
- **คนเสมือนไร้ความสามารถ (วรรคสาม):** ขอความยินยอมจาก **ผู้พิทักษ์** ที่มีอำนาจกระทำการแทน
- **ขอบเขตการบังคับใช้โดยอนุโลม (วรรคสี่):** กฎข้างต้น (ผู้ให้ความยินยอมแทน) ใช้บังคับกับเรื่องอื่น ๆ ตาม พ.ร.บ. นี้ ด้วย:
  - การถอนความยินยอม
  - การแจ้งให้เจ้าของข้อมูลทราบ
  - การใช้สิทธิของเจ้าของข้อมูล (เช่น [มาตรา 30](https://link.pdpalawbase.com/section/30.md) สิทธิเข้าถึง, [มาตรา 36](https://link.pdpalawbase.com/section/36.md) สิทธิแก้ไข)
  - การร้องเรียน
  - การอื่นใดตาม พ.ร.บ. นี้

## มาตราที่อ้างอิง

- [มาตรา 19](https://link.pdpalawbase.com/section/19.md) — หลักทั่วไปของความยินยอม (มาตรานี้เป็นส่วนขยายสำหรับผู้เยาว์/คนไร้ความสามารถ/คนเสมือนไร้ความสามารถ)
- [มาตรา 30](https://link.pdpalawbase.com/section/30.md) — สิทธิเข้าถึงข้อมูลของเจ้าของข้อมูล (กฎผู้ให้ความยินยอมแทนใช้กับการใช้สิทธินี้ด้วย)
- [มาตรา 36](https://link.pdpalawbase.com/section/36.md) — สิทธิแก้ไขข้อมูลของเจ้าของข้อมูล (กฎผู้ให้ความยินยอมแทนใช้กับการใช้สิทธินี้ด้วย)

## หมายเหตุ

- **กฎ ป.พ.พ. ที่อ้างถึงในตัวบท:** ตัวบทข้างต้นอ้าง 4 บทบัญญัติของ **ประมวลกฎหมายแพ่งและพาณิชย์** (ดูเลขมาตราเฉพาะในตัวบทข้างต้น) — ทั้งหมดเป็นกฎเรื่อง **ความสามารถของผู้เยาว์ในการทำนิติกรรม** ใน ป.พ.พ. (ไม่ใช่มาตราของ พ.ร.บ. PDPA นี้)
- **อายุ 10 ปี เป็นเส้นแบ่ง (วรรคหนึ่ง (2)):** ต่ำกว่านี้ขอจากผู้ปกครองโดยตรง — เป็นการคุ้มครองเด็กเล็กที่ยังตัดสินใจให้ความยินยอมไม่ได้
- **ผู้อนุบาล vs ผู้พิทักษ์:** เป็นบุคคลที่ศาลแต่งตั้งตาม ป.พ.พ. — ผู้อนุบาลทำแทน "คนไร้ความสามารถ" ทุกอย่าง; ผู้พิทักษ์ให้ความยินยอมแก่ "คนเสมือนไร้ความสามารถ" สำหรับกิจการบางประเภทตามที่กฎหมายกำหนด — ความเข้มของอำนาจต่างกัน
- **ขอบเขตวรรคสี่ขยายกว้าง:** "การอื่นใดตามพระราชบัญญัตินี้" — รวมการใช้สิทธิทุกข้อในหมวด 3 (สิทธิของเจ้าของข้อมูล) และการร้องเรียนในหมวด 5 — ผู้แทนต้องดำเนินการในนามของเจ้าของข้อมูล

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/section/20.md

============================================================
โนด: มาตรา 21
ลิงก์อ้างอิง: https://link.pdpalawbase.com/section/21.md

# มาตรา 21

## ตัวบท

> มาตรา 21 ผู้ควบคุมข้อมูลส่วนบุคคลต้องทำการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลตามวัตถุประสงค์ที่ได้แจ้งเจ้าของข้อมูลส่วนบุคคลไว้ก่อนหรือในขณะที่เก็บรวบรวม
>
> การเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลที่แตกต่างไปจากวัตถุประสงค์ที่ได้แจ้งไว้ตามวรรคหนึ่งจะกระทำมิได้ เว้นแต่
>
> (1) ได้แจ้งวัตถุประสงค์ใหม่นั้นให้เจ้าของข้อมูลส่วนบุคคลทราบและได้รับความยินยอมก่อนเก็บรวบรวม ใช้ หรือเปิดเผยแล้ว
>
> (2) บทบัญญัติแห่งพระราชบัญญัตินี้หรือกฎหมายอื่นบัญญัติให้กระทำได้

## สรุป

มาตรานี้คือ **หลักจำกัดวัตถุประสงค์** — ผู้ควบคุมข้อมูลต้องประมวลผลข้อมูลตามวัตถุประสงค์ที่ "ได้แจ้งไว้" ก่อนหรือในขณะเก็บรวบรวมเท่านั้น; การประมวลผลเพื่อวัตถุประสงค์ใหม่ที่ต่างจากเดิมทำไม่ได้ ยกเว้น (1) แจ้งวัตถุประสงค์ใหม่และได้รับความยินยอมก่อน หรือ (2) มีกฎหมายบัญญัติให้กระทำได้

## องค์ประกอบสำคัญ

- **หลักการ (วรรคหนึ่ง):** การเก็บ/ใช้/เปิดเผยข้อมูล ต้องเป็นไปตาม **วัตถุประสงค์ที่ได้แจ้ง** ก่อนหรือในขณะเก็บรวบรวม
- **ข้อห้าม (วรรคสอง):** การประมวลผลที่แตกต่างจากวัตถุประสงค์ที่แจ้งไว้ — ห้ามกระทำ ยกเว้นเข้าข้อยกเว้น
- **ข้อยกเว้น 2 กรณี:**
  - **(1) ความยินยอมใหม่:** แจ้งวัตถุประสงค์ใหม่ให้เจ้าของข้อมูลทราบ + ได้รับความยินยอม **ก่อน** เริ่มประมวลผล
  - **(2) กฎหมายบัญญัติ:** พ.ร.บ. นี้หรือกฎหมายอื่นกำหนดให้กระทำได้

## มาตราที่อ้างอิง

ตัวบทมาตรานี้ไม่ได้อ้างอิงมาตราอื่นโดยตรง แต่เป็นหลักที่เชื่อมโยงกับมาตราอื่น:

- [มาตรา 23](https://link.pdpalawbase.com/section/23.md) — วัตถุประสงค์ที่ "ได้แจ้ง" ตามมาตรานี้ คือสิ่งที่ผู้ควบคุมข้อมูลต้องระบุในการแจ้งการประมวลผลข้อมูลตาม [มาตรา 23](https://link.pdpalawbase.com/section/23.md) (1)
- [มาตรา 25](https://link.pdpalawbase.com/section/25.md) — การเก็บข้อมูลจากแหล่งอื่น (วรรค 3) อ้างกลับมาที่หลัก "การแจ้งวัตถุประสงค์ใหม่" ของมาตรานี้สำหรับข้อมูลที่เก็บมาแล้ว

## หมายเหตุ

- **หลักจำกัดวัตถุประสงค์** เป็น 1 ในหลักการพื้นฐานของการคุ้มครองข้อมูลส่วนบุคคล — ป้องกันการขยายวัตถุประสงค์เดิมไปเรื่อย ๆ โดยไม่บอกเจ้าของข้อมูล
- **ความสำคัญของ "ก่อนหรือในขณะเก็บรวบรวม":** วัตถุประสงค์ต้องประกาศไว้ "ตั้งแต่ต้น" — ผู้ควบคุมจะมาคิดวัตถุประสงค์ใหม่หลังเก็บไปแล้วโดยไม่ขอความยินยอมไม่ได้
- **ความเชื่อมโยงกับ [มาตรา 23](https://link.pdpalawbase.com/section/23.md) (การแจ้งการประมวลผล):** ในแนวปฏิบัติ — การแจ้งการประมวลผลต้องระบุวัตถุประสงค์ครอบคลุมตามที่จะใช้จริง; ไม่ใช่ระบุกว้าง ๆ "เพื่อใช้ตามที่บริษัทเห็นสมควร" ซึ่งจะถือว่าไม่ "ได้แจ้งไว้" ตามมาตรานี้
- **ผลของการละเมิด:** ถ้าผู้ควบคุมประมวลผลข้อมูลเพื่อวัตถุประสงค์ใหม่โดยไม่เข้าข้อยกเว้น (1) หรือ (2) — ถือว่าเป็นการประมวลผลโดยไม่ชอบด้วยกฎหมาย; เจ้าของข้อมูลสามารถใช้สิทธิคัดค้านและร้องเรียนได้

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/section/21.md

============================================================
โนด: มาตรา 22
ลิงก์อ้างอิง: https://link.pdpalawbase.com/section/22.md

# มาตรา 22

## ตัวบท

> มาตรา 22 การเก็บรวบรวมข้อมูลส่วนบุคคล ให้เก็บรวบรวมได้เท่าที่จำเป็นภายใต้วัตถุประสงค์อันชอบด้วยกฎหมายของผู้ควบคุมข้อมูลส่วนบุคคล

## สรุป

มาตรานี้คือ **หลักความจำเป็น** — เปิดส่วนที่ 2 (การเก็บรวบรวมข้อมูลส่วนบุคคล) ของหมวด 2: ผู้ควบคุมข้อมูลเก็บรวบรวมได้ "เท่าที่จำเป็น" ภายใต้ "วัตถุประสงค์อันชอบด้วยกฎหมาย" เท่านั้น — ไม่เก็บเกินกว่าที่จำเป็นและไม่เก็บเพื่อวัตถุประสงค์ที่ขัดกฎหมาย

## องค์ประกอบสำคัญ

- **เกณฑ์ที่ 1 — เท่าที่จำเป็น:** ปริมาณ ประเภท และรายละเอียดของข้อมูลที่เก็บ ต้องไม่เกินกว่าที่จำเป็นต่อการบรรลุวัตถุประสงค์ — ห้ามเก็บข้อมูล "เผื่อไว้" หรือ "เก็บไว้ก่อนเพราะอาจมีประโยชน์"
- **เกณฑ์ที่ 2 — วัตถุประสงค์อันชอบด้วยกฎหมาย:** วัตถุประสงค์ของการเก็บต้องไม่ขัดกฎหมาย — ต้องเข้าฐานทางกฎหมายตาม [มาตรา 24](https://link.pdpalawbase.com/section/24.md) หรือมีความยินยอมตาม [มาตรา 19](https://link.pdpalawbase.com/section/19.md)
- **ขอบเขตของมาตรานี้:** ใช้กับการ "เก็บรวบรวม" — การ "ใช้" และ "เปิดเผย" มีกฎเพิ่มเติมในมาตราต่อ ๆ ไป (โดยเฉพาะส่วนที่ 3 ของหมวด 2)

## มาตราที่อ้างอิง

ตัวบทมาตรานี้ไม่ได้อ้างอิงมาตราอื่นโดยตรง แต่เชื่อมโยงกับ:

- [มาตรา 19](https://link.pdpalawbase.com/section/19.md) — หลักความยินยอมที่ต้องมีก่อนเก็บ (เว้นแต่เข้าข้อยกเว้น)
- [มาตรา 24](https://link.pdpalawbase.com/section/24.md) — ฐานทางกฎหมาย 6 ข้อยกเว้นที่ไม่ต้องขอความยินยอม

## หมายเหตุ

- **เปิดส่วนที่ 2 ของหมวด 2:** ส่วนที่ 2 ครอบคลุมมาตรานี้ถึง [มาตรา 26](https://link.pdpalawbase.com/section/26.md) — เน้นกฎเฉพาะของการ "เก็บรวบรวม" (ก่อนการใช้/เปิดเผยที่อยู่ในส่วนที่ 3)
- **หลักการเก็บข้อมูลเท่าที่จำเป็น** เป็นหลักการพื้นฐานสากลของการคุ้มครองข้อมูล — ป้องกันการสะสมข้อมูลส่วนเกินที่ไม่จำเป็น ลดผลกระทบเมื่อเกิดเหตุละเมิด
- **"อันชอบด้วยกฎหมาย":** ครอบคลุม 2 มิติ — (ก) ฐานในการประมวลผลที่ถูกต้องตาม [มาตรา 24](https://link.pdpalawbase.com/section/24.md) หรือ [มาตรา 19](https://link.pdpalawbase.com/section/19.md) (ข) วัตถุประสงค์ที่ไม่ขัดกฎหมายอื่น (เช่น ไม่เก็บข้อมูลเพื่อใช้ในการกระทำผิด)
- **การปฏิบัติจริง:** ผู้ควบคุมข้อมูลควรกำหนดวัตถุประสงค์ของการเก็บไว้ล่วงหน้า แล้วเก็บเฉพาะข้อมูลที่จำเป็นต่อวัตถุประสงค์นั้น — ใช้หลัก "เก็บน้อย ใช้น้อย" เป็นแนวคิดในการออกแบบกระบวนการ

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/section/22.md

============================================================
โนด: มาตรา 23
ลิงก์อ้างอิง: https://link.pdpalawbase.com/section/23.md

# มาตรา 23

## ตัวบท

> มาตรา 23 ในการเก็บรวบรวมข้อมูลส่วนบุคคล ผู้ควบคุมข้อมูลส่วนบุคคลจะต้องแจ้งให้เจ้าของข้อมูลส่วนบุคคลทราบก่อนหรือในขณะเก็บรวบรวมข้อมูลส่วนบุคคลถึงรายละเอียดดังต่อไปนี้ เว้นแต่เจ้าของข้อมูลส่วนบุคคลได้ทราบถึงรายละเอียดนั้นอยู่แล้ว
>
> (1) วัตถุประสงค์ของการเก็บรวบรวมเพื่อการนำข้อมูลส่วนบุคคลไปใช้หรือเปิดเผยซึ่งรวมถึงวัตถุประสงค์ตามที่[มาตรา 24](https://link.pdpalawbase.com/section/24.md)ให้อำนาจในการเก็บรวบรวมได้โดยไม่ได้รับความยินยอมจากเจ้าของข้อมูลส่วนบุคคล
>
> (2) แจ้งให้ทราบถึงกรณีที่เจ้าของข้อมูลส่วนบุคคลต้องให้ข้อมูลส่วนบุคคลเพื่อปฏิบัติตามกฎหมายหรือสัญญาหรือมีความจำเป็นต้องให้ข้อมูลส่วนบุคคลเพื่อเข้าทำสัญญา รวมทั้งแจ้งถึงผลกระทบที่เป็นไปได้จากการไม่ให้ข้อมูลส่วนบุคคล
>
> (3) ข้อมูลส่วนบุคคลที่จะมีการเก็บรวบรวมและระยะเวลาในการเก็บรวบรวมไว้ ทั้งนี้ ในกรณีที่ไม่สามารถกำหนดระยะเวลาดังกล่าวได้ชัดเจน ให้กำหนดระยะเวลาที่อาจคาดหมายได้ตามมาตรฐานของการเก็บรวบรวม
>
> (4) ประเภทของบุคคลหรือหน่วยงานซึ่งข้อมูลส่วนบุคคลที่เก็บรวบรวมอาจจะถูกเปิดเผย
>
> (5) ข้อมูลเกี่ยวกับผู้ควบคุมข้อมูลส่วนบุคคล สถานที่ติดต่อ และวิธีการติดต่อ ในกรณีที่มีตัวแทนหรือเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล ให้แจ้งข้อมูล สถานที่ติดต่อ และวิธีการติดต่อของตัวแทนหรือเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลด้วย
>
> (6) สิทธิของเจ้าของข้อมูลส่วนบุคคลตาม[มาตรา 19](https://link.pdpalawbase.com/section/19.md) วรรคห้า [มาตรา 30](https://link.pdpalawbase.com/section/30.md) วรรคหนึ่ง [มาตรา 31](https://link.pdpalawbase.com/section/31.md) วรรคหนึ่ง [มาตรา 32](https://link.pdpalawbase.com/section/32.md) วรรคหนึ่ง [มาตรา 33](https://link.pdpalawbase.com/section/33.md) วรรคหนึ่ง [มาตรา 34](https://link.pdpalawbase.com/section/34.md) วรรคหนึ่ง [มาตรา 36](https://link.pdpalawbase.com/section/36.md) วรรคหนึ่ง และ[มาตรา 73](https://link.pdpalawbase.com/section/73.md) วรรคหนึ่ง

## สรุป

มาตรานี้กำหนด **หน้าที่ของผู้ควบคุมข้อมูลในการแจ้งข้อมูล** (การแจ้งความเป็นส่วนตัว) ให้เจ้าของข้อมูลทราบก่อนหรือในขณะเก็บรวบรวมข้อมูลส่วนบุคคล โดยต้องแจ้ง 6 รายละเอียดสำคัญ ได้แก่ วัตถุประสงค์ เงื่อนไขการให้ข้อมูล ระยะเวลาเก็บ ผู้รับข้อมูล ข้อมูลผู้ควบคุม/DPO และสิทธิของเจ้าของข้อมูล — เว้นแต่เจ้าของข้อมูลทราบรายละเอียดเหล่านั้นแล้ว

## องค์ประกอบสำคัญ

- **เวลาที่ต้องแจ้ง:** "ก่อนหรือในขณะเก็บรวบรวม" — ไม่ใช่หลังเก็บแล้ว
- **ข้อยกเว้น:** ไม่ต้องแจ้งหากเจ้าของข้อมูลทราบรายละเอียดอยู่แล้ว
- **6 รายละเอียดที่ต้องแจ้ง:**
  1. วัตถุประสงค์ — รวมถึงวัตถุประสงค์ตาม [มาตรา 24](https://link.pdpalawbase.com/section/24.md) ที่ไม่ต้องขอความยินยอม
  2. เงื่อนไขการให้ข้อมูล — กรณีที่จำเป็นเพื่อสัญญา/กฎหมาย + ผลกระทบหากไม่ให้
  3. ประเภทข้อมูลและระยะเวลาการเก็บ
  4. ผู้รับข้อมูล (ประเภทบุคคล/หน่วยงานที่อาจได้รับ)
  5. ข้อมูลติดต่อผู้ควบคุมและ DPO
  6. สิทธิของเจ้าของข้อมูล — อ้างอิง 9 มาตราด้านสิทธิ

## มาตราที่อ้างอิง

- [มาตรา 24](https://link.pdpalawbase.com/section/24.md) — ฐานในการเก็บรวบรวมโดยไม่ต้องขอความยินยอม (อ้างใน (1))
- [มาตรา 19](https://link.pdpalawbase.com/section/19.md) วรรคห้า — สิทธิเพิกถอนความยินยอม
- [มาตรา 30](https://link.pdpalawbase.com/section/30.md) — สิทธิขอเข้าถึงข้อมูล
- [มาตรา 31](https://link.pdpalawbase.com/section/31.md) — สิทธิให้โอนย้ายข้อมูล (สิทธิย้ายข้อมูลข้ามผู้ให้บริการ)
- [มาตรา 32](https://link.pdpalawbase.com/section/32.md) — สิทธิคัดค้านการประมวลผล
- [มาตรา 33](https://link.pdpalawbase.com/section/33.md) — สิทธิขอลบข้อมูล (สิทธิที่จะถูกลืม)
- [มาตรา 34](https://link.pdpalawbase.com/section/34.md) — สิทธิระงับการใช้ข้อมูล
- [มาตรา 36](https://link.pdpalawbase.com/section/36.md) — สิทธิขอแก้ไขข้อมูล
- [มาตรา 73](https://link.pdpalawbase.com/section/73.md) — สิทธิร้องเรียน

## หมายเหตุ

- **เทียบ GDPR:** มาตรานี้สอดคล้องกับ Article 13-14 ของ GDPR (ข้อมูลที่ต้องแจ้งเมื่อเก็บข้อมูลส่วนบุคคล)
- **แนวปฏิบัติที่ดี:** ผู้ควบคุมข้อมูลมักจัดทำ "นโยบายความเป็นส่วนตัว" หรือ "ประกาศการคุ้มครองข้อมูลส่วนบุคคล" ที่ครอบคลุม 6 รายการนี้และเผยแพร่บนเว็บไซต์/แอปพลิเคชัน
- **กรณี DPO:** หากองค์กรมีเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล ([มาตรา 41](https://link.pdpalawbase.com/section/41.md)) ต้องแจ้งข้อมูลติดต่อ DPO ตาม (5) ด้วย

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/section/23.md

============================================================
โนด: มาตรา 24
ลิงก์อ้างอิง: https://link.pdpalawbase.com/section/24.md

# มาตรา 24

## ตัวบท

> มาตรา 24 ห้ามมิให้ผู้ควบคุมข้อมูลส่วนบุคคลทำการเก็บรวบรวมข้อมูลส่วนบุคคลโดยไม่ได้รับความยินยอมจากเจ้าของข้อมูลส่วนบุคคล เว้นแต่
>
> (1) เพื่อให้บรรลุวัตถุประสงค์ที่เกี่ยวกับการจัดทำเอกสารประวัติศาสตร์หรือจดหมายเหตุเพื่อประโยชน์สาธารณะ หรือที่เกี่ยวกับการศึกษาวิจัยหรือสถิติซึ่งได้จัดให้มีมาตรการปกป้องที่เหมาะสมเพื่อคุ้มครองสิทธิและเสรีภาพของเจ้าของข้อมูลส่วนบุคคล ทั้งนี้ ตามที่คณะกรรมการประกาศกำหนด
>
> (2) เพื่อป้องกันหรือระงับอันตรายต่อชีวิต ร่างกาย หรือสุขภาพของบุคคล
>
> (3) เป็นการจำเป็นเพื่อการปฏิบัติตามสัญญาซึ่งเจ้าของข้อมูลส่วนบุคคลเป็นคู่สัญญาหรือเพื่อใช้ในการดำเนินการตามคำขอของเจ้าของข้อมูลส่วนบุคคลก่อนเข้าทำสัญญานั้น
>
> (4) เป็นการจำเป็นเพื่อการปฏิบัติหน้าที่ในการดำเนินภารกิจเพื่อประโยชน์สาธารณะของผู้ควบคุมข้อมูลส่วนบุคคล หรือปฏิบัติหน้าที่ในการใช้อำนาจรัฐที่ได้มอบให้แก่ผู้ควบคุมข้อมูลส่วนบุคคล
>
> (5) เป็นการจำเป็นเพื่อประโยชน์โดยชอบด้วยกฎหมายของผู้ควบคุมข้อมูลส่วนบุคคล หรือของบุคคลหรือนิติบุคคลอื่นที่ไม่ใช่ผู้ควบคุมข้อมูลส่วนบุคคล เว้นแต่ประโยชน์ดังกล่าวมีความสำคัญน้อยกว่าสิทธิขั้นพื้นฐานในข้อมูลส่วนบุคคลของเจ้าของข้อมูลส่วนบุคคล
>
> (6) เป็นการปฏิบัติตามกฎหมายของผู้ควบคุมข้อมูลส่วนบุคคล

## สรุป

มาตรานี้คือ **หัวใจของฐานทางกฎหมายในการเก็บรวบรวมข้อมูล** กำหนดว่าโดยหลักการแล้ว ผู้ควบคุมข้อมูลต้องได้รับ **ความยินยอม** จากเจ้าของข้อมูลก่อนเก็บรวบรวม — แต่มีข้อยกเว้น 6 ข้อที่อนุญาตให้เก็บได้โดยไม่ต้องขอความยินยอม

## องค์ประกอบสำคัญ

- **หลักการพื้นฐาน:** ห้ามเก็บข้อมูลโดยไม่ได้รับความยินยอม
- **6 ข้อยกเว้น (ฐานทางกฎหมาย):**
  1. **วิจัย/สถิติ/จดหมายเหตุ** — ต้องมีมาตรการปกป้องตามที่คณะกรรมการกำหนด
  2. **ประโยชน์อันสำคัญยิ่ง** — ป้องกันอันตรายต่อชีวิต/ร่างกาย/สุขภาพ
  3. **สัญญา** — จำเป็นเพื่อปฏิบัติตามสัญญา หรือก่อนเข้าทำสัญญา
  4. **ภารกิจสาธารณะ** — ปฏิบัติหน้าที่เพื่อประโยชน์สาธารณะ หรือใช้อำนาจรัฐ
  5. **ประโยชน์โดยชอบด้วยกฎหมาย** — ของผู้ควบคุมหรือบุคคลที่สาม โดยมีการชั่งน้ำหนักกับสิทธิของเจ้าของข้อมูล
  6. **การปฏิบัติตามกฎหมาย** — ผู้ควบคุมต้องปฏิบัติตามกฎหมาย
- **ความสำคัญ:** ฐานเหล่านี้เป็น "หลักทั่วไป" สำหรับข้อมูลทั่วไป — ข้อมูลอ่อนไหวมีกฎเข้มกว่าตาม [มาตรา 26](https://link.pdpalawbase.com/section/26.md)

## มาตราที่อ้างอิง

มาตรานี้ไม่ได้อ้างอิงมาตราอื่นในตัวบท แต่ถูกอ้างอิงจากหลายมาตรา (อ้างกลับ):

- [มาตรา 23](https://link.pdpalawbase.com/section/23.md) — แจ้งวัตถุประสงค์ตามฐานใน (1)-(6)
- [มาตรา 26](https://link.pdpalawbase.com/section/26.md) — ฐานสำหรับข้อมูลอ่อนไหว (เป็นข้อยกเว้นเฉพาะ ต่างจากมาตราทั่วไปนี้)
- [มาตรา 27](https://link.pdpalawbase.com/section/27.md) — ฐานในการใช้/เปิดเผย อ้างกลับมาที่มาตรานี้

## หมายเหตุ

- **เทียบ GDPR:** สอดคล้องกับ Article 6 ของ GDPR (ความชอบด้วยกฎหมายของการประมวลผล) — ทั้ง 6 ข้อใน PDPA สอดคล้องกับ 6 ฐานทางกฎหมายของ GDPR
- **การเทียบฐาน:**
  - PDPA (1) = GDPR Art. 6(1)(e) + Art. 89 (วิจัย)
  - PDPA (2) = GDPR Art. 6(1)(d) (ประโยชน์อันสำคัญยิ่ง)
  - PDPA (3) = GDPR Art. 6(1)(b) (สัญญา)
  - PDPA (4) = GDPR Art. 6(1)(e) (ภารกิจสาธารณะ)
  - PDPA (5) = GDPR Art. 6(1)(f) (ประโยชน์โดยชอบด้วยกฎหมาย)
  - PDPA (6) = GDPR Art. 6(1)(c) (การปฏิบัติตามกฎหมาย)
- **ข้อ (5) ประโยชน์โดยชอบด้วยกฎหมาย:** เป็นฐานที่ใช้บ่อยในภาคธุรกิจ แต่ต้องทำ **การชั่งน้ำหนัก** เปรียบเทียบประโยชน์กับสิทธิของเจ้าของข้อมูล
- **ความยินยอมเป็น "ฐานที่ 7":** หากไม่เข้าข้อยกเว้นใดเลย ผู้ควบคุมต้องขอความยินยอมตาม [มาตรา 19](https://link.pdpalawbase.com/section/19.md)

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/section/24.md

============================================================
โนด: มาตรา 25
ลิงก์อ้างอิง: https://link.pdpalawbase.com/section/25.md

# มาตรา 25

## ตัวบท

> มาตรา 25 ห้ามมิให้ผู้ควบคุมข้อมูลส่วนบุคคลทำการเก็บรวบรวมข้อมูลส่วนบุคคลจากแหล่งอื่นที่ไม่ใช่จากเจ้าของข้อมูลส่วนบุคคลโดยตรง เว้นแต่
>
> (1) ได้แจ้งถึงการเก็บรวบรวมข้อมูลส่วนบุคคลจากแหล่งอื่นให้แก่เจ้าของข้อมูลส่วนบุคคลทราบโดยไม่ชักช้า แต่ต้องไม่เกินสามสิบวันนับแต่วันที่เก็บรวบรวมและได้รับความยินยอมจากเจ้าของข้อมูลส่วนบุคคล
>
> (2) เป็นการเก็บรวบรวมข้อมูลส่วนบุคคลที่ได้รับยกเว้นไม่ต้องขอความยินยอมตาม[มาตรา 24](https://link.pdpalawbase.com/section/24.md) หรือ[มาตรา 26](https://link.pdpalawbase.com/section/26.md)
>
> ให้นำบทบัญญัติเกี่ยวกับการแจ้งวัตถุประสงค์ใหม่ตาม[มาตรา 21](https://link.pdpalawbase.com/section/21.md) และการแจ้งรายละเอียดตาม[มาตรา 23](https://link.pdpalawbase.com/section/23.md) มาใช้บังคับกับการเก็บรวบรวมข้อมูลส่วนบุคคลที่ต้องได้รับความยินยอมตามวรรคหนึ่ง โดยอนุโลม เว้นแต่กรณีดังต่อไปนี้
>
> (1) เจ้าของข้อมูลส่วนบุคคลทราบวัตถุประสงค์ใหม่หรือรายละเอียดนั้นอยู่แล้ว
>
> (2) ผู้ควบคุมข้อมูลส่วนบุคคลพิสูจน์ได้ว่าการแจ้งวัตถุประสงค์ใหม่หรือรายละเอียดดังกล่าวไม่สามารถทำได้หรือจะเป็นอุปสรรคต่อการใช้หรือเปิดเผยข้อมูลส่วนบุคคล โดยเฉพาะอย่างยิ่งเพื่อให้บรรลุวัตถุประสงค์เกี่ยวกับการศึกษาวิจัยทางวิทยาศาสตร์ ประวัติศาสตร์ หรือสถิติ ในกรณีนี้ผู้ควบคุมข้อมูลส่วนบุคคลต้องจัดให้มีมาตรการที่เหมาะสมเพื่อคุ้มครองสิทธิ เสรีภาพ และประโยชน์ของเจ้าของข้อมูลส่วนบุคคล
>
> (3) การใช้หรือการเปิดเผยข้อมูลส่วนบุคคลต้องกระทำโดยเร่งด่วนตามที่กฎหมายกำหนด ซึ่งได้จัดให้มีมาตรการที่เหมาะสมเพื่อคุ้มครองประโยชน์ของเจ้าของข้อมูลส่วนบุคคล
>
> (4) เมื่อผู้ควบคุมข้อมูลส่วนบุคคลเป็นผู้ซึ่งล่วงรู้หรือได้มาซึ่งข้อมูลส่วนบุคคลจากหน้าที่หรือจากการประกอบอาชีพหรือวิชาชีพและต้องรักษาวัตถุประสงค์ใหม่หรือรายละเอียดบางประการตาม[มาตรา 23](https://link.pdpalawbase.com/section/23.md) ไว้เป็นความลับตามที่กฎหมายกำหนด
>
> การแจ้งรายละเอียดตามวรรคสอง ผู้ควบคุมข้อมูลส่วนบุคคลต้องแจ้งให้เจ้าของข้อมูลส่วนบุคคลทราบภายในสามสิบวันนับแต่วันที่เก็บรวบรวมตามมาตรานี้ เว้นแต่กรณีที่นำข้อมูลส่วนบุคคลไปใช้เพื่อการติดต่อกับเจ้าของข้อมูลส่วนบุคคลต้องแจ้งในการติดต่อครั้งแรก และกรณีที่จะนำข้อมูลส่วนบุคคลไปเปิดเผย ต้องแจ้งก่อนที่จะนำข้อมูลส่วนบุคคลไปเปิดเผยเป็นครั้งแรก

## สรุป

มาตรานี้กำหนด **กฎพิเศษสำหรับการเก็บข้อมูลจากแหล่งอื่นที่ไม่ใช่เจ้าของข้อมูลโดยตรง** — โดยหลักการห้าม ยกเว้น (1) แจ้งและขอความยินยอมจากเจ้าของข้อมูลภายใน 30 วัน หรือ (2) เข้าฐานข้อยกเว้นตาม [มาตรา 24](https://link.pdpalawbase.com/section/24.md) หรือ [มาตรา 26](https://link.pdpalawbase.com/section/26.md) — และกำหนดเงื่อนไขเพิ่มเติมในการแจ้งรายละเอียด พร้อมข้อยกเว้นการแจ้ง 4 กรณี

## องค์ประกอบสำคัญ

- **หลักการ (วรรคหนึ่ง):** ห้ามเก็บข้อมูลจากแหล่งอื่นที่ไม่ใช่เจ้าของข้อมูลโดยตรง — เช่น ซื้อรายชื่อจากผู้ให้บริการข้อมูล รับมาจากพันธมิตรธุรกิจ หรือดึงจากแหล่งสาธารณะ
- **ข้อยกเว้น 2 กรณี (วรรคหนึ่ง (1)-(2)):**
  - **(1) แจ้ง + ขอความยินยอม:** แจ้งภายในไม่ชักช้า แต่ไม่เกิน **30 วัน** นับจากวันที่เก็บ + ได้รับความยินยอม
  - **(2) เข้าฐานข้อยกเว้น:** ตาม [มาตรา 24](https://link.pdpalawbase.com/section/24.md) (ข้อมูลทั่วไป) หรือ [มาตรา 26](https://link.pdpalawbase.com/section/26.md) (ข้อมูลอ่อนไหว)
- **กฎเสริมสำหรับการแจ้งรายละเอียด (วรรคสอง):**
  - ใช้กฎ [มาตรา 21](https://link.pdpalawbase.com/section/21.md) (วัตถุประสงค์ใหม่) + [มาตรา 23](https://link.pdpalawbase.com/section/23.md) (การแจ้งรายละเอียด) มาบังคับโดยอนุโลม — เฉพาะกรณีต้องขอความยินยอมตามวรรคหนึ่ง
- **ข้อยกเว้นการแจ้ง 4 กรณี (วรรคสอง (1)-(4)):**
  - **(1) เจ้าของข้อมูลทราบอยู่แล้ว** — ไม่ต้องแจ้งซ้ำ
  - **(2) ทำไม่ได้ในทางปฏิบัติหรือเป็นอุปสรรค** — โดยเฉพาะการศึกษาวิจัย/ประวัติศาสตร์/สถิติ ต้องมีมาตรการคุ้มครองทดแทน
  - **(3) ความเร่งด่วนตามกฎหมาย** — มีมาตรการคุ้มครองทดแทน
  - **(4) หน้าที่รักษาความลับ** — ผู้ควบคุมเป็นผู้ที่ต้องรักษาความลับตามวิชาชีพ/หน้าที่
- **ระยะเวลาการแจ้งรายละเอียด (วรรคสาม):**
  - **30 วัน** เป็นค่าเริ่มต้น
  - **ก่อนการติดต่อครั้งแรก** หากนำไปใช้ติดต่อ
  - **ก่อนการเปิดเผยครั้งแรก** หากนำไปเปิดเผย

## มาตราที่อ้างอิง

- [มาตรา 21](https://link.pdpalawbase.com/section/21.md) — หลักจำกัดวัตถุประสงค์ (ใช้บังคับกับการแจ้งวัตถุประสงค์ใหม่ในการเก็บจากแหล่งอื่น)
- [มาตรา 23](https://link.pdpalawbase.com/section/23.md) — การแจ้งรายละเอียด 6 ข้อ (บังคับใช้โดยอนุโลม)
- [มาตรา 24](https://link.pdpalawbase.com/section/24.md) — ฐานข้อยกเว้นไม่ต้องขอความยินยอม สำหรับข้อมูลทั่วไป
- [มาตรา 26](https://link.pdpalawbase.com/section/26.md) — ฐานข้อยกเว้นไม่ต้องขอความยินยอมโดยชัดแจ้ง สำหรับข้อมูลอ่อนไหว

## หมายเหตุ

- **กรอบเวลา 30 วัน:** เป็นเส้นแบ่งสำคัญในแนวปฏิบัติ — ผู้ควบคุมข้อมูลที่ซื้อรายชื่อหรือรับข้อมูลจากพันธมิตรธุรกิจ ต้องวางกระบวนการแจ้งภายใน 30 วันให้ทันเวลา ไม่งั้นการเก็บไม่ชอบด้วยกฎหมาย
- **ข้อยกเว้นการแจ้ง (4) "หน้าที่รักษาความลับ":** ครอบคลุมวิชาชีพที่มีหน้าที่รักษาความลับตามกฎหมาย เช่น ทนาย แพทย์ ผู้สอบบัญชี เจ้าหน้าที่รัฐบางประเภท — ในกรณีเหล่านี้ การแจ้งอาจขัดกับหน้าที่รักษาความลับ
- **เชื่อมโยงกับการประมวลผลที่ทำต่อ:** เมื่อเก็บถูกต้องตามมาตรานี้แล้ว การใช้/เปิดเผยข้อมูลที่เก็บมา ยังต้องเป็นไปตามวัตถุประสงค์ที่แจ้งและฐานทางกฎหมายตามมาตราอื่นในหมวดนี้

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/section/25.md

============================================================
โนด: มาตรา 26
ลิงก์อ้างอิง: https://link.pdpalawbase.com/section/26.md

# มาตรา 26

## ตัวบท

> มาตรา 26 ห้ามมิให้เก็บรวบรวมข้อมูลส่วนบุคคลเกี่ยวกับเชื้อชาติ เผ่าพันธุ์ ความคิดเห็นทางการเมือง ความเชื่อในลัทธิ ศาสนาหรือปรัชญา พฤติกรรมทางเพศ ประวัติอาชญากรรม ข้อมูลสุขภาพ ความพิการ ข้อมูลสหภาพแรงงาน ข้อมูลพันธุกรรม ข้อมูลชีวภาพ หรือข้อมูลอื่นใดซึ่งกระทบต่อเจ้าของข้อมูลส่วนบุคคลในทำนองเดียวกันตามที่คณะกรรมการประกาศกำหนด โดยไม่ได้รับความยินยอมโดยชัดแจ้งจากเจ้าของข้อมูลส่วนบุคคล เว้นแต่
>
> (1) เพื่อป้องกันหรือระงับอันตรายต่อชีวิต ร่างกาย หรือสุขภาพของบุคคลซึ่งเจ้าของข้อมูลส่วนบุคคลไม่สามารถให้ความยินยอมได้ ไม่ว่าด้วยเหตุใดก็ตาม
>
> (2) เป็นการดำเนินกิจกรรมโดยชอบด้วยกฎหมายที่มีการคุ้มครองที่เหมาะสมของมูลนิธิ สมาคม หรือองค์กรที่ไม่แสวงหากำไรที่มีวัตถุประสงค์เกี่ยวกับการเมือง ศาสนา ปรัชญา หรือสหภาพแรงงาน ให้แก่สมาชิก ผู้ซึ่งเคยเป็นสมาชิก หรือผู้ซึ่งมีการติดต่ออย่างสม่ำเสมอกับมูลนิธิ สมาคม หรือองค์กรที่ไม่แสวงหากำไรตามวัตถุประสงค์ดังกล่าวโดยไม่ได้เปิดเผยข้อมูลส่วนบุคคลนั้นออกไปภายนอกมูลนิธิ สมาคม หรือองค์กรที่ไม่แสวงหากำไรนั้น
>
> (3) เป็นข้อมูลที่เปิดเผยต่อสาธารณะด้วยความยินยอมโดยชัดแจ้งของเจ้าของข้อมูลส่วนบุคคล
>
> (4) เป็นการจำเป็นเพื่อการก่อตั้งสิทธิเรียกร้องตามกฎหมาย การปฏิบัติตามหรือการใช้สิทธิเรียกร้องตามกฎหมาย หรือการยกขึ้นต่อสู้สิทธิเรียกร้องตามกฎหมาย
>
> (5) เป็นการจำเป็นในการปฏิบัติตามกฎหมายเพื่อให้บรรลุวัตถุประสงค์เกี่ยวกับ
>
> (ก) เวชศาสตร์ป้องกันหรืออาชีวเวชศาสตร์ การประเมินความสามารถในการทำงานของลูกจ้าง การวินิจฉัยโรคทางการแพทย์ การให้บริการด้านสุขภาพหรือด้านสังคม การรักษาทางการแพทย์ การจัดการด้านสุขภาพ หรือระบบและการให้บริการด้านสังคมสงเคราะห์ ทั้งนี้ ในกรณีที่ไม่ใช่การปฏิบัติตามกฎหมายและข้อมูลส่วนบุคคลนั้นอยู่ในความรับผิดชอบของผู้ประกอบอาชีพหรือวิชาชีพหรือผู้มีหน้าที่รักษาข้อมูลส่วนบุคคลนั้นไว้เป็นความลับตามกฎหมาย ต้องเป็นการปฏิบัติตามสัญญาระหว่างเจ้าของข้อมูลส่วนบุคคลกับผู้ประกอบวิชาชีพทางการแพทย์
>
> (ข) ประโยชน์สาธารณะด้านการสาธารณสุข เช่น การป้องกันด้านสุขภาพจากโรคติดต่ออันตรายหรือโรคระบาดที่อาจติดต่อหรือแพร่เข้ามาในราชอาณาจักร หรือการควบคุมมาตรฐานหรือคุณภาพของยา เวชภัณฑ์ หรือเครื่องมือแพทย์ ซึ่งได้จัดให้มีมาตรการที่เหมาะสมและเจาะจงเพื่อคุ้มครองสิทธิและเสรีภาพของเจ้าของข้อมูลส่วนบุคคลโดยเฉพาะการรักษาความลับของข้อมูลส่วนบุคคลตามหน้าที่หรือตามจริยธรรมแห่งวิชาชีพ
>
> (ค) การคุ้มครองแรงงาน การประกันสังคม หลักประกันสุขภาพแห่งชาติ สวัสดิการเกี่ยวกับการรักษาพยาบาลของผู้มีสิทธิตามกฎหมาย การคุ้มครองผู้ประสบภัยจากรถ หรือการคุ้มครองทางสังคม ซึ่งการเก็บรวบรวมข้อมูลส่วนบุคคลเป็นสิ่งจำเป็นในการปฏิบัติตามสิทธิหรือหน้าที่ของผู้ควบคุมข้อมูลส่วนบุคคลหรือเจ้าของข้อมูลส่วนบุคคล โดยได้จัดให้มีมาตรการที่เหมาะสมเพื่อคุ้มครองสิทธิขั้นพื้นฐานและประโยชน์ของเจ้าของข้อมูลส่วนบุคคล
>
> (ง) การศึกษาวิจัยทางวิทยาศาสตร์ ประวัติศาสตร์ หรือสถิติ หรือประโยชน์สาธารณะอื่น ทั้งนี้ ต้องกระทำเพื่อให้บรรลุวัตถุประสงค์ดังกล่าวเพียงเท่าที่จำเป็นเท่านั้น และได้จัดให้มีมาตรการที่เหมาะสมเพื่อคุ้มครองสิทธิขั้นพื้นฐานและประโยชน์ของเจ้าของข้อมูลส่วนบุคคล ตามที่คณะกรรมการประกาศกำหนด
>
> (จ) ประโยชน์สาธารณะที่สำคัญ โดยได้จัดให้มีมาตรการที่เหมาะสมเพื่อคุ้มครองสิทธิขั้นพื้นฐานและประโยชน์ของเจ้าของข้อมูลส่วนบุคคล
>
> ข้อมูลชีวภาพตามวรรคหนึ่งให้หมายถึงข้อมูลส่วนบุคคลที่เกิดจากการใช้เทคนิคหรือเทคโนโลยีที่เกี่ยวข้องกับการนำลักษณะเด่นทางกายภาพหรือทางพฤติกรรมของบุคคลมาใช้ทำให้สามารถยืนยันตัวตนของบุคคลนั้นที่ไม่เหมือนกับบุคคลอื่นได้ เช่น ข้อมูลภาพจำลองใบหน้า ข้อมูลจำลองม่านตา หรือข้อมูลจำลองลายนิ้วมือ
>
> ในกรณีที่เป็นการเก็บรวบรวมข้อมูลส่วนบุคคลเกี่ยวกับประวัติอาชญากรรมต้องกระทำภายใต้การควบคุมของหน่วยงานที่มีอำนาจหน้าที่ตามกฎหมาย หรือได้จัดให้มีมาตรการคุ้มครองข้อมูลส่วนบุคคลตามหลักเกณฑ์ที่คณะกรรมการประกาศกำหนด

## สรุป

มาตรานี้คือ **หลักการห้ามเก็บข้อมูลอ่อนไหว** เป็นกฎเข้มกว่าข้อมูลทั่วไปตาม [มาตรา 24](https://link.pdpalawbase.com/section/24.md) โดยห้ามเก็บข้อมูลอ่อนไหวเกี่ยวกับเชื้อชาติ ศาสนา การเมือง สุขภาพ พันธุกรรม ฯลฯ โดยไม่ได้รับ **ความยินยอมโดยชัดแจ้ง** (เข้มกว่าความยินยอมทั่วไป) — เว้นแต่เข้าข้อยกเว้น 5 ข้อในมาตรานี้

## องค์ประกอบสำคัญ

- **ประเภทของข้อมูลอ่อนไหว** ที่ระบุชัดในมาตรา:
  1. เชื้อชาติ เผ่าพันธุ์
  2. ความคิดเห็นทางการเมือง
  3. ความเชื่อในลัทธิ ศาสนา หรือปรัชญา
  4. พฤติกรรมทางเพศ
  5. ประวัติอาชญากรรม
  6. ข้อมูลสุขภาพ ความพิการ
  7. ข้อมูลสหภาพแรงงาน
  8. ข้อมูลพันธุกรรม
  9. ข้อมูลชีวภาพ (เช่น ใบหน้า ม่านตา ลายนิ้วมือ)
  10. ข้อมูลอื่นใดที่คณะกรรมการประกาศกำหนด
- **มาตรฐานความยินยอม:** ต้อง **"ชัดแจ้ง"** — เข้มกว่าความยินยอมทั่วไป
- **5 ข้อยกเว้นที่อนุญาตเก็บโดยไม่ต้องขอความยินยอมโดยชัดแจ้ง:**
  1. ป้องกันอันตรายต่อชีวิต/ร่างกาย/สุขภาพ เมื่อเจ้าของให้ความยินยอมไม่ได้
  2. กิจกรรมขององค์กรไม่แสวงหากำไรเกี่ยวกับศาสนา/การเมือง/สหภาพ
  3. ข้อมูลที่เจ้าของเปิดเผยต่อสาธารณะโดยชัดแจ้ง
  4. การก่อตั้ง/ใช้/ต่อสู้สิทธิเรียกร้องตามกฎหมาย
  5. การปฏิบัติตามกฎหมายในด้านการแพทย์/สาธารณสุข/แรงงาน/วิจัย/ประโยชน์สาธารณะ
- **กรณีพิเศษ ประวัติอาชญากรรม:** ต้องอยู่ใต้การควบคุมของหน่วยงานที่มีอำนาจ หรือมีมาตรการตามที่คณะกรรมการกำหนด

## มาตราที่อ้างอิง

- [มาตรา 24](https://link.pdpalawbase.com/section/24.md) — มาตราทั่วไปสำหรับข้อมูลทั่วไป (มาตรานี้เป็น **กฎเฉพาะเรื่อง** ของข้อมูลอ่อนไหว ใช้แทนเมื่อเป็นข้อมูลอ่อนไหว)

## หมายเหตุ

- **เทียบ GDPR Article 9:** มาตรานี้สอดคล้องกับ "ข้อมูลประเภทพิเศษ" ใน GDPR
  - **PDPA กว้างกว่า GDPR:** PDPA ระบุ "ประวัติอาชญากรรม" ในมาตรานี้ ขณะที่ GDPR แยกเป็น Article 10 ต่างหาก
  - **PDPA ระบุ "ความพิการ"** ขณะที่ GDPR ไม่ระบุชัด
- **ความยินยอมโดยชัดแจ้ง vs ทั่วไป:** ความแตกต่างอยู่ที่ "รูปแบบของการให้ความยินยอม" — ชัดแจ้งต้อง:
  - แยกออกจากความยินยอมทั่วไป (ไม่รวมกับเรื่องอื่น)
  - ระบุประเภทข้อมูลและวัตถุประสงค์ชัดเจน
  - มีหลักฐานที่ตรวจสอบได้
- **กรณีธุรกิจขนาดเล็กต้องระวัง:**
  - ภาพถ่ายจับใบหน้า → ข้อมูลชีวภาพ → ต้องขอความยินยอมโดยชัดแจ้ง
  - แบบสมัครงานถามสุขภาพ/ศาสนา → ข้อมูลอ่อนไหว
  - ข้อมูลสมาชิกสหภาพแรงงาน → ข้อมูลอ่อนไหว
- **ภาพจำลองใบหน้า (การรู้จำใบหน้า):** ตัวบทยืนยันชัดเจนว่าเป็น "ข้อมูลชีวภาพ" — กระทบการใช้งานปัญญาประดิษฐ์และกล้องวงจรปิดมาก

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/section/26.md

============================================================
โนด: มาตรา 27
ลิงก์อ้างอิง: https://link.pdpalawbase.com/section/27.md

# มาตรา 27

## ตัวบท

> มาตรา 27 ห้ามมิให้ผู้ควบคุมข้อมูลส่วนบุคคลใช้หรือเปิดเผยข้อมูลส่วนบุคคล โดยไม่ได้รับความยินยอมจากเจ้าของข้อมูลส่วนบุคคล เว้นแต่เป็นข้อมูลส่วนบุคคลที่เก็บรวบรวมได้โดยได้รับยกเว้นไม่ต้องขอความยินยอมตาม[มาตรา 24](https://link.pdpalawbase.com/section/24.md)หรือ[มาตรา 26](https://link.pdpalawbase.com/section/26.md)
>
> บุคคลหรือนิติบุคคลที่ได้รับข้อมูลส่วนบุคคลมาจากการเปิดเผยตามวรรคหนึ่ง จะต้องไม่ใช้หรือเปิดเผยข้อมูลส่วนบุคคลเพื่อวัตถุประสงค์อื่นนอกเหนือจากวัตถุประสงค์ที่ได้แจ้งไว้กับผู้ควบคุมข้อมูลส่วนบุคคลในการขอรับข้อมูลส่วนบุคคลนั้น
>
> ในกรณีที่ผู้ควบคุมข้อมูลส่วนบุคคลใช้หรือเปิดเผยข้อมูลส่วนบุคคลที่ได้รับยกเว้นไม่ต้องขอความยินยอมตามวรรคหนึ่ง ผู้ควบคุมข้อมูลส่วนบุคคลต้องบันทึกการใช้หรือเปิดเผยนั้นไว้ในรายการตาม[มาตรา 39](https://link.pdpalawbase.com/section/39.md)

## สรุป

มาตรานี้ขยายหลักการของ [มาตรา 24](https://link.pdpalawbase.com/section/24.md) (ที่กำกับการ "เก็บรวบรวม") มาที่ขั้น **"ใช้หรือเปิดเผย"** ข้อมูลส่วนบุคคล โดยห้ามใช้/เปิดเผยโดยไม่ได้รับความยินยอม เว้นแต่เป็นข้อมูลที่เก็บมาได้โดยฐานยกเว้นตาม [มาตรา 24](https://link.pdpalawbase.com/section/24.md) (ข้อมูลทั่วไป) หรือ [มาตรา 26](https://link.pdpalawbase.com/section/26.md) (ข้อมูลอ่อนไหว) — และผู้รับข้อมูลเองก็ผูกพันกับวัตถุประสงค์เดิม

## องค์ประกอบสำคัญ

- **หลักการ (วรรค 1):** ห้ามใช้/เปิดเผยข้อมูลโดยไม่ได้รับความยินยอม เว้นแต่ข้อมูลถูกเก็บมาโดยฐานยกเว้นใน [มาตรา 24](https://link.pdpalawbase.com/section/24.md) หรือ [มาตรา 26](https://link.pdpalawbase.com/section/26.md)
- **ข้อจำกัดของผู้รับข้อมูล (วรรค 2):** บุคคล/นิติบุคคลที่ได้รับข้อมูลต้อง:
  - ไม่ใช้/เปิดเผยเพื่อวัตถุประสงค์อื่น
  - ผูกพันตามวัตถุประสงค์ที่แจ้งไว้กับผู้ควบคุมข้อมูลตอนขอข้อมูล
  - หลัก **จำกัดวัตถุประสงค์** — วัตถุประสงค์ของผู้รับขยายเพิ่มเองไม่ได้
- **หน้าที่บันทึก (วรรค 3):** กรณีใช้/เปิดเผยโดยฐานยกเว้น ผู้ควบคุมต้องบันทึกใน **ROPA** (รายการกิจกรรมประมวลผลตาม [มาตรา 39](https://link.pdpalawbase.com/section/39.md))

## มาตราที่อ้างอิง

- [มาตรา 24](https://link.pdpalawbase.com/section/24.md) — ฐานในการเก็บรวบรวมข้อมูลทั่วไป (วรรค 1 อ้างฐานที่อนุญาตให้เก็บโดยไม่ต้องขอความยินยอม → ใช้/เปิดเผยตามฐานเดิม)
- [มาตรา 26](https://link.pdpalawbase.com/section/26.md) — ฐานในการเก็บข้อมูลอ่อนไหว (เช่นเดียวกับ[มาตรา 24](https://link.pdpalawbase.com/section/24.md) แต่สำหรับข้อมูลอ่อนไหว)
- [มาตรา 39](https://link.pdpalawbase.com/section/39.md) — บันทึกรายการกิจกรรมประมวลผล (ROPA)

## หมายเหตุ

- **โครงสร้างของ "วงจรชีวิตข้อมูล" ใน PDPA:**
  - **เก็บรวบรวม:** [มาตรา 24](https://link.pdpalawbase.com/section/24.md) (ทั่วไป) + [มาตรา 26](https://link.pdpalawbase.com/section/26.md) (อ่อนไหว)
  - **ใช้/เปิดเผย:** มาตรานี้ — ใช้ฐานที่อ้างถึงตอนเก็บได้
  - **โอนต่างประเทศ:** [มาตรา 28](https://link.pdpalawbase.com/section/28.md) - [มาตรา 29](https://link.pdpalawbase.com/section/29.md)
- **เทียบ GDPR:** สอดคล้องกับ Article 5(1)(b) (จำกัดวัตถุประสงค์) + Article 6 (ความชอบด้วยกฎหมายของการประมวลผล)
- **ข้อสังเกตของ ROPA (วรรค 3):**
  - บังคับเฉพาะกรณีใช้ฐานยกเว้น (ไม่ขอความยินยอม)
  - การใช้ที่มีความยินยอม ก็ควรบันทึก ROPA แต่ไม่ใช่ตามมาตรานี้ (แต่เพราะ [มาตรา 39](https://link.pdpalawbase.com/section/39.md) เอง)
- **ผู้รับข้อมูลผูกพันการจำกัดวัตถุประสงค์:**
  - กรณีบริษัทแบ่งข้อมูลให้ผู้ให้บริการภายนอก — ผู้ให้บริการต้องปฏิบัติตามวัตถุประสงค์เดิม
  - กรณีถ่ายโอนข้อมูลภายในกลุ่มบริษัท — บริษัทรับยังต้องปฏิบัติตามวัตถุประสงค์เดิม
- **กรณีธุรกิจขนาดเล็กที่ต้องระวัง:**
  - การตลาดผ่านอีเมลใช้ข้อมูลลูกค้าที่เก็บมาเพื่อ "การซื้อสินค้า" → เป็นการใช้นอกวัตถุประสงค์
  - รายชื่อลูกค้าให้บริษัทในเครือ → บริษัทในเครือต้องไม่ใช้นอกวัตถุประสงค์เดิม

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/section/27.md

============================================================
โนด: มาตรา 28
ลิงก์อ้างอิง: https://link.pdpalawbase.com/section/28.md

# มาตรา 28

## ตัวบท

> มาตรา 28 ในกรณีที่ผู้ควบคุมข้อมูลส่วนบุคคลส่งหรือโอนข้อมูลส่วนบุคคลไปยังต่างประเทศ ประเทศปลายทางหรือองค์การระหว่างประเทศที่รับข้อมูลส่วนบุคคลต้องมีมาตรฐานการคุ้มครองข้อมูลส่วนบุคคลที่เพียงพอ ทั้งนี้ ต้องเป็นไปตามหลักเกณฑ์การให้ความคุ้มครองข้อมูลส่วนบุคคลตามที่คณะกรรมการประกาศกำหนดตาม[มาตรา 16](https://link.pdpalawbase.com/section/16.md) (5) เว้นแต่
>
> (1) เป็นการปฏิบัติตามกฎหมาย
>
> (2) ได้รับความยินยอมจากเจ้าของข้อมูลส่วนบุคคลโดยได้แจ้งให้เจ้าของข้อมูลส่วนบุคคลทราบถึงมาตรฐานการคุ้มครองข้อมูลส่วนบุคคลที่ไม่เพียงพอของประเทศปลายทางหรือองค์การระหว่างประเทศที่รับข้อมูลส่วนบุคคลแล้ว
>
> (3) เป็นการจำเป็นเพื่อการปฏิบัติตามสัญญาซึ่งเจ้าของข้อมูลส่วนบุคคลเป็นคู่สัญญาหรือเพื่อใช้ในการดำเนินการตามคำขอของเจ้าของข้อมูลส่วนบุคคลก่อนเข้าทำสัญญานั้น
>
> (4) เป็นการกระทำตามสัญญาระหว่างผู้ควบคุมข้อมูลส่วนบุคคลกับบุคคลหรือนิติบุคคลอื่น เพื่อประโยชน์ของเจ้าของข้อมูลส่วนบุคคล
>
> (5) เพื่อป้องกันหรือระงับอันตรายต่อชีวิต ร่างกาย หรือสุขภาพของเจ้าของข้อมูลส่วนบุคคลหรือบุคคลอื่น เมื่อเจ้าของข้อมูลส่วนบุคคลไม่สามารถให้ความยินยอมในขณะนั้นได้
>
> (6) เป็นการจำเป็นเพื่อการดำเนินภารกิจเพื่อประโยชน์สาธารณะที่สำคัญ
>
> ในกรณีที่มีปัญหาเกี่ยวกับมาตรฐานการคุ้มครองข้อมูลส่วนบุคคลที่เพียงพอของประเทศปลายทางหรือองค์การระหว่างประเทศที่รับข้อมูลส่วนบุคคล ให้เสนอต่อคณะกรรมการเป็นผู้วินิจฉัย ทั้งนี้ คำวินิจฉัยของคณะกรรมการอาจขอให้ทบทวนได้เมื่อมีหลักฐานใหม่ทำให้เชื่อได้ว่าประเทศปลายทางหรือองค์การระหว่างประเทศที่รับข้อมูลส่วนบุคคลมีการพัฒนาจนมีมาตรฐานการคุ้มครองข้อมูลส่วนบุคคลที่เพียงพอ

## สรุป

มาตรานี้คือ **กฎการส่งข้อมูลส่วนบุคคลไปต่างประเทศ** — โดยหลักการ ประเทศปลายทาง/องค์การระหว่างประเทศที่รับข้อมูลต้องมี **"มาตรฐานการคุ้มครองข้อมูลที่เพียงพอ"** ตามหลักเกณฑ์ที่คณะกรรมการประกาศ ([มาตรา 16](https://link.pdpalawbase.com/section/16.md) (5)) — เว้นแต่เข้าข้อยกเว้น 6 ข้อ — และให้คณะกรรมการเป็นผู้วินิจฉัยกรณีปัญหา

## องค์ประกอบสำคัญ

- **หลักการ (วรรคหนึ่ง):** การส่งข้อมูลไปต่างประเทศต้องไปยังประเทศ/องค์การที่ "มีมาตรฐานการคุ้มครองที่เพียงพอ" ตามหลักเกณฑ์ของคณะกรรมการ ([มาตรา 16](https://link.pdpalawbase.com/section/16.md) (5))
- **ข้อยกเว้น 6 กรณี:**
  - **(1) ปฏิบัติตามกฎหมาย** — กฎหมายไทยหรือกฎหมายอื่นกำหนด
  - **(2) ความยินยอมโดยรับทราบ:** เจ้าของข้อมูลรู้ว่าประเทศปลายทาง/องค์การไม่มีมาตรฐานเพียงพอแล้วยังยินยอม
  - **(3) จำเป็นเพื่อสัญญา:** เจ้าของข้อมูลเป็นคู่สัญญา หรือก่อนเข้าทำสัญญา
  - **(4) สัญญากับบุคคลที่สามเพื่อประโยชน์เจ้าของข้อมูล:** ผู้ควบคุมทำสัญญากับบุคคลที่สามเพื่อประโยชน์ของเจ้าของข้อมูล
  - **(5) อันตรายต่อชีวิต/ร่างกาย/สุขภาพ** เมื่อเจ้าของข้อมูลให้ความยินยอมในขณะนั้นไม่ได้
  - **(6) ภารกิจเพื่อประโยชน์สาธารณะที่สำคัญ**
- **กลไกการวินิจฉัย (วรรคสอง):**
  - เมื่อมีปัญหาเรื่องมาตรฐานเพียงพอ → เสนอ **คณะกรรมการ** เป็นผู้วินิจฉัย
  - คำวินิจฉัยทบทวนได้เมื่อมีหลักฐานใหม่ (เช่น ประเทศปลายทางออกกฎหมายคุ้มครองข้อมูลที่เข้มขึ้น)

## มาตราที่อ้างอิง

- [มาตรา 16](https://link.pdpalawbase.com/section/16.md) (5) — อำนาจคณะกรรมการในการประกาศหลักเกณฑ์การส่งข้อมูลต่างประเทศ
- [มาตรา 29](https://link.pdpalawbase.com/section/29.md) — ข้อยกเว้นเพิ่มเติมสำหรับการส่งภายในเครือกิจการ/เครือธุรกิจที่มีนโยบายคุ้มครองข้อมูล (เทียบเท่า BCR)

## หมายเหตุ

- **"มาตรฐานการคุ้มครองข้อมูลที่เพียงพอ":** เป็นแนวคิดมาตรฐาน — ประเทศปลายทางต้องมีระบบกฎหมายและกลไกบังคับใช้ที่ให้การคุ้มครองในระดับใกล้เคียงกับ พ.ร.บ. นี้ การประเมินขึ้นอยู่กับหลักเกณฑ์ที่คณะกรรมการประกาศ
- **ข้อยกเว้น (2) ต้องเป็นความยินยอมโดยรับทราบ:** ไม่ใช่ความยินยอมทั่วไป — ต้องแจ้งโดยเฉพาะเจาะจงว่าประเทศปลายทาง/องค์การไม่มีมาตรฐานเพียงพอ ก่อนขอความยินยอม
- **เชื่อมโยงกับ [มาตรา 29](https://link.pdpalawbase.com/section/29.md):** ผู้ควบคุมที่มี "นโยบายในการคุ้มครองข้อมูลส่วนบุคคล" สำหรับเครือกิจการที่ได้รับการรับรองจากสำนักงาน → ส่งข้อมูลไปต่างประเทศได้โดย **ยกเว้น** ม.28 (เป็นทางเลือกอีกทางสำหรับการส่งข้อมูลข้ามประเทศ)
- **กรณีปฏิบัติจริง:** องค์กรที่ใช้บริการคลาวด์จากต่างประเทศ (เช่น AWS, Google Cloud, Azure) ต้องตรวจว่าเขตที่ตั้งของเซิร์ฟเวอร์อยู่ในประเทศที่มีมาตรฐานเพียงพอ หรือเข้าข้อยกเว้นใดข้อหนึ่ง หรือใช้ ม.29

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/section/28.md

============================================================
โนด: มาตรา 29
ลิงก์อ้างอิง: https://link.pdpalawbase.com/section/29.md

# มาตรา 29

## ตัวบท

> มาตรา 29 ในกรณีที่ผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคลซึ่งอยู่ในราชอาณาจักรได้กำหนดนโยบายในการคุ้มครองข้อมูลส่วนบุคคลเพื่อการส่งหรือโอนข้อมูลส่วนบุคคลไปยังผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคลซึ่งอยู่ต่างประเทศและอยู่ในเครือกิจการหรือเครือธุรกิจเดียวกันเพื่อการประกอบกิจการหรือธุรกิจร่วมกัน หากนโยบายในการคุ้มครองข้อมูลส่วนบุคคลดังกล่าวได้รับการตรวจสอบและรับรองจากสำนักงาน การส่งหรือโอนข้อมูลส่วนบุคคลไปยังต่างประเทศที่เป็นไปตามนโยบายในการคุ้มครองข้อมูลส่วนบุคคลที่ได้รับการตรวจสอบและรับรองดังกล่าว ให้สามารถกระทำได้โดยได้รับยกเว้นไม่ต้องปฏิบัติตาม[มาตรา 28](https://link.pdpalawbase.com/section/28.md)
>
> นโยบายในการคุ้มครองข้อมูลส่วนบุคคล ลักษณะของเครือกิจการหรือเครือธุรกิจเดียวกันเพื่อการประกอบกิจการหรือธุรกิจร่วมกัน และหลักเกณฑ์และวิธีการตรวจสอบและรับรองตามวรรคหนึ่ง ให้เป็นไปตามที่คณะกรรมการประกาศกำหนด
>
> ในกรณีที่ยังไม่มีคำวินิจฉัยของคณะกรรมการตาม[มาตรา 28](https://link.pdpalawbase.com/section/28.md) หรือยังไม่มีนโยบายในการคุ้มครองข้อมูลส่วนบุคคลตามวรรคหนึ่ง ผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคลอาจส่งหรือโอนข้อมูลส่วนบุคคลไปยังต่างประเทศได้โดยได้รับยกเว้นไม่ต้องปฏิบัติตาม[มาตรา 28](https://link.pdpalawbase.com/section/28.md) เมื่อผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคลได้จัดให้มีมาตรการคุ้มครองที่เหมาะสมสามารถบังคับตามสิทธิของเจ้าของข้อมูลส่วนบุคคลได้ รวมทั้งมีมาตรการเยียวยาทางกฎหมายที่มีประสิทธิภาพ ตามหลักเกณฑ์และวิธีการที่คณะกรรมการประกาศกำหนด

## สรุป

มาตรานี้กำหนด **2 ทางเลือกสำหรับการส่งข้อมูลไปต่างประเทศที่ยกเว้น [มาตรา 28](https://link.pdpalawbase.com/section/28.md):**

1. **นโยบายคุ้มครองข้อมูลภายในเครือกิจการ** — ผู้ควบคุม/ผู้ประมวลผลในไทยกำหนดนโยบายคุ้มครองข้อมูลสำหรับการส่งข้อมูลไปยังเครือกิจการ/เครือธุรกิจในต่างประเทศ ที่ได้รับการรับรองจากสำนักงาน → ส่งได้ตามนโยบายนั้น
2. **มาตรการคุ้มครองที่เหมาะสมเฉพาะกรณี** (กรณียังไม่มีคำวินิจฉัยและไม่มีนโยบาย) — ต้องจัดมาตรการคุ้มครองที่บังคับสิทธิและเยียวยาทางกฎหมายได้ ตามหลักเกณฑ์ของคณะกรรมการ

## องค์ประกอบสำคัญ

- **ทางเลือกที่ 1 — นโยบายภายในเครือกิจการ (วรรคหนึ่ง):**
  - **ใคร:** ผู้ควบคุมข้อมูล/ผู้ประมวลผลข้อมูลในไทย
  - **ส่งไปไหน:** ผู้ควบคุม/ผู้ประมวลผลในต่างประเทศที่อยู่ใน **เครือกิจการหรือเครือธุรกิจเดียวกัน**
  - **เพื่ออะไร:** การประกอบกิจการ/ธุรกิจร่วมกัน
  - **เงื่อนไข:** นโยบายต้องได้รับการ **ตรวจสอบและรับรองจากสำนักงาน**
  - **ผล:** ส่งข้อมูลได้โดย**ยกเว้น** [มาตรา 28](https://link.pdpalawbase.com/section/28.md)
- **กลไกของนโยบาย (วรรคสอง):** รายละเอียดของนโยบาย ลักษณะของเครือกิจการ และหลักเกณฑ์การตรวจสอบ → ตามประกาศคณะกรรมการ
- **ทางเลือกที่ 2 — มาตรการเฉพาะกรณี (วรรคสาม):**
  - **เมื่อใด:** ยังไม่มีคำวินิจฉัยของคณะกรรมการตาม [มาตรา 28](https://link.pdpalawbase.com/section/28.md) (กรณีปัญหา) **หรือ** ยังไม่มีนโยบายตามวรรคหนึ่ง
  - **เงื่อนไข:** ผู้ควบคุม/ผู้ประมวลผลต้องจัดให้มี:
    - มาตรการคุ้มครองที่ **บังคับสิทธิของเจ้าของข้อมูลได้**
    - มาตรการ **เยียวยาทางกฎหมายที่มีประสิทธิภาพ**
  - **เป็นไปตาม:** หลักเกณฑ์และวิธีการที่คณะกรรมการประกาศ

## มาตราที่อ้างอิง

- [มาตรา 28](https://link.pdpalawbase.com/section/28.md) — กฎทั่วไปการส่งข้อมูลต่างประเทศ (มาตรานี้เป็นข้อยกเว้น 2 ทาง)

## หมายเหตุ

- **เปรียบเทียบกับมาตรฐานสากล:** ทางเลือกที่ 1 ใกล้เคียงกับแนวคิด **BCR** ในกฎหมายคุ้มครองข้อมูลของ EU — เป็นนโยบายภายในกลุ่มบริษัทที่ผูกพันสมาชิกในเครือทุกประเทศ
- **เครือกิจการ/เครือธุรกิจเดียวกัน:** เป็นนิยามที่ต้องดูประกาศคณะกรรมการ — ในแนวปฏิบัติทั่วไปครอบคลุมบริษัทแม่/บริษัทลูก, บริษัทในเครือที่ถือหุ้นข้ามกัน, และบริษัทร่วมทุนที่มีโครงสร้างกำกับร่วม
- **ทางเลือกที่ 2 เป็นทางเลือกสำรอง:** สำหรับกรณีที่ยังไม่ได้รับการรับรองนโยบาย หรือยังไม่มีคำวินิจฉัยเรื่องประเทศปลายทาง — ผู้ควบคุมต้องวางมาตรการคุ้มครองเทียบเท่าด้วยตนเอง โดยเน้น 2 องค์ประกอบ: บังคับสิทธิได้ + มีมาตรการเยียวยาที่มีประสิทธิภาพ
- **ในแนวปฏิบัติ:** องค์กรข้ามชาติมักเลือก **ทางเลือกที่ 1** เพราะให้ความแน่นอนทางกฎหมาย; องค์กรขนาดเล็กที่ส่งข้อมูลครั้งคราวมักใช้ **ความยินยอมโดยรับทราบ** ตาม [มาตรา 28](https://link.pdpalawbase.com/section/28.md) (2) แทน

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/section/29.md

============================================================
โนด: มาตรา 30
ลิงก์อ้างอิง: https://link.pdpalawbase.com/section/30.md

# มาตรา 30

## ตัวบท

> มาตรา 30 เจ้าของข้อมูลส่วนบุคคลมีสิทธิขอเข้าถึงและขอรับสำเนาข้อมูลส่วนบุคคลที่เกี่ยวกับตนซึ่งอยู่ในความรับผิดชอบของผู้ควบคุมข้อมูลส่วนบุคคล หรือขอให้เปิดเผยถึงการได้มาซึ่งข้อมูลส่วนบุคคลดังกล่าวที่ตนไม่ได้ให้ความยินยอม
>
> ผู้ควบคุมข้อมูลส่วนบุคคลต้องปฏิบัติตามคำขอตามวรรคหนึ่ง จะปฏิเสธคำขอได้เฉพาะในกรณีที่เป็นการปฏิเสธตามกฎหมายหรือคำสั่งศาล และการเข้าถึงและขอรับสำเนาข้อมูลส่วนบุคคลนั้นจะส่งผลกระทบที่อาจก่อให้เกิดความเสียหายต่อสิทธิและเสรีภาพของบุคคลอื่น
>
> ในกรณีที่ผู้ควบคุมข้อมูลส่วนบุคคลปฏิเสธคำขอตามวรรคหนึ่ง ให้ผู้ควบคุมข้อมูลส่วนบุคคลบันทึกการปฏิเสธคำขอดังกล่าวพร้อมด้วยเหตุผลไว้ในรายการตาม[มาตรา 39](https://link.pdpalawbase.com/section/39.md)
>
> เมื่อเจ้าของข้อมูลส่วนบุคคลมีคำขอตามวรรคหนึ่งและเป็นกรณีที่ไม่อาจปฏิเสธคำขอได้ตามวรรคสอง ให้ผู้ควบคุมข้อมูลส่วนบุคคลดำเนินการตามคำขอโดยไม่ชักช้า แต่ต้องไม่เกินสามสิบวันนับแต่วันที่ได้รับคำขอ
>
> คณะกรรมการอาจกำหนดหลักเกณฑ์เกี่ยวกับการเข้าถึงและการขอรับสำเนาตามวรรคหนึ่ง รวมทั้งการขยายระยะเวลาตามวรรคสี่หรือหลักเกณฑ์อื่นตามความเหมาะสมก็ได้

## สรุป

มาตรานี้ให้ **สิทธิเข้าถึงข้อมูล** แก่เจ้าของข้อมูลส่วนบุคคล โดยมีสิทธิ 2 ทาง: (1) ขอเข้าถึงและขอรับสำเนาข้อมูลที่ผู้ควบคุมเก็บไว้ และ (2) ขอให้เปิดเผยที่มาของข้อมูลที่ตนไม่ได้ให้ความยินยอม ผู้ควบคุมต้องดำเนินการภายใน 30 วัน เว้นแต่ปฏิเสธได้ตามกฎหมาย/คำสั่งศาลและการเปิดเผยจะกระทบสิทธิเสรีภาพของบุคคลอื่น

## องค์ประกอบสำคัญ

- **สิทธิ 2 ทาง (วรรค 1):**
  - **ขอเข้าถึงและขอรับสำเนา** ข้อมูลส่วนบุคคลที่เกี่ยวกับตนซึ่งอยู่ในความรับผิดชอบของผู้ควบคุม
  - **ขอเปิดเผยที่มาของข้อมูล** ที่ตนไม่ได้ให้ความยินยอม (รู้ว่าผู้ควบคุมได้ข้อมูลมาจากแหล่งใด)
- **เงื่อนไขการปฏิเสธ (วรรค 2):** ปฏิเสธได้ต่อเมื่อมีครบทั้ง 2 องค์ประกอบ:
  - การปฏิเสธเป็นไปตามกฎหมายหรือคำสั่งศาล **และ**
  - การให้เข้าถึง/สำเนาจะกระทบสิทธิและเสรีภาพของบุคคลอื่น
- **หน้าที่บันทึก (วรรค 3):** กรณีปฏิเสธ — ผู้ควบคุมต้องบันทึกการปฏิเสธพร้อมเหตุผลไว้ในรายการตาม [มาตรา 39](https://link.pdpalawbase.com/section/39.md) (ROPA)
- **กรอบเวลา (วรรค 4):** ดำเนินการโดยไม่ชักช้า แต่**ไม่เกิน 30 วัน** นับแต่วันที่ได้รับคำขอ
- **อำนาจของคณะกรรมการ (วรรค 5):** ออกหลักเกณฑ์การเข้าถึง/สำเนา รวมทั้งหลักเกณฑ์การขยายระยะเวลา 30 วัน

## มาตราที่อ้างอิง

- [มาตรา 39](https://link.pdpalawbase.com/section/39.md) — บันทึกรายการกิจกรรมประมวลผล (ROPA) — รวมการบันทึกการปฏิเสธคำขอเข้าถึงตามมาตรานี้

## หมายเหตุ

- **เทียบ GDPR:** สอดคล้องกับ Article 15 (สิทธิเข้าถึง) — เป็นรากฐานของ **กระบวนการคำขอเข้าถึงข้อมูลส่วนบุคคล**
- **ขอบเขตของสิทธิ:** ครอบคลุมเฉพาะข้อมูลที่อยู่ "ในความรับผิดชอบของผู้ควบคุม" — ไม่ครอบคลุมข้อมูลที่ผู้ประมวลผลถือไว้แทนผู้ควบคุมรายอื่น (เจ้าของข้อมูลต้องไปขอจากผู้ควบคุมตัวจริง)
- **2 รูปแบบของคำขอ:**
  - **เข้าถึง:** ดูข้อมูล อาจให้ผ่านระบบออนไลน์ของผู้ควบคุมหรือส่งดูทางอีเมล
  - **สำเนา:** ได้รับสำเนาเอกสารกระดาษหรือไฟล์ดิจิทัล (เพื่อใช้/ตรวจสอบ/นำไปเสนอผู้อื่น)
- **การได้มาซึ่งข้อมูล:** เจ้าของข้อมูลมีสิทธิรู้ว่าข้อมูลที่ตนไม่ได้ให้ความยินยอมมาจากไหน เช่น แหล่งสาธารณะ การซื้อจากผู้ให้บริการรายอื่น หรือการเก็บอัตโนมัติ
- **ข้อจำกัด "สิทธิและเสรีภาพของบุคคลอื่น":** ตัวอย่างเช่น ภาพถ่ายกลุ่มที่มีบุคคลอื่นปะปน หรืออีเมลที่กล่าวถึงบุคคลที่ 3 — ผู้ควบคุมอาจปฏิเสธหรือปกปิดเฉพาะส่วนที่กระทบ
- **แนวปฏิบัติ:** องค์กรมักจัดทำช่องทางออนไลน์สำหรับรับคำขอเข้าถึงข้อมูล หรือกำหนดอีเมลเฉพาะสำหรับรับคำขอ + แบบฟอร์มขอข้อมูล + ขั้นตอนยืนยันตัวตนของผู้ขอ ก่อนเปิดเผยข้อมูล
- **ความเชื่อมโยงกับ [มาตรา 23](https://link.pdpalawbase.com/section/23.md):** ผู้ควบคุมต้องแจ้งสิทธิตามมาตรานี้ในการแจ้งความเป็นส่วนตัว ([มาตรา 23](https://link.pdpalawbase.com/section/23.md) (6))

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/section/30.md

============================================================
โนด: มาตรา 31
ลิงก์อ้างอิง: https://link.pdpalawbase.com/section/31.md

# มาตรา 31

## ตัวบท

> มาตรา 31 เจ้าของข้อมูลส่วนบุคคลมีสิทธิขอรับข้อมูลส่วนบุคคลที่เกี่ยวกับตนจากผู้ควบคุมข้อมูลส่วนบุคคลได้ ในกรณีที่ผู้ควบคุมข้อมูลส่วนบุคคลได้ทำให้ข้อมูลส่วนบุคคลนั้นอยู่ในรูปแบบที่สามารถอ่านหรือใช้งานโดยทั่วไปได้ด้วยเครื่องมือหรืออุปกรณ์ที่ทำงานได้โดยอัตโนมัติและสามารถใช้หรือเปิดเผยข้อมูลส่วนบุคคลได้ด้วยวิธีการอัตโนมัติ รวมทั้งมีสิทธิ ดังต่อไปนี้
>
> (1) ขอให้ผู้ควบคุมข้อมูลส่วนบุคคลส่งหรือโอนข้อมูลส่วนบุคคลในรูปแบบดังกล่าวไปยังผู้ควบคุมข้อมูลส่วนบุคคลอื่นเมื่อสามารถทำได้ด้วยวิธีการอัตโนมัติ
>
> (2) ขอรับข้อมูลส่วนบุคคลที่ผู้ควบคุมข้อมูลส่วนบุคคลส่งหรือโอนข้อมูลส่วนบุคคลในรูปแบบดังกล่าวไปยังผู้ควบคุมข้อมูลส่วนบุคคลอื่นโดยตรง เว้นแต่โดยสภาพทางเทคนิคไม่สามารถทำได้
>
> ข้อมูลส่วนบุคคลตามวรรคหนึ่งต้องเป็นข้อมูลส่วนบุคคลที่เจ้าของข้อมูลส่วนบุคคลได้ให้ความยินยอมในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลตามหลักเกณฑ์แห่งพระราชบัญญัตินี้ หรือเป็นข้อมูลส่วนบุคคลที่ได้รับยกเว้นไม่ต้องขอความยินยอมตาม[มาตรา 24](https://link.pdpalawbase.com/section/24.md) (3) หรือเป็นข้อมูลส่วนบุคคลอื่นที่กำหนดใน[มาตรา 24](https://link.pdpalawbase.com/section/24.md) ตามที่คณะกรรมการประกาศกำหนด
>
> การใช้สิทธิของเจ้าของข้อมูลส่วนบุคคลตามวรรคหนึ่งจะใช้กับการส่งหรือโอนข้อมูลส่วนบุคคลของผู้ควบคุมข้อมูลส่วนบุคคลซึ่งเป็นการปฏิบัติหน้าที่เพื่อประโยชน์สาธารณะหรือเป็นการปฏิบัติหน้าที่ตามกฎหมายไม่ได้ หรือการใช้สิทธินั้นต้องไม่ละเมิดสิทธิหรือเสรีภาพของบุคคลอื่น ทั้งนี้ ในกรณีที่ผู้ควบคุมข้อมูลส่วนบุคคลปฏิเสธคำขอด้วยเหตุผลดังกล่าว ให้ผู้ควบคุมข้อมูลส่วนบุคคลบันทึกการปฏิเสธคำขอพร้อมด้วยเหตุผลไว้ในรายการตาม[มาตรา 39](https://link.pdpalawbase.com/section/39.md)

## สรุป

มาตรานี้ให้ **สิทธิในการโอนย้ายข้อมูล** แก่เจ้าของข้อมูล โดยมีสิทธิ: (1) ขอรับข้อมูลของตนในรูปแบบที่อ่าน/ใช้งานได้โดยอัตโนมัติ (2) ขอให้ส่งข้อมูลไปยังผู้ควบคุมรายอื่นโดยตรง สิทธินี้ใช้ได้เฉพาะข้อมูลที่เก็บโดยฐานความยินยอมหรือฐานสัญญาตาม [มาตรา 24](https://link.pdpalawbase.com/section/24.md) (3) และไม่สามารถใช้กับการประมวลผลเพื่อประโยชน์สาธารณะหรือตามกฎหมาย

## องค์ประกอบสำคัญ

- **เงื่อนไขเบื้องต้น (วรรค 1):** ข้อมูลต้องอยู่ในรูปแบบ:
  - **อ่านหรือใช้งานได้ทั่วไป** ด้วยเครื่องมือ/อุปกรณ์อัตโนมัติ
  - **ใช้หรือเปิดเผยได้ด้วยวิธีอัตโนมัติ**
- **สิทธิ 3 ทาง:**
  - **ขอรับข้อมูลในรูปแบบที่ใช้ได้ทั่วไป** (วรรค 1 ส่วนแรก) — ส่งกลับให้เจ้าของข้อมูลโดยตรง
  - **ขอให้ส่ง/โอนไปผู้ควบคุมอื่นโดยอัตโนมัติ** ((1)) — เมื่อทำได้ด้วยวิธีอัตโนมัติ
  - **ขอรับข้อมูลที่ส่งให้ผู้ควบคุมอื่นโดยตรง** ((2)) — เว้นแต่สภาพทางเทคนิคไม่อาจทำได้
- **ข้อมูลที่ใช้สิทธิได้ (วรรค 2):**
  - ข้อมูลที่ให้ความยินยอมในการเก็บ ใช้ เปิดเผย
  - ข้อมูลที่ได้รับยกเว้นตาม [มาตรา 24](https://link.pdpalawbase.com/section/24.md) (3) (ฐานสัญญา)
  - ข้อมูลอื่นใน [มาตรา 24](https://link.pdpalawbase.com/section/24.md) ตามที่คณะกรรมการประกาศกำหนด
- **ข้อจำกัด (วรรค 3):**
  - **ไม่ใช้กับ:** การประมวลผลเพื่อประโยชน์สาธารณะ หรือการปฏิบัติหน้าที่ตามกฎหมาย
  - **ต้องไม่ละเมิดสิทธิ/เสรีภาพของบุคคลอื่น**
  - **กรณีปฏิเสธ:** บันทึกการปฏิเสธ + เหตุผลไว้ในรายการตาม [มาตรา 39](https://link.pdpalawbase.com/section/39.md)

## มาตราที่อ้างอิง

- [มาตรา 24](https://link.pdpalawbase.com/section/24.md) — ฐานในการเก็บรวบรวมโดยไม่ต้องขอความยินยอม — สิทธิตามมาตรานี้ใช้ได้เฉพาะกับข้อมูลที่เก็บโดยความยินยอม หรือฐานสัญญา [มาตรา 24](https://link.pdpalawbase.com/section/24.md) (3) เท่านั้น
- [มาตรา 39](https://link.pdpalawbase.com/section/39.md) — บันทึกรายการกิจกรรมประมวลผล (ROPA) — รวมการบันทึกการปฏิเสธคำขอตามมาตรานี้

## หมายเหตุ

- **เทียบ GDPR:** สอดคล้องกับ Article 20 (สิทธิโอนย้ายข้อมูล) — แนวคิดมาจากความต้องการลดการล็อกอินข้อมูลในผู้ให้บริการรายเดียว
- **ข้อจำกัดทางฐานในการประมวลผล:** สิทธินี้**ไม่ครอบคลุมทั้งหมด** — ใช้ได้เฉพาะข้อมูลที่เก็บภายใต้:
  - ความยินยอม **หรือ**
  - ฐานสัญญาตาม [มาตรา 24](https://link.pdpalawbase.com/section/24.md) (3)
  - ข้อมูลที่เก็บภายใต้ฐานอื่น (เช่น ประโยชน์สาธารณะ ปฏิบัติตามกฎหมาย ประโยชน์โดยชอบด้วยกฎหมาย) **ไม่ใช้สิทธินี้ได้**
- **รูปแบบ "ใช้งานได้ทั่วไป":** มาตรฐานเปิด เช่น CSV, JSON, XML — ไม่ใช่รูปแบบเฉพาะที่ต้องใช้ซอฟต์แวร์เฉพาะของผู้ให้บริการเดิมเปิด
- **ตัวอย่างในทางปฏิบัติ:**
  - ขอย้ายข้อมูลรูปภาพจากบริการเก็บข้อมูลออนไลน์รายหนึ่งไปยังอีกราย
  - ขอย้ายประวัติการซื้อจากร้านค้าออนไลน์รายหนึ่งไปอีกราย
  - ขอย้ายข้อมูลสุขภาพจากแอปพลิเคชันหนึ่งไปอีกแอป
- **ข้อจำกัดทางเทคนิคของ (2):** ผู้ควบคุมเดิมต้องส่งโดยตรงไปยังผู้ควบคุมใหม่ — แต่หากสองระบบเข้ากันไม่ได้ ก็เป็นเหตุยกเว้นได้ (สภาพทางเทคนิคไม่อาจทำได้)
- **ความเชื่อมโยงกับ [มาตรา 23](https://link.pdpalawbase.com/section/23.md):** ผู้ควบคุมต้องแจ้งสิทธิตามมาตรานี้ในการแจ้งความเป็นส่วนตัว ([มาตรา 23](https://link.pdpalawbase.com/section/23.md) (6))

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/section/31.md

============================================================
โนด: มาตรา 32
ลิงก์อ้างอิง: https://link.pdpalawbase.com/section/32.md

# มาตรา 32

## ตัวบท

> มาตรา 32 เจ้าของข้อมูลส่วนบุคคลมีสิทธิคัดค้านการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลที่เกี่ยวกับตนเมื่อใดก็ได้ ดังต่อไปนี้
>
> (1) กรณีที่เป็นข้อมูลส่วนบุคคลที่เก็บรวบรวมได้โดยได้รับยกเว้นไม่ต้องขอความยินยอมตาม[มาตรา 24](https://link.pdpalawbase.com/section/24.md) (4) หรือ (5) เว้นแต่ผู้ควบคุมข้อมูลส่วนบุคคลพิสูจน์ได้ว่า
>
> (ก) การเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลนั้น ผู้ควบคุมข้อมูลส่วนบุคคลได้แสดงให้เห็นถึงเหตุอันชอบด้วยกฎหมายที่สำคัญยิ่งกว่า
>
> (ข) การเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลนั้นเป็นไปเพื่อก่อตั้งสิทธิเรียกร้องตามกฎหมาย การปฏิบัติตามหรือการใช้สิทธิเรียกร้องตามกฎหมาย หรือการยกขึ้นต่อสู้สิทธิเรียกร้องตามกฎหมาย
>
> (2) กรณีที่เป็นการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลเพื่อวัตถุประสงค์เกี่ยวกับการตลาดแบบตรง
>
> (3) กรณีที่เป็นการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลเพื่อวัตถุประสงค์เกี่ยวกับการศึกษาวิจัยทางวิทยาศาสตร์ ประวัติศาสตร์ หรือสถิติ เว้นแต่เป็นการจำเป็นเพื่อการดำเนินภารกิจเพื่อประโยชน์สาธารณะของผู้ควบคุมข้อมูลส่วนบุคคล
>
> ในกรณีที่เจ้าของข้อมูลส่วนบุคคลใช้สิทธิคัดค้านตามวรรคหนึ่ง ผู้ควบคุมข้อมูลส่วนบุคคลไม่สามารถเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลนั้นต่อไปได้ ทั้งนี้ ผู้ควบคุมข้อมูลส่วนบุคคลต้องปฏิบัติโดยแยกส่วนออกจากข้อมูลอื่นอย่างชัดเจนในทันทีเมื่อเจ้าของข้อมูลส่วนบุคคลได้แจ้งการคัดค้านให้ผู้ควบคุมข้อมูลส่วนบุคคลทราบ
>
> ในกรณีที่ผู้ควบคุมข้อมูลส่วนบุคคลปฏิเสธการคัดค้านด้วยเหตุผลตาม (1) (ก) หรือ (ข) หรือ (3) ให้ผู้ควบคุมข้อมูลส่วนบุคคลบันทึกการปฏิเสธการคัดค้านพร้อมด้วยเหตุผลไว้ในรายการตาม[มาตรา 39](https://link.pdpalawbase.com/section/39.md)

## สรุป

มาตรานี้ให้ **สิทธิคัดค้านการประมวลผล** แก่เจ้าของข้อมูล ใน 3 กรณีหลัก: (1) ข้อมูลที่เก็บโดยฐานประโยชน์สาธารณะ ([มาตรา 24](https://link.pdpalawbase.com/section/24.md) (4)) หรือฐานประโยชน์โดยชอบด้วยกฎหมาย ([มาตรา 24](https://link.pdpalawbase.com/section/24.md) (5)) (2) การตลาดแบบตรง (ไม่มีข้อยกเว้น — คัดค้านได้เสมอ) (3) การวิจัยทางวิทยาศาสตร์/ประวัติศาสตร์/สถิติ ผลของการคัดค้าน คือ ผู้ควบคุมต้องหยุดประมวลผลและแยกข้อมูลออกทันที

## องค์ประกอบสำคัญ

- **3 กรณีที่คัดค้านได้ (วรรค 1):**
  - **(1) ฐานประโยชน์สาธารณะ/ประโยชน์โดยชอบด้วยกฎหมาย** ([มาตรา 24](https://link.pdpalawbase.com/section/24.md) (4) หรือ (5)) — แต่ผู้ควบคุมยกเว้นได้ถ้าพิสูจน์ได้:
    - **(ก)** มีเหตุอันชอบด้วยกฎหมายที่**สำคัญยิ่งกว่า** **หรือ**
    - **(ข)** เพื่อก่อตั้ง/ใช้/ยกขึ้นต่อสู้สิทธิเรียกร้องตามกฎหมาย
  - **(2) การตลาดแบบตรง** — คัดค้านได้เสมอ ไม่มีข้อยกเว้น (สิทธิเด็ดขาด)
  - **(3) การวิจัย/ประวัติศาสตร์/สถิติ** — เว้นแต่ผู้ควบคุมจำเป็นต้องดำเนินการเพื่อภารกิจประโยชน์สาธารณะ
- **ผลของการคัดค้าน (วรรค 2):**
  - ผู้ควบคุม **ไม่สามารถเก็บ ใช้ เปิดเผย** ข้อมูลนั้นต่อไปได้
  - ต้อง **แยกส่วนข้อมูลที่คัดค้านออกจากข้อมูลอื่นอย่างชัดเจน ในทันที** เมื่อได้รับการแจ้ง
- **หน้าที่บันทึก (วรรค 3):** กรณีปฏิเสธการคัดค้านด้วยเหตุผลตาม (1) (ก) หรือ (ข) หรือ (3) — บันทึกการปฏิเสธ + เหตุผลใน [มาตรา 39](https://link.pdpalawbase.com/section/39.md)

## มาตราที่อ้างอิง

- [มาตรา 24](https://link.pdpalawbase.com/section/24.md) — ฐานในการเก็บรวบรวมโดยไม่ต้องขอความยินยอม — มาตรานี้ระบุว่าฐานใดบ้างที่คัดค้านได้ ((4) ประโยชน์สาธารณะ และ (5) ประโยชน์โดยชอบด้วยกฎหมาย)
- [มาตรา 39](https://link.pdpalawbase.com/section/39.md) — บันทึกรายการกิจกรรมประมวลผล (ROPA) — รวมการบันทึกการปฏิเสธคัดค้านตามมาตรานี้

## หมายเหตุ

- **เทียบ GDPR:** สอดคล้องกับ Article 21 (สิทธิคัดค้าน) — โดยเฉพาะการคัดค้านการตลาดแบบตรงที่เป็นสิทธิเด็ดขาด
- **(2) เป็นสิทธิเด็ดขาด:** การตลาดแบบตรง — เจ้าของข้อมูลคัดค้านได้เสมอ ไม่ต้องอาศัยฐานใดและไม่มีข้อยกเว้น
- **"การตลาดแบบตรง":** ครอบคลุมการส่งข้อความเชิงพาณิชย์ตรงไปยังผู้รับ เช่น อีเมลโปรโมชัน, ข้อความสั้นโฆษณา, การโทรเสนอขายสินค้า, การส่งจดหมายโฆษณา
- **เกณฑ์ "เหตุอันชอบด้วยกฎหมายที่สำคัญยิ่งกว่า":** ภาระการพิสูจน์อยู่ที่**ผู้ควบคุม** — ต้องแสดงให้เห็นว่าประโยชน์ของผู้ควบคุม/บุคคลที่ 3 มีน้ำหนักเหนือกว่าสิทธิและเสรีภาพของเจ้าของข้อมูล
- **"แยกส่วนในทันที":** กรณีฐานข้อมูล — อาจใช้การติดป้ายหรือเครื่องหมายเพื่อแยกข้อมูลที่ถูกคัดค้านไม่ให้นำมาประมวลผลเดิม โดยไม่ต้องลบทิ้ง (ลบเป็นกระบวนการแยกตาม [มาตรา 33](https://link.pdpalawbase.com/section/33.md))
- **เชื่อมโยงกับ [มาตรา 33](https://link.pdpalawbase.com/section/33.md):** หากคัดค้านสำเร็จและไม่มีฐานทางกฎหมายให้เก็บไว้ต่อ → เจ้าของข้อมูลสามารถใช้สิทธิให้ลบตาม [มาตรา 33](https://link.pdpalawbase.com/section/33.md) ต่อได้
- **ความเชื่อมโยงกับ [มาตรา 23](https://link.pdpalawbase.com/section/23.md):** ผู้ควบคุมต้องแจ้งสิทธิตามมาตรานี้ในการแจ้งความเป็นส่วนตัว ([มาตรา 23](https://link.pdpalawbase.com/section/23.md) (6))

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/section/32.md

============================================================
โนด: มาตรา 33
ลิงก์อ้างอิง: https://link.pdpalawbase.com/section/33.md

# มาตรา 33

## ตัวบท

> มาตรา 33 เจ้าของข้อมูลส่วนบุคคลมีสิทธิขอให้ผู้ควบคุมข้อมูลส่วนบุคคลดำเนินการลบหรือทำลาย หรือทำให้ข้อมูลส่วนบุคคลเป็นข้อมูลที่ไม่สามารถระบุตัวบุคคลที่เป็นเจ้าของข้อมูลส่วนบุคคลได้ ในกรณีดังต่อไปนี้
>
> (1) เมื่อข้อมูลส่วนบุคคลหมดความจำเป็นในการเก็บรักษาไว้ตามวัตถุประสงค์ในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล
>
> (2) เมื่อเจ้าของข้อมูลส่วนบุคคลถอนความยินยอมในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลและผู้ควบคุมข้อมูลส่วนบุคคลไม่มีอำนาจตามกฎหมายที่จะเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลนั้นได้ต่อไป
>
> (3) เมื่อเจ้าของข้อมูลส่วนบุคคลคัดค้านการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลตาม[มาตรา 32](https://link.pdpalawbase.com/section/32.md) (1) และผู้ควบคุมข้อมูลส่วนบุคคลไม่อาจปฏิเสธคำขอตาม[มาตรา 32](https://link.pdpalawbase.com/section/32.md) (1) (ก) หรือ (ข) ได้ หรือเป็นการคัดค้านตาม[มาตรา 32](https://link.pdpalawbase.com/section/32.md) (2)
>
> (4) เมื่อข้อมูลส่วนบุคคลได้ถูกเก็บรวบรวม ใช้ หรือเปิดเผยโดยไม่ชอบด้วยกฎหมายตามที่กำหนดไว้ในหมวดนี้
>
> ความในวรรคหนึ่งมิให้นำมาใช้บังคับกับการเก็บรักษาไว้เพื่อวัตถุประสงค์ในการใช้เสรีภาพในการแสดงความคิดเห็น การเก็บรักษาไว้เพื่อวัตถุประสงค์ตาม[มาตรา 24](https://link.pdpalawbase.com/section/24.md) (1) หรือ (4) หรือ[มาตรา 26](https://link.pdpalawbase.com/section/26.md) (5) (ก) หรือ (ข) การใช้เพื่อการก่อตั้งสิทธิเรียกร้องตามกฎหมาย การปฏิบัติตามหรือการใช้สิทธิเรียกร้องตามกฎหมาย หรือการยกขึ้นต่อสู้สิทธิเรียกร้องตามกฎหมาย หรือเพื่อการปฏิบัติตามกฎหมาย
>
> ในกรณีที่ผู้ควบคุมข้อมูลส่วนบุคคลได้ทำให้ข้อมูลส่วนบุคคลเป็นข้อมูลที่เปิดเผยต่อสาธารณะ และผู้ควบคุมข้อมูลส่วนบุคคลถูกขอให้ลบหรือทำลายหรือทำให้ข้อมูลส่วนบุคคลเป็นข้อมูลที่ไม่สามารถระบุตัวบุคคลที่เป็นเจ้าของข้อมูลส่วนบุคคลได้ตามวรรคหนึ่ง ผู้ควบคุมข้อมูลส่วนบุคคลต้องเป็นผู้รับผิดชอบดำเนินการทั้งในทางเทคโนโลยีและค่าใช้จ่ายเพื่อให้เป็นไปตามคำขอนั้น โดยแจ้งผู้ควบคุมข้อมูลส่วนบุคคลอื่น ๆ เพื่อให้ได้รับคำตอบในการดำเนินการให้เป็นไปตามคำขอ
>
> กรณีผู้ควบคุมข้อมูลส่วนบุคคลไม่ดำเนินการตามวรรคหนึ่งหรือวรรคสาม เจ้าของข้อมูลส่วนบุคคลมีสิทธิร้องเรียนต่อคณะกรรมการผู้เชี่ยวชาญเพื่อสั่งให้ผู้ควบคุมข้อมูลส่วนบุคคลดำเนินการได้
>
> คณะกรรมการอาจประกาศกำหนดหลักเกณฑ์ในการลบหรือทำลาย หรือทำให้ข้อมูลส่วนบุคคลเป็นข้อมูลที่ไม่สามารถระบุตัวบุคคลที่เป็นเจ้าของข้อมูลส่วนบุคคลตามวรรคหนึ่งก็ได้

## สรุป

มาตรานี้ให้ **สิทธิให้ลบ ทำลาย หรือทำให้ระบุตัวบุคคลไม่ได้** ใน 4 กรณี: หมดความจำเป็น, ถอนความยินยอม, คัดค้านสำเร็จ, หรือเก็บโดยไม่ชอบด้วยกฎหมาย โดยมีข้อยกเว้นสำคัญหากเก็บเพื่อเสรีภาพแสดงความคิดเห็น/วัตถุประสงค์ตาม [มาตรา 24](https://link.pdpalawbase.com/section/24.md)/[มาตรา 26](https://link.pdpalawbase.com/section/26.md) บางประการ/หรือเพื่อสิทธิเรียกร้องตามกฎหมาย กรณีข้อมูลที่เปิดเผยสาธารณะ ผู้ควบคุมต้องรับผิดชอบทั้งทางเทคนิคและค่าใช้จ่ายและแจ้งผู้ควบคุมรายอื่น

## องค์ประกอบสำคัญ

- **4 กรณีที่ขอให้ลบได้ (วรรค 1):**
  - **(1) หมดความจำเป็น** ตามวัตถุประสงค์เดิม
  - **(2) ถอนความยินยอม** + ผู้ควบคุมไม่มีอำนาจตามกฎหมายให้เก็บต่อ
  - **(3) คัดค้านสำเร็จ:** คัดค้านตาม [มาตรา 32](https://link.pdpalawbase.com/section/32.md) (1) และผู้ควบคุมปฏิเสธไม่ได้ หรือคัดค้านตาม [มาตรา 32](https://link.pdpalawbase.com/section/32.md) (2) (การตลาดแบบตรง)
  - **(4) เก็บ ใช้ เปิดเผย** โดยไม่ชอบด้วยกฎหมายตามหมวดนี้
- **3 รูปแบบของการดำเนินการ:**
  - **ลบ** — ลบข้อมูลออกจากระบบ
  - **ทำลาย** — ทำลายเอกสารกระดาษหรือสื่อบันทึกที่จับต้องได้
  - **ทำให้ไม่ระบุตัวบุคคลได้** — แปลงข้อมูลให้ไม่สามารถเชื่อมโยงกลับไปถึงบุคคลใดบุคคลหนึ่งได้
- **ข้อยกเว้นที่ไม่ต้องลบ (วรรค 2):**
  - การใช้เสรีภาพในการแสดงความคิดเห็น
  - วัตถุประสงค์ตาม [มาตรา 24](https://link.pdpalawbase.com/section/24.md) (1) (ป้องกันอันตรายชีวิต) หรือ (4) (ภารกิจประโยชน์สาธารณะ)
  - วัตถุประสงค์ตาม [มาตรา 26](https://link.pdpalawbase.com/section/26.md) (5) (ก) หรือ (ข) (เวชศาสตร์/การวิจัยข้อมูลอ่อนไหว)
  - การใช้เพื่อก่อตั้ง/ใช้/ยกขึ้นต่อสู้สิทธิเรียกร้องตามกฎหมาย
  - การปฏิบัติตามกฎหมาย
- **กรณีข้อมูลที่เปิดเผยสาธารณะ (วรรค 3):**
  - ผู้ควบคุมต้องรับผิดชอบ**ทางเทคโนโลยีและค่าใช้จ่ายทั้งหมด**
  - ต้อง**แจ้งผู้ควบคุมรายอื่น** ที่ได้รับข้อมูลไป เพื่อให้ดำเนินการตามคำขอด้วย
- **สิทธิร้องเรียน (วรรค 4):** ผู้ควบคุมไม่ดำเนินการ → เจ้าของข้อมูลร้องเรียนต่อคณะกรรมการผู้เชี่ยวชาญเพื่อสั่งให้ดำเนินการ
- **อำนาจของคณะกรรมการ (วรรค 5):** ออกหลักเกณฑ์การลบ/ทำลาย/ทำให้ไม่ระบุตัวได้

## มาตราที่อ้างอิง

- [มาตรา 24](https://link.pdpalawbase.com/section/24.md) — ฐานเก็บรวบรวมข้อมูลทั่วไป — ข้อยกเว้นที่ไม่ต้องลบครอบคลุมการเก็บเพื่อ (1) ป้องกันอันตรายชีวิต และ (4) ภารกิจประโยชน์สาธารณะ
- [มาตรา 26](https://link.pdpalawbase.com/section/26.md) — ฐานเก็บรวบรวมข้อมูลอ่อนไหว — ข้อยกเว้นครอบคลุม (5) (ก) เวชศาสตร์ป้องกัน/อาชีวอนามัย และ (ข) ประโยชน์สาธารณะด้านสาธารณสุข
- [มาตรา 32](https://link.pdpalawbase.com/section/32.md) — สิทธิคัดค้าน — กรณีที่ (3) ของมาตรานี้อ้างถึง

## หมายเหตุ

- **เทียบ GDPR:** สอดคล้องกับ Article 17 (สิทธิให้ลบ / "สิทธิที่จะถูกลืม") — โดยเฉพาะวรรค 3 ที่ครอบคลุม "หน้าที่แจ้งผู้ควบคุมรายอื่น" ในกรณีข้อมูลที่เปิดเผยสาธารณะ
- **ความสมดุลของสิทธิ:** มาตรานี้สมดุลระหว่างสิทธิของเจ้าของข้อมูลกับเสรีภาพในการแสดงความคิดเห็น/ประโยชน์สาธารณะ — สื่อมวลชน/นักวิชาการสามารถอ้างข้อยกเว้นได้
- **3 รูปแบบเลือกตามบริบท:**
  - **ลบ:** ใช้กับข้อมูลที่ไม่จำเป็นเลย
  - **ทำลาย:** สื่อกายภาพ (เช่น เอกสาร, ฮาร์ดดิสก์เสีย)
  - **ทำให้ไม่ระบุตัวได้:** กรณีต้องเก็บข้อมูลรวมเพื่อสถิติแต่ไม่ต้องการเชื่อมโยงกับบุคคล (เช่น ลบรหัสระบุตัวตน เก็บเฉพาะข้อมูลรวม)
- **"ข้อมูลที่เปิดเผยสาธารณะ" (วรรค 3):** เน้นความรับผิดชอบขยายของผู้ควบคุม — เช่น โพสต์บนสื่อสังคมที่เครื่องมือค้นหาเก็บข้อมูลไป → ต้องแจ้งเครื่องมือค้นหาด้วย
- **ภาระค่าใช้จ่าย:** ผู้ควบคุมเป็นผู้รับ — เจ้าของข้อมูลไม่ต้องจ่ายค่าใช้สิทธิที่จะถูกลืม
- **กลไกร้องเรียน:** ไม่ใช่ฟ้องศาลทันที — ขั้นแรกร้องเรียนต่อคณะกรรมการผู้เชี่ยวชาญ (มีกระบวนการทางปกครอง)
- **ความเชื่อมโยงกับ [มาตรา 23](https://link.pdpalawbase.com/section/23.md):** ผู้ควบคุมต้องแจ้งสิทธิตามมาตรานี้ในการแจ้งความเป็นส่วนตัว ([มาตรา 23](https://link.pdpalawbase.com/section/23.md) (6))

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/section/33.md

============================================================
โนด: มาตรา 34
ลิงก์อ้างอิง: https://link.pdpalawbase.com/section/34.md

# มาตรา 34

## ตัวบท

> มาตรา 34 เจ้าของข้อมูลส่วนบุคคลมีสิทธิขอให้ผู้ควบคุมข้อมูลส่วนบุคคลระงับการใช้ข้อมูลส่วนบุคคลได้ ในกรณีดังต่อไปนี้
>
> (1) เมื่อผู้ควบคุมข้อมูลส่วนบุคคลอยู่ในระหว่างการตรวจสอบตามที่เจ้าของข้อมูลส่วนบุคคลร้องขอให้ดำเนินการตาม[มาตรา 36](https://link.pdpalawbase.com/section/36.md)
>
> (2) เมื่อเป็นข้อมูลส่วนบุคคลที่ต้องลบหรือทำลายตาม[มาตรา 33](https://link.pdpalawbase.com/section/33.md) (4) แต่เจ้าของข้อมูลส่วนบุคคลขอให้ระงับการใช้แทน
>
> (3) เมื่อข้อมูลส่วนบุคคลหมดความจำเป็นในการเก็บรักษาไว้ตามวัตถุประสงค์ในการเก็บรวบรวมข้อมูลส่วนบุคคล แต่เจ้าของข้อมูลส่วนบุคคลมีความจำเป็นต้องขอให้เก็บรักษาไว้เพื่อใช้ในการก่อตั้งสิทธิเรียกร้องตามกฎหมาย การปฏิบัติตามหรือการใช้สิทธิเรียกร้องตามกฎหมาย หรือการยกขึ้นต่อสู้สิทธิเรียกร้องตามกฎหมาย
>
> (4) เมื่อผู้ควบคุมข้อมูลส่วนบุคคลอยู่ในระหว่างการพิสูจน์ตาม[มาตรา 32](https://link.pdpalawbase.com/section/32.md) (1) หรือตรวจสอบตาม[มาตรา 32](https://link.pdpalawbase.com/section/32.md) (3) เพื่อปฏิเสธการคัดค้านของเจ้าของข้อมูลส่วนบุคคลตาม[มาตรา 32](https://link.pdpalawbase.com/section/32.md) วรรคสาม
>
> กรณีผู้ควบคุมข้อมูลส่วนบุคคลไม่ดำเนินการตามวรรคหนึ่ง เจ้าของข้อมูลส่วนบุคคลมีสิทธิร้องเรียนต่อคณะกรรมการผู้เชี่ยวชาญเพื่อสั่งให้ผู้ควบคุมข้อมูลส่วนบุคคลดำเนินการได้
>
> คณะกรรมการอาจประกาศกำหนดหลักเกณฑ์ในการระงับการใช้ตามวรรคหนึ่งก็ได้

## สรุป

มาตรานี้ให้ **สิทธิระงับการใช้ข้อมูล** — ใช้แทนการลบในกรณีที่ผู้ควบคุมยังต้องเก็บข้อมูลไว้แต่ไม่ควรนำมาใช้ใน 4 กรณี: (1) อยู่ระหว่างตรวจสอบความถูกต้องตาม [มาตรา 36](https://link.pdpalawbase.com/section/36.md) (2) ต้องลบตาม [มาตรา 33](https://link.pdpalawbase.com/section/33.md) (4) แต่ขอระงับแทน (3) หมดความจำเป็นแต่เจ้าของข้อมูลต้องการเก็บไว้เพื่อสิทธิเรียกร้องตามกฎหมาย (4) อยู่ระหว่างพิสูจน์/ตรวจสอบเพื่อปฏิเสธการคัดค้านตาม [มาตรา 32](https://link.pdpalawbase.com/section/32.md)

## องค์ประกอบสำคัญ

- **4 กรณีที่ระงับได้ (วรรค 1):**
  - **(1) ระหว่างตรวจสอบความถูกต้อง** — ผู้ควบคุมกำลังตรวจสอบหลังเจ้าของข้อมูลร้องขอตาม [มาตรา 36](https://link.pdpalawbase.com/section/36.md)
  - **(2) ต้องลบตาม [มาตรา 33](https://link.pdpalawbase.com/section/33.md) (4) แต่ขอระงับแทน** — กรณีข้อมูลถูกเก็บโดยไม่ชอบด้วยกฎหมาย เจ้าของข้อมูลเลือกระงับ (เพื่อใช้เป็นหลักฐานต่อไป) แทนการลบ
  - **(3) หมดความจำเป็นแต่ต้องเก็บเพื่อสิทธิเรียกร้อง** — เจ้าของข้อมูลขอเก็บไว้เพื่อก่อตั้ง/ใช้/ยกขึ้นต่อสู้สิทธิเรียกร้องตามกฎหมาย
  - **(4) ระหว่างพิสูจน์/ตรวจสอบ** เพื่อปฏิเสธการคัดค้านตาม [มาตรา 32](https://link.pdpalawbase.com/section/32.md) (1) หรือ (3)
- **สิทธิร้องเรียน (วรรค 2):** ผู้ควบคุมไม่ดำเนินการ → ร้องเรียนต่อคณะกรรมการผู้เชี่ยวชาญ
- **อำนาจของคณะกรรมการ (วรรค 3):** ออกหลักเกณฑ์การระงับการใช้

## มาตราที่อ้างอิง

- [มาตรา 32](https://link.pdpalawbase.com/section/32.md) — สิทธิคัดค้าน — กรณี (4) เชื่อมโยงกับช่วงที่ผู้ควบคุมพิสูจน์/ตรวจสอบเพื่อปฏิเสธคัดค้าน
- [มาตรา 33](https://link.pdpalawbase.com/section/33.md) — สิทธิให้ลบ — กรณี (2) ระบุว่าเจ้าของข้อมูลอาจขอระงับแทนกรณีตาม [มาตรา 33](https://link.pdpalawbase.com/section/33.md) (4)
- [มาตรา 36](https://link.pdpalawbase.com/section/36.md) — สิทธิให้แก้ไข — กรณี (1) เชื่อมโยงกับช่วงที่ผู้ควบคุมตรวจสอบความถูกต้อง

## หมายเหตุ

- **เทียบ GDPR:** สอดคล้องกับ Article 18 (สิทธิให้ระงับการประมวลผล) — เป็นทางเลือกระหว่าง "ลบ" กับ "ใช้ต่อ" ในระหว่างที่ยังตัดสินใจไม่ได้
- **ความหมายของ "ระงับการใช้":** ผู้ควบคุมยัง**เก็บข้อมูลได้** แต่ไม่นำมาใช้ในกระบวนการประมวลผลปกติ — เช่น เก็บไว้ในคลังเก็บถาวรแยก ติดเครื่องหมายห้ามอ่าน หรือเข้ารหัสแล้วเก็บกุญแจถอดรหัสแยก
- **กลไกในเชิงการดำเนินงาน:**
  - **(1):** ระหว่างที่ผู้ควบคุมตรวจสอบว่าข้อมูลถูกต้องหรือไม่ — ห้ามใช้ข้อมูลที่อาจไม่ถูกต้อง
  - **(2):** เจ้าของข้อมูลเลือกระงับแทนการลบ — มักใช้เมื่อต้องการเก็บข้อมูลเป็นหลักฐานในการดำเนินคดี
  - **(3):** กรณีคล้ายการระงับเพื่อรอคดี — ต้องเก็บข้อมูลเพื่อต่อสู้หรือใช้สิทธิเรียกร้องตามกฎหมาย แม้หมดวัตถุประสงค์เดิม
  - **(4):** ระหว่างที่ผู้ควบคุมยังพิสูจน์ "เหตุอันชอบด้วยกฎหมายที่สำคัญยิ่งกว่า" ตาม [มาตรา 32](https://link.pdpalawbase.com/section/32.md) (1) (ก) — ต้องระงับเพื่อรอข้อสรุป
- **ไม่ปรากฏข้อกำหนดเรื่องบันทึกการปฏิเสธ:** ต่างจาก [มาตรา 30](https://link.pdpalawbase.com/section/30.md), [มาตรา 31](https://link.pdpalawbase.com/section/31.md), [มาตรา 32](https://link.pdpalawbase.com/section/32.md), [มาตรา 36](https://link.pdpalawbase.com/section/36.md) — มาตรานี้ไม่ระบุให้บันทึกใน [มาตรา 39](https://link.pdpalawbase.com/section/39.md) เพราะกลไกบังคับเป็นการร้องเรียนต่อคณะกรรมการผู้เชี่ยวชาญแทน
- **ความเชื่อมโยงกับ [มาตรา 23](https://link.pdpalawbase.com/section/23.md):** ผู้ควบคุมต้องแจ้งสิทธิตามมาตรานี้ในการแจ้งความเป็นส่วนตัว ([มาตรา 23](https://link.pdpalawbase.com/section/23.md) (6))

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/section/34.md

============================================================
โนด: มาตรา 35
ลิงก์อ้างอิง: https://link.pdpalawbase.com/section/35.md

# มาตรา 35

## ตัวบท

> มาตรา 35 ผู้ควบคุมข้อมูลส่วนบุคคลต้องดำเนินการให้ข้อมูลส่วนบุคคลนั้นถูกต้อง เป็นปัจจุบัน สมบูรณ์ และไม่ก่อให้เกิดความเข้าใจผิด

## สรุป

มาตรานี้เป็น **หน้าที่ดูแลคุณภาพข้อมูล** ของผู้ควบคุม — ต้องรักษาให้ข้อมูลส่วนบุคคลที่ตนเก็บไว้มีคุณสมบัติ 4 ด้าน: ถูกต้อง, เป็นปัจจุบัน, สมบูรณ์, และไม่ก่อให้เกิดความเข้าใจผิด มาตรานี้เป็นพื้นฐานของกลไกการขอแก้ไขข้อมูลใน [มาตรา 36](https://link.pdpalawbase.com/section/36.md)

## องค์ประกอบสำคัญ

- **ผู้มีหน้าที่:** ผู้ควบคุมข้อมูลส่วนบุคคล
- **คุณสมบัติ 4 ด้านของข้อมูลที่ต้องรักษา:**
  - **ถูกต้อง** — ตรงตามความเป็นจริง ไม่มีข้อผิดพลาด
  - **เป็นปัจจุบัน** — สะท้อนสถานะล่าสุด ไม่ล้าสมัยจนทำให้ตัดสินใจผิด
  - **สมบูรณ์** — ครบถ้วนตามที่จำเป็นต่อวัตถุประสงค์
  - **ไม่ก่อให้เกิดความเข้าใจผิด** — แม้แต่ละชิ้นถูกต้อง แต่รวมแล้วต้องไม่สื่อความผิดเพี้ยน
- **ลักษณะของหน้าที่:** เชิงรุก — ผู้ควบคุมต้อง "ดำเนินการ" ให้เป็นไปตามคุณสมบัตินี้ ไม่ใช่รอให้เจ้าของข้อมูลร้องขอเท่านั้น

## มาตราที่อ้างอิง

(ไม่มีการอ้างอิงตรงในตัวบท แต่เชื่อมโยงเชิงระบบกับ [มาตรา 36](https://link.pdpalawbase.com/section/36.md) ที่เป็นกลไกในกรณีผู้ควบคุมไม่ดำเนินการ)

## หมายเหตุ

- **เทียบ GDPR:** สอดคล้องกับ Article 5(1)(d) — "ความถูกต้อง" — หนึ่งในหลักการคุ้มครองข้อมูลของ GDPR
- **โครงสร้างเชิงระบบ:**
  - **มาตรานี้ ([มาตรา 35](https://link.pdpalawbase.com/section/35.md)):** กำหนด**หน้าที่ของผู้ควบคุม**
  - **[มาตรา 36](https://link.pdpalawbase.com/section/36.md):** กลไกเมื่อ**เจ้าของข้อมูล**ร้องขอให้แก้ไข — และผู้ควบคุมไม่ดำเนินการ
- **ตัวอย่างในทางปฏิบัติ:**
  - **ที่อยู่ของลูกค้าเปลี่ยน** → ต้องอัปเดตเพื่อความเป็นปัจจุบัน
  - **เลขประจำตัวผู้เสียภาษีพิมพ์ผิด** → ต้องแก้ไขเพื่อความถูกต้อง
  - **ข้อมูลทางการแพทย์เก่า** → ต้องเพิ่มข้อมูลใหม่เพื่อความสมบูรณ์
  - **คะแนนเครดิต**ที่ไม่ได้สะท้อนการชำระล่าสุด → อาจก่อให้เกิดความเข้าใจผิด
- **กลไกควบคุมคุณภาพข้อมูล:** ผู้ควบคุมควรกำหนดกระบวนการตรวจสอบเป็นระยะ ไม่ใช่รอจน [มาตรา 36](https://link.pdpalawbase.com/section/36.md) ถูกใช้
- **เกณฑ์ตามวัตถุประสงค์:** "สมบูรณ์" และ "เป็นปัจจุบัน" พิจารณา**ตามวัตถุประสงค์**ในการเก็บ — ข้อมูลที่ไม่จำเป็นไม่ต้องเก็บให้สมบูรณ์/อัปเดต (เน้นหลักความจำเป็น)

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/section/35.md

============================================================
โนด: มาตรา 36
ลิงก์อ้างอิง: https://link.pdpalawbase.com/section/36.md

# มาตรา 36

## ตัวบท

> มาตรา 36 ในกรณีที่เจ้าของข้อมูลส่วนบุคคลร้องขอให้ผู้ควบคุมข้อมูลส่วนบุคคลดำเนินการตาม[มาตรา 35](https://link.pdpalawbase.com/section/35.md) หากผู้ควบคุมข้อมูลส่วนบุคคลไม่ดำเนินการตามคำร้องขอ ผู้ควบคุมข้อมูลส่วนบุคคลต้องบันทึกคำร้องขอของเจ้าของข้อมูลส่วนบุคคลพร้อมด้วยเหตุผลไว้ในรายการตาม[มาตรา 39](https://link.pdpalawbase.com/section/39.md)
>
> ให้นำความใน[มาตรา 34](https://link.pdpalawbase.com/section/34.md) วรรคสอง มาใช้บังคับโดยอนุโลม

## สรุป

มาตรานี้เป็น **กลไกเมื่อเจ้าของข้อมูลร้องขอให้แก้ไขข้อมูล** ตามหน้าที่คุณภาพข้อมูลใน [มาตรา 35](https://link.pdpalawbase.com/section/35.md) หากผู้ควบคุมไม่ดำเนินการ ต้องบันทึกคำร้องขอ + เหตุผลใน [มาตรา 39](https://link.pdpalawbase.com/section/39.md) (ROPA) และเจ้าของข้อมูลสามารถร้องเรียนต่อคณะกรรมการผู้เชี่ยวชาญได้ ([มาตรา 34](https://link.pdpalawbase.com/section/34.md) วรรคสอง โดยอนุโลม)

## องค์ประกอบสำคัญ

- **เงื่อนไข (วรรค 1):**
  - เจ้าของข้อมูลร้องขอให้ผู้ควบคุมดำเนินการตาม [มาตรา 35](https://link.pdpalawbase.com/section/35.md) (ทำให้ถูกต้อง/เป็นปัจจุบัน/สมบูรณ์/ไม่ก่อให้เกิดความเข้าใจผิด) **และ**
  - ผู้ควบคุมไม่ดำเนินการ
- **หน้าที่บันทึก:** ผู้ควบคุมต้องบันทึกคำร้องขอ + เหตุผลที่ไม่ดำเนินการไว้ในรายการตาม [มาตรา 39](https://link.pdpalawbase.com/section/39.md) (ROPA)
- **กลไกร้องเรียน (วรรค 2):** ให้นำ [มาตรา 34](https://link.pdpalawbase.com/section/34.md) วรรคสอง มาใช้บังคับโดยอนุโลม → เจ้าของข้อมูลร้องเรียนต่อคณะกรรมการผู้เชี่ยวชาญเพื่อสั่งให้ผู้ควบคุมดำเนินการได้

## มาตราที่อ้างอิง

- [มาตรา 34](https://link.pdpalawbase.com/section/34.md) — สิทธิระงับการใช้ — มาตรานี้นำวรรคสอง (กลไกร้องเรียนต่อคณะกรรมการผู้เชี่ยวชาญ) มาใช้บังคับโดยอนุโลม
- [มาตรา 35](https://link.pdpalawbase.com/section/35.md) — หน้าที่ผู้ควบคุมในการรักษาคุณภาพข้อมูล — เป็นต้นทางของคำร้องขอตามมาตรานี้
- [มาตรา 39](https://link.pdpalawbase.com/section/39.md) — บันทึกรายการกิจกรรมประมวลผล (ROPA) — รวมการบันทึกคำร้องขอที่ไม่ดำเนินการตามมาตรานี้

## หมายเหตุ

- **เทียบ GDPR:** สอดคล้องกับ Article 16 (สิทธิแก้ไข) — สิทธิแก้ไขข้อมูลให้ถูกต้อง
- **โครงสร้างเชิงระบบ:**
  - **[มาตรา 35](https://link.pdpalawbase.com/section/35.md):** หน้าที่เชิงรุกของผู้ควบคุม
  - **มาตรานี้ ([มาตรา 36](https://link.pdpalawbase.com/section/36.md)):** กลไกเมื่อเจ้าของข้อมูลใช้สิทธิร้องขอ
- **เนื้อหาของคำร้องขอ:** ครอบคลุมทั้ง 4 ด้านของคุณภาพข้อมูลตาม [มาตรา 35](https://link.pdpalawbase.com/section/35.md) — เจ้าของข้อมูลอาจขอให้:
  - **แก้ไข** ข้อมูลที่ไม่ถูกต้อง
  - **ปรับปรุง** ข้อมูลที่ล้าสมัย
  - **เพิ่ม** ข้อมูลที่ขาดหายไป
  - **ปรับบริบท** ที่ก่อให้เกิดความเข้าใจผิด
- **"นำ [มาตรา 34](https://link.pdpalawbase.com/section/34.md) วรรคสอง มาใช้บังคับโดยอนุโลม":** หมายความว่ากลไกร้องเรียนต่อคณะกรรมการผู้เชี่ยวชาญ (ที่ใช้กับสิทธิระงับใน [มาตรา 34](https://link.pdpalawbase.com/section/34.md)) ใช้กับสิทธิแก้ไขใน [มาตรา 36](https://link.pdpalawbase.com/section/36.md) ด้วย
- **"โดยอนุโลม":** ปรับใช้บทบัญญัติของมาตราอื่นกับบริบทใหม่ โดยปรับถ้อยคำเท่าที่จำเป็น
- **เชื่อมโยงกับ [มาตรา 34](https://link.pdpalawbase.com/section/34.md) (1):** ในระหว่างที่ผู้ควบคุมตรวจสอบคำร้องขอตามมาตรานี้ เจ้าของข้อมูลสามารถใช้สิทธิระงับการใช้ตาม [มาตรา 34](https://link.pdpalawbase.com/section/34.md) (1) ได้ด้วย
- **ความเชื่อมโยงกับ [มาตรา 23](https://link.pdpalawbase.com/section/23.md):** ผู้ควบคุมต้องแจ้งสิทธิตามมาตรานี้ในการแจ้งความเป็นส่วนตัว ([มาตรา 23](https://link.pdpalawbase.com/section/23.md) (6))

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/section/36.md

============================================================
โนด: มาตรา 37
ลิงก์อ้างอิง: https://link.pdpalawbase.com/section/37.md

# มาตรา 37

## ตัวบท

> มาตรา 37 ผู้ควบคุมข้อมูลส่วนบุคคลมีหน้าที่ ดังต่อไปนี้
>
> (1) จัดให้มีมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสม เพื่อป้องกันการสูญหาย เข้าถึง ใช้ เปลี่ยนแปลง แก้ไข หรือเปิดเผยข้อมูลส่วนบุคคลโดยปราศจากอำนาจหรือโดยมิชอบ และต้องทบทวนมาตรการดังกล่าวเมื่อมีความจำเป็นหรือเมื่อเทคโนโลยีเปลี่ยนแปลงไปเพื่อให้มีประสิทธิภาพในการรักษาความมั่นคงปลอดภัยที่เหมาะสม ทั้งนี้ ให้เป็นไปตามมาตรฐานขั้นต่ำที่คณะกรรมการประกาศกำหนด
>
> (2) ในกรณีที่ต้องให้ข้อมูลส่วนบุคคลแก่บุคคลหรือนิติบุคคลอื่นที่ไม่ใช่ผู้ควบคุมข้อมูลส่วนบุคคล ต้องดำเนินการเพื่อป้องกันมิให้ผู้นั้นใช้หรือเปิดเผยข้อมูลส่วนบุคคลโดยปราศจากอำนาจหรือโดยมิชอบ
>
> (3) จัดให้มีระบบการตรวจสอบเพื่อดำเนินการลบหรือทำลายข้อมูลส่วนบุคคลเมื่อพ้นกำหนดระยะเวลาการเก็บรักษา หรือที่ไม่เกี่ยวข้องหรือเกินความจำเป็นตามวัตถุประสงค์ในการเก็บรวบรวมข้อมูลส่วนบุคคลนั้น หรือตามที่เจ้าของข้อมูลส่วนบุคคลร้องขอ หรือที่เจ้าของข้อมูลส่วนบุคคลได้ถอนความยินยอม เว้นแต่เก็บรักษาไว้เพื่อวัตถุประสงค์ในการใช้เสรีภาพในการแสดงความคิดเห็น การเก็บรักษาไว้เพื่อวัตถุประสงค์ตาม[มาตรา 24](https://link.pdpalawbase.com/section/24.md) (1) หรือ (4) หรือ[มาตรา 26](https://link.pdpalawbase.com/section/26.md) (5) (ก) หรือ (ข) การใช้เพื่อการก่อตั้งสิทธิเรียกร้องตามกฎหมาย การปฏิบัติตามหรือการใช้สิทธิเรียกร้องตามกฎหมาย หรือการยกขึ้นต่อสู้สิทธิเรียกร้องตามกฎหมาย หรือเพื่อการปฏิบัติตามกฎหมาย ทั้งนี้ ให้นำความใน[มาตรา 33](https://link.pdpalawbase.com/section/33.md) วรรคห้า มาใช้บังคับกับการลบหรือทำลายข้อมูลส่วนบุคคลโดยอนุโลม
>
> (4) แจ้งเหตุการละเมิดข้อมูลส่วนบุคคลแก่สำนักงานโดยไม่ชักช้าภายในเจ็ดสิบสองชั่วโมงนับแต่ทราบเหตุเท่าที่จะสามารถกระทำได้ เว้นแต่การละเมิดดังกล่าวไม่มีความเสี่ยงที่จะมีผลกระทบต่อสิทธิและเสรีภาพของบุคคล ในกรณีที่การละเมิดมีความเสี่ยงสูงที่จะมีผลกระทบต่อสิทธิและเสรีภาพของบุคคล ให้แจ้งเหตุการละเมิดให้เจ้าของข้อมูลส่วนบุคคลทราบพร้อมกับแนวทางการเยียวยาโดยไม่ชักช้าด้วย ทั้งนี้ การแจ้งดังกล่าวและข้อยกเว้นให้เป็นไปตามหลักเกณฑ์และวิธีการที่คณะกรรมการประกาศกำหนด
>
> (5) ในกรณีที่เป็นผู้ควบคุมข้อมูลส่วนบุคคลตาม[มาตรา 5](https://link.pdpalawbase.com/section/5.md) วรรคสอง ต้องแต่งตั้งตัวแทนของผู้ควบคุมข้อมูลส่วนบุคคลเป็นหนังสือซึ่งตัวแทนต้องอยู่ในราชอาณาจักรและตัวแทนต้องได้รับมอบอำนาจให้กระทำการแทนผู้ควบคุมข้อมูลส่วนบุคคลโดยไม่มีข้อจำกัดความรับผิดใด ๆ ที่เกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลตามวัตถุประสงค์ของผู้ควบคุมข้อมูลส่วนบุคคล

## สรุป

มาตรานี้กำหนด **5 หน้าที่หลักของผู้ควบคุมข้อมูล:** (1) มาตรการความมั่นคงปลอดภัยที่เหมาะสม (2) ป้องกันบุคคลที่ 3 ใช้/เปิดเผยข้อมูลโดยมิชอบ (3) ระบบลบข้อมูลเมื่อหมดความจำเป็น (4) **แจ้งเหตุละเมิดต่อสำนักงานภายใน 72 ชั่วโมง** + แจ้งเจ้าของข้อมูลในกรณีเสี่ยงสูง (5) ผู้ควบคุมต่างประเทศตาม [มาตรา 5](https://link.pdpalawbase.com/section/5.md) วรรคสอง ต้องแต่งตั้งตัวแทนในราชอาณาจักร

## องค์ประกอบสำคัญ

- **(1) มาตรการความมั่นคงปลอดภัย:**
  - ป้องกัน: สูญหาย เข้าถึง ใช้ เปลี่ยนแปลง แก้ไข เปิดเผยโดยปราศจากอำนาจ/มิชอบ
  - ต้อง**ทบทวน**เมื่อจำเป็นหรือเทคโนโลยีเปลี่ยน
  - ตามมาตรฐานขั้นต่ำที่คณะกรรมการประกาศ
- **(2) ป้องกันบุคคลที่ 3:** เมื่อต้องส่งข้อมูลให้บุคคล/นิติบุคคลอื่น ต้องดำเนินการป้องกันการใช้/เปิดเผยมิชอบ (ผ่านสัญญา/มาตรการอื่น)
- **(3) ระบบลบข้อมูล:** ต้องมีระบบตรวจสอบเพื่อลบ/ทำลายข้อมูลใน 4 กรณี:
  - พ้นกำหนดระยะเวลาเก็บ
  - ไม่เกี่ยวข้องหรือเกินความจำเป็น
  - เจ้าของข้อมูลร้องขอ
  - เจ้าของข้อมูลถอนความยินยอม
  - **ข้อยกเว้น:** เสรีภาพแสดงความคิดเห็น, [มาตรา 24](https://link.pdpalawbase.com/section/24.md) (1)/(4), [มาตรา 26](https://link.pdpalawbase.com/section/26.md) (5) (ก)/(ข), สิทธิเรียกร้อง, ปฏิบัติตามกฎหมาย
  - **กลไกของคณะกรรมการ:** [มาตรา 33](https://link.pdpalawbase.com/section/33.md) วรรคห้า ใช้บังคับโดยอนุโลม
- **(4) แจ้งเหตุละเมิด:**
  - **ต่อสำนักงาน:** ภายใน **72 ชั่วโมง** นับแต่ทราบเหตุ (เว้นแต่ไม่มีความเสี่ยงต่อสิทธิเสรีภาพ)
  - **ต่อเจ้าของข้อมูล:** ในกรณีความเสี่ยง**สูง** — แจ้ง + แนวทางการเยียวยา โดยไม่ชักช้า
  - หลักเกณฑ์ + ข้อยกเว้นเป็นไปตามประกาศคณะกรรมการ
- **(5) ตัวแทนของผู้ควบคุมต่างประเทศ:**
  - กรณี: ผู้ควบคุมตาม [มาตรา 5](https://link.pdpalawbase.com/section/5.md) วรรคสอง (ผู้ควบคุมต่างประเทศที่กฎหมายไทยคุ้มถึง)
  - ต้องแต่งตั้งตัวแทน**เป็นหนังสือ** + **อยู่ในราชอาณาจักร**
  - ตัวแทนได้รับมอบอำนาจ**โดยไม่มีข้อจำกัดความรับผิด**

## มาตราที่อ้างอิง

- [มาตรา 5](https://link.pdpalawbase.com/section/5.md) — ขอบเขตการบังคับใช้กฎหมาย — วรรคสองคือกรณีผู้ควบคุมต่างประเทศที่กฎหมายไทยบังคับถึง ที่ต้องแต่งตั้งตัวแทนตาม (5)
- [มาตรา 24](https://link.pdpalawbase.com/section/24.md) — ฐานเก็บข้อมูลทั่วไป — (1) ป้องกันอันตรายชีวิต และ (4) ภารกิจประโยชน์สาธารณะ คือข้อยกเว้นในการลบ
- [มาตรา 26](https://link.pdpalawbase.com/section/26.md) — ฐานเก็บข้อมูลอ่อนไหว — (5) (ก) เวชศาสตร์ป้องกัน และ (ข) ประโยชน์สาธารณะด้านสาธารณสุข คือข้อยกเว้นในการลบ
- [มาตรา 33](https://link.pdpalawbase.com/section/33.md) — สิทธิให้ลบ — วรรคห้า (อำนาจคณะกรรมการกำหนดหลักเกณฑ์การลบ) ใช้บังคับโดยอนุโลม

## หมายเหตุ

- **เทียบ GDPR:**
  - (1) → Article 32 (มาตรการความมั่นคงปลอดภัยของการประมวลผล)
  - (4) → Article 33 (แจ้งภายใน 72 ชั่วโมง) + Article 34 (แจ้งเจ้าของข้อมูล)
  - (5) → Article 27 (ตัวแทนของผู้ควบคุม/ผู้ประมวลผลที่ไม่อยู่ใน EU)
- **72 ชั่วโมงเป็นกำหนดเวลาที่เคร่งครัด:** สอดคล้องกับ GDPR — ผู้ควบคุมต้องวางกระบวนการรับมือเหตุละเมิดให้พร้อม (การตรวจจับ การประเมิน ทีมแจ้งเหตุ)
- **การแจ้ง 2 ชั้น:**
  - **ต่อสำนักงาน:** เสมอ (เว้นแต่ไม่มีความเสี่ยง) — เป็นการรายงานต่อหน่วยงานกำกับดูแล
  - **ต่อเจ้าของข้อมูล:** เฉพาะกรณี**ความเสี่ยงสูง** — เป็นการสื่อสารกับเจ้าของข้อมูลพร้อมแนวทางเยียวยา
- **มาตรการความมั่นคงปลอดภัย "ที่เหมาะสม":** ขึ้นอยู่กับความเสี่ยง — ข้อมูลอ่อนไหว/จำนวนมาก/มีค่าทางเศรษฐกิจสูง → มาตรการต้องเข้มข้นกว่า
- **"ระบบการตรวจสอบ" ใน (3):** ต้องเป็นระบบอัตโนมัติและเป็นระบบ — ไม่ใช่การตรวจสอบเฉพาะกิจ; เชื่อมโยงกับนโยบายระยะเวลาเก็บและการจัดการวงจรชีวิตข้อมูล
- **ตัวแทน vs DPO ([มาตรา 41](https://link.pdpalawbase.com/section/41.md)):** ต่างกัน — ตัวแทน = นิติฐานะ + รับผิดแทนผู้ควบคุมต่างประเทศ; DPO = หน้าที่ให้คำแนะนำ + ตรวจสอบ
- **ผู้ควบคุมต่างประเทศที่กฎหมายไทยบังคับถึง ([มาตรา 5](https://link.pdpalawbase.com/section/5.md) วรรคสอง):** ผู้ควบคุมต่างประเทศที่เสนอสินค้า/บริการแก่เจ้าของข้อมูลในไทย หรือเฝ้าติดตามพฤติกรรมในไทย — ต้องแต่งตั้งตัวแทนเป็นจุดติดต่อตามกฎหมาย
- **ความเชื่อมโยงกับ [มาตรา 39](https://link.pdpalawbase.com/section/39.md) (8):** มาตรการตาม (1) ของมาตรานี้ต้องบันทึกใน ROPA ([มาตรา 39](https://link.pdpalawbase.com/section/39.md) (8))
- **ข้อยกเว้นการแต่งตั้งตัวแทน (5):** ดู [มาตรา 38](https://link.pdpalawbase.com/section/38.md) — หน่วยงานของรัฐ + กิจการเล็กที่ไม่เกี่ยวกับ [มาตรา 26](https://link.pdpalawbase.com/section/26.md)

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/section/37.md

============================================================
โนด: มาตรา 38
ลิงก์อ้างอิง: https://link.pdpalawbase.com/section/38.md

# มาตรา 38

## ตัวบท

> มาตรา 38 บทบัญญัติเกี่ยวกับการแต่งตั้งตัวแทนตาม[มาตรา 37](https://link.pdpalawbase.com/section/37.md) (5) มิให้นำมาใช้บังคับแก่ผู้ควบคุมข้อมูลส่วนบุคคล ดังต่อไปนี้
>
> (1) ผู้ควบคุมข้อมูลส่วนบุคคลซึ่งเป็นหน่วยงานของรัฐตามที่คณะกรรมการประกาศกำหนด
>
> (2) ผู้ควบคุมข้อมูลส่วนบุคคลซึ่งประกอบอาชีพหรือธุรกิจในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลที่ไม่มีลักษณะตาม[มาตรา 26](https://link.pdpalawbase.com/section/26.md) และไม่มีข้อมูลส่วนบุคคลเป็นจำนวนมากตามที่คณะกรรมการประกาศกำหนดตาม[มาตรา 41](https://link.pdpalawbase.com/section/41.md) (2)
>
> ในกรณีที่ผู้ควบคุมข้อมูลส่วนบุคคลตาม[มาตรา 5](https://link.pdpalawbase.com/section/5.md) วรรคสอง มีผู้ประมวลผลข้อมูลส่วนบุคคล ให้นำความใน[มาตรา 37](https://link.pdpalawbase.com/section/37.md) (5) และความในวรรคหนึ่ง มาใช้บังคับแก่ผู้ประมวลผลข้อมูลส่วนบุคคลนั้นโดยอนุโลม

## สรุป

มาตรานี้กำหนด **ข้อยกเว้นการแต่งตั้งตัวแทน** ตาม [มาตรา 37](https://link.pdpalawbase.com/section/37.md) (5) — ไม่ต้องแต่งตั้งตัวแทนใน 2 กรณี: (1) หน่วยงานของรัฐที่คณะกรรมการประกาศกำหนด และ (2) กิจการเล็กที่ไม่เก็บข้อมูลอ่อนไหวและไม่เก็บข้อมูลจำนวนมาก ส่วนผู้ประมวลผลของผู้ควบคุมต่างประเทศก็ต้องแต่งตั้งตัวแทนเช่นกัน (ใช้บังคับโดยอนุโลม)

## องค์ประกอบสำคัญ

- **2 กรณีที่ยกเว้นไม่ต้องแต่งตั้งตัวแทน (วรรค 1):**
  - **(1) หน่วยงานของรัฐ** ตามที่คณะกรรมการประกาศกำหนด
  - **(2) กิจการเล็ก** ที่มี 2 องค์ประกอบ:
    - **ไม่เก็บข้อมูลอ่อนไหว** ตาม [มาตรา 26](https://link.pdpalawbase.com/section/26.md)
    - **ไม่เก็บข้อมูลจำนวนมาก** ตามที่คณะกรรมการประกาศตาม [มาตรา 41](https://link.pdpalawbase.com/section/41.md) (2)
- **ผู้ประมวลผลของผู้ควบคุมต่างประเทศ (วรรค 2):**
  - กรณี: ผู้ควบคุมตาม [มาตรา 5](https://link.pdpalawbase.com/section/5.md) วรรคสอง (ผู้ควบคุมต่างประเทศที่กฎหมายไทยบังคับถึง) มี**ผู้ประมวลผล**
  - ผู้ประมวลผลก็ต้องแต่งตั้งตัวแทนตาม [มาตรา 37](https://link.pdpalawbase.com/section/37.md) (5) **โดยอนุโลม**
  - ข้อยกเว้น (1) (2) ของมาตรานี้ก็ใช้กับผู้ประมวลผลโดยอนุโลม

## มาตราที่อ้างอิง

- [มาตรา 5](https://link.pdpalawbase.com/section/5.md) — ขอบเขตการบังคับใช้ — วรรคสองคือกรณีผู้ควบคุมต่างประเทศที่กฎหมายไทยบังคับถึง อันเป็นต้นทางของหน้าที่แต่งตั้งตัวแทน
- [มาตรา 26](https://link.pdpalawbase.com/section/26.md) — ฐานเก็บข้อมูลอ่อนไหว — กิจการที่เก็บข้อมูลตาม [มาตรา 26](https://link.pdpalawbase.com/section/26.md) ไม่ได้รับยกเว้น (ต้องแต่งตั้งตัวแทน)
- [มาตรา 37](https://link.pdpalawbase.com/section/37.md) — หน้าที่ผู้ควบคุม — มาตรานี้ระงับการบังคับใช้ของ (5)
- [มาตรา 41](https://link.pdpalawbase.com/section/41.md) — DPO — (2) อ้างถึงเกณฑ์ "ข้อมูลจำนวนมาก" ที่คณะกรรมการประกาศกำหนด

## หมายเหตุ

- **เทียบ GDPR:** สอดคล้องกับ Article 27(2) — ข้อยกเว้นการแต่งตั้งตัวแทน
- **เกณฑ์ "กิจการเล็ก":** ต้องครบทั้ง 2 องค์ประกอบ — ไม่เก็บข้อมูลอ่อนไหว **และ** ไม่เก็บข้อมูลจำนวนมาก; กิจการเล็กที่เก็บข้อมูลอ่อนไหว (เช่น คลินิกแพทย์) **ยังคงต้อง**แต่งตั้งตัวแทน
- **"จำนวนมาก" ตาม [มาตรา 41](https://link.pdpalawbase.com/section/41.md) (2):** เกณฑ์เดียวกับการต้องมี DPO — กำหนดโดยประกาศคณะกรรมการ ไม่ใช่ตัวเลขในกฎหมายโดยตรง
- **ความสมเหตุสมผล:** ตัวแทนเป็นภาระของ (1) ต้นทุนการดำเนินงาน (ต้องอยู่ในไทย) และ (2) เกราะรับผิดสำหรับเจ้าของข้อมูล — กิจการเล็กที่ความเสี่ยงต่ำได้รับยกเว้นเพื่อลดภาระ
- **ผู้ประมวลผลก็ต้องแต่งตั้งตัวแทน:** วรรค 2 อุดช่องว่าง — ห้ามดำเนินงานผ่านผู้ประมวลผลต่างประเทศโดยไม่มีจุดติดต่อในไทย
- **"โดยอนุโลม":** ปรับใช้บทบัญญัติในบริบทใหม่โดยปรับถ้อยคำเท่าที่จำเป็น — เช่น "ผู้ควบคุม" → "ผู้ประมวลผล"
- **ข้อยกเว้นไม่กระทบหน้าที่อื่น:** ผู้ควบคุมที่ได้รับยกเว้นการแต่งตั้งตัวแทนตามมาตรานี้ **ยังต้องปฏิบัติตามหน้าที่อื่น**ทุกข้อใน [มาตรา 37](https://link.pdpalawbase.com/section/37.md) (1)-(4)

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/section/38.md

============================================================
โนด: มาตรา 39
ลิงก์อ้างอิง: https://link.pdpalawbase.com/section/39.md

# มาตรา 39

## ตัวบท

> มาตรา 39 ให้ผู้ควบคุมข้อมูลส่วนบุคคลบันทึกรายการ อย่างน้อยดังต่อไปนี้ เพื่อให้เจ้าของข้อมูลส่วนบุคคลและสำนักงานสามารถตรวจสอบได้ โดยจะบันทึกเป็นหนังสือหรือระบบอิเล็กทรอนิกส์ก็ได้
>
> (1) ข้อมูลส่วนบุคคลที่มีการเก็บรวบรวม
>
> (2) วัตถุประสงค์ของการเก็บรวบรวมข้อมูลส่วนบุคคลแต่ละประเภท
>
> (3) ข้อมูลเกี่ยวกับผู้ควบคุมข้อมูลส่วนบุคคล
>
> (4) ระยะเวลาการเก็บรักษาข้อมูลส่วนบุคคล
>
> (5) สิทธิและวิธีการเข้าถึงข้อมูลส่วนบุคคล รวมทั้งเงื่อนไขเกี่ยวกับบุคคลที่มีสิทธิเข้าถึงข้อมูลส่วนบุคคลและเงื่อนไขในการเข้าถึงข้อมูลส่วนบุคคลนั้น
>
> (6) การใช้หรือเปิดเผยตาม[มาตรา 27](https://link.pdpalawbase.com/section/27.md) วรรคสาม
>
> (7) การปฏิเสธคำขอหรือการคัดค้านตาม[มาตรา 30](https://link.pdpalawbase.com/section/30.md) วรรคสาม [มาตรา 31](https://link.pdpalawbase.com/section/31.md) วรรคสาม [มาตรา 32](https://link.pdpalawbase.com/section/32.md) วรรคสาม และ[มาตรา 36](https://link.pdpalawbase.com/section/36.md) วรรคหนึ่ง
>
> (8) คำอธิบายเกี่ยวกับมาตรการรักษาความมั่นคงปลอดภัยตาม[มาตรา 37](https://link.pdpalawbase.com/section/37.md) (1)
>
> ความในวรรคหนึ่งให้นำมาใช้บังคับกับตัวแทนของผู้ควบคุมข้อมูลส่วนบุคคลตาม[มาตรา 5](https://link.pdpalawbase.com/section/5.md) วรรคสอง โดยอนุโลม
>
> ความใน (1) (2) (3) (4) (5) (6) และ (8) อาจยกเว้นมิให้นำมาใช้บังคับกับผู้ควบคุมข้อมูลส่วนบุคคลซึ่งเป็นกิจการขนาดเล็กตามหลักเกณฑ์ที่คณะกรรมการประกาศกำหนด เว้นแต่มีการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลที่มีความเสี่ยงที่จะมีผลกระทบต่อสิทธิและเสรีภาพของเจ้าของข้อมูลส่วนบุคคล หรือมิใช่กิจการที่เก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลเป็นครั้งคราว หรือมีการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลตาม[มาตรา 26](https://link.pdpalawbase.com/section/26.md)

## สรุป

มาตรานี้กำหนดให้ผู้ควบคุมข้อมูล**บันทึกรายการกิจกรรมประมวลผล** (ROPA) ที่ครอบคลุม 8 องค์ประกอบ — เพื่อให้เจ้าของข้อมูลและสำนักงานตรวจสอบได้ บันทึกเป็นหนังสือหรือระบบอิเล็กทรอนิกส์ก็ได้ ตัวแทนของผู้ควบคุมต่างประเทศ ([มาตรา 5](https://link.pdpalawbase.com/section/5.md) วรรคสอง) ก็ต้องบันทึกโดยอนุโลม กิจการเล็กอาจได้รับยกเว้นบางส่วน — แต่หากเก็บข้อมูลอ่อนไหวหรือมีความเสี่ยง ต้องบันทึกเต็มรูปแบบ

## องค์ประกอบสำคัญ

- **8 รายการที่ต้องบันทึก (วรรค 1):**
  - **(1)** ข้อมูลส่วนบุคคลที่เก็บรวบรวม
  - **(2)** วัตถุประสงค์ของการเก็บแต่ละประเภท
  - **(3)** ข้อมูลเกี่ยวกับผู้ควบคุม
  - **(4)** ระยะเวลาเก็บรักษา
  - **(5)** สิทธิและวิธีเข้าถึง + เงื่อนไขผู้มีสิทธิเข้าถึง
  - **(6)** การใช้/เปิดเผยตาม [มาตรา 27](https://link.pdpalawbase.com/section/27.md) วรรคสาม (กรณีฐานยกเว้น)
  - **(7)** การปฏิเสธคำขอ/คัดค้านตาม:
    - [มาตรา 30](https://link.pdpalawbase.com/section/30.md) วรรคสาม (ปฏิเสธสิทธิเข้าถึง)
    - [มาตรา 31](https://link.pdpalawbase.com/section/31.md) วรรคสาม (ปฏิเสธสิทธิโอนย้ายข้อมูล)
    - [มาตรา 32](https://link.pdpalawbase.com/section/32.md) วรรคสาม (ปฏิเสธคัดค้าน)
    - [มาตรา 36](https://link.pdpalawbase.com/section/36.md) วรรคหนึ่ง (ปฏิเสธแก้ไข)
  - **(8)** คำอธิบายมาตรการความมั่นคงปลอดภัยตาม [มาตรา 37](https://link.pdpalawbase.com/section/37.md) (1)
- **รูปแบบของการบันทึก:** หนังสือหรือระบบอิเล็กทรอนิกส์
- **วัตถุประสงค์:** ให้**เจ้าของข้อมูลและสำนักงาน**ตรวจสอบได้
- **ตัวแทนของผู้ควบคุมต่างประเทศ (วรรค 2):** ใช้บังคับกับตัวแทนตาม [มาตรา 5](https://link.pdpalawbase.com/section/5.md) วรรคสอง โดยอนุโลม
- **ข้อยกเว้นกิจการเล็ก (วรรค 3):**
  - ยกเว้น (1)(2)(3)(4)(5)(6)(8) **(แต่ไม่ยกเว้น (7))** — กิจการเล็กตามที่คณะกรรมการประกาศ
  - **เว้นแต่:** มีความเสี่ยงต่อสิทธิและเสรีภาพ **หรือ** ไม่ใช่กิจการที่เก็บข้อมูลเป็นครั้งคราว **หรือ** เก็บข้อมูลอ่อนไหวตาม [มาตรา 26](https://link.pdpalawbase.com/section/26.md)

## มาตราที่อ้างอิง

- [มาตรา 5](https://link.pdpalawbase.com/section/5.md) — ขอบเขตการบังคับใช้ — วรรคสอง (กรณีนอกราชอาณาจักร) ที่ตัวแทนของผู้ควบคุมต่างประเทศต้องบันทึก ROPA โดยอนุโลม
- [มาตรา 26](https://link.pdpalawbase.com/section/26.md) — ฐานเก็บข้อมูลอ่อนไหว — กิจการเล็กที่เก็บข้อมูลตามนี้ไม่ได้รับยกเว้น
- [มาตรา 27](https://link.pdpalawbase.com/section/27.md) — การใช้/เปิดเผย — วรรคสาม (กรณีใช้ฐานยกเว้น) เป็นรายการ (6)
- [มาตรา 30](https://link.pdpalawbase.com/section/30.md) — สิทธิเข้าถึง — การปฏิเสธตามวรรคสามต้องบันทึกใน (7)
- [มาตรา 31](https://link.pdpalawbase.com/section/31.md) — สิทธิให้โอนย้ายข้อมูล — การปฏิเสธตามวรรคสามต้องบันทึกใน (7)
- [มาตรา 32](https://link.pdpalawbase.com/section/32.md) — สิทธิคัดค้าน — การปฏิเสธคัดค้านตามวรรคสามต้องบันทึกใน (7)
- [มาตรา 36](https://link.pdpalawbase.com/section/36.md) — สิทธิแก้ไข — คำร้องขอที่ไม่ดำเนินการตามวรรคหนึ่งต้องบันทึกใน (7)
- [มาตรา 37](https://link.pdpalawbase.com/section/37.md) — หน้าที่ผู้ควบคุม — (1) มาตรการความมั่นคงปลอดภัย เป็นรายการ (8)

## หมายเหตุ

- **เทียบ GDPR:** สอดคล้องกับ Article 30 (บันทึกรายการกิจกรรมประมวลผล) — โครงสร้างคล้ายแต่รายละเอียดต่างกันบ้าง (PDPA เน้นการบันทึกการปฏิเสธสิทธิด้วยใน (7))
- **ความสำคัญของ ROPA:**
  - **หลักความรับผิดชอบ:** ผู้ควบคุมต้องสามารถ**แสดงให้เห็น**การปฏิบัติตาม PDPA — ROPA คือหลักฐาน
  - **เครื่องมือสำหรับ DPIA:** ROPA เป็นข้อมูลพื้นฐานในการประเมินความเสี่ยง
  - **เครื่องมือสำหรับการตรวจสอบ:** สำนักงานใช้ตรวจสอบเมื่อมีการตรวจสอบหรือสอบสวน
- **(7) ยังต้องทำเสมอ:** ข้อยกเว้นกิจการเล็กยกเว้นเฉพาะ (1)-(6) + (8) — การปฏิเสธสิทธิยังต้องบันทึก เพื่อให้เจ้าของข้อมูลตรวจสอบได้
- **เกณฑ์ "กิจการเล็ก":** ต้องดูประกาศคณะกรรมการ — ในแนวปฏิบัติทั่วไปอาจอ้างเกณฑ์ของกิจการขนาดกลางและขนาดย่อม (จำนวนพนักงาน/รายได้)
- **3 กรณีที่ยังต้องบันทึกแม้เป็นกิจการเล็ก:**
  - **มีความเสี่ยงต่อสิทธิและเสรีภาพ** เช่น การวิเคราะห์ข้อมูลขนาดใหญ่ การจัดทำโพรไฟล์ การเฝ้าติดตาม
  - **ไม่ใช่ครั้งคราว** เช่น การประมวลผลเป็นกิจกรรมหลักของกิจการ
  - **ข้อมูลอ่อนไหวตาม [มาตรา 26](https://link.pdpalawbase.com/section/26.md)** — เช่น กิจการสุขภาพ คลินิกแพทย์
- **รูปแบบบันทึกในทางปฏิบัติ:**
  - **ตารางคำนวณหรือฐานข้อมูล** สำหรับองค์กรขนาดกลาง-ใหญ่
  - **เอกสารประมวลผลคำ** สำหรับองค์กรเล็ก
  - **ระบบกำกับดูแลความเสี่ยงและการปฏิบัติตามกฎเกณฑ์เฉพาะทาง** สำหรับองค์กรใหญ่/ที่มี DPO
- **ความเชื่อมโยงในระบบ PDPA:** ROPA เป็นจุดศูนย์กลางที่หลายมาตราอ้างถึง — เห็นได้ว่ามาตราต่างๆ ใน หมวด 3 ที่ระบุ "บันทึกใน [มาตรา 39](https://link.pdpalawbase.com/section/39.md)" สะท้อนความเป็นกลไกหลักของการตรวจสอบความรับผิด

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/section/39.md

============================================================
โนด: มาตรา 40
ลิงก์อ้างอิง: https://link.pdpalawbase.com/section/40.md

# มาตรา 40

## ตัวบท

> มาตรา 40 ผู้ประมวลผลข้อมูลส่วนบุคคลมีหน้าที่ ดังต่อไปนี้
>
> (1) ดำเนินการเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลตามคำสั่งที่ได้รับจากผู้ควบคุมข้อมูลส่วนบุคคลเท่านั้น เว้นแต่คำสั่งนั้นขัดต่อกฎหมายหรือบทบัญญัติในการคุ้มครองข้อมูลส่วนบุคคลตามพระราชบัญญัตินี้
>
> (2) จัดให้มีมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสม เพื่อป้องกันการสูญหาย เข้าถึง ใช้ เปลี่ยนแปลง แก้ไข หรือเปิดเผยข้อมูลส่วนบุคคลโดยปราศจากอำนาจหรือโดยมิชอบ รวมทั้งแจ้งให้ผู้ควบคุมข้อมูลส่วนบุคคลทราบถึงเหตุการละเมิดข้อมูลส่วนบุคคลที่เกิดขึ้น
>
> (3) จัดทำและเก็บรักษาบันทึกรายการของกิจกรรมการประมวลผลข้อมูลส่วนบุคคลไว้ตามหลักเกณฑ์และวิธีการที่คณะกรรมการประกาศกำหนด
>
> ผู้ประมวลผลข้อมูลส่วนบุคคลซึ่งไม่ปฏิบัติตาม (1) สำหรับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลใด ให้ถือว่าผู้ประมวลผลข้อมูลส่วนบุคคลเป็นผู้ควบคุมข้อมูลส่วนบุคคลสำหรับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลนั้น
>
> การดำเนินงานตามหน้าที่ของผู้ประมวลผลข้อมูลส่วนบุคคลตามที่ได้รับมอบหมายจากผู้ควบคุมข้อมูลส่วนบุคคลตามวรรคหนึ่ง ผู้ควบคุมข้อมูลส่วนบุคคลต้องจัดให้มีข้อตกลงระหว่างกัน เพื่อควบคุมการดำเนินงานตามหน้าที่ของผู้ประมวลผลข้อมูลส่วนบุคคลให้เป็นไปตามพระราชบัญญัตินี้
>
> ความใน (3) อาจยกเว้นมิให้นำมาใช้บังคับกับผู้ประมวลผลข้อมูลส่วนบุคคลซึ่งเป็นกิจการขนาดเล็กตามหลักเกณฑ์ที่คณะกรรมการประกาศกำหนด เว้นแต่มีการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลที่มีความเสี่ยงที่จะมีผลกระทบต่อสิทธิและเสรีภาพของเจ้าของข้อมูลส่วนบุคคล หรือมิใช่กิจการที่เก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลเป็นครั้งคราว หรือมีการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลตาม[มาตรา 26](https://link.pdpalawbase.com/section/26.md)

## สรุป

มาตรานี้กำหนด **3 หน้าที่ของผู้ประมวลผลข้อมูล:** (1) ดำเนินการตามคำสั่งของผู้ควบคุมเท่านั้น (เว้นแต่คำสั่งขัดกฎหมาย) (2) มาตรการความมั่นคงปลอดภัย + แจ้งผู้ควบคุมเหตุละเมิด (3) บันทึกรายการกิจกรรมประมวลผล (ROPA ของฝั่งผู้ประมวลผล) ผลของการไม่ปฏิบัติตาม (1) คือ ถูกถือเป็นผู้ควบคุม นอกจากนี้กำหนดให้ต้องมี **ข้อตกลงระหว่างผู้ควบคุม-ผู้ประมวลผล**

## องค์ประกอบสำคัญ

- **3 หน้าที่ของผู้ประมวลผล (วรรค 1):**
  - **(1) ดำเนินการตามคำสั่งของผู้ควบคุมเท่านั้น** — เว้นแต่คำสั่งขัดกฎหมาย/บทบัญญัติคุ้มครองข้อมูล
  - **(2) มาตรการความมั่นคงปลอดภัย** + **แจ้งผู้ควบคุม** เหตุการละเมิด
  - **(3) บันทึกรายการกิจกรรมประมวลผล** (ROPA ของฝั่งผู้ประมวลผล) — ตามหลักเกณฑ์ของคณะกรรมการ
- **ผลของการไม่ปฏิบัติตาม (1) — หลักยกระดับเป็นผู้ควบคุม (วรรค 2):**
  - ผู้ประมวลผลที่ดำเนินการนอกคำสั่ง → **ถือว่าเป็นผู้ควบคุม** สำหรับการประมวลผลนั้น
  - ผลทางกฎหมาย: ต้องรับภาระทุกหน้าที่ของผู้ควบคุม (รวม [มาตรา 37](https://link.pdpalawbase.com/section/37.md) ทั้งหมด, [มาตรา 39](https://link.pdpalawbase.com/section/39.md) ROPA, ฯลฯ)
- **ข้อตกลงระหว่างผู้ควบคุมและผู้ประมวลผล (วรรค 3):**
  - ผู้ควบคุม**ต้องจัด**ให้มีข้อตกลงเป็นหนังสือ
  - วัตถุประสงค์: ควบคุมการดำเนินงานของผู้ประมวลผลให้เป็นไปตามพระราชบัญญัตินี้
- **ข้อยกเว้นกิจการเล็ก (วรรค 4):**
  - ยกเว้น **(3)** เท่านั้น (หน้าที่ ROPA) — กิจการเล็กที่คณะกรรมการประกาศ
  - **เว้นแต่:** มีความเสี่ยง **หรือ** ไม่ใช่ครั้งคราว **หรือ** เก็บข้อมูลอ่อนไหวตาม [มาตรา 26](https://link.pdpalawbase.com/section/26.md)

## มาตราที่อ้างอิง

- [มาตรา 26](https://link.pdpalawbase.com/section/26.md) — ฐานเก็บข้อมูลอ่อนไหว — ผู้ประมวลผลที่ประมวลข้อมูลตามนี้ไม่ได้รับยกเว้น (3)

## หมายเหตุ

- **เทียบ GDPR:**
  - (1) → Article 28(3)(a) "ประมวลผลข้อมูลส่วนบุคคลตามคำสั่งเป็นลายลักษณ์อักษรของผู้ควบคุมเท่านั้น"
  - (2) → Article 32 (มาตรการความมั่นคงปลอดภัย) + Article 33(2) (แจ้งผู้ควบคุม)
  - (3) → Article 30(2) (บันทึกของผู้ประมวลผล)
  - วรรค 2 → Article 28(10) "ให้ถือว่าเป็นผู้ควบคุม"
  - วรรค 3 → Article 28(3) (สัญญา / ข้อตกลงประมวลผลข้อมูล)
- **โครงสร้างความสัมพันธ์ผู้ควบคุม vs ผู้ประมวลผล:**
  - **ผู้ควบคุม:** ตัดสิน "วัตถุประสงค์" และ "วิธีการ" — รับผิดต่อเจ้าของข้อมูล
  - **ผู้ประมวลผล:** ดำเนินการแทนตามคำสั่ง — รับผิดต่อผู้ควบคุม และมีความเสี่ยงตามพระราชบัญญัตินี้
- **หลักยกระดับเป็นผู้ควบคุม (วรรค 2) สำคัญมาก:**
  - ป้องกันการ "ซ่อน" ความรับผิดของผู้ประมวลผลเมื่อใช้ข้อมูลเพื่อวัตถุประสงค์ของตน
  - ตัวอย่าง: ผู้ให้บริการคลาวด์ที่ใช้ข้อมูลลูกค้าไปฝึกระบบปัญญาประดิษฐ์ของตนเอง → ถือเป็นผู้ควบคุมสำหรับการประมวลผลในการฝึกระบบนั้น
- **เนื้อหาของข้อตกลงประมวลผลข้อมูลโดยทั่วไป:**
  - วัตถุประสงค์และระยะเวลาของการประมวลผล
  - ประเภทของข้อมูลและเจ้าของข้อมูล
  - หน้าที่ของผู้ประมวลผล (ตาม (1)-(3))
  - กลไกการแจ้งเหตุละเมิด
  - สิทธิของผู้ควบคุมในการตรวจสอบ
  - การอนุมัติให้ใช้ผู้ประมวลผลย่อย
  - ข้อกำหนดเมื่อสิ้นสุดสัญญา (ลบ/ส่งคืนข้อมูล)
- **กรณีผู้ประมวลผลย่อย:** ผู้ประมวลผลใช้ผู้ประมวลผลย่อย → ต้องได้รับอนุญาตจากผู้ควบคุม + ผูกพันด้วยข้อตกลงประมวลผลแบบเดียวกัน (โดยอนุโลม)
- **ความเชื่อมโยงกับ [มาตรา 37](https://link.pdpalawbase.com/section/37.md) (2):** ผู้ควบคุมที่ส่งข้อมูลให้ผู้ประมวลผล มีหน้าที่ "ป้องกันมิให้ผู้นั้นใช้/เปิดเผยข้อมูลโดยมิชอบ" ซึ่งข้อตกลงประมวลผลตามมาตรานี้คือกลไกหลัก
- **ความเชื่อมโยงกับ [มาตรา 41](https://link.pdpalawbase.com/section/41.md):** ผู้ประมวลผลก็มีหน้าที่แต่งตั้ง DPO ในกรณีตามเงื่อนไขของ [มาตรา 41](https://link.pdpalawbase.com/section/41.md)

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/section/40.md

============================================================
โนด: มาตรา 41
ลิงก์อ้างอิง: https://link.pdpalawbase.com/section/41.md

# มาตรา 41

## ตัวบท

> มาตรา 41 ผู้ควบคุมข้อมูลส่วนบุคคลและผู้ประมวลผลข้อมูลส่วนบุคคลต้องจัดให้มีเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลของตน ในกรณีดังต่อไปนี้
>
> (1) ผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคลเป็นหน่วยงานของรัฐตามที่คณะกรรมการประกาศกำหนด
>
> (2) การดำเนินกิจกรรมของผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคลในการเก็บรวบรวม ใช้ หรือเปิดเผย จำเป็นต้องตรวจสอบข้อมูลส่วนบุคคลหรือระบบอย่างสม่ำเสมอโดยเหตุที่มีข้อมูลส่วนบุคคลเป็นจำนวนมากตามที่คณะกรรมการประกาศกำหนด
>
> (3) กิจกรรมหลักของผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคลเป็นการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลตาม[มาตรา 26](https://link.pdpalawbase.com/section/26.md)
>
> ในกรณีที่ผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคลอยู่ในเครือกิจการหรือเครือธุรกิจเดียวกันเพื่อการประกอบกิจการหรือธุรกิจร่วมกันตามที่คณะกรรมการประกาศกำหนดตาม[มาตรา 29](https://link.pdpalawbase.com/section/29.md) วรรคสอง ผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคลดังกล่าวอาจจัดให้มีเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลร่วมกันได้ ทั้งนี้ สถานที่ทำการแต่ละแห่งของผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคลที่อยู่ในเครือกิจการหรือเครือธุรกิจเดียวกันดังกล่าวต้องสามารถติดต่อกับเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลได้โดยง่าย
>
> ความในวรรคสองให้นำมาใช้บังคับแก่ผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคลซึ่งเป็นหน่วยงานของรัฐตาม (1) ซึ่งมีขนาดใหญ่หรือมีสถานที่ทำการหลายแห่งโดยอนุโลม
>
> ในกรณีที่ผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคลตามวรรคหนึ่งต้องแต่งตั้งตัวแทนตาม[มาตรา 37](https://link.pdpalawbase.com/section/37.md) (5) ให้นำความในวรรคหนึ่งมาใช้บังคับแก่ตัวแทนโดยอนุโลม
>
> ผู้ควบคุมข้อมูลส่วนบุคคลและผู้ประมวลผลข้อมูลส่วนบุคคลมีหน้าที่ต้องแจ้งข้อมูลเกี่ยวกับเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล สถานที่ติดต่อ และวิธีการติดต่อให้เจ้าของข้อมูลส่วนบุคคลและสำนักงานทราบ ทั้งนี้ เจ้าของข้อมูลส่วนบุคคลสามารถติดต่อเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลและการใช้สิทธิของเจ้าของข้อมูลส่วนบุคคลตามพระราชบัญญัตินี้ได้
>
> คณะกรรมการอาจประกาศกำหนดคุณสมบัติของเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลได้ โดยคำนึงถึงความรู้หรือความเชี่ยวชาญเกี่ยวกับการคุ้มครองข้อมูลส่วนบุคคล
>
> เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลอาจเป็นพนักงานของผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคลหรือเป็นผู้รับจ้างให้บริการตามสัญญากับผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคลก็ได้

## สรุป

มาตรานี้กำหนด **3 กรณีที่ผู้ควบคุม/ผู้ประมวลผลต้องแต่งตั้งเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล (DPO):** (1) หน่วยงานของรัฐ (2) กิจกรรมต้องตรวจสอบข้อมูลจำนวนมากเป็นประจำ (3) กิจกรรมหลักคือการประมวลผลข้อมูลอ่อนไหวตาม [มาตรา 26](https://link.pdpalawbase.com/section/26.md) เครือกิจการเดียวกันใช้ DPO ร่วมได้ ตัวแทนตาม [มาตรา 37](https://link.pdpalawbase.com/section/37.md) (5) ก็ใช้บังคับ DPO มีสิทธิเป็นพนักงานในองค์กรหรือผู้รับจ้างภายนอกก็ได้

## องค์ประกอบสำคัญ

- **3 กรณีที่ต้องมี DPO (วรรค 1):**
  - **(1) หน่วยงานของรัฐ** ตามที่คณะกรรมการประกาศ
  - **(2) การติดตามตรวจสอบข้อมูลขนาดใหญ่อย่างสม่ำเสมอ** — กิจกรรมจำเป็นต้องตรวจสอบข้อมูลส่วนบุคคล/ระบบอย่างสม่ำเสมอ โดยมีข้อมูลจำนวนมากตามที่คณะกรรมการประกาศ
  - **(3) ข้อมูลอ่อนไหวเป็นกิจกรรมหลัก** — กิจกรรมหลักเป็นการเก็บ ใช้ เปิดเผยข้อมูลตาม [มาตรา 26](https://link.pdpalawbase.com/section/26.md)
- **DPO ร่วมในเครือกิจการ (วรรค 2):**
  - กรณี: เครือกิจการ/ธุรกิจเดียวกันตาม [มาตรา 29](https://link.pdpalawbase.com/section/29.md) วรรคสอง
  - แต่ละสาขาต้องสามารถ**ติดต่อ DPO ได้โดยง่าย**
- **DPO ร่วมในหน่วยงานของรัฐ (วรรค 3):** หน่วยงานของรัฐขนาดใหญ่/หลายแห่งใช้ DPO ร่วมได้โดยอนุโลม
- **ตัวแทนตาม [มาตรา 37](https://link.pdpalawbase.com/section/37.md) (5) (วรรค 4):** ผู้ควบคุมต่างประเทศที่แต่งตั้งตัวแทน → ใช้บังคับ DPO กับตัวแทนโดยอนุโลม
- **หน้าที่แจ้งข้อมูลติดต่อ DPO (วรรค 5):**
  - แจ้งให้**เจ้าของข้อมูล**และ**สำนักงาน**ทราบ
  - เจ้าของข้อมูลสามารถติดต่อ DPO เกี่ยวกับการประมวลผล + การใช้สิทธิตาม PDPA
- **คุณสมบัติของ DPO (วรรค 6):** คณะกรรมการอาจประกาศกำหนด — เน้นความรู้/ความเชี่ยวชาญด้านคุ้มครองข้อมูล
- **รูปแบบของ DPO (วรรค 7):**
  - **พนักงานในองค์กร** **หรือ**
  - **ผู้รับจ้างให้บริการตามสัญญา (DPO ภายนอก)**

## มาตราที่อ้างอิง

- [มาตรา 26](https://link.pdpalawbase.com/section/26.md) — ฐานเก็บข้อมูลอ่อนไหว — กิจกรรมหลักที่ประมวลผลข้อมูลตามนี้ต้องมี DPO ((3))
- [มาตรา 29](https://link.pdpalawbase.com/section/29.md) — การส่งข้อมูลภายในเครือกิจการ — วรรคสอง (เครือกิจการเดียวกัน) เป็นเกณฑ์ของ DPO ร่วมในเครือกิจการ
- [มาตรา 37](https://link.pdpalawbase.com/section/37.md) — หน้าที่ผู้ควบคุม — (5) (ตัวแทนของผู้ควบคุมต่างประเทศ) ก็ต้องบังคับ DPO โดยอนุโลม

## หมายเหตุ

- **เทียบ GDPR:** สอดคล้องกับ Article 37 (การแต่งตั้ง), Article 38 (สถานะ), Article 39 (หน้าที่) — โครงสร้างใกล้เคียง
- **คำว่า "เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล" = DPO** — กฎหมายไทยใช้คำเต็ม แต่อุตสาหกรรมเรียกย่อ DPO เป็นมาตรฐาน
- **3 ปัจจัยที่ใช้วิเคราะห์ว่าต้องมี DPO หรือไม่:**
  - **ภาครัฐ** — เปลี่ยนเป็นเรื่องอำนาจรัฐ
  - **การติดตามตรวจสอบข้อมูลจำนวนมากเป็นประจำ** — เช่น ธนาคาร โทรคมนาคม การโฆษณาออนไลน์
  - **ข้อมูลอ่อนไหวเป็นกิจการหลัก** — เช่น โรงพยาบาล องค์กรศาสนา บริการที่ใช้ข้อมูลชีวภาพ
- **(2) "ข้อมูลจำนวนมาก":** ไม่มีตัวเลขในกฎหมาย — ขึ้นกับประกาศคณะกรรมการ; ในแนวปฏิบัติของ EU พิจารณา:
  - จำนวนเจ้าของข้อมูลที่กระทบ
  - ปริมาณข้อมูล / ความหลากหลาย
  - ระยะเวลาที่ประมวลผล
  - ขอบเขตทางภูมิศาสตร์
- **(3) "กิจกรรมหลัก":** ไม่ใช่ "กิจกรรมรอง" — เช่น โรงพยาบาล (สุขภาพคือกิจกรรมหลัก), งานบุคคลของบริษัทผลิต (งานบุคคลไม่ใช่กิจกรรมหลักของบริษัทผลิต)
- **DPO พนักงานในองค์กร vs ผู้รับจ้างภายนอก:**
  - **พนักงานในองค์กร:** เข้าใจองค์กรลึก แต่ความเป็นอิสระอาจถูกท้าทาย (รายงานต่อใคร?)
  - **ผู้รับจ้างภายนอก:** ความเป็นอิสระสูงกว่า แต่อาจไม่เข้าใจบริบทองค์กร — เหมาะกับกิจการขนาดกลางและขนาดย่อม
- **ความเป็นอิสระของ DPO:** ดูใน [มาตรา 42](https://link.pdpalawbase.com/section/42.md) วรรค 3 — ห้ามไล่ออกเพราะปฏิบัติหน้าที่ + รายงานต่อผู้บริหารสูงสุดได้
- **DPO ร่วมในเครือกิจการข้ามประเทศ:** กรณีบริษัทแม่ที่ต่างประเทศ + บริษัทลูกในไทย → ต้องแน่ใจว่า DPO ติดต่อได้สะดวกกับสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล และเจ้าของข้อมูลในไทย
- **เกณฑ์ "จำนวนมาก" เดียวกับ [มาตรา 38](https://link.pdpalawbase.com/section/38.md) (2):** ทั้ง [มาตรา 38](https://link.pdpalawbase.com/section/38.md) (2) (ข้อยกเว้นตัวแทน) และ [มาตรา 41](https://link.pdpalawbase.com/section/41.md) (2) (ต้องมี DPO) อ้างถึงเกณฑ์ "ข้อมูลจำนวนมาก" ของคณะกรรมการ — เป็นเกณฑ์เดียวกัน

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/section/41.md

============================================================
โนด: มาตรา 42
ลิงก์อ้างอิง: https://link.pdpalawbase.com/section/42.md

# มาตรา 42

## ตัวบท

> มาตรา 42 เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลมีหน้าที่ ดังต่อไปนี้
>
> (1) ให้คำแนะนำแก่ผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคล รวมทั้งลูกจ้างหรือผู้รับจ้างของผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคลเกี่ยวกับการปฏิบัติตามพระราชบัญญัตินี้
>
> (2) ตรวจสอบการดำเนินงานของผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคล รวมทั้งลูกจ้างหรือผู้รับจ้างของผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคลเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลเพื่อให้เป็นไปตามพระราชบัญญัตินี้
>
> (3) ประสานงานและให้ความร่วมมือกับสำนักงานในกรณีที่มีปัญหาเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลของผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคล รวมทั้งลูกจ้างหรือผู้รับจ้างของผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคลในการปฏิบัติตามพระราชบัญญัตินี้
>
> (4) รักษาความลับของข้อมูลส่วนบุคคลที่ตนล่วงรู้หรือได้มาเนื่องจากการปฏิบัติหน้าที่ตามพระราชบัญญัตินี้
>
> ผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคลต้องสนับสนุนการปฏิบัติหน้าที่ของเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลโดยจัดหาเครื่องมือหรืออุปกรณ์อย่างเพียงพอ รวมทั้งอำนวยความสะดวกในการเข้าถึงข้อมูลส่วนบุคคลเพื่อการปฏิบัติหน้าที่
>
> ผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคลจะให้เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลออกจากงานหรือเลิกสัญญาการจ้างด้วยเหตุที่เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลปฏิบัติหน้าที่ตามพระราชบัญญัตินี้ไม่ได้ ทั้งนี้ ในกรณีที่มีปัญหาในการปฏิบัติหน้าที่ เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลต้องสามารถรายงานไปยังผู้บริหารสูงสุดของผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคลโดยตรงได้
>
> เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลอาจปฏิบัติหน้าที่หรือภารกิจอื่นได้ แต่ผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคลต้องรับรองกับสำนักงานว่าหน้าที่หรือภารกิจดังกล่าวต้องไม่ขัดหรือแย้งต่อการปฏิบัติหน้าที่ตามพระราชบัญญัตินี้

## สรุป

มาตรานี้กำหนด **4 หน้าที่หลักของ DPO:** (1) ให้คำแนะนำแก่ผู้ควบคุม/ผู้ประมวลผล + ลูกจ้าง/ผู้รับจ้าง (2) ตรวจสอบการปฏิบัติตามกฎหมาย (3) ประสานงาน/ให้ความร่วมมือกับสำนักงาน (4) รักษาความลับ พร้อมหลักประกัน 3 ด้านของความเป็นอิสระ: สนับสนุนทรัพยากร, **ห้ามไล่ออกเพราะปฏิบัติหน้าที่**, รายงานต่อผู้บริหารสูงสุดได้ DPO ปฏิบัติหน้าที่อื่นได้ แต่ห้ามขัดแย้งกับหน้าที่ตามกฎหมายนี้ ([มาตรา 41](https://link.pdpalawbase.com/section/41.md))

## องค์ประกอบสำคัญ

- **4 หน้าที่หลักของ DPO (วรรค 1):**
  - **(1) ให้คำแนะนำ** — แก่ผู้ควบคุม/ผู้ประมวลผล + ลูกจ้าง/ผู้รับจ้าง เกี่ยวกับการปฏิบัติตามกฎหมาย
  - **(2) ตรวจสอบ** — การดำเนินงานเกี่ยวกับการเก็บ ใช้ เปิดเผย ให้เป็นไปตามกฎหมาย
  - **(3) ประสานงาน** — กับสำนักงานในกรณีมีปัญหาเกี่ยวกับการประมวลผล
  - **(4) รักษาความลับ** — ของข้อมูลส่วนบุคคลที่ล่วงรู้จากการปฏิบัติหน้าที่
- **หน้าที่สนับสนุนของผู้ควบคุม/ผู้ประมวลผล (วรรค 2):**
  - **เครื่องมือ/อุปกรณ์** อย่างเพียงพอ
  - **อำนวยความสะดวก**ในการเข้าถึงข้อมูลส่วนบุคคล
- **หลักประกันความเป็นอิสระ (วรรค 3):**
  - **ห้ามไล่ออก/เลิกสัญญา** ด้วยเหตุที่ DPO ปฏิบัติหน้าที่ตามกฎหมาย
  - DPO ต้องสามารถ**รายงานตรง**ต่อผู้บริหารสูงสุดในกรณีมีปัญหา
- **DPO ปฏิบัติหน้าที่อื่นได้ (วรรค 4):**
  - DPO อาจมีบทบาทอื่น (เช่น ทำคู่กับงานที่ปรึกษากฎหมาย / กำกับการปฏิบัติตามกฎเกณฑ์ / ความปลอดภัยทางสารสนเทศ)
  - **เงื่อนไข:** ผู้ควบคุม/ผู้ประมวลผลต้อง**รับรองต่อสำนักงาน**ว่าไม่ขัด/แย้งกับหน้าที่ DPO

## มาตราที่อ้างอิง

- [มาตรา 41](https://link.pdpalawbase.com/section/41.md) — เงื่อนไขการแต่งตั้ง DPO — มาตรานี้กำหนดหน้าที่ของ DPO ที่ต้องแต่งตั้งตาม [มาตรา 41](https://link.pdpalawbase.com/section/41.md)

## หมายเหตุ

- **เทียบ GDPR:** สอดคล้องกับ Article 38 (สถานะ) + Article 39 (หน้าที่) — Article 39 ครอบคลุมหน้าที่ของ DPO
- **3 หลักประกันความเป็นอิสระสำคัญมาก:**
  - **ทรัพยากร:** ทรัพยากรเพียงพอ (เครื่องมือ + เข้าถึงข้อมูล)
  - **ความมั่นคงในตำแหน่ง:** ห้ามไล่ออกเพราะ "ตักเตือน" หรือ "รายงาน" ที่ฝ่ายบริหารไม่ชอบ
  - **ช่องทางรายงานตรง:** รายงานตรงผู้บริหารสูงสุด — ข้ามผู้บังคับบัญชาระดับกลางได้หากเกิดความขัดแย้ง
- **(1) "ลูกจ้าง/ผู้รับจ้าง" รวมในหน้าที่ DPO:** สำคัญ — DPO ต้องมีอำนาจให้คำแนะนำพนักงานทั่วทั้งองค์กร ไม่ใช่เฉพาะผู้บริหาร
- **(4) การรักษาความลับ:** DPO เห็นข้อมูลส่วนบุคคลทั่วทั้งองค์กร — มีหน้าที่รักษาความลับโดยปริยาย
- **ผลประโยชน์ทับซ้อน (วรรค 4):** DPO ไม่ควรมีบทบาทที่ตัดสินใจวิธีการประมวลผลเอง (เช่น ผู้บริหารสูงสุด หรือหัวหน้าฝ่ายการตลาด) — เพราะจะต้อง "ตรวจสอบตัวเอง"
  - **บทบาทที่ปกติเข้ากันได้:** เจ้าหน้าที่กำกับดูแลการปฏิบัติตามกฎหมาย, ผู้ตรวจสอบภายใน, ที่ปรึกษากฎหมาย, เจ้าหน้าที่ความปลอดภัยทางไอที (ไม่ใช่ผู้กำหนดวิธีการประมวลผล)
  - **บทบาทที่ขัดแย้ง:** ผู้บริหารสูงสุด, ผู้บริหารฝ่ายปฏิบัติการ, ผู้บริหารฝ่ายการเงิน, ผู้บริหารฝ่ายการตลาด, ผู้บริหารฝ่ายเทคโนโลยี, หัวหน้าฝ่ายบุคคล
- **DPO ผู้รับจ้างภายนอก + การรับรองต่อสำนักงาน:** กรณีจ้างภายนอก — บริษัทรับจ้างอาจมีลูกค้าหลายราย → ต้องรับรองว่าไม่ขัดแย้งกัน
- **DPO กับการคุ้มครองผู้แจ้งเบาะแส:** การห้ามไล่ออกเป็นการคุ้มครองในลักษณะเดียวกับผู้แจ้งเบาะแส — แต่ครอบคลุมเฉพาะการ "ปฏิบัติหน้าที่ตาม PDPA" (ไม่ใช่การประพฤติผิดอื่น)
- **ความเชื่อมโยงกับ [มาตรา 41](https://link.pdpalawbase.com/section/41.md):**
  - **[มาตรา 41](https://link.pdpalawbase.com/section/41.md):** ใครต้องมี DPO + การแต่งตั้ง + คุณสมบัติ
  - **มาตรานี้ ([มาตรา 42](https://link.pdpalawbase.com/section/42.md)):** หน้าที่ + ความเป็นอิสระ + การคุ้มครอง
- **บทบาท DPO ในการดำเนินคดี:** เป็นจุดติดต่อหลักของสำนักงานในฐานะหน่วยงานกำกับดูแล — กรณีมีการตรวจสอบ/สอบสวน/เหตุละเมิด — ตามวรรค 1 (3)

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/section/42.md

============================================================
โนด: มาตรา 43
ลิงก์อ้างอิง: https://link.pdpalawbase.com/section/43.md

# มาตรา 43

## ตัวบท

> มาตรา 43 ให้มีสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลมีวัตถุประสงค์เกี่ยวกับการคุ้มครองข้อมูลส่วนบุคคล รวมทั้งส่งเสริมและสนับสนุนให้เกิดการพัฒนาด้านการคุ้มครองข้อมูลส่วนบุคคลของประเทศ
>
> สำนักงานเป็นหน่วยงานของรัฐมีฐานะเป็นนิติบุคคล และไม่เป็นส่วนราชการตามกฎหมายว่าด้วยระเบียบบริหารราชการแผ่นดิน หรือรัฐวิสาหกิจตามกฎหมายว่าด้วยวิธีการงบประมาณหรือกฎหมายอื่น
>
> กิจการของสำนักงานไม่อยู่ภายใต้บังคับแห่งกฎหมายว่าด้วยการคุ้มครองแรงงาน กฎหมายว่าด้วยแรงงานสัมพันธ์ กฎหมายว่าด้วยแรงงานรัฐวิสาหกิจสัมพันธ์ กฎหมายว่าด้วยการประกันสังคม และกฎหมายว่าด้วยเงินทดแทน แต่พนักงานและลูกจ้างของสำนักงานต้องได้รับประโยชน์ตอบแทนไม่น้อยกว่าที่กำหนดไว้ในกฎหมายว่าด้วยการคุ้มครองแรงงาน กฎหมายว่าด้วยการประกันสังคม และกฎหมายว่าด้วยเงินทดแทน
>
> ให้สำนักงานเป็นหน่วยงานของรัฐตามกฎหมายว่าด้วยความรับผิดทางละเมิดของเจ้าหน้าที่

## สรุป

มาตรานี้จัดตั้ง **สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล** ในฐานะหน่วยงานของรัฐที่เป็นนิติบุคคล แต่ไม่เป็นส่วนราชการและไม่เป็นรัฐวิสาหกิจ มีวัตถุประสงค์ในการคุ้มครองข้อมูลส่วนบุคคลและส่งเสริมการพัฒนาด้านนี้ของประเทศ ไม่อยู่ภายใต้กฎหมายแรงงานหลายฉบับโดยตรง แต่พนักงานต้องได้รับประโยชน์ตอบแทนไม่น้อยกว่าที่กฎหมายแรงงานกำหนด และเป็นหน่วยงานของรัฐตามกฎหมายความรับผิดทางละเมิดของเจ้าหน้าที่

## องค์ประกอบสำคัญ

- **วัตถุประสงค์ของสำนักงาน (วรรค 1):**
  - คุ้มครองข้อมูลส่วนบุคคล
  - ส่งเสริมและสนับสนุนการพัฒนาด้านการคุ้มครองข้อมูลส่วนบุคคลของประเทศ
- **สถานะทางกฎหมาย (วรรค 2):**
  - เป็น **หน่วยงานของรัฐ** ที่มีฐานะเป็น **นิติบุคคล**
  - **ไม่ใช่** ส่วนราชการตามกฎหมายระเบียบบริหารราชการแผ่นดิน
  - **ไม่ใช่** รัฐวิสาหกิจตามกฎหมายวิธีการงบประมาณหรือกฎหมายอื่น
- **กฎหมายแรงงานที่ไม่บังคับใช้ (วรรค 3):**
  - กฎหมายคุ้มครองแรงงาน
  - กฎหมายแรงงานสัมพันธ์
  - กฎหมายแรงงานรัฐวิสาหกิจสัมพันธ์
  - กฎหมายประกันสังคม
  - กฎหมายเงินทดแทน
  - **แต่:** พนักงานและลูกจ้างต้องได้รับประโยชน์ตอบแทน**ไม่น้อยกว่า**ที่กำหนดในกฎหมายคุ้มครองแรงงาน ประกันสังคม และเงินทดแทน
- **ความรับผิดทางละเมิด (วรรค 4):** เป็นหน่วยงานของรัฐตามกฎหมายความรับผิดทางละเมิดของเจ้าหน้าที่ — ผู้เสียหายฟ้องสำนักงานได้โดยตรง (ไม่ต้องฟ้องเจ้าหน้าที่รายบุคคล)

## มาตราที่อ้างอิง

(ไม่มีการอ้างอิงมาตราอื่นในตัวบท)

## หมายเหตุ

- **โครงสร้างหน่วยงานของรัฐแบบอิสระ:** สำนักงานเป็น "หน่วยงานของรัฐที่ไม่ใช่ส่วนราชการและไม่ใช่รัฐวิสาหกิจ" ซึ่งเป็นรูปแบบที่ใช้กับองค์กรกำกับดูแลหลายแห่งในไทย เช่น กสทช., กลต., สภาพยาบาล
- **ความเป็นอิสระจากระบบราชการ:** การไม่อยู่ภายใต้ระเบียบบริหารราชการแผ่นดิน เปิดทางให้สำนักงานบริหารงานคุ้มครองข้อมูลส่วนบุคคลโดยไม่ขึ้นกับโครงสร้างราชการประจำ
- **เหตุที่ไม่ใช้กฎหมายแรงงานตรง:** เนื่องจากสถานะกึ่งราชการ-กึ่งเอกชน → จึงต้องออกแบบระบบบริหารพนักงานเฉพาะ (ดู [มาตรา 44](https://link.pdpalawbase.com/section/44.md) และ [มาตรา 45](https://link.pdpalawbase.com/section/45.md)) แต่กฎหมายผูกมัดให้ค่าตอบแทนต้องไม่ต่ำกว่ามาตรฐานของกฎหมายแรงงาน
- **ภาระความรับผิดทางละเมิด:** ผู้เสียหายฟ้องสำนักงานได้โดยตรง โดยไม่ต้องฟ้องเจ้าหน้าที่รายบุคคล — ลดความเสี่ยงที่เจ้าหน้าที่จะถูกฟ้องเป็นการส่วนตัวจากการปฏิบัติหน้าที่
- **ความเชื่อมโยงกับโครงสร้างคณะกรรมการ:** สำนักงานเป็นหน่วยปฏิบัติงานสนับสนุนคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล ที่จัดตั้งตาม [มาตรา 8](https://link.pdpalawbase.com/section/8.md) (หมวด 1) — ทำหน้าที่ทางวิชาการ ธุรการ และดำเนินการตามที่คณะกรรมการมอบหมาย

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/section/43.md

============================================================
โนด: มาตรา 44
ลิงก์อ้างอิง: https://link.pdpalawbase.com/section/44.md

# มาตรา 44

## ตัวบท

> มาตรา 44 นอกจากหน้าที่และอำนาจในการดำเนินการให้เป็นไปตามวัตถุประสงค์ตาม[มาตรา 43](https://link.pdpalawbase.com/section/43.md) วรรคหนึ่ง ให้สำนักงานมีหน้าที่ปฏิบัติงานวิชาการและงานธุรการให้แก่คณะกรรมการ คณะกรรมการกำกับสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล คณะกรรมการผู้เชี่ยวชาญ และคณะอนุกรรมการ รวมทั้งให้มีหน้าที่และอำนาจ ดังต่อไปนี้
>
> (1) จัดทำร่างแผนแม่บทการดำเนินงานด้านการส่งเสริม และการคุ้มครองข้อมูลส่วนบุคคลที่สอดคล้องกับนโยบาย ยุทธศาสตร์ชาติ และแผนระดับชาติที่เกี่ยวข้อง รวมทั้งร่างแผนแม่บทและมาตรการแก้ไขปัญหาอุปสรรคการปฏิบัติการตามนโยบาย ยุทธศาสตร์ชาติ และแผนระดับชาติดังกล่าว เพื่อเสนอต่อคณะกรรมการ
>
> (2) ส่งเสริมและสนับสนุนการวิจัย เพื่อพัฒนาเทคโนโลยีที่เกี่ยวข้องกับการคุ้มครองข้อมูลส่วนบุคคล
>
> (3) วิเคราะห์และรับรองความสอดคล้องและความถูกต้องตามมาตรฐานหรือตามมาตรการหรือกลไกการกำกับดูแลที่เกี่ยวข้องกับการคุ้มครองข้อมูลส่วนบุคคล รวมทั้งตรวจสอบและรับรองนโยบายในการคุ้มครองข้อมูลส่วนบุคคลตาม[มาตรา 29](https://link.pdpalawbase.com/section/29.md)
>
> (4) สำรวจ เก็บรวบรวมข้อมูล ติดตามความเคลื่อนไหวของสถานการณ์ด้านการคุ้มครองข้อมูลส่วนบุคคล และแนวโน้มการเปลี่ยนแปลงด้านการคุ้มครองข้อมูลส่วนบุคคล รวมทั้งวิเคราะห์และวิจัยประเด็นทางด้านการคุ้มครองข้อมูลส่วนบุคคลที่มีผลต่อการพัฒนาประเทศเพื่อเสนอต่อคณะกรรมการ
>
> (5) ประสานงานกับส่วนราชการ รัฐวิสาหกิจ ราชการส่วนท้องถิ่น องค์การมหาชน หรือหน่วยงานอื่นของรัฐเกี่ยวกับการคุ้มครองข้อมูลส่วนบุคคล
>
> (6) ให้คำปรึกษาแก่หน่วยงานของรัฐและหน่วยงานของเอกชนเกี่ยวกับการปฏิบัติตามพระราชบัญญัตินี้
>
> (7) เป็นศูนย์กลางในการให้บริการทางวิชาการหรือให้บริการที่เกี่ยวกับการคุ้มครองข้อมูลส่วนบุคคลแก่หน่วยงานของรัฐ หน่วยงานของเอกชน และประชาชน รวมทั้งเผยแพร่และให้ความรู้ความเข้าใจในเรื่องการคุ้มครองข้อมูลส่วนบุคคล
>
> (8) กำหนดหลักสูตรและฝึกอบรมการปฏิบัติหน้าที่ของผู้ควบคุมข้อมูลส่วนบุคคล ผู้ประมวลผลข้อมูลส่วนบุคคล เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล ลูกจ้าง ผู้รับจ้าง หรือประชาชนทั่วไป
>
> (9) ทำความตกลงและร่วมมือกับองค์การหรือหน่วยงานทั้งในประเทศและต่างประเทศในกิจการที่เกี่ยวกับการดำเนินการตามหน้าที่และอำนาจของสำนักงาน เมื่อได้รับความเห็นชอบจากคณะกรรมการ
>
> (10) ติดตามและประเมินผลการปฏิบัติตามพระราชบัญญัตินี้
>
> (11) ปฏิบัติหน้าที่อื่นตามที่คณะกรรมการ คณะกรรมการกำกับสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล คณะกรรมการผู้เชี่ยวชาญ หรือคณะอนุกรรมการมอบหมาย หรือตามที่กฎหมายกำหนด

## สรุป

มาตรานี้กำหนด **หน้าที่และอำนาจของสำนักงาน** 11 ข้อ — ครอบคลุมทั้งงานวิชาการและธุรการสนับสนุนคณะกรรมการชุดต่าง ๆ และหน้าที่เชิงรุก ได้แก่ จัดทำแผนแม่บท ส่งเสริมการวิจัย วิเคราะห์/รับรองมาตรฐาน สำรวจสถานการณ์ ประสานงานกับหน่วยงานรัฐ ให้คำปรึกษา ฝึกอบรม ทำความตกลงในและต่างประเทศ ติดตามประเมินผล นอกเหนือจากวัตถุประสงค์ตาม [มาตรา 43](https://link.pdpalawbase.com/section/43.md) วรรคหนึ่ง

## องค์ประกอบสำคัญ

- **หน้าที่ด้านธุรการ-วิชาการ (วรรคนำ):** สนับสนุนคณะกรรมการ + คณะกรรมการกำกับสำนักงาน + คณะกรรมการผู้เชี่ยวชาญ + คณะอนุกรรมการ
- **หน้าที่และอำนาจ 11 ข้อ:**
  - **(1) จัดทำแผนแม่บท** — ส่งเสริมและคุ้มครองข้อมูลส่วนบุคคล + มาตรการแก้ไขปัญหา → เสนอต่อคณะกรรมการ
  - **(2) ส่งเสริมการวิจัย** — พัฒนาเทคโนโลยีที่เกี่ยวข้อง
  - **(3) วิเคราะห์และรับรองมาตรฐาน** — รวมการตรวจสอบนโยบายตาม [มาตรา 29](https://link.pdpalawbase.com/section/29.md) (สำหรับการส่งข้อมูลภายในเครือกิจการต่างประเทศ)
  - **(4) สำรวจและติดตามสถานการณ์** — วิจัยประเด็นที่มีผลต่อการพัฒนาประเทศ
  - **(5) ประสานงาน** — ส่วนราชการ รัฐวิสาหกิจ ท้องถิ่น องค์การมหาชน หน่วยงานรัฐอื่น
  - **(6) ให้คำปรึกษา** — ทั้งภาครัฐและเอกชน
  - **(7) ศูนย์กลางบริการวิชาการ** — สำหรับรัฐ เอกชน ประชาชน + เผยแพร่ความรู้
  - **(8) หลักสูตรฝึกอบรม** — ผู้ควบคุมข้อมูล ผู้ประมวลผล เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล ลูกจ้าง ผู้รับจ้าง ประชาชน
  - **(9) ความตกลงในและต่างประเทศ** — เมื่อได้รับความเห็นชอบจากคณะกรรมการ
  - **(10) ติดตามและประเมินผล** การปฏิบัติตามพระราชบัญญัติ
  - **(11) หน้าที่อื่น** ตามที่คณะกรรมการ/คณะกรรมการกำกับ/คณะกรรมการผู้เชี่ยวชาญ/คณะอนุกรรมการมอบหมาย หรือตามกฎหมาย

## มาตราที่อ้างอิง

- [มาตรา 29](https://link.pdpalawbase.com/section/29.md) — การส่งข้อมูลส่วนบุคคลไปต่างประเทศโดยใช้นโยบายเครือกิจการ — สำนักงานเป็นหน่วยตรวจสอบและรับรองนโยบายตาม (3)
- [มาตรา 43](https://link.pdpalawbase.com/section/43.md) — การจัดตั้งสำนักงาน — มาตรานี้ขยายหน้าที่นอกเหนือวัตถุประสงค์ตาม [มาตรา 43](https://link.pdpalawbase.com/section/43.md) วรรคหนึ่ง

## หมายเหตุ

- **บทบาทหลัก 4 ขา:** หน้าที่ของสำนักงานครอบคลุม 4 ด้านสำคัญ:
  - **ด้านนโยบาย** — (1) แผนแม่บท + (4) สำรวจสถานการณ์
  - **ด้านการกำกับดูแล** — (3) รับรองมาตรฐาน + (10) ติดตามประเมินผล
  - **ด้านการสนับสนุน** — (5) ประสานงาน + (6) ให้คำปรึกษา + (9) ความตกลงระหว่างประเทศ
  - **ด้านการเผยแพร่** — (7) ศูนย์กลางบริการ + (8) ฝึกอบรม + (2) ส่งเสริมการวิจัย
- **ความสำคัญของ (3) ต่อภาคธุรกิจ:** การ "ตรวจสอบและรับรองนโยบายตาม [มาตรา 29](https://link.pdpalawbase.com/section/29.md)" คือกระบวนการที่บริษัทข้ามชาติต้องผ่าน เพื่อย้ายข้อมูลไปยังเครือกิจการในต่างประเทศ — สำนักงานเป็นหน่วยรับรอง
- **(8) ฝึกอบรมเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล:** ตอบโจทย์ของ [มาตรา 41](https://link.pdpalawbase.com/section/41.md) ที่ต้องมีเจ้าหน้าที่คุ้มครองข้อมูล — สำนักงานช่วยพัฒนาบุคลากรให้พอเพียงต่อความต้องการของกิจการที่ต้องตั้งตำแหน่งนี้
- **(9) ความตกลงต่างประเทศ:** เปิดทางให้ทำบันทึกข้อตกลงความร่วมมือกับองค์กรกำกับดูแลของประเทศอื่น เพื่อสนับสนุนการคุ้มครองข้ามพรมแดน — แต่ต้องผ่านความเห็นชอบของคณะกรรมการก่อน
- **(11) เป็นข้อปลายเปิด:** เปิดให้คณะกรรมการ/คณะกรรมการกำกับ/คณะกรรมการผู้เชี่ยวชาญ/คณะอนุกรรมการ มอบหมายงานเพิ่มเติมได้ตามสถานการณ์
- **อำนาจทั่วไปของสำนักงาน** ดูเพิ่มที่ [มาตรา 45](https://link.pdpalawbase.com/section/45.md) (ถือกรรมสิทธิ์ ทำนิติกรรม เก็บค่าธรรมเนียม ฯลฯ)

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/section/44.md

============================================================
โนด: มาตรา 45
ลิงก์อ้างอิง: https://link.pdpalawbase.com/section/45.md

# มาตรา 45

## ตัวบท

> มาตรา 45 ในการดำเนินงานของสำนักงาน นอกจากหน้าที่และอำนาจตามที่บัญญัติใน[มาตรา 44](https://link.pdpalawbase.com/section/44.md) แล้ว ให้สำนักงานมีหน้าที่และอำนาจทั่วไป ดังต่อไปนี้ด้วย
>
> (1) ถือกรรมสิทธิ์ มีสิทธิครอบครอง และมีทรัพยสิทธิต่าง ๆ
>
> (2) ก่อตั้งสิทธิ หรือทำนิติกรรมทุกประเภทผูกพันทรัพย์สิน ตลอดจนทำนิติกรรมอื่นใดเพื่อประโยชน์ในการดำเนินกิจการของสำนักงาน
>
> (3) จัดให้มีและให้ทุนเพื่อสนับสนุนการดำเนินกิจการของสำนักงาน
>
> (4) เรียกเก็บค่าธรรมเนียม ค่าบำรุง ค่าตอบแทน หรือค่าบริการในการดำเนินงานต่าง ๆ ตามวัตถุประสงค์ของสำนักงาน ทั้งนี้ ตามหลักเกณฑ์และอัตราที่สำนักงานกำหนดโดยความเห็นชอบของคณะกรรมการกำกับสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล
>
> (5) ปฏิบัติการอื่นใดที่กฎหมายกำหนดให้เป็นหน้าที่และอำนาจของสำนักงาน หรือตามที่คณะกรรมการ คณะกรรมการกำกับสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล คณะกรรมการผู้เชี่ยวชาญ หรือคณะอนุกรรมการมอบหมาย

## สรุป

มาตรานี้กำหนด **อำนาจทั่วไปของสำนักงาน** 5 ข้อ ซึ่งเป็นอำนาจรองรับการบริหารจัดการในฐานะนิติบุคคล นอกเหนือจากหน้าที่เฉพาะตาม [มาตรา 44](https://link.pdpalawbase.com/section/44.md) ได้แก่ ถือกรรมสิทธิ์/ทรัพยสิทธิ ทำนิติกรรม จัดหาและให้ทุน เรียกเก็บค่าธรรมเนียมตามหลักเกณฑ์ที่กำหนดโดยความเห็นชอบของคณะกรรมการกำกับสำนักงาน และปฏิบัติการอื่นตามที่กฎหมายหรือคณะกรรมการที่เกี่ยวข้องมอบหมาย

## องค์ประกอบสำคัญ

- **อำนาจทรัพย์สิน (1):** ถือกรรมสิทธิ์ + สิทธิครอบครอง + ทรัพยสิทธิต่าง ๆ
- **อำนาจทำนิติกรรม (2):**
  - ก่อตั้งสิทธิ/ทำนิติกรรมผูกพันทรัพย์สิน
  - ทำนิติกรรมอื่นใดเพื่อประโยชน์ในการดำเนินกิจการ
- **อำนาจให้ทุน (3):** จัดหาและให้ทุนเพื่อสนับสนุนกิจการของสำนักงาน
- **อำนาจเรียกเก็บค่าธรรมเนียม (4):**
  - ประเภทรายได้: ค่าธรรมเนียม ค่าบำรุง ค่าตอบแทน ค่าบริการ
  - **เงื่อนไข:** ตามหลักเกณฑ์และอัตราที่สำนักงานกำหนด **โดยความเห็นชอบของคณะกรรมการกำกับสำนักงาน**
- **อำนาจอื่นที่กฎหมายมอบ (5):** ปฏิบัติการอื่นใดตามที่กฎหมายกำหนด หรือตามที่คณะกรรมการ/คณะกรรมการกำกับ/คณะกรรมการผู้เชี่ยวชาญ/คณะอนุกรรมการมอบหมาย

## มาตราที่อ้างอิง

- [มาตรา 44](https://link.pdpalawbase.com/section/44.md) — หน้าที่และอำนาจของสำนักงาน — มาตรานี้ขยายเพิ่ม "อำนาจทั่วไป" นอกเหนือจากหน้าที่ใน [มาตรา 44](https://link.pdpalawbase.com/section/44.md)

## หมายเหตุ

- **อำนาจในฐานะนิติบุคคล:** (1) (2) (3) สะท้อนสถานะนิติบุคคลตาม [มาตรา 43](https://link.pdpalawbase.com/section/43.md) วรรคสอง — สำนักงานสามารถมีทรัพย์สิน ทำสัญญา ก่อหนี้ และดำเนินคดีในนามของตนเอง
- **(4) ค่าธรรมเนียมและบริการ:** สำนักงานมีอำนาจเก็บรายได้จากบริการของตน เช่น
  - การออกใบรับรองมาตรฐาน/นโยบายคุ้มครองข้อมูล
  - หลักสูตรฝึกอบรมตาม [มาตรา 44](https://link.pdpalawbase.com/section/44.md) (8)
  - บริการให้คำปรึกษาแก่เอกชน
  - **อัตราต้องผ่านการอนุมัติของคณะกรรมการกำกับสำนักงาน** — ป้องกันการเก็บค่าธรรมเนียมโดยไม่เหมาะสม
- **กลไกควบคุม:** อำนาจตาม (4) ต้องผ่านความเห็นชอบของคณะกรรมการกำกับสำนักงาน — ดูองค์ประกอบของคณะกรรมการกำกับสำนักงานที่ [มาตรา 48](https://link.pdpalawbase.com/section/48.md)
- **(5) เป็นข้อปลายเปิด:** ออกแบบเผื่อกฎหมายอื่นในอนาคตที่มอบหมายงานให้สำนักงาน หรือคณะกรรมการชุดต่าง ๆ มอบหมายเฉพาะกิจ
- **ที่มาของรายได้และทุน** ดูเพิ่มที่ [มาตรา 46](https://link.pdpalawbase.com/section/46.md) (ทุนและทรัพย์สินของสำนักงาน)

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/section/45.md

============================================================
โนด: มาตรา 46
ลิงก์อ้างอิง: https://link.pdpalawbase.com/section/46.md

# มาตรา 46

## ตัวบท

> มาตรา 46 ทุนและทรัพย์สินในการดำเนินงานของสำนักงานประกอบด้วย
>
> (1) ทุนประเดิมที่รัฐบาลจัดสรรให้ตาม[มาตรา 94](https://link.pdpalawbase.com/section/94.md) วรรคหนึ่ง
>
> (2) เงินอุดหนุนทั่วไปที่รัฐบาลจัดสรรให้ตามความเหมาะสมเป็นรายปี
>
> (3) เงินอุดหนุนจากหน่วยงานของรัฐทั้งในประเทศและต่างประเทศ หรือองค์การระหว่างประเทศระดับรัฐบาล
>
> (4) ค่าธรรมเนียม ค่าบำรุง ค่าตอบแทน ค่าบริการ หรือรายได้อันเกิดจากการดำเนินการตามหน้าที่และอำนาจของสำนักงาน
>
> (5) ดอกผลของเงินหรือรายได้จากทรัพย์สินของสำนักงาน
>
> เงินและทรัพย์สินของสำนักงานตามวรรคหนึ่ง ต้องนำส่งคลังเป็นรายได้แผ่นดิน

## สรุป

มาตรานี้กำหนด **5 แหล่งที่มาของทุนและทรัพย์สินของสำนักงาน** ได้แก่ ทุนประเดิมจากรัฐบาล เงินอุดหนุนทั่วไปรายปี เงินอุดหนุนจากหน่วยงานในและต่างประเทศ ค่าธรรมเนียม/ค่าบริการ และดอกผล/รายได้จากทรัพย์สิน วรรคสองกำหนดให้เงินและทรัพย์สินดังกล่าวต้อง**นำส่งคลังเป็นรายได้แผ่นดิน** ซึ่งเป็นข้อจำกัดทางการคลังที่กระทบต่อความเป็นอิสระทางการเงินของสำนักงาน

## องค์ประกอบสำคัญ

- **5 แหล่งที่มาของทุนและทรัพย์สิน (วรรค 1):**
  - **(1) ทุนประเดิม** — รัฐบาลจัดสรรครั้งแรกตาม [มาตรา 94](https://link.pdpalawbase.com/section/94.md) วรรคหนึ่ง (อยู่ในหมวดบทเฉพาะกาล)
  - **(2) เงินอุดหนุนทั่วไป** — รัฐบาลจัดสรรเป็นรายปีตามความเหมาะสม
  - **(3) เงินอุดหนุนจากหน่วยงานของรัฐและต่างประเทศ** — ทั้งในประเทศ ต่างประเทศ หรือองค์การระหว่างประเทศระดับรัฐบาล
  - **(4) รายได้จากการดำเนินการ** — ค่าธรรมเนียม ค่าบำรุง ค่าตอบแทน ค่าบริการ ตามหน้าที่และอำนาจ
  - **(5) ดอกผลและรายได้จากทรัพย์สิน** — ดอกเบี้ย เงินปันผล รายได้จากการใช้ประโยชน์ทรัพย์สิน
- **การนำส่งคลัง (วรรค 2):** เงินและทรัพย์สินตามวรรค 1 ต้องนำส่งคลังเป็นรายได้แผ่นดิน

## มาตราที่อ้างอิง

- [มาตรา 94](https://link.pdpalawbase.com/section/94.md) — บทเฉพาะกาลว่าด้วยทุนประเดิม — รัฐบาลต้องจัดสรรทุนประเดิมให้สำนักงานตามวรรคหนึ่ง

## หมายเหตุ

- **โครงสร้างรายได้:**
  - **รายได้จากภาครัฐ** — (1) ทุนประเดิม + (2) เงินอุดหนุนรายปี
  - **รายได้จากความร่วมมือ** — (3) ทุนจากหน่วยงานในและต่างประเทศ
  - **รายได้จากการดำเนินงานเอง** — (4) ค่าธรรมเนียมและบริการ + (5) ดอกผล
- **ทุนประเดิม:** เป็นเงินก้อนแรกในการจัดตั้งองค์กร ตาม [มาตรา 94](https://link.pdpalawbase.com/section/94.md) (บทเฉพาะกาลของพระราชบัญญัตินี้)
- **(2) เงินอุดหนุนรายปี:** เป็นกลไกหลักที่รัฐบาลให้งบประมาณดำเนินงานต่อเนื่อง — ต่างจากส่วนราชการที่ได้งบประมาณรายปีตามมาตรฐานของหน่วยราชการ; สำนักงานในฐานะหน่วยงานของรัฐแบบอิสระ ได้รับเป็น "เงินอุดหนุน"
- **(4) ค่าธรรมเนียมและบริการ:** อัตราต้องเป็นไปตามหลักเกณฑ์ที่ผ่านการอนุมัติของคณะกรรมการกำกับสำนักงาน ตาม [มาตรา 45](https://link.pdpalawbase.com/section/45.md) (4)
- **(5) ดอกผลและรายได้จากทรัพย์สิน:** ครอบคลุมดอกเบี้ยจากเงินฝาก/พันธบัตร และรายได้จากการให้เช่าหรือใช้ประโยชน์อสังหาริมทรัพย์ของสำนักงาน (ดู [มาตรา 47](https://link.pdpalawbase.com/section/47.md))
- **เงินอุดหนุนจากต่างประเทศ:** เปิดทางให้รับการสนับสนุนจากหน่วยงานคุ้มครองข้อมูลของประเทศอื่นหรือองค์การระหว่างประเทศ — ตอบโจทย์ความร่วมมือข้ามพรมแดน
- **⚠️ ข้อจำกัดทางการคลังของสำนักงาน (วรรค 2):**
  - กฎหมายกำหนดให้เงินและทรัพย์สินตามวรรคหนึ่ง**ต้องนำส่งคลังเป็นรายได้แผ่นดิน**
  - ผลทางปฏิบัติ: รายได้จากค่าธรรมเนียม/บริการ ((4)) และดอกผล/รายได้จากทรัพย์สิน ((5)) ที่สำนักงานหามาได้เอง ก็ต้องนำส่งคลังเช่นกัน — สำนักงาน**ไม่สามารถเก็บไว้ใช้เอง**ในการดำเนินงาน
  - หมายความว่าสำนักงานต้องพึ่งพาเงินอุดหนุนจากรัฐบาลเป็นรายปี ((2)) เป็นกลไกหลัก
  - **ข้อจำกัดนี้แตกต่างจากหน่วยงานของรัฐแบบอิสระบางแห่ง** ที่กฎหมายจัดตั้งระบุให้เก็บรายได้ของตนไว้ใช้ดำเนินงานได้ (เช่น กสทช., กลต.) — ทำให้ความเป็นอิสระทางการเงินของสำนักงานคุ้มครองข้อมูลส่วนบุคคลถูกจำกัดมากกว่า

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/section/46.md

============================================================
โนด: มาตรา 47
ลิงก์อ้างอิง: https://link.pdpalawbase.com/section/47.md

# มาตรา 47

## ตัวบท

> มาตรา 47 บรรดาอสังหาริมทรัพย์ที่สำนักงานได้มาจากการซื้อหรือแลกเปลี่ยนจากรายได้ของสำนักงานตาม[มาตรา 46](https://link.pdpalawbase.com/section/46.md) (4) หรือ (5) ให้เป็นกรรมสิทธิ์ของสำนักงาน

## สรุป

มาตรานี้กำหนดให้ **อสังหาริมทรัพย์ที่สำนักงานซื้อหรือแลกเปลี่ยนด้วยรายได้ของตน** (ตาม [มาตรา 46](https://link.pdpalawbase.com/section/46.md) (4) ค่าธรรมเนียมและบริการ หรือ (5) ดอกผลและรายได้จากทรัพย์สิน) เป็นกรรมสิทธิ์ของสำนักงานเอง — ไม่ใช่ของแผ่นดินหรือหน่วยราชการอื่น

## องค์ประกอบสำคัญ

- **ขอบเขต:** อสังหาริมทรัพย์ที่สำนักงานได้มาโดย:
  - **การซื้อ** หรือ
  - **การแลกเปลี่ยน**
- **แหล่งเงินที่ใช้:** ต้องเป็นรายได้ของสำนักงานตาม:
  - [มาตรา 46](https://link.pdpalawbase.com/section/46.md) **(4)** — ค่าธรรมเนียม ค่าบำรุง ค่าตอบแทน ค่าบริการ
  - [มาตรา 46](https://link.pdpalawbase.com/section/46.md) **(5)** — ดอกผลของเงิน หรือรายได้จากทรัพย์สิน
- **ผล:** เป็น **กรรมสิทธิ์ของสำนักงาน** (ไม่ใช่กรรมสิทธิ์ของแผ่นดินหรือหน่วยงานอื่น)

## มาตราที่อ้างอิง

- [มาตรา 46](https://link.pdpalawbase.com/section/46.md) — ทุนและทรัพย์สินของสำนักงาน — มาตรานี้ใช้กับอสังหาริมทรัพย์ที่ได้มาจากรายได้ตาม [มาตรา 46](https://link.pdpalawbase.com/section/46.md) (4) หรือ (5) เท่านั้น

## หมายเหตุ

- **ความหมายของ "เป็นกรรมสิทธิ์ของสำนักงาน":** สำนักงานในฐานะนิติบุคคลตาม [มาตรา 43](https://link.pdpalawbase.com/section/43.md) วรรคสอง สามารถถือกรรมสิทธิ์ได้ตาม [มาตรา 45](https://link.pdpalawbase.com/section/45.md) (1) — มาตรานี้ยืนยันชัดเจนว่าอสังหาริมทรัพย์ที่ได้มาจากรายได้ของตน เป็นกรรมสิทธิ์ของนิติบุคคลสำนักงาน
- **เหตุที่จำกัดเฉพาะรายได้ตาม (4) และ (5):**
  - **(1) ทุนประเดิม** และ **(2) เงินอุดหนุนรายปีจากรัฐบาล** เป็นเงินภาครัฐที่อาจมีเงื่อนไขเฉพาะ — มาตรานี้ไม่ครอบคลุม
  - **(3) เงินอุดหนุนจากต่างประเทศ** อาจมีเงื่อนไขจากผู้ให้ทุน — มาตรานี้ไม่ครอบคลุม
  - **(4) (5)** เป็นรายได้ที่สำนักงานหามาเอง → จึงเป็นทรัพย์สินของสำนักงานเต็มที่
- **กรณีอสังหาริมทรัพย์ที่ได้มาด้วยทุนรัฐบาล:** ไม่อยู่ในขอบเขตของมาตรานี้ — ต้องพิจารณาตามเงื่อนไขของแหล่งเงินนั้น (เช่น ที่ดินที่รัฐโอนให้อาจมีข้อจำกัดในการขายต่อ)
- **ตัวอย่างในทางปฏิบัติ:**
  - สำนักงานเก็บค่าธรรมเนียมจากการรับรองมาตรฐาน → ซื้ออาคารสำนักงานด้วยเงินที่เก็บได้ → อาคารเป็นกรรมสิทธิ์ของสำนักงาน
  - ดอกเบี้ยจากเงินฝากของสำนักงาน → ลงทุนในอสังหาริมทรัพย์ → เป็นกรรมสิทธิ์ของสำนักงาน
- **ความเชื่อมโยงกับ [มาตรา 45](https://link.pdpalawbase.com/section/45.md):** อำนาจถือกรรมสิทธิ์ของสำนักงานทั่วไปอยู่ที่ [มาตรา 45](https://link.pdpalawbase.com/section/45.md) (1) — มาตรานี้เป็นการกำหนดเฉพาะสำหรับอสังหาริมทรัพย์ที่ได้มาจากรายได้ของสำนักงานเอง

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/section/47.md

============================================================
โนด: มาตรา 48
ลิงก์อ้างอิง: https://link.pdpalawbase.com/section/48.md

# มาตรา 48

## ตัวบท

> มาตรา 48 ให้มีคณะกรรมการกำกับสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล ประกอบด้วยประธานกรรมการซึ่งสรรหาและแต่งตั้งจากผู้มีความรู้ ความเชี่ยวชาญ และประสบการณ์ในด้านการคุ้มครองข้อมูลส่วนบุคคล ปลัดกระทรวงดิจิทัลเพื่อเศรษฐกิจและสังคม และเลขาธิการคณะกรรมการดิจิทัลเพื่อเศรษฐกิจและสังคมแห่งชาติ เป็นกรรมการ และกรรมการผู้ทรงคุณวุฒิจำนวนหกคนซึ่งสรรหาและแต่งตั้งจากผู้มีความรู้ ความเชี่ยวชาญ และประสบการณ์ในด้านการคุ้มครองข้อมูลส่วนบุคคลอย่างน้อยสามคน และด้านอื่นที่เกี่ยวข้องอันเป็นประโยชน์ต่อการดำเนินงานของสำนักงาน
>
> ให้เลขาธิการเป็นกรรมการและเลขานุการ และให้เลขาธิการแต่งตั้งพนักงานของสำนักงานเป็นผู้ช่วยเลขานุการได้ไม่เกินสองคน
>
> ให้นำความใน[มาตรา 11](https://link.pdpalawbase.com/section/11.md) และ[มาตรา 13](https://link.pdpalawbase.com/section/13.md) มาใช้บังคับกับประธานกรรมการและกรรมการผู้ทรงคุณวุฒิโดยอนุโลม

## สรุป

มาตรานี้กำหนดให้มี **คณะกรรมการกำกับสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล** ประกอบด้วยประธานกรรมการ (สรรหาจากผู้เชี่ยวชาญด้านการคุ้มครองข้อมูล) ปลัดกระทรวงดิจิทัลเพื่อเศรษฐกิจและสังคม เลขาธิการคณะกรรมการดิจิทัลเพื่อเศรษฐกิจและสังคมแห่งชาติ และกรรมการผู้ทรงคุณวุฒิ 6 คน (อย่างน้อย 3 คนเชี่ยวชาญด้านการคุ้มครองข้อมูล) โดยมีเลขาธิการสำนักงานเป็นกรรมการและเลขานุการ คุณสมบัติและลักษณะต้องห้ามของประธานและกรรมการผู้ทรงคุณวุฒิให้นำ [มาตรา 11](https://link.pdpalawbase.com/section/11.md) และ [มาตรา 13](https://link.pdpalawbase.com/section/13.md) มาใช้โดยอนุโลม

## องค์ประกอบสำคัญ

- **องค์ประกอบของคณะกรรมการกำกับสำนักงาน (วรรค 1):**
  - **ประธานกรรมการ 1 คน** — สรรหาจากผู้มีความรู้ ความเชี่ยวชาญ และประสบการณ์ด้านการคุ้มครองข้อมูลส่วนบุคคล
  - **กรรมการโดยตำแหน่ง 2 คน:**
    - ปลัดกระทรวงดิจิทัลเพื่อเศรษฐกิจและสังคม
    - เลขาธิการคณะกรรมการดิจิทัลเพื่อเศรษฐกิจและสังคมแห่งชาติ
  - **กรรมการผู้ทรงคุณวุฒิ 6 คน** — สรรหาจาก:
    - **อย่างน้อย 3 คน** เชี่ยวชาญด้านการคุ้มครองข้อมูลส่วนบุคคล
    - คนที่เหลือเชี่ยวชาญด้านอื่นที่เกี่ยวข้องและเป็นประโยชน์ต่อการดำเนินงาน
- **เลขาธิการในฐานะกรรมการและเลขานุการ (วรรค 2):**
  - เลขาธิการสำนักงานเป็น **กรรมการและเลขานุการ**
  - แต่งตั้งพนักงานของสำนักงานเป็นผู้ช่วยเลขานุการได้ไม่เกิน 2 คน
- **คุณสมบัติและลักษณะต้องห้าม (วรรค 3):**
  - นำ [มาตรา 11](https://link.pdpalawbase.com/section/11.md) (คุณสมบัติของกรรมการผู้ทรงคุณวุฒิในคณะกรรมการคุ้มครองข้อมูล) มาใช้โดยอนุโลม
  - นำ [มาตรา 13](https://link.pdpalawbase.com/section/13.md) (ลักษณะต้องห้าม) มาใช้โดยอนุโลม

## มาตราที่อ้างอิง

- [มาตรา 11](https://link.pdpalawbase.com/section/11.md) — คุณสมบัติของกรรมการผู้ทรงคุณวุฒิในคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล — ใช้กับประธานและกรรมการผู้ทรงคุณวุฒิของคณะกรรมการกำกับสำนักงาน โดยอนุโลม
- [มาตรา 13](https://link.pdpalawbase.com/section/13.md) — ลักษณะต้องห้ามของกรรมการผู้ทรงคุณวุฒิ — ใช้โดยอนุโลม

## หมายเหตุ

- **ความแตกต่างระหว่าง "คณะกรรมการคุ้มครองข้อมูลส่วนบุคคล" และ "คณะกรรมการกำกับสำนักงาน":**
  - **คณะกรรมการคุ้มครองข้อมูลส่วนบุคคล** ([มาตรา 8](https://link.pdpalawbase.com/section/8.md)) — กำหนดนโยบายและทิศทางการคุ้มครองข้อมูลของประเทศ + ออกประกาศและกฎเกณฑ์
  - **คณะกรรมการกำกับสำนักงาน** (มาตรานี้) — กำกับดูแล**การบริหารงาน**ของสำนักงานในฐานะองค์กร เช่น งบประมาณ บริหารบุคคล ระเบียบภายใน
- **กรรมการโดยตำแหน่ง 2 คน:** ปลัดกระทรวงดิจิทัลฯ และเลขาธิการคณะกรรมการดิจิทัลฯ — ให้การเชื่อมโยงระหว่างสำนักงานกับนโยบายดิจิทัลของประเทศ
- **องค์ประกอบรวม 9 คน + เลขาธิการ:**
  - 1 ประธาน + 2 กรรมการโดยตำแหน่ง + 6 ผู้ทรงคุณวุฒิ = 9 กรรมการ
  - + เลขาธิการสำนักงานในฐานะกรรมการและเลขานุการ
- **สัดส่วนผู้เชี่ยวชาญด้านการคุ้มครองข้อมูล:** อย่างน้อย 1 (ประธาน) + อย่างน้อย 3 (จาก 6 ผู้ทรงคุณวุฒิ) = อย่างน้อย 4 จาก 10 ที่มีความเชี่ยวชาญตรง
- **กระบวนการสรรหา:** ดูที่ [มาตรา 49](https://link.pdpalawbase.com/section/49.md) (คณะกรรมการสรรหา) ที่กำหนดวิธีคัดเลือกประธานและกรรมการผู้ทรงคุณวุฒิ
- **ความเป็นอิสระจากการเมือง:** การใช้ [มาตรา 13](https://link.pdpalawbase.com/section/13.md) (ลักษณะต้องห้าม) โดยอนุโลม → ห้ามผู้ดำรงตำแหน่งทางการเมือง สมาชิกพรรคการเมือง ฯลฯ

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/section/48.md

============================================================
โนด: มาตรา 49
ลิงก์อ้างอิง: https://link.pdpalawbase.com/section/49.md

# มาตรา 49

## ตัวบท

> มาตรา 49 ให้มีคณะกรรมการสรรหาคณะหนึ่งประกอบด้วยบุคคลซึ่งคณะกรรมการแต่งตั้งจำนวนแปดคนทำหน้าที่คัดเลือกบุคคลที่สมควรได้รับการแต่งตั้งเป็นประธานกรรมการและกรรมการผู้ทรงคุณวุฒิตาม[มาตรา 48](https://link.pdpalawbase.com/section/48.md)
>
> ให้คณะกรรมการสรรหาเลือกกรรมการสรรหาคนหนึ่งเป็นประธานกรรมการสรรหาและเลือกกรรมการสรรหาอีกคนหนึ่งเป็นเลขานุการคณะกรรมการสรรหา และให้สำนักงานปฏิบัติหน้าที่เป็นหน่วยธุรการของคณะกรรมการสรรหา
>
> ในกรณีที่ตำแหน่งกรรมการสรรหาว่างลง ให้ดำเนินการเพื่อให้มีกรรมการสรรหาแทนในตำแหน่งนั้นโดยเร็ว ในระหว่างที่ยังไม่ได้กรรมการสรรหาใหม่ ให้คณะกรรมการสรรหาประกอบด้วยกรรมการสรรหาเท่าที่มีอยู่
>
> กรรมการสรรหาไม่มีสิทธิได้รับการเสนอชื่อเป็นประธานกรรมการและกรรมการผู้ทรงคุณวุฒิตาม[มาตรา 48](https://link.pdpalawbase.com/section/48.md)
>
> หลักเกณฑ์และวิธีการสรรหาให้เป็นไปตามที่คณะกรรมการกำหนด ทั้งนี้ ต้องคำนึงถึงความโปร่งใสและความเป็นธรรมในการสรรหา

## สรุป

มาตรานี้กำหนดให้มี **คณะกรรมการสรรหา 8 คน** ที่คณะกรรมการคุ้มครองข้อมูลส่วนบุคคลแต่งตั้ง เพื่อคัดเลือกบุคคลที่จะดำรงตำแหน่งประธานและกรรมการผู้ทรงคุณวุฒิของคณะกรรมการกำกับสำนักงานตาม [มาตรา 48](https://link.pdpalawbase.com/section/48.md) โดยกรรมการสรรหาเลือกประธานและเลขานุการกันเอง สำนักงานทำหน้าที่ธุรการ และกรรมการสรรหาห้ามเสนอชื่อตนเองเข้ารับการคัดเลือก หลักเกณฑ์การสรรหาต้องโปร่งใสและเป็นธรรม

## องค์ประกอบสำคัญ

- **คณะกรรมการสรรหา (วรรค 1):**
  - จำนวน **8 คน** ซึ่งคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (ตาม [มาตรา 8](https://link.pdpalawbase.com/section/8.md)) แต่งตั้ง
  - **หน้าที่:** คัดเลือกบุคคลเป็นประธานและกรรมการผู้ทรงคุณวุฒิตาม [มาตรา 48](https://link.pdpalawbase.com/section/48.md)
- **โครงสร้างภายใน (วรรค 2):**
  - กรรมการสรรหา**เลือกกันเอง**ให้คนหนึ่งเป็นประธานกรรมการสรรหา
  - **เลือกอีกคนหนึ่งเป็นเลขานุการ**
  - **สำนักงานเป็นหน่วยธุรการ** ของคณะกรรมการสรรหา
- **กรณีตำแหน่งว่าง (วรรค 3):**
  - ดำเนินการแต่งตั้งกรรมการสรรหาแทนโดยเร็ว
  - ระหว่างนั้น คณะกรรมการสรรหาประกอบด้วยกรรมการเท่าที่มีอยู่ (ยังทำหน้าที่ต่อได้)
- **ข้อห้ามเสนอชื่อตนเอง (วรรค 4):** กรรมการสรรหา**ไม่มีสิทธิ**ได้รับการเสนอชื่อเป็นประธานหรือกรรมการผู้ทรงคุณวุฒิตาม [มาตรา 48](https://link.pdpalawbase.com/section/48.md) (ป้องกันผลประโยชน์ทับซ้อน)
- **หลักเกณฑ์การสรรหา (วรรค 5):**
  - ให้คณะกรรมการกำหนด
  - ต้องคำนึงถึง **ความโปร่งใส** และ **ความเป็นธรรม**

## มาตราที่อ้างอิง

- [มาตรา 48](https://link.pdpalawbase.com/section/48.md) — คณะกรรมการกำกับสำนักงาน — มาตรานี้กำหนดกระบวนการสรรหาประธานและกรรมการผู้ทรงคุณวุฒิของคณะกรรมการกำกับสำนักงานตาม [มาตรา 48](https://link.pdpalawbase.com/section/48.md)

## หมายเหตุ

- **ห่วงโซ่การสรรหา:** มี 3 ระดับขององค์กร:
  - **คณะกรรมการคุ้มครองข้อมูลส่วนบุคคล** ([มาตรา 8](https://link.pdpalawbase.com/section/8.md)) ← จัดตั้งโดยกฎหมาย
  - แต่งตั้ง → **คณะกรรมการสรรหา** (มาตรานี้)
  - คัดเลือก → **คณะกรรมการกำกับสำนักงาน** ([มาตรา 48](https://link.pdpalawbase.com/section/48.md))
- **ขนาด 8 คน:** จำนวนคู่ — กรณีลงคะแนนอาจเสมอกัน → ปกติประธานคณะกรรมการสรรหาจะเป็นเสียงชี้ขาดในทางปฏิบัติ
- **กลไกป้องกันผลประโยชน์ทับซ้อน:**
  - กรรมการสรรหาห้ามเสนอชื่อตนเอง (วรรค 4)
  - การกำหนดหลักเกณฑ์ต้องคำนึงถึงความโปร่งใสและความเป็นธรรม (วรรค 5)
- **สำนักงานเป็นหน่วยธุรการ:** ในระหว่างกระบวนการสรรหาประธานและกรรมการผู้ทรงคุณวุฒิ — สำนักงานทำหน้าที่ธุรการ (รับใบสมัคร จัดประชุม รวบรวมเอกสาร) แม้จะเป็นองค์กรที่กำลังจะถูกกำกับโดยคณะกรรมการที่กำลังสรรหา
- **คณะกรรมการสรรหาทำงานต่อเนื่องได้แม้ตำแหน่งว่าง:** กลไกในวรรค 3 ป้องกันการหยุดชะงักของกระบวนการสรรหา หากกรรมการสรรหาออกระหว่างกระบวนการ
- **กระบวนการคัดเลือกในรายละเอียด:** ดูที่หมวดต่อไป (ม.50-52) ที่กำหนดวิธีการคัดเลือก วาระการดำรงตำแหน่ง และการพ้นจากตำแหน่งก่อนวาระ

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/section/49.md

============================================================
โนด: มาตรา 50
ลิงก์อ้างอิง: https://link.pdpalawbase.com/section/50.md

# มาตรา 50

## ตัวบท

> มาตรา 50 ในการสรรหาประธานกรรมการและกรรมการผู้ทรงคุณวุฒิตาม[มาตรา 48](https://link.pdpalawbase.com/section/48.md) ให้คณะกรรมการสรรหาคัดเลือกบุคคลผู้มีคุณสมบัติตาม[มาตรา 48](https://link.pdpalawbase.com/section/48.md) วรรคหนึ่ง รวมทั้งมีคุณสมบัติและไม่มีลักษณะต้องห้ามตาม[มาตรา 48](https://link.pdpalawbase.com/section/48.md) วรรคสาม และยินยอมให้เสนอชื่อเข้ารับคัดเลือกเท่ากับจำนวนประธานกรรมการและกรรมการผู้ทรงคุณวุฒิตาม[มาตรา 48](https://link.pdpalawbase.com/section/48.md) ที่จะได้รับแต่งตั้ง
>
> เมื่อได้คัดเลือกบุคคลเป็นประธานกรรมการและกรรมการผู้ทรงคุณวุฒิตาม[มาตรา 48](https://link.pdpalawbase.com/section/48.md) ครบจำนวนแล้ว ให้คณะกรรมการสรรหาแจ้งรายชื่อประธานกรรมการและกรรมการผู้ทรงคุณวุฒิตาม[มาตรา 48](https://link.pdpalawbase.com/section/48.md) พร้อมหลักฐานแสดงคุณสมบัติและการไม่มีลักษณะต้องห้าม รวมทั้งความยินยอมของบุคคลดังกล่าวต่อคณะกรรมการเพื่อแต่งตั้งเป็นประธานกรรมการและกรรมการผู้ทรงคุณวุฒิตาม[มาตรา 48](https://link.pdpalawbase.com/section/48.md)
>
> ให้คณะกรรมการประกาศรายชื่อประธานกรรมการและกรรมการผู้ทรงคุณวุฒิตาม[มาตรา 48](https://link.pdpalawbase.com/section/48.md) ซึ่งได้รับแต่งตั้งในราชกิจจานุเบกษา

## สรุป

มาตรานี้กำหนด **ขั้นตอนการสรรหา** ประธานและกรรมการผู้ทรงคุณวุฒิของคณะกรรมการกำกับสำนักงาน ([มาตรา 48](https://link.pdpalawbase.com/section/48.md)) โดย **คณะกรรมการสรรหา** ([มาตรา 49](https://link.pdpalawbase.com/section/49.md)) คัดเลือกบุคคลที่มีคุณสมบัติครบ ไม่มีลักษณะต้องห้าม และ**ยินยอม**ให้เสนอชื่อ ครบจำนวนตามที่ต้องแต่งตั้ง จากนั้นแจ้งรายชื่อพร้อมหลักฐานต่อคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล ([มาตรา 8](https://link.pdpalawbase.com/section/8.md)) เพื่อแต่งตั้ง และประกาศในราชกิจจานุเบกษา

## องค์ประกอบสำคัญ

- **ขั้นตอนการคัดเลือก (วรรค 1):**
  - ผู้คัดเลือก: คณะกรรมการสรรหา ([มาตรา 49](https://link.pdpalawbase.com/section/49.md))
  - เกณฑ์: มีคุณสมบัติตาม [มาตรา 48](https://link.pdpalawbase.com/section/48.md) วรรคหนึ่ง + ไม่มีลักษณะต้องห้ามตาม [มาตรา 48](https://link.pdpalawbase.com/section/48.md) วรรคสาม
  - **ต้องได้รับความยินยอม**ของผู้ถูกเสนอชื่อ (ป้องกันการเสนอชื่อโดยไม่สมัครใจ)
  - **คัดเลือกเท่ากับจำนวน**ที่จะแต่งตั้ง (ไม่เกิน ไม่ขาด)
- **การส่งรายชื่อต่อคณะกรรมการ (วรรค 2):**
  - คณะกรรมการสรรหาส่งรายชื่อต่อ**คณะกรรมการคุ้มครองข้อมูลส่วนบุคคล** ([มาตรา 8](https://link.pdpalawbase.com/section/8.md))
  - ต้องมี: หลักฐานคุณสมบัติ + หลักฐานการไม่มีลักษณะต้องห้าม + หลักฐานความยินยอม
  - คณะกรรมการเป็นผู้ออกคำสั่งแต่งตั้ง
- **การประกาศ (วรรค 3):**
  - คณะกรรมการประกาศรายชื่อผู้ที่ได้รับแต่งตั้งใน**ราชกิจจานุเบกษา**

## มาตราที่อ้างอิง

- [มาตรา 48](https://link.pdpalawbase.com/section/48.md) — คณะกรรมการกำกับสำนักงาน — กำหนดคุณสมบัติและลักษณะต้องห้ามที่ใช้ในการคัดเลือก
- [มาตรา 49](https://link.pdpalawbase.com/section/49.md) — คณะกรรมการสรรหา — เป็นผู้ดำเนินการคัดเลือกตามมาตรานี้

## หมายเหตุ

- **บทบาทของ 3 องค์กรในกระบวนการสรรหา:**
  1. **คณะกรรมการสรรหา** ([มาตรา 49](https://link.pdpalawbase.com/section/49.md)) — คัดเลือก
  2. **คณะกรรมการคุ้มครองข้อมูลส่วนบุคคล** ([มาตรา 8](https://link.pdpalawbase.com/section/8.md)) — แต่งตั้ง + ประกาศ
  3. **คณะกรรมการกำกับสำนักงาน** ([มาตรา 48](https://link.pdpalawbase.com/section/48.md)) — เป็นผลลัพธ์
- **กลไกถ่วงดุล:** ผู้คัดเลือก ≠ ผู้แต่งตั้ง — ลดความเสี่ยงผูกขาดในการเลือกบุคคล
- **หลัก "เท่ากับจำนวน":** ไม่ใช่การส่งรายชื่อหลายคนให้เลือก — คณะกรรมการสรรหาต้องส่งรายชื่อตรงตามจำนวนที่จะแต่งตั้ง คณะกรรมการคุ้มครองข้อมูลส่วนบุคคลจึงไม่มีดุลพินิจปฏิเสธรายชื่อใดเป็นรายบุคคลในขั้นตอนนี้ (ต่างจากระบบที่ส่งรายชื่อ 2-3 คนต่อ 1 ตำแหน่งให้ผู้แต่งตั้งคัดเลือกเอง)
- **ความยินยอมเป็นเงื่อนไขเริ่มต้น:** ต่างจากการเสนอชื่อแบบ "ลับ" — มาตรานี้กำหนดให้ผู้ถูกเสนอต้องยินยอม **ก่อน**คัดเลือก
- **ราชกิจจานุเบกษา = การประกาศตำแหน่ง:** การแต่งตั้งจะมีผลทางกฎหมายต่อบุคคลภายนอกเมื่อประกาศในราชกิจจานุเบกษา (เป็นกฎเกณฑ์ทั่วไปของการแต่งตั้งกรรมการในองค์กรของรัฐ)

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/section/50.md

============================================================
โนด: มาตรา 51
ลิงก์อ้างอิง: https://link.pdpalawbase.com/section/51.md

# มาตรา 51

## ตัวบท

> มาตรา 51 ประธานกรรมการและกรรมการผู้ทรงคุณวุฒิตาม[มาตรา 48](https://link.pdpalawbase.com/section/48.md) มีวาระการดำรงตำแหน่งคราวละสี่ปี
>
> เมื่อครบกำหนดตามวาระในวรรคหนึ่ง ให้ดำเนินการแต่งตั้งประธานกรรมการและกรรมการผู้ทรงคุณวุฒิขึ้นใหม่ภายในหกสิบวัน ในระหว่างที่ยังมิได้มีการแต่งตั้งประธานกรรมการหรือกรรมการผู้ทรงคุณวุฒิขึ้นใหม่ ให้ประธานกรรมการหรือกรรมการผู้ทรงคุณวุฒิซึ่งพ้นจากตำแหน่งตามวาระนั้นอยู่ในตำแหน่งเพื่อดำเนินงานต่อไปจนกว่าประธานกรรมการหรือกรรมการผู้ทรงคุณวุฒิซึ่งได้รับแต่งตั้งใหม่เข้ารับหน้าที่
>
> ประธานกรรมการและกรรมการผู้ทรงคุณวุฒิซึ่งพ้นจากตำแหน่งตามวาระอาจได้รับแต่งตั้งอีกได้ แต่จะดำรงตำแหน่งเกินสองวาระไม่ได้

## สรุป

มาตรานี้กำหนด **วาระ 4 ปี** สำหรับประธานและกรรมการผู้ทรงคุณวุฒิของคณะกรรมการกำกับสำนักงาน ([มาตรา 48](https://link.pdpalawbase.com/section/48.md)) โดยมีกลไก **อยู่รักษาการต่อ** จนกว่าผู้ที่ได้รับแต่งตั้งใหม่จะเข้ารับหน้าที่ (ต้องแต่งตั้งใหม่ภายใน 60 วัน) และ**จำกัดไม่เกิน 2 วาระ** เพื่อป้องกันการผูกขาดอำนาจ

## องค์ประกอบสำคัญ

- **วาระ 4 ปี (วรรค 1):** ประธานและกรรมการผู้ทรงคุณวุฒิตาม [มาตรา 48](https://link.pdpalawbase.com/section/48.md) ดำรงตำแหน่งคราวละ 4 ปี
- **กลไกการเปลี่ยนผ่านเมื่อครบวาระ (วรรค 2):**
  - ต้องแต่งตั้งคนใหม่**ภายใน 60 วัน** หลังครบวาระ
  - ระหว่างรอผู้ใหม่: ผู้ที่พ้นวาระ**อยู่รักษาการต่อ** จนกว่าผู้ใหม่จะเข้ารับหน้าที่
  - ป้องกัน**ช่องว่างของอำนาจ**ในการกำกับสำนักงาน
- **จำกัด 2 วาระ (วรรค 3):**
  - ผู้พ้นวาระอาจได้รับแต่งตั้งอีกได้ — แต่ห้ามเกิน **2 วาระ** (สูงสุด 8 ปี)
  - หลักการป้องกันการผูกขาดอำนาจในระยะยาว

## มาตราที่อ้างอิง

- [มาตรา 48](https://link.pdpalawbase.com/section/48.md) — คณะกรรมการกำกับสำนักงาน — กรรมการประเภทที่อยู่ภายใต้วาระตามมาตรานี้
- [มาตรา 50](https://link.pdpalawbase.com/section/50.md) — วิธีการแต่งตั้ง — กระบวนการที่ใช้ในการสรรหาและแต่งตั้งใหม่ในวรรค 2

## หมายเหตุ

- **ขอบเขตของมาตรานี้:** ใช้กับ **ประธาน + กรรมการผู้ทรงคุณวุฒิ** ของคณะกรรมการกำกับสำนักงาน ([มาตรา 48](https://link.pdpalawbase.com/section/48.md) วรรคหนึ่ง (1) และ (2)) เท่านั้น — ไม่ใช้กับ **กรรมการโดยตำแหน่ง** (ปลัดกระทรวงดิจิทัล + เลขาธิการคณะกรรมการคุ้มครองฯ) ซึ่งดำรงตำแหน่งตราบที่ยังเป็นผู้ดำรงตำแหน่งราชการนั้น
- **เปรียบเทียบกับคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล ([มาตรา 15](https://link.pdpalawbase.com/section/15.md)):**
  - ประธานและกรรมการผู้ทรงคุณวุฒิของคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล ก็มีวาระ 4 ปี + ห้ามเกิน 2 วาระ เช่นกัน — สอดคล้องกัน
- **กลไกผู้รักษาการ (วรรค 2):**
  - ลักษณะ: รักษาการเฉพาะการดำเนินงาน "ปกติ" — ป้องกันสภาวะที่คณะกรรมการตัดสินใจไม่ได้
  - ความเสี่ยง: ถ้าการแต่งตั้งใหม่ล่าช้าเกินสมควร อำนาจในมือผู้รักษาการอาจขยายโดยพฤติการณ์ — มาตรานี้กำหนด 60 วันเป็นกรอบเวลาเร่งให้แต่งตั้ง (แต่ไม่ได้บังคับเด็ดขาดให้ต้องเสร็จภายใน 60 วัน)
- **เปรียบเทียบ "วาระ" กับ "ก่อนวาระ":** [มาตรา 51](https://link.pdpalawbase.com/section/51.md) = ครบวาระ; [มาตรา 52](https://link.pdpalawbase.com/section/52.md) = พ้นจากตำแหน่ง**ก่อน**วาระ (เสียชีวิต ลาออก ขาดคุณสมบัติ ฯลฯ)
- **2 วาระ = สูงสุด 8 ปี:** หลังครบ 8 ปี ผู้นั้นจะไม่สามารถดำรงตำแหน่งเดียวกันได้อีก แต่ไม่ได้ห้ามดำรงตำแหน่งอื่นในองค์กร (เช่น เปลี่ยนจากกรรมการผู้ทรงคุณวุฒิเป็นเลขาธิการ ถ้ามีคุณสมบัติครบตาม [มาตรา 58](https://link.pdpalawbase.com/section/58.md))

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/section/51.md

============================================================
โนด: มาตรา 52
ลิงก์อ้างอิง: https://link.pdpalawbase.com/section/52.md

# มาตรา 52

## ตัวบท

> มาตรา 52 ในกรณีที่ประธานกรรมการหรือกรรมการผู้ทรงคุณวุฒิตาม[มาตรา 48](https://link.pdpalawbase.com/section/48.md) พ้นจากตำแหน่งก่อนวาระ ให้คณะกรรมการกำกับสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลประกอบด้วยกรรมการทั้งหมดเท่าที่มีอยู่จนกว่าจะมีการแต่งตั้งประธานกรรมการหรือกรรมการผู้ทรงคุณวุฒิแทน และในกรณีที่ประธานกรรมการพ้นจากตำแหน่งก่อนวาระ ให้ปลัดกระทรวงดิจิทัลเพื่อเศรษฐกิจและสังคมทำหน้าที่ประธานกรรมการเป็นการชั่วคราว
>
> ให้ดำเนินการแต่งตั้งประธานกรรมการหรือกรรมการผู้ทรงคุณวุฒิแทนตำแหน่งที่ว่างภายในหกสิบวันนับแต่วันที่ตำแหน่งว่างลง และให้ผู้ที่ได้รับแต่งตั้งให้ดำรงตำแหน่งแทนอยู่ในตำแหน่งเท่ากับวาระที่เหลืออยู่ของผู้ซึ่งตนแทน เว้นแต่วาระของประธานกรรมการหรือกรรมการผู้ทรงคุณวุฒิเหลือไม่ถึงเก้าสิบวันจะไม่แต่งตั้งประธานกรรมการหรือกรรมการผู้ทรงคุณวุฒิแทนก็ได้

## สรุป

มาตรานี้กำหนดกลไกเมื่อ **ประธานหรือกรรมการผู้ทรงคุณวุฒิพ้นจากตำแหน่งก่อนวาระ** — คณะกรรมการกำกับสำนักงาน ([มาตรา 48](https://link.pdpalawbase.com/section/48.md)) ทำงานต่อด้วยกรรมการเท่าที่มีอยู่ ถ้า**ประธาน**พ้นวาระ → **ปลัดกระทรวงดิจิทัลเพื่อเศรษฐกิจและสังคม** ทำหน้าที่ประธานชั่วคราว ต้องแต่งตั้งคนใหม่**ภายใน 60 วัน** ผู้ที่แต่งตั้งใหม่อยู่ตำแหน่งเท่ากับวาระที่เหลือของผู้ที่ตนแทน เว้นแต่**วาระเหลือน้อยกว่า 90 วัน** จะไม่แต่งตั้งแทนก็ได้

## องค์ประกอบสำคัญ

- **กรณีกรรมการ (ไม่ใช่ประธาน) พ้นวาระ:**
  - คณะกรรมการกำกับสำนักงานทำงานต่อด้วยกรรมการ**เท่าที่มีอยู่** จนกว่าจะแต่งตั้งคนแทน
- **กรณีประธาน พ้นวาระก่อนกำหนด:**
  - **ปลัดกระทรวงดิจิทัลเพื่อเศรษฐกิจและสังคม** ทำหน้าที่ประธานชั่วคราว
  - หมายเหตุ: ปลัดกระทรวงดิจิทัลฯ เป็น**กรรมการโดยตำแหน่ง**อยู่แล้วใน [มาตรา 48](https://link.pdpalawbase.com/section/48.md) วรรคหนึ่ง (3) — มาตรานี้ยกระดับให้เป็นประธานชั่วคราวเพิ่มเติม
- **กำหนดเวลาแต่งตั้งใหม่ (วรรค 2):**
  - **ภายใน 60 วัน** นับแต่วันที่ตำแหน่งว่างลง
- **วาระของผู้ที่แต่งตั้งใหม่:**
  - อยู่ใน**วาระที่เหลือ**ของผู้ซึ่งตนแทน (ไม่ใช่ 4 ปีใหม่)
  - หลักการ "อยู่ตามวาระเดิมที่เหลือ" — ป้องกันการขยายวาระโดยพฤติการณ์
- **ข้อยกเว้น 90 วัน:**
  - ถ้าวาระเหลือ**น้อยกว่า 90 วัน** → **ไม่ต้องแต่งตั้ง**ก็ได้
  - หลักการได้สัดส่วน — หลีกเลี่ยงต้นทุนกระบวนการสรรหาที่ไม่คุ้มกับเวลาดำรงตำแหน่งสั้น

## มาตราที่อ้างอิง

- [มาตรา 48](https://link.pdpalawbase.com/section/48.md) — คณะกรรมการกำกับสำนักงาน — โครงสร้างองค์กรที่อยู่ภายใต้กลไกของมาตรานี้
- [มาตรา 50](https://link.pdpalawbase.com/section/50.md) — วิธีการแต่งตั้ง — กระบวนการที่ใช้แต่งตั้งคนแทนในวรรค 2
- [มาตรา 51](https://link.pdpalawbase.com/section/51.md) — วาระ 4 ปี — [มาตรา 52](https://link.pdpalawbase.com/section/52.md) เป็นกลไกพ้น**ก่อน**วาระ ส่วน [มาตรา 51](https://link.pdpalawbase.com/section/51.md) เป็นกลไกพ้น**ตาม**วาระ

## หมายเหตุ

- **ความแตกต่างระหว่าง [มาตรา 51](https://link.pdpalawbase.com/section/51.md) และ [มาตรา 52](https://link.pdpalawbase.com/section/52.md):**
  - [มาตรา 51](https://link.pdpalawbase.com/section/51.md) วรรคสอง: พ้นตามวาระ → ผู้พ้นรักษาการต่อจนคนใหม่เข้ารับหน้าที่
  - [มาตรา 52](https://link.pdpalawbase.com/section/52.md) วรรคหนึ่ง: พ้นก่อนวาระ → คณะกรรมการทำงานต่อด้วยจำนวนเท่าที่มีอยู่ + ปลัดกระทรวงดิจิทัลฯ ทำหน้าที่ประธานถ้าจำเป็น (ผู้พ้นไม่รักษาการ — เพราะอาจพ้นเพราะขาดคุณสมบัติ ทุพพลภาพ ฯลฯ)
- **ทำไมเป็นปลัดกระทรวงดิจิทัลฯ:**
  - กระทรวงดิจิทัลเพื่อเศรษฐกิจและสังคมเป็นกระทรวงต้นสังกัดที่ดูแลภารกิจคุ้มครองข้อมูลส่วนบุคคลในเชิงนโยบาย — ปลัดเป็นข้าราชการระดับสูงที่ใกล้ชิดกับงานนี้
  - กรรมการโดยตำแหน่งอีกคน (เลขาธิการคณะกรรมการคุ้มครองฯ) เป็นเจ้าหน้าที่ของสำนักงานที่อยู่ภายใต้การกำกับของคณะกรรมการกำกับ — จึงเป็นไปไม่ได้ในเชิงโครงสร้างที่จะให้กำกับตนเอง
- **เกณฑ์ "ไม่ถึง 90 วัน" + "ภายใน 60 วัน":**
  - ถ้าวาระเหลือ 91-150 วัน → ต้องแต่งตั้งแทนภายใน 60 วัน + ผู้ที่แต่งตั้งใหม่อาจอยู่ตำแหน่งเพียง 31-90 วัน
  - ถ้าวาระเหลือ ≤90 วัน → อาจปล่อยตำแหน่งว่างไปจนครบวาระ
- **ความหมายของ "เท่าที่มีอยู่":** องค์ประชุม ([มาตรา 53](https://link.pdpalawbase.com/section/53.md)) คำนวณจาก**กรรมการที่มีอยู่จริง** ไม่ใช่จำนวนเต็มของคณะกรรมการ — กรรมการที่เหลือยังตัดสินใจในกิจการของสำนักงานต่อได้

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/section/52.md

============================================================
โนด: มาตรา 53
ลิงก์อ้างอิง: https://link.pdpalawbase.com/section/53.md

# มาตรา 53

## ตัวบท

> มาตรา 53 การประชุมคณะกรรมการกำกับสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลต้องมีกรรมการมาประชุมไม่น้อยกว่ากึ่งหนึ่งของจำนวนกรรมการที่มีอยู่ จึงจะเป็นองค์ประชุม
>
> ให้ประธานกรรมการเป็นประธานในที่ประชุม ถ้าประธานกรรมการไม่มาประชุมหรือไม่อาจปฏิบัติหน้าที่ได้ ให้กรรมการซึ่งมาประชุมเลือกกรรมการคนหนึ่งเป็นประธานในที่ประชุม
>
> การวินิจฉัยชี้ขาดของที่ประชุมให้ถือเสียงข้างมาก กรรมการคนหนึ่งให้มีเสียงหนึ่งในการลงคะแนน ถ้าคะแนนเสียงเท่ากัน ให้ประธานในที่ประชุมออกเสียงเพิ่มขึ้นอีกเสียงหนึ่งเป็นเสียงชี้ขาด
>
> กรรมการที่มีส่วนได้เสียในเรื่องที่มีการพิจารณาจะเข้าร่วมประชุมมิได้
>
> การประชุมของคณะกรรมการกำกับสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลอาจกระทำโดยวิธีการทางอิเล็กทรอนิกส์ตามที่คณะกรรมการกำหนดก็ได้

## สรุป

มาตรานี้กำหนด **กฎการประชุม** ของคณะกรรมการกำกับสำนักงาน ([มาตรา 48](https://link.pdpalawbase.com/section/48.md)): องค์ประชุม **ไม่น้อยกว่ากึ่งหนึ่ง** ของจำนวนกรรมการที่มีอยู่; ประธานในที่ประชุม = ประธานกรรมการ (หรือเลือกกันเองถ้าประธานไม่มา); วินิจฉัยด้วย **เสียงข้างมาก** + ประธานมี **เสียงชี้ขาด** เมื่อเสียงเท่ากัน; กรรมการที่ **มีส่วนได้เสีย** ห้ามเข้าร่วม; ประชุม **ทางอิเล็กทรอนิกส์** ได้ตามที่คณะกรรมการคุ้มครองข้อมูลส่วนบุคคล ([มาตรา 8](https://link.pdpalawbase.com/section/8.md)) กำหนด

## องค์ประกอบสำคัญ

- **องค์ประชุม (วรรค 1):** ไม่น้อยกว่า**กึ่งหนึ่ง**ของกรรมการที่มีอยู่ (เช่น ถ้ามีกรรมการ 6 คน → ต้องมาอย่างน้อย 3 คน)
  - ฐานคำนวณ = "ที่มีอยู่" — ไม่ใช่จำนวนเต็มตามกฎหมาย → ถ้าตำแหน่งว่าง องค์ประชุมก็ลดตามจริง
- **ประธานในที่ประชุม (วรรค 2):**
  - ปกติ = ประธานกรรมการ ([มาตรา 48](https://link.pdpalawbase.com/section/48.md) วรรคหนึ่ง (1))
  - กรณีประธานไม่มา/ไม่อาจปฏิบัติหน้าที่ได้ → กรรมการที่มาประชุม**เลือกกันเอง**ให้คนหนึ่งเป็นประธานในที่ประชุมเฉพาะคราว
- **การวินิจฉัย (วรรค 3):**
  - **เสียงข้างมาก**
  - **กรรมการ 1 คน = 1 เสียง**
  - กรณีเสียงเท่า → **ประธานออกเสียงเพิ่มอีก 1 เสียงเป็นเสียงชี้ขาด**
- **ห้ามผู้มีส่วนได้เสียเข้าประชุม (วรรค 4):**
  - กรรมการที่มีส่วนได้เสียในเรื่องที่จะพิจารณา**ห้ามเข้าร่วมประชุม**
  - ป้องกันผลประโยชน์ทับซ้อน
- **การประชุมทางอิเล็กทรอนิกส์ (วรรค 5):**
  - ทำได้ตามหลักเกณฑ์ที่**คณะกรรมการคุ้มครองข้อมูลส่วนบุคคล** ([มาตรา 8](https://link.pdpalawbase.com/section/8.md)) กำหนด

## มาตราที่อ้างอิง

- [มาตรา 48](https://link.pdpalawbase.com/section/48.md) — คณะกรรมการกำกับสำนักงาน — เป็นองค์กรที่ใช้กฎการประชุมตามมาตรานี้

## หมายเหตุ

- **[มาตรา 53](https://link.pdpalawbase.com/section/53.md) ใช้กับ "คณะกรรมการกำกับสำนักงาน" เท่านั้น** — ไม่ใช่ **"คณะกรรมการคุ้มครองข้อมูลส่วนบุคคล"** ([มาตรา 8](https://link.pdpalawbase.com/section/8.md)) ที่มีกฎการประชุมแยกใน [มาตรา 13](https://link.pdpalawbase.com/section/13.md)
- **ใช้บังคับโดยอนุโลมกับคณะอนุกรรมการ:** [มาตรา 55](https://link.pdpalawbase.com/section/55.md) วรรคท้าย กำหนดให้นำ [มาตรา 53](https://link.pdpalawbase.com/section/53.md) มาใช้กับการประชุมของคณะอนุกรรมการที่คณะกรรมการกำกับสำนักงานแต่งตั้งด้วย
- **เหตุผลของกลไกเสียงชี้ขาดของประธาน:**
  - คณะกรรมการกำกับมีกรรมการ 6 คน ([มาตรา 48](https://link.pdpalawbase.com/section/48.md)) — เลขคู่ → เสียงเท่ากันได้ในทางคณิตศาสตร์
  - กลไกนี้ป้องกันสภาวะที่ที่ประชุมตัดสินใจไม่ได้
- **"ส่วนได้เสีย" — ตัวอย่างที่ควรงดเข้าร่วม:**
  - กรรมการที่เป็นที่ปรึกษา/ผู้บริหารของบริษัทที่อยู่ในการพิจารณาออกข้อบังคับเฉพาะกลุ่ม
  - กรรมการที่ครอบครัวมีผลประโยชน์ในการอนุมัติงบประมาณรายการใดรายการหนึ่ง
  - กรรมการที่เป็นผู้ถูกร้องเรียนในเรื่องที่พิจารณา
- **การประชุมทางอิเล็กทรอนิกส์:**
  - หลักการรองรับการประชุมระยะไกล (โดยเฉพาะหลังโควิด-19) — แต่ต้องเป็นไปตามหลักเกณฑ์ที่คณะกรรมการคุ้มครองข้อมูลส่วนบุคคลกำหนด เพื่อรักษามาตรฐาน (เช่น การยืนยันตัวตน การบันทึกการประชุม การคุ้มครองข้อมูลที่หารือกัน)
- **องค์ประชุม "ที่มีอยู่" vs "ตามกฎหมาย":** ถ้าคณะกรรมการกำกับมีตำแหน่งว่าง 1 ตำแหน่ง (5 คนจาก 6) → องค์ประชุม = 3 คน (กึ่งหนึ่งของ 5) ไม่ใช่ 3 คน (กึ่งหนึ่งของ 6) — กลไกนี้ทำให้คณะกรรมการ**ทำงานต่อได้**แม้มีตำแหน่งว่าง (สอดคล้องกับ [มาตรา 52](https://link.pdpalawbase.com/section/52.md) วรรค 1)

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/section/53.md

============================================================
โนด: มาตรา 54
ลิงก์อ้างอิง: https://link.pdpalawbase.com/section/54.md

# มาตรา 54

## ตัวบท

> มาตรา 54 คณะกรรมการกำกับสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลมีหน้าที่และอำนาจ ดังต่อไปนี้
>
> (1) กำหนดนโยบายการบริหารงาน และให้ความเห็นชอบแผนการดำเนินงานของสำนักงาน
>
> (2) ออกข้อบังคับว่าด้วยการจัดองค์กร การเงิน การบริหารงานบุคคล การบริหารงานทั่วไป การตรวจสอบภายใน รวมตลอดทั้งการสงเคราะห์และสวัสดิการต่าง ๆ ของสำนักงาน
>
> (3) อนุมัติแผนการดำเนินงาน แผนการใช้จ่ายเงินและงบประมาณรายจ่ายประจำปีของสำนักงาน
>
> (4) ควบคุมการบริหารงานและการดำเนินการของสำนักงานและเลขาธิการให้เป็นไปตามพระราชบัญญัตินี้และกฎหมายอื่นที่เกี่ยวข้อง
>
> (5) แต่งตั้งคณะกรรมการสรรหาเลขาธิการ
>
> (6) วินิจฉัยอุทธรณ์คำสั่งทางปกครองของเลขาธิการในส่วนที่เกี่ยวกับการบริหารงานของสำนักงาน
>
> (7) ประเมินผลการดำเนินการของสำนักงาน และการปฏิบัติงานของเลขาธิการ
>
> (8) ปฏิบัติหน้าที่อื่นตามที่พระราชบัญญัตินี้หรือกฎหมายอื่นกำหนดให้เป็นหน้าที่และอำนาจของคณะกรรมการกำกับสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลหรือตามที่คณะกรรมการหรือคณะรัฐมนตรีมอบหมาย
>
> ข้อบังคับตาม (2) ถ้ามีการจำกัดอำนาจเลขาธิการในการทำนิติกรรมกับบุคคลภายนอก ให้ประกาศในราชกิจจานุเบกษา

## สรุป

มาตรานี้เป็น **บทบัญญัติสำคัญที่กำหนดบทบาทของคณะกรรมการกำกับสำนักงาน** ([มาตรา 48](https://link.pdpalawbase.com/section/48.md)) ในฐานะองค์กรที่กำกับดูแลการบริหารของ**สำนักงาน** ([มาตรา 43](https://link.pdpalawbase.com/section/43.md)) — มี 8 หน้าที่/อำนาจ: กำหนดนโยบาย, ออกข้อบังคับภายใน, อนุมัติงบประมาณ, ควบคุมการบริหาร, แต่งตั้งคณะกรรมการสรรหาเลขาธิการ, วินิจฉัยอุทธรณ์, ประเมินผล, และอื่น ๆ ตามที่คณะกรรมการคุ้มครองข้อมูลส่วนบุคคล ([มาตรา 8](https://link.pdpalawbase.com/section/8.md)) หรือคณะรัฐมนตรีมอบหมาย

## องค์ประกอบสำคัญ

- **(1) กำหนดนโยบายและให้ความเห็นชอบแผน:**
  - กำหนด**นโยบายการบริหารงาน** ของสำนักงาน
  - ให้ความเห็นชอบ**แผนการดำเนินงาน** (เลขาธิการเป็นผู้จัดทำ ตาม [มาตรา 63](https://link.pdpalawbase.com/section/63.md) (1))
- **(2) ออกข้อบังคับภายใน:**
  - การจัดองค์กร, การเงิน, **การบริหารงานบุคคล** (ที่ต่างจากระเบียบราชการพลเรือน), การบริหารงานทั่วไป, การตรวจสอบภายใน, การสงเคราะห์/สวัสดิการ
  - หมายเหตุ: ข้อบังคับเหล่านี้ใช้ภายในสำนักงาน — ไม่ใช่ข้อบังคับที่บังคับใช้กับเอกชนภายนอก (อันนั้นเป็นอำนาจของ**คณะกรรมการคุ้มครองข้อมูลส่วนบุคคล** ตาม [มาตรา 16](https://link.pdpalawbase.com/section/16.md))
- **(3) อนุมัติงบประมาณประจำปี:** แผนการดำเนินงาน + แผนใช้จ่ายเงิน + งบประมาณรายจ่ายประจำปี
- **(4) ควบคุมการดำเนินการของสำนักงานและเลขาธิการ:**
  - ให้เป็นไปตาม พรบ. นี้ + กฎหมายอื่นที่เกี่ยวข้อง
  - หลักการกำกับดูแล — เลขาธิการเป็นผู้บริหาร แต่คณะกรรมการกำกับเป็นผู้กำกับ
- **(5) แต่งตั้งคณะกรรมการสรรหาเลขาธิการ:** กระบวนการสรรหาเลขาธิการเริ่มที่นี่ (ผลลัพธ์ = แต่งตั้งเลขาธิการตาม [มาตรา 57](https://link.pdpalawbase.com/section/57.md))
- **(6) วินิจฉัยอุทธรณ์:**
  - อุทธรณ์**คำสั่งทางปกครอง**ของเลขาธิการ
  - **เฉพาะส่วนที่เกี่ยวกับการบริหารงานของสำนักงาน** (เช่น คำสั่งบุคคลภายในสำนักงาน คำสั่งจัดซื้อจัดจ้าง)
  - **ไม่ใช่**อุทธรณ์ในเรื่องการบังคับใช้ พรบ. คุ้มครองข้อมูลส่วนบุคคลต่อบุคคลภายนอก
- **(7) ประเมินผล:**
  - การดำเนินการของสำนักงานในภาพรวม
  - การปฏิบัติงานของเลขาธิการเป็นรายบุคคล
- **(8) อื่น ๆ:** หน้าที่ที่ พรบ. นี้ + กฎหมายอื่นกำหนด หรือที่**คณะกรรมการคุ้มครองข้อมูลส่วนบุคคล** ([มาตรา 8](https://link.pdpalawbase.com/section/8.md)) / **คณะรัฐมนตรี** มอบหมาย
- **ข้อจำกัดในการทำนิติกรรม (วรรคท้าย):**
  - ถ้าข้อบังคับตาม (2) **จำกัดอำนาจเลขาธิการ**ในการทำนิติกรรมกับบุคคลภายนอก
  - ต้อง**ประกาศในราชกิจจานุเบกษา** — เพื่อให้บุคคลภายนอกรู้ขอบเขตอำนาจของเลขาธิการ (รับผิดชอบสาธารณะ)

## มาตราที่อ้างอิง

- [มาตรา 43](https://link.pdpalawbase.com/section/43.md) — สำนักงาน — องค์กรที่อยู่ภายใต้การกำกับตามมาตรานี้
- [มาตรา 48](https://link.pdpalawbase.com/section/48.md) — คณะกรรมการกำกับสำนักงาน — ผู้ใช้อำนาจตามมาตรานี้
- [มาตรา 55](https://link.pdpalawbase.com/section/55.md) — คณะอนุกรรมการ — กลไกที่คณะกรรมการกำกับใช้แบ่งงานเฉพาะด้าน
- [มาตรา 57](https://link.pdpalawbase.com/section/57.md) — เลขาธิการ — ผู้ถูกกำกับ/ประเมินตามมาตรานี้

## หมายเหตุ

- **เปรียบเทียบบทบาท: คณะกรรมการคุ้มครองข้อมูลส่วนบุคคล vs คณะกรรมการกำกับสำนักงาน:**
  - **คณะกรรมการคุ้มครองข้อมูลส่วนบุคคล** ([มาตรา 8](https://link.pdpalawbase.com/section/8.md), [มาตรา 16](https://link.pdpalawbase.com/section/16.md)): กำกับ**การบังคับใช้กฎหมายต่อสาธารณะ** — ออกประกาศ ออกหลักเกณฑ์ ลงโทษทางปกครอง
  - **คณะกรรมการกำกับสำนักงาน** (มาตรานี้): กำกับ**การบริหารภายในของสำนักงาน** — งบประมาณ บุคคล นโยบายการดำเนินงาน
- **โครงสร้างของระบบคุ้มครองข้อมูลส่วนบุคคล:** สำนักงาน ([มาตรา 43](https://link.pdpalawbase.com/section/43.md)) เป็นหน่วยงานของรัฐที่ทำหน้าที่**ฝ่ายปฏิบัติการ** — มีคณะกรรมการกำกับสำนักงานเป็น "บอร์ดบริหารองค์กร" + คณะกรรมการคุ้มครองข้อมูลส่วนบุคคลเป็น "ผู้กำกับนโยบายและกำหนดมาตรฐาน"
- **(2) "ข้อบังคับว่าด้วยการบริหารงานบุคคล":** ทำให้สำนักงานมีระบบบุคลากรแยกจากระบบราชการพลเรือนทั่วไป — สอดคล้องกับ [มาตรา 43](https://link.pdpalawbase.com/section/43.md) วรรคสอง ที่กำหนดให้สำนักงานเป็น**หน่วยงานของรัฐที่มีฐานะเป็นนิติบุคคล** (ไม่เป็นส่วนราชการตามพระราชบัญญัติระเบียบบริหารราชการแผ่นดิน)
- **(6) "อุทธรณ์คำสั่งทางปกครอง":**
  - ฐาน: พระราชบัญญัติวิธีปฏิบัติราชการทางปกครอง พ.ศ. 2539
  - กลไก: ผู้ได้รับผลกระทบจากคำสั่งของเลขาธิการ → อุทธรณ์ต่อคณะกรรมการกำกับสำนักงาน → คำวินิจฉัยของคณะกรรมการกำกับเป็นที่สุดในชั้นปกครองภายใน + อาจฟ้องศาลปกครองต่อได้
- **วรรคท้าย "ประกาศในราชกิจจานุเบกษา":**
  - หลักการแจ้งสาธารณะให้ทราบทั่วกัน — บุคคลภายนอกที่จะเข้าทำนิติกรรมกับสำนักงานต้องสามารถตรวจสอบได้ว่าเลขาธิการมีอำนาจทำนิติกรรมประเภทใดได้บ้าง
  - ป้องกันข้อพิพาทเรื่องอำนาจในภายหลัง (ผู้ทำนิติกรรมโดยสุจริตได้รับการคุ้มครอง)

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/section/54.md

============================================================
โนด: มาตรา 55
ลิงก์อ้างอิง: https://link.pdpalawbase.com/section/55.md

# มาตรา 55

## ตัวบท

> มาตรา 55 คณะกรรมการกำกับสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลมีอำนาจแต่งตั้งคณะอนุกรรมการ เพื่อปฏิบัติหน้าที่หรือกระทำการอย่างหนึ่งอย่างใดตามที่คณะกรรมการกำกับสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลมอบหมายได้
>
> คณะกรรมการกำกับสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลอาจแต่งตั้งบุคคลซึ่งมีความเชี่ยวชาญหรือประสบการณ์ที่จะเป็นประโยชน์ในการปฏิบัติหน้าที่ของคณะกรรมการกำกับสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เป็นที่ปรึกษาคณะกรรมการกำกับสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลได้
>
> การปฏิบัติหน้าที่และจำนวนของคณะอนุกรรมการตามวรรคหนึ่งหรือบุคคลตามวรรคสอง ให้เป็นไปตามที่คณะกรรมการกำกับสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลกำหนด
>
> การประชุมคณะอนุกรรมการ ให้นำความใน[มาตรา 53](https://link.pdpalawbase.com/section/53.md) มาใช้บังคับโดยอนุโลม

## สรุป

มาตรานี้ให้อำนาจ**คณะกรรมการกำกับสำนักงาน** ([มาตรา 48](https://link.pdpalawbase.com/section/48.md)) แต่งตั้ง 2 ประเภทของกลไกสนับสนุน: (1) **คณะอนุกรรมการ** เพื่อทำงานเฉพาะเรื่องตามมอบหมาย; (2) **ที่ปรึกษา** ซึ่งเป็นบุคคลผู้มีความเชี่ยวชาญหรือประสบการณ์ — โดยจำนวนและการปฏิบัติหน้าที่ให้เป็นไปตามที่คณะกรรมการกำกับสำนักงานกำหนด การประชุมของคณะอนุกรรมการให้นำกฎการประชุมตาม [มาตรา 53](https://link.pdpalawbase.com/section/53.md) มาใช้บังคับโดยอนุโลม

## องค์ประกอบสำคัญ

- **คณะอนุกรรมการ (วรรค 1):**
  - ผู้แต่งตั้ง: คณะกรรมการกำกับสำนักงาน ([มาตรา 48](https://link.pdpalawbase.com/section/48.md))
  - บทบาท: ปฏิบัติหน้าที่หรือกระทำการ**ตามที่ได้รับมอบหมาย**
  - มีจำนวนและขอบเขตงานตามที่คณะกรรมการกำกับสำนักงานกำหนด
- **ที่ปรึกษา (วรรค 2):**
  - ผู้แต่งตั้ง: คณะกรรมการกำกับสำนักงาน
  - คุณสมบัติ: บุคคล**ผู้มีความเชี่ยวชาญหรือประสบการณ์** ที่เป็นประโยชน์
  - บทบาท: ให้คำปรึกษา (ไม่มีอำนาจวินิจฉัยหรือตัดสินใจแทนกรรมการ)
- **การปฏิบัติหน้าที่และจำนวน (วรรค 3):**
  - ทั้งคณะอนุกรรมการและที่ปรึกษา → ให้เป็นไปตามที่คณะกรรมการกำกับสำนักงานกำหนด
  - หลักการ: คณะกรรมการกำกับสำนักงานมีดุลพินิจกำหนดได้ตามภารกิจ
- **การประชุมโดยอนุโลม (วรรค 4):**
  - คณะอนุกรรมการใช้กฎตาม [มาตรา 53](https://link.pdpalawbase.com/section/53.md) (องค์ประชุมกึ่งหนึ่ง / ประธาน / เสียงข้างมาก / เสียงชี้ขาดของประธานเมื่อเสียงเท่า / ห้ามผู้มีส่วนได้เสีย / อิเล็กทรอนิกส์ได้)
  - คำว่า "**โดยอนุโลม**" — ปรับใช้ตามบริบท แต่ไม่จำเป็นต้องตรงทุกตัวอักษร

## มาตราที่อ้างอิง

- [มาตรา 48](https://link.pdpalawbase.com/section/48.md) — คณะกรรมการกำกับสำนักงาน — ผู้แต่งตั้งคณะอนุกรรมการ/ที่ปรึกษาตามมาตรานี้
- [มาตรา 53](https://link.pdpalawbase.com/section/53.md) — กฎการประชุมคณะกรรมการกำกับ — นำมาใช้กับคณะอนุกรรมการโดยอนุโลม

## หมายเหตุ

- **คณะอนุกรรมการ vs ที่ปรึกษา — ความแตกต่าง:**
  - **คณะอนุกรรมการ:** มีอำนาจปฏิบัติงาน (ตามที่ได้รับมอบหมาย) — มีองค์ประชุม + ลงมติได้
  - **ที่ปรึกษา:** ให้คำปรึกษาเท่านั้น — ไม่มีอำนาจตัดสินใจ; อาจเข้าร่วมประชุมคณะกรรมการกำกับเพื่อให้ข้อมูลแต่ไม่มีสิทธิออกเสียง
- **บทบัญญัติคล้ายกันใน [มาตรา 14](https://link.pdpalawbase.com/section/14.md):** คณะกรรมการคุ้มครองข้อมูลส่วนบุคคลก็แต่งตั้งคณะอนุกรรมการได้ — [มาตรา 55](https://link.pdpalawbase.com/section/55.md) เป็นกลไกคล้ายกันสำหรับคณะกรรมการกำกับสำนักงาน
- **กรณีตัวอย่างของคณะอนุกรรมการ:** อาจใช้สำหรับ
  - การพิจารณาอุทธรณ์ตาม [มาตรา 54](https://link.pdpalawbase.com/section/54.md) (6) ที่ต้องใช้ความเชี่ยวชาญเฉพาะ
  - การตรวจสอบการใช้งบประมาณภายใน
  - การประเมินผลเลขาธิการตาม [มาตรา 54](https://link.pdpalawbase.com/section/54.md) (7) + [มาตรา 61](https://link.pdpalawbase.com/section/61.md)
- **ค่าตอบแทนของคณะอนุกรรมการและที่ปรึกษา:** กำหนดใน [มาตรา 56](https://link.pdpalawbase.com/section/56.md) (เบี้ยประชุม/ค่าตอบแทนตามหลักเกณฑ์ที่คณะกรรมการคุ้มครองข้อมูลส่วนบุคคลกำหนด โดยความเห็นชอบของกระทรวงการคลัง)
- **"โดยอนุโลม" ในวรรค 4:** ตัวอย่างที่ต้องปรับ — ถ้าคณะอนุกรรมการมีจำนวนน้อย (เช่น 3 คน) → องค์ประชุม "กึ่งหนึ่ง" = 2 คน (ปัดขึ้นโดยพฤติการณ์); หรือถ้าหัวข้อเฉพาะที่มีบุคคลภายนอกร่วมเป็นที่ปรึกษา → กฎห้ามมีส่วนได้เสียยิ่งสำคัญ

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/section/55.md

============================================================
โนด: มาตรา 56
ลิงก์อ้างอิง: https://link.pdpalawbase.com/section/56.md

# มาตรา 56

## ตัวบท

> มาตรา 56 ให้ประธานกรรมการและกรรมการกำกับสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล ที่ปรึกษาคณะกรรมการกำกับสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล ประธานอนุกรรมการและอนุกรรมการที่คณะกรรมการกำกับสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลแต่งตั้ง ได้รับเบี้ยประชุมหรือค่าตอบแทนตามหลักเกณฑ์ที่คณะกรรมการกำหนดโดยความเห็นชอบของกระทรวงการคลัง

## สรุป

มาตรานี้กำหนด **เบี้ยประชุม/ค่าตอบแทน** สำหรับ 4 กลุ่ม: (1) ประธานคณะกรรมการกำกับสำนักงาน, (2) กรรมการกำกับสำนักงาน, (3) ที่ปรึกษาคณะกรรมการกำกับสำนักงาน, (4) ประธานและอนุกรรมการที่คณะกรรมการกำกับสำนักงานแต่งตั้ง — ตามหลักเกณฑ์ที่ **คณะกรรมการคุ้มครองข้อมูลส่วนบุคคล** ([มาตรา 8](https://link.pdpalawbase.com/section/8.md)) กำหนด **โดยความเห็นชอบของกระทรวงการคลัง**

## องค์ประกอบสำคัญ

- **ผู้มีสิทธิได้รับ (4 กลุ่ม):**
  1. **ประธานกรรมการกำกับสำนักงาน** ([มาตรา 48](https://link.pdpalawbase.com/section/48.md) วรรคหนึ่ง (1))
  2. **กรรมการกำกับสำนักงาน** (กรรมการผู้ทรงคุณวุฒิ + กรรมการโดยตำแหน่ง)
  3. **ที่ปรึกษาคณะกรรมการกำกับสำนักงาน** ([มาตรา 55](https://link.pdpalawbase.com/section/55.md) วรรคสอง)
  4. **ประธานคณะอนุกรรมการ + อนุกรรมการ** ที่แต่งตั้งตาม [มาตรา 55](https://link.pdpalawbase.com/section/55.md) วรรคหนึ่ง
- **ผู้กำหนดหลักเกณฑ์:** **คณะกรรมการคุ้มครองข้อมูลส่วนบุคคล** ([มาตรา 8](https://link.pdpalawbase.com/section/8.md)) — ไม่ใช่คณะกรรมการกำกับสำนักงานเอง (ป้องกันการกำหนดค่าตอบแทนของตนเอง)
- **เงื่อนไขเพิ่มเติม:** ต้องได้รับ**ความเห็นชอบของกระทรวงการคลัง** — ฐานทางคลัง

## มาตราที่อ้างอิง

- [มาตรา 8](https://link.pdpalawbase.com/section/8.md) — คณะกรรมการคุ้มครองข้อมูลส่วนบุคคล — ผู้กำหนดหลักเกณฑ์ค่าตอบแทน
- [มาตรา 48](https://link.pdpalawbase.com/section/48.md) — คณะกรรมการกำกับสำนักงาน — ผู้ได้รับเบี้ยประชุม
- [มาตรา 55](https://link.pdpalawbase.com/section/55.md) — คณะอนุกรรมการและที่ปรึกษา — ผู้ได้รับเบี้ยประชุม

## หมายเหตุ

- **กลไกถ่วงดุลในการกำหนดค่าตอบแทน:**
  - ผู้กำหนดหลักเกณฑ์ ([มาตรา 8](https://link.pdpalawbase.com/section/8.md)) ≠ ผู้รับ (กำกับสำนักงาน) — ป้องกันการขึ้นเบี้ยตนเอง
  - ความเห็นชอบของ**กระทรวงการคลัง** — ป้องกันการตั้งค่าตอบแทนสูงเกินมาตรฐานราชการ
- **เปรียบเทียบกับเลขาธิการ:** เลขาธิการมี**อัตราเงินเดือน/ผลตอบแทน**แยกต่างหากตาม [มาตรา 65](https://link.pdpalawbase.com/section/65.md) — ไม่ได้รับเบี้ยประชุมตามมาตรานี้
- **ข้อสังเกต — ที่มาของเงิน:** เบี้ยประชุม/ค่าตอบแทนจ่ายจากเงินของสำนักงาน — ขณะที่สำนักงานต้องนำส่งรายได้เข้าคลังเป็นรายได้แผ่นดินตาม [มาตรา 46](https://link.pdpalawbase.com/section/46.md) วรรคสอง → จึงพึ่งเงินอุดหนุนจากรัฐบาลตาม [มาตรา 44](https://link.pdpalawbase.com/section/44.md) (1) เป็นหลัก ทำให้การกำหนดค่าตอบแทนต้องสมดุลกับเงินอุดหนุนที่ได้รับจริง
- **กรณีที่ไม่ได้รับ:**
  - **กรรมการโดยตำแหน่ง** (ปลัดกระทรวงดิจิทัล + เลขาธิการคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล ตาม [มาตรา 48](https://link.pdpalawbase.com/section/48.md) วรรคหนึ่ง (3)) อาจได้รับเบี้ยประชุมหรือไม่ขึ้นกับหลักเกณฑ์ — ในทางปฏิบัติทั่วไป ข้าราชการประจำที่เป็นกรรมการโดยตำแหน่งอาจมีข้อจำกัดเรื่องการรับเบี้ยประชุมตามระเบียบกระทรวงการคลัง
  - **กรรมการสรรหา** ตาม [มาตรา 49](https://link.pdpalawbase.com/section/49.md) **ไม่ได้กล่าวถึงใน [มาตรา 56](https://link.pdpalawbase.com/section/56.md)** — ถ้าจะให้เบี้ยประชุม ต้องอาศัยกลไกอื่นหรือหลักเกณฑ์ทั่วไปของคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (ข้อสังเกต: อาจเป็นช่องว่างของกฎหมาย)

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/section/56.md

============================================================
โนด: มาตรา 57
ลิงก์อ้างอิง: https://link.pdpalawbase.com/section/57.md

# มาตรา 57

## ตัวบท

> มาตรา 57 ให้สำนักงานมีเลขาธิการคนหนึ่งซึ่งคณะกรรมการกำกับสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลแต่งตั้ง มีหน้าที่บริหารกิจการของสำนักงาน
>
> การแต่งตั้งเลขาธิการตามวรรคหนึ่ง ให้เป็นไปตามหลักเกณฑ์และวิธีการสรรหาตามที่คณะกรรมการกำกับสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลกำหนด

## สรุป

มาตรานี้จัดตั้งตำแหน่ง **เลขาธิการ** เป็น**ผู้บริหารกิจการของสำนักงาน** ([มาตรา 43](https://link.pdpalawbase.com/section/43.md)) — มีคนเดียวต่อสำนักงาน แต่งตั้งโดย**คณะกรรมการกำกับสำนักงาน** ([มาตรา 48](https://link.pdpalawbase.com/section/48.md)) ตามหลักเกณฑ์และวิธีการสรรหาที่คณะกรรมการกำกับสำนักงานกำหนดเอง

## องค์ประกอบสำคัญ

- **เลขาธิการมีคนเดียว:** "**เลขาธิการคนหนึ่ง**" — ไม่ใช่ตำแหน่งหลายคน
- **บทบาท:** **บริหารกิจการของสำนักงาน** — ผู้บริหารสูงสุดในเชิงปฏิบัติงาน
- **ผู้แต่งตั้ง:** คณะกรรมการกำกับสำนักงาน ([มาตรา 48](https://link.pdpalawbase.com/section/48.md)) — สอดคล้องกับ [มาตรา 54](https://link.pdpalawbase.com/section/54.md) (5) ที่ให้อำนาจแต่งตั้ง**คณะกรรมการสรรหา**เลขาธิการ
- **หลักเกณฑ์การสรรหา:**
  - กำหนดโดยคณะกรรมการกำกับสำนักงานเอง
  - ไม่ได้อยู่ในตัวบทของพระราชบัญญัติ — เปิดให้คณะกรรมการกำกับฯ มีดุลพินิจในการออกระเบียบ

## มาตราที่อ้างอิง

- [มาตรา 43](https://link.pdpalawbase.com/section/43.md) — สำนักงาน — องค์กรที่เลขาธิการเป็นผู้บริหาร
- [มาตรา 48](https://link.pdpalawbase.com/section/48.md) — คณะกรรมการกำกับสำนักงาน — ผู้แต่งตั้งและกำหนดหลักเกณฑ์การสรรหา
- [มาตรา 54](https://link.pdpalawbase.com/section/54.md) — หน้าที่และอำนาจของคณะกรรมการกำกับสำนักงาน — มี (5) แต่งตั้งคณะกรรมการสรรหาเลขาธิการ + (4) ควบคุมการดำเนินการของเลขาธิการ + (7) ประเมินผลเลขาธิการ

## หมายเหตุ

- **โครงสร้างการบริหารของสำนักงาน — 2 ระดับ:**
  - **คณะกรรมการกำกับสำนักงาน** ([มาตรา 48](https://link.pdpalawbase.com/section/48.md)) — ระดับนโยบายและกำกับดูแล
  - **เลขาธิการ** (มาตรานี้) — ระดับปฏิบัติการและบริหารกิจการ
- **เปรียบเทียบ "เลขาธิการ" 2 คนใน พรบ. นี้:**
  - **เลขาธิการคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล** = **เลขาธิการของสำนักงาน** (มาตรานี้) — เป็นผู้เดียวกัน คนละตำแหน่งกับเลขานุการคณะกรรมการคุ้มครองฯ
  - กรณีที่อยู่ใน [มาตรา 48](https://link.pdpalawbase.com/section/48.md) วรรคหนึ่ง (3) — เลขาธิการเป็น**กรรมการโดยตำแหน่ง**ในคณะกรรมการกำกับสำนักงาน
  - แต่ใน [มาตรา 12](https://link.pdpalawbase.com/section/12.md) เลขาธิการก็เป็น**เลขานุการของคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล** ([มาตรา 8](https://link.pdpalawbase.com/section/8.md)) — รับสองบทบาทในคนเดียวกัน
- **ความสัมพันธ์ของอำนาจ:**
  - เลขาธิการ = ผู้บริหาร — แต่อยู่ภายใต้การควบคุม/กำกับของคณะกรรมการกำกับสำนักงาน ([มาตรา 54](https://link.pdpalawbase.com/section/54.md) (4))
  - เลขาธิการมีอำนาจตาม [มาตรา 63](https://link.pdpalawbase.com/section/63.md) (รายละเอียดหน้าที่และอำนาจของเลขาธิการ)
  - คำสั่งทางปกครองของเลขาธิการอาจถูกอุทธรณ์ต่อคณะกรรมการกำกับ ตาม [มาตรา 54](https://link.pdpalawbase.com/section/54.md) (6)
- **ทำไมหลักเกณฑ์การสรรหาไม่อยู่ในพระราชบัญญัติ:**
  - เปิดให้ปรับเปลี่ยนได้ตามบริบทของสำนักงานในแต่ละยุค (ผู้สมัครที่เหมาะสม / มาตรฐานการสรรหาที่เปลี่ยนแปลง)
  - แต่คุณสมบัติพื้นฐาน + ลักษณะต้องห้ามถูกกำหนดในพระราชบัญญัติแล้ว ([มาตรา 58](https://link.pdpalawbase.com/section/58.md) + [มาตรา 59](https://link.pdpalawbase.com/section/59.md))

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/section/57.md

============================================================
โนด: มาตรา 58
ลิงก์อ้างอิง: https://link.pdpalawbase.com/section/58.md

# มาตรา 58

## ตัวบท

> มาตรา 58 ผู้ที่จะได้รับการแต่งตั้งเป็นเลขาธิการต้องมีคุณสมบัติ ดังต่อไปนี้
>
> (1) มีสัญชาติไทย
>
> (2) อายุไม่ต่ำกว่าสามสิบห้าปีแต่ไม่เกินหกสิบปี
>
> (3) เป็นผู้มีความรู้ ความสามารถ และประสบการณ์ในด้านที่เกี่ยวกับภารกิจของสำนักงานและการบริหารจัดการ

## สรุป

มาตรานี้กำหนด **คุณสมบัติพื้นฐาน** ของผู้ที่จะแต่งตั้งเป็น**เลขาธิการ** ([มาตรา 57](https://link.pdpalawbase.com/section/57.md)): (1) **สัญชาติไทย**, (2) **อายุ 35-60 ปี**, (3) **ความรู้ + ความสามารถ + ประสบการณ์** ทั้งในด้านภารกิจของสำนักงาน (การคุ้มครองข้อมูลส่วนบุคคล) และด้านการบริหารจัดการ

## องค์ประกอบสำคัญ

- **(1) สัญชาติไทย:**
  - ต้องเป็น**คนไทยโดยสัญชาติ** — ตำแหน่งบริหารหน่วยงานของรัฐ
- **(2) อายุ 35-60 ปี:**
  - **ขั้นต่ำ 35 ปี** — เพื่อให้มีประสบการณ์เพียงพอ
  - **ไม่เกิน 60 ปี** ณ วันแต่งตั้ง — เกี่ยวข้องกับวาระ 4 ปีของเลขาธิการ ([มาตรา 60](https://link.pdpalawbase.com/section/60.md)) → อายุสูงสุดที่จะอยู่ในตำแหน่งครบวาระ = 64 ปี
- **(3) ความรู้/ความสามารถ/ประสบการณ์ — 2 ด้าน:**
  - **ภารกิจของสำนักงาน** — ความเชี่ยวชาญด้านเนื้อหางานคุ้มครองข้อมูลส่วนบุคคล
  - **การบริหารจัดการ** — ความสามารถในการบริหารองค์กรขนาดใหญ่

## มาตราที่อ้างอิง

- [มาตรา 57](https://link.pdpalawbase.com/section/57.md) — เลขาธิการ — ตำแหน่งที่อยู่ภายใต้คุณสมบัติของมาตรานี้

## หมายเหตุ

- **เปรียบเทียบกับลักษณะต้องห้าม:** [มาตรา 58](https://link.pdpalawbase.com/section/58.md) = คุณสมบัติเชิงบวก (ต้องมี); [มาตรา 59](https://link.pdpalawbase.com/section/59.md) = ลักษณะต้องห้าม (ต้องไม่มี) — ผู้สมัครต้องผ่านทั้ง 2 ด่าน
- **ไม่ได้กำหนดวุฒิการศึกษา:**
  - ไม่ระบุระดับปริญญา (ตรี/โท/เอก) — เปิดให้คณะกรรมการกำกับสำนักงานกำหนดในหลักเกณฑ์การสรรหาตาม [มาตรา 57](https://link.pdpalawbase.com/section/57.md) วรรคสอง
  - หลัก: "**ความรู้ ความสามารถ และประสบการณ์**" — เน้นที่เนื้อหา ไม่ใช่ใบปริญญา
- **เพดานอายุ 60 ปี — ผลในทางปฏิบัติ:**
  - ผู้มีอายุ 56-60 ปี ณ วันแต่งตั้ง → อยู่ครบวาระ 4 ปีอาจอายุเกิน 60 ปี (ถึง 64 ปี) — แต่ไม่เป็นปัญหาเพราะ 60 ปีคือเพดาน "ณ วันแต่งตั้ง" ไม่ใช่ "ระหว่างดำรงตำแหน่ง"
  - ผู้มีอายุเกิน 60 ปี → ไม่สามารถสมัครได้ แม้จะมีประสบการณ์มากก็ตาม
- **"ภารกิจของสำนักงาน" เป็นหลักการกว้าง:**
  - การคุ้มครองข้อมูลส่วนบุคคลในเชิงเทคนิค (ทั้งด้านกฎหมาย ระบบเทคโนโลยีสารสนเทศ และความมั่นคงปลอดภัยของข้อมูล)
  - การกำกับดูแลภาคเอกชน
  - การประสานความร่วมมือระหว่างประเทศเรื่องการส่งข้อมูลข้ามพรมแดน
  - **การบริหารจัดการ** เป็นด้านที่สอง — สะท้อนว่าตำแหน่งนี้ไม่ใช่นักวิชาการเฉย ๆ แต่ต้องเป็นผู้บริหารองค์กรได้
- **ไม่ห้ามถือสัญชาติคู่:** ตัวบทใช้คำว่า "**มีสัญชาติไทย**" — ไม่ได้ห้ามมีสัญชาติอื่นร่วมด้วย ต่างจากบางตำแหน่งของรัฐที่ห้ามถือสัญชาติอื่น

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/section/58.md

============================================================
โนด: มาตรา 59
ลิงก์อ้างอิง: https://link.pdpalawbase.com/section/59.md

# มาตรา 59

## ตัวบท

> มาตรา 59 ผู้มีลักษณะอย่างใดอย่างหนึ่งดังต่อไปนี้ ต้องห้ามมิให้เป็นเลขาธิการ
>
> (1) เป็นบุคคลล้มละลายหรือเคยเป็นบุคคลล้มละลายทุจริต
>
> (2) เป็นคนไร้ความสามารถหรือคนเสมือนไร้ความสามารถ
>
> (3) เคยต้องคำพิพากษาถึงที่สุดให้จำคุกไม่ว่าจะได้รับโทษจำคุกจริงหรือไม่ เว้นแต่เป็นโทษสำหรับความผิดที่ได้กระทำโดยประมาทหรือความผิดลหุโทษ
>
> (4) เป็นข้าราชการ พนักงาน หรือลูกจ้าง ของส่วนราชการหรือรัฐวิสาหกิจหรือหน่วยงานอื่นของรัฐหรือของราชการส่วนท้องถิ่น
>
> (5) เป็นหรือเคยเป็นข้าราชการการเมือง ผู้ดำรงตำแหน่งทางการเมือง สมาชิกสภาท้องถิ่น หรือผู้บริหารท้องถิ่น เว้นแต่จะได้พ้นจากตำแหน่งมาแล้วไม่น้อยกว่าหนึ่งปี
>
> (6) เป็นหรือเคยเป็นกรรมการหรือผู้ดำรงตำแหน่งอื่นในพรรคการเมืองหรือเจ้าหน้าที่ของพรรคการเมือง เว้นแต่จะได้พ้นจากตำแหน่งมาแล้วไม่น้อยกว่าหนึ่งปี
>
> (7) เคยถูกไล่ออก ปลดออก หรือให้ออกจากราชการ หรือออกจากงานจากหน่วยงานที่เคยปฏิบัติหน้าที่ เพราะทุจริตต่อหน้าที่หรือประพฤติชั่วอย่างร้ายแรง หรือเคยถูกถอดถอนจากตำแหน่ง
>
> (8) เคยถูกให้ออกเพราะไม่ผ่านการประเมินผลการปฏิบัติงานตาม[มาตรา 62](https://link.pdpalawbase.com/section/62.md) (4)
>
> (9) เป็นผู้มีส่วนได้เสียในกิจการที่เกี่ยวข้องกับสำนักงานไม่ว่าโดยทางตรงหรือทางอ้อม

## สรุป

มาตรานี้กำหนด **9 ลักษณะต้องห้าม** ของเลขาธิการ — ผู้สมัครต้อง**ไม่มี**ลักษณะใดเลย จึงจะมีสิทธิเข้ารับการแต่งตั้งตาม [มาตรา 57](https://link.pdpalawbase.com/section/57.md) ครอบคลุม: ความสามารถทางกฎหมาย (ล้มละลาย/ไร้ความสามารถ/เคยต้องโทษ), ความซ้อนตำแหน่ง (ข้าราชการประจำ/การเมือง/พรรคการเมือง), ประวัติด่างพร้อย (ถูกไล่ออก/ถูกถอดถอน/ไม่ผ่านประเมิน), และผลประโยชน์ทับซ้อน (มีส่วนได้เสียในกิจการที่เกี่ยวข้องกับสำนักงาน)

## องค์ประกอบสำคัญ

- **กลุ่ม A — ความสามารถทางกฎหมายและประวัติอาญา:**
  - **(1) ล้มละลาย:** เป็นบุคคลล้มละลาย**ในปัจจุบัน** หรือ**เคย**ล้มละลายทุจริต (ถ้าเคยล้มละลาย "ปกติ" ที่พ้นแล้วไม่ใช่ทุจริต ไม่ห้าม)
  - **(2) ไร้ความสามารถ/เสมือนไร้ความสามารถ:** บุคคลที่ศาลสั่งให้เป็นคนไร้ความสามารถหรือเสมือนไร้ความสามารถตามประมวลกฎหมายแพ่งและพาณิชย์
  - **(3) ต้องคำพิพากษาจำคุก:**
    - **คำพิพากษาถึงที่สุด** (ไม่ใช่ระหว่างอุทธรณ์/ฎีกา)
    - ห้ามแม้ไม่ได้รับโทษจริง (รอลงอาญา = ห้าม)
    - **ข้อยกเว้น:** ความผิดโดยประมาท + ความผิดลหุโทษ
- **กลุ่ม B — ความซ้อนตำแหน่ง:**
  - **(4) ข้าราชการ/พนักงาน/ลูกจ้างปัจจุบัน** ของรัฐ — ต้องลาออกจากตำแหน่งราชการก่อน (ดู [มาตรา 66](https://link.pdpalawbase.com/section/66.md) วรรคหนึ่ง สำหรับกลไกการยืมตัวชั่วคราวที่ต่างกัน)
  - **(5) นักการเมือง:** **เป็น** หรือ **เคยเป็น** (ภายใน 1 ปี) ข้าราชการการเมือง / สส / สว / สมาชิกสภาท้องถิ่น / ผู้บริหารท้องถิ่น
  - **(6) สมาชิก/เจ้าหน้าที่พรรคการเมือง:** **เป็น** หรือ **เคยเป็น** (ภายใน 1 ปี) — เพื่อรักษาความเป็นกลางทางการเมือง
- **กลุ่ม C — ประวัติด่างพร้อย:**
  - **(7) ถูกไล่ออก/ปลดออก/ถูกถอดถอน:** เพราะทุจริตต่อหน้าที่หรือประพฤติชั่วร้ายแรง — ใช้ได้ตลอดชีวิต (ไม่มีระยะเวลาฟื้นฟู)
  - **(8) ไม่ผ่านการประเมิน:** เคยถูกให้ออกตาม [มาตรา 62](https://link.pdpalawbase.com/section/62.md) (4) (ฐานเดียวกับเลขาธิการที่อยู่ในตำแหน่ง)
- **กลุ่ม D — ผลประโยชน์ทับซ้อน:**
  - **(9) ส่วนได้เสีย:** ในกิจการที่เกี่ยวข้องกับสำนักงาน — **ทางตรง** (เป็นเจ้าของกิจการที่อยู่ภายใต้การกำกับ) หรือ **ทางอ้อม** (มีคู่สมรส/บุตร/หุ้น)

## มาตราที่อ้างอิง

- [มาตรา 58](https://link.pdpalawbase.com/section/58.md) — คุณสมบัติเลขาธิการ — มาตรานี้คู่กัน (คุณสมบัติเชิงบวก vs ลักษณะต้องห้าม)
- [มาตรา 62](https://link.pdpalawbase.com/section/62.md) — การพ้นจากตำแหน่งของเลขาธิการ — (4) เป็นฐานของ ม.59 (8)

## หมายเหตุ

- **ความเชื่อมโยงกับ [มาตรา 58](https://link.pdpalawbase.com/section/58.md):** ผู้สมัครต้องผ่านทั้ง [มาตรา 58](https://link.pdpalawbase.com/section/58.md) (มี 3 คุณสมบัติเชิงบวก) **และไม่มี** 9 ลักษณะต้องห้ามใน [มาตรา 59](https://link.pdpalawbase.com/section/59.md) นี้
- **ความเชื่อมโยงกับ [มาตรา 62](https://link.pdpalawbase.com/section/62.md):** ลักษณะต้องห้ามใน [มาตรา 59](https://link.pdpalawbase.com/section/59.md) เป็นฐานให้พ้นจากตำแหน่งระหว่างดำรงตำแหน่งด้วย — [มาตรา 62](https://link.pdpalawbase.com/section/62.md) (3) ระบุว่าหากเลขาธิการที่ดำรงตำแหน่งอยู่ "ขาดคุณสมบัติตาม [มาตรา 58](https://link.pdpalawbase.com/section/58.md) หรือมีลักษณะต้องห้ามตาม [มาตรา 59](https://link.pdpalawbase.com/section/59.md)" ให้พ้นจากตำแหน่ง
- **(3) คำพิพากษาจำคุก — ขอบเขต:**
  - ครอบคลุม**ทุกฐานความผิดอาญา** ที่ต้องโทษจำคุก (ลักทรัพย์ ฉ้อโกง เมาแล้วขับที่ถึงโทษจำคุก ฯลฯ)
  - ข้อยกเว้น **"โดยประมาท"** เช่น ขับรถโดยประมาทเป็นเหตุให้ผู้อื่นถึงแก่ความตาย — ไม่ห้าม (เพราะไม่มีเจตนาทุจริต)
  - ข้อยกเว้น **"ลหุโทษ"** = โทษเล็กน้อย เช่น ส่งเสียงดังรบกวน ทิ้งขยะ — ไม่ห้าม
- **(4) vs (5):** (4) ห้าม**ปัจจุบัน**ของข้าราชการ — ผู้สมัครที่เคยเป็นข้าราชการประจำที่ลาออกแล้วไม่ห้าม; (5) ห้าม**ทั้งปัจจุบันและเคยเป็น 1 ปี**ของนักการเมือง — เข้มงวดกว่า เพราะการเมืองมีความเสี่ยงต่อความเป็นกลางมากกว่า
- **(6) ผู้สนับสนุนพรรค vs สมาชิกพรรค:** เน้นที่ "**กรรมการหรือผู้ดำรงตำแหน่งอื่น**" + "**เจ้าหน้าที่ของพรรคการเมือง**" — ดังนั้น สมาชิกพรรคทั่วไปที่ไม่ได้ดำรงตำแหน่งใดในพรรค **ไม่ต้องห้าม** (ตัวบทแคบกว่าที่อาจคิด)
- **(7) "ทุจริตต่อหน้าที่" vs "ประพฤติชั่วร้ายแรง":** 2 ฐานต่างกัน
  - **ทุจริตต่อหน้าที่** = ใช้อำนาจหน้าที่หาประโยชน์ส่วนตัว
  - **ประพฤติชั่วร้ายแรง** = พฤติกรรมที่กระทบต่อภาพลักษณ์ของหน่วยงาน เช่น ล่วงละเมิดทางเพศ ทำร้ายผู้อื่น
- **(9) ส่วนได้เสีย — ขอบเขตกว้าง:**
  - "**กิจการที่เกี่ยวข้องกับสำนักงาน**" หมายถึงกิจการที่อยู่ภายใต้การกำกับของ พรบ. คุ้มครองข้อมูลส่วนบุคคล (ผู้ควบคุมข้อมูล/ผู้ประมวลผลข้อมูล)
  - **ทางตรง** = เป็นกรรมการ/ผู้ถือหุ้น/ที่ปรึกษาของบริษัทที่อยู่ภายใต้การกำกับ
  - **ทางอ้อม** = ครอบครัวใกล้ชิด (บิดา-มารดา-คู่สมรส-บุตร) มีส่วนได้เสียในลักษณะข้างต้น
  - แทบทุกบริษัทขนาดใหญ่ในไทยเป็นผู้ควบคุมข้อมูลตาม พรบ. — เลขาธิการที่จะรับตำแหน่งจึงต้อง**สละผลประโยชน์** ในธุรกิจที่ตนถือหุ้นใหญ่ก่อน

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/section/59.md

============================================================
โนด: มาตรา 60
ลิงก์อ้างอิง: https://link.pdpalawbase.com/section/60.md

# มาตรา 60

## ตัวบท

> มาตรา 60 เลขาธิการมีวาระการดำรงตำแหน่งคราวละสี่ปี และอาจได้รับแต่งตั้งอีกได้ แต่จะดำรงตำแหน่งเกินสองวาระไม่ได้
>
> ก่อนครบกำหนดตามวาระการดำรงตำแหน่งของเลขาธิการเป็นเวลาไม่น้อยกว่าสามสิบวันแต่ไม่เกินหกสิบวัน หรือภายในสามสิบวันนับแต่วันที่เลขาธิการพ้นจากตำแหน่งก่อนครบวาระ ให้คณะกรรมการกำกับสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลแต่งตั้งคณะกรรมการสรรหาเพื่อสรรหาเลขาธิการคนใหม่ ทั้งนี้ ให้คณะกรรมการสรรหาเสนอรายชื่อบุคคลที่เหมาะสมไม่เกินสามคนต่อคณะกรรมการกำกับสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล

## สรุป

มาตรานี้กำหนด **วาระเลขาธิการ 4 ปี** + **ห้ามเกิน 2 วาระ** + กลไกการสรรหาคนใหม่: **คณะกรรมการกำกับสำนักงาน** ([มาตรา 48](https://link.pdpalawbase.com/section/48.md)) ต้องแต่งตั้ง**คณะกรรมการสรรหา** ก่อนครบวาระ 30-60 วัน หรือ ภายใน 30 วันหลังพ้นก่อนวาระ → คณะกรรมการสรรหาเสนอ **รายชื่อไม่เกิน 3 คน** ต่อคณะกรรมการกำกับสำนักงานเพื่อเลือก

## องค์ประกอบสำคัญ

- **วาระ 4 ปี (วรรค 1):** ดำรงตำแหน่งคราวละ 4 ปี
- **จำกัด 2 วาระ:** อาจได้รับแต่งตั้งอีกได้ — แต่ห้ามเกิน 2 วาระ (สูงสุด 8 ปี)
- **กลไกการสรรหาคนใหม่ (วรรค 2):**
  - **กรอบเวลา:**
    - ก่อนครบวาระ: 30-60 วัน → ตั้งคณะกรรมการสรรหา
    - พ้นก่อนวาระ: ภายใน 30 วัน → ตั้งคณะกรรมการสรรหา
  - **ผู้แต่งตั้งคณะกรรมการสรรหา:** คณะกรรมการกำกับสำนักงาน ([มาตรา 48](https://link.pdpalawbase.com/section/48.md)) — สอดคล้องกับ [มาตรา 54](https://link.pdpalawbase.com/section/54.md) (5)
  - **ผลลัพธ์ของคณะกรรมการสรรหา:** เสนอรายชื่อ**ไม่เกิน 3 คน** ต่อคณะกรรมการกำกับสำนักงาน

## มาตราที่อ้างอิง

- [มาตรา 48](https://link.pdpalawbase.com/section/48.md) — คณะกรรมการกำกับสำนักงาน — ผู้แต่งตั้งคณะกรรมการสรรหาเลขาธิการ
- [มาตรา 57](https://link.pdpalawbase.com/section/57.md) — เลขาธิการ — ตำแหน่งที่อยู่ภายใต้วาระตามมาตรานี้

## หมายเหตุ

- **เปรียบเทียบกระบวนการสรรหา 2 องค์กร:**
  - **กรรมการกำกับสำนักงานผู้ทรงคุณวุฒิ ([มาตรา 50](https://link.pdpalawbase.com/section/50.md)):** คณะกรรมการสรรหาเสนอรายชื่อ**เท่ากับจำนวนที่จะแต่งตั้ง** — ผู้แต่งตั้งไม่มีดุลพินิจปฏิเสธรายบุคคล
  - **เลขาธิการ (มาตรานี้):** คณะกรรมการสรรหาเสนอรายชื่อ**ไม่เกิน 3 คน** — คณะกรรมการกำกับสำนักงานเลือก**1 คนจาก 3 คน** (มีดุลพินิจ)
  - เหตุผล: เลขาธิการเป็นตำแหน่งบริหารคนเดียวที่ขึ้นตรงต่อคณะกรรมการกำกับ ([มาตรา 63](https://link.pdpalawbase.com/section/63.md) วรรคท้าย) → ผู้แต่งตั้งควรเลือกได้
- **2 วาระ = สูงสุด 8 ปี:** หลังครบ 8 ปี ผู้นั้นจะไม่สามารถดำรงตำแหน่งเลขาธิการได้อีก แต่ไม่ห้ามดำรงตำแหน่งอื่น (เช่น เป็นที่ปรึกษาคณะกรรมการกำกับสำนักงานตาม [มาตรา 55](https://link.pdpalawbase.com/section/55.md))
- **กรอบเวลา 30-60 วัน "ก่อนครบวาระ":**
  - **ขั้นต่ำ 30 วัน:** ป้องกันการรีบสรรหาในวินาทีสุดท้าย (ที่อาจไม่รอบคอบ)
  - **ขั้นสูง 60 วัน:** ป้องกันการสรรหาเร็วเกินไป (ที่อาจเกิด**ลดอำนาจ**ของเลขาธิการคนปัจจุบันก่อนหมดวาระ)
- **กรณีเลขาธิการพ้นก่อนวาระ — ใครรักษาการ?:**
  - [มาตรา 60](https://link.pdpalawbase.com/section/60.md) ไม่ได้ระบุว่าใครรักษาการระหว่างที่สรรหาเลขาธิการคนใหม่ (ตรงข้ามกับ [มาตรา 51](https://link.pdpalawbase.com/section/51.md) ที่กรรมการกำกับสำนักงานครบวาระอยู่รักษาการต่อ และ [มาตรา 52](https://link.pdpalawbase.com/section/52.md) ที่ปลัดกระทรวงดิจิทัลฯ ทำหน้าที่ประธานชั่วคราว)
  - ในทางปฏิบัติ คณะกรรมการกำกับสำนักงานน่าจะอาศัย [มาตรา 63](https://link.pdpalawbase.com/section/63.md) (4) ที่ให้เลขาธิการแต่งตั้ง**รองเลขาธิการ** — รองเลขาธิการอาจรักษาการ (โดยอนุโลม) แต่ตัวบทไม่ชัดเจน
- **"ไม่เกิน 3 คน":** ตัวบทใช้ "**ไม่เกิน**" ดังนั้น คณะกรรมการสรรหาอาจเสนอ 1, 2 หรือ 3 คน — กรณีที่มีผู้สมัครเหมาะสมเพียง 1 คน ก็เสนอ 1 คนได้ (ไม่ต้องเติมให้ครบ 3)

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/section/60.md

============================================================
โนด: มาตรา 61
ลิงก์อ้างอิง: https://link.pdpalawbase.com/section/61.md

# มาตรา 61

## ตัวบท

> มาตรา 61 ในแต่ละปีให้มีการประเมินผลการปฏิบัติงานของเลขาธิการ ทั้งนี้ ให้เป็นไปตามระยะเวลาและวิธีการที่คณะกรรมการกำกับสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลกำหนด

## สรุป

มาตรานี้กำหนดให้มี **การประเมินผลการปฏิบัติงานของเลขาธิการเป็นรายปี** — โดยระยะเวลาและวิธีการให้เป็นไปตามที่ **คณะกรรมการกำกับสำนักงาน** ([มาตรา 48](https://link.pdpalawbase.com/section/48.md)) กำหนด

## องค์ประกอบสำคัญ

- **ความถี่:** **ทุกปี** ("ในแต่ละปี")
- **ผู้ถูกประเมิน:** เลขาธิการ
- **ผู้กำหนดระยะเวลาและวิธีการ:** คณะกรรมการกำกับสำนักงาน ([มาตรา 48](https://link.pdpalawbase.com/section/48.md)) — สอดคล้องกับ [มาตรา 54](https://link.pdpalawbase.com/section/54.md) (7)
- **ผลของการประเมิน:** ตัวบทไม่ระบุไว้โดยตรง — แต่เชื่อมกับ [มาตรา 62](https://link.pdpalawbase.com/section/62.md) (4) ที่ให้คณะกรรมการกำกับสำนักงาน**ให้ออก**ได้ถ้าไม่ผ่านการประเมิน

## มาตราที่อ้างอิง

- [มาตรา 48](https://link.pdpalawbase.com/section/48.md) — คณะกรรมการกำกับสำนักงาน — ผู้กำหนดระยะเวลาและวิธีการประเมิน
- [มาตรา 54](https://link.pdpalawbase.com/section/54.md) — หน้าที่และอำนาจของคณะกรรมการกำกับสำนักงาน — (7) ประเมินผลเลขาธิการ (มาตรานี้เสริม)
- [มาตรา 62](https://link.pdpalawbase.com/section/62.md) — การพ้นจากตำแหน่งของเลขาธิการ — (4) ผลของการไม่ผ่านการประเมิน

## หมายเหตุ

- **การประเมินรายปี vs การประเมินตอนพ้นวาระ:**
  - [มาตรา 61](https://link.pdpalawbase.com/section/61.md) = ประเมิน**ทุกปี**ระหว่างดำรงตำแหน่ง
  - คณะกรรมการกำกับสำนักงานอาจใช้ผลการประเมินรายปีเป็นฐานในการพิจารณาแต่งตั้งใหม่ตอนครบวาระ ([มาตรา 60](https://link.pdpalawbase.com/section/60.md)) หรือการให้ออกก่อนวาระ ([มาตรา 62](https://link.pdpalawbase.com/section/62.md) (4))
- **กลไกการประเมินที่อาจใช้:** ตัวบทไม่กำหนดวิธีการเฉพาะ — คณะกรรมการกำกับสำนักงานอาจใช้:
  - **ตัวชี้วัดผลสัมฤทธิ์** ตามแผนการดำเนินงานที่ [มาตรา 54](https://link.pdpalawbase.com/section/54.md) (3) อนุมัติ
  - **การประเมิน 360 องศา** จากผู้ใต้บังคับบัญชา/เพื่อนร่วมงาน/ผู้ถูกกำกับ
  - **การประเมินโดยบุคคลภายนอก** (เปรียบเทียบกับ [มาตรา 70](https://link.pdpalawbase.com/section/70.md) วรรคสาม ที่ให้บุคคลภายนอกประเมินผลการดำเนินงานของสำนักงาน)
- **ความเสี่ยงของการประเมินที่ไม่ชัดเจน:**
  - ตัวบทเปิดให้คณะกรรมการกำกับสำนักงานกำหนดวิธีการเอง → เปิดช่องให้ใช้การประเมินเป็น**เครื่องมือทางการเมือง**ในการให้เลขาธิการออกก่อนวาระตาม [มาตรา 62](https://link.pdpalawbase.com/section/62.md) (4)
  - การออกระเบียบประเมินที่**โปร่งใส โพ้นกาล** + **ใช้กับเลขาธิการทุกคนเหมือนกัน** จะลดความเสี่ยงนี้
- **เลขาธิการเป็นตำแหน่งเดียวที่ต้องประเมินทุกปีตามมาตราเฉพาะ:** กรรมการกำกับสำนักงานผู้ทรงคุณวุฒิที่มีวาระ 4 ปี ([มาตรา 51](https://link.pdpalawbase.com/section/51.md)) ไม่มีกลไกประเมินรายปีในตัวบทเฉพาะ — สะท้อนว่าเลขาธิการเป็น**ตำแหน่งบริหารปฏิบัติการ**ที่ต้องการการกำกับใกล้ชิดกว่า

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/section/61.md

============================================================
โนด: มาตรา 62
ลิงก์อ้างอิง: https://link.pdpalawbase.com/section/62.md

# มาตรา 62

## ตัวบท

> มาตรา 62 นอกจากการพ้นจากตำแหน่งตามวาระตาม[มาตรา 60](https://link.pdpalawbase.com/section/60.md) เลขาธิการพ้นจากตำแหน่ง เมื่อ
>
> (1) ตาย
>
> (2) ลาออก
>
> (3) ขาดคุณสมบัติตาม[มาตรา 58](https://link.pdpalawbase.com/section/58.md) หรือมีลักษณะต้องห้ามตาม[มาตรา 59](https://link.pdpalawbase.com/section/59.md)
>
> (4) คณะกรรมการกำกับสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลให้ออก เพราะไม่ผ่านการประเมินผลการปฏิบัติงาน มีความประพฤติเสื่อมเสีย บกพร่องหรือไม่สุจริตต่อหน้าที่ หรือหย่อนความสามารถ

## สรุป

มาตรานี้กำหนด **4 เหตุที่ทำให้เลขาธิการพ้นจากตำแหน่ง** (เพิ่มเติมจากการพ้นตามวาระตาม [มาตรา 60](https://link.pdpalawbase.com/section/60.md)): (1) **ตาย**; (2) **ลาออก**; (3) **ขาดคุณสมบัติหรือมีลักษณะต้องห้าม** ตาม [มาตรา 58](https://link.pdpalawbase.com/section/58.md) / [มาตรา 59](https://link.pdpalawbase.com/section/59.md); (4) **ถูกคณะกรรมการกำกับสำนักงานให้ออก** เพราะไม่ผ่านประเมิน / ประพฤติเสื่อมเสีย / บกพร่อง-ไม่สุจริต / หย่อนความสามารถ

## องค์ประกอบสำคัญ

- **(1) ตาย:** อัตโนมัติ — ไม่ต้องมีคำสั่งใด
- **(2) ลาออก:** การลาออกของเลขาธิการ — ตัวบทไม่ระบุว่าต้องลาออกต่อใคร แต่ในทางปฏิบัติ ลาออกต่อคณะกรรมการกำกับสำนักงาน ([มาตรา 48](https://link.pdpalawbase.com/section/48.md)) ในฐานะผู้แต่งตั้ง
- **(3) ขาดคุณสมบัติ/มีลักษณะต้องห้าม:**
  - ขาดคุณสมบัติตาม [มาตรา 58](https://link.pdpalawbase.com/section/58.md) — สัญชาติไทย / อายุ 35-60 / ความรู้-ความสามารถ-ประสบการณ์
  - มีลักษณะต้องห้ามตาม [มาตรา 59](https://link.pdpalawbase.com/section/59.md) (9 ข้อ) — ล้มละลาย ไร้ความสามารถ ต้องโทษจำคุก ฯลฯ
  - **ระหว่างดำรงตำแหน่ง** ถ้าเกิดสถานการณ์ใดสถานการณ์หนึ่ง → พ้นทันที (เช่น ถูกศาลพิพากษาจำคุกถึงที่สุด → พ้นจากตำแหน่งโดยอัตโนมัติ)
- **(4) ถูกให้ออก:** ผู้สั่ง = คณะกรรมการกำกับสำนักงาน — มี 4 ฐาน:
  - **ไม่ผ่านการประเมิน** ([มาตรา 61](https://link.pdpalawbase.com/section/61.md))
  - **ประพฤติเสื่อมเสีย** — พฤติกรรมส่วนตัวที่กระทบต่อภาพลักษณ์
  - **บกพร่องหรือไม่สุจริตต่อหน้าที่** — ความบกพร่องในการทำหน้าที่ + ไม่ซื่อสัตย์
  - **หย่อนความสามารถ** — ไม่สามารถปฏิบัติหน้าที่ได้ดีพอ (อาจจากเจ็บป่วยเรื้อรัง เก่าแก่ ฯลฯ)

## มาตราที่อ้างอิง

- [มาตรา 58](https://link.pdpalawbase.com/section/58.md) — คุณสมบัติเลขาธิการ — (3) อ้างถึง
- [มาตรา 59](https://link.pdpalawbase.com/section/59.md) — ลักษณะต้องห้ามเลขาธิการ — (3) อ้างถึง
- [มาตรา 60](https://link.pdpalawbase.com/section/60.md) — วาระเลขาธิการ — มาตรานี้เริ่มด้วย "นอกจากการพ้นตามวาระตาม [มาตรา 60](https://link.pdpalawbase.com/section/60.md)"
- [มาตรา 61](https://link.pdpalawbase.com/section/61.md) — การประเมินผล — (4) ใช้เป็นฐาน

## หมายเหตุ

- **โครงสร้างของเส้นทางการพ้น 5 เส้นทาง (รวม [มาตรา 60](https://link.pdpalawbase.com/section/60.md)):**
  1. **ครบวาระ** ([มาตรา 60](https://link.pdpalawbase.com/section/60.md) วรรค 1) — เกิดขึ้นเองตามวาระ
  2. **ตาย** ([มาตรา 62](https://link.pdpalawbase.com/section/62.md) (1)) — เกิดขึ้นเองตามข้อเท็จจริง
  3. **ลาออก** ((2)) — ตามความสมัครใจของเลขาธิการ
  4. **ขาดคุณสมบัติ/มีลักษณะต้องห้าม** ((3)) — เกิดขึ้นเองเมื่อเข้าเงื่อนไข
  5. **ถูกให้ออก** ((4)) — ขึ้นกับดุลพินิจของคณะกรรมการกำกับสำนักงาน
- **(4) "ให้ออก" — กลไกป้องกันการใช้อำนาจในทางที่ผิด:**
  - ตัวบทไม่ระบุ**ขั้นตอน**ของการให้ออก — แต่เป็น**คำสั่งทางปกครอง** จึงต้อง:
    - ให้โอกาสเลขาธิการชี้แจงตามหลักความเป็นธรรมในกระบวนการพิจารณา
    - มีเหตุผลรองรับ
    - บันทึกในมติที่ประชุมคณะกรรมการกำกับสำนักงาน
  - เลขาธิการอาจอุทธรณ์คำสั่งของคณะกรรมการกำกับสำนักงานต่อ**ศาลปกครอง**ได้
- **(4) ผลถาวร:** [มาตรา 59](https://link.pdpalawbase.com/section/59.md) (8) ระบุว่าผู้ที่เคยถูกให้ออกตาม [มาตรา 62](https://link.pdpalawbase.com/section/62.md) (4) (เพราะไม่ผ่านการประเมิน) ถูกห้ามเป็นเลขาธิการในอนาคต — เป็นโทษเพิ่มเติมที่ติดตัว
- **(3) "ขาดคุณสมบัติ" vs "ลักษณะต้องห้าม":**
  - **ขาดคุณสมบัติ** = สิ่งที่**ต้องมี**กลับไม่มี (เช่น สัญชาติไทย — กรณีที่สละสัญชาติไทยระหว่างดำรงตำแหน่ง)
  - **ลักษณะต้องห้าม** = สิ่งที่**ต้องไม่มี**กลับมี (เช่น ถูกศาลสั่งให้เป็นคนไร้ความสามารถ ระหว่างดำรงตำแหน่ง)
- **อายุ 60 ปี — ไม่ทำให้พ้นตำแหน่ง:**
  - [มาตรา 58](https://link.pdpalawbase.com/section/58.md) (2) กำหนดอายุ "**ไม่เกิน 60 ปี**" สำหรับ**ผู้ที่จะได้รับการแต่งตั้ง** — ไม่ใช่ผู้ที่ดำรงตำแหน่งอยู่
  - ดังนั้น เลขาธิการที่อายุ 56-60 ปี ณ วันแต่งตั้ง อาจดำรงตำแหน่งจนถึงอายุ 64 ปี (ครบวาระ 4 ปี) → ไม่เป็นการขาดคุณสมบัติ

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/section/62.md

============================================================
โนด: มาตรา 63
ลิงก์อ้างอิง: https://link.pdpalawbase.com/section/63.md

# มาตรา 63

## ตัวบท

> มาตรา 63 ให้เลขาธิการมีหน้าที่และอำนาจ ดังต่อไปนี้
>
> (1) บริหารงานของสำนักงานให้เกิดผลสัมฤทธิ์ตามภารกิจของสำนักงาน และตามนโยบายและแผนระดับชาติ แผนยุทธศาสตร์ นโยบายของคณะรัฐมนตรี คณะกรรมการ และคณะกรรมการกำกับสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล และระเบียบ ข้อบังคับหรือมติของคณะกรรมการกำกับสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล
>
> (2) วางระเบียบเกี่ยวกับการดำเนินงานของสำนักงานโดยไม่ขัดหรือแย้งกับกฎหมาย มติของคณะรัฐมนตรี และระเบียบ ข้อบังคับ ข้อกำหนด นโยบาย มติ หรือประกาศที่คณะกรรมการกำกับสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลกำหนด
>
> (3) เป็นผู้บังคับบัญชาพนักงานและลูกจ้างของสำนักงาน และประเมินผลการปฏิบัติงานของพนักงานและลูกจ้างของสำนักงานตามระเบียบหรือข้อบังคับของสำนักงาน
>
> (4) แต่งตั้งรองเลขาธิการและผู้ช่วยเลขาธิการโดยความเห็นชอบของคณะกรรมการกำกับสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลเพื่อเป็นผู้ช่วยปฏิบัติงานของเลขาธิการตามที่เลขาธิการมอบหมาย
>
> (5) บรรจุ แต่งตั้ง เลื่อน ลด ตัดเงินเดือนหรือค่าจ้าง ลงโทษทางวินัยพนักงาน และลูกจ้างของสำนักงาน ตลอดจนให้พนักงานและลูกจ้างของสำนักงานออกจากตำแหน่ง ทั้งนี้ ตามระเบียบหรือข้อบังคับที่คณะกรรมการกำกับสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลกำหนด
>
> (6) ปฏิบัติการอื่นใดตามระเบียบ ข้อบังคับ ข้อกำหนด นโยบาย มติ หรือประกาศของคณะกรรมการกำกับสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล
>
> ให้เลขาธิการรับผิดชอบในการบริหารงานของสำนักงานขึ้นตรงต่อคณะกรรมการกำกับสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล

## สรุป

มาตรานี้กำหนด **6 หน้าที่และอำนาจของเลขาธิการ** + ระบุว่าเลขาธิการ**รับผิดชอบขึ้นตรงต่อคณะกรรมการกำกับสำนักงาน** ([มาตรา 48](https://link.pdpalawbase.com/section/48.md)) — ครอบคลุมงานบริหาร, การวางระเบียบภายใน, การบังคับบัญชาผู้ใต้บังคับ, การแต่งตั้งรองเลขาธิการ, การบรรจุ-เลื่อน-ลงโทษพนักงาน, และงานอื่นตามที่คณะกรรมการกำกับสำนักงานมอบหมาย

## องค์ประกอบสำคัญ

- **(1) บริหารงานให้เกิดผลสัมฤทธิ์:**
  - ตาม**ภารกิจของสำนักงาน** ([มาตรา 44](https://link.pdpalawbase.com/section/44.md))
  - ตาม**นโยบายและแผนระดับชาติ + แผนยุทธศาสตร์**
  - ตาม**นโยบายของคณะรัฐมนตรี + คณะกรรมการคุ้มครองข้อมูลส่วนบุคคล** ([มาตรา 8](https://link.pdpalawbase.com/section/8.md)) **+ คณะกรรมการกำกับสำนักงาน** ([มาตรา 48](https://link.pdpalawbase.com/section/48.md))
- **(2) วางระเบียบการดำเนินงานภายใน:**
  - **ขอบเขต:** ไม่ขัดหรือแย้งกับกฎหมาย / มติ ครม. / ระเบียบและข้อบังคับของคณะกรรมการกำกับสำนักงาน
  - หมายเหตุ: ระเบียบของเลขาธิการ ≠ ข้อบังคับของคณะกรรมการกำกับสำนักงาน — ระเบียบของเลขาธิการเป็น**ระเบียบภายใน** (เช่น คู่มือปฏิบัติงาน) ที่อยู่ใต้กรอบของข้อบังคับ
- **(3) ผู้บังคับบัญชาและประเมินพนักงาน-ลูกจ้าง:**
  - เลขาธิการเป็น**ผู้บังคับบัญชา**ของพนักงานและลูกจ้างทั้งหมดของสำนักงาน
  - มีอำนาจ**ประเมินผลการปฏิบัติงาน**ของผู้ใต้บังคับบัญชา (สอดคล้องกับ (5) ที่ให้อำนาจลงโทษ)
- **(4) แต่งตั้งรองเลขาธิการและผู้ช่วยเลขาธิการ:**
  - **ผู้แต่งตั้ง:** เลขาธิการ
  - **ต้องได้รับความเห็นชอบ**จากคณะกรรมการกำกับสำนักงาน — กลไกถ่วงดุล (เลขาธิการเลือก แต่คณะกรรมการกำกับฯ ตรวจสอบ)
  - บทบาท: ช่วยปฏิบัติงานตามที่เลขาธิการมอบหมาย
- **(5) บริหารงานบุคคล (ครอบจักรวาล):**
  - **บรรจุ-แต่งตั้ง-เลื่อน-ลด-ตัดเงินเดือน/ค่าจ้าง-ลงโทษทางวินัย-ให้ออกจากตำแหน่ง**
  - ตามระเบียบ/ข้อบังคับที่คณะกรรมการกำกับสำนักงานกำหนด ([มาตรา 54](https://link.pdpalawbase.com/section/54.md) (2))
- **(6) ปฏิบัติการอื่น:** ตามระเบียบ ข้อบังคับ ข้อกำหนด นโยบาย มติ หรือประกาศของคณะกรรมการกำกับสำนักงาน
- **เส้นรับผิดชอบ (วรรคท้าย):** เลขาธิการรับผิดชอบ**ขึ้นตรงต่อคณะกรรมการกำกับสำนักงาน** — ไม่ขึ้นตรงต่อคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล ([มาตรา 8](https://link.pdpalawbase.com/section/8.md)) แม้ว่าเลขาธิการจะเป็นเลขานุการของคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลตาม [มาตรา 12](https://link.pdpalawbase.com/section/12.md)

## มาตราที่อ้างอิง

- [มาตรา 43](https://link.pdpalawbase.com/section/43.md) — สำนักงาน — องค์กรที่เลขาธิการบริหาร
- [มาตรา 48](https://link.pdpalawbase.com/section/48.md) — คณะกรรมการกำกับสำนักงาน — ผู้บังคับบัญชาของเลขาธิการ
- [มาตรา 54](https://link.pdpalawbase.com/section/54.md) — หน้าที่และอำนาจของคณะกรรมการกำกับสำนักงาน — กำหนดข้อบังคับที่กรอบหน้าที่ของเลขาธิการ

## หมายเหตุ

- **เปรียบเทียบบทบาท: เลขาธิการ vs คณะกรรมการกำกับสำนักงาน:**
  - **คณะกรรมการกำกับสำนักงาน** ([มาตรา 54](https://link.pdpalawbase.com/section/54.md)): **กำหนด**นโยบาย/อนุมัติงบประมาณ/ออกข้อบังคับ — ระดับ**ยุทธศาสตร์**
  - **เลขาธิการ** (มาตรานี้): **บริหาร**ตามนโยบาย/วางระเบียบภายใน/บังคับบัญชาพนักงาน — ระดับ**ปฏิบัติการ**
- **(2) "ระเบียบของเลขาธิการ" — ขอบเขตที่จำกัด:**
  - ไม่ใช่ระเบียบที่บังคับใช้กับเอกชนภายนอก (อันนั้นเป็นอำนาจของคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล)
  - ไม่ใช่ข้อบังคับสำคัญ (อันนั้นเป็นอำนาจของคณะกรรมการกำกับสำนักงานตาม [มาตรา 54](https://link.pdpalawbase.com/section/54.md) (2))
  - เป็นเพียง**ระเบียบภายในเชิงปฏิบัติ** (เช่น ขั้นตอนการเบิกจ่าย คู่มือการประชุม รหัสจริยธรรมพนักงาน)
- **(4) เปรียบเทียบกับการแต่งตั้งคณะอนุกรรมการ:**
  - **รองเลขาธิการ/ผู้ช่วยเลขาธิการ** (มาตรานี้): เลขาธิการแต่งตั้ง + คณะกรรมการกำกับสำนักงานเห็นชอบ
  - **คณะอนุกรรมการ** ([มาตรา 55](https://link.pdpalawbase.com/section/55.md)): คณะกรรมการกำกับสำนักงานแต่งตั้งโดยตรง
  - ความแตกต่าง: รองเลขาธิการเป็น**ผู้ช่วยของเลขาธิการ**ในการบริหารปฏิบัติการ; คณะอนุกรรมการเป็น**ผู้ช่วยของคณะกรรมการกำกับ**ในการกำกับเชิงนโยบาย
- **(5) อำนาจลงโทษทางวินัย:**
  - คำสั่งของเลขาธิการเป็น**คำสั่งทางปกครอง** — พนักงานที่ถูกลงโทษอาจอุทธรณ์ต่อคณะกรรมการกำกับสำนักงาน ตาม [มาตรา 54](https://link.pdpalawbase.com/section/54.md) (6)
- **วรรคท้าย "ขึ้นตรงต่อคณะกรรมการกำกับสำนักงาน":**
  - เลขาธิการต้อง**รายงาน**ต่อคณะกรรมการกำกับสำนักงาน (ไม่ใช่ต่อรัฐมนตรีหรือคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล)
  - หลักการ — สำนักงานเป็นนิติบุคคลแยกต่างหากจากกระทรวง ([มาตรา 43](https://link.pdpalawbase.com/section/43.md) วรรคสาม) — เลขาธิการจึงไม่ขึ้นตรงต่อกระทรวงดิจิทัลเพื่อเศรษฐกิจและสังคม

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/section/63.md

============================================================
โนด: มาตรา 64
ลิงก์อ้างอิง: https://link.pdpalawbase.com/section/64.md

# มาตรา 64

## ตัวบท

> มาตรา 64 ในกิจการของสำนักงานที่เกี่ยวกับบุคคลภายนอก ให้เลขาธิการเป็นผู้แทนของสำนักงาน เพื่อการนี้ เลขาธิการจะมอบอำนาจให้บุคคลใดปฏิบัติงานเฉพาะอย่างแทนก็ได้ แต่ต้องเป็นไปตามข้อบังคับที่คณะกรรมการกำกับสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลกำหนด

## สรุป

มาตรานี้กำหนดให้ **เลขาธิการเป็นผู้แทนของสำนักงาน** ([มาตรา 43](https://link.pdpalawbase.com/section/43.md)) ในกิจการที่เกี่ยวกับบุคคลภายนอก — เลขาธิการอาจ**มอบอำนาจ**ให้บุคคลอื่นปฏิบัติงานเฉพาะอย่างแทนได้ แต่ต้องเป็นไปตาม**ข้อบังคับ**ที่คณะกรรมการกำกับสำนักงาน ([มาตรา 48](https://link.pdpalawbase.com/section/48.md)) กำหนด

## องค์ประกอบสำคัญ

- **เลขาธิการ = ผู้แทนของสำนักงาน:**
  - "**กิจการที่เกี่ยวกับบุคคลภายนอก**" — การลงนามสัญญา / การทำนิติกรรม / การฟ้องคดี / ตอบโต้ในคดี
  - สำนักงานเป็นนิติบุคคล ([มาตรา 43](https://link.pdpalawbase.com/section/43.md) วรรคสาม) → ต้องมีผู้แทนทำการแทน — เลขาธิการเป็นผู้แทนนั้น
- **อำนาจมอบหมาย:**
  - เลขาธิการ**อาจมอบอำนาจ**ให้บุคคลอื่นปฏิบัติงาน**เฉพาะอย่าง**แทนได้
  - การมอบอำนาจต้อง**เป็นไปตามข้อบังคับ**ของคณะกรรมการกำกับสำนักงาน
  - "**เฉพาะอย่าง**" → ไม่ใช่การมอบอำนาจทั่วไป — ต้องระบุเรื่องเฉพาะ

## มาตราที่อ้างอิง

- [มาตรา 43](https://link.pdpalawbase.com/section/43.md) — สำนักงาน — นิติบุคคลที่เลขาธิการเป็นผู้แทน
- [มาตรา 48](https://link.pdpalawbase.com/section/48.md) — คณะกรรมการกำกับสำนักงาน — ผู้กำหนดข้อบังคับการมอบอำนาจ
- [มาตรา 54](https://link.pdpalawbase.com/section/54.md) — หน้าที่และอำนาจของคณะกรรมการกำกับสำนักงาน — วรรคท้ายระบุว่าข้อบังคับที่จำกัดอำนาจเลขาธิการในการทำนิติกรรมกับบุคคลภายนอกต้องประกาศในราชกิจจานุเบกษา

## หมายเหตุ

- **เลขาธิการเป็นผู้แทนตามกฎหมาย — ไม่ต้องมีหนังสือมอบอำนาจ:**
  - เนื่องจากตัวบทกำหนดให้เลขาธิการเป็นผู้แทนของสำนักงานโดยตรง — ในการทำนิติกรรมกับบุคคลภายนอก เลขาธิการลงนามแทนสำนักงานได้โดยไม่ต้องมีหนังสือมอบอำนาจจากใคร
  - คล้ายกับกรรมการผู้จัดการในบริษัทจำกัด (ตามข้อบังคับบริษัท)
- **ข้อจำกัดของอำนาจเลขาธิการ — ตามข้อบังคับ:**
  - คณะกรรมการกำกับสำนักงานอาจ**จำกัดอำนาจ**เลขาธิการในการทำนิติกรรมประเภทใดประเภทหนึ่ง (เช่น ห้ามทำสัญญาเกินวงเงินที่กำหนดโดยไม่ผ่านอนุมัติคณะกรรมการกำกับ)
  - ตาม [มาตรา 54](https://link.pdpalawbase.com/section/54.md) วรรคท้าย — ข้อจำกัดเหล่านี้ต้อง**ประกาศในราชกิจจานุเบกษา** เพื่อให้บุคคลภายนอกตรวจสอบได้
- **การมอบอำนาจ — ใครเป็นผู้รับมอบ?:**
  - ตัวบทใช้ "**บุคคลใด**" — ไม่ได้จำกัดไว้ที่พนักงานของสำนักงาน — ในทางปฏิบัติทั่วไปมอบให้รองเลขาธิการ ([มาตรา 63](https://link.pdpalawbase.com/section/63.md) (4)) หรือผู้อำนวยการกอง
  - การมอบให้บุคคลภายนอกอาจทำได้ในกรณีพิเศษ (เช่น มอบให้ทนายความว่าจ้างเฉพาะคดี) — แต่ต้องอยู่ในกรอบของข้อบังคับ
- **"เฉพาะอย่าง" vs "ทั่วไป":**
  - การมอบอำนาจต้อง**เฉพาะอย่าง** — เช่น "มอบอำนาจให้นาย ก. ลงนามในสัญญาเช่าอาคาร" (เฉพาะอย่าง)
  - **ห้ามมอบอำนาจทั่วไป** — เช่น "มอบให้นาย ก. ทำนิติกรรมแทนเลขาธิการในทุกเรื่อง" (ทั่วไป — ห้ามตามตัวบทนี้)
- **ผลของการเกินอำนาจ:**
  - ถ้าเลขาธิการทำนิติกรรมเกินขอบเขตของข้อบังคับ → อาจต้องรับผิดชอบเป็นการส่วนตัว
  - แต่ถ้าบุคคลภายนอกทำธุรกรรมโดยสุจริต (ไม่ทราบข้อจำกัด ที่ไม่ประกาศในราชกิจจานุเบกษา) — สำนักงานอาจต้องผูกพันตามนิติกรรม (กลไกคุ้มครองบุคคลภายนอก)

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/section/64.md

============================================================
โนด: มาตรา 65
ลิงก์อ้างอิง: https://link.pdpalawbase.com/section/65.md

# มาตรา 65

## ตัวบท

> มาตรา 65 ให้คณะกรรมการกำกับสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลเป็นผู้กำหนดอัตราเงินเดือนและประโยชน์ตอบแทนอื่นของเลขาธิการตามหลักเกณฑ์ที่คณะรัฐมนตรีกำหนด

## สรุป

มาตรานี้กำหนดให้ **คณะกรรมการกำกับสำนักงาน** ([มาตรา 48](https://link.pdpalawbase.com/section/48.md)) เป็นผู้กำหนด **อัตราเงินเดือนและประโยชน์ตอบแทนอื่นของเลขาธิการ** ([มาตรา 57](https://link.pdpalawbase.com/section/57.md)) ตามหลักเกณฑ์ที่ **คณะรัฐมนตรี** กำหนด

## องค์ประกอบสำคัญ

- **ผู้กำหนด:** คณะกรรมการกำกับสำนักงาน ([มาตรา 48](https://link.pdpalawbase.com/section/48.md))
- **สิ่งที่กำหนด:** อัตราเงินเดือน + ประโยชน์ตอบแทนอื่น (สวัสดิการ ค่ารักษาพยาบาล รถประจำตำแหน่ง ฯลฯ)
- **กรอบที่ต้องปฏิบัติตาม:** หลักเกณฑ์ที่**คณะรัฐมนตรี**กำหนด
- **บุคคลที่ได้รับ:** เลขาธิการ ([มาตรา 57](https://link.pdpalawbase.com/section/57.md)) เพียงคนเดียว — ไม่รวมรองเลขาธิการ/ผู้ช่วยเลขาธิการ ([มาตรา 63](https://link.pdpalawbase.com/section/63.md) (4)) ที่อยู่ใต้ระเบียบบุคลากรของสำนักงาน

## มาตราที่อ้างอิง

- [มาตรา 48](https://link.pdpalawbase.com/section/48.md) — คณะกรรมการกำกับสำนักงาน — ผู้กำหนดอัตราเงินเดือน
- [มาตรา 56](https://link.pdpalawbase.com/section/56.md) — เบี้ยประชุมและค่าตอบแทน — มาตราคู่กัน (ค่าตอบแทนของกรรมการกำกับ/ที่ปรึกษา/อนุกรรมการ)
- [มาตรา 57](https://link.pdpalawbase.com/section/57.md) — เลขาธิการ — ผู้รับเงินเดือนตามมาตรานี้

## หมายเหตุ

- **เปรียบเทียบกับ [มาตรา 56](https://link.pdpalawbase.com/section/56.md):**
  - **[มาตรา 56](https://link.pdpalawbase.com/section/56.md):** ค่าตอบแทนของ**กรรมการกำกับ + ที่ปรึกษา + อนุกรรมการ** กำหนดโดย**คณะกรรมการคุ้มครองข้อมูลส่วนบุคคล** ([มาตรา 8](https://link.pdpalawbase.com/section/8.md)) ตามความเห็นชอบของกระทรวงการคลัง
  - **[มาตรา 65](https://link.pdpalawbase.com/section/65.md) (มาตรานี้):** เงินเดือนของ**เลขาธิการ** กำหนดโดย**คณะกรรมการกำกับสำนักงาน** ([มาตรา 48](https://link.pdpalawbase.com/section/48.md)) ตามหลักเกณฑ์ของ**คณะรัฐมนตรี**
  - ความแตกต่าง: ผู้กำหนดและผู้ตรวจสอบเป็นคนละองค์กรกัน — สะท้อนว่าเลขาธิการเป็นพนักงานเต็มเวลา (ต่างจากกรรมการที่ทำงานเป็นครั้งคราว)
- **กลไกถ่วงดุล:**
  - คณะกรรมการกำกับสำนักงานเป็นผู้บังคับบัญชาของเลขาธิการ → ไม่ควรกำหนดเงินเดือนเลขาธิการเอง**โดยอิสระ** (ป้องกันการขึ้นเงินเดือนผูกพันเลขาธิการให้พึ่งพิง)
  - หลักเกณฑ์ของ**คณะรัฐมนตรี** = เพดานทั่วไปสำหรับองค์กรของรัฐที่มีฐานะคล้ายคลึงกัน → คณะกรรมการกำกับสำนักงานมีดุลพินิจกำหนดภายในกรอบนั้น
- **"ประโยชน์ตอบแทนอื่น" — ครอบจักรวาล:**
  - สวัสดิการรักษาพยาบาล
  - บำเหน็จบำนาญ (ถ้ามี)
  - รถประจำตำแหน่ง / ค่าน้ำมัน
  - ค่าเดินทางต่างประเทศ
  - ที่พัก (ถ้ามี)
- **เลขาธิการเป็นพนักงานของสำนักงาน — ไม่ใช่ข้าราชการ:**
  - ตาม [มาตรา 43](https://link.pdpalawbase.com/section/43.md) วรรคสาม — สำนักงานเป็นหน่วยงานของรัฐที่ไม่เป็นส่วนราชการ
  - เลขาธิการจึงไม่ใช่ข้าราชการ — ใช้ระบบเงินเดือนของสำนักงาน (ไม่ใช่ระบบข้าราชการพลเรือน)
  - แต่ระบบบำเหน็จบำนาญอาจมีข้อตกลงพิเศษถ้าเดิมเป็นข้าราชการ ([มาตรา 66](https://link.pdpalawbase.com/section/66.md))

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/section/65.md

============================================================
โนด: มาตรา 66
ลิงก์อ้างอิง: https://link.pdpalawbase.com/section/66.md

# มาตรา 66

## ตัวบท

> มาตรา 66 เพื่อประโยชน์ในการบริหารงานของสำนักงาน เลขาธิการอาจขอให้ข้าราชการ พนักงาน เจ้าหน้าที่ หรือลูกจ้างของส่วนราชการ หน่วยงานของรัฐ รัฐวิสาหกิจ ราชการส่วนท้องถิ่น องค์การมหาชน หรือหน่วยงานอื่นของรัฐ มาปฏิบัติงานเป็นพนักงานหรือลูกจ้างเป็นการชั่วคราวได้ ทั้งนี้ เมื่อได้รับอนุมัติจากผู้บังคับบัญชาหรือนายจ้างของผู้นั้น และมีข้อตกลงที่ทำไว้ในการอนุมัติ และในกรณีที่เจ้าหน้าที่ของรัฐได้รับอนุมัติให้มาปฏิบัติงานเป็นพนักงานหรือลูกจ้างเป็นการชั่วคราว ให้ถือว่าเป็นการได้รับอนุญาตให้ออกจากราชการหรือออกจากงานไปปฏิบัติงานใด ๆ
>
> เมื่อสิ้นสุดระยะเวลาที่ได้รับอนุมัติให้มาปฏิบัติงานในสำนักงาน ให้เจ้าหน้าที่ของรัฐตามวรรคหนึ่งมีสิทธิได้รับการบรรจุและแต่งตั้งให้ดำรงตำแหน่งและรับเงินเดือนในส่วนราชการหรือหน่วยงานเดิมไม่ต่ำกว่าตำแหน่งและเงินเดือนเดิมตามข้อตกลงที่ทำไว้ในการอนุมัติ
>
> ในกรณีที่เจ้าหน้าที่ของรัฐผู้นั้นกลับมาบรรจุและได้รับแต่งตั้งในส่วนราชการหรือหน่วยงานเดิมตามวรรคสองแล้ว ให้นับระยะเวลาของเจ้าหน้าที่ของรัฐผู้นั้นระหว่างที่มาปฏิบัติงานในสำนักงานสำหรับการคำนวณบำเหน็จบำนาญหรือประโยชน์ตอบแทนอื่นทำนองเดียวกันเสมือนอยู่ปฏิบัติราชการหรือปฏิบัติงานเต็มเวลาดังกล่าว แล้วแต่กรณี

## สรุป

มาตรานี้สร้าง **กลไกการยืมตัวข้าราชการ/เจ้าหน้าที่ของรัฐ** มาปฏิบัติงานชั่วคราวที่สำนักงาน ([มาตรา 43](https://link.pdpalawbase.com/section/43.md)) — เลขาธิการ ([มาตรา 57](https://link.pdpalawbase.com/section/57.md)) เป็นผู้ขอ → ผู้บังคับบัญชาเดิมอนุมัติ → ทำข้อตกลง → เจ้าหน้าที่ของรัฐมาทำงานที่สำนักงาน — เมื่อสิ้นสุด **มีสิทธิกลับสู่ตำแหน่งและเงินเดือนไม่ต่ำกว่าเดิม** + **นับเวลาที่ทำงานในสำนักงานเป็นบำเหน็จบำนาญ**ของหน่วยงานเดิม

## องค์ประกอบสำคัญ

- **วรรค 1 — ขอข้าราชการ/เจ้าหน้าที่ของรัฐมาทำงานชั่วคราว:**
  - **ผู้ขอ:** เลขาธิการ
  - **ขอบเขตของผู้ที่ขอได้:** ข้าราชการ/พนักงาน/เจ้าหน้าที่/ลูกจ้างของ
    - ส่วนราชการ
    - หน่วยงานของรัฐ
    - รัฐวิสาหกิจ
    - ราชการส่วนท้องถิ่น
    - องค์การมหาชน
    - หน่วยงานอื่นของรัฐ
  - **เงื่อนไข:** ต้องได้รับอนุมัติจาก**ผู้บังคับบัญชา/นายจ้าง**ของผู้นั้น + มี**ข้อตกลง**ทำไว้
  - **สถานะระหว่างทำงานที่สำนักงาน:** "**เป็นพนักงานหรือลูกจ้างชั่วคราว**" + "**ถือว่าได้รับอนุญาตให้ออกจากราชการ**" — รักษาความต่อเนื่องของสถานะ
- **วรรค 2 — สิทธิกลับสู่ตำแหน่งเดิม:**
  - เมื่อสิ้นสุดระยะเวลา → มีสิทธิ**บรรจุ + แต่งตั้ง**กลับสู่ตำแหน่งเดิม
  - เงินเดือน**ไม่ต่ำกว่าเดิม**
  - ตามข้อตกลงที่ทำไว้
- **วรรค 3 — นับเวลาเป็นอายุราชการ:**
  - เวลาที่ทำงานที่สำนักงานนับเป็น**ระยะเวลาราชการ**สำหรับการคำนวณ:
    - บำเหน็จบำนาญ
    - ประโยชน์ตอบแทนทำนองเดียวกัน
  - **เสมือนอยู่ปฏิบัติราชการเต็มเวลา**

## มาตราที่อ้างอิง

- [มาตรา 43](https://link.pdpalawbase.com/section/43.md) — สำนักงาน — ผู้ที่ขอข้าราชการมาทำงาน
- [มาตรา 63](https://link.pdpalawbase.com/section/63.md) — หน้าที่และอำนาจของเลขาธิการ — มาตรานี้เสริมอำนาจในการสรรหาบุคลากรของเลขาธิการ

## หมายเหตุ

- **[มาตรา 66](https://link.pdpalawbase.com/section/66.md) vs [มาตรา 59](https://link.pdpalawbase.com/section/59.md) (4):**
  - [มาตรา 59](https://link.pdpalawbase.com/section/59.md) (4) **ห้าม**ข้าราชการประจำเป็น**เลขาธิการ** (ลักษณะต้องห้าม)
  - [มาตรา 66](https://link.pdpalawbase.com/section/66.md) **อนุญาต**ข้าราชการประจำเป็น**พนักงานชั่วคราว**ของสำนักงาน (กลไกการยืมตัว)
  - ความแตกต่าง: เลขาธิการเป็น**ตำแหน่งบริหารถาวร** ที่ต้องตัดสายราชการเดิม; พนักงานชั่วคราวเป็น**การยืมตัวที่กลับได้**
- **เหตุผลของกลไกนี้:**
  - สำนักงานเป็นองค์กรใหม่ ([มาตรา 43](https://link.pdpalawbase.com/section/43.md) เริ่มมีผลบังคับใช้ พ.ศ. 2562) → ขาดบุคลากรที่มีประสบการณ์
  - การยืมตัวข้าราชการ/เจ้าหน้าที่ของหน่วยงานอื่น (เช่น สำนักงาน กสทช., สำนักงาน คปภ., ก.พ.ร., ฯลฯ) ช่วย**เร่งความพร้อม** ในการดำเนินงาน
- **สิทธิกลับสู่ตำแหน่งเดิม — เป็นแรงจูงใจ:**
  - ข้าราชการที่มาทำงานที่สำนักงานไม่เสียสิทธิราชการ → กลับได้
  - เงินเดือน**ไม่ต่ำกว่าเดิม** → ไม่เสียโอกาสทางการเงิน
  - **นับเวลาเป็นอายุราชการ** → ไม่เสียประโยชน์บำเหน็จบำนาญ
- **"ข้อตกลงที่ทำไว้ในการอนุมัติ" — สาระสำคัญ:**
  - ระยะเวลาการยืมตัว (เช่น 2 ปี)
  - ตำแหน่งและเงินเดือนที่จะได้รับเมื่อกลับ (โดยทั่วไป = เดิม + การปรับเลื่อนตามวาระ)
  - การประเมินผลปฏิบัติงานในสำนักงาน — ใช้กับการพิจารณาเลื่อนขั้นเดิมหรือไม่
- **ความแตกต่างกับ [มาตรา 67](https://link.pdpalawbase.com/section/67.md):**
  - [มาตรา 66](https://link.pdpalawbase.com/section/66.md): ข้าราชการ → ทำงานที่สำนักงานชั่วคราว → กลับ
  - [มาตรา 67](https://link.pdpalawbase.com/section/67.md): ข้าราชการ**ที่อยู่ระหว่างชดใช้ทุน**ย้ายมาสำนักงานถาวร — ให้นับเวลาที่สำนักงานเป็นการชดใช้ทุน

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/section/66.md

============================================================
โนด: มาตรา 67
ลิงก์อ้างอิง: https://link.pdpalawbase.com/section/67.md

# มาตรา 67

## ตัวบท

> มาตรา 67 ข้าราชการหรือเจ้าหน้าที่ของรัฐซึ่งอยู่ระหว่างการปฏิบัติงานชดใช้ทุนการศึกษาที่ได้รับจากส่วนราชการหรือหน่วยงานของรัฐ ที่ได้ย้ายมาปฏิบัติหน้าที่ที่สำนักงานโดยได้รับความเห็นชอบจากผู้บังคับบัญชาต้นสังกัด ให้ถือเป็นการชดใช้ทุนตามสัญญา และให้นับระยะเวลาการปฏิบัติงานในสำนักงานเป็นระยะเวลาในการชดใช้ทุน
>
> ในกรณีที่หน่วยงานของรัฐแห่งใดประสงค์จะขอให้พนักงานของสำนักงานซึ่งอยู่ระหว่างการปฏิบัติงานชดใช้ทุนการศึกษาที่ได้รับจากสำนักงานไปเป็นข้าราชการหรือเจ้าหน้าที่ของรัฐในหน่วยงานของรัฐแห่งนั้น ต้องได้รับความเห็นชอบจากเลขาธิการก่อน และให้ถือว่าการไปปฏิบัติงานในหน่วยงานของรัฐแห่งนั้นเป็นการชดใช้ทุนตามสัญญา และให้นับระยะเวลาการปฏิบัติงานในหน่วยงานของรัฐแห่งนั้นเป็นระยะเวลาในการชดใช้ทุน

## สรุป

มาตรานี้กำหนด **กลไกการโอนย้ายระหว่างสำนักงาน ([มาตรา 43](https://link.pdpalawbase.com/section/43.md)) กับหน่วยงานของรัฐอื่น** สำหรับเจ้าหน้าที่ที่อยู่ระหว่าง**ชดใช้ทุนการศึกษา**: (วรรค 1) ข้าราชการ/เจ้าหน้าที่ของรัฐที่ย้ายมาทำงานที่สำนักงาน (โดยได้รับความเห็นชอบจากผู้บังคับบัญชาเดิม) → ถือเป็นการชดใช้ทุนตามสัญญา; (วรรค 2) พนักงานของสำนักงานที่อยู่ระหว่างชดใช้ทุนของสำนักงาน ย้ายไปหน่วยงานรัฐอื่น (โดยเลขาธิการเห็นชอบ) → ถือเป็นการชดใช้ทุนเช่นกัน

## องค์ประกอบสำคัญ

- **วรรค 1 — เข้าสู่สำนักงาน:**
  - **บุคคลที่ครอบคลุม:** ข้าราชการหรือเจ้าหน้าที่ของรัฐที่อยู่ระหว่าง**ชดใช้ทุนการศึกษา**ของส่วนราชการ/หน่วยงานของรัฐเดิม
  - **เงื่อนไข:** ได้รับความเห็นชอบจาก**ผู้บังคับบัญชาต้นสังกัด**
  - **ผลทางกฎหมาย:**
    - การทำงานที่สำนักงาน = "**เป็นการชดใช้ทุนตามสัญญา**"
    - ระยะเวลาทำงานที่สำนักงาน = **นับเป็นระยะเวลาชดใช้ทุน**
- **วรรค 2 — ออกจากสำนักงานไปหน่วยงานรัฐอื่น:**
  - **บุคคลที่ครอบคลุม:** พนักงานของสำนักงานที่อยู่ระหว่าง**ชดใช้ทุน**ของสำนักงาน
  - **เงื่อนไข:** หน่วยงานรัฐอื่นต้องการตัว → ต้องได้รับ**ความเห็นชอบจากเลขาธิการ**
  - **ผลทางกฎหมาย:**
    - การทำงานที่หน่วยงานรัฐอื่น = เป็นการชดใช้ทุนตามสัญญา (ของสำนักงาน)
    - ระยะเวลาทำงานที่หน่วยงานรัฐอื่น = นับเป็นระยะเวลาชดใช้ทุน

## มาตราที่อ้างอิง

- [มาตรา 43](https://link.pdpalawbase.com/section/43.md) — สำนักงาน — องค์กรที่เกี่ยวข้องกับการโอนย้าย
- [มาตรา 66](https://link.pdpalawbase.com/section/66.md) — การยืมตัวข้าราชการ — มาตราคู่ขนาน ([มาตรา 66](https://link.pdpalawbase.com/section/66.md) = ยืมตัวชั่วคราว, [มาตรา 67](https://link.pdpalawbase.com/section/67.md) = ย้ายถาวรพร้อมโอนสัญญาทุน)

## หมายเหตุ

- **เปรียบเทียบ [มาตรา 66](https://link.pdpalawbase.com/section/66.md) vs [มาตรา 67](https://link.pdpalawbase.com/section/67.md):**
  - **[มาตรา 66](https://link.pdpalawbase.com/section/66.md):** ข้าราชการ → **ปฏิบัติงานชั่วคราว**ที่สำนักงาน → **กลับสู่หน่วยงานเดิม** (สถานะข้าราชการคงอยู่ที่หน่วยงานเดิม)
  - **[มาตรา 67](https://link.pdpalawbase.com/section/67.md) วรรค 1:** ข้าราชการ → **ย้ายมาเป็นพนักงานสำนักงานถาวร** → ภาระชดใช้ทุนติดตัวมา (ใช้สำเร็จด้วยการทำงานที่สำนักงาน)
  - **[มาตรา 67](https://link.pdpalawbase.com/section/67.md) วรรค 2:** พนักงานสำนักงาน → **ย้ายไปหน่วยงานรัฐอื่นถาวร** → ภาระชดใช้ทุนของสำนักงานติดตัวไป
- **ทำไมต้องมีกลไกนี้:**
  - ข้าราชการที่ได้รับทุนการศึกษาจากรัฐ (เช่น ทุน ก.พ., ทุนกระทรวงต่างประเทศ) มี**สัญญาชดใช้ทุน** (ปกติ = ทำงานราชการ 2-3 เท่าของเวลาเรียนทุน)
  - ถ้าผู้นั้นต้องการมาทำงานที่สำนักงาน (ที่ไม่ใช่ส่วนราชการ — [มาตรา 43](https://link.pdpalawbase.com/section/43.md)) — โดยปกติจะ**ผิดสัญญาชดใช้ทุน** (เพราะไม่ได้ทำงานราชการ) → ต้องคืนเงินทุน
  - [มาตรา 67](https://link.pdpalawbase.com/section/67.md) วรรค 1 ขจัดอุปสรรคนี้ — ทำให้ข้าราชการที่มีทุนผูกพันสามารถมาทำงานที่สำนักงานได้โดยไม่ต้องคืนทุน
- **"ความเห็นชอบจากผู้บังคับบัญชาต้นสังกัด" (วรรค 1):**
  - หน่วยงานที่ให้ทุนเดิมต้องเห็นชอบ — ป้องกันการสูญเสียบุคลากรที่มีคุณค่าซึ่งหน่วยงานเดิมต้องการตัวอยู่
  - ปกติเป็นการเจรจาระหว่างหน่วยงาน
- **"ความเห็นชอบจากเลขาธิการ" (วรรค 2):**
  - เลขาธิการ ([มาตรา 57](https://link.pdpalawbase.com/section/57.md)) เป็น**ผู้บังคับบัญชา**ของพนักงานสำนักงาน ([มาตรา 63](https://link.pdpalawbase.com/section/63.md) (3))
  - มีอำนาจอนุญาตหรือไม่ให้พนักงานย้ายไปหน่วยงานอื่น
- **กรอบการทำงานที่ครอบคลุม:**
  - **เข้า** → สำนักงานสามารถดึงดูดข้าราชการที่มีทุนผูกพันได้
  - **ออก** → พนักงานของสำนักงานสามารถย้ายไปหน่วยงานรัฐอื่นได้ (ไม่ใช่เส้นทางตันของอาชีพ)
  - กลไกนี้ส่งเสริม**การหมุนเวียนบุคลากร**ระหว่างหน่วยงานของรัฐ

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/section/67.md

============================================================
โนด: มาตรา 68
ลิงก์อ้างอิง: https://link.pdpalawbase.com/section/68.md

# มาตรา 68

## ตัวบท

> มาตรา 68 การบัญชีของสำนักงานให้จัดทำตามหลักสากล ตามแบบและหลักเกณฑ์ที่คณะกรรมการกำกับสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลกำหนด

## สรุป

มาตรานี้กำหนดให้ **การบัญชีของสำนักงาน** ([มาตรา 43](https://link.pdpalawbase.com/section/43.md)) จัดทำตาม **หลักสากล** + ตาม **แบบและหลักเกณฑ์** ที่ **คณะกรรมการกำกับสำนักงาน** ([มาตรา 48](https://link.pdpalawbase.com/section/48.md)) กำหนด

## องค์ประกอบสำคัญ

- **หลักสากล:** มาตรฐานบัญชีที่ใช้กันทั่วโลก (เช่น มาตรฐานการรายงานทางการเงินไทยที่อิงกับมาตรฐานสากล)
- **ผู้กำหนดแบบและหลักเกณฑ์เฉพาะ:** คณะกรรมการกำกับสำนักงาน ([มาตรา 48](https://link.pdpalawbase.com/section/48.md)) — สอดคล้องกับ [มาตรา 54](https://link.pdpalawbase.com/section/54.md) (2) ที่ให้อำนาจออกข้อบังคับว่าด้วยการเงิน
- **ขอบเขต:** การบัญชีของสำนักงาน — ไม่รวมการบัญชีของผู้ควบคุมข้อมูลภายนอก (ที่อยู่ภายใต้การกำกับของ พรบ. คุ้มครองข้อมูลส่วนบุคคลแต่บัญชีของตนเองเป็นไปตามมาตรฐานทั่วไป)

## มาตราที่อ้างอิง

- [มาตรา 43](https://link.pdpalawbase.com/section/43.md) — สำนักงาน — องค์กรที่อยู่ภายใต้มาตรฐานบัญชีตามมาตรานี้
- [มาตรา 48](https://link.pdpalawbase.com/section/48.md) — คณะกรรมการกำกับสำนักงาน — ผู้กำหนดแบบและหลักเกณฑ์
- [มาตรา 54](https://link.pdpalawbase.com/section/54.md) — หน้าที่และอำนาจของคณะกรรมการกำกับสำนักงาน — (2) ออกข้อบังคับว่าด้วยการเงิน

## หมายเหตุ

- **"หลักสากล" — ขอบเขตในทางปฏิบัติ:**
  - มาตรฐานบัญชีไทยที่ออกโดยสภาวิชาชีพบัญชี (เช่น มาตรฐานการรายงานทางการเงินสำหรับกิจการที่ไม่มีส่วนได้เสียสาธารณะ)
  - หลักการบัญชีของรัฐที่กระทรวงการคลังกำหนด (ถ้าใช้ได้)
- **"แบบและหลักเกณฑ์ที่คณะกรรมการกำกับสำนักงานกำหนด" — ส่วนเสริม:**
  - คณะกรรมการกำกับสำนักงานออก**ข้อบังคับว่าด้วยการบัญชี** ตาม [มาตรา 54](https://link.pdpalawbase.com/section/54.md) (2)
  - กำหนด:
    - ปีบัญชีของสำนักงาน
    - รูปแบบงบการเงิน
    - การจำแนกประเภทรายได้/รายจ่าย
    - ระบบบัญชีคู่ ฯลฯ
- **เชื่อมต่อกับ [มาตรา 69](https://link.pdpalawbase.com/section/69.md):** หลังจากจัดทำบัญชีตาม [มาตรา 68](https://link.pdpalawbase.com/section/68.md) → ส่งผู้สอบบัญชีตาม [มาตรา 69](https://link.pdpalawbase.com/section/69.md)
- **เชื่อมต่อกับ [มาตรา 46](https://link.pdpalawbase.com/section/46.md) วรรค 2:** สำนักงานต้องนำส่งรายได้เข้าคลังเป็นรายได้แผ่นดิน — การบัญชีต้อง**แยกประเภทรายได้**ที่ต้องนำส่งคลังออกจากเงินอุดหนุนที่ใช้ดำเนินงาน

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/section/68.md

============================================================
โนด: มาตรา 69
ลิงก์อ้างอิง: https://link.pdpalawbase.com/section/69.md

# มาตรา 69

## ตัวบท

> มาตรา 69 ให้สำนักงานจัดทำงบการเงินและบัญชี แล้วส่งผู้สอบบัญชีภายในหนึ่งร้อยยี่สิบวันนับแต่วันสิ้นปีบัญชี
>
> ให้สำนักงานการตรวจเงินแผ่นดินหรือผู้สอบบัญชีรับอนุญาตที่สำนักงานการตรวจเงินแผ่นดินให้ความเห็นชอบเป็นผู้สอบบัญชีของสำนักงาน และประเมินผลการใช้จ่ายเงินและทรัพย์สินของสำนักงานทุกรอบปีแล้วทำรายงานผลการสอบบัญชีเสนอต่อคณะกรรมการกำกับสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลเพื่อรับรอง

## สรุป

มาตรานี้กำหนดให้ **สำนักงาน** ([มาตรา 43](https://link.pdpalawbase.com/section/43.md)) จัดทำ**งบการเงินและบัญชี** + ส่งผู้สอบบัญชี**ภายใน 120 วัน**นับจากวันสิ้นปีบัญชี — ผู้สอบบัญชี = **สำนักงานการตรวจเงินแผ่นดิน** หรือ **ผู้สอบบัญชีรับอนุญาตที่ สตง. เห็นชอบ** — ผู้สอบบัญชีต้อง**ประเมินผลการใช้จ่ายเงินและทรัพย์สิน** ทุกรอบปี + **เสนอรายงานต่อคณะกรรมการกำกับสำนักงาน** ([มาตรา 48](https://link.pdpalawbase.com/section/48.md)) เพื่อรับรอง

## องค์ประกอบสำคัญ

- **กำหนดเวลาส่งผู้สอบบัญชี:** **ภายใน 120 วัน** (4 เดือน) นับแต่วันสิ้นปีบัญชี
- **ตัวเลือกผู้สอบบัญชี:**
  - **สำนักงานการตรวจเงินแผ่นดิน (สตง.)** — องค์กรอิสระตามรัฐธรรมนูญที่ตรวจสอบหน่วยงานของรัฐ; หรือ
  - **ผู้สอบบัญชีรับอนุญาต**ที่ สตง. ให้ความเห็นชอบ — ทางเลือกเอกชน (กรณี สตง. ไม่สามารถดำเนินการเองได้ทัน)
- **หน้าที่ของผู้สอบบัญชี:**
  - **สอบบัญชี** — ตรวจความถูกต้องของงบการเงิน
  - **ประเมินผลการใช้จ่ายเงินและทรัพย์สิน** — ตรวจประสิทธิภาพการใช้เงิน (ไม่ใช่แค่ความถูกต้อง)
  - **ทำรายงานผลการสอบบัญชี** เสนอต่อคณะกรรมการกำกับสำนักงาน
- **บทบาทของคณะกรรมการกำกับสำนักงาน:** **รับรอง**รายงานผลการสอบบัญชี

## มาตราที่อ้างอิง

- [มาตรา 43](https://link.pdpalawbase.com/section/43.md) — สำนักงาน — องค์กรที่อยู่ภายใต้การสอบบัญชี
- [มาตรา 48](https://link.pdpalawbase.com/section/48.md) — คณะกรรมการกำกับสำนักงาน — ผู้รับรองรายงาน
- [มาตรา 68](https://link.pdpalawbase.com/section/68.md) — การบัญชี — ฐานในการจัดทำงบการเงินที่จะส่งสอบบัญชี
- [มาตรา 70](https://link.pdpalawbase.com/section/70.md) — รายงานประจำปี — ใช้รายงานสอบบัญชีเป็นส่วนประกอบ

## หมายเหตุ

- **3 รอบของกระบวนการตรวจสอบรายปี:**
  1. **[มาตรา 68](https://link.pdpalawbase.com/section/68.md):** จัดทำการบัญชีตามหลักสากล
  2. **[มาตรา 69](https://link.pdpalawbase.com/section/69.md) (มาตรานี้):** จัดทำงบการเงินและสอบบัญชีโดย สตง. หรือผู้รับอนุญาต
  3. **[มาตรา 70](https://link.pdpalawbase.com/section/70.md):** จัดทำรายงานประจำปี (ที่รวมงบการเงินที่สอบแล้ว) เสนอต่อคณะกรรมการกำกับสำนักงานและรัฐมนตรี + เผยแพร่สาธารณะ
- **บทบาทของ สตง.:**
  - สตง. ตรวจสอบทุกหน่วยงานของรัฐตามรัฐธรรมนูญ — [มาตรา 69](https://link.pdpalawbase.com/section/69.md) เพียงแต่เน้นว่า สตง. เป็นผู้สอบบัญชีของสำนักงาน
  - กรณีที่ สตง. ภาระงานล้น → สามารถมอบหมายให้ผู้สอบบัญชีรับอนุญาตเอกชน — แต่ต้องผ่านความเห็นชอบของ สตง. เพื่อรักษามาตรฐาน
- **"ประเมินผลการใช้จ่ายเงินและทรัพย์สิน" — ขอบเขตที่กว้างกว่าการสอบบัญชีทั่วไป:**
  - การสอบบัญชีทั่วไป = ตรวจความถูกต้องของงบการเงินและการบันทึกบัญชี
  - การประเมินตามมาตรานี้ = ตรวจ**ประสิทธิภาพ**ของการใช้เงิน (เช่น โครงการอบรมจัดอย่างคุ้มค่าหรือไม่)
- **กำหนด 120 วัน — ต้นทุนการดำเนินการ:**
  - ปีบัญชีของหน่วยงานรัฐมักสิ้นสุด 30 กันยายน → ส่งผู้สอบบัญชีภายใน 28 มกราคม
  - หลังสอบบัญชีแล้ว ต้องเขียนรายงานประจำปี ([มาตรา 70](https://link.pdpalawbase.com/section/70.md) กำหนด 180 วัน = 31 มีนาคม) → กรอบเวลาแน่น (เพียง 60 วันสำหรับการสอบบัญชี + เขียนรายงาน)
- **การรับรองโดยคณะกรรมการกำกับสำนักงาน — ไม่ใช่การเปลี่ยนแปลงผลการสอบบัญชี:**
  - คณะกรรมการกำกับสำนักงานรับรอง = อนุมัติ**ตามที่เป็น** (รับทราบและให้ผ่าน)
  - ถ้ารายงานสอบบัญชีพบความผิดปกติ → คณะกรรมการกำกับสำนักงานต้องดำเนินการตามที่เห็นสมควร (เช่น สอบสวนข้อเท็จจริง ลงโทษ ถอดถอน)

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/section/69.md

============================================================
โนด: มาตรา 70
ลิงก์อ้างอิง: https://link.pdpalawbase.com/section/70.md

# มาตรา 70

## ตัวบท

> มาตรา 70 ให้สำนักงานจัดทำรายงานการดำเนินงานประจำปีเสนอคณะกรรมการกำกับสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลและรัฐมนตรีภายในหนึ่งร้อยแปดสิบวันนับแต่วันสิ้นปีบัญชี และเผยแพร่รายงานนี้ต่อสาธารณชน
>
> รายงานการดำเนินงานประจำปีตามวรรคหนึ่ง ให้แสดงรายละเอียดของงบการเงินที่ผู้สอบบัญชีให้ความเห็นแล้ว พร้อมทั้งผลงานของสำนักงานและรายงานการประเมินผลการดำเนินงานของสำนักงานในปีที่ล่วงมาแล้ว
>
> การประเมินผลการดำเนินงานของสำนักงานตามวรรคสอง จะต้องดำเนินการโดยบุคคลภายนอกที่คณะกรรมการกำกับสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลให้ความเห็นชอบ

## สรุป

มาตรานี้กำหนดให้ **สำนักงาน** ([มาตรา 43](https://link.pdpalawbase.com/section/43.md)) จัดทำ **รายงานการดำเนินงานประจำปี** เสนอ**คณะกรรมการกำกับสำนักงาน** ([มาตรา 48](https://link.pdpalawbase.com/section/48.md)) **และรัฐมนตรี** ภายใน **180 วัน**นับจากวันสิ้นปีบัญชี + **เผยแพร่ต่อสาธารณชน** — รายงานต้องประกอบด้วย: (1) งบการเงินที่ผู้สอบบัญชีให้ความเห็นแล้ว ([มาตรา 69](https://link.pdpalawbase.com/section/69.md)); (2) ผลงาน; (3) **รายงานการประเมินผลที่ดำเนินการโดยบุคคลภายนอก**

## องค์ประกอบสำคัญ

- **วรรค 1 — กรอบเวลาและผู้รับรายงาน:**
  - **กำหนดเวลา:** ภายใน **180 วัน** (6 เดือน) นับแต่วันสิ้นปีบัญชี
  - **ผู้รับรายงาน 2 ฝ่าย:**
    - คณะกรรมการกำกับสำนักงาน ([มาตรา 48](https://link.pdpalawbase.com/section/48.md)) — ผู้บังคับบัญชาตามโครงสร้าง
    - **รัฐมนตรี** (เจ้ากระทรวงดิจิทัลเพื่อเศรษฐกิจและสังคม) — เพราะสำนักงานอยู่ในกำกับของกระทรวง
  - **ต้องเผยแพร่ต่อสาธารณชน** — หลักความโปร่งใส
- **วรรค 2 — เนื้อหาของรายงาน 3 ส่วน:**
  1. **งบการเงินที่ผู้สอบบัญชีให้ความเห็นแล้ว** — เชื่อมกับ [มาตรา 69](https://link.pdpalawbase.com/section/69.md)
  2. **ผลงานของสำนักงาน** — กิจกรรม/ผลลัพธ์ของปีที่ผ่านมา
  3. **รายงานการประเมินผลการดำเนินงาน** — ประเมินภาพรวม
- **วรรค 3 — เงื่อนไขการประเมิน:**
  - การประเมินตามวรรค 2 (3) ต้องดำเนินการโดย**บุคคลภายนอก** — ไม่ใช่พนักงานของสำนักงานประเมินตนเอง
  - บุคคลภายนอกต้องได้รับ**ความเห็นชอบจากคณะกรรมการกำกับสำนักงาน**

## มาตราที่อ้างอิง

- [มาตรา 43](https://link.pdpalawbase.com/section/43.md) — สำนักงาน — องค์กรที่ต้องจัดทำรายงาน
- [มาตรา 48](https://link.pdpalawbase.com/section/48.md) — คณะกรรมการกำกับสำนักงาน — ผู้รับรายงาน + ผู้เห็นชอบบุคคลภายนอกที่ประเมิน
- [มาตรา 54](https://link.pdpalawbase.com/section/54.md) — หน้าที่และอำนาจของคณะกรรมการกำกับสำนักงาน — (7) ประเมินผลการดำเนินการของสำนักงาน (มาตรานี้เสริม)
- [มาตรา 69](https://link.pdpalawbase.com/section/69.md) — งบการเงินและการสอบบัญชี — เป็นส่วนหนึ่งของรายงาน

## หมายเหตุ

- **3 ระดับของการประเมิน:**
  - **[มาตรา 61](https://link.pdpalawbase.com/section/61.md):** ประเมินเลขาธิการเป็นรายบุคคลโดยคณะกรรมการกำกับสำนักงาน
  - **[มาตรา 69](https://link.pdpalawbase.com/section/69.md):** สอบบัญชีโดย สตง. หรือผู้สอบบัญชีรับอนุญาต — เน้นการเงินและการใช้จ่าย
  - **[มาตรา 70](https://link.pdpalawbase.com/section/70.md) (มาตรานี้):** ประเมินผลการดำเนินงานในภาพรวมโดยบุคคลภายนอก — เน้นประสิทธิผลของภารกิจ
- **กลไกความโปร่งใส 3 ชั้น:**
  - **ชั้น 1:** สำนักงานรายงานต่อคณะกรรมการกำกับสำนักงาน (ภายใน)
  - **ชั้น 2:** สำนักงานรายงานต่อรัฐมนตรี (ผู้กำกับฝ่ายบริหาร)
  - **ชั้น 3:** **เผยแพร่ต่อสาธารณชน** (ความโปร่งใสต่อสังคม)
- **เปรียบเทียบ "บุคคลภายนอก" ในวรรค 3 vs ผู้สอบบัญชีใน [มาตรา 69](https://link.pdpalawbase.com/section/69.md):**
  - **ผู้สอบบัญชี ([มาตรา 69](https://link.pdpalawbase.com/section/69.md)):** สตง. หรือผู้สอบบัญชีรับอนุญาต — เน้นความถูกต้องทางบัญชี
  - **บุคคลภายนอกที่ประเมิน (วรรค 3):** ตัวบทไม่ระบุคุณสมบัติเฉพาะ → คณะกรรมการกำกับสำนักงานเห็นชอบ; อาจเป็น
    - ที่ปรึกษาที่เป็นบริษัทประเมินอิสระ
    - นักวิชาการ/อาจารย์มหาวิทยาลัย
    - หน่วยงานวิชาการของรัฐอื่น
- **180 วัน — กรอบเวลาที่ยืดหยุ่นกว่า [มาตรา 69](https://link.pdpalawbase.com/section/69.md):**
  - [มาตรา 69](https://link.pdpalawbase.com/section/69.md) = 120 วัน (สอบบัญชี)
  - [มาตรา 70](https://link.pdpalawbase.com/section/70.md) = 180 วัน (รายงานประจำปี)
  - ส่วนต่าง 60 วัน = เวลาที่สำนักงานใช้:
    - รวบรวมผลการสอบบัญชี
    - ดำเนินการประเมินโดยบุคคลภายนอก (ที่อาจใช้เวลา 1-2 เดือน)
    - เขียนและเรียบเรียงรายงานประจำปี
    - เผยแพร่ผ่านช่องทางสาธารณะ
- **การเปิดเผยต่อสาธารณชน — ผลในเชิงประชาธิปไตย:**
  - เป็น**ฐานข้อมูล**ที่ประชาชนใช้ตรวจสอบสำนักงาน
  - สื่อมวลชนใช้รายงานนี้วิเคราะห์ผลงานของสำนักงาน
  - ภาคประชาสังคมใช้เปรียบเทียบกับเป้าหมายที่ประกาศไว้

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/section/70.md

============================================================
โนด: มาตรา 71
ลิงก์อ้างอิง: https://link.pdpalawbase.com/section/71.md

# มาตรา 71

## ตัวบท

> มาตรา 71 ให้คณะกรรมการแต่งตั้งคณะกรรมการผู้เชี่ยวชาญขึ้นคณะหนึ่งหรือหลายคณะก็ได้ ตามความเชี่ยวชาญในแต่ละเรื่องหรือตามที่คณะกรรมการเห็นสมควร
>
> คุณสมบัติและลักษณะต้องห้าม วาระการดำรงตำแหน่ง การพ้นจากตำแหน่ง และการดำเนินงานอื่นของคณะกรรมการผู้เชี่ยวชาญให้เป็นไปตามที่คณะกรรมการประกาศกำหนด

## สรุป

มาตรานี้เปิดหมวด 5 (การร้องเรียน) โดยให้**คณะกรรมการคุ้มครองข้อมูลส่วนบุคคล** ([มาตรา 8](https://link.pdpalawbase.com/section/8.md)) เป็นผู้แต่งตั้ง **คณะกรรมการผู้เชี่ยวชาญ** ขึ้น **คณะหนึ่งหรือหลายคณะ** ตามความเชี่ยวชาญในแต่ละเรื่อง — รายละเอียดคุณสมบัติ ลักษณะต้องห้าม วาระ และการดำเนินงาน **ปล่อยให้คณะกรรมการประกาศกำหนด**

## องค์ประกอบสำคัญ

- **วรรค 1 — โครงสร้างและจำนวน:**
  - **ผู้แต่งตั้ง:** คณะกรรมการ ([มาตรา 8](https://link.pdpalawbase.com/section/8.md))
  - **องค์กรที่แต่งตั้ง:** คณะกรรมการผู้เชี่ยวชาญ — เป็นองค์กรกึ่งตุลาการที่พิจารณาเรื่องร้องเรียน
  - **จำนวน:** **คณะหนึ่งหรือหลายคณะ** — ยืดหยุ่นตามภาระงานและประเภทเรื่อง
  - **เกณฑ์การจัดคณะ:** ตามความเชี่ยวชาญในแต่ละเรื่อง หรือตามที่คณะกรรมการเห็นสมควร
- **วรรค 2 — เรื่องที่ปล่อยให้ประกาศกำหนด (4 หัวข้อ):**
  1. **คุณสมบัติและลักษณะต้องห้าม** — ใครเป็นได้ ใครเป็นไม่ได้
  2. **วาระการดำรงตำแหน่ง** — ระยะเวลาดำรงตำแหน่ง
  3. **การพ้นจากตำแหน่ง** — กรณีพ้นตำแหน่ง
  4. **การดำเนินงานอื่น** — กระบวนการประชุม การลงมติ ฯลฯ

## มาตราที่อ้างอิง

- [มาตรา 8](https://link.pdpalawbase.com/section/8.md) — องค์ประกอบของคณะกรรมการ — ผู้มีอำนาจแต่งตั้งคณะกรรมการผู้เชี่ยวชาญ
- [มาตรา 72](https://link.pdpalawbase.com/section/72.md) — หน้าที่และอำนาจของคณะกรรมการผู้เชี่ยวชาญ — มาตราถัดไปที่กำหนดบทบาท

## หมายเหตุ

- **เหตุใดจึงต้องมีคณะกรรมการผู้เชี่ยวชาญ:**
  - คณะกรรมการ ([มาตรา 8](https://link.pdpalawbase.com/section/8.md)) มีหน้าที่กำหนดนโยบายภาพรวม ([มาตรา 16](https://link.pdpalawbase.com/section/16.md)) — ไม่เหมาะที่จะลงมาพิจารณาเรื่องร้องเรียนเป็นรายกรณี
  - การพิจารณาเรื่องร้องเรียนต้องการ **ความเชี่ยวชาญเฉพาะด้าน** (เช่น เทคนิค การแพทย์ การเงิน) ที่กรรมการไม่ครอบคลุมทุกด้าน
  - การแยกองค์กรช่วย**กระจายงาน** และให้คณะกรรมการมุ่งเน้นกำกับนโยบาย
- **โมเดล "คณะหนึ่งหรือหลายคณะ":**
  - ในระยะเริ่มแรกอาจมีเพียงคณะเดียว
  - เมื่อปริมาณเรื่องเพิ่มขึ้นหรือเรื่องมีความเฉพาะทางมาก สามารถตั้งคณะเพิ่ม เช่น
    - คณะที่เชี่ยวชาญข้อมูลสุขภาพ
    - คณะที่เชี่ยวชาญข้อมูลทางการเงิน
    - คณะที่เชี่ยวชาญข้อมูลของหน่วยงานรัฐ
- **การมอบให้ออกประกาศกำหนด — เปรียบเทียบกับมาตราอื่น:**
  - [มาตรา 8](https://link.pdpalawbase.com/section/8.md) (โครงสร้างคณะกรรมการ): กำหนดในตัวบทตรง ๆ
  - [มาตรา 71](https://link.pdpalawbase.com/section/71.md) (โครงสร้างคณะกรรมการผู้เชี่ยวชาญ): ปล่อยให้ประกาศกำหนด — เพราะต้องยืดหยุ่นตามภาระงาน
- **ลำดับการแต่งตั้งและทำงาน:**
  - คณะกรรมการชุดแรก → ตั้งตาม [มาตรา 91](https://link.pdpalawbase.com/section/91.md) (บทเฉพาะกาล)
  - คณะกรรมการ ([มาตรา 8](https://link.pdpalawbase.com/section/8.md)) ต้องประกาศกำหนดคุณสมบัติ ฯลฯ ก่อน
  - แล้วจึงแต่งตั้งคณะกรรมการผู้เชี่ยวชาญตามมาตรานี้
- **ความสัมพันธ์กับคณะกรรมการกำกับสำนักงาน ([มาตรา 48](https://link.pdpalawbase.com/section/48.md)):**
  - คณะกรรมการกำกับสำนักงาน — กำกับ**ฝ่ายเลขาฯ** (สำนักงาน) ในเชิงบริหาร
  - คณะกรรมการผู้เชี่ยวชาญ — พิจารณา**เรื่องร้องเรียน** (กึ่งตุลาการ)
  - 2 องค์กรนี้ทำหน้าที่คนละด้าน ไม่ทับซ้อนกัน

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/section/71.md

============================================================
โนด: มาตรา 72
ลิงก์อ้างอิง: https://link.pdpalawbase.com/section/72.md

# มาตรา 72

## ตัวบท

> มาตรา 72 คณะกรรมการผู้เชี่ยวชาญมีหน้าที่และอำนาจ ดังต่อไปนี้
>
> (1) พิจารณาเรื่องร้องเรียนตามพระราชบัญญัตินี้
>
> (2) ตรวจสอบการกระทำใด ๆ ของผู้ควบคุมข้อมูลส่วนบุคคล หรือผู้ประมวลผลข้อมูลส่วนบุคคล รวมทั้งลูกจ้างหรือผู้รับจ้างของผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคล เกี่ยวกับข้อมูลส่วนบุคคลที่ก่อให้เกิดความเสียหายแก่เจ้าของข้อมูลส่วนบุคคล
>
> (3) ไกล่เกลี่ยข้อพิพาทเกี่ยวกับข้อมูลส่วนบุคคล
>
> (4) ปฏิบัติการอื่นใดตามที่พระราชบัญญัตินี้กำหนดให้เป็นหน้าที่และอำนาจของคณะกรรมการผู้เชี่ยวชาญหรือตามที่คณะกรรมการมอบหมาย

## สรุป

มาตรานี้กำหนด **หน้าที่และอำนาจ 4 ประการ** ของคณะกรรมการผู้เชี่ยวชาญ ([มาตรา 71](https://link.pdpalawbase.com/section/71.md)) ได้แก่ (1) **พิจารณาเรื่องร้องเรียน**; (2) **ตรวจสอบการกระทำ**ของผู้ควบคุม/ผู้ประมวลผล รวมทั้งลูกจ้าง/ผู้รับจ้าง; (3) **ไกล่เกลี่ยข้อพิพาท**; (4) **ปฏิบัติการอื่น**ตามที่ พ.ร.บ. กำหนดหรือคณะกรรมการมอบหมาย — เป็นโครงสร้างกึ่งตุลาการที่รวมการพิจารณา การสืบสวน และการระงับข้อพิพาทไว้ในองค์กรเดียว

## องค์ประกอบสำคัญ

- **(1) พิจารณาเรื่องร้องเรียน:**
  - กระบวนการพิจารณารายละเอียดอยู่ใน [มาตรา 74](https://link.pdpalawbase.com/section/74.md)
  - เกณฑ์การรับเรื่อง/ไม่รับเรื่อง อยู่ใน [มาตรา 73](https://link.pdpalawbase.com/section/73.md) วรรค 2 (ระเบียบที่คณะกรรมการประกาศกำหนด)
- **(2) ตรวจสอบการกระทำ:**
  - **บุคคลที่ถูกตรวจสอบได้:**
    - ผู้ควบคุมข้อมูลส่วนบุคคล
    - ผู้ประมวลผลข้อมูลส่วนบุคคล
    - **ลูกจ้างหรือผู้รับจ้างของผู้ควบคุม/ผู้ประมวลผล** — ขยายขอบเขตการตรวจสอบไปถึงระดับบุคลากร
  - **เกณฑ์:** การกระทำที่**ก่อให้เกิดความเสียหายแก่เจ้าของข้อมูลส่วนบุคคล**
  - อำนาจสั่งให้ส่งเอกสาร/ชี้แจง อยู่ใน [มาตรา 75](https://link.pdpalawbase.com/section/75.md)
- **(3) ไกล่เกลี่ยข้อพิพาท:**
  - กลไกระงับข้อพิพาททางเลือกในกฎหมายข้อมูลส่วนบุคคล
  - กระบวนการอยู่ใน [มาตรา 74](https://link.pdpalawbase.com/section/74.md) วรรค 3 — ใช้ก่อนออกคำสั่ง
  - ลดภาระคดีในศาลและระงับข้อพิพาทอย่างรวดเร็ว
- **(4) ปฏิบัติการอื่น:**
  - **2 แหล่งที่มา:**
    - ตามที่ พ.ร.บ. นี้กำหนดให้เป็นหน้าที่และอำนาจ — เช่น สั่งโทษทางปกครอง ([มาตรา 90](https://link.pdpalawbase.com/section/90.md))
    - ตามที่คณะกรรมการ ([มาตรา 8](https://link.pdpalawbase.com/section/8.md)) มอบหมาย — รับงานจากคณะกรรมการชุดใหญ่
  - บทเปิดที่ให้ความยืดหยุ่นในการเพิ่มภารกิจ

## มาตราที่อ้างอิง

- [มาตรา 71](https://link.pdpalawbase.com/section/71.md) — โครงสร้างคณะกรรมการผู้เชี่ยวชาญ — ที่มาขององค์กรที่ใช้อำนาจตามมาตรานี้
- [มาตรา 73](https://link.pdpalawbase.com/section/73.md) — สิทธิร้องเรียน + ระเบียบการรับเรื่อง — ทำงานร่วมกับ (1)
- [มาตรา 74](https://link.pdpalawbase.com/section/74.md) — กระบวนการพิจารณาคำร้องเรียน — ขยาย (1) + (3)
- [มาตรา 75](https://link.pdpalawbase.com/section/75.md) — อำนาจสั่งให้ส่งเอกสาร/ชี้แจง — เครื่องมือสนับสนุน (2)
- [มาตรา 90](https://link.pdpalawbase.com/section/90.md) — อำนาจสั่งโทษทางปกครอง — กรณีของ (4) ที่กำหนดไว้ใน พ.ร.บ.

## หมายเหตุ

- **บทบาท 4 มิติของคณะกรรมการผู้เชี่ยวชาญ:**
  - **มิติตุลาการ (1):** พิจารณาคำร้องเรียน — เหมือนผู้พิพากษาในเรื่องเล็ก
  - **มิติสืบสวน (2):** ตรวจสอบ — เหมือนพนักงานสอบสวน
  - **มิติคนกลาง (3):** ไกล่เกลี่ย — เหมือนผู้ประนีประนอม
  - **มิติบริหาร (4):** รับงานมอบหมาย — เหมือนหน่วยปฏิบัติการ
- **ขอบเขตการตรวจสอบ — ทำไมต้องรวมลูกจ้าง/ผู้รับจ้าง:**
  - ในทางปฏิบัติ ผู้ก่อความเสียหายมักเป็น**บุคลากรระดับปฏิบัติ** (เช่น พนักงานที่ขายข้อมูล, ผู้รับจ้างที่ทำข้อมูลรั่ว)
  - ถ้าตรวจสอบเฉพาะนิติบุคคล จะ**พลาดผู้กระทำผิดที่แท้จริง**
  - ขยายขอบเขตทำให้สามารถสืบหาความจริงได้ครบ
- **เปรียบเทียบ "ตรวจสอบ" (2) vs "พิจารณา" (1):**
  - **พิจารณา (1):** เริ่มจาก**คำร้องเรียน** — รอให้มีผู้ร้องก่อน
  - **ตรวจสอบ (2):** สามารถเริ่มได้**โดยไม่มีคำร้องเรียน** — เชิงรุกตามที่ทราบเหตุ
- **ไกล่เกลี่ย (3) — ขั้นตอนใน [มาตรา 74](https://link.pdpalawbase.com/section/74.md):**
  - คณะกรรมการผู้เชี่ยวชาญพิจารณาว่าเรื่อง**อาจไกล่เกลี่ยได้** + **คู่กรณีประสงค์**ไกล่เกลี่ย
  - ถ้าไกล่เกลี่ยสำเร็จ → ระงับข้อพิพาท
  - ถ้าไม่สำเร็จ → ออกคำสั่งบังคับ ([มาตรา 74](https://link.pdpalawbase.com/section/74.md) วรรค 3)
- **ความสัมพันธ์กับคณะกรรมการ ([มาตรา 8](https://link.pdpalawbase.com/section/8.md)):**
  - คณะกรรมการ = นโยบายและกำหนดเกณฑ์ ([มาตรา 16](https://link.pdpalawbase.com/section/16.md))
  - คณะกรรมการผู้เชี่ยวชาญ = ใช้บังคับเป็นรายกรณี
  - การมอบหมายตาม (4) เป็นกลไกให้คณะกรรมการเสริมงานเฉพาะเรื่องได้

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/section/72.md

============================================================
โนด: มาตรา 73
ลิงก์อ้างอิง: https://link.pdpalawbase.com/section/73.md

# มาตรา 73

## ตัวบท

> มาตรา 73 เจ้าของข้อมูลส่วนบุคคลมีสิทธิร้องเรียนในกรณีที่ผู้ควบคุมข้อมูลส่วนบุคคล หรือผู้ประมวลผลข้อมูลส่วนบุคคล รวมทั้งลูกจ้างหรือผู้รับจ้างของผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคล ฝ่าฝืนหรือไม่ปฏิบัติตามพระราชบัญญัติหรือประกาศที่ออกตามพระราชบัญญัตินี้
>
> การยื่น การไม่รับเรื่อง การยุติเรื่อง การพิจารณา และระยะเวลาในการพิจารณาคำร้องเรียน ให้เป็นไปตามระเบียบที่คณะกรรมการประกาศกำหนดโดยคำนึงถึงการกำหนดให้ไม่รับเรื่องร้องเรียนหรือยุติเรื่องในกรณีที่มีผู้มีอำนาจพิจารณาในเรื่องนั้นอยู่แล้วตามกฎหมายอื่นด้วย

## สรุป

มาตรานี้ให้**สิทธิแก่เจ้าของข้อมูลส่วนบุคคล**ในการ**ร้องเรียน**กรณีที่ผู้ควบคุม/ผู้ประมวลผล รวมทั้งลูกจ้าง/ผู้รับจ้าง ฝ่าฝืน พ.ร.บ. หรือประกาศ — รายละเอียดกระบวนการ (การยื่น การไม่รับเรื่อง การยุติ การพิจารณา และระยะเวลา) **ปล่อยให้คณะกรรมการประกาศกำหนด** โดยต้องคำนึงถึงหลัก**ไม่ซ้ำซ้อน** — ไม่รับเรื่องที่มีผู้มีอำนาจพิจารณาตามกฎหมายอื่นอยู่แล้ว

## องค์ประกอบสำคัญ

- **วรรค 1 — สิทธิร้องเรียน:**
  - **ผู้มีสิทธิ:** เจ้าของข้อมูลส่วนบุคคล
  - **ผู้ถูกร้องเรียน:**
    - ผู้ควบคุมข้อมูลส่วนบุคคล
    - ผู้ประมวลผลข้อมูลส่วนบุคคล
    - **ลูกจ้างหรือผู้รับจ้าง**ของผู้ควบคุม/ผู้ประมวลผล
  - **เหตุที่ร้องเรียนได้:** ฝ่าฝืนหรือไม่ปฏิบัติตาม
    - **พ.ร.บ. นี้** — บทบัญญัติทั้งหมด
    - **ประกาศที่ออกตาม พ.ร.บ. นี้** — เช่น ประกาศของคณะกรรมการ
- **วรรค 2 — ระเบียบที่คณะกรรมการประกาศกำหนด (5 หัวข้อ):**
  1. **การยื่นคำร้องเรียน** — รูปแบบ ช่องทาง เอกสารประกอบ
  2. **การไม่รับเรื่อง** — เกณฑ์ที่ไม่รับพิจารณา
  3. **การยุติเรื่อง** — เหตุผลที่ยุติเรื่องระหว่างทาง
  4. **การพิจารณา** — ขั้นตอนการพิจารณา
  5. **ระยะเวลาในการพิจารณา** — กำหนดเวลาที่ต้องพิจารณาเสร็จ
- **เงื่อนไขพิเศษ — กลไกไม่ซ้ำซ้อน:**
  - ระเบียบต้อง**คำนึง**ถึงการ**ไม่รับเรื่อง / ยุติเรื่อง** ในกรณีที่
    - มีผู้มีอำนาจพิจารณาในเรื่องนั้นอยู่แล้วตามกฎหมายอื่น

## มาตราที่อ้างอิง

- [มาตรา 30](https://link.pdpalawbase.com/section/30.md) — สิทธิเข้าถึงข้อมูล — สิทธิอื่นของเจ้าของข้อมูลที่อาจเชื่อมโยงกับการร้องเรียน
- [มาตรา 72](https://link.pdpalawbase.com/section/72.md) — หน้าที่และอำนาจของคณะกรรมการผู้เชี่ยวชาญ — (1) พิจารณาเรื่องร้องเรียนตามมาตรานี้
- [มาตรา 74](https://link.pdpalawbase.com/section/74.md) — กระบวนการพิจารณาคำร้องเรียน — ใช้ระเบียบที่ออกตามมาตรานี้

## หมายเหตุ

- **เหตุที่กฎหมายไม่กำหนดกระบวนการในตัวบท แต่ปล่อยให้ประกาศกำหนด:**
  - กระบวนการต้องการ**รายละเอียด**มาก (แบบฟอร์ม ช่องทาง ฯลฯ) — ไม่เหมาะกับ พ.ร.บ.
  - การประกาศกำหนดยืดหยุ่น สามารถปรับตามประสบการณ์ใช้งานจริง
  - ให้คณะกรรมการ ([มาตรา 8](https://link.pdpalawbase.com/section/8.md)) เป็นผู้พิจารณาตามความเหมาะสม
- **กลไก "ไม่ซ้ำซ้อน" — ตัวอย่างผู้มีอำนาจตามกฎหมายอื่น:**
  - **ธปท. (ธนาคารแห่งประเทศไทย)** — กรณีข้อมูลของลูกค้าธนาคาร
  - **กสทช.** — กรณีข้อมูลของผู้ใช้บริการโทรคมนาคม
  - **ก.ล.ต.** — กรณีข้อมูลในตลาดทุน
  - **คปภ.** — กรณีข้อมูลในธุรกิจประกัน
  - **กระทรวงสาธารณสุข** — กรณีข้อมูลของผู้ป่วย
  - **กกต.** — กรณีข้อมูลในการเลือกตั้ง
  - **ผู้ตรวจการแผ่นดิน** — กรณีหน่วยงานรัฐละเมิด
- **เปรียบเทียบกับสิทธิอื่นในหมวด 3:**
  - [มาตรา 30](https://link.pdpalawbase.com/section/30.md)-[มาตรา 36](https://link.pdpalawbase.com/section/36.md) เป็นสิทธิที่**ใช้กับผู้ควบคุมข้อมูลโดยตรง** (สิทธิเรียกร้อง)
  - [มาตรา 73](https://link.pdpalawbase.com/section/73.md) เป็นสิทธิที่**ใช้กับองค์กรกำกับ** (สิทธิร้องเรียน) — เป็น**ทางเลือกสุดท้าย**เมื่อสิทธิอื่นไม่ได้รับการตอบสนอง
- **บุคคลอื่นนอกเหนือเจ้าของข้อมูล:**
  - ตัวบทระบุเฉพาะ "เจ้าของข้อมูลส่วนบุคคล" — บุคคลอื่น (เช่น คู่กรณี ผู้พบเห็น) **ไม่มีสิทธิร้องเรียน**โดยตรง
  - แต่บุคคลอื่นสามารถ**แจ้งเหตุ**ให้คณะกรรมการผู้เชี่ยวชาญทราบ ซึ่งคณะกรรมการอาจใช้อำนาจ**ตรวจสอบ**ตาม [มาตรา 72](https://link.pdpalawbase.com/section/72.md) (2) ได้
- **ลูกจ้าง/ผู้รับจ้าง — เหตุที่ร้องเรียนเป็นรายบุคคลได้:**
  - ผู้ควบคุมข้อมูลอาจไม่รู้/ไม่ได้สั่งการ — แต่ลูกจ้างกระทำผิดเอง
  - การเปิดทางให้ร้องเรียนถึงตัวบุคคลทำให้สามารถลงโทษเฉพาะผู้กระทำได้
  - สอดคล้องกับ [มาตรา 77](https://link.pdpalawbase.com/section/77.md) (ความรับผิดทางแพ่งของผู้ควบคุม) ที่ผู้ควบคุมยังต้องรับผิดในฐานะนายจ้างด้วย

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/section/73.md

============================================================
โนด: มาตรา 74
ลิงก์อ้างอิง: https://link.pdpalawbase.com/section/74.md

# มาตรา 74

## ตัวบท

> มาตรา 74 ในกรณีที่ผู้ร้องเรียนไม่ได้ปฏิบัติให้ถูกต้องตามระเบียบที่กำหนดไว้ในมาตรา 73 วรรคสอง หรือเป็นเรื่องร้องเรียนที่ระเบียบนั้นได้กำหนดไม่ให้รับไว้พิจารณา ให้คณะกรรมการผู้เชี่ยวชาญไม่รับเรื่องร้องเรียนไว้พิจารณา
>
> เมื่อคณะกรรมการผู้เชี่ยวชาญพิจารณาเรื่องร้องเรียนตามมาตรา 72 (1) หรือตรวจสอบการกระทำใด ๆ ตามมาตรา 72 (2) แล้วรับฟังได้ว่า เรื่องร้องเรียนหรือการกระทำนั้นไม่มีมูล ให้คณะกรรมการผู้เชี่ยวชาญมีคำสั่งยุติเรื่อง
>
> ในกรณีที่คณะกรรมการผู้เชี่ยวชาญพิจารณาหรือตรวจสอบตามวรรคสองแล้วรับฟังได้ว่า เรื่องร้องเรียนหรือการกระทำนั้นเป็นกรณีซึ่งอาจไกล่เกลี่ยได้และคู่กรณีประสงค์จะให้ไกล่เกลี่ย ให้คณะกรรมการผู้เชี่ยวชาญดำเนินการไกล่เกลี่ย แต่หากเรื่องร้องเรียนหรือการกระทำนั้นไม่อาจไกล่เกลี่ยได้ หรือไกล่เกลี่ยไม่สำเร็จ ให้คณะกรรมการผู้เชี่ยวชาญมีอำนาจออกคำสั่ง ดังต่อไปนี้
>
> (1) สั่งให้ผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคลปฏิบัติหรือดำเนินการแก้ไขการกระทำของตนให้ถูกต้องภายในระยะเวลาที่กำหนด
>
> (2) สั่งห้ามผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคลกระทำการที่ก่อให้เกิดความเสียหายแก่เจ้าของข้อมูลส่วนบุคคลหรือให้กระทำการใดเพื่อระงับความเสียหายนั้นภายในระยะเวลาที่กำหนด
>
> ในกรณีที่ผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคลไม่ยอมดำเนินการตามคำสั่งตามวรรคสาม (1) หรือ (2) ให้นำบทบัญญัติเกี่ยวกับการบังคับทางปกครองตามกฎหมายว่าด้วยวิธีปฏิบัติราชการทางปกครองมาใช้บังคับโดยอนุโลม ทั้งนี้ ในกรณีที่ต้องมีการยึด อายัด หรือขายทอดตลาดทรัพย์สินของผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคลเพื่อบังคับตามหลักเกณฑ์ที่กำหนดไว้ในกฎหมายว่าด้วยวิธีปฏิบัติราชการทางปกครอง ให้คณะกรรมการผู้เชี่ยวชาญเป็นผู้มีอำนาจสั่งยึด อายัด หรือขายทอดตลาดทรัพย์สินเพื่อการนั้น
>
> การจัดทำคำสั่งตามวรรคหนึ่ง วรรคสอง หรือวรรคสาม (1) หรือ (2) ให้เป็นไปตามหลักเกณฑ์และวิธีการที่คณะกรรมการประกาศกำหนด
>
> คำสั่งของคณะกรรมการผู้เชี่ยวชาญ ให้ประธานกรรมการผู้เชี่ยวชาญเป็นผู้ลงนามแทน
>
> คำสั่งของคณะกรรมการผู้เชี่ยวชาญตามมาตรานี้ให้เป็นที่สุด
>
> ในการดำเนินการตามมาตรานี้ เมื่อผลการพิจารณาเป็นประการใด ให้คณะกรรมการผู้เชี่ยวชาญแจ้งให้ผู้ร้องเรียนทราบพร้อมด้วยเหตุผล และในกรณีที่ไม่รับเรื่องร้องเรียนหรือยุติเรื่องที่มีผู้มีอำนาจพิจารณาในเรื่องนั้นอยู่แล้วตามกฎหมายอื่น ให้แจ้งผู้ร้องเรียนทราบ หากผู้ร้องเรียนประสงค์จะให้ส่งเรื่องให้ผู้มีอำนาจพิจารณาในเรื่องนั้นตามกฎหมายอื่น ให้ดำเนินการตามความประสงค์ดังกล่าว และให้ถือว่าผู้มีอำนาจพิจารณาได้รับเรื่องร้องเรียนนับแต่วันที่คณะกรรมการผู้เชี่ยวชาญได้รับเรื่องร้องเรียนนั้น

## สรุป

มาตรานี้เป็น**กลไกหลักในการพิจารณาเรื่องร้องเรียน**ของคณะกรรมการผู้เชี่ยวชาญ ([มาตรา 71](https://link.pdpalawbase.com/section/71.md)) ครอบคลุม **5 ขั้น**: (1) **ไม่รับเรื่อง** — ผิดระเบียบ; (2) **ยุติเรื่อง** — ไม่มีมูล; (3) **ไกล่เกลี่ย** — ถ้าทำได้และคู่กรณีประสงค์; (4) **ออกคำสั่ง** — ให้แก้ไข/ห้ามกระทำ ภายในเวลาที่กำหนด; (5) **บังคับทางปกครอง** — ยึด/อายัด/ขายทอดตลาด ถ้าไม่ปฏิบัติตามคำสั่ง — **คำสั่งเป็นที่สุด** + **ส่งต่อให้ผู้มีอำนาจตามกฎหมายอื่น**ได้ตามคำขอของผู้ร้องเรียน

## องค์ประกอบสำคัญ

- **วรรค 1 — ไม่รับเรื่องร้องเรียน:**
  - **เหตุ 2 ประการ:**
    1. ผู้ร้องเรียนไม่ปฏิบัติตามระเบียบ ([มาตรา 73](https://link.pdpalawbase.com/section/73.md) วรรค 2)
    2. เรื่องที่ระเบียบกำหนดไม่ให้รับ
- **วรรค 2 — ยุติเรื่อง:**
  - **เหตุ:** พิจารณาตาม [มาตรา 72](https://link.pdpalawbase.com/section/72.md) (1) หรือตรวจสอบตาม [มาตรา 72](https://link.pdpalawbase.com/section/72.md) (2) แล้ว**ไม่มีมูล**
  - คณะกรรมการผู้เชี่ยวชาญมีคำสั่งยุติเรื่อง
- **วรรค 3 — ไกล่เกลี่ย:**
  - **เงื่อนไข 2 ข้อ:**
    1. เรื่องนั้นเป็นกรณีที่**อาจไกล่เกลี่ยได้**
    2. **คู่กรณีประสงค์**จะให้ไกล่เกลี่ย
  - **ผลของการไกล่เกลี่ย:**
    - **สำเร็จ:** ระงับข้อพิพาท
    - **ไม่อาจไกล่เกลี่ยได้ / ไม่สำเร็จ:** ออกคำสั่ง 2 ประเภท
      - **(1) คำสั่งให้แก้ไข** — สั่งให้ผู้ควบคุม/ผู้ประมวลผลแก้ไขให้ถูกต้องภายในเวลาที่กำหนด
      - **(2) คำสั่งห้ามกระทำ + สั่งให้กระทำเพื่อระงับ** — ห้ามการกระทำที่ก่อความเสียหาย หรือสั่งให้กระทำการใดเพื่อระงับ
- **วรรค 4 — บังคับทางปกครอง:**
  - **กรณี:** ไม่ปฏิบัติตามคำสั่งวรรค 3 (1) หรือ (2)
  - **กลไก:** ใช้บทบัญญัติตามกฎหมายว่าด้วยวิธีปฏิบัติราชการทางปกครอง**โดยอนุโลม**
  - **กรณีต้องยึด/อายัด/ขายทอดตลาด:** คณะกรรมการผู้เชี่ยวชาญ**เป็นผู้มีอำนาจสั่ง**
- **วรรค 5 — รูปแบบคำสั่ง:**
  - คำสั่งวรรค 1, 2, 3 (1), (2) ต้องเป็นไปตามหลักเกณฑ์และวิธีการที่คณะกรรมการ ([มาตรา 8](https://link.pdpalawbase.com/section/8.md)) ประกาศกำหนด
- **วรรค 6 — ผู้ลงนาม:**
  - ประธานกรรมการผู้เชี่ยวชาญลงนามแทนคณะ
- **วรรค 7 — ความเป็นที่สุด:**
  - คำสั่งตามมาตรานี้**เป็นที่สุด** — ไม่อุทธรณ์ในชั้นปกครองได้
- **วรรค 8 — การแจ้งและการส่งต่อ:**
  - ต้องแจ้งผู้ร้องเรียน**ทุกผลการพิจารณา**พร้อมเหตุผล
  - กรณีไม่รับ/ยุติเพราะมีผู้มีอำนาจตามกฎหมายอื่น → ผู้ร้องอาจขอให้**ส่งต่อ**
  - ส่งต่อแล้ว**นับวันที่คณะกรรมการผู้เชี่ยวชาญได้รับเรื่อง**เป็นวันที่ผู้มีอำนาจตามกฎหมายอื่นได้รับ — รักษาผลทางกฎหมาย เช่น อายุความ

## มาตราที่อ้างอิง

- [มาตรา 71](https://link.pdpalawbase.com/section/71.md) — โครงสร้างคณะกรรมการผู้เชี่ยวชาญ — องค์กรที่ใช้อำนาจตามมาตรานี้
- [มาตรา 72](https://link.pdpalawbase.com/section/72.md) — หน้าที่และอำนาจ 4 ประการ — มาตรานี้ใช้ขยาย (1), (2), (3)
- [มาตรา 73](https://link.pdpalawbase.com/section/73.md) — สิทธิร้องเรียน + ระเบียบ — ระเบียบในวรรค 2 ของ [มาตรา 73](https://link.pdpalawbase.com/section/73.md) เป็นเกณฑ์การไม่รับ/ยุติเรื่อง
- [มาตรา 90](https://link.pdpalawbase.com/section/90.md) — อำนาจสั่งโทษทางปกครอง — เชื่อมกับมาตรานี้ผ่านวรรค 4 และวรรค 6 ([มาตรา 90](https://link.pdpalawbase.com/section/90.md) วรรค 4 อ้างถึง [มาตรา 74](https://link.pdpalawbase.com/section/74.md) วรรค 4 และ 6)

## หมายเหตุ

- **5 ขั้นตอน — แสดงเป็นแผนผัง:**
  ```
  รับคำร้องเรียน
      ↓
  ผิดระเบียบ? ──── ใช่ ──→ ไม่รับเรื่อง (วรรค 1)
      ↓ ไม่
  มีมูล? ──── ไม่ ──→ ยุติเรื่อง (วรรค 2)
      ↓ ใช่
  ไกล่เกลี่ยได้ + คู่กรณีประสงค์? ──── ใช่ ──→ ไกล่เกลี่ย (วรรค 3)
      ↓ ไม่ / ไม่สำเร็จ
  ออกคำสั่ง (1) แก้ไข หรือ (2) ห้าม/ระงับ (วรรค 3)
      ↓
  ปฏิบัติตามคำสั่ง? ──── ไม่ ──→ บังคับทางปกครอง (วรรค 4)
                              ── ยึด/อายัด/ขายทอดตลาด
  ```
- **ความเป็นที่สุดของคำสั่ง — ผลในเชิงระบบ:**
  - **ไม่อุทธรณ์ในชั้นปกครองได้** (เช่น ไม่ส่งต่อคณะกรรมการ)
  - **ฟ้องต่อศาลปกครองได้** — ความเป็นที่สุดในชั้นปกครองไม่ตัดสิทธิทางตุลาการ
  - หลักการทั่วไป: คำสั่งทางปกครองที่เป็นที่สุดยังคงอยู่ภายใต้การควบคุมของศาลปกครอง
- **เปรียบเทียบกระบวนการในมาตรานี้ vs ความรับผิดทางแพ่ง ([มาตรา 77](https://link.pdpalawbase.com/section/77.md)):**
  - **มาตรานี้:** เครื่องมือทางปกครอง — บังคับให้ผู้ควบคุมแก้ไข + บังคับทางปกครอง
  - [มาตรา 77](https://link.pdpalawbase.com/section/77.md): เครื่องมือทางแพ่ง — เจ้าของข้อมูลฟ้องเรียกค่าเสียหาย
  - 2 ระบบนี้**คู่ขนาน** — เจ้าของข้อมูลใช้ทั้ง 2 ทางได้
- **การส่งต่อตามวรรค 8 — ทำไมต้องนับเวลาย้อน:**
  - เพื่อ**รักษาอายุความ** — ผู้ร้องเรียนไม่เสียสิทธิเพราะคณะกรรมการผู้เชี่ยวชาญใช้เวลาพิจารณา
  - ตัวอย่าง: เรื่องของ ธปท. → ถ้านับวันใหม่ตอนส่งต่อ อาจขาดอายุความตาม กม.ของ ธปท.
- **ไกล่เกลี่ย — ข้อพิจารณาเชิงปฏิบัติ:**
  - **ข้อดี:** ระงับเร็ว, รักษาความสัมพันธ์ทางธุรกิจ, ลดภาระคดี
  - **ข้อจำกัด:** ต้อง**คู่กรณีประสงค์** — ทั้งสองฝ่าย; ฝ่ายเดียวประสงค์ไม่พอ
  - คณะกรรมการผู้เชี่ยวชาญทำหน้าที่**ผู้ไกล่เกลี่ย** ไม่ใช่**ตัดสิน**
- **เหตุที่ต้องให้คณะกรรมการผู้เชี่ยวชาญสั่ง "ยึด อายัด ขายทอดตลาด" เอง (วรรค 4):**
  - กฎหมายว่าด้วยวิธีปฏิบัติราชการทางปกครองโดยทั่วไปมอบให้**เจ้าหน้าที่ผู้ออกคำสั่ง**บังคับ
  - แต่คณะกรรมการผู้เชี่ยวชาญเป็น**คณะ** — ไม่ใช่เจ้าหน้าที่บุคคลคนเดียว
  - มาตรานี้จึงต้องระบุให้ชัดว่า**คณะ**มีอำนาจสั่งยึด/อายัด/ขายทอดตลาดได้

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/section/74.md

============================================================
โนด: มาตรา 75
ลิงก์อ้างอิง: https://link.pdpalawbase.com/section/75.md

# มาตรา 75

## ตัวบท

> มาตรา 75 คณะกรรมการผู้เชี่ยวชาญมีอำนาจสั่งให้บุคคลใดส่งเอกสารหรือข้อมูลเกี่ยวกับเรื่องที่มีผู้ร้องเรียน หรือเรื่องอื่นใดที่เกี่ยวกับการคุ้มครองข้อมูลส่วนบุคคลตามพระราชบัญญัตินี้ รวมทั้งจะสั่งให้บุคคลใดมาชี้แจงข้อเท็จจริงด้วยก็ได้

## สรุป

มาตรานี้ให้**อำนาจสืบสวนหาข้อเท็จจริง**แก่คณะกรรมการผู้เชี่ยวชาญ ([มาตรา 71](https://link.pdpalawbase.com/section/71.md)) โดยสั่งให้**บุคคลใด** (1) ส่ง**เอกสารหรือข้อมูล** หรือ (2) **มาชี้แจงข้อเท็จจริง** เกี่ยวกับเรื่องที่ร้องเรียน หรือเรื่องอื่นใดที่เกี่ยวกับการคุ้มครองข้อมูลส่วนบุคคล — เป็นเครื่องมือสนับสนุนการพิจารณาตาม [มาตรา 72](https://link.pdpalawbase.com/section/72.md) และ [มาตรา 74](https://link.pdpalawbase.com/section/74.md)

## องค์ประกอบสำคัญ

- **ผู้มีอำนาจ:** คณะกรรมการผู้เชี่ยวชาญ ([มาตรา 71](https://link.pdpalawbase.com/section/71.md))
- **ผู้ถูกสั่ง:** **บุคคลใด** — ขอบเขตกว้าง ครอบคลุม
  - ผู้ควบคุม/ผู้ประมวลผลข้อมูลส่วนบุคคล
  - ลูกจ้าง/ผู้รับจ้าง
  - บุคคลที่ 3 ที่อาจมีข้อมูลเกี่ยวข้อง (เช่น พยาน คู่ค้า)
- **2 ประเภทของคำสั่ง:**
  1. **ส่งเอกสารหรือข้อมูล**
  2. **มาชี้แจงข้อเท็จจริง**
- **ขอบเขตของเรื่อง 2 ประเภท:**
  1. **เรื่องที่มีผู้ร้องเรียน** — เชื่อมกับ [มาตรา 72](https://link.pdpalawbase.com/section/72.md) (1)
  2. **เรื่องอื่นใดที่เกี่ยวกับการคุ้มครองข้อมูลส่วนบุคคล** — เปิดให้ใช้กับการตรวจสอบเชิงรุก ([มาตรา 72](https://link.pdpalawbase.com/section/72.md) (2))

## มาตราที่อ้างอิง

- [มาตรา 72](https://link.pdpalawbase.com/section/72.md) — หน้าที่และอำนาจของคณะกรรมการผู้เชี่ยวชาญ — มาตรานี้เป็นเครื่องมือสนับสนุน (1) และ (2)
- [มาตรา 89](https://link.pdpalawbase.com/section/89.md) — โทษทางปกครองสำหรับผู้ไม่ปฏิบัติตามคำสั่ง — บังคับให้ปฏิบัติตามคำสั่งตามมาตรานี้

## หมายเหตุ

- **บทลงโทษถ้าไม่ปฏิบัติตามคำสั่ง:**
  - [มาตรา 89](https://link.pdpalawbase.com/section/89.md) กำหนดโทษทางปกครอง**ปรับไม่เกิน 5 แสนบาท** สำหรับผู้ไม่ปฏิบัติตามคำสั่งของคณะกรรมการผู้เชี่ยวชาญหรือไม่มาชี้แจงตามมาตรานี้
  - บทลงโทษนี้ทำให้คำสั่งตามมาตรานี้**มีน้ำหนัก** — ไม่ใช่คำขอเชิงสมัครใจ
- **ขอบเขตกว้างของ "บุคคลใด" — เปรียบเทียบกับ [มาตรา 76](https://link.pdpalawbase.com/section/76.md):**
  - **มาตรานี้:** คณะกรรมการผู้เชี่ยวชาญสั่ง — ผ่านหนังสือ/คำสั่ง
  - [มาตรา 76](https://link.pdpalawbase.com/section/76.md): พนักงานเจ้าหน้าที่ลงพื้นที่ตรวจสอบ — สามารถเข้าสถานที่ + ยึดอายัดด้วย (ต้องมีคำสั่งศาล)
  - 2 มาตรานี้เป็น**เครื่องมือเสริมกัน** — มาตรานี้เน้นการเรียก, [มาตรา 76](https://link.pdpalawbase.com/section/76.md) เน้นการลงพื้นที่
- **เปรียบเทียบกับอำนาจในกระบวนการยุติธรรมทางอาญา:**
  - **พนักงานสอบสวน (ป.วิ.อาญา):** มีอำนาจเรียกพยาน/เอกสาร — แต่ในคดีอาญาเท่านั้น
  - **มาตรานี้:** ใช้ในชั้นพิจารณาเรื่องร้องเรียน — เป็นอำนาจทางปกครอง
- **ข้อจำกัดในเชิงสิทธิเสรีภาพ:**
  - มาตรานี้ไม่กำหนดวิธีคุ้มครองข้อมูลที่เป็น**ความลับทางการค้า**ของผู้ส่งเอกสาร
  - คณะกรรมการผู้เชี่ยวชาญและพนักงานต้องเก็บข้อมูลเป็นความลับ — ผูกพันโดย [มาตรา 80](https://link.pdpalawbase.com/section/80.md) (ห้ามเปิดเผยข้อมูลที่ล่วงรู้จากการปฏิบัติหน้าที่)
- **บุคคลที่อ้างเอกสิทธิ์:**
  - มาตรานี้ไม่ระบุข้อยกเว้น เช่น เอกสิทธิ์ของทนายความ-ลูกความ
  - ในทางปฏิบัติต้องตีความให้สอดคล้องกับหลักทั่วไปในการอ้างเอกสิทธิ์

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/section/75.md

============================================================
โนด: มาตรา 76
ลิงก์อ้างอิง: https://link.pdpalawbase.com/section/76.md

# มาตรา 76

## ตัวบท

> มาตรา 76 ในการปฏิบัติการตามพระราชบัญญัตินี้ พนักงานเจ้าหน้าที่มีหน้าที่และอำนาจ ดังต่อไปนี้
>
> (1) มีหนังสือแจ้งให้ผู้ควบคุมข้อมูลส่วนบุคคล ผู้ประมวลผลข้อมูลส่วนบุคคล หรือผู้ใดมาให้ข้อมูลหรือส่งเอกสารหรือหลักฐานใด ๆ เกี่ยวกับการดำเนินการหรือการกระทำความผิดตามพระราชบัญญัตินี้
>
> (2) ตรวจสอบและรวบรวมข้อเท็จจริง แล้วรายงานต่อคณะกรรมการผู้เชี่ยวชาญ ในกรณีที่ผู้ควบคุมข้อมูลส่วนบุคคล ผู้ประมวลผลข้อมูลส่วนบุคคล หรือผู้ใดได้กระทำผิดหรือทำให้เกิดความเสียหายเพราะฝ่าฝืนหรือไม่ปฏิบัติตามพระราชบัญญัติหรือประกาศที่ออกตามพระราชบัญญัตินี้
>
> ในการดำเนินการตาม (2) หากมีความจำเป็นเพื่อคุ้มครองประโยชน์ของเจ้าของข้อมูลส่วนบุคคลหรือเพื่อประโยชน์สาธารณะ ให้พนักงานเจ้าหน้าที่ยื่นคำร้องต่อศาลที่มีเขตอำนาจเพื่อมีคำสั่งอนุญาตให้พนักงานเจ้าหน้าที่เข้าไปในสถานที่ของผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ใดเกี่ยวกับการกระทำความผิดตามพระราชบัญญัตินี้ ในระหว่างเวลาพระอาทิตย์ขึ้นถึงพระอาทิตย์ตกหรือในเวลาทำการของสถานที่นั้น เพื่อตรวจสอบและรวบรวมข้อเท็จจริง ยึดหรืออายัดเอกสารหลักฐาน หรือสิ่งอื่นใดที่เกี่ยวกับการกระทำความผิด หรือมีเหตุอันควรเชื่อได้ว่ามีไว้หรือใช้เพื่อกระทำความผิด
>
> ในการแต่งตั้งพนักงานเจ้าหน้าที่ ให้รัฐมนตรีพิจารณาแต่งตั้งจากข้าราชการหรือเจ้าหน้าที่อื่นของรัฐซึ่งดำรงตำแหน่งไม่ต่ำกว่าข้าราชการพลเรือนระดับปฏิบัติการหรือเทียบเท่าและมีคุณสมบัติตามที่คณะกรรมการประกาศกำหนด
>
> ในการปฏิบัติหน้าที่ของพนักงานเจ้าหน้าที่ตามมาตรานี้ ต้องแสดงบัตรประจำตัวต่อผู้ที่เกี่ยวข้องและให้ผู้ที่เกี่ยวข้องอำนวยความสะดวกตามสมควร
>
> บัตรประจำตัวพนักงานเจ้าหน้าที่ ให้เป็นไปตามแบบที่คณะกรรมการประกาศกำหนด

## สรุป

มาตรานี้กำหนด**หน้าที่และอำนาจของพนักงานเจ้าหน้าที่** 2 ประการ: (1) มีหนังสือแจ้งให้บุคคลส่งเอกสารหรือมาให้ข้อมูล; (2) ตรวจสอบและรวบรวมข้อเท็จจริงแล้วรายงานคณะกรรมการผู้เชี่ยวชาญ — กรณีจำเป็นต้อง**เข้าสถานที่/ยึด/อายัด** ต้องมี**คำสั่งศาล**ก่อน เฉพาะระหว่าง**พระอาทิตย์ขึ้นถึงพระอาทิตย์ตก** หรือในเวลาทำการ — รัฐมนตรี**แต่งตั้ง**จากข้าราชการระดับปฏิบัติการหรือเทียบเท่า — ในการปฏิบัติหน้าที่ต้อง**แสดงบัตรประจำตัว**

## องค์ประกอบสำคัญ

- **วรรค 1 — หน้าที่และอำนาจ 2 ประการ:**
  - **(1) เรียกเอกสาร/ข้อมูล:**
    - มี**หนังสือแจ้ง**ให้บุคคลมาให้ข้อมูลหรือส่งเอกสาร/หลักฐาน
    - ขอบเขต: เกี่ยวกับการดำเนินการหรือการกระทำความผิดตาม พ.ร.บ.
  - **(2) ตรวจสอบและรวบรวมข้อเท็จจริง:**
    - **รายงานต่อคณะกรรมการผู้เชี่ยวชาญ** ([มาตรา 71](https://link.pdpalawbase.com/section/71.md))
    - ขอบเขต: กรณีที่มีการฝ่าฝืน พ.ร.บ. หรือประกาศ
- **วรรค 2 — เข้าสถานที่ + ยึดอายัด (ต้องมีคำสั่งศาล):**
  - **เงื่อนไข:** มีความจำเป็นเพื่อ
    - คุ้มครองประโยชน์ของเจ้าของข้อมูลส่วนบุคคล หรือ
    - ประโยชน์สาธารณะ
  - **กระบวนการ:** ยื่นคำร้องต่อ**ศาลที่มีเขตอำนาจ**
  - **เวลาที่เข้าได้:**
    - ระหว่างพระอาทิตย์ขึ้นถึงพระอาทิตย์ตก หรือ
    - ในเวลาทำการของสถานที่นั้น
  - **อำนาจหลังคำสั่งศาล:**
    - เข้าสถานที่
    - ตรวจสอบและรวบรวมข้อเท็จจริง
    - ยึดหรืออายัดเอกสาร/หลักฐาน/สิ่งอื่นใด
      - ที่เกี่ยวกับการกระทำความผิด
      - มีเหตุอันควรเชื่อว่ามีไว้/ใช้กระทำความผิด
- **วรรค 3 — การแต่งตั้ง:**
  - **ผู้แต่งตั้ง:** รัฐมนตรีดิจิทัลเพื่อเศรษฐกิจและสังคม
  - **คุณสมบัติขั้นต่ำ:** ข้าราชการ/เจ้าหน้าที่อื่นของรัฐ ระดับ**ปฏิบัติการหรือเทียบเท่า**ขึ้นไป
  - **คุณสมบัติเพิ่มเติม:** ตามที่คณะกรรมการ ([มาตรา 8](https://link.pdpalawbase.com/section/8.md)) ประกาศกำหนด
- **วรรค 4 — บัตรประจำตัว:**
  - ต้อง**แสดงบัตร**ต่อผู้ที่เกี่ยวข้อง
  - ผู้ที่เกี่ยวข้องต้อง**อำนวยความสะดวกตามสมควร**
- **วรรค 5 — แบบบัตร:**
  - ตามที่คณะกรรมการประกาศกำหนด

## มาตราที่อ้างอิง

- [มาตรา 72](https://link.pdpalawbase.com/section/72.md) — หน้าที่ของคณะกรรมการผู้เชี่ยวชาญ — รับรายงานจากพนักงานเจ้าหน้าที่ตาม (2)
- [มาตรา 89](https://link.pdpalawbase.com/section/89.md) — โทษทางปกครองสำหรับผู้ไม่ปฏิบัติตาม (1) หรือไม่อำนวยความสะดวกตามวรรค 4

## หมายเหตุ

- **3 ระดับของอำนาจ — แสดงเป็นชั้น:**
  ```
  ระดับ 1: เรียกเอกสารผ่านหนังสือ (วรรค 1 (1))
       ↓ ผู้ฝ่าฝืนถูกปรับทางปกครองตาม [[มาตรา-89]]
  ระดับ 2: ตรวจสอบและรายงาน (วรรค 1 (2))
       ↓ ถ้าไม่ได้ผล หรือมีเหตุจำเป็นเพิ่มเติม
  ระดับ 3: ยื่นคำร้องต่อศาล → เข้าสถานที่ + ยึด/อายัด (วรรค 2)
  ```
- **เหตุผลที่ต้องมีคำสั่งศาล:**
  - **คุ้มครองสิทธิตามรัฐธรรมนูญ** — สิทธิในความเป็นส่วนตัว + เสรีภาพในเคหสถาน
  - การให้ศาลทบทวนเป็นกลไกถ่วงดุลอำนาจ — ป้องกันการใช้อำนาจเกินขอบเขต
  - สอดคล้องกับ **ป.วิ.อาญา ม.92** (การค้น) ที่ต้องมีหมายค้น
- **เหตุที่จำกัดเวลา "พระอาทิตย์ขึ้นถึงพระอาทิตย์ตก":**
  - หลักการคุ้มครองสิทธิในเคหสถาน — ห้ามค้นเวลากลางคืน เว้นแต่กรณีพิเศษ
  - สอดคล้องกับ **ป.วิ.อาญา ม.96** (การค้นในเคหสถาน)
  - ทางเลือก: ในเวลาทำการของสถานที่ — เพราะธุรกิจบางแห่งทำงานช่วงบ่าย/เย็น
- **เปรียบเทียบ [มาตรา 75](https://link.pdpalawbase.com/section/75.md) vs [มาตรา 76](https://link.pdpalawbase.com/section/76.md):**
  - **[มาตรา 75](https://link.pdpalawbase.com/section/75.md) (สั่งโดยคณะกรรมการผู้เชี่ยวชาญ):**
    - เรียกบุคคล**มา**ให้ข้อมูล/เอกสาร
    - ไม่มีอำนาจเข้าสถานที่
  - **[มาตรา 76](https://link.pdpalawbase.com/section/76.md) (สั่งโดยพนักงานเจ้าหน้าที่):**
    - เรียกผ่านหนังสือ + **ลงพื้นที่**ได้ (มีคำสั่งศาล)
    - มีอำนาจ**ยึด/อายัด**
  - 2 มาตรานี้เสริมกัน — [มาตรา 75](https://link.pdpalawbase.com/section/75.md) = ใช้กับเรื่องที่ผู้ครอบครองข้อมูลร่วมมือ; [มาตรา 76](https://link.pdpalawbase.com/section/76.md) = ใช้เมื่อต้องการสืบสวนเชิงรุก
- **คุณสมบัติพนักงานเจ้าหน้าที่ — เหตุที่ต้องเป็นข้าราชการ:**
  - ผูกพันด้วย**ระเบียบทางวินัย**ของข้าราชการ — ป้องกันการละเมิดอำนาจ
  - มีกลไก**ลงโทษ**กรณีปฏิบัติหน้าที่มิชอบ
  - ระดับปฏิบัติการขึ้นไป — เพื่อให้มีวุฒิภาวะและประสบการณ์
- **อำนาจสั่งให้บุคคลมาให้ข้อมูล (วรรค 1 (1)) vs สั่งให้บุคคลมาชี้แจง ([มาตรา 75](https://link.pdpalawbase.com/section/75.md)):**
  - 2 มาตรามีอำนาจคล้ายกัน แต่**ผู้สั่ง**ต่างกัน
  - **พนักงานเจ้าหน้าที่:** ระดับปฏิบัติ — ออกหนังสือเรียก
  - **คณะกรรมการผู้เชี่ยวชาญ:** ระดับองค์กร — ออกคำสั่งเป็นทางการ
- **บัตรประจำตัว — เหตุผลทางกฎหมาย:**
  - การแสดงบัตรเป็น**เงื่อนไข**ของการใช้อำนาจ — ไม่แสดงบัตร = ใช้อำนาจมิชอบ
  - คุ้มครองประชาชนจากผู้แอบอ้างเป็นเจ้าหน้าที่
  - สอดคล้องกับ**กฎหมายว่าด้วยวิธีปฏิบัติราชการทางปกครอง**

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/section/76.md

============================================================
โนด: มาตรา 77
ลิงก์อ้างอิง: https://link.pdpalawbase.com/section/77.md

# มาตรา 77

## ตัวบท

> มาตรา 77 ผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคลซึ่งดำเนินการใด ๆ เกี่ยวกับข้อมูลส่วนบุคคลอันเป็นการฝ่าฝืนหรือไม่ปฏิบัติตามบทบัญญัติแห่งพระราชบัญญัตินี้ทำให้เกิดความเสียหายต่อเจ้าของข้อมูลส่วนบุคคล ต้องชดใช้ค่าสินไหมทดแทนเพื่อการนั้นแก่เจ้าของข้อมูลส่วนบุคคล ไม่ว่าการดำเนินการนั้นจะเกิดจากการกระทำโดยจงใจหรือประมาทเลินเล่อหรือไม่ก็ตาม เว้นแต่ผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคลนั้นจะพิสูจน์ได้ว่า
>
> (1) ความเสียหายนั้นเกิดจากเหตุสุดวิสัย หรือเกิดจากการกระทำหรือละเว้นการกระทำของเจ้าของข้อมูลส่วนบุคคลนั้นเอง
>
> (2) เป็นการปฏิบัติตามคำสั่งของเจ้าหน้าที่ซึ่งปฏิบัติการตามหน้าที่และอำนาจตามกฎหมาย
>
> ค่าสินไหมทดแทนตามวรรคหนึ่ง ให้หมายความรวมถึงค่าใช้จ่ายทั้งหมดที่เจ้าของข้อมูลส่วนบุคคลได้ใช้จ่ายไปตามความจำเป็นในการป้องกันความเสียหายที่กำลังจะเกิดขึ้นหรือระงับความเสียหายที่เกิดขึ้นแล้วด้วย

## สรุป

มาตรานี้เปิดหมวด 6 (ความรับผิดทางแพ่ง) ด้วยหลัก**ความรับผิดเด็ดขาด** — ผู้ควบคุม/ผู้ประมวลผลที่ฝ่าฝืน พ.ร.บ. และก่อความเสียหายแก่เจ้าของข้อมูล**ต้องชดใช้ค่าสินไหมทดแทน** **โดยไม่ต้องพิสูจน์เจตนาหรือประมาท** — มี**ข้อยกเว้น 2 ประการ**ที่ผู้ควบคุม/ผู้ประมวลผลพิสูจน์ได้: (1) **เหตุสุดวิสัย** หรือเกิดจากเจ้าของข้อมูลเอง; (2) **ปฏิบัติตามคำสั่งเจ้าหน้าที่** — ค่าสินไหมรวม**ค่าใช้จ่ายในการป้องกัน/ระงับ**ความเสียหายของเจ้าของข้อมูลด้วย

## องค์ประกอบสำคัญ

- **วรรค 1 — หลักความรับผิดเด็ดขาด:**
  - **ผู้รับผิด:**
    - ผู้ควบคุมข้อมูลส่วนบุคคล
    - ผู้ประมวลผลข้อมูลส่วนบุคคล
  - **เหตุที่รับผิด:** ดำเนินการเกี่ยวกับข้อมูลส่วนบุคคลโดย**ฝ่าฝืน**หรือ**ไม่ปฏิบัติตาม** พ.ร.บ. + เกิดความเสียหายต่อเจ้าของข้อมูล
  - **ขอบเขตความรับผิด:** ชดใช้ค่าสินไหมทดแทน
  - **หลักความรับผิดเด็ดขาด:** **ไม่ต้องพิสูจน์เจตนาหรือประมาท** — ภาระการพิสูจน์ตกแก่ผู้ควบคุม/ผู้ประมวลผลในการพิสูจน์ข้อยกเว้น
- **ข้อยกเว้น (1) — เหตุสุดวิสัย / เจ้าของข้อมูลเอง:**
  - **เหตุสุดวิสัย** — ตามนิยามใน ป.พ.พ. ม.8 (เหตุที่ป้องกันไม่ได้แม้ใช้ความระมัดระวังตามสมควร)
  - **กระทำหรือละเว้นโดยเจ้าของข้อมูลเอง** — เช่น เจ้าของข้อมูลใส่รหัสผ่านอ่อน → ถูกแฮก
- **ข้อยกเว้น (2) — ปฏิบัติตามคำสั่งเจ้าหน้าที่:**
  - **เจ้าหน้าที่**ที่ปฏิบัติการตามหน้าที่และอำนาจตามกฎหมาย
  - เช่น พนักงานเจ้าหน้าที่ตาม [มาตรา 76](https://link.pdpalawbase.com/section/76.md) สั่งให้ส่งข้อมูล → ผู้ควบคุมส่งตามคำสั่ง → ไม่รับผิด
- **วรรค 2 — ขอบเขตค่าสินไหมทดแทน:**
  - รวม**ค่าใช้จ่ายตามความจำเป็น**ในการ
    - **ป้องกันความเสียหายที่กำลังจะเกิดขึ้น**
    - **ระงับความเสียหายที่เกิดขึ้นแล้ว**

## มาตราที่อ้างอิง

- [มาตรา 78](https://link.pdpalawbase.com/section/78.md) — ค่าสินไหมทดแทนเพื่อการลงโทษ + อายุความ — ขยายมาตรานี้เรื่องจำนวนและกรอบเวลา

## หมายเหตุ

- **เหตุที่ใช้หลักความรับผิดเด็ดขาด — ไม่ใช่ความรับผิดเพราะประมาท:**
  - **ความไม่เท่าเทียมกันของข้อมูล** — ผู้ควบคุมเก็บข้อมูลของเจ้าของ; เจ้าของไม่เห็นกระบวนการภายใน
  - การพิสูจน์**ประมาทเลินเล่อ**ของผู้ควบคุมเป็นภาระที่หนักเกินไปสำหรับเจ้าของข้อมูล
  - ผู้ควบคุมเป็นผู้**ได้ประโยชน์**จากข้อมูล → ควรรับ**ความเสี่ยง**ที่มาด้วย
  - สอดคล้องกับ **GDPR Art. 82** ที่ใช้หลักความรับผิดเด็ดขาดเช่นกัน
- **เปรียบเทียบกับ ป.พ.พ. ม.420 (ละเมิดทั่วไป):**
  - **ป.พ.พ. ม.420:** ต้องพิสูจน์**จงใจหรือประมาท** + ความเสียหาย + ความสัมพันธ์เชิงเหตุผล
  - **มาตรานี้:** **ไม่ต้องพิสูจน์**จงใจหรือประมาท — เพียงพิสูจน์การฝ่าฝืน พ.ร.บ. + ความเสียหาย + ความสัมพันธ์เชิงเหตุผล
- **ภาระการพิสูจน์ — เปรียบเทียบ:**
  - **เจ้าของข้อมูล (โจทก์):** พิสูจน์
    - ผู้ควบคุม/ผู้ประมวลผลฝ่าฝืน พ.ร.บ.
    - ความเสียหายเกิดขึ้น
    - ความสัมพันธ์เชิงเหตุผลระหว่างการฝ่าฝืนกับความเสียหาย
  - **ผู้ควบคุม/ผู้ประมวลผล (จำเลย):** พิสูจน์**ข้อยกเว้น** (1) หรือ (2) เพื่อให้พ้นความรับผิด
- **ข้อยกเว้น (2) — เหตุที่รับผิดไม่ได้:**
  - การกระทำตามคำสั่งเจ้าหน้าที่ที่ชอบด้วยกฎหมาย ไม่ใช่ความผิดของผู้ควบคุม/ผู้ประมวลผล
  - ตัวอย่าง: ตำรวจมีหมายขอข้อมูล → ผู้ควบคุมต้องส่งให้ — ไม่ควรต้องชดใช้ค่าเสียหาย
  - แต่ถ้าคำสั่ง**ไม่ชอบด้วยกฎหมาย** (เช่น ไม่มีหมาย) → ข้อยกเว้นนี้ไม่ใช้ — ผู้ควบคุมยังต้องรับผิด
- **ค่าใช้จ่ายป้องกัน/ระงับ — ตัวอย่าง:**
  - **ป้องกัน:** เจ้าของข้อมูลรู้ว่าข้อมูลรั่ว → จ้างที่ปรึกษาช่วยเปลี่ยนรหัสผ่าน, ตรวจสอบบัญชีต่าง ๆ
  - **ระงับ:** เจ้าของข้อมูลรู้ว่ามีการขโมยตัวตน → ค่าใช้จ่ายในการ**แจ้งความ**, ขอคืนเงินจากบัตรเครดิต, แก้ไขรายงานเครดิต
  - การรวมค่าใช้จ่ายเหล่านี้สะท้อนหลัก**คืนสภาพเดิม**ของกฎหมายแพ่ง
- **ความสัมพันธ์ระหว่างผู้ควบคุมกับลูกจ้าง — เปรียบเทียบกับ ป.พ.พ. ม.425:**
  - **ป.พ.พ. ม.425:** นายจ้างรับผิดในการกระทำของลูกจ้างที่ทำในทางการที่จ้าง
  - **มาตรานี้:** ผู้ควบคุมรับผิดในการดำเนินการเกี่ยวกับข้อมูล — รวมการกระทำของลูกจ้าง/ผู้รับจ้างที่ดำเนินการในนามผู้ควบคุม
- **กลไกระงับข้อพิพาท — 2 ทางคู่ขนาน:**
  - **ทางปกครอง:** ร้องเรียนต่อคณะกรรมการผู้เชี่ยวชาญ ([มาตรา 73](https://link.pdpalawbase.com/section/73.md), [มาตรา 74](https://link.pdpalawbase.com/section/74.md))
  - **ทางแพ่ง:** ฟ้องเรียกค่าเสียหายตามมาตรานี้
  - 2 ทางใช้พร้อมกันได้ — เจ้าของข้อมูลไม่ต้องเลือก

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/section/77.md

============================================================
โนด: มาตรา 78
ลิงก์อ้างอิง: https://link.pdpalawbase.com/section/78.md

# มาตรา 78

## ตัวบท

> มาตรา 78 ให้ศาลมีอำนาจสั่งให้ผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคลจ่ายค่าสินไหมทดแทนเพื่อการลงโทษเพิ่มขึ้นจากจำนวนค่าสินไหมทดแทนที่แท้จริงที่ศาลกำหนดได้ตามที่ศาลเห็นสมควร แต่ไม่เกินสองเท่าของค่าสินไหมทดแทนที่แท้จริงนั้น ทั้งนี้ โดยคำนึงถึงพฤติการณ์ต่าง ๆ เช่น ความร้ายแรงของความเสียหายที่เจ้าของข้อมูลส่วนบุคคลได้รับ ผลประโยชน์ที่ผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคลได้รับ สถานะทางการเงินของผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคล การที่ผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคลได้บรรเทาความเสียหายที่เกิดขึ้น หรือการที่เจ้าของข้อมูลส่วนบุคคลมีส่วนในการก่อให้เกิดความเสียหายด้วย
>
> สิทธิเรียกร้องค่าเสียหายอันเกิดจากการละเมิดข้อมูลส่วนบุคคลตามพระราชบัญญัตินี้เป็นอันขาดอายุความเมื่อพ้นสามปีนับแต่วันที่ผู้เสียหายรู้ถึงความเสียหายและรู้ตัวผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคลที่ต้องรับผิด หรือเมื่อพ้นสิบปีนับแต่วันที่มีการละเมิดข้อมูลส่วนบุคคล

## สรุป

มาตรานี้ขยาย [มาตรา 77](https://link.pdpalawbase.com/section/77.md) ใน 2 มิติ: **(1) ค่าสินไหมทดแทนเพื่อการลงโทษ** — ศาลมีอำนาจสั่งให้จ่ายเพิ่ม**ไม่เกินสองเท่า**ของค่าสินไหมที่แท้จริง โดยพิจารณาจากความร้ายแรง ผลประโยชน์ที่ได้รับ สถานะการเงิน การบรรเทา และส่วนของเจ้าของข้อมูล; **(2) อายุความ** — **3 ปีนับแต่รู้ถึงความเสียหายและรู้ตัวผู้รับผิด** หรือ **10 ปีนับแต่วันละเมิด** (แล้วแต่ระยะเวลาใดถึงก่อน)

## องค์ประกอบสำคัญ

- **วรรค 1 — ค่าสินไหมทดแทนเพื่อการลงโทษ:**
  - **ผู้มีอำนาจสั่ง:** ศาล (ศาลที่มีเขตอำนาจ — ศาลแพ่งทั่วไป)
  - **ผู้ต้องจ่าย:** ผู้ควบคุม/ผู้ประมวลผล
  - **เพดาน:** ไม่เกิน**สองเท่า**ของค่าสินไหมทดแทนที่แท้จริง
  - **เป็นอำนาจดุลพินิจ — ศาลพิจารณาตามเห็นสมควร**
  - **พฤติการณ์ที่ศาลคำนึงถึง 5 ประการ:**
    1. **ความร้ายแรง**ของความเสียหายที่เจ้าของข้อมูลได้รับ
    2. **ผลประโยชน์**ที่ผู้ควบคุม/ผู้ประมวลผลได้รับ
    3. **สถานะทางการเงิน**ของผู้ควบคุม/ผู้ประมวลผล
    4. **การบรรเทาความเสียหาย**โดยผู้ควบคุม/ผู้ประมวลผล
    5. **ส่วนของเจ้าของข้อมูล**ในการก่อให้เกิดความเสียหาย
- **วรรค 2 — อายุความ (กฎ 3+10):**
  - **อายุความระยะสั้น (3 ปี):** นับแต่วันที่ผู้เสียหายรู้
    - **ความเสียหาย** + **ตัวผู้ที่ต้องรับผิด** (รู้**ทั้งสอง**)
  - **อายุความระยะยาว (10 ปี):** นับแต่วันที่**มีการละเมิด**
  - **อายุความขาดเมื่อถึงระยะเวลาใดก่อน** — แล้วแต่ระยะเวลาใดถึงก่อน

## มาตราที่อ้างอิง

- [มาตรา 77](https://link.pdpalawbase.com/section/77.md) — ความรับผิดทางแพ่ง — มาตรานี้ขยายเรื่อง**จำนวน**และ**กรอบเวลา**

## หมายเหตุ

- **ค่าสินไหมทดแทนเพื่อการลงโทษ — แนวคิดและบทบาท:**
  - **แนวคิด:** เป็น**บทลงโทษ**เพิ่มเติมจากการชดใช้ความเสียหาย
  - **เป้าประสงค์:**
    - **ป้องปราม** — ทำให้การละเมิดข้อมูลส่วนบุคคล**ไม่คุ้มค่า**ในเชิงเศรษฐกิจ
    - **ลงโทษ** — สำหรับการกระทำที่จงใจหรือประมาทเลินเล่ออย่างร้ายแรง
  - แตกต่างจากค่าสินไหมทดแทน**ทั่วไป**ที่มุ่งคืนสภาพเดิม
- **เปรียบเทียบกับกฎหมายของประเทศอื่น:**
  - **GDPR Art. 83** (โทษปรับทางปกครอง) — สูงสุด 20 ล้านยูโร หรือ 4% ของยอดขายรวมทั่วโลก
  - **PDPA สิงคโปร์:** ปรับสูงสุด 10% ของยอดขายรายปีในสิงคโปร์
  - **PDPA ไทย (มาตรานี้):** ค่าสินไหมเพื่อการลงโทษไม่เกิน 2 เท่า + ปรับทางปกครองสูงสุด 5 ล้าน ([มาตรา 84](https://link.pdpalawbase.com/section/84.md), [มาตรา 87](https://link.pdpalawbase.com/section/87.md))
- **เพดาน "สองเท่า" — เปรียบเทียบกับกฎหมายไทยอื่น:**
  - **กฎหมายว่าด้วยความรับผิดต่อความเสียหายที่เกิดจากสินค้าที่ไม่ปลอดภัย ม.11:** ไม่เกินสองเท่าของค่าเสียหายที่แท้จริง
  - **กฎหมายคุ้มครองผู้บริโภคไทย:** หลายฉบับใช้เพดานสองเท่า
  - มาตรานี้ใช้เกณฑ์เดียวกัน — สอดคล้องกับแนวทางของกฎหมายคุ้มครองสิทธิอื่น
- **5 พฤติการณ์ — แสดงถึงการชั่งน้ำหนักทุกฝ่าย:**
  - 3 ปัจจัยแรกเน้น**พฤติกรรมของผู้กระทำ** (ความเสียหาย ผลประโยชน์ สถานะการเงิน)
  - **การบรรเทา** ส่งเสริมให้ผู้กระทำแก้ไขความเสียหาย
  - **ส่วนของเจ้าของข้อมูล** สอดคล้องกับหลัก**ความผิดของผู้เสียหายเอง**ตามกฎหมายแพ่ง
- **อายุความ — เปรียบเทียบกับ ป.พ.พ. ม.448:**
  - **ป.พ.พ. ม.448 (ละเมิดทั่วไป):** 1 ปีจากรู้ตัว / 10 ปีจากวันละเมิด
  - **มาตรานี้:** **3 ปี**จากรู้ตัว / 10 ปีจากวันละเมิด
  - มาตรานี้ให้**เวลาเพิ่ม 2 ปี**สำหรับเจ้าของข้อมูลในการรู้ตัวก่อนฟ้อง — เพราะ
    - การละเมิดข้อมูลตรวจสอบยาก เจ้าของข้อมูลอาจรู้ช้า
    - ต้องใช้เวลารวบรวมหลักฐาน (เช่น ขอข้อมูลจากผู้ควบคุม)
- **"รู้ถึงความเสียหายและรู้ตัวผู้รับผิด" — เกณฑ์ที่เข้มงวด:**
  - ต้องรู้**ทั้งสอง**อย่าง (รู้ว่าเสียหาย + รู้ว่าใครต้องรับผิด)
  - ถ้าเจ้าของข้อมูลรู้ว่าข้อมูลรั่ว แต่ไม่รู้ว่าใครเป็นต้นเหตุ → อายุความยังไม่เริ่ม (3 ปี)
  - แต่หลัง 10 ปีจากวันละเมิด → ไม่ว่าจะรู้หรือไม่ → อายุความขาด (เพดานสุดท้าย)
- **ความเชื่อมโยงกับค่าสินไหมทดแทนเพื่อการลงโทษและอายุความ:**
  - การที่ผู้ควบคุม/ผู้ประมวลผลฝ่าฝืน พ.ร.บ. แล้วเจ้าของข้อมูลฟ้องภายใน 3/10 ปี → ศาลพิจารณา**สั่งจ่ายค่าสินไหมเพื่อการลงโทษ**ได้
  - ทำให้กฎหมายมีน้ำหนักทั้ง**ความรับผิด**และ**บทลงโทษ**ในระบบเดียวกัน

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/section/78.md

============================================================
โนด: มาตรา 79
ลิงก์อ้างอิง: https://link.pdpalawbase.com/section/79.md

# มาตรา 79

## ตัวบท

> มาตรา 79 ผู้ควบคุมข้อมูลส่วนบุคคลผู้ใดฝ่าฝืนมาตรา 27 วรรคหนึ่งหรือวรรคสอง หรือไม่ปฏิบัติตามมาตรา 28 อันเกี่ยวกับข้อมูลส่วนบุคคลตามมาตรา 26 โดยประการที่น่าจะทำให้ผู้อื่นเกิดความเสียหาย เสียชื่อเสียง ถูกดูหมิ่น ถูกเกลียดชัง หรือได้รับความอับอาย ต้องระวางโทษจำคุกไม่เกินหกเดือน หรือปรับไม่เกินห้าแสนบาท หรือทั้งจำทั้งปรับ
>
> ผู้ควบคุมข้อมูลส่วนบุคคลผู้ใดฝ่าฝืนมาตรา 27 วรรคหนึ่งหรือวรรคสอง หรือไม่ปฏิบัติตามมาตรา 28 อันเกี่ยวกับข้อมูลส่วนบุคคลตามมาตรา 26 เพื่อแสวงหาประโยชน์ที่มิควรได้โดยชอบด้วยกฎหมายสำหรับตนเองหรือผู้อื่น ต้องระวางโทษจำคุกไม่เกินหนึ่งปี หรือปรับไม่เกินหนึ่งล้านบาท หรือทั้งจำทั้งปรับ
>
> ความผิดตามมาตรานี้เป็นความผิดอันยอมความได้

## สรุป

มาตรานี้เปิดส่วนที่ 1 (โทษอาญา) ของหมวด 7 ด้วย**โทษอาญาที่หนักที่สุด**ใน พ.ร.บ. — สำหรับผู้ควบคุมที่ฝ่าฝืน [มาตรา 27](https://link.pdpalawbase.com/section/27.md) วรรค 1/2 (การใช้/เปิดเผย) หรือไม่ปฏิบัติ [มาตรา 28](https://link.pdpalawbase.com/section/28.md) (ส่งต่างประเทศ) **เกี่ยวกับข้อมูลอ่อนไหว** ([มาตรา 26](https://link.pdpalawbase.com/section/26.md)) — มี **2 ระดับโทษ**: (1) **6 เดือน หรือ 5 แสน** — น่าจะทำให้ผู้อื่นเสียหาย/เสียชื่อเสียง/ดูหมิ่น/เกลียดชัง/อับอาย; (2) **1 ปี หรือ 1 ล้าน** — เพื่อแสวงหาประโยชน์โดยมิชอบ — เป็น**ความผิดอันยอมความได้**

## องค์ประกอบสำคัญ

- **วรรค 1 — โทษพื้นฐาน:**
  - **ผู้ต้องรับผิด:** ผู้ควบคุมข้อมูลส่วนบุคคล
  - **การกระทำ:**
    - ฝ่าฝืน [มาตรา 27](https://link.pdpalawbase.com/section/27.md) วรรค 1 หรือวรรค 2 — ใช้/เปิดเผยโดยไม่มีความยินยอม / ไม่เป็นไปตามวัตถุประสงค์
    - หรือไม่ปฏิบัติ [มาตรา 28](https://link.pdpalawbase.com/section/28.md) — ส่งหรือโอนไปต่างประเทศโดยไม่มีฐานที่ชอบ
  - **เงื่อนไขจำกัด:** เกี่ยวกับ**ข้อมูลส่วนบุคคลตาม [มาตรา 26](https://link.pdpalawbase.com/section/26.md)** (ข้อมูลอ่อนไหว)
  - **ผลที่คาดได้:** **น่าจะ**ทำให้ผู้อื่น
    - เกิดความเสียหาย
    - เสียชื่อเสียง
    - ถูกดูหมิ่น
    - ถูกเกลียดชัง
    - ได้รับความอับอาย
  - **โทษ:** จำคุกไม่เกิน **6 เดือน** หรือปรับไม่เกิน **5 แสนบาท** หรือทั้งจำทั้งปรับ
- **วรรค 2 — โทษเมื่อแสวงหาประโยชน์:**
  - การกระทำ + เงื่อนไขข้อมูลอ่อนไหวเหมือนวรรค 1
  - **เจตนาเฉพาะ:** เพื่อ**แสวงหาประโยชน์ที่มิควรได้โดยชอบด้วยกฎหมาย**สำหรับตนเองหรือผู้อื่น
  - **โทษ:** จำคุกไม่เกิน **1 ปี** หรือปรับไม่เกิน **1 ล้านบาท** หรือทั้งจำทั้งปรับ
- **วรรค 3 — ลักษณะความผิด:**
  - **ความผิดอันยอมความได้** — ผู้เสียหายเป็นผู้เริ่มคดี + ถอนฟ้องได้

## มาตราที่อ้างอิง

- [มาตรา 26](https://link.pdpalawbase.com/section/26.md) — ข้อมูลอ่อนไหว — ขอบเขตของความผิดมาตรานี้
- [มาตรา 27](https://link.pdpalawbase.com/section/27.md) — การใช้/เปิดเผยข้อมูลส่วนบุคคล — เป็นการฝ่าฝืนที่นำไปสู่โทษ
- [มาตรา 28](https://link.pdpalawbase.com/section/28.md) — การส่งหรือโอนข้อมูลไปต่างประเทศ — เป็นการไม่ปฏิบัติที่นำไปสู่โทษ

## หมายเหตุ

- **ทำไมโทษอาญาจึงสงวนไว้สำหรับข้อมูลอ่อนไหว ([มาตรา 26](https://link.pdpalawbase.com/section/26.md)) เท่านั้น:**
  - ข้อมูลอ่อนไหว (เชื้อชาติ ศาสนา ข้อมูลทางการแพทย์ ฯลฯ) มี**ผลกระทบรุนแรง**ต่อสิทธิเสรีภาพและศักดิ์ศรีของบุคคลถ้าถูกเปิดเผย
  - ข้อมูลทั่วไป (ที่ไม่ใช่ข้อมูลอ่อนไหว) มี**โทษทางปกครอง**เท่านั้น ([มาตรา 83](https://link.pdpalawbase.com/section/83.md))
  - หลักการ**โทษเรียงตามความรุนแรงของผลกระทบ**
- **เปรียบเทียบ 2 ระดับโทษ:**
  - **วรรค 1 (โทษพื้นฐาน):** การกระทำที่**น่าจะ**ทำให้เกิดผลร้ายแรง — ไม่ต้องเกิดผลจริง (เพียง "น่าจะ")
  - **วรรค 2 (โทษเพิ่ม):** การกระทำเพื่อ**แสวงหาประโยชน์** — เป็นความผิดที่มีโทษหนักขึ้น
  - การที่กฎหมายมี 2 ระดับ → ทำให้ศาลพิจารณาตามเจตนาผู้กระทำได้ละเอียดขึ้น
- **"ประโยชน์ที่มิควรได้โดยชอบด้วยกฎหมาย" — ตีความ:**
  - ครอบคลุม**ผลประโยชน์ทางการเงิน** (ขายข้อมูล) และ**ผลประโยชน์อื่น** (ใช้ขู่เข็ญ ฯลฯ)
  - ไม่จำเป็นต้องได้ประโยชน์จริง — การกระทำ**เพื่อ**แสวงหาก็เพียงพอ
- **"น่าจะ" — มาตรฐานการพิสูจน์:**
  - **ไม่ต้องเกิดผลจริง** — เพียงพิสูจน์ว่าการกระทำ**น่าจะ**ทำให้เกิดผล
  - คล้ายกับมาตรฐานในความผิดเกี่ยวกับเสรีภาพและชื่อเสียง ใน ป.อาญา ม.326 (หมิ่นประมาท)
- **ความผิดอันยอมความได้ — ผลในเชิงปฏิบัติ:**
  - ผู้เสียหาย (เจ้าของข้อมูล)**ต้องร้องทุกข์**ภายใน 3 เดือนนับแต่รู้เรื่องและรู้ตัวผู้กระทำ (ป.อาญา ม.96)
  - ผู้เสียหาย**ถอนคำร้องทุกข์**ได้ — สอดคล้องกับ [มาตรา 78](https://link.pdpalawbase.com/section/78.md) ที่ให้สิทธิเรียกค่าเสียหายทางแพ่ง
  - ตำรวจไม่สามารถสอบสวนได้เองโดยไม่มีคำร้องทุกข์
  - เปิดทางให้**ไกล่เกลี่ยและประนีประนอม** — สอดคล้องกับนโยบายลดคดีในศาล
- **เปรียบเทียบกับ [มาตรา 80](https://link.pdpalawbase.com/section/80.md):**
  - **มาตรานี้:** ผู้**ควบคุม**ฝ่าฝืน + เกี่ยวกับ**ข้อมูลอ่อนไหว** + ผลร้ายแรง
  - [มาตรา 80](https://link.pdpalawbase.com/section/80.md): **ผู้ใด**ที่ล่วงรู้ข้อมูลตามหน้าที่ พ.ร.บ. แล้วเปิดเผย — **ขอบเขตกว้างกว่า**
- **เปรียบเทียบกับโทษทางปกครอง [มาตรา 84](https://link.pdpalawbase.com/section/84.md):**
  - **ม.84 (ปกครอง):** ผู้ควบคุมฝ่าฝืนเกี่ยวกับข้อมูลอ่อนไหว → ปรับ 5 ล้าน
  - **มาตรานี้ (อาญา):** + ผลร้ายแรง → จำคุก 6 เดือน-1 ปี + ปรับ 5 แสน-1 ล้าน
  - **2 บทลงโทษคู่ขนาน** — ใช้พร้อมกันได้ (โทษทางปกครองสำหรับนิติบุคคล + โทษอาญาสำหรับบุคคลที่กระทำ)
- **ความเชื่อมโยงกับ [มาตรา 81](https://link.pdpalawbase.com/section/81.md):**
  - ถ้านิติบุคคลกระทำผิดตามมาตรานี้ → กรรมการ/ผู้จัดการ/ผู้รับผิดชอบ**ต้องรับโทษด้วย**ตาม [มาตรา 81](https://link.pdpalawbase.com/section/81.md)

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/section/79.md

============================================================
โนด: มาตรา 80
ลิงก์อ้างอิง: https://link.pdpalawbase.com/section/80.md

# มาตรา 80

## ตัวบท

> มาตรา 80 ผู้ใดล่วงรู้ข้อมูลส่วนบุคคลของผู้อื่นเนื่องจากการปฏิบัติหน้าที่ตามพระราชบัญญัตินี้ ถ้าผู้นั้นนำไปเปิดเผยแก่ผู้อื่น ต้องระวางโทษจำคุกไม่เกินหกเดือน หรือปรับไม่เกินห้าแสนบาท หรือทั้งจำทั้งปรับ
>
> ความในวรรคหนึ่ง มิให้นำมาใช้บังคับแก่การเปิดเผย ในกรณีดังต่อไปนี้
>
> (1) การเปิดเผยตามหน้าที่
>
> (2) การเปิดเผยเพื่อประโยชน์แก่การสอบสวน หรือการพิจารณาคดี
>
> (3) การเปิดเผยแก่หน่วยงานของรัฐในประเทศหรือต่างประเทศที่มีอำนาจหน้าที่ตามกฎหมาย
>
> (4) การเปิดเผยที่ได้รับความยินยอมเป็นหนังสือเฉพาะครั้งจากเจ้าของข้อมูลส่วนบุคคล
>
> (5) การเปิดเผยข้อมูลส่วนบุคคลที่เกี่ยวกับการฟ้องร้องคดีต่าง ๆ ที่เปิดเผยต่อสาธารณะ

## สรุป

มาตรานี้เป็น**ข้อห้ามการเปิดเผยข้อมูล**สำหรับผู้ที่**ล่วงรู้**ข้อมูลของผู้อื่นเนื่องจากการ**ปฏิบัติหน้าที่ตาม พ.ร.บ. นี้** — มี**โทษจำคุกไม่เกิน 6 เดือน หรือปรับ 5 แสนบาท** — มี**ข้อยกเว้น 5 ประการ**ที่เปิดเผยได้ชอบด้วยกฎหมาย: (1) ตามหน้าที่; (2) เพื่อการสอบสวน/พิจารณาคดี; (3) ให้หน่วยงานของรัฐที่มีอำนาจ; (4) มีความยินยอมเป็นหนังสือเฉพาะครั้ง; (5) ข้อมูลคดีที่เปิดเผยต่อสาธารณะแล้ว

## องค์ประกอบสำคัญ

- **วรรค 1 — บทลงโทษ:**
  - **ผู้ต้องรับผิด:** **ผู้ใด** — ขอบเขตกว้างมาก ไม่จำกัดเฉพาะผู้ควบคุม/ผู้ประมวลผล
    - กรรมการ ([มาตรา 8](https://link.pdpalawbase.com/section/8.md))
    - คณะกรรมการกำกับสำนักงาน ([มาตรา 48](https://link.pdpalawbase.com/section/48.md))
    - คณะกรรมการผู้เชี่ยวชาญ ([มาตรา 71](https://link.pdpalawbase.com/section/71.md))
    - เลขาธิการ ([มาตรา 58](https://link.pdpalawbase.com/section/58.md))
    - พนักงานสำนักงาน
    - พนักงานเจ้าหน้าที่ ([มาตรา 76](https://link.pdpalawbase.com/section/76.md))
  - **เงื่อนไข:**
    - **ล่วงรู้**ข้อมูลส่วนบุคคลของผู้อื่น
    - เนื่องจาก**การปฏิบัติหน้าที่ตาม พ.ร.บ. นี้**
    - **นำไปเปิดเผย**แก่ผู้อื่น
  - **โทษ:** จำคุกไม่เกิน **6 เดือน** หรือปรับไม่เกิน **5 แสนบาท** หรือทั้งจำทั้งปรับ
- **วรรค 2 — ข้อยกเว้น 5 ประการ:**
  1. **การเปิดเผยตามหน้าที่** — เช่น เลขาธิการรายงานต่อคณะกรรมการ
  2. **เพื่อประโยชน์แก่การสอบสวน หรือการพิจารณาคดี** — ตัวอย่าง: ตำรวจขอข้อมูลคดีอาญา
  3. **เปิดเผยแก่หน่วยงานของรัฐในประเทศหรือต่างประเทศ**ที่มีอำนาจหน้าที่ตามกฎหมาย — เช่น แลกเปลี่ยนข้อมูลกับ DPA ของอียู
  4. **มีความยินยอมเป็นหนังสือเฉพาะครั้ง**จากเจ้าของข้อมูล — มาตรฐานสูงกว่าความยินยอมทั่วไป
  5. **ข้อมูลที่เกี่ยวกับการฟ้องร้องคดีที่เปิดเผยต่อสาธารณะ**แล้ว — ข้อมูลที่อยู่ในชั้นศาลและเปิดเผยอยู่แล้ว

## มาตราที่อ้างอิง

(ไม่มีการอ้างอิงมาตราภายใน พ.ร.บ. ตรง — มาตรานี้เป็นข้อห้ามทั่วไปสำหรับผู้ปฏิบัติหน้าที่)

## หมายเหตุ

- **ขอบเขตของ "ผู้ใด" — เปรียบเทียบกับ [มาตรา 79](https://link.pdpalawbase.com/section/79.md):**
  - **มาตรานี้:** "ผู้ใด" — ครอบคลุมทั้ง**บุคคลภายในระบบ พ.ร.บ.** (กรรมการ พนักงาน) และบุคคลภายนอกที่ล่วงรู้ตามหน้าที่
  - [มาตรา 79](https://link.pdpalawbase.com/section/79.md): เฉพาะ "ผู้ควบคุมข้อมูลส่วนบุคคล"
  - 2 มาตรานี้ครอบคลุมการรั่วของข้อมูลจาก**คนละด้าน**
- **ความสัมพันธ์กับ [มาตรา 75](https://link.pdpalawbase.com/section/75.md) และ [มาตรา 76](https://link.pdpalawbase.com/section/76.md):**
  - คณะกรรมการผู้เชี่ยวชาญและพนักงานเจ้าหน้าที่มีอำนาจ**ล่วงรู้**ข้อมูลในการปฏิบัติหน้าที่
  - มาตรานี้คือ**บทลงโทษ**ถ้าใช้อำนาจแล้วเปิดเผยข้อมูลโดยมิชอบ
  - ทำให้อำนาจของคณะกรรมการ/พนักงานเจ้าหน้าที่อยู่ภายใต้**กรอบความรับผิดชอบ**
- **ข้อยกเว้น (1) "การเปิดเผยตามหน้าที่" — ขอบเขต:**
  - **ตามหน้าที่ที่ พ.ร.บ. หรือกฎหมายอื่นกำหนด** — เช่น
    - เลขาธิการเสนอรายงานประจำปีตาม [มาตรา 70](https://link.pdpalawbase.com/section/70.md)
    - คณะกรรมการผู้เชี่ยวชาญส่งต่อให้ผู้มีอำนาจตามกฎหมายอื่นตาม [มาตรา 74](https://link.pdpalawbase.com/section/74.md) วรรค 8
  - ไม่ใช่ "หน้าที่" ที่ตีความเอง — ต้องมีฐานทางกฎหมายชัดเจน
- **ข้อยกเว้น (3) "หน่วยงานของรัฐ...ในประเทศหรือต่างประเทศ":**
  - **ในประเทศ:** เช่น แลกเปลี่ยนข้อมูลกับสำนักงานตำรวจ, ผู้ตรวจการแผ่นดิน
  - **ต่างประเทศ:** กลไกความร่วมมือระหว่าง DPA — สอดคล้องกับ GDPR Art. 50
  - ข้อจำกัด: **มีอำนาจหน้าที่ตามกฎหมาย** — ไม่ใช่หน่วยงานเอกชน
- **ข้อยกเว้น (4) "ความยินยอมเป็นหนังสือ**เฉพาะครั้ง**":**
  - **มาตรฐานสูงกว่า** [มาตรา 19](https://link.pdpalawbase.com/section/19.md) (ความยินยอมทั่วไป)
  - ต้องเป็น**ลายลักษณ์อักษร**
  - **เฉพาะครั้ง** — ไม่ใช่ความยินยอมแบบกว้าง ๆ ใช้ได้หลายครั้ง
  - ออกแบบให้เจ้าของข้อมูล**เห็นชัด**ว่าจะมีการเปิดเผย
- **ข้อยกเว้น (5) "ข้อมูลที่เกี่ยวกับการฟ้องร้องคดี":**
  - คำพิพากษา/คำฟ้องที่**เปิดเผยต่อสาธารณะแล้ว**
  - ตามหลักการ**เปิดเผยกระบวนการยุติธรรม** (ป.วิ.อาญา ม.149 ทวิ)
- **ความเชื่อมโยงกับหลักการคุ้มครองข้อมูลทั่วไป:**
  - มาตรานี้คือกลไกบังคับ**หน้าที่รักษาความลับ**ของผู้ปฏิบัติหน้าที่ตาม พ.ร.บ.
  - คล้ายกับหน้าที่รักษาความลับใน GDPR ที่ผูกพัน DPA และเจ้าหน้าที่
  - สอดคล้องกับหลัก**ความน่าเชื่อถือของระบบ** — ถ้าเจ้าของข้อมูลไม่เชื่อว่าหน่วยงานคุ้มครองจะเก็บความลับ → จะไม่ใช้สิทธิร้องเรียน
- **เปรียบเทียบกับโทษทางปกครอง:**
  - มาตรานี้เป็น**โทษอาญา** — เนื่องจากผู้กระทำเป็น**บุคคล**ที่ปฏิบัติหน้าที่
  - ไม่มีโทษทางปกครองคู่ขนาน — เพราะการลงโทษทางปกครองเหมาะกับผู้ควบคุม/ผู้ประมวลผล (นิติบุคคล/องค์กร) มากกว่า
- **อายุความ:**
  - โทษจำคุกไม่เกิน 6 เดือน → อายุความ 5 ปี (ป.อาญา ม.95)
  - ไม่ใช่ความผิดอันยอมความได้ (ตัวบทไม่ระบุ) — ต่างจาก [มาตรา 79](https://link.pdpalawbase.com/section/79.md)

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/section/80.md

============================================================
โนด: มาตรา 81
ลิงก์อ้างอิง: https://link.pdpalawbase.com/section/81.md

# มาตรา 81

## ตัวบท

> มาตรา 81 ในกรณีที่ผู้กระทำความผิดตามพระราชบัญญัตินี้เป็นนิติบุคคล ถ้าการกระทำความผิดของนิติบุคคลนั้นเกิดจากการสั่งการหรือการกระทำของกรรมการหรือผู้จัดการ หรือบุคคลใดซึ่งรับผิดชอบในการดำเนินงานของนิติบุคคลนั้น หรือในกรณีที่บุคคลดังกล่าวมีหน้าที่ต้องสั่งการหรือกระทำการและละเว้นไม่สั่งการหรือไม่กระทำการจนเป็นเหตุให้นิติบุคคลนั้นกระทำความผิด ผู้นั้นต้องรับโทษตามที่บัญญัติไว้สำหรับความผิดนั้น ๆ ด้วย

## สรุป

มาตรานี้กำหนดให้**กรรมการ ผู้จัดการ หรือผู้รับผิดชอบในการดำเนินงาน**ของนิติบุคคล**ต้องรับโทษ**ตาม พ.ร.บ. นี้**ด้วย**ในกรณีที่นิติบุคคลกระทำความผิด ครอบคลุม **2 ลักษณะ**: (1) **การสั่งการหรือการกระทำ** ที่นำไปสู่ความผิด; (2) **การละเว้น**ไม่สั่งการ/ไม่กระทำการที่ตน**มีหน้าที่**ต้องทำ — เป็นกลไกที่ทำให้**ผู้บริหารระดับสูง**ของนิติบุคคลรับผิดทางอาญาเช่นเดียวกับนิติบุคคล

## องค์ประกอบสำคัญ

- **เงื่อนไขเปิดมาตรา:**
  - **ผู้กระทำความผิดเป็นนิติบุคคล** — บริษัท/มูลนิธิ/หน่วยงานของรัฐ/ฯลฯ
  - **ความผิดตาม พ.ร.บ. นี้** — ครอบคลุมโทษอาญาทั้งหมดในส่วนที่ 1
- **บุคคลที่อาจรับโทษด้วย 3 ประเภท:**
  - **กรรมการ** — สมาชิกคณะกรรมการบริษัท
  - **ผู้จัดการ** — ผู้บริหารระดับสูง
  - **บุคคลใดซึ่งรับผิดชอบในการดำเนินงาน**ของนิติบุคคล — ขอบเขตเปิด
- **2 ลักษณะการกระทำที่นำไปสู่ความรับผิด:**
  - **(1) การสั่งการหรือการกระทำ:**
    - **เชิงรุก** — สั่ง/กระทำให้นิติบุคคลกระทำความผิด
  - **(2) การละเว้น:**
    - **เชิงละเว้น** — มีหน้าที่ต้องสั่งการ/กระทำ แต่**ละเว้น**
    - **เป็นเหตุ**ให้นิติบุคคลกระทำความผิด
- **ผลทางกฎหมาย:**
  - บุคคลดังกล่าว**ต้องรับโทษ**ตามที่บัญญัติสำหรับความผิดนั้น ๆ **ด้วย**
  - ความรับผิดของบุคคล + ความรับผิดของนิติบุคคล**คู่ขนาน**

## มาตราที่อ้างอิง

- [มาตรา 79](https://link.pdpalawbase.com/section/79.md) — โทษอาญาสำหรับผู้ควบคุมที่ฝ่าฝืน [มาตรา 27](https://link.pdpalawbase.com/section/27.md)/[มาตรา 28](https://link.pdpalawbase.com/section/28.md) เกี่ยวกับข้อมูลอ่อนไหว — ถ้าผู้ควบคุมเป็นนิติบุคคล มาตรานี้ใช้
- [มาตรา 80](https://link.pdpalawbase.com/section/80.md) — โทษอาญาสำหรับผู้ล่วงรู้ข้อมูลตามหน้าที่ พ.ร.บ. แล้วเปิดเผย — ถ้าผู้กระทำเป็นนิติบุคคล มาตรานี้ใช้

## หมายเหตุ

- **เหตุที่ต้องมีบทลงโทษกรรมการ/ผู้จัดการ:**
  - นิติบุคคลเป็น**สมมติบุคคล** — ไม่สามารถจำคุกได้
  - การลงโทษ**ปรับนิติบุคคล**อย่างเดียวอาจไม่เพียงพอที่จะป้องปราม
  - การ**ระบุตัวบุคคลที่รับผิดชอบ**ทำให้บทลงโทษมีน้ำหนัก
- **เปรียบเทียบกับ ป.อาญา ม.84 (แห่งบทลงโทษการกระทำของลูกจ้าง):**
  - **ป.อาญา ม.84:** ผู้ใช้ให้ผู้อื่นกระทำความผิด → รับโทษเสมือนเป็นตัวการ
  - **มาตรานี้:** ลักษณะเฉพาะของความรับผิดของผู้บริหารนิติบุคคล — ครอบคลุมทั้งการกระทำและการละเว้น
- **เปรียบเทียบกับกฎหมายไทยอื่นที่มีบทลงโทษคู่ขนานทำนองนี้:**
  - **พ.ร.บ. ว่าด้วยการกระทำความผิดเกี่ยวกับคอมพิวเตอร์ ม.16:** ลักษณะเดียวกัน
  - **พ.ร.บ. คุ้มครองผู้บริโภค ม.59:** ลักษณะเดียวกัน
  - **พ.ร.บ. หลักทรัพย์ ม.300:** ครอบคลุมกรรมการบริษัทจดทะเบียน
- **"ผู้รับผิดชอบในการดำเนินงาน" — ขอบเขต:**
  - **ไม่จำกัดเฉพาะตำแหน่งทางการ** — ไม่ใช่ "กรรมการ" หรือ "ผู้จัดการ" เท่านั้น
  - ครอบคลุม**บุคคลที่มีอำนาจตัดสินใจในการดำเนินงาน** — เช่น ผู้บริหารฝ่ายการเงิน ผู้บริหารฝ่ายปฏิบัติการ ผู้บริหารฝ่ายเทคโนโลยีสารสนเทศ
  - **DPO** ([มาตรา 41](https://link.pdpalawbase.com/section/41.md)) อาจเข้าข่ายถ้าเป็นผู้รับผิดชอบในการดำเนินงานเกี่ยวกับการคุ้มครองข้อมูล
- **การละเว้น — เกณฑ์การพิจารณา:**
  - **ต้องมีหน้าที่ต้องสั่งการ/กระทำการ** — เช่น
    - กรรมการมีหน้าที่กำกับดูแลการปฏิบัติตาม พ.ร.บ.
    - DPO มีหน้าที่ตรวจสอบและให้คำแนะนำตาม [มาตรา 42](https://link.pdpalawbase.com/section/42.md)
  - **ละเว้น**ไม่ทำหน้าที่ — เช่น ไม่ตั้ง DPO, ไม่ทำ DPIA, ไม่จัดทำ ROPA
  - **เป็นเหตุ**ให้นิติบุคคลกระทำความผิด
- **ภาระการพิสูจน์:**
  - **อัยการ/โจทก์:** พิสูจน์
    - การกระทำความผิดของนิติบุคคล
    - การสั่งการ/กระทำ/ละเว้นของบุคคลที่อ้างว่ารับผิด
    - ความสัมพันธ์เชิงเหตุผล
  - **บุคคลผู้ถูกกล่าวหา:** อาจอ้างว่า
    - ไม่ได้สั่งการ/กระทำ/ละเว้น
    - ไม่มีหน้าที่ตามที่อ้าง
- **กรณีคณะกรรมการมีมติเป็นกลุ่ม:**
  - **กรรมการที่ลงคะแนนเห็นชอบ** — อาจเข้าข่ายมาตรานี้
  - **กรรมการที่คัดค้านและบันทึกในรายงานการประชุม** — อาจอ้างว่าไม่ได้ "สั่งการ"
  - หลักการนี้สอดคล้องกับ ป.พ.พ. ม.1170 (ความรับผิดของกรรมการบริษัท)

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/section/81.md

============================================================
โนด: มาตรา 82
ลิงก์อ้างอิง: https://link.pdpalawbase.com/section/82.md

# มาตรา 82

## ตัวบท

> มาตรา 82 ผู้ควบคุมข้อมูลส่วนบุคคลผู้ใดไม่ปฏิบัติตามมาตรา 23 มาตรา 30 วรรคสี่ มาตรา 39 วรรคหนึ่ง มาตรา 41 วรรคหนึ่ง หรือมาตรา 42 วรรคสองหรือวรรคสาม หรือไม่ขอความยินยอมตามแบบหรือข้อความที่คณะกรรมการประกาศกำหนดตามมาตรา 19 วรรคสาม หรือไม่แจ้งผลกระทบจากการถอนความยินยอมตามมาตรา 19 วรรคหก หรือไม่ปฏิบัติตามมาตรา 23 ซึ่งได้นำมาใช้บังคับโดยอนุโลมตามมาตรา 25 วรรคสอง ต้องระวางโทษปรับทางปกครองไม่เกินหนึ่งล้านบาท

## สรุป

มาตรานี้เปิดส่วนที่ 2 (โทษทางปกครอง) ของหมวด 7 — กำหนด**โทษปรับทางปกครองไม่เกิน 1 ล้านบาท**สำหรับผู้ควบคุมที่**ไม่ปฏิบัติตามหน้าที่พื้นฐาน 7 ข้อ**: (1) [มาตรา 23](https://link.pdpalawbase.com/section/23.md) (แจ้งวัตถุประสงค์); (2) [มาตรา 30](https://link.pdpalawbase.com/section/30.md) วรรค 4 (สิทธิเข้าถึงข้อมูล); (3) [มาตรา 39](https://link.pdpalawbase.com/section/39.md) วรรค 1 (จัดทำ ROPA); (4) [มาตรา 41](https://link.pdpalawbase.com/section/41.md) วรรค 1 (ตั้ง DPO/ตัวแทน); (5) [มาตรา 42](https://link.pdpalawbase.com/section/42.md) วรรค 2/3 (หน้าที่ DPO); (6) [มาตรา 19](https://link.pdpalawbase.com/section/19.md) วรรค 3 (รูปแบบความยินยอม); (7) [มาตรา 19](https://link.pdpalawbase.com/section/19.md) วรรค 6 (แจ้งผลกระทบการถอนความยินยอม)

## องค์ประกอบสำคัญ

- **ผู้ต้องรับผิด:** ผู้ควบคุมข้อมูลส่วนบุคคล
- **โทษ:** ปรับทางปกครอง**ไม่เกิน 1 ล้านบาท**
- **การกระทำที่นำไปสู่โทษ:**
  - ไม่ปฏิบัติตาม [มาตรา 23](https://link.pdpalawbase.com/section/23.md) — แจ้งให้เจ้าของข้อมูลทราบก่อน/ขณะเก็บรวบรวม
  - ไม่ปฏิบัติตาม [มาตรา 30](https://link.pdpalawbase.com/section/30.md) วรรค 4 — ไม่ตอบสนองคำขอเข้าถึงข้อมูล
  - ไม่ปฏิบัติตาม [มาตรา 39](https://link.pdpalawbase.com/section/39.md) วรรค 1 — ไม่จัดทำบันทึกรายการ (ROPA)
  - ไม่ปฏิบัติตาม [มาตรา 41](https://link.pdpalawbase.com/section/41.md) วรรค 1 — ไม่แต่งตั้งตัวแทน/เจ้าหน้าที่คุ้มครองข้อมูล (DPO)
  - ไม่ปฏิบัติตาม [มาตรา 42](https://link.pdpalawbase.com/section/42.md) วรรค 2 หรือ 3 — ไม่สนับสนุน DPO หรือไม่เปิดเผยช่องทางติดต่อ DPO
  - ไม่ขอความยินยอมตามแบบที่คณะกรรมการประกาศกำหนดตาม [มาตรา 19](https://link.pdpalawbase.com/section/19.md) วรรค 3
  - ไม่แจ้งผลกระทบจากการถอนความยินยอมตาม [มาตรา 19](https://link.pdpalawbase.com/section/19.md) วรรค 6
  - ไม่ปฏิบัติตาม [มาตรา 23](https://link.pdpalawbase.com/section/23.md) อนุโลมจาก [มาตรา 25](https://link.pdpalawbase.com/section/25.md) วรรค 2 (ข้อมูลจากแหล่งอื่น)

## มาตราที่อ้างอิง

- [มาตรา 19](https://link.pdpalawbase.com/section/19.md) — การขอความยินยอม — วรรค 3 (รูปแบบ) + วรรค 6 (แจ้งผลกระทบการถอน)
- [มาตรา 23](https://link.pdpalawbase.com/section/23.md) — แจ้งวัตถุประสงค์ก่อน/ขณะเก็บ
- [มาตรา 25](https://link.pdpalawbase.com/section/25.md) — การเก็บข้อมูลจากแหล่งอื่น — วรรค 2 อนุโลม [มาตรา 23](https://link.pdpalawbase.com/section/23.md)
- [มาตรา 30](https://link.pdpalawbase.com/section/30.md) — สิทธิเข้าถึงข้อมูล — วรรค 4 (ตอบสนองคำขอภายในเวลา)
- [มาตรา 39](https://link.pdpalawbase.com/section/39.md) — บันทึกรายการการประมวลผล (ROPA) — วรรค 1
- [มาตรา 41](https://link.pdpalawbase.com/section/41.md) — การตั้งตัวแทน/DPO — วรรค 1
- [มาตรา 42](https://link.pdpalawbase.com/section/42.md) — สนับสนุน DPO + ช่องทางติดต่อ — วรรค 2-3

## หมายเหตุ

- **โทษ 1 ล้าน — เกณฑ์ระดับที่ 1 ของ 3 ระดับ:**
  - **1 ล้าน:** หน้าที่พื้นฐาน — แจ้ง/ตั้งคน/ตอบสนอง ([มาตรา 82](https://link.pdpalawbase.com/section/82.md))
  - **3 ล้าน:** หน้าที่ใจกลาง — ฐานในการประมวลผล/วัตถุประสงค์ ([มาตรา 83](https://link.pdpalawbase.com/section/83.md))
  - **5 ล้าน:** ข้อมูลอ่อนไหว ([มาตรา 84](https://link.pdpalawbase.com/section/84.md))
- **เหตุที่หน้าที่ในมาตรานี้ปรับเพียง 1 ล้าน:**
  - เป็น**หน้าที่ปฏิบัติ**มากกว่า**หน้าที่ใจกลาง**
  - การละเลยทำให้กระบวนการ**ไม่โปร่งใส** แต่ไม่กระทบ**ฐาน**ในการประมวลผล
  - การแก้ไขทำได้ทันที (ไม่จำเป็นต้องลบข้อมูล)
- **เปรียบเทียบกับ [มาตรา 83](https://link.pdpalawbase.com/section/83.md):**
  - **มาตรานี้ ([มาตรา 82](https://link.pdpalawbase.com/section/82.md)):** ไม่แจ้ง/ไม่ตั้งคน/ไม่ตอบสนอง → ปรับ 1 ล้าน
  - [มาตรา 83](https://link.pdpalawbase.com/section/83.md): ฝ่าฝืน**ฐานในการประมวลผล** ([มาตรา 24](https://link.pdpalawbase.com/section/24.md) เป็นต้น) → ปรับ 3 ล้าน
  - 2 มาตราเป็น**ลำดับขั้น**ของความรุนแรง
- **ภาวะความรับผิด — เปรียบเทียบกับ [มาตรา 77](https://link.pdpalawbase.com/section/77.md):**
  - **[มาตรา 77](https://link.pdpalawbase.com/section/77.md) (ความรับผิดทางแพ่ง):** ใช้หลักความรับผิดเด็ดขาด — ผู้ควบคุมรับผิดเสมอ เว้นแต่พิสูจน์ข้อยกเว้น 2 ข้อ
  - **มาตรานี้ (โทษทางปกครอง):** ใช้หลักความผิดทั่วไปของกฎหมายทางปกครอง — ผู้ควบคุมต้องมี**ความผิด** (จงใจหรือประมาทเลินเล่อ) แต่ภาระการพิสูจน์เบากว่ามาตรฐานทางอาญา
- **การพิจารณาจำนวนเงินค่าปรับ:**
  - คณะกรรมการผู้เชี่ยวชาญพิจารณาตาม [มาตรา 90](https://link.pdpalawbase.com/section/90.md)
  - **5 พฤติการณ์:** ความร้ายแรง / ขนาดกิจการ / พฤติการณ์อื่น (ต่อ [มาตรา 90](https://link.pdpalawbase.com/section/90.md) วรรค 2)
  - อาจ**สั่งให้แก้ไขหรือตักเตือน**ก่อนปรับ ([มาตรา 90](https://link.pdpalawbase.com/section/90.md) วรรค 1)
- **ความเชื่อมโยงกับ [มาตรา 85](https://link.pdpalawbase.com/section/85.md) (ผู้ประมวลผล):**
  - **มาตรานี้:** ผู้**ควบคุม**ไม่ปฏิบัติ [มาตรา 41](https://link.pdpalawbase.com/section/41.md) ว.1, [มาตรา 42](https://link.pdpalawbase.com/section/42.md) ว.2/3 → 1 ล้าน
  - [มาตรา 85](https://link.pdpalawbase.com/section/85.md): ผู้**ประมวลผล**ไม่ปฏิบัติ [มาตรา 41](https://link.pdpalawbase.com/section/41.md) ว.1, [มาตรา 42](https://link.pdpalawbase.com/section/42.md) ว.2/3 → 1 ล้าน
  - **ระดับโทษเท่ากัน** — เพราะหน้าที่เหมือนกัน เพียงแต่ผู้รับผิดต่างกัน

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/section/82.md

============================================================
โนด: มาตรา 83
ลิงก์อ้างอิง: https://link.pdpalawbase.com/section/83.md

# มาตรา 83

## ตัวบท

> มาตรา 83 ผู้ควบคุมข้อมูลส่วนบุคคลผู้ใดฝ่าฝืนหรือไม่ปฏิบัติตามมาตรา 21 มาตรา 22 มาตรา 24 มาตรา 25 วรรคหนึ่ง มาตรา 27 วรรคหนึ่งหรือวรรคสอง มาตรา 28 มาตรา 32 วรรคสอง หรือมาตรา 37 หรือขอความยินยอมโดยการหลอกลวงหรือทำให้เจ้าของข้อมูลส่วนบุคคลเข้าใจผิดในวัตถุประสงค์ หรือไม่ปฏิบัติตามมาตรา 21 ซึ่งได้นำมาใช้บังคับโดยอนุโลมตามมาตรา 25 วรรคสอง หรือส่งหรือโอนข้อมูลส่วนบุคคลโดยไม่เป็นไปตามมาตรา 29 วรรคหนึ่งหรือวรรคสาม ต้องระวางโทษปรับทางปกครองไม่เกินสามล้านบาท

## สรุป

มาตรานี้กำหนด**โทษปรับทางปกครองไม่เกิน 3 ล้านบาท** — ระดับกลางในส่วนที่ 2 — สำหรับผู้ควบคุมที่ฝ่าฝืน**หน้าที่ใจกลาง 9 ข้อ**: [มาตรา 21](https://link.pdpalawbase.com/section/21.md) (ใช้ตามวัตถุประสงค์); [มาตรา 22](https://link.pdpalawbase.com/section/22.md) (เก็บเท่าที่จำเป็น); [มาตรา 24](https://link.pdpalawbase.com/section/24.md) (ฐานเก็บข้อมูล); [มาตรา 25](https://link.pdpalawbase.com/section/25.md) (เก็บจากแหล่งอื่น); [มาตรา 27](https://link.pdpalawbase.com/section/27.md) (ใช้/เปิดเผยข้อมูลทั่วไป); [มาตรา 28](https://link.pdpalawbase.com/section/28.md) (ส่งต่างประเทศ); [มาตรา 32](https://link.pdpalawbase.com/section/32.md) วรรค 2 (สิทธิคัดค้าน); [มาตรา 37](https://link.pdpalawbase.com/section/37.md) (หน้าที่รักษาความปลอดภัย); [มาตรา 29](https://link.pdpalawbase.com/section/29.md) วรรค 1/3 (ส่งโอนข้อมูล) — รวมทั้ง**การหลอกลวง**ในการขอความยินยอม

## องค์ประกอบสำคัญ

- **ผู้ต้องรับผิด:** ผู้ควบคุมข้อมูลส่วนบุคคล
- **โทษ:** ปรับทางปกครอง**ไม่เกิน 3 ล้านบาท**
- **การกระทำ 3 กลุ่ม:**
  - **กลุ่ม 1 — ฝ่าฝืนหน้าที่ใจกลาง:**
    - [มาตรา 21](https://link.pdpalawbase.com/section/21.md) — ต้องใช้ข้อมูลตามวัตถุประสงค์ที่แจ้ง
    - [มาตรา 22](https://link.pdpalawbase.com/section/22.md) — เก็บเท่าที่จำเป็น
    - [มาตรา 24](https://link.pdpalawbase.com/section/24.md) — ฐานในการเก็บข้อมูล (ความยินยอม + 6 ฐานอื่น)
    - [มาตรา 25](https://link.pdpalawbase.com/section/25.md) วรรค 1 — เก็บจากแหล่งอื่นต้องมีฐาน
    - [มาตรา 27](https://link.pdpalawbase.com/section/27.md) วรรค 1 หรือ 2 — ใช้/เปิดเผยตามฐาน + วัตถุประสงค์
    - [มาตรา 28](https://link.pdpalawbase.com/section/28.md) — ส่งต่างประเทศ
    - [มาตรา 32](https://link.pdpalawbase.com/section/32.md) วรรค 2 — เคารพสิทธิคัดค้านการประมวลผล
    - [มาตรา 37](https://link.pdpalawbase.com/section/37.md) — มาตรการรักษาความปลอดภัย
  - **กลุ่ม 2 — การหลอกลวง:**
    - **ขอความยินยอมโดยการหลอกลวง** หรือ
    - **ทำให้เจ้าของข้อมูลเข้าใจผิดในวัตถุประสงค์**
    - หรือไม่ปฏิบัติ [มาตรา 21](https://link.pdpalawbase.com/section/21.md) อนุโลมจาก [มาตรา 25](https://link.pdpalawbase.com/section/25.md) วรรค 2
  - **กลุ่ม 3 — การส่งโอน:**
    - ส่ง/โอนข้อมูลโดยไม่เป็นไปตาม [มาตรา 29](https://link.pdpalawbase.com/section/29.md) วรรค 1 หรือ 3

## มาตราที่อ้างอิง

- [มาตรา 21](https://link.pdpalawbase.com/section/21.md) — ใช้ข้อมูลตามวัตถุประสงค์
- [มาตรา 22](https://link.pdpalawbase.com/section/22.md) — เก็บเท่าที่จำเป็น
- [มาตรา 24](https://link.pdpalawbase.com/section/24.md) — ฐานในการเก็บข้อมูลทั่วไป
- [มาตรา 25](https://link.pdpalawbase.com/section/25.md) — การเก็บจากแหล่งอื่น
- [มาตรา 27](https://link.pdpalawbase.com/section/27.md) — การใช้และเปิดเผย
- [มาตรา 28](https://link.pdpalawbase.com/section/28.md) — การส่งหรือโอนไปต่างประเทศ
- [มาตรา 29](https://link.pdpalawbase.com/section/29.md) — ฐานสำหรับการส่งหรือโอน
- [มาตรา 32](https://link.pdpalawbase.com/section/32.md) — สิทธิคัดค้าน
- [มาตรา 37](https://link.pdpalawbase.com/section/37.md) — มาตรการรักษาความปลอดภัย

## หมายเหตุ

- **เหตุที่ปรับ 3 ล้าน — สูงกว่า [มาตรา 82](https://link.pdpalawbase.com/section/82.md):**
  - หน้าที่ใน [มาตรา 82](https://link.pdpalawbase.com/section/82.md) เป็น**ปฏิบัติ** — ไม่แจ้ง/ไม่ตั้งคน/ไม่ตอบ
  - หน้าที่ในมาตรานี้เป็น**ใจกลาง** — ฐาน/วัตถุประสงค์/ความปลอดภัย
  - การละเลยกระทบ**สิทธิของเจ้าของข้อมูลโดยตรง**
- **3 ระดับโทษทางปกครองสำหรับผู้ควบคุม:**
  - **1 ล้าน:** หน้าที่ปฏิบัติ ([มาตรา 82](https://link.pdpalawbase.com/section/82.md))
  - **3 ล้าน:** หน้าที่ใจกลาง (มาตรานี้) — ข้อมูลทั่วไป
  - **5 ล้าน:** ข้อมูลอ่อนไหว ([มาตรา 84](https://link.pdpalawbase.com/section/84.md))
- **การหลอกลวงในการขอความยินยอม — ลักษณะเฉพาะ:**
  - ความยินยอมต้อง**ชัดเจน เข้าใจได้** ตาม [มาตรา 19](https://link.pdpalawbase.com/section/19.md)
  - การหลอกลวงทำให้ความยินยอม**ไม่สมบูรณ์** — เจ้าของข้อมูลตัดสินใจโดยไม่รู้ความจริง
  - มาตรานี้กำหนดโทษ**โดยตรง**ต่อการหลอกลวง — เพิ่มความเข้มข้นของหลักการความยินยอม
- **เปรียบเทียบ [มาตรา 27](https://link.pdpalawbase.com/section/27.md) ในมาตรานี้ vs [มาตรา 79](https://link.pdpalawbase.com/section/79.md):**
  - **มาตรานี้ ([มาตรา 83](https://link.pdpalawbase.com/section/83.md)) — โทษทางปกครอง:** ฝ่าฝืน [มาตรา 27](https://link.pdpalawbase.com/section/27.md) ว.1/2 (ข้อมูลทั่วไป) → 3 ล้าน
  - [มาตรา 79](https://link.pdpalawbase.com/section/79.md) — โทษอาญา: ฝ่าฝืน [มาตรา 27](https://link.pdpalawbase.com/section/27.md) ว.1/2 + เกี่ยวกับข้อมูลอ่อนไหว ([มาตรา 26](https://link.pdpalawbase.com/section/26.md)) + ผลร้ายแรง → จำคุก/ปรับ
  - **2 บทลงโทษคู่ขนาน** — แยกตามประเภทข้อมูลและผลกระทบ
- **กลไกป้องกันการหลีกเลี่ยง:**
  - มาตรานี้ครอบคลุมทั้ง**ฝ่าฝืน**และ**ไม่ปฏิบัติ**
  - ครอบคลุม [มาตรา 21](https://link.pdpalawbase.com/section/21.md) อนุโลมจาก [มาตรา 25](https://link.pdpalawbase.com/section/25.md) วรรค 2 — ปิดช่องที่ผู้ควบคุมจะหลีกเลี่ยงโดยเก็บจากแหล่งอื่น
- **เปรียบเทียบกับ [มาตรา 86](https://link.pdpalawbase.com/section/86.md) (ผู้ประมวลผล):**
  - **มาตรานี้:** ผู้ควบคุม → 3 ล้าน
  - [มาตรา 86](https://link.pdpalawbase.com/section/86.md): ผู้ประมวลผล → 3 ล้าน
  - ระดับเท่ากันแต่หน้าที่ต่างกัน — สอดคล้องกับ**ความรับผิดร่วม**ของผู้ควบคุมและผู้ประมวลผล

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/section/83.md

============================================================
โนด: มาตรา 84
ลิงก์อ้างอิง: https://link.pdpalawbase.com/section/84.md

# มาตรา 84

## ตัวบท

> มาตรา 84 ผู้ควบคุมข้อมูลส่วนบุคคลผู้ใดฝ่าฝืนมาตรา 26 วรรคหนึ่งหรือวรรคสาม หรือฝ่าฝืนมาตรา 27 วรรคหนึ่งหรือวรรคสอง หรือมาตรา 28 อันเกี่ยวกับข้อมูลส่วนบุคคลตามมาตรา 26 หรือส่งหรือโอนข้อมูลส่วนบุคคลตามมาตรา 26 โดยไม่เป็นไปตามมาตรา 29 วรรคหนึ่งหรือวรรคสาม ต้องระวางโทษปรับทางปกครองไม่เกินห้าล้านบาท

## สรุป

มาตรานี้กำหนด**โทษปรับทางปกครองสูงสุด 5 ล้านบาท** — ระดับสูงสุดในส่วนที่ 2 — สำหรับผู้ควบคุมที่ฝ่าฝืนเกี่ยวกับ**ข้อมูลอ่อนไหว** ([มาตรา 26](https://link.pdpalawbase.com/section/26.md)) ใน 4 กรณี: (1) [มาตรา 26](https://link.pdpalawbase.com/section/26.md) วรรค 1/3 (ฐานเก็บข้อมูลอ่อนไหว); (2) [มาตรา 27](https://link.pdpalawbase.com/section/27.md) วรรค 1/2 เกี่ยวกับข้อมูลอ่อนไหว (ใช้/เปิดเผย); (3) [มาตรา 28](https://link.pdpalawbase.com/section/28.md) เกี่ยวกับข้อมูลอ่อนไหว (ส่งต่างประเทศ); (4) ส่ง/โอนข้อมูลอ่อนไหวไม่ตาม [มาตรา 29](https://link.pdpalawbase.com/section/29.md) วรรค 1/3

## องค์ประกอบสำคัญ

- **ผู้ต้องรับผิด:** ผู้ควบคุมข้อมูลส่วนบุคคล
- **โทษ:** ปรับทางปกครอง**ไม่เกิน 5 ล้านบาท**
- **เงื่อนไขร่วม:** ทุกการกระทำเกี่ยวข้องกับ**ข้อมูลอ่อนไหว** ([มาตรา 26](https://link.pdpalawbase.com/section/26.md))
- **การกระทำ 4 กรณี:**
  - **(1)** ฝ่าฝืน [มาตรา 26](https://link.pdpalawbase.com/section/26.md) วรรค 1 หรือ 3 — ฐานในการเก็บข้อมูลอ่อนไหว (ความยินยอมโดยชัดแจ้ง + 6 ฐานข้อยกเว้น) / การจัดการข้อมูลที่กฎหมายอื่นกำหนด
  - **(2)** ฝ่าฝืน [มาตรา 27](https://link.pdpalawbase.com/section/27.md) วรรค 1 หรือ 2 — ใช้/เปิดเผย — เกี่ยวกับข้อมูลอ่อนไหว
  - **(3)** ฝ่าฝืน [มาตรา 28](https://link.pdpalawbase.com/section/28.md) — ส่งหรือโอนไปต่างประเทศ — เกี่ยวกับข้อมูลอ่อนไหว
  - **(4)** ส่งหรือโอนข้อมูลอ่อนไหวโดยไม่เป็นไปตาม [มาตรา 29](https://link.pdpalawbase.com/section/29.md) วรรค 1 หรือ 3

## มาตราที่อ้างอิง

- [มาตรา 26](https://link.pdpalawbase.com/section/26.md) — ข้อมูลอ่อนไหว — ขอบเขตของความผิดทุกกรณีในมาตรานี้
- [มาตรา 27](https://link.pdpalawbase.com/section/27.md) — การใช้/เปิดเผยข้อมูล — กรณี (2)
- [มาตรา 28](https://link.pdpalawbase.com/section/28.md) — การส่งไปต่างประเทศ — กรณี (3)
- [มาตรา 29](https://link.pdpalawbase.com/section/29.md) — ฐานสำหรับการส่งหรือโอน — กรณี (4)

## หมายเหตุ

- **โทษ 5 ล้าน — โทษปรับทางปกครองสูงสุดใน พ.ร.บ.:**
  - ใช้กับ**ข้อมูลอ่อนไหว**เท่านั้น — สอดคล้องกับหลักการคุ้มครองพิเศษของข้อมูลอ่อนไหว
  - **ความรุนแรงของผลกระทบ** หากข้อมูลอ่อนไหวรั่วไหล (เช่น ข้อมูลทางการแพทย์, รสนิยมทางเพศ, เชื้อชาติ) → ผลร้ายแรง
- **3 ระดับโทษทางปกครองของผู้ควบคุม — สรุป:**
  - **1 ล้าน ([มาตรา 82](https://link.pdpalawbase.com/section/82.md)):** หน้าที่ปฏิบัติ
  - **3 ล้าน ([มาตรา 83](https://link.pdpalawbase.com/section/83.md)):** หน้าที่ใจกลาง — ข้อมูลทั่วไป
  - **5 ล้าน (มาตรานี้):** ข้อมูลอ่อนไหว
- **เปรียบเทียบกับ [มาตรา 79](https://link.pdpalawbase.com/section/79.md) (โทษอาญา):**
  - **มาตรานี้ (โทษทางปกครอง):** ฝ่าฝืน [มาตรา 27](https://link.pdpalawbase.com/section/27.md) เกี่ยวกับข้อมูลอ่อนไหว → 5 ล้าน — ใช้กับ**ทุกการฝ่าฝืน**
  - [มาตรา 79](https://link.pdpalawbase.com/section/79.md) (โทษอาญา): ฝ่าฝืน [มาตรา 27](https://link.pdpalawbase.com/section/27.md) เกี่ยวกับข้อมูลอ่อนไหว + **ผลร้ายแรง** ([มาตรา 79](https://link.pdpalawbase.com/section/79.md) ว.1) หรือ **เพื่อแสวงหาประโยชน์** (ว.2) → จำคุก + ปรับ
  - **ใช้คู่กันได้** — โทษทางปกครองสำหรับนิติบุคคล + โทษอาญาสำหรับบุคคลที่กระทำ
- **เปรียบเทียบกับ [มาตรา 87](https://link.pdpalawbase.com/section/87.md) (ผู้ประมวลผล):**
  - **มาตรานี้:** ผู้ควบคุมเกี่ยวกับข้อมูลอ่อนไหว → 5 ล้าน
  - [มาตรา 87](https://link.pdpalawbase.com/section/87.md): ผู้ประมวลผล**ส่งหรือโอน**ข้อมูลอ่อนไหว → 5 ล้าน
  - ระดับเท่ากัน แต่ขอบเขตของผู้ประมวลผลแคบกว่า (เฉพาะการส่ง/โอน)
- **เปรียบเทียบกับ GDPR Art. 83 (2):**
  - **GDPR:** ปรับสูงสุด 20 ล้านยูโร หรือ 4% ของยอดขายรวมทั่วโลก (ราว 800 ล้านบาท หรือมากกว่า)
  - **มาตรานี้:** เพดาน 5 ล้านบาท — สูงกว่ากฎหมายไทยทั่วไปแต่ต่ำกว่า GDPR
  - **ผลในเชิงปฏิบัติ:** บริษัทไทยที่ส่งข้อมูลให้บริษัทในยุโรปอาจรับโทษทั้ง 2 ระบบพร้อมกัน
- **การพิจารณาจำนวนเงิน — ตาม [มาตรา 90](https://link.pdpalawbase.com/section/90.md):**
  - คณะกรรมการผู้เชี่ยวชาญพิจารณาตาม
    - ความร้ายแรงแห่งพฤติกรรม
    - ขนาดกิจการของผู้ควบคุม
    - พฤติการณ์อื่น ๆ
  - อาจ**สั่งให้แก้ไขหรือตักเตือน**ก่อนปรับ
- **เหตุที่ฝ่าฝืน [มาตรา 26](https://link.pdpalawbase.com/section/26.md) วรรคสามรับโทษด้วย:**
  - [มาตรา 26](https://link.pdpalawbase.com/section/26.md) วรรค 3 = การจัดการข้อมูลที่กฎหมายอื่น (เช่น กฎหมายแรงงาน) อนุญาตให้เก็บ
  - การไม่ปฏิบัติตามเงื่อนไขที่กฎหมายอื่นกำหนด → กระทบสิทธิของเจ้าของข้อมูลอ่อนไหวเช่นกัน
- **ฐานในการพิจารณาขนาดกิจการ:**
  - **กิจการขนาดเล็ก** (เช่น คลินิกเดี่ยว) — โทษ 5 ล้านอาจสูงเกินไป → คณะกรรมการผู้เชี่ยวชาญอาจปรับน้อยกว่า
  - **กิจการขนาดใหญ่** (เช่น โรงพยาบาลเครือข่าย) — โทษ 5 ล้านอาจไม่เพียงพอที่จะป้องปราม → ใช้เพดานเต็ม
  - หลักการนี้สอดคล้องกับ [มาตรา 90](https://link.pdpalawbase.com/section/90.md) วรรค 2

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/section/84.md

============================================================
โนด: มาตรา 85
ลิงก์อ้างอิง: https://link.pdpalawbase.com/section/85.md

# มาตรา 85

## ตัวบท

> มาตรา 85 ผู้ประมวลผลข้อมูลส่วนบุคคลผู้ใดไม่ปฏิบัติตามมาตรา 41 วรรคหนึ่ง หรือมาตรา 42 วรรคสองหรือวรรคสาม ต้องระวางโทษปรับทางปกครองไม่เกินหนึ่งล้านบาท

## สรุป

มาตรานี้กำหนด**โทษปรับทางปกครองไม่เกิน 1 ล้านบาท**สำหรับ**ผู้ประมวลผล**ที่ไม่ปฏิบัติ: (1) [มาตรา 41](https://link.pdpalawbase.com/section/41.md) วรรค 1 — ไม่แต่งตั้ง**ตัวแทน/DPO**; (2) [มาตรา 42](https://link.pdpalawbase.com/section/42.md) วรรค 2 หรือ 3 — ไม่สนับสนุน DPO หรือไม่เปิดเผยช่องทางติดต่อ DPO — ขนานกับ [มาตรา 82](https://link.pdpalawbase.com/section/82.md) (ผู้ควบคุม) ในเรื่องการตั้ง DPO และการสนับสนุน DPO

## องค์ประกอบสำคัญ

- **ผู้ต้องรับผิด:** ผู้ประมวลผลข้อมูลส่วนบุคคล
- **โทษ:** ปรับทางปกครอง**ไม่เกิน 1 ล้านบาท**
- **การกระทำ:**
  - **(1)** ไม่ปฏิบัติตาม [มาตรา 41](https://link.pdpalawbase.com/section/41.md) วรรค 1 — ไม่แต่งตั้งตัวแทน/DPO
  - **(2)** ไม่ปฏิบัติตาม [มาตรา 42](https://link.pdpalawbase.com/section/42.md) วรรค 2 — ไม่สนับสนุน DPO
  - **(3)** ไม่ปฏิบัติตาม [มาตรา 42](https://link.pdpalawbase.com/section/42.md) วรรค 3 — ไม่เปิดเผยช่องทางติดต่อ DPO

## มาตราที่อ้างอิง

- [มาตรา 41](https://link.pdpalawbase.com/section/41.md) — การตั้งตัวแทน/DPO — วรรค 1
- [มาตรา 42](https://link.pdpalawbase.com/section/42.md) — สนับสนุน DPO + ช่องทางติดต่อ — วรรค 2-3

## หมายเหตุ

- **เหตุที่ผู้ประมวลผลต้องตั้ง DPO:**
  - แม้ผู้ประมวลผลไม่ใช่เจ้าของข้อมูลโดยตรง แต่เป็นผู้ที่จัดการข้อมูลในนามของผู้ควบคุม
  - การตั้ง DPO ในผู้ประมวลผลทำให้มี**ผู้ตรวจสอบภายใน**ของผู้ประมวลผลเอง
  - สอดคล้องกับ GDPR Art. 37 ที่กำหนดให้ทั้งผู้ควบคุมและผู้ประมวลผลต้องตั้ง DPO ในกรณีที่กฎหมายกำหนด
- **เปรียบเทียบกับ [มาตรา 82](https://link.pdpalawbase.com/section/82.md) (ผู้ควบคุม):**
  - **มาตรานี้:** ผู้**ประมวลผล** → 1 ล้าน
  - [มาตรา 82](https://link.pdpalawbase.com/section/82.md): ผู้**ควบคุม** → 1 ล้าน
  - **ระดับโทษเท่ากัน** สำหรับการละเลยการตั้ง DPO
  - แต่[มาตรา 82](https://link.pdpalawbase.com/section/82.md)ครอบคลุมหน้าที่อื่น ๆ ของผู้ควบคุมเพิ่มเติม (แจ้ง [มาตรา 23](https://link.pdpalawbase.com/section/23.md), ROPA [มาตรา 39](https://link.pdpalawbase.com/section/39.md) ฯลฯ)
- **เหตุที่ผู้ประมวลผลมีหน้าที่น้อยกว่าผู้ควบคุม:**
  - ผู้ประมวลผล**ทำงานตามคำสั่ง**ของผู้ควบคุม
  - หน้าที่หลัก (เช่น ฐานในการเก็บข้อมูล, แจ้งเจ้าของข้อมูล) อยู่ที่ผู้ควบคุม
  - ผู้ประมวลผลมีหน้าที่เพียง**ปฏิบัติตามสัญญา**กับผู้ควบคุม + **ตั้ง DPO** + **ส่งโอนตามฐาน**
- **3 บทลงโทษทางปกครองของผู้ประมวลผล:**
  - **1 ล้าน (มาตรานี้):** ไม่ตั้ง DPO / ไม่สนับสนุน DPO
  - **3 ล้าน ([มาตรา 86](https://link.pdpalawbase.com/section/86.md)):** ไม่ปฏิบัติตามคำสั่งผู้ควบคุม ([มาตรา 40](https://link.pdpalawbase.com/section/40.md)) / ส่งโอนผิด
  - **5 ล้าน ([มาตรา 87](https://link.pdpalawbase.com/section/87.md)):** ส่งโอนข้อมูลอ่อนไหวผิด
- **ความเชื่อมโยงกับ [มาตรา 88](https://link.pdpalawbase.com/section/88.md) (ตัวแทน):**
  - **มาตรานี้:** ผู้ประมวลผลโดยตรง — ไม่ตั้ง DPO
  - [มาตรา 88](https://link.pdpalawbase.com/section/88.md): **ตัวแทนของผู้ประมวลผล** — ไม่ปฏิบัติ [มาตรา 41](https://link.pdpalawbase.com/section/41.md) อนุโลม
  - 2 มาตรานี้ครอบคลุมห่วงโซ่ความรับผิดชอบของผู้ประมวลผล
- **ภาวะความรับผิด — ลักษณะของโทษทางปกครอง:**
  - **ไม่ต้องพิสูจน์เจตนา** — เพียงพิสูจน์การไม่ปฏิบัติ
  - แต่ผู้ประมวลผลอาจ**แก้ตัว**ได้ (เช่น ภาระงานน้อย ไม่จำเป็นต้องตั้ง DPO ตาม [มาตรา 41](https://link.pdpalawbase.com/section/41.md) (1)-(3))
  - คณะกรรมการผู้เชี่ยวชาญพิจารณาตาม [มาตรา 90](https://link.pdpalawbase.com/section/90.md)

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/section/85.md

============================================================
โนด: มาตรา 86
ลิงก์อ้างอิง: https://link.pdpalawbase.com/section/86.md

# มาตรา 86

## ตัวบท

> มาตรา 86 ผู้ประมวลผลข้อมูลส่วนบุคคลผู้ใดไม่ปฏิบัติตามมาตรา 40 โดยไม่มีเหตุอันควร หรือส่งหรือโอนข้อมูลส่วนบุคคลโดยไม่เป็นไปตามมาตรา 29 วรรคหนึ่งหรือวรรคสาม หรือไม่ปฏิบัติตามมาตรา 37 (5) ซึ่งได้นำมาใช้บังคับโดยอนุโลมตามมาตรา 38 วรรคสอง ต้องระวางโทษปรับทางปกครองไม่เกินสามล้านบาท

## สรุป

มาตรานี้กำหนด**โทษปรับทางปกครองไม่เกิน 3 ล้านบาท**สำหรับ**ผู้ประมวลผล**ใน 3 กรณี: (1) ไม่ปฏิบัติ [มาตรา 40](https://link.pdpalawbase.com/section/40.md) **โดยไม่มีเหตุอันควร** — ไม่ปฏิบัติตามคำสั่งผู้ควบคุม/ไม่จัดทำบันทึก/ไม่ทำมาตรการรักษาความปลอดภัย/ไม่ลบเมื่อสิ้นสุด; (2) ส่ง/โอนข้อมูลไม่เป็นไปตาม [มาตรา 29](https://link.pdpalawbase.com/section/29.md) วรรค 1/3; (3) ไม่ปฏิบัติ [มาตรา 37](https://link.pdpalawbase.com/section/37.md) (5) — ไม่แจ้งเหตุละเมิด — อนุโลมจาก [มาตรา 38](https://link.pdpalawbase.com/section/38.md) วรรค 2

## องค์ประกอบสำคัญ

- **ผู้ต้องรับผิด:** ผู้ประมวลผลข้อมูลส่วนบุคคล
- **โทษ:** ปรับทางปกครอง**ไม่เกิน 3 ล้านบาท**
- **การกระทำ 3 กรณี:**
  - **(1) ไม่ปฏิบัติ [มาตรา 40](https://link.pdpalawbase.com/section/40.md) โดยไม่มีเหตุอันควร:**
    - หน้าที่ใน [มาตรา 40](https://link.pdpalawbase.com/section/40.md) — 4 หน้าที่หลักของผู้ประมวลผล (ปฏิบัติตามคำสั่ง / จัดทำบันทึก / รักษาความปลอดภัย / ลบเมื่อสิ้นสุด)
    - **เงื่อนไข:** "โดยไม่มีเหตุอันควร" — เปิดให้ผู้ประมวลผลพิสูจน์เหตุผลที่ไม่ปฏิบัติได้
  - **(2) ส่งหรือโอนโดยไม่เป็นไปตาม [มาตรา 29](https://link.pdpalawbase.com/section/29.md) วรรค 1 หรือ 3:**
    - ไม่มีฐานสำหรับส่งไปต่างประเทศ
  - **(3) ไม่ปฏิบัติ [มาตรา 37](https://link.pdpalawbase.com/section/37.md) (5) อนุโลมจาก [มาตรา 38](https://link.pdpalawbase.com/section/38.md) วรรค 2:**
    - ไม่แจ้งเหตุละเมิดข้อมูลภายในเวลาที่กำหนด

## มาตราที่อ้างอิง

- [มาตรา 29](https://link.pdpalawbase.com/section/29.md) — ฐานสำหรับการส่งหรือโอน
- [มาตรา 37](https://link.pdpalawbase.com/section/37.md) — มาตรการรักษาความปลอดภัย — (5) แจ้งเหตุละเมิด
- [มาตรา 38](https://link.pdpalawbase.com/section/38.md) — หน้าที่อนุโลมของผู้ประมวลผล — วรรค 2
- [มาตรา 40](https://link.pdpalawbase.com/section/40.md) — หน้าที่ของผู้ประมวลผล — 4 หน้าที่หลัก

## หมายเหตุ

- **"โดยไม่มีเหตุอันควร" — ลักษณะเฉพาะของมาตรานี้:**
  - มาตรานี้เป็นมาตราเดียวในส่วนที่ 2 ที่ใช้คำนี้
  - **เหตุที่กฎหมายให้ผ่อนผันแก่ผู้ประมวลผล:**
    - ผู้ประมวลผลทำงาน**ตามคำสั่ง**ของผู้ควบคุม
    - บางครั้งผู้ควบคุมไม่ได้ระบุชัดเจนหรือคำสั่งขัดกัน
    - ผู้ประมวลผลอาจ**ไม่สามารถ**ปฏิบัติได้จริง (เช่น ไม่มีข้อมูลครบ)
  - ผู้ประมวลผลอาจ**พิสูจน์เหตุผล**เพื่อพ้นจากโทษ
- **เปรียบเทียบกับผู้ควบคุม [มาตรา 83](https://link.pdpalawbase.com/section/83.md):**
  - **มาตรานี้:** ผู้**ประมวลผล** → 3 ล้าน — เน้นการปฏิบัติตามคำสั่ง + การส่งโอน + การแจ้งเหตุละเมิด
  - [มาตรา 83](https://link.pdpalawbase.com/section/83.md): ผู้**ควบคุม** → 3 ล้าน — เน้นฐานในการประมวลผลและวัตถุประสงค์
  - 2 มาตราเป็น**ภาพสะท้อน**ของแต่ละบทบาท
- **3 ระดับโทษทางปกครองของผู้ประมวลผล — สรุป:**
  - **1 ล้าน ([มาตรา 85](https://link.pdpalawbase.com/section/85.md)):** ไม่ตั้ง DPO / ไม่สนับสนุน DPO
  - **3 ล้าน (มาตรานี้):** ไม่ปฏิบัติตามคำสั่ง / ส่งโอนผิด / ไม่แจ้งเหตุละเมิด
  - **5 ล้าน ([มาตรา 87](https://link.pdpalawbase.com/section/87.md)):** ส่งโอนข้อมูลอ่อนไหวผิด
- **เหตุที่การไม่แจ้งเหตุละเมิด ([มาตรา 37](https://link.pdpalawbase.com/section/37.md) (5)) อยู่ในระดับ 3 ล้าน:**
  - การไม่แจ้งเหตุละเมิด → ทำให้เจ้าของข้อมูลไม่สามารถ**ป้องกันตนเอง**ได้ทัน
  - กระทบ**สิทธิของเจ้าของข้อมูลโดยตรง**
  - มาตรฐานสากล (GDPR Art. 33) ก็มีบทลงโทษหนักสำหรับการไม่แจ้งภายใน 72 ชั่วโมง
- **ความเชื่อมโยงกับ [มาตรา 38](https://link.pdpalawbase.com/section/38.md) วรรค 2:**
  - [มาตรา 38](https://link.pdpalawbase.com/section/38.md) วรรค 2 = ผู้ประมวลผลต้องปฏิบัติหน้าที่ตาม [มาตรา 37](https://link.pdpalawbase.com/section/37.md) (5) อนุโลม
  - มาตรานี้ทำให้การไม่ปฏิบัติตามมีโทษทางปกครอง — สอดคล้องกับการบังคับใช้
- **เปรียบเทียบกับโทษอาญา:**
  - ผู้ประมวลผล**ไม่มี**โทษอาญาตรง ๆ ในส่วนที่ 1 — เพราะ [มาตรา 79](https://link.pdpalawbase.com/section/79.md) ใช้กับ"ผู้ควบคุม"เท่านั้น
  - แต่ผู้ประมวลผลอาจรับโทษอาญาตาม [มาตรา 80](https://link.pdpalawbase.com/section/80.md) (ล่วงรู้ข้อมูลแล้วเปิดเผย) ถ้าเข้าข่าย

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/section/86.md

============================================================
โนด: มาตรา 87
ลิงก์อ้างอิง: https://link.pdpalawbase.com/section/87.md

# มาตรา 87

## ตัวบท

> มาตรา 87 ผู้ประมวลผลข้อมูลส่วนบุคคลผู้ใดส่งหรือโอนข้อมูลส่วนบุคคลตามมาตรา 26 วรรคหนึ่งหรือวรรคสาม โดยไม่เป็นไปตามมาตรา 29 วรรคหนึ่งหรือวรรคสาม ต้องระวางโทษปรับทางปกครองไม่เกินห้าล้านบาท

## สรุป

มาตรานี้กำหนด**โทษปรับทางปกครองสูงสุด 5 ล้านบาท** — ระดับสูงสุดสำหรับผู้ประมวลผล — กรณีผู้ประมวลผล**ส่งหรือโอนข้อมูลอ่อนไหว** ([มาตรา 26](https://link.pdpalawbase.com/section/26.md) วรรค 1/3) **โดยไม่เป็นไปตาม [มาตรา 29](https://link.pdpalawbase.com/section/29.md) วรรค 1/3** (ฐานในการส่งไปต่างประเทศ) — เป็นภาพสะท้อนของ [มาตรา 84](https://link.pdpalawbase.com/section/84.md) (ผู้ควบคุม)

## องค์ประกอบสำคัญ

- **ผู้ต้องรับผิด:** ผู้ประมวลผลข้อมูลส่วนบุคคล
- **โทษ:** ปรับทางปกครอง**ไม่เกิน 5 ล้านบาท**
- **การกระทำ:** ส่งหรือโอน**ข้อมูลอ่อนไหว** ([มาตรา 26](https://link.pdpalawbase.com/section/26.md) วรรค 1 หรือ 3) **โดยไม่เป็นไปตาม** [มาตรา 29](https://link.pdpalawbase.com/section/29.md) วรรค 1 หรือ 3 (ไม่มีฐานสำหรับส่งไปต่างประเทศ)

## มาตราที่อ้างอิง

- [มาตรา 26](https://link.pdpalawbase.com/section/26.md) — ข้อมูลอ่อนไหว — ขอบเขตของการกระทำ
- [มาตรา 29](https://link.pdpalawbase.com/section/29.md) — ฐานสำหรับการส่งหรือโอน — วรรค 1 (ส่งต่างประเทศที่ไม่มีระดับการคุ้มครองที่เพียงพอ) + วรรค 3 (ส่งภายในเครือบริษัทข้ามชาติ)

## หมายเหตุ

- **เหตุที่ผู้ประมวลผลได้รับโทษสูงสุด 5 ล้านเฉพาะการส่งโอนข้อมูลอ่อนไหว:**
  - การส่งไปต่างประเทศ → กระทบสิทธิเจ้าของข้อมูล**ข้ามเขตอำนาจ**
  - ข้อมูลอ่อนไหว → ผลกระทบหนักกว่าข้อมูลทั่วไป
  - ผู้ประมวลผลควบคุมการส่ง → มีอำนาจเลือกปฏิบัติตาม [มาตรา 29](https://link.pdpalawbase.com/section/29.md) หรือไม่ก็ได้
- **เปรียบเทียบกับ [มาตรา 84](https://link.pdpalawbase.com/section/84.md) (ผู้ควบคุม):**
  - **มาตรานี้:** ผู้**ประมวลผล**ส่งโอนข้อมูลอ่อนไหวผิด → 5 ล้าน
  - [มาตรา 84](https://link.pdpalawbase.com/section/84.md): ผู้**ควบคุม**ฝ่าฝืนเกี่ยวกับข้อมูลอ่อนไหว (4 กรณี — รวมการส่งโอน) → 5 ล้าน
  - **ระดับเท่ากัน** แต่ผู้ประมวลผลรับโทษ**เฉพาะการส่งโอน**เท่านั้น (มาตรานี้แคบกว่า)
- **เหตุที่ผู้ประมวลผลไม่รับโทษ 5 ล้านในกรณีอื่น:**
  - ผู้ประมวลผลไม่ใช่ผู้ตัดสินใจ**ฐาน**ในการเก็บข้อมูล — เป็นบทบาทของผู้ควบคุม
  - การ**ใช้/เปิดเผย**ข้อมูล — ผู้ประมวลผลทำตามคำสั่งผู้ควบคุม → ผู้ควบคุมรับผิดตาม [มาตรา 84](https://link.pdpalawbase.com/section/84.md)
  - ผู้ประมวลผลรับโทษ**เฉพาะกรณีตัดสินใจส่งโอนเอง** — ซึ่งเป็นการตัดสินใจที่อยู่นอกคำสั่งผู้ควบคุม
- **3 ระดับโทษทางปกครองของผู้ประมวลผล — สรุปเปรียบเทียบกับผู้ควบคุม:**
  ```
  ระดับ              ผู้ควบคุม           ผู้ประมวลผล
  ─────────────────────────────────────────────────
  1 ล้าน           [[มาตรา-82]]         [[มาตรา-85]]
                  (หน้าที่ปฏิบัติ)        (DPO)
  3 ล้าน           [[มาตรา-83]]         [[มาตรา-86]]
                  (ฐานข้อมูลทั่วไป)       (ตามคำสั่ง+ส่งโอน+แจ้งละเมิด)
  5 ล้าน           [[มาตรา-84]]         [[มาตรา-87]]
                  (ข้อมูลอ่อนไหว — กว้าง)  (ส่งโอนข้อมูลอ่อนไหว — เฉพาะ)
  ```
- **ความเชื่อมโยงกับ [มาตรา 86](https://link.pdpalawbase.com/section/86.md):**
  - [มาตรา 86](https://link.pdpalawbase.com/section/86.md) = ผู้ประมวลผลส่งโอน**ข้อมูลทั่วไป** ผิด → 3 ล้าน
  - **มาตรานี้:** ผู้ประมวลผลส่งโอน**ข้อมูลอ่อนไหว** ผิด → 5 ล้าน
  - **ความต่างของระดับโทษ = ส่วนต่าง 2 ล้าน** สะท้อนความรุนแรงของผลกระทบของข้อมูลอ่อนไหว

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/section/87.md

============================================================
โนด: มาตรา 88
ลิงก์อ้างอิง: https://link.pdpalawbase.com/section/88.md

# มาตรา 88

## ตัวบท

> มาตรา 88 ตัวแทนผู้ควบคุมข้อมูลส่วนบุคคลหรือตัวแทนผู้ประมวลผลข้อมูลส่วนบุคคลผู้ใดไม่ปฏิบัติตามมาตรา 39 วรรคหนึ่ง ซึ่งได้นำมาใช้บังคับโดยอนุโลมตามมาตรา 39 วรรคสอง และมาตรา 41 วรรคหนึ่ง ซึ่งได้นำมาใช้บังคับโดยอนุโลมตามมาตรา 41 วรรคสี่ ต้องระวางโทษปรับทางปกครองไม่เกินหนึ่งล้านบาท

## สรุป

มาตรานี้กำหนด**โทษปรับทางปกครองไม่เกิน 1 ล้านบาท**สำหรับ**ตัวแทน**ของผู้ควบคุม/ผู้ประมวลผล (กรณีผู้ควบคุม/ผู้ประมวลผลอยู่ต่างประเทศ) ที่ไม่ปฏิบัติ: (1) [มาตรา 39](https://link.pdpalawbase.com/section/39.md) วรรค 1 อนุโลมจาก [มาตรา 39](https://link.pdpalawbase.com/section/39.md) วรรค 2 — ไม่จัดทำ ROPA; (2) [มาตรา 41](https://link.pdpalawbase.com/section/41.md) วรรค 1 อนุโลมจาก [มาตรา 41](https://link.pdpalawbase.com/section/41.md) วรรค 4 — ไม่ตั้ง DPO — ปิดห่วงโซ่ความรับผิดชอบของกลไกการคุ้มครองข้อมูลข้ามประเทศ

## องค์ประกอบสำคัญ

- **ผู้ต้องรับผิด:** **ตัวแทน**ของผู้ควบคุม/ผู้ประมวลผลข้อมูลส่วนบุคคล
- **โทษ:** ปรับทางปกครอง**ไม่เกิน 1 ล้านบาท**
- **การกระทำ:**
  - **(1)** ไม่จัดทำ ROPA — [มาตรา 39](https://link.pdpalawbase.com/section/39.md) วรรค 1 อนุโลมจาก [มาตรา 39](https://link.pdpalawbase.com/section/39.md) วรรค 2
  - **(2)** ไม่ตั้ง DPO — [มาตรา 41](https://link.pdpalawbase.com/section/41.md) วรรค 1 อนุโลมจาก [มาตรา 41](https://link.pdpalawbase.com/section/41.md) วรรค 4

## มาตราที่อ้างอิง

- [มาตรา 39](https://link.pdpalawbase.com/section/39.md) — บันทึกรายการการประมวลผล (ROPA) — วรรค 1 (หน้าที่จัดทำ) + วรรค 2 (อนุโลมให้ตัวแทน)
- [มาตรา 41](https://link.pdpalawbase.com/section/41.md) — การตั้งตัวแทน/DPO — วรรค 1 (หน้าที่ตั้ง DPO) + วรรค 4 (อนุโลมให้ตัวแทน)

## หมายเหตุ

- **เหตุที่ต้องมี "ตัวแทน":**
  - ผู้ควบคุม/ผู้ประมวลผลที่อยู่**ต่างประเทศ**แต่ประมวลผลข้อมูลของเจ้าของข้อมูลในไทย → ต้องตั้งตัวแทนในไทย
  - ตัวแทนเป็น**จุดติดต่อ**สำหรับเจ้าของข้อมูลและคณะกรรมการ
  - คล้ายกับ "ตัวแทนใน EU" ตาม GDPR Art. 27
- **บทบาทของตัวแทน:**
  - **ปฏิบัติหน้าที่แทน**ผู้ควบคุม/ผู้ประมวลผลในไทย
  - รวมถึงการจัดทำ ROPA และการตั้ง DPO
  - **รับผิดทางกฎหมาย**แทน
- **เหตุที่ตัวแทนรับโทษเพียง 1 ล้าน:**
  - หน้าที่ของตัวแทน = **กรอบขั้นต่ำ** (ROPA + DPO) ไม่ครอบคลุมหน้าที่ใจกลาง (ฐานในการประมวลผล)
  - ผู้ควบคุม/ผู้ประมวลผลตัวจริง (ในต่างประเทศ) อาจรับโทษเต็มจาก [มาตรา 82](https://link.pdpalawbase.com/section/82.md)/[มาตรา 83](https://link.pdpalawbase.com/section/83.md)/[มาตรา 84](https://link.pdpalawbase.com/section/84.md) ตาม
- **ความเชื่อมโยงกับห่วงโซ่ความรับผิดชอบ:**
  - **ผู้ควบคุมตัวจริง:** อยู่ต่างประเทศ — รับโทษทางปกครอง [มาตรา 82](https://link.pdpalawbase.com/section/82.md)/[มาตรา 83](https://link.pdpalawbase.com/section/83.md)/[มาตรา 84](https://link.pdpalawbase.com/section/84.md) ได้ (กฎหมายมีผลข้ามประเทศตามขอบเขตของ [มาตรา 5](https://link.pdpalawbase.com/section/5.md))
  - **ตัวแทนในไทย:** รับโทษมาตรานี้ — เพราะเป็นจุดติดต่อในประเทศ
  - **DPO ที่ตัวแทนตั้ง:** อาจรับโทษอาญาตาม [มาตรา 80](https://link.pdpalawbase.com/section/80.md) ถ้าเปิดเผยข้อมูลตามหน้าที่
- **ปัญหาในเชิงปฏิบัติ — การติดตามผู้กระทำผิดต่างประเทศ:**
  - การปรับผู้ควบคุมในต่างประเทศอาจ**บังคับยาก** — ขึ้นกับการบังคับคำสั่งข้ามประเทศ
  - การตั้งตัวแทนในไทย → ทำให้คณะกรรมการ**บังคับโทษได้ในประเทศ**
  - ตัวแทน**ในไทย**มีทรัพย์สินในไทย → สามารถยึด/อายัดได้ตาม [มาตรา 90](https://link.pdpalawbase.com/section/90.md) วรรค 3
- **เปรียบเทียบกับ [มาตรา 82](https://link.pdpalawbase.com/section/82.md):**
  - **[มาตรา 82](https://link.pdpalawbase.com/section/82.md):** ผู้ควบคุม → 1 ล้าน — ไม่ปฏิบัติ ROPA + DPO + หน้าที่อื่น
  - **มาตรานี้:** ตัวแทน → 1 ล้าน — ไม่ปฏิบัติ ROPA + DPO เท่านั้น (ขอบเขตแคบกว่า)
- **การเลือกตัวแทน:**
  - ตัวแทนต้อง**ผูกพันด้วยสัญญา**กับผู้ควบคุม/ผู้ประมวลผล
  - มักเป็น**บริษัทที่ปรึกษากฎหมาย**หรือ**สำนักงานกฎหมาย**ในไทย
  - การเลือกตัวแทนที่**ขาดความรู้**อาจทำให้ตัวแทนต้องรับโทษ → ผู้ควบคุมต่างประเทศควรเลือกอย่างระมัดระวัง

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/section/88.md

============================================================
โนด: มาตรา 89
ลิงก์อ้างอิง: https://link.pdpalawbase.com/section/89.md

# มาตรา 89

## ตัวบท

> มาตรา 89 ผู้ใดไม่ปฏิบัติตามคำสั่งของคณะกรรมการผู้เชี่ยวชาญหรือไม่มาชี้แจงข้อเท็จจริงตามมาตรา 75 หรือไม่ปฏิบัติตามมาตรา 76 (1) หรือไม่อำนวยความสะดวกแก่พนักงานเจ้าหน้าที่ตามมาตรา 76 วรรคสี่ ต้องระวางโทษปรับทางปกครองไม่เกินห้าแสนบาท

## สรุป

มาตรานี้กำหนด**โทษปรับทางปกครองไม่เกิน 5 แสนบาท** — โทษทางปกครองที่ต่ำที่สุดในส่วนที่ 2 — สำหรับ**ผู้ใด** (ขอบเขตกว้าง) ที่: (1) ไม่ปฏิบัติตามคำสั่งของคณะกรรมการผู้เชี่ยวชาญ; (2) ไม่มาชี้แจงข้อเท็จจริงตาม [มาตรา 75](https://link.pdpalawbase.com/section/75.md); (3) ไม่ปฏิบัติตาม [มาตรา 76](https://link.pdpalawbase.com/section/76.md) (1) — เรียกเอกสาร; (4) ไม่อำนวยความสะดวกแก่พนักงานเจ้าหน้าที่ตาม [มาตรา 76](https://link.pdpalawbase.com/section/76.md) วรรค 4 — เป็น**กลไกบังคับ**ให้กระบวนการพิจารณาเรื่องร้องเรียนและการตรวจสอบดำเนินไปได้

## องค์ประกอบสำคัญ

- **ผู้ต้องรับผิด:** **ผู้ใด** — ขอบเขตกว้าง ครอบคลุมผู้ควบคุม/ผู้ประมวลผล/ลูกจ้าง/บุคคลที่ 3
- **โทษ:** ปรับทางปกครอง**ไม่เกิน 5 แสนบาท**
- **การกระทำ 4 ลักษณะ:**
  - **(1) ไม่ปฏิบัติตามคำสั่งของคณะกรรมการผู้เชี่ยวชาญ** — คำสั่งใด ๆ ตาม [มาตรา 72](https://link.pdpalawbase.com/section/72.md), [มาตรา 74](https://link.pdpalawbase.com/section/74.md), [มาตรา 75](https://link.pdpalawbase.com/section/75.md)
  - **(2) ไม่มาชี้แจงข้อเท็จจริง**ตาม [มาตรา 75](https://link.pdpalawbase.com/section/75.md) — เมื่อคณะกรรมการผู้เชี่ยวชาญสั่ง
  - **(3) ไม่ปฏิบัติตาม [มาตรา 76](https://link.pdpalawbase.com/section/76.md) (1)** — เมื่อพนักงานเจ้าหน้าที่มีหนังสือแจ้งให้ส่งเอกสาร/ข้อมูล
  - **(4) ไม่อำนวยความสะดวกแก่พนักงานเจ้าหน้าที่**ตาม [มาตรา 76](https://link.pdpalawbase.com/section/76.md) วรรค 4 — เมื่อพนักงานเจ้าหน้าที่ปฏิบัติหน้าที่

## มาตราที่อ้างอิง

- [มาตรา 75](https://link.pdpalawbase.com/section/75.md) — อำนาจสั่งให้ส่งเอกสาร/ชี้แจง — มาตรานี้บังคับให้ปฏิบัติ
- [มาตรา 76](https://link.pdpalawbase.com/section/76.md) — พนักงานเจ้าหน้าที่ — (1) เรียกเอกสาร + วรรค 4 อำนวยความสะดวก

## หมายเหตุ

- **เหตุที่โทษเพียง 5 แสน — ต่ำที่สุดในส่วนที่ 2:**
  - การกระทำเป็น**การไม่ปฏิบัติตามขั้นตอน** — ไม่ใช่การละเมิดสิทธิเจ้าของข้อมูลโดยตรง
  - กระทบ**กระบวนการบังคับใช้กฎหมาย** ไม่กระทบ**สาระของการคุ้มครอง**
  - แต่ยังต้องมีโทษ — เพราะถ้าไม่มี กระบวนการสืบสวนจะ**ไม่มีน้ำหนัก**
- **เปรียบเทียบกับมาตราอื่นในส่วนที่ 2:**
  - **มาตรานี้ ([มาตรา 89](https://link.pdpalawbase.com/section/89.md)):** **ผู้ใด** → 5 แสน — ไม่ร่วมมือกับการสืบสวน
  - [มาตรา 82](https://link.pdpalawbase.com/section/82.md)-[มาตรา 87](https://link.pdpalawbase.com/section/87.md): เฉพาะผู้ควบคุม/ผู้ประมวลผล/ตัวแทน → 1-5 ล้าน — ฝ่าฝืนหน้าที่
  - **มาตรานี้กว้างที่สุด** ในแง่ผู้รับผิด แต่**ต่ำที่สุด** ในแง่จำนวนโทษ
- **กลไกบังคับเชิงระบบ — มาตรานี้สนับสนุนหมวด 5:**
  - **[มาตรา 72](https://link.pdpalawbase.com/section/72.md)-[มาตรา 76](https://link.pdpalawbase.com/section/76.md)** = อำนาจคณะกรรมการผู้เชี่ยวชาญ + พนักงานเจ้าหน้าที่
  - **มาตรานี้** = บทลงโทษกรณีไม่ร่วมมือ
  - 2 มาตราเสริมกัน — อำนาจที่ไม่มีบทลงโทษย่อมไร้น้ำหนัก
- **การไม่ปฏิบัติตามคำสั่งของคณะกรรมการผู้เชี่ยวชาญ — ตัวอย่าง:**
  - คำสั่งให้แก้ไขตาม [มาตรา 74](https://link.pdpalawbase.com/section/74.md) วรรค 3 (1) — ผู้ควบคุมเพิกเฉย
  - คำสั่งห้ามกระทำตาม [มาตรา 74](https://link.pdpalawbase.com/section/74.md) วรรค 3 (2) — ผู้ควบคุมยังคงทำ
  - **ผลซ้ำ:** ผู้ควบคุม**รับโทษทั้ง**มาตรานี้ + โทษทางปกครองตาม [มาตรา 82](https://link.pdpalawbase.com/section/82.md)-[มาตรา 87](https://link.pdpalawbase.com/section/87.md) (ถ้าเข้าข่าย) + บังคับทางปกครองตาม [มาตรา 74](https://link.pdpalawbase.com/section/74.md) วรรค 4 (ยึด/อายัด)
- **การอำนวยความสะดวก — ขอบเขต:**
  - **ตามสมควร** ([มาตรา 76](https://link.pdpalawbase.com/section/76.md) วรรค 4) — ไม่ใช่ทุกอย่างที่พนักงานเจ้าหน้าที่ขอ
  - ตัวอย่าง: เปิดประตูให้เข้า, ให้ข้อมูลพื้นฐาน, ไม่ขัดขวางการตรวจสอบ
  - ตัวอย่างที่**ไม่ใช่**หน้าที่: ให้ข้อมูลที่อยู่ในเอกสิทธิ์รักษาความลับของทนายความ
- **ความเชื่อมโยงกับ [มาตรา 90](https://link.pdpalawbase.com/section/90.md):**
  - คณะกรรมการผู้เชี่ยวชาญสั่งโทษทางปกครองตามมาตรานี้ผ่านอำนาจใน [มาตรา 90](https://link.pdpalawbase.com/section/90.md)
  - **อาจสั่งให้แก้ไขหรือตักเตือน**ก่อน → ให้โอกาสผู้กระทำปฏิบัติตามก่อนปรับ
- **ผู้ใดที่กว้าง — ครอบคลุมหลายบุคคลพร้อมกัน:**
  - ผู้ควบคุมข้อมูล (นิติบุคคล) — รับโทษมาตรานี้
  - กรรมการ/ผู้จัดการของผู้ควบคุม — อาจรับโทษด้วยตาม [มาตรา 81](https://link.pdpalawbase.com/section/81.md) (ถ้าเป็นโทษอาญา) แต่มาตรานี้เป็นโทษทางปกครอง — ใช้ [มาตรา 81](https://link.pdpalawbase.com/section/81.md) อย่างไรต้องตีความ
  - บุคคลที่ 3 ที่มีข้อมูล (เช่น พยาน) — รับโทษมาตรานี้โดยตรง
- **เหตุที่กฎหมายเลือกโทษทางปกครอง — ไม่ใช่อาญา:**
  - การไม่ร่วมมือเป็น**ความบกพร่องเชิงบริหาร** — ไม่ใช่อาชญากรรม
  - คณะกรรมการผู้เชี่ยวชาญสั่งได้เร็ว — ไม่ต้องผ่านศาล
  - การลงโทษเร็วเป็นหลักของการบังคับใช้ที่มีประสิทธิผล

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/section/89.md

============================================================
โนด: มาตรา 90
ลิงก์อ้างอิง: https://link.pdpalawbase.com/section/90.md

# มาตรา 90

## ตัวบท

> มาตรา 90 คณะกรรมการผู้เชี่ยวชาญมีอำนาจสั่งลงโทษปรับทางปกครองตามที่กำหนดไว้ในส่วนนี้ ทั้งนี้ ในกรณีที่เห็นสมควรคณะกรรมการผู้เชี่ยวชาญจะสั่งให้แก้ไขหรือตักเตือนก่อนก็ได้
>
> ในการพิจารณาออกคำสั่งลงโทษปรับทางปกครอง ให้คณะกรรมการผู้เชี่ยวชาญคำนึงถึงความร้ายแรงแห่งพฤติกรรมที่กระทำผิด ขนาดกิจการของผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคล หรือพฤติการณ์ต่าง ๆ ประกอบด้วย ทั้งนี้ ตามหลักเกณฑ์ที่คณะกรรมการกำหนด
>
> ในกรณีที่ผู้ถูกลงโทษปรับทางปกครองไม่ยอมชำระค่าปรับทางปกครอง ให้นำบทบัญญัติเกี่ยวกับการบังคับทางปกครองตามกฎหมายว่าด้วยวิธีปฏิบัติราชการทางปกครองมาใช้บังคับโดยอนุโลม และในกรณีที่ไม่มีเจ้าหน้าที่ดำเนินการบังคับตามคำสั่ง หรือมีแต่ไม่สามารถดำเนินการบังคับทางปกครองได้ ให้คณะกรรมการผู้เชี่ยวชาญมีอำนาจฟ้องคดีต่อศาลปกครองเพื่อบังคับชำระค่าปรับ ในการนี้ ถ้าศาลปกครองเห็นว่าคำสั่งให้ชำระค่าปรับนั้นชอบด้วยกฎหมาย ให้ศาลปกครองมีอำนาจพิจารณาพิพากษา และบังคับให้มีการยึดหรืออายัดทรัพย์สินขายทอดตลาดเพื่อชำระค่าปรับได้
>
> คำสั่งลงโทษปรับทางปกครองและคำสั่งในการบังคับทางปกครอง ให้นำความในมาตรา 74 วรรคหก มาใช้บังคับโดยอนุโลม และให้นำความในมาตรา 74 วรรคสี่ มาใช้บังคับกับการบังคับทางปกครองตามวรรคสามโดยอนุโลม

## สรุป

มาตรานี้ปิดส่วนที่ 2 (โทษทางปกครอง) ด้วยการกำหนด**กลไกการสั่งและบังคับโทษทางปกครอง**: (1) **คณะกรรมการผู้เชี่ยวชาญสั่งลงโทษ** ตาม [มาตรา 82](https://link.pdpalawbase.com/section/82.md)-[มาตรา 89](https://link.pdpalawbase.com/section/89.md) — อาจ**สั่งแก้ไข/ตักเตือน**ก่อนก็ได้; (2) **เกณฑ์การพิจารณา** = ความร้ายแรง + ขนาดกิจการ + พฤติการณ์อื่น; (3) **บังคับทางปกครอง** ผ่านกฎหมายว่าด้วยวิธีปฏิบัติราชการทางปกครอง — กรณีไม่ชำระ คณะกรรมการ**ฟ้องศาลปกครอง**ได้; (4) **อนุโลม** [มาตรา 74](https://link.pdpalawbase.com/section/74.md) วรรค 4 และ 6 — ประธานลงนาม + ยึด/อายัด/ขายทอดตลาด

## องค์ประกอบสำคัญ

- **วรรค 1 — อำนาจสั่งลงโทษ:**
  - **ผู้มีอำนาจ:** คณะกรรมการผู้เชี่ยวชาญ ([มาตรา 71](https://link.pdpalawbase.com/section/71.md))
  - **ขอบเขต:** สั่งลงโทษปรับทางปกครองตามที่กำหนดในส่วนที่ 2 ของหมวด 7 ([มาตรา 82](https://link.pdpalawbase.com/section/82.md) ถึง [มาตรา 89](https://link.pdpalawbase.com/section/89.md))
  - **ทางเลือก:** อาจ**สั่งให้แก้ไข**หรือ**ตักเตือน**ก่อนก็ได้ — ก่อนปรับ
- **วรรค 2 — เกณฑ์การพิจารณา:**
  - **ความร้ายแรงแห่งพฤติกรรมที่กระทำผิด**
  - **ขนาดกิจการ**ของผู้ควบคุม/ผู้ประมวลผล
  - **พฤติการณ์อื่น ๆ**
  - **ตามหลักเกณฑ์ที่คณะกรรมการ ([มาตรา 8](https://link.pdpalawbase.com/section/8.md)) กำหนด**
- **วรรค 3 — การบังคับทางปกครอง:**
  - **กรณี:** ผู้ถูกลงโทษไม่ยอมชำระค่าปรับ
  - **กลไก:** ใช้บทบัญญัติตามกฎหมายว่าด้วยวิธีปฏิบัติราชการทางปกครอง**โดยอนุโลม**
  - **กรณีพิเศษ:** ไม่มีเจ้าหน้าที่ดำเนินการ หรือมีแต่ไม่สามารถ
    - คณะกรรมการผู้เชี่ยวชาญ**ฟ้องศาลปกครอง**ได้
    - ศาลปกครองพิจารณา → ถ้าคำสั่งชอบด้วยกฎหมาย → ศาล**ยึด/อายัด/ขายทอดตลาด**ทรัพย์สิน
- **วรรค 4 — การอนุโลม:**
  - คำสั่งลงโทษ + คำสั่งบังคับ → ใช้ [มาตรา 74](https://link.pdpalawbase.com/section/74.md) วรรค 6 อนุโลม (ประธานคณะกรรมการผู้เชี่ยวชาญลงนาม)
  - การบังคับทางปกครองตามวรรค 3 → ใช้ [มาตรา 74](https://link.pdpalawbase.com/section/74.md) วรรค 4 อนุโลม (ยึด/อายัด/ขายทอดตลาด)

## มาตราที่อ้างอิง

- [มาตรา 71](https://link.pdpalawbase.com/section/71.md) — โครงสร้างคณะกรรมการผู้เชี่ยวชาญ — ผู้มีอำนาจตามมาตรานี้
- [มาตรา 74](https://link.pdpalawbase.com/section/74.md) — กระบวนการพิจารณาคำร้องเรียน — วรรค 4 (บังคับทางปกครอง) + วรรค 6 (ประธานลงนาม) อนุโลม
- [มาตรา 82](https://link.pdpalawbase.com/section/82.md) ถึง [มาตรา 89](https://link.pdpalawbase.com/section/89.md) — บทลงโทษทางปกครองทั้ง 8 มาตรา — มาตรานี้บังคับใช้

## หมายเหตุ

- **3 ระดับการตอบสนองของคณะกรรมการผู้เชี่ยวชาญ:**
  ```
  ระดับ 1: ตักเตือน — เตือนให้ปฏิบัติ ไม่มีโทษ
       ↓
  ระดับ 2: สั่งให้แก้ไข — ภายในเวลาที่กำหนด
       ↓
  ระดับ 3: ปรับทางปกครอง — ตาม [[มาตรา-82]]-[[มาตรา-89]]
       ↓ ถ้าไม่ชำระ
  ระดับ 4: บังคับทางปกครอง — ยึด/อายัด/ขายทอดตลาด
       ↓ ถ้าไม่มีเจ้าหน้าที่ดำเนินการ
  ระดับ 5: ฟ้องศาลปกครอง — ศาลตัดสิน + บังคับยึด/อายัด
  ```
- **เหตุที่ให้คณะกรรมการผู้เชี่ยวชาญ "สั่งให้แก้ไขหรือตักเตือนก่อนก็ได้":**
  - ส่งเสริม**การปฏิบัติตามแบบสมัครใจ**
  - ลด**ภาระคดี**ในระบบ
  - ช่วยให้ผู้ควบคุม/ผู้ประมวลผล**เรียนรู้และปรับตัว** — ไม่ลงโทษเป็นด่านแรก
  - แต่**เป็นทางเลือก** — ไม่ใช่หน้าที่ — กรณีร้ายแรงสามารถปรับได้ทันที
- **เกณฑ์ "ขนาดกิจการ" — สำคัญในเชิงปฏิบัติ:**
  - กิจการขนาดเล็ก (เช่น คลินิกเดี่ยว วิสาหกิจขนาดย่อม) → โทษเต็มเพดานอาจทำให้ล้มละลาย
  - กิจการขนาดใหญ่ (เช่น ธนาคาร, ค้าปลีก) → โทษเต็มเพดานอาจไม่เพียงพอที่จะป้องปราม
  - หลักการ**สัดส่วน**ของโทษ
- **เปรียบเทียบกับ GDPR Art. 83 (2):**
  - **GDPR:** มีรายการ 11 ปัจจัยที่ต้องพิจารณา — ละเอียดมาก
  - **มาตรานี้:** 3 ปัจจัย + พฤติการณ์อื่น — ยืดหยุ่น แต่อาจให้ดุลพินิจมากกว่า
  - หลักเกณฑ์ที่คณะกรรมการกำหนด → อาจขยายปัจจัยเพิ่มเติมได้
- **กลไกการฟ้องศาลปกครอง — เปรียบเทียบกับ [มาตรา 74](https://link.pdpalawbase.com/section/74.md):**
  - **[มาตรา 74](https://link.pdpalawbase.com/section/74.md) (เรื่องร้องเรียน):** คณะกรรมการผู้เชี่ยวชาญ**สั่งยึด/อายัด/ขายทอดตลาดเอง** — ไม่ผ่านศาล
  - **มาตรานี้ (โทษปกครอง):** ก่อนอื่นใช้กลไกบังคับทางปกครอง — กรณีไม่ได้ผล**ฟ้องศาลปกครอง**
  - 2 มาตราเสริมกัน — [มาตรา 74](https://link.pdpalawbase.com/section/74.md) = เร็วกว่า แต่จำกัดเฉพาะคำสั่งให้แก้ไข/ห้ามกระทำ; มาตรานี้ = ช้ากว่า แต่ทรัพย์สินอาจเพียงพอที่จะชำระค่าปรับ
- **ความเป็นที่สุดของคำสั่ง — ข้อพิจารณา:**
  - คำสั่งของคณะกรรมการผู้เชี่ยวชาญตาม [มาตรา 74](https://link.pdpalawbase.com/section/74.md) = **เป็นที่สุด**ในชั้นปกครอง
  - คำสั่งลงโทษทางปกครองตามมาตรานี้ — ตัวบทไม่ระบุชัดว่าเป็นที่สุด → อาจอุทธรณ์ได้ในชั้นปกครอง
  - ทั้ง 2 คำสั่งสามารถ**ฟ้องศาลปกครอง**ได้ — เป็นกลไกควบคุมโดยศาล
- **การอนุโลม [มาตรา 74](https://link.pdpalawbase.com/section/74.md) วรรค 4:**
  - [มาตรา 74](https://link.pdpalawbase.com/section/74.md) วรรค 4 = ใช้บทบัญญัติเกี่ยวกับการบังคับทางปกครองโดยอนุโลม + คณะกรรมการผู้เชี่ยวชาญสั่งยึด/อายัด/ขายทอดตลาด
  - มาตรานี้นำมาใช้ — ทำให้คณะกรรมการผู้เชี่ยวชาญสามารถ**ยึด/อายัด/ขายทอดตลาด**ในการบังคับชำระค่าปรับได้
- **การอนุโลม [มาตรา 74](https://link.pdpalawbase.com/section/74.md) วรรค 6:**
  - [มาตรา 74](https://link.pdpalawbase.com/section/74.md) วรรค 6 = ประธานคณะกรรมการผู้เชี่ยวชาญลงนามแทนคณะ
  - มาตรานี้นำมาใช้ — ทำให้คำสั่งลงโทษทางปกครองและคำสั่งบังคับใช้รูปแบบเดียวกัน
- **เปรียบเทียบกับโทษทางอาญาในส่วนที่ 1:**
  - **โทษอาญา ([มาตรา 79](https://link.pdpalawbase.com/section/79.md)-[มาตรา 81](https://link.pdpalawbase.com/section/81.md)):** ผ่าน**ศาลยุติธรรม** — กระบวนการตามประมวลกฎหมายวิธีพิจารณาความอาญา
  - **โทษทางปกครอง (มาตรานี้):** ผ่าน**คณะกรรมการผู้เชี่ยวชาญ** — กระบวนการเร็วกว่า + **ศาลปกครอง**ทบทวนได้
- **กลไกการบังคับใช้ — สรุปครบวงจร:**
  - คณะกรรมการผู้เชี่ยวชาญสั่ง → ผู้ถูกลงโทษไม่ชำระ → ใช้ระบบบังคับทางปกครอง → ถ้าไม่ได้ → ฟ้องศาลปกครอง → ศาลบังคับยึด/อายัด/ขายทอดตลาด
  - กลไกนี้ครบถ้วน — ไม่มีช่องโหว่ที่ผู้กระทำผิดจะหลีกเลี่ยงโทษได้

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/section/90.md

============================================================
โนด: มาตรา 91
ลิงก์อ้างอิง: https://link.pdpalawbase.com/section/91.md

# มาตรา 91

## ตัวบท

> มาตรา 91 ในวาระเริ่มแรก ให้คณะกรรมการประกอบด้วยกรรมการตามมาตรา 8 (2) (3) และให้เลขาธิการคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลเป็นกรรมการและเลขานุการ เพื่อปฏิบัติหน้าที่เท่าที่จำเป็นไปพลางก่อนแต่ไม่เกินเก้าสิบวันนับแต่วันที่พระราชบัญญัตินี้ใช้บังคับ และให้รองประธานกรรมการทำหน้าที่ประธานกรรมการเป็นการชั่วคราว
>
> ให้สำนักงานดำเนินการให้มีการแต่งตั้งประธานกรรมการตามมาตรา 8 (1) และกรรมการผู้ทรงคุณวุฒิตามมาตรา 8 (4) ภายในเก้าสิบวันนับแต่วันที่พระราชบัญญัตินี้ใช้บังคับ

## สรุป

มาตรานี้เปิดบทเฉพาะกาล — กำหนด**กลไกชั่วคราว**สำหรับวาระเริ่มแรกของ พ.ร.บ.: (1) คณะกรรมการชุดแรกประกอบด้วย**กรรมการโดยตำแหน่ง** ([มาตรา 8](https://link.pdpalawbase.com/section/8.md) (2)+(3)) + **เลขาธิการเป็นกรรมการและเลขานุการ** — ปฏิบัติหน้าที่ไม่เกิน **90 วัน**; (2) **รองประธาน**ทำหน้าที่ประธานชั่วคราว; (3) สำนักงานต้องดำเนินการแต่งตั้ง**ประธาน** ([มาตรา 8](https://link.pdpalawbase.com/section/8.md) (1)) + **กรรมการผู้ทรงคุณวุฒิ** ([มาตรา 8](https://link.pdpalawbase.com/section/8.md) (4)) ภายใน 90 วัน

## องค์ประกอบสำคัญ

- **วรรค 1 — คณะกรรมการชุดเริ่มแรก:**
  - **องค์ประกอบ:**
    - กรรมการตาม [มาตรา 8](https://link.pdpalawbase.com/section/8.md) (2) — กรรมการโดยตำแหน่ง (ปลัดกระทรวงฯ ฯลฯ)
    - กรรมการตาม [มาตรา 8](https://link.pdpalawbase.com/section/8.md) (3) — กรรมการโดยตำแหน่งอื่น
    - เลขาธิการ (ในวาระนี้ = ผู้ทำหน้าที่เลขาธิการตาม [มาตรา 93](https://link.pdpalawbase.com/section/93.md) วรรค 2) เป็น**กรรมการและเลขานุการ**
  - **ระยะเวลา:** ไม่เกิน **90 วัน** นับแต่วันที่ พ.ร.บ. ใช้บังคับ
  - **บทบาท:** ปฏิบัติหน้าที่**เท่าที่จำเป็นไปพลางก่อน**
  - **ประธานชั่วคราว:** รองประธานกรรมการทำหน้าที่ประธาน
- **วรรค 2 — กรอบเวลาการแต่งตั้ง:**
  - **ผู้ดำเนินการ:** สำนักงาน
  - **ที่ต้องแต่งตั้ง:**
    - ประธานกรรมการตาม [มาตรา 8](https://link.pdpalawbase.com/section/8.md) (1)
    - กรรมการผู้ทรงคุณวุฒิตาม [มาตรา 8](https://link.pdpalawbase.com/section/8.md) (4)
  - **กรอบเวลา:** **90 วัน**นับแต่วันที่ พ.ร.บ. ใช้บังคับ

## มาตราที่อ้างอิง

- [มาตรา 8](https://link.pdpalawbase.com/section/8.md) — องค์ประกอบของคณะกรรมการ — มาตรานี้อ้างถึง (1), (2), (3), (4)

## หมายเหตุ

- **เหตุที่ต้องมีบทเฉพาะกาล:**
  - คณะกรรมการตาม [มาตรา 8](https://link.pdpalawbase.com/section/8.md) ต้องการ**การสรรหาและแต่งตั้ง** — ใช้เวลา
  - แต่ พ.ร.บ. ต้อง**มีผลใช้บังคับ**ทันที
  - ช่องว่างนี้ต้องอุดด้วย**คณะกรรมการชั่วคราว**ที่ปฏิบัติหน้าที่จำกัด
- **เหตุที่ไม่รวมกรรมการตาม [มาตรา 8](https://link.pdpalawbase.com/section/8.md) (1) และ (4):**
  - **(1) ประธาน** — ต้องสรรหาเป็นการเฉพาะ ใช้เวลามากที่สุด
  - **(4) ผู้ทรงคุณวุฒิ** — ต้องสรรหาคุณสมบัติเฉพาะด้าน (วิชาการ/อิสระ)
  - **(2) และ (3)** = กรรมการโดยตำแหน่ง — มีอยู่แล้วในตำแหน่งของรัฐ → พร้อมทำหน้าที่ทันที
- **บทบาท "เท่าที่จำเป็นไปพลางก่อน":**
  - ไม่ใช่อำนาจเต็ม — จำกัดเฉพาะกรณีจำเป็น
  - ไม่ควรกำหนดนโยบายระยะยาว
  - เน้นการ**ตั้งสำนักงาน**และ**สรรหาคณะกรรมการชุดถาวร**
- **กรอบเวลา 90 วัน — ความเป็นจริงและความท้าทาย:**
  - **ในทางทฤษฎี:** สำนักงานต้องสรรหาประธาน + ผู้ทรงคุณวุฒิภายใน 90 วัน
  - **ในทางปฏิบัติ:** การสรรหาผู้ทรงคุณวุฒิระดับสูงอาจใช้เวลามากกว่า 90 วัน
  - การที่ตัวบทใช้ "ภายใน" → ตั้งความคาดหวัง แต่ไม่มีบทลงโทษหากเกิน 90 วัน
- **เปรียบเทียบกับการจัดตั้งสำนักงานตาม [มาตรา 93](https://link.pdpalawbase.com/section/93.md):**
  - **มาตรานี้:** คณะกรรมการชั่วคราว 90 วัน
  - [มาตรา 93](https://link.pdpalawbase.com/section/93.md): สำนักงานจัดตั้งภายใน 1 ปี
  - 2 มาตราคู่กัน — คณะกรรมการเริ่มก่อน เพื่อกำกับการจัดตั้งสำนักงาน
- **ความสัมพันธ์กับ [มาตรา 92](https://link.pdpalawbase.com/section/92.md):**
  - มาตรานี้ — คณะกรรมการ
  - [มาตรา 92](https://link.pdpalawbase.com/section/92.md) — คณะกรรมการกำกับสำนักงาน + เลขาธิการ
  - ลำดับ: ตั้งคณะกรรมการ → คณะกรรมการตั้งคณะกรรมการกำกับสำนักงาน → คณะกรรมการกำกับฯ คัดเลือกเลขาธิการ
- **เลขาธิการ "ชั่วคราว" ในวาระเริ่มแรก:**
  - ในมาตรานี้ "เลขาธิการคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล" = **ผู้ทำหน้าที่เลขาธิการ**ตาม [มาตรา 93](https://link.pdpalawbase.com/section/93.md) วรรค 2
  - = รองปลัดกระทรวงดิจิทัลเพื่อเศรษฐกิจและสังคมที่รัฐมนตรีแต่งตั้ง
  - ทำหน้าที่จนกว่าจะมีการแต่งตั้งเลขาธิการตาม [มาตรา 92](https://link.pdpalawbase.com/section/92.md) วรรค 2
- **ประวัติการบังคับใช้ในเชิงปฏิบัติ:**
  - พ.ร.บ. คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ประกาศ 27 พ.ค. 2562
  - ส่วนใหญ่มีผลบังคับ 27 พ.ค. 2563 (เลื่อน 2 ครั้งเป็น 1 มิ.ย. 2565)
  - คณะกรรมการชุดแรก (ตามมาตรานี้) แต่งตั้ง 18 พ.ค. 2565
  - บทเฉพาะกาลทำให้ระบบรองรับการบังคับใช้ทันทีเมื่อ พ.ร.บ. มีผล

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/section/91.md

============================================================
โนด: มาตรา 92
ลิงก์อ้างอิง: https://link.pdpalawbase.com/section/92.md

# มาตรา 92

## ตัวบท

> มาตรา 92 ให้ดำเนินการเพื่อให้มีคณะกรรมการกำกับสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลภายในเก้าสิบวันนับแต่วันที่ได้มีการแต่งตั้งประธานกรรมการ และกรรมการผู้ทรงคุณวุฒิตามมาตรา 91
>
> ให้ดำเนินการแต่งตั้งเลขาธิการคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลตามพระราชบัญญัตินี้ให้แล้วเสร็จภายในเก้าสิบวันนับแต่วันที่จัดตั้งสำนักงานแล้วเสร็จตามมาตรา 93

## สรุป

มาตรานี้กำหนดกรอบเวลา 2 ระยะสำหรับการจัดตั้งโครงสร้างถาวร: (1) **คณะกรรมการกำกับสำนักงาน** ([มาตรา 48](https://link.pdpalawbase.com/section/48.md)) ภายใน **90 วัน**นับจากวันแต่งตั้งประธานกรรมการและกรรมการผู้ทรงคุณวุฒิตาม [มาตรา 91](https://link.pdpalawbase.com/section/91.md); (2) **เลขาธิการ** ([มาตรา 58](https://link.pdpalawbase.com/section/58.md)) ภายใน **90 วัน**นับจากวันที่จัดตั้งสำนักงานแล้วเสร็จตาม [มาตรา 93](https://link.pdpalawbase.com/section/93.md) — เป็นการกำหนดลำดับการเปลี่ยนผ่านจากกลไกชั่วคราวสู่กลไกถาวร

## องค์ประกอบสำคัญ

- **วรรค 1 — คณะกรรมการกำกับสำนักงาน:**
  - **ดำเนินการให้มี**คณะกรรมการกำกับสำนักงาน
  - **กรอบเวลา:** **90 วัน** นับแต่วันแต่งตั้งประธานกรรมการ + กรรมการผู้ทรงคุณวุฒิตาม [มาตรา 91](https://link.pdpalawbase.com/section/91.md)
  - = หลังจากวรรค 2 ของ [มาตรา 91](https://link.pdpalawbase.com/section/91.md) บรรลุผล
- **วรรค 2 — เลขาธิการ:**
  - **ดำเนินการแต่งตั้งเลขาธิการ**คณะกรรมการคุ้มครองข้อมูลส่วนบุคคลตาม พ.ร.บ. นี้
  - **กรอบเวลา:** **90 วัน**นับแต่วันที่**จัดตั้งสำนักงานแล้วเสร็จ**ตาม [มาตรา 93](https://link.pdpalawbase.com/section/93.md)

## มาตราที่อ้างอิง

- [มาตรา 91](https://link.pdpalawbase.com/section/91.md) — บทเฉพาะกาล: คณะกรรมการชุดเริ่มแรก — เป็นเงื่อนไขเริ่มต้นของวรรค 1
- [มาตรา 93](https://link.pdpalawbase.com/section/93.md) — บทเฉพาะกาล: การจัดตั้งสำนักงาน — เป็นเงื่อนไขเริ่มต้นของวรรค 2

## หมายเหตุ

- **ลำดับการเปลี่ยนผ่าน — กรอบเวลา:**
  ```
  วันที่ พ.ร.บ. ใช้บังคับ (T0)
       ↓ ภายใน 90 วัน
  ตั้งประธาน + ผู้ทรงคุณวุฒิ ([[มาตรา-91]] วรรค 2) (T1)
       ↓ ภายใน 90 วันจาก T1
  ตั้งคณะกรรมการกำกับสำนักงาน (มาตรานี้ วรรค 1)
  
  วันที่ พ.ร.บ. ใช้บังคับ (T0)
       ↓ ภายใน 1 ปี
  จัดตั้งสำนักงานแล้วเสร็จ ([[มาตรา-93]]) (T2)
       ↓ ภายใน 90 วันจาก T2
  ตั้งเลขาธิการตาม พ.ร.บ. (มาตรานี้ วรรค 2)
  ```
- **เหตุที่คณะกรรมการกำกับสำนักงานต้องมีก่อนเลขาธิการ:**
  - **คณะกรรมการกำกับสำนักงาน** ([มาตรา 54](https://link.pdpalawbase.com/section/54.md)) มีหน้าที่**คัดเลือกเลขาธิการ**
  - ถ้าไม่มีคณะกรรมการกำกับสำนักงาน → ไม่สามารถสรรหาเลขาธิการตาม พ.ร.บ. ได้
  - ดังนั้นต้องตั้งคณะกรรมการกำกับสำนักงานก่อน
- **เลขาธิการ 2 ประเภทในช่วงเปลี่ยนผ่าน:**
  - **เลขาธิการชั่วคราว** ([มาตรา 93](https://link.pdpalawbase.com/section/93.md) วรรค 2): รองปลัดกระทรวงดิจิทัลฯ ที่รัฐมนตรีแต่งตั้ง
  - **เลขาธิการตาม พ.ร.บ.** (มาตรานี้ วรรค 2): สรรหาตาม [มาตรา 58](https://link.pdpalawbase.com/section/58.md)
  - การเปลี่ยนผ่านเกิดขึ้นเมื่อ**สำนักงานจัดตั้งแล้วเสร็จ + ตั้งเลขาธิการตาม พ.ร.บ.**
- **กรอบเวลารวม — ตั้งแต่ พ.ร.บ. ใช้บังคับถึงโครงสร้างถาวรเสร็จ:**
  - **คณะกรรมการ:** สูงสุด 90 วัน ([มาตรา 91](https://link.pdpalawbase.com/section/91.md))
  - **คณะกรรมการกำกับสำนักงาน:** สูงสุด 90 วัน หลังจากตั้งประธาน
  - **สำนักงาน:** สูงสุด 1 ปี ([มาตรา 93](https://link.pdpalawbase.com/section/93.md))
  - **เลขาธิการ:** สูงสุด 90 วัน หลังจากจัดตั้งสำนักงาน
  - **รวม:** สูงสุดประมาณ 1 ปี 90 วัน
- **บทบาทของคณะกรรมการกำกับสำนักงานในวาระเริ่มแรก:**
  - กำหนดกรอบการจัดตั้งสำนักงาน
  - สรรหาเลขาธิการคนแรกตาม พ.ร.บ.
  - ออกระเบียบเกี่ยวกับการเงิน บัญชี การจ้างงาน
- **เปรียบเทียบกับการจัดตั้งหน่วยงานอื่น:**
  - **กสทช.:** บทเฉพาะกาลให้ใช้ระบบเดิมจน กสทช. ตั้งเสร็จ
  - **กกต.:** การเปลี่ยนผ่านที่ใช้คณะกรรมการเดิมก่อน
  - มาตรานี้ใช้รูปแบบคล้ายกัน — **ตั้งคณะกรรมการ → ตั้งโครงสร้างปฏิบัติการ**
- **ลักษณะของกรอบเวลา "90 วัน":**
  - **ภายใน 90 วัน** — เป็นกรอบสุดท้าย ไม่ได้เร็วกว่านั้นต้องห้าม
  - **ไม่มีบทลงโทษ**ถ้าเกิน 90 วัน — เป็นกรอบเชิงนโยบาย
  - แต่การล่าช้า → กระทบความน่าเชื่อถือของรัฐ + การปฏิบัติตาม พ.ร.บ. โดยภาคเอกชน

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/section/92.md

============================================================
โนด: มาตรา 93
ลิงก์อ้างอิง: https://link.pdpalawbase.com/section/93.md

# มาตรา 93

## ตัวบท

> มาตรา 93 ให้ดำเนินการจัดตั้งสำนักงานให้แล้วเสร็จเพื่อปฏิบัติงานตามพระราชบัญญัตินี้ภายในหนึ่งปีนับแต่วันที่พระราชบัญญัตินี้ใช้บังคับ
>
> ในระหว่างที่การดำเนินการจัดตั้งสำนักงานยังไม่แล้วเสร็จ ให้สำนักงานปลัดกระทรวงดิจิทัลเพื่อเศรษฐกิจและสังคมทำหน้าที่สำนักงานตามพระราชบัญญัตินี้ และให้รัฐมนตรีแต่งตั้งรองปลัดกระทรวงดิจิทัลเพื่อเศรษฐกิจและสังคมคนหนึ่งทำหน้าที่เลขาธิการจนกว่าจะมีการแต่งตั้งเลขาธิการตามมาตรา 92 วรรคสอง

## สรุป

มาตรานี้กำหนดกรอบเวลาและกลไกชั่วคราวสำหรับการจัดตั้งสำนักงาน: (1) **จัดตั้งสำนักงาน**ตาม [มาตรา 43](https://link.pdpalawbase.com/section/43.md) ให้แล้วเสร็จภายใน **1 ปี**นับแต่วันที่ พ.ร.บ. ใช้บังคับ; (2) ในระหว่างนั้น **สำนักงานปลัดกระทรวงดิจิทัลเพื่อเศรษฐกิจและสังคม** ทำหน้าที่แทน + **รองปลัดกระทรวง**คนหนึ่งที่รัฐมนตรีแต่งตั้งทำหน้าที่เลขาธิการ จนกว่าจะมีการแต่งตั้งเลขาธิการตาม [มาตรา 92](https://link.pdpalawbase.com/section/92.md) วรรค 2

## องค์ประกอบสำคัญ

- **วรรค 1 — กรอบเวลาการจัดตั้งสำนักงาน:**
  - **ผู้ดำเนินการ:** (ไม่ระบุชัด — ในทางปฏิบัติคือ คณะกรรมการ + คณะกรรมการกำกับสำนักงาน + รัฐบาล)
  - **เป้าหมาย:** จัดตั้งสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล ([มาตรา 43](https://link.pdpalawbase.com/section/43.md))
  - **กรอบเวลา:** **1 ปี** นับแต่วันที่ พ.ร.บ. ใช้บังคับ
- **วรรค 2 — กลไกชั่วคราว:**
  - **หน่วยงานที่ทำหน้าที่แทน:** **สำนักงานปลัดกระทรวงดิจิทัลเพื่อเศรษฐกิจและสังคม**
  - **เลขาธิการชั่วคราว:**
    - **ผู้แต่งตั้ง:** รัฐมนตรี
    - **ที่มา:** รองปลัดกระทรวงดิจิทัลฯ คนหนึ่ง
    - **ระยะเวลา:** จนกว่าจะมีการแต่งตั้งเลขาธิการตาม [มาตรา 92](https://link.pdpalawbase.com/section/92.md) วรรค 2

## มาตราที่อ้างอิง

- [มาตรา 43](https://link.pdpalawbase.com/section/43.md) — การจัดตั้งสำนักงาน — มาตรานี้กำหนดกรอบเวลาในการบรรลุ
- [มาตรา 92](https://link.pdpalawbase.com/section/92.md) — บทเฉพาะกาล: คณะกรรมการกำกับสำนักงาน + เลขาธิการ — เลขาธิการชั่วคราวอยู่จน [มาตรา 92](https://link.pdpalawbase.com/section/92.md) วรรค 2 บรรลุ

## หมายเหตุ

- **เหตุที่กระทรวงดิจิทัลฯ ทำหน้าที่แทน:**
  - กระทรวงดิจิทัลฯ มี**ภารกิจใกล้เคียง** — กำกับเทคโนโลยีและข้อมูลดิจิทัล
  - มี**โครงสร้างองค์กร**พร้อมรองรับ
  - ไม่ต้องสร้างใหม่จากศูนย์
  - **รัฐมนตรี**ที่กำกับ พ.ร.บ. นี้ = รัฐมนตรีว่าการกระทรวงดิจิทัลฯ
- **กรอบเวลา 1 ปี — ความเป็นจริง:**
  - การจัดตั้งหน่วยงานใหม่ใช้เวลามาก:
    - การออก**ระเบียบบุคลากร** + **โครงสร้างองค์กร**
    - การ**โอนหรือคัดเลือกบุคลากร** ([มาตรา 94](https://link.pdpalawbase.com/section/94.md))
    - การ**จัดสถานที่ + ระบบงาน + งบประมาณ**
  - 1 ปีเป็นกรอบที่**กระชับ** — ในทางปฏิบัติอาจล่าช้า
- **บทบาทของรองปลัดในฐานะเลขาธิการชั่วคราว:**
  - มีอำนาจตาม [มาตรา 63](https://link.pdpalawbase.com/section/63.md) (หน้าที่และอำนาจของเลขาธิการ) เท่าที่จำเป็น
  - แต่**ไม่ผ่านกระบวนการสรรหา**ตาม [มาตรา 58](https://link.pdpalawbase.com/section/58.md) → ไม่ใช่เลขาธิการตาม พ.ร.บ. ในทางการ
  - การ**ถ่ายโอน**สู่เลขาธิการตาม [มาตรา 92](https://link.pdpalawbase.com/section/92.md) วรรค 2 → ทำให้โครงสร้างเป็นทางการ
- **ความเชื่อมโยงกับ [มาตรา 94](https://link.pdpalawbase.com/section/94.md) (การโอนข้าราชการ):**
  - มาตรานี้กำหนดว่าใครทำหน้าที่ในช่วงเปลี่ยนผ่าน
  - [มาตรา 94](https://link.pdpalawbase.com/section/94.md) = กลไกการ**โอนข้าราชการ**จากสำนักงานปลัดกระทรวงดิจิทัลฯ มาเป็นพนักงานสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล
  - 2 มาตราเสริมกันในการเปลี่ยนผ่านบุคลากร
- **การจัดตั้งสำนักงาน "แล้วเสร็จ" — ตีความ:**
  - มี**สถานที่ทำการ**
  - มี**โครงสร้างองค์กร**ที่ชัดเจน
  - มี**บุคลากร**ที่เพียงพอที่จะปฏิบัติงาน
  - มี**งบประมาณ**ที่ใช้ได้
  - **ไม่จำเป็นต้องครบสมบูรณ์ทุกหน้าที่** — การจัดตั้งแล้วเสร็จเป็นจุดเริ่มต้น ไม่ใช่จุดสิ้นสุด
- **บทบาทของสำนักงานปลัดกระทรวงดิจิทัลฯ ในช่วงเปลี่ยนผ่าน:**
  - รับเรื่องร้องเรียน
  - สนับสนุนการประชุมคณะกรรมการ
  - เก็บเอกสารและบันทึก
  - ทำหน้าที่ฝ่ายเลขานุการของคณะกรรมการ
- **กรณีจัดตั้งล่าช้า — ผลในทางกฎหมาย:**
  - พ.ร.บ. ยังคง**บังคับใช้**ทุกประการ
  - กลไกชั่วคราวยังคงทำหน้าที่
  - **ไม่มีโทษ**ต่อรัฐบาลกรณีล่าช้า — เป็นกรอบเชิงนโยบาย
  - แต่กระทบ**ความน่าเชื่อถือ**และ**ประสิทธิผล**ของการบังคับใช้
- **ประวัติการจัดตั้งสำนักงานในเชิงปฏิบัติ:**
  - พ.ร.บ. ประกาศ พ.ค. 2562 → มีผลส่วนใหญ่ มิ.ย. 2565
  - สำนักงาน (สคส.) จัดตั้ง 19 ก.ค. 2565
  - ใช้เวลาประมาณ 1.5 เดือนหลัง พ.ร.บ. มีผล — เร็วกว่ากรอบ 1 ปี
  - แต่**บทเฉพาะกาล**ครอบคลุมช่วงระหว่างนั้น

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/section/93.md

============================================================
โนด: มาตรา 94
ลิงก์อ้างอิง: https://link.pdpalawbase.com/section/94.md

# มาตรา 94

## ตัวบท

> มาตรา 94 ในวาระเริ่มแรก ให้คณะรัฐมนตรีจัดสรรทุนประเดิมให้แก่สำนักงานตามความจำเป็น
>
> ให้รัฐมนตรีเสนอต่อคณะรัฐมนตรีเพื่อพิจารณาให้ข้าราชการ พนักงาน เจ้าหน้าที่ หรือผู้ปฏิบัติงานอื่นใดในหน่วยงานของรัฐ มาปฏิบัติงานเป็นพนักงานของสำนักงานเป็นการชั่วคราวภายในระยะเวลาที่คณะรัฐมนตรีกำหนด
>
> ให้ถือว่าข้าราชการ พนักงาน เจ้าหน้าที่ หรือผู้ปฏิบัติงานอื่นใดในหน่วยงานของรัฐที่มาปฏิบัติงานในสำนักงานเป็นการชั่วคราวตามวรรคสองไม่ขาดจากสถานภาพเดิมและคงได้รับเงินเดือนหรือค่าจ้าง แล้วแต่กรณี จากสังกัดเดิม ทั้งนี้ คณะกรรมการอาจกำหนดค่าตอบแทนพิเศษให้แก่ข้าราชการ พนักงาน เจ้าหน้าที่ หรือผู้ปฏิบัติงานอื่นใดในหน่วยงานของรัฐตามวรรคสอง ในระหว่างปฏิบัติงานในสำนักงานด้วยก็ได้
>
> ภายในหนึ่งร้อยแปดสิบวันนับแต่วันที่จัดตั้งสำนักงานแล้วเสร็จ ให้สำนักงานดำเนินการคัดเลือกข้าราชการ พนักงาน เจ้าหน้าที่ หรือผู้ปฏิบัติงานอื่นใดในหน่วยงานของรัฐตามวรรคสองเพื่อบรรจุเป็นพนักงานของสำนักงานต่อไป
>
> ข้าราชการ พนักงาน เจ้าหน้าที่ หรือผู้ปฏิบัติงานอื่นใดในหน่วยงานของรัฐผู้ใดได้รับการคัดเลือกและบรรจุตามวรรคสี่ ให้มีสิทธินับระยะเวลาทำงานที่เคยทำงานอยู่ในสังกัดเดิมต่อเนื่องรวมกับระยะเวลาทำงานในสำนักงานตามพระราชบัญญัตินี้

## สรุป

มาตรานี้กำหนด**กลไกการเงินและบุคลากร**สำหรับการตั้งสำนักงานในวาระเริ่มแรก: (1) **คณะรัฐมนตรีจัดสรรทุนประเดิม**ให้สำนักงาน; (2) **โอนข้าราชการชั่วคราว**จากหน่วยงานของรัฐมาปฏิบัติงานในสำนักงาน — ไม่ขาดจากสถานภาพเดิม + ได้รับเงินเดือนจากสังกัดเดิม + อาจมี**ค่าตอบแทนพิเศษ**; (3) ภายใน **180 วัน**หลังจัดตั้งสำนักงาน → **คัดเลือกและบรรจุ**ข้าราชการที่ปฏิบัติงานชั่วคราวเป็นพนักงานสำนักงาน; (4) **นับระยะเวลาทำงานต่อเนื่อง**

## องค์ประกอบสำคัญ

- **วรรค 1 — ทุนประเดิม:**
  - **ผู้จัดสรร:** คณะรัฐมนตรี
  - **ผู้รับ:** สำนักงาน
  - **เกณฑ์:** ตามความจำเป็น (ไม่ระบุจำนวน)
- **วรรค 2 — การโอนชั่วคราว:**
  - **ผู้เสนอ:** รัฐมนตรี (กระทรวงดิจิทัลฯ)
  - **ผู้พิจารณา:** คณะรัฐมนตรี
  - **บุคคลที่โอน:** ข้าราชการ พนักงาน เจ้าหน้าที่ หรือผู้ปฏิบัติงานอื่นใดในหน่วยงานของรัฐ
  - **ลักษณะ:** ปฏิบัติงาน**เป็นการชั่วคราว**
  - **ระยะเวลา:** ตามที่คณะรัฐมนตรีกำหนด
- **วรรค 3 — สถานะระหว่างปฏิบัติงานชั่วคราว:**
  - **ไม่ขาดจากสถานภาพเดิม** — ยังเป็นข้าราชการ/พนักงานของสังกัดเดิม
  - **เงินเดือน:** จากสังกัดเดิม
  - **ค่าตอบแทนพิเศษ:** คณะกรรมการ ([มาตรา 8](https://link.pdpalawbase.com/section/8.md)) อาจกำหนดเพิ่ม
- **วรรค 4 — การคัดเลือกและบรรจุถาวร:**
  - **กรอบเวลา:** **180 วัน**นับแต่วันที่จัดตั้งสำนักงานแล้วเสร็จ ([มาตรา 93](https://link.pdpalawbase.com/section/93.md))
  - **ผู้ดำเนินการ:** สำนักงาน
  - **เป้าหมาย:** คัดเลือก**ข้าราชการที่ปฏิบัติงานชั่วคราว**ตามวรรค 2 → **บรรจุเป็นพนักงานของสำนักงาน**
- **วรรค 5 — สิทธิประโยชน์ทางการทำงาน:**
  - **นับระยะเวลาทำงานในสังกัดเดิม + สำนักงาน** = ต่อเนื่อง
  - สิทธิประโยชน์ (เช่น บำเหน็จบำนาญ ฯลฯ) ไม่ถูกตัดขาด

## มาตราที่อ้างอิง

- [มาตรา 46](https://link.pdpalawbase.com/section/46.md) — รายได้และเงินสนับสนุนสำนักงาน — (1) เงินอุดหนุนของรัฐ — รวมถึงทุนประเดิมตามมาตรานี้
- [มาตรา 93](https://link.pdpalawbase.com/section/93.md) — บทเฉพาะกาล: การจัดตั้งสำนักงาน — เป็นจุดเริ่มต้นของกรอบเวลา 180 วันในวรรค 4

## หมายเหตุ

- **ทุนประเดิม — ที่มาและจำนวน:**
  - คณะรัฐมนตรีจัดสรร**ตามความจำเป็น** — เป็นดุลพินิจ
  - ในทางปฏิบัติประมาณการ**หลายร้อยล้านถึงพันล้านบาท**สำหรับการตั้งสำนักงานแห่งใหม่
  - เชื่อมโยงกับ [มาตรา 46](https://link.pdpalawbase.com/section/46.md) (1) — เงินอุดหนุนทั่วไปจากรัฐ
- **เหตุที่ใช้กลไกการ "ปฏิบัติงานชั่วคราว":**
  - **เร็ว** — ไม่ต้องสรรหาบุคลากรใหม่ทั้งหมด
  - **ยืดหยุ่น** — ข้าราชการเลือกได้ว่าจะอยู่หรือกลับ
  - **มีประสบการณ์** — ข้าราชการรู้จักระบบราชการอยู่แล้ว
  - **ลดต้นทุนเริ่มต้น** — ไม่ต้องจ่ายเงินเดือนเอง (จ่ายโดยสังกัดเดิม) + อาจให้ค่าตอบแทนพิเศษเสริม
- **ค่าตอบแทนพิเศษ — ลักษณะ:**
  - **ดุลพินิจของคณะกรรมการ** — ไม่ใช่หน้าที่บังคับ
  - **เป็นแรงจูงใจ** — เพื่อดึงดูดข้าราชการที่มีคุณภาพ
  - **ระหว่างปฏิบัติงานในสำนักงาน** — ไม่ใช่ตลอดไป
  - ไม่มีเพดานในตัวบท — ขึ้นกับการกำหนดของคณะกรรมการ
- **การคัดเลือกถาวรภายใน 180 วัน — กลไก:**
  - สำนักงานต้อง**ออกระเบียบ**เกี่ยวกับการคัดเลือก
  - การคัดเลือกใช้เกณฑ์**ความสามารถและประสบการณ์**
  - ผู้ที่**ไม่ผ่านการคัดเลือก** → กลับสู่สังกัดเดิม
  - ผู้ที่**ผ่านการคัดเลือก** → เลือกได้ระหว่างเป็นพนักงานสำนักงานหรือกลับสู่สังกัดเดิม
- **การนับระยะเวลาทำงาน — สิทธิประโยชน์:**
  - **บำเหน็จบำนาญ** — รวมระยะเวลาทำงานทั้ง 2 สังกัด
  - **สิทธิวันลา** — บางครั้งคำนวณตามอายุงาน
  - **สิทธิเลื่อนตำแหน่ง** — อาจใช้อายุงานเป็นเกณฑ์
- **ความเชื่อมโยงกับ [มาตรา 66](https://link.pdpalawbase.com/section/66.md) (กลไกการยืมตัว):**
  - **มาตรานี้:** บทเฉพาะกาล — ใช้ครั้งเดียวในวาระเริ่มแรก
  - [มาตรา 66](https://link.pdpalawbase.com/section/66.md): กลไกถาวร — ใช้ตลอดไปสำหรับการยืมตัว
  - 2 มาตราเสริมกัน — มาตรานี้ตั้งระบบให้พร้อม, [มาตรา 66](https://link.pdpalawbase.com/section/66.md) รักษาระบบในระยะยาว
- **ความเชื่อมโยงกับ [มาตรา 67](https://link.pdpalawbase.com/section/67.md) (การโอนระหว่างสำนักงาน):**
  - **มาตรานี้:** โอน**เข้า**สำนักงาน (จากหน่วยงานรัฐ → สำนักงาน)
  - [มาตรา 67](https://link.pdpalawbase.com/section/67.md): โอนระหว่างสำนักงานกับหน่วยงานรัฐอื่น (สองทาง)
  - มาตรานี้เน้นช่วง**ตั้ง** ส่วน [มาตรา 67](https://link.pdpalawbase.com/section/67.md) เน้นการ**ดูแล**ในระยะยาว
- **ผลกระทบในเชิงปฏิบัติ:**
  - สำนักงานสามารถ**เริ่มทำงาน**ได้แม้ไม่มีพนักงานถาวร
  - บุคลากรที่**ผ่าน**การคัดเลือกได้รับ**ความก้าวหน้า** (เพราะอาจได้รับเงินเดือนสูงกว่าในสังกัดเดิม)
  - บุคลากรที่**ไม่ผ่าน**กลับสู่สังกัดเดิม**โดยไม่ขาดจากสถานภาพ**

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/section/94.md

============================================================
โนด: มาตรา 95
ลิงก์อ้างอิง: https://link.pdpalawbase.com/section/95.md

# มาตรา 95

## ตัวบท

> มาตรา 95 ข้อมูลส่วนบุคคลที่ผู้ควบคุมข้อมูลส่วนบุคคลได้เก็บรวบรวมไว้ก่อนวันที่พระราชบัญญัตินี้ใช้บังคับ ให้ผู้ควบคุมข้อมูลส่วนบุคคลสามารถเก็บรวมรวมและใช้ข้อมูลส่วนบุคคลนั้นต่อไปได้ตามวัตถุประสงค์เดิม ทั้งนี้ ผู้ควบคุมข้อมูลส่วนบุคคลต้องกำหนดวิธีการยกเลิกความยินยอมและเผยแพร่ประชาสัมพันธ์ให้เจ้าของข้อมูลส่วนบุคคลที่ไม่ประสงค์ให้ผู้ควบคุมข้อมูลส่วนบุคคลเก็บรวมรวมและใช้ข้อมูลส่วนบุคคลดังกล่าวสามารถแจ้งยกเลิกความยินยอมได้โดยง่าย
>
> การเปิดเผยและการดำเนินการอื่นที่มิใช่การเก็บรวบรวมและการใช้ข้อมูลส่วนบุคคลตามวรรคหนึ่ง ให้เป็นไปตามบทบัญญัติแห่งพระราชบัญญัตินี้

## สรุป

มาตรานี้เป็นมาตราที่มี**ผลกระทบในเชิงปฏิบัติสูงที่สุด**ในบทเฉพาะกาล — กำหนดให้ผู้ควบคุมที่**เก็บรวบรวมข้อมูลก่อน พ.ร.บ. ใช้บังคับ** สามารถ: (1) **เก็บรวบรวมและใช้ข้อมูลต่อไป**ตาม**วัตถุประสงค์เดิม**โดยไม่ต้องขอความยินยอมใหม่ — แต่ต้อง**กำหนดวิธีการยกเลิกความยินยอม + ประชาสัมพันธ์**ให้เจ้าของข้อมูลถอนความยินยอมได้โดยง่าย; (2) **การเปิดเผยและการดำเนินการอื่น** (ที่ไม่ใช่เก็บ/ใช้) ต้องเป็นไปตาม พ.ร.บ. ทุกประการ

## องค์ประกอบสำคัญ

- **วรรค 1 — ข้อมูลที่เก็บก่อน พ.ร.บ.:**
  - **ขอบเขต:** ข้อมูลส่วนบุคคลที่ผู้ควบคุมเก็บรวบรวมไว้**ก่อนวันที่ พ.ร.บ. ใช้บังคับ**
  - **สิทธิที่ได้รับ 2 ประการ:**
    1. **เก็บรวบรวมต่อไป**ได้
    2. **ใช้**ข้อมูลส่วนบุคคลนั้นได้
  - **ขอบเขต:** ตาม**วัตถุประสงค์เดิม**เท่านั้น — ไม่ใช่เพื่อวัตถุประสงค์ใหม่
  - **เงื่อนไข 2 ประการ:**
    1. **กำหนดวิธีการยกเลิกความยินยอม**
    2. **เผยแพร่ประชาสัมพันธ์**ให้เจ้าของข้อมูลทราบและสามารถ**แจ้งยกเลิกได้โดยง่าย**
- **วรรค 2 — การกระทำอื่น:**
  - **ขอบเขต:** การเปิดเผย + การดำเนินการอื่นที่**มิใช่**การเก็บรวบรวมและการใช้
  - **กฎที่ใช้:** ต้องเป็นไปตาม**บทบัญญัติแห่ง พ.ร.บ. นี้** — ทุกประการ

## มาตราที่อ้างอิง

- [มาตรา 19](https://link.pdpalawbase.com/section/19.md) — การขอความยินยอม — กลไกการยกเลิกความยินยอมในมาตรานี้สอดคล้องกับ [มาตรา 19](https://link.pdpalawbase.com/section/19.md) วรรค 5 (สิทธิถอนความยินยอม)

## หมายเหตุ

- **ทำไมมาตรานี้สำคัญ — ผลกระทบเชิงปฏิบัติ:**
  - **ผู้ควบคุมข้อมูล**ที่มีฐานข้อมูลขนาดใหญ่ก่อน พ.ร.บ. ใช้บังคับ (ธนาคาร, ค้าปลีก, โรงพยาบาล, สถานศึกษา) ไม่ต้อง**ขอความยินยอมใหม่**ทุกราย
  - ถ้าไม่มีบทเฉพาะกาลนี้ → ฐานข้อมูลทั้งหมดอาจกลายเป็น**ผิดกฎหมาย**ทันที
  - มาตรานี้เป็นทางออกที่**สมดุล** — ระหว่างคุ้มครองสิทธิเจ้าของข้อมูลกับการดำเนินธุรกิจ
- **ขอบเขตของ "วัตถุประสงค์เดิม":**
  - **เดิม** หมายถึง วัตถุประสงค์ที่**แจ้งหรือทราบกัน**ในเวลาที่เก็บข้อมูล
  - ตัวอย่าง: ธนาคารเก็บข้อมูลเพื่อ**บริการบัญชีเงินฝาก** → ใช้ต่อไปได้เพื่อบริการนั้น
  - ถ้าธนาคารต้องการใช้เพื่อ**การตลาด** (วัตถุประสงค์ใหม่) → ต้อง**ขอความยินยอมใหม่**ตาม [มาตรา 19](https://link.pdpalawbase.com/section/19.md)
- **เงื่อนไข "ยกเลิกความยินยอมโดยง่าย":**
  - **ช่องทางการยกเลิก:** เช่น เว็บไซต์, อีเมล, จดหมาย, เคาน์เตอร์
  - **ไม่มีค่าใช้จ่าย** — สอดคล้องกับ [มาตรา 19](https://link.pdpalawbase.com/section/19.md) วรรค 5
  - **เร็วและสะดวก** — ไม่ใช่กระบวนการที่ซับซ้อน
- **กลไก "เผยแพร่ประชาสัมพันธ์":**
  - **เผยแพร่กว้างขวาง** — ให้เจ้าของข้อมูลทราบว่าตนมีสิทธิ
  - **ช่องทาง:** เว็บไซต์, อีเมล, แอปพลิเคชัน, สื่อมวลชน
  - **เนื้อหา:** วิธีการยกเลิก + เหตุผล
- **กลไกป้องกันการหลีกเลี่ยง — วรรค 2:**
  - ถ้าผู้ควบคุมต้องการ**เปิดเผย**ข้อมูลให้บุคคลที่ 3 → ต้องปฏิบัติตาม [มาตรา 27](https://link.pdpalawbase.com/section/27.md) เต็มรูปแบบ
  - ถ้าต้องการ**ส่งไปต่างประเทศ** → ต้องปฏิบัติตาม [มาตรา 28](https://link.pdpalawbase.com/section/28.md) / [มาตรา 29](https://link.pdpalawbase.com/section/29.md)
  - มาตรานี้**เปิดทางเฉพาะการเก็บและใช้** — ไม่เปิดทางการเปิดเผยหรือการประมวลผลใหม่
- **ตีความ "ก่อนวันที่ พ.ร.บ. ใช้บังคับ":**
  - ในทางปฏิบัติ = ก่อน 1 มิ.ย. 2565 (วันที่ พ.ร.บ. ใช้บังคับเต็มรูปแบบ)
  - ผู้ควบคุมต้องสามารถ**พิสูจน์**ว่าเก็บข้อมูลก่อนวันนั้น
  - ข้อมูลที่เก็บ**หลังจาก**วันที่บังคับ → ต้องปฏิบัติตาม พ.ร.บ. เต็มรูปแบบ
- **ความท้าทายในเชิงปฏิบัติ:**
  - ผู้ควบคุมต้อง**แยกข้อมูล**ที่เก็บก่อน vs หลัง พ.ร.บ. — ในระบบเดียวกันอาจซับซ้อน
  - การ**ตามรอย**ว่าวัตถุประสงค์เดิมคืออะไร — ในกรณีที่ไม่ได้บันทึก
  - การ**สื่อสาร**ให้เจ้าของข้อมูลเข้าใจสิทธิและช่องทางการยกเลิก
- **เปรียบเทียบกับ GDPR Art. 99:**
  - **GDPR:** ใช้บังคับกับข้อมูลทั้งหมดทันที — ไม่มีบทเฉพาะกาลแบบนี้
  - **PDPA ไทย (มาตรานี้):** มีบทเฉพาะกาลเพื่อให้ภาคเอกชนปรับตัวได้
  - PDPA ไทย ผ่อนผันมากกว่า GDPR ในจุดนี้ — สอดคล้องกับสภาพเศรษฐกิจของไทยที่ภาคเอกชนยังไม่พร้อม
- **ผลในเชิงสิทธิของเจ้าของข้อมูล:**
  - **ยังคงมี**สิทธิเข้าถึงข้อมูล ([มาตรา 30](https://link.pdpalawbase.com/section/30.md)), สิทธิแก้ไข ([มาตรา 36](https://link.pdpalawbase.com/section/36.md)), สิทธิลบ ([มาตรา 33](https://link.pdpalawbase.com/section/33.md)), สิทธิคัดค้าน ([มาตรา 32](https://link.pdpalawbase.com/section/32.md))
  - ทุกสิทธิเหล่านี้ใช้ได้กับข้อมูลที่เก็บก่อน พ.ร.บ. — มาตรานี้ไม่จำกัด
  - มาตรานี้**ผ่อนผัน**เฉพาะ**ฐานในการประมวลผล** ([มาตรา 19](https://link.pdpalawbase.com/section/19.md)) สำหรับการเก็บและใช้

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/section/95.md

============================================================
โนด: มาตรา 96
ลิงก์อ้างอิง: https://link.pdpalawbase.com/section/96.md

# มาตรา 96

## ตัวบท

> มาตรา 96 การดำเนินการออกระเบียบ และประกาศตามพระราชบัญญัตินี้ ให้ดำเนินการให้แล้วเสร็จภายในหนึ่งปีนับแต่วันที่พระราชบัญญัตินี้ใช้บังคับ หากไม่สามารถดำเนินการได้ให้รัฐมนตรีรายงานเหตุผลที่ไม่อาจดำเนินการได้ต่อคณะรัฐมนตรีเพื่อทราบ

## สรุป

มาตรานี้ปิด พ.ร.บ. ด้วยกรอบเวลาทั่วไปสำหรับ**ระเบียบและประกาศ**ที่ออกตาม พ.ร.บ.: ให้ดำเนินการให้แล้วเสร็จภายใน **1 ปี**นับแต่วันที่ พ.ร.บ. ใช้บังคับ — กรณีไม่สามารถดำเนินการได้ **รัฐมนตรีต้องรายงานเหตุผล**ต่อคณะรัฐมนตรีเพื่อทราบ — เป็น**กลไกความรับผิดชอบ**ที่ทำให้รัฐบาลรายงานความล่าช้าในการบังคับใช้กฎหมาย

## องค์ประกอบสำคัญ

- **กรอบเวลา:**
  - **ที่ต้องดำเนินการ:** การออก**ระเบียบ**และ**ประกาศ**ตาม พ.ร.บ. นี้
  - **กรอบ:** **1 ปี**นับแต่วันที่ พ.ร.บ. ใช้บังคับ
- **กรณีไม่สามารถดำเนินการได้:**
  - **ผู้รับผิดชอบ:** รัฐมนตรี
  - **หน้าที่:** รายงานเหตุผลที่ไม่อาจดำเนินการได้
  - **ผู้รับรายงาน:** คณะรัฐมนตรี
  - **ลักษณะของการรายงาน:** เพื่อทราบ — ไม่ใช่เพื่อขออนุมัติ

## มาตราที่อ้างอิง

(ไม่มีการอ้างอิงมาตราเฉพาะ — มาตรานี้ใช้ทั่วทุกบทบัญญัติของ พ.ร.บ. ที่กำหนดให้ออกระเบียบ/ประกาศ)

## หมายเหตุ

- **ขอบเขตของ "ระเบียบและประกาศ" ใน พ.ร.บ.:**
  - ตัวอย่างของระเบียบ/ประกาศที่ต้องออก:
    - **ประกาศของคณะกรรมการ** ([มาตรา 16](https://link.pdpalawbase.com/section/16.md)) — แบบและข้อความความยินยอม ([มาตรา 19](https://link.pdpalawbase.com/section/19.md) วรรค 3)
    - **ประกาศ**กำหนดข้อมูลอ่อนไหวเพิ่มเติม ([มาตรา 26](https://link.pdpalawbase.com/section/26.md))
    - **ประกาศ**กำหนดมาตรฐานการคุ้มครองสำหรับการส่งต่างประเทศ ([มาตรา 28](https://link.pdpalawbase.com/section/28.md) วรรค 4)
    - **ระเบียบ**การยื่นและพิจารณาคำร้องเรียน ([มาตรา 73](https://link.pdpalawbase.com/section/73.md) วรรค 2)
    - **ประกาศ**คุณสมบัติของคณะกรรมการผู้เชี่ยวชาญ ([มาตรา 71](https://link.pdpalawbase.com/section/71.md) วรรค 2)
    - **ประกาศ**คุณสมบัติของพนักงานเจ้าหน้าที่ + แบบบัตร ([มาตรา 76](https://link.pdpalawbase.com/section/76.md))
    - **ระเบียบ**การลงโทษทางปกครอง ([มาตรา 90](https://link.pdpalawbase.com/section/90.md) วรรค 2)
- **เหตุที่กฎหมายใหม่ต้องออกระเบียบ/ประกาศจำนวนมาก:**
  - พ.ร.บ. กำหนด**กรอบหลัก** — ปล่อยให้รายละเอียดอยู่ในระเบียบ/ประกาศ
  - กลไกนี้**ยืดหยุ่น** — ปรับเปลี่ยนได้ตามสถานการณ์โดยไม่ต้องแก้ พ.ร.บ.
  - แต่ทำให้การบังคับใช้**ขึ้นกับการออกระเบียบ/ประกาศ** — ถ้าไม่ออก พ.ร.บ. อาจ**บังคับใช้ไม่ได้เต็มรูปแบบ**
- **กรอบเวลา 1 ปี — เปรียบเทียบกับมาตราอื่น:**
  - **[มาตรา 91](https://link.pdpalawbase.com/section/91.md):** คณะกรรมการ — 90 วัน
  - **[มาตรา 93](https://link.pdpalawbase.com/section/93.md):** สำนักงาน — 1 ปี
  - **มาตรานี้:** ระเบียบและประกาศ — 1 ปี
  - กรอบเวลาคู่ขนาน — ทั้ง**โครงสร้างองค์กร**และ**กรอบกฎเกณฑ์**ควรพร้อมในเวลาเดียวกัน
- **ผลของการรายงานต่อคณะรัฐมนตรี:**
  - **เป็นเพื่อทราบ** — ไม่ต้องอนุมัติให้ขยายเวลา
  - แต่ทำให้**คณะรัฐมนตรีตระหนัก**ถึงความล่าช้า
  - อาจกระตุ้นให้**ครม. กดดัน**กระทรวงดิจิทัลฯ + สำนักงานให้เร่งทำงาน
- **ผลทางการเมืองของการล่าช้า:**
  - การที่รัฐมนตรีต้องรายงานเหตุผล → ทำให้เห็น**ผู้รับผิดชอบ**
  - ฝ่ายค้าน/สื่อสามารถใช้เป็น**ประเด็นการเมือง**
  - กลไกนี้สร้าง**แรงจูงใจ**ให้รัฐมนตรีเร่งทำงาน
- **ประวัติการออกระเบียบและประกาศในเชิงปฏิบัติ:**
  - หลัง พ.ร.บ. ใช้บังคับ มิ.ย. 2565 → คณะกรรมการเริ่มออกประกาศตั้งแต่ ก.ค. 2565
  - ภายในปีแรก ออกประกาศหลัก เช่น
    - ประกาศหลักเกณฑ์มาตรการรักษาความปลอดภัย ([มาตรา 37](https://link.pdpalawbase.com/section/37.md))
    - ประกาศการแจ้งเหตุละเมิด
    - ประกาศการขอความยินยอม
  - บางประกาศ (เช่น เกณฑ์การประเมินผลกระทบ DPIA) ออกหลัง 1 ปี — รัฐมนตรีต้องรายงานต่อ ครม.
- **ความสัมพันธ์กับการบังคับใช้ พ.ร.บ.:**
  - หลายบทบัญญัติของ พ.ร.บ. **ขึ้นกับ**การมีระเบียบ/ประกาศ
  - ตัวอย่าง: [มาตรา 19](https://link.pdpalawbase.com/section/19.md) วรรค 3 (แบบความยินยอม) ต้องรอประกาศ → ในระหว่างรอ ผู้ควบคุมใช้แบบเดิมได้
  - กลไกนี้**ป้องกันการใช้ พ.ร.บ. แบบไม่สามารถปฏิบัติได้** — ให้เวลาแก่ภาคเอกชนปรับตัว
- **มาตรานี้เป็น "บทปิด" ของ พ.ร.บ.:**
  - [มาตรา 96](https://link.pdpalawbase.com/section/96.md) = มาตราสุดท้ายของ พ.ร.บ.
  - หลังจากนี้ มี**หมายเหตุท้ายพระราชบัญญัติ** อธิบายเหตุผลในการประกาศใช้
  - ครอบคลุม**ทุกบทบัญญัติ**ของ พ.ร.บ. — ทำให้บทเฉพาะกาลครบวงจร

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/section/96.md


# ชุดข้อมูล: ข้อหารือคณะกรรมการ (PDPC) — คำตอบเชิงปฏิบัติ (69 โนด)

============================================================
โนด: ข้อหารือ 1/2566
ลิงก์อ้างอิง: https://link.pdpalawbase.com/opinion/1-2566.md

# ข้อหารือที่ 1/2566 เรื่อง กรมโยธาธิการและผังเมือง ขอหารือแนวทางปฏิบัติตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562

## ข้อกฎหมาย

1. พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 — [มาตรา 23](https://link.pdpalawbase.com/section/23.md) และ [มาตรา 37](https://link.pdpalawbase.com/section/37.md) (1)
2. พระราชบัญญัติข้อมูลข่าวสารของราชการ พ.ศ. 2540 — มาตรา 9 (8), มาตรา 9 วรรคสอง, มาตรา 14 และมาตรา 15
3. พระราชบัญญัติการจัดซื้อจัดจ้างและการบริหารพัสดุภาครัฐ พ.ศ. 2560 — มาตรา 8 (2)
4. พระราชกฤษฎีกาว่าด้วยหลักเกณฑ์และวิธีการบริหารกิจการบ้านเมืองที่ดี พ.ศ. 2546 — มาตรา 44
5. ประกาศคณะกรรมการข้อมูลข่าวสารของราชการ เรื่อง กำหนดให้ประกาศเชิญชวนทั่วไป ประกาศผลผู้ชนะการจัดซื้อจัดจ้าง และสัญญาที่ได้มีการอนุมัติสั่งซื้อหรือสั่งจ้าง เป็นข้อมูลข่าวสารที่ต้องจัดไว้ให้ประชาชนเข้าตรวจดูได้ตามมาตรา 9 วรรคหนึ่ง (8) แห่งพระราชบัญญัติข้อมูลข่าวสารของราชการ พ.ศ. 2540

## ข้อหารือ

กรมโยธาธิการและผังเมือง (ยผ.) ขอหารือแนวทางปฏิบัติตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 กรณีการเปิดเผยข้อมูลสัญญาก่อสร้างที่ ยผ. เป็นผู้ว่าจ้างเอกชนแห่งหนึ่งให้แก่ผู้ร้องขอว่า สามารถเปิดเผยได้หรือไม่ อย่างไร และจำเป็นต้องจัดหาข้อมูลให้ทั้งหมดทุกสัญญา ทุกช่วงเวลา ตามที่ร้องขอหรือไม่ และ ยผ. ได้มีหนังสือหารือกรณีดังกล่าวไปยังคณะกรรมการข้อมูลข่าวสารของราชการ ซึ่งได้รับการแจ้งตอบข้อหารือดังกล่าวแล้ว

## ความเห็น

คณะกรรมการคุ้มครองข้อมูลส่วนบุคคล โดยคณะอนุกรรมการเฉพาะกิจตอบข้อหารือและให้คำแนะนำหน่วยงานของรัฐเพื่อรองรับการบังคับใช้พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ได้พิจารณาข้อหารือของ ยผ. และเอกสารที่เกี่ยวข้องแล้ว เห็นว่า กรณีการขอคัดถ่ายสำเนาสัญญาก่อสร้างที่ ยผ. เป็นผู้ว่าจ้างให้เอกชนรายหนึ่งดำเนินการ เป็นการใช้สิทธิขอข้อมูลข่าวสารของราชการตามกฎหมายว่าด้วยข้อมูลข่าวสารของราชการ โดยคณะอนุกรรมการตอบข้อหารือตามกฎหมายว่าด้วยข้อมูลข่าวสารของราชการได้มีหนังสือตอบข้อหารือดังกล่าวแล้วว่า ตามมาตรา 44 แห่งพระราชกฤษฎีกาว่าด้วยหลักเกณฑ์และวิธีการบริหารกิจการบ้านเมืองที่ดี พ.ศ. 2546 กำหนดว่า ส่วนราชการต้องจัดให้มีการเปิดเผยข้อมูลเกี่ยวกับสัญญาใด ๆ ที่ได้มีการอนุมัติให้จัดซื้อหรือจัดจ้างแล้ว ให้ประชาชนสามารถขอดูหรือตรวจสอบได้ และหากเป็นสัญญาที่เกิดขึ้นภายหลังจากพระราชบัญญัติการจัดซื้อจัดจ้างและการบริหารพัสดุภาครัฐ พ.ศ. 2560 มีผลใช้บังคับแล้ว นอกจากหน่วยงานของรัฐจะมีหน้าที่ต้องเปิดเผยตามพระราชกฤษฎีกาดังกล่าวแล้ว สัญญาตามข้อหารือยังเป็นข้อมูลข่าวสารที่ต้องเปิดเผยตามมาตรา 8 (2) แห่งพระราชบัญญัติการจัดซื้อจัดจ้างและการบริหารพัสดุภาครัฐ พ.ศ. 2560 ซึ่งมีหลักการว่า ให้การจัดซื้อจัดจ้างและการบริหารพัสดุของหน่วยงานภาครัฐต้องกระทำโดยโปร่งใสและเปิดเผยข้อมูลในทุกขั้นตอน ประกอบกับยังเป็นข้อมูลข่าวสารที่หน่วยงานของรัฐต้องจัดไว้ให้ประชาชนเข้าตรวจดูได้ตามมาตรา 9 (8) แห่งพระราชบัญญัติข้อมูลข่าวสารของราชการ พ.ศ. 2540 ตามประกาศคณะกรรมการข้อมูลข่าวสารของราชการ เรื่อง กำหนดให้ประกาศเชิญชวนทั่วไป ประกาศผลผู้ชนะการจัดซื้อจัดจ้าง และสัญญาที่ได้มีการอนุมัติสั่งซื้อหรือสั่งจ้าง เป็นข้อมูลข่าวสารที่ต้องจัดไว้ให้ประชาชนเข้าตรวจดูได้ตามมาตรา 9 วรรคหนึ่ง (8) แห่งพระราชบัญญัติข้อมูลข่าวสารของราชการ พ.ศ. 2540 อีกด้วย ดังนั้น ยผ. จึงมีหน้าที่ดำเนินการให้เป็นไปตามกฎหมายว่าด้วยข้อมูลข่าวสารของราชการดังกล่าว

อย่างไรก็ดี แม้กรณีตามที่หารือจะเป็นข้อมูลข่าวสารที่หน่วยงานของรัฐต้องจัดไว้ให้ประชาชนเข้าตรวจดูได้ดังกล่าว แต่หากมีข้อมูลข่าวสารส่วนใดที่ต้องห้ามมิให้เปิดเผยตามมาตรา 14 หรือมาตรา 15 แห่งพระราชบัญญัติข้อมูลข่าวสารของราชการ พ.ศ. 2540 อยู่ด้วย ก็ให้หน่วยงานของรัฐลบหรือตัดทอน หรือทำโดยประการอื่นใดที่ไม่เป็นการเปิดเผยข้อมูลข่าวสารส่วนนั้น ตามมาตรา 9 วรรคสอง ซึ่งมาตรา 15 วรรคสองกำหนดว่าผู้ขออาจอุทธรณ์คำสั่งมิให้เปิดเผยข้อมูลข่าวสารของราชการได้ โดยการพิจารณาไม่เปิดเผยข้อมูลข่าวสารดังกล่าว ย่อมรวมถึงกรณีที่เป็นข้อมูลข่าวสารส่วนบุคคลด้วย ยผ. จึงสามารถลบหรือตัดทอนหรือไม่เปิดเผยข้อมูลข่าวสารตามที่มีผู้ร้องขอในส่วนที่มีข้อมูลข่าวสารส่วนบุคคลซึ่งการเปิดเผยจะเป็นการรุกล้ำสิทธิส่วนบุคคลโดยไม่สมควรได้

นอกจากนี้ ยผ. มีหน้าที่ต้องปฏิบัติตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ในส่วนที่เกี่ยวกับการเก็บรวบรวม ใช้ และเปิดเผยข้อมูลส่วนบุคคลด้วย ซึ่งรวมถึงการแจ้งให้เจ้าของข้อมูลส่วนบุคคลทราบถึงวัตถุประสงค์และรายละเอียดในการเก็บรวบรวมข้อมูลส่วนบุคคลตาม [มาตรา 23](https://link.pdpalawbase.com/section/23.md) และการจัดให้มีมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสม เพื่อป้องกันการสูญหาย เข้าถึง ใช้ เปลี่ยนแปลง แก้ไข หรือเปิดเผยข้อมูลส่วนบุคคลโดยปราศจากอำนาจหรือโดยมิชอบ ตาม [มาตรา 37](https://link.pdpalawbase.com/section/37.md) (1) ตลอดจนหน้าที่อื่นตามที่กำหนดในพระราชบัญญัติดังกล่าว

## เอกสารต้นฉบับ

- [PDF ต้นฉบับ (local)](../../raw/opinions/opinion-1-2566.pdf)
- [ที่มา: pdpc.or.th](https://www.pdpc.or.th/wp-content/uploads/2024/02/PDPC-consultation-01.pdf)

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/opinion/1-2566.md

============================================================
โนด: ข้อหารือ 1/2567
ลิงก์อ้างอิง: https://link.pdpalawbase.com/opinion/1-2567.md

# ข้อหารือที่ 1/2567 เรื่อง สำนักงาน ป.ป.ช. ขอให้ตีความและวินิจฉัยชี้ขาดปัญหาการบังคับใช้พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562

## ข้อกฎหมาย

1. พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 — [มาตรา 4](https://link.pdpalawbase.com/section/4.md) (5), [มาตรา 4](https://link.pdpalawbase.com/section/4.md) วรรคสาม, [มาตรา 6](https://link.pdpalawbase.com/section/6.md), [มาตรา 23](https://link.pdpalawbase.com/section/23.md), [มาตรา 24](https://link.pdpalawbase.com/section/24.md), [มาตรา 26](https://link.pdpalawbase.com/section/26.md), [มาตรา 41](https://link.pdpalawbase.com/section/41.md) และ [มาตรา 93](https://link.pdpalawbase.com/section/93.md)
2. พระราชบัญญัติประกอบรัฐธรรมนูญว่าด้วยการป้องกันและปราบปรามการทุจริต พ.ศ. 2561 — มาตรา 28
3. พระราชกฤษฎีกากำหนดหน่วยงานและกิจการที่ผู้ควบคุมข้อมูลส่วนบุคคลไม่อยู่ภายใต้บังคับ PDPA พ.ศ. 2563 (สิ้นผลใช้บังคับแล้ว)
4. พระราชกฤษฎีกากำหนดหน่วยงานและกิจการที่ผู้ควบคุมข้อมูลส่วนบุคคลไม่อยู่ภายใต้บังคับ PDPA (ฉบับที่ 2) พ.ศ. 2564 (สิ้นผลใช้บังคับแล้ว)

## ข้อหารือ

สำนักงาน ป.ป.ช. ขอให้คณะกรรมการคุ้มครองข้อมูลส่วนบุคคลตีความและวินิจฉัยชี้ขาดปัญหาการบังคับใช้ PDPA 9 ประเด็น:

1. "การดำเนินงานตามกระบวนการยุติธรรมทางอาญา" รวมถึงการลงโทษทางวินัยด้วยหรือไม่
2. ภารกิจ คกก. ป.ป.ช. ตามมาตรา 28 พ.ร.บ.ประกอบรัฐธรรมนูญ ป.ป.ช. = กระบวนการยุติธรรมทางอาญาตาม [มาตรา 4](https://link.pdpalawbase.com/section/4.md) (5) หรือไม่
3. ถ้า คกก. ป.ป.ช. ไม่ต้องปฏิบัติ PDPA · สำนักงาน ป.ป.ช. (งานธุรการ) ได้รับยกเว้นด้วยหรือไม่
4. ถ้าสำนักงาน ป.ป.ช. ต้องปฏิบัติตาม PDPA ต้องกำหนดผู้ควบคุม/ผู้ประมวลผล/DPO อย่างไร
5. ต้องกำหนดนโยบายคุ้มครองข้อมูลกับข้อมูลที่ได้รับยกเว้นตาม [มาตรา 4](https://link.pdpalawbase.com/section/4.md) หรือไม่
6. ข้อมูลส่วนบุคคลทุกข้อมูลของหน่วยงานรัฐ + ข้อมูลที่ยกเว้นตาม [มาตรา 4](https://link.pdpalawbase.com/section/4.md) ต้องมีฐาน [มาตรา 24](https://link.pdpalawbase.com/section/24.md) หรือไม่
7. ขอให้สำนักงาน คคส. เผยแพร่นโยบายคุ้มครองข้อมูลเป็นแนวทาง
8. มี พ.ร.ฎ. ยกเว้น PDPA แก่ผู้ควบคุมข้อมูลหรือไม่
9. ขอสำเนารายงานคณะกรรมาธิการวิสามัญร่าง PDPA

## ความเห็น

**ข้อ 1** การดำเนินงานตามกระบวนการยุติธรรมทางอาญา = การดำเนินงานของเจ้าหน้าที่เพื่อกำหนดโทษที่จะลงแก่ผู้กระทำความผิดตาม**ประมวลกฎหมายอาญา** · กรณีเก็บ/ใช้/เปิดเผยข้อมูลเพื่อกระบวนการที่นำไปสู่การลงโทษอาญา = ได้รับยกเว้นตาม [มาตรา 4](https://link.pdpalawbase.com/section/4.md) (5) — ไม่ต้องปฏิบัติ PDPA แต่ต้องจัดให้มีการรักษาความมั่นคงปลอดภัยตาม [มาตรา 4](https://link.pdpalawbase.com/section/4.md) วรรคสาม · **กรณีโทษทางวินัยที่ไม่เกี่ยวเนื่องกับการกระทำผิดทางอาญา ไม่ถือเป็นการดำเนินงานตามกระบวนการยุติธรรมทางอาญา จึงไม่ได้รับยกเว้นตาม [มาตรา 4](https://link.pdpalawbase.com/section/4.md) (5) — ต้องปฏิบัติตาม [มาตรา 24](https://link.pdpalawbase.com/section/24.md) และ [มาตรา 26](https://link.pdpalawbase.com/section/26.md)**

**ข้อ 2** หากภารกิจใดของ คกก. ป.ป.ช. ตามมาตรา 28 พ.ร.บ. ประกอบรัฐธรรมนูญ ป.ป.ช. เป็นการใช้อำนาจในการสอบสวนเช่นเดียวกับพนักงานสอบสวนตาม ป.วิ.อ. เพื่อกำหนดโทษอาญา = ดำเนินงานตามกระบวนการยุติธรรมทางอาญา ได้รับยกเว้นตาม [มาตรา 4](https://link.pdpalawbase.com/section/4.md) (5) · การดำเนินการอื่นๆ ที่มิใช่กระบวนการยุติธรรมทางอาญา = ต้องปฏิบัติตาม PDPA

**ข้อ 3** กรณีสำนักงาน ป.ป.ช. ใช้หน้าที่และอำนาจเพื่อดำเนินงานตามกระบวนการยุติธรรมทางอาญา = ได้รับยกเว้นตาม [มาตรา 4](https://link.pdpalawbase.com/section/4.md) (5) แต่ต้องปฏิบัติตาม [มาตรา 4](https://link.pdpalawbase.com/section/4.md) วรรคสาม · กรณีงานธุรการอื่น = ต้องปฏิบัติตาม PDPA

**ข้อ 4** [มาตรา 6](https://link.pdpalawbase.com/section/6.md) กำหนดให้บุคคลหรือนิติบุคคลซึ่งมีอำนาจตัดสินใจ = ผู้ควบคุม · บุคคลที่ดำเนินการตามคำสั่งหรือในนามของผู้ควบคุม = ผู้ประมวลผล · ดังนั้น สำนักงาน ป.ป.ช. (นิติบุคคล) ที่เก็บ/ใช้/เปิดเผยข้อมูลในหน้าที่ของตน = ผู้ควบคุมข้อมูลโดยตัวเอง โดยไม่ต้องกำหนดบุคคลใดอีก

[มาตรา 41](https://link.pdpalawbase.com/section/41.md) กำหนดกรณีต้องมี DPO รวมถึงเมื่อกิจกรรมหลักเป็นการเก็บข้อมูลตาม [มาตรา 26](https://link.pdpalawbase.com/section/26.md) (เช่น ประวัติอาชญากรรม) · สำนักงาน ป.ป.ช. ต้องจัดให้มี DPO โดยคำนึงถึงความรู้ความเชี่ยวชาญและไม่ขัดกับการปฏิบัติหน้าที่

**ข้อ 5** กรณีข้อมูลที่ได้รับยกเว้นตาม [มาตรา 4](https://link.pdpalawbase.com/section/4.md) = ไม่ต้องแจ้ง privacy notice ตาม [มาตรา 23](https://link.pdpalawbase.com/section/23.md) แต่ต้องรักษาความมั่นคงปลอดภัยตาม [มาตรา 4](https://link.pdpalawbase.com/section/4.md) วรรคสาม · ข้อมูลอื่นที่ไม่ยกเว้น = ต้องแจ้ง privacy notice · สำหรับ privacy policy (นโยบายภายในองค์กร) PDPA ไม่กำหนดให้ต้องจัดทำ แต่ถือเป็นมาตรการเชิงองค์กรที่ผู้ควบคุมข้อมูลควรพิจารณาจัดทำ

**ข้อ 6** การเก็บข้อมูลส่วนบุคคลต้องขอความยินยอม หรือมีฐานตาม [มาตรา 24](https://link.pdpalawbase.com/section/24.md) และ/หรือ [มาตรา 26](https://link.pdpalawbase.com/section/26.md) เว้นแต่เป็นการดำเนินงานตาม [มาตรา 4](https://link.pdpalawbase.com/section/4.md) · ดังนั้น สำนักงาน ป.ป.ช. เก็บข้อมูลเพื่อการอื่นที่ไม่ใช่ [มาตรา 4](https://link.pdpalawbase.com/section/4.md) = ต้องปฏิบัติตาม [มาตรา 24](https://link.pdpalawbase.com/section/24.md) / [มาตรา 26](https://link.pdpalawbase.com/section/26.md) · กรณี [มาตรา 4](https://link.pdpalawbase.com/section/4.md) = มีอำนาจตามกฎหมาย ไม่ต้องขอความยินยอม ไม่ต้องมีฐานทางกฎหมาย แต่ต้องรักษาความมั่นคงปลอดภัย

**ข้อ 7** ปัจจุบัน (กันยายน 2565) สำนักงานปลัดกระทรวงดิจิทัลฯ ทำหน้าที่ สำนักงาน คคส. ชั่วคราวเพื่อจัดตั้งสำนักงาน คคส. ตาม [มาตรา 93](https://link.pdpalawbase.com/section/93.md) · เผยแพร่นโยบายการคุ้มครองข้อมูลทาง https://www.mdes.go.th/mission/82

**ข้อ 8** ปัจจุบัน (กันยายน 2565) ยังไม่มี พ.ร.ฎ. ยกเว้น PDPA ที่ใช้บังคับ · พ.ร.ฎ. กำหนดหน่วยงานและกิจการฯ พ.ศ. 2563 และ (ฉบับที่ 2) พ.ศ. 2564 ได้สิ้นผลใช้บังคับแล้ว · ร่างใหม่อยู่ระหว่างการตรวจพิจารณาของสำนักงานคณะกรรมการกฤษฎีกา

**ข้อ 9** จะจัดส่งทางระบบอิเล็กทรอนิกส์

## เอกสารต้นฉบับ

- [PDF ต้นฉบับ (local)](../../raw/opinions/opinion-1-2567.pdf)
- [ที่มา: pdpc.or.th](https://www.pdpc.or.th/wp-content/uploads/2024/04/PDPC-consultation-30.pdf)

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/opinion/1-2567.md

============================================================
โนด: ข้อหารือ 1/2568
ลิงก์อ้างอิง: https://link.pdpalawbase.com/opinion/1-2568.md

# ข้อหารือที่ 1/2568 เรื่อง สำนักงานคณะกรรมการการเลือกตั้งขอหารือการจัดทำทะเบียนรายชื่อผู้มีสิทธิเลือกตั้งจากหลักฐานทะเบียนบ้าน

## ข้อกฎหมาย

1. พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562
[มาตรา 6](https://link.pdpalawbase.com/section/6.md) [มาตรา 22](https://link.pdpalawbase.com/section/22.md) [มาตรา 24](https://link.pdpalawbase.com/section/24.md) [มาตรา 27](https://link.pdpalawbase.com/section/27.md) และ [มาตรา 37](https://link.pdpalawbase.com/section/37.md) (1)
2. พระราชบัญญัติประกอบรัฐธรรมนูญว่าด้วยคณะกรรมการการเลือกตั้ง พ.ศ. 2560
มาตรา 36 มาตรา 50 และมาตรา 51
3. พระราชบัญญัติประกอบรัฐธรรมนูญว่าด้วยการเลือกตั้งสมาชิกสภาผู้แทนราษฎร
พ.ศ. 2561
มาตรา 31 และมาตรา 32
4. พระราชบัญญัติระเบียบบริหารราชการแผ่นดิน พ.ศ. 2534
มาตรา 7 วรรคสาม
5. พระราชบัญญัติการบริหารงานและการให้บริการภาครัฐผ่านระบบดิจิทัล พ.ศ. 2562
มาตรา 4 มาตรา 13 มาตรา 14 และมาตรา 16
6. ประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง มาตรการรักษาความมั่นคง
ปลอดภัยของผู้ควบคุมข้อมูลส่วนบุคคล พ.ศ. 2565
ข้อ 4 (5)

## ข้อหารือ

สำนักงานคณะกรรมการการเลือกตั้ง (สำนักงาน กกต.) ขอหารือกรณีการจัดทำทะเบียน
รายชื่อผู้มีสิทธิเลือกตั้งจากหลักฐานทะเบียนบ้าน ตามบทบัญญัติมาตรา 36 แห่งพระราชบัญญัติประกอบ
รัฐธรรมนูญว่าด้วยคณะกรรมการการเลือกตั้ง พ.ศ. 2560 ที่บัญญัติให้คณะกรรมการการเลือกตั้งจัดให้มี
การทำทะเบียนรายชื่อผู้มีสิทธิเลือกตั้งจากหลักฐานทะเบียนบ้านตามกฎหมายว่าด้วยการทะเบียนราษฎร
และเผยแพร่ให้ประชาชนทราบ รวมทั้งให้ผู้มีส่วนได้เสียมีสิทธิตรวจสอบและขอแก้ไขให้ถูกต้องได้ โดยอาจขอ
เชื่อมโยงฐานข้อมูลทะเบียนราษฎรเพื่อนำมาดำเนินการจัดทำทะเบียนรายชื่อผู้มีสิทธิเลือกตั้งหรืออาจ
มอบหมายให้นายทะเบียนตามกฎหมายว่าด้วยการทะเบียนราษฎรหรือบุคคลอื่นที่เห็นสมควรเป็นผู้จัดทำแทน
ได้ ตามหลักเกณฑ์และวิธีการที่คณะกรรมการการเลือกตั้งกำหนด โดยในการออกแบบร่างทะเบียนรายชื่อ
ผู้มีสิทธิเลือกตั้งจากหลักฐานทะเบียนบ้าน สำนักงาน กกต. ได้ศึกษาข้อมูลเกี่ยวกับทะเบียนรายชื่อผู้มีสิทธิ
เลือกตั้งของต่างประเทศ รวมทั้งได้ประชุมร่วมกับสำนักบริหารการทะเบียน กรมการปกครอง และได้จัดทำ
โครงสร้างร่างทะเบียนรายชื่อผู้มีสิทธิเลือกตั้งจากหลักฐานทะเบียนบ้าน ทั้งนี้ เพื่อให้หลักเกณฑ์และวิธีการ
เกี่ยวกับการจัดทำทะเบียนรายชื่อผู้มีสิทธิเลือกตั้งจากหลักฐานทะเบียนบ้านมีความสอดคล้องและไม่ขัดกับ
พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 สำนักงานคณะกรรมการการเลือกตั้งจึงขอหารือว่า
การดำเนินการตามสาระสำคัญและโครงสร้างร่างทะเบียนรายชื่อผู้มีสิทธิเลือกตั้งจากหลักฐานทะเบียนบ้าน
ดังกล่าวข้างต้น มีส่วนใดไม่เป็นไปตามกฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคล ตลอดจนระเบียบ
ประกาศ และแนวทางที่เกี่ยวข้องหรือไม่ อย่างไร

## ความเห็น

คณะอนุกรรมการตอบข้อหารือและให้คำแนะนำในการปฏิบัติตามกฎหมายว่าด้วย
การคุ้มครองข้อมูลส่วนบุคคล ในคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล ได้พิจารณาเรื่องหารือดังกล่าวแล้ว
เห็นว่า สำนักงาน กกต. มีฐานะเป็นนิติบุคคลตามมาตรา 50 แห่งพระราชบัญญัติประกอบรัฐธรรมนูญว่าด้วย
คณะกรรมการการเลือกตั้ง พ.ศ. 2560 และกรมการปกครองมีฐานะเป็นนิติบุคคลตามมาตรา 7 วรรคสาม
แห่งพระราชบัญญัติระเบียบบริหารราชการแผ่นดิน พ.ศ. 2534 ซึ่งทั้งสองหน่วยงานมีอำนาจหน้าที่ตัดสินใจ
เกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล จึงมีฐานะเป็นผู้ควบคุมข้อมูลส่วนบุคคล
ตามบทนิยามใน [มาตรา 6](https://link.pdpalawbase.com/section/6.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 การที่มาตรา 36
แห่งพระราชบัญญัติประกอบรัฐธรรมนูญว่าด้วยคณะกรรมการการเลือกตั้ง พ.ศ. 2560 กำหนดให้
คณะกรรมการการเลือกตั้งจัดให้มีการทำทะเบียนรายชื่อผู้มีสิทธิเลือกตั้งจากหลักฐานทะเบียนบ้าน
ตามกฎหมายว่าด้วยการทะเบียนราษฎรและเผยแพร่ให้ประชาชนทราบ โดยในการดำเนินการดังกล่าว
คณะกรรมการการเลือกตั้งอาจขอเชื่อมโยงฐานข้อมูลทะเบียนราษฎรจากสำนักบริหารการทะเบียน
กรมการปกครอง เพื่อนำมาดำเนินการจัดทำทะเบียนรายชื่อผู้มีสิทธิเลือกตั้ง สำนักงาน กกต. ซึ่งมีหน้าที่
และอำนาจรับผิดชอบงานธุรการ และดำเนินการเพื่อให้คณะกรรมการบรรลุภารกิจและหน้าที่ตามที่กำหนด
ตามมาตรา 51 แห่งพระราชบัญญัติประกอบรัฐธรรมนูญว่าด้วยคณะกรรมการการเลือกตั้ง พ.ศ. 2560
จึงมีหน้าที่ตามกฎหมายในการดำเนินการเก็บรวบรวม ใช้ และเปิดเผยข้อมูลส่วนบุคคลเพื่อวัตถุประสงค์
ในการจัดทำทะเบียนรายชื่อผู้มีสิทธิเลือกตั้งจากหลักฐานทะเบียนบ้านและเผยแพร่ให้ประชาชนทราบ
ซึ่งถือเป็นการจำเป็นเพื่อการปฏิบัติหน้าที่ในการดำเนินภารกิจเพื่อประโยชน์สาธารณะ และเป็นการปฏิบัติ
ตามกฎหมายของสำนักงาน กกต. ในฐานะผู้ควบคุมข้อมูลส่วนบุคคล ตาม [มาตรา 24](https://link.pdpalawbase.com/section/24.md) (4) และ (6)
แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562
นอกจากนี้ พระราชบัญญัติการบริหารงานและการให้บริการภาครัฐผ่านระบบดิจิทัล
พ.ศ. 2562 มาตรา 4 มาตรา 13 มาตรา 14 และมาตรา 16 กำหนดว่า เพื่อให้การบริหารงานภาครัฐ
และการจัดทำบริการสาธารณะเป็นไปด้วยความสะดวกรวดเร็ว มีประสิทธิภาพ และตอบสนองต่อการให้บริการ
และการอำนวยความสะดวกแก่ประชาชน ให้หน่วยงานของรัฐจัดให้มีการบริหารงานและการจัดทำบริการ
สาธารณะในรูปแบบและช่องทางดิจิทัล โดยมีการบริหารจัดการและการบูรณาการข้อมูลภาครัฐและการทำงาน
ให้มีความสอดคล้องกันและเชื่อมโยงเข้าด้วยกันอย่างมั่นคงปลอดภัยและมีธรรมาภิบาล โดยให้หน่วยงานของรัฐ
จัดให้มีการเชื่อมโยงและแลกเปลี่ยนข้อมูลดิจิทัลที่มีการจัดทำและครอบครองตามที่หน่วยงานของรัฐแห่งอื่น
ร้องขอ ที่จะเกิดการบูรณาการร่วมกัน ซึ่งหน่วยงานของรัฐผู้รับข้อมูลดิจิทัลต้องใช้ข้อมูลดังกล่าว
ตามวัตถุประสงค์ในหน้าที่และอำนาจของตนเท่านั้น และต้องดูแลรักษาข้อมูลให้มีความมั่นคงปลอดภัย
ไม่มีการเปิดเผยหรือโอนข้อมูลไปยังบุคคลที่ไม่มีสิทธิเข้าถึงข้อมูล และภายใต้บทบัญญัติแห่งกฎหมายว่าด้วย
การคุ้มครองข้อมูลส่วนบุคคล ในกรณีที่หน่วยงานของรัฐได้มาซึ่งข้อมูลส่วนบุคคลหรือมีข้อมูลส่วนบุคคลอยู่ใน
ความครอบครอง หากหน่วยงานของรัฐประสงค์จะใช้ข้อมูลส่วนบุคคลดังกล่าวในรูปแบบข้อมูลดิจิทัล
เพื่อประโยชน์ในการบริหารราชการแผ่นดิน หน่วยงานของรัฐนั้นสามารถขอเชื่อมโยงและแลกเปลี่ยนข้อมูล
ส่วนบุคคลนั้นจากหน่วยงานของรัฐที่ครอบครองเพื่อนำมาวิเคราะห์หรือประมวลผลได้
ด้วยเหตุนี้ หากการเชื่อมโยงและแลกเปลี่ยนข้อมูลดิจิทัลระหว่างสำนักงาน กกต. และสำนัก
บริหารการทะเบียน กรมการปกครอง เป็นไปเพื่อการบริหารงานภาครัฐและการจัดทำบริการสาธารณะ
และอยู่ภายใต้วัตถุประสงค์ในหน้าที่และอำนาจของตน และมีการดูแลรักษาข้อมูลให้มีความมั่นคงปลอดภัย
ไม่มีการเปิดเผยหรือโอนข้อมูลไปยังบุคคลที่ไม่มีสิทธิเข้าถึงข้อมูล และปฏิบัติให้เป็นไปตามพระราชบัญญัติ
คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ที่กำหนดให้ผู้ควบคุมข้อมูลส่วนบุคคลต้องมีฐานทางกฎหมายในการเก็บ
รวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลตามที่กำหนดไว้ใน [มาตรา 24](https://link.pdpalawbase.com/section/24.md) ประกอบ [มาตรา 27](https://link.pdpalawbase.com/section/27.md)
แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 สำนักงาน กกต. ก็สามารถเก็บรวบรวม ใช้
หรือเปิดเผยข้อมูลส่วนบุคคลดังกล่าวได้ตาม [มาตรา 24](https://link.pdpalawbase.com/section/24.md) (4) และ (6) ประกอบ [มาตรา 27](https://link.pdpalawbase.com/section/27.md) วรรคหนึ่ง
แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 และมาตรา 36 แห่งพระราชบัญญัติประกอบ
รัฐธรรมนูญว่าด้วยคณะกรรมการการเลือกตั้ง พ.ศ. 2560 ในขณะที่กรมการปกครองย่อมสามารถเปิดเผย
ข้อมูลส่วนบุคคลดังกล่าวให้แก่สำนักงาน กกต. ได้ ตาม [มาตรา 24](https://link.pdpalawbase.com/section/24.md) (4) และ (6) ประกอบ [มาตรา 27](https://link.pdpalawbase.com/section/27.md)
วรรคหนึ่ง แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562
ทั้งนี้ ในการเก็บรวบรวม ใช้ และเปิดเผยข้อมูลส่วนบุคคลดังกล่าว สำนักงาน กกต.
และสำนักบริหารการทะเบียน กรมการปกครองต้องจัดให้มีมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสม
ตามที่กำหนดใน [มาตรา 37](https://link.pdpalawbase.com/section/37.md) (1) ซึ่งต้องเป็นไปตามมาตรฐานขั้นต่ำที่กำหนดในประกาศคณะกรรมการคุ้มครอง
ข้อมูลส่วนบุคคล เรื่อง มาตรการรักษาความมั่นคงปลอดภัยของผู้ควบคุมข้อมูลส่วนบุคคล พ.ศ. 2565 โดยข้อ
4 (5) กำหนดให้คำนึงถึงหลักการป้องกันเชิงลึก (defense in depth) ที่ควรประกอบด้วยมาตรการป้องกัน
หลายชั้น (multiple layers of security controls) เพื่อลดความเสี่ยงในการสูญหาย เข้าถึง ใช้ เปลี่ยนแปลง
แก้ไข หรือเปิดเผยข้อมูลส่วนบุคคลโดยปราศจากอำนาจหรือโดยมิชอบ ในกรณีที่มาตรการบางมาตรการ
มีข้อจำกัดในการป้องกันความมั่นคงปลอดภัยในบางสถานการณ์ ดังนั้น สำนักงาน กกต. จึงควรพิจารณาจัดให้
มีมาตรการรักษาความมั่นคงปลอดภัยสำหรับการเข้าถึงข้อมูลส่วนบุคคลของผู้มีสิทธิเลือกตั้งดังกล่าวโดยมี
รูปแบบการพิสูจน์และยืนยันตัวตน (identity proofing and authentication) ที่เหมาะสมตามระดับความ
เสี่ยง ทั้งนี้ สำนักงาน กกต. อาจพิจารณาดำเนินการตามมาตรฐานธุรกรรมทางอิเล็กทรอนิกส์ การพิสูจน์
และยืนยันตัวตนทางดิจิทัล - เล่ม 3: ข้อกำหนดของการยืนยันตัวตน (มธอ. 11 เล่ม 3-2566) ของสำนักงาน
พัฒนาธุรกรรมทางอิเล็กทรอนิกส์ กระทรวงดิจิทัลเพื่อเศรษฐกิจและสังคม เพื่อการรักษาความมั่นคงปลอดภัย
ของข้อมูลส่วนบุคคลของผู้มีสิทธิเลือกตั้งในฐานะเจ้าของข้อมูลส่วนบุคคล
นอกจากนี้ ในการจัดทำทะเบียนรายชื่อผู้มีสิทธิเลือกตั้ง สำนักงาน กกต. ควรพิจารณา
เก็บรวบรวมข้อมูลส่วนบุคคลเท่าที่จำเป็นภายใต้วัตถุประสงค์อันชอบด้วยกฎหมายตามนัย [มาตรา 22](https://link.pdpalawbase.com/section/22.md)
แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 โดยพิจารณาจากคุณสมบัติของผู้มีสิทธิเลือกตั้ง
เช่น คุณสมบัติของผู้มีสิทธิเลือกตั้งสมาชิกสภาผู้แทนราษฎร ตามมาตรา 31 และลักษณะของบุคคล
ต้องห้ามมิให้ใช้สิทธิเลือกตั้ง ตามมาตรา 32 แห่งพระราชบัญญัติประกอบรัฐธรรมนูญว่าด้วยการเลือกตั้ง
สมาชิกสภาผู้แทนราษฎร พ.ศ. 2561 เป็นสำคัญ เพื่อให้สามารถตรวจสอบคุณสมบัติและลักษณะต้องห้าม
ในการจัดทำทะเบียนรายชื่อผู้มีสิทธิเลือกตั้งในการเลือกตั้งแต่ละรูปแบบหรือประเภทได้อย่างถูกต้อง

## เอกสารต้นฉบับ

- [PDF ต้นฉบับ (local)](../../raw/opinions/opinion-1-2568.pdf)
- [ที่มา: pdpc.or.th](https://www.pdpc.or.th/wp-content/uploads/2025/07/PDPC-consultation-50.pdf)

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/opinion/1-2568.md

============================================================
โนด: ข้อหารือ 1/2569
ลิงก์อ้างอิง: https://link.pdpalawbase.com/opinion/1-2569.md

# ข้อหารือที่ 1/2569 เรื่อง กรมการขนส่งทางบกขอหารือเกี่ยวกับการบังคับใช้พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562

## ข้อกฎหมาย

1. พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 — [มาตรา 3](https://link.pdpalawbase.com/section/3.md) (1) [มาตรา 4](https://link.pdpalawbase.com/section/4.md) (5) [มาตรา 6](https://link.pdpalawbase.com/section/6.md) [มาตรา 21](https://link.pdpalawbase.com/section/21.md) วรรคหนึ่งและวรรคสอง (2) [มาตรา 22](https://link.pdpalawbase.com/section/22.md) [มาตรา 23](https://link.pdpalawbase.com/section/23.md) (1) และ (4) [มาตรา 24](https://link.pdpalawbase.com/section/24.md) (4) (5) และ (6) [มาตรา 26](https://link.pdpalawbase.com/section/26.md) (4) และ (5) (จ) [มาตรา 27](https://link.pdpalawbase.com/section/27.md) วรรคหนึ่งและวรรคสาม [มาตรา 37](https://link.pdpalawbase.com/section/37.md) (1) และ [มาตรา 39](https://link.pdpalawbase.com/section/39.md)
2. พระราชบัญญัติข้อมูลข่าวสารของราชการ พ.ศ. 2540 — มาตรา 4
3. พระราชบัญญัติการขนส่งทางบก พ.ศ. 2522 และที่แก้ไขเพิ่มเติม
4. พระราชบัญญัติรถยนต์ พ.ศ. 2522 และที่แก้ไขเพิ่มเติม
5. ประมวลกฎหมายวิธีพิจารณาความอาญา
6. ประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง มาตรการรักษาความมั่นคงปลอดภัยของผู้ควบคุมข้อมูลส่วนบุคคล พ.ศ. 2565

## ข้อหารือ

กรมการขนส่งทางบก (ขบ.) แจ้งว่า กรมการขนส่งทางบกมีภารกิจเกี่ยวกับการดำเนินการตามพระราชบัญญัติการขนส่งทางบก พ.ศ. 2522 และพระราชบัญญัติรถยนต์ พ.ศ. 2522 และที่แก้ไขเพิ่มเติม ซึ่งรวมถึงหน้าที่ในการควบคุม กำกับ ดูแลรถและการใช้รถ โดยมีอำนาจหน้าที่ในด้านต่าง ๆ เช่น การจดทะเบียนรถ การออกใบอนุญาตขับรถ และการดำเนินงานตามภารกิจดังกล่าวมีการจัดเก็บข้อมูลส่วนบุคคลเกี่ยวกับทะเบียนและภาษีรถ ที่อยู่ในความครอบครองของกรมการขนส่งทางบก เช่น ชื่อเจ้าของกรรมสิทธิ์ ชื่อผู้ครอบครองรถ หมายเลขทะเบียน รายละเอียดเกี่ยวกับเลขตัวรถ หรือเลขเครื่องยนต์ เป็นต้น เพื่อประโยชน์ในการควบคุมและจัดระเบียบการใช้รถ รวมทั้งเพื่อประโยชน์ในการจัดเก็บภาษีรถตามกฎหมายทั้งสองฉบับดังกล่าว

โดยปัจจุบันมีหน่วยงานต่าง ๆ ที่อยู่ในกระบวนการยุติธรรมต้องใช้ข้อมูลดังกล่าวเพื่อประโยชน์ในการสืบสวนสอบสวน รวบรวมพยานหลักฐาน หรือเพื่อประโยชน์ในการฟ้องคดี รวมถึงทนายความต้องการข้อมูลดังกล่าวประกอบการฟ้องดำเนินคดีทั้งทางแพ่งและทางอาญาและสืบทรัพย์เพื่อบังคับคดีตามคำพิพากษาของศาล แต่แนวทางปฏิบัติในการเปิดเผยข้อมูลส่วนบุคคลที่อยู่ในความควบคุมดูแลของกรมการขนส่งทางบกยังไม่เป็นไปในแนวทางเดียวกัน กรมการขนส่งทางบก ในฐานะที่เป็นผู้ควบคุมข้อมูลส่วนบุคคลของประชาชนตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 จึงมีประเด็นที่จะขอหารือตาม [มาตรา 4](https://link.pdpalawbase.com/section/4.md) (5) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ซึ่งกำหนดว่า พระราชบัญญัตินี้ไม่ใช้บังคับแก่การพิจารณาคดีของศาล และการดำเนินงานของเจ้าหน้าที่ในกระบวนการพิจารณาคดี การบังคับคดี และการวางทรัพย์ รวมทั้งการดำเนินงานตามกระบวนการยุติธรรมทางอาญา ดังนี้

1. กรณีทนายความหรือผู้เสียหายขอทราบข้อมูลผู้ถือกรรมสิทธิ์ ผู้ครอบครองรถยนต์ หรือข้อมูลอื่นที่อยู่ในความครอบครองของกรมการขนส่งทางบก เพื่อเตรียมยื่นฟ้องดำเนินคดีแพ่ง คดีอาญา หรือคดีปกครองกับผู้ถือกรรมสิทธิ์ ผู้ครอบครองรถยนต์ หรือบุคคลอื่น เช่น ฟ้องเกี่ยวกับมรดก การแย่งกรรมสิทธิ์ การขอให้ชดใช้ค่าสินไหมทดแทนกรณีละเมิด การฟ้องคดีเกี่ยวกับการฉ้อโกง การทำให้เสียทรัพย์ เป็นต้น โดยไม่มีเอกสารหลักฐานจากศาล พนักงานอัยการ หรือหน่วยงานอื่นที่มีอำนาจ เจ้าหน้าที่กรมการขนส่งทางบกสามารถให้ข้อมูลได้หรือไม่ เพียงใด และต้องเรียกให้ทนายความหรือผู้เสียหายนำส่งเอกสารหลักฐานใดประกอบการขอข้อมูล

2. กรณีทนายความหรือเจ้าหนี้ตามคำพิพากษาขอทราบข้อมูลผู้ถือกรรมสิทธิ์หรือผู้ครอบครองรถยนต์ เพื่อจะดำเนินการบังคับคดีกับผู้ถือกรรมสิทธิ์หรือผู้ครอบครองรถยนต์ตามคำพิพากษาของศาลในคดีแพ่ง คดีอาญา หรือคดีปกครอง เจ้าหน้าที่กรมการขนส่งทางบกสามารถให้ข้อมูลได้หรือไม่ เพียงใด และต้องเรียกให้นำส่งเอกสารหลักฐานใดประกอบการขอข้อมูล

3. การเปิดเผยข้อมูลทะเบียนรถให้แก่เจ้าหน้าที่หรือหน่วยงานของรัฐในกระบวนการยุติธรรม เช่น การเปิดเผยข้อมูลให้แก่พนักงานสอบสวนเพื่อประกอบการสืบสวนสอบสวนคดีอาญาตามประมวลกฎหมายวิธีพิจารณาความอาญา กรมสรรพากรเพื่อสืบหาหลักทรัพย์ประกอบการยึดอายัดทรัพย์สินเพื่อชดใช้ภาษีอากรที่ค้างชำระ ส่วนราชการหรือหน่วยงานของรัฐเพื่อประกอบการบังคับตามคำสั่งทางปกครองให้ชดใช้ค่าสินไหมทดแทนจากผู้กระทำละเมิด หรือเพื่อประโยชน์ในการฟ้องคดี เจ้าหน้าที่กรมการขนส่งทางบกสามารถให้ข้อมูลได้หรือไม่ เพียงใด และเจ้าหน้าที่หรือหน่วยงานของรัฐดังกล่าวจะต้องอ้างฐานอำนาจตามกฎหมายในการขอข้อมูลหรือไม่

## ความเห็น

คณะอนุกรรมการตอบข้อหารือและให้คำแนะนำในการปฏิบัติตามกฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคล ในคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล ได้พิจารณาข้อหารือดังกล่าวแล้ว มีความเห็นว่า กรมการขนส่งทางบกมีฐานะเป็นหน่วยงานของรัฐตามพระราชบัญญัติข้อมูลข่าวสารของราชการ พ.ศ. 2540 ข้อมูลข่าวสาร (รวมถึงข้อมูลข่าวสารส่วนบุคคล) ที่อยู่ในความครอบครองหรือควบคุมดูแลของกรมการขนส่งทางบก จึงถือเป็นข้อมูลข่าวสารของราชการตามนัยมาตรา 4 แห่งพระราชบัญญัติข้อมูลข่าวสารของราชการ พ.ศ. 2540 ในขณะเดียวกัน กรมการขนส่งทางบกก็มีอำนาจหน้าที่ตัดสินใจเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล จึงมีฐานะเป็นผู้ควบคุมข้อมูลส่วนบุคคลตาม [มาตรา 6](https://link.pdpalawbase.com/section/6.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ซึ่ง [มาตรา 3](https://link.pdpalawbase.com/section/3.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ได้บัญญัติหลักการไว้ว่า ในกรณีที่มีกฎหมายว่าด้วยการใดบัญญัติเกี่ยวกับการคุ้มครองข้อมูลส่วนบุคคลในลักษณะใด กิจการใด หรือหน่วยงานใดไว้โดยเฉพาะแล้ว ให้บังคับตามบทบัญญัติแห่งกฎหมายว่าด้วยการนั้น เว้นแต่ (1) บทบัญญัติเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล และบทบัญญัติเกี่ยวกับสิทธิของเจ้าของข้อมูลส่วนบุคคล รวมทั้งบทกำหนดโทษที่เกี่ยวข้อง ให้บังคับตามบทบัญญัติแห่งพระราชบัญญัตินี้เป็นการเพิ่มเติม ไม่ว่าจะซ้ำกับบทบัญญัติแห่งกฎหมายว่าด้วยการนั้นหรือไม่ก็ตาม (2) ฯลฯ ดังนั้น ในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล กรมการขนส่งทางบกจะต้องพิจารณาตามพระราชบัญญัติข้อมูลข่าวสารของราชการ พ.ศ. 2540 ซึ่งเป็นกฎหมายที่ได้บัญญัติเกี่ยวกับการคุ้มครองข้อมูลส่วนบุคคลสำหรับหน่วยงานของรัฐไว้โดยเฉพาะก่อน แล้วจึงพิจารณาตามบทบัญญัติแห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 เป็นการเพิ่มเติม ทั้งนี้ ตาม [มาตรา 3](https://link.pdpalawbase.com/section/3.md) (1) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562

สำหรับประเด็นข้อหารือเกี่ยวกับ [มาตรา 4](https://link.pdpalawbase.com/section/4.md) (5) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 นั้น เห็นว่า กรณีที่ได้รับยกเว้นไม่ให้นำพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 มาใช้บังคับตาม [มาตรา 4](https://link.pdpalawbase.com/section/4.md) (5) จะต้องเป็นการพิจารณาพิพากษาของศาลและการดำเนินงานของเจ้าหน้าที่ในกระบวนการพิจารณาคดี การบังคับคดี และการวางทรัพย์ รวมทั้งการดำเนินงานตามกระบวนการยุติธรรมทางอาญา ทั้งนี้ กระบวนการยุติธรรมทางอาญาครอบคลุมตั้งแต่กระบวนการเพื่อให้รู้ถึงการกระทำความผิดอาญา ผู้กระทำความผิดอาญา ข้อเท็จจริงและรายละเอียดแห่งความผิดอาญา การติดตามหาตัวผู้กระทำความผิดอาญา การพิจารณาความผิดอาญา และการลงโทษผู้กระทำความผิดอาญา แต่จะต้องเป็นการดำเนินงานของเจ้าหน้าที่ที่เกี่ยวข้องในกระบวนการยุติธรรมทางอาญาเท่านั้น แต่การเก็บรวบรวม ใช้ และเปิดเผยข้อมูลส่วนบุคคลโดยทนายความ และ/หรือผู้เสียหาย เพื่อรวบรวมพยานหลักฐาน ซึ่งเป็นกระบวนการก่อนการฟ้องคดีและการพิจารณาพิพากษาคดี และไม่ได้เป็นการดำเนินงานโดยเจ้าหน้าที่ที่เกี่ยวข้องในกระบวนการพิจารณาคดี การบังคับคดี การวางทรัพย์ หรือกระบวนการยุติธรรมทางอาญา ไม่เข้าลักษณะตาม [มาตรา 4](https://link.pdpalawbase.com/section/4.md) (5) ดังนั้น ในกรณีที่ทนายความหรือผู้เสียหายขอทราบข้อมูลส่วนบุคคลเพื่อเตรียมการยื่นฟ้องดำเนินคดีแพ่ง คดีอาญา หรือคดีปกครอง รวมถึงการบังคับคดี ก็จะไม่ได้รับการยกเว้นไม่ให้นำพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 มาใช้บังคับ โดยสามารถเทียบเคียงแนวทางการตอบข้อหารือได้ตามสรุปการตอบข้อหารือที่ 9/2566 เรื่อง บริษัท ญ ขอหารือเรื่อง พ.ร.บ. คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 มาตรา 4 (5)

ประเด็นข้อหารือที่ 1 และ 2 สำหรับการพิจารณาเปิดเผยข้อมูลส่วนบุคคลให้ทนายความ ผู้เสียหาย หรือเจ้าหนี้ตามคำพิพากษาให้เป็นไปตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 นั้น กรมการขนส่งทางบกอาจพิจารณาดำเนินการให้สอดคล้องกับ [มาตรา 24](https://link.pdpalawbase.com/section/24.md) (5) ประกอบ [มาตรา 27](https://link.pdpalawbase.com/section/27.md) วรรคหนึ่ง แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 กล่าวคือ การเปิดเผยดังกล่าวเป็นกรณีที่เป็นการจำเป็นเพื่อประโยชน์โดยชอบด้วยกฎหมายของผู้ควบคุมข้อมูลส่วนบุคคลหรือของบุคคลหรือนิติบุคคลอื่นที่ไม่ใช่ผู้ควบคุมข้อมูลส่วนบุคคล ซึ่งในกรณีนี้หมายความรวมถึงประโยชน์ของบุคคลที่ข้อมูลส่วนบุคคลอาจถูกเปิดเผยให้ทราบด้วย ดังนั้น [มาตรา 24](https://link.pdpalawbase.com/section/24.md) (5) ประกอบ [มาตรา 27](https://link.pdpalawbase.com/section/27.md) วรรคหนึ่ง จึงอาจใช้เป็นฐานทางกฎหมายสำหรับการเปิดเผยข้อมูลส่วนบุคคลของหน่วยงานของรัฐโดยไม่ได้รับความยินยอมจากเจ้าของข้อมูลส่วนบุคคลได้ ในกรณีที่การเปิดเผยดังกล่าวไม่ใช่การดำเนินการที่เป็นการจำเป็นเพื่อการปฏิบัติหน้าที่ในการดำเนินภารกิจเพื่อประโยชน์สาธารณะของหน่วยงานนั้น ตาม [มาตรา 24](https://link.pdpalawbase.com/section/24.md) (4) ประกอบ [มาตรา 27](https://link.pdpalawbase.com/section/27.md) วรรคหนึ่ง และไม่ใช่กรณีที่เป็นการปฏิบัติตามกฎหมายของหน่วยงานของรัฐดังกล่าวในฐานะผู้ควบคุมข้อมูลส่วนบุคคล ตาม [มาตรา 24](https://link.pdpalawbase.com/section/24.md) (6) ประกอบ [มาตรา 27](https://link.pdpalawbase.com/section/27.md) วรรคหนึ่ง

อย่างไรก็ตาม บทบัญญัติตาม [มาตรา 24](https://link.pdpalawbase.com/section/24.md) (5) ประกอบ [มาตรา 27](https://link.pdpalawbase.com/section/27.md) วรรคหนึ่ง ไม่ได้ก่อให้เกิดหน้าที่โดยตรงต่อกรมการขนส่งทางบกที่จะต้องเปิดเผยข้อมูลส่วนบุคคลให้กับบุคคลหรือหน่วยงานที่ร้องขอเสมอไป แต่เป็นการกำหนดหลักการของการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลเพื่อให้มีความชอบธรรมตามเงื่อนไขที่กฎหมายกำหนดเท่านั้น โดยการพิจารณาว่าการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลตามวัตถุประสงค์ดังกล่าวถือเป็นประโยชน์โดยชอบด้วยกฎหมาย (legitimate interests) ของบุคคลหรือนิติบุคคลใดหรือไม่ จำเป็นต้องได้รับการประเมินอย่างรอบคอบ รวมถึงการพิจารณาว่าเจ้าของข้อมูลส่วนบุคคลสามารถคาดหวังได้อย่างสมเหตุสมผลหรือไม่ ณ เวลาและบริบทของการเก็บรวบรวมข้อมูลส่วนบุคคลว่าอาจมีการใช้หรือเปิดเผยข้อมูลส่วนบุคคลดังกล่าวเพื่อวัตถุประสงค์นั้น ทั้งนี้ มีข้อสังเกตว่า การก่อตั้งสิทธิเรียกร้องตามกฎหมาย การปฏิบัติตามหรือการใช้สิทธิเรียกร้องตามกฎหมาย หรือการยกขึ้นต่อสู้สิทธิเรียกร้องตามกฎหมาย (legal claims) ของบุคคลหรือนิติบุคคลใด ย่อมถือเป็นประโยชน์โดยชอบด้วยกฎหมายของบุคคลหรือนิติบุคคลนั้นเช่นเดียวกัน ซึ่งสอดคล้องกับหน้าที่ของรัฐในการส่งเสริมและสนับสนุนให้ประชาชนเข้าถึงกระบวนการยุติธรรมได้โดยสะดวกและรวดเร็ว

นอกจากนี้ หากกรมการขนส่งทางบกมีความจำเป็นต้องเปิดเผยข้อมูลส่วนบุคคลตาม [มาตรา 26](https://link.pdpalawbase.com/section/26.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 เช่น ข้อมูลส่วนบุคคลเกี่ยวกับข้อมูลสุขภาพ เพื่อวัตถุประสงค์ข้างต้น การเปิดเผยดังกล่าวก็อาจดำเนินการได้ตาม [มาตรา 26](https://link.pdpalawbase.com/section/26.md) (4) โดยไม่ต้องได้รับความยินยอมโดยชัดแจ้งจากเจ้าของข้อมูลส่วนบุคคล

ทั้งนี้ กรมการขนส่งทางบกจะต้องทำการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลตามวัตถุประสงค์ที่ได้แจ้งเจ้าของข้อมูลส่วนบุคคลไว้ก่อนหรือในขณะที่เก็บรวบรวม ตาม [มาตรา 21](https://link.pdpalawbase.com/section/21.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 เว้นแต่จะเป็นกรณีที่บทบัญญัติแห่งพระราชบัญญัติดังกล่าวหรือกฎหมายอื่นบัญญัติให้กระทำได้ตาม [มาตรา 21](https://link.pdpalawbase.com/section/21.md) วรรคสอง (2) ดังนั้น กรมการขนส่งทางบกอาจพิจารณาว่ากรณีใดบ้างที่เห็นว่าสามารถเปิดเผยข้อมูลส่วนบุคคลเพื่อให้บรรลุวัตถุประสงค์เกี่ยวกับการเตรียมยื่นฟ้องดำเนินคดีแพ่ง คดีอาญา หรือคดีปกครอง รวมถึงการบังคับคดี โดยได้รับยกเว้นไม่ต้องขอความยินยอมจากเจ้าของข้อมูลส่วนบุคคลตาม [มาตรา 24](https://link.pdpalawbase.com/section/24.md) (5) ประกอบ [มาตรา 27](https://link.pdpalawbase.com/section/27.md) วรรคหนึ่ง ได้ ซึ่งถือเป็นกรณีที่พระราชบัญญัตินี้หรือกฎหมายอื่นบัญญัติให้กระทำได้โดยไม่ต้องแจ้งวัตถุประสงค์ใหม่ให้เจ้าของข้อมูลส่วนบุคคลทราบและได้รับความยินยอมก่อนเปิดเผย ตาม [มาตรา 21](https://link.pdpalawbase.com/section/21.md) วรรคสอง (2)

อย่างไรก็ดี ในการพิจารณาปรับใช้ฐานทางกฎหมายตาม [มาตรา 24](https://link.pdpalawbase.com/section/24.md) (5) ประกอบ [มาตรา 27](https://link.pdpalawbase.com/section/27.md) วรรคหนึ่ง ดังกล่าว กรมการขนส่งทางบกจะต้องพิสูจน์ให้ได้ว่า ประโยชน์โดยชอบด้วยกฎหมายจากการเก็บรวบรวมข้อมูลส่วนบุคคลดังกล่าวมีความสำคัญไม่น้อยกว่าสิทธิขั้นพื้นฐานในข้อมูลส่วนบุคคลของเจ้าของข้อมูลส่วนบุคคล ซึ่งกรมการขนส่งทางบกอาจพิจารณาการประเมินประโยชน์โดยชอบด้วยกฎหมาย (Legitimate Interest Assessment: LIA) จากหลักเกณฑ์ 3 ประการ ดังนี้

ประการที่หนึ่ง การทดสอบวัตถุประสงค์ (Purpose Test) เป็นการพิจารณาเหตุผลและประโยชน์ที่จะได้รับจากการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลดังกล่าว ว่ามีความชอบด้วยกฎหมายหรือไม่ อย่างไร

ประการที่สอง การทดสอบความจำเป็น (Necessity Test) เป็นการพิจารณาว่า การเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลดังกล่าวมีความจำเป็นมากน้อยเพียงใดเพื่อให้บรรลุวัตถุประสงค์อันชอบด้วยกฎหมายนั้น และสามารถดำเนินการด้วยวิธีการอื่นที่จะส่งผลกระทบต่อสิทธิขั้นพื้นฐานในข้อมูลส่วนบุคคลของเจ้าของข้อมูลส่วนบุคคลน้อยกว่าได้หรือไม่ เพียงใด

ประการที่สาม การทดสอบความสมดุลแห่งสิทธิ (Balancing Test) เป็นการพิจารณาชั่งน้ำหนักระหว่างประโยชน์โดยชอบด้วยกฎหมายดังกล่าว กับสิทธิขั้นพื้นฐานในข้อมูลส่วนบุคคลของเจ้าของข้อมูลส่วนบุคคล ซึ่งจะต้องไม่กระทบต่อสิทธิและเสรีภาพ โดยเฉพาะสิทธิในความเป็นส่วนตัว (Right to Privacy) ของเจ้าของข้อมูลส่วนบุคคลที่เกี่ยวข้องเกินสมควร โดยเฉพาะอย่างยิ่ง ในกรณีที่เจ้าของกรรมสิทธิ์หรือผู้ครอบครองรถยนต์ หรือผู้ที่เกี่ยวข้องกับคดีเป็นผู้เยาว์ อาจจำเป็นต้องใช้ความระมัดระวังเป็นพิเศษ และจะต้องเปิดเผยข้อมูลเพียงเท่าที่จำเป็นเพื่อให้บรรลุวัตถุประสงค์ดังกล่าวเท่านั้น

ประเด็นข้อหารือที่ 3 สามารถพิจารณาโดยจำแนกได้เป็นสองกรณี ดังนี้

กรณีที่ 1 การเปิดเผยข้อมูลส่วนบุคคลให้แก่เจ้าหน้าที่ของรัฐหรือหน่วยงานของรัฐที่มีหน้าที่และอำนาจตามกฎหมายในการขอข้อมูลดังกล่าวโดยตรง เช่น พนักงานสอบสวนเพื่อประโยชน์ในการสืบสวนสอบสวนและรวบรวมพยานหลักฐานตามบทบัญญัติแห่งประมวลกฎหมายวิธีพิจารณาความอาญาหรือกฎหมายอื่น เห็นว่า หากการขอข้อมูลส่วนบุคคลของเจ้าหน้าที่ของรัฐหรือหน่วยงานของรัฐดังกล่าวเป็นกรณีที่มีหน้าที่และอำนาจตามกฎหมาย ซึ่งกรมการขนส่งทางบกมีหน้าที่ตามกฎหมายในการให้ข้อมูล การเปิดเผยข้อมูลดังกล่าวก็จะถือเป็นการปฏิบัติตามกฎหมายของกรมการขนส่งทางบกในฐานะผู้ควบคุมข้อมูลส่วนบุคคลตาม [มาตรา 24](https://link.pdpalawbase.com/section/24.md) (6) ประกอบ [มาตรา 27](https://link.pdpalawbase.com/section/27.md) วรรคหนึ่ง แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 โดยไม่ต้องได้รับความยินยอมจากเจ้าของข้อมูลส่วนบุคคล ทั้งนี้ กรมการขนส่งทางบกอาจพิจารณาร้องขอข้อมูลเพิ่มเติมเกี่ยวกับหน้าที่และอำนาจตามกฎหมายในการขอข้อมูลดังกล่าวได้ ตามความจำเป็นและเหมาะสม เพื่อความชัดเจน

กรณีที่ 2 การเปิดเผยข้อมูลส่วนบุคคลให้แก่เจ้าหน้าที่ของรัฐหรือหน่วยงานของรัฐ ที่ไม่ได้เป็นการใช้หน้าที่และอำนาจตามกฎหมายในการขอข้อมูลดังกล่าวโดยตรง แต่เป็นไปเพื่อประโยชน์สาธารณะ เช่น เพื่อให้บรรลุวัตถุประสงค์เกี่ยวกับการปฏิบัติราชการทางปกครองหรือการบังคับทางปกครอง หรือเพื่อประโยชน์ในการดำเนินการทางกฎหมายหรือฟ้องร้องดำเนินคดีเพื่อรักษาผลประโยชน์ของรัฐ การเปิดเผยข้อมูลส่วนบุคคลในกรณีดังกล่าวอาจถือเป็นกรณีที่เป็นการจำเป็นเพื่อการปฏิบัติหน้าที่ในการดำเนินภารกิจเพื่อประโยชน์สาธารณะของผู้ควบคุมข้อมูลส่วนบุคคล หรือปฏิบัติหน้าที่ในการใช้อำนาจรัฐที่ได้มอบให้แก่ผู้ควบคุมข้อมูลส่วนบุคคล ตาม [มาตรา 24](https://link.pdpalawbase.com/section/24.md) (4) ประกอบ [มาตรา 27](https://link.pdpalawbase.com/section/27.md) วรรคหนึ่ง ที่สามารถกระทำได้โดยไม่ต้องได้รับความยินยอมจากเจ้าของข้อมูลส่วนบุคคล หรือในกรณีที่ประสงค์จะเก็บรวบรวมข้อมูลส่วนบุคคลเพื่อประโยชน์อย่างอื่นที่ไม่ได้เป็นไปเพื่อประโยชน์สาธารณะโดยตรง แต่อาจเป็นประโยชน์โดยชอบด้วยกฎหมายของเจ้าหน้าที่ของรัฐหรือหน่วยงานของรัฐนั้น ซึ่งมีความสำคัญไม่น้อยกว่าสิทธิขั้นพื้นฐานในข้อมูลส่วนบุคคลของเจ้าของข้อมูลส่วนบุคคล การเปิดเผยข้อมูลส่วนบุคคลในกรณีเหล่านี้อาจถือเป็นกรณีที่เป็นการจำเป็นเพื่อประโยชน์โดยชอบด้วยกฎหมายของผู้ควบคุมข้อมูลส่วนบุคคลหรือของบุคคลหรือนิติบุคคลอื่น ตาม [มาตรา 24](https://link.pdpalawbase.com/section/24.md) (5) ประกอบ [มาตรา 27](https://link.pdpalawbase.com/section/27.md) วรรคหนึ่ง ที่สามารถกระทำได้โดยไม่ต้องได้รับความยินยอมจากเจ้าของข้อมูลส่วนบุคคลเช่นกัน ทั้งนี้ ในประเด็นเรื่องการอ้างฐานอำนาจตามกฎหมายในการขอข้อมูล สำหรับกรณีการเปิดเผยข้อมูลส่วนบุคคลตาม [มาตรา 24](https://link.pdpalawbase.com/section/24.md) (4) หรือ (5) ประกอบ [มาตรา 27](https://link.pdpalawbase.com/section/27.md) วรรคหนึ่งดังกล่าว ไม่จำเป็นต้องอาศัยฐานอำนาจตามกฎหมายอื่นแต่อย่างใด

ในกรณีที่กรมการขนส่งทางบกได้รับการขอให้เปิดเผยข้อมูลส่วนบุคคลตาม [มาตรา 26](https://link.pdpalawbase.com/section/26.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 กรมการขนส่งทางบกจะต้องพิจารณาดำเนินการให้เป็นไปตาม [มาตรา 26](https://link.pdpalawbase.com/section/26.md) ซึ่งในกรณีที่เป็นการเปิดเผยให้แก่เจ้าหน้าที่ของรัฐหรือหน่วยงานของรัฐที่มีหน้าที่และอำนาจตามกฎหมาย อาจถือเป็นกรณีที่เป็นการจำเป็นในการปฏิบัติตามกฎหมายเพื่อให้บรรลุวัตถุประสงค์เกี่ยวกับประโยชน์สาธารณะที่สำคัญตาม [มาตรา 26](https://link.pdpalawbase.com/section/26.md) (5) (จ) ประกอบ [มาตรา 27](https://link.pdpalawbase.com/section/27.md) วรรคหนึ่ง ที่สามารถเปิดเผยได้โดยไม่ต้องได้รับความยินยอมโดยชัดแจ้ง แต่ต้องจัดให้มีมาตรการที่เหมาะสมเพื่อคุ้มครองสิทธิขั้นพื้นฐานและประโยชน์ของเจ้าของข้อมูลส่วนบุคคล ส่วนในกรณีที่ขอให้เปิดเผยข้อมูลส่วนบุคคลตาม [มาตรา 26](https://link.pdpalawbase.com/section/26.md) เพื่อประโยชน์อย่างอื่นที่ไม่ได้เป็นไปเพื่อประโยชน์สาธารณะโดยตรง แต่เป็นกรณีที่เป็นการจำเป็นเพื่อการก่อตั้งสิทธิเรียกร้องตามกฎหมาย การปฏิบัติตามหรือการใช้สิทธิเรียกร้องตามกฎหมาย หรือการยกขึ้นต่อสู้สิทธิเรียกร้องตามกฎหมาย ก็ถือเป็นกรณีที่ได้รับยกเว้นไม่ต้องได้รับความยินยอมโดยชัดแจ้ง ตาม [มาตรา 26](https://link.pdpalawbase.com/section/26.md) (4) ประกอบ [มาตรา 27](https://link.pdpalawbase.com/section/27.md) วรรคหนึ่ง

อย่างไรก็ตาม นอกเหนือจากการดำเนินการดังกล่าวแล้ว กรมการขนส่งทางบกยังมีหน้าที่ในการจัดให้มาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสมตาม [มาตรา 37](https://link.pdpalawbase.com/section/37.md) (1) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ประกอบหลักเกณฑ์ตามประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง มาตรการรักษาความมั่นคงปลอดภัยของผู้ควบคุมข้อมูลส่วนบุคคล พ.ศ. 2565 และต้องบันทึกการใช้หรือเปิดเผยข้อมูลส่วนบุคคลที่ได้รับการยกเว้นไม่ต้องขอความยินยอมในบันทึกรายการ (Record of Processing Activities: ROPA) ตาม [มาตรา 39](https://link.pdpalawbase.com/section/39.md) ทั้งนี้ ตามนัย [มาตรา 27](https://link.pdpalawbase.com/section/27.md) วรรคสาม แห่งพระราชบัญญัติดังกล่าวด้วย และหากกรมการขนส่งทางบกจะเปิดเผยข้อมูลส่วนบุคคลก็ต้องเปิดเผยข้อมูลส่วนบุคคลเพียงเท่าที่จำเป็นภายใต้วัตถุประสงค์อันชอบด้วยกฎหมาย ตามนัย [มาตรา 22](https://link.pdpalawbase.com/section/22.md) โดยหลีกเลี่ยงการใช้หรือเปิดเผยข้อมูลส่วนบุคคลเกินความคาดหวังปกติในบริบทของการดำเนินการที่เกี่ยวข้อง และจะต้องแจ้งให้เจ้าของข้อมูลส่วนบุคคลทราบวัตถุประสงค์และรายละเอียดในการเก็บรวบรวมข้อมูลส่วนบุคคล (privacy notice) ตาม [มาตรา 23](https://link.pdpalawbase.com/section/23.md) ซึ่งรวมถึงวัตถุประสงค์ตามที่ [มาตรา 24](https://link.pdpalawbase.com/section/24.md) ให้อำนาจในการเก็บรวบรวมได้โดยไม่ได้รับความยินยอมจากเจ้าของข้อมูลส่วนบุคคลตาม (1) และประเภทของบุคคลหรือหน่วยงานซึ่งข้อมูลส่วนบุคคลที่เก็บรวบรวมอาจจะถูกเปิดเผยตาม (4) ด้วย ส่วนประเด็นการเรียกหรือขอให้นำส่งเอกสารหรือหลักฐานใด ๆ เพื่อประกอบการขอข้อมูลนั้น กรมการขนส่งทางบกอาจพิจารณาขอข้อมูลรวมทั้งเอกสารหรือหลักฐานที่เกี่ยวข้องต่อการพิสูจน์สิทธิ เหตุผลความจำเป็น และ/หรือประโยชน์โดยชอบด้วยกฎหมายของผู้ร้องขอ เพื่อประกอบการใช้ดุลพินิจในการเปิดเผยข้อมูลส่วนบุคคลได้ตามที่เห็นสมควร

อนึ่ง การให้คำแนะนำและให้คำปรึกษาในการปฏิบัติตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 นี้ เป็นการให้ความเห็นเกี่ยวกับข้อกฎหมายตามพระราชบัญญัติดังกล่าวโดยทั่วไป อย่างไรก็ดี การเปิดเผยข้อมูลข่าวสารของราชการตามคำขอ กรมการขนส่งทางบกต้องพิจารณาให้เป็นไปตามพระราชบัญญัติข้อมูลข่าวสารของราชการ พ.ศ. 2540 ด้วย เนื่องจากเป็นการเปิดเผยข้อมูลข่าวสารในความครอบครองหรือควบคุมดูแลของหน่วยงานของรัฐ และในการใช้ดุลพินิจในการเปิดเผยข้อมูลข่าวสารส่วนบุคคลโดยหน่วยงานของรัฐดังกล่าว หากเจ้าของข้อมูลเห็นว่าได้รับความเสียหายก็สามารถใช้สิทธิร้องเรียนตามกฎหมายที่เกี่ยวข้องต่อไปได้

## เอกสารต้นฉบับ

- [PDF ต้นฉบับ (local)](../../raw/opinions/opinion-1-2569.pdf)
- [ที่มา: pdpc.or.th](https://www.pdpc.or.th/wp-content/uploads/2026/02/consultation-64.pdf)

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/opinion/1-2569.md

============================================================
โนด: ข้อหารือ 2/2566
ลิงก์อ้างอิง: https://link.pdpalawbase.com/opinion/2-2566.md

# ข้อหารือที่ 2/2566 เรื่อง กองทุนเงินให้กู้ยืมเพื่อการศึกษาขอหารือเกี่ยวกับการเปิดเผยข้อมูลส่วนบุคคลตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562

## ข้อกฎหมาย

1. พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 — [มาตรา 3](https://link.pdpalawbase.com/section/3.md), [มาตรา 19](https://link.pdpalawbase.com/section/19.md), [มาตรา 24](https://link.pdpalawbase.com/section/24.md) และ [มาตรา 27](https://link.pdpalawbase.com/section/27.md)
2. พระราชบัญญัติข้อมูลข่าวสารของราชการ พ.ศ. 2540 — มาตรา 4

## ข้อหารือ

กองทุนเงินให้กู้ยืมเพื่อการศึกษา (กยศ.) ในฐานะที่เป็นหน่วยงานของรัฐ ซึ่งจัดตั้งขึ้นตามพระราชบัญญัติกองทุนเงินให้กู้ยืมเพื่อการศึกษา พ.ศ. 2560 อยู่ในกำกับดูแลของรัฐมนตรีว่าการกระทรวงการคลัง แจ้งว่า พนักงานกองทุนฯ มีหนังสือขอให้กองทุนฯ เปิดเผยผลคะแนนการสอบคัดเลือกพนักงานกองทุนฯ ระดับชำนาญการ (หัวหน้ากลุ่มงาน) เพื่อเลื่อนตำแหน่งเป็นระดับบริหารระดับต้น (ผู้อำนวยการฝ่าย) และผลคะแนนการสอบคัดเลือกพนักงานกองทุนฯ ระดับบริหารระดับต้น (ผู้อำนวยการฝ่าย) เพื่อเลื่อนตำแหน่งเป็นผู้บริหารระดับกลาง (รองผู้จัดการ) ทั้งของตนเองและของพนักงานผู้ซึ่งได้รับการคัดเลือกให้เลื่อนตำแหน่ง และขอตรวจสอบใบประเมินผลคะแนนการสอบของคณะกรรมการสอบคัดเลือกหรือคณะกรรมการสรรหาทุกท่าน

ซึ่งคณะอนุกรรมการด้านกฎหมายของกองทุนฯ พิจารณาแล้วเห็นว่า การขอทราบข้อมูลคะแนนการคัดเลือกของพนักงานผู้อื่น และขอให้เปิดเผยใบประเมินผลคะแนนการสอบของคณะกรรมการสอบคัดเลือกหรือคณะกรรมการสรรหาทุกท่านนั้น เนื่องจากใบประเมินผลมีข้อมูลการให้คะแนนจากกรรมการแต่ละท่าน ซึ่งเป็นข้อมูลส่วนบุคคลของกรรมการรวมอยู่ด้วย หากกองทุนฯ เปิดเผยอาจเข้าข่ายเป็นการฝ่าฝืน [มาตรา 19](https://link.pdpalawbase.com/section/19.md) วรรคหนึ่ง แห่ง PDPA ที่กำหนดว่า "ผู้ควบคุมข้อมูลส่วนบุคคลจะกระทำการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลไม่ได้ หากเจ้าของข้อมูลส่วนบุคคลไม่ได้ให้ความยินยอม..." ดังนั้น เมื่อกองทุนฯ ยังไม่ได้รับความยินยอม กองทุนฯ ย่อมไม่สามารถเปิดเผยผลคะแนนของบุคคลอื่นและไม่สามารถเปิดเผยใบประเมินผลให้กับบุคคลอื่นได้

อย่างไรก็ตาม คณะอนุกรรมการฯ มีความเห็นในเบื้องต้นว่า หากกองทุนฯ ประสงค์จะเปิดเผยคะแนน ให้กองทุนฯ นำเฉพาะผลคะแนนของผู้ร้องขอข้อมูลที่ได้รับจากกรรมการคัดเลือกหรือกรรมการสรรหาทุกท่านมาจัดพิมพ์ลงในเอกสารฉบับใหม่ โดยไม่เปิดเผยชื่อและนามสกุลของกรรมการ และไม่ต้องเรียงตามลำดับตำแหน่ง รวมทั้งต้องไม่เปิดเผยความเห็นของกรรมการแต่ละท่าน

กองทุนฯ จึงขอหารือใน 2 ประเด็น:
1. กรณีผู้ร้องขอข้อมูลขอทราบผลคะแนนการสอบคัดเลือกของพนักงานผู้อื่น กองทุนฯ จะสามารถเปิดเผยได้หรือไม่ โดยมีหลักเกณฑ์และเงื่อนไขอย่างไร
2. กรณีผู้ร้องขอข้อมูลขอตรวจสอบใบประเมินผลคะแนนการสอบของคณะกรรมการสอบคัดเลือก/สรรหาทุกท่าน กองทุนฯ จะสามารถเปิดเผยได้หรือไม่

และพนักงานกองทุนฯ มีหนังสือขอให้กองทุนฯ เปิดเผยผลการประเมินการปฏิบัติงานและผลการขึ้นเงินเดือนประจำปีทั้งของตนเองและของผู้อำนวยการฝ่ายทุกฝ่าย — กรณีข้อมูลของผู้ร้องขอเอง กองทุนฯ ย่อมเปิดเผยได้ แต่กรณีข้อมูลที่ร้องขอมีผลกระทบต่อบุคคลอื่น ซึ่งอาจเป็นการฝ่าฝืน [มาตรา 19](https://link.pdpalawbase.com/section/19.md) วรรคหนึ่ง — กยศ. จึงขอหารือว่า กรณีผลการประเมินและการขึ้นเงินเดือนของผู้อำนวยการฝ่ายอื่น จะสามารถเปิดเผยได้หรือไม่

## ความเห็น

คณะอนุกรรมการเฉพาะกิจตอบข้อหารือและให้คำแนะนำหน่วยงานของรัฐเพื่อรองรับการบังคับใช้พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ในคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล พิจารณาเรื่องหารือดังกล่าวแล้ว เห็นว่า กรณีตามข้อหารือดังกล่าวเป็นการใช้สิทธิตามพระราชบัญญัติข้อมูลข่าวสารของราชการ พ.ศ. 2540 กยศ. จึงควรหารือตามกฎหมายดังกล่าวตามนัย [มาตรา 3](https://link.pdpalawbase.com/section/3.md) แห่ง PDPA ซึ่งบัญญัติว่า ในกรณีที่มีกฎหมายว่าด้วยการใดบัญญัติเกี่ยวกับการคุ้มครองข้อมูลส่วนบุคคลในลักษณะใด กิจการใด หรือหน่วยงานใดไว้โดยเฉพาะแล้ว ให้บังคับตามบทบัญญัติแห่งกฎหมายว่าด้วยการนั้น เว้นแต่ (1) บทบัญญัติเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล และบทบัญญัติเกี่ยวกับสิทธิของเจ้าของข้อมูลส่วนบุคคล รวมทั้งบทกำหนดโทษที่เกี่ยวข้อง ให้บังคับตามบทบัญญัติแห่ง PDPA เป็นการเพิ่มเติม ไม่ว่าจะซ้ำกับบทบัญญัติแห่งกฎหมายว่าด้วยการนั้นหรือไม่ก็ตาม

ดังนั้น การเปิดเผยข้อมูลข่าวสารที่อยู่ในความครอบครองหรือควบคุมดูแลของ กยศ. ตามข้อหารือนี้ กยศ. จึงควรพิจารณาดำเนินการให้เป็นไปตามพระราชบัญญัติข้อมูลข่าวสารของราชการ พ.ศ. 2540 ซึ่งกำหนดเรื่องการเปิดเผยข้อมูลข่าวสารของราชการของหน่วยงานของรัฐ รวมถึงข้อมูลข่าวสารส่วนบุคคลที่อยู่ในความควบคุมดูแลของหน่วยงานของรัฐไว้โดยเฉพาะแล้ว และให้ กยศ. พิจารณาดำเนินการให้เป็นไปตาม PDPA เป็นการเพิ่มเติม ตามนัย [มาตรา 3](https://link.pdpalawbase.com/section/3.md) (1) ดังกล่าว

อนึ่ง มีข้อสังเกตว่า นอกจาก [มาตรา 19](https://link.pdpalawbase.com/section/19.md) วรรคหนึ่งแล้ว กยศ. อาจพิจารณาเพิ่มเติมว่าการเปิดเผยข้อมูลส่วนบุคคลให้กับผู้ร้องขอข้อมูลตามประเด็นที่หารือทั้งสองกรณีดังกล่าว กยศ. มีฐานทางกฎหมายตาม [มาตรา 24](https://link.pdpalawbase.com/section/24.md) ประกอบ [มาตรา 27](https://link.pdpalawbase.com/section/27.md) วรรคหนึ่ง แห่ง PDPA ที่จะสามารถเปิดเผยได้โดยได้รับยกเว้นไม่ต้องขอความยินยอมหรือไม่

## เอกสารต้นฉบับ

- [PDF ต้นฉบับ (local)](../../raw/opinions/opinion-2-2566.pdf)
- [ที่มา: pdpc.or.th](https://www.pdpc.or.th/wp-content/uploads/2024/02/PDPC-consultation-02.pdf)

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/opinion/2-2566.md

============================================================
โนด: ข้อหารือ 2/2567
ลิงก์อ้างอิง: https://link.pdpalawbase.com/opinion/2-2567.md

# ข้อหารือที่ 2/2567 เรื่อง สำนักงานนโยบายและแผนทรัพยากรธรรมชาติและสิ่งแวดล้อม ขอหารือการปฏิบัติตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ในกระบวนการประเมินผลกระทบสิ่งแวดล้อม

## ข้อกฎหมาย

1. พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 — [มาตรา 4](https://link.pdpalawbase.com/section/4.md) (3), [มาตรา 4](https://link.pdpalawbase.com/section/4.md) วรรคสาม, [มาตรา 6](https://link.pdpalawbase.com/section/6.md), [มาตรา 21](https://link.pdpalawbase.com/section/21.md), [มาตรา 22](https://link.pdpalawbase.com/section/22.md), [มาตรา 23](https://link.pdpalawbase.com/section/23.md), [มาตรา 24](https://link.pdpalawbase.com/section/24.md) (4), [มาตรา 24](https://link.pdpalawbase.com/section/24.md) (5), [มาตรา 24](https://link.pdpalawbase.com/section/24.md) (6), [มาตรา 25](https://link.pdpalawbase.com/section/25.md), [มาตรา 26](https://link.pdpalawbase.com/section/26.md) (5) (จ), [มาตรา 27](https://link.pdpalawbase.com/section/27.md) วรรคหนึ่ง และ [มาตรา 37](https://link.pdpalawbase.com/section/37.md) (1)
2. พระราชบัญญัติส่งเสริมและรักษาคุณภาพสิ่งแวดล้อมแห่งชาติ พ.ศ. 2535 และที่แก้ไขเพิ่มเติม — มาตรา 48, 49, 50 และ 51/1
3. พระราชบัญญัติข้อมูลข่าวสารของราชการ พ.ศ. 2540 — มาตรา 11 และมาตรา 15
4. พระราชบัญญัติประกอบรัฐธรรมนูญว่าด้วยคณะกรรมการสิทธิมนุษยชนแห่งชาติ พ.ศ. 2560 — มาตรา 35

## ข้อหารือ

สำนักงานนโยบายและแผนทรัพยากรธรรมชาติและสิ่งแวดล้อม (สผ.) ขอหารือการปฏิบัติตาม PDPA เกี่ยวกับการประเมินผลกระทบสิ่งแวดล้อม (EIA) 4 ประเด็น:

1. การเก็บ/ใช้/เปิดเผยข้อมูลส่วนบุคคลในกระบวนการ EIA เป็นการดำเนินการตามกฎหมายเพื่อประโยชน์สาธารณะ ได้รับยกเว้น [มาตรา 4](https://link.pdpalawbase.com/section/4.md) (3) หรือไม่
2. ผู้จัดทำรายงาน EIA = ผู้ควบคุมข้อมูลตาม PDPA หรือไม่ · กรณีใช้ข้อมูลทุติยภูมิจากหน่วยงานรัฐ ต้องขอความยินยอม หรือยกเว้นตาม [มาตรา 24](https://link.pdpalawbase.com/section/24.md) (4)/[มาตรา 26](https://link.pdpalawbase.com/section/26.md) (5) ได้หรือไม่
3. เมื่อ สผ. ได้รับรายงาน — สผ. เป็นผู้ควบคุมข้อมูลหรือไม่ · นำเสนอ คกก. ผู้ชำนาญการ + คกก. สิ่งแวดล้อมแห่งชาติ ต้องขอความยินยอมตาม [มาตรา 24](https://link.pdpalawbase.com/section/24.md) หรือไม่
4. สผ. ระบบ Smart EIA Plus เผยแพร่รายงาน — สผ. เป็นผู้ควบคุมหรือไม่ · รายงานที่เผยแพร่ก่อน PDPA (ไม่ปกปิดข้อมูล) ต้องนำออกหรือไม่ · วิธีปกปิดอย่างไร · กรณีผู้ขอเปิดเผย (กสม., คณะกรรมาธิการ, ผู้ร้องเรียนพื้นที่, NGO) มีสิทธิหรือไม่

## ความเห็น

**ข้อ 1** [มาตรา 4](https://link.pdpalawbase.com/section/4.md) (3) ยกเว้น PDPA แก่บุคคลที่ใช้/เปิดเผยข้อมูลส่วนบุคคลเพื่อกิจการสื่อมวลชน งานศิลปกรรม หรืองานวรรณกรรมตามจริยธรรมแห่งวิชาชีพ · **การจัดทำรายงาน EIA ไม่ใช่ข้อมูลที่เก็บไว้เฉพาะเพื่อกิจการสื่อมวลชน · จึงไม่ได้รับยกเว้น [มาตรา 4](https://link.pdpalawbase.com/section/4.md) (3) — ต้องดำเนินการตาม PDPA**

**ข้อ 2** ผู้ดำเนินการหรือผู้ขออนุญาตที่มีหน้าที่จัดทำรายงาน EIA ตาม พ.ร.บ. ส่งเสริมและรักษาคุณภาพสิ่งแวดล้อมฯ = **ผู้ควบคุมข้อมูลส่วนบุคคล** · หากว่าจ้างนิติบุคคลอื่นทำ = **ผู้ประมวลผลข้อมูล**

การจัดทำรายงาน EIA ตามมาตรา 48-51/1 พ.ร.บ. ส่งเสริมและรักษาคุณภาพสิ่งแวดล้อมฯ = การเก็บข้อมูลส่วนบุคคลที่เป็นการปฏิบัติตามกฎหมายของผู้ควบคุมข้อมูลตาม [มาตรา 24](https://link.pdpalawbase.com/section/24.md) (6) · กรณีข้อมูลสุขภาพ = [มาตรา 26](https://link.pdpalawbase.com/section/26.md) (5) (จ) (จำเป็นในการปฏิบัติตามกฎหมายเพื่อประโยชน์สาธารณะที่สำคัญ) · กรณีหน่วยงานของรัฐหรือผู้รับจ้างจากหน่วยรัฐ = [มาตรา 24](https://link.pdpalawbase.com/section/24.md) (4) ภารกิจประโยชน์สาธารณะ

ข้อมูลที่ไม่ได้ถูกกำหนดในหลักเกณฑ์ EIA ชัดเจน (ชื่อ-สกุล ที่อยู่ ลายมือชื่อ ภาพถ่ายผู้เข้าร่วมกิจกรรมรับฟังความคิดเห็น) เก็บได้หากจำเป็นและไม่กระทบสิทธิเกินสมควร = [มาตรา 24](https://link.pdpalawbase.com/section/24.md) (5) ประโยชน์โดยชอบด้วยกฎหมาย · เก็บได้โดยไม่ต้องขอความยินยอม

ผู้ควบคุมต้องปฏิบัติหน้าที่อื่นตาม [มาตรา 21](https://link.pdpalawbase.com/section/21.md), [มาตรา 22](https://link.pdpalawbase.com/section/22.md), [มาตรา 23](https://link.pdpalawbase.com/section/23.md), [มาตรา 37](https://link.pdpalawbase.com/section/37.md) (1) ครบ · เจ้าของข้อมูลยังมีสิทธิเข้าร่วม/ไม่เข้าร่วมกิจกรรม

**ข้อมูลทุติยภูมิจากหน่วยงานของรัฐ** — หากเป็นการเก็บที่ได้รับยกเว้นตาม [มาตรา 24](https://link.pdpalawbase.com/section/24.md) หรือ [มาตรา 26](https://link.pdpalawbase.com/section/26.md) = เก็บจากแหล่งอื่นได้ตาม [มาตรา 25](https://link.pdpalawbase.com/section/25.md) วรรคหนึ่ง (2) · หน่วยงานต้นทางต้องพิจารณาเปิดเผยตามดุลพินิจตาม [มาตรา 27](https://link.pdpalawbase.com/section/27.md) วรรคหนึ่ง

**ข้อ 3** เมื่อผู้ดำเนินการเสนอรายงานต่อ สผ. — **สผ. เป็นผู้ควบคุมข้อมูลตาม [มาตรา 6](https://link.pdpalawbase.com/section/6.md)** สามารถเก็บ/ใช้/เปิดเผยข้อมูลเพื่อวัตถุประสงค์ EIA ตาม [มาตรา 24](https://link.pdpalawbase.com/section/24.md) (4), [มาตรา 24](https://link.pdpalawbase.com/section/24.md) (6), [มาตรา 25](https://link.pdpalawbase.com/section/25.md) และ [มาตรา 26](https://link.pdpalawbase.com/section/26.md) (5) (จ) ประกอบ [มาตรา 27](https://link.pdpalawbase.com/section/27.md) วรรคหนึ่ง — นำเสนอ คกก. ผู้ชำนาญการ + คกก. สิ่งแวดล้อมแห่งชาติได้

**ข้อ 4** การเผยแพร่ผ่าน Smart EIA Plus = สผ. เปิดเผยในฐานะผู้ควบคุมข้อมูล · รายงานที่เผยแพร่ก่อน PDPA — เดิมตาม พ.ร.บ. ข้อมูลข่าวสารฯ · เมื่อ PDPA มีผล ต้องเป็นไปตาม [มาตรา 27](https://link.pdpalawbase.com/section/27.md) วรรคหนึ่ง ประกอบ [มาตรา 24](https://link.pdpalawbase.com/section/24.md) หรือ [มาตรา 26](https://link.pdpalawbase.com/section/26.md) · วิธีปกปิด = ชั่งน้ำหนักความโปร่งใส vs. รุกล้ำสิทธิ ตามมาตรา 15 พ.ร.บ. ข้อมูลข่าวสารฯ

**คณะกรรมการสิทธิมนุษยชนแห่งชาติ** มีอำนาจขอตามมาตรา 35 พ.ร.บ. ประกอบรัฐธรรมนูญ กสม. — เปิดเผยได้ตาม [มาตรา 27](https://link.pdpalawbase.com/section/27.md) ประกอบ [มาตรา 24](https://link.pdpalawbase.com/section/24.md) (6) หรือ [มาตรา 26](https://link.pdpalawbase.com/section/26.md) (5) (จ) · **คณะกรรมาธิการของรัฐสภา** = ได้รับยกเว้น [มาตรา 4](https://link.pdpalawbase.com/section/4.md) — สผ. ต้องดำเนินการตามกฎหมายที่เกี่ยวข้อง · **ผู้ร้องเรียน/NGO** = ตาม พ.ร.บ. ข้อมูลข่าวสารฯ มาตรา 11 · สผ. ต้องชั่งน้ำหนักตาม [มาตรา 15](https://link.pdpalawbase.com/section/15.md) (พ.ร.บ. ข้อมูลข่าวสารฯ) + PDPA ประกอบกัน

## เอกสารต้นฉบับ

- [PDF ต้นฉบับ (local)](../../raw/opinions/opinion-2-2567.pdf)
- [ที่มา: pdpc.or.th](https://www.pdpc.or.th/wp-content/uploads/2024/04/PDPC-consultation-31.pdf)

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/opinion/2-2567.md

============================================================
โนด: ข้อหารือ 2/2568
ลิงก์อ้างอิง: https://link.pdpalawbase.com/opinion/2-2568.md

# ข้อหารือที่ 2/2568 เรื่อง นาย ฐ ขอให้ตีความและวินิจฉัยชี้ขาดปัญหาเกี่ยวกับข้อมูลส่วนบุคคลตามมาตรา 26 แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562

## ข้อกฎหมาย

1. พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562
[มาตรา 24](https://link.pdpalawbase.com/section/24.md) [มาตรา 26](https://link.pdpalawbase.com/section/26.md) และ [มาตรา 27](https://link.pdpalawbase.com/section/27.md) วรรคหนึ่ง
2. ประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง หลักเกณฑ์เกี่ยวกับมาตรการคุ้มครอง
สำหรับการเก็บรวบรวมข้อมูลส่วนบุคคลเกี่ยวกับประวัติอาชญากรรมที่มิได้กระทำภายใต้
การควบคุมของหน่วยงานที่มีอำนาจหน้าที่ตามกฎหมาย พ.ศ. 2566
ข้อ 3

## ข้อหารือ

นาย ฐ ได้มีหนังสือขอให้คณะกรรมการคุ้มครองข้อมูลส่วนบุคคลตีความตามมาตรา 16 (10)
แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 สืบเนื่องจากเรื่องร้องเรียนเกี่ยวกับการเปิดเผย
ข้อมูลส่วนบุคคลเกี่ยวกับการสอบสวนโทษทางวินัยโดยอดีตพนักงานของผู้ถูกร้องเรียนที่ทำหน้าที่เป็นกรรมการ
สอบสวนโทษทางวินัยในประวัติการทำงานของผู้นั้นที่เผยแพร่ผ่านอินเทอร์เน็ต และคำสั่งคณะกรรมการ
ผู้เชี่ยวชาญที่เกี่ยวข้องว่า กรณีที่เป็นข้อมูลอื่นใดซึ่งกระทบต่อเจ้าของข้อมูลส่วนบุคคลในทำนองเดียวกันตามที่
คณะกรรมการคุ้มครองข้อมูลส่วนบุคคลประกาศกำหนดตาม [มาตรา 26](https://link.pdpalawbase.com/section/26.md) แห่งพระราชบัญญัติคุ้มครองข้อมูล
ส่วนบุคคล พ.ศ. 2562 ซึ่งการเก็บรวบรวมข้อมูลส่วนบุคคลดังกล่าวจะต้องได้รับความยินยอมโดยชัดแจ้งจาก
เจ้าของข้อมูลส่วนบุคคล เว้นแต่จะเข้าข้อยกเว้นตามมาตราดังกล่าวนั้น ต้องเป็นเรื่องในลักษณะใด
มีรายละเอียดอย่างไรเป็นการเพิ่มเติมจากข้อมูลตามเดิมที่เป็นไปตาม [มาตรา 26](https://link.pdpalawbase.com/section/26.md) แห่งพระราชบัญญัตินี้
และขอให้พิจารณาและดำเนินการเพื่อทำการประกาศเพิ่มเติมเกี่ยวกับกรณีที่เป็นข้อมูลอื่นใดซึ่งกระทบ
ต่อเจ้าของข้อมูลส่วนบุคคลในทำนองเดียวกัน เพื่อเป็นประโยชน์ในการบังคับใช้และป้องกันมิให้เกิดความ
เสียหายต่อบุคคลอื่น ๆ

## ความเห็น

คณะอนุกรรมการตอบข้อหารือและให้คำแนะนำในการปฏิบัติตามกฎหมายว่าด้วย
การคุ้มครองข้อมูลส่วนบุคคล ในคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล ได้นำเรื่องดังกล่าวเสนอ
ต่อคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลเพื่อพิจารณาแล้ว เห็นว่า ข้อมูลส่วนบุคคลที่เกี่ยวกับการดำเนินการ
ทางวินัย เป็นข้อมูลที่เกี่ยวข้องกับการปฏิบัติงานหรือการกระทำความผิดทางวินัยภายในหน่วยงาน ซึ่งโดยทั่วไป
จะเป็นข้อมูลที่ใช้เฉพาะภายในองค์กร ซึ่งข้อมูลดังกล่าวจะไม่เข้าลักษณะเป็น "ข้อมูลส่วนบุคคลเกี่ยวกับประวัติ
อาชญากรรม" ตาม [มาตรา 26](https://link.pdpalawbase.com/section/26.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ประกอบข้อ 3
ของประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง หลักเกณฑ์เกี่ยวกับมาตรการคุ้มครองสำหรับการ
เก็บรวบรวมข้อมูลส่วนบุคคลเกี่ยวกับประวัติอาชญากรรมที่มิได้กระทำภายใต้การควบคุมของหน่วยงานที่มี
อำนาจหน้าที่ตามกฎหมาย พ.ศ. 2566 เนื่องจากข้อมูลดังกล่าวมิใช่ข้อมูลเกี่ยวกับการสืบสวนสอบสวน
การกระทำความผิดอาญา การดำเนินคดีอาญา หรือการรับโทษทางอาญา และไม่ได้เป็นข้อมูลที่เป็นทางการ
หรือรับรองโดยหน่วยงานของรัฐที่มีอำนาจหน้าที่ตามกฎหมายที่เกี่ยวข้องกับการดำเนินการทางอาญาดังกล่าว
นอกจากนี้ ข้อมูลดังกล่าวยังไม่เข้าลักษณะของข้อมูลส่วนบุคคลเกี่ยวกับเชื้อชาติ เผ่าพันธุ์ ความคิดเห็นทาง
การเมือง ความเชื่อในลัทธิ ศาสนาหรือปรัชญา พฤติกรรมทางเพศ ข้อมูลสุขภาพ ความพิการ ข้อมูลสหภาพ
แรงงาน ข้อมูลพันธุกรรม หรือข้อมูลชีวภาพ ตาม [มาตรา 26](https://link.pdpalawbase.com/section/26.md) แต่อย่างใด ประกอบกับในปัจจุบันคณะกรรมการ
คุ้มครองข้อมูลส่วนบุคคลยังไม่ได้ประกาศกำหนดข้อมูลส่วนบุคคลอื่นใดซึ่งกระทบต่อเจ้าของข้อมูลส่วนบุคคล
ในทำนองเดียวกัน ดังนั้น ข้อมูลส่วนบุคคลที่เกี่ยวกับการดำเนินการทางวินัย จึงไม่เข้าลักษณะเป็นข้อมูล
ส่วนบุคคลตาม [มาตรา 26](https://link.pdpalawbase.com/section/26.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562
สำหรับกรณีที่นาย ฐ ขอให้คณะกรรมการคุ้มครองข้อมูลส่วนบุคคลพิจารณาและดำเนินการ
เพื่อออกประกาศกำหนดเพิ่มเติมให้ข้อมูลส่วนบุคคลที่เกี่ยวกับการดำเนินการทางวินัย เป็นข้อมูลอื่นใด
ซึ่งกระทบต่อเจ้าของข้อมูลส่วนบุคคลในทำนองเดียวกันตาม [มาตรา 26](https://link.pdpalawbase.com/section/26.md) แห่งพระราชบัญญัติคุ้มครองข้อมูล
ส่วนบุคคล พ.ศ. 2562 นั้น คณะกรรมการคุ้มครองข้อมูลส่วนบุคคลพิจารณาแล้ว เห็นว่า เจตนารมณ์
ของบทบัญญัติ [มาตรา 26](https://link.pdpalawbase.com/section/26.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 มีวัตถุประสงค์เพื่อให้
ความคุ้มครองข้อมูลส่วนบุคคลบางประเภทที่มีความละเอียดอ่อน (sensitive personal data) เป็นพิเศษ
ซึ่งหากมีการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลดังกล่าวโดยไม่เหมาะสมอาจส่งผลกระทบ
ต่อสิทธิและเสรีภาพของเจ้าของข้อมูลส่วนบุคคลอย่างรุนแรง เช่น การเลือกปฏิบัติโดยไม่เป็นธรรมต่อบุคคล
บนพื้นฐานของเชื้อชาติ เผ่าพันธุ์ ความคิดเห็นทางการเมือง ความเชื่อในลัทธิ ศาสนาหรือปรัชญา พฤติกรรม
ทางเพศ ข้อมูลสุขภาพ ความพิการ ข้อมูลสหภาพแรงงาน ข้อมูลพันธุกรรม หรือข้อมูลชีวภาพ ดังเช่นที่บัญญัติ
ใน [มาตรา 26](https://link.pdpalawbase.com/section/26.md) จึงกำหนดให้การเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลดังกล่าวจะต้องได้รับความยินยอม
โดยชัดแจ้งจากเจ้าของข้อมูลส่วนบุคคล เว้นแต่จะเข้าข้อยกเว้นตาม [มาตรา 26](https://link.pdpalawbase.com/section/26.md) (1) ถึง (5) ประกอบ [มาตรา 27](https://link.pdpalawbase.com/section/27.md)
วรรคหนึ่ง ข้อยกเว้นตาม [มาตรา 26](https://link.pdpalawbase.com/section/26.md) ดังกล่าวทำให้การเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลดังกล่าว
โดยไม่ได้รับความยินยอมโดยชัดแจ้งจากเจ้าของข้อมูลส่วนบุคคลจะต้องเป็นกรณีที่ถูกจำกัดไว้เป็นพิเศษ
ซึ่งแคบกว่าข้อยกเว้นตาม [มาตรา 24](https://link.pdpalawbase.com/section/24.md) ดังนั้น การที่จะกำหนดให้ข้อมูลอื่นใดเป็นข้อมูลส่วนบุคคลตาม [มาตรา 26](https://link.pdpalawbase.com/section/26.md)
จะต้องพิจารณาว่า ข้อมูลนั้นมีลักษณะที่อาจส่งผลกระทบต่อสิทธิและเสรีภาพของบุคคลในลักษณะร้ายแรง
หรือเกินสมควรหรือไม่ และข้อยกเว้นที่ถูกจำกัดไว้เป็นพิเศษตาม [มาตรา 26](https://link.pdpalawbase.com/section/26.md) มีความเหมาะสมกับข้อมูลลักษณะ
ดังกล่าวเพียงใด เมื่อพิจารณาจากลักษณะของข้อมูลส่วนบุคคลเกี่ยวกับการดำเนินการทางวินัยภายใน
หน่วยงาน ซึ่งโดยทั่วไปการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลดังกล่าวจะเป็นกระบวนการที่เกิดขึ้นภายใน
องค์กร และข้อมูลดังกล่าวมิใช่ข้อมูลเกี่ยวกับการสืบสวนสอบสวนการกระทำความผิดอาญา การดำเนิน
คดีอาญา หรือการรับโทษทางอาญาที่เป็นข้อมูลที่เป็นทางการหรือรับรองโดยหน่วยงานของรัฐที่มีอำนาจหน้าที่
ตามกฎหมายเกี่ยวกับการดำเนินการทางอาญาดังกล่าว รวมทั้งมิได้มีลักษณะที่อาจส่งผลกระทบต่อสิทธิ
และเสรีภาพของเจ้าของข้อมูลส่วนบุคคลในระดับที่ร้ายแรงหรือเกินสมควรในทำนองเดียวกับข้อมูลส่วนบุคคล
เกี่ยวกับประวัติอาชญากรรมหรือข้อมูลส่วนบุคคลอื่นตามที่กำหนดใน [มาตรา 26](https://link.pdpalawbase.com/section/26.md) ตลอดจนองค์กรที่
เป็นผู้ควบคุมข้อมูลส่วนบุคคลยังสามารถกำหนดระดับชั้นความลับและขอบเขตที่เหมาะสมในการเก็บรวบรวม
ใช้ และเปิดเผยข้อมูลดังกล่าวได้ และหากมีการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลดังกล่าวโดยไม่สมควร
เจ้าของข้อมูลส่วนบุคคลที่ได้รับผลกระทบก็สามารถใช้สิทธิร้องเรียนตามกฎหมายว่าด้วยการคุ้มครองข้อมูล
ส่วนบุคคล หรือใช้สิทธิเรียกร้องความรับผิดตามกฎหมายอื่นได้ จึงยังไม่สมควรที่จะประกาศกำหนดให้ข้อมูล
ส่วนบุคคลเกี่ยวกับการดำเนินการทางวินัย เป็นข้อมูลส่วนบุคคลอื่นใดซึ่งกระทบต่อเจ้าของข้อมูลส่วนบุคคล
ในทำนองเดียวกันกับข้อมูลส่วนบุคคลตาม [มาตรา 26](https://link.pdpalawbase.com/section/26.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล
พ.ศ. 2562 เป็นการเพิ่มเติม

## เอกสารต้นฉบับ

- [PDF ต้นฉบับ (local)](../../raw/opinions/opinion-2-2568.pdf)
- [ที่มา: pdpc.or.th](https://www.pdpc.or.th/wp-content/uploads/2025/07/PDPC-consultation-51.pdf)

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/opinion/2-2568.md

============================================================
โนด: ข้อหารือ 2/2569
ลิงก์อ้างอิง: https://link.pdpalawbase.com/opinion/2-2569.md

# ข้อหารือที่ 2/2569 เรื่อง กรมสุขภาพจิตขอหารือเกี่ยวกับการแลกเปลี่ยนข้อมูลผู้ป่วยจิตเวชและยาเสพติดที่มีความเสี่ยงสูงต่อการก่อความรุนแรง เพื่อความปลอดภัยของผู้ป่วย ผู้อื่น และสาธารณชน

## ข้อกฎหมาย

1. พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 — [มาตรา 3](https://link.pdpalawbase.com/section/3.md) (1) [มาตรา 22](https://link.pdpalawbase.com/section/22.md) [มาตรา 24](https://link.pdpalawbase.com/section/24.md) (2) (4) และ (6) [มาตรา 26](https://link.pdpalawbase.com/section/26.md) (1) และ (5) (ก) (ข) และ (จ) [มาตรา 27](https://link.pdpalawbase.com/section/27.md) [มาตรา 35](https://link.pdpalawbase.com/section/35.md) และ [มาตรา 37](https://link.pdpalawbase.com/section/37.md) (1) (2) และ (3)
2. พระราชบัญญัติสุขภาพจิต พ.ศ. 2551 และที่แก้ไขเพิ่มเติม — มาตรา 3 มาตรา 11/1 (2) และ (4) มาตรา 15 (2) มาตรา 16 มาตรา 22 มาตรา 23 มาตรา 24 และมาตรา 27
3. พระราชบัญญัติการบริหารงานและการให้บริการภาครัฐผ่านระบบดิจิทัล พ.ศ. 2562 — มาตรา 13 มาตรา 14 และมาตรา 16
4. พระราชบัญญัติข้อมูลข่าวสารของราชการ พ.ศ. 2540
5. พระราชบัญญัติสุขภาพแห่งชาติ พ.ศ. 2550 และที่แก้ไขเพิ่มเติม
6. พระราชบัญญัติการแพทย์ฉุกเฉิน พ.ศ. 2551
7. พระราชบัญญัติมาตรการป้องกันการกระทำความผิดซ้ำในความผิดเกี่ยวกับเพศหรือที่ใช้ความรุนแรง พ.ศ. 2565
8. ประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง มาตรการรักษาความมั่นคงปลอดภัยของผู้ควบคุมข้อมูลส่วนบุคคล พ.ศ. 2565 — ข้อ 4 (2) (6) และ (7)

## ข้อหารือ

กรมสุขภาพจิตแจ้งว่า ในฐานะหน่วยธุรการของคณะกรรมการสุขภาพจิตแห่งชาติ กรมสุขภาพจิตมีอำนาจหน้าที่ตามพระราชบัญญัติสุขภาพจิต พ.ศ. 2551 ซึ่งแก้ไขเพิ่มเติมโดยพระราชบัญญัติสุขภาพจิต (ฉบับที่ 2) พ.ศ. 2562 มาตรา 11/1 (2) ในการประสานงานและร่วมมือกับหน่วยงานของรัฐและเอกชนที่เกี่ยวข้องในการดำเนินงานด้านสุขภาพจิต และตามมาตรา 11/1 (4) ในการปฏิบัติการอื่นใดตามที่กฎหมายกำหนดให้เป็นอำนาจหน้าที่ของกรมสุขภาพจิต ร่วมกับปัญหาผู้ป่วยจิตเวชที่ก่อความรุนแรงซึ่งเกิดจากความเจ็บป่วยทางจิต การเสพสารเสพติด รวมทั้งการเผชิญกับสภาวะความเครียดจากสิ่งแวดล้อม สังคม และเศรษฐกิจ นำมาสู่การกระทำความรุนแรงทั้งต่อตนเอง ผู้อื่น และทรัพย์สิน ตลอดจนการกระทำความผิด คณะกรรมการสุขภาพจิตแห่งชาติ ในการประชุมครั้งที่ 1/2566 เมื่อวันที่ 27 เมษายน 2566 จึงมีมติให้คณะอนุกรรมการสุขภาพจิตในระดับจังหวัด ดำเนินการตามระบบ V-care ที่เป็นระบบเฝ้าระวังผู้ป่วยจิตเวชและยาเสพติดที่มีความเสี่ยงสูงต่อการก่อความรุนแรง (Serious Mental Illness with High Risk to Violence: SMI-V)

ทั้งนี้ มีผู้ป่วยจิตเวชจำนวนหนึ่งที่ก่อความรุนแรงถึงขั้นมีคดีความและได้รับโทษแล้ว และยังคงมีความเสี่ยงที่จะก่อความรุนแรงซ้ำหากพ้นโทษหรือได้รับการปล่อยตัว อย่างไรก็ตาม หากผู้ป่วยเหล่านี้ได้รับการปล่อยตัวจากกรมราชทัณฑ์ กรมคุมประพฤติ หรือกรมพินิจและคุ้มครองเด็กและเยาวชนแล้ว ยังสามารถอยู่ร่วมกับคนในสังคมได้ หากแต่ต้องมีมาตรการเฝ้าระวังทางด้านยุติธรรมและด้านสาธารณสุขที่เข้มข้น ดังนั้น การแลกเปลี่ยนข้อมูลผู้ป่วยจิตเวชที่พ้นโทษและปล่อยตัวแล้ว แต่มีความเสี่ยงสูงต่อการก่อความรุนแรงร่วมกันระหว่างหน่วยงานที่เกี่ยวข้องดังกล่าว จึงมีความจำเป็นอย่างยิ่งสำหรับการติดตามเฝ้าระวัง ลดการก่อความรุนแรงซ้ำ และเพื่อความปลอดภัยของผู้ป่วย ผู้อื่น และสาธารณชน

ในการจัดทำฐานข้อมูลดังกล่าว จำเป็นต้องมีการแลกเปลี่ยนข้อมูลผู้ป่วยจิตเวชที่มีความเสี่ยงสูงต่อการก่อความรุนแรงจากกรมสุขภาพจิต ข้อมูลผู้ต้องขังที่กำลังจะพ้นโทษจากกรมราชทัณฑ์ ข้อมูลผู้ที่ได้รับคำสั่งศาลในการคุมประพฤติและข้อมูลผู้ที่พ้นโทษที่มีความผิดตามพระราชบัญญัติมาตรการป้องกันการกระทำความผิดซ้ำในความผิดเกี่ยวกับเพศหรือใช้ความรุนแรง พ.ศ. 2565 จากกรมคุมประพฤติ ข้อมูลเด็กและเยาวชนผู้ที่จะได้รับการปล่อยตัวจากกรมพินิจและคุ้มครองเด็กและเยาวชน เพื่อส่งต่อข้อมูลให้สำนักงานตำรวจแห่งชาติและสถาบันการแพทย์ฉุกเฉินแห่งชาติ ในการดำเนินมาตรการเฝ้าระวัง ซึ่งข้อมูลดังกล่าวเป็นข้อมูลที่เป็นความลับของผู้ป่วย โดยกรมสุขภาพจิตเป็นผู้ควบคุมข้อมูลและออกแบบให้มีการบันทึกข้อมูล ได้แก่ ข้อมูลทั่วไป ข้อมูลความเจ็บป่วย ข้อมูลประวัติพฤติกรรมรุนแรง ข้อมูลการใช้สารเสพติด ข้อมูลคดีที่ไม่มีรายละเอียดของพฤติการณ์คดี ข้อมูลการวินิจฉัยโรคทางจิตเวช ข้อมูลการรักษาและยาที่ผู้ป่วยได้รับ ข้อมูลการตรวจวินิจฉัยและประเมินความสามารถในการต่อสู้คดี และข้อมูลสถานะปัจจุบันของผู้ป่วย โดยกำหนดสิทธิการเข้าถึงข้อมูลของแต่ละหน่วยงานตามความรับผิดชอบและความจำเป็น

คณะอนุกรรมการพัฒนาและขับเคลื่อนการดำเนินงานตามกฎหมายว่าด้วยสุขภาพจิต ได้มีการหารือร่วมกันโดยมีความเห็นว่า การเชื่อมโยงข้อมูลดังกล่าวน่าจะสามารถกระทำได้ตามข้อยกเว้นในบทบัญญัติตามมาตรา 16 แห่งพระราชบัญญัติสุขภาพจิต พ.ศ. 2551 ซึ่งบัญญัติห้ามมิให้ผู้ใดเปิดเผยข้อมูลด้านสุขภาพของผู้ป่วยในประการที่น่าจะทำให้เกิดความเสียหายแก่ผู้ป่วย เว้นแต่ (1) ในกรณีที่อาจเกิดอันตรายต่อผู้ป่วยหรือผู้อื่น (2) เพื่อความปลอดภัยของสาธารณชน (3) มีกฎหมายเฉพาะบัญญัติให้ต้องเปิดเผย และตามข้อยกเว้นใน [มาตรา 24](https://link.pdpalawbase.com/section/24.md) (2) และ (4) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 หรือตามข้อยกเว้นใน [มาตรา 26](https://link.pdpalawbase.com/section/26.md) (1) และ (5) (ก) และ (จ) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 จากมติการประชุมคณะอนุกรรมการฯ ครั้งที่ 1/2568 เมื่อวันที่ 3 มีนาคม 2568 ให้จัดตั้งคณะทำงาน อันประกอบด้วยตัวแทนของส่วนราชการและหน่วยงานของรัฐที่เกี่ยวข้อง ได้แก่ กรมสุขภาพจิต กรมราชทัณฑ์ กรมคุมประพฤติ กรมพินิจและคุ้มครองเด็กและเยาวชน สำนักงานตำรวจแห่งชาติ และสถาบันการแพทย์ฉุกเฉินแห่งชาติ สำหรับการดำเนินการเชื่อมโยงข้อมูลเพื่อติดตามผู้ป่วยดังกล่าว กรมสุขภาพจิตจึงขอหารือใน 3 ประเด็น ดังนี้

1. กรมสุขภาพจิต กรมการแพทย์ สำนักงานปลัดกระทรวงสาธารณสุข กรมราชทัณฑ์ กรมคุมประพฤติ กรมพินิจและคุ้มครองเด็กและเยาวชน สำนักงานตำรวจแห่งชาติ สถาบันการแพทย์ฉุกเฉินแห่งชาติ และส่วนราชการอื่นที่เกี่ยวข้อง สามารถเชื่อมโยงข้อมูลและแลกเปลี่ยนข้อมูลระหว่างกัน ที่เกี่ยวข้องกับผู้ป่วยทางจิตเวชหรือผู้ป่วยยาเสพติดซึ่งมีอาการทางจิตเวชที่มีความเสี่ยงสูงต่อการก่อความรุนแรง เพื่อความปลอดภัยของผู้ป่วยหรือผู้อื่น และเพื่อความปลอดภัยของสาธารณชน ภายใต้บทบัญญัติแห่งพระราชบัญญัติสุขภาพจิต พ.ศ. 2551 และบทบัญญัติแห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ได้หรือไม่

2. หากสามารถดำเนินการได้ มีเงื่อนไข ขั้นตอน ข้อพึงปฏิบัติ และข้อสังเกตในการดำเนินการอย่างไร เพื่อให้ถูกต้องตามบทบัญญัติแห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 เช่น การจัดทำข้อตกลงการแบ่งปันข้อมูลส่วนบุคคล (Data Sharing Agreement: DSA)

3. หากไม่สามารถดำเนินการได้ จะมีข้อแนะนำเช่นไร เพื่อให้หน่วยงานของรัฐที่เกี่ยวข้องดังกล่าวสามารถดำเนินการในส่วนที่เกี่ยวกับข้อมูลส่วนบุคคลได้ เพื่อให้บรรลุวัตถุประสงค์ของการเฝ้าระวังผู้ป่วยจิตเวชหรือผู้ป่วยยาเสพติดซึ่งมีอาการทางจิตเวชที่มีความเสี่ยงสูงต่อการก่อความรุนแรง

## ความเห็น

คณะอนุกรรมการตอบข้อหารือและให้คำแนะนำในการปฏิบัติตามกฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคล ในคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล ได้พิจารณาข้อหารือดังกล่าว โดยมีผู้แทนกรมสุขภาพจิตชี้แจงข้อเท็จจริงประกอบการพิจารณาแล้ว มีความเห็น ดังนี้

ประเด็นข้อหารือที่ 1 การแลกเปลี่ยนข้อมูลส่วนบุคคลที่เกี่ยวข้องกับผู้ป่วยจิตเวชหรือผู้ป่วยยาเสพติดซึ่งมีอาการทางจิตเวชที่มีความเสี่ยงสูงต่อการก่อความรุนแรง ระหว่างหน่วยงานของรัฐที่เกี่ยวข้อง เพื่อความปลอดภัยของผู้ป่วย ผู้อื่น และสาธารณชน สามารถดำเนินการได้หรือไม่ เห็นว่า [มาตรา 3](https://link.pdpalawbase.com/section/3.md) (1) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 บัญญัติไว้เป็นหลักการว่า ในกรณีที่มีกฎหมายว่าด้วยการใดบัญญัติเกี่ยวกับการคุ้มครองข้อมูลส่วนบุคคลในลักษณะใด กิจการใด หรือหน่วยงานใดไว้โดยเฉพาะแล้ว ให้บังคับตามบทบัญญัติแห่งกฎหมายว่าด้วยการนั้น เว้นแต่บทบัญญัติเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล และบทบัญญัติเกี่ยวกับสิทธิของเจ้าของข้อมูลส่วนบุคคล รวมทั้งบทกำหนดโทษที่เกี่ยวข้อง ให้บังคับตามบทบัญญัติแห่งพระราชบัญญัตินี้เป็นการเพิ่มเติม ไม่ว่าจะซ้ำกับบทบัญญัติแห่งกฎหมายว่าด้วยการนั้นหรือไม่ก็ตาม ดังนั้น ในการดำเนินการดังกล่าว กรมสุขภาพจิตและหน่วยงานที่เกี่ยวข้อง จึงควรพิจารณาดำเนินการให้สอดคล้องกับกฎหมายอื่น ๆ ที่บัญญัติเกี่ยวกับการคุ้มครองข้อมูลส่วนบุคคลไว้โดยเฉพาะ เช่น พระราชบัญญัติข้อมูลข่าวสารของราชการ พ.ศ. 2540 พระราชบัญญัติสุขภาพแห่งชาติ พ.ศ. 2550 และพระราชบัญญัติสุขภาพจิต พ.ศ. 2551 และที่แก้ไขเพิ่มเติม ก่อน แล้วจึงพิจารณาตามบทบัญญัติแห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 เป็นการเพิ่มเติมต่อไป

สำหรับบุคคลที่มีความผิดปกติทางจิตซึ่งควรได้รับการบำบัดรักษา ซึ่งถือเป็นผู้ป่วยตามบทนิยามในมาตรา 3 แห่งพระราชบัญญัติสุขภาพจิต พ.ศ. 2551 รวมทั้งกรณีผู้ป่วยคดี มาตรา 15 (2) แห่งพระราชบัญญัติดังกล่าว บัญญัติว่าผู้ป่วยย่อมมีสิทธิได้รับการปกปิดข้อมูลเกี่ยวกับการเจ็บป่วยและการบำบัดรักษาไว้เป็นความลับ เว้นแต่มีกฎหมายบัญญัติไว้ให้เปิดเผยได้ และมาตรา 16 บัญญัติห้ามมิให้ผู้ใดเปิดเผยข้อมูลด้านสุขภาพของผู้ป่วยในประการที่น่าจะทำให้เกิดความเสียหายแก่ผู้ป่วย เว้นแต่ (1) ในกรณีที่อาจเกิดอันตรายต่อผู้ป่วยหรือผู้อื่น (2) เพื่อความปลอดภัยของสาธารณชน (3) มีกฎหมายเฉพาะบัญญัติให้ต้องเปิดเผย นอกจากนี้ มาตรา 22 กำหนดให้บุคคลที่มีความผิดปกติทางจิตในกรณีที่มีภาวะอันตรายหรือมีความจำเป็นต้องได้รับการบำบัดรักษา เป็นบุคคลที่ต้องได้รับการบำบัดรักษา และมาตรา 23 กำหนดว่า ผู้ใดพบบุคคลซึ่งมีพฤติการณ์อันน่าเชื่อว่าบุคคลนั้นมีลักษณะตามมาตรา 22 ให้แจ้งต่อพนักงานเจ้าหน้าที่ พนักงานฝ่ายปกครองหรือตำรวจโดยไม่ชักช้า และมาตรา 24 กำหนดให้พนักงานเจ้าหน้าที่ พนักงานฝ่ายปกครองหรือตำรวจที่ได้รับแจ้งดังกล่าว มีหน้าที่ดำเนินการนำตัวบุคคลนั้นไปยังสถานพยาบาลของรัฐหรือสถานบำบัดรักษาซึ่งอยู่ใกล้โดยไม่ชักช้า เพื่อรับการตรวจวินิจฉัยและประเมินอาการเบื้องต้นตามมาตรา 27 (บทบัญญัติของพระราชบัญญัติสุขภาพจิต พ.ศ. 2551)

ดังนั้น หากกรมสุขภาพจิต ร่วมกับหน่วยงานของรัฐที่เกี่ยวข้อง เห็นว่า การแลกเปลี่ยนข้อมูลส่วนบุคคลซึ่งรวมถึงข้อมูลด้านสุขภาพ ของบุคคลที่มีความผิดปกติทางจิตซึ่งควรได้รับการบำบัดรักษา โดยเฉพาะกรณีผู้ป่วยจิตเวชหรือผู้ป่วยยาเสพติดซึ่งมีอาการทางจิตเวชที่มีความเสี่ยงสูงต่อการก่อความรุนแรง ระหว่างหน่วยงานของรัฐที่เกี่ยวข้องด้วยกัน แม้อาจเป็นการเปิดเผยในประการที่น่าจะทำให้เกิดความเสียหายแก่ผู้ป่วย แต่เป็นกรณีที่มีความจำเป็นเนื่องจากอาจเกิดอันตรายต่อผู้ป่วยหรือผู้อื่น หรือเพื่อความปลอดภัยของสาธารณชน ตามมาตรา 16 (1) หรือ (2) แห่งพระราชบัญญัติสุขภาพจิต พ.ศ. 2551 หรือเป็นการจำเป็นเพื่อให้พนักงานเจ้าหน้าที่สามารถดำเนินการตามมาตรา 24 แห่งพระราชบัญญัติสุขภาพจิต พ.ศ. 2551 ได้ หรือเป็นการจำเป็นเพื่อให้สถาบันการแพทย์ฉุกเฉินแห่งชาติสามารถดำเนินการปฏิบัติการฉุกเฉินได้อย่างปลอดภัยและมีประสิทธิภาพ รวมทั้งในกรณีที่มีความจำเป็นต้องดำเนินการตามมาตรการแก้ไขฟื้นฟูผู้กระทำความผิด มาตรการเฝ้าระวังภายหลังพ้นโทษ และมาตรการคุมขังภายหลังพ้นโทษ ตามพระราชบัญญัติมาตรการป้องกันการกระทำความผิดซ้ำในความผิดเกี่ยวกับเพศหรือที่ใช้ความรุนแรง พ.ศ. 2565 ก็อาจถือเป็นการเปิดเผยข้อมูลส่วนบุคคลที่เป็นการจำเป็นเพื่อการปฏิบัติหน้าที่ในการดำเนินภารกิจเพื่อประโยชน์สาธารณะของผู้ควบคุมข้อมูลส่วนบุคคล หรือปฏิบัติหน้าที่ในการใช้อำนาจรัฐที่ได้มอบให้แก่ผู้ควบคุมข้อมูลส่วนบุคคล ตาม [มาตรา 24](https://link.pdpalawbase.com/section/24.md) (4) หรือเป็นการปฏิบัติตามกฎหมายของผู้ควบคุมข้อมูลส่วนบุคคล ตาม [มาตรา 24](https://link.pdpalawbase.com/section/24.md) (6) แล้วแต่กรณี ประกอบ [มาตรา 27](https://link.pdpalawbase.com/section/27.md) วรรคหนึ่ง แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ที่ไม่ต้องได้รับความยินยอมจากเจ้าของข้อมูลส่วนบุคคลได้

และสำหรับข้อมูลส่วนบุคคลเกี่ยวกับประวัติอาชญากรรม ข้อมูลสุขภาพ ความพิการ หรือข้อมูลส่วนบุคคลอื่นตาม [มาตรา 26](https://link.pdpalawbase.com/section/26.md) ก็อาจถือเป็นการจำเป็นในการปฏิบัติตามกฎหมายเพื่อให้บรรลุวัตถุประสงค์เกี่ยวกับการวินิจฉัยโรคทางการแพทย์ การให้บริการด้านสุขภาพหรือด้านสังคม การรักษาทางการแพทย์ การจัดการด้านสุขภาพ หรือระบบและการให้บริการด้านสังคมสงเคราะห์ ตาม [มาตรา 26](https://link.pdpalawbase.com/section/26.md) (5) (ก) หรือเพื่อให้บรรลุวัตถุประสงค์เกี่ยวกับประโยชน์สาธารณะด้านการสาธารณสุข ตาม [มาตรา 26](https://link.pdpalawbase.com/section/26.md) (5) (ข) หรือเพื่อให้บรรลุวัตถุประสงค์เกี่ยวกับประโยชน์สาธารณะที่สำคัญ ตาม [มาตรา 26](https://link.pdpalawbase.com/section/26.md) (5) (จ) แล้วแต่กรณี ประกอบ [มาตรา 27](https://link.pdpalawbase.com/section/27.md) วรรคหนึ่ง แห่งพระราชบัญญัติดังกล่าว ที่ไม่ต้องได้รับความยินยอมโดยชัดแจ้งจากเจ้าของข้อมูลส่วนบุคคลได้ นอกจากนี้ ในกรณีที่มีเหตุอันควรเชื่อว่าอาจมีอันตรายต่อชีวิต ร่างกาย หรือสุขภาพของบุคคลใดซึ่งไม่ไกลเกินกว่าเหตุ การเปิดเผยดังกล่าวยังอาจถือเป็นการเปิดเผยข้อมูลส่วนบุคคลเพื่อป้องกันหรือระงับอันตรายต่อชีวิต ร่างกาย หรือสุขภาพของบุคคล ตาม [มาตรา 24](https://link.pdpalawbase.com/section/24.md) (2) ประกอบ [มาตรา 27](https://link.pdpalawbase.com/section/27.md) วรรคหนึ่ง และสำหรับข้อมูลส่วนบุคคลตาม [มาตรา 26](https://link.pdpalawbase.com/section/26.md) ที่เจ้าของข้อมูลส่วนบุคคลไม่สามารถให้ความยินยอมได้ ไม่ว่าด้วยเหตุใดก็ตาม ก็อาจถือเป็นกรณีตาม [มาตรา 26](https://link.pdpalawbase.com/section/26.md) (1) ประกอบ [มาตรา 27](https://link.pdpalawbase.com/section/27.md) วรรคหนึ่ง ได้เช่นกัน ทั้งนี้ จะต้องจัดให้มีมาตรการที่เหมาะสมและเจาะจงเพื่อคุ้มครองสิทธิและเสรีภาพของเจ้าของข้อมูลส่วนบุคคลโดยเฉพาะการรักษาความลับของข้อมูลส่วนบุคคลตามหน้าที่หรือตามจริยธรรมแห่งวิชาชีพ ตาม [มาตรา 26](https://link.pdpalawbase.com/section/26.md) (5) (ข) และ/หรือ (จ) ด้วย

นอกจากนี้ หากข้อมูลส่วนบุคคลที่ประสงค์จะเชื่อมโยงหรือแลกเปลี่ยนกันเป็นข้อมูลในรูปแบบข้อมูลดิจิทัล ซึ่งหน่วยงานของรัฐที่เกี่ยวข้องได้มาหรือมีอยู่ในความครอบครอง และประสงค์จะใช้เพื่อประโยชน์ในการบริหารราชการแผ่นดินและการให้บริการประชาชน ก็สามารถจัดให้มีการเชื่อมโยงและแลกเปลี่ยนข้อมูลดิจิทัลที่จะเกิดการบูรณาการร่วมกันได้ ตามมาตรา 13 แห่งพระราชบัญญัติการบริหารงานและการให้บริการภาครัฐผ่านระบบดิจิทัล พ.ศ. 2562 โดยจะต้องปฏิบัติให้เป็นไปตามกฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคลด้วย ตามนัยมาตรา 16 แห่งพระราชบัญญัติดังกล่าว ทั้งนี้ หน่วยงานของรัฐผู้รับข้อมูลดิจิทัลดังกล่าวต้องใช้ข้อมูลตามวัตถุประสงค์ในหน้าที่และอำนาจของตนเท่านั้น และต้องดูแลรักษาข้อมูลให้มีความมั่นคงปลอดภัย ไม่มีการเปิดเผยหรือโอนข้อมูลไปยังบุคคลที่ไม่มีสิทธิเข้าถึงข้อมูล ตามมาตรา 14 แห่งพระราชบัญญัติเดียวกัน

อย่างไรก็ตาม คณะอนุกรรมการตอบข้อหารือฯ มีข้อสังเกตเพิ่มเติมว่า เมื่อคำนึงถึงความเสี่ยงที่จะมีผลกระทบต่อสิทธิและเสรีภาพของเจ้าของข้อมูลส่วนบุคคลในกรณีตามประเด็นที่หารือ การเก็บรวบรวม ใช้ และเปิดเผยข้อมูลส่วนบุคคลดังกล่าวต้องดำเนินการเท่าที่จำเป็นภายใต้วัตถุประสงค์อันชอบด้วยกฎหมายของหน่วยงานของรัฐที่เกี่ยวข้องในฐานะผู้ควบคุมข้อมูลส่วนบุคคล ตาม [มาตรา 22](https://link.pdpalawbase.com/section/22.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 เท่านั้น โดยอาจพิจารณาจากการจัดประเภทของผู้ป่วยจิตเวชและยาเสพติดที่มีความเสี่ยงสูงต่อการก่อความรุนแรง (SMI-V) และระดับความเสี่ยงของผู้ป่วยตามหลักเกณฑ์ที่กำหนด ตลอดจนลักษณะหรือประเภทของข้อมูลส่วนบุคคลที่เกี่ยวข้องและจำเป็นต้องเก็บรวบรวม ใช้ หรือเปิดเผยเพื่อให้บรรลุวัตถุประสงค์ดังกล่าว และบุคคลหรือนิติบุคคลที่ได้รับข้อมูลส่วนบุคคลจากการเปิดเผยดังกล่าวจะต้องไม่ใช้หรือเปิดเผยข้อมูลส่วนบุคคลเพื่อวัตถุประสงค์อื่นนอกเหนือจากวัตถุประสงค์ที่ได้แจ้งไว้กับหน่วยงานที่เปิดเผยข้อมูลในการขอรับข้อมูลส่วนบุคคลนั้น ตาม [มาตรา 27](https://link.pdpalawbase.com/section/27.md) วรรคสอง แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562

ประเด็นข้อหารือที่ 2 เห็นว่า หน่วยงานของรัฐที่เกี่ยวข้องซึ่งมีการแลกเปลี่ยนข้อมูลส่วนบุคคลระหว่างกันตามที่กล่าวข้างต้น มีหน้าที่ต้องปฏิบัติตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 โดยเฉพาะในเรื่องการจัดให้มีมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสมตาม [มาตรา 37](https://link.pdpalawbase.com/section/37.md) (1) ซึ่งต้องเป็นไปตามมาตรฐานขั้นต่ำที่กำหนดไว้ในประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง มาตรการรักษาความมั่นคงปลอดภัยของผู้ควบคุมข้อมูลส่วนบุคคล พ.ศ. 2565 โดยข้อ 4 ของประกาศนี้กำหนดว่า มาตรการดังกล่าวจะต้องประกอบด้วยมาตรการเชิงองค์กร (organizational measures) และมาตรการเชิงเทคนิค (technical measures) ที่เหมาะสม ซึ่งอาจรวมถึงมาตรการทางกายภาพ (physical measures) ที่จำเป็นด้วย โดยคำนึงถึงระดับความเสี่ยง ซึ่งการจัดทำข้อตกลงการแบ่งปันข้อมูลส่วนบุคคล (Data Sharing Agreement: DSA) ถือเป็นมาตรการเชิงองค์กรอย่างหนึ่งเพื่อกำหนดวัตถุประสงค์ วิธีการ เงื่อนไข และหน้าที่ความรับผิดชอบของแต่ละฝ่ายในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล อันจะเป็นการรักษาความมั่นคงปลอดภัยของข้อมูลส่วนบุคคลที่จะเปิดเผยให้กับหน่วยงานที่เกี่ยวข้อง และยังเป็นมาตรการเพื่อป้องกันมิให้หน่วยงานที่ได้รับข้อมูลส่วนบุคคลใช้หรือเปิดเผยข้อมูลส่วนบุคคลเพื่อวัตถุประสงค์อื่นนอกเหนือจากวัตถุประสงค์ที่ได้แจ้งไว้ตาม [มาตรา 27](https://link.pdpalawbase.com/section/27.md) วรรคสอง หรือเพื่อป้องกันมิให้ใช้หรือเปิดเผยโดยปราศจากอำนาจหรือโดยมิชอบ ตาม [มาตรา 37](https://link.pdpalawbase.com/section/37.md) (2) อีกด้วย ดังนั้น หากกรมสุขภาพจิตและหน่วยงานที่เกี่ยวข้องเห็นสมควร ก็ย่อมสามารถหารือและตกลงร่วมกันเพื่อจัดทำข้อตกลงการแบ่งปันข้อมูลส่วนบุคคลระหว่างกันได้

นอกจากนี้ มาตรการรักษาความมั่นคงปลอดภัยดังกล่าว อย่างน้อยต้องประกอบด้วยการควบคุมการเข้าถึงข้อมูลส่วนบุคคล (access control) ที่มีการพิสูจน์และยืนยันตัวตน (identity proofing and authentication) และการอนุญาตหรือการกำหนดสิทธิในการเข้าถึงและใช้งาน (authorization) ที่เหมาะสม โดยคำนึงถึงหลักการให้สิทธิเท่าที่จำเป็น (need-to-know basis) ตามหลักการให้สิทธิที่น้อยที่สุดเท่าที่จำเป็น (principle of least privilege) การบริหารจัดการการเข้าถึงของผู้ใช้งาน (user access management) รวมถึงการลงทะเบียนและการถอนสิทธิผู้ใช้งาน และการทบทวนสิทธิการเข้าถึงของผู้ใช้งานที่เหมาะสม การกำหนดหน้าที่ความรับผิดชอบของผู้ใช้งาน (user responsibilities) ที่ชัดเจน และการจัดให้มีวิธีการเพื่อให้สามารถตรวจสอบย้อนหลังเกี่ยวกับการเข้าถึง เปลี่ยนแปลง แก้ไข หรือลบข้อมูลส่วนบุคคล (audit trails) อย่างเหมาะสมตามระดับความเสี่ยง ทั้งนี้ ตามข้อ 4 (6) (ก) ถึง (ง) ของประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง มาตรการรักษาความมั่นคงปลอดภัยของผู้ควบคุมข้อมูลส่วนบุคคล พ.ศ. 2565 รวมถึงการสร้างเสริมความตระหนักรู้ด้านความสำคัญของการคุ้มครองข้อมูลส่วนบุคคลและการรักษาความมั่นคงปลอดภัย (privacy and security awareness) และการแจ้งนโยบาย แนวปฏิบัติ และมาตรการด้านการคุ้มครองข้อมูลส่วนบุคคลและการรักษาความมั่นคงปลอดภัยอย่างเหมาะสมให้ผู้ใช้งานทราบและถือปฏิบัติ ตามข้อ 4 (7) ของประกาศดังกล่าวด้วย

อนึ่ง เมื่อคำนึงถึงความเสี่ยงที่จะมีผลกระทบต่อสิทธิและเสรีภาพของเจ้าของข้อมูลส่วนบุคคลในกรณีดังกล่าว คณะอนุกรรมการตอบข้อหารือฯ มีข้อสังเกตเพิ่มเติมว่า กรมสุขภาพจิตและหน่วยงานที่เกี่ยวข้องจะต้องดำเนินการให้ข้อมูลส่วนบุคคลดังกล่าวถูกต้อง เป็นปัจจุบัน สมบูรณ์ และไม่ก่อให้เกิดความเข้าใจผิด ตาม [มาตรา 35](https://link.pdpalawbase.com/section/35.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 รวมทั้งควรจัดให้มีระบบการตรวจสอบเพื่อดำเนินการลบหรือทำลายข้อมูลส่วนบุคคลเมื่อพ้นกำหนดระยะเวลาการเก็บรักษา หรือที่ไม่เกี่ยวข้องหรือเกินความจำเป็นตามวัตถุประสงค์ในการเก็บรวบรวมข้อมูลส่วนบุคคลนั้น ตาม [มาตรา 37](https://link.pdpalawbase.com/section/37.md) (3) เท่าที่จะสามารถกระทำได้ด้วย นอกจากนี้ ควรพิจารณาใช้ความระมัดระวังเป็นพิเศษสำหรับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลของเจ้าของข้อมูลส่วนบุคคลที่เป็นผู้เยาว์ ผู้พิการ ผู้ไร้ความสามารถ ผู้เสมือนไร้ความสามารถ หรือบุคคลเปราะบาง (vulnerable persons) ที่ขาดความสามารถในการปกป้องสิทธิและประโยชน์ของตนเนื่องจากข้อจำกัดต่าง ๆ

ประเด็นข้อหารือที่ 3 เมื่อได้พิจารณาแล้วว่า กรมสุขภาพจิตและหน่วยงานที่เกี่ยวข้องสามารถแลกเปลี่ยนข้อมูลส่วนบุคคลของผู้ป่วยทางจิตเวชหรือผู้ป่วยยาเสพติดซึ่งมีอาการทางจิตเวชที่มีความเสี่ยงสูงต่อการก่อความรุนแรงระหว่างกันตามประเด็นข้อหารือที่ 1 ได้ จึงไม่จำเป็นต้องให้ความเห็นในประเด็นนี้

## เอกสารต้นฉบับ

- [PDF ต้นฉบับ (local)](../../raw/opinions/opinion-2-2569.pdf)
- [ที่มา: pdpc.or.th](https://www.pdpc.or.th/wp-content/uploads/2026/02/consultation-65.pdf)

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/opinion/2-2569.md

============================================================
โนด: ข้อหารือ 3/2566
ลิงก์อ้างอิง: https://link.pdpalawbase.com/opinion/3-2566.md

# ข้อหารือที่ 3/2566 เรื่อง คณะกรรมการข้าราชการครูและบุคลากรทางการศึกษา ขอหารือปัญหาและแนวทางการปฏิบัติตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562

## ข้อกฎหมาย

1. พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 — [มาตรา 21](https://link.pdpalawbase.com/section/21.md), [มาตรา 22](https://link.pdpalawbase.com/section/22.md), [มาตรา 23](https://link.pdpalawbase.com/section/23.md), [มาตรา 24](https://link.pdpalawbase.com/section/24.md) (4) และ (6), [มาตรา 33](https://link.pdpalawbase.com/section/33.md) และ [มาตรา 37](https://link.pdpalawbase.com/section/37.md) (1)
2. พระราชบัญญัติระเบียบข้าราชการครูและบุคลากรทางการศึกษา พ.ศ. 2547 และที่แก้ไขเพิ่มเติม

## ข้อหารือ

สำนักงานคณะกรรมการข้าราชการครูและบุคลากรทางการศึกษา (สำนักงาน ก.ค.ศ.) แจ้งว่า สำนักงาน ก.ค.ศ. ได้ปรับหลักเกณฑ์การประเมินวิทยฐานะใหม่ มุ่งเน้นการพัฒนาวิชาชีพมากกว่าการจัดทำผลงานทางวิชาการ มีการบูรณาการการทำงานที่เชื่อมโยงกัน โดยมีการประเมินไม่ยุ่งยากซับซ้อนและเป็นธรรม และนำระบบออนไลน์มาใช้ในการประเมินวิทยฐานะ จึงมีมติกำหนดหลักเกณฑ์และวิธีการประเมินตำแหน่งและวิทยฐานะของข้าราชการครูและบุคลากรทางการศึกษา โดยผู้ขอรับการประเมินตำแหน่งครู ตำแหน่งผู้บริหารสถานศึกษา และตำแหน่งศึกษานิเทศก์ ต้องจัดทำและส่งไฟล์วีดิทัศน์บันทึกการสอนในวิชา/สาขา/กลุ่มสาระการเรียนรู้ ซึ่งผู้ขอได้จัดทำขึ้นและนำไปสอนจริงในช่วงที่ดำรงตำแหน่ง รวมถึงไฟล์วีดิทัศน์การพัฒนาสถานศึกษาและการนิเทศการศึกษา และส่งข้อมูลให้สำนักงาน ก.ค.ศ. ผ่านระบบอิเล็กทรอนิกส์ เพื่อรับการประเมินผลงาน

สำนักงาน ก.ค.ศ. จึงขอหารือ ดังนี้:
1. ในกรณีที่ผู้ขอรับการประเมินจัดทำและส่งไฟล์วีดิทัศน์ อันมีลักษณะเป็นข้อมูลส่วนบุคคล เพื่อรับการประเมินตำแหน่งและวิทยฐานะตามหลักเกณฑ์ที่ ก.ค.ศ. กำหนด การเก็บรวบรวมข้อมูลดังกล่าวถือว่าเป็นข้อมูลที่อยู่ในบังคับตาม [มาตรา 24](https://link.pdpalawbase.com/section/24.md) แห่ง PDPA ที่ไม่ต้องห้ามเก็บรวบรวมข้อมูลส่วนบุคคลโดยปราศจากความยินยอมหรือไม่ หรือมีกรณียกเว้นตามมาตราอื่นหรือไม่ อย่างไร
2. ในกรณีที่ไฟล์วีดิทัศน์เป็นข้อมูลส่วนบุคคลที่การเก็บรวบรวมต้องได้รับความยินยอมจากเจ้าของข้อมูลส่วนบุคคล การดำเนินการจัดทำไฟล์วีดิทัศน์จะต้องเพิ่มเติมหลักเกณฑ์และวิธีการในเรื่องการให้เจ้าของข้อมูลส่วนบุคคลทราบถึงวัตถุประสงค์และการให้ความยินยอมตามหมวด 2 ว่าด้วยการคุ้มครองข้อมูลส่วนบุคคล แห่ง PDPA หรือไม่ อย่างไร

## ความเห็น

คณะอนุกรรมการเฉพาะกิจตอบข้อหารือและให้คำแนะนำหน่วยงานของรัฐเพื่อรองรับการบังคับใช้พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ในคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล พิจารณาเรื่องหารือดังกล่าวแล้ว เห็นว่า การที่สถานศึกษาหรือข้าราชการครูและบุคลากรทางการศึกษาตำแหน่งครู ตำแหน่งผู้บริหารสถานศึกษา และตำแหน่งศึกษานิเทศก์ ได้จัดทำและเก็บรวบรวมข้อมูลไฟล์วีดิทัศน์บันทึกการสอน รวมถึงไฟล์วีดิทัศน์การพัฒนาสถานศึกษาและการนิเทศการศึกษา ซึ่งมีข้อมูลส่วนบุคคลทั้งของผู้ขอรับการประเมินและของนักเรียนหรือบุคคลอื่นรวมอยู่ด้วย เพื่อรับการประเมินผลงานตามหลักเกณฑ์และวิธีการในการประเมินตำแหน่งและวิทยฐานะที่ ก.ค.ศ. กำหนด ซึ่งเป็นไปตามกฎหมายว่าด้วยระเบียบข้าราชการครูและบุคลากรทางการศึกษา นั้น ถือเป็นการเก็บรวบรวมข้อมูลส่วนบุคคลในหน้าที่และอำนาจตามกฎหมายดังกล่าว

ดังนั้น สำนักงาน ก.ค.ศ. และสถานศึกษาหรือหน่วยงานของรัฐที่เกี่ยวข้อง จึงถือเป็นผู้ควบคุมข้อมูลส่วนบุคคล โดยอาศัยฐานทางกฎหมายในการเก็บรวบรวมข้อมูลส่วนบุคคล ซึ่งเป็นการจำเป็นเพื่อการปฏิบัติหน้าที่ในการดำเนินภารกิจเพื่อประโยชน์สาธารณะของผู้ควบคุมข้อมูลส่วนบุคคล หรือปฏิบัติหน้าที่ในการใช้อำนาจรัฐที่ได้รับมอบให้แก่ผู้ควบคุมข้อมูลส่วนบุคคล ตาม [มาตรา 24](https://link.pdpalawbase.com/section/24.md) (4) หรือเป็นการปฏิบัติตามกฎหมายของผู้ควบคุมข้อมูลส่วนบุคคล ตาม [มาตรา 24](https://link.pdpalawbase.com/section/24.md) (6) แห่ง PDPA จึงสามารถเก็บรวบรวมข้อมูลส่วนบุคคลดังกล่าวได้ โดยได้รับยกเว้นไม่ต้องขอความยินยอมจากเจ้าของข้อมูลส่วนบุคคลตาม [มาตรา 24](https://link.pdpalawbase.com/section/24.md) (4) หรือ [มาตรา 24](https://link.pdpalawbase.com/section/24.md) (6) แต่อย่างใด

อย่างไรก็ดี สำนักงาน ก.ค.ศ. ควรกำหนดหลักเกณฑ์และวิธีการในการเก็บรวบรวมไฟล์วีดิทัศน์ที่มีข้อมูลส่วนบุคคลของนักเรียนหรือบุคคลอื่น โดยให้ผู้จัดทำไฟล์วีดิทัศน์และเก็บรวบรวมข้อมูลส่วนบุคคลดังกล่าว แจ้งวัตถุประสงค์และรายละเอียดในการเก็บรวบรวมข้อมูลส่วนบุคคลให้นักเรียนและ/หรือผู้ปกครองของนักเรียน รวมถึงบุคคลอื่นที่จะมีการเก็บรวบรวมข้อมูลส่วนบุคคล ทราบก่อนหรือในขณะเก็บรวบรวมข้อมูลส่วนบุคคล โดยระบุวัตถุประสงค์ที่ครอบคลุมถึงการใช้เพื่อขอรับการประเมินตำแหน่งและวิทยฐานะของข้าราชการครูและบุคลากรทางการศึกษาผู้ขอรับการประเมิน ตาม [มาตรา 23](https://link.pdpalawbase.com/section/23.md) แห่ง PDPA รวมทั้งจะต้องเก็บรวบรวมข้อมูลส่วนบุคคลเท่าที่จำเป็น และใช้ตามวัตถุประสงค์ที่ได้แจ้งเจ้าของข้อมูลส่วนบุคคลไว้ก่อนหรือในขณะที่เก็บรวบรวม ตาม [มาตรา 21](https://link.pdpalawbase.com/section/21.md) และ [มาตรา 22](https://link.pdpalawbase.com/section/22.md) แห่ง PDPA

ทั้งนี้ เมื่อได้ใช้ไฟล์วีดิทัศน์ดังกล่าวเสร็จสิ้นแล้ว สำนักงาน ก.ค.ศ. อาจเก็บไว้อ้างอิงได้เท่าที่จำเป็น แต่เมื่อหมดความจำเป็นในการใช้ไฟล์ข้อมูลดังกล่าวแล้ว จะต้องลบ หรือทำลาย หรือทำให้ข้อมูลส่วนบุคคลเป็นข้อมูลที่ไม่สามารถระบุตัวบุคคลที่เป็นเจ้าของข้อมูลส่วนบุคคลได้ ตาม [มาตรา 33](https://link.pdpalawbase.com/section/33.md) แห่ง PDPA

อนึ่ง สำนักงาน ก.ค.ศ. ต้องจัดให้มีมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสมตามที่กำหนดไว้ใน [มาตรา 37](https://link.pdpalawbase.com/section/37.md) (1) ซึ่งอย่างน้อยต้องเป็นไปตามมาตรฐานขั้นต่ำที่กำหนดในประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง มาตรการรักษาความมั่นคงปลอดภัยของผู้ควบคุมข้อมูลส่วนบุคคล พ.ศ. 2565 ด้วย

## เอกสารต้นฉบับ

- [PDF ต้นฉบับ (local)](../../raw/opinions/opinion-3-2566.pdf)
- [ที่มา: pdpc.or.th](https://www.pdpc.or.th/wp-content/uploads/2024/02/PDPC-consultation-03.pdf)

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/opinion/3-2566.md

============================================================
โนด: ข้อหารือ 3/2567
ลิงก์อ้างอิง: https://link.pdpalawbase.com/opinion/3-2567.md

# ข้อหารือที่ 3/2567 เรื่อง แพทยสภาขอหารือการกำหนดข้อมูลส่วนบุคคลของใบรับรองแพทย์

## ข้อกฎหมาย

1. พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 — [มาตรา 24](https://link.pdpalawbase.com/section/24.md), [มาตรา 26](https://link.pdpalawbase.com/section/26.md) (5) (ก), [มาตรา 27](https://link.pdpalawbase.com/section/27.md) วรรคหนึ่ง, [มาตรา 30](https://link.pdpalawbase.com/section/30.md) และ [มาตรา 37](https://link.pdpalawbase.com/section/37.md)
2. พระราชบัญญัติสุขภาพแห่งชาติ พ.ศ. 2550 — มาตรา 7
3. พระราชบัญญัติวิชาชีพเวชกรรม พ.ศ. 2525 — มาตรา 7

## ข้อหารือ

แพทยสภาขอหารือการกำหนดข้อมูลส่วนบุคคลในใบรับรองแพทย์ · แพทยสภากำหนดแบบฟอร์ม 2 แบบ: (1) ใบรับรองแพทย์สำหรับการตรวจสุขภาพ ฉบับปี พ.ศ. 2561 (2) ใบรับรองแพทย์สำหรับใบอนุญาตขับรถ ฉบับปี พ.ศ. 2564 · ในส่วนที่ 1 ผู้ขอกรอกข้อมูลส่วนบุคคล (ชื่อ-สกุล ที่อยู่ โรคประจำตัว ฯลฯ) · เหตุผล: บางกรณีเข้ารักษาครั้งแรก ไม่มีประวัติในเวชระเบียน · ผู้ป่วยต้องกรอกและยืนยันเอง

แพทยสภาขอหารือ 3 ประเด็น:
1. ในส่วนที่ 1 ของแบบฟอร์มทั้ง 2 แบบ ให้ผู้ป่วยกรอกข้อมูลอ่อนไหว + ลงนามรับรอง ทำได้หรือไม่ · ขัด PDPA หรือไม่
2. เจ้าของข้อมูลเปิดเผยข้อมูลใบรับรองต่อบุคคลที่สาม ทำได้แค่ไหน
3. ข้อเสนอแนะอื่นๆ ของใบรับรองแพทย์

## ความเห็น

**ข้อ 1** สถานพยาบาล (หรือนิติบุคคลที่มีสถานพยาบาลในสังกัด) ในฐานะผู้ควบคุมข้อมูลส่วนบุคคล สามารถเก็บข้อมูลสุขภาพในการให้บริการสุขภาพแก่ผู้ป่วยได้ ไม่ว่าจะเป็นการบันทึกในเวชระเบียนหรือเอกสารอื่น · ตาม [มาตรา 26](https://link.pdpalawbase.com/section/26.md) (5) (ก) แห่ง PDPA (จำเป็นในการปฏิบัติตามกฎหมาย/ระเบียบเกี่ยวกับการรักษาพยาบาล หรือเป็นการปฏิบัติตามสัญญาระหว่างเจ้าของข้อมูลกับผู้ประกอบวิชาชีพทางการแพทย์)

การออกใบรับรองแพทย์/ใบรับรองสุขภาพดังกล่าวถือเป็นส่วนหนึ่งของการดำเนินการตาม [มาตรา 26](https://link.pdpalawbase.com/section/26.md) (5) (ก) ด้วย · **จึงสามารถเก็บรวบรวมข้อมูลส่วนบุคคลได้โดยได้รับยกเว้นไม่ต้องขอความยินยอมตาม [มาตรา 24](https://link.pdpalawbase.com/section/24.md) หรือ [มาตรา 26](https://link.pdpalawbase.com/section/26.md)**

แต่จะเก็บข้อมูลมากน้อยเพียงใด ต้องพิจารณาจากวัตถุประสงค์และเหตุผลความจำเป็นในการขอใช้ใบรับรอง · เช่น ใบรับรองแพทย์สำหรับใบอนุญาตขับรถ จำเป็นต้องระบุประวัติสุขภาพเกี่ยวกับโรคลมชัก (เนื่องจากเป็นโรคที่อาจเป็นอันตรายขณะขับรถตามที่แพทยสภากำหนดตามกฎหมาย + เงื่อนไขกรมการขนส่งทางบก) · ในบางกรณีไม่ปรากฏประวัติในเวชระเบียน จึงจำเป็นต้องอาศัยข้อมูลที่ผู้ขอแจ้ง · ดังนั้น แพทยสภาและสถานพยาบาลที่เกี่ยวข้องควรพิจารณากำหนดข้อมูลที่ผู้ขอต้องกรอกตามความจำเป็นและเหมาะสมแก่วัตถุประสงค์ · ให้ลงนามรับรองได้ตามความเหมาะสม

**ข้อ 2** มาตรา 7 แห่ง พ.ร.บ. สุขภาพแห่งชาติ บัญญัติว่า "ข้อมูลด้านสุขภาพของบุคคล เป็นความลับส่วนบุคคล ผู้ใดจะนำไปเปิดเผยในประการที่น่าจะทำให้บุคคลนั้นเสียหายไม่ได้ เว้นแต่การเปิดเผยนั้นเป็นไปตามความประสงค์ของบุคคลนั้นโดยตรง หรือมีกฎหมายเฉพาะบัญญัติให้ต้องเปิดเผย..." — บทบัญญัติดังกล่าวห้ามผู้ที่ไม่ใช่เจ้าของข้อมูลเปิดเผยข้อมูลสุขภาพ

[มาตรา 26](https://link.pdpalawbase.com/section/26.md) ประกอบ [มาตรา 27](https://link.pdpalawbase.com/section/27.md) วรรคหนึ่ง แห่ง PDPA ห้ามผู้ควบคุมข้อมูลส่วนบุคคลเปิดเผยข้อมูลสุขภาพโดยไม่ได้รับความยินยอมโดยชัดแจ้งจากเจ้าของข้อมูล เว้นแต่จะเป็นกรณีที่ได้รับยกเว้น · **แต่ไม่ได้ห้ามหรือกำหนดหลักเกณฑ์ในกรณีที่เจ้าของข้อมูลมีความประสงค์ที่จะเปิดเผยข้อมูลสุขภาพของตนแก่ผู้อื่น**

ในทางกลับกัน [มาตรา 30](https://link.pdpalawbase.com/section/30.md) บัญญัติให้เจ้าของข้อมูลมีสิทธิขอเข้าถึงและขอรับสำเนาข้อมูลส่วนบุคคลที่เกี่ยวกับตนซึ่งอยู่ในความรับผิดชอบของผู้ควบคุมข้อมูล · เจ้าของข้อมูลย่อมสามารถนำข้อมูลส่วนบุคคล (รวมถึงข้อมูลสุขภาพ) ไปดำเนินการอย่างใดต่อไปก็ได้

**ดังนั้น การเปิดเผยข้อมูลในใบรับรองแพทย์ต่อบุคคลอื่นโดยเจ้าของข้อมูลเอง (หรือผู้มีอำนาจกระทำการแทน) จึงสามารถกระทำได้ โดยไม่ขัดต่อ พ.ร.บ. สุขภาพแห่งชาติ + PDPA**

**ข้อ 3** ข้อมูลในใบรับรองแพทย์/ใบรับรองสุขภาพเป็นข้อมูลส่วนบุคคลของผู้ขอ โดยเฉพาะข้อมูลสุขภาพที่อาจเกิดผลกระทบต่อสิทธิและเสรีภาพ · **บุคคล/หน่วยงานที่นำใบรับรองไปใช้ หรือเก็บรวบรวมข้อมูลจากใบรับรอง ต้องจัดให้มีมาตรการรักษาความมั่นคงปลอดภัยและการคุ้มครองข้อมูลส่วนบุคคลที่เหมาะสมตาม [มาตรา 37](https://link.pdpalawbase.com/section/37.md)** · แพทยสภาอาจระบุคำแนะนำในแบบฟอร์ม หรือกำหนดแนวปฏิบัติเพื่อให้ผู้นำใบรับรองไปใช้ถือปฏิบัติได้

## เอกสารต้นฉบับ

- [PDF ต้นฉบับ (local)](../../raw/opinions/opinion-3-2567.pdf)
- [ที่มา: pdpc.or.th](https://www.pdpc.or.th/wp-content/uploads/2024/06/PDPC-consultation-32.pdf)

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/opinion/3-2567.md

============================================================
โนด: ข้อหารือ 3/2568
ลิงก์อ้างอิง: https://link.pdpalawbase.com/opinion/3-2568.md

# ข้อหารือที่ 3/2568 เรื่อง สำนักงานคณะกรรมการกำกับและส่งเสริมการประกอบธุรกิจประกันภัย หารือเกี่ยวกับการปฏิบัติตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562

## ข้อกฎหมาย

_(ไม่ปรากฏหัวข้อข้อกฎหมายในเอกสารต้นฉบับ — ฐานทางกฎหมายที่อ้างถึงใน "ความเห็น" ประกอบด้วย [มาตรา 3](https://link.pdpalawbase.com/section/3.md) (1), [มาตรา 4](https://link.pdpalawbase.com/section/4.md) (2) และ (5), [มาตรา 6](https://link.pdpalawbase.com/section/6.md), [มาตรา 21](https://link.pdpalawbase.com/section/21.md) วรรคหนึ่งและวรรคสอง, [มาตรา 22](https://link.pdpalawbase.com/section/22.md), [มาตรา 23](https://link.pdpalawbase.com/section/23.md) (2), [มาตรา 24](https://link.pdpalawbase.com/section/24.md) (3) (4) (5) (6), [มาตรา 26](https://link.pdpalawbase.com/section/26.md) (4) (5) (จ), [มาตรา 27](https://link.pdpalawbase.com/section/27.md) วรรคหนึ่งและวรรคสอง, [มาตรา 37](https://link.pdpalawbase.com/section/37.md) (1) (2) แห่ง PDPA + พ.ร.บ.ข้อมูลข่าวสารของราชการ พ.ศ. 2540 ม.4/25 + พ.ร.บ. คปภ. ม.17/20 (2) + ประกาศนายทะเบียนฯ ฉ้อฉล 2564 + ประกาศมาตรการรักษาความมั่นคงปลอดภัยฯ 2565 ข้อ 4)_

## ข้อหารือ

_(ไม่ปรากฏหัวข้อข้อหารือในเอกสารต้นฉบับ — แต่ในความเห็นได้สรุปประเด็นข้อหารือ 6 ประเด็น: ฐานข้อมูลฉ้อฉลประกันภัย, แลกเปลี่ยนข้อมูลกรมธรรม์ระหว่างบริษัท, ข้อมูล sensitive ตาม ม.26, แนวทางสำหรับธุรกิจประกันชีวิต/วินาศภัยที่แตกต่าง, หน่วยงานรัฐอื่นขอเชื่อมโยง, ทายาท/ผู้รับประโยชน์ขอข้อมูลกรมธรรม์)_

## ความเห็น

คณะอนุกรรมการตอบข้อหารือและให้คำแนะนำในการปฏิบัติตามกฎหมายว่าด้วยการ
คุ้มครองข้อมูลส่วนบุคคล ในคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล ได้พิจารณาเรื่องหารือดังกล่าวแล้ว
เห็นว่า การดำเนินการเกี่ยวกับข้อมูลส่วนบุคคลของสำนักงาน คปภ. ต้องพิจารณาหลักเกณฑ์การคุ้มครอง
ข้อมูลส่วนบุคคลให้เป็นไปตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 โดยในขณะเดียวกัน
สำนักงาน คปภ. มีฐานะเป็นหน่วยงานของรัฐตามมาตรา 17 วรรคหนึ่ง แห่งพระราชบัญญัติคณะกรรมการ
กำกับและส่งเสริมการประกอบธุรกิจประกันภัย พ.ศ. 2550 การบริหารจัดการข้อมูลข่าวสารที่อยู่ใน
ความครอบครองหรือควบคุมดูแลของสำนักงาน คปภ. จะต้องถือปฏิบัติตามพระราชบัญญัติข้อมูลข่าวสาร
ของราชการ พ.ศ. 2540 ด้วย ซึ่งเป็นไปตาม [มาตรา 3](https://link.pdpalawbase.com/section/3.md) (1) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล
พ.ศ. 2562 ที่กำหนดว่า "ในกรณีที่มีกฎหมายว่าด้วยการใดบัญญัติเกี่ยวกับการคุ้มครองข้อมูลส่วนบุคคล
ในลักษณะใด กิจการใด หรือหน่วยงานใดไว้โดยเฉพาะแล้ว ให้บังคับตามบทบัญญัติแห่งกฎหมายว่าด้วยการนั้น
เว้นแต่ (1) บทบัญญัติเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล และบทบัญญัติเกี่ยวกับสิทธิ
ของเจ้าของข้อมูลส่วนบุคคล รวมทั้งบทกำหนดโทษที่เกี่ยวข้อง ให้บังคับตามบทบัญญัติแห่งพระราชบัญญัตินี้
เป็นการเพิ่มเติม ไม่ว่าจะซ้ำกับบทบัญญัติแห่งกฎหมายว่าด้วยการนั้นหรือไม่ก็ตาม" ดังนั้น ในข้อหารือ
บางประเด็นที่เกี่ยวข้องกับพระราชบัญญัติข้อมูลข่าวสารของราชการ พ.ศ. 2540 สำนักงาน คปภ.
อาจพิจารณาหารือไปยังคณะกรรมการข้อมูลข่าวสารของราชการ ซึ่งมีอำนาจหน้าที่ตามพระราชบัญญัตินี้
เพื่อตอบข้อหารือในประเด็นดังกล่าวโดยตรงต่อไป
สำหรับประเด็นข้อหารือของสำนักงาน คปภ. ตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล
พ.ศ. 2562 คณะอนุกรรมการตอบข้อหารือฯ พิจารณาแล้วมีความเห็นในแต่ละประเด็น ดังนี้

### ประเด็นข้อหารือที่ 1 (ฐานข้อมูลฉ้อฉลประกันภัย)

สำนักงาน คปภ. เป็นหน่วยงานที่มีอำนาจหน้าที่ในการกำกับ ส่งเสริม และพัฒนา
การประกอบธุรกิจประกันภัยตามนโยบายและมติของคณะกรรมการกำกับและส่งเสริมการประกอบธุรกิจ
ประกันภัย (คปภ.) ตลอดจนหลักเกณฑ์ วิธีการ เงื่อนไข และแนวปฏิบัติที่ คปภ. กำหนด ซึ่งปรากฏ
ตามมาตรา 20 (2) แห่งพระราชบัญญัติคณะกรรมการกำกับและส่งเสริมการประกอบธุรกิจประกันภัย
พ.ศ. 2550 และมีฐานะเป็นนิติบุคคลซึ่งมีอำนาจหน้าที่ตัดสินใจเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผย
ข้อมูลส่วนบุคคล เพื่อให้บรรลุวัตถุประสงค์ตามอำนาจหน้าที่ที่กฎหมายกำหนด จึงมีฐานะเป็นผู้ควบคุมข้อมูล
ส่วนบุคคลตาม [มาตรา 6](https://link.pdpalawbase.com/section/6.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 การจะจัดทำ
ระบบฐานข้อมูลเกี่ยวกับการฉ้อฉลประกันภัย และขอให้สำนักงาน คปภ. เปิดเผยข้อมูลในฐานข้อมูลดังกล่าว
ให้แก่บริษัทประกันภัยจะสามารถดำเนินการได้หรือไม่ เพียงใด นั้น สำนักงาน คปภ. ต้องพิจารณาจากกฎหมาย
ที่เกี่ยวข้องกับการประกันวินาศภัยหรือการประกันชีวิต รวมถึงกฎหมายว่าด้วยคณะกรรมการกำกับและส่งเสริม
การประกอบธุรกิจประกันภัยว่า การจัดทำฐานข้อมูลดังกล่าวมีวัตถุประสงค์อย่างไร ข้อมูลที่เก็บรวบรวมใน
ระบบฐานข้อมูลจะเปิดเผยให้ผู้ใดได้บ้าง และเป็นการดำเนินการตามอำนาจหน้าที่ของสำนักงาน คปภ. เพื่อให้
บรรลุวัตถุประสงค์ในการกำกับ ส่งเสริม และพัฒนาการประกอบธุรกิจประกันภัยตามนโยบายและมติของ คปภ.
ตลอดจนหลักเกณฑ์ วิธีการ เงื่อนไข และแนวปฏิบัติที่ คปภ. กำหนดหรือไม่ หากเป็นกรณีดังกล่าว สำนักงาน คปภ.
ก็สามารถเก็บรวบรวมข้อมูลส่วนบุคคลเกี่ยวกับการฉ้อฉลประกันภัยโดยได้รับยกเว้นไม่ต้องขอความยินยอมได้
เนื่องจากเป็นการจำเป็นเพื่อการปฏิบัติหน้าที่ในการดำเนินภารกิจเพื่อประโยชน์สาธารณะของผู้ควบคุมข้อมูล
ส่วนบุคคล หรือปฏิบัติหน้าที่ในการใช้อำนาจรัฐที่ได้มอบให้แก่ผู้ควบคุมข้อมูลส่วนบุคคล ตาม [มาตรา 24](https://link.pdpalawbase.com/section/24.md) (4)
หรือเป็นการปฏิบัติตามกฎหมายของผู้ควบคุมข้อมูลส่วนบุคคล ตาม [มาตรา 24](https://link.pdpalawbase.com/section/24.md) (6) หรือเป็นการจำเป็น
ในการปฏิบัติตามกฎหมายเพื่อให้บรรลุวัตถุประสงค์เกี่ยวกับประโยชน์สาธารณะที่สำคัญ โดยได้จัดให้มี
มาตรการที่เหมาะสมเพื่อคุ้มครองสิทธิขั้นพื้นฐานและประโยชน์ของเจ้าของข้อมูลส่วนบุคคล ตาม [มาตรา 26](https://link.pdpalawbase.com/section/26.md) (5) (จ)
แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 แล้วแต่กรณี ทั้งนี้ เนื่องจากการตรวจสอบ
ป้องกัน และแก้ไขปัญหาการฉ้อฉลประกันภัย เป็นมาตรการหนึ่งในการกำกับดูแลการประกอบธุรกิจประกันภัย
อันมีลักษณะเป็นธุรกรรมทางการเงินประเภทหนึ่งซึ่งมีผลกระทบโดยตรงต่อระบบเศรษฐกิจและการเงิน
ของประเทศและต่อผู้เอาประกันภัยซึ่งเป็นผู้บริโภค การกำกับดูแลการประกอบธุรกิจประกันภัยและ
การคุ้มครองสิทธิของผู้เอาประกันภัยโดยรวมที่เป็นไปอย่างมีประสิทธิภาพ จึงเป็นวัตถุประสงค์เกี่ยวกับ
ประโยชน์สาธารณะที่สำคัญ นอกจากนี้ หากสำนักงาน คปภ. พิจารณาแล้วเห็นว่า มีความจำเป็นต้องใช้
หรือเปิดเผยข้อมูลส่วนบุคคลดังกล่าวให้แก่บริษัทประกันภัย ในฐานะที่สำนักงาน คปภ. เป็นหน่วยงาน
กำกับดูแลและบริหารจัดการข้อมูลส่วนบุคคลเพื่อให้บรรลุวัตถุประสงค์ดังกล่าว การเก็บรวบรวม ใช้
และเปิดเผยข้อมูลส่วนบุคคลระหว่างสำนักงาน คปภ. กับบริษัทประกันภัยต่าง ๆ เพื่อประโยชน์
ในการตรวจสอบ ป้องกัน และแก้ไขปัญหาการฉ้อฉลประกันภัย ก็สามารถดำเนินการได้ โดยได้รับยกเว้นไม่ต้อง
ขอความยินยอมตาม [มาตรา 24](https://link.pdpalawbase.com/section/24.md) หรือ [มาตรา 26](https://link.pdpalawbase.com/section/26.md) แล้วแต่กรณี ประกอบ [มาตรา 27](https://link.pdpalawbase.com/section/27.md) วรรคหนึ่ง

อย่างไรก็ตาม ตามประเด็นที่หารือ หากบริษัทประกันภัยประสงค์จะแลกเปลี่ยนข้อมูล
ส่วนบุคคลของผู้เอาประกันภัยระหว่างกัน โดยการจัดทำและบริหารจัดการศูนย์ข้อมูลกลางด้านการประกันภัย
ร่วมกันเองโดยลำพังโดยสำนักงาน คปภ. ไม่ได้เป็นผู้ดำเนินการ บริษัทประกันภัยไม่อาจอาศัยบทบัญญัติ
ตาม [มาตรา 24](https://link.pdpalawbase.com/section/24.md) (4) หรือ (6) หรือ [มาตรา 26](https://link.pdpalawbase.com/section/26.md) (5) (จ) แล้วแต่กรณี ในการเก็บรวบรวม ใช้ และเปิดเผยข้อมูล
ส่วนบุคคลเพื่อวัตถุประสงค์ดังกล่าวได้เองโดยไม่ได้รับความยินยอมจากเจ้าของข้อมูลส่วนบุคคล ถ้าไม่ได้มี
บทบัญญัติตามกฎหมายที่เกี่ยวข้องกำหนดไว้ซึ่งบริษัทประกันภัยจำเป็นต้องปฏิบัติตาม และไม่ได้เป็น
การปฏิบัติหน้าที่ในการใช้อำนาจรัฐที่ได้มอบให้แก่บริษัทประกันภัย

อนึ่ง คณะอนุกรรมการตอบข้อหารือฯ มีข้อสังเกตเพิ่มเติมว่า ในการเก็บรวบรวม ใช้
และเปิดเผยข้อมูลส่วนบุคคลในฐานข้อมูลกลางเกี่ยวกับการฉ้อฉลประกันภัยให้แก่บริษัทประกันภัยนั้น
สำนักงาน คปภ. ควรดำเนินการเท่าที่จำเป็น เพื่อให้เป็นไปตาม [มาตรา 22](https://link.pdpalawbase.com/section/22.md) แห่งพระราชบัญญัติคุ้มครองข้อมูล
ส่วนบุคคล พ.ศ. 2562 โดยอาจพิจารณาดำเนินการในลักษณะระบบตรวจสอบ เช่น เมื่อบริษัทประกันภัยได้
สอบถามข้อมูลมายังระบบฐานข้อมูลกลางเกี่ยวกับการฉ้อฉลประกันภัยของสำนักงาน คปภ. ว่า ลูกค้าหรือ
ผู้เอาประกันภัยมีการฉ้อฉลประกันภัยหรือไม่ ระบบดังกล่าวจะทำหน้าที่ในการส่งต่อคำร้องขอดังกล่าว
ไปยังผู้เกี่ยวข้องภายในสำนักงาน คปภ. เพื่อตรวจสอบประวัติการฉ้อฉล แล้วจึงแจ้งผลการตรวจสอบดังกล่าว
ผ่านทางระบบว่า พบประวัติการฉ้อฉลหรือไม่ พร้อมระบุรายละเอียดที่เกี่ยวข้องเท่าที่จำเป็น โดยควรจำกัดสิทธิ
ของบุคคลที่จะเข้าถึงข้อมูลดังกล่าวให้น้อยที่สุด และจัดให้มีมาตรการรักษาความมั่นคงปลอดภัย ซึ่งจะต้อง
ประกอบด้วยมาตรการเชิงองค์กร (organizational measures) และมาตรการเชิงเทคนิค (technical
measures) ที่เหมาะสม ซึ่งอาจรวมถึงมาตรการทางกายภาพ (physical measures) ที่จำเป็นด้วย เพื่อให้
ข้อมูลดังกล่าวที่อยู่ในความครอบครองหรือควบคุมดูแลของสำนักงาน คปภ. ยังคงธำรงไว้ซึ่งความลับ
(confidentiality) ความถูกต้องครบถ้วน (integrity) และสภาพพร้อมใช้งาน (availability) ของข้อมูล
ส่วนบุคคล ตาม [มาตรา 37](https://link.pdpalawbase.com/section/37.md) (1) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ประกอบกับ
ประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง มาตรการรักษาความมั่นคงปลอดภัยของผู้ควบคุมข้อมูล
ส่วนบุคคล พ.ศ. 2565

สำหรับประเด็นว่า พฤติกรรมการฉ้อฉลตามประกาศนายทะเบียน 2564 จะเข้าข่ายเป็นข้อมูลประวัติอาชญากรรมตาม [มาตรา 26](https://link.pdpalawbase.com/section/26.md) หรือไม่ คณะอนุกรรมการตอบข้อหารือฯ เห็นว่า ต้องพิจารณาตามบทนิยามในข้อ 3 ของประกาศ คกก. 2566 — พฤติกรรมที่มีเหตุอันควรสงสัย จะเป็นข้อมูลประวัติอาชญากรรมต่อเมื่อเป็นข้อมูลในเชิงพฤติกรรมที่เชื่อมโยงกับการสืบสวน/ดำเนินคดี/รับโทษทางอาญา และเป็นข้อมูลที่เป็นทางการหรือรับรองโดยหน่วยงานรัฐที่มีอำนาจ (เช่น กองทะเบียนประวัติอาชญากร สตช. หรือกรมราชทัณฑ์) เท่านั้น · หากยังไม่ได้นำไปดำเนินการอาญา ก็ยังไม่ถือเป็นประวัติอาชญากรรม · ต้องพิจารณาเป็นรายกรณี · ไม่ว่าจะเป็นประวัติอาชญากรรมหรือไม่ก็ตาม การเก็บข้อมูลดังกล่าวยังต้องเก็บเท่าที่จำเป็นตาม [มาตรา 22](https://link.pdpalawbase.com/section/22.md) + มาตรการ security ตาม [มาตรา 37](https://link.pdpalawbase.com/section/37.md) (1)

### ประเด็นข้อหารือที่ 2 (แลกเปลี่ยนข้อมูลกรมธรรม์ระหว่างบริษัทประกันภัย)

การเปิดเผยข้อมูลส่วนบุคคลเกี่ยวกับกรมธรรม์ประกันภัยจากฐานข้อมูลกลางประกันภัย
แก่ภาคธุรกิจประกันภัยเพื่อประโยชน์ต่อการประกอบธุรกิจประกันภัย กรณีที่เป็นข้อมูลส่วนบุคคลที่มิใช่ข้อมูล
ส่วนบุคคลตาม [มาตรา 26](https://link.pdpalawbase.com/section/26.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 หากไม่มีกฎหมายใด
กำหนดไว้เป็นการเฉพาะให้ต้องเปิดเผยข้อมูลส่วนบุคคลอันเป็นการปฏิบัติตาม [มาตรา 24](https://link.pdpalawbase.com/section/24.md) (6) ประกอบ
[มาตรา 27](https://link.pdpalawbase.com/section/27.md) วรรคหนึ่ง แห่งพระราชบัญญัติดังกล่าว และเป็นกรณีที่มีความจำเป็นในการกำกับดูแลหรือส่งเสริม
การประกอบธุรกิจประกันภัยโดยรวม ตามนโยบายและมติของ คปภ. ตลอดจนหลักเกณฑ์ วิธีการ เงื่อนไข
และแนวปฏิบัติที่ คปภ. กำหนด ซึ่งเป็นอำนาจหน้าที่ประการหนึ่งของสำนักงาน คปภ. ก็อาจพิจารณา
เก็บรวบรวมข้อมูลส่วนบุคคลโดยได้รับยกเว้นไม่ต้องขอความยินยอมจากเจ้าของข้อมูลส่วนบุคคลได้ เนื่องจาก
เป็นการจำเป็นเพื่อการปฏิบัติหน้าที่ในการดำเนินภารกิจเพื่อประโยชน์สาธารณะของผู้ควบคุมข้อมูลส่วนบุคคล
หรือปฏิบัติหน้าที่ในการใช้อำนาจรัฐที่ได้มอบให้แก่ผู้ควบคุมข้อมูลส่วนบุคคล ตาม [มาตรา 24](https://link.pdpalawbase.com/section/24.md) (4) แต่ใน
การพิจารณาใช้ฐานทางกฎหมายดังกล่าว สำนักงาน คปภ. จะต้องพิจารณาตามหลักความจำเป็นและ
หลักความได้สัดส่วนว่าการดำเนินการเปิดเผยข้อมูลส่วนบุคคลดังกล่าวจำเป็นต้องมีขึ้นเพื่อให้การปฏิบัติหน้าที่
ในการดำเนินภารกิจเพื่อประโยชน์สาธารณะของสำนักงาน คปภ. หรือการปฏิบัติหน้าที่ในการใช้อำนาจรัฐที่ได้
มอบให้แก่สำนักงาน คปภ. สามารถสัมฤทธิ์ผลได้ใช่หรือไม่ นอกจากนี้ หากมีการเปิดเผยข้อมูลส่วนบุคคล
ตาม [มาตรา 26](https://link.pdpalawbase.com/section/26.md) เช่น ข้อมูลส่วนบุคคลเกี่ยวกับประวัติอาชญากรรมหรือข้อมูลสุขภาพ สำนักงาน คปภ. ก็อาจ
พิจารณาดำเนินการโดยได้รับยกเว้นไม่ต้องขอความยินยอมโดยชัดแจ้งจากเจ้าของข้อมูลส่วนบุคคลได้
โดยถือเป็นการจำเป็นในการปฏิบัติตามกฎหมายเพื่อให้บรรลุวัตถุประสงค์เกี่ยวกับประโยชน์สาธารณะที่สำคัญ
ตาม [มาตรา 26](https://link.pdpalawbase.com/section/26.md) (5) (จ) โดยจะต้องจัดให้มีมาตรการที่เหมาะสมเพื่อคุ้มครองสิทธิขั้นพื้นฐานและประโยชน์
ของผู้เอาประกันภัยที่เป็นเจ้าของข้อมูลส่วนบุคคล ซึ่งควรประกอบด้วยมาตรการเชิงองค์กร (organizational
measures) และมาตรการเชิงเทคนิค (technical measures) ที่เหมาะสมกับระดับความเสี่ยง โดยเฉพาะ
อย่างยิ่ง สำนักงาน คปภ. ในฐานะหน่วยงานกำกับดูแลควรพิจารณากำหนดนโยบายหรือหลักเกณฑ์ให้
บริษัทประกันภัยกำหนดเงื่อนไขในแบบคำขอเอาประกันภัย และระบุข้อมูลในการแจ้งวัตถุประสงค์และ
รายละเอียดในการเก็บรวบรวมข้อมูลส่วนบุคคลตาม [มาตรา 23](https://link.pdpalawbase.com/section/23.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล
พ.ศ. 2562 ว่าผู้รับประกันภัยจำเป็นจะต้องตรวจสอบข้อมูลเกี่ยวกับกรมธรรม์ประกันภัยของผู้เอาประกันภัย
เพื่อการเข้าทำสัญญากรมธรรม์ประกันภัยหรือการให้บริการตามสัญญากรมธรรม์ประกันภัย เนื่องจาก
ผู้เอาประกันภัยมีหน้าที่ต้องเปิดเผยหรือให้ข้อมูลที่เป็นความจริง ไม่ปกปิด หรือให้ข้อมูลอันเป็นเท็จ
แก่ผู้รับประกันภัย ตามหลักการที่สำคัญประการหนึ่งของการทำสัญญาประกันภัย คือ หลักสุจริตอย่างยิ่ง
(Principle of Utmost Good Faith) จึงถือเป็นกรณีที่ผู้เอาประกันภัยในฐานะเจ้าของข้อมูลส่วนบุคคล
ต้องให้ข้อมูลส่วนบุคคลเพื่อปฏิบัติตามกฎหมายหรือสัญญาหรือมีความจำเป็นต้องให้ข้อมูลส่วนบุคคล
เพื่อเข้าทำสัญญา ตาม [มาตรา 23](https://link.pdpalawbase.com/section/23.md) (2) แห่งพระราชบัญญัตินี้ โดยผู้รับประกันภัยมีหน้าที่ต้องแจ้งถึงผลกระทบ
ที่เป็นไปได้จากการไม่ให้ข้อมูลส่วนบุคคล ตามเงื่อนไขในมาตราดังกล่าวด้วย

อย่างไรก็ตาม หากบริษัทประกันภัยประสงค์จะแลกเปลี่ยนข้อมูลส่วนบุคคลของผู้เอาประกันภัยระหว่างกัน โดยจัดทำศูนย์ข้อมูลกลางร่วมกันเองโดยลำพัง โดยสำนักงาน คปภ. ไม่ได้เป็นผู้ดำเนินการ บริษัทประกันภัยไม่อาจอาศัย [มาตรา 24](https://link.pdpalawbase.com/section/24.md) (4)/(6) หรือ [มาตรา 26](https://link.pdpalawbase.com/section/26.md) (5) (จ) ได้เอง ถ้าไม่มีกฎหมายเฉพาะกำหนด

### ประเด็นข้อหารือที่ 3 (ข้อมูลอ่อนไหวเพื่อ underwriting + นิยาม "ประโยชน์สาธารณะที่สำคัญ")

สำหรับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลของบริษัทประกันภัย ไม่ว่าเป็น
ข้อมูลส่วนบุคคลตาม [มาตรา 26](https://link.pdpalawbase.com/section/26.md) หรือไม่ก็ตาม จะต้องเป็นไปตามวัตถุประสงค์ที่ได้แจ้งเจ้าของข้อมูลส่วนบุคคล
ไว้ก่อนหรือในขณะที่เก็บรวบรวม ตามที่บัญญัติไว้ใน [มาตรา 21](https://link.pdpalawbase.com/section/21.md) วรรคหนึ่ง · การใช้/เปิดเผยตาม [มาตรา 27](https://link.pdpalawbase.com/section/27.md)
วรรคหนึ่ง ต้องสอดคล้องกับวัตถุประสงค์เดิม เว้นแต่จะแจ้งใหม่+ได้รับความยินยอม หรือมีกฎหมายให้กระทำ
ตาม [มาตรา 21](https://link.pdpalawbase.com/section/21.md) วรรคสอง · การพิจารณารับประกันภัย/คำนวณเบี้ย/ชดใช้ค่าสินไหม = ปฏิบัติตามสัญญา
ตาม [มาตรา 24](https://link.pdpalawbase.com/section/24.md) (3) ไม่ใช่การก่อตั้งสิทธิเรียกร้องตาม [มาตรา 26](https://link.pdpalawbase.com/section/26.md) (4) · ดังนั้นข้อมูล sensitive ที่ใช้สำหรับ
underwriting/contract ต้องขอความยินยอมโดยชัดแจ้งตาม [มาตรา 26](https://link.pdpalawbase.com/section/26.md) ประกอบ [มาตรา 27](https://link.pdpalawbase.com/section/27.md) วรรคหนึ่ง
เว้นแต่เข้าข้อยกเว้นอื่น · [มาตรา 26](https://link.pdpalawbase.com/section/26.md) (4) เหมาะสำหรับสถานพยาบาลเปิดเผยข้อมูลผู้ป่วยเพื่อเรียกเก็บค่ารักษา
ตามกรมธรรม์.

สำหรับ [มาตรา 26](https://link.pdpalawbase.com/section/26.md) (5) (จ) "ประโยชน์สาธารณะที่สำคัญ" — PDPA ไม่ได้กำหนดนิยามไว้ชัดแจ้ง
ดังเช่น UK Data Protection Act 2018 · อย่างไรก็ตาม คปภ. หรือสำนักงาน คปภ. มีอำนาจกำหนดหลักเกณฑ์
เกี่ยวกับการประกอบธุรกิจประกันภัยที่บังคับให้บริษัทประกันภัยต้องเก็บ/ใช้/เปิดเผยข้อมูลเพื่อประโยชน์
สาธารณะได้ · เมื่อ คปภ. กำหนดหลักเกณฑ์แล้ว บริษัทประกันภัยที่ปฏิบัติตามย่อมใช้ฐาน [มาตรา 26](https://link.pdpalawbase.com/section/26.md) (5) (จ)
ประกอบ [มาตรา 27](https://link.pdpalawbase.com/section/27.md) วรรคหนึ่งได้

### ประเด็นข้อหารือที่ 4 (แนวทางเฉพาะธุรกิจประกันชีวิต vs วินาศภัย)

การประกอบธุรกิจประกันภัย ไม่ว่าจะเป็นธุรกิจประกันชีวิตหรือธุรกิจประกันวินาศภัย
ล้วนมีลักษณะการดำเนินงานที่จำเพาะและอาจมีบริบทและรายละเอียดในการดำเนินงานที่แตกต่างกัน
การกำหนดแนวปฏิบัติที่จะมีผลกระทบต่อผู้ประกอบธุรกิจหรือบุคคลอื่นที่เกี่ยวข้องโดยตรง จึงควรเป็น
การดำเนินการของหน่วยงานที่เกี่ยวข้องซึ่งทราบบริบทของการดำเนินการในภาคธุรกิจดังกล่าวเป็นอย่างดี
ดังนั้น สำนักงาน คปภ. ในฐานะหน่วยงานของรัฐที่มีอำนาจหน้าที่ในการกำกับ ส่งเสริมและพัฒนาการประกอบ
ธุรกิจประกันภัย จึงสามารถกำหนดหลักเกณฑ์ มาตรฐาน หรือแนวปฏิบัติที่เหมาะสมสำหรับการดำเนินงาน
ทั้งปวงที่เกี่ยวข้องกับภาคธุรกิจประกันภัยได้ ซึ่งอาจรวมถึงแนวปฏิบัติหรือข้อกำหนดสำหรับการเก็บรวบรวม
ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลของผู้ประกอบธุรกิจประกันภัย เพื่อให้การดำเนินงานในแต่ละประเภท
ของธุรกิจดังกล่าวมีความเหมาะสมและสามารถบรรลุวัตถุประสงค์ของกิจการนั้น ๆ ได้ แต่จะต้องไม่ขัด
กับกฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคลหรือกฎหมายอื่นที่เกี่ยวข้อง · อาจหารือกับ สคส. ก่อนได้

### ประเด็นข้อหารือที่ 5 (หน่วยงานรัฐอื่นขอเชื่อมโยงข้อมูล)

การดำเนินการของหน่วยงานของรัฐที่ประสงค์จะขอเชื่อมโยงข้อมูลส่วนบุคคลเกี่ยวกับข้อมูล
กรมธรรม์ประกันภัยจากระบบฐานข้อมูลของสำนักงาน คปภ. จะต้องดำเนินการโดยเป็นไปตามหลักเกณฑ์
ที่กฎหมายกำหนดหน้าที่และอำนาจไว้สำหรับแต่ละหน่วยงานดังกล่าว ดังนั้น ในการเปิดเผยข้อมูลส่วนบุคคล
ให้กับหน่วยงานของรัฐดังกล่าว สำนักงาน คปภ. จะต้องพิจารณาว่าเป็นกรณีที่จะเปิดเผยให้หน่วยงานดังกล่าว
เพื่อวัตถุประสงค์ใด สำหรับกรณีที่เป็นการเปิดเผยเนื่องจากเป็นหน้าที่ที่ต้องปฏิบัติตามกฎหมาย ย่อมถือได้ว่า
เป็นการปฏิบัติตามกฎหมายตาม [มาตรา 24](https://link.pdpalawbase.com/section/24.md) (6) หรือ [มาตรา 26](https://link.pdpalawbase.com/section/26.md) (5) แล้วแต่กรณี ประกอบ [มาตรา 27](https://link.pdpalawbase.com/section/27.md)
วรรคหนึ่ง แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 แต่ในกรณีที่ไม่ใช่การปฏิบัติ
ตามกฎหมายแต่เป็นเพียงการขอความร่วมมือ ซึ่งไม่มีสภาพบังคับให้สำนักงาน คปภ. ต้องปฏิบัติตาม
หากสำนักงาน คปภ. พิจารณาแล้วเห็นว่าการเปิดเผยข้อมูลส่วนบุคคลให้แก่หน่วยงานของรัฐที่ร้องขอดังกล่าว
มีความจำเป็นเพื่อการปฏิบัติหน้าที่ในการดำเนินภารกิจเพื่อประโยชน์สาธารณะของหน่วยงานนั้น หรือปฏิบัติ
หน้าที่ในการใช้อำนาจรัฐที่ได้มอบให้แก่หน่วยงานนั้น ซึ่งเป็นไปตามหน้าที่และอำนาจของหน่วยงานดังกล่าว
ก็สามารถอาศัยข้อยกเว้นตาม [มาตรา 24](https://link.pdpalawbase.com/section/24.md) (4) หรือ [มาตรา 26](https://link.pdpalawbase.com/section/26.md) (5) แล้วแต่กรณี ประกอบ [มาตรา 27](https://link.pdpalawbase.com/section/27.md) วรรคหนึ่ง
ได้ โดยหน่วยงานของรัฐผู้ขอข้อมูลต้องเก็บรวบรวม ใช้ และเปิดเผยข้อมูลส่วนบุคคลนั้นเท่าที่จำเป็นภายใต้
หน้าที่และอำนาจของตนตามกฎหมายที่เกี่ยวข้องเท่านั้น ตามนัย [มาตรา 22](https://link.pdpalawbase.com/section/22.md) และจะต้องไม่ใช้หรือเปิดเผย
ข้อมูลส่วนบุคคลดังกล่าวเพื่อวัตถุประสงค์อื่นนอกเหนือจากวัตถุประสงค์ที่ได้แจ้งไว้กับสำนักงาน คปภ.
ในการขอรับข้อมูลส่วนบุคคลนั้นตาม [มาตรา 27](https://link.pdpalawbase.com/section/27.md) วรรคสอง รวมทั้งมีหน้าที่จัดให้มีมาตรการรักษาความมั่นคง
ปลอดภัยที่เหมาะสมตาม [มาตรา 37](https://link.pdpalawbase.com/section/37.md) (1) ซึ่งต้องเป็นไปตามมาตรฐานขั้นต่ำที่คณะกรรมการคุ้มครองข้อมูล
ส่วนบุคคลประกาศกำหนดในประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง มาตรการรักษา
ความมั่นคงปลอดภัยของผู้ควบคุมข้อมูลส่วนบุคคล พ.ศ. 2565 นอกจากนี้ ในการเปิดเผยข้อมูลส่วนบุคคล
ดังกล่าวให้กับหน่วยงานอื่น สำนักงาน คปภ. ต้องดำเนินการเพื่อป้องกันมิให้หน่วยงานนั้นใช้หรือเปิดเผยข้อมูล
ส่วนบุคคลโดยปราศจากอำนาจหรือโดยมิชอบ ตาม [มาตรา 37](https://link.pdpalawbase.com/section/37.md) (2) ในส่วนที่สามารถกระทำได้ด้วย

ทั้งนี้ ในกรณีที่หน่วยงานของรัฐอื่นร้องขอให้สำนักงาน คปภ. จัดทำระบบเชื่อมโยงข้อมูล
ส่วนบุคคลระหว่างกัน เพื่อเปิดเผยข้อมูลเกี่ยวกับกรมธรรม์ประกันภัยของผู้เอาประกันภัยเป็นจำนวนมาก
จากระบบฐานข้อมูลกลางด้านการประกันภัย โดยกล่าวอ้างวัตถุประสงค์อย่างกว้าง ๆ เพื่อประโยชน์ใน
การป้องกันการฝ่าฝืนหรือไม่ปฏิบัติตามกฎหมาย หรือตรวจสอบการปฏิบัติตามกฎหมายที่หน่วยงานดังกล่าว
กำกับดูแล แต่ไม่มีการระบุหรือชี้แจงบทบัญญัติแห่งกฎหมายที่ให้อำนาจในการขอข้อมูลส่วนบุคคลดังกล่าวไว้
อย่างชัดเจน ควรเป็นหนึ่งในปัจจัยที่สำนักงาน คปภ. คำนึงถึงอย่างรอบคอบเพื่อประกอบการพิจารณาใช้
ดุลพินิจในการเปิดเผยข้อมูลกรมธรรม์ประกันภัยของสำนักงาน คปภ. ตามคำขอของหน่วยงานดังกล่าว

อนึ่ง ในกรณีที่การเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลของหน่วยงานของรัฐที่ร้องขอ
ข้อมูลส่วนบุคคลดังกล่าวจากสำนักงาน คปภ. เป็นการดำเนินงานตามกระบวนการยุติธรรมทางอาญา
ซึ่งครอบคลุมตั้งแต่กระบวนการเพื่อให้รู้ถึงการกระทำความผิดอาญา ผู้กระทำความผิดอาญา ข้อเท็จจริงและ
รายละเอียดแห่งความผิดอาญา การติดตามหาตัวผู้กระทำความผิดอาญา การพิจารณาความผิดอาญา
และการลงโทษผู้กระทำความผิดอาญา หรือเป็นการดำเนินการของหน่วยงานของรัฐที่มีหน้าที่ในการรักษา
ความมั่นคงของรัฐ ซึ่งรวมถึงการรักษาความปลอดภัยของประชาชน รวมทั้งหน้าที่เกี่ยวกับการป้องกัน
และปราบปรามการฟอกเงิน นิติวิทยาศาสตร์ หรือการรักษาความมั่นคงปลอดภัยไซเบอร์ การดำเนินการ
ของหน่วยงานของรัฐดังกล่าวที่เป็นไปตามหน้าที่และอำนาจตามกฎหมาย ย่อมได้รับยกเว้นไม่ให้นำบทบัญญัติ
แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 มาใช้บังคับ ตาม [มาตรา 4](https://link.pdpalawbase.com/section/4.md) (2) หรือ (5) แล้วแต่กรณี
แต่การเปิดเผยข้อมูลส่วนบุคคลให้กับหน่วยงานของรัฐดังกล่าวโดยสำนักงาน คปภ. ยังคงต้อง
นำพระราชบัญญัตินี้มาใช้บังคับ สำนักงาน คปภ. จึงยังคงต้องปฏิบัติตามพระราชบัญญัติดังกล่าว
ตามที่ได้ให้ความเห็นไว้ข้างต้น

### ประเด็นข้อหารือที่ 6 (ทายาท/ผู้รับประโยชน์ขอข้อมูลกรมธรรม์)

การที่สำนักงาน คปภ. จะเปิดเผยข้อมูลเกี่ยวกับกรมธรรม์ประกันภัยของผู้เอาประกันภัย
จากระบบฐานข้อมูลกลางด้านการประกันภัยให้แก่ทายาท ผู้รับประโยชน์ หรือผู้มีสิทธิเรียกร้องตามกรมธรรม์
ประกันภัย เพื่อตรวจสอบว่าผู้เอาประกันภัยมีการจัดทำประกันภัยไว้หรือไม่ หรือกับบริษัทใด ก่อนดำเนินการ
ใช้สิทธิเรียกร้องค่าสินไหมทดแทน ทั้งนี้ เพื่อประโยชน์ในการให้บริการแก่ประชาชน คุ้มครองสิทธิประโยชน์
ของประชาชน และสร้างความเป็นธรรมด้านการประกันภัย นั้น จะต้องพิจารณาก่อนว่าข้อมูลเกี่ยวกับ
กรมธรรม์ประกันภัยของผู้เอาประกันภัยดังกล่าวเป็นข้อมูลส่วนบุคคลตามพระราชบัญญัติคุ้มครองข้อมูล
ส่วนบุคคล พ.ศ. 2562 หรือไม่ โดยอาจแยกพิจารณาได้ ดังนี้

**1) กรณีที่ผู้เอาประกันภัยได้ถึงแก่กรรมแล้ว** ข้อมูลเกี่ยวกับกรมธรรม์ประกันภัยดังกล่าว
จะไม่เป็นข้อมูลส่วนบุคคลตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 เนื่องจาก [มาตรา 6](https://link.pdpalawbase.com/section/6.md)
แห่งพระราชบัญญัติดังกล่าว กำหนดว่า "ข้อมูลส่วนบุคคล" หมายถึง ข้อมูลเกี่ยวกับบุคคลซึ่งทำให้สามารถ
ระบุตัวบุคคลนั้นได้ ไม่ว่าทางตรงหรือทางอ้อม แต่ไม่รวมถึงข้อมูลของผู้ถึงแก่กรรมโดยเฉพาะ ดังนั้น
การเปิดเผยข้อมูลเกี่ยวกับกรมธรรม์ประกันภัยของผู้เอาประกันภัยที่ถึงแก่กรรมแล้วให้กับทายาท
ผู้รับประโยชน์ หรือผู้มีสิทธิเรียกร้องตามกรมธรรม์ประกันภัย จึงไม่อยู่ภายใต้บังคับแห่งพระราชบัญญัติคุ้มครอง
ข้อมูลส่วนบุคคล พ.ศ. 2562 อย่างไรก็ตาม ข้อมูลดังกล่าวยังเป็น "ข้อมูลข่าวสารส่วนบุคคล"
ตามบทนิยามในมาตรา 4 แห่งพระราชบัญญัติข้อมูลข่าวสารของราชการ พ.ศ. 2540 ดังนั้น สำนักงาน คปภ.
จึงต้องพิจารณาดำเนินการให้เป็นไปตามกฎหมายดังกล่าว หรือกฎหมายอื่นที่เกี่ยวข้องต่อไปด้วย นอกจากนี้
มีข้อสังเกตว่า ในกรณีที่ผู้เอาประกันภัยซึ่งเป็นเจ้าของข้อมูลถึงแก่กรรม และมิได้ทำพินัยกรรมกำหนดไว้
เป็นอย่างอื่น ทายาทหรือบุคคลตามที่กำหนดในกฎกระทรวงย่อมมีสิทธิดำเนินการแทนเจ้าของข้อมูลที่
ถึงแก่กรรมแล้วได้ ตามมาตรา 25 วรรคห้า แห่งพระราชบัญญัติข้อมูลข่าวสารของราชการ พ.ศ. 2540

**2) กรณีที่ผู้เอาประกันภัยยังมีชีวิตอยู่** ข้อมูลเกี่ยวกับกรมธรรม์ประกันภัยของผู้นั้น เป็นข้อมูล
ส่วนบุคคลตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 สำนักงาน คปภ. จึงต้องพิจารณาว่า
การเปิดเผยข้อมูลส่วนบุคคลดังกล่าวมีบทบัญญัติแห่งกฎหมายใดกำหนดให้สำนักงาน คปภ. ต้องเปิดเผยข้อมูล
ส่วนบุคคลเพื่อวัตถุประสงค์ดังกล่าวหรือไม่ หากมีกฎหมายเช่นว่านั้น สำนักงาน คปภ. ก็สามารถเปิดเผยข้อมูล
ส่วนบุคคลดังกล่าวโดยได้รับยกเว้นไม่ต้องขอความยินยอมจากเจ้าของข้อมูลส่วนบุคคลได้ เนื่องจากเป็น
การปฏิบัติตามกฎหมายของสำนักงาน คปภ. ในฐานะผู้ควบคุมข้อมูลส่วนบุคคลตาม [มาตรา 24](https://link.pdpalawbase.com/section/24.md) (6)
หรือ [มาตรา 26](https://link.pdpalawbase.com/section/26.md) (5) แล้วแต่กรณี ประกอบ [มาตรา 27](https://link.pdpalawbase.com/section/27.md) วรรคหนึ่ง แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล
พ.ศ. 2562 อย่างไรก็ตาม ในกรณีที่ไม่มีบทบัญญัติแห่งกฎหมายใดกำหนดหน้าที่ในการเปิดเผยข้อมูล
ตามข้างต้น สำนักงาน คปภ. อาจพิจารณาเปิดเผยข้อมูลส่วนบุคคลดังกล่าวโดยได้รับยกเว้นไม่ต้อง
ขอความยินยอมจากเจ้าของข้อมูลส่วนบุคคลได้ หากพิจารณาแล้วเห็นว่าการเปิดเผยนั้นเป็นการจำเป็นเพื่อ
การกำกับ ส่งเสริม และพัฒนาการประกอบธุรกิจประกันภัยตามนโยบายและมติของ คปภ. ตลอดจน
หลักเกณฑ์ วิธีการ เงื่อนไข และแนวปฏิบัติที่ คปภ. กำหนด ตามมาตรา 20 (2) แห่งพระราชบัญญัติ
คณะกรรมการกำกับและส่งเสริมการประกอบธุรกิจประกันภัย พ.ศ. 2550 หรืออำนาจหน้าที่อื่นใด
ของสำนักงาน คปภ. อันจะถือเป็นการปฏิบัติหน้าที่ในการดำเนินภารกิจเพื่อประโยชน์สาธารณะของ
สำนักงาน คปภ. ในฐานะผู้ควบคุมข้อมูลส่วนบุคคล หรือปฏิบัติหน้าที่ในการใช้อำนาจรัฐที่ได้มอบให้แก่
ผู้ควบคุมข้อมูลส่วนบุคคล ตาม [มาตรา 24](https://link.pdpalawbase.com/section/24.md) (4) หรือ [มาตรา 26](https://link.pdpalawbase.com/section/26.md) (5) แล้วแต่กรณี ประกอบ [มาตรา 27](https://link.pdpalawbase.com/section/27.md) วรรคหนึ่ง

ในกรณีที่ไม่มีบทบัญญัติแห่งกฎหมายใดกำหนดให้สำนักงาน คปภ. เปิดเผยข้อมูลเกี่ยวกับ
กรมธรรม์ประกันภัยของผู้เอาประกันภัยที่ยังมีชีวิตอยู่ และสำนักงาน คปภ. พิจารณาแล้วเห็นว่า การเปิดเผย
ข้อมูลส่วนบุคคลดังกล่าวไม่ได้เป็นการปฏิบัติหน้าที่ของสำนักงาน คปภ. ตามอำนาจหน้าที่ที่กฎหมายกำหนด
แต่สำนักงาน คปภ. พิจารณาเห็นว่า การเปิดเผยข้อมูลส่วนบุคคลดังกล่าวโดยไม่ได้รับความยินยอม
จากผู้เอาประกันภัยที่เป็นเจ้าของข้อมูลส่วนบุคคล เป็นกรณีที่เป็นการจำเป็นเพื่อคุ้มครองประโยชน์โดยชอบ
ด้วยกฎหมายของทายาท ผู้รับประโยชน์ หรือผู้มีสิทธิเรียกร้องตามกรมธรรม์ประกันภัย และประโยชน์
ของบุคคลดังกล่าวมีความสำคัญไม่น้อยกว่าสิทธิขั้นพื้นฐานในข้อมูลส่วนบุคคลของผู้เอาประกันภัย
สำนักงาน คปภ. ก็อาจอาศัยข้อยกเว้นตาม [มาตรา 24](https://link.pdpalawbase.com/section/24.md) (5) ประกอบ [มาตรา 27](https://link.pdpalawbase.com/section/27.md) วรรคหนึ่ง แห่งพระราชบัญญัติ
คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 เพื่อเปิดเผยข้อมูลส่วนบุคคลให้แก่บุคคลดังกล่าวได้ แต่จะต้องกระทำเท่าที่
จำเป็น และต้องพิจารณาดำเนินการให้เป็นไปตามพระราชบัญญัติข้อมูลข่าวสารของราชการ พ.ศ. 2540 ด้วย

## เอกสารต้นฉบับ

- [PDF ต้นฉบับ (local)](../../raw/opinions/opinion-3-2568.pdf)
- [ที่มา: pdpc.or.th](https://www.pdpc.or.th/wp-content/uploads/2025/09/PDPCconsultation-52.pdf)

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/opinion/3-2568.md

============================================================
โนด: ข้อหารือ 3/2569
ลิงก์อ้างอิง: https://link.pdpalawbase.com/opinion/3-2569.md

# ข้อหารือที่ 3/2569 เรื่อง ศูนย์วิจัยอุบัติเหตุแห่งประเทศไทย สถาบันเทคโนโลยีแห่งเอเชีย ขอหารือเกี่ยวกับฐานการประมวลผลสำหรับโครงการสืบสวนสาเหตุการเกิดอุบัติเหตุของรถจักรยานยนต์ และแนวทางการจัดทำข้อมูลนิรนาม

## ข้อกฎหมาย

1. พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 [มาตรา 5](https://link.pdpalawbase.com/section/5.md) วรรคหนึ่ง [มาตรา 6](https://link.pdpalawbase.com/section/6.md) [มาตรา 19](https://link.pdpalawbase.com/section/19.md) [มาตรา 20](https://link.pdpalawbase.com/section/20.md) [มาตรา 21](https://link.pdpalawbase.com/section/21.md) วรรคสอง (2) [มาตรา 23](https://link.pdpalawbase.com/section/23.md) [มาตรา 24](https://link.pdpalawbase.com/section/24.md) (1) (4) และ (5) [มาตรา 25](https://link.pdpalawbase.com/section/25.md) วรรคหนึ่งและวรรคสอง [มาตรา 26](https://link.pdpalawbase.com/section/26.md) (3) (4) และ (5) (ง) [มาตรา 27](https://link.pdpalawbase.com/section/27.md) วรรคหนึ่งและวรรคสอง [มาตรา 33](https://link.pdpalawbase.com/section/33.md) วรรคห้า [มาตรา 37](https://link.pdpalawbase.com/section/37.md) (2) และ[มาตรา 40](https://link.pdpalawbase.com/section/40.md) วรรคสาม
2. พระราชบัญญัติคุ้มครองการดำเนินงานของสถาบันเทคโนโลยีแห่งเอเชีย พ.ศ. 2510 มาตรา 4 (1)
3. ประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง มาตรการที่เหมาะสมสำหรับ การเก็บรวบรวมข้อมูลส่วนบุคคลเพื่อให้บรรลุวัตถุประสงค์ที่เกี่ยวกับการศึกษาวิจัยหรือ สถิติตามมาตรา 24 (1) และการศึกษาวิจัยทางวิทยาศาสตร์ ประวัติศาสตร์ หรือสถิติ หรือประโยชน์สาธารณะอื่นตามมาตรา 26 (5) (ง) แห่งพระราชบัญญัติคุ้มครองข้อมูล ส่วนบุคคล พ.ศ. 2562 พ.ศ. 2566 ข้อ 3
4. ประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง หลักเกณฑ์ในการลบหรือทำลาย หรือทำให้ข้อมูลส่วนบุคคลเป็นข้อมูลที่ไม่สามารถระบุตัวบุคคลที่เป็นเจ้าของข้อมูล ส่วนบุคคลได้ พ.ศ. 2567 ข้อ 6
5. ประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง มาตรการรักษาความมั่นคงปลอดภัย ของข้อมูลส่วนบุคคล พ.ศ. 2565 ข้อ 4 และข้อ 6
6. ประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง หลักเกณฑ์และวิธีการในการแจ้ง เหตุการละเมิดข้อมูลส่วนบุคคล พ.ศ. 2565 ข้อ 8
7. แนวทางการดำเนินการในการแจ้งวัตถุประสงค์และรายละเอียดในการเก็บรวบรวมข้อมูล ส่วนบุคคลจากเจ้าของข้อมูลส่วนบุคคลตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562
8. ประกาศสำนักงานพัฒนารัฐบาลดิจิทัล (องค์การมหาชน) ที่ ม 5/2567 เรื่อง มาตรฐาน สำนักงานพัฒนารัฐบาลดิจิทัล (องค์การมหาชน) ว่าด้วยแนวทางการจัดทำข้อมูลนิรนาม ลงวันที่ 23 กันยายน 2567 และมาตรฐานสำนักงานพัฒนารัฐบาลดิจิทัล (องค์การมหาชน) ว่าด้วยแนวทางการจัดทำข้อมูลนิรนาม เวอร์ชัน 1.0 (เลขที่ มสพร. 14-2567)

## ข้อหารือ

ศูนย์วิจัยอุบัติเหตุแห่งประเทศไทย สถาบันเทคโนโลยีแห่งเอเชีย แจ้งว่า ศูนย์วิจัยอุบัติเหตุ แห่งประเทศไทย (ศูนย์วิจัยฯ) เป็นหน่วยงานภายในสถาบันเทคโนโลยีแห่งเอเชีย (AIT) โดย AIT เป็นองค์การ ระหว่างประเทศ ที่ไม่แสวงหากำไร โดยมีวัตถุประสงค์ในการจัดตั้งเพื่อบริหารจัดการสถาบันการศึกษาชั้นสูง ในด้านวิศวกรรม วิทยาศาสตร์ และรวมถึงการบริหารจัดการและพัฒนาองค์กรด้านการวิจัย ซึ่งได้รับการรับรอง ภายใต้พระราชบัญญัติคุ้มครองการดำเนินงานของสถาบันเทคโนโลยีแห่งเอเชีย พ.ศ. 2510 และกฎบัตรของ สถาบันเทคโนโลยีแห่งเอเชีย โดยศูนย์วิจัยฯ เป็นศูนย์วิจัยอุบัติเหตุบนท้องถนนแห่งแรกในประเทศไทย ซึ่งมีวัตถุประสงค์หลักในการลดอุบัติเหตุบนท้องถนน และเพิ่มความปลอดภัยทางถนนในประเทศไทย โดยมุ่งมั่น ที่จะเป็นศูนย์กลางระดับชาติในการเก็บรวบรวมและวิเคราะห์ข้อมูลทางวิทยาศาสตร์เกี่ยวกับอุบัติเหตุบนถนน และทำการวิจัยทั้งข้อมูลอุบัติเหตุขั้นต้นและข้อมูลทุติยภูมิ ด้วยการให้ข้อมูลเชิงลึกและข้อเสนอแนะ ที่อิงหลักฐาน โดยศูนย์วิจัยฯ สนับสนุนการพัฒนานโยบาย เพิ่มความตระหนักรู้ของสาธารณะ และส่งเสริม การออกแบบถนนและพฤติกรรมการขับขี่ที่ปลอดภัยยิ่งขึ้น ในแต่ละปี ศูนย์วิจัยฯ ได้ดำเนินโครงการสืบสวนสาเหตุการเกิดอุบัติเหตุบนท้องถนนของ รถจักรยานยนต์ เพื่อสืบหาสาเหตุสำคัญที่ทำให้เกิดการชนของรถจักรยานยนต์ ที่จะนำมาสู่การพัฒนา แนวทางการแก้ปัญหาอุบัติเหตุบนท้องถนน หรือลดความรุนแรงของอุบัติเหตุ โดยศูนย์วิจัยฯ ได้รับเงินสนับสนุน จากหน่วยงานภาคเอกชนและองค์กรที่ไม่แสวงหากำไร ในการดำเนินโครงการดังกล่าว โดยศูนย์วิจัยฯ ได้แถลงสรุปข้อมูลผลการศึกษาโครงการให้แก่หน่วยงานภาครัฐ ผู้สนับสนุนโครงการ และประชาชนทั่วไป ผ่านทางเว็บไซต์ของศูนย์วิจัยฯ พร้อมทั้งนำเสนอต่อหน่วยงานภาครัฐที่เกี่ยวข้อง เพื่อประโยชน์ในการพัฒนา มาตรการป้องกันอุบัติเหตุบนท้องถนนในประเทศไทย สำหรับการเก็บรวบรวมข้อมูลโครงการนั้น ศูนย์วิจัยฯ จะมอบหมายให้นักวิจัยในมหาวิทยาลัย เครือข่ายที่อยู่ท้องที่ต่าง ๆ ประสานงานจัดเก็บข้อมูลเกี่ยวกับอุบัติเหตุบนท้องถนน ซึ่งอาจรวมถึงความรุนแรง ของอุบัติเหตุและอาการบาดเจ็บของผู้ขับขี่ที่เกี่ยวข้อง ซึ่งนักวิจัยแต่ละท่านอาจดำเนินการขอความร่วมมือ กับสถานีตำรวจและสถานพยาบาลในการใช้ข้อมูลที่เกี่ยวข้องกับอุบัติเหตุที่สนใจ ตลอดจนสัมภาษณ์ผู้ขับขี่ เกี่ยวกับอุบัติเหตุและอาการบาดเจ็บที่เกิดขึ้น ตามมาตรฐานในการวิจัยที่กำหนดโดยศูนย์วิจัยฯ จากนั้น มหาวิทยาลัยเครือข่ายจึงจัดส่งข้อมูลดังต่อไปนี้ให้แก่ศูนย์วิจัยฯ 1) ข้อมูลบันทึกรายงานทั้งหมด นอกเหนือจากข้อมูลที่เป็นตัวระบุทางตรง (direct identifiers)

ดังนั้น ศูนย์วิจัยฯ จะไม่สามารถทราบว่าข้อมูลที่ได้รับนั้น เป็นของผู้ขับขี่ท่านใด เมื่อได้รับข้อมูล ศูนย์วิจัยฯ จะทำการสรุปผลการวิจัยและจัดส่งรายงานสรุปผลการวิจัยให้แก่หน่วยงานที่เกี่ยวข้องและผู้สนับสนุนโครงการต่อไป ซึ่งรายงานดังกล่าว อาจรวมถึงรายละเอียดความเสียหายของยานยนต์ ความร้ายแรงของอาการบาดเจ็บ พฤติการณ์และสาเหตุของการเกิดอุบัติเหตุ รวมถึงลักษณะทางกายภาพของถนนและสภาพแวดล้อมขณะขับขี่ 2) ข้อมูลรูปภาพและภาพเคลื่อนไหวจากจุดเกิดเหตุ ซึ่งนักวิจัยจะได้รับจากการบันทึกภาพ ส่วนตัวจากบริเวณจุดเกิดเหตุ และกล้องวงจรปิดที่ติดตั้งในบริเวณดังกล่าว โดยศูนย์วิจัยฯ จะดำเนินการปกปิด ข้อมูลส่วนบุคคลที่สามารถระบุตัวตนเจ้าของข้อมูลส่วนบุคคลทางตรงได้ เช่น ทะเบียนรถ หรือภาพใบหน้าของ บุคคลที่ปรากฏทั้งหมด รวมถึงข้อมูลใด ๆ ที่อาจสื่อถึงเจ้าของข้อมูลส่วนบุคคล ก่อนรวบรวมเข้ากับรายงาน สรุปผลการวิจัยที่จัดส่งให้กับหน่วยงานที่เกี่ยวข้องและผู้สนับสนุนโครงการตามข้อ 1) ในการนี้ ศูนย์วิจัยฯ มีประเด็นข้อหารือ ดังต่อไปนี้ 1) ฐานการประมวลผลข้อมูลส่วนบุคคลและการดำเนินการตามกฎหมายว่าด้วยการคุ้มครอง ข้อมูลส่วนบุคคล เนื่องจากศูนย์วิจัยฯ มีวัตถุประสงค์ในการศึกษาวิจัยเพื่อลดอุบัติเหตุบนท้องถนนและ เพิ่มความปลอดภัยทางถนนในประเทศไทย ซึ่งถือว่าเป็นการดำเนินการเพื่อประโยชน์สาธารณะต่อสังคมไทย โดยในขั้นตอนการเก็บรวบรวมข้อมูล ศูนย์วิจัยฯ ดำเนินการตามแนวทางที่เหมาะสม ซึ่งจัดเก็บข้อมูลเท่าที่จำเป็น ตามหลักการ need-to-know basis ศูนย์วิจัยฯ จึงขอเรียนหารือว่า 1.1 การดำเนินการดังกล่าวสามารถอ้างอิงฐานการศึกษาวิจัยหรือสถิติ ตาม[มาตรา 24](https://link.pdpalawbase.com/section/24.md) (1) และ[มาตรา 26](https://link.pdpalawbase.com/section/26.md) (5) (ง) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 โดยไม่ต้องได้รับ ความยินยอมจากผู้ขับขี่ใช่หรือไม่ 1.2 การที่ศูนย์วิจัยฯ มอบหมายให้นักวิจัยในมหาวิทยาลัยเครือข่ายดำเนินการ เก็บรวบรวมข้อมูลให้ ถือว่ามหาวิทยาลัยเครือข่ายดังกล่าว เป็นผู้ประมวลผลข้อมูลส่วนบุคคลให้แก่ศูนย์วิจัยฯ ซึ่งศูนย์วิจัยฯ มีหน้าที่ต้องจัดทำข้อตกลงร่วมกับมหาวิทยาลัยเครือข่ายเหล่านั้น ตาม[มาตรา 40](https://link.pdpalawbase.com/section/40.md) วรรคสาม แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ใช่หรือไม่ 1.3 การดำเนินการที่มหาวิทยาลัยเครือข่ายได้ดำเนินการไป ถือเป็นการดำเนินการ แทนศูนย์วิจัยฯ

ดังนั้น การจัดส่งข้อมูลระหว่างมหาวิทยาลัยเครือข่ายและศูนย์วิจัยฯ ไม่จำเป็นต้องได้รับ ความยินยอมจากผู้ขับขี่ เพียงแต่ศูนย์วิจัยฯ มีหน้าที่ต้องจัดทำหนังสือแจ้งการประมวลผลข้อมูล เพื่อให้ผู้ขับขี่ สามารถทราบรายละเอียดเกี่ยวกับโครงการนี้ได้ ตามที่กำหนดในมาตรา 23 แห่งพระราชบัญญัติคุ้มครองข้อมูล ส่วนบุคคล พ.ศ. 2562 ใช่หรือไม่ 1.4 ด้วยศูนย์วิจัยฯ ไม่ได้เป็นผู้จัดเก็บข้อมูลจากเจ้าของข้อมูลส่วนบุคคลโดยตรง และอาจไม่มีรายละเอียดติดต่อเจ้าของข้อมูลส่วนบุคคลในบางกรณี ทำให้อาจไม่สามารถจัดส่งหนังสือแจ้ง การประมวลผลต่อเจ้าของข้อมูลส่วนบุคคลได้ ศูนย์วิจัยฯ จึงขอหารือว่า ศูนย์วิจัยฯ สามารถจัดทำหนังสือแจ้ง การประมวลผลโดยประกาศผ่านเว็บไซต์ของศูนย์วิจัยฯ ที่บุคคลทั่วไปสามารถเข้าถึงได้ แทนการจัดส่งหนังสือ แจ้งการประมวลผลที่อาจไม่ครอบคลุมเจ้าของข้อมูลส่วนบุคคลทั้งหมด ได้หรือไม่ 2) แนวทางการจัดทำข้อมูลนิรนาม หน่วยงานที่เกี่ยวข้องและผู้สนับสนุนโครงการอาจนำผลการศึกษาโครงการดังกล่าวไป ต่อยอดเพื่อพัฒนานโยบายและนวัตกรรมที่สามารถช่วยลดอุบัติเหตุทางถนนได้ ซึ่งหากข้อมูลที่หน่วยงานดังกล่าว ได้รับ มีความชัดเจนและเหมาะสม เช่น ภาพสถานที่เกิดเหตุ และรายละเอียดเหตุการณ์แต่ละครั้ง อาจช่วยเพิ่ม ประสิทธิภาพในการใช้ข้อมูลดังกล่าวมากยิ่งขึ้น ซึ่งคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลได้จัดทำประกาศ คณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง หลักเกณฑ์ในการลบหรือทำลาย หรือทำให้ข้อมูลส่วนบุคคล เป็นข้อมูลที่ไม่สามารถระบุตัวบุคคลที่เป็นเจ้าของข้อมูลส่วนบุคคลได้ พ.ศ. 2567 เพื่อกำหนดแนวทาง ในการจัดทำข้อมูลนิรนามในเบื้องต้น ศูนย์วิจัยฯ จึงขอหารือในรายละเอียด ดังต่อไปนี้ 2.1 การจัดทำข้อมูลนิรนามสำหรับภาพถ่ายและวิดีโอ หากศูนย์วิจัยฯ ดำเนินการลบ ข้อมูลที่มีตัวระบุทางตรง (direct identifiers) เช่น ชื่อ หมายเลขทะเบียนรถ ภาพถ่ายผู้ขับขี่ และดำเนินการพราง ข้อมูลใด ๆ ที่อาจสื่อถึงเจ้าของข้อมูลส่วนบุคคล เช่น อายุ วันที่เกิดเหตุ หรือตำแหน่งที่เกิดเหตุ ที่อาจปรากฏ ในภาพถ่ายหรือวิดีโอดังกล่าว จะสามารถทำให้ข้อมูลดังกล่าวไม่ถือเป็นข้อมูลส่วนบุคคลได้หรือไม่ 2.2 ผลของการจัดทำข้อมูลนิรนาม หากข้อมูลที่ถูกจัดทำเป็นข้อมูลนิรนามแล้ว ศูนย์วิจัยฯ สามารถใช้ข้อมูลดังกล่าวโดยไม่ต้องคำนึงถึงเงื่อนไขตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 เพราะถือว่าข้อมูลดังกล่าวสิ้นสถานะความเป็นข้อมูลส่วนบุคคลแล้ว ใช่หรือไม่ หากใช่แล้ว จะรวมถึงกรณีที่ ศูนย์วิจัยฯ จัดเก็บข้อมูลดิบที่ได้รับจากมหาวิทยาลัยเครือข่ายเพื่อใช้ประกอบการอ้างอิงภายใน โดยไม่มีข้อมูล ที่มีตัวระบุทางตรง (direct identifiers) ตามแนวทางการศึกษาวิจัยทั่วไปได้หรือไม่ 2.3 หากหน่วยงานภายนอกเป็นผู้ว่าจ้างผู้ให้บริการจัดทำข้อมูลผลการศึกษาของศูนย์วิจัยฯ เป็นข้อมูลนิรนาม ก่อนจัดส่งให้แก่หน่วยงานดังกล่าว เป็นกิจกรรมที่สามารถอ้างอิงฐานประโยชน์โดยชอบด้วย กฎหมายในการดำเนินการดังกล่าว โดยไม่ต้องได้รับความยินยอมจากเจ้าของข้อมูลส่วนบุคคลได้หรือไม่

## ความเห็น

คณะอนุกรรมการตอบข้อหารือและให้คำแนะนำในการปฏิบัติตามกฎหมายว่าด้วยการคุ้มครอง ข้อมูลส่วนบุคคล ในคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล ได้พิจารณาข้อหารือดังกล่าวแล้ว มีความเห็น ในแต่ละประเด็นข้อหารือ ดังนี้

ประเด็นข้อหารือที่ 1 ฐานการประมวลผลข้อมูลส่วนบุคคลและการดำเนินการตาม กฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคล

ประเด็นข้อหารือที่ 1.1 การเก็บรวบรวมข้อมูลส่วนบุคคลเพื่อวัตถุประสงค์ในการวิเคราะห์ และการศึกษาวิจัยเพื่อสนับสนุนการพัฒนานโยบาย เพิ่มความตระหนักรู้ของสาธารณะ และส่งเสริม การออกแบบถนนและพฤติกรรมการขับขี่ที่ปลอดภัยยิ่งขึ้น โดยมีเป้าหมายในการลดอุบัติเหตุบนท้องถนน และเพิ่มความปลอดภัยทางถนนในประเทศไทยนั้น ศูนย์วิจัยฯ จะสามารถอ้างอิงฐานการศึกษาวิจัยหรือสถิติ ตาม[มาตรา 24](https://link.pdpalawbase.com/section/24.md) (1) และ[มาตรา 26](https://link.pdpalawbase.com/section/26.md) (5) (ง) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 โดยไม่ต้องได้รับความยินยอมจากผู้ขับขี่ใช่หรือไม่ พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ใช้บังคับแก่การเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลที่อยู่ภายใต้บังคับของพระราชบัญญัตินี้ตาม[มาตรา 5](https://link.pdpalawbase.com/section/5.md) ซึ่ง[มาตรา 5](https://link.pdpalawbase.com/section/5.md) วรรคหนึ่ง กำหนดว่า พระราชบัญญัตินี้ให้ใช้บังคับแก่การเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลโดยผู้ควบคุมข้อมูล ส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคลซึ่งอยู่ในราชอาณาจักร ไม่ว่าการเก็บรวบรวม ใช้ หรือเปิดเผยนั้น ได้กระทำในหรือนอกราชอาณาจักรก็ตาม โดยศูนย์วิจัยอุบัติเหตุแห่งประเทศไทย (ศูนย์วิจัยฯ) เป็นหน่วยงานภายใน ของสถาบันเทคโนโลยีแห่งเอเชีย (AIT) ซึ่งเป็นองค์การระหว่างประเทศที่ประเทศภาคีสนธิสัญญาการป้องกันร่วมกัน แห่งเอเชียตะวันออกเฉียงใต้ในขณะนั้นได้ให้ความเห็นชอบร่วมกันจัดตั้งขึ้นตามกฎบัตรของสถาบันเทคโนโลยี แห่งเอเชีย โดยสถาบันเทคโนโลยีแห่งเอเชียมีที่ทำการใหญ่ในประเทศไทย มีฐานะเป็นนิติบุคคลและถือว่า มีภูมิลำเนาในประเทศไทย ตามมาตรา 4 (1) แห่งพระราชบัญญัติคุ้มครองการดำเนินงานของสถาบัน เทคโนโลยีแห่งเอเชีย พ.ศ. 2510 มีวัตถุประสงค์เพื่อบริหารจัดการสถาบันการศึกษาชั้นสูงในด้านวิศวกรรม วิทยาศาสตร์ และรวมถึงการบริหารจัดการและพัฒนาองค์กรด้านการวิจัย

ดังนั้น การเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลโดยสถาบันเทคโนโลยีแห่งเอเชีย (รวมทั้งศูนย์วิจัยฯ ที่เป็นหน่วยงานภายใน ของสถาบันฯ) จึงอยู่ภายใต้บังคับของพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ตาม[มาตรา 5](https://link.pdpalawbase.com/section/5.md) วรรคหนึ่ง ในการพิจารณาว่าการดำเนินงานตามประเด็นที่หารือของศูนย์วิจัยฯ จะต้องปฏิบัติตาม พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 หรือไม่ เพียงใด นั้น นอกเหนือจากการพิจารณา ขอบเขตการใช้บังคับพระราชบัญญัตินี้ตาม[มาตรา 5](https://link.pdpalawbase.com/section/5.md) แล้ว ศูนย์วิจัยฯ จะต้องพิจารณาด้วยว่า การดำเนินงาน ดังกล่าวมีการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลหรือไม่ โดยตามบทนิยามใน[มาตรา 6](https://link.pdpalawbase.com/section/6.md) คำว่า “ข้อมูลส่วนบุคคล” หมายความว่า ข้อมูลเกี่ยวกับบุคคลซึ่งทำให้สามารถระบุตัวบุคคลนั้นได้ ไม่ว่าทางตรง หรือทางอ้อม แต่ไม่รวมถึงข้อมูลของผู้ถึงแก่กรรมโดยเฉพาะ

ดังนั้น ศูนย์วิจัยฯ จะต้องพิจารณาลักษณะ ของข้อมูลที่ศูนย์วิจัยฯ เก็บรวบรวมในแต่ละกรณีก่อนว่าเป็นข้อมูลส่วนบุคคลตามความหมายดังกล่าวหรือไม่ หากข้อมูลดังกล่าวเป็นข้อมูลของผู้ถึงแก่กรรมโดยเฉพาะ หรือเป็นข้อมูลที่ไม่สามารถระบุตัวบุคคลได้ (ข้อมูลนิรนาม หรือ anonymous data) ก็ย่อมไม่ใช่ข้อมูลส่วนบุคคลและไม่อยู่ภายใต้บังคับของพระราชบัญญัตินี้ แต่หากข้อมูลดังกล่าวเป็นข้อมูลเกี่ยวกับบุคคลซึ่งทำให้สามารถระบุตัวบุคคลนั้นได้ ไม่ว่าทางตรงหรือทางอ้อม และไม่ใช่ข้อมูลของผู้ถึงแก่กรรมโดยเฉพาะ ก็ถือเป็นข้อมูลส่วนบุคคลที่อยู่ภายใต้บังคับของพระราชบัญญัตินี้ โดยหากพิจารณาจากข้อ 6 ของประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง หลักเกณฑ์ในการลบ หรือทำลาย หรือทำให้ข้อมูลส่วนบุคคลเป็นข้อมูลที่ไม่สามารถระบุตัวบุคคลที่เป็นเจ้าของข้อมูลส่วนบุคคลได้ พ.ศ. 2567 ซึ่งออกตามความใน[มาตรา 33](https://link.pdpalawbase.com/section/33.md) วรรคห้า แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 จะเห็นได้ว่า ข้อมูลเกี่ยวกับบุคคลซึ่งทำให้สามารถระบุตัวบุคคลนั้นได้ทางตรง คือ ข้อมูลที่มีข้อมูลที่เป็น ตัวระบุทางตรง (direct identifiers) ของเจ้าของข้อมูลส่วนบุคคลอยู่ เช่น ชื่อและนามสกุลของบุคคล เลขที่ หมายเลข หรือรหัสประจำตัวของบุคคล หมายเลขโทรศัพท์หรือหมายเลขติดต่อเฉพาะตัวของบุคคล ที่อยู่ไปรษณีย์อิเล็กทรอนิกส์ (e-mail address) เฉพาะตัวของบุคคล หมายเลขทะเบียนรถของบุคคล ภาพใบหน้าของบุคคลที่ทำให้สามารถระบุตัวบุคคลได้ หรือข้อมูลอื่นใดที่เป็นสิ่งเฉพาะตัวของบุคคลที่ทำให้ สามารถระบุตัวบุคคลได้โดยตรง เป็นต้น ส่วนข้อมูลเกี่ยวกับบุคคลซึ่งทำให้สามารถระบุตัวบุคคลนั้นได้ทางอ้อม คือ ข้อมูลที่มีโอกาสในการระบุตัวบุคคลที่เป็นเจ้าของข้อมูลส่วนบุคคลได้พอสมควร จากการทำให้ข้อมูลนั้น ย้อนกลับมาสามารถระบุตัวบุคคลที่เป็นเจ้าของข้อมูลส่วนบุคคลได้ (re-identification) หรือจากข้อมูล ที่เป็นตัวระบุทางอ้อม (indirect identifiers) เช่น วันเดือนปีเกิด อายุ ตำแหน่งงาน สังกัด วันเดือนปีที่เข้ารับบริการ ที่อยู่ เป็นต้น

นอกจากนี้ ศูนย์วิจัยฯ จะต้องพิจารณาด้วยว่าในการเก็บรวบรวมข้อมูลส่วนบุคคลดังกล่าว มีข้อมูลส่วนบุคคลตาม[มาตรา 26](https://link.pdpalawbase.com/section/26.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ด้วยหรือไม่ โดยเฉพาะข้อมูลส่วนบุคคลเกี่ยวกับข้อมูลสุขภาพ เช่น อาการบาดเจ็บและลักษณะการบาดเจ็บ หรือข้อมูล หรือเอกสารเกี่ยวกับการดูแลรักษาผู้บาดเจ็บก่อนนำส่งสถานพยาบาล ความเห็นทางการแพทย์และข้อมูล ในทางคดีที่เกี่ยวข้องกับเหตุการณ์ ประวัติการเจ็บป่วยในอดีตหรือโรคประจำตัวซึ่งอาจเป็นปัจจัยที่เกี่ยวข้องกับ อุบัติเหตุ หรือรายงานผลการตรวจทางห้องปฏิบัติการ ซึ่งรวมถึงระดับแอลกอฮอล์ ยา หรือยาเสพติดในเลือด เป็นต้น โดยในกรณีที่ศูนย์วิจัยฯ มีการเก็บรวบรวมข้อมูลส่วนบุคคลตาม[มาตรา 26](https://link.pdpalawbase.com/section/26.md) ศูนย์วิจัยฯ จะต้องมีฐาน ทางกฎหมายตาม[มาตรา 26](https://link.pdpalawbase.com/section/26.md) เพิ่มเติมนอกจากฐานทางกฎหมายตาม[มาตรา 24](https://link.pdpalawbase.com/section/24.md) ด้วย สำหรับกรณีที่ศูนย์วิจัยฯ พิจารณาแล้วว่า ข้อมูลที่เก็บรวบรวม ใช้ หรือเปิดเผยนั้นเป็นข้อมูล ส่วนบุคคลตามบทนิยามใน[มาตรา 6](https://link.pdpalawbase.com/section/6.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ตามที่ ได้กล่าวไปแล้วข้างต้น และเป็นการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลเพื่อให้บรรลุวัตถุประสงค์ ที่เกี่ยวกับการดำเนินการเกี่ยวกับการศึกษาค้นคว้า การวิเคราะห์ การทดลอง การทดสอบ หรือการประเมินผล อย่างเป็นระบบ เพื่อให้ได้มาซึ่งความรู้ใหม่หรือหลักการทางวิชาการในสาขาวิชาที่เกี่ยวข้อง รวมถึงการเผยแพร่ ความรู้หรือหลักการทางวิชาการนั้น ทั้งที่เป็นการดำเนินการในระดับพื้นฐาน (fundamental or basic) และระดับประยุกต์ (applied) และรวมถึงการพัฒนาเทคโนโลยีและนวัตกรรมจากความรู้หรือหลักการ ทางวิชาการดังกล่าวด้วย อันเป็นความหมายของคำว่า “การศึกษาวิจัย” ตามบทนิยามในข้อ 3 ของประกาศ คณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง มาตรการที่เหมาะสมสำหรับการเก็บรวบรวมข้อมูลส่วนบุคคล เพื่อให้บรรลุวัตถุประสงค์ที่เกี่ยวกับการศึกษาวิจัยหรือสถิติตาม[มาตรา 24](https://link.pdpalawbase.com/section/24.md) (1) และการศึกษาวิจัย ทางวิทยาศาสตร์ ประวัติศาสตร์ หรือสถิติ หรือประโยชน์สาธารณะอื่นตาม[มาตรา 26](https://link.pdpalawbase.com/section/26.md) (5) (ง) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 พ.ศ. 2566 หรือเป็นการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลเพื่อให้บรรลุวัตถุประสงค์ที่เกี่ยวกับการดำเนินการเกี่ยวกับการเก็บรวบรวม การสำรวจ การประมวลผล การวิเคราะห์ และการสรุปผลจากข้อมูล ตลอดจนการแสดงผลหรือเผยแพร่ ผลจากการดำเนินการดังกล่าว

ทั้งนี้ เพื่อการเปรียบเทียบหรืออ้างอิงในภาพรวม โดยไม่ได้มุ่งหมายที่จะนำ ข้อมูลหรือผลจากการดำเนินการดังกล่าวมามีผลต่อการตัดสินใจหรือดำเนินการใดเกี่ยวกับเจ้าของข้อมูล ส่วนบุคคลผู้ใดผู้หนึ่ง (รวมถึงการดำเนินงานทางสถิติและการสำรวจตามกฎหมายว่าด้วยสถิติด้วย) อันเป็นความหมายของคำว่า “สถิติ” ตามบทนิยามในข้อ 3 ของประกาศดังกล่าว ก็ย่อมสามารถพิจารณาใช้ ฐานทางกฎหมายตาม[มาตรา 24](https://link.pdpalawbase.com/section/24.md) (1) หรือ[มาตรา 26](https://link.pdpalawbase.com/section/26.md) (5) (ง) ประกอบ[มาตรา 27](https://link.pdpalawbase.com/section/27.md) วรรคหนึ่ง แห่ง พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 เพื่อการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล ดังกล่าว โดยไม่ต้องได้รับความยินยอมจากเจ้าของข้อมูลส่วนบุคคลได้ โดยจะต้องจัดให้มีมาตรการ ปกป้องที่เหมาะสมเพื่อคุ้มครองสิทธิและเสรีภาพของเจ้าของข้อมูลส่วนบุคคล หรือในกรณีที่เป็นข้อมูล ส่วนบุคคลตาม[มาตรา 26](https://link.pdpalawbase.com/section/26.md) ต้องกระทำเพื่อให้บรรลุวัตถุประสงค์ดังกล่าวเพียงเท่าที่จำเป็นเท่านั้น และได้จัดให้มี มาตรการที่เหมาะสมเพื่อคุ้มครองสิทธิขั้นพื้นฐานและประโยชน์ของเจ้าของข้อมูลส่วนบุคคล

ทั้งนี้ ตามที่คณะกรรมการคุ้มครองข้อมูลส่วนบุคคลประกาศกำหนดตามประกาศฉบับดังกล่าว ซึ่งออกตามความใน [มาตรา 24](https://link.pdpalawbase.com/section/24.md) (1) และ[มาตรา 26](https://link.pdpalawbase.com/section/26.md) (5) (ง) ด้วย

นอกจากนี้ การเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลเพื่อวัตถุประสงค์ในการวิเคราะห์ และการศึกษาวิจัยเพื่อสนับสนุนการพัฒนานโยบาย เพิ่มความตระหนักรู้ของสาธารณะ และส่งเสริมการออกแบบถนน และพฤติกรรมการขับขี่ที่ปลอดภัยยิ่งขึ้น โดยมีเป้าหมายในการลดอุบัติเหตุบนท้องถนนและเพิ่มความปลอดภัย ทางถนนในประเทศไทยนั้น ยังอาจถือเป็นการจำเป็นเพื่อประโยชน์โดยชอบด้วยกฎหมายของศูนย์วิจัยฯ ในฐานะผู้ควบคุมข้อมูลส่วนบุคคล หรือของบุคคลหรือนิติบุคคลอื่น ตาม[มาตรา 24](https://link.pdpalawbase.com/section/24.md) (5) ประกอบ[มาตรา 27](https://link.pdpalawbase.com/section/27.md) วรรคหนึ่ง แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ที่ศูนย์วิจัยฯ สามารถกระทำได้โดยไม่ต้อง ได้รับความยินยอมจากเจ้าของข้อมูลส่วนบุคคลอีกด้วย หากศูนย์วิจัยฯ พิจารณาแล้วเห็นว่า ประโยชน์ดังกล่าว มีความสำคัญไม่น้อยกว่าสิทธิขั้นพื้นฐานในข้อมูลส่วนบุคคลของเจ้าของข้อมูลส่วนบุคคล ซึ่งศูนย์วิจัยฯ อาจพิจารณาการประเมินประโยชน์โดยชอบด้วยกฎหมาย (Legitimate Interest Assessment: LIA) จากหลักเกณฑ์ 3 ประการ ดังนี้

ประการที่หนึ่ง การทดสอบวัตถุประสงค์ (Purpose Test) เป็นการพิจารณาเหตุผลและ ประโยชน์ที่จะได้รับจากการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลดังกล่าว ว่ามีความชอบด้วยกฎหมาย หรือไม่ อย่างไร

ประการที่สอง การทดสอบความจำเป็น (Necessity Test) เป็นการพิจารณาว่า การเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลดังกล่าวมีความจำเป็นมากน้อยเพียงใดเพื่อให้บรรลุวัตถุประสงค์อันชอบด้วย กฎหมายนั้น และสามารถดำเนินการด้วยวิธีการอื่นที่จะส่งผลกระทบต่อสิทธิขั้นพื้นฐานในข้อมูลส่วนบุคคล ของเจ้าของข้อมูลส่วนบุคคลน้อยกว่าได้หรือไม่ เพียงใด

ประการที่สาม การทดสอบความสมดุลแห่งสิทธิ (Balancing Test) เป็นการพิจารณาชั่งน้ำหนัก ระหว่างประโยชน์โดยชอบด้วยกฎหมายดังกล่าว กับสิทธิขั้นพื้นฐานในข้อมูลส่วนบุคคลของเจ้าของข้อมูล ส่วนบุคคล ซึ่งจะต้องไม่กระทบต่อสิทธิและเสรีภาพ โดยเฉพาะสิทธิในความเป็นส่วนตัว (right to privacy) ของเจ้าของข้อมูลส่วนบุคคลที่เกี่ยวข้องเกินสมควร

ทั้งนี้ มีข้อสังเกตว่า หากข้อมูลส่วนบุคคลดังกล่าวมีการเปิดเผยต่อสาธารณะโดยชอบด้วย กฎหมาย หรืออยู่ในความครอบครองหรือควบคุมดูแลของหน่วยงานของรัฐที่มีหน้าที่ในการรักษาความปลอดภัย ของประชาชนหรือการรักษาความสงบเรียบร้อยอยู่แล้ว ข้อเท็จจริงดังกล่าวย่อมช่วยให้เจ้าของข้อมูลส่วนบุคคล สามารถคาดหวังได้อย่างสมเหตุสมผลว่าอาจมีการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลดังกล่าว เพื่อวัตถุประสงค์ในการวิเคราะห์ การศึกษาวิจัยหรือสถิติ หรือการดำเนินการที่เกี่ยวข้องเพื่อหาแนวทาง ลดอุบัติเหตุบนท้องถนนและเพิ่มความปลอดภัยทางถนนได้

นอกจากนี้ หากมีกระบวนการลบหรือทำให้ปราศจาก ข้อมูลใด ๆ ที่เป็นตัวระบุทางตรง (direct identifiers) ของเจ้าของข้อมูลส่วนบุคคลในข้อมูลส่วนบุคคลดังกล่าว (de-identification) และ/หรือการแฝงข้อมูล (pseudonymization) หรือการดำเนินการอย่างหนึ่งอย่างใด ต่อข้อมูลทั้งหมดหรือบางส่วน เพื่อลดโอกาสในการระบุตัวบุคคลที่เป็นเจ้าของข้อมูลส่วนบุคคลจากข้อมูลที่เป็น ตัวระบุทางอ้อม (indirect identifiers) การดำเนินการดังกล่าวย่อมช่วยให้ความเสี่ยงที่จะมีผลกระทบต่อสิทธิ และเสรีภาพ โดยเฉพาะสิทธิในความเป็นส่วนตัว (right to privacy) ของเจ้าของข้อมูลส่วนบุคคลที่เกี่ยวข้อง ลดลงได้ ซึ่งเหตุผลเหล่านี้อาจทำให้การทดสอบความสมดุลแห่งสิทธิ (Balancing Test) ซึ่งเป็นส่วนหนึ่งของ การประเมินประโยชน์โดยชอบด้วยกฎหมาย (Legitimate Interest Assessment: LIA) นี้ จะช่วยให้ศูนย์วิจัยฯ พิจารณาชั่งน้ำหนักแล้วเห็นว่า ประโยชน์ดังกล่าวมีความสำคัญไม่น้อยกว่าสิทธิขั้นพื้นฐานในข้อมูลส่วนบุคคล ของเจ้าของข้อมูลส่วนบุคคล และทำให้ศูนย์วิจัยฯ สามารถอาศัยฐานทางกฎหมายตาม[มาตรา 24](https://link.pdpalawbase.com/section/24.md) (5) ประกอบ [มาตรา 27](https://link.pdpalawbase.com/section/27.md) วรรคหนึ่ง ในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลดังกล่าวโดยไม่ต้องได้รับความยินยอม จากเจ้าของข้อมูลส่วนบุคคลได้มากยิ่งขึ้น

อย่างไรก็ตาม สำหรับข้อมูลส่วนบุคคลตาม[มาตรา 26](https://link.pdpalawbase.com/section/26.md) แห่ง พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ศูนย์วิจัยฯ ไม่สามารถเก็บรวบรวมข้อมูลส่วนบุคคลดังกล่าว โดยไม่ได้รับความยินยอมโดยชัดแจ้งจากเจ้าของข้อมูลส่วนบุคคลได้ เว้นแต่จะเป็นข้อมูลที่เปิดเผยต่อสาธารณะ ด้วยความยินยอมโดยชัดแจ้งของเจ้าของข้อมูลส่วนบุคคล ตาม[มาตรา 26](https://link.pdpalawbase.com/section/26.md) (3) หรือเป็นการจำเป็นเพื่อการก่อตั้ง สิทธิเรียกร้องตามกฎหมาย การปฏิบัติตามหรือการใช้สิทธิเรียกร้องตามกฎหมาย หรือการยกขึ้นต่อสู้สิทธิเรียกร้อง ตามกฎหมาย ตาม[มาตรา 26](https://link.pdpalawbase.com/section/26.md) (4) หรือเป็นไปเพื่อให้บรรลุวัตถุประสงค์เกี่ยวกับการศึกษาวิจัยทางวิทยาศาสตร์ ประวัติศาสตร์ หรือสถิติ หรือประโยชน์สาธารณะอื่น ตาม[มาตรา 26](https://link.pdpalawbase.com/section/26.md) (5) (ง) หรือเข้าข้อยกเว้นอื่นตาม[มาตรา 26](https://link.pdpalawbase.com/section/26.md) เท่านั้น

นอกจากนี้ ในกรณีที่เห็นสมควรและสามารถกระทำได้ ศูนย์วิจัยฯ อาจพิจารณาใช้ฐาน ความยินยอมตามมาตรา 24 หรือความยินยอมโดยชัดแจ้งตามมาตรา 26 แห่งพระราชบัญญัติคุ้มครองข้อมูล ส่วนบุคคล พ.ศ. 2562 ก็ได้ โดยการขอความยินยอมจากเจ้าของข้อมูลส่วนบุคคลจะต้องปฏิบัติให้สอดคล้อง กับหลักเกณฑ์ตาม[มาตรา 19](https://link.pdpalawbase.com/section/19.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 เช่น เจ้าของข้อมูล ส่วนบุคคลต้องให้ความยินยอมไว้ก่อนหรือในขณะเก็บรวบรวมข้อมูลส่วนบุคคล การขอความยินยอมต้องทำ โดยชัดแจ้ง เป็นหนังสือหรือทำโดยผ่านระบบอิเล็กทรอนิกส์ เว้นแต่โดยสภาพไม่อาจขอความยินยอมด้วย วิธีการดังกล่าวได้ โดยในการขอความยินยอมจากเจ้าของข้อมูลส่วนบุคคล ศูนย์วิจัยฯ ต้องแจ้งวัตถุประสงค์ของ การเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลไปด้วย และการขอความยินยอมนั้นต้องแยกส่วนออกจาก ข้อความอื่นอย่างชัดเจน มีแบบหรือข้อความที่เข้าถึงได้ง่ายและเข้าใจได้ รวมทั้งใช้ภาษาที่อ่านง่าย และไม่เป็น การหลอกลวงหรือทำให้เจ้าของข้อมูลส่วนบุคคลเข้าใจผิดในวัตถุประสงค์ดังกล่าว ตลอดจนจะต้อง คำนึงอย่างถึงที่สุดในความเป็นอิสระของเจ้าของข้อมูลส่วนบุคคลในการให้ความยินยอม ประกอบกับเจ้าของ ข้อมูลส่วนบุคคลจะต้องสามารถถอนความยินยอมเสียเมื่อใดก็ได้โดยจะต้องถอนความยินยอมได้ง่าย เช่นเดียวกับการให้ความยินยอม เว้นแต่มีข้อจำกัดสิทธิในการถอนความยินยอมโดยกฎหมายหรือสัญญาที่ให้ ประโยชน์แก่เจ้าของข้อมูลส่วนบุคคล

นอกจากนี้ หากเป็นการขอความยินยอมจากเจ้าของข้อมูลส่วนบุคคล ที่เป็นผู้เยาว์ คนไร้ความสามารถ หรือคนเสมือนไร้ความสามารถ ศูนย์วิจัยฯ จะต้องปฏิบัติให้เป็นไปตาม[มาตรา 20](https://link.pdpalawbase.com/section/20.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ด้วย

คณะอนุกรรมการตอบข้อหารือฯ มีข้อสังเกตเพิ่มเติมว่า แม้สถาบันเทคโนโลยีแห่งเอเชีย จะเป็นองค์การระหว่างประเทศที่มีที่ทำการใหญ่ในประเทศไทย และมีกฎหมายให้ความคุ้มครองการดำเนินงาน ก็ตาม แต่สถาบันเทคโนโลยีแห่งเอเชียไม่ใช่หน่วยงานของรัฐตามกฎหมายของประเทศไทย และไม่มีบทบัญญัติ แห่งพระราชบัญญัติคุ้มครองการดำเนินงานของสถาบันเทคโนโลยีแห่งเอเชีย พ.ศ. 2510 หรือกฎหมายอื่น ที่มอบอำนาจรัฐให้แก่สถาบันเทคโนโลยีแห่งเอเชีย ศูนย์วิจัยฯ จึงไม่สามารถอาศัยกรณีที่เป็นการจำเป็น เพื่อการปฏิบัติหน้าที่ในการดำเนินภารกิจเพื่อประโยชน์สาธารณะของผู้ควบคุมข้อมูลส่วนบุคคล หรือปฏิบัติ หน้าที่ในการใช้อำนาจรัฐที่ได้มอบให้แก่ผู้ควบคุมข้อมูลส่วนบุคคล ตาม[มาตรา 24](https://link.pdpalawbase.com/section/24.md) (4) แห่งพระราชบัญญัติ คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 เป็นฐานทางกฎหมายในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูล ส่วนบุคคลตามวัตถุประสงค์ที่หารือมาได้ แต่ในการเปิดเผยข้อมูลส่วนบุคคลในกรณีดังกล่าวโดยหน่วยงาน ที่เกี่ยวข้อง เช่น สถานีตำรวจและสถานพยาบาล ให้กับศูนย์วิจัยฯ หรือมหาวิทยาลัยเครือข่าย หน่วยงาน ที่เปิดเผยอาจอาศัยฐานทางกฎหมายตาม[มาตรา 24](https://link.pdpalawbase.com/section/24.md) (4) ประกอบ[มาตรา 27](https://link.pdpalawbase.com/section/27.md) วรรคหนึ่ง ในการเปิดเผยข้อมูล ส่วนบุคคลดังกล่าวได้ในกรณีที่เป็นหน่วยงานของรัฐที่ปฏิบัติหน้าที่ในการดำเนินภารกิจเพื่อประโยชน์สาธารณะ หรือปฏิบัติหน้าที่ในการใช้อำนาจรัฐที่ได้มอบให้แก่หน่วยงาน แต่ในกรณีที่ไม่ใช่หน่วยงานของรัฐ หรือไม่ได้เป็น การปฏิบัติหน้าที่ในการดำเนินภารกิจเพื่อประโยชน์สาธารณะ หรือปฏิบัติหน้าที่ในการใช้อำนาจรัฐที่ได้มอบ ให้แก่หน่วยงาน ก็อาจพิจารณาอาศัยฐานทางกฎหมายตาม[มาตรา 24](https://link.pdpalawbase.com/section/24.md) (5) ประกอบ[มาตรา 27](https://link.pdpalawbase.com/section/27.md) วรรคหนึ่ง ได้ หากประโยชน์โดยชอบด้วยกฎหมายนั้นมีความสำคัญไม่น้อยกว่าสิทธิขั้นพื้นฐานในข้อมูลส่วนบุคคลของเจ้าของ ข้อมูลส่วนบุคคล

ประเด็นข้อหารือที่ 1.2 การที่ศูนย์วิจัยฯ มอบหมายให้นักวิจัยในมหาวิทยาลัยเครือข่าย ดำเนินการเก็บรวบรวมข้อมูลให้ ถือว่ามหาวิทยาลัยเครือข่ายดังกล่าว เป็นผู้ประมวลผลข้อมูลส่วนบุคคลให้แก่ ศูนย์วิจัยฯ ซึ่งศูนย์วิจัยฯ มีหน้าที่ต้องจัดทำข้อตกลงร่วมกับมหาวิทยาลัยเครือข่ายเหล่านั้น ตาม[มาตรา 40](https://link.pdpalawbase.com/section/40.md) วรรคสาม แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ใช่หรือไม่ ในการเก็บรวบรวม ใช้ และเปิดเผยข้อมูลส่วนบุคคลของศูนย์วิจัยฯ เพื่อวัตถุประสงค์ ในการวิเคราะห์และการศึกษาวิจัย โดยมีเป้าหมายในการลดอุบัติเหตุบนท้องถนนและเพิ่มความปลอดภัย ทางถนนในประเทศไทย สถาบันเทคโนโลยีแห่งเอเชีย ในฐานะหน่วยงานต้นสังกัดของศูนย์วิจัยฯ ที่มีฐานะ เป็นนิติบุคคล ย่อมมีฐานะเป็นผู้ควบคุมข้อมูลส่วนบุคคล เนื่องจากสถาบันเทคโนโลยีแห่งเอเชีย โดยศูนย์วิจัยฯ มีอำนาจหน้าที่ตัดสินใจเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลดังกล่าว ตามบทนิยาม ใน[มาตรา 6](https://link.pdpalawbase.com/section/6.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ส่วนการพิจารณาว่ามหาวิทยาลัย เครือข่ายจะมีฐานะเป็นผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคลนั้น จะต้องพิจารณาอำนาจ หน้าที่ในการดำเนินการเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลของมหาวิทยาลัยเครือข่าย ต่าง ๆ ที่ตกลงดำเนินงานหรือทำการศึกษาวิจัยร่วมกับศูนย์วิจัยฯ ก่อนว่า มีอำนาจหน้าที่ตัดสินใจเกี่ยวกับ การเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลในการดำเนินงานหรือการศึกษาวิจัยดังกล่าวหรือไม่ เพียงใด โดยการพิจารณาว่าบุคคลหรือนิติบุคคลใดมี “อำนาจหน้าที่ตัดสินใจ” จะต้องนำข้อเท็จจริงทั้งหมดที่เกี่ยวข้อง กับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล มาพิจารณาร่วมกันว่า บุคคลหรือนิติบุคคลนั้นมีอำนาจ หน้าที่ในการกำหนดวัตถุประสงค์ (purposes) และวิธีการ (means) ในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูล ส่วนบุคคลในกรณีดังกล่าวหรือไม่ เพียงใด หากในความเป็นจริงนิติบุคคลหนึ่งมีอำนาจหน้าที่ตัดสินใจเกี่ยวกับ การเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล นิติบุคคลนั้นย่อมถือเป็นผู้ควบคุมข้อมูลส่วนบุคคล แม้สัญญาจะระบุไว้เป็นอย่างอื่น เช่น ระบุว่านิติบุคคลดังกล่าวเป็นผู้ประมวลผลข้อมูลส่วนบุคคล ก็ตาม ซึ่งจะต้องพิจารณาจากข้อเท็จจริงเป็นรายกรณีหรือรายวัตถุประสงค์หรือกิจกรรมการประมวลผลข้อมูล ส่วนบุคคล โดยนิติบุคคลที่มีอำนาจหน้าที่ตัดสินใจเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล ควรหมายความถึงหน่วยงานที่มีอิทธิพลอย่างมีนัยสำคัญ (decisive influence) ต่อการกำหนดวัตถุประสงค์ (purposes) และวิธีการ (means) ในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลนั้น โดยในบริบท ของการศึกษาวิจัยและการให้บริการทางวิชาการให้กับศูนย์วิจัยฯ นั้น หากมหาวิทยาลัยดังกล่าวยังคงมีเสรีภาพ ทางวิชาการ (academic freedom) โดยมีสิทธิตัดสินใจในการนำข้อมูลที่เก็บรวบรวมมาไปทำการศึกษาวิจัย ของตนเองหรือร่วมกับผู้อื่นได้ ย่อมแสดงว่ามหาวิทยาลัยมีอำนาจหน้าที่ตัดสินใจในวัตถุประสงค์ (purposes) ในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล ในทำนองเดียวกัน หากมหาวิทยาลัยนั้นมีหน้าที่ต้อง พิจารณาการดำเนินการให้เป็นไปตามมาตรฐานทางจริยธรรมสำหรับการศึกษาวิจัย (research ethics) ของตนเองด้วย ย่อมแสดงว่ามหาวิทยาลัยมีอำนาจหน้าที่ตัดสินใจในวิธีการ (means) ที่สำคัญในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล เช่น การออกแบบการศึกษาวิจัยหรือระเบียบวิธีวิจัย (study design and research methodology) การกำหนดว่าข้อมูลใดจำเป็นต้องเก็บรวบรวมเพิ่มเติมเพื่อตอบโจทย์ของ การศึกษาวิจัย การกำหนดแนวทางและกระบวนการเก็บรวบรวมข้อมูล การเลือกเทคนิคหรือวิธีการวิเคราะห์ ข้อมูลทางสถิติหรือเครื่องมือที่ใช้ในการศึกษาวิจัย การกำหนดแนวทางและมาตรการรักษาความมั่นคงปลอดภัย ที่เหมาะสม หรือการพิจารณาระยะเวลาการเก็บรักษาหรือเงื่อนไขในการลบหรือทำลายข้อมูล ในกรณีเช่นนี้ มหาวิทยาลัยดังกล่าวย่อมมีฐานะเป็นผู้ควบคุมข้อมูลส่วนบุคคลตามความหมายและเจตนารมณ์ใน[มาตรา 6](https://link.pdpalawbase.com/section/6.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ซึ่งสถาบันเทคโนโลยีแห่งเอเชีย โดยศูนย์วิจัยฯ และมหาวิทยาลัยเครือข่ายหรือหน่วยงานที่เกี่ยวข้อง อาจพิจารณาจัดให้มีข้อตกลงการแบ่งปันข้อมูลส่วนบุคคล (data sharing agreement) เพื่อกำหนดวัตถุประสงค์ วิธีการ เงื่อนไข และหน้าที่ความรับผิดชอบของผู้ควบคุม ข้อมูลส่วนบุคคลแต่ละฝ่ายในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล ไม่ว่าจะเป็นการส่งและรับ ข้อมูลที่เป็นเอกสารหรือโดยวิธีการทางอิเล็กทรอนิกส์ก็ตาม อันจะเป็นการรักษาความมั่นคงปลอดภัยของข้อมูล ส่วนบุคคลที่จะเปิดเผยระหว่างกัน และควบคุมดูแลให้การเก็บรวบรวม ใช้ และเปิดเผยข้อมูลส่วนบุคคลระหว่าง กันสอดคล้องกับพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 รวมทั้งยังเป็นมาตรการเพื่อป้องกันมิให้ หน่วยงานที่ได้รับข้อมูลส่วนบุคคลใช้หรือเปิดเผยข้อมูลส่วนบุคคลเพื่อวัตถุประสงค์อื่นนอกเหนือจากวัตถุประสงค์ ที่ได้แจ้งไว้ในการขอรับข้อมูลส่วนบุคคลนั้นตาม[มาตรา 27](https://link.pdpalawbase.com/section/27.md) วรรคสอง หรือเพื่อป้องกันมิให้หน่วยงานดังกล่าว ใช้หรือเปิดเผยข้อมูลส่วนบุคคลโดยปราศจากอำนาจหรือโดยมิชอบตาม[มาตรา 37](https://link.pdpalawbase.com/section/37.md) (2) อีกด้วย โดยข้อตกลง การแบ่งปันข้อมูลส่วนบุคคล (data sharing agreement) ดังกล่าวถือเป็นมาตรการเชิงองค์กร (organizational measures) อย่างหนึ่ง อันเป็นส่วนหนึ่งของมาตรการรักษาความมั่นคงปลอดภัยตามข้อ 4 (2) ของประกาศ คณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง มาตรการรักษาความมั่นคงปลอดภัยของข้อมูลส่วนบุคคล พ.ศ. 2565 ที่จะต้องประกอบด้วยมาตรการเชิงองค์กร (organizational measures) และมาตรการเชิงเทคนิค (technical measures) ที่เหมาะสม ซึ่งอาจรวมถึงมาตรการทางกายภาพ (physical measures) ที่จำเป็นด้วย โดยคำนึงถึงระดับความเสี่ยงตามลักษณะและวัตถุประสงค์ของการเก็บรวบรวม ใช้ และเปิดเผยข้อมูลส่วนบุคคล ตลอดจนโอกาสเกิดและผลกระทบจากเหตุการละเมิดข้อมูลส่วนบุคคล แต่หากเป็นกรณีที่มหาวิทยาลัยเครือข่ายดังกล่าวดำเนินการเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลเพื่อวัตถุประสงค์ตามที่หารือตามคำสั่งหรือในนามของศูนย์วิจัยฯ โดยไม่มีอำนาจ หน้าที่ตัดสินใจในการกำหนดวัตถุประสงค์ (purposes) และวิธีการ (means) ในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล นอกเหนือจากที่ศูนย์วิจัยฯ กำหนดหรือมีคำสั่งให้ดำเนินการ ก็ย่อมถือได้ว่า มหาวิทยาลัยเหล่านั้นมีฐานะเป็นผู้ประมวลผลข้อมูลส่วนบุคคลตามมาตรา 6 แห่งพระราชบัญญัติคุ้มครอง ข้อมูลส่วนบุคคล พ.ศ. 2562 ซึ่งในกรณีนี้ สถาบันเทคโนโลยีแห่งเอเชีย โดยศูนย์วิจัยฯ ในฐานะผู้ควบคุมข้อมูล ส่วนบุคคล จะต้องจัดให้มีข้อตกลงการประมวลผลข้อมูลส่วนบุคคล (data processing agreement) กับมหาวิทยาลัยเครือข่ายดังกล่าว ในฐานะผู้ประมวลผลข้อมูลส่วนบุคคล เพื่อควบคุมการดำเนินงานตามหน้าที่ ของผู้ประมวลผลข้อมูลส่วนบุคคลให้เป็นไปตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ตาม[มาตรา 40](https://link.pdpalawbase.com/section/40.md) วรรคสาม แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 โดยจะต้องมีเนื้อหา ที่กำหนดให้ผู้ประมวลผลข้อมูลส่วนบุคคลจัดให้มีมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสม เพื่อป้องกัน การสูญหาย เข้าถึง ใช้ เปลี่ยนแปลง แก้ไข หรือเปิดเผยข้อมูลส่วนบุคคลโดยปราศจากอำนาจหรือโดยมิชอบ และมาตรการรักษาความมั่นคงปลอดภัยดังกล่าว จะต้องเป็นไปตามมาตรฐานขั้นต่ำตามข้อ 4 ของประกาศ คณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง มาตรการรักษาความมั่นคงปลอดภัยของข้อมูลส่วนบุคคล พ.ศ. 2565 โดยคำนึงถึงระดับความเสี่ยงตามลักษณะและวัตถุประสงค์ของการเก็บรวบรวม ใช้ และเปิดเผย ข้อมูลส่วนบุคคล ตลอดจนโอกาสเกิดและผลกระทบจากเหตุการละเมิดข้อมูลส่วนบุคคล รวมทั้งจะต้องระบุให้ ผู้ประมวลผลข้อมูลส่วนบุคคลมีหน้าที่แจ้งเหตุการละเมิดข้อมูลส่วนบุคคลแก่ผู้ควบคุมข้อมูลส่วนบุคคล โดยไม่ชักช้าภายใน 72 ชั่วโมงนับแต่ผู้ประมวลผลข้อมูลส่วนบุคคลทราบเหตุเท่าที่จะสามารถกระทำได้

ทั้งนี้ ตามข้อ 6 ของประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง มาตรการรักษาความมั่นคงปลอดภัย ของข้อมูลส่วนบุคคล พ.ศ. 2565 และข้อ 8 ของประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง หลักเกณฑ์และวิธีการในการแจ้งเหตุการละเมิดข้อมูลส่วนบุคคล พ.ศ. 2565

ประเด็นข้อหารือที่ 1.3 การดำเนินการที่มหาวิทยาลัยเครือข่ายได้ดำเนินการไป ถือเป็น การดำเนินการแทนศูนย์วิจัยฯ

ดังนั้น การจัดส่งข้อมูลระหว่างมหาวิทยาลัยเครือข่ายและศูนย์วิจัยฯ ไม่จำเป็นต้องได้รับความยินยอมจากผู้ขับขี่ เพียงแต่ศูนย์วิจัยฯ มีหน้าที่ต้องจัดทำหนังสือแจ้งการประมวลผล ข้อมูล เพื่อให้ผู้ขับขี่สามารถทราบรายละเอียดเกี่ยวกับโครงการนี้ได้ ตามที่กำหนดใน[มาตรา 23](https://link.pdpalawbase.com/section/23.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ใช่หรือไม่ สำหรับการเก็บรวบรวมข้อมูลส่วนบุคคลจากเจ้าของข้อมูลส่วนบุคคลโดยตรง ในกรณีที่ ทั้งศูนย์วิจัยฯ และมหาวิทยาลัยเครือข่ายต่างฝ่ายต่างมีฐานะเป็นผู้ควบคุมข้อมูลส่วนบุคคลที่มีอำนาจหน้าที่ ตัดสินใจเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล ผู้ควบคุมข้อมูลส่วนบุคคลฝ่ายที่ เก็บรวบรวมข้อมูลส่วนบุคคลจากเจ้าของข้อมูลส่วนบุคคลโดยตรงมีหน้าที่แจ้งให้เจ้าของข้อมูลส่วนบุคคลทราบ วัตถุประสงค์และรายละเอียดในการเก็บรวบรวมข้อมูลส่วนบุคคล (privacy notice) ตาม[มาตรา 23](https://link.pdpalawbase.com/section/23.md) แห่ง พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562

ทั้งนี้ โดยจะต้องระบุประเภทของบุคคลหรือหน่วยงาน ซึ่งข้อมูลส่วนบุคคลที่เก็บรวบรวมอาจจะถูกเปิดเผย ตาม[มาตรา 23](https://link.pdpalawbase.com/section/23.md) (4) ให้ครอบคลุมการเปิดเผยให้แก่ ศูนย์วิจัยฯ และ/หรือมหาวิทยาลัยเครือข่ายอื่นด้วย ส่วนในกรณีที่มหาวิทยาลัยเครือข่ายดังกล่าวดำเนินการ เกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลตามคำสั่งหรือในนามของศูนย์วิจัยฯ โดยอยู่ในฐานะ ผู้ประมวลผลข้อมูลส่วนบุคคลของสถาบันเทคโนโลยีแห่งเอเชีย (โดยศูนย์วิจัยฯ) ในฐานะผู้ควบคุมข้อมูล ส่วนบุคคล หน้าที่ในการแจ้งให้เจ้าของข้อมูลส่วนบุคคลทราบวัตถุประสงค์และรายละเอียดในการเก็บรวบรวม ข้อมูลส่วนบุคคล (privacy notice) ตาม[มาตรา 23](https://link.pdpalawbase.com/section/23.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ย่อมเป็นของสถาบันเทคโนโลยีแห่งเอเชีย (โดยศูนย์วิจัยฯ) ในฐานะผู้ควบคุมข้อมูลส่วนบุคคล เว้นแต่ศูนย์วิจัยฯ จะเห็นสมควรให้มหาวิทยาลัยเครือข่ายเหล่านั้นทำหน้าที่แจ้งวัตถุประสงค์และรายละเอียดดังกล่าวให้เจ้าของ ข้อมูลส่วนบุคคลทราบตามคำสั่งหรือในนามของตน เช่น เพื่อความสะดวกและคล่องตัวในทางปฏิบัติเนื่องจาก มหาวิทยาลัยเครือข่ายเป็นผู้ติดต่อเพื่อเก็บรวบรวมข้อมูลส่วนบุคคลจากเจ้าของข้อมูลส่วนบุคคลแทนศูนย์วิจัยฯ ทั้งสองฝ่ายก็อาจตกลงกันได้ตามที่เห็นเหมาะสม โดยถือเป็นการทำหน้าที่ตามคำสั่งหรือในนามของศูนย์วิจัยฯ โดยวัตถุประสงค์และรายละเอียดดังกล่าวจะต้องมีเนื้อหาเกี่ยวกับการเก็บรวบรวมข้อมูลส่วนบุคคล ของศูนย์วิจัยฯ เป็นสำคัญ แต่ในกรณีที่เป็นการเก็บรวบรวมข้อมูลส่วนบุคคลจากแหล่งอื่นที่ไม่ใช่จากเจ้าของข้อมูล ส่วนบุคคลโดยตรง และเป็นกรณีที่ได้รับยกเว้นไม่ต้องขอความยินยอมตาม[มาตรา 24](https://link.pdpalawbase.com/section/24.md) หรือ[มาตรา 26](https://link.pdpalawbase.com/section/26.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ไม่ว่ามหาวิทยาลัยเครือข่ายที่เก็บรวบรวมข้อมูล ส่วนบุคคลให้กับศูนย์วิจัยฯ จะอยู่ในฐานะผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคลก็ตาม ผู้ควบคุมข้อมูลส่วนบุคคลสำหรับการเก็บรวบรวมข้อมูลส่วนบุคคลจากแหล่งอื่นดังกล่าวไม่มีหน้าที่ในการแจ้ง วัตถุประสงค์และรายละเอียดในการเก็บรวบรวมข้อมูลส่วนบุคคล (privacy notice) ดังกล่าวให้เจ้าของข้อมูล ส่วนบุคคลทราบก่อนหรือในขณะเก็บรวบรวมข้อมูลส่วนบุคคลตาม[มาตรา 23](https://link.pdpalawbase.com/section/23.md)

ทั้งนี้ ตามนัย[มาตรา 25](https://link.pdpalawbase.com/section/25.md) วรรคหนึ่งและวรรคสอง ประกอบ[มาตรา 21](https://link.pdpalawbase.com/section/21.md) วรรคสอง (2) แห่งพระราชบัญญัติดังกล่าว

อย่างไรก็ตาม ศูนย์วิจัยฯ และ/หรือมหาวิทยาลัยเครือข่าย ควรประสานงานกับหน่วยงานที่เกี่ยวข้อง เช่น สถานีตำรวจ หรือสถานพยาบาล ซึ่งเป็นแหล่งข้อมูลของข้อมูลส่วนบุคคลที่จะเปิดเผยให้กับมหาวิทยาลัยเครือข่าย และ/หรือ ศูนย์วิจัยฯ ดังกล่าว ให้พิจารณาแจ้งรายละเอียด เช่น วัตถุประสงค์ของการเก็บรวบรวมเพื่อเปิดเผยให้กับ มหาวิทยาลัยหรือหน่วยงานภายนอกเพื่อการศึกษาวิจัยหรือสถิติ ตาม[มาตรา 23](https://link.pdpalawbase.com/section/23.md) (1) และประเภทของบุคคล หรือหน่วยงานซึ่งข้อมูลส่วนบุคคลที่เก็บรวบรวมอาจจะถูกเปิดเผยตาม[มาตรา 23](https://link.pdpalawbase.com/section/23.md) (4) ให้เจ้าของข้อมูล ส่วนบุคคลทราบก่อนหรือในขณะเก็บรวบรวมในการแจ้งรายละเอียดตาม[มาตรา 23](https://link.pdpalawbase.com/section/23.md) (privacy notice) หรือมีการแจ้งวัตถุประสงค์ใหม่ที่แตกต่างไปจากวัตถุประสงค์ที่ได้แจ้งไว้เดิมให้เจ้าของข้อมูลส่วนบุคคลทราบ (re-notice) ด้วย เท่าที่จะสามารถกระทำได้ ตามหลักความเป็นธรรม (fairness) และความโปร่งใส (transparency) ต่อเจ้าของข้อมูลส่วนบุคคล และหลักภาระรับผิดชอบและสามารถตรวจสอบได้ (accountability) ของผู้ควบคุมข้อมูลส่วนบุคคลในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล

ประเด็นข้อหารือที่ 1.4 ด้วยศูนย์วิจัยฯ ไม่ได้เป็นผู้จัดเก็บข้อมูลจากเจ้าของข้อมูลส่วนบุคคล โดยตรง และอาจไม่มีรายละเอียดติดต่อเจ้าของข้อมูลส่วนบุคคลในบางกรณี ทำให้อาจไม่สามารถจัดส่งหนังสือ แจ้งการประมวลผลต่อเจ้าของข้อมูลส่วนบุคคลได้ ศูนย์วิจัยฯ จึงขอหารือว่า ศูนย์วิจัยฯ สามารถจัดทำหนังสือ แจ้งการประมวลผลโดยประกาศผ่านเว็บไซต์ของศูนย์วิจัยฯ ที่บุคคลทั่วไปสามารถเข้าถึงได้ แทนการจัดส่ง หนังสือแจ้งการประมวลผลที่อาจไม่ครอบคลุมเจ้าของข้อมูลส่วนบุคคลทั้งหมด ได้หรือไม่ ตามที่คณะอนุกรรมการตอบข้อหารือฯ ได้ให้ความเห็นไว้แล้วในประเด็นข้อหารือที่ 1.3 ว่า ในกรณีที่เป็นการเก็บรวบรวมข้อมูลส่วนบุคคลจากแหล่งอื่นที่ไม่ใช่จากเจ้าของข้อมูลส่วนบุคคลโดยตรง และเป็นกรณีที่ได้รับยกเว้นไม่ต้องขอความยินยอมตาม[มาตรา 24](https://link.pdpalawbase.com/section/24.md) หรือ[มาตรา 26](https://link.pdpalawbase.com/section/26.md) แห่งพระราชบัญญัติ คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ศูนย์วิจัยฯ ไม่มีหน้าที่ในการแจ้งวัตถุประสงค์และรายละเอียด ในการเก็บรวบรวมข้อมูลส่วนบุคคล (privacy notice) ดังกล่าวให้เจ้าของข้อมูลส่วนบุคคลทราบก่อน หรือในขณะเก็บรวบรวมข้อมูลส่วนบุคคลตาม[มาตรา 23](https://link.pdpalawbase.com/section/23.md) จึงไม่จำเป็นต้องให้ความเห็นในประเด็นนี้

อย่างไรก็ตาม

คณะอนุกรรมการตอบข้อหารือฯ มีข้อสังเกตเพิ่มเติมว่า เมื่อคำนึงถึง หลักความเป็นธรรม (fairness) และความโปร่งใส (transparency) ต่อเจ้าของข้อมูลส่วนบุคคล และหลักภาระ รับผิดชอบและสามารถตรวจสอบได้ (accountability) ของผู้ควบคุมข้อมูลส่วนบุคคลในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล แม้ศูนย์วิจัยฯ จะไม่มีหน้าที่ตามกฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคล โดยตรงในการแจ้งวัตถุประสงค์และรายละเอียดในการเก็บรวบรวมข้อมูลส่วนบุคคล (privacy notice) ให้เจ้าของข้อมูลส่วนบุคคลทราบ แต่หากศูนย์วิจัยฯ เห็นสมควรเพื่อประโยชน์ต่อเจ้าของข้อมูลส่วนบุคคล และสามารถกระทำได้ ศูนย์วิจัยฯ ย่อมสามารถแจ้งวัตถุประสงค์และรายละเอียดดังกล่าวให้เจ้าของข้อมูล ส่วนบุคคลทราบได้ โดยพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ไม่ได้กำหนดหลักเกณฑ์ หรือวิธีการสำหรับการแจ้งวัตถุประสงค์และรายละเอียดในการเก็บรวบรวมข้อมูลส่วนบุคคล (privacy notice) ไว้เป็นการเฉพาะ แต่คณะกรรมการคุ้มครองข้อมูลส่วนบุคคลได้กำหนดแนวทางการดำเนินการในการแจ้ง วัตถุประสงค์และรายละเอียดในการเก็บรวบรวมข้อมูลส่วนบุคคลจากเจ้าของข้อมูลส่วนบุคคลตาม พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ไว้ โดยแนวทางการดำเนินการดังกล่าวระบุว่า การแจ้ง วัตถุประสงค์และรายละเอียดดังกล่าว ต้องกระทำโดยชัดแจ้ง โดยอาจทำได้หลายวิธี เช่น การแจ้งเป็นหนังสือ การแจ้งทางวาจา การแจ้งทางข้อความในรูปแบบ SMS, อีเมล, MMS หรือทางโทรศัพท์หรือโดยวิธีการทาง อิเล็กทรอนิกส์อื่นใด (เช่น การระบุรายละเอียดใน URL หรือ QR code) เป็นต้น

ดังนั้น ศูนย์วิจัยฯ จึงอาจ พิจารณาแจ้งวัตถุประสงค์และรายละเอียดดังกล่าวผ่านช่องทางที่เห็นว่าเจ้าของข้อมูลส่วนบุคคลสามารถเข้าถึง และรับทราบได้ เช่น เว็บไซต์ของศูนย์วิจัยฯ และ/หรือมหาวิทยาลัยเครือข่ายที่เก็บรวบรวมข้อมูลส่วนบุคคล หรือช่องทางอื่นได้ตามที่เห็นสมควร

ประเด็นข้อหารือที่ 2 แนวทางการจัดทำข้อมูลนิรนาม

ประเด็นข้อหารือที่ 2.1 การจัดทำข้อมูลนิรนามสำหรับภาพถ่ายและวิดีโอ หากศูนย์วิจัยฯ ดำเนินการลบข้อมูลที่มีตัวระบุทางตรง (direct identifiers) เช่น ชื่อ หมายเลขทะเบียนรถ ภาพถ่ายผู้ขับขี่ และการดำเนินการพรางข้อมูลใด ๆ ที่อาจสื่อถึงเจ้าของข้อมูลส่วนบุคคล เช่น อายุ วันที่เกิดเหตุ หรือตำแหน่ง ที่เกิดเหตุ ที่อาจปรากฏในภาพถ่ายหรือวิดีโอดังกล่าว จะสามารถทำให้ข้อมูลดังกล่าวไม่ถือเป็นข้อมูลส่วนบุคคล ได้หรือไม่ ตามที่ได้ให้ความเห็นไว้แล้วในประเด็นข้อหารือที่ 1.1 เมื่อพิจารณาจากบทนิยามของคำว่า “ข้อมูลส่วนบุคคล” ตาม[มาตรา 6](https://link.pdpalawbase.com/section/6.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ประกอบข้อ 6 (1) และ (2) ของประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง หลักเกณฑ์ในการลบหรือทำลาย หรือทำให้ข้อมูลส่วนบุคคลเป็นข้อมูลที่ไม่สามารถระบุตัวบุคคลที่เป็นเจ้าของข้อมูลส่วนบุคคลได้ พ.ศ. 2567 แล้ว จะเห็นว่า การทำให้ข้อมูลส่วนบุคคลเป็นข้อมูลที่ไม่สามารถระบุตัวบุคคลที่เป็นเจ้าของข้อมูลส่วนบุคคลได้ หรือการทำให้เป็นข้อมูลนิรนาม (anonymization) นั้น ประกอบด้วยกระบวนการอย่างน้อย 2 ส่วน คือ 1) กระบวนการ de-identification ซึ่งจะทำให้ข้อมูลดังกล่าวไม่สามารถระบุตัวบุคคลที่เป็นเจ้าของข้อมูลส่วนบุคคล ได้ทางตรง โดยการลบหรือทำให้ปราศจากข้อมูลใด ๆ ที่เป็นตัวระบุทางตรง (direct identifiers) ของเจ้าของ ข้อมูลส่วนบุคคลในข้อมูลส่วนบุคคลดังกล่าว 2) กระบวนการพิจารณาดำเนินการเพิ่มเติมเพื่อให้แน่ใจว่าข้อมูล ดังกล่าวเป็นข้อมูลที่ไม่สามารถระบุตัวบุคคลที่เป็นเจ้าของข้อมูลส่วนบุคคลได้ทางอ้อม โดยมีโอกาสในการระบุ ตัวบุคคลที่เป็นเจ้าของข้อมูลส่วนบุคคลได้ในระดับที่ต่ำเพียงพอ โดยอาจพิจารณาจากข้อมูลอื่น ๆ ที่ยังคงเหลืออยู่ รวมถึงข้อมูลอื่นที่ศูนย์วิจัยฯ สามารถเข้าถึงและอาจนำมาเชื่อมโยงกับข้อมูลดังกล่าวได้ ว่ายังคงมีโอกาสในการระบุ ตัวบุคคลที่เป็นเจ้าของข้อมูลส่วนบุคคลด้วยวิธีการหนึ่งวิธีการใด หรือยังสามารถทำให้ข้อมูลนั้นย้อนกลับมา สามารถระบุตัวบุคคลที่เป็นเจ้าของข้อมูลส่วนบุคคลได้ (re-identification) ได้หรือไม่ เพียงใด โดยอาจพิจารณา ทำการแฝงข้อมูล (pseudonymization) หรือดำเนินการอย่างหนึ่งอย่างใดต่อข้อมูลทั้งหมดหรือบางส่วน เพื่อลดโอกาสในการระบุตัวบุคคลที่เป็นเจ้าของข้อมูลส่วนบุคคลจากข้อมูลที่เป็นตัวระบุทางอ้อม (indirect identifiers) เช่น วันเดือนปีเกิด อายุ ตำแหน่งงาน สังกัด วันเดือนปีที่เกิดเหตุ ที่อยู่ หรือข้อมูลอื่นใด ที่มีลักษณะคล้ายกัน ให้อยู่ในระดับที่ต่ำเพียงพอ มาตรฐานสำนักงานพัฒนารัฐบาลดิจิทัล (องค์การมหาชน) ว่าด้วยแนวทางการจัดทำข้อมูล นิรนาม เวอร์ชัน 1.0 (เลขที่ มสพร. 14-2567) ซึ่งกำหนดโดยประกาศสำนักงานพัฒนารัฐบาลดิจิทัล (องค์การมหาชน) ที่ ม 5/2567 เรื่อง มาตรฐานสำนักงานพัฒนารัฐบาลดิจิทัล (องค์การมหาชน) ว่าด้วย แนวทางการจัดทำข้อมูลนิรนาม ลงวันที่ 23 กันยายน 2567 เพื่อยึดถือเป็นแนวทางปฏิบัติภายในของ สำนักงานพัฒนารัฐบาลดิจิทัล (องค์การมหาชน) และเป็นข้อเสนอแนะสำหรับหน่วยงานของรัฐ ได้ยกตัวอย่าง วิธีการจัดทำข้อมูลนิรนาม ซึ่งสอดคล้องกับการดำเนินการตามข้อ 6 ของประกาศคณะกรรมการคุ้มครองข้อมูล ส่วนบุคคล เรื่อง หลักเกณฑ์ในการลบหรือทำลาย หรือทำให้ข้อมูลส่วนบุคคลเป็นข้อมูลที่ไม่สามารถระบุ ตัวบุคคลที่เป็นเจ้าของข้อมูลส่วนบุคคลได้ พ.ศ. 2567 ไว้หลายวิธี เช่น
1. การลบข้อมูล (suppression) คือ การลบข้อมูลบางส่วนออกจากชุดข้อมูล เช่น การลบ คุณลักษณะของข้อมูลเป็นรายคอลัมน์ (attribute suppression) หรือการลบข้อมูลเป็นรายแถวหรือรายรายการ (record suppression)
2. การปิดทับลักษณะข้อมูล (character masking) คือ การปกปิด ปิดบัง หรือพรางข้อมูล ด้วยการเปลี่ยนส่วนใดส่วนหนึ่งของข้อมูล เช่น การใช้สัญลักษณ์ (เช่น * หรือ x) แทนที่ตัวอักษรหรือตัวเลข บางหลัก เป็นต้น
3. การแฝงข้อมูล (pseudonymization) คือ การแทนที่ตัวระบุทางตรง (direct identifier) ของเจ้าของข้อมูลส่วนบุคคล ด้วยชื่อหรือรหัสที่สร้างขึ้นมา หรือด้วยวิธีการใดวิธีการหนึ่ง เช่น การเข้ารหัส ข้อมูล (encryption) การแฮชข้อมูล (hashing) หรือการแบ่งแยกข้อมูลเป็นส่วน ๆ (tokenization) เป็นต้น
4. การทำให้ข้อมูลเป็นสามัญ (generalization) คือ การลดความละเอียดของข้อมูลที่อาจ ระบุตัวบุคคลได้ เช่น การแปลงอายุของบุคคลเป็นช่วงอายุหรือกลุ่มอายุ
5. การสลับข้อมูล (swapping, shuffling, or permutation) คือ การสลับสับเปลี่ยนข้อมูล เป็นชุดข้อมูลใหม่เพื่อไม่ให้ตรงกับข้อมูลเริ่มต้น
6. การรบกวนข้อมูล (data perturbation) คือ การเปลี่ยนแปลงข้อมูลให้แตกต่างจากข้อมูล เดิมเล็กน้อย เพื่อทำให้ความแม่นยำของข้อมูลลดลงและลดโอกาสในการระบุตัวบุคคลทางอ้อม เช่น การใส่สัญญาณรบกวนแบบสุ่ม (random noise) เข้าไปในค่าตัวเลข (เช่น อายุ) ของข้อมูลเดิม
7. การรวมข้อมูล (data aggregation) คือ การแปลงข้อมูลให้อยู่ในรูปแบบผลรวม ค่าเฉลี่ย หรือข้อมูลที่สรุปในภาพรวม

ทั้งนี้ การดำเนินการดังกล่าวข้างต้นเป็นเพียงตัวอย่างวิธีการที่อาจนำไปสู่ข้อมูลที่ไม่สามารถ ระบุตัวบุคคลที่เป็นเจ้าของข้อมูลส่วนบุคคลได้ หรือข้อมูลนิรนาม (anonymous data) ได้ แต่การดำเนินการ ดังกล่าวที่จะทำให้ข้อมูลส่วนบุคคลกลายเป็นข้อมูลนิรนามอย่างแท้จริง จะต้องมีการลบหรือทำให้ปราศจาก ข้อมูลใด ๆ ที่เป็นตัวระบุทางตรง (direct identifiers) ของเจ้าของข้อมูลส่วนบุคคลในข้อมูลส่วนบุคคลดังกล่าว (de-identification) ร่วมกับการพิจารณาดำเนินการเพื่อให้เกิดความมั่นใจว่าข้อมูลดังกล่าวไม่สามารถระบุ ตัวบุคคลที่เป็นเจ้าของข้อมูลส่วนบุคคลได้ทางอ้อมจากข้อมูลที่เป็นตัวระบุทางอ้อม (indirect identifiers) และไม่สามารถทำให้ย้อนกลับมาสามารถระบุตัวบุคคลที่เป็นเจ้าของข้อมูลส่วนบุคคลได้ (re-identification) อีกต่อไป โดยมีโอกาสในการระบุตัวบุคคลที่เป็นเจ้าของข้อมูลส่วนบุคคลได้ในระดับที่ต่ำเพียงพอด้วย ซึ่งวิธีการจัดทำข้อมูลนิรนามดังกล่าวข้างต้นอาจเป็นตัวอย่างแนวทางการดำเนินการที่ผู้ควบคุมข้อมูล ส่วนบุคคลพิจารณานำไปปรับใช้ได้ แต่ผู้ควบคุมข้อมูลส่วนบุคคลมีหน้าที่พิจารณาให้แน่ใจว่าการดำเนินการ ดังกล่าวสอดคล้องกับหลักเกณฑ์ในข้อ 6 ของประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง หลักเกณฑ์ในการลบหรือทำลาย หรือทำให้ข้อมูลส่วนบุคคลเป็นข้อมูลที่ไม่สามารถระบุตัวบุคคล ที่เป็นเจ้าของข้อมูลส่วนบุคคลได้ พ.ศ. 2567 ด้วย

ดังนั้น เมื่อศูนย์วิจัยฯ ได้ดำเนินการลบข้อมูลที่เป็นตัวระบุทางตรง (direct identifiers) เช่น ชื่อ หมายเลขทะเบียนรถ ภาพถ่ายผู้ขับขี่ ในขั้นตอน de-identification ตามข้อ 6 (1) ของประกาศข้างต้นแล้ว และได้ดำเนินการพรางข้อมูลใด ๆ ที่อาจสื่อถึงเจ้าของข้อมูลส่วนบุคคล เช่น อายุ วันที่เกิดเหตุ หรือตำแหน่ง ที่เกิดเหตุ ที่อาจปรากฏในภาพถ่ายหรือวิดีโอดังกล่าว อันเป็นส่วนหนึ่งของขั้นตอนตามข้อ 6 (2) ของประกาศ เดียวกันแล้ว ศูนย์วิจัยฯ จึงมีหน้าที่พิจารณาเพิ่มเติมว่า ข้อมูลภายหลังการดำเนินการดังกล่าว เป็นข้อมูล ที่ไม่สามารถระบุตัวบุคคลที่เป็นเจ้าของข้อมูลส่วนบุคคลได้ทางอ้อม โดยมีโอกาสในการระบุตัวบุคคลที่เป็น เจ้าของข้อมูลส่วนบุคคลได้ในระดับที่ต่ำเพียงพอ แล้วหรือไม่ หากยังสามารถระบุตัวบุคคลที่เป็นเจ้าของข้อมูล ส่วนบุคคลได้ โดยมีโอกาสในการระบุตัวบุคคลที่เป็นเจ้าของข้อมูลส่วนบุคคลได้ในระดับที่ไม่ต่ำเพียงพอ และไม่ใช่ข้อมูลของผู้ถึงแก่กรรมโดยเฉพาะ ข้อมูลดังกล่าวก็ยังเป็นข้อมูลส่วนบุคคลตามพระราชบัญญัติ คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 แต่หากไม่สามารถระบุตัวบุคคลที่เป็นเจ้าของข้อมูลส่วนบุคคลดังกล่าว ได้ โดยมีโอกาสในการระบุตัวบุคคลที่เป็นเจ้าของข้อมูลส่วนบุคคลได้ในระดับที่ต่ำเพียงพอ ก็จะไม่ใช่ข้อมูล ส่วนบุคคลตามพระราชบัญญัติดังกล่าว และถือเป็นข้อมูลนิรนาม (anonymous data)

ประเด็นข้อหารือที่ 2.2 ผลของการจัดทำข้อมูลนิรนาม หากข้อมูลที่ถูกจัดทำเป็นข้อมูล นิรนามแล้ว ศูนย์วิจัยฯ สามารถใช้ข้อมูลดังกล่าวโดยไม่ต้องคำนึงถึงเงื่อนไขตามพระราชบัญญัติคุ้มครองข้อมูล ส่วนบุคคล พ.ศ. 2562 เพราะถือว่าข้อมูลดังกล่าวสิ้นสถานะความเป็นข้อมูลส่วนบุคคลแล้ว ใช่หรือไม่ หากใช่แล้ว จะรวมถึงกรณีที่ศูนย์วิจัยฯ จัดเก็บข้อมูลดิบที่ได้รับจากมหาวิทยาลัยเครือข่ายเพื่อใช้ประกอบ การอ้างอิงภายใน โดยไม่มีข้อมูลที่มีตัวระบุทางตรง (direct identifiers) ตามแนวทางการศึกษาวิจัยทั่วไปได้หรือไม่ ตามที่ได้ให้ความเห็นไว้แล้วในประเด็นข้อหารือที่ 1.1 หากข้อมูลที่เก็บรวบรวมเป็นข้อมูล ของผู้ถึงแก่กรรมโดยเฉพาะ หรือเป็นข้อมูลที่ไม่สามารถระบุตัวบุคคลได้ ไม่ว่าทางตรงหรือทางอ้อม (ข้อมูลนิรนาม) ก็ย่อมไม่ใช่ข้อมูลส่วนบุคคล การเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลดังกล่าวย่อมไม่อยู่ ภายใต้บังคับของพระราชบัญญัตินี้

อย่างไรก็ตาม การเก็บรวบรวมข้อมูลที่จะถือว่าไม่ใช่ข้อมูลส่วนบุคคล จึงไม่อยู่ภายใต้บังคับของพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 นั้น จะต้องเป็นกรณีที่ข้อมูล ดังกล่าวเป็นข้อมูลที่ไม่สามารถระบุตัวบุคคลได้ ไม่ว่าทางตรงหรือทางอ้อม (เป็นข้อมูลนิรนาม) ในขั้นตอน การเก็บรวบรวมข้อมูลดังกล่าวตั้งแต่ต้น หรือเป็นกรณีการเก็บรวบรวมข้อมูลของผู้ถึงแก่กรรมโดยเฉพาะเท่านั้น แต่หากเป็นกรณีที่ผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคลได้เก็บรวบรวมข้อมูลซึ่งทำให้ สามารถระบุตัวบุคคลได้ ไม่ว่าทางตรงหรือทางอ้อม แล้วจึงนำมาดำเนินการใด ๆ เพื่อทำให้ข้อมูลส่วนบุคคล ดังกล่าวกลายเป็นข้อมูลที่ไม่สามารถระบุตัวบุคคลที่เป็นเจ้าของข้อมูลส่วนบุคคลได้ (ข้อมูลนิรนาม) ในภายหลัง ย่อมจะเห็นได้ว่า มีการเก็บรวบรวมข้อมูลส่วนบุคคลมาก่อน แล้วจึงทำให้ข้อมูลส่วนบุคคลดังกล่าวกลายเป็น ข้อมูลนิรนามที่ไม่ถือเป็นข้อมูลส่วนบุคคลในเวลาต่อมา

ดังนั้น ข้อมูลส่วนบุคคลซึ่งเป็นข้อมูลดิบที่มี การเก็บรวบรวมก่อนที่จะทำให้เป็นข้อมูลนิรนามในภายหลัง จึงอยู่ภายใต้บังคับของพระราชบัญญัติคุ้มครอง ข้อมูลส่วนบุคคล พ.ศ. 2562

ทั้งนี้ แม้ข้อมูลดังกล่าวจะไม่มีข้อมูลใด ๆ ที่เป็นตัวระบุทางตรง (direct identifiers) แต่ข้อมูลดังกล่าวก็ยังอาจสามารถทำให้ย้อนกลับมาสามารถระบุตัวบุคคลที่เป็นเจ้าของข้อมูล ส่วนบุคคลได้ (re-identification) หากยังมีโอกาสในการระบุตัวบุคคลที่เป็นเจ้าของข้อมูลส่วนบุคคลได้ ในระดับที่ไม่ต่ำเพียงพอ อันจะถือเป็นข้อมูลที่สามารถระบุตัวบุคคลที่เป็นเจ้าของข้อมูลส่วนบุคคลได้ทางอ้อม

ดังนั้น การเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลดังกล่าวจะต้องเป็นไปตามพระราชบัญญัติคุ้มครองข้อมูล ส่วนบุคคล พ.ศ. 2562 เช่นเดียวกัน

ประเด็นข้อหารือที่ 2.3 หากหน่วยงานภายนอกเป็นผู้ว่าจ้างผู้ให้ผู้บริการจัดทำข้อมูล ผลการศึกษาของศูนย์วิจัยฯ เป็นข้อมูลนิรนาม ก่อนจัดส่งให้แก่หน่วยงานดังกล่าว เป็นกิจกรรมที่สามารถอ้างอิง ฐานประโยชน์โดยชอบด้วยกฎหมายในการดำเนินการดังกล่าว โดยไม่ต้องได้รับความยินยอมจากเจ้าของข้อมูล ส่วนบุคคลได้หรือไม่ หากศูนย์วิจัยฯ ได้จัดทำผลการศึกษาวิจัย ที่ไม่ปรากฏข้อมูลส่วนบุคคลที่ทำให้สามารถระบุ ตัวบุคคลได้ ไม่ว่าทางตรงหรือทางอ้อมแล้ว ศูนย์วิจัยฯ และหน่วยงานที่เกี่ยวข้อง ก็ไม่ต้องปฏิบัติตามพระราชบัญญัติ คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ในส่วนที่เกี่ยวกับผลการศึกษาวิจัยดังกล่าว แต่ในกรณีที่ผลการศึกษาวิจัย ดังกล่าว ปรากฏข้อมูลเกี่ยวกับบุคคลที่อาจทำให้สามารถระบุตัวบุคคลได้ทางตรงหรือทางอ้อม เช่น ข้อมูล เกี่ยวกับสถานที่หรือพฤติการณ์ของเหตุการณ์ ซึ่งอาจทำให้สามารถคาดเดาตัวบุคคลที่เกี่ยวข้องได้ทางอ้อม ศูนย์วิจัยฯ ก็สามารถพิจารณาฐานทางกฎหมายในการเปิดเผยข้อมูลดังกล่าวตาม[มาตรา 24](https://link.pdpalawbase.com/section/24.md) หรือ[มาตรา 26](https://link.pdpalawbase.com/section/26.md) แล้วแต่กรณี ประกอบ[มาตรา 27](https://link.pdpalawbase.com/section/27.md) วรรคหนึ่ง แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ตามที่ได้ให้ความเห็นไว้แล้วในประเด็นข้อหารือที่ 1.1 และในกรณีที่จะพิจารณาว่าเป็นกรณีที่เป็นการจำเป็น เพื่อประโยชน์โดยชอบด้วยกฎหมายของศูนย์วิจัยฯ หรือของบุคคลหรือนิติบุคคลอื่น ตาม[มาตรา 24](https://link.pdpalawbase.com/section/24.md) (5) ประกอบ[มาตรา 27](https://link.pdpalawbase.com/section/27.md) วรรคหนึ่ง หรือไม่ ก็สามารถทำการประเมินประโยชน์โดยชอบด้วยกฎหมาย (Legitimate Interest Assessment: LIA) ได้ต่อไป

## เอกสารต้นฉบับ

- [PDF ต้นฉบับ (local)](../../raw/opinions/opinion-3-2569.pdf)
- [ที่มา: pdpc.or.th](https://www.pdpc.or.th/wp-content/uploads/2026/02/consultation-66.pdf)

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/opinion/3-2569.md

============================================================
โนด: ข้อหารือ 4/2566
ลิงก์อ้างอิง: https://link.pdpalawbase.com/opinion/4-2566.md

# ข้อหารือที่ 4/2566 เรื่อง ธนาคาร ข. ขอหารือวิธีปฏิบัติเกี่ยวกับการเพิกถอนความยินยอมตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562

## ข้อกฎหมาย

1. พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 — [มาตรา 19](https://link.pdpalawbase.com/section/19.md) วรรคห้า และวรรคหก

## ข้อหารือ

ธนาคาร ข. ขอหารือเกี่ยวกับการปฏิบัติตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 เกี่ยวกับการถอนความยินยอมในการประมวลผลข้อมูลส่วนบุคคลจากลูกค้าผ่านเครื่อง SUMO เครื่อง Virtual Teller Machine (VTM) และผ่านระบบ Mobile Banking ซึ่งลูกค้าสามารถเปลี่ยนแปลงความยินยอมจาก "ยินยอม" เป็น "ไม่ยินยอม" ด้วยตนเอง ถือเป็นการถอนความยินยอมได้หรือไม่ หรือต้องมีช่องทางหรือเมนูให้ลูกค้าเพิกถอนความยินยอมเพิ่มเติมหรือไม่

## ความเห็น

คณะกรรมการคุ้มครองข้อมูลส่วนบุคคล โดยคณะอนุกรรมการเฉพาะกิจตอบข้อหารือและให้คำแนะนำหน่วยงานของรัฐเพื่อรองรับการบังคับใช้พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ได้พิจารณาข้อหารือแล้ว เห็นว่า

1. [มาตรา 19](https://link.pdpalawbase.com/section/19.md) วรรคห้าและวรรคหก แห่ง PDPA ได้กำหนดว่าเจ้าของข้อมูลส่วนบุคคลจะถอนความยินยอมเสียเมื่อใดก็ได้ โดยจะต้องถอนความยินยอมได้ง่ายเช่นเดียวกับการให้ความยินยอม เว้นแต่มีข้อจำกัดสิทธิในการถอนความยินยอมโดยกฎหมายหรือสัญญาที่ให้ประโยชน์แก่เจ้าของข้อมูลส่วนบุคคล ทั้งนี้ การถอนความยินยอมย่อมไม่ส่งผลกระทบต่อการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลที่เจ้าของข้อมูลส่วนบุคคลได้ให้ความยินยอมไปแล้วโดยชอบตามที่กำหนดไว้ในหมวดนี้ ในกรณีที่การถอนความยินยอมส่งผลกระทบต่อเจ้าของข้อมูลส่วนบุคคลในเรื่องใด ผู้ควบคุมข้อมูลส่วนบุคคลต้องแจ้งให้เจ้าของข้อมูลส่วนบุคคลทราบถึงผลกระทบจากการถอนความยินยอมนั้น

2. กรณีนี้หากธนาคาร ข. ได้แจ้งในประกาศความเป็นส่วนตัว (Privacy Notice) ให้เจ้าของข้อมูลส่วนบุคคลทราบอย่างชัดแจ้งว่าการที่ลูกค้าผู้ใช้บริการได้กดปุ่ม "ไม่ยินยอม" ผ่านระบบ SUMO (เครื่อง Virtual Teller Machine (VTM)) และผ่านระบบ Mobile Banking ซึ่งเป็นการกดปุ่มหลังจากที่ทำการกดปุ่มให้ความยินยอมมาแล้ว ให้ถือว่าเป็นการถอนความยินยอมจากการให้บริการ แม้กระบวนการถอนความยินยอมไม่ได้จัดทำเป็นกรณีเฉพาะก็ถือเป็นการถอนความยินยอมตามกฎหมายแล้ว ทั้งนี้ ธนาคารฯ ควรจัดให้มีระบบตรวจสอบย้อนกลับ (trace back) ของการให้ความยินยอมและการถอนความยินยอม และควรแจ้งผลหรือแสดงสถานะการถอนความยินยอมให้เจ้าของข้อมูลส่วนบุคคลทราบด้วย

## เอกสารต้นฉบับ

- [PDF ต้นฉบับ (local)](../../raw/opinions/opinion-4-2566.pdf)
- [ที่มา: pdpc.or.th](https://www.pdpc.or.th/wp-content/uploads/2024/02/PDPC-consultation-04.pdf)

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/opinion/4-2566.md

============================================================
โนด: ข้อหารือ 4/2567
ลิงก์อ้างอิง: https://link.pdpalawbase.com/opinion/4-2567.md

# ข้อหารือที่ 4/2567 เรื่อง สถานีตำรวจ F ขอหารือกรณีผู้ใช้ Facebook ได้โพสต์รูปภาพและข้อความ

## ข้อกฎหมาย

1. พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 — [มาตรา 4](https://link.pdpalawbase.com/section/4.md) (1), [มาตรา 5](https://link.pdpalawbase.com/section/5.md), [มาตรา 6](https://link.pdpalawbase.com/section/6.md), [มาตรา 19](https://link.pdpalawbase.com/section/19.md), [มาตรา 20](https://link.pdpalawbase.com/section/20.md), [มาตรา 23](https://link.pdpalawbase.com/section/23.md), [มาตรา 24](https://link.pdpalawbase.com/section/24.md), [มาตรา 26](https://link.pdpalawbase.com/section/26.md), [มาตรา 28](https://link.pdpalawbase.com/section/28.md), [มาตรา 29](https://link.pdpalawbase.com/section/29.md), [มาตรา 30](https://link.pdpalawbase.com/section/30.md), [มาตรา 31](https://link.pdpalawbase.com/section/31.md), [มาตรา 32](https://link.pdpalawbase.com/section/32.md), [มาตรา 33](https://link.pdpalawbase.com/section/33.md), [มาตรา 34](https://link.pdpalawbase.com/section/34.md), [มาตรา 35](https://link.pdpalawbase.com/section/35.md), [มาตรา 36](https://link.pdpalawbase.com/section/36.md), [มาตรา 37](https://link.pdpalawbase.com/section/37.md) และ [มาตรา 41](https://link.pdpalawbase.com/section/41.md)
2. พระราชบัญญัติว่าด้วยการกระทำความผิดเกี่ยวกับคอมพิวเตอร์ พ.ศ. 2550 และที่แก้ไขเพิ่มเติม
3. ประมวลกฎหมายอาญา — มาตรา 326 และมาตรา 328
4. ประมวลกฎหมายแพ่งและพาณิชย์ — มาตรา 420

## ข้อหารือ

สถานีตำรวจ F แจ้งว่า มีผู้แจ้งความว่าผู้ใช้ Facebook โพสต์ภาพผู้เสียหาย + ข้อความดูหมิ่น เกลียดชัง · พนักงานสอบสวนได้รับหนังสือจากสำนักงานอัยการ C ให้ตรวจสอบ:
1. รูปโปรไฟล์ของผู้ต้องหาที่ได้โพสต์ภาพและข้อความ มีสัญลักษณ์ใต้โพสต์เป็นรูปโลก+คน — เป็นการทำให้สาธารณชนพบเห็นได้ทั่วไป หรือเฉพาะกลุ่ม
2. ผู้ต้องหาเป็นผู้ควบคุมข้อมูลส่วนบุคคลตาม [มาตรา 6](https://link.pdpalawbase.com/section/6.md) หรือไม่ อธิบายโดยละเอียด

## ความเห็น

ตาม [มาตรา 6](https://link.pdpalawbase.com/section/6.md) "ข้อมูลส่วนบุคคล" หมายความว่า ข้อมูลเกี่ยวกับบุคคลธรรมดาซึ่งทำให้สามารถระบุตัวบุคคลนั้นได้ไม่ว่าทางตรงหรือทางอ้อม · **ภาพหรือข้อความเกี่ยวกับบุคคลที่โพสต์บน Facebook ที่สามารถระบุตัวบุคคลได้ ถือเป็นข้อมูลส่วนบุคคลตามพระราชบัญญัตินี้**

สำหรับการโพสต์ภาพผู้เสียหายบน Facebook จะอยู่ภายใต้บังคับ PDPA และมีความผิดหรือไม่ — [มาตรา 5](https://link.pdpalawbase.com/section/5.md) วรรคหนึ่งกำหนดว่า PDPA ใช้บังคับแก่การเก็บ/ใช้/เปิดเผยข้อมูลส่วนบุคคลโดยผู้ควบคุมข้อมูล · [มาตรา 6](https://link.pdpalawbase.com/section/6.md) กำหนดว่า "ผู้ควบคุมข้อมูลส่วนบุคคล" = บุคคลหรือนิติบุคคลซึ่งมีอำนาจหน้าที่ตัดสินใจเกี่ยวกับการเก็บ/ใช้/เปิดเผยข้อมูล

เมื่อพิจารณาบทบัญญัติแห่งกฎหมายที่กำหนดหน้าที่และความรับผิดชอบไว้หลายประการ (ฐานทางกฎหมายตาม [มาตรา 24](https://link.pdpalawbase.com/section/24.md)/[มาตรา 26](https://link.pdpalawbase.com/section/26.md), privacy notice ตาม [มาตรา 23](https://link.pdpalawbase.com/section/23.md), ส่งข้อมูลข้ามชาติตาม [มาตรา 28](https://link.pdpalawbase.com/section/28.md)/[มาตรา 29](https://link.pdpalawbase.com/section/29.md), มาตรการความมั่นคงตาม [มาตรา 37](https://link.pdpalawbase.com/section/37.md), คำขอใช้สิทธิเจ้าของข้อมูลตาม [มาตรา 30](https://link.pdpalawbase.com/section/30.md)–[มาตรา 36](https://link.pdpalawbase.com/section/36.md), DPO ตาม [มาตรา 41](https://link.pdpalawbase.com/section/41.md)) — **เห็นได้ว่าบทบัญญัติและเจตนารมณ์แห่งกฎหมายมุ่งประสงค์จะใช้บังคับแก่บุคคลธรรมดาหรือนิติบุคคลที่มีการเก็บ/ใช้/เปิดเผยข้อมูลส่วนบุคคลอย่างเป็นระบบหรือเป็นประจำสม่ำเสมอเพื่อวัตถุประสงค์อย่างใดอย่างหนึ่งขององค์กรหรือของบุคคลนั้น**

ประกอบกับ **[มาตรา 4](https://link.pdpalawbase.com/section/4.md) (1) ได้กำหนดข้อยกเว้นไม่ให้นำ PDPA ไปใช้บังคับแก่การเก็บ/ใช้/เปิดเผยข้อมูลของบุคคลที่ทำการเก็บรวบรวมข้อมูลส่วนบุคคลเพื่อประโยชน์ส่วนตนหรือเพื่อกิจกรรมในครอบครัวของบุคคลนั้นเท่านั้น** (household exception)

ดังนั้น สถานีตำรวจ F ต้องพิจารณาว่าการกระทำของผู้ต้องหา (บุคคลธรรมดา) เป็นการเก็บ/ใช้/เปิดเผยข้อมูลส่วนบุคคล**เพื่อประโยชน์ส่วนตนหรือเพื่อกิจกรรมในครอบครัว**หรือไม่ · หากพิจารณาแล้วเห็นว่า การกระทำมีวัตถุประสงค์เพื่อประโยชน์ส่วนตน โดย**ไม่มีลักษณะเป็นการเก็บ/ใช้/เปิดเผยข้อมูลอย่างเป็นระบบหรือเป็นประจำสม่ำเสมอ**เพื่อวัตถุประสงค์อย่างใดอย่างหนึ่งของบุคคลนั้นในฐานะผู้ควบคุมข้อมูล — **ย่อมไม่อยู่ในขอบเขตการบังคับใช้ PDPA ตาม [มาตรา 4](https://link.pdpalawbase.com/section/4.md) (1)**

อย่างไรก็ดี หากการกระทำของผู้ต้องหามีลักษณะเป็นการละเมิดสิทธิในความเป็นส่วนตัวของบุคคลอื่นเกินสมควร หรือเข้าองค์ประกอบความผิดตามกฎหมายอื่นใด ผู้กระทำอาจมีความรับผิดตามกฎหมายเหล่านั้น เช่น **พ.ร.บ. ว่าด้วยการกระทำความผิดเกี่ยวกับคอมพิวเตอร์ พ.ศ. 2550** หรือ**ประมวลกฎหมายอาญา ในความผิดฐานหมิ่นประมาทหรือหมิ่นประมาทโดยการโฆษณา** หรือ**การทำละเมิดตามมาตรา 420 ป.พ.พ.**

**ประเด็นข้อ 1** เกี่ยวกับสัญลักษณ์ public/private ของโพสต์ Facebook — **ไม่ใช่กรณีที่เกี่ยวกับการบังคับใช้ PDPA โดยตรง** · พนักงานสอบสวนควรพิจารณาตามข้อเท็จจริงที่เกี่ยวข้อง

## เอกสารต้นฉบับ

- [PDF ต้นฉบับ (local)](../../raw/opinions/opinion-4-2567.pdf)
- [ที่มา: pdpc.or.th](https://www.pdpc.or.th/wp-content/uploads/2024/06/PDPC-consultation-33.pdf)

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/opinion/4-2567.md

============================================================
โนด: ข้อหารือ 4/2568
ลิงก์อ้างอิง: https://link.pdpalawbase.com/opinion/4-2568.md

# ข้อหารือที่ 4/2568 เรื่อง บริษัท Z หารือการขอถอนความยินยอมของลูกค้าในระบบแอปพลิเคชัน ตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562

## ข้อกฎหมาย

_(ไม่ปรากฏหัวข้อข้อกฎหมายในเอกสารต้นฉบับ — ฐานทางกฎหมายที่อ้างถึงใน "ความเห็น" ประกอบด้วย [มาตรา 16](https://link.pdpalawbase.com/section/16.md) (3), [มาตรา 19](https://link.pdpalawbase.com/section/19.md) วรรคสาม/วรรคสี่/วรรคห้า, [มาตรา 20](https://link.pdpalawbase.com/section/20.md) วรรคหนึ่ง/วรรคสี่, [มาตรา 23](https://link.pdpalawbase.com/section/23.md), [มาตรา 30](https://link.pdpalawbase.com/section/30.md) และ [มาตรา 33](https://link.pdpalawbase.com/section/33.md) แห่ง PDPA + ประมวลกฎหมายแพ่งและพาณิชย์ มาตรา 22/23/24/27 (เกณฑ์ความสามารถของผู้เยาว์))_

## ข้อหารือ

_(ไม่ปรากฏหัวข้อข้อหารือในเอกสารต้นฉบับ — ประเด็นที่หารือคือ แนวทางการดำเนินการเมื่อลูกค้าซึ่งเป็นเจ้าของข้อมูลส่วนบุคคลขอถอนความยินยอมในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลผ่านระบบแอปพลิเคชันของบริษัท Z รวมถึงกรอบระยะเวลาในการดำเนินการ และกรณีที่ผู้ใช้บริการเป็นผู้เยาว์)_

## ความเห็น

คณะอนุกรรมการตอบข้อหารือและให้คำแนะนำในการปฏิบัติตามกฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคล ในคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล ได้พิจารณาเรื่องหารือดังกล่าวแล้ว เห็นว่า บริษัท Z ในฐานะผู้ควบคุมข้อมูลส่วนบุคคลซึ่งมีอำนาจหน้าที่ตัดสินใจเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล มีหน้าที่ดำเนินการให้เป็นไปตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ซึ่ง [มาตรา 19](https://link.pdpalawbase.com/section/19.md) วรรคสี่ แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 กำหนดว่า ในการขอความยินยอมจากเจ้าของข้อมูลส่วนบุคคล ผู้ควบคุมข้อมูลส่วนบุคคลต้องคำนึงอย่างถึงที่สุดในความเป็นอิสระของเจ้าของข้อมูลส่วนบุคคลในการให้ความยินยอม และ [มาตรา 19](https://link.pdpalawbase.com/section/19.md) วรรคห้า กำหนดให้เจ้าของข้อมูลส่วนบุคคลต้องสามารถถอนความยินยอมเสียเมื่อใดก็ได้โดยจะต้องถอนความยินยอมได้ง่ายเช่นเดียวกับการให้ความยินยอม เว้นแต่มีข้อจำกัดสิทธิในการถอนความยินยอมโดยกฎหมายหรือสัญญาที่ให้ประโยชน์แก่เจ้าของข้อมูลส่วนบุคคล นอกจากนี้ แนวทางการดำเนินการในการขอความยินยอมจากเจ้าของข้อมูลส่วนบุคคลตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ที่คณะกรรมการคุ้มครองข้อมูลส่วนบุคคลกำหนดตาม [มาตรา 16](https://link.pdpalawbase.com/section/16.md) (3) กำหนดว่า ผู้ควบคุมข้อมูลส่วนบุคคลต้องแสดงรายละเอียดวิธีการ เงื่อนไข หรือแบบฟอร์มในการถอนความยินยอมให้เด่นชัด (prominent) ในบริเวณที่เห็นได้ชัดเจนในการขอความยินยอมไม่ว่าในรูปแบบหนังสือหรืออิเล็กทรอนิกส์ ในกรณีที่ผู้ควบคุมข้อมูลส่วนบุคคลขอความยินยอมจากเจ้าของข้อมูลส่วนบุคคลและเจ้าของข้อมูลส่วนบุคคลแสดงเจตนาโดยให้ความยินยอมด้วยวิธีการทางอิเล็กทรอนิกส์ เช่น การใช้เมาส์คลิกกดให้ความยินยอม การสไลด์หน้าจอ หรือการวาด key stroke เพื่อให้ความยินยอม การถอนความยินยอมก็ต้องใช้วิธีการแบบเดียวกันหรือระดับเดียวกันได้โดยง่าย หรือเป็นวิธีการอื่นใดที่เจ้าของข้อมูลส่วนบุคคลสามารถเข้าถึงได้โดยง่ายเช่นเดียวกับการขอความยินยอม ทั้งนี้ การถอนความยินยอมจะต้องไม่เป็นการสร้างภาระ ค่าใช้จ่าย หรือขั้นตอนให้กับเจ้าของข้อมูลส่วนบุคคลมากกว่าการให้ความยินยอม และไม่มีผลทำให้การให้บริการด้อยประสิทธิภาพลง หลักการที่กำหนดให้การถอนความยินยอมจะต้องสามารถทำได้ง่ายเช่นเดียวกับการให้ความยินยอม มีขึ้นเพื่อป้องกันมิให้ผู้ควบคุมข้อมูลส่วนบุคคลสร้างอุปสรรค (barrier) ที่ทำให้การถอนความยินยอมมีความยากลำบากหรือต้องใช้ความพยายามมากขึ้นเมื่อเทียบกับการให้ความยินยอม ซึ่งจะเป็นการสร้างภาระแก่เจ้าของข้อมูลส่วนบุคคลอย่างไม่เหมาะสม และอาจสะท้อนเจตนาของผู้ควบคุมข้อมูลส่วนบุคคลที่ไม่ประสงค์จะให้เจ้าของข้อมูลส่วนบุคคลถอนความยินยอม อันจะขัดกับหลักการที่ต้องคำนึงอย่างถึงที่สุดในความเป็นอิสระของเจ้าของข้อมูลส่วนบุคคลในการให้ความยินยอม (“Consent must be freely given.”) ซึ่งรวมถึงสิทธิในการถอนความยินยอมด้วย

ดังนั้น เมื่อเจ้าของข้อมูลส่วนบุคคลขอถอนความยินยอมในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลของตนผ่านทางแอปพลิเคชัน โดยวิธีการที่ง่ายเช่นเดียวกับการให้ความยินยอมแล้ว บริษัท Z ต้องหยุดการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลนั้นโดยไม่ชักช้า (without undue delay) หรือโดยเร็วที่สุดเท่าที่จะเป็นไปได้ในทางเทคนิคและทางปฏิบัติ โดยคณะอนุกรรมการตอบข้อหารือฯ มีข้อสังเกตว่า ระยะเวลาในการดำเนินการตามการถอนความยินยอมของเจ้าของข้อมูลส่วนบุคคลนั้น แตกต่างจากระยะเวลาในการตอบสนองต่อคำขอใช้สิทธิอื่น ๆ ของเจ้าของข้อมูลส่วนบุคคล เช่น สิทธิในการขอเข้าถึงและขอรับสำเนาข้อมูลส่วนบุคคลที่เกี่ยวกับตน (Right of Access) ตาม [มาตรา 30](https://link.pdpalawbase.com/section/30.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 หรือสิทธิในการขอให้ดำเนินการลบหรือทำลาย หรือทำให้ข้อมูลส่วนบุคคลเป็นข้อมูลที่ไม่สามารถระบุตัวบุคคลที่เป็นเจ้าของข้อมูลส่วนบุคคลได้ (Right to Erasure) ตาม [มาตรา 33](https://link.pdpalawbase.com/section/33.md) ซึ่งมีกรอบระยะเวลาในการดำเนินการตอบสนองต่อคำขอใช้สิทธิดังกล่าว 30 วัน หรือมากกว่า แต่สำหรับการถอนความยินยอม การหยุดหรือระงับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลจะถูกคาดหวังให้เกิดขึ้นเร็วกว่าค่อนข้างมาก เนื่องจากผู้ควบคุมข้อมูลส่วนบุคคลจะไม่มีฐานทางกฎหมาย (lawful basis) ในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลดังกล่าวอีกต่อไป และมีหน้าที่ในการลบหรือทำลายข้อมูลส่วนบุคคลที่เจ้าของข้อมูลส่วนบุคคลได้ถอนความยินยอม (เว้นแต่เป็นกรณีที่ได้รับยกเว้นตามที่พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 กำหนด) โดยเฉพาะอย่างยิ่งเมื่อการถอนความยินยอมนั้นกระทำผ่านช่องทางดิจิทัล เช่น ผ่านแอปพลิเคชัน ซึ่งระบบควรถูกออกแบบมาให้รองรับการเปลี่ยนแปลงเงื่อนไขการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล ตามสถานะความยินยอมของผู้ใช้งานได้โดยอัตโนมัติในทันที บริษัท Z จึงควรออกแบบระบบให้รองรับการถอนความยินยอมที่มีผลโดยอัตโนมัติเมื่อผู้ใช้งานกดปุ่มหรือแสดงเจตนาถอนความยินยอมในแอปพลิเคชัน ประกอบกับระบบดังกล่าวควรสามารถปรับปรุงสถานะและหยุดการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลที่เกี่ยวข้องได้ทันทีหากทำได้ พร้อมทั้งแจ้งยืนยันการถอนความยินยอมเพื่อให้เจ้าของข้อมูลส่วนบุคคลมั่นใจว่าการดำเนินการเสร็จสมบูรณ์แล้ว

อย่างไรก็ตาม ในกรณีที่ระบบไม่สามารถดำเนินการให้การถอนความยินยอมมีผลได้โดยอัตโนมัติในทันทีด้วยเหตุผลทางเทคนิคหรือทางปฏิบัติที่มิอาจหลีกเลี่ยงได้ บริษัท Z ควรแจ้งเงื่อนไขและระยะเวลาที่เหมาะสมในการดำเนินการจนกว่าการถอนความยินยอมจะมีผลให้เจ้าของข้อมูลส่วนบุคคลทราบโดยชัดแจ้งในขั้นตอนการถอนความยินยอม ซึ่งการกำหนดระยะเวลาดังกล่าวจะต้องคำนึงถึงหลักความเป็นธรรมและความโปร่งใส และไม่ควรใช้ระยะเวลานานกว่าขั้นตอนที่บริษัทใช้เพื่อทำให้การให้ความยินยอมมีผลใช้บังคับ นอกจากนี้ บริษัท Z ควรระบุระยะเวลาโดยสังเขปในการดำเนินการตามการถอนความยินยอมให้ผู้ใช้บริการซึ่งเป็นเจ้าของข้อมูลส่วนบุคคลทราบ เป็นข้อมูลประกอบในการแจ้งรายละเอียดในการเก็บรวบรวมข้อมูลส่วนบุคคลให้เจ้าของข้อมูลส่วนบุคคลทราบก่อนหรือในขณะเก็บรวบรวมข้อมูลส่วนบุคคล (privacy notice) ตาม [มาตรา 23](https://link.pdpalawbase.com/section/23.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 และในการแจ้งวัตถุประสงค์ของการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลในขั้นตอนการขอความยินยอมจากเจ้าของข้อมูลส่วนบุคคล ตาม [มาตรา 19](https://link.pdpalawbase.com/section/19.md) วรรคสามด้วย เพื่อความเป็นธรรมและความโปร่งใสแก่เจ้าของข้อมูลส่วนบุคคล เนื่องจากข้อมูลดังกล่าวอาจมีความสำคัญกับการตัดสินใจให้ความยินยอมหรือการใช้สิทธิอื่นของเจ้าของข้อมูลส่วนบุคคล บริษัท Z จึงควรพิจารณากำหนดระยะเวลาที่เหมาะสมจากกระบวนการดำเนินการตามระบบที่เกี่ยวข้องโดยระบุระยะเวลาที่คาดหมายว่าจะดำเนินการให้การถอนความยินยอมมีผลเสร็จสมบูรณ์ตามกระบวนการได้ และอาจพิจารณาระบุระยะเวลาที่เร็วที่สุดและล่าช้าที่สุดที่อาจเป็นไปได้ในการดำเนินการดังกล่าวด้วยก็ได้ โดยระยะเวลาดังกล่าวจะต้องสะท้อนการดำเนินการที่ไม่ชักช้า (without undue delay) และมีความรวดเร็วตามสมควรด้วย

ในกรณีที่ผู้ใช้บริการเป็นผู้เยาว์ซึ่งยังไม่บรรลุนิติภาวะโดยการสมรสหรือไม่มีฐานะเสมือนดังบุคคลซึ่งบรรลุนิติภาวะแล้วตามมาตรา 27 แห่งประมวลกฎหมายแพ่งและพาณิชย์ บริษัท Z จะต้องพิจารณาว่า กรณีดังกล่าวเป็นกรณีที่ผู้เยาว์อาจให้ความยินยอมโดยลำพังได้ตามที่บัญญัติไว้ในมาตรา 22 มาตรา 23 หรือมาตรา 24 แห่งประมวลกฎหมายแพ่งและพาณิชย์หรือไม่ หรือเป็นกรณีที่ผู้เยาว์ไม่อาจให้ความยินยอมโดยลำพังได้และจะต้องได้รับความยินยอมจากผู้ใช้อำนาจปกครองที่มีอำนาจกระทำการแทนผู้เยาว์ด้วย หรือเป็นกรณีที่ผู้เยาว์มีอายุไม่เกิน 10 ปี ซึ่งจะต้องขอความยินยอมจากผู้ใช้อำนาจปกครองที่มีอำนาจกระทำการแทนผู้เยาว์แทน ตามนัย [มาตรา 20](https://link.pdpalawbase.com/section/20.md) วรรคหนึ่ง แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 เนื่องจาก [มาตรา 20](https://link.pdpalawbase.com/section/20.md) วรรคสี่ กำหนดให้นำเงื่อนไขการขอความยินยอมจากเจ้าของข้อมูลส่วนบุคคล ในกรณีที่เจ้าของข้อมูลส่วนบุคคลเป็นผู้เยาว์ซึ่งยังไม่บรรลุนิติภาวะโดยการสมรสหรือไม่มีฐานะเสมือนดังบุคคลซึ่งบรรลุนิติภาวะแล้ว มาใช้บังคับกับการถอนความยินยอมของเจ้าของข้อมูลส่วนบุคคล ในกรณีที่เจ้าของข้อมูลส่วนบุคคลเป็นผู้เยาว์โดยอนุโลม ดังนั้น ในการขอความยินยอมและการถอนความยินยอมของผู้ใช้บริการซึ่งเป็นผู้เยาว์ ผู้ควบคุมข้อมูลส่วนบุคคลควรคำนึงถึงความเหมาะสมด้านวุฒิภาวะของผู้เยาว์ในการตัดสินใจเกี่ยวกับผลิตภัณฑ์หรือบริการดังกล่าว ประกอบกับผลกระทบจากการตัดสินใจนั้น โดยพิจารณาดำเนินการเกี่ยวกับการขอความยินยอม หรือการถอนความยินยอมจากผู้ใช้อำนาจปกครองที่มีอำนาจกระทำการแทนผู้เยาว์ให้เหมาะสมและเป็นไปตาม [มาตรา 20](https://link.pdpalawbase.com/section/20.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ด้วย

## เอกสารต้นฉบับ

- [PDF ต้นฉบับ (local)](../../raw/opinions/opinion-4-2568.pdf)
- [ที่มา: pdpc.or.th](https://www.pdpc.or.th/wp-content/uploads/2025/09/PDPCconsultation-53.pdf)

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/opinion/4-2568.md

============================================================
โนด: ข้อหารือ 4/2569
ลิงก์อ้างอิง: https://link.pdpalawbase.com/opinion/4-2569.md

# ข้อหารือที่ 4/2569 เรื่อง สำนักงานปลัดกระทรวงสาธารณสุขขอหารือข้อกฎหมายเกี่ยวกับการจัดทำข้อตกลงการเปิดเผยข้อมูลส่วนบุคคลระหว่างกัน (Data Sharing Agreement)

## ข้อกฎหมาย

1. พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 [มาตรา 3](https://link.pdpalawbase.com/section/3.md) (1) [มาตรา 6](https://link.pdpalawbase.com/section/6.md) [มาตรา 22](https://link.pdpalawbase.com/section/22.md) [มาตรา 23](https://link.pdpalawbase.com/section/23.md) (4) [มาตรา 24](https://link.pdpalawbase.com/section/24.md) (4) และ (6) [มาตรา 25](https://link.pdpalawbase.com/section/25.md) วรรคหนึ่งและวรรคสอง [มาตรา 26](https://link.pdpalawbase.com/section/26.md) (5) (ค) [มาตรา 27](https://link.pdpalawbase.com/section/27.md) วรรคหนึ่งและวรรคสอง [มาตรา 37](https://link.pdpalawbase.com/section/37.md) (1) (2) (3) และ (4) [มาตรา 39](https://link.pdpalawbase.com/section/39.md) [มาตรา 40](https://link.pdpalawbase.com/section/40.md) วรรคหนึ่ง (1) และวรรคสาม [มาตรา 41](https://link.pdpalawbase.com/section/41.md) [มาตรา 42](https://link.pdpalawbase.com/section/42.md) วรรคสอง [มาตรา 79](https://link.pdpalawbase.com/section/79.md) [มาตรา 80](https://link.pdpalawbase.com/section/80.md) และ[มาตรา 81](https://link.pdpalawbase.com/section/81.md)
2. พระราชบัญญัติระเบียบบริหารราชการแผ่นดิน พ.ศ. 2534 และที่แก้ไขเพิ่มเติม มาตรา 7 วรรคหนึ่ง (4) และวรรคสาม และมาตรา 18 วรรคสอง
3. พระราชบัญญัติหลักประกันสุขภาพแห่งชาติ พ.ศ. 2545 มาตรา 24 วรรคหนึ่ง มาตรา 26 มาตรา 45 และมาตรา 46
4. พระราชบัญญัติปรับปรุงกระทรวง ทบวง กรม พ.ศ. 2545 และที่แก้ไขเพิ่มเติม มาตรา 43 (2)
5. พระราชบัญญัติการบริหารงานและการให้บริการภาครัฐผ่านระบบดิจิทัล พ.ศ. 2562 มาตรา 13 มาตรา 14 และมาตรา 16
6. พระราชบัญญัติข้อมูลข่าวสารของราชการ พ.ศ. 2540 มาตรา 4
7. พระราชบัญญัติสุขภาพแห่งชาติ พ.ศ. 2550 และที่แก้ไขเพิ่มเติม มาตรา 7
8. พระราชกฤษฎีกาว่าด้วยหลักเกณฑ์และวิธีการบริหารกิจการบ้านเมืองที่ดี พ.ศ. 2546 และที่แก้ไขเพิ่มเติม มาตรา 27
9. ประมวลกฎหมายอาญา มาตรา 157
10. กฎกระทรวงแบ่งส่วนราชการสำนักงานปลัดกระทรวง กระทรวงสาธารณสุข พ.ศ. 2567
11. ประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง มาตรการรักษาความมั่นคง ปลอดภัยของข้อมูลส่วนบุคคล พ.ศ. 2565 ข้อ 4
12. ประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง หลักเกณฑ์และวิธีการในการแจ้ง เหตุการละเมิดข้อมูลส่วนบุคคล พ.ศ. 2565 ข้อ 3 และข้อ 4
13. ประกาศสำนักงานหลักประกันสุขภาพแห่งชาติ เรื่อง โครงสร้างชุดข้อมูลเพื่อการเรียกเก็บ ค่าใช้จ่ายเพื่อบริการสาธารณสุข (e-Claim) พ.ศ. 2564

## ข้อหารือ

สำนักงานปลัดกระทรวงสาธารณสุขแจ้งว่า สำนักงานปลัดกระทรวงสาธารณสุขและ สำนักงานหลักประกันสุขภาพแห่งชาติ ได้ลงนามในบันทึกความเข้าใจว่าด้วยความร่วมมือการดำเนินการพัฒนา ระบบข้อมูลการเบิกค่าบริการสาธารณสุข ระหว่างกระทรวงสาธารณสุข และสำนักงานหลักประกันสุขภาพ แห่งชาติ เมื่อวันที่ 8 มีนาคม 2567

ทั้งนี้ กระทรวงสาธารณสุขได้พัฒนาระบบศูนย์กลางข้อมูลด้านการเงิน (Financial Data Hub) ให้มีกระบวนการรับ-ส่งข้อมูลตามหลักกฎหมายคุ้มครองข้อมูลส่วนบุคคล (PDPA) โดยชุดข้อมูลที่มีการรับ-ส่ง ประกอบด้วยข้อมูลบริการสุขภาพของผู้ป่วย เช่น ข้อมูลส่วนบุคคล ประวัติการรักษา รายการยาและเวชภัณฑ์ ผลการวินิจฉัยโรค เพื่อนำข้อมูลข้างต้นไปใช้ในการเบิกจ่ายชดเชยค่าบริการทางการแพทย์ ซึ่งถือเป็นข้อมูลอ่อนไหว โดยกระทรวงสาธารณสุขในฐานะผู้ควบคุมข้อมูลส่วนบุคคล (Data Controller) พึงปฏิบัติตามกฎหมายอย่างเคร่งครัดในการเปิดเผยข้อมูลต่อนิติบุคคลอื่น ซึ่งระบบศูนย์กลางข้อมูลด้านการเงิน (Financial Data Hub) ของกระทรวงสาธารณสุข ได้ออกแบบระบบให้มีมาตรการเชิงเทคนิค (Technical measures) เพื่อลดความเสี่ยงการละเมิดของข้อมูลส่วนบุคคลเป็นสำคัญ โดยหน่วยบริการสังกัดกระทรวงสาธารณสุข ทั้งหมดสามารถส่งข้อมูลผ่านระบบดังกล่าวได้เป็นที่เรียบร้อยและพร้อมที่จะรับ-ส่งข้อมูลไปเบิกจ่ายกับกองทุน สุขภาพต่าง ๆ ได้ และเพื่อให้บรรลุวัตถุประสงค์ตามบันทึกความเข้าใจว่าด้วยความร่วมมือกับสำนักงาน หลักประกันสุขภาพแห่งชาติ (สปสช.) จึงถือปฏิบัติตามข้อกฎหมายที่เกี่ยวข้อง ดังนี้
1. พระราชบัญญัติระเบียบบริหารราชการแผ่นดิน พ.ศ. 2534 และที่แก้ไขเพิ่มเติม มาตรา 7 ให้จัดระเบียบบริหารราชการส่วนกลาง (4) กรม หรือส่วนราชการที่เรียกชื่ออย่างอื่น และมีฐานะเป็นกรม ซึ่งสังกัดหรือไม่สังกัดสำนักนายกรัฐมนตรี กระทรวงหรือทบวง ส่วนราชการตาม (1) (2) (3) และ (4) มีฐานะ เป็นนิติบุคคล
2. พระราชบัญญัติหลักประกันสุขภาพแห่งชาติ พ.ศ. 2545 มาตรา 45 ให้หน่วยบริการ มีหน้าที่ ดังต่อไปนี้ (5) จัดทำระบบข้อมูลการให้บริการสาธารณสุข เพื่อสะดวกต่อการตรวจสอบคุณภาพ และบริการ รวมทั้งการขอรับค่าใช้จ่ายเพื่อบริการสาธารณสุข
3. พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 [มาตรา 6](https://link.pdpalawbase.com/section/6.md) ผู้ควบคุมข้อมูลส่วนบุคคล หมายความว่า บุคคลหรือนิติบุคคลซึ่งมีอำนาจหน้าที่ ตัดสินใจเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล [มาตรา 37](https://link.pdpalawbase.com/section/37.md) ผู้ควบคุมข้อมูลส่วนบุคคลมีหน้าที่ ดังต่อไปนี้ (1) จัดให้มีมาตรการรักษา ความมั่นคงปลอดภัยที่เหมาะสม เพื่อป้องกันการสูญหาย เข้าถึง ใช้ เปลี่ยนแปลง แก้ไข หรือเปิดเผยข้อมูล ส่วนบุคคลโดยปราศจากอำนาจหรือโดยมิชอบ และต้องทบทวนมาตรการดังกล่าวเมื่อมีความจำเป็น หรือเมื่อเทคโนโลยีเปลี่ยนแปลงไปเพื่อให้มีประสิทธิภาพในการรักษาความมั่นคงปลอดภัยที่เหมาะสม

ทั้งนี้ ให้เป็นไปตามมาตรฐานขั้นต่ำที่คณะกรรมการประกาศกำหนด
4. พระราชบัญญัติการบริหารงานและการให้บริการภาครัฐผ่านระบบดิจิทัล พ.ศ. 2562 มาตรา 13 เพื่อประโยชน์ในการบริหารราชการแผ่นดินและการให้บริการประชาชน ให้หน่วยงานของรัฐจัดให้มีการเชื่อมโยงและแลกเปลี่ยนข้อมูลดิจิทัลที่มีการจัดทำและครอบครองตามที่ หน่วยงานของรัฐแห่งอื่นร้องขอ ที่จะเกิดการบูรณาการร่วมกัน [มาตรา 14](https://link.pdpalawbase.com/section/14.md) หน่วยงานของรัฐผู้รับข้อมูลดิจิทัลตาม[มาตรา 13](https://link.pdpalawbase.com/section/13.md) ต้องใช้ข้อมูลตาม วัตถุประสงค์ในหน้าที่และอำนาจของตนเท่านั้น และต้องดูแลรักษาข้อมูลให้มีความมั่นคงปลอดภัย ไม่มีการเปิดเผยหรือโอนข้อมูลไปยังบุคคลที่ไม่มีสิทธิเข้าถึงข้อมูล [มาตรา 16](https://link.pdpalawbase.com/section/16.md) ภายใต้บทบัญญัติแห่งกฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคลในกรณีที่ หน่วยงานของรัฐได้มาซึ่งข้อมูลส่วนบุคคลหรือมีข้อมูลส่วนบุคคลอยู่ในความครอบครอง หากหน่วยงานของรัฐ ประสงค์จะใช้ข้อมูลส่วนบุคคลดังกล่าวในรูปแบบข้อมูลดิจิทัลเพื่อประโยชน์ในการบริหารราชการแผ่นดิน หน่วยงานของรัฐนั้นสามารถขอเชื่อมโยงและแลกเปลี่ยนข้อมูลส่วนบุคคลนั้นจากหน่วยงานของรัฐที่ครอบครอง เพื่อนำมาวิเคราะห์หรือประมวลผลได้
5. ประกาศสำนักงานหลักประกันสุขภาพแห่งชาติ เรื่อง โครงสร้างชุดข้อมูลเพื่อการเรียกเก็บ ค่าใช้จ่ายเพื่อบริการสาธารณสุข (e-Claim) พ.ศ. 2564
6. ประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง มาตรการรักษาความมั่นคง ปลอดภัยของผู้ควบคุมข้อมูลส่วนบุคคล พ.ศ. 2565 โดยสำนักงานปลัดกระทรวงสาธารณสุขได้จัดประชุมหารือร่างข้อตกลงการเปิดเผยข้อมูล ส่วนบุคคลระหว่างกัน ระหว่างสำนักงานปลัดกระทรวงสาธารณสุขและสำนักงานหลักประกันสุขภาพแห่งชาติ เมื่อวันที่ 10 กันยายน 2567 สำนักงานปลัดกระทรวงสาธารณสุข จึงขอหารือในประเด็น ดังนี้
1. สำนักงานปลัดกระทรวงสาธารณสุข มีฐานะเป็นนิติบุคคล ตาม[มาตรา 7](https://link.pdpalawbase.com/section/7.md) (4) แห่ง พระราชบัญญัติระเบียบบริหารราชการแผ่นดิน พ.ศ. 2534 และที่แก้ไขเพิ่มเติม โดยมีกฎกระทรวง แบ่งส่วนราชการสำนักงานปลัดกระทรวง กระทรวงสาธารณสุข พ.ศ. 2567 มีอำนาจหน้าที่ตัดสินใจเกี่ยวกับ การเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลในการดำเนินงานตามกฎหมาย จึงถือเป็นผู้ควบคุมข้อมูล ส่วนบุคคล ตาม[มาตรา 6](https://link.pdpalawbase.com/section/6.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ซึ่งหน่วยบริการในสังกัด สำนักงานปลัดกระทรวงสาธารณสุข มีหน้าที่ต้องส่งข้อมูลส่วนบุคคลมายังสำนักงานปลัดกระทรวงสาธารณสุข

ดังนั้น การจัดทำข้อตกลงการเปิดเผยข้อมูลส่วนบุคคลระหว่างกัน (DSA) ระหว่างสำนักงาน ปลัดกระทรวงสาธารณสุข ในฐานะผู้ควบคุมข้อมูลส่วนบุคคล ย่อมมีอำนาจหน้าที่ตัดสินใจเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล ที่ได้รับจากหน่วยบริการในสังกัดสำนักงานปลัดกระทรวงสาธารณสุข และมีการจัดการให้เป็นไปตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 หากสำนักงาน ปลัดกระทรวงสาธารณสุขประสงค์จะจัดทำข้อตกลงการเปิดเผยข้อมูลส่วนบุคคลระหว่างกัน (DSA) ร่วมกับ บุคคลหรือนิติบุคคลอื่นใด ควรมีการพิจารณารายละเอียดเงื่อนไขให้เป็นไปตามพระราชบัญญัติคุ้มครอง ข้อมูลส่วนบุคคล พ.ศ. 2562 ใช่หรือไม่

ทั้งนี้ หากบุคคลหรือนิติบุคคลอื่นใด ไม่มีความประสงค์จะจัดทำ ข้อตกลงการเปิดเผยข้อมูลส่วนบุคคลระหว่างกัน (DSA) ร่วมกับสำนักงานปลัดกระทรวงสาธารณสุข สำนักงาน ปลัดกระทรวงสาธารณสุขจะต้องดำเนินการอย่างไรเพื่อให้มีมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสม สอดคล้องพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ในการดูแลรับผิดชอบต่อหน่วยบริการภายใต้ สังกัดของกระทรวงสาธารณสุข
2. การที่หน่วยบริการในสังกัดสำนักงานปลัดกระทรวงสาธารณสุข ซึ่งไม่มีฐานะเป็นนิติบุคคล และไม่มีอำนาจหน้าที่ตัดสินใจเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล จึงไม่ถือเป็นผู้ควบคุม ข้อมูลส่วนบุคคล ตาม[มาตรา 6](https://link.pdpalawbase.com/section/6.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 นั้น หากบุคคล หรือนิติบุคคลอื่นใด มีความประสงค์ขอแบ่งปันข้อมูลส่วนบุคคล จะต้องมีการแจ้งวัตถุประสงค์ในการขอข้อมูล มาที่สำนักงานปลัดกระทรวงสาธารณสุข ซึ่งเป็นผู้ควบคุมข้อมูลส่วนบุคคล เพื่อตัดสินใจเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลดังกล่าว ใช่หรือไม่ เพื่อให้เป็นไปตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562
3. ในกรณีที่หน่วยบริการในสังกัดสำนักงานปลัดกระทรวงสาธารณสุข ได้ส่งข้อมูลไปยังบุคคล หรือนิติบุคคลอื่นใด โดยที่สำนักงานปลัดกระทรวงสาธารณสุข ในฐานะหน่วยงานกำกับดูแลหน่วยบริการนั้น มีความประสงค์จะจัดทำข้อตกลงการเปิดเผยข้อมูลส่วนบุคคลระหว่างกัน (DSA) ร่วมกับบุคคลหรือนิติบุคคล อื่นใด เพื่อจัดให้มีมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสม แต่บุคคลหรือนิติบุคคลอื่นใดไม่มี ความประสงค์จะจัดทำข้อตกลงการเปิดเผยข้อมูลส่วนบุคคลระหว่างกัน (DSA) ร่วมกับสำนักงานปลัดกระทรวง จากกรณีดังกล่าวหากเกิดการรั่วไหลของข้อมูลส่วนบุคคล หน่วยงานใดบ้างที่ต้องมีความรับผิดทางแพ่ง (การชดใช้ค่าเสียหาย) และความรับผิดทางปกครอง (โทษปรับทางปกครอง) ตามพระราชบัญญัติคุ้มครองข้อมูล ส่วนบุคคล พ.ศ. 2562
4. เพื่อเป็นการส่งเสริมมาตรการเชิงองค์กรให้กับเจ้าหน้าที่ภายใต้การกำกับของหน่วยงาน การดำเนินการของสำนักงานปลัดกระทรวงสาธารณสุขเกี่ยวกับการบริหารจัดการและแลกเปลี่ยนข้อมูล สุขภาพ หากได้มีการปฏิบัติตามกฎหมายที่เกี่ยวข้องอย่างครบถ้วน ทั้งพระราชบัญญัติคุ้มครองข้อมูล ส่วนบุคคล พ.ศ. 2562 และกฎหมายอื่นที่เกี่ยวข้อง จะถือว่าเป็นการดำเนินการที่แสดงถึงความรับผิดชอบ (Accountability) ตามหลักการคุ้มครองข้อมูลส่วนบุคคลและเป็นการปฏิบัติหน้าที่ตามกฎหมายซึ่งไม่เข้าข่าย ความผิดตามมาตรา 157 แห่งประมวลกฎหมายอาญา ว่าด้วยการปฏิบัติหรือละเว้นการปฏิบัติหน้าที่ โดยมิชอบของเจ้าพนักงานหรือไม่ อย่างไร

## ความเห็น

คณะอนุกรรมการตอบข้อหารือและให้คำแนะนำในการปฏิบัติตามกฎหมายว่าด้วยการคุ้มครอง ข้อมูลส่วนบุคคล ในคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล ได้พิจารณาข้อหารือดังกล่าวแล้ว มีความเห็นว่า สำนักงานปลัดกระทรวง กระทรวงสาธารณสุข (สป.สธ.) เป็นส่วนราชการที่สังกัดกระทรวงสาธารณสุข ตามมาตรา 43 (2) แห่งพระราชบัญญัติปรับปรุงกระทรวง ทบวง กรม พ.ศ. 2545 มีฐานะเป็นกรมตาม มาตรา 18 วรรคสอง แห่งพระราชบัญญัติระเบียบบริหารราชการแผ่นดิน พ.ศ. 2534 และมีฐานะเป็น นิติบุคคลตามมาตรา 7 วรรคสาม แห่งพระราชบัญญัติเดียวกัน สำหรับพระราชบัญญัติหลักประกันสุขภาพ แห่งชาติ พ.ศ. 2545 เป็นกฎหมายที่บัญญัติขึ้นเพื่อจัดระบบการให้บริการสาธารณสุขที่จำเป็นต่อสุขภาพและ การดำรงชีวิตให้มีการรักษาพยาบาลที่มีมาตรฐาน โดยมีองค์กรกำกับดูแลซึ่งจะดำเนินการโดยการมีส่วนร่วมกัน ระหว่างภาครัฐและภาคประชาชนเพื่อจัดการให้มีระบบการรักษาพยาบาลที่มีประสิทธิภาพทั้งประเทศ และให้ประชาชนชาวไทยมีสิทธิได้รับการบริการสาธารณสุขที่มีมาตรฐานด้วยกันทุกคน อันเป็นไปตาม บทบัญญัติแห่งรัฐธรรมนูญที่บัญญัติให้ชนชาวไทยย่อมมีสิทธิเสมอกันในการรับบริการสาธารณสุขที่ได้มาตรฐาน และผู้ยากไร้มีสิทธิได้รับการรักษาพยาบาลจากสถานบริการสาธารณสุขของรัฐโดยไม่เสียค่าใช้จ่ายตามที่ กฎหมายบัญญัติ และการให้บริการสาธารณสุขของรัฐต้องเป็นไปอย่างทั่วถึงและมีประสิทธิภาพ โดยจะต้อง ส่งเสริมให้องค์กรปกครองส่วนท้องถิ่นและเอกชนมีส่วนร่วมเท่าที่จะกระทำได้ และรัฐต้องจัดและส่งเสริม การสาธารณสุขให้ประชาชนได้รับบริการที่ได้มาตรฐานและมีประสิทธิภาพอย่างทั่วถึง โดยสถานบริการ สาธารณสุขของรัฐที่สังกัด สป.สธ. ซึ่งเป็นหน่วยบริการตามพระราชบัญญัติหลักประกันสุขภาพแห่งชาติ พ.ศ. 2545 มีหน้าที่ตามมาตรา 45 แห่งพระราชบัญญัติหลักประกันสุขภาพแห่งชาติ พ.ศ. 2545 ในการให้บริการสาธารณสุข รวมทั้งการใช้วัคซีน ยา เวชภัณฑ์ อุปกรณ์ในการรักษาที่ได้มาตรฐานและมีคุณภาพ ให้ข้อมูลการบริการสาธารณสุขของผู้รับบริการตามที่ผู้รับบริการร้องขอและตามประกาศที่มีการกำหนด เกี่ยวกับสิทธิของผู้ป่วยและผู้รับบริการ เพื่อให้ผู้รับบริการตัดสินใจในการเลือกรับบริการหรือถูกส่งต่อ รักษาความลับของผู้รับบริการจากการปฏิบัติหน้าที่ และจัดทำระบบข้อมูลการให้บริการสาธารณสุข เพื่อสะดวกต่อการตรวจสอบคุณภาพและบริการ รวมทั้งการขอรับค่าใช้จ่ายเพื่อบริการสาธารณสุข เป็นต้น โดยในการให้บริการสาธารณสุขแก่ผู้รับบริการและการจัดทำระบบข้อมูลการให้บริการสาธารณสุข ให้หน่วยบริการปฏิบัติตามหลักเกณฑ์ที่คณะกรรมการหลักประกันสุขภาพแห่งชาติและคณะกรรมการควบคุม คุณภาพและมาตรฐานบริการสาธารณสุขกำหนด และหน่วยบริการดังกล่าวมีสิทธิได้รับค่าใช้จ่ายเพื่อบริการ สาธารณสุขจากกองทุนหลักประกันสุขภาพแห่งชาติตามหลักเกณฑ์ วิธีการ และเงื่อนไขที่คณะกรรมการ หลักประกันสุขภาพแห่งชาติกำหนด ตามมาตรา 46 วรรคหนึ่ง แห่งพระราชบัญญัติหลักประกันสุขภาพ แห่งชาติ พ.ศ. 2545 ซึ่งในการดำเนินงานของหน่วยบริการที่มีการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล หน่วยบริการดังกล่าว (และ/หรือหน่วยงานต้นสังกัดที่เป็นนิติบุคคล) ย่อมมีอำนาจหน้าที่ตัดสินใจเกี่ยวกับ การเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลตามหน้าที่และอำนาจที่กฎหมายกำหนด รวมถึง การดำเนินการตามภารกิจที่เกี่ยวข้อง

ดังนั้น ในการดำเนินงานของหน่วยบริการที่สังกัด สป.สธ. ดังกล่าว ที่มี การเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล สป.สธ. ในฐานะส่วนราชการต้นสังกัดที่มีฐานะเป็นนิติบุคคลของ หน่วยบริการดังกล่าว จะอยู่ในฐานะผู้ควบคุมข้อมูลส่วนบุคคลตามมาตรา 6 แห่งพระราชบัญญัติคุ้มครองข้อมูล ส่วนบุคคล พ.ศ. 2562 และในขณะเดียวกัน สป.สธ. และหน่วยบริการที่สังกัด สป.สธ. ก็ถือเป็นหน่วยงาน ของรัฐตามพระราชบัญญัติข้อมูลข่าวสารของราชการ พ.ศ. 2540 ข้อมูลข่าวสาร (รวมถึงข้อมูลข่าวสาร ส่วนบุคคล) ที่อยู่ในความครอบครองหรือควบคุมดูแลของ สป.สธ. และหน่วยบริการในสังกัด จึงเป็นข้อมูลข่าวสาร ของราชการ ตามนัยมาตรา 4 แห่งพระราชบัญญัติข้อมูลข่าวสารของราชการ พ.ศ. 2540 ด้วย

ดังนั้น ในการดำเนินการเกี่ยวกับการเปิดเผยข้อมูลข่าวสารของราชการ สป.สธ. จะต้องดำเนินการให้เป็นไปตาม พระราชบัญญัติข้อมูลข่าวสารของราชการ พ.ศ. 2540 ซึ่งเป็นกฎหมายที่วางหลักเกณฑ์เกี่ยวกับการเปิดเผย ข้อมูลข่าวสารของหน่วยงานของรัฐ และในส่วนที่เกี่ยวข้องกับข้อมูลด้านสุขภาพของบุคคล สป.สธ. จะต้อง ปฏิบัติตามมาตรา 7 แห่งพระราชบัญญัติสุขภาพแห่งชาติ พ.ศ. 2550 รวมถึงกฎหมายอื่นที่เกี่ยวข้อง ซึ่งเป็น กฎหมายที่บัญญัติเกี่ยวกับการคุ้มครองข้อมูลส่วนบุคคลไว้โดยเฉพาะในลักษณะดังกล่าวก่อน แล้วจึงพิจารณา ดำเนินการให้เป็นไปตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 เป็นการเพิ่มเติม

ทั้งนี้ ตาม[มาตรา 3](https://link.pdpalawbase.com/section/3.md) (1) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 สำหรับสำนักงานหลักประกันสุขภาพแห่งชาติ (สปสช.) เป็นหน่วยงานของรัฐมีฐานะเป็น นิติบุคคลตามมาตรา 24 วรรคหนึ่ง แห่งพระราชบัญญัติหลักประกันสุขภาพแห่งชาติ พ.ศ. 2545 สปสช. จึงมีอำนาจหน้าที่ตัดสินใจเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลในการดำเนินงาน ตามอำนาจหน้าที่

ดังนั้น สปสช. จึงถือเป็นผู้ควบคุมข้อมูลส่วนบุคคลตามมาตรา 6 แห่งพระราชบัญญัติ คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ด้วยเหตุนี้ การที่หน่วยบริการที่สังกัด สป.สธ. ส่งข้อมูลส่วนบุคคล ของผู้ป่วยหรือผู้รับบริการให้แก่ สปสช. เพื่อขอรับค่าใช้จ่ายเพื่อบริการสาธารณสุข ตามมาตรา 45 และมาตรา 46 แห่งพระราชบัญญัติหลักประกันสุขภาพแห่งชาติ พ.ศ. 2545 จึงถือเป็นการเปิดเผยข้อมูลส่วนบุคคลที่เป็น การปฏิบัติตามกฎหมายของผู้ควบคุมข้อมูลส่วนบุคคล ตามนัยมาตรา 24 (6) ประกอบมาตรา 27 วรรคหนึ่ง แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 หรือในกรณีที่เป็นข้อมูลส่วนบุคคลตาม[มาตรา 26](https://link.pdpalawbase.com/section/26.md) ก็ถือเป็นการเปิดเผยข้อมูลส่วนบุคคลที่เป็นการจำเป็นในการปฏิบัติตามกฎหมายเพื่อให้บรรลุวัตถุประสงค์เกี่ยวกับ หลักประกันสุขภาพแห่งชาติ ตามมาตรา 26 (5) (ค) ประกอบมาตรา 27 วรรคหนึ่ง แห่งพระราชบัญญัติดังกล่าว ซึ่งได้รับยกเว้นไม่ต้องขอความยินยอมจากเจ้าของข้อมูลส่วนบุคคล

คณะอนุกรรมการตอบข้อหารือฯ มีข้อสังเกตว่า การที่ สปสช. เก็บรวบรวมข้อมูลส่วนบุคคล ดังกล่าว เพื่อใช้ในการดำเนินงานตามอำนาจหน้าที่ตามมาตรา 26 แห่งพระราชบัญญัติหลักประกันสุขภาพแห่งชาติ พ.ศ. 2545 ซึ่งรวมถึงอำนาจหน้าที่ในการเก็บ รวบรวม วิเคราะห์ข้อมูลเกี่ยวกับการดำเนินงานการบริการ สาธารณสุข การจัดให้มีทะเบียนผู้รับบริการ หน่วยบริการ และเครือข่ายหน่วยบริการ การบริหารกองทุน หลักประกันสุขภาพแห่งชาติ การจ่ายค่าใช้จ่ายเพื่อบริการสาธารณสุขให้แก่หน่วยบริการและเครือข่าย หน่วยบริการ การตรวจสอบเอกสารหลักฐานการเรียกเก็บค่าใช้จ่ายเพื่อบริการสาธารณสุขของหน่วยบริการ การดำเนินการเพื่อให้ประชาชนมีหน่วยบริการประจำ และการขอเปลี่ยนหน่วยบริการประจำ รวมทั้ง ประชาสัมพันธ์เพื่อให้ประชาชนทราบข้อมูลของหน่วยบริการ การกำกับดูแลหน่วยบริการและเครือข่าย หน่วยบริการในการให้บริการสาธารณสุขให้เป็นไปตามมาตรฐานที่คณะกรรมการหลักประกันสุขภาพแห่งชาติ กำหนด และอำนวยความสะดวกในการเสนอเรื่องร้องเรียน ตลอดจนการปฏิบัติหน้าที่อื่น ๆ ของ สปสช. ยังถือเป็นการปฏิบัติตามกฎหมายของผู้ควบคุมข้อมูลส่วนบุคคล ตามมาตรา 24 (6) หรือเป็นการจำเป็น เพื่อการปฏิบัติหน้าที่ในการดำเนินภารกิจเพื่อประโยชน์สาธารณะของผู้ควบคุมข้อมูลส่วนบุคคล หรือปฏิบัติหน้าที่ ในการใช้อำนาจรัฐที่ได้มอบให้แก่ผู้ควบคุมข้อมูลส่วนบุคคล ตามมาตรา 24 (4) แห่งพระราชบัญญัติคุ้มครอง ข้อมูลส่วนบุคคล พ.ศ. 2562 และในกรณีที่เป็นข้อมูลส่วนบุคคลตาม[มาตรา 26](https://link.pdpalawbase.com/section/26.md) ก็ถือเป็นการจำเป็นในการปฏิบัติ ตามกฎหมายเพื่อให้บรรลุวัตถุประสงค์เกี่ยวกับหลักประกันสุขภาพแห่งชาติ ตาม[มาตรา 26](https://link.pdpalawbase.com/section/26.md) (5) (ค) แห่ง พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ซึ่ง สปสช. สามารถทำการเก็บรวบรวมข้อมูลส่วนบุคคล ดังกล่าวจากแหล่งอื่นที่ไม่ใช่จากเจ้าของข้อมูลส่วนบุคคลโดยตรงได้ตาม[มาตรา 25](https://link.pdpalawbase.com/section/25.md) วรรคหนึ่ง (2) และไม่ต้องแจ้ง รายละเอียดในการเก็บรวบรวมข้อมูลส่วนบุคคลตาม[มาตรา 23](https://link.pdpalawbase.com/section/23.md) เนื่องจากไม่ใช่กรณีที่ทำการเก็บรวบรวมข้อมูล ส่วนบุคคลจากแหล่งอื่นที่ต้องได้รับความยินยอมตาม[มาตรา 25](https://link.pdpalawbase.com/section/25.md) วรรคหนึ่ง (1)

ทั้งนี้ ตามนัย[มาตรา 25](https://link.pdpalawbase.com/section/25.md) วรรคสอง แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562

อย่างไรก็ตาม หน่วยบริการที่ให้บริการสาธารณสุข แก่ผู้ป่วยหรือผู้รับบริการ และจะต้องเปิดเผยข้อมูลส่วนบุคคลของผู้นั้นให้แก่ สปสช. ควรระบุประเภทของบุคคล หรือหน่วยงานซึ่งข้อมูลส่วนบุคคลที่เก็บรวบรวมอาจจะถูกเปิดเผย ซึ่งเป็นส่วนหนึ่งของรายละเอียด ในการเก็บรวบรวมข้อมูลส่วนบุคคลที่หน่วยบริการต้องแจ้งให้ผู้ป่วยหรือผู้รับบริการในฐานะเจ้าของข้อมูล ส่วนบุคคลทราบ (privacy notice) ตาม[มาตรา 23](https://link.pdpalawbase.com/section/23.md) (4) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ให้ครอบคลุมการเปิดเผยข้อมูลส่วนบุคคลให้แก่ สปสช. และ/หรือกองทุนประกันสุขภาพต่าง ๆ ด้วย เนื่องจากกระทรวงสาธารณสุข โดย สป.สธ. ได้พัฒนาระบบศูนย์กลางข้อมูลด้านการเงิน (Financial Data Hub) ซึ่งมีการเก็บรวบรวมข้อมูลส่วนบุคคลเกี่ยวกับการให้บริการสาธารณสุขแก่ผู้ป่วย ของหน่วยบริการในสังกัดกระทรวงสาธารณสุข เพื่อประโยชน์ในการขอรับค่าใช้จ่ายเพื่อบริการสาธารณสุข รวมทั้งเพื่อการวิเคราะห์ วางแผน กำกับดูแล ติดตาม ประเมินผล และบริหารจัดการในภารกิจตามหน้าที่ และอำนาจของตน

ดังนั้น หาก สปสช. หรือหน่วยงานที่เกี่ยวข้อง ประสงค์จะใช้ข้อมูลส่วนบุคคลในรูปแบบ ข้อมูลดิจิทัลจากระบบดังกล่าวที่กระทรวงสาธารณสุข โดย สป.สธ. ได้มาหรือมีอยู่ในความครอบครอง เพื่อประโยชน์ในการบริหารราชการแผ่นดินและการให้บริการประชาชน กระทรวงสาธารณสุข โดย สป.สธ. ก็สามารถจัดให้มีการเชื่อมโยงและแลกเปลี่ยนข้อมูลดิจิทัลที่มีการจัดทำและครอบครองตามที่หน่วยงานของรัฐ แห่งอื่นร้องขอ ที่จะเกิดการบูรณาการร่วมกันได้ ตามมาตรา 13 แห่งพระราชบัญญัติการบริหารงานและ การให้บริการภาครัฐผ่านระบบดิจิทัล พ.ศ. 2562 โดยจะต้องปฏิบัติให้เป็นไปตามกฎหมายว่าด้วยการคุ้มครอง ข้อมูลส่วนบุคคลด้วย ตามนัยมาตรา 16 แห่งพระราชบัญญัติดังกล่าว

ทั้งนี้ สปสช. ในฐานะหน่วยงานของรัฐ ผู้รับข้อมูลดิจิทัลดังกล่าวต้องใช้ข้อมูลตามวัตถุประสงค์ในหน้าที่และอำนาจของตนเท่านั้น และต้องดูแลรักษา ข้อมูลให้มีความมั่นคงปลอดภัย ไม่มีการเปิดเผยหรือโอนข้อมูลไปยังบุคคลที่ไม่มีสิทธิเข้าถึงข้อมูล ตามมาตรา 14 แห่งพระราชบัญญัติเดียวกัน

ประเด็นข้อหารือที่ 1 เห็นว่า พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 มิได้กำหนดหน้าที่เกี่ยวกับการจัดให้มีข้อตกลงการแบ่งปันข้อมูลส่วนบุคคลระหว่างผู้ควบคุมข้อมูลส่วนบุคคล กับผู้ควบคุมข้อมูลส่วนบุคคลไว้อย่างชัดเจน แต่ผู้ควบคุมข้อมูลส่วนบุคคลที่จะเปิดเผยข้อมูลส่วนบุคคล ระหว่างกันมีหน้าที่ต้องจัดให้มีมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสม เพื่อป้องกันการสูญหาย เข้าถึง ใช้ เปลี่ยนแปลง แก้ไข หรือเปิดเผยข้อมูลส่วนบุคคลโดยปราศจากอำนาจหรือโดยมิชอบ ตาม[มาตรา 37](https://link.pdpalawbase.com/section/37.md) (1) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ซึ่งต้องเป็นไปตามมาตรฐานขั้นต่ำที่กำหนดไว้ ในประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง มาตรการรักษาความมั่นคงปลอดภัยของข้อมูล ส่วนบุคคล พ.ศ. 2565 โดยข้อ 4 ของประกาศดังกล่าวกำหนดว่า มาตรการดังกล่าวจะต้องประกอบด้วย มาตรการเชิงองค์กร (organizational measures) และมาตรการเชิงเทคนิค (technical measures) ที่เหมาะสม ซึ่งอาจรวมถึงมาตรการทางกายภาพ (physical measures) ที่จำเป็นด้วย โดยคำนึงถึงระดับความเสี่ยง ตามลักษณะและวัตถุประสงค์ของการเก็บรวบรวม ใช้ และเปิดเผยข้อมูลส่วนบุคคล ตลอดจนโอกาสเกิด และผลกระทบจากเหตุการละเมิดข้อมูลส่วนบุคคล ซึ่งการจัดทำข้อตกลงการแบ่งปันข้อมูลส่วนบุคคล (data sharing agreement: DSA) ถือเป็นมาตรการเชิงองค์กรอย่างหนึ่งเพื่อกำหนดวัตถุประสงค์ วิธีการ เงื่อนไข และหน้าที่ความรับผิดชอบของผู้ควบคุมข้อมูลส่วนบุคคลแต่ละฝ่ายในการเก็บรวบรวม ใช้ หรือเปิดเผย ข้อมูลส่วนบุคคล ไม่ว่าจะส่งและรับข้อมูลที่เป็นเอกสารหรือโดยวิธีการทางอิเล็กทรอนิกส์ก็ตาม อันจะเป็น การรักษาความมั่นคงปลอดภัยของข้อมูลส่วนบุคคลที่จะเปิดเผยให้แก่กัน และควบคุมดูแลให้การเก็บรวบรวม ใช้ และเปิดเผยข้อมูลส่วนบุคคลระหว่างกันสอดคล้องกับพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 รวมทั้งยังเป็นมาตรการเพื่อป้องกันมิให้หน่วยงานที่ได้รับข้อมูลส่วนบุคคลใช้หรือเปิดเผยข้อมูลส่วนบุคคล เพื่อวัตถุประสงค์อื่นนอกเหนือจากวัตถุประสงค์ที่ได้แจ้งไว้กับผู้ควบคุมข้อมูลส่วนบุคคลในการขอรับข้อมูล ส่วนบุคคลนั้น ตาม[มาตรา 27](https://link.pdpalawbase.com/section/27.md) วรรคสอง หรือเพื่อป้องกันมิให้หน่วยงานดังกล่าวใช้หรือเปิดเผยข้อมูล ส่วนบุคคลโดยปราศจากอำนาจหรือโดยมิชอบ ตาม[มาตรา 37](https://link.pdpalawbase.com/section/37.md) (2) อีกด้วย

นอกจากนี้ ในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลของ สปสช. ที่เป็นการจำเป็นในการปฏิบัติตามกฎหมายเพื่อให้บรรลุวัตถุประสงค์ เกี่ยวกับหลักประกันสุขภาพแห่งชาติ ตาม[มาตรา 26](https://link.pdpalawbase.com/section/26.md) (5) (ค) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 นั้น สปสช. ในฐานะผู้ควบคุมข้อมูลส่วนบุคคลที่เก็บรวบรวมข้อมูลส่วนบุคคล และ สป.สธ. (รวมถึงหน่วยบริการในสังกัด) ในฐานะผู้ควบคุมข้อมูลส่วนบุคคลที่เปิดเผยข้อมูลส่วนบุคคลให้ สปสช. มีหน้าที่ต้องจัดให้มีมาตรการที่เหมาะสมเพื่อคุ้มครองสิทธิขั้นพื้นฐานและประโยชน์ของเจ้าของข้อมูลส่วนบุคคล ตามความใน[มาตรา 26](https://link.pdpalawbase.com/section/26.md) (5) (ค) อีกด้วย

ดังนั้น สป.สธ. และ สปสช. อาจพิจารณาหารือร่วมกันตามอำนาจหน้าที่ที่เกี่ยวข้องเพื่อให้ได้ ข้อสรุปเกี่ยวกับมาตรการเชิงองค์กรและมาตรการเชิงเทคนิคที่เหมาะสมกับระดับความเสี่ยงตามลักษณะและ วัตถุประสงค์ของการเก็บรวบรวม ใช้ และเปิดเผยข้อมูลส่วนบุคคล ตลอดจนโอกาสเกิดและผลกระทบจาก เหตุการละเมิดข้อมูลส่วนบุคคลที่อาจเกิดขึ้นจากการเปิดเผยและเก็บรวบรวมข้อมูลส่วนบุคคลดังกล่าวได้ ซึ่งหาก สป.สธ. และ สปสช. เห็นสมควร ก็ย่อมสามารถหารือและตกลงร่วมกันเพื่อจัดทำข้อตกลงการแบ่งปัน ข้อมูลส่วนบุคคลระหว่างกันได้ โดยเพื่อให้เป็นไปตามเจตนารมณ์ของกฎหมายว่าด้วยการคุ้มครองข้อมูล ส่วนบุคคล รายละเอียดของข้อตกลงดังกล่าว ควรมีเนื้อหาที่ครอบคลุมวัตถุประสงค์ วิธีการ เงื่อนไข และหน้าที่ ความรับผิดชอบในการเก็บรวบรวม ใช้ และเปิดเผยข้อมูลส่วนบุคคลของแต่ละฝ่าย (รวมทั้งอาจมีข้อกำหนด เกี่ยวกับระยะเวลาการเก็บรักษาหรือเงื่อนไขในการลบหรือทำลายข้อมูลส่วนบุคคล) ที่ทำให้แต่ละฝ่ายสามารถ ดำเนินงานของตนในฐานะผู้ควบคุมข้อมูลส่วนบุคคลที่มีอำนาจหน้าที่ตัดสินใจในการกำหนดวัตถุประสงค์ (purposes) และวิธีการ (means) ของการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลแยกจากกันได้ โดยไม่เป็นอุปสรรคต่อการดำเนินงานของกันและกัน โดยเฉพาะในกรณีที่เป็นการปฏิบัติหน้าที่ในการดำเนิน ภารกิจเพื่อประโยชน์สาธารณะหรือเป็นการปฏิบัติตามกฎหมาย และไม่ขัดหรือแย้งกับกฎหมายว่าด้วย การคุ้มครองข้อมูลส่วนบุคคล

ทั้งนี้ ไม่ว่าจะมีการจัดทำข้อตกลงการแบ่งปันข้อมูลส่วนบุคคลระหว่างกันหรือไม่ ก็ตาม สปสช. ในฐานะผู้ควบคุมข้อมูลส่วนบุคคลที่เก็บรวบรวมข้อมูลส่วนบุคคลดังกล่าวย่อมมีหน้าที่ ตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ซึ่งรวมถึงการเก็บรวบรวม ใช้ และเปิดเผยข้อมูล ส่วนบุคคลเท่าที่จำเป็นภายใต้วัตถุประสงค์อันชอบด้วยกฎหมายตาม[มาตรา 22](https://link.pdpalawbase.com/section/22.md) การจัดให้มีมาตรการรักษา ความมั่นคงปลอดภัยที่เหมาะสมตาม[มาตรา 37](https://link.pdpalawbase.com/section/37.md) (1) การจัดให้มีระบบการตรวจสอบเพื่อดำเนินการลบหรือทำลาย ข้อมูลส่วนบุคคลตามเงื่อนไขใน[มาตรา 37](https://link.pdpalawbase.com/section/37.md) (3) และการดำเนินการที่เหมาะสมในกรณีที่เจ้าของข้อมูลส่วนบุคคล ขอใช้สิทธิตามหมวด 3 แห่งพระราชบัญญัตินี้ ตลอดจนมีความรับผิดตามกฎหมายที่เกี่ยวข้องอยู่แล้ว การที่หน่วยงานที่เกี่ยวข้องจะพิจารณาว่าควรลงนามในข้อตกลงการแบ่งปันข้อมูลส่วนบุคคลระหว่างกันหรือไม่นั้น จึงเป็นกรณีที่แต่ละฝ่ายสามารถพิจารณาดำเนินการได้ตามที่เห็นสมควร โดยควรคำนึงถึงความจำเป็นในการปฏิบัติ หน้าที่ตามกฎหมายอื่นที่เกี่ยวข้องประกอบด้วย

อนึ่ง [มาตรา 27](https://link.pdpalawbase.com/section/27.md) วรรคสอง แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 บัญญัติว่า บุคคลหรือนิติบุคคลที่ได้รับข้อมูลส่วนบุคคลมาจากการเปิดเผยของผู้ควบคุมข้อมูลส่วนบุคคลอื่น จะต้องไม่ใช้หรือเปิดเผยข้อมูลส่วนบุคคลเพื่อวัตถุประสงค์อื่นนอกเหนือจากวัตถุประสงค์ที่ได้แจ้งไว้กับผู้ควบคุม ข้อมูลส่วนบุคคลในการขอรับข้อมูลส่วนบุคคลนั้น ซึ่ง สปสช. ในฐานะผู้ควบคุมข้อมูลส่วนบุคคลที่ได้รับข้อมูล ส่วนบุคคลมาจากการเปิดเผยของ สป.สธ. จะต้องดำเนินการให้เป็นไปตามบทบัญญัติดังกล่าวด้วย

ดังนั้น หาก สปสช. มีความจำเป็นต้องใช้ข้อมูลส่วนบุคคลที่ได้รับจาก สป.สธ. เพื่อวัตถุประสงค์อื่นใดนอกเหนือจาก เพื่อการจ่ายค่าใช้จ่ายเพื่อบริการสาธารณสุขให้แก่หน่วยบริการและเครือข่ายหน่วยบริการ สปสช. ก็ควรแจ้ง วัตถุประสงค์เหล่านั้นให้ สป.สธ. หรือหน่วยบริการในสังกัดทราบในการขอรับข้อมูลส่วนบุคคลดังกล่าวไว้ด้วย

อย่างไรก็ดี เนื่องจากพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ไม่ได้บัญญัติให้ ต้องมีการจัดให้มีข้อตกลงการแบ่งปันข้อมูลส่วนบุคคลระหว่างผู้ควบคุมข้อมูลส่วนบุคคลด้วยกันตั้งแต่ต้น

ดังนั้น หากฝ่ายใดฝ่ายหนึ่งเห็นว่า การจัดทำข้อตกลงการแบ่งปันข้อมูลส่วนบุคคลจะทำให้การดำเนินการตามอำนาจหน้าที่ ของฝ่ายตนตามกฎหมายว่าด้วยหลักประกันสุขภาพแห่งชาติหรือกฎหมายอื่นขาดประสิทธิภาพ หรือไม่อาจสำเร็จ ตามวัตถุประสงค์ได้ หรือมีปัญหาอุปสรรคที่ทำให้ไม่สามารถหาข้อสรุปที่เป็นประโยชน์กับทั้งสองฝ่ายและ เป็นที่ยอมรับร่วมกันได้ ก็อาจพิจารณาไม่จัดทำข้อตกลงดังกล่าวได้ แต่ในกรณีเช่นนี้ แต่ละฝ่ายจะต้องจัดให้มี มาตรการอื่นใดที่เหมาะสมเพื่อคุ้มครองสิทธิขั้นพื้นฐานและประโยชน์ของเจ้าของข้อมูลส่วนบุคคลได้ในทำนอง เดียวกัน ตามความใน[มาตรา 26](https://link.pdpalawbase.com/section/26.md) (5) (ค) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ด้วย เช่น ผู้ควบคุมข้อมูลส่วนบุคคลที่เปิดเผยข้อมูลส่วนบุคคลให้แก่อีกฝ่ายหนึ่ง อาจแจ้งวัตถุประสงค์ในการใช้หรือ เปิดเผยข้อมูลส่วนบุคคลของฝ่ายที่รับข้อมูลส่วนบุคคลให้ฝ่ายนั้นทราบฝ่ายเดียวแทนการจัดให้มีข้อตกลง ระหว่างกัน ส่วนผู้ควบคุมข้อมูลส่วนบุคคลที่ได้รับข้อมูลส่วนบุคคลมาจากการเปิดเผยดังกล่าวก็อาจดำเนินการ ฝ่ายเดียวในการกำหนดมาตรการเชิงองค์กร (organizational measures) และมาตรการเชิงเทคนิค (technical measures) ที่เหมาะสม ซึ่งอาจรวมถึงมาตรการทางกายภาพ (physical measures) ที่จำเป็นด้วย เพื่อจำกัด หรือควบคุมการใช้หรือเปิดเผยข้อมูลส่วนบุคคลที่ได้รับมาดังกล่าวให้เป็นไปเท่าที่จำเป็นภายใต้วัตถุประสงค์ ที่ฝ่ายที่เปิดเผยข้อมูลส่วนบุคคลได้แจ้งไว้ หรือวัตถุประสงค์อื่นใดอันชอบด้วยกฎหมายของตน รวมทั้งอาจกำหนด มาตรการอื่นใดเพิ่มเติมเพื่อให้มีการคุ้มครองข้อมูลส่วนบุคคลที่เหมาะสมและสอดคล้องกับพระราชบัญญัตินี้

คณะอนุกรรมการตอบข้อหารือฯ มีข้อสังเกตเพิ่มเติมว่า กรณีการเปิดเผยข้อมูลส่วนบุคคล ระหว่างผู้ควบคุมข้อมูลส่วนบุคคลกับผู้ควบคุมข้อมูลส่วนบุคคลดังกล่าว ซึ่งพระราชบัญญัติคุ้มครองข้อมูล ส่วนบุคคล พ.ศ. 2562 ไม่ได้บัญญัติให้ต้องมีการจัดทำข้อตกลงการแบ่งปันข้อมูลส่วนบุคคล (data sharing agreement: DSA) ระหว่างกันนั้น มีความแตกต่างจากการเปิดเผยข้อมูลส่วนบุคคลระหว่างผู้ควบคุมข้อมูล ส่วนบุคคลกับผู้ประมวลผลข้อมูลส่วนบุคคลซึ่งดำเนินการเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูล ส่วนบุคคลตามคำสั่งหรือในนามของผู้ควบคุมข้อมูลส่วนบุคคลนั้น ซึ่งผู้ควบคุมข้อมูลส่วนบุคคลจะต้องจัดให้มี ข้อตกลงระหว่างกัน กล่าวคือ ข้อตกลงการประมวลผลข้อมูลส่วนบุคคล (data processing agreement: DPA) เพื่อควบคุมการดำเนินงานตามหน้าที่ของผู้ประมวลผลข้อมูลส่วนบุคคลให้เป็นไปตามพระราชบัญญัติคุ้มครอง ข้อมูลส่วนบุคคล พ.ศ. 2562 ตาม[มาตรา 40](https://link.pdpalawbase.com/section/40.md) วรรคสาม แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 โดยผู้ประมวลผลข้อมูลส่วนบุคคลจะต้องดำเนินการเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผย ข้อมูลส่วนบุคคลตามคำสั่งที่ได้รับจากผู้ควบคุมข้อมูลส่วนบุคคลเท่านั้น เว้นแต่คำสั่งนั้นขัดต่อกฎหมายหรือ บทบัญญัติในการคุ้มครองข้อมูลส่วนบุคคลตามพระราชบัญญัตินี้ ตาม[มาตรา 40](https://link.pdpalawbase.com/section/40.md) วรรคหนึ่ง (1)

ประเด็นข้อหารือที่ 2 เห็นว่า ตามที่ได้กล่าวมาแล้วข้างต้นว่า ในการดำเนินงานของ หน่วยบริการตามกฎหมายว่าด้วยหลักประกันสุขภาพแห่งชาติที่มีการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูล ส่วนบุคคล หน่วยบริการดังกล่าว (และ/หรือหน่วยงานต้นสังกัดที่เป็นนิติบุคคล) ย่อมมีอำนาจหน้าที่ตัดสินใจ ในการกำหนดวัตถุประสงค์ (purposes) และวิธีการ (means) ของการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูล ส่วนบุคคลตามหน้าที่และอำนาจที่กฎหมายกำหนด รวมถึงการดำเนินการตามภารกิจที่เกี่ยวข้อง

ดังนั้น ในการดำเนินงานของหน่วยบริการที่สังกัด สป.สธ. ที่มีการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล สป.สธ. ในฐานะส่วนราชการต้นสังกัดที่มีฐานะเป็นนิติบุคคลของหน่วยบริการดังกล่าว จะอยู่ในฐานะผู้ควบคุมข้อมูล ส่วนบุคคลตาม[มาตรา 6](https://link.pdpalawbase.com/section/6.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ซึ่งอำนาจหน้าที่เช่นว่านั้น ของหน่วยบริการหรือหน่วยงานในสังกัด สป.สธ. ลักษณะใด ประเภทใด หรือระดับใด จะมีได้เพียงใดนั้น ย่อมขึ้นอยู่กับกฎหมายว่าด้วยระเบียบบริหารราชการแผ่นดิน กฎหมายว่าด้วยการปรับปรุงกระทรวง ทบวง กรม กฎกระทรวงแบ่งส่วนราชการ กฎหมายและกฎระเบียบเกี่ยวกับการมอบอำนาจหรือการมอบหมายหน้าที่ รวมทั้ง กฎหมายว่าด้วยหลักประกันสุขภาพแห่งชาติและกฎหมายอื่น ตลอดจนกฎ ระเบียบ มติ คำสั่ง และข้อสั่งการอื่น ที่เกี่ยวข้อง

ดังนั้น ในกรณีที่มีบุคคลหรือนิติบุคคลใดมีความประสงค์จะขอให้หน่วยบริการหรือหน่วยงานที่สังกัด สป.สธ. เปิดเผยข้อมูลส่วนบุคคล อำนาจหน้าที่ในการตัดสินใจเกี่ยวกับการเปิดเผยข้อมูลส่วนบุคคลดังกล่าว ย่อมเป็นไปตามอำนาจหน้าที่ของหน่วยบริการหรือหน่วยงานในสังกัดแต่ละลักษณะ ประเภท และระดับ ตามกฎหมายและกฎ ระเบียบ มติ คำสั่ง และข้อสั่งการที่เกี่ยวข้อง ซึ่ง สป.สธ. ในฐานะผู้ควบคุมข้อมูล ส่วนบุคคล ย่อมสามารถมอบอำนาจ มอบหมาย สั่งการ และกำกับดูแลให้หน่วยบริการและหน่วยงานในสังกัด ตัดสินใจและดำเนินการตามอำนาจหน้าที่ของตนได้ตามที่เห็นสมควร โดยจะต้องไม่ขัดกับกฎหมายหรือ กฎระเบียบที่เกี่ยวข้อง

ทั้งนี้ สป.สธ. ควรพิจารณากำหนดอำนาจหน้าที่ในการตัดสินใจเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลของหน่วยบริการและหน่วยงานในสังกัด โดยคำนึงถึงความคล่องตัวและ ประสิทธิภาพในการดำเนินงาน และระดับความเสี่ยงที่อาจเกิดขึ้นประกอบกัน โดยควรพิจารณาดำเนินการ ให้สอดคล้องกับพระราชกฤษฎีกาว่าด้วยหลักเกณฑ์และวิธีการบริหารกิจการบ้านเมืองที่ดี พ.ศ. 2546 และ ที่แก้ไขเพิ่มเติมด้วย โดยเฉพาะการลดขั้นตอนการปฏิบัติงานตามมาตรา 27 ที่กำหนดให้ส่วนราชการจัดให้มี การกระจายอำนาจการตัดสินใจเกี่ยวกับการสั่ง การอนุญาต การอนุมัติ การปฏิบัติราชการ หรือการดำเนินการ อื่นใดของผู้ดำรงตำแหน่งใดให้แก่ผู้ดำรงตำแหน่งที่มีหน้าที่รับผิดชอบในการดำเนินการในเรื่องนั้นโดยตรง เพื่อให้เกิดความรวดเร็วและลดขั้นตอนการปฏิบัติราชการ

ทั้งนี้ ในการกระจายอำนาจการตัดสินใจดังกล่าว ต้องมุ่งผลให้เกิดความสะดวกและรวดเร็วในการบริการประชาชน และเมื่อได้มีการกระจายอำนาจการตัดสินใจแล้ว ให้ส่วนราชการกำหนดหลักเกณฑ์การควบคุม ติดตาม และกำกับดูแลการใช้อำนาจและความรับผิดชอบของ ผู้รับมอบอำนาจและผู้มอบอำนาจไว้ด้วย แต่หลักเกณฑ์ดังกล่าวต้องไม่สร้างขั้นตอนหรือการกลั่นกรองงาน ที่ไม่จำเป็นในการปฏิบัติงานของข้าราชการ

ประเด็นข้อหารือที่ 3 เห็นว่า การละเมิดข้อมูลส่วนบุคคลตาม[มาตรา 37](https://link.pdpalawbase.com/section/37.md) (4) แห่ง พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ประกอบประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง หลักเกณฑ์และวิธีการในการแจ้งเหตุการละเมิดข้อมูลส่วนบุคคล พ.ศ. 2565 นั้น หมายความว่า การละเมิดมาตรการรักษาความมั่นคงปลอดภัยที่ทำให้เกิดการสูญหาย เข้าถึง ใช้ เปลี่ยนแปลง แก้ไข หรือเปิดเผย ข้อมูลส่วนบุคคลโดยปราศจากอำนาจหรือโดยมิชอบ ไม่ว่าจะเกิดจากเจตนา ความจงใจ ความประมาทเลินเล่อ การกระทำโดยปราศจากอำนาจหรือโดยมิชอบ การกระทำความผิดเกี่ยวกับคอมพิวเตอร์ ภัยคุกคามทางไซเบอร์ ข้อผิดพลาดบกพร่องหรืออุบัติเหตุ หรือเหตุอื่นใด โดยเหตุการละเมิดข้อมูลส่วนบุคคลแต่ละเหตุอาจเกี่ยวข้อง กับการละเมิดประเภทใดประเภทหนึ่ง หรือหลายประเภท ดังต่อไปนี้
1. การละเมิดความลับของข้อมูลส่วนบุคคล (confidentiality breach) ซึ่งมีการเข้าถึง หรือเปิดเผยข้อมูลส่วนบุคคล โดยปราศจากอำนาจหรือโดยมิชอบ หรือเกิดจากข้อผิดพลาดบกพร่อง หรืออุบัติเหตุ
2. การละเมิดความถูกต้องครบถ้วนของข้อมูลส่วนบุคคล (integrity breach) ซึ่งมี การเปลี่ยนแปลง แก้ไขข้อมูลส่วนบุคคลให้ไม่ถูกต้อง ไม่สมบูรณ์ หรือไม่ครบถ้วน โดยปราศจากอำนาจ หรือโดยมิชอบ หรือเกิดจากข้อผิดพลาดบกพร่องหรืออุบัติเหตุ
3. การละเมิดความพร้อมใช้งานของข้อมูลส่วนบุคคล (availability breach) ซึ่งทำให้ ไม่สามารถเข้าถึงข้อมูลส่วนบุคคลได้ หรือมีการทำลายข้อมูลส่วนบุคคล ทำให้ข้อมูลส่วนบุคคลไม่อยู่ในสภาพ ที่พร้อมใช้งานได้ตามปกติ

สำหรับประเด็นที่ว่า ในกรณีที่หน่วยบริการในสังกัด สป.สธ. ได้เปิดเผยข้อมูลส่วนบุคคล ให้แก่บุคคลหรือนิติบุคคลอื่น โดยไม่ได้จัดทำข้อตกลงการแบ่งปันข้อมูลส่วนบุคคล (data sharing agreement: DSA) ระหว่างกัน และต่อมาเกิดการรั่วไหลของข้อมูลส่วนบุคคลหรือเหตุการละเมิดข้อมูลส่วนบุคคลขึ้น หน่วยงานใด จะต้องมีความรับผิดตามกฎหมายนั้น เห็นว่า การพิจารณาหน้าที่ โดยเฉพาะหน้าที่ในการจัดให้มีมาตรการรักษา ความมั่นคงปลอดภัยและการแจ้งเหตุการละเมิดข้อมูลส่วนบุคคล และความรับผิดไม่ว่าจะในทางอาญา ทางแพ่ง หรือทางปกครองก็ตาม จะต้องพิจารณาตามข้อเท็จจริงว่าฝ่ายใดได้กระทำการฝ่าฝืนหรือไม่ปฏิบัติตาม พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 โดยไม่ได้จัดให้มีมาตรการรักษาความมั่นคงปลอดภัย ที่เหมาะสมตาม[มาตรา 37](https://link.pdpalawbase.com/section/37.md) (1) ซึ่งต้องเป็นไปตามมาตรฐานขั้นต่ำตามประกาศคณะกรรมการคุ้มครองข้อมูล ส่วนบุคคล เรื่อง มาตรการรักษาความมั่นคงปลอดภัยของผู้ควบคุมข้อมูลส่วนบุคคล พ.ศ. 2565 อันเป็นเหตุ ให้เกิดการสูญหาย เข้าถึง ใช้ เปลี่ยนแปลง แก้ไข หรือเปิดเผยข้อมูลส่วนบุคคลโดยปราศจากอำนาจหรือ โดยมิชอบหรือไม่ เช่น หากมีเหตุการละเมิดข้อมูลส่วนบุคคลเกิดขึ้นกับข้อมูลส่วนบุคคลที่อยู่ในความครอบครอง หรือควบคุมดูแลของ สป.สธ. ก่อนที่จะเปิดเผยให้กับอีกฝ่ายหนึ่ง หรือมีเหตุการละเมิดข้อมูลส่วนบุคคล เกิดขึ้นในระหว่างการเปิดเผยหรือแลกเปลี่ยนข้อมูลส่วนบุคคล อันเป็นผลมาจากมาตรการรักษาความมั่นคง ปลอดภัยของ สป.สธ. ที่ไม่เหมาะสมหรือไม่เป็นไปตามมาตรฐานขั้นต่ำที่คณะกรรมการคุ้มครองข้อมูลส่วนบุคคล ประกาศกำหนด สป.สธ. ในฐานะผู้ควบคุมข้อมูลส่วนบุคคลที่เปิดเผยข้อมูลส่วนบุคคลย่อมต้องมีความรับผิด ต่อเหตุการละเมิดข้อมูลส่วนบุคคลนั้น แต่หากเป็นกรณีที่ สป.สธ. ได้เปิดเผยข้อมูลส่วนบุคคลไปยังบุคคลหรือ นิติบุคคลอื่นที่เป็นผู้ควบคุมข้อมูลส่วนบุคคลแล้ว ต่อมามีเหตุการละเมิดข้อมูลส่วนบุคคลเกิดขึ้นกับข้อมูล ส่วนบุคคลที่ผู้ควบคุมข้อมูลส่วนบุคคลรายดังกล่าวได้รับมาและเก็บรวบรวมไว้ อันเป็นผลมาจากมาตรการรักษา ความมั่นคงปลอดภัยของผู้ควบคุมข้อมูลส่วนบุคคลที่ได้รับข้อมูลส่วนบุคคลนั้นที่ไม่เหมาะสมหรือไม่เป็นไป ตามมาตรฐานขั้นต่ำ หน้าที่และความรับผิดต่าง ๆ ก็ย่อมตกแก่ผู้ควบคุมข้อมูลส่วนบุคคลที่ได้รับข้อมูล ส่วนบุคคลนั้น

อย่างไรก็ดี ในบางกรณี เหตุการละเมิดข้อมูลส่วนบุคคลอาจเกิดขึ้นในการเปิดเผยหรือแลกเปลี่ยน ข้อมูลส่วนบุคคลระหว่างกัน อันเป็นผลมาจากมาตรการรักษาความมั่นคงปลอดภัยที่ไม่เหมาะสมหรือไม่เป็นไป ตามมาตรฐานขั้นต่ำของทั้งสองฝ่ายร่วมกัน ซึ่งแต่ละฝ่ายย่อมมีหน้าที่และความรับผิดเฉพาะในส่วนที่เกี่ยวข้อง กับตน การพิจารณาหน้าที่และความรับผิดเกี่ยวกับเหตุการละเมิดข้อมูลส่วนบุคคลจึงต้องพิจารณาข้อเท็จจริง เป็นรายกรณี

ประเด็นข้อหารือที่ 4 ในประเด็นที่ สป.สธ. ขอหารือว่า ในการดำเนินการของ สป.สธ. เกี่ยวกับการบริหารจัดการและแลกเปลี่ยนข้อมูลสุขภาพ หากได้มีการปฏิบัติตามกฎหมายที่เกี่ยวข้องอย่างครบถ้วน ทั้งกฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคลและกฎหมายอื่นที่เกี่ยวข้องแล้ว จะถือว่าเป็นการดำเนินการ ที่แสดงถึงความรับผิดชอบ (accountability) ตามหลักการคุ้มครองข้อมูลส่วนบุคคลและเป็นการปฏิบัติหน้าที่ ตามกฎหมายซึ่งไม่เข้าข่ายความผิดตามมาตรา 157 แห่งประมวลกฎหมายอาญา ว่าด้วยการปฏิบัติหรือละเว้น การปฏิบัติหน้าที่โดยมิชอบของเจ้าพนักงานหรือไม่ นั้น เห็นว่า หลักภาระรับผิดชอบและสามารถตรวจสอบได้ (accountability) ของผู้ควบคุมข้อมูลส่วนบุคคลในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล เป็นหลักการพื้นฐานที่มุ่งหวังให้ผู้ควบคุมข้อมูลส่วนบุคคลมีหน้าที่ความรับผิดชอบต่อการเก็บรวบรวม ใช้ และเปิดเผยข้อมูลส่วนบุคคลที่อยู่ในความครอบครองหรือควบคุมดูแลของตน และจะต้องสามารถแสดงถึง การปฏิบัติตามกฎหมายของตนได้ (able to demonstrate compliance) ซึ่งหน้าที่ของผู้ควบคุมข้อมูล ส่วนบุคคลในการจัดให้มีมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสมตาม[มาตรา 37](https://link.pdpalawbase.com/section/37.md) (1) การแจ้งเหตุการละเมิด ข้อมูลส่วนบุคคลตาม[มาตรา 37](https://link.pdpalawbase.com/section/37.md) (4) การบันทึกรายการ (record of processing activities: ROPA) ตาม[มาตรา 39](https://link.pdpalawbase.com/section/39.md) การจัดให้มีเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล (data protection officer: DPO) ของตนตาม[มาตรา 41](https://link.pdpalawbase.com/section/41.md) และการสนับสนุนการปฏิบัติหน้าที่ของเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลตาม[มาตรา 42](https://link.pdpalawbase.com/section/42.md) วรรคสอง แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 เป็นตัวอย่างของหน้าที่ตามพระราชบัญญัตินี้ ที่สอดคล้องกับหลักการดังกล่าว ส่วนในกรณีที่พบว่าผู้ควบคุมข้อมูลส่วนบุคคลมีการกระทำที่เป็นการฝ่าฝืน หรือไม่ปฏิบัติตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 หากเป็นความรับผิดทางแพ่งหรือ โทษทางปกครองตามพระราชบัญญัตินี้ ย่อมเป็นความรับผิดของนิติบุคคลที่เป็นผู้ควบคุมข้อมูลส่วนบุคคล ที่กระทำการดังกล่าวโดยตรง ไม่ใช่ความรับผิดของกรรมการหรือผู้จัดการ หรือบุคคลใดของนิติบุคคลนั้น แต่อย่างใด สำหรับความผิดอาญาตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ตาม[มาตรา 79](https://link.pdpalawbase.com/section/79.md) และ[มาตรา 80](https://link.pdpalawbase.com/section/80.md) ในกรณีที่ผู้กระทำความผิดเป็นนิติบุคคล ถ้าการกระทำความผิดของนิติบุคคลนั้นเกิดจาก การสั่งการหรือการกระทำของกรรมการหรือผู้จัดการ หรือบุคคลใดซึ่งรับผิดชอบในการดำเนินงานของนิติบุคคลนั้น หรือในกรณีที่บุคคลดังกล่าวมีหน้าที่ต้องสั่งการหรือกระทำการและละเว้นไม่สั่งการหรือไม่กระทำการ จนเป็นเหตุให้นิติบุคคลนั้นกระทำความผิด ผู้นั้นต้องรับโทษตามที่บัญญัติไว้สำหรับความผิดนั้น ๆ ด้วย ตาม[มาตรา 81](https://link.pdpalawbase.com/section/81.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562

ทั้งนี้ หากกรรมการหรือผู้จัดการ หรือบุคคลดังกล่าว ได้ดำเนินการตามบทบาทหน้าที่ของตนเพื่อจัดให้มีมาตรการเชิงองค์กรและมาตรการ เชิงเทคนิคที่เหมาะสม เช่น การกำหนดนโยบายและระเบียบปฏิบัติเกี่ยวกับการคุ้มครองข้อมูลส่วนบุคคล การบริหารจัดการความเสี่ยง และการควบคุม ติดตาม กำกับดูแล และประเมินผลการดำเนินการเกี่ยวกับ การคุ้มครองข้อมูลส่วนบุคคลแล้ว ก็ย่อมเป็นข้อเท็จจริงที่ควรรับฟังประกอบการพิจารณาร่วมกับข้อกฎหมาย ตามองค์ประกอบความผิดนั้น ๆ ส่วนกรรมการหรือผู้จัดการ หรือผู้บริหารและบุคลากรที่เกี่ยวข้องของ นิติบุคคลที่เป็นผู้ควบคุมข้อมูลส่วนบุคคลดังกล่าว จะมีความรับผิดทางอาญา (รวมทั้งความผิดตามมาตรา 157 แห่งประมวลกฎหมายอาญา) หรือมีความรับผิดทางแพ่งหรือทางวินัยต่อนิติบุคคลที่เป็นผู้ควบคุมข้อมูล ส่วนบุคคล หรือมีความรับผิดทางแพ่งต่อบุคคลอื่น จากการกระทำของตนหรือการกระทำของหน่วยงานที่เป็น ผู้ควบคุมข้อมูลส่วนบุคคลที่ตนสังกัดอยู่ที่เป็นการฝ่าฝืนหรือไม่ปฏิบัติตามพระราชบัญญัติคุ้มครองข้อมูล ส่วนบุคคล พ.ศ. 2562 หรือไม่ เพียงใดนั้น ย่อมขึ้นอยู่กับข้อเท็จจริง ข้อกฎหมาย และกระบวนการ ทางกฎหมายในแต่ละกรณี ซึ่งไม่อยู่ในหน้าที่และอำนาจของคณะอนุกรรมการตอบข้อหารือฯ และ คณะกรรมการคุ้มครองข้อมูลส่วนบุคคล ที่จะพิจารณาให้ความเห็นได้ เนื่องจากมิใช่การขอคำแนะนำหรือ คำปรึกษาเกี่ยวกับการดำเนินการใด ๆ เพื่อให้ความคุ้มครองข้อมูลส่วนบุคคลในการปฏิบัติตามพระราชบัญญัติ คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 หรือการขอให้ตีความและวินิจฉัยชี้ขาดปัญหาที่เกิดจากการบังคับใช้ พระราชบัญญัติดังกล่าว

## เอกสารต้นฉบับ

- [PDF ต้นฉบับ (local)](../../raw/opinions/opinion-4-2569.pdf)
- [ที่มา: pdpc.or.th](https://www.pdpc.or.th/wp-content/uploads/2026/02/consultation-67.pdf)

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/opinion/4-2569.md

============================================================
โนด: ข้อหารือ 5/2566
ลิงก์อ้างอิง: https://link.pdpalawbase.com/opinion/5-2566.md

# ข้อหารือที่ 5/2566 เรื่อง ธนาคาร จ. ขอหารือเกี่ยวกับการปฏิบัติตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 เพื่อวัตถุประสงค์ทางการตลาดกับลูกค้าธนาคาร

## ข้อกฎหมาย

1. พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 — [มาตรา 19](https://link.pdpalawbase.com/section/19.md), [มาตรา 20](https://link.pdpalawbase.com/section/20.md), [มาตรา 24](https://link.pdpalawbase.com/section/24.md), [มาตรา 32](https://link.pdpalawbase.com/section/32.md) และ [มาตรา 39](https://link.pdpalawbase.com/section/39.md)

## ข้อหารือ

ธนาคาร จ. ขอหารือเกี่ยวกับการปฏิบัติตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 เพื่อวัตถุประสงค์ทางการตลาดกับลูกค้าธนาคาร โดยมีประเด็นดังนี้

1. กรณีลูกค้ายังไม่เคยกรอกแบบฟอร์มการให้ความยินยอม และยังไม่เคยให้ความยินยอมเพื่อวัตถุประสงค์ทางการตลาด
   - 1.1 กรณีธนาคารนำเสนอผลิตภัณฑ์ใหม่ เพื่อทำการตลาดกับลูกค้าธนาคาร เช่น นำเสนอผลิตภัณฑ์สินเชื่อกับลูกค้าเงินฝาก ต้องขอความยินยอมจากลูกค้าหรือไม่ อย่างไร
   - 1.2 กรณีธนาคารนำเสนอผลิตภัณฑ์เดิม เช่น นำเสนอผลิตภัณฑ์เงินฝากประเภทอื่นให้กับลูกค้าที่ใช้ผลิตภัณฑ์เงินฝาก หรือนำเสนอผลิตภัณฑ์ที่เกี่ยวเนื่องกับผลิตภัณฑ์เดิมให้กับลูกค้า เช่น นำเสนอบัตร ATM หรือ Mobile banking ให้กับลูกค้าเงินฝากธนาคาร ต้องขอความยินยอมจากลูกค้าหรือไม่ อย่างไร

2. กรณีที่ลูกค้ามากรอกแบบฟอร์มการให้ความยินยอม และเลือกไม่ให้ความยินยอมเกี่ยวกับวัตถุประสงค์ในทางการตลาด
   - 2.1 กรณีธนาคารนำเสนอผลิตภัณฑ์ใหม่ เช่น นำเสนอผลิตภัณฑ์สินเชื่อกับลูกค้าเงินฝาก ธนาคารสามารถนำเสนอได้หรือไม่ อย่างไร
   - 2.2 กรณีธนาคารนำเสนอผลิตภัณฑ์เดิม เช่น นำเสนอผลิตภัณฑ์เงินฝากประเภทอื่นให้กับลูกค้าที่ใช้ผลิตภัณฑ์เงินฝาก หรือนำเสนอผลิตภัณฑ์ที่เกี่ยวเนื่องกับผลิตภัณฑ์เดิมให้กับลูกค้า เช่น นำเสนอบัตร ATM หรือ Mobile banking ให้กับลูกค้าเงินฝาก ธนาคารสามารถนำเสนอได้หรือไม่ อย่างไร

## ความเห็น

คณะกรรมการคุ้มครองข้อมูลส่วนบุคคล โดยคณะอนุกรรมการเฉพาะกิจตอบข้อหารือและให้คำแนะนำหน่วยงานของรัฐเพื่อรองรับการบังคับใช้พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 พิจารณาประเด็นข้อหารือของธนาคาร จ. แล้ว เห็นว่า

**ประเด็นหารือที่ 1.1** การนำเสนอผลิตภัณฑ์ใหม่เพื่อวัตถุประสงค์ทางการตลาดเป็นกิจกรรมที่ไม่เกี่ยวข้องกับการปฏิบัติตามสัญญาของผลิตภัณฑ์เดิม จึงไม่สามารถอ้างฐานการปฏิบัติตามสัญญาตาม [มาตรา 24](https://link.pdpalawbase.com/section/24.md) (3) แห่ง PDPA ได้ ดังนั้น จึงจำเป็นต้องพิจารณาฐานทางกฎหมายอื่น เมื่อไม่มีฐานทางกฎหมายตาม [มาตรา 24](https://link.pdpalawbase.com/section/24.md) (1) ถึง (6) ในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล เพื่อนำเสนอผลิตภัณฑ์ใหม่จึงต้องขอความยินยอมจากเจ้าของข้อมูลส่วนบุคคลโดยใช้หลักเกณฑ์การขอความยินยอมตาม [มาตรา 19](https://link.pdpalawbase.com/section/19.md) และ [มาตรา 20](https://link.pdpalawbase.com/section/20.md)

**ประเด็นหารือที่ 1.2** กรณีกิจกรรมการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลเพื่อวัตถุประสงค์ทางการตลาดในการนำเสนอผลิตภัณฑ์เงินฝากประเภทอื่นให้กับลูกค้าที่ใช้ผลิตภัณฑ์เงินฝาก ซึ่งธนาคารมีการเก็บรวบรวมข้อมูลส่วนบุคคลของลูกค้าที่ฝากเงินกับธนาคารโดยอาศัยฐานการปฏิบัติตามสัญญาตาม [มาตรา 24](https://link.pdpalawbase.com/section/24.md) (3) แห่ง PDPA อยู่ก่อนแล้ว แต่การนำเสนอผลิตภัณฑ์เงินฝากประเภทอื่นให้แก่ลูกค้าที่ฝากเงินเพิ่มเติมในภายหลังเป็นกิจกรรมที่ไม่มีความจำเป็นหรือเกี่ยวข้องกับวัตถุประสงค์หลักตามสัญญาของผลิตภัณฑ์เงินฝาก จึงไม่อาจอ้างฐานการปฏิบัติตามสัญญาตาม [มาตรา 24](https://link.pdpalawbase.com/section/24.md) (3) ได้ ดังนั้น การเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลเพื่อนำเสนอผลิตภัณฑ์เงินฝากประเภทอื่นให้กับลูกค้า จึงต้องพิจารณาฐานอื่นตาม [มาตรา 24](https://link.pdpalawbase.com/section/24.md) (1) ถึง (6) กรณีไม่มีฐานทางกฎหมาย ธนาคารต้องขอความยินยอมจากเจ้าของข้อมูลส่วนบุคคลโดยใช้หลักเกณฑ์การขอความยินยอมตาม [มาตรา 19](https://link.pdpalawbase.com/section/19.md) และ [มาตรา 20](https://link.pdpalawbase.com/section/20.md)

กรณีการนำเสนอผลิตภัณฑ์ที่เกี่ยวเนื่องกับผลิตภัณฑ์เดิมให้กับลูกค้าที่ฝากเงิน เช่น บัตร ATM หรือ Mobile Banking ธนาคารอาจพิจารณาใช้ฐานทางกฎหมายตาม [มาตรา 24](https://link.pdpalawbase.com/section/24.md) (5) ได้ โดยพิจารณาถึงความคาดหวังของเจ้าของข้อมูลส่วนบุคคล และความได้สัดส่วนของการชั่งน้ำหนักระหว่างประโยชน์โดยชอบด้วยกฎหมาย (Legitimate Interests) ของธนาคาร กับสิทธิขั้นพื้นฐานในข้อมูลส่วนบุคคลของเจ้าของข้อมูลส่วนบุคคล รวมทั้งอาจพิจารณาทำการประเมินประโยชน์โดยชอบด้วยกฎหมาย (Legitimate Interests Assessment: LIA) เพื่อใช้อ้างอิงประกอบในการจัดทำบันทึกรายการขององค์กรตาม [มาตรา 39](https://link.pdpalawbase.com/section/39.md) ด้วย ทั้งนี้ ธนาคารควรแจ้งให้เจ้าของข้อมูลส่วนบุคคลทราบว่า หากไม่ประสงค์ให้ธนาคารเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลเพื่อวัตถุประสงค์ทางการตลาด เจ้าของข้อมูลส่วนบุคคลสามารถใช้สิทธิคัดค้านการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลที่เกี่ยวกับตนเพื่อวัตถุประสงค์ทางการตลาด (opt-out) ได้ตาม [มาตรา 32](https://link.pdpalawbase.com/section/32.md)

**ประเด็นหารือที่ 2** ในกรณีที่ลูกค้าไม่ให้ความยินยอมแก่ธนาคารสำหรับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลเพื่อวัตถุประสงค์ทางการตลาดในการนำเสนอผลิตภัณฑ์ใหม่ เช่น นำเสนอผลิตภัณฑ์สินเชื่อกับลูกค้าเงินฝาก หรือการนำเสนอผลิตภัณฑ์เดิม เช่น นำเสนอผลิตภัณฑ์เงินฝากประเภทอื่นให้กับลูกค้าที่ใช้ผลิตภัณฑ์เงินฝาก ธนาคารจะไม่มีฐานทางกฎหมายในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล ดังนั้น ธนาคารจึงไม่สามารถทำการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลเพื่อวัตถุประสงค์ทางการตลาดสำหรับกิจกรรมดังกล่าวได้

สำหรับกรณีการนำเสนอผลิตภัณฑ์ที่เกี่ยวเนื่องกับผลิตภัณฑ์เดิมให้กับลูกค้าเงินฝาก เช่น บัตร ATM หรือ Mobile Banking ธนาคารอาจพิจารณาเลือกใช้ฐานใดฐานหนึ่งในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล เช่น ฐานทางกฎหมายตาม [มาตรา 24](https://link.pdpalawbase.com/section/24.md) (5) การจำเป็นเพื่อประโยชน์โดยชอบด้วยกฎหมายของผู้ควบคุมข้อมูลส่วนบุคคล โดยไม่ต้องขอความยินยอมจากลูกค้า แต่กรณีธนาคารเลือกใช้ฐานความยินยอมแล้ว ลูกค้าไม่ให้ความยินยอม ธนาคารจะไม่สามารถนำฐานทางกฎหมายตาม [มาตรา 24](https://link.pdpalawbase.com/section/24.md) (5) มาใช้ในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลกับลูกค้าในกิจกรรมดังกล่าวได้อีก และจะไม่สามารถเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลเพื่อวัตถุประสงค์ทางการตลาดสำหรับกิจกรรมดังกล่าวได้

## เอกสารต้นฉบับ

- [PDF ต้นฉบับ (local)](../../raw/opinions/opinion-5-2566.pdf)
- [ที่มา: pdpc.or.th](https://www.pdpc.or.th/wp-content/uploads/2024/02/PDPC-consultation-05.pdf)

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/opinion/5-2566.md

============================================================
โนด: ข้อหารือ 5/2567
ลิงก์อ้างอิง: https://link.pdpalawbase.com/opinion/5-2567.md

# ข้อหารือที่ 5/2567 เรื่อง สถานีตำรวจ D ขอหารือการโพสต์ภาพใบสำคัญการหย่า

## ข้อกฎหมาย

1. พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 — [มาตรา 4](https://link.pdpalawbase.com/section/4.md) (1), [มาตรา 5](https://link.pdpalawbase.com/section/5.md), [มาตรา 6](https://link.pdpalawbase.com/section/6.md), [มาตรา 19](https://link.pdpalawbase.com/section/19.md), [มาตรา 20](https://link.pdpalawbase.com/section/20.md), [มาตรา 23](https://link.pdpalawbase.com/section/23.md), [มาตรา 24](https://link.pdpalawbase.com/section/24.md), [มาตรา 26](https://link.pdpalawbase.com/section/26.md), [มาตรา 28](https://link.pdpalawbase.com/section/28.md), [มาตรา 29](https://link.pdpalawbase.com/section/29.md), [มาตรา 30](https://link.pdpalawbase.com/section/30.md), [มาตรา 31](https://link.pdpalawbase.com/section/31.md), [มาตรา 32](https://link.pdpalawbase.com/section/32.md), [มาตรา 33](https://link.pdpalawbase.com/section/33.md), [มาตรา 34](https://link.pdpalawbase.com/section/34.md), [มาตรา 35](https://link.pdpalawbase.com/section/35.md), [มาตรา 36](https://link.pdpalawbase.com/section/36.md), [มาตรา 37](https://link.pdpalawbase.com/section/37.md) และ [มาตรา 41](https://link.pdpalawbase.com/section/41.md)
2. พระราชบัญญัติว่าด้วยการกระทำความผิดเกี่ยวกับคอมพิวเตอร์ พ.ศ. 2550 และที่แก้ไขเพิ่มเติม
3. ประมวลกฎหมายอาญา — มาตรา 326 และมาตรา 328
4. ประมวลกฎหมายแพ่งและพาณิชย์ — มาตรา 420

## ข้อหารือ

สถานีตำรวจ D แจ้งว่า มีผู้กล่าวหาผู้ใช้ TikTok ในข้อหาตาม PDPA · ผู้ใช้ TikTok ได้โพสต์ภาพใบสำคัญการหย่าที่มีชื่อและนามสกุลของผู้กล่าวหา ทำให้ได้รับความเสียหาย · ขอหารือว่า:
- ภาพใบสำคัญการหย่าที่มีชื่อ-สกุล = ข้อมูลส่วนบุคคลตาม PDPA หรือไม่
- เป็นความผิดตามกฎหมายหรือไม่ มาตราใด
- คณะกรรมการ คคส. มีมาตรการอย่างไร · ผู้กล่าวหายื่นคำร้องเรียนได้หรือไม่
- การกระทำเป็นการใช้/เปิดเผยข้อมูลส่วนบุคคลที่มีความละเอียดอ่อนโดยมิชอบหรือไม่

## ความเห็น

ตาม [มาตรา 6](https://link.pdpalawbase.com/section/6.md) "ข้อมูลส่วนบุคคล" = ข้อมูลเกี่ยวกับบุคคลธรรมดาซึ่งทำให้สามารถระบุตัวบุคคลนั้นได้ไม่ว่าทางตรงหรือทางอ้อม · **ภาพใบสำคัญการหย่าที่ปรากฏชื่อและนามสกุลของผู้กล่าวหา จึงถือเป็นข้อมูลส่วนบุคคลตาม PDPA**

สำหรับการนำภาพไปโพสต์ใน TikTok จะอยู่ภายใต้บังคับ PDPA และมีความผิดหรือไม่ — [มาตรา 5](https://link.pdpalawbase.com/section/5.md) วรรคหนึ่งกำหนดว่า PDPA ใช้บังคับแก่การเก็บ/ใช้/เปิดเผยข้อมูลส่วนบุคคลโดยผู้ควบคุมข้อมูลซึ่งอยู่ในราชอาณาจักร · [มาตรา 6](https://link.pdpalawbase.com/section/6.md) กำหนดว่า "ผู้ควบคุมข้อมูลส่วนบุคคล" = บุคคลหรือนิติบุคคลซึ่งมีอำนาจหน้าที่ตัดสินใจเกี่ยวกับการเก็บ/ใช้/เปิดเผยข้อมูล

เมื่อพิจารณาบทบัญญัติแห่งกฎหมายที่กำหนดหน้าที่และความรับผิดชอบไว้หลายประการ (ฐานทางกฎหมาย [มาตรา 24](https://link.pdpalawbase.com/section/24.md)/[มาตรา 26](https://link.pdpalawbase.com/section/26.md), privacy notice [มาตรา 23](https://link.pdpalawbase.com/section/23.md), ส่งข้อมูลข้ามชาติ [มาตรา 28](https://link.pdpalawbase.com/section/28.md)/[มาตรา 29](https://link.pdpalawbase.com/section/29.md), มาตรการความมั่นคง [มาตรา 37](https://link.pdpalawbase.com/section/37.md), สิทธิเจ้าของข้อมูล [มาตรา 30](https://link.pdpalawbase.com/section/30.md)–[มาตรา 36](https://link.pdpalawbase.com/section/36.md), DPO [มาตรา 41](https://link.pdpalawbase.com/section/41.md)) — **เห็นได้ว่ากฎหมายมุ่งประสงค์ใช้บังคับแก่บุคคลธรรมดา/นิติบุคคลที่มีการเก็บ/ใช้/เปิดเผยข้อมูลส่วนบุคคลอย่างเป็นระบบหรือเป็นประจำสม่ำเสมอเพื่อวัตถุประสงค์อย่างใดอย่างหนึ่ง**

ประกอบกับ **[มาตรา 4](https://link.pdpalawbase.com/section/4.md) (1) กำหนดข้อยกเว้นไม่ให้นำ PDPA ไปใช้บังคับแก่การเก็บ/ใช้/เปิดเผยข้อมูลของบุคคลที่ทำการเก็บรวบรวมข้อมูลเพื่อประโยชน์ส่วนตนหรือเพื่อกิจกรรมในครอบครัว** (household exception)

ดังนั้น สถานีตำรวจ D ต้องพิจารณาว่าการกระทำของผู้ต้องหา (บุคคลธรรมดา) เป็นการเก็บ/ใช้/เปิดเผยข้อมูลส่วนบุคคล**เพื่อประโยชน์ส่วนตนหรือเพื่อกิจกรรมในครอบครัว**หรือไม่ · หากพิจารณาแล้วเห็นว่า การกระทำมีวัตถุประสงค์เพื่อประโยชน์ส่วนตน โดยไม่มีลักษณะเป็นการเก็บ/ใช้/เปิดเผยข้อมูลอย่างเป็นระบบหรือเป็นประจำสม่ำเสมอ — **ย่อมไม่อยู่ในขอบเขตการบังคับใช้ PDPA ตาม [มาตรา 4](https://link.pdpalawbase.com/section/4.md) (1)**

อย่างไรก็ดี หากการกระทำมีลักษณะเป็นการละเมิดสิทธิในความเป็นส่วนตัวของบุคคลอื่นเกินสมควร หรือเข้าองค์ประกอบความผิดตามกฎหมายอื่นใด ผู้กระทำอาจมีความรับผิดตามกฎหมายเหล่านั้น เช่น **พ.ร.บ. ว่าด้วยการกระทำความผิดเกี่ยวกับคอมพิวเตอร์**, **ป.อ. ฐานหมิ่นประมาท (ม.326/328)**, หรือ**การทำละเมิดตาม ป.พ.พ. มาตรา 420**

(หมายเหตุ: ruling pattern เดียวกับ opinion-4/2567 และ opinion-6/2567 ที่ตำรวจคนละสถานี-คนละ social media ได้รับคำตอบเดียวกัน)

## เอกสารต้นฉบับ

- [PDF ต้นฉบับ (local)](../../raw/opinions/opinion-5-2567.pdf)
- [ที่มา: pdpc.or.th](https://www.pdpc.or.th/wp-content/uploads/2024/06/PDPC-consultation-34.pdf)

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/opinion/5-2567.md

============================================================
โนด: ข้อหารือ 5/2568
ลิงก์อ้างอิง: https://link.pdpalawbase.com/opinion/5-2568.md

# ข้อหารือที่ 5/2568 เรื่อง บริษัท Y หารือเกี่ยวกับการแต่งตั้งเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล (DPO)

## ข้อกฎหมาย

_(ไม่ปรากฏหัวข้อข้อกฎหมายในเอกสารต้นฉบับ — ฐานทางกฎหมายที่อ้างถึงใน "ความเห็น" ประกอบด้วย [มาตรา 6](https://link.pdpalawbase.com/section/6.md), [มาตรา 29](https://link.pdpalawbase.com/section/29.md) วรรคสอง, [มาตรา 41](https://link.pdpalawbase.com/section/41.md) (2)/วรรคสอง/วรรคห้า/วรรคหก/วรรคเจ็ด และ [มาตรา 42](https://link.pdpalawbase.com/section/42.md) วรรคสอง/วรรคสาม/วรรคสี่ แห่ง PDPA + ประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง การจัดให้มีเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลตามมาตรา 41 (2) แห่ง พ.ร.บ.ฯ พ.ศ. 2566 (ข้อ 3/4/5/6))_

## ข้อหารือ

_(ไม่ปรากฏหัวข้อข้อหารือในเอกสารต้นฉบับ — ในความเห็นได้สรุปประเด็นข้อหารือ 10 ประเด็น: ประเด็นที่ 1–9 ว่าด้วยเงื่อนไขที่บริษัท Y/บริษัทในเครือต้องจัดให้มี DPO ตามมาตรา 41 (2) สำหรับการดำเนินกิจกรรมในแต่ละกรณี และประเด็นที่ 10 ว่าด้วยการแต่งตั้งบุคคลภายในหรือภายนอกเป็น DPO และเงื่อนไขความเป็นอิสระ)_

## ความเห็น

คณะอนุกรรมการตอบข้อหารือและให้คำแนะนำในการปฏิบัติตามกฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคล ในคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล ได้พิจารณาเรื่องหารือดังกล่าวแล้ว มีความเห็น ดังนี้

### ประเด็นข้อหารือที่ 1 ถึง 9 (เงื่อนไขการจัดให้มี DPO ตามมาตรา 41 (2))

ประเด็นข้อหารือที่ 1 ถึง 9 เห็นว่า [มาตรา 41](https://link.pdpalawbase.com/section/41.md) (2) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 กำหนดให้ผู้ควบคุมข้อมูลส่วนบุคคลและผู้ประมวลผลข้อมูลส่วนบุคคลที่การดำเนินกิจกรรมของผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคลในการเก็บรวบรวม ใช้ หรือเปิดเผย จำเป็นต้องตรวจสอบข้อมูลส่วนบุคคลหรือระบบอย่างสม่ำเสมอ โดยเหตุที่มีข้อมูลส่วนบุคคลเป็นจำนวนมากตามที่คณะกรรมการคุ้มครองข้อมูลส่วนบุคคลประกาศกำหนด ต้องจัดให้มีเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล (Data Protection Officer: DPO) โดยข้อ 4 ของประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง การจัดให้มีเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลตาม [มาตรา 41](https://link.pdpalawbase.com/section/41.md) (2) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 พ.ศ. 2566 กำหนดให้ผู้ควบคุมข้อมูลส่วนบุคคลและผู้ประมวลผลข้อมูลส่วนบุคคลที่การดำเนินกิจกรรมในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลซึ่งเป็นส่วนหนึ่งของกิจกรรมหลัก (core activities) จำเป็นต้องตรวจสอบข้อมูลส่วนบุคคลหรือระบบอย่างสม่ำเสมอ โดยเหตุที่มีข้อมูลส่วนบุคคลเป็นจำนวนมาก (on a large scale) ตามข้อ 5 และข้อ 6 ของประกาศดังกล่าว ต้องจัดให้มีเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลของตน โดยข้อ 5 กำหนดหลักเกณฑ์และเงื่อนไขในการพิจารณาว่าการดำเนินกิจกรรมใดที่ถือเป็นกรณีที่มีความจำเป็นต้องตรวจสอบข้อมูลส่วนบุคคลหรือระบบอย่างสม่ำเสมอ และข้อ 6 กำหนดหลักเกณฑ์และเงื่อนไขในการพิจารณาว่าการดำเนินกิจกรรมใดที่ถือว่ามีข้อมูลส่วนบุคคลเป็นจำนวนมาก (on a large scale)

ดังนั้น ผู้ควบคุมข้อมูลส่วนบุคคลและผู้ประมวลผลข้อมูลส่วนบุคคลที่จะต้องจัดให้มีเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลของตนตาม [มาตรา 41](https://link.pdpalawbase.com/section/41.md) (2) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ประกอบกับประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง การจัดให้มีเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลตาม [มาตรา 41](https://link.pdpalawbase.com/section/41.md) (2) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 พ.ศ. 2566 ดังกล่าว จะต้องมีเงื่อนไขทั้ง 3 ประการ คือ

(1) มีการดำเนินกิจกรรมในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลของผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคลนั้น ที่จำเป็นต้องตรวจสอบข้อมูลส่วนบุคคลหรือระบบอย่างสม่ำเสมอ (regular and systematic monitoring of data subjects) ตามข้อ 5 ของประกาศฯ โดยข้อ 5 วรรคหนึ่ง กำหนดเป็นหลักการว่า การดำเนินกิจกรรมใดที่มีการติดตาม (track) เฝ้าสังเกต (monitor) วิเคราะห์ หรือทำนายพฤติกรรม ทัศนคติ หรือลักษณะเฉพาะของบุคคล (profile) ซึ่งโดยทั่วไปการดำเนินการดังกล่าวจะมีการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลอย่างเป็นระบบ (systematic) และเกิดขึ้นเป็นประจำหรือเป็นปกติธุระ (regular) ให้ถือว่ามีความจำเป็นต้องตรวจสอบข้อมูลส่วนบุคคลหรือระบบอย่างสม่ำเสมอ นอกจากนี้ ข้อ 5 วรรคสอง ได้กำหนดให้การเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลที่มีลักษณะหรือรูปแบบเฉพาะตามตัวอย่างที่กำหนด ถือเป็นกรณีที่มีความจำเป็นต้องตรวจสอบข้อมูลส่วนบุคคลหรือระบบอย่างสม่ำเสมอด้วย

(2) การดำเนินกิจกรรมในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลตาม (1) นั้น เป็นกรณีที่มีข้อมูลส่วนบุคคลเป็นจำนวนมาก (on a large scale) ตามข้อ 6 ของประกาศฯ โดยข้อ 6 วรรคหนึ่ง กำหนดเป็นหลักการว่า การพิจารณาว่าการดำเนินกิจกรรมใด เป็นกรณีที่มีข้อมูลส่วนบุคคลเป็นจำนวนมาก (on a large scale) ให้พิจารณาชั่งน้ำหนักจากปัจจัย 4 ข้อ ได้แก่ 1) จำนวนหรือสัดส่วนของเจ้าของข้อมูลส่วนบุคคลที่เกี่ยวข้อง 2) ปริมาณ ประเภท หรือลักษณะของข้อมูลส่วนบุคคลที่มีการเก็บรวบรวม ใช้ หรือเปิดเผย 3) ระยะเวลา (duration) หรือความคงอยู่ (permanence) ของการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล และ 4) ขอบเขตการใช้ข้อมูลส่วนบุคคลขององค์กร หรือตามขนาดพื้นที่ หรือจำนวนประเทศ นอกจากนี้ ข้อ 6 วรรคสอง ได้กำหนดให้การเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลที่มีลักษณะหรือรูปแบบเฉพาะตามตัวอย่างที่กำหนด ถือเป็นกรณีที่มีข้อมูลส่วนบุคคลเป็นจำนวนมาก (on a large scale)

(3) การดำเนินกิจกรรมในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลตาม (1) และ (2) นั้น จะต้องเป็นส่วนหนึ่งของกิจกรรมหลัก (core activities) ตามบทนิยามคำว่า “กิจกรรมหลัก (core activities)” ในข้อ 3 ของประกาศฯ ซึ่งหมายถึงการดำเนินการที่จำเป็นและมีความสำคัญเพื่อบรรลุวัตถุประสงค์หรือเป้าหมายหลักในการดำเนินงานในกิจการหรือภารกิจของผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคล เช่น การเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลของลูกค้า แต่ไม่รวมถึงกิจกรรมเสริมที่เป็นเพียงงานสนับสนุนในการดำเนินงานของผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคล เช่น การเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลสำหรับงานสนับสนุนด้านบุคลากรและเทคโนโลยีสารสนเทศของหน่วยงาน

ตามประเด็นข้อหารือที่ 1 ถึง 7 บริษัทฯ Y หรือบริษัทในเครือของบริษัท Y แล้วแต่กรณี มีฐานะเป็นผู้ประมวลผลข้อมูลส่วนบุคคล (data processor) ซึ่งดำเนินการเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลตามคำสั่งหรือในนามของผู้ควบคุมข้อมูลส่วนบุคคล ส่วนประเด็นข้อหารือที่ 8 และ 9 บริษัท Y หรือบริษัทในเครือของบริษัท Y แล้วแต่กรณี มีฐานะเป็นผู้ควบคุมข้อมูลส่วนบุคคล (data controller) ซึ่งมีอำนาจหน้าที่ตัดสินใจเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล ทั้งนี้ ตามบทนิยามใน [มาตรา 6](https://link.pdpalawbase.com/section/6.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 โดยในที่นี้ ข้อมูลส่วนบุคคล หมายความว่า ข้อมูลเกี่ยวกับบุคคลธรรมดาซึ่งทำให้สามารถระบุตัวบุคคลนั้นได้ไม่ว่าทางตรงหรือทางอ้อม แต่ไม่รวมถึงข้อมูลของผู้ถึงแก่กรรมโดยเฉพาะ ข้อมูลส่วนบุคคลจึงอาจเป็นข้อมูลที่มีตัวระบุทางตรง (direct identifier) ของเจ้าของข้อมูลส่วนบุคคล เช่น ชื่อ เลขประจำตัวประชาชน หมายเลขลูกค้า ชื่อบัญชีผู้ใช้งาน (username) ในระบบสารสนเทศ หมายเลขโทรศัพท์ และที่อยู่ไปรษณีย์อิเล็กทรอนิกส์ (e-mail address) เฉพาะตัวของบุคคล เป็นต้น หรือข้อมูลที่สามารถระบุตัวบุคคลที่เป็นเจ้าของข้อมูลส่วนบุคคลได้จากข้อมูลที่เป็นตัวระบุทางอ้อม (indirect identifiers) เช่น วันเดือนปีเกิด อายุ ตำแหน่งงาน สังกัด วันเดือนปีที่เข้ารับบริการ ที่อยู่ และ IP address เป็นต้น ก็ได้ ดังนั้น แม้ข้อมูลที่มีการเก็บรวบรวม ใช้ หรือเปิดเผย จะเป็นข้อมูลที่มีการเข้ารหัส (encryption) หรือข้อมูลการทำรายการ (log) ก็อาจถือเป็นข้อมูลส่วนบุคคลที่สามารถระบุตัวบุคคลได้ทางตรงหรือทางอ้อม ซึ่งบริษัท Y หรือบริษัทในเครือของบริษัท Y ในฐานะผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคล แล้วแต่กรณี มีหน้าที่ต้องปฏิบัติให้เป็นไปตามกฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคลด้วย

เมื่อพิจารณาจากข้อเท็จจริงตามประเด็นข้อหารือที่ 1, 2, 4, 8 และ 9 แล้ว จะเห็นว่า การดำเนินกิจกรรมในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลของบริษัท Y หรือบริษัทในเครือของบริษัท Y แล้วแต่กรณี ตามประเด็นที่หารือดังกล่าว เป็นส่วนหนึ่งของกิจกรรมหลัก (core activities) และมีลักษณะที่มีความจำเป็นต้องตรวจสอบข้อมูลส่วนบุคคลหรือระบบอย่างสม่ำเสมอ ตามข้อ 5 ของประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง การจัดให้มีเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลตาม [มาตรา 41](https://link.pdpalawbase.com/section/41.md) (2) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 พ.ศ. 2566 ตามข้อ 5 วรรคหนึ่ง และ/หรือข้อ 5 วรรคสอง (1) หรือ (2) เช่น การให้บริการระบบ ATM และระบบ Prompt Pay ให้กับธนาคาร โดยธรรมชาติจะต้องมีการติดตาม (tracking) หรือเฝ้าสังเกต (monitoring) การใช้บริการของลูกค้าที่เป็นเจ้าของข้อมูลส่วนบุคคลอย่างเป็นระบบ (systematic) และเกิดขึ้นเป็นประจำหรือเป็นปกติธุระ (regular) และอาจมีการวิเคราะห์ หรือทำนายพฤติกรรม ทัศนคติ หรือลักษณะเฉพาะของบุคคล (profiling) อย่างเป็นระบบ (systematic) และเกิดขึ้นเป็นประจำหรือเป็นปกติธุระ (regular) ด้วย จึงถือว่ามีความจำเป็นต้องตรวจสอบข้อมูลส่วนบุคคลหรือระบบอย่างสม่ำเสมอ ตามข้อ 5 ของประกาศดังกล่าว จึงมีประเด็นที่บริษัท Y หรือบริษัทในเครือของบริษัท Y แล้วแต่กรณี จะต้องพิจารณาเพียงว่า การดำเนินกิจกรรมในแต่ละกรณีดังกล่าวนั้น เป็นกรณีที่มีข้อมูลส่วนบุคคลเป็นจำนวนมาก (on a large scale) เมื่อพิจารณาชั่งน้ำหนักจากปัจจัย 4 ข้อตามข้อ 6 วรรคหนึ่งของประกาศฯ หรือมีลักษณะตามข้อใดข้อหนึ่งในข้อ 6 วรรคสอง เช่น มีจำนวนเจ้าของข้อมูลส่วนบุคคลที่มีการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล ตั้งแต่ 100,000 รายขึ้นไป ตามข้อ 6 วรรคสอง (1) หรือเป็นการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลของลูกค้าหรือผู้รับบริการตามการดำเนินงานปกติโดยผู้ประกอบธุรกิจสถาบันการเงินตามกฎหมายว่าด้วยธุรกิจสถาบันการเงิน ตามข้อ 6 วรรคสอง (2) ของประกาศฯ หรือไม่ หากพิจารณาแล้วเห็นว่า เป็นกรณีที่มีข้อมูลส่วนบุคคลเป็นจำนวนมาก (on a large scale) ก็จะถือว่าเข้าเงื่อนไขครบ 3 ประการ ในการจัดให้มีเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลของตน ส่วนประเด็นข้อหารือที่ 3, 5, 6 และ 7 ยังไม่ปรากฏข้อเท็จจริงที่ชัดเจนจากหนังสือที่หารือว่ามีลักษณะที่มีความจำเป็นต้องตรวจสอบข้อมูลส่วนบุคคลหรือระบบอย่างสม่ำเสมอ ตามข้อ 5 ของประกาศฯ หรือไม่ และเป็นกรณีที่มีข้อมูลส่วนบุคคลเป็นจำนวนมาก (on a large scale) ตามข้อ 6 ของประกาศฯ หรือไม่ บริษัท Y หรือบริษัทในเครือของบริษัท Y แล้วแต่กรณี จึงควรพิจารณาตามข้อเท็จจริงให้เป็นไปตามหลักเกณฑ์และเงื่อนไขของประกาศฯ และเจตนารมณ์ของกฎหมายต่อไป

หากบริษัท Y หรือบริษัทในเครือของบริษัท Y แล้วแต่กรณี พิจารณาแล้วเห็นว่า มีการดำเนินกิจกรรมในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล ที่เข้าเงื่อนไขที่จะต้องจัดให้มีเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลของตน เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลที่บริษัท Y หรือบริษัทในเครือของบริษัท Y แล้วแต่กรณี จัดให้มีขึ้นจะถือเป็นเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลของบริษัท Y หรือบริษัทในเครือของบริษัท Y แล้วแต่กรณี โดยไม่ต้องจัดให้มีเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลแยกเป็นรายกิจกรรมแต่อย่างใด โดยการที่ผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคลจัดให้มีเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลของตน เนื่องจากการดำเนินกิจกรรมใดกิจกรรมหนึ่งของตนเข้าเงื่อนไขครบถ้วนตามที่ประกาศฯ กำหนด ย่อมทำให้เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลดังกล่าวมีหน้าที่ตามที่กำหนดไว้ใน [มาตรา 42](https://link.pdpalawbase.com/section/42.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 สำหรับการดำเนินกิจกรรมในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลทุกกิจกรรมของบุคคลหรือนิติบุคคลที่เป็นผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคลดังกล่าว

สำหรับประเด็นข้อหารือที่ 7 และ 8 ซึ่งเป็นการดำเนินกิจกรรมของบริษัทในเครือของบริษัท Y แต่ไม่ใช่การดำเนินกิจกรรมของบริษัท Y เองนั้น คณะอนุกรรมการตอบข้อหารือฯ มีความเห็นเพิ่มเติมว่า การจัดให้มีเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล ในกรณีที่บริษัทในเครือของบริษัท Y พิจารณาแล้วเห็นว่า เข้าเงื่อนไขตาม [มาตรา 41](https://link.pdpalawbase.com/section/41.md) (2) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ประกอบข้อ 4 ข้อ 5 และข้อ 6 ของประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง การจัดให้มีเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลตาม [มาตรา 41](https://link.pdpalawbase.com/section/41.md) (2) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 พ.ศ. 2566 ซึ่งจำเป็นต้องจัดให้มีเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลตามพระราชบัญญัตินี้ ผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคลที่อยู่ในเครือกิจการหรือเครือธุรกิจเดียวกันเพื่อการประกอบกิจการหรือธุรกิจร่วมกัน (ตามความหมายที่คณะกรรมการคุ้มครองข้อมูลส่วนบุคคลประกาศกำหนดในประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง หลักเกณฑ์การให้ความคุ้มครองข้อมูลส่วนบุคคลที่ส่งหรือโอนไปยังต่างประเทศตาม [มาตรา 29](https://link.pdpalawbase.com/section/29.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 พ.ศ. 2566 ซึ่งออกตามความใน [มาตรา 29](https://link.pdpalawbase.com/section/29.md) วรรคสอง) อาจจัดให้มีเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลร่วมกันได้ ทั้งนี้ สถานที่ทำการแต่ละแห่งของผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคลที่อยู่ในเครือกิจการหรือเครือธุรกิจเดียวกันดังกล่าว ต้องสามารถติดต่อกับเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลได้โดยง่าย ตาม [มาตรา 41](https://link.pdpalawbase.com/section/41.md) วรรคสอง แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 บริษัท Y และบริษัทในเครือของบริษัท Y จึงอาจพิจารณาจัดให้มีเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลร่วมกัน เพื่อทำหน้าที่ตาม [มาตรา 42](https://link.pdpalawbase.com/section/42.md) สำหรับการดำเนินกิจกรรมต่าง ๆ ที่มีการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล ทั้งของบริษัท Y และบริษัทในเครือของบริษัท Y ได้หากเห็นสมควร

### ประเด็นข้อหารือที่ 10 (การแต่งตั้งบุคคลภายใน/ภายนอกเป็น DPO + เงื่อนไขความเป็นอิสระ)

ในประเด็นข้อหารือที่ 10 เห็นว่า บริษัท Y ในฐานะผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคล สามารถแต่งตั้งบุคคลภายในที่เป็นพนักงานขององค์กร หรือบุคคลภายนอกที่เป็นผู้รับจ้างให้บริการตามสัญญา เป็นเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลก็ได้ ตาม [มาตรา 41](https://link.pdpalawbase.com/section/41.md) วรรคเจ็ด แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 และเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลอาจปฏิบัติหน้าที่หรือภารกิจอื่นได้ แต่ผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคลต้องรับรองกับสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลว่าหน้าที่หรือภารกิจดังกล่าวต้องไม่ขัดหรือแย้งต่อการปฏิบัติหน้าที่ตามพระราชบัญญัติดังกล่าว ตาม [มาตรา 42](https://link.pdpalawbase.com/section/42.md) วรรคสี่ นอกจากนี้ ผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคลต้องสนับสนุนการปฏิบัติหน้าที่ของเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล โดยจัดหาเครื่องมือหรืออุปกรณ์อย่างเพียงพอ รวมทั้งอำนวยความสะดวกในการเข้าถึงข้อมูลส่วนบุคคลเพื่อการปฏิบัติหน้าที่ ตาม [มาตรา 42](https://link.pdpalawbase.com/section/42.md) วรรคสอง และจะให้เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลออกจากงานหรือเลิกสัญญาการจ้างด้วยเหตุที่เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลปฏิบัติหน้าที่ตามพระราชบัญญัตินี้ไม่ได้ ทั้งนี้ ในกรณีที่มีปัญหาในการปฏิบัติหน้าที่ เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลต้องสามารถรายงานไปยังผู้บริหารสูงสุดของผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคลโดยตรงได้ ตาม [มาตรา 42](https://link.pdpalawbase.com/section/42.md) วรรคสาม

ดังนั้น หากบริษัท Y เห็นว่า เพื่อประโยชน์ในการดำเนินงานของบริษัท Y ให้เป็นไปตามกฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคล เห็นควรแต่งตั้งหรือมอบหมายพนักงานของฝ่ายกฎหมาย หรือฝ่ายอื่นใด เป็นเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลของบริษัท Y ก็ย่อมสามารถทำได้ โดยเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลที่ได้รับแต่งตั้งหรือมอบหมาย จะต้องไม่มีหน้าที่หรือภารกิจอื่นที่ขัดหรือแย้งต่อการปฏิบัติหน้าที่ตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 โดยอาจพิจารณาว่าผู้นั้นมีหน้าที่หรือภารกิจอื่นที่ต้องตัดสินใจหรือรับผิดชอบเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลโดยตรง อันจะขัดหรือแย้งกับการปฏิบัติหน้าที่ในฐานะเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลในการตรวจสอบการดำเนินงานและให้คำแนะนำเกี่ยวกับการปฏิบัติตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ของตนเอง หรือมีเหตุผลที่อาจทำให้หน้าที่หรือภารกิจอื่นส่งผลให้การปฏิบัติหน้าที่เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลดังกล่าวเสื่อมประสิทธิภาพไปอย่างมีนัยสำคัญหรือไม่ นอกจากนี้ ผู้นั้นจะต้องมีคุณสมบัติตามที่คณะกรรมการคุ้มครองข้อมูลส่วนบุคคลประกาศกำหนด โดยคำนึงถึงความรู้หรือความเชี่ยวชาญเกี่ยวกับการคุ้มครองข้อมูลส่วนบุคคล ตาม [มาตรา 41](https://link.pdpalawbase.com/section/41.md) วรรคหก แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 (ปัจจุบันยังไม่ได้ประกาศกำหนด) และบริษัท Y จะต้องดำเนินการให้เป็นไปตาม [มาตรา 41](https://link.pdpalawbase.com/section/41.md) วรรคห้า และ [มาตรา 42](https://link.pdpalawbase.com/section/42.md) วรรคสอง วรรคสาม และวรรคสี่ แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ด้วย

## เอกสารต้นฉบับ

- [PDF ต้นฉบับ (local)](../../raw/opinions/opinion-5-2568.pdf)
- [ที่มา: pdpc.or.th](https://www.pdpc.or.th/wp-content/uploads/2025/09/PDPCconsultation-54.pdf)

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/opinion/5-2568.md

============================================================
โนด: ข้อหารือ 5/2569
ลิงก์อ้างอิง: https://link.pdpalawbase.com/opinion/5-2569.md

# ข้อหารือที่ 5/2569 เรื่อง สำนักงานหลักประกันสุขภาพแห่งชาติขอหารือปัญหาข้อกฎหมายเกี่ยวกับการจัดทำข้อตกลงการแบ่งปันข้อมูลส่วนบุคคล (Personal Data Sharing Agreement) ระหว่างสำนักงานปลัดกระทรวงสาธารณสุขกับสำนักงานหลักประกันสุขภาพแห่งชาติ

## ข้อกฎหมาย

1. พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 [มาตรา 6](https://link.pdpalawbase.com/section/6.md) [มาตรา 22](https://link.pdpalawbase.com/section/22.md) [มาตรา 23](https://link.pdpalawbase.com/section/23.md) (4) [มาตรา 24](https://link.pdpalawbase.com/section/24.md) (4) และ (6) [มาตรา 25](https://link.pdpalawbase.com/section/25.md) วรรคหนึ่งและ วรรคสอง [มาตรา 26](https://link.pdpalawbase.com/section/26.md) (5) (ค) [มาตรา 27](https://link.pdpalawbase.com/section/27.md) วรรคหนึ่งและวรรคสอง [มาตรา 37](https://link.pdpalawbase.com/section/37.md) (1) (2) และ (3) และ[มาตรา 40](https://link.pdpalawbase.com/section/40.md) วรรคหนึ่ง (1) และวรรคสาม
2. พระราชบัญญัติหลักประกันสุขภาพแห่งชาติ พ.ศ. 2545 มาตรา 24 วรรคหนึ่ง มาตรา 26 มาตรา 45 และมาตรา 46
3. พระราชบัญญัติการบริหารงานและการให้บริการภาครัฐผ่านระบบดิจิทัล พ.ศ. 2562 มาตรา 13 มาตรา 14 และมาตรา 16
4. พระราชบัญญัติปรับปรุงกระทรวง ทบวง กรม พ.ศ. 2545 และที่แก้ไขเพิ่มเติม มาตรา 43 (2)
5. พระราชบัญญัติระเบียบบริหารราชการแผ่นดิน พ.ศ. 2534 และที่แก้ไขเพิ่มเติม มาตรา 7 วรรคสาม และมาตรา 18 วรรคสอง
6. ประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง มาตรการรักษาความมั่นคง ปลอดภัยของข้อมูลส่วนบุคคล พ.ศ. 2565 ข้อ 4
7. ประกาศคณะกรรมการหลักประกันสุขภาพแห่งชาติและคณะกรรมการควบคุมคุณภาพ และมาตรฐานบริการสาธารณสุข เรื่อง หลักเกณฑ์การให้บริการสาธารณสุขแก่ผู้รับบริการ และการจัดทำระบบข้อมูลการให้บริการสาธารณสุขของหน่วยบริการ พ.ศ. 2565
8. ประกาศสำนักงานหลักประกันสุขภาพแห่งชาติ เรื่อง การจัดทำระบบข้อมูลการให้บริการ สาธารณสุข เพื่อขอรับค่าใช้จ่ายเพื่อบริการสาธารณสุข กรณีการจ่ายตามรายการบริการ พ.ศ. 2567
9. ประกาศสำนักงานหลักประกันสุขภาพแห่งชาติ เรื่อง โครงสร้างชุดข้อมูลเพื่อการเรียกเก็บ ค่าใช้จ่ายเพื่อบริการสาธารณสุข (e-Claim) พ.ศ. 2564
10. ประกาศสำนักงานหลักประกันสุขภาพแห่งชาติ เรื่อง โครงสร้างชุดข้อมูลการขอบริการ ยืนยันและพิสูจน์ตัวตน พ.ศ. 2564

## ข้อหารือ

สำนักงานหลักประกันสุขภาพแห่งชาติ (สปสช.) แจ้งว่า สปสช. เป็นหน่วยงานของรัฐ มีฐานะเป็นนิติบุคคล อยู่ภายใต้การกำกับดูแลของรัฐมนตรีว่าการกระทรวงสาธารณสุข มีอำนาจหน้าที่ตาม มาตรา 26 แห่งพระราชบัญญัติหลักประกันสุขภาพแห่งชาติ พ.ศ. 2545 ซึ่งรวมถึงการเก็บ รวบรวม วิเคราะห์ ข้อมูลเกี่ยวกับการดำเนินงานการบริการสาธารณสุข การจ่ายค่าใช้จ่ายเพื่อบริการสาธารณสุขตามที่ คณะกรรมการหลักประกันสุขภาพแห่งชาติกำหนดให้แก่หน่วยบริการและเครือข่ายหน่วยบริการ ตรวจสอบเอกสารหลักฐานการเรียกเก็บค่าใช้จ่ายเพื่อบริการสาธารณสุขของหน่วยบริการ และกำกับดูแล หน่วยบริการและเครือข่ายหน่วยบริการในการให้บริการสาธารณสุขให้เป็นไปตามมาตรฐานที่คณะกรรมการ หลักประกันสุขภาพแห่งชาติกำหนด ในการให้บริการสาธารณสุขนั้น พระราชบัญญัติหลักประกันสุขภาพ แห่งชาติ พ.ศ. 2545 กำหนดให้มี “หน่วยบริการ” เพื่อให้มีหน้าที่ให้บริการสาธารณสุข ให้ข้อมูลการบริการ สาธารณสุขของผู้รับบริการ ให้ข้อมูลที่เกี่ยวกับชื่อแพทย์ เจ้าหน้าที่สาธารณสุข หรือผู้รับผิดชอบในการดูแล รักษาความลับของผู้รับบริการ และจัดทำระบบข้อมูลการให้บริการสาธารณสุขเพื่อสะดวกต่อการตรวจสอบ คุณภาพและบริการ รวมทั้งการขอรับค่าใช้จ่ายเพื่อบริการสาธารณสุข โดยในการให้บริการสาธารณสุขและ การจัดทำระบบข้อมูลการให้บริการสาธารณสุขดังกล่าว มาตรา 45 วรรคสอง แห่งพระราชบัญญัติหลักประกัน สุขภาพแห่งชาติ พ.ศ. 2545 กำหนดให้หน่วยบริการปฏิบัติตามหลักเกณฑ์ที่คณะกรรมการหลักประกัน สุขภาพแห่งชาติและคณะกรรมการควบคุมคุณภาพและมาตรฐานบริการสาธารณสุขกำหนด

ทั้งนี้ หน่วยบริการ เครือข่ายหน่วยบริการ และหน่วยบริการที่รับการส่งต่อผู้รับบริการมีสิทธิได้รับค่าใช้จ่ายเพื่อบริการสาธารณสุข จากกองทุนตามหลักเกณฑ์ วิธีการ และเงื่อนไขที่คณะกรรมการหลักประกันสุขภาพแห่งชาติกำหนด เพื่อประโยชน์ในการเก็บ รวบรวม วิเคราะห์ข้อมูลเกี่ยวกับการดำเนินงานการบริการสาธารณสุข การจ่ายค่าใช้จ่าย เพื่อบริการสาธารณสุขให้แก่หน่วยบริการและเครือข่ายหน่วยบริการ การตรวจสอบเอกสารหลักฐานการเรียกเก็บ ค่าใช้จ่ายเพื่อบริการสาธารณสุขของหน่วยบริการ และเพื่อกำกับดูแลหน่วยบริการและเครือข่ายหน่วยบริการ ในการให้บริการสาธารณสุขให้เป็นไปตามมาตรฐาน สปสช. จึงอาศัยอำนาจตามพระราชบัญญัติหลักประกัน สุขภาพแห่งชาติ พ.ศ. 2545 และประกาศคณะกรรมการหลักประกันสุขภาพแห่งชาติและคณะกรรมการ ควบคุมคุณภาพและมาตรฐานบริการสาธารณสุข เรื่อง หลักเกณฑ์การให้บริการสาธารณสุขแก่ผู้รับบริการ และการจัดทำระบบข้อมูลการให้บริการสาธารณสุขของหน่วยบริการ พ.ศ. 2565 ออกประกาศที่เกี่ยวข้องกับ ระบบข้อมูลการให้บริการสาธารณสุขและการจ่ายค่าใช้จ่ายเพื่อบริการสาธารณสุข เพื่อให้หน่วยบริการและ หน่วยงานที่เกี่ยวข้องปฏิบัติให้เป็นไปตามหน้าที่ตามกฎหมาย สำนักงานปลัดกระทรวงสาธารณสุขและ สปสช. ได้มีการประชุมหารือร่างข้อตกลง การเปิดเผยข้อมูลส่วนบุคคลระหว่างกัน เมื่อวันที่ 10 กันยายน 2567 และต่อมาสำนักงานปลัดกระทรวง สาธารณสุขได้มีหนังสือมายัง สปสช. เพื่อขอความร่วมมือให้แจ้งผลความก้าวหน้าในการพิจารณาร่างข้อตกลง การเปิดเผยข้อมูลส่วนบุคคลระหว่างกัน เพื่อให้เป็นไปตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ซึ่งในประเด็นนี้ สปสช. พิจารณาแล้วเห็นว่า สปสช. เป็นหน่วยงานของรัฐที่มีอำนาจและหน้าที่ ตามมาตรา 26 แห่งพระราชบัญญัติหลักประกันสุขภาพแห่งชาติ พ.ศ. 2545 โดยมีอำนาจหน้าที่ตัดสินใจ เกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลในการดำเนินงานตามกฎหมาย จึงถือเป็น “ผู้ควบคุม ข้อมูลส่วนบุคคล” ตามมาตรา 6 แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 สำหรับ หน่วยบริการในสังกัดสำนักงานปลัดกระทรวงสาธารณสุขมีหน้าที่ต้องส่งข้อมูลส่วนบุคคลให้แก่ สปสช. เพื่อให้เป็นไปตามมาตรา 45 และมาตรา 46 แห่งพระราชบัญญัติหลักประกันสุขภาพแห่งชาติ พ.ศ. 2545

ทั้งนี้ ตามหลักเกณฑ์ที่คณะกรรมการหลักประกันสุขภาพแห่งชาติและคณะกรรมการควบคุมคุณภาพ และมาตรฐานบริการสาธารณสุขกำหนด ได้แก่ ประกาศคณะกรรมการหลักประกันสุขภาพแห่งชาติ และคณะกรรมการควบคุมคุณภาพและมาตรฐานบริการสาธารณสุข เรื่อง หลักเกณฑ์การให้บริการสาธารณสุข แก่ผู้รับบริการและการจัดทำระบบข้อมูลการให้บริการสาธารณสุขของหน่วยบริการ พ.ศ. 2565 หรือประกาศ ของ สปสช. เช่น ประกาศสำนักงานหลักประกันสุขภาพแห่งชาติ เรื่อง การจัดทำระบบข้อมูลการให้บริการ สาธารณสุข เพื่อขอรับค่าใช้จ่ายเพื่อบริการสาธารณสุข กรณีการจ่ายตามรายการบริการ พ.ศ. 2567 ประกาศสำนักงานหลักประกันสุขภาพแห่งชาติ เรื่อง โครงสร้างชุดข้อมูลเพื่อการเรียกเก็บค่าใช้จ่ายเพื่อบริการ สาธารณสุข (e-Claim) พ.ศ. 2564 หรือประกาศสำนักงานหลักประกันสุขภาพแห่งชาติ เรื่อง โครงสร้างชุดข้อมูล การขอบริการยืนยันและพิสูจน์ตัวตน พ.ศ. 2564 ข้อมูลที่หน่วยบริการส่งมาให้ สปสช. เพื่อใช้ในการเบิกจ่าย ค่าใช้จ่ายเพื่อบริการสาธารณสุขเป็นการจัดส่งข้อมูลตามพระราชบัญญัติหลักประกันสุขภาพแห่งชาติ พ.ศ. 2545 จึงเป็นข้อมูลที่อยู่ในความควบคุมของ สปสช. ซึ่งสำนักงานปลัดกระทรวงสาธารณสุขมีความเห็นว่า ข้อมูลการให้บริการสาธารณสุขเป็นข้อมูลที่อยู่ในความควบคุมของสำนักงานปลัดกระทรวงสาธารณสุข สำนักงานปลัดกระทรวงสาธารณสุขจึงอยู่ในฐานะ “ผู้ควบคุมข้อมูลส่วนบุคคล” ตาม[มาตรา 6](https://link.pdpalawbase.com/section/6.md) แห่งพระราชบัญญัติ คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 กรณีดังกล่าวจึงมีปัญหาข้อกฎหมายเกี่ยวกับผู้ที่มีหน้าที่ในการควบคุม ข้อมูลและมีประเด็นปัญหาเกี่ยวกับการจัดทำข้อตกลงการแบ่งปันข้อมูลส่วนบุคคล (Personal Data Sharing Agreement) ระหว่างสำนักงานปลัดกระทรวงสาธารณสุขกับ สปสช.

ดังนั้น เพื่อให้การเก็บ รวบรวม วิเคราะห์ข้อมูลเกี่ยวกับการดำเนินงานการบริการสาธารณสุข การจ่ายค่าใช้จ่ายเพื่อบริการสาธารณสุขให้แก่หน่วยบริการและเครือข่ายหน่วยบริการ และการตรวจสอบ เอกสารหลักฐานการเรียกเก็บค่าใช้จ่ายเพื่อบริการสาธารณสุขของหน่วยบริการ ตามอำนาจหน้าที่ของ สปสช. ที่กำหนดในพระราชบัญญัติหลักประกันสุขภาพแห่งชาติ พ.ศ. 2545 เป็นไปอย่างมีประสิทธิภาพ บรรลุวัตถุประสงค์ของกฎหมาย และสอดคล้องกับหลักเกณฑ์ กลไก หรือมาตรการกำกับดูแลเกี่ยวกับการให้ ความคุ้มครองข้อมูลส่วนบุคคลที่กำหนดในพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 สปสช. จึงขอหารือในประเด็น ดังต่อไปนี้
1. สปสช. จำเป็นที่จะต้องลงนามในข้อตกลงการแบ่งปันข้อมูลส่วนบุคคล (Personal Data Sharing Agreement) ตามที่สำนักงานปลัดกระทรวงสาธารณสุขเสนอมาหรือไม่ อย่างไร
2. หาก สปสช. พิจารณาแล้วเห็นว่า การลงนามในข้อตกลงการแบ่งปันข้อมูลส่วนบุคคล (Personal Data Sharing Agreement) กับสำนักงานปลัดกระทรวงสาธารณสุขจะมีผลทำให้การบังคับใช้ พระราชบัญญัติหลักประกันสุขภาพแห่งชาติ พ.ศ. 2545 เสื่อมประสิทธิภาพ หรือไม่อาจสำเร็จตาม วัตถุประสงค์ได้ ในกรณีนี้ จะมีมาตรการดำเนินการตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 หรือไม่ อย่างไร

## ความเห็น

คณะอนุกรรมการตอบข้อหารือและให้คำแนะนำในการปฏิบัติตามกฎหมายว่าด้วยการคุ้มครอง ข้อมูลส่วนบุคคล ในคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล ได้พิจารณาข้อหารือดังกล่าวแล้ว มีความเห็นว่า สำนักงานหลักประกันสุขภาพแห่งชาติ (สปสช.) เป็นหน่วยงานของรัฐมีฐานะเป็นนิติบุคคลตามมาตรา 24 วรรคหนึ่ง แห่งพระราชบัญญัติหลักประกันสุขภาพแห่งชาติ พ.ศ. 2545 ซึ่งเป็นกฎหมายที่บัญญัติขึ้นเพื่อจัดระบบการให้บริการ สาธารณสุขที่จำเป็นต่อสุขภาพและการดำรงชีวิตให้มีการรักษาพยาบาลที่มีมาตรฐาน โดยมีองค์กรกำกับดูแล ซึ่งจะดำเนินการโดยการมีส่วนร่วมกันระหว่างภาครัฐและภาคประชาชนเพื่อจัดการให้มีระบบการรักษาพยาบาล ที่มีประสิทธิภาพทั้งประเทศ และให้ประชาชนชาวไทยมีสิทธิได้รับการบริการสาธารณสุขที่มีมาตรฐานด้วยกันทุกคน อันเป็นไปตามบทบัญญัติแห่งรัฐธรรมนูญที่บัญญัติให้ชนชาวไทยย่อมมีสิทธิเสมอกันในการรับบริการสาธารณสุข ที่ได้มาตรฐาน และผู้ยากไร้มีสิทธิได้รับการรักษาพยาบาลจากสถานบริการสาธารณสุขของรัฐโดยไม่เสียค่าใช้จ่าย ตามที่กฎหมายบัญญัติ และการให้บริการสาธารณสุขของรัฐต้องเป็นไปอย่างทั่วถึงและมีประสิทธิภาพ โดยจะต้อง ส่งเสริมให้องค์กรปกครองส่วนท้องถิ่นและเอกชนมีส่วนร่วมเท่าที่จะกระทำได้ และรัฐต้องจัดและส่งเสริม การสาธารณสุขให้ประชาชนได้รับบริการที่ได้มาตรฐานและมีประสิทธิภาพอย่างทั่วถึง สปสช. จึงมีอำนาจหน้าที่ ตัดสินใจเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลในการดำเนินงานตามอำนาจหน้าที่

ดังนั้น สปสช. จึงถือเป็นผู้ควบคุมข้อมูลส่วนบุคคลตาม[มาตรา 6](https://link.pdpalawbase.com/section/6.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ในขณะที่สำนักงานปลัดกระทรวง กระทรวงสาธารณสุข (สป.สธ.) เป็นส่วนราชการที่สังกัด กระทรวงสาธารณสุขตามมาตรา 43 (2) แห่งพระราชบัญญัติปรับปรุงกระทรวง ทบวง กรม พ.ศ. 2545 มีฐานะ เป็นกรมตามมาตรา 18 วรรคสอง แห่งพระราชบัญญัติระเบียบบริหารราชการแผ่นดิน พ.ศ. 2534 และมีฐานะ เป็นนิติบุคคลตามมาตรา 7 วรรคสาม แห่งพระราชบัญญัติเดียวกัน สถานบริการสาธารณสุขของรัฐที่สังกัด สป.สธ. ซึ่งเป็นหน่วยบริการตามพระราชบัญญัติหลักประกันสุขภาพแห่งชาติ พ.ศ. 2545 มีหน้าที่ตามมาตรา 45 แห่งพระราชบัญญัติหลักประกันสุขภาพแห่งชาติ พ.ศ. 2545 ในการให้บริการสาธารณสุข รวมทั้งการใช้วัคซีน ยา เวชภัณฑ์ อุปกรณ์ในการรักษาที่ได้มาตรฐานและมีคุณภาพ ให้ข้อมูลการบริการสาธารณสุขของผู้รับบริการ ตามที่ผู้รับบริการร้องขอและตามประกาศที่มีการกำหนดเกี่ยวกับสิทธิของผู้ป่วยและผู้รับบริการ เพื่อให้ผู้รับบริการ ตัดสินใจในการเลือกรับบริการหรือถูกส่งต่อ รักษาความลับของผู้รับบริการจากการปฏิบัติหน้าที่ และจัดทำระบบ ข้อมูลการให้บริการสาธารณสุข เพื่อสะดวกต่อการตรวจสอบคุณภาพและบริการ รวมทั้งการขอรับค่าใช้จ่ายเพื่อบริการ สาธารณสุข เป็นต้น โดยในการให้บริการสาธารณสุขแก่ผู้รับบริการและการจัดทำระบบข้อมูลการให้บริการสาธารณสุข ให้หน่วยบริการปฏิบัติตามหลักเกณฑ์ที่คณะกรรมการหลักประกันสุขภาพแห่งชาติและคณะกรรมการควบคุมคุณภาพ และมาตรฐานบริการสาธารณสุขกำหนด และหน่วยบริการดังกล่าวมีสิทธิได้รับค่าใช้จ่ายเพื่อบริการสาธารณสุข จากกองทุนหลักประกันสุขภาพแห่งชาติตามหลักเกณฑ์ วิธีการ และเงื่อนไขที่คณะกรรมการหลักประกันสุขภาพ แห่งชาติกำหนด ตามมาตรา 46 วรรคหนึ่ง แห่งพระราชบัญญัติหลักประกันสุขภาพแห่งชาติ พ.ศ. 2545 ซึ่งในการดำเนินงานของหน่วยบริการที่มีการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล หน่วยบริการ ดังกล่าว (และ/หรือหน่วยงานต้นสังกัดที่เป็นนิติบุคคล) ย่อมมีอำนาจหน้าที่ตัดสินใจเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลตามหน้าที่และอำนาจที่กฎหมายกำหนด รวมถึงการดำเนินการตามภารกิจ ที่เกี่ยวข้อง

ดังนั้น ในการดำเนินงานของหน่วยบริการที่สังกัด สป.สธ. ดังกล่าว ที่มีการเก็บรวบรวม ใช้ หรือเปิดเผย ข้อมูลส่วนบุคคล สป.สธ. ในฐานะส่วนราชการต้นสังกัดที่มีฐานะเป็นนิติบุคคลของหน่วยบริการดังกล่าว จะอยู่ในฐานะผู้ควบคุมข้อมูลส่วนบุคคลตาม[มาตรา 6](https://link.pdpalawbase.com/section/6.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ด้วยเหตุนี้ การที่หน่วยบริการที่สังกัด สป.สธ. ส่งข้อมูลส่วนบุคคลของผู้ป่วยหรือผู้รับบริการ ให้แก่ สปสช. เพื่อขอรับค่าใช้จ่ายเพื่อบริการสาธารณสุข ตามมาตรา 45 และมาตรา 46 แห่งพระราชบัญญัติ หลักประกันสุขภาพแห่งชาติ พ.ศ. 2545 จึงถือเป็นการเปิดเผยข้อมูลส่วนบุคคลที่เป็นการปฏิบัติตามกฎหมาย ของผู้ควบคุมข้อมูลส่วนบุคคล ตามนัย[มาตรา 24](https://link.pdpalawbase.com/section/24.md) (6) ประกอบ[มาตรา 27](https://link.pdpalawbase.com/section/27.md) วรรคหนึ่ง แห่งพระราชบัญญัติ คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 หรือในกรณีที่เป็นข้อมูลส่วนบุคคลตามมาตรา 26 ก็ถือเป็นการเปิดเผย ข้อมูลส่วนบุคคลที่เป็นการจำเป็นในการปฏิบัติตามกฎหมายเพื่อให้บรรลุวัตถุประสงค์เกี่ยวกับหลักประกันสุขภาพ แห่งชาติ ตามมาตรา 26 (5) (ค) ประกอบมาตรา 27 วรรคหนึ่ง แห่งพระราชบัญญัติดังกล่าว ซึ่งได้รับยกเว้น ไม่ต้องขอความยินยอมจากเจ้าของข้อมูลส่วนบุคคล

คณะอนุกรรมการตอบข้อหารือฯ มีข้อสังเกตว่า การที่ สปสช. เก็บรวบรวมข้อมูลส่วนบุคคล ดังกล่าว เพื่อใช้ในการดำเนินงานตามอำนาจหน้าที่ตามมาตรา 26 แห่งพระราชบัญญัติหลักประกันสุขภาพแห่งชาติ พ.ศ. 2545 ซึ่งรวมถึงอำนาจหน้าที่ในการเก็บ รวบรวม วิเคราะห์ข้อมูลเกี่ยวกับการดำเนินงานการบริการ สาธารณสุข การจัดให้มีทะเบียนผู้รับบริการ หน่วยบริการ และเครือข่ายหน่วยบริการ การบริหารกองทุน หลักประกันสุขภาพแห่งชาติ การจ่ายค่าใช้จ่ายเพื่อบริการสาธารณสุขให้แก่หน่วยบริการและเครือข่าย หน่วยบริการ การตรวจสอบเอกสารหลักฐานการเรียกเก็บค่าใช้จ่ายเพื่อบริการสาธารณสุขของหน่วยบริการ การดำเนินการเพื่อให้ประชาชนมีหน่วยบริการประจำ และการขอเปลี่ยนหน่วยบริการประจำ รวมทั้ง ประชาสัมพันธ์เพื่อให้ประชาชนทราบข้อมูลของหน่วยบริการ การกำกับดูแลหน่วยบริการและเครือข่าย หน่วยบริการในการให้บริการสาธารณสุขให้เป็นไปตามมาตรฐานที่คณะกรรมการหลักประกันสุขภาพแห่งชาติ กำหนด และอำนวยความสะดวกในการเสนอเรื่องร้องเรียน ตลอดจนการปฏิบัติหน้าที่อื่น ๆ ของ สปสช. ยังถือเป็นการปฏิบัติตามกฎหมายของผู้ควบคุมข้อมูลส่วนบุคคล ตามมาตรา 24 (6) หรือเป็นการจำเป็นเพื่อ การปฏิบัติหน้าที่ในการดำเนินภารกิจเพื่อประโยชน์สาธารณะของผู้ควบคุมข้อมูลส่วนบุคคล หรือปฏิบัติหน้าที่ ในการใช้อำนาจรัฐที่ได้มอบให้แก่ผู้ควบคุมข้อมูลส่วนบุคคล ตามมาตรา 24 (4) แห่งพระราชบัญญัติคุ้มครองข้อมูล ส่วนบุคคล พ.ศ. 2562 และในกรณีที่เป็นข้อมูลส่วนบุคคลตาม[มาตรา 26](https://link.pdpalawbase.com/section/26.md) ก็ถือเป็นการจำเป็นในการปฏิบัติตาม กฎหมายเพื่อให้บรรลุวัตถุประสงค์เกี่ยวกับหลักประกันสุขภาพแห่งชาติ ตาม[มาตรา 26](https://link.pdpalawbase.com/section/26.md) (5) (ค) แห่งพระราชบัญญัติ คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ซึ่ง สปสช. สามารถทำการเก็บรวบรวมข้อมูลส่วนบุคคลดังกล่าวจาก แหล่งอื่นที่ไม่ใช่จากเจ้าของข้อมูลส่วนบุคคลโดยตรงได้ตาม[มาตรา 25](https://link.pdpalawbase.com/section/25.md) วรรคหนึ่ง (2) และไม่ต้องแจ้งรายละเอียด ในการเก็บรวบรวมข้อมูลส่วนบุคคลตาม[มาตรา 23](https://link.pdpalawbase.com/section/23.md) เนื่องจากไม่ใช่กรณีที่ทำการเก็บรวบรวมข้อมูลส่วนบุคคล จากแหล่งอื่นที่ต้องได้รับความยินยอมตาม[มาตรา 25](https://link.pdpalawbase.com/section/25.md) วรรคหนึ่ง (1)

ทั้งนี้ ตามนัย[มาตรา 25](https://link.pdpalawbase.com/section/25.md) วรรคสอง แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562

อย่างไรก็ตาม หน่วยบริการที่ให้บริการสาธารณสุข แก่ผู้ป่วยหรือผู้รับบริการ และจะต้องเปิดเผยข้อมูลส่วนบุคคลของผู้นั้นให้แก่ สปสช. ควรระบุประเภทของบุคคล หรือหน่วยงานซึ่งข้อมูลส่วนบุคคลที่เก็บรวบรวมอาจจะถูกเปิดเผย ซึ่งเป็นส่วนหนึ่งของรายละเอียดใน การเก็บรวบรวมข้อมูลส่วนบุคคลที่หน่วยบริการต้องแจ้งให้ผู้ป่วยหรือผู้รับบริการในฐานะเจ้าของข้อมูลส่วนบุคคลทราบ (privacy notice) ตาม[มาตรา 23](https://link.pdpalawbase.com/section/23.md) (4) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ให้ครอบคลุม การเปิดเผยข้อมูลส่วนบุคคลให้แก่ สปสช. และ/หรือกองทุนประกันสุขภาพต่าง ๆ ด้วย เนื่องจากกระทรวงสาธารณสุข โดย สป.สธ. ได้พัฒนาระบบศูนย์กลางข้อมูลด้านการเงิน (Financial Data Hub) ซึ่งมีการเก็บรวบรวมข้อมูลส่วนบุคคลเกี่ยวกับการให้บริการสาธารณสุขแก่ผู้ป่วยของ หน่วยบริการในสังกัดกระทรวงสาธารณสุข เพื่อประโยชน์ในการขอรับค่าใช้จ่ายเพื่อบริการสาธารณสุข รวมทั้ง เพื่อการวิเคราะห์ วางแผน กำกับดูแล ติดตาม ประเมินผล และบริหารจัดการในภารกิจตามหน้าที่และอำนาจ ของตน

ดังนั้น หาก สปสช. หรือหน่วยงานที่เกี่ยวข้อง ประสงค์จะใช้ข้อมูลส่วนบุคคลในรูปแบบข้อมูลดิจิทัล จากระบบดังกล่าวที่กระทรวงสาธารณสุข โดย สป.สธ. ได้มาหรือมีอยู่ในความครอบครอง เพื่อประโยชน์ ในการบริหารราชการแผ่นดินและการให้บริการประชาชน กระทรวงสาธารณสุข โดย สป.สธ. ก็สามารถจัดให้มี การเชื่อมโยงและแลกเปลี่ยนข้อมูลดิจิทัลที่มีการจัดทำและครอบครองตามที่หน่วยงานของรัฐแห่งอื่นร้องขอ ที่จะเกิดการบูรณาการร่วมกันได้ ตามมาตรา 13 แห่งพระราชบัญญัติการบริหารงานและการให้บริการภาครัฐ ผ่านระบบดิจิทัล พ.ศ. 2562 โดยจะต้องปฏิบัติให้เป็นไปตามกฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคล ด้วย ตามนัยมาตรา 16 แห่งพระราชบัญญัติดังกล่าว

ทั้งนี้ สปสช. ในฐานะหน่วยงานของรัฐผู้รับข้อมูลดิจิทัล ดังกล่าวต้องใช้ข้อมูลตามวัตถุประสงค์ในหน้าที่และอำนาจของตนเท่านั้น และต้องดูแลรักษาข้อมูลให้มี ความมั่นคงปลอดภัย ไม่มีการเปิดเผยหรือโอนข้อมูลไปยังบุคคลที่ไม่มีสิทธิเข้าถึงข้อมูล ตามมาตรา 14 แห่งพระราชบัญญัติเดียวกัน

ประเด็นข้อหารือที่ 1 เห็นว่า พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 มิได้กำหนดหน้าที่เกี่ยวกับการจัดให้มีข้อตกลงการแบ่งปันข้อมูลส่วนบุคคลระหว่างผู้ควบคุมข้อมูลส่วนบุคคล กับผู้ควบคุมข้อมูลส่วนบุคคลไว้อย่างชัดเจน แต่ผู้ควบคุมข้อมูลส่วนบุคคลที่จะเปิดเผยข้อมูลส่วนบุคคลระหว่างกัน มีหน้าที่ต้องจัดให้มีมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสม เพื่อป้องกันการสูญหาย เข้าถึง ใช้ เปลี่ยนแปลง แก้ไข หรือเปิดเผยข้อมูลส่วนบุคคลโดยปราศจากอำนาจหรือโดยมิชอบ ตาม[มาตรา 37](https://link.pdpalawbase.com/section/37.md) (1) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ซึ่งต้องเป็นไปตามมาตรฐานขั้นต่ำที่กำหนดไว้ ในประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง มาตรการรักษาความมั่นคงปลอดภัยของข้อมูล ส่วนบุคคล พ.ศ. 2565 โดยข้อ 4 ของประกาศดังกล่าวกำหนดว่า มาตรการดังกล่าวจะต้องประกอบด้วย มาตรการเชิงองค์กร (organizational measures) และมาตรการเชิงเทคนิค (technical measures) ที่เหมาะสม ซึ่งอาจรวมถึงมาตรการทางกายภาพ (physical measures) ที่จำเป็นด้วย โดยคำนึงถึงระดับ ความเสี่ยงตามลักษณะและวัตถุประสงค์ของการเก็บรวบรวม ใช้ และเปิดเผยข้อมูลส่วนบุคคล ตลอดจนโอกาส เกิดและผลกระทบจากเหตุการละเมิดข้อมูลส่วนบุคคล ซึ่งการจัดทำข้อตกลงการแบ่งปันข้อมูลส่วนบุคคล (data sharing agreement: DSA) ถือเป็นมาตรการเชิงองค์กรอย่างหนึ่งเพื่อกำหนดวัตถุประสงค์ วิธีการ เงื่อนไข และหน้าที่ความรับผิดชอบของผู้ควบคุมข้อมูลส่วนบุคคลแต่ละฝ่ายในการเก็บรวบรวม ใช้ หรือเปิดเผย ข้อมูลส่วนบุคคล ไม่ว่าจะส่งและรับข้อมูลที่เป็นเอกสารหรือโดยวิธีการทางอิเล็กทรอนิกส์ก็ตาม อันจะเป็น การรักษาความมั่นคงปลอดภัยของข้อมูลส่วนบุคคลที่จะเปิดเผยให้แก่กัน และควบคุมดูแลให้การเก็บรวบรวม ใช้ และเปิดเผยข้อมูลส่วนบุคคลระหว่างกันสอดคล้องกับพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 รวมทั้งยังเป็นมาตรการเพื่อป้องกันมิให้หน่วยงานที่ได้รับข้อมูลส่วนบุคคลใช้หรือเปิดเผยข้อมูลส่วนบุคคล เพื่อวัตถุประสงค์อื่นนอกเหนือจากวัตถุประสงค์ที่ได้แจ้งไว้กับผู้ควบคุมข้อมูลส่วนบุคคลในการขอรับข้อมูล ส่วนบุคคลนั้น ตาม[มาตรา 27](https://link.pdpalawbase.com/section/27.md) วรรคสอง หรือเพื่อป้องกันมิให้หน่วยงานดังกล่าวใช้หรือเปิดเผยข้อมูลส่วนบุคคล โดยปราศจากอำนาจหรือโดยมิชอบ ตาม[มาตรา 37](https://link.pdpalawbase.com/section/37.md) (2) อีกด้วย

นอกจากนี้ ในการเก็บรวบรวม ใช้ หรือเปิดเผย ข้อมูลส่วนบุคคลของ สปสช. ที่เป็นการจำเป็นในการปฏิบัติตามกฎหมายเพื่อให้บรรลุวัตถุประสงค์เกี่ยวกับ หลักประกันสุขภาพแห่งชาติ ตาม[มาตรา 26](https://link.pdpalawbase.com/section/26.md) (5) (ค) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 นั้น สปสช. ในฐานะผู้ควบคุมข้อมูลส่วนบุคคลที่เก็บรวบรวมข้อมูลส่วนบุคคล และ สป.สธ. (รวมถึงหน่วยบริการ ในสังกัด) ในฐานะผู้ควบคุมข้อมูลส่วนบุคคลที่เปิดเผยข้อมูลส่วนบุคคลให้ สปสช. มีหน้าที่ต้องจัดให้มีมาตรการ ที่เหมาะสมเพื่อคุ้มครองสิทธิขั้นพื้นฐานและประโยชน์ของเจ้าของข้อมูลส่วนบุคคล ตามความใน[มาตรา 26](https://link.pdpalawbase.com/section/26.md) (5) (ค) อีกด้วย

ดังนั้น สปสช. และ สป.สธ. อาจพิจารณาหารือร่วมกันตามอำนาจหน้าที่ที่เกี่ยวข้องเพื่อให้ ได้ข้อสรุปเกี่ยวกับมาตรการเชิงองค์กรและมาตรการเชิงเทคนิคที่เหมาะสมกับระดับความเสี่ยงตามลักษณะ และวัตถุประสงค์ของการเก็บรวบรวม ใช้ และเปิดเผยข้อมูลส่วนบุคคล ตลอดจนโอกาสเกิดและผลกระทบ จากเหตุการละเมิดข้อมูลส่วนบุคคลที่อาจเกิดขึ้นจากการเปิดเผยและเก็บรวบรวมข้อมูลส่วนบุคคลดังกล่าวได้ ซึ่งหาก สปสช. และ สป.สธ. เห็นสมควร ก็ย่อมสามารถหารือและตกลงร่วมกันเพื่อจัดทำข้อตกลงการแบ่งปัน ข้อมูลส่วนบุคคลระหว่างกันได้

ทั้งนี้ ไม่ว่าจะมีการจัดทำข้อตกลงการแบ่งปันข้อมูลส่วนบุคคลระหว่างกัน หรือไม่ก็ตาม สปสช. ในฐานะผู้ควบคุมข้อมูลส่วนบุคคลที่เก็บรวบรวมข้อมูลส่วนบุคคลดังกล่าวย่อมมีหน้าที่ ตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ซึ่งรวมถึงการเก็บรวบรวม ใช้ และเปิดเผยข้อมูล ส่วนบุคคลเท่าที่จำเป็นภายใต้วัตถุประสงค์อันชอบด้วยกฎหมายตาม[มาตรา 22](https://link.pdpalawbase.com/section/22.md) การจัดให้มีมาตรการรักษา ความมั่นคงปลอดภัยที่เหมาะสมตาม[มาตรา 37](https://link.pdpalawbase.com/section/37.md) (1) การจัดให้มีระบบการตรวจสอบเพื่อดำเนินการลบหรือ ทำลายข้อมูลส่วนบุคคลตามเงื่อนไขใน[มาตรา 37](https://link.pdpalawbase.com/section/37.md) (3) และการดำเนินการที่เหมาะสมในกรณีที่เจ้าของข้อมูล ส่วนบุคคลขอใช้สิทธิตามหมวด 3 แห่งพระราชบัญญัตินี้ ตลอดจนมีความรับผิดตามกฎหมายที่เกี่ยวข้องอยู่แล้ว การที่ สปสช. จะพิจารณาว่าควรลงนามในข้อตกลงการแบ่งปันข้อมูลส่วนบุคคล ของ สป.สธ. หรือไม่นั้น จึงเป็นกรณีที่ สปสช. สามารถพิจารณาดำเนินการได้ตามที่เห็นสมควร โดยควรคำนึงถึงความจำเป็นในการปฏิบัติหน้าที่ ตามกฎหมายอื่นที่เกี่ยวข้องประกอบด้วย

อนึ่ง [มาตรา 27](https://link.pdpalawbase.com/section/27.md) วรรคสอง แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 บัญญัติว่า บุคคลหรือนิติบุคคลที่ได้รับข้อมูลส่วนบุคคลมาจากการเปิดเผยของผู้ควบคุมข้อมูลส่วนบุคคลอื่น จะต้องไม่ใช้หรือเปิดเผยข้อมูลส่วนบุคคลเพื่อวัตถุประสงค์อื่นนอกเหนือจากวัตถุประสงค์ที่ได้แจ้งไว้กับ ผู้ควบคุมข้อมูลส่วนบุคคลในการขอรับข้อมูลส่วนบุคคลนั้น ซึ่ง สปสช. ในฐานะผู้ควบคุมข้อมูลส่วนบุคคล ที่ได้รับข้อมูลส่วนบุคคลมาจากการเปิดเผยของ สป.สธ. จะต้องดำเนินการให้เป็นไปตามบทบัญญัติดังกล่าวด้วย

ดังนั้น หาก สปสช. มีความจำเป็นต้องใช้ข้อมูลส่วนบุคคลที่ได้รับจาก สป.สธ. เพื่อวัตถุประสงค์อื่นใดนอกเหนือจาก เพื่อการจ่ายค่าใช้จ่ายเพื่อบริการสาธารณสุขให้แก่หน่วยบริการและเครือข่ายหน่วยบริการ สปสช. ก็ควรแจ้ง วัตถุประสงค์เหล่านั้นให้ สป.สธ. หรือหน่วยบริการในสังกัดทราบในการขอรับข้อมูลส่วนบุคคลดังกล่าวไว้ด้วย

ประเด็นข้อหารือที่ 2 เห็นว่า ดังที่ได้กล่าวข้างต้นแล้วว่า การจัดทำข้อตกลงการแบ่งปันข้อมูล ส่วนบุคคล (data sharing agreement: DSA) นั้น ถือเป็นมาตรการเชิงองค์กร (organizational measure) อย่างหนึ่งเพื่อกำหนดวัตถุประสงค์ วิธีการ เงื่อนไข และหน้าที่ความรับผิดชอบของผู้ควบคุมข้อมูลส่วนบุคคล แต่ละฝ่ายในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล อันจะเป็นการรักษาความมั่นคงปลอดภัยของ ข้อมูลส่วนบุคคลที่จะเปิดเผยให้แก่กัน และควบคุมดูแลให้การเก็บรวบรวม ใช้ และเปิดเผยข้อมูลส่วนบุคคล ระหว่างกันสอดคล้องกับพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ซึ่งหาก สปสช. และ สป.สธ. เห็นสมควร ก็ย่อมสามารถหารือและตกลงร่วมกันเพื่อจัดทำข้อตกลงการแบ่งปันข้อมูลส่วนบุคคลระหว่างกันได้ โดยเพื่อให้เป็นไปตามเจตนารมณ์ของกฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคล รายละเอียดของข้อตกลง ดังกล่าว ควรมีเนื้อหาที่ครอบคลุมวัตถุประสงค์ วิธีการ เงื่อนไข และหน้าที่ความรับผิดชอบในการเก็บรวบรวม ใช้ และเปิดเผยข้อมูลส่วนบุคคลของแต่ละฝ่าย (รวมทั้งอาจมีข้อกำหนดเกี่ยวกับระยะเวลาการเก็บรักษา หรือเงื่อนไขในการลบหรือทำลายข้อมูลส่วนบุคคล) ที่ทำให้แต่ละฝ่ายสามารถดำเนินงานของตนในฐานะ ผู้ควบคุมข้อมูลส่วนบุคคลที่มีอำนาจหน้าที่ตัดสินใจในการกำหนดวัตถุประสงค์ (purposes) และวิธีการ (means) ของการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลแยกจากกันได้ โดยไม่เป็นอุปสรรคต่อ การดำเนินงานของกันและกัน โดยเฉพาะในกรณีที่เป็นการปฏิบัติหน้าที่ในการดำเนินภารกิจเพื่อประโยชน์ สาธารณะหรือเป็นการปฏิบัติตามกฎหมาย และไม่ขัดหรือแย้งกับกฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคล

อย่างไรก็ดี เนื่องจากพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ไม่ได้บัญญัติ ให้ต้องมีการจัดให้มีข้อตกลงการแบ่งปันข้อมูลส่วนบุคคลระหว่างผู้ควบคุมข้อมูลส่วนบุคคลด้วยกันตั้งแต่ต้น

ดังนั้น หาก สปสช. เห็นว่า การจัดทำข้อตกลงการแบ่งปันข้อมูลส่วนบุคคลจะทำให้การดำเนินการตามอำนาจ หน้าที่ของ สปสช. ตามกฎหมายว่าด้วยหลักประกันสุขภาพแห่งชาติหรือกฎหมายอื่นขาดประสิทธิภาพ หรือไม่อาจสำเร็จตามวัตถุประสงค์ได้ หรือมีปัญหาอุปสรรคที่ทำให้ไม่สามารถหาข้อสรุปที่เป็นประโยชน์กับ ทั้งสองฝ่ายและเป็นที่ยอมรับร่วมกันได้ ก็อาจพิจารณาไม่จัดทำข้อตกลงดังกล่าวได้ แต่ในกรณีเช่นนี้ แต่ละฝ่ายจะต้องจัดให้มีมาตรการอื่นใดที่เหมาะสมเพื่อคุ้มครองสิทธิขั้นพื้นฐานและประโยชน์ของ เจ้าของข้อมูลส่วนบุคคลได้ในทำนองเดียวกัน ตามความในมาตรา 26 (5) (ค) แห่งพระราชบัญญัติคุ้มครอง ข้อมูลส่วนบุคคล พ.ศ. 2562 ด้วย เช่น ผู้ควบคุมข้อมูลส่วนบุคคลที่เปิดเผยข้อมูลส่วนบุคคลให้แก่อีกฝ่ายหนึ่ง อาจแจ้งวัตถุประสงค์ในการใช้หรือเปิดเผยข้อมูลส่วนบุคคลของฝ่ายที่รับข้อมูลส่วนบุคคลให้ฝ่ายนั้นทราบฝ่ายเดียว แทนการจัดให้มีข้อตกลงระหว่างกัน ส่วนผู้ควบคุมข้อมูลส่วนบุคคลที่ได้รับข้อมูลส่วนบุคคลมาจากการเปิดเผย ดังกล่าวก็อาจดำเนินการฝ่ายเดียวในการกำหนดมาตรการเชิงองค์กร (organizational measures) และ มาตรการเชิงเทคนิค (technical measures) ที่เหมาะสม ซึ่งอาจรวมถึงมาตรการทางกายภาพ (physical measures) ที่จำเป็นด้วย เพื่อจำกัดหรือควบคุมการใช้หรือเปิดเผยข้อมูลส่วนบุคคลที่ได้รับมาดังกล่าวให้ เป็นไปเท่าที่จำเป็นภายใต้วัตถุประสงค์ที่ฝ่ายที่เปิดเผยข้อมูลส่วนบุคคลได้แจ้งไว้ หรือวัตถุประสงค์อื่นใดอันชอบ ด้วยกฎหมายของตน รวมทั้งอาจกำหนดมาตรการอื่นใดเพิ่มเติมเพื่อให้มีการคุ้มครองข้อมูลส่วนบุคคล ที่เหมาะสมและสอดคล้องกับพระราชบัญญัตินี้

คณะอนุกรรมการตอบข้อหารือฯ มีข้อสังเกตเพิ่มเติมว่า กรณีการเปิดเผยข้อมูลส่วนบุคคล ระหว่างผู้ควบคุมข้อมูลส่วนบุคคลกับผู้ควบคุมข้อมูลส่วนบุคคลดังกล่าว ซึ่งพระราชบัญญัติคุ้มครองข้อมูล ส่วนบุคคล พ.ศ. 2562 ไม่ได้บัญญัติให้ต้องมีการจัดทำข้อตกลงการแบ่งปันข้อมูลส่วนบุคคล (data sharing agreement: DSA) ระหว่างกันนั้น มีความแตกต่างจากการเปิดเผยข้อมูลส่วนบุคคลระหว่างผู้ควบคุมข้อมูล ส่วนบุคคลกับผู้ประมวลผลข้อมูลส่วนบุคคลซึ่งดำเนินการเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูล ส่วนบุคคลตามคำสั่งหรือในนามของผู้ควบคุมข้อมูลส่วนบุคคลนั้น ซึ่งผู้ควบคุมข้อมูลส่วนบุคคลจะต้องจัดให้มี ข้อตกลงระหว่างกัน กล่าวคือ ข้อตกลงการประมวลผลข้อมูลส่วนบุคคล (data processing agreement: DPA) เพื่อควบคุมการดำเนินงานตามหน้าที่ของผู้ประมวลผลข้อมูลส่วนบุคคลให้เป็นไปตามพระราชบัญญัติคุ้มครอง ข้อมูลส่วนบุคคล พ.ศ. 2562 ตาม[มาตรา 40](https://link.pdpalawbase.com/section/40.md) วรรคสาม แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 โดยผู้ประมวลผลข้อมูลส่วนบุคคลจะต้องดำเนินการเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผย ข้อมูลส่วนบุคคลตามคำสั่งที่ได้รับจากผู้ควบคุมข้อมูลส่วนบุคคลเท่านั้น เว้นแต่คำสั่งนั้นขัดต่อกฎหมาย หรือบทบัญญัติในการคุ้มครองข้อมูลส่วนบุคคลตามพระราชบัญญัตินี้ ตาม[มาตรา 40](https://link.pdpalawbase.com/section/40.md) วรรคหนึ่ง (1)

## เอกสารต้นฉบับ

- [PDF ต้นฉบับ (local)](../../raw/opinions/opinion-5-2569.pdf)
- [ที่มา: pdpc.or.th](https://www.pdpc.or.th/wp-content/uploads/2026/02/consultation-68.pdf)

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/opinion/5-2569.md

============================================================
โนด: ข้อหารือ 6/2566
ลิงก์อ้างอิง: https://link.pdpalawbase.com/opinion/6-2566.md

# ข้อหารือที่ 6/2566 เรื่อง ธนาคาร ม. ขอหารือเกี่ยวกับการปฏิบัติตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562

## ข้อกฎหมาย

1. พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 — [มาตรา 19](https://link.pdpalawbase.com/section/19.md), [มาตรา 20](https://link.pdpalawbase.com/section/20.md), [มาตรา 24](https://link.pdpalawbase.com/section/24.md) และ [มาตรา 26](https://link.pdpalawbase.com/section/26.md)
2. ประมวลกฎหมายแพ่งและพาณิชย์ — มาตรา 21, 22, 23, 24 และ 27

## ข้อหารือ

ธนาคาร ม. ขอหารือคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลเกี่ยวกับการปฏิบัติตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 กรณีการขอความยินยอมในการเปิดบัญชีและการทำธุรกรรมโดยใช้ Facial recognition และกรณีการทำการตลาดกับลูกค้าซึ่งเป็นผู้เยาว์ โดยมีประเด็นดังนี้

1. กรณีการเปิดบัญชีหรือทำธุรกรรมผ่าน Application Sumo และมีการเก็บรวบรวมและใช้ Facial recognition ของผู้เยาว์ (อายุ 7 ถึง 20 ปีบริบูรณ์) เพื่อพิสูจน์และยืนยันตัวตนของผู้เยาว์ ธนาคารต้องขอความยินยอมหรือไม่ อย่างไร หากต้องขอความยินยอมผู้เยาว์สามารถให้ความยินยอมด้วยตนเองได้หรือไม่
2. กรณีการเปิดบัญชีหรือทำธุรกรรมผ่านเครื่อง Virtual Teller Machine (VTM) และ Mobile Banking ธนาคารมีการเก็บรวบรวมและใช้ Facial recognition ของลูกค้าเพื่อพิสูจน์และยืนยันตัวตน ธนาคารจะต้องขอความยินยอมหรือไม่ อย่างไร
3. กรณีธนาคารนำเสนอผลิตภัณฑ์ใหม่ เพื่อทำการตลาดกับลูกค้าผู้เยาว์ ธนาคารต้องขอความยินยอมจากผู้เยาว์หรือไม่ อย่างไร หากต้องขอความยินยอม ผู้เยาว์สามารถให้ความยินยอมดังกล่าวด้วยตนเองได้หรือไม่
4. กรณีธนาคารนำเสนอผลิตภัณฑ์เดิม เช่น นำเสนอผลิตภัณฑ์เงินฝากประเภทอื่นให้กับลูกค้าผู้เยาว์ที่ใช้ผลิตภัณฑ์เงินฝาก หรือนำเสนอผลิตภัณฑ์ที่เกี่ยวเนื่องกับผลิตภัณฑ์เดิม (บัตร ATM/Mobile Banking) ธนาคารต้องขอความยินยอมจากผู้เยาว์หรือไม่

## ความเห็น

คณะกรรมการคุ้มครองข้อมูลส่วนบุคคล โดยคณะอนุกรรมการเฉพาะกิจตอบข้อหารือและให้คำแนะนำหน่วยงานของรัฐเพื่อรองรับการบังคับใช้พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 พิจารณาประเด็นข้อหารือของธนาคาร ม. แล้ว มีความเห็นพร้อมข้อสังเกต ดังนี้

**ประเด็นหารือที่ 1** กรณีการเก็บรวบรวมข้อมูลส่วนบุคคลของผู้เยาว์ในการเปิดบัญชีธนาคาร อาจพิจารณาฐานทางกฎหมายในการเปิดบัญชีเงินฝากของผู้เยาว์โดยอาศัยเหตุตาม [มาตรา 24](https://link.pdpalawbase.com/section/24.md) (3) แห่ง PDPA กล่าวคือเป็นการจำเป็นเพื่อการปฏิบัติตามสัญญา ซึ่งเจ้าของข้อมูลส่วนบุคคลเป็นคู่สัญญาหรือเพื่อใช้ในการดำเนินการตามคำขอของเจ้าของข้อมูลส่วนบุคคลก่อนเข้าทำสัญญา ซึ่งประเด็นความสามารถของผู้เยาว์ในการทำสัญญาและความสมบูรณ์ของสัญญา ย่อมเป็นไปตามประมวลกฎหมายแพ่งและพาณิชย์ ซึ่งกำหนดว่าผู้เยาว์อาจทำการใด ๆ โดยลำพังได้ตามที่บัญญัติไว้ในมาตรา 22, มาตรา 23 หรือมาตรา 24 แห่งประมวลกฎหมายแพ่งและพาณิชย์ แต่หากเป็นกรณีอื่นที่ผู้เยาว์ไม่อาจทำนิติกรรมโดยลำพังได้ การทำนิติกรรมของผู้เยาว์ต้องได้รับความยินยอมของผู้แทนโดยชอบธรรมก่อน

เนื่องจากกรณีการเปิดบัญชีเงินฝากของผู้เยาว์ที่หารือดังกล่าวไม่ได้ใช้ "ความยินยอม" เป็นฐานทางกฎหมายตาม [มาตรา 24](https://link.pdpalawbase.com/section/24.md) (3) แห่ง PDPA จึงไม่ต้องปฏิบัติตาม [มาตรา 20](https://link.pdpalawbase.com/section/20.md) แห่ง PDPA

สำหรับกิจกรรมที่มีวัตถุประสงค์เพื่อพิสูจน์และยืนยันตัวตนของผู้เยาว์ โดยวิธีนำเทคโนโลยีจดจำใบหน้า (Facial recognition) มาใช้พิสูจน์ยืนยันตัวตนของผู้ทำธุรกรรม ในการดำเนินการดังกล่าวอาจพิจารณาได้ว่าเป็นการเก็บรวบรวมข้อมูลส่วนบุคคลที่มีลักษณะตามนัย [มาตรา 26](https://link.pdpalawbase.com/section/26.md) แห่ง PDPA ซึ่งเทคโนโลยีจดจำใบหน้ามีการใช้เทคนิคที่เกี่ยวข้องกับการนำลักษณะเด่นทางกายภาพหรือทางพฤติกรรมของบุคคลมาใช้ทำให้สามารถยืนยันตัวตนของบุคคลนั้น ที่ไม่เหมือนกับบุคคลอื่นได้ จึงเป็นการเก็บรวบรวมข้อมูลชีวภาพ ตาม [มาตรา 26](https://link.pdpalawbase.com/section/26.md) วรรคสอง

ดังนั้น ธนาคารจึงต้องพิจารณาฐานทางกฎหมายตาม [มาตรา 26](https://link.pdpalawbase.com/section/26.md) วรรคหนึ่ง (1) ถึง (5) ในการเก็บรวบรวมข้อมูลส่วนบุคคลสำหรับกิจกรรมที่มีวัตถุประสงค์เพื่อยืนยันตัวตน เมื่อไม่มีเหตุดังกล่าว ก็จะต้องขอความยินยอมโดยชัดแจ้งจากเจ้าของข้อมูลส่วนบุคคล โดยหลักเกณฑ์การขอความยินยอมของผู้เยาว์จะต้องเป็นไปตาม [มาตรา 19](https://link.pdpalawbase.com/section/19.md) และ [มาตรา 20](https://link.pdpalawbase.com/section/20.md) แห่ง PDPA

**ประเด็นหารือที่ 2** เนื่องจากการเก็บรวบรวมข้อมูลส่วนบุคคลโดยวิธีนำเทคโนโลยีระบบจดจำใบหน้า (Facial recognition) เป็นการเก็บรวบรวมข้อมูลชีวภาพตามนัย [มาตรา 26](https://link.pdpalawbase.com/section/26.md) วรรคสอง แห่ง PDPA ธนาคารจึงต้องพิจารณาฐานทางกฎหมายตาม [มาตรา 26](https://link.pdpalawbase.com/section/26.md) วรรคหนึ่ง (1) ถึง (5) เมื่อไม่มีเหตุดังกล่าวก็จะต้องขอความยินยอมโดยชัดแจ้งจากเจ้าของข้อมูลส่วนบุคคล โดยหลักเกณฑ์การขอความยินยอมจะต้องเป็นไปตาม [มาตรา 19](https://link.pdpalawbase.com/section/19.md) และ [มาตรา 20](https://link.pdpalawbase.com/section/20.md)

**ประเด็นหารือที่ 3** สำหรับกิจกรรมการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลเพื่อวัตถุประสงค์ทางการตลาด ธนาคารจะต้องพิจารณาฐานทางกฎหมาย สำหรับการเปิดบัญชี ธนาคาร ม. สามารถเก็บรวบรวมข้อมูลส่วนบุคคลโดยอาศัยเหตุตามนัย [มาตรา 24](https://link.pdpalawbase.com/section/24.md) (3) ได้ แต่หากการใช้ข้อมูลส่วนบุคคลเพื่อวัตถุประสงค์ทางการตลาดเป็นกิจกรรมที่ไม่เกี่ยวข้องและจำเป็นเพื่อปฏิบัติตามสัญญาเกี่ยวกับการเปิดบัญชี ธนาคารจะไม่สามารถอ้างฐาน [มาตรา 24](https://link.pdpalawbase.com/section/24.md) (3) ได้ ดังนั้น ธนาคารจึงต้องพิจารณาฐานทางกฎหมายอื่น เมื่อพิจารณาวัตถุประสงค์ที่เป็นการนำเสนอผลิตภัณฑ์ใหม่เพื่อทำการตลาด ซึ่งไม่สอดคล้องกับฐานทางกฎหมายอื่นตาม [มาตรา 24](https://link.pdpalawbase.com/section/24.md) (1) ถึง (6) จึงควรขอความยินยอมจากเจ้าของข้อมูลส่วนบุคคล โดยหลักเกณฑ์การขอความยินยอมต้องเป็นไปตาม [มาตรา 19](https://link.pdpalawbase.com/section/19.md) และ [มาตรา 20](https://link.pdpalawbase.com/section/20.md)

ส่วนประเด็นเรื่องการขอความยินยอมจากผู้เยาว์ซึ่งยังไม่บรรลุนิติภาวะ ตามมาตรา 27 แห่งประมวลกฎหมายแพ่งและพาณิชย์ เมื่อคำนึงถึงความเหมาะสมด้านวุฒิภาวะของผู้เยาว์ในการตัดสินใจเพื่อทำการตลาด ประกอบกับผลกระทบจากการตัดสินใจ จึงเห็นว่า การขอความยินยอมในการทำการตลาดกับลูกค้าที่เป็นผู้เยาว์ดังกล่าว ควรได้รับความยินยอมจากผู้ใช้อำนาจปกครองที่มีอำนาจกระทำการแทนผู้เยาว์ด้วย

**ประเด็นหารือที่ 4** สำหรับกรณีนำเสนอผลิตภัณฑ์เดิมหรือผลิตภัณฑ์ที่เกี่ยวเนื่อง ธนาคารต้องพิจารณาฐานทางกฎหมายตาม [มาตรา 24](https://link.pdpalawbase.com/section/24.md) หากไม่ได้เกี่ยวข้องและจำเป็นเพื่อการปฏิบัติตามสัญญาตาม [มาตรา 24](https://link.pdpalawbase.com/section/24.md) (3) และไม่สอดคล้องกับฐานอื่นตาม [มาตรา 24](https://link.pdpalawbase.com/section/24.md) (1) (2) (4) (5) และ (6) จะต้องได้รับความยินยอมจากเจ้าของข้อมูลส่วนบุคคล โดยหลักเกณฑ์การขอความยินยอมต้องเป็นไปตาม [มาตรา 19](https://link.pdpalawbase.com/section/19.md) และ [มาตรา 20](https://link.pdpalawbase.com/section/20.md) · กรณีผู้เยาว์ — เช่นเดียวกับประเด็นที่ 3 ควรได้รับความยินยอมจากผู้ใช้อำนาจปกครองด้วย

## เอกสารต้นฉบับ

- [PDF ต้นฉบับ (local)](../../raw/opinions/opinion-6-2566.pdf)
- [ที่มา: pdpc.or.th](https://www.pdpc.or.th/wp-content/uploads/2024/02/PDPC-consultation-06.pdf)

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/opinion/6-2566.md

============================================================
โนด: ข้อหารือ 6/2567
ลิงก์อ้างอิง: https://link.pdpalawbase.com/opinion/6-2567.md

# ข้อหารือที่ 6/2567 เรื่อง สถานีตำรวจ E ขอหารือข้อกฎหมายเกี่ยวกับพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562

## ข้อกฎหมาย

1. พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 — [มาตรา 4](https://link.pdpalawbase.com/section/4.md) (1), [มาตรา 5](https://link.pdpalawbase.com/section/5.md), [มาตรา 6](https://link.pdpalawbase.com/section/6.md), [มาตรา 19](https://link.pdpalawbase.com/section/19.md), [มาตรา 20](https://link.pdpalawbase.com/section/20.md), [มาตรา 23](https://link.pdpalawbase.com/section/23.md), [มาตรา 24](https://link.pdpalawbase.com/section/24.md), [มาตรา 26](https://link.pdpalawbase.com/section/26.md), [มาตรา 28](https://link.pdpalawbase.com/section/28.md), [มาตรา 29](https://link.pdpalawbase.com/section/29.md), [มาตรา 30](https://link.pdpalawbase.com/section/30.md), [มาตรา 31](https://link.pdpalawbase.com/section/31.md), [มาตรา 32](https://link.pdpalawbase.com/section/32.md), [มาตรา 33](https://link.pdpalawbase.com/section/33.md), [มาตรา 34](https://link.pdpalawbase.com/section/34.md), [มาตรา 35](https://link.pdpalawbase.com/section/35.md), [มาตรา 36](https://link.pdpalawbase.com/section/36.md), [มาตรา 37](https://link.pdpalawbase.com/section/37.md) และ [มาตรา 41](https://link.pdpalawbase.com/section/41.md)
2. พระราชบัญญัติว่าด้วยการกระทำความผิดเกี่ยวกับคอมพิวเตอร์ พ.ศ. 2550 และที่แก้ไขเพิ่มเติม
3. ประมวลกฎหมายอาญา — มาตรา 326 และมาตรา 328
4. ประมวลกฎหมายแพ่งและพาณิชย์ — มาตรา 420

## ข้อหารือ

สถานีตำรวจ E แจ้งว่า มีผู้เสียหายมาร้องทุกข์ให้ดำเนินคดีกับผู้ต้องหาในความผิดฐานเปิดเผยข้อมูลส่วนบุคคลตาม PDPA · พนักงานสอบสวนได้สอบสวนรวบรวมพยานหลักฐานเสนออัยการ B พิจารณา · อัยการ B ให้พนักงานสอบสวนสอบถามมายังสำนักงาน คคส. ว่า กรณีที่**บุคคลธรรมดาได้รับข้อมูลส่วนบุคคลของบุคคลอื่น (เช่น ภาพถ่าย) มาจากผู้ควบคุมข้อมูลโดยไม่มีอำนาจตามกฎหมาย** แล้วนำภาพถ่ายไปเผยแพร่ในแอปพลิเคชันเฟซบุ๊กพร้อมข้อความหมิ่นประมาทเจ้าของข้อมูล โดยไม่ได้รับอนุญาตจากเจ้าของข้อมูล กรณีดังกล่าวอยู่ภายใต้บังคับ PDPA หรือไม่

## ความเห็น

ตาม [มาตรา 6](https://link.pdpalawbase.com/section/6.md) "ข้อมูลส่วนบุคคล" = ข้อมูลเกี่ยวกับบุคคลธรรมดาซึ่งทำให้สามารถระบุตัวบุคคลนั้นได้ไม่ว่าทางตรงหรือทางอ้อม · **ภาพถ่ายบุคคลหรือข้อมูลอื่นเกี่ยวกับบุคคลที่สามารถระบุตัวได้ จึงถือเป็นข้อมูลส่วนบุคคลตาม PDPA**

สำหรับการนำภาพถ่าย/ข้อมูลส่วนบุคคลไปโพสต์ในแอปพลิเคชันเฟซบุ๊ก จะอยู่ภายใต้บังคับ PDPA และมีความผิดหรือไม่ — [มาตรา 5](https://link.pdpalawbase.com/section/5.md) วรรคหนึ่งกำหนดว่า PDPA ใช้บังคับแก่การเก็บ/ใช้/เปิดเผยข้อมูลโดยผู้ควบคุมข้อมูลซึ่งอยู่ในราชอาณาจักร · [มาตรา 6](https://link.pdpalawbase.com/section/6.md) กำหนดว่า "ผู้ควบคุมข้อมูลส่วนบุคคล" = บุคคลหรือนิติบุคคลซึ่งมีอำนาจหน้าที่ตัดสินใจเกี่ยวกับการเก็บ/ใช้/เปิดเผยข้อมูล

เมื่อพิจารณาบทบัญญัติแห่งกฎหมายที่กำหนดหน้าที่และความรับผิดชอบไว้หลายประการ — เห็นได้ว่ากฎหมายมุ่งประสงค์ใช้บังคับแก่บุคคลธรรมดา/นิติบุคคลที่มีการเก็บ/ใช้/เปิดเผยข้อมูลส่วนบุคคลอย่างเป็นระบบหรือเป็นประจำสม่ำเสมอเพื่อวัตถุประสงค์อย่างใดอย่างหนึ่ง

ประกอบกับ **[มาตรา 4](https://link.pdpalawbase.com/section/4.md) (1) กำหนดข้อยกเว้นไม่ให้นำ PDPA ไปใช้บังคับแก่การเก็บ/ใช้/เปิดเผยข้อมูลของบุคคลที่ทำการเก็บรวบรวมข้อมูลเพื่อประโยชน์ส่วนตนหรือเพื่อกิจกรรมในครอบครัว** (household exception)

ดังนั้น สถานีตำรวจ E ต้องพิจารณาว่าการกระทำของผู้ต้องหา (บุคคลธรรมดา) เป็นการเก็บ/ใช้/เปิดเผยข้อมูลส่วนบุคคล**เพื่อประโยชน์ส่วนตนหรือเพื่อกิจกรรมในครอบครัว**หรือไม่ · หากพิจารณาแล้วเห็นว่า การกระทำมีวัตถุประสงค์เพื่อประโยชน์ส่วนตน โดยไม่มีลักษณะเป็นการเก็บ/ใช้/เปิดเผยข้อมูลอย่างเป็นระบบหรือเป็นประจำสม่ำเสมอ — **ย่อมไม่อยู่ในขอบเขตการบังคับใช้ PDPA ตาม [มาตรา 4](https://link.pdpalawbase.com/section/4.md) (1)**

อย่างไรก็ดี หากการกระทำมีลักษณะเป็นการละเมิดสิทธิในความเป็นส่วนตัวของบุคคลอื่นเกินสมควร หรือเข้าองค์ประกอบความผิดตามกฎหมายอื่นใด ผู้กระทำอาจมีความรับผิดตามกฎหมายเหล่านั้น เช่น **พ.ร.บ. ว่าด้วยการกระทำความผิดเกี่ยวกับคอมพิวเตอร์**, **ป.อ. ฐานหมิ่นประมาท (ม.326/328)**, หรือ**การทำละเมิดตาม ป.พ.พ. มาตรา 420**

(หมายเหตุ: ruling pattern เดียวกับ opinion-4/2567 และ opinion-5/2567 — 3 ฉบับนี้ทำหน้าที่เป็น **template ruling** ของ คคส. สำหรับกรณี "ตำรวจสอบสวนเอกชนโพสต์ social media โดยอ้าง PDPA")

## เอกสารต้นฉบับ

- [PDF ต้นฉบับ (local)](../../raw/opinions/opinion-6-2567.pdf)
- [ที่มา: pdpc.or.th](https://www.pdpc.or.th/wp-content/uploads/2024/06/PDPC-consultation-35.pdf)

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/opinion/6-2567.md

============================================================
โนด: ข้อหารือ 6/2568
ลิงก์อ้างอิง: https://link.pdpalawbase.com/opinion/6-2568.md

# ข้อหารือที่ 6/2568 เรื่อง สำนักงานคณะกรรมการดิจิทัลเพื่อเศรษฐกิจและสังคมแห่งชาติและสำนักงานปลัดกระทรวงสาธารณสุข หารือเกี่ยวกับจัดทำข้อตกลงการประมวลผลข้อมูลส่วนบุคคล ภายใต้โครงการพัฒนาระบบคลาวด์กลางด้านสาธารณสุขของประเทศไทย

## ข้อกฎหมาย

_(ไม่ปรากฏหัวข้อข้อกฎหมายในเอกสารต้นฉบับ — ฐานทางกฎหมายที่อ้างถึงใน "ความเห็น" ประกอบด้วย [มาตรา 5](https://link.pdpalawbase.com/section/5.md) วรรคหนึ่ง, [มาตรา 6](https://link.pdpalawbase.com/section/6.md), [มาตรา 37](https://link.pdpalawbase.com/section/37.md) (1) และ (4) และ [มาตรา 40](https://link.pdpalawbase.com/section/40.md) วรรคสอง/วรรคสาม/(1)/(2)/(3) แห่ง PDPA + ประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง มาตรการรักษาความมั่นคงปลอดภัยฯ พ.ศ. 2565 + ประกาศ เรื่อง หลักเกณฑ์และวิธีการในการแจ้งเหตุการละเมิดฯ พ.ศ. 2565)_

## ข้อหารือ

_(ไม่ปรากฏหัวข้อข้อหารือในเอกสารต้นฉบับ — ประเด็นที่หารือมี 3 ประเด็นของทั้ง สดช. และ สป.สธ.: (1) การพิจารณาฐานะผู้ควบคุมข้อมูล/ผู้ประมวลผลข้อมูลในโครงการคลาวด์กลางสาธารณสุข; (2) หน้าที่จัดทำข้อตกลงการประมวลผลข้อมูล (Data Processing Agreement) และผู้ลงนาม; (3) นิติสัมพันธ์ของกิจการค้าร่วม A ในฐานะคู่สัญญาของ สดช. กับหน้าที่ตามกฎหมายคุ้มครองข้อมูลส่วนบุคคล)_

## ความเห็น

คณะอนุกรรมการตอบข้อหารือและให้คำแนะนำในการปฏิบัติตามกฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคล ในคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล พิจารณาเรื่องหารือดังกล่าวประกอบคำชี้แจงจากผู้แทน สดช. และผู้แทน สป.สธ. แล้ว มีความเห็นดังนี้

### ประเด็นข้อหารือที่ 1 (ฐานะผู้ควบคุมข้อมูล/ผู้ประมวลผลข้อมูล)

ประเด็นข้อหารือที่ 1 ของ สดช. และประเด็นข้อหารือที่ 1 ของ สป.สธ. เห็นว่า พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ใช้บังคับแก่การเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลโดยผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคลซึ่งอยู่ในราชอาณาจักร ไม่ว่าการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลนั้น ได้กระทำในหรือนอกราชอาณาจักรก็ตาม ตาม [มาตรา 5](https://link.pdpalawbase.com/section/5.md) วรรคหนึ่ง แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 โดยการจะพิจารณาว่าบุคคลหรือนิติบุคคลใดมีฐานะเป็นผู้ควบคุมข้อมูลส่วนบุคคล หรือมีฐานะเป็นผู้ประมวลผลข้อมูลส่วนบุคคลนั้น จะต้องพิจารณาจากอำนาจหน้าที่ตัดสินใจเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล ตามบทนิยามใน [มาตรา 6](https://link.pdpalawbase.com/section/6.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ไม่ว่าจะเป็นกรณีที่เป็นบุคคลธรรมดาหรือนิติบุคคลก็ตาม ทั้งนี้ สำหรับกรณีของนิติบุคคล บทนิยามดังกล่าวมิได้แบ่งแยกระหว่างนิติบุคคลที่เป็นเอกชนกับหน่วยงานของรัฐ ดังนั้น หน่วยงานของรัฐจึงอาจทำหน้าที่เป็นผู้ควบคุมข้อมูลส่วนบุคคลที่มีอำนาจหน้าที่ตัดสินใจเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล หรือทำหน้าที่เป็นผู้ประมวลผลข้อมูลส่วนบุคคลให้แก่บุคคลหรือนิติบุคคลอื่น (ไม่ว่าจะเป็นหน่วยงานของรัฐหน่วยงานอื่นหรือเอกชน) ก็ได้ ตราบเท่าที่ความสัมพันธ์ดังกล่าวเป็นไปตามหลักการของความสัมพันธ์ระหว่างผู้ควบคุมข้อมูลส่วนบุคคลกับผู้ประมวลผลข้อมูลส่วนบุคคล โดยจะต้องพิจารณาวัตถุประสงค์และการดำเนินงานที่เกิดขึ้นจริงเป็นสำคัญ ซึ่งสำหรับเรื่องที่หารือนั้น บันทึกข้อตกลงความร่วมมือ เรื่อง การพัฒนาคลาวด์ข้อมูลสุขภาพ กระทรวงสาธารณสุข ระหว่างกระทรวงดิจิทัลเพื่อเศรษฐกิจและสังคม และกระทรวงสาธารณสุข กำหนดไว้ว่า กระทรวงดิจิทัลเพื่อเศรษฐกิจและสังคมยินดีที่จะพัฒนาและให้บริการระบบคลาวด์ข้อมูลสุขภาพแก่กระทรวงสาธารณสุข โดยจัดให้มีการเข้าถึงข้อมูลสุขภาพ ดูแลระบบรักษาความปลอดภัย และความพร้อมใช้งาน ตามแนวทางที่กระทรวงสาธารณสุขกำหนด ประกอบกับคณะรัฐมนตรีได้มีมติเมื่อวันที่ 24 มกราคม 2566 เห็นชอบและอนุมัติให้กระทรวงดิจิทัลเพื่อเศรษฐกิจและสังคม โดย สดช. ดำเนินโครงการดังกล่าว ซึ่ง สดช. ได้ทำหน้าที่เป็นผู้ว่าจ้างและบริหารสัญญาในการพัฒนาระบบคลาวด์กลางด้านสาธารณสุขของประเทศไทย การจะพิจารณาว่า สดช. มีฐานะเป็นผู้ควบคุมข้อมูลส่วนบุคคล (data controller) หรือผู้ประมวลผลข้อมูลส่วนบุคคล (data processor) นั้น จึงต้องพิจารณาจากวัตถุประสงค์และการดำเนินงานที่เกิดขึ้นจริง กล่าวคือ สดช. มีบทบาทร่วมกับ สป.สธ. ในการกำหนดวัตถุประสงค์และร่วมพิจารณาในขั้นตอนสำคัญของการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลในระบบคลาวด์ข้อมูลสุขภาพหรือไม่ เพียงใด ประกอบด้วย

เมื่อพิจารณาข้อเท็จจริงของเรื่องที่หารือและข้อกฎหมายที่เกี่ยวข้องประกอบกันแล้ว คณะอนุกรรมการตอบข้อหารือฯ มีความเห็นว่า หลักการที่สำคัญในการพิจารณาฐานะความเป็นผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคลของบุคคลหรือนิติบุคคลหนึ่ง ๆ คือ การมีอำนาจหน้าที่ตัดสินใจเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล โดยการพิจารณาว่าบุคคลหรือนิติบุคคลใดมี “อำนาจหน้าที่ตัดสินใจ” จะต้องนำข้อเท็จจริงทั้งหมดที่เกี่ยวข้องกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล มาพิจารณาร่วมกันว่า บุคคลหรือนิติบุคคลนั้นมีอำนาจหน้าที่ในการกำหนดวัตถุประสงค์ (purposes) และวิธีการ (means) ในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลในกรณีดังกล่าวหรือไม่ เพียงใด หากในความเป็นจริงนิติบุคคลหนึ่งมีอำนาจหน้าที่ตัดสินใจเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล นิติบุคคลนั้นย่อมถือเป็นผู้ควบคุมข้อมูลส่วนบุคคล แม้สัญญาจะระบุไว้เป็นอย่างอื่น เช่น ระบุว่านิติบุคคลดังกล่าวเป็นผู้ประมวลผลข้อมูลส่วนบุคคล ก็ตาม ดังนั้น ในบางกรณี เนื้อหาของสัญญาหรือข้อตกลงต่าง ๆ จึงไม่ถือเป็นข้อชี้ขาดเสมอไป และผู้เกี่ยวข้องไม่สามารถกำหนดหรือหลีกเลี่ยงหน้าที่และความรับผิดในฐานะผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคลตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ได้โดยอาศัยเพียงการกำหนดเงื่อนไขไว้ในสัญญาหรือข้อตกลง หากไม่สอดคล้องกับข้อเท็จจริงตามบทนิยามในกฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคล

ในการดำเนินโครงการพัฒนาระบบคลาวด์กลางด้านสาธารณสุขของประเทศไทยของ สดช. ดังกล่าว บันทึกข้อตกลงความร่วมมือ เรื่อง การพัฒนาคลาวด์ข้อมูลสุขภาพ กระทรวงสาธารณสุข ระหว่างกระทรวงดิจิทัลเพื่อเศรษฐกิจและสังคมและกระทรวงสาธารณสุข ลงวันที่ 27 มิถุนายน 2565 ได้กำหนดขอบเขตของความร่วมมือและหน้าที่ความรับผิดชอบไว้ ดังนี้ (1) กระทรวงดิจิทัลเพื่อเศรษฐกิจและสังคมดำเนินการจัดหา และพัฒนาระบบคลาวด์สำหรับข้อมูลสุขภาพ เพื่อให้บริการระบบคลาวด์ข้อมูลสุขภาพ กระทรวงสาธารณสุข (2) กระทรวงสาธารณสุข ดำเนินการระบุชุดข้อมูลและมาตรฐานข้อมูลที่จะจัดเก็บ/แลกเปลี่ยน รวมทั้งควบคุมกำกับการเข้าใช้งานระบบร่วมกับนิติบุคคลต่าง ๆ ที่เกี่ยวข้อง นอกจากนี้ บันทึกข้อตกลงความร่วมมือดังกล่าวกำหนดแนวทางการดำเนินงานและกิจกรรมความร่วมมือไว้ ดังนี้ (1) กระทรวงสาธารณสุข ยินดีที่จะให้กระทรวงดิจิทัลเพื่อเศรษฐกิจและสังคมดำเนินการจัดหา พัฒนา และให้บริการระบบคลาวด์ข้อมูลสุขภาพ กระทรวงสาธารณสุข (2) กระทรวงดิจิทัลเพื่อเศรษฐกิจและสังคม ยินดีที่จะพัฒนาและให้บริการระบบคลาวด์ข้อมูลสุขภาพแก่กระทรวงสาธารณสุข โดยจัดให้มีการเข้าถึงข้อมูลสุขภาพ ดูแลระบบรักษาความปลอดภัย และความพร้อมใช้งาน ตามแนวทางที่กระทรวงสาธารณสุขกำหนด (3) กระทรวงดิจิทัลเพื่อเศรษฐกิจและสังคมและกระทรวงสาธารณสุข ยินดีที่จะสนับสนุนการดำเนินการเพื่อศึกษา วิเคราะห์ และประเมินความต้องการเพื่อระบุปริมาณระบบคลาวด์ที่แม่นยำ และร่วมออกแบบ ระบบเชื่อมโยงข้อมูลที่เหมาะสม คุ้มค่า (4) กระทรวงดิจิทัลเพื่อเศรษฐกิจและสังคมและกระทรวงสาธารณสุข ยินดีที่จะสนับสนุนการดำเนินการเพื่อโอนย้ายข้อมูลและระบบซอฟต์แวร์ที่จำเป็นเข้าสู่ระบบคลาวด์ข้อมูลสุขภาพ กระทรวงสาธารณสุข ฯลฯ

ดังนั้น เมื่อพิจารณาจากขอบเขตของความร่วมมือ หน้าที่ความรับผิดชอบ และแนวทางการดำเนินงานและกิจกรรมความร่วมมือ ตามบันทึกข้อตกลงความร่วมมือดังกล่าว กระทรวงสาธารณสุข โดย สป.สธ. จึงมีฐานะเป็นผู้ควบคุมข้อมูลส่วนบุคคลในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลที่จะเกิดขึ้นบนระบบคลาวด์ข้อมูลสุขภาพดังกล่าว เนื่องจากมีอำนาจหน้าที่ตัดสินใจเกี่ยวกับวัตถุประสงค์ (purposes) และวิธีการ (means) ในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล ดังนี้ (1) ระบุชุดข้อมูลและมาตรฐานข้อมูลที่จะจัดเก็บหรือแลกเปลี่ยน รวมทั้งมีอำนาจควบคุมกำกับการเข้าถึงข้อมูลและการเข้าใช้งานระบบร่วมกับนิติบุคคลต่าง ๆ ที่เกี่ยวข้อง (2) เป็นผู้กำหนดแนวทางการเข้าถึงข้อมูลสุขภาพ และการรักษาความมั่นคงปลอดภัยของระบบคลาวด์ข้อมูลสุขภาพ ซึ่งกระทรวงดิจิทัลเพื่อเศรษฐกิจและสังคม โดย สดช. ต้องปฏิบัติตาม (3) มีบทบาทสำคัญในคณะกรรมการกำหนดขอบเขตของงาน และเป็นประธานกรรมการและเลขานุการในคณะกรรมการตรวจรับพัสดุ ในกระบวนการจัดซื้อจัดจ้าง

ในขณะที่ สดช. มีฐานะเป็นผู้ประมวลผลข้อมูลส่วนบุคคล เนื่องจากต้องปฏิบัติตามคำสั่งของกระทรวงสาธารณสุข โดย สป.สธ. ในส่วนที่เกี่ยวข้องกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลที่เกี่ยวกับระบบคลาวด์ข้อมูลสุขภาพ ด้วยเหตุผลดังนี้ (1) สดช. จัดหา พัฒนา และให้บริการระบบโครงสร้างพื้นฐานสำหรับระบบคลาวด์ข้อมูลสุขภาพดังกล่าว ตามคำสั่งของกระทรวงสาธารณสุข (2) สดช. ไม่มีสิทธิเข้าถึงข้อมูลส่วนบุคคลโดยอิสระ และไม่สามารถกำหนดวัตถุประสงค์ (purposes) และวิธีการ (means) ในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลเองได้ (3) สดช. ต้องปฏิบัติตามข้อกำหนดเกี่ยวกับการเข้าถึงข้อมูลสุขภาพ และการรักษาความมั่นคงปลอดภัยของระบบคลาวด์ข้อมูลสุขภาพ ตามที่กระทรวงสาธารณสุขเป็นผู้กำหนด

โดยหาก สดช. ได้จัดหาหรือว่าจ้างบุคคลหรือนิติบุคคลอื่นเป็นผู้พัฒนาและ/หรือให้บริการระบบโครงสร้างพื้นฐานสำหรับระบบคลาวด์ข้อมูลสุขภาพดังกล่าว ตามคำสั่งหรือในนามของ สดช. ซึ่งเป็นผู้ประมวลผลข้อมูลส่วนบุคคลของ สป.สธ. ไม่ว่าจะเป็นการกระทำแทน สดช. หรือร่วมกับ สดช. ก็ตาม บุคคลหรือนิติบุคคลอื่นดังกล่าวจะมีฐานะเป็นผู้ประมวลผลข้อมูลส่วนบุคคลช่วง (sub-processor) ของ สดช. โดย สดช. มีหน้าที่รับผิดชอบต่อ สป.สธ. ซึ่งเป็นผู้ควบคุมข้อมูลส่วนบุคคล ในการกระทำของผู้ประมวลผลข้อมูลส่วนบุคคลช่วงดังกล่าวด้วย

ทั้งนี้ ในการพิจารณาจากข้อเท็จจริง นิติบุคคลที่มีอำนาจหน้าที่ตัดสินใจเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล ควรหมายความถึงหน่วยงานที่มีอิทธิพลอย่างเด็ดขาด (decisive influence) ต่อวัตถุประสงค์และวิธีการในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลนั้น ซึ่งแม้ว่าผู้ประมวลผลข้อมูลส่วนบุคคลอาจเป็นผู้นำเสนอบริการที่ได้มีการกำหนดรายละเอียดเบื้องต้นไว้แล้วก็ตาม แต่ผู้ควบคุมข้อมูลส่วนบุคคลจะต้องได้รับทราบรายละเอียดเกี่ยวกับบริการนั้น และเป็นผู้ตัดสินใจขั้นสุดท้ายในการอนุมัติวิธีการในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลดังกล่าว และสามารถร้องขอหรือเจรจาให้มีการเปลี่ยนแปลงวิธีการดังกล่าวได้หากจำเป็น นอกจากนี้ ผู้ประมวลผลข้อมูลส่วนบุคคลจะไม่สามารถเปลี่ยนแปลงองค์ประกอบที่สำคัญ (essential elements) ของการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลดังกล่าวในภายหลังได้ หากไม่ได้รับความเห็นชอบจากผู้ควบคุมข้อมูลส่วนบุคคล ด้วยเหตุนี้ ผู้ให้บริการจัดเก็บข้อมูลบนคลาวด์แบบมาตรฐาน (standard cloud storage service provider) ที่ผู้ให้บริการไม่ได้เก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลเพื่อวัตถุประสงค์ของตนเอง แต่จัดเก็บข้อมูลส่วนบุคคลตามคำสั่งหรือในนามของผู้ใช้บริการเท่านั้น ย่อมถือเป็นผู้ประมวลผลข้อมูลส่วนบุคคล ดังนั้น การจัดให้มีมาตรการรักษาความมั่นคงปลอดภัยของข้อมูลส่วนบุคคลในระบบคลาวด์ข้อมูลสุขภาพ โดยกำหนดสิทธิและวิธีการเข้าถึงข้อมูลส่วนบุคคลเพื่อป้องกันการเข้าถึงของ สดช. หรือหน่วยงานอื่น ๆ จึงไม่มีผลเป็นการเปลี่ยนแปลงฐานะของ สดช. ในฐานะผู้ประมวลผลข้อมูลส่วนบุคคล ความสัมพันธ์ระหว่างกระทรวงสาธารณสุข โดย สป.สธ. และกระทรวงดิจิทัลเพื่อเศรษฐกิจและสังคม โดย สดช. ในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลในระบบคลาวด์ข้อมูลสุขภาพ จึงเป็นความสัมพันธ์ระหว่างผู้ควบคุมข้อมูลส่วนบุคคลกับผู้ประมวลผลข้อมูลส่วนบุคคล

อย่างไรก็ตาม หากข้อเท็จจริงปรากฏว่า สดช. ไม่มีการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลตามบันทึกข้อตกลงความร่วมมือดังกล่าวโดยตรงเลย แต่ได้จัดหาหรือว่าจ้างบุคคลหรือนิติบุคคลอื่นเป็นผู้ดำเนินการเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลตามคำสั่งหรือในนามของกระทรวงสาธารณสุขเพื่อให้บรรลุข้อตกลงตามบันทึกข้อตกลงความร่วมมือดังกล่าว ในกรณีเช่นนี้ กระทรวงสาธารณสุข โดย สป.สธ. ในฐานะผู้ควบคุมข้อมูลส่วนบุคคล กับ สดช. และบุคคลหรือนิติบุคคลอื่นดังกล่าว อาจพิจารณาหารือร่วมกัน เพื่อตกลงความสัมพันธ์ให้ชัดเจนว่า บุคคลหรือนิติบุคคลอื่นนั้นมีฐานะเป็นผู้ประมวลผลข้อมูลส่วนบุคคลของกระทรวงสาธารณสุข โดย สป.สธ. โดยตรง และ สดช. ไม่มีฐานะเป็นผู้ประมวลผลข้อมูลส่วนบุคคลของกระทรวงสาธารณสุขก็ได้ โดยหากหน่วยงานที่เกี่ยวข้องมีข้อสรุปร่วมกัน และข้อสรุปดังกล่าวไม่สอดคล้องกับบันทึกข้อตกลงความร่วมมือที่จัดทำขึ้นก่อนหน้านั้น ก็อาจพิจารณาปรับปรุง แก้ไข หรือเพิ่มเติมบันทึกข้อตกลงความร่วมมือดังกล่าวให้เหมาะสมต่อไป

อนึ่ง กระทรวงสาธารณสุข โดย สป.สธ. และกระทรวงดิจิทัลเพื่อเศรษฐกิจและสังคม โดย สดช. ต่างเป็นหน่วยงานของรัฐที่มีอำนาจหน้าที่ตามกฎหมายที่เกี่ยวข้อง โดยหน่วยงานของรัฐอาจมีฐานะเป็นผู้ควบคุมข้อมูลส่วนบุคคลได้เมื่อเป็นการปฏิบัติหน้าที่ตามกฎหมาย ดังนั้น หากมีกรณีใดที่ สดช. จำเป็นต้องเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลในระบบคลาวด์ข้อมูลสุขภาพ เพื่อบรรลุหน้าที่ตามกฎหมายของตน โดยไม่ใช่การปฏิบัติตามคำสั่งหรือในนามของกระทรวงสาธารณสุข โดย สป.สธ. ในฐานะผู้ควบคุมข้อมูลส่วนบุคคล สดช. จะมีฐานะเป็นผู้ควบคุมข้อมูลส่วนบุคคลสำหรับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลเพื่อวัตถุประสงค์ในกรณีดังกล่าว ตามนัย [มาตรา 40](https://link.pdpalawbase.com/section/40.md) วรรคสอง แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562

### ประเด็นข้อหารือที่ 2 (หน้าที่จัดทำข้อตกลงการประมวลผลข้อมูล DPA + ผู้ลงนาม)

ประเด็นข้อหารือที่ 2 ของ สดช. และประเด็นข้อหารือที่ 2 ของ สป.สธ. เห็นว่า [มาตรา 40](https://link.pdpalawbase.com/section/40.md) วรรคสาม แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 กำหนดให้ผู้ควบคุมข้อมูลส่วนบุคคลต้องจัดให้มีข้อตกลงระหว่างกัน เพื่อควบคุมการดำเนินงานตามหน้าที่ของผู้ประมวลผลข้อมูลส่วนบุคคลตามที่ได้รับมอบหมายจากผู้ควบคุมข้อมูลส่วนบุคคล ให้เป็นไปตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ซึ่งข้อตกลงดังกล่าวจะเรียกว่าข้อตกลงการประมวลผลข้อมูล (Data Processing Agreement: DPA) และผู้ประมวลผลข้อมูลส่วนบุคคลมีหน้าที่ตาม [มาตรา 40](https://link.pdpalawbase.com/section/40.md) (1) ในการดำเนินการเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลตามคำสั่งที่ได้รับจากผู้ควบคุมข้อมูลส่วนบุคคลเท่านั้น (เว้นแต่คำสั่งนั้นขัดต่อกฎหมายหรือบทบัญญัติในการคุ้มครองข้อมูลส่วนบุคคลตามพระราชบัญญัตินี้) นอกจากนี้ยังมีหน้าที่ตาม [มาตรา 40](https://link.pdpalawbase.com/section/40.md) (2) ที่จะต้องจัดให้มีมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสม รวมทั้งแจ้งให้ผู้ควบคุมข้อมูลส่วนบุคคลทราบถึงเหตุการละเมิดข้อมูลส่วนบุคคลที่เกิดขึ้น และ [มาตรา 40](https://link.pdpalawbase.com/section/40.md) (3) ในการจัดทำและเก็บรักษาบันทึกรายการของกิจกรรมการประมวลผลข้อมูลส่วนบุคคลไว้

ดังนั้น เมื่อคณะอนุกรรมการตอบข้อหารือฯ ได้พิจารณาแล้วว่า สดช. มีฐานะเป็นผู้ประมวลผลข้อมูลส่วนบุคคลของ สป.สธ. ในฐานะผู้ควบคุมข้อมูลส่วนบุคคล สป.สธ. จึงมีหน้าที่ต้องจัดให้มีข้อตกลงการประมวลผลข้อมูล (Data Processing Agreement) กับ สดช. และ สดช. สามารถลงนามในข้อตกลงดังกล่าวได้ แม้ว่า สดช. จะมีฐานะเป็นผู้กำกับโครงการและบริหารสัญญาก็ตาม เนื่องจากในฐานะผู้ประมวลผลข้อมูลส่วนบุคคล สดช. มีหน้าที่ดำเนินการเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลตามคำสั่งที่ได้รับจากผู้ควบคุมข้อมูลส่วนบุคคลเท่านั้น เพราะ สดช. ไม่มีอำนาจหน้าที่ตัดสินใจเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล ซึ่งเป็นคนละประเด็นกันกับอำนาจหน้าที่ตัดสินใจในการกำกับโครงการและบริหารสัญญา ส่วนรายละเอียดและเงื่อนไขของข้อตกลงดังกล่าว สป.สธ. ในฐานะผู้ควบคุมข้อมูลส่วนบุคคล และ สดช. ในฐานะผู้ประมวลผลข้อมูลส่วนบุคคล อาจพิจารณาหารือเพื่อให้ได้ข้อสรุปร่วมกันได้

อย่างไรก็ตาม หากข้อเท็จจริงปรากฏว่า สดช. ไม่มีการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลตามบันทึกข้อตกลงความร่วมมือดังกล่าวโดยตรงเลย แต่ได้จัดหาหรือว่าจ้างบุคคลหรือนิติบุคคลอื่นเป็นผู้ดำเนินการเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลตามคำสั่งหรือในนามของกระทรวงสาธารณสุขเพื่อให้บรรลุข้อตกลงตามบันทึกข้อตกลงความร่วมมือดังกล่าว และได้มีข้อสรุปร่วมกันระหว่างกระทรวงสาธารณสุข โดย สป.สธ. ในฐานะผู้ควบคุมข้อมูลส่วนบุคคล กับ สดช. และบุคคลหรือนิติบุคคลอื่นดังกล่าว ที่ยอมรับร่วมกันว่า สดช. ไม่มีฐานะเป็นผู้ประมวลผลข้อมูลส่วนบุคคลของกระทรวงสาธารณสุข และบุคคลหรือนิติบุคคลอื่นนั้นมีฐานะเป็นผู้ประมวลผลข้อมูลส่วนบุคคลของกระทรวงสาธารณสุข โดย สป.สธ. โดยตรง แล้ว สป.สธ. ย่อมสามารถจัดให้มีข้อตกลงการประมวลผลข้อมูล (Data Processing Agreement) กับบุคคลหรือนิติบุคคลอื่นนั้นโดยตรงได้ และในกรณีดังกล่าว สป.สธ. จึงไม่มีหน้าที่ต้องจัดให้มีข้อตกลงร่วมกับ สดช. ซึ่งไม่มีฐานะเป็นผู้ประมวลผลข้อมูลส่วนบุคคลแต่อย่างใด แต่หากเห็นสมควร สป.สธ. อาจหารือกับ สดช. และ สดช. จะพิจารณาลงนามในข้อตกลงการประมวลผลข้อมูล (Data Processing Agreement) ดังกล่าวร่วมกับ สป.สธ. และผู้ประมวลผลข้อมูลส่วนบุคคลอื่นด้วยก็ได้ โดยคำนึงถึงประโยชน์ของแต่ละฝ่ายและประโยชน์ในการดำเนินงานร่วมกันประกอบกัน และหาก สดช. พิจารณาแล้วประสงค์จะลงนาม ก็จะต้องพิจารณาข้อกำหนดในข้อตกลงดังกล่าวว่ามีความสอดคล้องกับบทบาทหน้าที่และความรับผิดชอบของ สดช. และเป็นไปตามบันทึกข้อตกลงความร่วมมือและมติคณะรัฐมนตรีที่เกี่ยวข้องหรือไม่ เพียงใด

คณะอนุกรรมการตอบข้อหารือฯ มีข้อสังเกตเพิ่มเติมว่า ในการจัดให้มีข้อตกลงการประมวลผลข้อมูล (Data Processing Agreement) ตาม [มาตรา 40](https://link.pdpalawbase.com/section/40.md) วรรคสาม แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ผู้ควบคุมข้อมูลส่วนบุคคลจะต้องกำหนดให้ผู้ประมวลผลข้อมูลส่วนบุคคลจัดให้มีมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสม เพื่อป้องกันการสูญหาย เข้าถึง ใช้ เปลี่ยนแปลง แก้ไข หรือเปิดเผยข้อมูลส่วนบุคคลโดยปราศจากอำนาจหรือโดยมิชอบ รวมทั้งแจ้งให้ผู้ควบคุมข้อมูลส่วนบุคคลทราบถึงเหตุการละเมิดข้อมูลส่วนบุคคลที่เกิดขึ้น โดยมาตรการรักษาความมั่นคงปลอดภัยดังกล่าว จะต้องเป็นไปตามมาตรฐานขั้นต่ำที่คณะกรรมการคุ้มครองข้อมูลส่วนบุคคลกำหนดตาม [มาตรา 37](https://link.pdpalawbase.com/section/37.md) (1) โดยคำนึงถึงระดับความเสี่ยงตามลักษณะและวัตถุประสงค์ของการเก็บรวบรวม ใช้ และเปิดเผยข้อมูลส่วนบุคคล ตลอดจนโอกาสเกิดและผลกระทบจากเหตุการละเมิดข้อมูลส่วนบุคคล ทั้งนี้ เพื่อให้เป็นไปตาม [มาตรา 37](https://link.pdpalawbase.com/section/37.md) (1) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ประกอบข้อ 6 ของประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง มาตรการรักษาความมั่นคงปลอดภัยของผู้ควบคุมข้อมูลส่วนบุคคล พ.ศ. 2565 ด้วย นอกจากนี้ ข้อตกลงดังกล่าวจะต้องระบุให้ผู้ประมวลผลข้อมูลส่วนบุคคลมีหน้าที่แจ้งเหตุการละเมิดข้อมูลส่วนบุคคลแก่ผู้ควบคุมข้อมูลส่วนบุคคลโดยไม่ชักช้าภายใน 72 ชั่วโมงนับแต่ผู้ประมวลผลข้อมูลส่วนบุคคลทราบเหตุเท่าที่จะสามารถกระทำได้ ตาม [มาตรา 37](https://link.pdpalawbase.com/section/37.md) (4) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ประกอบข้อ 8 ของประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง หลักเกณฑ์และวิธีการในการแจ้งเหตุการละเมิดข้อมูลส่วนบุคคล พ.ศ. 2565

### ประเด็นข้อหารือที่ 3 (นิติสัมพันธ์กับกิจการค้าร่วม A)

ประเด็นข้อหารือที่ 3 ของ สดช. และประเด็นข้อหารือที่ 3 ของ สป.สธ. เห็นว่า การดำเนินการเกี่ยวกับนิติสัมพันธ์ของกิจการค้าร่วม A ในฐานะคู่สัญญาในสัญญาจ้างของ สดช. ซึ่งเป็นหน่วยงานของรัฐ ย่อมเป็นไปตามกฎหมายว่าด้วยการจัดซื้อจัดจ้างและการบริหารพัสดุภาครัฐ ส่วนการดำเนินการที่เกี่ยวข้องกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลนั้น แม้ สป.สธ. กับกิจการค้าร่วม A จะไม่มีนิติสัมพันธ์กันในฐานะคู่สัญญาในสัญญาจ้าง แต่หากข้อเท็จจริงปรากฏว่า สป.สธ. มีอำนาจหน้าที่ตัดสินใจเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล และกิจการค้าร่วม A ดำเนินการเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลตามคำสั่งหรือในนามของ สป.สธ. ในส่วนที่เกี่ยวข้องกับระบบคลาวด์ข้อมูลสุขภาพ ก็ย่อมถือได้ว่า สป.สธ. มีความสัมพันธ์ในฐานะผู้ควบคุมข้อมูลส่วนบุคคล กับกิจการค้าร่วม A ในฐานะผู้ประมวลผลข้อมูลส่วนบุคคลตามกฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคลแล้ว ดังนั้น สป.สธ. จึงมีหน้าที่ตาม [มาตรา 40](https://link.pdpalawbase.com/section/40.md) วรรคสาม แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ที่จะต้องจัดให้มีข้อตกลงระหว่างกันกับกิจการค้าร่วม A เพื่อควบคุมการดำเนินงานตามหน้าที่ของกิจการค้าร่วม A ในฐานะผู้ประมวลผลข้อมูลส่วนบุคคลให้เป็นไปตามพระราชบัญญัตินี้ เพื่อให้การเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลของกิจการค้าร่วม A ตามสัญญาจ้างกับ สดช. เพื่อให้เป็นไปตามบันทึกข้อตกลงความร่วมมือ เรื่อง การพัฒนาคลาวด์ข้อมูลสุขภาพ กระทรวงสาธารณสุข ระหว่างกระทรวงดิจิทัลเพื่อเศรษฐกิจและสังคมและกระทรวงสาธารณสุข บรรลุผล โดย สป.สธ. อาจพิจารณาจัดทำข้อตกลงดังกล่าวกับกิจการค้าร่วม A โดยตรง หรือจัดทำผ่าน สดช. ในกรณีที่ สดช. มีฐานะเป็นผู้ประมวลผลข้อมูลส่วนบุคคลที่มีหน้าที่จัดหา พัฒนา และให้บริการระบบโครงสร้างพื้นฐานสำหรับระบบคลาวด์ข้อมูลสุขภาพ โดยกำหนดให้ สดช. จัดทำข้อตกลงการประมวลผลข้อมูล (Data Processing Agreement) กับกิจการค้าร่วม A ซึ่งมีฐานะเป็นผู้ประมวลผลข้อมูลส่วนบุคคลช่วง (sub-processor) ของ สดช. ตามเงื่อนไขที่ สป.สธ. กำหนด ก็ได้ ตามความเหมาะสมและการหารือร่วมกันของผู้เกี่ยวข้อง

## เอกสารต้นฉบับ

- [PDF ต้นฉบับ (local)](../../raw/opinions/opinion-6-2568.pdf)
- [ที่มา: pdpc.or.th](https://www.pdpc.or.th/wp-content/uploads/2025/09/consultation-55.pdf)

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/opinion/6-2568.md

============================================================
โนด: ข้อหารือ 6/2569
ลิงก์อ้างอิง: https://link.pdpalawbase.com/opinion/6-2569.md

# ข้อหารือที่ 6/2569 เรื่อง ข้อหารือกรณีเจ้าหนี้ตามคำพิพากษาขอให้ผู้ควบคุมข้อมูลส่วนบุคคลเปิดเผยข้อมูลของลูกหนี้ตามคำพิพากษาถึงที่สุด

## ข้อกฎหมาย

1. พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 [มาตรา 3](https://link.pdpalawbase.com/section/3.md) (1) [มาตรา 4](https://link.pdpalawbase.com/section/4.md) (5) [มาตรา 16](https://link.pdpalawbase.com/section/16.md) (10) [มาตรา 24](https://link.pdpalawbase.com/section/24.md) (5) และ (6) [มาตรา 27](https://link.pdpalawbase.com/section/27.md) วรรคหนึ่ง และวรรคสาม [มาตรา 32](https://link.pdpalawbase.com/section/32.md) (1) (ก) และ (ข) และ[มาตรา 39](https://link.pdpalawbase.com/section/39.md)
2. ประมวลกฎหมายวิธีพิจารณาความแพ่ง มาตรา 277 และมาตรา 283
3. พระราชบัญญัติข้อมูลข่าวสารของราชการ พ.ศ. 2540 มาตรา 4
4. พระราชบัญญัติธุรกิจสถาบันการเงิน พ.ศ. 2551

## ข้อหารือ

นาย B แจ้งว่า นาย B เป็นเจ้าหนี้ตามคำพิพากษาศาลจังหวัด B โดยที่ศาลมีคำพิพากษาคดี ถึงที่สุดให้จำเลยใช้หนี้ แต่ด้วยการสืบทรัพย์บังคับคดี เป็นภาระอย่างยิ่งแก่โจทก์ที่เป็นผู้ชนะคดี เจ้าหนี้ตาม คำพิพากษาต้องไปสืบทรัพย์เอง โดยจะต้องสืบข้อมูลจาก 1) บัญชีเงินฝากทุกธนาคารของลูกหนี้ ซึ่งธนาคาร จะยังคงปฏิเสธ โดยอ้างว่าเป็นข้อมูลส่วนบุคคล และยังไม่มีมติที่ชัดเจนบังคับออกมาจากคณะกรรมการ คุ้มครองข้อมูลส่วนบุคคล 2) โฉนดที่ดิน/อสังหาริมทรัพย์ และ 3) รถ ยานพาหนะทางบกและทางน้ำ ซึ่งสร้างปัญหา ในกระบวนการยุติธรรมที่ต้องบังคับตามคำพิพากษา ด้วยเหตุดังกล่าว อาศัยบทบัญญัติตามรัฐธรรมนูญ มาตรา 3 มาตรา 25 มาตรา 41 มาตรา 43 มาตรา 51 มาตรา 53 มาตรา 59 มาตรา 63 และมาตรา 188 และคำพิพากษาถึงที่สุดให้จำเลยชำระหนี้ จึงขอให้คณะกรรมการพิจารณาดำเนินการตามมาตรา 16 (6) และ (10) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ดังนี้
1. ตีความว่า เมื่อโจทก์ซึ่งเป็นเจ้าหนี้ถือคำพิพากษาถึงที่สุดให้จำเลยต้องชำระหนี้ ให้ผู้ควบคุม ข้อมูลส่วนบุคคลทุกธนาคาร และหน่วยงานของรัฐที่เกี่ยวข้อง ส่งข้อมูลทั้งหมดให้เจ้าหนี้ตามคำพิพากษา
2. กำหนดแนวปฏิบัติ โดยให้มีบันทึกความเข้าใจแนวปฏิบัติกับหน่วยงานของรัฐที่เกี่ยวข้อง กรณีเจ้าหนี้ยื่นหนังสือขอข้อมูลโดยมีหลักฐานคำพิพากษาต่อหน่วยงานของรัฐที่เกี่ยวข้อง ได้แก่ 1) ธนาคาร แห่งประเทศไทย และให้ธนาคารแห่งประเทศไทยเป็นส่วนกลางในการรวบรวมข้อมูลจากทุกธนาคาร 2) กรมที่ดิน/สำนักทะเบียน ที่กำกับสิ่งปลูกสร้าง อสังหาริมทรัพย์ และ 3) กรมการขนส่งทางบกและกรมเจ้าท่า โดยเมื่อหน่วยงานของรัฐได้ตรวจหลักฐานครบแล้ว ก็ให้มอบข้อมูลทั้งหมดให้แก่ผู้ยื่นขอข้อมูลซึ่งเป็นเจ้าหนี้ ตามคำพิพากษาโดยพลัน

## ความเห็น

คณะอนุกรรมการตอบข้อหารือและให้คำแนะนำในการปฏิบัติตามกฎหมายว่าด้วยการคุ้มครอง ข้อมูลส่วนบุคคล ในคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล ได้พิจารณาข้อหารือดังกล่าว โดยได้รับฟังคำชี้แจง จากผู้แทนสำนักงานศาลยุติธรรม ผู้แทนสมาคมธนาคารไทย ผู้แทนธนาคารแห่งประเทศไทย ผู้แทน สภาทนายความ ในพระบรมราชูปถัมภ์ และผู้แทนกรมบังคับคดีแล้ว รวมทั้งได้เสนอข้อเท็จจริงในประเด็น ข้อหารือดังกล่าวให้คณะกรรมการคุ้มครองข้อมูลส่วนบุคคลพิจารณาตีความและวินิจฉัยชี้ขาดปัญหาที่เกิดจาก การบังคับใช้พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ตาม[มาตรา 16](https://link.pdpalawbase.com/section/16.md) (10) ซึ่งคณะกรรมการ คุ้มครองข้อมูลส่วนบุคคลได้พิจารณาตีความและวินิจฉัยชี้ขาดในประเด็นดังกล่าวแล้ว และได้มอบหมายให้

คณะอนุกรรมการตอบข้อหารือฯ ดำเนินการตอบข้อหารือดังกล่าวต่อไป โดยคณะอนุกรรมการตอบข้อหารือฯ มีความเห็นในประเด็นข้อหารือดังกล่าวว่า ประมวลกฎหมายวิธีพิจารณาความแพ่งไม่ได้มีบทบัญญัติที่ให้อำนาจ เจ้าหนี้ตามคำพิพากษาในการเข้าถึงข้อมูลของลูกหนี้ที่อยู่ในความครอบครองหรือควบคุมดูแลของบุคคลอื่น ภายนอกคดี เช่น ธนาคารหรือสถาบันการเงินของลูกหนี้ตามคำพิพากษา ซึ่งเป็นผู้ควบคุมข้อมูลส่วนบุคคล ของลูกหนี้ตามคำพิพากษา โดยการสืบหาหลักทรัพย์หรือทรัพย์สินของลูกหนี้เพื่อการบังคับคดีตามคำพิพากษา ในคดีแพ่งที่มีคำพิพากษาถึงที่สุดเป็นหน้าที่ของเจ้าหนี้ตามคำพิพากษาซึ่งต้องดำเนินการสืบทรัพย์เบื้องต้น เมื่อพบข้อมูลทรัพย์สินของลูกหนี้ตามคำพิพากษาแล้วจะแจ้งต่อเจ้าพนักงานบังคับคดีทราบเพื่อดำเนินการยึด อายัด หรือขายทอดตลาดทรัพย์สินดังกล่าว เพื่อนำมาชำระหนี้ตามคำพิพากษาต่อไป

ทั้งนี้ แม้ประมวลกฎหมาย วิธีพิจารณาความแพ่งจะไม่มีบทบัญญัติที่ให้อำนาจเจ้าหนี้ตามคำพิพากษาในการเข้าถึงข้อมูลของลูกหนี้ ที่อยู่ในความครอบครองหรือควบคุมดูแลของบุคคลอื่นภายนอกคดีที่เป็นผู้ควบคุมข้อมูลส่วนบุคคลของลูกหนี้ ตามคำพิพากษาไว้ แต่ในมาตรา 277 แห่งประมวลกฎหมายวิธีพิจารณาความแพ่ง ซึ่งแก้ไขเพิ่มเติมโดย พระราชบัญญัติแก้ไขเพิ่มเติมประมวลกฎหมายวิธีพิจารณาความแพ่ง (ฉบับที่ 30) พ.ศ. 2560 ได้กำหนด กระบวนการดำเนินการในกรณีที่เจ้าหนี้ตามคำพิพากษามีเหตุอันสมควรเชื่อได้ว่าลูกหนี้ตามคำพิพากษา มีทรัพย์สินที่จะต้องถูกบังคับคดีมากกว่าที่ตนทราบ หรือมีทรัพย์สินที่จะต้องถูกบังคับคดีแต่ไม่ทราบว่าทรัพย์สินนั้น ตั้งอยู่หรือเก็บรักษาไว้ที่ใด หรือมีเหตุอันควรสงสัยว่าทรัพย์สินใดเป็นของลูกหนี้ตามคำพิพากษาหรือไม่ โดยเจ้าหนี้ตามคำพิพากษาอาจยื่นคำขอฝ่ายเดียวโดยทำเป็นคำร้องเพื่อให้ศาลทำการไต่สวนได้ และเมื่อมีคำขอ ดังกล่าว หรือเมื่อศาลเห็นสมควรเพื่อประโยชน์แก่การบังคับคดีในคดีมโนสาเร่ ศาลมีอำนาจออกหมายเรียก ลูกหนี้ตามคำพิพากษาหรือบุคคลอื่นที่เชื่อว่าอยู่ในฐานะที่จะให้ถ้อยคำอันจะเป็นประโยชน์มาศาลด้วยตนเอง เพื่อการไต่สวนเช่นว่านั้นได้ และมีอำนาจสั่งให้บุคคลนั้น ๆ ส่งเอกสาร หรือวัตถุพยานซึ่งอยู่ในความยึดถือ หรืออำนาจของผู้นั้นอันเกี่ยวกับทรัพย์สินของลูกหนี้ตามคำพิพากษา

ทั้งนี้ ตามกำหนดและเงื่อนไขใด ๆ ที่เห็นสมควร โดยบทบัญญัติดังกล่าวมีขึ้นเพื่อให้ศาลสามารถใช้อำนาจในการไต่สวนให้ได้มาซึ่งข้อมูลเกี่ยวกับ ทรัพย์สินของลูกหนี้ที่จะสามารถบังคับคดีตามคำพิพากษาได้

นอกจากนี้ มาตรา 283 แห่งประมวลกฎหมาย วิธีพิจารณาความแพ่ง ซึ่งแก้ไขเพิ่มเติมโดยพระราชบัญญัติแก้ไขเพิ่มเติมประมวลกฎหมายวิธีพิจารณาความแพ่ง (ฉบับที่ 30) พ.ศ. 2560 กำหนดว่า ในกรณีที่มีเหตุอันควรเชื่อว่ามีทรัพย์สินของลูกหนี้ตามคำพิพากษา หรือมีบัญชี เอกสาร จดหมาย หรือวัตถุอื่นใดอันเกี่ยวกับทรัพย์สินหรือกิจการของลูกหนี้ตามคำพิพากษา อยู่ในสถานที่ที่บุคคลอื่นครอบครองอยู่ เจ้าหนี้ตามคำพิพากษาอาจยื่นคำขอฝ่ายเดียวโดยทำเป็นคำร้องต่อศาล เพื่อขอให้ศาลออกหมายค้นสถานที่นั้น และเมื่อได้รับคำร้องเช่นว่านี้ ให้ศาลไต่สวนโดยไม่ชักช้า ถ้าเป็นที่พอใจ จากพยานหลักฐานที่เจ้าหนี้ตามคำพิพากษาได้นำมาสืบหรือที่ศาลได้เรียกมาสืบเองว่ามีเหตุอันควรเชื่อตามที่ร้องขอ ให้ศาลมีอำนาจออกหมายค้นสถานที่นั้นเพื่อให้เจ้าพนักงานบังคับคดีตรวจสอบและยึดทรัพย์สินหรือสิ่งต่าง ๆ ดังกล่าวภายในขอบเขตและเงื่อนไขตามที่ศาลเห็นว่าจำเป็น

ดังนั้น จึงเห็นได้ว่า ประมวลกฎหมายวิธีพิจารณา ความแพ่งได้กำหนดขั้นตอนและหลักเกณฑ์เกี่ยวกับการเข้าถึงข้อมูลเกี่ยวกับทรัพย์สินของลูกหนี้ตามคำพิพากษา ไว้แล้ว ในการดำเนินการสืบทรัพย์บังคับคดีของเจ้าหนี้ตามคำพิพากษา นาย B ในฐานะเจ้าหนี้ตามคำพิพากษา จึงสามารถดำเนินการตามขั้นตอนที่ประมวลกฎหมายวิธีพิจารณาความแพ่งได้กำหนดไว้ดังกล่าวต่อไปได้ สำหรับพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 เป็นกฎหมายที่กำหนด หลักเกณฑ์ กลไก หรือมาตรการกำกับดูแลเกี่ยวกับการให้ความคุ้มครองข้อมูลส่วนบุคคลที่เป็นหลักการทั่วไป ซึ่งไม่ได้กำหนดหลักเกณฑ์เกี่ยวกับการเปิดเผยข้อมูลส่วนบุคคลในกรณีนี้ไว้เป็นการเฉพาะ โดยการเปิดเผยข้อมูล ส่วนบุคคลของธนาคารหรือสถาบันการเงิน กรมที่ดิน กรมการขนส่งทางบก กรมเจ้าท่า หรือหน่วยงานอื่นใด ในฐานะผู้ควบคุมข้อมูลส่วนบุคคลที่เก็บรวบรวมข้อมูลส่วนบุคคลเกี่ยวกับทรัพย์สินของลูกหนี้ตามคำพิพากษา ไม่ถือเป็นส่วนหนึ่งของการพิจารณาพิพากษาคดีของศาลและการดำเนินงานของเจ้าหน้าที่ในกระบวนการ พิจารณาคดี การบังคับคดี และการวางทรัพย์ จึงไม่ใช่กรณีที่จะได้รับยกเว้นไม่ให้นำพระราชบัญญัติคุ้มครอง ข้อมูลส่วนบุคคล พ.ศ. 2562 มาใช้บังคับตาม[มาตรา 4](https://link.pdpalawbase.com/section/4.md) (5) หน่วยงานที่เป็นผู้ควบคุมข้อมูลส่วนบุคคลดังกล่าว จึงมีหน้าที่ต้องพิจารณาว่าการเปิดเผยข้อมูลส่วนบุคคลดังกล่าวจะต้องได้รับความยินยอมจากเจ้าของข้อมูล ส่วนบุคคลตาม[มาตรา 24](https://link.pdpalawbase.com/section/24.md) ประกอบ[มาตรา 27](https://link.pdpalawbase.com/section/27.md) วรรคหนึ่ง แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 หรือไม่ ซึ่งในกรณีที่ธนาคารหรือสถาบันการเงิน กรมที่ดิน กรมการขนส่งทางบก กรมเจ้าท่า หรือหน่วยงานอื่นใด ในฐานะผู้ควบคุมข้อมูลส่วนบุคคลที่เก็บรวบรวมข้อมูลส่วนบุคคลเกี่ยวกับทรัพย์สิน ของลูกหนี้ตามคำพิพากษา ได้รับหมายเรียกหรือคำสั่งจากศาลให้มาให้ถ้อยคำต่อศาลเพื่อการไต่สวน หรือส่งเอกสารหรือวัตถุพยาน ตามบทบัญญัติแห่งประมวลกฎหมายวิธีพิจารณาความแพ่งหรือกฎหมายอื่น หรือได้รับคำสั่งจากหน่วยงานหรือเจ้าหน้าที่ของรัฐอื่นที่มีหน้าที่และอำนาจตามกฎหมาย ผู้ควบคุมข้อมูล ส่วนบุคคลดังกล่าวย่อมมีหน้าที่เปิดเผยข้อมูลส่วนบุคคลตามหมายเรียกหรือคำสั่งดังกล่าวได้โดยไม่ต้องขอความ ยินยอมจากเจ้าของข้อมูลส่วนบุคคล เนื่องจากเป็นการปฏิบัติตามกฎหมายของผู้ควบคุมข้อมูลส่วนบุคคล ตาม[มาตรา 24](https://link.pdpalawbase.com/section/24.md) (6) ประกอบ[มาตรา 27](https://link.pdpalawbase.com/section/27.md) วรรคหนึ่ง แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562

อย่างไรก็ตาม หากธนาคารหรือสถาบันการเงิน กรมที่ดิน กรมการขนส่งทางบก กรมเจ้าท่า หรือหน่วยงานอื่นใด ในฐานะผู้ควบคุมข้อมูลส่วนบุคคลที่เก็บรวบรวมข้อมูลส่วนบุคคลเกี่ยวกับทรัพย์สินของลูกหนี้ตามคำพิพากษา ได้รับคำร้องขอจากเจ้าหนี้ตามคำพิพากษาให้เปิดเผยข้อมูลทรัพย์สินของลูกหนี้ตามคำพิพากษา ผู้ควบคุมข้อมูล ส่วนบุคคลดังกล่าวมีหน้าที่พิจารณาการเปิดเผยข้อมูลส่วนบุคคลดังกล่าวให้เป็นไปตาม[มาตรา 24](https://link.pdpalawbase.com/section/24.md) ประกอบ [มาตรา 27](https://link.pdpalawbase.com/section/27.md) วรรคหนึ่ง แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 โดยหากพิจารณาแล้วเห็นว่า การเปิดเผยข้อมูลส่วนบุคคลดังกล่าวเป็นการจำเป็นเพื่อประโยชน์โดยชอบด้วยกฎหมายของเจ้าหนี้ ตามคำพิพากษา ซึ่งเป็นบุคคลหรือนิติบุคคลอื่นที่ไม่ใช่ผู้ควบคุมข้อมูลส่วนบุคคล และประโยชน์ของเจ้าหนี้ ตามคำพิพากษาดังกล่าวมีความสำคัญไม่น้อยกว่าสิทธิขั้นพื้นฐานในข้อมูลส่วนบุคคลของเจ้าของข้อมูลส่วนบุคคล ก็สามารถเปิดเผยข้อมูลส่วนบุคคลดังกล่าวให้เจ้าหนี้ตามคำพิพากษาได้โดยได้รับยกเว้นไม่ต้องขอความยินยอม ตาม[มาตรา 24](https://link.pdpalawbase.com/section/24.md) (5) ประกอบ[มาตรา 27](https://link.pdpalawbase.com/section/27.md) วรรคหนึ่ง แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 แต่หากพิจารณาแล้วเห็นว่าการเปิดเผยข้อมูลส่วนบุคคลดังกล่าวไม่ใช่กรณีที่เป็นการจำเป็นเพื่อประโยชน์ โดยชอบด้วยกฎหมายของเจ้าหนี้ตามคำพิพากษา หรือประโยชน์ของเจ้าหนี้ตามคำพิพากษาดังกล่าว มีความสำคัญน้อยกว่าสิทธิขั้นพื้นฐานในข้อมูลส่วนบุคคลของเจ้าของข้อมูลส่วนบุคคล การเปิดเผยข้อมูล ส่วนบุคคลดังกล่าวก็จะต้องได้รับความยินยอมจากเจ้าของข้อมูลส่วนบุคคล ในการพิจารณาการเปิดเผยข้อมูลส่วนบุคคลตาม[มาตรา 24](https://link.pdpalawbase.com/section/24.md) (5) ประกอบ[มาตรา 27](https://link.pdpalawbase.com/section/27.md) วรรคหนึ่งดังกล่าว ผู้ควบคุมข้อมูลส่วนบุคคลจะต้องพิจารณาชั่งน้ำหนักว่าประโยชน์โดยชอบด้วยกฎหมาย ของเจ้าหนี้ตามคำพิพากษาดังกล่าวมีความสำคัญไม่ยิ่งหย่อนไปกว่าสิทธิขั้นพื้นฐานในข้อมูลส่วนบุคคล โดยเฉพาะสิทธิในความเป็นส่วนตัว (right to privacy) ที่ลูกหนี้ตามคำพิพากษาจะสูญเสียไปจากการเปิดเผย ข้อมูลส่วนบุคคลดังกล่าวหรือไม่

นอกจากนี้ ในกรณีที่เจ้าของข้อมูลส่วนบุคคลใช้สิทธิคัดค้านการเปิดเผยข้อมูล ส่วนบุคคลที่เกี่ยวกับตนดังกล่าวตาม[มาตรา 32](https://link.pdpalawbase.com/section/32.md) (1) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ผู้ควบคุมข้อมูลส่วนบุคคลมีหน้าที่พิสูจน์ว่า การเปิดเผยข้อมูลส่วนบุคคลนั้น ผู้ควบคุมข้อมูลส่วนบุคคลได้แสดง ให้เห็นถึงเหตุอันชอบด้วยกฎหมายที่สำคัญยิ่งกว่า ตาม[มาตรา 32](https://link.pdpalawbase.com/section/32.md) (1) (ก) หรือเป็นไปเพื่อก่อตั้งสิทธิเรียกร้อง ตามกฎหมาย การปฏิบัติตามหรือการใช้สิทธิเรียกร้องตามกฎหมาย หรือการยกขึ้นต่อสู้สิทธิเรียกร้อง ตามกฎหมาย ตาม[มาตรา 32](https://link.pdpalawbase.com/section/32.md) (1) (ข) หรือไม่ โดยในการพิจารณาชั่งน้ำหนักตาม[มาตรา 24](https://link.pdpalawbase.com/section/24.md) (5) ประกอบ [มาตรา 27](https://link.pdpalawbase.com/section/27.md) วรรคหนึ่งดังกล่าว ผู้ควบคุมข้อมูลส่วนบุคคลอาจพิจารณาการประเมินประโยชน์โดยชอบด้วยกฎหมาย (Legitimate Interest Assessment: LIA) จากหลักเกณฑ์ 3 ประการ ดังนี้

ประการที่หนึ่ง การทดสอบวัตถุประสงค์ (Purpose Test) เป็นการพิจารณาเหตุผลและ ประโยชน์ที่จะได้รับจากการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลดังกล่าวว่า มีความชอบด้วยกฎหมาย หรือไม่ อย่างไร

ประการที่สอง การทดสอบความจำเป็น (Necessity Test) เป็นการพิจารณาว่า การเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลดังกล่าวมีความจำเป็นมากน้อยเพียงใดเพื่อให้บรรลุวัตถุประสงค์อันชอบด้วย กฎหมายนั้น และสามารถดำเนินการด้วยวิธีการอื่นที่จะส่งผลกระทบต่อสิทธิขั้นพื้นฐานในข้อมูลส่วนบุคคล ของเจ้าของข้อมูลส่วนบุคคลน้อยกว่าได้หรือไม่ เพียงใด

ประการที่สาม การทดสอบความสมดุลแห่งสิทธิ (Balancing Test) เป็นการพิจารณาชั่งน้ำหนัก ระหว่างประโยชน์โดยชอบด้วยกฎหมายดังกล่าว กับสิทธิขั้นพื้นฐานในข้อมูลส่วนบุคคลของเจ้าของข้อมูล ส่วนบุคคล ซึ่งจะต้องไม่กระทบต่อสิทธิและเสรีภาพ โดยเฉพาะสิทธิในความเป็นส่วนตัว (right to privacy) ของเจ้าของข้อมูลส่วนบุคคลที่เกี่ยวข้องเกินสมควร

ทั้งนี้ ในกรณีที่ผู้ควบคุมข้อมูลส่วนบุคคลเปิดเผยข้อมูลส่วนบุคคลดังกล่าวโดยเห็นว่าเป็นกรณีที่ ได้รับยกเว้นไม่ต้องขอความยินยอมตาม[มาตรา 24](https://link.pdpalawbase.com/section/24.md) (5) ประกอบ[มาตรา 27](https://link.pdpalawbase.com/section/27.md) วรรคหนึ่ง แห่งพระราชบัญญัติ คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ผู้ควบคุมข้อมูลส่วนบุคคลต้องบันทึกการเปิดเผยนั้นไว้ในรายการ ตามมาตรา 39 ด้วย ตามนัยมาตรา 27 วรรคสาม โดยควรพิจารณาบันทึกเหตุผลในการใช้ดุลพินิจชั่งน้ำหนัก ระหว่างประโยชน์โดยชอบด้วยกฎหมายของผู้ควบคุมข้อมูลส่วนบุคคลหรือของบุคคลหรือนิติบุคคลอื่นที่ไม่ใช่ ผู้ควบคุมข้อมูลส่วนบุคคล กับสิทธิขั้นพื้นฐานในข้อมูลส่วนบุคคลของเจ้าของข้อมูลส่วนบุคคล ในการประเมิน ประโยชน์โดยชอบด้วยกฎหมาย (Legitimate Interest Assessment: LIA) ตามหลักเกณฑ์ 3 ประการดังกล่าว ไว้ในรายการตามมาตรา 39 ด้วย

อนึ่ง การให้คำแนะนำและให้คำปรึกษาในการปฏิบัติตามพระราชบัญญัติคุ้มครองข้อมูล ส่วนบุคคล พ.ศ. 2562 นี้ เป็นการให้ความเห็นเกี่ยวกับข้อกฎหมายตามพระราชบัญญัติดังกล่าวโดยทั่วไป

อย่างไรก็ดี ในกรณีของธนาคารหรือสถาบันการเงินของรัฐ กรมที่ดิน กรมการขนส่งทางบก กรมเจ้าท่า และหน่วยงานของรัฐอื่น ซึ่งเป็นหน่วยงานของรัฐตามมาตรา 4 แห่งพระราชบัญญัติข้อมูลข่าวสารของราชการ พ.ศ. 2540 การเปิดเผยข้อมูลส่วนบุคคลตามคำร้องขอจากเจ้าหนี้ตามคำพิพากษาให้เปิดเผยข้อมูลทรัพย์สิน ของลูกหนี้ตามคำพิพากษาดังกล่าว จะต้องพิจารณาให้เป็นไปตามพระราชบัญญัติข้อมูลข่าวสารของราชการ พ.ศ. 2540 ด้วย เนื่องจากเป็นการเปิดเผยข้อมูลข่าวสารของราชการที่อยู่ในความครอบครองหรือควบคุมดูแล ของหน่วยงานของรัฐ และในการใช้ดุลพินิจในการเปิดเผยข้อมูลข่าวสารส่วนบุคคลโดยหน่วยงานของรัฐดังกล่าว หากเจ้าของข้อมูลเห็นว่าได้รับความเสียหายก็สามารถใช้สิทธิร้องเรียนตามกฎหมายที่เกี่ยวข้องต่อไปได้

นอกจากนี้ ในการเปิดเผยข้อมูลส่วนบุคคลของลูกหนี้ตามคำพิพากษาโดยธนาคารหรือสถาบันการเงิน ธนาคารหรือสถาบันการเงินดังกล่าวมีหน้าที่ปฏิบัติตามกฎหมายว่าด้วยธุรกิจสถาบันการเงินและกฎหมายอื่น ที่เกี่ยวข้องด้วย ซึ่งเป็นไปตาม[มาตรา 3](https://link.pdpalawbase.com/section/3.md) (1) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ที่บัญญัติ หลักการไว้ว่า ในกรณีที่มีกฎหมายว่าด้วยการใดบัญญัติเกี่ยวกับการคุ้มครองข้อมูลส่วนบุคคลในลักษณะใด กิจการใด หรือหน่วยงานใดไว้โดยเฉพาะแล้ว ให้บังคับตามบทบัญญัติแห่งกฎหมายว่าด้วยการนั้น เว้นแต่ บทบัญญัติเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล และบทบัญญัติเกี่ยวกับสิทธิของเจ้าของ ข้อมูลส่วนบุคคล รวมทั้งบทกำหนดโทษที่เกี่ยวข้อง ให้บังคับตามบทบัญญัติแห่งพระราชบัญญัติคุ้มครองข้อมูล ส่วนบุคคล พ.ศ. 2562 เป็นการเพิ่มเติม ไม่ว่าจะซ้ำกับบทบัญญัติแห่งกฎหมายว่าด้วยการนั้นหรือไม่ก็ตาม โดยในกรณีที่เห็นสมควร หน่วยงานที่เป็นผู้ควบคุมข้อมูลส่วนบุคคลที่ได้รับคำร้องขอให้เปิดเผยข้อมูลส่วนบุคคล อาจพิจารณาหารือกับธนาคารแห่งประเทศไทย สำนักงานคณะกรรมการข้อมูลข่าวสารของราชการ และหน่วยงาน ที่มีหน้าที่และอำนาจตามกฎหมายอื่นที่เกี่ยวข้องเพิ่มเติมต่อไปได้

สำหรับประเด็นที่ขอให้สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลแจ้งความเห็น ในการดำเนินการตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ไปยังธนาคารแห่งประเทศไทย กรมที่ดิน กรมการขนส่งทางบก และกรมเจ้าท่า ด้วยนั้น การตอบข้อหารือนี้เป็นการให้คำแนะนำและคำปรึกษา ทางกฎหมายของคณะอนุกรรมการตอบข้อหารือฯ ตามที่ได้รับมอบหมายจากคณะกรรมการคุ้มครองข้อมูล ส่วนบุคคล ซึ่งสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลจะได้แจ้งความเห็นตามข้อหารือนี้ไปยัง หน่วยงานที่เกี่ยวข้องเพื่อประกอบการพิจารณาดำเนินการตามหน้าที่และอำนาจต่อไป

## เอกสารต้นฉบับ

- [PDF ต้นฉบับ (local)](../../raw/opinions/opinion-6-2569.pdf)
- [ที่มา: pdpc.or.th](https://www.pdpc.or.th/wp-content/uploads/2026/03/consultation-69.pdf)

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/opinion/6-2569.md

============================================================
โนด: ข้อหารือ 7/2566
ลิงก์อ้างอิง: https://link.pdpalawbase.com/opinion/7-2566.md

# ข้อหารือที่ 7/2566 เรื่อง นาย A ขอความเห็นกรณีการดำเนินการตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562

## ข้อกฎหมาย

1. พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 — [มาตรา 6](https://link.pdpalawbase.com/section/6.md), [มาตรา 19](https://link.pdpalawbase.com/section/19.md), [มาตรา 21](https://link.pdpalawbase.com/section/21.md) วรรคหนึ่ง, [มาตรา 23](https://link.pdpalawbase.com/section/23.md), [มาตรา 24](https://link.pdpalawbase.com/section/24.md) และ [มาตรา 27](https://link.pdpalawbase.com/section/27.md) วรรคหนึ่ง
2. พระราชบัญญัติสหกรณ์ พ.ศ. 2542 และที่แก้ไขเพิ่มเติม

## ข้อหารือ

นาย A ซึ่งเป็นสมาชิกสหกรณ์ออมทรัพย์ B ได้ขอความเห็นกรณีการจัดทำรายงานการประชุมของคณะกรรมการดำเนินการสหกรณ์ออมทรัพย์ B (คณะกรรมการฯ) ที่ไม่มีการใส่ชื่อผู้เข้าร่วมประชุมในรายงานการประชุม โดยระบุว่า รายชื่อของผู้เข้าร่วมประชุมเป็นไปตามเอกสารแนบ ต่อมาเมื่อได้รับการทักท้วงและสอบถามจากสมาชิก คณะกรรมการฯ ชี้แจงว่า คณะกรรมการฯ มีสิทธิที่จะทำรายงานการประชุมในลักษณะนี้ได้ เพราะผู้เข้าร่วมประชุมไม่ต้องการให้มีการเปิดเผยชื่อของตนในรายงานการประชุม โดยอ้างถึงพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562

นาย A จึงขอหารือว่า คณะกรรมการฯ สามารถจัดทำรายงานการประชุมในลักษณะดังกล่าวได้หรือไม่ หากกระทำไม่ได้ การประชุมที่ผ่านมาในลักษณะเช่นนี้ จะถือว่าเป็นการประชุมที่ถูกต้องหรือไม่ และจะมีผลอย่างไรและต้องดำเนินการอย่างไร

## ความเห็น

คณะอนุกรรมการเฉพาะกิจตอบข้อหารือและให้คำแนะนำหน่วยงานของรัฐเพื่อรองรับการบังคับใช้พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ในคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล พิจารณาแล้วมีความเห็น 2 ประเด็น ดังนี้

**ประเด็นหารือที่หนึ่ง** การจัดทำรายงานการประชุมโดยไม่เปิดเผยรายชื่อผู้เข้าร่วมประชุม สามารถจัดทำได้หรือไม่ คณะอนุกรรมการเฉพาะกิจฯ เห็นว่า สหกรณ์ออมทรัพย์ B (สหกรณ์ฯ) เป็นนิติบุคคลตามพระราชบัญญัติสหกรณ์ พ.ศ. 2542 และที่แก้ไขเพิ่มเติม โดยมีอำนาจหน้าที่ตัดสินใจและกำหนดวัตถุประสงค์และวิธีการเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล (กล่าวคือ เป็นผู้ควบคุมข้อมูลส่วนบุคคลตาม [มาตรา 6](https://link.pdpalawbase.com/section/6.md))

ซึ่งกรณีที่ขอหารือนี้ เป็นการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลของผู้เข้าร่วมประชุม เพื่อให้บรรลุวัตถุประสงค์ของการประชุมของคณะกรรมการฯ ซึ่งสหกรณ์ฯ จะต้องทำการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลตามวัตถุประสงค์ที่ได้แจ้งให้เจ้าของข้อมูลส่วนบุคคลทราบก่อนหรือในขณะที่เก็บรวบรวมข้อมูลส่วนบุคคล ทั้งนี้ ตามนัย [มาตรา 21](https://link.pdpalawbase.com/section/21.md) วรรคหนึ่ง ประกอบ [มาตรา 23](https://link.pdpalawbase.com/section/23.md) แห่ง PDPA นอกจากนี้ [มาตรา 19](https://link.pdpalawbase.com/section/19.md) กำหนดให้ผู้ควบคุมข้อมูลส่วนบุคคลจะกระทำการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลไม่ได้หากเจ้าของข้อมูลส่วนบุคคลไม่ได้ให้ความยินยอมไว้ก่อนหรือในขณะนั้น เว้นแต่บทบัญญัติแห่งพระราชบัญญัตินี้หรือกฎหมายอื่นบัญญัติให้กระทำได้

ดังนั้น กรณีสหกรณ์ฯ ได้เก็บรวบรวมข้อมูลส่วนบุคคลของผู้เข้าร่วมประชุมให้เป็นไปตามวัตถุประสงค์ที่ได้แจ้งผู้เข้าร่วมประชุมไว้ ซึ่งรวมถึงวัตถุประสงค์ตามที่ [มาตรา 24](https://link.pdpalawbase.com/section/24.md) (1) ถึง (6) ให้อำนาจในการเก็บรวบรวมได้โดยไม่ได้รับความยินยอมจากเจ้าของข้อมูลส่วนบุคคล สหกรณ์ฯ ย่อมพิจารณากระทำการเกี่ยวกับข้อมูลส่วนบุคคลเพื่อให้บรรลุวัตถุประสงค์ที่ได้แจ้งไว้โดยไม่ต้องขอความยินยอมจากผู้เข้าร่วมประชุม แต่หากสหกรณ์ฯ ได้แจ้งวัตถุประสงค์ในการเก็บรวบรวมพร้อมขอความยินยอม การเปิดเผยข้อมูลส่วนบุคคลของผู้เข้าร่วมประชุมจะเข้าข่ายต้องได้รับความยินยอมในการเปิดเผยด้วย ทั้งนี้ ตามนัย [มาตรา 27](https://link.pdpalawbase.com/section/27.md) วรรคหนึ่ง

อนึ่ง คณะอนุกรรมการฯ มีข้อสังเกตว่า การที่สหกรณ์ฯ จะเปิดเผยรายชื่อผู้เข้าร่วมประชุมดังกล่าวหรือไม่นั้น เป็นดุลพินิจของสหกรณ์ฯ แต่การใช้ดุลพินิจดังกล่าวควรเป็นไปตามวัตถุประสงค์ของการเก็บรวบรวมข้อมูลส่วนบุคคลที่ได้แจ้งให้เจ้าของข้อมูลส่วนบุคคลทราบก่อนหรือในขณะเก็บรวบรวม และต้องไม่ขัดต่อกฎหมาย กฎ หรือระเบียบที่เกี่ยวข้อง รวมถึงต้องไม่ขัดต่อเจตนารมณ์ของการจัดทำรายงานการประชุม

**ประเด็นหารือที่สอง** การไม่ใส่ชื่อผู้เข้าร่วมประชุมในรายงานการประชุมของคณะกรรมการฯ ที่ผ่านมาจะทำให้การประชุมนั้นถูกต้องหรือไม่ และจะมีผลอย่างไรและต้องดำเนินการอย่างไร คณะอนุกรรมการฯ เห็นว่า ประเด็นนี้เป็นข้อหารือเกี่ยวกับความชอบด้วยกฎหมายและความสมบูรณ์ของการประชุม ซึ่งต้องพิจารณาตามกฎหมาย กฎ หรือระเบียบที่เกี่ยวข้องกับการประชุมของสหกรณ์ฯ มิใช่การขอคำแนะนำหรือคำปรึกษาเกี่ยวกับ PDPA จึงไม่อยู่ในหน้าที่และอำนาจของคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลที่จะพิจารณาให้ความเห็นได้

## เอกสารต้นฉบับ

- [PDF ต้นฉบับ (local)](../../raw/opinions/opinion-7-2566.pdf)
- [ที่มา: pdpc.or.th](https://www.pdpc.or.th/wp-content/uploads/2024/02/PDPC-consultation-07.pdf)

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/opinion/7-2566.md

============================================================
โนด: ข้อหารือ 7/2567
ลิงก์อ้างอิง: https://link.pdpalawbase.com/opinion/7-2567.md

# ข้อหารือที่ 7/2567 เรื่อง สถานีตำรวจ G ขอหารือข้อกฎหมายเกี่ยวกับพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562

## ข้อกฎหมาย

1. พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562  
[มาตรา 4](https://link.pdpalawbase.com/section/4.md) (1) [มาตรา 5](https://link.pdpalawbase.com/section/5.md) [มาตรา 6](https://link.pdpalawbase.com/section/6.md) [มาตรา 19](https://link.pdpalawbase.com/section/19.md) [มาตรา 20](https://link.pdpalawbase.com/section/20.md) [มาตรา 23](https://link.pdpalawbase.com/section/23.md) [มาตรา 24](https://link.pdpalawbase.com/section/24.md)  
[มาตรา 26](https://link.pdpalawbase.com/section/26.md) [มาตรา 28](https://link.pdpalawbase.com/section/28.md) [มาตรา 29](https://link.pdpalawbase.com/section/29.md) [มาตรา 30](https://link.pdpalawbase.com/section/30.md) [มาตรา 31](https://link.pdpalawbase.com/section/31.md) [มาตรา 32](https://link.pdpalawbase.com/section/32.md) [มาตรา 33](https://link.pdpalawbase.com/section/33.md) 
[มาตรา 34](https://link.pdpalawbase.com/section/34.md) [มาตรา 35](https://link.pdpalawbase.com/section/35.md) [มาตรา 36](https://link.pdpalawbase.com/section/36.md) [มาตรา 37](https://link.pdpalawbase.com/section/37.md) และ [มาตรา 41](https://link.pdpalawbase.com/section/41.md)  
2. พระราชบัญญัติว่าด้วยการกระทำความผิดเกี่ยวกับคอมพิวเตอร์ พ.ศ. 2550 และที่แก้ไข
เพิ่มเติม 
3. ประมวลกฎหมายอาญา 
มาตรา 326 และมาตรา 328 
4. ประมวลกฎหมายแพ่งและพาณิชย์ 
มาตรา 420

## ข้อหารือ

สถานีตำรวจ G แจ้งว่า มีผู้มาแจ้งความร้องทุกข์ต่อพนักงานสอบสวนสถานีตำรวจ G เพื่อให้
ดำเนินคดีกับผู้ต้องหาในความผิดตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 โดยกล่าวหาว่า ผู้ต้องหาได้
คัดลอกภาพถ่ายใบหน้าผู้เสียหายกับครอบครัว ซึ่งเป็นภาพโปรไฟล์บน Facebook ของผู้เสียหาย ไปโพสต์ใน 
Facebook ของผู้ต้องหาในลักษณะนำไปโพสต์ประจานเรื่องไม่ชำระหนี้แก่ผู้ต้องหา โดยผู้เสียหายไม่ได้อนุญาต 
จึงหารือว่า การที่ผู้ต้องหานำภาพถ่ายของผู้เสียหายพร้อมครอบครัว ที่ปรากฏภาพใบหน้าของผู้เสียหาย 
และครอบครัวไปใช้โพสต์ทาง Facebook ซึ่งตั้งค่าสาธารณะ บุคคลทั่วไปสามารถพบเห็นภาพใบหน้าผู้เสียหาย 
และพบเห็นข้อความที่โพสต์ประจานได้โดยไม่ได้รับความยินยอมจากผู้เสียหาย การกระทำของผู้ต้องหา 
ตามข้อเท็จจริงดังกล่าวจะเป็นความผิดตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 [มาตรา 27](https://link.pdpalawbase.com/section/27.md) 
หรือไม่ อย่างไร และในส่วนของผู้ต้องหาซึ่งเป็นบุคคลธรรมดา การที่นำภาพของผู้อื่นไปใช้โพสต์ จะเข้าคำนิยามคำ
ว่า “ผู้ควบคุมข้อมูลส่วนบุคคล” หรือไม่ อย่างไร

## ความเห็น

คณะอนุกรรมการเฉพาะกิจตอบข้อหารือและให้คำแนะนำหน่วยงานของรัฐเพื่อรองรับ 
การบังคับใช้พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ในคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล 
พิจารณาแล้วเห็นว่า ตาม [มาตรา 6](https://link.pdpalawbase.com/section/6.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 “ข้อมูลส่วนบุคคล” 
หมายความว่า ข้อมูลเกี่ยวกับบุคคลธรรมดาซึ่งทำให้สามารถระบุตัวบุคคลนั้นได้ไม่ว่าทางตรงหรือทางอ้อม แต่ไม่รวมถึง
ข้อมูลของผู้ถึงแก่กรรมโดยเฉพาะ ดังนั้น ภาพถ่ายบุคคลหรือข้อมูลอื่นเกี่ยวกับบุคคลที่สามารถระบุตัวบุคคลนั้นได้
ไม่ว่าทางตรงหรือทางอ้อม จึงถือเป็นข้อมูลส่วนบุคคลตามพระราชบัญญัตินี้ สำหรับการนำภาพถ่ายบุคคล 
หรือข้อมูลส่วนบุคคลอื่นไปโพสต์ในแอปพลิเคชัน Facebook จะอยู่ภายใต้บังคับของพระราชบัญญัติคุ้มครอง
ข้อมูลส่วนบุคคล พ.ศ. 2562 และมีความผิดตามพระราชบัญญัติดังกล่าวหรือไม่นั้น เห็นว่า พระราชบัญญัติ
คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 กำหนดไว้ใน [มาตรา 5](https://link.pdpalawbase.com/section/5.md) วรรคหนึ่งว่า พระราชบัญญัติดังกล่าวให้ใช้บังคับ
แก่การเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลโดยผู้ควบคุมข้อมูลส่วนบุคคลซึ่งอยู่ในราชอาณาจักร  
โดย [มาตรา 6](https://link.pdpalawbase.com/section/6.md) กำหนดว่า “ผู้ควบคุมข้อมูลส่วนบุคคล” หมายความว่า บุคคลหรือนิติบุคคลซึ่งมีอำนาจหน้าที่

ตัดสินใจเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล โดยการเป็นผู้ควบคุมข้อมูลส่วนบุคคล
ดังกล่าว เมื่อพิจารณาจากบทบัญญัติแห่งกฎหมายที่กำหนดหน้าที่และความรับผิดชอบไว้หลายประการ  
เช่น การกำหนดให้การเก็บรวบรวมข้อมูลส่วนบุคคลจะต้องมีฐานทางกฎหมายตาม [มาตรา 24](https://link.pdpalawbase.com/section/24.md) หรือ [มาตรา 26](https://link.pdpalawbase.com/section/26.md) 
แล้วแต่กรณี หน้าที่ในการแจ้งวัตถุประสงค์และรายละเอียดในการเก็บรวบรวมข้อมูลส่วนบุคคลตาม [มาตรา 23](https://link.pdpalawbase.com/section/23.md) 
ข้อกำหนดและเงื่อนไขเกี่ยวกับการส่งหรือโอนข้อมูลส่วนบุคคลไปยังต่างประเทศตาม [มาตรา 28](https://link.pdpalawbase.com/section/28.md) และ [มาตรา 29](https://link.pdpalawbase.com/section/29.md) 
หน้าที่ในการจัดให้มีมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสม และการแจ้งเหตุการละเมิดข้อมูล 
ส่วนบุคคล ตาม [มาตรา 37](https://link.pdpalawbase.com/section/37.md) (1) และ [มาตรา 37](https://link.pdpalawbase.com/section/37.md) (4) หน้าที่ในการตอบสนองต่อคำขอใช้สิทธิของเจ้าของข้อมูล
ส่วนบุคคลตาม [มาตรา 30](https://link.pdpalawbase.com/section/30.md) ถึง [มาตรา 36](https://link.pdpalawbase.com/section/36.md) หน้าที่ในการแต่งตั้งเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลตาม [มาตรา 41](https://link.pdpalawbase.com/section/41.md)  
และหน้าที่ในการจัดให้มีระบบการตรวจสอบเพื่อดำเนินการลบหรือทำลายข้อมูลส่วนบุคคลเมื่อพ้นกำหนด
ระยะเวลาการเก็บรักษา หรือที่ไม่เกี่ยวข้องหรือเกินความจำเป็นตามวัตถุประสงค์ในการเก็บรวบรวมข้อมูล 
ส่วนบุคคลนั้น หรือตามที่เจ้าของข้อมูลส่วนบุคคลร้องขอ หรือที่เจ้าของข้อมูลส่วนบุคคลได้ถอนความยินยอม 
ปรากฏรายละเอียดตาม [มาตรา 37](https://link.pdpalawbase.com/section/37.md) (3) เป็นต้น จึงเห็นได้ว่า บทบัญญัติและเจตนารมณ์แห่งกฎหมายดังกล่าว
มุ่งประสงค์จะใช้บังคับแก่บุคคลธรรมดาหรือนิติบุคคลที่มีการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล
อย่างเป็นระบบหรือเป็นประจำสม่ำเสมอเพื่อวัตถุประสงค์อย่างใดอย่างหนึ่งขององค์กรหรือของบุคคลนั้น  
โดยกำหนดหลักการที่สำคัญประการหนึ่งเกี่ยวกับการเก็บรวมรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลว่าต้องมี
ฐานทางกฎหมายตามที่กำหนดใน [มาตรา 24](https://link.pdpalawbase.com/section/24.md) หรือ [มาตรา 26](https://link.pdpalawbase.com/section/26.md) แล้วแต่กรณี และหากไม่มีฐานทางกฎหมายอื่น
ใดเพื่อใช้ในการเก็บรวมรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล ผู้ควบคุมข้อมูลส่วนบุคคลต้องได้รับความยินยอม
จากเจ้าของข้อมูลส่วนบุคคลตามหลักเกณฑ์ใน [มาตรา 19](https://link.pdpalawbase.com/section/19.md) และ [มาตรา 20](https://link.pdpalawbase.com/section/20.md) แห่งพระราชบัญญัติดังกล่าว  
และได้กำหนดหน้าที่และความรับผิดชอบของผู้ควบคุมข้อมูลส่วนบุคคลไว้ตั้งแต่ขั้นตอนการเก็บรวบรวม
จนกระทั่งการลบหรือทำลายข้อมูลส่วนบุคคล ประกอบกับ [มาตรา 4](https://link.pdpalawbase.com/section/4.md) (1) แห่งพระราชบัญญัติดังกล่าวได้กำหนด
ข้อยกเว้นไม่ให้นำพระราชบัญญัตินี้ไปใช้บังคับแก่การเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลของบุคคล 
ที่ทำการเก็บรวบรวมข้อมูลส่วนบุคคลเพื่อประโยชน์ส่วนตนหรือเพื่อกิจกรรมในครอบครัวของบุคคลนั้นเท่านั้น 
ดังนั้น จากกรณีดังกล่าว การกระทำของผู้ต้องหาซึ่งมีฐานะเป็นบุคคลธรรมดา จะถือว่า 
เป็นการกระทำในฐานะผู้ควบคุมข้อมูลส่วนบุคคล และจะมีความผิดตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล  
พ.ศ. 2562 หรือไม่ นั้น สถานีตำรวจ G ต้องพิจารณาว่าการกระทำดังกล่าวของผู้ต้องหาเป็นการเก็บรวบรวม 
ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลที่ผู้นั้นทำการเก็บรวบรวมเพื่อประโยชน์ส่วนตนหรือเพื่อกิจกรรม 
ในครอบครัวของบุคคลนั้นหรือไม่ หากพิจารณาแล้วเห็นว่า การกระทำของผู้ต้องหาดังกล่าวมีวัตถุประสงค์ 
ในการดำเนินการเพื่อประโยชน์ส่วนตน โดยไม่มีลักษณะเป็นการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล
อย่างเป็นระบบหรือเป็นประจำสม่ำเสมอเพื่อวัตถุประสงค์อย่างใดอย่างหนึ่งของบุคคลนั้นในฐานะผู้ควบคุม 
ข้อมูลส่วนบุคคล ย่อมไม่อยู่ในขอบเขตการบังคับใช้ของพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 
ตาม [มาตรา 4](https://link.pdpalawbase.com/section/4.md) (1) แต่อย่างไรก็ดี หากการกระทำของผู้ต้องหามีลักษณะเป็นการละเมิดสิทธิในความเป็นส่วนตัว
ของบุคคลอื่นเกินสมควร หรือเข้าองค์ประกอบความผิดตามกฎหมายอื่นใด ผู้กระทำอาจมีความรับผิด 
ตามกฎหมายเหล่านั้นได้ เช่น พระราชบัญญัติว่าด้วยการกระทำความผิดเกี่ยวกับคอมพิวเตอร์ พ.ศ. 2550 
และที่แก้ไขเพิ่มเติม หรือประมวลกฎหมายอาญาในความผิดฐานหมิ่นประมาทหรือหมิ่นประมาท 
โดยการโฆษณา หรือการทำละเมิดตามมาตรา 420 แห่งประมวลกฎหมายแพ่งและพาณิชย์

## เอกสารต้นฉบับ

- [PDF ต้นฉบับ (local)](../../raw/opinions/opinion-7-2567.pdf)
- [ที่มา: pdpc.or.th](https://www.pdpc.or.th/wp-content/uploads/2024/06/PDPC-consultation-36.pdf)

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/opinion/7-2567.md

============================================================
โนด: ข้อหารือ 7/2568
ลิงก์อ้างอิง: https://link.pdpalawbase.com/opinion/7-2568.md

# ข้อหารือที่ 7/2568 เรื่อง ข้อหารือของมหาวิทยาลัยนวมินทราธิราชเกี่ยวกับการส่งข้อมูลผลการตรวจสุขภาพตามนโยบายตรวจสุขภาพ 1 ล้านคน

## ข้อกฎหมาย

1. พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 — [มาตรา 3](https://link.pdpalawbase.com/section/3.md) [มาตรา 6](https://link.pdpalawbase.com/section/6.md) [มาตรา 19](https://link.pdpalawbase.com/section/19.md) วรรคหนึ่ง [มาตรา 22](https://link.pdpalawbase.com/section/22.md) [มาตรา 23](https://link.pdpalawbase.com/section/23.md) (1) และ (4) [มาตรา 24](https://link.pdpalawbase.com/section/24.md) (4) [มาตรา 25](https://link.pdpalawbase.com/section/25.md) วรรคหนึ่ง (2) [มาตรา 26](https://link.pdpalawbase.com/section/26.md) (5) (ก) และ (ข) [มาตรา 27](https://link.pdpalawbase.com/section/27.md) [มาตรา 37](https://link.pdpalawbase.com/section/37.md) (1) และ (2) และ [มาตรา 39](https://link.pdpalawbase.com/section/39.md)
2. พระราชบัญญัติมหาวิทยาลัยนวมินทราธิราช พ.ศ. 2553 — มาตรา 4 มาตรา 6 และมาตรา 7 (3) (4) และ (8)
3. พระราชบัญญัติระเบียบบริหารราชการกรุงเทพมหานคร พ.ศ. 2528 และที่แก้ไขเพิ่มเติม — มาตรา 6 และมาตรา 89 (16)
4. พระราชบัญญัติข้อมูลข่าวสารของราชการ พ.ศ. 2540 — มาตรา 4
5. ประกาศกรุงเทพมหานคร เรื่อง การแบ่งส่วนราชการภายในหน่วยงานและการกำหนดอำนาจหน้าที่ของส่วนราชการกรุงเทพมหานคร ลงวันที่ 31 ตุลาคม พ.ศ. 2528 และที่แก้ไขเพิ่มเติม — ข้อ 10 และข้อ 11 (2)
6. ประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง มาตรการรักษาความมั่นคงปลอดภัยของผู้ควบคุมข้อมูลส่วนบุคคล พ.ศ. 2565

## ข้อหารือ

มหาวิทยาลัยนวมินทราธิราช แจ้งว่า กรุงเทพมหานคร (กทม.) ขอให้มหาวิทยาลัยนวมินทราธิราชดำเนินการตรวจสุขภาพข้าราชการ บุคลากร กทม. และประชาชนทั่วไป ตามนโยบายตรวจสุขภาพ 1 ล้านคน และให้ส่งข้อมูลผลการตรวจสุขภาพที่ได้ดำเนินการ ในรูปแบบที่ปิดบังตัวตนของผู้รับการตรวจ ภายใต้มาตรฐานการคุ้มครองข้อมูลส่วนบุคคล และส่งต่อภายใต้ช่องทางที่ปลอดภัย ต่อมาทาง กทม. โดยสำนักการแพทย์ได้มีการเปลี่ยนแปลงการส่งข้อมูล ในการประชุมชี้แจงขั้นตอนการบันทึกผลการตรวจสุขภาพเมื่อวันที่ 28 มิถุนายน 2567 โดยให้มหาวิทยาลัยนวมินทราธิราชส่งข้อมูลผลการตรวจสุขภาพจากระบบ Hospital Information System ของโรงพยาบาลวชิรพยาบาล ไปยังระบบ BMA Portal โดยระบุชื่อ เลขประจำตัวประชาชน ที่อยู่ ข้อมูลด้านความเสี่ยงสุขภาพ เช่น การสูบบุหรี่/ดื่มสุรา ผลการวัดสัญญาณชีพ (vital signs) ผลการคัดกรองสุขภาพ ผลการตรวจทางห้องปฏิบัติการต่าง ๆ ฯลฯ ของผู้มารับบริการ

เนื่องจากมหาวิทยาลัยนวมินทราธิราชเป็นสถาบันอุดมศึกษาที่เป็นหน่วยงานของรัฐอยู่ในกำกับของกรุงเทพมหานคร มีฐานะเป็นนิติบุคคล มีวัตถุประสงค์เพื่อให้การศึกษา ส่งเสริมวิชาการ การวิจัย สร้างและพัฒนาวิชาการและวิชาชีพชั้นสูง รวมตลอดทั้งเผยแพร่ความรู้และส่งเสริมการแพทย์ การสาธารณสุข การบริหารจัดการเขตเมือง การปกครองส่วนท้องถิ่น การพัฒนามหานคร การทะนุบำรุงศาสนา ศิลปะ วัฒนธรรม จารีตประเพณี ภูมิปัญญาท้องถิ่น สิ่งแวดล้อม และกีฬา โดยคำนึงถึงประสบการณ์และความพร้อมในด้านต่าง ๆ ที่เป็นเอกลักษณ์ของ กทม. เพื่อตอบสนองความต้องการของประชาชนและเพื่อประโยชน์ของประเทศชาติ ตามมาตรา 4 และมาตรา 6 แห่งพระราชบัญญัติมหาวิทยาลัยนวมินทราธิราช พ.ศ. 2553 ซึ่งมีการให้บริการด้านการแพทย์และสาธารณสุข โดยโรงพยาบาลวชิรพยาบาลซึ่งเป็นหน่วยงานในสังกัดของคณะแพทยศาสตร์วชิรพยาบาล มหาวิทยาลัยนวมินทราธิราช และมีการจัดเก็บข้อมูลของผู้มารับบริการในโรงพยาบาล ซึ่งมีฐานะเป็นผู้ควบคุมข้อมูลส่วนบุคคลตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 จึงขอหารือในประเด็นดังนี้

1. การขอให้ส่งข้อมูลผลการตรวจสุขภาพจากระบบ Hospital Information System ของโรงพยาบาลวชิรพยาบาล ไปยังระบบ BMA Portal โดยระบุชื่อ เลขประจำตัวประชาชน ที่อยู่ ข้อมูลด้านความเสี่ยงสุขภาพ เช่น การสูบบุหรี่/ดื่มสุรา ผลการวัดสัญญาณชีพ (vital signs) ผลการคัดกรองสุขภาพ ผลการตรวจทางห้องปฏิบัติการต่าง ๆ ฯลฯ ของผู้มารับบริการ กทม. ในฐานะผู้ควบคุมข้อมูลส่วนบุคคลสามารถทำการเก็บรวบรวมข้อมูลส่วนบุคคลจากมหาวิทยาลัยนวมินทราธิราชที่ไม่ใช่จากเจ้าของข้อมูลส่วนบุคคลโดยตรง โดยอาศัยอำนาจตาม [มาตรา 25](https://link.pdpalawbase.com/section/25.md) (2) ประกอบ [มาตรา 24](https://link.pdpalawbase.com/section/24.md) หรือ [มาตรา 26](https://link.pdpalawbase.com/section/26.md) ได้หรือไม่

2. มหาวิทยาลัยนวมินทราธิราชสามารถส่งข้อมูลส่วนบุคคล ตามข้อ 1 ซึ่งรวมถึงข้อมูลสุขภาพของผู้ป่วยที่มารับบริการในสถานพยาบาลในสังกัดของมหาวิทยาลัยฯ ตามที่ กทม. ร้องขอ เพื่อการนำไปใช้ในวัตถุประสงค์ตามคำประกาศเกี่ยวกับความเป็นส่วนตัว (Privacy Notice) ของระบบเก็บข้อมูลโครงการตรวจสุขภาพล้านคนของ กทม. ข้อ 2.1 ถึง 2.4 โดยเป็นความจำเป็นในการปฏิบัติตามกฎหมายภายใต้พระราชบัญญัติระเบียบบริหารราชการกรุงเทพมหานคร พ.ศ. 2528 มาตรา 89 และตามบันทึกข้อตกลงความร่วมมือ เรื่อง การพัฒนาเพิ่มคุณภาพการบริการด้านการแพทย์และสาธารณสุขผ่านเทคโนโลยีดิจิทัล ข้อ 1.2 ซึ่งถือเป็นข้อยกเว้นที่ไม่จำเป็นต้องขอคำยินยอม (Consent) สำหรับข้อมูลส่วนบุคคลที่อ่อนไหว (Sensitive Personal Data) โดยไม่ต้องขอความยินยอมจากเจ้าของข้อมูลส่วนบุคคล ตาม [มาตรา 27](https://link.pdpalawbase.com/section/27.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ได้หรือไม่

## ความเห็น

คณะอนุกรรมการตอบข้อหารือและให้คำแนะนำในการปฏิบัติตามกฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคล ในคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล ได้พิจารณาข้อหารือ โดยมีผู้แทนมหาวิทยาลัยนวมินทราธิราชเป็นผู้ชี้แจงข้อเท็จจริงแล้วมีความเห็น ดังนี้

มหาวิทยาลัยนวมินทราธิราชต้องดำเนินการเกี่ยวกับข้อมูลส่วนบุคคลโดยพิจารณาหลักเกณฑ์การคุ้มครองข้อมูลส่วนบุคคลให้เป็นไปตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 โดยในขณะเดียวกันมหาวิทยาลัยนวมินทราธิราช มีฐานะเป็นหน่วยงานของรัฐตามบทนิยามในมาตรา 4 แห่งพระราชบัญญัติข้อมูลข่าวสารของราชการ พ.ศ. 2540 การบริหารจัดการข้อมูลข่าวสารที่อยู่ในความครอบครองหรือควบคุมดูแลของมหาวิทยาลัยนวมินทราธิราช จึงต้องถือปฏิบัติตามกฎหมายว่าด้วยข้อมูลข่าวสารของราชการด้วย ซึ่งเป็นไปตาม [มาตรา 3](https://link.pdpalawbase.com/section/3.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ที่บัญญัติว่า “ในกรณีที่มีกฎหมายว่าด้วยการใดบัญญัติเกี่ยวกับการคุ้มครองข้อมูลส่วนบุคคลในลักษณะใด กิจการใด หรือหน่วยงานใดไว้โดยเฉพาะแล้ว ให้บังคับตามบทบัญญัติแห่งกฎหมายว่าด้วยการนั้น เว้นแต่ (1) บทบัญญัติเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล และบทบัญญัติเกี่ยวกับสิทธิของเจ้าของข้อมูลส่วนบุคคล รวมทั้งบทกำหนดโทษที่เกี่ยวข้อง ให้บังคับตามบทบัญญัติแห่งพระราชบัญญัตินี้เป็นการเพิ่มเติม ไม่ว่าจะซ้ำกับบทบัญญัติแห่งกฎหมายว่าด้วยการนั้นหรือไม่ก็ตาม ฯลฯ” มหาวิทยาลัยนวมินทราธิราชจึงควรดำเนินการให้เป็นไปตามกฎหมายว่าด้วยข้อมูลข่าวสารของราชการที่ได้กำหนดเรื่องการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลข่าวสารของราชการของหน่วยงานของรัฐ รวมถึงข้อมูลข่าวสารส่วนบุคคลที่อยู่ในความครอบครองหรือควบคุมดูแลของหน่วยงานของรัฐไว้โดยเฉพาะแล้วก่อน และให้พิจารณาบทบัญญัติเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 เป็นการเพิ่มเติม ในการดำเนินการต่อไป โดยในแต่ละประเด็นที่หารือมานั้น คณะอนุกรรมการตอบข้อหารือฯ มีความเห็นดังนี้

### ประเด็นข้อหารือที่ 1 (กทม. เก็บรวบรวมข้อมูลจากแหล่งอื่นโดยอาศัยฐานภารกิจรัฐ)

ประเด็นข้อหารือที่ 1 เห็นว่า กทม. เป็นราชการบริหารส่วนท้องถิ่น มีฐานะเป็นนิติบุคคล ตามมาตรา 6 แห่งพระราชบัญญัติระเบียบบริหารราชการกรุงเทพมหานคร พ.ศ. 2528 และมีอำนาจหน้าที่ดำเนินกิจการในเขตกรุงเทพมหานครในเรื่องต่าง ๆ ที่กฎหมายกำหนด ซึ่งรวมถึงการดำเนินกิจการในเรื่องการสาธารณสุข การอนามัยครอบครัว และการรักษาพยาบาลตามมาตรา 89 (16) แห่งพระราชบัญญัติดังกล่าว โดยมีสำนักการแพทย์เป็นส่วนราชการในสังกัดที่มีอำนาจหน้าที่จัดให้มีบริการโรงพยาบาลในการตรวจรักษาพยาบาล ส่งเสริมสุขภาพ ป้องกันโรค ฟื้นฟูสุขภาพและสมรรถภาพ บริหารและจัดบริการการแพทย์ฉุกเฉินและส่งต่อผู้ป่วย เพื่อลดการบาดเจ็บและการตายจากการเจ็บป่วยของผู้ป่วย จัดการศึกษา ฝึกอบรม พัฒนาทางวิชาการด้านการแพทย์และสาธารณสุข และปฏิบัติหน้าที่อื่นที่เกี่ยวข้องหรือได้รับมอบหมาย ตามข้อ 10 ของประกาศกรุงเทพมหานคร เรื่อง การแบ่งส่วนราชการภายในหน่วยงานและการกำหนดอำนาจหน้าที่ของส่วนราชการกรุงเทพมหานคร ลงวันที่ 31 ตุลาคม พ.ศ. 2528 ซึ่งแก้ไขเพิ่มเติมโดยประกาศกรุงเทพมหานคร เรื่อง การแบ่งส่วนราชการภายในหน่วยงานและการกำหนดอำนาจหน้าที่ของส่วนราชการกรุงเทพมหานคร (ฉบับที่ 94) ลงวันที่ 11 เมษายน พ.ศ. 2560 นอกจากนี้ สำนักการแพทย์ ยังมีสำนักงานพัฒนาระบบบริการทางการแพทย์เป็นส่วนราชการในสังกัด มีอำนาจหน้าที่วางแผน กำกับ ติดตาม วิเคราะห์และประเมินผลแผนยุทธศาสตร์ ด้านการแพทย์และสาธารณสุข พัฒนาระบบบริการสุขภาพ คุณภาพบริการ และสร้างเครือข่ายทางการแพทย์และสาธารณสุข รวมทั้งเป็นศูนย์ข้อมูลสารสนเทศทางการแพทย์ ตามข้อ 11 (2) ของประกาศกรุงเทพมหานคร เรื่อง การแบ่งส่วนราชการภายในหน่วยงานและการกำหนดอำนาจหน้าที่ของส่วนราชการกรุงเทพมหานคร ลงวันที่ 31 ตุลาคม พ.ศ. 2528 ซึ่งแก้ไขเพิ่มเติมโดยประกาศกรุงเทพมหานคร เรื่อง การแบ่งส่วนราชการภายในหน่วยงานและการกำหนดอำนาจหน้าที่ของส่วนราชการกรุงเทพมหานคร (ฉบับที่ 97) ลงวันที่ 6 กันยายน พ.ศ. 2560 ดังนั้น กทม. จึงมีอำนาจหน้าที่ตัดสินใจเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล ในการดำเนินงานตามอำนาจหน้าที่ของตน ตามประเด็นที่หารือมานี้ จึงถือเป็นผู้ควบคุมข้อมูลส่วนบุคคลตามนัย [มาตรา 6](https://link.pdpalawbase.com/section/6.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 การเก็บรวบรวมข้อมูลส่วนบุคคลจากมหาวิทยาลัยนวมินทราธิราชซึ่งเป็นอีกนิติบุคคลหนึ่งดังกล่าว ย่อมถือเป็นการเก็บรวบรวมข้อมูลส่วนบุคคลจากแหล่งอื่นที่ไม่ใช่จากเจ้าของข้อมูลส่วนบุคคลโดยตรงตามนัย [มาตรา 25](https://link.pdpalawbase.com/section/25.md) ซึ่งตามบทบัญญัติ [มาตรา 19](https://link.pdpalawbase.com/section/19.md) วรรคหนึ่ง แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ผู้ควบคุมข้อมูลส่วนบุคคลจะกระทำการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลไม่ได้หากเจ้าของข้อมูลส่วนบุคคลไม่ได้ให้ความยินยอมไว้ก่อนหรือในขณะนั้น เว้นแต่บทบัญญัติแห่งพระราชบัญญัตินี้หรือกฎหมายอื่นบัญญัติให้กระทำได้ กรณีนี้จึงมีประเด็นต้องพิจารณาก่อนว่า การเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลตามที่หารือดังกล่าวเป็นกรณีที่ได้รับยกเว้นไม่ต้องขอความยินยอมตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 [มาตรา 24](https://link.pdpalawbase.com/section/24.md) หรือ [มาตรา 26](https://link.pdpalawbase.com/section/26.md) แล้วแต่กรณี หรือไม่

เนื่องจาก กทม. โดยสำนักการแพทย์ มีความจำเป็นในการวิเคราะห์ข้อมูลในเขตพื้นที่ กทม. ซึ่งรวมถึงการประเมินสถานการณ์ อุบัติการณ์ หรือความชุกของการเกิดโรค เพื่อการวางแผนในการดำเนินการโครงการส่งเสริมสุขภาพและป้องกันโรคอย่างตรงเป้าหมายที่เหมาะสมตามพื้นที่ รวมทั้งเพื่อการจัดบริการทางการแพทย์และสาธารณสุขให้สอดคล้องกับความชุกและข้อมูลสุขภาพที่ปรากฏ (ตามที่ระบุในคำประกาศเกี่ยวกับความเป็นส่วนตัว (Privacy Notice) ของระบบเก็บข้อมูล โครงการตรวจสุขภาพล้านคนของกรุงเทพมหานคร สุขภาพดี ปี 2) อันเป็นส่วนหนึ่งของอำนาจหน้าที่ของ กทม. รวมถึงสำนักการแพทย์ และส่วนราชการในสังกัด ในการดำเนินกิจการในเขต กทม. ในเรื่องการสาธารณสุข การอนามัยครอบครัว และการรักษาพยาบาลตามมาตรา 89 (16) แห่งพระราชบัญญัติระเบียบบริหารราชการกรุงเทพมหานคร พ.ศ. 2528 ดังนั้น หาก กทม. เห็นว่า การเก็บรวบรวมข้อมูลจากระบบ Hospital Information System ของโรงพยาบาลวชิรพยาบาล ซึ่งเป็นสถานพยาบาลในสังกัดมหาวิทยาลัยนวมินทราธิราช ไปยังระบบ BMA Portal โดยระบุชื่อ เลขประจำตัวประชาชน ที่อยู่ ข้อมูลด้านความเสี่ยงสุขภาพ ผลการวัดสัญญาณชีพ (vital signs) ผลการคัดกรองสุขภาพ และผลการตรวจทางห้องปฏิบัติการต่าง ๆ เป็นต้น เป็นการจำเป็นเพื่อการดำเนินภารกิจตามอำนาจหน้าที่ตามกฎหมายของ กทม. ดังกล่าว กทม. ก็สามารถเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลดังกล่าวได้โดยไม่ต้องขอความยินยอมจากเจ้าของข้อมูลส่วนบุคคล เนื่องจากเป็นการจำเป็นเพื่อการปฏิบัติหน้าที่ในการดำเนินภารกิจเพื่อประโยชน์สาธารณะของ กทม. หรือปฏิบัติหน้าที่ในการใช้อำนาจรัฐที่ได้มอบให้แก่ กทม. ตาม [มาตรา 24](https://link.pdpalawbase.com/section/24.md) (4) ประกอบ [มาตรา 27](https://link.pdpalawbase.com/section/27.md) วรรคหนึ่ง แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 หรือเป็นการจำเป็นในการปฏิบัติตามกฎหมายเพื่อให้บรรลุวัตถุประสงค์เกี่ยวกับเวชศาสตร์ป้องกันหรืออาชีวเวชศาสตร์ การให้บริการด้านสุขภาพหรือสังคม หรือการจัดการด้านสุขภาพ หรือเพื่อให้บรรลุวัตถุประสงค์เกี่ยวกับประโยชน์สาธารณะด้านการสาธารณสุข ตาม [มาตรา 26](https://link.pdpalawbase.com/section/26.md) (5) (ก) และ/หรือ (ข) ประกอบ [มาตรา 27](https://link.pdpalawbase.com/section/27.md) วรรคหนึ่ง แห่งพระราชบัญญัติดังกล่าว แล้วแต่กรณี รวมทั้งสามารถทำการเก็บรวบรวมข้อมูลส่วนบุคคลดังกล่าวจากแหล่งอื่นที่ไม่ใช่จากเจ้าของข้อมูลส่วนบุคคลโดยตรง เช่น จากมหาวิทยาลัยนวมินทราธิราช ได้ ตามนัย [มาตรา 25](https://link.pdpalawbase.com/section/25.md) วรรคหนึ่ง (2) แต่ กทม. จะต้องจัดให้มีมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสม เพื่อป้องกันการสูญหาย เข้าถึง ใช้ เปลี่ยนแปลง แก้ไข หรือเปิดเผยข้อมูลส่วนบุคคลโดยปราศจากอำนาจหรือโดยมิชอบ ซึ่งต้องเป็นไปตามมาตรฐานขั้นต่ำที่คณะกรรมการคุ้มครองข้อมูลส่วนบุคคลประกาศกำหนด ตาม [มาตรา 37](https://link.pdpalawbase.com/section/37.md) (1) ประกอบประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง มาตรการรักษาความมั่นคงปลอดภัยของผู้ควบคุมข้อมูลส่วนบุคคล พ.ศ. 2565 รวมทั้งจะต้องจัดให้มีมาตรการที่เหมาะสมและเจาะจงเพื่อคุ้มครองสิทธิและเสรีภาพของเจ้าของข้อมูลส่วนบุคคลโดยเฉพาะการรักษาความลับของข้อมูลส่วนบุคคลตามหน้าที่หรือตามจริยธรรมแห่งวิชาชีพ สำหรับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลตาม [มาตรา 26](https://link.pdpalawbase.com/section/26.md) ตามนัย [มาตรา 26](https://link.pdpalawbase.com/section/26.md) (5) (ข) ด้วย นอกจากนี้ จะต้องเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลอย่างจำกัดเพียงเท่าที่จำเป็นภายใต้วัตถุประสงค์อันชอบด้วยกฎหมายของ กทม. ตาม [มาตรา 22](https://link.pdpalawbase.com/section/22.md) รวมถึงจะต้องไม่ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลเพื่อวัตถุประสงค์อื่นนอกเหนือจากวัตถุประสงค์ที่ได้แจ้งไว้กับมหาวิทยาลัยนวมินทราธิราชในการขอรับข้อมูลส่วนบุคคลนั้นเท่านั้น ตาม [มาตรา 27](https://link.pdpalawbase.com/section/27.md) วรรคสอง เว้นแต่จะเป็นกรณีที่กฎหมายบัญญัติให้กระทำได้

### ประเด็นข้อหารือที่ 2 (มหาวิทยาลัยฯ เปิดเผยข้อมูลสุขภาพให้ กทม.)

ประเด็นข้อหารือที่ 2 เห็นว่า มหาวิทยาลัยนวมินทราธิราชเป็นสถาบันอุดมศึกษาที่เป็นหน่วยงานของรัฐอยู่ในกำกับของกรุงเทพมหานคร มีฐานะเป็นนิติบุคคล ตามมาตรา 4 แห่งพระราชบัญญัติมหาวิทยาลัยนวมินทราธิราช พ.ศ. 2553 ซึ่งมีอำนาจหน้าที่ตัดสินใจเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล มหาวิทยาลัยนวมินทราธิราชจึงมีฐานะเป็นผู้ควบคุมข้อมูลส่วนบุคคลตาม [มาตรา 6](https://link.pdpalawbase.com/section/6.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 โดยมหาวิทยาลัยนวมินทราธิราชมีวัตถุประสงค์ส่วนหนึ่งตามมาตรา 6 แห่งพระราชบัญญัติมหาวิทยาลัยนวมินทราธิราช พ.ศ. 2553 ในการให้การศึกษา ส่งเสริมวิชาการ การวิจัย สร้างและพัฒนาวิชาการและวิชาชีพชั้นสูง รวมตลอดทั้งเผยแพร่ความรู้และส่งเสริมการแพทย์ การสาธารณสุข การบริหารจัดการเขตเมือง การปกครองส่วนท้องถิ่น และการพัฒนามหานคร โดยคำนึงถึงประสบการณ์และความพร้อมในด้านต่าง ๆ ที่เป็นเอกลักษณ์ของ กทม. เพื่อตอบสนองความต้องการของประชาชนและเพื่อประโยชน์ของประเทศชาติ และมหาวิทยาลัยนวมินทราธิราชมีภาระหน้าที่ในการพัฒนาองค์ความรู้ด้านการแพทย์และการสาธารณสุขทุกสาขา โดยเน้นทางด้านเวชศาสตร์เขตเมือง การพัฒนาองค์ความรู้ด้านการบริหารจัดการเขตเมือง ด้านการปกครองส่วนท้องถิ่นและพัฒนามหานคร และการให้บริการทางการแพทย์ การพยาบาล การสาธารณสุข และการบริการทางวิชาการและวิชาชีพให้เป็นที่ยอมรับในระดับประเทศและนานาชาติ ตามมาตรา 7 (3) (4) และ (8) แห่งพระราชบัญญัติมหาวิทยาลัยนวมินทราธิราช พ.ศ. 2553 ซึ่งเป็นอำนาจหน้าที่ตามที่กฎหมายกำหนดและเป็นภารกิจที่เกี่ยวข้องกับภารกิจเพื่อประโยชน์สาธารณะ เมื่อมหาวิทยาลัยนวมินทราธิราชได้รับการขอข้อมูลจาก กทม. ให้ส่งข้อมูลส่วนบุคคลซึ่งรวมถึงข้อมูลสุขภาพของผู้ที่มารับบริการตรวจสุขภาพ ให้แก่ กทม. เนื่องจาก กทม. มีความจำเป็นในการปฏิบัติหน้าที่ในการดำเนินภารกิจเพื่อประโยชน์สาธารณะ ตามประเด็นข้อหารือที่ 1 ที่ได้กล่าวมาแล้วข้างต้น มหาวิทยาลัยนวมินทราธิราชจึงอาจเปิดเผยข้อมูลส่วนบุคคลดังกล่าวให้แก่ กทม. เพื่อให้บรรลุวัตถุประสงค์ดังกล่าวได้ โดยอาจพิจารณาได้ว่าการเปิดเผยข้อมูลส่วนบุคคลดังกล่าวเป็นการจำเป็นเพื่อการปฏิบัติหน้าที่ในการดำเนินภารกิจเพื่อประโยชน์สาธารณะของมหาวิทยาลัยนวมินทราธิราช หรือการปฏิบัติหน้าที่ในการใช้อำนาจรัฐที่ได้มอบให้แก่มหาวิทยาลัย รวมถึงเป็นการจำเป็นในการปฏิบัติตามกฎหมายเพื่อให้บรรลุวัตถุประสงค์เกี่ยวกับเวชศาสตร์ป้องกันหรืออาชีวเวชศาสตร์ การให้บริการด้านสุขภาพหรือด้านสังคม หรือการจัดการด้านสุขภาพ หรือเพื่อให้บรรลุวัตถุประสงค์เกี่ยวกับประโยชน์สาธารณะด้านการสาธารณสุข ตาม [มาตรา 24](https://link.pdpalawbase.com/section/24.md) (4) หรือ [มาตรา 26](https://link.pdpalawbase.com/section/26.md) (5) (ก) และ/หรือ (ข) แล้วแต่กรณี ประกอบ [มาตรา 27](https://link.pdpalawbase.com/section/27.md) วรรคหนึ่ง แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562

ทั้งนี้ มหาวิทยาลัยนวมินทราธิราชจะต้องบันทึกการใช้หรือเปิดเผยข้อมูลส่วนบุคคลดังกล่าวไว้ในรายการตาม [มาตรา 39](https://link.pdpalawbase.com/section/39.md) ตามนัย [มาตรา 27](https://link.pdpalawbase.com/section/27.md) วรรคสาม แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 และจะต้องแจ้งให้เจ้าของข้อมูลส่วนบุคคลทราบก่อนหรือในขณะเก็บรวบรวมข้อมูลส่วนบุคคล ถึงรายละเอียดตาม [มาตรา 23](https://link.pdpalawbase.com/section/23.md) ซึ่งรวมถึงวัตถุประสงค์ของการเก็บรวบรวมเพื่อการนำข้อมูลส่วนบุคคลไปใช้หรือเปิดเผยตาม (1) และประเภทของบุคคลหรือหน่วยงานซึ่งข้อมูลส่วนบุคคลที่เก็บรวบรวมอาจจะถูกเปิดเผย เช่น กทม. ตาม (4) ด้วย โดย กทม. จะต้องใช้หรือเปิดเผยข้อมูลส่วนบุคคลที่ได้รับจากมหาวิทยาลัยนวมินทราธิราช ตามวัตถุประสงค์อันชอบด้วยกฎหมายที่ได้แจ้งให้เจ้าของข้อมูลส่วนบุคคลทราบตามที่ระบุไว้ในข้อ 2.1 ถึง 2.4 ของคำประกาศเกี่ยวกับความเป็นส่วนตัว (Privacy Notice) ของระบบเก็บข้อมูล โครงการตรวจสุขภาพล้านคนของกรุงเทพมหานคร สุขภาพดี ปี 2 เท่านั้น นอกจากนี้ การเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลดังกล่าว จะต้องดำเนินการเท่าที่จำเป็นภายใต้วัตถุประสงค์อันชอบด้วยกฎหมายตาม [มาตรา 22](https://link.pdpalawbase.com/section/22.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ด้วย

คณะอนุกรรมการตอบข้อหารือฯ มีข้อสังเกตเพิ่มเติมว่า มหาวิทยาลัยนวมินทราธิราช และ กทม. ในฐานะที่ต่างฝ่ายต่างเป็นผู้ควบคุมข้อมูลส่วนบุคคล จะต้องปฏิบัติหน้าที่ตามที่พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 และกฎหมายอื่นกำหนด ในส่วนที่เกี่ยวข้องกับการคุ้มครองข้อมูลส่วนบุคคลให้ครบถ้วนด้วย โดยเฉพาะในเรื่องการจัดให้มีมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสม เพื่อป้องกันการสูญหาย เข้าถึง ใช้ เปลี่ยนแปลง แก้ไข หรือเปิดเผยข้อมูลส่วนบุคคลโดยปราศจากอำนาจหรือโดยมิชอบ ตาม [มาตรา 37](https://link.pdpalawbase.com/section/37.md) (1) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 โดยต้องเป็นไปตามมาตรฐานขั้นต่ำที่กำหนดไว้ในประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง มาตรการรักษาความมั่นคงปลอดภัยของข้อมูลส่วนบุคคล พ.ศ. 2565 นอกจากนี้ [มาตรา 37](https://link.pdpalawbase.com/section/37.md) (2) ได้กำหนดให้ผู้ควบคุมข้อมูลส่วนบุคคลต้องดำเนินการเพื่อป้องกันมิให้บุคคลหรือนิติบุคคลอื่นซึ่งได้รับข้อมูลส่วนบุคคลจากผู้ควบคุมข้อมูลส่วนบุคคลใช้หรือเปิดเผยข้อมูลส่วนบุคคลโดยปราศจากอำนาจหรือโดยมิชอบ โดยมหาวิทยาลัยนวมินทราธิราช และ กทม. อาจพิจารณาจัดทำข้อตกลงการแบ่งปันข้อมูลส่วนบุคคล (Data Sharing Agreement) ซึ่งเป็นมาตรการเชิงองค์กร (organizational measures) อย่างหนึ่งที่กำหนดวัตถุประสงค์ วิธีการ เงื่อนไข และหน้าที่ความรับผิดชอบของแต่ละฝ่ายในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลระหว่างกัน ไม่ว่าจะเป็นการรับและส่งข้อมูลที่เป็นเอกสารหรือเป็นการแลกเปลี่ยนข้อมูลโดยวิธีการทางอิเล็กทรอนิกส์ก็ตาม อันจะเป็นส่วนหนึ่งของมาตรการรักษาความมั่นคงปลอดภัยและคุ้มครองข้อมูลส่วนบุคคลที่เปิดเผยให้กับหน่วยงานอื่น ซึ่งทั้งสองฝ่ายย่อมสามารถหารือและตกลงร่วมกันเพื่อพิจารณาจัดทำข้อตกลงการแบ่งปันข้อมูลส่วนบุคคลระหว่างกันได้ตามความเหมาะสม

## เอกสารต้นฉบับ

- [PDF ต้นฉบับ (local)](../../raw/opinions/opinion-7-2568.pdf)
- [ที่มา: pdpc.or.th](https://www.pdpc.or.th/wp-content/uploads/2026/01/consultation-59.pdf)

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/opinion/7-2568.md

============================================================
โนด: ข้อหารือ 8/2566
ลิงก์อ้างอิง: https://link.pdpalawbase.com/opinion/8-2566.md

# ข้อหารือที่ 8/2566 เรื่อง บริษัท ฆ. ขอปรึกษาเกี่ยวกับพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562

## ข้อกฎหมาย

1. พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 — [มาตรา 24](https://link.pdpalawbase.com/section/24.md), [มาตรา 26](https://link.pdpalawbase.com/section/26.md), [มาตรา 40](https://link.pdpalawbase.com/section/40.md) (1) และ [มาตรา 40](https://link.pdpalawbase.com/section/40.md) วรรคสาม

## ข้อหารือ

บริษัท ฆ. มีวัตถุประสงค์ในกิจการบริการงานบริหารอาคาร และรับจ้างอื่น ๆ ซึ่งต้องมีการเก็บรวบรวม ใช้และเปิดเผยข้อมูลส่วนบุคคลที่เกี่ยวข้อง จึงหารือเกี่ยวกับกิจกรรมของบริษัทฯ ที่เกี่ยวกับพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 โดยมีประเด็นดังนี้

1. กรณีบริษัทฯ มีการซื้อขายสินค้าและบริการกันระหว่างคู่สัญญาที่มีทั้งที่เป็นบุคคลธรรมดาและนิติบุคคล แต่บริษัทฯ ต้องติดต่อประสานงานกับบุคคลธรรมดา ที่เป็นลูกจ้างหรือตัวแทนของคู่สัญญา บริษัทฯ จึงมีชื่อ หมายเลขโทรศัพท์ และข้อมูลอื่น ๆ ที่เป็นข้อมูลส่วนบุคคลของบุคคลดังกล่าว บริษัทฯ ต้องขอความยินยอมจากตัวแทนของคู่สัญญาหรือไม่ เนื่องจากข้อยกเว้นตาม [มาตรา 24](https://link.pdpalawbase.com/section/24.md) (3) เจ้าของข้อมูลส่วนบุคคลต้องเป็นคู่สัญญากับผู้ควบคุมข้อมูลส่วนบุคคล
2. กรณีที่บริษัทฯ รับจ้างเป็นผู้จัดการนิติบุคคลอาคารชุด/หมู่บ้านจัดสรร หรือกรณีบริษัทฯ ไม่ได้เป็นผู้จัดการนิติบุคคลฯ แต่รับจ้างบริหารอาคาร/หมู่บ้าน บริษัทฯ มีความจำเป็นต้องเก็บรวบรวม ใช้ และเปิดเผยข้อมูลส่วนบุคคลของลูกบ้าน/ผู้พักอาศัย เพื่อการออกใบแจ้งหนี้ การรักษาความปลอดภัย การระบุข้อมูลส่วนบุคคลในสติ๊กเกอร์จอดรถ การทำทะเบียนผู้พักอาศัย และการให้บริการอื่น ๆ บริษัทฯ ต้องขอความยินยอมจากลูกบ้าน/ผู้พักอาศัยทั้งหมดหรือไม่ หรือเข้าข้อยกเว้นตามอนุมาตราใด

## ความเห็น

คณะกรรมการคุ้มครองข้อมูลส่วนบุคคล โดยคณะอนุกรรมการเฉพาะกิจตอบข้อหารือและให้คำแนะนำหน่วยงานของรัฐเพื่อรองรับการบังคับใช้พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ได้พิจารณาข้อหารือแล้ว เห็นว่า

**ประเด็นหารือที่ 1** การพิจารณาฐานทางกฎหมายในการเก็บรวบรวมข้อมูลส่วนบุคคลในกรณีที่หารือ แยกได้เป็น 2 กรณี กล่าวคือ

*กรณีที่ 1* ในกรณีที่คู่ค้าหรือคู่สัญญาเป็นบุคคลธรรมดาที่เป็นเจ้าของข้อมูลส่วนบุคคล บริษัทฯ อาจใช้ฐาน "การปฏิบัติตามสัญญา" ในกรณีที่เป็นการจำเป็นเพื่อการปฏิบัติตามสัญญาซึ่งเจ้าของข้อมูลส่วนบุคคลเป็นคู่สัญญาหรือเพื่อใช้ในการดำเนินการตามคำขอของเจ้าของข้อมูลส่วนบุคคลก่อนเข้าทำสัญญานั้นตาม [มาตรา 24](https://link.pdpalawbase.com/section/24.md) (3) แห่ง PDPA ซึ่งรวมถึงการเก็บรวบรวมข้อมูลส่วนบุคคลก่อนที่จะมีการทำสัญญาซื้อขายสินค้าและบริการระหว่างกันเพื่อใช้ในการดำเนินการตามคำขอของเจ้าของข้อมูลส่วนบุคคลดังกล่าวได้ โดยไม่จำต้องได้รับความยินยอมจากเจ้าของข้อมูลส่วนบุคคล

*กรณีที่ 2* การที่บริษัทฯ เก็บรายชื่อ หมายเลขโทรศัพท์ และข้อมูลส่วนบุคคลอื่นที่เกี่ยวข้องของลูกจ้างหรือตัวแทนของนิติบุคคลที่เป็นคู่สัญญาเพื่อการติดต่อประสานงาน จัดส่งใบเสนอราคาและเอกสารต่าง ๆ ตามคำขอของลูกจ้างหรือตัวแทนของนิติบุคคลนั้น — ในกรณีดังกล่าว บุคคลดังกล่าวข้างต้นไม่ใช่คู่สัญญาของบริษัทฯ บริษัทฯ จึงไม่สามารถอ้างฐาน "การปฏิบัติตามสัญญา" ในการเก็บรวบรวมข้อมูลส่วนบุคคลได้ ในกรณีนี้บริษัทฯ อาจพิจารณาใช้ฐานทางกฎหมายตาม [มาตรา 24](https://link.pdpalawbase.com/section/24.md) (5) ในกรณีที่เป็นการจำเป็น "เพื่อประโยชน์โดยชอบด้วยกฎหมาย" ของผู้ควบคุมข้อมูลส่วนบุคคล ซึ่งประโยชน์ดังกล่าวมีความสำคัญไม่น้อยกว่าสิทธิขั้นพื้นฐานในข้อมูลส่วนบุคคลของเจ้าของข้อมูลส่วนบุคคล โดยผู้ควบคุมข้อมูลส่วนบุคคลพึงตระหนักว่าการดำเนินการดังกล่าวควรใช้ความระมัดระวัง เพื่อคุ้มครองประโยชน์และป้องกันผลกระทบต่อเจ้าของข้อมูลส่วนบุคคลโดยตรง และหลีกเลี่ยงการใช้ข้อมูลเกินความคาดหวังปกติในบริบทของการติดต่อทางธุรกิจ

อนึ่ง ในกรณีที่บริษัทฯ เก็บรวมรวบข้อมูลส่วนบุคคลตาม [มาตรา 26](https://link.pdpalawbase.com/section/26.md) อันได้แก่ข้อมูลส่วนบุคคลเกี่ยวกับเชื้อชาติ เผ่าพันธุ์ ความคิดเห็นทางการเมือง ความเชื่อในลัทธิ ศาสนาหรือปรัชญา พฤติกรรมทางเพศ ประวัติอาชญากรรม ข้อมูลสุขภาพ ความพิการ ข้อมูลสหภาพแรงงาน ข้อมูลพันธุกรรม ข้อมูลชีวภาพ หรือข้อมูลอื่นใดซึ่งกระทบต่อเจ้าของข้อมูลส่วนบุคคลในทำนองเดียวกัน บริษัทฯ ต้องพิจารณาว่ามีฐานทางกฎหมายตาม [มาตรา 26](https://link.pdpalawbase.com/section/26.md) เพิ่มเติมด้วย

**ประเด็นหารือที่ 2** กรณีที่บริษัทฯ รับจ้างเป็นผู้จัดการนิติบุคคลอาคารชุด/นิติบุคคลหมู่บ้านจัดสรร หรือได้รับจ้างบริหารอาคารชุด/หมู่บ้านจัดสรร มีการเก็บรวบรวมข้อมูลส่วนบุคคลของผู้พักอาศัย เพื่อการออกใบแจ้งหนี้ การรักษาความปลอดภัย การระบุข้อมูลในสติ๊กเกอร์จอดรถ การทำทะเบียนผู้พักอาศัย และการให้บริการอื่น ๆ ซึ่งการดำเนินการดังกล่าวของบริษัทฯ เป็นการดำเนินการในฐานะผู้รับจ้างซึ่งดำเนินการเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลตามคำสั่งหรือในนามของผู้ควบคุมข้อมูลส่วนบุคคล (นิติบุคคลอาคารชุด/นิติบุคคลหมู่บ้านจัดสรร) ในกรณีนี้ บริษัทฯ ไม่ใช่บุคคลธรรมดาหรือนิติบุคคลซึ่งมีอำนาจหน้าที่ตัดสินใจเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล บริษัทฯ จึงไม่มีฐานะเป็น "ผู้ควบคุมข้อมูลส่วนบุคคล" แต่มีฐานะเป็น "ผู้ประมวลผลข้อมูลส่วนบุคคล" ตาม PDPA

ตาม PDPA ในการเก็บรวบรวมข้อมูลส่วนบุคคล ผู้ควบคุมข้อมูลส่วนบุคคลต้องมีฐานทางกฎหมายตามที่กำหนดไว้ใน [มาตรา 24](https://link.pdpalawbase.com/section/24.md) หรือ [มาตรา 26](https://link.pdpalawbase.com/section/26.md) แล้วแต่กรณี หน้าที่ในการเก็บรวบรวมข้อมูลส่วนบุคคลที่มีฐานทางกฎหมายดังกล่าวเป็นหน้าที่ของผู้ควบคุมข้อมูลส่วนบุคคล ไม่ใช่หน้าที่ของผู้ประมวลผลข้อมูลส่วนบุคคล บริษัทฯ จึงไม่จำเป็นต้องได้รับความยินยอมหรือมีฐานทางกฎหมายตาม [มาตรา 24](https://link.pdpalawbase.com/section/24.md) หรือ [มาตรา 26](https://link.pdpalawbase.com/section/26.md) แต่หน้าที่ดังกล่าวเป็นของนิติบุคคลอาคารชุด/นิติบุคคลหมู่บ้านจัดสรรที่ต้องเก็บรวบรวมข้อมูลส่วนบุคคลมาโดยชอบด้วยกฎหมาย

สำหรับกรณีที่บริษัทฯ ได้มีนิติสัมพันธ์เป็นผู้รับจ้าง (outsource) บริษัทฯ จึงมีฐานะเป็นเพียงผู้ประมวลผลข้อมูลส่วนบุคคล และมีหน้าที่ต้องดำเนินการตามคำสั่งที่ได้รับจากนิติบุคคลอาคารชุด/นิติบุคคลหมู่บ้านจัดสรรในการเก็บรวบรวม ใช้ และเปิดเผยข้อมูลส่วนบุคคลตาม [มาตรา 40](https://link.pdpalawbase.com/section/40.md) (1) ตลอดจนมีหน้าที่อื่นตามที่ PDPA กำหนดให้เป็นหน้าที่ของผู้ประมวลผลข้อมูลส่วนบุคคล นอกจากนี้ ผู้ควบคุมข้อมูลส่วนบุคคลต้องจัดให้มีข้อตกลงการเก็บรวบรวม ใช้ และเปิดเผยข้อมูลส่วนบุคคลระหว่างกันเพื่อควบคุมการดำเนินงานตามสัญญาที่เป็นหน้าที่ของผู้ประมวลผลข้อมูลส่วนบุคคลให้เป็นไปตามที่กำหนดไว้ใน PDPA ตามนัย [มาตรา 40](https://link.pdpalawbase.com/section/40.md) วรรคสามด้วย

## เอกสารต้นฉบับ

- [PDF ต้นฉบับ (local)](../../raw/opinions/opinion-8-2566.pdf)
- [ที่มา: pdpc.or.th](https://www.pdpc.or.th/wp-content/uploads/2024/02/PDPC-consultation-08.pdf)

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/opinion/8-2566.md

============================================================
โนด: ข้อหารือ 8/2567
ลิงก์อ้างอิง: https://link.pdpalawbase.com/opinion/8-2567.md

# ข้อหารือที่ 8/2567 เรื่อง สถานีตำรวจ H ขอหารือข้อกฎหมายเกี่ยวกับพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562

## ข้อกฎหมาย

1. พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562  
[มาตรา 4](https://link.pdpalawbase.com/section/4.md) (1) [มาตรา 5](https://link.pdpalawbase.com/section/5.md) [มาตรา 6](https://link.pdpalawbase.com/section/6.md) [มาตรา 19](https://link.pdpalawbase.com/section/19.md) [มาตรา 20](https://link.pdpalawbase.com/section/20.md) [มาตรา 23](https://link.pdpalawbase.com/section/23.md) [มาตรา 24](https://link.pdpalawbase.com/section/24.md)  
[มาตรา 26](https://link.pdpalawbase.com/section/26.md) [มาตรา 28](https://link.pdpalawbase.com/section/28.md) [มาตรา 29](https://link.pdpalawbase.com/section/29.md) [มาตรา 30](https://link.pdpalawbase.com/section/30.md) [มาตรา 31](https://link.pdpalawbase.com/section/31.md) [มาตรา 32](https://link.pdpalawbase.com/section/32.md) [มาตรา 33](https://link.pdpalawbase.com/section/33.md) 
[มาตรา 34](https://link.pdpalawbase.com/section/34.md) [มาตรา 35](https://link.pdpalawbase.com/section/35.md) [มาตรา 36](https://link.pdpalawbase.com/section/36.md) [มาตรา 37](https://link.pdpalawbase.com/section/37.md) และ [มาตรา 41](https://link.pdpalawbase.com/section/41.md)  
2. พระราชบัญญัติว่าด้วยการกระทำความผิดเกี่ยวกับคอมพิวเตอร์ พ.ศ. 2550 และที่แก้ไข
เพิ่มเติม 
3. ประมวลกฎหมายอาญา 
มาตรา 326 และมาตรา 328 
4. ประมวลกฎหมายแพ่งและพาณิชย์ 
มาตรา 420

## ข้อหารือ

สถานีตำรวจ H แจ้งว่า พนักงานสอบสวน สถานีตำรวจ H ได้มีความเห็นสั่งฟ้องสำนวนการ
สอบสวนคดีในข้อหา “เปิดเผยข้อมูลส่วนบุคคลโดยไม่ได้รับความยินยอม โดยประการที่น่าจะทำให้ผู้อื่นเกิด
ความเสียหาย เสียชื่อเสียง ถูกดูหมิ่น ถูกเกลียดชัง หรือได้รับความอับอาย” และได้ส่งสำนวนการสอบสวนไป
ยังพนักงานอัยการ A ต่อมา เมื่อวันที่ 1 มิถุนายน 2566 พนักงานอัยการ A ได้มีหนังสือสอบสวนเพิ่มเติมครั้งที่ 2 
มายังพนักงานสอบสวนสถานีตำรวจ H เพื่อให้ส่งหนังสือสอบถามคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล  
ให้มีความเห็นว่า “ตามข้อเท็จจริงในคดีนี้ เมื่อผู้ต้องหาว่าจ้างผู้เสียหายซึ่งเป็นผู้รับเหมาต่อเติมบ้าน แต่ผู้ต้องหา
เห็นว่าผู้รับเหมาทำงานไม่ดี จึงโพสต์ภาพผลงาน ความเห็น และภาพสำเนาบัตรประจำตัวประชาชน 
ของผู้รับเหมาลงใน Facebook ของผู้ต้องหาออกสู่สาธารณะ โดยสำเนาบัตรของผู้รับเหมางานได้มาเมื่อมีการทำ
สัญญาจ้างเหมากันนั้น จะถือว่าผู้ต้องหาเป็นผู้ควบคุมข้อมูลส่วนบุคคล ซึ่งได้กระทำความผิดภายใต้การบังคับใช้
กฎหมายนี้หรือไม่ อย่างไร หากไม่อยู่ภายใต้กฎหมายนี้ ด้วยเหตุผลใด อย่างไร ให้ละเอียดชัดเจนไปตามรูปคดี 
จึงขอให้วินิจฉัยปัญหาที่เกิดจากการใช้พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ตามข้อเท็จจริง
ดังกล่าวข้างต้น เพื่อความสะดวกในการสอบสวน และพนักงานสอบสวนจะได้ดำเนินการในส่วนที่เกี่ยวข้อง
ต่อไป

## ความเห็น

คณะอนุกรรมการเฉพาะกิจตอบข้อหารือและให้คำแนะนำหน่วยงานของรัฐเพื่อรองรับ 
การบังคับใช้พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ในคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล 
พิจารณาแล้วเห็นว่า ตาม [มาตรา 6](https://link.pdpalawbase.com/section/6.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 “ข้อมูลส่วนบุคคล” 
หมายความว่า ข้อมูลเกี่ยวกับบุคคลธรรมดาซึ่งทำให้สามารถระบุตัวบุคคลนั้นได้ไม่ว่าทางตรงหรือทางอ้อม แต่ไม่รวมถึง
ข้อมูลของผู้ถึงแก่กรรมโดยเฉพาะ ดังนั้น ภาพสำเนาบัตรประจำตัวประชาชนหรือข้อมูลอื่นเกี่ยวกับบุคคล 
ที่สามารถระบุตัวบุคคลนั้นได้ไม่ว่าทางตรงหรือทางอ้อม จึงถือเป็นข้อมูลส่วนบุคคลตามพระราชบัญญัตินี้ 
สำหรับการนำภาพสำเนาบัตรประจำตัวประชาชนหรือข้อมูลส่วนบุคคลอื่นไปโพสต์ในแอปพลิเคชัน Facebook 

จะอยู่ภายใต้บังคับของพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 และมีความผิด 
ตามพระราชบัญญัติดังกล่าวหรือไม่นั้น เห็นว่า พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 กำหนด
ไว้ใน [มาตรา 5](https://link.pdpalawbase.com/section/5.md) วรรคหนึ่งว่า พระราชบัญญัติดังกล่าวให้ใช้บังคับแก่การเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูล 
ส่วนบุคคลโดยผู้ควบคุมข้อมูลส่วนบุคคลซึ่งอยู่ในราชอาณาจักร โดย [มาตรา 6](https://link.pdpalawbase.com/section/6.md) กำหนดว่า “ผู้ควบคุมข้อมูล 
ส่วนบุคคล” หมายความว่า บุคคลหรือนิติบุคคลซึ่งมีอำนาจหน้าที่ตัดสินใจเกี่ยวกับการเก็บรวบรวม ใช้  
หรือเปิดเผยข้อมูลส่วนบุคคล โดยการเป็นผู้ควบคุมข้อมูลส่วนบุคคลดังกล่าว เมื่อพิจารณาจากบทบัญญัติ 
แห่งกฎหมายที่กำหนดหน้าที่และความรับผิดชอบไว้หลายประการ เช่น การกำหนดให้การเก็บรวบรวมข้อมูล
ส่วนบุคคลจะต้องมีฐานทางกฎหมายตาม [มาตรา 24](https://link.pdpalawbase.com/section/24.md) หรือ [มาตรา 26](https://link.pdpalawbase.com/section/26.md) แล้วแต่กรณี หน้าที่ในการแจ้ง
วัตถุประสงค์และรายละเอียดในการเก็บรวบรวมข้อมูลส่วนบุคคลตาม [มาตรา 23](https://link.pdpalawbase.com/section/23.md) ข้อกำหนดและเงื่อนไข
เกี่ยวกับการส่งหรือโอนข้อมูลส่วนบุคคลไปยังต่างประเทศตาม [มาตรา 28](https://link.pdpalawbase.com/section/28.md) และ [มาตรา 29](https://link.pdpalawbase.com/section/29.md) หน้าที่ในการจัดให้มี
มาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสม และการแจ้งเหตุการละเมิดข้อมูลส่วนบุคคล ตาม [มาตรา 37](https://link.pdpalawbase.com/section/37.md) 
(1) และ [มาตรา 37](https://link.pdpalawbase.com/section/37.md) (4) หน้าที่ในการตอบสนองต่อคำขอใช้สิทธิของเจ้าของข้อมูลส่วนบุคคลตาม [มาตรา 30](https://link.pdpalawbase.com/section/30.md) 
ถึง [มาตรา 36](https://link.pdpalawbase.com/section/36.md) หน้าที่ในการแต่งตั้งเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลตาม [มาตรา 41](https://link.pdpalawbase.com/section/41.md) และหน้าที่ในการจัดให้มี
ระบบการตรวจสอบเพื่อดำเนินการลบหรือทำลายข้อมูลส่วนบุคคลเมื่อพ้นกำหนดระยะเวลาการเก็บรักษา  
หรือที่ไม่เกี่ยวข้องหรือเกินความจำเป็นตามวัตถุประสงค์ในการเก็บรวบรวมข้อมูลส่วนบุคคลนั้น หรือตามที่
เจ้าของข้อมูลส่วนบุคคลร้องขอ หรือที่เจ้าของข้อมูลส่วนบุคคลได้ถอนความยินยอม ปรากฏรายละเอียด 
ตาม [มาตรา 37](https://link.pdpalawbase.com/section/37.md) (3) เป็นต้น จึงเห็นได้ว่า บทบัญญัติและเจตนารมณ์แห่งกฎหมายดังกล่าวมุ่งประสงค์จะใช้
บังคับแก่บุคคลธรรมดาหรือนิติบุคคลที่มีการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลอย่างเป็นระบบ 
หรือเป็นประจำสม่ำเสมอเพื่อวัตถุประสงค์อย่างใดอย่างหนึ่งขององค์กรหรือของบุคคลนั้น โดยกำหนดหลักการ
ที่สำคัญประการหนึ่งเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลว่าต้องมีฐานทางกฎหมาย 
ตามที่กำหนดใน [มาตรา 24](https://link.pdpalawbase.com/section/24.md) หรือ [มาตรา 26](https://link.pdpalawbase.com/section/26.md) แล้วแต่กรณี และหากไม่มีฐานทางกฎหมายอื่นใดเพื่อใช้ในการเก็บ
รวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล ผู้ควบคุมข้อมูลส่วนบุคคลต้องได้รับความยินยอมจากเจ้าของข้อมูล
ส่วนบุคคลตามหลักเกณฑ์ใน [มาตรา 19](https://link.pdpalawbase.com/section/19.md) และ [มาตรา 20](https://link.pdpalawbase.com/section/20.md) แห่งพระราชบัญญัติดังกล่าว และได้กำหนดหน้าที่และ
ความรับผิดชอบของผู้ควบคุมข้อมูลส่วนบุคคลไว้ตั้งแต่ขั้นตอนการเก็บรวบรวมจนกระทั่งการลบ 
หรือทำลายข้อมูลส่วนบุคคล ประกอบกับ [มาตรา 4](https://link.pdpalawbase.com/section/4.md) (1) แห่งพระราชบัญญัติดังกล่าวได้กำหนดข้อยกเว้นไม่ให้
นำพระราชบัญญัตินี้ไปใช้บังคับแก่การเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลของบุคคลที่ทำการเก็บ
รวบรวมข้อมูลส่วนบุคคลเพื่อประโยชน์ส่วนตนหรือเพื่อกิจกรรมในครอบครัวของบุคคลนั้นเท่านั้น 
ดังนั้น จากกรณีดังกล่าว การกระทำของผู้ต้องหาซึ่งมีฐานะเป็นบุคคลธรรมดา จะถือว่า 
เป็นการกระทำในฐานะผู้ควบคุมข้อมูลส่วนบุคคล และจะมีความผิดตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล  
พ.ศ. 2562 หรือไม่ นั้น สถานีตำรวจ H ต้องพิจารณาว่าการกระทำดังกล่าวของผู้ต้องหาเป็นการเก็บรวบรวม 
ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลที่ผู้นั้นทำการเก็บรวบรวมเพื่อประโยชน์ส่วนตนหรือเพื่อกิจกรรม 
ในครอบครัวของบุคคลนั้นหรือไม่ หากพิจารณาแล้วเห็นว่า การกระทำของผู้ต้องหาดังกล่าวมีวัตถุประสงค์ 
ในการดำเนินการเพื่อประโยชน์ส่วนตน โดยไม่มีลักษณะเป็นการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล 
อย่างเป็นระบบหรือเป็นประจำสม่ำเสมอเพื่อวัตถุประสงค์อย่างใดอย่างหนึ่งของบุคคลนั้นในฐานะผู้ควบคุม
ข้อมูลส่วนบุคคล ย่อมไม่อยู่ในขอบเขตการบังคับใช้ของพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 
ตาม [มาตรา 4](https://link.pdpalawbase.com/section/4.md) (1) อย่างไรก็ดี หากการกระทำของผู้ต้องหามีลักษณะเป็นการละเมิดสิทธิในความเป็นส่วนตัว
ของบุคคลอื่นเกินสมควร หรือเข้าองค์ประกอบความผิดตามกฎหมายอื่นใด ผู้กระทำอาจมีความรับผิด 
ตามกฎหมายเหล่านั้นได้ เช่น พระราชบัญญัติว่าด้วยการกระทำความผิดเกี่ยวกับคอมพิวเตอร์ พ.ศ. 2550 

และที่แก้ไขเพิ่มเติม หรือประมวลกฎหมายอาญาในความผิดฐานหมิ่นประมาทหรือหมิ่นประมาท 
โดยการโฆษณา หรือการทำละเมิดตามมาตรา 420 แห่งประมวลกฎหมายแพ่งและพาณิชย์

## เอกสารต้นฉบับ

- [PDF ต้นฉบับ (local)](../../raw/opinions/opinion-8-2567.pdf)
- [ที่มา: pdpc.or.th](https://www.pdpc.or.th/wp-content/uploads/2024/06/PDPC-consultation-37.pdf)

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/opinion/8-2567.md

============================================================
โนด: ข้อหารือ 8/2568
ลิงก์อ้างอิง: https://link.pdpalawbase.com/opinion/8-2568.md

# ข้อหารือที่ 8/2568 เรื่อง ข้อหารือของสำนักการแพทย์ กรุงเทพมหานคร ในการรวบรวมและการประมวลผลข้อมูลสุขภาพของสถานพยาบาลในพื้นที่กรุงเทพมหานคร

## ข้อกฎหมาย

1. พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 — [มาตรา 3](https://link.pdpalawbase.com/section/3.md) [มาตรา 6](https://link.pdpalawbase.com/section/6.md) [มาตรา 21](https://link.pdpalawbase.com/section/21.md) [มาตรา 22](https://link.pdpalawbase.com/section/22.md) [มาตรา 23](https://link.pdpalawbase.com/section/23.md) [มาตรา 24](https://link.pdpalawbase.com/section/24.md) (4) [มาตรา 25](https://link.pdpalawbase.com/section/25.md) วรรคหนึ่ง (2) [มาตรา 26](https://link.pdpalawbase.com/section/26.md) (5) (ก) และ (ข) [มาตรา 27](https://link.pdpalawbase.com/section/27.md) วรรคหนึ่ง และ [มาตรา 37](https://link.pdpalawbase.com/section/37.md) (1)
2. พระราชบัญญัติระเบียบบริหารราชการกรุงเทพมหานคร พ.ศ. 2528 และที่แก้ไขเพิ่มเติม — มาตรา 6 และมาตรา 89 (3) และ (16)
3. พระราชบัญญัติข้อมูลข่าวสารของราชการ พ.ศ. 2540 — มาตรา 4
4. ประกาศกรุงเทพมหานคร เรื่อง การแบ่งส่วนราชการภายในหน่วยงานและการกำหนดอำนาจหน้าที่ของส่วนราชการกรุงเทพมหานคร ลงวันที่ 31 ตุลาคม พ.ศ. 2528 และที่แก้ไขเพิ่มเติม — ข้อ 10 และข้อ 11 (2)
5. ประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง มาตรการรักษาความมั่นคงปลอดภัยของผู้ควบคุมข้อมูลส่วนบุคคล พ.ศ. 2565

## ข้อหารือ

สำนักการแพทย์ กรุงเทพมหานคร แจ้งว่า กรุงเทพมหานคร (กทม.) มีอำนาจหน้าที่ด้านการสาธารณสุข การอนามัยครอบครัว และการรักษาพยาบาล ตามพระราชบัญญัติระเบียบบริหารราชการกรุงเทพมหานคร พ.ศ. 2528 มาตรา 89 (16) โดยมีสำนักการแพทย์เป็นหน่วยงานในสังกัดที่ได้รับมอบหมายในการจัดให้มีบริการโรงพยาบาลในการตรวจรักษาพยาบาล ส่งเสริมสุขภาพ ป้องกันโรค ฟื้นฟูสุขภาพและสมรรถภาพ รวมถึงการพัฒนาระบบบริการสุขภาพ คุณภาพบริการ และสร้างเครือข่ายทางการแพทย์และสาธารณสุข ตามประกาศกรุงเทพมหานคร เรื่อง การแบ่งส่วนราชการภายในหน่วยงานและการกำหนดอำนาจหน้าที่ของส่วนราชการกรุงเทพมหานคร (ฉบับที่ 94) ลงวันที่ 11 เมษายน พ.ศ. 2560 และ (ฉบับที่ 97) ลงวันที่ 6 กันยายน พ.ศ. 2560 ปัจจุบัน สำนักการแพทย์มีความจำเป็นที่จะต้องใช้ประโยชน์จากข้อมูลส่วนบุคคลและข้อมูลอ่อนไหวของประชาชนผู้มารักษาพยาบาล จากสถานพยาบาลในเขต กทม. ทั้งภาครัฐและภาคเอกชน ให้เป็นไปตามอำนาจหน้าที่ของคณะกรรมการพัฒนาระบบข้อมูลสุขภาพดิจิทัลกรุงเทพมหานคร (Health Data Center) สำหรับประเมินสถานการณ์หรืออุบัติการณ์ของการเกิดโรค การสร้างเสริมสุขภาพ การจัดบริการทางการแพทย์รวมถึงทรัพยากรที่จำเป็นในสถานการณ์ที่แตกต่างกัน เพื่อนำมาวิเคราะห์และวางแผนการบริหารจัดการระบบบริการทางการแพทย์ในพื้นที่ กทม. ทั้งทางด้านบุคลากร สถานที่ อุปกรณ์ และครุภัณฑ์ทางการแพทย์ที่จำเป็นให้เพียงพอต่อการให้บริการประชาชน ทั้งในสถานการณ์ปกติและภาวะฉุกเฉิน โดยคำนึงถึงความคุ้มค่าและเกิดประโยชน์สูงสุด ซึ่งจากการดำเนินงานในช่วงที่ผ่านมาพบว่าสถานพยาบาลต่าง ๆ ไม่สามารถเปิดเผยข้อมูลส่วนบุคคลแก่สำนักการแพทย์ได้ เนื่องจากมีข้อกังวลเรื่องอำนาจหน้าที่และความรับผิดเกี่ยวกับการคุ้มครองข้อมูลส่วนบุคคล ในการนี้ เพื่อให้บรรลุวัตถุประสงค์ สำนักการแพทย์จึงขอหารือคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล ในประเด็นต่าง ๆ ดังนี้

1. กทม. สามารถใช้ฐานภารกิจของรัฐ (Public Task) เป็นฐานทางกฎหมายในการเก็บรวบรวม ใช้ และเปิดเผยข้อมูลส่วนบุคคลและข้อมูลอ่อนไหวของประชาชน จากสถานพยาบาลของรัฐและเอกชนในพื้นที่ กทม. เพื่อมาใช้ในการวางแผนการบริหารจัดการระบบบริการทางการแพทย์และสาธารณสุข ภายใต้อำนาจหน้าที่ของ กทม. ตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 [มาตรา 24](https://link.pdpalawbase.com/section/24.md) (4) และ [มาตรา 26](https://link.pdpalawbase.com/section/26.md) (5) (ข) ได้หรือไม่

2. หากไม่สามารถกระทำการตามข้อ 1 ได้ จะสามารถใช้ฐานทางกฎหมายใดหรือมีข้อเสนอแนะอื่นใดเพื่อให้สำนักการแพทย์สามารถดำเนินการให้บรรลุวัตถุประสงค์ได้อย่างสะดวก รวดเร็ว และชอบด้วยกฎหมาย

ต่อมา สำนักการแพทย์ กรุงเทพมหานคร ได้มีหนังสือขอชี้แจงเพิ่มเติม สรุปความในส่วนที่เกี่ยวข้องได้ว่า กทม. มีนโยบายในการรวบรวมข้อมูลสุขภาพจากสถานพยาบาลอื่นในพื้นที่ กทม. เพื่อนำมาใช้ประโยชน์ในการกำหนดนโยบายสุขภาพ และวางแผนการบริหารจัดการระบบบริการทางการแพทย์และสาธารณสุขในพื้นที่ กทม. ซึ่งปัจจุบันยังมิได้มีการดำเนินการรวบรวมข้อมูลดังกล่าว โดยได้ขอหารือการรวบรวมและการประมวลผลข้อมูลสุขภาพของสถานพยาบาลในพื้นที่ กทม. จากสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลก่อนการดำเนินการ ทั้งนี้ กทม. ไม่มีนโยบายเปิดเผยข้อมูลดังกล่าวให้แก่บุคคลใด ยกเว้นการส่งข้อมูลให้กระทรวงสาธารณสุขเพื่อนำไปใช้ในการกำหนดนโยบายระดับประเทศเท่านั้น

## ความเห็น

คณะอนุกรรมการตอบข้อหารือและให้คำแนะนำในการปฏิบัติตามกฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคล ในคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล ได้พิจารณาข้อหารือ โดยได้รับทราบข้อเท็จจริงเพิ่มเติมจากผู้แทนสำนักการแพทย์ กรุงเทพมหานคร แล้ว มีความเห็นว่า กทม. เป็นราชการบริหารส่วนท้องถิ่น มีฐานะเป็นนิติบุคคล ตามมาตรา 6 แห่งพระราชบัญญัติระเบียบบริหารราชการกรุงเทพมหานคร พ.ศ. 2528 และเป็นหน่วยงานของรัฐตามบทนิยามในมาตรา 4 แห่งพระราชบัญญัติข้อมูลข่าวสารของราชการ พ.ศ. 2540 การบริหารจัดการข้อมูลข่าวสารที่อยู่ในความครอบครองหรือควบคุมดูแลของ กทม. จึงต้องถือปฏิบัติตามกฎหมายว่าด้วยข้อมูลข่าวสารของราชการด้วย ซึ่งเป็นไปตาม [มาตรา 3](https://link.pdpalawbase.com/section/3.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ที่บัญญัติว่า “ในกรณีที่มีกฎหมายว่าด้วยการใดบัญญัติเกี่ยวกับการคุ้มครองข้อมูลส่วนบุคคลในลักษณะใด กิจการใด หรือหน่วยงานใดไว้โดยเฉพาะแล้ว ให้บังคับตามบทบัญญัติแห่งกฎหมายว่าด้วยการนั้น เว้นแต่ (1) บทบัญญัติเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล และบทบัญญัติเกี่ยวกับสิทธิของเจ้าของข้อมูลส่วนบุคคล รวมทั้งบทกำหนดโทษที่เกี่ยวข้อง ให้บังคับตามบทบัญญัติแห่งพระราชบัญญัตินี้เป็นการเพิ่มเติม ไม่ว่าจะซ้ำกับบทบัญญัติแห่งกฎหมายว่าด้วยการนั้นหรือไม่ก็ตาม ฯลฯ” กทม. จึงควรดำเนินการให้เป็นไปตามกฎหมายว่าด้วยข้อมูลข่าวสารของราชการ และให้พิจารณาบทบัญญัติเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล ตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 เป็นการเพิ่มเติม ในการดำเนินการดังกล่าวต่อไป อย่างไรก็ตาม ในส่วนที่เกี่ยวข้องกับพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 เนื่องจากพิจารณาตามข้อเท็จจริงได้ว่า ในการดำเนินการตามวัตถุประสงค์ที่หารือมานั้น กทม. มีอำนาจหน้าที่ตัดสินใจเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล ในการดำเนินงานตามอำนาจหน้าที่ กทม. จึงมีฐานะเป็นผู้ควบคุมข้อมูลส่วนบุคคลตาม [มาตรา 6](https://link.pdpalawbase.com/section/6.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 โดยคณะอนุกรรมการตอบข้อหารือฯ มีความเห็นในแต่ละประเด็น ดังนี้

### ประเด็นข้อหารือที่ 1 (ฐานภารกิจของรัฐในการเก็บรวบรวมข้อมูลสุขภาพ)

ประเด็นข้อหารือที่ 1 เห็นว่า กทม. มีอำนาจหน้าที่ดำเนินกิจการในเขต กทม. ในเรื่องต่าง ๆ ตามที่กฎหมายกำหนด ซึ่งรวมถึงการดำเนินกิจการในเรื่องการสาธารณสุข การอนามัยครอบครัว และการรักษาพยาบาลตามมาตรา 89 (16) แห่งพระราชบัญญัติระเบียบบริหารราชการกรุงเทพมหานคร พ.ศ. 2528 โดยมีสำนักการแพทย์เป็นส่วนราชการในสังกัดที่มีอำนาจหน้าที่จัดให้มีบริการโรงพยาบาลในการตรวจรักษาพยาบาล ส่งเสริมสุขภาพ ป้องกันโรค ฟื้นฟูสุขภาพและสมรรถภาพ บริหารและจัดบริการการแพทย์ฉุกเฉินและส่งต่อผู้ป่วย เพื่อลดการบาดเจ็บและการตายจากการเจ็บป่วยของผู้ป่วย จัดการศึกษา ฝึกอบรม พัฒนาทางวิชาการด้านการแพทย์และสาธารณสุข และปฏิบัติหน้าที่อื่นที่เกี่ยวข้องหรือได้รับมอบหมาย ตามข้อ 10 ของประกาศกรุงเทพมหานคร เรื่อง การแบ่งส่วนราชการภายในหน่วยงานและการกำหนดอำนาจหน้าที่ของส่วนราชการกรุงเทพมหานคร ลงวันที่ 31 ตุลาคม พ.ศ. 2528 ซึ่งแก้ไขเพิ่มเติมโดยประกาศกรุงเทพมหานคร เรื่อง การแบ่งส่วนราชการภายในหน่วยงานและการกำหนดอำนาจหน้าที่ของส่วนราชการกรุงเทพมหานคร (ฉบับที่ 94) ลงวันที่ 11 เมษายน พ.ศ. 2560 นอกจากนี้ สำนักการแพทย์ ยังมีสำนักงานพัฒนาระบบบริการทางการแพทย์เป็นส่วนราชการในสังกัด มีอำนาจหน้าที่วางแผน กำกับ ติดตาม วิเคราะห์และประเมินผลแผนยุทธศาสตร์ ด้านการแพทย์และสาธารณสุข พัฒนาระบบบริการสุขภาพ คุณภาพบริการ และสร้างเครือข่ายทางการแพทย์และสาธารณสุข รวมทั้งเป็นศูนย์ข้อมูลสารสนเทศทางการแพทย์ ตามข้อ 11 (2) ของประกาศกรุงเทพมหานคร เรื่อง การแบ่งส่วนราชการภายในหน่วยงานและการกำหนดอำนาจหน้าที่ของส่วนราชการกรุงเทพมหานคร ลงวันที่ 31 ตุลาคม พ.ศ. 2528 ซึ่งแก้ไขเพิ่มเติมโดยประกาศกรุงเทพมหานคร เรื่อง การแบ่งส่วนราชการภายในหน่วยงานและการกำหนดอำนาจหน้าที่ของส่วนราชการกรุงเทพมหานคร (ฉบับที่ 97) ลงวันที่ 6 กันยายน พ.ศ. 2560

การที่ กทม. โดยสำนักการแพทย์ มีความจำเป็นต้องเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลของประชาชนที่มารักษาพยาบาลหรือรับบริการด้านสุขภาพจากสถานพยาบาลต่าง ๆ ในพื้นที่ กทม. ทั้งสถานพยาบาลของรัฐในสังกัดต่าง ๆ และสถานพยาบาลเอกชน เพื่อวัตถุประสงค์ในการประเมินสถานการณ์หรืออุบัติการณ์ของการเกิดโรค การสร้างเสริมสุขภาพ การจัดบริการทางการแพทย์ การวิเคราะห์และวางแผนการบริหารจัดการระบบบริการทางการแพทย์และสาธารณสุข รวมถึงทรัพยากรที่จำเป็น ทั้งทางด้านบุคลากร สถานที่ อุปกรณ์ และครุภัณฑ์ทางการแพทย์ให้เพียงพอต่อการให้บริการประชาชน ทั้งในสถานการณ์ปกติและภาวะฉุกเฉิน นั้น ถือเป็นอำนาจหน้าที่ของ กทม. และส่วนราชการในสังกัด ในการดำเนินกิจการในเรื่องการสาธารณสุข การอนามัยครอบครัว และการรักษาพยาบาลตามมาตรา 89 (16) แห่งพระราชบัญญัติระเบียบบริหารราชการกรุงเทพมหานคร พ.ศ. 2528 รวมทั้งอาจเกี่ยวข้องกับการดำเนินกิจการในเรื่องการป้องกันและบรรเทาสาธารณภัยตามมาตรา 89 (3) ด้วย จึงถือเป็นการจำเป็นเพื่อการปฏิบัติหน้าที่ในการดำเนินภารกิจเพื่อประโยชน์สาธารณะของ กทม. หรือปฏิบัติหน้าที่ในการใช้อำนาจรัฐที่ได้มอบให้แก่ กทม. การเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลเพื่อวัตถุประสงค์ดังกล่าวของ กทม. จึงได้รับยกเว้นไม่ต้องขอความยินยอมจากเจ้าของข้อมูลส่วนบุคคลตาม [มาตรา 24](https://link.pdpalawbase.com/section/24.md) (4) ประกอบ [มาตรา 27](https://link.pdpalawbase.com/section/27.md) วรรคหนึ่ง แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562

สำหรับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลตาม [มาตรา 26](https://link.pdpalawbase.com/section/26.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 เช่น ข้อมูลส่วนบุคคลเกี่ยวกับข้อมูลสุขภาพและความพิการ จากสถานพยาบาลต่าง ๆ ในเขต กทม. นั้น เมื่อ กทม. ดำเนินการตามวัตถุประสงค์ข้างต้น จึงเป็นไปตามอำนาจหน้าที่ที่กฎหมายกำหนด จึงถือว่าเป็นการจำเป็นในการปฏิบัติตามกฎหมายเพื่อให้บรรลุวัตถุประสงค์เกี่ยวกับเวชศาสตร์ป้องกันหรืออาชีวเวชศาสตร์ การให้บริการด้านสุขภาพหรือสังคม หรือการจัดการด้านสุขภาพ หรือเพื่อให้บรรลุวัตถุประสงค์เกี่ยวกับประโยชน์สาธารณะด้านการสาธารณสุข กทม. จึงสามารถเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลดังกล่าวได้โดยไม่ต้องได้รับความยินยอมโดยชัดแจ้งจากเจ้าของข้อมูลส่วนบุคคล ตาม [มาตรา 26](https://link.pdpalawbase.com/section/26.md) (5) (ก) และ/หรือ (ข) ประกอบ [มาตรา 27](https://link.pdpalawbase.com/section/27.md) วรรคหนึ่ง แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 อย่างไรก็ตาม ในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลดังกล่าว กทม. จะต้องจัดให้มีมาตรการที่เหมาะสมและเจาะจงเพื่อคุ้มครองสิทธิและเสรีภาพของเจ้าของข้อมูลส่วนบุคคลโดยเฉพาะการรักษาความลับของข้อมูลส่วนบุคคลตามหน้าที่หรือตามจริยธรรมแห่งวิชาชีพด้วย

นอกจากนี้ เมื่อได้พิจารณาแล้วว่า การเก็บรวบรวมข้อมูลส่วนบุคคลเพื่อวัตถุประสงค์ดังกล่าวของ กทม. เป็นการเก็บรวบรวมข้อมูลส่วนบุคคลที่ได้รับยกเว้นไม่ต้องขอความยินยอมตาม [มาตรา 24](https://link.pdpalawbase.com/section/24.md) หรือ [มาตรา 26](https://link.pdpalawbase.com/section/26.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 การเก็บรวบรวมข้อมูลส่วนบุคคลดังกล่าวของ กทม. ซึ่งถือเป็นการเก็บรวบรวมข้อมูลส่วนบุคคลจากแหล่งอื่นที่ไม่ใช่จากเจ้าของข้อมูลส่วนบุคคลโดยตรง จึงสามารถกระทำได้ตาม [มาตรา 25](https://link.pdpalawbase.com/section/25.md) วรรคหนึ่ง (2) ด้วย

### ประเด็นข้อหารือที่ 2 (ฐานทางกฎหมายทางเลือก)

ประเด็นข้อหารือที่ 2 เมื่อคณะอนุกรรมการตอบข้อหารือฯ ได้ให้ความเห็นในประเด็นหารือที่ 1 แล้วว่า กทม. โดยสำนักการแพทย์ สามารถเก็บรวบรวม ใช้ และเปิดเผยข้อมูลส่วนบุคคลของประชาชนที่มารักษาพยาบาลในสถานพยาบาลในเขต กทม. เพื่อใช้ในการวางแผนบริหารจัดการระบบบริการทางการแพทย์และสาธารณสุขตามที่ขอหารือได้ โดยได้รับยกเว้นไม่ต้องขอความยินยอมจากเจ้าของข้อมูลส่วนบุคคลตาม [มาตรา 24](https://link.pdpalawbase.com/section/24.md) (4) และ [มาตรา 26](https://link.pdpalawbase.com/section/26.md) (5) (ก) และ/หรือ (ข) ประกอบ [มาตรา 27](https://link.pdpalawbase.com/section/27.md) วรรคหนึ่ง แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 จึงไม่มีความจำเป็นต้องพิจารณาให้ความเห็นในประเด็นข้อหารือที่ 2 อีก

อย่างไรก็ตาม คณะอนุกรรมการตอบข้อหารือฯ มีข้อสังเกตว่า กทม. ในฐานะผู้ควบคุมข้อมูลส่วนบุคคล จะต้องพิจารณาเก็บรวบรวมข้อมูลส่วนบุคคลเท่าที่จำเป็นภายใต้วัตถุประสงค์อันชอบด้วยกฎหมายของ กทม. ตาม [มาตรา 22](https://link.pdpalawbase.com/section/22.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 และควรประสานงานกับสถานพยาบาลในเขต กทม. ที่จะเปิดเผยข้อมูลส่วนบุคคลมายัง กทม. ให้มีการแจ้งรายละเอียดซึ่งรวมถึงวัตถุประสงค์ของการเก็บรวบรวมข้อมูลส่วนบุคคลเพื่อเปิดเผยให้กับ กทม. ดังกล่าวให้เจ้าของข้อมูลส่วนบุคคลทราบก่อนหรือในขณะเก็บรวบรวมตาม [มาตรา 23](https://link.pdpalawbase.com/section/23.md) หรือมีการแจ้งวัตถุประสงค์ใหม่ที่แตกต่างไปจากวัตถุประสงค์ที่ได้แจ้งไว้เดิมให้เจ้าของข้อมูลส่วนบุคคลทราบแล้วตาม [มาตรา 21](https://link.pdpalawbase.com/section/21.md) รวมทั้งจะต้องจัดให้มีมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสม เพื่อป้องกันการสูญหาย เข้าถึง ใช้ เปลี่ยนแปลง แก้ไข หรือเปิดเผยข้อมูลส่วนบุคคลโดยปราศจากอำนาจหรือโดยมิชอบ ซึ่งต้องเป็นไปตามมาตรฐานขั้นต่ำที่คณะกรรมการคุ้มครองข้อมูลส่วนบุคคลประกาศกำหนด ตาม [มาตรา 37](https://link.pdpalawbase.com/section/37.md) (1) ประกอบประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง มาตรการรักษาความมั่นคงปลอดภัยของผู้ควบคุมข้อมูลส่วนบุคคล พ.ศ. 2565 นอกจากนี้ ในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลเพื่อให้บรรลุวัตถุประสงค์ตามที่หารือดังกล่าว กทม. ควรพิจารณาดำเนินการตามอำนาจหน้าที่ที่กฎหมายกำหนด โดยคำนึงถึงความเชื่อมโยงกับการดำเนินงานตามอำนาจหน้าที่ของกระทรวงสาธารณสุขด้วย

## เอกสารต้นฉบับ

- [PDF ต้นฉบับ (local)](../../raw/opinions/opinion-8-2568.pdf)
- [ที่มา: pdpc.or.th](https://www.pdpc.or.th/wp-content/uploads/2025/12/consultation-60.pdf)

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/opinion/8-2568.md

============================================================
โนด: ข้อหารือ 9/2566
ลิงก์อ้างอิง: https://link.pdpalawbase.com/opinion/9-2566.md

# ข้อหารือที่ 9/2566 เรื่อง บริษัท ญ. ขอหารือเรื่อง พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 มาตรา 4 (5)

## ข้อกฎหมาย

1. พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 — [มาตรา 4](https://link.pdpalawbase.com/section/4.md) (5), [มาตรา 24](https://link.pdpalawbase.com/section/24.md) และ [มาตรา 27](https://link.pdpalawbase.com/section/27.md) วรรคหนึ่ง
2. พระราชบัญญัติว่าด้วยความผิดอันเกิดจากการใช้เช็ค พ.ศ. 2534

## ข้อหารือ

ผู้หารือในฐานะที่ปรึกษากฎหมายของบริษัท ญ. และเป็นทนายความในการดำเนินคดีต่าง ๆ ให้กับบริษัทฯ ด้วย โดยปกติลูกค้าที่ซื้อสินค้าจากบริษัทฯ ได้ชำระเงินค่าสินค้าโดยสั่งจ่ายเป็นเช็คให้แก่บริษัทฯ หากเช็คของลูกค้าถูกธนาคารปฏิเสธการจ่ายเงิน บริษัทฯ ในฐานะผู้เสียหายตามกฎหมาย ก็จะดำเนินคดีกับลูกค้าในความผิดอาญาตามพระราชบัญญัติว่าด้วยความผิดอันเกิดจากการใช้เช็ค พ.ศ. 2534 โดยใช้ทนายความประจำบริษัทฯ เป็นผู้ฟ้องคดีต่อศาล มิได้นำเช็คไปแจ้งความร้องทุกข์ต่อพนักงานสอบสวนแต่ประการใด และโดยปกติหากทนายที่รับเรื่องไม่สามารถทราบได้ชัดเจนว่าผู้สั่งจ่ายเช็คชื่ออะไร ก็จะสอบถามไปทางธนาคาร ซึ่งที่ผ่านมาบริษัทฯ ได้รับความร่วมมือเป็นอย่างดี

แต่ปัจจุบันนับแต่มี PDPA ธนาคารจะไม่ยอมบอกชื่อผู้ลงลายมือชื่อสั่งจ่ายในเช็คให้แก่ทนายความของบริษัทฯ ทราบ แม้ทางบริษัทฯ จะอ้างว่า หากไม่บอก บริษัทฯ จะไม่สามารถฟ้องตัวผู้กระทำความผิดได้ ทำให้เกิดความเสียหายก็ตาม ก็ไม่ได้รับการแจ้งข้อมูลเพื่อประกอบการดำเนินคดี

ทั้งนี้ จากการตรวจสอบข้อกฎหมายทราบว่า [มาตรา 4](https://link.pdpalawbase.com/section/4.md) (5) แห่ง PDPA ได้บัญญัติยกเว้นไม่ให้พระราชบัญญัตินี้ใช้บังคับแก่ "การพิจารณาพิพากษาคดีของศาลและการดำเนินงานของเจ้าหน้าที่ในกระบวนการพิจารณาคดี การบังคับคดี และการวางทรัพย์ รวมทั้งการดำเนินงานตามกระบวนการยุติธรรมทางอาญา" ซึ่งผู้หารือมีความเห็นว่า ผู้เสียหายที่แต่งตั้งทนายความยื่นฟ้องคดีอาญาเอง น่าจะอยู่ในขอบข่ายข้อยกเว้นดังกล่าว เช่น ก่อนจะฟ้องคดี ทนายของผู้เสียหายจะต้องไปคัดทะเบียนราษฎรที่สำนักงานเขตหรืออำเภอ เพื่อทราบชื่อ ที่อยู่ของจำเลยที่จะถูกฟ้อง ซึ่งสำนักงานเขตหรืออำเภอจะให้คัดสำเนาข้อมูลของบุคคลได้

จึงขอหารือว่า การดำเนินการดังกล่าวข้างต้นของบริษัทฯ จะสามารถปรับเข้ากับข้อยกเว้นตาม [มาตรา 4](https://link.pdpalawbase.com/section/4.md) (5) ในส่วนที่บัญญัติว่า "รวมทั้งการดำเนินงานตามกระบวนการยุติธรรมทางอาญา" ได้หรือไม่

## ความเห็น

คณะอนุกรรมการเฉพาะกิจตอบข้อหารือและให้คำแนะนำหน่วยงานของรัฐเพื่อรองรับการบังคับใช้พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ในคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลพิจารณาแล้วเห็นว่า บทบัญญัติตาม [มาตรา 4](https://link.pdpalawbase.com/section/4.md) (5) แห่ง PDPA ซึ่งกำหนดไม่ใช้บังคับแก่การพิจารณาพิพากษาคดีของศาลและการดำเนินงานของเจ้าหน้าที่ในกระบวนการพิจารณาคดี การบังคับคดี และการวางทรัพย์ รวมทั้งการดำเนินงานตามกระบวนการยุติธรรมทางอาญา ทั้งนี้ กระบวนการยุติธรรมทางอาญาครอบคลุมตั้งแต่กระบวนการเพื่อให้รู้ถึงการกระทำความผิดอาญา ผู้กระทำความผิดอาญา ข้อเท็จจริงและรายละเอียดแห่งความผิดอาญา การติดตามหาตัวผู้กระทำความผิดอาญา การพิจารณาความผิดอาญา และการลงโทษผู้กระทำความผิดอาญา **แต่จะต้องเป็นการดำเนินงานของเจ้าหน้าที่ที่เกี่ยวข้องในกระบวนการยุติธรรมทางอาญาเท่านั้น**

สำหรับการเก็บรวบรวม ใช้ และเปิดเผยข้อมูลส่วนบุคคลของทนายความ และ/หรือผู้เสียหาย ในฐานะผู้ควบคุมข้อมูลส่วนบุคคล:
- ในบางกิจกรรมที่เป็นส่วนหนึ่งของกระบวนการพิจารณาพิพากษาคดีของศาล เช่น การแถลงต่อศาลซึ่งอยู่ในระหว่างกระบวนการพิจารณาพิพากษาคดี — ย่อมเข้าข้อยกเว้นตาม [มาตรา 4](https://link.pdpalawbase.com/section/4.md) (5)
- แต่การเก็บรวบรวม ใช้ และเปิดเผยข้อมูลส่วนบุคคลโดยทนายความ และ/หรือผู้เสียหาย เพื่อรวบรวมพยานหลักฐาน เพื่อให้รู้ถึงการกระทำความผิดอาญา ผู้กระทำความผิดอาญา ตลอดจนข้อเท็จจริงและรายละเอียดแห่งความผิดอาญา ซึ่งเป็นกระบวนการก่อนการฟ้องคดีและการพิจารณาพิพากษาคดี และไม่ได้เป็นการดำเนินการโดยเจ้าหน้าที่ที่เกี่ยวข้องในกระบวนการยุติธรรมทางอาญา **ไม่เข้าลักษณะตาม [มาตรา 4](https://link.pdpalawbase.com/section/4.md) (5)** กรณีจึงไม่ได้รับยกเว้นไม่ให้นำ PDPA มาใช้บังคับ

อย่างไรก็ดี คณะอนุกรรมการฯ มีข้อสังเกตว่า ธนาคารในฐานะผู้ควบคุมข้อมูลส่วนบุคคล สามารถเก็บรวบรวมข้อมูลส่วนบุคคลเกี่ยวกับชื่อของผู้ลงลายมือชื่อสั่งจ่ายเช็ค โดยได้รับยกเว้นไม่ต้องขอความยินยอมตาม [มาตรา 24](https://link.pdpalawbase.com/section/24.md) (3) แห่ง PDPA เนื่องจากเป็นการจำเป็นเพื่อการปฏิบัติตามสัญญาซึ่งเจ้าของข้อมูลส่วนบุคคลเป็นคู่สัญญา

ดังนั้น กรณีตามข้อหารือนี้ เมื่อธนาคารได้รับคำขอข้อมูลดังกล่าวจากทนายความ และ/หรือผู้เสียหาย จึงควรพิจารณาว่า การขอข้อมูลส่วนบุคคลเกี่ยวกับเจ้าของบัญชีหรือผู้ลงลายมือชื่อสั่งจ่ายเช็คโดยทนายความ และ/หรือผู้เสียหาย เพื่อรวบรวมพยานหลักฐานในการฟ้องคดี อาจเป็นกรณีที่ธนาคารสามารถเปิดเผยได้โดยได้รับยกเว้นไม่ต้องขอความยินยอมจากเจ้าของข้อมูลส่วนบุคคลหรือไม่ เช่น พิจารณาว่าเป็นกรณีที่เป็นการจำเป็นเพื่อประโยชน์โดยชอบด้วยกฎหมายของผู้ควบคุมข้อมูลส่วนบุคคลหรือของบุคคลหรือนิติบุคคลอื่นที่ไม่ใช่ผู้ควบคุมข้อมูลส่วนบุคคล เว้นแต่ธนาคารพิจารณาแล้วเห็นว่า ประโยชน์ดังกล่าวมีความสำคัญน้อยกว่าสิทธิขั้นพื้นฐานในข้อมูลส่วนบุคคลของเจ้าของข้อมูลส่วนบุคคล ตาม [มาตรา 24](https://link.pdpalawbase.com/section/24.md) (5) ประกอบ [มาตรา 27](https://link.pdpalawbase.com/section/27.md) วรรคหนึ่ง จึงไม่เปิดเผยข้อมูลส่วนบุคคลนั้น หรือมีกฎหมายอื่นกำหนดให้ธนาคารต้องเปิดเผยข้อมูลส่วนบุคคลดังกล่าวตาม [มาตรา 24](https://link.pdpalawbase.com/section/24.md) (6) ประกอบ [มาตรา 27](https://link.pdpalawbase.com/section/27.md) วรรคหนึ่ง ธนาคารก็ปฏิบัติตามกฎหมายที่เกี่ยวข้องดังกล่าวต่อไป

## เอกสารต้นฉบับ

- [PDF ต้นฉบับ (local)](../../raw/opinions/opinion-9-2566.pdf)
- [ที่มา: pdpc.or.th](https://www.pdpc.or.th/wp-content/uploads/2024/02/PDPC-consultation-09.pdf)

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/opinion/9-2566.md

============================================================
โนด: ข้อหารือ 9/2567
ลิงก์อ้างอิง: https://link.pdpalawbase.com/opinion/9-2567.md

# ข้อหารือที่ 9/2567 เรื่อง สถานีตำรวจ J ขอหารือการละเมิดข้อมูลส่วนบุคคล

## ข้อกฎหมาย

1. พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562  
[มาตรา 4](https://link.pdpalawbase.com/section/4.md) (1) [มาตรา 5](https://link.pdpalawbase.com/section/5.md) [มาตรา 6](https://link.pdpalawbase.com/section/6.md) [มาตรา 19](https://link.pdpalawbase.com/section/19.md) [มาตรา 20](https://link.pdpalawbase.com/section/20.md) [มาตรา 23](https://link.pdpalawbase.com/section/23.md) [มาตรา 24](https://link.pdpalawbase.com/section/24.md)  
[มาตรา 26](https://link.pdpalawbase.com/section/26.md) [มาตรา 28](https://link.pdpalawbase.com/section/28.md) [มาตรา 29](https://link.pdpalawbase.com/section/29.md) [มาตรา 30](https://link.pdpalawbase.com/section/30.md) [มาตรา 31](https://link.pdpalawbase.com/section/31.md) [มาตรา 32](https://link.pdpalawbase.com/section/32.md) [มาตรา 33](https://link.pdpalawbase.com/section/33.md)  
[มาตรา 34](https://link.pdpalawbase.com/section/34.md) [มาตรา 35](https://link.pdpalawbase.com/section/35.md) [มาตรา 36](https://link.pdpalawbase.com/section/36.md) [มาตรา 37](https://link.pdpalawbase.com/section/37.md) และ [มาตรา 41](https://link.pdpalawbase.com/section/41.md)  
2. พระราชบัญญัติว่าด้วยการกระทำความผิดเกี่ยวกับคอมพิวเตอร์ พ.ศ. 2550 และที่แก้ไขเพิ่มเติม 
3. ประมวลกฎหมายอาญา 
มาตรา 326 และมาตรา 328 
4. ประมวลกฎหมายแพ่งและพาณิชย์ 
มาตรา 420

## ข้อหารือ

สถานีตำรวจ J แจ้งว่า มีผู้เสียหายได้ร้องทุกข์กับพนักงานสอบสวนขอให้ดำเนินคดีกับผู้ต้องหา 
กรณีนำข้อมูลที่ทำให้สามารถระบุตัวบุคคลได้อันเป็นข้อมูลส่วนบุคคลตามกฎหมายและยังเป็นข้อมูลเกี่ยวกับ
ประวัติอาชญากรรมของผู้เสียหายที่ผู้เสียหายถูกกล่าวหาว่าได้กระทำความผิดต่อกฎหมายไปโพสต์ลงบน 
Facebook ของผู้ต้องหา ซึ่งเปิดการมองเห็นเป็นสาธารณะ โดยผู้เสียหายไม่ได้ยินยอมให้ผู้ต้องหาเป็นผู้เก็บ
รวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล ทำให้บุคคลทั่วไปที่ได้พบเห็นโพสต์ดังกล่าวเข้าใจผู้เสียหายผิด  
ทำให้เสื่อมเสียชื่อเสียง ถูกดูหมิ่น ถูกเกลียดชัง เพราะเหตุที่ได้พบและอ่านข้อความเอกสารตามโพสต์ดังกล่าว 
เนื่องจากผู้อ่านไม่อาจเข้าใจถึงสาเหตุที่แท้จริง ผู้เสียหายจึงร้องทุกข์ให้พนักงานสอบสวนดำเนินคดีกับผู้ต้องหาเพื่อให้
ได้รับโทษตามกฎหมาย ซึ่งพนักงานสอบสวนได้รับคำร้องทุกข์ไว้สอบสวนตามกฎหมายแล้ว แต่เนื่องจาก
พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 เป็นกฎหมายใหม่ ซึ่งคำนิยาม “ผู้ควบคุมข้อมูลส่วนบุคคล” 
ตามพระราชบัญญัติดังกล่าว นักกฎหมายรวมทั้งพนักงานสอบสวนต่างก็ตีความและมีความเห็นต่างกัน จึงขอหารือ
และขอทราบความเห็นว่า การกระทำของผู้ต้องหาดังกล่าวข้างต้นเป็นความผิดตาม [มาตรา 27](https://link.pdpalawbase.com/section/27.md) แห่งพระราชบัญญัติ
คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 หรือไม่ อย่างไร

## ความเห็น

คณะอนุกรรมการเฉพาะกิจตอบข้อหารือและให้คำแนะนำหน่วยงานของรัฐเพื่อรองรับ 
การบังคับใช้พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ในคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล 
พิจารณาแล้วเห็นว่า ตาม [มาตรา 6](https://link.pdpalawbase.com/section/6.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 “ข้อมูลส่วนบุคคล” 
หมายความว่า ข้อมูลเกี่ยวกับบุคคลธรรมดาซึ่งทำให้สามารถระบุตัวบุคคลนั้นได้ไม่ว่าทางตรงหรือทางอ้อม แต่ไม่รวมถึง
ข้อมูลของผู้ถึงแก่กรรมโดยเฉพาะ ดังนั้น ภาพสำเนาเอกสารหรือข้อมูลอื่นเกี่ยวกับบุคคลที่สามารถระบุตัวบุคคลนั้นได้
ไม่ว่าทางตรงหรือทางอ้อม จึงถือเป็นข้อมูลส่วนบุคคลตามพระราชบัญญัตินี้ สำหรับการนำภาพสำเนาเอกสารหรือ
ข้อมูลส่วนบุคคลอื่นไปโพสต์ในแอปพลิเคชัน Facebook จะอยู่ภายใต้บังคับของพระราชบัญญัติคุ้มครองข้อมูล
ส่วนบุคคล พ.ศ. 2562 และมีความผิดตามพระราชบัญญัติดังกล่าวหรือไม่นั้น เห็นว่า พระราชบัญญัติคุ้มครอง
ข้อมูลส่วนบุคคล พ.ศ. 2562 กำหนดไว้ใน [มาตรา 5](https://link.pdpalawbase.com/section/5.md) วรรคหนึ่งว่า พระราชบัญญัติดังกล่าวให้ใช้บังคับแก่การเก็บ
รวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลโดยผู้ควบคุมข้อมูลส่วนบุคคลซึ่งอยู่ในราชอาณาจักร โดย [มาตรา 6](https://link.pdpalawbase.com/section/6.md) 
กำหนดว่า “ผู้ควบคุมข้อมูลส่วนบุคคล” หมายความว่า บุคคลหรือนิติบุคคลซึ่งมีอำนาจหน้าที่ตัดสินใจเกี่ยวกับการ
เก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล โดยการเป็นผู้ควบคุมข้อมูลส่วนบุคคลดังกล่าว เมื่อพิจารณา 
จากบทบัญญัติแห่งกฎหมายที่กำหนดหน้าที่และความรับผิดชอบไว้หลายประการ เช่น การกำหนดให้การเก็บ
รวบรวมข้อมูลส่วนบุคคลจะต้องมีฐานทางกฎหมายตาม [มาตรา 24](https://link.pdpalawbase.com/section/24.md) หรือ [มาตรา 26](https://link.pdpalawbase.com/section/26.md) แล้วแต่กรณี หน้าที่ในการแจ้ง
วัตถุประสงค์และรายละเอียดในการเก็บรวบรวมข้อมูลส่วนบุคคลตาม [มาตรา 23](https://link.pdpalawbase.com/section/23.md) ข้อกำหนดและเงื่อนไขเกี่ยวกับการส่ง
หรือโอนข้อมูลส่วนบุคคลไปยังต่างประเทศตาม [มาตรา 28](https://link.pdpalawbase.com/section/28.md) และ [มาตรา 29](https://link.pdpalawbase.com/section/29.md) หน้าที่ในการจัดให้มีมาตรการรักษา
ความมั่นคงปลอดภัยที่เหมาะสม และการแจ้งเหตุการละเมิดข้อมูลส่วนบุคคล ตาม [มาตรา 37](https://link.pdpalawbase.com/section/37.md) (1) และ [มาตรา 37](https://link.pdpalawbase.com/section/37.md) 
(4) หน้าที่ในการตอบสนองต่อคำขอใช้สิทธิของเจ้าของข้อมูลส่วนบุคคลตาม [มาตรา 30](https://link.pdpalawbase.com/section/30.md) ถึง [มาตรา 36](https://link.pdpalawbase.com/section/36.md) หน้าที่ใน
การแต่งตั้งเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลตาม [มาตรา 41](https://link.pdpalawbase.com/section/41.md) และหน้าที่ในการจัดให้มีระบบการตรวจสอบ 
เพื่อดำเนินการลบหรือทำลายข้อมูลส่วนบุคคลเมื่อพ้นกำหนดระยะเวลาการเก็บรักษา หรือที่ไม่เกี่ยวข้องหรือเกิน
ความจำเป็นตามวัตถุประสงค์ในการเก็บรวบรวมข้อมูลส่วนบุคคลนั้น หรือตามที่เจ้าของข้อมูลส่วนบุคคลร้องขอ 
หรือที่เจ้าของข้อมูลส่วนบุคคลได้ถอนความยินยอม ปรากฏรายละเอียดตาม [มาตรา 37](https://link.pdpalawbase.com/section/37.md) (3) เป็นต้น จึงเห็นได้ว่า 
บทบัญญัติและเจตนารมณ์แห่งกฎหมายดังกล่าวมุ่งประสงค์จะใช้บังคับแก่บุคคลธรรมดาหรือนิติบุคคลที่มีการเก็บ
รวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลอย่างเป็นระบบหรือเป็นประจำสม่ำเสมอเพื่อวัตถุประสงค์อย่างใดอย่าง
หนึ่งขององค์กรหรือของบุคคลนั้น โดยกำหนดหลักการที่สำคัญประการหนึ่งเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลว่าต้องมีฐานทางกฎหมายตามที่กำหนดใน [มาตรา 24](https://link.pdpalawbase.com/section/24.md) หรือ [มาตรา 26](https://link.pdpalawbase.com/section/26.md) แล้วแต่กรณี  
และหากไม่มีฐานทางกฎหมายอื่นใดเพื่อใช้ในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล ผู้ควบคุมข้อมูล
ส่วนบุคคลต้องได้รับความยินยอมจากเจ้าของข้อมูลส่วนบุคคลตามหลักเกณฑ์ใน [มาตรา 19](https://link.pdpalawbase.com/section/19.md) และ [มาตรา 20](https://link.pdpalawbase.com/section/20.md)  
แห่งพระราชบัญญัติดังกล่าว และได้กำหนดหน้าที่และความรับผิดชอบของผู้ควบคุมข้อมูลส่วนบุคคลไว้ตั้งแต่
ขั้นตอนการเก็บรวบรวมจนกระทั่งการลบหรือทำลายข้อมูลส่วนบุคคล ประกอบกับ [มาตรา 4](https://link.pdpalawbase.com/section/4.md) (1) แห่งพระราชบัญญัติ
ดังกล่าวได้กำหนดข้อยกเว้นไม่ให้นำพระราชบัญญัตินี้ไปใช้บังคับแก่การเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูล 
ส่วนบุคคลของบุคคลที่ทำการเก็บรวบรวมข้อมูลส่วนบุคคลเพื่อประโยชน์ส่วนตนหรือเพื่อกิจกรรมในครอบครัว 
ของบุคคลนั้นเท่านั้น  
ดังนั้น จากกรณีดังกล่าว การกระทำของผู้ต้องหาซึ่งมีฐานะเป็นบุคคลธรรมดา จะถือว่า 
เป็นการกระทำในฐานะผู้ควบคุมข้อมูลส่วนบุคคล และจะมีความผิดตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล  
พ.ศ. 2562 หรือไม่ นั้น สถานีตำรวจ J ต้องพิจารณาว่าการกระทำดังกล่าวของผู้ต้องหาเป็นการเก็บรวบรวม ใช้ 
หรือเปิดเผยข้อมูลส่วนบุคคลที่ผู้นั้นทำการเก็บรวบรวมเพื่อประโยชน์ส่วนตนหรือเพื่อกิจกรรมในครอบครัว 
ของบุคคลนั้นหรือไม่ หากพิจารณาแล้วเห็นว่า การกระทำของผู้ต้องหาดังกล่าวมีวัตถุประสงค์ในการดำเนินการ
เพื่อประโยชน์ส่วนตน โดยไม่มีลักษณะเป็นการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลอย่างเป็นระบบหรือ
เป็นประจำสม่ำเสมอเพื่อวัตถุประสงค์อย่างใดอย่างหนึ่งของบุคคลนั้นในฐานะผู้ควบคุมข้อมูลส่วนบุคคล ย่อมไม่อยู่
ในขอบเขตการบังคับใช้ของพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ตาม [มาตรา 4](https://link.pdpalawbase.com/section/4.md) (1) แต่อย่างไรก็ดี 
หากการกระทำของผู้ต้องหามีลักษณะเป็นการละเมิดสิทธิในความเป็นส่วนตัวของบุคคลอื่นเกินสมควร หรือเข้า
องค์ประกอบความผิดตามกฎหมายอื่นใด ผู้กระทำอาจมีความรับผิดตามกฎหมายเหล่านั้นได้ เช่น พระราชบัญญัติ
ว่าด้วยการกระทำความผิดเกี่ยวกับคอมพิวเตอร์ พ.ศ. 2550 และที่แก้ไขเพิ่มเติม หรือประมวลกฎหมายอาญา 
ในความผิดฐานหมิ่นประมาทหรือหมิ่นประมาทโดยการโฆษณา หรือการทำละเมิดตามมาตรา 420 แห่งประมวล
กฎหมายแพ่งและพาณิชย์

## เอกสารต้นฉบับ

- [PDF ต้นฉบับ (local)](../../raw/opinions/opinion-9-2567.pdf)
- [ที่มา: pdpc.or.th](https://www.pdpc.or.th/wp-content/uploads/2024/06/PDPC-consultation-38.pdf)

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/opinion/9-2567.md

============================================================
โนด: ข้อหารือ 9/2568
ลิงก์อ้างอิง: https://link.pdpalawbase.com/opinion/9-2568.md

# ข้อหารือที่ 9/2568 เรื่อง สำนักงานคณะกรรมการข้าราชการพลเรือนหารือเกี่ยวกับข้อกฎหมายตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562

## ข้อกฎหมาย

1. พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 — [มาตรา 3](https://link.pdpalawbase.com/section/3.md) [มาตรา 22](https://link.pdpalawbase.com/section/22.md) [มาตรา 24](https://link.pdpalawbase.com/section/24.md) (4) และ (6) [มาตรา 27](https://link.pdpalawbase.com/section/27.md) วรรคหนึ่ง และ [มาตรา 32](https://link.pdpalawbase.com/section/32.md) (1)
2. พระราชบัญญัติข้อมูลข่าวสารของราชการ พ.ศ. 2540 — มาตรา 4 และมาตรา 15 (5)
3. พระราชบัญญัติระเบียบข้าราชการพลเรือน พ.ศ. 2551 และที่แก้ไขเพิ่มเติม — มาตรา 63 วรรคหนึ่ง
4. กฎ ก.พ. ว่าด้วยการย้าย การโอน หรือการเลื่อนข้าราชการพลเรือนสามัญไปแต่งตั้งให้ดำรงตำแหน่งข้าราชการพลเรือนสามัญตำแหน่งประเภทวิชาการในหรือต่างกระทรวงหรือกรม พ.ศ. 2564
5. หนังสือสำนักงาน ก.พ. ที่ นร 1006/ว 14 ลงวันที่ 11 สิงหาคม 2564 เรื่อง หลักเกณฑ์ วิธีการ และเงื่อนไขการย้าย การโอน หรือการเลื่อนข้าราชการพลเรือนสามัญเพื่อแต่งตั้งให้ดำรงตำแหน่งประเภทวิชาการ (ปัจจุบันถูกยกเลิกแล้ว)
6. หนังสือสำนักงาน ก.พ. ที่ นร 1006/ว 5 ลงวันที่ 22 มีนาคม 2567 เรื่อง หลักเกณฑ์ วิธีการ และเงื่อนไขการย้าย การโอน หรือการเลื่อนข้าราชการพลเรือนสามัญเพื่อแต่งตั้งให้ดำรงตำแหน่งประเภทวิชาการ

## ข้อหารือ

สำนักงานคณะกรรมการข้าราชการพลเรือน (สำนักงาน ก.พ.) แจ้งว่า พระราชบัญญัติระเบียบข้าราชการพลเรือน พ.ศ. 2551 มาตรา 63 วรรคหนึ่ง บัญญัติว่า การย้าย การโอน หรือการเลื่อนข้าราชการพลเรือนสามัญไปแต่งตั้งให้ดำรงตำแหน่งข้าราชการพลเรือนสามัญในหรือต่างกระทรวงหรือกรม แล้วแต่กรณี ให้เป็นไปตามที่กำหนดในกฎ ก.พ. โดยกฎ ก.พ. ว่าด้วยการย้าย การโอน หรือการเลื่อนข้าราชการพลเรือนสามัญไปแต่งตั้งให้ดำรงตำแหน่งข้าราชการพลเรือนสามัญตำแหน่งประเภทวิชาการในหรือต่างกระทรวงหรือกรม พ.ศ. 2564 ประกอบหนังสือสำนักงาน ก.พ. ที่ นร 1006/ว 14 ลงวันที่ 11 สิงหาคม 2564 ได้กำหนดหลักเกณฑ์ วิธีการ และเงื่อนไขการย้าย การโอน หรือการเลื่อนข้าราชการพลเรือนสามัญไปแต่งตั้งให้ดำรงตำแหน่งข้าราชการพลเรือนสามัญตำแหน่งประเภทวิชาการในหรือต่างกระทรวงหรือกรม ไว้ในส่วนของการประเมินบุคคลเพื่อเลื่อนข้าราชการขึ้นแต่งตั้งให้ดำรงตำแหน่งในระดับที่สูงขึ้น โดยให้ อ.ก.พ. กรม หรือ อ.ก.พ. กระทรวง มีหน้าที่และอำนาจประการหนึ่งคือ การจัดให้มีการประกาศรายชื่อผู้ได้รับการคัดเลือกตำแหน่งละหนึ่งคน โดยในประกาศให้ระบุชื่อและเค้าโครงผลงานรวมทั้งข้อเสนอแนวคิดที่จะเสนอขอประเมิน สัดส่วนของผลงานในส่วนที่ตนเองปฏิบัติ และรายชื่อผู้ร่วมจัดทำผลงาน (ถ้ามี)

ซึ่งได้มีส่วนราชการหารือมายังสำนักงาน ก.พ. ว่าผลงานของข้าราชการที่เสนอเข้ารับการประเมินอาจจะมีชื่อเรื่องหรือเนื้อหาเกี่ยวพันกับบุคคลภายนอก เช่น การจัดเก็บภาษีห้างหุ้นส่วนจำกัด การสอบสวนวินัยข้าราชการที่อาจปรากฏชื่อผู้ถูกกล่าวหา ซึ่งเป็นข้อมูลส่วนบุคคลที่มิใช่ข้อมูลส่วนบุคคลของตัวข้าราชการผู้ขอรับการประเมิน หากต้องดำเนินการตามหลักเกณฑ์ วิธีการ และเงื่อนไขที่ ก.พ. กำหนดดังกล่าวจะถือว่าเป็นการดำเนินการที่ขัดแย้งหรือไม่เป็นไปตามบทบัญญัติแห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 หรือไม่ อย่างไร ทั้งนี้ สำนักงาน ก.พ. พิจารณาแล้วเห็นว่า เจตนารมณ์ที่ ก.พ. กำหนดให้มีการประกาศเค้าโครงผลงานของผู้ที่ผ่านการประเมินบุคคลเป็นไปเพื่อป้องกันมิให้เกิดการลอกเลียนผลงานหรือนำผลงานของผู้อื่นมาเป็นของตนแต่เพียงผู้เดียว ซึ่งเป็นกลไกหนึ่งที่ช่วยในเรื่องความโปร่งใสและตรวจสอบได้ในการดำเนินการคัดเลือกบุคคลเพื่อเลื่อนขึ้นแต่งตั้งให้ดำรงตำแหน่งในระดับที่สูงขึ้น

ดังนั้น จึงขอหารือว่า การดำเนินการในส่วนของการประกาศเค้าโครงผลงานของส่วนราชการตามหลักเกณฑ์ วิธีการ และเงื่อนไขการย้าย การโอน หรือการเลื่อนข้าราชการพลเรือนสามัญไปแต่งตั้งให้ดำรงตำแหน่งข้าราชการพลเรือนสามัญตำแหน่งประเภทวิชาการในหรือต่างกระทรวงหรือกรม ตามหนังสือสำนักงาน ก.พ. ที่ นร 1006/ว 14 ลงวันที่ 11 สิงหาคม 2564 ซึ่งเป็นการดำเนินการตามมาตรา 63 แห่งพระราชบัญญัติระเบียบข้าราชการพลเรือน พ.ศ. 2551 จะถือเป็นการจำเป็นเพื่อการปฏิบัติหน้าที่ในการดำเนินภารกิจเพื่อประโยชน์สาธารณะของผู้ควบคุมข้อมูลส่วนบุคคล หรือปฏิบัติหน้าที่ในการใช้อำนาจรัฐที่ได้รับมอบแก่ผู้ควบคุมข้อมูลส่วนบุคคล ซึ่งเป็นข้อยกเว้นตาม [มาตรา 24](https://link.pdpalawbase.com/section/24.md) (4) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 หรือไม่ อย่างไร

## ความเห็น

คณะอนุกรรมการตอบข้อหารือและให้คำแนะนำในการปฏิบัติตามกฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคล ในคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล ได้พิจารณาประเด็นข้อหารือแล้ว เห็นว่า สำนักงาน ก.พ. เป็นหน่วยงานของรัฐตามบทนิยามในมาตรา 4 แห่งพระราชบัญญัติข้อมูลข่าวสารของราชการ พ.ศ. 2540 การบริหารจัดการข้อมูลข่าวสารที่อยู่ในความครอบครองหรือควบคุมดูแลของสำนักงาน ก.พ. จะต้องถือปฏิบัติตามกฎหมายว่าด้วยข้อมูลข่าวสารของราชการด้วย ซึ่งเป็นไปตาม [มาตรา 3](https://link.pdpalawbase.com/section/3.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ที่กำหนดว่า “ในกรณีที่มีกฎหมายว่าด้วยการใดบัญญัติเกี่ยวกับการคุ้มครองข้อมูลส่วนบุคคลในลักษณะใด กิจการใด หรือหน่วยงานใดไว้โดยเฉพาะแล้ว ให้บังคับตามบทบัญญัติแห่งกฎหมายว่าด้วยการนั้น เว้นแต่ (1) บทบัญญัติเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล และบทบัญญัติเกี่ยวกับสิทธิของเจ้าของข้อมูลส่วนบุคคล รวมทั้งบทกำหนดโทษที่เกี่ยวข้อง ให้บังคับตามบทบัญญัติแห่งพระราชบัญญัตินี้เป็นการเพิ่มเติม ไม่ว่าจะซ้ำกับบทบัญญัติแห่งกฎหมายว่าด้วยการนั้นหรือไม่ก็ตาม ฯลฯ” ดังนั้น สำนักงาน ก.พ. ควรดำเนินการให้เป็นไปตามกฎหมายว่าด้วยข้อมูลข่าวสารของราชการที่ได้กำหนดเรื่องการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลข่าวสารของราชการของหน่วยงานของรัฐ รวมถึงข้อมูลข่าวสารส่วนบุคคลที่อยู่ในความครอบครองหรือควบคุมดูแลของหน่วยงานของรัฐไว้โดยเฉพาะแล้วก่อน และให้พิจารณาบทบัญญัติเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 เป็นการเพิ่มเติมในการดำเนินการดังกล่าวต่อไป

สำหรับการพิจารณาตามประเด็นข้อหารือของสำนักงาน ก.พ. พบว่า ขณะที่ตอบข้อหารือนี้ ได้มีการยกเลิกหลักเกณฑ์ วิธีการ และเงื่อนไขการย้าย การโอน หรือการเลื่อนข้าราชการพลเรือนสามัญเพื่อแต่งตั้งให้ดำรงตำแหน่งประเภทวิชาการ ตามหนังสือสำนักงาน ก.พ. ที่ นร 1006/ว 14 ลงวันที่ 11 สิงหาคม 2564 แล้ว โดยสำนักงาน ก.พ. ได้กำหนดให้ใช้หลักเกณฑ์ วิธีการ และเงื่อนไขตามหนังสือสำนักงาน ก.พ. ที่ นร 1006/ว 5 ลงวันที่ 22 มีนาคม 2567 แทน ซึ่งได้มีการกำหนดให้ อ.ก.พ. กรม หรือ อ.ก.พ. กระทรวง จัดให้มีการประกาศรายชื่อผู้ได้รับการคัดเลือกตำแหน่งละ 1 คน โดยในประกาศให้ระบุชื่อและเค้าโครงผลงาน รวมทั้งข้อเสนอแนวคิดที่จะเสนอขอประเมิน สัดส่วนของผลงานในส่วนที่ตนเองปฏิบัติและรายชื่อผู้ร่วมจัดทำผลงาน (ถ้ามี) ซึ่งถือเป็นการปฏิบัติตามพระราชบัญญัติระเบียบข้าราชการพลเรือน พ.ศ. 2551 มาตรา 63 วรรคหนึ่ง ประกอบกฎ ก.พ. ว่าด้วยการย้าย การโอน หรือการเลื่อนข้าราชการพลเรือนสามัญไปแต่งตั้งให้ดำรงตำแหน่งข้าราชการพลเรือนสามัญตำแหน่งประเภทวิชาการในหรือต่างกระทรวงหรือกรม พ.ศ. 2564 อันเป็นการที่สำนักงาน ก.พ. ตลอดจนส่วนราชการที่เกี่ยวข้อง ปฏิบัติหน้าที่ตามที่กฎหมายกำหนดเพื่อป้องกันมิให้เกิดการลอกเลียนผลงานหรือนำผลงานของผู้อื่นมาเป็นของตนแต่เพียงผู้เดียว ซึ่งเป็นกลไกหนึ่งที่ช่วยในเรื่องความโปร่งใสและตรวจสอบได้

ดังนั้น ส่วนราชการที่เกี่ยวข้อง ในฐานะผู้ควบคุมข้อมูลส่วนบุคคล จึงอาจเปิดเผยชื่อและเค้าโครงผลงาน รวมทั้งข้อเสนอแนวคิดที่จะเสนอขอประเมิน สัดส่วนของผลงานในส่วนที่ตนเองปฏิบัติและรายชื่อผู้ร่วมจัดทำผลงาน (ถ้ามี) ในประกาศรายชื่อผู้ได้รับการคัดเลือกได้ แม้อาจจะมีข้อมูลส่วนบุคคลของบุคคลอื่นก็ตาม ซึ่งถือเป็นการดำเนินการเพื่อการปฏิบัติตามกฎหมายของผู้ควบคุมข้อมูลส่วนบุคคลตาม [มาตรา 24](https://link.pdpalawbase.com/section/24.md) (6) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 หรือเป็นการจำเป็นเพื่อการปฏิบัติหน้าที่ในการดำเนินภารกิจเพื่อประโยชน์สาธารณะของผู้ควบคุมข้อมูลส่วนบุคคลตาม [มาตรา 24](https://link.pdpalawbase.com/section/24.md) (4) ซึ่งเป็นฐานทางกฎหมายที่ทำให้ผู้ควบคุมข้อมูลส่วนบุคคลได้รับยกเว้นไม่ต้องขอความยินยอมจากเจ้าของข้อมูลส่วนบุคคล ในการใช้หรือเปิดเผยข้อมูลส่วนบุคคล ตาม [มาตรา 27](https://link.pdpalawbase.com/section/27.md) วรรคหนึ่ง แห่งพระราชบัญญัติดังกล่าว อย่างไรก็ตาม สำนักงาน ก.พ. และส่วนราชการที่เกี่ยวข้อง จะต้องเก็บรวบรวม ใช้ และเปิดเผยข้อมูลส่วนบุคคลเท่าที่จำเป็นภายใต้วัตถุประสงค์อันชอบด้วยกฎหมาย ตามนัย [มาตรา 22](https://link.pdpalawbase.com/section/22.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 รวมทั้งควรพิจารณาเปิดเผยข้อมูลข่าวสารของราชการให้เป็นไปตามพระราชบัญญัติข้อมูลข่าวสารของราชการ พ.ศ. 2540 ด้วย โดยคำนึงถึงการปฏิบัติหน้าที่ตามกฎหมายของส่วนราชการ ประโยชน์สาธารณะ และประโยชน์ของเอกชนที่เกี่ยวข้องประกอบกัน โดยเฉพาะในกรณีที่เป็นข้อมูลข่าวสารส่วนบุคคลซึ่งการเปิดเผยจะเป็นการรุกล้ำสิทธิส่วนบุคคลของบุคคลอื่นโดยไม่สมควร ตามมาตรา 15 (5) แห่งพระราชบัญญัติข้อมูลข่าวสารของราชการ พ.ศ. 2540

นอกจากนี้ คณะอนุกรรมการตอบข้อหารือฯ มีข้อสังเกตเพิ่มเติมว่า ในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล ที่เป็นการจำเป็นเพื่อการปฏิบัติหน้าที่ในการดำเนินภารกิจเพื่อประโยชน์สาธารณะของผู้ควบคุมข้อมูลส่วนบุคคลตาม [มาตรา 24](https://link.pdpalawbase.com/section/24.md) (4) บุคคลภายนอกที่ถูกระบุชื่อในเค้าโครงผลงาน หรือมีข้อมูลส่วนบุคคลปรากฏอยู่ในประกาศรายชื่อผู้ได้รับการคัดเลือกดังกล่าว ในฐานะที่เป็นเจ้าของข้อมูลส่วนบุคคล มีสิทธิคัดค้านการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลที่เกี่ยวกับตนเมื่อใดก็ได้ เว้นแต่ผู้ควบคุมข้อมูลส่วนบุคคลได้แสดงให้เห็นถึงเหตุอันชอบด้วยกฎหมายที่สำคัญยิ่งกว่า สำหรับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลนั้น หรือเป็นไปเพื่อก่อตั้งสิทธิเรียกร้องตามกฎหมาย การปฏิบัติตามหรือการใช้สิทธิเรียกร้องตามกฎหมาย หรือการยกขึ้นต่อสู้สิทธิเรียกร้องตามกฎหมาย ทั้งนี้ ตาม [มาตรา 32](https://link.pdpalawbase.com/section/32.md) (1) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 สำนักงาน ก.พ. และส่วนราชการที่เกี่ยวข้อง จึงควรพิจารณาการเปิดเผยข้อมูลส่วนบุคคลตามหลักเกณฑ์ วิธีการ และเงื่อนไขการย้าย การโอน หรือการเลื่อนข้าราชการพลเรือนสามัญเพื่อแต่งตั้งให้ดำรงตำแหน่งประเภทวิชาการดังกล่าว ให้มีความเหมาะสม โดยคำนึงถึงสิทธิในข้อมูลส่วนบุคคลของเจ้าของข้อมูลส่วนบุคคลด้วย

## เอกสารต้นฉบับ

- [PDF ต้นฉบับ (local)](../../raw/opinions/opinion-9-2568.pdf)
- [ที่มา: pdpc.or.th](https://www.pdpc.or.th/wp-content/uploads/2025/12/consultation-61.pdf)

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/opinion/9-2568.md

============================================================
โนด: ข้อหารือ 10/2566
ลิงก์อ้างอิง: https://link.pdpalawbase.com/opinion/10-2566.md

# ข้อหารือที่ 10/2566 เรื่อง บริษัท ย. ขอความอนุเคราะห์ข้อมูลและแนวทาง พ.ร.บ. คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562

## ข้อกฎหมาย

1. พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 — [มาตรา 6](https://link.pdpalawbase.com/section/6.md), [มาตรา 24](https://link.pdpalawbase.com/section/24.md), [มาตรา 26](https://link.pdpalawbase.com/section/26.md), [มาตรา 27](https://link.pdpalawbase.com/section/27.md) และ [มาตรา 39](https://link.pdpalawbase.com/section/39.md) (6)
2. พระราชบัญญัติการปฏิบัติราชการทางอิเล็กทรอนิกส์ พ.ศ. 2565
3. พระราชบัญญัติธุรกรรมทางอิเล็กทรอนิกส์ พ.ศ. 2544 และที่แก้ไขเพิ่มเติม
4. ระเบียบสำนักนายกรัฐมนตรี ว่าด้วยงานสารบรรณ พ.ศ. 2526 และที่แก้ไขเพิ่มเติม

## ข้อหารือ

บริษัท ย. แจ้งว่า บริษัทฯ เป็นผู้ประกอบธุรกิจพาณิชย์อิเล็กทรอนิกส์ให้บริการบนแพลตฟอร์มออนไลน์ ได้มีความร่วมมือและการประสานงานต่าง ๆ กับภาครัฐ เพื่อสนับสนุนผู้ประกอบการในการกระตุ้นเศรษฐกิจไทยมาอย่างสม่ำเสมอ รวมทั้งบริษัทฯ ได้ปฏิบัติตามแนวทางกำกับดูแลของหน่วยงานรัฐต่าง ๆ โดยเฉพาะพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ตามหลักธรรมาภิบาลโดยเคร่งครัด

ที่ผ่านมา เมื่อบริษัทฯ ได้รับการประสานงานจากภาครัฐด้วยการส่งหนังสือราชการ (จดหมายตราครุฑ) เพื่อขอข้อมูลรายละเอียดร้านค้า และ/หรือข้อมูลผู้ประกอบการบนแพลตฟอร์ม รายละเอียดผู้สั่งสินค้า รายละเอียดผู้รับสินค้า รายละเอียดคำสั่งซื้อ อาทิ ชื่อ นามสกุล ผู้ประกอบการร้านค้า รวมถึงสำเนาบัตรประชาชน ที่อยู่ร้านค้า เลขที่บัญชี และสำเนาสมุดบัญชี บริษัทฯ จะดำเนินการจัดส่งข้อมูลกลับให้หน่วยงานราชการโดยเร็วที่สุด

อย่างไรก็ดี ปัจจุบันเพื่อให้การให้ความร่วมมือและประสานงานกับภาครัฐเป็นไปอย่างมีประสิทธิภาพและสะดวกรวดเร็วยิ่งขึ้น บริษัทฯ จึงมีแนวทางเพื่อเปิดช่องทางการติดต่อประสานงานในระบบอิเล็กทรอนิกส์ โดยให้เจ้าหน้าที่ภาครัฐในส่วนงานกำกับดูแลที่ได้รับการแต่งตั้งหรืออนุมัติจากต้นสังกัด สามารถขอข้อมูลผ่านหนังสืออิเล็กทรอนิกส์ตามที่อยู่ที่แจ้งบริษัทฯ ไว้โดยไม่ต้องแนบหนังสือราชการ (จดหมายตราครุฑ)

บริษัทฯ จึงขอหารือว่า การแจ้งกลับข้อมูลตามที่ได้รับการร้องขอในรูปแบบนี้ จะขัดต่อ PDPA หรือไม่ หากขัดต่อข้อกฎหมาย บริษัทฯ ขอทราบแนวทางปฏิบัติภายใต้พระราชบัญญัติดังกล่าว

## ความเห็น

คณะอนุกรรมการเฉพาะกิจตอบข้อหารือและให้คำแนะนำหน่วยงานของรัฐเพื่อรองรับการบังคับใช้พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ในคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลได้พิจารณาเรื่องหารือดังกล่าวแล้ว เห็นว่า บริษัทฯ เป็นนิติบุคคลตามประมวลกฎหมายแพ่งและพาณิชย์ มีอำนาจหน้าที่ตัดสินใจเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล จึงเป็นผู้ควบคุมข้อมูลส่วนบุคคลตาม [มาตรา 6](https://link.pdpalawbase.com/section/6.md) แห่ง PDPA

กรณีที่ขอหารือเกี่ยวกับการใช้แบบหนังสือภายนอกที่มีกระดาษตราครุฑ ตามระเบียบสำนักนายกรัฐมนตรี ว่าด้วยงานสารบรรณ พ.ศ. 2526 และที่แก้ไขเพิ่มเติม ในการติดต่อระหว่างส่วนราชการหรือหน่วยงานของรัฐกับบริษัทฯ เพื่อเป็นการพิสูจน์ความน่าเชื่อถือและเป็นการยืนยันตัวตน รวมถึงเพื่อให้ไม่สามารถปฏิเสธความรับผิด อันถือเป็นส่วนหนึ่งของรูปแบบพิธีของทางราชการสำหรับการติดต่อระหว่างส่วนราชการหรือหน่วยงานของรัฐที่มีไปถึงหน่วยงานอื่น **แต่ไม่ได้หมายความว่าการดำเนินการด้วยวิธีการทางอิเล็กทรอนิกส์จะไม่สามารถกระทำได้** โดยจะต้องพิจารณาหลักเกณฑ์การปฏิบัติในเรื่องดังกล่าวภายใต้พระราชบัญญัติการปฏิบัติราชการทางอิเล็กทรอนิกส์ พ.ศ. 2565 และพระราชบัญญัติธุรกรรมทางอิเล็กทรอนิกส์ พ.ศ. 2544 และที่แก้ไขเพิ่มเติม ซึ่งได้เพิ่มเติมรูปแบบพิธีสำหรับวิธีการติดต่อของส่วนราชการหรือหน่วยงานของรัฐ เพื่อติดต่อราชการกับบุคคลภายนอก

ดังนั้น บริษัทฯ จึงอาจถือหนังสือราชการดังกล่าวเป็นเอกสารหลักฐานของทางราชการ ตามระเบียบสำนักนายกรัฐมนตรี ว่าด้วยงานสารบรรณ พ.ศ. 2526 และที่แก้ไขเพิ่มเติม และ/หรืออาจติดต่อหรือส่งเรื่องถึงกันโดยวิธีการทางอิเล็กทรอนิกส์ตามกฎหมายว่าด้วยการปฏิบัติราชการทางอิเล็กทรอนิกส์ก็ได้

ทั้งนี้ บริษัทฯ ควรตรวจสอบให้ชัดเจนว่า การขอข้อมูลด้วยการติดต่อหรือส่งเรื่องถึงกันโดยวิธีการทางอิเล็กทรอนิกส์ดังกล่าวเป็นการติดต่อจากเจ้าหน้าที่ของรัฐของส่วนราชการหรือหน่วยงานของรัฐที่มีหน้าที่และอำนาจตามกฎหมายหรือมีอำนาจกระทำการแทนส่วนราชการหรือหน่วยงานของรัฐจริงหรือไม่ เพราะการเปิดเผยข้อมูลส่วนบุคคลให้กับเจ้าหน้าที่ของรัฐหรือส่วนราชการหรือหน่วยงานของรัฐที่มีหน้าที่และอำนาจตามกฎหมาย ถือเป็นการดำเนินการที่ได้รับยกเว้นไม่ต้องขอความยินยอมจากเจ้าของข้อมูลส่วนบุคคลตาม [มาตรา 24](https://link.pdpalawbase.com/section/24.md) (4) หรือ (6) หรือ [มาตรา 26](https://link.pdpalawbase.com/section/26.md) (5) (ก) ถึง (จ) แล้วแต่กรณี ประกอบ [มาตรา 27](https://link.pdpalawbase.com/section/27.md) วรรคหนึ่ง แห่ง PDPA

นอกจากนี้ บริษัทฯ มีหน้าที่ต้องบันทึกรายการให้ครอบคลุมการใช้หรือเปิดเผยข้อมูลส่วนบุคคล เพื่อให้เป็นไปตาม [มาตรา 27](https://link.pdpalawbase.com/section/27.md) วรรคสาม ประกอบ [มาตรา 39](https://link.pdpalawbase.com/section/39.md) (6) แห่ง PDPA ด้วย

## เอกสารต้นฉบับ

- [PDF ต้นฉบับ (local)](../../raw/opinions/opinion-10-2566.pdf)
- [ที่มา: pdpc.or.th](https://www.pdpc.or.th/wp-content/uploads/2024/02/PDPC-consultation-10.pdf)

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/opinion/10-2566.md

============================================================
โนด: ข้อหารือ 10/2567
ลิงก์อ้างอิง: https://link.pdpalawbase.com/opinion/10-2567.md

# ข้อหารือที่ 10/2567 เรื่อง สมาคมธนาคารไทย ขอหารือการเก็บรวบรวมข้อมูลส่วนบุคคลเกี่ยวกับประวัติอาชญากรรม

## ข้อกฎหมาย

1. พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 
      [มาตรา 4](https://link.pdpalawbase.com/section/4.md) วรรคหนึ่งและวรรคสอง [มาตรา 19](https://link.pdpalawbase.com/section/19.md) วรรคหนึ่ง วรรคสาม และวรรคสี่ [มาตรา 20](https://link.pdpalawbase.com/section/20.md)  
      [มาตรา 21](https://link.pdpalawbase.com/section/21.md) วรรคสอง [มาตรา 23](https://link.pdpalawbase.com/section/23.md) [มาตรา 26](https://link.pdpalawbase.com/section/26.md) (4) และ (5) (ก) และ (จ) [มาตรา 26](https://link.pdpalawbase.com/section/26.md) วรรคสาม  
      [มาตรา 33](https://link.pdpalawbase.com/section/33.md) วรรคห้า [มาตรา 37](https://link.pdpalawbase.com/section/37.md) (3) [มาตรา 73](https://link.pdpalawbase.com/section/73.md) และ [มาตรา 95](https://link.pdpalawbase.com/section/95.md) 
2. พระราชบัญญัติบริษัทมหาชนจำกัด พ.ศ. 2535  
      มาตรา 68 (3) 
3. พระราชบัญญัติธุรกิจสถาบันการเงิน พ.ศ. 2551 
มาตรา 24 (2) และ (10) และมาตรา 58 
4. พระราชบัญญัติป้องกันและปราบปรามการสนับสนุนทางการเงินแก่การก่อการร้ายและการแพร่ขยาย
อาวุธที่มีอานุภาพทำลายล้างสูง พ.ศ. 2559 
5. พระราชกำหนดมาตรการป้องกันและปราบปรามอาชญากรรมทางเทคโนโลยี พ.ศ. 2566 
6. ประกาศธนาคารแห่งประเทศไทย ที่ สนส. 3/2564 เรื่อง หลักเกณฑ์การพิจารณาให้ความเห็นชอบ
การแต่งตั้งกรรมการ ผู้จัดการ ผู้มีอำนาจในการจัดการ หรือที่ปรึกษาของสถาบันการเงิน บริษัทแม่
ของสถาบันการเงิน และบริษัทลูกที่ประกอบธุรกิจทางการเงิน 
ข้อ 5.3.1 (1) (2) และ (3) 
7. ประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง หลักเกณฑ์เกี่ยวกับมาตรการคุ้มครองสำหรับ
การเก็บรวบรวมข้อมูลส่วนบุคคลเกี่ยวกับประวัติอาชญากรรมที่มิได้กระทำภายใต้การควบคุมของ
หน่วยงานที่มีอำนาจหน้าที่ตามกฎหมาย พ.ศ. 2566 
     ข้อ 3 ข้อ 5 และข้อ 9

## ข้อหารือ

สมาคมธนาคารไทยแจ้งว่า ธุรกิจสถาบันการเงินสมาชิกจัดเป็นธุรกิจอันเป็นที่ไว้วางใจ 
ของประชาชน ซึ่งการจัดตั้ง การขอใบอนุญาต และการประกอบธุรกิจของสถาบันการเงินสมาชิกจะอยู่ภายใต้ 
การกำกับดูแลโดยธนาคารแห่งประเทศไทยตามที่พระราชบัญญัติธุรกิจสถาบันการเงิน พ.ศ. 2551 กำหนด  
ผู้ที่จะเป็นพนักงานของสถาบันการเงินสมาชิกจึงมีความจำเป็นที่จะต้องเกี่ยวข้องกับการบริหารจัดการทรัพย์สิน
และการดูแลทรัพย์สินของผู้ฝากเงินหรือเจ้าของบัญชีอย่างไม่อาจหลีกเลี่ยงได้ ดังนั้น การเข้าเป็นพนักงาน 
ของสถาบันการเงินสมาชิกที่มีหน้าที่เกี่ยวข้องกับการบริหารสินทรัพย์ของประชาชนจึงต้องมีความซื่อสัตย์สุจริต
อย่างยิ่งและต้องมีความรับผิดชอบต่อระบบเศรษฐกิจ ในการรับผู้สมัครงานเข้าเป็นพนักงานของสถาบันการเงิน
สมาชิก สถาบันการเงินสมาชิกจึงจำเป็นต้องกำหนดให้ผู้สมัครคัดสำเนาประวัติอาชญากรรมของตนเองมายื่นต่อ
สถาบันการเงินสมาชิกอย่างช้าที่สุดในวันเริ่มทำงานวันแรก หรือลงนามในหนังสือยินยอมให้สถาบันการเงินสมาชิก
ตรวจสอบประวัติอาชญากรรมของผู้สมัครกับกองทะเบียนประวัติอาชญากร สำนักงานตำรวจแห่งชาติ เพื่อใช้ใน
การพิจารณารับบุคคลเข้าทำงาน หรือการตรวจสอบคุณสมบัติ ลักษณะต้องห้าม หรือพิจารณาความเหมาะสม 
ของบุคคลที่จะให้ดำรงตำแหน่ง แต่เนื่องด้วยประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง หลักเกณฑ์
เกี่ยวกับมาตรการคุ้มครองสำหรับการเก็บรวบรวมข้อมูลส่วนบุคคลเกี่ยวกับประวัติอาชญากรรมที่มิได้กระทำ
ภายใต้การควบคุมของหน่วยงานที่มีอำนาจหน้าที่ตามกฎหมาย พ.ศ. 2566 (“ประกาศฯ”) ได้กำหนดหลักเกณฑ์
เกี่ยวกับมาตรการคุ้มครองสำหรับการเก็บรวบรวมข้อมูลส่วนบุคคลเกี่ยวกับประวัติอาชญากรรมที่มิได้กระทำ
ภายใต้การควบคุมของหน่วยงานที่มีอำนาจหน้าที่ตามกฎหมายซึ่งอาจมีผลกระทบต่อแนวทางการดำเนินงาน 
ของสถาบันการเงินสมาชิก ดังนั้น เพื่อให้การดำเนินงานของสถาบันการเงินสมาชิกต่าง ๆ ในการเก็บรวบรวมข้อมูล
ส่วนบุคคลเกี่ยวกับประวัติอาชญากรรมสอดคล้องกับเงื่อนไขที่กำหนดในประกาศฯ และหน้าที่ในฐานะองค์กร 
อันเป็นที่ไว้วางใจของประชาชน สมาคมธนาคารไทยในนามของสถาบันการเงินสมาชิก จึงขอหารือ 
มายังคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เพื่อขอให้ตีความและวินิจฉัยชี้ขาดปัญหาที่เกิดจากการบังคับใช้
ประกาศฯ ฉบับดังกล่าวเพื่อประโยชน์ของสมาชิกในการปฏิบัติให้สอดคล้องกับกฎหมายที่เกี่ยวข้องใน 5 ประเด็น

## ความเห็น

คณะอนุกรรมการตอบข้อหารือและให้คำแนะนำในการปฏิบัติตามกฎหมายว่าด้วยการคุ้มครอง
ข้อมูลส่วนบุคคล ในคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล พิจารณาแล้วมีความเห็นในแต่ละประเด็น ดังนี้ 
ประเด็นที่ 1 ความหมายของ “ข้อมูลส่วนบุคคลเกี่ยวกับประวัติอาชญากรรม” 
1.1 การจัดเก็บเอกสารต้นฉบับหรือสำเนาเอกสารจากกองทะเบียนประวัติอาชญากร สำนักงาน
ตำรวจแห่งชาติ หรือหน่วยงานที่มีอำนาจหน้าที่ตามกฎหมาย ในกรณีดังต่อไปนี้ 
 (ก) หากเอกสารดังกล่าวมีการบันทึกว่า “ไม่พบประวัติอาชญากรรม” หรือข้อความอื่นในทำนอง
เดียวกัน เอกสารดังกล่าวถือว่าเป็นข้อมูลส่วนบุคคลเกี่ยวกับประวัติอาชญากรรมตามประกาศฯ หรือไม่ 
บทนิยามตามข้อ 3 ของประกาศฯ ซึ่งออกตามความใน [มาตรา 26](https://link.pdpalawbase.com/section/26.md) วรรคสาม แห่งพระราชบัญญัติ
คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 กำหนดให้ข้อมูลส่วนบุคคลเกี่ยวกับประวัติอาชญากรรม หมายความถึง 
ข้อมูลส่วนบุคคลเกี่ยวกับการสืบสวนสอบสวนการกระทำความผิดอาญา การดำเนินคดีอาญา หรือการรับโทษทาง
อาญาที่เป็นข้อมูลที่เป็นทางการหรือรับรองโดยหน่วยงานของรัฐที่มีอำนาจหน้าที่ตามกฎหมายเกี่ยวกับการ
ดำเนินการดังกล่าว ทั้งนี้ ไม่ว่าการดำเนินการนั้นจะถึงที่สุดแล้วหรือไม่ก็ตาม ดังนั้น การจัดเก็บเอกสารต้นฉบับ 
หรือสำเนาเอกสารจากกองทะเบียนประวัติอาชญากร สำนักงานตำรวจแห่งชาติ หรือหน่วยงานที่มีอำนาจหน้าที่
ตามกฎหมาย ที่ระบุว่า “ไม่พบประวัติอาชญากรรม” หรือข้อความอื่นในทำนองเดียวกัน โดยไม่มีการเชื่อมโยง 
หรืออาจเชื่อมโยงไปยังข้อมูลส่วนบุคคลอื่นใดที่เกี่ยวกับการสืบสวนสอบสวนการกระทำความผิดอาญา การดำเนิน
คดีอาญา หรือการรับโทษทางอาญา จึงไม่ถือเป็นการเก็บรวบรวมข้อมูลส่วนบุคคลเกี่ยวกับประวัติอาชญากรรม 
ตามประกาศนี้ และ [มาตรา 26](https://link.pdpalawbase.com/section/26.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 
(ข) หากเอกสารดังกล่าวมีการบันทึกว่า “โจทก์ถอนฟ้อง” / “อัยการสั่งไม่ฟ้อง” / “พิพากษา 
ให้รอลงอาญา” / “อยู่ระหว่างการอุทธรณ์” หรือข้อความอื่นในทำนองเดียวกัน เอกสารดังกล่าวถือว่าเป็นข้อมูล
ส่วนบุคคลเกี่ยวกับประวัติอาชญากรรมตามประกาศฯ หรือไม่ 
เนื่องจากข้อเท็จจริงดังกล่าวปรากฏข้อมูลส่วนบุคคลที่เกี่ยวข้องกับการถอนฟ้อง การสั่งไม่ฟ้อง 
การดำเนินการที่อยู่ในกระบวนพิจารณาคดี หรือการรับโทษ หากเป็นกรณีที่เกี่ยวกับการกระทำความผิดอาญา 
คดีอาญา หรือโทษทางอาญา ย่อมถือเป็นส่วนหนึ่งของการสืบสวนสอบสวนการกระทำความผิดอาญา การดำเนิน
คดีอาญา หรือการรับโทษทางอาญา ตามบทนิยามของคำว่า “ข้อมูลส่วนบุคคลเกี่ยวกับประวัติอาชญากรรม”  
ในข้อ 3 ของประกาศฯ ดังนั้น การจัดเก็บเอกสารต้นฉบับหรือสำเนาเอกสารจากกองทะเบียนประวัติอาชญากร 
สำนักงานตำรวจแห่งชาติ หรือหน่วยงานที่มีอำนาจหน้าที่ตามกฎหมายในกรณีดังกล่าว จึงถือเป็นการเก็บรวบรวม
ข้อมูลส่วนบุคคลเกี่ยวกับประวัติอาชญากรรมตามประกาศนี้ 
1.2 ในกรณีที่หน่วยงานมีการนำข้อมูลส่วนบุคคลเกี่ยวกับประวัติอาชญากรรมมาบันทึกในระบบ
ของสถาบันการเงินสมาชิกว่าพนักงานรายนั้น ๆ “พบประวัติอาชญากรรม” หรือ “ไม่พบประวัติอาชญากรรม” 
หรือ “ผ่านกระบวนการตรวจประวัติอาชญากรรมเรียบร้อยแล้ว” หรือ “ผ่านการตรวจคุณสมบัติเรียบร้อยแล้ว” 
โดยไม่ได้ให้รายละเอียดใด ๆ เพิ่มเติมเกี่ยวกับพฤติกรรมการกระทำความผิดหรือบทกำหนดโทษ การบันทึก 
ลงระบบในลักษณะดังกล่าวข้างต้น ถือว่าเป็นข้อมูลส่วนบุคคลเกี่ยวกับประวัติอาชญากรรมตามประกาศฯ หรือไม่ 
การที่หน่วยงานที่เป็นผู้ควบคุมข้อมูลส่วนบุคคลนำข้อมูลส่วนบุคคลที่เป็นข้อมูลที่เป็นทางการ
หรือรับรองโดยหน่วยงานของรัฐที่มีอำนาจหน้าที่ตามกฎหมาย มาบันทึกในระบบของสถาบันการเงินสมาชิกว่า
พนักงานรายใดพบประวัติอาชญากรรมหรือไม่ หรือผ่านกระบวนการตรวจสอบประวัติอาชญากรรมแล้วหรือไม่ 
โดยไม่ได้ให้รายละเอียดใด ๆ เพิ่มเติมเกี่ยวกับข้อเท็จจริงและพฤติการณ์ในการกระทำความผิดหรือการรับโทษ 
อาจพิจารณาได้เป็น 2 กรณี ดังนี้ 
(1) สำหรับการบันทึกว่าพบประวัติอาชญากรรม หรือข้อความอื่นในทำนองเดียวกัน แม้ไม่ได้
ปรากฏข้อเท็จจริงและพฤติการณ์ในการกระทำความผิดอาญาหรือการรับโทษทางอาญา ก็ถือได้ว่าเป็นการเก็บ
รวบรวมข้อมูลส่วนบุคคลเกี่ยวกับประวัติอาชญากรรมตามประกาศนี้แล้ว เนื่องจากเป็นข้อมูลส่วนบุคคล 
ตามบทนิยามตามข้อ 3 ของประกาศฯ 
(2) สำหรับการบันทึกว่าไม่พบประวัติอาชญากรรม หรือผ่านกระบวนการตรวจประวัติ
อาชญากรรมเรียบร้อยแล้ว หรือผ่านการตรวจคุณสมบัติเรียบร้อยแล้ว หรือข้อความอื่นในทำนองเดียวกัน  
โดยไม่มีการเชื่อมโยงหรืออาจเชื่อมโยงไปยังข้อมูลส่วนบุคคลอื่นใดที่เกี่ยวกับการสืบสวนสอบสวนการกระทำ
ความผิดอาญา การดำเนินคดีอาญา หรือการรับโทษทางอาญา ข้อมูลส่วนบุคคลดังกล่าวไม่ถือเป็นข้อมูล 
ส่วนบุคคลเกี่ยวกับประวัติอาชญากรรมตามประกาศนี้ ตามที่ได้ให้ความเห็นไว้ในประเด็นที่ 1.1 (ก) 
 ประเด็นที่ 2 ขอบเขตการใช้บังคับของประกาศฯ ในเชิงเงื่อนเวลา 
 2.1 ข้อมูลส่วนบุคคลเกี่ยวกับประวัติอาชญากรรมที่เก็บรวบรวมมาก่อนวันที่ประกาศฯ  
จะมีผลใช้บังคับ สถาบันการเงินสมาชิกมีหน้าที่ต้องดำเนินการตามเงื่อนไขต่าง ๆ ที่กำหนดในประกาศฯ หรือไม่ 
อาทิ ระยะเวลาการจัดเก็บไม่เกิน 6 เดือน (ในกรณีที่สถาบันการเงินสมาชิกไม่มีบทบัญญัติแห่งกฎหมายใดบัญญัติ
ไว้เป็นการเฉพาะ และไม่มีความจำเป็นตามกฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคล ในการเก็บรวบรวมข้อมูล
ส่วนบุคคลเกี่ยวกับประวัติอาชญากรรมตามที่กำหนดไว้ในข้อ 9 ของประกาศฯ)   
 กรณีที่สถาบันการเงินสมาชิกได้เก็บรวบรวมข้อมูลส่วนบุคคลเกี่ยวกับประวัติอาชญากรรม 
ก่อนวันที่ประกาศฯ จะมีผลใช้บังคับ ซึ่งข้อมูลเหล่านี้ถูกจัดเก็บอยู่ในคลังเอกสารและไม่ได้ถูกนำออกมาใช้อีกเลย 
และเมื่อประกาศฯ มีผลใช้บังคับแล้ว ขอหารือว่าสถาบันการเงินสมาชิกมีความจำเป็นต้องดำเนินการลบ 
หรือทำลายข้อมูลส่วนบุคคลเกี่ยวกับประวัติอาชญากรรมเหล่านี้ที่ครบหรือเกินกว่าระยะเวลา 6 เดือนทันทีหรือไม่ 
2.2 ในกรณีที่สถาบันการเงินสมาชิกมีหน้าที่ต้องปฏิบัติตามข้อ 9 ของประกาศฯ ระยะเวลา 6 
เดือน ให้นับแต่วันที่ประกาศฯ มีผลใช้บังคับ (ข้อมูลส่วนบุคคลเก็บรวบรวมมาก่อนวันที่ประกาศฯ จะมีผลใช้บังคับ) 
หรือให้นับจากวันที่ข้อมูลส่วนบุคคลเกี่ยวกับประวัติอาชญากรรมดังกล่าวไม่มีความจำเป็นตามกฎหมายว่าด้วยการ
คุ้มครองข้อมูลส่วนบุคคลในการเก็บรวบรวมข้อมูลส่วนบุคคลเกี่ยวกับประวัติอาชญากรรมเพื่อการดำเนินการ 
ตามข้อ 5 วรรคหนึ่ง 
สำหรับประเด็นข้อหารือที่ 2.1 และที่ 2.2 เกี่ยวกับข้อมูลส่วนบุคคลเกี่ยวกับประวัติอาชญากรรม
ที่ได้เก็บรวบรวมมาก่อนวันที่ประกาศฯ ใช้บังคับ อาจแยกพิจารณาได้เป็น 2 กรณี ดังนี้ 
 (1) กรณีข้อมูลส่วนบุคคลเกี่ยวกับประวัติอาชญากรรมที่ได้เก็บรวบรวมไว้ก่อนวันที่
พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ใช้บังคับ ซึ่งผู้ควบคุมข้อมูลส่วนบุคคลสามารถเก็บรวบรวม
และใช้ข้อมูลส่วนบุคคลนั้นต่อไปได้ตามวัตถุประสงค์เดิมตาม [มาตรา 95](https://link.pdpalawbase.com/section/95.md) วรรคหนึ่ง แห่งพระราชบัญญัติคุ้มครอง
ข้อมูลส่วนบุคคล พ.ศ. 2562 แต่การเปิดเผยและการดำเนินการอื่นที่มิใช่การเก็บรวบรวมและการใช้ข้อมูล 
ส่วนบุคคล ต้องเป็นไปตามบทบัญญัติแห่งพระราชบัญญัตินี้ ตาม [มาตรา 95](https://link.pdpalawbase.com/section/95.md) วรรคสอง ดังนั้น ผู้ควบคุมข้อมูล 
ส่วนบุคคลจึงมีหน้าที่ในการจัดให้มีระบบการตรวจสอบเพื่อดำเนินการลบหรือทำลายข้อมูลส่วนบุคคลดังกล่าวเมื่อ
พ้นกำหนดระยะเวลาการเก็บรักษาตาม [มาตรา 37](https://link.pdpalawbase.com/section/37.md) (3) ด้วย โดยระยะเวลาการเก็บรักษาข้อมูลส่วนบุคคลเกี่ยวกับ
ประวัติอาชญากรรมย่อมเป็นไปตามข้อ 9 ของประกาศฯ ซึ่งกำหนดว่า สำหรับการเก็บรวบรวมข้อมูลส่วนบุคคล
นั้นเพื่อการดำเนินการตามวัตถุประสงค์ในข้อ 5 วรรคหนึ่งของประกาศฯ หากไม่มีบทบัญญัติแห่งกฎหมาย 
ใดบัญญัติไว้เป็นการเฉพาะ และไม่มีความจำเป็นตามกฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคล ตลอดจน 
ไม่ได้รับความยินยอมโดยชัดแจ้งจากเจ้าของข้อมูลส่วนบุคคลเป็นอย่างอื่น ให้เก็บรวบรวมไว้ได้อีกไม่เกิน 6 เดือน 
นับแต่วันที่การดำเนินการดังกล่าวเสร็จสิ้นสำหรับเจ้าของข้อมูลส่วนบุคคลแต่ละรายตามวัตถุประสงค์ 
และความจำเป็นในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล อย่างไรก็ตาม เนื่องจากการเก็บรวบรวม
ข้อมูลส่วนบุคคลดังกล่าวเกิดขึ้นก่อนวันที่ประกาศดังกล่าวมีผลใช้บังคับ (วันที่ 7 เมษายน 2567) ข้อกำหนด 
ในเรื่องระยะเวลาการเก็บรักษาข้อมูลส่วนบุคคลเกี่ยวกับประวัติอาชญากรรมตามประกาศดังกล่าวจะต้องไม่มีผล
ย้อนหลังเป็นโทษแก่ผู้ควบคุมข้อมูลส่วนบุคคล ดังนั้น ระยะเวลา 6 เดือนดังกล่าว จึงเริ่มนับแต่วันที่ประกาศฯ  
มีผลใช้บังคับเป็นต้นไป 
(2) กรณีข้อมูลส่วนบุคคลเกี่ยวกับประวัติอาชญากรรมที่เก็บรวบรวมมาเมื่อพระราชบัญญัติ
คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ใช้บังคับแล้ว แต่ก่อนที่ประกาศฯ จะมีผลใช้บังคับ การดำเนินการเกี่ยวกับ
ข้อมูลส่วนบุคคล รวมถึงระยะเวลาการเก็บรักษาข้อมูลส่วนบุคคลจะอยู่ภายใต้บังคับแห่งพระราชบัญญัติดังกล่าว 
โดยข้อมูลส่วนบุคคลเกี่ยวกับประวัติอาชญากรรมดังกล่าวที่เก็บรวบรวมมาเพื่อดำเนินการตามวัตถุประสงค์ 
ตามข้อ 5 วรรคหนึ่งของประกาศฯ หากไม่มีบทบัญญัติแห่งกฎหมายใดบัญญัติไว้เป็นการเฉพาะ และไม่มี 
ความจำเป็นตามกฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคล ตลอดจนไม่ได้รับความยินยอมโดยชัดแจ้งจาก
เจ้าของข้อมูลส่วนบุคคลเป็นอย่างอื่น จะอยู่ภายใต้เงื่อนไขระยะเวลาตามข้อ 9 ด้วย กล่าวคือ ให้เก็บรวบรวมไว้ได้
อีกไม่เกิน 6 เดือน นับแต่วันที่การดำเนินการดังกล่าวเสร็จสิ้นสำหรับเจ้าของข้อมูลส่วนบุคคลแต่ละราย 
ตามวัตถุประสงค์และความจำเป็นในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล อย่างไรก็ตาม เนื่องจากการ
เก็บรวบรวมข้อมูลส่วนบุคคลดังกล่าวเกิดขึ้นก่อนวันที่ประกาศดังกล่าวมีผลใช้บังคับ (วันที่ 7 เมษายน 2567) 
ระยะเวลา 6 เดือนดังกล่าว จึงเริ่มนับแต่วันที่ประกาศฯ มีผลใช้บังคับเป็นต้นไปเช่นเดียวกับกรณีตาม (1) 
ทั้งนี้ ผู้ควบคุมข้อมูลส่วนบุคคลมีหน้าที่จัดให้มีระบบการตรวจสอบเพื่อดำเนินการลบ 
หรือทำลายข้อมูลส่วนบุคคลเมื่อพ้นกำหนดระยะเวลาการเก็บรักษา หรือที่ไม่เกี่ยวข้องหรือเกินความจำเป็น 
ตามวัตถุประสงค์ในการเก็บรวบรวมข้อมูลส่วนบุคคลนั้น หรือตามที่เจ้าของข้อมูลส่วนบุคคลร้องขอ หรือที่เจ้าของ
ข้อมูลส่วนบุคคลได้ถอนความยินยอม เว้นแต่เก็บรักษาไว้เพื่อวัตถุประสงค์ที่กำหนดไว้ใน [มาตรา 37](https://link.pdpalawbase.com/section/37.md) (3)  
แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 โดยในการดำเนินการลบหรือทำลาย หรือทำให้ข้อมูล
ส่วนบุคคลเป็นข้อมูลที่ไม่สามารถระบุตัวบุคคลที่เป็นเจ้าของข้อมูลส่วนบุคคลได้ ให้ปฏิบัติตามประกาศ
คณะกรรมการคุ้มครองข้อมูลส่วนบุคคลที่ออกตามความใน [มาตรา 33](https://link.pdpalawbase.com/section/33.md) วรรคห้าโดยอนุโลม 
ประเด็นที่ 3 ขอบเขตการใช้บังคับในเชิงวัตถุประสงค์ 
 3.1 ตามประกาศฯ ข้อ 5 กำหนดให้ผู้ควบคุมข้อมูลส่วนบุคคลจะเก็บรวบรวมข้อมูล 
ส่วนบุคคลเกี่ยวกับประวัติอาชญากรรมได้เฉพาะกรณีที่เป็นไปเพื่อวัตถุประสงค์ตามข้อ 5 (1) (2) (3)  
แต่หากการเก็บรวบรวมข้อมูลส่วนบุคคลเกี่ยวกับประวัติอาชญากรรมไม่ได้เป็นไปเพื่อวัตถุประสงค์ดังกล่าวข้างต้น 
สถาบันการเงินสมาชิกจะสามารถดำเนินการได้หรือไม่ และการดำเนินการเพื่อวัตถุประสงค์นั้นอยู่ในบังคับ 
ของหน้าที่ต่าง ๆ ตามประกาศฯ หรือไม่ อาทิ สถาบันการเงินสมาชิกทำการเก็บรวบรวมข้อมูลส่วนบุคคลเกี่ยวกับ
ประวัติอาชญากรรมเพื่อการก่อตั้งสิทธิเรียกร้องหรือการฟ้องร้องดำเนินคดีทุจริตของพนักงาน เป็นต้น 
ข้อมูลส่วนบุคคลเกี่ยวกับประวัติอาชญากรรมเป็นข้อมูลส่วนบุคคลตาม [มาตรา 26](https://link.pdpalawbase.com/section/26.md)  
แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 การเก็บรวบรวมข้อมูลส่วนบุคคลดังกล่าวจึงต้อง
พิจารณาฐานทางกฎหมายให้สอดคล้องกับ [มาตรา 26](https://link.pdpalawbase.com/section/26.md) วรรคหนึ่ง โดยหากไม่ใช่กรณีที่เป็นข้อยกเว้นตาม (1)  
ถึง (5) (ก) (ข) (ค) (ง) หรือ (จ) จะต้องได้รับความยินยอมโดยชัดแจ้งจากเจ้าของข้อมูลส่วนบุคคล  
ซึ่งวัตถุประสงค์ตามที่กำหนดไว้ในข้อ 5 วรรคหนึ่ง (1) (2) และ (3) ของประกาศฯ เป็นเพียงวัตถุประสงค์ 
ที่ถูกกำหนดขึ้นอย่างเฉพาะเจาะจงเพื่อให้ผู้ควบคุมข้อมูลส่วนบุคคลมีหน้าที่ปฏิบัติตามมาตรการคุ้มครอง  
เฉพาะสำหรับกรณีที่เป็นการเก็บรวบรวมข้อมูลส่วนบุคคลเกี่ยวกับประวัติอาชญากรรมเพื่อวัตถุประสงค์ดังกล่าว
เท่านั้น ทั้งนี้ ตามความในข้อ 5 วรรคหนึ่งของประกาศนี้ 
ดังนั้น การเก็บรวบรวมข้อมูลส่วนบุคคลเกี่ยวกับประวัติอาชญากรรมที่เป็นไปตามพระราชบัญญัติ
คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 จึงไม่ได้จำกัดวัตถุประสงค์แต่เพียงตามที่ระบุในข้อ 5 วรรคหนึ่ง 
ของประกาศดังกล่าวเท่านั้น แต่ต้องเป็นไปตามหลักการของการเก็บรวบรวมข้อมูลส่วนบุคคลภายใต้วัตถุประสงค์
อันชอบด้วยกฎหมายของผู้ควบคุมข้อมูลส่วนบุคคลตามที่พระราชบัญญัตินี้กำหนด การเก็บรวบรวมข้อมูล 
ส่วนบุคคลเกี่ยวกับประวัติอาชญากรรมจึงสามารถกระทำได้แม้ไม่ได้เป็นไปตามวัตถุประสงค์ที่ระบุไว้ในข้อ 5  
วรรคหนึ่ง (1) (2) และ (3) ของประกาศฯ และหากวัตถุประสงค์ดังกล่าวไม่ได้เป็นวัตถุประสงค์ตามที่ระบุไว้ 
ในข้อ 5 ดังกล่าว ก็จะไม่ต้องปฏิบัติตามหลักเกณฑ์เรื่องระยะเวลาในการเก็บรวบรวมข้อมูลส่วนบุคคลเกี่ยวกับ
ประวัติอาชญากรรมตามข้อ 9 ของประกาศแต่อย่างใด แต่ผู้ควบคุมข้อมูลส่วนบุคคลมีหน้าที่จัดให้มีระบบ 
การตรวจสอบเพื่อดำเนินการลบหรือทำลายข้อมูลส่วนบุคคลตามที่กำหนดไว้ใน [มาตรา 37](https://link.pdpalawbase.com/section/37.md) (3)  
แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 และมีหน้าที่ปฏิบัติให้สอดคล้องกับบทบัญญัติอื่น ๆ 
ของพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ด้วย 
3.2 หากในขณะที่ทำการเก็บรวบรวมข้อมูลส่วนบุคคลเกี่ยวกับประวัติอาชญากรรม  
สถาบันการเงินสมาชิกดำเนินการเพื่อบรรลุวัตถุประสงค์ตามข้อ 5 (1) (2) (3) ของประกาศฯ แล้วแต่กรณี  
แต่ต่อมาต้องการเปลี่ยนแปลงวัตถุประสงค์การใช้หรือการเปิดเผยซึ่งไม่สอดคล้องกับวัตถุประสงค์ตามข้อ 5 (1) 
(2) (3) ของประกาศฯ กรณีนี้สถาบันการเงินสมาชิกจะต้องดำเนินการอย่างไรให้สอดคล้องกับหน้าที่ 
ตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562  และประกาศฯ ฉบับดังกล่าว 
ในกรณีที่ผู้ควบคุมข้อมูลส่วนบุคคลประสงค์จะเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล
เกี่ยวกับประวัติอาชญากรรมในวัตถุประสงค์ที่แตกต่างไปจากวัตถุประสงค์เดิมที่ได้แจ้งเจ้าของข้อมูลส่วนบุคคลไว้
ก่อนหรือในขณะที่เก็บรวบรวม ผู้ควบคุมข้อมูลส่วนบุคคลจะต้องพิจารณาฐานทางกฎหมายในการเก็บรวบรวม
ข้อมูลส่วนบุคคลให้เป็นไปตาม [มาตรา 26](https://link.pdpalawbase.com/section/26.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 และจะต้อง
แจ้งวัตถุประสงค์ใหม่นั้นและรายละเอียดตาม [มาตรา 23](https://link.pdpalawbase.com/section/23.md) ให้เจ้าของข้อมูลส่วนบุคคลทราบและได้รับความยินยอม
ก่อนตาม [มาตรา 21](https://link.pdpalawbase.com/section/21.md) วรรคสอง (1) เว้นแต่กรณีที่บทบัญญัติแห่งพระราชบัญญัตินี้หรือกฎหมายอื่นบัญญัติให้
สามารถเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลที่เกี่ยวกับประวัติอาชญากรรมได้ ผู้ควบคุมข้อมูลส่วนบุคคล
ก็สามารถเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลเกี่ยวกับประวัติอาชญากรรมนั้นได้ตาม [มาตรา 21](https://link.pdpalawbase.com/section/21.md)  
วรรคสอง (2) อย่างไรก็ตาม ผู้ควบคุมข้อมูลส่วนบุคคลมีหน้าที่ปฏิบัติให้สอดคล้องกับบทบัญญัติต่าง ๆ  
ของพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ด้วย 
นอกจากนี้ ผู้ควบคุมข้อมูลส่วนบุคคลมีหน้าที่ดำเนินการให้เป็นไปตามประกาศฯ ด้วย  
และหากวัตถุประสงค์ใหม่เป็นไปตามวัตถุประสงค์ที่ระบุไว้ในข้อ 5 วรรคหนึ่ง (1) (2) หรือ (3) ของประกาศฯ 
จะต้องปฏิบัติตามข้อ 5 และข้อ 9 ของประกาศนี้ด้วย โดยในกรณีดังกล่าว ระยะเวลาการเก็บรวบรวมข้อมูล 
ส่วนบุคคลเกี่ยวกับประวัติอาชญากรรมตามข้อ 9 ของประกาศฯ ย่อมเริ่มนับใหม่เมื่อการดำเนินการ 
ตามวัตถุประสงค์ใหม่นั้นเสร็จสิ้นสำหรับเจ้าของข้อมูลส่วนบุคคลแต่ละราย 
ประเด็นที่ 4 ฐานทางกฎหมายตาม [มาตรา 26](https://link.pdpalawbase.com/section/26.md) ในการเก็บรวบรวมข้อมูลส่วนบุคคลเกี่ยวกับ
ประวัติอาชญากรรม 
 4.1 เพื่อบรรลุวัตถุประสงค์ตามข้อ 5 (1), (2), (3) ของประกาศฯ สถาบันการเงินสมาชิก
สามารถใช้ฐานทางกฎหมายอื่น ๆ ตามที่กำหนดไว้ใน [มาตรา 26](https://link.pdpalawbase.com/section/26.md) โดยไม่ต้องขอความยินยอมได้หรือไม่ ดังนี้ 
(ก) ฐานประโยชน์สาธารณะที่สำคัญตาม [มาตรา 26](https://link.pdpalawbase.com/section/26.md) (5) (จ) เนื่องจากธุรกิจสถาบันการเงิน
สมาชิกเป็นธุรกิจที่ถูกกำกับดูแลและมีความสำคัญต่อความมั่นคงทางการเงินและระบบเศรษฐกิจของประเทศ 
ความเชื่อมั่นของผู้ฝากเงินในระบบสถาบันการเงินสมาชิกจึงมีความสำคัญอย่างยิ่ง พนักงานหรือบุคลากร 
ของสถาบันการเงินสมาชิกทุกแห่งจึงจำเป็นต้องถูกตรวจสอบประวัติอาชญากรรมเพื่อสร้างและธำรงไว้ 
ซึ่งความเชื่อมั่นของผู้ใช้บริการในระบบสถาบันการเงินสมาชิก 
(ข) ฐานประโยชน์สาธารณะที่สำคัญตาม [มาตรา 26](https://link.pdpalawbase.com/section/26.md) (5) (จ) ในกรณีที่ธนาคารแห่งประเทศไทย 
หรือหน่วยงานบังคับใช้กฎหมาย หน่วยงานกำกับดูแล หรือมีกฎหมายกำหนดคุณสมบัติหรือลักษณะต้องห้าม
เฉพาะตำแหน่ง อาทิ พระราชบัญญัติบริษัทมหาชนจำกัด พ.ศ. 2535 มาตรา 68 (3) ซึ่งกำหนดให้กรรมการ 
ต้องไม่เคยรับโทษจำคุกโดยคำพิพากษาถึงที่สุดให้จำคุกในความผิดเกี่ยวกับทรัพย์ที่ได้กระทำโดยทุจริต  
หรือตามประกาศธนาคารแห่งประเทศไทย ที่ สนส. 3/2564 เรื่อง หลักเกณฑ์การพิจารณาให้ความเห็นชอบการ
แต่งตั้งกรรมการ ผู้จัดการ ผู้มีอำนาจในการจัดการ หรือที่ปรึกษาของสถาบันการเงินสมาชิก บริษัทแม่ของสถาบัน
การเงินสมาชิก และบริษัทลูกที่ประกอบธุรกิจทางการเงิน ข้อ 5.3.1 (1) (2) (3) ซึ่งกำหนดให้กรรมการ ผู้จัดการ 
ผู้มีอำนาจในการจัดการ หรือที่ปรึกษาของสถาบันการเงินสมาชิก บริษัทแม่ของสถาบันการเงินสมาชิก และบริษัท
ลูกที่ประกอบธุรกิจทางการเงิน จะต้องไม่เคยได้รับโทษจำคุกโดยคำพิพากษาถึงที่สุดให้จำคุกในความผิดตามที่
ประกาศธนาคารแห่งประเทศไทยกำหนด เป็นต้น 
(ค) ฐานการประเมินความสามารถในการทำงานของลูกจ้างตาม [มาตรา 26](https://link.pdpalawbase.com/section/26.md) (5) (ก)  
หากมีการกำหนดคุณสมบัติเฉพาะตำแหน่งนั้น ๆ โดยสถาบันการเงินสมาชิกว่าพนักงานหรือบุคลากร 
ต้องไม่เป็นผู้เคยได้รับโทษจำคุกโดยคำพิพากษาถึงที่สุดให้จำคุกสำหรับความผิดเกี่ยวกับทรัพย์ หรือความผิด 
ตามกฎหมายว่าด้วยการพนัน หรือความผิดตามกฎหมายเกี่ยวกับยาเสพติด เว้นแต่เป็นโทษสำหรับความผิดที่ได้
กระทำโดยประมาทหรือความผิดลหุโทษ หรือพ้นโทษมาแล้วไม่น้อยกว่าสามปีก่อนวันสมัครงาน เป็นต้น 
กรณีที่หารือตามประเด็นที่ 4.1 (ก) ที่เป็นการจำเป็นในการปฏิบัติตามกฎหมายเพื่อให้บรรลุ
วัตถุประสงค์เกี่ยวกับประโยชน์สาธารณะที่สำคัญตาม [มาตรา 26](https://link.pdpalawbase.com/section/26.md) (5) (จ) แห่งพระราชบัญญัติคุ้มครองข้อมูล 
ส่วนบุคคล พ.ศ. 2562 จะต้องเป็นกรณีที่มีกฎหมายกำหนดหน้าที่หรือเงื่อนไขในการปฏิบัติไว้ ซึ่งเป็นไปเพื่อให้
บรรลุวัตถุประสงค์ที่เกี่ยวกับประโยชน์สาธารณะที่สำคัญ และการปฏิบัติตามกฎหมายดังกล่าวของผู้ควบคุมข้อมูล
ส่วนบุคคลจำเป็นจะต้องมีการเก็บรวบรวมข้อมูลส่วนบุคคลดังกล่าว ไม่เช่นนั้นจะไม่สามารถปฏิบัติให้เป็นไป 
ตามกฎหมายนั้นได้ ดังนั้น หากผู้ควบคุมข้อมูลส่วนบุคคลจะใช้ฐานทางกฎหมายตาม [มาตรา 26](https://link.pdpalawbase.com/section/26.md) (5) (จ) ในการ
เก็บรวบรวมข้อมูลส่วนบุคคลเกี่ยวกับประวัติอาชญากรรมโดยไม่ได้รับความยินยอมโดยชัดแจ้งจากเจ้าของข้อมูล
ส่วนบุคคล เนื่องจากเห็นว่าธุรกิจสถาบันการเงินสมาชิกเป็นธุรกิจที่มีความสำคัญต่อความมั่นคงทางการเงิน 
และระบบเศรษฐกิจของประเทศ ความเชื่อมั่นของผู้ฝากเงินในระบบสถาบันการเงินสมาชิกมีความสำคัญอย่างยิ่ง 
อันเป็นประโยชน์สาธารณะที่สำคัญ จึงจำเป็นต้องตรวจสอบประวัติอาชญากรรมของพนักงานหรือบุคลากร 
ของสถาบันการเงินสมาชิกเพื่อสร้างและธำรงไว้ซึ่งความเชื่อมั่นของผู้ใช้บริการในระบบสถาบันการเงินสมาชิก 
จะต้องมีกฎหมายกำหนดให้ผู้ควบคุมข้อมูลส่วนบุคคลต้องดำเนินการตรวจสอบประวัติอาชญากรรมของพนักงาน
หรือบุคลากรของสถาบันการเงินสมาชิก เพื่อให้บรรลุวัตถุประสงค์ในการสร้างและธำรงไว้ซึ่งความเชื่อมั่น 
ของผู้ใช้บริการในระบบสถาบันการเงินสมาชิก จึงจะถือเป็นกรณีที่เป็นการจำเป็นในการปฏิบัติตามกฎหมาย 
เพื่อให้บรรลุวัตถุประสงค์เกี่ยวกับประโยชน์สาธารณะที่สำคัญตาม [มาตรา 26](https://link.pdpalawbase.com/section/26.md) (5) (จ) 
สำหรับประเด็นที่หารือตาม 4.1 (ข) นั้น หากเป็นกรณีที่สถาบันการเงินสมาชิกมีความจำเป็นต้อง
ปฏิบัติตามบทบัญญัติแห่งกฎหมาย เช่น มาตรา 68 (3) แห่งพระราชบัญญัติบริษัทมหาชนจำกัด พ.ศ. 2535  
ซึ่งกำหนดให้กรรมการของบริษัทมหาชนจำกัดต้องไม่เคยรับโทษจำคุกโดยคำพิพากษาถึงที่สุดให้จำคุกในความผิด
เกี่ยวกับทรัพย์ที่ได้กระทำโดยทุจริต หรือมาตรา 24 (2) และ (10) และมาตรา 58 แห่งพระราชบัญญัติธุรกิจ
สถาบันการเงิน พ.ศ. 2551 ประกอบประกาศธนาคารแห่งประเทศไทย ที่ สนส. 3/2564 เรื่อง หลักเกณฑ์ 
การพิจารณาให้ความเห็นชอบการแต่งตั้งกรรมการ ผู้จัดการ ผู้มีอำนาจในการจัดการ หรือที่ปรึกษาของสถาบัน
การเงิน บริษัทแม่ของสถาบันการเงิน และบริษัทลูกที่ประกอบธุรกิจทางการเงิน ข้อ 5.3.1 (1) (2) และ (3)  
ซึ่งกำหนดให้กรรมการ ผู้จัดการ ผู้มีอำนาจในการจัดการ หรือที่ปรึกษาของสถาบันการเงิน บริษัทแม่ของสถาบัน
การเงิน และบริษัทลูกที่ประกอบธุรกิจทางการเงิน จะต้องไม่เคยได้รับโทษจำคุกโดยคำพิพากษาถึงที่สุดให้จำคุก 
ในความผิดตามที่กำหนด อันเป็นมาตรการในการกำกับดูแลสถาบันการเงินให้มีประสิทธิภาพและส่งเสริม 
ความเชื่อมั่นของประชาชนและผู้ฝากเงินที่มีต่อระบบสถาบันการเงินโดยรวม การเก็บรวบรวมข้อมูลส่วนบุคคล
เกี่ยวกับประวัติอาชญากรรมเพื่อวัตถุประสงค์ในการตรวจสอบคุณสมบัติ ลักษณะต้องห้าม หรือพิจารณา 
ความเหมาะสมของบุคคลที่จะให้ดำรงตำแหน่งที่มีเงื่อนไขดังกล่าว ก็ย่อมถือได้ว่าเป็นการจำเป็นในการปฏิบัติ 
ตามกฎหมายเพื่อให้บรรลุวัตถุประสงค์เกี่ยวกับประโยชน์สาธารณะที่สำคัญ ตาม [มาตรา 26](https://link.pdpalawbase.com/section/26.md) (5) (จ) จึงไม่ต้องได้รับ
ความยินยอมโดยชัดแจ้งจากเจ้าของข้อมูลส่วนบุคคล 
กรณีตามประเด็นที่ 4.1 (ค) กรณีที่จะถือว่าเป็นการจำเป็นในการปฏิบัติตามกฎหมาย 
เพื่อให้บรรลุวัตถุประสงค์เกี่ยวกับการประเมินความสามารถในการทำงานของลูกจ้างตาม [มาตรา 26](https://link.pdpalawbase.com/section/26.md) (5) (ก) 
จะต้องเป็นกรณีที่มีกฎหมายกำหนดหน้าที่หรือเงื่อนไขในการปฏิบัติไว้ ซึ่งเป็นไปเพื่อให้บรรลุวัตถุประสงค์ 
ที่เกี่ยวกับการประเมินความสามารถในการทำงานของลูกจ้าง และการปฏิบัติตามกฎหมายดังกล่าว 
ของผู้ควบคุมข้อมูลส่วนบุคคลจำเป็นจะต้องมีการเก็บรวบรวมข้อมูลส่วนบุคคลดังกล่าว ไม่เช่นนั้นจะไม่สามารถ
ปฏิบัติให้เป็นไปตามกฎหมายนั้นได้ ดังนั้น หากสถาบันการเงินมีการกำหนดคุณสมบัติเฉพาะตำแหน่ง 
ของพนักงานหรือบุคลากรในตำแหน่งใดไว้ โดยกำหนดว่าต้องไม่เป็นผู้เคยได้รับโทษจำคุกโดยคำพิพากษา 
ถึงที่สุดให้จำคุกสำหรับความผิดเกี่ยวกับทรัพย์ หรือความผิดตามกฎหมายว่าด้วยการพนัน หรือความผิด 
ตามกฎหมายเกี่ยวกับยาเสพติด แต่ไม่ใช่การประเมินความสามารถในการทำงานของลูกจ้างที่มีบทบัญญัติ 
แห่งกฎหมายกำหนดไว้ ย่อมไม่ใช่กรณีตาม [มาตรา 26](https://link.pdpalawbase.com/section/26.md) (5) (ก) ที่จะสามารถเก็บรวบรวมข้อมูลส่วนบุคคลเกี่ยวกับ
ประวัติอาชญากรรมได้โดยไม่ต้องได้รับความยินยอมโดยชัดแจ้งจากเจ้าของข้อมูลส่วนบุคคล 
4.2 การขอความยินยอมให้สอดคล้องกับประกาศฯ 
(ก) ในขั้นตอนการประกาศหรือประชาสัมพันธ์การรับสมัคร การสรรหา การเสนอชื่อหรือรับเรื่อง
สำหรับการดำเนินการเช่นว่านั้น กรณีที่สถาบันการเงินสมาชิกมีการกำหนดคุณสมบัติของบุคคลเกี่ยวกับการพบ/
ไม่พบประวัติอาชญากรรมที่อาจมีความเสี่ยงต่อการปฏิบัติหน้าที่ความรับผิดชอบ ดังนั้น สถาบันการเงินสมาชิก 
จึงต้องแจ้งความจำเป็นในการเก็บรวบรวมข้อมูลส่วนบุคคลเกี่ยวกับประวัติอาชญากรรมดังกล่าวให้ผู้สมัครในฐานะ
เจ้าของข้อมูลส่วนบุคคลทราบตั้งแต่ขั้นตอนการประกาศหรือประชาสัมพันธ์การรับสมัคร การสรรหา การเสนอชื่อ 
หรือการรับเรื่องสำหรับการดำเนินการเช่นว่านั้นแล้ว ซึ่งกรณีดังกล่าวสถาบันการเงินสมาชิกต้องขอความยินยอม
โดยชัดแจ้งจากเจ้าของข้อมูลส่วนบุคคลก่อนการเก็บรวบรวมข้อมูลส่วนบุคคลเกี่ยวกับประวัติอาชญากรรม 
ตามข้อ 5 และข้อ 9 ของประกาศฯ การขอความยินยอมดังกล่าวของสถาบันการเงินสมาชิก ถือได้ว่าจำเป็นในการ
เข้าทำสัญญาจ้างแรงงานกับผู้ที่ผ่านการคัดเลือกให้เข้ามาทำงานซึ่งเป็นเจ้าของข้อมูลส่วนบุคคล ซึ่งผู้ได้รับ 
การคัดเลือกไม่ให้ความยินยอม สถาบันการเงินสมาชิกอาจไม่สามารถดำเนินการพิจารณารับผู้สมัครเข้ามา 
เป็นพนักงานได้ ดังนี้แล้วการดำเนินการขอความยินยอมดังกล่าวของสถาบันการเงินสมาชิกจะถือว่าเป็นการขัดต่อ
เจตนารมณ์ [มาตรา 19](https://link.pdpalawbase.com/section/19.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ที่ว่าต้องไม่มีเงื่อนไขในการให้
ความยินยอมหรือไม่ อย่างไร 
ในการเก็บรวบรวมข้อมูลส่วนบุคคลเกี่ยวกับประวัติอาชญากรรมที่ต้องได้รับความยินยอม 
โดยชัดแจ้งจากเจ้าของข้อมูลส่วนบุคคลตาม [มาตรา 26](https://link.pdpalawbase.com/section/26.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล  
พ.ศ. 2562 และ/หรือข้อ 5 ของประกาศฯ เช่น กรณีที่สถาบันการเงินสมาชิกมีความจำเป็นต้องตรวจสอบประวัติ
อาชญากรรมในการพิจารณารับบุคคลเข้าทำงาน หรือการตรวจสอบคุณสมบัติ ลักษณะต้องห้าม หรือพิจารณา
ความเหมาะสมของบุคคลที่จะให้ดำรงตำแหน่งใด แต่ไม่ใช่กรณีที่มีกฎหมายกำหนดให้ต้องดำเนินการเช่นนั้น 
ซึ่งจะได้รับยกเว้นไม่ต้องขอความยินยอม ผู้ควบคุมข้อมูลส่วนบุคคลจะต้องดำเนินการให้เป็นไปตาม [มาตรา 19](https://link.pdpalawbase.com/section/19.md) 
และ [มาตรา 20](https://link.pdpalawbase.com/section/20.md) โดย [มาตรา 19](https://link.pdpalawbase.com/section/19.md) วรรคสี่ บัญญัติว่า ในการขอความยินยอมจากเจ้าของข้อมูลส่วนบุคคล ผู้ควบคุม
ข้อมูลส่วนบุคคลต้องคำนึงอย่างถึงที่สุดในความเป็นอิสระของเจ้าของข้อมูลส่วนบุคคลในการให้ความยินยอม  
ทั้งนี้ ในการเข้าทำสัญญาซึ่งรวมถึงการให้บริการใด ๆ ต้องไม่มีเงื่อนไขในการให้ความยินยอมเพื่อเก็บรวบรวม ใช้ 
หรือเปิดเผยข้อมูลส่วนบุคคลที่ไม่มีความจำเป็นหรือเกี่ยวข้องกับการเข้าทำสัญญาซึ่งรวมถึงการให้บริการนั้น ๆ 
ดังนั้น ในกรณีที่ผู้ควบคุมข้อมูลส่วนบุคคลเห็นว่า การให้ความยินยอมเพื่อเก็บรวบรวม ใช้  
หรือเปิดเผยข้อมูลส่วนบุคคลเกี่ยวกับประวัติอาชญากรรมนั้น มีความจำเป็นหรือเกี่ยวข้องกับการเข้าทำสัญญา 
หรือการให้บริการ เช่น การพิจารณารับบุคคลเข้าทำงาน หรือการให้ดำรงตำแหน่งใด ผู้ควบคุมข้อมูลส่วนบุคคล 
ก็อาจกำหนดเงื่อนไขในการให้ความยินยอมเพื่อเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลนั้น เป็นส่วนหนึ่ง 
ของข้อกำหนดในการเข้าทำสัญญาหรือการให้บริการที่เกี่ยวข้องได้ หากเห็นว่าเป็นกรณีที่มีเหตุผลเกี่ยวกับ 
ความจำเป็นหรือเกี่ยวข้องกับการเข้าทำสัญญาหรือการให้บริการนั้นเพียงพอ ซึ่งเป็นไปตาม [มาตรา 19](https://link.pdpalawbase.com/section/19.md) วรรคสี่ 
แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 อย่างไรก็ตาม เจ้าของข้อมูลส่วนบุคคลมีสิทธิร้องเรียน
ในกรณีที่เห็นว่าผู้ควบคุมข้อมูลส่วนบุคคลฝ่าฝืนหรือไม่ปฏิบัติตามพระราชบัญญัตินี้ ตามนัย [มาตรา 73](https://link.pdpalawbase.com/section/73.md) 
 (ข) ภายหลังกระบวนการสรรหาเสร็จสิ้น และรับพนักงานเข้าทำงานแล้ว สถาบันการเงินสมาชิก
สามารถขอความยินยอมโดยชัดแจ้งจากเจ้าของข้อมูลส่วนบุคคลเพื่อเก็บรวบรวมข้อมูลส่วนบุคคลเกี่ยวกับประวัติ
อาชญากรรมไว้เกินกว่า 6 เดือนได้หรือไม่ตามเงื่อนไขที่กำหนดไว้ในประกาศฯ ข้อ 9 ตอนท้าย แม้จะไม่ปรากฏว่า
มีความจำเป็นตามกฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคลในการเก็บรวบรวมข้อมูลส่วนบุคคลเกี่ยวกับ
ประวัติอาชญากรรมเพื่อการดำเนินการตามข้อ 5 วรรคหนึ่ง อาทิ ประสงค์จะเก็บไว้จนกว่าจะพ้นสภาพการ 
เป็นพนักงานและอีก 10 ปี ตามเงื่อนไขอายุความการฟ้องร้องดำเนินคดีต่าง ๆ ที่อาจมีหลังสิ้นสุดสภาพการจ้าง เป็นต้น   
ในกรณีที่ผู้ควบคุมข้อมูลส่วนบุคคลประสงค์จะเก็บรวบรวมข้อมูลส่วนบุคคลเกี่ยวกับประวัติ
อาชญากรรมซึ่งได้เก็บรวบรวมเพื่อการดำเนินการตามวัตถุประสงค์ในข้อ 5 วรรคหนึ่งไว้เกิน 6 เดือนนับแต่วันที่
การดำเนินการดังกล่าวเสร็จสิ้นสำหรับเจ้าของข้อมูลส่วนบุคคลแต่ละราย ตามที่กำหนดในข้อ 9 ของประกาศฯ 
โดยไม่มีบทบัญญัติแห่งกฎหมายใดบัญญัติไว้เป็นการเฉพาะ และไม่มีความจำเป็นตามพระราชบัญญัติคุ้มครอง
ข้อมูลส่วนบุคคล พ.ศ. 2562 ผู้ควบคุมข้อมูลส่วนบุคคลจะต้องได้รับความยินยอมโดยชัดแจ้งจากเจ้าของข้อมูล
ส่วนบุคคล ดังนั้น สถาบันการเงินสมาชิกสามารถขอความยินยอมจากเจ้าของข้อมูลส่วนบุคคลเพื่อเก็บรวบรวม
ข้อมูลส่วนบุคคลเกี่ยวกับประวัติอาชญากรรมไว้เกินระยะเวลา 6 เดือนตามข้อ 9 ของประกาศฯ ได้ โดยการ 
ขอความยินยอมจะต้องปฏิบัติให้เป็นไปตาม [มาตรา 19](https://link.pdpalawbase.com/section/19.md) และ [มาตรา 20](https://link.pdpalawbase.com/section/20.md) แห่งพระราชบัญญัติคุ้มครองข้อมูล 
ส่วนบุคคล พ.ศ. 2562 ทั้งนี้ ต้องคำนึงอย่างถึงที่สุดในความเป็นอิสระของเจ้าของข้อมูลส่วนบุคคลในการให้ 
ความยินยอม และในการเข้าทำสัญญาหรือการให้บริการใด ๆ ต้องไม่มีเงื่อนไขในการให้ความยินยอม 
เพื่อเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลที่ไม่มีความจำเป็นหรือเกี่ยวข้องสำหรับการเข้าทำสัญญา 
หรือการให้บริการนั้น ๆ ตาม [มาตรา 19](https://link.pdpalawbase.com/section/19.md) วรรคสี่ด้วย 
อนึ่ง คณะอนุกรรมการตอบข้อหารือฯ มีข้อสังเกตว่า ในกรณีที่ผู้ควบคุมข้อมูลส่วนบุคคล 
มีความจำเป็นในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลเกี่ยวกับประวัติอาชญากรรมไว้ 
เพื่อเป็นหลักฐานทางกฎหมายตามระยะเวลาในอายุความการฟ้องร้องดำเนินคดีต่าง ๆ ที่อาจมีขึ้นในระหว่าง 
ที่เจ้าของข้อมูลส่วนบุคคลเป็นพนักงานหรือลูกจ้าง หรือภายหลังสิ้นสุดสภาพการจ้าง ซึ่งเกินระยะเวลา 
ที่กำหนดในข้อ 9 ของประกาศฯ อาจถือเป็นกรณีที่เป็นการจำเป็นเพื่อการก่อตั้งสิทธิเรียกร้องตามกฎหมาย  
การปฏิบัติตามหรือการใช้สิทธิเรียกร้องตามกฎหมาย หรือการยกขึ้นต่อสู้สิทธิเรียกร้องตามกฎหมาย  
ตาม [มาตรา 26](https://link.pdpalawbase.com/section/26.md) (4) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ซึ่งถือเป็นกรณีที่มีความจำเป็น 
ตามกฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคล ที่จะสามารถเก็บรวบรวมข้อมูลส่วนบุคคลเกี่ยวกับประวัติ
อาชญากรรมไว้เป็นระยะเวลาเกินกว่าที่กำหนดในข้อ 9 ได้ โดยไม่ต้องได้รับความยินยอมโดยชัดแจ้งจากเจ้าของ
ข้อมูลส่วนบุคคล 
(ค) ความยินยอมโดยชัดแจ้งตามข้อ (ข) สามารถขอพร้อมกันกับการขอความยินยอม 
โดยชัดแจ้งตามข้อ (ก) ได้หรือไม่ 
ในกรณีที่ต้องได้รับความยินยอมโดยชัดแจ้งในการเก็บรวบรวมข้อมูลส่วนบุคคลเกี่ยวกับประวัติ
อาชญากรรมไว้เกินระยะเวลาตามข้อ 9 ของประกาศฯ พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล  
พ.ศ. 2562 และประกาศดังกล่าว ไม่ได้กำหนดว่าจะต้องดำเนินการเมื่อใด ผู้ควบคุมข้อมูลส่วนบุคคล 
จึงพิจารณาตามหลักเกณฑ์ในการขอความยินยอมตาม [มาตรา 19](https://link.pdpalawbase.com/section/19.md) วรรคหนึ่ง ที่กำหนดว่าผู้ควบคุมข้อมูล 
ส่วนบุคคลจะกระทำการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลไม่ได้หากเจ้าของข้อมูลส่วนบุคคล 
ไม่ได้ให้ความยินยอมไว้ก่อนหรือในขณะนั้น หากผู้ควบคุมข้อมูลส่วนบุคคลเห็นสมควร จึงอาจขอความยินยอม 
โดยชัดแจ้งในการเก็บรวบรวมข้อมูลส่วนบุคคลเกี่ยวกับประวัติอาชญากรรมไว้เกินระยะเวลาตามข้อ 9  
ของประกาศฯ พร้อมกับการขอความยินยอมโดยชัดแจ้งในการเก็บรวบรวมข้อมูลส่วนบุคคลเกี่ยวกับประวัติ
อาชญากรรมเพื่อดำเนินการตามวัตถุประสงค์ในข้อ 5 วรรคหนึ่ง (1) (2) หรือ (3) ของประกาศฯ ตามประเด็น 
4.2 (ก) ที่หารือได้ แต่เนื่องจากเป็นการขอความยินยอมคนละกรณีกัน การขอความยินยอมทั้งสอง 
กรณีดังกล่าวจึงต้องแยกส่วนออกจากกันและแยกส่วนออกจากข้อความอื่นอย่างชัดเจน ตาม [มาตรา 19](https://link.pdpalawbase.com/section/19.md)  
วรรคสาม นอกจากนี้ ในการขอความยินยอมดังกล่าว จะต้องคำนึงอย่างถึงที่สุดในความเป็นอิสระของเจ้าของ
ข้อมูลส่วนบุคคลในการให้ความยินยอม โดยในการเข้าทำสัญญาหรือการให้บริการใด ๆ ต้องไม่มีเงื่อนไขในการ 
ให้ความยินยอมเพื่อเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลที่ไม่มีความจำเป็นหรือเกี่ยวข้องสำหรับ 
การเข้าทำสัญญาหรือการให้บริการนั้น ๆ ตาม [มาตรา 19](https://link.pdpalawbase.com/section/19.md) วรรคสี่ด้วย เว้นแต่กรณีที่ผู้ควบคุมข้อมูลส่วนบุคคล 
เห็นว่า การให้ความยินยอมนั้น มีความจำเป็นหรือเกี่ยวข้องกับการเข้าทำสัญญาหรือการให้บริการเพียงพอ  
จึงอาจกำหนดเงื่อนไขในการให้ความยินยอมเป็นส่วนหนึ่งของข้อกำหนดในการเข้าทำสัญญาหรือการให้บริการ 
ที่เกี่ยวข้องได้ 
ประเด็นที่ 5 ประเด็นอื่น ๆ ที่เกี่ยวเนื่องกับประกาศแต่ไม่ใช่เรื่องการตรวจประวัติอาชญากรรม
ของผู้สมัคร 
5.1 นอกเหนือจากการจัดเก็บข้อมูลส่วนบุคคลเกี่ยวกับประวัติอาชญากรรมจากหน่วยงาน 
ตามข้อ 1.1 แล้ว ยังมีการจัดเก็บข้อมูลส่วนบุคคลเกี่ยวกับประวัติอาชญากรรมจากหน่วยงานอื่นใดบ้างที่เข้าข่าย
ตามนิยามในประกาศฉบับนี้ เช่น การจัดเก็บรายชื่อบุคคลที่ถูกกำหนดตามพระราชบัญญัติป้องกัน 
และปราบปรามการสนับสนุนทางการเงินแก่การก่อการร้ายและการแพร่ขยายอาวุธที่มีอานุภาพทำลายล้างสูง  
พ.ศ. 2559 การได้รับหมายหรือหนังสือจากตำรวจ ศาล สำนักงานป้องกันและปราบปรามการทุจริตแห่งชาติ 
ฐานข้อมูลระบบ Central Fraud Registry (CFR) ตามพระราชกำหนดมาตรการป้องกันและปราบปราม
อาชญากรรมทางเทคโนโลยี พ.ศ. 2566 รวมถึงการได้รับและจัดเก็บประวัติอาชญากรรมจากหน่วยงาน
ต่างประเทศเพื่อนำมาเก็บรวบรวมในฐานข้อมูลของสถาบันการเงินสมาชิกสำหรับการตรวจสอบ KYC/CDD  
และ Sanction List จะถือเป็นข้อมูลส่วนบุคคลเกี่ยวกับประวัติอาชญากรรมหรือไม่ และหากถือเป็นข้อมูล 
ส่วนบุคคลเกี่ยวกับประวัติอาชญากรรมจะเข้าข้อยกเว้นว่าต้องปฏิบัติตามกฎหมายอื่นที่ไม่ต้องขอความยินยอมได้
หรือไม่ 
การพิจารณาว่าข้อมูลส่วนบุคคลเกี่ยวกับการสืบสวนสอบสวนการกระทำความผิดอาญา  
การดำเนินคดีอาญา หรือการรับโทษทางอาญาในแต่ละกรณีที่หารือ จะเป็นข้อมูลส่วนบุคคลเกี่ยวกับประวัติ
อาชญากรรมตามประกาศฯ หรือไม่ ต้องพิจารณาจากความหมายในบทนิยามคำว่า “ข้อมูลส่วนบุคคลเกี่ยวกับ
ประวัติอาชญากรรม” ตามข้อ 3 ของประกาศดังกล่าว ว่าข้อมูลส่วนบุคคลนั้นเป็นข้อมูลที่เป็นทางการ 
หรือรับรองโดยหน่วยงานของรัฐที่มีอำนาจหน้าที่ตามกฎหมายเกี่ยวกับการดำเนินการดังกล่าวหรือไม่  
หากข้อมูลส่วนบุคคลเกี่ยวกับการสืบสวนสอบสวนการกระทำความผิดอาญา การดำเนินคดีอาญา หรือการรับโทษ
ทางอาญาในกรณีใด เป็นข้อมูลที่ได้รับและเก็บรวบรวมจากหน่วยงานต่างประเทศ จะต้องพิจารณา 
ถึงกฎหมายอื่นที่เกี่ยวข้อง ตลอดจนสถานการณ์เป็นข้อมูลที่เป็นทางการหรือการรับรองโดยหน่วยงานของรัฐ 
ของไทยที่มีอำนาจหน้าที่ตามกฎหมายเกี่ยวกับการดำเนินการดังกล่าวด้วยเป็นรายกรณีไป เช่น สำนักงานตำรวจ
แห่งชาติ สำนักงานอัยการสูงสุด กรมราชทัณฑ์ และศาล เป็นต้น โดยหากข้อเท็จจริงปรากฏว่าข้อมูลส่วนบุคคล
ดังกล่าวมีลักษณะที่เป็นทางการหรือรับรองโดยหน่วยงานของรัฐของไทยที่มีอำนาจหน้าที่ตามกฎหมายในเรื่องนั้น 
ก็จะถือเป็นข้อมูลส่วนบุคคลเกี่ยวกับประวัติอาชญากรรมตามนัยข้อ 3 ของประกาศฯ  
สำหรับประเด็นที่หารือว่า หากเป็นข้อมูลส่วนบุคคลเกี่ยวกับประวัติอาชญากรรม  
จะเข้าข้อยกเว้นว่าต้องปฏิบัติตามกฎหมายอื่นที่ไม่ต้องขอความยินยอมได้หรือไม่ นั้น เห็นว่า หากเป็นกรณีที่ได้รับ
ยกเว้นไม่ให้นำพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 มาใช้บังคับตาม [มาตรา 4](https://link.pdpalawbase.com/section/4.md) เช่น กรณีที่เป็น
การดำเนินการของหน่วยงานของรัฐที่มีหน้าที่ในการรักษาความมั่นคงของรัฐตาม [มาตรา 4](https://link.pdpalawbase.com/section/4.md) (2) หรือเป็นผู้ควบคุม
ข้อมูลส่วนบุคคลที่ได้รับยกเว้นไม่ให้นำบทบัญญัติแห่งพระราชบัญญัตินี้ทั้งหมดหรือแต่บางส่วนมาใช้บังคับ 
ตามพระราชกฤษฎีกาที่ออกตามความใน [มาตรา 4](https://link.pdpalawbase.com/section/4.md) วรรคสอง ก็จะไม่ต้องปฏิบัติตามพระราชบัญญัติคุ้มครองข้อมูล
ส่วนบุคคล พ.ศ. 2562 ในส่วนที่ได้รับยกเว้น อย่างไรก็ตาม หากไม่ใช่กรณีที่ได้รับยกเว้นไม่ให้นำพระราชบัญญัตินี้
มาใช้บังคับ แต่การดำเนินการนั้นมีกฎหมายกำหนดไว้ให้ผู้ควบคุมข้อมูลส่วนบุคคลเก็บรวบรวมข้อมูลส่วนบุคคล
เกี่ยวกับประวัติอาชญากรรม โดยมีเจตนารมณ์เพื่อให้บรรลุวัตถุประสงค์เกี่ยวกับประโยชน์สาธารณะที่สำคัญ  
ก็ย่อมถือเป็นกรณีที่เป็นการจำเป็นในการปฏิบัติตามกฎหมายเพื่อให้บรรลุวัตถุประสงค์เกี่ยวกับประโยชน์
สาธารณะที่สำคัญ ตาม [มาตรา 26](https://link.pdpalawbase.com/section/26.md) (5) (จ) ซึ่งได้รับยกเว้นไม่ต้องขอความยินยอมโดยชัดแจ้งจากเจ้าของข้อมูล 
ส่วนบุคคล และหากเป็นการดำเนินการตามวัตถุประสงค์ในข้อ 5 วรรคหนึ่ง (1) (2) หรือ (3) ของประกาศฯ  
ซึ่งมีบทบัญญัติแห่งกฎหมายบัญญัติให้ต้องตรวจสอบประวัติอาชญากรรมหรือตรวจสอบคุณสมบัติหรือลักษณะ
ต้องห้ามเกี่ยวกับการกระทำความผิดทางอาญาหรือการรับโทษทางอาญา ตามข้อ 5 ของประกาศฉบับนี้ ผู้ควบคุม
ข้อมูลส่วนบุคคลก็ย่อมเก็บรวบรวมข้อมูลส่วนบุคคลดังกล่าวได้โดยไม่ต้องได้รับความยินยอมโดยชัดแจ้งจาก
เจ้าของข้อมูลส่วนบุคคล 
5.2 กรณีที่สถาบันการเงินสมาชิกจะต้องดำเนินการตรวจสอบประวัติอาชญากรรมของบุคคล 
ที่จะดำรงตำแหน่งกรรมการของสถาบันการเงินสมาชิกตามประกาศของธนาคารแห่งประเทศไทย สถาบันการเงิน
สมาชิกสามารถเก็บรวบรวมข้อมูลดังกล่าวได้โดยที่ไม่ต้องขอความยินยอมตามที่กำหนดไว้ในประกาศฯ ข้อ 5 
วรรคหนึ่ง หรือไม่ 
ตามที่ได้ให้ความเห็นไว้แล้วในประเด็นที่หารือตาม 4.1 (ข) หากเป็นกรณีที่สถาบันการเงิน
สมาชิกมีความจำเป็นต้องตรวจสอบประวัติอาชญากรรม เพื่อปฏิบัติตามบทบัญญัติแห่งกฎหมาย 
ซึ่งมีเจตนารมณ์เพื่อให้บรรลุวัตถุประสงค์เกี่ยวกับประโยชน์สาธารณะที่สำคัญ การเก็บรวบรวมข้อมูล 
ส่วนบุคคลเกี่ยวกับประวัติอาชญากรรมเพื่อวัตถุประสงค์ดังกล่าว ย่อมถือเป็นกรณีตาม [มาตรา 26](https://link.pdpalawbase.com/section/26.md) (5) (จ)  
แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ที่ได้รับยกเว้นไม่ต้องขอความยินยอมโดยชัดแจ้งจาก
เจ้าของข้อมูลส่วนบุคคล และถือเป็นกรณีที่มีบทบัญญัติแห่งกฎหมายบัญญัติให้ต้องตรวจสอบประวัติอาชญากรรม
หรือตรวจสอบคุณสมบัติหรือลักษณะต้องห้ามเกี่ยวกับการกระทำความผิดอาญาหรือการรับโทษทางอาญา  
ที่ไม่ต้องขอความยินยอมโดยชัดแจ้งจากเจ้าของข้อมูลส่วนบุคคล ตามนัยข้อ 5 ของประกาศฯ แล้ว 
อย่างไรก็ดี หากสถาบันการเงินสมาชิกประสงค์จะเก็บรวบรวมข้อมูลส่วนบุคคลเกี่ยวกับประวัติ
อาชญากรรมเพื่อตรวจสอบประวัติอาชญากรรมหรือตรวจสอบคุณสมบัติหรือลักษณะต้องห้ามเกี่ยวกับการกระทำ
ความผิดอาญาหรือการรับโทษทางอาญาในตำแหน่งอื่น ๆ ซึ่งไม่มีบทบัญญัติแห่งกฎหมายบัญญัติ 
ให้ต้องกระทำ ก็จะต้องได้รับความยินยอมโดยชัดแจ้งจากเจ้าของข้อมูลส่วนบุคคลตามข้อ 5 ของประกาศฯ

## เอกสารต้นฉบับ

- [PDF ต้นฉบับ (local)](../../raw/opinions/opinion-10-2567.pdf)
- [ที่มา: pdpc.or.th](https://www.pdpc.or.th/wp-content/uploads/2024/09/PDPC-consultation-39.pdf)

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/opinion/10-2567.md

============================================================
โนด: ข้อหารือ 10/2568
ลิงก์อ้างอิง: https://link.pdpalawbase.com/opinion/10-2568.md

# ข้อหารือที่ 10/2568 เรื่อง ธนาคาร X ขอหารือเกี่ยวกับฐานทางกฎหมายในการประมวลผลข้อมูลส่วนบุคคลของพนักงานและครอบครัวของพนักงานสำหรับการใช้สิทธิสวัสดิการ

## ข้อกฎหมาย

1. พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 — [มาตรา 19](https://link.pdpalawbase.com/section/19.md) [มาตรา 20](https://link.pdpalawbase.com/section/20.md) [มาตรา 21](https://link.pdpalawbase.com/section/21.md) [มาตรา 22](https://link.pdpalawbase.com/section/22.md) [มาตรา 23](https://link.pdpalawbase.com/section/23.md) [มาตรา 24](https://link.pdpalawbase.com/section/24.md) [มาตรา 26](https://link.pdpalawbase.com/section/26.md) วรรคหนึ่ง [มาตรา 26](https://link.pdpalawbase.com/section/26.md) (5) (ค) [มาตรา 27](https://link.pdpalawbase.com/section/27.md) วรรคหนึ่ง และ [มาตรา 37](https://link.pdpalawbase.com/section/37.md) (1)
2. พระราชบัญญัติแรงงานสัมพันธ์ พ.ศ. 2518 และที่แก้ไขเพิ่มเติม — มาตรา 10 วรรคหนึ่งและวรรคสาม มาตรา 19 และมาตรา 20
3. พระราชบัญญัติคุ้มครองแรงงาน พ.ศ. 2541 และที่แก้ไขเพิ่มเติม — มาตรา 32 มาตรา 33 มาตรา 41 มาตรา 41/1 มาตรา 42 มาตรา 108 และมาตรา 146
4. ประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง มาตรการรักษาความมั่นคงปลอดภัยของผู้ควบคุมข้อมูลส่วนบุคคล พ.ศ. 2565 — ข้อ 4 (2)

## ข้อหารือ

ธนาคาร X (“ธนาคารฯ”) แจ้งว่า ตามที่สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (สคส.) ได้เผยแพร่เอกสารข้อหารือที่ 16/2567 เรื่อง บริษัท W ขอหารือเกี่ยวกับการเก็บรวบรวมข้อมูลการรักษาพยาบาลเพื่อเบิกจ่ายเงินสวัสดิการ ธนาคาร X มีความประสงค์ขอหารือเพิ่มเติมเกี่ยวกับฐานทางกฎหมายในการประมวลผลข้อมูลส่วนบุคคลของพนักงานและครอบครัวพนักงาน เกี่ยวกับกิจกรรมต่าง ๆ ดังนี้

1. กิจกรรมการใช้สิทธิสวัสดิการของพนักงานตามวัตถุประสงค์ต่อไปนี้ ซึ่งเป็นส่วนหนึ่งของข้อตกลงเกี่ยวกับสภาพการจ้างและมีผลผูกพันธนาคารฯ ตามกฎหมายว่าด้วยแรงงานสัมพันธ์ ธนาคารฯ สามารถอาศัยข้อยกเว้นไม่ต้องขอความยินยอม ตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 [มาตรา 26](https://link.pdpalawbase.com/section/26.md) (5) (ค) เพื่อให้บรรลุวัตถุประสงค์เกี่ยวกับการคุ้มครองแรงงาน ได้หรือไม่ อย่างไร พร้อมข้อเสนอแนะเพิ่มเติม (ถ้ามี)
   (1) การใช้สิทธิสวัสดิการของพนักงาน เพื่อเบิกจ่ายค่ารักษาพยาบาลหรือเบิกจ่ายค่าตรวจสุขภาพ โดยเอกสารหลักฐานประกอบการใช้สิทธิ ประกอบด้วยข้อมูลสุขภาพของพนักงาน เช่น ใบรับรองชื่อโรค ประวัติการเจ็บป่วยหรือการเกิดอุบัติเหตุ ประวัติการรักษาพยาบาล และประวัติการตรวจสุขภาพ
   (2) การใช้สิทธิสวัสดิการของพนักงาน เพื่อลาป่วยติดต่อกัน 3 วันขึ้นไป ลาคลอดบุตร หรือลาทำหมัน โดยเอกสารหลักฐานประกอบการใช้สิทธิ ประกอบด้วยข้อมูลสุขภาพของพนักงาน
   (3) การใช้สิทธิสวัสดิการของพนักงาน เพื่อลาอุปสมบท ลาประกอบศาสนกิจ หรือลาไปวิปัสสนากรรมฐาน เช่น การลาอุปสมบทเต็มพรรษาในเทศกาลเข้าพรรษา หรือการลาไปประกอบพิธีฮัจย์ ณ เมืองเมกกะ ประเทศซาอุดิอาระเบีย โดยเอกสารหลักฐานประกอบการใช้สิทธิ ประกอบด้วยข้อมูลศาสนาของพนักงาน
   (4) การใช้สิทธิสวัสดิการของพนักงาน เพื่อเงินยืมสวัสดิการสงเคราะห์ค่ารักษาพยาบาลของตนเอง (ไม่เสียดอกเบี้ย) โดยเอกสารหลักฐานประกอบการใช้สิทธิ ประกอบด้วยข้อมูลสุขภาพของพนักงาน

2. กิจกรรมการใช้สิทธิสวัสดิการของครอบครัวพนักงานตามวัตถุประสงค์ต่อไปนี้ ซึ่งเป็นส่วนหนึ่งของข้อตกลงเกี่ยวกับสภาพการจ้างที่เกิดจากข้อเสนอของธนาคารฯ (ฝ่ายนายจ้าง) ธนาคารฯ สามารถอาศัยข้อยกเว้นไม่ต้องขอความยินยอม ตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 [มาตรา 26](https://link.pdpalawbase.com/section/26.md) (5) (ค) เพื่อให้บรรลุวัตถุประสงค์เกี่ยวกับการคุ้มครองแรงงาน ได้หรือไม่ อย่างไร พร้อมข้อเสนอแนะเพิ่มเติม (ถ้ามี)
   (1) การใช้สิทธิสวัสดิการ เพื่อเบิกจ่ายค่ารักษาพยาบาลแก่คู่สมรสหรือบุตรของพนักงาน โดยเอกสารหลักฐานประกอบการใช้สิทธิ ประกอบด้วยข้อมูลสุขภาพของคู่สมรสหรือบุตร ทั้งนี้ บางกรณีธนาคารฯ จะทราบสถานะจดทะเบียนสมรสเพศเดียวกัน ระหว่างพนักงานกับคู่สมรส จากคำนำหน้าชื่อหรือเอกสารที่เกี่ยวข้อง
   (2) การใช้สิทธิสวัสดิการ เพื่อเงินยืมสวัสดิการสงเคราะห์ค่ารักษาพยาบาลแก่คู่สมรสหรือบุตรของพนักงาน (ไม่เสียดอกเบี้ย) โดยเอกสารหลักฐานประกอบการใช้สิทธิ ประกอบด้วยข้อมูลสุขภาพของคู่สมรสหรือบุตร ทั้งนี้ บางกรณีธนาคารฯ จะทราบสถานะจดทะเบียนสมรสเพศเดียวกัน
   (3) การใช้สิทธิสวัสดิการ เพื่อเงินยืมสวัสดิการสงเคราะห์ค่ารักษาพยาบาลแก่บิดามารดาของพนักงานหรือบิดามารดาของคู่สมรส (ไม่เสียดอกเบี้ย) โดยเอกสารหลักฐานประกอบการใช้สิทธิ ประกอบด้วยข้อมูลสุขภาพของบิดามารดาของพนักงานหรือบิดามารดาของคู่สมรส
   (4) การใช้สิทธิสวัสดิการ เพื่อเงินยืมสวัสดิการสงเคราะห์การสมรส (ไม่เสียดอกเบี้ย) ทั้งนี้ บางกรณีธนาคารฯ จะเก็บข้อมูลสถานะจดทะเบียนสมรสเพศเดียวกัน ระหว่างพนักงานกับคู่สมรส
   (5) การใช้สิทธิสวัสดิการ เพื่อลาไปช่วยเหลือภริยาของพนักงานที่คลอดบุตร โดยเอกสารหลักฐานประกอบการใช้สิทธิ ประกอบด้วยข้อมูลสุขภาพของภริยา เช่น ใบรับรองแพทย์ และประวัติการรักษาพยาบาล

## ความเห็น

คณะอนุกรรมการตอบข้อหารือและให้คำแนะนำในการปฏิบัติตามกฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคล ในคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล ได้พิจารณาข้อหารือดังกล่าวแล้ว เห็นว่า พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 [มาตรา 26](https://link.pdpalawbase.com/section/26.md) (5) (ค) กำหนดข้อยกเว้นในการเก็บรวบรวมข้อมูลส่วนบุคคลเกี่ยวกับเชื้อชาติ เผ่าพันธุ์ ความคิดเห็นทางการเมือง ความเชื่อในลัทธิ ศาสนาหรือปรัชญา พฤติกรรมทางเพศ ประวัติอาชญากรรม ข้อมูลสุขภาพ ความพิการ ข้อมูลสหภาพแรงงาน ข้อมูลพันธุกรรม ข้อมูลชีวภาพ หรือข้อมูลอื่นใดซึ่งกระทบต่อเจ้าของข้อมูลส่วนบุคคลในทำนองเดียวกันตามที่คณะกรรมการคุ้มครองข้อมูลส่วนบุคคลประกาศกำหนด โดยไม่ต้องขอความยินยอมโดยชัดแจ้งจากเจ้าของข้อมูลส่วนบุคคล ในกรณีที่เป็นการจำเป็นในการปฏิบัติตามกฎหมายเพื่อให้บรรลุวัตถุประสงค์เกี่ยวกับการคุ้มครองแรงงาน การประกันสังคม หลักประกันสุขภาพแห่งชาติ สวัสดิการเกี่ยวกับการรักษาพยาบาลของผู้มีสิทธิตามกฎหมาย การคุ้มครองผู้ประสบภัยจากรถ หรือการคุ้มครองทางสังคม

ในการดำเนินงานของนายจ้าง นายจ้างย่อมมีหน้าที่ต้องปฏิบัติตามกฎหมายที่เกี่ยวข้อง เช่น กฎหมายว่าด้วยการคุ้มครองแรงงาน กฎหมายว่าด้วยแรงงานสัมพันธ์ หรือกฎหมายว่าด้วยแรงงานรัฐวิสาหกิจสัมพันธ์ (ในกรณีของรัฐวิสาหกิจ) โดยมาตรา 10 วรรคหนึ่ง แห่งพระราชบัญญัติแรงงานสัมพันธ์ พ.ศ. 2518 กำหนดให้สถานประกอบกิจการที่มีลูกจ้างตั้งแต่ยี่สิบคนขึ้นไปจัดให้มีข้อตกลงเกี่ยวกับสภาพการจ้าง และข้อตกลงเกี่ยวกับสภาพการจ้าง (ไม่ว่าจะเกิดจากข้อเสนอของฝ่ายลูกจ้างหรือฝ่ายนายจ้าง หรือเป็นสวัสดิการที่ให้แก่พนักงาน คู่สมรสหรือบุตรของพนักงาน บิดามารดาของพนักงาน หรือบิดามารดาของคู่สมรสของพนักงานก็ตาม) จะมีผลผูกพันนายจ้างและลูกจ้างที่เกี่ยวข้อง ตามมาตรา 19 แห่งพระราชบัญญัติแรงงานสัมพันธ์ พ.ศ. 2518 โดยเมื่อข้อตกลงเกี่ยวกับสภาพการจ้างมีผลใช้บังคับแล้ว ห้ามมิให้นายจ้างทำสัญญาจ้างแรงงานกับลูกจ้างขัดหรือแย้งกับข้อตกลงดังกล่าว เว้นแต่สัญญาจ้างแรงงานนั้นจะเป็นคุณแก่ลูกจ้างยิ่งกว่า ตามมาตรา 20 แห่งพระราชบัญญัติเดียวกัน ประกอบกับมาตรา 108 แห่งพระราชบัญญัติคุ้มครองแรงงาน พ.ศ. 2541 ซึ่งกำหนดให้นายจ้างซึ่งมีลูกจ้างรวมกันตั้งแต่สิบคนขึ้นไป จัดให้มีข้อบังคับเกี่ยวกับการทำงานเป็นภาษาไทย โดยอย่างน้อยต้องมีรายละเอียดเกี่ยวกับวันลาและหลักเกณฑ์การลา วินัยและโทษทางวินัย เป็นต้น หากนายจ้างผู้ใดไม่ปฏิบัติตามมาตรา 108 ดังกล่าว ต้องระวางโทษปรับตามที่กำหนดไว้ในมาตรา 146 แห่งพระราชบัญญัติคุ้มครองแรงงาน พ.ศ. 2541 อีกทั้งมาตรา 10 วรรคสาม แห่งพระราชบัญญัติแรงงานสัมพันธ์ พ.ศ. 2518 กำหนดว่า ในกรณีเป็นที่สงสัยว่าในสถานประกอบกิจการนั้นมีข้อตกลงเกี่ยวกับสภาพการจ้างหรือไม่ ให้ถือว่าข้อบังคับเกี่ยวกับการทำงานที่นายจ้างต้องจัดให้มีตามกฎหมายว่าด้วยการคุ้มครองแรงงาน เป็นข้อตกลงเกี่ยวกับสภาพการจ้างตามพระราชบัญญัติดังกล่าว

นอกจากนี้ นายจ้างย่อมมีหน้าที่ตามกฎหมายว่าด้วยการคุ้มครองแรงงาน ซึ่งรวมถึงข้อกำหนดให้ลูกจ้างมีสิทธิต่าง ๆ เช่น สิทธิลาป่วยได้เท่าที่ป่วยจริง โดยในการลาป่วยตั้งแต่สามวันทำงานขึ้นไป นายจ้างอาจให้ลูกจ้างแสดงใบรับรองแพทย์ประกอบการลาป่วยได้ ตามมาตรา 32 แห่งพระราชบัญญัติคุ้มครองแรงงาน พ.ศ. 2541 สิทธิลาเพื่อทำหมันและสิทธิลาเนื่องจากการทำหมัน ตามมาตรา 33 สิทธิของลูกจ้างซึ่งเป็นหญิงมีครรภ์ในการลาเพื่อคลอดบุตรและลาต่อเนื่องเพื่อเลี้ยงดูบุตร โดยให้ลูกจ้างแสดงใบรับรองแพทย์ประกอบการลาด้วย ตามมาตรา 41 วรรคหนึ่งและวรรคสี่ สิทธิลาเพื่อช่วยเหลือคู่สมรสซึ่งคลอดบุตร ตามมาตรา 41/1 และสิทธิของลูกจ้างซึ่งเป็นหญิงมีครรภ์ที่มีใบรับรองแพทย์มาแสดงในการขอให้นายจ้างเปลี่ยนงานในหน้าที่เดิมเป็นการชั่วคราวก่อนหรือหลังคลอด ตามมาตรา 42 แห่งพระราชบัญญัติคุ้มครองแรงงาน พ.ศ. 2541 ด้วย

ดังนั้น หากธนาคารฯ ในฐานะนายจ้างเห็นว่า การเก็บรวบรวมข้อมูลส่วนบุคคลเกี่ยวกับความเชื่อในลัทธิ ศาสนาหรือปรัชญา ข้อมูลสุขภาพ ความพิการ หรือข้อมูลส่วนบุคคลอื่นตาม [มาตรา 26](https://link.pdpalawbase.com/section/26.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 เป็นกรณีที่มีความจำเป็นเพื่อให้บรรลุวัตถุประสงค์ในการขอใช้สิทธิหรือสวัสดิการตามที่กฎหมายกำหนด และการพิจารณาสิทธิหรือสวัสดิการดังกล่าวของพนักงานในฐานะลูกจ้างและบุคคลในครอบครัวของพนักงาน ที่เป็นส่วนหนึ่งของข้อตกลงเกี่ยวกับสภาพการจ้างซึ่งมีผลผูกพันธนาคารฯ ตามกฎหมายว่าด้วยแรงงานสัมพันธ์หรือกฎหมายอื่น ก็จะถือเป็นกรณีที่เป็นการจำเป็นในการปฏิบัติตามกฎหมายเพื่อให้บรรลุวัตถุประสงค์เกี่ยวกับการคุ้มครองแรงงาน ซึ่งการเก็บรวบรวมข้อมูลส่วนบุคคลเป็นสิ่งจำเป็นในการปฏิบัติตามสิทธิหรือหน้าที่ของผู้ควบคุมข้อมูลส่วนบุคคลหรือเจ้าของข้อมูลส่วนบุคคล ตาม [มาตรา 26](https://link.pdpalawbase.com/section/26.md) (5) (ค) ประกอบ [มาตรา 27](https://link.pdpalawbase.com/section/27.md) วรรคหนึ่ง แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ธนาคารฯ จึงสามารถเก็บรวบรวม ใช้ และเปิดเผยข้อมูลส่วนบุคคลในกรณีดังกล่าวได้โดยไม่ต้องขอความยินยอมโดยชัดแจ้งจากเจ้าของข้อมูลส่วนบุคคล แต่ธนาคารฯ จะต้องเก็บรวบรวมข้อมูลส่วนบุคคลเท่าที่จำเป็นตาม [มาตรา 22](https://link.pdpalawbase.com/section/22.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 และจัดให้มีมาตรการที่เหมาะสมเพื่อคุ้มครองสิทธิขั้นพื้นฐานและประโยชน์ของเจ้าของข้อมูลส่วนบุคคล ตาม [มาตรา 26](https://link.pdpalawbase.com/section/26.md) (5) (ค) ด้วย

ทั้งนี้ หากการเก็บรวบรวมข้อมูลส่วนบุคคลเกี่ยวกับความเชื่อในลัทธิ ศาสนาหรือปรัชญา ข้อมูลสุขภาพ ความพิการ หรือข้อมูลส่วนบุคคลอื่นตาม [มาตรา 26](https://link.pdpalawbase.com/section/26.md) ดังกล่าว ไม่ได้เป็นไปเพื่อการขอใช้สิทธิหรือสวัสดิการหรือการพิจารณาสิทธิหรือสวัสดิการของพนักงานและบุคคลในครอบครัวของพนักงานตามที่กฎหมายกำหนด และไม่ใช่การขอใช้สิทธิหรือสวัสดิการที่เป็นส่วนหนึ่งของข้อตกลงเกี่ยวกับสภาพการจ้างตามกฎหมายว่าด้วยแรงงานสัมพันธ์ กฎหมายว่าด้วยแรงงานรัฐวิสาหกิจสัมพันธ์ หรือกฎหมายอื่น รวมทั้งไม่ได้เป็นกรณีอื่นที่มีความจำเป็นในการปฏิบัติตามบทบัญญัติแห่งกฎหมายใดเพื่อการคุ้มครองแรงงาน ก็ไม่สามารถใช้ข้อยกเว้นตาม [มาตรา 26](https://link.pdpalawbase.com/section/26.md) (5) (ค) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 เป็นฐานทางกฎหมายได้ และหากไม่เข้าข้อยกเว้นอื่นตาม [มาตรา 26](https://link.pdpalawbase.com/section/26.md) แห่งพระราชบัญญัติดังกล่าว ก็จะต้องได้รับความยินยอมโดยชัดแจ้งจากเจ้าของข้อมูลส่วนบุคคลตาม [มาตรา 26](https://link.pdpalawbase.com/section/26.md) วรรคหนึ่ง โดยการขอความยินยอมจะต้องเป็นไปตาม [มาตรา 19](https://link.pdpalawbase.com/section/19.md) และ [มาตรา 20](https://link.pdpalawbase.com/section/20.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 และสามารถเทียบเคียงแนวทางการตอบข้อหารือได้ตามสรุปการตอบข้อหารือที่ 16/2567 เรื่อง บริษัท W ขอหารือเกี่ยวกับการเก็บรวบรวมข้อมูลการรักษาพยาบาลเพื่อเบิกจ่ายเงินสวัสดิการ และสรุปการตอบข้อหารือที่ 29/2566 เรื่อง สำนักงานพัฒนารัฐบาลดิจิทัล (องค์การมหาชน) ขอคำปรึกษาเกี่ยวกับการเก็บรวบรวม ใช้ ข้อมูลส่วนบุคคลที่เป็นข้อมูลสุขภาพ ในการเบิกค่ารักษาพยาบาลของเจ้าหน้าที่องค์การมหาชน

สำหรับประเด็นข้อหารือที่ว่า ธนาคารฯ สามารถเก็บรวบรวมข้อมูลสถานะการจดทะเบียนสมรสเพื่อการขอใช้สิทธิหรือสวัสดิการของพนักงานและบุคคลในครอบครัว ซึ่งในบางกรณีธนาคารฯ อาจทราบได้จากคำนำหน้าชื่อหรือข้อมูลในเอกสารที่เกี่ยวข้องว่าเป็นการจดทะเบียนสมรสเพศเดียวกัน โดยถือเป็นการเก็บรวบรวมข้อมูลส่วนบุคคลที่ได้รับยกเว้นไม่ต้องขอความยินยอมโดยชัดแจ้งตาม [มาตรา 26](https://link.pdpalawbase.com/section/26.md) (5) (ค) ได้หรือไม่ นั้น เห็นว่า หากธนาคารฯ ไม่มีวัตถุประสงค์ในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลดังกล่าวเพื่อใช้ในการบ่งชี้พฤติกรรมทางเพศ (ซึ่งรวมถึงเพศสภาพและพฤติกรรมทางเพศอื่น ไม่ว่าจะเป็นระหว่างเพศเดียวกันหรือต่างเพศก็ตาม) ข้อมูลส่วนบุคคลดังกล่าวก็ไม่ถือว่าเป็นการเก็บรวบรวมข้อมูลส่วนบุคคลเกี่ยวกับพฤติกรรมทางเพศตาม [มาตรา 26](https://link.pdpalawbase.com/section/26.md) ในทำนองเดียวกับการเก็บรวบรวมภาพถ่ายที่ปรากฏใบหน้าของหญิงที่สวมผ้าคลุมศีรษะ (ฮิญาบ) ที่ไม่มีวัตถุประสงค์เพื่อใช้ในการบ่งชี้ความเชื่อในลัทธิ ศาสนาหรือปรัชญา หรือการเก็บรวบรวมข้อมูลน้ำหนักของบุคคลที่ไม่มีวัตถุประสงค์เพื่อใช้ในการบ่งชี้สถานะหรือความเสี่ยงเกี่ยวกับสุขภาพ ด้วยเหตุนี้ การเก็บรวบรวมข้อมูลส่วนบุคคลดังกล่าวไม่จำต้องพิจารณาฐานทางกฎหมายตาม [มาตรา 26](https://link.pdpalawbase.com/section/26.md) แต่อย่างใด แต่ธนาคารฯ จะต้องพิจารณาฐานทางกฎหมายตาม [มาตรา 24](https://link.pdpalawbase.com/section/24.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ที่สอดคล้องกับวัตถุประสงค์ในการเก็บรวบรวม ใช้ และเปิดเผยข้อมูลส่วนบุคคลต่อไปด้วย

อย่างไรก็ตาม ธนาคารฯ พึงระมัดระวังว่า เมื่อข้อมูลส่วนบุคคลเกี่ยวกับสถานะการจดทะเบียนสมรส (ซึ่งรวมถึงการจดทะเบียนสมรสเพศเดียวกัน) ถูกเก็บรวบรวมมาเพื่อการขอใช้สิทธิหรือสวัสดิการเป็นการทั่วไป โดยไม่มีความจำเป็นต้องใช้ข้อมูลส่วนบุคคลเกี่ยวกับพฤติกรรมทางเพศมาประกอบการพิจารณา ธนาคารฯ ต้องทำการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลดังกล่าวตามวัตถุประสงค์ที่ได้แจ้งเจ้าของข้อมูลส่วนบุคคลไว้ก่อนหรือในขณะที่เก็บรวบรวม ตามหลักการจำกัดวัตถุประสงค์ (purpose limitation) ตาม [มาตรา 21](https://link.pdpalawbase.com/section/21.md) และหลักการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลเท่าที่จำเป็น (data minimization) ตาม [มาตรา 22](https://link.pdpalawbase.com/section/22.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ด้วย นอกจากนี้ ธนาคารฯ มีหน้าที่ต้องปฏิบัติตามที่พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 และกฎหมายอื่นกำหนดให้ครบถ้วน ซึ่งรวมถึงการแจ้งรายละเอียดในการเก็บรวบรวมข้อมูลส่วนบุคคลให้เจ้าของข้อมูลส่วนบุคคลทราบ (privacy notice) ตาม [มาตรา 23](https://link.pdpalawbase.com/section/23.md) และการจัดให้มีมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสมตาม [มาตรา 37](https://link.pdpalawbase.com/section/37.md) (1) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ซึ่งต้องเป็นไปตามมาตรฐานขั้นต่ำที่กำหนดไว้ในประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง มาตรการรักษาความมั่นคงปลอดภัยของผู้ควบคุมข้อมูลส่วนบุคคล พ.ศ. 2565 โดยเฉพาะอย่างยิ่งจะต้องประกอบด้วยมาตรการเชิงองค์กร (organizational measures) และมาตรการเชิงเทคนิค (technical measures) ที่เหมาะสม ซึ่งอาจรวมถึงมาตรการทางกายภาพ (physical measures) ที่จำเป็นด้วย โดยคำนึงถึงระดับความเสี่ยงตามลักษณะและวัตถุประสงค์ของการเก็บรวบรวม ใช้ และเปิดเผยข้อมูลส่วนบุคคล ตลอดจนโอกาสเกิดและผลกระทบจากเหตุการละเมิดข้อมูลส่วนบุคคล ตามข้อ 4 (2) ของประกาศดังกล่าว

## เอกสารต้นฉบับ

- [PDF ต้นฉบับ (local)](../../raw/opinions/opinion-10-2568.pdf)
- [ที่มา: pdpc.or.th](https://www.pdpc.or.th/wp-content/uploads/2026/01/consultation-62.pdf)

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/opinion/10-2568.md

============================================================
โนด: ข้อหารือ 11/2566
ลิงก์อ้างอิง: https://link.pdpalawbase.com/opinion/11-2566.md

# ข้อหารือที่ 11/2566 เรื่อง บริษัท ศ. ขอหารือแนวทางปฏิบัติการยกเว้นการบันทึกรายการของผู้ควบคุมข้อมูลส่วนบุคคลซึ่งเป็นกิจการขนาดเล็ก

## ข้อกฎหมาย

1. พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 — [มาตรา 6](https://link.pdpalawbase.com/section/6.md), [มาตรา 39](https://link.pdpalawbase.com/section/39.md) และ [มาตรา 40](https://link.pdpalawbase.com/section/40.md) (3)
2. พระราชบัญญัติอาคารชุด พ.ศ. 2522 และที่แก้ไขเพิ่มเติม
3. ประมวลกฎหมายแพ่งและพาณิชย์ — มาตรา 1012
4. ประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง การยกเว้นการบันทึกรายการของผู้ควบคุมข้อมูลส่วนบุคคลซึ่งเป็นกิจการขนาดเล็ก พ.ศ. 2565 ข้อ 3
5. ประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง หลักเกณฑ์และวิธีการในการจัดทำและเก็บรักษาบันทึกรายการของกิจกรรมการประมวลผลข้อมูลส่วนบุคคลสำหรับผู้ประมวลผลข้อมูลส่วนบุคคล พ.ศ. 2565

## ข้อหารือ

บริษัท ศ. ซึ่งเป็นผู้ประกอบธุรกิจด้านบริหารอาคารชุดและหมู่บ้านหลายโครงการขอหารือว่า องค์กรที่ไม่แสวงหากำไรที่ได้รับการยกเว้นไม่ต้องบันทึกรายการของผู้ควบคุมข้อมูลส่วนบุคคลซึ่งเป็นกิจการขนาดเล็กตามประกาศ คคส. เรื่อง การยกเว้นการบันทึกรายการของผู้ควบคุมข้อมูลส่วนบุคคลซึ่งเป็นกิจการขนาดเล็ก พ.ศ. 2565 จะหมายถึงนิติบุคคลอาคารชุดที่จัดตั้งตามพระราชบัญญัติอาคารชุด พ.ศ. 2522 ต่อกรมที่ดิน โดยมีวัตถุประสงค์เพื่อจัดการดูแลรักษาทรัพย์สินส่วนกลาง ตามที่กำหนดไว้ในมาตรา 33 แห่ง พ.ร.บ. อาคารชุดฯ ด้วยหรือไม่

ผู้หารือให้ข้อมูลเพิ่มเติมว่า กรมสรรพากรเคยวินิจฉัยว่านิติบุคคลอาคารชุดไม่อยู่ในบังคับต้องเสียภาษีเงินได้นิติบุคคล เนื่องจากนิติบุคคลอาคารชุดไม่เข้าลักษณะเป็นบริษัทหรือห้างหุ้นส่วนนิติบุคคล ตามมาตรา 39 แห่งประมวลรัษฎากร

## ความเห็น

คณะกรรมการคุ้มครองข้อมูลส่วนบุคคล โดยคณะอนุกรรมการเฉพาะกิจตอบข้อหารือและให้คำแนะนำหน่วยงานของรัฐเพื่อรองรับการบังคับใช้พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ได้พิจารณาข้อหารือแล้ว เห็นว่า ข้อ 3 ของประกาศ คคส. เรื่อง การยกเว้นการบันทึกรายการของผู้ควบคุมข้อมูลส่วนบุคคลซึ่งเป็นกิจการขนาดเล็ก พ.ศ. 2565 กำหนดให้ผู้ควบคุมข้อมูลส่วนบุคคลซึ่งเป็นกิจการขนาดเล็กที่ได้รับยกเว้นไม่ต้องดำเนินการบันทึกรายการตาม [มาตรา 39](https://link.pdpalawbase.com/section/39.md) วรรคหนึ่ง (1) (2) (3) (4) (5) (6) และ (8) แห่ง PDPA จะต้องมีลักษณะอย่างใดอย่างหนึ่ง ดังต่อไปนี้:

1. เป็นวิสาหกิจขนาดย่อมหรือวิสาหกิจขนาดกลาง
2. เป็นวิสาหกิจชุมชนหรือเครือข่ายวิสาหกิจชุมชน
3. เป็นวิสาหกิจเพื่อสังคมหรือกลุ่มกิจการเพื่อสังคม
4. เป็นสหกรณ์ ชุมนุมสหกรณ์ หรือกลุ่มเกษตรกร
5. เป็นมูลนิธิ สมาคม องค์กรศาสนา หรือองค์กรที่ไม่แสวงหากำไร
6. เป็นกิจการในครัวเรือนหรือกิจการอื่นในลักษณะเดียวกัน

**กรณีนิติบุคคลอาคารชุด** ที่จดทะเบียนตามกฎหมายว่าด้วยอาคารชุดย่อมมีฐานะเป็นนิติบุคคลโดยมีวัตถุประสงค์เพื่อจัดการ และดูแลรักษาทรัพย์ส่วนกลาง หากไม่ได้ขายสินค้าหรือให้บริการใดกับบุคคลอื่นซึ่งมิใช่เจ้าของห้องชุดหรือผู้พักอาศัย หรือกระทำกิจการใดที่มีลักษณะเพื่อแสวงหากำไร จะมีฐานะเป็นผู้ควบคุมข้อมูลส่วนบุคคลที่เป็นองค์กรที่ไม่แสวงหากำไร ซึ่งได้รับยกเว้นไม่ต้องบันทึกรายการตามข้อ 3 (5) ของประกาศ คคส.

ทั้งนี้ การยกเว้นดังกล่าวไม่รวมถึงกรณีที่มีการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลที่มีความเสี่ยงที่จะมีผลกระทบต่อสิทธิและเสรีภาพของเจ้าของข้อมูลส่วนบุคคล หรือมิใช่กิจการที่เก็บรวบรวมเป็นครั้งคราว หรือมีการเก็บรวบรวมตามมาตรา 26 ตามนัยข้อ 3 วรรคสาม ประกอบ [มาตรา 39](https://link.pdpalawbase.com/section/39.md) วรรคสาม การดำเนินงานในส่วนอื่นยังคงมีหน้าที่ต้องปฏิบัติให้เป็นไปตาม PDPA

**สำหรับการดำเนินงานของบริษัท ศ. นั้น** เนื่องจากบริษัทฯ มีฐานะเป็นนิติบุคคลที่จดทะเบียนตามประมวลกฎหมายแพ่งและพาณิชย์ (มาตรา 1012 บัญญัติว่าการจัดตั้งบริษัทฯ เป็นไปเพื่อแบ่งปันกำไร) บริษัทฯ จึงไม่ถือเป็นองค์กรที่ไม่แสวงหากำไร ประกอบกับเมื่อพิจารณาจากข้อเท็จจริง บริษัทฯ ทำหน้าที่เป็น**ผู้ประมวลผลข้อมูลส่วนบุคคล**ของนิติบุคคลอาคารชุดหรือนิติบุคคลหมู่บ้านจัดสรร (ผู้ว่าจ้าง) เนื่องจากบริษัทฯ เป็นนิติบุคคลซึ่งดำเนินการเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลตามคำสั่งหรือในนามของผู้ควบคุมข้อมูลส่วนบุคคล

บริษัทฯ จึงไม่ต้องดำเนินการบันทึกรายการตาม [มาตรา 39](https://link.pdpalawbase.com/section/39.md) ในส่วนของการบริหารอาคารชุดและหมู่บ้านจัดสรร เพราะไม่มีฐานะเป็นผู้ควบคุมข้อมูลส่วนบุคคล แต่บริษัทฯ มีหน้าที่จัดทำและเก็บรักษาบันทึกรายการของกิจกรรมการประมวลผลข้อมูลส่วนบุคคลตาม [มาตรา 40](https://link.pdpalawbase.com/section/40.md) (3) ในฐานะผู้ประมวลผลข้อมูลส่วนบุคคล ตามหลักเกณฑ์และวิธีการในประกาศ คคส. เรื่อง หลักเกณฑ์และวิธีการในการจัดทำและเก็บรักษาบันทึกรายการสำหรับผู้ประมวลผลข้อมูลส่วนบุคคล พ.ศ. 2565 (มีผลใช้บังคับ 17 ธันวาคม 2565)

## เอกสารต้นฉบับ

- [PDF ต้นฉบับ (local)](../../raw/opinions/opinion-11-2566.pdf)
- [ที่มา: pdpc.or.th](https://www.pdpc.or.th/wp-content/uploads/2024/02/PDPC-consultation-11.pdf)

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/opinion/11-2566.md

============================================================
โนด: ข้อหารือ 11/2567
ลิงก์อ้างอิง: https://link.pdpalawbase.com/opinion/11-2567.md

# ข้อหารือที่ 11/2567 เรื่อง สำนักงาน ป.ป.ช. ขอให้ตีความและวินิจฉัยชี้ขาดปัญหาที่เกิดจากการบังคับใช้พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562

## ข้อกฎหมาย

1. พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 
[มาตรา 4](https://link.pdpalawbase.com/section/4.md) (2) [มาตรา 24](https://link.pdpalawbase.com/section/24.md) (4) และ (6) [มาตรา 26](https://link.pdpalawbase.com/section/26.md) [มาตรา 27](https://link.pdpalawbase.com/section/27.md) วรรคหนึ่ง และ [มาตรา 37](https://link.pdpalawbase.com/section/37.md) (4) 
2. พระราชบัญญัติการจัดซื้อจัดจ้างและการบริหารพัสดุภาครัฐ พ.ศ. 2560 
มาตรา 64 มาตรา 66 วรรคหนึ่ง และมาตรา 98 
3. พระราชบัญญัติข้อมูลข่าวสารของราชการ พ.ศ. 2540 
มาตรา 9 (8) 
4. ประกาศคณะกรรมการข้อมูลข่าวสารของราชการ เรื่อง กำหนดให้ประกาศเชิญชวนทั่วไป ประกาศ
ผลผู้ชนะการจัดซื้อจัดจ้าง และสัญญาที่ได้มีการอนุมัติสั่งซื้อหรือสั่งจ้าง เป็นข้อมูลข่าวสารที่ต้องจัดไว้
ให้ประชาชนเข้าตรวจดูได้ตามมาตรา 9 วรรคหนึ่ง (8) แห่งพระราชบัญญัติข้อมูลข่าวสารของ
ราชการ พ.ศ. 2540

## ข้อหารือ

สำนักงานคณะกรรมการป้องกันและปราบปรามการทุจริตแห่งชาติ (สำนักงาน ป.ป.ช.)  
ขอให้คณะกรรมการคุ้มครองข้อมูลส่วนบุคคลตีความและวินิจฉัยชี้ขาดปัญหาที่เกิดจากการบังคับใช้
พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 โดยสรุปความได้ว่า สำนักงาน ป.ป.ช. ได้รับการประสาน
จากหน่วยงานของรัฐที่เข้าร่วมการประเมินคุณธรรมและความโปร่งใสในการดำเนินงานของหน่วยงานภาครัฐ 
(Integrity and Transparency Assessment: ITA) ประจำปีงบประมาณ พ.ศ. 2567 ว่า สำนักงาน
คณะกรรมการคุ้มครองข้อมูลส่วนบุคคลได้เคยมีหนังสือแจ้งการตรวจสอบเหตุการละเมิดข้อมูลส่วนบุคคล 
ตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ที่หน่วยงานได้เปิดเผยเลขประจำตัวผู้เสียภาษีอากร 
หรือเลขประจำตัวประชาชนของผู้ประกอบการที่ได้รับการคัดเลือก อันอาจก่อให้เกิดความเสียหายต่อเจ้าของข้อมูล
ส่วนบุคคลและมีความไม่สอดคล้องกับพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ซึ่งข้อมูลดังกล่าว 
เป็นส่วนหนึ่งของข้อมูลที่การประเมิน ITA กำหนดให้หน่วยงานของรัฐที่เข้าร่วมการประเมินเปิดเผยไว้ทางหน้า
เว็บไซต์หลักของหน่วยงานตามแบบวัดการเปิดเผยข้อมูลสาธารณะ (OIT) โดยหลักเกณฑ์การเปิดเผยข้อมูล
ดังกล่าวของการประเมิน ITA เป็นไปตามที่พระราชบัญญัติการจัดซื้อจัดจ้างและการบริหารพัสดุภาครัฐ  
พ.ศ. 2560 กำหนดไว้ กล่าวคือ มาตรา 66 วรรคหนึ่ง กำหนดให้หน่วยงานของรัฐประกาศผลผู้ชนะการจัดซื้อจัด
จ้างหรือผู้ได้รับการคัดเลือกและเหตุผลสนับสนุนในระบบเครือข่ายสารสนเทศของกรมบัญชีกลาง 
และของหน่วยงานของรัฐตามวิธีการที่กรมบัญชีกลางกำหนด และให้ปิดประกาศโดยเปิดเผย ณ สถานที่ 
ปิดประกาศของหน่วยงานของรัฐนั้น และมาตรา 98 กำหนดให้หน่วยงานของรัฐประกาศเผยแพร่สาระสำคัญ 
ของสัญญาหรือข้อตกลงที่ได้ลงนามแล้ว รวมทั้งการแก้ไขเปลี่ยนแปลงสัญญาหรือข้อตกลงในระบบเครือข่าย
สารสนเทศของกรมบัญชีกลางและของหน่วยงานของรัฐตามหลักเกณฑ์และวิธีการที่กรมบัญชีกลางกำหนด 
โดยกรมบัญชีกลางได้มีหนังสือเวียนแจ้งหลักเกณฑ์และวิธีการเผยแพร่สาระสำคัญของสัญญาที่ได้
กำหนดให้หน่วยงานเปิดเผยเลขประจำตัวผู้เสียภาษีอากร/เลขประจำตัวประชาชนของผู้ที่ได้รับการคัดเลือก ดังนี้ 
1) หนังสือกรมบัญชีกลาง ที่ กค 0433.4/ว 568 ลงวันที่ 30 พฤศจิกายน 2563  
เรื่อง แนวทางปฏิบัติในการเปิดเผยสรุปผลการดำเนินการจัดซื้อจัดจ้างของหน่วยงานของรัฐไว้ในศูนย์ข้อมูล
ข่าวสารของราชการในระบบการจัดซื้อจัดจ้างภาครัฐด้วยอิเล็กทรอนิกส์ (Electronic Government 
Procurement : e-GP) ซึ่งในข้อมูลสาระสำคัญในสัญญา ได้กำหนดให้หน่วยงานเปิดเผยเลขประจำตัวผู้เสียภาษี
อากรของผู้เสนอราคาและผู้ที่ได้รับการคัดเลือก 
2) หนังสือกรมบัญชีกลาง ด่วนที่สุด ที่ กค 0405.2/ว 62 ลงวันที่ 5 กุมภาพันธ์ 2562  
เรื่อง แนวทางการประกาศผลผู้ชนะการจัดซื้อจัดจ้างหรือผู้ได้รับการคัดเลือก และสาระสำคัญของสัญญา  
หรือข้อตกลงเป็นหนังสือ กรณีที่ไม่ได้ดำเนินการในระบบ e-GP ซึ่งในรายละเอียดแนบท้ายประกาศผลผู้ชนะ 
การจัดซื้อจัดจ้างหรือผู้ได้รับการคัดเลือก และสาระสำคัญของสัญญาหรือข้อตกลงเป็นหนังสือ ได้กำหนดให้
หน่วยงานเปิดเผยเลขประจำตัวผู้เสียภาษีอากรหรือเลขประจำตัวประชาชนของผู้ที่ได้รับการคัดเลือก 
ดังนั้น เพื่อให้เกิดความชัดเจน สำนักงาน ป.ป.ช. จึงขอให้คณะกรรมการคุ้มครองข้อมูล 
ส่วนบุคคลตีความและวินิจฉัยชี้ขาดปัญหาที่เกิดจากการบังคับใช้พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล  
พ.ศ. 2562 ว่าการเปิดเผยข้อมูลเลขประจำตัวผู้เสียภาษีอากรหรือเลขประจำตัวประชาชนของผู้ที่ได้รับการ
คัดเลือกในการจัดซื้อจัดจ้างไว้บนหน้าเว็บไซต์หลักของหน่วยงานเป็นการละเมิดข้อมูลส่วนบุคคล 
ตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 หรือไม่ อย่างไร

## ความเห็น

คณะกรรมการคุ้มครองข้อมูลส่วนบุคคลได้พิจารณาข้อหารือของสำนักงาน ป.ป.ช. โดยมีผู้แทน
สำนักงาน ป.ป.ช. และผู้แทนกรมบัญชีกลาง เป็นผู้ชี้แจงข้อเท็จจริงแล้ว ปรากฏข้อเท็จจริงเพิ่มเติมว่า  
การกำหนดให้มีการเปิดเผยข้อมูลส่วนบุคคลในกรณีดังกล่าว ปรากฏในหนังสือของกรมบัญชีกลางจำนวน 2 ฉบับ คือ 
1) หนังสือกรมบัญชีกลาง ด่วนที่สุด ที่ กค 0405.2/ว 62 ลงวันที่ 5 กุมภาพันธ์ 2562  
มีวัตถุประสงค์ในการประกาศผลในการจัดซื้อจัดจ้างโดยเก็บรวบรวมข้อมูลการจัดซื้อจัดจ้างของหน่วยงานของรัฐ
เป็นรายไตรมาส โดยรายละเอียดของข้อมูลที่เก็บรวบรวมจะมีเลขประจำตัวผู้เสียภาษีอากรหรือเลขประจำตัว
ประชาชนของผู้ชนะการคัดเลือกอยู่ด้วย ซึ่งในปัจจุบันกรมบัญชีกลางอยู่ระหว่างพิจารณาทบทวนแนวทาง 
การดำเนินการที่เหมาะสมเกี่ยวกับข้อมูลส่วนบุคคลดังกล่าว 
2) หนังสือกรมบัญชีกลาง ที่ กค 0433.4/ว 568 ลงวันที่ 30 พฤศจิกายน 2563  
มีวัตถุประสงค์เพื่อการเปิดเผยข้อมูลข่าวสารตามพระราชบัญญัติข้อมูลข่าวสารของราชการ พ.ศ. 2540  
ซึ่งกำหนดให้หน่วยงานของรัฐเปิดเผยข้อมูลสาระสำคัญของสัญญาในเว็บไซต์ของหน่วยงานของรัฐนั้น  
โดยกรมบัญชีกลางเห็นว่าการเปิดเผยข้อมูลดังกล่าวเป็นหน้าที่ของหน่วยงานของรัฐต่าง ๆ ที่ต้องถือปฏิบัติอยู่แล้ว 
กรมบัญชีกลางจึงนำข้อมูลที่เก็บรวบรวมไว้ในระบบการจัดซื้อจัดจ้างภาครัฐด้วยอิเล็กทรอนิกส์ (Electronic 
Government Procurement: e-GP) มาเปิดเผยบนเว็บไซต์ www.gprocurement.go.th เพื่อให้ผู้เกี่ยวข้อง
สามารถสืบค้นและเข้าถึงได้สะดวกขึ้น ซึ่งในปัจจุบันกรมบัญชีกลางอยู่ระหว่างพิจารณาทบทวนแนวทาง 
การดำเนินการที่เหมาะสมเกี่ยวกับข้อมูลส่วนบุคคลดังกล่าว 
นอกจากนี้ กรมบัญชีกลางอยู่ระหว่างการรวบรวมข้อมูลว่าแนวทางที่กำหนดตามพระราชบัญญัติ
การจัดซื้อจัดจ้างและการบริหารพัสดุภาครัฐ พ.ศ. 2560 มีส่วนใดที่ไม่สอดคล้องกับพระราชบัญญัติคุ้มครอง
ข้อมูลส่วนบุคคล พ.ศ. 2562 หรือไม่ เพื่อพิจารณาปรับปรุงแก้ไขให้มีความเหมาะสม และจะแจ้งเวียนหน่วยงาน
ของรัฐที่เกี่ยวข้องต่อไป อย่างไรก็ตาม สำหรับรายชื่อและเลขประจำตัวผู้เสียภาษีอากร/เลขประจำตัวประชาชน
ของผู้ทิ้งงานนั้น กรมบัญชีกลางเห็นว่ายังมีความจำเป็นต้องเปิดเผยแก่หน่วยงานที่เกี่ยวข้องเพื่อประโยชน์ 
ในการรักษาความมั่นคงทางการคลังของรัฐ ซึ่งได้รับยกเว้นไม่ให้นำพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล  
พ.ศ. 2562 มาใช้บังคับตาม [มาตรา 4](https://link.pdpalawbase.com/section/4.md) (2) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 
ส่วนการดำเนินงานของสำนักงาน ป.ป.ช. ในฐานะหน่วยงานที่เป็นผู้ประเมินคุณธรรม 
และความโปร่งใสในการดำเนินงานของหน่วยงานภาครัฐ (Integrity and Transparency Assessment: ITA) นั้น 
สำนักงาน ป.ป.ช. จะกำหนดให้หน่วยงานของรัฐที่เข้าร่วมการประเมินปฏิบัติตามกฎหมายที่ใช้บังคับกับหน่วยงาน
นั้น โดยพิจารณาจากข้อกำหนดในกฎหมายและแนวทางปฏิบัติที่เกี่ยวข้อง โดยสำนักงาน ป.ป.ช. ไม่ได้กำหนด
เงื่อนไขในการเปิดเผยข้อมูลส่วนบุคคลเป็นการเฉพาะ ซึ่งหากแนวทางปฏิบัติตามกฎหมายฉบับใดมีการปรับปรุง
แก้ไขให้เหมาะสม สำนักงาน ป.ป.ช. ก็จะพิจารณาดำเนินการให้สอดคล้องกันต่อไป 
คณะกรรมการคุ้มครองข้อมูลส่วนบุคคลได้พิจารณาแล้วเห็นว่า การเปิดเผยข้อมูลส่วนบุคคล 
ของผู้ประกอบการที่ได้รับการคัดเลือกในการจัดซื้อจัดจ้างของหน่วยงานของรัฐ ซึ่งปรากฏเลขประจำตัวผู้เสียภาษี
อากรหรือเลขประจำตัวประชาชนรวมอยู่ด้วยนั้น เป็นการดำเนินการตามพระราชบัญญัติการจัดซื้อจัดจ้าง 
และการบริหารพัสดุภาครัฐ พ.ศ. 2560 และแนวทางที่กรมบัญชีกลางกำหนดตามมาตรา 66 วรรคหนึ่ง  
และมาตรา 98 แห่งพระราชบัญญัติดังกล่าว อีกทั้งยังเป็นข้อมูลข่าวสารที่หน่วยงานของรัฐต้องจัดไว้ให้ประชาชน
เข้าตรวจดูได้ตามมาตรา 9 (8) แห่งพระราชบัญญัติข้อมูลข่าวสารของราชการ พ.ศ. 2540 ประกอบประกาศ
คณะกรรมการข้อมูลข่าวสารของราชการ เรื่อง กำหนดให้ประกาศเชิญชวนทั่วไป ประกาศผลผู้ชนะการจัดซื้อจัด
จ้าง และสัญญาที่ได้มีการอนุมัติสั่งซื้อหรือสั่งจ้าง เป็นข้อมูลข่าวสารที่ต้องจัดไว้ให้ประชาชนเข้าตรวจดูได้ 
ตามมาตรา 9 วรรคหนึ่ง (8) แห่งพระราชบัญญัติข้อมูลข่าวสารของราชการ พ.ศ. 2540 อีกด้วย จึงถือเป็นกรณีที่
หน่วยงานของรัฐในฐานะผู้ควบคุมข้อมูลส่วนบุคคล มีหน้าที่ต้องปฏิบัติตามกฎหมาย และสามารถเก็บรวบรวม ใช้ 
หรือเปิดเผยข้อมูลส่วนบุคคลได้โดยได้รับยกเว้นไม่ต้องขอความยินยอมจากเจ้าของข้อมูลส่วนบุคคล  
ตาม [มาตรา 24](https://link.pdpalawbase.com/section/24.md) (6) ประกอบ [มาตรา 27](https://link.pdpalawbase.com/section/27.md) วรรคหนึ่ง แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562  
การที่สำนักงาน ป.ป.ช. กำหนดตามแบบวัดการเปิดเผยข้อมูลสาธารณะ (OIT) ในการประเมิน ITA ให้หน่วยงาน
ของรัฐที่เข้าร่วมการประเมินเปิดเผยข้อมูลของผู้ประกอบการที่ได้รับการคัดเลือกในการจัดซื้อจัดจ้างของหน่วยงาน
ของรัฐไว้บนหน้าเว็บไซต์หลักของหน่วยงาน ตามแนวทางที่กรมบัญชีกลางกำหนดตามพระราชบัญญัติการจัดซื้อจัดจ้าง
และการบริหารพัสดุภาครัฐ พ.ศ. 2560 จึงเป็นไปตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562  
และไม่ถือเป็นเหตุการละเมิดข้อมูลส่วนบุคคลตามประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลที่ออก 
ตามความใน [มาตรา 37](https://link.pdpalawbase.com/section/37.md) (4) แต่อย่างใด 
อย่างไรก็ตาม คณะกรรมการคุ้มครองข้อมูลส่วนบุคคล มีข้อสังเกตเพิ่มเติม กรมบัญชีกลางควรพิจารณา
ทบทวนแนวทางที่กำหนดตามพระราชบัญญัติการจัดซื้อจัดจ้างและการบริหารพัสดุภาครัฐ พ.ศ. 2560 ว่า  
มีความสอดคล้องและเหมาะสมตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 หรือไม่ เพียงใด  
เช่น การเปิดเผยเลขประจำตัวผู้เสียภาษีอากรหรือเลขประจำตัวประชาชนของผู้ประกอบการมีความจำเป็น 
ต้องเปิดเผยข้อมูลทั้งหมดหรือไม่ หรือสามารถปกปิดหรือพรางข้อมูลบางส่วนได้ เพื่อลดความเสี่ยงในการนำข้อมูล
ส่วนบุคคลไปใช้โดยไม่เหมาะสมหรืออาจเป็นผลร้ายต่อเจ้าของข้อมูลส่วนบุคคลในอนาคต อันจะเป็นการปรับปรุง
พัฒนาแนวทางการดำเนินงานของหน่วยงานของรัฐให้มีความเหมาะสมและเป็นการคุ้มครองประโยชน์ของประชาชน
มากยิ่งขึ้น ซึ่งหากกรมบัญชีกลางได้มีการปรับปรุงแก้ไขแนวทางดังกล่าวแล้ว สำนักงาน ป.ป.ช. อาจพิจารณากำหนด
หลักเกณฑ์การประเมิน ITA ให้สอดคล้องกับแนวทางของกรมบัญชีกลางดังกล่าวได้ต่อไป 
ทั้งนี้ สำหรับการแจ้งเวียนหรือเปิดเผยเลขประจำตัวผู้เสียภาษีอากรหรือเลขประจำตัวประชาชน
ของผู้ประกอบการที่เป็นผู้ทิ้งงานตามพระราชบัญญัติการจัดซื้อจัดจ้างและการบริหารพัสดุภาครัฐ พ.ศ. 2560 นั้น 
คณะกรรมการคุ้มครองข้อมูลส่วนบุคคลเห็นว่า ถือเป็นกรณีที่มีความจำเป็นเพื่อประโยชน์ในกระบวนการจัดซื้อจัดจ้าง
ของหน่วยงานของรัฐที่ต้องมีการตรวจสอบคุณสมบัติและลักษณะต้องห้ามของผู้ที่จะเข้ายื่นข้อเสนอ 
ตามมาตรา 64 แห่งพระราชบัญญัติการจัดซื้อจัดจ้างและการบริหารพัสดุภาครัฐ พ.ศ. 2560 กรมบัญชีกลาง 
และหน่วยงานของรัฐที่เกี่ยวข้องจึงสามารถดำเนินการต่อไปได้ โดยเป็นไปตามพระราชบัญญัติคุ้มครองข้อมูล 
ส่วนบุคคล พ.ศ. 2562 [มาตรา 24](https://link.pdpalawbase.com/section/24.md) (4) หรือ (6) ประกอบ [มาตรา 27](https://link.pdpalawbase.com/section/27.md) วรรคหนึ่ง แต่คณะกรรมการคุ้มครองข้อมูล
ส่วนบุคคลมีข้อสังเกตเพิ่มเติมว่า การแจ้งเวียนรายชื่อผู้ทิ้งงานดังกล่าวยังมิอาจรับฟังได้ว่าถือเป็นการดำเนินการ
ของหน่วยงานของรัฐที่มีหน้าที่ในการรักษาความมั่นคงทางการคลังของรัฐโดยตรง จึงไม่ใช่กรณีที่ได้รับยกเว้น 
ไม่ให้นำพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 มาใช้บังคับตาม [มาตรา 4](https://link.pdpalawbase.com/section/4.md) (2) 
อนึ่ง คณะกรรมการคุ้มครองข้อมูลส่วนบุคคลมีข้อสังเกตเพิ่มเติมเกี่ยวกับกระบวนการตามแบบ
วัดการรับรู้ของผู้มีส่วนได้ส่วนเสียภายนอก (External Integrity and Transparency Assessment: EIT) ว่า
สำนักงาน ป.ป.ช. ควรพิจารณากำหนดมาตรการในการประเมินที่คำนึงถึงการรักษาความลับของเจ้าของข้อมูล 
ส่วนบุคคลที่เป็นผู้รับบริการของหน่วยงานของรัฐที่เข้าร่วมการประเมิน โดยเฉพาะในกรณีที่เป็นผู้รับบริการ 
ที่หน่วยงานของรัฐมีการเก็บรวบรวมข้อมูลส่วนบุคคลตาม [มาตรา 26](https://link.pdpalawbase.com/section/26.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วน
บุคคล พ.ศ. 2562 ซึ่งเป็นข้อมูลส่วนบุคคลอ่อนไหวที่ต้องใช้ความระมัดระวังเป็นพิเศษ เช่น รายชื่อผู้รับบริการ
สุขภาพของโรงพยาบาลของรัฐ

## เอกสารต้นฉบับ

- [PDF ต้นฉบับ (local)](../../raw/opinions/opinion-11-2567.pdf)
- [ที่มา: pdpc.or.th](https://www.pdpc.or.th/wp-content/uploads/2024/11/PDPC-consultation-40-v2.pdf)

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/opinion/11-2567.md

============================================================
โนด: ข้อหารือ 11/2568
ลิงก์อ้างอิง: https://link.pdpalawbase.com/opinion/11-2568.md

# ข้อหารือที่ 11/2568 เรื่อง แพทยสภาหารือแนวทางปฏิบัติตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 เกี่ยวกับการเปิดเผยข้อมูลการลงโทษผู้ประกอบวิชาชีพเวชกรรม

## ข้อกฎหมาย

1. พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 — [มาตรา 3](https://link.pdpalawbase.com/section/3.md) (1) [มาตรา 6](https://link.pdpalawbase.com/section/6.md) [มาตรา 22](https://link.pdpalawbase.com/section/22.md) [มาตรา 24](https://link.pdpalawbase.com/section/24.md) (4) และ (6) [มาตรา 27](https://link.pdpalawbase.com/section/27.md) วรรคหนึ่งและวรรคสาม [มาตรา 35](https://link.pdpalawbase.com/section/35.md) และ [มาตรา 39](https://link.pdpalawbase.com/section/39.md)
2. พระราชบัญญัติวิชาชีพเวชกรรม พ.ศ. 2525 — มาตรา 6 มาตรา 7 (1) และ (4) มาตรา 8 (1) และ (2) มาตรา 21 (3) (ช) มาตรา 25 วรรคหนึ่ง (1) มาตรา 32 มาตรา 33 มาตรา 39 มาตรา 40 และมาตรา 41 วรรคหนึ่ง
3. พระราชบัญญัติข้อมูลข่าวสารของราชการ พ.ศ. 2540 — มาตรา 4 มาตรา 9 มาตรา 14 และมาตรา 15
4. ข้อบังคับแพทยสภาว่าด้วยวิธีพิจารณาจริยธรรมผู้ประกอบวิชาชีพเวชกรรม พ.ศ. 2563 — ข้อ 47 วรรคสอง และข้อ 48

## ข้อหารือ

แพทยสภาแจ้งว่า เนื่องจากพระราชบัญญัติวิชาชีพเวชกรรม พ.ศ. 2525 มาตรา 7 (1) มีวัตถุประสงค์ให้แพทยสภาทำหน้าที่ควบคุมการประกอบวิชาชีพเวชกรรมให้ถูกต้องตามจริยธรรมแห่งวิชาชีพเวชกรรม และ (4) ช่วยเหลือ แนะนำ เผยแพร่ และให้ความรู้แก่ประชาชนในเรื่องที่เกี่ยวกับการแพทย์และการสาธารณสุข เจตนารมณ์ของกฎหมายจึงกำหนดให้แพทยสภามีหน้าที่ในการรับขึ้นทะเบียนออกใบอนุญาตแก่ผู้ประกอบวิชาชีพเวชกรรม เพื่อให้ประชาชนสามารถตรวจสอบข้อมูล และยืนยันความถูกต้องของผู้ประกอบวิชาชีพเวชกรรมบนเว็บไซต์ได้ อันเป็นการคุ้มครองประชาชนก่อนที่จะตัดสินใจเข้ารับการรักษาพยาบาล โดยแพทยสภากำหนดให้ประชาชนทั่วไปที่จะเข้ารับการรักษากับผู้ประกอบวิชาชีพเวชกรรมสามารถตรวจสอบสถานะความเป็นผู้ประกอบวิชาชีพเวชกรรมผ่านเว็บไซต์ของแพทยสภา โดยกำหนดเงื่อนไขให้ประชาชนผู้ประสงค์ตรวจสอบกรอกข้อมูลให้ถูกต้องครบถ้วน (ชื่อ-นามสกุล) แต่ในกรณีที่ชื่อ นามสกุล หรือเลขที่ใบอนุญาตของผู้ประกอบวิชาชีพเวชกรรมไม่ถูกต้อง หรือถูกต้องแต่ผู้ประกอบวิชาชีพเวชกรรมรายดังกล่าวถูกพักใช้ใบอนุญาตหรือถูกเพิกถอนใบอนุญาต จะปรากฏข้อความว่า “ไม่พบข้อมูล”

ทั้งนี้ แพทยสภาเห็นว่า หากมีกรณีที่ผู้ประกอบวิชาชีพเวชกรรมถูกลงโทษทางด้านจริยธรรม ควรเปิดเผยถึงสถานภาพและระยะเวลาการถูกพักใช้ใบอนุญาตหรือเพิกถอนใบอนุญาตแทนข้อความว่า “ไม่พบข้อมูล” รวมถึงเปิดเผยข้อมูลในคำสั่งลงโทษจริยธรรมดังกล่าวบนเว็บไซต์ของแพทยสภา ซึ่งเป็นหลักการตรวจสอบในลักษณะเดียวกันกับสภาเภสัชกรรม เพื่อให้ประชาชนและหรือหน่วยงานที่เกี่ยวข้องได้ทราบ และได้ใช้ความระมัดระวังบุคคลดังกล่าว อันเป็นการคุ้มครองประชาชนและสาธารณะ ซึ่งปัจจุบันพระราชบัญญัติวิชาชีพเวชกรรม พ.ศ. 2525 ยังไม่ได้กำหนดให้แพทยสภามีการเปิดเผยข้อมูลในคำสั่งลงโทษจริยธรรมของผู้ประกอบวิชาชีพเวชกรรมไว้อย่างชัดเจนว่า สามารถกระทำได้หรือไม่เพียงใดตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 เพื่อให้มีการปฏิบัติตามกฎหมายดังกล่าวได้อย่างถูกต้องและเป็นไปด้วยดี แพทยสภาจึงขอหารือว่า สามารถเปิดเผยข้อมูลดังต่อไปนี้ ตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ได้หรือไม่ ดังนี้

1. ปัจจุบัน แพทยสภาอนุญาตให้ประชาชนสามารถตรวจสอบ ชื่อ - สกุล เลขที่ใบอนุญาตของผู้ประกอบวิชาชีพเวชกรรมได้ แต่มีประเด็นขอหารือว่า ประชาชนทั่วไปหรือผู้ที่เกี่ยวข้องสามารถเข้าตรวจสอบสถานะเพิกถอนหรือพักใช้ใบอนุญาตประกอบวิชาชีพเวชกรรม รวมถึงระยะเวลาในการพักใช้ใบอนุญาตฯ ได้หรือไม่ หรือหากสามารถเปิดเผยระยะเวลาในการพักใช้ใบอนุญาตฯ และเมื่อพ้นระยะเวลาพักใช้ใบอนุญาตดังกล่าวแล้วสามารถคงไว้ซึ่งสถานะที่เคยถูกลงโทษได้หรือไม่ อย่างไร

2. กรณีที่แพทยสภาได้รับแจ้งคำสั่งลงโทษการประพฤติผิดจริยธรรมของผู้ประกอบวิชาชีพเวชกรรมตามพระราชบัญญัติวิชาชีพเวชกรรม พ.ศ. 2525 แพทยสภาจะสามารถเปิดเผยข้อมูลในคำสั่งลงโทษจริยธรรมดังกล่าวบนเว็บไซต์ของแพทยสภาได้ทั้งหมด หรือบางส่วน เพื่อให้ประชาชนและหรือหน่วยงานที่เกี่ยวข้องได้พึงทราบและได้ใช้ความระมัดระวังจากการประกอบวิชาชีพเวชกรรมของแพทย์ อันเป็นสิทธิที่ประชาชนควรทราบ ตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ได้หรือไม่ เพียงใด

## ความเห็น

คณะอนุกรรมการตอบข้อหารือและให้คำแนะนำในการปฏิบัติตามกฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคล ในคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล ได้พิจารณาข้อหารือดังกล่าวแล้ว เห็นว่า แพทยสภามีฐานะเป็นนิติบุคคลตามมาตรา 6 วรรคสอง แห่งพระราชบัญญัติวิชาชีพเวชกรรม พ.ศ. 2525 ซึ่งมีวัตถุประสงค์ประการหนึ่งในการควบคุมการประพฤติของผู้ประกอบวิชาชีพเวชกรรมให้ถูกต้องตามจริยธรรมแห่งวิชาชีพเวชกรรม ตามมาตรา 6 วรรคหนึ่ง ประกอบมาตรา 7 (1) แห่งพระราชบัญญัติดังกล่าว แพทยสภาจึงมีฐานะเป็นผู้ควบคุมข้อมูลส่วนบุคคลตาม [มาตรา 6](https://link.pdpalawbase.com/section/6.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 และในขณะเดียวกัน แพทยสภาก็เป็นองค์กรควบคุมการประกอบวิชาชีพ จึงถือเป็นหน่วยงานของรัฐตามบทนิยามในมาตรา 4 แห่งพระราชบัญญัติข้อมูลข่าวสารของราชการ พ.ศ. 2540 ดังนั้น ข้อมูลข่าวสาร (ซึ่งรวมถึงข้อมูลข่าวสารส่วนบุคคล) ที่อยู่ในความครอบครองหรือควบคุมดูแลของแพทยสภา จึงเป็นข้อมูลข่าวสารของราชการ ตามนัยมาตรา 4 แห่งพระราชบัญญัติเดียวกัน

เนื่องจากแพทยสภาอยู่ภายใต้บังคับแห่งพระราชบัญญัติทั้ง 2 ฉบับดังกล่าว และ [มาตรา 3](https://link.pdpalawbase.com/section/3.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 บัญญัติว่า ในกรณีที่มีกฎหมายว่าด้วยการใดบัญญัติเกี่ยวกับการคุ้มครองข้อมูลส่วนบุคคลในลักษณะใด กิจการใด หรือหน่วยงานใดไว้โดยเฉพาะแล้ว ให้บังคับตามบทบัญญัติแห่งกฎหมายว่าด้วยการนั้น เว้นแต่ (1) บทบัญญัติเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล และบทบัญญัติเกี่ยวกับสิทธิของเจ้าของข้อมูลส่วนบุคคล รวมทั้งบทกำหนดโทษที่เกี่ยวข้อง ให้บังคับตามบทบัญญัติแห่งพระราชบัญญัตินี้เป็นการเพิ่มเติม ไม่ว่าจะซ้ำกับบทบัญญัติแห่งกฎหมายว่าด้วยการนั้นหรือไม่ก็ตาม ฯลฯ ดังนั้น เพื่อให้การเปิดเผยข้อมูลส่วนบุคคลของแพทยสภาในประเด็นที่หารือเป็นไปตามกฎหมายทั้ง 2 ฉบับ แพทยสภาจึงควรพิจารณาเปิดเผยข้อมูลส่วนบุคคลให้เป็นไปตามพระราชบัญญัติข้อมูลข่าวสารของราชการ พ.ศ. 2540 ซึ่งเป็นกฎหมายที่ได้บัญญัติเกี่ยวกับการคุ้มครองข้อมูลส่วนบุคคลสำหรับหน่วยงานของรัฐไว้โดยเฉพาะแล้วเป็นหลักก่อน และให้พิจารณาบทบัญญัติเกี่ยวกับการเปิดเผยข้อมูลส่วนบุคคลตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 เป็นการเพิ่มเติมในการดำเนินการดังกล่าว โดยคณะอนุกรรมการตอบข้อหารือฯ มีความเห็นในแต่ละประเด็นที่หารือ ดังนี้

ประเด็นข้อหารือที่ 1 ในประเด็นที่ว่า แพทยสภาจะอนุญาตให้ประชาชนทั่วไปหรือผู้ที่เกี่ยวข้องสามารถเข้าตรวจสอบสถานะเพิกถอนหรือพักใช้ใบอนุญาตประกอบวิชาชีพเวชกรรม รวมถึงระยะเวลาในการพักใช้ใบอนุญาตฯ ได้หรือไม่ นั้น เห็นว่า แพทยสภามีวัตถุประสงค์ประการหนึ่งในการควบคุมการประพฤติของผู้ประกอบวิชาชีพเวชกรรมให้ถูกต้องตามจริยธรรมแห่งวิชาชีพเวชกรรม ตามมาตรา 6 ประกอบมาตรา 7 (1) แห่งพระราชบัญญัติวิชาชีพเวชกรรม พ.ศ. 2525 และมีอำนาจหน้าที่ในการรับขึ้นทะเบียนและออกใบอนุญาตให้แก่ผู้ขอเป็นผู้ประกอบวิชาชีพเวชกรรม และพักใช้ใบอนุญาตหรือเพิกถอนใบอนุญาตเป็นผู้ประกอบวิชาชีพเวชกรรม ตามมาตรา 6 ประกอบมาตรา 8 (1) และ (2) นอกจากนี้ แพทยสภายังมีหน้าที่ตามมาตรา 33 แห่งพระราชบัญญัติวิชาชีพเวชกรรม พ.ศ. 2525 ในการดำเนินการเกี่ยวกับการพิจารณาจริยธรรมผู้ประกอบวิชาชีพเวชกรรมเมื่อได้รับเรื่องการกล่าวหาหรือการกล่าวโทษผู้ประกอบวิชาชีพเวชกรรมตามมาตรา 32 โดยเป็นไปตามข้อบังคับแพทยสภาว่าด้วยวิธีพิจารณาจริยธรรมผู้ประกอบวิชาชีพเวชกรรม พ.ศ. 2563 ซึ่งเมื่อคณะกรรมการแพทยสภาได้รับสำนวนการสอบสวนและความเห็นของคณะอนุกรรมการสอบสวนแล้ว มาตรา 39 แห่งพระราชบัญญัติวิชาชีพเวชกรรม พ.ศ. 2525 กำหนดให้คณะกรรมการแพทยสภาพิจารณาและมีอำนาจวินิจฉัยชี้ขาด โดยคำวินิจฉัยชี้ขาดให้ทำเป็นคำสั่งแพทยสภา และมาตรา 40 กำหนดให้เลขาธิการแพทยสภาบันทึกคำสั่งแพทยสภาไว้ในทะเบียนผู้ประกอบวิชาชีพเวชกรรมด้วย โดยผู้ประกอบวิชาชีพเวชกรรมซึ่งถูกสั่งพักใช้ใบอนุญาต ให้ถือว่ามิได้เป็นผู้ประกอบวิชาชีพเวชกรรมนับแต่วันที่คณะกรรมการแพทยสภาสั่งพักใช้ใบอนุญาตนั้น ตามมาตรา 41 วรรคหนึ่ง

การที่แพทยสภาเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลของผู้ประกอบวิชาชีพเวชกรรม เพื่อดำเนินการให้เป็นไปตามวัตถุประสงค์และอำนาจหน้าที่ตามพระราชบัญญัติวิชาชีพเวชกรรม พ.ศ. 2525 จึงถือเป็นการปฏิบัติตามกฎหมายของผู้ควบคุมข้อมูลส่วนบุคคล ตาม [มาตรา 24](https://link.pdpalawbase.com/section/24.md) (6) ประกอบ [มาตรา 27](https://link.pdpalawbase.com/section/27.md) วรรคหนึ่ง แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 และ/หรือเป็นการจำเป็นเพื่อการปฏิบัติหน้าที่ในการดำเนินภารกิจเพื่อประโยชน์สาธารณะของผู้ควบคุมข้อมูลส่วนบุคคล หรือปฏิบัติหน้าที่ในการใช้อำนาจรัฐที่ได้มอบให้แก่ผู้ควบคุมข้อมูลส่วนบุคคล ตาม [มาตรา 24](https://link.pdpalawbase.com/section/24.md) (4) ประกอบ [มาตรา 27](https://link.pdpalawbase.com/section/27.md) วรรคหนึ่ง ซึ่งเป็นกรณีที่ได้รับยกเว้นไม่ต้องขอความยินยอมจากเจ้าของข้อมูลส่วนบุคคล ดังนั้น แพทยสภาจึงสามารถเปิดเผยข้อมูลชื่อ-สกุล เลขที่ใบอนุญาตของผู้ประกอบวิชาชีพเวชกรรม รวมถึงข้อมูลเกี่ยวกับสถานะใบอนุญาต รวมถึงการเพิกถอนหรือพักใช้ใบอนุญาต และระยะเวลาในการถูกพักใช้ใบอนุญาตของผู้ประกอบวิชาชีพเวชกรรมบนเว็บไซต์ของแพทยสภาได้ โดยได้รับยกเว้นไม่ต้องขอความยินยอมจากเจ้าของข้อมูลส่วนบุคคล ตาม [มาตรา 24](https://link.pdpalawbase.com/section/24.md) (4) และ (6) ประกอบ [มาตรา 27](https://link.pdpalawbase.com/section/27.md) วรรคหนึ่ง แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ในฐานะที่แพทยสภาเป็นสภาวิชาชีพหรือองค์กรควบคุมการประกอบวิชาชีพที่มีวัตถุประสงค์ในการควบคุมการประพฤติของผู้ประกอบวิชาชีพเวชกรรมให้ถูกต้องตามจริยธรรมแห่งวิชาชีพเวชกรรม อันเป็นประโยชน์สาธารณะ

อย่างไรก็ตาม [มาตรา 27](https://link.pdpalawbase.com/section/27.md) วรรคสาม แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 กำหนดให้แพทยสภาต้องบันทึกการใช้หรือเปิดเผยข้อมูลส่วนบุคคลนั้นไว้ในบันทึกรายการ (Record of Processing Activities: ROPA) ตาม [มาตรา 39](https://link.pdpalawbase.com/section/39.md) ด้วย นอกจากนี้ [มาตรา 35](https://link.pdpalawbase.com/section/35.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 กำหนดให้แพทยสภามีหน้าที่ต้องดำเนินการให้ข้อมูลส่วนบุคคลนั้น (เช่น สถานะใบอนุญาตของผู้ประกอบวิชาชีพเวชกรรม) ถูกต้อง เป็นปัจจุบัน สมบูรณ์ และไม่ก่อให้เกิดความเข้าใจผิด

สำหรับประเด็นที่ว่า เมื่อพ้นระยะเวลาพักใช้ใบอนุญาตของผู้ประกอบวิชาชีพเวชกรรมแล้ว แพทยสภาจะสามารถคงไว้ซึ่งสถานะที่เคยถูกลงโทษได้หรือไม่ อย่างไร นั้น เห็นว่า แพทยสภามีหน้าที่พิจารณาว่าจะสามารถเปิดเผยข้อมูลส่วนบุคคลตามที่หารือได้หรือไม่ เพียงใด โดยพิจารณาชั่งน้ำหนักว่า การเปิดเผยข้อมูลเกี่ยวกับสถานะและระยะเวลาการพักใช้ใบอนุญาตที่พ้นระยะเวลามาแล้วดังกล่าว ซึ่งเป็นส่วนหนึ่งของข้อมูลทางทะเบียนของผู้ประกอบวิชาชีพเวชกรรมตามมาตรา 40 แห่งพระราชบัญญัติวิชาชีพเวชกรรม พ.ศ. 2525 อยู่แล้วนั้น จะมีประโยชน์และความจำเป็นเพียงใดเพื่อให้บรรลุวัตถุประสงค์ในการตรวจสอบสถานะของผู้ประกอบวิชาชีพเวชกรรม ในทางกลับกัน การเปิดเผยดังกล่าวจะเป็นการรุกล้ำสิทธิส่วนบุคคลโดยไม่สมควรของผู้ประกอบวิชาชีพเวชกรรมหรือไม่ เพียงใด แล้วพิจารณาความเหมาะสมของการเปิดเผยข้อมูลตามวัตถุประสงค์ดังกล่าว โดยคำนึงถึงการปฏิบัติหน้าที่ตามกฎหมายของแพทยสภา ประโยชน์สาธารณะ และประโยชน์ของเอกชนที่เกี่ยวข้องประกอบกัน ตามนัยมาตรา 15 แห่งพระราชบัญญัติข้อมูลข่าวสารของราชการ พ.ศ. 2540 รวมทั้งหลักการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลที่ต้องกระทำเท่าที่จำเป็น (data minimization principle) ตาม [มาตรา 22](https://link.pdpalawbase.com/section/22.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562

ประเด็นข้อหารือที่ 2 แพทยสภาจะสามารถเปิดเผยข้อมูลในคำสั่งลงโทษจริยธรรมทั้งหมดหรือบางส่วนบนเว็บไซต์ของแพทยสภาเพื่อให้ประชาชนและ/หรือหน่วยงานที่เกี่ยวข้องได้ทราบ จะสามารถทำได้หรือไม่ เพียงใด นั้น เห็นว่า มาตรา 9 แห่งพระราชบัญญัติข้อมูลข่าวสารของราชการ พ.ศ. 2540 บัญญัติว่า หน่วยงานของรัฐต้องจัดให้มีข้อมูลข่าวสารของราชการอย่างน้อยดังต่อไปนี้ไว้ให้ประชาชนเข้าตรวจดูได้ (1) ผลการพิจารณาหรือคำวินิจฉัยที่มีผลโดยตรงต่อเอกชน รวมทั้งความเห็นแย้งและคำสั่งที่เกี่ยวข้องในการพิจารณาวินิจฉัยดังกล่าว ฯลฯ โดยบุคคลไม่ว่าจะมีส่วนได้เสียเกี่ยวข้องหรือไม่ก็ตาม ย่อมมีสิทธิเข้าตรวจดู ขอสำเนาหรือขอสำเนาที่มีคำรับรองถูกต้องของข้อมูลข่าวสารดังกล่าวได้ และถ้ามีส่วนที่ต้องห้ามมิให้เปิดเผยตามมาตรา 14 หรือมาตรา 15 อยู่ด้วย ให้หน่วยงานของรัฐลบหรือตัดทอนหรือทำโดยประการอื่นใดที่ไม่เป็นการเปิดเผยข้อมูลข่าวสารส่วนนั้น โดยมาตรา 15 (5) แห่งพระราชบัญญัติข้อมูลข่าวสารของราชการ พ.ศ. 2540 กำหนดให้หน่วยงานของรัฐอาจมีคำสั่งมิให้เปิดเผยข้อมูลข่าวสารของราชการก็ได้ หากเป็นข้อมูลข่าวสารส่วนบุคคลซึ่งการเปิดเผยจะเป็นการรุกล้ำสิทธิส่วนบุคคลโดยไม่สมควร โดยให้คำนึงถึงการปฏิบัติหน้าที่ตามกฎหมายของหน่วยงานของรัฐ ประโยชน์สาธารณะ และประโยชน์ของเอกชนที่เกี่ยวข้องประกอบกัน

สำหรับการเปิดเผยข้อมูลในคำสั่งลงโทษจริยธรรมทั้งหมดหรือบางส่วนบนเว็บไซต์ของแพทยสภา ข้อบังคับแพทยสภาว่าด้วยวิธีพิจารณาจริยธรรมผู้ประกอบวิชาชีพเวชกรรม พ.ศ. 2563 ที่ออกโดยคณะกรรมการแพทยสภาตามมาตรา 21 (3) (ช) โดยความเห็นชอบของสภานายกพิเศษตามมาตรา 25 วรรคหนึ่ง (1) แห่งพระราชบัญญัติวิชาชีพเวชกรรม พ.ศ. 2525 ข้อ 47 วรรคสอง กำหนดว่า คำสั่งพักใช้หรือเพิกถอนใบอนุญาตประกอบวิชาชีพเวชกรรมของผู้ใด ให้คณะกรรมการแพทยสภามีอำนาจในการเผยแพร่สื่ออิเล็กทรอนิกส์ของแพทยสภาก็ได้ นอกจากนี้ ข้อ 48 ของข้อบังคับดังกล่าว กำหนดว่า เพื่อประโยชน์สาธารณะ และเพื่อประโยชน์การศึกษา การวิจัย การประกอบวิชาชีพในทางการแพทย์ และการควบคุมการประพฤติของผู้ประกอบวิชาชีพเวชกรรม การเผยแพร่คำสั่งแพทยสภา เฉพาะมติคณะกรรมการแพทยสภาแก่สื่อมวลชนและสื่ออิเล็กทรอนิกส์ ให้อยู่ในดุลพินิจของคณะกรรมการแพทยสภา ดังนั้น แพทยสภา โดยความเห็นชอบของคณะกรรมการแพทยสภา จะต้องพิจารณาชั่งน้ำหนักความจำเป็นเพื่อให้บรรลุวัตถุประสงค์ในการเปิดเผยข้อมูลในคำสั่งลงโทษจริยธรรม โดยคำนึงถึงการปฏิบัติหน้าที่ตามกฎหมายของแพทยสภา ประโยชน์สาธารณะ และประโยชน์ของเอกชนที่เกี่ยวข้องประกอบกัน ตามนัยมาตรา 15 แห่งพระราชบัญญัติข้อมูลข่าวสารของราชการ พ.ศ. 2540 และจะต้องพิจารณาเปิดเผยข้อมูลส่วนบุคคลเท่าที่จำเป็น ตามนัย [มาตรา 22](https://link.pdpalawbase.com/section/22.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ด้วย เพื่อไม่ให้เป็นการรุกล้ำสิทธิส่วนบุคคลโดยไม่สมควร โดยเฉพาะการเปิดเผยสำเนาคำสั่งลงโทษจริยธรรมทั้งฉบับบนเว็บไซต์ของแพทยสภา ที่มีข้อความหรือเนื้อหาสาระที่อาจมีผลกระทบต่อเกียรติยศและชื่อเสียงของบุคคลที่เกี่ยวข้อง หากปรากฏชื่อหรือสิ่งที่ทำให้สามารถระบุตัวบุคคลได้ทางตรงหรือทางอ้อมว่าเป็นบุคคลใด โดยไม่มีการลบหรือตัดทอนหรือทำโดยประการอื่นใดที่ไม่เป็นการเปิดเผยข้อมูลข่าวสารส่วนนั้นตามมาตรา 9 แห่งพระราชบัญญัติข้อมูลข่าวสารของราชการ พ.ศ. 2540 โดยเฉพาะในกรณีที่กระบวนการทางกฎหมายที่เกี่ยวข้องยังไม่ถึงที่สุด

## เอกสารต้นฉบับ

- [PDF ต้นฉบับ (local)](../../raw/opinions/opinion-11-2568.pdf)
- [ที่มา: pdpc.or.th](https://www.pdpc.or.th/wp-content/uploads/2026/02/consultation-63.pdf)

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/opinion/11-2568.md

============================================================
โนด: ข้อหารือ 12/2566
ลิงก์อ้างอิง: https://link.pdpalawbase.com/opinion/12-2566.md

# ข้อหารือที่ 12/2566 เรื่อง บริษัท อ. ขอความอนุเคราะห์แนวทางปฏิบัติในการดำเนินการกับทรัพย์สินที่เก็บได้ประเภทอุปกรณ์อิเล็กทรอนิกส์ที่มีข้อมูลส่วนบุคคลเพื่อให้เป็นไปตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562

## ข้อกฎหมาย

1. พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 — กรณีไม่ถือเป็นการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล · [มาตรา 6](https://link.pdpalawbase.com/section/6.md) และ [มาตรา 37](https://link.pdpalawbase.com/section/37.md) (1)

## ข้อหารือ

บริษัท อ. ได้จัดทำร่างหลักเกณฑ์เกี่ยวกับการรับฝากทรัพย์สินและการจัดเก็บทรัพย์สินที่เก็บได้ ณ สนามบินที่อยู่ในความรับผิดชอบ จึงขอหารือแนวปฏิบัติในการดำเนินการกับอุปกรณ์อิเล็กทรอนิกส์ที่มีข้อมูลส่วนบุคคลบันทึกอยู่ และการลบหรือทำลายข้อมูลส่วนบุคคลที่อยู่ในอุปกรณ์อิเล็กทรอนิกส์ก่อนนำไปจำหน่ายหรือขายทอดตลาดจะต้องทำอย่างใด

## ความเห็น

คณะกรรมการคุ้มครองข้อมูลส่วนบุคคล โดยคณะอนุกรรมการเฉพาะกิจตอบข้อหารือและให้คำแนะนำหน่วยงานของรัฐเพื่อรองรับการบังคับใช้พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ได้พิจารณาข้อหารือแล้ว ขอเรียนว่า การดำเนินกิจกรรมของแผนกบริการทรัพย์สินสูญหาย (Lost & Found) เป็นเพียงการจัดการทรัพย์สินที่ไม่ทราบว่าเป็นของผู้ใดเท่านั้น **ไม่ใช่เป็นการเก็บรวบรวมข้อมูลส่วนบุคคล**ที่จะทำให้บริษัทฯ เป็นผู้ควบคุมข้อมูลส่วนบุคคลแต่อย่างใด

อย่างไรก็ตาม เพื่อให้การดำเนินการของบริษัทฯ เป็นไปตามแนวทางปฏิบัติที่ดี (Best Practice) การที่บริษัทฯ จะนำทรัพย์สินดังกล่าวไปบริจาค/จำหน่าย/ขายทอดตลาด ในกรณีที่ไม่สามารถส่งคืนทรัพย์สินแก่ผู้เป็นเจ้าของได้ และบริษัทฯ สามารถดำเนินการกับทรัพย์สินดังกล่าวได้โดยชอบด้วยกฎหมาย บริษัทฯ ควรทำการลบหรือทำลายข้อมูลส่วนบุคคลที่อยู่ภายในอุปกรณ์อิเล็กทรอนิกส์ด้วย กล่าวคือ:

1. หากอุปกรณ์อิเล็กทรอนิกส์มีชิ้นส่วนที่ใช้จัดเก็บข้อมูลส่วนบุคคล ควรลบหรือทำลายข้อมูลที่อยู่ภายในชิ้นส่วนดังกล่าวให้เรียบร้อย ก่อนที่จะนำไปดำเนินการในขั้นตอนต่อไป เท่าที่จะสามารถกระทำได้
2. หากอุปกรณ์อิเล็กทรอนิกส์ไม่มีชิ้นส่วนที่ใช้จัดเก็บข้อมูลส่วนบุคคล แต่ข้อมูลดังกล่าวถูกจัดเก็บภายในอุปกรณ์อิเล็กทรอนิกส์ ควรตั้งค่าอุปกรณ์ให้กลับไปเป็นค่าโรงงาน (Factory Reset) ก่อนที่จะนำไปดำเนินการในขั้นตอนต่อไป
3. หากไม่สามารถเข้าถึงข้อมูลส่วนบุคคลภายในอุปกรณ์อิเล็กทรอนิกส์ได้ ไม่ว่าจะด้วยวิธีการใดก็ตาม ควรพิจารณาทำลายอุปกรณ์หรือทำลายชิ้นส่วนที่ใช้จัดเก็บข้อมูลส่วนบุคคลก่อน

ซึ่งอาจถือได้ว่าบริษัทฯ ได้จัดให้มีมาตรการรักษาความมั่นคงปลอดภัยของข้อมูลส่วนบุคคลที่เหมาะสมและเป็นไปตามที่กฎหมายกำหนดไว้แล้ว (ตาม [มาตรา 37](https://link.pdpalawbase.com/section/37.md) (1) แห่ง PDPA)

## เอกสารต้นฉบับ

- [PDF ต้นฉบับ (local)](../../raw/opinions/opinion-12-2566.pdf)
- [ที่มา: pdpc.or.th](https://www.pdpc.or.th/wp-content/uploads/2024/02/PDPC-consultation-12.pdf)

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/opinion/12-2566.md

============================================================
โนด: ข้อหารือ 12/2567
ลิงก์อ้างอิง: https://link.pdpalawbase.com/opinion/12-2567.md

# ข้อหารือที่ 12/2567 เรื่อง สมาคมธนาคารไทยขอหารือฐานทางกฎหมายในการเก็บรวบรวมและใช้เอกสารบัตรประจำตัวคนพิการ เพื่อการยืนยันตัวตนสำหรับการใช้บริการทางการเงินของผู้พิการ

## ข้อกฎหมาย

1. พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562
    [มาตรา 22](https://link.pdpalawbase.com/section/22.md) [มาตรา 23](https://link.pdpalawbase.com/section/23.md) [มาตรา 26](https://link.pdpalawbase.com/section/26.md) (5) (จ) [มาตรา 27](https://link.pdpalawbase.com/section/27.md) วรรคหนึ่ง และ [มาตรา 37](https://link.pdpalawbase.com/section/37.md) (1)
2. พระราชบัญญัติป้องกันและปราบปรามการฟอกเงิน พ.ศ. 2542 และที่แก้ไขเพิ่มเติม
    มาตรา 20 มาตรา 20/1 วรรคหนึ่งและวรรคสอง มาตรา 22 วรรคหนึ่ง มาตรา 40 (3/1)
3. กฎกระทรวงกำหนดธุรกรรมที่สถาบันการเงินและผู้ประกอบอาชีพตามมาตรา 16 ต้องจัดให้ลูกค้าแสดงตน
    พ.ศ. 2562
    ข้อ 6
4. กฎกระทรวงการตรวจสอบเพื่อทราบข้อเท็จจริงเกี่ยวกับลูกค้า พ.ศ. 2563
    ข้อ 17
5. ประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง มาตรการรักษาความมั่นคงปลอดภัยของผู้ควบคุม
    ข้อมูลส่วนบุคคล พ.ศ. 2565

## ข้อหารือ

สมาคมธนาคารไทยขอหารือกรณีการจัดทำแนวปฏิบัติของสมาคมธนาคารไทยและธนาคารสมาชิก
เพื่อสนับสนุนให้เกิดการให้บริการทางการเงินแก่ลูกค้าผู้พิการอย่างเป็นธรรม เพื่อเป็นมาตรฐานแนวปฏิบัติขั้นต่ำ
สำหรับธนาคารในการให้บริการทางการเงินแก่ผู้พิการ ซึ่งจากการประชุมหารือของคณะทำงาน รวมถึงผู้ที่เกี่ยวข้อง
ได้มีข้อซักถามเกี่ยวกับแนวปฏิบัติในการเก็บรวบรวมและใช้เอกสารแสดงตนสำหรับการใช้บริการทางการเงิน
ของผู้พิการว่า การเก็บรวบรวมและใช้บัตรประจำตัวคนพิการหรือสมุดประจำตัวคนพิการ เป็นเอกสารแสดงตน
ของผู้พิการ ถือได้ว่าธนาคารมีการประมวลผลข้อมูลส่วนบุคคลที่อ่อนไหว (sensitive data) ตาม [มาตรา 26](https://link.pdpalawbase.com/section/26.md)
แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ 2562 ธนาคารต้องได้รับความยินยอมในการประมวลผลข้อมูล
ส่วนบุคคลดังกล่าวโดยชัดแจ้งจากเจ้าของข้อมูลส่วนบุคคล แต่ในขณะเดียวกันธนาคารมีหน้าที่ต้องปฏิบัติตามกฎหมาย
ว่าด้วยการป้องกันและปราบปรามการฟอกเงิน ในการจัดเก็บข้อมูลและเอกสารของลูกค้าเกี่ยวกับการแสดงตน
การทำธุรกรรม และการตรวจสอบเพื่อทราบข้อเท็จจริงเกี่ยวกับลูกค้า รวมถึงรายงานการทำธุรกรรม ซึ่งมีข้อกำหนดให้
ธนาคารต้องมีการจัดเก็บรักษาเอกสารตามหลักเกณฑ์และระยะเวลาที่กฎหมายกำหนด ตามมาตรา 22
แห่งพระราชบัญญัติป้องกันและปราบปรามการฟอกเงิน พ.ศ. 2542 และที่แก้ไขเพิ่มเติม หากการเก็บรวบรวม
และการใช้เอกสารแสดงตนของผู้พิการดังกล่าวต้องได้รับความยินยอมโดยชัดแจ้งจากเจ้าของข้อมูลส่วนบุคคล อาจเป็น
เหตุให้ธนาคารไม่สามารถปฏิบัติตามข้อกำหนดตามกฎหมายว่าด้วยการป้องกันและปราบปรามการฟอกเงินได้ สมาคมธนาคาร
ไทยจึงขอหารือเกี่ยวกับการเก็บรวบรวมและใช้เอกสารบัตรประจำตัวคนพิการ/สมุดประจำตัวคนพิการ ในการยืนยันตัวตน
สำหรับการใช้บริการทางการเงินของผู้พิการ ดังนี้
 1. ธนาคารสามารถอาศัยฐานทางกฎหมายที่เป็นข้อยกเว้นตาม [มาตรา 26](https://link.pdpalawbase.com/section/26.md) (4) หรือ [มาตรา 26](https://link.pdpalawbase.com/section/26.md) (5) (จ)
แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 โดยไม่ต้องขอความยินยอมโดยชัดแจ้งจากเจ้าของข้อมูล
ส่วนบุคคลได้หรือไม่ และขอความเห็นเพิ่มเติม
   2. ขอข้อเสนอแนะเพิ่มเติมเกี่ยวกับกิจกรรมการประมวลผลข้อมูลส่วนบุคคลดังกล่าว (ถ้ามี)
ความละเอียดแจ้งแล้ว นั้น

## ความเห็น

คณะอนุกรรมการตอบข้อหารือและให้คำแนะนำในการปฏิบัติตามกฎหมายว่าด้วยการคุ้มครอง
ข้อมูลส่วนบุคคล ในคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลได้พิจารณาข้อกฎหมายที่เกี่ยวข้องแล้ว เห็นว่า
มาตรา 20 แห่งพระราชบัญญัติป้องกันและปราบปรามการฟอกเงิน พ.ศ. 2542 และที่แก้ไขเพิ่มเติม
โดยพระราชบัญญัติป้องกันและปราบปรามการฟอกเงิน (ฉบับที่ 3) พ.ศ. 2552 ได้บัญญัติให้สถาบันการเงิน
และผู้ประกอบอาชีพตามมาตรา 16 จัดให้ลูกค้าแสดงตนทุกครั้งก่อนการทำธุรกรรมตามที่กำหนดในกฎกระทรวง
ซึ่งต้องกำหนดมาตรการเพื่อขจัดอุปสรรคในการแสดงตนของคนพิการหรือทุพพลภาพด้วย เว้นแต่ลูกค้าได้แสดง
ตนไว้ก่อนแล้ว โดยการแสดงตนดังกล่าวให้เป็นไปตามวิธีการที่รัฐมนตรีประกาศกำหนด ซึ่งข้อ 6 ของกฎกระทรวง
กำหนดธุรกรรมที่สถาบันการเงินและผู้ประกอบอาชีพตามมาตรา 16 ต้องจัดให้ลูกค้าแสดงตน พ.ศ. 2562 ได้
กำหนดให้สถาบันการเงินและผู้ประกอบอาชีพตามมาตรา 16 ต้องกำหนดมาตรการและควบคุมดูแล
การทำธุรกรรมอย่างเคร่งครัด เพื่อมิให้มีการปฏิบัติอันเป็นอุปสรรคต่อการแสดงตนของลูกค้าที่เป็นคนพิการ
หรือคนทุพพลภาพ นอกจากนี้ มาตรา 20/1 วรรคหนึ่งและวรรคสอง แห่งพระราชบัญญัติป้องกันและปราบปราม
การฟอกเงิน พ.ศ. 2542 ซึ่งแก้ไขเพิ่มเติมโดยพระราชบัญญัติป้องกันและปราบปรามการฟอกเงิน (ฉบับที่ 3)
พ.ศ. 2552 กำหนดให้สถาบันการเงินต้องดำเนินการตรวจสอบเพื่อทราบข้อเท็จจริงเกี่ยวกับลูกค้าเมื่อเริ่มทำ
ธุรกรรมครั้งแรกโดยต้องตรวจสอบเป็นระยะจนสิ้นสุดดำเนินการเมื่อมีการปิดบัญชีหรือยุติความสัมพันธ์กับลูกค้า
โดยขอบเขตการตรวจสอบเพื่อทราบข้อเท็จจริงเกี่ยวกับลูกค้าดังกล่าว ให้เป็นไปตามหลักเกณฑ์และวิธีการ
ที่กำหนดในกฎกระทรวง โดยข้อ 17 ของกฎกระทรวงการตรวจสอบเพื่อทราบข้อเท็จจริงเกี่ยวกับลูกค้า
พ.ศ. 2563 กำหนดให้สถาบันการเงินตรวจสอบเพื่อทราบข้อเท็จจริงเกี่ยวกับลูกค้าโดยให้ดำเนินการระบุตัวตน
และพิสูจน์ทราบตัวตนของลูกค้า แล้วจึงตรวจสอบข้อมูลของลูกค้ากับข้อมูลรายชื่อบุคคลที่ถูกกำหนด
ตามกฎหมายที่เกี่ยวข้องก่อนดำเนินการต่อไป ประกอบกับสำนักงานป้องกันและปราบปรามการฟอกเงิน (สำนักงาน
ปปง.) ซึ่งมีอำนาจหน้าที่ในการกำหนดแนวทางปฏิบัติ กำกับ ตรวจสอบ และประเมินผลการปฏิบัติตามพระราชบัญญัติ
ดังกล่าวของผู้มีหน้าที่รายงานการทำธุรกรรมต่อสำนักงาน ปปง. ตามหลักเกณฑ์ วิธีการ และแนวปฏิบัติตามระเบียบที่
คณะกรรมการป้องกันและปราบปรามการฟอกเงินกำหนด ตามมาตรา 40 (3/1) แห่งพระราชบัญญัติป้องกัน
และปราบปรามการฟอกเงิน พ.ศ. 2542 ซึ่งแก้ไขเพิ่มเติมโดยพระราชบัญญัติป้องกันและปราบปรามการฟอกเงิน
(ฉบับที่ 4) พ.ศ. 2556 ได้กำหนดแนวทางปฏิบัติ เรื่อง การตรวจสอบเพื่อทราบข้อเท็จจริงเกี่ยวกับลูกค้า สำหรับสถาบัน
การเงิน ประเภทธนาคาร โดยกำหนดว่า ในการแสดงตนและการพิสูจน์ตัวตนลูกค้าบุคคลธรรมดา กรณีผู้พิการ
หรือผู้ทุพพลภาพที่ไม่มีบัตรประจำตัวประชาชน ให้ดำเนินการขอบัตรประจำตัวคนพิการ และเอกสารที่ออกจาก
หน่วยงานของรัฐอย่างน้อย 1 รายการ นอกจากนี้ มาตรา 22 วรรคหนึ่ง (1) แห่งพระราชบัญญัติป้องกันและปราบปราม
การฟอกเงิน พ.ศ. 2542 ซึ่งแก้ไขเพิ่มเติมโดยพระราชบัญญัติป้องกันและปราบปรามการฟอกเงิน (ฉบับที่ 2)
พ.ศ. 2551 กำหนดให้สถาบันการเงินเก็บรักษารายละเอียดเกี่ยวกับการแสดงตนตามมาตรา 20 เป็นเวลาห้าปี
นับแต่วันที่มีการปิดบัญชีหรือยุติความสัมพันธ์กับลูกค้า ซึ่งบัตรประจำตัวคนพิการหรือสมุดประจำตัวคนพิการ
เป็นเอกสารที่มีข้อมูลส่วนบุคคลเกี่ยวกับความพิการรวมอยู่ด้วย จึงเป็นข้อมูลส่วนบุคคลตาม [มาตรา 26](https://link.pdpalawbase.com/section/26.md) แห่งพระราชบัญญัติ
คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 หากลูกค้าที่ทำธุรกรรมเป็นคนพิการหรือทุพพลภาพ และเข้าเงื่อนไขที่ต้องแสดงตน
ก่อนการทำธุรกรรมที่กำหนด แต่ไม่มีบัตรประจำตัวประชาชน ย่อมเป็นเหตุให้ธนาคารหรือสถาบันการเงิน
มีความจำเป็นต้องขอบัตรประจำตัวคนพิการหรือสมุดประจำตัวคนพิการ และเอกสารที่ออกจากหน่วยงานของรัฐ
อย่างน้อย 1 รายการ เพื่อวัตถุประสงค์ในการแสดงตนและการพิสูจน์ตัวตนของลูกค้าสำหรับการทำธุรกรรม
ตามมาตรา 20 แห่งพระราชบัญญัติป้องกันและปราบปรามการฟอกเงิน พ.ศ. 2542 ซึ่งแก้ไขเพิ่มเติม
โดยพระราชบัญญัติป้องกันและปราบปรามการฟอกเงิน (ฉบับที่ 3) พ.ศ. 2552 ทั้งยังเป็นขั้นตอนแรก
ของการตรวจสอบเพื่อทราบข้อเท็จจริงเกี่ยวกับลูกค้า ตามมาตรา 20/1 แห่งพระราชบัญญัติป้องกัน
และปราบปรามการฟอกเงิน พ.ศ. 2542 ซึ่งแก้ไขเพิ่มเติมโดยพระราชบัญญัติป้องกันและปราบปรามการฟอกเงิน
(ฉบับที่ 3) พ.ศ. 2552 ประกอบกฎกระทรวงและแนวทางปฏิบัติของสำนักงาน ปปง. ที่เกี่ยวข้อง นอกจากนี้
ธนาคารหรือสถาบันการเงิน ในฐานะผู้ควบคุมข้อมูลส่วนบุคคล จะต้องเก็บรักษารายละเอียดเกี่ยวกับการแสดงตนดังกล่าวไว้
ตามระยะเวลาที่กฎหมายกำหนด ตามมาตรา 22 วรรคหนึ่ง (1) แห่งพระราชบัญญัติป้องกันและปราบปรามการฟอกเงิน
พ.ศ. 2542 ซึ่งแก้ไขเพิ่มเติมโดยพระราชบัญญัติป้องกันและปราบปรามการฟอกเงิน (ฉบับที่ 2) พ.ศ. 2551
อีกด้วย การเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลเกี่ยวกับความพิการของธนาคารหรือสถาบันการเงิน
เพื่อวัตถุประสงค์ดังกล่าว สำหรับลูกค้าซึ่งเป็นคนพิการหรือทุพพลภาพ ที่ใช้บัตรประจำตัวคนพิการหรือสมุดประจำตัวคน
พิการเพื่อการแสดงตนและการพิสูจน์ตัวตน หากธนาคารพิจารณาแล้วเห็นว่าเป็นกรณีที่เป็นการจำเป็นในการปฏิบัติ
ตามกฎหมายของธนาคารหรือสถาบันการเงิน และบทบัญญัติแห่งกฎหมายดังกล่าวมีขึ้นเพื่อให้การตัดวงจรการประกอบ
อาชญากรรมเกี่ยวกับการกระทำความผิดมูลฐานตามกฎหมายว่าด้วยการป้องกันและปราบปรามการฟอกเงินเป็นไปอย่าง
มีประสิทธิภาพ จึงอาจถือได้ว่าเป็นการจำเป็นในการปฏิบัติตามกฎหมายเพื่อให้บรรลุวัตถุประสงค์เกี่ยวกับประโยชน์
สาธารณะที่สำคัญ ก็จะได้รับยกเว้นไม่ต้องขอความยินยอมโดยชัดแจ้งจากเจ้าของข้อมูลส่วนบุคคล ตามนัย [มาตรา 26](https://link.pdpalawbase.com/section/26.md) (5)
(จ) ประกอบ [มาตรา 27](https://link.pdpalawbase.com/section/27.md) วรรคหนึ่ง แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 แต่ธนาคารหรือสถาบัน
การเงินจะต้องจัดให้มีมาตรการที่เหมาะสมเพื่อคุ้มครองสิทธิขั้นพื้นฐานและประโยชน์ของเจ้าของข้อมูลส่วนบุคคล
อย่างไรก็ดี ธนาคารจะเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลของลูกค้าได้เพียงเท่าที่จำเป็นภายใต้
วัตถุประสงค์อันชอบด้วยกฎหมายเท่านั้น ตาม [มาตรา 22](https://link.pdpalawbase.com/section/22.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562
และจะต้องแจ้งให้เจ้าของข้อมูลส่วนบุคคลทราบก่อนหรือในขณะเก็บรวบรวมข้อมูลส่วนบุคคลถึงรายละเอียด
ในการเก็บรวบรวมข้อมูลส่วนบุคคล ตาม [มาตรา 23](https://link.pdpalawbase.com/section/23.md) ซึ่งรวมถึง (1) วัตถุประสงค์ของการเก็บรวบรวมเพื่อการนำ
ข้อมูลส่วนบุคคลไปใช้หรือเปิดเผย และ (4) ประเภทของบุคคลหรือหน่วยงานซึ่งข้อมูลส่วนบุคคลที่เก็บรวบรวม
อาจจะถูกเปิดเผย โดยควรแจ้งรายละเอียดดังกล่าวให้เจ้าของข้อมูลส่วนบุคคลทราบด้วยวิธีการและรูปแบบ
ที่เป็นธรรม โปร่งใส และเหมาะสมสำหรับเจ้าของข้อมูลส่วนบุคคลที่เป็นคนพิการหรือทุพพลภาพดังกล่าว
และจะต้องปฏิบัติให้เป็นไปตามบทบัญญัติอื่น ๆ ของพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562
และกฎหมายอื่นที่เกี่ยวข้องอย่างครบถ้วนด้วย โดยเฉพาะการคุ้มครองสิทธิและเสรีภาพของคนพิการที่อาจขาด
ความสามารถในการปกป้องสิทธิและประโยชน์ของตนเนื่องจากข้อจำกัดต่าง ๆ โดยธนาคารหรือสถาบันการเงินในฐานะ
ผู้ควบคุมข้อมูลส่วนบุคคลจะต้องจัดให้มีมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสม เพื่อป้องกันการสูญหาย เข้าถึง
ใช้ เปลี่ยนแปลง แก้ไข หรือเปิดเผยข้อมูลส่วนบุคคลโดยปราศจากอำนาจหรือโดยมิชอบ โดยคำนึงถึงระดับความเสี่ยง
ตามลักษณะและวัตถุประสงค์ของการเก็บรวบรวม ใช้ และเปิดเผยข้อมูลส่วนบุคคล ตลอดจนโอกาสเกิดและผลกระทบ
จากเหตุการละเมิดข้อมูลส่วนบุคคล ซึ่งจะต้องเป็นไปตามมาตรฐานขั้นต่ำที่คณะกรรมการคุ้มครองข้อมูลส่วนบุคคล
ประกาศกำหนดตามประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง มาตรการรักษาความมั่นคงปลอดภัย
ของผู้ควบคุมข้อมูลส่วนบุคคล พ.ศ. 2565 ซึ่งออกตามความใน [มาตรา 37](https://link.pdpalawbase.com/section/37.md) (1) แห่งพระราชบัญญัติคุ้มครองข้อมูล
ส่วนบุคคล พ.ศ. 2562 รวมถึงอาจพิจารณาทำการแฝงข้อมูล (pseudonymization) เพื่อลดความเสี่ยงในการระบุตัวบุคคล
ที่เป็นเจ้าของข้อมูลส่วนบุคคล หรือทำการเข้ารหัสข้อมูล (encryption) หรือใช้มาตรการอื่นในลักษณะเดียวกัน
อย่างเหมาะสมตามระดับความเสี่ยง โดยคำนึงถึงปัจจัยทางเทคโนโลยี บริบท สภาพแวดล้อม มาตรฐานที่เป็นที่ยอมรับ
สำหรับหน่วยงานหรือกิจการในประเภทหรือลักษณะเดียวกันหรือใกล้เคียงกัน ลักษณะและวัตถุประสงค์ของการเก็บ
รวบรวม ใช้ และเปิดเผยข้อมูลส่วนบุคคล ทรัพยากรที่ต้องใช้ และความเป็นไปได้ในการดำเนินการประกอบกัน หากการ
ดำเนินการดังกล่าว ยังคงสามารถทำให้บรรลุวัตถุประสงค์ในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลนั้นได้

## เอกสารต้นฉบับ

- [PDF ต้นฉบับ (local)](../../raw/opinions/opinion-12-2567.pdf)
- [ที่มา: pdpc.or.th](https://www.pdpc.or.th/wp-content/uploads/2024/09/PDPC-consultation-41.pdf)

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/opinion/12-2567.md

============================================================
โนด: ข้อหารือ 13/2566
ลิงก์อ้างอิง: https://link.pdpalawbase.com/opinion/13-2566.md

# ข้อหารือที่ 13/2566 เรื่อง กรมส่งเสริมสหกรณ์หารือแนวทางปฏิบัติการรายงานข้อมูลส่วนบุคคลตามประกาศนายทะเบียนสหกรณ์ฯ

## ข้อกฎหมาย

1. พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 — [มาตรา 16](https://link.pdpalawbase.com/section/16.md) (3), [มาตรา 21](https://link.pdpalawbase.com/section/21.md), [มาตรา 22](https://link.pdpalawbase.com/section/22.md), [มาตรา 23](https://link.pdpalawbase.com/section/23.md), [มาตรา 24](https://link.pdpalawbase.com/section/24.md) (6), [มาตรา 27](https://link.pdpalawbase.com/section/27.md) และ [มาตรา 37](https://link.pdpalawbase.com/section/37.md) (1)
2. พระราชบัญญัติสหกรณ์ พ.ศ. 2542 ซึ่งแก้ไขเพิ่มเติมโดยพระราชบัญญัติสหกรณ์ (ฉบับที่ 3) พ.ศ. 2562 — มาตรา 89/2 (12)
3. แนวทางการดำเนินการในการแจ้งวัตถุประสงค์และรายละเอียดในการเก็บรวบรวมข้อมูลส่วนบุคคลจากเจ้าของข้อมูลส่วนบุคคลตาม PDPA

## ข้อหารือ

กรมส่งเสริมสหกรณ์ได้ออกประกาศนายทะเบียนสหกรณ์ เรื่อง การจัดเก็บและรายงานข้อมูลทางการเงินของสหกรณ์ออมทรัพย์และสหกรณ์เครดิตยูเนี่ยน พ.ศ. 2564 ลงวันที่ 22 กันยายน 2564 ตามข้อ 25 ของกฎกระทรวงการดำเนินงานและการกำกับดูแลสหกรณ์ออมทรัพย์และสหกรณ์เครดิตยูเนี่ยน พ.ศ. 2564 ซึ่งออกตามความในมาตรา 89/2 แห่งพระราชบัญญัติสหกรณ์ พ.ศ. 2542 ซึ่งแก้ไขเพิ่มเติมโดยพระราชบัญญัติสหกรณ์ (ฉบับที่ 3) พ.ศ. 2562

จึงขอหารือว่าการจัดเก็บและการรายงานข้อมูลทางการเงินของสหกรณ์ตามประกาศนายทะเบียนสหกรณ์ฯ ตามแบบรายงานที่ 5.3 ลูกหนี้เงินให้กู้ยืมรายใหญ่ (รายบุคคล) และแบบรายงานที่ 6.3 เจ้าหนี้เงินกู้และผู้ฝากเงินรายใหญ่ (รายบุคคล) รวมทั้งแบบรายงานอื่นที่มีข้อมูลส่วนบุคคล ซึ่งสหกรณ์จะต้องจัดส่งข้อมูลเกี่ยวกับชื่อ-นามสกุล เลขประจำตัวประชาชน และธุรกรรมทางการเงินของสมาชิกสหกรณ์ให้แก่นายทะเบียนสหกรณ์เป็นรายเดือน สามารถดำเนินการได้โดยไม่ต้องได้รับความยินยอมจากสมาชิกก่อนได้หรือไม่ และเข้าลักษณะตามข้อยกเว้นตาม [มาตรา 24](https://link.pdpalawbase.com/section/24.md) (4) หรือ (6) ประกอบ [มาตรา 27](https://link.pdpalawbase.com/section/27.md) แห่ง PDPA หรือไม่ อย่างไร

## ความเห็น

คณะกรรมการคุ้มครองข้อมูลส่วนบุคคล โดยคณะอนุกรรมการเฉพาะกิจตอบข้อหารือและให้คำแนะนำหน่วยงานของรัฐเพื่อรองรับการบังคับใช้พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ได้พิจารณาข้อหารือแล้ว ขอเรียนว่า แม้สหกรณ์ฯ ได้เก็บรวบรวมข้อมูลส่วนบุคคลจากสมาชิกของสหกรณ์ เช่น ชื่อ-นามสกุล เลขประจำตัวประชาชน ธุรกรรมทางการเงิน สถานะทางการเงินและข้อมูลเกี่ยวกับการเป็นลูกหนี้หรือเจ้าหนี้ เนื่องมาจากการทำสัญญาทางการเงินก็ตาม แต่เมื่อกฎกระทรวงฯ และประกาศนายทะเบียนสหกรณ์ฯ ดังกล่าว ซึ่งออกตามความในมาตรา 89/2 (12) แห่งพระราชบัญญัติสหกรณ์ฯ กำหนดให้ต้องจัดเก็บและรายงานข้อมูลต่ออธิบดีกรมส่งเสริมสหกรณ์ในฐานะนายทะเบียนสหกรณ์ ซึ่งเป็นผู้มีหน้าที่และอำนาจตาม พ.ร.บ. สหกรณ์ฯ

ดังนั้น สหกรณ์ฯ ในฐานะผู้ควบคุมข้อมูลส่วนบุคคลของสมาชิกมีหน้าที่ดำเนินการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลของสมาชิกต่อนายทะเบียนสหกรณ์และกรมส่งเสริมสหกรณ์ได้ ตาม [มาตรา 24](https://link.pdpalawbase.com/section/24.md) (6) ประกอบ [มาตรา 27](https://link.pdpalawbase.com/section/27.md) แห่ง PDPA โดยไม่ต้องได้รับความยินยอมจากสมาชิกในฐานะเจ้าของข้อมูลส่วนบุคคลแต่อย่างใด

อย่างไรก็ตาม นายทะเบียนสหกรณ์และกรมส่งเสริมสหกรณ์มีหน้าที่อื่นๆ ที่จะต้องปฏิบัติตาม PDPA ด้วย กล่าวคือ

1. การเก็บรวบรวมข้อมูลส่วนบุคคล ให้เก็บรวบรวมได้เท่าที่จำเป็นภายใต้วัตถุประสงค์อันชอบด้วยกฎหมายของผู้ควบคุมข้อมูลส่วนบุคคลตาม [มาตรา 22](https://link.pdpalawbase.com/section/22.md) · นายทะเบียนสหกรณ์และกรมส่งเสริมสหกรณ์มีหน้าที่ต้องพิจารณาด้วยว่า ข้อมูลดังกล่าวมีความจำเป็นที่ต้องเก็บรวบรวมเพื่อให้บรรลุวัตถุประสงค์ในการปฏิบัติหน้าที่ตามกฎหมายหรือไม่
2. ผู้ควบคุมข้อมูลส่วนบุคคลต้องทำการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลตามวัตถุประสงค์ที่ได้แจ้งเจ้าของข้อมูลส่วนบุคคลไว้ก่อนหรือในขณะที่เก็บรวบรวมตาม [มาตรา 21](https://link.pdpalawbase.com/section/21.md)
3. ในการเก็บรวบรวมข้อมูลส่วนบุคคล ผู้ควบคุมข้อมูลส่วนบุคคล (สหกรณ์ฯ) จะต้องแจ้งให้เจ้าของข้อมูลส่วนบุคคล (สมาชิก) ทราบก่อนหรือในขณะเก็บรวบรวมข้อมูลส่วนบุคคลถึงรายละเอียดตามที่กำหนดใน [มาตรา 23](https://link.pdpalawbase.com/section/23.md) โดยพึงดำเนินการให้สอดคล้องกับแนวทางการดำเนินการในการแจ้งวัตถุประสงค์และรายละเอียดในการเก็บรวบรวมข้อมูลส่วนบุคคลที่ คคส. กำหนดตาม [มาตรา 16](https://link.pdpalawbase.com/section/16.md) (3)
4. ผู้ควบคุมข้อมูลส่วนบุคคล (สหกรณ์และกรมส่งเสริมสหกรณ์) มีหน้าที่จัดให้มีมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสมตาม [มาตรา 37](https://link.pdpalawbase.com/section/37.md) (1) และมีหน้าที่อื่นๆ ตามที่ PDPA กำหนด

## เอกสารต้นฉบับ

- [PDF ต้นฉบับ (local)](../../raw/opinions/opinion-13-2566.pdf)
- [ที่มา: pdpc.or.th](https://www.pdpc.or.th/wp-content/uploads/2024/02/PDPC-consultation-13.pdf)

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/opinion/13-2566.md

============================================================
โนด: ข้อหารือ 13/2567
ลิงก์อ้างอิง: https://link.pdpalawbase.com/opinion/13-2567.md

# ข้อหารือที่ 13/2567 เรื่อง สมาคมธนาคารไทยขอหารือว่าข้อมูลที่สถาบันการเงินดำเนินการตามมาตรการป้องกันอาชญากรรมทางเทคโนโลยีที่กำหนดไว้ในพระราชกำหนดป้องกันและปราบปรามอาชญากรรมทางเทคโนโลยี พ.ศ. 2566 หรือรายชื่อที่หน่วยงานทางการ เช่น ตำรวจแจ้งมาที่สถาบันการเงิน เข้าข่ายเป็นข้อมูลส่วนบุคคลเกี่ยวกับประวัติอาชญากรรมหรือไม่

## ข้อกฎหมาย

1. พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562
      [มาตรา 4](https://link.pdpalawbase.com/section/4.md) (2) และ (5) [มาตรา 26](https://link.pdpalawbase.com/section/26.md) (5) (จ) [มาตรา 26](https://link.pdpalawbase.com/section/26.md) วรรคสาม และ [มาตรา 27](https://link.pdpalawbase.com/section/27.md) วรรคหนึ่ง
2. พระราชกำหนดมาตรการป้องกันและปราบปรามอาชญากรรมทางเทคโนโลยี พ.ศ. 2566
มาตรา 4 และมาตรา 12
3. ประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง หลักเกณฑ์เกี่ยวกับมาตรการคุ้มครองสำหรับ
การเก็บรวบรวมข้อมูลส่วนบุคคลเกี่ยวกับประวัติอาชญากรรมที่มิได้กระทำภายใต้การควบคุมของ
หน่วยงานที่มีอำนาจหน้าที่ตามกฎหมาย พ.ศ. 2566
ข้อ 3 ข้อ 4 ข้อ 5 ข้อ 6 ข้อ 7 ข้อ 8 และข้อ 9
4. ประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง มาตรฐานการรักษาความมั่นคงปลอดภัยของ
ข้อมูลส่วนบุคคลของผู้ควบคุมข้อมูลส่วนบุคคลซึ่งได้รับการยกเว้นไม่ให้นำพระราชบัญญัติคุ้มครอง
ข้อมูลส่วนบุคคล พ.ศ. 2562 มาใช้บังคับ พ.ศ. 2566

## ข้อหารือ

สมาคมธนาคารไทย ("สมาคมฯ")  แจ้งว่า สถาบันการเงินได้มีการเก็บรวบรวม ใช้ และเปิดเผย
ข้อมูลเกี่ยวกับบัญชีและธุรกรรมของลูกค้าที่เกี่ยวข้อง กรณีที่มีเหตุอันควรสงสัยว่ามีหรืออาจมีการกระทำความผิด
อาชญากรรมทางเทคโนโลยี ผ่านระบบ Central Fraud Registry (CFR) และข้อมูลที่มีอยู่กับสถาบันการเงิน เช่น ข้อมูล
เกี่ยวกับบัญชีและธุรกรรมของลูกค้าที่เกี่ยวข้อง รวมถึงข้อมูลเส้นทางการเงินตามพระราชกำหนดมาตรการป้องกัน
และปราบปรามอาชญากรรมทางเทคโนโลยี พ.ศ. 2566 ("พระราชกำหนดฯ") และ/หรือข้อมูลที่ได้รับจาก
หนังสือของกองบังคับการปราบปรามการกระทำความผิดเกี่ยวกับอาชญากรรมทางเศรษฐกิจ หรือคณะอนุกรรมการ
ขับเคลื่อนการบูรณาการศูนย์ปฏิบัติการแก้ไขปัญหาอาชญากรรมออนไลน์ (Anti Online Scam Operation
Center : AOC) เพื่อให้พิจารณาดำเนินการตรวจสอบเพื่อทราบข้อเท็จจริงเกี่ยวกับลูกค้า และ/หรือข้อมูลที่ปรากฏ
ในหมายคำสั่งให้อายัดบัญชีและธุรกรรมของลูกค้าที่เกี่ยวข้อง และหมายคำสั่งให้ตรวจสอบข้อมูลที่ได้รับจากตำรวจ
หรือหน่วยงานทางการที่มีอำนาจหน้าที่ตามกฎหมาย เพื่อกำหนดเป็นมาตรการเชิงรุกภายในของแต่ละสถาบัน
การเงินที่เพิ่มเติมขึ้นกว่าการระงับธุรกรรมตามระยะเวลาที่พระราชกำหนดฯ บัญญัติไว้ เช่น การกำหนดให้ลูกค้า
ตามรายชื่อที่เข้าข่ายและไม่ผ่านการตรวจสอบเพื่อทราบข้อเท็จจริงเกี่ยวกับลูกค้า (Customer Due Diligence:
CDD) จะต้องดำเนินการให้มีการยุติความสัมพันธ์ในผลิตภัณฑ์/บริการที่มีอยู่กับสถาบันการเงิน และ/หรือเพื่อไม่ให้
มีการสร้างความสัมพันธ์ใหม่โดยไม่สามารถเปิดบัญชีใหม่ได้ หรือให้เปิดบัญชีใหม่ได้ แต่จำกัดช่องทางไม่ให้สามารถ
ใช้บริการผ่านช่องทางอิเล็กทรอนิกส์ได้ เป็นต้น สมาคมธนาคารไทยจึงขอหารือการตีความเนื้อหาของประกาศ
คณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง หลักเกณฑ์เกี่ยวกับมาตรการคุ้มครองสำหรับการเก็บรวบรวมข้อมูล
ส่วนบุคคลเกี่ยวกับประวัติอาชญากรรมที่มิได้กระทำภายใต้การควบคุมของหน่วยงานที่มีอำนาจหน้าที่
ตามกฎหมาย พ.ศ. 2566 ("ประกาศฯ") ต่อคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล ในประเด็นดังต่อไปนี้
(1) ข้อมูลดังต่อไปนี้ ถือเป็น "ข้อมูลส่วนบุคคลเกี่ยวกับประวัติอาชญากรรม" ตามคำนิยาม
ในข้อ 3 ของประกาศฯ หรือไม่
(1.1) ข้อมูลเกี่ยวกับบัญชีและธุรกรรมของลูกค้าที่เกี่ยวข้อง รวมถึงข้อมูลเส้นทางการเงิน
ที่สถาบันการเงินแลกเปลี่ยนกันผ่านระบบ Central Fraud Registry (CFR) ตามข้อกำหนดของพระราชกำหนดฯ
 (1.2) ข้อมูลที่สถาบันการเงินได้รับจากกองบังคับการปราบปรามการกระทำความผิด
เกี่ยวกับอาชญากรรมทางเศรษฐกิจ หรือคณะอนุกรรมการขับเคลื่อนการบูรณาการศูนย์ปฏิบัติการแก้ไขปัญหา
อาชญากรรมออนไลน์ (Anti Online Scam Operation Center : AOC) ตามตัวอย่างหนังสือของกองบังคับการ
ปราบปรามการกระทำความผิดเกี่ยวกับอาชญากรรมทางเศรษฐกิจที่ส่งมายังสถาบันการเงิน เพื่อขอทราบข้อมูล
บัญชีธนาคาร และขอให้ตรวจสอบเพื่อทราบข้อเท็จจริงเกี่ยวกับลูกค้า
 (1.3) ข้อมูลที่ปรากฏในหมายคำสั่งให้อายัดบัญชีและธุรกรรมของลูกค้าที่เกี่ยวข้อง
และหมายคำสั่งให้ตรวจสอบข้อมูลที่ได้รับจากตำรวจ หรือหน่วยงานทางการที่มีอำนาจหน้าที่ตามกฎหมาย
(2) หากคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลพิจารณาแล้วเห็นว่า ข้อมูลตามข้อหารือ
ในข้อ (1) ข้างต้น ถือเป็นข้อมูลส่วนบุคคลเกี่ยวกับประวัติอาชญากรรม สมาคมฯ ขอหารือเพิ่มเติม ในกรณีดังนี้
 (2.1) กรณีที่สถาบันการเงินนำข้อมูลดังกล่าวไปกำหนดเป็นมาตรการภายในของธนาคาร
เพื่อประโยชน์โดยชอบด้วยกฎหมายในการบริหารความเสี่ยงจากภัยทุจริตที่อาจเกิดกับลูกค้าทั่วไปในการป้องกัน
อาชญากรรมทางเทคโนโลยี และเพื่อดำเนินการตามนโยบายภายในของแต่ละสถาบันการเงินภายใต้ประกาศ
ธนาคารแห่งประเทศไทย ที่ ธปท.ฝนช. (02) ว.224/2566 เรื่อง นำส่งแนวนโยบายการบริหารจัดการภัยทุจริต
จากการทำธุรกรรมทางการเงิน ลงวันที่ 29 มีนาคม 2566 จะเข้าข้อยกเว้นตามกรณีดังต่อไปนี้หรือไม่
(ก) การปฏิบัติงานดังกล่าวของสถาบันการเงินถือว่าเป็นการเก็บรวบรวม
และใช้ข้อมูลส่วนบุคคลเกี่ยวกับประวัติอาชญากรรมที่ได้กระทำภายใต้การควบคุมของหน่วยงานที่มีอำนาจหน้าที่
ตามกฎหมาย ตาม [มาตรา 26](https://link.pdpalawbase.com/section/26.md) วรรคสาม แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ซึ่งจะมีผลให้
การเก็บรวบรวมและใช้ข้อมูลส่วนบุคคลเกี่ยวกับประวัติอาชญากรรมของสถาบันการเงินในกรณีนี้ไม่อยู่ภายใต้
การบังคับของประกาศฯ หรือไม่
 (ข) การเก็บรวบรวมและใช้ข้อมูลส่วนบุคคลเกี่ยวกับประวัติอาชญากรรม
ของสถาบันการเงินในกรณีนี้ สามารถตีความว่าเป็นการดำเนินการที่จำเป็นในการปฏิบัติตามกฎหมายเพื่อให้บรรลุ
วัตถุประสงค์เกี่ยวกับประโยชน์สาธารณะที่สำคัญ โดยได้จัดให้มีมาตรการที่เหมาะสมเพื่อคุ้มครองสิทธิ
ขั้นพื้นฐานและประโยชน์ของเจ้าของข้อมูลส่วนบุคคล ตาม [มาตรา 26](https://link.pdpalawbase.com/section/26.md) (5) (จ) แห่งพระราชบัญญัติคุ้มครองข้อมูล
ส่วนบุคคล พ.ศ. 2562 ซึ่งจะมีผลให้สถาบันการเงินสามารถเก็บรวบรวมและใช้ข้อมูลส่วนบุคคลเกี่ยวกับประวัติ
อาชญากรรมในกรณีนี้ โดยไม่ต้องได้รับความยินยอมโดยชัดแจ้งจากเจ้าของข้อมูลส่วนบุคคล หรือไม่
 (2.2) กรณีที่สถาบันการเงินเก็บรวบรวม ใช้ และเปิดเผยข้อมูลส่วนบุคคลเกี่ยวกับประวัติ
อาชญากรรม โดยปฏิบัติตามพระราชกำหนดฯ และ/หรือปฏิบัติตามหมายคำสั่งให้อายัดบัญชีและธุรกรรมของลูกค้า
ที่เกี่ยวข้อง และหมายคำสั่งให้ตรวจสอบข้อมูลที่ได้รับจากตำรวจ หรือหน่วยงานทางการที่มีอำนาจหน้าที่ตามกฎหมาย
ถือเป็นกรณีที่เข้าข้อยกเว้นตามเหตุผลดังต่อไปนี้หรือไม่
 (ก) การเก็บรวบรวมและใช้ข้อมูลส่วนบุคคลเกี่ยวกับประวัติอาชญากรรมที่ได้กระทำ
ภายใต้การควบคุมของหน่วยงานที่มีอำนาจหน้าที่ตามกฎหมาย ตาม [มาตรา 26](https://link.pdpalawbase.com/section/26.md) วรรคสาม แห่งพระราชบัญญัติคุ้มครอง
ข้อมูลส่วนบุคคล พ.ศ. 2562 ซึ่งจะมีผลให้การเก็บรวบรวมและใช้ข้อมูลส่วนบุคคลเกี่ยวกับประวัติอาชญากรรม
ของสถาบันการเงินในกรณีนี้ไม่อยู่ภายใต้การบังคับของประกาศฯ หรือไม่
   (ข) กรณีการปฏิบัติตามพระราชกำหนดฯ เป็นการดำเนินการที่จำเป็นในการปฏิบัติ
ตามกฎหมายเพื่อให้บรรลุวัตถุประสงค์เกี่ยวกับประโยชน์สาธารณะที่สำคัญ โดยได้จัดให้มีมาตรการ
ที่เหมาะสมเพื่อคุ้มครองสิทธิขั้นพื้นฐานและประโยชน์ของเจ้าของข้อมูลส่วนบุคคล ตาม [มาตรา 26](https://link.pdpalawbase.com/section/26.md) (5) (จ)
แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 หรือไม่อยู่ภายใต้การบังคับตามประกาศฯ
และพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 เนื่องด้วยมาตรา 12 แห่งพระราชกำหนดฯ
บัญญัติให้การเก็บรวบรวม ใช้ และเปิดเผยข้อมูลส่วนบุคคลตามพระราชกำหนดฯ ไม่อยู่ภายใต้บังคับ
ของกฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคล ซึ่งจะมีผลให้สถาบันการเงินสามารถเก็บรวบรวม
และใช้ข้อมูลส่วนบุคคลเกี่ยวกับประวัติอาชญากรรมในกรณีนี้ โดยไม่ต้องได้รับความยินยอมโดยชัดแจ้ง
จากเจ้าของข้อมูลส่วนบุคคล หรือไม่
 (2.3) หากการที่สถาบันการเงินเก็บรวบรวม ใช้ และเปิดเผยข้อมูลส่วนบุคคลเกี่ยวกับประวัติ
อาชญากรรม โดยกำหนดเป็นมาตรการภายในของธนาคารเพื่อประโยชน์โดยชอบด้วยกฎหมาย และ/หรือปฏิบัติ
ตามพระราชกำหนดฯ และ/หรือปฏิบัติตามหมายคำสั่ง ถือเป็นกรณีที่เข้าข้อยกเว้นตามข้อหารือในข้อ
(2.1) และ/หรือข้อ (2.2) ข้างต้น ระยะเวลาในการจัดเก็บข้อมูลที่สถาบันการเงินแลกเปลี่ยนกันผ่านระบบ
Central Fraud Registry (CFR) และ/หรือที่สถาบันการเงินจะเก็บรักษาข้อมูลการปฏิบัติตามมาตรการภายใน
ของธนาคาร หรือการปฏิบัติตามหมายคำสั่ง สามารถอ้างอิงอายุความตามกฎหมายอื่นใดที่เกี่ยวข้อง รวมถึงแต่ไม่
จำกัดเพียงระยะเวลาตามกฎหมายว่าด้วยการป้องกันและปราบปรามการฟอกเงิน หรือระยะเวลาอายุความ
คดีอาญาตามมาตรา 95 แห่งประมวลกฎหมายอาญาได้หรือไม่

## ความเห็น

คณะอนุกรรมการตอบข้อหารือและให้คำแนะนำในการปฏิบัติตามกฎหมายว่าด้วยการคุ้มครอง
ข้อมูลส่วนบุคคล ในคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลได้พิจารณาข้อหารือดังกล่าวแล้วเห็นว่า ตามข้อ 3
ของประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง หลักเกณฑ์เกี่ยวกับมาตรการคุ้มครองสำหรับการเก็บรวบรวม
ข้อมูลส่วนบุคคลเกี่ยวกับประวัติอาชญากรรมที่มิได้กระทำภายใต้การควบคุมของหน่วยงานที่มีอำนาจหน้าที่
ตามกฎหมาย พ.ศ. 2566 ซึ่งออกตามความใน [มาตรา 26](https://link.pdpalawbase.com/section/26.md) วรรคสาม แห่งพระราชบัญญัติคุ้มครองข้อมูล
ส่วนบุคคล พ.ศ. 2562 คำว่า "ข้อมูลส่วนบุคคลเกี่ยวกับประวัติอาชญากรรม" หมายความว่า ข้อมูลส่วนบุคคล
เกี่ยวกับการสืบสวนสอบสวนการกระทำความผิดอาญา การดำเนินคดีอาญา หรือการรับโทษทางอาญา
ที่เป็นข้อมูลที่เป็นทางการหรือรับรองโดยหน่วยงานของรัฐที่มีอำนาจหน้าที่ตามกฎหมายเกี่ยวกับการดำเนินการ
ดังกล่าว ทั้งนี้ ไม่ว่าการดำเนินการนั้นจะถึงที่สุดแล้วหรือไม่ก็ตาม ดังนั้น ข้อมูลส่วนบุคคลเกี่ยวกับการกระทำ
ความผิดอาญา การดำเนินคดีอาญา หรือการรับโทษทางอาญา ที่สถาบันการเงินได้รับจากกองบังคับการปราบปราม
การกระทำความผิดเกี่ยวกับอาชญากรรมทางเศรษฐกิจ หรือคณะอนุกรรมการขับเคลื่อนการบูรณาการศูนย์ปฏิบัติการ
แก้ไขปัญหาอาชญากรรมออนไลน์ (Anti Online Scam Operation Center : AOC) ตามประเด็นที่หารือ (1.2)
และข้อมูลที่ปรากฏในหมายคำสั่งให้อายัดบัญชีและธุรกรรมของลูกค้าที่เกี่ยวข้องและหมายคำสั่งให้ตรวจสอบ
ข้อมูลที่ได้รับจากตำรวจหรือหน่วยงานของรัฐที่มีอำนาจหน้าที่ตามกฎหมาย ตามประเด็นที่หารือ (1.3) จึงถือเป็น
ข้อมูลส่วนบุคคลเกี่ยวกับประวัติอาชญากรรมตามบทนิยามในข้อ 3 ของประกาศฯ
ส่วนกรณีข้อมูลเกี่ยวกับบัญชีและธุรกรรมของลูกค้าที่เกี่ยวข้อง รวมถึงข้อมูลเส้นทางการเงิน
ที่สถาบันการเงินแลกเปลี่ยนกันผ่านระบบ Central Fraud Registry (CFR) ตามข้อกำหนดในมาตรา 4
แห่งพระราชกำหนดมาตรการป้องกันและปราบปรามอาชญากรรมทางเทคโนโลยี พ.ศ. 2566 ที่กำหนดให้สถาบัน
การเงินและผู้ประกอบธุรกิจมีหน้าที่เปิดเผยหรือแลกเปลี่ยนข้อมูลดังกล่าวในระหว่างสถาบันการเงินและผู้ประกอบ
ธุรกิจนั้นผ่านระบบหรือกระบวนการเปิดเผยหรือแลกเปลี่ยนข้อมูลที่กระทรวงดิจิทัลเพื่อเศรษฐกิจและสังคม
สำนักงานตำรวจแห่งชาติ กรมสอบสวนคดีพิเศษ สำนักงานป้องกันและปราบปรามการฟอกเงิน และธนาคาร
แห่งประเทศไทย เห็นชอบร่วมกัน ในกรณีที่มีเหตุอันควรสงสัยว่ามีหรืออาจมีการกระทำความผิดอาชญากรรม
ทางเทคโนโลยี ตามประเด็นที่หารือ (1.1) นั้น เห็นว่า หากข้อมูลส่วนบุคคลที่เปิดเผยหรือแลกเปลี่ยนผ่านระบบ
หรือกระบวนการดังกล่าว ถูกนำไปใช้ในการสืบสวนสอบสวนการกระทำความผิดอาญา การดำเนินคดีอาญา
หรือการรับโทษทางอาญา และเป็นข้อมูลที่เป็นทางการหรือรับรองโดยหน่วยงานของรัฐที่มีอำนาจหน้าที่
ตามกฎหมายเกี่ยวกับการดำเนินการนั้น จะถือเป็นข้อมูลส่วนบุคคลเกี่ยวกับประวัติอาชญากรรมตามนิยามในข้อ 3
ของประกาศฯ แต่หากเป็นเพียงข้อมูลที่สถาบันการเงินและผู้ประกอบธุรกิจเปิดเผยหรือแลกเปลี่ยนระหว่างกัน
เนื่องจากมีเหตุอันควรสงสัยว่ามีหรืออาจมีการกระทำความผิดอาชญากรรมทางเทคโนโลยี แต่ไม่ได้ถูกนำไปใช้ใน
การสืบสวนสอบสวนการกระทำความผิดอาญา การดำเนินคดีอาญา หรือการรับโทษทางอาญา หรือไม่ใช่ข้อมูล
ที่เป็นทางการหรือรับรองโดยหน่วยงานของรัฐที่มีอำนาจหน้าที่ตามกฎหมายในเรื่องนั้น ก็อาจยังไม่ถือเป็นข้อมูล
ส่วนบุคคลเกี่ยวกับประวัติอาชญากรรมตามประกาศดังกล่าว การจะพิจารณาว่าข้อมูลส่วนบุคคลที่เปิดเผย
หรือแลกเปลี่ยนกันผ่านระบบหรือกระบวนการดังกล่าวเป็นข้อมูลส่วนบุคคลเกี่ยวกับประวัติอาชญากรรมหรือไม่
จึงต้องพิจารณาข้อเท็จจริงเป็นรายกรณี
สำหรับประเด็นที่หารือ (2.1) (ก) และ (ข) นั้น เห็นว่า ในกรณีที่สถาบันการเงินประสงค์
จะนำข้อมูลส่วนบุคคลเกี่ยวกับประวัติอาชญากรรมที่สถาบันการเงินได้ล่วงรู้หรือทราบมาจากการดำเนินการ
ตามพระราชกำหนดมาตรการป้องกันและปราบปรามอาชญากรรมทางเทคโนโลยี พ.ศ. 2566 หรือแหล่งอื่นใด
ไปเก็บรวบรวมและใช้โดยกำหนดเป็นมาตรการภายในของธนาคารเพื่อวัตถุประสงค์ในการบริหารความเสี่ยงจาก
ภัยทุจริตที่อาจเกิดกับลูกค้าทั่วไป และเพื่อดำเนินการตามนโยบายภายในของแต่ละสถาบันการเงินเอง หากไม่ใช่
การดำเนินการตามที่บทบัญญัติแห่งพระราชกำหนดดังกล่าวหรือกฎหมายอื่นกำหนดภายใต้การควบคุม
ของหน่วยงานของรัฐที่มีอำนาจหน้าที่ตามกฎหมายโดยตรง ก็ไม่ถือเป็นการเก็บรวบรวมข้อมูลส่วนบุคคลเกี่ยวกับ
ประวัติอาชญากรรมที่กระทำภายใต้การควบคุมของหน่วยงานที่มีอำนาจหน้าที่ตามกฎหมาย ตามนัย [มาตรา 26](https://link.pdpalawbase.com/section/26.md)
วรรคสาม แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ที่จะได้รับยกเว้นไม่ต้องปฏิบัติตามประกาศฯ
ตามข้อ 4 ของประกาศดังกล่าว จึงต้องปฏิบัติตามประกาศฯ โดยเฉพาะข้อ 6 ข้อ 7 และข้อ 8 ที่ครอบคลุม
การเก็บรวบรวมข้อมูลส่วนบุคคลเกี่ยวกับประวัติอาชญากรรมที่มิได้กระทำภายใต้การควบคุมของหน่วยงานที่มี
อำนาจหน้าที่ตามกฎหมายทุกกรณี ส่วนการพิจารณาว่าจะต้องปฏิบัติตามข้อ 5 และข้อ 9 ของประกาศฯ ด้วย
หรือไม่นั้น ขึ้นอยู่กับวัตถุประสงค์ในการเก็บรวบรวม ใช้ และเปิดเผยข้อมูลส่วนบุคคลเกี่ยวกับประวัติอาชญากรรม
ว่าเข้าข่ายวัตถุประสงค์ตามที่ระบุในข้อ 5 วรรคหนึ่ง (1) (2) หรือ (3) หรือไม่ หากเข้าข่ายวัตถุประสงค์ในข้อ 5
วรรคหนึ่ง (1) (2) หรือ (3) ก็จะต้องปฏิบัติตามข้อ 5 และข้อ 9 ของประกาศนี้ด้วย นอกจากนี้ การพิจารณาว่า
การเก็บรวบรวมและใช้ข้อมูลส่วนบุคคลเกี่ยวกับประวัติอาชญากรรมเพื่อวัตถุประสงค์ดังกล่าว จะเป็นกรณีที่ได้รับ
ยกเว้นไม่ต้องขอความยินยอมโดยชัดแจ้งจากเจ้าของข้อมูลส่วนบุคคลหรือไม่ สถาบันการเงินที่เป็นผู้ควบคุมข้อมูล
ส่วนบุคคลจะต้องพิจารณาตาม [มาตรา 26](https://link.pdpalawbase.com/section/26.md) วรรคหนึ่ง ประกอบ [มาตรา 27](https://link.pdpalawbase.com/section/27.md) วรรคหนึ่ง แห่งพระราชบัญญัติคุ้มครอง
ข้อมูลส่วนบุคคล พ.ศ. 2562 เช่น พิจารณาตาม [มาตรา 26](https://link.pdpalawbase.com/section/26.md) (5) (จ) ประกอบ [มาตรา 27](https://link.pdpalawbase.com/section/27.md) วรรคหนึ่งว่า
การดำเนินการดังกล่าวมีกฎหมายกำหนดให้ผู้ควบคุมข้อมูลส่วนบุคคลต้องดำเนินการ โดยมีเจตนารมณ์
หรือวัตถุประสงค์ที่เกี่ยวกับประโยชน์สาธารณะที่สำคัญหรือไม่ และผู้ควบคุมข้อมูลส่วนบุคคลมีความจำเป็นต้อง
เก็บรวบรวมและใช้ข้อมูลส่วนบุคคลเกี่ยวกับประวัติอาชญากรรมในการปฏิบัติตามกฎหมายเพื่อให้บรรลุ
วัตถุประสงค์ดังกล่าวหรือไม่ หากเข้าเงื่อนไขดังกล่าว ก็ย่อมถือเป็นกรณีที่เป็นการจำเป็นในการปฏิบัติ
ตามกฎหมายเพื่อให้บรรลุวัตถุประสงค์เกี่ยวกับประโยชน์สาธารณะที่สำคัญ ตาม [มาตรา 26](https://link.pdpalawbase.com/section/26.md) (5) (จ) ซึ่งได้รับ
ยกเว้นไม่ต้องขอความยินยอมโดยชัดแจ้งจากเจ้าของข้อมูลส่วนบุคคล โดยจะต้องจัดให้มีมาตรการที่เหมาะสม
เพื่อคุ้มครองสิทธิขั้นพื้นฐานและประโยชน์ของเจ้าของข้อมูลส่วนบุคคลด้วย แต่หากไม่เข้าเงื่อนไขดังกล่าว
และไม่ใช่กรณีอื่นตาม [มาตรา 26](https://link.pdpalawbase.com/section/26.md) (1) ถึง (5) ก็จะต้องได้รับความยินยอมโดยชัดแจ้งจากเจ้าของข้อมูลส่วนบุคคล
ในประเด็นที่หารือ (2.2) (ก) และ (ข) หากการเก็บรวบรวม ใช้ และเปิดเผยข้อมูลส่วนบุคคล
เกี่ยวกับประวัติอาชญากรรมตามที่หารือ เป็นการปฏิบัติตามพระราชกำหนดมาตรการป้องกันและปราบปราม
อาชญากรรมทางเทคโนโลยี พ.ศ. 2566 ย่อมถือเป็นกรณีที่ไม่อยู่ภายใต้บังคับของพระราชบัญญัติคุ้มครองข้อมูล
ส่วนบุคคล พ.ศ. 2562 ทั้งนี้ ตามมาตรา 12 ของพระราชกำหนดดังกล่าว นอกจากนี้ การดำเนินการ
ของหน่วยงานของรัฐตามพระราชกำหนดดังกล่าว อาจถือเป็นการดำเนินการของหน่วยงานของรัฐที่มีหน้าที่ในการ
รักษาความมั่นคงทางการคลังของรัฐ รวมทั้งหน้าที่เกี่ยวกับการป้องกันและปรามปรามการฟอกเงิน
ซึ่งเป็นกรณีที่ได้รับยกเว้นไม่ให้นำบทบัญญัติแห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562
มาใช้บังคับตาม [มาตรา 4](https://link.pdpalawbase.com/section/4.md) (2) และหากเป็นการสืบสวนสอบสวนเพื่อให้รู้ถึงการกระทำความผิดอาญา ผู้กระทำ
ความผิดอาญา ข้อเท็จจริงและรายละเอียดแห่งความผิดอาญา การติดตามหาตัวผู้กระทำความผิดอาญา ตลอดจน
การพิจารณาความผิดอาญา หรือการลงโทษผู้กระทำความผิดอาญา ก็ถือเป็นการดำเนินงานตามกระบวนการ
ยุติธรรมทางอาญา ที่ได้รับยกเว้นตาม [มาตรา 4](https://link.pdpalawbase.com/section/4.md) (5) ด้วย ทั้งนี้ ผู้ควบคุมข้อมูลส่วนบุคคลที่ได้รับยกเว้นไม่ให้นำ
บทบัญญัติแห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 มาใช้บังคับตาม [มาตรา 4](https://link.pdpalawbase.com/section/4.md) ยังคงมีหน้าที่
ต้องจัดให้มีการรักษาความมั่นคงปลอดภัยของข้อมูลส่วนบุคคลให้เป็นไปตามประกาศคณะกรรมการคุ้มครองข้อมูล
ส่วนบุคคล เรื่อง มาตรฐานการรักษาความมั่นคงปลอดภัยของข้อมูลส่วนบุคคลของผู้ควบคุมข้อมูลส่วนบุคคล
ซึ่งได้รับการยกเว้นไม่ให้นำพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 มาใช้บังคับ พ.ศ. 2566 ด้วย
ส่วนการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลเกี่ยวกับประวัติอาชญากรรม
ของสถาบันการเงิน เพื่อดำเนินการตามกฎหมายอื่นนอกเหนือจากพระราชกำหนดดังกล่าว หรือเป็นการปฏิบัติ
ตามหมายหรือคำสั่งของตำรวจ ศาล หรือหน่วยงานของรัฐที่มีอำนาจหน้าที่ตามกฎหมาย ที่ไม่ได้รับยกเว้น
การบังคับใช้พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ย่อมถือเป็นกรณีที่เป็นการจำเป็นในการปฏิบัติ
ตามกฎหมายเพื่อให้บรรลุวัตถุประสงค์เกี่ยวกับประโยชน์สาธารณะที่สำคัญ ซึ่งได้รับยกเว้นไม่ต้องขอความยินยอม
โดยชัดแจ้งจากเจ้าของข้อมูลส่วนบุคคลตาม [มาตรา 26](https://link.pdpalawbase.com/section/26.md) (5) (จ) ประกอบ [มาตรา 27](https://link.pdpalawbase.com/section/27.md) วรรคหนึ่ง
แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 เนื่องจากเป็นมาตรการบังคับใช้กฎหมาย
ที่มีความสำคัญเพื่อความสงบเรียบร้อยและศีลธรรมอันดีของประชาชน รวมทั้งอาจถือเป็นการกระทำภายใต้การ
ควบคุมของหน่วยงานที่มีอำนาจหน้าที่ตามกฎหมายตาม [มาตรา 26](https://link.pdpalawbase.com/section/26.md) วรรคสามด้วย หากเป็นการดำเนินการ
ที่หน่วยงานที่มีอำนาจหน้าที่ดังกล่าวเป็นผู้สั่งการหรือควบคุมโดยตรง เว้นแต่จะมีการเก็บรวบรวมข้อมูลส่วนบุคคล
เกี่ยวกับประวัติอาชญากรรมดังกล่าวเพื่อใช้หรือเปิดเผยในวัตถุประสงค์อื่น

## เอกสารต้นฉบับ

- [PDF ต้นฉบับ (local)](../../raw/opinions/opinion-13-2567.pdf)
- [ที่มา: pdpc.or.th](https://www.pdpc.or.th/wp-content/uploads/2024/09/PDPC-consultation-42.pdf)

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/opinion/13-2567.md

============================================================
โนด: ข้อหารือ 14/2566
ลิงก์อ้างอิง: https://link.pdpalawbase.com/opinion/14-2566.md

# ข้อหารือที่ 14/2566 เรื่อง โรงพยาบาล B ขอหารือกรณีพนักงานสอบสวนขอข้อมูลส่วนบุคคล

## ข้อกฎหมาย

1. พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 — [มาตรา 3](https://link.pdpalawbase.com/section/3.md), [มาตรา 4](https://link.pdpalawbase.com/section/4.md) (2) และ (5), [มาตรา 4](https://link.pdpalawbase.com/section/4.md) วรรคสาม, [มาตรา 21](https://link.pdpalawbase.com/section/21.md), [มาตรา 24](https://link.pdpalawbase.com/section/24.md), [มาตรา 26](https://link.pdpalawbase.com/section/26.md), [มาตรา 27](https://link.pdpalawbase.com/section/27.md) วรรคหนึ่ง และ [มาตรา 37](https://link.pdpalawbase.com/section/37.md) (1)
2. พระราชบัญญัติสถานพยาบาล พ.ศ. 2541 — มาตรา 35
3. พระราชบัญญัติสุขภาพแห่งชาติ พ.ศ. 2550 — มาตรา 7
4. ประมวลกฎหมายวิธีพิจารณาความอาญา

## ข้อหารือ

โรงพยาบาล B โดยฝ่ายกฎหมายของโรงพยาบาล ขอหารือกรณีพนักงานสอบสวนมักมีหนังสือ และ/หรือหมายเรียกพยานเอกสาร ขอให้โรงพยาบาล B ส่งประวัติการรักษาพยาบาลของผู้ป่วย ซึ่งถือเป็นข้อมูลส่วนบุคคลตาม PDPA เพื่อนำไปประกอบสำนวนการสอบสวนดำเนินคดีอาญา

โรงพยาบาล B จึงขอหารือถึงการใช้หรือเปิดเผยประวัติการรักษาพยาบาลของผู้ป่วย กรณีได้รับหนังสือ และ/หรือหมายเรียกพยานเอกสาร ออกโดยพนักงานสอบสวน เพื่อเป็นแนวทางในการปฏิบัติงานที่ถูกต้องต่อไป ดังนี้:

1. พนักงานสอบสวน สังกัดสำนักงานตำรวจแห่งชาติ ซึ่งมีอำนาจและหน้าที่ทำการสอบสวน เป็นการดำเนินการของหน่วยงานของรัฐที่มีหน้าที่ในการรักษาความปลอดภัยของประชาชน ตาม [มาตรา 4](https://link.pdpalawbase.com/section/4.md) (2) แห่ง PDPA หรือไม่ และสำนักงานตำรวจแห่งชาติไม่อยู่ภายใต้บังคับของ PDPA ใช่หรือไม่ และการกระทำตามอำนาจหน้าที่ของพนักงานสอบสวน ตามประมวลกฎหมายวิธีพิจารณาความอาญา เป็นการดำเนินการของเจ้าหน้าที่ที่ได้ดำเนินงานตามกระบวนการยุติธรรมทางอาญาตาม [มาตรา 4](https://link.pdpalawbase.com/section/4.md) (5) ซึ่งไม่อยู่ภายใต้บังคับของ PDPA ใช่หรือไม่
2. โรงพยาบาล B ในฐานะผู้ควบคุมข้อมูลส่วนบุคคล สามารถเปิดเผยข้อมูลส่วนบุคคล ตามที่พนักงานสอบสวนมีหนังสือ และ/หรือหมายเรียกพยานเอกสาร ให้กับพนักงานสอบสวนตาม [มาตรา 21](https://link.pdpalawbase.com/section/21.md) (2) แห่ง PDPA ได้หรือไม่
3. กรณีตามข้อ 1 ข้างต้น โรงพยาบาล B สามารถเปิดเผยประวัติการรักษาพยาบาล โดยไม่ต้องขอความยินยอมจากเจ้าของข้อมูลส่วนบุคคลก่อนให้กับพนักงานสอบสวนได้หรือไม่

## ความเห็น

คณะอนุกรรมการเฉพาะกิจตอบข้อหารือและให้คำแนะนำหน่วยงานของรัฐเพื่อรองรับการบังคับใช้พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ในคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล พิจารณาแล้วมีความเห็น ดังนี้

**ประเด็นหารือที่ 1** เห็นว่า การขอข้อมูลส่วนบุคคลของพนักงานสอบสวน เพื่อการสอบสวนซึ่งเป็นการรวบรวมพยานหลักฐานและการดำเนินการทั้งหลายอื่นตามบทบัญญัติแห่งประมวลกฎหมายวิธีพิจารณาความอาญา ซึ่งพนักงานสอบสวนได้ทำไปเกี่ยวกับความผิดที่กล่าวหา เพื่อที่จะทราบข้อเท็จจริงหรือพิสูจน์ความผิดและเพื่อจะเอาตัวผู้กระทำผิดมาฟ้องลงโทษ ตามประเด็นที่หารือนี้ ถือเป็นส่วนหนึ่งของการดำเนินงานของเจ้าหน้าที่ตามกระบวนการยุติธรรมทางอาญาตามนัย [มาตรา 4](https://link.pdpalawbase.com/section/4.md) (5) แห่ง PDPA

โดยกระบวนการยุติธรรมทางอาญาครอบคลุมตั้งแต่กระบวนการเพื่อให้รู้ถึงการกระทำความผิดอาญา ผู้กระทำความผิดอาญา ข้อเท็จจริงและรายละเอียดแห่งความผิดอาญา การติดตามหาตัวผู้กระทำความผิดอาญา การพิจารณาความผิดอาญา และการลงโทษผู้กระทำความผิดอาญา และในกรณีที่เจ้าหน้าที่ดังกล่าวเป็นบุคลากรของสำนักงานตำรวจแห่งชาติที่ปฏิบัติงานตามหน้าที่และอำนาจที่กฎหมายกำหนดไว้เพื่อการรักษาความปลอดภัยของประชาชน จะเข้าข่ายเป็นการดำเนินการของหน่วยงานของรัฐที่มีหน้าที่ในการรักษาความมั่นคงของรัฐ ซึ่งรวมถึงการรักษาความปลอดภัยของประชาชน ตามความใน [มาตรา 4](https://link.pdpalawbase.com/section/4.md) (2) แห่ง PDPA ด้วย

ดังนั้น กรณีตามประเด็นหารือดังกล่าว ถือเป็นการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลของสำนักงานตำรวจแห่งชาติ ในการปฏิบัติหน้าที่ในการรักษาความมั่นคงของรัฐ ซึ่งรวมถึงการรักษาความปลอดภัยของประชาชน เพื่อการดำเนินงานตามกระบวนการยุติธรรมทางอาญา **จึงไม่อยู่ภายใต้บังคับแห่ง PDPA ตาม [มาตรา 4](https://link.pdpalawbase.com/section/4.md) (2) และ (5)** อย่างไรก็ดี สำนักงานตำรวจแห่งชาติจะต้องจัดให้มีการรักษาความมั่นคงปลอดภัยของข้อมูลส่วนบุคคลให้เป็นไปตามมาตรฐานด้วย ตามความใน [มาตรา 4](https://link.pdpalawbase.com/section/4.md) วรรคสาม

**ประเด็นหารือที่ 2 และ 3** โรงพยาบาล B ในฐานะผู้ควบคุมข้อมูลส่วนบุคคล สามารถเก็บรวบรวมข้อมูลส่วนบุคคลเกี่ยวกับประวัติการรักษาพยาบาลของผู้ป่วย โดยได้รับยกเว้นไม่ต้องขอความยินยอมตาม [มาตรา 24](https://link.pdpalawbase.com/section/24.md) หรือ [มาตรา 26](https://link.pdpalawbase.com/section/26.md) แล้วแต่กรณี เช่น:
- เป็นการจำเป็นเพื่อการปฏิบัติตามสัญญาซึ่งเจ้าของข้อมูลส่วนบุคคลเป็นคู่สัญญาตาม [มาตรา 24](https://link.pdpalawbase.com/section/24.md) (3)
- เป็นการปฏิบัติตามสัญญาระหว่างเจ้าของข้อมูลส่วนบุคคลกับผู้ประกอบวิชาชีพทางการแพทย์ในกรณีที่ข้อมูลส่วนบุคคลนั้นอยู่ในความรับผิดชอบของผู้ประกอบอาชีพหรือวิชาชีพหรือผู้มีหน้าที่รักษาข้อมูลส่วนบุคคลนั้นไว้เป็นความลับตามกฎหมายตาม [มาตรา 26](https://link.pdpalawbase.com/section/26.md) (5) (ก)
- เป็นการปฏิบัติตามกฎหมายของผู้ควบคุมข้อมูลส่วนบุคคลตาม [มาตรา 24](https://link.pdpalawbase.com/section/24.md) (6) หรือเป็นการจำเป็นในการปฏิบัติตามกฎหมายตาม [มาตรา 26](https://link.pdpalawbase.com/section/26.md) (5) (ก) (เช่น หน้าที่ตามมาตรา 35 แห่งพระราชบัญญัติสถานพยาบาล พ.ศ. 2541)

ดังนั้น โรงพยาบาล B จึงสามารถใช้หรือเปิดเผยข้อมูลส่วนบุคคลดังกล่าว ซึ่งรวมถึงประวัติการรักษาพยาบาลของผู้ป่วยที่ถือเป็นข้อมูลส่วนบุคคลเกี่ยวกับข้อมูลสุขภาพตาม [มาตรา 26](https://link.pdpalawbase.com/section/26.md) แห่ง PDPA ตามที่พนักงานสอบสวนมีหนังสือ และ/หรือหมายเรียกพยานเอกสารได้ โดยไม่ต้องขอความยินยอมจากเจ้าของข้อมูลส่วนบุคคล เนื่องจากเป็นข้อมูลส่วนบุคคลที่เก็บรวบรวมได้โดยได้รับยกเว้นไม่ต้องขอความยินยอมตาม [มาตรา 24](https://link.pdpalawbase.com/section/24.md) หรือ [มาตรา 26](https://link.pdpalawbase.com/section/26.md) แล้วแต่กรณี ตามนัย [มาตรา 27](https://link.pdpalawbase.com/section/27.md) วรรคหนึ่ง

สำหรับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลตามวัตถุประสงค์ดังกล่าว ในกรณีที่ได้แจ้งเจ้าของข้อมูลส่วนบุคคลไว้ก่อนหรือในขณะที่เก็บรวบรวมข้อมูลส่วนบุคคล สามารถดำเนินการได้ตาม [มาตรา 21](https://link.pdpalawbase.com/section/21.md) วรรคหนึ่ง · ส่วนกรณีที่เป็นการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลที่แตกต่างไปจากวัตถุประสงค์ที่ได้แจ้งเจ้าของข้อมูลส่วนบุคคลไว้ หากเป็นการปฏิบัติตามบทบัญญัติแห่งกฎหมายอื่นที่บัญญัติให้กระทำได้ เช่น ประมวลกฎหมายวิธีพิจารณาความอาญา ก็สามารถดำเนินการเปิดเผยข้อมูลส่วนบุคคลดังกล่าวได้ ตามนัย [มาตรา 21](https://link.pdpalawbase.com/section/21.md) วรรคสอง (2)

อนึ่ง การเปิดเผยข้อมูลส่วนบุคคลให้กับพนักงานสอบสวนดังกล่าว ยังถือเป็นกรณีที่มีกฎหมายเฉพาะบัญญัติให้ต้องเปิดเผยข้อมูลด้านสุขภาพของบุคคล ซึ่งสามารถกระทำได้ตามมาตรา 7 แห่งพระราชบัญญัติสุขภาพแห่งชาติ พ.ศ. 2550 โดย [มาตรา 3](https://link.pdpalawbase.com/section/3.md) แห่ง PDPA ได้บัญญัติให้ในกรณีที่มีกฎหมายว่าด้วยการใดบัญญัติเกี่ยวกับการคุ้มครองข้อมูลส่วนบุคคลในลักษณะใด กิจการใด หรือหน่วยงานใดไว้โดยเฉพาะแล้ว ให้บังคับตามบทบัญญัติแห่งกฎหมายว่าด้วยการนั้น

ทั้งนี้ คณะอนุกรรมการฯ มีความเห็นเพิ่มเติมว่า โรงพยาบาล B ในฐานะผู้ควบคุมข้อมูลส่วนบุคคลมีหน้าที่ตามที่บัญญัติใน PDPA และกฎหมายอื่นที่เกี่ยวข้องให้ครบถ้วน โดยเฉพาะการจัดให้มีมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสมตาม [มาตรา 37](https://link.pdpalawbase.com/section/37.md) (1) ซึ่งต้องเป็นไปตามมาตรฐานขั้นต่ำที่กำหนดในประกาศ คคส. เรื่อง มาตรการรักษาความมั่นคงปลอดภัยของผู้ควบคุมข้อมูลส่วนบุคคล พ.ศ. 2565

## เอกสารต้นฉบับ

- [PDF ต้นฉบับ (local)](../../raw/opinions/opinion-14-2566.pdf)
- [ที่มา: pdpc.or.th](https://www.pdpc.or.th/wp-content/uploads/2024/04/PDPC-consultation-14-new.pdf)

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/opinion/14-2566.md

============================================================
โนด: ข้อหารือ 14/2567
ลิงก์อ้างอิง: https://link.pdpalawbase.com/opinion/14-2567.md

# ข้อหารือที่ 14/2567 เรื่อง การทางพิเศษแห่งประเทศไทยขอหารือกรณีการจัดเก็บข้อมูลส่วนบุคคลเพื่อเป็นข้อมูลพื้นฐานสำหรับการบันทึกเวลาทำงานด้วยระบบอิเล็กทรอนิกส์

## ข้อกฎหมาย

1. พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562
[มาตรา 6](https://link.pdpalawbase.com/section/6.md) [มาตรา 19](https://link.pdpalawbase.com/section/19.md) [มาตรา 20](https://link.pdpalawbase.com/section/20.md) [มาตรา 22](https://link.pdpalawbase.com/section/22.md) [มาตรา 23](https://link.pdpalawbase.com/section/23.md) [มาตรา 26](https://link.pdpalawbase.com/section/26.md) วรรคหนึ่ง (5) (ค) และ (จ) และ
วรรคสอง [มาตรา 37](https://link.pdpalawbase.com/section/37.md) (1) [มาตรา 39](https://link.pdpalawbase.com/section/39.md) [มาตรา 73](https://link.pdpalawbase.com/section/73.md) และ [มาตรา 95](https://link.pdpalawbase.com/section/95.md)
2. พระราชบัญญัติการทางพิเศษแห่งประเทศไทย พ.ศ. 2550
มาตรา 8
3. พระราชบัญญัติคุ้มครองแรงงาน พ.ศ. 2541
4. พระราชบัญญัติแรงงานรัฐวิสาหกิจสัมพันธ์ พ.ศ. 2543
5. ประกาศคณะกรรมการแรงงานรัฐวิสาหกิจสัมพันธ์ เรื่อง มาตรฐานขั้นต่ำของสภาพการจ้างใน
รัฐวิสาหกิจ ลงวันที่ 31 พฤษภาคม พ.ศ. 2549 และที่แก้ไขเพิ่มเติม
6. ระเบียบวิธีปฏิบัติงานของ กทพ. ว่าด้วย การบันทึกเวลาทำงานด้วยระบบอิเล็กทรอนิกส์ พ.ศ. 2564
ข้อ 4 และข้อ 12
7. ระเบียบคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล ว่าด้วยการยื่น การไม่รับเรื่อง การยุติเรื่อง การ
พิจารณา และระยะเวลาในการพิจารณาคำร้องเรียน พ.ศ. 2565
8. ประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง มาตรการรักษาความมั่นคงปลอดภัยของ
ผู้ควบคุมข้อมูลส่วนบุคคล พ.ศ. 2565

## ข้อหารือ

การทางพิเศษแห่งประเทศไทย (กทพ.) ขอหารือกรณีการจัดเก็บข้อมูลส่วนบุคคลเพื่อเป็นข้อมูล
พื้นฐานสำหรับการบันทึกเวลาทำงานด้วยระบบอิเล็กทรอนิกส์ที่นำมาใช้แทนการลงเวลาในบัญชีลงเวลา
โดยมีวัตถุประสงค์เพื่อให้การบริหารบุคคลเป็นไปด้วยความเรียบร้อย มีข้อมูลที่ถูกต้อง ครบถ้วน ตรวจสอบได้
และน่าเชื่อถือ ซึ่งได้เริ่มดำเนินการจัดเก็บข้อมูลลายนิ้วมือพนักงานและลูกจ้างทุกตำแหน่งที่เป็นผู้ปฏิบัติงาน
ของ กทพ. (ยกเว้นพนักงานตำแหน่งหัวหน้าพนักงานเก็บค่าผ่านทางพิเศษ พนักงานควบคุมเก็บค่าผ่านทางพิเศษ
และพนักงานเก็บค่าผ่านทางพิเศษ ซึ่งเป็นตำแหน่งที่ปฏิบัติงานเป็นกะ) ตั้งแต่ปี พ.ศ. 2560 เป็นต้นมา
ตามบันทึกข้อความ กทพ. ที่ ฝบท/ว 2448 ลงวันที่ 21 พฤศจิกายน 2560 เรื่อง การจัดเก็บข้อมูลลายนิ้วมือ
พนักงานและลูกจ้างที่ปฏิบัติงานอาคารสำนักงานและศูนย์ควบคุมทางพิเศษ และได้มีการจัดเก็บข้อมูลใบหน้า
และลายนิ้วมือของพนักงานและลูกจ้างแทนข้อมูลลายนิ้วมือที่เคยจัดเก็บไปแล้วซึ่งไม่สามารถใช้งานกับ
เครื่องบันทึกเวลาทำงานระบบใหม่ได้ ตามบันทึกข้อความ กทพ. ด่วนที่สุด ที่ ฝบท/ว 2824 ลงวันที่ 27 ตุลาคม 2563
เรื่อง การจัดเก็บข้อมูลใบหน้าและลายนิ้วมือของพนักงานและลูกจ้างเพื่อใช้สำหรับลงเวลาปฏิบัติงานด้วย
เครื่องบันทึกเวลา โดย กทพ. ได้แจ้งให้พนักงานและลูกจ้างที่ยังไม่เข้ารับการจัดเก็บข้อมูลมาจัดเก็บข้อมูลเป็นระยะ ๆ
ต่อมา กทพ. ได้ออกระเบียบวิธีปฏิบัติงานของ กทพ. ว่าด้วย การบันทึกเวลาทำงานด้วยระบบ
อิเล็กทรอนิกส์ พ.ศ. 2564 ประกาศใช้ตั้งแต่วันที่ 9 มิถุนายน พ.ศ. 2564 เป็นต้นไป ซึ่งข้อ 4 ของระเบียบฯ ได้
กำหนดให้ผู้ปฏิบัติงานของ กทพ. แจ้งข้อมูลพื้นฐานสำหรับการบันทึกเวลาทำงานด้วยระบบอิเล็กทรอนิกส์
เช่น ลายพิมพ์นิ้วมือ ข้อมูลใบหน้า เป็นต้น เพื่อให้ฝ่ายบริหารทั่วไปจัดเก็บเป็นฐานข้อมูลของบุคคล
โดยมีวัตถุประสงค์เพื่อใช้เป็นข้อมูลในการตรวจสอบเวลาเข้าออกงาน การลา การขาดงาน หรือการละทิ้งหน้าที่
สำหรับดำเนินการจ่ายเงินเดือนหรือค่าตอบแทนอื่น รวมทั้งการประเมินการเลื่อนขั้นเงินเดือนประจำปี และได้ออก
ประกาศ กทพ. เรื่อง การใช้ระบบบันทึกเวลาทำงานแทนการใช้บัญชีลงเวลาทำงาน ลงวันที่ 25 พฤศจิกายน
พ.ศ. 2565 กำหนดให้พนักงานระดับ 1 - 6  หัวหน้าแผนก พนักงานระดับ 7 - 8 ที่ประจำกองขึ้นไปและลูกจ้าง
ที่ทำงานในสำนักงาน (Back Office) เริ่มบันทึกเวลาทำงานในระบบบันทึกเวลาทำงานแทนการบันทึกเวลาทำงาน
ในบัญชีลงเวลาทำงานตั้งแต่วันที่ 1 กุมภาพันธ์ 2566 เป็นต้นไป รวมทั้งได้มีบันทึกแจ้งให้ผู้ที่ยังไม่ได้เข้ารับ
การจัดเก็บข้อมูลใบหน้าและลายนิ้วมือเข้ารับการจัดเก็บข้อมูลให้ครบถ้วน เพื่อให้สามารถบันทึกเวลาทำงานด้วย
ระบบอิเล็กทรอนิกส์ได้ตามระเบียบฯ ซึ่งตั้งแต่ปี พ.ศ. 2560 ถึงปัจจุบัน ปรากฏว่ามีผู้ปฏิบัติงานของ กทพ.
ที่เข้ารับการจัดเก็บข้อมูลใบหน้าและลายพิมพ์นิ้วมือแล้ว จำนวน 3,314 คน แต่ยังมีพนักงานจำนวน 1 คน
ที่ไม่ยินยอมให้จัดเก็บข้อมูลดังกล่าว เนื่องจากมีความกังวลว่าข้อมูลที่ถูกจัดเก็บอาจรั่วไหลและทำให้เกิด
ความเสียหายแก่พนักงานรายนั้น รวมทั้งได้อ้างถึงพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562
[มาตรา 26](https://link.pdpalawbase.com/section/26.md) ซึ่งห้ามมิให้เก็บรวบรวมข้อมูลส่วนบุคคลในส่วนที่เป็นข้อมูลชีวภาพ เช่น ข้อมูลภาพใบหน้า
และข้อมูลลายพิมพ์นิ้วมือ โดยไม่ได้รับความยินยอมโดยชัดแจ้งจากเจ้าของข้อมูลส่วนบุคคล ซึ่งตามข้อบังคับ
กทพ. ว่าด้วย พนักงาน พ.ศ. 2560 และที่แก้ไขเพิ่มเติม ข้อ 69 กำหนดให้พนักงานต้องรักษาวินัยตามที่บัญญัติ
ไว้โดยเคร่งครัด ผู้ใดฝ่าฝืนหรือไม่ปฏิบัติตามถือว่าผู้นั้นกระทำผิดวินัย จะต้องได้รับโทษตามที่กำหนดไว้
ในข้อบังคับนี้ และข้อ 71 (2) และ (4) กำหนดวินัยของพนักงานไว้ว่า ต้องไม่ขัดขืนหรือหลีกเลี่ยงและปฏิบัติ
ตามคำสั่งของผู้บังคับบัญชา ซึ่งสั่งในหน้าที่โดยชอบด้วยระเบียบและข้อบังคับของ กทพ. และต้องสนับสนุน
นโยบายของรัฐบาล ปฏิบัติตามนโยบาย ระเบียบและข้อบังคับของ กทพ. ไว้ด้วย โดยปัจจุบัน กทพ. ได้จัดซื้อ
และติดตั้งเครื่องบันทึกเวลาทำงานซึ่งใช้ข้อมูลชีวภาพ (ข้อมูลใบหน้าและลายพิมพ์นิ้วมือ) เพื่อบันทึกเวลาทำงาน
ประจำอาคารต่าง ๆ จำนวน 84 เครื่อง รวมเป็นจำนวนเงินทั้งสิ้น 3,149,010 บาท โดยจัดให้มีมาตรการ
คุ้มครองข้อมูลส่วนบุคคล ด้วยการกำหนดสิทธิผู้เข้าถึงข้อมูลชีวภาพดังกล่าวเฉพาะพนักงานแผนกข้อมูลระบบ
งานบุคคล กองบริหารทรัพยากรบุคคล ฝ่ายบริหารทั่วไป และมีการรักษาความมั่นคงปลอดภัยระบบสารสนเทศ
ที่ได้รับการรับรองมาตรฐาน ISO/IEC 27001:2013 แล้ว รวมทั้งได้จัดทำประกาศ กทพ. เรื่อง นโยบายคุ้มครอง
ข้อมูลส่วนบุคคล พ.ศ. 2564
เมื่อ กทพ. ได้พิจารณาอำนาจหน้าที่ของผู้ว่าการตามมาตรา 26 (2) แห่งพระราชบัญญัติ
การทางพิเศษแห่งประเทศไทย พ.ศ. 2550 รวมถึงข้อ 4 ของระเบียบวิธีปฏิบัติงานของ กทพ. ว่าด้วย การบันทึก
เวลาทำงานด้วยระบบอิเล็กทรอนิกส์ พ.ศ. 2564 และข้อ 69 ข้อ 71 (2) (4) ของข้อบังคับ กทพ. ว่าด้วย
พนักงาน พ.ศ. 2560 และที่แก้ไขเพิ่มเติม ประกอบกับพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562
[มาตรา 26](https://link.pdpalawbase.com/section/26.md) จึงขอหารือเกี่ยวกับการจัดเก็บข้อมูลส่วนบุคคล (ข้อมูลชีวภาพ) เพื่อเป็นข้อมูลพื้นฐานสำหรับ
การบันทึกเวลาทำงานด้วยระบบอิเล็กทรอนิกส์ดังกล่าวข้างต้นดังต่อไปนี้
1. กทพ. สามารถเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลชีวภาพดังกล่าวโดยอาศัยข้อยกเว้น
ตามที่กฎหมายอื่นบัญญัติให้กระทำได้ตามความใน [มาตรา 19](https://link.pdpalawbase.com/section/19.md) วรรคหนึ่ง แห่งพระราชบัญญัติคุ้มครอง
ข้อมูลส่วนบุคคล พ.ศ. 2562 โดยไม่จำเป็นต้องได้รับความยินยอมจากเจ้าของข้อมูลส่วนบุคคลได้หรือไม่
2. กรณีที่ต้องขอความยินยอม หากเจ้าของข้อมูลส่วนบุคคลไม่ให้ความยินยอม กทพ. สามารถ
ดำเนินการอย่างไรเพื่อให้พนักงานและลูกจ้างบันทึกเวลาทำงานด้วยระบบอิเล็กทรอนิกส์เป็นมาตรฐานเดียวกันทั้งองค์กร

## ความเห็น

คณะอนุกรรมการตอบข้อหารือและให้คำแนะนำในการปฏิบัติตามกฎหมายว่าด้วย
การคุ้มครองข้อมูลส่วนบุคคล ในคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล พิจารณาแล้วมีความเห็น ดังนี้
ประเด็นตามที่หารือข้อ 1 เห็นว่า กทพ. เป็นหน่วยงานที่จัดตั้งขึ้นตามพระราชบัญญัติการทาง
พิเศษแห่งประเทศไทย พ.ศ. 2550 และมีฐานะเป็นนิติบุคคลตามมาตรา 8 แห่งพระราชบัญญัติดังกล่าว
จึงเป็นผู้ควบคุมข้อมูลส่วนบุคคลตาม [มาตรา 6](https://link.pdpalawbase.com/section/6.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562
ที่มีอำนาจหน้าที่ตัดสินใจเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล โดย กทพ. ได้กำหนดให้มี
การเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล โดยเฉพาะข้อมูลภาพจำลองใบหน้า และข้อมูลจำลองลายนิ้วมือ
ของผู้ปฏิบัติงานของ กทพ. ด้วยระบบอิเล็กทรอนิกส์ ในการบันทึกเวลาทำงานตามที่กล่าวข้างต้น รวมทั้ง
การบริหารจัดการภายในองค์กรที่เกี่ยวข้อง โดยมีการใช้เทคนิคหรือเทคโนโลยีที่เกี่ยวข้องกับการนำลักษณะเด่น
ทางกายภาพหรือทางพฤติกรรมของผู้ปฏิบัติงานของ กทพ. มาใช้ทำให้สามารถยืนยันตัวตนของบุคคลนั้น
ที่ไม่เหมือนกับบุคคลอื่นได้ สำหรับการบันทึกเวลาทำงาน โดยกำหนดให้ผู้ปฏิบัติงานของ กทพ. แจ้งข้อมูลพื้นฐาน
ซึ่งรวมถึงข้อมูลภาพจำลองใบหน้า และข้อมูลจำลองลายนิ้วมือของตนให้ฝ่ายบริหารทั่วไปของ กทพ. จัดเก็บ
เป็นฐานข้อมูลของบุคคล และนำมาใช้เพื่อให้สามารถยืนยันตัวตนของบุคคล ตามนัยข้อ 4 ของระเบียบ
วิธีปฏิบัติงานของ กทพ. ว่าด้วย การบันทึกเวลาทำงานด้วยระบบอิเล็กทรอนิกส์ พ.ศ. 2564 การเก็บรวบรวม
ข้อมูลส่วนบุคคลดังกล่าวจึงเป็นการเก็บรวบรวมข้อมูลชีวภาพ (biometric data) ตามนัย [มาตรา 26](https://link.pdpalawbase.com/section/26.md) วรรคสอง
แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 (หรือที่สำนักงานราชบัณฑิตยสภาบัญญัติว่า
"ข้อมูลชีวมาตร" หรือ "ข้อมูลชีวมิติ") ดังนั้น การเก็บรวบรวมและใช้ข้อมูลส่วนบุคคลเกี่ยวกับข้อมูลชีวภาพ
ดังกล่าวต้องเป็นไปตาม [มาตรา 26](https://link.pdpalawbase.com/section/26.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ซึ่งหาก
ไม่เข้าข้อยกเว้นตาม [มาตรา 26](https://link.pdpalawbase.com/section/26.md) (1) ถึง (5) จะต้องได้รับความยินยอมโดยชัดแจ้งจากเจ้าของข้อมูลส่วนบุคคล
เมื่อพิจารณาวัตถุประสงค์ในการเก็บรวบรวมข้อมูลชีวภาพของ กทพ. ตามระเบียบวิธีปฏิบัติงาน
ของ กทพ. ว่าด้วย การบันทึกเวลาทำงานด้วยระบบอิเล็กทรอนิกส์ พ.ศ. 2564 ซึ่งเป็นไปเพื่อวัตถุประสงค์
ในการบันทึกเวลาทำงาน และใช้เป็นข้อมูลในการตรวจสอบเวลาเข้าออกงาน การลา การขาดงาน หรือการละทิ้ง
หน้าที่ สำหรับดำเนินการจ่ายเงินเดือนหรือค่าตอบแทนอื่น รวมทั้งการประเมินการเลื่อนขั้นเงินเดือนประจำปี
และการบริหารจัดการภายในองค์กรที่เกี่ยวข้อง คณะอนุกรรมการตอบข้อหารือฯ เห็นว่า การพิจารณาว่า
การเก็บรวบรวมข้อมูลชีวภาพดังกล่าว เป็นกรณีที่เป็นการจำเป็นในการปฏิบัติตามกฎหมายเพื่อให้
บรรลุวัตถุประสงค์เกี่ยวกับการคุ้มครองแรงงาน ฯลฯ ซึ่งได้รับยกเว้นไม่ต้องขอความยินยอมโดยชัดแจ้ง
จากเจ้าของข้อมูลส่วนบุคคล ตาม [มาตรา 26](https://link.pdpalawbase.com/section/26.md) (5) (ค) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562
หรือไม่ จะต้องพิจารณาจากองค์ประกอบดังนี้ (1) ผู้ควบคุมข้อมูลส่วนบุคคลมีความจำเป็นต้องเก็บรวบรวมข้อมูล
ส่วนบุคคลดังกล่าวเพื่อการปฏิบัติตามกฎหมายฉบับใดฉบับหนึ่งหรือหลายฉบับ (2) การเก็บรวบรวมข้อมูล
ส่วนบุคคลจะต้องเป็นไปเพื่อให้บรรลุวัตถุประสงค์เกี่ยวกับการคุ้มครองแรงงาน (3) การเก็บรวบรวมข้อมูล
ส่วนบุคคลนั้นเป็นสิ่งจำเป็นในการปฏิบัติตามสิทธิหรือหน้าที่ของผู้ควบคุมข้อมูลส่วนบุคคลหรือเจ้าของ
ข้อมูลส่วนบุคคล และ (4) เมื่อพิจารณาแล้วว่าเข้าองค์ประกอบข้างต้น ในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูล
ส่วนบุคคลดังกล่าว ผู้ควบคุมข้อมูลส่วนบุคคลจะต้องจัดให้มีมาตรการที่เหมาะสมเพื่อคุ้มครองสิทธิขั้นพื้นฐาน
และประโยชน์ของเจ้าของข้อมูลส่วนบุคคลด้วย
ในการดำเนินงานของนายจ้าง นายจ้างย่อมมีหน้าที่ต้องปฏิบัติตามกฎหมายแรงงานที่เกี่ยวข้อง
เช่น กฎหมายว่าด้วยการคุ้มครองแรงงานและกฎหมายว่าด้วยแรงงานสัมพันธ์ หรือกฎหมายว่าด้วยแรงงาน
รัฐวิสาหกิจสัมพันธ์ในกรณีของรัฐวิสาหกิจ โดยพระราชบัญญัติแรงงานรัฐวิสาหกิจสัมพันธ์ พ.ศ. 2543
และประกาศคณะกรรมการแรงงานรัฐวิสาหกิจสัมพันธ์ เรื่อง มาตรฐานขั้นต่ำของสภาพการจ้างในรัฐวิสาหกิจ
ลงวันที่ 31 พฤษภาคม พ.ศ. 2549 และที่แก้ไขเพิ่มเติม ได้กำหนดมาตรการทางกฎหมายในการคุ้มครองสิทธิ
และประโยชน์ต่าง ๆ ของลูกจ้างหรือพนักงานรัฐวิสาหกิจไว้ในทำนองเดียวกับพระราชบัญญัติคุ้มครองแรงงาน
พ.ศ. 2541 และที่แก้ไขเพิ่มเติม ดังนั้น นายจ้างที่เป็นเอกชนหรือรัฐวิสาหกิจจึงมีหน้าที่ในการดูแล
และคุ้มครองสิทธิของลูกจ้างในการได้รับเงินเดือน ค่าจ้าง และเงินผลประโยชน์อื่นเนื่องในการจ้าง ที่ลูกจ้างพึง
ได้รับตามกฎหมาย รวมทั้งกำกับดูแลเวลาทำงานและชั่วโมงทำงานให้เป็นไปตามกฎหมายที่เกี่ยวข้อง การเก็บรวบรวม
ข้อมูลส่วนบุคคลของ กทพ. ในฐานะนายจ้าง ตามวัตถุประสงค์ที่กล่าวมาข้างต้น จึงถือเป็นการเก็บรวบรวมข้อมูล
ส่วนบุคคลที่เป็นไปเพื่อให้บรรลุวัตถุประสงค์เกี่ยวกับการคุ้มครองแรงงาน ซึ่ง กทพ. จะต้องปฏิบัติให้เป็นไปตาม
กฎหมายว่าด้วยการคุ้มครองแรงงาน กฎหมายว่าด้วยแรงงานรัฐวิสาหกิจสัมพันธ์ และ/หรือกฎหมายอื่นที่เกี่ยวข้อง
แต่มีประเด็นที่ กทพ. จะต้องพิจารณาด้วยว่า การเก็บรวบรวมข้อมูลชีวภาพดังกล่าวเป็นสิ่งจำเป็นในการปฏิบัติ
ตามสิทธิหรือหน้าที่ของ กทพ. หรือเจ้าของข้อมูลส่วนบุคคลหรือไม่ เพียงใด ในกรณีที่ กทพ. เห็นว่า การเก็บรวบรวม
ข้อมูลชีวภาพสำหรับการบันทึกเวลาทำงานเป็นสิ่งจำเป็นในการปฏิบัติตามสิทธิหรือหน้าที่ของ กทพ.
หรือผู้ปฏิบัติงานของ กทพ. เกี่ยวกับการคุ้มครองแรงงานตามกฎหมาย เช่น เพื่อป้องกันปัญหาการทุจริตในการ
บันทึกเวลาทำงานแทนกัน โดยได้พิจารณาจากข้อเท็จจริงแล้วว่า หากไม่ดำเนินการเช่นนั้น กทพ. จะไม่สามารถ
ปฏิบัติตามกฎหมายเพื่อให้บรรลุวัตถุประสงค์เกี่ยวกับการคุ้มครองแรงงานได้ กทพ. ก็อาจยกกรณีดังกล่าว
เป็นข้อยกเว้นการได้รับความยินยอมโดยชัดแจ้งจากเจ้าของข้อมูลส่วนบุคคล ตาม [มาตรา 26](https://link.pdpalawbase.com/section/26.md) (5) (ค) ได้ แต่ กทพ.
จะต้องจัดให้มีมาตรการที่เหมาะสมเพื่อคุ้มครองสิทธิขั้นพื้นฐานและประโยชน์ของเจ้าของข้อมูลส่วนบุคคลด้วย
ในกรณีที่ กทพ. เห็นว่า การเก็บรวบรวมข้อมูลชีวภาพสำหรับการบันทึกเวลาทำงาน
ไม่ใช่สิ่งจำเป็นในการปฏิบัติตามสิทธิหรือหน้าที่ของ กทพ. หรือเจ้าของข้อมูลส่วนบุคคล ตาม [มาตรา 26](https://link.pdpalawbase.com/section/26.md) (5) (ค)
เช่น ข้อเท็จจริงยังไม่ชัดเจนว่ามีปัญหาการทุจริตในการบันทึกเวลาทำงานของผู้ปฏิบัติงานของ กทพ.
หรือยังไม่แน่ชัดว่าการเก็บรวบรวมข้อมูลชีวภาพจะช่วยแก้ไขปัญหาดังกล่าว หรือยังมีมาตรการอื่นที่ไม่ต้องใช้
ข้อมูลชีวภาพที่อาจแก้ปัญหาได้ผล ซึ่ง กทพ. ยังไม่ได้พิจารณาดำเนินการ ทำให้การเก็บรวบรวมข้อมูลชีวภาพ
ของผู้ปฏิบัติงานของ กทพ. ดังกล่าว ไม่ได้รับยกเว้นการขอความยินยอมโดยชัดแจ้ง กทพ. ก็อาจพิจารณา
ขอความยินยอมโดยชัดแจ้งจากเจ้าของข้อมูลส่วนบุคคลตามนัย [มาตรา 19](https://link.pdpalawbase.com/section/19.md) ประกอบ [มาตรา 26](https://link.pdpalawbase.com/section/26.md) วรรคหนึ่ง
โดยการขอความยินยอมจะต้องเป็นไปตาม [มาตรา 19](https://link.pdpalawbase.com/section/19.md) และ [มาตรา 20](https://link.pdpalawbase.com/section/20.md) แห่งพระราชบัญญัติคุ้มครอง
ข้อมูลส่วนบุคคล พ.ศ. 2562 ด้วย
สำหรับประเด็นตามข้อหารือที่ 2 เห็นว่า ในกรณีที่ กทพ. พิจารณาแล้ว เห็นว่า การเก็บรวบรวม
ข้อมูลชีวภาพเพื่อวัตถุประสงค์ในการบันทึกเวลาทำงาน ไม่ได้รับยกเว้นการขอความยินยอมโดยชัดแจ้ง
จากผู้ปฏิบัติงานของ กทพ. ตาม [มาตรา 26](https://link.pdpalawbase.com/section/26.md) วรรคหนึ่ง แต่ผู้ปฏิบัติงานของ กทพ. ไม่ให้ความยินยอมในการเก็บ
รวบรวมข้อมูลชีวภาพดังกล่าว กทพ. อาจต้องพิจารณาต่อไปว่า การเก็บรวบรวมข้อมูลชีวภาพ เป็นกรณีที่มี
ความจำเป็นหรือเกี่ยวข้องสำหรับการบันทึกเวลาทำงานและการดำเนินการที่เกี่ยวข้องหรือไม่ เพียงใด
โดย [มาตรา 19](https://link.pdpalawbase.com/section/19.md) วรรคสี่ แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 บัญญัติว่า "ในการขอความ
ยินยอมจากเจ้าของข้อมูลส่วนบุคคล ผู้ควบคุมข้อมูลส่วนบุคคลต้องคำนึงอย่างถึงที่สุดในความเป็นอิสระ
ของเจ้าของข้อมูลส่วนบุคคลในการให้ความยินยอม ทั้งนี้ ในการเข้าทำสัญญาซึ่งรวมถึงการให้บริการใด ๆ
ต้องไม่มีเงื่อนไขในการให้ความยินยอมเพื่อเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลที่ไม่มีความจำเป็น
หรือเกี่ยวข้องสำหรับการเข้าทำสัญญาซึ่งรวมถึงการให้บริการนั้น ๆ" ซึ่งเป็นการกำหนดหลักความเป็นอิสระ
ในการให้ความยินยอม โดยกำหนดว่า ต้องไม่มีเงื่อนไขในการให้ความยินยอมเพื่อเก็บรวบรวม ใช้ หรือเปิดเผย
ข้อมูลส่วนบุคคลที่ไม่มีความจำเป็นหรือเกี่ยวข้องสำหรับการเข้าทำสัญญาซึ่งรวมถึงการให้บริการใด ๆ
ทั้งนี้ เพื่อป้องกันกรณีการบังคับให้เจ้าของข้อมูลส่วนบุคคลต้องให้ความยินยอมเป็นเงื่อนไขในการเข้าทำสัญญา
หรือการให้บริการใด ๆ ที่ไม่มีความจำเป็นต้องเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล หรือไม่มี
ความเกี่ยวข้องกัน อย่างไรก็ตาม ในกรณีที่การเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลเป็นกรณีที่ต้อง
ได้รับความยินยอมจากเจ้าของข้อมูลส่วนบุคคล และมีความจำเป็นหรือเกี่ยวข้องสำหรับการเข้าทำสัญญา
ซึ่งรวมถึงการให้บริการใด ผู้ควบคุมข้อมูลส่วนบุคคลก็ย่อมสามารถกำหนดเงื่อนไขในการให้ความยินยอม
เพื่อเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลดังกล่าว ในการเข้าทำสัญญาหรือการให้บริการนั้นได้
ซึ่งเป็นไปตาม [มาตรา 19](https://link.pdpalawbase.com/section/19.md) วรรคสี่ แต่จะต้องเก็บรวบรวมเท่าที่จำเป็นตามนัย [มาตรา 22](https://link.pdpalawbase.com/section/22.md) แห่งพระราชบัญญัติ
คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562
ดังนั้น ในการบันทึกเวลาทำงานของพนักงานและลูกจ้างและการดำเนินการที่เกี่ยวข้อง
ซึ่งเป็นการดำเนินการที่เกี่ยวกับสัญญาจ้างพนักงานและลูกจ้าง หาก กทพ. พิจารณาแล้วเห็นว่าการเก็บรวบรวม
ข้อมูลชีวภาพมีความจำเป็นหรือเกี่ยวข้องต่อการดำเนินการตามวัตถุประสงค์ดังกล่าวตามสัญญาจ้าง
และ กทพ. จะไม่สามารถบรรลุวัตถุประสงค์ดังกล่าวได้หากไม่ทำการเก็บรวบรวมข้อมูลชีวภาพ กทพ. ก็อาจ
พิจารณากำหนดเงื่อนไขในการปฏิบัติงานและการดำเนินการด้านการบริหารงานบุคคลของพนักงานและลูกจ้าง
ตามสัญญาจ้างว่า จะต้องให้ความยินยอมเพื่อเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลชีวภาพดังกล่าว โดยแจ้งความจำเป็น
ในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลดังกล่าว เพื่อวัตถุประสงค์ในการบันทึกเวลาทำงาน
การตรวจสอบเวลาเข้าออกงาน การลา การขาดงาน หรือการละทิ้งหน้าที่ รวมทั้งเพื่อการดำเนินการจ่ายเงินเดือน
หรือค่าตอบแทนอื่น และการประเมินการเลื่อนขั้นเงินเดือนประจำปีของพนักงานและลูกจ้าง ซึ่งเป็นไป
ตาม [มาตรา 19](https://link.pdpalawbase.com/section/19.md) วรรคสี่ แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ได้ ทั้งนี้ กทพ. จะต้องแจ้ง
ผลกระทบที่เป็นไปได้จากการไม่ให้ข้อมูลส่วนบุคคล หรือการถอนความยินยอม ให้เจ้าของข้อมูลส่วนบุคคลทราบ
ในการขอความยินยอมจากเจ้าของข้อมูลส่วนบุคคลด้วย ตามนัย [มาตรา 23](https://link.pdpalawbase.com/section/23.md) (2) และ [มาตรา 19](https://link.pdpalawbase.com/section/19.md) วรรคหก
แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562
แต่หาก กทพ. พิจารณาแล้วเห็นว่า การเก็บรวบรวมข้อมูลชีวภาพนั้นไม่มีความจำเป็น
หรือเกี่ยวข้องต่อการดำเนินการตามวัตถุประสงค์ดังกล่าวตามสัญญาจ้างตาม [มาตรา 19](https://link.pdpalawbase.com/section/19.md) วรรคสี่
แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 กทพ. จะต้องจัดให้มีวิธีการอื่นในการบันทึกเวลา
ทำงานและการดำเนินการที่เกี่ยวข้อง สำหรับพนักงานหรือลูกจ้างที่ไม่ให้ความยินยอมหรือถอนความยินยอม
ในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลชีวภาพดังกล่าวด้วย โดยอาจกำหนดในลักษณะเดียวกับที่กำหนดไว้
ในข้อ 12 ของระเบียบวิธีปฏิบัติงานของ กทพ. ว่าด้วย การบันทึกเวลาทำงานด้วยระบบอิเล็กทรอนิกส์
พ.ศ. 2564 ที่กำหนดให้ผู้ปฏิบัติงานลงลายมือชื่อมาทำงานและลงลายมือชื่อออกจากการทำงานในบัญชีลงเวลาทำงาน
ในกรณีที่ผู้ปฏิบัติงานมีความผิดปกติทางร่างกายหรือระบบบันทึกเวลาทำงานขัดข้องจนไม่สามารถบันทึกเวลาได้ ทั้งนี้
ในการขอความยินยอมจากพนักงานและลูกจ้าง กทพ. ในฐานะนายจ้าง ควรใช้ความระมัดระวังเพื่อไม่ให้ขัด
กับหลักความเป็นอิสระในการให้ความยินยอมของพนักงานและลูกจ้างตาม [มาตรา 19](https://link.pdpalawbase.com/section/19.md) วรรคสี่ด้วย
อย่างไรก็ตาม คณะอนุกรรมการตอบข้อหารือฯ เห็นว่า ในกรณีที่ผู้ปฏิบัติงานของ กทพ.
ซึ่งเป็นเจ้าของข้อมูลส่วนบุคคลไม่เห็นด้วยกับการดำเนินการของ กทพ. ในการเก็บรวบรวม ใช้ หรือเปิดเผย
ข้อมูลชีวภาพตามวัตถุประสงค์ดังกล่าว หรือเกิดกรณีโต้แย้งที่เกี่ยวกับการปฏิบัติตามกฎหมายว่าด้วย
การคุ้มครองข้อมูลส่วนบุคคล ผู้นั้นย่อมมีสิทธิร้องเรียนต่อคณะกรรมการผู้เชี่ยวชาญตาม [มาตรา 73](https://link.pdpalawbase.com/section/73.md)
โดยยื่นคำร้องเรียนมายังสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล ตามระเบียบคณะกรรมการคุ้มครอง
ข้อมูลส่วนบุคคล ว่าด้วยการยื่น การไม่รับเรื่อง การยุติเรื่อง การพิจารณา และระยะเวลาในการพิจารณา
คำร้องเรียน พ.ศ. 2565 เพื่อให้คณะกรรมการผู้เชี่ยวชาญพิจารณาเรื่องร้องเรียนและมีคำสั่งตามหน้าที่
และอำนาจต่อไป เพื่อให้เป็นไปตามกฎหมายดังกล่าว ดังนั้น กทพ. จึงควรแจ้งให้ผู้ปฏิบัติงานผู้นั้นทราบ
และพิจารณาใช้สิทธิร้องเรียนต่อไปตามความเหมาะสม
อนึ่ง เนื่องจากการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลชีวภาพ โดยธรรมชาติอาจมีความเสี่ยง
ที่จะกระทบต่อสิทธิและเสรีภาพของบุคคลได้ค่อนข้างสูง กทพ. ในฐานะผู้ควบคุมข้อมูลส่วนบุคคลจะต้องจัดให้มี
มาตรการรักษาความมั่นคงปลอดภัยอย่างเหมาะสมตามระดับความเสี่ยง โดยคำนึงถึงปัจจัยทางเทคโนโลยี
บริบท สภาพแวดล้อม มาตรฐานที่เป็นที่ยอมรับสำหรับหน่วยงานหรือกิจการในประเภทหรือลักษณะเดียวกัน
หรือใกล้เคียงกัน ลักษณะและวัตถุประสงค์ของการเก็บรวบรวม ใช้ และเปิดเผยข้อมูลส่วนบุคคล ทรัพยากร
ที่ต้องใช้ และความเป็นไปได้ในการดำเนินการประกอบกัน เพื่อป้องกันการสูญหาย เข้าถึง ใช้ เปลี่ยนแปลง
แก้ไข หรือเปิดเผยข้อมูลส่วนบุคคลโดยปราศจากอำนาจหรือโดยมิชอบ ทั้งนี้ เพื่อคุ้มครองสิทธิขั้นพื้นฐาน
และประโยชน์ของพนักงานและลูกจ้างในฐานะเจ้าของข้อมูลส่วนบุคคลอย่างเหมาะสมและได้สัดส่วน
โดยมาตรการดังกล่าวจะต้องเป็นไปตามมาตรฐานขั้นต่ำที่คณะกรรมการคุ้มครองข้อมูลส่วนบุคคลประกาศ
กำหนดตามประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง มาตรการรักษาความมั่นคงปลอดภัย
ของผู้ควบคุมข้อมูลส่วนบุคคล พ.ศ. 2565 ซึ่งออกตามความใน [มาตรา 37](https://link.pdpalawbase.com/section/37.md) (1) แห่งพระราชบัญญัติคุ้มครอง
ข้อมูลส่วนบุคคล พ.ศ. 2562 ด้วย
นอกจากนี้ คณะอนุกรรมการตอบข้อหารือฯ มีข้อสังเกตเพิ่มเติมเกี่ยวกับข้อมูลส่วนบุคคล
ที่ กทพ. ได้เก็บรวบรวมไว้ก่อนวันที่พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ใช้บังคับ
โดยบทเฉพาะกาลตาม [มาตรา 95](https://link.pdpalawbase.com/section/95.md) แห่งพระราชบัญญัตินี้กำหนดให้ผู้ควบคุมข้อมูลส่วนบุคคลสามารถ
เก็บรวบรวมและใช้ข้อมูลส่วนบุคคลนั้นต่อไปได้ตามวัตถุประสงค์เดิม และสำหรับข้อมูลส่วนบุคคลที่มาตรา 24
หรือ [มาตรา 26](https://link.pdpalawbase.com/section/26.md) กำหนดให้ต้องได้รับความยินยอมจากเจ้าของข้อมูลส่วนบุคคล ซึ่งได้เก็บรวบรวมไว้ก่อนวันที่
พระราชบัญญัตินี้ใช้บังคับ ผู้ควบคุมข้อมูลส่วนบุคคลต้องกำหนดวิธีการยกเลิกความยินยอมและเผยแพร่
ประชาสัมพันธ์ให้เจ้าของข้อมูลส่วนบุคคลที่ไม่ประสงค์ให้ผู้ควบคุมข้อมูลส่วนบุคคลเก็บรวบรวมและใช้
ข้อมูลส่วนบุคคลดังกล่าวสามารถแจ้งยกเลิกความยินยอมได้โดยง่ายด้วย ดังนั้น การเก็บรวบรวมและใช้ข้อมูล
ส่วนบุคคลของ กทพ. ที่ได้เก็บรวบรวมไว้ก่อนวันที่พระราชบัญญัตินี้ใช้บังคับ เพื่อวัตถุประสงค์ในการบันทึกเวลา
ทำงานของผู้ปฏิบัติงานของ กทพ. และการดำเนินการที่เกี่ยวข้อง ซึ่งเป็นวัตถุประสงค์เดิมก็สามารถเก็บรวบรวม
และใช้ข้อมูลส่วนบุคคลนั้นต่อไปได้ และในกรณีที่ กทพ. ได้ใช้ฐานทางกฎหมายอื่นไปแล้ว เช่น ได้รับความยินยอม
โดยชัดแจ้ง หรือเป็นการจำเป็นในการปฏิบัติตามกฎหมายเพื่อให้บรรลุวัตถุประสงค์เกี่ยวกับประโยชน์สาธารณะ
ที่สำคัญตาม [มาตรา 26](https://link.pdpalawbase.com/section/26.md) (5) (จ) แล้วแต่กรณี โดยได้แจ้งรายละเอียดในการเก็บรวบรวมข้อมูลส่วนบุคคลให้เจ้าของ
ข้อมูลส่วนบุคคลทราบตาม [มาตรา 23](https://link.pdpalawbase.com/section/23.md) (privacy notice) และมีการบันทึกรายการตาม [มาตรา 39](https://link.pdpalawbase.com/section/39.md) ในกรณีที่ กทพ.
เห็นควรเปลี่ยนแปลงฐานทางกฎหมายให้สอดคล้องกับแนวทางการตอบข้อหารือนี้ กทพ. ควรพิจารณา
แจ้งรายละเอียดที่มีการเปลี่ยนแปลงดังกล่าวให้เจ้าของข้อมูลส่วนบุคคลทราบอีกครั้ง (re-notice) รวมทั้ง
แก้ไขหรือปรับปรุงการบันทึกรายการให้สอดคล้องกับข้อเท็จจริงด้วย เพื่อความเป็นธรรมและโปร่งใสต่อ
เจ้าของข้อมูลส่วนบุคคล
อนึ่ง การให้คำแนะนำและคำปรึกษาในการปฏิบัติตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล
พ.ศ. 2562 นี้ เป็นการให้ความเห็นเกี่ยวกับข้อกฎหมายตามพระราชบัญญัติดังกล่าวโดยทั่วไป แต่ในกรณีที่มี
เรื่องร้องเรียนหรือมีการตรวจสอบการกระทำใด ๆ ที่อยู่ในหน้าที่และอำนาจของคณะกรรมการผู้เชี่ยวชาญ
หรือหน่วยงานอื่น ผลการพิจารณาจะเป็นอย่างไรย่อมเป็นไปตามข้อกฎหมายและกระบวนการที่เกี่ยวข้อง

## เอกสารต้นฉบับ

- [PDF ต้นฉบับ (local)](../../raw/opinions/opinion-14-2567.pdf)
- [ที่มา: pdpc.or.th](https://www.pdpc.or.th/wp-content/uploads/2024/11/PDPC-consultation-43.pdf)

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/opinion/14-2567.md

============================================================
โนด: ข้อหารือ 15/2566
ลิงก์อ้างอิง: https://link.pdpalawbase.com/opinion/15-2566.md

# ข้อหารือที่ 15/2566 เรื่อง นิติบุคคลอาคารชุด อ. หารือกรณีขอบเขตความหมายของคำว่า “องค์กรไม่แสวงหาผลกำไร”

## ข้อกฎหมาย

1. พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 — [มาตรา 22](https://link.pdpalawbase.com/section/22.md), [มาตรา 23](https://link.pdpalawbase.com/section/23.md), [มาตรา 37](https://link.pdpalawbase.com/section/37.md) (1) และ [มาตรา 39](https://link.pdpalawbase.com/section/39.md)
2. พระราชบัญญัติอาคารชุด พ.ศ. 2522 — มาตรา 33
3. ประมวลรัษฎากร — มาตรา 39 และมาตรา 77/2
4. ประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง การยกเว้นการบันทึกรายการของผู้ควบคุมข้อมูลส่วนบุคคลซึ่งเป็นกิจการขนาดเล็ก พ.ศ. 2565 ข้อ 3 (5)

## ข้อหารือ

นิติบุคคลอาคารชุด อ. ขอหารือกรณีประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง การยกเว้นการบันทึกรายการของผู้ควบคุมข้อมูลส่วนบุคคลซึ่งเป็นกิจการขนาดเล็ก พ.ศ. 2565 ได้มีการระบุข้อความในข้อ 3 (5) ว่า "องค์กรที่ไม่แสวงหากำไร" เป็นลักษณะอย่างหนึ่งของผู้ควบคุมข้อมูลส่วนบุคคลซึ่งเป็นกิจการขนาดเล็กที่ได้รับการยกเว้นไม่ต้องดำเนินการตาม [มาตรา 39](https://link.pdpalawbase.com/section/39.md) วรรคหนึ่ง (1) (2) (3) (4) (5) (6) และ (8)

และได้อ้างถึงหนังสือกรมสรรพากร ที่ กค 0842/สก./1682 ลงวันที่ 17 กุมภาพันธ์ 2540 ซึ่งระบุว่า นิติบุคคลอาคารชุดไม่เข้าลักษณะเป็นบริษัทหรือห้างหุ้นส่วนนิติบุคคลตามมาตรา 39 แห่งประมวลรัษฎากร ซึ่งหมายความว่านิติบุคคลอาคารชุดเป็นนิติบุคคลประเภทไม่แสวงหาผลกำไร

จึงขอสอบถามว่า นิติบุคคลอาคารชุด อ. เข้าข่าย "องค์กรที่ไม่แสวงหากำไร" ตามข้อ 3 (5) ของประกาศ คคส. ดังกล่าวและได้รับการยกเว้นไม่ต้องดำเนินการตาม [มาตรา 39](https://link.pdpalawbase.com/section/39.md) วรรคหนึ่ง (1) (2) (3) (4) (5) (6) (7) และ (8) แห่ง PDPA หรือไม่

## ความเห็น

คณะอนุกรรมการเฉพาะกิจตอบข้อหารือและให้คำแนะนำหน่วยงานของรัฐเพื่อรองรับการบังคับใช้พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ในคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลได้พิจารณาข้อหารือและข้อกฎหมายประกอบกับเอกสารที่เกี่ยวข้องแล้ว เห็นว่า นิติบุคคลอาคารชุดที่ได้จดทะเบียนตามกฎหมายว่าด้วยอาคารชุดมีฐานะเป็นนิติบุคคลตามมาตรา 33 วรรคหนึ่ง แห่งพระราชบัญญัติอาคารชุด พ.ศ. 2522 และมาตรา 33 วรรคสอง บัญญัติว่า นิติบุคคลอาคารชุดมีวัตถุประสงค์เพื่อจัดการ และดูแลรักษาทรัพย์ส่วนกลาง และมีอำนาจกระทำการใด ๆ เพื่อประโยชน์ตามวัตถุประสงค์ดังกล่าว

ประกอบกับหนังสือตอบข้อหารือของกรมสรรพากร และคำวินิจฉัยของคณะกรรมการวินิจฉัยภาษีอากร ที่ 33/2540 (ภาษีมูลค่าเพิ่ม) ก็ได้วินิจฉัยว่า นิติบุคคลอาคารชุดที่จัดตั้งขึ้นตามกฎหมายว่าด้วยอาคารชุด ซึ่งกระทำกิจกรรมเฉพาะเพื่อจัดการและดูแลทรัพย์สินส่วนกลาง และมิได้กระทำกิจการใดนอกเหนือจากวัตถุประสงค์ตามที่กฎหมายว่าด้วยอาคารชุดกำหนดไว้ รวมทั้งไม่ได้ขายสินค้าหรือให้บริการใดกับบุคคลอื่นซึ่งมิใช่เจ้าของห้องชุดนั้น ยังไม่เข้าลักษณะเป็นผู้ประกอบการที่อยู่ในบังคับต้องเสียภาษีมูลค่าเพิ่มตามมาตรา 77/2 แห่งประมวลรัษฎากร จึงไม่ต้องนำเงินกองทุน ค่าใช้จ่ายส่วนกลาง และค่าสาธารณูปโภคมาร่วมคำนวณเสียภาษีมูลค่าเพิ่ม

จากหลักเกณฑ์ดังกล่าวจึงอาจถือได้ว่า **นิติบุคคลอาคารชุดโดยทั่วไปเป็นนิติบุคคลที่มีลักษณะเป็นองค์กรที่ไม่แสวงหากำไร** ซึ่งได้รับการยกเว้นไม่ต้องบันทึกรายการของผู้ควบคุมข้อมูลส่วนตามข้อ 3 (5) ของประกาศ คคส. ซึ่งออกตามความใน [มาตรา 39](https://link.pdpalawbase.com/section/39.md) วรรคหนึ่ง แห่ง PDPA

ดังนั้น หากนิติบุคคลอาคารชุด อ. เป็นนิติบุคคลที่มีลักษณะดังกล่าวข้างต้น กล่าวคือ ได้จดทะเบียนเป็นนิติบุคคลอาคารชุดตามกฎหมายว่าด้วยอาคารชุด มีวัตถุประสงค์เพื่อจัดการ และดูแลรักษาทรัพย์ส่วนกลาง และมีอำนาจกระทำการใด ๆ เพื่อประโยชน์ตามวัตถุประสงค์ดังกล่าว ไม่ได้กระทำกิจการใดนอกเหนือจากวัตถุประสงค์ดังกล่าวตามที่กฎหมายว่าด้วยอาคารชุดกำหนดไว้ และไม่ได้ขายสินค้าหรือให้บริการใดกับบุคคลอื่นซึ่งมิใช่เจ้าของห้องชุดหรือผู้พักอาศัย หรือกระทำกิจการใดที่มีลักษณะเพื่อแสวงหากำไร นิติบุคคลอาคารชุดฯ จะมีฐานะเป็นผู้ควบคุมข้อมูลส่วนบุคคลซึ่งเป็นกิจการขนาดเล็กที่มีลักษณะเป็นองค์กรที่ไม่แสวงหากำไร จึงได้รับการยกเว้นไม่ต้องบันทึกรายการของผู้ควบคุมข้อมูลส่วนบุคคลตามข้อ 3 (5) ของประกาศ คคส. ดังกล่าว

ทั้งนี้ การเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลของนิติบุคคลอาคารชุดฯ ที่ได้รับยกเว้นไม่ต้องบันทึกรายการของผู้ควบคุมข้อมูลส่วนบุคคลดังกล่าว **ครอบคลุมเฉพาะการบันทึกรายการตาม [มาตรา 39](https://link.pdpalawbase.com/section/39.md) (1) ถึง (6) และ (8) เท่านั้น** แต่ไม่รวมถึงการบันทึกรายการการปฏิเสธคำขอหรือการคัดค้านตามมาตรา 30 วรรคสาม, มาตรา 31 วรรคสาม, มาตรา 32 วรรคสาม และมาตรา 36 วรรคหนึ่ง ตามนัย [มาตรา 39](https://link.pdpalawbase.com/section/39.md) (7) และไม่รวมกรณีที่มีการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลที่มีความเสี่ยงจะมีผลกระทบต่อสิทธิและเสรีภาพของเจ้าของข้อมูลส่วนบุคคล หรือมิใช่กิจการที่มีการเก็บรวบรวมเป็นครั้งคราว หรือมีการเก็บรวบรวมข้อมูลส่วนบุคคลตาม [มาตรา 26](https://link.pdpalawbase.com/section/26.md) ตามนัยข้อ 3 วรรคสามของประกาศดังกล่าว ประกอบ [มาตรา 39](https://link.pdpalawbase.com/section/39.md) วรรคสาม แห่ง PDPA

อย่างไรก็ดี นิติบุคคลอาคารชุดฯ ยังคงมีหน้าที่ต้องปฏิบัติให้เป็นไปตาม PDPA ในส่วนอื่น โดยเฉพาะการเก็บรวบรวมข้อมูลส่วนบุคคลเท่าที่จำเป็นภายใต้วัตถุประสงค์อันชอบด้วยกฎหมายตาม [มาตรา 22](https://link.pdpalawbase.com/section/22.md) · การแจ้งรายละเอียดในการเก็บรวบรวมข้อมูลส่วนบุคคลให้เจ้าของข้อมูลส่วนบุคคลทราบก่อนหรือในขณะเก็บรวบรวมข้อมูลส่วนบุคคล (Privacy Notice) ตาม [มาตรา 23](https://link.pdpalawbase.com/section/23.md) · และการจัดให้มีมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสมตาม [มาตรา 37](https://link.pdpalawbase.com/section/37.md) (1) ซึ่งต้องเป็นไปตามมาตรฐานขั้นต่ำที่กำหนดไว้ในประกาศ คคส. เรื่อง มาตรการรักษาความมั่นคงปลอดภัยของผู้ควบคุมข้อมูลส่วนบุคคล พ.ศ. 2565

## เอกสารต้นฉบับ

- [PDF ต้นฉบับ (local)](../../raw/opinions/opinion-15-2566.pdf)
- [ที่มา: pdpc.or.th](https://www.pdpc.or.th/wp-content/uploads/2024/02/PDPC-consultation-15.pdf)

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/opinion/15-2566.md

============================================================
โนด: ข้อหารือ 15/2567
ลิงก์อ้างอิง: https://link.pdpalawbase.com/opinion/15-2567.md

# ข้อหารือที่ 15/2567 เรื่อง ธนาคาร Y ขอหารือในประเด็นที่เกี่ยวข้องกับพระราชกฤษฎีกากำหนดลักษณะ กิจการหรือหน่วยงานที่ได้รับการยกเว้นไม่ให้นำพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 บางส่วนมาใช้บังคับ พ.ศ. 2566

## ข้อกฎหมาย

1. พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562
[มาตรา 24](https://link.pdpalawbase.com/section/24.md) (3) [มาตรา 35](https://link.pdpalawbase.com/section/35.md) [มาตรา 36](https://link.pdpalawbase.com/section/36.md) [มาตรา 39](https://link.pdpalawbase.com/section/39.md) และ [มาตรา 73](https://link.pdpalawbase.com/section/73.md)
2. พระราชกฤษฎีกากำหนดลักษณะ กิจการ หรือหน่วยงานที่ได้รับการยกเว้นไม่ให้นำพระราชบัญญัติ
คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 บางส่วนมาใช้บังคับ พ.ศ. 2566
     มาตรา 3 มาตรา 7 และมาตรา 11

## ข้อหารือ

ธนาคาร Y ขอหารือในประเด็นที่เกี่ยวข้องกับพระราชกฤษฎีกากำหนดลักษณะ กิจการ หรือ
หน่วยงานที่ได้รับการยกเว้นไม่ให้นำพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 บางส่วนมาใช้บังคับ
พ.ศ. 2566 ดังนี้
ประเด็นข้อหารือที่ 1 กรณีตามมาตรา 7 วรรคสอง แห่งพระราชกฤษฎีกาดังกล่าว ในกรณีที่
ลูกค้ามาขอแก้ไขข้อมูลส่วนบุคคลให้ถูกต้อง เป็นปัจจุบัน (update) โดยตรงกับธนาคาร ธนาคารจำเป็นต้อง
แก้ไขข้อมูลส่วนบุคคลของลูกค้าที่ถูกต้องและเป็นปัจจุบัน (update) ให้แก่กรมสรรพากรหรือไม่ หากไม่ได้
มีคำขอเพิ่มเติมจากกรมสรรพากร
ประเด็นข้อหารือที่ 2 หารือประเด็นตามมาตรา 11 แห่งพระราชกฤษฎีกาดังกล่าว ดังนี้
1. มาตรา 11 จะใช้บังคับกับผู้ควบคุมข้อมูลส่วนบุคคลทุกประเภท ไม่จำกัดเฉพาะผู้ควบคุม
ข้อมูลส่วนบุคคลที่เป็นหน่วยงานของรัฐใช่หรือไม่
2. หากธนาคารได้รับการร้องขอจากธนาคารตัวแทนต่างประเทศ (correspondent bank) ที่อยู่
ในต่างประเทศ โดยเป็นกรณีที่ธนาคารตัวแทนต่างประเทศแจ้งว่า เงินที่โอนเข้ามาสงสัยว่าเข้าข่ายการฉ้อโกง
(fraud) ซึ่งธนาคารต้องดำเนินการตอบกลับไปยังธนาคารตัวแทนต่างประเทศ โดยจะมีข้อมูล เช่น ชื่อและเลขที่
บัญชีของลูกค้า ส่งให้แก่ธนาคารตัวแทนต่างประเทศ จะถือว่าธนาคารได้รับยกเว้นตามมาตรานี้หรือไม่
3. การที่ธนาคารส่งเงินไปยังธนาคารตัวแทนต่างประเทศ (correspondent bank) แล้วภายหลัง
ลูกค้ามาแจ้งว่า กรณีที่ส่งเงินดังกล่าวไป สงสัยว่าจะเข้าข่ายฉ้อโกง (fraud) เนื่องจากลูกค้าโดน hack e-mail
ธนาคารจึงได้ดำเนินการส่งข้อความ (message) แจ้งไปยังธนาคารตัวแทนต่างประเทศเพื่อขอเงินคืน จะถือว่า
ธนาคารได้รับยกเว้นตามมาตรานี้หรือไม่

## ความเห็น

คณะอนุกรรมการตอบข้อหารือและให้คำแนะนำในการปฏิบัติตามกฎหมายว่าด้วยการคุ้มครอง
ข้อมูลส่วนบุคคล ในคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล ได้พิจารณาข้อหารือดังกล่าวแล้ว มีความเห็น ดังนี้
ประเด็นข้อหารือที่ 1 เห็นว่า เมื่อพิจารณาจากบทบัญญัติตามมาตรา 7 แห่งพระราชกฤษฎีกา
กำหนดลักษณะ กิจการ หรือหน่วยงานที่ได้รับการยกเว้นไม่ให้นำพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล
พ.ศ. 2562 บางส่วนมาใช้บังคับ พ.ศ. 2566 แล้ว การเปิดเผยข้อมูลส่วนบุคคลที่ธนาคาร Y ในฐานะผู้ควบคุม
ข้อมูลส่วนบุคคลจะได้รับการยกเว้นการปฏิบัติตามบทบัญญัติหมวด 2 และหมวด 3 แห่งพระราชบัญญัติคุ้มครอง
ข้อมูลส่วนบุคคล พ.ศ. 2562 ดังกล่าว จะต้องเป็นกรณีที่กรมสรรพากร กรมศุลกากร หรือกรมสรรพสามิต
ร้องขอข้อมูลส่วนบุคคลไปยังธนาคาร Y โดยอาศัยอำนาจตามกฎหมายในการขอข้อมูลส่วนบุคคลเพื่อดำเนินการ
ตามวัตถุประสงค์หรือภารกิจตามกฎหมายที่อยู่ในความรับผิดชอบเกี่ยวกับการจัดเก็บภาษีอากร การดำเนินการใด ๆ
อันเกี่ยวกับการบังคับแก่บรรดาค่าธรรมเนียมทางภาษีอากร ค่าฤชาธรรมเนียม หรือค่าอากรใด ๆ รวมทั้ง
การดำเนินการตามพันธกรณีหรือความร่วมมือระหว่างประเทศในเรื่องดังกล่าว ตามมาตรา 7 วรรคหนึ่ง
แห่งพระราชกฤษฎีกาฯ ก่อน และเมื่อธนาคาร Y ได้มีการเปิดเผยข้อมูลส่วนบุคคลแก่กรมสรรพากร กรมศุลกากร
หรือกรมสรรพสามิตตามที่ได้รับการร้องขอแล้ว ต่อมาเจ้าของข้อมูลส่วนบุคคลขอใช้สิทธิขอให้แก้ไขข้อมูล
ให้ถูกต้องและเป็นปัจจุบัน และเป็นกรณีที่หน่วยงานของรัฐนั้นได้รับข้อมูลมาจากธนาคาร Y ธนาคาร Y ในฐานะ
ผู้ควบคุมข้อมูลส่วนบุคคลซึ่งเป็นผู้เก็บรวบรวมและเปิดเผยข้อมูลนั้น จึงมีหน้าที่แก้ไขข้อมูลให้ถูกต้องและ
เป็นปัจจุบัน และส่งข้อมูลที่ถูกต้องและเป็นปัจจุบันให้กับหน่วยงานของรัฐเพิ่มเติม ตามมาตรา 7 วรรคสอง
เมื่อเจ้าของข้อมูลส่วนบุคคลขอใช้สิทธิดังกล่าว แต่จากประเด็นตามข้อหารือกรณีที่ลูกค้าใช้สิทธิขอแก้ไขข้อมูล
ส่วนบุคคลให้ถูกต้องและเป็นปัจจุบันโดยตรงกับธนาคาร Y โดยกรมสรรพากร กรมศุลกากร หรือกรมสรรพสามิต
ไม่ได้ร้องขอให้ธนาคาร Y แก้ไขข้อมูลส่วนบุคคลให้ถูกต้องและเป็นปัจจุบันแล้วส่งข้อมูลที่ถูกต้องและเป็นปัจจุบัน
ให้กับตนอีกครั้ง และเจ้าของข้อมูลส่วนบุคคลไม่ได้แจ้งในการขอใช้สิทธิดังกล่าวกับธนาคาร Y โดยตรงว่าเป็นกรณี
ที่ต้องการใช้สิทธิเพื่อให้ข้อมูลที่ธนาคาร Y เปิดเผยให้กับหน่วยงานของรัฐอื่นใดที่ร้องขอได้รับการแก้ไขให้ถูกต้อง
และเป็นปัจจุบัน ก็จะไม่ใช่กรณีตามมาตรา 7 แห่งพระราชกฤษฎีกาดังกล่าว
อย่างไรก็ตาม ธนาคาร Y ในฐานะผู้ควบคุมข้อมูลส่วนบุคคล มีหน้าที่ตาม [มาตรา 35](https://link.pdpalawbase.com/section/35.md)
แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ในการดำเนินการให้ข้อมูลส่วนบุคคลถูกต้อง
เป็นปัจจุบัน สมบูรณ์ และไม่ก่อให้เกิดความเข้าใจผิด ดังนั้น ธนาคาร Y จึงต้องแก้ไขข้อมูลส่วนบุคคลให้ถูกต้อง
เป็นปัจจุบัน สมบูรณ์ และไม่ก่อให้เกิดความเข้าใจผิดตามที่ลูกค้าในฐานะเจ้าของข้อมูลส่วนบุคคลร้องขอ
หากข้อมูลส่วนบุคคลดังกล่าวไม่ถูกต้อง ไม่เป็นปัจจุบัน ไม่สมบูรณ์ หรืออาจก่อให้เกิดความเข้าใจผิด และหาก
ธนาคาร Y ไม่ดำเนินการตามคำร้องขอ ธนาคาร Y ต้องบันทึกคำร้องขอของเจ้าของข้อมูลส่วนบุคคลพร้อมด้วย
เหตุผลที่ปฏิเสธการขอแก้ไขข้อมูลนั้นไว้ในรายการที่ต้องบันทึกตาม [มาตรา 39](https://link.pdpalawbase.com/section/39.md) (Records of Processing
Activities: ROPA) ตามนัย [มาตรา 36](https://link.pdpalawbase.com/section/36.md) วรรคหนึ่งด้วย อย่างไรก็ดี เจ้าของข้อมูลส่วนบุคคลมีสิทธิร้องเรียนต่อ
คณะกรรมการผู้เชี่ยวชาญเพื่อสั่งให้ผู้ควบคุมข้อมูลส่วนบุคคลดำเนินการได้ ตาม [มาตรา 36](https://link.pdpalawbase.com/section/36.md) วรรคสอง ประกอบ
[มาตรา 73](https://link.pdpalawbase.com/section/73.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562
ประเด็นข้อหารือที่ 2 สำหรับประเด็นตามมาตรา 11 แห่งพระราชกฤษฎีกากำหนดลักษณะ
กิจการ หรือหน่วยงานที่ได้รับการยกเว้นไม่ให้นำพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 บางส่วน
มาใช้บังคับ พ.ศ. 2566 นั้น เห็นว่า
1. ในการเก็บรวบรวม ใช้ และเปิดเผยข้อมูลส่วนบุคคลของผู้ควบคุมข้อมูลส่วนบุคคล
ในการดำเนินการเกี่ยวกับวัตถุประสงค์ตามมาตรา 11 แห่งพระราชกฤษฎีกาฯ นั้น มาตรา 3 แห่งพระราชกฤษฎีกาฯ
บัญญัติบทนิยามของคำว่า "ผู้ควบคุมข้อมูลส่วนบุคคล" ในความหมายว่า ผู้ควบคุมข้อมูลส่วนบุคคลทั้งในภาครัฐ
และภาคเอกชน ดังนั้น ผู้ควบคุมข้อมูลส่วนบุคคลตามมาตรา 11 ดังกล่าว จึงไม่จำกัดเฉพาะกับหน่วยงานของรัฐ
เท่านั้น แต่ยังรวมถึงผู้ควบคุมข้อมูลส่วนบุคคลที่เป็นภาคเอกชนด้วย แต่ผู้ควบคุมข้อมูลส่วนบุคคลใดจะได้รับการ
ยกเว้นตามมาตรา 11 แห่งพระราชกฤษฎีกาฯ หรือไม่ จะต้องพิจารณาเงื่อนไขตามมาตรา 11 แห่งพระราชกฤษฎีกานี้
ประกอบกับกฎหมายอื่นที่เกี่ยวข้องในเรื่องนั้น ๆ เช่น กฎหมายว่าด้วยการป้องกันและปราบปรามการมีส่วนร่วม
ในองค์กรอาชญากรรมข้ามชาติ ประกอบด้วย
2. สำหรับการเก็บรวบรวม ใช้ และเปิดเผยข้อมูลส่วนบุคคลในการดำเนินการเกี่ยวกับ
การเนรเทศ การส่งผู้ร้ายข้ามแดน ความร่วมมือระหว่างประเทศเกี่ยวกับกระบวนการยุติธรรมทางอาญา
การป้องกันและปราบปรามการมีส่วนร่วมในองค์กรอาชญากรรมข้ามชาติ ความร่วมมืออื่นทางศาล หรือ
กระบวนการยุติธรรมระหว่างประเทศ ที่ได้รับการยกเว้นการปฏิบัติตามบทบัญญัติหมวด 2 และหมวด 3
แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ตามมาตรา 11 แห่งพระราชกฤษฎีกาดังกล่าวนั้น
จะต้องพิจารณากฎหมายอื่นที่เกี่ยวข้องในเรื่องนั้นประกอบด้วย ซึ่งการดำเนินการของผู้ควบคุมข้อมูลส่วนบุคคล
ตามวัตถุประสงค์ในมาตรา 11 โดยทั่วไปจะต้องอาศัยอำนาจรัฐหรือกระบวนการตามกฎหมายที่เกี่ยวข้อง
ซึ่งรวมถึงกฎหมายระหว่างประเทศและความตกลงระหว่างประเทศ ดังนั้น การดำเนินการเกี่ยวกับการเก็บรวบรวม
ใช้ และเปิดเผยข้อมูลส่วนบุคคลระหว่างธนาคารตัวแทนต่างประเทศ (correspondent bank) ที่อยู่
นอกราชอาณาจักรและธนาคารในราชอาณาจักร ซึ่งต่างมีฐานะเป็นผู้ควบคุมข้อมูลส่วนบุคคลด้วยกัน
หากการดำเนินการของธนาคารทั้งสองฝ่ายไม่ได้ใช้อำนาจรัฐและไม่ได้เป็นการปฏิบัติหน้าที่ตามที่กฎหมายได้
กำหนดไว้เป็นการเฉพาะเพื่อวัตถุประสงค์ตามมาตรา 11 ของพระราชกฤษฎีกาดังกล่าว ย่อมไม่ได้รับการยกเว้น
การปฏิบัติตามบทบัญญัติหมวด 2 และหมวด 3 แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562
แต่อย่างไรก็ตาม แม้จะไม่ได้รับการยกเว้นการบังคับใช้พระราชบัญญัตินี้ ธนาคาร Y ก็อาจพิจารณาดำเนินการ
เก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลในกรณีดังกล่าวให้เป็นไปตามพระราชบัญญัติคุ้มครองข้อมูล
ส่วนบุคคล พ.ศ. 2562 ได้ เช่น กรณีที่ธนาคาร Y เห็นว่า การดำเนินการร่วมกันระหว่างธนาคาร Y กับธนาคาร
ตัวแทนต่างประเทศ เกี่ยวกับธุรกรรมทางการเงินในกรณีใดเป็นการจำเป็นเพื่อการปฏิบัติตามสัญญาซึ่งเจ้าของ
ข้อมูลส่วนบุคคลเป็นคู่สัญญา เป็นต้น
3. สำหรับการดำเนินการที่เกี่ยวข้องกับธุรกรรมทางการเงินระหว่างธนาคาร Y กับธนาคาร
ตัวแทนต่างประเทศ (correspondent bank) เช่น การขอเงินคืนเมื่อสงสัยว่าเงินที่โอนไปยังธนาคารตัวแทน
ต่างประเทศจะเข้าข่ายฉ้อโกง (fraud) นั้น เห็นว่า กรณีที่การดำเนินการของธนาคารทั้งสองฝ่ายไม่ได้ใช้อำนาจรัฐ
และไม่ได้เป็นการปฏิบัติหน้าที่ตามที่กฎหมายกำหนดไว้เป็นการเฉพาะเพื่อวัตถุประสงค์ตามมาตรา 11
แห่งพระราชกฤษฎีกาดังกล่าว การดำเนินการนั้นย่อมไม่ได้รับการยกเว้นการปฏิบัติตามบทบัญญัติหมวด 2
และหมวด 3 แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ในทำนองเดียวกันกับข้อ 2

## เอกสารต้นฉบับ

- [PDF ต้นฉบับ (local)](../../raw/opinions/opinion-15-2567.pdf)
- [ที่มา: pdpc.or.th](https://www.pdpc.or.th/wp-content/uploads/2024/11/PDPC-consultation-44.pdf)

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/opinion/15-2567.md

============================================================
โนด: ข้อหารือ 16/2566
ลิงก์อ้างอิง: https://link.pdpalawbase.com/opinion/16-2566.md

# ข้อหารือที่ 16/2566 เรื่อง กรมเจ้าท่า ขอหารือกรณีการจัดทำคำประกาศความเป็นส่วนตัว (privacy notice)

## ข้อกฎหมาย

1. พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 — [มาตรา 21](https://link.pdpalawbase.com/section/21.md) และ [มาตรา 23](https://link.pdpalawbase.com/section/23.md)
2. พระราชบัญญัติข้อมูลข่าวสารของราชการ พ.ศ. 2540 — มาตรา 7 (4) และมาตรา 28 (2)

## ข้อหารือ

กรมเจ้าท่าได้มีการตั้งคณะทำงานดำเนินการตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 และอยู่ในขั้นตอนการจัดทำ (ร่าง) คำประกาศความเป็นส่วนตัว (Privacy Notice) ของกรมเจ้าท่า เพื่อให้เป็นไปตาม [มาตรา 23](https://link.pdpalawbase.com/section/23.md) แห่ง PDPA

จึงขอหารือในประเด็น ดังนี้:
1. เนื่องจากร่างประกาศความเป็นส่วนตัว (Privacy Notice) มีหลักการคือ การแจ้งให้เจ้าของข้อมูลส่วนบุคคลทราบรายละเอียดของข้อมูลส่วนบุคคลที่กรมเจ้าท่าได้เก็บรวบรวม ดังนั้น ร่างประกาศดังกล่าวมีสภาพอย่างกฎ มีผลใช้บังคับกระทบสิทธิประชาชนเป็นการทั่วไปหรือไม่
2. หากร่างประกาศ Privacy Notice มีสภาพอย่างกฎ และนำไปใช้ในการปฏิบัติหน้าที่ของกรมเจ้าท่า ซึ่งจะกระทบสิทธิของประชาชน จำเป็นจะต้องให้หัวหน้าหน่วย หรืออธิบดีกรมเจ้าท่าเป็นผู้ลงนามในประกาศหรือไม่
3. ตามมาตรา 7 (4) แห่ง พ.ร.บ. ข้อมูลข่าวสารของราชการ บัญญัติให้หน่วยงานของรัฐต้องส่ง "กฎ มติคณะรัฐมนตรี ข้อบังคับ คำสั่ง หนังสือเวียน ระเบียบ แบบแผน นโยบาย หรือการตีความ" ที่มีสภาพอย่างกฎลงพิมพ์ในราชกิจจานุเบกษา ดังนั้น หากร่าง Privacy Notice มีลักษณะเป็นกฎหรือนโยบาย จะต้องส่งลงพิมพ์ในราชกิจจานุเบกษาหรือไม่

## ความเห็น

คณะอนุกรรมการเฉพาะกิจตอบข้อหารือและให้คำแนะนำหน่วยงานของรัฐเพื่อรองรับการบังคับใช้พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ในคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล พิจารณาแล้วมีความเห็น ดังนี้

**ประเด็นหารือที่ 1 และประเด็นหารือที่ 3** เห็นว่า [มาตรา 23](https://link.pdpalawbase.com/section/23.md) แห่ง PDPA ได้บัญญัติว่า ในการเก็บรวบรวมข้อมูลส่วนบุคคล ผู้ควบคุมข้อมูลส่วนบุคคลมีหน้าที่ต้องแจ้งให้เจ้าของข้อมูลส่วนบุคคลทราบก่อนหรือในขณะเก็บรวบรวมข้อมูลส่วนบุคคลถึงวัตถุประสงค์และรายละเอียดเกี่ยวกับการเก็บรวบรวมข้อมูลส่วนบุคคล และ [มาตรา 21](https://link.pdpalawbase.com/section/21.md) บัญญัติให้ผู้ควบคุมข้อมูลส่วนบุคคลต้องทำการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลตามวัตถุประสงค์ที่ได้แจ้งเจ้าของข้อมูลส่วนบุคคลไว้ หากไม่ปฏิบัติตาม จะมีโทษทางปกครอง (มาตรา 82 หรือมาตรา 83)

การแจ้งวัตถุประสงค์และรายละเอียดในการเก็บรวบรวมข้อมูลส่วนบุคคลให้เจ้าของข้อมูลส่วนบุคคลทราบ (privacy notice) จึงเป็นการดำเนินการเพื่อให้การเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลมีความโปร่งใส เป็นธรรม และกระทำได้เท่าที่จำเป็นภายใต้วัตถุประสงค์โดยชอบด้วยกฎหมาย โดย [มาตรา 23](https://link.pdpalawbase.com/section/23.md) ไม่ได้กำหนดรูปแบบหรือวิธีการของการแจ้ง · ในทางปฏิบัติ ผู้ควบคุมข้อมูลส่วนบุคคลอาจใช้วิธีการแจ้งโดยวาจา แจ้งเป็นหนังสือ แจ้งโดยวิธีการทางอิเล็กทรอนิกส์ หรือแจ้งโดยวิธีการอื่นใด และอาจแจ้งเป็นรายบุคคล หรือแจ้งเป็นการทั่วไป เช่น ในรูปแบบประกาศความเป็นส่วนตัว ก็ได้

ดังนั้น ในกรณีที่หน่วยงานที่เป็นผู้ควบคุมข้อมูลส่วนบุคคลจัดทำเป็นประกาศความเป็นส่วนตัว (privacy notice) ไม่ว่าจะเรียกชื่ออย่างไร โดยมีวัตถุประสงค์และรายละเอียดตาม [มาตรา 23](https://link.pdpalawbase.com/section/23.md) **ประกาศดังกล่าวจึงมีลักษณะเป็นเพียงการแจ้งให้เจ้าของข้อมูลส่วนบุคคลทราบ โดยไม่ได้มุ่งหมายให้มีผลทางกฎหมายเป็นการบังคับต่อเจ้าของข้อมูลส่วนบุคคล** ซึ่งจะแตกต่างจากกฎ ระเบียบ ข้อบังคับ หรือประกาศอื่นที่มีผลบังคับเป็นการทั่วไป

อย่างไรก็ตาม ประเด็นที่กรมเจ้าท่าหารือมาว่า มาตรา 7 (4) แห่ง พ.ร.บ. ข้อมูลข่าวสารของราชการ ครอบคลุมถึง privacy notice ตาม [มาตรา 23](https://link.pdpalawbase.com/section/23.md) หรือไม่ และต้องส่งลงพิมพ์ในราชกิจจานุเบกษาหรือไม่ — **เป็นหน้าที่และอำนาจของคณะกรรมการข้อมูลข่าวสารของราชการ** (ตามมาตรา 28 (2) แห่ง พ.ร.บ. ข้อมูลข่าวสารฯ) กรมเจ้าท่าจึงควรหารือไปยังคณะกรรมการข้อมูลข่าวสารของราชการเพื่อพิจารณาตีความต่อไป

**สำหรับประเด็นหารือที่ 2** เห็นว่า [มาตรา 23](https://link.pdpalawbase.com/section/23.md) ไม่ได้กำหนดรูปแบบหรือวิธีการของการแจ้ง · หากพิจารณาเฉพาะตาม PDPA การแจ้ง privacy notice หากจัดทำในรูปแบบประกาศความเป็นส่วนตัว ไม่ว่าจะเรียกชื่ออย่างไร จึงอาจมีการลงนามหรือไม่ก็ได้ · หากประสงค์จะให้มีการลงนาม หน่วยงานที่เป็นผู้ควบคุมข้อมูลส่วนบุคคลอาจพิจารณากำหนดหรือมอบหมายบุคคลที่เหมาะสมเป็นผู้ลงนามก็ได้ · การพิจารณาว่าจะต้องลงนามหรือไม่ และลงนามโดยผู้ใด จำเป็นจะต้องพิจารณาตามกฎหมายหรือระเบียบที่เกี่ยวข้องกับการปฏิบัติราชการของกรมเจ้าท่า ซึ่งไม่อยู่ในหน้าที่และอำนาจของคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลโดยตรง

## เอกสารต้นฉบับ

- [PDF ต้นฉบับ (local)](../../raw/opinions/opinion-16-2566.pdf)
- [ที่มา: pdpc.or.th](https://www.pdpc.or.th/wp-content/uploads/2024/02/PDPC-consultation-16.pdf)

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/opinion/16-2566.md

============================================================
โนด: ข้อหารือ 16/2567
ลิงก์อ้างอิง: https://link.pdpalawbase.com/opinion/16-2567.md

# ข้อหารือที่ 16/2567 เรื่อง บริษัท W ขอหารือเกี่ยวกับการเก็บรวบรวมข้อมูลการรักษาพยาบาลเพื่อเบิกจ่ายเงินสวัสดิการ

## ข้อกฎหมาย

1. พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562
[มาตรา 19](https://link.pdpalawbase.com/section/19.md) วรรคสี่และวรรคหก [มาตรา 23](https://link.pdpalawbase.com/section/23.md) (2) [มาตรา 24](https://link.pdpalawbase.com/section/24.md) และ [มาตรา 26](https://link.pdpalawbase.com/section/26.md) (5) (ค)
2. พระราชบัญญัติแรงงานสัมพันธ์ พ.ศ. 2518 และที่แก้ไขเพิ่มเติม
มาตรา 19
3. พระราชบัญญัติคุ้มครองแรงงาน พ.ศ. 2541 และที่แก้ไขเพิ่มเติม
มาตรา 32 มาตรา 33 มาตรา 41 และมาตรา 42
4. พระราชกฤษฎีกาเงินสวัสดิการเกี่ยวกับการรักษาพยาบาล พ.ศ. 2553 และที่แก้ไขเพิ่มเติม

## ข้อหารือ

บริษัท W ในฐานะนายจ้างที่ต้องเก็บรวบรวมข้อมูลส่วนบุคคลเกี่ยวกับสุขภาพของพนักงานเพื่อ
การเบิกจ่ายสวัสดิการค่ารักษาพยาบาล อันเนื่องมาจากข้อตกลงเกี่ยวกับสภาพการจ้างที่เกิดจากข้อเรียกร้องของพนักงาน
โดยพนักงานส่วนใหญ่ของบริษัทเข้าเป็นสมาชิกสหภาพแรงงานแห่งหนึ่งตามสิทธิที่กำหนดไว้ในพระราชบัญญัติแรงงาน
สัมพันธ์ พ.ศ. 2518 เพื่อให้สหภาพแรงงานนั้นเป็นตัวแทนของพนักงานในการยื่นข้อเรียกร้องเกี่ยวกับสภาพการจ้างใน
ด้านต่าง ๆ ต่อบริษัท W เช่น เงินเดือน โบนัส และสวัสดิการ ซึ่งรวมถึงสวัสดิการช่วยเหลือค่ารักษาพยาบาลด้วย โดยใน
ปัจจุบัน พนักงานมีสิทธิได้รับเงินช่วยเหลือค่ารักษาพยาบาลตามสวัสดิการค่ารักษาพยาบาลที่เกิดจากข้อเรียกร้องเกี่ยวกับ
สภาพการจ้างทั้งสิ้น 2 ประเภท คือ 1. โรคทั่วไป 2. โรคร้ายแรง เช่น โรคมะเร็ง โรคเบาหวาน โรคเกี่ยวกับเส้นเลือดใน
สมอง ฯลฯ ตามจำนวนค่ารักษาพยาบาลที่เกิดขึ้นจริง แต่ไม่เกินวงเงินที่กำหนดต่อคนต่อปี ซึ่งพนักงานที่ประสงค์จะใช้
สิทธิสวัสดิการช่วยเหลือค่ารักษาพยาบาล ต้องยื่นเอกสารหลักฐานเพื่อแสดงว่า ค่าใช้จ่ายที่นำมาเบิกเป็นค่ารักษาพยาบาล
จริง 2 รายการ ให้กับเจ้าหน้าที่ฝ่ายทรัพยากรบุคคลของบริษัท W คือ 1. ใบรับรองแพทย์ที่ระบุชื่อโรคหรืออาการเจ็บป่วย
และ 2. ใบเสร็จรับเงินค่ารักษาพยาบาล จากนั้น เจ้าหน้าที่ฝ่ายทรัพยากรบุคคลจะตรวจสอบข้อมูลจากเอกสารที่ยื่นว่า
ถูกต้อง แล้วบันทึกข้อมูลลงในโปรแกรมจัดการทรัพยากรบุคคลของบริษัท W หลังจากนั้น บริษัท W จะจ่ายเงิน
โดยโอนเข้าบัญชีของพนักงานพร้อมกับเงินเดือนในแต่ละงวด และลงบันทึกเป็นค่าใช้จ่ายซึ่งถือเป็นต้นทุนที่ต้องนำไป
คำนวณเพื่อเสียภาษี ส่วนเอกสารที่พนักงานยื่นเพื่อขอเบิก บริษัท W ต้องเก็บรักษาไว้เพื่อให้เจ้าหน้าที่กรมสรรพากร
ตรวจสอบ ทั้งนี้ การลงบันทึกค่าใช้จ่ายและการเก็บหลักฐานไว้ให้ตรวจสอบ เป็นไปตามที่กำหนดไว้ในประมวลรัษฎากร
โดยบริษัท W จะเก็บเอกสารไว้เป็นเวลา 10 ปี นับจากจ่ายเงินช่วยเหลือค่ารักษาพยาบาล ตามอายุความที่กรมสรรพากร
มีอำนาจประเมิน หลังจากนั้น จะลบทำลายเอกสารที่เกี่ยวข้อง รวมถึงลบข้อมูลออกจากโปรแกรมจัดการทรัพยากรบุคคล
โดยบริษัท W ได้พิจารณาว่า การจ่ายเงินช่วยเหลือค่ารักษาพยาบาลต้องมีการเก็บรวบรวมข้อมูลเกี่ยวกับสุขภาพของ
พนักงานซึ่งต้องขอความยินยอมจากพนักงานด้วย บริษัท W จึงได้แจ้งรายละเอียดตาม [มาตรา 23](https://link.pdpalawbase.com/section/23.md) แห่งพระราชบัญญัติ
คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 พร้อมทั้งจัดทำแบบฟอร์มขอความยินยอมจากพนักงาน โดยแสดงเหตุผล
ความจำเป็นที่ต้องขอความยินยอม และระบุไว้ด้วยว่าหากพนักงานไม่ให้ความยินยอม บริษัท W จะไม่สามารถจ่ายเงิน
ช่วยเหลือค่ารักษาพยาบาลให้ได้ แต่มีพนักงานไม่ให้ความยินยอม พร้อมโต้แย้งว่า การเก็บรวบรวมข้อมูลในกรณีนี้
เป็นกรณีเข้าข้อยกเว้นตามที่กำหนดไว้ใน [มาตรา 26](https://link.pdpalawbase.com/section/26.md) (5) (ค) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562
เพราะบริษัท W มีหน้าที่ต้องปฏิบัติตามข้อตกลงเกี่ยวกับสภาพการจ้าง ดังนั้น บริษัท W จึงต้องจ่ายเงินช่วยเหลือให้
พนักงานโดยไม่ต้องขอความยินยอม และหากบริษัท W ไม่ยอมจ่ายเงินช่วยเหลือค่ารักษาพยาบาล ก็จะถือว่ามีความผิด
ตามพระราชบัญญัติแรงงานสัมพันธ์ พ.ศ. 2518 บริษัท W จึงขอหารือในประเด็น ดังนี้
1. การเก็บรวบรวมข้อมูลส่วนบุคคลตามข้อเท็จจริงดังกล่าว ถือเป็นกรณีเข้าข้อยกเว้นที่ไม่ต้อง
ขอความยินยอม หรือไม่
2. หากไม่เข้าข้อยกเว้น แต่พนักงานไม่ให้ความยินยอมในการเก็บรวบรวมข้อมูล และยืนยันว่า
บริษัท W ต้องจ่ายเงินช่วยเหลือค่ารักษาพยาบาลตามข้อตกลงเกี่ยวกับสภาพการจ้าง บริษัท W จะต้องดำเนินการอย่างไร

## ความเห็น

คณะอนุกรรมการตอบข้อหารือและให้คำแนะนำในการปฏิบัติตามกฎหมายว่าด้วยการคุ้มครอง
ข้อมูลส่วนบุคคล ในคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล ได้พิจารณาข้อหารือดังกล่าวแล้วมีความเห็น ดังนี้
ประเด็นตามข้อหารือที่ 1 เห็นว่า พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562
บัญญัติเกี่ยวกับการเก็บรวบรวมข้อมูลส่วนบุคคลว่า ต้องมีฐานทางกฎหมายตามที่บัญญัติไว้ใน [มาตรา 24](https://link.pdpalawbase.com/section/24.md)
หรือ [มาตรา 26](https://link.pdpalawbase.com/section/26.md) แล้วแต่กรณี ซึ่งความยินยอมจากเจ้าของข้อมูลส่วนบุคคลเป็นฐานทางกฎหมายหนึ่งที่ผู้ควบคุม
ข้อมูลส่วนบุคคลสามารถใช้เพื่อการเก็บรวบรวมข้อมูลส่วนบุคคลได้ หากไม่เข้าข้อยกเว้นตาม [มาตรา 24](https://link.pdpalawbase.com/section/24.md)
หรือ [มาตรา 26](https://link.pdpalawbase.com/section/26.md) แล้วแต่กรณี บริษัท W จะต้องขอความยินยอมโดยชอบด้วยกฎหมายจากเจ้าของข้อมูลส่วนบุคคล
ตาม [มาตรา 19](https://link.pdpalawbase.com/section/19.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ดังนั้น เมื่อบริษัท W มีการเก็บรวบรวม
ข้อมูลจากใบรับรองแพทย์ที่ระบุชื่อโรคหรืออาการเจ็บป่วย ซึ่งเป็นข้อมูลส่วนบุคคลเกี่ยวกับข้อมูลสุขภาพ
โดยมีวัตถุประสงค์เพื่อใช้ประกอบการพิจารณาเบิกจ่ายค่ารักษาพยาบาลตามสิทธิสวัสดิการของพนักงาน
ซึ่งเป็นการปฏิบัติเพื่อให้เป็นไปตามข้อตกลงเกี่ยวกับสภาพการจ้างตามพระราชบัญญัติแรงงานสัมพันธ์
พ.ศ. 2518 และที่แก้ไขเพิ่มเติม บริษัท W จะต้องพิจารณาว่า การเก็บรวบรวมข้อมูลส่วนบุคคลเกี่ยวกับ
ข้อมูลสุขภาพดังกล่าว เป็นกรณีที่ได้รับยกเว้นไม่ต้องขอความยินยอมโดยชัดแจ้งตาม [มาตรา 26](https://link.pdpalawbase.com/section/26.md)
แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 หรือไม่ โดย [มาตรา 26](https://link.pdpalawbase.com/section/26.md) (5) (ค) กำหนดข้อยกเว้น
ในการเก็บรวบรวมข้อมูลส่วนบุคคลเกี่ยวกับข้อมูลสุขภาพที่ไม่ต้องขอความยินยอมโดยชัดแจ้ง ในกรณีที่เป็น
การจำเป็นในการปฏิบัติตามกฎหมายเพื่อให้บรรลุวัตถุประสงค์เกี่ยวกับการคุ้มครองแรงงาน ฯลฯ ซึ่งในการดำเนินงาน
ของนายจ้าง นายจ้างย่อมมีหน้าที่ต้องปฏิบัติตามกฎหมายแรงงานที่เกี่ยวข้อง เช่น กฎหมายว่าด้วยการคุ้มครองแรงงาน
กฎหมายว่าด้วยแรงงานสัมพันธ์ หรือกฎหมายว่าด้วยแรงงานรัฐวิสาหกิจสัมพันธ์ในกรณีของรัฐวิสาหกิจ
และข้อตกลงเกี่ยวกับสภาพการจ้างจะมีผลผูกพันนายจ้างและลูกจ้างที่เกี่ยวข้องตามมาตรา 19
แห่งพระราชบัญญัติแรงงานสัมพันธ์ พ.ศ. 2518 ด้วยเหตุนี้ หากบริษัท W ในฐานะนายจ้างเห็นว่า การเก็บรวบรวม
ข้อมูลส่วนบุคคลเกี่ยวกับข้อมูลสุขภาพ เพื่อใช้ประกอบการพิจารณาเบิกจ่ายค่ารักษาพยาบาลตามสิทธิสวัสดิการ
ของพนักงานดังกล่าว เป็นส่วนหนึ่งของข้อตกลงเกี่ยวกับสภาพการจ้างและมีผลผูกพันบริษัท W ในฐานะนายจ้าง
และลูกจ้างตามกฎหมายว่าด้วยแรงงานสัมพันธ์ จึงเป็นการดำเนินการที่จำเป็นเพื่อให้บรรลุวัตถุประสงค์เกี่ยวกับ
การคุ้มครองแรงงาน บริษัท W ก็สามารถเก็บรวบรวมข้อมูลส่วนบุคคลดังกล่าวได้โดยไม่ต้อง
ขอความยินยอมโดยชัดแจ้งจากเจ้าของข้อมูลส่วนบุคคล ตาม [มาตรา 26](https://link.pdpalawbase.com/section/26.md) (5) (ค) แห่งพระราชบัญญัติคุ้มครอง
ข้อมูลส่วนบุคคล พ.ศ. 2562
ตัวอย่างอื่นของการเก็บรวบรวมข้อมูลส่วนบุคคลเกี่ยวกับข้อมูลสุขภาพ ที่จะได้รับยกเว้นไม่ต้อง
ขอความยินยอมโดยชัดแจ้งจากเจ้าของข้อมูลส่วนบุคคล เนื่องจากถือเป็นการจำเป็นในการปฏิบัติตามกฎหมาย
เพื่อให้บรรลุวัตถุประสงค์เกี่ยวกับการคุ้มครองแรงงาน ตามนัย [มาตรา 26](https://link.pdpalawbase.com/section/26.md) (5) (ค) แห่งพระราชบัญญัติคุ้มครอง
ข้อมูลส่วนบุคคล พ.ศ. 2562 ย่อมรวมถึงกรณีที่นายจ้างเก็บรวบรวมข้อมูลส่วนบุคคลเกี่ยวกับข้อมูลสุขภาพ
เพื่อพิจารณาให้ลูกจ้างลาป่วยตามสิทธิหรือการให้ลูกจ้างแสดงใบรับรองแพทย์ประกอบการลาป่วยตามสิทธิ
ตามมาตรา 32 แห่งพระราชบัญญัติคุ้มครองแรงงาน พ.ศ. 2541 หรือเพื่อพิจารณาให้ลูกจ้างลาเพื่อทำหมัน
และลาเนื่องจากการทำหมันตามสิทธิ ตามมาตรา 33 แห่งพระราชบัญญัติคุ้มครองแรงงาน พ.ศ. 2541
หรือเพื่อพิจารณาให้ลูกจ้างซึ่งเป็นหญิงมีครรภ์ลาเพื่อคลอดบุตรตามสิทธิ ตามมาตรา 41 แห่งพระราชบัญญัติ
คุ้มครองแรงงาน พ.ศ. 2541 ซึ่งแก้ไขเพิ่มเติมโดยพระราชบัญญัติคุ้มครองแรงงาน (ฉบับที่ 7) พ.ศ. 2562
หรือเพื่อพิจารณาให้ลูกจ้างซึ่งเป็นหญิงมีครรภ์ที่มีใบรับรองแพทย์มาแสดงว่าไม่อาจทำงานในหน้าที่เดิมต่อไปได้
เปลี่ยนงานในหน้าที่เดิมเป็นการชั่วคราวก่อนหรือหลังคลอดได้ ตามมาตรา 42 แห่งพระราชบัญญัติคุ้มครอง
แรงงาน พ.ศ. 2541
อนึ่ง คณะอนุกรรมการตอบข้อหารือฯ มีข้อสังเกตเพิ่มเติมว่า คำว่า "สวัสดิการเกี่ยวกับ
การรักษาพยาบาลของผู้มีสิทธิตามกฎหมาย" ตาม [มาตรา 26](https://link.pdpalawbase.com/section/26.md) (5) (ค) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล
พ.ศ. 2562 ครอบคลุมเฉพาะสวัสดิการเกี่ยวกับการรักษาพยาบาลของข้าราชการ ลูกจ้างประจำ และบุคคลอื่น
ที่เป็น "ผู้มีสิทธิ" ตามกฎหมาย ซึ่งรวมถึงผู้มีสิทธิได้รับเงินสวัสดิการเกี่ยวกับการรักษาพยาบาลสำหรับตนเอง
และบุคคลในครอบครัวของตนตามพระราชกฤษฎีกาเงินสวัสดิการเกี่ยวกับการรักษาพยาบาล พ.ศ. 2553
และที่แก้ไขเพิ่มเติม ซึ่งออกโดยอาศัยอำนาจตามความในกฎหมายว่าด้วยการกำหนดหลักเกณฑ์เกี่ยวกับ
การจ่ายเงินบางประเภทตามงบประมาณรายจ่าย ตลอดจนสวัสดิการเกี่ยวกับการรักษาพยาบาลหรือสวัสดิการ
สุขภาพของข้าราชการ เจ้าหน้าที่ พนักงาน ลูกจ้าง และผู้ปฏิบัติงานประเภทต่าง ๆ ของส่วนราชการ องค์การมหาชน
และหน่วยงานของรัฐทุกประเภทที่มีหน้าที่และอำนาจตามกฎหมายอื่นในการจัดสวัสดิการเกี่ยวกับ
การรักษาพยาบาลหรือสวัสดิการสุขภาพแก่บุคลากรของตน ตลอดจนบุคคลในครอบครัวของผู้นั้นด้วย
แต่ไม่ครอบคลุมการเก็บรวบรวมข้อมูลส่วนบุคคลเกี่ยวกับข้อมูลสุขภาพของพนักงานของหน่วยงานเอกชนที่ไม่ได้
เป็นผู้มีสิทธิตามกฎหมาย เช่น กรณีที่บริษัท W หารือมา
ประเด็นตามข้อหารือที่ 2 เห็นว่า เมื่อได้พิจารณาในประเด็นตามข้อหารือที่ 1 แล้วว่า
การเก็บรวบรวมข้อมูลส่วนบุคคลเกี่ยวกับข้อมูลสุขภาพของบริษัท W ในฐานะนายจ้าง เพื่อใช้ประกอบการ
พิจารณาเบิกจ่ายค่ารักษาพยาบาลตามสิทธิสวัสดิการของพนักงานดังกล่าว เป็นส่วนหนึ่งของข้อตกลงเกี่ยวกับ
สภาพการจ้างและมีผลผูกพันบริษัท W ตามกฎหมายว่าด้วยแรงงานสัมพันธ์ จึงถือเป็นการดำเนินการที่จำเป็น
เพื่อให้บรรลุวัตถุประสงค์เกี่ยวกับการคุ้มครองแรงงาน และสามารถเก็บรวบรวมข้อมูลส่วนบุคคลดังกล่าวได้
โดยไม่ต้องขอความยินยอมโดยชัดแจ้งจากเจ้าของข้อมูลส่วนบุคคล ตาม [มาตรา 26](https://link.pdpalawbase.com/section/26.md) (5) (ค) แห่งพระราชบัญญัติ
คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 จึงไม่ต้องตอบข้อหารือในประเด็นนี้อีก
อย่างไรก็ตาม คณะอนุกรรมการตอบข้อหารือฯ มีข้อสังเกตเพิ่มเติมว่า ในกรณีที่นายจ้างจัด
ให้มีสวัสดิการเกี่ยวกับการรักษาพยาบาลหรือสวัสดิการสุขภาพที่ไม่ได้เป็นส่วนหนึ่งของข้อตกลงเกี่ยวกับ
สภาพการจ้างที่มีผลผูกพันนายจ้างและลูกจ้างตามกฎหมายว่าด้วยแรงงานสัมพันธ์ จึงไม่ใช่กรณีที่เป็นการจำเป็น
เพื่อให้บรรลุวัตถุประสงค์เกี่ยวกับการคุ้มครองแรงงาน ตาม [มาตรา 26](https://link.pdpalawbase.com/section/26.md) (5) (ค) แห่งพระราชบัญญัติคุ้มครองข้อมูล
ส่วนบุคคล พ.ศ. 2562 การเก็บรวบรวมข้อมูลส่วนบุคคลเกี่ยวกับข้อมูลสุขภาพเพื่อวัตถุประสงค์เกี่ยวกับ
การพิจารณาเบิกจ่ายค่ารักษาพยาบาลตามสวัสดิการดังกล่าว จะต้องได้รับความยินยอมโดยชัดแจ้งจากเจ้าของ
ข้อมูลส่วนบุคคล แต่นายจ้างอาจพิจารณาว่า ข้อมูลส่วนบุคคลที่จะเก็บรวบรวมดังกล่าว เช่น ข้อมูลตามใบรับรองแพทย์
ที่ระบุชื่อโรคหรืออาการเจ็บป่วย มีความจำเป็นสำหรับการดำเนินการเพื่อพิจารณาเบิกจ่ายค่ารักษาพยาบาลตาม
สวัสดิการของพนักงานหรือไม่ เพียงใด หากเห็นว่ามีความจำเป็นและสมควร ก็สามารถพิจารณากำหนดเงื่อนไขว่า
ในการยื่นเบิกค่ารักษาพยาบาลตามสวัสดิการ พนักงานของบริษัท W จะต้องให้ความยินยอมในการเก็บรวบรวม
ข้อมูลส่วนบุคคลเพื่อวัตถุประสงค์ดังกล่าว มิฉะนั้น บริษัท W จะไม่สามารถพิจารณาเบิกจ่ายค่ารักษาพยาบาล
ตามสวัสดิการนั้นได้ เนื่องจากการเก็บรวบรวมข้อมูลส่วนบุคคลดังกล่าวของบริษัท W มีความจำเป็นและเกี่ยวข้อง
สำหรับการพิจารณาเบิกจ่ายค่ารักษาพยาบาลตามสวัสดิการ ซึ่งเป็นไปตาม [มาตรา 19](https://link.pdpalawbase.com/section/19.md) วรรคสี่ แห่งพระราชบัญญัติ
คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ที่บัญญัติว่า ในการเข้าทำสัญญาซึ่งรวมถึงการให้บริการใด ๆ ต้องไม่มี
เงื่อนไขในการให้ความยินยอมเพื่อเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลที่ไม่มีความจำเป็นหรือเกี่ยวข้อง
สำหรับการเข้าทำสัญญาซึ่งรวมถึงการให้บริการนั้น ๆ ดังนั้น ในกรณีที่ผู้ควบคุมข้อมูลส่วนบุคคลพิจารณาแล้ว
เห็นว่า การเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลในเรื่องใด มีความจำเป็นหรือเกี่ยวข้องสำหรับการเข้าทำ
สัญญาซึ่งรวมถึงการให้บริการ ก็อาจกำหนดเงื่อนไขในการให้ความยินยอมเพื่อเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูล
ส่วนบุคคลดังกล่าว ในการเข้าทำสัญญาซึ่งรวมถึงการให้บริการนั้น ๆ ได้ ทั้งนี้ เนื่องจากในบางกรณี
การเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลตาม [มาตรา 26](https://link.pdpalawbase.com/section/26.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล
พ.ศ. 2562 ที่ต้องได้รับความยินยอมโดยชัดแจ้งจากเจ้าของข้อมูลส่วนบุคคล มีความจำเป็นสำหรับการเข้าทำ
สัญญาหรือการให้บริการบางอย่าง เช่น กรณีการสมัครทำสัญญาประกันสุขภาพ ในกรณีที่เงื่อนไขของสัญญา
จะต้องมีการตรวจสุขภาพก่อน หรือกรณีการสมัครใช้บริการแอปพลิเคชันเก็บรวบรวมข้อมูลสุขภาพของตนเอง
ซึ่งในกรณีเหล่านี้ เจ้าของข้อมูลส่วนบุคคลจะต้องให้ความยินยอมในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูล
ส่วนบุคคลเกี่ยวกับข้อมูลสุขภาพ เป็นส่วนหนึ่งของเงื่อนไขในการเข้าทำสัญญาหรือการให้บริการ มิฉะนั้นก็จะไม่
สามารถเข้าทำสัญญาหรือการให้บริการนั้นได้ และการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลในกรณีดังกล่าว
ก็เป็นกรณีที่มีความจำเป็นหรือเกี่ยวข้องสำหรับการเข้าทำสัญญาหรือการให้บริการนั้น แต่ผู้ควบคุมข้อมูลส่วนบุคคล
จะต้องแจ้งถึงผลกระทบที่เป็นไปได้จากการไม่ให้ข้อมูลส่วนบุคคล หรือการถอนความยินยอม ให้เจ้าของข้อมูลส่วนบุคคล
ทราบในการขอความยินยอมจากเจ้าของข้อมูลส่วนบุคคลหรือการแจ้งวัตถุประสงค์และรายละเอียดในการเก็บรวบรวม
ข้อมูลส่วนบุคคลให้เจ้าของข้อมูลส่วนบุคคลทราบด้วย ตามนัย [มาตรา 23](https://link.pdpalawbase.com/section/23.md) (2) และ [มาตรา 19](https://link.pdpalawbase.com/section/19.md) วรรคหก
แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 รวมทั้งควรแจ้งเหตุผลความจำเป็นที่ต้องขอความยินยอม
โดยกำหนดเป็นเงื่อนไขของการใช้สิทธิสวัสดิการในการเบิกค่ารักษาพยาบาล เพื่อให้พนักงานมีความเข้าใจ
ในการดำเนินการเรื่องนี้ให้ชัดเจนก่อนหรือขณะเก็บรวบรวมข้อมูลส่วนบุคคลดังกล่าวด้วย

## เอกสารต้นฉบับ

- [PDF ต้นฉบับ (local)](../../raw/opinions/opinion-16-2567.pdf)
- [ที่มา: pdpc.or.th](https://www.pdpc.or.th/wp-content/uploads/2024/11/PDPC-consultation-45.pdf)

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/opinion/16-2567.md

============================================================
โนด: ข้อหารือ 17/2566
ลิงก์อ้างอิง: https://link.pdpalawbase.com/opinion/17-2566.md

# ข้อหารือที่ 17/2566 เรื่อง กองอำนวยการรักษาความมั่นคงภายในราชอาณาจักรขอหารือข้อกฎหมายและการปฏิบัติตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562

## ข้อกฎหมาย

1. พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 — [มาตรา 4](https://link.pdpalawbase.com/section/4.md) และ [มาตรา 6](https://link.pdpalawbase.com/section/6.md) (บทนิยามคำว่า "ผู้ควบคุมข้อมูลส่วนบุคคล")
2. พระราชบัญญัติการรักษาความมั่นคงภายในราชอาณาจักร พ.ศ. 2551 — มาตรา 5
3. พระราชบัญญัติปรับปรุงกระทรวง ทบวง กรม พ.ศ. 2545 และที่แก้ไขเพิ่มเติม — มาตรา 5
4. พระราชบัญญัติระเบียบบริหารราชการแผ่นดิน พ.ศ. 2534 — มาตรา 7

## ข้อหารือ

กองอำนวยการรักษาความมั่นคงภายในราชอาณาจักร (กอ.รมน.) ขอหารือข้อกฎหมายและการปฏิบัติตาม PDPA เกี่ยวกับ [มาตรา 6](https://link.pdpalawbase.com/section/6.md) ซึ่งบัญญัติว่า "ผู้ควบคุมข้อมูลส่วนบุคคล" หมายความว่า บุคคลหรือนิติบุคคลซึ่งมีอำนาจหน้าที่ตัดสินใจเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล

โดย กอ.รมน. พิจารณาแล้วเห็นว่า มาตรา 5 แห่ง พ.ร.บ. การรักษาความมั่นคงภายในราชอาณาจักร พ.ศ. 2551 บัญญัติให้จัดตั้ง กอ.รมน. ขึ้นในสำนักนายกรัฐมนตรี มีฐานะเป็นส่วนราชการรูปแบบเฉพาะอยู่ภายใต้การบังคับบัญชาขึ้นตรงต่อนายกรัฐมนตรี แต่กฎหมายมิได้กำหนดให้ กอ.รมน. มีฐานะเป็นนิติบุคคล จึงขอหารือ 2 ประเด็น:

1. "ผู้ควบคุมข้อมูลส่วนบุคคล" ของ กอ.รมน. ตาม [มาตรา 6](https://link.pdpalawbase.com/section/6.md) แห่ง PDPA ได้แก่ส่วนราชการใด
2. ผู้ที่มีอำนาจหน้าที่ที่จะพึงปฏิบัติหรือดำเนินการตาม [มาตรา 6](https://link.pdpalawbase.com/section/6.md) ได้แก่ผู้ดำรงตำแหน่งใด และผู้ดำรงตำแหน่งดังกล่าวในฐานะผู้ควบคุมข้อมูลของ กอ.รมน. อาจมอบอำนาจการดำเนินการให้แก่ผู้ดำรงตำแหน่งอื่นปฏิบัติราชการแทนได้หรือไม่ เพียงใด

## ความเห็น

คณะกรรมการคุ้มครองข้อมูลส่วนบุคคล โดยคณะอนุกรรมการเฉพาะกิจตอบข้อหารือและให้คำแนะนำหน่วยงานของรัฐเพื่อรองรับการบังคับใช้พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 พิจารณาแล้วมีความเห็น ดังนี้

**ประเด็นหารือที่หนึ่ง** มาตรา 5 วรรคหนึ่ง แห่ง พ.ร.บ. การรักษาความมั่นคงภายในราชอาณาจักร พ.ศ. 2551 บัญญัติให้จัดตั้ง กอ.รมน. ขึ้นในสำนักนายกรัฐมนตรี โดยมาตรา 5 วรรคเจ็ด บัญญัติให้ ผอ.รมน. มีอำนาจทำนิติกรรม ฟ้องคดี ถูกฟ้องคดี และดำเนินการทั้งปวงเกี่ยวกับคดีอันเกี่ยวเนื่องกับอำนาจหน้าที่ของ กอ.รมน. **โดยกระทำในนามของสำนักนายกรัฐมนตรี** ประกอบกับมาตรา 5 แห่ง พ.ร.บ. ปรับปรุงกระทรวง ทบวง กรม พ.ศ. 2545 และมาตรา 7 วรรคสาม แห่ง พ.ร.บ. ระเบียบบริหารราชการแผ่นดิน พ.ศ. 2534 บัญญัติให้สำนักนายกรัฐมนตรีมีฐานะเป็นนิติบุคคล

ดังนั้น **สำนักนายกรัฐมนตรีซึ่งเป็นหน่วยงานต้นสังกัดของ กอ.รมน. จึงถือเป็นผู้ควบคุมข้อมูลส่วนบุคคล ตาม [มาตรา 6](https://link.pdpalawbase.com/section/6.md)** และมีอำนาจหน้าที่รวมถึงความรับผิดชอบในการตัดสินใจและกำกับดูแลเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลให้เป็นไปตาม PDPA เท่าที่ PDPA ใช้บังคับแก่ กอ.รมน.

**ประเด็นหารือที่สอง** โดยหลักการ PDPA กำหนดให้สถานภาพความเป็นผู้ควบคุมข้อมูลส่วนบุคคลเกิดจากองค์ประกอบตาม [มาตรา 6](https://link.pdpalawbase.com/section/6.md) · หากหน่วยงานใดที่เป็นนิติบุคคลมีอำนาจตัดสินใจหรือดำเนินการเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล หน่วยงานดังกล่าวจะถือเป็นผู้ควบคุมข้อมูลส่วนบุคคล โดยไม่ต้องมีการแต่งตั้งบุคคลใดเพื่อปฏิบัติหน้าที่เป็นผู้ควบคุมข้อมูลอีก · ส่วนงานหรือหน่วยงานภายใน ตลอดจนพนักงานและบุคลากร จะไม่มีสถานะเป็นผู้ควบคุม/ผู้ประมวลผลแยกต่างหากจากหน่วยงานนั้น

ดังนั้น สำนักนายกรัฐมนตรีในฐานะผู้ควบคุมข้อมูลส่วนบุคคล (ซึ่งรวมถึง กอ.รมน. ในฐานะหน่วยงานในสังกัด) รวมถึงผู้บริหารและบุคลากรที่เกี่ยวข้อง ย่อมมีหน้าที่ตามกฎหมายที่จะพึงปฏิบัติตาม PDPA

อย่างไรก็ดี **นายกรัฐมนตรีในฐานะ ผอ.รมน.** ซึ่งเป็นผู้บังคับบัญชาข้าราชการ พนักงาน และลูกจ้างใน กอ.รมน. และรับผิดชอบในการปฏิบัติราชการของ กอ.รมน. ตามมาตรา 5 วรรคสาม แห่ง พ.ร.บ. การรักษาความมั่นคงภายในฯ สามารถมอบหมายหน้าที่หรือสั่งการให้ผู้ที่มีความเหมาะสมทำหน้าที่กำกับดูแลและดำเนินการเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลของ กอ.รมน. ให้เป็นไปตาม PDPA ได้ · เช่น มอบหมายให้เลขาธิการ กอ.รมน. (ซึ่งเป็นเสนาธิการทหารบก ตามมาตรา 5 วรรคห้า) หรือบุคคลอื่นที่ปฏิบัติหน้าที่ใน กอ.รมน. ดำเนินการแทน

**อนึ่ง** คณะอนุกรรมการฯ มีความเห็นเพิ่มเติมว่า แม้ว่าการดำเนินการเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล อันเนื่องจากการปฏิบัติตามหน้าที่และอำนาจโดยชอบด้วยกฎหมายเพื่อรักษาความมั่นคงภายในราชอาณาจักรของ กอ.รมน. จะเข้าข่ายเป็นการดำเนินการของหน่วยงานของรัฐที่มีหน้าที่ในการรักษาความมั่นคงของรัฐ ซึ่งรวมถึงการรักษาความปลอดภัยของประชาชน **จึงไม่ต้องอยู่ภายใต้บังคับ PDPA ตามนัย [มาตรา 4](https://link.pdpalawbase.com/section/4.md) (2)** แต่สำนักนายกรัฐมนตรีในฐานะผู้ควบคุมข้อมูลส่วนบุคคลของ กอ.รมน. และ กอ.รมน. ในฐานะหน่วยงานในสังกัด ต้องจัดให้มีการรักษาความมั่นคงปลอดภัยของข้อมูลส่วนบุคคลให้เป็นไปตามมาตรฐานด้วย ตามนัย [มาตรา 4](https://link.pdpalawbase.com/section/4.md) วรรคสาม

## เอกสารต้นฉบับ

- [PDF ต้นฉบับ (local)](../../raw/opinions/opinion-17-2566.pdf)
- [ที่มา: pdpc.or.th](https://www.pdpc.or.th/wp-content/uploads/2024/02/PDPC-consultation-17.pdf)

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/opinion/17-2566.md

============================================================
โนด: ข้อหารือ 17/2567
ลิงก์อ้างอิง: https://link.pdpalawbase.com/opinion/17-2567.md

# ข้อหารือที่ 17/2567 เรื่อง บริษัท X ขอหารือแนวทางการตีความกฎหมายเกี่ยวกับการแจ้งเหตุการละเมิดข้อมูลส่วนบุคคล

## ข้อกฎหมาย

1. พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562
      [มาตรา 37](https://link.pdpalawbase.com/section/37.md) (4)
2. ประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง หลักเกณฑ์และวิธีการในการแจ้งเหตุ
การละเมิดข้อมูลส่วนบุคคล พ.ศ. 2565
ข้อ 5 ข้อ 6 ข้อ 7 ข้อ 9 และข้อ 12

## ข้อหารือ

บริษัท X แจ้งว่า ตามที่ [มาตรา 37](https://link.pdpalawbase.com/section/37.md) (4) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล
พ.ศ. 2562 และประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง หลักเกณฑ์และวิธีการในการแจ้งเหตุ
การละเมิดข้อมูลส่วนบุคคล พ.ศ. 2565 กำหนดหน้าที่เกี่ยวกับการแจ้งเหตุการละเมิดข้อมูลส่วนบุคคล
ต่อสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล ("สคส.") ไว้ บริษัท X จึงขอสอบถามความชัดเจนของ
กฎหมายเพิ่มเติม ดังนี้
1. การละเมิดข้อมูลส่วนบุคคลในกรณีไม่มีความเสี่ยงที่จะกระทบสิทธิและเสรีภาพของประชาชน
1.1 ผู้ควบคุมข้อมูลส่วนบุคคลไม่มีหน้าที่ต้องแจ้งการละเมิดข้อมูลส่วนบุคคลต่อ สคส.
ใช่หรือไม่
1.2 การให้รายละเอียดหรือเอกสารเพิ่มเติมตามข้อ 9 วรรคสอง ของประกาศดังกล่าว
จะเกิดขึ้นเมื่อมีการร้องขอโดย สคส. เท่านั้นใช่หรือไม่
1.3 หากปรากฏว่าผู้ควบคุมข้อมูลส่วนบุคคลต้องแจ้งการละเมิดข้อมูลส่วนบุคคลตามข้อ 1.1
ผู้ควบคุมข้อมูลส่วนบุคคลต้องแจ้งเมื่อใด และหากไม่แจ้งหรือแจ้งเกินกำหนดเวลา จะมีโทษอย่างไรบ้าง
2. การนับระยะเวลาการแจ้งการละเมิดข้อมูลส่วนบุคคล 72 ชั่วโมง เริ่มขึ้นเมื่อนับแต่ยืนยันได้ว่า
มีเหตุอันควรเชื่อที่เป็นไปตามความหมายของ "การละเมิดข้อมูลส่วนบุคคล" แต่ไม่รวมถึงขั้นตอนการตรวจสอบ
เพิ่มเติมโดยละเอียดและจัดให้มีการระงับผลกระทบของเหตุการละเมิดข้อมูลส่วนบุคคล ใช่หรือไม่

## ความเห็น

คณะอนุกรรมการตอบข้อหารือและให้คำแนะนำในการปฏิบัติตามกฎหมายว่าด้วยการคุ้มครอง
ข้อมูลส่วนบุคคล ในคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล ได้พิจารณาข้อหารือดังกล่าวแล้ว มีความเห็น ดังนี้
ประเด็นตามข้อหารือที่ 1.1 เห็นว่า [มาตรา 37](https://link.pdpalawbase.com/section/37.md) (4) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล
พ.ศ. 2562 และข้อ 5 (3) ของประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง หลักเกณฑ์และวิธีการ
ในการแจ้งเหตุการละเมิดข้อมูลส่วนบุคคล พ.ศ. 2565 ("ประกาศฯ") กำหนดให้ผู้ควบคุมข้อมูลส่วนบุคคล
มีหน้าที่ต้องแจ้งเหตุการละเมิดข้อมูลส่วนบุคคลแก่ สคส. โดยไม่ชักช้าภายใน 72 ชั่วโมงนับแต่ทราบเหตุเท่าที่จะ
สามารถกระทำได้ เว้นแต่การละเมิดดังกล่าวไม่มีความเสี่ยงที่จะมีผลกระทบต่อสิทธิและเสรีภาพของบุคคล ดังนั้น
เมื่อผู้ควบคุมข้อมูลส่วนบุคคลประเมินความเสี่ยงตามหลักเกณฑ์ที่กำหนดไว้ในข้อ 12 ของประกาศดังกล่าวแล้ว
หากเห็นว่าไม่มีความเสี่ยงที่จะมีผลกระทบต่อสิทธิและเสรีภาพของบุคคล ผู้ควบคุมข้อมูลส่วนบุคคลจะไม่มีหน้าที่
แจ้งเหตุการละเมิดข้อมูลส่วนบุคคลดังกล่าวต่อ สคส.
ประเด็นตามข้อหารือที่ 1.2 เห็นว่า เมื่อผู้ควบคุมข้อมูลส่วนบุคคลได้รับแจ้งข้อมูลในเบื้องต้น
จากผู้ใด หรือทราบเองว่ามีหรือน่าจะมีเหตุการละเมิดข้อมูลส่วนบุคคล ผู้ควบคุมข้อมูลส่วนบุคคลต้องดำเนินการ
ประเมินความน่าเชื่อถือของข้อมูลดังกล่าว และตรวจสอบข้อเท็จจริงเกี่ยวกับการละเมิดข้อมูลส่วนบุคคล
ในเบื้องต้นโดยไม่ชักช้าเท่าที่จะสามารถกระทำได้ ว่ามีเหตุอันควรเชื่อได้ว่ามีการละเมิดข้อมูลส่วนบุคคลหรือไม่
จากนั้นจึงดำเนินการตามขั้นตอนที่กำหนดไว้ในข้อ 5 ของประกาศฯ โดยหากเห็นว่าเป็นกรณีที่ไม่มีความเสี่ยงที่จะมี
ผลกระทบต่อสิทธิและเสรีภาพของบุคคล ผู้ควบคุมข้อมูลส่วนบุคคลย่อมไม่มีหน้าที่แจ้งเหตุการละเมิดข้อมูล
ส่วนบุคคลแก่ สคส. หรือให้ข้อมูลหรือส่งเอกสารที่เกี่ยวข้องให้กับ สคส. โดยตรง แต่ผู้ควบคุมข้อมูลส่วนบุคคล
ควรเก็บรักษาข้อมูลและเอกสารต่าง ๆ ที่เกี่ยวข้องกับการประเมินความน่าเชื่อถือและการตรวจสอบข้อเท็จจริง
และการประเมินความเสี่ยงเกี่ยวกับการละเมิดข้อมูลส่วนบุคคลนั้นไว้เป็นหลักฐานอ้างอิงไว้ เพราะหากมีกรณี
ร้องเรียนที่เกี่ยวข้อง หรือกรณีได้รับแจ้งจากคณะกรรมการผู้เชี่ยวชาญหรือพนักงานเจ้าหน้าที่ให้มาให้ข้อมูลหรือ
ส่งเอกสารหรือหลักฐาน หรือขอตรวจสอบและรวบรวมข้อเท็จจริง เนื่องจากในการอ้างยกข้อยกเว้นการแจ้ง
เหตุการละเมิดข้อมูลส่วนบุคคล เนื่องจากไม่มีความเสี่ยงที่จะมีผลกระทบต่อสิทธิและเสรีภาพของบุคคลตาม
ข้อ 9 วรรคหนึ่ง ของประกาศฯ ผู้ควบคุมข้อมูลส่วนบุคคลมีหน้าที่ให้ข้อมูลหรือส่งเอกสารหรือหลักฐานเกี่ยวกับ
เหตุที่ควรได้รับการยกเว้นดังกล่าว ซึ่งรวมถึงรายละเอียดเกี่ยวกับมาตรการรักษาความมั่นคงปลอดภัยของข้อมูล
ส่วนบุคคลหรือข้อมูลอื่นใด ให้ สคส. พิจารณาตรวจสอบตามข้อ 9 วรรคสอง ของประกาศฯ ทั้งนี้ เนื่องจากภาระ
ในการพิสูจน์ว่าผู้ควบคุมข้อมูลส่วนบุคคลปฏิบัติถูกต้องตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562
หรือไม่ (demonstration of compliance) เป็นของผู้ควบคุมข้อมูลส่วนบุคคล
ประเด็นตามข้อหารือที่ 1.3 เห็นว่า เมื่อได้ให้ความเห็นในข้อ 1.1 แล้วว่า กรณีที่เหตุการละเมิด
ข้อมูลส่วนบุคคลนั้น ไม่มีความเสี่ยงที่จะมีผลกระทบต่อสิทธิและเสรีภาพของบุคคล ผู้ควบคุมข้อมูลส่วนบุคคล
ไม่มีหน้าที่แจ้งเหตุการละเมิดข้อมูลส่วนบุคคลดังกล่าวต่อ สคส. จึงไม่ต้องให้ความเห็นในประเด็นตามข้อหารือนี้
แต่หากจะแจ้งเหตุการละเมิดข้อมูลส่วนบุคคลก็ให้เป็นไปตามกฎหมายและประกาศที่เกี่ยวข้อง
ประเด็นตามข้อหารือข้อที่ 2 เห็นว่า การนับระยะเวลาในการแจ้งการละเมิดข้อมูลส่วนบุคคล
ตาม [มาตรา 37](https://link.pdpalawbase.com/section/37.md) (4) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ต้องพิจารณาตามหลักเกณฑ์และ
วิธีการที่กำหนดในข้อ 5 ของประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง หลักเกณฑ์และวิธีการในการแจ้ง
เหตุการละเมิดข้อมูลส่วนบุคคล พ.ศ. 2565 ประกอบด้วย โดยข้อ 5 ของประกาศดังกล่าวกำหนดขั้นตอนการ
ดำเนินการไว้ ดังนี้
(1) ผู้ควบคุมข้อมูลส่วนบุคคลต้องประเมินความน่าเชื่อถือของข้อมูลที่ได้รับ และตรวจสอบ
ข้อเท็จจริงเกี่ยวกับการละเมิดข้อมูลส่วนบุคคลในเบื้องต้นก่อน ไม่ว่าจะเป็นกรณีที่ผู้ควบคุมข้อมูลส่วนบุคคลทราบ
เองหรือได้รับแจ้งข้อมูลในเบื้องต้นจากผู้ใด ว่ามีเหตุอันควรเชื่อได้ว่ามีการละเมิดข้อมูลส่วนบุคคล (personal data
breach) หรือไม่ ซึ่งต้องกระทำโดยไม่ชักช้าเท่าที่จะสามารถกระทำได้ ตามข้อ 5 (1) นอกจากนี้ ในกรณีที่พบว่า
เหตุการละเมิดข้อมูลส่วนบุคคลดังกล่าว มีความเสี่ยงสูงที่จะมีผลกระทบต่อสิทธิและเสรีภาพของบุคคล
ให้ดำเนินการป้องกัน ระงับ หรือแก้ไขเพื่อให้การละเมิดข้อมูลส่วนบุคคลสิ้นสุดหรือไม่ให้การละเมิดข้อมูล
ส่วนบุคคลส่งผลกระทบเพิ่มเติมโดยทันทีเท่าที่จะสามารถกระทำได้ ตามข้อ 5 (2)
(2) เมื่อพิจารณาจากข้อเท็จจริงดังกล่าวแล้ว เห็นว่า มีเหตุอันควรเชื่อว่ามีการละเมิด
ข้อมูลส่วนบุคคลจริง และเป็นกรณีที่มีความเสี่ยงที่จะมีผลกระทบต่อสิทธิและเสรีภาพของบุคคล ให้ผู้ควบคุมข้อมูล
ส่วนบุคคลแจ้งเหตุการละเมิดดังกล่าวแก่สำนักงานฯ โดยไม่ชักช้าภายใน 72 ชั่วโมงนับแต่ทราบเหตุ
เท่าที่จะสามารถกระทำได้ ตามข้อ 5 (3) และดำเนินการตามข้อ 5 (4) และ (5) ของประกาศฯ ในลำดับต่อไป
ดังนั้น การพิจารณาว่าผู้ควบคุมข้อมูลส่วนบุคคลมีหน้าที่จะต้องแจ้งเหตุการละเมิดข้อมูล
ส่วนบุคคลแก่ สคส. หรือไม่ และการเริ่มนับระยะเวลาการแจ้งเหตุที่จะต้องกระทำโดยไม่ชักช้าภายใน 72 ชั่วโมง
นับแต่ทราบเหตุเท่าที่จะสามารถกระทำได้ จะเกิดขึ้นได้ก็ต่อเมื่อผู้ควบคุมข้อมูลส่วนบุคคลได้ทราบในเบื้องต้นว่ามี
หรือน่าจะมีเหตุการละเมิดข้อมูลส่วนบุคคล แล้วได้ประเมินความน่าเชื่อถือของข้อมูลและตรวจสอบข้อเท็จจริง
เกี่ยวกับการละเมิดข้อมูลส่วนบุคคลตามข้อ 5 (1) ของประกาศฯ และพิจารณาข้อเท็จจริงดังกล่าวแล้วเห็นว่า
มีเหตุอันควรเชื่อว่ามีการละเมิดข้อมูลส่วนบุคคลจริง ตามข้อ 5 (3) ดังนั้น การนับระยะเวลาการแจ้งเหตุ
การละเมิดข้อมูลส่วนบุคคลตาม [มาตรา 37](https://link.pdpalawbase.com/section/37.md) (4) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562
ประกอบข้อ 5 (3) ของประกาศฯ ที่กำหนดให้เริ่มนับระยะเวลา "นับแต่ทราบเหตุ" จึงเริ่มต้นเมื่อผู้ควบคุมข้อมูล
ส่วนบุคคลได้ประเมินความน่าเชื่อถือของข้อมูลและตรวจสอบข้อเท็จจริงแล้ว เห็นว่ามีเหตุอันควรเชื่อว่า
มีการละเมิดข้อมูลส่วนบุคคลจริง กล่าวคือ เมื่อเห็นว่า "มีเหตุอันควรเชื่อได้ว่ามีการละเมิดข้อมูลส่วนบุคคลจริง"
(confirmed breach or a likely breach with a reasonable degree of certainty) โดยจุดเริ่มต้นในการนับ
ระยะเวลาการแจ้งเหตุการละเมิดข้อมูลส่วนบุคคลจะเกิดขึ้นเมื่อใดนั้น จะต้องพิจารณาเป็นรายกรณี บางกรณี
อาจสามารถพิจารณายืนยันได้ตั้งแต่แรกว่ามีเหตุการละเมิดข้อมูลส่วนบุคคลเกิดขึ้นจริง เช่น การส่งข้อมูล
ส่วนบุคคลทางไปรษณีย์อิเล็กทรอนิกส์ (e-mail) ไปยังผู้รับที่ผิดพลาด แต่บางกรณีอาจจำเป็นต้องใช้เวลาเพื่อ
ตรวจสอบข้อเท็จจริงว่าเป็นเหตุการละเมิดข้อมูลส่วนบุคคลจริงหรือไม่ เช่น กรณีที่มีข่าวอ้างว่ามีการเปิดเผยข้อมูล
ส่วนบุคคลในความรับผิดชอบของผู้ควบคุมข้อมูลส่วนบุคคลโดยมิชอบจากภัยคุกคามทางไซเบอร์หรือการรั่วไหล
ของข้อมูลส่วนบุคคล ด้วยเหตุนี้ การนับระยะเวลาการแจ้งเหตุการละเมิดข้อมูลส่วนบุคคล ผู้ควบคุมข้อมูล
ส่วนบุคคลจะต้องใช้ดุลพินิจพิจารณาเป็นกรณี ๆ ไปว่า มีเหตุอันควรเชื่อว่ามีการละเมิดข้อมูลส่วนบุคคลเกิดขึ้น
เมื่อใด ส่วนขั้นตอนการดำเนินการป้องกัน ระงับ หรือแก้ไขเพื่อให้การละเมิดข้อมูลส่วนบุคคลสิ้นสุดหรือไม่ให้
การละเมิดข้อมูลส่วนบุคคลส่งผลกระทบเพิ่มเติม ในกรณีที่พบว่าเหตุการละเมิดข้อมูลส่วนบุคคลดังกล่าว
มีความเสี่ยงสูงที่จะมีผลกระทบต่อสิทธิและเสรีภาพของบุคคล ตามข้อ 5 (2) ของประกาศฯ เป็นขั้นตอนที่
กำหนดให้ผู้ควบคุมข้อมูลส่วนบุคคลต้องเร่งรัดดำเนินการป้องกัน ระงับ หรือแก้ไขเหตุดังกล่าวให้การละเมิดข้อมูล
ส่วนบุคคลสิ้นสุดลงหรือไม่ส่งผลกระทบเพิ่มเติมโดยทันทีเท่าที่จะสามารถกระทำได้ เพื่อคุ้มครองสิทธิและเสรีภาพ
ของบุคคล จึงเป็นกรณีที่ต้องดำเนินการควบคู่ไปกับหน้าที่ในการแจ้งเหตุการละเมิดข้อมูลส่วนบุคคล เช่นเดียวกับ
การดำเนินการตามมาตรการที่จำเป็นและเหมาะสมเพื่อระงับ ตอบสนอง แก้ไข หรือฟื้นฟูสภาพจากเหตุการละเมิด
ข้อมูลส่วนบุคคลดังกล่าว รวมทั้งป้องกันและลดผลกระทบจากการเกิดเหตุการละเมิดข้อมูลส่วนบุคคลในลักษณะ
เดียวกันในอนาคตตามข้อ 5 (5)
อนึ่ง สำหรับเหตุการละเมิดข้อมูลส่วนบุคคลที่มีความเสี่ยงที่จะมีผลกระทบต่อสิทธิ
และเสรีภาพของบุคคล ผู้ควบคุมข้อมูลส่วนบุคคลอาจพิจารณาแจ้งเหตุการละเมิดข้อมูลส่วนบุคคล
แก่ สคส. เป็นระยะ ๆ (notification in phases) โดยแจ้งเหตุเบื้องต้นโดยเร็วเท่าที่จะสามารถกระทำได้แล้ว
แจ้งข้อมูลเพิ่มเติมในลำดับต่อมาเมื่อได้ตรวจสอบและทราบรายละเอียดเพิ่มเติม จนกระทั่งการแจ้งเหตุดังกล่าว
มีสาระสำคัญครบถ้วนตามข้อ 6 ของประกาศฯ ก็ได้ และหากมีเหตุอันจำเป็นที่ทำให้ผู้ควบคุมข้อมูลส่วนบุคคล
ไม่สามารถแจ้งเหตุการละเมิดข้อมูลส่วนบุคคลแก่สำนักงานฯ ได้ภายใน 72 ชั่วโมงนับแต่ทราบเหตุเท่าที่
จะสามารถกระทำได้ ผู้ควบคุมข้อมูลส่วนบุคคลจะต้องแจ้งเหตุการละเมิดข้อมูลส่วนบุคคลนั้นแก่ สคส. โดยเร็ว
ทั้งนี้ ต้องไม่เกิน 15 วันนับแต่ทราบเหตุ โดยให้ผู้ควบคุมข้อมูลส่วนบุคคลชี้แจงเหตุผลความจำเป็น
และรายละเอียดที่เกี่ยวข้องแก่ สคส. เพื่อแสดงให้เห็นว่ามีเหตุจำเป็นที่ไม่อาจหลีกเลี่ยงได้ที่ทำให้แจ้งเหตุการละเมิด
ข้อมูลส่วนบุคคลล่าช้า เพื่อให้ สคส. พิจารณาต่อไป

## เอกสารต้นฉบับ

- [PDF ต้นฉบับ (local)](../../raw/opinions/opinion-17-2567.pdf)
- [ที่มา: pdpc.or.th](https://www.pdpc.or.th/wp-content/uploads/2024/11/PDPC-consultation-46.pdf)

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/opinion/17-2567.md

============================================================
โนด: ข้อหารือ 18/2566
ลิงก์อ้างอิง: https://link.pdpalawbase.com/opinion/18-2566.md

# ข้อหารือที่ 18/2566 เรื่อง ธนาคาร Z ขอหารือเกี่ยวกับแนวทางการนำส่งข้อมูลส่วนบุคคลของกรรมการตามกฎข้อบังคับของ ACRA ประเทศสิงคโปร์ และ/หรือกฎข้อบังคับและกฎหมายของประเทศอื่น

## ข้อกฎหมาย

1. พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 — [มาตรา 16](https://link.pdpalawbase.com/section/16.md) (5), [มาตรา 28](https://link.pdpalawbase.com/section/28.md) และ [มาตรา 29](https://link.pdpalawbase.com/section/29.md)

## ข้อหารือ

ธนาคาร Z ขอหารือเกี่ยวกับแนวทางการนำส่งข้อมูลส่วนบุคคลของกรรมการตามกฎข้อบังคับของ Accounting and Corporate Regulatory Authority (ACRA) ประเทศสิงคโปร์ และ/หรือกฎข้อบังคับและกฎหมายของประเทศอื่น ดังนี้:

1. คำว่า "ฐานการปฏิบัติตามกฎหมาย" ตาม [มาตรา 28](https://link.pdpalawbase.com/section/28.md) (1) แห่ง PDPA ให้หมายความรวมถึงการปฏิบัติตามกฎหมายต่างประเทศด้วยหรือไม่
2. กรณีหาก [มาตรา 28](https://link.pdpalawbase.com/section/28.md) (1) หมายความถึงกฎหมายไทยเท่านั้น และประกอบกับประเทศไทยยังไม่มีประกาศกำหนดเกี่ยวกับประเทศปลายทางหรือองค์การระหว่างประเทศที่มีมาตรฐานการคุ้มครองข้อมูลส่วนบุคคลที่เพียงพอ ธนาคาร Z จะต้องดำเนินการตาม [มาตรา 28](https://link.pdpalawbase.com/section/28.md) (2) โดยขอความยินยอมจากกรรมการธนาคาร Z และแจ้งให้กรรมการทราบถึงมาตรฐานการคุ้มครองข้อมูลส่วนบุคคลที่ไม่เพียงพอของประเทศปลายทางหรือไม่ อย่างไร

## ความเห็น

คณะอนุกรรมการเฉพาะกิจตอบข้อหารือและให้คำแนะนำหน่วยงานของรัฐเพื่อรองรับการบังคับใช้พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ในคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล พิจารณาประเด็นข้อหารือของธนาคาร Z แล้ว มีความเห็นพร้อมข้อสังเกต ดังนี้

**ประเด็นหารือที่ 1** เห็นว่า ผู้ควบคุมข้อมูลส่วนบุคคลจะส่งหรือโอนข้อมูลส่วนบุคคลไปยังต่างประเทศได้เมื่อประเทศปลายทางหรือองค์การระหว่างประเทศที่รับข้อมูลส่วนบุคคลต้องมีมาตรฐานการคุ้มครองข้อมูลส่วนบุคคลที่เพียงพอ ทั้งนี้ ต้องเป็นไปตามหลักเกณฑ์การให้ความคุ้มครองข้อมูลส่วนบุคคลตามที่คณะกรรมการคุ้มครองข้อมูลส่วนบุคคลประกาศกำหนดตาม [มาตรา 16](https://link.pdpalawbase.com/section/16.md) (5) ตามนัย [มาตรา 28](https://link.pdpalawbase.com/section/28.md) แห่ง PDPA เว้นแต่เข้าข้อยกเว้นตาม [มาตรา 28](https://link.pdpalawbase.com/section/28.md) (1) ถึง (6) หรือเป็นไปตาม [มาตรา 29](https://link.pdpalawbase.com/section/29.md)

โดยสำหรับข้อยกเว้นตาม [มาตรา 28](https://link.pdpalawbase.com/section/28.md) (1) ที่เป็นการปฏิบัติตามกฎหมาย จะต้องเป็นกรณีที่มีกฎหมายกำหนดให้ผู้ควบคุมข้อมูลส่วนบุคคลส่งหรือโอนข้อมูลส่วนบุคคลไปยังต่างประเทศได้ โดยจะต้องเป็นกฎหมายที่มีสภาพบังคับต่อผู้ควบคุมข้อมูลส่วนบุคคล **ดังนั้น กรณีที่จะสามารถใช้ข้อยกเว้นตาม [มาตรา 28](https://link.pdpalawbase.com/section/28.md) (1) ได้ จึงต้องเป็นกรณีการปฏิบัติตามกฎหมายของประเทศไทย** (ไม่รวมกฎหมายต่างประเทศ)

**ประเด็นหารือที่ 2** เห็นว่า ปัจจุบันยังไม่มีหลักเกณฑ์การให้ความคุ้มครองข้อมูลส่วนบุคคลที่คณะกรรมการคุ้มครองข้อมูลส่วนบุคคลประกาศกำหนดตาม [มาตรา 16](https://link.pdpalawbase.com/section/16.md) (5) ประกอบ [มาตรา 28](https://link.pdpalawbase.com/section/28.md) วรรคหนึ่ง แห่ง PDPA และยังไม่มีคำวินิจฉัยของคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลว่าประเทศปลายทางหรือองค์การระหว่างประเทศใดมีมาตรฐานการคุ้มครองข้อมูลส่วนบุคคลที่เพียงพอ (Adequacy Decisions)

กรณีการนำส่งข้อมูลส่วนบุคคลของกรรมการตามกฎข้อบังคับของ ACRA สิงคโปร์ และ/หรือกฎข้อบังคับและกฎหมายของประเทศอื่น ธนาคาร Z จึงต้องพิจารณาว่าการดำเนินการดังกล่าวเข้าข้อยกเว้นตาม [มาตรา 28](https://link.pdpalawbase.com/section/28.md) (1) ถึง (6) หรือไม่ เช่น การนำส่งข้อมูลส่วนบุคคลของกรรมการของธนาคาร Z ถือเป็นการปฏิบัติหน้าที่ตามสัญญาของกรรมการต่อธนาคารฯ อันจะถือว่าเป็นการจำเป็นเพื่อการปฏิบัติตามสัญญาซึ่งกรรมการในฐานะเจ้าของข้อมูลส่วนบุคคลเป็นคู่สัญญาหรือเพื่อใช้ในการดำเนินการตามคำขอของเจ้าของข้อมูลส่วนบุคคลก่อนเข้าทำสัญญานั้น ตาม [มาตรา 28](https://link.pdpalawbase.com/section/28.md) (3) หรือไม่

หากไม่มีกรณียกเว้นตาม [มาตรา 28](https://link.pdpalawbase.com/section/28.md) (1) (3) (4) (5) หรือ (6) ที่จะใช้เป็นเครื่องมือในการส่งหรือโอนข้อมูลส่วนบุคคลไปยังต่างประเทศที่สามารถนำมาปรับใช้ได้แก่กรณี ธนาคาร Z จะต้องได้รับความยินยอมจากเจ้าของข้อมูลส่วนบุคคลโดยได้แจ้งให้เจ้าของข้อมูลส่วนบุคคลทราบถึงมาตรฐานการคุ้มครองข้อมูลส่วนบุคคลที่อาจไม่เพียงพอของประเทศปลายทางหรือองค์การระหว่างประเทศที่รับข้อมูลส่วนบุคคลแล้วตาม [มาตรา 28](https://link.pdpalawbase.com/section/28.md) (2)

## เอกสารต้นฉบับ

- [PDF ต้นฉบับ (local)](../../raw/opinions/opinion-18-2566.pdf)
- [ที่มา: pdpc.or.th](https://www.pdpc.or.th/wp-content/uploads/2024/02/PDPC-consultation-18.pdf)

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/opinion/18-2566.md

============================================================
โนด: ข้อหารือ 18/2567
ลิงก์อ้างอิง: https://link.pdpalawbase.com/opinion/18-2567.md

# ข้อหารือที่ 18/2567 เรื่อง คณะแพทยศาสตร์ มหาวิทยาลัยสงขลานครินทร์ ขอหารือการขอลบประวัติการรักษาในโรงพยาบาล

## ข้อกฎหมาย

1. พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562
[มาตรา 6](https://link.pdpalawbase.com/section/6.md) [มาตรา 24](https://link.pdpalawbase.com/section/24.md) (2) (3) (5) และ (6) [มาตรา 26](https://link.pdpalawbase.com/section/26.md) (1) (4) และ (5) (ก) และ (ข) [มาตรา 30](https://link.pdpalawbase.com/section/30.md)
[มาตรา 31](https://link.pdpalawbase.com/section/31.md) [มาตรา 32](https://link.pdpalawbase.com/section/32.md) [มาตรา 33](https://link.pdpalawbase.com/section/33.md) [มาตรา 34](https://link.pdpalawbase.com/section/34.md) [มาตรา 36](https://link.pdpalawbase.com/section/36.md) [มาตรา 37](https://link.pdpalawbase.com/section/37.md) (3) และ [มาตรา 73](https://link.pdpalawbase.com/section/73.md)
2. ประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง หลักเกณฑ์ในการลบหรือทำลาย หรือทำให้
ข้อมูลส่วนบุคคลเป็นข้อมูลที่ไม่สามารถระบุตัวบุคคลที่เป็นเจ้าของข้อมูลส่วนบุคคลได้ พ.ศ. 2567
ข้อ 3 วรรคหนึ่ง และข้อ 8 วรรคสาม
3. พระราชบัญญัติมหาวิทยาลัยสงขลานครินทร์ พ.ศ. 2559
มาตรา 5
4. พระราชบัญญัติสถานพยาบาล พ.ศ. 2541 และที่แก้ไขเพิ่มเติม
มาตรา 5 วรรคหนึ่งและวรรคสอง และมาตรา 35 (3)
5. ประกาศกระทรวงสาธารณสุข เรื่อง การกำหนดลักษณะของสถานพยาบาลและมาตรฐานซึ่งได้รับ
การยกเว้นไม่ต้องอยู่ในบังคับตามกฎหมายว่าด้วยสถานพยาบาล ลงวันที่ 20 มีนาคม พ.ศ. 2561
และที่แก้ไขเพิ่มเติม
ข้อ 6 (3)
6. ประกาศกรมสนับสนุนบริการสุขภาพ เรื่อง รายละเอียดเกี่ยวกับมาตรฐานระบบบริการสุขภาพของ
สถานพยาบาลประเภทที่รับผู้ป่วยไว้ค้างคืน ลงวันที่ 8 มกราคม พ.ศ. 2564
ข้อ 3
7. ประกาศกรมสนับสนุนบริการสุขภาพ เรื่อง หน่วยงานที่รับรองคุณภาพสถานพยาบาลซึ่งดำเนินการ
โดยกระทรวง ทบวง กรม องค์กรปกครองส่วนท้องถิ่น รัฐวิสาหกิจ สถาบันการศึกษาของรัฐ
หน่วยงานอื่นของรัฐ สภากาชาดไทย พ.ศ. 2567
ข้อ 3

## ข้อหารือ

โรงพยาบาลสงขลานครินทร์ คณะแพทยศาสตร์ มหาวิทยาลัยสงขลานครินทร์ แจ้งว่า ได้รับคำขอ
จากผู้รับบริการของโรงพยาบาลสงขลานครินทร์ แจ้งความประสงค์ขอลบประวัติการรักษาของผู้ร้องจากฐานข้อมูล
โรงพยาบาลสงขลานครินทร์ โดยอ้างว่าเป็นสิทธิตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 จึงขอ
หารือข้อกฎหมายในประเด็นดังกล่าวว่า โรงพยาบาลสงขลานครินทร์ จะอ้างการเก็บรวบรวมข้อมูลส่วนบุคคลของ
เจ้าของข้อมูลส่วนบุคคลที่มีต่อโรงพยาบาลอันเป็นระบบการประกันสุขภาพ ซึ่งเป็นสวัสดิการพื้นฐานของรัฐ
หากเกิดกรณีมีผู้ร้องขอใช้สิทธิลบประวัติการรักษา ทางโรงพยาบาลฯ จะสามารถอ้างข้อกฎหมายหรือฐานทางกฎหมาย
ประการใด ทั้งนี้ เพื่อเป็นแนวทางให้กับโรงพยาบาลสงขลานครินทร์ และโรงพยาบาลอื่น ๆ ที่อาจได้รับคำขอ
ดังกล่าว

## ความเห็น

คณะอนุกรรมการตอบข้อหารือและให้คำแนะนำในการปฏิบัติตามกฎหมายว่าด้วยการคุ้มครอง
ข้อมูลส่วนบุคคล ในคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล ได้พิจารณาเรื่องหารือดังกล่าว โดยมีผู้แทน
โรงพยาบาลสงขลานครินทร์ชี้แจงข้อเท็จจริงประกอบการพิจารณาแล้ว มีความเห็นว่า โรงพยาบาลสงขลานครินทร์
เป็นหน่วยงานภายใต้สังกัดคณะแพทยศาสตร์ มหาวิทยาลัยสงขลานครินทร์ โดยมหาวิทยาลัยสงขลานครินทร์
มีฐานะเป็นนิติบุคคลตามมาตรา 5 แห่งพระราชบัญญัติมหาวิทยาลัยสงขลานครินทร์ พ.ศ. 2559 จึงถือได้ว่า
มหาวิทยาลัยสงขลานครินทร์เป็นผู้ควบคุมข้อมูลส่วนบุคคลตาม [มาตรา 6](https://link.pdpalawbase.com/section/6.md) แห่งพระราชบัญญัติคุ้มครองข้อมูล
ส่วนบุคคล พ.ศ. 2562 การที่โรงพยาบาลสงขลานครินทร์ทำการเก็บรวบรวมข้อมูลประวัติการรักษาของ
ผู้รับบริการ มีวัตถุประสงค์หลักเพื่อการให้บริการสุขภาพแก่ผู้รับบริการซึ่งตัดสินใจเข้ารับบริการกับทาง
โรงพยาบาล จึงอาจถือเป็นการเก็บรวบรวมข้อมูลส่วนบุคคลที่เป็นการจำเป็นเพื่อการปฏิบัติตามสัญญาซึ่งเจ้าของ
ข้อมูลส่วนบุคคลเป็นคู่สัญญาหรือเพื่อใช้ในการดำเนินการตามคำขอของเจ้าของข้อมูลส่วนบุคคลก่อนเข้าทำสัญญานั้น
ตาม [มาตรา 24](https://link.pdpalawbase.com/section/24.md) (3) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 และสำหรับข้อมูลส่วนบุคคล
ตาม [มาตรา 26](https://link.pdpalawbase.com/section/26.md) (เช่น ข้อมูลส่วนบุคคลเกี่ยวกับข้อมูลสุขภาพ) ถือเป็นการเก็บรวบรวมข้อมูลส่วนบุคคลที่เป็นการจำเป็น
ในการปฏิบัติตามกฎหมายเพื่อให้บรรลุวัตถุประสงค์เกี่ยวกับเวชศาสตร์ป้องกันหรืออาชีวเวชศาสตร์ การประเมิน
ความสามารถในการทำงานของลูกจ้าง การวินิจฉัยโรคทางการแพทย์ การให้บริการด้านสุขภาพหรือด้านสังคม
การรักษาทางการแพทย์ การจัดการด้านสุขภาพ หรือระบบและการให้บริการด้านสังคมสงเคราะห์ หรือในกรณี
ที่ไม่ใช่การปฏิบัติตามกฎหมายและข้อมูลส่วนบุคคลนั้นอยู่ในความรับผิดชอบของผู้ประกอบอาชีพหรือวิชาชีพหรือ
ผู้มีหน้าที่รักษาข้อมูลส่วนบุคคลนั้นไว้เป็นความลับตามกฎหมาย ก็อาจถือเป็นการปฏิบัติตามสัญญาระหว่าง
เจ้าของข้อมูลส่วนบุคคลกับผู้ประกอบวิชาชีพทางการแพทย์ ตาม [มาตรา 26](https://link.pdpalawbase.com/section/26.md) (5) (ก) แห่งพระราชบัญญัติคุ้มครอง
ข้อมูลส่วนบุคคล พ.ศ. 2562 เว้นแต่ในกรณีจำเป็นที่ต้องเก็บรวบรวมข้อมูลส่วนบุคคลเพื่อป้องกันหรือระงับ
อันตรายต่อชีวิต ร่างกาย หรือสุขภาพของบุคคล ซึ่งจะเป็นไปตาม [มาตรา 24](https://link.pdpalawbase.com/section/24.md) (2) หรือ [มาตรา 26](https://link.pdpalawbase.com/section/26.md) (1) แล้วแต่กรณี
นอกจากนี้ พระราชบัญญัติสถานพยาบาล พ.ศ. 2541 มาตรา 35 (3) กำหนดหน้าที่
และความรับผิดชอบของผู้รับอนุญาตและผู้ดำเนินการของสถานพยาบาลในการจัดให้มีและรายงานหลักฐาน
เกี่ยวกับผู้ประกอบวิชาชีพในสถานพยาบาลและผู้ป่วย และเอกสารอื่นที่เกี่ยวกับการรักษาพยาบาล โดยต้อง
เก็บรักษาไว้ให้อยู่ในสภาพที่ตรวจสอบได้ไม่น้อยกว่า 5 ปีนับแต่วันจัดทำ และโรงพยาบาลสงขลานครินทร์
ในฐานะสถานพยาบาลซึ่งดำเนินการโดยสถาบันการศึกษาของรัฐ ต้องมีลักษณะของสถานพยาบาล
และมาตรฐานตามมาตรา 5 วรรคหนึ่งและวรรคสอง แห่งพระราชบัญญัติสถานพยาบาล พ.ศ. 2541 ซึ่งแก้ไข
เพิ่มเติมโดยพระราชบัญญัติสถานพยาบาล (ฉบับที่ 4) พ.ศ. 2559 ประกอบข้อ 6 (3) ของประกาศกระทรวง
สาธารณสุข เรื่อง การกำหนดลักษณะของสถานพยาบาลและมาตรฐานซึ่งได้รับการยกเว้นไม่ต้องอยู่ในบังคับ
ตามกฎหมายว่าด้วยสถานพยาบาล ลงวันที่ 20 มีนาคม พ.ศ. 2561 ซึ่งแก้ไขเพิ่มเติมโดยประกาศกระทรวง
สาธารณสุข เรื่อง การกำหนดลักษณะของสถานพยาบาลและมาตรฐานซึ่งได้รับการยกเว้นไม่ต้องอยู่ในบังคับ
ตามกฎหมายว่าด้วยสถานพยาบาล (ฉบับที่ 2) ลงวันที่ 28 มิถุนายน พ.ศ. 2562 โดยต้องจัดให้มีระบบ
การจัดการเวชระเบียนที่เป็นมาตรฐาน จัดให้มีระบบข้อมูลสำรองเพื่อป้องกันข้อมูลสูญหาย และมีพื้นที่เพียงพอ
ที่จะเก็บเวชระเบียนได้อย่างน้อย 5 ปี ตามข้อ 3 ของประกาศกรมสนับสนุนบริการสุขภาพ เรื่อง รายละเอียด
เกี่ยวกับมาตรฐานระบบบริการสุขภาพของสถานพยาบาลประเภทที่รับผู้ป่วยไว้ค้างคืน ลงวันที่ 8 มกราคม
พ.ศ. 2564 ประกอบข้อ 3 ของประกาศกรมสนับสนุนบริการสุขภาพ เรื่อง หน่วยงานที่รับรองคุณภาพ
สถานพยาบาลซึ่งดำเนินการโดยกระทรวง ทบวง กรม องค์กรปกครองส่วนท้องถิ่น รัฐวิสาหกิจ สถาบันการศึกษา
ของรัฐ หน่วยงานอื่นของรัฐ สภากาชาดไทย พ.ศ. 2567 การที่โรงพยาบาลสงขลานครินทร์เก็บรวบรวม
ข้อมูลประวัติการรักษาของผู้รับบริการตามข้อกฎหมายดังกล่าว จึงถือเป็นการปฏิบัติตามกฎหมายของผู้ควบคุม
ข้อมูลส่วนบุคคลตาม [มาตรา 24](https://link.pdpalawbase.com/section/24.md) (6) หรือเป็นการจำเป็นในการปฏิบัติตามกฎหมายเพื่อให้บรรลุวัตถุประสงค์
เกี่ยวกับประโยชน์สาธารณะด้านการสาธารณสุขตาม [มาตรา 26](https://link.pdpalawbase.com/section/26.md) (5) (ข) แห่งพระราชบัญญัติคุ้มครองข้อมูล
ส่วนบุคคล พ.ศ. 2562 แล้วแต่กรณี อีกด้วย
วัตถุประสงค์อีกประการหนึ่งที่สถานพยาบาลต่าง ๆ เก็บรวบรวมข้อมูลประวัติการรักษา
ของผู้รับบริการ คือ เพื่อเป็นหลักฐานอ้างอิงทางกฎหมายในกรณีที่มีการดำเนินคดีต่อสถานพยาบาล
หรือบุคลากรที่เกี่ยวข้อง ไม่ว่าจะเป็นคดีอาญา คดีแพ่ง คดีปกครอง หรือการดำเนินการด้านจริยธรรม
หรือจรรยาบรรณของผู้ประกอบวิชาชีพหรือผู้ประกอบโรคศิลปะ ซึ่งอาจถือเป็นกรณีที่เป็นการจำเป็น
เพื่อประโยชน์โดยชอบด้วยกฎหมายของผู้ควบคุมข้อมูลส่วนบุคคล ซึ่งประโยชน์ดังกล่าวมีความสำคัญ
ไม่น้อยกว่าสิทธิขั้นพื้นฐานในข้อมูลส่วนบุคคลของเจ้าของข้อมูลส่วนบุคคลตาม [มาตรา 24](https://link.pdpalawbase.com/section/24.md) (5)
หรือเป็นการจำเป็นเพื่อการก่อตั้งสิทธิเรียกร้องตามกฎหมาย การปฏิบัติตามหรือการใช้สิทธิเรียกร้อง
ตามกฎหมาย หรือการยกขึ้นต่อสู้สิทธิเรียกร้องตามกฎหมายตาม [มาตรา 26](https://link.pdpalawbase.com/section/26.md) (4) แห่งพระราชบัญญัติคุ้มครอง
ข้อมูลส่วนบุคคล พ.ศ. 2562 อีกด้วย
ในกรณีที่เจ้าของข้อมูลส่วนบุคคลขอใช้สิทธิของตนเองตามที่กำหนดไว้ในพระราชบัญญัติ
คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 [มาตรา 30](https://link.pdpalawbase.com/section/30.md) ถึง [มาตรา 34](https://link.pdpalawbase.com/section/34.md) และ [มาตรา 36](https://link.pdpalawbase.com/section/36.md) นั้น ผู้ควบคุมข้อมูลส่วนบุคคล
มีหน้าที่ต้องพิจารณาคำขอใช้สิทธิว่าสอดคล้องกับเงื่อนไขที่กฎหมายกำหนดในการขอใช้สิทธิแต่ละกรณี
หรือไม่ โดยในส่วนของสิทธิขอให้ผู้ควบคุมข้อมูลส่วนบุคคลดำเนินการลบหรือทำลาย หรือทำให้ข้อมูลส่วนบุคคล
เป็นข้อมูลที่ไม่สามารถระบุตัวบุคคลที่เป็นเจ้าของข้อมูลส่วนบุคคลได้ ตาม [มาตรา 33](https://link.pdpalawbase.com/section/33.md) โรงพยาบาลสงขลานครินทร์
อาจพิจารณาปฏิเสธคำขอใช้สิทธิของผู้รับบริการได้ หากเห็นว่าเป็นกรณีดังต่อไปนี้
(1) ข้อมูลส่วนบุคคลนั้นยังมีความจำเป็นในการเก็บรักษาไว้ตามวัตถุประสงค์ในการเก็บ
รวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล โดยโรงพยาบาลสงขลานครินทร์จะต้องพิจารณาความจำเป็น
ในการเก็บรักษาข้อมูลส่วนบุคคลดังกล่าวตามวัตถุประสงค์ที่เก็บรวบรวมไว้ เช่น ยังมีความจำเป็นในการ
เก็บรักษาข้อมูลส่วนบุคคลดังกล่าวไว้เพื่อการให้บริการสุขภาพตามมาตรฐานของสถานพยาบาล เพื่อการปฏิบัติ
ตามกฎหมายว่าด้วยสถานพยาบาล หรือเพื่อเป็นหลักฐานอ้างอิงทางกฎหมายสำหรับคดีที่อาจเกิดขึ้นและ
ยังไม่หมดอายุความ เป็นต้น ทั้งนี้ ตามนัย [มาตรา 33](https://link.pdpalawbase.com/section/33.md) (1) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562
และไม่ใช่กรณีที่เข้าเงื่อนไขตาม (2) (3) หรือ (4)
(2) การเก็บรักษาไว้เพื่อวัตถุประสงค์เกี่ยวกับเวชศาสตร์ป้องกันหรืออาชีวเวชศาสตร์
การประเมินความสามารถในการทำงานของลูกจ้าง การวินิจฉัยโรคทางการแพทย์ การให้บริการด้านสุขภาพ
หรือด้านสังคม การรักษาทางการแพทย์ การจัดการด้านสุขภาพ หรือระบบและการให้บริการด้านสังคมสงเคราะห์
หรือการปฏิบัติตามสัญญาระหว่างเจ้าของข้อมูลส่วนบุคคลกับผู้ประกอบวิชาชีพทางการแพทย์ ตาม [มาตรา 26](https://link.pdpalawbase.com/section/26.md) (5) (ก)
หรือเป็นการจำเป็นในการปฏิบัติตามกฎหมายเพื่อให้บรรลุวัตถุประสงค์เกี่ยวกับประโยชน์สาธารณะด้าน
การสาธารณสุขตาม [มาตรา 26](https://link.pdpalawbase.com/section/26.md) (5) (ข) หรือการใช้เพื่อการก่อตั้งสิทธิเรียกร้องตามกฎหมาย การปฏิบัติตามหรือ
การใช้สิทธิเรียกร้องตามกฎหมาย หรือการยกขึ้นต่อสู้สิทธิเรียกร้องตามกฎหมาย หรือเพื่อการปฏิบัติตามกฎหมาย
ซึ่ง [มาตรา 33](https://link.pdpalawbase.com/section/33.md) วรรคสอง กำหนดยกเว้นมิให้นำสิทธิขอให้ดำเนินการลบหรือทำลาย หรือทำให้ข้อมูลส่วนบุคคล
เป็นข้อมูลที่ไม่สามารถระบุตัวบุคคลที่เป็นเจ้าของข้อมูลส่วนบุคคลได้ ตาม [มาตรา 33](https://link.pdpalawbase.com/section/33.md) วรรคหนึ่ง มาใช้บังคับกับ
การเก็บรักษาข้อมูลส่วนบุคคลไว้เพื่อวัตถุประสงค์ดังกล่าว
ดังนั้น โรงพยาบาลสงขลานครินทร์สามารถปฏิเสธคำขอใช้สิทธิลบหรือทำลาย หรือทำให้
ข้อมูลส่วนบุคคลเป็นข้อมูลที่ไม่สามารถระบุตัวบุคคลที่เป็นเจ้าของข้อมูลส่วนบุคคลได้ ของผู้ร้องขอ
รายดังกล่าวได้ หากมีความจำเป็นต้องเก็บรักษาข้อมูลประวัติการรักษาของผู้นั้นไว้ตามกฎหมายว่าด้วย
สถานพยาบาล หรือเพื่อวัตถุประสงค์อื่น ๆ ที่ชอบด้วยกฎหมาย หรือเป็นข้อมูลส่วนบุคคลที่เก็บรักษาไว้
เพื่อวัตถุประสงค์ตาม [มาตรา 26](https://link.pdpalawbase.com/section/26.md) (5) (ก) หรือ (ข) หรือเพื่อการก่อตั้งสิทธิเรียกร้องตามกฎหมาย การปฏิบัติตาม
หรือการใช้สิทธิเรียกร้องตามกฎหมาย หรือการยกขึ้นต่อสู้สิทธิเรียกร้องตามกฎหมาย หรือเพื่อการปฏิบัติ
ตามกฎหมาย ซึ่งเป็นกรณีเฉพาะที่ได้รับยกเว้นไม่ให้นำสิทธิดังกล่าวมาใช้บังคับ โรงพยาบาลสงขลานครินทร์
จึงควรพิจารณาแจ้งให้เจ้าของข้อมูลส่วนบุคคลที่ใช้สิทธิทราบว่า ไม่อาจดำเนินการตามคำขอใช้สิทธิของเจ้าของ
ข้อมูลส่วนบุคคลได้ พร้อมชี้แจงเหตุผล ตาม [มาตรา 33](https://link.pdpalawbase.com/section/33.md) วรรคหนึ่งและวรรคสอง และวรรคห้า แห่งพระราชบัญญัติ
คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ประกอบข้อ 3 วรรคหนึ่ง และข้อ 8 วรรคสาม ของประกาศคณะกรรมการ
คุ้มครองข้อมูลส่วนบุคคล เรื่อง หลักเกณฑ์ในการลบหรือทำลาย หรือทำให้ข้อมูลส่วนบุคคลเป็นข้อมูลที่ไม่สามารถ
ระบุตัวบุคคลที่เป็นเจ้าของข้อมูลส่วนบุคคลได้ พ.ศ. 2567
อย่างไรก็ตาม ผู้ควบคุมข้อมูลส่วนบุคคลยังมีหน้าที่จัดให้มีระบบการตรวจสอบเพื่อดำเนินการ
ลบหรือทำลายข้อมูลส่วนบุคคลเมื่อพ้นกำหนดระยะเวลาการเก็บรักษา หรือที่ไม่เกี่ยวข้องหรือเกินความจำเป็น
ตามวัตถุประสงค์ในการเก็บรวบรวมข้อมูลส่วนบุคคลนั้น หรือตามที่เจ้าของข้อมูลส่วนบุคคลร้องขอ หรือที่เจ้าของ
ข้อมูลส่วนบุคคลได้ถอนความยินยอม เว้นแต่จะเป็นกรณีที่ได้รับยกเว้น ตามที่กำหนดไว้ใน [มาตรา 37](https://link.pdpalawbase.com/section/37.md) (3)
แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 อีกด้วย ดังนั้น สำหรับข้อมูลส่วนบุคคลเกี่ยวกับ
ประวัติการรักษาของผู้รับบริการที่โรงพยาบาลได้เก็บรวบรวมไว้เกินกว่า 5 ปีนับแต่วันจัดทำตามที่กฎหมายว่าด้วย
สถานพยาบาลกำหนด มหาวิทยาลัยสงขลานครินทร์ โดยโรงพยาบาลสงขลานครินทร์ ในฐานะผู้ควบคุม
ข้อมูลส่วนบุคคล จะต้องพิจารณาว่าข้อมูลส่วนบุคคลดังกล่าวหมดความจำเป็นในการเก็บรักษาไว้ตามวัตถุประสงค์
ต่าง ๆ ที่กำหนดไว้โดยชอบด้วยกฎหมายแล้วหรือไม่ หรือยังมีความจำเป็นต้องเก็บรักษาไว้เพื่อวัตถุประสงค์
ตาม [มาตรา 26](https://link.pdpalawbase.com/section/26.md) (5) (ก) หรือ (ข) หรือการใช้เพื่อการก่อตั้งสิทธิเรียกร้องตามกฎหมาย การปฏิบัติตามหรือ
การใช้สิทธิเรียกร้องตามกฎหมาย หรือการยกขึ้นต่อสู้สิทธิเรียกร้องตามกฎหมาย หรือเพื่อการปฏิบัติตามกฎหมาย
หากเห็นว่าการเก็บรักษาข้อมูลส่วนบุคคลไว้เพื่อวัตถุประสงค์ต่าง ๆ หมดความจำเป็นแล้วตาม [มาตรา 37](https://link.pdpalawbase.com/section/37.md) (3)
หรือเป็นกรณีที่เจ้าของข้อมูลส่วนบุคคลสามารถใช้สิทธิตาม [มาตรา 33](https://link.pdpalawbase.com/section/33.md) ได้ โรงพยาบาลสงขลานครินทร์
ต้องดำเนินการลบหรือทำลาย หรือทำให้ข้อมูลส่วนบุคคลเป็นข้อมูลที่ไม่สามารถระบุตัวบุคคลที่เป็นเจ้าของข้อมูล
ส่วนบุคคลได้ ตามหลักเกณฑ์ที่กำหนดไว้ในประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง หลักเกณฑ์
ในการลบหรือทำลาย หรือทำให้ข้อมูลส่วนบุคคลเป็นข้อมูลที่ไม่สามารถระบุตัวบุคคลที่เป็นเจ้าของข้อมูล
ส่วนบุคคลได้ พ.ศ. 2567
ทั้งนี้ ในกรณีที่ผู้ควบคุมข้อมูลส่วนบุคคลไม่ดำเนินการลบหรือทำลาย หรือทำให้ข้อมูลส่วนบุคคล
เป็นข้อมูลที่ไม่สามารถระบุตัวบุคคลที่เป็นเจ้าของข้อมูลส่วนบุคคลได้ เจ้าของข้อมูลส่วนบุคคลมีสิทธิร้องเรียน
ต่อคณะกรรมการผู้เชี่ยวชาญเพื่อสั่งให้ผู้ควบคุมข้อมูลส่วนบุคคลดำเนินการได้ ตาม [มาตรา 33](https://link.pdpalawbase.com/section/33.md) วรรคสี่
ประกอบ [มาตรา 73](https://link.pdpalawbase.com/section/73.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562

## เอกสารต้นฉบับ

- [PDF ต้นฉบับ (local)](../../raw/opinions/opinion-18-2567.pdf)
- [ที่มา: pdpc.or.th](https://www.pdpc.or.th/wp-content/uploads/2024/11/PDPC-consultation-47.pdf)

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/opinion/18-2567.md

============================================================
โนด: ข้อหารือ 19/2566
ลิงก์อ้างอิง: https://link.pdpalawbase.com/opinion/19-2566.md

# ข้อหารือที่ 19/2566 เรื่อง บริษัท ก. ขอหารือกรณีบริษัทประกันภัยร้องขอให้ลงนามในหนังสือคำรับรองการได้รับความยินยอมจากพนักงานในฐานะเจ้าของข้อมูลส่วนบุคคล

## ข้อกฎหมาย

1. พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 — [มาตรา 19](https://link.pdpalawbase.com/section/19.md), [มาตรา 20](https://link.pdpalawbase.com/section/20.md), [มาตรา 23](https://link.pdpalawbase.com/section/23.md), [มาตรา 24](https://link.pdpalawbase.com/section/24.md), [มาตรา 26](https://link.pdpalawbase.com/section/26.md), [มาตรา 27](https://link.pdpalawbase.com/section/27.md) และ [มาตรา 95](https://link.pdpalawbase.com/section/95.md)
2. ประมวลกฎหมายแพ่งและพาณิชย์ — ลักษณะ 4 นิติกรรม และมาตรา 149
3. แนวทางการดำเนินการในการขอความยินยอมจากเจ้าของข้อมูลส่วนบุคคล ตาม PDPA

## ข้อหารือ

บริษัท ก. โดยเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลของบริษัทฯ แจ้งว่า บริษัทประกันภัย ฮ. ("ฮ.") ได้ดำเนินการร้องขอบริษัท ก. โดยแนวทางของสมาคมประกันภัย ให้บริษัท ก. ลงนามในคำรับรองการได้รับความยินยอมจากสมาชิกผู้เอาประกันภัย/ผู้อยู่ในอุปการะ ("หนังสือคำรับรอง") โดยเนื้อหาหลักโดยรวม เป็นกรณีให้บริษัท ก. รับรองว่าพนักงานผู้เอาประกันกลุ่มยินยอมและรับรองความถูกต้องให้ประมวลผล (processing) ข้อมูลส่วนบุคคลของพนักงานแก่ ฮ. · หากบริษัท ก. ไม่ลงนาม จะเสียสิทธิการต่อประกันหรือการเพิ่มสมาชิกเอาประกันกับ ฮ.

บริษัท ก. เห็นว่า:
1. โดยหลักการของ PDPA การยินยอมเปิดเผยข้อมูลต้องมาจากตัวเจ้าของข้อมูลโดยแท้ มิใช่ใครจะให้ความยินยอมแทนได้
2. บริษัท ก. กับ ฮ. มีการจำกัดความรับผิดค่ารักษาพยาบาลโดยตัวกรมธรรม์
3. การที่ ฮ. ปฏิเสธการให้บริการโดยอ้างการไม่ให้ความยินยอม ผิดหลัก [มาตรา 19](https://link.pdpalawbase.com/section/19.md)
4. ฮ. สามารถใช้วัตถุประสงค์เดิมจากการทำกรมธรรม์กลุ่มที่มีอยู่โดยไม่ต้องมีเอกสารความยินยอมเพิ่มเติมตาม [มาตรา 95](https://link.pdpalawbase.com/section/95.md)

จึงขอหารือ 4 ประเด็น:
1. หนังสือคำรับรองของ ฮ. เป็นเอกสารที่ผิดวัตถุประสงค์ของ PDPA หรือไม่ (ยินยอมแทนพนักงานเพื่อ Processing Sensitive Data)
2. การที่ ฮ. บังคับให้ลงนามหนังสือคำรับรอง โดยหากไม่ลงนามจะไม่ให้บริการ ผิด [มาตรา 19](https://link.pdpalawbase.com/section/19.md) หรือไม่
3. ลักษณะการผลักภาระความรับผิดชอบในการขอความยินยอมมาที่บริษัท ก. เป็นลักษณะที่มีวัตถุประสงค์ที่ไม่ชอบด้วยกฎหมายหรือไม่
4. หนังสือคำรับรองสามารถแก้ไขได้หรือไม่ มีข้อกฎหมายใดบังคับให้บริษัท ก. ต้องลงนาม

## ความเห็น

คณะอนุกรรมการเฉพาะกิจตอบข้อหารือและให้คำแนะนำหน่วยงานของรัฐเพื่อรองรับการบังคับใช้พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ในคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล พิจารณาเรื่องหารือดังกล่าวแล้ว เห็นว่า

**ประเด็นหารือที่ 1 ถึง 3** ในการขอความยินยอม [มาตรา 19](https://link.pdpalawbase.com/section/19.md) วรรคหนึ่ง วรรคสอง และวรรคสาม แห่ง PDPA บัญญัติให้ผู้ควบคุมข้อมูลส่วนบุคคลที่จะกระทำการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลต้องขอความยินยอมจากเจ้าของข้อมูลส่วนบุคคลก่อนหรือในขณะนั้น เว้นแต่บทบัญญัติแห่งพระราชบัญญัตินี้หรือกฎหมายอื่นบัญญัติให้กระทำได้ และการขอความยินยอมต้องทำโดยชัดแจ้ง

อย่างไรก็ดี ผู้ควบคุมข้อมูลส่วนบุคคลอาจมอบหมายให้ตัวแทนหรือผู้อื่นกระทำการแทนในเรื่องการขอความยินยอมดังกล่าวได้ เนื่องจากในบางกรณีอาจมีข้อจำกัดในทางปฏิบัติ ตามประมวลกฎหมายแพ่งและพาณิชย์ การให้ความยินยอมเป็นนิติกรรมฝ่ายเดียวที่บุคคลหนึ่งทำลงโดยชอบด้วยกฎหมายและด้วยใจสมัคร

**การขอความยินยอมและการให้ความยินยอมในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล จึงไม่จำเป็นต้องกระทำโดยผู้ควบคุมข้อมูลส่วนบุคคลต่อเจ้าของข้อมูลส่วนบุคคลโดยตรง** แต่จะต้องมีเนื้อหาที่ครอบคลุมถึงการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลโดยผู้ควบคุมข้อมูลส่วนบุคคล (หรือบุคคลอื่น) ในวัตถุประสงค์ที่เกี่ยวข้อง และจะต้องเป็นการขอความยินยอมโดยชอบด้วยกฎหมาย โดยเป็นไปตาม [มาตรา 19](https://link.pdpalawbase.com/section/19.md) และ [มาตรา 20](https://link.pdpalawbase.com/section/20.md) แห่ง PDPA · การมอบหมายให้ตัวแทนหรือผู้อื่นทำการขอความยินยอมแทนผู้ควบคุมข้อมูล อาจมีการกำหนดหน้าที่ความรับผิดชอบและสิทธิในรูปแบบนิติกรรมหรือสัญญา (ตราบเท่าที่ไม่ได้เป็นการมอบหมายให้ดำเนินการเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลตามคำสั่งหรือในนามของตน ที่จะทำให้ฝ่ายที่ได้รับมอบหมายมีฐานะเปลี่ยนไปเป็นผู้ประมวลผลข้อมูลส่วนบุคคล)

**สำหรับประเด็นที่บริษัท ก. หารือมา** เมื่อพิจารณาข้อความในหนังสือคำรับรองของบริษัทประกันภัยที่ได้กำหนดให้บริษัท ก. ในฐานะผู้ถือกรมธรรม์ ต้องลงนามในคำรับรองสำหรับผู้ถือกรมธรรม์ พบว่า เป็นเพียงการรับรองต่อบริษัทประกันภัยที่เป็นผู้รับประกันภัย ในลักษณะที่เป็นการยืนยันว่า บริษัท ก. ได้ทำหน้าที่ในการแจ้งนโยบายคุ้มครองข้อมูลส่วนบุคคลของผู้รับประกันภัยให้กับสมาชิกผู้เอาประกันภัยรับทราบแล้ว (เพื่อให้เป็นไปตาม [มาตรา 23](https://link.pdpalawbase.com/section/23.md) ในเรื่อง privacy notice) และได้รับรองว่าข้อมูลของสมาชิกผู้เอาประกันภัยที่ส่งให้ผู้รับประกันภัยและ/หรือนายหน้าประกันชีวิตเป็นข้อมูลที่ถูกต้อง และได้นำ "หนังสือให้ความยินยอม" ไปขอความยินยอมจากพนักงานของบริษัท ก. แทนบริษัทประกันชีวิตที่เป็นผู้รับประกันภัย และได้รับความยินยอมจากพนักงานแล้ว

**การที่บริษัท ก. ทำหน้าที่ประสานงานเพื่อขอความยินยอมจากพนักงานของบริษัท ก. แทนผู้รับประกันภัย จึงไม่ใช่การที่บริษัท ก. ให้ความยินยอมแทนพนักงาน** · คำรับรองและหนังสือรับรองดังกล่าว จึงไม่ใช่การขอความยินยอมและการให้ความยินยอมตามนัย [มาตรา 19](https://link.pdpalawbase.com/section/19.md) · เนื้อหาในคำรับรองที่มีลักษณะเป็นการมอบหมายหน้าที่หรือ "ผลักภาระ" ความรับผิดชอบในการขอความยินยอมมายังบริษัท ก. สามารถกระทำได้โดยชอบด้วยกฎหมาย หากผู้ที่ได้รับมอบหมายได้ดำเนินการขอความยินยอมจากเจ้าของข้อมูลและเจ้าของข้อมูลได้ให้ความยินยอมโดยชอบด้วยกฎหมายและเป็นไปตาม [มาตรา 19](https://link.pdpalawbase.com/section/19.md) และ [มาตรา 20](https://link.pdpalawbase.com/section/20.md)

**บริษัท ก. สามารถลงนามให้คำรับรองดังกล่าวได้** หากพิจารณาแล้วเห็นว่าสามารถปฏิบัติตามเงื่อนไข หน้าที่ และยอมรับความรับผิดได้ หรือหากไม่สามารถยอมรับเงื่อนไข ก็อาจพิจารณาเจรจากับผู้รับประกันภัยที่เป็นคู่สัญญา หรือพิจารณาเงื่อนไขการให้บริการของบริษัทประกันชีวิตรายอื่น

**ข้อสังเกต** การที่บริษัทประกันชีวิตกำหนดเงื่อนไขในลักษณะบังคับให้บริษัทฯ ลงนาม โดยหากไม่ลงนามจะไม่ให้บริการ — อาจเป็นความพยายามในการดำเนินการของบริษัทประกันชีวิตเพื่อให้มีการขอความยินยอมและการให้ความยินยอมโดยชอบด้วยกฎหมายภายใต้ข้อจำกัดในทางปฏิบัติ · เป็นการพิจารณาทำนิติกรรมหรือสัญญาระหว่างเอกชนด้วยกัน หากคู่สัญญาฝ่ายใดไม่ยอมรับเงื่อนไข ก็สามารถปฏิเสธการทำสัญญาร่วมกันได้

**ประเด็นหารือที่ 4** คำรับรองตามที่กำหนดในหนังสือรับรองเป็นนิติกรรมตามประมวลกฎหมายแพ่งและพาณิชย์ และไม่ใช่การขอความยินยอมหรือการให้ความยินยอมตาม PDPA · ผู้เกี่ยวข้องจึงสามารถพิจารณาแก้ไขได้โดยเป็นไปตาม ป.พ.พ. และไม่มีบทบัญญัติใดใน PDPA บัญญัติห้ามหรือบังคับว่าบริษัท ก. จะต้องลงนามหรือไม่ · แต่ [มาตรา 19](https://link.pdpalawbase.com/section/19.md) ประกอบ [มาตรา 24](https://link.pdpalawbase.com/section/24.md), [มาตรา 26](https://link.pdpalawbase.com/section/26.md) และ [มาตรา 27](https://link.pdpalawbase.com/section/27.md) วรรคหนึ่ง บัญญัติให้การเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลโดยผู้ควบคุมข้อมูลส่วนบุคคลที่เกี่ยวข้องตามกรณีที่หารือนี้ ต้องได้รับความยินยอมจากเจ้าของข้อมูลส่วนบุคคลก่อนหรือในขณะเก็บรวบรวม ใช้ หรือเปิดเผย · ผู้เกี่ยวข้องจึงควรพิจารณาหารือร่วมกันเพื่อให้การดำเนินการเป็นไปตามพระราชบัญญัตินี้

## เอกสารต้นฉบับ

- [PDF ต้นฉบับ (local)](../../raw/opinions/opinion-19-2566.pdf)
- [ที่มา: pdpc.or.th](https://www.pdpc.or.th/wp-content/uploads/2024/02/PDPC-consultation-19.pdf)

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/opinion/19-2566.md

============================================================
โนด: ข้อหารือ 19/2567
ลิงก์อ้างอิง: https://link.pdpalawbase.com/opinion/19-2567.md

# ข้อหารือที่ 19/2567 เรื่อง สำนักงานคณะกรรมการอ้อยและน้ำตาลทรายหารือเกี่ยวกับการดำเนินการตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562

## ข้อกฎหมาย

1. พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562
[มาตรา 6](https://link.pdpalawbase.com/section/6.md) [มาตรา 22](https://link.pdpalawbase.com/section/22.md) [มาตรา 24](https://link.pdpalawbase.com/section/24.md) (6) [มาตรา 27](https://link.pdpalawbase.com/section/27.md) วรรคหนึ่งและวรรคสอง [มาตรา 28](https://link.pdpalawbase.com/section/28.md) [มาตรา 29](https://link.pdpalawbase.com/section/29.md)
[มาตรา 37](https://link.pdpalawbase.com/section/37.md) (1) และ (4) และ [มาตรา 40](https://link.pdpalawbase.com/section/40.md) วรรคสาม
2. พระราชบัญญัติอ้อยและน้ำตาลทราย พ.ศ. 2527 และที่แก้ไขเพิ่มเติม
มาตรา 17 (10) และ (12) และมาตรา 61
3. ระเบียบคณะกรรมการอ้อยและน้ำตาลทราย ว่าด้วยการตัดและส่งอ้อยให้แก่โรงงาน การตรวจสอบ
คุณภาพอ้อย และการรับอ้อยจากชาวไร่อ้อยหรือหัวหน้ากลุ่มชาวไร่อ้อย พ.ศ. 2553 และที่แก้ไข
เพิ่มเติม
ข้อ 7 วรรคสอง
4. ประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง มาตรการรักษาความมั่นคงปลอดภัยของผู้ควบคุม
ข้อมูลส่วนบุคคล พ.ศ. 2565
ข้อ 4

## ข้อหารือ

สำนักงานคณะกรรมการอ้อยและน้ำตาลทรายขอหารือกรณีที่ได้รับหนังสือจากกลุ่มบริษัท Z
แจ้งว่า ตามที่พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 มีผลใช้บังคับและได้กำหนดสิทธิหน้าที่และ
ความรับผิดชอบของผู้ควบคุมข้อมูลส่วนบุคคล รวมถึงผู้ที่มีส่วนเกี่ยวข้องต่อเจ้าของข้อมูลส่วนบุคคลในการ
เก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล เพื่อป้องกันการล่วงละเมิดสิทธิความเป็นส่วนตัวหรือสร้างความ
เดือดร้อนเสียหายแก่เจ้าของข้อมูลส่วนบุคคล กลุ่มบริษัทในฐานะผู้ควบคุมข้อมูลส่วนบุคคลซึ่งมีการส่งข้อมูลส่วน
บุคคลที่เก็บรวบรวมให้แก่สำนักงานคณะกรรมการอ้อยและน้ำตาลทรายเพื่อให้เป็นไปตามพระราชบัญญัติอ้อย
และน้ำตาลทราย พ.ศ. 2527 และระเบียบที่ออกตามพระราชบัญญัติดังกล่าวและข้อมูลส่วนบุคคลที่มีการส่ง
ให้แก่สำนักงานคณะกรรมการอ้อยและน้ำตาลทราย มีความจำเป็นต้องได้รับความคุ้มครองตามพระราชบัญญัติ
คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 กลุ่มบริษัท Z จึงขอนำส่งเอกสารข้อตกลงการแบ่งปันข้อมูลส่วนบุคคล เพื่อ
เป็นข้อตกลงในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลที่สำนักงานคณะกรรมการอ้อยและน้ำตาลทรายได้รับ
จากกลุ่มบริษัท Z เพื่อให้เป็นไปตามกฎหมาย รวมถึงเพื่อให้มีมาตรการคุ้มครองข้อมูลส่วนบุคคลที่เหมาะสมและ
เพียงพอตามที่กฎหมายกำหนดต่อไป จึงแจ้งมายังสำนักงานคณะกรรมการอ้อยและน้ำตาลทราย ขอให้โปรดทราบ
และลงนามในใบตอบรับ ส่งกลับมาที่เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล (DPO) บริษัท Z โดยสำนักงาน
คณะกรรมการอ้อยและน้ำตาลทรายให้ข้อมูลเพิ่มเติมว่า
1. กลุ่มบริษัท Z ถือเป็นบริษัทโรงงานน้ำตาลที่อยู่ในบังคับของพระราชบัญญัติอ้อยและน้ำตาล
ทราย พ.ศ. 2527 ซึ่งมีหน้าที่ในการจัดส่งข้อมูลต่าง ๆ ในระบบอุตสาหกรรมอ้อยและน้ำตาลทรายตามระเบียบ
ประกาศ ที่กำหนด โดยอาศัยอำนาจตามพระราชบัญญัติฉบับดังกล่าว เช่น หน้าที่ส่งมอบรายชื่อชาวไร่อ้อยและ
หัวหน้ากลุ่มชาวไร่อ้อยคู่สัญญา รวมทั้งประมาณการผลผลิต และรายละเอียดที่เกี่ยวข้องตามแบบที่คณะกรรมการ
อ้อยและน้ำตาลทรายกำหนดให้กับคณะทำงานควบคุมการผลิตประจำโรงงานและสำนักงาน ก่อนการเปิดหีบอ้อย
ไม่น้อยกว่าสิบห้าวัน ตามข้อ 7 วรรคสอง ของระเบียบคณะกรรมการอ้อยและน้ำตาลทราย ว่าด้วยการตัดและส่งอ้อย
ให้แก่โรงงาน การตรวจสอบคุณภาพอ้อยและการรับอ้อยจากชาวไร่อ้อยหรือหัวหน้ากลุ่มชาวไร่อ้อย พ.ศ. 2553
เป็นต้น จึงถือว่า กลุ่มบริษัท Z เป็นผู้ที่มีหน้าที่ในการจัดส่งข้อมูลให้กับสำนักงานคณะกรรมการอ้อยและน้ำตาล
ทรายตามที่มีกฎหมายกำหนดไว้เป็นการเฉพาะอยู่แล้วตามระเบียบและประกาศที่ออกโดยอาศัยอำนาจตาม
พระราชบัญญัติอ้อยและน้ำตาลทราย พ.ศ. 2527 ซึ่งเมื่อมีการส่งข้อมูลที่ถือว่าเป็นข้อมูลส่วนบุคคลเข้ามา สำนักงาน
คณะกรรมการอ้อยและน้ำตาลทรายในฐานะหน่วยงานของรัฐที่ต้องปฏิบัติหน้าที่ตามกฎหมายว่าด้วยอ้อยและ
น้ำตาลทรายดังกล่าว รวมทั้งมีฐานะเป็นผู้ครอบครองและควบคุมดูแลข้อมูลส่วนบุคคลนั้น ย่อมมีภาระหน้าที่ที่ต้อง
ปฏิบัติตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 อยู่แล้วเช่นเดียวกัน
2. ด้วยเหตุนี้ สำนักงานคณะกรรมการอ้อยและน้ำตาลทรายจึงขอหารือว่า
2.1 สำนักงานคณะกรรมการอ้อยและน้ำตาลทรายจำเป็นที่จะต้องลงนามใน "ข้อตกลง
การแบ่งปันข้อมูลส่วนบุคคล" ตามที่กลุ่มบริษัท Z แจ้งมาก่อนหรือไม่ จึงจะสามารถปฏิบัติหน้าที่
ให้เป็นไปตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562
2.2 หากตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ไม่ได้บังคับให้สำนักงาน
คณะกรรมการอ้อยและน้ำตาลทรายหรือหน่วยงานของรัฐจะต้องลงนามในข้อตกลงการแบ่งปันข้อมูลส่วนบุคคล
กับเอกชนที่ครอบครองข้อมูลอยู่ก่อนจึงจะสามารถแบ่งปันข้อมูลกันได้ แต่ให้หน่วยงานของรัฐเลือกที่จะลงนาม
ในข้อตกลงหรือไม่ก็ได้นั้น สำนักงานคณะกรรมการอ้อยและน้ำตาลทรายขอความอนุเคราะห์โปรดช่วยพิจารณาว่า
"ข้อตกลงการแบ่งปันข้อมูลส่วนบุคคล" ดังกล่าวมีรายละเอียดเป็นการเพิ่มภาระความรับผิดชอบของสำนักงาน
คณะกรรมการอ้อยและน้ำตาลทราย ซึ่งเป็นหน่วยงานของรัฐมากเกินกว่าที่กำหนดไว้ในพระราชบัญญัติคุ้มครอง
ข้อมูลส่วนบุคคล พ.ศ. 2562 และมีความเหมาะสมแล้วหรือไม่

## ความเห็น

คณะอนุกรรมการตอบข้อหารือและให้คำแนะนำในการปฏิบัติตามกฎหมายว่าด้วยการคุ้มครอง
ข้อมูลส่วนบุคคล ในคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล พิจารณาแล้วมีความเห็น ดังนี้
ประเด็นข้อหารือที่ 1 เห็นว่า สำนักงานคณะกรรมการอ้อยและน้ำตาลทรายเป็นหน่วยงาน
ของรัฐที่มีอำนาจและหน้าที่ตามมาตรา 61 แห่งพระราชบัญญัติอ้อยและน้ำตาลทราย พ.ศ. 2527 ซึ่งแก้ไข
เพิ่มเติมโดยพระราชบัญญัติอ้อยและน้ำตาลทราย (ฉบับที่ 2) พ.ศ. 2565 มีอำนาจหน้าที่ตัดสินใจเกี่ยวกับ
การเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลในการดำเนินงานตามกฎหมาย จึงถือเป็นผู้ควบคุมข้อมูลส่วนบุคคล
ตาม [มาตรา 6](https://link.pdpalawbase.com/section/6.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ซึ่งกลุ่มบริษัท Z เป็นบริษัทโรงงาน
น้ำตาลซึ่งมีหน้าที่ต้องส่งข้อมูลส่วนบุคคลให้แก่สำนักงานคณะกรรมการอ้อยและน้ำตาลทรายเพื่อให้เป็นไปตาม
มาตรา 17 (10) และ (12) แห่งพระราชบัญญัติอ้อยและน้ำตาลทราย พ.ศ. 2527 ประกอบข้อ 7 วรรคสองของ
ระเบียบคณะกรรมการอ้อยและน้ำตาลทราย ว่าด้วยการตัดและส่งอ้อยให้แก่โรงงาน การตรวจสอบคุณภาพอ้อย
และการรับอ้อยจากชาวไร่อ้อยหรือหัวหน้ากลุ่มชาวไร่อ้อย พ.ศ. 2553 ที่ออกตามความในพระราชบัญญัติ
ดังกล่าว กลุ่มบริษัท Z จึงอยู่ในฐานะผู้ควบคุมข้อมูลส่วนบุคคลตาม [มาตรา 6](https://link.pdpalawbase.com/section/6.md) แห่งพระราชบัญญัติคุ้มครองข้อมูล
ส่วนบุคคล พ.ศ. 2562 เช่นกัน ดังนั้น กรณีที่กลุ่มบริษัท Z ต้องเปิดเผยข้อมูลส่วนบุคคลให้กับสำนักงาน
คณะกรรมการอ้อยและน้ำตาลทรายตามพระราชบัญญัติอ้อยและน้ำตาลทราย พ.ศ. 2527 และระเบียบที่
เกี่ยวข้อง ถือเป็นการปฏิบัติตามกฎหมายของผู้ควบคุมข้อมูลส่วนบุคคล ตามนัย [มาตรา 24](https://link.pdpalawbase.com/section/24.md) (6) ประกอบ [มาตรา 27](https://link.pdpalawbase.com/section/27.md)
วรรคหนึ่ง แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ซึ่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล
พ.ศ. 2562 มิได้กำหนดหน้าที่ในเรื่องการจัดทำข้อตกลงการแบ่งปันข้อมูลส่วนบุคคลระหว่างผู้ควบคุมข้อมูล
ส่วนบุคคลหนึ่งกับผู้ควบคุมข้อมูลส่วนบุคคลอื่นไว้ (ซึ่งแตกต่างจากกรณีการดำเนินงานตามหน้าที่ของผู้ประมวลผล
ข้อมูลส่วนบุคคลซึ่งดำเนินการเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลตามคำสั่งหรือในนามของ
ผู้ควบคุมข้อมูลส่วนบุคคล ที่ผู้ควบคุมข้อมูลส่วนบุคคลต้องจัดให้มีข้อตกลงระหว่างกัน เพื่อควบคุมการดำเนินงาน
ตามหน้าที่ของผู้ประมวลผลข้อมูลส่วนบุคคลให้เป็นไปตามพระราชบัญญัตินี้ ตาม [มาตรา 40](https://link.pdpalawbase.com/section/40.md) วรรคสาม ซึ่งอาจ
เรียกว่าข้อตกลงการประมวลผลข้อมูล หรือ data processing agreement) อย่างไรก็ตาม [มาตรา 27](https://link.pdpalawbase.com/section/27.md) วรรคสอง
แห่งพระราชบัญญัติดังกล่าว ได้กำหนดว่า บุคคลหรือนิติบุคคลที่ได้รับข้อมูลส่วนบุคคลมาจากการเปิดเผยของ
ผู้ควบคุมข้อมูลส่วนบุคคลอื่น จะต้องไม่ใช้หรือเปิดเผยข้อมูลส่วนบุคคลเพื่อวัตถุประสงค์อื่นนอกเหนือจากวัตถุประสงค์
ที่ได้แจ้งไว้กับผู้ควบคุมข้อมูลส่วนบุคคลในการขอรับข้อมูลส่วนบุคคลนั้น สำนักงานคณะกรรมการอ้อยและน้ำตาลทราย
จึงมีหน้าที่ในการดำเนินการให้เป็นไปตามเงื่อนไขดังกล่าว สำหรับข้อมูลส่วนบุคคลที่ได้รับจากการเปิดเผยของโรงงาน
น้ำตาล ซึ่งรวมถึงกลุ่มบริษัท Z ด้วย
กลุ่มบริษัท Z ในฐานะผู้ควบคุมข้อมูลส่วนบุคคล มีหน้าที่จัดให้มีมาตรการรักษาความมั่นคง
ปลอดภัยที่เหมาะสม เพื่อป้องกันการสูญหาย เข้าถึง ใช้ เปลี่ยนแปลง แก้ไข หรือเปิดเผยข้อมูลส่วนบุคคลโดย
ปราศจากอำนาจหรือโดยมิชอบ ตาม [มาตรา 37](https://link.pdpalawbase.com/section/37.md) (1) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562
ซึ่งต้องเป็นไปตามมาตรฐานขั้นต่ำที่กำหนดในประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล
เรื่อง มาตรการรักษาความมั่นคงปลอดภัยของผู้ควบคุมข้อมูลส่วนบุคคล พ.ศ. 2565 โดยข้อ 4 ของประกาศดังกล่าว
กำหนดว่า มาตรการดังกล่าว จะต้องประกอบด้วยมาตรการเชิงองค์กร (organizational measures) และ
มาตรการเชิงเทคนิค (technical measures) ที่เหมาะสม ซึ่งอาจรวมถึงมาตรการทางกายภาพ (physical
measures) ที่จำเป็นด้วย โดยคำนึงถึงระดับความเสี่ยงตามลักษณะและวัตถุประสงค์ของการเก็บรวบรวม ใช้
และเปิดเผยข้อมูลส่วนบุคคล ตลอดจนโอกาสเกิดและผลกระทบจากเหตุการละเมิดข้อมูลส่วนบุคคล ดังนั้น
หากกลุ่มบริษัท Z เห็นว่า การจัดทำข้อตกลงการแบ่งปันข้อมูล (data sharing agreement) ระหว่างผู้ควบคุม
ข้อมูลส่วนบุคคล จะเป็นมาตรการเชิงองค์กร (organizational measure) อย่างหนึ่งเพื่อกำหนดวัตถุประสงค์
วิธีการ เงื่อนไข และหน้าที่ความรับผิดชอบของผู้ควบคุมข้อมูลส่วนบุคคลแต่ละฝ่ายในการเก็บรวบรวม
ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล ไม่ว่าจะเป็นการส่งและรับข้อมูลที่เป็นเอกสารหรือเป็นการแลกเปลี่ยนข้อมูลโดย
วิธีการทางอิเล็กทรอนิกส์ก็ตาม อันจะเป็นการรักษาความมั่นคงปลอดภัยของข้อมูลส่วนบุคคลที่จะเปิดเผยให้กับ
สำนักงานคณะกรรมการอ้อยและน้ำตาลทราย และควบคุมดูแลให้การเก็บรวบรวม ใช้ และเปิดเผยข้อมูล
ส่วนบุคคลระหว่างกันสอดคล้องกับพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ก็ย่อมสามารถหารือ
และตกลงร่วมกันได้
อย่างไรก็ดี ไม่ว่าจะมีการจัดทำข้อตกลงการแบ่งปันข้อมูลระหว่างกันหรือไม่ก็ตาม สำนักงาน
คณะกรรมการอ้อยและน้ำตาลทรายในฐานะผู้ควบคุมข้อมูลส่วนบุคคลย่อมมีหน้าที่ตามพระราชบัญญัติคุ้มครอง
ข้อมูลส่วนบุคคล พ.ศ. 2562 ซึ่งรวมถึงการเก็บรวบรวม ใช้ และเปิดเผยข้อมูลส่วนบุคคลเท่าที่จำเป็นภายใต้
วัตถุประสงค์อันชอบด้วยกฎหมายตาม [มาตรา 22](https://link.pdpalawbase.com/section/22.md) การจัดให้มีมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสมตาม
[มาตรา 37](https://link.pdpalawbase.com/section/37.md) (1) ประกอบประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง มาตรการรักษาความมั่นคง
ปลอดภัยของผู้ควบคุมข้อมูลส่วนบุคคล พ.ศ. 2565 และการดำเนินการที่เหมาะสมในกรณีที่เจ้าของข้อมูล
ส่วนบุคคลขอใช้สิทธิตามหมวด 3 แห่งพระราชบัญญัตินี้ ตลอดจนความรับผิดตามกฎหมายที่เกี่ยวข้องอยู่แล้ว
การที่สำนักงานคณะกรรมการอ้อยและน้ำตาลทรายจะพิจารณาว่าควรลงนามใน "ข้อตกลงการแบ่งปันข้อมูล
ส่วนบุคคล" ของกลุ่มบริษัท Z ดังกล่าวหรือไม่นั้น จึงเป็นกรณีที่สำนักงานคณะกรรมการอ้อยและน้ำตาลทรายสามารถ
พิจารณาดำเนินการได้ตามที่เห็นสมควร
ประเด็นข้อหารือที่ 2 กรณีที่สำนักงานคณะกรรมการอ้อยและน้ำตาลทรายขอให้พิจารณาว่า
ร่างข้อตกลงการแบ่งปันข้อมูลส่วนบุคคล ที่จัดทำโดยกลุ่มบริษัท Z เป็นการเพิ่มภาระความรับผิดชอบของสำนักงาน
คณะกรรมการอ้อยและน้ำตาลทรายมากเกินกว่าที่กำหนดไว้ในพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562
และมีความเหมาะสมแล้วหรือไม่ นั้น เห็นว่า กรณีนี้ไม่อยู่ในหน้าที่และอำนาจของคณะอนุกรรมการตอบข้อหารือฯ
ที่จะพิจารณาให้ความเห็นได้ แต่คณะอนุกรรมการตอบข้อหารือฯ มีข้อสังเกตว่า สำนักงานคณะกรรมการอ้อยและ
น้ำตาลทรายในฐานะผู้ควบคุมข้อมูลส่วนบุคคล ย่อมมีอำนาจหน้าที่ตัดสินใจเกี่ยวกับการเก็บรวบรวม ใช้ หรือ
เปิดเผยข้อมูลส่วนบุคคล ที่ได้รับจากกลุ่มบริษัท Z ให้เหมาะสมและเป็นไปตามพระราชบัญญัติคุ้มครองข้อมูลส่วน
บุคคล พ.ศ. 2562 ด้วยตัวเองอยู่แล้ว ซึ่งรวมถึงการจัดให้มีมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสม
การแจ้งเหตุการละเมิดข้อมูลส่วนบุคคลแก่สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลและเจ้าของข้อมูล
ส่วนบุคคล การส่งหรือโอนข้อมูลส่วนบุคคลไปยังต่างประเทศ การควบคุมการดำเนินงานของผู้ประมวลผลข้อมูล
ส่วนบุคคล และการดำเนินการตามคำขอใช้สิทธิของเจ้าของข้อมูลส่วนบุคคล หากสำนักงานคณะกรรมการอ้อยและ
น้ำตาลทรายประสงค์จะจัดทำข้อตกลงการแบ่งปันข้อมูลร่วมกับบุคคลหรือนิติบุคคลใด สำนักงานฯ ควรพิจารณา
รายละเอียดเงื่อนไขให้เป็นไปตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 และมีความเหมาะสม
ตามที่เห็นสมควร

## เอกสารต้นฉบับ

- [PDF ต้นฉบับ (local)](../../raw/opinions/opinion-19-2567.pdf)
- [ที่มา: pdpc.or.th](https://www.pdpc.or.th/wp-content/uploads/2024/11/PDPC-consultation-48.pdf)

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/opinion/19-2567.md

============================================================
โนด: ข้อหารือ 20/2566
ลิงก์อ้างอิง: https://link.pdpalawbase.com/opinion/20-2566.md

# ข้อหารือที่ 20/2566 เรื่อง สำนักงานคณะกรรมการป้องกันและปราบปรามการทุจริตแห่งชาติขอหารือเกี่ยวกับการจัดทำประกาศนโยบายคุ้มครองข้อมูลส่วนบุคคล

## ข้อกฎหมาย

1. พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 — [มาตรา 21](https://link.pdpalawbase.com/section/21.md), [มาตรา 23](https://link.pdpalawbase.com/section/23.md) และ [มาตรา 37](https://link.pdpalawbase.com/section/37.md) (1)
2. แนวทางการดำเนินการในการแจ้งวัตถุประสงค์และรายละเอียดในการเก็บรวบรวมข้อมูลส่วนบุคคลจากเจ้าของข้อมูลส่วนบุคคล ตาม PDPA
3. ประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง มาตรการรักษาความมั่นคงปลอดภัยของผู้ควบคุมข้อมูลส่วนบุคคล พ.ศ. 2565 ข้อ 4 (2)

## ข้อหารือ

สำนักงานคณะกรรมการป้องกันและปราบปรามการทุจริตแห่งชาติ (สำนักงาน ป.ป.ช.) ขอหารือกรณีสำนักงาน ป.ป.ช. ได้ดำเนินการประเมินคุณธรรมและความโปร่งใสในการดำเนินงานของหน่วยงานของรัฐ (Integrity & Transparency Assessment : ITA) ประจำปีงบประมาณ พ.ศ. 2566 โดยในแบบวัดการเปิดเผยข้อมูลสาธารณะ (OIT) ตัวชี้วัดที่ 9 การเปิดเผยข้อมูล ตัวชี้วัดย่อยที่ 9.1 ข้อมูลพื้นฐาน ข้อ o10 นโยบายคุ้มครองข้อมูลส่วนบุคคล ได้มีการกำหนดให้หน่วยงานภาครัฐที่เข้าร่วมการประเมินต้องดำเนินการเปิดเผยข้อมูลนโยบายคุ้มครองข้อมูลส่วนบุคคลตาม PDPA

ในการนี้ จึงหารือว่า หน่วยงานที่มีฐานะเป็นนิติบุคคลในสังกัดกระทรวง เช่น กรม องค์การมหาชน รัฐวิสาหกิจ จะต้องดำเนินการจัดทำนโยบายการคุ้มครองข้อมูลส่วนบุคคลเป็นการเฉพาะของหน่วยงานหรือไม่ หรือสามารถจัดทำประกาศนโยบายคุ้มครองข้อมูลส่วนบุคคลในลักษณะภาพรวมของกระทรวงที่มีความครอบคลุมทุกหน่วยงานในสังกัดได้หรือไม่

## ความเห็น

คณะอนุกรรมการเฉพาะกิจตอบข้อหารือและให้คำแนะนำหน่วยงานของรัฐเพื่อรองรับการบังคับใช้พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ในคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลพิจารณาแล้วเห็นว่า PDPA ได้กำหนดให้หน่วยงานของรัฐที่เป็นนิติบุคคลและมีอำนาจหน้าที่ตัดสินใจเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล ถือเป็นผู้ควบคุมข้อมูลส่วนบุคคล และมีหน้าที่ต้องแจ้งวัตถุประสงค์และรายละเอียดต่าง ๆ ในการเก็บรวบรวมข้อมูลส่วนบุคคลให้เจ้าของข้อมูลส่วนบุคคลทราบก่อนหรือในขณะเก็บรวบรวมข้อมูลส่วนบุคคล ตาม [มาตรา 23](https://link.pdpalawbase.com/section/23.md) รวมทั้งต้องทำการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลตามวัตถุประสงค์ที่ได้แจ้งไว้ตามนัย [มาตรา 21](https://link.pdpalawbase.com/section/21.md)

การแจ้งวัตถุประสงค์และรายละเอียดต่าง ๆ ตาม [มาตรา 23](https://link.pdpalawbase.com/section/23.md) นั้น ในภาษาอังกฤษจะเรียกว่า **privacy notice** แต่อาจเรียกเป็นภาษาไทยแตกต่างกัน เช่น ประกาศความเป็นส่วนตัว ประกาศเกี่ยวกับการคุ้มครองข้อมูลส่วนบุคคล นโยบายความเป็นส่วนตัว (privacy policy) หรือนโยบายการคุ้มครองข้อมูลส่วนบุคคล หรืออื่น ๆ ก็ได้ เนื่องจาก PDPA มิได้กำหนดชื่อเรียกไว้เป็นการเฉพาะ และอาจมีการแจ้งเป็นหนังสือ การแจ้งทางวาจา การแจ้งทางข้อความทาง SMS อีเมล โทรศัพท์ หรือโดยวิธีการทางอิเล็กทรอนิกส์อื่นใด แต่จะต้องมีสาระสำคัญที่สอดคล้องและเป็นไปตามบทบัญญัติใน [มาตรา 23](https://link.pdpalawbase.com/section/23.md)

อย่างไรก็ดี คำว่า **"นโยบายการคุ้มครองข้อมูลส่วนบุคคล" (privacy policy หรือ personal data protection policy)** ยังมีที่ใช้ในอีกความหมายหนึ่ง คือ **นโยบายภายในองค์กรที่หน่วยงานกำหนดขึ้นเพื่อวางหลักการหรือวิธีปฏิบัติเพื่อเป็นแนวทางการดำเนินการภายในหน่วยงานเอง** (เช่นเดียวกับนโยบายในเรื่องอื่น ๆ เช่น นโยบายการอนุรักษ์พลังงาน) · PDPA ไม่ได้กำหนดให้หน่วยงานที่เป็นผู้ควบคุมข้อมูล/ผู้ประมวลผลข้อมูลกำหนดนโยบายการคุ้มครองข้อมูลส่วนบุคคลของหน่วยงานขึ้นอย่างชัดเจน แต่ [มาตรา 37](https://link.pdpalawbase.com/section/37.md) (1) กำหนดให้ผู้ควบคุมข้อมูลส่วนบุคคลมีหน้าที่จัดให้มีมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสม โดยข้อ 4 (2) ของประกาศ คคส. เรื่อง มาตรการรักษาความมั่นคงปลอดภัยฯ พ.ศ. 2565 กำหนดให้มาตรการรักษาความมั่นคงปลอดภัยอย่างน้อยต้องประกอบด้วยมาตรการเชิงองค์กร มาตรการเชิงเทคนิค (และอาจรวมมาตรการทางกายภาพ) ซึ่งนโยบายการคุ้มครองข้อมูลส่วนบุคคลภายในองค์กรอาจถือเป็นมาตรการเชิงองค์กรมาตรการหนึ่ง

นโยบายการคุ้มครองข้อมูลส่วนบุคคลที่เป็นมาตรการเชิงองค์กรดังกล่าวมีวัตถุประสงค์ในการสื่อสารแตกต่างจากการแจ้ง privacy notice ตาม [มาตรา 23](https://link.pdpalawbase.com/section/23.md) กล่าวคือ นโยบายฯ ที่เป็นมาตรการเชิงองค์กรเป็นการสื่อสารและส่งสัญญาณเชิงนโยบายภายในองค์กรระหว่างผู้บริหารและบุคลากรขององค์กร

ดังนั้น เพื่อให้การประเมิน ITA ประจำปีงบประมาณ พ.ศ. 2566 บรรลุวัตถุประสงค์ตามที่สำนักงาน ป.ป.ช. กำหนด และสอดคล้องกับหลักการในการแจ้ง privacy notice ตาม PDPA สำนักงาน ป.ป.ช. **ควรกำหนดให้หน่วยงานภาครัฐที่มีฐานะเป็นนิติบุคคล** เช่น กรม องค์การมหาชน รัฐวิสาหกิจ ซึ่งถือเป็นผู้ควบคุมข้อมูลส่วนบุคคลตาม PDPA **ต้องจัดทำเอกสารหรือประกาศแจ้ง privacy notice ของหน่วยงานนั้นเป็นการเฉพาะ** ตามที่ [มาตรา 23](https://link.pdpalawbase.com/section/23.md) กำหนดไว้

อย่างไรก็ดี ในกรณีที่เห็นสมควร **กระทรวงต้นสังกัดอาจจัดทำ privacy notice ในลักษณะภาพรวมของกระทรวงที่มีความครอบคลุมทุกหน่วยงานในสังกัดด้วยก็ได้** แต่หน่วยงานภาครัฐในสังกัดกระทรวงที่มีฐานะเป็นนิติบุคคลจะต้องมีการดำเนินการแจ้ง privacy notice ในบริบทของหน่วยงานนั้นด้วย ไม่ว่าจะใช้เอกสารของหน่วยงานเองหรือเอกสารในภาพรวมของกระทรวงก็ตาม · ในกรณีนี้ ควรพิจารณาหลีกเลี่ยงการใช้คำว่า "นโยบาย" สำหรับ privacy notice เนื่องจากอาจทำให้หน่วยงานเข้าใจคลาดเคลื่อนได้

นอกจากนี้ หากสำนักงาน ป.ป.ช. เห็นว่าควรกำหนดให้หน่วยงานภาครัฐที่เข้าร่วมการประเมินต้องดำเนินการเปิดเผยข้อมูลนโยบายของหน่วยงานเกี่ยวกับการคุ้มครองข้อมูลส่วนบุคคล (มาตรการเชิงองค์กร) ก็สามารถทำได้ แม้จะไม่ได้เป็นข้อกำหนดที่เป็นมาตรฐานขั้นต่ำตาม PDPA อย่างชัดเจนก็ตาม · ในกรณีนี้ อาจพิจารณาให้หน่วยงานที่มีฐานะเป็นนิติบุคคลในสังกัดกระทรวงกำหนดนโยบายเกี่ยวกับการคุ้มครองข้อมูลส่วนบุคคลเป็นการเฉพาะของหน่วยงาน หรือจัดทำเป็นนโยบายในลักษณะภาพรวมของกระทรวงก็ได้

เพื่อให้เกิดความชัดเจนในทางปฏิบัติ สำนักงาน ป.ป.ช. ควรจัดทำคำชี้แจงไว้เป็นหลักเกณฑ์ในแบบวัดการเปิดเผยข้อมูลสาธารณะ (OIT) และเอกสารที่เกี่ยวข้อง โดยเฉพาะในการทำความเข้าใจว่าตัวชี้วัดข้อ o10 หมายถึง privacy notice ตาม [มาตรา 23](https://link.pdpalawbase.com/section/23.md) หรือนโยบายภายในองค์กรที่เป็นมาตรการเชิงองค์กรของหน่วยงาน เพื่อจะได้ไม่เป็นปัญหาในการดำเนินการ

## เอกสารต้นฉบับ

- [PDF ต้นฉบับ (local)](../../raw/opinions/opinion-20-2566.pdf)
- [ที่มา: pdpc.or.th](https://www.pdpc.or.th/wp-content/uploads/2024/02/PDPC-consultation-20.pdf)

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/opinion/20-2566.md

============================================================
โนด: ข้อหารือ 20/2567
ลิงก์อ้างอิง: https://link.pdpalawbase.com/opinion/20-2567.md

# ข้อหารือที่ 20/2567 เรื่อง สำนักงานปลัดกระทรวงกลาโหมขอหารือแนวทางปฏิบัติตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562

## ข้อกฎหมาย

1. พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562
[มาตรา 4](https://link.pdpalawbase.com/section/4.md) วรรคหนึ่ง (2) วรรคสอง และวรรคสาม [มาตรา 6](https://link.pdpalawbase.com/section/6.md) [มาตรา 21](https://link.pdpalawbase.com/section/21.md) [มาตรา 23](https://link.pdpalawbase.com/section/23.md) [มาตรา 40](https://link.pdpalawbase.com/section/40.md) (1)
      และ [มาตรา 41](https://link.pdpalawbase.com/section/41.md) (1) (2) และ (3)
2. พระราชบัญญัติจัดระเบียบราชการกระทรวงกลาโหม พ.ศ. 2551 และที่แก้ไขเพิ่มเติม
มาตรา 10 และมาตรา 22
3. พระราชบัญญัติระเบียบบริหารราชการแผ่นดิน พ.ศ. 2534
มาตรา 7 วรรคสาม
4. พระราชกฤษฎีกากำหนดลักษณะ กิจการ หรือหน่วยงานที่ได้รับการยกเว้นไม่ให้นำพระราชบัญญัติ
คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 บางส่วนมาใช้บังคับ พ.ศ. 2566
มาตรา 6 มาตรา 7 มาตรา 8 มาตรา 9 มาตรา 10 มาตรา 11 และมาตรา 12
5. ประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง มาตรฐานการรักษาความมั่นคงปลอดภัยของ
ข้อมูลส่วนบุคคลของผู้ควบคุมข้อมูลส่วนบุคคลซึ่งได้รับการยกเว้นไม่ให้นำพระราชบัญญัติคุ้มครอง
ข้อมูลส่วนบุคคล พ.ศ. 2562 มาใช้บังคับ พ.ศ. 2566
6. ประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง ผู้ควบคุมข้อมูลส่วนบุคคลและผู้ประมวลผล
ข้อมูลส่วนบุคคลที่เป็นหน่วยงานของรัฐ ซึ่งต้องจัดให้มีเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล
พ.ศ. 2566
คำปรารภ และข้อ 3
7. ประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง การจัดให้มีเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล
ตามมาตรา 41 (2) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 พ.ศ. 2566
8. แนวทางการดำเนินการในการแจ้งวัตถุประสงค์และรายละเอียดในการเก็บรวบรวมข้อมูลส่วนบุคคล
จากเจ้าของข้อมูลส่วนบุคคลตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562

## ข้อหารือ

สำนักงานปลัดกระทรวงกลาโหม แจ้งว่า ในฐานะหน่วยรับผิดชอบดำเนินการให้การปฏิบัติ
เกี่ยวกับการคุ้มครองข้อมูลส่วนบุคคลของกระทรวงกลาโหมมีแนวปฏิบัติที่ชัดเจน ถูกต้องตามหลักการและ
เจตนารมณ์แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ขอหารือต่อคณะกรรมการคุ้มครองข้อมูล
ส่วนบุคคล ดังนี้
1. กระทรวงกลาโหมเป็นหน่วยงานด้านความมั่นคง ซึ่งได้รับการยกเว้นตาม [มาตรา 4](https://link.pdpalawbase.com/section/4.md) (2) หรือ
[มาตรา 4](https://link.pdpalawbase.com/section/4.md) วรรคสอง โดยไม่นำบทบัญญัติแห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ทั้งหมด
หรือบางส่วนมาใช้บังคับ หรือไม่ อย่างไร และกระทรวงกลาโหมจะต้องดำเนินการประการใด เพื่อปฏิบัติตาม
พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ดังกล่าว รวมทั้งแนวทางการพิจารณากิจกรรม หรืองานใด
หากไม่เข้าข่ายได้รับการยกเว้น
2. พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 [มาตรา 6](https://link.pdpalawbase.com/section/6.md) บัญญัติว่า "ผู้ควบคุมข้อมูล
ส่วนบุคคล" หมายความว่า บุคคลหรือนิติบุคคลซึ่งมีอำนาจหน้าที่ตัดสินใจเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผย
ข้อมูลส่วนบุคคล มีหน้าที่ต้องแจ้งวัตถุประสงค์และรายละเอียดต่าง ๆ ในการเก็บรวบรวมข้อมูลส่วนบุคคลให้เจ้าของ
ข้อมูลส่วนบุคคลทราบก่อนหรือในขณะเก็บรวบรวมข้อมูลส่วนบุคคล ตาม [มาตรา 23](https://link.pdpalawbase.com/section/23.md) แห่งพระราชบัญญัติคุ้มครอง
ข้อมูลส่วนบุคคล พ.ศ. 2562 ดังกล่าวนั้น ส่วนราชการที่มีฐานะเป็นนิติบุคคลในสังกัดกระทรวงกลาโหมสามารถ
ดำเนินการในภาพรวมของส่วนราชการ ที่มีความครอบคลุมทุกหน่วยงานในสังกัด หรือสามารถจัดทำเป็นการเฉพาะของ
หน่วยงานภายใต้ส่วนราชการที่เป็นนิติบุคคลนั้น ได้หรือไม่ และผู้ใดมีอำนาจลงนามของหน่วยงาน
3. ประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง ผู้ควบคุมข้อมูลส่วนบุคคลและผู้ประมวลผล
ข้อมูลส่วนบุคคลที่เป็นหน่วยงานของรัฐ ซึ่งต้องจัดให้มีเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2566 มิได้กำหนด
ให้กระทรวงกลาโหมหรือหน่วยงานในสังกัด ต้องจัดให้มีเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลของตน ดังนั้น
กระทรวงกลาโหมได้รับการยกเว้นไม่ต้องจัดให้มีเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลของตนหรือไม่ อย่างไร หรือจะต้อง
จัดให้มีเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลในภาพรวมของส่วนราชการที่มีฐานะเป็นนิติบุคคล หรือสามารถดำเนินการ
เป็นการเฉพาะของหน่วยงานภายใต้ส่วนราชการที่เป็นนิติบุคคลนั้น
4. พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 [มาตรา 6](https://link.pdpalawbase.com/section/6.md) บัญญัติว่า "ผู้ประมวลผล
ข้อมูลส่วนบุคคล" หมายความว่า บุคคลหรือนิติบุคคลซึ่งดำเนินการเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูล
ส่วนบุคคลตามคำสั่งหรือในนามของผู้ควบคุมข้อมูลส่วนบุคคล ทั้งนี้ บุคคลหรือนิติบุคคลซึ่งดำเนินการดังกล่าวไม่เป็น
ผู้ควบคุมข้อมูลส่วนบุคคล ดังนั้น "ผู้ประมวลผลข้อมูลส่วนบุคคล" ของส่วนราชการที่มีฐานะเป็นนิติบุคคลในสังกัด
กระทรวงกลาโหม ได้แก่หน่วยงานใด หรือผู้ดำรงตำแหน่งใด
 5. พระราชบัญญัติจัดระเบียบราชการกระทรวงกลาโหม พ.ศ. 2551 และที่แก้ไขเพิ่มเติม
มิได้กำหนดให้สำนักงานรัฐมนตรี มีฐานะเป็นนิติบุคคล ดังนั้น "ผู้ควบคุมข้อมูลส่วนบุคคล" ของสำนักงานรัฐมนตรี
ตาม [มาตรา 6](https://link.pdpalawbase.com/section/6.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ได้แก่ส่วนราชการใด และผู้ที่มีอำนาจ
หน้าที่ในการปฏิบัติหรือดำเนินการตาม [มาตรา 6](https://link.pdpalawbase.com/section/6.md) แห่งพระราชบัญญัติดังกล่าว ได้แก่ผู้ดำรงตำแหน่งใด และผู้ดำรง
ตำแหน่งดังกล่าว ในฐานะผู้ควบคุมข้อมูลส่วนบุคคลของสำนักงานรัฐมนตรี สามารถมอบอำนาจการดำเนินการใด ๆ
ตามกฎหมาย ให้แก่ผู้ดำรงตำแหน่งอื่นปฏิบัติราชการแทนได้หรือไม่

## ความเห็น

คณะอนุกรรมการตอบข้อหารือและให้คำแนะนำในการปฏิบัติตามกฎหมายว่าด้วยการคุ้มครอง
ข้อมูลส่วนบุคคล ในคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล ได้พิจารณาข้อหารือดังกล่าวแล้ว มีความเห็น ดังนี้
ประเด็นตามข้อหารือที่ 1 เห็นว่า บทบัญญัติตาม [มาตรา 4](https://link.pdpalawbase.com/section/4.md) (2) แห่งพระราชบัญญัติคุ้มครอง
ข้อมูลส่วนบุคคล พ.ศ. 2562 ซึ่งกำหนดกรณีที่ได้รับการยกเว้นไม่ให้นำพระราชบัญญัตินี้มาใช้บังคับสำหรับ
การดำเนินการของหน่วยงานของรัฐที่มีหน้าที่ในการรักษาความมั่นคงของรัฐนั้น หมายความถึงเฉพาะ
การดำเนินการในกิจกรรมหรือภารกิจใดที่มีหน้าที่หรือวัตถุประสงค์เกี่ยวข้องกับการรักษาความมั่นคงของรัฐเท่านั้น
ดังนั้น การดำเนินการของส่วนราชการในสังกัดของกระทรวงกลาโหมที่ไม่ได้มีหน้าที่หลักในการรักษาความมั่นคง
ของรัฐโดยตรง หรือกิจกรรมใดของกระทรวงกลาโหมที่ไม่เกี่ยวข้องกับการรักษาความมั่นคงของรัฐโดยตรง เช่น
การให้บริการสุขภาพของสถานพยาบาลในสังกัดกระทรวงกลาโหม หรือการดำเนินงานด้านการประชาสัมพันธ์
ย่อมไม่เข้าลักษณะตาม [มาตรา 4](https://link.pdpalawbase.com/section/4.md) (2) กรณีจึงไม่ได้รับการยกเว้นไม่ให้นำพระราชบัญญัตินี้มาใช้บังคับ
ส่วนการดำเนินการในกิจกรรมหรือภารกิจใดของกระทรวงกลาโหมที่จะมีหน้าที่หรือวัตถุประสงค์เกี่ยวข้องกับ
การรักษาความมั่นคงของรัฐ อันจะได้รับการยกเว้นไม่ให้นำพระราชบัญญัตินี้มาใช้บังคับ กระทรวงกลาโหมย่อม
ต้องพิจารณาตามข้อเท็จจริงเป็นรายกรณี นอกจากนี้ การดำเนินการที่จะได้รับการยกเว้นไม่ให้นำพระราชบัญญัตินี้
มาใช้บังคับตาม [มาตรา 4](https://link.pdpalawbase.com/section/4.md) วรรคสอง จะต้องเป็นกรณีที่กำหนดในพระราชกฤษฎีกา ซึ่งปัจจุบันพระราชกฤษฎีกา
กำหนดลักษณะ กิจการ หรือหน่วยงานที่ได้รับการยกเว้นไม่ให้นำพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล
พ.ศ. 2562 บางส่วนมาใช้บังคับ พ.ศ. 2566 ได้กำหนดกรณีที่จะได้รับการยกเว้นไว้เป็นการเฉพาะในมาตรา 6
ถึงมาตรา 12 ดังนั้น หากการดำเนินการในกิจกรรมหรือภารกิจใดของกระทรวงกลาโหมไม่เข้าเงื่อนไขในกรณีใด
ตามพระราชกฤษฎีกาดังกล่าว ย่อมไม่ได้รับการยกเว้นไม่ให้นำพระราชบัญญัตินี้มาใช้บังคับตาม [มาตรา 4](https://link.pdpalawbase.com/section/4.md) วรรคสอง
แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562
ทั้งนี้ สำหรับการดำเนินการเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลในกิจกรรม
หรือภารกิจใดของกระทรวงกลาโหมที่มีหน้าที่หรือวัตถุประสงค์เกี่ยวข้องกับการรักษาความมั่นคงของรัฐ ซึ่งได้รับ
การยกเว้นไม่ให้นำพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 มาใช้บังคับตาม [มาตรา 4](https://link.pdpalawbase.com/section/4.md) (2)
กระทรวงกลาโหมยังต้องจัดให้มีการรักษาความมั่นคงปลอดภัยของข้อมูลส่วนบุคคลให้เป็นไปตามมาตรฐานด้วย
ทั้งนี้ ตาม [มาตรา 4](https://link.pdpalawbase.com/section/4.md) วรรคสาม แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ประกอบ
ประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง มาตรฐานการรักษาความมั่นคงปลอดภัยของข้อมูล
ส่วนบุคคลของผู้ควบคุมข้อมูลส่วนบุคคลซึ่งได้รับการยกเว้นไม่ให้นำพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล
พ.ศ. 2562 มาใช้บังคับ พ.ศ. 2566
ประเด็นตามข้อหารือที่ 2 เห็นว่า ส่วนราชการที่มีฐานะเป็นนิติบุคคลในสังกัดกระทรวงกลาโหม
ที่ไม่ได้รับการยกเว้นไม่ให้นำพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 มาใช้บังคับ ตาม [มาตรา 4](https://link.pdpalawbase.com/section/4.md) (2)
แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ซึ่งมีอำนาจหน้าที่ตัดสินใจเกี่ยวกับการเก็บรวบรวม ใช้
หรือเปิดเผยข้อมูลส่วนบุคคล ย่อมมีฐานะเป็นผู้ควบคุมข้อมูลส่วนบุคคล โดยผู้ควบคุมข้อมูลส่วนบุคคลมีหน้าที่ตาม
พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ซึ่งรวมถึงหน้าที่ในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูล
ส่วนบุคคลตามวัตถุประสงค์ที่ได้แจ้งเจ้าของข้อมูลส่วนบุคคลไว้ก่อนหรือในขณะที่เก็บรวบรวม ตาม [มาตรา 21](https://link.pdpalawbase.com/section/21.md)
และการแจ้งวัตถุประสงค์และรายละเอียดในการเก็บรวบรวมข้อมูลส่วนบุคคลให้เจ้าของข้อมูลส่วนบุคคลทราบ
ก่อนหรือในขณะเก็บรวบรวมข้อมูลส่วนบุคคล ตาม [มาตรา 23](https://link.pdpalawbase.com/section/23.md) ด้วย โดยส่วนราชการที่มีฐานะเป็นนิติบุคคล
ในสังกัดกระทรวงกลาโหมจะต้องแจ้งให้เจ้าของข้อมูลส่วนบุคคลทราบก่อนหรือในขณะเก็บรวบรวมข้อมูล
ส่วนบุคคลถึงวัตถุประสงค์และรายละเอียดเกี่ยวกับการเก็บรวบรวมข้อมูลส่วนบุคคล (privacy information) โดย
อาจพิจารณาแจ้งในรูปแบบประกาศการคุ้มครองข้อมูลส่วนบุคคล (privacy notice) ก็ได้ โดยทั้งนี้ พระราชบัญญัติ
คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ไม่ได้กำหนดรูปแบบหรือวิธีการแจ้งวัตถุประสงค์และรายละเอียดดังกล่าว
ไว้เป็นการเฉพาะ แต่กำหนดรายละเอียดที่ผู้ควบคุมข้อมูลส่วนบุคคลต้องแจ้งให้เจ้าของข้อมูลส่วนบุคคลทราบ
ตาม [มาตรา 23](https://link.pdpalawbase.com/section/23.md) โดยผู้ควบคุมข้อมูลส่วนบุคคลอาจพิจารณาดำเนินการตามแนวทางการดำเนินการในการแจ้ง
วัตถุประสงค์และรายละเอียดในการเก็บรวบรวมข้อมูลส่วนบุคคลจากเจ้าของข้อมูลส่วนบุคคลตามพระราชบัญญัติ
คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ที่คณะกรรมการคุ้มครองข้อมูลส่วนบุคคลกำหนดได้
สำหรับประกาศการคุ้มครองข้อมูลส่วนบุคคล (privacy notice) นั้น อาจมีการลงนามหรือไม่ก็ได้
หากประสงค์จะให้มีการลงนาม หน่วยงานที่เป็นผู้ควบคุมข้อมูลส่วนบุคคลอาจพิจารณากำหนดหรือมอบหมาย
บุคคลที่เหมาะสมเป็นผู้ลงนามก็ได้ โดยกระทรวงกลาโหมและส่วนราชการในสังกัดที่มีฐานะเป็นผู้ควบคุมข้อมูล
ส่วนบุคคลควรพิจารณาว่า การแจ้งวัตถุประสงค์และรายละเอียดในการเก็บรวบรวมข้อมูลส่วนบุคคลดังกล่าว
กระทรวงกลาโหมสามารถดำเนินการให้ครอบคลุมทุกกิจกรรมหรือภารกิจของแต่ละหน่วยงานภายใต้สังกัดได้
หรือไม่ หากสามารถดำเนินการได้ กระทรวงกลาโหมจะเป็นผู้จัดทำแล้วให้หน่วยงานในสังกัดนำไปเผยแพร่หรือ
แจ้งเจ้าของข้อมูลส่วนบุคคลก็ได้ หรือกระทรวงกลาโหมอาจให้หน่วยงานในสังกัดที่มีฐานะเป็นผู้ควบคุมข้อมูล
ส่วนบุคคลเป็นผู้จัดทำเป็นการเฉพาะของหน่วยงานเองก็ได้ โดยการแจ้งวัตถุประสงค์และรายละเอียดในการเก็บรวบรวม
ข้อมูลส่วนบุคคลดังกล่าวควรมีความชัดเจนและเจ้าของข้อมูลส่วนบุคคลสามารถเข้าใจได้โดยง่าย
ประเด็นตามข้อหารือที่ 3 เห็นว่า [มาตรา 41](https://link.pdpalawbase.com/section/41.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล
พ.ศ. 2562 กำหนดว่า "ผู้ควบคุมข้อมูลส่วนบุคคลและผู้ประมวลผลข้อมูลส่วนบุคคลต้องจัดให้มีเจ้าหน้าที่คุ้มครองข้อมูล
ส่วนบุคคลของตน ในกรณีดังต่อไปนี้ (1) ผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคลเป็นหน่วยงาน
ของรัฐตามที่คณะกรรมการประกาศกำหนด ฯลฯ" เมื่อพิจารณาตามบัญชีท้ายประกาศคณะกรรมการคุ้มครองข้อมูล
ส่วนบุคคล เรื่อง ผู้ควบคุมข้อมูลส่วนบุคคลและผู้ประมวลผลข้อมูลส่วนบุคคลที่เป็นหน่วยงานของรัฐ ซึ่งต้องจัดให้มี
เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2566 แล้ว จะเห็นว่า คณะกรรมการคุ้มครองข้อมูลส่วนบุคคล
มิได้กำหนดให้กระทรวงกลาโหมหรือหน่วยงานในสังกัดต้องจัดให้มีเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล ดังนั้น
กระทรวงกลาโหมหรือหน่วยงานในสังกัดยังไม่ต้องจัดให้มีเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลตามประกาศดังกล่าว
จึงอาจไม่ต้องจัดให้มีเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลตามบทบัญญัติใน [มาตรา 41](https://link.pdpalawbase.com/section/41.md) (1) เว้นแต่กรณีสถาบันอุดมศึกษา
ของรัฐที่มีสถานพยาบาลในสังกัด ภายใต้กระทรวงกลาโหม (หรือส่วนราชการต้นสังกัดที่มีฐานะเป็นนิติบุคคล
ในสังกัดกระทรวงกลาโหมของสถาบันอุดมศึกษานั้น) ที่ต้องจัดให้มีเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลตามข้อ 3
ของประกาศดังกล่าว ประกอบข้อ 14.23 ของบัญชีท้ายประกาศนั้น แต่เมื่อพิจารณาจากคำปรารภของประกาศ
คณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง ผู้ควบคุมข้อมูลส่วนบุคคลและผู้ประมวลผลข้อมูลส่วนบุคคลที่เป็น
หน่วยงานของรัฐ ซึ่งต้องจัดให้มีเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2566 ที่กำหนดว่า "…โดยในระยะแรก
เห็นควรกำหนดให้หน่วยงานของรัฐที่มีความพร้อมและมีลักษณะที่จำเป็นต้องจัดให้มีเจ้าหน้าที่คุ้มครองข้อมูล
ส่วนบุคคล ซึ่งจะได้กำหนดหน่วยงานของรัฐแห่งอื่นเพิ่มเติมตามความเหมาะสมต่อไป" จะเห็นได้ว่า คณะกรรมการ
คุ้มครองข้อมูลส่วนบุคคลอาจมีการประกาศกำหนดหน่วยงานของรัฐที่ต้องจัดให้มีเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล
เพิ่มเติมในอนาคตตามความเหมาะสมได้
อย่างไรก็ตาม [มาตรา 41](https://link.pdpalawbase.com/section/41.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 กำหนด
กรณีที่ผู้ควบคุมข้อมูลส่วนบุคคลและผู้ประมวลผลข้อมูลส่วนบุคคลต้องจัดให้มีเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลไว้
3 กรณี แม้กระทรวงกลาโหมหรือส่วนราชการที่มีฐานะเป็นนิติบุคคลในสังกัดอาจไม่เข้ากรณีตาม [มาตรา 41](https://link.pdpalawbase.com/section/41.md) (1)
แต่หากกระทรวงกลาโหมและส่วนราชการที่มีฐานะเป็นนิติบุคคลในสังกัดพิจารณาแล้วเห็นว่า การดำเนินกิจกรรม
ของตนในการเก็บรวบรวม ใช้ หรือเปิดเผย จำเป็นต้องตรวจสอบข้อมูลส่วนบุคคลหรือระบบอย่างสม่ำเสมอโดยเหตุ
ที่มีข้อมูลส่วนบุคคลเป็นจำนวนมากตามที่คณะกรรมการคุ้มครองข้อมูลส่วนบุคคลประกาศกำหนด ตาม [มาตรา 41](https://link.pdpalawbase.com/section/41.md) (2)
ประกอบประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง การจัดให้มีเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลตาม
มาตรา 41 (2) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 พ.ศ. 2566 หรือเป็นกรณีที่กิจกรรม
หลักของตนเป็นการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลตามมาตรา 26 ตามนัย [มาตรา 41](https://link.pdpalawbase.com/section/41.md) (3)
แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ก็ต้องจัดให้มีเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลด้วย
กระทรวงกลาโหมและส่วนราชการที่มีฐานะเป็นนิติบุคคลในสังกัดจึงต้องพิจารณาว่าตนเข้าเงื่อนไขที่ต้องจัด
ให้มีเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลตาม [มาตรา 41](https://link.pdpalawbase.com/section/41.md) (2) และ/หรือ [มาตรา 41](https://link.pdpalawbase.com/section/41.md) (3) หรือไม่ ในการดำเนินการ
ที่ไม่ได้รับการยกเว้นไม่ให้นำบทบัญญัติแห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 มาใช้บังคับ
ตาม [มาตรา 4](https://link.pdpalawbase.com/section/4.md) (2)
อนึ่ง ผู้ควบคุมข้อมูลส่วนบุคคลและผู้ประมวลผลข้อมูลส่วนบุคคลที่ไม่เข้าเงื่อนไขตาม
[มาตรา 41](https://link.pdpalawbase.com/section/41.md) (1) ถึง (3) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 และไม่มีหน้าที่ต้องจัดให้มี
เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลตาม [มาตรา 41](https://link.pdpalawbase.com/section/41.md) อาจพิจารณาจัดให้มีเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลได้
เพื่อทำหน้าที่ให้คำแนะนํา ตรวจสอบการดำเนินงาน และประสานงานและให้ความร่วมมือกับสำนักงาน
คณะกรรมการคุ้มครองข้อมูลส่วนบุคคล ในการปฏิบัติตามพระราชบัญญัตินี้ ทั้งนี้ เพื่อส่งเสริมการคุ้มครอง
ข้อมูลส่วนบุคคล และลดความเสี่ยงที่จะมีการฝ่าฝืนหรือไม่ปฏิบัติตามพระราชบัญญัติดังกล่าวในหน่วยงานของตน
ประเด็นตามข้อหารือที่ 4 เห็นว่า สำหรับการดำเนินการของกระทรวงกลาโหมหรือส่วนราชการ
ที่มีฐานะเป็นนิติบุคคลในสังกัดที่อยู่ในบังคับของพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562
กระทรวงกลาโหมและส่วนราชการที่มีฐานะเป็นนิติบุคคลในสังกัดกระทรวงกลาโหมดังกล่าว จะมีฐานะเป็นผู้ควบคุม
ข้อมูลส่วนบุคคล ส่วนหน่วยงานในสังกัดที่ไม่มีฐานะเป็นนิติบุคคล ตลอดจนข้าราชการ พนักงาน และบุคลากร
ของหน่วยงานดังกล่าวจะไม่มีฐานะเป็นผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคล
แยกต่างหากจากกระทรวงกลาโหมหรือส่วนราชการที่มีฐานะเป็นนิติบุคคลนั้น แต่กระทรวงกลาโหม
และส่วนราชการที่มีฐานะเป็นนิติบุคคลในสังกัดอาจพิจารณามอบหมายหน้าที่หรือสั่งการให้หน่วยงานใด
หรือผู้ดำรงตำแหน่งใดในสังกัดรับผิดชอบการดำเนินการเกี่ยวกับข้อมูลส่วนบุคคลให้เป็นไปตามพระราชบัญญัตินี้
ก็ได้ ทั้งนี้ หน่วยงานหรือบุคคลที่ได้รับมอบหมายหน้าที่หรือข้อสั่งการดังกล่าวไม่ถือเป็นผู้ควบคุมข้อมูลส่วนบุคคลหรือ
ผู้ประมวลผลข้อมูลส่วนบุคคลแยกต่างหากจากกระทรวงกลาโหมหรือส่วนราชการที่มีฐานะเป็นนิติบุคคลใน
สังกัดกระทรวงกลาโหม
ส่วนกรณีที่จะถือเป็นผู้ประมวลผลข้อมูลส่วนบุคคล ของกระทรวงกลาโหมหรือส่วนราชการ
ที่มีฐานะเป็นนิติบุคคลในสังกัดกระทรวงกลาโหม ในฐานะผู้ควบคุมข้อมูลส่วนบุคคล นั้น เมื่อพิจารณาจากบทนิยาม
ของคำว่า "ผู้ประมวลผลข้อมูลส่วนบุคคล" ตาม [มาตรา 6](https://link.pdpalawbase.com/section/6.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562
จะต้องเป็นกรณีที่บุคคลธรรมดาหรือนิติบุคคลภายนอกสังกัด (ที่ไม่ใช่ส่วนหนึ่งของกระทรวงกลาโหมหรือส่วนราชการ
ในสังกัด) มีการดำเนินการเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลตามคำสั่งหรือในนาม
ของกระทรวงกลาโหมหรือส่วนราชการในสังกัด และมีหน้าที่ดำเนินการตามคำสั่งที่ได้รับจากผู้ควบคุมข้อมูลส่วนบุคคล
ตาม [มาตรา 40](https://link.pdpalawbase.com/section/40.md) (1) เท่านั้น เช่น กรณีที่กระทรวงกลาโหมหรือส่วนราชการในสังกัดว่าจ้างหรือมอบหมายให้บุคคล
หรือหน่วยงานใดภายนอกดำเนินการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล ที่เป็นภารกิจหรือหน้าที่
ในความรับผิดชอบของตน โดยเป็นการดำเนินการตามคำสั่งหรือในนามของตน
ประเด็นตามข้อหารือที่ 5 ในประเด็นว่า "ผู้ควบคุมข้อมูลส่วนบุคคล" ตาม [มาตรา 6](https://link.pdpalawbase.com/section/6.md)
แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ของสำนักงานรัฐมนตรี กระทรวงกลาโหม
คือส่วนราชการใด นั้น เห็นว่า มาตรา 10 แห่งพระราชบัญญัติจัดระเบียบราชการกระทรวงกลาโหม พ.ศ. 2551
ซึ่งแก้ไขเพิ่มเติมโดยพระราชบัญญัติจัดระเบียบราชการกระทรวงกลาโหม (ฉบับที่ 2) พ.ศ. 2556 กำหนดให้
สำนักงานรัฐมนตรีเป็นส่วนราชการในกระทรวงกลาโหม แต่มาตรา 22 แห่งพระราชบัญญัติจัดระเบียบราชการ
กระทรวงกลาโหม พ.ศ. 2551 ซึ่งแก้ไขเพิ่มเติมโดยพระราชบัญญัติจัดระเบียบราชการกระทรวงกลาโหม (ฉบับที่ 2)
พ.ศ. 2556 ไม่ได้กำหนดให้สำนักงานรัฐมนตรี กระทรวงกลาโหม เป็นนิติบุคคล ประกอบกับมาตรา 7 วรรคสาม
แห่งพระราชบัญญัติระเบียบบริหารราชการแผ่นดิน พ.ศ. 2534 กำหนดให้กระทรวงมีฐานะเป็นนิติบุคคล ดังนั้น
กระทรวงกลาโหมซึ่งเป็นหน่วยงานต้นสังกัดของสำนักงานรัฐมนตรีจึงเป็นผู้ควบคุมข้อมูลส่วนบุคคลตาม [มาตรา 6](https://link.pdpalawbase.com/section/6.md)
แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 และมีหน้าที่ตามพระราชบัญญัติดังกล่าวเกี่ยวกับ
การเก็บรวบรวม ใช้ และเปิดเผยข้อมูลส่วนบุคคลของสำนักงานรัฐมนตรี กระทรวงกลาโหม เท่าที่พระราชบัญญัติดังกล่าว
ใช้บังคับแก่สำนักงานรัฐมนตรี
สำหรับประเด็นที่ว่า ผู้ที่มีอำนาจหน้าที่ในการปฏิบัติหรือดำเนินการเก็บรวบรวม ใช้ หรือเปิดเผย
ข้อมูลส่วนบุคคลในฐานะผู้ควบคุมข้อมูลส่วนบุคคล ของสำนักงานรัฐมนตรี กระทรวงกลาโหม ได้แก่ผู้ดำรง
ตำแหน่งใด และสามารถมอบอำนาจการดำเนินการใด ๆ ตามกฎหมาย ให้แก่ผู้ดำรงตำแหน่งอื่นปฏิบัติราชการแทน
ได้หรือไม่ นั้น เห็นว่า เมื่อพิจารณาถึงเจตนารมณ์ของพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562
ประกอบบทนิยามคำว่า "ผู้ควบคุมข้อมูลส่วนบุคคล" ใน [มาตรา 6](https://link.pdpalawbase.com/section/6.md) ที่หมายความว่า บุคคลธรรมดาหรือนิติบุคคล
ซึ่งมีอำนาจหน้าที่ตัดสินใจเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล จะเห็นว่า สถานภาพความเป็น
ผู้ควบคุมข้อมูลส่วนบุคคลเกิดขึ้นจากองค์ประกอบตามบทนิยามดังกล่าวตามข้อเท็จจริง มิได้เกิดจากการได้รับ
แต่งตั้งหรือมอบหมายโดยผู้ใด ดังนั้น หากหน่วยงานใดที่มีฐานะเป็นนิติบุคคลมีอำนาจหน้าที่ตัดสินใจเกี่ยวกับ
การเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล หน่วยงานนั้นย่อมถือเป็นผู้ควบคุมข้อมูลส่วนบุคคลแล้ว
โดยไม่ต้องมีการแต่งตั้งหรือมอบหมายบุคคลใดเพื่อปฏิบัติหน้าที่นั้นอีก และผู้บริหาร ข้าราชการ พนักงาน
หรือบุคลากรของหน่วยงานดังกล่าวจะไม่มีฐานะเป็นผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคล
แยกต่างหากจากหน่วยงานนั้น จึงไม่มีกรณีที่จะสามารถมอบอำนาจการดำเนินการของหน่วยงานในฐานะผู้ควบคุม
ข้อมูลส่วนบุคคลให้บุคคลใดปฏิบัติหน้าที่และรับผิดชอบในฐานะผู้ควบคุมข้อมูลส่วนบุคคลแทนหน่วยงานนั้นได้

## เอกสารต้นฉบับ

- [PDF ต้นฉบับ (local)](../../raw/opinions/opinion-20-2567.pdf)
- [ที่มา: pdpc.or.th](https://www.pdpc.or.th/wp-content/uploads/2024/11/PDPC-consultation-49.pdf)

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/opinion/20-2567.md

============================================================
โนด: ข้อหารือ 21/2566
ลิงก์อ้างอิง: https://link.pdpalawbase.com/opinion/21-2566.md

# ข้อหารือที่ 21/2566 เรื่อง สถานีตำรวจภูธร ก. ขอทราบความเห็นเพื่อนำมาประกอบสำนวนการสอบสวน

## ข้อกฎหมาย

1. พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 — [มาตรา 4](https://link.pdpalawbase.com/section/4.md) (3)
2. พระราชบัญญัติองค์กรจัดสรรคลื่นความถี่และกำกับดูแลการประกอบกิจการวิทยุกระจายเสียง วิทยุโทรทัศน์ และกิจการโทรคมนาคม พ.ศ. 2553 และที่แก้ไขเพิ่มเติม — มาตรา 27 (18)
3. พระราชบัญญัติการประกอบกิจการกระจายเสียงและกิจการโทรทัศน์ พ.ศ. 2551 — หมวด 3 (มาตรา 39 และมาตรา 40)

## ข้อหารือ

สถานีตำรวจภูธร ก. แจ้งว่า ได้รับแจ้งความร้องทุกข์กรณีผู้เสียหายถูกสำนักข่าว Z โดยผู้ประกาศข่าวในรายการข่าว B อ่านข่าวใส่ความว่าโกงค่าอาหาร ทั้งที่ยังไม่มีคำพิพากษาของศาล และในระหว่างประกาศข่าว สำนักข่าว Z ยังเผยแพร่ภาพให้ผู้ชมเห็นใบหน้าพร้อมข้อความชี้ที่ตัวบุคคลว่า "ผู้ก่อเหตุ" โดยมิได้ปิดบัง

โดยเนื่องจากคดีนี้ผู้ถูกกล่าวหาเป็นสื่อสารมวลชน ซึ่งได้รับความคุ้มครองตาม [มาตรา 4](https://link.pdpalawbase.com/section/4.md) แห่ง PDPA หากการเปิดเผยข้อมูลเป็นไปตามจริยธรรมแห่งการประกอบวิชาชีพ หรือเป็นประโยชน์สาธารณะ จึงอาศัยอำนาจตามประมวลกฎหมายวิธีพิจารณาความอาญา มาตรา 132 (3) ขอทราบความเห็นว่า การกระทำของผู้ถูกกล่าวหาได้รับการคุ้มครองตาม [มาตรา 4](https://link.pdpalawbase.com/section/4.md) หรือไม่

สถานีตำรวจภูธร ก. ได้แจ้งข้อมูลเพิ่มเติมจาก สำนักงาน กสทช. ว่า ตามมาตรา 27 (18) แห่ง พ.ร.บ. องค์กรจัดสรรคลื่นความถี่ฯ และหมวด 3 แห่ง พ.ร.บ. การประกอบกิจการกระจายเสียงและกิจการโทรทัศน์ พ.ศ. 2551 กำหนดให้องค์กรรวมกลุ่มของผู้ประกอบวิชาชีพสื่อสารมวลชนเป็นผู้กำกับดูแลกันเองภายใต้มาตรฐานทางจริยธรรม · กสทช. จึงไม่อาจมีอำนาจในการพิจารณาว่าการนำเสนอข่าวของรายการข่าว B เป็นการดำเนินการตามจรรยาบรรณหรือจริยธรรมของสื่อสารมวลชนหรือไม่

## ความเห็น

คณะอนุกรรมการเฉพาะกิจตอบข้อหารือและให้คำแนะนำหน่วยงานของรัฐเพื่อรองรับการบังคับใช้พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ในคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล พิจารณาแล้วเห็นว่า PDPA ใช้บังคับกับผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคล ที่เก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล ซึ่งครอบคลุมทั้งภาครัฐและภาคเอกชน รวมถึงผู้ประกอบธุรกิจทุกภาคส่วน

อย่างไรก็ดี **[มาตรา 4](https://link.pdpalawbase.com/section/4.md) (3) บัญญัติให้ยกเว้นการใช้บังคับ PDPA กับบุคคลหรือนิติบุคคลซึ่งใช้หรือเปิดเผยข้อมูลส่วนบุคคลที่ทำการเก็บรวบรวมไว้เฉพาะเพื่อกิจการสื่อมวลชน งานศิลปกรรม หรืองานวรรณกรรมอันเป็นไปตามจริยธรรมแห่งการประกอบวิชาชีพหรือเป็นประโยชน์สาธารณะเท่านั้น** ซึ่งการเปิดเผยข้อมูลส่วนบุคคลตามที่ขอความเห็นดังกล่าวเป็นกรณีการใช้หรือเปิดเผยข้อมูลส่วนบุคคลของนิติบุคคลที่ทำการเก็บรวบรวมไว้เฉพาะเพื่อกิจการสื่อมวลชน จึงอาจมีลักษณะที่ได้รับยกเว้นตาม [มาตรา 4](https://link.pdpalawbase.com/section/4.md) (3)

แต่สถานีตำรวจภูธร ก. จะต้องพิจารณาเพิ่มเติมด้วยว่า การนำเสนอหรือเผยแพร่ข่าวสารดังกล่าวเป็นไปตามจริยธรรมแห่งการประกอบวิชาชีพหรือเป็นประโยชน์สาธารณะหรือไม่ ซึ่งสถานีตำรวจภูธร ก. ควรขอความเห็นจากองค์กรที่เกิดจากการรวมกลุ่มของผู้รับใบอนุญาต ผู้ผลิตรายการ และผู้ประกอบวิชาชีพสื่อสารมวลชนตามกฎหมายว่าด้วยการประกอบกิจการกระจายเสียงและกิจการโทรทัศน์ที่มีบริษัท Y เป็นสมาชิก ว่าการกระทำดังกล่าวเป็นไปตามจริยธรรมแห่งการประกอบวิชาชีพของกิจการสื่อมวลชนหรือไม่ เพื่อดำเนินการตามกฎหมายต่อไป

## เอกสารต้นฉบับ

- [PDF ต้นฉบับ (local)](../../raw/opinions/opinion-21-2566.pdf)
- [ที่มา: pdpc.or.th](https://www.pdpc.or.th/wp-content/uploads/2024/02/PDPC-consultation-21.pdf)

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/opinion/21-2566.md

============================================================
โนด: ข้อหารือ 21/2567
ลิงก์อ้างอิง: https://link.pdpalawbase.com/opinion/21-2567.md

# ข้อหารือที่ 21/2567 เรื่อง การยางแห่งประเทศไทย ขอความอนุเคราะห์หารือกรณีการเปิดเผยข้อมูลส่วนบุคคล

## ข้อกฎหมาย

_(ไม่ปรากฏหัวข้อข้อกฎหมายในเอกสารต้นฉบับ — ฐานทางกฎหมายที่อ้างถึงใน "ความเห็น" ประกอบด้วย [มาตรา 3](https://link.pdpalawbase.com/section/3.md) (1), [มาตรา 22](https://link.pdpalawbase.com/section/22.md), [มาตรา 24](https://link.pdpalawbase.com/section/24.md) (4) และ (5), [มาตรา 27](https://link.pdpalawbase.com/section/27.md) วรรคหนึ่ง วรรคสอง และวรรคสาม, [มาตรา 37](https://link.pdpalawbase.com/section/37.md) (2), [มาตรา 39](https://link.pdpalawbase.com/section/39.md), [มาตรา 73](https://link.pdpalawbase.com/section/73.md) แห่ง PDPA + พ.ร.บ.ข้อมูลข่าวสารของราชการ พ.ศ. 2540)_

## ข้อหารือ

_(ไม่ปรากฏหัวข้อข้อหารือในเอกสารต้นฉบับ — สรุปจากความเห็นว่า กยท. ขอหารือ 2 ประเด็น: (1) เปิดเผยข้อมูลในแบบ คบ.ก 1 แบบคำขอขึ้นทะเบียนเกษตรกรชาวสวนยาง และเอกสารประกอบให้เจ้าหนี้ตามคำพิพากษา; (2) ฐานทางกฎหมายในการเปิดเผย)_

## ความเห็น

คณะอนุกรรมการตอบข้อหารือและให้คำแนะนำในการปฏิบัติตามกฎหมายว่าด้วยการคุ้มครอง
ข้อมูลส่วนบุคคล ในคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล พิจารณาเรื่องหารือดังกล่าวแล้ว มีความเห็นว่า กยท.
เป็นรัฐวิสาหกิจในสังกัดกระทรวงเกษตรและสหกรณ์ จึงมีฐานะเป็นหน่วยงานของรัฐตามพระราชบัญญัติ
ข้อมูลข่าวสารของราชการ พ.ศ. 2540 ในการเปิดเผยข้อมูลส่วนบุคคลในแบบ คบ.ก 1 แบบคำขอขึ้นทะเบียน
เกษตรกรชาวสวนยาง และเอกสารประกอบ เมื่อพิจารณาตามความใน [มาตรา 3](https://link.pdpalawbase.com/section/3.md) (1) แห่งพระราชบัญญัติคุ้มครอง
ข้อมูลส่วนบุคคล พ.ศ. 2562 ที่บัญญัติว่า "ในกรณีที่มีกฎหมายว่าด้วยการใดบัญญัติเกี่ยวกับการคุ้มครอง
ข้อมูลส่วนบุคคลในลักษณะใด กิจการใด หรือหน่วยงานใดไว้โดยเฉพาะแล้ว ให้บังคับตามบทบัญญัติ
แห่งกฎหมายว่าด้วยการนั้น เว้นแต่ (1) บทบัญญัติเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล
และบทบัญญัติเกี่ยวกับสิทธิของเจ้าของข้อมูลส่วนบุคคล รวมทั้งบทกำหนดโทษที่เกี่ยวข้อง ให้บังคับตาม
บทบัญญัติแห่งพระราชบัญญัตินี้เป็นการเพิ่มเติม ไม่ว่าจะซ้ำกับบทบัญญัติแห่งกฎหมายว่าด้วยการนั้นหรือไม่
ก็ตาม ฯลฯ" กยท. ควรดำเนินการให้เป็นไปตามพระราชบัญญัติข้อมูลข่าวสารของราชการ พ.ศ. 2540
ที่ได้กำหนดเรื่องการเปิดเผยข้อมูลข่าวสารของราชการของหน่วยงานของรัฐ รวมถึงข้อมูลข่าวสารส่วนบุคคล
ที่อยู่ในความครอบครองหรือควบคุมดูแลของหน่วยงานของรัฐไว้โดยเฉพาะแล้วก่อน และให้ กยท. พิจารณา
บทบัญญัติเกี่ยวกับการเปิดเผยข้อมูลส่วนบุคคลตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562
เป็นการเพิ่มเติม
สำหรับการพิจารณาบทบัญญัติเกี่ยวกับการเปิดเผยข้อมูลส่วนบุคคลตามพระราชบัญญัติ
คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 เป็นการเพิ่มเติมนั้น เห็นว่า กยท. ในฐานะผู้ควบคุมข้อมูลส่วนบุคคล
ตามพระราชบัญญัติดังกล่าวสามารถเก็บรวบรวมข้อมูลส่วนบุคคลที่ปรากฏในแบบ คบ.ก 1 แบบคำขอ
ขึ้นทะเบียนเกษตรกรชาวสวนยาง และเอกสารประกอบได้ โดยได้รับยกเว้นไม่ต้องขอความยินยอมตาม [มาตรา 24](https://link.pdpalawbase.com/section/24.md) (4)
แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 เนื่องจากเป็นการจำเป็นเพื่อการปฏิบัติหน้าที่
ในการดำเนินภารกิจเพื่อประโยชน์สาธารณะของผู้ควบคุมข้อมูลส่วนบุคคล หรือปฏิบัติหน้าที่ในการใช้อำนาจรัฐ
ที่ได้มอบให้แก่ผู้ควบคุมข้อมูลส่วนบุคคล และในการเปิดเผยข้อมูลส่วนบุคคลของเกษตรกรชาวสวนยาง
แก่เจ้าหนี้ตามคำพิพากษาถึงที่สุดนั้น [มาตรา 27](https://link.pdpalawbase.com/section/27.md) วรรคหนึ่ง แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล
พ.ศ. 2562 บัญญัติห้ามมิให้ผู้ควบคุมข้อมูลส่วนบุคคลใช้หรือเปิดเผยข้อมูลส่วนบุคคล โดยไม่ได้รับ
ความยินยอมจากเจ้าของข้อมูลส่วนบุคคล เว้นแต่เป็นข้อมูลส่วนบุคคลที่เก็บรวบรวมได้โดยได้รับยกเว้น
ไม่ต้องขอความยินยอมตาม [มาตรา 24](https://link.pdpalawbase.com/section/24.md) หรือ [มาตรา 26](https://link.pdpalawbase.com/section/26.md) ดังนั้น กยท. จะต้องพิจารณาเพิ่มเติมว่า การเปิดเผย
ข้อมูลส่วนบุคคลดังกล่าวให้กับทนายความผู้รับมอบอำนาจของเจ้าหนี้ตามคำพิพากษาของศาล ที่ประสงค์
จะนำข้อมูลของเกษตรกรชาวสวนยางซึ่งเป็นลูกหนี้ตามคำพิพากษาไปเพื่อประกอบคำร้องขอยึดทรัพย์
สามารถอ้างอิงฐานทางกฎหมายตามที่กำหนดไว้ใน [มาตรา 24](https://link.pdpalawbase.com/section/24.md) ประกอบ [มาตรา 27](https://link.pdpalawbase.com/section/27.md) วรรคหนึ่ง แห่งพระราชบัญญัติ
คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ได้หรือไม่ โดยคณะอนุกรรมการตอบข้อหารือฯ เห็นว่า การเปิดเผย
ข้อมูลส่วนบุคคลเกี่ยวกับทรัพย์สินของเกษตรกรชาวสวนยางที่เป็นลูกหนี้ ที่อยู่ในความครอบครอง
หรือควบคุมดูแลของ กยท. ให้แก่เจ้าหนี้ตามคำพิพากษาที่มีหลักฐานยืนยันความเป็นเจ้าหนี้ อาจถือเป็นกรณีที่
เป็นการจำเป็นเพื่อประโยชน์โดยชอบด้วยกฎหมายของบุคคลหรือนิติบุคคลอื่นที่ไม่ใช่ผู้ควบคุมข้อมูลส่วนบุคคล
และประโยชน์ดังกล่าวมีความสำคัญไม่น้อยกว่าสิทธิขั้นพื้นฐานในข้อมูลส่วนบุคคลของเจ้าของข้อมูลส่วนบุคคล
ตามนัย [มาตรา 24](https://link.pdpalawbase.com/section/24.md) (5) ประกอบ [มาตรา 27](https://link.pdpalawbase.com/section/27.md) วรรคหนึ่ง แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562
อย่างไรก็ตาม ในการใช้ฐานทางกฎหมายตาม [มาตรา 24](https://link.pdpalawbase.com/section/24.md) (5) แห่งพระราชบัญญัติคุ้มครอง
ข้อมูลส่วนบุคคล พ.ศ. 2562 ดังกล่าว กยท. ในฐานะผู้ควบคุมข้อมูลส่วนบุคคลควรใช้ความระมัดระวัง
เป็นพิเศษเพื่อคุ้มครองสิทธิขั้นพื้นฐานในข้อมูลส่วนบุคคลของเจ้าของข้อมูลส่วนบุคคลไม่ให้ได้รับผลกระทบ
เกินสมควร โดยควรพิจารณาเปิดเผยข้อมูลส่วนบุคคลเพียงเท่าที่จำเป็นภายใต้วัตถุประสงค์อันชอบด้วย
กฎหมายตามนัย [มาตรา 22](https://link.pdpalawbase.com/section/22.md) และหลีกเลี่ยงการใช้หรือเปิดเผยข้อมูลส่วนบุคคลเกินความคาดหวังปกติในบริบท
ของการดำเนินการที่เกี่ยวข้อง เช่น การเปิดเผยข้อมูลส่วนบุคคลอื่นที่ไม่เกี่ยวข้องกับทรัพย์สินของลูกหนี้
โดยตรง นอกจากนี้ กยท. มีหน้าที่บันทึกการใช้หรือเปิดเผยนั้นไว้ในรายการตาม [มาตรา 39](https://link.pdpalawbase.com/section/39.md) ตามนัย
[มาตรา 27](https://link.pdpalawbase.com/section/27.md) วรรคสาม และมีหน้าที่ดำเนินการเพื่อป้องกันมิให้บุคคลหรือนิติบุคคลอื่นที่ได้รับข้อมูลส่วนบุคคล
ใช้หรือเปิดเผยข้อมูลส่วนบุคคลโดยปราศจากอำนาจหรือโดยมิชอบ ตาม [มาตรา 37](https://link.pdpalawbase.com/section/37.md) (2) ประกอบ
[มาตรา 27](https://link.pdpalawbase.com/section/27.md) วรรคสอง แห่งพระราชบัญญัติดังกล่าวด้วย
อนึ่ง คณะอนุกรรมการตอบข้อหารือฯ มีข้อสังเกตว่า หาก กยท. พิจารณาแล้วได้ดำเนินการ
เปิดเผยข้อมูลส่วนบุคคลตามข้อหารือนี้ และลูกหนี้ซึ่งเป็นเจ้าของข้อมูลส่วนบุคคลไม่เห็นด้วยกับการดำเนินการ
ดังกล่าว เจ้าของข้อมูลส่วนบุคคลย่อมมีสิทธิร้องเรียนต่อคณะกรรมการผู้เชี่ยวชาญตาม [มาตรา 73](https://link.pdpalawbase.com/section/73.md)
แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562

## เอกสารต้นฉบับ

- [PDF ต้นฉบับ (local)](../../raw/opinions/opinion-21-2567.pdf)
- [ที่มา: pdpc.or.th](https://www.pdpc.or.th/wp-content/uploads/2025/10/consultation-56.pdf)

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/opinion/21-2567.md

============================================================
โนด: ข้อหารือ 22/2566
ลิงก์อ้างอิง: https://link.pdpalawbase.com/opinion/22-2566.md

# ข้อหารือที่ 22/2566 เรื่อง สถานีตำรวจภูธร ข. หารือเกี่ยวกับการกระทำความผิดตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562

## ข้อกฎหมาย

1. พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 — [มาตรา 26](https://link.pdpalawbase.com/section/26.md), [มาตรา 27](https://link.pdpalawbase.com/section/27.md), [มาตรา 73](https://link.pdpalawbase.com/section/73.md), [มาตรา 79](https://link.pdpalawbase.com/section/79.md), [มาตรา 80](https://link.pdpalawbase.com/section/80.md) และ [มาตรา 81](https://link.pdpalawbase.com/section/81.md)
2. พระราชบัญญัติบำเหน็จบำนาญข้าราชการส่วนท้องถิ่น พ.ศ. 2500 — มาตรา 12
3. ระเบียบคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลว่าด้วยการยื่น การไม่รับเรื่อง การยุติเรื่อง การพิจารณา และระยะเวลาในการพิจารณาคำร้องเรียน พ.ศ. 2565

## ข้อหารือ

สถานีตำรวจภูธร ข. ขอหารือกรณีผู้เสียหายได้ร้องทุกข์กล่าวโทษต่อพนักงานสอบสวนให้ดำเนินคดีกับนายก อบจ. ก. ปลัด อบจ. ก. และเจ้าหน้าที่อื่นที่เกี่ยวข้อง โดยมีพฤติการณ์สืบเนื่องจากการออกประกาศ อบจ. ก. เรื่อง การพ้นจากราชการของข้าราชการ อบจ. ก. ซึ่งมีอายุครบ 60 ปี · อบจ. ก. ได้มีคำสั่งลงโทษไล่ผู้เสียหายออกจากราชการไว้เป็นการชั่วคราว แต่ศาลปกครอง ค. ได้มีคำสั่งทุเลาการบังคับ

ผู้เสียหายอ้างว่าการกระทำดังกล่าวเป็นการละเมิดผู้เสียหายตาม PDPA ทำให้ได้รับความเสียหาย เป็นการประจานหรือประกาศโฆษณาให้ได้รับความอับอาย เสื่อมเสียชื่อเสียง · สถานีตำรวจภูธร ข. จึงขอหารือว่า การกระทำของผู้ต้องหาดังกล่าวเป็นการกระทำผิดตาม PDPA หรือไม่

## ความเห็น

คณะอนุกรรมการเฉพาะกิจตอบข้อหารือและให้คำแนะนำหน่วยงานของรัฐเพื่อรองรับการบังคับใช้พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ในคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล พิจารณาแล้วเห็นว่า PDPA ได้บัญญัติให้ผู้ควบคุมข้อมูลส่วนบุคคลมีหน้าที่หลายประการ ซึ่งหากผู้ควบคุมข้อมูลส่วนบุคคลมีการฝ่าฝืนหรือไม่ปฏิบัติตาม จะมีความผิดอาญาเฉพาะเรื่องที่มีลักษณะตามความในหมวด 7 ส่วนที่ 1 แห่ง PDPA โดยจะต้องมีองค์ประกอบความผิดตาม [มาตรา 79](https://link.pdpalawbase.com/section/79.md), [มาตรา 80](https://link.pdpalawbase.com/section/80.md) และ [มาตรา 81](https://link.pdpalawbase.com/section/81.md) แล้วแต่กรณี

เช่น การใช้หรือเปิดเผยข้อมูลส่วนบุคคลที่จะเป็นความผิดอาญาตาม [มาตรา 79](https://link.pdpalawbase.com/section/79.md) วรรคหนึ่ง ต้องเกิดขึ้นจาก:
- ผู้ควบคุมข้อมูลส่วนบุคคลได้ใช้หรือเปิดเผยข้อมูลส่วนบุคคลตาม [มาตรา 26](https://link.pdpalawbase.com/section/26.md) (ได้แก่ ข้อมูลส่วนบุคคลเกี่ยวกับเชื้อชาติ ความคิดเห็นทางการเมือง ความเชื่อในศาสนา พฤติกรรมทางเพศ ประวัติอาชญากรรม ข้อมูลสุขภาพ ข้อมูลพันธุกรรม ข้อมูลชีวภาพ ฯลฯ)
- โดยฝ่าฝืนไม่ได้รับความยินยอม และไม่เข้าข้อยกเว้นอื่นตาม [มาตรา 26](https://link.pdpalawbase.com/section/26.md) ประกอบ [มาตรา 27](https://link.pdpalawbase.com/section/27.md) วรรคหนึ่ง
- หรือเป็นกรณีบุคคลที่ได้รับข้อมูลส่วนบุคคลตาม [มาตรา 26](https://link.pdpalawbase.com/section/26.md) มาจากการเปิดเผยของผู้ควบคุมข้อมูล แต่ใช้/เปิดเผยเพื่อวัตถุประสงค์อื่นนอกเหนือจากที่แจ้งไว้ ตามนัย [มาตรา 27](https://link.pdpalawbase.com/section/27.md) วรรคสอง
- โดยประการที่น่าจะทำให้ผู้อื่นเกิดความเสียหาย เสียชื่อเสียง ถูกดูหมิ่น ถูกเกลียดชัง หรือได้รับความอับอาย

หรือกรณีที่ข้อเท็จจริงปรากฏในคดีว่าผู้กระทำความผิดเป็นนิติบุคคล และการกระทำความผิดเกิดจากการสั่งการของกรรมการ/ผู้จัดการ/บุคคลใดซึ่งรับผิดชอบในการดำเนินงานของนิติบุคคลนั้น (หรือละเว้นไม่สั่งการจนเป็นเหตุให้นิติบุคคลกระทำความผิด) ผู้นั้นต้องรับโทษด้วย ตาม [มาตรา 81](https://link.pdpalawbase.com/section/81.md)

ดังนั้น ในกรณีนี้ พนักงานสอบสวนและพนักงานอัยการจึงสามารถพิจารณาข้อเท็จจริงและข้อกฎหมาย องค์ประกอบความผิด และพิจารณาดำเนินการต่อไปตามที่เห็นสมควร

อย่างไรก็ดี **นอกจากกรณีโทษอาญา** PDPA ยังมีกรณีความผิดอันเกิดจากการฝ่าฝืนที่มีโทษทางปกครอง ซึ่งผู้เสียหายสามารถใช้สิทธิร้องเรียนตามบทบัญญัติในหมวด 5 — หากผู้เสียหายได้ยื่นคำร้องเรียนต่อสำนักงาน คคส. ตาม [มาตรา 73](https://link.pdpalawbase.com/section/73.md) ประกอบระเบียบ คคส. ว่าด้วยการยื่น/พิจารณาคำร้องเรียน พ.ศ. 2565 และคณะกรรมการผู้เชี่ยวชาญได้พิจารณาเรื่องร้องเรียนจนได้ข้อสรุปแล้ว พนักงานสอบสวนและพนักงานอัยการสามารถนำข้อสรุปและความเห็นไปพิจารณาประกอบการดำเนินการในคดีอาญาได้

## เอกสารต้นฉบับ

- [PDF ต้นฉบับ (local)](../../raw/opinions/opinion-22-2566.pdf)
- [ที่มา: pdpc.or.th](https://www.pdpc.or.th/wp-content/uploads/2024/02/PDPC-consultation-22.pdf)

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/opinion/22-2566.md

============================================================
โนด: ข้อหารือ 22/2567
ลิงก์อ้างอิง: https://link.pdpalawbase.com/opinion/22-2567.md

# ข้อหารือที่ 22/2567 เรื่อง สำนักงานคณะกรรมการกิจการกระจายเสียง กิจการโทรทัศน์ และกิจการโทรคมนาคมแห่งชาติ ขอหารือกรณีการจัดเก็บรักษาข้อมูลส่วนบุคคลของผู้ให้บริการโทรศัพท์เคลื่อนที่

## ข้อกฎหมาย

_(ไม่ปรากฏหัวข้อข้อกฎหมายในเอกสารต้นฉบับ — ฐานทางกฎหมายที่อ้างถึงใน "ความเห็น" ประกอบด้วย [มาตรา 3](https://link.pdpalawbase.com/section/3.md) และ [มาตรา 6](https://link.pdpalawbase.com/section/6.md) แห่ง PDPA + ประกาศ กสทช. ลงวันที่ 17 ส.ค. 2566 (มาตรการคุ้มครองข้อมูลโทรคมนาคม) + กฎหมายว่าด้วยองค์กรจัดสรรคลื่นความถี่ + กฎหมายว่าด้วยการประกอบกิจการโทรคมนาคม)_

## ข้อหารือ

_(ไม่ปรากฏหัวข้อข้อหารือในเอกสารต้นฉบับ — สรุปจากความเห็น: สำนักงาน กสทช. ขอหารือเกี่ยวกับการจัดเก็บรักษาข้อมูล Call Detail Recording (CDR) ของผู้ให้บริการโทรศัพท์เคลื่อนที่ ว่าเข้าข่ายเป็นข้อมูลส่วนบุคคลตาม PDPA หรือไม่ ระยะเวลาในการเก็บรักษา และความสัมพันธ์ระหว่างประกาศ กสทช. กับ PDPA)_

## ความเห็น

คณะอนุกรรมการตอบข้อหารือและให้คำแนะนำในการปฏิบัติตามกฎหมายว่าด้วยการคุ้มครอง
ข้อมูลส่วนบุคคล ในคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล ได้พิจารณาข้อหารือดังกล่าวแล้ว เห็นว่า
ข้อมูลรายละเอียดข้อมูลการใช้งาน (Call Detail Recording: CDR) เป็นข้อมูลการใช้บริการของผู้ใช้บริการ
โทรคมนาคม ซึ่งทำให้สามารถระบุตัวผู้ใช้บริการนั้นได้ไม่ว่าทางตรงหรือทางอ้อมจากข้อมูลดังกล่าวเอง
หรือจากข้อมูลดังกล่าวประกอบกับข้อมูลอื่นที่ผู้รับใบอนุญาตประกอบกิจการโทรคมนาคมมีหรือสามารถเข้าถึงได้
จึงถือเป็นข้อมูลส่วนบุคคลตามบทนิยามในข้อ 1 ของประกาศคณะกรรมการกิจการโทรคมนาคมแห่งชาติ
เรื่อง มาตรการคุ้มครองสิทธิของผู้ใช้บริการโทรคมนาคมเกี่ยวกับข้อมูลส่วนบุคคล สิทธิในความเป็นส่วนตัว
และเสรีภาพในการสื่อสารถึงกันโดยทางโทรคมนาคม ลงวันที่ 18 พฤษภาคม พ.ศ. 2549 (ปัจจุบันถูกยกเลิก
แล้ว) และถือเป็นข้อมูลส่วนบุคคลของผู้ใช้บริการตามบทนิยามในข้อ 5 ของประกาศคณะกรรมการกิจการ
กระจายเสียง กิจการโทรทัศน์ และกิจการโทรคมนาคมแห่งชาติ เรื่อง มาตรการคุ้มครองสิทธิของผู้ใช้บริการ
โทรคมนาคมเกี่ยวกับข้อมูลส่วนบุคคล สิทธิในความเป็นส่วนตัว และเสรีภาพในการสื่อสารถึงกัน
โดยทางโทรคมนาคม ลงวันที่ 17 สิงหาคม พ.ศ. 2566 (ที่ใช้บังคับอยู่ในปัจจุบัน ณ ขณะที่ตอบข้อหารือ)
และเป็นข้อมูลเกี่ยวกับบุคคลซึ่งทำให้สามารถระบุตัวบุคคลนั้นได้ไม่ว่าทางตรงหรือทางอ้อม ข้อมูล CDR
จึงเป็นข้อมูลส่วนบุคคลตามบทนิยามใน [มาตรา 6](https://link.pdpalawbase.com/section/6.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ด้วย
โดยในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลดังกล่าวนั้น [มาตรา 3](https://link.pdpalawbase.com/section/3.md) แห่งพระราชบัญญัติคุ้มครองข้อมูล
ส่วนบุคคล พ.ศ. 2562 กำหนดว่า ในกรณีที่มีกฎหมายว่าด้วยการใดบัญญัติเกี่ยวกับการคุ้มครองข้อมูลส่วนบุคคล
ในลักษณะใด กิจการใด หรือหน่วยงานใดไว้โดยเฉพาะแล้ว ให้บังคับตามบทบัญญัติแห่งกฎหมายว่าด้วยการนั้น
เว้นแต่ (1) บทบัญญัติเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล และบทบัญญัติเกี่ยวกับสิทธิ
ของเจ้าของข้อมูลส่วนบุคคล รวมทั้งบทกำหนดโทษที่เกี่ยวข้อง ให้บังคับตามบทบัญญัติแห่งพระราชบัญญัตินี้
เป็นการเพิ่มเติม ไม่ว่าจะซ้ำกับบทบัญญัติแห่งกฎหมายว่าด้วยการนั้นหรือไม่ก็ตาม ฯลฯ
เมื่อพิจารณาตามประกาศคณะกรรมการกิจการโทรคมนาคมแห่งชาติ เรื่อง มาตรการคุ้มครองสิทธิ
ของผู้ใช้บริการโทรคมนาคมเกี่ยวกับข้อมูลส่วนบุคคล สิทธิในความเป็นส่วนตัว และเสรีภาพในการสื่อสารถึงกัน
โดยทางโทรคมนาคม ลงวันที่ 18 พฤษภาคม พ.ศ. 2549 (ปัจจุบันถูกยกเลิกแล้ว) และประกาศคณะกรรมการ
กิจการกระจายเสียง กิจการโทรทัศน์ และกิจการโทรคมนาคมแห่งชาติ เรื่อง มาตรการคุ้มครองสิทธิ
ของผู้ใช้บริการโทรคมนาคมเกี่ยวกับข้อมูลส่วนบุคคล สิทธิในความเป็นส่วนตัว และเสรีภาพในการสื่อสารถึงกัน
โดยทางโทรคมนาคม ลงวันที่ 17 สิงหาคม พ.ศ. 2566 (ที่ใช้บังคับอยู่ในปัจจุบัน ณ ขณะที่ตอบข้อหารือ)
ซึ่งออกโดยอาศัยอำนาจตามบทบัญญัติแห่งกฎหมายว่าด้วยองค์กรจัดสรรคลื่นความถี่และกำกับการประกอบกิจการ
วิทยุกระจายเสียง วิทยุโทรทัศน์ และกิจการโทรคมนาคม และกฎหมายว่าด้วยการประกอบกิจการโทรคมนาคม
ได้กำหนดรายละเอียดเกี่ยวกับการคุ้มครองข้อมูลส่วนบุคคลในกิจการโทรคมนาคมไว้โดยเฉพาะแล้ว ซึ่งรวมถึงการ
เก็บรวบรวมและการเก็บรักษาข้อมูลส่วนบุคคลของผู้ใช้บริการโทรคมนาคม โดยมีกำหนดระยะเวลาที่ผู้รับใบอนุญาต
ประกอบกิจการโทรคมนาคมต้องเก็บรักษาข้อมูลส่วนบุคคลของผู้ใช้บริการโทรคมนาคม ดังนั้น การเก็บรวบรวม
การเก็บรักษา และระยะเวลาในการเก็บรักษาข้อมูล CDR ตามข้อหารือนี้ จึงต้องเป็นไปตามประกาศดังกล่าว
เป็นหลักก่อน แล้วจึงพิจารณาข้อกำหนดตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562
เป็นการเพิ่มเติม สำนักงาน กสทช. จึงควรพิจารณากำกับดูแลการดำเนินการของผู้รับใบอนุญาตประกอบ
กิจการโทรคมนาคมในส่วนที่เกี่ยวกับข้อมูล CDR ของผู้ใช้บริการโทรคมนาคมให้เป็นไปตามประกาศดังกล่าว
และอาจพิจารณาทบทวนความเหมาะสมของประกาศดังกล่าวได้ตามความจำเป็นเพื่อให้เป็นไปตามมาตรฐาน
ของสัญญาให้บริการโทรคมนาคมที่เกี่ยวข้องและเป็นการคุ้มครองสิทธิของผู้ใช้บริการโทรคมนาคม

## เอกสารต้นฉบับ

- [PDF ต้นฉบับ (local)](../../raw/opinions/opinion-22-2567.pdf)
- [ที่มา: pdpc.or.th](https://www.pdpc.or.th/wp-content/uploads/2025/11/consultation-57--22-67.pdf)

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/opinion/22-2567.md

============================================================
โนด: ข้อหารือ 23/2566
ลิงก์อ้างอิง: https://link.pdpalawbase.com/opinion/23-2566.md

# ข้อหารือที่ 23/2566 เรื่อง องค์การขนส่งมวลชนกรุงเทพขอหารือเกี่ยวกับการให้ข้อมูลส่วนบุคคลกับประชาชน

## ข้อกฎหมาย

1. พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 — [มาตรา 3](https://link.pdpalawbase.com/section/3.md), [มาตรา 6](https://link.pdpalawbase.com/section/6.md) (บทนิยามคำว่า "ข้อมูลส่วนบุคคล" และ "บุคคล"), [มาตรา 24](https://link.pdpalawbase.com/section/24.md), [มาตรา 26](https://link.pdpalawbase.com/section/26.md) และ [มาตรา 27](https://link.pdpalawbase.com/section/27.md)
2. พระราชบัญญัติข้อมูลข่าวสารของราชการ พ.ศ. 2540 — มาตรา 9, มาตรา 14 และมาตรา 15

## ข้อหารือ

องค์การขนส่งมวลชนกรุงเทพ (ขสมก.) แจ้งว่า เครือข่ายความปลอดภัยทางถนนและคุ้มครองสิทธิประโยชน์ของผู้โดยสารสาธารณะ (เครือข่ายฯ) มีหนังสือถึง ขสมก. ขอใช้สิทธิตรวจสอบข้อมูลและคัดสำเนาเอกสารตาม พ.ร.บ. ข้อมูลข่าวสารของราชการ พ.ศ. 2540 จำนวน 55 เส้นทาง ได้แก่:
1. สำเนาหนังสือยืนยันการเป็นคู่สัญญาเดินรถร่วมกับ ขสมก.
2. สำเนาบันทึกข้อตกลงว่าด้วยความร่วมมือการถ่ายโอนการกำกับดูแลรถโดยสารประจำทาง
3. สำเนาหนังสือถึงนายทะเบียนกลางหรือกรมการขนส่งทางบก เรื่อง ขอยกเลิกใบอนุญาตประกอบการขนส่งประจำทาง

เนื่องจากเอกสารที่เกี่ยวข้องมีทั้งข้อมูลที่เกี่ยวกับบุคคลธรรมดาและนิติบุคคลจำนวนมาก (ชื่อ ฐานะ สถานภาพ อาชีพ การเงิน) จึงขอหารือว่า การที่เครือข่ายฯ จะขอตรวจสอบและคัดสำเนาเอกสารดังกล่าว จะเป็นการขัดต่อ PDPA หรือไม่

## ความเห็น

คณะอนุกรรมการเฉพาะกิจตอบข้อหารือและให้คำแนะนำหน่วยงานของรัฐเพื่อรองรับการบังคับใช้พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ในคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลพิจารณาแล้ว เห็นว่า ขสมก. เป็นหน่วยงานของรัฐตามมาตรา 4 แห่ง พ.ร.บ. ข้อมูลข่าวสารของราชการ พ.ศ. 2540 · ข้อมูลข่าวสารที่อยู่ในความครอบครองของ ขสมก. ในฐานะหน่วยงานของรัฐ จึงเป็นข้อมูลข่าวสารของราชการตาม พ.ร.บ. ข้อมูลข่าวสารฯ ที่ ขสมก. มีหน้าที่ปฏิบัติให้เป็นไปตามพระราชบัญญัติดังกล่าว

โดยในกรณีที่ข้อมูลข่าวสารดังกล่าวเป็นข้อมูลส่วนบุคคลของบุคคลธรรมดาตาม PDPA ด้วยนั้น [มาตรา 3](https://link.pdpalawbase.com/section/3.md) ได้บัญญัติว่า ในกรณีที่มีกฎหมายว่าด้วยการใดบัญญัติเกี่ยวกับการคุ้มครองข้อมูลส่วนบุคคลในลักษณะใด กิจการใด หรือหน่วยงานใดไว้โดยเฉพาะแล้ว ให้บังคับตามบทบัญญัติแห่งกฎหมายว่าด้วยการนั้น เว้นแต่ (1) บทบัญญัติเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลและบทบัญญัติเกี่ยวกับสิทธิของเจ้าของข้อมูลส่วนบุคคล รวมทั้งบทกำหนดโทษที่เกี่ยวข้อง ให้บังคับตามบทบัญญัติแห่ง PDPA เป็นการเพิ่มเติม

ดังนั้น **ขสมก. ในฐานะหน่วยงานของรัฐตามกฎหมายว่าด้วยข้อมูลข่าวสารของราชการ จึงควรพิจารณาดำเนินการให้เป็นไปตาม พ.ร.บ. ข้อมูลข่าวสารฯ และให้ ขสมก. พิจารณาดำเนินการให้เป็นไปตาม PDPA เป็นการเพิ่มเติม** ตามความใน [มาตรา 3](https://link.pdpalawbase.com/section/3.md) (1)

**ข้อสังเกต** มาตรา 9 แห่ง พ.ร.บ. ข้อมูลข่าวสารฯ บัญญัติว่า หน่วยงานของรัฐต้องจัดให้มีข้อมูลข่าวสารของราชการอย่างน้อย ... (6) สัญญาสัมปทาน สัญญาที่มีลักษณะเป็นการผูกขาดตัดตอนหรือสัญญาร่วมทุนกับเอกชนในการจัดทำบริการสาธารณะ ... ไว้ให้ประชาชนเข้าตรวจดูได้ · หากข้อมูลปรากฏข้อมูลส่วนบุคคล ขสมก. ควรพิจารณาชั่งน้ำหนักถึงความโปร่งใส สามารถตรวจสอบได้ และการไม่รุกล้ำสิทธิส่วนบุคคลโดยไม่สมควร

นอกจากนี้ ขสมก. ควรพิจารณาเพิ่มเติมว่า การเปิดเผยข้อมูลส่วนบุคคลให้กับเครือข่ายฯ เป็นการดำเนินการที่ได้รับยกเว้นไม่ต้องขอความยินยอมตาม [มาตรา 24](https://link.pdpalawbase.com/section/24.md) หรือ [มาตรา 26](https://link.pdpalawbase.com/section/26.md) ประกอบ [มาตรา 27](https://link.pdpalawbase.com/section/27.md) วรรคหนึ่ง แห่ง PDPA หรือไม่ เช่น เป็นการปฏิบัติตามกฎหมายของ ขสมก. ในฐานะผู้ควบคุมข้อมูลส่วนบุคคล ตาม [มาตรา 24](https://link.pdpalawbase.com/section/24.md) (6) หรือเป็นการจำเป็นเพื่อการปฏิบัติหน้าที่ในการดำเนินภารกิจเพื่อประโยชน์สาธารณะของ ขสมก. ตาม [มาตรา 24](https://link.pdpalawbase.com/section/24.md) (4)

ส่วน **กรณีการเปิดเผยข้อมูลของนิติบุคคลอื่นตามที่ ขสมก. หารือมา ไม่อยู่ในบังคับของ PDPA** เนื่องจากข้อมูลส่วนบุคคลตามพระราชบัญญัติดังกล่าวครอบคลุมเฉพาะข้อมูลเกี่ยวกับบุคคลธรรมดาซึ่งทำให้สามารถระบุตัวบุคคลนั้นได้ ตาม [มาตรา 6](https://link.pdpalawbase.com/section/6.md) · การเปิดเผยข้อมูลของนิติบุคคลอื่นจึงอยู่นอกหน้าที่และอำนาจของคณะอนุกรรมการเฉพาะกิจตอบข้อหารือฯ · ขสมก. จึงต้องพิจารณาดำเนินการให้เป็นไปตาม พ.ร.บ. ข้อมูลข่าวสารของราชการ พ.ศ. 2540

## เอกสารต้นฉบับ

- [PDF ต้นฉบับ (local)](../../raw/opinions/opinion-23-2566.pdf)
- [ที่มา: pdpc.or.th](https://www.pdpc.or.th/wp-content/uploads/2024/02/PDPC-consultation-23.pdf)

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/opinion/23-2566.md

============================================================
โนด: ข้อหารือ 23/2567
ลิงก์อ้างอิง: https://link.pdpalawbase.com/opinion/23-2567.md

# ข้อหารือที่ 23/2567 เรื่อง สำนักงานเลขาธิการสภาผู้แทนราษฎรขอความอนุเคราะห์ข้อมูล

## ข้อกฎหมาย

_(ไม่ปรากฏหัวข้อข้อกฎหมายในเอกสารต้นฉบับ — ฐานทางกฎหมายที่อ้างถึงใน "ความเห็น" ประกอบด้วย [มาตรา 3](https://link.pdpalawbase.com/section/3.md) (1), [มาตรา 4](https://link.pdpalawbase.com/section/4.md) (4), [มาตรา 24](https://link.pdpalawbase.com/section/24.md), [มาตรา 26](https://link.pdpalawbase.com/section/26.md), [มาตรา 27](https://link.pdpalawbase.com/section/27.md) วรรคหนึ่งและวรรคสอง แห่ง PDPA + กฎหมายว่าด้วยการจดทะเบียนนิติบุคคล + กฎหมายว่าด้วยข้อมูลข่าวสารของราชการ + ประกาศมาตรฐานการรักษาความมั่นคงปลอดภัยฯ 2566)_

## ข้อหารือ

_(ไม่ปรากฏหัวข้อข้อหารือในเอกสารต้นฉบับ — สรุปจากความเห็น: สำนักงานเลขาธิการสภาผู้แทนราษฎรขอหารือกรณีการเปิดเผยข้อมูลการถือหุ้นของบุคคลและรายชื่อผู้ถือหุ้นของนิติบุคคลแก่บุคคลทั่วไป ตาม PDPA)_

## ความเห็น

คณะอนุกรรมการตอบข้อหารือและให้คำแนะนำในการปฏิบัติตามกฎหมายว่าด้วยคุ้มครอง
ข้อมูลส่วนบุคคล ในคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลได้พิจารณาข้อหารือของสำนักงานเลขาธิการสภา
ผู้แทนราษฎร โดยมีผู้แทนสำนักงานเลขาธิการสภาผู้แทนราษฎรเป็นผู้ชี้แจงข้อเท็จจริงแล้ว เห็นว่า
พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 เป็นกฎหมายที่กำหนดหลักเกณฑ์ กลไก หรือมาตรการ
กำกับดูแลเกี่ยวกับการให้ความคุ้มครองข้อมูลส่วนบุคคลที่เป็นหลักการทั่วไป อันเป็นการส่งเสริมให้
การเก็บรวบรวม ใช้ และเปิดเผยข้อมูลส่วนบุคคลมีความเหมาะสม และปัญหาการล่วงละเมิดสิทธิความเป็นส่วนตัว
ของข้อมูลส่วนบุคคลได้รับการแก้ไข ดังนั้น การเปิดเผยข้อมูลการถือหุ้นของบุคคลและข้อมูลรายชื่อผู้ถือหุ้น
ของนิติบุคคลแก่บุคคลทั่วไปสามารถดำเนินการได้หรือไม่ เพียงใด จะต้องพิจารณาจากพระราชบัญญัติคุ้มครอง
ข้อมูลส่วนบุคคล พ.ศ. 2562 ประกอบกับกฎหมายอื่นที่เกี่ยวข้องตาม [มาตรา 3](https://link.pdpalawbase.com/section/3.md) (1) แห่งพระราชบัญญัติ
คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ที่บัญญัติว่า ในกรณีที่มีกฎหมายว่าด้วยการใดบัญญัติเกี่ยวกับ
การคุ้มครองข้อมูลส่วนบุคคลในลักษณะใด กิจการใด หรือหน่วยงานใดไว้โดยเฉพาะแล้ว ให้บังคับตาม
บทบัญญัติแห่งกฎหมายว่าด้วยการนั้น เว้นแต่บทบัญญัติเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูล
ส่วนบุคคล และบทบัญญัติเกี่ยวกับสิทธิของเจ้าของข้อมูลส่วนบุคคล รวมทั้งบทกำหนดโทษที่เกี่ยวข้อง
ให้บังคับตามบทบัญญัติแห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 เป็นการเพิ่มเติม ไม่ว่าจะซ้ำ
กับบทบัญญัติแห่งกฎหมายว่าด้วยการนั้นหรือไม่ก็ตาม ฯลฯ
สำหรับการเปิดเผยข้อมูลการถือหุ้นของบุคคลและข้อมูลรายชื่อผู้ถือหุ้นของนิติบุคคล
แก่บุคคลทั่วไปนั้น หน่วยงานที่เป็นผู้ควบคุมข้อมูลส่วนบุคคลและมีข้อมูลส่วนบุคคลดังกล่าวอยู่ใน
ความครอบครองหรือควบคุมดูแล จะต้องพิจารณาดำเนินการให้เป็นไปตาม [มาตรา 24](https://link.pdpalawbase.com/section/24.md) หรือ [มาตรา 26](https://link.pdpalawbase.com/section/26.md)
ประกอบ [มาตรา 27](https://link.pdpalawbase.com/section/27.md) วรรคหนึ่ง แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 และกฎหมายอื่น
ที่เกี่ยวข้อง โดยในกรณีที่มีกฎหมายเฉพาะกำหนดให้เปิดเผยรายละเอียดการจดทะเบียนห้างหุ้นส่วน
บริษัทจำกัด บริษัทมหาชนจำกัด หรือนิติบุคคลใด ซึ่งรวมถึงข้อมูลการถือหุ้นของบุคคลและข้อมูลรายชื่อ
ผู้ถือหุ้นของนิติบุคคลด้วยนั้น ก็ถือเป็นกรณีการปฏิบัติตามกฎหมายของผู้ควบคุมข้อมูลส่วนบุคคลตาม [มาตรา 24](https://link.pdpalawbase.com/section/24.md) (6)
ประกอบ [มาตรา 27](https://link.pdpalawbase.com/section/27.md) วรรคหนึ่ง แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ซึ่งสามารถเปิดเผย
ข้อมูลส่วนบุคคลได้โดยได้รับยกเว้นไม่ต้องขอความยินยอมจากเจ้าของข้อมูลส่วนบุคคล นอกจากนี้ หากเป็น
หน่วยงานของรัฐตามกฎหมายว่าด้วยข้อมูลข่าวสารของราชการ ก็จะต้องปฏิบัติให้เป็นไปตามกฎหมายดังกล่าวด้วย
แต่หากไม่มีกฎหมายใดกำหนดให้ต้องเปิดเผยข้อมูลการถือหุ้นของบุคคลและข้อมูลรายชื่อผู้ถือหุ้นของนิติบุคคล
ดังกล่าว หน่วยงานที่เป็นผู้ควบคุมข้อมูลส่วนบุคคลจะต้องพิจารณาว่า การเปิดเผยข้อมูลส่วนบุคคลนั้นเป็นการจำเป็น
เพื่อการปฏิบัติหน้าที่ในการดำเนินภารกิจเพื่อประโยชน์สาธารณะของผู้ควบคุมข้อมูลส่วนบุคคล หรือปฏิบัติ
หน้าที่ในการใช้อำนาจรัฐที่ได้มอบให้แก่ผู้ควบคุมข้อมูลส่วนบุคคล ตาม [มาตรา 24](https://link.pdpalawbase.com/section/24.md) (4) ประกอบ [มาตรา 27](https://link.pdpalawbase.com/section/27.md)
วรรคหนึ่ง แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 หรือเป็นการจำเป็นเพื่อประโยชน์
โดยชอบด้วยกฎหมายของผู้ควบคุมข้อมูลส่วนบุคคล หรือของบุคคลหรือนิติบุคคลอื่นที่ไม่ใช่ผู้ควบคุมข้อมูล
ส่วนบุคคล ซึ่งประโยชน์ดังกล่าวมีความสำคัญไม่น้อยกว่าสิทธิขั้นพื้นฐานในข้อมูลส่วนบุคคลของเจ้าของ
ข้อมูลส่วนบุคคล ตาม [มาตรา 24](https://link.pdpalawbase.com/section/24.md) (5) ประกอบ [มาตรา 27](https://link.pdpalawbase.com/section/27.md) วรรคหนึ่ง แห่งพระราชบัญญัติดังกล่าวหรือไม่
แล้วพิจารณาดำเนินการให้เป็นไปตามนั้น
นอกจากนี้ สำหรับการเก็บรวบรวมข้อมูลส่วนบุคคลที่อยู่ในบังคับของพระราชบัญญัติคุ้มครอง
ข้อมูลส่วนบุคคล พ.ศ. 2562 บุคคลหรือนิติบุคคลที่จะดำเนินการเก็บรวมรวมข้อมูลส่วนบุคคลดังกล่าว
โดยได้รับข้อมูลส่วนบุคคลมาจากการเปิดเผยของผู้ควบคุมข้อมูลส่วนบุคคลข้างต้น ก็จะต้องเก็บรวบรวมข้อมูล
ส่วนบุคคลโดยพิจารณาฐานทางกฎหมายตาม [มาตรา 24](https://link.pdpalawbase.com/section/24.md) หรือ [มาตรา 26](https://link.pdpalawbase.com/section/26.md) แห่งพระราชบัญญัตินี้ รวมทั้งจะต้อง
ไม่ใช้หรือเปิดเผยข้อมูลส่วนบุคคลเพื่อวัตถุประสงค์อื่นนอกเหนือจากวัตถุประสงค์ที่ได้แจ้งไว้กับผู้ควบคุมข้อมูล
ส่วนบุคคลในการขอรับข้อมูลส่วนบุคคลนั้น ตามนัย [มาตรา 27](https://link.pdpalawbase.com/section/27.md) วรรคสอง แห่งพระราชบัญญัติเดียวกันด้วย
อนึ่ง หากการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลการถือหุ้นของบุคคลและข้อมูลรายชื่อผู้ถือ
หุ้นของนิติบุคคลดังกล่าว เป็นการดำเนินการในการพิจารณาตามหน้าที่และอำนาจของสภาผู้แทนราษฎร
วุฒิสภา รัฐสภา รวมถึงคณะกรรมาธิการที่แต่งตั้งโดยสภาดังกล่าว ก็ย่อมสามารถกระทำได้โดยได้รับยกเว้น
ตาม [มาตรา 4](https://link.pdpalawbase.com/section/4.md) (4) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 กรณีจึงไม่ต้องปฏิบัติตาม
บทบัญญัติแห่งพระราชบัญญัตินี้ แต่ผู้ควบคุมข้อมูลส่วนบุคคลที่ได้รับยกเว้นการบังคับใช้ตาม [มาตรา 4](https://link.pdpalawbase.com/section/4.md) (4)
ดังกล่าว ยังคงมีหน้าที่ต้องจัดให้มีการรักษาความมั่นคงปลอดภัยของข้อมูลส่วนบุคคลให้เป็นไปตามมาตรฐาน
ตามประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง มาตรฐานการรักษาความมั่นคงปลอดภัยของ
ข้อมูลส่วนบุคคลของผู้ควบคุมข้อมูลส่วนบุคคลซึ่งได้รับการยกเว้นไม่ให้นำพระราชบัญญัติคุ้มครอง
ข้อมูลส่วนบุคคล พ.ศ. 2562 มาใช้บังคับ พ.ศ. 2566 ด้วย นอกจากนี้ หน่วยงานที่จะเปิดเผยข้อมูล
ส่วนบุคคลนั้นให้แก่สภาผู้แทนราษฎร วุฒิสภา รัฐสภา รวมถึงคณะกรรมาธิการที่แต่งตั้งโดยสภาดังกล่าว
จะต้องพิจารณาฐานทางกฎหมายในการเปิดเผยข้อมูลส่วนบุคคลตามพระราชบัญญัตินี้ด้วย

## เอกสารต้นฉบับ

- [PDF ต้นฉบับ (local)](../../raw/opinions/opinion-23-2567.pdf)
- [ที่มา: pdpc.or.th](https://www.pdpc.or.th/wp-content/uploads/2025/11/consultation-58--23-67.pdf)

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/opinion/23-2567.md

============================================================
โนด: ข้อหารือ 24/2566
ลิงก์อ้างอิง: https://link.pdpalawbase.com/opinion/24-2566.md

# ข้อหารือที่ 24/2566 เรื่อง สภาวิชาชีพบัญชีขอหารือการเปิดเผยข้อมูลส่วนบุคคล

## ข้อกฎหมาย

1. พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 — [มาตรา 3](https://link.pdpalawbase.com/section/3.md), [มาตรา 6](https://link.pdpalawbase.com/section/6.md), [มาตรา 21](https://link.pdpalawbase.com/section/21.md), [มาตรา 22](https://link.pdpalawbase.com/section/22.md), [มาตรา 24](https://link.pdpalawbase.com/section/24.md) (4), [มาตรา 27](https://link.pdpalawbase.com/section/27.md) และ [มาตรา 39](https://link.pdpalawbase.com/section/39.md)
2. พระราชบัญญัติวิชาชีพบัญชี พ.ศ. 2547 — มาตรา 6 และมาตรา 7
3. พระราชบัญญัติข้อมูลข่าวสารของราชการ พ.ศ. 2540 — มาตรา 4 และมาตรา 15 (5)

## ข้อหารือ

สภาวิชาชีพบัญชี ซึ่งเป็นหน่วยงานที่จัดตั้งตาม พ.ร.บ. วิชาชีพบัญชี พ.ศ. 2547 ขอหารือเกี่ยวกับการเปิดเผยข้อมูลส่วนบุคคลของผู้สอบบัญชีรับอนุญาตตาม PDPA ใน 3 ประเด็น:

1. สามารถเปิดเผยข้อมูลชื่อ-สกุล เลขทะเบียนใบอนุญาต และสถานะใบอนุญาตของผู้สอบบัญชีรับอนุญาตทุกรายบนเว็บไซต์ของสภาฯ + ให้ข้อมูลสถานะทางโทรศัพท์ โดยไม่ต้องขอความยินยอม ได้หรือไม่
2. กรณีที่ไม่สามารถปฏิบัติตามความเห็นเดิมของคณะอนุกรรมการตอบข้อหารือตามกฎหมายข้อมูลข่าวสารของราชการได้อีก สภาฯ จะต้องดำเนินการอย่างไรเพื่อให้เป็นไปตาม PDPA
3. เปิดเผยข้อมูลในคำสั่งลงโทษการประพฤติผิดจรรยาบรรณของผู้ประกอบวิชาชีพบัญชีบนเว็บไซต์ของสภาฯ เพื่อให้ประชาชนใช้ความระมัดระวังในการว่าจ้าง ทำได้หรือไม่

## ความเห็น

คณะอนุกรรมการเฉพาะกิจตอบข้อหารือและให้คำแนะนำหน่วยงานของรัฐเพื่อรองรับการบังคับใช้พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ในคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล พิจารณาประเด็นข้อหารือดังกล่าวแล้วมีความเห็น ดังนี้

**ประเด็นหารือที่ 1** สภาวิชาชีพบัญชีเป็นนิติบุคคลซึ่งมีวัตถุประสงค์เพื่อส่งเสริมและพัฒนาวิชาชีพบัญชี ตามมาตรา 6 แห่ง พ.ร.บ. วิชาชีพบัญชี พ.ศ. 2547 และมีอำนาจหน้าที่ตัดสินใจเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลตามอำนาจหน้าที่ในมาตรา 7 · สภาวิชาชีพบัญชีจึงถือเป็นผู้ควบคุมข้อมูลส่วนบุคคลตาม [มาตรา 6](https://link.pdpalawbase.com/section/6.md) แห่ง PDPA และในขณะเดียวกัน เป็นหน่วยงานของรัฐตาม พ.ร.บ. ข้อมูลข่าวสารฯ — อยู่ภายใต้บังคับ 2 ฉบับ

ตาม [มาตรา 3](https://link.pdpalawbase.com/section/3.md) (1) แห่ง PDPA สภาฯ ต้องบังคับตาม พ.ร.บ. ข้อมูลข่าวสารฯ และ PDPA เป็นการเพิ่มเติม · การที่สภาฯ เก็บรวบรวมข้อมูลส่วนบุคคลของผู้สอบบัญชีรับอนุญาต เพื่อดำเนินการตามวัตถุประสงค์และอำนาจหน้าที่ตาม พ.ร.บ. วิชาชีพบัญชี ถือเป็นการจำเป็นเพื่อการปฏิบัติหน้าที่ในการดำเนินภารกิจเพื่อประโยชน์สาธารณะของผู้ควบคุมข้อมูลส่วนบุคคล หรือปฏิบัติหน้าที่ในการใช้อำนาจรัฐที่ได้มอบให้ — **เก็บรวบรวมโดยได้รับยกเว้นไม่ต้องขอความยินยอมตาม [มาตรา 24](https://link.pdpalawbase.com/section/24.md) (4) แห่ง PDPA**

สภาฯ จึงสามารถใช้หรือเปิดเผยข้อมูลชื่อ-สกุล เลขทะเบียนใบอนุญาต และสถานะใบอนุญาตของผู้สอบบัญชีรับอนุญาตทุกรายบนเว็บไซต์ + ให้ข้อมูลสถานะทางโทรศัพท์ โดยได้รับยกเว้นไม่ต้องขอความยินยอมตามนัย [มาตรา 27](https://link.pdpalawbase.com/section/27.md) วรรคหนึ่ง · **แต่สภาฯ ต้องบันทึกการใช้/เปิดเผยไว้ในรายการ (Record of Processing Activities) ตาม [มาตรา 39](https://link.pdpalawbase.com/section/39.md)** ตามนัย [มาตรา 27](https://link.pdpalawbase.com/section/27.md) วรรคสาม

ทั้งนี้ การเปิดเผยต้องกระทำเท่าที่จำเป็นภายใต้วัตถุประสงค์อันชอบด้วยกฎหมาย ที่ได้แจ้งเจ้าของข้อมูลไว้ก่อน/ในขณะที่เก็บรวบรวม ตาม [มาตรา 22](https://link.pdpalawbase.com/section/22.md) ประกอบ [มาตรา 21](https://link.pdpalawbase.com/section/21.md) · นอกจากนี้ สภาฯ อาจพิจารณาเปิดเผยข้อมูลส่วนบุคคลต่อผู้ร้องขอเป็นการเฉพาะราย โดยให้บริการตรวจสอบผ่านระบบสารสนเทศที่ให้สืบค้นตามเงื่อนไข จะเป็นการเหมาะสมกว่าการเปิดเผยทั้งหมดในภาพรวมผ่านเว็บไซต์เป็นการทั่วไป

สำหรับการเปิดเผย**หมายเลขโทรศัพท์และที่อยู่**ของผู้สอบบัญชีรับอนุญาตทุกรายบนเว็บไซต์ของสภาฯ — แม้จะเก็บรวบรวมโดยฐาน [มาตรา 24](https://link.pdpalawbase.com/section/24.md) (4) และสามารถใช้/เปิดเผยได้โดยได้รับยกเว้นตาม [มาตรา 27](https://link.pdpalawbase.com/section/27.md) วรรคหนึ่ง · **แต่สภาฯ ต้องดำเนินการเท่าที่จำเป็นตามอำนาจหน้าที่เพื่อการตรวจสอบสถานะของผู้สอบบัญชี** เพื่อไม่ให้เป็นการละเมิดสิทธิของเจ้าของข้อมูลโดยไม่สมควร — หากจะเปิดเผยส่วนที่ไม่จำเป็น **ก็ต้องได้รับความยินยอมจากเจ้าของข้อมูลก่อน** (พ้องกับความเห็นของคณะอนุกรรมการตอบข้อหารือฯ ตามกฎหมายข้อมูลข่าวสารของราชการ)

**ประเด็นหารือที่ 2** เมื่อความเห็นในประเด็นที่ 1 ไปในทางเดียวกับคณะอนุกรรมการตอบข้อหารือฯ ตามกฎหมายข้อมูลข่าวสารฯ คณะอนุกรรมการเฉพาะกิจตอบข้อหารือฯ จึงไม่ต้องให้ความเห็นในประเด็นนี้

**ประเด็นหารือที่ 3** สภาวิชาชีพบัญชีต้องพิจารณาดำเนินการอย่างเหมาะสม โดยคำนึงถึงการปฏิบัติหน้าที่ตามกฎหมายของสภาฯ เพื่อประโยชน์สาธารณะและประโยชน์ของเอกชนที่เกี่ยวข้องประกอบกัน รวมถึงต้องดำเนินการเท่าที่จำเป็น เพื่อมิให้เป็นการละเมิดหรือรุกล้ำสิทธิส่วนบุคคลโดยไม่สมควร

ดังนั้น **การเปิดเผยข้อมูลรายละเอียดในคำสั่งลงโทษจรรยาบรรณของผู้ประกอบวิชาชีพบัญชีไว้บนเว็บไซต์ของสภาฯ เป็นการทั่วไป จึงอาจเป็นการละเมิดหรือรุกล้ำสิทธิส่วนบุคคลโดยไม่สมควร** · อย่างไรก็ตาม ประชาชนหรือผู้เกี่ยวข้องยังอาจขอใช้สิทธิเข้าตรวจดูข้อมูลข่าวสารดังกล่าวเป็นรายกรณีกับสภาวิชาชีพบัญชีตาม พ.ร.บ. ข้อมูลข่าวสารของราชการ พ.ศ. 2540 ได้

## เอกสารต้นฉบับ

- [PDF ต้นฉบับ (local)](../../raw/opinions/opinion-24-2566.pdf)
- [ที่มา: pdpc.or.th](https://www.pdpc.or.th/wp-content/uploads/2024/02/PDPC-consultation-24.pdf)

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/opinion/24-2566.md

============================================================
โนด: ข้อหารือ 25/2566
ลิงก์อ้างอิง: https://link.pdpalawbase.com/opinion/25-2566.md

# ข้อหารือที่ 25/2566 เรื่อง สหกรณ์ออมทรัพย์ ผ. ขอหารือเกี่ยวกับการให้ข้อมูลของสมาชิก

## ข้อกฎหมาย

1. พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 — [มาตรา 22](https://link.pdpalawbase.com/section/22.md), [มาตรา 23](https://link.pdpalawbase.com/section/23.md), [มาตรา 24](https://link.pdpalawbase.com/section/24.md) และ [มาตรา 27](https://link.pdpalawbase.com/section/27.md)

## ข้อหารือ

สหกรณ์ออมทรัพย์ ผ. (สหกรณ์ฯ) ขอหารือว่า สหกรณ์ฯ สามารถให้ข้อมูลรายชื่อสมาชิกทั้งหมด พร้อมทั้งที่อยู่และหมายเลขโทรศัพท์ของสมาชิกแก่สมาชิกของสหกรณ์ฯ ที่ประสงค์จะสมัครเข้ารับการสรรหาเป็นประธานกรรมการ เพื่อใช้เป็นข้อมูลในการวางแผนพบปะสมาชิกในการสมัครเข้ารับการสรรหาเพื่อรับการเลือกตั้งเป็นประธานกรรมการของสหกรณ์ฯ ได้หรือไม่ อย่างไร

## ความเห็น

คณะกรรมการคุ้มครองข้อมูลส่วนบุคคล โดยคณะอนุกรรมการเฉพาะกิจตอบข้อหารือและให้คำแนะนำหน่วยงานของรัฐเพื่อรองรับการบังคับใช้พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ได้พิจารณาข้อหารือแล้วเห็นว่า เมื่อสหกรณ์ฯ ซึ่งมีฐานะเป็นผู้ควบคุมข้อมูลส่วนบุคคลได้เก็บรวบรวมข้อมูลส่วนบุคคล (ชื่อ ที่อยู่ และหมายเลขโทรศัพท์ของสมาชิก) โดยมีวัตถุประสงค์เพื่อใช้ในการรับสมัครสมาชิก การให้บริการและดำเนินการต่าง ๆ ให้กับสมาชิก การให้กู้ยืมเงินและการรับฝากเงิน และการดำเนินงานที่เกี่ยวข้องกับวัตถุประสงค์และอำนาจของสหกรณ์ ตามข้อบังคับของสหกรณ์ฯ — **การใช้และเปิดเผยข้อมูลส่วนบุคคลดังกล่าวจะต้องเป็นไปตามวัตถุประสงค์ของการเก็บรวบรวมนั้น**

การที่สมาชิกที่ประสงค์จะสมัครเข้ารับการสรรหาเป็นประธานกรรมการของสหกรณ์ฯ จะขอให้เปิดเผยข้อมูลส่วนบุคคลดังกล่าว เพื่อใช้เป็นข้อมูลในการวางแผนพบปะสมาชิกในการสมัครเข้ารับการสรรหา **ย่อมเป็นการนำไปใช้นอกเหนือวัตถุประสงค์ของการเก็บรวบรวมข้อมูลส่วนบุคคลแต่แรก** ดังนั้น **สหกรณ์ฯ จึงไม่สามารถเปิดเผยข้อมูลส่วนบุคคลของสมาชิกแก่ผู้ที่ประสงค์จะสมัครเข้ารับการสรรหาเป็นประธานกรรมการของสหกรณ์ฯ ได้ โดยไม่ได้รับความยินยอมจากสมาชิกในฐานะเจ้าของข้อมูลส่วนบุคคล ตาม [มาตรา 24](https://link.pdpalawbase.com/section/24.md) ประกอบ [มาตรา 27](https://link.pdpalawbase.com/section/27.md)**

อย่างไรก็ดี หากสหกรณ์ฯ เห็นว่าการใช้ข้อมูลส่วนบุคคลของสมาชิกในการติดต่อสื่อสารกับสมาชิกหรือประชาสัมพันธ์เรื่องที่เกี่ยวข้องกับการดำเนินงานของสหกรณ์ให้สมาชิกทราบ อยู่ในขอบเขตวัตถุประสงค์ของการเก็บรวบรวมข้อมูลส่วนบุคคลของสหกรณ์ฯ · สหกรณ์ฯ อาจพิจารณา**ติดต่อสื่อสารกับสมาชิกหรือประชาสัมพันธ์ให้สมาชิกทราบข่าวสารเกี่ยวกับการสรรหาหรือผู้สมัครเข้ารับการสรรหาเป็นประธานกรรมการหรือกรรมการของสหกรณ์ฯ โดยตรงได้ โดยไม่มีการเปิดเผยข้อมูลส่วนบุคคลให้กับผู้สมัครรายใด** โดยไม่ได้รับความยินยอมจากสมาชิก

นอกจากนี้ เพื่อให้เป็นไปตาม PDPA ในการเก็บรวบรวมข้อมูลส่วนบุคคล สหกรณ์ฯ จะต้องแจ้งให้เจ้าของข้อมูลส่วนบุคคลทราบวัตถุประสงค์และรายละเอียดตาม [มาตรา 23](https://link.pdpalawbase.com/section/23.md) ก่อนหรือในขณะเก็บรวบรวมข้อมูลส่วนบุคคล (เว้นแต่เจ้าของข้อมูลส่วนบุคคลได้ทราบถึงรายละเอียดนั้นอยู่แล้ว) และสหกรณ์ฯ จะเก็บรวบรวมข้อมูลส่วนบุคคลได้เท่าที่จำเป็นภายใต้วัตถุประสงค์อันชอบด้วยกฎหมายของสหกรณ์ฯ ตาม [มาตรา 22](https://link.pdpalawbase.com/section/22.md)

## เอกสารต้นฉบับ

- [PDF ต้นฉบับ (local)](../../raw/opinions/opinion-25-2566.pdf)
- [ที่มา: pdpc.or.th](https://www.pdpc.or.th/wp-content/uploads/2024/02/PDPC-consultation-25.pdf)

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/opinion/25-2566.md

============================================================
โนด: ข้อหารือ 26/2566
ลิงก์อ้างอิง: https://link.pdpalawbase.com/opinion/26-2566.md

# ข้อหารือที่ 26/2566 เรื่อง สำนักงานส่งเสริมวิสาหกิจขนาดกลางและขนาดย่อมขอหารือในประเด็นเกี่ยวกับการคุ้มครองข้อมูลส่วนบุคคล

## ข้อกฎหมาย

1. พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 — [มาตรา 5](https://link.pdpalawbase.com/section/5.md), [มาตรา 6](https://link.pdpalawbase.com/section/6.md), [มาตรา 28](https://link.pdpalawbase.com/section/28.md), [มาตรา 29](https://link.pdpalawbase.com/section/29.md), [มาตรา 41](https://link.pdpalawbase.com/section/41.md) และ [มาตรา 42](https://link.pdpalawbase.com/section/42.md)
2. พระราชบัญญัติส่งเสริมวิสาหกิจขนาดกลางและขนาดย่อม พ.ศ. 2543 ซึ่งแก้ไขเพิ่มเติมโดยพระราชบัญญัติส่งเสริมวิสาหกิจขนาดกลางและขนาดย่อม (ฉบับที่ 2) พ.ศ. 2561 — มาตรา 16

## ข้อหารือ

สำนักงานส่งเสริมวิสาหกิจขนาดกลางและขนาดย่อม (สสว.) ขอหารือเกี่ยวกับข้อมูลส่วนบุคคล เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล ผู้ควบคุมข้อมูลส่วนบุคคล และการร่วมลงนามในข้อตกลงการเป็นผู้ควบคุมข้อมูลส่วนบุคคลร่วมของเว็บไซต์ ASEAN Access เพื่อปฏิบัติตามกฎหมาย GDPR ของสหภาพยุโรป ดังนี้:

1. ข้อมูลผู้ประกอบการที่เป็นบุคคลธรรมดา ถือเป็นข้อมูลส่วนบุคคลภายใต้ PDPA หรือไม่
2. DPO ต้องมีคุณสมบัติอย่างไร · บุคคลภายนอกหรือภายในองค์กร ข้อดี/ข้อเสียอย่างไร · จำเป็นต้องตั้งส่วนงานเฉพาะหรือไม่
3. ผู้ควบคุมข้อมูล หมายถึงตัวนิติบุคคล/องค์กรใช่หรือไม่ · จำเป็นต้องแต่งตั้งบุคคลธรรมดาเพื่อกระทำการแทนหรือไม่ คุณสมบัติอย่างไร
4. คำแนะนำในการลงนามในข้อตกลง GDPR Joint Controller Agreement of ASEAN Access

## ความเห็น

**ประเด็นหารือที่ 1** [มาตรา 6](https://link.pdpalawbase.com/section/6.md) กำหนดว่า "ข้อมูลส่วนบุคคล" = ข้อมูลเกี่ยวกับบุคคลซึ่งทำให้สามารถระบุตัวบุคคลนั้นได้ไม่ว่าทางตรงหรือทางอ้อม แต่ไม่รวมถึงข้อมูลของผู้ถึงแก่กรรมโดยเฉพาะ และ "บุคคล" = บุคคลธรรมดา · **ดังนั้น ข้อมูลผู้ประกอบการบุคคลธรรมดา (ไม่ใช่นิติบุคคล) ที่ทำให้ระบุตัวบุคคลได้ ถือเป็นข้อมูลส่วนบุคคลภายใต้ PDPA**

**ประเด็นหารือที่ 2** [มาตรา 41](https://link.pdpalawbase.com/section/41.md) กำหนดกรณีที่ต้องจัดให้มี DPO: (1) เป็นหน่วยงานของรัฐตามที่ คคส. ประกาศ (2) กิจกรรมที่ต้องตรวจสอบข้อมูลส่วนบุคคลสม่ำเสมอเพราะมีข้อมูลจำนวนมาก (3) กิจกรรมหลักเป็นการเก็บรวบรวมข้อมูลตาม [มาตรา 26](https://link.pdpalawbase.com/section/26.md) · DPO ควรมีความรู้ความเชี่ยวชาญด้านกฎหมายคุ้มครองข้อมูลส่วนบุคคล มาตรการความมั่นคงปลอดภัย และเข้าใจบริบทการเก็บ/ใช้/เปิดเผยขององค์กร · [มาตรา 41](https://link.pdpalawbase.com/section/41.md) วรรคเจ็ดอนุญาตให้ DPO เป็นพนักงานภายในหรือผู้รับจ้าง (Outsourced DPO) ก็ได้

[มาตรา 42](https://link.pdpalawbase.com/section/42.md) วรรคสองกำหนดให้ผู้ควบคุมข้อมูล/ผู้ประมวลผลต้องสนับสนุนการปฏิบัติหน้าที่ของ DPO โดยจัดเครื่องมือ อำนวยความสะดวกในการเข้าถึงข้อมูล และจะให้ DPO ออกจากงาน/เลิกสัญญาด้วยเหตุที่ DPO ปฏิบัติหน้าที่ตาม PDPA ไม่ได้ · ในกรณีมีปัญหา DPO ต้องสามารถรายงานต่อผู้บริหารสูงสุดได้โดยตรง · การจัดตั้งส่วนงานเฉพาะ DPO หรือมอบหมายให้ส่วนงานที่มีอยู่ — เป็นเรื่องภายในองค์กร

**ประเด็นหารือที่ 3** ตาม [มาตรา 6](https://link.pdpalawbase.com/section/6.md) หากองค์กรนิติบุคคลมีอำนาจตัดสินใจเกี่ยวกับการเก็บ/ใช้/เปิดเผยข้อมูล องค์กรดังกล่าวจะถือเป็นผู้ควบคุมข้อมูลส่วนบุคคล โดย**ไม่ต้องมีการแต่งตั้งบุคคลใดเพื่อปฏิบัติหน้าที่เป็นผู้ควบคุมข้อมูลอีก** · ส่วนงาน/พนักงาน/บุคลากรจะไม่มีสถานะเป็นผู้ควบคุม/ผู้ประมวลผลแยกต่างหากจากองค์กร · ดังนั้น สสว. (นิติบุคคลตาม พ.ร.บ. ส่งเสริมวิสาหกิจฯ) จึงเป็นผู้ควบคุมข้อมูลส่วนบุคคลตาม PDPA

**ประเด็นหารือที่ 4** [มาตรา 5](https://link.pdpalawbase.com/section/5.md) ใช้บังคับกับผู้ควบคุม/ผู้ประมวลผลซึ่งอยู่ในราชอาณาจักร ไม่ว่าการเก็บ/ใช้/เปิดเผยจะกระทำในหรือนอกราชอาณาจักร · สสว. ในฐานะนิติบุคคลในราชอาณาจักร ดำเนินการเก็บข้อมูลผู้ประกอบการจากประเทศสมาชิกอาเซียน จึงเป็นผู้ควบคุมข้อมูลที่อยู่ในประเทศไทย ต้องปฏิบัติตาม PDPA

PDPA นำหลักเกณฑ์จาก GDPR มาใช้แต่มิได้บัญญัติทั้งหมด เช่น **กรณี Joint Controller ไม่มีบัญญัติใน PDPA** · การที่ สสว. ลงนามใน GDPR Joint Controller Agreement of ASEAN Access จำเป็นต้องศึกษาบริบทกฎหมาย EU หรือกฎหมายของประเทศที่ต้องการให้ข้อตกลงมีผล · ในกรณีที่เข้า [มาตรา 5](https://link.pdpalawbase.com/section/5.md) ต้องเก็บ/ใช้/เปิดเผยตาม PDPA โดยเฉพาะกรณีส่ง/โอนข้อมูลไปต่างประเทศต้องตาม [มาตรา 28](https://link.pdpalawbase.com/section/28.md) หรือ [มาตรา 29](https://link.pdpalawbase.com/section/29.md)

ภายใต้บริบท PDPA Joint Controller Agreement อาจมีสภาพบังคับระหว่างคู่สัญญาในฐานะตัวการร่วมตามประมวลกฎหมายแพ่งและพาณิชย์ · สสว. อาจพิจารณานำแนวทาง ICO Data Sharing: a Code of Practice ของ UK ICO (https://ico.org.uk/) มาเป็นแนวทาง

## เอกสารต้นฉบับ

- [PDF ต้นฉบับ (local)](../../raw/opinions/opinion-26-2566.pdf)
- [ที่มา: pdpc.or.th](https://www.pdpc.or.th/wp-content/uploads/2024/02/PDPC-consultation-26.pdf)

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/opinion/26-2566.md

============================================================
โนด: ข้อหารือ 27/2566
ลิงก์อ้างอิง: https://link.pdpalawbase.com/opinion/27-2566.md

# ข้อหารือที่ 27/2566 เรื่อง สำนักการระบายน้ำ กรุงเทพมหานคร หารือการขอข้อมูลผู้ใช้น้ำของการประปานครหลวง เพื่อจัดเก็บค่าธรรมเนียมบำบัดน้ำเสีย

## ข้อกฎหมาย

1. พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 — [มาตรา 6](https://link.pdpalawbase.com/section/6.md), [มาตรา 19](https://link.pdpalawbase.com/section/19.md), [มาตรา 22](https://link.pdpalawbase.com/section/22.md), [มาตรา 23](https://link.pdpalawbase.com/section/23.md), [มาตรา 24](https://link.pdpalawbase.com/section/24.md), [มาตรา 25](https://link.pdpalawbase.com/section/25.md), [มาตรา 26](https://link.pdpalawbase.com/section/26.md), [มาตรา 27](https://link.pdpalawbase.com/section/27.md), [มาตรา 37](https://link.pdpalawbase.com/section/37.md) (1), [มาตรา 39](https://link.pdpalawbase.com/section/39.md) และ [มาตรา 95](https://link.pdpalawbase.com/section/95.md)
2. พระราชบัญญัติการบริหารงานและการให้บริการภาครัฐผ่านระบบดิจิทัล พ.ศ. 2562 — มาตรา 16
3. พระราชบัญญัติการประปานครหลวง พ.ศ. 2510 และที่แก้ไขเพิ่มเติม — มาตรา 6
4. ประกาศกรุงเทพมหานคร เรื่อง การแบ่งส่วนราชการฯ (ฉบับที่ 101) ลงวันที่ 15 พฤษภาคม 2561 ข้อ 18 (7)
5. ข้อบัญญัติกรุงเทพมหานคร เรื่อง การจัดเก็บค่าธรรมเนียมบำบัดน้ำเสีย พ.ศ. 2547 และ (ฉบับที่ 2) พ.ศ. 2562 — ข้อ 5 และข้อ 6/1

## ข้อหารือ

สำนักการระบายน้ำ กรุงเทพมหานคร ขอหารือว่า กทม. จำเป็นต้องขอข้อมูลปริมาณการใช้น้ำรายเดือน และข้อมูลผู้ใช้น้ำรายใหม่ จาก กปน. เพื่อใช้ในการจัดเก็บค่าธรรมเนียมบำบัดน้ำเสีย หาก กทม. ยังไม่ได้รับความยินยอมจากเจ้าของข้อมูลส่วนบุคคล อาจจะเป็นการฝ่าฝืน [มาตรา 19](https://link.pdpalawbase.com/section/19.md) และ [มาตรา 27](https://link.pdpalawbase.com/section/27.md) หรือไม่ และเข้าข้อยกเว้น [มาตรา 24](https://link.pdpalawbase.com/section/24.md) หรือมาตราใดหรือไม่ · ทั้งนี้อ้างถึง พ.ร.บ. การบริหารงานและการให้บริการภาครัฐผ่านระบบดิจิทัล พ.ศ. 2562 มาตรา 13 และมาตรา 16 ที่ให้หน่วยงานของรัฐเชื่อมโยงและแลกเปลี่ยนข้อมูลดิจิทัลได้

## ความเห็น

มาตรา 16 แห่ง พ.ร.บ. การบริหารงานและการให้บริการภาครัฐผ่านระบบดิจิทัล ระบุชัดเจนว่าการเชื่อมโยงและแลกเปลี่ยนข้อมูลส่วนบุคคลระหว่างหน่วยงานของรัฐต้อง**ภายใต้บทบัญญัติแห่งกฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคล** · ดังนั้น กทม. ต้องพิจารณาให้การดำเนินการเป็นไปตาม PDPA ด้วย

กทม. ในฐานะนิติบุคคลซึ่งมีอำนาจตัดสินใจเกี่ยวกับการเก็บ/ใช้/เปิดเผยข้อมูลส่วนบุคคล จึงเป็นผู้ควบคุมข้อมูลส่วนบุคคลตามนัย [มาตรา 6](https://link.pdpalawbase.com/section/6.md) · การเก็บรวบรวมข้อมูลส่วนบุคคลดังกล่าวถือเป็นการเก็บรวบรวมจากแหล่งอื่นที่ไม่ใช่จากเจ้าของข้อมูลโดยตรงตามนัย [มาตรา 25](https://link.pdpalawbase.com/section/25.md) · ตาม [มาตรา 19](https://link.pdpalawbase.com/section/19.md) วรรคหนึ่ง ผู้ควบคุมข้อมูลส่วนบุคคลจะกระทำการเก็บ/ใช้/เปิดเผยข้อมูลส่วนบุคคลไม่ได้หากเจ้าของข้อมูลไม่ได้ให้ความยินยอม เว้นแต่ PDPA หรือกฎหมายอื่นบัญญัติให้กระทำได้

**กทม. (สำนักการระบายน้ำฯ)** ในฐานะหน่วยงานของรัฐ มีหน้าที่ในการบริหารจัดการคุณภาพน้ำในพื้นที่ กทม. รวมทั้งรวบรวมน้ำเสียจากแหล่งกำเนิดมาบำบัด ตามประกาศ กทม. + ข้อบัญญัติ กทม. ว่าด้วยการจัดเก็บค่าธรรมเนียมบำบัดน้ำเสีย · ซึ่งเป็นภารกิจเพื่อประโยชน์สาธารณะ · หาก กทม. เห็นว่าการเก็บรวบรวมข้อมูลปริมาณการใช้น้ำเป็นการจำเป็นเพื่อการปฏิบัติหน้าที่ตามอำนาจหน้าที่ที่กำหนดในกฎหมาย เพื่อบรรลุวัตถุประสงค์เกี่ยวกับการบำบัดน้ำเสียและจัดเก็บค่าธรรมเนียม **กทม. สามารถดำเนินการได้โดยไม่ต้องขอความยินยอม ตามนัย [มาตรา 19](https://link.pdpalawbase.com/section/19.md) วรรคหนึ่ง ประกอบ [มาตรา 24](https://link.pdpalawbase.com/section/24.md) (4) และ [มาตรา 27](https://link.pdpalawbase.com/section/27.md) วรรคหนึ่ง** · รวมทั้งสามารถเก็บรวบรวมจากแหล่งอื่น (เช่น จาก กปน.) ได้โดยไม่ต้องได้รับความยินยอม ตามนัย [มาตรา 25](https://link.pdpalawbase.com/section/25.md) วรรคหนึ่ง (2) · แต่ต้องเก็บอย่างจำกัด เท่าที่จำเป็นตาม [มาตรา 22](https://link.pdpalawbase.com/section/22.md)

**กปน.** ในฐานะนิติบุคคลซึ่งมีอำนาจหน้าที่ตัดสินใจเกี่ยวกับข้อมูลส่วนบุคคล (ผู้ใช้น้ำ) เป็นผู้ควบคุมข้อมูลส่วนบุคคลตาม [มาตรา 6](https://link.pdpalawbase.com/section/6.md) · หาก กปน. พิจารณาเห็นว่าข้อมูลที่ กทม. ร้องขอเข้าข้อยกเว้นไม่ต้องขอความยินยอมตามนัย [มาตรา 19](https://link.pdpalawbase.com/section/19.md) วรรคหนึ่ง ประกอบ [มาตรา 24](https://link.pdpalawbase.com/section/24.md) และ [มาตรา 27](https://link.pdpalawbase.com/section/27.md) วรรคหนึ่ง กปน. ก็เปิดเผยข้อมูลได้ · ต้อง**บันทึกการใช้/เปิดเผยตาม [มาตรา 39](https://link.pdpalawbase.com/section/39.md)** ตามนัย [มาตรา 27](https://link.pdpalawbase.com/section/27.md) วรรคสาม · และต้องแจ้งเจ้าของข้อมูลตาม [มาตรา 23](https://link.pdpalawbase.com/section/23.md) (รวมประเภทของหน่วยงานที่ข้อมูลอาจถูกเปิดเผยให้ เช่น กทม.)

สำหรับข้อมูลที่ กปน. เก็บไว้ก่อน PDPA ใช้บังคับ — บทเฉพาะกาล [มาตรา 95](https://link.pdpalawbase.com/section/95.md) ครอบเฉพาะกรณีต้องขอความยินยอม · ไม่ครอบกรณีที่ได้รับยกเว้นตาม [มาตรา 24](https://link.pdpalawbase.com/section/24.md) (4)

กทม. และ กปน. ต้องปฏิบัติหน้าที่ตาม PDPA + กฎหมายอื่นให้ครบ โดยเฉพาะ [มาตรา 37](https://link.pdpalawbase.com/section/37.md) (1) มาตรการความมั่นคงปลอดภัย · ควร**จัดทำ Data Sharing Agreement** ระหว่างผู้ควบคุมข้อมูล 2 หน่วยงาน อย่างชัดเจน (วัตถุประสงค์ วิธีการ เงื่อนไข หน้าที่ความรับผิดชอบของแต่ละฝ่าย)

**ข้อสังเกตเพิ่มเติม**: กทม. อาจพิจารณาให้ กปน. เป็นผู้ส่งบัญชีรายการค่าบำบัดน้ำเสียโดยมีข้อมูลผู้ใช้น้ำ + ปริมาณการใช้น้ำ เพื่อใช้คำนวณและเรียกเก็บค่าธรรมเนียมโดย กปน. ทดแทนการขอข้อมูลของผู้ใช้น้ำมาที่ กทม. โดยตรง — หากอยู่ในวัตถุประสงค์และอำนาจหน้าที่ของแต่ละหน่วยงานที่กฎหมายอนุญาต จะลดปัญหาในการจัดการข้อมูลส่วนบุคคล

## เอกสารต้นฉบับ

- [PDF ต้นฉบับ (local)](../../raw/opinions/opinion-27-2566.pdf)
- [ที่มา: pdpc.or.th](https://www.pdpc.or.th/wp-content/uploads/2024/02/PDPC-consultation-27.pdf)

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/opinion/27-2566.md

============================================================
โนด: ข้อหารือ 28/2566
ลิงก์อ้างอิง: https://link.pdpalawbase.com/opinion/28-2566.md

# ข้อหารือที่ 28/2566 เรื่อง สำนักงานตรวจคนเข้าเมืองขอหารือการเปิดเผยข้อมูลส่วนบุคคลกรณีรายงานการประชุม

## ข้อกฎหมาย

1. พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 — [มาตรา 3](https://link.pdpalawbase.com/section/3.md) และ [มาตรา 6](https://link.pdpalawbase.com/section/6.md)
2. พระราชบัญญัติข้อมูลข่าวสารของราชการ พ.ศ. 2540 — มาตรา 4, มาตรา 9, มาตรา 11 และมาตรา 15

## ข้อหารือ

สำนักงานตรวจคนเข้าเมือง ขอให้คณะกรรมการคุ้มครองข้อมูลส่วนบุคคลพิจารณาให้คำแนะนำในการปฏิบัติตาม PDPA เกี่ยวกับการเปิดเผยข้อมูลข่าวสารกรณีรายงานการประชุมคณะกรรมการจัดทำร่างคุณลักษณะเฉพาะ ที่ปรากฏข้อมูลเกี่ยวกับบุคคล ได้แก่ ยศ ชื่อ และนามสกุลของคณะกรรมการที่เข้าร่วมประชุม รวมถึงรายละเอียดการแสดงความคิดเห็น ตามมาตรา 9 ประกอบมาตรา 11 วรรคสาม แห่ง พ.ร.บ. ข้อมูลข่าวสารฯ ให้กับข้าราชการบำนาญที่เคยรับราชการเป็นประธานคณะกรรมการดังกล่าว เพื่อชี้แจงข้อเท็จจริงกรณีสำนักงาน ป.ป.ช. กล่าวหาการดำเนินงานโครงการหนึ่ง จะขัดต่อการใช้/เปิดเผยข้อมูลส่วนบุคคลตาม PDPA หรือไม่

## ความเห็น

คณะอนุกรรมการเฉพาะกิจตอบข้อหารือฯ พิจารณาประเด็นข้อหารือของสำนักงาน ตม. แล้ว มีความเห็นพร้อมข้อสังเกตว่า รายงานการประชุมคณะกรรมการจัดทำร่างคุณลักษณะเฉพาะ ที่ปรากฏข้อมูล (ยศ ชื่อ-สกุล) ของคณะกรรมการที่เข้าร่วมประชุมและการแสดงความคิดเห็น เป็นข้อมูลข่าวสารที่อยู่ในความครอบครองของสำนักงาน ตม. ซึ่งเป็นหน่วยงานของรัฐ · จึงเป็นข้อมูลข่าวสารของราชการตามนัยมาตรา 4 แห่ง พ.ร.บ. ข้อมูลข่าวสารฯ และในขณะเดียวกันก็ถือเป็นข้อมูลส่วนบุคคลตามบทนิยามใน [มาตรา 6](https://link.pdpalawbase.com/section/6.md) แห่ง PDPA

**การปกปิดหรือเปิดเผยข้อมูลข่าวสารของราชการย่อมเป็นไปตาม พ.ร.บ. ข้อมูลข่าวสารฯ อันเป็นกฎหมายเฉพาะที่บังคับใช้กับหน่วยงานของรัฐ จึงเป็นกรณีที่มีกฎหมายว่าด้วยการใดบัญญัติเกี่ยวกับการคุ้มครองข้อมูลส่วนบุคคลในลักษณะใด กิจการใด หรือหน่วยงานใดไว้โดยเฉพาะแล้ว ให้บังคับตามบทบัญญัติแห่งกฎหมายว่าด้วยการนั้น ตามนัย [มาตรา 3](https://link.pdpalawbase.com/section/3.md) แห่ง PDPA**

ในกรณีรายงานการประชุมดังกล่าว — ข้อมูลข่าวสารเป็นข้อมูลในการปฏิบัติหน้าที่ราชการตามปกติของเจ้าหน้าที่ของรัฐ · การเปิดเผยรายชื่อและข้อมูลเกี่ยวกับบุคคล และการแสดงความคิดเห็นในเรื่องดังกล่าว **ไม่ได้ส่งผลกระทบหรือจะเป็นการรุกล้ำสิทธิส่วนบุคคลโดยไม่สมควร** · ในทางตรงกันข้าม การเปิดเผยจะแสดงถึงความโปร่งใสและตรวจสอบได้ ทำให้เกิดความเชื่อมั่นต่อการปฏิบัติหน้าที่ของสำนักงาน ตม. · ตาม พ.ร.บ. ข้อมูลข่าวสารฯ · จึงเห็นว่า **สำนักงาน ตม. สามารถเปิดเผยรายงานการประชุมที่ปรากฏข้อมูลเกี่ยวกับบุคคลดังกล่าวให้กับผู้ขอได้**

## เอกสารต้นฉบับ

- [PDF ต้นฉบับ (local)](../../raw/opinions/opinion-28-2566.pdf)
- [ที่มา: pdpc.or.th](https://www.pdpc.or.th/wp-content/uploads/2024/02/PDPC-consultation-28.pdf)

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/opinion/28-2566.md

============================================================
โนด: ข้อหารือ 29/2566
ลิงก์อ้างอิง: https://link.pdpalawbase.com/opinion/29-2566.md

# ข้อหารือที่ 29/2566 เรื่อง สำนักงานพัฒนารัฐบาลดิจิทัล (องค์การมหาชน) ขอคำปรึกษาเกี่ยวกับการเก็บรวบรวมใช้ ข้อมูลส่วนบุคคลที่เป็นข้อมูลสุขภาพ ในการเบิกค่ารักษาพยาบาลของเจ้าหน้าที่องค์การมหาชน

## ข้อกฎหมาย

1. พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 — [มาตรา 16](https://link.pdpalawbase.com/section/16.md) (10), [มาตรา 19](https://link.pdpalawbase.com/section/19.md) วรรคสี่, [มาตรา 22](https://link.pdpalawbase.com/section/22.md), [มาตรา 23](https://link.pdpalawbase.com/section/23.md), [มาตรา 25](https://link.pdpalawbase.com/section/25.md) วรรคหนึ่ง (2), [มาตรา 26](https://link.pdpalawbase.com/section/26.md) (5) (ค), [มาตรา 27](https://link.pdpalawbase.com/section/27.md) วรรคหนึ่ง และ [มาตรา 37](https://link.pdpalawbase.com/section/37.md) (1)
2. พระราชกฤษฎีกาจัดตั้งสำนักงานพัฒนารัฐบาลดิจิทัล (องค์การมหาชน) พ.ศ. 2561 — มาตรา 19 (3) (ช)
3. พระราชบัญญัติองค์การมหาชน พ.ศ. 2542 ซึ่งแก้ไขเพิ่มเติมโดย พ.ร.บ. องค์การมหาชน (ฉบับที่ 2) พ.ศ. 2559 — มาตรา 19/1
4. พระราชกฤษฎีกาเงินสวัสดิการเกี่ยวกับการรักษาพยาบาล พ.ศ. 2553 — มาตรา 4 และมาตรา 5
5. พระราชบัญญัติกำหนดหลักเกณฑ์เกี่ยวกับการจ่ายเงินบางประเภทตามงบประมาณรายจ่าย พ.ศ. 2518
6. พระราชบัญญัติประกันสังคม พ.ศ. 2533 และที่แก้ไขเพิ่มเติม
7. พระราชบัญญัติหลักประกันสุขภาพแห่งชาติ พ.ศ. 2545
8. พระราชบัญญัติคุ้มครองผู้ประสบภัยจากรถ พ.ศ. 2535 และที่แก้ไขเพิ่มเติม

## ข้อหารือ

สำนักงานพัฒนารัฐบาลดิจิทัล (องค์การมหาชน) หรือ สพร. ขอหารือเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลที่เป็นข้อมูลสุขภาพ ในการเบิกค่ารักษาพยาบาลของเจ้าหน้าที่ สพร. โดย สพร. จัดเป็นองค์การมหาชนภายใต้ พ.ร.บ. องค์การมหาชน · การเบิกสวัสดิการเกี่ยวกับการรักษาพยาบาลของเจ้าหน้าที่ สพร. และบุคคลในครอบครัว เป็นไปตามระเบียบคณะกรรมการ สพร. ว่าด้วยการรักษาพยาบาลและการตรวจสุขภาพ พ.ศ. 2561

เจ้าหน้าที่ที่ประสงค์จะใช้สิทธิเบิกสวัสดิการต้องกรอกแบบฟอร์มใบเบิกเงินสวัสดิการ พร้อมแนบใบเสร็จรับเงินและใบรับรองแพทย์ ระบุข้อมูล: (1) ชื่อ-นามสกุล (2) โรคที่เข้ารับการรักษา (3) ชื่อสถานพยาบาล (4) จำนวนเงิน

สพร. จึงขอหารือว่า การเก็บรวบรวม ใช้ และ/หรือเปิดเผยข้อมูลส่วนบุคคลที่เป็นข้อมูลสุขภาพของเจ้าหน้าที่ สพร. และครอบครัว เพื่อประกอบการพิจารณาอนุมัติการใช้สิทธิเบิกสวัสดิการ จำเป็นต้องได้รับความยินยอมโดยชัดแจ้งจากเจ้าหน้าที่ สพร. และครอบครัว หรือไม่

## ความเห็น

คณะอนุกรรมการเฉพาะกิจตอบข้อหารือฯ ได้พิจารณาเรื่องหารือดังกล่าว ประกอบกับได้หารือคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลในการประชุมครั้งที่ 6/2566 เมื่อวันที่ 26 มิถุนายน 2566 เพื่อตีความและวินิจฉัยชี้ขาดปัญหาที่เกิดจากการบังคับใช้ PDPA ตาม [มาตรา 16](https://link.pdpalawbase.com/section/16.md) (10) แล้ว เห็นว่า ข้อมูลส่วนบุคคลเกี่ยวกับโรคที่เข้ารับการรักษาและรายละเอียดเกี่ยวกับการรักษาพยาบาล ในใบเบิกเงินสวัสดิการและเอกสารประกอบ (ใบรับรองแพทย์ ใบเสร็จ) เป็นข้อมูลส่วนบุคคลเกี่ยวกับข้อมูลสุขภาพตามนัย [มาตรา 26](https://link.pdpalawbase.com/section/26.md)

การเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลดังกล่าวของเจ้าหน้าที่ สพร. และบุคคลในครอบครัวโดย สพร. เพื่อใช้ประกอบการเบิกจ่ายค่าใช้จ่ายสวัสดิการเกี่ยวกับการรักษาพยาบาลให้กับบุคลากรของหน่วยงาน — เป็นไปตามระเบียบคณะกรรมการ สพร. ซึ่งออกโดยอาศัยอำนาจตามมาตรา 19 (3) (ช) แห่ง พ.ร.ฎ. จัดตั้ง สพร. และมาตรา 19/1 แห่ง พ.ร.บ. องค์การมหาชน — **ถือว่าเป็นการจำเป็นในการปฏิบัติตามกฎหมายเพื่อให้บรรลุวัตถุประสงค์เกี่ยวกับสวัสดิการเกี่ยวกับการรักษาพยาบาลของผู้มีสิทธิตามกฎหมาย ตามนัย [มาตรา 26](https://link.pdpalawbase.com/section/26.md) (5) (ค) ประกอบ [มาตรา 27](https://link.pdpalawbase.com/section/27.md) วรรคหนึ่ง แห่ง PDPA — จึงได้รับยกเว้นไม่ต้องขอความยินยอมโดยชัดแจ้งจากเจ้าหน้าที่ สพร. หรือบุคคลในครอบครัว**

สำหรับข้อมูลสุขภาพของบุคคลในครอบครัวของเจ้าหน้าที่ สพร. แม้จะเป็นการเก็บรวบรวมจากแหล่งอื่นที่ไม่ใช่จากเจ้าของข้อมูลโดยตรง สพร. สามารถเก็บรวบรวม/ใช้/เปิดเผยได้ตามนัย [มาตรา 26](https://link.pdpalawbase.com/section/26.md) (5) (ค) ประกอบ [มาตรา 27](https://link.pdpalawbase.com/section/27.md) วรรคหนึ่ง · การเก็บรวบรวมจากแหล่งอื่นเพื่อเบิกสวัสดิการของบุคคลในครอบครัวจึงสามารถดำเนินการได้โดยไม่ต้องแจ้งให้เจ้าของข้อมูลทราบและได้รับความยินยอม ตาม [มาตรา 25](https://link.pdpalawbase.com/section/25.md) วรรคหนึ่ง (2)

**คคส. มติครั้งที่ 6/2566 ตีความ [มาตรา 16](https://link.pdpalawbase.com/section/16.md) (10)** เพิ่มเติมว่า [มาตรา 26](https://link.pdpalawbase.com/section/26.md) (5) (ค) ครอบคลุมการเก็บข้อมูลสุขภาพที่เป็นการจำเป็นในการปฏิบัติตามกฎหมายเพื่อสวัสดิการเกี่ยวกับการรักษาพยาบาล/สวัสดิการสุขภาพ/สิทธิได้รับบริการทางการแพทย์ขั้นพื้นฐาน — ทั้งสำหรับลูกจ้างภาคเอกชนตาม พ.ร.บ. ประกันสังคม, บุคคลที่มีสิทธิรับบริการสาธารณสุขตาม พ.ร.บ. หลักประกันสุขภาพแห่งชาติ, ข้าราชการ/ลูกจ้างประจำ/ผู้มีสิทธิตาม พ.ร.ฎ. เงินสวัสดิการเกี่ยวกับการรักษาพยาบาล, ผู้ประสบภัยตาม พ.ร.บ. คุ้มครองผู้ประสบภัยจากรถ · **"สวัสดิการเกี่ยวกับการรักษาพยาบาลของผู้มีสิทธิตามกฎหมาย" ครอบสวัสดิการของข้าราชการ เจ้าหน้าที่ พนักงาน ลูกจ้าง ของส่วนราชการ องค์การมหาชน และหน่วยงานของรัฐทุกประเภทที่มีหน้าที่และอำนาจในการจัดสวัสดิการ ตลอดจนบุคคลในครอบครัว**

**ข้อยกเว้นสำคัญ**: กรณีหน่วยงานของรัฐจัดสวัสดิการโดยใช้**ประกันภัยแบบกลุ่ม (group insurance)** และต้องเปิดเผยข้อมูลสุขภาพให้บริษัทประกันภัย — การเปิดเผยและการเก็บรวบรวมของบริษัทประกันภัย **จะไม่ได้รับยกเว้นตาม [มาตรา 26](https://link.pdpalawbase.com/section/26.md) (5) (ค)** · ต้องได้รับความยินยอมโดยชัดแจ้งตาม [มาตรา 26](https://link.pdpalawbase.com/section/26.md) · แต่อาจกำหนดเงื่อนไขในการเข้าทำสัญญา/ขอเบิกเงินสวัสดิการว่าต้องให้ความยินยอมเพื่อใช้/เปิดเผยข้อมูลให้บริษัทประกัน ซึ่งเป็นไปตาม [มาตรา 19](https://link.pdpalawbase.com/section/19.md) วรรคสี่ได้

สพร. ต้องปฏิบัติหน้าที่ตาม PDPA ครบ โดยเฉพาะการเก็บเท่าที่จำเป็น [มาตรา 22](https://link.pdpalawbase.com/section/22.md) · แจ้ง privacy notice [มาตรา 23](https://link.pdpalawbase.com/section/23.md) · มาตรการความมั่นคงปลอดภัย [มาตรา 37](https://link.pdpalawbase.com/section/37.md) (1)

## เอกสารต้นฉบับ

- [PDF ต้นฉบับ (local)](../../raw/opinions/opinion-29-2566.pdf)
- [ที่มา: pdpc.or.th](https://www.pdpc.or.th/wp-content/uploads/2024/02/PDPC-consultation-29.pdf)

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/opinion/29-2566.md


# ชุดข้อมูล: แนวคิดหลัก (นิยามศัพท์) (23 โนด)

============================================================
โนด: การบังคับทางปกครอง
ลิงก์อ้างอิง: https://link.pdpalawbase.com/concept/administrative-enforcement.md

# การบังคับทางปกครอง

## นิยาม

การบังคับทางปกครอง คือกลไกที่ใช้**บังคับให้เป็นไปตามคำสั่ง**ของคณะกรรมการผู้เชี่ยวชาญ ([มาตรา 71](https://link.pdpalawbase.com/section/71.md)) เมื่อผู้ควบคุมหรือผู้ประมวลผลข้อมูล**ไม่ยอมปฏิบัติตาม** โดยนำบทบัญญัติตามกฎหมายว่าด้วยวิธีปฏิบัติราชการทางปกครองมาใช้โดยอนุโลม ฐานหลักอยู่ใน [มาตรา 74](https://link.pdpalawbase.com/section/74.md) วรรคสี่:

> ในกรณีที่ผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคลไม่ยอมดำเนินการตามคำสั่ง ... ให้นำบทบัญญัติเกี่ยวกับการบังคับทางปกครอง ... มาใช้บังคับโดยอนุโลม ... ให้คณะกรรมการผู้เชี่ยวชาญเป็นผู้มีอำนาจสั่งยึด อายัด หรือขายทอดตลาดทรัพย์สิน ...

ใช้ใน 2 บริบท: (1) บังคับ**คำสั่งเรื่องร้องเรียน** (ให้แก้ไข/ห้ามกระทำ) ตาม [มาตรา 74](https://link.pdpalawbase.com/section/74.md); และ (2) บังคับ**ชำระค่าปรับทางปกครอง**ที่ค้างชำระตาม [มาตรา 90](https://link.pdpalawbase.com/section/90.md) วรรคสาม

## ตัวอย่าง

ลำดับการบังคับ:

- ผู้ถูกสั่งไม่ปฏิบัติตามคำสั่ง/ไม่ชำระค่าปรับ → เข้าสู่การบังคับทางปกครอง
- คณะกรรมการผู้เชี่ยวชาญ**สั่งยึด อายัด หรือขายทอดตลาด**ทรัพย์สินเพื่อบังคับได้เอง ([มาตรา 74](https://link.pdpalawbase.com/section/74.md) วรรคสี่)
- กรณี**ค่าปรับ**ที่ไม่มีเจ้าหน้าที่ดำเนินการบังคับ หรือบังคับไม่ได้ → คณะกรรมการผู้เชี่ยวชาญ**ฟ้องศาลปกครอง**ให้บังคับยึด/อายัด/ขายทอดตลาด ([มาตรา 90](https://link.pdpalawbase.com/section/90.md) วรรคสาม)

## มาตราที่เกี่ยวข้อง

- [มาตรา 74](https://link.pdpalawbase.com/section/74.md) — ⭐ วรรคสี่ — การบังคับทางปกครองคำสั่งเรื่องร้องเรียน + อำนาจยึด/อายัด/ขายทอดตลาด
- [มาตรา 90](https://link.pdpalawbase.com/section/90.md) — วรรคสาม — การบังคับชำระค่าปรับทางปกครอง + การฟ้องศาลปกครอง
- [มาตรา 71](https://link.pdpalawbase.com/section/71.md) — คณะกรรมการผู้เชี่ยวชาญ — ผู้ใช้อำนาจบังคับ

## ประกาศที่เกี่ยวข้อง

\-

## หมายเหตุ

- **คู่กับโทษปรับทางปกครอง:** โทษปรับทางปกครองคือ "การกำหนดให้ชำระเงิน" ส่วนการบังคับทางปกครองคือ "การทำให้การชำระเงิน/การปฏิบัติตามคำสั่งเกิดขึ้นจริง" เมื่อผู้ถูกสั่งเพิกเฉย
- **เหตุที่ต้องระบุให้คณะเป็นผู้สั่งเอง:** กฎหมายวิธีปฏิบัติราชการทางปกครองโดยทั่วไปมอบอำนาจบังคับให้ "เจ้าหน้าที่ผู้ออกคำสั่ง" แต่คณะกรรมการผู้เชี่ยวชาญเป็น "คณะ" จึงต้องบัญญัติให้ชัดว่าคณะมีอำนาจสั่งยึด/อายัด/ขายทอดตลาด
- **ความเป็นที่สุดไม่ตัดสิทธิทางศาล:** คำสั่งตาม [มาตรา 74](https://link.pdpalawbase.com/section/74.md) เป็นที่สุดในชั้นปกครอง แต่ผู้ถูกบังคับยัง**ฟ้องศาลปกครอง**เพื่อทบทวนได้

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/concept/administrative-enforcement.md

============================================================
โนด: โทษปรับทางปกครอง
ลิงก์อ้างอิง: https://link.pdpalawbase.com/concept/administrative-fine.md

# โทษปรับทางปกครอง

## นิยาม

โทษปรับทางปกครอง คือโทษที่เป็น**ตัวเงิน**ซึ่งกำหนดไว้ในส่วนที่ 2 ของหมวด 7 ([มาตรา 82](https://link.pdpalawbase.com/section/82.md) ถึง [มาตรา 89](https://link.pdpalawbase.com/section/89.md)) และสั่งโดย**คณะกรรมการผู้เชี่ยวชาญ** ([มาตรา 71](https://link.pdpalawbase.com/section/71.md)) ไม่ใช่ศาล ตาม [มาตรา 90](https://link.pdpalawbase.com/section/90.md):

> คณะกรรมการผู้เชี่ยวชาญมีอำนาจสั่งลงโทษปรับทางปกครองตามที่กำหนดไว้ในส่วนนี้ ทั้งนี้ ในกรณีที่เห็นสมควรคณะกรรมการผู้เชี่ยวชาญจะสั่งให้แก้ไขหรือตักเตือนก่อนก็ได้

โทษปรับทางปกครองเป็น 1 ใน 3 ระบบความรับผิดของ พ.ร.บ. ที่แยกจากกัน — คู่ขนานกับ**โทษอาญา** (ส่วนที่ 1 ของหมวด 7 คือ [มาตรา 79](https://link.pdpalawbase.com/section/79.md) ถึง [มาตรา 81](https://link.pdpalawbase.com/section/81.md) ผ่านศาลยุติธรรม) และ**ความรับผิดทางแพ่ง** (หมวด 6 คือ [มาตรา 77](https://link.pdpalawbase.com/section/77.md) ถึง [มาตรา 78](https://link.pdpalawbase.com/section/78.md)) — ผู้กระทำผิดอาจต้องรับผิดได้มากกว่าหนึ่งระบบจากการกระทำเดียวกัน

## ตัวอย่าง

เพดานโทษปรับทางปกครองแบ่งเป็น 3 ระดับตามความสำคัญของหน้าที่ที่ฝ่าฝืน:

**เพดานไม่เกิน 5 ล้านบาท (ขั้นสูงสุด):**

- [มาตรา 84](https://link.pdpalawbase.com/section/84.md) — ฝ่าฝืนการเก็บ ใช้ เปิดเผย หรือส่งข้อมูล**อ่อนไหว**โดยมิชอบ
- [มาตรา 87](https://link.pdpalawbase.com/section/87.md) — ไม่ปฏิบัติตามคำสั่งคณะกรรมการผู้เชี่ยวชาญ หรือไม่มาชี้แจง/ส่งเอกสารตามที่เรียก

**เพดานไม่เกิน 3 ล้านบาท (ขั้นกลาง):**

- [มาตรา 83](https://link.pdpalawbase.com/section/83.md) — ผู้ควบคุมข้อมูลฝ่าฝืนหน้าที่หลัก เช่น ฐานการประมวลผล การแจ้งวัตถุประสงค์ การส่งข้อมูลต่างประเทศ
- [มาตรา 86](https://link.pdpalawbase.com/section/86.md) — ผู้ประมวลผลข้อมูลหรือตัวแทนฝ่าฝืนหน้าที่ตามที่กำหนด

**เพดานไม่เกิน 1 ล้านบาท หรือ 5 แสนบาท (ขั้นต้น):**

- [มาตรา 82](https://link.pdpalawbase.com/section/82.md) — ไม่เกิน 1 ล้านบาท (ฝ่าฝืนหน้าที่ทั่วไปบางประการของผู้ควบคุมข้อมูล)
- [มาตรา 85](https://link.pdpalawbase.com/section/85.md) — ไม่เกิน 1 ล้านบาท (ผู้ประมวลผลข้อมูลไม่จัดให้มีเจ้าหน้าที่คุ้มครองข้อมูล/ผู้แทน)
- [มาตรา 88](https://link.pdpalawbase.com/section/88.md) — ไม่เกิน 1 ล้านบาท (ตัวแทนของผู้ควบคุม/ผู้ประมวลผลฝ่าฝืน)
- [มาตรา 89](https://link.pdpalawbase.com/section/89.md) — ไม่เกิน 5 แสนบาท (ไม่ปฏิบัติตามคำสั่งหรือไม่อำนวยความสะดวกแก่พนักงานเจ้าหน้าที่)

## มาตราที่เกี่ยวข้อง

**อำนาจสั่งและกลไกบังคับ:**

- [มาตรา 90](https://link.pdpalawbase.com/section/90.md) — ⭐ คณะกรรมการผู้เชี่ยวชาญมีอำนาจสั่งลงโทษปรับ + เกณฑ์การพิจารณา (ความร้ายแรง/ขนาดกิจการ/พฤติการณ์) + การบังคับชำระ
- [มาตรา 71](https://link.pdpalawbase.com/section/71.md) — โครงสร้างคณะกรรมการผู้เชี่ยวชาญ — ผู้มีอำนาจสั่งลงโทษ
- [มาตรา 74](https://link.pdpalawbase.com/section/74.md) — กระบวนการบังคับทางปกครอง วรรค 4 (ยึด/อายัด/ขายทอดตลาด) + วรรค 6 (ประธานลงนาม) นำมาใช้อนุโลมตาม [มาตรา 90](https://link.pdpalawbase.com/section/90.md)

**บทลงโทษราย มาตรา (เพดานโทษ):**

- [มาตรา 82](https://link.pdpalawbase.com/section/82.md) — ไม่เกิน 1 ล้านบาท
- [มาตรา 83](https://link.pdpalawbase.com/section/83.md) — ไม่เกิน 3 ล้านบาท
- [มาตรา 84](https://link.pdpalawbase.com/section/84.md) — ไม่เกิน 5 ล้านบาท (สูงสุด — เกี่ยวกับข้อมูลอ่อนไหว)
- [มาตรา 85](https://link.pdpalawbase.com/section/85.md) — ไม่เกิน 1 ล้านบาท
- [มาตรา 86](https://link.pdpalawbase.com/section/86.md) — ไม่เกิน 3 ล้านบาท
- [มาตรา 87](https://link.pdpalawbase.com/section/87.md) — ไม่เกิน 5 ล้านบาท (สูงสุด — ขัดคำสั่ง)
- [มาตรา 88](https://link.pdpalawbase.com/section/88.md) — ไม่เกิน 1 ล้านบาท
- [มาตรา 89](https://link.pdpalawbase.com/section/89.md) — ไม่เกิน 5 แสนบาท (ต่ำสุด)

## ประกาศที่เกี่ยวข้อง

\-

## หมายเหตุ

- **ลงโทษโดยคณะกรรมการ ไม่ใช่ศาล:** จุดเด่นของโทษทางปกครองคือสั่งได้โดยคณะกรรมการผู้เชี่ยวชาญเอง — เร็วกว่ากระบวนการอาญา แต่ผู้ถูกลงโทษยัง**ฟ้องเพิกถอนคำสั่งต่อศาลปกครอง**ได้
- **3 ระดับการตอบสนองก่อนปรับ:** คณะกรรมการอาจ**ตักเตือน** → **สั่งให้แก้ไข** → จึง**ปรับ** — แต่เป็นทางเลือก ไม่ใช่หน้าที่ กรณีร้ายแรงสั่งปรับได้ทันที (ดู [มาตรา 90](https://link.pdpalawbase.com/section/90.md) วรรค 1)
- **เกณฑ์กำหนดจำนวนเงิน:** เพดานในแต่ละ มาตรา เป็น "ไม่เกิน" — จำนวนจริงพิจารณาจาก**ความร้ายแรงของพฤติกรรม** + **ขนาดกิจการ** + พฤติการณ์อื่น ตามหลักความได้สัดส่วน (ดู [มาตรา 90](https://link.pdpalawbase.com/section/90.md) วรรค 2)
- **เมื่อไม่ชำระค่าปรับ:** เข้าสู่**การบังคับทางปกครอง** ตามกฎหมายว่าด้วยวิธีปฏิบัติราชการทางปกครอง — หากบังคับไม่ได้ คณะกรรมการผู้เชี่ยวชาญฟ้องศาลปกครองให้ยึด/อายัด/ขายทอดตลาดทรัพย์สินได้ (ดู [มาตรา 90](https://link.pdpalawbase.com/section/90.md) วรรค 3)
- **เทียบกับ GDPR Art. 83:** ทั้งสองระบบใช้โทษปรับทางปกครองเป็นเครื่องมือหลักในการบังคับใช้ — GDPR กำหนดเพดานสูงกว่ามาก (สูงสุด 20 ล้านยูโร หรือ 4% ของยอดขายรวมทั่วโลก) และระบุ 11 ปัจจัยในการกำหนดโทษ ขณะที่ พ.ร.บ. ใช้ 3 ปัจจัยที่ยืดหยุ่นกว่า

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/concept/administrative-fine.md

============================================================
โนด: การแจ้งเหตุละเมิดข้อมูลส่วนบุคคล
ลิงก์อ้างอิง: https://link.pdpalawbase.com/concept/breach-notification.md

# การแจ้งเหตุละเมิดข้อมูลส่วนบุคคล

## นิยาม

**การแจ้งเหตุละเมิดข้อมูลส่วนบุคคล** คือหน้าที่ของผู้ควบคุมข้อมูลที่ต้องแจ้งเหตุการละเมิดข้อมูล (เช่น การรั่วไหล การถูกเข้าถึงโดยไม่ชอบ การสูญหาย การเปลี่ยนแปลงโดยไม่ได้รับอนุญาต) — ทั้งต่อสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล และต่อเจ้าของข้อมูลที่ได้รับผลกระทบ (ในกรณีที่มีความเสี่ยงสูง) — ภายในกรอบเวลาที่กฎหมายกำหนด

พ.ร.บ. คุ้มครองข้อมูลส่วนบุคคลกำหนดข้อบังคับไว้ใน **[มาตรา 37](https://link.pdpalawbase.com/section/37.md) (4)** — ส่วนผู้ประมวลผลข้อมูลมีหน้าที่แจ้งให้ผู้ควบคุมทราบตาม **[มาตรา 40](https://link.pdpalawbase.com/section/40.md) (2)**

## ตัวอย่าง

### โครงสร้างหน้าที่แจ้งตาม [มาตรา 37](https://link.pdpalawbase.com/section/37.md) (4)

**ขั้นที่ 1 — แจ้งสำนักงานคณะกรรมการ (บังคับเกือบทุกกรณี):**

- กรอบเวลา: **โดยไม่ชักช้าภายใน 72 ชั่วโมง** นับแต่ทราบเหตุ — เท่าที่จะสามารถกระทำได้
- ข้อยกเว้น: ไม่ต้องแจ้งหากการละเมิด "ไม่มีความเสี่ยงที่จะมีผลกระทบต่อสิทธิและเสรีภาพของบุคคล"

**ขั้นที่ 2 — แจ้งเจ้าของข้อมูล (เฉพาะกรณีความเสี่ยงสูง):**

- เงื่อนไข: เมื่อการละเมิดมี "ความเสี่ยงสูง" ที่จะกระทบสิทธิและเสรีภาพ
- กรอบเวลา: **โดยไม่ชักช้า** (ไม่กำหนดชั่วโมงตายตัวเหมือนการแจ้งสำนักงาน)
- เนื้อหา: แจ้งเหตุการละเมิด + **แนวทางการเยียวยา**

**หลักเกณฑ์และวิธีการ:** ตามที่คณะกรรมการประกาศกำหนด ([มาตรา 37](https://link.pdpalawbase.com/section/37.md) (4) วรรคท้าย)

### ตัวอย่างเหตุละเมิดข้อมูล

**เหตุที่ต้องแจ้งสำนักงานและเจ้าของข้อมูล (ความเสี่ยงสูง):**

- **การรั่วไหลของฐานข้อมูลลูกค้า** ที่รวมเลขประจำตัวประชาชน ที่อยู่ และเลขบัตรเครดิต — เสี่ยงต่อการฉ้อโกงและการขโมยอัตลักษณ์
- **การถูกขโมยข้อมูลผู้ป่วย** จากระบบของโรงพยาบาล — ข้อมูลอ่อนไหวรั่วไหล
- **พนักงานเข้าถึงข้อมูลลูกค้าโดยไม่มีอำนาจ** + เปิดเผยต่อบุคคลภายนอก
- **ระบบถูกโจมตีโดยซอฟต์แวร์เรียกค่าไถ่** และข้อมูลถูกเข้ารหัสจนเข้าถึงไม่ได้

**เหตุที่ต้องแจ้งสำนักงานเท่านั้น (ไม่ใช่ความเสี่ยงสูง):**

- **การรั่วไหลของรายชื่อสมาชิกข่าวสารทางอีเมล** ที่ไม่มีข้อมูลทางการเงินหรืออ่อนไหว — อาจสร้างความรำคาญแต่ไม่กระทบสิทธิอย่างสำคัญ
- **อีเมลส่งผิดที่อยู่** ในจำนวนเล็กน้อยที่ไม่มีข้อมูลอ่อนไหว

**เหตุที่อาจไม่ต้องแจ้ง (ไม่มีความเสี่ยง):**

- **ข้อมูลที่ถูกเข้ารหัสด้วยมาตรการที่แข็งแกร่งและคีย์ไม่ถูกขโมย** + แม้เซิร์ฟเวอร์ถูกบุกรุก ผู้บุกรุกอ่านข้อมูลไม่ได้
- **การสูญหายของอุปกรณ์ที่มีข้อมูลที่ถูกลบหรือเข้ารหัสไว้ก่อน**

### ตัวอย่างเนื้อหาการแจ้งเจ้าของข้อมูล (กรณีความเสี่ยงสูง)

ผู้ควบคุมควรแจ้ง:

1. **คำอธิบายเหตุการละเมิด** — เกิดอะไรขึ้น เมื่อใด
2. **ประเภทของข้อมูลที่ได้รับผลกระทบ** — เช่น ชื่อ ที่อยู่ เลขประจำตัวประชาชน ข้อมูลทางการเงิน ข้อมูลอ่อนไหว
3. **ผลกระทบที่อาจเกิดขึ้น** — เช่น การฉ้อโกง การขโมยอัตลักษณ์ การถูกเลือกปฏิบัติ
4. **มาตรการที่ผู้ควบคุมได้ดำเนินการแล้ว** — เช่น การปิดระบบที่ถูกบุกรุก การแจ้งความ การปรับปรุงระบบ
5. **มาตรการเยียวยาที่แนะนำให้เจ้าของข้อมูลทำ** — เช่น เปลี่ยนรหัสผ่าน ติดตามรายการธุรกรรมในบัญชี ระงับบัตรเครดิตชั่วคราว
6. **ช่องทางติดต่อ DPO หรือผู้รับผิดชอบ** สำหรับคำถามเพิ่มเติม

### ผู้ประมวลผลตาม [มาตรา 40](https://link.pdpalawbase.com/section/40.md) (2)

ผู้ประมวลผลข้อมูลที่ทราบเหตุการละเมิดต้องแจ้ง **ผู้ควบคุม** (ไม่ใช่สำนักงานหรือเจ้าของข้อมูลโดยตรง) — ผู้ควบคุมเป็นผู้รับผิดชอบในการประเมินและแจ้งสำนักงาน/เจ้าของข้อมูลตาม [มาตรา 37](https://link.pdpalawbase.com/section/37.md) (4) ต่อไป

## มาตราที่เกี่ยวข้อง

**บทบัญญัติหลัก:**

- [มาตรา 37](https://link.pdpalawbase.com/section/37.md) — ⭐ **มาตราหลัก:** (4) หน้าที่ผู้ควบคุมในการแจ้งสำนักงาน 72 ชั่วโมง + แจ้งเจ้าของข้อมูลกรณีความเสี่ยงสูง + แนวทางเยียวยา
- [มาตรา 40](https://link.pdpalawbase.com/section/40.md) (2) — หน้าที่ผู้ประมวลผลในการแจ้งผู้ควบคุมเมื่อทราบเหตุการละเมิด

**กลไกการบังคับใช้:**

- [มาตรา 71](https://link.pdpalawbase.com/section/71.md) — สิทธิร้องเรียนของเจ้าของข้อมูลในกรณีที่ผู้ควบคุมไม่แจ้งเหตุละเมิด หรือไม่จัดให้มีการเยียวยาที่เหมาะสม

## ประกาศที่เกี่ยวข้อง

\-

## หมายเหตุ

- **"72 ชั่วโมง" คือเพดานทั่วไป:** กรอบเวลา 72 ชั่วโมงเริ่มนับตั้งแต่ผู้ควบคุม "ทราบเหตุ" ไม่ใช่ตั้งแต่เหตุเกิด — สำคัญที่ผู้ควบคุมต้องมีกลไกตรวจจับและรายงานเหตุภายในองค์กรที่มีประสิทธิภาพ
- **"ความเสี่ยงสูง" ขึ้นกับการประเมิน:** ผู้ควบคุมต้องประเมินทุกกรณี — ปัจจัยที่พิจารณา: ประเภทของข้อมูล (อ่อนไหวหรือไม่) จำนวนเจ้าของข้อมูลที่ได้รับผลกระทบ ผลกระทบที่อาจเกิดขึ้น (การเงิน อัตลักษณ์ ความเป็นส่วนตัว ฯลฯ) มาตรการเทคนิคที่ใช้ป้องกัน (เช่น การเข้ารหัส)
- **การแจ้งเป็นชั้น:** [มาตรา 37](https://link.pdpalawbase.com/section/37.md) (4) ออกแบบเป็น 2 ชั้น — แจ้งสำนักงาน (เกือบทุกกรณีที่มีความเสี่ยง) → แจ้งเจ้าของข้อมูล (เฉพาะกรณีความเสี่ยงสูง) — สมเหตุสมผลกับภาระและประโยชน์
- **เทียบกับ GDPR Art. 33-34:** สอดคล้องกับ GDPR ที่กำหนด 72 ชั่วโมงเหมือนกัน — GDPR Art. 33 = แจ้งสำนักงานกำกับ + GDPR Art. 34 = แจ้งเจ้าของข้อมูลกรณีความเสี่ยงสูง — เกือบสมมาตร 1:1
- **บทบาทของ DPO:** DPO ตาม [มาตรา 41](https://link.pdpalawbase.com/section/41.md) มีบทบาทสำคัญในการประสานงานการแจ้งเหตุละเมิด — เป็นจุดติดต่อสำนักงานและเจ้าของข้อมูล + ให้คำแนะนำในการประเมินความเสี่ยง
- **การไม่แจ้ง = โทษทางปกครอง:** การไม่ปฏิบัติตาม [มาตรา 37](https://link.pdpalawbase.com/section/37.md) (4) เข้าข่ายโทษทางปกครองตามบทกำหนดโทษในหมวด 7 — โดยเฉพาะ [มาตรา 83](https://link.pdpalawbase.com/section/83.md) หรือ [มาตรา 87](https://link.pdpalawbase.com/section/87.md) ขึ้นกับเนื้อหา
- **เอกสารการแจ้งเป็นหลักฐาน:** ผู้ควบคุมควรเก็บเอกสารการแจ้ง + การประเมินความเสี่ยง + การตัดสินใจไม่แจ้ง (กรณีเข้าข้อยกเว้น) ไว้ใน ROPA ตาม [มาตรา 39](https://link.pdpalawbase.com/section/39.md) เป็นหลักฐานการปฏิบัติตาม พ.ร.บ.

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/concept/breach-notification.md

============================================================
โนด: ความยินยอม
ลิงก์อ้างอิง: https://link.pdpalawbase.com/concept/consent.md

# ความยินยอม

## นิยาม

**ความยินยอม** ตาม [มาตรา 19](https://link.pdpalawbase.com/section/19.md) คือการแสดงเจตนาของเจ้าของข้อมูลส่วนบุคคลให้ผู้ควบคุมข้อมูลทำการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลของตน — เป็นฐานหลักในการประมวลผลข้อมูลส่วนบุคคลตาม พ.ร.บ. คุ้มครองข้อมูลส่วนบุคคล (ยกเว้นกรณีที่กฎหมายอนุญาตให้ทำได้โดยไม่ต้องขอความยินยอมตาม [มาตรา 24](https://link.pdpalawbase.com/section/24.md) หรือ [มาตรา 26](https://link.pdpalawbase.com/section/26.md))

**องค์ประกอบหลัก 7 ประการของความยินยอมที่ชอบด้วยกฎหมายตาม [มาตรา 19](https://link.pdpalawbase.com/section/19.md):**

1. **ทำโดยชัดแจ้ง** — เป็นหนังสือหรือผ่านระบบอิเล็กทรอนิกส์ เว้นแต่โดยสภาพไม่อาจทำได้
2. **แจ้งวัตถุประสงค์** — ผู้ควบคุมต้องแจ้งวัตถุประสงค์ของการเก็บ ใช้ เปิดเผย ไปพร้อมกับการขอความยินยอม
3. **แยกส่วนชัดเจน** — การขอความยินยอมต้องแยกออกจากข้อความอื่นอย่างชัดเจน
4. **ใช้ภาษาที่อ่านง่ายและเข้าใจได้** — ไม่ใช้ศัพท์ซับซ้อนเกินจำเป็น
5. **ไม่หลอกลวง** — ไม่ทำให้เจ้าของข้อมูลเข้าใจผิดในวัตถุประสงค์
6. **คำนึงถึงความเป็นอิสระ** — ห้ามผูกเงื่อนไขความยินยอมในการเก็บข้อมูลที่ไม่จำเป็นกับการเข้าทำสัญญา/บริการ
7. **ถอนความยินยอมได้ง่าย** — เจ้าของข้อมูลสามารถถอนความยินยอมเมื่อใดก็ได้ ในวิธีที่ง่ายเช่นเดียวกับการให้ความยินยอม

**ผลของการขอความยินยอมที่ไม่เป็นไปตามหมวดนี้:** ไม่มีผลผูกพันเจ้าของข้อมูล และผู้ควบคุมไม่สามารถเก็บ ใช้ เปิดเผยข้อมูลนั้นได้ (ตาม [มาตรา 19](https://link.pdpalawbase.com/section/19.md) วรรคท้าย)

## ตัวอย่าง

**ความยินยอมที่ "ใช่":**

- หน้าจอแสดงรายละเอียดวัตถุประสงค์ + ปุ่ม "ยินยอม" แยกจากปุ่ม "ตกลงเงื่อนไขการใช้บริการ" ของแอปพลิเคชัน
- แบบฟอร์มกระดาษที่มีช่องลายเซ็นแยกสำหรับการให้ความยินยอมเก็บข้อมูล (แยกจากข้อตกลงทั่วไป)
- การโทรหาลูกค้าและบันทึกเสียงคำยินยอมไว้เป็นหลักฐาน (เมื่อช่องทางหนังสือ/อิเล็กทรอนิกส์ไม่อาจทำได้)
- หน้าจอแอปธนาคารที่อธิบายชัดว่า "เก็บข้อมูลเพื่อให้บริการสินเชื่อ" + ปุ่มยินยอมและถอนยินยอมเข้าถึงได้เท่ากัน

**ความยินยอมที่ "ไม่ใช่":**

- ปุ่ม "ตกลง" รวมที่บอกว่า "ตกลงเงื่อนไขทั้งหมด" รวมเก็บข้อมูลโดยไม่แยกออก (ขัดข้อ 3 และ 6)
- การบังคับให้ติ๊กยินยอมเก็บข้อมูลเพื่อใช้บริการที่ข้อมูลนั้น "ไม่จำเป็น" ต่อบริการ (เช่น บริการดาวน์โหลดเอกสาร แต่บังคับให้ยินยอมเก็บที่อยู่บ้าน) — ขัดข้อ 6
- กล่องที่ติ๊กยินยอมไว้ก่อนแล้ว ให้เจ้าของข้อมูลต้องเอาออก — ไม่เป็นการแสดงเจตนาเชิงรุก
- หน้าจอที่ใช้ภาษาขอความยินยอมซับซ้อนจนผู้ใช้ทั่วไปไม่เข้าใจ — ขัดข้อ 4

**กรณีพิเศษ:**

- **ผู้เยาว์อายุไม่เกิน 10 ปี** ([มาตรา 25](https://link.pdpalawbase.com/section/25.md)) — ผู้ใช้อำนาจปกครองให้ความยินยอมแทน
- **ผู้เยาว์อายุเกิน 10 ปี แต่ไม่บรรลุนิติภาวะ** — ความยินยอมต้องได้รับความยินยอมจากผู้ใช้อำนาจปกครองในเรื่องที่กฎหมายกำหนด
- **คนไร้ความสามารถ/เสมือนไร้ความสามารถ** — ผู้อนุบาล/ผู้พิทักษ์ให้ความยินยอมแทน

## มาตราที่เกี่ยวข้อง

**หลักการและขั้นตอน:**

- [มาตรา 19](https://link.pdpalawbase.com/section/19.md) — ⭐ **มาตราหลัก:** หลักการขอความยินยอม + 7 องค์ประกอบ + การถอนความยินยอม + ผลของการขอที่ไม่ชอบ
- [มาตรา 22](https://link.pdpalawbase.com/section/22.md) — กรอบหลัก: เก็บข้อมูลเท่าที่จำเป็นตามวัตถุประสงค์ที่ชัดแจ้ง (ความยินยอมต้องสอดคล้องกับวัตถุประสงค์นี้)
- [มาตรา 25](https://link.pdpalawbase.com/section/25.md) — กรณีพิเศษ: ผู้เยาว์ คนไร้ความสามารถ เสมือนไร้ความสามารถ — ผู้แทนตามกฎหมายให้ความยินยอม

**ความสัมพันธ์กับฐานอื่นในการประมวลผล:**

- [มาตรา 24](https://link.pdpalawbase.com/section/24.md) — 6 ฐานที่อนุญาตให้เก็บข้อมูลทั่วไปได้โดยไม่ต้องขอความยินยอม (ความยินยอมเป็นฐานที่ 7 ตามหลัก)
- [มาตรา 26](https://link.pdpalawbase.com/section/26.md) — กฎเฉพาะข้อมูลอ่อนไหว: ต้องใช้ "ความยินยอมโดยชัดแจ้ง" (เข้มกว่าความยินยอมทั่วไป) หรือเข้าข้อยกเว้น 5 ข้อ
- [มาตรา 27](https://link.pdpalawbase.com/section/27.md) — การใช้และเปิดเผยข้อมูลต้องเป็นไปตามวัตถุประสงค์ที่แจ้งไว้ตอนขอความยินยอม

**บทเฉพาะกาล:**

- [มาตรา 95](https://link.pdpalawbase.com/section/95.md) — ข้อมูลที่เก็บก่อน พ.ร.บ. มีผลใช้บังคับ ผู้ควบคุมต้องจัดให้มีกลไกถอนความยินยอมอย่างง่ายให้เจ้าของข้อมูลที่ไม่ประสงค์ให้ใช้ข้อมูลต่อ

## ประกาศที่เกี่ยวข้อง

\-

## หมายเหตุ

- **"ความเป็นอิสระ" คือหัวใจ:** [มาตรา 19](https://link.pdpalawbase.com/section/19.md) วรรคสี่ห้ามผูกเงื่อนไขความยินยอมเก็บข้อมูลที่ "ไม่จำเป็น" กับการเข้าทำสัญญา — เป็นกลไกป้องกันการบีบบังคับให้ยินยอม
- **การถอนความยินยอม:** สิทธิถอนได้เมื่อใดก็ได้และต้องง่ายเท่ากับการให้ความยินยอม — แต่การถอนไม่กระทบสิ่งที่ได้ทำไปแล้วโดยชอบ (ไม่มีผลย้อนหลัง) ([มาตรา 19](https://link.pdpalawbase.com/section/19.md) วรรคห้า)
- **ผู้ควบคุมต้องแจ้งผลกระทบ:** หากการถอนความยินยอมส่งผลกระทบต่อเจ้าของข้อมูล (เช่น ไม่สามารถให้บริการบางอย่างต่อ) ต้องแจ้งผลกระทบนั้นให้เจ้าของข้อมูลทราบ ([มาตรา 19](https://link.pdpalawbase.com/section/19.md) วรรคหก)
- **เทียบกับ GDPR:** สอดคล้องกับหลักความยินยอมตาม GDPR Art. 7 ที่ต้องเป็นการให้โดยอิสระ เจาะจง โดยทราบข้อมูล และไม่กำกวม — ทั้งสองระบบเน้นความเป็นอิสระและความชัดเจน
- **ภาระการพิสูจน์:** เมื่อมีข้อโต้แย้ง ผู้ควบคุมข้อมูลต้องพิสูจน์ว่าได้รับความยินยอมที่ชอบแล้ว — จึงเป็นเหตุผลที่ต้องเก็บหลักฐาน (วันเวลาการกระทำในระบบ ลายเซ็น บันทึกเสียง ฯลฯ)
- **ไม่ใช่ฐานเดียว:** ความยินยอมเป็นฐานสำคัญ แต่ไม่ใช่ฐานเดียว — ผู้ควบคุมสามารถพึ่ง 6 ฐานอื่นใน [มาตรา 24](https://link.pdpalawbase.com/section/24.md) (เช่น สัญญา ภารกิจประโยชน์สาธารณะ) โดยไม่ต้องขอความยินยอมในกรณีที่เข้าฐานเหล่านั้น

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/concept/consent.md

============================================================
โนด: ตัวแทนของผู้ควบคุมข้อมูลส่วนบุคคล
ลิงก์อ้างอิง: https://link.pdpalawbase.com/concept/controller-representative.md

# ตัวแทนของผู้ควบคุมข้อมูลส่วนบุคคล

## นิยาม

ตัวแทนของผู้ควบคุม คือบุคคลหรือนิติบุคคลที่ **ผู้ควบคุมข้อมูลที่อยู่นอกราชอาณาจักร** (ตาม [มาตรา 5](https://link.pdpalawbase.com/section/5.md) วรรคสอง) ต้องแต่งตั้งให้เป็น**จุดติดต่อในประเทศไทย** ตาม [มาตรา 37](https://link.pdpalawbase.com/section/37.md) (5):

> ในกรณีที่เป็นผู้ควบคุมข้อมูลส่วนบุคคลตามมาตรา 5 วรรคสอง ต้องแต่งตั้งตัวแทนของผู้ควบคุมข้อมูลส่วนบุคคลเป็นหนังสือซึ่งตัวแทนต้องอยู่ในราชอาณาจักรและตัวแทนต้องได้รับมอบอำนาจให้กระทำการแทน ... โดยไม่มีข้อจำกัดความรับผิดใด ๆ ...

ลักษณะสำคัญ: แต่งตั้ง**เป็นหนังสือ** + **อยู่ในราชอาณาจักร** + ได้รับมอบอำนาจ**โดยไม่มีข้อจำกัดความรับผิด** — ทำให้เจ้าของข้อมูลและสำนักงานในไทยมีจุดติดต่อและผู้รับผิดที่เข้าถึงได้ แม้ผู้ควบคุมตัวจริงจะอยู่ต่างประเทศ

## ตัวอย่าง

- แพลตฟอร์มต่างประเทศที่**เสนอสินค้า/บริการ**แก่ผู้ใช้ในไทย หรือ**เฝ้าติดตามพฤติกรรม**ของบุคคลในไทย ([มาตรา 5](https://link.pdpalawbase.com/section/5.md) วรรคสอง) → ต้องตั้งตัวแทนในไทย
- **ผู้ประมวลผลข้อมูล**ของผู้ควบคุมต่างประเทศ ก็ต้องตั้งตัวแทนเช่นกันโดยอนุโลม ([มาตรา 38](https://link.pdpalawbase.com/section/38.md) วรรคสอง)

**ข้อยกเว้น** (ไม่ต้องตั้งตัวแทน ตาม [มาตรา 38](https://link.pdpalawbase.com/section/38.md)):

- หน่วยงานของรัฐตามที่คณะกรรมการประกาศ
- **กิจการขนาดเล็ก**ที่ไม่เก็บข้อมูลอ่อนไหวตาม [มาตรา 26](https://link.pdpalawbase.com/section/26.md) **และ**ไม่เก็บข้อมูลจำนวนมาก

## มาตราที่เกี่ยวข้อง

- [มาตรา 37](https://link.pdpalawbase.com/section/37.md) — ⭐ (5) หน้าที่แต่งตั้งตัวแทนของผู้ควบคุมต่างประเทศ
- [มาตรา 5](https://link.pdpalawbase.com/section/5.md) — ขอบเขตการบังคับใช้ — วรรคสองคือกรณีผู้ควบคุมต่างประเทศที่กฎหมายไทยบังคับถึง
- [มาตรา 38](https://link.pdpalawbase.com/section/38.md) — ข้อยกเว้นการแต่งตั้งตัวแทน + ใช้บังคับกับผู้ประมวลผลโดยอนุโลม
- [มาตรา 39](https://link.pdpalawbase.com/section/39.md) — ตัวแทนต้องบันทึกรายการ (ROPA) โดยอนุโลม
- [มาตรา 88](https://link.pdpalawbase.com/section/88.md) — โทษปรับทางปกครองกรณีตัวแทนฝ่าฝืนหน้าที่

## ประกาศที่เกี่ยวข้อง

\-

## หมายเหตุ

- **ตัวแทน ≠ เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล (DPO):** ตัวแทนเป็น**นิติฐานะ + ผู้รับผิดแทน**ผู้ควบคุมต่างประเทศ; ส่วน DPO ([มาตรา 41](https://link.pdpalawbase.com/section/41.md)) มีหน้าที่ให้คำแนะนำและตรวจสอบการปฏิบัติตามกฎหมาย — คนละบทบาทกัน
- **เทียบ GDPR:** สอดคล้องกับ Article 27 (ตัวแทนของผู้ควบคุม/ผู้ประมวลผลที่ไม่อยู่ใน EU)
- **ไม่มีข้อจำกัดความรับผิด:** การมอบอำนาจต้องครอบคลุมความรับผิดเต็มที่ — เป็นหลักประกันให้เจ้าของข้อมูลในไทยฟ้องร้องได้สะดวก
- **ได้รับยกเว้นตัวแทนแต่หน้าที่อื่นยังอยู่:** กิจการที่ได้ยกเว้นตาม [มาตรา 38](https://link.pdpalawbase.com/section/38.md) ยังต้องทำหน้าที่อื่นของผู้ควบคุมตาม [มาตรา 37](https://link.pdpalawbase.com/section/37.md) (1)–(4) ครบถ้วน

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/concept/controller-representative.md

============================================================
โนด: การส่งข้อมูลส่วนบุคคลไปต่างประเทศ
ลิงก์อ้างอิง: https://link.pdpalawbase.com/concept/cross-border-transfer.md

# การส่งข้อมูลส่วนบุคคลไปต่างประเทศ

## นิยาม

**การส่งข้อมูลส่วนบุคคลไปต่างประเทศ** คือการที่ผู้ควบคุมข้อมูลหรือผู้ประมวลผลข้อมูลในราชอาณาจักรส่งหรือโอนข้อมูลส่วนบุคคลไปยังประเทศปลายทางหรือองค์การระหว่างประเทศ — ต้องเป็นไปตามเงื่อนไขที่ พ.ร.บ. คุ้มครองข้อมูลส่วนบุคคลกำหนด เพื่อให้แน่ใจว่าข้อมูลที่ส่งไปยังคงได้รับการคุ้มครองในระดับที่เพียงพอ

พ.ร.บ. คุ้มครองข้อมูลส่วนบุคคลกำหนดข้อบังคับไว้ใน **[มาตรา 28](https://link.pdpalawbase.com/section/28.md)** (หลักทั่วไป + 7 ข้อยกเว้น) และ **[มาตรา 29](https://link.pdpalawbase.com/section/29.md)** (กลไกเพิ่มเติม: นโยบายในเครือกิจการ + มาตรการเยียวยา)

## ตัวอย่าง

### หลักทั่วไปตาม [มาตรา 28](https://link.pdpalawbase.com/section/28.md)

> **หลัก:** ส่งข้อมูลไปยังประเทศปลายทาง/องค์การระหว่างประเทศ ที่มีมาตรฐานการคุ้มครองข้อมูลที่ "เพียงพอ" ตามที่คณะกรรมการประกาศกำหนดตาม [มาตรา 16](https://link.pdpalawbase.com/section/16.md) (5)

**ตัวอย่างประเทศที่อาจเข้าเกณฑ์มาตรฐานเพียงพอ:**

- ประเทศที่มีกฎหมายคุ้มครองข้อมูลส่วนบุคคลเทียบเคียงกับ GDPR (เช่น สหภาพยุโรป สวิตเซอร์แลนด์ แคนาดา ญี่ปุ่น เกาหลีใต้)
- ประเทศที่คณะกรรมการคุ้มครองข้อมูลส่วนบุคคลของไทยประกาศรับรอง

### 7 ข้อยกเว้นที่ส่งได้แม้ประเทศปลายทางไม่มีมาตรฐานเพียงพอ ([มาตรา 28](https://link.pdpalawbase.com/section/28.md))

1. **การปฏิบัติตามกฎหมาย** — เช่น การส่งข้อมูลตามคำสั่งศาล หรือสนธิสัญญาระหว่างประเทศ
2. **ความยินยอมโดยชัดแจ้ง** — เจ้าของข้อมูลให้ความยินยอมโดยชัดแจ้ง หลังจากที่ได้รับการแจ้งถึงความเสี่ยงในการส่งข้อมูลไปยังประเทศที่มาตรฐานคุ้มครองไม่เพียงพอ
3. **การปฏิบัติตามสัญญากับเจ้าของข้อมูล** — เช่น ลูกค้าจองโรงแรมในต่างประเทศ ข้อมูลต้องส่งให้โรงแรม
4. **การปฏิบัติตามสัญญาเพื่อประโยชน์ของเจ้าของข้อมูล** — เช่น สัญญาระหว่างผู้ควบคุมและบุคคลที่สาม ที่ทำเพื่อเจ้าของข้อมูล
5. **การป้องกันอันตรายต่อชีวิต/ร่างกาย/สุขภาพ** ของเจ้าของข้อมูลหรือบุคคลอื่นที่ไม่อาจให้ความยินยอม
6. **การดำเนินกิจการเพื่อประโยชน์สำคัญสาธารณะ**
7. **กรณีอื่นๆ ที่คณะกรรมการประกาศกำหนด** — เพื่อความยืดหยุ่นในอนาคต

### กลไกในเครือกิจการตาม [มาตรา 29](https://link.pdpalawbase.com/section/29.md)

**นโยบายในการคุ้มครองข้อมูลส่วนบุคคลของเครือกิจการ:**

- เครือบริษัทแม่-ลูกที่อยู่ในหลายประเทศ จัดทำ "นโยบายในการคุ้มครองข้อมูลส่วนบุคคล" ภายในเครือ
- ส่งให้สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลตรวจสอบและรับรอง
- เมื่อได้รับการรับรอง — ส่งข้อมูลภายในเครือไปยังต่างประเทศได้โดยไม่ต้องตรวจสอบประเทศปลายทางทุกครั้ง

**กรณีที่ยังไม่มีคำวินิจฉัยของคณะกรรมการ ([มาตรา 29](https://link.pdpalawbase.com/section/29.md) วรรคสาม):**

- ผู้ควบคุม/ผู้ประมวลผลต้องจัดให้มี **มาตรการคุ้มครองที่เหมาะสม** ที่สามารถบังคับตามสิทธิของเจ้าของข้อมูลได้
- รวมทั้งต้องมี **มาตรการเยียวยาทางกฎหมายที่มีประสิทธิภาพ** ตามหลักเกณฑ์ที่คณะกรรมการประกาศกำหนด

### กรณีศึกษา

- **บริษัทไทยที่ใช้บริการคลาวด์จากสหรัฐอเมริกา (AWS, Google Cloud, Azure):** การฝากข้อมูลในเซิร์ฟเวอร์สหรัฐฯ = การส่งข้อมูลไปต่างประเทศ — ต้องเข้าฐานข้อยกเว้นใน [มาตรา 28](https://link.pdpalawbase.com/section/28.md) หรือใช้กลไก [มาตรา 29](https://link.pdpalawbase.com/section/29.md)
- **โรงพยาบาลที่ส่งผลตรวจให้แพทย์เฉพาะทางในต่างประเทศ:** ข้อมูลอ่อนไหว — ต้องระมัดระวังเป็นพิเศษเพราะ [มาตรา 84](https://link.pdpalawbase.com/section/84.md) กำหนดโทษทางปกครองสูงสุด 5 ล้านบาทสำหรับการฝ่าฝืน [มาตรา 28](https://link.pdpalawbase.com/section/28.md) เกี่ยวกับข้อมูลอ่อนไหว
- **บริษัทข้ามชาติส่งข้อมูลพนักงานให้สำนักงานใหญ่ในต่างประเทศ:** ใช้กลไกนโยบายในการคุ้มครองข้อมูลส่วนบุคคลของเครือกิจการตาม [มาตรา 29](https://link.pdpalawbase.com/section/29.md)

## มาตราที่เกี่ยวข้อง

**บทบัญญัติหลัก:**

- [มาตรา 28](https://link.pdpalawbase.com/section/28.md) — ⭐ **มาตราหลัก:** หลักทั่วไป + 7 ข้อยกเว้น + อ้างถึง [มาตรา 16](https://link.pdpalawbase.com/section/16.md) (5) สำหรับเกณฑ์ของคณะกรรมการ
- [มาตรา 29](https://link.pdpalawbase.com/section/29.md) — กลไกเพิ่มเติม: นโยบายในการคุ้มครองข้อมูลของเครือกิจการ + มาตรการเยียวยา

**บริบทอื่น:**

- [มาตรา 5](https://link.pdpalawbase.com/section/5.md) — ขอบเขตของ พ.ร.บ. — ใช้กับการประมวลผลในและนอกราชอาณาจักรโดยผู้ควบคุม/ผู้ประมวลผลในไทย
- [มาตรา 16](https://link.pdpalawbase.com/section/16.md) (5) — อำนาจคณะกรรมการในการกำหนดเกณฑ์ "มาตรฐานการคุ้มครองที่เพียงพอ" + นโยบายในการคุ้มครองข้อมูลของเครือกิจการ
- [มาตรา 26](https://link.pdpalawbase.com/section/26.md) — ข้อมูลอ่อนไหว — การส่งต่างประเทศข้อมูลอ่อนไหวต้องระมัดระวังเป็นพิเศษ (ดูโทษใน [มาตรา 84](https://link.pdpalawbase.com/section/84.md))

**โทษ:**

- [มาตรา 84](https://link.pdpalawbase.com/section/84.md) — โทษทางปกครอง: ปรับไม่เกิน 5 ล้านบาท สำหรับการฝ่าฝืน [มาตรา 28](https://link.pdpalawbase.com/section/28.md) หรือ [มาตรา 29](https://link.pdpalawbase.com/section/29.md) วรรคหนึ่ง/วรรคสาม เกี่ยวกับข้อมูลอ่อนไหว

## ประกาศที่เกี่ยวข้อง

\-

## หมายเหตุ

- **"มาตรฐานคุ้มครองที่เพียงพอ" ขึ้นกับประกาศคณะกรรมการ:** [มาตรา 28](https://link.pdpalawbase.com/section/28.md) กำหนดให้คณะกรรมการประกาศเกณฑ์ — เกณฑ์นี้คล้ายกับคำวินิจฉัยรับรองระดับการคุ้มครองที่เพียงพอตาม GDPR Art. 45 ที่คณะกรรมาธิการยุโรปประกาศรายชื่อประเทศที่มีระดับการคุ้มครองเทียบเคียง
- **ส่งภายในเครือกิจการ vs ส่งให้บุคคลภายนอก:** [มาตรา 29](https://link.pdpalawbase.com/section/29.md) ให้ทางเลือกแก่เครือกิจการ — ส่วนการส่งให้บุคคลภายนอกในต่างประเทศ ต้องใช้ฐานข้อยกเว้นใน [มาตรา 28](https://link.pdpalawbase.com/section/28.md) หรือพิสูจน์ "มาตรฐานเพียงพอ"
- **การฝากข้อมูลในคลาวด์ = การส่งต่างประเทศ:** การที่ผู้ควบคุมในไทยฝากข้อมูลบนเซิร์ฟเวอร์ของผู้ให้บริการคลาวด์ที่ตั้งอยู่ต่างประเทศ (AWS, Google Cloud, Azure) — เข้าข่ายการส่งต่างประเทศตาม [มาตรา 28](https://link.pdpalawbase.com/section/28.md) แม้จะเป็นผู้ประมวลผลก็ตาม
- **เทียบกับ GDPR บทที่ 5 (Art. 44-50):** [มาตรา 28](https://link.pdpalawbase.com/section/28.md) + [มาตรา 29](https://link.pdpalawbase.com/section/29.md) เทียบเคียงกับ GDPR Art. 44-50 — ทั้งสองระบบเน้นว่าการส่งข้อมูลข้ามพรมแดนต้องไม่ลดทอนระดับการคุ้มครอง — GDPR เพิ่มกลไกเฉพาะเช่นข้อสัญญามาตรฐานและกฎเกณฑ์ของกลุ่มกิจการ (BCR) ที่ พ.ร.บ. ไทยใช้แนวคิดคล้ายใน [มาตรา 29](https://link.pdpalawbase.com/section/29.md)
- **กลไกถอนความยินยอม:** กรณีที่ใช้ฐาน (2) ความยินยอมโดยชัดแจ้ง — เจ้าของข้อมูลถอนความยินยอมได้ แต่ผู้ควบคุมต้องแจ้งผลกระทบและจัดให้ถอนได้ง่าย (ตามหลักทั่วไปของ [มาตรา 19](https://link.pdpalawbase.com/section/19.md))
- **ภาระการพิสูจน์อยู่ที่ผู้ส่ง:** ผู้ควบคุม/ผู้ประมวลผลในไทยต้องพิสูจน์ได้ว่าการส่งข้อมูลไปต่างประเทศแต่ละครั้งอยู่บนฐานที่ชอบด้วยกฎหมาย — บันทึกใน ROPA ตาม [มาตรา 39](https://link.pdpalawbase.com/section/39.md) เป็นเครื่องมือสำคัญ

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/concept/cross-border-transfer.md

============================================================
โนด: ผู้ควบคุมข้อมูลส่วนบุคคล
ลิงก์อ้างอิง: https://link.pdpalawbase.com/concept/data-controller.md

# ผู้ควบคุมข้อมูลส่วนบุคคล

## นิยาม

ตาม [มาตรา 6](https://link.pdpalawbase.com/section/6.md):

> "ผู้ควบคุมข้อมูลส่วนบุคคล" หมายความว่า บุคคลหรือนิติบุคคลซึ่งมีอำนาจหน้าที่ตัดสินใจเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล

หัวใจของนิยามอยู่ที่ **"อำนาจหน้าที่ตัดสินใจ"** — ผู้ที่กำหนดวัตถุประสงค์และวิธีการประมวลผลข้อมูล ไม่ใช่ผู้ที่ดำเนินการตามคำสั่ง (ซึ่งเป็น "ผู้ประมวลผลข้อมูล" ตามนิยามเดียวกัน)

ผู้ควบคุมข้อมูลอาจเป็น **บุคคลธรรมดา** (เช่น เจ้าของร้านค้าออนไลน์รายเดียว) หรือ **นิติบุคคล** (บริษัท หน่วยงานราชการ มูลนิธิ สมาคม)

## ตัวอย่าง

**บริษัทเอกชน:**

- ห้างสรรพสินค้าที่เก็บข้อมูลสมาชิกบัตรสะสมแต้ม
- ธนาคารที่เก็บข้อมูลลูกค้าผู้ฝากเงิน/ขอสินเชื่อ
- บริษัทประกันที่เก็บข้อมูลผู้เอาประกัน
- แพลตฟอร์มออนไลน์ที่เก็บข้อมูลผู้ใช้บริการ

**หน่วยงานราชการ:**

- โรงพยาบาลรัฐที่เก็บข้อมูลผู้ป่วย (ซึ่งรวมข้อมูลอ่อนไหวตาม [มาตรา 26](https://link.pdpalawbase.com/section/26.md))
- กรมการปกครองที่ดูแลฐานข้อมูลทะเบียนราษฎร
- กระทรวงศึกษาธิการที่เก็บข้อมูลนักเรียน

**องค์กรไม่แสวงหากำไร:**

- มูลนิธิที่เก็บข้อมูลผู้รับบริการ/ผู้บริจาค
- สมาคมที่เก็บข้อมูลสมาชิก
- สหภาพแรงงานที่เก็บข้อมูลสมาชิก (ข้อมูลอ่อนไหวตาม [มาตรา 26](https://link.pdpalawbase.com/section/26.md))

**บุคคลธรรมดาที่เป็นผู้ควบคุม:**

- เจ้าของร้านค้าออนไลน์รายเดียวที่เก็บข้อมูลลูกค้า
- แพทย์ที่เปิดคลินิกส่วนตัวเก็บข้อมูลผู้ป่วย

## มาตราที่เกี่ยวข้อง

**นิยาม:**

- [มาตรา 6](https://link.pdpalawbase.com/section/6.md) — ⭐ นิยามของ "ผู้ควบคุมข้อมูลส่วนบุคคล"

**หน้าที่ในการขอความยินยอมและแจ้งเจ้าของข้อมูล:**

- [มาตรา 19](https://link.pdpalawbase.com/section/19.md) — ต้องได้รับความยินยอมก่อนเก็บ ใช้ เปิดเผย (หรือต้องเข้าข้อยกเว้น)
- [มาตรา 22](https://link.pdpalawbase.com/section/22.md) — กรอบหลัก: เก็บข้อมูลเท่าที่จำเป็นตามวัตถุประสงค์ที่ชัดแจ้งและชอบด้วยกฎหมาย
- [มาตรา 23](https://link.pdpalawbase.com/section/23.md) — หน้าที่แจ้งรายละเอียดให้เจ้าของข้อมูลทราบก่อนหรือขณะเก็บ (วัตถุประสงค์ ผู้รับ ระยะเวลา สิทธิ์ ฯลฯ)

**ฐานในการเก็บ ใช้ เปิดเผย:**

- [มาตรา 24](https://link.pdpalawbase.com/section/24.md) — ฐานทั่วไปในการเก็บรวบรวมข้อมูลส่วนบุคคล
- [มาตรา 26](https://link.pdpalawbase.com/section/26.md) — กฎเข้มกว่าเฉพาะข้อมูลอ่อนไหว (ต้องได้รับความยินยอมโดยชัดแจ้งหรือเข้าข้อยกเว้น 5 ข้อ)
- [มาตรา 27](https://link.pdpalawbase.com/section/27.md) — การใช้และเปิดเผยข้อมูล ต้องเป็นไปตามวัตถุประสงค์ที่แจ้งไว้
- [มาตรา 28](https://link.pdpalawbase.com/section/28.md) — การส่งหรือโอนข้อมูลไปต่างประเทศ ประเทศปลายทางต้องมีมาตรฐานการคุ้มครองที่เพียงพอ

**หน้าที่ด้านความปลอดภัยและการรายงาน:**

- [มาตรา 37](https://link.pdpalawbase.com/section/37.md) — หน้าที่ผู้ควบคุม (5 ข้อ): มาตรการความปลอดภัย แจ้งเหตุละเมิด ปฏิเสธไม่ให้เปิดเผยโดยไม่ชอบ ฯลฯ

**ตัวแทน DPO และความสัมพันธ์กับผู้ประมวลผล:**

- [มาตรา 38](https://link.pdpalawbase.com/section/38.md) — ผู้ควบคุมที่อยู่ต่างประเทศต้องแต่งตั้งตัวแทนในราชอาณาจักร
- [มาตรา 39](https://link.pdpalawbase.com/section/39.md) — สัญญาระหว่างผู้ควบคุมกับผู้ประมวลผลต้องมีข้อกำหนดคุ้มครองข้อมูล
- [มาตรา 40](https://link.pdpalawbase.com/section/40.md) — หน้าที่ของผู้ประมวลผล + ถ้าผู้ประมวลผลไม่ทำตามคำสั่งจะถือเป็นผู้ควบคุมเอง (โอนย้ายความรับผิดทางกฎหมาย)
- [มาตรา 41](https://link.pdpalawbase.com/section/41.md) — ข้อบังคับให้แต่งตั้งเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล (DPO) ใน 3 กรณี

## ประกาศที่เกี่ยวข้อง

\-

## หมายเหตุ

- **"อำนาจตัดสินใจ" คือเส้นแบ่ง:** การเป็นผู้ควบคุมหรือผู้ประมวลผลขึ้นอยู่กับว่า "ใครตัดสินใจ" เรื่องวัตถุประสงค์และวิธีการประมวลผล ไม่ใช่ "ใครเก็บข้อมูล" — บริษัทอาจจ้างผู้ให้บริการภายนอกเก็บข้อมูล แต่ถ้ายังเป็นผู้กำหนดวัตถุประสงค์ บริษัทก็ยังเป็นผู้ควบคุม
- **ความรับผิดเด่นชัด:** ผู้ควบคุมเป็นจุดศูนย์กลางของความรับผิดตาม พ.ร.บ. — โทษอาญาตาม [มาตรา 79](https://link.pdpalawbase.com/section/79.md) และโทษทางปกครองตาม [มาตรา 83](https://link.pdpalawbase.com/section/83.md) [มาตรา 84](https://link.pdpalawbase.com/section/84.md) บังคับกับผู้ควบคุมเป็นหลัก
- **ผู้ควบคุมร่วม:** กรณีที่ 2 องค์กรร่วมตัดสินใจเกี่ยวกับการประมวลผล (เช่น โปรแกรมความร่วมมือทางการตลาด) — แต่ละองค์กรเป็นผู้ควบคุมร่วม มีความรับผิดร่วมกัน (พ.ร.บ. ไม่ได้บัญญัติคำว่า "ผู้ควบคุมร่วม" โดยตรง แต่ตีความได้ตามนิยาม)
- **ผู้ควบคุมต่างประเทศ:** ผู้ควบคุมที่ไม่อยู่ในราชอาณาจักรแต่ประมวลผลข้อมูลของบุคคลในประเทศ (ตาม [มาตรา 5](https://link.pdpalawbase.com/section/5.md)) ต้องแต่งตั้งตัวแทนตาม [มาตรา 38](https://link.pdpalawbase.com/section/38.md)
- **เทียบกับ GDPR:** เทียบเคียงได้กับผู้ควบคุมตาม GDPR Art. 4(7) — ทั้งสองระบบเน้น "อำนาจตัดสินใจเกี่ยวกับวัตถุประสงค์และวิธีการ" เป็นเกณฑ์

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/concept/data-controller.md

============================================================
โนด: ผู้ประมวลผลข้อมูลส่วนบุคคล
ลิงก์อ้างอิง: https://link.pdpalawbase.com/concept/data-processor.md

# ผู้ประมวลผลข้อมูลส่วนบุคคล

## นิยาม

ตาม [มาตรา 6](https://link.pdpalawbase.com/section/6.md):

> "ผู้ประมวลผลข้อมูลส่วนบุคคล" หมายความว่า บุคคลหรือนิติบุคคลซึ่งดำเนินการเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลตามคำสั่งหรือในนามของผู้ควบคุมข้อมูลส่วนบุคคล ทั้งนี้ บุคคลหรือนิติบุคคลซึ่งดำเนินการดังกล่าวไม่เป็นผู้ควบคุมข้อมูลส่วนบุคคล

หัวใจของนิยามอยู่ที่ **"ตามคำสั่งหรือในนามของผู้ควบคุม"** — ผู้ประมวลผลไม่มีอำนาจตัดสินใจเองว่าจะประมวลผลเพื่อวัตถุประสงค์ใด แต่ทำตามคำสั่งของผู้ควบคุมเท่านั้น

**เงื่อนไขสำคัญ:** นิยามวรรคท้ายระบุว่าผู้ประมวลผล "ไม่เป็นผู้ควบคุมข้อมูลส่วนบุคคล" — เน้นว่าทั้งสองสถานะเป็นคนละบทบาทกัน ไม่สามารถสวมหมวกซ้อนกันได้ (ในเรื่องเดียวกัน)

## ตัวอย่าง

**ผู้รับจ้างประมวลผลข้อมูลตามสัญญา:**

- บริษัทผู้ให้บริการจัดทำเงินเดือนพนักงานให้บริษัทอื่น
- บริษัทผู้ให้บริการด้านการตลาดที่ส่งอีเมลโฆษณาให้ลูกค้าของบริษัทผู้ว่าจ้าง
- บริษัทผู้ให้บริการศูนย์รับสายและบริการลูกค้าที่ตอบคำถามให้บริษัทอื่น
- บริษัทผู้รับจ้างทำวิจัยตลาดที่วิเคราะห์ข้อมูลลูกค้าของผู้ว่าจ้าง

**ผู้ให้บริการเทคโนโลยี:**

- ผู้ให้บริการจัดเก็บข้อมูลบนคลาวด์ (เช่น AWS, Google Cloud, Azure) ที่เก็บฐานข้อมูลของลูกค้าที่เป็นผู้ควบคุม
- ผู้ให้บริการระบบส่งอีเมลและข้อความให้บริษัทอื่น
- ผู้ให้บริการระบบบริหารความสัมพันธ์ลูกค้าแบบบริการเช่าใช้ ที่ลูกค้าใส่ข้อมูลลูกค้าตัวเองในระบบ

**ผู้ให้บริการมืออาชีพภายนอก:**

- บริษัทตรวจสอบบัญชีที่ตรวจข้อมูลทางการเงินซึ่งรวมข้อมูลพนักงาน
- บริษัทที่ปรึกษาด้านเทคโนโลยีสารสนเทศที่ดูแลระบบให้บริษัทอื่น

**กรณีที่ "ดูเหมือนผู้ประมวลผลแต่จริงๆ เป็นผู้ควบคุม":**

- ทนายความที่รับว่าจ้างให้บริษัทดำเนินคดี — โดยทั่วไปทนายเป็นผู้ควบคุมเอง (มีอำนาจตัดสินใจในแผนการดำเนินคดี)
- แพทย์ที่รับปรึกษาผู้ป่วยที่บริษัทส่งมา — แพทย์เป็นผู้ควบคุมเอง (มีอำนาจวิชาชีพในการวินิจฉัย)
- ที่ปรึกษาภาษีอิสระ — เป็นผู้ควบคุมเอง

## มาตราที่เกี่ยวข้อง

**นิยาม:**

- [มาตรา 6](https://link.pdpalawbase.com/section/6.md) — ⭐ นิยามของ "ผู้ประมวลผลข้อมูลส่วนบุคคล"

**หน้าที่ของผู้ประมวลผล:**

- [มาตรา 40](https://link.pdpalawbase.com/section/40.md) — ⭐ **มาตราหลัก:** หน้าที่ของผู้ประมวลผล 3 ข้อ
  - (1) ดำเนินการตามคำสั่งของผู้ควบคุมเท่านั้น (เว้นแต่คำสั่งขัดต่อกฎหมาย)
  - (2) จัดให้มีมาตรการรักษาความปลอดภัย + แจ้งเหตุละเมิดให้ผู้ควบคุมทราบ
  - (3) จัดทำและเก็บรักษาบันทึกรายการกิจกรรมการประมวลผล (เทียบเคียง ROPA)
  - **วรรคสอง:** หากไม่ปฏิบัติตาม (1) → ถือเป็นผู้ควบคุมในเรื่องนั้น (พลิกความรับผิด)

**ความสัมพันธ์กับผู้ควบคุม:**

- [มาตรา 39](https://link.pdpalawbase.com/section/39.md) — ผู้ควบคุมต้องทำสัญญาที่มีข้อกำหนดคุ้มครองข้อมูลกับผู้ประมวลผล (ระบุขอบเขตคำสั่ง วัตถุประสงค์ ฯลฯ)
- [มาตรา 37](https://link.pdpalawbase.com/section/37.md) — หน้าที่ผู้ควบคุมในการเลือกและกำกับผู้ประมวลผล (มาตรการความปลอดภัยที่ผู้ประมวลผลต้องมี)

**ตัวแทนและ DPO:**

- [มาตรา 38](https://link.pdpalawbase.com/section/38.md) — ผู้ประมวลผลที่อยู่ต่างประเทศต้องแต่งตั้งตัวแทนในราชอาณาจักร (เหมือนผู้ควบคุม)
- [มาตรา 41](https://link.pdpalawbase.com/section/41.md) — ผู้ประมวลผลก็ต้องแต่งตั้ง DPO ในกรณีตามที่กำหนด — เครือกิจการเดียวกันใช้ DPO ร่วมได้

## ประกาศที่เกี่ยวข้อง

\-

## หมายเหตุ

- **"พลิกความรับผิด" ตาม [มาตรา 40](https://link.pdpalawbase.com/section/40.md) วรรคสอง:** หากผู้ประมวลผลไม่ทำตามคำสั่งของผู้ควบคุม — เช่น ใช้ข้อมูลเพื่อวัตถุประสงค์ของตัวเอง — กฎหมายให้ถือเป็น "ผู้ควบคุม" ในเรื่องนั้น ต้องรับผิดเสมือนผู้ควบคุม (โทษอาญา + โทษทางปกครอง)
- **บันทึกการประมวลผล (ROPA):** [มาตรา 40](https://link.pdpalawbase.com/section/40.md) (3) บังคับให้ผู้ประมวลผลทำบันทึกการประมวลผลด้วย (นอกเหนือจากที่ผู้ควบคุมต้องทำตาม [มาตรา 39](https://link.pdpalawbase.com/section/39.md)) — ทำให้ทั้งสองฝ่ายมีหน้าที่ทำเอกสารชนิดนี้
- **"คำสั่งขัดต่อกฎหมาย":** [มาตรา 40](https://link.pdpalawbase.com/section/40.md) (1) ให้สิทธิผู้ประมวลผลปฏิเสธคำสั่งของผู้ควบคุมที่ขัดต่อกฎหมายหรือบทบัญญัติคุ้มครองข้อมูล — เป็นกลไกตรวจสอบและถ่วงดุลในห่วงโซ่ความรับผิด
- **เทียบกับ GDPR:** เทียบเคียงได้กับผู้ประมวลผลตาม GDPR Art. 4(8) — ทั้งสองระบบกำหนดบทบาทคล้ายกันคือ "ดำเนินการตามคำสั่งของผู้ควบคุม"
- **กรณีจำแนกยาก:** การเป็นผู้ประมวลผลหรือผู้ควบคุมต้องดูเนื้อหาความสัมพันธ์จริง ไม่ใช่ดูจากตำแหน่งในสัญญาเพียงอย่างเดียว — หากฝ่ายที่ทำหน้าที่ประมวลผลมีอำนาจตัดสินใจเองในระดับสำคัญ ก็เป็นผู้ควบคุมเอง (เช่น แพทย์ที่ปรึกษา ทนายความ ที่ปรึกษาภาษี)
- **ห่วงโซ่ของผู้ประมวลผลย่อย:** ผู้ประมวลผลอาจจ้างต่อบุคคลที่ 3 ให้ทำหน้าที่เป็นผู้ประมวลผลย่อย — ต้องได้รับอนุญาตจากผู้ควบคุมตามที่กำหนดในสัญญา [มาตรา 39](https://link.pdpalawbase.com/section/39.md) และผู้ประมวลผลหลักต้องรับผิดในการกระทำของผู้ประมวลผลย่อย

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/concept/data-processor.md

============================================================
โนด: สิทธิของเจ้าของข้อมูลส่วนบุคคล
ลิงก์อ้างอิง: https://link.pdpalawbase.com/concept/data-subject-rights.md

# สิทธิของเจ้าของข้อมูลส่วนบุคคล

## นิยาม

**สิทธิของเจ้าของข้อมูลส่วนบุคคล** คือชุดสิทธิ์ที่กฎหมายให้แก่บุคคลธรรมดาที่ข้อมูลส่วนบุคคลของตนถูกประมวลผล — เพื่อให้เจ้าของข้อมูลสามารถควบคุมข้อมูลของตน ตรวจสอบความถูกต้อง และคัดค้านการใช้งานที่ไม่เหมาะสม

พ.ร.บ. คุ้มครองข้อมูลส่วนบุคคลกำหนดสิทธิ์เหล่านี้ไว้ใน **หมวด 3 — สิทธิของเจ้าของข้อมูลส่วนบุคคล** ([มาตรา 30](https://link.pdpalawbase.com/section/30.md) ถึง [มาตรา 42](https://link.pdpalawbase.com/section/42.md)) รวมทั้งสิทธิร้องเรียนใน [มาตรา 71](https://link.pdpalawbase.com/section/71.md)

ผู้ควบคุมข้อมูลส่วนบุคคลมีหน้าที่ตอบสนองคำขอใช้สิทธิ์ภายในกรอบเวลาที่กฎหมายกำหนด หากปฏิเสธหรือไม่ตอบสนอง เจ้าของข้อมูลร้องเรียนต่อคณะกรรมการผู้เชี่ยวชาญได้

## ตัวอย่าง

### 7 สิทธิ์หลักของเจ้าของข้อมูล

1. **สิทธิเข้าถึงข้อมูลและขอรับสำเนา** ([มาตรา 30](https://link.pdpalawbase.com/section/30.md))
   - **เนื้อหา:** เจ้าของข้อมูลขอเข้าถึงข้อมูลของตนที่อยู่ในความรับผิดชอบของผู้ควบคุมข้อมูล + ขอเปิดเผยที่มาของข้อมูลที่ไม่ได้ให้ความยินยอม
   - **ตัวอย่าง:** ลูกค้าธนาคารขอดูข้อมูลทั้งหมดที่ธนาคารเก็บเกี่ยวกับตน รวมถึงประวัติธุรกรรม
   - **ข้อยกเว้น:** กรณีที่กฎหมายอื่นหรือคำสั่งศาลห้ามเปิดเผย

2. **สิทธิให้ส่งต่อข้อมูลในรูปแบบที่อ่านได้** ([มาตรา 31](https://link.pdpalawbase.com/section/31.md))
   - **เนื้อหา:** ขอรับข้อมูลในรูปแบบอิเล็กทรอนิกส์ที่อ่านได้โดยทั่วไป + ขอให้ส่งต่อไปยังผู้ควบคุมรายอื่น (สิทธิให้โอนย้ายข้อมูล)
   - **ตัวอย่าง:** ผู้ใช้แพลตฟอร์มสตรีมเพลงขอรับข้อมูลการฟังเพลงในรูปแบบที่ส่งต่อไปยังแพลตฟอร์มใหม่ได้

3. **สิทธิคัดค้านการประมวลผล** ([มาตรา 32](https://link.pdpalawbase.com/section/32.md))
   - **เนื้อหา:** คัดค้านการเก็บ ใช้ เปิดเผยข้อมูลที่อยู่บนฐาน "ประโยชน์โดยชอบด้วยกฎหมาย" ([มาตรา 24](https://link.pdpalawbase.com/section/24.md) (4)/(5)) หรือเพื่อวัตถุประสงค์ทางการตลาด
   - **ตัวอย่าง:** ลูกค้าคัดค้านการรับโฆษณาทางตลาดของบริษัท → บริษัทต้องระงับการประมวลผลเพื่อการตลาดทันที

4. **สิทธิให้ลบ ทำลาย หรือทำให้ไม่ระบุตัวบุคคล** ([มาตรา 33](https://link.pdpalawbase.com/section/33.md))
   - **เนื้อหา:** ขอให้ผู้ควบคุมลบหรือทำให้ไม่ระบุตัวข้อมูล เมื่อข้อมูลไม่จำเป็นตามวัตถุประสงค์เดิม / เจ้าของถอนความยินยอม / เจ้าของคัดค้านการประมวลผล / ข้อมูลถูกประมวลผลโดยไม่ชอบ
   - **ตัวอย่าง:** ผู้ใช้บริการถอนความยินยอมและขอให้บริษัทลบข้อมูลของตน

5. **สิทธิให้ระงับการใช้ข้อมูลชั่วคราว** ([มาตรา 34](https://link.pdpalawbase.com/section/34.md))
   - **เนื้อหา:** ขอให้ระงับการใช้ข้อมูลในขณะที่กำลังตรวจสอบความถูกต้อง / คัดค้าน / โต้แย้งทางกฎหมาย
   - **ตัวอย่าง:** เจ้าของข้อมูลโต้แย้งความถูกต้องของข้อมูลและขอให้ระงับการประมวลผลจนกว่าจะตรวจสอบเสร็จ

6. **สิทธิให้แก้ไขข้อมูลให้ถูกต้อง** ([มาตรา 35](https://link.pdpalawbase.com/section/35.md) + [มาตรา 36](https://link.pdpalawbase.com/section/36.md))
   - **เนื้อหา:** ขอให้ผู้ควบคุมแก้ไขข้อมูลที่ไม่ถูกต้อง ไม่เป็นปัจจุบัน ไม่สมบูรณ์ หรือทำให้เข้าใจผิด — ถ้าผู้ควบคุมปฏิเสธต้องบันทึกคำขอและเหตุผลตาม [มาตรา 36](https://link.pdpalawbase.com/section/36.md)
   - **ตัวอย่าง:** เจ้าของข้อมูลแจ้งเปลี่ยนที่อยู่ใหม่ → ผู้ควบคุมต้องอัปเดตในระบบ

7. **สิทธิร้องเรียน** ([มาตรา 71](https://link.pdpalawbase.com/section/71.md))
   - **เนื้อหา:** ร้องเรียนต่อคณะกรรมการผู้เชี่ยวชาญในกรณีที่ผู้ควบคุม/ผู้ประมวลผลฝ่าฝืน พ.ร.บ. — เป็นช่องทางบังคับใช้สิทธิ์เมื่อผู้ควบคุมไม่ตอบสนองหรือปฏิเสธโดยไม่ชอบ
   - **ตัวอย่าง:** บริษัทปฏิเสธคำขอลบข้อมูล → เจ้าของข้อมูลร้องเรียนต่อสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล

### กลไกการใช้สิทธิ์

- **ผ่านผู้ควบคุมโดยตรง:** ติดต่อช่องทางที่ผู้ควบคุมจัดให้ (อีเมล แบบฟอร์ม โทรศัพท์)
- **ผ่านเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล (DPO):** ในกรณีที่ผู้ควบคุมแต่งตั้ง DPO ตาม [มาตรา 41](https://link.pdpalawbase.com/section/41.md) — DPO มีหน้าที่ตอบคำถาม ให้คำแนะนำ และประสานงานตาม [มาตรา 42](https://link.pdpalawbase.com/section/42.md)
- **ผ่านการร้องเรียน:** ตาม [มาตรา 71](https://link.pdpalawbase.com/section/71.md) ถ้าผู้ควบคุมไม่ตอบสนอง

## มาตราที่เกี่ยวข้อง

**7 สิทธิ์หลักในหมวด 3:**

- [มาตรา 30](https://link.pdpalawbase.com/section/30.md) — ⭐ สิทธิเข้าถึงข้อมูลและขอรับสำเนา
- [มาตรา 31](https://link.pdpalawbase.com/section/31.md) — สิทธิรับข้อมูลในรูปแบบอ่านได้ + สิทธิให้ส่งต่อข้อมูลไปยังผู้ควบคุมรายอื่น
- [มาตรา 32](https://link.pdpalawbase.com/section/32.md) — สิทธิคัดค้านการเก็บ ใช้ เปิดเผยข้อมูล
- [มาตรา 33](https://link.pdpalawbase.com/section/33.md) — สิทธิให้ลบ ทำลาย หรือทำให้ไม่ระบุตัวบุคคล
- [มาตรา 34](https://link.pdpalawbase.com/section/34.md) — สิทธิให้ระงับการใช้ข้อมูลชั่วคราว
- [มาตรา 35](https://link.pdpalawbase.com/section/35.md) — หน้าที่ของผู้ควบคุมให้ข้อมูลถูกต้อง สมบูรณ์ และไม่ทำให้เข้าใจผิด
- [มาตรา 36](https://link.pdpalawbase.com/section/36.md) — กลไกเมื่อผู้ควบคุมไม่ดำเนินการแก้ไขตามคำขอ ต้องบันทึกเหตุผลในรายการตาม [มาตรา 39](https://link.pdpalawbase.com/section/39.md)

**กลไกสนับสนุน:**

- [มาตรา 37](https://link.pdpalawbase.com/section/37.md) — หน้าที่ของผู้ควบคุม (รวมถึงการแจ้งเหตุละเมิดข้อมูลให้เจ้าของข้อมูลทราบเมื่อเกิดเหตุที่กระทบสิทธิ)
- [มาตรา 42](https://link.pdpalawbase.com/section/42.md) — หน้าที่ของเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล (DPO) ในการอำนวยความสะดวกแก่เจ้าของข้อมูล

**การบังคับใช้:**

- [มาตรา 71](https://link.pdpalawbase.com/section/71.md) — สิทธิร้องเรียนต่อคณะกรรมการผู้เชี่ยวชาญในกรณีที่ผู้ควบคุม/ผู้ประมวลผลฝ่าฝืน พ.ร.บ.

## ประกาศที่เกี่ยวข้อง

\-

## หมายเหตุ

- **สิทธิ์มาพร้อมข้อจำกัด:** ทุกสิทธิ์มีข้อยกเว้น เช่น การเข้าถึงข้อมูลตาม [มาตรา 30](https://link.pdpalawbase.com/section/30.md) ไม่ใช้ได้ถ้ากฎหมายอื่นห้ามเปิดเผย / การให้ลบตาม [มาตรา 33](https://link.pdpalawbase.com/section/33.md) ไม่ใช้ได้ถ้าข้อมูลจำเป็นเพื่อภารกิจประโยชน์สาธารณะ
- **ผู้ควบคุมต้องตอบสนองภายในกรอบเวลา:** [มาตรา 30](https://link.pdpalawbase.com/section/30.md) กำหนด 30 วันสำหรับสิทธิเข้าถึง — สิทธิอื่นไม่ได้กำหนดเวลาชัดเจน แต่ต้องตอบสนองภายใน "ระยะเวลาอันสมควร"
- **การปฏิเสธต้องมีเหตุผล:** หากผู้ควบคุมปฏิเสธคำขอใช้สิทธิ์ ต้องแจ้งเหตุผลเป็นหนังสือ + บันทึกในรายการกิจกรรมการประมวลผลตาม [มาตรา 39](https://link.pdpalawbase.com/section/39.md) เพื่อให้ตรวจสอบได้
- **สิทธิ์ใช้ได้กับข้อมูลอ่อนไหวด้วย:** สิทธิ์ทั้ง 7 ในหมวด 3 ใช้บังคับกับการประมวลผลข้อมูลอ่อนไหวเช่นกัน — แต่อาจมีข้อยกเว้นเฉพาะ เช่น [มาตรา 33](https://link.pdpalawbase.com/section/33.md) ไม่ใช้ถ้าเก็บข้อมูลภายใต้ภารกิจเวชศาสตร์ป้องกัน/การวิจัย ([มาตรา 26](https://link.pdpalawbase.com/section/26.md) (5) (ก)/(ข))
- **เทียบกับ GDPR:** สิทธิ์ใน พ.ร.บ. สอดคล้องกับสิทธิของเจ้าของข้อมูลใน GDPR บทที่ 3 (Art. 12-23) — สิทธิเข้าถึง (Art. 15) สิทธิให้แก้ไข (Art. 16) สิทธิให้ลบ (Art. 17 — สิทธิให้ถูกลืม) สิทธิระงับ (Art. 18) สิทธิให้โอนข้อมูล (Art. 20) สิทธิคัดค้าน (Art. 21)
- **ค่าใช้จ่ายในการใช้สิทธิ์:** พ.ร.บ. ไม่ได้บัญญัติชัดเจน — โดยทั่วไปผู้ควบคุมไม่ควรเก็บค่าธรรมเนียมในการใช้สิทธิ์ครั้งแรก แต่อาจคิดค่าธรรมเนียมตามสมควรในกรณีคำขอซ้ำซ้อนหรือเกินสมควร
- **สิทธิ์ของผู้เยาว์:** [มาตรา 25](https://link.pdpalawbase.com/section/25.md) กำหนดให้ผู้ใช้อำนาจปกครองเป็นผู้แทนในการให้/ถอนความยินยอม — สิทธิ์ในหมวด 3 ก็ใช้ได้โดยผู้แทน

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/concept/data-subject-rights.md

============================================================
โนด: เจ้าของข้อมูลส่วนบุคคล
ลิงก์อ้างอิง: https://link.pdpalawbase.com/concept/data-subject.md

# เจ้าของข้อมูลส่วนบุคคล

## นิยาม

**เจ้าของข้อมูลส่วนบุคคล** คือบุคคลธรรมดาที่ข้อมูลส่วนบุคคลนั้นเกี่ยวข้องและสามารถระบุตัวบุคคลได้ — ไม่ว่าจะเป็นบุคคลที่ข้อมูลกล่าวถึงโดยตรง หรือบุคคลที่ระบุตัวได้ทางอ้อมจากข้อมูลนั้น

พ.ร.บ. คุ้มครองข้อมูลส่วนบุคคลไม่มีนิยามคำว่า "เจ้าของข้อมูลส่วนบุคคล" โดยตรงใน [มาตรา 6](https://link.pdpalawbase.com/section/6.md) แต่ใช้คำนี้ตลอดทั้ง พ.ร.บ. โดยอ้างถึงบุคคลธรรมดาที่ข้อมูลส่วนบุคคลนั้นระบุตัวได้ (ตามนิยาม "ข้อมูลส่วนบุคคล" ใน [มาตรา 6](https://link.pdpalawbase.com/section/6.md) ที่จำกัดเฉพาะ "บุคคล" = บุคคลธรรมดา)

## ตัวอย่าง

**ในบริบทธุรกิจ:**

- ลูกค้าที่ซื้อสินค้าออนไลน์ — เป็นเจ้าของข้อมูลของชื่อ ที่อยู่ เบอร์โทร อีเมล ประวัติการสั่งซื้อ
- พนักงานในองค์กร — เป็นเจ้าของข้อมูลของประวัติส่วนตัว ผลตรวจสุขภาพ บัญชีเงินเดือน
- สมาชิกของเว็บไซต์/แอปพลิเคชัน — เป็นเจ้าของข้อมูลของบัญชีผู้ใช้ พฤติกรรมการใช้งาน

**ในบริบทบริการสาธารณะ:**

- ผู้ป่วยในโรงพยาบาล — เป็นเจ้าของข้อมูลสุขภาพ ผลตรวจ ประวัติการรักษา (เป็นข้อมูลอ่อนไหวตาม [มาตรา 26](https://link.pdpalawbase.com/section/26.md))
- นักเรียน/นักศึกษา — เป็นเจ้าของข้อมูลทะเบียน ผลการเรียน
- ประชาชนที่ลงทะเบียนรับบริการรัฐ — เป็นเจ้าของข้อมูลในระบบของหน่วยงาน

**กรณีพิเศษ:**

- **ผู้เยาว์อายุไม่เกิน 10 ปี** — ผู้ใช้อำนาจปกครองให้ความยินยอมแทน (ตาม [มาตรา 25](https://link.pdpalawbase.com/section/25.md))
- **ผู้เยาว์ที่บรรลุนิติภาวะแล้วทางบางอย่าง (เช่น สมรส)** — ให้ความยินยอมเองได้
- **คนไร้ความสามารถ/เสมือนไร้ความสามารถ** — ผู้อนุบาล/ผู้พิทักษ์ให้ความยินยอมแทน

## มาตราที่เกี่ยวข้อง

**นิยาม:**

- [มาตรา 6](https://link.pdpalawbase.com/section/6.md) — ⭐ นิยาม "บุคคล" = บุคคลธรรมดา (เป็นพื้นฐานของการตีความ "เจ้าของข้อมูล")

**ความยินยอม:**

- [มาตรา 19](https://link.pdpalawbase.com/section/19.md) — หลักการขอความยินยอมจากเจ้าของข้อมูลก่อนเก็บ ใช้ เปิดเผย
- [มาตรา 25](https://link.pdpalawbase.com/section/25.md) — กรณีพิเศษ: ผู้เยาว์ คนไร้ความสามารถ เสมือนไร้ความสามารถ — ผู้แทนตามกฎหมายให้ความยินยอม

**สิทธิของเจ้าของข้อมูล (หมวด 3 — [มาตรา 30](https://link.pdpalawbase.com/section/30.md) ถึง [มาตรา 42](https://link.pdpalawbase.com/section/42.md)):**

- [มาตรา 30](https://link.pdpalawbase.com/section/30.md) — สิทธิเข้าถึงข้อมูลและขอรับสำเนา
- [มาตรา 31](https://link.pdpalawbase.com/section/31.md) — สิทธิให้ส่งต่อข้อมูลไปยังผู้ควบคุมรายอื่น (สิทธิให้โอนย้ายข้อมูล)
- [มาตรา 32](https://link.pdpalawbase.com/section/32.md) — สิทธิคัดค้านการประมวลผล
- [มาตรา 33](https://link.pdpalawbase.com/section/33.md) — สิทธิให้ลบ ทำลาย หรือทำให้ไม่ระบุตัวบุคคล
- [มาตรา 34](https://link.pdpalawbase.com/section/34.md) — สิทธิให้ระงับการใช้ข้อมูลชั่วคราว
- [มาตรา 35](https://link.pdpalawbase.com/section/35.md) — สิทธิให้แก้ไขข้อมูลให้ถูกต้อง
- [มาตรา 36](https://link.pdpalawbase.com/section/36.md) — สิทธิให้แก้ไขเมื่อข้อมูลไม่ถูกต้อง/ไม่เป็นปัจจุบัน — ผู้ควบคุมต้องดำเนินการ
- [มาตรา 37](https://link.pdpalawbase.com/section/37.md) — หน้าที่ของผู้ควบคุมในการแจ้งเหตุละเมิดให้เจ้าของข้อมูลทราบ
- [มาตรา 42](https://link.pdpalawbase.com/section/42.md) — กลไกการใช้สิทธิ์ผ่านเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล (DPO)

**การร้องเรียน:**

- [มาตรา 71](https://link.pdpalawbase.com/section/71.md) — สิทธิร้องเรียนต่อคณะกรรมการผู้เชี่ยวชาญ ในกรณีที่ผู้ควบคุม/ผู้ประมวลผลฝ่าฝืน พ.ร.บ.

## ประกาศที่เกี่ยวข้อง

\-

## หมายเหตุ

- **ขอบเขตจำกัดเฉพาะบุคคลธรรมดา:** เจ้าของข้อมูลคือ "บุคคล" ตาม [มาตรา 6](https://link.pdpalawbase.com/section/6.md) ที่หมายถึงบุคคลธรรมดาเท่านั้น — ไม่รวมนิติบุคคล (บริษัท สมาคม มูลนิธิ)
- **ผู้เสียชีวิตไม่ใช่เจ้าของข้อมูลตามกฎหมายนี้:** เนื่องจากนิยาม "ข้อมูลส่วนบุคคล" ใน [มาตรา 6](https://link.pdpalawbase.com/section/6.md) ไม่รวมข้อมูลของผู้ถึงแก่กรรมโดยเฉพาะ — ทายาทจึงไม่มีสิทธิตามหมวด 3 โดยอัตโนมัติ
- **เจ้าของข้อมูล ≠ เจ้าของข้อมูล/ทรัพย์สิน:** กฎหมายนี้ใช้คำว่า "เจ้าของ" ในความหมายของ "บุคคลที่ข้อมูลเกี่ยวข้องด้วย" — ไม่ใช่ความเป็นเจ้าของในแง่กรรมสิทธิ์ ผู้ควบคุมข้อมูลอาจ "ถือ" ข้อมูลไว้แต่เจ้าของข้อมูลยังคงมีสิทธิตามกฎหมาย
- **เทียบกับ GDPR:** เทียบเคียงได้กับเจ้าของข้อมูลใน GDPR — ทั้งสองระบบให้ชุดสิทธิแก่บุคคลธรรมดาที่ข้อมูลระบุตัวได้
- **กลไกการใช้สิทธิ์:** เจ้าของข้อมูลสามารถใช้สิทธิ์โดยตรงกับผู้ควบคุมข้อมูล หรือผ่านช่องทางที่ผู้ควบคุมจัดให้ (เช่น DPO ตาม [มาตรา 42](https://link.pdpalawbase.com/section/42.md)) — หากผู้ควบคุมปฏิเสธหรือไม่ตอบสนอง เจ้าของข้อมูลร้องเรียนได้ตาม [มาตรา 71](https://link.pdpalawbase.com/section/71.md)

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/concept/data-subject.md

============================================================
โนด: การประเมินผลกระทบด้านการคุ้มครองข้อมูลส่วนบุคคล (DPIA)
ลิงก์อ้างอิง: https://link.pdpalawbase.com/concept/dpia.md

# การประเมินผลกระทบด้านการคุ้มครองข้อมูลส่วนบุคคล (DPIA)

## นิยาม

**DPIA** ย่อมาจาก *Data Protection Impact Assessment* ในภาษาอังกฤษ — เป็นศัพท์ที่นิยมใช้ในมาตรฐานสากลและในตำราภาษาไทยเรียกทับศัพท์ว่า "DPIA"

**การประเมินผลกระทบด้านการคุ้มครองข้อมูลส่วนบุคคล** (DPIA) คือกระบวนการที่ผู้ควบคุมข้อมูลทำขึ้นก่อนเริ่มกิจกรรมการประมวลผลข้อมูลที่อาจมีความเสี่ยงสูงต่อสิทธิและเสรีภาพของเจ้าของข้อมูล — เพื่อระบุความเสี่ยง ประเมินความรุนแรงและความน่าจะเป็น และกำหนดมาตรการลดความเสี่ยง

**สถานะใน พ.ร.บ. ไทย:** พ.ร.บ. คุ้มครองข้อมูลส่วนบุคคลของไทยปี 2562 **ไม่ได้บัญญัติ DPIA ไว้โดยตรง** — เป็นแนวปฏิบัติที่นำเข้ามาจาก GDPR และมาตรฐานสากล แต่หน้าที่ของผู้ควบคุมตาม [มาตรา 37](https://link.pdpalawbase.com/section/37.md) (1) ที่ต้องจัดให้มีมาตรการรักษาความมั่นคงปลอดภัยที่ "เหมาะสม" — ในทางปฏิบัติ DPIA เป็นเครื่องมือที่ช่วยให้ผู้ควบคุมพิสูจน์ว่าได้พิจารณาความเสี่ยงและจัดมาตรการที่เหมาะสมแล้ว

## ตัวอย่าง

### เมื่อใดควรทำ DPIA (แนวปฏิบัติสากล)

DPIA แนะนำให้ทำเมื่อกิจกรรมการประมวลผลข้อมูลมีลักษณะเข้าข่ายต่อไปนี้ตั้งแต่ 2 ข้อขึ้นไป:

- **ใช้เทคโนโลยีใหม่** — เช่น ปัญญาประดิษฐ์ การรู้จำใบหน้า การประมวลผลด้วยอัลกอริทึมตัดสินใจอัตโนมัติ
- **ประมวลผลข้อมูลอ่อนไหวจำนวนมาก** ตาม [มาตรา 26](https://link.pdpalawbase.com/section/26.md) — เช่น ข้อมูลพันธุกรรม สุขภาพ ประวัติอาชญากรรม
- **ตรวจสอบบุคคลอย่างเป็นระบบ** — เช่น กล้องวงจรปิดในที่สาธารณะ การติดตามตำแหน่งพนักงาน
- **ประมวลผลข้อมูลของผู้เปราะบาง** — เช่น เด็ก ผู้สูงอายุ ผู้ป่วยจิตเวช
- **ตัดสินใจอัตโนมัติที่มีผลกระทบทางกฎหมายต่อบุคคล** — เช่น การอนุมัติสินเชื่อด้วยอัลกอริทึม การคัดเลือกพนักงานด้วยปัญญาประดิษฐ์
- **การเปรียบเทียบข้อมูลจากหลายแหล่ง** — รวมข้อมูลจาก 2 แหล่งขึ้นไปเพื่อสร้างโปรไฟล์
- **การส่งข้อมูลข้ามประเทศ** ไปยังประเทศที่อาจมีมาตรฐานคุ้มครองข้อมูลต่ำกว่า

### องค์ประกอบหลักของ DPIA

1. **อธิบายกิจกรรมการประมวลผล** — วัตถุประสงค์ ฐานในการประมวลผล ประเภทข้อมูล ผู้รับข้อมูล ระยะเวลาการเก็บ
2. **ประเมินความจำเป็นและสัดส่วน** — กิจกรรมจำเป็นเพียงใด มีทางเลือกที่กระทบน้อยกว่าไหม
3. **ระบุความเสี่ยง** — ที่อาจกระทบสิทธิและเสรีภาพของเจ้าของข้อมูล (เช่น การรั่วไหล การใช้ผิดวัตถุประสงค์ การถูกเลือกปฏิบัติ)
4. **กำหนดมาตรการลดความเสี่ยง** — มาตรการทางเทคนิค (เข้ารหัส ระบบควบคุมการเข้าถึง) + มาตรการเชิงองค์กร (นโยบาย การฝึกอบรม)
5. **ตัดสินใจดำเนินการ** — หากความเสี่ยงสูงเกินที่จะลดลงได้ ผู้ควบคุมควรปรึกษาคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลก่อนเริ่มกิจกรรม

### กรณีศึกษาที่ควรทำ DPIA

- **โรงพยาบาลที่นำระบบ AI วินิจฉัยภาพถ่ายแพทย์มาใช้** — ข้อมูลอ่อนไหว + เทคโนโลยีใหม่ + ตัดสินใจอัตโนมัติ
- **บริษัทประกันที่ใช้อัลกอริทึมประเมินความเสี่ยงจากข้อมูลพันธุกรรม** — ข้อมูลอ่อนไหว + ตัดสินใจอัตโนมัติที่กระทบสิทธิ
- **แอปติดตามตำแหน่งพนักงานในที่ทำงาน** — การตรวจสอบอย่างเป็นระบบ + ข้อมูลของผู้เปราะบาง (ความสัมพันธ์ไม่เท่าเทียม)

## มาตราที่เกี่ยวข้อง

**กรอบกฎหมายที่เชื่อมโยง (ไม่บัญญัติ DPIA โดยตรง แต่สนับสนุนแนวปฏิบัติ):**

- [มาตรา 37](https://link.pdpalawbase.com/section/37.md) — หน้าที่ของผู้ควบคุมในการจัดมาตรการรักษาความมั่นคงปลอดภัยที่ "เหมาะสม" — DPIA เป็นเครื่องมือพิสูจน์ความเหมาะสม
- [มาตรา 39](https://link.pdpalawbase.com/section/39.md) — บันทึกรายการของกิจกรรมการประมวลผล (ROPA) — DPIA เป็นส่วนเสริมที่เน้นการประเมินความเสี่ยง (ขณะที่ ROPA เน้นการบันทึก)
- [มาตรา 41](https://link.pdpalawbase.com/section/41.md) — DPO มีหน้าที่ให้คำแนะนำในการทำ DPIA และตรวจสอบกิจกรรมการประมวลผลที่มีความเสี่ยงสูง

## ประกาศที่เกี่ยวข้อง

\-

## หมายเหตุ

- **ไม่บัญญัติชัดใน พ.ร.บ. ไทย แต่นิยมในทางปฏิบัติ:** DPIA เป็นแนวปฏิบัติที่นำเข้ามาจาก GDPR Art. 35 ซึ่งบัญญัติชัดเจน — พ.ร.บ. ไทยใช้คำกว้างว่า "มาตรการที่เหมาะสม" ใน [มาตรา 37](https://link.pdpalawbase.com/section/37.md) (1) ทำให้ DPIA เป็นทางเลือกที่ผู้ควบคุมใช้พิสูจน์การปฏิบัติตามหน้าที่
- **เทียบกับ GDPR Art. 35:** GDPR บังคับให้ทำ DPIA เมื่อกิจกรรม "มีแนวโน้มก่อให้เกิดความเสี่ยงสูงต่อสิทธิและเสรีภาพของบุคคล" — ระบุกรณีเฉพาะ 3 ประเภท: (a) ตัดสินใจอัตโนมัติที่มีผลทางกฎหมาย (b) ประมวลผลข้อมูลอ่อนไหวขนาดใหญ่ (c) ตรวจสอบที่สาธารณะอย่างเป็นระบบ
- **DPIA vs ROPA:** ROPA ([มาตรา 39](https://link.pdpalawbase.com/section/39.md)) = บันทึกการประมวลผลทุกกิจกรรม (เป็นเอกสารต่อเนื่อง) — DPIA = ประเมินความเสี่ยงเฉพาะกิจกรรมที่อาจมีความเสี่ยงสูง (เป็นเอกสารต่อกิจกรรม)
- **บทบาทของ DPO ใน DPIA:** DPO ตาม [มาตรา 41](https://link.pdpalawbase.com/section/41.md) มีหน้าที่ให้คำแนะนำในการทำ DPIA — แม้ พ.ร.บ. ไทยจะไม่บัญญัติชัด แต่แนวปฏิบัติสากลถือเป็นหน้าที่หลักของ DPO
- **แนวโน้มในอนาคต:** คณะกรรมการคุ้มครองข้อมูลส่วนบุคคลของไทยอาจออกประกาศแนวปฏิบัติเกี่ยวกับ DPIA ในอนาคต — โดยเฉพาะสำหรับกิจกรรมที่มีความเสี่ยงสูงเช่นปัญญาประดิษฐ์และการตัดสินใจอัตโนมัติ
- **ผู้รับผิดชอบ DPIA:** ผู้ควบคุมข้อมูลเป็นผู้รับผิดชอบหลักในการทำ DPIA — แม้จะปรึกษา DPO หรือผู้เชี่ยวชาญภายนอก ผู้ควบคุมยังคงรับผิดชอบในผลของการประเมินและการตัดสินใจดำเนินการ

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/concept/dpia.md

============================================================
โนด: เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล (DPO)
ลิงก์อ้างอิง: https://link.pdpalawbase.com/concept/dpo.md

# เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล (DPO)

## นิยาม

**DPO** ย่อมาจาก *Data Protection Officer* ในภาษาอังกฤษ — เป็นศัพท์ที่ใช้แพร่หลายในมาตรฐานสากลและในตำราภาษาไทยเรียกทับศัพท์ว่า "DPO"

**เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล** (DPO) คือบุคคลที่ผู้ควบคุมข้อมูลหรือผู้ประมวลผลข้อมูลแต่งตั้งให้ทำหน้าที่กำกับดูแลการปฏิบัติตาม พ.ร.บ. คุ้มครองข้อมูลส่วนบุคคล + ให้คำแนะนำเกี่ยวกับการคุ้มครองข้อมูล + เป็นจุดติดต่อสำหรับเจ้าของข้อมูลและสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล

พ.ร.บ. คุ้มครองข้อมูลส่วนบุคคลกำหนดข้อบังคับเกี่ยวกับ DPO ไว้ใน **[มาตรา 41](https://link.pdpalawbase.com/section/41.md)** (เงื่อนไขการแต่งตั้ง) และ **[มาตรา 42](https://link.pdpalawbase.com/section/42.md)** (หน้าที่ของ DPO)

**ลักษณะของ DPO ตาม [มาตรา 41](https://link.pdpalawbase.com/section/41.md) วรรคท้าย:**

- อาจเป็น **พนักงานในองค์กร** ของผู้ควบคุม/ผู้ประมวลผล หรือ
- อาจเป็น **ผู้รับจ้างให้บริการตามสัญญา** กับองค์กร (จ้างจากภายนอก)
- คณะกรรมการอาจประกาศกำหนดคุณสมบัติเพิ่มเติมโดยคำนึงถึงความรู้/ความเชี่ยวชาญเกี่ยวกับการคุ้มครองข้อมูล

## ตัวอย่าง

### 3 กรณีที่ต้องแต่งตั้ง DPO ตาม [มาตรา 41](https://link.pdpalawbase.com/section/41.md) วรรคหนึ่ง

1. **หน่วยงานของรัฐ** ตามที่คณะกรรมการประกาศกำหนด ([มาตรา 41](https://link.pdpalawbase.com/section/41.md) (1))
   - **ตัวอย่าง:** กระทรวง กรม รัฐวิสาหกิจ องค์กรปกครองส่วนท้องถิ่น มหาวิทยาลัยของรัฐ — ตามที่คณะกรรมการกำหนดประเภท

2. **กิจกรรมที่ต้องตรวจสอบข้อมูลส่วนบุคคลหรือระบบสม่ำเสมอ + มีข้อมูลจำนวนมาก** ([มาตรา 41](https://link.pdpalawbase.com/section/41.md) (2))
   - **ตัวอย่าง:** แพลตฟอร์มอีคอมเมิร์ซขนาดใหญ่ที่มีลูกค้าหลายล้านคน + แพลตฟอร์มสตรีมมิ่งที่ติดตามพฤติกรรมผู้ใช้ + ธนาคารหรือบริษัทประกันที่มีลูกค้ารายย่อยจำนวนมาก
   - **เงื่อนไข:** "จำนวนมาก" ตามที่คณะกรรมการกำหนดเกณฑ์

3. **กิจกรรมหลักเป็นการประมวลผลข้อมูลอ่อนไหว** ([มาตรา 41](https://link.pdpalawbase.com/section/41.md) (3))
   - **ตัวอย่าง:** โรงพยาบาล คลินิกขนาดใหญ่ ห้องปฏิบัติการตรวจสารพันธุกรรม สหภาพแรงงาน องค์กรศาสนา องค์กรการเมือง — ที่ข้อมูลอ่อนไหวเป็น "กิจกรรมหลัก" ไม่ใช่กิจกรรมรอง

### DPO ร่วมในเครือกิจการ ([มาตรา 41](https://link.pdpalawbase.com/section/41.md) วรรคสอง)

- **ตัวอย่าง:** เครือบริษัทแม่-ลูกที่มี 5 บริษัทย่อยภายใต้กลุ่มเดียวกัน — สามารถใช้ DPO ร่วมคนเดียวสำหรับทั้งกลุ่มได้ — แต่สถานที่ทำการแต่ละแห่งต้องติดต่อ DPO ได้โดยง่าย
- **ตัวอย่างหน่วยงานรัฐ:** กระทรวงขนาดใหญ่ที่มีหลายกรม — กรณีที่เป็นองค์กรขนาดใหญ่หรือมีสถานที่ทำการหลายแห่ง ([มาตรา 41](https://link.pdpalawbase.com/section/41.md) วรรคสาม)

### หน้าที่ของ DPO ตาม [มาตรา 42](https://link.pdpalawbase.com/section/42.md)

DPO มีหน้าที่อย่างน้อย:

- **ให้คำแนะนำ** แก่ผู้ควบคุม/ผู้ประมวลผล + พนักงาน เกี่ยวกับการปฏิบัติตาม พ.ร.บ.
- **ตรวจสอบ** การดำเนินงานของผู้ควบคุม/ผู้ประมวลผลให้เป็นไปตาม พ.ร.บ.
- **ประสานงานและให้ความร่วมมือ** กับสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล
- **รักษาความลับ** ของข้อมูลที่ล่วงรู้ในการปฏิบัติหน้าที่
- **เป็นจุดติดต่อ** สำหรับเจ้าของข้อมูลในการใช้สิทธิ์ตามหมวด 3

## มาตราที่เกี่ยวข้อง

**เงื่อนไขและหน้าที่:**

- [มาตรา 41](https://link.pdpalawbase.com/section/41.md) — ⭐ **มาตราหลัก:** 3 กรณีที่ต้องแต่งตั้ง DPO + DPO ร่วมในเครือกิจการ + คุณสมบัติ + ลักษณะการจ้าง (พนักงานหรือผู้รับจ้าง)
- [มาตรา 42](https://link.pdpalawbase.com/section/42.md) — หน้าที่ของ DPO 5 ข้อ + การห้ามให้ออกเพราะปฏิบัติหน้าที่

**ความสัมพันธ์กับหน้าที่อื่นของผู้ควบคุม:**

- [มาตรา 37](https://link.pdpalawbase.com/section/37.md) — หน้าที่ของผู้ควบคุมในการจัดมาตรการคุ้มครองและแจ้งเหตุละเมิด — DPO มีบทบาทประสานงานในการแจ้งเหตุละเมิด
- [มาตรา 38](https://link.pdpalawbase.com/section/38.md) — ตัวแทนของผู้ควบคุม/ผู้ประมวลผลที่อยู่ต่างประเทศ — ต่างจาก DPO (ตัวแทนตาม [มาตรา 38](https://link.pdpalawbase.com/section/38.md) รับมอบอำนาจ ขณะที่ DPO เป็นจุดติดต่อและที่ปรึกษา)

**การบังคับใช้:**

- [มาตรา 71](https://link.pdpalawbase.com/section/71.md) — ในการร้องเรียน เจ้าของข้อมูลสามารถผ่าน DPO หรือร้องตรงต่อคณะกรรมการผู้เชี่ยวชาญ

## ประกาศที่เกี่ยวข้อง

\-

## หมายเหตุ

- **DPO ≠ ตัวแทนของผู้ควบคุมต่างประเทศ:** ตัวแทนตาม [มาตรา 38](https://link.pdpalawbase.com/section/38.md) เป็นบุคคลที่ผู้ควบคุมต่างประเทศแต่งตั้งให้รับมอบอำนาจในราชอาณาจักร — DPO เป็นบทบาทกำกับดูแลและที่ปรึกษาที่ใช้กับทุกผู้ควบคุม/ผู้ประมวลผล (ไทยหรือต่างประเทศ) ที่เข้าเงื่อนไข [มาตรา 41](https://link.pdpalawbase.com/section/41.md)
- **DPO ภายในหรือภายนอก:** [มาตรา 41](https://link.pdpalawbase.com/section/41.md) วรรคท้ายให้ทางเลือกระหว่างพนักงานในองค์กรหรือผู้รับจ้างให้บริการจากภายนอก — ไม่บังคับเลือกรูปแบบใด แต่ต้องสามารถปฏิบัติหน้าที่ตาม [มาตรา 42](https://link.pdpalawbase.com/section/42.md) ได้
- **การห้ามให้ออก:** [มาตรา 42](https://link.pdpalawbase.com/section/42.md) วรรคสองห้ามผู้ควบคุม/ผู้ประมวลผลให้ DPO ออกหรือเลิกสัญญาเพราะ DPO ปฏิบัติหน้าที่ตาม พ.ร.บ. — เพื่อรักษาความเป็นอิสระของ DPO ในการตรวจสอบและรายงาน
- **หน้าที่แจ้งให้ทราบ:** [มาตรา 41](https://link.pdpalawbase.com/section/41.md) วรรคห้าบังคับให้ผู้ควบคุม/ผู้ประมวลผลแจ้งข้อมูลของ DPO + สถานที่ติดต่อ + วิธีการติดต่อ ให้เจ้าของข้อมูลและสำนักงานทราบ
- **เทียบกับ GDPR:** สอดคล้องกับ DPO ตาม GDPR Art. 37-39 — เกือบสมมาตร 1:1 ใน 3 เงื่อนไขที่ต้องแต่งตั้ง (หน่วยงานรัฐ / ตรวจสอบบุคคลขนาดใหญ่ / ประมวลผลข้อมูลอ่อนไหวขนาดใหญ่) + หน้าที่ของ DPO + การห้ามให้ออกเพราะปฏิบัติหน้าที่
- **DPO ของผู้ประมวลผล:** [มาตรา 41](https://link.pdpalawbase.com/section/41.md) บังคับ DPO ทั้งสำหรับผู้ควบคุมและผู้ประมวลผล — ผู้ประมวลผลขนาดใหญ่ที่ประมวลผลข้อมูลของลูกค้าหลายรายต้องแต่งตั้ง DPO เอง (ไม่พึ่ง DPO ของลูกค้าผู้ควบคุม)

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/concept/dpo.md

============================================================
โนด: ความยินยอมโดยชัดแจ้ง
ลิงก์อ้างอิง: https://link.pdpalawbase.com/concept/explicit-consent.md

# ความยินยอมโดยชัดแจ้ง

## นิยาม

**ความยินยอมโดยชัดแจ้ง** คือมาตรฐานความยินยอมที่ "เข้ม" กว่าความยินยอมทั่วไป — ใช้บังคับเฉพาะกรณีที่ผู้ควบคุมข้อมูลต้องการเก็บรวบรวม ใช้ หรือเปิดเผย **ข้อมูลอ่อนไหว** ตาม [มาตรา 26](https://link.pdpalawbase.com/section/26.md)

พ.ร.บ. คุ้มครองข้อมูลส่วนบุคคลไม่ได้บัญญัตินิยามของ "ความยินยอมโดยชัดแจ้ง" ไว้โดยตรง แต่ใช้คำนี้ใน [มาตรา 26](https://link.pdpalawbase.com/section/26.md) เพื่อแยกแยะจากความยินยอมทั่วไปตาม [มาตรา 19](https://link.pdpalawbase.com/section/19.md) โดยมีองค์ประกอบเข้มกว่าคือ:

1. **แยกออกจากความยินยอมทั่วไป** — ต้องเป็นการให้ความยินยอมเฉพาะเจาะจงสำหรับข้อมูลอ่อนไหว ไม่รวมกับความยินยอมเรื่องอื่น
2. **ระบุประเภทข้อมูลและวัตถุประสงค์ชัดเจน** — ต้องระบุชัดว่าจะเก็บข้อมูลอ่อนไหวประเภทใด (เชื้อชาติ ศาสนา สุขภาพ ฯลฯ) เพื่อวัตถุประสงค์ใด
3. **มีหลักฐานที่ตรวจสอบได้** — ภาระการพิสูจน์เข้มกว่าความยินยอมทั่วไป — ผู้ควบคุมต้องเก็บหลักฐานที่ระบุตัวตนเจ้าของข้อมูลและการแสดงเจตนาให้ความยินยอมได้ชัดเจน

ทั้ง 7 องค์ประกอบของความยินยอมทั่วไปตาม [มาตรา 19](https://link.pdpalawbase.com/section/19.md) (ทำโดยชัดแจ้ง / แจ้งวัตถุประสงค์ / แยกส่วนชัดเจน / ใช้ภาษาง่าย / ไม่หลอกลวง / คำนึงถึงความเป็นอิสระ / ถอนได้ง่าย) **ยังคงใช้บังคับ** กับความยินยอมโดยชัดแจ้งด้วย — แต่ต้องเข้มเพิ่มขึ้นใน 3 ด้านข้างต้น

## ตัวอย่าง

**ความยินยอมโดยชัดแจ้งที่ "ใช่":**

- โรงพยาบาลที่มีแบบฟอร์มแยกขอเก็บ "ข้อมูลผลตรวจสารพันธุกรรม" พร้อมระบุวัตถุประสงค์เฉพาะ (เช่น เพื่อวินิจฉัยโรคพันธุกรรม) — แยกจากแบบฟอร์มยินยอมการรักษาทั่วไป
- บริษัทประกันสุขภาพที่ขอความยินยอมเฉพาะให้เก็บ "ประวัติการรักษา" — แยกจากความยินยอมในการให้บริการกรมธรรม์ — พร้อมระบบเก็บบันทึกการยืนยันตัวตน (เช่น รหัสยืนยันแบบใช้ครั้งเดียว + ลายเซ็นอิเล็กทรอนิกส์)
- องค์กรไม่แสวงหากำไรที่เก็บ "ข้อมูลศาสนา" ของสมาชิก — มีแบบฟอร์มแยกระบุวัตถุประสงค์ชัด พร้อมตัวเลือกถอนความยินยอม
- บริษัทที่ใช้การรู้จำใบหน้าเพื่อระบุตัวพนักงาน — ขอความยินยอมโดยชัดแจ้งแยกจากสัญญาจ้างงาน ระบุวัตถุประสงค์เฉพาะ และมีกลไกถอนความยินยอม

**ความยินยอมที่ "ไม่ใช่ความยินยอมโดยชัดแจ้ง":**

- การติ๊กยินยอม "ตกลงเงื่อนไขทั้งหมด" รวมที่ครอบคลุมการเก็บข้อมูลอ่อนไหวด้วย (ขัดข้อ 1 — ไม่แยกออก)
- การขอข้อมูลศาสนา/สุขภาพในแบบฟอร์มสมัครงานทั่วไป โดยไม่แยกความยินยอมพิเศษ (ขัดข้อ 1 และ 2)
- การติดกล้องวงจรปิดที่จับใบหน้า (= ข้อมูลชีวภาพ) ในที่สาธารณะโดยไม่มีระบบขอความยินยอมเฉพาะ — ต้องอาศัยข้อยกเว้นใน [มาตรา 26](https://link.pdpalawbase.com/section/26.md) (5) แทน

## มาตราที่เกี่ยวข้อง

**กรณีที่ต้องใช้ความยินยอมโดยชัดแจ้ง:**

- [มาตรา 26](https://link.pdpalawbase.com/section/26.md) — ⭐ **มาตราหลัก:** บังคับใช้ความยินยอมโดยชัดแจ้งในการเก็บรวบรวมข้อมูลอ่อนไหว + 5 ข้อยกเว้นที่อนุญาตเก็บโดยไม่ต้องขอความยินยอมโดยชัดแจ้ง
- [มาตรา 27](https://link.pdpalawbase.com/section/27.md) — การใช้และเปิดเผยข้อมูลอ่อนไหว ต้องเป็นไปตามวัตถุประสงค์ที่แจ้งไว้ตอนได้รับความยินยอมโดยชัดแจ้ง
- [มาตรา 28](https://link.pdpalawbase.com/section/28.md) — การส่งหรือโอนข้อมูลอ่อนไหวไปต่างประเทศ — เงื่อนไขเข้มกว่าข้อมูลทั่วไป (อ้างถึงในโทษทางปกครองตาม [มาตรา 84](https://link.pdpalawbase.com/section/84.md))

**กฎทั่วไปของความยินยอมที่ยังใช้บังคับ:**

- [มาตรา 19](https://link.pdpalawbase.com/section/19.md) — 7 องค์ประกอบของความยินยอมตามหลัก + การถอนความยินยอม + ผลของการขอที่ไม่ชอบ — ใช้บังคับกับความยินยอมโดยชัดแจ้งด้วย

**โทษอาญา:**

- [มาตรา 79](https://link.pdpalawbase.com/section/79.md) — โทษอาญา: จำคุกไม่เกิน 6 เดือน หรือปรับไม่เกิน 500,000 บาท สำหรับการเก็บ ใช้ เปิดเผยข้อมูลอ่อนไหวโดยไม่ได้รับความยินยอมโดยชัดแจ้ง หรือฝ่าฝืน [มาตรา 27](https://link.pdpalawbase.com/section/27.md)

## ประกาศที่เกี่ยวข้อง

\-

## หมายเหตุ

- **ความแตกต่างหลักจากความยินยอมทั่วไป:** ความยินยอมโดยชัดแจ้งต้อง (1) แยกออกจากความยินยอมเรื่องอื่น (2) ระบุข้อมูล + วัตถุประสงค์เจาะจง (3) มีหลักฐานพิสูจน์ตัวตนและการแสดงเจตนา — ขณะที่ความยินยอมทั่วไปตาม [มาตรา 19](https://link.pdpalawbase.com/section/19.md) อาจรวมในเอกสารชุดเดียวกันได้ (แต่ต้องแยกข้อความออกชัดเจน)
- **ภาระการพิสูจน์เข้มกว่า:** เมื่อมีข้อโต้แย้ง ผู้ควบคุมต้องพิสูจน์ทั้ง (1) ตัวตนของผู้ให้ความยินยอม และ (2) เนื้อหาของการให้ความยินยอม — มาตรการที่ใช้บ่อยคือ ลายเซ็นอิเล็กทรอนิกส์ + การยืนยันตัวตนสองปัจจัย + บันทึกเสียง + ระบบบันทึกการตรวจสอบย้อนหลัง
- **ความสัมพันธ์กับฐานในการประมวลผล:** ความยินยอมโดยชัดแจ้งเป็นฐานหลักของการเก็บข้อมูลอ่อนไหว — แต่ไม่ใช่ฐานเดียว — [มาตรา 26](https://link.pdpalawbase.com/section/26.md) ยังให้ 5 ข้อยกเว้นที่อนุญาตเก็บโดยไม่ต้องขอ (ป้องกันชีวิต กิจกรรมองค์กรไม่แสวงหากำไร ข้อมูลเปิดเผยต่อสาธารณะ สิทธิเรียกร้องตามกฎหมาย ภารกิจตามกฎหมายด้านการแพทย์/สาธารณสุข/วิจัย)
- **เทียบกับ GDPR:** สอดคล้องกับความยินยอมโดยชัดแจ้งใน GDPR Art. 9(2)(a) สำหรับ "ข้อมูลประเภทพิเศษ" — GDPR ใช้คำที่เน้น "ความชัดแจ้ง" เพื่อแยกจากความยินยอมตาม Art. 7 ทั่วไป
- **กรณีพิเศษ การถอนความยินยอมโดยชัดแจ้ง:** ใช้หลักเดียวกับความยินยอมทั่วไปตาม [มาตรา 19](https://link.pdpalawbase.com/section/19.md) — ถอนได้เมื่อใดก็ได้และต้องง่ายเช่นเดียวกับการให้ความยินยอม — แต่หากเป็นข้อมูลที่เก็บภายใต้ข้อยกเว้นใน [มาตรา 26](https://link.pdpalawbase.com/section/26.md) (5) (เช่น เวชศาสตร์ป้องกัน หรือการวิจัย) เจ้าของข้อมูลไม่มีสิทธิถอนได้เนื่องจากไม่ได้อยู่บนฐานความยินยอม

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/concept/explicit-consent.md

============================================================
โนด: ฐานในการประมวลผล
ลิงก์อ้างอิง: https://link.pdpalawbase.com/concept/lawful-basis.md

# ฐานในการประมวลผล

## นิยาม

**ฐานในการประมวลผล** คือเหตุผลทางกฎหมายที่อนุญาตให้ผู้ควบคุมข้อมูลส่วนบุคคลเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล — ผู้ควบคุมต้องระบุได้ชัดเจนว่าการประมวลผลแต่ละครั้งอยู่บนฐานใด มิฉะนั้นถือว่าเป็นการประมวลผลที่ไม่ชอบด้วยกฎหมาย

พ.ร.บ. คุ้มครองข้อมูลส่วนบุคคลกำหนดฐาน **2 ชุด** สำหรับข้อมูลต่างประเภท:

- **ข้อมูลทั่วไป** ([มาตรา 24](https://link.pdpalawbase.com/section/24.md)) — 7 ฐาน (ความยินยอม + 6 ข้อยกเว้น)
- **ข้อมูลอ่อนไหว** ([มาตรา 26](https://link.pdpalawbase.com/section/26.md)) — 6 ฐาน (ความยินยอมโดยชัดแจ้ง + 5 ข้อยกเว้น) — เข้มกว่าฐานทั่วไป

## ตัวอย่าง

### 7 ฐานในการเก็บข้อมูลทั่วไปตาม [มาตรา 24](https://link.pdpalawbase.com/section/24.md)

> **หมายเหตุ:** "ความยินยอม" เป็นฐานหลักตาม [มาตรา 19](https://link.pdpalawbase.com/section/19.md) — [มาตรา 24](https://link.pdpalawbase.com/section/24.md) กำหนด 6 ข้อยกเว้นที่อนุญาตเก็บโดยไม่ต้องขอความยินยอม

1. **ความยินยอม** — เจ้าของข้อมูลให้ความยินยอมตาม [มาตรา 19](https://link.pdpalawbase.com/section/19.md)
   - **ตัวอย่าง:** การลงทะเบียนใช้แอปพลิเคชันที่ผู้ใช้กดยินยอมหลังอ่านวัตถุประสงค์
2. **เอกสารประวัติศาสตร์ จดหมายเหตุ ศึกษาวิจัย หรือสถิติเพื่อประโยชน์สาธารณะ** ([มาตรา 24](https://link.pdpalawbase.com/section/24.md) (1))
   - **ตัวอย่าง:** หอจดหมายเหตุที่เก็บข้อมูลบุคคลสำคัญในประวัติศาสตร์ + การวิจัยทางสาธารณสุข
3. **ป้องกันอันตรายต่อชีวิต ร่างกาย หรือสุขภาพของบุคคล** ([มาตรา 24](https://link.pdpalawbase.com/section/24.md) (2))
   - **ตัวอย่าง:** การส่งข้อมูลผู้ป่วยหมดสติให้โรงพยาบาลในกรณีฉุกเฉิน
4. **การปฏิบัติตามสัญญา** ([มาตรา 24](https://link.pdpalawbase.com/section/24.md) (3))
   - **ตัวอย่าง:** การเก็บที่อยู่ของลูกค้าเพื่อจัดส่งสินค้าตามคำสั่งซื้อ + การเก็บข้อมูลพนักงานเพื่อทำสัญญาจ้างงาน
5. **ภารกิจประโยชน์สาธารณะ/อำนาจรัฐ** ([มาตรา 24](https://link.pdpalawbase.com/section/24.md) (4))
   - **ตัวอย่าง:** การเก็บข้อมูลของประชาชนโดยหน่วยงานราชการเพื่อให้บริการสวัสดิการรัฐ
6. **ประโยชน์โดยชอบด้วยกฎหมายของผู้ควบคุม** ([มาตรา 24](https://link.pdpalawbase.com/section/24.md) (5))
   - **ตัวอย่าง:** การเก็บข้อมูลความปลอดภัยของระบบ (บันทึกระบบ) เพื่อป้องกันการโจรกรรมข้อมูล + การวิเคราะห์พฤติกรรมลูกค้าเพื่อพัฒนาบริการ
   - **ข้อจำกัด:** ฐานนี้ใช้ไม่ได้ถ้าประโยชน์ของผู้ควบคุมมีความสำคัญน้อยกว่าสิทธิขั้นพื้นฐานของเจ้าของข้อมูล
7. **การปฏิบัติตามกฎหมาย** ([มาตรา 24](https://link.pdpalawbase.com/section/24.md) (6))
   - **ตัวอย่าง:** การเก็บข้อมูลผู้รับเงินเดือนเพื่อรายงานภาษีตามประมวลรัษฎากร + การเก็บบันทึกการทำธุรกรรมตาม พ.ร.บ. ป้องกันและปราบปรามการฟอกเงิน

### 6 ฐานในการเก็บข้อมูลอ่อนไหวตาม [มาตรา 26](https://link.pdpalawbase.com/section/26.md)

> **หลักการ:** ห้ามเก็บข้อมูลอ่อนไหวเว้นแต่ได้รับความยินยอมโดยชัดแจ้ง หรือเข้า 5 ข้อยกเว้น

1. **ความยินยอมโดยชัดแจ้ง** — ฐานหลักตาม [มาตรา 26](https://link.pdpalawbase.com/section/26.md) วรรคหนึ่ง
   - **ตัวอย่าง:** การขอเก็บข้อมูลสุขภาพของผู้สมัครประกัน ที่แยกแบบฟอร์มจากสัญญาประกันทั่วไป
2. **ป้องกันอันตรายชีวิต/ร่างกาย/สุขภาพ ที่เจ้าของให้ความยินยอมไม่ได้** ([มาตรา 26](https://link.pdpalawbase.com/section/26.md) (1))
   - **ตัวอย่าง:** การส่งประวัติแพ้ยาของผู้ป่วยหมดสติให้โรงพยาบาล
3. **กิจกรรมขององค์กรไม่แสวงหากำไรด้านศาสนา/การเมือง/สหภาพแรงงาน** ([มาตรา 26](https://link.pdpalawbase.com/section/26.md) (2))
   - **ตัวอย่าง:** มูลนิธิทางศาสนาเก็บข้อมูลการเข้าร่วมพิธีของสมาชิก (ไม่เปิดเผยภายนอก)
4. **ข้อมูลที่เจ้าของเปิดเผยต่อสาธารณะโดยชัดแจ้ง** ([มาตรา 26](https://link.pdpalawbase.com/section/26.md) (3))
   - **ตัวอย่าง:** การเก็บข้อมูลความคิดเห็นทางการเมืองที่นักการเมืองประกาศต่อสาธารณะเอง
5. **การก่อตั้ง ใช้ ต่อสู้สิทธิเรียกร้องตามกฎหมาย** ([มาตรา 26](https://link.pdpalawbase.com/section/26.md) (4))
   - **ตัวอย่าง:** การเก็บประวัติการรักษาพยาบาลเพื่อฟ้องคดีค่าสินไหมทดแทน
6. **ภารกิจตามกฎหมายด้านการแพทย์/สาธารณสุข/แรงงาน/วิจัย/ประโยชน์สาธารณะ** ([มาตรา 26](https://link.pdpalawbase.com/section/26.md) (5))
   - **ตัวอย่าง:** โรงพยาบาลรัฐที่เก็บข้อมูลสุขภาพเพื่อบริหารระบบหลักประกันสุขภาพแห่งชาติ

## มาตราที่เกี่ยวข้อง

**ฐานหลัก:**

- [มาตรา 19](https://link.pdpalawbase.com/section/19.md) — ความยินยอม: 7 องค์ประกอบ + การถอนความยินยอม (ฐานหลักของข้อมูลทั่วไป)
- [มาตรา 24](https://link.pdpalawbase.com/section/24.md) — ⭐ **มาตราหลักของข้อมูลทั่วไป:** 6 ฐานที่อนุญาตเก็บโดยไม่ต้องขอความยินยอม
- [มาตรา 26](https://link.pdpalawbase.com/section/26.md) — ⭐ **มาตราหลักของข้อมูลอ่อนไหว:** หลักการห้ามเก็บ + 5 ข้อยกเว้น + ความยินยอมโดยชัดแจ้ง

**ความเกี่ยวเนื่อง:**

- [มาตรา 22](https://link.pdpalawbase.com/section/22.md) — หลักการเก็บข้อมูลเท่าที่จำเป็นตามวัตถุประสงค์ — ฐานในการประมวลผลต้องสอดคล้องกับวัตถุประสงค์ที่แจ้งไว้
- [มาตรา 27](https://link.pdpalawbase.com/section/27.md) — การใช้และเปิดเผยข้อมูลต้องอยู่ภายใต้ฐานเดียวกับที่เก็บมา หรือมีฐานใหม่ที่ชอบด้วยกฎหมาย

## ประกาศที่เกี่ยวข้อง

\-

## หมายเหตุ

- **ฐาน ≠ การยกเว้น:** ความยินยอมเป็นฐานในการประมวลผลข้อมูลเหมือนกับฐานอื่น — แต่ พ.ร.บ. โครงสร้างกฎเป็น "ห้ามเก็บโดยไม่ขอความยินยอม เว้นแต่..." ทำให้ 6 ฐานใน [มาตรา 24](https://link.pdpalawbase.com/section/24.md) ดูเหมือนเป็น "ข้อยกเว้น" ตามไวยากรณ์ของกฎ — แต่ในทางปฏิบัติทั้ง 7 ฐานมีศักดิ์เท่ากัน
- **ภาระเลือกฐาน:** ผู้ควบคุมข้อมูลต้องเลือกฐานที่ "เหมาะสมที่สุด" สำหรับการประมวลผลแต่ละครั้ง — ไม่ควรพึ่งความยินยอมเป็นค่าเริ่มต้นถ้าฐานอื่นเหมาะสมกว่า (เช่น การเก็บข้อมูลพนักงานเพื่อทำสัญญาจ้างงาน ฐานที่ถูกคือ "ปฏิบัติตามสัญญา" [มาตรา 24](https://link.pdpalawbase.com/section/24.md) (3) ไม่ใช่ความยินยอม)
- **ข้อจำกัดของฐาน (5) "ประโยชน์โดยชอบด้วยกฎหมาย":** [มาตรา 24](https://link.pdpalawbase.com/section/24.md) (5) มีข้อกำหนดให้ผู้ควบคุมต้องชั่งน้ำหนัก: ประโยชน์ของผู้ควบคุม vs สิทธิขั้นพื้นฐานของเจ้าของข้อมูล — ถ้าสิทธิเจ้าของข้อมูลเข้มกว่า ใช้ฐานนี้ไม่ได้
- **เปลี่ยนฐานในระหว่างประมวลผลได้หรือไม่:** กรณีที่ผู้ควบคุมจำเป็นต้องเปลี่ยนวัตถุประสงค์หรือฐานในการประมวลผล ต้องแจ้งเจ้าของข้อมูลและอาจต้องขอความยินยอมใหม่ (ตาม [มาตรา 22](https://link.pdpalawbase.com/section/22.md) หลักการเก็บตามวัตถุประสงค์ + [มาตรา 23](https://link.pdpalawbase.com/section/23.md) หน้าที่แจ้ง)
- **เทียบกับ GDPR:** ฐานใน [มาตรา 24](https://link.pdpalawbase.com/section/24.md) สอดคล้องกับฐานในการประมวลผลตาม GDPR Art. 6 ที่ระบุ 6 ฐาน คือ ความยินยอม / สัญญา / หน้าที่ตามกฎหมาย / ผลประโยชน์สำคัญต่อชีวิต / ภารกิจประโยชน์สาธารณะ / ประโยชน์โดยชอบด้วยกฎหมาย — เกือบสมมาตร 1:1
- **ฐานในการประมวลผลข้อมูลอ่อนไหว vs ฐานทั่วไป:** [มาตรา 26](https://link.pdpalawbase.com/section/26.md) ไม่ใช่ "เพิ่ม" จากฐานทั่วไป แต่เป็น "เปลี่ยนชุด" ทั้งหมด — ผู้ควบคุมที่ต้องการเก็บข้อมูลอ่อนไหวต้องเข้า 1 ใน 6 ฐานของ [มาตรา 26](https://link.pdpalawbase.com/section/26.md) ไม่ใช่พึ่งฐานใน [มาตรา 24](https://link.pdpalawbase.com/section/24.md)

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/concept/lawful-basis.md

============================================================
โนด: คณะกรรมการกำกับสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล
ลิงก์อ้างอิง: https://link.pdpalawbase.com/concept/office-supervisory-committee.md

# คณะกรรมการกำกับสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล

## นิยาม

คณะกรรมการกำกับสำนักงานฯ คือ **บอร์ดที่กำกับดูแลการบริหารงานภายใน**ของสำนักงาน ([มาตรา 43](https://link.pdpalawbase.com/section/43.md)) — แยกบทบาทจาก**คณะกรรมการคุ้มครองข้อมูลส่วนบุคคล** ([มาตรา 8](https://link.pdpalawbase.com/section/8.md)) ที่กำหนดนโยบายและบังคับใช้กฎหมายต่อสาธารณะ จัดตั้งตาม [มาตรา 48](https://link.pdpalawbase.com/section/48.md):

> ให้มีคณะกรรมการกำกับสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล ประกอบด้วยประธานกรรมการซึ่งสรรหาและแต่งตั้งจากผู้มีความรู้ ความเชี่ยวชาญ ... ปลัดกระทรวงดิจิทัลเพื่อเศรษฐกิจและสังคม และเลขาธิการคณะกรรมการดิจิทัลเพื่อเศรษฐกิจและสังคมแห่งชาติ เป็นกรรมการ และกรรมการผู้ทรงคุณวุฒิจำนวนหกคน ...

องค์ประกอบ: **ประธาน 1 คน** + **กรรมการโดยตำแหน่ง 2 คน** (ปลัดกระทรวงดิจิทัลฯ และเลขาธิการคณะกรรมการดิจิทัลฯ) + **ผู้ทรงคุณวุฒิ 6 คน** (อย่างน้อย 3 คนเชี่ยวชาญด้านการคุ้มครองข้อมูล) + **เลขาธิการสำนักงาน**เป็นกรรมการและเลขานุการ

## ตัวอย่าง

อำนาจหน้าที่ของคณะกรรมการกำกับสำนักงาน (ตาม [มาตรา 54](https://link.pdpalawbase.com/section/54.md)):

- **กำหนดนโยบายการบริหารงาน** + เห็นชอบแผนดำเนินงานของสำนักงาน
- **ออกข้อบังคับภายใน** ด้านการจัดองค์กร การเงิน การบริหารงานบุคคล การตรวจสอบภายใน
- **อนุมัติงบประมาณ**รายจ่ายประจำปี
- **แต่งตั้งคณะกรรมการสรรหาเลขาธิการ** + แต่งตั้งและ**ประเมินผลเลขาธิการ**
- **วินิจฉัยอุทธรณ์**คำสั่งทางปกครองของเลขาธิการ เฉพาะส่วนการบริหารงานภายในของสำนักงาน

## มาตราที่เกี่ยวข้อง

**องค์ประกอบและที่มา:**

- [มาตรา 48](https://link.pdpalawbase.com/section/48.md) — ⭐ องค์ประกอบของคณะกรรมการกำกับสำนักงาน
- [มาตรา 49](https://link.pdpalawbase.com/section/49.md) — คณะกรรมการสรรหา (คัดเลือกประธานและผู้ทรงคุณวุฒิ)
- [มาตรา 50](https://link.pdpalawbase.com/section/50.md) — ขั้นตอนการสรรหาและการแต่งตั้ง
- [มาตรา 51](https://link.pdpalawbase.com/section/51.md) — วาระการดำรงตำแหน่ง
- [มาตรา 52](https://link.pdpalawbase.com/section/52.md) — การพ้นจากตำแหน่ง

**การทำงานและอำนาจ:**

- [มาตรา 53](https://link.pdpalawbase.com/section/53.md) — การประชุม องค์ประชุม และการลงมติ
- [มาตรา 54](https://link.pdpalawbase.com/section/54.md) — หน้าที่และอำนาจ 8 ข้อ

**ความสัมพันธ์กับเลขาธิการ:**

- [มาตรา 57](https://link.pdpalawbase.com/section/57.md) — แต่งตั้งเลขาธิการ
- [มาตรา 60](https://link.pdpalawbase.com/section/60.md) — วาระและการสรรหาเลขาธิการคนใหม่
- [มาตรา 92](https://link.pdpalawbase.com/section/92.md) — บทเฉพาะกาล (คณะกรรมการชุดแรก)

## ประกาศที่เกี่ยวข้อง

\-

## หมายเหตุ

- **กำกับการบริหาร ไม่ใช่กำกับการบังคับใช้กฎหมาย:** คณะกรรมการกำกับสำนักงานดูแล "องค์กร" (งบประมาณ บุคคล นโยบายดำเนินงาน) ส่วนการออกประกาศและการลงโทษทางปกครองต่อสาธารณะเป็นของคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล ([มาตรา 8](https://link.pdpalawbase.com/section/8.md), [มาตรา 16](https://link.pdpalawbase.com/section/16.md))
- **เสียงชี้ขาดของประธาน:** ผู้ทรงคุณวุฒิ 6 คนเป็นเลขคู่ → [มาตรา 53](https://link.pdpalawbase.com/section/53.md) ให้ประธานออกเสียงเพิ่มเป็นเสียงชี้ขาดเมื่อคะแนนเท่ากัน ป้องกันการตัดสินใจไม่ได้
- **ห่วงโซ่การกำกับ:** คณะกรรมการคุ้มครองข้อมูลส่วนบุคคล → แต่งตั้งคณะกรรมการสรรหา → ได้คณะกรรมการกำกับสำนักงาน → กำกับสำนักงานและเลขาธิการ

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/concept/office-supervisory-committee.md

============================================================
โนด: สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล
ลิงก์อ้างอิง: https://link.pdpalawbase.com/concept/pdpc-office.md

# สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล

## นิยาม

สำนักงาน คือ **ฝ่ายปฏิบัติการ** ของระบบคุ้มครองข้อมูลส่วนบุคคลของประเทศ จัดตั้งตาม [มาตรา 43](https://link.pdpalawbase.com/section/43.md):

> ให้มีสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลมีวัตถุประสงค์เกี่ยวกับการคุ้มครองข้อมูลส่วนบุคคล รวมทั้งส่งเสริมและสนับสนุนให้เกิดการพัฒนาด้านการคุ้มครองข้อมูลส่วนบุคคลของประเทศ
>
> สำนักงานเป็นหน่วยงานของรัฐมีฐานะเป็นนิติบุคคล และไม่เป็นส่วนราชการ ... หรือรัฐวิสาหกิจ ...

สถานะคือ **หน่วยงานของรัฐที่เป็นนิติบุคคล** แต่ไม่ใช่ส่วนราชการและไม่ใช่รัฐวิสาหกิจ — รูปแบบเดียวกับองค์กรกำกับดูแลอิสระหลายแห่งของไทย ทำให้บริหารงานบุคคลและงบประมาณได้คล่องตัวนอกระบบราชการประจำ

สำนักงานเป็นคนละองค์กรกับ **คณะกรรมการคุ้มครองข้อมูลส่วนบุคคล** ([มาตรา 8](https://link.pdpalawbase.com/section/8.md)) ซึ่งเป็นผู้กำหนดนโยบายและออกประกาศ — สำนักงานเป็นหน่วยงานที่ทำงานวิชาการและธุรการสนับสนุนคณะกรรมการชุดต่าง ๆ และดำเนินการตามที่ได้รับมอบหมาย

## ตัวอย่าง

หน้าที่ของสำนักงานในทางปฏิบัติ (ตาม [มาตรา 44](https://link.pdpalawbase.com/section/44.md)):

- จัดทำ**ร่างแผนแม่บท**การส่งเสริมและคุ้มครองข้อมูลส่วนบุคคล
- **ตรวจสอบและรับรอง**ความสอดคล้องตามมาตรฐาน รวมถึงนโยบายส่งข้อมูลในเครือกิจการต่างประเทศตาม [มาตรา 29](https://link.pdpalawbase.com/section/29.md)
- เป็น**ศูนย์กลางบริการวิชาการ** + เผยแพร่ความรู้ + จัด**หลักสูตรฝึกอบรม**ผู้ควบคุมข้อมูล ผู้ประมวลผลข้อมูล และเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล
- รับ**แจ้งเหตุละเมิด**ข้อมูลส่วนบุคคลตาม [มาตรา 37](https://link.pdpalawbase.com/section/37.md) (4)
- **ติดตามและประเมินผล**การปฏิบัติตามพระราชบัญญัติ

อำนาจในฐานะนิติบุคคล (ตาม [มาตรา 45](https://link.pdpalawbase.com/section/45.md)): ถือกรรมสิทธิ์ ทำนิติกรรม เรียกเก็บค่าธรรมเนียมโดยความเห็นชอบของคณะกรรมการกำกับสำนักงาน

## มาตราที่เกี่ยวข้อง

**การจัดตั้งและสถานะ:**

- [มาตรา 43](https://link.pdpalawbase.com/section/43.md) — ⭐ การจัดตั้งสำนักงาน + สถานะนิติบุคคล/หน่วยงานของรัฐ
- [มาตรา 46](https://link.pdpalawbase.com/section/46.md) — ทุนและทรัพย์สินของสำนักงาน
- [มาตรา 47](https://link.pdpalawbase.com/section/47.md) — รายได้ของสำนักงาน

**หน้าที่และอำนาจ:**

- [มาตรา 44](https://link.pdpalawbase.com/section/44.md) — หน้าที่และอำนาจ 11 ข้อ
- [มาตรา 45](https://link.pdpalawbase.com/section/45.md) — อำนาจทั่วไปในฐานะนิติบุคคล

**การกำกับและการบริหาร:**

- [มาตรา 48](https://link.pdpalawbase.com/section/48.md) — คณะกรรมการกำกับสำนักงาน — บอร์ดที่กำกับการบริหารของสำนักงาน
- [มาตรา 54](https://link.pdpalawbase.com/section/54.md) — หน้าที่และอำนาจของคณะกรรมการกำกับสำนักงานต่อสำนักงาน
- [มาตรา 57](https://link.pdpalawbase.com/section/57.md) — เลขาธิการ — ผู้บริหารกิจการของสำนักงาน

## ประกาศที่เกี่ยวข้อง

\-

## หมายเหตุ

- **สามองค์กรในระบบ:** (1) **คณะกรรมการคุ้มครองข้อมูลส่วนบุคคล** ([มาตรา 8](https://link.pdpalawbase.com/section/8.md)) = ผู้กำหนดนโยบาย/มาตรฐาน; (2) **คณะกรรมการกำกับสำนักงาน** ([มาตรา 48](https://link.pdpalawbase.com/section/48.md)) = บอร์ดบริหารองค์กร; (3) **สำนักงาน** (มาตรานี้) = ฝ่ายปฏิบัติการ มีเลขาธิการเป็นผู้บริหาร ([มาตรา 57](https://link.pdpalawbase.com/section/57.md))
- **ความเป็นอิสระจากระบบราชการ:** การไม่อยู่ใต้ระเบียบบริหารราชการแผ่นดิน เปิดทางให้สำนักงานออกข้อบังคับบุคคลและงบประมาณของตนเอง — แต่ค่าตอบแทนพนักงานต้องไม่ต่ำกว่ามาตรฐานกฎหมายแรงงาน
- **ความรับผิดทางละเมิด:** เป็นหน่วยงานของรัฐตามกฎหมายความรับผิดทางละเมิดของเจ้าหน้าที่ — ผู้เสียหายฟ้องสำนักงานได้โดยตรง ไม่ต้องฟ้องเจ้าหน้าที่รายบุคคล

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/concept/pdpc-office.md

============================================================
โนด: ข้อมูลส่วนบุคคล
ลิงก์อ้างอิง: https://link.pdpalawbase.com/concept/personal-data.md

# ข้อมูลส่วนบุคคล

## นิยาม

ตาม [มาตรา 6](https://link.pdpalawbase.com/section/6.md):

> "ข้อมูลส่วนบุคคล" หมายความว่า ข้อมูลเกี่ยวกับบุคคลซึ่งทำให้สามารถระบุตัวบุคคลนั้นได้ ไม่ว่าทางตรงหรือทางอ้อม แต่ไม่รวมถึงข้อมูลของผู้ถึงแก่กรรมโดยเฉพาะ

นิยามนี้ครอบคลุมข้อมูล 2 ลักษณะ:

- **ระบุตัวทางตรง** — ข้อมูลที่ระบุตัวบุคคลได้ทันทีโดยไม่ต้องผสมกับข้อมูลอื่น
- **ระบุตัวทางอ้อม** — ข้อมูลที่เมื่อรวมหรือเชื่อมโยงกับข้อมูลอื่นแล้วระบุตัวบุคคลได้

ขอบเขตของ พ.ร.บ. คุ้มครองข้อมูลส่วนบุคคลกำหนดใน [มาตรา 4](https://link.pdpalawbase.com/section/4.md) (ข้อยกเว้น) และ [มาตรา 5](https://link.pdpalawbase.com/section/5.md) (พื้นที่ใช้บังคับ)

## ตัวอย่าง

**ข้อมูลที่ระบุตัวบุคคลได้ทางตรง:**

- ชื่อ–นามสกุล
- เลขประจำตัวประชาชน
- หมายเลขหนังสือเดินทาง
- ที่อยู่ตามทะเบียนบ้าน
- ภาพถ่ายใบหน้า
- ลายนิ้วมือ (เป็น "ข้อมูลชีวภาพ" ที่จัดเป็นข้อมูลอ่อนไหวเพิ่มเติมตาม [มาตรา 26](https://link.pdpalawbase.com/section/26.md))

**ข้อมูลที่ระบุตัวบุคคลได้ทางอ้อม:**

- หมายเลขโทรศัพท์มือถือ
- ที่อยู่อีเมลที่ระบุชื่อ–สกุล
- หมายเลขประจำตัวลูกค้า/พนักงาน
- พิกัดที่อยู่ (GPS)
- รหัสบนเครื่องอุปกรณ์ (เช่น IMEI MAC IP)
- พฤติกรรมการใช้งานเว็บไซต์ที่เชื่อมโยงกับบัญชีผู้ใช้

**ข้อมูลที่ "ไม่ใช่" ข้อมูลส่วนบุคคลตามนิยาม:**

- ข้อมูลสถิติที่ทำให้ไม่ระบุตัวบุคคลอย่างถาวรและไม่สามารถย้อนกลับได้
- ข้อมูลของนิติบุคคล เช่น ชื่อบริษัท เลขทะเบียนนิติบุคคล
- ข้อมูลของผู้ถึงแก่กรรมโดยเฉพาะ (ตามวลีท้ายนิยามใน [มาตรา 6](https://link.pdpalawbase.com/section/6.md))

## มาตราที่เกี่ยวข้อง

**นิยามและขอบเขต:**

- [มาตรา 6](https://link.pdpalawbase.com/section/6.md) — ⭐ **มาตราหลัก:** นิยามของ "ข้อมูลส่วนบุคคล" (+ นิยามอีก 8 คำสำคัญใน พ.ร.บ.)
- [มาตรา 4](https://link.pdpalawbase.com/section/4.md) — ข้อยกเว้น: บุคคล กิจการสื่อมวลชน วุฒิสภา/รัฐสภา ฝ่ายตุลาการ ฯลฯ — กิจการที่ไม่อยู่ในบังคับของ พ.ร.บ.
- [มาตรา 5](https://link.pdpalawbase.com/section/5.md) — พื้นที่ใช้บังคับ: ใช้กับผู้ควบคุม/ผู้ประมวลผลในราชอาณาจักร (ไม่ว่าจะกระทำในหรือนอกประเทศ)

**ฐานในการประมวลผล:**

- [มาตรา 19](https://link.pdpalawbase.com/section/19.md) — หลักทั่วไป: ต้องได้รับความยินยอมจากเจ้าของข้อมูลก่อนการเก็บ ใช้ หรือเปิดเผย
- [มาตรา 24](https://link.pdpalawbase.com/section/24.md) — ฐานเก็บรวบรวมข้อมูลส่วนบุคคล (ฐานทั่วไป 7 ข้อ)
- [มาตรา 26](https://link.pdpalawbase.com/section/26.md) — กฎเฉพาะของ "ข้อมูลอ่อนไหว" ซึ่งเป็นข้อมูลส่วนบุคคลประเภทพิเศษที่มีกฎเข้มกว่า

**บทเฉพาะกาล:**

- [มาตรา 95](https://link.pdpalawbase.com/section/95.md) — ข้อมูลส่วนบุคคลที่เก็บก่อน พ.ร.บ. มีผลใช้บังคับ ผู้ควบคุมเก็บใช้ต่อตามวัตถุประสงค์เดิมได้ + ต้องมีกลไกถอนความยินยอมอย่างง่าย

## ประกาศที่เกี่ยวข้อง

\-

## หมายเหตุ

- **"ผู้ถึงแก่กรรม" ไม่อยู่ในขอบเขต:** ข้อมูลของผู้เสียชีวิตไม่ใช่ข้อมูลส่วนบุคคลตาม พ.ร.บ. นี้ — ทายาท/ญาติไม่มีสิทธิตามกฎหมายนี้โดยตรง (แต่อาจมีสิทธิตามกฎหมายอื่น เช่น มรดก สิทธิทางทรัพย์)
- **"บุคคล" = บุคคลธรรมดาเท่านั้น** ตาม [มาตรา 6](https://link.pdpalawbase.com/section/6.md) — ข้อมูลของนิติบุคคล (บริษัท ห้างหุ้นส่วน) ไม่ใช่ข้อมูลส่วนบุคคล
- **"ทางอ้อม" คือกุญแจ:** ข้อมูลที่ดูเหมือนไม่ระบุตัวบุคคลโดยลำพัง แต่เชื่อมโยงกับข้อมูลอื่นได้ (เช่น IP + เวลาเข้าใช้ + บัญชี) ก็เข้าข่ายข้อมูลส่วนบุคคล
- **เทียบกับ GDPR:** นิยามใน [มาตรา 6](https://link.pdpalawbase.com/section/6.md) สอดคล้องกับ GDPR Art. 4(1) — ทั้งสองครอบคลุมการระบุตัวบุคคลทั้งทางตรงและทางอ้อม
- **การทำให้ไม่ระบุตัวบุคคล vs การใช้รหัสนามแฝง:**
  - ข้อมูลที่ผ่านการ **ทำให้ไม่ระบุตัวบุคคลอย่างถาวร** (และไม่สามารถย้อนกลับมาระบุตัวได้) — **ไม่ใช่** ข้อมูลส่วนบุคคล
  - ข้อมูลที่ผ่านการ **แทนชื่อด้วยรหัสนามแฝง** (โดยยังเก็บคีย์ในการถอดรหัสไว้) — **ยังเป็น** ข้อมูลส่วนบุคคล เพราะการระบุตัวยังเป็นไปได้เมื่อมีคีย์

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/concept/personal-data.md

============================================================
โนด: บันทึกรายการกิจกรรมการประมวลผล (ROPA)
ลิงก์อ้างอิง: https://link.pdpalawbase.com/concept/ropa.md

# บันทึกรายการกิจกรรมการประมวลผล (ROPA)

## นิยาม

**ROPA** ย่อมาจาก *Records of Processing Activities* ในภาษาอังกฤษ — เป็นศัพท์ที่นิยมใช้ในมาตรฐานสากลและในตำราภาษาไทยเรียกทับศัพท์ว่า "ROPA"

**บันทึกรายการกิจกรรมการประมวลผล** (ROPA) คือเอกสารที่ผู้ควบคุมข้อมูลและผู้ประมวลผลข้อมูลต้องจัดทำและเก็บรักษา เพื่อบันทึกกิจกรรมการประมวลผลข้อมูลส่วนบุคคลทั้งหมดในองค์กร — เป็นหลักฐานว่าได้ปฏิบัติตาม พ.ร.บ. คุ้มครองข้อมูลส่วนบุคคล + ใช้สนับสนุนการตรวจสอบของสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลและเจ้าของข้อมูล

พ.ร.บ. คุ้มครองข้อมูลส่วนบุคคลกำหนดข้อบังคับเกี่ยวกับ ROPA ไว้ใน:

- **[มาตรา 39](https://link.pdpalawbase.com/section/39.md)** — ROPA ของผู้ควบคุมข้อมูล
- **[มาตรา 40](https://link.pdpalawbase.com/section/40.md) (3)** — ROPA ของผู้ประมวลผลข้อมูล

ทั้งสองมาตราระบุว่า "ให้เป็นไปตามหลักเกณฑ์และวิธีการที่คณะกรรมการประกาศกำหนด"

## ตัวอย่าง

### ข้อมูลที่ควรอยู่ใน ROPA (แนวปฏิบัติสากล)

ROPA ของผู้ควบคุมข้อมูลควรครอบคลุมอย่างน้อย:

1. **ชื่อและรายละเอียดของผู้ควบคุมข้อมูล** + ตัวแทน (ถ้ามี) + DPO (ถ้ามี)
2. **วัตถุประสงค์ของการประมวลผล** ในแต่ละกิจกรรม
3. **ฐานในการประมวลผล** (ตาม [มาตรา 24](https://link.pdpalawbase.com/section/24.md) หรือ [มาตรา 26](https://link.pdpalawbase.com/section/26.md)) — ระบุชัดว่าใช้ฐานใดในแต่ละกิจกรรม
4. **ประเภทของเจ้าของข้อมูล** — เช่น ลูกค้า พนักงาน คู่ค้า ผู้รับเงินบำเหน็จ
5. **ประเภทของข้อมูลส่วนบุคคล** — ระบุชัด รวมข้อมูลอ่อนไหวหากมี
6. **ผู้รับข้อมูล** — หน่วยงานราชการ ผู้ประมวลผลที่จ้าง ประเทศที่ส่งข้อมูลไป
7. **การส่งข้อมูลข้ามประเทศ** — ประเทศปลายทาง + กลไกคุ้มครอง (ตาม [มาตรา 28](https://link.pdpalawbase.com/section/28.md) หรือ [มาตรา 29](https://link.pdpalawbase.com/section/29.md))
8. **ระยะเวลาการเก็บข้อมูล** — ระยะเวลาที่กำหนดไว้สำหรับแต่ละประเภทข้อมูล
9. **มาตรการรักษาความมั่นคงปลอดภัย** — มาตรการทางเทคนิคและเชิงองค์กร
10. **ปฏิเสธคำขอใช้สิทธิ์** — เมื่อผู้ควบคุมปฏิเสธคำขอตาม [มาตรา 36](https://link.pdpalawbase.com/section/36.md) ต้องบันทึกเหตุผลในรายการนี้

### ROPA ของผู้ประมวลผล ([มาตรา 40](https://link.pdpalawbase.com/section/40.md) (3))

ผู้ประมวลผลต้องบันทึกรายการประมวลผลของตน ครอบคลุมอย่างน้อย:

1. **ชื่อและรายละเอียดของผู้ประมวลผล** + ผู้ควบคุมที่จ้าง + DPO (ถ้ามี)
2. **ประเภทของการประมวลผล** ที่ดำเนินการในนามของผู้ควบคุมแต่ละราย
3. **การส่งข้อมูลข้ามประเทศ** (ถ้ามี)
4. **มาตรการรักษาความมั่นคงปลอดภัย**

### กรณีศึกษา

- **บริษัทอีคอมเมิร์ซขนาดกลาง:** ROPA แยกหมวดเป็นการประมวลผลลูกค้า / พนักงาน / คู่ค้า / ฐานข้อมูลทางตลาด — แต่ละหมวดระบุวัตถุประสงค์ ฐาน ประเภทข้อมูล ระยะเวลาเก็บ
- **โรงพยาบาล:** ROPA มีหมวดผู้ป่วย (ข้อมูลอ่อนไหว ฐาน = [มาตรา 26](https://link.pdpalawbase.com/section/26.md) (5) (ก)) + พนักงาน + ผู้บริจาคโลหิต (ข้อมูลอ่อนไหว ฐาน = ความยินยอมโดยชัดแจ้ง)
- **ผู้ให้บริการคลาวด์ (ผู้ประมวลผล):** ROPA ระบุประเภทการประมวลผลที่ทำให้ลูกค้าแต่ละราย + มาตรการความปลอดภัย + การส่งข้อมูลไปต่างประเทศ (ถ้ามี) — ไม่ต้องระบุวัตถุประสงค์เพราะเป็นของลูกค้าผู้ควบคุม

## มาตราที่เกี่ยวข้อง

**บทบัญญัติหลัก:**

- [มาตรา 39](https://link.pdpalawbase.com/section/39.md) — ⭐ **มาตราหลัก:** ROPA ของผู้ควบคุมข้อมูล + อ้างถึง [มาตรา 36](https://link.pdpalawbase.com/section/36.md) (บันทึกการปฏิเสธคำขอแก้ไข)
- [มาตรา 40](https://link.pdpalawbase.com/section/40.md) (3) — ROPA ของผู้ประมวลผลข้อมูล

**ความเกี่ยวเนื่อง:**

- [มาตรา 36](https://link.pdpalawbase.com/section/36.md) — กลไกบันทึกในกรณีที่ผู้ควบคุมปฏิเสธคำขอแก้ไขข้อมูลตาม [มาตรา 35](https://link.pdpalawbase.com/section/35.md) — ต้องบันทึกในรายการตาม [มาตรา 39](https://link.pdpalawbase.com/section/39.md)

## ประกาศที่เกี่ยวข้อง

ชุดประกาศ PDPC หมวด ROPA ครบ 4 ฉบับ:

- [ประกาศ เรื่อง หลักเกณฑ์การจัดทำและเก็บรักษาบันทึกรายการของผู้ประมวลผลข้อมูลส่วนบุคคล พ.ศ. 2565](https://link.pdpalawbase.com/notification/4-1.md) — กำหนดรายการอย่างน้อย 6 รายการของ ROPA ฝั่งผู้ประมวลผล ([มาตรา 40](https://link.pdpalawbase.com/section/40.md) วรรคหนึ่ง (3))
- [ประกาศ เรื่อง การยกเว้นการบันทึกรายการของผู้ควบคุมข้อมูลส่วนบุคคลซึ่งเป็นกิจการขนาดเล็ก พ.ศ. 2567](https://link.pdpalawbase.com/notification/4-2.md) — ยกเว้น ROPA ฝั่งผู้ควบคุมให้กิจการขนาดเล็ก 8 ประเภท (ยกเลิกฉบับ พ.ศ. 2565)
- [ประกาศ เรื่อง การยกเว้นการจัดทำบันทึกรายการของผู้ประมวลผลข้อมูลส่วนบุคคลซึ่งเป็นกิจการขนาดเล็ก พ.ศ. 2567](https://link.pdpalawbase.com/notification/4-3.md) — ยกเว้น ROPA ฝั่งผู้ประมวลผลให้กิจการขนาดเล็ก
- [ประกาศ เรื่อง การยกเว้นการบันทึกรายการของผู้ควบคุมข้อมูลส่วนบุคคลซึ่งเป็นกิจการขนาดเล็ก พ.ศ. 2565](https://link.pdpalawbase.com/notification/4-4.md) — ฉบับแรกของการยกเว้นฝั่งผู้ควบคุม (ถูกยกเลิกโดยฉบับ พ.ศ. 2567 ตั้งแต่ 8 เมษายน 2568)

## หมายเหตุ

- **ROPA = หลักฐานการปฏิบัติตาม พ.ร.บ.:** สำคัญเพราะภาระการพิสูจน์อยู่ที่ผู้ควบคุม — เมื่อมีข้อโต้แย้งหรือถูกตรวจสอบ ผู้ควบคุมต้องแสดงให้เห็นว่าการประมวลผลแต่ละครั้งอยู่บนฐานใดและมีมาตรการคุ้มครองอย่างไร — ROPA เป็นเอกสารที่ตอบคำถามเหล่านี้
- **เอกสารต้องอัปเดตอย่างต่อเนื่อง:** ROPA ไม่ใช่เอกสารที่ทำครั้งเดียวจบ — ต้องอัปเดตทุกครั้งที่มีกิจกรรมการประมวลผลใหม่ เปลี่ยนวัตถุประสงค์ หรือเปลี่ยนผู้รับข้อมูล
- **ROPA vs DPIA:** ROPA = บันทึกการประมวลผลทุกกิจกรรม (เน้นการบันทึก) — DPIA = ประเมินความเสี่ยงเฉพาะกิจกรรมที่มีความเสี่ยงสูง (เน้นการประเมิน) — ทั้งสองเสริมกันแต่ไม่เหมือนกัน
- **เทียบกับ GDPR Art. 30:** สอดคล้องกับบันทึกรายการกิจกรรมการประมวลผลตาม GDPR Art. 30 — เกือบสมมาตร 1:1 ทั้งสำหรับผู้ควบคุมและผู้ประมวลผล GDPR มีข้อยกเว้นสำหรับองค์กรขนาดเล็ก (น้อยกว่า 250 คน) ที่ไม่มีการประมวลผลความเสี่ยงสูง — ฝั่งไทย คณะกรรมการออกประกาศยกเว้นสำหรับกิจการขนาดเล็กแล้วทั้งฝั่งผู้ควบคุมและผู้ประมวลผล (ดู "ประกาศที่เกี่ยวข้อง")
- **เอกสารต้องเปิดเผยให้ใคร:** ROPA ต้องพร้อมให้สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลตรวจสอบเมื่อมีคำขอ — ไม่จำเป็นต้องเปิดเผยต่อสาธารณะ แต่บางส่วน (เช่น วัตถุประสงค์ ระยะเวลาเก็บ) ควรแจ้งให้เจ้าของข้อมูลทราบตาม [มาตรา 23](https://link.pdpalawbase.com/section/23.md)
- **รูปแบบของ ROPA:** ไม่มีข้อกำหนดรูปแบบเฉพาะ — อาจเป็นเอกสารกระดาษ ตารางในแฟ้มบันทึก หรือฐานข้อมูลในระบบ — แต่ต้องเข้าถึงได้และตรวจสอบได้

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/concept/ropa.md

============================================================
โนด: คณะกรรมการสรรหาเลขาธิการ
ลิงก์อ้างอิง: https://link.pdpalawbase.com/concept/secretary-general-selection-committee.md

# คณะกรรมการสรรหาเลขาธิการ

## นิยาม

คณะกรรมการสรรหาเลขาธิการ คือคณะที่ **คณะกรรมการกำกับสำนักงาน** ([มาตรา 48](https://link.pdpalawbase.com/section/48.md)) แต่งตั้งขึ้นเพื่อ**สรรหาตัวเลขาธิการ** ([มาตรา 57](https://link.pdpalawbase.com/section/57.md)) ของสำนักงาน อำนาจแต่งตั้งคณะนี้อยู่ใน [มาตรา 54](https://link.pdpalawbase.com/section/54.md) (5) และกรอบเวลา/วิธีการอยู่ใน [มาตรา 60](https://link.pdpalawbase.com/section/60.md):

> ... ให้คณะกรรมการกำกับสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลแต่งตั้งคณะกรรมการสรรหาเพื่อสรรหาเลขาธิการคนใหม่ ทั้งนี้ ให้คณะกรรมการสรรหาเสนอรายชื่อบุคคลที่เหมาะสมไม่เกินสามคนต่อคณะกรรมการกำกับสำนักงาน ...

เป็นคนละชุดกับ **คณะกรรมการสรรหา** ตาม [มาตรา 49](https://link.pdpalawbase.com/section/49.md) ที่คัดเลือกประธานและผู้ทรงคุณวุฒิของคณะกรรมการกำกับสำนักงาน

## ตัวอย่าง

กรอบการสรรหาเลขาธิการ (ตาม [มาตรา 60](https://link.pdpalawbase.com/section/60.md)):

- **กรณีครบวาระ:** แต่งตั้งคณะกรรมการสรรหา**ก่อนครบวาระ 30–60 วัน**
- **กรณีพ้นก่อนวาระ:** แต่งตั้ง**ภายใน 30 วัน**นับแต่พ้นตำแหน่ง
- คณะกรรมการสรรหาเสนอรายชื่อ**ไม่เกิน 3 คน** (อาจเสนอ 1, 2 หรือ 3 คน) ต่อคณะกรรมการกำกับสำนักงาน
- คณะกรรมการกำกับสำนักงาน**เลือก 1 คน** เป็นเลขาธิการ — มีดุลพินิจในการเลือก

## มาตราที่เกี่ยวข้อง

- [มาตรา 60](https://link.pdpalawbase.com/section/60.md) — ⭐ กรอบเวลาและวิธีการสรรหาเลขาธิการ (เสนอไม่เกิน 3 คน)
- [มาตรา 54](https://link.pdpalawbase.com/section/54.md) — (5) อำนาจคณะกรรมการกำกับสำนักงานในการแต่งตั้งคณะกรรมการสรรหาเลขาธิการ
- [มาตรา 57](https://link.pdpalawbase.com/section/57.md) — เลขาธิการ — ตำแหน่งที่คณะนี้สรรหา
- [มาตรา 48](https://link.pdpalawbase.com/section/48.md) — คณะกรรมการกำกับสำนักงาน — ผู้แต่งตั้งคณะนี้และผู้เลือกเลขาธิการในขั้นสุดท้าย

## ประกาศที่เกี่ยวข้อง

\-

## หมายเหตุ

- **"ไม่เกิน 3 คน" ให้ดุลพินิจผู้แต่งตั้ง:** ต่างจากการสรรหาผู้ทรงคุณวุฒิที่เสนอ "เท่ากับจำนวน" ([มาตรา 50](https://link.pdpalawbase.com/section/50.md)) — เพราะเลขาธิการเป็นตำแหน่งบริหารคนเดียวที่ขึ้นตรงต่อคณะกรรมการกำกับสำนักงาน จึงควรให้ผู้กำกับเลือกได้
- **กรอบเวลา 30–60 วันก่อนครบวาระ:** ขั้นต่ำ 30 วันกันการรีบสรรหาวินาทีสุดท้าย; ขั้นสูง 60 วันกันการสรรหาเร็วเกินไปจนลดอำนาจเลขาธิการคนปัจจุบัน
- **ช่องว่างเรื่องผู้รักษาการ:** [มาตรา 60](https://link.pdpalawbase.com/section/60.md) ไม่ระบุผู้รักษาการระหว่างสรรหา — ในทางปฏิบัติอาจอาศัยรองเลขาธิการตาม [มาตรา 63](https://link.pdpalawbase.com/section/63.md) (4)

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/concept/secretary-general-selection-committee.md

============================================================
โนด: เลขาธิการคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล
ลิงก์อ้างอิง: https://link.pdpalawbase.com/concept/secretary-general.md

# เลขาธิการคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล

## นิยาม

เลขาธิการ คือ **ผู้บริหารกิจการของสำนักงาน** ([มาตรา 43](https://link.pdpalawbase.com/section/43.md)) — ผู้บริหารสูงสุดในเชิงปฏิบัติงาน มีเพียงคนเดียว แต่งตั้งโดยคณะกรรมการกำกับสำนักงาน ([มาตรา 48](https://link.pdpalawbase.com/section/48.md)) ตาม [มาตรา 57](https://link.pdpalawbase.com/section/57.md):

> ให้สำนักงานมีเลขาธิการคนหนึ่งซึ่งคณะกรรมการกำกับสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลแต่งตั้ง มีหน้าที่บริหารกิจการของสำนักงาน

เลขาธิการเป็นระดับ **ปฏิบัติการ** อยู่ภายใต้การควบคุมและกำกับของคณะกรรมการกำกับสำนักงาน ([มาตรา 54](https://link.pdpalawbase.com/section/54.md) (4)) นอกจากบริหารสำนักงานแล้ว เลขาธิการยังเป็น **กรรมการและเลขานุการ**ของคณะกรรมการกำกับสำนักงาน ([มาตรา 48](https://link.pdpalawbase.com/section/48.md) วรรคสอง) และเป็น**เลขานุการ**ของคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล ([มาตรา 8](https://link.pdpalawbase.com/section/8.md)) ด้วย

## ตัวอย่าง

บทบาทและกรอบของเลขาธิการ:

- **บริหารกิจการของสำนักงาน** — งานประจำวัน บุคคล งบประมาณตามที่ได้รับอนุมัติ
- **จัดทำแผนดำเนินงาน** เสนอคณะกรรมการกำกับสำนักงาน (ตาม [มาตรา 63](https://link.pdpalawbase.com/section/63.md))
- **วาระ 4 ปี ไม่เกิน 2 วาระ** (รวมไม่เกิน 8 ปี) ตาม [มาตรา 60](https://link.pdpalawbase.com/section/60.md)
- คำสั่งทางปกครองของเลขาธิการในเรื่องบริหารภายใน **อุทธรณ์ต่อคณะกรรมการกำกับสำนักงาน**ได้ ([มาตรา 54](https://link.pdpalawbase.com/section/54.md) (6))
- ถูก**ประเมินผลการปฏิบัติงาน**โดยคณะกรรมการกำกับสำนักงาน ([มาตรา 54](https://link.pdpalawbase.com/section/54.md) (7))

## มาตราที่เกี่ยวข้อง

**ตำแหน่งและการแต่งตั้ง:**

- [มาตรา 57](https://link.pdpalawbase.com/section/57.md) — ⭐ เลขาธิการเป็นผู้บริหารกิจการของสำนักงาน + การแต่งตั้ง
- [มาตรา 58](https://link.pdpalawbase.com/section/58.md) — คุณสมบัติของเลขาธิการ
- [มาตรา 59](https://link.pdpalawbase.com/section/59.md) — ลักษณะต้องห้าม
- [มาตรา 60](https://link.pdpalawbase.com/section/60.md) — วาระ 4 ปี (ไม่เกิน 2 วาระ) + การสรรหาคนใหม่

**บทบาทและการกำกับ:**

- [มาตรา 48](https://link.pdpalawbase.com/section/48.md) — กรรมการและเลขานุการของคณะกรรมการกำกับสำนักงาน
- [มาตรา 54](https://link.pdpalawbase.com/section/54.md) — คณะกรรมการกำกับสำนักงานควบคุม/ประเมิน/วินิจฉัยอุทธรณ์เลขาธิการ
- [มาตรา 63](https://link.pdpalawbase.com/section/63.md) — หน้าที่และอำนาจของเลขาธิการ

## ประกาศที่เกี่ยวข้อง

\-

## หมายเหตุ

- **สองระดับการบริหารของสำนักงาน:** คณะกรรมการกำกับสำนักงาน ([มาตรา 48](https://link.pdpalawbase.com/section/48.md)) = ระดับนโยบายและกำกับ; เลขาธิการ (มาตรานี้) = ระดับปฏิบัติการ
- **บทบาทซ้อนสามตำแหน่ง:** เลขาธิการเป็นทั้งผู้บริหารสำนักงาน + กรรมการและเลขานุการของคณะกรรมการกำกับสำนักงาน + เลขานุการของคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล
- **การสรรหาต่างจากผู้ทรงคุณวุฒิ:** คณะกรรมการสรรหาเลขาธิการเสนอรายชื่อ**ไม่เกิน 3 คน** ให้คณะกรรมการกำกับสำนักงานเลือก ([มาตรา 60](https://link.pdpalawbase.com/section/60.md)) — ต่างจากการสรรหาผู้ทรงคุณวุฒิที่เสนอ "เท่ากับจำนวน" ([มาตรา 50](https://link.pdpalawbase.com/section/50.md))

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/concept/secretary-general.md

============================================================
โนด: คณะกรรมการสรรหา
ลิงก์อ้างอิง: https://link.pdpalawbase.com/concept/selection-committee.md

# คณะกรรมการสรรหา

## นิยาม

คณะกรรมการสรรหา คือคณะบุคคล **8 คน** ที่คณะกรรมการคุ้มครองข้อมูลส่วนบุคคล ([มาตรา 8](https://link.pdpalawbase.com/section/8.md)) แต่งตั้งขึ้นเพื่อ **คัดเลือกประธานและกรรมการผู้ทรงคุณวุฒิ**ของคณะกรรมการกำกับสำนักงาน ([มาตรา 48](https://link.pdpalawbase.com/section/48.md)) ตาม [มาตรา 49](https://link.pdpalawbase.com/section/49.md):

> ให้มีคณะกรรมการสรรหาคณะหนึ่งประกอบด้วยบุคคลซึ่งคณะกรรมการแต่งตั้งจำนวนแปดคนทำหน้าที่คัดเลือกบุคคลที่สมควรได้รับการแต่งตั้งเป็นประธานกรรมการและกรรมการผู้ทรงคุณวุฒิตามมาตรา 48

คณะกรรมการสรรหา**เลือกกันเอง**ให้คนหนึ่งเป็นประธานและอีกคนเป็นเลขานุการ โดยมีสำนักงานเป็นหน่วยธุรการ — และเป็นคณะคนละชุดกับ **คณะกรรมการสรรหาเลขาธิการ** ที่คัดเลือกตัวเลขาธิการ

## ตัวอย่าง

หลักการทำงานที่สำคัญ:

- **คัดเลือกเท่ากับจำนวนที่จะแต่งตั้ง** — เสนอรายชื่อตรงตามจำนวน ไม่ใช่เสนอหลายชื่อให้เลือก ([มาตรา 50](https://link.pdpalawbase.com/section/50.md))
- ผู้ถูกเสนอชื่อต้อง**ยินยอม**ก่อนคัดเลือก
- กรรมการสรรหา**ห้ามเสนอชื่อตนเอง**เข้ารับการคัดเลือก (กันผลประโยชน์ทับซ้อน)
- หลักเกณฑ์การสรรหาต้องคำนึงถึง**ความโปร่งใสและความเป็นธรรม**
- เมื่อคัดเลือกครบ ส่งรายชื่อ + หลักฐานต่อคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลเพื่อแต่งตั้ง และประกาศในราชกิจจานุเบกษา

## มาตราที่เกี่ยวข้อง

- [มาตรา 49](https://link.pdpalawbase.com/section/49.md) — ⭐ องค์ประกอบและหน้าที่ของคณะกรรมการสรรหา
- [มาตรา 50](https://link.pdpalawbase.com/section/50.md) — ขั้นตอนการคัดเลือกและการเสนอชื่อเพื่อแต่งตั้ง
- [มาตรา 48](https://link.pdpalawbase.com/section/48.md) — คณะกรรมการกำกับสำนักงาน — ตำแหน่งที่คณะกรรมการสรรหาคัดเลือกให้

## ประกาศที่เกี่ยวข้อง

\-

## หมายเหตุ

- **กลไกถ่วงดุล:** ผู้คัดเลือก (คณะกรรมการสรรหา) ≠ ผู้แต่งตั้ง (คณะกรรมการคุ้มครองข้อมูลส่วนบุคคล) ≠ องค์กรผลลัพธ์ (คณะกรรมการกำกับสำนักงาน) — ลดความเสี่ยงผูกขาดการเลือกบุคคล
- **ทำงานต่อได้แม้ตำแหน่งว่าง:** [มาตรา 49](https://link.pdpalawbase.com/section/49.md) วรรคสาม ให้คณะกรรมการสรรหาประกอบด้วยกรรมการเท่าที่มีอยู่ระหว่างรอแต่งตั้งคนแทน
- **ต่างจากคณะกรรมการสรรหาเลขาธิการ:** คณะนี้เสนอรายชื่อ "เท่ากับจำนวน" ([มาตรา 50](https://link.pdpalawbase.com/section/50.md)) ขณะที่คณะกรรมการสรรหาเลขาธิการเสนอ "ไม่เกิน 3 คน" ให้เลือก ([มาตรา 60](https://link.pdpalawbase.com/section/60.md))

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/concept/selection-committee.md

============================================================
โนด: ข้อมูลอ่อนไหว
ลิงก์อ้างอิง: https://link.pdpalawbase.com/concept/sensitive-data.md

# ข้อมูลอ่อนไหว

## นิยาม

**ข้อมูลอ่อนไหว** คือข้อมูลส่วนบุคคลประเภทพิเศษที่ พ.ร.บ. คุ้มครองข้อมูลส่วนบุคคลกำหนดให้มีมาตรการคุ้มครองเข้มกว่าข้อมูลทั่วไป โดยห้ามเก็บรวบรวมเว้นแต่จะได้รับ **ความยินยอมโดยชัดแจ้ง** จากเจ้าของข้อมูล หรือเข้าข้อยกเว้นตามที่กฎหมายกำหนด

นิยามและรายการประเภทของข้อมูลอ่อนไหวกำหนดไว้ใน [มาตรา 26](https://link.pdpalawbase.com/section/26.md) วรรคหนึ่ง

## ตัวอย่าง

ประเภทของข้อมูลอ่อนไหวตามที่ระบุชัดใน [มาตรา 26](https://link.pdpalawbase.com/section/26.md):

- **เชื้อชาติ เผ่าพันธุ์** — ข้อมูลเกี่ยวกับชาติพันธุ์หรือต้นกำเนิด
- **ความคิดเห็นทางการเมือง** — เช่น การสังกัดพรรค การลงคะแนนเสียง
- **ความเชื่อในลัทธิ ศาสนา หรือปรัชญา** — เช่น การนับถือศาสนา ความเชื่อทางจิตวิญญาณ
- **พฤติกรรมทางเพศ** — รสนิยมทางเพศ อัตลักษณ์ทางเพศ
- **ประวัติอาชญากรรม** — ประวัติการกระทำผิด การถูกฟ้องร้อง
- **ข้อมูลสุขภาพ** — ผลตรวจ ประวัติการรักษา การวินิจฉัยโรค
- **ความพิการ** — ลักษณะ ระดับ และสาเหตุของความพิการ
- **ข้อมูลสหภาพแรงงาน** — การเป็นสมาชิกหรือกิจกรรมในสหภาพ
- **ข้อมูลพันธุกรรม** — ผลตรวจสารพันธุกรรม ข้อมูลทางพันธุศาสตร์
- **ข้อมูลชีวภาพ** — ข้อมูลที่ใช้ยืนยันตัวตนจากลักษณะทางกายภาพหรือพฤติกรรม เช่น ภาพจำลองใบหน้า ภาพจำลองม่านตา ลายนิ้วมือ
- **ข้อมูลอื่นใด** ที่คณะกรรมการประกาศกำหนดเพิ่มเติม

## มาตราที่เกี่ยวข้อง

**ฐานในการประมวลผล (หลักการห้าม + ข้อยกเว้น):**

- [มาตรา 26](https://link.pdpalawbase.com/section/26.md) — ⭐ **มาตราหลัก:** นิยามและรายการประเภทของข้อมูลอ่อนไหว + หลักการห้ามเก็บ + ข้อยกเว้น 5 ข้อ + บทบัญญัติพิเศษเรื่องประวัติอาชญากรรม
- [มาตรา 24](https://link.pdpalawbase.com/section/24.md) — ฐานเก็บรวบรวมข้อมูลทั่วไป (เปรียบเทียบ — [มาตรา 26](https://link.pdpalawbase.com/section/26.md) เป็นกฎเฉพาะที่เข้มกว่า)
- [มาตรา 25](https://link.pdpalawbase.com/section/25.md) — กรณีพิเศษของผู้เยาว์/คนไร้ความสามารถ — กลไกการขอความยินยอมต่างจากผู้บรรลุนิติภาวะ

**การใช้ การเปิดเผย และการส่งต่างประเทศ:**

- [มาตรา 27](https://link.pdpalawbase.com/section/27.md) — การใช้และการเปิดเผยข้อมูลอ่อนไหว ต้องเป็นไปตามวัตถุประสงค์ที่แจ้งไว้
- [มาตรา 28](https://link.pdpalawbase.com/section/28.md) — การส่งข้อมูลไปต่างประเทศ — ข้อมูลอ่อนไหวมีกฎเฉพาะตามที่ [มาตรา 84](https://link.pdpalawbase.com/section/84.md) อ้างถึง

**สิทธิของเจ้าของข้อมูล (มีบทบัญญัติพิเศษเกี่ยวกับข้อมูลอ่อนไหว):**

- [มาตรา 33](https://link.pdpalawbase.com/section/33.md) — สิทธิให้ลบ — ข้อยกเว้นกรณีข้อมูลอ่อนไหวเพื่อเวชศาสตร์ป้องกัน อาชีวอนามัย หรือการวิจัย ([มาตรา 26](https://link.pdpalawbase.com/section/26.md) (5) (ก)/(ข))

**ตัวแทนและเจ้าหน้าที่คุ้มครองข้อมูล (DPO):**

- [มาตรา 38](https://link.pdpalawbase.com/section/38.md) — ข้อยกเว้นการแต่งตั้งตัวแทน: กิจการเล็กต้อง "ไม่เก็บข้อมูลอ่อนไหว" จึงจะได้รับข้อยกเว้น
- [มาตรา 41](https://link.pdpalawbase.com/section/41.md) — ข้อบังคับแต่งตั้ง DPO: กิจกรรมหลักที่ประมวลผลข้อมูลอ่อนไหวต้องแต่ง DPO เสมอ

**บทกำหนดโทษ:**

- [มาตรา 79](https://link.pdpalawbase.com/section/79.md) — โทษอาญา: จำคุกไม่เกิน 6 เดือน หรือปรับไม่เกิน 500,000 บาท หรือทั้งจำทั้งปรับ สำหรับการฝ่าฝืน [มาตรา 27](https://link.pdpalawbase.com/section/27.md) หรือไม่ปฏิบัติตาม [มาตรา 28](https://link.pdpalawbase.com/section/28.md) เกี่ยวกับข้อมูลอ่อนไหวที่น่าจะทำให้ผู้อื่นเสียหาย
- [มาตรา 84](https://link.pdpalawbase.com/section/84.md) — โทษทางปกครอง: ปรับไม่เกิน 5 ล้านบาท สำหรับการฝ่าฝืน [มาตรา 26](https://link.pdpalawbase.com/section/26.md)/[มาตรา 27](https://link.pdpalawbase.com/section/27.md)/[มาตรา 28](https://link.pdpalawbase.com/section/28.md) เกี่ยวกับข้อมูลอ่อนไหว (เพดานสูงสุดในระบบโทษทางปกครอง — เน้นความเข้มของการคุ้มครอง)
- [มาตรา 87](https://link.pdpalawbase.com/section/87.md) — มาตรการบังคับเสริม: ระงับการดำเนินงาน + เปิดเผยรายชื่อต่อสาธารณะ ในกรณีฝ่าฝืนรวมถึงข้อมูลอ่อนไหว

## ประกาศที่เกี่ยวข้อง

\-

## หมายเหตุ

- **ความเข้มของความยินยอม:** ข้อมูลอ่อนไหวต้องใช้ **ความยินยอมโดยชัดแจ้ง** ไม่ใช่ความยินยอมทั่วไป — ต้องแยกออกจากความยินยอมเรื่องอื่น ระบุประเภทข้อมูลและวัตถุประสงค์ชัดเจน และมีหลักฐานที่ตรวจสอบได้
- **เทียบกับ GDPR Art. 9:** [มาตรา 26](https://link.pdpalawbase.com/section/26.md) ของ PDPA สอดคล้องกับ "ข้อมูลประเภทพิเศษ" ใน GDPR Art. 9 โดย PDPA กว้างกว่าในประเด็น:
  - ระบุ "ประวัติอาชญากรรม" รวมในมาตราเดียวกัน (GDPR แยกเป็น Art. 10)
  - ระบุ "ความพิการ" ชัดเจน (GDPR ไม่ระบุชัด)
- **กรณีที่ธุรกิจขนาดเล็กต้องระวัง:**
  - ภาพถ่ายจับใบหน้าลูกค้าผ่านกล้องวงจรปิดหรือระบบรู้จำใบหน้า → ข้อมูลชีวภาพ
  - แบบสมัครงานที่ถามเกี่ยวกับสุขภาพ ศาสนา หรือพฤติกรรมทางเพศ → ข้อมูลอ่อนไหว
  - ข้อมูลการเป็นสมาชิกสหภาพแรงงาน → ข้อมูลอ่อนไหว
- **5 ข้อยกเว้นใน [มาตรา 26](https://link.pdpalawbase.com/section/26.md)** ที่อนุญาตเก็บข้อมูลอ่อนไหวโดยไม่ต้องขอความยินยอมโดยชัดแจ้ง:
  1. ป้องกันอันตรายต่อชีวิต/ร่างกาย/สุขภาพ เมื่อเจ้าของให้ความยินยอมไม่ได้
  2. กิจกรรมขององค์กรไม่แสวงหากำไรเกี่ยวกับศาสนา การเมือง หรือสหภาพแรงงาน (เฉพาะสมาชิก)
  3. ข้อมูลที่เจ้าของเปิดเผยต่อสาธารณะโดยชัดแจ้ง
  4. การก่อตั้ง ใช้ หรือต่อสู้สิทธิเรียกร้องตามกฎหมาย
  5. การปฏิบัติตามกฎหมายในด้านการแพทย์ สาธารณสุข แรงงาน วิจัย หรือประโยชน์สาธารณะที่สำคัญ

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/concept/sensitive-data.md

============================================================
โนด: กิจการขนาดเล็ก
ลิงก์อ้างอิง: https://link.pdpalawbase.com/concept/small-enterprise.md

# กิจการขนาดเล็ก

## นิยาม

กิจการขนาดเล็ก คือผู้ควบคุมข้อมูลที่ได้รับ**การผ่อนปรนภาระบางส่วน**ตามพระราชบัญญัติ เพื่อลดต้นทุนการปฏิบัติตามกฎหมายของกิจการที่มีความเสี่ยงต่ำ เกณฑ์ "กิจการขนาดเล็ก" ไม่ได้กำหนดเป็นตัวเลขในตัวบท แต่ให้**คณะกรรมการประกาศกำหนด** ตาม [มาตรา 39](https://link.pdpalawbase.com/section/39.md) วรรคสาม:

> ความใน (1) (2) (3) (4) (5) (6) และ (8) อาจยกเว้นมิให้นำมาใช้บังคับกับผู้ควบคุมข้อมูลส่วนบุคคลซึ่งเป็นกิจการขนาดเล็กตามหลักเกณฑ์ที่คณะกรรมการประกาศกำหนด เว้นแต่ ...

การผ่อนปรนไม่ใช่การยกเว้นทั้งหมด และมีเงื่อนไขกำกับเสมอ — กิจการที่มีความเสี่ยงสูงหรือเก็บข้อมูลอ่อนไหวจะไม่ได้รับการผ่อนปรน

## ตัวอย่าง

สิ่งที่กิจการขนาดเล็กได้รับการผ่อนปรน:

- **บันทึกรายการ (ROPA):** ยกเว้นการบันทึกบางรายการตาม [มาตรา 39](https://link.pdpalawbase.com/section/39.md) — แต่ยัง**ต้องบันทึกการปฏิเสธสิทธิ** (รายการ (7)) เสมอ
- **ตัวแทนของผู้ควบคุมต่างประเทศ:** กิจการเล็กที่ไม่เก็บข้อมูลอ่อนไหวและไม่เก็บข้อมูลจำนวนมาก ไม่ต้องแต่งตั้งตัวแทน ([มาตรา 38](https://link.pdpalawbase.com/section/38.md) (2))

สิ่งที่ทำให้ **ไม่ได้รับ**การผ่อนปรน (แม้เป็นกิจการเล็ก):

- เก็บ/ใช้/เปิดเผยข้อมูลที่**มีความเสี่ยง**ต่อสิทธิและเสรีภาพ
- การประมวลผลเป็น**กิจกรรมหลัก** (ไม่ใช่ครั้งคราว)
- เก็บ**ข้อมูลอ่อนไหว**ตาม [มาตรา 26](https://link.pdpalawbase.com/section/26.md) (เช่น คลินิกแพทย์)

## มาตราที่เกี่ยวข้อง

- [มาตรา 39](https://link.pdpalawbase.com/section/39.md) — ⭐ วรรคสาม — ข้อยกเว้น ROPA สำหรับกิจการขนาดเล็ก + เงื่อนไข
- [มาตรา 38](https://link.pdpalawbase.com/section/38.md) — (2) ข้อยกเว้นการแต่งตั้งตัวแทนสำหรับกิจการเล็กที่ความเสี่ยงต่ำ
- [มาตรา 41](https://link.pdpalawbase.com/section/41.md) — เกณฑ์ "ข้อมูลจำนวนมาก" (เกณฑ์เดียวกับการต้องมี DPO)
- [มาตรา 26](https://link.pdpalawbase.com/section/26.md) — ข้อมูลอ่อนไหว — กิจการเล็กที่เก็บข้อมูลตามนี้ไม่ได้รับการผ่อนปรน

## ประกาศที่เกี่ยวข้อง

\-

## หมายเหตุ

- **ผ่อนปรน ไม่ใช่ยกเว้นทั้งหมด:** กิจการขนาดเล็กยังต้องปฏิบัติตามหลักการคุ้มครองข้อมูลส่วนใหญ่ — การผ่อนปรนจำกัดเฉพาะภาระด้านเอกสาร/ตัวแทนในกรณีความเสี่ยงต่ำ
- **เกณฑ์ผูกกับประกาศคณะกรรมการ:** ทั้ง "กิจการขนาดเล็ก" และ "ข้อมูลจำนวนมาก" รอประกาศคณะกรรมการ — ในแนวปฏิบัติทั่วไปอาจอ้างเกณฑ์ของกิจการขนาดกลางและขนาดย่อม (จำนวนพนักงาน/รายได้)
- **เก็บข้อมูลอ่อนไหว = เกราะผ่อนปรนหลุดทันที:** จุดร่วมของทั้ง [มาตรา 38](https://link.pdpalawbase.com/section/38.md) และ [มาตรา 39](https://link.pdpalawbase.com/section/39.md) คือ การเก็บข้อมูลตาม [มาตรา 26](https://link.pdpalawbase.com/section/26.md) ทำให้กิจการเล็กต้องปฏิบัติเต็มรูปแบบ

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/concept/small-enterprise.md


# ชุดข้อมูล: แนวปฏิบัติ Trustmark (มาตรฐานขั้นต่ำ 10 ด้าน) (198 โนด)

============================================================
โนด: แนวปฏิบัติ 1
ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/1.md

# 1 ภาพรวมกรอบการตรวจรับรองความสอดคล้อง (Trustmark)

การคุ้มครองข้อมูลส่วนบุคคลเป็นหนึ่งในประเด็นสำคัญที่ทุกองค์กรต้องให้ความสำคัญในยุคดิจิทัล โดยเฉพาะภายใต้พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 Trustmark คือตรารับรองที่ยืนยันว่าองค์กรมีมาตรการด้านการคุ้มครองข้อมูลส่วนบุคคลที่ครบถ้วน โปร่งใส และสามารถตรวจสอบได้ ไม่เพียงสร้างความมั่นใจแก่เจ้าของข้อมูล แต่ยังเพิ่มความน่าเชื่อถือทางธุรกิจให้แก่องค์กรที่ได้รับการรับรอง

กระบวนการตรวจรับรองครอบคลุม **10 ด้านหลัก** ที่เป็นหัวใจสำคัญของระบบการบริหารจัดการข้อมูลส่วนบุคคล กำหนดโดยสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (สคส.)

## สิ่งที่ต้องทำ

ทำความเข้าใจกรอบการตรวจรับรอง Trustmark และเตรียมองค์กรให้ครอบคลุมทั้ง 10 ด้านหลัก เพื่อแสดงให้เห็นว่าองค์กรมีการดำเนินการด้านการคุ้มครองข้อมูลส่วนบุคคลอย่างถูกต้อง มีประสิทธิภาพ และสามารถรับมือกับเหตุการณ์ต่าง ๆ ได้อย่างเป็นระบบ

## หลักฐาน

ไม่มีรายการหลักฐานเฉพาะสำหรับบทนี้ — บทที่ 1 เป็นภาพรวมเชิงแนวคิด หลักฐานกำหนดเป็นรายข้อในแต่ละแนวปฏิบัติ (ดูบทที่ 2–10)

## สภาพบังคับ

ไม่มีกฎหมายบังคับ — Trustmark เป็นกรอบมาตรฐานสมัครใจ ไม่ใช่ข้อกำหนดบังคับตาม พ.ร.บ. คุ้มครองข้อมูลส่วนบุคคลโดยตรง

## 10 ด้านหลักของการตรวจรับรอง

### ด้านที่ 1 การกำกับดูแลและนโยบาย

ตรวจสอบว่ามีการกำหนดนโยบายคุ้มครองข้อมูลส่วนบุคคลอย่างเป็นลายลักษณ์อักษร มีโครงสร้างผู้รับผิดชอบ (เช่น [เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล (DPO)](https://link.pdpalawbase.com/concept/dpo.md)) และมีการกำกับติดตามอย่างต่อเนื่อง

### ด้านที่ 2 การบริหารความเสี่ยง

ตรวจสอบการประเมินและระบุความเสี่ยงด้านข้อมูลส่วนบุคคล มีทะเบียนความเสี่ยง และมีมาตรการควบคุมหรือลดความเสี่ยง

### ด้านที่ 3 สิทธิของเจ้าของข้อมูล

ตรวจสอบกระบวนการรับคำขอใช้สิทธิ เช่น การเข้าถึงข้อมูล แก้ไข ลบ ระงับ ใช้สิทธิคัดค้าน และการตอบสนองต่อคำขออย่างเหมาะสม (ดู [สิทธิของเจ้าของข้อมูลส่วนบุคคล](https://link.pdpalawbase.com/concept/data-subject-rights.md))

### ด้านที่ 4 ฐานทางกฎหมาย

ตรวจสอบว่าการเก็บ ใช้ เปิดเผยข้อมูลอ้างอิง[ฐานในการประมวลผล](https://link.pdpalawbase.com/concept/lawful-basis.md)ที่ถูกต้อง เช่น สัญญา กฎหมาย ความยินยอม หรือประโยชน์โดยชอบด้วยกฎหมาย

### ด้านที่ 5 การจัดการความยินยอม

ตรวจสอบการขอเก็บและจัดเก็บ[ความยินยอม](https://link.pdpalawbase.com/concept/consent.md) การเพิกถอนความยินยอม และการเก็บหลักฐานอย่างโปร่งใส

### ด้านที่ 6 ความมั่นคงปลอดภัยของข้อมูล

ตรวจสอบมาตรการด้านความปลอดภัย เช่น การเข้ารหัส การควบคุมสิทธิ์ผู้ใช้งาน การตรวจสอบการเข้าถึง การสำรองข้อมูล และแผนตอบสนองเหตุการณ์

### ด้านที่ 7 การจัดการผู้ประมวลผลภายนอก

ตรวจสอบสัญญา/ข้อตกลงกับ[ผู้ประมวลผลข้อมูลส่วนบุคคล](https://link.pdpalawbase.com/concept/data-processor.md) และมาตรการกำกับดูแลคู่ค้าหรือผู้ให้บริการภายนอก

### ด้านที่ 8 การจัดการเหตุละเมิดข้อมูล

ตรวจสอบขั้นตอนการรายงาน แจ้งเหตุ และจัดการเหตุละเมิดข้อมูล รวมถึงการแจ้ง[เจ้าของข้อมูลส่วนบุคคล](https://link.pdpalawbase.com/concept/data-subject.md)และหน่วยงานกำกับตามกฎหมาย (ดู[การแจ้งเหตุละเมิดข้อมูลส่วนบุคคล](https://link.pdpalawbase.com/concept/breach-notification.md))

### ด้านที่ 9 การอบรมและสร้างความตระหนักรู้

ตรวจสอบการจัดอบรมบุคลากร การสื่อสารภายในองค์กร และการสร้างความตระหนักรู้เกี่ยวกับ PDPA อย่างต่อเนื่อง

### ด้านที่ 10 การติดตามและตรวจสอบ

ตรวจสอบระบบติดตามและการตรวจสอบภายใน มีการทบทวนและการประเมินความสอดคล้องกับ PDPA อย่างสม่ำเสมอ (ดู [การประเมินผลกระทบด้านการคุ้มครองข้อมูลส่วนบุคคล (DPIA)](https://link.pdpalawbase.com/concept/dpia.md))

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/1.md

============================================================
โนด: แนวปฏิบัติ 2.1.1
ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/2-1-1.md

# 2.1.1 คณะกรรมการหรือผู้บริหารสูงสุดมีหน้าที่รับผิดชอบโดยรวมในการคุ้มครองข้อมูลส่วนบุคคล

## สิ่งที่ต้องทำ

คณะกรรมการและผู้บริหารระดับสูงต้องมีส่วนร่วมในการกำหนดนโยบายด้านการคุ้มครองข้อมูลส่วนบุคคล และต้องมีการกำกับติดตามการดำเนินงานให้เป็นไปตามนโยบายอย่างต่อเนื่อง เพื่อแสดงถึงความรับผิดชอบโดยรวมขององค์กรในระดับสูงสุด

## หลักฐาน

1. นโยบายที่แสดงให้เห็นถึงการกำกับและติดตามการดำเนินงานด้านการคุ้มครองข้อมูลส่วนบุคคล
2. รายงานการประชุมคณะกรรมการบริษัท หรือผู้บริหารองค์กร หรือคณะกรรมการกำกับดูแล ที่แสดงถึงการมีส่วนร่วมและการติดตามผล

## สภาพบังคับ

ไม่มีกฎหมายบังคับ

## ตัวอย่างเอกสาร

### ตัวอย่างนโยบายการคุ้มครองข้อมูลส่วนบุคคล

องค์กรตระหนักถึงความสำคัญของข้อมูลส่วนบุคคลของพนักงาน ลูกค้า คู่ค้า ผู้ใช้บริการ และผู้เกี่ยวข้องทุกฝ่าย โดยถือว่าข้อมูลส่วนบุคคลเป็นทรัพย์สินที่มีคุณค่าและต้องได้รับการปกป้องอย่างเหมาะสมตามหลักความปลอดภัย ความชอบธรรม และความโปร่งใส เพื่อให้สอดคล้องกับพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562

**1. ขอบเขตของนโยบาย** — ครอบคลุมข้อมูลส่วนบุคคลที่องค์กรเก็บรวบรวมจากเจ้าของข้อมูลทุกประเภท ทั้งในรูปแบบเอกสารและอิเล็กทรอนิกส์ ที่ดำเนินการโดยองค์กรหรือโดยบุคคลภายนอกที่ปฏิบัติงานแทนองค์กร

**2. บทบาทของคณะกรรมการและผู้บริหาร**

- ผู้บริหารระดับสูงมีหน้าที่สนับสนุนทรัพยากรและกำกับให้การปฏิบัติเป็นไปตามนโยบาย รวมถึงติดตามผลการดำเนินงานจากหน่วยงานที่รับผิดชอบโดยตรง
- คณะกรรมการบริษัทมีหน้าที่กำหนดนโยบายด้านการคุ้มครองข้อมูลส่วนบุคคล และทบทวนนโยบายอย่างน้อยปีละ 1 ครั้ง หรือเมื่อมีการเปลี่ยนแปลงที่มีนัยสำคัญ
- คณะกรรมการกำกับดูแลความเสี่ยงอาจได้รับมอบหมายให้พิจารณารายงานผลจาก[เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล (DPO)](https://link.pdpalawbase.com/concept/dpo.md)และเสนอแนะต่อคณะกรรมการชุดใหญ่

**3. บทบาทของเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล** — ให้คำปรึกษา ตรวจสอบ และรายงานผลการดำเนินงานตามนโยบายแก่ผู้บริหารและคณะกรรมการอย่างสม่ำเสมอ รวมถึงประสานงานกับหน่วยงานต่าง ๆ ภายในองค์กรให้ปฏิบัติตามข้อกำหนดของกฎหมาย

**4. การประเมินและติดตามผล** — มีการติดตาม ตรวจสอบ และประเมินผลการดำเนินงานอย่างต่อเนื่อง พร้อมจัดทำรายงานผลและข้อเสนอแนะเพื่อพัฒนากระบวนการบริหารจัดการข้อมูลส่วนบุคคล

**5. การสื่อสารและสร้างการรับรู้** — ส่งเสริมความเข้าใจและความตระหนักแก่พนักงานทุกระดับผ่านการอบรม การเผยแพร่คู่มือ และการสื่อสารต่าง ๆ

ลงชื่อ ..................................................... (ผู้บริหารสูงสุด/ประธานคณะกรรมการ) วันที่ ......................................

### ตัวอย่างรายงานการประชุมคณะกรรมการบริหาร

**รายงานการประชุมคณะกรรมการบริหารองค์กร ครั้งที่ 3/2568**

วัน/เวลา: วันพุธที่ 15 พฤษภาคม พ.ศ. 2568 เวลา 13.30 – 15.30 น.
สถานที่: ห้องประชุมใหญ่ ชั้น 5 อาคารสำนักงานใหญ่

**วาระเพื่อพิจารณา — รายงานผลการดำเนินงานด้านการคุ้มครองข้อมูลส่วนบุคคล (ไตรมาส 1/2568)**

เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลนำเสนอผลการดำเนินงานที่สำคัญ ได้แก่ การจัดอบรมเชิงปฏิบัติการให้แก่พนักงานใหม่เรื่องสิทธิของเจ้าของข้อมูล การติดตามเหตุละเมิดข้อมูลที่อยู่ระหว่างกระบวนการสอบสวน และการทบทวนนโยบายระยะเวลาจัดเก็บข้อมูล

**ข้อเสนอแนะจากที่ประชุม** — ให้กำหนดตัวชี้วัดด้านการคุ้มครองข้อมูล เช่น สัดส่วนการอบรมและระยะเวลาการจัดการเหตุละเมิด พร้อมจัดทำรายงานความเสี่ยงข้อมูลส่วนบุคคลเสนอทุกไตรมาส

**มติที่ประชุม** — รับทราบรายงาน และมอบหมายให้เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลดำเนินการตามข้อเสนอแนะ พร้อมจัดทำรายงานความคืบหน้าเสนอในที่ประชุมไตรมาสถัดไป

---

ลงชื่อ .................................................... (ประธานการประชุม)

ลงชื่อ .................................................... (เลขานุการการประชุม)

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/2-1-1.md

============================================================
โนด: แนวปฏิบัติ 2.1.2
ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/2-1-2.md

# 2.1.2 ผู้บริหารเป็นผู้นำ เป็นแบบอย่าง และส่งเสริมวัฒนธรรมเชิงบวกเชิงรุกในการปฏิบัติตามกฎหมาย

## สิ่งที่ต้องทำ

ผู้บริหารต้องเป็นแบบอย่างที่ดีในการรักษาความมั่นคงปลอดภัยของข้อมูลส่วนบุคคล และส่งเสริมวัฒนธรรมเชิงบวกเชิงรุกในการปฏิบัติตามกฎหมายให้เกิดขึ้นทั่วทั้งองค์กร

## หลักฐาน

1. รายงานการประชุมคณะกรรมการบริษัท หรือผู้บริหารองค์กร หรือคณะกรรมการกำกับดูแล หรือรายงานของเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลต่อกรรมการ ที่แสดงให้เห็นว่าผู้บริหารระดับสูงปฏิบัติตามมาตรการรักษาความมั่นคงปลอดภัยของข้อมูล
2. รายงานการเข้าถึงข้อมูลตามสิทธิที่กำหนด โดยมีผู้บริหารเป็นแบบอย่าง

## สภาพบังคับ

ไม่มีกฎหมายบังคับ

## ตัวอย่างเอกสาร

### ตัวอย่างรายงานการประชุมคณะกรรมการบริหาร (แสดงบทบาทผู้นำของผู้บริหาร)

**รายงานการประชุมคณะกรรมการบริหารองค์กร ครั้งที่ 4/2568**

วัน/เวลา: วันพฤหัสบดีที่ 16 พฤษภาคม พ.ศ. 2568 เวลา 13.30 – 15.00 น.
สถานที่: ห้องประชุมใหญ่ ชั้น 5 อาคารสำนักงาน

**วาระ — การเสริมสร้างวัฒนธรรมเชิงรุกในการคุ้มครองข้อมูลส่วนบุคคล**

เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลรายงานว่า ได้จัดกิจกรรมสัปดาห์ความเป็นส่วนตัวภายในองค์กร โดยมีผู้บริหารเข้าร่วมเป็นวิทยากรเปิดงาน ประธานกรรมการร่วมจัดทำคลิปวิดีโอสั้นรณรงค์เรื่องความปลอดภัยของข้อมูลส่งถึงพนักงานทุกคน และมีการประกาศภายในว่าผู้บริหารจะเป็นกลุ่มแรกที่เข้ารับการทดสอบความเข้าใจด้านการคุ้มครองข้อมูลส่วนบุคคลทุกไตรมาส

**ความคิดเห็นจากที่ประชุม** — ผู้บริหารต้องเป็นต้นแบบในเรื่องวินัยข้อมูล โดยเฉพาะการไม่ถ่ายภาพเอกสารหรือหน้าจอข้อมูลลูกค้า และเสนอให้จัดทำประกาศค่านิยมองค์กรด้านข้อมูลเพื่อสร้างวัฒนธรรมองค์กร

**มติที่ประชุม** — เห็นชอบให้ทุกฝ่ายสนับสนุนการสร้างวัฒนธรรมคุ้มครองข้อมูล โดยผู้บริหารจะเป็นต้นแบบและรายงานผลความคืบหน้าทุกไตรมาส

---

ลงชื่อ .................................................... (ประธานการประชุม)

ลงชื่อ .................................................... (เลขานุการการประชุม)

### ตัวอย่างรายงานการเข้าถึงข้อมูลตามสิทธิ (โดยมีผู้บริหารเป็นแบบอย่าง)

**รายงานการเข้าถึงข้อมูลส่วนบุคคล ระหว่างวันที่ 1–30 เมษายน 2568**

จัดทำโดย: เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล — ส่งถึง: คณะกรรมการกำกับดูแลการคุ้มครองข้อมูลส่วนบุคคล

1. **ภาพรวมการเข้าถึงข้อมูล** — พนักงานทั่วไปเข้าถึงข้อมูลตามบทบาทหน้าที่ และมีการตรวจสอบย้อนหลังกรณีการเข้าถึงผิดปกติ
2. **ผู้บริหารเข้าถึงข้อมูลตามนโยบายการควบคุมการเข้าถึงตามบทบาทหน้าที่** — ประธานกรรมการเข้าถึงเฉพาะรายงานสรุปเชิงสถิติที่ไม่สามารถระบุตัวตน ผู้จัดการทั่วไปเข้าถึงข้อมูลระดับระบบเพื่อตรวจสอบการปฏิบัติตามนโยบายโดยมีเหตุผลตามแบบคำร้อง ไม่มีผู้บริหารคนใดเข้าถึงข้อมูลส่วนบุคคลในเชิงลึกโดยไม่มีแบบฟอร์มหรือคำสั่ง
3. **การทบทวนและรับรองการเข้าถึง** — ผู้บริหารทุกคนลงนามรับรองการปฏิบัติตามมาตรการในการประชุม ไม่มีรายงานการฝ่าฝืนมาตรการเข้าถึง

**สรุป** — ผู้บริหารมีบทบาทเป็นแบบอย่างโดยจำกัดตนเองให้เข้าถึงข้อมูลเท่าที่จำเป็น มีการรับรองและตรวจสอบอย่างโปร่งใส ช่วยเสริมสร้างวัฒนธรรมเชิงบวกในองค์กร

---

ลงชื่อ .................................................... (เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล)

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/2-1-2.md

============================================================
โนด: แนวปฏิบัติ 2.1.3
ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/2-1-3.md

# 2.1.3 มีสายรายงานหรือบังคับบัญชาและการไหลเวียนของข้อมูลหรือส่วนงาน

## สิ่งที่ต้องทำ

จัดทำผังองค์กรที่แสดงสายการรายงานและการบังคับบัญชาที่เหมาะสม รวมถึงแสดงการไหลเวียนของข้อมูลระหว่างส่วนงานต่าง ๆ เพื่อให้ทุกฝ่ายทราบช่องทางการรายงานและการประสานงานด้านการคุ้มครองข้อมูลส่วนบุคคล

## หลักฐาน

1. แผนผังองค์กรที่แสดงสายการรายงานหรือการบังคับบัญชาที่ชัดเจน เช่น ฝ่ายปฏิบัติงานรายงานไปยังผู้บริหาร เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลรายงานต่อผู้บริหาร และทุกฝ่ายสามารถรายงานไปยังผู้บริหารได้

## สภาพบังคับ

ไม่มีกฎหมายบังคับ

## ตัวอย่างเอกสาร

### ตัวอย่างผังสายการรายงาน/บังคับบัญชาและการไหลเวียนของข้อมูลส่วนบุคคล

สิ่งที่ต้องแสดงในแผนผัง:

- สายบังคับบัญชาและการรายงานระหว่างเจ้าหน้าที่ผู้ปฏิบัติงานไปยังผู้บริหาร
- เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลมีสายรายงานตรงต่อผู้บริหาร และสามารถรับรายงานจากเจ้าหน้าที่ปฏิบัติงาน
- การสื่อสารและการส่งข้อมูลสามารถดำเนินการได้แบบสองทางระหว่างทุกฝ่าย

ตัวอย่างแผนผังองค์กร (รูปแบบข้อความ):

```
            ผู้บริหารระดับสูงสุด
           /                    \
   เจ้าหน้าที่คุ้มครอง        เจ้าหน้าที่ปฏิบัติงาน
   ข้อมูลส่วนบุคคล   <----->
        (รายงานและสื่อสารแบบสองทาง)
```

**คำอธิบายประกอบ**

- ผู้บริหารระดับสูงมีอำนาจกำกับดูแล และรับข้อมูลจากทั้งเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลและเจ้าหน้าที่ปฏิบัติงานโดยตรง
- เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลรับผิดชอบด้านการคุ้มครองข้อมูล สามารถสื่อสารทั้งกับผู้บริหารและเจ้าหน้าที่ปฏิบัติงานโดยตรง
- เจ้าหน้าที่ปฏิบัติงานสามารถรายงานเหตุการณ์หรือประเด็นข้อมูลส่วนบุคคลทั้งต่อเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลและผู้บริหารโดยตรง
- ทุกฝ่ายสามารถติดต่อ ส่งข้อมูล แจ้งเหตุ และรับการตอบสนองแบบสองทางได้ เพื่อสร้างระบบที่โปร่งใสและตอบสนองต่อเหตุการณ์ได้อย่างมีประสิทธิภาพ

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/2-1-3.md

============================================================
โนด: แนวปฏิบัติ 2.1.4
ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/2-1-4.md

# 2.1.4 มีนโยบายที่ชัดเจนในการกำหนดโครงสร้างองค์กรสำหรับการคุ้มครองข้อมูลส่วนบุคคลและกำกับดูแล

## สิ่งที่ต้องทำ

กำหนดนโยบายที่ชัดเจนในการวางโครงสร้างองค์กรสำหรับการคุ้มครองข้อมูลส่วนบุคคลและการกำกับดูแล เพื่อให้เกิดการบริหารจัดการข้อมูลอย่างเป็นระบบ ปลอดภัย และมีประสิทธิภาพ

## หลักฐาน

1. รายงานการประชุมของคณะกรรมการบริษัทหรือองค์กรหรือผู้บริหาร ที่ระบุถึงนโยบายในการกำหนดโครงสร้างองค์กรเพื่อคุ้มครองข้อมูลส่วนบุคคลหรือกำกับดูแล

## สภาพบังคับ

ไม่มีกฎหมายบังคับ

## ตัวอย่างเอกสาร

### ตัวอย่างรายงานการประชุมผู้บริหารองค์กร

**รายงานการประชุมผู้บริหารองค์กร ครั้งที่ 3/2567**

วัน/เวลา: วันที่ 15 มีนาคม 2567
สถานที่: ห้องประชุมใหญ่ ชั้น 5 อาคารสำนักงานกลาง

**วาระ — การกำหนดนโยบายโครงสร้างองค์กรสำหรับการคุ้มครองข้อมูลส่วนบุคคล**

ประธานกรรมการบริหารเสนอให้กำหนดนโยบายที่ชัดเจนเกี่ยวกับโครงสร้างองค์กรในการคุ้มครองข้อมูลส่วนบุคคล เพื่อให้สอดคล้องกับแนวทางการบริหารจัดการข้อมูลอย่างปลอดภัยและมีประสิทธิภาพ

ที่ประชุมมีมติให้กำหนดโครงสร้างองค์กรสำหรับการคุ้มครองข้อมูลส่วนบุคคล ดังนี้

1. แต่งตั้งเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลอย่างเป็นทางการ ซึ่งจะรายงานตรงต่อคณะผู้บริหาร
2. จัดตั้งฝ่ายคุ้มครองข้อมูลส่วนบุคคลภายใต้การกำกับดูแลของเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล โดยมีเจ้าหน้าที่สนับสนุนอย่างน้อย 2 คน
3. ให้แต่ละฝ่ายภายในองค์กรมีผู้ประสานงานด้านข้อมูลส่วนบุคคล เพื่อประสานงานกับเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล
4. ให้มีการทบทวนโครงสร้างและนโยบายทุกปี และสามารถปรับปรุงเพิ่มเติมตามความเหมาะสม

ที่ประชุมรับรองนโยบายดังกล่าว และมอบหมายให้เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลดำเนินการตามขั้นตอนต่อไป

---

ลงชื่อ ........................................ ประธานกรรมการบริหาร วันที่ลงนาม: 15 มีนาคม 2567

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/2-1-4.md

============================================================
โนด: แนวปฏิบัติ 2.1.5
ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/2-1-5.md

# 2.1.5 JD ระบุความรับผิดชอบและสายรายงานผู้บริหาร

## สิ่งที่ต้องทำ

ระบุความรับผิดชอบด้าน PDPA ใน JD (คำบรรยายลักษณะงาน) ของพนักงานทุกคน พร้อมระบุสายการบังคับบัญชา (สายรายงาน) ให้ชัดเจน เพื่อให้พนักงานรับทราบหน้าที่ตามกฎหมายและรู้ว่าต้องรายงานต่อใครในกรณีที่เกี่ยวข้องกับข้อมูลส่วนบุคคล

## หลักฐาน

1. เขียน JD หรือข้อตกลงการปฏิบัติงาน หรือสัญญาจ้าง หรือสภาพการจ้าง โดยต้องมีเนื้อหา **"ระบุความรับผิดชอบด้าน PDPA แก่พนักงานทุกคนว่ามีหน้าที่ตามกฎหมาย"**

## สภาพบังคับ

ไม่มีกฎหมายบังคับ

## ตัวอย่างเอกสาร

### ตัวอย่าง Job Description (JD) สำหรับพนักงานทุกระดับ

**ตำแหน่ง:** ___________________________
**แผนก:** ___________________________
**ผู้บังคับบัญชา:** ___________________________
**วันที่:** ___________________________

**หน้าที่และความรับผิดชอบหลัก**

1. ปฏิบัติงานตามที่ได้รับมอบหมายอย่างเต็มความสามารถและมีคุณภาพ รักษาความมั่นคงปลอดภัยของข้อมูลส่วนบุคคลที่ได้รับมอบหมายหรือเข้าถึงในระหว่างปฏิบัติงาน ปฏิบัติตามนโยบาย กฎระเบียบ และมาตรการขององค์กรที่เกี่ยวข้องกับการคุ้มครองข้อมูลส่วนบุคคล (PDPA) อย่างเคร่งครัด
2. รับผิดชอบในการดูแลและป้องกันข้อมูลส่วนบุคคลไม่ให้รั่วไหล สูญหาย หรือถูกเข้าถึงโดยไม่ได้รับอนุญาต
3. รายงานเหตุการณ์หรือปัญหาที่เกี่ยวข้องกับข้อมูลส่วนบุคคลหรือความมั่นคงปลอดภัยของข้อมูลต่อผู้บังคับบัญชาหรือ[เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล (DPO)](https://link.pdpalawbase.com/concept/dpo.md)โดยทันที
4. ร่วมมือในการอบรมและพัฒนาความรู้ความเข้าใจเกี่ยวกับ PDPA และการรักษาความมั่นคงปลอดภัยของข้อมูลอย่างต่อเนื่อง
5. ปฏิบัติตามคำแนะนำและคำสั่งจากผู้บริหารหรือเจ้าหน้าที่ที่เกี่ยวข้องในการจัดการข้อมูลส่วนบุคคลและความปลอดภัยของข้อมูล

**ความรับผิดชอบเพิ่มเติมเฉพาะ (ถ้ามี):**
___________________________

**สายการบังคับบัญชา**

- รายงานตรงต่อ: ___________________________
- ประสานงานกับ: ___________________________

---

ลงชื่อพนักงาน: ___________________________ วันที่: ___________

ลงชื่อผู้บังคับบัญชา: ___________________________ วันที่: ___________

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/2-1-5.md

============================================================
โนด: แนวปฏิบัติ 2.1.6
ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/2-1-6.md

# 2.1.6 JD เป็นปัจจุบัน เหมาะสมกับวัตถุประสงค์ และมีการทบทวนสม่ำเสมอ

## สิ่งที่ต้องทำ

จัดทำคำบรรยายลักษณะงานหรือ JD ให้เป็นปัจจุบัน เหมาะสมกับวัตถุประสงค์ขององค์กร และมีการทบทวนปรับปรุงอย่างสม่ำเสมอ เพื่อให้ความรับผิดชอบด้านการคุ้มครองข้อมูลส่วนบุคคลของพนักงานสอดคล้องกับกฎหมายที่เปลี่ยนแปลงอยู่เสมอ

## หลักฐาน

1. การกำหนดระยะเวลาทบทวนเพื่อแก้ไขปรับปรุง JD หรือข้อตกลงการปฏิบัติงาน หรือสัญญาจ้าง หรือสภาพการจ้าง โดยต้องมีเนื้อหา **"ระบุความรับผิดชอบด้าน PDPA แก่พนักงานทุกคนว่ามีหน้าที่ตามกฎหมาย"**

## สภาพบังคับ

ไม่มีกฎหมายบังคับ

## ตัวอย่างเอกสาร

### ตัวอย่างรายงานการประชุมเรื่องการทบทวน JD

**รายงานการประชุมฝ่ายทรัพยากรบุคคล**

วันที่: 15 มิถุนายน 2568
สถานที่: ห้องประชุมฝ่ายทรัพยากรบุคคล ชั้น 3
เรื่อง: การทบทวนและปรับปรุงคำบรรยายลักษณะงานให้ทันสมัยและสอดคล้องกับกฎหมายคุ้มครองข้อมูลส่วนบุคคล

**สาระสำคัญการประชุม**

1. ที่ประชุมเห็นชอบให้ทบทวนคำบรรยายลักษณะงานทุกตำแหน่ง อย่างน้อยปีละ 1 ครั้ง เพื่อให้สอดคล้องกับวัตถุประสงค์ขององค์กรและกฎหมายคุ้มครองข้อมูลส่วนบุคคลที่มีการเปลี่ยนแปลงอยู่เสมอ
2. กำหนดให้ในทุกครั้งของการทบทวนต้องตรวจสอบและปรับปรุงให้ระบุความรับผิดชอบด้านการคุ้มครองข้อมูลส่วนบุคคลอย่างชัดเจนในทุกตำแหน่งงาน รวมถึงการรักษาความมั่นคงปลอดภัยของข้อมูลและการปฏิบัติตามนโยบายขององค์กร
3. กำหนดให้ฝ่ายทรัพยากรบุคคลทำหน้าที่รวบรวมข้อมูลและแก้ไขคำบรรยายลักษณะงาน พร้อมส่งให้ผู้บริหารพิจารณาอนุมัติก่อนนำไปบังคับใช้อย่างเป็นทางการ และจัดเก็บรายงานการทบทวนเป็นหลักฐาน

**มติที่ประชุม** — เห็นชอบให้ทบทวนคำบรรยายลักษณะงานปีละ 1 ครั้ง และจัดทำรายงานการทบทวนเป็นลายลักษณ์อักษรทุกครั้ง

### คำอธิบายเรื่องระยะเวลาทบทวน

องค์กรกำหนดให้มีการทบทวนคำบรรยายลักษณะงานอย่างสม่ำเสมอทุกปี เพื่อให้มั่นใจว่ายังคงเหมาะสมกับวัตถุประสงค์ขององค์กรและสอดคล้องกับกฎหมายคุ้มครองข้อมูลส่วนบุคคล การทบทวนนี้ช่วยให้สามารถปรับปรุงหรือแก้ไขหน้าที่ความรับผิดชอบที่เกี่ยวข้องกับการคุ้มครองข้อมูลส่วนบุคคลได้ทันเวลา และส่งเสริมให้พนักงานตระหนักถึงหน้าที่และความรับผิดชอบในด้านนี้อย่างต่อเนื่อง

---

ลงชื่อ .............................................. (หัวหน้าฝ่ายทรัพยากรบุคคล)

ลงชื่อ .............................................. (เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล)

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/2-1-6.md

============================================================
โนด: แนวปฏิบัติ 2.1.7
ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/2-1-7.md

# 2.1.7 DPO และผู้กำกับดูแลเข้าใจโครงสร้างองค์กรและความรับผิดชอบของตน

## สิ่งที่ต้องทำ

สร้างความเข้าใจให้พนักงานทุกคนเข้าใจเรื่องโครงสร้างองค์กร และสร้างความเข้าใจเกี่ยวกับความรับผิดชอบด้านการคุ้มครองข้อมูลส่วนบุคคล โดยเฉพาะเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลและผู้กำกับดูแลที่ต้องเข้าใจบทบาทและหน้าที่ของตนอย่างชัดเจน

## หลักฐาน

1. รายงานการประชุมในระดับฝ่ายที่มีเนื้อความแสดงให้เห็นว่าพนักงานเข้าใจเรื่องโครงสร้างองค์กร และมีความเข้าใจเกี่ยวกับความรับผิดชอบด้านการคุ้มครองข้อมูลส่วนบุคคล

## สภาพบังคับ

ไม่มีกฎหมายบังคับ

## ตัวอย่างเอกสาร

### ตัวอย่างรายงานการประชุมฝ่ายคุ้มครองข้อมูลส่วนบุคคล

**รายงานการประชุมฝ่ายคุ้มครองข้อมูลส่วนบุคคล**

วันที่: 20 มิถุนายน 2568
สถานที่: ห้องประชุมฝ่ายคุ้มครองข้อมูล ชั้น 4
เรื่อง: การสร้างความเข้าใจเกี่ยวกับโครงสร้างองค์กรและความรับผิดชอบด้านการคุ้มครองข้อมูลส่วนบุคคลแก่พนักงานทุกคน

**สาระสำคัญการประชุม**

1. เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลชี้แจงและนำเสนอแผนผังโครงสร้างองค์กร โดยเน้นบทบาทและหน้าที่ความรับผิดชอบของแต่ละฝ่ายที่เกี่ยวข้องกับการคุ้มครองข้อมูลส่วนบุคคล
2. อธิบายหน้าที่และบทบาทของเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลในการกำกับดูแลและสนับสนุนการปฏิบัติตามกฎหมาย รวมถึงช่องทางการสื่อสารและการรายงานปัญหา
3. ให้ความรู้และสร้างความเข้าใจเกี่ยวกับหน้าที่ของพนักงานแต่ละระดับในการรักษาความมั่นคงปลอดภัยของข้อมูลส่วนบุคคล และการปฏิบัติตามนโยบายขององค์กร
4. เปิดโอกาสให้พนักงานซักถามข้อสงสัยเกี่ยวกับโครงสร้างองค์กรและความรับผิดชอบ เพื่อให้เกิดความชัดเจนและการมีส่วนร่วม
5. สรุปและเน้นย้ำให้ทุกคนปฏิบัติตามหน้าที่ด้วยความรับผิดชอบและความรอบคอบ

**มติที่ประชุม**

- พนักงานทุกคนเข้าใจบทบาทความรับผิดชอบและโครงสร้างองค์กรที่เกี่ยวข้องกับการคุ้มครองข้อมูลส่วนบุคคลอย่างชัดเจน
- กำหนดให้มีการอบรมและทบทวนความรู้อย่างต่อเนื่องทุก 6 เดือน

---

ลงชื่อ ...................................... (เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล)

ลงชื่อ ...................................... (หัวหน้าฝ่ายเทคโนโลยีสารสนเทศ)

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/2-1-7.md

============================================================
โนด: แนวปฏิบัติ 2.1.8
ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/2-1-8.md

# 2.1.8 DPO มีหน้าที่รับผิดชอบตาม ม. 42

## สิ่งที่ต้องทำ

การปฏิบัติงานหรือดำเนินการของ[เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล (DPO)](https://link.pdpalawbase.com/concept/dpo.md)ต้องครบถ้วนตามหน้าที่ที่กำหนดในมาตรา [มาตรา 42](https://link.pdpalawbase.com/section/42.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ได้แก่ การให้คำแนะนำ การตรวจสอบการปฏิบัติตามกฎหมาย การประสานงานกับสำนักงาน และการรักษาความลับข้อมูล

## หลักฐาน

1. รายงานการประชุมของผู้บริหาร หรือคณะกรรมการกำกับดูแลฯ หรือเอกสารการรายงานผลของ DPO ซึ่งเนื้อหาต้องมีเรื่องการทำหน้าที่ตาม [มาตรา 42](https://link.pdpalawbase.com/section/42.md)
2. เอกสารคำสั่งแต่งตั้ง DPO ที่ระบุหน้าที่ให้ครบทุกด้านตาม [มาตรา 42](https://link.pdpalawbase.com/section/42.md)

## สภาพบังคับ

[มาตรา 42](https://link.pdpalawbase.com/section/42.md) — กำหนดหน้าที่ของ DPO ไว้อย่างชัดเจน การไม่ปฏิบัติตามอาจมีผลตามกฎหมาย

## ตัวอย่างเอกสาร

### ตัวอย่างรายงานการประชุมผู้บริหาร (เรื่องการรายงานผลการปฏิบัติหน้าที่ของ DPO)

**บริษัท ตัวอย่าง จำกัด**
**รายงานการประชุมผู้บริหาร**

วันที่: ___________________________
สถานที่: ___________________________
เรื่อง: การรายงานผลการปฏิบัติหน้าที่ของเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล (DPO) ตาม [มาตรา 42](https://link.pdpalawbase.com/section/42.md)

**ผู้เข้าร่วมประชุม:**
- ___________ (กรรมการผู้จัดการ)
- ___________ (รองกรรมการผู้จัดการ)
- ___________ (หัวหน้าฝ่ายกฎหมาย)
- ___________ (เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล — DPO)

**สาระสำคัญ:**

1. DPO รายงานความคืบหน้าการดำเนินงานเกี่ยวกับการคุ้มครองข้อมูลส่วนบุคคลตาม PDPA สรุปการปฏิบัติตาม [มาตรา 42](https://link.pdpalawbase.com/section/42.md) ครอบคลุม: การจัดทำทะเบียนข้อมูลส่วนบุคคล การให้ความรู้และอบรมพนักงาน การรับเรื่องร้องเรียน และการประสานงานกับหน่วยงานที่เกี่ยวข้อง
2. แจ้งการติดตามและประเมินความเสี่ยงด้านการรักษาความมั่นคงปลอดภัยข้อมูล รวมถึงมาตรการที่นำมาใช้เพื่อป้องกันเหตุละเมิดข้อมูล
3. รับทราบปัญหาและอุปสรรค พร้อมเสนอแนะแนวทางแก้ไข
4. กรรมการและผู้บริหารแสดงความเห็นชอบและให้การสนับสนุนการปฏิบัติหน้าที่ของ DPO อย่างเต็มที่

**มติที่ประชุม:**
- รับทราบรายงานและเห็นชอบแนวทางการดำเนินงานของ DPO
- กำหนดให้มีการรายงานผลการปฏิบัติงานทุกไตรมาส

---

ลงชื่อ: ___________________________ (ผู้บริหาร/กรรมการผู้จัดการ)

ลงชื่อ: ___________________________ (DPO)

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/2-1-8.md

============================================================
โนด: แนวปฏิบัติ 2.1.9
ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/2-1-9.md

# 2.1.9 DPO มีอำนาจปฏิบัติหน้าที่ ได้รับการสนับสนุนและทรัพยากรอย่างมีประสิทธิภาพ

## สิ่งที่ต้องทำ

ให้อำนาจ[เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล (DPO)](https://link.pdpalawbase.com/concept/dpo.md)เข้าถึงข้อมูลขององค์กร และจัดสรรทรัพยากรสนับสนุนการปฏิบัติหน้าที่ของ DPO ให้เพียงพอและมีประสิทธิภาพ ตามที่กำหนดใน [มาตรา 42](https://link.pdpalawbase.com/section/42.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562

## หลักฐาน

1. ภาพถ่ายอุปกรณ์หรือเครื่องมือที่องค์กรจัดให้ DPO
2. บันทึกเอกสารการให้อำนาจ DPO เข้าถึงฐานข้อมูลองค์กร และบันทึกที่แสดงว่า DPO มีสิทธิเข้าถึงฐานข้อมูลองค์กร

## สภาพบังคับ

[มาตรา 42](https://link.pdpalawbase.com/section/42.md) — กำหนดหน้าที่ของ DPO และการสนับสนุนจากองค์กร

## ตัวอย่างเอกสาร

### ตัวอย่างรายการอุปกรณ์/เครื่องมือที่องค์กรจัดให้ DPO

- คอมพิวเตอร์โน้ตบุ๊กพร้อมซอฟต์แวร์ด้านความปลอดภัยข้อมูล
- โทรศัพท์มือถือสำหรับการปฏิบัติงาน
- บัตรประจำตัวพนักงานที่มีสิทธิเข้าถึงข้อมูลในระบบ
- ซอฟต์แวร์ระบบบริหารจัดการข้อมูลส่วนบุคคล
- สิทธิการเข้าถึงระบบฐานข้อมูลสำคัญขององค์กรผ่านช่องทางที่ปลอดภัย
- ค่าตอบแทนพิเศษและแผนพัฒนาความรู้ของ DPO ประจำปี

### ตัวอย่างบันทึกการให้อำนาจ DPO เข้าถึงฐานข้อมูลองค์กร

**บันทึกข้อความเลขที่: บค-2568/07** — วันที่: 2 กรกฎาคม 2568
เรื่อง: การให้อำนาจเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลเข้าถึงฐานข้อมูลขององค์กร

ตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 [มาตรา 42](https://link.pdpalawbase.com/section/42.md) องค์กรแต่งตั้งเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล และมอบอำนาจให้ ดังนี้

- มีสิทธิเข้าถึงฐานข้อมูลทั้งหมดที่เกี่ยวข้องกับการเก็บรวบรวม ประมวลผล และการรักษาความปลอดภัยของข้อมูลส่วนบุคคล
- ใช้ทรัพยากรทั้งบุคลากร เครื่องมือ และระบบที่จำเป็นเพื่อปฏิบัติหน้าที่ตามกฎหมายอย่างมีประสิทธิภาพ
- ประสานงานกับฝ่ายเทคโนโลยีสารสนเทศ ฝ่ายรักษาความปลอดภัย และฝ่ายบริหาร เพื่อสนับสนุนการปฏิบัติงาน

ทั้งนี้ ให้ฝ่ายที่เกี่ยวข้องจัดเตรียมข้อมูลและทรัพยากรที่จำเป็นเพื่อสนับสนุนการปฏิบัติหน้าที่ของ DPO อย่างเต็มที่

---

ลงชื่อ ...................................... (กรรมการผู้จัดการ)

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/2-1-9.md

============================================================
โนด: แนวปฏิบัติ 2.1.10
ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/2-1-10.md

# 2.1.10 DPO มีความรู้ความเชี่ยวชาญด้านกฎหมายและแนวปฏิบัติ

## สิ่งที่ต้องทำ

[เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล (DPO)](https://link.pdpalawbase.com/concept/dpo.md)ควรมีประกาศนียบัตรตามหลักสูตรที่สอดคล้องกับที่สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลกำหนด หรือหลักสูตร/มาตรฐานสากล เพื่อยืนยันความรู้ความเชี่ยวชาญด้านกฎหมายและแนวปฏิบัติในการคุ้มครองข้อมูลส่วนบุคคล

## หลักฐาน

1. หลักฐานการฝึกอบรมหลักสูตรการคุ้มครองข้อมูลส่วนบุคคลของ DPO
2. วุฒิบัตรการฝึกอบรม หรือประกาศนียบัตรหลักสูตรการคุ้มครองข้อมูลส่วนบุคคลของ DPO

## สภาพบังคับ

ไม่มีกฎหมายกำหนด

## ตัวอย่างเอกสาร

### ตัวอย่างรายงานการเข้าร่วมอบรมหลักสูตรการคุ้มครองข้อมูลส่วนบุคคลของ DPO

**บันทึกข้อความเลขที่: บค-2568/09** — วันที่: 10 กรกฎาคม 2568
เรื่อง: รายงานการเข้าร่วมอบรมหลักสูตรการคุ้มครองข้อมูลส่วนบุคคลของเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล

เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลขององค์กรเข้าร่วมอบรมหลักสูตร "การคุ้มครองข้อมูลส่วนบุคคลและแนวทางปฏิบัติสำหรับเจ้าหน้าที่ DPO" ระหว่างวันที่ 1–3 กรกฎาคม 2568 โดยมีรายละเอียด ดังนี้

- เนื้อหาหลักสูตร: กฎหมายคุ้มครองข้อมูลส่วนบุคคล แนวทางปฏิบัติ การบริหารความเสี่ยง และการจัดการเหตุละเมิดข้อมูล
- จำนวนชั่วโมงอบรม: 24 ชั่วโมง
- ผู้เข้าอบรม: เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลจากองค์กรภาครัฐและเอกชน

---

ลงชื่อ ...................................... (กรรมการผู้จัดการ)

### ตัวอย่างประกาศนียบัตรการฝึกอบรม

**ประกาศนียบัตร** ออกให้แก่เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลขององค์กร เนื่องด้วยผ่านการอบรมหลักสูตร "การคุ้มครองข้อมูลส่วนบุคคลและแนวทางปฏิบัติสำหรับเจ้าหน้าที่ DPO" ระหว่างวันที่ 1–3 กรกฎาคม 2568 ได้รับคะแนนผ่านเกณฑ์มาตรฐาน เพื่อแสดงถึงความรู้ความสามารถในการปฏิบัติหน้าที่เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล

วันที่ออกประกาศนียบัตร: 5 กรกฎาคม 2568

---

ลงชื่อ ...................................... (ผู้รับรอง/ผู้อำนวยการสถาบันฝึกอบรม)

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/2-1-10.md

============================================================
โนด: แนวปฏิบัติ 2.1.11
ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/2-1-11.md

# 2.1.11 หากองค์กรไม่ต้องแต่งตั้ง DPO ต้องบันทึกการตัดสินใจหรือเหตุผลไว้ให้ตรวจสอบ

## สิ่งที่ต้องทำ

หากองค์กรพิจารณาแล้วว่าไม่ต้องแต่งตั้ง[เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล (DPO)](https://link.pdpalawbase.com/concept/dpo.md) ต้องบันทึกการตัดสินใจหรือเหตุผลไว้ให้ตรวจสอบได้ ซึ่งควรเป็นเหตุผลที่อ้างอิงข้อยกเว้นที่กฎหมายให้อำนาจ

## หลักฐาน

1. บันทึกการตัดสินใจ (อาจมีข้อกฎหมายประกอบ หรือข้อหารือจากฝ่ายกฎหมาย)
2. การบันทึกรายการกิจกรรมการประมวลผลข้อมูลส่วนบุคคล หรือ [บันทึกรายการกิจกรรมการประมวลผล (ROPA)](https://link.pdpalawbase.com/concept/ropa.md)

## สภาพบังคับ

ไม่มีกฎหมายกำหนด

## ตัวอย่างเอกสาร

### ตัวอย่างบันทึกการตัดสินใจไม่แต่งตั้ง DPO

**บันทึกข้อความเลขที่: บค-2568/10** — วันที่: 12 กรกฎาคม 2568
เรื่อง: บันทึกการตัดสินใจไม่แต่งตั้งเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล

จากการพิจารณาเรื่องการแต่งตั้งเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลเพื่อให้สอดคล้องกับพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 พบว่าองค์กรมีลักษณะ ดังนี้

- ขนาดองค์กรไม่ถึงเกณฑ์ที่กฎหมายกำหนดให้แต่งตั้ง DPO
- ปริมาณและประเภทข้อมูลส่วนบุคคลที่ประมวลผลอยู่ในระดับจำกัด
- มีมาตรการรักษาความปลอดภัยข้อมูลอย่างเหมาะสมและครบถ้วน

องค์กรจึงมีมติไม่ดำเนินการแต่งตั้ง DPO ในขณะนี้ โดยจะทบทวนและประเมินสถานการณ์อย่างสม่ำเสมอ การตัดสินใจครั้งนี้ได้รับคำปรึกษาจากฝ่ายกฎหมายและอ้างอิงตามข้อยกเว้นที่กฎหมายคุ้มครองข้อมูลส่วนบุคคลกำหนด

---

ลงชื่อ ...................................... (กรรมการผู้จัดการ)

### ตัวอย่างบันทึกรายการกิจกรรมการประมวลผลข้อมูลส่วนบุคคล (ROPA)

ตารางบันทึกกิจกรรมการประมวลผล แสดงรายการอย่างน้อย ได้แก่ ข้อมูลส่วนบุคคลที่เก็บรวบรวม วัตถุประสงค์ ข้อมูลผู้ควบคุมข้อมูล ระยะเวลาการเก็บรักษา สิทธิและวิธีการเข้าถึง และคำอธิบายมาตรการรักษาความมั่นคงปลอดภัยตาม [มาตรา 37](https://link.pdpalawbase.com/section/37.md)

| ลำดับ | ข้อมูลที่เก็บ | วัตถุประสงค์ | ระยะเวลาเก็บรักษา | มาตรการความปลอดภัย |
|------|-------------|------------|------------------|-------------------|
| 1 | ชื่อ ที่อยู่ เบอร์โทรศัพท์ อีเมล | ให้บริการลูกค้า | 5 ปีหลังเลิกใช้บริการ | เข้ารหัสข้อมูล จำกัดสิทธิเข้าถึงผ่านระบบล็อกอิน |
| 2 | ข้อมูลส่วนตัวพนักงาน ประวัติการทำงาน | บริหารงานบุคคล | ตลอดเวลาที่ทำงาน | ระบบล็อกอิน 2 ชั้น ตรวจสอบบันทึกการเข้าใช้งาน |

---

ลงชื่อ ...................................... (เจ้าหน้าที่ความปลอดภัยข้อมูล)

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/2-1-11.md

============================================================
โนด: แนวปฏิบัติ 2.1.12
ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/2-1-12.md

# 2.1.12 หากไม่ต้องแต่งตั้ง DPO ต้องมอบหมายผู้รับผิดชอบและสนับสนุนทรัพยากรให้เพียงพอ

## สิ่งที่ต้องทำ

หากองค์กรไม่ต้องแต่งตั้ง[เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล (DPO)](https://link.pdpalawbase.com/concept/dpo.md) ต้องมอบหมายความรับผิดชอบให้บุคคลหนึ่งปฏิบัติหน้าที่แทน และจัดให้มีพนักงานและทรัพยากรเพียงพอที่จะดำเนินการต่าง ๆ ในการคุ้มครองข้อมูลส่วนบุคคล

## หลักฐาน

1. รายงานการประชุมของกรรมการบริษัทหรือผู้บริหาร ที่ระบุการแต่งตั้งบุคคลหนึ่งบุคคลใดหรือคณะกรรมการให้รับผิดชอบ
2. หลักฐานการแต่งตั้งหรือมอบหมาย
3. ภาพถ่ายอุปกรณ์หรือเครื่องมือที่องค์กรสนับสนุนหรือจัดหาให้

## สภาพบังคับ

ไม่มีกฎหมายกำหนด

## ตัวอย่างเอกสาร

### ตัวอย่างรายงานการประชุมผู้บริหารเรื่องการแต่งตั้งผู้รับผิดชอบ

**รายงานการประชุมผู้บริหาร ครั้งที่ 7/2568** — วันที่: 15 กรกฎาคม 2568
เรื่อง: การแต่งตั้งบุคคลรับผิดชอบด้านการคุ้มครองข้อมูลส่วนบุคคลแทนเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล

ที่ประชุมพิจารณาและมีมติเห็นชอบแต่งตั้งผู้รับผิดชอบด้านการคุ้มครองข้อมูลส่วนบุคคลแทน DPO โดยมอบหมายให้ดำเนินการตามข้อกำหนดของกฎหมาย พร้อมทั้งสนับสนุนทรัพยากรและอุปกรณ์ที่จำเป็นในการปฏิบัติงานอย่างเต็มที่

---

ลงชื่อ ...................................... (ประธานกรรมการบริหาร)

### ตัวอย่างหนังสือแต่งตั้ง/มอบหมายงาน

**บันทึกข้อความเลขที่: 0123/2568** — วันที่: 15 กรกฎาคม 2568
เรื่อง: การแต่งตั้งผู้รับผิดชอบด้านการคุ้มครองข้อมูลส่วนบุคคลแทนเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล

เพื่อให้สอดคล้องกับพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 องค์กรแต่งตั้งผู้จัดการฝ่ายเทคโนโลยีสารสนเทศให้เป็นผู้รับผิดชอบด้านการคุ้มครองข้อมูลส่วนบุคคลแทน DPO โดยมีหน้าที่รับผิดชอบตามที่กฎหมายกำหนด พร้อมทั้งสนับสนุนทรัพยากรและอุปกรณ์ที่จำเป็นในการปฏิบัติงาน

---

ลงชื่อ ...................................... (ประธานกรรมการบริหาร)

### ตัวอย่างรายการอุปกรณ์และเครื่องมือสนับสนุนผู้รับผิดชอบ

- คอมพิวเตอร์สำนักงานที่จัดไว้สำหรับผู้รับผิดชอบด้านการคุ้มครองข้อมูลส่วนบุคคล
- โทรศัพท์มือถือสำหรับติดต่อประสานงานด้านข้อมูลส่วนบุคคล
- ซอฟต์แวร์ระบบบริหารจัดการข้อมูลที่ติดตั้งเพื่อสนับสนุนงานคุ้มครองข้อมูลส่วนบุคคล

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/2-1-12.md

============================================================
โนด: แนวปฏิบัติ 2.1.13
ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/2-1-13.md

# 2.1.13 สมาชิกในองค์กรทราบว่า DPO คือใคร มีหน้าที่อะไร และติดต่ออย่างไร

## สิ่งที่ต้องทำ

แจ้งรายละเอียดเกี่ยวกับ[เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล (DPO)](https://link.pdpalawbase.com/concept/dpo.md)ให้สมาชิกในองค์กรทราบอย่างครบถ้วน ได้แก่ ชื่อ หน้าที่ ความรับผิดชอบ และช่องทางการติดต่อ

## หลักฐาน

1. เอกสารรายละเอียดเกี่ยวกับ DPO (ชื่อ หน้าที่ ความรับผิดชอบ ช่องทางการติดต่อ) ที่ปรากฏอยู่ในรายงานการประชุมของคณะกรรมการองค์กร ผู้บริหาร หรือกรรมการกำกับดูแล
2. ประกาศหรือเผยแพร่คำสั่งแต่งตั้ง DPO หรือหนังสือเวียนแจ้งพนักงาน

## สภาพบังคับ

[มาตรา 37](https://link.pdpalawbase.com/section/37.md) (1) และประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง การรักษาความมั่นคงปลอดภัยของผู้ควบคุมข้อมูลส่วนบุคคล ข้อ 4 (2) (7) — โทษทางปกครองตาม [มาตรา 37](https://link.pdpalawbase.com/section/37.md) ปรับไม่เกิน 3 ล้านบาท

## ตัวอย่างเอกสาร

### ตัวอย่างประกาศแต่งตั้งเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล

**ที่: 0567/2568** — เรื่อง: ประกาศแต่งตั้งเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล

เพื่อให้เป็นไปตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 องค์กรประกาศแต่งตั้งเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล โดยมีหน้าที่ให้คำแนะนำ ตรวจสอบการดำเนินงาน และประสานงานกับสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เพื่อให้การประมวลผลข้อมูลส่วนบุคคลขององค์กรเป็นไปอย่างถูกต้อง

ช่องทางการติดต่อ:

- อีเมล: dpo@example.com
- โทรศัพท์: 02-123-4567 ต่อ 888
- สถานที่ติดต่อ: สำนักงานใหญ่ขององค์กร

ทั้งนี้ ให้มีผลตั้งแต่วันที่ 15 กรกฎาคม 2568 เป็นต้นไป

---

ลงชื่อ ...................................... (ประธานกรรมการบริหาร)

### ตัวอย่างหนังสือเวียนแจ้งพนักงานเรื่อง DPO

**วันที่: 20 กรกฎาคม 2568** — เรื่อง: แจ้งแต่งตั้งเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลและช่องทางการติดต่อ

เรียน พนักงานทุกท่าน องค์กรได้แต่งตั้งเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลเพื่อดูแลและรับผิดชอบการคุ้มครองข้อมูลส่วนบุคคลขององค์กร หากพนักงานท่านใดมีข้อสงสัย ต้องการคำปรึกษาเกี่ยวกับการปฏิบัติตามกฎหมาย หรือต้องการแจ้งปัญหาการคุ้มครองข้อมูลส่วนบุคคล สามารถติดต่อ DPO ได้ตามช่องทางที่ประกาศไว้

---

ลงชื่อ ...................................... (ฝ่ายบุคคล)

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/2-1-13.md

============================================================
โนด: แนวปฏิบัติ 2.1.14
ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/2-1-14.md

# 2.1.14 DPO มีส่วนร่วมให้ความเห็นทุกประเด็นที่เกี่ยวข้องกับ PDPA ในเวลาที่เหมาะสม

## สิ่งที่ต้องทำ

จัดการให้[เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล (DPO)](https://link.pdpalawbase.com/concept/dpo.md)ได้ร่วมให้ความเห็นในทุกเรื่องที่มีความสำคัญและเกี่ยวข้องกับการคุ้มครองข้อมูลส่วนบุคคล ในเวลาที่เหมาะสม

## หลักฐาน

1. รายงานการประชุมในระดับฝ่าย หรือการจัดให้มีระบบหารือผ่านหนังสือ อีเมล หรือแอปพลิเคชันตอบโต้ข้อหารือกับ DPO เป็นหลักฐาน

## สภาพบังคับ

[มาตรา 42](https://link.pdpalawbase.com/section/42.md) วรรคหนึ่ง — กำหนดหน้าที่ของ DPO ในการให้คำแนะนำและตรวจสอบการปฏิบัติตามกฎหมาย

## ตัวอย่างเอกสาร

### ตัวอย่างรายงานการประชุมฝ่ายบริหารเรื่อง PDPA

**รายงานการประชุมฝ่ายบริหาร ครั้งที่ 5/2568** — วันที่: 25 กรกฎาคม 2568
เรื่อง: การพิจารณาและรับฟังความคิดเห็นเกี่ยวกับการปฏิบัติตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล

เนื้อหาการประชุม:

1. พิจารณานโยบายและมาตรการรักษาความปลอดภัยข้อมูลส่วนบุคคล
2. รับฟังความคิดเห็นและข้อเสนอแนะจาก DPO เกี่ยวกับแนวทางปฏิบัติในการประมวลผลข้อมูล
3. ทบทวนความคืบหน้าการจัดทำบันทึกรายการกิจกรรมการประมวลผลข้อมูลส่วนบุคคล
4. หารือเกี่ยวกับคำร้องขอใช้สิทธิของเจ้าของข้อมูล

**สรุปผล** — DPO ให้ความเห็นและข้อแนะนำอย่างครบถ้วนในทุกประเด็นที่เกี่ยวข้อง โดยเสนอแนวทางการปรับปรุงมาตรการรักษาความปลอดภัยและการจัดทำเอกสารที่เกี่ยวข้องให้สอดคล้องกับข้อกำหนดของกฎหมาย

---

ลงชื่อ ...................................... (ประธานที่ประชุม)

### ตัวอย่างระบบการหารือและตอบข้อซักถามผ่านอีเมล

**หัวข้อ:** ขอคำแนะนำเรื่องการจัดเก็บข้อมูลส่วนบุคคลของลูกค้าใหม่ — จากหัวหน้าฝ่ายการตลาด ถึง DPO

**คำตอบจาก DPO** — การเก็บข้อมูลลูกค้าใหม่ควรจัดเก็บเฉพาะข้อมูลที่จำเป็น และกำหนดระยะเวลาการเก็บรักษาไม่เกิน 5 ปี นับจากวันสุดท้ายที่มีการติดต่อกับลูกค้า พร้อมทั้งใช้มาตรการรักษาความปลอดภัย เช่น การเข้ารหัสข้อมูลและจำกัดสิทธิเข้าถึง เพื่อป้องกันการเข้าถึงโดยไม่ได้รับอนุญาต

---

ลงชื่อ ...................................... (เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล)

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/2-1-14.md

============================================================
โนด: แนวปฏิบัติ 2.1.15
ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/2-1-15.md

# 2.1.15 DPO ปฏิบัติหน้าที่อย่างเป็นอิสระ ไม่มีผลประโยชน์ทับซ้อน และมีส่วนร่วมตัดสินใจโดยตรง

## สิ่งที่ต้องทำ

จัดการให้[เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล (DPO)](https://link.pdpalawbase.com/concept/dpo.md)ทำงานอย่างเป็นอิสระ ไม่มีผลประโยชน์ทับซ้อน และมีส่วนร่วมตัดสินใจโดยตรงเกี่ยวกับลักษณะและวัตถุประสงค์ของการประมวลผลข้อมูลในองค์กร

## หลักฐาน

1. เอกสารที่แสดงให้เห็นว่า DPO ตัดสินใจได้โดยอิสระ สามารถแนะนำโดยตรงต่อผู้บริหารระดับสูงและแจ้งข้อกังวลได้ เช่น รายงานการประชุมของกรรมการบริหารหรือกรรมการกำกับดูแล นโยบายที่ระบุชัดว่า DPO มีอิสระโดยไม่มีผลประโยชน์ทับซ้อน หรือสัญญาที่ระบุชัดให้ DPO ทำงานโดยมีอิสระ

## สภาพบังคับ

[มาตรา 42](https://link.pdpalawbase.com/section/42.md) วรรคหนึ่ง — กำหนดความเป็นอิสระในการปฏิบัติหน้าที่ของ DPO และโทษทางปกครองตาม [มาตรา 82](https://link.pdpalawbase.com/section/82.md) ปรับไม่เกิน 1 ล้านบาท

## ตัวอย่างเอกสาร

### ตัวอย่างรายงานการประชุมคณะกรรมการบริหาร

**รายงานการประชุมคณะกรรมการบริหาร ครั้งที่ 8/2568** — วันที่: 5 สิงหาคม 2568
เรื่อง: การแต่งตั้งเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลและการกำหนดอำนาจหน้าที่

เนื้อหาการประชุม:

- รับรองการแต่งตั้ง DPO
- กำหนดบทบาทและอำนาจของ DPO ให้ทำงานอย่างอิสระ ไม่มีผลประโยชน์ทับซ้อน
- กำหนดให้ DPO มีสิทธิเข้าถึงข้อมูล และสามารถแนะนำหรือแจ้งข้อกังวลเกี่ยวกับการประมวลผลข้อมูลส่วนบุคคลโดยตรงต่อคณะกรรมการบริหาร

**มติที่ประชุม** — รับรองให้ DPO ปฏิบัติหน้าที่อย่างเป็นอิสระและไม่มีผลประโยชน์ทับซ้อน โดยมีอำนาจให้ความเห็นและแจ้งข้อกังวลได้โดยตรงต่อผู้บริหารระดับสูงโดยไม่ถูกแทรกแซง

---

ลงชื่อ ...................................... (ประธานกรรมการ)

### ตัวอย่างนโยบายเรื่องความเป็นอิสระของ DPO

**นโยบายความเป็นอิสระและหน้าที่ของเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล**

1. DPO ต้องดำเนินงานโดยไม่มีผลประโยชน์ทับซ้อน และไม่อยู่ภายใต้คำสั่งของฝ่ายใดที่อาจขัดแย้งกับบทบาทของตน
2. DPO มีสิทธิให้คำแนะนำ แนะนำข้อปฏิบัติ แจ้งเตือนข้อกังวล และรายงานต่อผู้บริหารระดับสูงหรือคณะกรรมการบริหารโดยตรง

องค์กรสนับสนุนและจัดสรรทรัพยากรที่เหมาะสมให้แก่ DPO ในการปฏิบัติหน้าที่ นโยบายนี้มีผลบังคับใช้ตั้งแต่วันที่ 1 สิงหาคม 2568 เป็นต้นไป

### ตัวอย่างข้อความในสัญญาจ้างหรือแต่งตั้ง DPO

**ข้อ 3: ความเป็นอิสระในการปฏิบัติหน้าที่** — ผู้ว่าจ้างตกลงและรับรองให้ผู้รับจ้างปฏิบัติหน้าที่ DPO โดยมีอิสระเต็มที่ และไม่มีผลประโยชน์ทับซ้อนในการให้คำแนะนำและควบคุมดูแลการประมวลผลข้อมูลส่วนบุคคล ผู้รับจ้างมีสิทธิรายงานข้อกังวลและข้อเสนอแนะโดยตรงต่อผู้บริหารระดับสูงและคณะกรรมการบริหารขององค์กร โดยไม่ถูกแทรกแซงหรือขัดขวาง

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/2-1-15.md

============================================================
โนด: แนวปฏิบัติ 2.1.16
ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/2-1-16.md

# 2.1.16 DPO ให้คำแนะนำโดยตรงและแจ้งข้อกังวลต่อผู้บริหารระดับสูงสุดได้

## สิ่งที่ต้องทำ

ต้องมีช่องทาง ผังองค์กร หรือสายการบังคับบัญชาให้[เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล (DPO)](https://link.pdpalawbase.com/concept/dpo.md)สามารถให้คำแนะนำโดยตรงต่อผู้มีอำนาจตัดสินใจระดับสูง และแจ้งข้อกังวลต่อผู้บริหารระดับสูงสุดได้

## หลักฐาน

1. เอกสารที่แสดงให้เห็นว่า DPO ตัดสินใจได้โดยอิสระ และสามารถแนะนำโดยตรงต่อผู้บริหารระดับสูงและแจ้งข้อกังวลได้ เช่น รายงานการประชุมของกรรมการบริหารหรือกรรมการกำกับดูแล นโยบายที่ระบุชัดว่า DPO มีอิสระโดยไม่มีผลประโยชน์ทับซ้อน หรือสัญญาที่ระบุชัดให้ DPO ทำงานโดยมีอิสระ

## สภาพบังคับ

[มาตรา 42](https://link.pdpalawbase.com/section/42.md) วรรคหนึ่ง — กำหนดหน้าที่และความเป็นอิสระของ DPO และโทษทางปกครองตาม [มาตรา 82](https://link.pdpalawbase.com/section/82.md) ปรับไม่เกิน 1 ล้านบาท

## ตัวอย่างเอกสาร

### ตัวอย่างรายงานการประชุมคณะกรรมการบริหาร

**รายงานการประชุมคณะกรรมการบริหาร ครั้งที่ 10/2568** — วันที่: 20 กันยายน 2568
เรื่อง: การกำหนดบทบาทและสิทธิของ DPO ในการให้คำแนะนำและแจ้งข้อกังวลต่อผู้บริหารระดับสูง

เนื้อหาการประชุม:

1. กำหนดให้ DPO สามารถให้คำแนะนำโดยตรงต่อผู้บริหารระดับสูงและคณะกรรมการบริหาร
2. อนุมัติผังการบังคับบัญชาที่แสดงให้เห็นว่า DPO รายงานตรงต่อผู้บริหารระดับสูงสุด
3. ยืนยันความเป็นอิสระในการปฏิบัติหน้าที่ของ DPO โดยไม่มีผลประโยชน์ทับซ้อน

**มติที่ประชุม** — รับรองบทบาทของ DPO ในการตัดสินใจและรายงานโดยตรงต่อผู้บริหารระดับสูงสุด พร้อมรับรองให้อิสระเต็มที่ในการปฏิบัติหน้าที่

---

ลงชื่อ ...................................... (ประธานกรรมการ)

### ตัวอย่างนโยบายเรื่องสิทธิและอำนาจของ DPO

1. DPO มีสิทธิและอำนาจในการให้คำแนะนำโดยตรงต่อผู้บริหารระดับสูงและคณะกรรมการบริหารองค์กร
2. DPO สามารถแจ้งข้อกังวลหรือความเสี่ยงที่เกี่ยวข้องกับการประมวลผลข้อมูลส่วนบุคคลโดยตรงแก่ผู้บริหารระดับสูงสุดได้โดยไม่มีข้อจำกัด
3. องค์กรสนับสนุนและรับรองความเป็นอิสระของ DPO ในการปฏิบัติหน้าที่ตาม [มาตรา 42](https://link.pdpalawbase.com/section/42.md)

นโยบายนี้มีผลบังคับใช้ตั้งแต่วันที่ 1 กันยายน 2568 เป็นต้นไป

### ตัวอย่างข้อความในสัญญาจ้างหรือแต่งตั้ง DPO

**ข้อ 4: สิทธิและอำนาจในการรายงานและให้คำแนะนำ** — ผู้ว่าจ้างตกลงให้ผู้รับจ้างในตำแหน่ง DPO มีสิทธิให้คำแนะนำและรายงานข้อกังวลที่เกี่ยวข้องกับการคุ้มครองข้อมูลส่วนบุคคลโดยตรงต่อผู้บริหารระดับสูงสุดและคณะกรรมการบริหารขององค์กร โดยไม่มีข้อจำกัดหรือข้อกีดกันใด ๆ และต้องได้รับการสนับสนุนในการปฏิบัติงานอย่างอิสระตาม [มาตรา 42](https://link.pdpalawbase.com/section/42.md)

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/2-1-16.md

============================================================
โนด: แนวปฏิบัติ 2.1.17
ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/2-1-17.md

# 2.1.17 องค์กรปฏิบัติตามคำแนะนำของ DPO หากไม่ดำเนินการต้องบันทึกเหตุผลไว้

## สิ่งที่ต้องทำ

องค์กรต้องปฏิบัติตามคำแนะนำของ[เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล (DPO)](https://link.pdpalawbase.com/concept/dpo.md)ในฐานะผู้เชี่ยวชาญด้านการคุ้มครองข้อมูลส่วนบุคคล และหากไม่ปฏิบัติตาม ต้องบันทึกเหตุผลประกอบไว้ให้ตรวจสอบได้

## หลักฐาน

1. รายงานการประชุมของหัวหน้าฝ่าย
2. หนังสือตอบโต้ อีเมล หรือแอปพลิเคชันข้อหารือของ DPO กับฝ่ายงานในองค์กร โดยทั้ง 2 ข้อต้องมีข้อความว่า "ได้ปฏิบัติตามคำแนะนำ" ซึ่งอาจมีบันทึกการรายงานผลการปฏิบัติงานประกอบ

## สภาพบังคับ

ไม่มีกฎหมายกำหนด

## ตัวอย่างเอกสาร

### ตัวอย่างรายงานการประชุมของหัวหน้าฝ่าย

**รายงานการประชุมหัวหน้าฝ่าย ครั้งที่ 5/2568** — วันที่: 15 พฤษภาคม 2568
เรื่อง: การปฏิบัติตามคำแนะนำของเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล

เนื้อหาการประชุม:

1. DPO เสนอคำแนะนำเกี่ยวกับการปรับปรุงระบบความปลอดภัยข้อมูล
2. ฝ่ายเทคโนโลยีสารสนเทศรายงานว่าได้ปฏิบัติตามคำแนะนำ โดยติดตั้งระบบเข้ารหัสข้อมูลเพิ่มเติมตามที่ DPO แนะนำ
3. ฝ่ายทรัพยากรบุคคลแจ้งว่ายังไม่ได้ปฏิบัติตามคำแนะนำ เนื่องจากข้อจำกัดทางงบประมาณ และจัดทำหนังสือชี้แจงเหตุผลประกอบอย่างชัดเจน

**มติที่ประชุม** — รับทราบการดำเนินการตามคำแนะนำของ DPO และเหตุผลกรณีไม่ปฏิบัติตาม พร้อมติดตามผลในครั้งถัดไป

---

ลงชื่อ ...................................... (หัวหน้าฝ่าย)

### ตัวอย่างหนังสือตอบโต้/อีเมล/ข้อความในแอปพลิเคชัน

เรื่อง: ตอบกลับคำแนะนำของ DPO เรื่องการปรับปรุงระบบข้อมูล

ตามที่ DPO ให้คำแนะนำเกี่ยวกับการเพิ่มมาตรการรักษาความปลอดภัยข้อมูลในระบบทรัพยากรบุคคล ฝ่ายเทคโนโลยีสารสนเทศได้ปฏิบัติตามคำแนะนำโดยติดตั้งระบบเข้ารหัสและปรับปรุงซอฟต์แวร์เรียบร้อยแล้ว ส่วนฝ่ายทรัพยากรบุคคลยังไม่ได้ปฏิบัติตามเนื่องจากข้อจำกัดทางงบประมาณในไตรมาสนี้ แต่จะจัดทำแผนดำเนินการในไตรมาสถัดไปและรายงานผลอีกครั้ง

---

ลงชื่อ ...................................... (หัวหน้าฝ่ายเทคโนโลยีสารสนเทศ)

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/2-1-17.md

============================================================
โนด: แนวปฏิบัติ 2.1.18
ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/2-1-18.md

# 2.1.18 DPO ให้ข้อมูลที่เป็นปัจจุบันแก่ผู้บริหารระดับสูงเป็นประจำเกี่ยวกับกฎหมายและการดำเนินการด้าน PDPA

## สิ่งที่ต้องทำ

ต้องมีระบบการรายงานข้อมูลที่เป็นปัจจุบันจาก[เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล (DPO)](https://link.pdpalawbase.com/concept/dpo.md)ต่อผู้บริหารระดับสูงเป็นประจำ อย่างน้อยปีละ 1 ครั้ง เกี่ยวกับกฎหมายและการดำเนินการด้านการคุ้มครองข้อมูลส่วนบุคคล

## หลักฐาน

1. รายงานการประชุมกรรมการบริษัทหรือองค์กร หรือกรรมการกำกับดูแลด้านการคุ้มครองข้อมูลส่วนบุคคล
2. หนังสือหรือบันทึกของ DPO ที่จัดทำรายงานต่อผู้บริหาร

## สภาพบังคับ

ไม่มีกฎหมายกำหนด

## ตัวอย่างเอกสาร

### ตัวอย่างรายงานการประชุมคณะกรรมการบริษัท

**รายงานการประชุมคณะกรรมการบริษัท ครั้งที่ 4/2568** — วันที่: 15 เมษายน 2568
เรื่อง: รายงานความคืบหน้าการดำเนินงานด้านการคุ้มครองข้อมูลส่วนบุคคล

เนื้อหาการประชุม:

1. DPO รายงานข้อมูลที่เป็นปัจจุบันเกี่ยวกับกฎหมายและแนวทางปฏิบัติตามมาตรฐานของสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล
2. รายงานผลการดำเนินงานและความท้าทายในการคุ้มครองข้อมูลส่วนบุคคลในองค์กร
3. อภิปรายและเสนอแนะแนวทางพัฒนาการจัดการข้อมูลส่วนบุคคลในปีถัดไป

**มติที่ประชุม** — รับทราบรายงานของ DPO และมอบหมายให้ฝ่ายที่เกี่ยวข้องเร่งดำเนินการตามข้อเสนอแนะ พร้อมกำหนดให้ DPO รายงานความคืบหน้าต่อที่ประชุมกรรมการอย่างน้อยปีละ 1 ครั้ง

---

ลงชื่อ ...................................... (ประธานกรรมการบริษัท)

### ตัวอย่างหนังสือรายงานของ DPO ต่อผู้บริหารระดับสูง

**บันทึกข้อความ** — วันที่: 10 เมษายน 2568
เรื่อง: รายงานสถานะและความคืบหน้าการดำเนินงานด้านการคุ้มครองข้อมูลส่วนบุคคล

เรียน ผู้บริหารระดับสูง — เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลขอรายงานสถานะและความคืบหน้า ดังนี้

1. สถานะการปฏิบัติตามกฎหมาย — องค์กรอยู่ระหว่างการปรับปรุงนโยบายและขั้นตอนการจัดการข้อมูลส่วนบุคคลให้เป็นไปตามข้อกำหนดของกฎหมาย
2. ผลการตรวจสอบและประเมินความเสี่ยงด้านข้อมูลส่วนบุคคลในไตรมาสที่ผ่านมา
3. การอบรมและสร้างความตระหนักรู้ให้พนักงาน
4. ปัญหาและข้อเสนอแนะเพื่อการปรับปรุงระบบคุ้มครองข้อมูลส่วนบุคคล

---

ลงชื่อ ...................................... (เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล)

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/2-1-18.md

============================================================
โนด: แนวปฏิบัติ 2.1.19
ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/2-1-19.md

# 2.1.19 เจ้าหน้าที่ที่ปฏิบัติงานด้าน PDPA จัดการดูแลข้อมูลอย่างมีประสิทธิภาพและรักษาความปลอดภัยอย่างเหมาะสม

## สิ่งที่ต้องทำ

ต้องดำเนินการให้เจ้าหน้าที่ที่ปฏิบัติงานเกี่ยวกับการคุ้มครองข้อมูลส่วนบุคคลและการกำกับข้อมูล จัดการและดูแลข้อมูลอย่างมีประสิทธิภาพ และรักษาความมั่นคงปลอดภัยของข้อมูลอย่างเหมาะสม

## หลักฐาน

1. รายงานการประชุมกรรมการบริษัทหรือองค์กร หรือกรรมการกำกับดูแลด้านการคุ้มครองข้อมูลส่วนบุคคล
2. นโยบาย ประกาศ คำสั่ง หรือแนวปฏิบัติที่ระบุถึงมาตรการรักษาความมั่นคงปลอดภัย โดยเอกสารต้องระบุให้เห็นว่า "มีมาตรการรักษาความมั่นคงปลอดภัยสำหรับพนักงานทุกด้าน"

## สภาพบังคับ

[มาตรา 37](https://link.pdpalawbase.com/section/37.md) และ [มาตรา 40](https://link.pdpalawbase.com/section/40.md) — กำหนดหน้าที่ด้านการรักษาความมั่นคงปลอดภัยและหน้าที่ของผู้ประมวลผลข้อมูล โทษทางปกครองตาม [มาตรา 83](https://link.pdpalawbase.com/section/83.md) (กรณีไม่ปฏิบัติตาม [มาตรา 37](https://link.pdpalawbase.com/section/37.md)) ปรับไม่เกิน 3 ล้านบาท และ [มาตรา 84](https://link.pdpalawbase.com/section/84.md) (กรณีไม่ปฏิบัติตาม [มาตรา 40](https://link.pdpalawbase.com/section/40.md)) ปรับไม่เกิน 3 ล้านบาท

## ตัวอย่างเอกสาร

### ตัวอย่างรายงานการประชุมคณะกรรมการบริษัท

**รายงานการประชุมคณะกรรมการบริษัท ครั้งที่ 5/2568** — วันที่: 20 เมษายน 2568
เรื่อง: มาตรการและการกำกับดูแลการรักษาความมั่นคงปลอดภัยข้อมูลส่วนบุคคล

**มติที่ประชุม** — อนุมัตินโยบายและมาตรการรักษาความมั่นคงปลอดภัยข้อมูลส่วนบุคคลสำหรับพนักงานทุกด้านอย่างเคร่งครัด และกำหนดให้มีการตรวจสอบและประเมินผลความปลอดภัยของระบบข้อมูลอย่างสม่ำเสมอ

---

ลงชื่อ ...................................... (ประธานกรรมการบริษัท)

### ตัวอย่างนโยบายรักษาความมั่นคงปลอดภัยข้อมูลส่วนบุคคล

**วัตถุประสงค์** — ปกป้องและรักษาความมั่นคงปลอดภัยของข้อมูลส่วนบุคคลที่เก็บรวบรวม ใช้ และจัดเก็บ เพื่อป้องกันการเข้าถึง การเปิดเผย การเปลี่ยนแปลง หรือการทำลายข้อมูลโดยไม่ได้รับอนุญาต

**มาตรการทางเทคนิค** — ใช้ระบบป้องกันไวรัสและมัลแวร์ที่อัปเดตสม่ำเสมอ ระบบไฟร์วอลล์และควบคุมการเข้าถึงเครือข่าย กำหนดรหัสผ่านที่ซับซ้อน เข้ารหัสข้อมูลสำคัญทั้งขณะจัดเก็บและส่งข้อมูล และมีระบบสำรองข้อมูลพร้อมแผนการกู้คืนข้อมูล

**มาตรการทางการบริหาร** — ฝึกอบรมและสร้างความตระหนักรู้แก่พนักงานทุกระดับ จัดให้มีนโยบายการใช้งานระบบสารสนเทศที่ชัดเจน ตรวจสอบและประเมินความเสี่ยงอย่างน้อยปีละ 1 ครั้ง และกำหนดกระบวนการจัดการเหตุการณ์ด้านความมั่นคงปลอดภัยข้อมูล

**การควบคุมการเข้าถึงข้อมูล** — จำกัดสิทธิการเข้าถึงข้อมูลตามหน้าที่และความจำเป็นในการปฏิบัติงาน และมีระบบบันทึกการเข้าถึงข้อมูลพร้อมตรวจสอบการใช้งานอย่างต่อเนื่อง

---

ลงชื่อ ...................................... (กรรมการผู้จัดการ)

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/2-1-19.md

============================================================
โนด: แนวปฏิบัติ 2.1.20
ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/2-1-20.md

# 2.1.20 เจ้าหน้าที่ที่ปฏิบัติงานด้าน PDPA มีหน้าที่และความรับผิดชอบที่ชัดเจน

## สิ่งที่ต้องทำ

กำหนดหน้าที่ด้านการคุ้มครองข้อมูลส่วนบุคคลให้แก่เจ้าหน้าที่ที่ปฏิบัติงานและกำกับข้อมูลอย่างชัดเจน เพื่อให้องค์กรปฏิบัติตามข้อกำหนด นโยบาย และกฎหมาย

## หลักฐาน

1. การระบุหน้าที่ของเจ้าหน้าที่ที่ปฏิบัติงานเกี่ยวกับการคุ้มครองข้อมูลส่วนบุคคลและการกำกับข้อมูลไว้ใน JD ข้อตกลง หรือสัญญาจ้าง โดยเอกสารต้องระบุให้เห็นว่า "มีหน้าที่คุ้มครองข้อมูลส่วนบุคคลของพนักงาน"

## สภาพบังคับ

ไม่มีกฎหมายกำหนด

## ตัวอย่างเอกสาร

### ตัวอย่างคำบรรยายลักษณะงานของเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล

**ตำแหน่ง:** เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล — **แผนก:** ฝ่ายบริหารความเสี่ยงและการปฏิบัติตามกฎหมาย — **รายงานต่อ:** กรรมการผู้จัดการ/คณะกรรมการคุ้มครองข้อมูล

**หน้าที่และความรับผิดชอบหลัก**

1. ดำเนินการและกำกับดูแลการปฏิบัติตามกฎหมายและนโยบายคุ้มครองข้อมูลขององค์กร ตรวจสอบและประเมินการจัดเก็บ ใช้ และเปิดเผยข้อมูลส่วนบุคคลให้สอดคล้องกับกฎหมาย พร้อมให้คำแนะนำแก่ฝ่ายต่าง ๆ
2. จัดทำและพัฒนานโยบาย แนวปฏิบัติ และมาตรการรักษาความมั่นคงปลอดภัยข้อมูลส่วนบุคคล ดูแลให้นโยบายได้รับการปรับปรุงสม่ำเสมอ และส่งเสริมความตระหนักรู้แก่พนักงาน
3. รับผิดชอบการจัดการข้อร้องเรียนและเหตุการณ์ละเมิดข้อมูลส่วนบุคคล พร้อมประสานงานกับหน่วยงานที่เกี่ยวข้องเพื่อแก้ไขปัญหาอย่างรวดเร็ว
4. รายงานผลการดำเนินงานและความคืบหน้าต่อผู้บริหารระดับสูงอย่างน้อยปีละ 1 ครั้ง และแจ้งข้อกังวลที่พบอย่างชัดเจนและทันเวลา
5. รักษาความลับและความปลอดภัยของข้อมูลส่วนบุคคลของพนักงานและลูกค้าอย่างเคร่งครัด และวางแผนจัดการอบรมให้ความรู้เกี่ยวกับการคุ้มครองข้อมูลแก่พนักงาน

---

ลงชื่อเจ้าหน้าที่ ...................................... วันที่ ......................................

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/2-1-20.md

============================================================
โนด: แนวปฏิบัติ 2.1.21
ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/2-1-21.md

# 2.1.21 มีเครือข่ายสนับสนุนหรือคณะทำงานด้าน PDPA ในส่วนงานย่อยเพื่อเพิ่มประสิทธิภาพ

## สิ่งที่ต้องทำ

องค์กรต้องสนับสนุนให้เกิดเครือข่ายด้านการคุ้มครองข้อมูลส่วนบุคคล และสนับสนุนให้พนักงานแต่ละฝ่ายเข้าร่วมเป็นคณะทำงานของ[เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล (DPO)](https://link.pdpalawbase.com/concept/dpo.md) เพื่อช่วยให้การดำเนินการและการธำรงไว้ซึ่งนโยบายด้านการคุ้มครองข้อมูลส่วนบุคคลในส่วนงานย่อยมีประสิทธิภาพมากขึ้น

## หลักฐาน

1. รายงานการประชุมกรรมการบริษัท ผู้บริหาร กรรมการกำกับดูแลการคุ้มครองข้อมูลส่วนบุคคล หรือฝ่ายงาน ที่มีข้อความให้เห็นว่า "มีการผลัดกันเข้าไปเป็นคณะทำงานของ DPO"

## สภาพบังคับ

ไม่มีกฎหมายกำหนด

## ตัวอย่างเอกสาร

### ตัวอย่างรายงานการประชุมคณะกรรมการบริษัท

**วันที่ประชุม:** 30 พฤษภาคม 2568 — **ระเบียบวาระ:** การสนับสนุนการปฏิบัติงานด้านการคุ้มครองข้อมูลส่วนบุคคลและการจัดตั้งคณะทำงาน

ที่ประชุมรับทราบความจำเป็นในการส่งเสริมและสนับสนุนการปฏิบัติตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล โดยเห็นชอบให้จัดตั้งเครือข่ายคณะทำงานเพื่อช่วย DPO ในการดำเนินงาน และให้แต่ละฝ่ายผลัดเปลี่ยนกันส่งตัวแทนเข้าร่วมเป็นคณะทำงานเพื่อช่วยธำรงนโยบายและแนวทางปฏิบัติในส่วนงานของตน

**มติที่ประชุม**

1. อนุมัติให้จัดตั้งคณะทำงานด้านคุ้มครองข้อมูลส่วนบุคคล โดยมีสมาชิกมาจากตัวแทนพนักงานแต่ละฝ่าย
2. ให้ฝ่ายทรัพยากรบุคคลและ DPO ร่วมกันกำหนดเกณฑ์การผลัดเปลี่ยนสมาชิกในคณะทำงานอย่างสม่ำเสมอ
3. ให้คณะทำงานรายงานความคืบหน้าการปฏิบัติงานต่อ DPO และผู้บริหารระดับสูงทุกไตรมาส

**ข้อความสำคัญ** — "ที่ประชุมมีมติให้มีการผลัดเปลี่ยนตัวแทนจากฝ่ายต่าง ๆ เข้าเป็นคณะทำงานของ DPO เพื่อช่วยส่งเสริมและสนับสนุนการดำเนินการตามกฎหมายในองค์กรอย่างมีประสิทธิภาพ"

---

ลงชื่อ ...................................... (ประธานที่ประชุม)

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/2-1-21.md

============================================================
โนด: แนวปฏิบัติ 2.1.22
ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/2-1-22.md

# 2.1.22 เจ้าหน้าที่ที่ปฏิบัติงานด้าน PDPA มีอำนาจ ได้รับการสนับสนุนและทรัพยากรอย่างมีประสิทธิภาพ

## สิ่งที่ต้องทำ

องค์กรต้องสนับสนุนเจ้าหน้าที่ที่ปฏิบัติงานเกี่ยวกับการคุ้มครองข้อมูลส่วนบุคคลและการกำกับข้อมูลอย่างเพียงพอ ทั้งอำนาจหน้าที่และการจัดสรรทรัพยากรในการดำเนินงาน

## หลักฐาน

1. ภาพถ่ายอุปกรณ์หรือเครื่องมือที่องค์กรจัดหาให้
2. บันทึกที่แสดงให้เห็นถึงการเข้าถึงฐานข้อมูลภายในองค์กรโดยพนักงานที่เกี่ยวข้อง

## สภาพบังคับ

ไม่มีกฎหมายกำหนด

## ตัวอย่างเอกสาร

### ตัวอย่างบันทึกข้อความแสดงการสนับสนุนทรัพยากร

**บันทึกข้อความ** — ส่วนงาน: ฝ่ายกฎหมายและการคุ้มครองข้อมูลส่วนบุคคล — วันที่: 2 มิถุนายน 2568
เรื่อง: การสนับสนุนทรัพยากรเพื่อการปฏิบัติงานด้านการคุ้มครองข้อมูลส่วนบุคคล

ด้วยเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลมีภารกิจกำกับดูแลให้การดำเนินงานเป็นไปตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 อย่างมีประสิทธิภาพ จึงขอเรียนให้ทราบว่า

1. เจ้าหน้าที่ที่เกี่ยวข้องได้รับสิทธิเข้าถึงฐานข้อมูลที่จำเป็น เช่น ฐานข้อมูลลูกค้าสัมพันธ์ ระบบจัดการเอกสารอิเล็กทรอนิกส์ ระบบทรัพยากรบุคคล และระบบรับแจ้งเหตุด้านข้อมูล
2. ได้รับการจัดสรรเครื่องมือในการปฏิบัติงาน ได้แก่ เครื่องคอมพิวเตอร์พร้อมซอฟต์แวร์วิเคราะห์ข้อมูล โทรศัพท์สำนักงาน ระบบเข้าถึงฐานข้อมูลจากระยะไกลที่ปลอดภัย และห้องทำงานเฉพาะที่แยกจากบุคคลภายนอก
3. มีงบประมาณประจำปีเพื่อใช้ในการฝึกอบรม ตรวจสอบ และว่าจ้างที่ปรึกษาด้านข้อมูล

---

ลงชื่อ ...................................... (เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล)
รับทราบ ...................................... (กรรมการผู้จัดการใหญ่)

### ตัวอย่างรายการภาพถ่ายประกอบ

- โต๊ะทำงานเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลพร้อมเครื่องคอมพิวเตอร์ตั้งโต๊ะ โทรศัพท์สำนักงาน และเอกสารที่เกี่ยวข้อง
- หน้าจอระบบจัดการข้อมูลแสดงชื่อผู้ใช้ที่มีสิทธิเข้าถึง
- ห้องประชุมย่อยเฉพาะของฝ่ายคุ้มครองข้อมูลส่วนบุคคล
- หน้าจอระบบเข้าถึงฐานข้อมูลระยะไกลและระบบควบคุมการเข้าถึงข้อมูล

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/2-1-22.md

============================================================
โนด: แนวปฏิบัติ 2.1.23
ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/2-1-23.md

# 2.1.23 ต้องจัดให้มีคณะทำงานของ DPO และ DPO เข้าร่วมประชุมกับคณะทำงานอย่างสม่ำเสมอ

## สิ่งที่ต้องทำ

ต้องจัดตั้งคณะทำงานของ[เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล (DPO)](https://link.pdpalawbase.com/concept/dpo.md) และจัดให้มีการประชุมร่วมกันอย่างสม่ำเสมอ โดย DPO เข้าร่วมประชุมกับคณะทำงานด้วย

## หลักฐาน

1. รายงานการประชุมกรรมการบริษัท ผู้บริหาร กรรมการกำกับดูแลการคุ้มครองข้อมูลส่วนบุคคล หรือฝ่ายงาน ที่มีข้อความให้เห็นว่า "มีการแต่งตั้งคณะทำงานของ DPO โดยต้องปรากฏรายชื่อ DPO เป็นประธาน ปรากฏชื่อคณะทำงาน และภาระงานของคณะทำงานว่ามีหน้าที่อะไรบ้าง"

## สภาพบังคับ

ไม่มีกฎหมายกำหนด

## ตัวอย่างเอกสาร

### ตัวอย่างรายงานการประชุมคณะทำงาน DPO

**รายงานการประชุมคณะทำงานเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล ครั้งที่ 1/2568**
วัน/เวลา: วันอังคารที่ 5 มีนาคม 2568 เวลา 10.00–12.00 น. — สถานที่: ห้องประชุม 4A อาคารสำนักงานใหญ่

**ผู้เข้าร่วมประชุม** — เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล (ประธานคณะทำงาน) ตัวแทนฝ่ายความมั่นคงปลอดภัยสารสนเทศ ฝ่ายทรัพยากรบุคคล ฝ่ายกฎหมาย และตัวแทนฝ่ายลูกค้าสัมพันธ์

**วาระที่ 1: แจ้งเพื่อทราบ** — ประธานชี้แจงการแต่งตั้งคณะทำงาน DPO เพื่อสนับสนุนการดำเนินงานด้านการคุ้มครองข้อมูลส่วนบุคคล โดยอ้างอิงคำสั่งแต่งตั้งคณะทำงาน

**วาระที่ 2: บทบาทหน้าที่คณะทำงาน** — ที่ประชุมเห็นชอบให้คณะทำงานมีหน้าที่หลัก ดังนี้

1. ประสานงานกับหน่วยงานภายในในการดำเนินการตามข้อแนะนำของ DPO
2. รวบรวมและประเมินความเสี่ยงด้านข้อมูลส่วนบุคคลของฝ่ายงาน
3. รายงานปัญหา ข้อร้องเรียน หรือเหตุละเมิดข้อมูลต่อ DPO
4. สนับสนุนการจัดทำบันทึกกิจกรรมการประมวลผล ([บันทึกรายการกิจกรรมการประมวลผล (ROPA)](https://link.pdpalawbase.com/concept/ropa.md))

**วาระที่ 3: รอบการประชุม** — เห็นชอบให้มีการประชุมคณะทำงาน DPO ทุก 3 เดือน (ไตรมาสละ 1 ครั้ง)

**มติที่ประชุม** — รับทราบการแต่งตั้งคณะทำงาน และอนุมัติภาระงานและรอบการประชุมเรียบร้อยแล้ว

---

ลงชื่อ ...................................... (ประธานคณะทำงานเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล)

หมายเหตุ: เอกสารแนบท้าย — คำสั่งแต่งตั้งคณะทำงาน DPO (สำเนา)

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/2-1-23.md

============================================================
โนด: แนวปฏิบัติ 2.1.24
ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/2-1-24.md

# 2.1.24 DPO เป็นประธานคณะทำงาน หรือมีบทบาทสำคัญในคณะทำงานของ DPO

## สิ่งที่ต้องทำ

ต้องตั้ง[เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล (DPO)](https://link.pdpalawbase.com/concept/dpo.md)เป็นประธานคณะทำงานด้านการคุ้มครองข้อมูลส่วนบุคคล หรือให้ DPO มีบทบาทสำคัญในคณะทำงานนั้น โดยมีภาระงานของคณะทำงานที่ชัดเจน

## หลักฐาน

1. คำสั่งแต่งตั้งคณะทำงานด้านการคุ้มครองข้อมูลส่วนบุคคล โดยต้องมีรายละเอียดที่แสดงให้เห็นว่า **"DPO เป็นประธานหรือผู้ทำงานในคณะทำงาน และมีภาระงานของคณะทำงานชัดเจน"**
2. รายงานการประชุมคณะกรรมการบริษัท หรือผู้บริหาร หรือคณะกรรมการกำกับดูแลการคุ้มครองข้อมูลส่วนบุคคล หรือฝ่ายงาน

## สภาพบังคับ

ไม่มีกฎหมายกำหนด — การมีคณะทำงานที่ DPO เป็นประธานช่วยให้การดำเนินงานด้านการคุ้มครองข้อมูลส่วนบุคคลขององค์กรมีประสิทธิภาพยิ่งขึ้น

## ตัวอย่างเอกสาร

### ตัวอย่างคำสั่งแต่งตั้งคณะทำงานด้านการคุ้มครองข้อมูลส่วนบุคคล

**คำสั่งที่ 01/256x**
**เรื่อง** แต่งตั้งคณะทำงานด้านการคุ้มครองข้อมูลส่วนบุคคล

เพื่อให้การดำเนินงานด้านการคุ้มครองข้อมูลส่วนบุคคลขององค์กรเป็นไปอย่างมีประสิทธิภาพ และสอดคล้องกับพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 จึงแต่งตั้งคณะทำงานดังนี้

**1. รายชื่อคณะทำงาน**

*ประธานคณะทำงาน*
- ___________ — เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล (DPO)

*กรรมการ*
- ___________ — ผู้แทนฝ่ายเทคโนโลยีสารสนเทศ
- ___________ — ผู้แทนฝ่ายกฎหมาย
- ___________ — ผู้แทนฝ่ายทรัพยากรบุคคล
- ___________ — ผู้แทนจากหน่วยงานอื่น ๆ ที่เกี่ยวข้อง

*เลขานุการ*
- ___________ — เจ้าหน้าที่สนับสนุนงาน PDPA

**2. อำนาจหน้าที่ของคณะทำงาน**

คณะทำงานมีหน้าที่ดังนี้:

1. วางแผนและกำหนดแนวทางการดำเนินงานให้เป็นไปตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562
2. เสนอแนะนโยบาย แนวปฏิบัติ หรือมาตรการคุ้มครองข้อมูลส่วนบุคคลให้ผู้บริหารพิจารณา
3. ตรวจสอบ ติดตาม และประเมินการปฏิบัติงานตามแนวปฏิบัติที่กำหนด
4. ประสานงานกับฝ่ายต่าง ๆ ภายในองค์กรเพื่อให้การปฏิบัติตาม PDPA เป็นไปโดยทั่วถึง
5. จัดประชุมอย่างสม่ำเสมอเพื่อติดตามความก้าวหน้า
6. รายงานผลการดำเนินงานต่อคณะกรรมการกำกับดูแลหรือผู้บริหารองค์กร

**3. ระยะเวลา**

คณะทำงานชุดนี้ดำรงตำแหน่ง 1 ปี นับแต่วันที่ออกคำสั่ง และสามารถต่ออายุหรือแต่งตั้งใหม่ได้ตามความเหมาะสม

สั่ง ณ วันที่ ___________________________

ลงชื่อ: ___________________________ (ผู้มีอำนาจ/ผู้บริหารองค์กร)

---

### ตัวอย่างรายงานการประชุมคณะทำงาน PDPA

**รายงานการประชุมคณะกรรมการกำกับดูแลการคุ้มครองข้อมูลส่วนบุคคล**

ครั้งที่: ___/256x
วันที่: ___________________________
สถานที่: ___________________________

**ผู้เข้าร่วมประชุม:**
1. ___________ — ประธานกรรมการ (DPO)
2. ___________ — กรรมการ (ฝ่ายเทคโนโลยีสารสนเทศ)
3. ___________ — กรรมการ (ฝ่ายกฎหมาย)
4. ___________ — กรรมการ (ฝ่ายทรัพยากรบุคคล)
5. ___________ — เลขานุการ

**วาระการประชุม**

*วาระที่ 1* — เรื่องแจ้งเพื่อทราบ
ประธาน (DPO) แจ้งการดำรงตำแหน่งประธานคณะทำงานตามคำสั่ง และดำเนินการตามอำนาจหน้าที่ที่กำหนด

*วาระที่ 2* — การกำหนดภารกิจของคณะทำงาน
คณะกรรมการเห็นชอบภาระงาน ได้แก่: การกำกับดูแลการจัดทำนโยบายคุ้มครองข้อมูลส่วนบุคคล การติดตามการประเมินผลกระทบด้านการคุ้มครองข้อมูล ([การประเมินผลกระทบด้านการคุ้มครองข้อมูลส่วนบุคคล (DPIA)](https://link.pdpalawbase.com/concept/dpia.md)) การให้คำปรึกษาแก่ฝ่ายต่าง ๆ และการจัดทำแผนฝึกอบรมประจำปี

*วาระที่ 3* — ความถี่ในการประชุม
มีมติให้ประชุมทุกไตรมาส และในกรณีมีเหตุฉุกเฉินหรือการละเมิดข้อมูลให้จัดประชุมพิเศษทันที

**มติที่ประชุมสรุป:**
- รับทราบบทบาทของ DPO ในฐานะประธานคณะทำงาน
- รับรองภาระงานของคณะทำงานตามข้อเสนอ
- เห็นชอบกำหนดการประชุมรายไตรมาส

ปิดประชุม: ___________________________

ลงชื่อ: ___________________________ (ประธาน/DPO)

ลงชื่อ: ___________________________ (เลขานุการ)

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/2-1-24.md

============================================================
โนด: แนวปฏิบัติ 2.1.25
ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/2-1-25.md

# 2.1.25 มีการกำหนดเป้าหมายคณะทำงานของ DPO อย่างชัดเจน

## สิ่งที่ต้องทำ

กำหนดเป้าหมายของคณะทำงานของ[เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล (DPO)](https://link.pdpalawbase.com/concept/dpo.md)อย่างชัดเจน และสอดคล้องกับภาระงานของ DPO

## หลักฐาน

1. วาระการประชุมและรายงานการประชุมคณะทำงานของ DPO โดยต้องมีข้อความที่แสดงให้เห็นอย่างชัดเจนถึง "เป้าหมายและแผนการดำเนินงานของคณะทำงาน"

## สภาพบังคับ

ไม่มีกฎหมายกำหนด

## ตัวอย่างเอกสาร

### ตัวอย่างวาระการประชุมคณะทำงาน DPO

**คณะทำงานด้านการคุ้มครองข้อมูลส่วนบุคคล ครั้งที่ 3/2568** — วันที่: 5 มิถุนายน 2568

**วาระที่ 2: การกำหนดเป้าหมายและแผนการดำเนินงานประจำปีของคณะทำงาน** — เป้าหมายของคณะทำงาน ได้แก่

1. จัดทำและทบทวนนโยบายการคุ้มครองข้อมูลส่วนบุคคลภายในองค์กร ให้สอดคล้องกับสถานการณ์จริงและแนวทางของสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล
2. สร้างความรู้ความเข้าใจแก่พนักงานทุกระดับ ผ่านการอบรมไม่น้อยกว่า 2 ครั้งต่อปี
3. ควบคุมและกำกับดูแลการประมวลผลข้อมูลส่วนบุคคลของแต่ละฝ่ายงาน ให้มีการบันทึก[บันทึกรายการกิจกรรมการประมวลผล (ROPA)](https://link.pdpalawbase.com/concept/ropa.md)ครบถ้วน
4. ประเมินความเสี่ยงด้านการคุ้มครองข้อมูลส่วนบุคคล และดำเนินการ[การประเมินผลกระทบด้านการคุ้มครองข้อมูลส่วนบุคคล (DPIA)](https://link.pdpalawbase.com/concept/dpia.md)ในกิจกรรมที่มีความเสี่ยงสูง
5. จัดให้มีระบบรับเรื่องร้องเรียนหรือแจ้งเหตุการละเมิดข้อมูล และรายงานให้ DPO ภายใน 72 ชั่วโมง
6. สนับสนุนการจัดหาเครื่องมือระบบความปลอดภัยข้อมูลให้เหมาะสมกับการดำเนินงาน

**มติที่ประชุม** — เห็นชอบเป้าหมายและแผนดำเนินงานรายไตรมาสของคณะทำงาน DPO และมอบหมายให้เลขานุการจัดทำเอกสารเผยแพร่ไปยังทุกฝ่าย

---

ลงชื่อ ...................................... (ประธานคณะทำงาน)

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/2-1-25.md

============================================================
โนด: แนวปฏิบัติ 2.1.26
ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/2-1-26.md

# 2.1.26 คณะทำงาน DPO มีการบันทึกรายงานการประชุม

## สิ่งที่ต้องทำ

คณะทำงานของ[เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล (DPO)](https://link.pdpalawbase.com/concept/dpo.md)ต้องมีการบันทึกรายงานการประชุมอย่างน้อยปีละ 1 ครั้ง และจัดทำรายงานการประชุมไว้เป็นหลักฐาน

## หลักฐาน

1. วาระการประชุมและรายงานการประชุมคณะทำงานของ DPO โดยต้องมีข้อความที่แสดงให้เห็นอย่างชัดเจนถึง "เป้าหมายและแผนการดำเนินงานของคณะทำงาน"

## สภาพบังคับ

ไม่มีกฎหมายกำหนด

## ตัวอย่างเอกสาร

### ตัวอย่างวาระและรายงานการประชุมคณะทำงาน DPO

**คณะทำงาน DPO ครั้งที่ 1/2568** — วันพฤหัสบดีที่ 15 กุมภาพันธ์ 2568 เวลา 09.30–11.30 น.

**วาระที่ 2: เป้าหมายและแผนการดำเนินงานประจำปี** — เป้าหมายของคณะทำงาน ได้แก่

1. พัฒนานโยบายการคุ้มครองข้อมูลส่วนบุคคลให้ครอบคลุมทุกกิจกรรมขององค์กร
2. ส่งเสริมความรู้ ความเข้าใจ และการมีส่วนร่วมของพนักงานทุกฝ่าย
3. ตรวจสอบความสอดคล้องของกิจกรรมประมวลผลข้อมูลกับกฎหมายและข้อกำหนดภายใน
4. บริหารจัดการความเสี่ยงด้านข้อมูลส่วนบุคคล และจัดทำรายงาน[การประเมินผลกระทบด้านการคุ้มครองข้อมูลส่วนบุคคล (DPIA)](https://link.pdpalawbase.com/concept/dpia.md)สำหรับกิจกรรมที่มีความเสี่ยงสูง
5. พัฒนาระบบรับเรื่องร้องเรียนและจัดการเหตุละเมิดข้อมูลให้มีประสิทธิภาพ

**แผนการดำเนินงานโดยสรุป** — ไตรมาส 1 จัดทำคู่มือสำหรับฝ่ายงาน · ไตรมาส 2 อบรมเจ้าหน้าที่ 2 รอบ · ไตรมาส 3 ทบทวนการจัดเก็บข้อมูลและจัดทำ[การประเมินผลกระทบด้านการคุ้มครองข้อมูลส่วนบุคคล (DPIA)](https://link.pdpalawbase.com/concept/dpia.md) · ไตรมาส 4 สรุปผลการดำเนินงานและเสนอแนวทางพัฒนา

**มติที่ประชุม** — เห็นชอบแผนงานและเป้าหมายของคณะทำงาน DPO ตามที่เสนอ และมอบหมายเลขานุการจัดส่งบันทึกการประชุมให้กรรมการกำกับดูแลข้อมูลส่วนบุคคลรับทราบ

---

ลงชื่อ ...................................... (ประธานคณะทำงาน DPO)

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/2-1-26.md

============================================================
โนด: แนวปฏิบัติ 2.1.27
ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/2-1-27.md

# 2.1.27 ภาระงานของ DPO ครอบคลุมการดำเนินงานด้าน PDPA ระบุปัญหาความเสี่ยง และจัดทำตัวชี้วัด (KPI)

## สิ่งที่ต้องทำ

ภาระงานของคณะทำงาน[เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล (DPO)](https://link.pdpalawbase.com/concept/dpo.md)ต้องครอบคลุมการดำเนินงานด้านการคุ้มครองข้อมูลส่วนบุคคลอย่างครบถ้วน ได้แก่ การระบุปัญหา การระบุความเสี่ยง และการจัดทำตัวชี้วัดที่ครอบคลุมการดำเนินงาน

## หลักฐาน

1. คำสั่งแต่งตั้งและรายงานการประชุมกรรมการบริหาร ผู้บริหาร หรือกรรมการกำกับดูแล โดยต้องมีข้อความแสดงให้เห็นว่า "คณะทำงาน DPO มีรายชื่อ DPO เป็นประธานหรือผู้ทำงานในคณะทำงาน และระบุภาระงานของคณะทำงาน"

## สภาพบังคับ

ไม่มีกฎหมายกำหนด

## ตัวอย่างเอกสาร

### ตัวอย่างรายงานการประชุมคณะกรรมการบริหาร

**วันที่: 15 พฤษภาคม 2568**

**วาระที่ 1: การแต่งตั้งคณะทำงาน DPO** — ที่ประชุมแต่งตั้งประธานคณะทำงาน DPO เพื่อกำกับดูแลการบริหารจัดการข้อมูลส่วนบุคคล โดยมีบทบาทในการวางแผน กำกับ ติดตาม และรายงานผลการดำเนินงาน

**วาระที่ 2: รายงานปัญหาและความเสี่ยง** — เช่น การเข้าถึงข้อมูลส่วนบุคคลโดยไม่ได้รับอนุญาตในบางส่วนของระบบ ความเสี่ยงในการละเมิดสิทธิเจ้าของข้อมูลจากการรั่วไหล และความเสี่ยงทางกฎหมาย

**วาระที่ 3: การกำหนดตัวชี้วัด** — ที่ประชุมเห็นชอบตัวชี้วัดเพื่อประเมินประสิทธิผลของการบริหารจัดการ ได้แก่

- จำนวนเหตุการณ์ละเมิดข้อมูลส่วนบุคคลต่อปี (ไม่เกิน 2 ครั้งต่อปี)
- ระยะเวลาการตอบสนองคำร้องขอของเจ้าของข้อมูล (ตอบภายใน 15 วันทำการ)
- อัตราการเข้าร่วมอบรมของพนักงาน (ร้อยละ 95 ขึ้นไปต่อปี)
- จำนวนการตรวจสอบและปรับปรุงระบบความปลอดภัยข้อมูล (อย่างน้อย 2 ครั้งต่อปี)

### ตัวอย่างคำสั่งแต่งตั้งคณะทำงาน DPO

**คำสั่งเลขที่: 001/2568** — เรื่อง: แต่งตั้งคณะทำงานคุ้มครองข้อมูลส่วนบุคคล โดยแต่งตั้งประธานคณะทำงาน DPO และกำหนดภาระงาน ได้แก่ การวางแผนและกำกับดูแลการปฏิบัติตามนโยบาย การระบุและวิเคราะห์ปัญหาและความเสี่ยง การจัดทำและติดตามตัวชี้วัด การจัดประชุมและรายงานผลต่อคณะกรรมการบริหารอย่างสม่ำเสมอ และการส่งเสริมการอบรมสร้างความตระหนักรู้ในองค์กร

---

ลงชื่อ ...................................... (ประธานกรรมการบริหาร)

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/2-1-27.md

============================================================
โนด: แนวปฏิบัติ 2.1.28
ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/2-1-28.md

# 2.1.28 คณะทำงานของ DPO มีแผนงานหรือแผนปฏิบัติการที่ได้รับการติดตามอย่างสม่ำเสมอ

## สิ่งที่ต้องทำ

คณะทำงานของ[เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล (DPO)](https://link.pdpalawbase.com/concept/dpo.md)ต้องมีแผนงานหรือแผนปฏิบัติการ และได้รับการติดตามอย่างน้อยปีละ 1 ครั้ง

## หลักฐาน

1. วาระการประชุมและรายงานการประชุมคณะทำงานของ DPO ที่แสดงถึงเป้าหมายและแผนการดำเนินงานของคณะทำงาน

## สภาพบังคับ

ไม่มีกฎหมายกำหนด

## ตัวอย่างเอกสาร

### ตัวอย่างรายงานการประชุมติดตามแผนงานคณะทำงาน DPO

**คณะทำงาน DPO ครั้งที่ 2/2568** — วันที่: 20 มิถุนายน 2568 เวลา 14.00–16.00 น.

**วาระที่ 1: ติดตามแผนงานและแผนปฏิบัติการ** — ประธานคณะทำงานรายงานความคืบหน้าของแผนงานที่วางไว้ ประกอบด้วย การอบรมและสร้างความตระหนักรู้ให้พนักงานทุกฝ่ายภายในไตรมาส 3 การตรวจสอบและปรับปรุงระบบรักษาความปลอดภัยข้อมูลในฐานข้อมูลหลักภายในไตรมาส 4 การจัดทำรายงานประเมินความเสี่ยง และการทบทวนนโยบายและคู่มือปฏิบัติการ

**วาระที่ 2: ประเมินผลการดำเนินงาน** — การอบรมดำเนินการแล้วร้อยละ 60 ของเป้าหมาย ระบบรักษาความปลอดภัยข้อมูลอยู่ระหว่างการปรับปรุง รายงานความเสี่ยงอยู่ในขั้นรวบรวมข้อมูล และการทบทวนนโยบายอยู่ระหว่างรวบรวมข้อคิดเห็นจากฝ่ายงานต่าง ๆ

**วาระที่ 3: ข้อเสนอแนะและแผนต่อไป** — เร่งรัดการอบรมให้ครอบคลุมพนักงานทั้งหมดภายในสิ้นไตรมาส 3 ติดตามการปรับปรุงระบบรักษาความปลอดภัย และเร่งรัดการจัดทำรายงานความเสี่ยงเพื่อเสนอคณะกรรมการบริหารภายในสิ้นปี

**สรุปการประชุม** — ที่ประชุมรับทราบและติดตามความคืบหน้าของแผนงานอย่างใกล้ชิด และจะจัดประชุมติดตามอย่างน้อยปีละ 1 ครั้งตามที่กำหนด

---

ลงชื่อ ...................................... (ประธานคณะทำงาน DPO)

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/2-1-28.md

============================================================
โนด: แนวปฏิบัติ 2.1.29
ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/2-1-29.md

# 2.1.29 คณะกรรมการบริษัทหรือผู้บริหารระดับสูงพิจารณาประเด็น PDPA และความเสี่ยงที่คณะทำงาน DPO รายงาน

## สิ่งที่ต้องทำ

คณะทำงานของ[เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล (DPO)](https://link.pdpalawbase.com/concept/dpo.md)ต้องรายงานประเด็นการคุ้มครองข้อมูลส่วนบุคคล การกำกับดูแลข้อมูล และความเสี่ยงขององค์กร ไปยังคณะกรรมการบริษัทหรือผู้บริหารระดับสูงสุดเพื่อพิจารณา

## หลักฐาน

1. รายงานการประชุมคณะทำงานของ DPO หรือรายงานการประชุมกรรมการบริษัท ผู้บริหารองค์กร หรือคณะกรรมการกำกับดูแลการคุ้มครองข้อมูลส่วนบุคคล โดยต้องมีข้อความแสดงให้เห็นว่า "การคุ้มครองข้อมูลส่วนบุคคล การกำกับดูแลข้อมูล รวมถึงความเสี่ยงขององค์กร" และเป็นการรายงานโดยคณะทำงานของ DPO

## สภาพบังคับ

ไม่มีกฎหมายกำหนด

## ตัวอย่างเอกสาร

### ตัวอย่างรายงานการประชุมคณะทำงาน DPO

**คณะทำงาน DPO ครั้งที่ 3/2568** — วันที่: 15 กันยายน 2568

**วาระที่ 1: รายงานสถานะการดำเนินงาน** — ประธานคณะทำงานรายงานสรุปประเด็นการคุ้มครองข้อมูลส่วนบุคคลและการกำกับดูแลข้อมูล รวมถึงสถานะความเสี่ยงที่ตรวจพบ เช่น ปัญหาด้านความปลอดภัยของระบบเก็บข้อมูลลูกค้า ความเสี่ยงจากการเข้าถึงข้อมูลโดยไม่ได้รับอนุญาต และแนวทางการแก้ไขที่ดำเนินการแล้ว

**วาระที่ 2: การจัดทำรายงานเสนอผู้บริหารระดับสูง** — ที่ประชุมเห็นชอบให้จัดทำรายงานผลการดำเนินงานและความเสี่ยงพร้อมข้อเสนอแนะ เพื่อส่งให้คณะกรรมการบริษัทและผู้บริหารระดับสูงพิจารณา

### ตัวอย่างรายงานการประชุมคณะกรรมการบริษัท

**คณะกรรมการบริษัท ครั้งที่ 5/2568** — วันที่: 1 ตุลาคม 2568

**วาระ: รายงานการคุ้มครองข้อมูลส่วนบุคคลและความเสี่ยงที่เกี่ยวข้อง** — ตัวแทนคณะทำงาน DPO นำเสนอรายงานสถานการณ์การกำกับดูแลข้อมูลส่วนบุคคลและสรุปความเสี่ยง ประกอบด้วยประเด็นความเสี่ยงจากระบบข้อมูลและมาตรการความปลอดภัย การประเมินผลกระทบด้านความปลอดภัยข้อมูล และการดำเนินการตามแผนงานลดความเสี่ยง

**การพิจารณาและข้อเสนอแนะ** — กรรมการและผู้บริหารระดับสูงพิจารณารายงานและให้คำแนะนำในการปรับปรุงมาตรการเพิ่มเติม เช่น การเพิ่มงบประมาณสำหรับระบบรักษาความปลอดภัยข้อมูลและการอบรมพนักงาน

---

ลงชื่อ ...................................... (ประธานกรรมการบริษัท)

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/2-1-29.md

============================================================
โนด: แนวปฏิบัติ 2.1.30
ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/2-1-30.md

# 2.1.30 กลุ่มปฏิบัติการมีการพบปะและมีเจ้าหน้าที่ที่เกี่ยวข้องเข้าร่วมอย่างสม่ำเสมอ

## สิ่งที่ต้องทำ

กลุ่มปฏิบัติการซึ่งเป็นพนักงานระดับปฏิบัติการของฝ่าย ต้องมีการจัดประชุมอย่างสม่ำเสมอ เช่น รายไตรมาส และมีเจ้าหน้าที่ที่เกี่ยวข้องส่วนใหญ่เข้าร่วม

## หลักฐาน

1. วาระการประชุมและรายงานการประชุม โดยต้องมีข้อความแสดงให้เห็นว่า "เอกสารแผนปฏิบัติการสำหรับการดำเนินงานด้านการคุ้มครองข้อมูลส่วนบุคคลของกลุ่มปฏิบัติการ"

## สภาพบังคับ

ไม่มีกฎหมายกำหนด

## ตัวอย่างเอกสาร

### ตัวอย่างรายงานการประชุมกลุ่มปฏิบัติการ

**กลุ่มปฏิบัติการ ครั้งที่ 2/2568** — วันที่: 20 มีนาคม 2568 เวลา 09.00–11.00 น.
ผู้เข้าร่วม: หัวหน้ากลุ่มปฏิบัติการ เจ้าหน้าที่ฝ่ายปฏิบัติการทุกคน และตัวแทนฝ่ายเทคโนโลยีสารสนเทศและฝ่ายกฎหมาย (ร่วมประชุมบางส่วน)

**วาระที่ 1: การติดตามแผนปฏิบัติการของกลุ่มปฏิบัติการ** — หัวหน้ากลุ่มรายงานความคืบหน้าตามแผนปฏิบัติการ ได้แก่ การวางกรอบการดำเนินงานเป็นรายไตรมาส การอบรมและสร้างความรู้ความเข้าใจแก่เจ้าหน้าที่ การตรวจสอบการเก็บรักษาข้อมูลส่วนบุคคลตามมาตรฐาน และการปรับปรุงขั้นตอนการทำงานให้สอดคล้องกับข้อกำหนด

**วาระที่ 2: การเข้าร่วมประชุมของเจ้าหน้าที่ที่เกี่ยวข้อง** — บันทึกว่าเจ้าหน้าที่ฝ่ายปฏิบัติการส่วนใหญ่เข้าร่วมประชุมสม่ำเสมอ และมีเจ้าหน้าที่ฝ่ายสนับสนุน เช่น ฝ่ายเทคโนโลยีสารสนเทศและฝ่ายกฎหมาย ร่วมประชุมอย่างต่อเนื่อง

**สรุป** — ที่ประชุมรับทราบและเห็นชอบแผนปฏิบัติการของกลุ่มปฏิบัติการ พร้อมติดตามความก้าวหน้าในไตรมาสถัดไป

---

ลงชื่อ ...................................... (หัวหน้ากลุ่มปฏิบัติการ)

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/2-1-30.md

============================================================
โนด: แนวปฏิบัติ 2.1.31
ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/2-1-31.md

# 2.1.31 กลุ่มปฏิบัติการมีการจัดทำรายงานการประชุมและแผนปฏิบัติการ

## สิ่งที่ต้องทำ

กลุ่มปฏิบัติการซึ่งเป็นพนักงานระดับปฏิบัติการ ต้องมีการจัดทำรายงานการประชุมและแผนปฏิบัติการด้านการคุ้มครองข้อมูลส่วนบุคคล

## หลักฐาน

1. วาระการประชุมและรายงานการประชุม โดยต้องมีข้อความแสดงให้เห็นว่า "เอกสารแผนปฏิบัติการสำหรับการดำเนินงานด้านการคุ้มครองข้อมูลส่วนบุคคลของกลุ่มปฏิบัติการ"

## สภาพบังคับ

ไม่มีกฎหมายกำหนด

## ตัวอย่างเอกสาร

### ตัวอย่างรายงานการประชุมกลุ่มปฏิบัติการ

**กลุ่มปฏิบัติการ ครั้งที่ 3/2568** — วันที่: 20 มิถุนายน 2568 เวลา 09.00–11.00 น.
ผู้เข้าร่วม: หัวหน้ากลุ่มปฏิบัติการ เจ้าหน้าที่ฝ่ายปฏิบัติการทุกคน และเจ้าหน้าที่ฝ่ายสนับสนุน (ฝ่ายเทคโนโลยีสารสนเทศและฝ่ายกฎหมาย)

**วาระที่ 1: การจัดทำและทบทวนแผนปฏิบัติการ** — หัวหน้ากลุ่มนำเสนอแผนปฏิบัติการของกลุ่ม ประกอบด้วย แผนการดำเนินงานประจำไตรมาสในการบริหารจัดการข้อมูลส่วนบุคคล กิจกรรมการอบรมและสร้างความตระหนักรู้ และการปรับปรุงทบทวนขั้นตอนการเก็บรวบรวม ใช้ และเปิดเผยข้อมูลส่วนบุคคลให้เป็นไปตามข้อกำหนด

**วาระที่ 2: การจัดทำรายงานการประชุม** — ยืนยันว่ากลุ่มปฏิบัติการจัดทำรายงานการประชุมทุกครั้งที่มีการประชุมอย่างเป็นทางการ โดยรายงานแสดงถึงประเด็นการหารือและการติดตามแผนงานอย่างครบถ้วน

**สรุป** — ที่ประชุมเห็นชอบแผนปฏิบัติการและรายงานการประชุม และมอบหมายให้กลุ่มปฏิบัติการติดตามและรายงานผลในครั้งถัดไป

---

ลงชื่อ ...................................... (หัวหน้ากลุ่มปฏิบัติการ)

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/2-1-31.md

============================================================
โนด: แนวปฏิบัติ 2.1.32
ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/2-1-32.md

# 2.1.32 วาระการประชุมแสดงว่ากลุ่มปฏิบัติการหารือประเด็น PDPA อย่างเหมาะสมและมีการกำกับดูแลสม่ำเสมอ

## สิ่งที่ต้องทำ

กลุ่มปฏิบัติการซึ่งเป็นพนักงานระดับปฏิบัติการ ต้องมีวาระการประชุมที่แสดงให้เห็นว่าได้หารือเกี่ยวกับประเด็นการคุ้มครองข้อมูลส่วนบุคคลอย่างเหมาะสม และมีการกำกับดูแลอย่างสม่ำเสมอ

## หลักฐาน

1. วาระการประชุมและรายงานการประชุม โดยต้องมีข้อความแสดงให้เห็นว่า "เอกสารแผนปฏิบัติการสำหรับการดำเนินงานด้านการคุ้มครองข้อมูลส่วนบุคคลของกลุ่มปฏิบัติการ"

## สภาพบังคับ

ไม่มีกฎหมายกำหนด

## ตัวอย่างเอกสาร

### ตัวอย่างวาระและรายงานการประชุมกลุ่มปฏิบัติการ

**กลุ่มปฏิบัติการ ครั้งที่ 4/2568** — วันที่: 15 กันยายน 2568 เวลา 13.00–15.00 น.
ผู้เข้าร่วม: หัวหน้ากลุ่มปฏิบัติการ เจ้าหน้าที่ฝ่ายปฏิบัติการ และตัวแทนฝ่ายเทคโนโลยีสารสนเทศและฝ่ายกฎหมาย

**วาระที่ 1: รายงานการติดตามแผนปฏิบัติการ** — กลุ่มปฏิบัติการนำเสนอรายงานความก้าวหน้าของแผนปฏิบัติการตามที่วางไว้ในไตรมาสที่ผ่านมา โดยตรวจสอบประเด็นสำคัญ เช่น การบริหารจัดการความปลอดภัยของข้อมูลส่วนบุคคล การอบรมสร้างความตระหนักรู้แก่พนักงานใหม่และพนักงานปัจจุบัน และการแก้ไขปัญหาที่พบจากการประเมินความเสี่ยง

**วาระที่ 2: การหารือประเด็น PDPA และการกำกับดูแล** — ที่ประชุมหารือประเด็นที่เกี่ยวข้อง เช่น การจัดการคำร้องขอเข้าถึงข้อมูลส่วนบุคคล การรับมือกับเหตุละเมิดข้อมูล และการปรับปรุงแนวทางปฏิบัติให้สอดคล้องกับนโยบายขององค์กร โดยมีมติให้ติดตามและรายงานผลในที่ประชุมครั้งต่อไปอย่างสม่ำเสมอ

**สรุป** — ที่ประชุมยืนยันความสำคัญของการกำกับดูแลข้อมูลส่วนบุคคลในกลุ่มปฏิบัติการ และมอบหมายให้หัวหน้ากลุ่มติดตามความคืบหน้าของแผนงานและรายงานในทุกไตรมาส

---

ลงชื่อ ...................................... (หัวหน้ากลุ่มปฏิบัติการ)

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/2-1-32.md

============================================================
โนด: แนวปฏิบัติ 2.1.33
ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/2-1-33.md

# 2.1.33 ปัญหาและความเสี่ยงด้าน PDPA ที่เกิดขึ้นจะถูกรายงานไปยังคณะทำงานของ DPO

## สิ่งที่ต้องทำ

กลุ่มปฏิบัติการ (พนักงานระดับปฏิบัติการของฝ่ายงาน) ต้องรายงานปัญหาด้านการคุ้มครองข้อมูลส่วนบุคคล การกำกับดูแลข้อมูล รวมถึงประเด็นความเสี่ยงใด ๆ ขององค์กรที่เกิดขึ้น ไปยังคณะทำงานของ[เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล (DPO)](https://link.pdpalawbase.com/concept/dpo.md)อย่างครบถ้วน

## หลักฐาน

1. วาระการประชุมและรายงานการประชุมของคณะทำงาน DPO หรือกลุ่มปฏิบัติการ โดยต้องมีข้อความแสดงให้เห็นว่า "มีปัญหาด้านการคุ้มครองข้อมูลส่วนบุคคลและการกำกับดูแลข้อมูล และความเสี่ยงใด ๆ ที่เกิดขึ้น"

## สภาพบังคับ

ไม่มีกฎหมายกำหนด

## ตัวอย่างเอกสาร

### ตัวอย่างวาระและรายงานการประชุมกลุ่มปฏิบัติการและคณะทำงาน DPO

**กลุ่มปฏิบัติการฝ่ายปฏิบัติการ ครั้งที่ 3/2568** — วันที่: 10 สิงหาคม 2568 เวลา 14.00–16.00 น.

**วาระที่ 2: รายงานปัญหาและความเสี่ยง** — กลุ่มปฏิบัติการนำเสนอปัญหาและประเด็นความเสี่ยงที่เกิดขึ้นระหว่างการปฏิบัติงาน ได้แก่ การเก็บข้อมูลส่วนบุคคลบางส่วนไม่เป็นไปตามนโยบาย การควบคุมการเข้าถึงข้อมูลยังไม่เข้มงวดพอ และความเสี่ยงจากการใช้ระบบสารสนเทศที่ยังขาดมาตรการป้องกันข้อมูลรั่วไหล โดยจัดทำรายงานฉบับสมบูรณ์ส่งต่อให้คณะทำงาน DPO เพื่อพิจารณาแนวทางแก้ไขและติดตามผล

**วาระที่ 3: คณะทำงาน DPO รับทราบปัญหาและความเสี่ยง** — คณะทำงาน DPO รับรายงานและพิจารณาแนวทางป้องกันและแก้ไข โดยมีข้อสรุปว่าจะจัดทำคู่มือและอบรมเสริมความรู้พนักงาน กำหนดมาตรการควบคุมการเข้าถึงข้อมูลให้ชัดเจน และตรวจสอบระบบสารสนเทศให้มีมาตรการรักษาความปลอดภัยที่เหมาะสม

---

ลงชื่อ ...................................... (หัวหน้ากลุ่มปฏิบัติการ)

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/2-1-33.md

============================================================
โนด: แนวปฏิบัติ 2.1.34
ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/2-1-34.md

# 2.1.34 องค์กรจัดทำนโยบาย PDPA และกรอบการปฏิบัติงานจากแผนเชิงกลยุทธ์ รับรองโดยฝ่ายบริหารระดับสูง

## สิ่งที่ต้องทำ

จัดทำนโยบายการคุ้มครองข้อมูลส่วนบุคคลและกรอบการปฏิบัติงาน ที่มาจากแผนเชิงกลยุทธ์ด้านการคุ้มครองข้อมูลส่วนบุคคลและการกำกับข้อมูล ซึ่งได้รับการรับรองหรือออกโดยฝ่ายบริหารระดับสูง

## หลักฐาน

1. นโยบายการคุ้มครองข้อมูลส่วนบุคคลและการกำกับดูแลข้อมูล โดยต้องมีข้อความแสดงให้เห็นว่าองค์กรได้ระบุปัญหาด้านการคุ้มครองข้อมูลส่วนบุคคล การกำกับดูแลข้อมูล และความเสี่ยงใด ๆ ที่เกิดขึ้น พร้อมการรับรองโดยฝ่ายบริหารระดับสูง

## สภาพบังคับ

[มาตรา 37](https://link.pdpalawbase.com/section/37.md) และประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง มาตรการรักษาความมั่นคงปลอดภัย ข้อ 4 (7) — โทษทางปกครองปรับไม่เกิน 3 ล้านบาท

## ตัวอย่างเอกสาร

### ตัวอย่างนโยบายการคุ้มครองข้อมูลส่วนบุคคลและการกำกับดูแลข้อมูล

**ประกาศเมื่อวันที่ 1 มกราคม 2568 — ได้รับการอนุมัติจากคณะผู้บริหารระดับสูง**

**บทนำ** — องค์กรตระหนักถึงความสำคัญของข้อมูลส่วนบุคคลของลูกค้า พนักงาน และคู่ค้าทางธุรกิจ จึงกำหนดกรอบการปฏิบัติงานด้านการคุ้มครองข้อมูลส่วนบุคคลและการกำกับดูแลข้อมูลให้มีประสิทธิภาพและเป็นไปตามกฎหมาย

**วัตถุประสงค์** — สร้างความมั่นใจแก่ผู้มีส่วนได้ส่วนเสีย ป้องกันปัญหาด้านการคุ้มครองข้อมูลส่วนบุคคลและการกำกับดูแลข้อมูล ระบุและประเมินความเสี่ยง และสร้างกรอบการปฏิบัติงานที่ครอบคลุมและติดตามประเมินผลได้

**นโยบายหลัก**

1. **การคุ้มครองข้อมูลส่วนบุคคลและการกำกับดูแลข้อมูล** — ประเมินและระบุปัญหา รวมถึงความเสี่ยงที่เกิดจากการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลอย่างสม่ำเสมอ พร้อมมีมาตรการแก้ไขและควบคุมความเสี่ยงอย่างเหมาะสม
2. **กรอบการปฏิบัติงาน** — ครอบคลุมการจัดเก็บ ใช้ เปิดเผย และทำลายข้อมูลส่วนบุคคลให้เป็นไปตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 มีการแต่งตั้ง[เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล (DPO)](https://link.pdpalawbase.com/concept/dpo.md) อบรมพนักงานทุกระดับ และจัดทำระบบควบคุมภายในอย่างต่อเนื่อง
3. **การบริหารความเสี่ยง** — ระบุความเสี่ยงและปัญหาที่อาจกระทบต่อการคุ้มครองข้อมูล กำหนดตัวชี้วัดประสิทธิภาพสำหรับการบริหารจัดการเพื่อติดตามผล และทบทวนปรับปรุงแผนอย่างน้อยปีละ 1 ครั้ง
4. **การกำกับดูแลและรับรองโดยฝ่ายบริหารระดับสูง** — รับรองนโยบายและกรอบการปฏิบัติงานอย่างเป็นทางการ ติดตามตรวจสอบและทบทวนผลการดำเนินงานเป็นระยะ และสนับสนุนทรัพยากรและการฝึกอบรมที่จำเป็น

**การรับรอง** — นโยบายนี้ได้รับการอนุมัติและรับรองโดยคณะผู้บริหารระดับสูงในการประชุมครั้งที่ 2/2568 เมื่อวันที่ 1 มกราคม 2568

**อ้างอิงทางกฎหมาย** — [มาตรา 37](https://link.pdpalawbase.com/section/37.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 และประกาศมาตรการรักษาความมั่นคงปลอดภัย ข้อ 4 (7)

---

ลงชื่อ ...................................... (ประธานกรรมการบริหาร)

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/2-1-34.md

============================================================
โนด: แนวปฏิบัติ 3.2.1
ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/3-2-1.md

# 3.2.1 องค์กรจัดทำนโยบาย PDPA ครอบคลุมครบถ้วน

องค์กรต้องจัดทำนโยบายคุ้มครองข้อมูลส่วนบุคคลที่มีเนื้อหาครอบคลุมครบถ้วน เช่น วิธีการคุ้มครองข้อมูลส่วนบุคคล การบริหารจัดการข้อมูลส่วนบุคคล และการรักษาความมั่นคงปลอดภัยของข้อมูล รวมถึงการกำหนดหน้าที่แก่พนักงาน

## สิ่งที่ต้องทำ

จัดทำนโยบายคุ้มครองข้อมูลส่วนบุคคลที่มีประเด็นครอบคลุมครบถ้วนทุกด้านของการบริหารจัดการข้อมูลส่วนบุคคลในองค์กร

## หลักฐาน

1. นโยบายคุ้มครองข้อมูลส่วนบุคคล โดยต้องมีข้อความแสดงเป็นหมวดหมู่ให้เห็นว่าครอบคลุม "การบริหารจัดการข้อมูลส่วนบุคคล การรักษาความปลอดภัยของข้อมูล และการกำหนดหน้าที่แก่พนักงาน"

## สภาพบังคับ

[มาตรา 37](https://link.pdpalawbase.com/section/37.md)(1) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 และประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง มาตรการรักษาความมั่นคงปลอดภัยของข้อมูลส่วนบุคคล ข้อ 4(7)

โทษทางปกครอง: ปรับสูงสุด 3 ล้านบาท

## ตัวอย่างเอกสาร

### ตัวอย่างนโยบายคุ้มครองข้อมูลส่วนบุคคลฉบับครอบคลุมครบถ้วน

**นโยบายการคุ้มครองข้อมูลส่วนบุคคลและการบริหารจัดการข้อมูลส่วนบุคคล**
บริษัท ตัวอย่าง จำกัด ประกาศเมื่อวันที่ ___________ รับรองโดยคณะผู้บริหารระดับสูง

**1. การบริหารจัดการข้อมูลส่วนบุคคล**

บริษัทฯ มีกรอบการบริหารจัดการข้อมูลส่วนบุคคลที่ชัดเจน เพื่อให้การเก็บรวบรวม ใช้ และเปิดเผยข้อมูลส่วนบุคคลเป็นไปตามหลักเกณฑ์และมาตรฐานที่กฎหมายกำหนด
- กำหนดประเภทของข้อมูลส่วนบุคคลที่สามารถเก็บรวบรวมได้
- กำหนดวัตถุประสงค์และขอบเขตของการใช้ข้อมูล
- การจัดทำฐานข้อมูลและการควบคุมการเข้าถึงข้อมูล

> "นโยบายนี้ครอบคลุมถึงการบริหารจัดการข้อมูลส่วนบุคคลในทุกขั้นตอนของกระบวนการทำงาน"

**2. การรักษาความมั่นคงปลอดภัยของข้อมูล**

บริษัทฯ มีมาตรการรักษาความมั่นคงปลอดภัยของข้อมูลทั้งทางกายภาพและทางเทคนิค เพื่อป้องกันการเข้าถึงข้อมูลโดยไม่ได้รับอนุญาต รวมถึงการป้องกันการสูญหายและความเสียหายของข้อมูล
- ใช้ระบบรักษาความปลอดภัยข้อมูล เช่น การเข้ารหัสข้อมูล การจำกัดสิทธิ์เข้าถึง
- การตรวจสอบและบันทึกการเข้าถึงข้อมูล
- การสำรองข้อมูลและแผนฟื้นฟูข้อมูลเมื่อเกิดเหตุฉุกเฉิน

> "บริษัทฯ ให้ความสำคัญกับการรักษาความมั่นคงปลอดภัยของข้อมูลส่วนบุคคลทุกประเภท"

**3. การกำหนดหน้าที่และความรับผิดชอบแก่พนักงาน**

บริษัทฯ กำหนดหน้าที่ความรับผิดชอบชัดเจนแก่พนักงานทุกระดับเกี่ยวกับการปฏิบัติตามนโยบายและการคุ้มครองข้อมูลส่วนบุคคล
- พนักงานต้องปฏิบัติตามนโยบายและมาตรการรักษาความปลอดภัยข้อมูล
- มีการอบรมและสร้างความตระหนักด้านการคุ้มครองข้อมูลส่วนบุคคลเป็นประจำ
- กำหนดบทลงโทษกรณีละเมิดนโยบาย

> "พนักงานทุกคนมีหน้าที่รับผิดชอบในการรักษาความลับและความปลอดภัยของข้อมูลส่วนบุคคล"

**4. การรับรอง**

นโยบายนี้ได้รับการรับรองโดยฝ่ายบริหารระดับสูง และมีผลบังคับใช้ตั้งแต่วันที่ประกาศ

ลงชื่อ ............................................ (ประธานกรรมการบริหาร)

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/3-2-1.md

============================================================
โนด: แนวปฏิบัติ 3.2.2
ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/3-2-2.md

# 3.2.2 องค์กรจัดทำนโยบายและแนวปฏิบัติ PDPA กำหนดบทบาทหน้าที่ชัดเจน

องค์กรต้องจัดทำนโยบายและแนวปฏิบัติสำหรับการคุ้มครองข้อมูลส่วนบุคคล โดยมีการกำหนดบทบาทและหน้าที่ความรับผิดชอบของแต่ละหน่วยงานและบุคลากรที่เกี่ยวข้องอย่างชัดเจน

## สิ่งที่ต้องทำ

จัดทำนโยบายและแนวปฏิบัติที่มีประเด็นครอบคลุมครบถ้วน พร้อมระบุบทบาทและหน้าที่ความรับผิดชอบของแต่ละฝ่ายในการคุ้มครองข้อมูลส่วนบุคคล

## หลักฐาน

1. นโยบายและแนวปฏิบัติคุ้มครองข้อมูลส่วนบุคคล โดยต้องมีข้อความแสดงเป็นหมวดหมู่ให้เห็นว่าครอบคลุม "การบริหารจัดการข้อมูลส่วนบุคคล การรักษาความปลอดภัยของข้อมูล และการกำหนดหน้าที่แก่พนักงาน"

## สภาพบังคับ

[มาตรา 37](https://link.pdpalawbase.com/section/37.md)(1) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 และประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง มาตรการรักษาความมั่นคงปลอดภัยของข้อมูลส่วนบุคคล ข้อ 4(7)

โทษทางปกครอง: ปรับสูงสุด 3 ล้านบาท

## ตัวอย่างเอกสาร

### ตัวอย่างนโยบายการคุ้มครองข้อมูลส่วนบุคคล (ระบุบทบาทหน้าที่)

**วัตถุประสงค์**

เพื่อกำหนดกรอบการดำเนินงานด้านการคุ้มครองข้อมูลส่วนบุคคลและความมั่นคงปลอดภัยของข้อมูลส่วนบุคคลในองค์กรอย่างครบถ้วน ให้สอดคล้องกับกฎหมายและข้อกำหนดที่เกี่ยวข้อง พร้อมส่งเสริมให้พนักงานและผู้เกี่ยวข้องปฏิบัติตามบทบาทหน้าที่อย่างเคร่งครัด

**ขอบเขต**

นโยบายนี้ครอบคลุมการบริหารจัดการข้อมูลส่วนบุคคลขององค์กรทุกประเภท ทั้งข้อมูลที่ได้รับจากลูกค้า สมาชิก พนักงาน และผู้มีส่วนได้เสียทุกฝ่าย รวมทั้งครอบคลุมระบบ เทคโนโลยี กระบวนการทำงาน และพนักงานที่เกี่ยวข้อง

**นโยบายหลัก**

1. การบริหารจัดการข้อมูลส่วนบุคคล — เก็บรวบรวม ใช้ และเปิดเผยข้อมูลส่วนบุคคลตามวัตถุประสงค์ที่ชัดเจน โปร่งใส และได้รับความยินยอมจากเจ้าของข้อมูล กำหนดบทบาทและความรับผิดชอบของพนักงานในแต่ละขั้นตอน
2. การรักษาความมั่นคงปลอดภัยของข้อมูล — ควบคุมการเข้าถึงข้อมูลอย่างเคร่งครัด กำหนดสิทธิ์ตามบทบาทหน้าที่ และยืนยันตัวตนแบบหลายขั้นตอน เข้ารหัสข้อมูลทั้งระหว่างการส่งและการจัดเก็บ ติดตั้งและอัปเดตระบบรักษาความปลอดภัยและระบบตรวจจับการบุกรุก สำรองข้อมูลอย่างสม่ำเสมอ
3. การจัดการความเสี่ยงและการกำกับดูแล — ประเมินความเสี่ยงอย่างสม่ำเสมอ ทบทวนนโยบายและกระบวนการทุกปี อบรมพนักงานต่อเนื่อง และกำหนดขั้นตอนการรับมือและรายงานเหตุละเมิดข้อมูลอย่างชัดเจน

**การกำหนดบทบาทและหน้าที่ความรับผิดชอบ**

- **ฝ่ายบริหารระดับสูง** — รับรองและสนับสนุนการดำเนินงานตามนโยบาย มอบหมายทรัพยากรที่เพียงพอ และกำกับดูแลให้เกิดการปฏิบัติตามนโยบายอย่างต่อเนื่อง
- **เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล ([เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล (DPO)](https://link.pdpalawbase.com/concept/dpo.md)) และคณะทำงาน** — ตรวจสอบและติดตามการปฏิบัติตามกฎหมาย ให้คำปรึกษาและประสานงานระหว่างหน่วยงาน รายงานปัญหาและความเสี่ยงต่อฝ่ายบริหาร
- **ฝ่ายเทคโนโลยีสารสนเทศ** — จัดการด้านเทคนิค เช่น การตั้งค่าระบบรักษาความปลอดภัย การควบคุมการเข้าถึงข้อมูล การสำรองข้อมูล และการเฝ้าระวังภัยคุกคามทางไซเบอร์
- **ฝ่ายทรัพยากรบุคคล** — ดูแลการจัดเก็บและคุ้มครองข้อมูลส่วนบุคคลของพนักงาน จัดอบรมและสร้างความตระหนักรู้
- **กลุ่มปฏิบัติการและพนักงานทั่วไป** — ปฏิบัติตามแนวปฏิบัติและคู่มือที่กำหนด และรายงานเหตุการณ์ที่เกี่ยวข้องกับข้อมูลส่วนบุคคลให้เจ้าหน้าที่ที่รับผิดชอบทราบโดยทันที

**ข้อกำหนดและบทลงโทษ**

องค์กรจะปฏิบัติตาม [มาตรา 37](https://link.pdpalawbase.com/section/37.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล และประกาศฯ เรื่องมาตรการรักษาความมั่นคงปลอดภัยข้อมูลส่วนบุคคล ข้อ 4(7) อย่างเคร่งครัด พร้อมดำเนินมาตรการทางปกครองตามกฎหมายหากพบการละเมิดนโยบายนี้

**การทบทวนนโยบาย**

นโยบายนี้จะได้รับการทบทวนและปรับปรุงทุกปี หรือเมื่อมีการเปลี่ยนแปลงที่สำคัญ เพื่อให้สอดคล้องกับกฎหมายและเทคโนโลยีที่เปลี่ยนแปลงไป

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/3-2-2.md

============================================================
โนด: แนวปฏิบัติ 3.2.3
ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/3-2-3.md

# 3.2.3 องค์กรทบทวนการปฏิบัติตามนโยบายและแนวปฏิบัติ PDPA

องค์กรต้องมีการทบทวนนโยบายและแนวปฏิบัติคุ้มครองข้อมูลส่วนบุคคล ว่าได้มีการปฏิบัติตามรูปแบบและวิธีการที่ได้กำหนดไว้

## สิ่งที่ต้องทำ

จัดให้มีกระบวนการทบทวนและอนุมัตินโยบายและแนวปฏิบัติคุ้มครองข้อมูลส่วนบุคคล และได้ผลเป็นรูปธรรม โดยต้องมีการกำหนดเวลาที่แน่นอน

## หลักฐาน

1. รายงานการประชุมทบทวนและอนุมัตินโยบายและแนวปฏิบัติ โดยต้องมีข้อความแสดงเป็นหมวดหมู่ให้เห็นว่าครอบคลุม "การบริหารจัดการข้อมูลส่วนบุคคล การรักษาความปลอดภัยของข้อมูล และการกำหนดหน้าที่แก่พนักงาน"

## สภาพบังคับ

[มาตรา 37](https://link.pdpalawbase.com/section/37.md)(1) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 และประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง มาตรการรักษาความมั่นคงปลอดภัยของข้อมูลส่วนบุคคล ข้อ 4(7) และข้อ 5

โทษทางปกครอง: ปรับสูงสุด 3 ล้านบาท

## ตัวอย่างเอกสาร

### ตัวอย่างรายงานการประชุมทบทวนและอนุมัตินโยบายและแนวปฏิบัติ

**วันที่ประชุม:** ___________ **สถานที่:** ___________

**ผู้เข้าร่วมประชุม:** เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล (DPO), ผู้จัดการฝ่ายเทคโนโลยีสารสนเทศ, ผู้จัดการฝ่ายทรัพยากรบุคคล, ฝ่ายกฎหมาย, ผู้บริหารระดับสูง, ตัวแทนฝ่ายลูกค้าหรือสมาชิก

**วาระที่ 1: การทบทวนและประเมินผลการปฏิบัติตามนโยบาย**
- การบริหารจัดการข้อมูลส่วนบุคคล — ตรวจสอบความสอดคล้องของการเก็บรวบรวม ใช้ เปิดเผย และลบข้อมูลส่วนบุคคล รายงานการจัดเก็บข้อมูลและการรับความยินยอม และปรับปรุงกระบวนการให้โปร่งใสและปลอดภัยมากขึ้น
- การรักษาความมั่นคงปลอดภัยของข้อมูล — ประเมินมาตรการที่ใช้อยู่ เช่น การควบคุมการเข้าถึง การเข้ารหัส การสำรองข้อมูล และระบบตรวจจับการบุกรุก ตรวจสอบผลการทดสอบความปลอดภัยและการประเมินช่องโหว่ พร้อมอบรมสร้างความตระหนัก
- การกำหนดหน้าที่และบทบาทของพนักงาน — ทบทวนบทบาทความรับผิดชอบของฝ่ายที่เกี่ยวข้อง ประเมินผลการปฏิบัติงานและความเข้าใจต่อบทบาทที่ได้รับมอบหมาย

**วาระที่ 2: การอนุมัตินโยบายและแนวปฏิบัติฉบับปรับปรุง**
- คณะกรรมการรับรองว่านโยบายและแนวปฏิบัติได้ผ่านการทบทวนตามกรอบเวลาที่กำหนดอย่างน้อยปีละ 1 ครั้ง
- รับรองความครบถ้วนและเหมาะสมของนโยบาย
- เห็นชอบให้นำนโยบายฉบับปรับปรุงไปใช้จริงและติดตามผลอย่างต่อเนื่อง

**วาระที่ 3: กำหนดแผนการดำเนินงานและทบทวนครั้งถัดไป**
- กำหนดวันทบทวนครั้งถัดไป (โดยทั่วไปไม่เกิน 12 เดือน)
- มอบหมายให้เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลจัดทำรายงานสรุปผลและเสนอแนะแนวทางแก้ไข
- กำหนดมาตรการเสริมสำหรับการอบรมพนักงานและปรับปรุงระบบรักษาความมั่นคงปลอดภัย

ลงชื่ออนุมัติ ............................................ (เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล / ผู้บริหารระดับสูง / ตัวแทนฝ่ายเทคโนโลยีสารสนเทศ / ตัวแทนฝ่ายทรัพยากรบุคคล)

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/3-2-3.md

============================================================
โนด: แนวปฏิบัติ 3.2.4
ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/3-2-4.md

# 3.2.4 องค์กรทบทวนนโยบายและแนวปฏิบัติ PDPA ตามรอบระยะเวลาที่กำหนด

องค์กรต้องมีการทบทวนนโยบายและแนวปฏิบัติคุ้มครองข้อมูลส่วนบุคคลตามรอบระยะเวลาที่กำหนดไว้ เพื่อให้มีความเป็นปัจจุบันและเหมาะสมตามจุดประสงค์และบริบทขององค์กร

## สิ่งที่ต้องทำ

จัดให้มีการประชุมเพื่อทบทวนนโยบายและแนวปฏิบัติ โดยต้องประเมินความเหมาะสมของกระบวนการปฏิบัติงานให้เป็นไปตามนโยบายด้านการคุ้มครองข้อมูลส่วนบุคคล ตามกรอบระยะเวลาที่แน่นอน

## หลักฐาน

1. รายงานการประชุมเพื่อทบทวนนโยบายและแนวปฏิบัติ โดยต้องมีข้อความแสดงเป็นหมวดหมู่ให้เห็นว่า (ก) มีการทบทวนนโยบายและแนวปฏิบัติ (ข) มีการประเมินกระบวนการปฏิบัติงาน ซึ่งอาจต้องทำแบบประเมิน และ (ค) ระบุกรอบระยะเวลาการดำเนินการทุก ___ เดือน

## สภาพบังคับ

[มาตรา 37](https://link.pdpalawbase.com/section/37.md)(1) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 และประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง มาตรการรักษาความมั่นคงปลอดภัยของข้อมูลส่วนบุคคล ข้อ 4(7) และข้อ 5

โทษทางปกครอง: ปรับสูงสุด 3 ล้านบาท

## ตัวอย่างเอกสาร

### ตัวอย่างที่ 1 — โครงร่างรายงานการประชุมทบทวน

**ผู้เข้าร่วมประชุม:** เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล (DPO), ผู้จัดการฝ่ายเทคโนโลยีสารสนเทศ, ผู้จัดการฝ่ายทรัพยากรบุคคล, ฝ่ายกฎหมาย, ผู้บริหารระดับสูง, ตัวแทนฝ่ายลูกค้าหรือสมาชิก

**วาระที่ 1: การทบทวนนโยบายและแนวปฏิบัติ (ก)** — ทบทวนเนื้อหาและความครอบคลุมของนโยบายฉบับปัจจุบันให้สอดคล้องกับข้อกฎหมายและบริบทขององค์กร ปรับปรุงเนื้อหาให้ทันสมัย ครอบคลุมการบริหารจัดการข้อมูล การรักษาความมั่นคงปลอดภัย และบทบาทหน้าที่ของพนักงาน รวมถึงกระบวนการขอความยินยอมและการตอบสนองต่อเหตุละเมิดข้อมูล

**วาระที่ 2: การประเมินกระบวนการปฏิบัติงาน (ข)** — นำแบบประเมินมาตรการปฏิบัติงานมาใช้ตรวจสอบการดำเนินงานของแต่ละฝ่าย ครอบคลุมการเก็บรวบรวมข้อมูล การรักษาความลับ การบริหารจัดการความเสี่ยง และการอบรมพนักงาน พร้อมจัดทำรายงานผลและเสนอต่อคณะกรรมการ

**วาระที่ 3: การกำหนดกรอบระยะเวลาการทบทวน (ค)** — กำหนดรอบการทบทวนและประเมินผลอย่างน้อยทุก 12 เดือน มอบหมายเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลเป็นผู้รับผิดชอบหลักในการจัดทำตารางและรายงานสรุปผล กรณีพบประเด็นใหม่ที่มีผลกระทบหรือมีการเปลี่ยนแปลงกฎหมาย ให้จัดประชุมพิเศษเพื่อทบทวนทันที

ลงชื่ออนุมัติ ............................................ (เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล / ผู้บริหารระดับสูง / ตัวแทนฝ่ายเทคโนโลยีสารสนเทศ)

### ตัวอย่างที่ 2 — รายงานการประชุมทบทวน (ฉบับกรอกตัวอย่าง)

**รายงานการประชุมทบทวนนโยบายและแนวปฏิบัติด้านการคุ้มครองข้อมูลส่วนบุคคล ครั้งที่ 1/2568**
วันที่ประชุม: 15 พฤษภาคม 2568 เวลา 09.30–11.45 น. สถานที่: ห้องประชุม 3 อาคารบริหารกลาง

**ผู้เข้าร่วมประชุม:** ประธานการประชุมและเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล (DPO), ผู้แทนฝ่ายกฎหมาย, ผู้แทนฝ่ายเทคโนโลยีสารสนเทศ, ผู้แทนฝ่ายทรัพยากรบุคคล, ผู้แทนฝ่ายการตลาด, ผู้แทนฝ่ายบริการลูกค้า, ผู้แทนฝ่ายพัฒนาผลิตภัณฑ์, ผู้แทนฝ่ายความมั่นคงปลอดภัยสารสนเทศ และคณะทำงานสนับสนุนรวมทั้งสิ้น 12 คน

**วาระที่ 1: การทบทวนนโยบายการคุ้มครองข้อมูลส่วนบุคคล** — ที่ประชุมพิจารณานโยบายฉบับปรับปรุงล่าสุด โดยพิจารณาขอบเขตของข้อมูลส่วนบุคคล แนวทางการเก็บ ใช้ เปิดเผยข้อมูล สิทธิของเจ้าของข้อมูล และระยะเวลาการจัดเก็บข้อมูล มติที่ประชุมเห็นว่านโยบายยังคงเหมาะสมและสอดคล้องกับพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 จึงคงเนื้อหาไว้ตามเดิม พร้อมปรับปรุงแนวปฏิบัติบางประการให้ทันสมัยขึ้น

**วาระที่ 2: การทบทวนแนวปฏิบัติ**
- แนวปฏิบัติเรื่องการขอความยินยอม — พบความไม่สอดคล้องกันในด้านถ้อยคำและการจัดเก็บหลักฐาน มติให้กำหนดข้อความมาตรฐานในการขอความยินยอมสำหรับแต่ละวัตถุประสงค์ และจัดทำระบบจัดเก็บและเรียกดูข้อมูลความยินยอมแบบรวมศูนย์
- แนวปฏิบัติเรื่องการแจ้งเหตุข้อมูลรั่วไหล — พบว่ายังไม่มีแบบฟอร์มแจ้งเหตุที่ชัดเจน มติให้จัดทำแบบฟอร์มและคู่มือการใช้งาน พร้อมจัดกิจกรรมจำลองสถานการณ์การรับมืออย่างน้อยปีละ 1 ครั้ง

**วาระที่ 3: การประเมินกระบวนการปฏิบัติงานให้สอดคล้องกับนโยบาย** — ที่ประชุมประเมินตนเองตามหัวข้อ เช่น ความเข้าใจนโยบาย ระบบจัดเก็บและควบคุมการเข้าถึงข้อมูล การขอความยินยอม การลบหรือทำลายข้อมูลที่หมดอายุ และการรับและตอบคำร้องขอใช้สิทธิ ผลการประเมินโดยรวมสอดคล้องกับนโยบาย แต่ควรจัดให้มีระบบการลบข้อมูลอัตโนมัติเมื่อครบกำหนด จัดเก็บแบบฟอร์มคำร้องในระบบกลาง และอบรมพนักงานทุกฝ่ายให้เข้าใจขั้นตอนการแจ้งเหตุข้อมูลรั่วไหล

**วาระที่ 4: การกำหนดกรอบระยะเวลาการทบทวน** — ที่ประชุมอ้างอิงพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 [มาตรา 37](https://link.pdpalawbase.com/section/37.md)(1) และประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่องมาตรการรักษาความมั่นคงปลอดภัยของข้อมูลส่วนบุคคล ข้อ 4(7) และข้อ 5 มีมติให้ทบทวนนโยบายและแนวปฏิบัติอย่างน้อยปีละ 1 ครั้ง โดยจัดประชุมทบทวนรอบถัดไปภายในเดือนพฤษภาคม 2569

ลงชื่อ ............................................ ประธานการประชุม / เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล (DPO) วันที่ลงนาม: 16 พฤษภาคม 2568

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/3-2-4.md

============================================================
โนด: แนวปฏิบัติ 3.3.1
ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/3-3-1.md

# 3.3.1 พนักงานอ่านและทำความเข้าใจนโยบายและขั้นตอนการปฏิบัติงาน PDPA

พนักงานต้องได้อ่านและทำความเข้าใจนโยบายและขั้นตอนการปฏิบัติงานในเรื่องการคุ้มครองข้อมูลส่วนบุคคล ซึ่งรวมถึงเหตุผลและความจำเป็นที่ต้องมีการปฏิบัติตาม

## สิ่งที่ต้องทำ

เผยแพร่นโยบายและแนวปฏิบัติคุ้มครองข้อมูลส่วนบุคคลให้พนักงานทุกคนเข้าถึง พร้อมจัดอบรมและให้พนักงานรับรองการอ่านและทำความเข้าใจ รวมถึงเหตุผลและความจำเป็นในการปฏิบัติตาม

## หลักฐาน

1. เอกสารสรุปผลการจัดกิจกรรมฝึกอบรมพนักงานเรื่องการคุ้มครองข้อมูลส่วนบุคคล (หลักสูตร วันที่ วิทยากร กลุ่มเป้าหมาย ผลทดสอบก่อน/หลังอบรม รายชื่อผู้เข้าอบรม)
2. บันทึกการรับรองการอ่านนโยบายและแนวปฏิบัติของพนักงานผ่านระบบภายใน

## สภาพบังคับ

[มาตรา 37](https://link.pdpalawbase.com/section/37.md)(1) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 และประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง มาตรการรักษาความมั่นคงปลอดภัยของข้อมูลส่วนบุคคล ข้อ 4(7) — ผู้ควบคุมข้อมูลต้องสร้างความตระหนักรู้ด้านการคุ้มครองข้อมูลส่วนบุคคลแก่พนักงาน

โทษทางปกครอง: ปรับสูงสุด 3 ล้านบาท

## ตัวอย่างเอกสาร

### ตัวอย่างเอกสารสรุปผลการจัดกิจกรรมฝึกอบรมพนักงาน

**ภาพรวม** — องค์กรสื่อสารนโยบายคุ้มครองข้อมูลส่วนบุคคลและแนวปฏิบัติผ่านระบบอินทราเน็ต และจัดฝึกอบรมพนักงานทุกคน โดยพนักงานได้รับแจ้งให้ศึกษาเอกสารภายใน 15 วัน และรับรองการอ่านผ่านระบบภายใน เอกสารระบุชัดเจนถึงหลักการสำคัญของ PDPA ความจำเป็นของการปฏิบัติตาม บทบาทของพนักงาน และบทลงโทษหากมีการละเมิด

**รายละเอียดการอบรม**
- ชื่อหลักสูตร: ความรู้เบื้องต้นและแนวทางปฏิบัติตาม PDPA สำหรับพนักงานองค์กร
- วันที่จัดอบรม / วิทยากร: เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล ([เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล (DPO)](https://link.pdpalawbase.com/concept/dpo.md))
- กลุ่มเป้าหมาย: พนักงานทุกคน
- รูปแบบ: บรรยายประกอบสไลด์ + การจำลองสถานการณ์ + แบบทดสอบก่อนและหลังอบรม

**เนื้อหาหลักสูตร** — ภาพรวมกฎหมายและความรับผิดชอบขององค์กร · [สิทธิของเจ้าของข้อมูลส่วนบุคคล](https://link.pdpalawbase.com/concept/data-subject-rights.md) · แนวปฏิบัติการเก็บ ใช้ เปิดเผยข้อมูลอย่างถูกต้อง · กรณีศึกษาและบทลงโทษทางปกครอง · การแจ้งเหตุละเมิดข้อมูลและแนวทางรับมือ

**ผลการอบรม** — พนักงานทั้งหมดผ่านการอบรม ผลทดสอบหลังอบรมสูงกว่าก่อนอบรมอย่างมีนัยสำคัญ

**เอกสารประกอบ (ภาคผนวก)** — สำเนานโยบายและแนวปฏิบัติ · รายละเอียดหลักสูตร · แบบทดสอบก่อน/หลังอบรม · รายชื่อผู้เข้าอบรม · ภาพถ่ายกิจกรรม · ใบลงทะเบียนและแบบประเมินผล

**บทบาทของพนักงานตามนโยบาย**
- รักษาความลับและความปลอดภัยของข้อมูลส่วนบุคคลที่ตนมีหน้าที่ดูแล
- ปฏิบัติตามแนวทางการจัดเก็บ ใช้ เปิดเผยข้อมูลโดยชอบด้วยกฎหมาย
- รายงานเหตุสงสัยหรือละเมิดข้อมูลแก่ DPO ทันที

ลงชื่อ ............................................ เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล (DPO) / รองกรรมการผู้จัดการใหญ่ ฝ่ายทรัพยากรบุคคล

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/3-3-1.md

============================================================
โนด: แนวปฏิบัติ 3.3.2
ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/3-3-2.md

# 3.3.2 องค์กรแจ้งพนักงานทราบเกี่ยวกับนโยบายและแนวปฏิบัติใหม่

เมื่อมีการปรับปรุงนโยบายและแนวปฏิบัติด้านการคุ้มครองข้อมูลส่วนบุคคล องค์กรต้องแจ้งให้พนักงานได้ทราบและทำความเข้าใจในฉบับที่ปรับปรุงใหม่

## สิ่งที่ต้องทำ

ชี้แจงและเผยแพร่นโยบายและแนวปฏิบัติฉบับปรับปรุงใหม่ให้พนักงานทุกคนทราบ พร้อมจัดประชุมชี้แจงและอบรมเพื่อให้พนักงานเข้าใจสาระสำคัญที่เปลี่ยนแปลง

## หลักฐาน

1. เอกสารนโยบายและแนวปฏิบัติที่ปรับปรุงใหม่
2. รายงานการประชุมชี้แจงนโยบายและแนวปฏิบัติที่ปรับปรุงใหม่

## สภาพบังคับ

[มาตรา 37](https://link.pdpalawbase.com/section/37.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 — โทษทางปกครอง ปรับไม่เกิน 3 ล้านบาท

## ตัวอย่างเอกสาร

### 1. นโยบายและแนวปฏิบัติที่ปรับปรุงใหม่ (สาระสำคัญ)

- เพิ่มรายละเอียด[สิทธิของเจ้าของข้อมูลส่วนบุคคล](https://link.pdpalawbase.com/concept/data-subject-rights.md) เช่น สิทธิขอเข้าถึง แก้ไข ลบ และจำกัดการประมวลผล
- กำหนดแนวทางการแจ้งคำประกาศความเป็นส่วนตัวให้สอดคล้องกับช่วงอายุและระดับความเข้าใจของเจ้าของข้อมูล
- เพิ่มแนวทางการทำข้อมูลนิรนาม (นามแฝง) เพื่อเพิ่มความมั่นคงปลอดภัยของข้อมูล
- กำหนดระยะเวลาการทบทวนและปรับปรุงนโยบายทุก 6 เดือน
- เสริมมาตรการควบคุมการเข้าถึงและการจัดเก็บข้อมูลให้รัดกุมยิ่งขึ้น: กำหนดสิทธิ์การเข้าถึงตามบทบาทหน้าที่ · บันทึกร่องรอยการเข้าถึงข้อมูล · ทบทวนสิทธิ์เมื่อเปลี่ยนตำแหน่งงาน · จัดเก็บข้อมูลในระบบที่ได้รับการรับรองความปลอดภัย/เข้ารหัส · แบ่งชั้นความลับ · สำรองข้อมูลและจัดทำแผนกู้คืน
- มาตรการเสริมด้านเทคนิค: การเข้ารหัสข้อมูลที่ละเอียดอ่อน · ระบบป้องกันไวรัสและมัลแวร์ · นโยบายรหัสผ่านที่เข้มงวด
- มาตรการเสริมด้านกระบวนการและบุคลากร: อบรมสร้างความตระหนัก · ขั้นตอนการแจ้งและรับมือเหตุละเมิดข้อมูล · ข้อตกลงการรักษาความลับกับพนักงานและบุคคลภายนอก
- แนวปฏิบัติที่ปรับปรุง: การแจ้งคำประกาศความเป็นส่วนตัวตามวัย · การทำข้อมูลนิรนามตามมาตรฐานความปลอดภัย · พนักงานต้องอบรมและทดสอบความเข้าใจทุกครั้งหลังการปรับปรุง · จัดทำทะเบียนควบคุมเวอร์ชันนโยบาย

### 2. รายงานการประชุมชี้แจงนโยบายและแนวปฏิบัติที่ปรับปรุงใหม่

**วาระการประชุม** — ชี้แจงเนื้อหานโยบายและแนวปฏิบัติฉบับปรับปรุง · อธิบายสิทธิของเจ้าของข้อมูลที่เพิ่มขึ้น · แนวทางการแจ้งคำประกาศความเป็นส่วนตัวตามช่วงอายุ · การทำข้อมูลนิรนาม · แผนการอบรมพนักงานและการประเมินผลความเข้าใจ

**มติที่ประชุม** — รับรองนโยบายฉบับปรับปรุงโดยเสียงเอกฉันท์ และกำหนดให้ฝ่ายทรัพยากรบุคคลจัดอบรมพนักงานภายในเดือนถัดไป

ลงชื่อ ............................................ ประธานการประชุม / เลขานุการ

### 3. เอกสารอื่น ๆ เพื่อแสดงหลักฐานการแจ้งและอบรม

เอกสารนโยบายและแนวปฏิบัติฉบับปรับปรุง (แจกจ่ายผ่านอินทราเน็ตและอีเมล) · รายละเอียดหลักสูตรอบรมฉบับปรับปรุง · ภาพถ่ายการอบรม · รายงานผลการทดสอบความรู้หลังอบรม · รายงานสรุปผลการจัดอบรมและการรับทราบนโยบาย

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/3-3-2.md

============================================================
โนด: แนวปฏิบัติ 3.3.3
ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/3-3-3.md

# 3.3.3 องค์กรจัดให้พนักงานเข้าถึงนโยบายและแนวปฏิบัติได้โดยง่าย

องค์กรต้องจัดให้พนักงานสามารถเข้าถึงนโยบายและแนวปฏิบัติได้ เช่น ผ่านระบบอินทราเน็ตขององค์กร หรือด้วยวิธีอื่น ๆ ที่พนักงานสามารถเข้าถึงได้โดยง่าย

## สิ่งที่ต้องทำ

จัดให้มีนโยบายและแนวปฏิบัติที่พนักงานเข้าถึงได้ในระบบอินทราเน็ตขององค์กรหรือด้วยวิธีการอื่น และจัดประชุมเพื่อชี้แจงในแต่ละฝ่ายงาน

## หลักฐาน

1. เอกสารนโยบายและแนวปฏิบัติที่เผยแพร่ในระบบอินทราเน็ต
2. รายงานการประชุมชี้แจงนโยบายและแนวปฏิบัติ

## สภาพบังคับ

[มาตรา 37](https://link.pdpalawbase.com/section/37.md)(1) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 — ผู้ควบคุมข้อมูลต้องจัดให้มีมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสม และประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง มาตรการรักษาความมั่นคงปลอดภัยฯ ข้อ 4(7) — ผู้ควบคุมข้อมูลต้องแจ้งให้พนักงานทราบถึงนโยบายและแนวปฏิบัติที่เกี่ยวข้อง

โทษทางปกครอง: ปรับสูงสุด 3 ล้านบาท

## ตัวอย่างเอกสาร

### แนวทางการเข้าถึงนโยบายและแนวปฏิบัติของพนักงาน

**1. การเผยแพร่และเข้าถึง** — จัดทำหน้าเว็บไซต์ภายใน (อินทราเน็ต) เมนูเฉพาะ "นโยบายและแนวปฏิบัติด้านการคุ้มครองข้อมูลส่วนบุคคล" ประกอบด้วยนโยบายฉบับเต็ม · เอกสารแนวปฏิบัติที่เกี่ยวข้อง · เวอร์ชันและวันที่มีผลบังคับใช้ · คำถามที่พบบ่อย · ช่องทางติดต่อ DPO หรือฝ่ายกฎหมาย

**2. การชี้แจงแก่พนักงาน** — จัดประชุมหรือสัมมนาชี้แจงแก่พนักงานทุกแผนก (ทั้งออนไลน์และออนไซต์) ครอบคลุมความสำคัญของการคุ้มครองข้อมูลส่วนบุคคล เนื้อหานโยบาย ช่องทางการเข้าถึงเอกสาร และวิธีสอบถามเพิ่มเติม

**3. ช่องทางการสื่อสารเพิ่มเติม** — อีเมลภายใน · กลุ่มแชทภายในองค์กร · ป้ายประชาสัมพันธ์ · ลิงก์และรหัสคิวอาร์สำหรับเข้าถึงหน้าอินทราเน็ต

**4. การประเมินความเข้าใจ** — จัดแบบทดสอบออนไลน์หลังชี้แจง ครอบคลุมสาระสำคัญ เช่น สิทธิของเจ้าของข้อมูล แนวปฏิบัติการแจ้งเหตุละเมิดข้อมูล การเข้าถึงข้อมูล กำหนดคะแนนผ่านขั้นต่ำ และพนักงานที่ไม่ผ่านต้องเข้ารับการอบรมซ้ำ

**หลักฐานประกอบการดำเนินการ** — หน้าเว็บไซต์อินทราเน็ต · รายงานการประชุมชี้แจง · ภาพถ่าย/บันทึกการประชุมหรืออบรม · ประกาศภายใน/อีเมลประชาสัมพันธ์ · แบบทดสอบก่อน/หลังอบรม · ทะเบียนเวอร์ชันของนโยบาย

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/3-3-3.md

============================================================
โนด: แนวปฏิบัติ 3.3.4
ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/3-3-4.md

# 3.3.4 องค์กรจัดทำโปสเตอร์และเอกสารสร้างความตระหนักรู้ด้าน PDPA

องค์กรต้องจัดทำแนวปฏิบัติ โปสเตอร์ หรือเอกสารตีพิมพ์ต่าง ๆ ที่ช่วยเน้นย้ำสาระสำคัญและสร้างความตระหนักรู้ในนโยบายและแนวปฏิบัติด้านการคุ้มครองข้อมูลส่วนบุคคล

## สิ่งที่ต้องทำ

จัดประชุมในฝ่ายงานเพื่อหารือข้อขัดข้องที่อาจเกิดขึ้น แล้วดำเนินการปรับปรุงและจัดทำโปสเตอร์หรือเอกสารตีพิมพ์ต่าง ๆ ที่เน้นย้ำสาระสำคัญและสร้างความตระหนักในนโยบายและแนวปฏิบัติ ติดตั้งในบริเวณสถานที่ปฏิบัติงาน

## หลักฐาน

1. โปสเตอร์และเอกสารตีพิมพ์ที่เน้นย้ำสาระสำคัญของการปฏิบัติตามกฎหมาย
2. รายงานการประชุม

## สภาพบังคับ

[มาตรา 37](https://link.pdpalawbase.com/section/37.md)(1) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 และประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง มาตรการรักษาความมั่นคงปลอดภัยฯ ข้อ 4(7) — องค์กรต้องจัดทำสื่อหรือเอกสารเพื่อสร้างความตระหนักรู้ให้แก่พนักงานอย่างสม่ำเสมอ

โทษทางปกครอง: ปรับสูงสุด 3 ล้านบาท

## ตัวอย่างเอกสาร

### ส่วนที่ 1: รายงานการประชุมจัดทำสื่อสร้างความตระหนักรู้

ที่ประชุมมีมติให้จัดทำสื่อสร้างความตระหนักรู้หลายรูปแบบ:

| รูปแบบสื่อ | เนื้อหาโดยสังเขป | ช่องทางการเผยแพร่ |
|---|---|---|
| โปสเตอร์ | "5 สิ่งที่พนักงานต้องรู้เกี่ยวกับ PDPA" | ติดตั้งบริเวณสำนักงานทุกชั้น |
| เอกสารสรุป 1 หน้า | "นโยบายคุ้มครองข้อมูลส่วนบุคคล ฉบับเข้าใจง่าย" | แจกในที่ประชุมและแนบอีเมล |
| ภาพอินโฟกราฟิก | "สิทธิของเจ้าของข้อมูลส่วนบุคคล" | เผยแพร่ในอินทราเน็ตและกลุ่มแชท |
| คลิปวิดีโอสั้น | "PDPA กับพนักงานในชีวิตประจำวัน" | แสดงในจอประชาสัมพันธ์ |

**ปัญหาที่อาจเกิดขึ้น** — ความเข้าใจผิดเกี่ยวกับข้อยกเว้นของ PDPA · บางหน่วยงานไม่เปิดอ่านเอกสารในระบบ · ความเข้าใจเรื่องการแจ้งความยินยอมยังไม่ตรงกัน

**มติที่ประชุม** — จัดอบรมเสริมสำหรับหัวหน้าแผนกเพื่อเป็นแกนกลางกระจายความรู้ · เผยแพร่สื่อหลายช่องทางทั้งออนไลน์และออฟไลน์ · มอบฝ่ายสื่อสารองค์กรจัดทำโปสเตอร์และเอกสารตีพิมพ์ภายใน 2 สัปดาห์

### ส่วนที่ 2: ตัวอย่างโปสเตอร์ "5 สิ่งที่พนักงานต้องรู้เกี่ยวกับ PDPA"

1. ห้ามเปิดเผยข้อมูลส่วนบุคคลของลูกค้า/เพื่อนร่วมงานโดยไม่มีสิทธิ
2. ต้องแจ้งคำประกาศความเป็นส่วนตัวให้เจ้าของข้อมูลทราบเสมอ (วัตถุประสงค์ วิธีใช้ ระยะเวลาจัดเก็บ และสิทธิของเจ้าของข้อมูล)
3. ใช้ข้อมูลส่วนบุคคลเท่าที่จำเป็นและตามวัตถุประสงค์ที่แจ้งไว้
4. ห้ามส่งต่อข้อมูลให้บุคคลภายนอกโดยไม่ได้รับอนุญาต (ต้องตรวจสอบข้อตกลงการประมวลผลข้อมูล [ผู้ประมวลผลข้อมูลส่วนบุคคล](https://link.pdpalawbase.com/concept/data-processor.md) ก่อนเสมอ)
5. หากพบการรั่วไหล ต้องแจ้ง [เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล (DPO)](https://link.pdpalawbase.com/concept/dpo.md) ภายใน 24 ชั่วโมง เพื่อดำเนินการแจ้งต่อสำนักงานคณะกรรมการฯ ภายใน 72 ชั่วโมง

สอบถามเพิ่มเติมได้ที่ฝ่ายกฎหมายหรือ DPO ขององค์กร

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/3-3-4.md

============================================================
โนด: แนวปฏิบัติ 3.3.5
ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/3-3-5.md

# 3.3.5 องค์กรจัดทำนโยบายและแนวปฏิบัติเพื่อสร้างจิตสำนึกการกำหนดค่าเริ่มต้น

องค์กรต้องจัดทำนโยบายและแนวปฏิบัติสำหรับการคุ้มครองข้อมูลส่วนบุคคล เพื่อสร้างจิตสำนึกให้แก่พนักงานทั่วองค์กรในเรื่องการกำหนดค่าเริ่มต้นสำหรับการทำงาน โดยมุ่งเน้นการกำหนดค่าเริ่มต้นด้านความเป็นส่วนตัวและการคุ้มครองข้อมูลตั้งแต่การออกแบบ

## สิ่งที่ต้องทำ

จัดทำนโยบายและแนวปฏิบัติคุ้มครองข้อมูลส่วนบุคคลที่มุ่งเน้นการกำหนดค่าเริ่มต้นด้านความเป็นส่วนตัว และการคุ้มครองข้อมูลตั้งแต่การออกแบบระบบ พร้อมสร้างจิตสำนึกแก่พนักงานทั่วทั้งองค์กร

## หลักฐาน

1. นโยบายคุ้มครองข้อมูลส่วนบุคคล โดยกำหนดนโยบายและแนวปฏิบัติที่ช่วยสนับสนุนการคุ้มครองข้อมูลส่วนบุคคล
2. เอกสารฝึกอบรมแก่พนักงานเพื่ออบรมแนวปฏิบัติที่ช่วยสนับสนุนการคุ้มครองข้อมูลส่วนบุคคลตั้งแต่การออกแบบไปจนถึงการปฏิบัติ ตลอดทั่วทั้งองค์กร

## สภาพบังคับ

ไม่มีกฎหมายบังคับเฉพาะ — เป็นแนวปฏิบัติที่ดีในการฝังการคุ้มครองข้อมูลตั้งแต่การออกแบบและการกำหนดค่าเริ่มต้นที่คุ้มครองความเป็นส่วนตัว

## ตัวอย่างเอกสาร

### นโยบายและแนวปฏิบัติ: การกำหนดค่าเริ่มต้นด้านความเป็นส่วนตัวและการคุ้มครองตั้งแต่การออกแบบ

องค์กรยึดหลักแนวคิด 2 ประการสำคัญ:

**1. การคุ้มครองข้อมูลตั้งแต่การออกแบบ** — การฝังกลไกหรือมาตรการคุ้มครองข้อมูลส่วนบุคคลไว้ในทุกกระบวนการตั้งแต่การวางแผน ออกแบบระบบ พัฒนาโปรแกรม หรือเริ่มต้นกิจกรรมใด ๆ ที่เกี่ยวข้องกับข้อมูลส่วนบุคคล โดยไม่ถือเป็นภาระที่ต้องเพิ่มในภายหลัง

> ตัวอย่าง: การพัฒนาแอปพลิเคชันเก็บข้อมูลลูกค้าต้องออกแบบให้มีการขอความยินยอมแบบเลือกได้และมีเมนูจัดการข้อมูลส่วนบุคคลของผู้ใช้อย่างโปร่งใส · แบบฟอร์มกระดาษเก็บข้อมูลพนักงานต้องระบุวัตถุประสงค์และเก็บเฉพาะข้อมูลที่จำเป็น

**2. การกำหนดค่าเริ่มต้นที่คุ้มครองความเป็นส่วนตัว** — การตั้งค่าระบบหรือบริการให้คุ้มครองความเป็นส่วนตัวในระดับสูงสุดโดยอัตโนมัติ โดยไม่ต้องอาศัยการดำเนินการจากเจ้าของข้อมูล เช่น ปิดการเปิดเผยข้อมูลเป็นค่าตั้งต้น และไม่เก็บข้อมูลเกินความจำเป็น

> ตัวอย่าง: บริการจัดเก็บข้อมูลลูกค้าออนไลน์ต้องตั้งค่าไม่เปิดเผยข้อมูลส่วนตัวแก่บุคคลอื่นโดยอัตโนมัติ · ระบบกล้องวงจรปิดต้องตั้งค่าจัดเก็บภาพน้อยที่สุดเท่าที่จำเป็นและตั้งระยะเวลาการลบอัตโนมัติ

**นโยบายและแนวปฏิบัติหลัก**
- ทุกระบบงานหรือกิจกรรมที่เกี่ยวข้องกับข้อมูลส่วนบุคคลต้องเริ่มต้นด้วยการวางแผนการคุ้มครองข้อมูลอย่างเป็นระบบ และต้องมีการประเมินผลกระทบด้านการคุ้มครองข้อมูล ([การประเมินผลกระทบด้านการคุ้มครองข้อมูลส่วนบุคคล (DPIA)](https://link.pdpalawbase.com/concept/dpia.md)) ก่อนเริ่มโครงการใหม่
- ระบบหรือบริการใด ๆ ต้องตั้งค่าพื้นฐานที่คุ้มครองข้อมูลสูงสุด ไม่เปิดเผยข้อมูลโดยไม่ขอความยินยอมอย่างชัดเจน เช่น เว็บฟอร์มลงทะเบียนลูกค้าเก็บเฉพาะข้อมูลที่จำเป็น

**การอบรมและสร้างจิตสำนึก** — จัดอบรมประจำปีสำหรับพนักงานทุกระดับ · จัดทดสอบหลังการอบรมและกำหนดเกณฑ์ผ่านขั้นต่ำ · ใช้โปสเตอร์ สื่ออินทราเน็ต และอีเมลประชาสัมพันธ์ย้ำเตือนอย่างต่อเนื่อง

**การประเมินผลและการกำกับดูแล** — [เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล (DPO)](https://link.pdpalawbase.com/concept/dpo.md) มีหน้าที่ตรวจสอบและประเมินความสอดคล้องกับนโยบายอย่างสม่ำเสมอ และปรับปรุงแนวทางเมื่อมีการเปลี่ยนแปลงระบบ กฎหมาย หรือกระบวนการทำงาน

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/3-3-5.md

============================================================
โนด: แนวปฏิบัติ 3.4.1
ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/3-4-1.md

# 3.4.1 องค์กรกำหนดค่าเริ่มต้นคุ้มครองข้อมูลในการออกแบบระบบ ผลิตภัณฑ์ และบริการ

องค์กรต้องมีนโยบายและขั้นตอนเพื่อให้แน่ใจว่าประเด็นการคุ้มครองข้อมูลได้รับการพิจารณาเมื่อมีการออกแบบและดำเนินการระบบบริการ ผลิตภัณฑ์ และแนวทางธุรกิจที่เกี่ยวข้องกับข้อมูลส่วนบุคคล และข้อมูลส่วนบุคคลได้รับการคุ้มครองโดยค่าเริ่มต้น

## สิ่งที่ต้องทำ

จัดทำนโยบายและขั้นตอนการกำหนดค่าเริ่มต้นที่คุ้มครองความเป็นส่วนตัวในการออกแบบและพัฒนาระบบ ผลิตภัณฑ์ และบริการ เพื่อให้ข้อมูลส่วนบุคคลถูกเก็บรวบรวม ใช้ เปิดเผย และจัดเก็บเท่าที่จำเป็น พร้อมมีมาตรการควบคุมความเป็นส่วนตัวตั้งแต่เริ่มต้น

## หลักฐาน

1. นโยบายการกำหนดค่าเริ่มต้นในการออกแบบและพัฒนาระบบ ผลิตภัณฑ์ และบริการ
2. รายการตรวจสอบการนำการคุ้มครองข้อมูลตั้งแต่การออกแบบและการกำหนดค่าเริ่มต้นไปปฏิบัติในระบบเทคโนโลยีสารสนเทศ

## สภาพบังคับ

[มาตรา 37](https://link.pdpalawbase.com/section/37.md)(1) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 และประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง มาตรการรักษาความมั่นคงปลอดภัยของข้อมูลส่วนบุคคล — ผู้ควบคุมข้อมูลต้องจัดให้มีมาตรการคุ้มครองข้อมูลที่เหมาะสมตั้งแต่การออกแบบ

โทษทางปกครอง: ปรับสูงสุด 3 ล้านบาท

## ตัวอย่างเอกสาร

### นโยบายการกำหนดค่าเริ่มต้นที่คุ้มครองความเป็นส่วนตัว

**วัตถุประสงค์** — กำหนดแนวทางออกแบบระบบ ผลิตภัณฑ์ และบริการให้มีการกำหนดค่าความเป็นส่วนตัวที่ปลอดภัยสูงสุดโดยอัตโนมัติ เพื่อให้มั่นใจว่าข้อมูลส่วนบุคคลถูกเก็บ ใช้ เปิดเผย และจัดเก็บเท่าที่จำเป็น

**ขอบเขต** — กระบวนการพัฒนาระบบสารสนเทศ · ระบบ/บริการออนไลน์และออฟไลน์ที่ประมวลผลข้อมูลส่วนบุคคล · ผลิตภัณฑ์ดิจิทัล (แอปพลิเคชัน เว็บไซต์ อุปกรณ์เชื่อมต่อ) · บุคลากรฝ่ายพัฒนาระบบ/นโยบาย/กฎหมาย และผู้ให้บริการภายนอกที่เกี่ยวข้อง

**แนวทางปฏิบัติ**
1. ค่าเริ่มต้นต้องคุ้มครองความเป็นส่วนตัวสูงสุด — เก็บข้อมูลเฉพาะที่จำเป็น · ปิดการเปิดเผยข้อมูลเป็นค่าเริ่มต้น โดยผู้ใช้ต้องเลือกอนุญาตเอง · ปิดการแชร์ข้อมูลกับบุคคลที่สามโดยอัตโนมัติ
2. ไม่ใช้ข้อมูลส่วนบุคคลเกินความจำเป็น — กำหนดสิทธิ์การเข้าถึงตามบทบาทของผู้ใช้งานอย่างชัดเจน · ไม่เก็บข้อมูลที่ไม่มีวัตถุประสงค์โดยตรง
3. การตั้งค่าต้องโปร่งใสและเข้าใจง่าย — ผู้ใช้เข้าถึงและเปลี่ยนแปลงการตั้งค่าความเป็นส่วนตัวได้ง่าย ด้วยภาษาที่เข้าใจง่าย
4. ผนวกการกำหนดค่าเริ่มต้นไว้ในขั้นตอนพัฒนา — ประเมินผลกระทบด้านการคุ้มครองข้อมูล ([การประเมินผลกระทบด้านการคุ้มครองข้อมูลส่วนบุคคล (DPIA)](https://link.pdpalawbase.com/concept/dpia.md)) ก่อนทุกการเปลี่ยนแปลง และ[เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล (DPO)](https://link.pdpalawbase.com/concept/dpo.md)เข้าร่วมให้คำแนะนำตั้งแต่ขั้นตอนการออกแบบ

**ตัวอย่างแนวปฏิบัติ** — แบบฟอร์มออนไลน์: ไม่ทำเครื่องหมายยินยอมให้อัตโนมัติ · แอปมือถือ: ปิดการเข้าถึงตำแหน่ง/รายชื่อเป็นค่าเริ่มต้น · ระบบลูกค้าสัมพันธ์: เข้าถึงข้อมูลลูกค้าเฉพาะเจ้าหน้าที่ที่ได้รับมอบหมาย · การรับข่าวสาร: ผู้ใช้ต้องเลือกสมัครเอง

**การอบรมและการตรวจสอบ** — อบรมเรื่องการกำหนดค่าเริ่มต้นที่คุ้มครองความเป็นส่วนตัวอย่างน้อยปีละ 1 ครั้งแก่ทีมพัฒนา/ออกแบบ ผู้บริหารผลิตภัณฑ์ DPO และฝ่ายกฎหมาย · ตรวจสอบนโยบายอย่างน้อยปีละ 1 ครั้งและรายงานต่อผู้บริหาร · ทบทวนนโยบายทุก 12 เดือน

### ตัวอย่างรายการตรวจสอบการนำไปปฏิบัติ

ระบบเก็บเฉพาะข้อมูลที่จำเป็น · แจ้งวัตถุประสงค์ก่อนเก็บ · ไม่ใช้ข้อมูลเกินวัตถุประสงค์ · ขอความยินยอมชัดเจนเมื่อไม่มีฐานทางกฎหมายอื่น · ตั้งค่าไม่เปิดเผยข้อมูลเป็นค่าเริ่มต้น · ผู้ใช้ควบคุมข้อมูลของตนได้ · เข้ารหัสข้อมูลทั้งระหว่างส่งและจัดเก็บ · แยกจัดเก็บข้อมูลอ่อนไหวและจำกัดสิทธิ์ · บันทึกร่องรอยการเข้าถึง/แก้ไข/ดาวน์โหลด · ประเมินผลกระทบ ([การประเมินผลกระทบด้านการคุ้มครองข้อมูลส่วนบุคคล (DPIA)](https://link.pdpalawbase.com/concept/dpia.md)) ก่อนพัฒนาระบบใหม่ · รองรับสิทธิของเจ้าของข้อมูล · เก็บหลักฐานความยินยอม · อบรมพนักงาน · ควบคุมเวอร์ชันนโยบาย · จัดทำสื่อสร้างความตระหนัก

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/3-4-1.md

============================================================
โนด: แนวปฏิบัติ 3.4.2
ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/3-4-2.md

# 3.4.2 องค์กรมีวิธีปฏิบัติตามหลักจำกัดข้อมูล จำกัดวัตถุประสงค์ และทำข้อมูลแฝง

องค์กรต้องจัดให้มีวิธีการที่นำไปสู่การปฏิบัติตามหลักการคุ้มครองข้อมูลส่วนบุคคลและการป้องกันสิทธิ์ส่วนบุคคล ซึ่งรวมถึงการจำกัดข้อมูลให้น้อยที่สุด การจำกัดวัตถุประสงค์การใช้งาน และการทำข้อมูลแฝง โดยกำหนดไว้ในนโยบายและแนวปฏิบัติ

## สิ่งที่ต้องทำ

จัดทำแนวปฏิบัติเพื่อกำหนดค่าเริ่มต้นที่คุ้มครองความเป็นส่วนตัว มุ่งเน้น 3 ด้านหลัก ได้แก่ การจำกัดข้อมูลให้น้อยที่สุด การจำกัดวัตถุประสงค์การใช้งาน และการทำข้อมูลแฝง พร้อมกำหนดไว้ในนโยบายและแนวปฏิบัติขององค์กร

## หลักฐาน

1. แนวปฏิบัติเพื่อกำหนดค่าเริ่มต้น 3 ด้าน (จำกัดข้อมูล / จำกัดวัตถุประสงค์ / ทำข้อมูลแฝง)
2. เอกสารระบบเทคโนโลยีสารสนเทศที่รองรับการกำหนดค่าเริ่มต้นที่คุ้มครองความเป็นส่วนตัว

## สภาพบังคับ

ไม่มีกฎหมายบังคับเฉพาะ — เป็นแนวปฏิบัติที่ดีในการนำหลักการคุ้มครองข้อมูล (จำกัดข้อมูล จำกัดวัตถุประสงค์ และทำข้อมูลแฝง) ไปกำหนดเป็นค่าเริ่มต้นของระบบและกระบวนการ

## ตัวอย่างเอกสาร

### แนวปฏิบัติเพื่อกำหนดค่าเริ่มต้นที่คุ้มครองความเป็นส่วนตัว (3 ด้าน)

**1. การจำกัดข้อมูลให้น้อยที่สุด**
- ออกแบบแบบฟอร์ม/ระบบให้เก็บเฉพาะข้อมูลที่จำเป็นตามหลักเท่าที่ต้องรู้
- หลีกเลี่ยงการขอข้อมูลที่ไม่เกี่ยวข้อง เช่น วันเกิด เลขบัตรประจำตัวประชาชน เว้นแต่มีเหตุผลชัดเจนและชอบด้วยกฎหมาย
- ใช้ฟิลด์ "ไม่บังคับ" ให้ชัดเจน และทบทวนแบบฟอร์ม/ระบบเป็นระยะเพื่อคัดกรองข้อมูลที่ไม่จำเป็นออก
- ตัวอย่าง: ระบบสมัครสมาชิกควรเก็บเพียงชื่อ-นามสกุลและอีเมล ไม่จำเป็นต้องเก็บข้อมูลสุขภาพ เว้นแต่ระบบที่เกี่ยวกับการแพทย์

**2. การจำกัดวัตถุประสงค์การใช้งาน**
- ระบุวัตถุประสงค์ของการเก็บข้อมูลอย่างชัดเจนในคำประกาศความเป็นส่วนตัว
- ห้ามใช้ข้อมูลเพื่อวัตถุประสงค์อื่นที่ไม่สอดคล้องกับวัตถุประสงค์เดิม เว้นแต่ขอความยินยอมใหม่
- แยกข้อมูลตามวัตถุประสงค์ (ฐานข้อมูลลูกค้า / พนักงาน / ผู้สมัครงาน) และควบคุมการเข้าถึงให้ตรงกับบทบาท
- ตัวอย่าง: ข้อมูลผู้สมัครงานที่ไม่ผ่านการคัดเลือกต้องไม่ถูกนำไปใช้เพื่อการตลาด เว้นแต่ได้รับความยินยอมใหม่

**3. การทำข้อมูลแฝง**
- ใช้รหัสแทนข้อมูลระบุตัวบุคคลจริงในการประมวลผลภายใน
- แยกตาราง/ไฟล์ข้อมูลหลักที่ระบุตัวบุคคลได้ ออกจากข้อมูลที่ใช้วิเคราะห์ เพื่อป้องกันการย้อนกลับ
- กำหนดให้เฉพาะผู้มีอำนาจเท่านั้นที่เชื่อมข้อมูลกลับไปยังตัวบุคคลได้ และใช้การเข้ารหัสร่วมกับการควบคุมสิทธิ์
- ตัวอย่าง: การวิจัยสุขภาพพนักงานควรใช้รหัสประจำตัวแทนชื่อ และตัดข้อมูลระบุตัวบุคคลออกก่อนส่งให้ทีมวิเคราะห์

**การควบคุมและติดตาม** — จัดทำการประเมินผลกระทบด้านการคุ้มครองข้อมูล ([การประเมินผลกระทบด้านการคุ้มครองข้อมูลส่วนบุคคล (DPIA)](https://link.pdpalawbase.com/concept/dpia.md)) ก่อนพัฒนาระบบที่เก็บข้อมูลส่วนบุคคล · [เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล (DPO)](https://link.pdpalawbase.com/concept/dpo.md)หรือคณะทำงานตรวจสอบการปฏิบัติตามแนวทาง · อบรมพนักงานทุกฝ่ายอย่างต่อเนื่อง

### ตัวอย่างระบบเทคโนโลยีสารสนเทศที่รองรับ

- **การจำกัดข้อมูลให้น้อยที่สุด** — แบบฟอร์มอิเล็กทรอนิกส์ระบุฟิลด์จำเป็น/ทางเลือก ปิดช่องกรอกที่ไม่เกี่ยวข้อง ผ่านการตรวจสอบโดย DPO ก่อนใช้งานจริง และแจ้งเตือนเมื่อเพิ่มฟิลด์ใหม่ที่อาจละเมิดหลักการ
- **การจำกัดวัตถุประสงค์** — แยกฐานข้อมูลตามประเภทผู้ใช้งาน ควบคุมการเข้าถึงตามบทบาท และกำกับด้วยป้ายวัตถุประสงค์ของข้อมูลแต่ละชุด
- **การทำข้อมูลแฝง** — แยกข้อมูลระบุตัวตนออกจากข้อมูลที่ใช้ประมวลผล ใช้รหัสแทน และเก็บการจับคู่รหัสกับข้อมูลจริงไว้ในที่ปลอดภัยซึ่งจำกัดสิทธิ์เข้าถึงสูงสุด
- **การควบคุมและประเมินผล** — DPO ตรวจสอบระบบทุก 6 เดือน · ทำการประเมินผลกระทบและทดสอบการจำกัดข้อมูลทุกครั้งที่อัปเดตระบบ · อบรมพนักงานประจำปีพร้อมแบบทดสอบ

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/3-4-2.md

============================================================
โนด: แนวปฏิบัติ 3.4.3
ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/3-4-3.md

# 3.4.3 องค์กรมีนโยบายคุ้มครองข้อมูลส่วนบุคคลของกลุ่มเปราะบาง

องค์กรต้องจัดให้มีนโยบายและแนวปฏิบัติสำหรับข้อมูลส่วนบุคคลของกลุ่มคนที่เปราะบาง เช่น เด็ก เยาวชน ผู้พิการ ให้ได้รับการป้องกันเป็นพิเศษ

## สิ่งที่ต้องทำ

จัดทำนโยบายและแนวปฏิบัติเฉพาะสำหรับการเก็บ ใช้ และเปิดเผยข้อมูลส่วนบุคคลของกลุ่มเปราะบางอย่างเหมาะสม โดยให้ความระมัดระวังเป็นพิเศษ พร้อมเครื่องมือประเมินและแบบฟอร์มขอความยินยอมที่เกี่ยวข้อง

## หลักฐาน

1. นโยบายการคุ้มครองข้อมูลส่วนบุคคลของกลุ่มเปราะบาง
2. รายการตรวจสอบการประเมินกลุ่มเปราะบาง
3. แบบฟอร์มขอความยินยอมจากผู้ปกครองสำหรับการประมวลผลข้อมูลส่วนบุคคลของเด็ก

## สภาพบังคับ

ไม่มีกฎหมายบังคับเฉพาะ — เป็นแนวปฏิบัติที่ดีในการคุ้มครองกลุ่มเปราะบางตามแนวทางสากลและพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 (กรณีข้อมูลเด็ก/ผู้เยาว์ การขอความยินยอมต้องดำเนินการผ่านผู้ใช้อำนาจปกครอง)

## ตัวอย่างเอกสาร

### นโยบายการคุ้มครองข้อมูลส่วนบุคคลของกลุ่มเปราะบาง

**คำนิยาม** — "กลุ่มเปราะบาง" หมายถึงบุคคลที่อาจไม่สามารถใช้สิทธิคุ้มครองข้อมูลของตนเองได้อย่างเต็มที่ หรือมีความสัมพันธ์กับองค์กรที่ไม่สมดุล เช่น เด็ก (อายุต่ำกว่า 18 ปี) · ผู้สูงอายุ · ผู้พิการ · ผู้มีข้อจำกัดด้านร่างกาย จิตใจ หรือสติปัญญา · ผู้ลี้ภัย/ผู้อพยพ · ผู้ป่วยในสถานพยาบาล · ลูกจ้างในความสัมพันธ์ที่อำนาจไม่สมดุล · ผู้ต้องขัง · ผู้ขาดโอกาสหรือความรู้ในการปกป้องสิทธิ · บุคคลที่ถูกบังคับให้ให้ข้อมูล

**แนวปฏิบัติเฉพาะ**
- **เด็ก** — ขอความยินยอมจากผู้ปกครองก่อนเก็บข้อมูล · ใช้ภาษาที่เหมาะกับระดับอายุ · หลีกเลี่ยงการเก็บข้อมูลที่ไม่จำเป็น
- **ผู้สูงอายุ / ผู้พิการ / ผู้มีข้อจำกัด** — แจ้งนโยบายด้วยภาษาที่เข้าใจง่าย · มีขั้นตอนยืนยันสิทธิของตัวแทนทางกฎหมายที่ชัดเจน
- **ผู้ลี้ภัย / ผู้อพยพ / ผู้ขาดความรู้** — ใช้ภาษาท้องถิ่นหรือจัดล่ามแปล · เน้นความเข้าใจสิทธิในการถอนความยินยอม
- **ผู้ป่วย / ผู้ต้องขัง / ผู้มีสถานะไม่สมดุล** — ห้ามใช้ความยินยอมเป็นฐานทางกฎหมาย เว้นแต่พิสูจน์ได้ว่าเป็นความยินยอมโดยเสรีอย่างแท้จริง ส่งเสริมการใช้ฐานประโยชน์สาธารณะหรือหน้าที่ตามกฎหมายแทน

**มาตรการคุ้มครองเพิ่มเติม** — จำกัดการเข้าถึงข้อมูลเฉพาะผู้มีหน้าที่โดยตรง · ทำข้อมูลแฝงทุกครั้งที่ทำได้ · มี[เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล (DPO)](https://link.pdpalawbase.com/concept/dpo.md)หรือเจ้าหน้าที่เฉพาะทางให้คำปรึกษา · อบรมเจ้าหน้าที่ให้ตระหนักถึงความเสี่ยง · จัดทำการประเมินผลกระทบด้านการคุ้มครองข้อมูล ([การประเมินผลกระทบด้านการคุ้มครองข้อมูลส่วนบุคคล (DPIA)](https://link.pdpalawbase.com/concept/dpia.md)) ทุกกรณีที่ประมวลผลข้อมูลกลุ่มเปราะบาง · ทบทวนนโยบายอย่างน้อยปีละ 1 ครั้ง

### รายการตรวจสอบการประเมินกลุ่มเปราะบาง

ใช้ประเมินก่อนเก็บ ใช้ หรือเปิดเผยข้อมูลว่าเจ้าของข้อมูลเข้าข่ายกลุ่มเปราะบางหรือไม่ — หากเข้าข่ายตั้งแต่ 1 ข้อ ต้องมีมาตรการคุ้มครองพิเศษ (ขอความยินยอมโดยชัดแจ้ง · อธิบายนโยบายให้เข้าใจง่าย · ลดปริมาณข้อมูล · ทำข้อมูลแฝงหรือนิรนาม · ถอนความยินยอมได้ง่าย) และหากเข้าข่ายมากกว่า 3 ข้อ ต้องทำการประเมินผลกระทบ ([การประเมินผลกระทบด้านการคุ้มครองข้อมูลส่วนบุคคล (DPIA)](https://link.pdpalawbase.com/concept/dpia.md)) อย่างเคร่งครัด

### แบบฟอร์มขอความยินยอมจากผู้ปกครองสำหรับข้อมูลของเด็ก

โครงสร้างแบบฟอร์ม: ข้อมูลพื้นฐานองค์กรและ[เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล (DPO)](https://link.pdpalawbase.com/concept/dpo.md) · คำนำและวัตถุประสงค์ · ข้อมูลเกี่ยวกับเด็กและผู้ปกครอง · ประเภทข้อมูลที่จะเก็บ · วัตถุประสงค์การใช้ข้อมูล · ระยะเวลาการเก็บรักษา (เช่น ข้อมูลทั่วไปไม่เกิน 5 ปี ข้อมูลสุขภาพไม่เกิน 1 ปี ภาพถ่าย/วิดีโอประชาสัมพันธ์ไม่เกิน 3 ปี) · [สิทธิของเจ้าของข้อมูลส่วนบุคคล](https://link.pdpalawbase.com/concept/data-subject-rights.md)ของผู้ปกครอง (รับทราบ เข้าถึง แก้ไข ลบ จำกัดการใช้ คัดค้าน ย้ายข้อมูล และถอนความยินยอม) · การลงลายมือชื่อรับทราบและยินยอม

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/3-4-3.md

============================================================
โนด: แนวปฏิบัติ 5.1.1
ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/5-1-1.md

# 5.1.1 พนักงานได้รับการฝึกอบรมเฉพาะทางเพื่อจัดการคำขอ รวมถึงการฝึกอบรมเพิ่มเติมอย่างสม่ำเสมอ

## สิ่งที่ต้องทำ

มีการจัดอบรมเฉพาะทางให้พนักงานผู้มีหน้าที่ในการดำเนินการต่อคำขอใช้[สิทธิของเจ้าของข้อมูลส่วนบุคคล](https://link.pdpalawbase.com/concept/data-subject-rights.md) นอกจากการอบรมครั้งแรกแล้ว ควรกำหนดให้มีการอบรมเพิ่มเติมอย่างสม่ำเสมอ เพื่อทบทวนแนวทางการตอบสนองคำขอ ทบทวนกรณีศึกษาใหม่ และปรับปรุงการตีความตามคำวินิจฉัยหรือแนวทางปฏิบัติของสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล

## หลักฐาน

1. เอกสารแสดงบุคลากรหรือกลุ่มงานที่ทำงานในส่วนดำเนินการต่อคำขอใช้สิทธิของเจ้าของข้อมูลส่วนบุคคล พร้อมเอกสารแสดงการฝึกอบรมเฉพาะทางแก่พนักงานผู้ดำเนินการต่อคำขอ

## สภาพบังคับ

[มาตรา 37](https://link.pdpalawbase.com/section/37.md) (1) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 — กำหนดให้ผู้ควบคุมข้อมูลส่วนบุคคลจัดให้มีมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสม

ประกอบกับประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง มาตรการรักษาความมั่นคงปลอดภัยของผู้ควบคุมข้อมูลส่วนบุคคล พ.ศ. 2565 ข้อ 4 (7) ที่กำหนดให้มีการสร้างเสริมความตระหนักรู้และการฝึกอบรมแก่บุคลากรที่เกี่ยวข้อง

## ตัวอย่างเอกสาร

### เอกสารแสดงบุคลากรผู้ดำเนินการต่อคำขอใช้สิทธิ

- **ชื่อองค์กร:** [ชื่อองค์กรของคุณ]
- **หน่วยงานที่รับผิดชอบ:** [ระบุหน่วยงาน เช่น ฝ่ายทรัพยากรบุคคล / ฝ่ายทะเบียนนักศึกษา / ฝ่ายบัตรสมาชิก]
- **วันที่จัดทำเอกสาร:** [ระบุวันที่]

**รายชื่อบุคลากรผู้มีหน้าที่ดำเนินการต่อคำขอใช้สิทธิ**

1. นายสุรศักดิ์ รัตนพงศ์ — เจ้าหน้าที่ทะเบียนนักศึกษา (ฝ่ายทะเบียน) — surasak.r@org.ac.th — หัวหน้ากลุ่มงานข้อมูล
2. นางสาวพิมพ์ชนก แสงทอง — เจ้าหน้าที่ฝ่ายบุคคล (ฝ่ายทรัพยากรบุคคล) — pim.hanok.s@org.ac.th — ดูแลสิทธิพนักงาน
3. นายอดิศักดิ์ ศรีโสภา — เจ้าหน้าที่ดูแลระบบสมาชิก (ฝ่ายบัตรสมาชิก) — adisak.s@org.ac.th — รับผิดชอบข้อมูลสมาชิก

### รายละเอียดการฝึกอบรมเฉพาะทาง

- **ชื่อหลักสูตร:** การจัดการคำขอใช้สิทธิของเจ้าของข้อมูลส่วนบุคคลอย่างถูกต้องและปลอดภัย
- **ผู้จัดอบรม:** [ชื่อองค์กร เช่น สำนักงาน DPO / แผนกกฎหมายองค์กร / ผู้ให้บริการอบรมภายนอก]
- **รูปแบบการอบรม:** ในสถานที่ / ออนไลน์ / เรียนรู้ด้วยตนเอง
- **ระยะเวลาอบรม:** 1 วัน (6 ชั่วโมง)
- **วัน/เวลาอบรม:** 20 มีนาคม 2568 เวลา 09.00–16.00 น.
- **วิทยากร:** นายนพเก้า พัฒนานุกูล (ผู้เชี่ยวชาญด้านกฎหมายคุ้มครองข้อมูลส่วนบุคคล)

**เนื้อหาครอบคลุม:**

- ภาพรวมของสิทธิของเจ้าของข้อมูลตามกฎหมาย
- กระบวนการตอบสนองคำขอ (เช่น ขอเข้าถึง/แก้ไข/ลบ/คัดค้าน/โอนย้ายข้อมูล)
- วิธีการยืนยันตัวตนผู้ร้อง
- การจัดเก็บบันทึกการใช้สิทธิ
- การประสานงานกับเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล
- ระยะเวลาและรูปแบบการตอบกลับตามข้อกฎหมาย
- แนวปฏิบัติเมื่อต้องปฏิเสธคำขอ
- การบริหารความเสี่ยงจากคำขอที่ซับซ้อนหรือประสงค์ร้าย

### รายชื่อผู้เข้าร่วมอบรมและผลการอบรม

1. นายสุรศักดิ์ รัตนพงศ์ — ผ่าน — ขอเอกสารแนวทางสรุปในรูปภาพประกอบ
2. นางสาวพิมพ์ชนก แสงทอง — ผ่าน — อยากให้มีกรณีศึกษาจริงมากขึ้น
3. นายอดิศักดิ์ ศรีโสภา — ผ่าน — สนใจอบรมซ้ำใน 6 เดือนข้างหน้า

### แนวทางการอบรมต่อเนื่อง

องค์กรกำหนดให้มีการอบรมซ้ำทุก 12 เดือน เพื่อทบทวนแนวทางการตอบสนองคำขอใช้สิทธิ โดยมีการประเมินกรณีศึกษาใหม่ และปรับปรุงการตีความตามคำวินิจฉัยหรือแนวทางปฏิบัติของสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล

**เอกสารประกอบ (ถ้ามี):** เอกสารประกอบการอบรม, คู่มือการตอบคำขอใช้สิทธิ, แบบทดสอบหลังการอบรม, แบบประเมินความพึงพอใจจากผู้เข้าอบรม

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/5-1-1.md

============================================================
โนด: แนวปฏิบัติ 5.1.2
ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/5-1-2.md

# 5.1.2 มีบุคคลหรือคณะทำงานเฉพาะที่มีหน้าที่รับผิดชอบในการจัดการและตอบสนองต่อคำขอใช้สิทธิ

## สิ่งที่ต้องทำ

จัดให้มีบุคคลหรือคณะทำงานเฉพาะที่มีหน้าที่รับผิดชอบในการจัดการและตอบสนองต่อคำขอใช้สิทธิตามกฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคล โดยอาจเป็น[เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล (DPO)](https://link.pdpalawbase.com/concept/dpo.md) หรือกลุ่มงานด้านกฎหมาย หรือกลุ่มงานอื่นที่เหมาะสม พร้อมทั้งกำหนดวิธีการจัดการคำขอและการส่งต่อคำขอไปยังหน่วยงานหรือผู้รับผิดชอบที่เกี่ยวข้องอย่างถูกต้อง โปร่งใส และตรวจสอบได้

## หลักฐาน

1. เอกสารหรือคู่มือที่แนะนำเกี่ยวกับวิธีการจัดการคำขอใช้สิทธิและการส่งต่อคำขอใช้สิทธิ พร้อมหลักฐานการฝึกอบรมบุคลากรที่ได้รับมอบหมาย

## สภาพบังคับ

ไม่มีกฎหมายบังคับ

## ตัวอย่างเอกสาร

### เอกสารหลักฐานการฝึกอบรม "แนวทางการจัดการคำขอใช้สิทธิและการส่งต่อคำขอใช้สิทธิของเจ้าของข้อมูลส่วนบุคคล"

**1. ความเป็นมาและวัตถุประสงค์**

พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 กำหนดให้เจ้าของข้อมูลส่วนบุคคลมีสิทธิหลายประการ เช่น สิทธิในการเข้าถึงข้อมูล ขอรับสำเนา ขอให้ลบหรือระงับการใช้ข้อมูล สิทธิในการคัดค้านการประมวลผล และสิทธิในการเพิกถอนความยินยอม หน่วยงานจึงจัดให้มีการฝึกอบรมแนะนำเพื่อสร้างความเข้าใจแก่บุคลากรที่ได้รับมอบหมายให้ปฏิบัติหน้าที่ในการจัดการและตอบสนองต่อคำขอใช้สิทธิ รวมถึงการส่งต่อคำขอไปยังผู้รับผิดชอบที่เกี่ยวข้อง

**วัตถุประสงค์ของการฝึกอบรม:**

1. เพื่อให้ผู้เข้าร่วมอบรมเข้าใจหลักสิทธิของเจ้าของข้อมูลส่วนบุคคลตามกฎหมาย
2. เพื่อให้เข้าใจขั้นตอน วิธีการ และระยะเวลาในการจัดการคำขอใช้สิทธิ
3. เพื่อให้บุคลากรสามารถส่งต่อคำขออย่างถูกต้องและเป็นระบบ
4. เพื่อให้หน่วยงานสามารถจัดเก็บบันทึกการดำเนินการตามคำขอได้อย่างครบถ้วน เพื่อใช้เป็นหลักฐานการปฏิบัติตามกฎหมาย

### รายละเอียดการฝึกอบรม

- **ชื่อหลักสูตร:** การจัดการคำขอใช้สิทธิและการส่งต่อคำขอใช้สิทธิของเจ้าของข้อมูลส่วนบุคคล
- **วัน/เวลาอบรม:** วันที่ …………… เวลา ……………–…………… น.
- **สถานที่จัดอบรม:** ห้องประชุม ……………
- **รูปแบบการอบรม:** บรรยายเชิงปฏิบัติการ พร้อมกิจกรรมจำลองการรับคำขอและการส่งต่อคำขอจริง
- **กลุ่มเป้าหมาย:** เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล, เจ้าหน้าที่ฝ่ายกฎหมาย, เจ้าหน้าที่ฝ่ายเทคโนโลยีสารสนเทศ, เจ้าหน้าที่ฝ่ายบุคคล และผู้ที่เกี่ยวข้อง
- **ผู้รับผิดชอบการจัดอบรม:** คณะทำงานบริหารจัดการคำขอใช้สิทธิของเจ้าของข้อมูลส่วนบุคคล
- **วิทยากร:** ……………… (เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล หรือผู้เชี่ยวชาญด้านการคุ้มครองข้อมูล)

### หัวข้อการฝึกอบรม

1. **ภาพรวมของสิทธิของเจ้าของข้อมูลส่วนบุคคลตามกฎหมาย** — สิทธิในการเข้าถึง แก้ไข ลบหรือทำลาย ระงับการประมวลผล คัดค้านการประมวลผล และเพิกถอนความยินยอม
2. **กระบวนการจัดการคำขอใช้สิทธิ** — ขั้นตอนการรับคำขอและตรวจสอบเอกสาร, การยืนยันตัวตนของผู้ยื่นคำขอ, การตรวจสอบขอบเขตของคำขอและฐานทางกฎหมาย, การพิจารณาและตัดสินใจภายใน 30 วัน, การตอบกลับผลแก่เจ้าของข้อมูล
3. **แนวทางการส่งต่อคำขอใช้สิทธิภายในหน่วยงาน** — หลักเกณฑ์การส่งต่อคำขอไปยังหน่วยงานที่ถือครองข้อมูล, วิธีการส่งต่ออย่างปลอดภัย, การติดตามผลและบันทึกการดำเนินการ
4. **กรณีศึกษาจริงและสถานการณ์จำลอง** — ตัวอย่างคำขอในบริบทต่าง ๆ, วิธีการประเมินความเหมาะสมของคำขอ, การปฏิเสธคำขออย่างมีเหตุผลและตามกฎหมาย
5. **การจัดเก็บหลักฐานและการตรวจสอบย้อนหลัง** — การบันทึกแบบฟอร์มคำขอ, การจัดเก็บเอกสารตอบกลับ, การจัดเก็บรายงานประจำปีเกี่ยวกับคำขอใช้สิทธิ

### เอกสารและหลักฐานแนบ

1. แบบฟอร์มคำขอใช้สิทธิของเจ้าของข้อมูลส่วนบุคคล
2. เอกสารประกอบการอบรม / คู่มือการปฏิบัติ
3. รายชื่อผู้เข้าร่วมอบรม
4. แบบประเมินผลการอบรมก่อนและหลังการฝึกอบรม
5. ภาพถ่ายกิจกรรมการฝึกอบรม
6. รายงานสรุปผลการอบรม

ลงชื่อ ................................................. (.................................................) ตำแหน่ง ................................................. ผู้จัดอบรม / ประธานคณะทำงานบริหารจัดการคำขอใช้สิทธิ วันที่ ………………………

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/5-1-2.md

============================================================
โนด: แนวปฏิบัติ 5.1.3
ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/5-1-3.md

# 5.1.3 องค์กรจัดสรรทรัพยากรอย่างเพียงพอเพื่อจัดการกับคำขอใช้สิทธิ เช่น แบบฟอร์มหรือระบบเทคโนโลยีสารสนเทศ

## สิ่งที่ต้องทำ

จัดสรรทรัพยากรอย่างเพียงพอเพื่อจัดการกับคำขอใช้สิทธิตามกฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคล โดยมีแบบฟอร์มและระบบเทคโนโลยีสารสนเทศที่รองรับการจัดการข้อเรียกร้องหรือการขอใช้[สิทธิของเจ้าของข้อมูลส่วนบุคคล](https://link.pdpalawbase.com/concept/data-subject-rights.md)ได้อย่างสะดวก ปลอดภัย และตรวจสอบได้

## หลักฐาน

1. เอกสารแบบฟอร์มต่าง ๆ ในการขอใช้สิทธิตามกฎหมายของเจ้าของข้อมูลส่วนบุคคล
2. ระบบเทคโนโลยีสารสนเทศเพื่อดำเนินการต่อข้อเรียกร้องหรือคำขอใช้สิทธิ

## สภาพบังคับ

ไม่มีกฎหมายบังคับ

## ตัวอย่างเอกสาร

### แบบฟอร์มการขอใช้สิทธิของเจ้าของข้อมูล

**แบบคำขอใช้สิทธิของเจ้าของข้อมูลส่วนบุคคล** เลขที่แบบฟอร์ม DPR-01

แนวทางการยื่นคำขอ:

- ส่งทางอีเมล: dataprivacy@org.ac.th
- ส่งแบบฟอร์มผ่านระบบออนไลน์ [ลิงก์ระบบ]
- ยื่นด้วยตนเองที่สำนักงานฝ่ายบัตรสมาชิก

### ระบบเทคโนโลยีสารสนเทศเพื่อจัดการคำขอใช้สิทธิ

**1. ความเป็นมาและวัตถุประสงค์**

กฎหมายกำหนดให้เจ้าของข้อมูลส่วนบุคคลมีสิทธิในการเข้าถึง ขอรับสำเนา ลบ ระงับ หรือคัดค้านการประมวลผลข้อมูล รวมถึงสิทธิในการเพิกถอนความยินยอม และสิทธิอื่นที่เกี่ยวข้อง องค์กรจึงจัดให้มีระบบเทคโนโลยีสารสนเทศที่รองรับการยื่นคำขอและการติดตามผลได้อย่างปลอดภัย ตรวจสอบได้ และสอดคล้องกับมาตรการคุ้มครองข้อมูลส่วนบุคคล เพื่อสร้างหลักฐานเชิงดิจิทัลสำหรับการตรวจสอบภายหลัง และแสดงถึงการจัดสรรทรัพยากรที่เพียงพอ

**2. ขอบเขตของระบบ**

- การรับคำขอใช้สิทธิผ่านแบบฟอร์มอิเล็กทรอนิกส์
- การตรวจสอบและยืนยันตัวตนของผู้ยื่นคำขอ
- การบันทึกการดำเนินการของเจ้าหน้าที่แต่ละขั้นตอน
- การส่งต่อคำขอไปยังหน่วยงานที่เกี่ยวข้อง
- การแจ้งผลการพิจารณาคำขอและจัดเก็บหลักฐานแบบดิจิทัล

ระบบใช้งานได้ทั้งภายในเครือข่ายองค์กรและผ่านระบบออนไลน์ โดยใช้มาตรการรักษาความมั่นคงปลอดภัยตามมาตรฐานสากล

**3. องค์ประกอบของระบบ**

- **ระบบรับคำขอใช้สิทธิ** — ช่องทางหลักให้เจ้าของข้อมูลยื่นคำขอผ่านแบบฟอร์มออนไลน์ มีการตรวจสอบความครบถ้วนของข้อมูลบังคับ การแนบเอกสารยืนยันตัวตนแบบเข้ารหัส และการยืนยันตัวตนผ่านอีเมลหรือโทรศัพท์
- **ระบบจัดการภายในของเจ้าหน้าที่** — เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลหรือคณะทำงานที่ได้รับมอบหมายตรวจสอบและยืนยันความถูกต้องของคำขอ บันทึกการพิจารณา ส่งต่อคำขอไปยังหน่วยงานที่เกี่ยวข้อง ติดตามสถานะ และสร้างรายงานสรุป
- **ระบบบันทึกและตรวจสอบย้อนหลัง** — ทุกการดำเนินการถูกบันทึกโดยอัตโนมัติพร้อมเวลาและลายมือชื่อดิจิทัล เพื่อใช้เป็นหลักฐานการปฏิบัติตามกฎหมาย
- **ระบบแจ้งผลและสื่อสารกับเจ้าของข้อมูล** — ส่งอีเมลหรือข้อความแจ้งผลโดยอัตโนมัติเมื่อมีการอัปเดตสถานะ เช่น รับคำขอแล้ว อยู่ระหว่างพิจารณา ดำเนินการแล้วเสร็จ หรือปฏิเสธคำขอพร้อมเหตุผล

**4. มาตรการรักษาความมั่นคงปลอดภัยของระบบ**

- การเข้ารหัสข้อมูลทั้งขณะรับส่งและจัดเก็บ
- การยืนยันตัวตนแบบหลายชั้นสำหรับเจ้าหน้าที่
- การจำกัดสิทธิการเข้าถึงตามบทบาท
- การสำรองข้อมูลประจำวันและการกู้คืนข้อมูล
- การตรวจสอบและทดสอบช่องโหว่ระบบประจำปี
- การเก็บรักษาข้อมูลการดำเนินการตามระยะเวลาที่กฎหมายกำหนด

**5. ขั้นตอนการดำเนินการของระบบ**

- เจ้าของข้อมูลกรอกแบบฟอร์มคำขอออนไลน์และแนบเอกสารยืนยันตัวตน
- ระบบออกหมายเลขอ้างอิงอัตโนมัติและส่งแจ้งไปยังอีเมลผู้ยื่นคำขอ
- เจ้าหน้าที่ตรวจสอบคำขอภายใน 3 วันทำการ
- หากคำขอครบถ้วน ระบบส่งต่อให้หน่วยงานเจ้าของข้อมูลพิจารณาภายใน 30 วัน
- เมื่อหน่วยงานตอบกลับผล ระบบจัดส่งแจ้งผลอัตโนมัติแก่ผู้ยื่นคำขอ
- ระบบบันทึกการดำเนินงานทั้งหมดเพื่อใช้เป็นหลักฐานการตรวจสอบ

ลงชื่อ ................................................. (.................................................) ตำแหน่ง ................................................. ผู้รับผิดชอบระบบเทคโนโลยีสารสนเทศเพื่อการจัดการคำขอใช้สิทธิ วันที่ ………………………

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/5-1-3.md

============================================================
โนด: แนวปฏิบัติ 5.1.4
ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/5-1-4.md

# 5.1.4 กรณีผู้รับผิดชอบด้านคำขอใช้สิทธิไม่สามารถปฏิบัติหน้าที่ได้ องค์กรจัดให้มีพนักงานคนอื่นหรือระบบเทคโนโลยีทำหน้าที่แทนได้

## สิ่งที่ต้องทำ

จัดให้มีพนักงานสำรองหรือมีระบบเทคโนโลยีปฏิบัติหน้าที่ทดแทนต่อการจัดการคำขอใช้[สิทธิของเจ้าของข้อมูลส่วนบุคคล](https://link.pdpalawbase.com/concept/data-subject-rights.md)ในกรณีที่ผู้รับผิดชอบหลักไม่สามารถปฏิบัติหน้าที่ได้ เพื่อให้การดำเนินงานเป็นไปอย่างต่อเนื่องไม่สะดุดและไม่เกิดความล่าช้า

## หลักฐาน

1. คู่มือการปฏิบัติงานแทนในกรณีที่ผู้รับผิดชอบด้านคำขอใช้สิทธิไม่สามารถปฏิบัติหน้าที่ได้
2. คำสั่งมอบหมายการปฏิบัติหน้าที่แทนกรณีผู้รับผิดชอบไม่สามารถปฏิบัติหน้าที่ได้

## สภาพบังคับ

ไม่มีกฎหมายบังคับ

## ตัวอย่างเอกสาร

### คู่มือการปฏิบัติงานแทนกรณีผู้รับผิดชอบคำขอใช้สิทธิไม่สามารถปฏิบัติหน้าที่ได้

**วัตถุประสงค์:** เพื่อให้การจัดการคำขอใช้สิทธิของเจ้าของข้อมูลส่วนบุคคลดำเนินต่อเนื่องอย่างไม่มีสะดุด กรณีผู้รับผิดชอบหลักไม่สามารถปฏิบัติหน้าที่ได้

**ขั้นตอนการปฏิบัติ:**

- เมื่อผู้รับผิดชอบหลักแจ้งขาดงาน ลาหยุด หรือไม่สามารถปฏิบัติหน้าที่ได้ ให้แจ้งผู้บริหารฝ่ายบุคคลหรือเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลทราบโดยทันที
- ผู้บริหารฝ่ายบุคคลหรือเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลจะมอบหมายงานให้พนักงานสำรองที่ได้รับการฝึกอบรมและมีความรู้ด้านการคุ้มครองข้อมูลส่วนบุคคลดำเนินการแทน
- พนักงานสำรองจะได้รับสิทธิ์เข้าถึงระบบและข้อมูลที่จำเป็นเพื่อดำเนินการคำขอใช้สิทธิ
- หากมีระบบเทคโนโลยีสนับสนุน เช่น ระบบจัดการคำขออัตโนมัติ ระบบจะส่งคำขอไปยังผู้ปฏิบัติงานแทนโดยอัตโนมัติ
- พนักงานสำรองจัดการคำขอและรายงานผลการดำเนินงานให้ผู้บริหารฝ่ายบุคคลและเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลทราบตามระยะเวลาที่กำหนด
- เมื่อผู้รับผิดชอบหลักกลับมาปฏิบัติหน้าที่ ให้รายงานสรุปการดำเนินการในช่วงเวลาที่สำรองปฏิบัติหน้าที่แทน

**หมายเหตุ:** พนักงานสำรองต้องผ่านการฝึกอบรมและมีความเข้าใจในกฎหมายคุ้มครองข้อมูลส่วนบุคคล ควรมีการจัดทำบันทึกการมอบหมายงานและการฝึกอบรมเป็นหลักฐาน

### คำสั่งมอบหมายการปฏิบัติหน้าที่แทน

- **เลขที่คำสั่ง:** [หมายเลข]
- **วันที่:** [วัน/เดือน/ปี]
- **เรื่อง:** การมอบหมายการปฏิบัติหน้าที่แทนผู้รับผิดชอบด้านคำขอใช้สิทธิของเจ้าของข้อมูลส่วนบุคคล

ตามที่ [ชื่อผู้รับผิดชอบหลัก] ตำแหน่ง [ตำแหน่ง] ไม่สามารถปฏิบัติหน้าที่ด้านการจัดการคำขอใช้สิทธิของเจ้าของข้อมูลส่วนบุคคลได้ ตั้งแต่วันที่ [วัน/เดือน/ปี] ถึงวันที่ [วัน/เดือน/ปี] เพื่อให้การดำเนินการเป็นไปอย่างต่อเนื่องและไม่เกิดความล่าช้า จึงขอมอบหมายให้

- **ชื่อ:** [ชื่อผู้รับมอบหมาย]
- **ตำแหน่ง:** [ตำแหน่งผู้รับมอบหมาย]

ปฏิบัติหน้าที่แทนในด้านการจัดการคำขอใช้สิทธิของเจ้าของข้อมูลส่วนบุคคลตั้งแต่วันที่ [วัน/เดือน/ปี] เป็นต้นไป จนกว่าผู้รับผิดชอบหลักจะสามารถปฏิบัติหน้าที่ได้ตามปกติ ทั้งนี้ ผู้รับมอบหมายต้องปฏิบัติตามกฎหมายและนโยบายคุ้มครองข้อมูลส่วนบุคคลขององค์กรอย่างเคร่งครัด

ลงชื่อ ............................................... (ผู้มอบหมาย) ตำแหน่ง [ตำแหน่งผู้มอบหมาย]

ลงชื่อ ............................................... (ผู้รับมอบหมาย) ตำแหน่ง [ตำแหน่งผู้รับมอบหมาย]

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/5-1-4.md

============================================================
โนด: แนวปฏิบัติ 5.1.5
ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/5-1-5.md

# 5.1.5 องค์กรมีความสามารถในการจัดการกับคำขอที่เพิ่มขึ้นได้ หรือยังบริหารจัดการได้แม้มีการลดจำนวนพนักงานที่รับผิดชอบคำขอลง

## สิ่งที่ต้องทำ

มีแผนสำรองสนับสนุนในกรณีที่ต้องมีการจัดการคำขอใช้[สิทธิของเจ้าของข้อมูลส่วนบุคคล](https://link.pdpalawbase.com/concept/data-subject-rights.md)ที่เพิ่มขึ้น และพร้อมดำเนินการได้ทันที รวมถึงยังสามารถบริหารจัดการคำขอได้แม้มีการลดจำนวนพนักงานที่รับผิดชอบลง โดยอาศัยทั้งบุคลากรสำรองที่เตรียมพร้อมและระบบเทคโนโลยีที่ขยายขีดความสามารถได้

## หลักฐาน

1. เอกสารแสดงบุคลากรที่ทำงานในส่วนดำเนินการต่อข้อเรียกร้องขอใช้สิทธิของเจ้าของข้อมูลส่วนบุคคล
2. ระบบเทคโนโลยีเพื่อดำเนินการต่อข้อเรียกร้องหรือการขอใช้สิทธิของเจ้าของข้อมูลส่วนบุคคล

## สภาพบังคับ

ไม่มีกฎหมายบังคับ

## ตัวอย่างเอกสาร

### รายชื่อบุคลากรที่รับผิดชอบงานคำขอใช้สิทธิของเจ้าของข้อมูลส่วนบุคคล

1. นายสมชาย ใจดี — เจ้าหน้าที่คุ้มครองข้อมูล — รับคำขอและดำเนินการตอบสนองคำขอใช้สิทธิ — somchai@example.com — มีประสบการณ์ 3 ปี
2. นางสาวพรทิพย์ แก้วใส — เจ้าหน้าที่สำรอง — รองรับการปฏิบัติงานแทนในกรณีผู้รับผิดชอบหลักไม่ว่าง — porntip@example.com — ผ่านการฝึกอบรมด้านการคุ้มครองข้อมูลส่วนบุคคล
3. นายวิชัย เก่งงาน — เจ้าหน้าที่สนับสนุนระบบคำขอ — ดูแลระบบเทคโนโลยีสารสนเทศที่ใช้จัดการคำขอ — wichai@example.com — พร้อมช่วยเหลือกรณีคำขอเพิ่มขึ้น

**หมายเหตุ:** บุคลากรในส่วนนี้ได้รับการฝึกอบรมและมีความพร้อมในการรองรับคำขอที่เพิ่มขึ้น กรณีมีการลดจำนวนพนักงาน ยังมีบุคลากรสำรองที่ได้รับการเตรียมพร้อมไว้

### ระบบเทคโนโลยีเพื่อจัดการคำขอใช้สิทธิ

**ฟังก์ชันหลักของระบบ:**

- รับคำขอผ่านช่องทางออนไลน์และนอกระบบออนไลน์
- บันทึกคำขอและติดตามสถานะการดำเนินงานแบบเรียลไทม์
- แจ้งเตือนพนักงานที่รับผิดชอบเมื่อมีคำขอใหม่หรือใกล้ถึงกำหนดตอบกลับ
- รายงานสรุปจำนวนคำขอและเวลาตอบสนอง เพื่อการบริหารจัดการทรัพยากรอย่างมีประสิทธิภาพ
- มีระบบสำรองข้อมูลและสามารถรองรับคำขอจำนวนมากได้พร้อมกัน

**การรองรับการจัดการคำขอที่เพิ่มขึ้น:**

- ระบบสามารถขยายขีดความสามารถเพื่อตอบสนองคำขอที่เพิ่มขึ้นได้ทันที
- มีทีมเทคโนโลยีสารสนเทศคอยดูแลและสนับสนุนระบบตลอด 24 ชั่วโมง
- ระบบสามารถตั้งค่ามอบหมายงานอัตโนมัติและเพิ่มผู้ช่วยอัตโนมัติ เพื่อช่วยจัดการคำขอในช่วงที่มีปริมาณสูง

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/5-1-5.md

============================================================
โนด: แนวปฏิบัติ 5.1.6
ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/5-1-6.md

# 5.1.6 องค์กรมีกระบวนการเพื่อให้แน่ใจว่าบันทึกการเข้าระบบมีความถูกต้องและได้รับการปรับปรุงให้เป็นปัจจุบันตามความเหมาะสม

## สิ่งที่ต้องทำ

องค์กรต้องมีกระบวนการในการบันทึกการเข้าระบบด้วยระบบเทคโนโลยีสารสนเทศตามมาตรฐานขั้นต่ำที่เป็นที่ยอมรับ เพื่อให้แน่ใจว่าบันทึกการเข้าระบบมีความถูกต้อง ครบถ้วน และได้รับการปรับปรุงให้เป็นปัจจุบันอย่างสม่ำเสมอ

## หลักฐาน

1. เอกสารกระบวนการบันทึกการเข้าระบบ
2. ระบบเทคโนโลยีสารสนเทศที่ใช้บันทึกการเข้าระบบ

## สภาพบังคับ

ไม่มีกฎหมายบังคับ

## ตัวอย่างเอกสาร

### เอกสารกระบวนการบันทึกการเข้าระบบ

**ชื่อเอกสาร:** กระบวนการบันทึกและตรวจสอบการเข้าระบบ
**รหัสเอกสาร:** IT-SOP-LOG-001
**เวอร์ชัน:** 1.0
**วันที่บังคับใช้:** 1 มิถุนายน 2568
**จัดทำโดย:** ฝ่ายเทคโนโลยีสารสนเทศ

**วัตถุประสงค์** — เพื่อกำหนดกระบวนการในการบันทึกและตรวจสอบการเข้าถึงระบบสารสนเทศขององค์กร ให้แน่ใจว่าบันทึกการเข้าระบบมีความถูกต้องและได้รับการปรับปรุงอย่างสม่ำเสมอ

**ขอบเขต** — ครอบคลุมระบบสารสนเทศทุกระบบที่ใช้ในองค์กร รวมถึงระบบฐานข้อมูล ระบบแอปพลิเคชัน และระบบเครือข่าย

**ขั้นตอนปฏิบัติ**

- การบันทึก — ระบบเทคโนโลยีสารสนเทศทุกระบบต้องเปิดใช้งานการบันทึกข้อมูลการเข้าและออกจากระบบของผู้ใช้ โดยบันทึกรายละเอียดอย่างน้อย ได้แก่ ชื่อผู้ใช้ เวลาเข้าและออกระบบ ที่อยู่ไอพีของอุปกรณ์ และกิจกรรมที่เกี่ยวข้อง
- การตรวจสอบ — ฝ่ายเทคโนโลยีสารสนเทศต้องตรวจสอบบันทึกอย่างน้อยเดือนละครั้ง เพื่อวิเคราะห์ความผิดปกติหรือการเข้าถึงที่ไม่ได้รับอนุญาต และจัดเก็บบันทึกไว้อย่างปลอดภัยพร้อมสำรองข้อมูลตามนโยบายขององค์กร
- การปรับปรุงและบำรุงรักษา — อัปเดตระบบบันทึกตามเทคโนโลยีใหม่และมาตรฐานความปลอดภัยที่เหมาะสมอย่างน้อยปีละ 1 ครั้ง โดยฝ่ายเทคโนโลยีสารสนเทศรับผิดชอบตรวจสอบและปรับปรุงให้เป็นปัจจุบันอยู่เสมอ

**ผู้รับผิดชอบ** — ฝ่ายเทคโนโลยีสารสนเทศดูแลระบบบันทึก และผู้จัดการฝ่ายตรวจสอบรายงานพร้อมอนุมัติการดำเนินการที่เกี่ยวข้อง

### ตัวอย่างบันทึกการเข้าระบบ

| วันที่/เวลา | ชื่อผู้ใช้ | กิจกรรม | ที่อยู่ไอพี | หมายเหตุ |
|---|---|---|---|---|
| 2025-06-02 09:15:23 | user001 | เข้าสู่ระบบ | 192.168.1.101 | เข้าสู่ระบบสำเร็จ |
| 2025-06-02 09:45:10 | user002 | ออกจากระบบ | 192.168.1.102 | ออกจากระบบปกติ |
| 2025-06-02 10:05:47 | admin01 | เข้าสู่ระบบล้มเหลว | 192.168.1.103 | รหัสผ่านไม่ถูกต้อง |
| 2025-06-02 10:15:30 | user001 | เข้าถึงไฟล์ | 192.168.1.101 | เปิดไฟล์เอกสารสำคัญ |

### ระบบเทคโนโลยีสารสนเทศที่ใช้บันทึกการเข้าระบบ

- ระบบบริหารจัดการเครือข่ายที่มีฟังก์ชันบันทึกและรายงานการเข้าระบบ
- ระบบจัดการสิทธิ์ผู้ใช้งานที่เชื่อมโยงกับไดเรกทอรีผู้ใช้
- ระบบรวบรวมและวิเคราะห์เหตุการณ์ความมั่นคงปลอดภัยสำหรับแจ้งเตือนเหตุการณ์ผิดปกติ

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/5-1-6.md

============================================================
โนด: แนวปฏิบัติ 5.1.7
ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/5-1-7.md

# 5.1.7 บันทึกการเข้าระบบแสดงวันที่ดำเนินการตามคำขอ และผลการดำเนินการตามคำขอ

## สิ่งที่ต้องทำ

องค์กรต้องมีการบันทึกการเข้าระบบที่แสดงวันที่ดำเนินการตามคำขอและผลการดำเนินการตามคำขอได้โดยง่าย โดยข้อมูลที่บันทึกต้องมีความถูกต้องและเป็นปัจจุบัน

## หลักฐาน

1. ตัวอย่างเอกสารแสดงการบันทึกคำขอเข้าระบบที่แสดงวันที่และผลการดำเนินการตามคำขอ

## สภาพบังคับ

ไม่มีกฎหมายบังคับ

## ตัวอย่างเอกสาร

### เอกสารแสดงการบันทึกคำขอเข้าระบบ

**ชื่อเอกสาร:** บันทึกคำขอเข้าถึงระบบและผลการดำเนินการ
**รหัสเอกสาร:** IT-LOG-ACCESS-002
**เวอร์ชัน:** 1.0
**วันที่บังคับใช้:** 1 มิถุนายน 2568
**จัดทำโดย:** ฝ่ายเทคโนโลยีสารสนเทศ

**วัตถุประสงค์** — เพื่อบันทึกและติดตามคำขอเข้าถึงระบบสารสนเทศและผลการดำเนินการตามคำขออย่างถูกต้องและเป็นปัจจุบัน

**รูปแบบการบันทึก**

| ลำดับ | วันที่คำขอ | ชื่อผู้ขอ | ระบบที่ขอเข้าถึง | วันที่ดำเนินการ | ผลการดำเนินการ | ผู้ดำเนินการ | หมายเหตุ |
|---|---|---|---|---|---|---|---|
| 1 | 2025-06-01 | user001 | ระบบบริหารสมาชิก | 2025-06-02 | อนุมัติ | admin01 | เข้าถึงระบบได้ |
| 2 | 2025-06-02 | user002 | ระบบฐานข้อมูลลูกค้า | 2025-06-03 | ปฏิเสธ | admin02 | ไม่มีสิทธิ์เข้าถึง |
| 3 | 2025-06-03 | user003 | ระบบอีเมลองค์กร | 2025-06-04 | อนุมัติ | admin01 | เข้าถึงได้ |

**กระบวนการและระบบที่ใช้บันทึก**

- ใช้ระบบบริหารจัดการบริการสารสนเทศสำหรับรับคำขอและบันทึกสถานะการดำเนินการ
- บันทึกข้อมูลในฐานข้อมูลที่สามารถสืบค้นได้ง่าย และสร้างรายงานผลการดำเนินการได้ทันที
- ตั้งค่าการแจ้งเตือนเมื่อมีการอัปเดตสถานะคำขอ

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/5-1-7.md

============================================================
โนด: แนวปฏิบัติ 5.1.8
ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/5-1-8.md

# 5.1.8 องค์กรจัดให้มีรายการการตรวจสอบที่บันทึกขั้นตอนสำคัญในกระบวนการจัดการคำขอ

## สิ่งที่ต้องทำ

องค์กรต้องจัดทำรายงานการตรวจสอบที่บันทึกขั้นตอนสำคัญในกระบวนการจัดการคำขอ เช่น ระบบหรือแผนกใดที่ดำเนินการตามคำขอใช้สิทธิแล้ว โดยแยกประเภทของคำขอใช้สิทธิ ซึ่งอาจเป็นส่วนหนึ่งของบันทึกหรือเป็นเอกสารแยกต่างหาก

## หลักฐาน

1. รายงานการตรวจสอบที่บันทึกขั้นตอนสำคัญในกระบวนการจัดการคำขอ โดยอาจแยกเป็นแผนก

## สภาพบังคับ

ไม่มีกฎหมายบังคับ

## ตัวอย่างเอกสาร

### รายงานการตรวจสอบขั้นตอนสำคัญในกระบวนการจัดการคำขอใช้สิทธิ

**ชื่อเอกสาร:** รายงานการตรวจสอบบันทึกขั้นตอนสำคัญในกระบวนการจัดการคำขอใช้สิทธิ
**รหัสเอกสาร:** DPO-LOG-AUDIT-003
**เวอร์ชัน:** 1.0
**วันที่จัดทำ:** 3 มิถุนายน 2568
**จัดทำโดย:** ฝ่ายคุ้มครองข้อมูลส่วนบุคคล

**วัตถุประสงค์** — เพื่อแสดงรายงานการตรวจสอบและติดตามบันทึกขั้นตอนสำคัญในกระบวนการจัดการคำขอใช้สิทธิของเจ้าของข้อมูล โดยแยกตามประเภทคำขอและแผนกที่ดำเนินการ เพื่อให้สามารถตรวจสอบความถูกต้องและความสมบูรณ์ของกระบวนการได้อย่างมีประสิทธิภาพ

**ขอบเขตของรายงาน** — ครอบคลุมคำขอใช้สิทธิในระบบสารสนเทศขององค์กรในช่วงเวลาที่ระบุ รวมถึงบันทึกการส่งต่อคำขอ การดำเนินงานของแต่ละแผนก และผลการดำเนินการตามคำขอ

**รายละเอียดรายงาน**

| หมายเลขคำขอ | วันที่คำขอ | ประเภทคำขอใช้สิทธิ | แผนกที่รับผิดชอบ | วันที่เริ่มดำเนินการ | วันที่เสร็จสิ้น | ผลการดำเนินการ | ผู้รับผิดชอบ | หมายเหตุ |
|---|---|---|---|---|---|---|---|---|
| REQ20250601-01 | 2025-06-01 | ขอเข้าถึงข้อมูล | ฝ่ายบริการลูกค้า | 2025-06-02 | 2025-06-04 | ดำเนินการเสร็จสิ้น | พนักงาน A | อนุมัติคำขอ |
| REQ20250602-02 | 2025-06-02 | ขอแก้ไขข้อมูล | ฝ่ายระบบข้อมูล | 2025-06-03 | 2025-06-05 | ดำเนินการเสร็จสิ้น | พนักงาน B | ข้อมูลถูกแก้ไขเรียบร้อย |
| REQ20250602-03 | 2025-06-02 | ขอระงับการใช้ข้อมูล | ฝ่ายกฎหมาย | 2025-06-04 | 2025-06-06 | ปฏิเสธคำขอ | พนักงาน C | ข้อมูลไม่ตรงเงื่อนไข |
| REQ20250603-04 | 2025-06-03 | ขอให้ลบข้อมูล | ฝ่ายบริการลูกค้า | 2025-06-04 | 2025-06-06 | ดำเนินการเสร็จสิ้น | พนักงาน A | ลบข้อมูลเรียบร้อย |

**คำอธิบาย**

- ประเภทคำขอใช้สิทธิ ได้แก่ ขอเข้าถึงข้อมูล ขอแก้ไขข้อมูล ขอระงับการใช้ข้อมูล ขอให้ลบข้อมูล และอื่น ๆ ตามกฎหมาย
- แผนกที่รับผิดชอบ ระบุหน่วยงานหรือทีมที่ดำเนินการจัดการคำขอนั้น ๆ
- วันที่เริ่มดำเนินการและวันที่เสร็จสิ้น ช่วยแสดงความรวดเร็วและติดตามกระบวนการ
- ผลการดำเนินการ เช่น อนุมัติ ปฏิเสธ หรืออยู่ระหว่างดำเนินการ
- ผู้รับผิดชอบ คือชื่อผู้ปฏิบัติงานหรือเจ้าหน้าที่ที่ดำเนินการตามคำขอ
- หมายเหตุ บันทึกข้อมูลเพิ่มเติม เช่น เหตุผลปฏิเสธหรือคำชี้แจงอื่น ๆ

**การใช้รายงาน** — รายงานนี้จัดทำขึ้นเพื่อใช้ตรวจสอบภายในประจำเดือนหรือประจำไตรมาส ใช้เป็นหลักฐานในการตรวจสอบความถูกต้องของการจัดการคำขอใช้สิทธิของเจ้าของข้อมูล และสนับสนุนการบริหารจัดการความเสี่ยงและการปรับปรุงกระบวนการให้ดีขึ้น

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/5-1-8.md

============================================================
โนด: แนวปฏิบัติ 5.1.9
ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/5-1-9.md

# 5.1.9 องค์กรจัดให้มีบันทึกของการตอบสนองต่อคำขอใช้สิทธิตามกฎหมาย รวมถึงข้อมูลที่เปิดเผยหรือไม่เปิดเผยจากคำขอ

## สิ่งที่ต้องทำ

องค์กรต้องจัดให้มีบันทึกการตอบสนองต่อคำขอใช้สิทธิตามกฎหมาย โดยแยกประเภทของคำขอใช้สิทธิ และในกรณีของการขอเข้าถึงข้อมูลส่วนบุคคล ต้องระบุข้อมูลที่เปิดเผยหรือไม่เปิดเผยจากคำขอด้วย

## หลักฐาน

1. บันทึกการตอบสนองต่อคำขอใช้สิทธิตามกฎหมาย

## สภาพบังคับ

ไม่มีกฎหมายบังคับ

## ตัวอย่างเอกสาร

### บันทึกการตอบสนองต่อคำขอใช้สิทธิตามกฎหมาย

**ชื่อเอกสาร:** บันทึกการตอบสนองต่อคำขอใช้สิทธิตามกฎหมายคุ้มครองข้อมูลส่วนบุคคล
**รหัสเอกสาร:** DPO-RESP-LOG-004
**เวอร์ชัน:** 1.0
**วันที่จัดทำ:** 3 มิถุนายน 2568
**จัดทำโดย:** ฝ่ายคุ้มครองข้อมูลส่วนบุคคล

**วัตถุประสงค์** — เพื่อเก็บบันทึกข้อมูลการตอบสนองต่อคำขอใช้สิทธิตามกฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคล โดยแยกประเภทของคำขอและระบุข้อมูลที่เปิดเผยหรือไม่เปิดเผยในกรณีคำขอเข้าถึงข้อมูลส่วนบุคคล

**ขอบเขต** — ครอบคลุมคำขอใช้สิทธิที่ได้รับจากเจ้าของข้อมูลทุกประเภทคำขอ ทั้งการขอเข้าถึงข้อมูล แก้ไข ลบ หรือระงับการใช้ข้อมูล โดยบันทึกผลการตอบสนองอย่างครบถ้วน

**รายละเอียดบันทึก**

| หมายเลขคำขอ | วันที่คำขอ | ประเภทคำขอใช้สิทธิ | วันที่ตอบกลับ | ผลการตอบสนอง | ข้อมูลที่เปิดเผย/ไม่เปิดเผย | เหตุผลหากไม่เปิดเผย | ผู้ตอบสนอง |
|---|---|---|---|---|---|---|---|
| REQ20250601-01 | 2025-06-01 | ขอเข้าถึงข้อมูล | 2025-06-01 | เปิดเผยข้อมูลบางส่วน | เปิดเผย: ข้อมูลส่วนตัวทั่วไป / ไม่เปิดเผย: ข้อมูลทางการเงิน | ข้อมูลทางการเงินต้องปกป้องตามนโยบาย | พนักงาน A |
| REQ20250602-02 | 2025-06-02 | ขอแก้ไขข้อมูล | 2025-06-05 | แก้ไขข้อมูลเรียบร้อย | - | - | พนักงาน B |
| REQ20250603-03 | 2025-06-03 | ขอให้ลบข้อมูล | 2025-06-06 | ปฏิเสธคำขอ | ไม่เปิดเผย | ข้อมูลมีความจำเป็นทางกฎหมายต้องเก็บไว้ | พนักงาน C |
| REQ20250604-04 | 2025-06-04 | ขอระงับการใช้ข้อมูล | 2025-06-07 | อนุมัติคำขอ | - | - | พนักงาน D |

**คำอธิบาย**

- ประเภทคำขอใช้สิทธิ เช่น ขอเข้าถึงข้อมูล ขอแก้ไข ขอให้ลบ และขอระงับการใช้ข้อมูล
- ผลการตอบสนอง เช่น เปิดเผยข้อมูล เปิดเผยบางส่วน ปฏิเสธคำขอ หรืออนุมัติคำขอ
- ข้อมูลที่เปิดเผย/ไม่เปิดเผย ระบุชัดเจนว่าข้อมูลส่วนใดถูกเปิดเผยหรือถูกปกปิดพร้อมเหตุผล
- เหตุผลหากไม่เปิดเผยข้อมูล เพื่อความโปร่งใส เช่น ปกป้องความลับทางการค้า หรือข้อมูลที่กฎหมายกำหนดให้เก็บรักษาไว้
- ผู้ตอบสนอง คือชื่อพนักงานหรือเจ้าหน้าที่ที่รับผิดชอบตอบคำขอ

**การใช้บันทึก** — ใช้ในการตรวจสอบย้อนหลังและติดตามการจัดการคำขอใช้สิทธิ เป็นหลักฐานแสดงความโปร่งใสและความรับผิดชอบขององค์กรในการตอบสนองคำขอ และสนับสนุนการปรับปรุงกระบวนการจัดการคำขอให้ดีขึ้น

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/5-1-9.md

============================================================
โนด: แนวปฏิบัติ 5.1.10
ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/5-1-10.md

# 5.1.10 องค์กรดำเนินการตามคำขอใช้สิทธิของเจ้าของข้อมูลส่วนบุคคลทั้งหมดภายในระยะเวลาตามกฎหมาย

## สิ่งที่ต้องทำ

องค์กรต้องดำเนินการตามคำขอใช้สิทธิของเจ้าของข้อมูลส่วนบุคคลภายในระยะเวลาที่กฎหมายกำหนด หรือตามความเหมาะสม โดยมีการบันทึกและติดตามให้คำขอแต่ละรายการแล้วเสร็จภายในกำหนด

## หลักฐาน

1. เอกสารหลักฐานการดำเนินการตามคำขอใช้สิทธิของเจ้าของข้อมูลส่วนบุคคล

## สภาพบังคับ

[มาตรา 30](https://link.pdpalawbase.com/section/30.md) วรรคหนึ่ง กำหนดให้ผู้ควบคุมข้อมูลดำเนินการตามคำขอใช้สิทธิของเจ้าของข้อมูลภายในสามสิบวันนับแต่วันที่ได้รับคำขอ หากไม่ดำเนินการตามคำขอภายในเวลาที่กำหนดตาม [มาตรา 30](https://link.pdpalawbase.com/section/30.md) วรรคสาม ผู้ควบคุมข้อมูลอาจต้องรับโทษทางปกครองปรับไม่เกิน 1,000,000 บาท

## ตัวอย่างเอกสาร

### ทะเบียนการดำเนินการตามคำขอใช้สิทธิของเจ้าของข้อมูลส่วนบุคคล

**ชื่อเอกสาร:** ทะเบียนการดำเนินการตามคำขอใช้สิทธิของเจ้าของข้อมูลส่วนบุคคล
**รหัสเอกสาร:** DPO-RIGHTS-LOG-004
**หน่วยงานที่รับผิดชอบ:** ฝ่ายคุ้มครองข้อมูลส่วนบุคคล / คณะทำงานจัดการสิทธิของเจ้าของข้อมูล
**วันที่จัดทำ:** 3 มิถุนายน 2568

**สาระสำคัญ** — เอกสารนี้แสดงบันทึกการดำเนินการตามคำขอใช้สิทธิของเจ้าของข้อมูลส่วนบุคคลตามที่กฎหมายกำหนดภายใน 30 วันนับแต่วันที่ได้รับคำขอ ตาม [มาตรา 30](https://link.pdpalawbase.com/section/30.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562

**ตัวอย่างแบบฟอร์มบันทึกการดำเนินการตามคำขอ**

| หมายเลขคำขอ | วันที่ได้รับคำขอ | ประเภทคำขอ | วันที่ดำเนินการแล้วเสร็จ | ระยะเวลาดำเนินการ | สถานะ | หมายเหตุ |
|---|---|---|---|---|---|---|
| REQ20250601-01 | 1 มิ.ย. 2568 | ขอเข้าถึงข้อมูล | 25 มิ.ย. 2568 | 24 วัน | ดำเนินการเสร็จแล้ว | ภายในระยะเวลาตามกฎหมาย |
| REQ20250602-02 | 2 มิ.ย. 2568 | ขอให้ลบข้อมูล | 29 มิ.ย. 2568 | 27 วัน | ดำเนินการเสร็จแล้ว | - |
| REQ20250515-03 | 15 พ.ค. 2568 | ขอระงับการใช้ | 13 มิ.ย. 2568 | 29 วัน | ดำเนินการเสร็จแล้ว | มีเอกสารยืนยัน |

**หมายเหตุด้านกฎหมาย** — ตาม [มาตรา 30](https://link.pdpalawbase.com/section/30.md) วรรคหนึ่ง เจ้าของข้อมูลส่วนบุคคลมีสิทธิร้องขอให้ผู้ควบคุมข้อมูลดำเนินการตามสิทธิภายในสามสิบวันนับแต่วันที่ผู้ควบคุมข้อมูลได้รับคำขอ หากไม่ดำเนินการตามคำขอภายในเวลาที่กำหนดตาม [มาตรา 30](https://link.pdpalawbase.com/section/30.md) วรรคสาม ผู้ควบคุมข้อมูลอาจต้องรับโทษทางปกครองปรับไม่เกิน 1,000,000 บาท

**ขั้นตอนการดำเนินการที่ใช้ในองค์กร**

- เจ้าหน้าที่ DPO หรือผู้รับคำขอ ลงทะเบียนคำขอภายใน 1 วันทำการ
- ตรวจสอบความถูกต้องของคำขอภายใน 3 วัน
- ประสานฝ่ายที่เกี่ยวข้องเพื่อจัดการคำขอภายใน 20–25 วัน
- ตอบกลับผลคำขอแก่เจ้าของข้อมูลภายในไม่เกิน 30 วัน
- บันทึกผลลงในระบบและรายงานต่อผู้มีอำนาจตามโครงสร้างองค์กร

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/5-1-10.md

============================================================
โนด: แนวปฏิบัติ 5.1.11
ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/5-1-11.md

# 5.1.11 องค์กรบันทึกการปฏิเสธคำขอใช้สิทธิพร้อมเหตุผลใน ROPA และแจ้งเหตุผลไปยังเจ้าของข้อมูลส่วนบุคคล

## สิ่งที่ต้องทำ

ในกรณีที่องค์กรจะปฏิเสธการดำเนินการตามคำขอใช้สิทธิของเจ้าของข้อมูลส่วนบุคคล องค์กรต้องมีช่องสำหรับบันทึกการปฏิเสธคำขอพร้อมด้วยเหตุผลไว้ในบันทึกรายการกิจกรรมการประมวลผล (ROPA) และต้องมีกระบวนการแจ้งเหตุผลของการปฏิเสธหรือข้อยกเว้นใด ๆ ไปยังเจ้าของข้อมูลส่วนบุคคลที่ขอใช้สิทธิ

## หลักฐาน

1. บันทึกรายการที่มีช่องสำหรับบันทึกการปฏิเสธคำขอใช้สิทธิของเจ้าของข้อมูลส่วนบุคคล
2. เอกสารการแจ้งเหตุผลการปฏิเสธคำขอใช้สิทธิไปยังเจ้าของข้อมูลส่วนบุคคล

## สภาพบังคับ

[มาตรา 30](https://link.pdpalawbase.com/section/30.md) วรรคสอง วรรคสาม, [มาตรา 31](https://link.pdpalawbase.com/section/31.md) วรรคสาม, [มาตรา 32](https://link.pdpalawbase.com/section/32.md) วรรคสาม, [มาตรา 36](https://link.pdpalawbase.com/section/36.md), [มาตรา 39](https://link.pdpalawbase.com/section/39.md)(7) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562

โทษทางปกครอง: ในกรณีที่ไม่ปฏิบัติตาม [มาตรา 39](https://link.pdpalawbase.com/section/39.md) วรรคหนึ่ง กำหนดโทษปรับทางปกครองไม่เกิน 1 ล้านบาท

## ตัวอย่างเอกสาร

### ตัวอย่างบันทึกรายการกิจกรรมการประมวลผล (ROPA) ส่วนการปฏิเสธคำขอ

- **รหัสเอกสาร:** ROPA-DATA-SUBJECT-REQUEST-REJECT-001
- **หน่วยงานที่รับผิดชอบ:** DPO หรือฝ่ายกฎหมาย / ฝ่ายบริหารสิทธิของเจ้าของข้อมูล

**รายการที่ 1**
- ประเภทคำขอ: ขอให้ลบข้อมูลส่วนบุคคล
- วันที่รับคำขอ: 2 มิ.ย. 2568
- เหตุผลที่ปฏิเสธ: ปฏิเสธการร้องขอให้ดำเนินการให้ข้อมูลถูกต้อง เป็นปัจจุบัน สมบูรณ์ และไม่ก่อให้เกิดความเข้าใจผิด ([มาตรา 36](https://link.pdpalawbase.com/section/36.md) วรรคหนึ่ง)
- วันที่แจ้งการปฏิเสธ: 6 มิ.ย. 2568
- ช่องทางการแจ้ง: อีเมล
- หมายเหตุ: อ้างอิงข้อยกเว้นสิทธิในการลบข้อมูล

**รายการที่ 2**
- ประเภทคำขอ: ขอให้ระงับการใช้
- วันที่รับคำขอ: 10 พ.ค. 2568
- เหตุผลที่ปฏิเสธ: ปฏิเสธตามกฎหมายหรือคำสั่งศาล และการเข้าถึงนั้นจะกระทบสิทธิและเสรีภาพผู้อื่น ([มาตรา 30](https://link.pdpalawbase.com/section/30.md) วรรคสาม)
- วันที่แจ้งการปฏิเสธ: 14 พ.ค. 2568
- ช่องทางการแจ้ง: จดหมายลงทะเบียน
- หมายเหตุ: แจ้งตาม [มาตรา 36](https://link.pdpalawbase.com/section/36.md)

___

### ตัวอย่างแบบฟอร์มแจ้งเหตุผลการปฏิเสธคำขอใช้สิทธิ

- **รหัสเอกสาร:** NOTI-DATA-SUBJECT-REFUSE-001

**เรื่อง:** แจ้งผลการพิจารณาคำขอใช้สิทธิภายใต้พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562

เรียน [ชื่อเจ้าของข้อมูล]

อ้างอิงถึงคำขอใช้สิทธิของท่านที่ยื่นต่อองค์กรเมื่อวันที่ [xx เดือน xxxx] องค์กรได้ดำเนินการตรวจสอบคำขอดังกล่าวแล้ว และขอแจ้งว่าไม่สามารถดำเนินการตามคำขอของท่านได้ โดยมีเหตุผลดังนี้

- ข้อมูลส่วนบุคคลดังกล่าวยังจำเป็นต้องเก็บรักษาไว้เพื่อการปฏิบัติตามหน้าที่ตามกฎหมาย
- การลบข้อมูลจะมีผลกระทบต่อการดำเนินการตามสัญญาหรือการให้บริการ
- ไม่เข้าเงื่อนไขที่เจ้าของข้อมูลจะใช้สิทธิในการลบข้อมูลได้ตามที่กฎหมายกำหนด

หากท่านมีข้อโต้แย้งเกี่ยวกับการพิจารณาดังกล่าว ท่านสามารถยื่นเรื่องร้องเรียนต่อสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล

ขอแสดงความนับถือ
[ชื่อ-ตำแหน่งเจ้าหน้าที่] ผู้ควบคุมข้อมูลส่วนบุคคล [ชื่อองค์กร] วันที่: [xx/xx/xxxx]

___

### ตัวอย่างกระบวนการที่เกี่ยวข้อง

1. **รับคำขอ** — เจ้าหน้าที่บันทึกลงระบบ ROPA
2. **ตรวจสอบเหตุผล** — ตรวจสอบคำขอเทียบกับฐานทางกฎหมายและข้อยกเว้นที่เกี่ยวข้องกับสิทธิของเจ้าของข้อมูล
3. **พิจารณาและเสนออนุมัติ** — DPO หรือผู้บริหารมีอำนาจอนุมัติการปฏิเสธ
4. **แจ้งเจ้าของข้อมูล** — ส่งแบบฟอร์มแจ้งเหตุผลผ่านอีเมล/ไปรษณีย์
5. **เก็บรักษาหลักฐาน** — เก็บในระบบ ROPA และแนบสำเนาแบบแจ้งเหตุผล

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/5-1-11.md

============================================================
โนด: แนวปฏิบัติ 5.1.12
ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/5-1-12.md

# 5.1.12 เจ้าหน้าที่ที่รับผิดชอบในการจัดการคำขอจะประชุมกันเป็นประจำเพื่อหารือปัญหาและจัดลำดับความสำคัญหรือยกระดับกรณีที่ล่าช้า

## สิ่งที่ต้องทำ

จัดให้มีการประชุมหรือหารือเกี่ยวกับการจัดการคำขอใช้สิทธิของเจ้าของข้อมูลส่วนบุคคลเป็นประจำ เพื่อหารือเกี่ยวกับปัญหาต่าง ๆ และตรวจสอบ จัดลำดับความสำคัญ หรือยกระดับกรณีที่ล่าช้าใด ๆ

## หลักฐาน

1. รายงานการประชุม หรือรายงานประเมินประสิทธิภาพของการจัดการคำขอใช้สิทธิของเจ้าของข้อมูลส่วนบุคคล

## สภาพบังคับ

ไม่มีกฎหมายบังคับ

## ตัวอย่างเอกสาร

### ตัวอย่างรายงานการประชุมคณะทำงานด้านสิทธิของเจ้าของข้อมูลส่วนบุคคล

- **รหัสเอกสาร:** DSR-MTG-REPORT-001
- **หน่วยงานที่รับผิดชอบ:** เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล (DPO) และคณะทำงานฝ่ายจัดการสิทธิของเจ้าของข้อมูลส่วนบุคคล
- **ความถี่ในการประชุม:** ทุกเดือน (เช่น วันอังคารสุดท้ายของทุกเดือน) หรือกรณีมีคำขอเกิน 5 เรื่องในเดือนนั้น

**รายงานการประชุมคณะทำงานด้านสิทธิของเจ้าของข้อมูลส่วนบุคคล**

- วันที่ประชุม: 30 พฤษภาคม 2568
- เวลา: 13:30 – 15:00 น.
- สถานที่: ห้องประชุม 3A อาคารบริหารกลาง

**ผู้เข้าร่วม**
- นายอภิชัย รัตนดิลก (DPO)
- นางสาวณัฐกานต์ วิศาลจิต (ฝ่ายกฎหมาย)
- นายพงศกร วัฒนกิจ (ฝ่ายเทคโนโลยีสารสนเทศ — ระบบบันทึกการเข้าถึง)
- น.ส. วริศรา ชูสกุล (ผู้ดูแลระบบรับคำขอ)

**วาระการประชุม**

1. สรุปคำขอใช้สิทธิที่ได้รับในรอบเดือนพฤษภาคม 2568
   - คำขอเข้าถึงข้อมูล: 7 ราย
   - คำขอแก้ไขข้อมูล: 2 ราย
   - คำขอลบข้อมูล: 3 ราย
   - คำขอระงับการใช้: 1 ราย
2. กรณีที่ล่าช้าหรือมีปัญหาในการดำเนินการ
   - คำขอของคุณ A (ล่าช้า 5 วัน เนื่องจากการรอเอกสารยืนยันตัวตน)
   - คำขอของคุณ C (ประเด็นเกี่ยวกับคำขอลบข้อมูลที่ต้องเก็บไว้ตาม พ.ร.บ. การบัญชี)
3. การจัดลำดับความสำคัญ
   - คำขอของคุณ G (ข้อมูลสุขภาพ) ได้รับจัดลำดับสูงสุด
   - คำขอทั่วไปภายใน 15 วันทำการ
4. แนวทางการปรับปรุง
   - เสนอปรับปรุงฟอร์มคำขอใหม่ให้แจ้งเตือนอัตโนมัติเมื่อถึงครึ่งระยะเวลาการดำเนินการ
   - เสนอจัดทำหน้าจอสรุปรายงานสถานะคำขอแบบทันที

**มติที่ประชุม**
- อนุมัติให้อัปเดตระบบติดตามสถานะคำขอ
- แต่งตั้ง น.ส. วริศรา เป็นผู้ประสานงานเร่งรัดคำขอที่เกิน 20 วัน

บันทึกโดย: นายอภิชัย รัตนดิลก (DPO) — วันที่บันทึก: 31 พฤษภาคม 2568

**แนบไฟล์หรือหลักฐานเพิ่มเติม (หากจำเป็น)**
- ภาพถ่ายหน้าจอสรุปสถานะคำขอ
- แบบฟอร์มติดตามการประเมินระดับการให้บริการ

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/5-1-12.md

============================================================
โนด: แนวปฏิบัติ 5.1.13
ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/5-1-13.md

# 5.1.13 หากองค์กรต้องการขยายเวลาการจัดการคำขอใช้สิทธิ องค์กรจะรายงานความก้าวหน้าและแจ้งให้เจ้าของข้อมูลส่วนบุคคลทราบ

## สิ่งที่ต้องทำ

หากองค์กรต้องการขยายเวลาการจัดการคำขอใช้สิทธิตามกฎหมายของเจ้าของข้อมูลส่วนบุคคล องค์กรต้องมีการรายงานความก้าวหน้าในการจัดการคำขอใช้สิทธิ และแจ้งไปยังเจ้าของข้อมูลส่วนบุคคลให้ทราบ

## หลักฐาน

1. บันทึกรายงานความก้าวหน้าในการขอใช้สิทธิของเจ้าของข้อมูลส่วนบุคคล

## สภาพบังคับ

ไม่มีกฎหมายบังคับ

## ตัวอย่างเอกสาร

### ตัวอย่างบันทึกรายงานความก้าวหน้าในการดำเนินการตามคำขอใช้สิทธิ

- **รหัสเอกสาร:** DSR-PROG-01
- **หน่วยงานที่รับผิดชอบ:** กลุ่มงานคุ้มครองข้อมูลส่วนบุคคล
- **วันที่จัดทำ/ปรับปรุงล่าสุด:** [กรอกวันที่]

**1. ข้อมูลเบื้องต้นของคำขอ**
- เลขที่คำขอ: DSR-REQ-2025-0452
- ชื่อเจ้าของข้อมูล: นายสมชาย ใจดี
- ประเภทคำขอใช้สิทธิ: ขอเข้าถึงข้อมูลส่วนบุคคล
- วันที่ได้รับคำขอ: 5 มิถุนายน 2568
- วันที่ครบกำหนดดำเนินการ: 5 กรกฎาคม 2568

**2. รายงานความก้าวหน้า**

1. 6 มิ.ย. 2568 — รับคำขอและบันทึกเข้าสู่ระบบ (ผู้รับผิดชอบ: เจ้าหน้าที่รับคำขอ)
2. 10 มิ.ย. 2568 — ตรวจสอบความครบถ้วนของข้อมูล (ผู้รับผิดชอบ: DPO)
3. 15 มิ.ย. 2568 — ประชุมร่วมฝ่ายเทคโนโลยีสารสนเทศและฝ่ายทรัพยากรบุคคล (ผู้รับผิดชอบ: ทีมจัดการสิทธิของเจ้าของข้อมูล) — หมายเหตุ: ต้องใช้เวลาเพิ่มเพื่อรวบรวมข้อมูลจาก 2 ระบบ
4. 20 มิ.ย. 2568 — ส่งอีเมลแจ้งเจ้าของข้อมูลเรื่องขยายเวลา (ผู้รับผิดชอบ: DPO) — หมายเหตุ: แนบแบบฟอร์มแจ้งเหตุผลและกำหนดใหม่แล้ว

**3. สำเนาการแจ้งเจ้าของข้อมูล**

**เรื่อง:** แจ้งการขยายเวลาการดำเนินการคำขอใช้สิทธิ

เรียน คุณสมชาย ใจดี

ตามที่ท่านได้ยื่นคำขอใช้สิทธิในการเข้าถึงข้อมูลส่วนบุคคลเมื่อวันที่ 5 มิถุนายน 2568 ทางเราขอแจ้งให้ทราบว่า คำขอของท่านจำเป็นต้องใช้ระยะเวลาเพิ่มเติมในการดำเนินการ เนื่องจากต้องรวบรวมข้อมูลจากหลายระบบ ซึ่งต้องได้รับการตรวจสอบอย่างรอบคอบ

องค์กรจะดำเนินการให้เสร็จสิ้นภายในวันที่ 25 กรกฎาคม 2568 และจะรายงานผลให้ท่านทราบโดยเร็ว ขออภัยในความไม่สะดวก และขอบพระคุณที่ให้ความร่วมมือ

ขอแสดงความนับถือ
เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล [ชื่อองค์กร]

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/5-1-13.md

============================================================
โนด: แนวปฏิบัติ 5.1.14
ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/5-1-14.md

# 5.1.14 เจ้าหน้าที่ที่รับผิดชอบในการจัดการคำขอจะประชุมหารือกันเป็นประจำเพื่อปรึกษาปัญหาเกี่ยวกับการจัดการคำขอใช้สิทธิของเจ้าของข้อมูลส่วนบุคคล

## สิ่งที่ต้องทำ

จัดให้มีการประชุมเพื่อหารือเกี่ยวกับประเด็นในเรื่องการจัดการดำเนินการตามคำขอใช้สิทธิของเจ้าของข้อมูลส่วนบุคคลเป็นประจำในฝ่ายงาน เพื่อปรึกษาปัญหาเกี่ยวกับประเด็นต่าง ๆ ในการจัดการต่อคำขอใช้สิทธิ

## หลักฐาน

1. รายงานการประชุม

## สภาพบังคับ

ไม่มีกฎหมายบังคับ

## ตัวอย่างเอกสาร

### ตัวอย่างรายงานการประชุมเจ้าหน้าที่ผู้รับผิดชอบคำขอใช้สิทธิ

- ครั้งที่: 3/2568
- วัน/เวลา: วันจันทร์ที่ 3 มิถุนายน 2568 เวลา 10:00 – 11:30 น.
- สถานที่: ห้องประชุม PDPA ชั้น 5 อาคารบริหารกลาง

**ผู้เข้าร่วมประชุม**
- นางสาวสุภาวดี พิทักษ์ธรรม – DPO (ประธาน)
- นายณัฐวุฒิ สายตรง – เจ้าหน้าที่ฝ่ายกฎหมาย
- นางสาวศิริพร ใจมั่น – เจ้าหน้าที่ระบบสารสนเทศ
- นายธีรวัฒน์ ธรรมรงค์ – เจ้าหน้าที่รับคำขอ
- น.ส.ปิยะฉัตร จันทร – ผู้ช่วยเลขานุการ

**ระเบียบวาระการประชุม**

- **วาระที่ 1 แจ้งเพื่อทราบ** — ประธานแจ้งผลการดำเนินงานเดือนที่ผ่านมา มีคำขอใช้สิทธิ 9 รายการ ร้อยละ 88 ของคำขอสามารถดำเนินการได้ภายในระดับการให้บริการ 30 วัน
- **วาระที่ 2 พิจารณาประเด็นปัญหาในการจัดการคำขอ** — ปัญหาการประสานข้อมูลจากระบบเก่าทำให้เกิดความล่าช้า ข้อเสนอ: พิจารณาจัดอบรมให้ฝ่ายเทคโนโลยีสารสนเทศเพิ่มเติมเกี่ยวกับโครงสร้างข้อมูลส่วนบุคคล
- **วาระที่ 3 การจัดลำดับความสำคัญของคำขอ** — เห็นควรใช้ระดับความเร่งด่วนบนหน้าจอสรุปสถานะเพื่อกำกับลำดับการดำเนินการ
- **วาระที่ 4 ข้อเสนอเพิ่มเติม** — มีข้อเสนอให้เพิ่มช่องบันทึกเหตุผลกรณีล่าช้าในระบบคำขออัตโนมัติ และพิจารณาจัดประชุมเชิงปฏิบัติการร่วมระหว่างฝ่ายจัดการสิทธิ ฝ่ายกฎหมาย และฝ่ายเทคโนโลยีสารสนเทศ ทุกไตรมาส

**มติที่ประชุม**
- ให้ฝ่ายเทคโนโลยีสารสนเทศปรับปรุงระบบหน้าจอสรุปสถานะภายใน 15 วัน
- ให้เลขานุการจัดทำแบบฟอร์มแจ้งเหตุผลการล่าช้าและแจกจ่ายเจ้าหน้าที่ นัดประชุมครั้งต่อไปในวันที่ 8 กรกฎาคม 2568

ผู้บันทึกการประชุม: น.ส.ปิยะฉัตร จันทร (ผู้ช่วยเลขานุการ) — วันที่ 3 มิถุนายน 2568

ผู้รับรองการประชุม: นางสาวสุภาวดี พิทักษ์ธรรม (DPO) — วันที่ 3 มิถุนายน 2568

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/5-1-14.md

============================================================
โนด: แนวปฏิบัติ 5.1.15
ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/5-1-15.md

# 5.1.15 องค์กรจัดทำรายงานการประเมินประสิทธิภาพของการจัดการคำขอเพื่อให้แน่ใจว่าคำขอได้รับการจัดการอย่างเหมาะสม

## สิ่งที่ต้องทำ

จัดทำรายงานการประเมินประสิทธิภาพของการจัดการคำขอใช้สิทธิของเจ้าของข้อมูลส่วนบุคคล ผ่านการประชุมหารือร่วมกันในฝ่ายงาน เพื่อให้แน่ใจว่าคำขอได้รับการจัดการอย่างเหมาะสม

## หลักฐาน

1. รายงานการประเมินประสิทธิภาพการจัดการคำขอใช้สิทธิของเจ้าของข้อมูลส่วนบุคคล
2. รายงานการประชุมหารือร่วมกันในฝ่ายงาน

## สภาพบังคับ

ไม่มีกฎหมายบังคับ

## ตัวอย่างเอกสาร

### ตัวอย่างรายงานการประเมินประสิทธิภาพการจัดการคำขอใช้สิทธิ

- **ชื่อหน่วยงาน:** กลุ่มงานบริหารจัดการคำขอใช้สิทธิข้อมูลส่วนบุคคล
- **รอบระยะเวลาการประเมิน:** ไตรมาสที่ 2 ปีงบประมาณ 2568

**วัตถุประสงค์ของการประเมิน** — เพื่อประเมินความมีประสิทธิภาพของกระบวนการรับเรื่อง ดำเนินการ และตอบสนองต่อคำขอใช้สิทธิของเจ้าของข้อมูลส่วนบุคคลตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 รวมถึงเพื่อระบุจุดที่ควรปรับปรุงพัฒนาการให้บริการและการดำเนินงาน

**สรุปผลการประเมิน**
- จำนวนคำขอใช้สิทธิที่ได้รับ: ช่วงระยะเวลาที่ประเมินมีคำขอใช้สิทธิรวมทั้งสิ้น 52 รายการ โดยมีประเภทคำขอหลัก ได้แก่ การขอเข้าถึงข้อมูล การคัดค้านการใช้ข้อมูล การขอลบข้อมูล และการขอระงับการใช้ข้อมูล
- ระยะเวลาการดำเนินการต่อคำขอ: ร้อยละ 94 ของคำขอได้รับการดำเนินการและแจ้งผลภายในระยะเวลาไม่เกิน 30 วัน และร้อยละ 6 มีการขยายเวลาออกไปตามความเหมาะสม พร้อมมีการแจ้งเหตุผลและความคืบหน้าให้เจ้าของข้อมูลทราบ
- การปฏิเสธคำขอ: มีจำนวน 3 รายการที่มีการปฏิเสธการดำเนินการตามคำขอ โดยมีการบันทึกเหตุผลในระบบ และมีการแจ้งให้เจ้าของข้อมูลทราบเป็นลายลักษณ์อักษร
- ระบบการติดตามและรายงานผล: มีการใช้ระบบเทคโนโลยีสารสนเทศติดตามสถานะของคำขอแต่ละรายการ พร้อมทั้งมีแบบฟอร์มติดตามการประเมินระดับการให้บริการเป็นรายเดือน
- ความพร้อมของบุคลากรและทรัพยากร: เจ้าหน้าที่ผู้รับผิดชอบได้รับการฝึกอบรมประจำไตรมาส และมีการประชุมทบทวนแนวทางการดำเนินงานทุกเดือนเพื่อเพิ่มประสิทธิภาพการตอบสนองคำขอ

**ข้อเสนอแนะ**
- ควรพัฒนาระบบแจ้งเตือนอัตโนมัติให้เจ้าของข้อมูลรับทราบสถานะคำขอแบบทันที
- เสนอให้จัดอบรมการเขียนเหตุผลในการปฏิเสธคำขออย่างเป็นระบบและเหมาะสมมากขึ้น

ผู้จัดทำรายงาน: นายวสันต์ จิตสาธารณะ (เจ้าหน้าที่บริหารข้อมูลส่วนบุคคล) — วันที่จัดทำรายงาน: 3 มิถุนายน 2568

___

### ตัวอย่างรายงานการประชุมหารือร่วมกันในฝ่ายงาน

- วันที่ประชุม: 27 พฤษภาคม 2568
- สถานที่: ห้องประชุมกลุ่มงานบริหารจัดการข้อมูล
- ผู้เข้าร่วมประชุม: เจ้าหน้าที่ฝ่ายบริหารคำขอใช้สิทธิ จำนวน 6 คน
- ประธานการประชุม: นางสาวสุธิดา วิริยะกิจ (ผู้จัดการฝ่าย)

**วาระการประชุม**
- ทบทวนผลการดำเนินงานคำขอใช้สิทธิในช่วง 3 เดือนที่ผ่านมา
- ปัญหาและอุปสรรคที่พบในการดำเนินการ
- การประเมินระดับการให้บริการและข้อเสนอในการปรับปรุงกระบวนการ
- แนวทางการสื่อสารกับเจ้าของข้อมูลเมื่อเกิดความล่าช้าหรือมีเหตุจำเป็นในการปฏิเสธคำขอ
- การจัดเตรียมรายงานประสิทธิภาพการดำเนินงาน

**มติที่ประชุม**
- ให้จัดทำรายงานประเมินประสิทธิภาพประจำไตรมาสและนำเสนอต่อผู้บริหาร
- ให้พัฒนาเทมเพลตจดหมายแจ้งเหตุผลการปฏิเสธคำขอให้มีความชัดเจนมากขึ้น
- ให้มีการประชุมทบทวนผลการดำเนินงานทุกเดือน

ผู้บันทึกการประชุม: นางสาวณัฐวดี ขจรกิจ

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/5-1-15.md

============================================================
โนด: แนวปฏิบัติ 5.1.16
ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/5-1-16.md

# 5.1.16 องค์กรรายงานต่อผู้บริหารระดับสูง เพื่อทบทวนและมีคำสั่งให้ดำเนินการจัดการคำขอใช้สิทธิ ตามความเหมาะสม

## สิ่งที่ต้องทำ

มีการประชุมระหว่างหน่วยงานกับผู้บริหารอาวุโส เพื่อรายงานและทบทวนคำสั่งเกี่ยวกับการดำเนินการตามคำขอใช้สิทธิของเจ้าของข้อมูลส่วนบุคคลเป็นประจำ

## หลักฐาน

1. รายงานการประชุม

## สภาพบังคับ

ไม่มีกฎหมายบังคับ

## ตัวอย่างเอกสาร

### ตัวอย่างรายงานการประชุมระหว่างหน่วยงานและผู้บริหารอาวุโส

(การรายงานและทบทวนคำสั่งเกี่ยวกับการจัดการคำขอใช้สิทธิของเจ้าของข้อมูลส่วนบุคคล)

- **ชื่อองค์กร:** ______________________
- **ชื่อหน่วยงาน:** กลุ่มงานบริหารจัดการคำขอใช้สิทธิข้อมูลส่วนบุคคล
- **ผู้บริหารระดับสูงที่เข้าร่วม:** นายปริญญา เกษมศักดิ์ รองผู้อำนวยการสำนักงาน
- **วันที่ประชุม:** 24 พฤษภาคม 2568
- **สถานที่:** ห้องประชุม 1 อาคารบริหารกลาง

**หัวข้อการประชุม**

- รายงานภาพรวมการดำเนินงานเกี่ยวกับคำขอใช้สิทธิของเจ้าของข้อมูลส่วนบุคคล ไตรมาสที่ 2 ปีงบประมาณ 2568
- ปัญหาและอุปสรรคในการดำเนินการ รวมถึงการขอขยายระยะเวลาและกรณีปฏิเสธคำขอ
- การประเมินประสิทธิภาพของระบบติดตามคำขอและระยะเวลาให้บริการตามข้อตกลง
- การเสนอแนะนโยบายและคำสั่งจากผู้บริหารระดับสูงเพื่อสนับสนุนการดำเนินงาน

**สรุปสาระสำคัญ**

- จำนวนคำขอใช้สิทธิในช่วงไตรมาสนี้รวม 52 รายการ มีการจัดการแล้วเสร็จภายในระยะเวลา 49 รายการ (94%)
- มี 3 รายการที่มีเหตุจำเป็นในการปฏิเสธคำขอ โดยแจ้งเหตุผลตามขั้นตอน และบันทึกไว้ในบันทึกรายการกิจกรรมการประมวลผลข้อมูลส่วนบุคคล
- ระบบติดตามคำขอเริ่มมีการใช้งานแดชบอร์ดแบบรายวัน และมีแบบฟอร์มติดตามระยะเวลาให้บริการรายเดือน
- มีข้อเสนอให้เพิ่มบุคลากรสำรองในกรณีคำขอเพิ่มขึ้นอย่างฉับพลัน และพัฒนาระบบแจ้งเตือนอัตโนมัติไปยังเจ้าของข้อมูล

**มติ/ข้อสั่งการจากผู้บริหาร**

- ให้มีการปรับปรุงระบบแดชบอร์ดให้แสดงผลการดำเนินงานแบบทันเวลา และสามารถสรุปภาพรวมประจำสัปดาห์
- อนุมัติแผนจัดอบรมเพิ่มเติมสำหรับเจ้าหน้าที่ฝ่ายรับคำขอ
- ให้จัดส่งรายงานผลการดำเนินการต่อคำขอเป็นรายเดือนต่อผู้บริหาร พร้อมแนบกรณีศึกษาที่มีความซับซ้อนหรือเกิดข้อโต้แย้ง
- ให้กลุ่มงานดำเนินการตามข้อเสนอเรื่องระบบแจ้งเตือนอัตโนมัติ และรายงานความคืบหน้าภายใน 30 วัน

___

**ผู้บันทึกการประชุม** นางสาวสุภาวดี คำแก้ว เจ้าหน้าที่วิเคราะห์นโยบายและแผน

**วันที่จัดทำรายงาน:** 3 มิถุนายน 2568

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/5-1-16.md

============================================================
โนด: แนวปฏิบัติ 5.1.17
ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/5-1-17.md

# 5.1.17 องค์กรวิเคราะห์แนวโน้มจากคำขอใช้สิทธิต่าง ๆ ที่มี เพื่อหาสาเหตุของคำขอ และจะได้นำไปปรับปรุงประสิทธิภาพหรือลดปริมาณคำขอต่อไปในอนาคต

## สิ่งที่ต้องทำ

มีการวิเคราะห์ข้อมูลหรือผลสรุปจากการดำเนินการจัดการคำขอใช้สิทธิของเจ้าของข้อมูลส่วนบุคคล และนำผลการวิเคราะห์ไปปรับปรุงแนวทางการดำเนินงาน

## หลักฐาน

1. รายงานผลการวิเคราะห์จากคำขอใช้สิทธิต่าง ๆ ถึงสาเหตุและปัญหา

## สภาพบังคับ

ไม่มีกฎหมายบังคับ

## ตัวอย่างเอกสาร

### ตัวอย่างรายงานผลการวิเคราะห์แนวโน้มคำขอใช้สิทธิข้อมูลส่วนบุคคล

(การวิเคราะห์แนวโน้มและนำผลไปปรับปรุงประสิทธิภาพการจัดการคำขอ)

- **ชื่อองค์กร:** บริษัท เอ็กเซลเลนท์ จำกัด
- **ฝ่ายงาน:** ฝ่ายคุ้มครองข้อมูลส่วนบุคคล
- **วันที่จัดทำรายงาน:** 15 มิถุนายน 2568
- **ระยะเวลาการวิเคราะห์:** ไตรมาสที่ 2 ปีงบประมาณ 2568

**1. บทนำ**

รายงานฉบับนี้จัดทำขึ้นเพื่อวิเคราะห์แนวโน้มของคำขอใช้สิทธิข้อมูลส่วนบุคคลที่ได้รับในไตรมาสที่ 2 ปีงบประมาณ 2568 โดยมีวัตถุประสงค์เพื่อระบุสาเหตุและปัญหาที่เกิดขึ้น พร้อมเสนอแนวทางปรับปรุงประสิทธิภาพในการจัดการคำขอและลดปริมาณคำขอในอนาคต

**2. ข้อมูลและแนวโน้มคำขอใช้สิทธิ**

จำนวนคำขอใช้สิทธิทั้งหมด 52 รายการ ประเภทคำขอที่พบมากที่สุด ได้แก่

- ขอเข้าถึงข้อมูลส่วนบุคคล 40%
- ขอแก้ไขข้อมูล 25%
- ขอให้ลบข้อมูล 15%
- ขอระงับการใช้ข้อมูล 10%
- อื่น ๆ (รวมถึงการโอนย้ายข้อมูล) 10%

**3. สาเหตุของคำขอใช้สิทธิที่พบ**

- เจ้าของข้อมูลต้องการตรวจสอบความถูกต้องของข้อมูลที่เก็บไว้
- ความไม่ชัดเจนในการแจ้งวัตถุประสงค์การเก็บข้อมูลในขั้นตอนแรก
- ความกังวลเกี่ยวกับความปลอดภัยและการเข้าถึงข้อมูลโดยไม่ได้รับอนุญาต
- ปัญหาการสื่อสารที่ไม่ชัดเจนระหว่างเจ้าของข้อมูลกับองค์กร

**4. ปัญหาและอุปสรรคที่พบ**

- ระยะเวลาการดำเนินงานบางคำขอล่าช้าเนื่องจากข้อมูลไม่ครบถ้วน
- ขาดระบบแจ้งเตือนอัตโนมัติสำหรับติดตามสถานะคำขอ
- บุคลากรมีความรู้ไม่เท่ากันในการจัดการคำขอที่ซับซ้อน

**5. แนวทางปรับปรุง**

- พัฒนาระบบแจ้งเตือนและติดตามคำขอแบบอัตโนมัติ เพื่อเพิ่มความรวดเร็วและความถูกต้อง
- จัดทำคำชี้แจงที่ชัดเจนเกี่ยวกับวัตถุประสงค์การเก็บและใช้ข้อมูลแก่เจ้าของข้อมูลตั้งแต่ขั้นตอนแรก
- เพิ่มการฝึกอบรมพนักงานให้มีความรู้และความเข้าใจเชิงลึกในประเด็นกฎหมายและเทคนิคการจัดการคำขอ
- จัดทำคู่มือคำถามที่พบบ่อย เพื่อให้เจ้าของข้อมูลเข้าใจขั้นตอนและลดคำขอซ้ำซ้อน

___

**ผู้จัดทำรายงาน** นางสาวสุภาวดี คำแก้ว เจ้าหน้าที่วิเคราะห์ข้อมูลคุ้มครองข้อมูลส่วนบุคคล

**วันที่จัดทำรายงาน:** 15 มิถุนายน 2568

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/5-1-17.md

============================================================
โนด: แนวปฏิบัติ 5.1.18
ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/5-1-18.md

# 5.1.18 องค์กรมีขั้นตอนและกระบวนการตามความเหมาะสม ได้สัดส่วนและสมเหตุสมผลในการตรวจสอบความถูกต้องของข้อมูลส่วนบุคคลที่เก็บไว้ และหากจำเป็น ก็สามารถทำการแก้ไขข้อมูลนั้นได้

## สิ่งที่ต้องทำ

มีขั้นตอนและระบบเทคโนโลยีสารสนเทศในการตรวจสอบความถูกต้องของข้อมูลส่วนบุคคลที่มีการเก็บรวบรวม

## หลักฐาน

1. เอกสารแสดงขั้นตอนและกระบวนการในการตรวจสอบความถูกต้องของข้อมูลส่วนบุคคลที่มีการเก็บรวบรวม
2. ระบบเทคโนโลยีสารสนเทศในการตรวจสอบความถูกต้องของข้อมูลส่วนบุคคลที่มีการเก็บรวบรวม

## สภาพบังคับ

พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 [มาตรา 35](https://link.pdpalawbase.com/section/35.md) [มาตรา 36](https://link.pdpalawbase.com/section/36.md) โทษทางปกครองในกรณีที่ไม่ปฏิบัติตาม [มาตรา 35](https://link.pdpalawbase.com/section/35.md) [มาตรา 36](https://link.pdpalawbase.com/section/36.md) ซึ่งมีความเชื่อมโยงกับ [มาตรา 39](https://link.pdpalawbase.com/section/39.md) กำหนดโทษปรับทางปกครองไม่เกิน 1 ล้านบาท

## ตัวอย่างเอกสาร

### ขั้นตอนและกระบวนการตรวจสอบความถูกต้องของข้อมูลส่วนบุคคล

**วัตถุประสงค์:** เพื่อให้มั่นใจว่าข้อมูลส่วนบุคคลที่องค์กรเก็บรวบรวมมีความถูกต้อง ครบถ้วน และทันสมัย สอดคล้องกับพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 [มาตรา 35](https://link.pdpalawbase.com/section/35.md) และ [มาตรา 36](https://link.pdpalawbase.com/section/36.md)

1. **การกำหนดความถี่ในการตรวจสอบข้อมูล** — กำหนดให้มีการตรวจสอบความถูกต้องของข้อมูลส่วนบุคคลอย่างน้อยปีละ 1 ครั้ง หรือเมื่อมีคำขอแก้ไขข้อมูลจากเจ้าของข้อมูล
2. **การใช้ระบบเทคโนโลยีสารสนเทศในการตรวจสอบ** — ใช้ระบบฐานข้อมูลกลางที่มีฟังก์ชันตรวจสอบความสมบูรณ์ของข้อมูล เช่น การแจ้งเตือนข้อมูลผิดพลาด ข้อมูลซ้ำซ้อน หรือข้อมูลที่มีค่าไม่สมเหตุสมผล
3. **การแจ้งเตือนและการสอบทานข้อมูลที่ผิดปกติ** — ระบบจะแจ้งเตือนเจ้าหน้าที่ผู้รับผิดชอบเมื่อพบข้อมูลที่ผิดปกติ เช่น วันที่เกิดเหตุการณ์ไม่สมเหตุสมผล หรือข้อมูลที่ขัดแย้งกับฐานข้อมูลอื่น
4. **การดำเนินการตรวจสอบโดยเจ้าหน้าที่** — เจ้าหน้าที่จะตรวจสอบข้อมูลตามการแจ้งเตือน พร้อมประสานกับเจ้าของข้อมูลเพื่อตรวจสอบและยืนยันความถูกต้อง
5. **การแก้ไขข้อมูล** — หากพบว่าข้อมูลไม่ถูกต้อง เจ้าหน้าที่จะดำเนินการแก้ไขตามคำร้องของเจ้าของข้อมูล โดยต้องบันทึกข้อมูลการแก้ไข พร้อมเหตุผลและวันที่แก้ไขไว้ในระบบ
6. **การเก็บบันทึกประวัติการตรวจสอบและแก้ไขข้อมูล** — ระบบจะเก็บประวัติการตรวจสอบและแก้ไขข้อมูลเพื่อใช้เป็นหลักฐาน และตรวจสอบย้อนหลังได้
7. **การประเมินและปรับปรุงกระบวนการ** — หน่วยงานควบคุมคุณภาพข้อมูลจะจัดทำรายงานประเมินประสิทธิภาพของกระบวนการตรวจสอบข้อมูล และปรับปรุงระบบอย่างสม่ำเสมอ

### ระบบเทคโนโลยีสารสนเทศเพื่อการตรวจสอบความถูกต้องของข้อมูลส่วนบุคคล

- **ผู้รับผิดชอบหลัก:** เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล (DPO)

**โมดูลหลักของระบบ**

- **เครื่องมือตรวจสอบข้อมูลอัตโนมัติ** — ตรวจสอบความถูกต้องเชิงรูปแบบ เช่น หมายเลขบัตรประชาชน อีเมล หมายเลขโทรศัพท์ หรือรหัสพนักงาน รวมถึงตรรกะของข้อมูล เช่น วันที่สิ้นสุดต้องมากกว่าวันเริ่มต้น
- **โมดูลตรวจสอบข้ามฐานข้อมูล** — ตรวจสอบความสอดคล้องของข้อมูลระหว่างฐานข้อมูลภายใน เช่น ระบบทะเบียนพนักงาน ระบบลูกค้า เพื่อระบุข้อมูลที่ไม่ตรงกันหรือซ้ำซ้อน พร้อมแสดงรายงานข้อมูลที่ขัดแย้งให้หน่วยงานที่เกี่ยวข้องตรวจสอบได้ทันที
- **พอร์ทัลรับคำขอตรวจสอบ** — ให้เจ้าของข้อมูลส่งคำขอตรวจสอบและแก้ไขข้อมูลได้ด้วยตนเองผ่านช่องทางออนไลน์ ระบบจะบันทึกคำขอและแจ้งเตือนอัตโนมัติไปยังหน่วยงานผู้ดูแลข้อมูล เพื่อดำเนินการภายในไม่เกิน 15 วันทำการ
- **ขั้นตอนการแก้ไขข้อมูล** — มีขั้นตอนอนุมัติสำหรับการแก้ไขข้อมูล โดยต้องผ่านการตรวจสอบจากผู้ควบคุมข้อมูล และบันทึกประวัติการแก้ไขทุกครั้งเพื่อให้ตรวจสอบย้อนหลังได้
- **แดชบอร์ดรายงานและตรวจสอบ** — ติดตามสถานะการตรวจสอบความถูกต้อง เช่น จำนวนข้อมูลที่ผ่าน/ไม่ผ่านการตรวจสอบ ระยะเวลาการตอบสนองต่อคำขอ และประเภทข้อมูลที่มีการแก้ไขบ่อยที่สุด โดยรายงานต่อคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลขององค์กรเป็นรายเดือน

**มาตรการความมั่นคงปลอดภัยของระบบ**

- มีการเข้ารหัสข้อมูลทั้งระหว่างการรับส่งและการจัดเก็บ
- กำหนดสิทธิ์การเข้าถึงข้อมูลแยกตามบทบาท เช่น เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล ผู้ควบคุมข้อมูล และผู้ประมวลผลข้อมูล
- บันทึกประวัติการเข้าใช้งาน การตรวจสอบ และการแก้ไขข้อมูลทุกครั้ง
- ทดสอบการเจาะระบบอย่างน้อยปีละหนึ่งครั้ง

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/5-1-18.md

============================================================
โนด: แนวปฏิบัติ 5.1.19
ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/5-1-19.md

# 5.1.19 หากองค์กรมั่นใจว่าข้อมูลถูกต้องแล้ว จะต้องมีขั้นตอนในการอธิบายและแจ้งแก่เจ้าของข้อมูลส่วนบุคคล รวมถึงแจ้งสิทธิในการร้องเรียนตามมาตรา 73 และบันทึกข้อโต้แย้งตามหลักการปฏิบัติที่ดี

## สิ่งที่ต้องทำ

มีขั้นตอนในการอธิบายความถูกต้องและแจ้งไปยังเจ้าของข้อมูลส่วนบุคคล หากองค์กรมั่นใจว่าข้อมูลถูกต้องแล้ว ต้องแจ้งสิทธิในการร้องเรียนของบุคคลนั้นตาม [มาตรา 73](https://link.pdpalawbase.com/section/73.md) และควรบันทึกลงในระบบว่าบุคคลนั้นมีข้อโต้แย้งเกี่ยวกับความถูกต้องของข้อมูล

## หลักฐาน

1. เอกสารขั้นตอนในการอธิบายความถูกต้องของข้อมูลส่วนบุคคล

## สภาพบังคับ

พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 [มาตรา 35](https://link.pdpalawbase.com/section/35.md) [มาตรา 36](https://link.pdpalawbase.com/section/36.md) [มาตรา 39](https://link.pdpalawbase.com/section/39.md) โทษทางปกครองในกรณีที่ไม่ปฏิบัติตาม [มาตรา 35](https://link.pdpalawbase.com/section/35.md) [มาตรา 36](https://link.pdpalawbase.com/section/36.md) และ [มาตรา 39](https://link.pdpalawbase.com/section/39.md) กำหนดโทษปรับทางปกครองไม่เกิน 1 ล้านบาท

## ตัวอย่างเอกสาร

### ขั้นตอนการแจ้งความถูกต้องของข้อมูลส่วนบุคคลและสิทธิในการร้องเรียน

**วัตถุประสงค์:** เพื่อให้เจ้าของข้อมูลส่วนบุคคลได้รับทราบถึงความถูกต้องของข้อมูลที่เก็บไว้ พร้อมแจ้งสิทธิในการร้องเรียนตามกฎหมาย และจัดเก็บบันทึกข้อโต้แย้ง (ถ้ามี) เพื่อปฏิบัติตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 [มาตรา 35](https://link.pdpalawbase.com/section/35.md) [มาตรา 36](https://link.pdpalawbase.com/section/36.md) และ [มาตรา 39](https://link.pdpalawbase.com/section/39.md)

1. **การตรวจสอบและยืนยันความถูกต้องของข้อมูล** — เจ้าหน้าที่ตรวจสอบข้อมูลส่วนบุคคลตามคำร้องขอแก้ไข หรือประจำรอบตรวจสอบข้อมูล
2. **การจัดทำเอกสารชี้แจง** — หากพบว่าข้อมูลถูกต้อง เจ้าหน้าที่จัดทำเอกสารอธิบายสาเหตุและเหตุผลที่ยืนยันความถูกต้องของข้อมูล พร้อมระบุรายละเอียดข้อมูลที่ตรวจสอบ
3. **การแจ้งเจ้าของข้อมูลส่วนบุคคล** — ส่งเอกสารชี้แจงความถูกต้องของข้อมูลให้เจ้าของข้อมูลผ่านช่องทางที่ตกลงกันไว้ เช่น อีเมล จดหมาย หรือระบบออนไลน์ขององค์กร
4. **การแจ้งสิทธิในการร้องเรียน** — แจ้งให้เจ้าของข้อมูลทราบถึงสิทธิในการร้องเรียนต่อหน่วยงานกำกับดูแลข้อมูลส่วนบุคคล ตาม [มาตรา 73](https://link.pdpalawbase.com/section/73.md) ของพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 โดยระบุช่องทางและวิธีการร้องเรียนอย่างชัดเจน
5. **การบันทึกข้อโต้แย้ง (ถ้ามี)** — หากเจ้าของข้อมูลมีข้อโต้แย้งเกี่ยวกับความถูกต้องของข้อมูล ให้เจ้าหน้าที่บันทึกข้อโต้แย้งดังกล่าวลงในระบบฐานข้อมูล พร้อมบันทึกวันที่และรายละเอียด เพื่อเป็นหลักฐานและใช้ปรับปรุงข้อมูลต่อไป
6. **การติดตามและประเมินผล** — เจ้าหน้าที่จะติดตามผลการร้องเรียนและข้อโต้แย้งจนกว่าจะได้ข้อยุติ และรายงานผลให้เจ้าของข้อมูลทราบอย่างสม่ำเสมอ

### ตัวอย่างแบบฟอร์มแจ้งความถูกต้องของข้อมูลและสิทธิในการร้องเรียน

| รายการข้อมูล | คำชี้แจงความถูกต้อง |
| --- | --- |
| ชื่อ-นามสกุล | ข้อมูลตรงตามที่เจ้าของข้อมูลให้ไว้ ณ วันที่ตรวจสอบ |
| วันเดือนปีเกิด | ถูกต้องและได้รับการยืนยันจากเอกสารที่เกี่ยวข้อง |
| ที่อยู่ | ข้อมูลถูกต้องตามหลักฐานที่เจ้าของข้อมูลส่งให้ |

**สิทธิในการร้องเรียน** — เจ้าของข้อมูลมีสิทธิร้องเรียนต่อหน่วยงานกำกับดูแลข้อมูลส่วนบุคคลภายใน 30 วันนับจากวันที่ได้รับแจ้ง โดยร้องเรียนผ่านช่องทาง เช่น เว็บไซต์ของหน่วยงาน อีเมล หรือหมายเลขโทรศัพท์

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/5-1-19.md

============================================================
โนด: แนวปฏิบัติ 5.1.20
ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/5-1-20.md

# 5.1.20 หากข้อมูลส่วนบุคคลได้รับการเปิดเผยให้กับผู้อื่น องค์กรจะต้องติดต่อแต่ละผู้รับข้อมูลเพื่อแจ้งให้ทราบถึงการแก้ไขข้อมูลนั้น เว้นแต่ว่าจะเป็นไปไม่ได้หรือมีความพยายามที่ไม่สมเหตุสมผล

## สิ่งที่ต้องทำ

มีขั้นตอนในการดำเนินการแจ้งต่อผู้รับข้อมูลในกรณีที่ข้อมูลส่วนบุคคลถูกเปิดเผยต่อผู้อื่น โดยมีแบบฟอร์มการแจ้งที่ชัดเจน

## หลักฐาน

1. แบบฟอร์มการแจ้งต่อผู้รับข้อมูล ในกรณีข้อมูลส่วนบุคคลถูกเปิดเผยต่อผู้อื่น

## สภาพบังคับ

ไม่มีกฎหมายบังคับ

## ตัวอย่างเอกสาร

### ขั้นตอนการแจ้งผู้รับข้อมูลส่วนบุคคลเมื่อมีการแก้ไขข้อมูลหลังการเปิดเผย

**วัตถุประสงค์:** เพื่อให้แน่ใจว่าผู้รับข้อมูลส่วนบุคคลได้รับแจ้งการแก้ไขข้อมูลที่ถูกเปิดเผยไปแล้วอย่างเหมาะสม ยกเว้นกรณีที่ไม่สามารถดำเนินการได้หรือมีความพยายามที่ไม่สมเหตุสมผล

1. **ตรวจสอบรายการผู้รับข้อมูล** — เจ้าหน้าที่รวบรวมรายชื่อและช่องทางการติดต่อของผู้รับข้อมูลส่วนบุคคลที่ได้รับข้อมูลนั้นไปก่อนหน้า
2. **จัดทำเอกสารแจ้งการแก้ไขข้อมูล** — จัดทำแบบฟอร์มแจ้งข้อมูลที่แก้ไข โดยระบุข้อมูลเดิม ข้อมูลใหม่ วันที่แก้ไข และเหตุผลการแก้ไข
3. **ส่งแจ้งให้ผู้รับข้อมูลทราบ** — แจ้งผ่านช่องทางที่เหมาะสม เช่น อีเมล จดหมาย หรือระบบสื่อสารภายในองค์กร พร้อมแนบเอกสารแจ้งการแก้ไข
4. **บันทึกการแจ้ง** — บันทึกข้อมูลการแจ้งไว้ในระบบฐานข้อมูล รวมถึงวันที่แจ้ง วิธีการแจ้ง และชื่อผู้รับข้อมูลที่ได้รับแจ้ง
5. **กรณีไม่สามารถแจ้งได้** — หากมีเหตุผลที่ไม่สามารถแจ้งผู้รับข้อมูลได้ เช่น ขาดช่องทางติดต่อ หรือมีความพยายามที่ไม่สมเหตุสมผล เจ้าหน้าที่ต้องบันทึกเหตุผลประกอบไว้เป็นหลักฐาน

### ตัวอย่างแบบฟอร์มแจ้งการแก้ไขข้อมูลส่วนบุคคลให้ผู้รับข้อมูลทราบ

เรียน ผู้รับข้อมูล

ด้วยทางองค์กรได้ดำเนินการแก้ไขข้อมูลส่วนบุคคลที่ท่านได้รับจากองค์กรของเรา รายละเอียดข้อมูลที่แก้ไขมีดังนี้

| รายการข้อมูล | ข้อมูลเดิม | ข้อมูลใหม่ | วันที่แก้ไข | เหตุผลในการแก้ไข |
| --- | --- | --- | --- | --- |
| ชื่อ | สมชาย | สมศักดิ์ | 1 มิถุนายน 2568 | แก้ไขข้อมูลตามคำขอเจ้าของข้อมูล |
| ที่อยู่ | 123 หมู่ 5 | 456 หมู่ 6 | 1 มิถุนายน 2568 | ปรับปรุงข้อมูลที่อยู่ใหม่ |

กรุณาทราบว่าการแก้ไขข้อมูลนี้มีผลต่อการใช้ข้อมูลส่วนบุคคลตามข้อตกลงที่ได้กำหนดไว้ หากท่านมีข้อสงสัยหรือต้องการสอบถามข้อมูลเพิ่มเติม สามารถติดต่อเจ้าหน้าที่ผู้ดูแลข้อมูลส่วนบุคคลได้ตามช่องทางติดต่อ เช่น อีเมล หรือหมายเลขโทรศัพท์

___

- **ชื่อผู้รับผิดชอบ:** ______________________
- **ตำแหน่ง:** ______________________
- **ชื่อองค์กร:** ______________________
- **วันที่:** ______________________

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/5-1-20.md

============================================================
โนด: แนวปฏิบัติ 5.1.21
ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/5-1-21.md

# 5.1.21 หากถูกร้ององค์กรสามารถระบุและแจ้งให้เจ้าของข้อมูลส่วนบุคคลทราบได้ว่าบุคคลที่สามรายใดได้รับข้อมูลส่วนบุคคลไปบ้าง

## สิ่งที่ต้องทำ

มีขั้นตอนและการทำบันทึกแจ้งให้เจ้าของข้อมูลส่วนบุคคลทราบได้ว่าบุคคลที่สามรายใดได้รับข้อมูลส่วนบุคคลใดบ้าง โดยมีแบบฟอร์มการแจ้งที่ชัดเจน

## หลักฐาน

1. บันทึกการแจ้งต่อเจ้าของข้อมูลส่วนบุคคลในกรณีข้อมูลส่วนบุคคลถูกเปิดเผยต่อผู้อื่น

## สภาพบังคับ

ไม่มีกฎหมายบังคับ

## ตัวอย่างเอกสาร

### ขั้นตอนการแจ้งเจ้าของข้อมูลส่วนบุคคลเมื่อมีการเปิดเผยข้อมูลให้บุคคลที่สาม

**วัตถุประสงค์:** เพื่อให้เจ้าของข้อมูลส่วนบุคคลได้รับทราบว่าข้อมูลของตนได้ถูกเปิดเผยให้บุคคลที่สามรายใดบ้างอย่างชัดเจนและโปร่งใส

1. **ตรวจสอบข้อมูลการเปิดเผย** — เจ้าหน้าที่รวบรวมข้อมูลบุคคลที่สามที่ได้รับข้อมูลส่วนบุคคลของเจ้าของข้อมูลตามคำขอหรือการดำเนินงาน
2. **จัดทำรายงานข้อมูลการเปิดเผย** — รวบรวมรายการข้อมูลที่เปิดเผย รายชื่อบุคคลที่สาม วันที่เปิดเผย และวัตถุประสงค์ของการเปิดเผย
3. **จัดทำเอกสารแจ้งเจ้าของข้อมูล** — จัดทำแบบฟอร์มแจ้งข้อมูลการเปิดเผยที่ชัดเจนและเข้าใจง่าย
4. **ส่งแจ้งให้เจ้าของข้อมูล** — แจ้งผ่านช่องทางที่เจ้าของข้อมูลระบุ เช่น อีเมล จดหมาย หรือระบบออนไลน์ พร้อมแนบเอกสาร
5. **บันทึกการแจ้ง** — บันทึกข้อมูลการแจ้งไว้ในระบบ รวมถึงวันที่ ช่องทางที่แจ้ง และชื่อเจ้าของข้อมูลที่ได้รับแจ้ง

### แบบฟอร์มแจ้งการเปิดเผยข้อมูลส่วนบุคคล

เรียน เจ้าของข้อมูลส่วนบุคคลที่เคารพ

ทางองค์กรขอแจ้งให้ท่านทราบว่า ข้อมูลส่วนบุคคลของท่านได้ถูกเปิดเผยให้กับบุคคลที่สามตามรายละเอียดดังนี้

| รายชื่อบุคคลที่สาม | ข้อมูลส่วนบุคคลที่เปิดเผย | วันที่เปิดเผย | วัตถุประสงค์ของการเปิดเผย |
|---|---|---|---|
| บริษัท ABC จำกัด | ชื่อ ที่อยู่ เบอร์โทร | 10 พฤษภาคม 2568 | เพื่อวัตถุประสงค์ในการจัดส่งสินค้า |
| บริษัท XYZ จำกัด | ชื่อ อีเมล | 15 พฤษภาคม 2568 | เพื่อวัตถุประสงค์ในการให้บริการลูกค้า |

หากท่านมีข้อสงสัยหรือต้องการข้อมูลเพิ่มเติม กรุณาติดต่อเจ้าหน้าที่ผู้ดูแลข้อมูลส่วนบุคคลได้ที่ [ช่องทางติดต่อ]

ขอแสดงความนับถือ

- [ชื่อผู้รับผิดชอบ]
- [ตำแหน่ง]
- [ชื่อองค์กร]
- [วันที่]

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/5-1-21.md

============================================================
โนด: แนวปฏิบัติ 5.1.22
ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/5-1-22.md

# 5.1.22 องค์กรจะลบข้อมูลส่วนบุคคลจากระบบสำรองข้อมูล รวมถึงระบบที่ใช้งานอยู่เมื่อจำเป็น และทำการชี้แจงให้บุคคลนั้นทราบอย่างชัดเจนว่าข้อมูลของพวกเขาจะถูกจัดการอย่างไร

## สิ่งที่ต้องทำ

มีการดำเนินการแก่เจ้าของข้อมูลส่วนบุคคลที่ขอใช้สิทธิดำเนินการลบข้อมูลส่วนบุคคลออกจากระบบสำรองและระบบใช้งานจริง โดยใช้ระบบเทคโนโลยีสารสนเทศ

## หลักฐาน

1. แบบฟอร์มการขอใช้สิทธิลบข้อมูลส่วนบุคคล
2. แบบฟอร์มและเอกสารสำหรับชี้แจงแก่เจ้าของข้อมูลส่วนบุคคลเกี่ยวกับขั้นตอนหรือวิธีการในการลบหรือทำลายข้อมูลส่วนบุคคล
3. ระบบเทคโนโลยีสารสนเทศในการลบข้อมูลส่วนบุคคลที่มีประสิทธิภาพ

## สภาพบังคับ

พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 [มาตรา 22](https://link.pdpalawbase.com/section/22.md) [มาตรา 27](https://link.pdpalawbase.com/section/27.md) และ [มาตรา 33](https://link.pdpalawbase.com/section/33.md) ประกอบกับประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง หลักเกณฑ์ในการลบหรือทำลายหรือทำให้ข้อมูลส่วนบุคคลเป็นข้อมูลที่ไม่สามารถระบุตัวบุคคลที่เป็นเจ้าของข้อมูลส่วนบุคคลได้ พ.ศ. 2567 ข้อ 3

โทษทางปกครองในกรณีที่ไม่ปฏิบัติตาม [มาตรา 33](https://link.pdpalawbase.com/section/33.md) กำหนดโทษปรับทางปกครองไม่เกิน 1 ล้านบาท

## ตัวอย่างเอกสาร

### แบบฟอร์มการขอใช้สิทธิลบข้อมูลส่วนบุคคล

- **ชื่อ-นามสกุล:** ___________________________
- **เลขบัตรประชาชน/หนังสือเดินทาง:** ___________________________
- **เบอร์ติดต่อ:** ___________________________
- **อีเมล:** ___________________________
- **วันที่ขอใช้สิทธิ:** ___________________________
- **รายละเอียดข้อมูลส่วนบุคคลที่ต้องการลบ:** ___________________________
- **เหตุผลในการขอลบข้อมูล:** ___________________________

ข้าพเจ้ายินยอมให้ตรวจสอบข้อมูลดังกล่าวและดำเนินการลบข้อมูลตามคำขอ

- ลงชื่อ ___________________________ (ผู้ขอใช้สิทธิ)
- วันที่ ___________________________

### เอกสารชี้แจงการดำเนินการลบข้อมูลส่วนบุคคล

เรียน เจ้าของข้อมูลส่วนบุคคลที่เคารพ

ตามคำขอใช้สิทธิลบข้อมูลส่วนบุคคลของท่าน ทางองค์กรขอแจ้งให้ทราบว่า ข้อมูลส่วนบุคคลของท่านจะถูกดำเนินการลบออกจากระบบใช้งานจริงและระบบสำรองข้อมูล การลบข้อมูลจะดำเนินการโดยใช้ระบบเทคโนโลยีสารสนเทศที่มีประสิทธิภาพและได้มาตรฐาน เพื่อให้มั่นใจว่าข้อมูลจะไม่สามารถกู้คืนได้หลังจากถูกลบ

การดำเนินการลบข้อมูลนี้อาจใช้เวลาประมาณ [ระบุจำนวนวันทำการ] วันทำการ หากมีข้อสงสัยหรือข้อร้องเรียน กรุณาติดต่อเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลผ่านช่องทาง [ช่องทางติดต่อ]

ขอแสดงความนับถือ

- [ชื่อผู้รับผิดชอบ]
- [ตำแหน่ง]
- [ชื่อองค์กร]
- [วันที่]

### ระบบเทคโนโลยีสารสนเทศในการลบข้อมูลส่วนบุคคล

- ใช้ซอฟต์แวร์บริหารจัดการข้อมูลที่รองรับการลบข้อมูลแบบถาวรตามมาตรฐานสากล เช่น DoD 5220.22-M หรือ NIST SP 800-88
- ระบบสำรองข้อมูลมีฟังก์ชันการลบข้อมูลแบบครบถ้วน รวมทั้งระบบอัตโนมัติในการจัดเก็บและลบข้อมูลที่หมดอายุหรือได้รับคำขอ
- มีระบบบันทึกประวัติการลบข้อมูล เพื่อแสดงหลักฐานว่าข้อมูลส่วนบุคคลได้ถูกลบอย่างสมบูรณ์ในวันและเวลาที่ระบุ
- เจ้าหน้าที่ฝ่ายเทคโนโลยีสารสนเทศและฝ่ายคุ้มครองข้อมูลส่วนบุคคลได้รับการอบรมและมีขั้นตอนปฏิบัติในการดำเนินการลบข้อมูลอย่างเคร่งครัด

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/5-1-22.md

============================================================
โนด: แนวปฏิบัติ 5.1.23
ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/5-1-23.md

# 5.1.23 หากข้อมูลส่วนบุคคลได้รับการเผยแพร่สู่สาธารณะในรูปแบบออนไลน์ องค์กรจะดำเนินการตามขั้นตอนที่เหมาะสมเพื่อแจ้งให้ผู้ควบคุมข้อมูลส่วนบุคคลรายอื่นทราบ เพื่อให้ลบลิงก์ที่เชื่อมโยงไปยังข้อมูล หยุดการคัดลอก หรือหยุดการทำซ้ำข้อมูลนั้น

## สิ่งที่ต้องทำ

มีการใช้ระบบเทคโนโลยีสารสนเทศในการแจ้งให้ผู้ควบคุมข้อมูลส่วนบุคคลรายอื่นทราบ เพื่อให้ลบลิงก์ที่เชื่อมโยงไปยังข้อมูล หยุดการคัดลอก หรือหยุดการทำซ้ำข้อมูลนั้น

## หลักฐาน

1. บันทึกการแจ้งต่อเจ้าของข้อมูลส่วนบุคคลในกรณีข้อมูลส่วนบุคคลถูกเปิดเผยต่อผู้อื่น
2. ระบบในการดำเนินการลบลิงก์ที่เชื่อมโยงไปยังข้อมูล หยุดการคัดลอก หรือหยุดการทำซ้ำข้อมูลนั้น ในกรณีที่ข้อมูลส่วนบุคคลเป็นข้อมูลที่เปิดเผยต่อสาธารณะ

## สภาพบังคับ

พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 [มาตรา 33](https://link.pdpalawbase.com/section/33.md) วรรคสาม

## ตัวอย่างเอกสาร

### บันทึกการแจ้งกรณีข้อมูลส่วนบุคคลเผยแพร่สู่สาธารณะ

- **ชื่อเจ้าของข้อมูล:** ___________________________
- **วันที่แจ้ง:** ___________________________
- **ช่องทางเผยแพร่ข้อมูล:** ___________________________
- **รายละเอียดข้อมูลที่เผยแพร่:** ___________________________
- **ลิงก์ที่เกี่ยวข้อง:** ___________________________

องค์กรได้ดำเนินการแจ้งผู้ควบคุมข้อมูลส่วนบุคคลรายอื่นที่เกี่ยวข้อง เพื่อขอให้ดำเนินการลบลิงก์ หยุดการคัดลอก หรือหยุดการทำซ้ำข้อมูลดังกล่าว โดยมีรายละเอียดดังนี้

1. **วันที่แจ้งผู้ควบคุมข้อมูลส่วนบุคคลรายอื่น:** ___________________________
2. **ช่องทางการแจ้ง (อีเมล/จดหมาย/ระบบอิเล็กทรอนิกส์):** ___________________________
3. **ผู้รับแจ้ง:** ___________________________
4. **สถานะการดำเนินการ:**
   - ☐ ดำเนินการลบลิงก์เรียบร้อยแล้ว
   - ☐ อยู่ระหว่างการดำเนินการ
   - ☐ ไม่สามารถดำเนินการได้ (เหตุผล: ___________________________)

- ลงชื่อผู้รายงาน ___________________________
- ตำแหน่ง ___________________________
- วันที่ ___________________________

### ระบบเทคโนโลยีสารสนเทศในการแจ้งและดำเนินการลบลิงก์/หยุดการทำซ้ำข้อมูล

- **ระบบแจ้งเตือนอัตโนมัติ** — ใช้ส่งคำขอลบลิงก์หรือหยุดการคัดลอกไปยังผู้ควบคุมข้อมูลส่วนบุคคลรายอื่นผ่านอีเมลหรือแพลตฟอร์มบริหารจัดการข้อมูล
- **ระบบติดตามสถานะ** — ติดตามสถานะการแจ้งเตือนและการตอบกลับจากผู้รับแจ้งอย่างเป็นระบบ เพื่อให้สามารถตรวจสอบความคืบหน้าและความสมบูรณ์ของการดำเนินงานได้
- **เครื่องมือป้องกันการทำซ้ำข้อมูล** — เช่น การตั้งค่าการเข้าถึง การป้องกันการดาวน์โหลด หรือการใช้งานลิงก์แบบมีเวลาจำกัด
- **เจ้าหน้าที่ผู้รับผิดชอบ** — ติดตามและประสานงานในกรณีที่ผู้ควบคุมข้อมูลรายอื่นไม่ดำเนินการตามคำขอ
- **รายงานสรุปการดำเนินงาน** — ระบบสามารถสร้างรายงานสรุปการดำเนินงานและแจ้งเตือนเจ้าหน้าที่เมื่อมีการละเมิดซ้ำ

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/5-1-23.md

============================================================
โนด: แนวปฏิบัติ 5.1.24
ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/5-1-24.md

# 5.1.24 หากข้อมูลส่วนบุคคลถูกเปิดเผยต่อผู้อื่น องค์กรจะติดต่อผู้รับแต่ละรายเพื่อแจ้งให้ทราบเกี่ยวกับการลบหรือทำลาย เว้นแต่จะเป็นการเปิดเผยโดยที่กฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคลมีบทบัญญัติหรือให้อำนาจเปิดเผยได้

## สิ่งที่ต้องทำ

มีการทำบันทึกแจ้งต่อผู้รับแต่ละราย ในกรณีข้อมูลส่วนบุคคลถูกเปิดเผยต่อผู้อื่น โดยมีแบบฟอร์มการแจ้งที่ชัดเจน

## หลักฐาน

1. บันทึกการแจ้งต่อเจ้าของข้อมูลส่วนบุคคลในกรณีข้อมูลส่วนบุคคลถูกเปิดเผยต่อผู้อื่น

## สภาพบังคับ

พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 [มาตรา 33](https://link.pdpalawbase.com/section/33.md) วรรคสาม ประกอบกับประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง หลักเกณฑ์ในการลบหรือทำลายหรือทำให้ข้อมูลส่วนบุคคลเป็นข้อมูลที่ไม่สามารถระบุตัวบุคคลที่เป็นเจ้าของข้อมูลส่วนบุคคลได้ พ.ศ. 2567

## ตัวอย่างเอกสาร

### บันทึกการแจ้งผู้รับข้อมูลส่วนบุคคลกรณีลบหรือทำลายข้อมูล

**ข้อมูลเจ้าของข้อมูลส่วนบุคคล**

- **ชื่อเจ้าของข้อมูล:** ___________________________
- **วันที่ได้รับคำขอใช้สิทธิ:** ___________________________
- **ประเภทข้อมูลส่วนบุคคล:** ___________________________
- **ช่องทางเผยแพร่ข้อมูล:** ___________________________

**ข้อมูลผู้รับข้อมูลส่วนบุคคล**

- **ชื่อผู้รับข้อมูล:** ___________________________
- **หน่วยงาน/บริษัท:** ___________________________
- **วันที่ได้รับข้อมูล:** ___________________________
- **ลักษณะการเปิดเผยข้อมูล:** ___________________________

**รายละเอียดการแจ้งลบ/ทำลายข้อมูล**

องค์กรได้ดำเนินการแจ้งผู้รับข้อมูลส่วนบุคคลรายนี้ เพื่อแจ้งให้ทราบเกี่ยวกับการลบหรือทำลายข้อมูลส่วนบุคคลที่ได้รับเปิดเผยแล้ว โดยมีรายละเอียดดังนี้

1. **วันที่แจ้ง:** ___________________________
2. **วิธีการแจ้ง (เช่น อีเมล จดหมาย โทรศัพท์):** ___________________________
3. **เนื้อหาการแจ้ง:**
   - แจ้งให้ลบข้อมูลส่วนบุคคลตามคำขอใช้สิทธิ
   - แจ้งให้ทำลายหรือไม่ใช้ข้อมูลส่วนบุคคลดังกล่าวต่อไป
   - แจ้งข้อกำหนดตามกฎหมายที่เกี่ยวข้อง
4. **การตอบกลับจากผู้รับข้อมูล:**
   - ☐ ยืนยันลบ/ทำลายข้อมูลแล้ว
   - ☐ อยู่ระหว่างดำเนินการ
   - ☐ ไม่สามารถดำเนินการได้ (ระบุเหตุผล): ___________________________

- ลงชื่อผู้รายงาน ___________________________
- ตำแหน่ง ___________________________
- วันที่ ___________________________

**เอกสารแนบท้าย**

- แบบฟอร์มแจ้งลบ/ทำลายข้อมูลส่วนบุคคล
- แนวทางและกระบวนการติดต่อแจ้งผู้รับข้อมูลส่วนบุคคล
- รายการตรวจสอบการดำเนินการตามคำขอใช้สิทธิ

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/5-1-24.md

============================================================
โนด: แนวปฏิบัติ 5.1.25
ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/5-1-25.md

# 5.1.25 หากถูกร้องขอ องค์กรสามารถระบุและแจ้งให้เจ้าของข้อมูลส่วนบุคคลทราบได้ว่าบุคคลที่สามหรือผู้ควบคุมข้อมูลส่วนบุคคลรายอื่นใดที่ได้รับข้อมูลส่วนบุคคลไป

## สิ่งที่ต้องทำ

มีบันทึกแจ้งให้เจ้าของข้อมูลส่วนบุคคลทราบได้ว่าบุคคลที่สามหรือผู้ควบคุมข้อมูลส่วนบุคคลรายใดได้รับข้อมูลส่วนบุคคลบ้าง โดยมีแบบฟอร์มที่ชัดเจน

## หลักฐาน

1. เอกสารหรือหลักฐานแสดงการแจ้งให้เจ้าของข้อมูลส่วนบุคคลทราบถึงรายชื่อของบุคคลที่สาม หรือผู้ควบคุมข้อมูลส่วนบุคคลรายอื่นที่เปิดเผยข้อมูลส่วนบุคคลไป

## สภาพบังคับ

ไม่มีกฎหมายบังคับ

## ตัวอย่างเอกสาร

### บันทึกแจ้งเจ้าของข้อมูลส่วนบุคคลกรณีเปิดเผยข้อมูลให้บุคคลที่สามหรือผู้ควบคุมข้อมูลรายอื่น

**ข้อมูลเจ้าของข้อมูลส่วนบุคคล**

- **ชื่อเจ้าของข้อมูล:** ___________________________
- **เลขที่คำขอใช้สิทธิ:** ___________________________
- **วันที่ร้องขอข้อมูล:** ___________________________

**รายละเอียดข้อมูลส่วนบุคคลที่เปิดเผย**

- **ประเภทข้อมูลส่วนบุคคล:** ___________________________
- **วันที่เปิดเผยข้อมูล:** ___________________________

| ลำดับที่ | ชื่อบุคคลที่สาม/ผู้ควบคุมข้อมูลรายอื่น | หน่วยงาน/บริษัท | วันที่เปิดเผยข้อมูล | หมายเหตุ (ถ้ามี) |
|---|---|---|---|---|
| 1 | | | | |
| 2 | | | | |
| 3 | | | | |

**ข้อความแจ้งเจ้าของข้อมูล**

เรียน คุณ ___________________________

ตามที่ท่านได้ร้องขอข้อมูลเกี่ยวกับการเปิดเผยข้อมูลส่วนบุคคลของท่าน ทางองค์กรขอแจ้งให้ทราบว่า ข้อมูลส่วนบุคคลของท่านได้ถูกเปิดเผยต่อบุคคลที่สามหรือผู้ควบคุมข้อมูลส่วนบุคคลรายอื่น ดังรายละเอียดตามตารางข้างต้น

หากท่านมีข้อสงสัยหรือต้องการข้อมูลเพิ่มเติม กรุณาติดต่อ ___________________________ (ชื่อเจ้าหน้าที่) โทรศัพท์ ___________________________ หรืออีเมล ___________________________

ขอแสดงความนับถือ

- (ชื่อผู้แจ้ง)
- ตำแหน่ง ___________________________
- วันที่ ___________________________

ลงชื่อเจ้าของข้อมูล (เพื่อยืนยันการรับแจ้ง)

- ลงชื่อ ___________________________
- วันที่ ___________________________

**เอกสารแนบท้าย**

- แบบฟอร์มแจ้งรายชื่อผู้รับข้อมูลส่วนบุคคล
- รายงานการดำเนินการตามคำขอ

**หมายเหตุ**

- เอกสารนี้เป็นไปตามข้อกำหนดการบริหารจัดการข้อมูลส่วนบุคคลขององค์กร
- กฎหมายไม่ได้กำหนดเฉพาะเจาะจง แต่เป็นการปฏิบัติเพื่อความโปร่งใสและสร้างความเชื่อมั่นกับเจ้าของข้อมูล

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/5-1-25.md

============================================================
โนด: แนวปฏิบัติ 5.1.26
ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/5-1-26.md

# 5.1.26 องค์กรให้ความสำคัญเป็นพิเศษกับคำขอให้ลบซึ่งเกี่ยวเนื่องกับความยินยอมของผู้เยาว์ โดยเฉพาะอย่างยิ่งเมื่อเป็นการประมวลผลข้อมูลส่วนบุคคลใด ๆ บนอินเทอร์เน็ต

## สิ่งที่ต้องทำ

ในกรณีที่ผู้ขอลบข้อมูลส่วนบุคคลเป็นผู้เยาว์ และมีการใช้ความยินยอมเป็นฐานทางกฎหมายในการประมวลผลข้อมูลส่วนบุคคลของผู้เยาว์ องค์กรต้องขอความยินยอมจากผู้ปกครองของผู้เยาว์ โดยจัดให้มีแบบฟอร์มการขอความยินยอมที่ชัดเจน

## หลักฐาน

1. แบบฟอร์มการให้ความยินยอมจากผู้ปกครองในกรณีผู้ขอลบข้อมูลส่วนบุคคลเป็นผู้เยาว์

## สภาพบังคับ

ไม่มีกฎหมายบังคับ

## ตัวอย่างเอกสาร

### แบบฟอร์มรับความยินยอมจากผู้ปกครองสำหรับการลบข้อมูลส่วนบุคคลของผู้เยาว์

**ข้อมูลผู้เยาว์**

- ชื่อ-นามสกุล: ______________________________________
- วันเดือนปีเกิด: ____________________________________
- เลขบัตรประชาชน/เลขประจำตัวผู้เยาว์ (ถ้ามี): ____________________________

**ข้อมูลผู้ปกครอง**

- ชื่อ-นามสกุล: ______________________________________
- ความสัมพันธ์กับผู้เยาว์: ____________________________
- หมายเลขโทรศัพท์: _________________________________
- อีเมล: ___________________________________________

**รายละเอียดคำขอลบข้อมูลส่วนบุคคล**

- วันที่ยื่นคำขอ: ____________________________________
- รายละเอียดข้อมูลส่วนบุคคลที่ต้องการให้ลบ: ______________________________

### ข้อความขอความยินยอม

ข้าพเจ้าในฐานะผู้ปกครองของ

- ชื่อ-นามสกุลผู้เยาว์: ______________________________________

ขอให้ความยินยอมในการดำเนินการลบข้อมูลส่วนบุคคลของผู้เยาว์ตามคำขอข้างต้น และรับทราบว่าการลบข้อมูลส่วนบุคคลของผู้เยาว์อาจถูกลบออกจากฐานข้อมูลขององค์กรทั้งในระบบหลักและระบบสำรอง

ข้าพเจ้ายืนยันว่าได้ให้ความยินยอมโดยเสรี โดยไม่มีการบังคับ หรือชักจูง และเข้าใจผลกระทบของการลบข้อมูลดังกล่าว

- ลงชื่อผู้ปกครอง: ________________________________
- วันที่: __________________________________________

### คำชี้แจงเพิ่มเติม

องค์กรจะดำเนินการลบข้อมูลส่วนบุคคลของผู้เยาว์เมื่อได้รับความยินยอมจากผู้ปกครองแล้วเท่านั้น

หากมีข้อสงสัยเพิ่มเติม กรุณาติดต่อเจ้าหน้าที่ที่รับผิดชอบ โทรศัพท์ ______________________ หรืออีเมล ______________________

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/5-1-26.md

============================================================
โนด: แนวปฏิบัติ 5.1.27
ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/5-1-27.md

# 5.1.27 องค์กรสามารถระงับหรือจำกัดการประมวลผลข้อมูลส่วนบุคคลในลักษณะที่เหมาะสมกับประเภทของการประมวลผลและระบบที่เกี่ยวข้อง เช่น การย้ายข้อมูลไปยังระบบอื่นชั่วคราวหรือลบออกจากเว็บไซต์

## สิ่งที่ต้องทำ

มีขั้นตอนในการขอใช้สิทธิในการระงับหรือจำกัดการประมวลผลข้อมูลส่วนบุคคล โดยอาจใช้ระบบเทคโนโลยีสารสนเทศในการดำเนินการ

## หลักฐาน

1. แบบฟอร์มการขอใช้สิทธิระงับหรือจำกัดการประมวลผลข้อมูลส่วนบุคคล
2. ระบบเทคโนโลยีสารสนเทศในการระงับหรือจำกัดการประมวลผลข้อมูลส่วนบุคคลที่มีประสิทธิภาพ

## สภาพบังคับ

พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 [มาตรา 34](https://link.pdpalawbase.com/section/34.md)

โทษทางปกครอง: ในกรณีที่ไม่ปฏิบัติตาม [มาตรา 33](https://link.pdpalawbase.com/section/33.md) กำหนดโทษปรับทางปกครองไม่เกิน 1 ล้านบาท

## ตัวอย่างเอกสาร

### แบบฟอร์มการขอใช้สิทธิระงับหรือจำกัดการประมวลผลข้อมูลส่วนบุคคล

**ข้อมูลเจ้าของข้อมูลส่วนบุคคล**

- ชื่อ-นามสกุล: ______________________________________
- หมายเลขโทรศัพท์: _________________________________
- อีเมล: ___________________________________________
- เลขบัตรประชาชน/หมายเลขประจำตัวอื่น (ถ้ามี): ____________________________

**ประเภทคำขอ (โปรดเลือก)**

- ☐ ขอระงับการประมวลผลข้อมูลส่วนบุคคล
- ☐ ขอจำกัดการประมวลผลข้อมูลส่วนบุคคล

**รายละเอียดคำขอ** (โปรดระบุเหตุผลและข้อมูลที่ต้องการระงับหรือจำกัดการประมวลผล)

_________________________________________________________

- วันที่ยื่นคำขอ: _________________________________

**ข้อความรับรอง**

ข้าพเจ้ายืนยันว่าข้อมูลข้างต้นเป็นความจริง และขอใช้สิทธิระงับ/จำกัดการประมวลผลข้อมูลส่วนบุคคลตามคำขอข้างต้น โดยเข้าใจสิทธิและผลกระทบจากการระงับหรือจำกัดนี้

- ลงชื่อเจ้าของข้อมูล: ________________________________
- วันที่: _________________________________

### ระบบเทคโนโลยีสารสนเทศในการระงับหรือจำกัดการประมวลผลข้อมูลส่วนบุคคล

- องค์กรมีระบบบริหารจัดการข้อมูลส่วนบุคคลที่สามารถระบุและทำเครื่องหมายข้อมูลส่วนบุคคลที่ต้องการระงับหรือจำกัดการประมวลผลได้ทันที โดยไม่มีผลกระทบต่อข้อมูลอื่น
- ระบบสามารถจัดเก็บสถานะคำขอและติดตามความคืบหน้าในการระงับหรือจำกัดการประมวลผลข้อมูลได้อย่างมีประสิทธิภาพ
- ในกรณีการระงับการประมวลผล ระบบสามารถทำให้ข้อมูลนั้นไม่แสดงผลในระบบใช้งาน หรือย้ายข้อมูลไปยังพื้นที่จัดเก็บแยกต่างหากอย่างปลอดภัย
- กรณีการจำกัดการประมวลผล ระบบจะจำกัดการใช้งานข้อมูลในบางฟังก์ชันตามคำขอ เช่น ไม่อนุญาตให้นำข้อมูลไปใช้ในกิจกรรมทางการตลาด หรือการวิเคราะห์เพิ่มเติม
- มีระบบแจ้งเตือนเจ้าหน้าที่เมื่อคำขอครบกำหนดหรือจำเป็นต้องทบทวนสถานะการระงับ/จำกัด

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/5-1-27.md

============================================================
โนด: แนวปฏิบัติ 5.1.28
ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/5-1-28.md

# 5.1.28 หากข้อมูลส่วนบุคคลถูกเปิดเผยต่อผู้อื่น องค์กรจะติดต่อผู้รับแต่ละรายเพื่อแจ้งเกี่ยวกับการระงับใช้ข้อมูลส่วนบุคคล

## สิ่งที่ต้องทำ

มีขั้นตอนในการดำเนินการแจ้งต่อผู้รับแต่ละราย ในกรณีที่ข้อมูลส่วนบุคคลถูกเปิดเผยต่อผู้อื่น โดยมีแบบฟอร์มบันทึกการแจ้งที่ชัดเจน

## หลักฐาน

1. บันทึกการแจ้งต่อผู้รับแต่ละรายเกี่ยวกับการระงับใช้ข้อมูลส่วนบุคคล ในกรณีที่ข้อมูลส่วนบุคคลถูกเปิดเผยต่อผู้อื่น

## สภาพบังคับ

ไม่มีกฎหมายบังคับ

## ตัวอย่างเอกสาร

### แบบฟอร์มบันทึกการแจ้งต่อผู้รับข้อมูลส่วนบุคคลเกี่ยวกับการระงับใช้ข้อมูลส่วนบุคคล

- ชื่อผู้รับข้อมูล: ______________________________________
- หน่วยงาน/องค์กร: ____________________________________
- ช่องทางติดต่อ (โทรศัพท์/อีเมล): _________________________
- วันที่ได้รับข้อมูลส่วนบุคคล: _____________________________
- วันที่แจ้งการระงับใช้ข้อมูล: _____________________________

**รายละเอียดข้อมูลส่วนบุคคลที่ได้รับเปิดเผย**

_____________________________________________________

**เหตุผลในการระงับใช้ข้อมูลส่วนบุคคล**

_____________________________________________________

**คำชี้แจงเพิ่มเติม (ถ้ามี)**

_____________________________________________________

**ผู้แจ้งข้อมูล (เจ้าหน้าที่ผู้รับผิดชอบ)**

- ชื่อ-นามสกุล: ______________________________________
- ตำแหน่ง: __________________________________________
- ลงชื่อ: ____________________________________________
- วันที่: _____________________________________________

### ขั้นตอนการดำเนินการแจ้งการระงับใช้ข้อมูลส่วนบุคคลต่อผู้รับข้อมูล

- เมื่อองค์กรได้รับคำขอใช้สิทธิในการระงับหรือจำกัดการประมวลผลข้อมูลส่วนบุคคลที่เคยเปิดเผยต่อบุคคลที่สาม
- เจ้าหน้าที่รับผิดชอบจะตรวจสอบรายชื่อผู้รับข้อมูลทั้งหมดที่ได้รับข้อมูลส่วนบุคคลนั้น
- จัดทำแบบฟอร์มบันทึกการแจ้งเพื่อส่งต่อไปยังผู้รับข้อมูลแต่ละราย โดยระบุรายละเอียดข้อมูลที่ได้รับ วันที่แจ้ง และเหตุผลของการระงับใช้ข้อมูล
- ส่งแบบฟอร์มการแจ้งผ่านช่องทางที่เหมาะสม เช่น อีเมล หนังสือ หรือระบบสารสนเทศภายในองค์กร
- บันทึกข้อมูลการแจ้งลงในระบบติดตามคำขอและเก็บรักษาหลักฐานการแจ้งไว้อย่างครบถ้วน
- ติดตามผลการดำเนินการจากผู้รับข้อมูลเพื่อยืนยันว่ามีการระงับใช้ข้อมูลตามคำขอเรียบร้อยแล้ว

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/5-1-28.md

============================================================
โนด: แนวปฏิบัติ 5.1.29
ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/5-1-29.md

# 5.1.29 หากถูกร้องขอ องค์กรสามารถระบุและแจ้งให้เจ้าของข้อมูลส่วนบุคคลทราบได้ว่าบุคคลที่สามรายใดได้รับข้อมูลส่วนบุคคลไปบ้าง

## สิ่งที่ต้องทำ

มีบันทึกแจ้งให้เจ้าของข้อมูลส่วนบุคคลทราบได้ว่าบุคคลที่สามรายใดได้รับข้อมูลส่วนบุคคลบ้าง โดยมีแบบฟอร์มที่ชัดเจน

## หลักฐาน

1. บันทึกการแจ้งต่อเจ้าของข้อมูลส่วนบุคคลในกรณีข้อมูลส่วนบุคคลถูกเปิดเผยต่อผู้อื่น

## สภาพบังคับ

ไม่มีกฎหมายบังคับ

## ตัวอย่างเอกสาร

### แบบฟอร์มบันทึกการแจ้งเจ้าของข้อมูลส่วนบุคคล

**เรื่อง** แจ้งรายชื่อบุคคลที่สามที่ได้รับข้อมูลส่วนบุคคล

**ข้อมูลเจ้าของข้อมูลส่วนบุคคล**

- ชื่อ-นามสกุล: ______________________________________
- หมายเลขบัตรประชาชน/เลขทะเบียน: ____________________
- ที่อยู่/ช่องทางติดต่อ: _______________________________
- วันที่ได้รับคำขอข้อมูล: _______________________________
- วันที่แจ้งตอบกลับ: __________________________________

**รายละเอียดข้อมูลส่วนบุคคลที่เปิดเผย**

_____________________________________________________

**รายชื่อบุคคลที่สามหรือผู้ควบคุมข้อมูลส่วนบุคคลรายอื่นที่ได้รับข้อมูลส่วนบุคคล**

| ชื่อ | หน่วยงาน/องค์กร | ช่องทางติดต่อ |
|------|-----------------|----------------|
| ________________ | ________________ | ________________ |
| ________________ | ________________ | ________________ |

**คำชี้แจงเพิ่มเติม (ถ้ามี)**

_____________________________________________________

**ผู้แจ้งข้อมูล**

- ชื่อ-นามสกุล: ______________________________________
- ตำแหน่ง: __________________________________________
- ลงชื่อ: ____________________________________________
- วันที่: _____________________________________________

### ขั้นตอนการดำเนินงาน

- เมื่อได้รับคำร้องขอจากเจ้าของข้อมูลส่วนบุคคล องค์กรจะตรวจสอบรายชื่อบุคคลที่สามหรือผู้ควบคุมข้อมูลส่วนบุคคลรายอื่นที่ได้รับข้อมูล
- จัดทำบันทึกแจ้งตามแบบฟอร์มที่กำหนด
- ส่งแบบฟอร์มแจ้งเจ้าของข้อมูลส่วนบุคคลผ่านช่องทางที่เหมาะสม เช่น อีเมล หรือไปรษณีย์
- บันทึกหลักฐานการแจ้งและเก็บรักษาไว้อย่างครบถ้วนในระบบบริหารจัดการข้อมูล

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/5-1-29.md

============================================================
โนด: แนวปฏิบัติ 5.1.30
ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/5-1-30.md

# 5.1.30 เมื่อได้รับการร้องขอ องค์กรจะจัดเตรียมข้อมูลส่วนบุคคลที่อยู่ในรูปแบบที่สามารถอ่านหรือใช้งานโดยทั่วไป ด้วยเครื่องมือหรืออุปกรณ์ที่ทำงานได้โดยอัตโนมัติและสามารถใช้หรือเปิดเผยข้อมูลส่วนบุคคลได้ด้วยวิธีการอัตโนมัติ

## สิ่งที่ต้องทำ

มีการจัดทำข้อมูลส่วนบุคคลที่อยู่ในรูปแบบที่สามารถอ่านหรือใช้งานโดยทั่วไป ด้วยเครื่องมือหรืออุปกรณ์ที่ทำงานได้โดยอัตโนมัติและสามารถใช้หรือเปิดเผยข้อมูลส่วนบุคคลได้ด้วยวิธีการอัตโนมัติ และการส่งหรือโอนข้อมูลส่วนบุคคลมีความปลอดภัยเป็นไปตามมาตรฐานขั้นต่ำตามที่กฎหมายกำหนด

## หลักฐาน

1. รูปแบบการจัดทำข้อมูลส่วนบุคคลที่สามารถอ่านได้หรือใช้งานโดยทั่วไป ด้วยเครื่องมือหรืออุปกรณ์ที่ทำงานได้โดยอัตโนมัติ

## สภาพบังคับ

พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 [มาตรา 31](https://link.pdpalawbase.com/section/31.md) — ไม่มีกฎหมายกำหนดโทษ

## ตัวอย่างเอกสาร

### แนวทางการดำเนินงาน

- องค์กรจะจัดเตรียมข้อมูลส่วนบุคคลตามคำขอของเจ้าของข้อมูลในรูปแบบไฟล์ดิจิทัลที่เปิดอ่านหรือใช้งานได้ง่าย เช่น ไฟล์ CSV, JSON, XML หรือ PDF ที่สามารถเปิดด้วยโปรแกรมทั่วไป
- ใช้เครื่องมือหรือระบบเทคโนโลยีสารสนเทศในการแปลงข้อมูลให้อยู่ในรูปแบบที่สอดคล้องกับมาตรฐานเปิด เพื่อให้อ่านและนำไปใช้ได้โดยอัตโนมัติ
- การส่งหรือโอนข้อมูลจะใช้ช่องทางที่ปลอดภัย เช่น การเข้ารหัสข้อมูล หรือระบบส่งข้อมูลที่ผ่านการรับรองความปลอดภัยตามมาตรฐานที่กฎหมายหรือองค์กรกำหนด

### แบบฟอร์มตัวอย่าง: รายงานข้อมูลส่วนบุคคลตามคำขอ

| หมายเลข | รายการข้อมูล | รายละเอียดข้อมูล | รูปแบบข้อมูล | หมายเหตุ |
|---------|--------------|------------------|--------------|----------|
| 1 | ชื่อ-นามสกุล | นายสมชาย ใจดี | ข้อความ | |
| 2 | วันเกิด | 01/01/2530 | ข้อความ | |
| 3 | เบอร์โทรศัพท์ | 081-234-5678 | ข้อความ | |
| 4 | ที่อยู่ | 123/45 หมู่บ้าน | ข้อความ | |
| 5 | อีเมล | somchai@email.com | ข้อความ | |

รายงานข้อมูลจัดเก็บในรูปแบบ CSV เพื่อให้เปิดใช้งานได้ง่ายด้วยโปรแกรมตารางคำนวณหรือระบบอื่น ๆ และมีการเข้ารหัสไฟล์ก่อนส่ง เพื่อความปลอดภัยของข้อมูล

### ตัวอย่างข้อความแจ้งเจ้าของข้อมูล

เรียน คุณ ____________________

ตามคำร้องขอข้อมูลส่วนบุคคลของท่าน องค์กรได้จัดเตรียมข้อมูลในรูปแบบไฟล์ CSV ที่สามารถเปิดอ่านได้ด้วยโปรแกรมทั่วไป เช่น โปรแกรมตารางคำนวณ โดยข้อมูลถูกจัดเตรียมให้ครบถ้วนตามคำขอ

เพื่อความปลอดภัยของข้อมูล ไฟล์ดังกล่าวถูกเข้ารหัสไว้ และรหัสผ่านจะถูกส่งแยกทางช่องทางอื่น เช่น ข้อความสั้นหรือโทรศัพท์

กรุณาติดต่อกลับหากมีข้อสงสัยเพิ่มเติม

ขอแสดงความนับถือ

- (ชื่อผู้รับผิดชอบ) ________________________________
- ตำแหน่ง ________________________________
- วันที่ ________________________________

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/5-1-30.md

============================================================
โนด: แนวปฏิบัติ 5.1.31
ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/5-1-31.md

# 5.1.31 ในกรณีที่เป็นไปได้และหากบุคคลร้องขอ องค์กรสามารถส่งข้อมูลไปยังองค์กรอื่นด้วยวิธีการทางอิเล็กทรอนิกส์ได้โดยตรง

## สิ่งที่ต้องทำ

จัดให้มีการส่งข้อมูลไปยังองค์กรอื่นด้วยวิธีการทางอิเล็กทรอนิกส์ได้โดยตรง และการส่งหรือโอนข้อมูลส่วนบุคคลมีความปลอดภัยเป็นไปตามมาตรฐานขั้นต่ำตามที่กฎหมายกำหนด

## หลักฐาน

1. เอกสารหรือหลักฐานแสดงการส่งข้อมูลไปยังองค์กรอื่นด้วยวิธีการทางอิเล็กทรอนิกส์

## สภาพบังคับ

พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 [มาตรา 31](https://link.pdpalawbase.com/section/31.md) — ไม่มีกฎหมายกำหนดโทษ

## ตัวอย่างเอกสาร

### แนวทางการดำเนินงานส่งข้อมูลส่วนบุคคลไปยังองค์กรอื่นด้วยวิธีการทางอิเล็กทรอนิกส์

- องค์กรจัดเตรียมระบบหรือวิธีการที่สามารถส่งข้อมูลส่วนบุคคลไปยังองค์กรอื่นโดยตรงผ่านช่องทางอิเล็กทรอนิกส์ เช่น การส่งผ่านช่องทางเชื่อมต่อระบบที่เข้ารหัส การส่งไฟล์ข้อมูลที่เข้ารหัสผ่านอีเมล หรือระบบถ่ายโอนข้อมูลที่มีการยืนยันตัวตน
- จัดเตรียมมาตรการควบคุมที่เหมาะสม เช่น การเข้ารหัสข้อมูล การยืนยันตัวตนของผู้รับข้อมูล และการตรวจสอบสิทธิในการรับข้อมูล
- ในกรณีที่เจ้าของข้อมูลร้องขอ การส่งข้อมูลต้องดำเนินการโดยเร็วและมีบันทึกที่ชัดเจนเพื่อเป็นหลักฐาน

### ตัวอย่างแบบฟอร์มคำร้องขอส่งข้อมูลไปยังองค์กรอื่น

- **ชื่อผู้ร้องขอข้อมูล:** ___________
- **หมายเลขบัตรประชาชน/รหัสพนักงาน:** ___________
- **วันที่ร้องขอ:** ___________
- **องค์กรปลายทางที่ต้องการส่งข้อมูล:** ___________
- **ประเภทข้อมูลที่ต้องการส่ง:** ___________
- **ช่องทางการส่งข้อมูล:** ( ) ช่องทางเชื่อมต่อระบบที่เข้ารหัส ( ) อีเมลเข้ารหัส ( ) อื่น ๆ: ___________
- **ลายมือชื่อผู้ร้องขอ:** ___________
- **วันที่:** ___________

### ตัวอย่างบันทึกการส่งข้อมูลทางอิเล็กทรอนิกส์

| รายการ | รายละเอียด |
|--------|-----------|
| วันที่/เวลา | 1 มิถุนายน 2568 เวลา 09.30 น. |
| ชื่อผู้ส่งข้อมูล | นางสาวสมหญิง สายทอง |
| องค์กรผู้รับข้อมูล | บริษัท ABC จำกัด |
| ประเภทข้อมูลที่ส่ง | ข้อมูลลูกค้า |
| ช่องทางการส่ง | ช่องทางเชื่อมต่อระบบที่เข้ารหัส |
| วิธีการรักษาความปลอดภัย | การเข้ารหัสการรับส่งและการยืนยันสิทธิเข้าถึง |
| หมายเหตุ | ส่งข้อมูลตามคำร้องขอ |

### ตัวอย่างข้อความแจ้งเจ้าของข้อมูล

เรียน คุณ ___________

ตามคำร้องขอของท่าน องค์กรได้ดำเนินการส่งข้อมูลส่วนบุคคลของท่านไปยังองค์กร ___________ โดยใช้ช่องทางอิเล็กทรอนิกส์ที่มีมาตรการรักษาความปลอดภัยอย่างเคร่งครัด เพื่อให้ข้อมูลของท่านได้รับการจัดการอย่างถูกต้อง กรุณาติดต่อเราหากท่านมีคำถามหรือข้อสงสัยเพิ่มเติม

ขอแสดงความนับถือ

- **ชื่อผู้รับผิดชอบ:** ___________
- **ตำแหน่ง:** ___________
- **วันที่:** ___________

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/5-1-31.md

============================================================
โนด: แนวปฏิบัติ 5.1.32
ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/5-1-32.md

# 5.1.32 องค์กรดำเนินการตรวจสอบเพิ่มเติมสำหรับกลุ่มเปราะบาง เช่น ผู้เยาว์ ผู้พิการ สำหรับการประมวลผลโดยระบบอัตโนมัติและการทำโปรไฟลิ่งอัตโนมัติ

## สิ่งที่ต้องทำ

มีนโยบายความเป็นส่วนตัวหรือประกาศความเป็นส่วนตัว โดยอธิบายถึงการปกป้องสิทธิที่เกี่ยวกับข้อมูลส่วนบุคคลที่เกี่ยวข้องกับการตัดสินใจโดยอัตโนมัติและการทำโปรไฟลิ่ง และระบุประเภทของข้อมูลที่จะจัดให้มีการตัดสินใจโดยอัตโนมัติและการทำโปรไฟลิ่งอย่างชัดเจน

## หลักฐาน

1. นโยบายความเป็นส่วนตัวหรือประกาศความเป็นส่วนตัวที่อธิบายการประมวลผลโดยระบบอัตโนมัติ

## สภาพบังคับ

ไม่มีกฎหมายบังคับ

## ตัวอย่างเอกสาร

### นโยบายความเป็นส่วนตัว (ส่วนที่เกี่ยวกับการตัดสินใจโดยอัตโนมัติและกลุ่มเปราะบาง)

องค์กรของเราให้ความสำคัญสูงสุดกับการคุ้มครองข้อมูลส่วนบุคคลของท่าน และยึดมั่นในหลักความโปร่งใส ความปลอดภัย และการปฏิบัติตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 อย่างเคร่งครัด

**1. วัตถุประสงค์ของนโยบายความเป็นส่วนตัว**

- เพื่อชี้แจงถึงแนวทางการเก็บรวบรวม ใช้ เปิดเผย และปกป้องข้อมูลส่วนบุคคลของท่าน
- เพื่ออธิบายสิทธิของเจ้าของข้อมูลส่วนบุคคลตามที่กฎหมายกำหนด
- เพื่อแจ้งวิธีการและช่องทางในการใช้สิทธิในการเข้าถึงข้อมูล แก้ไขข้อมูล และอื่น ๆ
- เพื่อแจ้งให้ทราบถึงการประมวลผลข้อมูลส่วนบุคคลโดยระบบอัตโนมัติและการทำโปรไฟลิ่ง

**2. การประมวลผลข้อมูลส่วนบุคคลโดยระบบอัตโนมัติและโปรไฟลิ่ง** — องค์กรมีการใช้ระบบอัตโนมัติและเทคโนโลยีโปรไฟลิ่งเพื่อปรับปรุงการให้บริการให้เหมาะสมและตรงตามความต้องการของผู้ใช้บริการแต่ละราย พัฒนาประสบการณ์ผู้ใช้ให้ดีขึ้นอย่างต่อเนื่อง และวิเคราะห์แนวโน้มและพฤติกรรมการใช้งานเพื่อเพิ่มประสิทธิภาพของระบบ

### การคุ้มครองกลุ่มเปราะบาง

องค์กรให้ความสำคัญเป็นพิเศษกับกลุ่มเปราะบาง เช่น

- ผู้เยาว์ (อายุต่ำกว่า 18 ปี)
- ผู้พิการหรือผู้ที่มีข้อจำกัดทางร่างกายและจิตใจ
- ผู้สูงอายุ
- กลุ่มที่มีความเปราะบางทางสังคมหรือเศรษฐกิจ
- กลุ่มที่อยู่ในสถานการณ์เฉพาะ เช่น ผู้ที่อยู่ในโรงพยาบาล โรงเรียน หรือองค์กรที่ต้องดูแลเป็นพิเศษ

โดยดำเนินมาตรการ ดังนี้

- จำกัดประเภทข้อมูลส่วนบุคคลที่ใช้ในการประมวลผลโดยอัตโนมัติและโปรไฟลิ่ง เพื่อไม่ให้กระทบต่อสิทธิและเสรีภาพของกลุ่มเปราะบาง
- ให้สิทธิแก่เจ้าของข้อมูลในการขอชี้แจงผลการตัดสินใจจากระบบอัตโนมัติ และมีสิทธิในการขอทบทวนหรือคัดค้าน
- ดำเนินการประเมินผลกระทบด้านความเป็นส่วนตัวก่อนเปิดใช้งานระบบดังกล่าวในกลุ่มเปราะบาง
- แจ้งข้อมูลให้เจ้าของข้อมูลทราบอย่างชัดเจนก่อนเริ่มประมวลผล

### ประเภทข้อมูลส่วนบุคคลที่ใช้ในการประมวลผลโดยระบบอัตโนมัติและโปรไฟลิ่ง

- ข้อมูลทั่วไป เช่น ชื่อ อายุ เพศ สถานภาพทางการศึกษา
- ข้อมูลพฤติกรรม เช่น ประวัติการเข้าชมเว็บไซต์ ประวัติการใช้งาน ความชอบ หรือพฤติกรรมออนไลน์
- ข้อมูลสุขภาพหรือข้อมูลพิเศษ (ถ้ามีการประมวลผลโดยได้รับความยินยอมเป็นลายลักษณ์อักษร หรือมีข้อกำหนดตามกฎหมาย)

### สิทธิของเจ้าของข้อมูลส่วนบุคคล

เจ้าของข้อมูลมีสิทธิขอเข้าถึงข้อมูลส่วนบุคคลของตน ขอให้แก้ไขข้อมูลที่ไม่ถูกต้องหรือไม่สมบูรณ์ ขอให้ลบหรือทำลายข้อมูลในกรณีที่ไม่มีความจำเป็นต้องเก็บรักษา ขอให้ระงับหรือจำกัดการประมวลผลข้อมูล คัดค้านการประมวลผลข้อมูลส่วนบุคคลโดยเฉพาะในกรณีการประมวลผลโดยระบบอัตโนมัติ และขอให้โอนย้ายข้อมูลส่วนบุคคลในรูปแบบที่ใช้งานได้โดยทั่วไป โดยติดต่อผ่านอีเมล privacy@example.com หรือฝ่ายคุ้มครองข้อมูลส่วนบุคคลขององค์กร องค์กรจะดำเนินการตามคำขอภายในระยะเวลาที่กฎหมายกำหนด (ไม่เกิน 30 วัน) และจะแจ้งเหตุผลหากไม่สามารถดำเนินการได้

### การรักษาความปลอดภัยของข้อมูลส่วนบุคคล

องค์กรใช้มาตรการรักษาความปลอดภัยที่เหมาะสม เช่น การเข้ารหัสข้อมูล การควบคุมสิทธิ์การเข้าถึงข้อมูล การตรวจสอบและบันทึกการเข้าถึงข้อมูล และการฝึกอบรมพนักงานให้ตระหนักถึงความสำคัญของข้อมูลส่วนบุคคล

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/5-1-32.md

============================================================
โนด: แนวปฏิบัติ 5.1.33
ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/5-1-33.md

# 5.1.33 องค์กรเก็บข้อมูลเท่าที่จำเป็นและมีนโยบายการเก็บรักษาข้อมูลที่ชัดเจนสำหรับโปรไฟลิ่งที่สร้างขึ้น

## สิ่งที่ต้องทำ

มีการแจ้งให้ทราบและกำหนดระยะเวลาการเก็บข้อมูลในประกาศความเป็นส่วนตัวหรือนโยบายความเป็นส่วนตัวอย่างชัดเจนสำหรับโปรไฟลิ่งที่สร้างขึ้น

## หลักฐาน

1. ประกาศความเป็นส่วนตัวที่ให้เจ้าของข้อมูลส่วนบุคคลทราบถึงการประมวลผลโดยระบบอัตโนมัติ และมีการกำหนดระยะเวลาในการเก็บข้อมูลส่วนบุคคลอย่างชัดเจนสำหรับโปรไฟล์ที่สร้างขึ้น
2. นโยบายความเป็นส่วนตัวที่อธิบายถึงวัตถุประสงค์และการประมวลผลโดยระบบอัตโนมัติ รวมถึงกำหนดระยะเวลาในการเก็บข้อมูลส่วนบุคคลอย่างชัดเจนสำหรับโปรไฟล์ที่สร้างขึ้น

## สภาพบังคับ

ไม่มีกฎหมายบังคับ

## ตัวอย่างเอกสาร

### ประกาศความเป็นส่วนตัว/นโยบายความเป็นส่วนตัว (ส่วนที่เกี่ยวกับโปรไฟลิ่งและการเก็บรักษาข้อมูล)

**1. ความเป็นมาของการประมวลผลข้อมูลส่วนบุคคลโดยระบบอัตโนมัติและโปรไฟลิ่ง** — องค์กรของเราให้ความสำคัญกับการคุ้มครองข้อมูลส่วนบุคคลของท่าน โดยเฉพาะข้อมูลที่ถูกนำไปใช้ในระบบอัตโนมัติ เช่น การทำโปรไฟลิ่ง เพื่อปรับปรุงบริการให้เหมาะสมและตรงกับความต้องการของผู้ใช้ การประมวลผลดังกล่าวดำเนินการโดยยึดหลักการเก็บข้อมูลเท่าที่จำเป็น และเพื่อประโยชน์ที่ชัดเจนตามวัตถุประสงค์ที่ได้แจ้งไว้

**2. ประเภทข้อมูลส่วนบุคคลที่เก็บเพื่อโปรไฟลิ่ง**

- ข้อมูลพื้นฐาน เช่น อายุ เพศ สถานะทางสังคม
- ข้อมูลพฤติกรรม เช่น ประวัติการใช้งาน ความสนใจ หรือผลตอบรับ
- ข้อมูลเพิ่มเติมที่จำเป็นสำหรับการวิเคราะห์และปรับปรุงบริการ

**3. หลักการเก็บรักษาข้อมูลและระยะเวลาการเก็บข้อมูล** — องค์กรเก็บข้อมูลส่วนบุคคลเท่าที่จำเป็นต่อวัตถุประสงค์ที่ได้ระบุไว้ในนโยบายนี้ และกำหนดระยะเวลาการเก็บข้อมูลอย่างชัดเจน โดยทั่วไปข้อมูลโปรไฟลิ่งจะถูกเก็บไว้ไม่เกินระยะเวลาที่ระบุ (เช่น 1 ปี หรือ 3 ปี) นับจากวันที่ได้รับข้อมูลหรือวันสุดท้ายที่มีการใช้งานข้อมูลนั้น เมื่อครบกำหนดระยะเวลาการเก็บรักษา องค์กรจะดำเนินการลบ ทำลาย หรือทำให้ข้อมูลไม่สามารถระบุตัวบุคคลได้อย่างปลอดภัยและเป็นไปตามมาตรฐานที่กำหนด

**4. สิทธิของเจ้าของข้อมูล** — เจ้าของข้อมูลมีสิทธิในการขอเข้าถึง แก้ไข หรือลบข้อมูลส่วนบุคคลของตน รวมถึงสิทธิในการคัดค้านการประมวลผลโดยระบบอัตโนมัติและโปรไฟลิ่ง โดยสามารถติดต่อเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลขององค์กรเพื่อใช้สิทธิเหล่านี้ได้

**5. การแจ้งให้ทราบเกี่ยวกับการเก็บรักษาข้อมูล** — องค์กรจะแจ้งให้เจ้าของข้อมูลทราบเกี่ยวกับประเภทของข้อมูลที่เก็บ ระยะเวลาในการเก็บรักษา และวิธีการประมวลผลโดยระบบอัตโนมัติผ่านประกาศความเป็นส่วนตัวหรือนโยบายความเป็นส่วนตัวที่เผยแพร่ในเว็บไซต์หรือช่องทางการสื่อสารที่เหมาะสม

**6. การรักษาความปลอดภัยของข้อมูล** — องค์กรได้จัดให้มีมาตรการรักษาความปลอดภัยที่เหมาะสมเพื่อปกป้องข้อมูลส่วนบุคคลจากการเข้าถึงโดยไม่ได้รับอนุญาต การเปิดเผย การแก้ไข หรือการทำลายที่ไม่เหมาะสม

### ตัวอย่างเอกสารหลักฐาน

| รายการ | รายละเอียด |
|--------|-----------|
| ชื่อเอกสาร | ประกาศความเป็นส่วนตัว/นโยบายความเป็นส่วนตัว (ส่วนโปรไฟลิ่งและการเก็บรักษาข้อมูล) |
| เนื้อหา | ระบุประเภทข้อมูลที่เก็บเพื่อโปรไฟลิ่ง ระยะเวลาเก็บรักษาข้อมูลอย่างชัดเจน วิธีการลบข้อมูล และสิทธิของเจ้าของข้อมูล |
| ช่องทางเผยแพร่ | เว็บไซต์ขององค์กร แผ่นพับ ช่องทางแจ้งข่าวสารต่าง ๆ |
| ระบบสนับสนุน | ระบบจัดการข้อมูลส่วนบุคคลที่สามารถติดตามระยะเวลาเก็บข้อมูล และระบบลบข้อมูลอัตโนมัติเมื่อครบกำหนด |
| การอัปเดต | มีการทบทวนนโยบายอย่างน้อยปีละ 1 ครั้ง หรือเมื่อมีกฎหมายเปลี่ยนแปลง |

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/5-1-33.md

============================================================
โนด: แนวปฏิบัติ 5.1.34
ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/5-1-34.md

# 5.1.34 หากองค์กรใช้การประมวลผลโดยระบบอัตโนมัติ องค์กรมีกระบวนการที่บันทึกไว้เป็นหลักฐานว่าการตัดสินใจเหล่านี้เกิดขึ้นภายใต้ข้อกำหนดของกฎหมายหรือเงื่อนไขอย่างไร และองค์กรต้องดำเนินการประเมินความเสี่ยงและผลกระทบความเสี่ยงด้านการคุ้มครองข้อมูลส่วนบุคคลด้วย (DPIA)

## สิ่งที่ต้องทำ

มีบันทึกหลักฐานการประมวลผลโดยระบบอัตโนมัติ และจัดทำการประเมินผลกระทบด้านการคุ้มครองข้อมูลส่วนบุคคล (DPIA) ในกรณีที่มีการประมวลผลโดยระบบอัตโนมัติ

## หลักฐาน

1. บันทึกหลักฐานการประมวลผลโดยระบบอัตโนมัติ
2. เอกสารการดำเนินการประเมินผลกระทบด้านการคุ้มครองข้อมูลส่วนบุคคล (DPIA) ในกรณีที่มีการประมวลผลโดยระบบอัตโนมัติ

## สภาพบังคับ

ไม่มีกฎหมายบังคับ

## ตัวอย่างเอกสาร

### การบันทึกหลักฐานการประมวลผลโดยระบบอัตโนมัติและการดำเนินการประเมินผลกระทบด้านการคุ้มครองข้อมูลส่วนบุคคล (DPIA)

**1. วัตถุประสงค์** — เพื่อแสดงให้เห็นว่าการตัดสินใจที่เกิดจากการประมวลผลโดยระบบอัตโนมัตินั้นเป็นไปตามข้อกำหนดของกฎหมายและเงื่อนไขที่กำหนด รวมทั้งเพื่อประเมินและจัดการความเสี่ยงด้านการคุ้มครองข้อมูลส่วนบุคคลอย่างเป็นระบบ และมีเอกสารบันทึกไว้เป็นหลักฐาน

**2. ขอบเขต** — ครอบคลุมการประมวลผลข้อมูลส่วนบุคคลโดยระบบอัตโนมัติทั้งหมดที่องค์กรนำมาใช้ในการตัดสินใจหรือการสร้างโปรไฟล์บุคคล รวมถึงกรณีที่มีการประเมินความเสี่ยงโดย DPIA

**3. ขั้นตอนปฏิบัติ**

การบันทึกหลักฐานการประมวลผลโดยระบบอัตโนมัติ บันทึกข้อมูลการตัดสินใจที่เกิดขึ้นจากระบบอัตโนมัติ โดยระบุข้อมูลสำคัญ เช่น

- ประเภทข้อมูลที่ใช้ในการตัดสินใจ
- กฎเกณฑ์หรือเงื่อนไขตามกฎหมายที่นำมาใช้ในการตัดสินใจ
- วันที่และเวลาที่เกิดการประมวลผลและตัดสินใจ
- ผู้รับผิดชอบหรือเจ้าหน้าที่ที่ตรวจสอบผลการตัดสินใจ (ถ้ามี)
- บันทึกสถานะการปฏิบัติตามกฎหมายและข้อกำหนดอื่น ๆ ที่เกี่ยวข้อง เช่น การได้รับความยินยอม การแจ้งล่วงหน้า

การดำเนินการประเมินผลกระทบด้านการคุ้มครองข้อมูลส่วนบุคคล (DPIA)

- ระบุขอบเขตและลักษณะของการประมวลผลข้อมูลส่วนบุคคลโดยระบบอัตโนมัติ
- วิเคราะห์ความเสี่ยงที่อาจเกิดขึ้นต่อสิทธิและเสรีภาพของเจ้าของข้อมูล เช่น ความเป็นส่วนตัว ความถูกต้องของข้อมูล และความปลอดภัยข้อมูล
- กำหนดมาตรการและแนวทางจัดการเพื่อลดความเสี่ยงเหล่านั้น
- จัดทำรายงาน DPIA ที่มีรายละเอียดชัดเจนและจัดเก็บเป็นหลักฐาน
- ทบทวน DPIA อย่างสม่ำเสมอหรือตามความจำเป็นเมื่อมีการเปลี่ยนแปลงระบบหรือวิธีการประมวลผล

### ตัวอย่างแบบฟอร์มบันทึกหลักฐานการประมวลผลโดยระบบอัตโนมัติ

| รายการ | รายละเอียด |
|--------|-----------|
| วันที่และเวลา | ___________ |
| ประเภทข้อมูล | ___________ |
| เงื่อนไข/กฎเกณฑ์ | ___________ |
| ผลลัพธ์การตัดสินใจ | ___________ |
| ผู้ตรวจสอบ (ถ้ามี) | ___________ |
| หมายเหตุเพิ่มเติม | ___________ |

### ตัวอย่างรายงานการประเมินผลกระทบด้านการคุ้มครองข้อมูลส่วนบุคคล (DPIA)

- **ชื่อโครงการ/ระบบ:** ระบบตัดสินใจอัตโนมัติ ___________
- **วัตถุประสงค์:** ___________
- **ประเภทข้อมูลที่ประมวลผล:** ___________
- **ความเสี่ยงที่พบ:** เช่น ความผิดพลาดของระบบ การละเมิดข้อมูล
- **ผลกระทบที่อาจเกิดขึ้น:** ___________
- **มาตรการควบคุมความเสี่ยง:** เช่น การเข้ารหัสข้อมูล การตรวจสอบโดยมนุษย์
- **ผู้รับผิดชอบดำเนินการ:** ___________
- **วันที่จัดทำ:** ___________
- **การทบทวนครั้งต่อไป:** ___________

### การจัดเก็บและการเข้าถึงหลักฐาน

- เอกสารบันทึกหลักฐานและรายงาน DPIA ต้องถูกจัดเก็บในระบบสารบรรณหรือระบบบริหารจัดการข้อมูลขององค์กร
- มีการกำหนดสิทธิ์การเข้าถึงเฉพาะเจ้าหน้าที่ที่เกี่ยวข้องเท่านั้น
- มีการสำรองข้อมูลและเก็บรักษาตามมาตรฐานความปลอดภัยข้อมูล

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/5-1-34.md

============================================================
โนด: แนวปฏิบัติ 5.1.35
ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/5-1-35.md

# 5.1.35 ในกรณีที่การตัดสินใจเป็นไปโดยระบบอัตโนมัติ (ไม่มีบุคคลตรวจสอบ) และมีผลทางกฎหมายหรือในทำนองเดียวกันอย่างมีนัยสำคัญต่อบุคคล องค์กรจัดให้มีกระบวนการที่บันทึกไว้เพื่อช่วยให้บุคคลสามารถร้องขอให้มีการตรวจสอบและทบทวนโดยมนุษย์ได้และบุคคลสามารถคัดค้านการตัดสินใจโดยระบบอัตโนมัติ

## สิ่งที่ต้องทำ

มีบันทึกหลักฐานการประมวลผลโดยระบบอัตโนมัติ และแบบฟอร์มในการคัดค้านการประมวลผลโดยอัตโนมัติ

## หลักฐาน

1. บันทึกหลักฐานการประมวลผลโดยระบบอัตโนมัติ
2. แบบฟอร์มในการคัดค้านการประมวลผลโดยอัตโนมัติ

## สภาพบังคับ

ไม่มีกฎหมายบังคับ

## ตัวอย่างเอกสาร

### การจัดการการตัดสินใจโดยระบบอัตโนมัติที่ไม่มีการตรวจสอบโดยบุคคล และการให้สิทธิคัดค้านและร้องขอทบทวน

**1. วัตถุประสงค์** — เพื่อรับประกันสิทธิของเจ้าของข้อมูลในการร้องขอให้มีการตรวจสอบและทบทวนการตัดสินใจที่เกิดขึ้นจากระบบอัตโนมัติอย่างเต็มที่ และให้สิทธิในการคัดค้านการตัดสินใจโดยระบบอัตโนมัติ ซึ่งเป็นไปตามหลักการความเป็นธรรมและความโปร่งใสในการประมวลผลข้อมูลส่วนบุคคล

**2. ขอบเขต** — ครอบคลุมทุกกรณีที่องค์กรใช้การตัดสินใจโดยระบบอัตโนมัติแบบไม่มีบุคคลตรวจสอบ และมีผลทางกฎหมายหรือมีผลสำคัญในทำนองเดียวกันต่อเจ้าของข้อมูล

**3. ขั้นตอนปฏิบัติ**

การบันทึกหลักฐานการประมวลผลโดยระบบอัตโนมัติ จัดเก็บบันทึกข้อมูลสำคัญของแต่ละกรณี เช่น

- วันที่และเวลาที่ระบบดำเนินการตัดสินใจ
- รายละเอียดข้อมูลที่ใช้ในการประมวลผล
- ผลการตัดสินใจของระบบ
- การระบุว่าไม่มีบุคคลตรวจสอบการตัดสินใจนี้
- ช่องทางและวิธีการแจ้งเจ้าของข้อมูลถึงผลการตัดสินใจและสิทธิที่เกี่ยวข้อง
- จัดเก็บบันทึกนี้ในระบบสารสนเทศที่ปลอดภัยและสามารถเข้าถึงได้โดยผู้ที่มีหน้าที่รับผิดชอบ

กระบวนการให้เจ้าของข้อมูลร้องขอทบทวนโดยมนุษย์

- เจ้าของข้อมูลสามารถส่งคำร้องขอทบทวนการตัดสินใจโดยระบบอัตโนมัติได้ผ่านช่องทางที่กำหนด เช่น แบบฟอร์มออนไลน์ อีเมล หรือจดหมาย
- เจ้าหน้าที่หรือผู้มีอำนาจจะทำการตรวจสอบการตัดสินใจและข้อมูลที่เกี่ยวข้องโดยมนุษย์
- แจ้งผลการทบทวนให้เจ้าของข้อมูลทราบภายในระยะเวลาที่เหมาะสม
- บันทึกหลักฐานการร้องขอและผลการทบทวนไว้ในระบบ

สิทธิในการคัดค้านการประมวลผลโดยระบบอัตโนมัติ จัดทำแบบฟอร์มสำหรับเจ้าของข้อมูลใช้ยื่นคำคัดค้านการประมวลผลโดยระบบอัตโนมัติ เมื่อได้รับคำคัดค้าน องค์กรต้องพิจารณาและแจ้งผลการดำเนินการให้เจ้าของข้อมูลทราบ พร้อมจัดเก็บแบบฟอร์มคำคัดค้านและผลการพิจารณาเป็นหลักฐาน

### ตัวอย่างแบบฟอร์มบันทึกหลักฐานการประมวลผลโดยระบบอัตโนมัติ

| รายการ | รายละเอียด |
|--------|-----------|
| วันที่และเวลา | ___________ |
| ประเภทข้อมูลที่ใช้ | ___________ |
| ผลการตัดสินใจของระบบ | ___________ |
| การมีบุคคลตรวจสอบ | ไม่มีบุคคลตรวจสอบ |
| การแจ้งเจ้าของข้อมูล | ___________ |
| หมายเหตุ | ___________ |

### ตัวอย่างแบบฟอร์มคำคัดค้านการประมวลผลโดยระบบอัตโนมัติ

**ข้อมูลเจ้าของข้อมูลส่วนบุคคล**

- **ชื่อ-นามสกุล:** ___________
- **เลขบัตรประชาชน/หมายเลขผู้ใช้:** ___________
- **เบอร์ติดต่อ:** ___________
- **อีเมล:** ___________

**รายละเอียดการคัดค้าน**

- ข้าพเจ้าขอคัดค้านการประมวลผลข้อมูลส่วนบุคคลโดยระบบอัตโนมัติในเรื่อง: ___________
- เหตุผลของการคัดค้าน: ___________
- คำร้องขอทบทวนการตัดสินใจโดยมนุษย์: ( ) ขอ ( ) ไม่ขอ
- **ลงชื่อเจ้าของข้อมูล:** ___________
- **วันที่:** ___________

### การจัดเก็บเอกสาร

- เอกสารบันทึกและแบบฟอร์มคำคัดค้านจะถูกจัดเก็บในระบบสารบรรณหรือระบบจัดการข้อมูลขององค์กร
- มีการจำกัดสิทธิ์เข้าถึงข้อมูลเหล่านี้เฉพาะเจ้าหน้าที่ที่รับผิดชอบ
- มีการสำรองข้อมูลและรักษาความปลอดภัยตามมาตรฐานที่เหมาะสม

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/5-1-35.md

============================================================
โนด: แนวปฏิบัติ 5.1.36
ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/5-1-36.md

# 5.1.36 องค์กรดำเนินการตรวจสอบความถูกต้องและอคติของระบบอัตโนมัติเป็นประจำ เพื่อให้แน่ใจว่าระบบทำงานตามที่ตั้งใจไว้ และองค์กรจะนำข้อมูลนี้กลับเข้าสู่กระบวนการออกแบบ

## สิ่งที่ต้องทำ

มีการตรวจสอบความถูกต้องและอคติของระบบอัตโนมัติเป็นประจำ เพื่อให้มั่นใจว่าระบบอัตโนมัติที่องค์กรใช้งานมีความถูกต้องในการตัดสินใจ และไม่มีอคติที่ส่งผลกระทบต่อเจ้าของข้อมูลหรือผู้ได้รับผลกระทบ พร้อมทั้งนำข้อมูลที่ได้จากการตรวจสอบกลับไปปรับปรุงระบบอย่างต่อเนื่อง

การตรวจสอบครอบคลุมระบบอัตโนมัติทุกประเภทที่ใช้ในกระบวนการตัดสินใจและประมวลผลข้อมูลส่วนบุคคล รวมถึงระบบจัดทำโปรไฟล์ที่อาจส่งผลต่อเจ้าของข้อมูล โดยกำหนดความถี่การตรวจสอบ ตัวชี้วัดความถูกต้อง และวิธีการตรวจสอบอคติ แล้วนำผลที่ได้เสนอต่อผู้บริหารและทีมพัฒนาระบบเพื่อวางแผนปรับปรุงต่อไป

## หลักฐาน

1. เอกสารการดำเนินการตรวจสอบความถูกต้องและอคติของระบบอัตโนมัติ

## สภาพบังคับ

ไม่มีกฎหมายบังคับ

## ตัวอย่างเอกสาร

### รายงานการตรวจสอบระบบอัตโนมัติ

| รายการ | รายละเอียด |
|--------|-----------|
| ชื่อระบบ | ระบบประมวลผลคำขอสินเชื่ออัตโนมัติ |
| วันที่ตรวจสอบ | 1 เมษายน 2568 |
| ผู้ตรวจสอบ | ทีมวิทยาการข้อมูล / ฝ่ายคุ้มครองข้อมูล |
| ตัวชี้วัดความถูกต้อง | อัตราความถูกต้อง 92% / ผลบวกลวง 5% / ผลลบลวง 3% |
| การวิเคราะห์อคติ | พบอคติเล็กน้อยในกลุ่มอายุ 18-25 ปี โดยระบบมีแนวโน้มปฏิเสธคำขอมากกว่ากลุ่มอื่น |
| ข้อเสนอแนะ | ปรับอัลกอริทึมการประเมินเครดิตเพื่อลดอคติกลุ่มเยาวชน |
| การดำเนินการปรับปรุง | เริ่มพัฒนาแบบจำลองใหม่ตั้งแต่ 15 เมษายน 2568 |
| หมายเหตุ | ระบบจะได้รับการตรวจสอบซ้ำในไตรมาสถัดไป |

### ขั้นตอนการดำเนินการตรวจสอบ

1. **การวางแผนและจัดทำรายการตรวจสอบ** — กำหนดความถี่การตรวจสอบ เช่น รายไตรมาส รายปี ระบุขอบเขตของระบบและโมดูลที่ต้องตรวจสอบ กำหนดตัวชี้วัดความถูกต้องและวิธีการตรวจสอบอคติ เช่น การวิเคราะห์ผลลัพธ์ตามกลุ่มประชากร (เพศ อายุ และเชื้อชาติ)
2. **การเก็บข้อมูลและทดสอบระบบ** — ดึงข้อมูลจากระบบอัตโนมัติในช่วงเวลาที่กำหนด ประเมินผลการตัดสินใจตามตัวชี้วัด วิเคราะห์หาจุดที่มีอคติ และจัดทำรายงานผลการตรวจสอบ
3. **การรายงานและแผนการปรับปรุง** — นำเสนอผลการตรวจสอบต่อผู้บริหารและทีมพัฒนาระบบ วางแผนปรับปรุงแก้ไขระบบหากพบอคติหรือความผิดพลาด อัปเดตนโยบายและเอกสารที่เกี่ยวข้อง และฝึกอบรมทีมงานเกี่ยวกับแนวทางป้องกันอคติ

### บันทึกการประชุมและแผนการปรับปรุง

| วันที่ | รายละเอียดการประชุม | ผู้เข้าร่วม | มติและแผนปฏิบัติ |
|--------|---------------------|-----------|------------------|
| 5 เมษายน 2568 | รายงานผลตรวจสอบและอคติ | ฝ่ายเทคนิค, ฝ่ายคุ้มครองข้อมูล | ยืนยันปรับปรุงแบบจำลองและเพิ่มมาตรการตรวจสอบประจำเดือน |

**เอกสารประกอบอื่น ๆ:**

- แบบฟอร์มตรวจสอบระบบอัตโนมัติ
- ผลการประเมิน DPIA ที่เกี่ยวข้องกับระบบอัตโนมัติ
- รายงานการฝึกอบรมทีมงานเกี่ยวกับการจัดการอคติ

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/5-1-36.md

============================================================
โนด: แนวปฏิบัติ 5.1.37
ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/5-1-37.md

# 5.1.37 ข้อมูลการติดต่อของเจ้าหน้าที่คุ้มครองข้อมูล (DPO) หรือช่องทางการติดต่ออื่น ๆ จะต้องเปิดเผยแก่สาธารณะ หากบุคคลต้องการยื่นข้อร้องเรียนเกี่ยวกับการใช้ข้อมูลส่วนบุคคลของตน

## สิ่งที่ต้องทำ

มีการแจ้งรายละเอียดการติดต่อเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลต่อสาธารณะ เพื่อให้เจ้าของข้อมูลและผู้เกี่ยวข้องสามารถติดต่อเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล (DPO) ขององค์กรได้อย่างสะดวกและโปร่งใส ในกรณีต้องการยื่นคำร้องเรียน ขอคำชี้แจง หรือสอบถามเกี่ยวกับการใช้ข้อมูลส่วนบุคคลของตน

ข้อมูลการติดต่อของ DPO ควรเผยแพร่ต่อสาธารณะผ่านช่องทางหลักขององค์กร เช่น เว็บไซต์หลัก เอกสารนโยบายความเป็นส่วนตัว หรือหน้า "ติดต่อเรา" เพื่อให้ประชาชนทั่วไปเข้าถึงข้อมูลได้โดยง่าย

## หลักฐาน

1. เอกสารหรือหลักฐานแสดงการแจ้งรายละเอียดการติดต่อเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล

## สภาพบังคับ

พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 [มาตรา 23](https://link.pdpalawbase.com/section/23.md) (5) และ [มาตรา 41](https://link.pdpalawbase.com/section/41.md) วรรคห้า ไม่มีกฎหมายกำหนดโทษโดยตรง เว้นแต่ในทางปฏิบัติ หากองค์กรหรือหน่วยงานถูกร้องเรียน หน่วยงานผู้กำกับดูแล (สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล) เรียกให้ผู้ที่ถูกร้องเรียนมาชี้แจง ให้ข้อมูล หรือส่งเอกสารหลักฐานใด ๆ แล้วผู้ถูกร้องเรียนไม่ยอมดำเนินการ ไม่ปฏิบัติตาม หรือไม่อำนวยความสะดวก

โทษทางปกครอง: นำโทษปรับทางปกครองมาใช้บังคับ กำหนดโทษปรับทางปกครองไม่เกิน 5 แสนบาท

## ตัวอย่างเอกสาร

### รายละเอียดข้อมูลการติดต่อ DPO ที่เปิดเผย

| รายการ | รายละเอียด |
|--------|-----------|
| ชื่อเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล | นายสมชาย ใจดี |
| ตำแหน่ง | เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล (DPO) |
| อีเมล | dpo@example.com |
| โทรศัพท์ | 02-123-4567 |
| ที่อยู่สำนักงาน | อาคารเอ ชั้น 5 บริษัทตัวอย่าง จำกัด 123 ถนนสุขสวัสดิ์ เขตบางรัก กรุงเทพฯ 10500 |
| ช่องทางเพิ่มเติม | แบบฟอร์มร้องเรียนออนไลน์ https://example.com/dpo-complaint |

### วิธีการเผยแพร่ข้อมูลการติดต่อ DPO

- ประกาศในหน้าเว็บไซต์หลักขององค์กรในเมนู "นโยบายความเป็นส่วนตัว" และหน้า "ติดต่อเรา"
- ระบุในเอกสารนโยบายความเป็นส่วนตัวที่เผยแพร่สู่สาธารณะ
- รวมในเอกสารคู่มือหรือประกาศที่ใช้ภายในองค์กรและให้บริการลูกค้า
- แจ้งผ่านช่องทางสื่อสารออนไลน์ขององค์กร เช่น เฟซบุ๊ก หรือไลน์ทางการ (ถ้ามี)

### ตัวอย่างข้อความแจ้งในเว็บไซต์

> เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล (DPO)
>
> หากท่านมีข้อสงสัย หรือประสงค์จะยื่นคำร้องเรียนเกี่ยวกับการใช้ข้อมูลส่วนบุคคลของท่าน สามารถติดต่อเจ้าหน้าที่คุ้มครองข้อมูลของเราได้ที่
>
> - อีเมล: dpo@example.com
> - โทรศัพท์: 02-123-4567
> - ที่อยู่: อาคารเอ ชั้น 5 บริษัทตัวอย่าง จำกัด 123 ถนนสุขสวัสดิ์ เขตบางรัก กรุงเทพฯ 10500
> - หรือกรอกแบบฟอร์มร้องเรียนออนไลน์ได้ที่ https://example.com/dpo-complaint

### หลักฐานประกอบ

- ภาพหน้าจอเว็บไซต์ที่แสดงข้อมูลการติดต่อ DPO
- สำเนาเอกสารนโยบายความเป็นส่วนตัวที่ระบุข้อมูลการติดต่อ DPO
- สำเนาเอกสารประกาศภายในองค์กรที่แจ้งข้อมูลการติดต่อ DPO
- บันทึกการประชุมที่มีมติอนุมัติการเปิดเผยข้อมูลการติดต่อ DPO

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/5-1-37.md

============================================================
โนด: แนวปฏิบัติ 5.1.38
ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/5-1-38.md

# 5.1.38 องค์กรแจ้งให้เจ้าของข้อมูลส่วนบุคคลทราบเกี่ยวกับสิทธิในการร้องเรียนต่อสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลหรือกรรมการผู้เชี่ยวชาญในประกาศการคุ้มครองข้อมูลส่วนบุคคลขององค์กร

## สิ่งที่ต้องทำ

มีรายละเอียดแจ้งให้เจ้าของข้อมูลส่วนบุคคลทราบเกี่ยวกับสิทธิในการร้องเรียนต่อสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลหรือกรรมการผู้เชี่ยวชาญในประกาศการคุ้มครองข้อมูลส่วนบุคคลขององค์กร พร้อมแนะนำขั้นตอนในการร้องเรียนอย่างชัดเจน

## หลักฐาน

1. ประกาศการคุ้มครองข้อมูลส่วนบุคคลขององค์กร

## สภาพบังคับ

พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 [มาตรา 23](https://link.pdpalawbase.com/section/23.md) (6) ไม่มีกฎหมายกำหนดโทษโดยตรง เว้นแต่ในทางปฏิบัติ หากองค์กรหรือหน่วยงานถูกร้องเรียน หน่วยงานผู้กำกับดูแล (สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล) เรียกให้ผู้ที่ถูกร้องเรียนมาชี้แจง ให้ข้อมูล หรือส่งเอกสารหลักฐานใด ๆ แล้วผู้ถูกร้องเรียนไม่ยอมดำเนินการ ไม่ปฏิบัติตาม หรือไม่อำนวยความสะดวก

โทษทางปกครอง: กำหนดโทษปรับทางปกครองไม่เกิน 5 แสนบาท

## ตัวอย่างเอกสาร

### ตัวอย่างประกาศการคุ้มครองข้อมูลส่วนบุคคล: การแจ้งสิทธิในการร้องเรียน

**1. ประกาศการคุ้มครองข้อมูลส่วนบุคคล**

องค์กรของเราตระหนักถึงความสำคัญของการคุ้มครองข้อมูลส่วนบุคคลของท่าน และมุ่งมั่นในการดำเนินการตามกฎหมายคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 รวมถึงการรับรองสิทธิของเจ้าของข้อมูลส่วนบุคคลทุกประการ

**2. สิทธิในการร้องเรียนต่อสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลหรือกรรมการผู้เชี่ยวชาญ**

เจ้าของข้อมูลส่วนบุคคลมีสิทธิในการร้องเรียนหากเชื่อว่าการประมวลผลข้อมูลส่วนบุคคลของตนไม่เป็นไปตามข้อกำหนดของกฎหมาย หรือไม่ได้รับการคุ้มครองตามสิทธิที่กฎหมายให้ไว้ โดยสามารถดำเนินการได้ ดังนี้

- **ติดต่อร้องเรียนโดยตรงกับองค์กร** — ติดต่อเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล (DPO) ขององค์กรเพื่อแจ้งปัญหา ขอคำชี้แจง หรือยื่นคำร้องเรียน ทางอีเมล dpo@example.com หรือโทรศัพท์ 02-123-4567
- **ร้องเรียนต่อสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล** — หากไม่พอใจหรือไม่ได้รับการตอบสนองอย่างเหมาะสมจากองค์กร สามารถยื่นคำร้องเรียนได้โดยตรง ทางเว็บไซต์ https://www.pdpc.go.th อีเมล complaint@pdpc.go.th โทรศัพท์ 02-123-4567 หรือที่อยู่ สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เลขที่ 1 ถนนนนทรี แขวงช่องนนทรี เขตยานนาวา กรุงเทพมหานคร 10120
- **การดำเนินการหลังยื่นคำร้องเรียน** — สำนักงานจะตรวจสอบข้อร้องเรียนและดำเนินการตามกฎหมายอย่างเป็นธรรมและโปร่งใส หากพบว่ามีการละเมิดกฎหมาย องค์กรอาจถูกสั่งให้แก้ไข ปรับปรุง หรือถูกลงโทษตามกฎหมาย

**3. ข้อแนะนำสำคัญ**

- กรุณาเก็บหลักฐานหรือข้อมูลที่เกี่ยวข้องเพื่อใช้ประกอบคำร้องเรียน
- ระบุรายละเอียดให้ครบถ้วน เช่น ลักษณะการละเมิด สิทธิที่ได้รับผลกระทบ และข้อมูลการติดต่อของท่าน

### เอกสารประกอบหลักฐาน

- ประกาศการคุ้มครองข้อมูลส่วนบุคคลที่เผยแพร่ในเว็บไซต์ขององค์กร
- ตัวอย่างข้อความแจ้งสิทธิในการร้องเรียนในเอกสารนโยบายความเป็นส่วนตัว
- ภาพหน้าจอเว็บไซต์ที่แสดงข้อความแจ้งสิทธิในการร้องเรียน
- เอกสารประชาสัมพันธ์หรือประกาศภายในองค์กร

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/5-1-38.md

============================================================
โนด: แนวปฏิบัติ 5.1.39
ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/5-1-39.md

# 5.1.39 องค์กรมีกระบวนการในการจัดการข้อร้องเรียนเกี่ยวกับการคุ้มครองข้อมูลส่วนบุคคล และรายงานการแก้ไขปัญหาให้กับผู้บริหารระดับสูงทราบ

## สิ่งที่ต้องทำ

มีขั้นตอนในการจัดการข้อร้องเรียนเกี่ยวกับการคุ้มครองข้อมูลส่วนบุคคล และรายงานการแก้ไขปัญหาให้กับผู้บริหารระดับสูงทราบ

แม้กฎหมายจะไม่ได้กำหนดขั้นตอนจัดการข้อร้องเรียนไว้อย่างชัดเจน แต่การมีระบบบริหารจัดการนี้ช่วยให้องค์กรปฏิบัติตามหลักการความรับผิดชอบและความโปร่งใส สร้างความเชื่อมั่นแก่เจ้าของข้อมูล และลดความเสี่ยงจากข้อร้องเรียนหรือการตรวจสอบจากหน่วยงานกำกับดูแล

## หลักฐาน

1. ประกาศหรือนโยบายความเป็นส่วนตัวที่มีรายละเอียดเกี่ยวกับขั้นตอนในการจัดการข้อร้องเรียนเกี่ยวกับการคุ้มครองข้อมูลส่วนบุคคล และรายงานการแก้ไขปัญหา

## สภาพบังคับ

ไม่มีกฎหมายบังคับ

## ตัวอย่างเอกสาร

### ขั้นตอนการจัดการข้อร้องเรียน

1. **รับเรื่องร้องเรียน** — เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล (DPO) หรือทีมงานที่ได้รับมอบหมายรับเรื่องร้องเรียนจากเจ้าของข้อมูลผ่านช่องทางต่าง ๆ ได้แก่ อีเมล โทรศัพท์ หรือแบบฟอร์มร้องเรียนบนเว็บไซต์องค์กร
2. **บันทึกข้อมูลร้องเรียน** — ทุกข้อร้องเรียนจะถูกบันทึกในระบบจัดการข้อร้องเรียน เพื่อให้สามารถติดตามสถานะและประวัติได้อย่างมีประสิทธิภาพ
3. **พิจารณาและตรวจสอบข้อร้องเรียน** — ทีมงานตรวจสอบข้อเท็จจริงที่เกี่ยวข้อง และประเมินผลกระทบที่อาจเกิดขึ้นต่อเจ้าของข้อมูล
4. **ดำเนินการแก้ไขและตอบกลับ** — องค์กรดำเนินการแก้ไขปัญหาหรือดำเนินมาตรการแก้ไข พร้อมแจ้งผลการดำเนินงานให้เจ้าของข้อมูลทราบภายในระยะเวลาที่เหมาะสม
5. **ปิดข้อร้องเรียน** — หลังจากดำเนินการครบถ้วนและเจ้าของข้อมูลยอมรับผลการแก้ไข ข้อร้องเรียนจะถูกปิดในระบบจัดการข้อร้องเรียน
6. **เก็บรักษาเอกสาร** — ข้อมูลและเอกสารเกี่ยวกับข้อร้องเรียนทั้งหมดจะถูกเก็บรักษาไว้อย่างปลอดภัยและเป็นความลับ

### การรายงานต่อผู้บริหารระดับสูง

องค์กรจัดทำรายงานสรุปข้อร้องเรียนที่ได้รับ การดำเนินการแก้ไข และผลลัพธ์ที่เกิดขึ้นในแต่ละรอบระยะเวลา เช่น รายเดือนหรือรายไตรมาส เพื่อเสนอให้ผู้บริหารระดับสูงรับทราบและกำกับดูแล สำหรับประเมินประสิทธิภาพการปฏิบัติตามกฎหมายคุ้มครองข้อมูลส่วนบุคคล รวมทั้งใช้ข้อมูลเป็นฐานในการปรับปรุงนโยบายและมาตรการภายในองค์กร

### ตัวอย่างหลักฐานที่จัดเก็บและแสดง

- ประกาศหรือนโยบายความเป็นส่วนตัวที่ระบุขั้นตอนจัดการข้อร้องเรียน
- แบบฟอร์มรับเรื่องร้องเรียนที่ใช้ในการบันทึกข้อร้องเรียนของเจ้าของข้อมูล
- ระบบหรือสมุดบันทึกข้อร้องเรียนที่แสดงรายละเอียดการรับเรื่อง ตรวจสอบ และสถานะของข้อร้องเรียน
- รายงานสรุปข้อร้องเรียนและการแก้ไขปัญหาที่ส่งให้ผู้บริหารระดับสูง
- บันทึกการประชุมผู้บริหารที่มีการรายงานและติดตามผลการจัดการข้อร้องเรียน

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/5-1-39.md

============================================================
โนด: แนวปฏิบัติ 6.1.1
ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/6-1-1.md

# 6.1.1 มีการแจ้งรายละเอียดเกี่ยวกับข้อมูลการติดต่อที่เกี่ยวข้อง ได้แก่ ข้อมูลชื่อและรายละเอียด รวมถึงสถานที่ติดต่อและวิธีการติดต่อของผู้ควบคุมข้อมูลส่วนบุคคล ตัวแทน และเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล (ถ้ามี)

## สิ่งที่ต้องทำ

แจ้งรายละเอียดเกี่ยวกับข้อมูลการติดต่อของ[ผู้ควบคุมข้อมูลส่วนบุคคล](https://link.pdpalawbase.com/concept/data-controller.md) ตัวแทน (ถ้ามี) และ[เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล (DPO)](https://link.pdpalawbase.com/concept/dpo.md) ให้ครบถ้วนตาม[มาตรา 23](https://link.pdpalawbase.com/section/23.md) (5) ทั้งข้อมูลชื่อและรายละเอียด รวมถึงสถานที่ติดต่อและวิธีการติดต่อ

## หลักฐาน

1. ประกาศการคุ้มครองข้อมูลส่วนบุคคล

## สภาพบังคับ

[มาตรา 23](https://link.pdpalawbase.com/section/23.md) (5) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 กำหนดให้ผู้ควบคุมข้อมูลส่วนบุคคลแจ้งรายละเอียดข้อมูลการติดต่อที่เกี่ยวข้อง

ในกรณีที่ไม่ปฏิบัติตาม [มาตรา 23](https://link.pdpalawbase.com/section/23.md) กำหนดโทษปรับทางปกครองไม่เกิน 1 ล้านบาท

## ตัวอย่างเอกสาร

### ประกาศการคุ้มครองข้อมูลส่วนบุคคล

**บทนำ**

บริษัท ตัวอย่าง จำกัด ("บริษัท" หรือ "เรา") มีความมุ่งมั่นที่จะปกป้องและเคารพสิทธิส่วนบุคคลของท่านตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ประกาศนี้จัดทำขึ้นเพื่อแจ้งรายละเอียดเกี่ยวกับผู้ควบคุมข้อมูลส่วนบุคคล ตัวแทน และเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลของบริษัท ซึ่งท่านสามารถติดต่อเพื่อใช้สิทธิต่าง ๆ หรือสอบถามข้อมูลเพิ่มเติมได้

### 1. ผู้ควบคุมข้อมูลส่วนบุคคล

ผู้ควบคุมข้อมูลส่วนบุคคล คือ บุคคลหรือนิติบุคคลที่มีอำนาจและรับผิดชอบในการกำหนดวัตถุประสงค์และวิธีการในการประมวลผลข้อมูลส่วนบุคคล

- **ชื่อองค์กร:** บริษัท ตัวอย่าง จำกัด
- **ที่อยู่:** 123 ถนนตัวอย่าง แขวงตัวอย่าง เขตตัวอย่าง กรุงเทพมหานคร 10100
- **โทรศัพท์:** 02-123-4567
- **อีเมล:** contact@example.com
- **เว็บไซต์:** www.example.com

### 2. ตัวแทนผู้ควบคุมข้อมูลส่วนบุคคล

ในกรณีที่บริษัทเป็นนิติบุคคลต่างประเทศและมีการประมวลผลข้อมูลส่วนบุคคลของผู้ที่อาศัยอยู่ในประเทศไทย บริษัทได้แต่งตั้งตัวแทนที่ตั้งอยู่ในประเทศไทยเพื่ออำนวยความสะดวกในการติดต่อ

- **ชื่อ:** นายสมชาย ตัวแทน
- **ที่อยู่:** 456 ซอยตัวแทน แขวงตัวแทน เขตตัวแทน กรุงเทพมหานคร 10200
- **โทรศัพท์:** 02-765-4321
- **อีเมล:** representative@example.com

ในกรณีที่บริษัทไม่มีตัวแทนในประเทศไทย จะระบุว่า "ไม่มีตัวแทนผู้ควบคุมข้อมูลส่วนบุคคลในประเทศไทย"

### 3. เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล

บริษัทได้แต่งตั้งเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล ซึ่งเป็นผู้รับผิดชอบในการดูแลระบบและการปฏิบัติตามกฎหมาย รวมทั้งให้คำปรึกษาและรับเรื่องร้องเรียนเกี่ยวกับการคุ้มครองข้อมูลส่วนบุคคล

- **ชื่อ:** นางสาวสายใจ คุ้มครอง
- **ที่อยู่:** ฝ่ายคุ้มครองข้อมูล บริษัท ตัวอย่าง จำกัด 123 ถนนตัวอย่าง แขวงตัวอย่าง เขตตัวอย่าง กรุงเทพมหานคร 10100
- **โทรศัพท์:** 02-123-4568
- **อีเมล:** dpo@example.com

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/6-1-1.md

============================================================
โนด: แนวปฏิบัติ 6.1.2
ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/6-1-2.md

# 6.1.2 มีการแจ้งวัตถุประสงค์ในการเก็บรวบรวม ใช้ และเปิดเผยข้อมูลส่วนบุคคล ฐานทางกฎหมายที่ใช้ และอาจรวมถึงประโยชน์โดยชอบด้วยกฎหมายของการเก็บรวบรวม ใช้ และเปิดเผยข้อมูลส่วนบุคคลนั้น

## สิ่งที่ต้องทำ

แจ้งวัตถุประสงค์ในการเก็บรวบรวม ใช้ และเปิดเผยข้อมูลส่วนบุคคล [ฐานในการประมวลผล](https://link.pdpalawbase.com/concept/lawful-basis.md) และประโยชน์โดยชอบด้วยกฎหมายให้ครบถ้วน

## หลักฐาน

1. ประกาศการคุ้มครองข้อมูลส่วนบุคคล

## สภาพบังคับ

[มาตรา 23](https://link.pdpalawbase.com/section/23.md) (1) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ประกอบกับแนวทางการดำเนินการในการแจ้งวัตถุประสงค์และรายละเอียดในการเก็บรวบรวมข้อมูลส่วนบุคคลจากเจ้าของข้อมูลส่วนบุคคล

ในกรณีที่ไม่ปฏิบัติตาม [มาตรา 23](https://link.pdpalawbase.com/section/23.md) กำหนดโทษปรับทางปกครองไม่เกิน 1 ล้านบาท

## ตัวอย่างเอกสาร

### ประกาศการคุ้มครองข้อมูลส่วนบุคคล

**วัตถุประสงค์ในการเก็บรวบรวม ใช้ และเปิดเผยข้อมูลส่วนบุคคล**

บริษัท ตัวอย่าง จำกัด ("บริษัท" หรือ "เรา") จัดทำประกาศนี้เพื่อแจ้งให้ท่านทราบถึงวัตถุประสงค์ในการเก็บรวบรวม ใช้ และเปิดเผยข้อมูลส่วนบุคคล รวมทั้งฐานทางกฎหมายและประโยชน์โดยชอบด้วยกฎหมายที่เกี่ยวข้อง

### 1. วัตถุประสงค์ในการเก็บรวบรวม ใช้ และเปิดเผยข้อมูลส่วนบุคคล

- **การให้บริการและบริหารจัดการลูกค้า** — เพื่อให้บริการตามที่ท่านร้องขอ เช่น การจัดส่งสินค้า การให้คำปรึกษา และการจัดการบัญชีผู้ใช้งาน รวมถึงการจัดการเรื่องการชำระเงินและการออกใบเสร็จ
- **การพัฒนาและปรับปรุงผลิตภัณฑ์และบริการ** — ใช้ข้อมูลเพื่อวิเคราะห์ พัฒนา และปรับปรุงคุณภาพของผลิตภัณฑ์และบริการให้ตรงกับความต้องการของลูกค้าและตลาด
- **การตลาดและการสื่อสาร** — ใช้ข้อมูลส่วนบุคคลในการส่งข้อมูลข่าวสาร โปรโมชัน หรือกิจกรรมที่เกี่ยวข้องกับผลิตภัณฑ์และบริการ ผ่านช่องทางต่าง ๆ เช่น อีเมล ข้อความ หรือโทรศัพท์
- **การปฏิบัติตามกฎหมายและข้อกำหนดทางกฎหมาย** — เพื่อให้บริษัทสามารถปฏิบัติตามพันธกรณีตามกฎหมาย ข้อบังคับ หรือคำสั่งของหน่วยงานรัฐที่มีอำนาจ รวมถึงการป้องกันและตรวจสอบการทุจริต
- **การบริหารความเสี่ยงและการรักษาความปลอดภัย** — เพื่อป้องกันและจัดการความเสี่ยงที่อาจเกิดขึ้นต่อบริษัท รวมถึงการรักษาความปลอดภัยของระบบและข้อมูล

### 2. ฐานทางกฎหมายในการประมวลผลข้อมูลส่วนบุคคล

- **การยินยอมของเจ้าของข้อมูล** — บริษัทจะเก็บรวบรวมและใช้ข้อมูลส่วนบุคคลตามความยินยอมที่ได้รับจากท่าน เช่น การสมัครสมาชิก การสมัครใช้บริการ หรือการรับข่าวสารทางการตลาด
- **การปฏิบัติตามสัญญา** — การประมวลผลข้อมูลเพื่อดำเนินการตามสัญญาที่ท่านได้ทำกับบริษัท เช่น การจัดส่งสินค้า หรือการให้บริการต่าง ๆ
- **การปฏิบัติตามกฎหมาย** — บริษัทต้องเก็บรวบรวมและประมวลผลข้อมูลเพื่อให้เป็นไปตามข้อกำหนดของกฎหมาย เช่น การรายงานภาษี หรือการให้ข้อมูลกับหน่วยงานรัฐตามคำสั่ง
- **ประโยชน์โดยชอบด้วยกฎหมาย** — บริษัทอาจเก็บรวบรวมและใช้ข้อมูลส่วนบุคคลเพื่อวัตถุประสงค์ที่เกี่ยวข้องกับประโยชน์โดยชอบด้วยกฎหมายของบริษัท เช่น การบริหารจัดการความเสี่ยง การป้องกันการทุจริต หรือการพัฒนาธุรกิจ โดยจะพิจารณาให้เหมาะสมกับสิทธิและเสรีภาพของเจ้าของข้อมูล

### 3. ประโยชน์โดยชอบด้วยกฎหมายของการเก็บรวบรวม ใช้ และเปิดเผยข้อมูล

การประมวลผลข้อมูลส่วนบุคคลของท่านจะดำเนินการภายใต้หลักการความชอบธรรมและความสมดุลระหว่างผลประโยชน์ของบริษัทกับสิทธิและเสรีภาพของท่าน โดยมีประโยชน์ ดังนี้

- เพื่อส่งมอบบริการและผลิตภัณฑ์ที่มีคุณภาพและตรงตามความต้องการของลูกค้า
- เพื่อรักษาความปลอดภัยและป้องกันความเสียหายที่อาจเกิดขึ้นต่อบริษัท ลูกค้า และบุคคลที่เกี่ยวข้อง
- เพื่อปฏิบัติตามพันธกรณีทางกฎหมายที่บริษัทต้องรับผิดชอบ
- เพื่อส่งเสริมการดำเนินธุรกิจอย่างโปร่งใส มีประสิทธิภาพ และตอบสนองต่อความคาดหวังของลูกค้าได้อย่างเหมาะสม

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/6-1-2.md

============================================================
โนด: แนวปฏิบัติ 6.1.3
ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/6-1-3.md

# 6.1.3 มีการแจ้งประเภทของข้อมูลส่วนบุคคลที่เก็บรวบรวม และแหล่งที่มาของข้อมูลส่วนบุคคล ในกรณีที่ข้อมูลส่วนบุคคลดังกล่าวได้มาจากแหล่งอื่น

## สิ่งที่ต้องทำ

มีการแจ้งประเภทของข้อมูลส่วนบุคคลที่เก็บรวบรวม และแหล่งที่มาของข้อมูลส่วนบุคคลในกรณีที่ได้มาจากแหล่งอื่นให้ครบถ้วน

## หลักฐาน

1. ประกาศการคุ้มครองข้อมูลส่วนบุคคล

## สภาพบังคับ

[มาตรา 25](https://link.pdpalawbase.com/section/25.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ประกอบกับแนวทางการดำเนินการในการแจ้งวัตถุประสงค์และรายละเอียดในการเก็บรวบรวมข้อมูลส่วนบุคคลจากเจ้าของข้อมูลส่วนบุคคล

ในกรณีที่ไม่ปฏิบัติตาม [มาตรา 25](https://link.pdpalawbase.com/section/25.md) กำหนดโทษปรับทางปกครองไม่เกิน 1 ล้านบาท

## ตัวอย่างเอกสาร

### ประกาศการคุ้มครองข้อมูลส่วนบุคคล

**ประเภทของข้อมูลส่วนบุคคลที่เก็บรวบรวมและแหล่งที่มาของข้อมูล**

บริษัท ตัวอย่าง จำกัด ("บริษัท" หรือ "เรา") แจ้งรายละเอียดเกี่ยวกับประเภทของข้อมูลส่วนบุคคลที่บริษัทเก็บรวบรวม รวมถึงแหล่งที่มาของข้อมูลส่วนบุคคลที่ไม่ได้เก็บรวบรวมโดยตรงจากเจ้าของข้อมูล ดังรายละเอียดต่อไปนี้

### 1. ประเภทของข้อมูลส่วนบุคคลที่เก็บรวบรวม

- ข้อมูลระบุตัวตน เช่น ชื่อ นามสกุล วันเกิด หมายเลขบัตรประจำตัวประชาชน หรือหนังสือเดินทาง
- ข้อมูลติดต่อ เช่น ที่อยู่ เบอร์โทรศัพท์ อีเมล
- ข้อมูลด้านการเงิน เช่น หมายเลขบัญชีธนาคาร ข้อมูลการชำระเงิน
- ข้อมูลด้านการทำงาน เช่น ตำแหน่งงาน ประวัติการทำงาน และข้อมูลการฝึกอบรม
- ข้อมูลด้านสุขภาพและความปลอดภัย (หากเกี่ยวข้อง)
- ข้อมูลพฤติกรรมการใช้งาน เช่น ประวัติการเข้าใช้บริการ ประวัติการซื้อสินค้า
- ข้อมูลที่ได้จากการติดต่อสื่อสาร เช่น ข้อความ อีเมล หรือบันทึกเสียง
- ข้อมูลอื่น ๆ ที่เกี่ยวข้องและจำเป็นสำหรับการดำเนินธุรกิจและการให้บริการ

### 2. แหล่งที่มาของข้อมูลส่วนบุคคล

โดยปกติบริษัทจะเก็บรวบรวมข้อมูลส่วนบุคคลจากท่านโดยตรงผ่านช่องทางต่าง ๆ เช่น แบบฟอร์มออนไลน์ การลงทะเบียน หรือการติดต่อสื่อสารกับบริษัท อย่างไรก็ตาม บางกรณีบริษัทอาจได้รับข้อมูลส่วนบุคคลจากแหล่งอื่นโดยชอบด้วยกฎหมาย ดังนี้

- จากผู้ให้บริการหรือพันธมิตรทางธุรกิจ เช่น บริษัทที่ให้บริการด้านการตลาด ผู้ให้บริการจัดส่งสินค้า หรือหน่วยงานที่ได้รับมอบหมายให้ดำเนินการแทนบริษัท
- จากฐานข้อมูลสาธารณะหรือแหล่งข้อมูลที่เปิดเผยต่อสาธารณะ เช่น ข้อมูลที่มีอยู่ในเว็บไซต์ขององค์กรภาครัฐ หรือฐานข้อมูลที่ได้รับอนุญาตให้ใช้ได้ตามกฎหมาย
- จากหน่วยงานของรัฐหรือหน่วยงานกำกับดูแล ในกรณีที่มีความจำเป็นต้องปฏิบัติตามกฎหมายหรือข้อบังคับ
- จากบุคคลที่สามที่ท่านได้มอบหมายหรือยินยอมให้ส่งข้อมูลมาให้บริษัท เช่น ตัวแทนหรือตัวกลางในการดำเนินการบางประการ

### 3. การใช้ข้อมูลจากแหล่งอื่น

เมื่อบริษัทได้รับข้อมูลส่วนบุคคลจากแหล่งอื่น บริษัทจะดำเนินการตรวจสอบความถูกต้องและความเหมาะสมของข้อมูลก่อนนำไปใช้ และจะดำเนินการภายใต้หลักการคุ้มครองข้อมูลส่วนบุคคลอย่างเคร่งครัด เพื่อรักษาสิทธิและเสรีภาพของเจ้าของข้อมูล

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/6-1-3.md

============================================================
โนด: แนวปฏิบัติ 6.1.4
ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/6-1-4.md

# 6.1.4 มีการแจ้งประเภทของบุคคลหรือหน่วยงานซึ่งข้อมูลส่วนบุคคลที่เก็บรวบรวมอาจจะถูกเปิดเผย รวมถึงรายละเอียดการส่งหรือโอนข้อมูลส่วนบุคคลไปยังต่างประเทศ

## สิ่งที่ต้องทำ

มีการแจ้งประเภทของบุคคลหรือหน่วยงานซึ่งข้อมูลส่วนบุคคลที่เก็บรวบรวมอาจจะถูกเปิดเผย รวมถึงรายละเอียดการส่งหรือโอนข้อมูลส่วนบุคคลไปยังต่างประเทศให้ครบถ้วน

## หลักฐาน

1. ประกาศการคุ้มครองข้อมูลส่วนบุคคล

## สภาพบังคับ

[มาตรา 23](https://link.pdpalawbase.com/section/23.md) (4) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ประกอบกับแนวทางการดำเนินการในการแจ้งวัตถุประสงค์และรายละเอียดในการเก็บรวบรวมข้อมูลส่วนบุคคลจากเจ้าของข้อมูลส่วนบุคคล

ในกรณีที่ไม่ปฏิบัติตาม [มาตรา 23](https://link.pdpalawbase.com/section/23.md) กำหนดโทษปรับทางปกครองไม่เกิน 1 ล้านบาท

## ตัวอย่างเอกสาร

### ประกาศการคุ้มครองข้อมูลส่วนบุคคล

**การเปิดเผยข้อมูลส่วนบุคคลและการส่งโอนข้อมูลไปยังต่างประเทศ**

บริษัท ตัวอย่าง จำกัด ("บริษัท" หรือ "เรา") ชี้แจงรายละเอียดเกี่ยวกับประเภทของบุคคลหรือหน่วยงานที่ข้อมูลส่วนบุคคลที่บริษัทเก็บรวบรวมอาจถูกเปิดเผย รวมถึงการส่งหรือโอนข้อมูลส่วนบุคคลไปยังต่างประเทศ เพื่อความโปร่งใสและสร้างความมั่นใจแก่เจ้าของข้อมูลส่วนบุคคล

### 1. ประเภทของบุคคลหรือหน่วยงานที่อาจได้รับข้อมูลส่วนบุคคลของท่าน

ข้อมูลส่วนบุคคลที่บริษัทเก็บรวบรวมอาจถูกเปิดเผยให้กับบุคคลหรือหน่วยงานดังต่อไปนี้ เพื่อวัตถุประสงค์ในการดำเนินธุรกิจ การให้บริการ การปฏิบัติตามกฎหมาย หรือภายใต้เงื่อนไขที่เหมาะสมและได้รับความยินยอมจากเจ้าของข้อมูลส่วนบุคคล

- บุคลากรภายในบริษัทที่มีหน้าที่รับผิดชอบดูแลข้อมูลและดำเนินงานที่เกี่ยวข้องกับข้อมูลส่วนบุคคล
- บริษัทในเครือและพันธมิตรทางธุรกิจที่ร่วมดำเนินกิจกรรมหรือโครงการกับบริษัท
- ผู้ให้บริการภายนอก เช่น ผู้ให้บริการด้านเทคโนโลยีสารสนเทศ การตลาด การชำระเงิน และผู้ให้บริการจัดเก็บข้อมูล
- หน่วยงานราชการและหน่วยงานกำกับดูแลตามที่กฎหมายหรือข้อบังคับกำหนด
- ผู้รับโอนกิจการ ในกรณีที่บริษัทมีการโอนกิจการหรือร่วมธุรกิจกับองค์กรอื่น
- บุคคลภายนอกอื่น ๆ ที่ได้รับมอบหมายให้ปฏิบัติหน้าที่แทนบริษัทภายใต้ข้อตกลงที่เหมาะสมเพื่อคุ้มครองข้อมูล

บริษัทจะตรวจสอบให้แน่ใจว่าผู้รับข้อมูลภายนอกมีมาตรการรักษาความปลอดภัยและคุ้มครองข้อมูลส่วนบุคคลอย่างเหมาะสมตามกฎหมายและข้อตกลงที่เกี่ยวข้อง

### 2. การส่งหรือโอนข้อมูลส่วนบุคคลไปยังต่างประเทศ

ในกรณีที่บริษัทจำเป็นต้องส่งหรือโอนข้อมูลส่วนบุคคลของท่านไปยังต่างประเทศ เช่น เพื่อสนับสนุนการให้บริการข้ามประเทศ การทำงานร่วมกับพันธมิตร หรือการจัดเก็บข้อมูลบนระบบคลาวด์ บริษัทจะดำเนินการภายใต้ข้อกำหนดและมาตรฐานความปลอดภัยที่เข้มงวด รวมทั้งปฏิบัติตามข้อกำหนดตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 โดยมีรายละเอียด ดังนี้

- บริษัทจะดำเนินการโอนข้อมูลส่วนบุคคลเฉพาะไปยังประเทศที่ได้รับการรับรองว่ามีมาตรฐานการคุ้มครองข้อมูลที่เหมาะสม หรือมีมาตรการคุ้มครองข้อมูลส่วนบุคคลเทียบเท่ากับมาตรฐานของประเทศไทย
- หากข้อมูลส่วนบุคคลถูกโอนไปยังประเทศที่ไม่มีมาตรฐานคุ้มครองข้อมูลส่วนบุคคลที่เทียบเท่า บริษัทจะใช้ข้อตกลงทางกฎหมายที่เหมาะสม เช่น ข้อตกลงแบบสัญญามาตรฐานคุ้มครองข้อมูลส่วนบุคคล หรือมาตรการอื่น ๆ ที่ได้รับการยอมรับตามกฎหมาย
- บริษัทจะให้ข้อมูลเกี่ยวกับประเทศที่ข้อมูลถูกโอนไป และจุดประสงค์ของการโอนข้อมูลแก่เจ้าของข้อมูลส่วนบุคคลเมื่อมีคำร้องขอ
- บริษัทจะติดตามและทบทวนมาตรการคุ้มครองข้อมูลส่วนบุคคลเพื่อให้มั่นใจว่าการโอนข้อมูลส่วนบุคคลยังคงปลอดภัยและเป็นไปตามกฎหมาย

### 3. สิทธิของเจ้าของข้อมูลส่วนบุคคลเกี่ยวกับการเปิดเผยและการโอนข้อมูล

เจ้าของข้อมูลส่วนบุคคลมีสิทธิที่จะขอรับข้อมูลเกี่ยวกับบุคคลหรือหน่วยงานที่ข้อมูลส่วนบุคคลของตนถูกเปิดเผย รวมถึงสิทธิในการคัดค้านหรือจำกัดการเปิดเผยและการโอนข้อมูลส่วนบุคคลตามที่กฎหมายกำหนด โดยติดต่อเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลของบริษัทเพื่อใช้สิทธิดังกล่าว

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/6-1-4.md

============================================================
โนด: แนวปฏิบัติ 6.1.5
ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/6-1-5.md

# 6.1.5 มีการแจ้งระยะเวลาในการเก็บรวบรวมข้อมูลส่วนบุคคลไว้ ทั้งนี้ ในกรณีที่ไม่สามารถกำหนดระยะเวลาดังกล่าวได้ชัดเจน มีการแจ้งระยะเวลาที่อาจคาดหมายได้ตามมาตรฐานของการเก็บรวบรวม

## สิ่งที่ต้องทำ

มีการแจ้งระยะเวลาในการเก็บรวบรวมข้อมูลส่วนบุคคลให้ครบถ้วน ในกรณีที่ไม่สามารถกำหนดระยะเวลาได้ชัดเจน ให้แจ้งระยะเวลาที่อาจคาดหมายได้ตามมาตรฐานของการเก็บรวบรวม

## หลักฐาน

1. ประกาศการคุ้มครองข้อมูลส่วนบุคคล
2. เอกสารแสดงการอ้างอิงกฎหมายที่กำหนดไว้เป็นการเฉพาะ

## สภาพบังคับ

[มาตรา 23](https://link.pdpalawbase.com/section/23.md) (3) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ประกอบกับแนวทางการดำเนินการในการแจ้งวัตถุประสงค์และรายละเอียดในการเก็บรวบรวมข้อมูลส่วนบุคคลจากเจ้าของข้อมูลส่วนบุคคล

ในกรณีที่ไม่ปฏิบัติตาม [มาตรา 23](https://link.pdpalawbase.com/section/23.md) กำหนดโทษปรับทางปกครองไม่เกิน 1 ล้านบาท

## ตัวอย่างเอกสาร

### ประกาศการคุ้มครองข้อมูลส่วนบุคคล

**ระยะเวลาในการเก็บรวบรวมข้อมูลส่วนบุคคล**

บริษัท ตัวอย่าง จำกัด ("บริษัท" หรือ "เรา") แจ้งให้ทราบถึงระยะเวลาในการเก็บรักษาข้อมูลส่วนบุคคลที่บริษัทเก็บรวบรวมจากท่าน ดังนี้

### 1. ระยะเวลาในการเก็บรักษาข้อมูลส่วนบุคคล

บริษัทจะเก็บรักษาข้อมูลส่วนบุคคลของท่านเฉพาะในระยะเวลาที่จำเป็นเพื่อให้บรรลุวัตถุประสงค์ที่เก็บรวบรวมข้อมูลนั้น ๆ ตามที่ได้แจ้งไว้ในประกาศนี้ หรือในระยะเวลาที่กฎหมายที่เกี่ยวข้องกำหนด เช่น

- ข้อมูลที่เกี่ยวกับการให้บริการแก่ลูกค้า จะเก็บไว้จนกว่าการให้บริการจะสิ้นสุด และในระยะเวลาต่อเนื่องเพื่อวัตถุประสงค์ทางบัญชีหรือทางกฎหมายตามที่กฎหมายกำหนด
- ข้อมูลที่เก็บเพื่อวัตถุประสงค์ทางการตลาดหรือการส่งเสริมการขาย จะเก็บไว้จนกว่าท่านจะถอนความยินยอมหรือไม่ประสงค์จะรับข้อมูล
- ข้อมูลที่เก็บเพื่อปฏิบัติตามข้อกำหนดทางกฎหมาย เช่น ภาษี การตรวจสอบบัญชี หรือข้อพิพาททางกฎหมาย บริษัทจะเก็บไว้ตามระยะเวลาที่กฎหมายกำหนด
- ในกรณีที่ไม่สามารถกำหนดระยะเวลาเก็บรักษาข้อมูลได้ชัดเจน บริษัทจะเก็บข้อมูลในระยะเวลาที่สมเหตุสมผลตามมาตรฐานปฏิบัติในอุตสาหกรรมหรือธุรกิจนั้น ๆ

### 2. ตัวอย่างระยะเวลาที่คาดหมายได้ของการเก็บข้อมูลส่วนบุคคลตามประเภทข้อมูล

| ประเภทข้อมูลส่วนบุคคล | ระยะเวลาเก็บรักษาข้อมูล | เหตุผล/วัตถุประสงค์ในการเก็บรักษา |
|---|---|---|
| ข้อมูลลูกค้าและการทำธุรกรรม | 5 ปี หลังสิ้นสุดการให้บริการ | ปฏิบัติตามกฎหมายภาษีและวัตถุประสงค์ทางบัญชี |
| ข้อมูลผู้สมัครงาน | 1 ปี หลังสิ้นสุดกระบวนการสรรหา | เพื่อรักษาข้อมูลสำหรับการสรรหาในอนาคต และปฏิบัติตามกฎหมายแรงงาน |
| ข้อมูลพนักงาน | ตามระยะเวลาที่กฎหมายแรงงานกำหนด (อย่างน้อย 50 ปี) | ปฏิบัติตามกฎหมายแรงงานและกฎหมายประกันสังคม |
| ข้อมูลสำหรับการตลาด | จนกว่าจะได้รับคำขอถอนความยินยอมหรือไม่เกิน 3 ปี | เพื่อการตลาดและส่งเสริมการขาย |

### 3. การจัดการข้อมูลเมื่อครบกำหนดระยะเวลา

เมื่อครบกำหนดระยะเวลาการเก็บรักษาข้อมูลตามที่ระบุไว้ บริษัทจะดำเนินการลบหรือทำให้ข้อมูลไม่สามารถระบุตัวบุคคลได้โดยเร็วและปลอดภัย เพื่อป้องกันการใช้งานในทางที่ผิด

### 4. สิทธิของเจ้าของข้อมูลในการสอบถามระยะเวลาการเก็บข้อมูล

ท่านมีสิทธิขอสอบถามข้อมูลเกี่ยวกับระยะเวลาการเก็บรักษาข้อมูลส่วนบุคคลของท่าน หรือขอให้ลบข้อมูลตามเงื่อนไขที่กฎหมายกำหนด โดยติดต่อเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลของบริษัท

### เอกสารอ้างอิงกฎหมายที่เกี่ยวข้อง

- พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 กำหนดให้ผู้ควบคุมข้อมูลต้องแจ้งระยะเวลาในการเก็บรักษาข้อมูลหรือเกณฑ์การกำหนดระยะเวลาที่ชัดเจนแก่เจ้าของข้อมูล
- แนวทางการดำเนินการในการแจ้งวัตถุประสงค์และรายละเอียดในการเก็บรวบรวมข้อมูลส่วนบุคคลจากเจ้าของข้อมูลส่วนบุคคล
- แนวทางการปฏิบัติตามกฎหมายคุ้มครองข้อมูลส่วนบุคคล

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/6-1-5.md

============================================================
โนด: แนวปฏิบัติ 6.1.6
ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/6-1-6.md

# 6.1.6 มีการแจ้งสิทธิของเจ้าของข้อมูลส่วนบุคคล รวมถึงสิทธิในการถอนความยินยอมของเจ้าของข้อมูลส่วนบุคคล (กรณีมีการขอความยินยอม) และสิทธิในการร้องเรียนในกรณีที่มีการฝ่าฝืนหรือไม่ปฏิบัติตามกฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคล

## สิ่งที่ต้องทำ

มีการแจ้งสิทธิของเจ้าของข้อมูลส่วนบุคคลให้ทราบครบถ้วน รวมถึงสิทธิในการถอนความยินยอม (กรณีมีการขอความยินยอม) และสิทธิในการร้องเรียนในกรณีที่มีการฝ่าฝืนหรือไม่ปฏิบัติตามกฎหมาย

## หลักฐาน

1. ประกาศการคุ้มครองข้อมูลส่วนบุคคล

## สภาพบังคับ

[มาตรา 23](https://link.pdpalawbase.com/section/23.md) (6) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ประกอบกับแนวทางการดำเนินการในการแจ้งวัตถุประสงค์และรายละเอียดในการเก็บรวบรวมข้อมูลส่วนบุคคลจากเจ้าของข้อมูลส่วนบุคคล

ในกรณีที่ไม่ปฏิบัติตาม [มาตรา 23](https://link.pdpalawbase.com/section/23.md) กำหนดโทษปรับทางปกครองไม่เกิน 1 ล้านบาท

## ตัวอย่างเอกสาร

### ประกาศการคุ้มครองข้อมูลส่วนบุคคล

**หัวข้อ: การแจ้งสิทธิของเจ้าของข้อมูลส่วนบุคคล**

บริษัท ตัวอย่าง จำกัด ("บริษัท" หรือ "เรา") มีความมุ่งมั่นในการคุ้มครองข้อมูลส่วนบุคคลของท่านตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 โดยท่านในฐานะเจ้าของข้อมูลส่วนบุคคลมีสิทธิที่สามารถใช้ได้ภายใต้กฎหมายดังกล่าว ดังนี้

### สิทธิของเจ้าของข้อมูลส่วนบุคคล

1. **สิทธิในการเข้าถึงข้อมูลส่วนบุคคล** — ท่านมีสิทธิขอเข้าถึงและขอรับสำเนาข้อมูลส่วนบุคคลของตนที่อยู่ภายใต้ความรับผิดชอบของบริษัท รวมถึงขอให้บริษัทเปิดเผยแหล่งที่มาของข้อมูลส่วนบุคคลหากได้รับจากแหล่งอื่น
2. **สิทธิในการแก้ไขข้อมูล** — ท่านมีสิทธิขอให้บริษัทแก้ไขข้อมูลส่วนบุคคลของท่านให้ถูกต้อง สมบูรณ์ และเป็นปัจจุบัน
3. **สิทธิในการลบข้อมูล** — ท่านมีสิทธิขอให้บริษัทลบข้อมูลส่วนบุคคลของท่าน หากข้อมูลนั้นไม่มีความจำเป็นในการเก็บรักษาอีกต่อไป หรือเมื่อมีการถอนความยินยอม (ถ้ามี)
4. **สิทธิในการจำกัดการประมวลผลข้อมูล** — ท่านมีสิทธิขอให้บริษัทระงับการใช้ข้อมูลของท่านเป็นการชั่วคราวในบางกรณี เช่น อยู่ระหว่างการตรวจสอบความถูกต้องของข้อมูล
5. **สิทธิในการคัดค้านการประมวลผลข้อมูล** — ท่านมีสิทธิคัดค้านการประมวลผลข้อมูลของท่านในบางกรณี เช่น การประมวลผลเพื่อการตลาดทางตรง หรือการประมวลผลที่เกี่ยวกับประโยชน์โดยชอบด้วยกฎหมาย
6. **สิทธิในการโอนย้ายข้อมูล** — ท่านมีสิทธิขอรับข้อมูลส่วนบุคคลของท่านในรูปแบบที่สามารถอ่านหรือใช้งานได้โดยทั่วไป และส่งต่อข้อมูลนั้นไปยังผู้ควบคุมข้อมูลรายอื่นได้

### การถอนความยินยอม (ในกรณีที่ใช้ความยินยอมเป็นฐานทางกฎหมาย)

หากบริษัทประมวลผลข้อมูลส่วนบุคคลของท่านโดยอาศัยความยินยอม ท่านมีสิทธิถอนความยินยอมได้ทุกเมื่อ โดยการถอนความยินยอมจะไม่กระทบต่อการประมวลผลข้อมูลที่เกิดขึ้นก่อนหน้านั้น ท่านสามารถถอนความยินยอมได้โดยติดต่อผ่านอีเมล หรือช่องทางติดต่อเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลตามที่ระบุด้านล่าง

### สิทธิในการร้องเรียนต่อหน่วยงานกำกับดูแล

หากท่านเห็นว่าบริษัทได้กระทำการฝ่าฝืนหรือไม่ปฏิบัติตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล ท่านมีสิทธิร้องเรียนต่อสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เว็บไซต์ www.pdpc.go.th

### ช่องทางติดต่อเพื่อใช้สิทธิ

- **เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล:** คุณสมพร ข้อมูลดี
- **อีเมล:** dpo@example.com
- **โทรศัพท์:** 02-123-4567
- **ที่อยู่:** บริษัท ตัวอย่าง จำกัด 123 ถนนสุขุมวิท แขวงคลองเตย เขตคลองเตย กรุงเทพฯ 10110

บริษัทจะดำเนินการตอบสนองคำขอของท่านโดยไม่ล่าช้า ภายในระยะเวลาไม่เกิน 30 วันนับแต่วันที่ได้รับคำขอ โดยไม่คิดค่าธรรมเนียม เว้นแต่เป็นกรณีที่มีความซับซ้อนหรือมีคำขอซ้ำซ้อนกันหลายครั้ง

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/6-1-6.md

============================================================
โนด: แนวปฏิบัติ 6.1.7
ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/6-1-7.md

# 6.1.7 มีการแจ้งให้ทราบถึงกรณีที่เจ้าของข้อมูลส่วนบุคคลต้องให้ข้อมูลส่วนบุคคลเพื่อปฏิบัติตามกฎหมาย หรือสัญญา หรือมีความจำเป็นต้องให้ข้อมูลส่วนบุคคลเพื่อเข้าทำสัญญา รวมทั้งแจ้งถึงผลกระทบที่เป็นไปได้จากการไม่ให้ข้อมูลส่วนบุคคล (ถ้าหากมี หรือในกรณีที่เก็บรวบรวมข้อมูลส่วนบุคคลจากเจ้าของข้อมูลส่วนบุคคล)

## สิ่งที่ต้องทำ

มีการแจ้งให้เจ้าของข้อมูลส่วนบุคคลทราบให้ครบถ้วนถึงกรณีที่ต้องให้ข้อมูลส่วนบุคคลเพื่อปฏิบัติตามกฎหมายหรือสัญญา หรือเพื่อเข้าทำสัญญา รวมทั้งผลกระทบที่เป็นไปได้จากการไม่ให้ข้อมูลส่วนบุคคล

## หลักฐาน

1. ประกาศการคุ้มครองข้อมูลส่วนบุคคล

## สภาพบังคับ

[มาตรา 23](https://link.pdpalawbase.com/section/23.md) (2) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ประกอบกับแนวทางการดำเนินการในการแจ้งวัตถุประสงค์และรายละเอียดในการเก็บรวบรวมข้อมูลส่วนบุคคลจากเจ้าของข้อมูลส่วนบุคคล

ในกรณีที่ไม่ปฏิบัติตาม [มาตรา 23](https://link.pdpalawbase.com/section/23.md) กำหนดโทษปรับทางปกครองไม่เกิน 1 ล้านบาท

## ตัวอย่างเอกสาร

### ประกาศการคุ้มครองข้อมูลส่วนบุคคล

**หัวข้อ: การแจ้งภาระหน้าที่ในการให้ข้อมูล และผลกระทบจากการไม่ให้ข้อมูลส่วนบุคคล**

บริษัท ตัวอย่าง จำกัด ("บริษัท" หรือ "เรา") มุ่งมั่นในการปฏิบัติตามกฎหมายคุ้มครองข้อมูลส่วนบุคคลอย่างเคร่งครัด ภายใต้พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 บริษัทขอแจ้งรายละเอียดสำคัญ ดังต่อไปนี้

### 1. กรณีที่เจ้าของข้อมูลส่วนบุคคลต้องให้ข้อมูลตามกฎหมาย

ในบางกรณี การให้ข้อมูลส่วนบุคคลเป็นข้อกำหนดตามกฎหมาย เช่น

- กฎหมายแรงงาน ที่กำหนดให้เก็บข้อมูลส่วนบุคคลของพนักงาน เช่น สำเนาบัตรประชาชน ใบสำคัญการสมรส ใบสำคัญการหย่า ฯลฯ
- กฎหมายภาษีอากร เช่น การเก็บเลขประจำตัวผู้เสียภาษีของพนักงานเพื่อการยื่นภาษีเงินได้หัก ณ ที่จ่าย
- กฎหมายว่าด้วยการป้องกันและปราบปรามการฟอกเงิน ที่กำหนดให้สถาบันการเงินตรวจสอบและยืนยันตัวตนของลูกค้า

หากท่านไม่ให้ข้อมูลที่กฎหมายกำหนด อาจส่งผลให้บริษัทไม่สามารถปฏิบัติตามข้อกำหนดของกฎหมายหรือให้บริการท่านได้

### 2. กรณีที่เจ้าของข้อมูลส่วนบุคคลต้องให้ข้อมูลเพื่อเข้าสู่สัญญา

ในหลายกรณี ข้อมูลส่วนบุคคลจำเป็นสำหรับการทำสัญญาหรือการให้บริการ เช่น

- ข้อมูลเพื่อทำสัญญาจ้างงาน ได้แก่ ชื่อ-นามสกุล ข้อมูลบัญชีธนาคาร รายละเอียดติดต่อของผู้สมัครงาน
- ข้อมูลที่ใช้ทำสัญญากับลูกค้าหรือคู่ค้า เช่น เลขประจำตัวประชาชน ที่อยู่ เลขที่บัญชี หรือข้อมูลทางการเงิน

หากท่านไม่ให้ข้อมูลส่วนบุคคลดังกล่าว บริษัทอาจไม่สามารถทำสัญญาหรือให้บริการตามข้อตกลงได้

### 3. ผลกระทบที่เป็นไปได้จากการไม่ให้ข้อมูลส่วนบุคคล

หากท่านปฏิเสธที่จะให้ข้อมูลในกรณีที่กฎหมายหรือสัญญากำหนด อาจก่อให้เกิดผลกระทบ เช่น

- ไม่สามารถเข้าสู่กระบวนการสมัครงานหรือจ้างงานได้
- ไม่สามารถให้บริการหรือทำธุรกรรมตามสัญญาได้
- ไม่สามารถเข้าถึงสิทธิประโยชน์ตามนโยบายของบริษัท เช่น ประกันสุขภาพหรือสวัสดิการต่าง ๆ
- บริษัทอาจมีความจำเป็นต้องปฏิเสธการให้บริการหรือยกเลิกความสัมพันธ์ทางสัญญาเพื่อปฏิบัติตามกฎหมาย

### ช่องทางติดต่อเพิ่มเติม

หากท่านมีคำถามเกี่ยวกับเหตุผลในการเก็บรวบรวมข้อมูล หรือผลกระทบจากการไม่ให้ข้อมูล ท่านสามารถติดต่อเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลได้ที่:

- **ชื่อ:** คุณสมพร ข้อมูลดี
- **อีเมล:** dpo@example.com
- **โทรศัพท์:** 02-123-4567
- **ที่อยู่:** บริษัท ตัวอย่าง จำกัด 123 ถนนสุขุมวิท แขวงคลองเตย เขตคลองเตย กรุงเทพฯ 10110

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/6-1-7.md

============================================================
โนด: แนวปฏิบัติ 6.1.8
ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/6-1-8.md

# 6.1.8 ในกรณีของการเก็บรวบรวมข้อมูลส่วนบุคคลจากแหล่งอื่นที่ไม่ใช่เจ้าของข้อมูลส่วนบุคคลโดยตรง องค์กรได้แจ้งให้เจ้าของข้อมูลส่วนบุคคลทราบถึงแหล่งที่มาของข้อมูลนั้น เช่น จากสื่อสังคมออนไลน์ ข้อมูลการลงทะเบียนต่าง ๆ ที่เปิดเผยเป็นสาธารณะ หรือจากฐานข้อมูลนิติบุคคล เป็นต้น

## สิ่งที่ต้องทำ

มีการแจ้งให้เจ้าของข้อมูลส่วนบุคคลทราบให้ครบถ้วนถึงแหล่งที่มาของข้อมูล ในกรณีที่เก็บรวบรวมข้อมูลส่วนบุคคลจากแหล่งอื่นที่ไม่ใช่เจ้าของข้อมูลส่วนบุคคลโดยตรง

## หลักฐาน

1. ประกาศการคุ้มครองข้อมูลส่วนบุคคล

## สภาพบังคับ

[มาตรา 25](https://link.pdpalawbase.com/section/25.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ประกอบกับแนวทางการดำเนินการในการแจ้งวัตถุประสงค์และรายละเอียดในการเก็บรวบรวมข้อมูลส่วนบุคคลจากเจ้าของข้อมูลส่วนบุคคล

ในกรณีที่ไม่ปฏิบัติตาม [มาตรา 25](https://link.pdpalawbase.com/section/25.md) กำหนดโทษปรับทางปกครองไม่เกิน 3 ล้านบาท

## ตัวอย่างเอกสาร

### ประกาศการคุ้มครองข้อมูลส่วนบุคคล

**หัวข้อ: การแจ้งแหล่งที่มาของข้อมูลส่วนบุคคลในกรณีที่ไม่ได้รับโดยตรงจากเจ้าของข้อมูล**

บริษัท ตัวอย่าง จำกัด มุ่งมั่นในการปฏิบัติตามกฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคลอย่างเคร่งครัด ภายใต้พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 บริษัทขอแจ้งให้ทราบถึงการดำเนินการในกรณีที่มีการเก็บรวบรวมข้อมูลส่วนบุคคลจากแหล่งอื่นที่ไม่ใช่เจ้าของข้อมูลส่วนบุคคลโดยตรง ดังนี้

### 1. แหล่งที่มาของข้อมูลส่วนบุคคลที่บริษัทอาจได้รับจากแหล่งอื่น

ในบางกรณี บริษัทอาจได้รับข้อมูลส่วนบุคคลจากแหล่งอื่นที่มิใช่การให้ข้อมูลโดยตรงจากเจ้าของข้อมูลส่วนบุคคล เช่น

- ข้อมูลจากสื่อสังคมออนไลน์ เช่น Facebook, LinkedIn, Twitter โดยเฉพาะในกรณีที่มีการเปิดเผยข้อมูลเป็นสาธารณะ
- ข้อมูลจากผู้ให้บริการข้อมูลทางธุรกิจ เช่น ฐานข้อมูลนิติบุคคล หรือฐานข้อมูลจัดซื้อจัดจ้างภาครัฐ
- ข้อมูลจากผู้ให้บริการจัดหางาน หรือบริษัทรับสมัครงาน
- ข้อมูลจากพันธมิตรทางธุรกิจหรือผู้รับมอบอำนาจของเจ้าของข้อมูล
- ข้อมูลจากแหล่งที่มีการให้ความยินยอมล่วงหน้าแล้ว เช่น ระบบลงทะเบียนออนไลน์ในกิจกรรมต่าง ๆ
- ข้อมูลจากหน่วยงานภาครัฐที่เปิดเผยเป็นสาธารณะโดยชอบด้วยกฎหมาย เช่น กรมพัฒนาธุรกิจการค้า

### 2. วัตถุประสงค์ของการเก็บรวบรวมข้อมูลส่วนบุคคลจากแหล่งอื่น

ข้อมูลที่ได้รับจากแหล่งอื่นอาจนำมาใช้เพื่อวัตถุประสงค์ดังต่อไปนี้

- การตรวจสอบคุณสมบัติในการรับเข้าทำงานหรือรับทุนสนับสนุน
- การติดต่อเพื่อให้ข้อมูลข่าวสารเกี่ยวกับผลิตภัณฑ์หรือบริการ
- การพิจารณาความเหมาะสมในการเป็นคู่ค้าทางธุรกิจ
- การดำเนินกิจกรรมทางการตลาดที่ไม่ละเมิดสิทธิส่วนบุคคล
- การประเมินความเสี่ยงตามข้อกำหนดของกฎหมายหรือระเบียบภายในองค์กร

### 3. สิทธิของเจ้าของข้อมูลส่วนบุคคล

เมื่อบริษัทได้รับข้อมูลส่วนบุคคลจากแหล่งอื่น บริษัทจะแจ้งให้ท่านทราบถึงสิทธิของท่านภายในระยะเวลาอันสมควร เช่น

- สิทธิขอเข้าถึงและรับสำเนาข้อมูล
- สิทธิขอให้แก้ไขข้อมูลให้ถูกต้อง
- สิทธิขอให้ลบหรือทำลายข้อมูล
- สิทธิขอให้ระงับการใช้ข้อมูล
- สิทธิในการคัดค้านการประมวลผลข้อมูล
- สิทธิในการร้องเรียนต่อสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล

### 4. วิธีการแจ้งเจ้าของข้อมูลส่วนบุคคล

เมื่อได้รับข้อมูลส่วนบุคคลจากแหล่งอื่น บริษัทจะดำเนินการแจ้งให้เจ้าของข้อมูลส่วนบุคคลทราบถึงแหล่งที่มาของข้อมูล วัตถุประสงค์ในการใช้ ฐานทางกฎหมาย สิทธิของเจ้าของข้อมูล และข้อมูลการติดต่อเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล โดยจะแจ้งผ่านวิธีการที่เหมาะสม เช่น ทางอีเมล แบบฟอร์มออนไลน์ หรือการแจ้งผ่านเว็บไซต์ของบริษัท ภายในระยะเวลาไม่เกิน 30 วันนับแต่วันที่ได้รับข้อมูลส่วนบุคคล

### 5. ข้อยกเว้นตามกฎหมาย

บริษัทอาจไม่มีความจำเป็นต้องแจ้งเจ้าของข้อมูลส่วนบุคคล ในกรณีที่:

- เจ้าของข้อมูลส่วนบุคคลได้รับการแจ้งแล้วก่อนหน้านี้
- เป็นการใช้ข้อมูลส่วนบุคคลเพื่อประโยชน์สาธารณะ หรือตามหน้าที่ราชการ
- การแจ้งอาจทำให้การบรรลุวัตถุประสงค์ของการใช้ข้อมูลส่วนบุคคลล้มเหลว
- กฎหมายเฉพาะบัญญัติไว้เป็นอย่างอื่น

### ช่องทางติดต่อ

หากท่านต้องการสอบถามเกี่ยวกับแหล่งที่มาของข้อมูล หรือใช้สิทธิของเจ้าของข้อมูล กรุณาติดต่อ:

- **ชื่อ:** เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล
- **อีเมล:** dpo@example.com
- **โทรศัพท์:** 02-123-4567
- **ที่อยู่:** บริษัท ตัวอย่าง จำกัด 123 ถนนสุขุมวิท กรุงเทพฯ 10110

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/6-1-8.md

============================================================
โนด: แนวปฏิบัติ 6.2.1
ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/6-2-1.md

# 6.2.1 เจ้าของข้อมูลส่วนบุคคลได้รับแจ้งวัตถุประสงค์และรายละเอียดในการเก็บรวบรวมข้อมูลส่วนบุคคลในขณะที่ข้อมูลส่วนบุคคลถูกเก็บรวบรวม

## สิ่งที่ต้องทำ

มีหลักฐานการได้รับแจ้งวัตถุประสงค์และรายละเอียดในการเก็บรวบรวมข้อมูลส่วนบุคคลครบถ้วน โดยเจ้าของข้อมูลส่วนบุคคลต้องได้รับแจ้งในขณะที่ข้อมูลส่วนบุคคลถูกเก็บรวบรวม อาทิ ในขณะที่กรอกแบบฟอร์ม หรือจากกรณีที่อาจสังเกตเห็นได้เอง เช่น การถูกบันทึกภาพโดยระบบกล้องวงจรปิด หรือการถูกติดตามพฤติกรรมออนไลน์ เป็นต้น

## หลักฐาน

1. หลักฐานการได้รับแจ้งวัตถุประสงค์และรายละเอียดในการเก็บรวบรวมข้อมูลส่วนบุคคล เช่น ข้อความในรูปแบบ SMS, email, ภาพถ่ายป้ายที่แสดงว่ามีการเก็บข้อมูลผ่านกล้องวงจรปิด เป็นต้น

## สภาพบังคับ

พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 [มาตรา 23](https://link.pdpalawbase.com/section/23.md) แนวทางการดำเนินการในการแจ้งวัตถุประสงค์และรายละเอียดในการเก็บรวบรวมข้อมูลส่วนบุคคลจากเจ้าของข้อมูลส่วนบุคคล

โทษทางปกครอง: ในกรณีที่ไม่ปฏิบัติตาม [มาตรา 23](https://link.pdpalawbase.com/section/23.md) กำหนดโทษปรับทางปกครองไม่เกิน 1 ล้านบาท

## ตัวอย่างเอกสาร

### หลักฐานการแจ้งวัตถุประสงค์และรายละเอียด ณ จุดเก็บรวบรวม

- **ชื่อเอกสาร:** หลักฐานการแจ้งวัตถุประสงค์และรายละเอียดในการเก็บรวบรวมข้อมูลส่วนบุคคล ณ จุดเก็บรวบรวม
- **วัตถุประสงค์:** เพื่อใช้เป็นหลักฐานแสดงว่าองค์กรได้แจ้งเจ้าของข้อมูลส่วนบุคคลให้ทราบถึงวัตถุประสงค์และรายละเอียดที่เกี่ยวข้องอย่างชัดเจน ขณะมีการเก็บรวบรวมข้อมูล ตามที่กำหนดไว้ในกฎหมาย

### ตัวอย่างการแจ้งที่ใช้งานจริง

**1. แบบฟอร์มออนไลน์/ออฟไลน์ที่มีการแจ้งวัตถุประสงค์**

แบบฟอร์มลงทะเบียนพนักงาน/ลูกค้า มีข้อความต่อไปนี้แนบไว้ก่อนช่องให้กรอกข้อมูล:

> “บริษัทจะใช้ข้อมูลส่วนบุคคลที่ท่านกรอกในแบบฟอร์มนี้เพื่อวัตถุประสงค์ในการติดต่อกลับ ประเมินคุณสมบัติการรับสมัคร และจัดเก็บเป็นประวัติภายใน ไม่เปิดเผยแก่บุคคลภายนอก เว้นแต่ได้รับความยินยอมจากท่าน หรือมีเหตุจำเป็นตามกฎหมาย…”

แนบ: ภาพถ่ายหน้าฟอร์ม หรือภาพหน้าจอหน้าเว็บไซต์ที่มีการแจ้ง

**2. SMS หรือ Email ที่ใช้แจ้งขณะเก็บข้อมูล**

ตัวอย่างข้อความ SMS:

> “เรียนคุณสมชาย บริษัทเก็บข้อมูลเบอร์โทรศัพท์ของท่านเพื่อใช้ยืนยันตัวตนในการใช้งานระบบบริการลูกค้า รายละเอียดเพิ่มเติม: www.example.com/privacy”

แนบ: ภาพถ่ายหน้าจอ SMS / อีเมลที่มีข้อความดังกล่าว

**3. ป้ายแจ้งหน้ากล้องวงจรปิด**

ข้อความในป้าย:

> “บริเวณนี้มีกล้องวงจรปิดบันทึกภาพเพื่อความปลอดภัยในชีวิตและทรัพย์สินของพนักงานและบุคคลภายนอก หากต้องการทราบข้อมูลเพิ่มเติมกรุณาติดต่อแผนกบุคคล โทร 02-xxx-xxxx หรือดูนโยบายได้ที่ www.example.com/privacy”

แนบ: ภาพถ่ายป้ายที่ติดตั้งบริเวณทางเข้าอาคารหรือภายในสถานที่

**4. การแจ้งผ่านหน้าเว็บไซต์ (นโยบายคุกกี้และการติดตาม)**

ตัวอย่างแบนเนอร์แจ้ง:

> “เว็บไซต์ของเรามีการใช้คุกกี้เพื่อวิเคราะห์การใช้งานและปรับปรุงประสบการณ์ของผู้ใช้ โดยการใช้งานเว็บไซต์ต่อไปถือว่าท่านยอมรับการใช้คุกกี้ตามนโยบายของเรา [อ่านเพิ่มเติม]”

แนบ: ภาพหน้าจอหน้าแรกของเว็บไซต์ พร้อมแบนเนอร์แจ้ง

### ตัวอย่างประกาศแนบท้ายแบบฟอร์มลงทะเบียน

> **ประกาศเรื่องการคุ้มครองข้อมูลส่วนบุคคล**
>
> ข้อมูลส่วนบุคคลที่ท่านให้ไว้ในแบบฟอร์มนี้ จะถูกเก็บรวบรวม ใช้ และเปิดเผยโดยหน่วยงาน [ชื่อหน่วยงาน] เพื่อวัตถุประสงค์ในการจัดการลงทะเบียน ติดต่อกลับ ประเมินผลการเข้าร่วม และรายงานต่อผู้เกี่ยวข้อง
>
> หน่วยงานจะไม่เปิดเผยข้อมูลของท่านต่อบุคคลภายนอก เว้นแต่ได้รับความยินยอมจากท่าน หรือมีเหตุจำเป็นตามกฎหมาย สามารถศึกษารายละเอียดนโยบายความเป็นส่วนตัวเพิ่มเติมได้ที่ [ลิงก์]
>
> ☐ ข้าพเจ้าได้อ่านและรับทราบประกาศการคุ้มครองข้อมูลส่วนบุคคล

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/6-2-1.md

============================================================
โนด: แนวปฏิบัติ 6.2.2
ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/6-2-2.md

# 6.2.2 ในกรณีของการเก็บรวบรวมข้อมูลส่วนบุคคลจากแหล่งอื่นที่ไม่ใช่เจ้าของข้อมูลส่วนบุคคลโดยตรง องค์กรได้แจ้งการเก็บรวบรวมให้แก่เจ้าของข้อมูลส่วนบุคคลทราบโดยไม่ชักช้า

## สิ่งที่ต้องทำ

มีการแจ้งให้เจ้าของข้อมูลส่วนบุคคลทราบภายใน 30 วัน นับแต่วันที่ผู้ควบคุมข้อมูลส่วนบุคคลเก็บรวบรวมข้อมูลส่วนบุคคลจากแหล่งอื่น และได้รับความยินยอมจากเจ้าของข้อมูลส่วนบุคคล

## หลักฐาน

1. หลักฐานการบันทึกข้อมูลวันที่ได้รับข้อมูลจากแหล่งอื่น และวันที่แจ้งข้อมูลและได้รับความยินยอมจากเจ้าของข้อมูลส่วนบุคคล รวมถึงหลักฐานการให้ความยินยอมของเจ้าของข้อมูลส่วนบุคคล

## สภาพบังคับ

พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 [มาตรา 25](https://link.pdpalawbase.com/section/25.md) แนวทางการดำเนินการในการแจ้งวัตถุประสงค์และรายละเอียดในการเก็บรวบรวมข้อมูลส่วนบุคคลจากเจ้าของข้อมูลส่วนบุคคล

โทษทางปกครอง: ในกรณีที่ไม่ปฏิบัติตาม [มาตรา 25](https://link.pdpalawbase.com/section/25.md) กำหนดโทษปรับทางปกครองไม่เกิน 1 ล้านบาท

## ตัวอย่างเอกสาร

### แบบฟอร์มบันทึกการเก็บรวบรวมข้อมูลส่วนบุคคลจากแหล่งอื่น

- **ชื่อเอกสาร:** แบบฟอร์มบันทึกการเก็บรวบรวมข้อมูลส่วนบุคคลจากแหล่งอื่น
- **หน่วยงาน:** [ชื่อหน่วยงานหรือองค์กร]

| รายการ | รายละเอียด |
|--------|-----------|
| วันที่ได้รับข้อมูลจากแหล่งอื่น | 3 พฤษภาคม 2568 |
| แหล่งที่มา | ฐานข้อมูลสมาชิกองค์กรพันธมิตร: บริษัท ABC จำกัด |
| ประเภทของข้อมูลที่ได้รับ | ชื่อ-นามสกุล เบอร์โทรศัพท์ อีเมล |
| วัตถุประสงค์ในการเก็บข้อมูล | เพื่อส่งข้อมูลข่าวสารและกิจกรรมส่งเสริมการตลาดขององค์กร |
| วันที่แจ้งข้อมูลส่วนบุคคล | 10 พฤษภาคม 2568 |
| วิธีการแจ้ง | Email โดยแนบประกาศแจ้งการเก็บข้อมูลส่วนบุคคล |
| หลักฐานการแจ้ง | สำเนา Email พร้อมเวลาส่ง (แนบไว้ท้ายเอกสาร) |
| วันที่ได้รับความยินยอม | 15 พฤษภาคม 2568 |
| ช่องทางการยินยอม | ลิงก์แบบฟอร์มออนไลน์ |
| แนบไฟล์ | สำเนาหน้าจอฟอร์มยินยอมและรายการผู้ตอบแบบฟอร์ม |

### ตัวอย่างประกาศแจ้งเจ้าของข้อมูล

> **ประกาศแจ้งการเก็บรวบรวมข้อมูลส่วนบุคคลจากแหล่งอื่น**
>
> เรียน คุณ [ชื่อเจ้าของข้อมูล]
>
> หน่วยงาน [ชื่อหน่วยงาน] ได้รับข้อมูลของท่านจาก [ระบุแหล่งที่มา เช่น ฐานข้อมูลของบริษัท ABC จำกัด ซึ่งเป็นพันธมิตรทางธุรกิจขององค์กร] โดยมีข้อมูล ได้แก่ ชื่อ-นามสกุล อีเมล และเบอร์โทรศัพท์
>
> ข้อมูลนี้จะถูกใช้เพื่อวัตถุประสงค์ในการ [เช่น การแจ้งข้อมูลข่าวสาร กิจกรรมโปรโมชัน หรือการติดต่อสื่อสารที่จำเป็น] ตามนโยบายความเป็นส่วนตัวของเรา
>
> หากท่านไม่ประสงค์ให้เราใช้ข้อมูลของท่าน กรุณากดลิงก์ด้านล่างเพื่อลบข้อมูล หรือยืนยันการให้ความยินยอมได้ที่ [ลิงก์ฟอร์มยินยอม]
>
> ศึกษารายละเอียดเพิ่มเติมได้ที่: [ลิงก์ประกาศคุ้มครองข้อมูล]
>
> ขอแสดงความนับถือ
> [ชื่อเจ้าหน้าที่/แผนกติดต่อ]
> [เบอร์โทรศัพท์] | [อีเมลติดต่อ]

### แบบฟอร์มยินยอมออนไลน์ (ตัวอย่างเนื้อหา)

> **แบบฟอร์มยินยอมการใช้ข้อมูลส่วนบุคคล**
>
> ข้าพเจ้ารับทราบว่า ข้อมูลส่วนบุคคลของข้าพเจ้า (ชื่อ, เบอร์โทร, อีเมล) ได้ถูกเก็บมาจากบริษัทพันธมิตร และข้าพเจ้ายินยอมให้องค์กร [ชื่อหน่วยงาน] ใช้ข้อมูลของข้าพเจ้าสำหรับการส่งข้อมูลข่าวสาร และกิจกรรมที่เกี่ยวข้องตามที่ระบุในประกาศการคุ้มครองข้อมูลส่วนบุคคล
>
> ☐ ข้าพเจ้ายินยอมให้มีการใช้ข้อมูลส่วนบุคคลตามประกาศดังกล่าว
>
> ชื่อ-นามสกุล: ………………………………
> วันที่ยินยอม: ………………………………

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/6-2-2.md

============================================================
โนด: แนวปฏิบัติ 6.3.1
ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/6-3-1.md

# 6.3.1 ใช้กระบวนการเชิงรุกในการแจ้งให้บุคคลทราบถึงวัตถุประสงค์และรายละเอียดต่าง ๆ และมีวิธีเข้าถึงข้อมูลดังกล่าวได้ง่ายและไม่มีค่าใช้จ่าย

## สิ่งที่ต้องทำ

มีกระบวนการเชิงรุกในการแจ้งให้บุคคลทราบถึงวัตถุประสงค์ และมีวิธีเข้าถึงข้อมูลดังกล่าวได้ง่ายและไม่มีค่าใช้จ่าย

## หลักฐาน

1. หลักฐานแสดงกระบวนการเชิงรุกในการแจ้งให้บุคคลทราบถึงวัตถุประสงค์ที่มีประสิทธิภาพและรายละเอียดต่าง ๆ รวมถึงวิธีการเข้าถึงข้อมูล

## สภาพบังคับ

ไม่มีกฎหมายบังคับ

## ตัวอย่างเอกสาร

### กระบวนการเชิงรุกในการแจ้งข้อมูลส่วนบุคคล และการเข้าถึงข้อมูลโดยไม่มีค่าใช้จ่าย

- **เรื่อง:** กระบวนการเชิงรุกในการแจ้งข้อมูลส่วนบุคคล และการเข้าถึงข้อมูลโดยไม่มีค่าใช้จ่าย
- **หน่วยงาน:** [ชื่อหน่วยงานหรือองค์กร]

**1. แนวทางดำเนินงานเชิงรุก**

องค์กรมีการดำเนินการแจ้งรายละเอียดเกี่ยวกับการเก็บรวบรวม ใช้ และเปิดเผยข้อมูลส่วนบุคคลแก่เจ้าของข้อมูลส่วนบุคคล ผ่านช่องทางต่าง ๆ อย่างต่อเนื่องและชัดเจน โดยไม่รอให้เจ้าของข้อมูลร้องขอ ดังนี้:

| ช่องทาง | รายละเอียด |
|---------|-----------|
| เว็บไซต์ทางการ | มีประกาศนโยบายความเป็นส่วนตัวและรายละเอียดการใช้ข้อมูลในหน้าแรก และเมนูเฉพาะ “ข้อมูลส่วนบุคคล” โดยเข้าถึงได้โดยไม่ต้องลงชื่อเข้าใช้ |
| แบนเนอร์/ป้ายประชาสัมพันธ์ | ติดตั้ง ณ จุดบริการ เช่น หน้าสำนักงาน จุดบริการลูกค้า และบริเวณทางเข้ากล้องวงจรปิด |
| แบบฟอร์มออนไลน์และออฟไลน์ | ทุกแบบฟอร์มที่มีการเก็บข้อมูลจะแนบประกาศคุ้มครองข้อมูลส่วนบุคคล หรือแนบลิงก์เพื่อศึกษาเพิ่มเติม |
| Email/SMS | ส่งข้อความแจ้งวัตถุประสงค์ในการใช้ข้อมูลให้ผู้มีส่วนเกี่ยวข้องในกรณีที่มีการเก็บข้อมูลใหม่ |
| QR Code | ติดไว้ในเอกสารทางราชการ เอกสารใบสมัคร และจุดบริการ เพื่อให้สแกนอ่านนโยบายข้อมูลได้สะดวก |

**2. วิธีการเข้าถึงข้อมูลได้ง่าย และไม่มีค่าใช้จ่าย**

- **เว็บไซต์หลักของหน่วยงาน** — ผู้ใช้สามารถเข้าถึงเอกสารเกี่ยวกับนโยบายความเป็นส่วนตัวได้จาก www.example.org/privacy โดยไม่มีค่าใช้จ่าย และไม่ต้องลงทะเบียน
- **QR Code เข้าถึงข้อมูล** — ติด QR Code บนแบบฟอร์มใบสมัคร ป้ายบริเวณสำนักงาน และเอกสารประกาศรับสมัครงาน/กิจกรรมต่าง ๆ
- **สำเนาเอกสารฉบับพิมพ์** — เจ้าของข้อมูลสามารถขอรับเอกสารนโยบายฉบับพิมพ์ที่จุดบริการลูกค้า/ประชาสัมพันธ์ได้ โดยไม่มีค่าใช้จ่าย
- **ระบบตอบกลับอัตโนมัติ** — ระบบอีเมลขององค์กรมีข้อความตอบกลับอัตโนมัติแนบลิงก์นโยบายความเป็นส่วนตัวทุกครั้งเมื่อมีการติดต่อเข้ามา

**3. ตัวอย่างข้อความเชิงรุกที่ใช้จริง**

> “องค์กรของเรามุ่งมั่นในการคุ้มครองข้อมูลส่วนบุคคลของท่าน ท่านสามารถศึกษารายละเอียดเกี่ยวกับการเก็บรวบรวม ใช้ และเปิดเผยข้อมูลส่วนบุคคล รวมถึงสิทธิของท่านได้ที่ www.example.org/privacy หรือโดยการสแกน QR Code บนเอกสารฉบับนี้”

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/6-3-1.md

============================================================
โนด: แนวปฏิบัติ 6.3.2
ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/6-3-2.md

# 6.3.2 องค์กรแจ้งให้ทราบในรูปแบบอิเล็กทรอนิกส์และเอกสาร โดยใช้เทคนิคที่เหมาะสมร่วมกัน

## สิ่งที่ต้องทำ

มีการแจ้งวัตถุประสงค์ครบถ้วนทั้งรูปแบบอิเล็กทรอนิกส์และเอกสาร โดยใช้เทคนิคที่เหมาะสมร่วมกัน เช่น วิธีการทำหัวข้อและมีการขีดเส้นใต้ข้อความเพื่อเชื่อมต่อไปยังวัตถุประสงค์และรายละเอียด การใช้รูปสัญลักษณ์ และมีคุณสมบัติการแจ้งได้อย่างเหมาะสมและมีประสิทธิภาพบนอุปกรณ์เคลื่อนที่และอุปกรณ์อัจฉริยะ

## หลักฐาน

1. หลักฐานแสดงวิธีการที่องค์กรแจ้งวัตถุประสงค์ทั้งช่องทางอิเล็กทรอนิกส์และเอกสาร

## สภาพบังคับ

ไม่มีกฎหมายบังคับ

## ตัวอย่างเอกสาร

### การแจ้งวัตถุประสงค์ผ่านช่องทางอิเล็กทรอนิกส์และเอกสาร

- **เรื่อง:** การแจ้งวัตถุประสงค์ในการเก็บรวบรวมข้อมูลส่วนบุคคลผ่านช่องทางอิเล็กทรอนิกส์และเอกสาร
- **หน่วยงาน:** [ชื่อหน่วยงานหรือองค์กร]

**1. รูปแบบการแจ้งวัตถุประสงค์**

| ช่องทาง | วิธีการแจ้ง | รายละเอียดเทคนิค |
|---------|------------|------------------|
| เว็บไซต์ | Banner หน้าแรก + ลิงก์นโยบาย | ใช้หัวข้อสรุปในหน้าแรก พร้อมไฮเปอร์ลิงก์ “อ่านเพิ่มเติม” ไปยังรายละเอียดแต่ละข้อ |
| มือถือ/แท็บเล็ต | ออกแบบให้แสดงผลตอบสนอง | ออกแบบนโยบายให้อ่านง่ายบนหน้าจอขนาดเล็ก เช่น ย่อข้อความ แสดงหัวข้อหลักก่อนรายละเอียด |
| แบบฟอร์มกระดาษ | แนบประกาศความเป็นส่วนตัว | เอกสารแนบประกาศความเป็นส่วนตัวท้ายฟอร์ม พร้อม QR Code สำหรับอ่านฉบับเต็ม |
| Email/SMS | แจ้งย่อโดยตรง + ลิงก์ | ระบุข้อความสั้น “องค์กรขอแจ้งว่าได้เก็บข้อมูลของท่านตามวัตถุประสงค์... อ่านเพิ่มเติมได้ที่ [ลิงก์]” |
| ภาพอินโฟกราฟิก / สัญลักษณ์ | ใช้ในทั้งเว็บไซต์และเอกสาร | สื่อสารสิทธิพื้นฐาน เช่น การถอนความยินยอม การร้องเรียน ด้วยภาพไอคอนเข้าใจง่าย |

**2. ตัวอย่างการแจ้งแบบเป็นชั้นบนเว็บไซต์**

- **ชั้นที่ 1 (ชั้นสรุป):**
  - ข้อมูลของคุณมีความสำคัญต่อเรา องค์กรจะใช้ข้อมูลของคุณเพื่อวัตถุประสงค์ในการให้บริการ/ติดต่อกลับ และไม่ใช้เพื่อวัตถุประสงค์อื่นโดยไม่ได้รับความยินยอม
  - อ่านรายละเอียดเพิ่มเติม
- **ชั้นที่ 2 (ชั้นรายละเอียด):**
  - วัตถุประสงค์ในการเก็บข้อมูลแต่ละประเภท
  - แหล่งที่มาของข้อมูล (ถ้าไม่ได้เก็บจากเจ้าของข้อมูลโดยตรง)
  - สิทธิของเจ้าของข้อมูล
  - วิธีถอนความยินยอม
  - วิธีร้องเรียน

**3. ตัวอย่างประกาศเอกสารแนบแบบฟอร์ม**

ประกาศการคุ้มครองข้อมูลส่วนบุคคลแนบท้ายแบบฟอร์ม พร้อม QR Code สำหรับอ่านฉบับเต็ม โดยหัวข้อประกาศประกอบด้วย

- วัตถุประสงค์ในการเก็บข้อมูล
- ระยะเวลาการเก็บ
- สิทธิของเจ้าของข้อมูล
- ช่องทางการติดต่อ

**4. คุณสมบัติการใช้งานบนอุปกรณ์อัจฉริยะ**

- เว็บไซต์และระบบฟอร์มออนไลน์ใช้การออกแบบที่แสดงผลตอบสนอง
- รองรับการแสดงผลในอุปกรณ์ขนาดเล็ก เช่น มือถือ และแท็บเล็ต
- ใช้ขนาดตัวอักษรเหมาะสม และปุ่มกดที่ใช้งานง่าย
- รองรับโปรแกรมอ่านหน้าจอและมาตรฐานการเข้าถึงเว็บขั้นพื้นฐาน

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/6-3-2.md

============================================================
โนด: แนวปฏิบัติ 6.3.3
ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/6-3-3.md

# 6.3.3 ภาษาและข้อความที่ใช้ในการแจ้งวัตถุประสงค์และรายละเอียดในการเก็บรวบรวมข้อมูลส่วนบุคคลมีความชัดเจนและสามารถเข้าใจได้โดยง่าย และสื่อสารสอดคล้องกับกลุ่มเป้าหมาย

## สิ่งที่ต้องทำ

มีการแจ้งวัตถุประสงค์โดยใช้ภาษาและข้อความที่ชัดเจน เข้าใจง่าย รูปแบบและวิธีการสื่อสารสอดคล้องกับกลุ่มเป้าหมาย (ลักษณะหรือประเภทของเจ้าของข้อมูลส่วนบุคคล)

## หลักฐาน

1. ประกาศการคุ้มครองข้อมูลส่วนบุคคล และหลักฐานแสดงกระบวนการจัดทำประกาศการคุ้มครองข้อมูลส่วนบุคคลที่เหมาะสมกับกลุ่มเป้าหมาย เช่น นโยบายหรือแนวปฏิบัติขององค์กร รายงานการประชุม ฯลฯ

## สภาพบังคับ

ไม่มีกฎหมายบังคับ

## ตัวอย่างเอกสาร

### การใช้ภาษาและข้อความในการแจ้งวัตถุประสงค์ให้เหมาะสมกับกลุ่มเป้าหมาย

- **เรื่อง:** การใช้ภาษาและข้อความในการแจ้งวัตถุประสงค์ให้เหมาะสมกับกลุ่มเป้าหมาย
- **หน่วยงาน:** [ชื่อหน่วยงานหรือองค์กร]

**1. นโยบายหรือแนวปฏิบัติขององค์กร**

หัวข้อ: แนวปฏิบัติในการจัดทำประกาศการคุ้มครองข้อมูลส่วนบุคคลให้เหมาะสมกับกลุ่มเป้าหมาย

สาระสำคัญ:

- ใช้ภาษาระดับทั่วไป หลีกเลี่ยงศัพท์กฎหมายหรือศัพท์เทคนิคที่ซับซ้อน
- แยกรูปแบบของประกาศตามกลุ่มเป้าหมาย เช่น บุคลากรภายใน ผู้สมัครงาน ลูกค้า/ผู้รับบริการ และผู้เยี่ยมชมเว็บไซต์
- รูปแบบมีการตรวจสอบความเข้าใจ (ผ่านการอ่านโดยบุคคลภายนอกหรือพนักงานที่ไม่เกี่ยวข้องกับการจัดทำนโยบาย)

**2. ตัวอย่างข้อความในประกาศการคุ้มครองข้อมูลส่วนบุคคล**

- **สำหรับลูกค้าทั่วไป:** เราขอแจ้งให้ท่านทราบว่า ข้อมูลส่วนบุคคลของท่านจะถูกนำมาใช้เพื่อวัตถุประสงค์ในการให้บริการ ติดต่อกลับ และปรับปรุงประสบการณ์การใช้งานของท่าน ข้อมูลส่วนบุคคลของท่านจะไม่ถูกเปิดเผยแก่บุคคลภายนอกโดยไม่ได้รับความยินยอมจากท่าน
- **สำหรับผู้สมัครงาน:** ข้อมูลส่วนบุคคลของท่าน เช่น ประวัติการศึกษา ประวัติการทำงาน และข้อมูลการติดต่อ จะถูกใช้เพื่อพิจารณาคุณสมบัติในการรับเข้าทำงานเท่านั้น
- **สำหรับพนักงานภายในองค์กร:** องค์กรจะเก็บรวบรวมข้อมูลของท่านเพื่อการบริหารงานบุคคล เช่น การจ่ายค่าจ้าง การประเมินผลงาน และการดูแลสวัสดิการต่าง ๆ โดยไม่ใช้ข้อมูลส่วนบุคคลในทางอื่น

**3. กระบวนการจัดทำประกาศที่เหมาะสมกับกลุ่มเป้าหมาย**

ตัวอย่างรายงานการประชุมคณะทำงานคุ้มครองข้อมูลส่วนบุคคล:

- **วันที่:** [ระบุวันที่]
- **วาระ:** การปรับปรุงถ้อยคำในประกาศให้เหมาะสมกับกลุ่มเป้าหมาย
- **สรุปการดำเนินการ:**
  - แต่งตั้งคณะอนุกรรมการย่อยพิจารณาภาษา
  - ดำเนินการเปรียบเทียบถ้อยคำตามเกณฑ์ภาษาระดับทั่วไป
  - ให้เจ้าหน้าที่ฝ่ายบุคคล ฝ่ายลูกค้าสัมพันธ์ และฝ่ายสื่อสารองค์กร ร่วมตรวจสอบข้อความ
  - นำร่างไปทดสอบกับกลุ่มเป้าหมาย (ตัวอย่าง 10 คนต่อกลุ่ม) แล้วปรับปรุงถ้อยคำตามผลตอบรับ

**4. หลักฐานสนับสนุนเพิ่มเติม (แนบได้ตามต้องการ)**

- สำเนาประกาศในแต่ละเวอร์ชันรูปแบบ
- รายงานการประชุมคณะทำงาน
- สคริปต์หรือคู่มือสำหรับเจ้าหน้าที่ที่ต้องแจ้งด้วยวาจา
- แบบฟอร์มประเมินความเข้าใจหรือข้อเสนอแนะจากผู้ใช้งาน

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/6-3-3.md

============================================================
โนด: แนวปฏิบัติ 6.3.4
ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/6-3-4.md

# 6.3.4 ในกรณีที่เจ้าของข้อมูลส่วนบุคคลเป็นผู้เยาว์ ภาษาที่ใช้ในการสื่อสารต้องเหมาะสมกับช่วงวัยของผู้เยาว์ และต้องอธิบายถึงความเสี่ยงและมาตรการปกป้องที่เหมาะสม

## สิ่งที่ต้องทำ

ในกรณีที่เจ้าของข้อมูลส่วนบุคคลเป็นผู้เยาว์ ภาษาที่ใช้ในการสื่อสารต้องเหมาะสมกับช่วงวัยของผู้เยาว์ในกลุ่มดังกล่าว และต้องอธิบายถึงความเสี่ยงที่เกี่ยวข้องจากการเก็บรวบรวมข้อมูลส่วนบุคคลและมาตรการปกป้องที่เหมาะสม เพื่อคุ้มครองสิทธิและเสรีภาพของเจ้าของข้อมูลส่วนบุคคล โดยมีองค์ประกอบสำคัญ ได้แก่

1. ใช้ภาษาที่เหมาะสมกับกลุ่มผู้เยาว์
2. มีการอธิบายความเสี่ยง
3. มีมาตรการปกป้องที่เหมาะสม

## หลักฐาน

1. ประกาศการคุ้มครองข้อมูลส่วนบุคคลที่ใช้ภาษาเหมาะสมกับผู้เยาว์ พร้อมการอธิบายความเสี่ยงและมาตรการปกป้อง

## สภาพบังคับ

ไม่มีกฎหมายบังคับ

## ตัวอย่างเอกสาร

### การแจ้งข้อมูลส่วนบุคคลสำหรับผู้เยาว์

- **หน่วยงาน:** [ชื่อหน่วยงาน/องค์กร]
- **กลุ่มเป้าหมาย:** เยาวชนอายุไม่เกิน 20 ปี (ตามประมวลกฎหมายแพ่งและพาณิชย์)

**1. ประกาศคุ้มครองข้อมูลส่วนบุคคล (สำหรับผู้เยาว์)**

> เราจะดูแลข้อมูลของหนูเป็นอย่างดี
>
> เมื่อหนูเข้าร่วมกิจกรรมกับเรา เช่น กรอกแบบฟอร์ม หรือสมัครใช้งานเว็บไซต์ ข้อมูลอย่างชื่อ-นามสกุล วันเกิด และเบอร์ติดต่อของผู้ปกครอง จะถูกเก็บไว้เพื่อให้พี่ ๆ ติดต่อกลับได้ พี่ ๆ จะเก็บข้อมูลของหนูไว้แค่เฉพาะที่จำเป็น และจะไม่นำไปให้ใครอื่นดูหรือใช้โดยไม่ได้รับอนุญาต ถ้าหนูอยากให้ลบข้อมูล หรือไม่อยากให้ใช้ข้อมูลต่อ หนูหรือคุณพ่อคุณแม่สามารถบอกพี่ ๆ ได้ทุกเมื่อเลยนะ

**2. อธิบายความเสี่ยง (ในรูปแบบที่เหมาะสม)**

> ข้อมูลที่หนูให้กับพี่ ๆ อาจเสี่ยงต่อการหลุดไปยังบุคคลอื่นที่ไม่เกี่ยวข้อง ถ้าไม่มีการปกป้องอย่างดี เช่น ถ้าใครแอบดูข้อมูลของหนูแล้วนำไปใช้ในทางที่ไม่เหมาะสม เช่น การหลอกลวง การส่งข้อความไม่พึงประสงค์ หรือการใช้ข้อมูลไปสมัครบริการโดยไม่ได้รับอนุญาต

**3. มาตรการปกป้อง**

> พี่ ๆ มีวิธีป้องกันข้อมูลของหนู ดังนี้:
>
> - เก็บข้อมูลไว้ในระบบที่มีรหัสผ่าน และจำกัดเฉพาะพนักงานที่ได้รับอนุญาต
> - เข้ารหัสข้อมูลของหนูในระบบคอมพิวเตอร์
> - มีการอบรมพนักงานทุกคนเรื่องการคุ้มครองข้อมูลของเด็ก
> - ถ้าต้องเปิดเผยข้อมูล จะทำเฉพาะในกรณีที่กฎหมายกำหนด และจะขอความยินยอมจากคุณพ่อคุณแม่ก่อนทุกครั้ง

**4. กระบวนการและหลักฐานเพิ่มเติม**

แนบหลักฐานประกอบ:

- แบบร่างประกาศคุ้มครองข้อมูลสำหรับผู้เยาว์ในรูปแบบไฟล์เอกสาร
- เอกสารการประชุมคณะทำงานด้านการสื่อสารข้อมูลสำหรับกลุ่มเป้าหมายพิเศษ
- ตัวอย่างแบบฟอร์มคำยินยอมจากผู้ปกครอง
- หลักฐานการทดสอบถ้อยคำกับกลุ่มเด็ก 7-12 ปี และ 13-17 ปี
- แบบบันทึกความยินยอมในรูปแบบสองชั้น: เด็ก + ผู้ปกครอง

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/6-3-4.md

============================================================
โนด: แนวปฏิบัติ 6.4.1
ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/6-4-1.md

# 6.4.1 องค์กรมีขั้นตอนหรือแนวปฏิบัติสำหรับเจ้าของข้อมูลส่วนบุคคลในการเข้าถึงข้อมูลส่วนบุคคลที่องค์กรใช้ในการสร้างโปรไฟล์ การตัดสินใจโดยระบบอัตโนมัติ เพื่อให้สามารถตรวจสอบความถูกต้องและแก้ไขได้หากจำเป็น

## สิ่งที่ต้องทำ

มีขั้นตอนและแนวปฏิบัติให้เจ้าของข้อมูลส่วนบุคคลเข้าถึงข้อมูลของตนได้โดยง่าย

## หลักฐาน

1. ขั้นตอนและแนวปฏิบัติสำหรับเจ้าของข้อมูลส่วนบุคคลในการเข้าถึงข้อมูลส่วนบุคคลที่องค์กรใช้ในการสร้างโปรไฟล์

## สภาพบังคับ

ไม่มีกฎหมายบังคับ

## ตัวอย่างเอกสาร

### ขั้นตอนและแนวปฏิบัติในการเข้าถึงและแก้ไขข้อมูลโปรไฟล์ส่วนบุคคล

- **หน่วยงาน:** [ชื่อองค์กร]
- **วัตถุประสงค์:** เพื่อให้เจ้าของข้อมูลส่วนบุคคลสามารถเข้าถึงข้อมูลส่วนบุคคลที่องค์กรใช้ในการสร้างโปรไฟล์ และตรวจสอบความถูกต้อง พร้อมแก้ไขข้อมูลได้หากจำเป็น

**1. แนวปฏิบัติสำหรับเจ้าของข้อมูลในการเข้าถึงข้อมูลโปรไฟล์ส่วนบุคคล**

เจ้าของข้อมูลสามารถยื่นคำร้องขอเข้าถึงข้อมูลส่วนบุคคลที่ใช้ในการสร้างโปรไฟล์ได้ผ่านช่องทางดังนี้

- เว็บไซต์องค์กร (แบบฟอร์มคำขอออนไลน์)
- อีเมลฝ่ายคุ้มครองข้อมูลส่วนบุคคล [email@example.com]
- ศูนย์บริการลูกค้า โทร. [หมายเลขโทรศัพท์]
- ติดต่อด้วยตนเองที่สำนักงาน
- เจ้าของข้อมูลต้องกรอกข้อมูลประจำตัวและรายละเอียดที่จำเป็นในแบบฟอร์มคำขอ เพื่อยืนยันตัวตนอย่างถูกต้อง
- ภายใน 15 วันทำการ หลังจากได้รับคำขอ องค์กรจะดำเนินการตรวจสอบและจัดส่งข้อมูลโปรไฟล์ให้เจ้าของข้อมูลผ่านช่องทางที่เลือก (อีเมล ไปรษณีย์ หรือรับด้วยตนเอง)
- เจ้าของข้อมูลสามารถแจ้งความไม่ถูกต้องหรือขอแก้ไขข้อมูลในโปรไฟล์ได้ โดยระบุข้อมูลที่ต้องการแก้ไขพร้อมแนบหลักฐานประกอบ (ถ้ามี)
- องค์กรจะดำเนินการแก้ไขข้อมูลตามคำร้อง และแจ้งผลการดำเนินการให้เจ้าของข้อมูลทราบภายใน 30 วันทำการ
- กรณีที่คำขอเข้าถึงหรือแก้ไขข้อมูลไม่สามารถดำเนินการได้ องค์กรจะแจ้งเหตุผลและวิธีการร้องเรียนแก่เจ้าของข้อมูล

**2. ตัวอย่างแบบฟอร์มคำขอเข้าถึงข้อมูลโปรไฟล์ส่วนบุคคล** (สำหรับใช้บนเว็บไซต์หรือเอกสาร)

- ชื่อ-นามสกุล: ___________________________
- หมายเลขบัตรประชาชน/หนังสือเดินทาง: _______________
- ช่องทางติดต่อ (โทรศัพท์/อีเมล): ______________________
- ข้อมูลที่ต้องการเข้าถึง: ☐ ข้อมูลโปรไฟล์ส่วนบุคคล ☐ ข้อมูลอื่น ๆ __________________
- คำชี้แจงเพิ่มเติม: _____________________________________
- ลงชื่อ: _______________
- วันที่: _______________

**3. แนวทางการดูแลรักษาข้อมูลและความปลอดภัย**

- ข้อมูลของเจ้าของข้อมูลจะถูกเก็บรักษาอย่างปลอดภัยตามมาตรฐานความปลอดภัยขององค์กร
- เจ้าหน้าที่รับผิดชอบจะต้องผ่านการอบรมเรื่องการคุ้มครองข้อมูลส่วนบุคคลและการรักษาความลับ

**4. ช่องทางการติดต่อฝ่ายคุ้มครองข้อมูลส่วนบุคคล**

- อีเมล: privacy@[ชื่อองค์กร].com
- โทรศัพท์: [หมายเลขโทรศัพท์]
- ที่อยู่: [ที่อยู่สำนักงาน]

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/6-4-1.md

============================================================
โนด: แนวปฏิบัติ 6.4.2
ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/6-4-2.md

# 6.4.2 หากในกิจกรรมการประมวลผลนั้นมีการตัดสินใจโดยระบบอัตโนมัติเพียงอย่างเดียวและมีผลกระทบต่อสิทธิและหน้าที่ตามกฎหมายของบุคคลหรือนัยสำคัญในทำนองเดียวกัน องค์กรได้แจ้งให้เจ้าของข้อมูลส่วนบุคคลทราบเกี่ยวกับการเก็บรวบรวม ใช้ และเปิดเผยข้อมูลส่วนบุคคลในลักษณะดังกล่าว รวมถึงข้อมูลที่องค์กรใช้ วัตถุประสงค์ และผลกระทบที่อาจจะมี

## สิ่งที่ต้องทำ

1. มีการแจ้งในประกาศการคุ้มครองข้อมูลส่วนบุคคลเรื่องการประมวลผลข้อมูลโดยใช้ระบบอัตโนมัติตัดสินใจเพียงอย่างเดียว และ
2. มีการแจ้งข้อมูลที่องค์กรใช้ วัตถุประสงค์ และผลกระทบที่อาจจะมี

## หลักฐาน

1. ประกาศการคุ้มครองข้อมูลส่วนบุคคล

## สภาพบังคับ

ไม่มีกฎหมายบังคับ

## ตัวอย่างเอกสาร

### ประกาศการคุ้มครองข้อมูลส่วนบุคคล

(ส่วนที่เกี่ยวข้องกับการประมวลผลโดยระบบอัตโนมัติที่มีผลกระทบ)

ในกรณีที่องค์กรมีการใช้ระบบประมวลผลข้อมูลส่วนบุคคลด้วยเทคโนโลยีระบบอัตโนมัติ โดยไม่มีการแทรกแซงจากบุคคล เพื่อดำเนินการตัดสินใจที่มีผลกระทบต่อสิทธิและหน้าที่ตามกฎหมาย หรือผลกระทบที่มีความสำคัญในลักษณะทำนองเดียวกัน องค์กรมีความมุ่งมั่นที่จะเปิดเผยข้อมูลดังต่อไปนี้ให้เจ้าของข้อมูลได้รับทราบอย่างครบถ้วนและชัดเจน

**1. ข้อมูลที่ใช้ในการประมวลผล**

องค์กรจะเก็บรวบรวมและใช้ข้อมูลส่วนบุคคลประเภทต่าง ๆ ที่เกี่ยวข้องกับการตัดสินใจโดยระบบอัตโนมัติ เช่น ข้อมูลส่วนบุคคลพื้นฐาน ข้อมูลพฤติกรรม ข้อมูลทางเทคนิค หรือข้อมูลอื่น ๆ ที่จำเป็นสำหรับการดำเนินการประมวลผล

**2. วัตถุประสงค์ของการประมวลผล**

วัตถุประสงค์ของการใช้ระบบอัตโนมัติในการประมวลผลข้อมูลส่วนบุคคล ได้แก่

- การประเมินคุณสมบัติและความเหมาะสมในการให้บริการ
- การวิเคราะห์พฤติกรรมหรือแนวโน้มเพื่อปรับปรุงบริการ
- การตัดสินใจในการอนุมัติหรือปฏิเสธคำขอบริการ
- การบริหารความเสี่ยงและป้องกันการทุจริต

**3. ผลกระทบที่อาจเกิดขึ้นจากการตัดสินใจโดยระบบอัตโนมัติ**

การตัดสินใจโดยระบบอัตโนมัติอาจมีผลกระทบต่อสิทธิและหน้าที่ของเจ้าของข้อมูล เช่น การจำกัดสิทธิ์ในการเข้าถึงบริการ การเปลี่ยนแปลงเงื่อนไข หรือผลกระทบในทางการเงินและสัญญาต่าง ๆ ซึ่งองค์กรจะดำเนินการอย่างรอบคอบเพื่อให้เกิดความเป็นธรรมและสามารถทบทวนหรืออุทธรณ์ผลการตัดสินใจได้

**4. สิทธิของเจ้าของข้อมูลส่วนบุคคล**

เจ้าของข้อมูลมีสิทธิ์ในการ

- ขอรับข้อมูลเกี่ยวกับกระบวนการตัดสินใจโดยระบบอัตโนมัติ
- ขอให้ทบทวนหรือระงับการตัดสินใจที่เป็นผลกระทบ
- ขอให้แก้ไขหรือชี้แจงข้อมูลที่เกี่ยวข้องกับการตัดสินใจ

**ติดต่อสอบถามหรือขอข้อมูลเพิ่มเติม**

- ฝ่ายคุ้มครองข้อมูลส่วนบุคคล
- อีเมล: privacy@[ชื่อองค์กร].com
- โทรศัพท์: [หมายเลขโทรศัพท์]

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/6-4-2.md

============================================================
โนด: แนวปฏิบัติ 6.4.3
ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/6-4-3.md

# 6.4.3 หากวัตถุประสงค์ไม่ชัดเจนในตอนแรก องค์กรจะแจ้งให้เจ้าของข้อมูลส่วนบุคคลทราบว่าองค์กรจะใช้หรือเปิดเผยข้อมูลส่วนบุคคลของพวกเขาอย่างไร และองค์กรจะปรับปรุงข้อมูลต่าง ๆ ที่แจ้งและประกาศการคุ้มครองข้อมูลส่วนบุคคลในเชิงรุกเมื่อมีความชัดเจนมากขึ้นเกี่ยวกับวัตถุประสงค์ในการใช้หรือเปิดเผยข้อมูลส่วนบุคคล

## สิ่งที่ต้องทำ

ใช้กระบวนการเชิงรุกในการแจ้งวัตถุประสงค์ในการใช้หรือเปิดเผยข้อมูลส่วนบุคคลเมื่อมีความชัดเจนขึ้น

## หลักฐาน

1. ประกาศการคุ้มครองข้อมูลส่วนบุคคล หลักฐานแสดงการแจ้งให้เจ้าของข้อมูลส่วนบุคคลทราบ
2. ประกาศการคุ้มครองข้อมูลส่วนบุคคล

## สภาพบังคับ

ไม่มีกฎหมายบังคับ

## ตัวอย่างเอกสาร

### ประกาศการคุ้มครองข้อมูลส่วนบุคคล

(ส่วนที่เกี่ยวข้องกับการแจ้งวัตถุประสงค์ที่ยังไม่ชัดเจนในตอนแรก)

**การแจ้งวัตถุประสงค์ในการใช้หรือเปิดเผยข้อมูลส่วนบุคคล**

เนื่องจากบางกรณีวัตถุประสงค์ในการเก็บรวบรวมและใช้ข้อมูลส่วนบุคคลของท่านอาจยังไม่ชัดเจนในช่วงแรก องค์กรขอแจ้งให้ท่านทราบว่า

- ขณะนี้องค์กรใช้ข้อมูลส่วนบุคคลของท่านเพื่อวัตถุประสงค์เบื้องต้น ดังที่ได้แจ้งในประกาศการคุ้มครองข้อมูลส่วนบุคคลฉบับนี้
- หากองค์กรมีความชัดเจนเกี่ยวกับวัตถุประสงค์เพิ่มเติมในการใช้หรือเปิดเผยข้อมูลส่วนบุคคลของท่านในภายหลัง องค์กรจะดำเนินการแจ้งให้ท่านทราบโดยเร็วและเชิงรุก ผ่านช่องทางต่าง ๆ เช่น อีเมล ข้อความ หรือประกาศบนเว็บไซต์องค์กร
- องค์กรมีหน้าที่และความมุ่งมั่นในการปรับปรุงประกาศการคุ้มครองข้อมูลส่วนบุคคลให้ทันสมัยและสอดคล้องกับการใช้งานข้อมูลส่วนบุคคลจริงในทุกช่วงเวลา
- ท่านสามารถติดต่อสอบถามหรือขอข้อมูลเพิ่มเติมเกี่ยวกับวัตถุประสงค์การใช้ข้อมูลส่วนบุคคลได้ทุกเมื่อ

### หลักฐานแสดงการแจ้งให้เจ้าของข้อมูลทราบเชิงรุก

- รายการบันทึกการส่งอีเมลแจ้งข่าวสารและอัปเดตเกี่ยวกับวัตถุประสงค์การใช้ข้อมูลส่วนบุคคล
- สำเนาข้อความแจ้งเตือนผ่าน SMS หรือระบบแจ้งเตือนอื่น ๆ
- การประกาศหรืออัปเดตประกาศการคุ้มครองข้อมูลส่วนบุคคลบนเว็บไซต์องค์กร พร้อมระบุวันที่ปรับปรุง
- รายงานการประชุมหรือบันทึกภายในที่แสดงขั้นตอนและนโยบายการแจ้งข้อมูลเชิงรุก

**ติดต่อฝ่ายคุ้มครองข้อมูลส่วนบุคคล**

- อีเมล: privacy@[ชื่อองค์กร].com
- โทรศัพท์: [หมายเลขโทรศัพท์]

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/6-4-3.md

============================================================
โนด: แนวปฏิบัติ 6.4.4
ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/6-4-4.md

# 6.4.4 หากในกิจกรรมการประมวลผลนั้นมีการตัดสินใจโดยระบบอัตโนมัติเพียงอย่างเดียวและมีผลกระทบต่อสิทธิและหน้าที่ตามกฎหมายของบุคคลหรือนัยสำคัญในทำนองเดียวกัน องค์กรได้อธิบายการประมวลผลนั้นอย่างชัดเจน ซึ่งช่วยให้เจ้าของข้อมูลส่วนบุคคลสามารถใช้สิทธิของตนได้ รวมถึงการคัดค้านการประมวลผลโดยระบบอัตโนมัติดังกล่าว หรือการขอให้ได้รับการแทรกแซงจากมนุษย์ (ดำเนินการตัดสินใจโดยบุคคล)

## สิ่งที่ต้องทำ

มีกลไกและมีการอธิบายอย่างชัดเจนให้เจ้าของข้อมูลส่วนบุคคลสามารถใช้สิทธิของตนได้

## หลักฐาน

1. กระบวนการหรือกลไกที่ทำให้เจ้าของข้อมูลส่วนบุคคลส่งคำขอให้ได้รับการแทรกแซงจากมนุษย์ในการประมวลผลข้อมูลส่วนบุคคล

## สภาพบังคับ

ไม่มีกฎหมายบังคับ

## ตัวอย่างเอกสาร

### กระบวนการและกลไกการจัดการสิทธิของเจ้าของข้อมูลส่วนบุคคลในการประมวลผลโดยระบบอัตโนมัติ

**1. นโยบายการประมวลผลข้อมูลโดยระบบอัตโนมัติและสิทธิของเจ้าของข้อมูลส่วนบุคคล**

องค์กรได้จัดให้มีการประมวลผลข้อมูลส่วนบุคคลโดยระบบอัตโนมัติในบางกรณี ซึ่งอาจมีผลกระทบต่อสิทธิและหน้าที่ตามกฎหมายของเจ้าของข้อมูลส่วนบุคคล องค์กรมีความมุ่งมั่นที่จะอธิบายการประมวลผลดังกล่าวอย่างชัดเจนเพื่อให้เจ้าของข้อมูลได้รับทราบและสามารถใช้สิทธิต่าง ๆ ได้อย่างเต็มที่

**2. สิทธิของเจ้าของข้อมูลส่วนบุคคล**

เจ้าของข้อมูลส่วนบุคคลมีสิทธิในการ

- คัดค้านการประมวลผลข้อมูลส่วนบุคคลที่ทำโดยระบบอัตโนมัติเพียงอย่างเดียว หากส่งผลกระทบต่อสิทธิและเสรีภาพของตน
- ขอให้มีการแทรกแซงจากมนุษย์ (การทบทวนโดยบุคคลจริง) ในการตัดสินใจที่เกิดขึ้นจากระบบอัตโนมัติ
- ขอชี้แจงหรือขอข้อมูลเพิ่มเติมเกี่ยวกับกระบวนการประมวลผลข้อมูล

**3. กลไกการใช้สิทธิ**

องค์กรได้จัดให้มีช่องทางและกระบวนการดังนี้ เพื่อให้เจ้าของข้อมูลสามารถใช้สิทธิได้อย่างง่ายดายและมีประสิทธิภาพ

ช่องทางการส่งคำขอ

- อีเมล: privacy@[ชื่อองค์กร].com
- แบบฟอร์มออนไลน์บนเว็บไซต์องค์กร: [URL แบบฟอร์มขอทบทวนการตัดสินใจโดยระบบอัตโนมัติ]
- ติดต่อโดยตรงที่ฝ่ายคุ้มครองข้อมูลส่วนบุคคล (DPO)

ขั้นตอนการดำเนินการ

1. เจ้าของข้อมูลส่งคำขอคัดค้านหรือขอให้มีการแทรกแซงจากมนุษย์
2. ฝ่ายคุ้มครองข้อมูลส่วนบุคคลรับเรื่องและแจ้งยืนยันการรับคำขอแก่เจ้าของข้อมูล
3. ดำเนินการทบทวนข้อมูลและการตัดสินใจโดยเจ้าหน้าที่ที่เกี่ยวข้อง
4. แจ้งผลการพิจารณาและดำเนินการแก้ไขหรือปรับปรุงตามคำขอแก่เจ้าของข้อมูลภายในระยะเวลาที่เหมาะสม

**4. ตัวอย่างข้อความแจ้งสิทธิในประกาศการคุ้มครองข้อมูลส่วนบุคคล**

> "ในกรณีที่องค์กรใช้ระบบอัตโนมัติในการตัดสินใจซึ่งอาจมีผลกระทบต่อตน ท่านมีสิทธิขอให้บุคคลเข้ามาทบทวนการตัดสินใจดังกล่าว และสามารถคัดค้านการประมวลผลข้อมูลโดยระบบอัตโนมัติได้ โดยสามารถติดต่อเราได้ที่ privacy@[ชื่อองค์กร].com หรือผ่านแบบฟอร์มในเว็บไซต์ของเรา"

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/6-4-4.md

============================================================
โนด: แนวปฏิบัติ 6.5.1
ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/6-5-1.md

# 6.5.1 มีการสื่อสารและสร้างความตระหนักรู้แก่พนักงาน/เจ้าหน้าที่ของทั้งองค์กรเกี่ยวกับประกาศการคุ้มครองข้อมูลส่วนบุคคลขององค์กร ข้อมูลเกี่ยวกับวัตถุประสงค์ และรายละเอียดในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล

## สิ่งที่ต้องทำ

มีการสื่อสารหรือสร้างความตระหนักรู้ให้กับพนักงาน

## หลักฐาน

1. เอกสารหลักฐานการสื่อสารหรือแจ้งพนักงานทราบเกี่ยวกับประกาศการคุ้มครองข้อมูลส่วนบุคคลขององค์กร เช่น อีเมล ประกาศแจ้งพนักงาน การจัดประชุม

## สภาพบังคับ

พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 [มาตรา 37](https://link.pdpalawbase.com/section/37.md) (1)

ประกอบกับประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง มาตรการรักษาความมั่นคงปลอดภัยของผู้ควบคุมข้อมูลส่วนบุคคล พ.ศ. 2565 ข้อ 4 (7)

โทษทางปกครอง: ในกรณีที่ไม่ปฏิบัติตาม [มาตรา 37](https://link.pdpalawbase.com/section/37.md) กำหนดโทษปรับทางปกครองไม่เกิน 3 ล้านบาท

## ตัวอย่างเอกสาร

### การสื่อสารและสร้างความตระหนักรู้เกี่ยวกับประกาศการคุ้มครองข้อมูลส่วนบุคคลแก่พนักงาน

**วัตถุประสงค์**

เพื่อให้พนักงานและเจ้าหน้าที่ทุกระดับในองค์กรมีความเข้าใจและตระหนักรู้เกี่ยวกับประกาศการคุ้มครองข้อมูลส่วนบุคคลขององค์กร ข้อมูลวัตถุประสงค์ในการเก็บรวบรวม ใช้ และเปิดเผยข้อมูลส่วนบุคคล รวมถึงบทบาทหน้าที่และความรับผิดชอบของพนักงานในการปฏิบัติตามกฎหมาย PDPA และนโยบายองค์กร

**วิธีการสื่อสาร**

- การส่งอีเมลแจ้งพนักงานทุกคน
- การประชุมชี้แจงผ่านออนไลน์หรือพบปะกลุ่ม
- การฝึกอบรมหรือสัมมนาเกี่ยวกับ PDPA
- การจัดทำเอกสารแจกจ่าย (ประกาศ/คู่มือ)

### ตัวอย่างอีเมลแจ้งพนักงาน

> **เรื่อง:** แจ้งประกาศการคุ้มครองข้อมูลส่วนบุคคลขององค์กรและการสร้างความตระหนักรู้
>
> เรียน พนักงานทุกท่าน
>
> ตามที่องค์กรของเราได้จัดทำประกาศการคุ้มครองข้อมูลส่วนบุคคล เพื่อให้สอดคล้องกับพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 (PDPA) และข้อกำหนดด้านความปลอดภัยของข้อมูล
>
> องค์กรจึงขอแจ้งให้ท่านทราบเกี่ยวกับวัตถุประสงค์และรายละเอียดในการเก็บรวบรวม ใช้ และเปิดเผยข้อมูลส่วนบุคคล รวมถึงบทบาทหน้าที่ของพนักงานในการรักษาความลับและความปลอดภัยของข้อมูลส่วนบุคคลดังกล่าว กรุณาศึกษาและปฏิบัติตามนโยบายอย่างเคร่งครัด เพื่อปกป้องสิทธิของเจ้าของข้อมูลส่วนบุคคล และป้องกันความเสี่ยงทางกฎหมายที่อาจเกิดขึ้น
>
> หากมีข้อสงสัยหรือต้องการข้อมูลเพิ่มเติม กรุณาติดต่อฝ่ายคุ้มครองข้อมูลส่วนบุคคล (DPO) ที่อีเมล privacy@[ชื่อองค์กร].com
>
> ขอขอบคุณทุกท่านที่ให้ความร่วมมือ
>
> ฝ่ายบริหารองค์กร
> [ชื่อองค์กร]

### ตัวอย่างบันทึกการประชุมชี้แจง PDPA

- **วันที่:** 10 มิถุนายน 2568
- **เวลา:** 14.00 - 15.30 น.
- **สถานที่:** ห้องประชุมใหญ่ อาคารสำนักงานใหญ่
- **หัวข้อ:** การสร้างความตระหนักรู้เกี่ยวกับประกาศการคุ้มครองข้อมูลส่วนบุคคลขององค์กร
- **ผู้เข้าร่วม:** พนักงานทุกแผนก รวม 50 คน

เนื้อหา

- แนะนำพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562
- วัตถุประสงค์ในการเก็บรวบรวม ใช้ และเปิดเผยข้อมูลส่วนบุคคล
- บทบาทและหน้าที่ของพนักงานในการปฏิบัติตาม PDPA
- แนวทางปฏิบัติที่ต้องปฏิบัติ เช่น การรักษาความลับของข้อมูล การจัดเก็บและทำลายข้อมูลอย่างปลอดภัย
- ช่องทางติดต่อฝ่ายคุ้มครองข้อมูลส่วนบุคคล (DPO)

**ผลการประชุม:** พนักงานทุกคนรับทราบและเข้าใจในนโยบายคุ้มครองข้อมูลส่วนบุคคลขององค์กร พร้อมปฏิบัติตามอย่างเคร่งครัด

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/6-5-1.md

============================================================
โนด: แนวปฏิบัติ 6.5.2
ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/6-5-2.md

# 6.5.2 พนักงาน/เจ้าหน้าที่ที่อยู่หน้างาน (Frontline staff) ได้รับการอบรมเป็นพิเศษเกี่ยวกับข้อมูลต่าง ๆ ตามประกาศการคุ้มครองข้อมูลส่วนบุคคล (เนื่องจากติดต่อสื่อสารกับเจ้าของข้อมูลส่วนบุคคลโดยตรง)

## สิ่งที่ต้องทำ

มีการอบรมพิเศษให้กับพนักงานที่อยู่หน้างาน

## หลักฐาน

1. เอกสารหลักฐานการฝึกอบรมให้กับพนักงาน/เจ้าหน้าที่ที่อยู่หน้างาน
2. เอกสารหลักฐานการทดสอบพนักงาน
3. บันทึกข้อมูลผู้ที่ผ่านการทดสอบและไม่ผ่านการทดสอบ

## สภาพบังคับ

พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 [มาตรา 37](https://link.pdpalawbase.com/section/37.md) (1)

ประกอบกับประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง มาตรการรักษาความมั่นคงปลอดภัยของผู้ควบคุมข้อมูลส่วนบุคคล พ.ศ. 2565 ข้อ 4 (7)

โทษทางปกครอง: ในกรณีที่ไม่ปฏิบัติตาม [มาตรา 37](https://link.pdpalawbase.com/section/37.md) กำหนดโทษปรับทางปกครองไม่เกิน 3 ล้านบาท

## ตัวอย่างเอกสาร

### การอบรมพิเศษพนักงาน/เจ้าหน้าที่ที่หน้างาน เรื่องประกาศการคุ้มครองข้อมูลส่วนบุคคล

**วัตถุประสงค์**

เพื่อให้พนักงานที่อยู่หน้างานซึ่งติดต่อสื่อสารกับเจ้าของข้อมูลส่วนบุคคลโดยตรง มีความรู้และความเข้าใจอย่างชัดเจนเกี่ยวกับประกาศการคุ้มครองข้อมูลส่วนบุคคลขององค์กร รวมถึงบทบาทหน้าที่ในการรักษาความลับและการปฏิบัติตามกฎหมาย PDPA อย่างถูกต้อง

**รายละเอียดการอบรม**

เนื้อหาอบรม

- ความรู้เบื้องต้นเกี่ยวกับ PDPA
- ประกาศการคุ้มครองข้อมูลส่วนบุคคลขององค์กร
- ข้อมูลส่วนบุคคลที่หน้างานต้องรับผิดชอบ
- วิธีปฏิบัติและข้อควรระวังในการติดต่อกับเจ้าของข้อมูล
- สิทธิของเจ้าของข้อมูลและการตอบสนองต่อคำร้อง
- กรณีศึกษาที่เกี่ยวข้อง

ข้อมูลการจัดอบรม

- ระยะเวลาอบรม: 3 ชั่วโมง
- วันที่จัดอบรม: 15 มิถุนายน 2568
- สถานที่: ห้องอบรม ชั้น 2 อาคารสำนักงานใหญ่
- ผู้เข้าอบรม: พนักงานบริการลูกค้า เจ้าหน้าที่ฝ่ายรับเรื่องร้องเรียน รวม 20 คน

### ตัวอย่างใบลงทะเบียนเข้าร่วมอบรม

| ลำดับ | ชื่อ-นามสกุล | ตำแหน่ง | ลงชื่อ | วันที่ |
|------|--------------|---------|--------|--------|
| 1 | นายสมชาย ใจดี | เจ้าหน้าที่บริการลูกค้า | (ลายเซ็น) | 15/06/2568 |
| 2 | นางสาวสุมิตรา กล้าหาญ | เจ้าหน้าที่รับเรื่องร้องเรียน | (ลายเซ็น) | 15/06/2568 |

### แบบทดสอบหลังการอบรม (ตัวอย่างคำถาม)

1. ข้อใดคือข้อมูลส่วนบุคคลที่ต้องได้รับการปกป้องอย่างเคร่งครัด?
   - ก. ชื่อและนามสกุล
   - ข. เบอร์โทรศัพท์
   - ค. รายละเอียดสุขภาพ
   - ง. ถูกทุกข้อ
2. หากเจ้าของข้อมูลขอเข้าถึงข้อมูลส่วนบุคคล ต้องดำเนินการอย่างไร?
   - ก. ปฏิเสธ
   - ข. แจ้งฝ่ายคุ้มครองข้อมูลส่วนบุคคล (DPO)
   - ค. ให้ข้อมูลทันที
   - ง. ไม่ตอบสนอง
3. พนักงานหน้างานควรปฏิบัติอย่างไรเมื่อได้รับข้อมูลส่วนบุคคลจากลูกค้า?
   - ก. เก็บรักษาอย่างปลอดภัย
   - ข. ห้ามเปิดเผยข้อมูลแก่บุคคลอื่นโดยไม่ได้รับอนุญาต
   - ค. แจ้งเจ้าของข้อมูลเกี่ยวกับวัตถุประสงค์การใช้ข้อมูล
   - ง. ถูกทุกข้อ

### รายงานผลการทดสอบพนักงานหลังอบรม

| ชื่อ-นามสกุล | ตำแหน่ง | คะแนน | ผ่าน/ไม่ผ่าน | หมายเหตุ |
|--------------|---------|-------|--------------|----------|
| นายสมชาย ใจดี | เจ้าหน้าที่บริการลูกค้า | 90/100 | ผ่าน | |
| นางสาวสุมิตรา กล้าหาญ | เจ้าหน้าที่รับเรื่องร้องเรียน | 75/100 | ผ่าน | |
| นายวิทยา สุขใจ | เจ้าหน้าที่บริการลูกค้า | 50/100 | ไม่ผ่าน | ต้องอบรมซ้ำ |

**สรุป**

องค์กรได้จัดอบรมพิเศษให้กับพนักงานหน้างานแล้ว พร้อมดำเนินการทดสอบเพื่อประเมินความเข้าใจและบันทึกผลการทดสอบตามมาตรฐานกฎหมาย PDPA และแนวทางประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/6-5-2.md

============================================================
โนด: แนวปฏิบัติ 6.5.3
ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/6-5-3.md

# 6.5.3 พนักงาน/เจ้าหน้าที่ตระหนักและรับทราบถึงวิธีการต่าง ๆ ที่องค์กรใช้เป็นช่องทางในการแจ้งข้อมูลเกี่ยวกับวัตถุประสงค์และรายละเอียดในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล

## สิ่งที่ต้องทำ

พนักงานทั้งหมดทราบช่องทางในการแจ้งข้อมูล

## หลักฐาน

1. หลักฐานการรับทราบข้อมูลของพนักงาน/เจ้าหน้าที่

## สภาพบังคับ

พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 [มาตรา 37](https://link.pdpalawbase.com/section/37.md) (1)

ประกอบกับประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง มาตรการรักษาความมั่นคงปลอดภัยของผู้ควบคุมข้อมูลส่วนบุคคล พ.ศ. 2565 ข้อ 4 (7)

โทษทางปกครอง: ในกรณีที่ไม่ปฏิบัติตาม [มาตรา 37](https://link.pdpalawbase.com/section/37.md) กำหนดโทษปรับทางปกครองไม่เกิน 3 ล้านบาท

## ตัวอย่างเอกสาร

### การแจ้งข้อมูลเกี่ยวกับวัตถุประสงค์และรายละเอียดในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล

**วัตถุประสงค์**

เพื่อให้พนักงานและเจ้าหน้าที่ทุกคนรับทราบช่องทางและวิธีการที่องค์กรใช้ในการแจ้งข้อมูลเกี่ยวกับวัตถุประสงค์และรายละเอียดของการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลตามข้อกำหนดของ PDPA

**ช่องทางการแจ้งข้อมูลที่องค์กรใช้**

- ประกาศในเว็บไซต์องค์กร (ลิงก์ประกาศนโยบายความเป็นส่วนตัว)
- ระบบอีเมลองค์กร
- ป้ายประกาศที่ติดตั้งในพื้นที่ทำงาน
- การประชุมและอบรมภายในองค์กร
- คู่มือพนักงานและเอกสารประกอบการทำงาน
- ระบบแจ้งเตือนผ่านแอปพลิเคชันภายในองค์กร

### แบบฟอร์มรับทราบข้อมูลของพนักงาน

| ลำดับ | ชื่อ-นามสกุล | ตำแหน่ง | ช่องทางที่รับทราบข้อมูล | ลงชื่อรับทราบ | วันที่ |
|------|--------------|---------|--------------------------|----------------|--------|
| 1 | นายสมชาย ใจดี | เจ้าหน้าที่บริการลูกค้า | อีเมลองค์กร, ประกาศในเว็บไซต์องค์กร | (ลายเซ็น) | 3/6/2568 |
| 2 | นางสาวสุมิตรา กล้าหาญ | เจ้าหน้าที่ฝ่ายทรัพยากรบุคคล | ป้ายประกาศในสำนักงาน, การประชุมภายในองค์กร | (ลายเซ็น) | 3/6/2568 |
| 3 | นายวิทยา สุขใจ | เจ้าหน้าที่ฝ่ายไอที | อีเมลองค์กร, ระบบแจ้งเตือนแอปพลิเคชันภายในองค์กร | (ลายเซ็น) | 3/6/2568 |

**สรุป**

พนักงานและเจ้าหน้าที่ขององค์กรทุกคนได้รับข้อมูลและตระหนักถึงช่องทางต่าง ๆ ที่องค์กรใช้ในการแจ้งข้อมูลเกี่ยวกับวัตถุประสงค์และรายละเอียดในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลอย่างครบถ้วนและถูกต้อง

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/6-5-3.md

============================================================
โนด: แนวปฏิบัติ 6.6.1
ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/6-6-1.md

# 6.6.1 หากองค์กรจะใช้ข้อมูลส่วนบุคคลเพื่อวัตถุประสงค์ใหม่/เปลี่ยนแปลงวัตถุประสงค์ องค์กรมีขั้นตอนในการปรับปรุงประกาศการคุ้มครองข้อมูลส่วนบุคคลและมีการสื่อสารการเปลี่ยนแปลงดังกล่าวไปยังเจ้าของข้อมูลส่วนบุคคลก่อนที่จะเริ่มการใช้ข้อมูลส่วนบุคคลเพื่อวัตถุประสงค์ใหม่ดังกล่าว

## สิ่งที่ต้องทำ

มีขั้นตอนในการปรับปรุงประกาศการคุ้มครองข้อมูลส่วนบุคคลและมีการสื่อสารการเปลี่ยนแปลงไปยังเจ้าของข้อมูลส่วนบุคคลครบถ้วน

## หลักฐาน

1. ขั้นตอนในการปรับปรุงประกาศการคุ้มครองข้อมูลส่วนบุคคลขององค์กร
2. วิธีการที่จะใช้ในการสื่อสารไปยังเจ้าของข้อมูลส่วนบุคคล

## สภาพบังคับ

พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 [มาตรา 21](https://link.pdpalawbase.com/section/21.md) โดยในกรณีที่ไม่ปฏิบัติตาม [มาตรา 21](https://link.pdpalawbase.com/section/21.md) กำหนดโทษปรับทางปกครองไม่เกิน 3 ล้านบาท

## ตัวอย่างเอกสาร

### ขั้นตอนการปรับปรุงประกาศการคุ้มครองข้อมูลส่วนบุคคลและการสื่อสารการเปลี่ยนแปลงวัตถุประสงค์ใหม่

**วัตถุประสงค์:** เพื่อให้การใช้ข้อมูลส่วนบุคคลเพื่อวัตถุประสงค์ใหม่หรือการเปลี่ยนแปลงวัตถุประสงค์มีความชัดเจนและโปร่งใส โดยองค์กรมีขั้นตอนในการปรับปรุงประกาศการคุ้มครองข้อมูลส่วนบุคคลและแจ้งให้เจ้าของข้อมูลส่วนบุคคลทราบก่อนเริ่มใช้ข้อมูลตามวัตถุประสงค์ใหม่

**ขั้นตอนการปรับปรุงประกาศการคุ้มครองข้อมูลส่วนบุคคล**

| ลำดับ | ขั้นตอน | รายละเอียด | ผู้รับผิดชอบ | ระยะเวลา (วัน) |
|------|---------|-----------|-------------|----------------|
| 1 | ตรวจสอบความจำเป็นในการเปลี่ยนแปลงวัตถุประสงค์ | พิจารณาวัตถุประสงค์ใหม่ที่ต้องใช้ข้อมูลส่วนบุคคล | ฝ่ายกฎหมาย/ฝ่ายคุ้มครองข้อมูลส่วนบุคคล | 1 |
| 2 | จัดทำร่างประกาศการคุ้มครองข้อมูลส่วนบุคคลฉบับปรับปรุง | ระบุวัตถุประสงค์ใหม่และรายละเอียดที่เกี่ยวข้อง | ฝ่ายกฎหมาย/ฝ่ายคุ้มครองข้อมูลส่วนบุคคล | 3 |
| 3 | ตรวจสอบและอนุมัติประกาศฉบับปรับปรุง | รับรองความถูกต้องของเนื้อหาและความเหมาะสม | คณะกรรมการคุ้มครองข้อมูลส่วนบุคคล | 2 |
| 4 | จัดเตรียมช่องทางและวิธีการสื่อสารแจ้งเจ้าของข้อมูล | กำหนดช่องทางสื่อสาร เช่น อีเมล เว็บไซต์ หรือจดหมายแจ้ง | ฝ่ายสื่อสารองค์กร/ฝ่ายไอที | 2 |
| 5 | แจ้งเจ้าของข้อมูลส่วนบุคคลก่อนเริ่มใช้ข้อมูลตามวัตถุประสงค์ใหม่ | ส่งข้อความแจ้งเตือน พร้อมลิงก์ประกาศฉบับปรับปรุง | ฝ่ายสื่อสารองค์กร/ฝ่ายบริการลูกค้า | 3 |
| 6 | บันทึกหลักฐานการแจ้งและรับทราบจากเจ้าของข้อมูล | เก็บสำเนาหลักฐานและรายงานสรุป | ฝ่ายคุ้มครองข้อมูลส่วนบุคคล | ต่อเนื่อง |

### วิธีการสื่อสารแจ้งเจ้าของข้อมูลส่วนบุคคล

- ส่งอีเมลแจ้งรายละเอียดการเปลี่ยนแปลงพร้อมแนบลิงก์ประกาศฉบับปรับปรุง
- แจ้งผ่านหน้าเว็บไซต์องค์กรที่มีประกาศนโยบายความเป็นส่วนตัว
- ส่งข้อความผ่านระบบแจ้งเตือนแอปพลิเคชันขององค์กร (ถ้ามี)
- ส่งจดหมายแจ้งเป็นเอกสารสำหรับเจ้าของข้อมูลที่ต้องการเอกสารฉบับจริง
- ประกาศผ่านช่องทางสื่อสารภายใน เช่น ประชุมเจ้าหน้าที่หรือข่าวสารภายในองค์กร

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/6-6-1.md

============================================================
โนด: แนวปฏิบัติ 6.6.2
ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/6-6-2.md

# 6.6.2 องค์กรมีการทบทวนประกาศการคุ้มครองข้อมูลส่วนบุคคลโดยการพิจารณาเปรียบเทียบกับการบันทึกรายการของกิจกรรมการประมวลผลข้อมูลส่วนบุคคล (ROPA) เพื่อให้แน่ใจว่าข้อมูลดังกล่าวเป็นปัจจุบันและอธิบายถึงสิ่งที่เกิดขึ้นกับข้อมูลส่วนบุคคลของบุคคลได้จริง

## สิ่งที่ต้องทำ

มีการทบทวนประกาศการคุ้มครองข้อมูลส่วนบุคคลโดยการพิจารณาเปรียบเทียบกับบันทึกรายการของกิจกรรม

## หลักฐาน

1. หลักฐานการทบทวนประกาศข้อมูลส่วนบุคคลโดยการเปรียบเทียบกับการบันทึกรายการของกิจกรรมการประมวลผลข้อมูลส่วนบุคคล (ROPA) เช่น การจัดประชุมของผู้ที่มีส่วนเกี่ยวข้องหรือได้รับมอบหมาย

## สภาพบังคับ

ไม่มีกฎหมายบังคับ

## ตัวอย่างเอกสาร

### การทบทวนประกาศการคุ้มครองข้อมูลส่วนบุคคลโดยการเปรียบเทียบกับบันทึกรายการของกิจกรรมการประมวลผลข้อมูลส่วนบุคคล (ROPA)

**วัตถุประสงค์:** เพื่อให้ประกาศการคุ้มครองข้อมูลส่วนบุคคลขององค์กรมีความถูกต้อง เป็นปัจจุบัน และสอดคล้องกับกิจกรรมการประมวลผลข้อมูลส่วนบุคคลที่เกิดขึ้นจริงในองค์กร

**ขั้นตอนการทบทวนประกาศการคุ้มครองข้อมูลส่วนบุคคล**

| ลำดับ | ขั้นตอน | รายละเอียด | ผู้รับผิดชอบ | ระยะเวลา (วัน) |
|------|---------|-----------|-------------|----------------|
| 1 | นัดหมายผู้มีส่วนเกี่ยวข้อง | รวมผู้ดูแลข้อมูลส่วนบุคคล ฝ่ายกฎหมาย ฝ่ายไอที และฝ่ายบริหาร | ฝ่ายคุ้มครองข้อมูลส่วนบุคคล | 1 |
| 2 | ตรวจสอบประกาศการคุ้มครองข้อมูลส่วนบุคคล | นำประกาศฉบับปัจจุบันมาทบทวนอย่างละเอียด | ฝ่ายกฎหมาย/ฝ่ายคุ้มครองข้อมูลส่วนบุคคล | 1 |
| 3 | เปรียบเทียบประกาศกับบันทึกรายการ ROPA | ตรวจสอบกิจกรรมการประมวลผลข้อมูลที่บันทึกไว้ใน ROPA ว่าตรงกับประกาศหรือไม่ | ฝ่ายคุ้มครองข้อมูลส่วนบุคคล/ฝ่ายไอที | 2 |
| 4 | วิเคราะห์ความแตกต่างและปรับปรุงประกาศ | หากพบความแตกต่าง ให้จัดทำข้อเสนอปรับปรุงประกาศ | ฝ่ายกฎหมาย/ฝ่ายคุ้มครองข้อมูลส่วนบุคคล | 2 |
| 5 | รายงานผลการทบทวน | จัดทำรายงานสรุปผลการทบทวน พร้อมข้อเสนอแนะ | ฝ่ายคุ้มครองข้อมูลส่วนบุคคล | 1 |
| 6 | อนุมัติและบันทึกหลักฐาน | นำเสนอรายงานต่อผู้บริหารเพื่ออนุมัติ และเก็บเป็นหลักฐาน | ฝ่ายบริหาร/ฝ่ายคุ้มครองข้อมูลส่วนบุคคล | 1 |

**หลักฐานที่จัดทำไว้**

- รายงานผลการทบทวนประกาศการคุ้มครองข้อมูลส่วนบุคคล (มีการเปรียบเทียบกับ ROPA)
- รายงานการประชุมผู้มีส่วนเกี่ยวข้องที่ทำการทบทวน
- บันทึกการอนุมัติรายงานจากผู้บริหาร
- สำเนาบันทึกรายการของกิจกรรมการประมวลผลข้อมูลส่วนบุคคล (ROPA) ที่ใช้ในการเปรียบเทียบ

### ตัวอย่างข้อความรายงานการประชุมทบทวนประกาศ

"ในวันที่ xx/xx/xxxx คณะทำงานคุ้มครองข้อมูลส่วนบุคคลได้จัดประชุมเพื่อทบทวนประกาศการคุ้มครองข้อมูลส่วนบุคคล โดยเปรียบเทียบกับบันทึกรายการของกิจกรรมการประมวลผลข้อมูลส่วนบุคคล (ROPA) เพื่อยืนยันความถูกต้องและความสอดคล้องกัน ผลการตรวจสอบ พบว่า ประกาศดังกล่าวมีข้อมูลครบถ้วนสอดคล้องกับกิจกรรมประมวลผลในปัจจุบัน และได้เสนอแนะการปรับปรุงในส่วนรายละเอียดเกี่ยวกับการใช้ข้อมูลในบางกิจกรรม โดยจะนำไปปรับปรุงประกาศในรอบถัดไป"

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/6-6-2.md

============================================================
โนด: แนวปฏิบัติ 6.6.3
ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/6-6-3.md

# 6.6.3 องค์กรเก็บบันทึกประกาศการคุ้มครองข้อมูลส่วนบุคคลที่เคยใช้บังคับ รวมถึงวันที่ทำการเปลี่ยนแปลง เพื่อให้สามารถตรวจสอบว่าข้อมูลเกี่ยวกับวัตถุประสงค์และรายละเอียดในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลใดบ้างที่ได้แจ้งและแจ้งเมื่อใด

## สิ่งที่ต้องทำ

การเก็บบันทึกประกาศการคุ้มครองข้อมูลส่วนบุคคลที่เคยใช้บังคับและข้อมูลวันที่ทำการเปลี่ยนแปลงอย่างครบถ้วน

## หลักฐาน

1. ข้อมูลการเก็บบันทึกประกาศการคุ้มครองข้อมูลส่วนบุคคลที่เคยใช้บังคับและข้อมูลวันที่ทำการเปลี่ยนแปลง

## สภาพบังคับ

ไม่มีกฎหมายบังคับ

## ตัวอย่างเอกสาร

### การเก็บบันทึกประกาศการคุ้มครองข้อมูลส่วนบุคคลที่เคยใช้บังคับ พร้อมวันที่เปลี่ยนแปลง

**วัตถุประสงค์:** เพื่อให้สามารถตรวจสอบย้อนหลังได้ว่า ประกาศการคุ้มครองข้อมูลส่วนบุคคลฉบับใดบ้างที่เคยใช้บังคับ และข้อมูลที่แจ้งแก่เจ้าของข้อมูลมีรายละเอียดอย่างไร รวมถึงวันเวลาที่มีการเปลี่ยนแปลงประกาศดังกล่าว

**ขั้นตอนการเก็บบันทึกประกาศการคุ้มครองข้อมูลส่วนบุคคลที่เคยใช้บังคับ**

| ลำดับ | รายการ | รายละเอียด |
|------|--------|-----------|
| 1 | รวบรวมประกาศปัจจุบันและฉบับเก่า | ระบุหมายเลขเวอร์ชันของประกาศแต่ละฉบับ |
| 2 | รวบรวมประกาศการคุ้มครองข้อมูลที่เคยใช้บังคับทุกฉบับ | กำหนดหมายเลขเวอร์ชันหรือชื่อฉบับ เช่น v1.0 v2.0 |
| 3 | บันทึกวันที่ประกาศเริ่มใช้และวันที่มีการเปลี่ยนแปลง | บันทึกวัน/เดือน/ปี ที่ประกาศเริ่มใช้และวันที่แก้ไขล่าสุด |
| 4 | จัดทำสารบัญบันทึกประกาศการคุ้มครอง | สรุปประกาศแต่ละฉบับและวันที่เปลี่ยนแปลงในรูปแบบสารบัญ |
| 5 | เก็บรักษาเอกสารในระบบจัดเก็บกลาง | เก็บในระบบเอกสารอิเล็กทรอนิกส์ หรือในแฟ้มเอกสารที่ควบคุมได้ |
| 6 | อนุมัติและรับรองเอกสารโดยผู้บริหาร | ผู้บริหารลงนามรับรองการจัดเก็บและการบันทึกข้อมูล |

### ตัวอย่างสารบัญการเก็บบันทึกประกาศการคุ้มครองข้อมูลส่วนบุคคล

| เวอร์ชัน | วันที่ประกาศใช้ | วันที่เปลี่ยนแปลงล่าสุด | หมายเหตุ |
|---------|----------------|------------------------|---------|
| v1.0 | 01 มกราคม 2562 | - | ฉบับแรกประกาศใช้ |
| v1.1 | 15 กรกฎาคม 2563 | 15 กรกฎาคม 2563 | แก้ไขเนื้อหาเพิ่มเติมเรื่องวัตถุประสงค์ |
| v2.0 | 01 มีนาคม 2565 | - | ปรับปรุงประกาศตาม พ.ร.บ.ใหม่และมาตรฐานสากล |

### ตัวอย่างแบบฟอร์มบันทึกประกาศที่เคยใช้บังคับ

- **ชื่อประกาศ:** ประกาศการคุ้มครองข้อมูลส่วนบุคคลขององค์กร ABC
- **เวอร์ชัน:** v1.1
- **วันที่เริ่มใช้:** 15 กรกฎาคม 2563
- **วันที่เปลี่ยนแปลงล่าสุด:** 15 กรกฎาคม 2563
- **รายละเอียดการเปลี่ยนแปลง:** เพิ่มความชัดเจนในส่วนของวัตถุประสงค์การใช้ข้อมูลและวิธีการแจ้งเจ้าของข้อมูล
- **จัดเก็บโดย:** ฝ่ายคุ้มครองข้อมูลส่วนบุคคล
- **รับรองโดย:** ผู้จัดการฝ่ายกฎหมาย

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/6-6-3.md

============================================================
โนด: แนวปฏิบัติ 6.6.4
ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/6-6-4.md

# 6.6.4 องค์กรดำเนินการทดสอบโดยผู้ใช้เพื่อประเมินประสิทธิภาพของการแจ้งข้อมูลเกี่ยวกับวัตถุประสงค์และรายละเอียดในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล

## สิ่งที่ต้องทำ

มีการทดสอบกับผู้ใช้และประเมินประสิทธิภาพ

## หลักฐาน

1. หลักฐานการทดสอบกับผู้ใช้เพื่อประเมินประสิทธิภาพของการแจ้งข้อมูล

## สภาพบังคับ

ไม่มีกฎหมายบังคับ

## ตัวอย่างเอกสาร

### การทดสอบกับผู้ใช้เพื่อประเมินประสิทธิภาพของการแจ้งข้อมูล

**วัตถุประสงค์:** เพื่อประเมินว่าการแจ้งข้อมูลแก่เจ้าของข้อมูลส่วนบุคคลในรูปแบบหรือสื่อต่าง ๆ มีความชัดเจน เข้าใจง่าย และมีประสิทธิภาพในการสื่อสารข้อมูลที่จำเป็นเกี่ยวกับวัตถุประสงค์และรายละเอียดการประมวลผลข้อมูล

**ขั้นตอนการทดสอบ**

1. **กำหนดกลุ่มผู้ใช้ทดสอบ** — ตัวอย่างเช่น เจ้าของข้อมูลจริง หรือกลุ่มตัวแทนจากพนักงาน และลูกค้า
2. **จัดเตรียมเอกสารหรือสื่อแจ้งข้อมูล** — ประกาศการคุ้มครองข้อมูลส่วนบุคคล ตัวอย่างข้อความแจ้งวัตถุประสงค์ และรายละเอียดในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูล
3. **ดำเนินการทดสอบ** — ให้ผู้ใช้ทดลองอ่าน/รับทราบข้อมูล และใช้แบบสอบถามหรือสัมภาษณ์เพื่อประเมินความเข้าใจ ความชัดเจนและความพึงพอใจ
4. **รวบรวมผลการประเมิน** — บันทึกข้อคิดเห็น ความเข้าใจที่ถูกต้องหรือผิดพลาด และประเมินคะแนนความเข้าใจและประสิทธิภาพ
5. **สรุปผลและปรับปรุง** — รายงานผลการทดสอบ และกำหนดแนวทางแก้ไขปรับปรุงการแจ้งข้อมูลหากจำเป็น

### ตัวอย่างแบบฟอร์มการประเมินผู้ใช้

| คำถามประเมิน | คำตอบ (เลือก/เขียน) |
|--------------|---------------------|
| คุณเข้าใจวัตถุประสงค์ในการเก็บข้อมูลส่วนบุคคลหรือไม่? | [ ] เข้าใจชัดเจน [ ] ค่อนข้างเข้าใจ [ ] ไม่เข้าใจ |
| ข้อมูลที่แจ้งมีความชัดเจนและเข้าใจง่ายหรือไม่? | [ ] ชัดเจนมาก [ ] ปานกลาง [ ] ไม่ชัดเจน |
| คุณรู้สึกว่าการแจ้งข้อมูลมีเพียงพอหรือไม่? | [ ] เพียงพอ [ ] ไม่แน่ใจ [ ] ไม่เพียงพอ |
| ข้อเสนอแนะเพิ่มเติม | |

### ตัวอย่างรายงานสรุปผลการทดสอบ

- **วันที่ทดสอบ:** 15 พฤษภาคม 2568
- **จำนวนผู้เข้าร่วม:** 10 คน
- **ผลการประเมิน:**
  - 80% เข้าใจวัตถุประสงค์การเก็บข้อมูลชัดเจน
  - 70% ระบุว่าข้อมูลแจ้งมีความชัดเจนและเข้าใจง่าย
  - ข้อเสนอแนะหลัก: ควรเพิ่มตัวอย่างประกอบคำอธิบายเพื่อความเข้าใจที่ดีขึ้น
- **แนวทางแก้ไข:** ปรับปรุงข้อความประกาศและเพิ่มตัวอย่างคำถามที่พบบ่อย

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/6-6-4.md

============================================================
โนด: แนวปฏิบัติ 6.6.5
ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/6-6-5.md

# 6.6.5 องค์กรวิเคราะห์ข้อร้องเรียนจากสาธารณะเกี่ยวกับวิธีที่องค์กรใช้ข้อมูลส่วนบุคคล โดยเฉพาะอย่างยิ่งข้อร้องเรียนใด ๆ เกี่ยวกับวิธีที่องค์กรอธิบายถึงการใช้ข้อมูลส่วนบุคคลนั้น

## สิ่งที่ต้องทำ

มีการวิเคราะห์ข้อร้องเรียนจากสาธารณะเกี่ยวกับวิธีที่องค์กรใช้ข้อมูลส่วนบุคคลอย่างมีประสิทธิภาพและครบถ้วน

## หลักฐาน

1. แนวปฏิบัติขององค์กรในการวิเคราะห์ข้อร้องเรียนสาธารณะในส่วนที่เกี่ยวกับวิธีที่องค์กรอธิบายถึงการใช้ข้อมูลส่วนบุคคล

## สภาพบังคับ

ไม่มีกฎหมายบังคับ

## ตัวอย่างเอกสาร

### แนวปฏิบัติการวิเคราะห์ข้อร้องเรียนจากสาธารณะเกี่ยวกับวิธีที่องค์กรอธิบายถึงการใช้ข้อมูลส่วนบุคคล

**วัตถุประสงค์:** เพื่อให้การจัดการข้อร้องเรียนเกี่ยวกับการใช้ข้อมูลส่วนบุคคลเป็นไปอย่างมีประสิทธิภาพ โดยเฉพาะข้อร้องเรียนที่เกี่ยวข้องกับการแจ้งข้อมูลตามประกาศคุ้มครองข้อมูลส่วนบุคคล เพื่อปรับปรุงและเพิ่มความชัดเจนในการสื่อสารแก่เจ้าของข้อมูลส่วนบุคคล

**แนวปฏิบัติในการวิเคราะห์ข้อร้องเรียน**

1. **การรับข้อร้องเรียน**
   - ช่องทางรับข้อร้องเรียนจากสาธารณะ เช่น ทางอีเมล โทรศัพท์ เว็บฟอร์ม หรือจดหมาย
   - บันทึกรายละเอียดข้อร้องเรียน เช่น วันที่ ผู้ร้องเรียน เนื้อหาข้อร้องเรียน
2. **การจำแนกประเภทข้อร้องเรียน**
   - แยกข้อร้องเรียนที่เกี่ยวข้องกับการอธิบายวิธีใช้ข้อมูลส่วนบุคคลจากประเภทอื่น ๆ
3. **การวิเคราะห์ข้อร้องเรียน**
   - ตรวจสอบรายละเอียดในประกาศการคุ้มครองข้อมูลส่วนบุคคลที่เกี่ยวข้อง
   - วิเคราะห์ข้อร้องเรียนเพื่อค้นหาสาเหตุของปัญหา เช่น ความไม่ชัดเจนในการแจ้งข้อมูล
   - ประเมินผลกระทบต่อเจ้าของข้อมูลและองค์กร
4. **การรายงานและเสนอแนะแนวทางแก้ไข**
   - จัดทำรายงานสรุปผลการวิเคราะห์ข้อร้องเรียน
   - เสนอแนวทางแก้ไข ปรับปรุงประกาศการคุ้มครองข้อมูลส่วนบุคคล หรือช่องทางสื่อสารข้อมูล
5. **การติดตามผล**
   - ตรวจสอบการนำข้อเสนอแนะไปปฏิบัติ
   - ประเมินผลหลังการปรับปรุงอย่างสม่ำเสมอ

### ตัวอย่างแบบฟอร์มบันทึกข้อร้องเรียนและการวิเคราะห์

| วันที่รับเรื่อง | ผู้ร้องเรียน | ประเภทข้อร้องเรียน | รายละเอียดข้อร้องเรียน | ผลการวิเคราะห์ | แนวทางแก้ไข/ปรับปรุง | สถานะการดำเนินการ |
|----------------|--------------|--------------------|------------------------|----------------|----------------------|-------------------|
| 1 มิ.ย. 2568 | นายสมชาย | การแจ้งข้อมูลไม่ชัดเจน | ไม่เข้าใจวัตถุประสงค์ในการเก็บข้อมูลส่วนบุคคล | ข้อความประกาศไม่ชัดเจนและซับซ้อน | ปรับข้อความให้ง่ายขึ้นและเพิ่มตัวอย่าง | ดำเนินการแก้ไขเรียบร้อย |
| 10 มิ.ย. 2568 | นางสาวอร | ช่องทางการสื่อสารไม่ครบถ้วน | ไม่ทราบว่าข้อมูลใช้ไปเพื่อวัตถุประสงค์ใด | ช่องทางสื่อสารข้อมูลไม่หลากหลายพอ | เพิ่มช่องทางแจ้งข้อมูลผ่านแอปพลิเคชัน | รอดำเนินการ |

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/6-6-5.md

============================================================
โนด: แนวปฏิบัติ 6.7.1
ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/6-7-1.md

# 6.7.1 ประกาศการคุ้มครองข้อมูลส่วนบุคคลมีความชัดเจนและง่ายสำหรับสาธารณะในการเข้าถึง

## สิ่งที่ต้องทำ

มีประกาศการคุ้มครองข้อมูลส่วนบุคคลชัดเจนและง่ายในการเข้าถึง

## หลักฐาน

1. ช่องทางในการเผยแพร่ประกาศการคุ้มครองข้อมูลส่วนบุคคล

## สภาพบังคับ

ไม่มีกฎหมายบังคับ

## ตัวอย่างเอกสาร

### ช่องทางในการเผยแพร่ประกาศการคุ้มครองข้อมูลส่วนบุคคล

**วัตถุประสงค์:** เพื่อแสดงให้เห็นว่าองค์กรมีความโปร่งใสในการแจ้งให้เจ้าของข้อมูลส่วนบุคคลทราบถึงวิธีการใช้ข้อมูลของตน โดยเผยแพร่ประกาศการคุ้มครองข้อมูลส่วนบุคคลในช่องทางที่เข้าถึงได้ง่าย และมีความชัดเจนในการสื่อสาร

องค์กรได้ดำเนินการเผยแพร่ประกาศการคุ้มครองข้อมูลส่วนบุคคลผ่านช่องทางต่อไปนี้

**1. เว็บไซต์ขององค์กร**

- ประกาศฯ ถูกเผยแพร่ในหน้าเว็บไซต์หลักขององค์กร โดยสามารถเข้าถึงได้จากเมนู "นโยบายความเป็นส่วนตัว" หรือ "นโยบายคุ้มครองข้อมูลส่วนบุคคล"
- ตัวอย่าง URL: https://www.organizationname.or.th/privacy-policy
- รูปแบบเข้าใจง่าย มีภาษาที่เหมาะสมกับบุคคลทั่วไปและผู้สูงอายุ (ฉบับย่อและฉบับเต็มให้เลือกอ่าน)

**2. สื่อสิ่งพิมพ์และแผ่นพับ (ในสำนักงาน)**

- มีการจัดวางแผ่นพับให้เจ้าของข้อมูลทราบ เช่น เคาน์เตอร์ต้อนรับ จุดลงทะเบียน และจุดบริการลูกค้า มี QR Code สำหรับสแกนเพื่ออ่านฉบับเต็มทางออนไลน์

**3. แอปพลิเคชันขององค์กร (ถ้ามี)**

- ในหน้า "ตั้งค่า" หรือ "ข้อมูลผู้ใช้" มีลิงก์ไปยังประกาศการคุ้มครองข้อมูลส่วนบุคคล
- รูปแบบเข้าใจง่ายทั้งบนโทรศัพท์มือถือและแท็บเล็ต

**4. แบบฟอร์มออนไลน์และแบบฟอร์มกระดาษ**

- แนบประกาศฯ ฉบับย่อไว้ท้ายแบบฟอร์มการลงทะเบียน ข้อมูลสมัครงาน และเอกสารอื่นที่มีการเก็บข้อมูลผู้ใช้ โดยอาจอยู่ก่อนคลิก "ยอมรับ" หรือ "ให้ความยินยอม"

### คุณลักษณะของประกาศการคุ้มครองข้อมูลส่วนบุคคล

- มีโครงสร้างที่เข้าใจง่าย แบ่งหัวข้อชัดเจน ได้แก่
  - วัตถุประสงค์ของการประมวลผลข้อมูล
  - ประเภทของข้อมูลที่เก็บ
  - สิทธิของเจ้าของข้อมูล
  - ช่องทางการติดต่อ DPO หรือองค์กร
- ใช้ภาษาที่เป็นมิตร เหมาะกับผู้ใช้งานทั่วไป
- สำหรับข้อมูลของผู้สูงอายุ มีเวอร์ชันที่เรียบเรียงให้เหมาะสมกับช่วงวัย

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/6-7-1.md

============================================================
โนด: แนวปฏิบัติ 6.7.2
ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/6-7-2.md

# 6.7.2 องค์กรมีเครื่องมือให้กับเจ้าของข้อมูลส่วนบุคคล เช่น ระบบการบริการตนเองที่ปลอดภัย แดชบอร์ด และการแจ้งเตือนแบบทันเวลา เพื่อให้เจ้าของข้อมูลส่วนบุคคลสามารถเข้าถึง กำหนด และจัดการกับข้อมูลส่วนบุคคลของพวกเขาได้

## สิ่งที่ต้องทำ

มีเครื่องมือที่มีประสิทธิภาพ เจ้าของข้อมูลส่วนบุคคลสามารถเข้าถึง กำหนด และจัดการกับข้อมูลส่วนบุคคลได้

## หลักฐาน

1. หลักฐานแสดงเครื่องมือที่ทำให้เจ้าของข้อมูลส่วนบุคคลสามารถเข้าถึง กำหนด และจัดการกับข้อมูลส่วนบุคคลได้

## สภาพบังคับ

ไม่มีกฎหมายบังคับ

## ตัวอย่างเอกสาร

### ระบบบริการตนเอง (Self-Service Platform)

องค์กรได้พัฒนาระบบบริการตนเองสำหรับเจ้าของข้อมูลส่วนบุคคล โดยระบบนี้มีฟังก์ชันการใช้งานดังนี้:

- เข้าสู่ระบบด้วยรหัส OTP หรือบัญชีผู้ใช้ที่ลงทะเบียนไว้ล่วงหน้า
- สามารถดูข้อมูลส่วนบุคคลที่องค์กรจัดเก็บได้
- สามารถแก้ไขข้อมูลบางรายการ เช่น ที่อยู่ติดต่อ ที่อยู่ และความยินยอม
- สามารถดาวน์โหลดสำเนาข้อมูลของตนในรูปแบบ JSON หรือ PDF
- สามารถตั้งค่าคำเตือนหรือระงับการใช้ข้อมูลได้ทันที

URL ระบบ: https://dataportal.organizationname.or.th

### แดชบอร์ดการจัดการข้อมูลส่วนบุคคล

แดชบอร์ดสำหรับผู้ที่เข้าสู่ระบบแล้ว มีฟังก์ชันดังนี้:

- แสดงสถานะความยินยอมแต่ละประเภท
- ประวัติการให้ความยินยอมและการเพิกถอนความยินยอม
- รายการการเข้าถึงข้อมูลย้อนหลัง
- คำขอที่อยู่ระหว่างดำเนินการ และผลการดำเนินการ

หน้าแดชบอร์ดออกแบบให้ใช้งานง่าย รองรับทั้งภาษาไทยและภาษาอังกฤษ และสามารถแสดงผลบนมือถือได้อย่างเหมาะสม

### การแจ้งเตือนแบบทันเวลา (Just-In-Time Notices)

องค์กรมีระบบแสดง "การแจ้งเตือนแบบทันเวลา" ทุกครั้งที่มีการเก็บรวบรวมข้อมูลผ่านระบบออนไลน์หรือแอปพลิเคชัน เช่น:

- เมื่อมีการลงทะเบียนสมัครสมาชิก
- เมื่อเริ่มทำแบบสำรวจที่มีการเก็บข้อมูล
- ก่อนเก็บคุกกี้หรือข้อมูลเชิงพฤติกรรม

ตัวอย่างข้อความการแจ้ง:

> "เราใช้ข้อมูลของคุณเพื่อทำงานด้านสื่อสารและสิทธิประโยชน์ หากไม่ต้องการรับข้อมูลนี้ ท่านสามารถเลือก 'ไม่ยินยอม' ได้ทันที"

ข้อความดังกล่าวจะแสดงเป็น Pop-up หรือ Banner ก่อนที่ระบบจะเก็บข้อมูล หรือให้ผู้ใช้ "คลิกตกลง" ในลักษณะที่เป็นไปตามหลักการคุ้มครองข้อมูลส่วนบุคคลตั้งแต่ขั้นตอนการออกแบบ

### เอกสารแนบ

- ภาพหน้าจอระบบบริการตนเอง
- ภาพหน้าจอแดชบอร์ดการจัดการข้อมูล
- ตัวอย่าง Pop-up แจ้งเตือนแบบทันเวลา
- URL ทดลองใช้งานระบบ (หากมีเวอร์ชันสาธิต)

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/6-7-2.md

============================================================
โนด: แนวปฏิบัติ 6.7.3
ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/6-7-3.md

# 6.7.3 องค์กรกำหนดค่าเริ่มต้นความเป็นส่วนตัวที่ให้ความสำคัญกับการคุ้มครองข้อมูลส่วนบุคคล รวมถึงตัวเลือกและการควบคุมที่ใช้งานง่ายสำหรับเจ้าของข้อมูลส่วนบุคคล

## สิ่งที่ต้องทำ

มีการกำหนดค่าเริ่มต้นที่กำหนด และมีตัวเลือกและการควบคุมที่ใช้งานง่าย

## หลักฐาน

1. นโยบายหรือกระบวนการออกแบบโดยมีพื้นฐานมาจากการกำหนดค่าเริ่มต้นความเป็นส่วนตัวที่ให้ความสำคัญกับการคุ้มครองข้อมูลส่วนบุคคล

## สภาพบังคับ

ไม่มีกฎหมายบังคับ

## ตัวอย่างเอกสาร

### นโยบายการกำหนดค่าเริ่มต้นความเป็นส่วนตัว (Privacy by Default Policy)

องค์กรได้จัดทำนโยบายการออกแบบระบบและบริการโดยคำนึงถึงความเป็นส่วนตัวตั้งแต่เริ่มต้น มีรายละเอียดการตั้งค่าความเป็นส่วนตัวเริ่มต้นที่ปลอดภัยและลดความเสี่ยง ดังนี้

- การตั้งค่าความเป็นส่วนตัวเริ่มต้นเป็น "ไม่เผยแพร่ข้อมูล" หรือ "ไม่ยินยอม" เว้นแต่เจ้าของข้อมูลจะเลือกยินยอมเอง
- ไม่เปิดเผยข้อมูลส่วนบุคคลต่อบุคคลภายนอกโดยอัตโนมัติ
- ข้อมูลส่วนบุคคลถูกรวบรวมเฉพาะเท่าที่จำเป็นต่อวัตถุประสงค์
- การเก็บคุกกี้ถูกกำหนดเฉพาะคุกกี้ที่จำเป็นโดยเริ่มต้น จนกว่าจะได้รับความยินยอมจากผู้ใช้งาน
- ระบบแจ้งเตือนการเข้าถึงข้อมูลส่วนบุคคล เช่น การเข้าสู่ระบบจากอุปกรณ์ใหม่ หรือการเปลี่ยนรหัสผ่าน

### การออกแบบส่วนติดต่อผู้ใช้เพื่อให้ควบคุมข้อมูลได้ง่าย

องค์กรได้พัฒนาการออกแบบที่เน้นผู้ใช้งานสามารถเข้าถึงและควบคุมการตั้งค่าความเป็นส่วนตัวได้ง่าย ดังนี้

- มีแดชบอร์ดความเป็นส่วนตัว ให้เจ้าของข้อมูลสามารถเปิด/ปิดการเก็บข้อมูลบางประเภท และจัดการสิทธิการเข้าถึงข้อมูลของบุคคลที่สาม
- ดาวน์โหลด/ลบข้อมูลของตนได้ด้วยตนเอง
- ข้อความแจ้งความเป็นส่วนตัวถูกเขียนให้เข้าใจง่าย ไม่ใช้ศัพท์ทางเทคนิค
- ทุกการเก็บข้อมูลมีการแจ้งเตือนแบบทันเวลาอธิบายก่อนเริ่มการเก็บข้อมูลจริง

### กระบวนการออกแบบระบบที่มีมาตรการคุ้มครองความเป็นส่วนตัวตั้งแต่ขั้นออกแบบ

องค์กรมีแนวทางการพัฒนาระบบหรือผลิตภัณฑ์ดิจิทัลโดยพิจารณาเรื่องความเป็นส่วนตัวตั้งแต่ขั้นตอนการออกแบบ ได้แก่

- การทบทวนการประเมินผลกระทบด้านการคุ้มครองข้อมูลส่วนบุคคล (DPIA) ก่อนพัฒนา/ปรับปรุงระบบ
- การใช้การตั้งค่าที่เป็นค่าเริ่มต้นที่ปลอดภัยและเก็บข้อมูลน้อยที่สุด
- มีแนวทางควบคุมการแบ่งปันข้อมูลภายในและภายนอกองค์กรโดยผ่านการอนุมัติล่วงหน้า
- อัปเดตแนวทางการออกแบบปีละอย่างน้อย 1 ครั้ง ตามมาตรฐานสากล เช่น ISO/IEC 27701, OWASP, GDPR

### เอกสารแนบ

- สำเนานโยบายการกำหนดค่าเริ่มต้นความเป็นส่วนตัว
- คู่มือการออกแบบแดชบอร์ดและเมนูควบคุมความเป็นส่วนตัว
- ภาพหน้าจอแดชบอร์ดและหน้าแจ้งความยินยอม
- เอกสารเวิร์กโฟลว์การพัฒนาโปรเจกต์ใหม่ที่รวมการคุ้มครองความเป็นส่วนตัวตั้งแต่ขั้นออกแบบ

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/6-7-3.md

============================================================
โนด: แนวปฏิบัติ 6.7.4
ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/6-7-4.md

# 6.7.4 ในกรณีที่เกี่ยวข้อง องค์กรมีกระบวนการเพื่อช่วยให้ผู้เยาว์สามารถใช้สิทธิในการปกป้องความเป็นส่วนตัวของข้อมูลส่วนบุคคลด้วยวิธีที่เข้าถึงได้ง่ายและที่พวกเขาเข้าใจได้

## สิ่งที่ต้องทำ

มีมาตรการสำหรับผู้เยาว์ และวิธีที่เข้าถึงได้ง่ายสำหรับผู้เยาว์

## หลักฐาน

1. มาตรการเพื่อช่วยให้ผู้เยาว์สามารถใช้สิทธิในการปกป้องความเป็นส่วนตัวของข้อมูลส่วนบุคคลด้วยวิธีที่เข้าถึงได้ง่ายที่พวกเขาเข้าใจได้ เช่น การแจ้งเตือนแบบทันเวลา

## สภาพบังคับ

ไม่มีกฎหมายบังคับ

## ตัวอย่างเอกสาร

### นโยบายองค์กรเกี่ยวกับการคุ้มครองข้อมูลส่วนบุคคลของผู้เยาว์

องค์กรมีนโยบายเฉพาะด้านที่กำหนดการปฏิบัติต่อข้อมูลของผู้เยาว์โดยตรง ซึ่งรวมถึง

- การจำกัดการเก็บข้อมูลส่วนบุคคลของผู้เยาว์เฉพาะเท่าที่จำเป็น
- การกำหนดกลไกการให้ความยินยอมที่แตกต่างจากผู้ใหญ่ (เช่น ความยินยอมจากผู้ปกครอง)
- การมุ่งเน้นประโยชน์สูงสุดของเด็กตามแนวทางของสหประชาชาติ

### ช่องทางการใช้สิทธิที่เหมาะสมกับผู้เยาว์

องค์กรได้ออกแบบช่องทางการใช้สิทธิที่เหมาะสมกับระดับความเข้าใจของผู้เยาว์ เช่น

- หน้าเว็บไซต์เฉพาะสำหรับเด็ก ที่ใช้งานง่าย ไม่มีศัพท์ทางกฎหมาย
- การ์ตูนแอนิเมชัน หรือวิดีโออธิบายสิทธิข้อมูลส่วนบุคคล เช่น สิทธิขอเข้าถึง ลบ คัดค้าน
- เมนูคำสั่งแบบไอคอน หรือเกมโต้ตอบที่ออกแบบประสบการณ์ผู้ใช้ร่วมกับนักจิตวิทยาเด็ก

### ตัวอย่างเครื่องมือที่ใช้

**ระบบแดชบอร์ด "My Info for Kids"**

เด็กสามารถเข้าสู่ระบบได้ผ่านรหัสสมาชิก (ไม่ใช้ชื่อจริง) แล้วเห็นรายการข้อมูลที่ระบบเก็บเกี่ยวกับพวกเขา พร้อมตัวเลือก "ขอลบข้อมูล" "แก้ไข" หรือ "ไม่ให้เก็บอีก" พร้อมสัญลักษณ์เข้าใจง่าย

**การแจ้งเตือนแบบทันเวลาสำหรับเด็ก**

ข้อความสั้นที่อธิบายเหตุผลการเก็บข้อมูลแบบเข้าใจง่าย เช่น:

> "เราขอเก็บคะแนนเกมของคุณไว้ เพื่อให้คุณได้ดูรางวัลทุกเดือน ตกลงไหม?" พร้อมปุ่ม "ตกลง" / "ไม่ตกลง"

ข้อความนี้ใช้ระดับภาษาแบบพื้นฐาน (เทียบเท่าระดับประถม-ต้นมัธยม)

### การประเมินความเข้าใจของผู้เยาว์

- องค์กรได้ดำเนินการทดสอบความเข้าใจของผู้เยาว์ที่มีต่อการแจ้งเตือนและสิทธิของตน
- ใช้กลุ่มเด็กอายุ 8-12 ปี และ 13-17 ปี ในการทดสอบต้นแบบการแจ้งสิทธิ
- แบบสอบถามหลังใช้งานที่ประเมินว่าผู้เยาว์สามารถอธิบายสิทธิของตนกลับมาได้หรือไม่
- ผลการทดสอบ (ปีล่าสุด): ร้อยละ 84 ของกลุ่มเป้าหมายสามารถระบุสิทธิของตนและใช้เครื่องมือได้ถูกต้อง

### การอบรมบุคลากรเกี่ยวกับข้อมูลของผู้เยาว์

เจ้าหน้าที่บริการลูกค้าและฝ่ายเทคโนโลยีได้รับการฝึกอบรมเพิ่มเติมเรื่อง

- ความเข้าใจทางพฤติกรรมเด็ก
- การอธิบายสิทธิของข้อมูลส่วนบุคคลให้เด็กเข้าใจ
- การจัดการกับคำขอจากผู้เยาว์โดยไม่ละเมิดสิทธิผู้ปกครองหรือกฎหมายอื่นที่เกี่ยวข้อง

### การจัดเก็บหลักฐานการดำเนินงาน

- บันทึกการใช้แดชบอร์ด "My Info for Kids"
- สถิติการใช้การแจ้งเตือนแบบทันเวลาโดยเด็ก
- รายงานผลการทดสอบความเข้าใจผู้เยาว์
- บันทึกการสื่อสารทางอีเมลหรือโทรศัพท์ที่เกี่ยวข้องกับการใช้สิทธิของผู้เยาว์
- เอกสารการประชุมฝ่ายพัฒนาประสบการณ์ผู้ใช้ ฝ่ายกฎหมาย และฝ่ายข้อมูล เพื่อปรับปรุงบริการ

### การประเมินและปรับปรุงประจำปี

มีรอบการทบทวนเครื่องมือและภาษาที่ใช้ทุก 12 เดือน โดยรวมความคิดเห็นจาก

- เด็กที่ใช้บริการ
- ผู้ปกครอง
- ครู/นักจิตวิทยา
- ทีมคุ้มครองข้อมูลส่วนบุคคล

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/6-7-4.md

============================================================
โนด: แนวปฏิบัติ 6.7.5
ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/6-7-5.md

# 6.7.5 องค์กรใช้มาตรการที่เหมาะสมเพื่อปกป้องผู้เยาว์ที่ใช้บริการดิจิทัลขององค์กร

## สิ่งที่ต้องทำ

มีมาตรการสำหรับผู้เยาว์ที่เหมาะสมและมีประสิทธิภาพ

## หลักฐาน

1. มาตรการปกป้องผู้เยาว์ที่ใช้บริการดิจิทัลขององค์กร เช่น มีเครื่องมือตรวจสอบอายุ

## สภาพบังคับ

ไม่มีกฎหมายบังคับ

## ตัวอย่างเอกสาร

### นโยบายการปกป้องผู้เยาว์ (Child Online Protection Policy)

องค์กรมีนโยบายเป็นลายลักษณ์อักษรในการให้ความคุ้มครองผู้เยาว์ที่เข้าใช้บริการดิจิทัล โดยมีเนื้อหาดังนี้

- นิยามของ "ผู้เยาว์" ตามประมวลกฎหมายแพ่งและพาณิชย์ไทย (อายุต่ำกว่า 20 ปีบริบูรณ์ หรือในบางกรณีตามนิยามของ GDPR คืออายุต่ำกว่า 16 ปี)
- หลักการให้บริการแบบออกแบบโดยคำนึงถึงเด็กเป็นหลัก คือ ออกแบบโดยคำนึงประโยชน์สูงสุดของเด็ก
- การเก็บข้อมูลเท่าที่จำเป็นและมีวัตถุประสงค์ชัดเจน
- ห้ามใช้ข้อมูลผู้เยาว์เพื่อการโฆษณาตามพฤติกรรมแบบระบุตัวตน

### มาตรการตรวจสอบอายุ (Age Verification Tools)

องค์กรมีระบบตรวจสอบอายุเพื่อแยกแยะผู้เยาว์ออกจากผู้ใหญ่ โดยใช้เทคโนโลยีและกระบวนการต่อไปนี้

**1. ขั้นตอนยืนยันอายุขณะสมัครสมาชิก**

- กลไกการยืนยันสองชั้น: ให้ผู้สมัครกรอกวันเดือนปีเกิด + ยืนยันอายุผ่านอีเมล หรือ SMS
- ระบบอัลกอริทึมการตรวจจับอายุ: สำหรับบริการที่มีการใช้งานผ่านกล้อง มีระบบระบุอายุโดยประมาณจากการวิเคราะห์ภาพใบหน้า (อิงตามมาตรฐานของ ICO และการประมาณอายุด้วยปัญญาประดิษฐ์)

**2. ขั้นตอนเพิ่มเติมสำหรับผู้เยาว์**

เมื่อระบบตรวจพบว่าเป็นผู้ใช้อายุต่ำกว่าเกณฑ์ มีการ

- จำกัดฟีเจอร์ เช่น ไม่สามารถเปิดเผยข้อมูลสาธารณะ
- ปิดโฆษณาแบบกำหนดกลุ่มเป้าหมาย
- เปิดโหมดคุ้มครองขั้นสูงโดยอัตโนมัติ

### ระบบควบคุมโดยผู้ปกครอง (Parental Control Tools)

ผู้ปกครองสามารถผูกบัญชีของตนเข้ากับบัญชีผู้เยาว์ เพื่อ

- ตรวจสอบกิจกรรมที่ได้รับอนุญาต
- ปรับระดับการเปิดเผยข้อมูลส่วนบุคคล
- จำกัดเวลาในการใช้งาน (เช่น ไม่เกิน 2 ชั่วโมงต่อวันในวันเรียน)
- รับแจ้งเตือนเมื่อมีการเข้าชมข้อมูลหรือมีผู้ติดต่อใหม่

### การออกแบบอินเทอร์เฟซที่ปลอดภัยและเข้าใจง่ายสำหรับผู้เยาว์

- ส่วนติดต่อผู้ใช้ใช้ภาษาธรรมดา
- มีไอคอนสำหรับ "ความเป็นส่วนตัว" "ขอความช่วยเหลือ" และ "อธิบายสิทธิ"
- แจ้งเตือนแบบทันเวลาสำหรับการเก็บข้อมูล เช่น:

> "เราขอเก็บเสียงของคุณเพื่อให้คุณเล่นเกมได้ คุณโอเคไหม?" [ใช่] [ไม่ใช่]

### กระบวนการจัดการความเสี่ยงต่อผู้เยาว์

- มีแบบฟอร์มเฉพาะสำหรับประเมินความเสี่ยงต่อผู้เยาว์ในการพัฒนา/เปิดตัวฟีเจอร์ใหม่
- มีคณะกรรมการย่อยทำหน้าที่ทบทวนบริการที่มีผลกระทบต่อเด็กก่อนเปิดใช้งาน
- ตัวอย่างคำถามในการประเมิน:
  - เด็กสามารถเข้าใจไหมว่าข้อมูลใดจะถูกเก็บ
  - เด็กสามารถขอลบข้อมูลได้อย่างไร
  - เด็กอาจตัดสินใจแชร์ข้อมูลมากเกินไปหรือไม่

### การฝึกอบรมพนักงานและผู้ดูแลระบบ

เจ้าหน้าที่ฝ่ายบริการลูกค้า พนักงานฝ่ายพัฒนาเทคโนโลยีสารสนเทศ และฝ่ายนโยบายข้อมูล ได้รับการฝึกอบรม

- เรื่องการรับรู้ข้อมูลของผู้เยาว์
- การสนทนาและรับเรื่องร้องเรียนจากผู้เยาว์
- การแจ้งสิทธิและแนวทางการยินยอมที่เหมาะสมกับเด็ก

### การบันทึกและประเมินผลการใช้มาตรการ

- บันทึกการใช้งานการตรวจสอบอายุ (จำนวนผู้สมัครที่อายุต่ำกว่า 18 ปี)
- รายงานการใช้แดชบอร์ดควบคุมโดยผู้ปกครอง
- ผลการสำรวจผู้เยาว์ประจำปี
- ตัวชี้วัด เช่น ความเข้าใจสิทธิ ความรู้สึกปลอดภัย ความสะดวกในการควบคุมข้อมูล
- กรณีร้องเรียนเกี่ยวกับเด็ก (เช่น การใช้ถ้อยคำสื่อสาร ความเข้าใจผิดของเด็ก)
- มีการวิเคราะห์และปรับปรุงมาตรการอย่างต่อเนื่อง

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/6-7-5.md

============================================================
โนด: แนวปฏิบัติ 7.1.1
ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/7-1-1.md

# 7.1.1 องค์กรมีการทบทวนหรือจัดทำแผนผังข้อมูลเพื่อทำความเข้าใจการไหลเวียนของข้อมูลส่วนบุคคลในองค์กร

## สิ่งที่ต้องทำ

มีการจัดทำแผนผังข้อมูลที่ชัดเจนและมีประสิทธิภาพ เพื่อทำความเข้าใจการไหลเวียนของ[ข้อมูลส่วนบุคคล](https://link.pdpalawbase.com/concept/personal-data.md)ภายในองค์กร ตั้งแต่การเก็บรวบรวม การใช้ การจัดเก็บ การส่งต่อ ไปจนถึงการลบหรือทำลายข้อมูล

## หลักฐาน

1. แผนผังข้อมูล

## สภาพบังคับ

ไม่มีกฎหมายบังคับ (แนวปฏิบัติที่ดี)

## ตัวอย่างเอกสาร

### แผนผังข้อมูลส่วนบุคคล

**1. จุดประสงค์**

เพื่อแสดงการไหลเวียนของข้อมูลส่วนบุคคลภายในองค์กร ตั้งแต่การเก็บรวบรวม การใช้ การจัดเก็บ การส่งต่อ ไปจนถึงการลบหรือทำลายข้อมูล

**2. ประเภทข้อมูลส่วนบุคคลที่เกี่ยวข้อง**

- ข้อมูลลูกค้า (ชื่อ, เบอร์โทร, อีเมล, ที่อยู่)
- ข้อมูลพนักงาน (ประวัติส่วนตัว, ประวัติการทำงาน, หมายเลขบัญชีธนาคาร)
- ข้อมูลคู่สัญญา (ชื่อผู้ประสานงาน, ที่อยู่บริษัท, เลขประจำตัวผู้เสียภาษี)

### แผนผังข้อมูลส่วนบุคคล: ระดับองค์กร

```
[เจ้าของข้อมูล]
[ช่องทางรับข้อมูล] -- (แบบฟอร์ม เว็บไซต์ แอปฯ E-mail)
[ฝ่ายที่รับผิดชอบการเก็บข้อมูล]
[ระบบจัดเก็บข้อมูล]
[ฝ่ายที่ใช้ข้อมูล] [การส่งข้อมูลออกภายนอก]
(เช่น Cloud Outsource)
[การเก็บรักษาข้อมูล]
[การลบ / ทำลาย / คืนข้อมูล]
```

### เอกสารแนบ

- ไฟล์แผนผังข้อมูลในรูปแบบ PDF หรือ PNG ที่สร้างจากโปรแกรมจัดทำแผนผัง
- รายชื่อระบบที่จัดเก็บข้อมูล
- นโยบายการเก็บรักษาและลบข้อมูล

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/7-1-1.md

============================================================
โนด: แนวปฏิบัติ 7.1.2
ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/7-1-2.md

# 7.1.2 แผนผังข้อมูลมีความถูกต้องเป็นปัจจุบัน และมีผู้รับผิดชอบในการทบทวนให้ถูกต้องและเป็นปัจจุบันอยู่เสมอ

## สิ่งที่ต้องทำ

มีการมอบหมายให้มีผู้รับผิดชอบในการทบทวนแผนผังข้อมูล และมีรอบระยะเวลาการทบทวนที่ชัดเจน เพื่อให้ข้อมูลถูกต้องและเป็นปัจจุบัน

## หลักฐาน

1. หลักฐานการแต่งตั้งผู้รับผิดชอบในการจัดทำแผนผังข้อมูลในองค์กรและในแต่ละแผนก

## สภาพบังคับ

ไม่มีกฎหมายบังคับ (แนวปฏิบัติที่ดี)

## ตัวอย่างเอกสาร

### คำสั่งแต่งตั้งผู้รับผิดชอบในการทบทวนแผนผังข้อมูลส่วนบุคคล

**1. วัตถุประสงค์**

เพื่อแต่งตั้งผู้รับผิดชอบหลักในการจัดทำและทบทวนแผนผังข้อมูลส่วนบุคคลขององค์กรให้ถูกต้องและเป็นปัจจุบัน รวมถึงกำหนดระยะเวลาการทบทวนที่ชัดเจน

**2. รายละเอียดคำสั่งแต่งตั้ง**

- **คำสั่งที่:** 001/2567
- **เรื่อง:** แต่งตั้งผู้รับผิดชอบในการจัดทำและทบทวนแผนผังข้อมูลส่วนบุคคลขององค์กร

ด้วยองค์กรตระหนักถึงความสำคัญของความถูกต้อง ครบถ้วน และเป็นปัจจุบันของแผนผังข้อมูลส่วนบุคคล ซึ่งถือเป็นองค์ประกอบพื้นฐานในการควบคุมความเสี่ยงและดำเนินการให้เป็นไปตามแนวปฏิบัติด้านการคุ้มครองข้อมูลส่วนบุคคล จึงแต่งตั้งบุคลากรเพื่อทำหน้าที่ดังนี้

**(1) ผู้รับผิดชอบหลักขององค์กร**

- **ชื่อ-สกุล:** นายสมชาย ตั้งใจดี
- **ตำแหน่ง:** หัวหน้าฝ่ายเทคโนโลยีสารสนเทศ
- **หน้าที่:**
  - รวบรวมแผนผังข้อมูลจากแต่ละหน่วยงาน
  - ตรวจสอบความถูกต้องและการเชื่อมโยงข้อมูล
  - จัดทำแผนผังภาพรวมองค์กร
  - ประสานงานกับ DPO

**(2) ผู้รับผิดชอบแต่ละหน่วยงาน**

| หน่วยงาน | ชื่อ-สกุล | ตำแหน่ง | หน้าที่ |
|---|---|---|---|
| ฝ่ายบุคคล | นางสาวพรทิพย์ ใจงาม | หัวหน้า HR | จัดทำแผนผังข้อมูลพนักงาน |
| ฝ่ายขาย/การตลาด | นายธนกฤต แสงทอง | หัวหน้าฝ่ายขาย | จัดทำแผนผังข้อมูลลูกค้า |
| ฝ่ายบัญชี | นางสาวชลธิชา เงินดี | นักบัญชีอาวุโส | จัดทำแผนผังข้อมูลการเงินและการจ่ายเงิน |
| ฝ่าย IT | นายวีรยุทธ เก่งจริง | เจ้าหน้าที่ระบบ | จัดทำแผนผังโครงสร้างการจัดเก็บและระบบรักษาความปลอดภัยของข้อมูล |

**3. รอบระยะเวลาการทบทวนแผนผังข้อมูล**

การทบทวนแผนผังข้อมูลจะดำเนินการตามรอบดังนี้

- **ความถี่:** ทุก 6 เดือน
- **รอบทบทวนถัดไป:** กรกฎาคม 2567 และ มกราคม 2568

กรณีทบทวนเพิ่มเติม:

- มีการเปลี่ยนระบบ IT / การจัดเก็บข้อมูล
- มีการเปลี่ยนนโยบายหรือกระบวนการสำคัญในงานที่เกี่ยวข้องกับข้อมูลส่วนบุคคล
- มีเหตุการณ์ด้านความปลอดภัยข้อมูล (เช่น ข้อมูลรั่วไหล)

**4. การบันทึกผลการทบทวน**

ผู้รับผิดชอบแต่ละฝ่ายจะต้องจัดทำรายงานทบทวน โดยระบุว่า

- มีการเปลี่ยนแปลงในกระบวนการจัดเก็บ/ใช้ข้อมูลหรือไม่
- แผนผังข้อมูลยังถูกต้องหรือมีจุดที่ต้องปรับปรุง
- แนบแผนผังฉบับปรับปรุง (ถ้ามี)

รายงานส่งให้ DPO ภายในวันที่ 25 ของเดือนที่ครบรอบ

**5. ลงนามคำสั่ง**

ออกคำสั่ง ณ วันที่ 1 มิถุนายน พ.ศ. 2567

ลงนามโดย (นางศิรินทิพย์ บริหารดี) ผู้อำนวยการองค์กร

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/7-1-2.md

============================================================
โนด: แนวปฏิบัติ 7.1.3
ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/7-1-3.md

# 7.1.3 มีการตรวจสอบหารือกับส่วนงานที่เกี่ยวข้องเพื่อให้แผนผังข้อมูลถูกต้องและสอดคล้องกันในเชิงกระบวนการ

## สิ่งที่ต้องทำ

มีการตรวจสอบหารือกับหน่วยงานที่เกี่ยวข้องอย่างครบถ้วน เพื่อให้มั่นใจว่าแผนผังข้อมูลที่จัดทำมีความถูกต้อง และมีความสอดคล้องกันในเชิงกระบวนการกับส่วนงานอื่น อาจใช้วิธีการตรวจสอบโดยคำถามหรือแบบสำรวจ

## หลักฐาน

1. แบบสำรวจหรือคำถามการสอบทานข้อมูลเพื่อจัดทำแผนผังข้อมูลขององค์กร

## สภาพบังคับ

ไม่มีกฎหมายบังคับ (แนวปฏิบัติที่ดี)

## ตัวอย่างเอกสาร

### แบบสอบถาม/แบบสำรวจการสอบทานข้อมูลเพื่อจัดทำแผนผังข้อมูลขององค์กร

**วัตถุประสงค์:** เพื่อรวบรวมข้อมูลจากหน่วยงานภายในองค์กร เพื่อจัดทำหรือทบทวนแผนผังข้อมูลส่วนบุคคลให้มีความถูกต้อง ครบถ้วน และสอดคล้องกันในเชิงกระบวนการ

**กลุ่มเป้าหมาย:** หัวหน้าหรือผู้รับผิดชอบในแต่ละหน่วยงานที่มีการเก็บ ใช้ หรือประมวลผลข้อมูลส่วนบุคคล

**ข้อมูลเบื้องต้น**

- ชื่อหน่วยงาน: _____________________________
- ผู้ตอบแบบสอบถาม: _____________________________
- ตำแหน่ง: _____________________________
- วันที่ตอบ: _____________________________

**ตอนที่ 1: แหล่งที่มาของข้อมูลส่วนบุคคล**

1. หน่วยงานของท่านเก็บรวบรวมข้อมูลส่วนบุคคลจากแหล่งใดบ้าง? (☐ ลูกค้าโดยตรง ☐ เว็บไซต์ ☐ แบบฟอร์มกระดาษ ☐ บุคคลภายนอก ☐ ระบบภายในองค์กร)
2. ประเภทของข้อมูลส่วนบุคคลที่เก็บรวบรวมคืออะไร?
3. มีข้อมูลส่วนบุคคลที่มีความอ่อนไหวหรือไม่? (เช่น ข้อมูลสุขภาพ ศาสนา) (☐ มี โปรดระบุ ☐ ไม่มี)

**ตอนที่ 2: การใช้และเปิดเผยข้อมูล**

4. ข้อมูลถูกนำไปใช้ในกิจกรรมใดบ้างในหน่วยงาน?
5. หน่วยงานของท่านมีการส่งต่อหรือแบ่งปันข้อมูลกับหน่วยงานภายในอื่นหรือไม่? (☐ มี โปรดระบุหน่วยงาน ☐ ไม่มี)
6. หน่วยงานมีการส่งข้อมูลไปยังภายนอกองค์กรหรือไม่? (☐ มี โปรดระบุผู้รับ ☐ ไม่มี)

**ตอนที่ 3: การจัดเก็บและความปลอดภัยของข้อมูล**

7. หน่วยงานเก็บข้อมูลส่วนบุคคลไว้ที่ใด? (☐ ฐานข้อมูลกลางองค์กร ☐ เซิร์ฟเวอร์แยกภายใน ☐ บน Cloud ☐ แฟ้มเอกสาร)
8. มีมาตรการควบคุมสิทธิ์การเข้าถึงข้อมูลหรือไม่? (☐ มี ☐ ไม่มี โปรดอธิบาย)
9. หน่วยงานมีการกำหนดระยะเวลาเก็บรักษาข้อมูลหรือไม่? (☐ มี โปรดระบุระยะเวลา ☐ ไม่มี)

**ตอนที่ 4: ความสอดคล้องกับหน่วยงานอื่น**

10. หน่วยงานของท่านเห็นว่าข้อมูลที่จัดทำแผนผังสอดคล้องกับกระบวนการของหน่วยงานอื่นหรือไม่? (☐ สอดคล้อง ☐ ไม่แน่ใจ ☐ ควรปรับปรุง)
11. มีข้อเสนอแนะเพิ่มเติมเกี่ยวกับการจัดทำแผนผังข้อมูลหรือไม่?

ลงชื่อ ______________________________ (ผู้ให้ข้อมูล) วันที่: ______ / ______ / ______

### แนบเพิ่มเติม

- แบบฟอร์มนี้ควรเก็บไว้เป็นหลักฐานประกอบการทบทวนแผนผังข้อมูล และแนบไว้กับเอกสารเวียนภายในองค์กร
- สามารถจัดประชุมหารือร่วมระหว่างหน่วยงานโดยอ้างอิงข้อมูลจากแบบสอบถามนี้ได้

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/7-1-3.md

============================================================
โนด: แนวปฏิบัติ 7.2.2
ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/7-2-2.md

# 7.2.2 มีการทบทวนบันทึกรายการอย่างสม่ำเสมอว่าเป็นไปตามหลักการเก็บรวบรวมเท่าที่จำเป็นภายใต้วัตถุประสงค์อันชอบด้วยกฎหมายขององค์กร

## สิ่งที่ต้องทำ

องค์กรต้องทบทวนบันทึกรายการกิจกรรมการประมวลผลข้อมูลส่วนบุคคล (ROPA) อย่างสม่ำเสมอ เพื่อให้มั่นใจว่าข้อมูลส่วนบุคคลที่เก็บรวบรวมมีเท่าที่จำเป็นตามวัตถุประสงค์อันชอบด้วยกฎหมายขององค์กร ตามหลักการเก็บรวบรวมข้อมูลเท่าที่จำเป็น

## หลักฐาน

1. หลักฐานการจัดทำและทบทวนบันทึกรายการตามหลักการเก็บรวบรวมข้อมูลเท่าที่จำเป็น เช่น แนวปฏิบัติขององค์กร

## สภาพบังคับ

[มาตรา 22](https://link.pdpalawbase.com/section/22.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 — กำหนดให้การเก็บรวบรวมข้อมูลส่วนบุคคลต้องจำกัดเท่าที่จำเป็นตามวัตถุประสงค์ที่ได้แจ้งไว้

ประกอบกับ [มาตรา 39](https://link.pdpalawbase.com/section/39.md) วรรคหนึ่ง ที่กำหนดให้ผู้ควบคุมข้อมูลส่วนบุคคลจัดให้มีและเก็บรักษาบันทึกรายการ กรณีไม่ปฏิบัติตามมีโทษปรับทางปกครองไม่เกิน 3 ล้านบาท

## ตัวอย่างเอกสาร

### แนวปฏิบัติในการทบทวนบันทึกรายการข้อมูลส่วนบุคคล (ROPA) ตามหลักการเก็บข้อมูลเท่าที่จำเป็น

**ความมุ่งหมายของเอกสาร** — เพื่อแสดงหลักฐานว่าองค์กรมีการทบทวนบันทึกรายการกิจกรรมการประมวลผลข้อมูลส่วนบุคคล (ROPA) อย่างสม่ำเสมอ และเพื่อให้แน่ใจว่าข้อมูลส่วนบุคคลที่เก็บรวบรวมมีเท่าที่จำเป็นตามวัตถุประสงค์อันชอบด้วยกฎหมายขององค์กร ภายใต้ [มาตรา 22](https://link.pdpalawbase.com/section/22.md)

**ขอบเขตของเอกสาร** — ใช้กับกิจกรรมการประมวลผลข้อมูลส่วนบุคคลในทุกหน่วยงานขององค์กร และทุกระบบที่เกี่ยวข้องกับการเก็บ ใช้ เปิดเผย หรือโอนข้อมูลส่วนบุคคล

**หลักการที่ใช้ในการทบทวน**

| เกณฑ์ | รายละเอียด |
|--------|-------------|
| วัตถุประสงค์ของการประมวลผล | ตรวจสอบว่ายังคงสอดคล้องกับวัตถุประสงค์ที่กำหนดไว้หรือไม่ |
| ประเภทของข้อมูล | ตรวจสอบว่ามีข้อมูลใดที่เกินความจำเป็นและสามารถยกเลิกการจัดเก็บได้หรือไม่ |
| ระยะเวลาเก็บรักษา | มีข้อมูลใดที่พ้นระยะเวลาการเก็บรักษาแล้วหรือไม่ |
| สิทธิของเจ้าของข้อมูล | ตรวจสอบว่าการเก็บข้อมูลเป็นไปตามสิทธิของเจ้าของข้อมูลหรือไม่ |

**ความถี่ในการทบทวน** — ทบทวนอย่างน้อยปีละ 1 ครั้ง โดย DPO หรือคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลขององค์กร ในกรณีมีการเปลี่ยนแปลงวัตถุประสงค์การประมวลผลหรือระบบที่ใช้ จะมีการทบทวนเพิ่มเติมทันที

**ขั้นตอนในการทบทวน**

1. รวบรวมรายการกิจกรรมการประมวลผลข้อมูล (ROPA) ปัจจุบัน
2. วิเคราะห์ข้อมูลที่เก็บว่าตรงกับวัตถุประสงค์ที่ชอบด้วยกฎหมายหรือไม่
3. ทำเครื่องหมายรายการข้อมูลที่อาจเก็บเกินความจำเป็น
4. จัดประชุม DPO เพื่อพิจารณาข้อมูลที่ไม่จำเป็น
5. ปรับปรุงเอกสาร ROPA และแจ้งหน่วยงานที่เกี่ยวข้อง

**ตัวอย่างผลการทบทวน (แนบได้เป็นหลักฐาน)**

| วันที่ทบทวน | หน่วยงาน | ข้อมูลที่พบว่าเก็บเกินจำเป็น | แนวทางแก้ไข |
|-------------|----------|------------------------------|--------------|
| 1 มิ.ย. 2567 | แผนกทรัพยากรบุคคล | บันทึกใบสมัครงานของผู้สมัครที่ไม่ผ่านการคัดเลือกเกิน 2 ปี | กำหนดลบอัตโนมัติภายใน 1 ปี |
| 1 มิ.ย. 2567 | แผนกการตลาด | รายชื่อลูกค้าเก่าที่ไม่ตอบสนองต่อการตลาดเกิน 3 ปี | นำข้อมูลออกจากระบบบริหารลูกค้าสัมพันธ์ |

**อ้างอิงทางกฎหมาย** — [มาตรา 22](https://link.pdpalawbase.com/section/22.md) (การเก็บรวบรวมต้องจำกัดเท่าที่จำเป็นตามวัตถุประสงค์ที่ได้แจ้งไว้) และ [มาตรา 39](https://link.pdpalawbase.com/section/39.md) วรรคหนึ่ง (ผู้ควบคุมข้อมูลต้องจัดให้มีและเก็บรักษาบันทึกรายการ); โทษทางปกครองหากไม่ปฏิบัติตามปรับไม่เกิน 3 ล้านบาท

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/7-2-2.md

============================================================
โนด: แนวปฏิบัติ 7.2.3
ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/7-2-3.md

# 7.2.3 มีการทบทวนบันทึกรายการอย่างสม่ำเสมอให้สอดคล้องกับนโยบายและแนวปฏิบัติขององค์กร และมอบหมายผู้รับผิดชอบในการทบทวนอย่างชัดเจน

## สิ่งที่ต้องทำ

องค์กรต้องทบทวนบันทึกรายการกิจกรรมการประมวลผลข้อมูลส่วนบุคคลอย่างสม่ำเสมอ เพื่อให้มั่นใจว่าบันทึกรายการมีความถูกต้องและเป็นปัจจุบัน สอดคล้องกับนโยบายและแนวปฏิบัติขององค์กร รวมถึงมอบหมายอย่างชัดเจนว่าบุคคลใดเป็นผู้รับผิดชอบทำหน้าที่ทบทวนบันทึกรายการดังกล่าว

## หลักฐาน

1. แผนการทบทวนบันทึกรายการขององค์กร
2. หลักฐานการแต่งตั้งผู้รับผิดชอบในการจัดทำและทบทวนบันทึกรายการขององค์กรและในแต่ละแผนก

## สภาพบังคับ

ไม่มีกฎหมายบังคับ (แนวปฏิบัติที่ดี)

## ตัวอย่างเอกสาร

### แผนการทบทวนและมอบหมายหน้าที่ในการดูแลบันทึกรายการกิจกรรมการประมวลผลข้อมูลส่วนบุคคล (ROPA)

**ความมุ่งหมายของเอกสาร** — เพื่อกำหนดแนวทางในการทบทวนรายการกิจกรรมการประมวลผลข้อมูลส่วนบุคคลให้สอดคล้องกับนโยบายคุ้มครองข้อมูลส่วนบุคคลขององค์กร และเพื่อมอบหมายผู้รับผิดชอบในแต่ละหน่วยงานอย่างชัดเจน เพื่อให้ข้อมูลมีความถูกต้องครบถ้วนและเป็นปัจจุบัน

**ขอบเขตการใช้** — ใช้บังคับกับทุกหน่วยงานภายในองค์กรที่มีการเก็บ ใช้ เปิดเผย หรือโอนข้อมูลส่วนบุคคล ทั้งในรูปแบบอิเล็กทรอนิกส์และเอกสาร

**แนวทางการทบทวน** — การทบทวนบันทึกรายการ (ROPA) จะครอบคลุมเนื้อหาดังนี้

| รายการ | จุดที่ต้องทบทวน |
|--------|------------------|
| วัตถุประสงค์ในการประมวลผล | ยังสอดคล้องกับการดำเนินงานหรือไม่ |
| ประเภทข้อมูลส่วนบุคคล | ยังจำเป็นหรือมีการเปลี่ยนแปลงหรือไม่ |
| ระยะเวลาเก็บรักษา | สอดคล้องกับนโยบายการเก็บรักษาหรือไม่ |
| ผู้ควบคุมและผู้ประมวลผลข้อมูล | มีการเปลี่ยนแปลงหรือเพิ่มเติมหรือไม่ |
| กลุ่มเป้าหมายของข้อมูล | มีการเปลี่ยนแปลงหรือขยายกลุ่มหรือไม่ |

**ตารางแผนการทบทวน**

| หน่วยงาน | ความถี่ในการทบทวน | ผู้รับผิดชอบ | เครื่องมือ/ระบบที่ใช้ |
|----------|---------------------|--------------|------------------------|
| ฝ่ายบุคคล | ทุก 6 เดือน | น.ส. สินีนาฏ การบุญ | ระบบบริหารทรัพยากรบุคคล + แบบฟอร์ม ROPA |
| ฝ่ายขายและการตลาด | ทุก 6 เดือน | นายพงศกร สุนทรโชติ | ระบบบริหารงานขาย |
| ฝ่ายเทคโนโลยีสารสนเทศ | ทุก 6 เดือน | นายณัฐวุฒิ อินทร์ประเสริฐ | ระบบบริหารทรัพย์สินและฐานข้อมูล |
| DPO (ศูนย์รวม) | ทุก 6 เดือน | น.ส. มาลี รัตนคุณ (DPO) | เอกสารสรุป ROPA ส่วนกลาง |

**การแต่งตั้งผู้รับผิดชอบ** — องค์กรออกคำสั่งแต่งตั้งอย่างเป็นทางการ ระบุชัดเจนว่าแต่งตั้งผู้รับผิดชอบประจำหน่วยงานในการจัดทำและทบทวนบันทึกรายการข้อมูลส่วนบุคคลให้สอดคล้องกับนโยบายองค์กร พร้อมรายงานต่อเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล (DPO) ทุก 6 เดือน

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/7-2-3.md

============================================================
โนด: แนวปฏิบัติ 7.3.1
ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/7-3-1.md

# 7.3.1 บันทึกรายการมีรายการอย่างน้อยตามที่กำหนดไว้ในมาตรา 39

## สิ่งที่ต้องทำ

องค์กรต้องจัดทำบันทึกรายการกิจกรรมการประมวลผลข้อมูลส่วนบุคคล (ROPA) โดยมีรายการที่บันทึกครบถ้วนตามรายการขั้นต่ำที่กฎหมายกำหนด ได้แก่

1. ข้อมูลส่วนบุคคลที่มีการเก็บรวบรวม
2. วัตถุประสงค์ของการเก็บรวบรวมข้อมูลส่วนบุคคลแต่ละประเภท
3. ข้อมูลเกี่ยวกับผู้ควบคุมข้อมูลส่วนบุคคล
4. ระยะเวลาการเก็บรักษาข้อมูลส่วนบุคคล
5. สิทธิและวิธีการเข้าถึงข้อมูลส่วนบุคคล รวมทั้งเงื่อนไขเกี่ยวกับบุคคลที่มีสิทธิเข้าถึงข้อมูลส่วนบุคคลและเงื่อนไขในการเข้าถึงข้อมูลส่วนบุคคลนั้น
6. การใช้หรือเปิดเผยตามมาตรา 27 วรรคสาม
7. การปฏิเสธคำขอหรือการคัดค้านการใช้สิทธิของเจ้าของข้อมูลส่วนบุคคลตามที่กฎหมายกำหนด (หากมี)
8. คำอธิบายเกี่ยวกับมาตรการรักษาความมั่นคงปลอดภัยตามมาตรา 37 (1)

## หลักฐาน

1. บันทึกรายการกิจกรรมการประมวลผลข้อมูลส่วนบุคคลขององค์กร

## สภาพบังคับ

[มาตรา 39](https://link.pdpalawbase.com/section/39.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 — กำหนดให้ผู้ควบคุมข้อมูลส่วนบุคคลจัดให้มีบันทึกรายการตามรายการขั้นต่ำที่กฎหมายกำหนด

กรณีไม่ปฏิบัติตามมาตรา 39 วรรคหนึ่ง มีโทษปรับทางปกครองตาม [มาตรา 82](https://link.pdpalawbase.com/section/82.md) ไม่เกิน 1 ล้านบาท

## ตัวอย่างเอกสาร

### บันทึกรายการกิจกรรมการประมวลผลข้อมูลส่วนบุคคล (ROPA) ในรูปแบบอิเล็กทรอนิกส์

| ลำดับ | ข้อมูลส่วนบุคคล | วัตถุประสงค์ | ผู้ควบคุมข้อมูล | ระยะเวลาเก็บรักษา | สิทธิและวิธีเข้าถึง | การใช้/เปิดเผย (มาตรา 27 วรรคสาม) | การปฏิเสธคำขอ/คัดค้าน | มาตรการความมั่นคงปลอดภัย |
|-------|------------------|--------------|------------------|---------------------|----------------------|------------------------------------|------------------------|---------------------------|
| 1 | ชื่อ-นามสกุล, เบอร์โทรศัพท์, ที่อยู่ | ติดต่อและจัดส่งสินค้า | ฝ่ายลูกค้าสัมพันธ์ | 5 ปีหลังเลิกใช้บริการ | ขอแก้ไขหรือลบข้อมูลผ่านอีเมล | ไม่มีการเปิดเผยแก่บุคคลภายนอก | — | เข้ารหัสข้อมูล, จำกัดสิทธิเข้าถึง |
| 2 | ข้อมูลบัตรเครดิต | ชำระเงินและยืนยันตัวตน | ฝ่ายบัญชี | 2 ปีตามนโยบายการเงิน | ขอดูข้อมูลได้ที่ฝ่ายบัญชี | เปิดเผยต่อธนาคารตามข้อตกลง | — | เข้ารหัสข้อมูลและจัดเก็บในเซิร์ฟเวอร์ |
| 3 | ประวัติการเข้าใช้งาน | วิเคราะห์และปรับปรุงบริการ | ฝ่ายเทคโนโลยีสารสนเทศ | 1 ปีหลังบันทึก | ขอดูและลบข้อมูลตามคำขอ | ไม่มีการเปิดเผย | ปฏิเสธคำขอบางรายการ | จำกัดการเข้าถึงข้อมูลโดยพนักงานที่ได้รับอนุญาต |

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/7-3-1.md

============================================================
โนด: แนวปฏิบัติ 7.3.2
ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/7-3-2.md

# 7.3.2 กรณีมีผู้ประมวลผลข้อมูลส่วนบุคคล องค์กรต้องกำกับให้ผู้ประมวลผลจัดทำบันทึกรายการตามที่กฎหมายกำหนด

## สิ่งที่ต้องทำ

กรณีที่องค์กรมี[ผู้ประมวลผลข้อมูลส่วนบุคคล](https://link.pdpalawbase.com/concept/data-processor.md) องค์กรต้องกำกับให้ผู้ประมวลผลข้อมูลส่วนบุคคลนั้นจัดทำบันทึกรายการในส่วนที่ประมวลผลข้อมูลส่วนบุคคลตามคำสั่งให้แก่องค์กร โดยบันทึกรายการดังกล่าวต้องมีรายการที่บันทึกอย่างน้อยตามที่กฎหมายกำหนด พร้อมมีเอกสารหรือหลักฐานแสดงถึงการกำกับดังกล่าว

## หลักฐาน

1. บันทึกรายการของผู้ประมวลผลข้อมูลส่วนบุคคล
2. เอกสารหรือหลักฐานที่แสดงถึงการที่องค์กรกำกับให้ผู้ประมวลผลข้อมูลส่วนบุคคลจัดทำบันทึกรายการ

## สภาพบังคับ

[มาตรา 40](https://link.pdpalawbase.com/section/40.md) (3) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 — กำหนดหน้าที่ของผู้ประมวลผลข้อมูลส่วนบุคคลในการจัดทำและเก็บรักษาบันทึกรายการ ประกอบกับประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง หลักเกณฑ์และวิธีการในการจัดทำและเก็บรักษาบันทึกรายการของกิจกรรมการประมวลผลข้อมูลส่วนบุคคลสำหรับผู้ประมวลผลข้อมูลส่วนบุคคล พ.ศ. 2565

กรณีไม่ปฏิบัติตามมาตรา 40 มีโทษปรับทางปกครองตาม [มาตรา 86](https://link.pdpalawbase.com/section/86.md) ไม่เกิน 3 ล้านบาท

## ตัวอย่างเอกสาร

### บันทึกรายการกิจกรรมการประมวลผลข้อมูลส่วนบุคคลของผู้ประมวลผล (ROPA)

| ลำดับ | ข้อมูลส่วนบุคคลที่ประมวลผล | วัตถุประสงค์ | ผู้ควบคุมข้อมูลที่ให้คำสั่ง | ระยะเวลาเก็บรักษา | สิทธิและวิธีเข้าถึง | การใช้/เปิดเผยตามคำสั่ง | มาตรการความมั่นคงปลอดภัย |
|-------|-----------------------------|--------------|------------------------------|---------------------|----------------------|--------------------------|---------------------------|
| 1 | ชื่อ-นามสกุล, ข้อมูลการชำระเงิน | จัดการการชำระเงินตามคำสั่งของลูกค้า | บริษัท เอบีซี จำกัด (ผู้ควบคุมข้อมูล) | 3 ปีหลังสิ้นสุดการให้บริการ | เข้าถึงได้โดยผู้ควบคุมข้อมูลและเจ้าหน้าที่ที่ได้รับอนุญาต | ไม่มีการเปิดเผยแก่บุคคลภายนอก | เข้ารหัสข้อมูลและตรวจสอบสิทธิเข้าใช้งาน |
| 2 | ที่อยู่จัดส่ง, เบอร์โทรศัพท์ | จัดส่งสินค้าและบริการตามคำสั่ง | บริษัท เอบีซี จำกัด | 5 ปีตามระยะเวลาเก็บรักษาของเจ้าของ | ติดต่อผู้ควบคุมข้อมูลเพื่อแก้ไขข้อมูล | ไม่มีการเปิดเผยข้อมูล | จำกัดสิทธิเข้าถึงข้อมูลตามบทบาท |

### หนังสือแจ้งกำกับการจัดทำบันทึกรายการ (ตัวอย่าง)

- **เรื่อง:** การกำกับให้ผู้ประมวลผลข้อมูลส่วนบุคคลจัดทำบันทึกรายการตามกฎหมาย PDPA
- **เรียน:** ผู้ประมวลผลข้อมูลส่วนบุคคล

ตามที่องค์กรเป็นผู้ควบคุมข้อมูลส่วนบุคคลและได้ว่าจ้างท่านเป็นผู้ประมวลผลข้อมูลส่วนบุคคล องค์กรขอแจ้งให้ท่านจัดทำบันทึกรายการของกิจกรรมการประมวลผลข้อมูลส่วนบุคคลที่ท่านดำเนินการตามคำสั่งขององค์กร โดยบันทึกรายการดังกล่าวต้องมีรายการที่บันทึกอย่างน้อยตามที่กฎหมายคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 มาตรา 39 กำหนด และขอให้ส่งมอบบันทึกรายการแก่องค์กรอย่างสม่ำเสมอ เพื่อเป็นหลักฐานในการปฏิบัติตามกฎหมายและเพื่อการตรวจสอบ

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/7-3-2.md

============================================================
โนด: แนวปฏิบัติ 7.4.1
ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/7-4-1.md

# 7.4.1 บันทึกรายการมีการเชื่อมโยงไปยังเอกสารหรือข้อมูลต่าง ๆ ที่เกี่ยวข้องกับกิจกรรมนั้น

## สิ่งที่ต้องทำ

บันทึกรายการของกิจกรรมการประมวลผลข้อมูลส่วนบุคคล (ROPA) ควรมีการเชื่อมโยงไปยังเอกสารหรือข้อมูลต่าง ๆ ที่เกี่ยวข้องกับกิจกรรมนั้นอย่างครบถ้วน เช่น

1. บันทึก[ความยินยอม](https://link.pdpalawbase.com/concept/consent.md)
2. ข้อตกลงการประมวลผลข้อมูลส่วนบุคคล
3. ข้อตกลงการแบ่งปันข้อมูลส่วนบุคคล
4. สถานที่เก็บทางอิเล็กทรอนิกส์และ/หรือทางกายภาพของข้อมูลส่วนบุคคล
5. รายงานการประเมินผลกระทบด้านการคุ้มครองข้อมูลส่วนบุคคล (DPIA)
6. การบันทึกเหตุการณ์ละเมิดข้อมูลส่วนบุคคล
7. นโยบายหรือแนวปฏิบัติเกี่ยวกับระยะเวลาการจัดเก็บข้อมูลและการลบหรือทำลายข้อมูล

## หลักฐาน

1. บันทึกรายการที่แสดงการเชื่อมโยงไปยังกิจกรรมหรือเอกสารอื่นที่เกี่ยวข้อง

## สภาพบังคับ

ไม่มีกฎหมายบังคับ (แนวปฏิบัติที่ดี)

## ตัวอย่างเอกสาร

### บันทึกรายการกิจกรรมการประมวลผลข้อมูลส่วนบุคคล พร้อมการเชื่อมโยงเอกสารที่เกี่ยวข้อง

| ลำดับ | กิจกรรมการประมวลผลข้อมูลส่วนบุคคล | เอกสารที่เชื่อมโยง | สถานที่เก็บเอกสาร | หมายเหตุ |
|-------|------------------------------------|---------------------|--------------------|-----------|
| 1 | การเก็บรวบรวมข้อมูลลูกค้าเพื่อติดต่อและจัดส่งสินค้า | บันทึกความยินยอมลูกค้า | ระบบจัดเก็บเอกสารอิเล็กทรอนิกส์ / ตู้เอกสารฝ่ายลูกค้าสัมพันธ์ | บันทึกความยินยอมเก็บไว้อย่างชัดเจน |
| 2 | การประมวลผลข้อมูลบัตรเครดิตเพื่อชำระเงิน | ข้อตกลงการประมวลผลข้อมูลส่วนบุคคล, รายงาน DPIA | ระบบจัดเก็บเอกสารภายใน / ตู้เอกสารฝ่ายบัญชี | รายงาน DPIA ผ่านการอนุมัติแล้ว |
| 3 | การแบ่งปันข้อมูลกับพันธมิตรธุรกิจ | ข้อตกลงการแบ่งปันข้อมูล | ระบบบริหารจัดการสัญญา | สัญญามีการต่ออายุและตรวจสอบทุกปี |
| 4 | การจัดเก็บข้อมูลลูกค้า | นโยบายการเก็บรักษาข้อมูลและการลบข้อมูล | ระบบจัดเก็บเอกสารกลาง / ตู้เอกสารฝ่ายเทคโนโลยีสารสนเทศ | นโยบายสอดคล้องกับ PDPA และ GDPR |
| 5 | การตรวจสอบเหตุการณ์ละเมิดข้อมูล | บันทึกเหตุการณ์ละเมิดข้อมูล | ระบบแจ้งเตือนความปลอดภัย | รายงานถูกส่งให้คณะกรรมการคุ้มครองข้อมูลส่วนบุคคลแล้ว |

**คำอธิบายเพิ่มเติม**

- **บันทึกความยินยอมลูกค้า** — เอกสารยินยอมที่ลูกค้าลงนามรับทราบการเก็บและใช้ข้อมูลส่วนบุคคล
- **ข้อตกลงการประมวลผลข้อมูลส่วนบุคคล** — สัญญาที่ระบุหน้าที่และความรับผิดชอบของผู้ประมวลผลข้อมูล
- **ข้อตกลงการแบ่งปันข้อมูล** — เอกสารที่ระบุเงื่อนไขการแบ่งปันข้อมูลกับบุคคลภายนอก
- **รายงาน DPIA** — รายงานประเมินผลกระทบด้านการคุ้มครองข้อมูล เพื่อประเมินความเสี่ยงและมาตรการรักษาความปลอดภัย
- **บันทึกเหตุการณ์ละเมิดข้อมูล** — รายงานเหตุการณ์ที่มีการละเมิดข้อมูลส่วนบุคคลที่เกิดขึ้น พร้อมมาตรการแก้ไข
- **นโยบายการเก็บรักษาข้อมูลและการลบข้อมูล** — เอกสารกำหนดระยะเวลาการเก็บรักษาข้อมูลและวิธีการลบหรือทำลายข้อมูลอย่างปลอดภัย

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/7-4-1.md

============================================================
โนด: แนวปฏิบัติ 7.5.1
ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/7-5-1.md

# 7.5.1 องค์กรกำหนดฐานทางกฎหมายที่เหมาะสมและสอดคล้องกับวัตถุประสงค์

## สิ่งที่ต้องทำ

องค์กรต้องกำหนด[ฐานในการประมวลผล](https://link.pdpalawbase.com/concept/lawful-basis.md)ในการประมวลผลข้อมูลส่วนบุคคลให้เหมาะสมและสอดคล้องกับวัตถุประสงค์ของแต่ละกิจกรรม โดยมีนโยบายหรือแนวปฏิบัติที่กำหนดหลักเกณฑ์ วิธีการ และความรับผิดชอบในการเลือกฐานทางกฎหมายให้ครบถ้วน ก่อนเริ่มประมวลผลข้อมูล

การพิจารณาฐานทางกฎหมายควรครอบคลุมฐานต่าง ๆ ตามที่กฎหมายกำหนด เช่น ฐานความยินยอม ฐานสัญญา ฐานหน้าที่ตามกฎหมาย ฐานประโยชน์โดยชอบด้วยกฎหมาย ฐานป้องกันชีวิต และฐานเพื่อประโยชน์สาธารณะ รวมถึงฐานเฉพาะสำหรับ[ข้อมูลอ่อนไหว](https://link.pdpalawbase.com/concept/sensitive-data.md)ตามมาตรา 26 และต้องบันทึกฐานทางกฎหมายที่ใช้ไว้ในบันทึกรายการกิจกรรมการประมวลผลข้อมูลส่วนบุคคลทุกครั้ง

## หลักฐาน

1. นโยบายหรือแนวปฏิบัติขององค์กรที่เกี่ยวกับการพิจารณาฐานทางกฎหมาย

## สภาพบังคับ

[มาตรา 24](https://link.pdpalawbase.com/section/24.md) และ [มาตรา 26](https://link.pdpalawbase.com/section/26.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 — กำหนดฐานทางกฎหมายในการประมวลผลข้อมูลส่วนบุคคล

กรณีไม่ปฏิบัติตาม [มาตรา 24](https://link.pdpalawbase.com/section/24.md) มีโทษปรับทางปกครองตาม [มาตรา 83](https://link.pdpalawbase.com/section/83.md) ไม่เกิน 3 ล้านบาท และกรณีไม่ปฏิบัติตาม [มาตรา 26](https://link.pdpalawbase.com/section/26.md) มีโทษปรับทางปกครองตาม [มาตรา 84](https://link.pdpalawbase.com/section/84.md) ไม่เกิน 5 ล้านบาท

## ตัวอย่างเอกสาร

### นโยบายและแนวปฏิบัติการกำหนดฐานทางกฎหมายในการประมวลผลข้อมูลส่วนบุคคล

**บทนำ**

องค์กรตระหนักถึงความสำคัญของการคุ้มครองข้อมูลส่วนบุคคลตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ซึ่งกำหนดให้การประมวลผลข้อมูลส่วนบุคคลต้องดำเนินการตามฐานทางกฎหมายที่เหมาะสมและถูกต้องตามมาตรา 24 และมาตรา 26 เพื่อคุ้มครองสิทธิและเสรีภาพของเจ้าของข้อมูลส่วนบุคคล รวมถึงลดความเสี่ยงด้านกฎหมายที่อาจเกิดขึ้นจากการละเมิดข้อมูลส่วนบุคคล

**วัตถุประสงค์**

- เพื่อกำหนดหลักเกณฑ์และแนวทางในการเลือกฐานทางกฎหมายที่เหมาะสมสำหรับกิจกรรมการประมวลผลข้อมูลส่วนบุคคลในองค์กร
- เพื่อส่งเสริมให้การประมวลผลข้อมูลส่วนบุคคลเป็นไปอย่างถูกต้อง โปร่งใส และสอดคล้องกับ PDPA
- เพื่อคุ้มครองสิทธิของเจ้าของข้อมูลส่วนบุคคลและรักษาความน่าเชื่อถือขององค์กร
- เพื่อสร้างมาตรฐานในการจัดทำเอกสารหลักฐานและบันทึกรายการกิจกรรมการประมวลผลข้อมูลส่วนบุคคล (ROPA) ที่ชัดเจน

**ขอบเขต**

นโยบายนี้ครอบคลุมการประมวลผลข้อมูลส่วนบุคคลทุกประเภท ไม่ว่าจะเป็นข้อมูลทั่วไปหรือข้อมูลส่วนบุคคลอ่อนไหว โดยใช้หลักการกำหนดฐานทางกฎหมายตามมาตรา 24 และ 26 มีผลบังคับใช้กับผู้ควบคุมข้อมูลทุกหน่วยงาน ผู้ประมวลผลข้อมูลที่ได้รับมอบหมาย และพนักงานหรือบุคลากรที่เกี่ยวข้องกับการประมวลผลข้อมูลส่วนบุคคลทุกระดับ

### หลักเกณฑ์การกำหนดฐานทางกฎหมาย

1. **ฐานความยินยอม** — การประมวลผลข้อมูลต้องได้รับความยินยอมอย่างชัดแจ้งจากเจ้าของข้อมูล ความยินยอมต้องเป็นไปโดยสมัครใจ มีข้อมูลครบถ้วน และเข้าใจได้ง่าย เจ้าของข้อมูลมีสิทธิถอนความยินยอมได้ทุกเมื่อ เหมาะสำหรับกิจกรรมที่ไม่มีฐานทางกฎหมายอื่นรองรับ หรือใช้ในกรณีที่เป็นข้อมูลส่วนบุคคลอ่อนไหว
2. **ฐานสัญญา** — การประมวลผลข้อมูลเป็นไปเพื่อปฏิบัติตามสัญญาที่เจ้าของข้อมูลเป็นคู่สัญญา ข้อมูลที่ประมวลผลต้องเกี่ยวข้องและจำเป็นต่อการทำสัญญานั้น เช่น การจัดส่งสินค้า การชำระเงิน
3. **ฐานหน้าที่ตามกฎหมาย** — การประมวลผลข้อมูลจำเป็นเพื่อให้ผู้ควบคุมข้อมูลปฏิบัติตามหน้าที่ตามกฎหมายหรือข้อบังคับของรัฐ เช่น การรายงานข้อมูลต่อหน่วยงานรัฐ การเก็บข้อมูลตามกฎหมายภาษีหรือแรงงาน ต้องระบุชัดเจนว่าเป็นการปฏิบัติตามกฎหมายฉบับใด
4. **ฐานประโยชน์โดยชอบด้วยกฎหมาย** — การประมวลผลเพื่อผลประโยชน์ที่ชอบด้วยกฎหมายขององค์กรหรือบุคคลที่สาม โดยไม่ละเมิดสิทธิของเจ้าของข้อมูล ต้องมีการประเมินผลกระทบและทำสมดุลระหว่างผลประโยชน์ขององค์กรกับสิทธิของเจ้าของข้อมูล
5. **ฐานป้องกันชีวิต** — การประมวลผลจำเป็นเพื่อปกป้องชีวิตหรือความปลอดภัยของเจ้าของข้อมูลหรือบุคคลอื่น มักใช้ในกรณีฉุกเฉิน เช่น การรักษาพยาบาล
6. **ฐานเพื่อประโยชน์สาธารณะ** — การประมวลผลที่จำเป็นเพื่อการปฏิบัติหน้าที่ของหน่วยงานรัฐหรือเพื่อประโยชน์สาธารณะ ต้องเป็นไปตามข้อกำหนดของกฎหมายหรือระเบียบที่เกี่ยวข้อง
7. **ฐานสำหรับข้อมูลส่วนบุคคลอ่อนไหว** — การประมวลผลข้อมูลประเภทอ่อนไหว เช่น ข้อมูลสุขภาพ เชื้อชาติ ศาสนา ต้องมีฐานทางกฎหมายเฉพาะตามมาตรา 26 มีมาตรการคุ้มครองและความปลอดภัยสูงกว่า และต้องระบุฐานและเหตุผลที่ชัดเจน พร้อมบันทึกในเอกสารประกอบ

### แนวทางปฏิบัติในการกำหนดฐานทางกฎหมาย

- **การวิเคราะห์กิจกรรมการประมวลผลข้อมูล** — ก่อนดำเนินการต้องวิเคราะห์วัตถุประสงค์และลักษณะข้อมูลเพื่อเลือกฐานทางกฎหมายที่เหมาะสม
- **การจัดทำเอกสารและบันทึกฐานทางกฎหมาย** — ทุกกิจกรรมการประมวลผลต้องบันทึกฐานทางกฎหมายที่ใช้ในบันทึกรายการกิจกรรมการประมวลผลข้อมูล (ROPA) รวมถึงเอกสารประกอบ
- **การสื่อสารกับเจ้าของข้อมูล** — แจ้งให้เจ้าของข้อมูลทราบฐานทางกฎหมายและวัตถุประสงค์ของการประมวลผลผ่านนโยบายความเป็นส่วนตัวหรือประกาศแจ้งข้อมูลส่วนบุคคล
- **การทบทวนฐานทางกฎหมายอย่างสม่ำเสมอ** — ทบทวนและปรับปรุงฐานทางกฎหมายอย่างน้อยปีละ 1 ครั้ง หรือเมื่อมีกฎหมายหรือเงื่อนไขใหม่เข้ามา
- **การอบรมและสร้างความตระหนักรู้** — ฝึกอบรมพนักงานและผู้เกี่ยวข้องให้เข้าใจและปฏิบัติตามนโยบายและแนวทางนี้อย่างเคร่งครัด

### ตัวอย่างกรณีศึกษาและการประยุกต์ใช้ฐานทางกฎหมาย

- **กรณีที่ 1: การเก็บข้อมูลลูกค้าสำหรับการจัดส่งสินค้า** — ฐานทางกฎหมาย: สัญญา; เหตุผล: ข้อมูลชื่อ ที่อยู่ และเบอร์โทรศัพท์ใช้เพื่อจัดส่งสินค้าให้ลูกค้า; การปฏิบัติ: ระบุฐานนี้ในนโยบายความเป็นส่วนตัวและบันทึกใน ROPA
- **กรณีที่ 2: การทำแบบสำรวจความคิดเห็นเพื่อปรับปรุงบริการ** — ฐานทางกฎหมาย: ความยินยอม; เหตุผล: การทำแบบสำรวจต้องได้รับความยินยอมชัดแจ้งจากเจ้าของข้อมูล; การปฏิบัติ: จัดทำแบบฟอร์มขอความยินยอมและบันทึกเอกสารไว้
- **กรณีที่ 3: การรายงานข้อมูลลูกจ้างต่อหน่วยงานภาครัฐ** — ฐานทางกฎหมาย: หน้าที่ตามกฎหมาย; เหตุผล: กฎหมายกำหนดให้รายงานข้อมูลเพื่อจ่ายภาษีและประกันสังคม; การปฏิบัติ: ระบุฐานในเอกสารและแจ้งให้พนักงานทราบ

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/7-5-1.md

============================================================
โนด: แนวปฏิบัติ 7.5.2
ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/7-5-2.md

# 7.5.2 องค์กรกำหนดและบันทึกฐานทางกฎหมายตามมาตรา 26 สำหรับการประมวลผลข้อมูลอ่อนไหว

## สิ่งที่ต้องทำ

หากองค์กรมีการประมวลผล[ข้อมูลอ่อนไหว](https://link.pdpalawbase.com/concept/sensitive-data.md)ตามที่ระบุไว้ในมาตรา 26 องค์กรต้องกำหนด[ฐานในการประมวลผล](https://link.pdpalawbase.com/concept/lawful-basis.md)ในการประมวลผลข้อมูลส่วนบุคคลอ่อนไหวให้สอดคล้องและเหมาะสมตามที่กฎหมายกำหนด

นอกจากนี้ องค์กรต้องบันทึกเหตุผลการเลือกฐานทางกฎหมายดังกล่าวไว้ในบันทึกรายการกิจกรรมการประมวลผลข้อมูลส่วนบุคคล (ROPA) เพื่อเป็นหลักฐานแสดงความโปร่งใสและการปฏิบัติตามกฎหมายอย่างครบถ้วนและสมบูรณ์

## หลักฐาน

1. บันทึกรายการเหตุผลการเลือกฐานทางกฎหมายตามมาตรา 26

## สภาพบังคับ

[มาตรา 26](https://link.pdpalawbase.com/section/26.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 — กำหนดเงื่อนไขการประมวลผลข้อมูลส่วนบุคคลอ่อนไหว

กรณีไม่ปฏิบัติตาม [มาตรา 26](https://link.pdpalawbase.com/section/26.md) องค์กรอาจถูกลงโทษปรับทางปกครองตาม [มาตรา 84](https://link.pdpalawbase.com/section/84.md) โดยมีโทษปรับสูงสุดไม่เกิน 5 ล้านบาท

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/7-5-2.md

============================================================
โนด: แนวปฏิบัติ 7.5.3
ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/7-5-3.md

# 7.5.3 กรณีประมวลผลข้อมูลเกี่ยวกับประวัติอาชญากรรม องค์กรได้พิจารณาความจำเป็นและกำหนดมาตรการตามกฎหมายที่เกี่ยวข้องแล้ว

## สิ่งที่ต้องทำ

ในกรณีที่เป็นการประมวลผลข้อมูลเกี่ยวกับประวัติอาชญากรรม องค์กรต้องพิจารณาความจำเป็นและกำหนดมาตรการต่าง ๆ ตามกฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคลที่เกี่ยวข้องให้ครบถ้วน เนื่องจากข้อมูลเกี่ยวกับประวัติอาชญากรรมเป็นข้อมูลที่มีความละเอียดอ่อนและมีความเสี่ยงสูง

## หลักฐาน

1. นโยบายหรือแนวปฏิบัติขององค์กรที่เกี่ยวกับการเก็บรวบรวมข้อมูลส่วนบุคคลเกี่ยวกับประวัติอาชญากรรม

## สภาพบังคับ

[มาตรา 26](https://link.pdpalawbase.com/section/26.md) วรรคสาม แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ประกอบกับประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง หลักเกณฑ์เกี่ยวกับมาตรการคุ้มครองข้อมูลส่วนบุคคลสำหรับการเก็บรวบรวมข้อมูลส่วนบุคคลเกี่ยวกับประวัติอาชญากรรมที่มิได้กระทำภายใต้การควบคุมของหน่วยงานที่มีอำนาจหน้าที่ตามกฎหมาย พ.ศ. 2566

กรณีไม่ปฏิบัติตามมาตรา 26 มีโทษปรับทางปกครองตาม [มาตรา 84](https://link.pdpalawbase.com/section/84.md) ไม่เกิน 5 ล้านบาท

## ตัวอย่างเอกสาร

### แนวนโยบายและแนวปฏิบัติในการเก็บรวบรวมข้อมูลส่วนบุคคลเกี่ยวกับประวัติอาชญากรรม

**1. หลักการทั่วไป** — องค์กรตระหนักถึงความละเอียดอ่อนและความเสี่ยงของข้อมูลเกี่ยวกับประวัติอาชญากรรม จึงกำหนดแนวนโยบายและมาตรการที่สอดคล้องกับ [มาตรา 26](https://link.pdpalawbase.com/section/26.md) วรรคสาม และประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2566

**2. ขอบเขตของข้อมูล** — ประวัติการถูกดำเนินคดีอาญา, คำพิพากษาของศาล, รายงานจากสำนักงานตำรวจแห่งชาติหรือหน่วยงานที่มีอำนาจหน้าที่ตามกฎหมาย

**3. วัตถุประสงค์ในการประมวลผล** — เพื่อคัดเลือกบุคลากรในตำแหน่งที่มีความเสี่ยงสูง (เช่น งานเกี่ยวข้องกับเด็ก ผู้สูงอายุ หรือทรัพย์สิน), เพื่อประเมินความเสี่ยงในงานรักษาความปลอดภัย, เพื่อปฏิบัติตามกฎหมายหรือข้อบังคับเฉพาะด้าน

**4. ฐานทางกฎหมาย** — กระทำภายใต้[ความยินยอมโดยชัดแจ้ง](https://link.pdpalawbase.com/concept/explicit-consent.md)จากเจ้าของข้อมูล และ/หรือเป็นการจำเป็นตามกฎหมายที่เกี่ยวข้องกับหน้าที่ขององค์กรในด้านแรงงาน ความมั่นคง หรือการรักษาความปลอดภัย

**5. การประเมินความจำเป็นและสัดส่วน** — ก่อนเก็บข้อมูล องค์กรประเมินความจำเป็นของการใช้ข้อมูล ผลกระทบต่อเจ้าของข้อมูล และทางเลือกที่ไม่รุกล้ำสิทธิเกินจำเป็น

**6. มาตรการคุ้มครองข้อมูล** — จำกัดการเข้าถึงด้วยการเข้ารหัสและกำหนดสิทธิเฉพาะบุคคลตามตำแหน่งหน้าที่; จัดเก็บแยกจากข้อมูลทั่วไปและลบเมื่อสิ้นสุดความจำเป็น; บันทึกการเข้าถึงและการใช้ข้อมูลทุกครั้ง; ตรวจสอบและทบทวนนโยบายทุก 12 เดือน

**7. การแจ้งเจ้าของข้อมูล** — แจ้งรายละเอียดการเก็บข้อมูลอย่างโปร่งใส รวมถึงสิทธิในการคัดค้านการประมวลผลหรือขอลบข้อมูล

**8. การจัดทำบันทึกรายการกิจกรรมการประมวลผล (ROPA)** — ระบุวัตถุประสงค์ ฐานทางกฎหมาย หมวดหมู่ของข้อมูล ระยะเวลาเก็บรักษา มาตรการรักษาความมั่นคงปลอดภัย และการเปิดเผยหรือถ่ายโอนข้อมูล

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/7-5-3.md

============================================================
โนด: แนวปฏิบัติ 7.5.4
ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/7-5-4.md

# 7.5.4 ในการประมวลผลข้อมูลเกี่ยวกับประวัติอาชญากรรม หน่วยงานได้พิจารณาองค์ประกอบ 5 ประการตามที่กฎหมายกำหนด

## สิ่งที่ต้องทำ

ในการประมวลผลข้อมูลเกี่ยวกับประวัติอาชญากรรม หน่วยงานต้องพิจารณาให้ครบถ้วนทั้ง 5 องค์ประกอบ ได้แก่

1. ความจำเป็นตามกฎหมาย
2. มาตรการด้านความมั่นคงปลอดภัยที่เหมาะสม
3. ระยะเวลาการจัดเก็บ การลบหรือทำลาย รวมถึงวิธีการตามที่กฎหมายกำหนด
4. การบันทึกวันที่ดำเนินการ
5. บุคคลที่ได้รับมอบหมายให้ประมวลผลข้อมูลเกี่ยวกับประวัติอาชญากรรม

## หลักฐาน

1. นโยบายหรือแนวปฏิบัติขององค์กรที่เกี่ยวกับการเก็บรวบรวมข้อมูลส่วนบุคคลเกี่ยวกับประวัติอาชญากรรม

## สภาพบังคับ

[มาตรา 26](https://link.pdpalawbase.com/section/26.md) วรรคสาม แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ประกอบกับประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง หลักเกณฑ์เกี่ยวกับมาตรการคุ้มครองข้อมูลส่วนบุคคลสำหรับการเก็บรวบรวมข้อมูลส่วนบุคคลเกี่ยวกับประวัติอาชญากรรมที่มิได้กระทำภายใต้การควบคุมของหน่วยงานที่มีอำนาจหน้าที่ตามกฎหมาย พ.ศ. 2566

กรณีไม่ปฏิบัติตามมาตรา 26 มีโทษปรับทางปกครองตาม [มาตรา 84](https://link.pdpalawbase.com/section/84.md) ไม่เกิน 5 ล้านบาท

## ตัวอย่างเอกสาร

### แนวปฏิบัติในการพิจารณาและควบคุมการประมวลผลข้อมูลเกี่ยวกับประวัติอาชญากรรม

**1. ความจำเป็นตามกฎหมาย** — องค์กรประเมินและยืนยันว่าการประมวลผลมีความจำเป็นตามกฎหมายและภารกิจขององค์กร เช่น เป็นไปตามข้อกำหนดของกฎหมายเฉพาะ (กฎหมายแรงงาน กฎหมายด้านความปลอดภัย), จำเป็นเพื่อประโยชน์สาธารณะหรือความมั่นคงปลอดภัย, จำเป็นสำหรับการคัดเลือกบุคคลปฏิบัติหน้าที่ที่อ่อนไหว และจะกระทำเฉพาะเมื่อไม่มีวิธีการอื่นที่รุกล้ำน้อยกว่า

**2. มาตรการด้านความมั่นคงปลอดภัย** — ระบบจัดเก็บแยกเฉพาะ; การเข้ารหัสข้อมูลทั้งขณะจัดเก็บและส่งผ่านเครือข่าย; จำกัดสิทธิเข้าถึงเฉพาะบุคลากรที่ได้รับมอบหมายเป็นลายลักษณ์อักษร; บันทึกการเข้าถึง แก้ไข หรือใช้ข้อมูลทุกครั้ง; ประเมินความเสี่ยงอย่างน้อยปีละ 1 ครั้ง

**3. ระยะเวลาการจัดเก็บ การลบหรือทำลาย** — เก็บรักษาเฉพาะระยะเวลาที่จำเป็นต่อวัตถุประสงค์ (เช่น ไม่เกิน 1 ปีหลังเสร็จสิ้นกระบวนการคัดเลือก); ทำลายด้วยวิธีที่ปลอดภัยและบันทึกการทำลายทุกครั้ง โดยระบุผู้ดำเนินการ วันที่ และวิธีการ

**4. การบันทึกวันที่ดำเนินการ** — บันทึกวันที่ได้รับข้อมูล วันที่ใช้ข้อมูล วันที่ลบ/ทำลาย และวันที่ประเมินความจำเป็นไว้อย่างเป็นระบบ

**5. บุคคลที่ได้รับมอบหมาย** — แต่งตั้งเจ้าหน้าที่เฉพาะเป็นลายลักษณ์อักษร ผู้ได้รับมอบหมายต้องผ่านการอบรมด้านการคุ้มครองข้อมูลส่วนบุคคล และเข้าถึงข้อมูลผ่านระบบที่มีการบันทึกการใช้งานเท่านั้น

**เอกสารแนบประกอบ** — นโยบายการจัดเก็บและใช้ข้อมูลประวัติอาชญากรรม, แบบฟอร์มบันทึกกิจกรรมการประมวลผลข้อมูล, บันทึกการทำลายข้อมูล, บัญชีรายชื่อผู้มีสิทธิเข้าถึงข้อมูล (อัปเดตรายไตรมาส และผ่านความเห็นชอบจากผู้ควบคุมข้อมูล)

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/7-5-4.md

============================================================
โนด: แนวปฏิบัติ 7.5.5
ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/7-5-5.md

# 7.5.5 องค์กรกำหนดฐานทางกฎหมายในการประมวลผลข้อมูลส่วนบุคคลก่อนเริ่มกิจกรรมการประมวลผล

## สิ่งที่ต้องทำ

องค์กรต้องพิจารณาและกำหนด[ฐานในการประมวลผล](https://link.pdpalawbase.com/concept/lawful-basis.md)ในการประมวลผลข้อมูลส่วนบุคคลให้ครบถ้วนก่อนเริ่มกิจกรรมการประมวลผล เพื่อให้แน่ใจว่าการประมวลผลทุกกิจกรรมมีฐานทางกฎหมายรองรับตั้งแต่ต้น

## หลักฐาน

1. หลักฐานการพิจารณาและกำหนดฐานทางกฎหมาย

## สภาพบังคับ

[มาตรา 21](https://link.pdpalawbase.com/section/21.md), [มาตรา 24](https://link.pdpalawbase.com/section/24.md) และ [มาตรา 26](https://link.pdpalawbase.com/section/26.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 — กำหนดให้การประมวลผลข้อมูลส่วนบุคคลต้องเป็นไปตามวัตถุประสงค์และฐานทางกฎหมายที่กำหนด

กรณีไม่ปฏิบัติตามมาตรา 21 และ 24 มีโทษปรับทางปกครองตาม [มาตรา 83](https://link.pdpalawbase.com/section/83.md) ไม่เกิน 3 ล้านบาท และกรณีไม่ปฏิบัติตามมาตรา 26 มีโทษปรับทางปกครองตาม [มาตรา 84](https://link.pdpalawbase.com/section/84.md) ไม่เกิน 5 ล้านบาท

## ตัวอย่างเอกสาร

### เอกสารหลักฐานการพิจารณาและกำหนดฐานทางกฎหมาย

**1. รายละเอียดกิจกรรมการประมวลผล**

- ประเภทของข้อมูล: ข้อมูลส่วนบุคคลทั่วไป / ข้อมูลส่วนบุคคลอ่อนไหว (ตามมาตรา 26)
- วัตถุประสงค์ในการประมวลผล (อธิบายให้ชัดเจน เช่น เพื่อประเมินคุณสมบัติของพนักงานก่อนการจ้างงาน)

**2. การประเมินฐานทางกฎหมาย** — เลือกฐานทางกฎหมายที่ใช้ (ตามมาตรา 24 หรือ 26) อย่างน้อยหนึ่งข้อ

1. ความยินยอมของเจ้าของข้อมูล
2. จำเป็นเพื่อการปฏิบัติตามสัญญา
3. จำเป็นเพื่อประโยชน์โดยชอบด้วยกฎหมายขององค์กร
4. จำเป็นเพื่อการปฏิบัติตามกฎหมาย
5. จำเป็นเพื่อประโยชน์สาธารณะ
6. จำเป็นเพื่อการคุ้มครองชีวิต

พร้อมระบุเหตุผลในการเลือกฐานทางกฎหมาย (ตัวอย่าง: การเก็บข้อมูลบัตรประชาชนเพื่อยืนยันตัวตนลูกค้า ใช้ฐาน "จำเป็นเพื่อการปฏิบัติตามกฎหมาย" เนื่องจากข้อกำหนดของหน่วยงานกำกับดูแล)

**3. การประมวลผลข้อมูลอ่อนไหว** — กรณีมีข้อมูลอ่อนไหว ให้ระบุฐานตามมาตรา 26 เฉพาะกิจกรรมที่เกี่ยวข้อง (เช่น ได้รับความยินยอมอย่างชัดแจ้ง / จำเป็นเพื่อการจ้างงาน / มีกฎหมายรองรับ)

**4. การทบทวนความเหมาะสม** — ประเมินความสอดคล้องกับวัตถุประสงค์, พิจารณาผลกระทบต่อเจ้าของข้อมูล และความสมดุลระหว่างสิทธิของเจ้าของข้อมูลกับผลประโยชน์ขององค์กร

**5. สรุปและข้อเสนอแนะ** — ควรมีการทบทวนทุก 12 เดือน

**6. การลงนามรับรอง** — ผู้พิจารณาและความเห็นของผู้ควบคุมข้อมูล (อนุมัติ / ขอให้ปรับปรุง / ไม่อนุมัติ)

**หมายเหตุ** — เอกสารนี้ควรแนบไว้กับบันทึกรายการกิจกรรมการประมวลผล (ROPA) จัดเก็บอย่างปลอดภัย และพร้อมแสดงต่อสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลเมื่อมีการตรวจสอบ

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/7-5-5.md

============================================================
โนด: แนวปฏิบัติ 7.5.6
ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/7-5-6.md

# 7.5.6 องค์กรมีการบันทึกเหตุผลและวิธีการในการกำหนดหรือเลือกฐานทางกฎหมายที่เหมาะสม

## สิ่งที่ต้องทำ

องค์กรต้องบันทึกเหตุผลและวิธีการในการกำหนดหรือเลือกฐานทางกฎหมายที่เหมาะสมให้ครบถ้วน เพื่อแสดงความรับผิดชอบและความโปร่งใสในการพิจารณาฐานทางกฎหมายของแต่ละกิจกรรมการประมวลผล

## หลักฐาน

1. บันทึกรายการเหตุผลการเลือกฐานทางกฎหมายตามมาตรา 24 และ/หรือมาตรา 26

## สภาพบังคับ

ไม่มีกฎหมายบังคับ (แนวปฏิบัติที่ดี)

## ตัวอย่างเอกสาร

### เอกสารบันทึกเหตุผลการเลือกฐานทางกฎหมาย

**1. ลักษณะของข้อมูลที่เกี่ยวข้อง** — เลือกประเภทข้อมูลที่ใช้ในกิจกรรม

1. ข้อมูลส่วนบุคคลทั่วไป
2. ข้อมูลส่วนบุคคลอ่อนไหว (มาตรา 26)
3. ข้อมูลเกี่ยวกับประวัติอาชญากรรม

**2. วัตถุประสงค์ของการประมวลผล** — ระบุวัตถุประสงค์ของกิจกรรม เช่น การให้บริการ การจ้างงาน การปฏิบัติตามกฎหมาย (ตัวอย่าง: เพื่อยืนยันตัวตนลูกค้าก่อนให้บริการตามกฎหมายว่าด้วยการป้องกันและปราบปรามการฟอกเงิน)

**3. ฐานทางกฎหมายที่พิจารณา (มาตรา 24/26)** — เลือกฐานทางกฎหมายที่ใช้งาน เช่น ความยินยอมของเจ้าของข้อมูล, จำเป็นเพื่อการปฏิบัติตามสัญญา, จำเป็นเพื่อประโยชน์โดยชอบด้วยกฎหมาย, จำเป็นเพื่อการปฏิบัติตามกฎหมาย พร้อมระบุเหตุผลประกอบการเลือก วิธีการพิจารณา ผู้รับผิดชอบ และวันที่บันทึก

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/7-5-6.md

============================================================
โนด: แนวปฏิบัติ 7.6.1
ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/7-6-1.md

# 7.6.1 องค์กรแจ้งฐานทางกฎหมายในการประมวลผลข้อมูลส่วนบุคคลตามมาตรา 24 และมาตรา 26 ในประกาศการคุ้มครองข้อมูลส่วนบุคคล

## สิ่งที่ต้องทำ

องค์กรต้องแจ้งฐานทางกฎหมายในการประมวลผลข้อมูลส่วนบุคคลตามมาตรา 24 และมาตรา 26 ไว้ในประกาศการคุ้มครองข้อมูลส่วนบุคคลขององค์กร เพื่อให้เจ้าของข้อมูลและผู้ที่เกี่ยวข้องรับทราบฐานทางกฎหมายที่องค์กรใช้ในการประมวลผล

## หลักฐาน

1. ประกาศการคุ้มครองข้อมูลส่วนบุคคลที่ระบุฐานทางกฎหมาย

## สภาพบังคับ

[มาตรา 23](https://link.pdpalawbase.com/section/23.md) (2) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 — กำหนดให้แจ้งวัตถุประสงค์และรายละเอียดในการเก็บรวบรวมข้อมูลส่วนบุคคลแก่เจ้าของข้อมูลส่วนบุคคล

กรณีไม่ปฏิบัติตามมาตรา 23 มีโทษปรับทางปกครองตาม [มาตรา 82](https://link.pdpalawbase.com/section/82.md) ไม่เกิน 1 ล้านบาท

## ตัวอย่างเอกสาร

### ประกาศการคุ้มครองข้อมูลส่วนบุคคล

**1. วัตถุประสงค์ในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล**

| วัตถุประสงค์ | ประเภทข้อมูลที่เกี่ยวข้อง | ฐานทางกฎหมาย (มาตรา 24) | กรณีข้อมูลอ่อนไหว/ประวัติอาชญากรรม (มาตรา 26) |
|--------------|-----------------------------|----------------------------|------------------------------------------------|
| การสมัครงานและสรรหาบุคลากร | ชื่อ-สกุล, เบอร์ติดต่อ | จำเป็นเพื่อดำเนินการตามคำขอของเจ้าของข้อมูลก่อนเข้าทำสัญญา | หากเก็บใบรับรองประวัติอาชญากรรม: ใช้ความยินยอมโดยชัดแจ้ง |
| การให้บริการลูกค้า | ข้อมูลติดต่อ, ประวัติการใช้บริการ | จำเป็นเพื่อประโยชน์โดยชอบด้วยกฎหมายขององค์กร | ไม่มี |
| การปฏิบัติตามข้อกำหนดทางกฎหมาย | หมายเลขบัตรประชาชน, เอกสารภาษี | จำเป็นเพื่อปฏิบัติตามกฎหมาย | — |
| การตรวจสอบความปลอดภัย | ภาพจากกล้องวงจรปิด | จำเป็นเพื่อประโยชน์โดยชอบด้วยกฎหมาย | — |

**2. ฐานทางกฎหมายในการประมวลผลข้อมูล** — องค์กรพิจารณาและกำหนดฐานทางกฎหมายตามมาตรา 24 ได้แก่ ความยินยอมของเจ้าของข้อมูล, เพื่อปฏิบัติตามสัญญา, เพื่อประโยชน์โดยชอบด้วยกฎหมาย, เพื่อปฏิบัติตามกฎหมาย, เพื่อป้องกันหรือระงับอันตรายต่อชีวิต/ร่างกาย และเพื่อประโยชน์สาธารณะ/ภารกิจรัฐ; กรณีข้อมูลอ่อนไหวหรือประวัติอาชญากรรม พิจารณาฐานตามมาตรา 26 โดยอาศัยความยินยอมอย่างชัดแจ้งหรือข้อยกเว้นตามกฎหมายเฉพาะ

**3. สิทธิของเจ้าของข้อมูล** — ขอเข้าถึง แก้ไข คัดค้าน ลบ ขอระงับการใช้ หรือเพิกถอนความยินยอมตามเงื่อนไขที่กฎหมายกำหนด

**4. การติดต่อสอบถาม** — เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล (DPO): ชื่อ / อีเมล / โทรศัพท์

**5. การปรับปรุงประกาศ** — องค์กรขอสงวนสิทธิในการปรับปรุงประกาศ โดยจะแจ้งให้ทราบผ่านช่องทางที่เหมาะสม

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/7-6-1.md

============================================================
โนด: แนวปฏิบัติ 7.6.2
ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/7-6-2.md

# 7.6.2 กรณีมีความจำเป็นตามกฎหมายหรือเปลี่ยนแปลงวัตถุประสงค์ องค์กรแจ้งเจ้าของข้อมูลและบันทึกฐานทางกฎหมายนั้นลงในบันทึกรายการ

## สิ่งที่ต้องทำ

ในกรณีที่มีความจำเป็นตามกฎหมาย หรือมีการเปลี่ยนแปลงวัตถุประสงค์การประมวลผลข้อมูลส่วนบุคคล องค์กรต้องแจ้งการเปลี่ยนแปลงดังกล่าวให้เจ้าของข้อมูลส่วนบุคคลทราบ และบันทึกฐานทางกฎหมายใหม่นั้นลงในบันทึกรายการกิจกรรมการประมวลผล

## หลักฐาน

1. หลักฐานการบันทึกฐานทางกฎหมายที่เปลี่ยนแปลงลงในบันทึกรายการ

## สภาพบังคับ

[มาตรา 21](https://link.pdpalawbase.com/section/21.md), [มาตรา 23](https://link.pdpalawbase.com/section/23.md) และ [มาตรา 39](https://link.pdpalawbase.com/section/39.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 — กำหนดเรื่องการประมวลผลตามวัตถุประสงค์ การแจ้งเจ้าของข้อมูล และการบันทึกรายการ

กรณีไม่ปฏิบัติตามมาตรา 21 มีโทษปรับทางปกครองตาม [มาตรา 83](https://link.pdpalawbase.com/section/83.md) ไม่เกิน 3 ล้านบาท และกรณีไม่ปฏิบัติตามมาตรา 23 หรือมาตรา 39 มีโทษปรับทางปกครองตาม [มาตรา 82](https://link.pdpalawbase.com/section/82.md) ไม่เกิน 1 ล้านบาท

## ตัวอย่างเอกสาร

### เอกสารหลักฐานการแจ้งและบันทึกการเปลี่ยนแปลงฐานทางกฎหมาย

**ส่วนที่ 1: รายการแจ้งการเปลี่ยนแปลงวัตถุประสงค์และฐานทางกฎหมาย**

| ลำดับ | รายการข้อมูลส่วนบุคคล | วัตถุประสงค์ | ฐานทางกฎหมายเดิม | ฐานทางกฎหมายใหม่ | วันที่เปลี่ยนแปลง | แจ้งเจ้าของข้อมูลแล้ว |
|-------|-------------------------|--------------|--------------------|--------------------|---------------------|------------------------|
| 1 | ข้อมูลประวัติพนักงาน | เพื่อจัดทำแผนการเกษียณและส่งเสริมสุขภาพ | มาตรา 24 (3) (ประโยชน์โดยชอบ) | มาตรา 24 (1) (ยินยอม) | 01/05/2568 | แจ้งทางอีเมล |
| 2 | ข้อมูลกล้องวงจรปิด | ใช้ในการประเมินประสิทธิภาพการทำงาน | มาตรา 24 (3) | มาตรา 24 (1) | 10/05/2568 | แจ้งผ่านประกาศ |

**ส่วนที่ 2: รายละเอียดการแจ้งเจ้าของข้อมูลส่วนบุคคล** — ตัวอย่างข้อความแจ้ง (ใช้ประกาศ/จดหมาย/อีเมล)

> เรื่อง: แจ้งเปลี่ยนแปลงวัตถุประสงค์และฐานทางกฎหมายในการประมวลผลข้อมูลส่วนบุคคล
>
> องค์กรมีความจำเป็นต้องเปลี่ยนแปลงวัตถุประสงค์ในการประมวลผลข้อมูลส่วนบุคคลของท่าน โดยมีรายละเอียด: ข้อมูลที่เกี่ยวข้อง = ข้อมูลประวัติพนักงาน; วัตถุประสงค์ใหม่ = เพื่อจัดทำแผนส่งเสริมสุขภาพพนักงาน; ฐานทางกฎหมาย = ขอความยินยอมโดยชัดแจ้งจากเจ้าของข้อมูล ทั้งนี้ ท่านสามารถเพิกถอนความยินยอมได้ตลอดเวลาโดยไม่กระทบสิทธิพื้นฐานอื่นใดของท่าน

**ส่วนที่ 3: เอกสารแนบ** — แบบฟอร์มความยินยอม, บันทึกรายการกิจกรรมการประมวลผลที่ปรับปรุงแล้ว, สำเนาประกาศ/อีเมลแจ้งเจ้าของข้อมูล

**ส่วนที่ 4: ผู้รับผิดชอบ** — ผู้บันทึก / ตำแหน่ง / วันที่บันทึก

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/7-6-2.md

============================================================
โนด: แนวปฏิบัติ 7.6.3
ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/7-6-3.md

# 7.6.3 ประกาศการคุ้มครองข้อมูลส่วนบุคคลขององค์กรอยู่ในรูปแบบที่เข้าถึงได้โดยง่ายและอ่านเข้าใจง่าย

## สิ่งที่ต้องทำ

จัดทำประกาศการคุ้มครองข้อมูลส่วนบุคคลให้เจ้าของข้อมูลส่วนบุคคลเข้าถึงได้ง่ายและอ่านเข้าใจง่าย โดยแจ้งวัตถุประสงค์และรายละเอียดในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล พร้อมระบุ[ฐานในการประมวลผล](https://link.pdpalawbase.com/concept/lawful-basis.md)ที่ใช้ในการประมวลผลแต่ละวัตถุประสงค์

## หลักฐาน

1. ประกาศการคุ้มครองข้อมูลส่วนบุคคลที่ระบุฐานทางกฎหมายในการประมวลผลข้อมูลส่วนบุคคล

## สภาพบังคับ

ไม่มีกฎหมายบังคับเฉพาะ — เป็นแนวปฏิบัติที่ดีตามแนวทางการดำเนินการในการแจ้งวัตถุประสงค์และรายละเอียดในการเก็บรวบรวมข้อมูลส่วนบุคคลจากเจ้าของข้อมูลส่วนบุคคลตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562

## ตัวอย่างเอกสาร

### ประกาศการคุ้มครองข้อมูลส่วนบุคคลขององค์กร [ชื่อองค์กร]

ประกาศนี้จัดทำขึ้นเพื่อแจ้งให้เจ้าของข้อมูลส่วนบุคคลทราบถึงวัตถุประสงค์ วิธีการ และสิทธิของท่านในการคุ้มครองข้อมูลส่วนบุคคล ตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562

**1. ข้อมูลที่เราเก็บรวบรวม** — เราจะเก็บรวบรวมเฉพาะข้อมูลที่จำเป็น ดังนี้

- ชื่อ-นามสกุล
- หมายเลขบัตรประชาชน
- ที่อยู่ / อีเมล / เบอร์โทร
- ข้อมูลด้านการทำงาน (ตำแหน่ง, ประวัติการเข้า-ออกงาน)
- ข้อมูลภาพจากกล้องวงจรปิด
- ข้อมูลสุขภาพหรืออาชญากรรม (หากจำเป็น โดยอาศัยฐานตามมาตรา 26)

**2. วัตถุประสงค์ในการประมวลผลข้อมูล** — ข้อมูลของท่านจะถูกใช้เพื่อวัตถุประสงค์ดังต่อไปนี้

| วัตถุประสงค์ | ฐานทางกฎหมาย |
|---|---|
| การบริหารจัดการพนักงาน | มาตรา 24 (3) – ประโยชน์โดยชอบด้วยกฎหมาย |
| การให้บริการแก่ลูกค้า | มาตรา 24 (1) – การยินยอม |
| การปฏิบัติตามกฎหมายภาษี / แรงงาน | มาตรา 24 (6) – การปฏิบัติตามกฎหมาย |
| การรักษาความปลอดภัย (กล้องวงจรปิด) | มาตรา 24 (3) – ประโยชน์โดยชอบ |
| การประมวลผลข้อมูลอ่อนไหว เช่น ประวัติอาชญากรรม | มาตรา 26 (1) (2) – กรณีจำเป็นตามกฎหมาย หรือได้รับความยินยอมโดยชัดแจ้ง |

**3. การเปิดเผยข้อมูลแก่บุคคลภายนอก** — เราอาจเปิดเผยข้อมูลแก่หน่วยงานราชการ กองทุนประกันสังคม ธนาคาร หรือบริษัทคู่สัญญา ตามความจำเป็น และอาศัยฐานทางกฎหมายที่เหมาะสม

**4. ระยะเวลาในการเก็บรักษา** — ข้อมูลของท่านจะถูกเก็บไว้ไม่เกินระยะเวลาที่จำเป็นตามวัตถุประสงค์ และ/หรือข้อกำหนดทางกฎหมาย

**5. สิทธิของท่านในฐานะเจ้าของข้อมูล** — ท่านมีสิทธิขอเข้าถึง แก้ไข ลบ ขอระงับการประมวลผล หรือเพิกถอนความยินยอมได้ตลอดเวลา โดยติดต่อผ่านช่องทางด้านล่าง

**6. ช่องทางการติดต่อ** — หากมีคำถามเพิ่มเติมหรือต้องการใช้สิทธิของเจ้าของข้อมูล กรุณาติดต่อ:

- ฝ่ายคุ้มครองข้อมูลส่วนบุคคล
- โทร: 0xxx-xxx-xxx
- อีเมล: dpo@[domain].com
- เว็บไซต์: www.องค์กร.com/privacy

**ลักษณะการเข้าถึง:**

- ประกาศนี้สามารถดาวน์โหลดจากเว็บไซต์ขององค์กร
- ติดประกาศที่บริเวณทางเข้าหลักของสำนักงาน
- แจกแจงในแบบฟอร์มความยินยอมทุกครั้งก่อนเก็บข้อมูล

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/7-6-3.md

============================================================
โนด: แนวปฏิบัติ 7.7.1
ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/7-7-1.md

# 7.7.1 ความยินยอมมีเงื่อนไขสอดคล้องกับมาตรา 19

## สิ่งที่ต้องทำ

จัดให้การขอ[ความยินยอม](https://link.pdpalawbase.com/concept/consent.md)สอดคล้องกับหลักเกณฑ์ตามที่กฎหมายกำหนดครบถ้วน โดยมีเงื่อนไขสอดคล้องกับ[มาตรา 19](https://link.pdpalawbase.com/section/19.md) ดังนี้

1. ทำโดยชัดแจ้งเป็นหนังสือหรือทำโดยผ่านระบบอิเล็กทรอนิกส์
2. ขอความยินยอมจากเจ้าของข้อมูลส่วนบุคคล โดยแจ้งวัตถุประสงค์ของการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล
3. การขอความยินยอมนั้นต้องแยกส่วนออกจากข้อความอื่นอย่างชัดเจน มีแบบหรือข้อความที่เข้าถึงได้ง่ายและเข้าใจได้ รวมทั้งใช้ภาษาที่อ่านง่ายและไม่เป็นการหลอกลวงหรือทำให้เจ้าของข้อมูลส่วนบุคคลเข้าใจผิดในวัตถุประสงค์ดังกล่าว
4. คำนึงอย่างถึงที่สุดถึงความเป็นอิสระของเจ้าของข้อมูลส่วนบุคคลในการให้ความยินยอม ทั้งนี้ ต้องไม่มีการทำเครื่องหมายเลือกความยินยอมไว้ล่วงหน้า
5. การเข้าทำสัญญาซึ่งรวมถึงการให้บริการใด ๆ ต้องไม่มีเงื่อนไขในการให้ความยินยอม
6. เจ้าของข้อมูลส่วนบุคคลจะถอนความยินยอมเสียเมื่อใดก็ได้ โดยจะต้องถอนความยินยอมได้ง่ายเช่นเดียวกับการให้ความยินยอม
7. การถอนความยินยอมต้องไม่กระทบต่อการประมวลผลข้อมูลส่วนบุคคลที่เจ้าของข้อมูลส่วนบุคคลได้ให้ความยินยอมไปแล้ว
8. หากการถอนความยินยอมกระทบต่อเจ้าของข้อมูลส่วนบุคคลในเรื่องใด องค์กรต้องแจ้งให้เจ้าของข้อมูลส่วนบุคคลทราบ
9. จัดทำแบบฟอร์มขอความยินยอมขององค์กร

## หลักฐาน

1. แบบฟอร์มขอความยินยอมขององค์กร

## สภาพบังคับ

[มาตรา 19](https://link.pdpalawbase.com/section/19.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 — กำหนดเงื่อนไขในการขอความยินยอมจากเจ้าของข้อมูลส่วนบุคคล

โทษทางปกครอง: [มาตรา 82](https://link.pdpalawbase.com/section/82.md) ในกรณีที่ไม่ปฏิบัติตามมาตรา 19 กำหนดโทษปรับทางปกครองไม่เกิน 1 ล้านบาท

## ตัวอย่างเอกสาร

### แบบฟอร์มขอความยินยอมในการประมวลผลข้อมูลส่วนบุคคล

องค์กร: [ชื่อองค์กร] · เวอร์ชัน: 1.0 / วันที่บังคับใช้: [xx/xx/xxxx]

**1. ข้อมูลที่เก็บรวบรวม** — องค์กรมีความประสงค์จะเก็บรวบรวมข้อมูลส่วนบุคคลของท่าน ดังนี้

- ชื่อ-นามสกุล
- หมายเลขบัตรประชาชน / หนังสือเดินทาง
- เบอร์ติดต่อ / อีเมล
- ข้อมูลสุขภาพ (ถ้ามี)
- ข้อมูลการใช้งานเว็บไซต์ / กล้องวงจรปิด ฯลฯ

**2. วัตถุประสงค์ของการประมวลผลข้อมูล** — ข้อมูลของท่านจะถูกนำไปใช้เพื่อ

- การให้บริการตามที่ท่านร้องขอ
- การติดต่อกลับ / ส่งข้อมูลข่าวสาร
- การจัดกิจกรรมส่งเสริมการขาย / ประชาสัมพันธ์
- การวิเคราะห์พฤติกรรมการใช้งาน (เว็บไซต์, แอปพลิเคชัน)

**3. ฐานทางกฎหมาย** — เราขอความยินยอมจากท่านในการประมวลผลข้อมูลเพื่อวัตถุประสงค์ข้างต้นตามมาตรา 19 แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562

**4. ข้อตกลงและสิทธิของท่าน**

- ความยินยอมนี้เป็นการสมัครใจ โดยไม่มีผลกระทบต่อการรับบริการหลัก
- ท่านสามารถถอนความยินยอมเมื่อใดก็ได้ โดยติดต่อที่ [อีเมล / เว็บไซต์ / แบบฟอร์มออนไลน์]
- การถอนความยินยอมจะไม่กระทบต่อการประมวลผลที่ได้ดำเนินการโดยอาศัยความยินยอมก่อนหน้านี้ หากมีผลกระทบใด ๆ จากการถอนความยินยอม เราจะแจ้งให้ท่านทราบล่วงหน้าอย่างชัดเจน

**5. การเลือกให้ความยินยอม** — โปรดแสดงความยินยอมโดยทำเครื่องหมายข้างล่างนี้ (ไม่ได้ทำเครื่องหมายเลือกไว้ล่วงหน้า)

- ( ) ข้าพเจ้ายินยอมให้ [ชื่อองค์กร] เก็บ ใช้ และเปิดเผยข้อมูลส่วนบุคคลของข้าพเจ้าตามวัตถุประสงค์ที่ระบุไว้
- ( ) ข้าพเจ้าไม่ยินยอม

**6. ช่องทางติดต่อเพื่อถอนความยินยอม** — หากท่านประสงค์จะถอนความยินยอม กรุณาติดต่อ:

- ฝ่ายคุ้มครองข้อมูลส่วนบุคคล
- โทร: 0xxx-xxx-xxx
- อีเมล: dpo@[domain].com
- เว็บไซต์: www.[องค์กร].com/withdraw-consent

**7. ลายเซ็นผู้ให้ความยินยอม**

- ลงชื่อ: .........................................................
- ชื่อ-นามสกุล (พิมพ์): .......................................
- วันที่: .....................

### สรุปความสอดคล้องตามมาตรา 19

| เกณฑ์ | การปฏิบัติ |
|---|---|
| ข้อ 1 | แบบฟอร์มทำเป็นลายลักษณ์อักษร / ระบบออนไลน์ได้ |
| ข้อ 2 | แจ้งวัตถุประสงค์อย่างชัดเจน |
| ข้อ 3 | แบบฟอร์มแยกจากเงื่อนไขอื่น อ่านง่าย ไม่หลอกลวง |
| ข้อ 4 | ไม่มีการทำเครื่องหมายเลือกไว้ล่วงหน้า |
| ข้อ 5 | ไม่มีเงื่อนไขให้ยินยอมจึงจะรับบริการได้ |
| ข้อ 6 | ถอนยินยอมง่าย (ผ่านเว็บไซต์/อีเมล) |
| ข้อ 7 | แจ้งว่าจะไม่กระทบกับการประมวลผลที่ผ่านมา |
| ข้อ 8 | หากกระทบ จะมีการแจ้งให้ทราบ |

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/7-7-1.md

============================================================
โนด: แนวปฏิบัติ 7.7.2
ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/7-7-2.md

# 7.7.2 มีการบันทึกวัตถุประสงค์ของการขอความยินยอมและตรวจสอบการให้ความยินยอมได้ รวมถึงจัดให้มีวิธีการเพิกถอนความยินยอม

## สิ่งที่ต้องทำ

องค์กรต้องบันทึกวัตถุประสงค์ของการขอ[ความยินยอม](https://link.pdpalawbase.com/concept/consent.md)และสามารถตรวจสอบการให้ความยินยอมจากเจ้าของข้อมูลส่วนบุคคลได้ รวมถึงจัดให้มีวิธีการในการเพิกถอนความยินยอมในกรณีที่เจ้าของข้อมูลส่วนบุคคลร้องขอ

## หลักฐาน

1. บันทึกรายการความยินยอมของเจ้าของข้อมูลส่วนบุคคล
2. รายชื่อผู้ที่เกี่ยวข้องและแผนผังการดำเนินการที่เกี่ยวกับการจัดการความยินยอม

## สภาพบังคับ

[มาตรา 19](https://link.pdpalawbase.com/section/19.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 — กำหนดเงื่อนไขการขอความยินยอมจากเจ้าของข้อมูลส่วนบุคคล

กรณีไม่ปฏิบัติตามมาตรา 19 มีโทษปรับทางปกครองตาม [มาตรา 82](https://link.pdpalawbase.com/section/82.md) ไม่เกิน 1 ล้านบาท

## ตัวอย่างเอกสาร

### รายงานการจัดการความยินยอมของเจ้าของข้อมูลส่วนบุคคล

**ส่วนที่ 1: การบันทึกความยินยอม** — องค์กรจัดเก็บรายการความยินยอมในรูปแบบฐานข้อมูลอิเล็กทรอนิกส์หรือเอกสาร โดยมีข้อมูลอย่างน้อย ได้แก่ ชื่อ-นามสกุลเจ้าของข้อมูล, วันที่ให้ความยินยอม, วัตถุประสงค์ของการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูล, ช่องทางที่ให้ความยินยอม และสถานะปัจจุบัน (ยินยอม / ถอนยินยอม)

| ลำดับ | ชื่อ-สกุล | วันที่ให้ความยินยอม | วัตถุประสงค์ | ช่องทาง | สถานะ |
|-------|-----------|----------------------|--------------|----------|--------|
| 001 | นายสมชาย ใจดี | 01/05/2567 | การตลาดผ่านอีเมล | เว็บไซต์ | ยินยอม |
| 002 | น.ส.กานต์รวี จันทร์เพ็ญ | 15/05/2567 | วิเคราะห์พฤติกรรมการใช้งาน | แอปพลิเคชัน | ถอนยินยอม |

**ส่วนที่ 2: การตรวจสอบการให้ความยินยอม** — เจ้าหน้าที่ที่ได้รับมอบหมายสามารถตรวจสอบวัตถุประสงค์การประมวลผลที่ได้รับความยินยอม, ตรวจสอบสถานะการให้หรือถอนความยินยอมย้อนหลังได้อย่างน้อย 1 ปี และออกเอกสารรับรองความยินยอมเมื่อเจ้าของข้อมูลร้องขอ

**ส่วนที่ 3: วิธีการถอนความยินยอม** — จัดให้มีช่องทางที่สะดวกและโปร่งใส เช่น แบบฟอร์มออนไลน์, อีเมลถึงเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล, คำร้องโดยตรง ณ จุดให้บริการ หรือโทรศัพท์ติดต่อ DPO; เจ้าหน้าที่ตรวจสอบตัวตนภายใน 3 วันทำการ และอัปเดตสถานะเป็น "ถอนยินยอม" ภายใน 7 วัน พร้อมแจ้งผลกระทบเป็นลายลักษณ์อักษรหากมี

**ส่วนที่ 4: รายชื่อผู้ที่เกี่ยวข้อง** — DPO (ดูแลการจัดเก็บและถอนความยินยอม), ฝ่ายกฎหมาย (ตรวจสอบความถูกต้องของวัตถุประสงค์), ฝ่ายเทคโนโลยีสารสนเทศ (ดูแลระบบจัดเก็บข้อมูลยินยอม), เจ้าหน้าที่ประจำเคาน์เตอร์บริการ (รับคำร้องถอนความยินยอม)

**ส่วนที่ 5: ขั้นตอนการจัดการความยินยอม** — (1) เจ้าของข้อมูลได้รับแบบฟอร์มขอความยินยอม (2) อ่านรายละเอียดและตัดสินใจให้หรือปฏิเสธ (3) ระบบบันทึกข้อมูลในฐานข้อมูลความยินยอม (4) กรณีถอนความยินยอม เจ้าของข้อมูลยื่นคำขอผ่านช่องทางที่กำหนด (5) เจ้าหน้าที่ตรวจสอบและปรับสถานะในระบบ (6) แจ้งผลให้เจ้าของข้อมูลทราบ

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/7-7-2.md

============================================================
โนด: แนวปฏิบัติ 7.7.3
ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/7-7-3.md

# 7.7.3 องค์กรมีตัวอย่างที่ใช้ในการขอความยินยอมและวิธีการให้ความยินยอม เพื่อให้เจ้าของข้อมูลส่วนบุคคลเข้าใจเงื่อนไขและวิธีการ

## สิ่งที่ต้องทำ

องค์กรต้องมีตัวอย่างแบบฟอร์มที่ใช้ในการขอ[ความยินยอม](https://link.pdpalawbase.com/concept/consent.md) และแสดงวิธีการให้ความยินยอม เพื่อให้เจ้าของข้อมูลส่วนบุคคลเข้าใจเงื่อนไขและวิธีการขอความยินยอมได้อย่างชัดเจน

## หลักฐาน

1. ตัวอย่างแบบฟอร์มขอความยินยอมขององค์กรที่ให้เจ้าของข้อมูลส่วนบุคคลเข้าถึงได้

## สภาพบังคับ

ไม่มีกฎหมายบังคับ (แนวปฏิบัติที่ดี)

## ตัวอย่างเอกสาร

### ตัวอย่างแบบฟอร์มขอความยินยอมและคำแนะนำการให้ความยินยอม

**ส่วนที่ 1: คำชี้แจงก่อนขอความยินยอม** — แจ้งวัตถุประสงค์ของการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล; แจ้งว่าเจ้าของข้อมูลมีสิทธิที่จะไม่ให้ความยินยอมโดยไม่กระทบต่อการใช้บริการหลัก; สามารถถอนความยินยอมได้ทุกเมื่อ; การให้ความยินยอมเป็นไปอย่างสมัครใจ และสามารถอ่านรายละเอียดเพิ่มเติมในประกาศคุ้มครองข้อมูลส่วนบุคคลได้

**ส่วนที่ 2: แบบฟอร์มขอความยินยอม** — ให้เลือกและทำเครื่องหมายในช่องที่ตรงกับความสมัครใจ

- [ ] ข้าพเจ้าให้ความยินยอมให้องค์กรเก็บรวบรวม ใช้ และเปิดเผยข้อมูลส่วนบุคคลของข้าพเจ้าตามวัตถุประสงค์ข้างต้น
- [ ] ข้าพเจ้าไม่ให้ความยินยอม

พร้อมช่องระบุ ชื่อ-นามสกุล / วันที่ / ลายมือชื่อ

**ส่วนที่ 3: วิธีการให้ความยินยอม** — ทำเครื่องหมายเลือกในแบบฟอร์ม หรือกรณีให้ความยินยอมผ่านระบบอิเล็กทรอนิกส์ ให้กดปุ่มแสดงความยินยอมซึ่งแยกส่วนจากข้อความอื่นอย่างชัดเจน; ใช้ภาษาที่อ่านง่าย ไม่ซับซ้อน ไม่หลอกลวง; ต้องไม่มีการบังคับหรือตั้งค่าเลือกไว้ล่วงหน้า

**ส่วนที่ 4: วิธีการถอนความยินยอม** — กรอกแบบฟอร์มถอนความยินยอมออนไลน์, ส่งคำขอเป็นลายลักษณ์อักษรทางอีเมล, ติดต่อเจ้าหน้าที่ ณ จุดบริการ หรือทางโทรศัพท์; เมื่อได้รับคำขอ องค์กรจะอัปเดตสถานะภายใน 7 วันทำการและแจ้งผลให้ทราบ

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/7-7-3.md

============================================================
โนด: แนวปฏิบัติ 7.8.1
ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/7-8-1.md

# 7.8.1 องค์กรมีกระบวนการในการทบทวนความยินยอมเพื่อตรวจสอบว่าวัตถุประสงค์ของการประมวลผลตามความยินยอมที่ได้รับมานั้นยังเหมาะสมอยู่

## สิ่งที่ต้องทำ

องค์กรต้องมีกระบวนการในการทบทวน[ความยินยอม](https://link.pdpalawbase.com/concept/consent.md)ที่ครบถ้วน เพื่อตรวจสอบว่าวัตถุประสงค์ของการประมวลผลตามความยินยอมที่ได้รับมานั้นยังเหมาะสมและสอดคล้องกับกฎหมายที่เกี่ยวข้องอยู่

## หลักฐาน

1. นโยบายหรือแนวปฏิบัติ และกระบวนการในการทบทวนความยินยอมที่ได้รับมาขององค์กร

## สภาพบังคับ

ไม่มีกฎหมายบังคับ (แนวปฏิบัติที่ดี)

## ตัวอย่างเอกสาร

### นโยบายและแนวปฏิบัติในการทบทวนความยินยอม

**1. วัตถุประสงค์** — กำหนดแนวทางและกระบวนการในการทบทวนความยินยอมที่ได้รับจากเจ้าของข้อมูลส่วนบุคคล เพื่อให้มั่นใจว่าวัตถุประสงค์ของการประมวลผลยังคงเหมาะสมและสอดคล้องกับกฎหมาย

**2. ขอบเขต** — ครอบคลุมความยินยอมทั้งหมดที่ได้รับในทุกกิจกรรมการประมวลผลข้อมูลขององค์กร

**3. แนวปฏิบัติในการทบทวนความยินยอม**

- *การกำหนดช่วงเวลาทบทวน* — ทบทวนอย่างน้อยปีละหนึ่งครั้ง หรือตามความเหมาะสมของลักษณะข้อมูลและวัตถุประสงค์; กรณีมีการเปลี่ยนแปลงวัตถุประสงค์หรือข้อกฎหมาย ต้องทบทวนและแจ้งเจ้าของข้อมูลทันที
- *กระบวนการทบทวน* — ตรวจสอบรายการความยินยอมที่มีอยู่; ประเมินว่าวัตถุประสงค์ยังชัดเจน ถูกต้อง และเหมาะสม; แจ้งเจ้าของข้อมูลหากพบความจำเป็นในการปรับเปลี่ยนหรือขอความยินยอมใหม่; จัดทำรายงานการทบทวน
- *การสื่อสารและอบรม* — อบรมฝ่ายที่เกี่ยวข้องเกี่ยวกับกระบวนการทบทวน และสื่อสารให้เจ้าของข้อมูลรับทราบสิทธิอย่างชัดเจน

**4. เอกสารและหลักฐาน** — บันทึกรายการความยินยอม, รายงานการทบทวนตามช่วงเวลา, เอกสารแจ้งการเปลี่ยนแปลงวัตถุประสงค์และคำขอความยินยอมใหม่ (ถ้ามี)

**5. ความรับผิดชอบ** — ฝ่ายบริหารข้อมูลส่วนบุคคลดูแลกระบวนการทบทวน; ฝ่ายเทคโนโลยีสารสนเทศสนับสนุนระบบบันทึกและตรวจสอบข้อมูลความยินยอม

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/7-8-1.md

============================================================
โนด: แนวปฏิบัติ 7.8.2
ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/7-8-2.md

# 7.8.2 องค์กรกำหนดช่วงเวลาที่เหมาะสมในการขอความยินยอมอีกครั้ง เพื่อทบทวนว่ายังมีเงื่อนไขสอดคล้องกับกฎหมายและวัตถุประสงค์เดิม (อย่างน้อยทุก 2 ปี)

## สิ่งที่ต้องทำ

องค์กรต้องกำหนดช่วงเวลาที่เหมาะสมในการขอ[ความยินยอม](https://link.pdpalawbase.com/concept/consent.md)อีกครั้ง อย่างน้อยทุก ๆ 2 ปี เพื่อใช้ในการทบทวนความยินยอมว่ายังมีเงื่อนไขสอดคล้องกับกฎหมายและวัตถุประสงค์เดิมอยู่

## หลักฐาน

1. นโยบายหรือแนวปฏิบัติ และกระบวนการในการทบทวนความยินยอมที่ได้รับมาขององค์กร

## สภาพบังคับ

ไม่มีกฎหมายบังคับ (แนวปฏิบัติที่ดี)

## ตัวอย่างเอกสาร

### นโยบายและแนวปฏิบัติในการกำหนดช่วงเวลาทบทวนความยินยอม

**1. วัตถุประสงค์** — กำหนดช่วงเวลาที่เหมาะสมในการขอความยินยอมซ้ำจากเจ้าของข้อมูลส่วนบุคคล เพื่อให้มั่นใจว่าการประมวลผลยังคงสอดคล้องกับกฎหมายและวัตถุประสงค์เดิม

**2. ขอบเขต** — ครอบคลุมความยินยอมที่ได้รับในทุกกรณีที่มีการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล

**3. แนวปฏิบัติในการกำหนดช่วงเวลาทบทวน**

- *กำหนดช่วงเวลาทบทวน* — ทบทวนความยินยอมอย่างน้อยทุก ๆ สองปี; กรณีมีการเปลี่ยนแปลงสำคัญในวัตถุประสงค์หรือข้อกฎหมายที่เกี่ยวข้อง ให้ทบทวนและขอความยินยอมใหม่ทันที
- *การดำเนินการทบทวน* — ตรวจสอบฐานข้อมูลความยินยอมเพื่อระบุข้อมูลที่ครบกำหนดทบทวน; แจ้งเตือนเจ้าของข้อมูลให้ทราบและขอความยินยอมใหม่ในเวลาที่เหมาะสม; บันทึกผลการทบทวนและความยินยอมใหม่อย่างเป็นระบบ
- *การสื่อสารและความโปร่งใส* — แจ้งให้เจ้าของข้อมูลรับทราบสิทธิและวิธีการให้และถอนความยินยอมอย่างชัดเจน และจัดให้มีช่องทางสอบถามข้อมูลเพิ่มเติม

**4. เอกสารและหลักฐาน** — รายงานหรือบันทึกการทบทวนความยินยอมตามช่วงเวลา, เอกสารแจ้งเตือนและตอบรับจากเจ้าของข้อมูลส่วนบุคคล

**5. ความรับผิดชอบ** — ฝ่ายบริหารข้อมูลส่วนบุคคลกำหนดและดำเนินการทบทวน; ฝ่ายเทคโนโลยีสารสนเทศสนับสนุนระบบบันทึกและแจ้งเตือนการทบทวน

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/7-8-2.md

============================================================
โนด: แนวปฏิบัติ 7.8.3
ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/7-8-3.md

# 7.8.3 องค์กรจัดให้มีเครื่องมือในการควบคุมหรือกำหนดความเป็นส่วนตัวโดยเจ้าของข้อมูลส่วนบุคคล เพื่อใช้จัดการความยินยอมด้วยตนเอง

## สิ่งที่ต้องทำ

องค์กรควรจัดให้มีเครื่องมือในการควบคุมหรือกำหนดความเป็นส่วนตัวโดยเจ้าของข้อมูลส่วนบุคคล เพื่อให้เจ้าของข้อมูลสามารถจัดการ[ความยินยอม](https://link.pdpalawbase.com/concept/consent.md)ด้วยตนเอง เช่น การให้หรือเพิกถอนความยินยอม

## หลักฐาน

1. เครื่องมือในการควบคุมหรือกำหนดความเป็นส่วนตัวโดยเจ้าของข้อมูลส่วนบุคคล เช่น แดชบอร์ดความเป็นส่วนตัว

## สภาพบังคับ

ไม่มีกฎหมายบังคับ (แนวปฏิบัติที่ดี)

## ตัวอย่างเอกสาร

### รายงานและคำชี้แจงเกี่ยวกับเครื่องมือแดชบอร์ดความเป็นส่วนตัว

**วัตถุประสงค์** — เพื่อให้เจ้าของข้อมูลส่วนบุคคลสามารถเข้าถึงและจัดการความยินยอม รวมถึงความเป็นส่วนตัวของตนเองได้อย่างสะดวก รวดเร็ว และโปร่งใส ผ่านเครื่องมือออนไลน์ที่องค์กรจัดทำขึ้น

**รายละเอียดเครื่องมือ**

- *คุณสมบัติหลัก* — เจ้าของข้อมูลดูข้อมูลส่วนบุคคลที่องค์กรเก็บรวบรวม, ตรวจสอบฐานข้อมูลความยินยอมที่ให้ไว้, ให้ความยินยอมใหม่หรือเพิกถอนความยินยอมได้ด้วยตนเอง, รับการแจ้งเตือนเมื่อมีการเปลี่ยนแปลงนโยบายความเป็นส่วนตัว, ดูประวัติการให้และถอนความยินยอม และมีช่องทางติดต่อฝ่ายข้อมูลส่วนบุคคล
- *การเข้าถึง* — ผ่านเว็บไซต์หลักหรือแอปพลิเคชันขององค์กร โดยมีการยืนยันตัวตนอย่างปลอดภัยก่อนเข้าสู่ระบบ

**กระบวนการใช้งาน** — เจ้าของข้อมูลเข้าสู่ระบบด้วยการยืนยันตัวตน (เช่น รหัสผ่านครั้งเดียวหรือการยืนยันตัวตนสองขั้นตอน), เลือกดูรายการข้อมูลที่ให้ความยินยอมไว้, เปลี่ยนแปลงสถานะความยินยอมได้ตามต้องการ และระบบบันทึกการเปลี่ยนแปลงพร้อมแสดงสถานะล่าสุด

**หลักฐานประกอบ** — คู่มือการใช้งานเครื่องมือสำหรับเจ้าของข้อมูล, ตัวอย่างหน้าจอระบบ, รายงานการบันทึกและตรวจสอบความยินยอม, รายงานการแจ้งเตือนและการตอบรับจากเจ้าของข้อมูล

**ความรับผิดชอบ** — ฝ่ายเทคโนโลยีสารสนเทศพัฒนาและดูแลระบบ; ฝ่ายบริหารข้อมูลส่วนบุคคลจัดทำนโยบายและตรวจสอบการใช้งานให้เป็นไปตามข้อกำหนด

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/7-8-3.md

============================================================
โนด: แนวปฏิบัติ 7.9.1
ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/7-9-1.md

# 7.9.1 องค์กรมีระบบในการตรวจสอบอายุและความสามารถของผู้เยาว์ และมีมาตรการตรวจสอบการได้รับความยินยอมจากผู้มีอำนาจกระทำแทนผู้เยาว์

## สิ่งที่ต้องทำ

ในกรณีที่เจ้าของข้อมูลส่วนบุคคลเป็นผู้เยาว์ซึ่งยังไม่บรรลุนิติภาวะตามกฎหมาย องค์กรต้องมีระบบและวิธีการตรวจสอบอายุของผู้เยาว์อย่างชัดเจน และมีมาตรการในการตรวจสอบว่าได้รับ[ความยินยอม](https://link.pdpalawbase.com/concept/consent.md)จากบุคคลที่มีอำนาจกระทำแทนผู้เยาว์ตามเงื่อนไขของมาตรา 20

## หลักฐาน

1. ระบบหรือขั้นตอนการดำเนินงานในการตรวจสอบอายุของผู้เยาว์

## สภาพบังคับ

ไม่มีกฎหมายบังคับ (แนวปฏิบัติที่ดี)

แนวปฏิบัตินี้สอดคล้องกับมาตรา 20 แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ซึ่งกำหนดเงื่อนไขการขอความยินยอมในกรณีที่เจ้าของข้อมูลเป็นผู้เยาว์

## ตัวอย่างเอกสาร

### รายงานและคำชี้แจงระบบการตรวจสอบอายุของผู้เยาว์

**1. วัตถุประสงค์** — จัดให้มีระบบตรวจสอบอายุของเจ้าของข้อมูลส่วนบุคคลที่เป็นผู้เยาว์ เพื่อให้การขอความยินยอมเป็นไปอย่างถูกต้องตามกฎหมายและสอดคล้องกับมาตรา 20

**2. ระบบและวิธีการตรวจสอบอายุ**

- *วิธีการตรวจสอบ* — ขอสำเนาบัตรประจำตัวประชาชนหรือเอกสารแสดงตัวตนที่มีวันเดือนปีเกิด; ยืนยันวันเกิดผ่านระบบอิเล็กทรอนิกส์พร้อมตรวจสอบความสมเหตุสมผล; ใช้ระบบตรวจสอบอายุอัตโนมัติที่เชื่อมต่อกับฐานข้อมูลภายนอก (ถ้ามี); ขอการรับรองจากผู้ปกครองหรือผู้มีอำนาจกระทำการแทนผู้เยาว์
- *แนวทางปฏิบัติ* — เจ้าหน้าที่ตรวจสอบและยืนยันอายุก่อนดำเนินการขอความยินยอม; หากพบว่าเป็นผู้เยาว์ ต้องขอความยินยอมจากผู้ปกครองหรือผู้มีอำนาจตามกฎหมาย; บันทึกผลการตรวจสอบอายุและการขอความยินยอมไว้เป็นหลักฐาน; แจ้งเตือนเมื่ออายุของเจ้าของข้อมูลใกล้เปลี่ยนสถานะเพื่อทบทวนความยินยอมใหม่

**3. กระบวนการดำเนินงาน** — เจ้าของข้อมูลกรอกวันเดือนปีเกิดผ่านแบบฟอร์มหรือช่องทางออนไลน์; เจ้าหน้าที่ตรวจสอบเอกสารประกอบ; หากเป็นผู้เยาว์ แจ้งให้ผู้ปกครองหรือผู้มีอำนาจดำเนินการให้ความยินยอม; บันทึกผลและเก็บรักษาเอกสารประกอบ; มีแบบฟอร์มขอความยินยอมเฉพาะสำหรับผู้เยาว์และผู้ปกครอง

**4. หลักฐานประกอบ** — เอกสารแสดงขั้นตอนและระบบตรวจสอบอายุ, ตัวอย่างแบบฟอร์มขอความยินยอมของผู้เยาว์และผู้ปกครอง, รายงานบันทึกผลการตรวจสอบอายุและความยินยอม, นโยบายภายในเกี่ยวกับการจัดการข้อมูลผู้เยาว์

**5. ความรับผิดชอบ** — ฝ่ายบริหารข้อมูลส่วนบุคคลจัดทำและควบคุมระบบตรวจสอบอายุ; ฝ่ายเทคโนโลยีสารสนเทศสนับสนุนระบบยืนยันอายุผ่านช่องทางออนไลน์; เจ้าหน้าที่ประสานงานติดตามและจัดเก็บหลักฐานความยินยอม

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/7-9-1.md

============================================================
โนด: แนวปฏิบัติ 7.9.2
ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/7-9-2.md

# 7.9.2 องค์กรมีมาตรการที่เหมาะสมในการตรวจสอบว่าบุคคลดังกล่าวสามารถให้ความยินยอมด้วยตนเองได้ หรือกรณีที่ต้องขอความยินยอมจากผู้ใช้อำนาจปกครอง แล้วแต่กรณี

## สิ่งที่ต้องทำ

มีมาตรการในการตรวจสอบที่มีประสิทธิภาพและเหมาะสม สำหรับประเมินว่าเจ้าของข้อมูลผู้เยาว์สามารถให้[ความยินยอม](https://link.pdpalawbase.com/concept/consent.md)ด้วยตนเองได้หรือไม่ และในกรณีที่ผู้เยาว์ไม่สามารถให้ความยินยอมได้ ให้มีมาตรการในการขอความยินยอมจากผู้ใช้อำนาจปกครองแทน

## หลักฐาน

1. นโยบายหรือแนวปฏิบัติ และกระบวนการในการตรวจสอบความสามารถและการขอความยินยอมจากผู้ใช้อำนาจปกครอง แล้วแต่กรณี

## สภาพบังคับ

ไม่มีกฎหมายบังคับ (แนวปฏิบัติที่ดี)

แนวทางการดำเนินการในการขอความยินยอมจาก[เจ้าของข้อมูลส่วนบุคคล](https://link.pdpalawbase.com/concept/data-subject.md)ตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562

## ตัวอย่างเอกสาร

### นโยบายและแนวปฏิบัติในการตรวจสอบความสามารถและการขอความยินยอมจากผู้ใช้อำนาจปกครอง

- **องค์กร:** [ชื่อองค์กร]
- **เวอร์ชัน:** 1.0 / **วันที่:** [xx/xx/xxxx]

**1. วัตถุประสงค์**

เพื่อกำหนดมาตรการและกระบวนการตรวจสอบความสามารถของเจ้าของข้อมูลผู้เยาว์ในการให้ความยินยอมด้วยตนเอง และในกรณีที่ไม่สามารถให้ความยินยอมได้ ให้มีมาตรการในการขอความยินยอมจากผู้ใช้อำนาจปกครองตามกฎหมายและแนวทางของพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562

**2. มาตรการตรวจสอบความสามารถในการให้ความยินยอม**

2.1 การประเมินความสามารถของเจ้าของข้อมูลผู้เยาว์

- ใช้แบบสอบถามหรือการสัมภาษณ์เพื่อประเมินความเข้าใจของผู้เยาว์เกี่ยวกับวัตถุประสงค์และผลกระทบของการให้ความยินยอม
- พิจารณาอายุ ความรู้ ความเข้าใจ และสติปัญญาของผู้เยาว์ เพื่อประเมินว่าผู้เยาว์มีความสามารถในการให้ความยินยอมด้วยตนเองหรือไม่
- หากประเมินแล้วว่าผู้เยาว์มีความสามารถ ให้ดำเนินการขอความยินยอมโดยตรงจากผู้เยาว์
- หากผู้เยาว์ไม่มีความสามารถ ให้ดำเนินการขอความยินยอมจากผู้ใช้อำนาจปกครองแทน

2.2 กรณีที่ต้องขอความยินยอมจากผู้ใช้อำนาจปกครอง

- กำหนดขั้นตอนและแบบฟอร์มขอความยินยอมจากผู้ปกครองหรือผู้มีอำนาจตามกฎหมาย
- มีการยืนยันตัวตนของผู้ใช้อำนาจปกครอง เช่น สำเนาบัตรประชาชน หรือเอกสารแสดงสิทธิในการปกครอง
- บันทึกและเก็บรักษาความยินยอมจากผู้ใช้อำนาจปกครองไว้อย่างเป็นระบบ
- แจ้งให้ผู้ปกครองทราบสิทธิในการเพิกถอนความยินยอมได้ตามกฎหมาย

**3. กระบวนการดำเนินงาน**

3.1 ขั้นตอนการตรวจสอบและขอความยินยอม

- เจ้าของข้อมูลผู้เยาว์กรอกข้อมูลเบื้องต้นและตอบแบบประเมินความสามารถ
- เจ้าหน้าที่ประเมินความสามารถตามเกณฑ์ที่กำหนด
- หากประเมินว่าผู้เยาว์สามารถให้ความยินยอมได้ ให้ดำเนินการขอความยินยอมโดยตรง
- หากไม่สามารถให้ความยินยอมได้ ให้ดำเนินการขอความยินยอมจากผู้ใช้อำนาจปกครอง พร้อมยืนยันเอกสารสิทธิในการปกครอง
- บันทึกผลการประเมินและการขอความยินยอมลงในระบบฐานข้อมูลขององค์กร

**4. หลักฐานประกอบ**

- นโยบายและแนวปฏิบัติการตรวจสอบความสามารถและขอความยินยอมจากผู้ใช้อำนาจปกครอง
- แบบฟอร์มประเมินความสามารถของผู้เยาว์
- แบบฟอร์มขอความยินยอมจากผู้ใช้อำนาจปกครอง
- รายงานการประเมินและบันทึกผลความยินยอมจากผู้เยาว์และผู้ใช้อำนาจปกครอง

**5. ความรับผิดชอบ**

- ฝ่ายบริหารข้อมูลส่วนบุคคลรับผิดชอบจัดทำและควบคุมการดำเนินงานตามนโยบายนี้
- เจ้าหน้าที่ประสานงานตรวจสอบ และประเมินความสามารถของเจ้าของข้อมูลผู้เยาว์
- ฝ่ายเทคโนโลยีสารสนเทศสนับสนุนระบบบันทึกและจัดเก็บข้อมูลความยินยอม

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/7-9-2.md

============================================================
โนด: แนวปฏิบัติ 7.9.3
ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/7-9-3.md

# 7.9.3 กรณีให้บริการออนไลน์กับผู้เยาว์ องค์กรมีมาตรการประเมินความเสี่ยงเพื่อตรวจสอบอายุของผู้เยาว์ให้สอดคล้องกับระดับความเสี่ยง

## สิ่งที่ต้องทำ

ในกรณีที่ให้บริการออนไลน์กับผู้เยาว์ องค์กรต้องมีมาตรการในการประเมินความเสี่ยงในการประมวลผลข้อมูลส่วนบุคคลของผู้เยาว์ และพิจารณาตามแต่ละช่วงอายุ เพื่อใช้ในการตรวจสอบอายุของผู้เยาว์ให้สอดคล้องกับระดับความเสี่ยงที่อาจเกิดขึ้นกับสิทธิและเสรีภาพของผู้เยาว์

## หลักฐาน

1. รายงานการประเมินความเสี่ยงกรณีการให้บริการออนไลน์กับผู้เยาว์

## สภาพบังคับ

ไม่มีกฎหมายบังคับ (แนวปฏิบัติที่ดี)

สอดคล้องกับแนวทางการดำเนินการในการขอความยินยอมจากเจ้าของข้อมูลส่วนบุคคลตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562

## ตัวอย่างเอกสาร

### รายงานการประเมินความเสี่ยงกรณีการให้บริการออนไลน์กับผู้เยาว์

**1. บทนำ** — จัดทำขึ้นเพื่อประเมินความเสี่ยงที่เกี่ยวข้องกับการประมวลผลข้อมูลส่วนบุคคลของผู้เยาว์ที่ใช้บริการออนไลน์ และกำหนดมาตรการตรวจสอบอายุให้เหมาะสมกับระดับความเสี่ยงตามช่วงอายุ

**2. ขอบเขตของการประเมิน** — การให้บริการออนไลน์ทุกประเภทที่มีการประมวลผลข้อมูลส่วนบุคคลของผู้เยาว์, การตรวจสอบอายุและการขอความยินยอม, การวิเคราะห์ความเสี่ยงในแต่ละช่วงอายุ (เช่น ต่ำกว่า 13 ปี, 13-15 ปี, 16-18 ปี)

**3. การประเมินความเสี่ยง**

| ช่วงอายุผู้เยาว์ | ความเสี่ยงด้านสิทธิและเสรีภาพ | มาตรการตรวจสอบอายุที่ดำเนินการ |
|-------------------|----------------------------------|----------------------------------|
| ต่ำกว่า 13 ปี | ความเสี่ยงสูง เนื่องจากอายุน้อยอาจไม่เข้าใจผลกระทบ | ตรวจสอบเอกสารยืนยันอายุจากผู้ปกครอง; ขอความยินยอมจากผู้ปกครองเท่านั้น; จำกัดการเข้าถึงข้อมูลหรือฟังก์ชันบางอย่าง |
| 13-15 ปี | ความเสี่ยงปานกลาง มีความสามารถในการให้ความยินยอมบางส่วน | ประเมินความสามารถในการให้ความยินยอมโดยตรงจากผู้เยาว์; ขอความยินยอมจากผู้ปกครองร่วมด้วยตามกรณี |
| 16-18 ปี | ความเสี่ยงต่ำ ผู้เยาว์มีความสามารถในการให้ความยินยอมมากขึ้น | ขอความยินยอมจากผู้เยาว์โดยตรง; มีมาตรการตรวจสอบอายุเพิ่มเติมเมื่อจำเป็น |

**4. มาตรการที่นำมาใช้** — ระบบตรวจสอบอายุออนไลน์และการยืนยันตัวตนเบื้องต้น; การใช้ระบบยืนยันตัวตนของผู้ปกครองกรณีผู้เยาว์อายุต่ำกว่าเกณฑ์; การจำกัดการเข้าถึงข้อมูลหรือบริการที่ไม่เหมาะสมกับผู้เยาว์ในแต่ละช่วงอายุ; การทบทวนและอัปเดตมาตรการอย่างสม่ำเสมอ

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/7-9-3.md

============================================================
โนด: แนวปฏิบัติ 7.9.4
ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/7-9-4.md

# 7.9.4 กรณีขอความยินยอมจากผู้เยาว์หรือบุคคลไร้ความสามารถ องค์กรมีมาตรการตรวจสอบว่าผู้ให้ความยินยอมแทนเป็นผู้มีอำนาจกระทำการแทนอย่างแท้จริง

## สิ่งที่ต้องทำ

ในกรณีที่เป็นการขอความยินยอมจากผู้เยาว์ บุคคลไร้ความสามารถ หรือเสมือนไร้ความสามารถ องค์กรต้องมีมาตรการในการตรวจสอบผู้มีอำนาจกระทำการแทนอย่างเหมาะสมว่าบุคคลที่ให้ความยินยอมแทนเป็นผู้มีอำนาจกระทำการแทนเจ้าของข้อมูลส่วนบุคคลอย่างแท้จริง และมีขั้นตอนการขอเอกสารประกอบการพิจารณาที่ชัดเจน

## หลักฐาน

1. แนวปฏิบัติหรือกลไกในการตรวจสอบสถานะผู้ให้ความยินยอมแทนเจ้าของข้อมูลส่วนบุคคล

## สภาพบังคับ

ไม่มีกฎหมายบังคับ (แนวปฏิบัติที่ดี)

สอดคล้องกับแนวทางการดำเนินการในการขอความยินยอมจากเจ้าของข้อมูลส่วนบุคคลตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562

## ตัวอย่างเอกสาร

### แนวปฏิบัติและกลไกในการตรวจสอบสถานะผู้ให้ความยินยอมแทนเจ้าของข้อมูลส่วนบุคคล

**1. วัตถุประสงค์** — กำหนดแนวทางและมาตรการตรวจสอบว่าผู้ให้ความยินยอมแทนเจ้าของข้อมูลซึ่งเป็นผู้เยาว์ บุคคลไร้ความสามารถ หรือเสมือนไร้ความสามารถ เป็นผู้มีอำนาจกระทำการแทนอย่างถูกต้องตามกฎหมาย

**2. ขอบเขต** — ครอบคลุมการขอความยินยอมในกรณีที่เจ้าของข้อมูลไม่สามารถให้ความยินยอมด้วยตนเองได้ และต้องมีผู้แทนที่มีอำนาจให้ความยินยอมแทน

**3. มาตรการและขั้นตอนในการตรวจสอบ**

- *การยืนยันตัวตนของผู้ให้ความยินยอมแทน* — ตรวจสอบบัตรประจำตัวประชาชนหรือเอกสารราชการที่แสดงตัวตน; ตรวจสอบความเกี่ยวข้องทางกฎหมาย เช่น บัตรผู้ปกครอง สูติบัตร หรือเอกสารแต่งตั้งผู้อนุบาล
- *การขอเอกสารประกอบ* — เอกสารแสดงความสัมพันธ์ (สูติบัตรของผู้เยาว์, เอกสารรับรองความเป็นบิดามารดาหรือผู้อนุบาล); หนังสือมอบอำนาจหรือคำสั่งศาลกรณีผู้อนุบาลหรือผู้ดูแลตามกฎหมาย; เอกสารทางการแพทย์หรือคำพิพากษาที่แสดงสถานะไร้ความสามารถหรือเสมือนไร้ความสามารถ
- *การบันทึกและเก็บรักษาข้อมูล* — บันทึกข้อมูลผู้ให้ความยินยอมแทนในระบบจัดการข้อมูล และเก็บรักษาเอกสารประกอบอย่างปลอดภัยและเป็นความลับ
- *การตรวจสอบซ้ำ* — ทบทวนความถูกต้องของเอกสารและสถานะของผู้ให้ความยินยอมแทนอย่างสม่ำเสมอ (เช่น ทุก 1 ปี หรือเมื่อมีการเปลี่ยนแปลงข้อมูล)

**4. ความรับผิดชอบ** — ฝ่ายบริหารจัดการข้อมูลส่วนบุคคลตรวจสอบและบันทึกข้อมูล; ฝ่ายกฎหมายและความปลอดภัยข้อมูลสนับสนุนการตรวจสอบเอกสารและให้คำปรึกษาทางกฎหมาย

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/7-9-4.md

============================================================
โนด: แนวปฏิบัติ 7.10.1
ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/7-10-1.md

# 7.10.1 มีการจัดทำการประเมินผลกระทบต่อสิทธิและเสรีภาพของเจ้าของข้อมูลส่วนบุคคล เพื่อใช้ฐานประโยชน์โดยชอบด้วยกฎหมาย

## สิ่งที่ต้องทำ

ในกรณีที่องค์กรใช้[ฐานในการประมวลผล](https://link.pdpalawbase.com/concept/lawful-basis.md)ตามมาตรา 24 (5) สำหรับกรณีที่เป็นการจำเป็นเพื่อประโยชน์โดยชอบด้วยกฎหมายขององค์กร องค์กรต้องจัดทำการประเมินผลกระทบต่อสิทธิและเสรีภาพของเจ้าของข้อมูลส่วนบุคคลให้ครบถ้วนก่อนเริ่มเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล

## หลักฐาน

1. เอกสารการประเมินการใช้ฐานประโยชน์โดยชอบด้วยกฎหมาย

## สภาพบังคับ

ไม่มีกฎหมายบังคับ (แนวปฏิบัติที่ดี)

แนวปฏิบัตินี้เกี่ยวข้องกับการใช้ฐานทางกฎหมายตามมาตรา 24 (5) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562

## ตัวอย่างเอกสาร

### การประเมินผลกระทบต่อสิทธิและเสรีภาพของเจ้าของข้อมูลส่วนบุคคล

**1. วัตถุประสงค์** — ประเมินและวิเคราะห์ผลกระทบที่อาจเกิดขึ้นต่อสิทธิและเสรีภาพของเจ้าของข้อมูลส่วนบุคคลจากการใช้ฐานทางกฎหมายตามมาตรา 24 (5) เพื่อประโยชน์โดยชอบด้วยกฎหมายขององค์กร

**2. ขอบเขต** — ครอบคลุมกิจกรรมการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลโดยอาศัยฐานประโยชน์โดยชอบด้วยกฎหมายตามมาตรา 24 (5)

**3. ขั้นตอนการประเมิน**

- *ระบุประโยชน์โดยชอบด้วยกฎหมายขององค์กร* — กำหนดวัตถุประสงค์และประโยชน์ที่ต้องการได้รับจากการประมวลผล และระบุฐานกฎหมายที่เกี่ยวข้อง
- *ประเมินความจำเป็นและความเหมาะสม* — ตรวจสอบว่าการประมวลผลจำเป็นและเหมาะสมกับวัตถุประสงค์ และไม่เกินความจำเป็น
- *ประเมินผลกระทบต่อเจ้าของข้อมูล* — วิเคราะห์ความเสี่ยงและผลกระทบต่อความเป็นส่วนตัว ความปลอดภัย และความเสี่ยงในการถูกละเมิดข้อมูล พร้อมมาตรการลดผลกระทบ
- *จัดทำรายงานสรุปผลการประเมิน* — พร้อมข้อเสนอแนะ มาตรการควบคุม ผู้รับผิดชอบ และแผนการติดตามผล

**4. ความรับผิดชอบ** — ฝ่ายบริหารความเสี่ยงและคุ้มครองข้อมูลส่วนบุคคลดำเนินการประเมินและรายงาน; ฝ่ายกฎหมายสนับสนุนคำปรึกษาและตรวจสอบความถูกต้อง

**5. ข้อกำหนดตามกฎหมายที่เกี่ยวข้อง** — มาตรา 24 (5) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 และแนวทางปฏิบัติด้านการคุ้มครองข้อมูลส่วนบุคคลและการประเมินผลกระทบ

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/7-10-1.md

============================================================
โนด: แนวปฏิบัติ 7.10.2
ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/7-10-2.md

# 7.10.2 การประเมินมีการชั่งผลประโยชน์ตามหลักความได้สัดส่วน เพื่อให้มั่นใจว่าประโยชน์โดยชอบด้วยกฎหมายเหมาะสมเมื่อเทียบกับสิทธิและเสรีภาพของเจ้าของข้อมูล

## สิ่งที่ต้องทำ

การประเมินการใช้ฐานประโยชน์โดยชอบด้วยกฎหมายต้องมีการชั่งผลประโยชน์ตามหลักความได้สัดส่วน เพื่อให้มั่นใจว่าประโยชน์โดยชอบด้วยกฎหมายขององค์กรมีความเหมาะสมเมื่อเทียบกับสิทธิและเสรีภาพของเจ้าของข้อมูลส่วนบุคคล โดยมีแนวทางการประเมินดังนี้

1. ไม่ใช้ข้อมูลในลักษณะที่เป็นการก้าวล่วงความเป็นส่วนตัวเกินสมควร หรือก่อให้เกิดความเสียหาย เว้นแต่มีเหตุผลและความจำเป็นตามกฎหมาย
2. ปกป้องผลประโยชน์หรือส่วนได้เสียของบุคคลที่เป็นกลุ่มเปราะบาง เช่น ผู้เยาว์หรือผู้พิการ อย่างเหมาะสม
3. กำหนดมาตรการที่เหมาะสมในการลดผลกระทบเชิงลบที่อาจเกิดขึ้น
4. เจ้าของข้อมูลส่วนบุคคลมีสิทธิขอระงับหรือให้ยุติการประมวลผล เว้นแต่จะมีข้อยกเว้นตามกฎหมาย

## หลักฐาน

1. เอกสารการประเมินการใช้ฐานประโยชน์โดยชอบด้วยกฎหมาย

## สภาพบังคับ

ไม่มีกฎหมายบังคับ (แนวปฏิบัติที่ดี)

แนวปฏิบัตินี้เกี่ยวข้องกับการใช้ฐานทางกฎหมายตามมาตรา 24 (5) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562

## ตัวอย่างเอกสาร

### รายงานการประเมินผลกระทบและการชั่งน้ำหนักผลประโยชน์ตามหลักความได้สัดส่วน

**1. การหลีกเลี่ยงการใช้ข้อมูลเกินสมควร** — ประเมินว่าการใช้ข้อมูลไม่เป็นการละเมิดความเป็นส่วนตัวเกินความจำเป็น และไม่ก่อให้เกิดความเสียหายหรือผลกระทบเชิงลบโดยไม่จำเป็น

**2. การปกป้องกลุ่มเปราะบาง** — ระบุว่ามีข้อมูลของกลุ่มเปราะบาง เช่น ผู้เยาว์ ผู้พิการ หรือกลุ่มอื่นที่อาจได้รับผลกระทบพิเศษหรือไม่ และกำหนดมาตรการป้องกัน เช่น การขอความยินยอมจากผู้ปกครองหรือการจำกัดการเข้าถึงข้อมูล

**3. มาตรการลดผลกระทบเชิงลบ** — กำหนดมาตรการเชิงเทคนิคและองค์กร เช่น การเข้ารหัสข้อมูล การจำกัดการเข้าถึง หรือการกำหนดระยะเวลาการเก็บรักษาข้อมูล พร้อมติดตามและประเมินมาตรการอย่างสม่ำเสมอ

**4. สิทธิของเจ้าของข้อมูลส่วนบุคคล** — แจ้งสิทธิในการขอระงับหรือยุติการประมวลผล และกำหนดขั้นตอนการรับเรื่องและดำเนินการตามคำขอตามกฎหมายและข้อยกเว้นที่เกี่ยวข้อง

**5. สรุปผลการชั่งน้ำหนักผลประโยชน์** — ระบุประโยชน์โดยชอบด้วยกฎหมายขององค์กร, ผลกระทบต่อเจ้าของข้อมูล, มาตรการที่ดำเนินการ และข้อสรุปด้านความเหมาะสมและความได้สัดส่วน

**6. ความรับผิดชอบ** — ฝ่ายบริหารความเสี่ยงและคุ้มครองข้อมูลส่วนบุคคลจัดทำและติดตามการประเมิน; ฝ่ายกฎหมายร่วมตรวจสอบความถูกต้องและความสอดคล้องกับกฎหมาย

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/7-10-2.md

============================================================
โนด: แนวปฏิบัติ 7.10.3
ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/7-10-3.md

# 7.10.3 มีการจัดทำเป็นเอกสารการประเมิน เพื่อให้สามารถตรวจสอบได้ถึงการใช้แนวทางการประเมินและการตัดสินใจ

## สิ่งที่ต้องทำ

องค์กรต้องจัดทำเอกสารการประเมินการใช้ฐานประโยชน์โดยชอบด้วยกฎหมายเพื่อให้สามารถตรวจสอบได้ และบันทึกแนวทางการประเมินหรือการตัดสินใจอย่างชัดเจน

## หลักฐาน

1. เอกสารรายงานการประเมินผลประโยชน์โดยชอบด้วยกฎหมาย

## สภาพบังคับ

ไม่มีกฎหมายบังคับ (แนวปฏิบัติที่ดี)

## ตัวอย่างเอกสาร

### รายงานการประเมินผลประโยชน์โดยชอบด้วยกฎหมาย

**1. บทนำ** — ระบุวัตถุประสงค์ของการประเมินและขอบเขต พร้อมอธิบายกรอบแนวทางการประเมินผลประโยชน์โดยชอบด้วยกฎหมายเทียบกับสิทธิและเสรีภาพของเจ้าของข้อมูล

**2. ขั้นตอนการประเมิน** — ระบุขั้นตอนการดำเนินการ วิธีการเก็บรวบรวมข้อมูลและการวิเคราะห์ พร้อมบันทึกแนวทางการชั่งน้ำหนักผลประโยชน์และการพิจารณาปัจจัยต่าง ๆ

**3. การตัดสินใจ** — สรุปผลการประเมินและการตัดสินใจว่าการใช้ข้อมูลเป็นไปอย่างเหมาะสมและสอดคล้องกับหลักความได้สัดส่วน พร้อมระบุเหตุผลประกอบการตัดสินใจอย่างละเอียด

**4. เอกสารแนบและหลักฐาน** — แนบเอกสารสนับสนุน เช่น บันทึกการประชุม รายงานการวิเคราะห์ความเสี่ยง และบันทึกการตรวจสอบหรือการอนุมัติจากผู้มีอำนาจ

**5. ความรับผิดชอบและการทบทวน** — ระบุผู้รับผิดชอบในการจัดทำและทบทวน พร้อมกำหนดรอบระยะเวลาการทบทวนเอกสารและการอัปเดต

**6. ลงชื่อรับรอง** — ลายมือชื่อผู้จัดทำและผู้อนุมัติ พร้อมวันที่

หมายเหตุ: เอกสารนี้สามารถใช้เป็นหลักฐานแสดงให้เห็นถึงกระบวนการและแนวทางการประเมิน รวมทั้งการตัดสินใจที่ชัดเจนและตรวจสอบได้ในองค์กร

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/7-10-3.md

============================================================
โนด: แนวปฏิบัติ 7.10.4
ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/7-10-4.md

# 7.10.4 มีนโยบายและกระบวนการจัดทำการประเมินผลประโยชน์โดยชอบด้วยกฎหมายก่อนเริ่มดำเนินการ พร้อมรายงานการประชุม

## สิ่งที่ต้องทำ

องค์กรต้องจัดทำการประเมินการใช้ฐานประโยชน์โดยชอบด้วยกฎหมายก่อนเริ่มดำเนินการ โดยมีนโยบายและกระบวนการที่ชัดเจน รวมถึงรายงานการประชุมพิจารณาประกอบการตัดสินใจ

## หลักฐาน

1. นโยบายหรือแนวปฏิบัติและกระบวนการเกี่ยวกับการประเมินการใช้ฐานประโยชน์โดยชอบด้วยกฎหมาย
2. รายงานการประชุมพิจารณาการใช้ฐานประโยชน์โดยชอบด้วยกฎหมาย

## สภาพบังคับ

ไม่มีกฎหมายบังคับ (แนวปฏิบัติที่ดี)

แนวปฏิบัตินี้ครอบคลุมการประเมินทุกกรณีที่องค์กรใช้ฐานทางกฎหมายตามมาตรา 24 (5) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562

## ตัวอย่างเอกสาร

### นโยบายและแนวปฏิบัติการประเมินผลประโยชน์โดยชอบด้วยกฎหมาย

**1. วัตถุประสงค์** — กำหนดแนวทางและกระบวนการในการดำเนินการประเมินผลประโยชน์โดยชอบด้วยกฎหมายก่อนการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล เพื่อให้มั่นใจว่าการดำเนินการเป็นไปตามหลักความได้สัดส่วนและคุ้มครองสิทธิของเจ้าของข้อมูล

**2. ขอบเขต** — ครอบคลุมการประเมินทุกกรณีที่ใช้ฐานทางกฎหมายตามมาตรา 24 (5)

**3. กระบวนการดำเนินการ** — ระบุวัตถุประสงค์ของการประมวลผล; วิเคราะห์และชั่งน้ำหนักผลประโยชน์ขององค์กรเทียบกับผลกระทบต่อเจ้าของข้อมูล; พิจารณาผลกระทบต่อกลุ่มเปราะบาง (ผู้เยาว์ ผู้พิการ); กำหนดมาตรการลดผลกระทบเชิงลบ; บันทึกผลการประเมินและการตัดสินใจก่อนเริ่มดำเนินการ; จัดเก็บเอกสารไว้สำหรับตรวจสอบภายในและภายนอก

**4. ความรับผิดชอบ** — ระบุผู้รับผิดชอบในการจัดทำและทบทวน พร้อมกำหนดช่วงเวลาทบทวนอย่างสม่ำเสมอ

### ตัวอย่างรายงานการประชุมพิจารณาการใช้ฐานประโยชน์โดยชอบด้วยกฎหมาย

- **วาระการประชุม** — พิจารณาการใช้ฐานทางกฎหมายประโยชน์โดยชอบด้วยกฎหมาย, รายงานผลการประเมิน, ตัดสินใจและกำหนดมาตรการเพิ่มเติม (ถ้ามี)
- **สรุปการประชุม** — อธิบายการวิเคราะห์และชั่งน้ำหนักผลประโยชน์ขององค์กรเทียบกับสิทธิและเสรีภาพของเจ้าของข้อมูล; รับรองว่าได้พิจารณาผลกระทบต่อกลุ่มเปราะบางและกำหนดมาตรการลดผลกระทบแล้ว; ตกลงให้ดำเนินการตามผลการประเมินที่จัดทำไว้; กำหนดผู้รับผิดชอบติดตามและทบทวนในอนาคต พร้อมลายมือชื่อผู้จัดทำและผู้อนุมัติ

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/7-10-4.md

============================================================
โนด: แนวปฏิบัติ 7.10.5
ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/7-10-5.md

# 7.10.5 มีการทบทวนการประเมินอย่างสม่ำเสมอ โดยเฉพาะกรณีที่มีความเปลี่ยนแปลงเกี่ยวกับกิจกรรมการประมวลผลที่อาจกระทบต่อผลการประเมิน

## สิ่งที่ต้องทำ

องค์กรต้องทบทวนการประเมินการใช้ฐานประโยชน์โดยชอบด้วยกฎหมายอย่างสม่ำเสมอ โดยเฉพาะในกรณีที่มีความเปลี่ยนแปลงเกี่ยวกับกิจกรรมการประมวลผลที่อาจกระทบต่อผลการประเมิน

## หลักฐาน

1. หลักฐานการทบทวนการประเมินการใช้ฐานประโยชน์โดยชอบด้วยกฎหมาย

## สภาพบังคับ

ไม่มีกฎหมายบังคับ (แนวปฏิบัติที่ดี)

## ตัวอย่างเอกสาร

### หลักฐานการทบทวนการประเมินการใช้ฐานประโยชน์โดยชอบด้วยกฎหมาย

**1. รายงานการทบทวน** — รายงานสรุปผลการทบทวนที่แสดงวันที่ทบทวน ผู้ทบทวน และสาเหตุการทบทวน (เช่น มีการเปลี่ยนแปลงกิจกรรมการประมวลผล); รายละเอียดการวิเคราะห์ผลกระทบที่อาจเปลี่ยนแปลง; ข้อเสนอแนะหรือมาตรการแก้ไข (ถ้ามี)

**2. บันทึกการประชุมทบทวน** — รายงานหรือบันทึกการประชุมที่มีการพิจารณาและอนุมัติผลการทบทวน พร้อมลายมือชื่อของผู้มีอำนาจรับรอง

**3. เอกสารแนวปฏิบัติการทบทวน** — นโยบายหรือคู่มือภายในที่กำหนดช่วงเวลาการทบทวน (เช่น ทุก 1-2 ปี หรือเมื่อมีการเปลี่ยนแปลงที่สำคัญ) และขั้นตอนการแจ้งเตือนและติดตามการทบทวน

**4. ตัวอย่างเอกสารอ้างอิง** — ไฟล์รายงานการทบทวนที่มีการแก้ไขล่าสุด และอีเมลหรือเอกสารที่แสดงการติดตามการทบทวน

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/7-10-5.md

============================================================
โนด: แนวปฏิบัติ 9.1.1
ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/9-1-1.md

# 9.1.1 องค์กรมีกระบวนการที่จะช่วยให้พนักงานรายงานและยกระดับการปกป้องข้อมูล และสามารถแจ้งข้อกังวลและความเสี่ยงด้านการกำกับดูแลข้อมูลไปยังจุดศูนย์กลางหรือหน่วยงานกลางที่องค์กรกำหนด

## สิ่งที่ต้องทำ

องค์กรมีกระบวนการหรือแนวปฏิบัติที่ช่วยให้พนักงานรายงานและยกระดับการปกป้องข้อมูล และสามารถแจ้งข้อกังวลและความเสี่ยงด้านการกำกับดูแลข้อมูลไปยังจุดศูนย์กลางหรือหน่วยงานกลางที่องค์กรกำหนด และมีเอกสารครบถ้วน

## หลักฐาน

1. นโยบายภายในในการจัดให้มีมาตรการหรือช่องทางสำหรับการรายงานถึงข้อกังวลและความเสี่ยงด้านการกำกับดูแลข้อมูลส่วนบุคคลมายังศูนย์กลางหรือหน่วยงานกลางขององค์กร
2. ประกาศช่องทางและวิธีการรายงานข้อกังวลและความเสี่ยงด้านการกำกับดูแลข้อมูลส่วนบุคคล
3. รายงานข้อกังวลและความเสี่ยงด้านการกำกับดูแลข้อมูลส่วนบุคคล

## สภาพบังคับ

พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 [มาตรา 37](https://link.pdpalawbase.com/section/37.md) ประกอบประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง มาตรการรักษาความมั่นคงปลอดภัยของผู้ควบคุมข้อมูลส่วนบุคคล พ.ศ. 2565 ข้อ 4 (2)(3)

กรณีไม่ปฏิบัติตามมาตรา 37 มีโทษปรับทางปกครองไม่เกิน 3 ล้านบาท

## ตัวอย่างเอกสาร

### นโยบายการรายงานและยกระดับข้อกังวลด้านการกำกับดูแลข้อมูลส่วนบุคคล

#### 1. วัตถุประสงค์

นโยบายนี้จัดทำขึ้นเพื่อกำหนดกระบวนการและช่องทางในการรายงานข้อกังวล ข้อสงสัย หรือความเสี่ยงที่เกี่ยวข้องกับการคุ้มครองและการกำกับดูแลข้อมูลส่วนบุคคลภายในองค์กร โดยมีเป้าหมายเพื่อ

- เสริมสร้างความตระหนักรู้และการมีส่วนร่วมของพนักงานทุกระดับ
- สนับสนุนให้องค์กรสามารถตรวจพบและจัดการความเสี่ยงด้านข้อมูลได้อย่างทันท่วงที
- สอดคล้องกับข้อกำหนดด้านกฎหมายและมาตรฐานที่เกี่ยวข้อง

#### 2. ขอบเขต

- พนักงานทุกคนในองค์กร (ประจำ/ชั่วคราว/สัญญาจ้าง)
- ผู้บริหารทุกระดับ
- หน่วยงานที่เกี่ยวข้องกับการเก็บ ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล

#### 3. นโยบายหลัก

1. องค์กรจัดให้มีช่องทางศูนย์กลางสำหรับการรายงานข้อกังวลด้านข้อมูลส่วนบุคคล ได้แก่
   - อีเมลกลางของหน่วยงานกำกับดูแลข้อมูล: privacy@[ชื่อองค์กร].com
   - เบอร์โทรศัพท์สายตรงฝ่ายกำกับดูแลข้อมูล: 0-xxx-xxxx
   - กล่องรับแจ้งภายในสำนักงาน
   - ระบบออนไลน์ผ่านอินทราเน็ต
2. พนักงานทุกคนมีสิทธิและหน้าที่ในการรายงานข้อกังวลหรือเหตุการณ์ที่อาจกระทบต่อการคุ้มครองข้อมูลส่วนบุคคล เช่น
   - การเข้าถึงข้อมูลโดยไม่ได้รับอนุญาต
   - การเก็บหรือใช้ข้อมูลเกินวัตถุประสงค์
   - การขาดมาตรการควบคุมความปลอดภัย
3. การรายงานสามารถทำได้ทั้งเปิดเผยชื่อหรือไม่เปิดเผยชื่อ โดยองค์กรรับประกันความลับของผู้รายงาน
4. หน่วยงานกำกับดูแลข้อมูล (เช่น ฝ่ายคุ้มครองข้อมูลส่วนบุคคล / ฝ่ายกฎหมาย / คณะกรรมการคุ้มครองข้อมูลส่วนบุคคล) เป็นผู้รับผิดชอบตรวจสอบและดำเนินการตามกระบวนการแก้ไข/ป้องกัน
5. องค์กรห้ามมิให้มีการตอบโต้ผู้รายงาน

#### 4. กระบวนการรายงานและยกระดับ

- พนักงานรายงานข้อกังวลผ่านช่องทางที่กำหนด
- หน่วยงานกลางรับเรื่อง ลงทะเบียนและบันทึกเหตุการณ์
- ประเมินความเสี่ยงเบื้องต้นว่าเป็นความเสี่ยงระดับต่ำ กลาง หรือสูง
- หากเป็นความเสี่ยงสูง ยกระดับให้คณะกรรมการคุ้มครองข้อมูลส่วนบุคคลขององค์กรภายใน 24 ชั่วโมง
- สรุปผลการตรวจสอบและการดำเนินการแก้ไข พร้อมรายงานต่อผู้บริหาร
- แจ้งผลการดำเนินงานแก่ผู้รายงาน (ถ้าเปิดเผยตัวตน)

#### 5. หลักฐานที่ต้องมี

- นโยบายนี้ (เป็นเอกสารภายในองค์กร)
- ประกาศช่องทางการรายงาน (เช่น บนอินทราเน็ต / บอร์ดประกาศ / อีเมลประชาสัมพันธ์)
- แบบฟอร์มรายงานข้อกังวล
- รายงานสรุปข้อกังวลและการแก้ไขปัญหา

#### 6. การทบทวนและปรับปรุง

นโยบายนี้ต้องมีการทบทวนอย่างน้อยปีละ 1 ครั้ง หรือเมื่อมีการเปลี่ยนแปลงด้านกฎหมาย มาตรฐาน หรือกระบวนการภายในองค์กร

### แบบฟอร์มรายงานข้อกังวลด้านการกำกับดูแลข้อมูลส่วนบุคคล

**ข้อมูลผู้รายงาน** (หากไม่ต้องการเปิดเผยตัวตน โปรดข้ามส่วนนี้)

- ชื่อ-นามสกุล
- แผนก/หน่วยงาน
- เบอร์โทรศัพท์/อีเมล

**ประเภทข้อกังวล** (เลือกได้มากกว่า 1 ข้อ)

- การเข้าถึงข้อมูลโดยไม่ได้รับอนุญาต
- การเก็บหรือใช้ข้อมูลเกินวัตถุประสงค์
- การเปิดเผยข้อมูลโดยไม่ชอบ
- การขาดมาตรการควบคุมด้านความปลอดภัย
- อื่น ๆ (โปรดระบุ)

**รายละเอียดเหตุการณ์** — บรรยายเหตุการณ์ พร้อมวันที่และเวลาที่เกิดเหตุ

**เอกสาร/หลักฐานแนบ** — ไม่มี / มี (โปรดระบุ)

**ความเร่งด่วน** (ผู้รายงานประเมิน) — ปกติ / เร่งด่วน / ฉุกเฉินหรือเสี่ยงร้ายแรง

**ข้อเสนอแนะ/ความคิดเห็นเพิ่มเติม**

### กระบวนการรายงานและยกระดับข้อกังวล

1. **ขั้นตอนที่ 1** — พนักงานหรือผู้เกี่ยวข้องรายงานข้อกังวลผ่านช่องทางที่กำหนด (อีเมล privacy@[ชื่อองค์กร].com, สายด่วน 0-xxx-xxxx, ระบบอินทราเน็ต/แบบฟอร์ม, กล่องรับเรื่องร้องเรียน)
2. **ขั้นตอนที่ 2** — หน่วยงานกลาง (ฝ่ายกำกับดูแลข้อมูลหรือ DPO) รับเรื่อง บันทึกในทะเบียนข้อกังวล และตรวจสอบความครบถ้วนของข้อมูล
3. **ขั้นตอนที่ 3** — การประเมินเบื้องต้น
   - ระดับต่ำ แจ้งหน่วยงานที่เกี่ยวข้องแก้ไข
   - ระดับกลาง รายงานผู้บริหารสายงาน
   - ระดับสูง/ฉุกเฉิน ยกระดับต่อคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลภายใน 24 ชั่วโมง
4. **ขั้นตอนที่ 4** — การดำเนินการแก้ไขและป้องกัน แต่งตั้งผู้รับผิดชอบ ตรวจสอบข้อเท็จจริง และกำหนดมาตรการแก้ไข/ป้องกัน
5. **ขั้นตอนที่ 5** — การรายงานผล จัดทำรายงานสรุปแจ้งแก่ผู้บริหาร และแจ้งผลต่อผู้รายงาน (ถ้าเปิดเผยชื่อ)
6. **ขั้นตอนที่ 6** — การจัดเก็บและทบทวน เก็บเอกสาร/รายงานไว้ในระบบอย่างปลอดภัย และนำผลการดำเนินการเข้าสู่การทบทวนนโยบายประจำปี

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/9-1-1.md

============================================================
โนด: แนวปฏิบัติ 9.1.2
ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/9-1-2.md

# 9.1.2 องค์กรระบุและจัดการความเสี่ยงด้านข้อมูลส่วนบุคคลในทะเบียนจัดการความเสี่ยงที่เหมาะสม ซึ่งรวมถึงการเชื่อมโยงที่ชัดเจนระหว่างทะเบียนจัดการความเสี่ยงขององค์กรและแผนก/ส่วนงานต่าง ๆ และการประเมินความเสี่ยงของทรัพย์สินสารสนเทศ

## สิ่งที่ต้องทำ

องค์กรมีการระบุและจัดการความเสี่ยงด้านข้อมูลส่วนบุคคลในทะเบียนจัดการความเสี่ยงที่เหมาะสม ซึ่งรวมถึงการเชื่อมโยงที่ชัดเจนระหว่างทะเบียนจัดการความเสี่ยงขององค์กรและแผนก/ส่วนงานต่าง ๆ และการประเมินความเสี่ยงของทรัพย์สินสารสนเทศ

## หลักฐาน

1. นโยบายภายในสำหรับการจัดทำทะเบียนจัดการความเสี่ยงทั่วไป และทะเบียนจัดการความเสี่ยงด้านเทคโนโลยีสารสนเทศ
2. ทะเบียนจัดการความเสี่ยงทั่วไป
3. ทะเบียนจัดการความเสี่ยงของฝ่ายเทคโนโลยีสารสนเทศ
4. รายงานเหตุการณ์ด้านความเสี่ยงของข้อมูลส่วนบุคคล
5. รายงานผลการตรวจสอบทะเบียนจัดการความเสี่ยงทั่วไป
6. รายงานการตรวจสอบทะเบียนจัดการความเสี่ยงของฝ่ายเทคโนโลยีสารสนเทศ

## สภาพบังคับ

พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 [มาตรา 37](https://link.pdpalawbase.com/section/37.md) ประกอบประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง มาตรการรักษาความมั่นคงปลอดภัยของผู้ควบคุมข้อมูลส่วนบุคคล พ.ศ. 2565 ข้อ 4 (2)(3)

กรณีไม่ปฏิบัติตามมาตรา 37 มีโทษปรับทางปกครองไม่เกิน 3 ล้านบาท

## ตัวอย่างเอกสาร

### 1. นโยบายภายในสำหรับการจัดทำทะเบียนจัดการความเสี่ยง

องค์กรจัดทำนโยบายภายในเรื่อง "นโยบายการบริหารจัดการความเสี่ยง" ซึ่งครอบคลุมประเด็นสำคัญดังนี้

- กำหนดกรอบแนวทางและขอบเขตของการบริหารจัดการความเสี่ยงในองค์กร
- ระบุความรับผิดชอบของทุกแผนก/ส่วนงานในการระบุ วิเคราะห์ และรายงานความเสี่ยงที่เกี่ยวข้องกับกิจกรรมของตน
- เน้นความสำคัญของการเชื่อมโยงข้อมูลความเสี่ยงระหว่างทะเบียนจัดการความเสี่ยงระดับองค์กรและทะเบียนจัดการความเสี่ยงในแต่ละแผนก/ส่วนงาน รวมทั้งฝ่ายเทคโนโลยีสารสนเทศ
- มีแนวทางในการประเมินความเสี่ยงของทรัพย์สินสารสนเทศที่เกี่ยวข้องกับการประมวลผลข้อมูลส่วนบุคคล
- กำหนดระยะเวลาการทบทวนและปรับปรุงทะเบียนจัดการความเสี่ยงเป็นระยะ
- ระบุขั้นตอนการรายงานและติดตามผลการจัดการความเสี่ยงต่อผู้บริหารระดับสูง

### 2. ทะเบียนจัดการความเสี่ยง

**2.1 ทะเบียนจัดการความเสี่ยงทั่วไปขององค์กร**

- รายการความเสี่ยงในภาพรวมขององค์กร รวมทั้งความเสี่ยงด้านข้อมูลส่วนบุคคล
- มีคอลัมน์สำคัญ เช่น รหัสความเสี่ยง รายละเอียดความเสี่ยง แผนก/ส่วนงานที่รับผิดชอบ ความรุนแรง ความน่าจะเป็น ระดับความเสี่ยง มาตรการควบคุม และสถานะปัจจุบัน
- เชื่อมโยงกับทะเบียนจัดการความเสี่ยงเฉพาะแผนกหรือส่วนงาน

**2.2 ทะเบียนจัดการความเสี่ยงฝ่ายเทคโนโลยีสารสนเทศ**

- เจาะจงความเสี่ยงที่เกี่ยวข้องกับระบบสารสนเทศและการประมวลผลข้อมูลส่วนบุคคล เช่น ความเสี่ยงจากการโจมตีไซเบอร์ ความผิดพลาดของระบบ หรือการเข้าถึงข้อมูลโดยไม่ได้รับอนุญาต
- ระบุทรัพย์สินสารสนเทศสำคัญที่เกี่ยวข้อง พร้อมการประเมินความเสี่ยงและมาตรการป้องกัน
- มีการทบทวนและอัปเดตทะเบียนนี้อย่างน้อยปีละ 1 ครั้ง หรือเมื่อมีเหตุการณ์สำคัญ

### 3. รายงานเหตุการณ์ด้านความเสี่ยงของข้อมูลส่วนบุคคล

- เอกสารรายงานเหตุการณ์ความเสี่ยงที่เกิดขึ้นจริง หรือข้อสังเกตที่เกี่ยวข้องกับข้อมูลส่วนบุคคล
- ระบุรายละเอียดเหตุการณ์ วันที่เกิด ผู้รับผิดชอบ และมาตรการที่นำมาใช้ในการแก้ไขและป้องกันไม่ให้เกิดซ้ำ
- รายงานเหล่านี้จะถูกรวบรวมและนำเข้าสู่กระบวนการบริหารความเสี่ยงขององค์กร

### 4. รายงานผลการตรวจสอบทะเบียนจัดการความเสี่ยง

**4.1 รายงานตรวจสอบทะเบียนจัดการความเสี่ยงทั่วไป**

- รายงานการตรวจสอบโดยฝ่ายตรวจสอบภายในหรือบุคคลที่ได้รับมอบหมาย
- ตรวจสอบความครบถ้วน ความสอดคล้องกับนโยบายภายใน และความเหมาะสมของการจัดการความเสี่ยง
- ระบุข้อเสนอแนะเพื่อปรับปรุงและแก้ไขในกรณีพบช่องว่าง

**4.2 รายงานตรวจสอบทะเบียนจัดการความเสี่ยงฝ่ายเทคโนโลยีสารสนเทศ**

- ตรวจสอบความสอดคล้องของทะเบียนกับมาตรฐานความมั่นคงปลอดภัยสารสนเทศ
- ประเมินการจัดการความเสี่ยงที่เกี่ยวข้องกับการปกป้องข้อมูลส่วนบุคคลในระบบสารสนเทศ
- ให้คำแนะนำและข้อเสนอแนะสำหรับการเสริมสร้างมาตรการป้องกัน

### ตัวอย่างฟอร์มทะเบียนจัดการความเสี่ยง

| รหัสความเสี่ยง | รายละเอียดความเสี่ยง | แผนก/ส่วนงานรับผิดชอบ | ความรุนแรง (1-5) | ความน่าจะเป็น (1-5) | ระดับความเสี่ยง | มาตรการควบคุม | สถานะ |
|---|---|---|---|---|---|---|---|
| RIS-001 | การเข้าถึงข้อมูลส่วนบุคคลโดยไม่ได้รับอนุญาต | ฝ่ายเทคโนโลยีสารสนเทศ | 5 | 3 | 15 | ใช้ระบบยืนยันตัวตนแบบสองขั้นตอน | กำลังดำเนินการ |
| RIS-002 | การเปิดเผยข้อมูลส่วนบุคคลเกินความจำเป็น | ฝ่ายบริหารข้อมูล | 4 | 2 | 8 | ตรวจสอบสิทธิการเข้าถึง | ดำเนินการแล้ว |

### ตัวอย่างรายงานการตรวจสอบทะเบียนจัดการความเสี่ยง

| รายการตรวจสอบ | ผลการตรวจสอบ | ข้อสังเกต/ข้อเสนอแนะ |
|---|---|---|
| ความครบถ้วนของทะเบียนจัดการความเสี่ยงทั่วไป | ครบถ้วนและอัปเดตเป็นประจำ | - |
| การเชื่อมโยงกับทะเบียนแผนก/ส่วนงานต่าง ๆ | มีการเชื่อมโยงและสอดคล้อง | แนะนำเพิ่มรายละเอียดการเชื่อมโยง |
| การประเมินความเสี่ยงของทรัพย์สินสารสนเทศ | มีการประเมินและจัดอันดับ | ควรเพิ่มความถี่การทบทวนในบางทรัพย์สิน |
| การรายงานและติดตามความเสี่ยง | มีรายงานต่อผู้บริหารตามระยะเวลา | - |

สรุป: องค์กรมีระบบบริหารจัดการความเสี่ยงด้านข้อมูลส่วนบุคคลที่เหมาะสมและมีประสิทธิภาพ โดยมีการอัปเดตทะเบียนความเสี่ยงและมาตรการควบคุมอย่างสม่ำเสมอ ควรปรับปรุงการเชื่อมโยงรายละเอียดในทะเบียนจัดการความเสี่ยงให้ชัดเจนมากขึ้น และเพิ่มความถี่การประเมินบางทรัพย์สินสารสนเทศ

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/9-1-2.md

============================================================
โนด: แนวปฏิบัติ 9.1.3
ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/9-1-3.md

# 9.1.3 หากองค์กรมีการระบุความเสี่ยงด้านข้อมูลส่วนบุคคล องค์กรมีแผนปฏิบัติการ รายงานความคืบหน้า และการพิจารณาบทเรียนที่ได้รับเพื่อหลีกเลี่ยงความเสี่ยงในอนาคต

## สิ่งที่ต้องทำ

องค์กรมีการระบุความเสี่ยงด้านข้อมูลส่วนบุคคล มีแผนปฏิบัติการ มีการรายงานความคืบหน้า และมีการพิจารณาบทเรียนที่ได้รับ เพื่อหลีกเลี่ยงความเสี่ยงในอนาคต

## หลักฐาน

1. นโยบายการกำหนดแผนปฏิบัติการ รายงานความคืบหน้า และการพิจารณาบทเรียนที่ได้รับเพื่อหลีกเลี่ยงความเสี่ยงในอนาคต
2. รายงานผลการติดตามและประเมินผลการบริหารความเสี่ยง และบทเรียนที่ได้รับเพื่อหลีกเลี่ยงความเสี่ยงในอนาคต

## สภาพบังคับ

พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 [มาตรา 37](https://link.pdpalawbase.com/section/37.md) ประกอบประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง มาตรการรักษาความมั่นคงปลอดภัยของผู้ควบคุมข้อมูลส่วนบุคคล พ.ศ. 2565 ข้อ 5

กรณีไม่ปฏิบัติตามมาตรา 37 มีโทษปรับทางปกครองไม่เกิน 3 ล้านบาท

## ตัวอย่างเอกสาร

### 1. นโยบายการกำหนดแผนปฏิบัติการ รายงานความคืบหน้า และการพิจารณาบทเรียนที่ได้รับ

ชื่อเอกสาร: นโยบายการจัดการและติดตามแผนปฏิบัติการความเสี่ยงด้านข้อมูลส่วนบุคคล

สาระสำคัญ:

- องค์กรกำหนดให้มีการจัดทำแผนปฏิบัติการทันทีเมื่อมีการระบุความเสี่ยงด้านข้อมูลส่วนบุคคล
- มีการกำหนดระยะเวลา ความรับผิดชอบ และตัวชี้วัดในแต่ละแผน
- รายงานความคืบหน้าต้องจัดทำเป็นรายไตรมาส
- บทเรียนที่ได้รับจะต้องถูกวิเคราะห์และนำไปปรับปรุงแนวทางการดำเนินงาน รวมถึงทะเบียนจัดการความเสี่ยง
- หน่วยงานเจ้าของความเสี่ยงต้องจัดประชุมทบทวนความเสี่ยงภายใน เพื่อนำเสนอบทเรียนและแนวทางแก้ไขต่อคณะทำงานคุ้มครองข้อมูลส่วนบุคคล

### 2. แผนปฏิบัติการกรณีตัวอย่าง: ความเสี่ยงจากการส่งอีเมลผิดผู้รับ

- **ชื่อแผน:** แผนปฏิบัติการลดความเสี่ยงจากความผิดพลาดในการส่งข้อมูลส่วนบุคคลผ่านอีเมล
- **วันที่เริ่มแผน:** 1 เมษายน 2568
- **ความเสี่ยงที่พบ:** พนักงานฝ่ายบริการลูกค้าส่งข้อมูลผิดผู้รับ
- **ผลกระทบ:** มีการรั่วไหลของข้อมูลส่วนบุคคล (ชื่อ ที่อยู่ เบอร์โทร)
- **มาตรการ:**
  - จัดอบรมเพิ่มเติมเกี่ยวกับการส่งอีเมลและใช้ระบบยืนยันซ้ำก่อนส่ง
  - ติดตั้งระบบเตือนก่อนส่งไฟล์แนบออกจากโดเมน
  - ปรับแบบฟอร์มอัตโนมัติให้ลดการแนบไฟล์ที่ไม่จำเป็น
- **ผู้รับผิดชอบ:** หัวหน้าฝ่ายบริการลูกค้าและเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล (DPO)
- **ระยะเวลาดำเนินการ:** 1 เม.ย. – 31 พ.ค. 2568
- **ตัวชี้วัด:** ลดอัตราข้อผิดพลาดลงอย่างน้อย 80% ภายใน 2 เดือน

### 3. รายงานความคืบหน้า

- ระยะเวลารายงาน: 1–30 เมษายน 2568
- สถานะการดำเนินงาน: เสร็จสิ้นแล้ว 3 ใน 4 มาตรการ
- ความสำเร็จ: พนักงาน 100% เข้าร่วมการอบรม
- ปัญหาที่พบ: การตั้งค่าระบบเตือนยังไม่เสถียร คาดว่าจะเสร็จสมบูรณ์ภายใน 15 พฤษภาคม

### 4. รายงานบทเรียนที่ได้รับ

- **สาเหตุ:** ขาดการตรวจสอบซ้ำก่อนกดส่ง (ไม่มีระบบเตือน/ขาดการอบรม)
- **แนวทางแก้ไขระยะยาว:**
  - รวมมาตรฐานการส่งข้อมูลเป็นส่วนหนึ่งของคู่มือปฐมนิเทศพนักงานใหม่
  - สร้างระบบแจ้งเตือนเมื่อแนบไฟล์อัตโนมัติ
  - ทบทวนทะเบียนจัดการความเสี่ยงและเพิ่มรายการความเสี่ยงใหม่
  - บทเรียนสำหรับหน่วยงานอื่น: ทุกหน่วยที่ส่งข้อมูลลูกค้าควรใช้ระบบเตือนก่อนส่งเช่นเดียวกัน

### 5. แบบฟอร์มประกอบการติดตามและประเมินผล

- แบบฟอร์มติดตามแผนปฏิบัติการลดความเสี่ยง
- แบบฟอร์มรายงานเหตุการณ์ความเสี่ยงด้านข้อมูลส่วนบุคคล
- แบบฟอร์มประเมินผลหลังเหตุการณ์

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/9-1-3.md

============================================================
โนด: แนวปฏิบัติ 9.1.4
ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/9-1-4.md

# 9.1.4 นโยบายความเสี่ยงด้านข้อมูลส่วนบุคคลจัดทำเป็นเอกสารแยกต่างหากหรือเป็นส่วนหนึ่งของนโยบายความเสี่ยงระดับองค์กร และมีแนวปฏิบัติหรือขั้นตอนซึ่งกำหนดวิธีที่องค์กรและผู้ประมวลผลข้อมูลส่วนบุคคลขององค์กรจัดการความเสี่ยงด้านข้อมูลส่วนบุคคล และมีวิธีที่องค์กรติดตามการปฏิบัติตามนโยบายความเสี่ยงด้านข้อมูลส่วนบุคคล

## สิ่งที่ต้องทำ

องค์กรมีนโยบายความเสี่ยงด้านข้อมูลส่วนบุคคล แนวปฏิบัติหรือขั้นตอนกำหนดวิธีจัดการความเสี่ยงด้านข้อมูลส่วนบุคคล และมีวิธีที่องค์กรติดตามการปฏิบัติตามนโยบายดังกล่าว

## หลักฐาน

1. นโยบายความเสี่ยงด้านข้อมูลส่วนบุคคล
2. บันทึกรายการของกิจกรรมการประมวลผลข้อมูลส่วนบุคคล (ROPA)
3. เอกสารรายการตรวจประเมินความเสี่ยงด้านความปลอดภัยในการบริหารจัดการข้อมูลส่วนบุคคล

## สภาพบังคับ

ไม่มีกฎหมายบังคับ

## ตัวอย่างเอกสาร

### 1. นโยบายความเสี่ยงด้านข้อมูลส่วนบุคคล

ชื่อเอกสาร: นโยบายการจัดการความเสี่ยงด้านข้อมูลส่วนบุคคล ฉบับที่ 1/2567

- **จุดประสงค์:** เพื่อระบุ ประเมิน และจัดการความเสี่ยงที่เกิดจากการประมวลผลข้อมูลส่วนบุคคล
- **ขอบเขต:** ครอบคลุมทุกหน่วยงานที่เกี่ยวข้องกับการประมวลผลข้อมูลส่วนบุคคล
- **ความสัมพันธ์:** นโยบายฉบับนี้เป็นภาคผนวกของนโยบายการจัดการความเสี่ยงระดับองค์กร
- **หน้าที่รับผิดชอบ:** หน่วยงานเจ้าของระบบ/เจ้าของกระบวนการ, เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล (DPO)/คณะกรรมการคุ้มครองข้อมูล, ฝ่ายตรวจสอบภายใน
- **วิธีติดตาม:** ประเมินผลความเสี่ยงรายไตรมาส และตรวจสอบเอกสาร ROPA รายการตรวจประเมิน และการดำเนินการจริงทุก 6 เดือน

### 2. แนวปฏิบัติการจัดการความเสี่ยงด้านข้อมูลส่วนบุคคล

ชื่อเอกสาร: ขั้นตอนการระบุและจัดการความเสี่ยงด้านข้อมูลส่วนบุคคล

- **การระบุความเสี่ยง:** ระบุโดยการทำผังการไหลของข้อมูลและบันทึกลงใน ROPA
- **การประเมินความเสี่ยง:** ใช้เกณฑ์ระดับความรุนแรง/ความน่าจะเป็น (ต่ำ/กลาง/สูง) พร้อมแบบฟอร์มประเมินความเสี่ยง
- **การจัดการความเสี่ยง:** จัดทำแผนลดความเสี่ยงและมอบหมายผู้รับผิดชอบ
- **การติดตามผล:** DPO ตรวจสอบร่วมกับฝ่ายตรวจสอบภายใน และรายงานความคืบหน้าปรับปรุงแผนทุกไตรมาส

### 3. บันทึกรายการของกิจกรรมการประมวลผลข้อมูลส่วนบุคคล (ROPA)

ชื่อเอกสาร: ROPA เวอร์ชันปรับปรุงล่าสุด ณ วันที่ 1 มิถุนายน 2567

| ลำดับ | กระบวนการ | ประเภทข้อมูล | เจ้าของข้อมูล | ความเสี่ยงที่เกี่ยวข้อง | มาตรการลดความเสี่ยง |
|---|---|---|---|---|---|
| 1 | บันทึกข้อมูลพนักงาน | ข้อมูลระบุตัวตน | ฝ่ายบุคคล | การเข้าถึงโดยไม่ได้รับอนุญาต | การควบคุมสิทธิการเข้าถึงตามบทบาท |
| 2 | การสมัครงานออนไลน์ | ข้อมูลอ่อนไหว | ฝ่ายทรัพยากรบุคคล | การรั่วไหลจากผู้ให้บริการภายนอก | การเข้ารหัสและการทำ DPIA |

### 4. รายการตรวจประเมินความเสี่ยงด้านความปลอดภัยของข้อมูลส่วนบุคคล

ชื่อเอกสาร: แบบตรวจประเมินความปลอดภัยข้อมูลส่วนบุคคล ฉบับเดือนพฤษภาคม 2567

หมวดและตัวอย่างคำถาม:

- **สิทธิการเข้าถึง:** มีการจำกัดสิทธิ์การเข้าถึงตามหน้าที่งานหรือไม่? ระบบมีการตรวจสอบประวัติการเข้าถึงหรือไม่?
- **การส่งข้อมูล:** ข้อมูลส่วนบุคคลถูกเข้ารหัสขณะส่งหรือไม่? มีการบันทึกประวัติการส่งข้อมูลหรือไม่?
- **ผู้ประมวลผลข้อมูล:** ผู้ประมวลผลมีสัญญาประมวลผลข้อมูลหรือไม่? ผู้ประมวลผลมีรายงานการตรวจสอบมาตรการด้านความปลอดภัยหรือไม่?

รวมคะแนน: 18/20 (ผ่านเกณฑ์)

### 5. วิธีติดตามการปฏิบัติตามนโยบาย

- มีการจัดประชุมความคืบหน้าด้านการปฏิบัติตามมาตรการความเสี่ยงทุกไตรมาส
- ตรวจสอบโดยฝ่ายตรวจสอบภายในปีละ 1 ครั้ง
- จัดทำรายงานสรุปความเสี่ยงประจำปีพร้อมบทเรียนที่ได้รับ

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/9-1-4.md

============================================================
โนด: แนวปฏิบัติ 9.1.5
ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/9-1-5.md

# 9.1.5 องค์กรมีขั้นตอนอย่างเป็นทางการในการระบุ บันทึก และจัดการความเสี่ยงที่เกี่ยวข้องกับทรัพย์สินสารสนเทศในทะเบียนควบคุมทรัพย์สินสารสนเทศ

## สิ่งที่ต้องทำ

องค์กรมีขั้นตอนอย่างเป็นทางการในการระบุ บันทึก และจัดการความเสี่ยงที่เกี่ยวข้องกับทรัพย์สินสารสนเทศในทะเบียนควบคุมทรัพย์สินสารสนเทศอย่างชัดเจนและครบถ้วน

## หลักฐาน

1. นโยบายในการกำหนดขั้นตอนการระบุ บันทึก และจัดการความเสี่ยงที่เกี่ยวข้องกับทรัพย์สินสารสนเทศในทะเบียนควบคุมทรัพย์สินสารสนเทศ
2. ทะเบียนควบคุมทรัพย์สินสารสนเทศ

## สภาพบังคับ

ไม่มีกฎหมายบังคับ

## ตัวอย่างเอกสาร

### 1. นโยบายการจัดการทะเบียนควบคุมทรัพย์สินสารสนเทศ

ชื่อเอกสาร: นโยบายการควบคุมทรัพย์สินสารสนเทศ

- **วัตถุประสงค์:** เพื่อระบุ บันทึก และบริหารความเสี่ยงของทรัพย์สินสารสนเทศขององค์กรอย่างมีประสิทธิภาพ
- **ขอบเขต:** ครอบคลุมทรัพย์สินทุกประเภท เช่น ฮาร์ดแวร์ ซอฟต์แวร์ ฐานข้อมูล เครือข่าย เอกสาร และข้อมูลส่วนบุคคล
- **นิยาม:** ทรัพย์สินสารสนเทศคือทรัพยากรที่มีมูลค่าเชิงสารสนเทศและต้องได้รับการคุ้มครอง; เจ้าของทรัพย์สินคือผู้มีหน้าที่กำกับดูแลความปลอดภัยและการใช้งานของทรัพย์สิน
- **ความถี่ในการทบทวน:** อย่างน้อยปีละ 1 ครั้ง
- **ผู้รับผิดชอบ:** เจ้าของทรัพย์สิน, คณะกรรมการเทคโนโลยีสารสนเทศ, DPO

### 2. ขั้นตอนในการระบุ บันทึก และจัดการความเสี่ยงของทรัพย์สินสารสนเทศ

- **ขั้นตอนที่ 1 ระบุทรัพย์สิน** แยกตามหมวดหมู่ — ฮาร์ดแวร์ (เซิร์ฟเวอร์ คอมพิวเตอร์ อุปกรณ์พกพา), ซอฟต์แวร์ (ระบบ ERP ระบบบริหารงานบุคคล), ข้อมูล (ฐานข้อมูล แฟ้มข้อมูลส่วนบุคคล), บริการคลาวด์/เครือข่าย
- **ขั้นตอนที่ 2 ประเมินมูลค่าและความเสี่ยง** กำหนดความสำคัญ ประเมินความเป็นไปได้ ผลกระทบ และระดับความเสี่ยง (ต่ำ/กลาง/สูง)
- **ขั้นตอนที่ 3 บันทึกในทะเบียนควบคุมทรัพย์สินสารสนเทศ** ใช้ฟอร์มที่มีช่องบันทึกผู้รับผิดชอบ มาตรการควบคุม และประวัติการตรวจสอบ
- **ขั้นตอนที่ 4 การจัดการและทบทวน** ทบทวนรายการทรัพย์สินอย่างน้อยปีละ 1 ครั้ง และปรับปรุงทะเบียนทันทีหากมีเหตุการณ์ความเสี่ยง

### 3. ตัวอย่างทะเบียนควบคุมทรัพย์สินสารสนเทศ

| ลำดับ | ประเภททรัพย์สิน | รายละเอียด | เจ้าของทรัพย์สิน | ระดับความเสี่ยง | มาตรการควบคุม |
|---|---|---|---|---|---|
| 1 | ฐานข้อมูลพนักงาน | ฐานข้อมูลที่เก็บข้อมูลส่วนบุคคลของพนักงาน | ผู้จัดการฝ่ายบุคคล | สูง | การควบคุมการเข้าถึงและการเข้ารหัส |
| 2 | เซิร์ฟเวอร์ระบบ ERP | เซิร์ฟเวอร์ระบบ ERP ภายในองค์กร | ผู้จัดการฝ่ายเทคโนโลยีสารสนเทศ | กลาง | ไฟร์วอลล์และการรักษาความปลอดภัยทางกายภาพ |
| 3 | บริการคลาวด์อีเมล | บริการคลาวด์ที่ใช้งานอีเมล | DPO | กลาง | การยืนยันตัวตนหลายชั้นและการป้องกันข้อมูลรั่วไหล |
| 4 | แฟ้มเอกสารประวัติลูกค้า | ข้อมูลออฟไลน์ที่เก็บไว้ในตู้นิรภัย | ผู้จัดการสาขา | สูง | กล้องวงจรปิดและล็อก 2 ชั้น |

### 4. แนวปฏิบัติเสริม

- **การจำแนกทรัพย์สิน:** ลับ / ใช้ภายใน / เปิดเผยทั่วไป
- **การมอบหมายความรับผิดชอบ:** เจ้าของต้องรับผิดชอบการบำรุงรักษาและควบคุมความเสี่ยง
- **การจัดทำรายการสำรอง:** ข้อมูลสำคัญต้องมีการสำรองและเก็บไว้นอกสถานที่
- **การบันทึกเหตุการณ์ผิดปกติ:** ทุกเหตุการณ์ที่มีความเสี่ยงจะถูกบันทึกและวิเคราะห์

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/9-1-5.md

============================================================
โนด: แนวปฏิบัติ 9.1.6
ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/9-1-6.md

# 9.1.6 องค์กรมีมาตรการเพื่อลดความเสี่ยงที่ระบุในประเภทความเสี่ยง และองค์กรทดสอบมาตรการเหล่านี้เป็นประจำเพื่อให้แน่ใจว่ายังคงมีประสิทธิภาพ

## สิ่งที่ต้องทำ

องค์กรมีมาตรการเพื่อลดความเสี่ยงที่ระบุในประเภทความเสี่ยง และมีการทดสอบประสิทธิภาพของมาตรการเป็นประจำ

## หลักฐาน

1. นโยบายในการทดสอบมาตรการเพื่อลดความเสี่ยงที่ระบุในประเภทความเสี่ยง
2. รายงานผลการทดสอบมาตรการดังกล่าว

## สภาพบังคับ

ไม่มีกฎหมายบังคับ

## ตัวอย่างเอกสาร

### 1. นโยบายการทดสอบมาตรการควบคุมความเสี่ยง

ชื่อเอกสาร: นโยบายการทดสอบและประเมินประสิทธิภาพของมาตรการควบคุมความเสี่ยงด้านข้อมูลส่วนบุคคล

- **วัตถุประสงค์:** เพื่อกำหนดแนวทางในการทดสอบและตรวจสอบว่ามาตรการควบคุมที่ใช้งานอยู่มีประสิทธิภาพต่อเนื่อง และสร้างความมั่นใจว่าองค์กรสามารถลดผลกระทบจากความเสี่ยงที่ระบุไว้ในทะเบียนจัดการความเสี่ยงได้จริง
- **ขอบเขต:** ครอบคลุมมาตรการในประเภทความเสี่ยง ได้แก่ ความเสี่ยงด้านการเข้าถึงโดยไม่ได้รับอนุญาต, การรั่วไหลของข้อมูล, ความล้มเหลวของระบบเทคโนโลยี, ความผิดพลาดจากบุคลากร และความเสี่ยงด้านบุคคลภายนอกหรือผู้ให้บริการ
- **แนวปฏิบัติหลัก:** กำหนดมาตรการควบคุมเฉพาะเจาะจง เช่น การยืนยันตัวตนหลายชั้น การป้องกันข้อมูลรั่วไหล การบันทึกการเข้าถึง และการเข้ารหัส; ทดสอบทุก 6 เดือนหรือตามระดับความเสี่ยง; ใช้เทคนิคการทดสอบ เช่น การทดสอบเจาะระบบ การจำลองสถานการณ์ และการซ้อมบนโต๊ะ
- **บทบาทและความรับผิดชอบ:** DPO และแผนกความมั่นคงปลอดภัยสารสนเทศรับผิดชอบร่วมกัน โดยผู้จัดการแผนกประสานงานเพื่อจัดตารางทดสอบ

### 2. รายงานผลการทดสอบมาตรการลดความเสี่ยง

ชื่อเอกสาร: รายงานการทดสอบมาตรการควบคุมความเสี่ยง ครึ่งปีแรก พ.ศ. 2567

| ประเภทความเสี่ยง | มาตรการทดสอบ | ผลการทดสอบ | สรุปผล | ข้อเสนอแนะ |
|---|---|---|---|---|
| การเข้าถึงโดยไม่ได้รับอนุญาต | การยืนยันตัวตนหลายชั้นสำหรับระบบภายใน | ผู้ใช้ไม่สามารถข้ามการยืนยันตัวตนได้ | มีประสิทธิภาพ | ปรับปรุงประสบการณ์ผู้ใช้เพื่อป้องกันการหลีกเลี่ยง |
| การรั่วไหลของข้อมูล | การใช้ระบบป้องกันข้อมูลรั่วไหล | มีการแจ้งเตือนเมื่อมีความพยายามแนบไฟล์ข้อมูลส่วนบุคคล | มีประสิทธิภาพ | เพิ่มคำหลักใหม่สำหรับตรวจจับไฟล์และสแกนเอกสาร |
| ความเสี่ยงจากบุคลากร | การอบรมสร้างความตระหนักและการจำลองอีเมลหลอกลวง | 89% ไม่คลิกลิงก์ปลอม | มีประสิทธิภาพแต่ยังมีช่องโหว่ | เพิ่มความถี่การฝึกอบรมต่อกลุ่มเสี่ยง |
| ความเสี่ยงจากบุคคลภายนอก | ตรวจสอบผู้ให้บริการผ่านรายการประเมินความเสี่ยง | 2 รายไม่ส่งแบบประเมินตามรอบ | ต้องติดตามเพิ่มเติม | แจ้งเตือนและพิจารณาจัดอบรมสำหรับผู้ให้บริการ |

### 3. แนวทางในการปรับปรุงมาตรการหลังการทดสอบ

- หากผลการทดสอบพบจุดอ่อน ให้จัดทำแผนปฏิบัติการภายใน 30 วัน
- DPO จัดทำรายงานผลและข้อเสนอแนะเสนอต่อคณะกรรมการบริหารความเสี่ยง
- แผนปรับปรุงต้องเข้าสู่ทะเบียนจัดการความเสี่ยงและจัดทำรายงานความคืบหน้า

### 4. วิธีการติดตามและประเมินผลอย่างต่อเนื่อง

- กำหนดตัวชี้วัดว่ามาตรการควบคุมต้องมีประสิทธิภาพขั้นต่ำ 80%
- รายงานผลต่อที่ประชุมฝ่ายบริหารความเสี่ยงทุก 6 เดือน
- เก็บบันทึกร่องรอยการตรวจสอบและบันทึกผลการทดสอบลงในระบบขององค์กร

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/9-1-6.md

============================================================
โนด: แนวปฏิบัติ 9.2.1
ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/9-2-1.md

# 9.2.1 องค์กรกำหนดให้มีการทำ DPIA ตั้งแต่เริ่มต้นของโครงการ ก่อนที่การประมวลผลข้อมูลส่วนบุคคลจะเริ่มต้น และ DPIA จะต้องดำเนินการควบคู่ไปกับกระบวนการวางแผนและการพัฒนา

## สิ่งที่ต้องทำ

องค์กรกำหนดให้มีการทำ DPIA ตั้งแต่ก่อนที่การประมวลผลข้อมูลส่วนบุคคลจะเริ่มต้น และมีการดำเนินการควบคู่ไปกับกระบวนการวางแผนและพัฒนา

## หลักฐาน

1. นโยบายการจัดทำการประเมินความเสี่ยงของโครงการ
2. หนังสือรับรอง
3. รายงานผลการประเมินความเสี่ยง

## สภาพบังคับ

ไม่มีกฎหมายบังคับ

## ตัวอย่างเอกสาร

### รายงานการประเมินผลกระทบด้านการคุ้มครองข้อมูลส่วนบุคคล (DPIA)

- **โครงการ:** ระบบบริหารจัดการข้อมูลผู้รับบริการในหน่วยงานของรัฐ
- **หน่วยงานที่รับผิดชอบ:** กองเทคโนโลยีสารสนเทศ สำนักนโยบายและแผน

#### 1. บทนำ

เพื่อให้เป็นไปตามแนวทางการปกป้องข้อมูลโดยการออกแบบและการกำหนดเป็นค่าเริ่มต้น หน่วยงานได้จัดให้มีการจัดทำรายงานการประเมินผลกระทบด้านการคุ้มครองข้อมูลส่วนบุคคล (DPIA) ตั้งแต่ระยะเริ่มต้นของการออกแบบโครงการ และดำเนินการประเมินควบคู่ไปกับกระบวนการวางแผนและพัฒนาโครงการ เพื่อระบุ วิเคราะห์ และบริหารความเสี่ยงที่อาจเกิดขึ้นต่อสิทธิและเสรีภาพของเจ้าของข้อมูลส่วนบุคคล

#### 2. วัตถุประสงค์ของโครงการ

วัตถุประสงค์ของการดำเนินโครงการนี้ คือการพัฒนาและปรับปรุงระบบฐานข้อมูลกลางเพื่อรองรับการให้บริการประชาชน โดยมีการจัดเก็บข้อมูลส่วนบุคคล อาทิ ชื่อ-สกุล หมายเลขประจำตัวประชาชน ที่อยู่ ข้อมูลสุขภาพ และข้อมูลการขอรับบริการจากหน่วยงานของรัฐ

#### 3. ลักษณะของข้อมูลที่เกี่ยวข้อง

- ข้อมูลประจำตัว (เช่น ชื่อ-นามสกุล หมายเลขบัตรประชาชน)
- ข้อมูลติดต่อ (เช่น ที่อยู่ หมายเลขโทรศัพท์ อีเมล)
- ข้อมูลอ่อนไหว (เช่น ข้อมูลสุขภาพ)
- ข้อมูลประวัติการรับบริการจากหน่วยงาน

#### 4. การวิเคราะห์ผลกระทบ

การวิเคราะห์ได้ระบุถึงความเสี่ยงหลักที่อาจส่งผลกระทบต่อเจ้าของข้อมูล ดังนี้

| ความเสี่ยง | ผลกระทบ | ความรุนแรง | ความน่าจะเป็น | มาตรการบรรเทา |
|---|---|---|---|---|
| การเข้าถึงโดยไม่ได้รับอนุญาต | เปิดเผยข้อมูลส่วนบุคคลโดยมิชอบ | สูง | ปานกลาง | การใช้ระบบยืนยันตัวตน 2 ชั้น การเข้ารหัสข้อมูล |
| การจัดเก็บเกินระยะเวลาที่จำเป็น | ความเสี่ยงต่อการรั่วไหลในอนาคต | ปานกลาง | สูง | การกำหนดระยะเวลาการจัดเก็บ และลบอัตโนมัติ |
| การส่งข้อมูลไปยังบุคคลภายนอก | สูญเสียการควบคุมข้อมูล | สูง | ต่ำ | การจัดทำสัญญาประมวลผลข้อมูล |

#### 5. แนวทางการบูรณาการ DPIA เข้ากับกระบวนการวางแผน

หน่วยงานได้บูรณาการการประเมิน DPIA ไว้ในขั้นตอนต่อไปนี้:

- ระยะเริ่มต้น: วิเคราะห์ความจำเป็นในการเก็บข้อมูลส่วนบุคคล
- ระยะออกแบบ: การประเมินทางเลือกในการจัดเก็บข้อมูลให้น้อยที่สุดเท่าที่จำเป็น
- ระยะพัฒนา: ตรวจสอบระบบรักษาความมั่นคงปลอดภัยของข้อมูล
- ระยะทดลองใช้: ทบทวนและปรับปรุงตามข้อเสนอแนะจากการประเมินผลเบื้องต้น

#### 6. สรุปและข้อเสนอแนะ

จากการประเมินพบว่า โครงการมีความเสี่ยงในระดับ "ปานกลางถึงสูง" จึงเสนอให้มีการดำเนินมาตรการบรรเทาความเสี่ยงเชิงรุกในทุกระยะ และมีการติดตามประเมินผลซ้ำเมื่อมีการเปลี่ยนแปลงวิธีการประมวลผลหรือจุดประสงค์ของการเก็บข้อมูล

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/9-2-1.md

============================================================
โนด: แนวปฏิบัติ 9.2.2
ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/9-2-2.md

# 9.2.2 องค์กรอ้างอิง DPIA ในนโยบายและขั้นตอนการจัดการความเสี่ยงโครงการ และนโยบายการบริหารจัดการการเปลี่ยนแปลงทั้งหมด พร้อมทั้งเชื่อมโยงไปยังนโยบายและขั้นตอนตาม DPIA

## สิ่งที่ต้องทำ

องค์กรมีการอ้างอิง DPIA ในนโยบายและขั้นตอนการจัดการความเสี่ยงโครงการ และนโยบายการบริหารจัดการการเปลี่ยนแปลงทั้งหมด พร้อมทั้งเชื่อมโยงไปยังนโยบายและขั้นตอนตาม DPIA รวมถึงมีเอกสารครบถ้วน

## หลักฐาน

1. นโยบายการนำการประเมินความเสี่ยงไปเชื่อมโยงในการจัดทำโครงการต่าง ๆ ภายในองค์กร
2. ทะเบียนจัดการความเสี่ยง
3. รายงานผลการประเมินความเสี่ยงจากบุคลากรที่เกี่ยวข้อง
4. หนังสือรับรองรายงานผลการประเมินความเสี่ยง

## สภาพบังคับ

ไม่มีกฎหมายบังคับ

## ตัวอย่างเอกสาร

### นโยบายการเชื่อมโยงการประเมินความเสี่ยงจาก DPIA กับการดำเนินโครงการและการบริหารความเปลี่ยนแปลงภายในหน่วยงาน

หน่วยงาน: สำนักแผนงานและพัฒนาองค์กร · วันที่จัดทำ: 4 มิถุนายน 2568

#### 1. วัตถุประสงค์

เพื่อให้กระบวนการบริหารความเสี่ยงและการดำเนินโครงการต่าง ๆ ภายในหน่วยงานมีความสอดคล้องกับแนวทางการคุ้มครองข้อมูลส่วนบุคคล โดยเฉพาะการใช้การประเมินผลกระทบด้านข้อมูลส่วนบุคคล (DPIA) เป็นกลไกในการป้องกันความเสี่ยงและกำกับดูแลอย่างรัดกุม

#### 2. ขอบเขตการบังคับใช้

นโยบายฉบับนี้มีผลบังคับใช้กับโครงการทั้งหมดของหน่วยงานที่มีการจัดเก็บ ใช้ เปิดเผย หรือโอนข้อมูลส่วนบุคคล ไม่ว่าจะดำเนินการโดยตรงหรือโดยผู้ประมวลผลภายนอก รวมถึงการเปลี่ยนแปลงระบบ เทคโนโลยี กระบวนการทำงาน หรือการจัดเก็บข้อมูลที่อาจมีผลกระทบต่อเจ้าของข้อมูล

#### 3. หลักการดำเนินงาน

1. โครงการหรือการเปลี่ยนแปลงใด ๆ ที่อาจมีผลต่อข้อมูลส่วนบุคคล ต้องดำเนินการประเมิน DPIA ในระยะต้นของการวางแผน
2. การประเมิน DPIA ต้องถูกอ้างอิงในทะเบียนบริหารความเสี่ยงประจำปี และแนบรายงานผลการประเมินไว้เป็นเอกสารประกอบ
3. การดำเนินโครงการใด ๆ ต้องแสดงหลักฐานว่าได้ตรวจสอบความเสี่ยงด้านข้อมูลส่วนบุคคลโดยใช้ DPIA ก่อนการอนุมัติแผน
4. การเปลี่ยนแปลงระบบงานหรือขั้นตอนการประมวลผลข้อมูลต้องมีการประเมินผลกระทบใหม่ หากเกิดความเสี่ยงใหม่ที่ไม่ได้ครอบคลุมใน DPIA เดิม
5. เอกสาร DPIA ที่จัดทำต้องเชื่อมโยงกับนโยบายและระเบียบภายใน เช่น ระเบียบการจัดการข้อมูลส่วนบุคคล ระเบียบการจัดซื้อจัดจ้าง และคู่มือการปฏิบัติงานของแต่ละแผนก

#### 4. สรุปข้อกำหนดตามนโยบาย

| กระบวนการ | ต้องดำเนินการ | เอกสารที่เกี่ยวข้อง |
|---|---|---|
| การวางแผนโครงการใหม่ | ทำ DPIA และอ้างอิงในแผน | แบบฟอร์มแผนโครงการ รายงาน DPIA |
| การเปลี่ยนแปลงระบบงาน | ตรวจสอบผลกระทบใหม่ | รายงาน DPIA ฉบับปรับปรุง |
| การติดตามความเสี่ยง | ลงทะเบียนในระบบบริหารความเสี่ยง | ทะเบียนความเสี่ยงประจำปี |
| การรายงานผู้บริหาร | แนบสรุป DPIA ในรายงานประจำไตรมาส | หนังสือสรุปผลความเสี่ยง |

#### 5. ผู้รับผิดชอบและการติดตาม

- ฝ่ายบริหารความเสี่ยง
- ฝ่ายกฎหมาย
- ฝ่ายเทคโนโลยีสารสนเทศ
- ฝ่ายตรวจสอบภายในดำเนินการตรวจติดตามประจำปี เพื่อประเมินความครบถ้วนของการเชื่อมโยง DPIA เข้ากับโครงการและระบบงานต่าง ๆ

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/9-2-2.md

============================================================
โนด: แนวปฏิบัติ 9.2.3
ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/9-2-3.md

# 9.2.3 องค์กรมีการคาดการณ์ถึงความเสี่ยงและเหตุการณ์ที่อาจรุกล้ำความเป็นส่วนตัวก่อนที่จะเกิดขึ้นในขั้นตอนการออกแบบเริ่มต้นของระบบ ผลิตภัณฑ์ หรือกระบวนการใด ๆ และตลอดทั้งระบบ

## สิ่งที่ต้องทำ

องค์กรมีการคาดการณ์ถึงความเสี่ยงและเหตุการณ์ที่อาจรุกล้ำความเป็นส่วนตัว ในขั้นตอนการออกแบบเริ่มต้นของระบบ ผลิตภัณฑ์ หรือกระบวนการใด ๆ และตลอดทั้งระบบ โดยองค์กรพิจารณาถึง

1. กิจกรรมการประมวลผลที่จะดำเนินการ
2. ความเสี่ยงที่อาจเกิดขึ้นต่อสิทธิและเสรีภาพของบุคคล
3. มาตรการที่เป็นไปได้เพื่อลดความเสี่ยงดังกล่าวอย่างครบถ้วน

## หลักฐาน

1. นโยบายการประเมินความเสี่ยงของเหตุการณ์ที่อาจรุกล้ำความเป็นส่วนตัวในขั้นตอนการออกแบบเริ่มต้นของระบบ ผลิตภัณฑ์ หรือกระบวนการ
2. ทะเบียนจัดการความเสี่ยง
3. มาตรการเชิงรุกในการคุ้มครองข้อมูลส่วนบุคคลในทางป้องกัน
4. แบบฟอร์มการประเมินความเสี่ยง

## สภาพบังคับ

ไม่มีกฎหมายบังคับ

## ตัวอย่างเอกสาร

### นโยบายการคาดการณ์และประเมินความเสี่ยงด้านความเป็นส่วนตัวในขั้นตอนการออกแบบระบบ ผลิตภัณฑ์ และกระบวนการ

หน่วยงาน: ฝ่ายบริหารความเสี่ยงและการออกแบบระบบ · วันที่จัดทำ: 4 มิถุนายน 2568

#### 1. วัตถุประสงค์

เพื่อกำหนดแนวทางในการพิจารณาและคาดการณ์ถึงความเสี่ยงที่อาจส่งผลกระทบต่อสิทธิและเสรีภาพของเจ้าของข้อมูลส่วนบุคคลในช่วงเริ่มต้นของการออกแบบระบบงาน ผลิตภัณฑ์ และกระบวนการใหม่ รวมถึงตลอดวัฏจักรการพัฒนาและใช้งานระบบ เพื่อให้การประมวลผลข้อมูลส่วนบุคคลเป็นไปอย่างปลอดภัย โปร่งใส และลดโอกาสเกิดการละเมิดความเป็นส่วนตัว

#### 2. ขอบเขตการบังคับใช้

ใช้กับการพัฒนาและปรับปรุงระบบ เทคโนโลยี กระบวนการ หรือผลิตภัณฑ์ใด ๆ ภายในหน่วยงานที่เกี่ยวข้องกับการเก็บ รวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล ทั้งโดยตรงและโดยอ้อม รวมถึงการว่าจ้างผู้ให้บริการภายนอกที่เข้าถึงหรือจัดการข้อมูลส่วนบุคคล

#### 3. แนวทางการดำเนินงาน

- **การคาดการณ์กิจกรรมการประมวลผล** ผู้พัฒนาระบบต้องจัดทำแบบฟอร์มระบุลักษณะของกิจกรรมการประมวลผลข้อมูล เช่น การเก็บข้อมูลจากผู้ใช้ การส่งต่อไปยังบุคคลภายนอก การวิเคราะห์ข้อมูล และส่งให้ฝ่ายบริหารความเสี่ยงพิจารณาก่อนเริ่มการพัฒนา
- **การระบุความเสี่ยงต่อสิทธิและเสรีภาพ** วิเคราะห์ว่าข้อมูลที่จัดเก็บเป็นข้อมูลทั่วไปหรือข้อมูลอ่อนไหว และพิจารณาผลกระทบที่อาจเกิดขึ้น เช่น การตีตราทางสังคม ความเสียหายต่อชื่อเสียง ความไม่ปลอดภัยทางกายภาพ หรือการเลือกปฏิบัติ
- **การกำหนดมาตรการป้องกันเชิงรุก** เช่น การแฝงข้อมูล การเข้ารหัส การจำกัดการเข้าถึง การอบรมผู้เกี่ยวข้อง และการตั้งค่าเริ่มต้นที่ปลอดภัย

#### 4. ขั้นตอนการประเมินความเสี่ยงล่วงหน้า

| ขั้นตอน | รายละเอียด | ผู้รับผิดชอบ |
|---|---|---|
| 1. แจ้งเริ่มต้นการออกแบบ | ทีมพัฒนาระบบแจ้งกิจกรรมประมวลผลที่คาดว่าจะเกิดขึ้น | หัวหน้าโครงการ |
| 2. จัดทำแบบประเมินความเสี่ยง | กรอกแบบฟอร์มประเมินความเสี่ยงด้านความเป็นส่วนตัว | ผู้พัฒนาระบบและเจ้าหน้าที่คุ้มครองข้อมูล |
| 3. วิเคราะห์และตรวจสอบร่วม | วิเคราะห์ผลกระทบและกำหนดมาตรการ | ฝ่ายบริหารความเสี่ยง |
| 4. สรุปและเสนอผู้บริหาร | เสนอรายงานผลการคาดการณ์ความเสี่ยงเพื่ออนุมัติ | คณะกรรมการบริหารระบบ |
| 5. ติดตามประเมินซ้ำหลังดำเนินการ | ทบทวนความเสี่ยงใหม่ (ถ้ามี) | ฝ่ายตรวจสอบภายใน |

#### 5. การติดตามและประเมินผล

หน่วยงานจะติดตามผลการประเมินล่วงหน้าเป็นประจำทุก 6 เดือน โดยเฉพาะโครงการที่มีลักษณะเปลี่ยนแปลงกระบวนการประมวลผลอย่างมีนัยสำคัญ พร้อมจัดทำรายงานทบทวนความเสี่ยงเสนอให้คณะกรรมการบริหารรับทราบ

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/9-2-3.md

============================================================
โนด: แนวปฏิบัติ 9.3.1
ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/9-3-1.md

# 9.3.1 นโยบาย DPIA ควรรวมถึงขั้นตอนที่ชัดเจนในการตัดสินใจว่าต้องทำ DPIA หรือไม่ สิ่งที่ DPIA ควรครอบคลุม ผู้อนุมัติ และการรวม DPIA เป็นส่วนหนึ่งของแผนการดำเนินการโดยรวมของโครงการ

## สิ่งที่ต้องทำ

องค์กรมีนโยบายการประเมินผลกระทบด้านการคุ้มครองข้อมูลส่วนบุคคล (DPIA) ที่มีรายละเอียดและขั้นตอนครบถ้วน โดยนโยบาย DPIA ควรรวมถึง

1. ขั้นตอนที่ชัดเจนในการตัดสินใจว่าต้องทำ DPIA หรือไม่
2. สิ่งที่ DPIA ควรครอบคลุม
3. ผู้ที่จะเป็นผู้อนุมัติ
4. การรวม DPIA เป็นส่วนหนึ่งของแผนการดำเนินการโดยรวมของโครงการนั้น ๆ

## หลักฐาน

1. นโยบายการประเมินความเสี่ยงของข้อมูลส่วนบุคคล
2. รายงานการประเมินความเสี่ยงของข้อมูลส่วนบุคคล
3. หนังสืออนุมัติรายงานการประเมินความเสี่ยงของข้อมูลส่วนบุคคล

## สภาพบังคับ

ไม่มีกฎหมายบังคับ

## ตัวอย่างเอกสาร

### นโยบายการประเมินผลกระทบด้านการคุ้มครองข้อมูลส่วนบุคคล (DPIA Policy)

องค์กรมุ่งมั่นปฏิบัติตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 และแนวทางสากลที่เกี่ยวข้อง โดยกำหนดนโยบาย DPIA เป็นกลไกในการบริหารความเสี่ยงและคุ้มครองสิทธิของเจ้าของข้อมูล

#### 1. วัตถุประสงค์

- กำหนดแนวทางปฏิบัติในการพิจารณาความจำเป็นในการจัดทำ DPIA
- ระบุขอบเขตและสาระสำคัญที่ DPIA ต้องครอบคลุม
- กำหนดบทบาทหน้าที่และผู้มีอำนาจอนุมัติ DPIA
- บูรณาการ DPIA เข้ากับกระบวนการดำเนินโครงการและการบริหารความเสี่ยงขององค์กร

#### 2. ขั้นตอนการพิจารณาความจำเป็นในการทำ DPIA

ทุกโครงการ กิจกรรม หรือนโยบายใหม่ที่เกี่ยวข้องกับการประมวลผลข้อมูลส่วนบุคคลต้องได้รับการตรวจสอบเบื้องต้นเพื่อพิจารณาว่ามีความเสี่ยงสูงหรือไม่ โดยเกณฑ์พิจารณาความเสี่ยงสูง ได้แก่

- การประมวลผลข้อมูลส่วนบุคคลจำนวนมาก
- การประมวลผลข้อมูลอ่อนไหว เช่น ข้อมูลสุขภาพ ความเชื่อ ศาสนา หรือข้อมูลชีวภาพ
- การเฝ้าระวังหรือติดตามพฤติกรรมอย่างเป็นระบบ
- การใช้เทคโนโลยีใหม่ที่มีผลกระทบต่อสิทธิของเจ้าของข้อมูล
- การเชื่อมโยงข้อมูลจากหลายแหล่งจนสามารถระบุตัวบุคคลได้

หากเข้าข่ายต้องจัดทำ DPIA โดยทันที หากไม่เข้าข่ายต้องบันทึกเหตุผลเพื่อเก็บเป็นหลักฐาน

#### 3. ขอบเขตและสาระสำคัญที่ DPIA ต้องครอบคลุม

- คำอธิบายเกี่ยวกับลักษณะ วัตถุประสงค์ และวิธีการประมวลผลข้อมูล
- การประเมินความจำเป็นและความได้สัดส่วนของการประมวลผล
- การวิเคราะห์และประเมินความเสี่ยงต่อสิทธิและเสรีภาพของเจ้าของข้อมูล
- มาตรการทางเทคนิคและทางองค์กรเพื่อป้องกันและบรรเทาความเสี่ยง เช่น การเข้ารหัสข้อมูล การจำกัดสิทธิ์การเข้าถึง และการฝึกอบรมบุคลากร
- ผลลัพธ์และข้อเสนอแนะในการลดความเสี่ยงให้อยู่ในระดับที่ยอมรับได้

#### 4. บทบาทหน้าที่และอำนาจการอนุมัติ

- **ผู้รับผิดชอบโครงการ:** จัดทำ DPIA ตั้งแต่เริ่มต้น
- **เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล (DPO):** ตรวจสอบความครบถ้วนและให้คำแนะนำ
- **คณะกรรมการคุ้มครองข้อมูลส่วนบุคคลขององค์กรหรือผู้บริหารสูงสุด:** อนุมัติ DPIA ก่อนดำเนินโครงการ
- หากยังมีความเสี่ยงสูงแม้มีมาตรการบรรเทา ต้องขอคำปรึกษาจากสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล

#### 5. การบูรณาการ DPIA เข้ากับการดำเนินงาน

- DPIA ต้องจัดทำและแล้วเสร็จก่อนการอนุมัติโครงการ
- ทบทวนและอัปเดต DPIA เมื่อมีการเปลี่ยนแปลงด้านเทคโนโลยีหรือวิธีการประมวลผล
- บันทึกและเก็บรักษาเอกสาร DPIA อย่างเป็นระบบ เพื่อแสดงต่อหน่วยงานกำกับดูแลได้
- ผลการประเมิน DPIA ต้องผนวกเข้ากับแผนการจัดการความเสี่ยงขององค์กร

### ตัวอย่างรายงานการประเมินความเสี่ยง: ระบบบริหารจัดการนักศึกษาออนไลน์

รายงานจัดทำตามนโยบาย DPIA เพื่อประเมินความเสี่ยงจากการประมวลผลข้อมูลส่วนบุคคลในระบบ โดยใช้เกณฑ์โอกาสเกิดและผลกระทบ กำหนดระดับความเสี่ยง (ต่ำ/ปานกลาง/สูง)

| ความเสี่ยง | รายละเอียด | ระดับความเสี่ยง | มาตรการเพิ่มเติมที่แนะนำ |
|---|---|---|---|
| การเข้าถึงโดยไม่ได้รับอนุญาต | บัญชีผู้ใช้ถูกแฮกหรือรหัสผ่านรั่วไหล | สูง | ใช้การยืนยันตัวตนสองชั้นและการเข้ารหัสการสื่อสาร |
| การรั่วไหลของข้อมูลอ่อนไหว | ข้อมูลสุขภาพถูกเผยแพร่โดยไม่ตั้งใจ | ปานกลาง | เพิ่มการเข้ารหัสข้อมูลที่จัดเก็บและระบบตรวจจับการเข้าถึงผิดปกติ |
| การใช้ข้อมูลผิดวัตถุประสงค์ | นำข้อมูลไปใช้เพื่อการตลาดโดยไม่ได้รับความยินยอม | ปานกลาง | จัดอบรมพนักงานและทำระบบบันทึกการใช้งาน |
| ความเสี่ยงจากผู้ให้บริการภายนอก | ผู้ให้บริการคลาวด์จัดเก็บข้อมูลในประเทศที่ไม่มีกฎหมายคุ้มครองข้อมูล | ปานกลาง | ตรวจสอบมาตรฐานความปลอดภัยและใช้การเข้ารหัสฝั่งลูกค้า |

สรุป: โครงการสามารถดำเนินต่อได้ภายใต้เงื่อนไขการยืนยันตัวตนสองชั้น การเข้ารหัสข้อมูลสุขภาพ การอบรมบุคลากร และการทบทวนสัญญากับผู้ให้บริการคลาวด์ ผลการประเมินจะถูกบันทึกเข้าทะเบียนการจัดการความเสี่ยงขององค์กรและรายงานต่อผู้บริหารระดับสูงเพื่ออนุมัติ

### แม่แบบรายงานการประเมินความเสี่ยง

แม่แบบประกอบด้วยหัวข้อ: หน่วยงาน/โครงการ, วันที่จัดทำ, ผู้รับผิดชอบ, ผู้ตรวจสอบ (DPO), ผู้อนุมัติ, บทนำ, วัตถุประสงค์ของโครงการ, ขอบเขตของการประเมิน (ประเภทข้อมูล/กลุ่มเจ้าของข้อมูล/วิธีการประมวลผล/ระบบที่ใช้), ตารางการประเมินความเสี่ยง (โอกาสเกิด 1–5 × ผลกระทบ 1–5 = ระดับความเสี่ยง), สรุปผลและข้อเสนอแนะ และการอนุมัติ โดยรายงานต้องเก็บรักษาเป็นหลักฐานและทบทวนเมื่อมีการเปลี่ยนแปลงกระบวนการ เทคโนโลยี หรือโครงการ

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/9-3-1.md

============================================================
โนด: แนวปฏิบัติ 9.3.2
ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/9-3-2.md

# 9.3.2 องค์กรมีเกณฑ์เพื่อตรวจสอบคัดกรองว่าองค์กรต้องทำ DPIA หรือไม่ รวมถึงข้อควรพิจารณาที่เกี่ยวข้องทั้งหมดเกี่ยวกับขอบเขต ประเภท และลักษณะของการประมวลผลที่จะดำเนินการ

## สิ่งที่ต้องทำ

องค์กรมีเกณฑ์เพื่อตรวจสอบคัดกรองว่าองค์กรต้องทำ DPIA หรือไม่ รวมถึงข้อควรพิจารณาที่เกี่ยวข้องทั้งหมดเกี่ยวกับขอบเขต ประเภท และลักษณะของการประมวลผลที่จะดำเนินการ

## หลักฐาน

1. นโยบายการประเมินความเสี่ยงของข้อมูลส่วนบุคคล
2. รายงานการประเมินความเสี่ยงของข้อมูลส่วนบุคคล
3. หนังสืออนุมัติรายงานการประเมินความเสี่ยงของข้อมูลส่วนบุคคล

## สภาพบังคับ

ไม่มีกฎหมายบังคับ

## ตัวอย่างเอกสาร

### นโยบายการคาดการณ์และประเมินความเสี่ยงด้านความเป็นส่วนตัวในขั้นตอนการออกแบบระบบ ผลิตภัณฑ์ และกระบวนการ

หน่วยงาน: ฝ่ายบริหารความเสี่ยงและการออกแบบระบบ · วันที่จัดทำ: 4 มิถุนายน 2568

#### 1. วัตถุประสงค์

กำหนดแนวทางในการพิจารณาและคาดการณ์ถึงความเสี่ยงที่อาจส่งผลกระทบต่อสิทธิและเสรีภาพของเจ้าของข้อมูลส่วนบุคคลในช่วงเริ่มต้นของการออกแบบระบบงาน ผลิตภัณฑ์ และกระบวนการใหม่ รวมถึงตลอดวัฏจักรการพัฒนาและใช้งานระบบ

#### 2. ขอบเขตการบังคับใช้

ใช้กับการพัฒนาและปรับปรุงระบบ เทคโนโลยี กระบวนการ หรือผลิตภัณฑ์ใด ๆ ภายในหน่วยงานที่เกี่ยวข้องกับการเก็บ รวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล ทั้งโดยตรงและโดยอ้อม รวมถึงการว่าจ้างผู้ให้บริการภายนอก

#### 3. แนวทางการดำเนินงาน

- **การคาดการณ์กิจกรรมการประมวลผล** ผู้พัฒนาระบบจัดทำแบบฟอร์มระบุลักษณะของกิจกรรมการประมวลผลข้อมูล แล้วส่งให้ฝ่ายบริหารความเสี่ยงพิจารณาก่อนเริ่มการพัฒนา
- **การระบุความเสี่ยงต่อสิทธิและเสรีภาพ** วิเคราะห์ว่าข้อมูลเป็นข้อมูลทั่วไปหรือข้อมูลอ่อนไหว และพิจารณาผลกระทบ เช่น การตีตราทางสังคม ความเสียหายต่อชื่อเสียง ความไม่ปลอดภัยทางกายภาพ หรือการเลือกปฏิบัติ
- **การกำหนดมาตรการป้องกันเชิงรุก** เช่น การแฝงข้อมูล การเข้ารหัส การจำกัดการเข้าถึง การอบรมผู้เกี่ยวข้อง และการตั้งค่าเริ่มต้นที่ปลอดภัย

#### 4. เอกสารประกอบตามนโยบาย

- ทะเบียนจัดการความเสี่ยงประจำโครงการ พร้อมลำดับความเสี่ยง
- มาตรการเชิงรุกในการป้องกันความเสี่ยง (มาตรการเทคนิคและมาตรการองค์กร)
- แบบฟอร์มการประเมินความเสี่ยง (ลักษณะกิจกรรม ความอ่อนไหวของข้อมูล ความน่าจะเป็น และระดับผลกระทบ)
- รายงานสรุปผลการวิเคราะห์ความเสี่ยง จัดทำโดยฝ่ายเทคโนโลยีและฝ่ายกฎหมายก่อนอนุมัติโครงการ

#### 5. ขั้นตอนการประเมินความเสี่ยงล่วงหน้า

| ขั้นตอน | รายละเอียด | ผู้รับผิดชอบ |
|---|---|---|
| 1. แจ้งเริ่มต้นการออกแบบ | ทีมพัฒนาระบบแจ้งกิจกรรมประมวลผลที่คาดว่าจะเกิดขึ้น | หัวหน้าโครงการ |
| 2. จัดทำแบบประเมินความเสี่ยง | กรอกแบบฟอร์มประเมินความเสี่ยงด้านความเป็นส่วนตัว | ผู้พัฒนาระบบและเจ้าหน้าที่คุ้มครองข้อมูล |
| 3. วิเคราะห์และตรวจสอบร่วม | วิเคราะห์ผลกระทบและกำหนดมาตรการ | ฝ่ายบริหารความเสี่ยง |
| 4. สรุปและเสนอผู้บริหาร | เสนอรายงานผลการคาดการณ์ความเสี่ยงเพื่ออนุมัติ | คณะกรรมการบริหารระบบ |
| 5. ติดตามประเมินซ้ำหลังดำเนินการ | ทบทวนความเสี่ยงใหม่ (ถ้ามี) | ฝ่ายตรวจสอบภายใน |

#### 6. การติดตามและประเมินผล

ติดตามผลการประเมินล่วงหน้าทุก 6 เดือน โดยเฉพาะโครงการที่เปลี่ยนแปลงกระบวนการประมวลผลอย่างมีนัยสำคัญ พร้อมจัดทำรายงานทบทวนความเสี่ยงเสนอคณะกรรมการบริหารรับทราบ

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/9-3-2.md

============================================================
โนด: แนวปฏิบัติ 9.3.3
ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/9-3-3.md

# 9.3.3 หากเกณฑ์ตรวจสอบคัดกรองระบุว่าองค์กรไม่จำเป็นต้องทำ DPIA องค์กรจะบันทึกเหตุผลเอาไว้

## สิ่งที่ต้องทำ

องค์กรมีการบันทึกเหตุผล และมีนโยบายการตรวจสอบคัดกรอง รวมถึงมีรายงานผลการคัดกรองการประเมินความเสี่ยง

## หลักฐาน

1. นโยบายการตรวจสอบคัดกรองการจัดทำการประเมินความเสี่ยง
2. บันทึกเหตุผลการไม่ประเมินความเสี่ยง
3. รายงานผลการคัดกรองการประเมินความเสี่ยง

## สภาพบังคับ

ไม่มีกฎหมายบังคับ

## ตัวอย่างเอกสาร

### นโยบายการตรวจสอบคัดกรองเพื่อพิจารณาความจำเป็นในการจัดทำ DPIA

หน่วยงาน: คณะกรรมการกำกับการคุ้มครองข้อมูลส่วนบุคคลภายในองค์กร · วันที่มีผลบังคับใช้: 4 มิถุนายน 2568

#### วัตถุประสงค์

กำหนดเกณฑ์และกระบวนการคัดกรองโครงการหรือกิจกรรมใหม่ที่เกี่ยวข้องกับการประมวลผลข้อมูลส่วนบุคคล เพื่อพิจารณาว่ากิจกรรมใดจำเป็นต้องจัดทำ DPIA และกิจกรรมใดไม่จำเป็น พร้อมการบันทึกเหตุผลไว้อย่างเป็นทางการเพื่อให้สามารถตรวจสอบย้อนหลังได้

#### ขอบเขต

ครอบคลุมกิจกรรมของทุกหน่วยงานภายในองค์กรที่มีการเก็บ รวบรวม ใช้ เปิดเผย หรือประมวลผลข้อมูลส่วนบุคคล ไม่ว่าจะเป็นข้อมูลทั่วไปหรือข้อมูลอ่อนไหว

#### ขั้นตอนการคัดกรอง

| ขั้นตอน | รายละเอียด | เอกสารที่เกี่ยวข้อง |
|---|---|---|
| 1 | ทีมงานกรอกแบบฟอร์มรายการตรวจคัดกรอง DPIA | แบบฟอร์มรายการตรวจคัดกรอง |
| 2 | เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล (DPO) ตรวจสอบและวิเคราะห์ | รายงานผลการคัดกรอง |
| 3 | หากไม่จำเป็นต้องทำ DPIA ให้บันทึกเหตุผลไว้ในแบบฟอร์มมาตรฐาน | บันทึกเหตุผลการไม่ทำ DPIA |

#### เกณฑ์ตัวอย่างในรายการตรวจคัดกรอง

- มีการประมวลผลข้อมูลอ่อนไหว (เช่น ข้อมูลสุขภาพ ชาติพันธุ์ ศาสนา) หรือไม่
- มีการประมวลผลข้อมูลส่วนบุคคลจำนวนมากหรือไม่
- มีการเฝ้าระวังหรือติดตามพฤติกรรมอย่างเป็นระบบหรือไม่
- มีการใช้เทคโนโลยีใหม่ที่อาจกระทบสิทธิของเจ้าของข้อมูลหรือไม่
- มีการเชื่อมโยงข้อมูลจากหลายแหล่งจนสามารถระบุตัวบุคคลได้หรือไม่

หากไม่เข้าเกณฑ์ความเสี่ยงสูงข้างต้น องค์กรบันทึกเหตุผลของการไม่จัดทำ DPIA ไว้เป็นหลักฐานในแบบฟอร์มมาตรฐาน พร้อมลงนามรับรองโดย DPO เพื่อการตรวจสอบย้อนหลัง

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/9-3-3.md

============================================================
โนด: แนวปฏิบัติ 9.3.4
ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/9-3-4.md

# 9.3.4 ขั้นตอนขององค์กรรวมถึงข้อกำหนดในการขอคำแนะนำจาก DPO และเจ้าหน้าที่อื่น ๆ ภายในองค์กรที่เกี่ยวข้องในการจัดทำการประเมินความเสี่ยง

## สิ่งที่ต้องทำ

องค์กรมีการขอคำแนะนำจาก DPO และเจ้าหน้าที่อื่น ๆ ภายในองค์กรที่เกี่ยวข้องในการจัดทำการประเมินความเสี่ยง และมีเอกสารหลักฐานในการให้คำปรึกษาครบถ้วน

## หลักฐาน

1. นโยบายการให้คำแนะนำในการจัดทำการประเมินความเสี่ยง
2. ประกาศตารางนัดให้คำปรึกษาหรือช่องทางให้คำปรึกษา
3. คู่มือการให้คำปรึกษาด้านการประเมินความเสี่ยง
4. บันทึกการให้คำปรึกษาและข้อสังเกตเกี่ยวกับความเห็นหรือความเข้าใจของผู้เข้ารับคำปรึกษา

## สภาพบังคับ

ไม่มีกฎหมายบังคับ

## ตัวอย่างเอกสาร

### 1. นโยบายการให้คำปรึกษาและสนับสนุนการประเมินผลกระทบด้านการคุ้มครองข้อมูลส่วนบุคคล

หน่วยงานเจ้าของ: สำนักงานคุ้มครองข้อมูลส่วนบุคคลองค์กร · ประกาศใช้: 1 พฤษภาคม 2568

- **วัตถุประสงค์:** กำหนดขั้นตอน การมีส่วนร่วม และบทบาทหน้าที่ของเจ้าหน้าที่ DPO และหน่วยงานอื่นที่เกี่ยวข้อง ในการให้คำปรึกษา สนับสนุน และตรวจสอบการดำเนินการประเมินความเสี่ยงด้านข้อมูลส่วนบุคคล
- **ขอบเขต:** ครอบคลุมทุกหน่วยงานที่ต้องประเมินความเสี่ยงตั้งแต่ขั้นเริ่มต้นของโครงการจนถึงการอนุมัติ
- **บทบาทของ DPO:** ให้คำปรึกษาเบื้องต้นในการพิจารณาความจำเป็นของ DPIA, ตรวจสอบแบบฟอร์ม DPIA ก่อนและหลังการประเมิน, ให้ความเห็นเชิงเทคนิคและกฎหมาย, บันทึกความเห็นหรือข้อเสนอแนะไว้ในแบบฟอร์มประเมิน

### 2. ประกาศช่องทางให้คำปรึกษาและตารางนัดหมาย

| ช่องทาง | รายละเอียด |
|---|---|
| อีเมล | อีเมลกลางของ DPO |
| LINE Official Account | บัญชีสนับสนุน DPO |
| ระบบจองนัด | ผ่านระบบจองนัด DPO บนอินทราเน็ต |
| ติดต่อด้วยตนเอง | วันจันทร์–ศุกร์ เวลา 13.00–16.00 น. ณ ห้อง 405 อาคารบริหารกลาง |

### 3. คู่มือการขอรับคำปรึกษา

เนื้อหาหลัก: ขั้นตอนการขอคำปรึกษา (5 ขั้นตอน), เอกสารประกอบที่ต้องเตรียม (แบบฟอร์มคัดกรอง DPIA, ร่างระบบ, แบบฟอร์มบันทึกความเสี่ยง), วิธีการจองคิว, ข้อแนะนำในการเตรียมประเด็นคำถาม, แนวทางปฏิบัติตามคำแนะนำ DPO และแบบฟอร์มสรุปคำถาม-คำตอบหลังให้คำปรึกษา

### 4. บันทึกการให้คำปรึกษา

- **ชื่อผู้ขอคำปรึกษา:** นายณัฐวุฒิ ศรีรักษา
- **โครงการ:** ระบบลงทะเบียนกิจกรรมภายในองค์กร
- **วันที่ให้คำปรึกษา:** 8 พฤษภาคม 2568 · **ผู้ให้คำปรึกษา:** นางสาวปวีณา จันทร์เรือง (DPO)
- **ประเด็นที่ปรึกษา:** วิธีกรอกแบบฟอร์ม DPIA, การพิจารณาระดับความเสี่ยง, แนวทางลดความเสี่ยงที่ตรวจพบ
- **ข้อเสนอแนะ:** ปรับปรุงมาตรการแฝงข้อมูล และเพิ่มแถบแจ้งเจ้าของข้อมูลก่อนเริ่มเก็บข้อมูล
- **ความคิดเห็นของผู้รับคำปรึกษา:** เข้าใจมากขึ้นเกี่ยวกับการวิเคราะห์ผลกระทบต่อสิทธิของเจ้าของข้อมูล และได้รับแนวทางชัดเจนในการปรับปรุงระบบให้สอดคล้องกับกฎหมาย

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/9-3-4.md

============================================================
โนด: แนวปฏิบัติ 9.3.5
ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/9-3-5.md

# 9.3.5 ขั้นตอนขององค์กรรวมถึงการปรึกษาหารือกับผู้ควบคุมข้อมูลส่วนบุคคล ผู้ประมวลผลข้อมูลส่วนบุคคล ตัวแทน และผู้มีส่วนได้ส่วนเสียอื่น ๆ ที่เกี่ยวข้องตามความเหมาะสม

## สิ่งที่ต้องทำ

องค์กรมีขั้นตอนที่รวมถึงการปรึกษาหารือกับผู้ควบคุมข้อมูลส่วนบุคคล ผู้ประมวลผลข้อมูลส่วนบุคคล ตัวแทน และผู้มีส่วนได้ส่วนเสียอื่น ๆ ที่เกี่ยวข้องตามความเหมาะสม และมีเอกสารหลักฐานในการปรึกษาหารือครบถ้วน

## หลักฐาน

1. นโยบายการให้คำแนะนำในการจัดทำการประเมินความเสี่ยง
2. ประกาศตารางนัดให้คำปรึกษาหรือช่องทางให้คำปรึกษา
3. คู่มือการให้คำปรึกษาด้านการประเมินความเสี่ยง
4. บันทึกการให้คำปรึกษาและข้อสังเกตเกี่ยวกับความเห็นหรือความเข้าใจของผู้เข้ารับคำปรึกษา

## สภาพบังคับ

ไม่มีกฎหมายบังคับ

## ตัวอย่างเอกสาร

### 1. นโยบายการให้คำแนะนำในการจัดทำการประเมินความเสี่ยง

วัตถุประสงค์: กำหนดแนวทางและขอบเขตของการปรึกษาหารือระหว่าง DPO กับผู้ควบคุมข้อมูลส่วนบุคคล ผู้ประมวลผลข้อมูลส่วนบุคคล ตัวแทน และผู้มีส่วนได้ส่วนเสียอื่น ๆ ก่อนและระหว่างกระบวนการประเมินความเสี่ยง

สาระสำคัญ: ขั้นตอนและกรอบเวลาในการปรึกษาหารือ, รายชื่อผู้มีส่วนเกี่ยวข้องที่ต้องเข้าร่วม, วิธีการบันทึกความคิดเห็นและข้อเสนอแนะ, แนวทางการตอบสนองต่อข้อเสนอแนะ

### 2. ประกาศตารางนัดให้คำปรึกษาและช่องทางติดต่อ

| วัน-เวลา | ช่องทาง | สำหรับ |
|---|---|---|
| ทุกวันอังคาร | ระบบนัดหมาย DPO บนอินทราเน็ต | ผู้ควบคุม/ผู้ประมวลผลข้อมูล |
| ทุกวันศุกร์ | การประชุมออนไลน์ | ตัวแทนหรือผู้มีส่วนได้ส่วนเสียภายนอก |
| ตลอดเวลา | อีเมลกลางของ DPO | การส่งเอกสาร/ความคิดเห็น |

### 3. คู่มือการให้คำปรึกษาด้านการประเมินความเสี่ยง

ครอบคลุม: วัตถุประสงค์และขอบเขต, นิยามคำศัพท์ (การประเมินความเสี่ยง, DPIA, DPO, ผู้มีส่วนได้ส่วนเสีย), กระบวนการให้คำปรึกษา (แจ้งความประสงค์ภายใน 15 วันก่อนเริ่มโครงการ, จัดประชุมร่วมกับ DPO และผู้เกี่ยวข้อง, เก็บรวบรวมข้อเสนอแนะจากผู้มีส่วนได้ส่วนเสีย), แนวทางการจัดประชุม (วาระ เอกสาร การจดบันทึกและติดตามผล), บทบาทหน้าที่ของผู้มีส่วนเกี่ยวข้อง, แบบฟอร์มและเครื่องมือ, แนวทางการจัดเก็บและเปิดเผยข้อมูล, ข้อควรระวัง และการทบทวนคู่มืออย่างน้อยปีละ 1 ครั้ง

บทบาทหน้าที่ของผู้มีส่วนเกี่ยวข้อง:

- **DPO** ให้คำปรึกษาเชิงเทคนิคและกฎหมาย ประเมินความเสี่ยงจากมุมมองการคุ้มครองข้อมูล เสนอแนะแนวทางลดความเสี่ยง และตรวจสอบความครบถ้วนของรายงาน DPIA
- **ผู้ควบคุมข้อมูล** ให้ข้อมูลโครงการอย่างโปร่งใส เปิดรับและพิจารณาปรับแนวทางตามข้อเสนอแนะ
- **ผู้ประมวลผลข้อมูล/ตัวแทนหน่วยงาน** ให้ข้อมูลทางเทคนิคเกี่ยวกับระบบหรือเทคโนโลยี และสนับสนุนวิธีการประมวลผล
- **เจ้าของข้อมูล/ผู้แทน** มีสิทธิแสดงความคิดเห็นและเสนอแนะแนวทางคุ้มครองสิทธิส่วนบุคคล

### 4. บันทึกการให้คำปรึกษา

- **โครงการ:** ระบบรับสมัครนักศึกษาออนไลน์ · **วันที่:** 6 พฤษภาคม 2568
- **ผู้เข้าร่วม:** ผู้ควบคุมข้อมูล, ผู้ประมวลผลข้อมูล (บริษัทผู้ให้บริการระบบ), ตัวแทนคณะกรรมการเทคโนโลยีสารสนเทศ, เจ้าหน้าที่ DPO
- **สาระสำคัญในการหารือ:** ความจำเป็นของการประมวลผลข้อมูลนักเรียน, ขอบเขตการเข้าถึงข้อมูลของผู้ประมวลผล, ความเห็นเกี่ยวกับการเก็บความยินยอม, ข้อเสนอแนะให้จัดทำประกาศความเป็นส่วนตัวแบบย่อ, และข้อเสนอให้จัดทำ DPIA อย่างย่อแนบท้ายสัญญา
- **ผลการดำเนินการ:** ข้อเสนอแนะทั้งหมดจะถูกรวมไว้ในรายงาน DPIA และนำเสนอต่อผู้บริหารเพื่อพิจารณาอนุมัติ

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/9-3-5.md

============================================================
โนด: แนวปฏิบัติ 9.3.6
ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/9-3-6.md

# 9.3.6 การฝึกอบรมพนักงานรวมถึงความจำเป็นในการประเมินเพื่อทำ DPIA ในระยะแรกของแผนหรือโครงการใด ๆ ที่เกี่ยวข้องกับข้อมูลส่วนบุคคล และองค์กรมีการฝึกอบรมพนักงานในการจัดทำ DPIA

## สิ่งที่ต้องทำ

มีการฝึกอบรมพนักงานรวมถึงความจำเป็นในการประเมินเพื่อทำ DPIA ในระยะแรกของแผนหรือโครงการใด ๆ ที่เกี่ยวข้องกับข้อมูลส่วนบุคคล และมีการให้ DPO ฝึกอบรมกับหน่วยงานที่เกี่ยวข้องตามความเหมาะสม

## หลักฐาน

1. นโยบายการฝึกอบรมพนักงานเพื่อการประเมินความเสี่ยงของข้อมูลส่วนบุคคล
2. นโยบายการทดสอบความรู้และความเข้าใจของพนักงานด้านการประเมินความเสี่ยง
3. ประกาศตารางนัดให้คำปรึกษาหรือช่องทางให้คำปรึกษา
4. คู่มือการให้คำปรึกษาด้านการประเมินความเสี่ยง
5. บันทึกการให้คำปรึกษาและข้อสังเกตเกี่ยวกับความเห็นหรือความเข้าใจของผู้เข้ารับคำปรึกษา
6. นโยบายการกำหนดให้ DPO เข้าอบรมและอบรมพนักงานด้านการประเมินความเสี่ยงของข้อมูลส่วนบุคคล

## สภาพบังคับ

ไม่มีกฎหมายบังคับ

## ตัวอย่างเอกสาร

### 1. นโยบายการฝึกอบรมพนักงานเพื่อการประเมินความเสี่ยงของข้อมูลส่วนบุคคล

องค์กรจัดฝึกอบรมให้แก่พนักงานทุกระดับเกี่ยวกับการประเมินผลกระทบด้านการคุ้มครองข้อมูล (DPIA) โดยมุ่งเน้นการเข้าใจขั้นตอนและความสำคัญของการดำเนินการในระยะแรกของโครงการที่เกี่ยวข้องกับข้อมูลส่วนบุคคล

- การฝึกอบรมจัดอย่างน้อยปีละ 1 ครั้ง
- พนักงานใหม่ต้องเข้าร่วมอบรมภายใน 60 วันหลังเริ่มงาน
- เนื้อหาครอบคลุมพื้นฐาน PDPA แนวคิด DPIA วิธีการคัดกรองโครงการ และกรณีศึกษาจริง
- จัดในรูปแบบในสถานที่หรือออนไลน์ตามความเหมาะสม
- บันทึกการฝึกอบรมจัดเก็บไว้เพื่อตรวจสอบย้อนหลังได้อย่างน้อย 3 ปี

### 2. นโยบายการทดสอบความรู้และความเข้าใจของพนักงาน

- ทดสอบความเข้าใจหลังการฝึกอบรมผ่านระบบอิเล็กทรอนิกส์
- พนักงานต้องผ่านเกณฑ์ 70% ขึ้นไปจึงจะถือว่าอบรมผ่าน
- กรณีไม่ผ่านต้องเข้าอบรมซ้ำหรือรับคำปรึกษาจาก DPO
- ผลการทดสอบถูกรวบรวมในฐานข้อมูลฝึกอบรมพนักงาน
- การทดสอบอัปเดตทุกปีตามกฎหมายหรือแนวปฏิบัติที่เปลี่ยนแปลง

### 3. ประกาศตารางนัดและช่องทางให้คำปรึกษา

DPO เปิดให้คำปรึกษาด้าน DPIA เดือนละ 1 ครั้ง หรือตามนัดหมายพิเศษ ผ่านช่องทาง: อีเมลกลางของ DPO, ระบบประชุมออนไลน์, และระบบรับแจ้งปัญหาภายใน โดยนัดหมายผ่านระบบอินทราเน็ต และประกาศตารางบนเว็บไซต์ภายในขององค์กร

### 4. คู่มือการให้คำปรึกษาด้านการประเมินความเสี่ยง

ครอบคลุม: ขั้นตอนการขอคำปรึกษา, การเตรียมข้อมูลโครงการ, แบบฟอร์มคำปรึกษา, บทบาทของผู้ให้และผู้รับคำปรึกษา, ตัวอย่างข้อควรระวังในการทำ DPIA และแนวทางการปฏิบัติตามข้อเสนอแนะจาก DPO

### 5. บันทึกการให้คำปรึกษา

แบบบันทึกประกอบด้วย: ชื่อโครงการและเจ้าของโครงการ, วัน-เวลา-สถานที่หรือช่องทาง, ประเด็นคำปรึกษา, ข้อเสนอแนะจาก DPO, ความเห็นหรือข้อสงสัยของผู้เข้ารับคำปรึกษา และสถานะการดำเนินการตามข้อเสนอแนะ โดยบันทึกทั้งหมดจัดเก็บในระบบเอกสารภายในและสำรองข้อมูลทุกไตรมาส พร้อมให้หัวหน้าฝ่ายตรวจสอบคุณภาพทบทวนเป็นรายไตรมาส

### 6. นโยบายการกำหนดให้ DPO เข้าอบรมและอบรมพนักงาน

องค์กรกำหนดให้ DPO เข้ารับการอบรมเพิ่มพูนความรู้ด้านการประเมินความเสี่ยงอย่างต่อเนื่อง และทำหน้าที่ถ่ายทอดความรู้ให้พนักงานในหน่วยงานที่เกี่ยวข้องกับการประมวลผลข้อมูลส่วนบุคคล

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/9-3-6.md

============================================================
โนด: แนวปฏิบัติ 9.3.7
ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/9-3-7.md

# 9.3.7 องค์กรมอบหมายความรับผิดชอบในการจัดทำ DPIA ให้กับพนักงานที่มีอำนาจในโครงการ เช่น หัวหน้าโครงการ หรือผู้จัดการ

## สิ่งที่ต้องทำ

องค์กรมอบหมายความรับผิดชอบในการจัดทำ DPIA ให้กับพนักงานที่มีอำนาจในโครงการ และมีเอกสารสนับสนุนชัดเจน

## หลักฐาน

1. นโยบายกำหนดบุคลากรที่เกี่ยวข้องกับการประเมินความเสี่ยง
2. นโยบายการกำหนดหน้าที่แก่พนักงานประจำโครงการในการจัดทำรายงานการประเมินความเสี่ยง
3. รายงานการประเมินความเสี่ยง
4. รายงานผลพิจารณารายงานการประเมินความเสี่ยง

## สภาพบังคับ

ไม่มีกฎหมายบังคับ

## ตัวอย่างเอกสาร

### 1. นโยบายกำหนดบุคลากรที่เกี่ยวข้องกับการประเมินความเสี่ยง

วัตถุประสงค์: กำหนดบทบาทหน้าที่และความรับผิดชอบของบุคลากรที่เกี่ยวข้องในการจัดทำ DPIA ให้ชัดเจนและมีประสิทธิภาพ ใช้กับพนักงานทุกคนที่ได้รับมอบหมายให้รับผิดชอบในโครงการหรือกิจกรรมที่เกี่ยวข้องกับการประมวลผลข้อมูลส่วนบุคคล

บทบาทและความรับผิดชอบ:

- **หัวหน้าโครงการ/ผู้จัดการโครงการ:** รับผิดชอบในการจัดทำ DPIA สำหรับโครงการภายใต้ความดูแลของตน
- **พนักงานที่ได้รับมอบหมาย:** ปฏิบัติตามขั้นตอนการจัดทำ DPIA และรายงานผลการประเมินต่อผู้บังคับบัญชาและ DPO
- **เจ้าหน้าที่ DPO:** ให้คำปรึกษาและตรวจสอบความถูกต้องของการจัดทำ DPIA

การดำเนินการ: หัวหน้าโครงการต้องกำหนดบุคลากรที่รับผิดชอบในการจัดทำ DPIA ก่อนเริ่มโครงการ จัดให้มีการฝึกอบรมและให้คำแนะนำ และส่งรายงานผลการประเมินให้ DPO ตรวจสอบภายในระยะเวลาที่กำหนด

### 2. นโยบายการกำหนดหน้าที่แก่พนักงานประจำโครงการ

หน้าที่ของพนักงานประจำโครงการในการจัดทำรายงาน DPIA:

- ศึกษาข้อมูลและรายละเอียดของโครงการที่เกี่ยวข้องกับข้อมูลส่วนบุคคล
- รวบรวมข้อมูลที่จำเป็นสำหรับการประเมินความเสี่ยง
- จัดทำรายงาน DPIA โดยใช้แบบฟอร์มที่องค์กรกำหนด
- ส่งรายงานให้ DPO หรือผู้มีอำนาจตรวจสอบและให้คำแนะนำ
- ดำเนินการแก้ไขและปรับปรุงตามข้อเสนอแนะที่ได้รับ

ขั้นตอนการรายงาน: จัดทำรายงาน DPIA เบื้องต้นและส่งให้หัวหน้าโครงการตรวจสอบ ส่งต่อให้ DPO ตรวจสอบและรับคำแนะนำ แล้วนำข้อเสนอแนะไปปรับปรุงรายงานและจัดเก็บเอกสารให้ครบถ้วน

### 3. ตัวอย่างรายงานการประเมินความเสี่ยงข้อมูลส่วนบุคคล

- **ชื่อโครงการ:** ระบบบริหารจัดการลูกค้า · **หัวหน้าโครงการ:** นายวิทยา เกียรติคุณ · **ผู้จัดทำรายงาน:** นางสาวสุนิสา ศรีสุข · **วันที่จัดทำ:** 1 มิถุนายน 2568
- **รายละเอียดโครงการ:** ระบบบริหารจัดการลูกค้าเพื่อเก็บรวบรวมและวิเคราะห์ข้อมูลลูกค้าเพื่อปรับปรุงบริการ
- **ข้อมูลส่วนบุคคลที่เกี่ยวข้อง:** ชื่อ ที่อยู่ เบอร์โทรศัพท์ ประวัติการสั่งซื้อ

| ความเสี่ยง | ระดับความเสี่ยง | มาตรการป้องกัน |
|---|---|---|
| การเข้าถึงข้อมูลโดยไม่ได้รับอนุญาต | สูง | การเข้ารหัสข้อมูลและระบบเข้าสู่ระบบ 2 ชั้น |
| การเก็บข้อมูลเกินความจำเป็น | ปานกลาง | กำหนดขอบเขตข้อมูลที่จำเป็นอย่างชัดเจน |

สรุปและข้อเสนอแนะ: ระบบมีความปลอดภัยในระดับที่เหมาะสม แต่ควรมีการอบรมพนักงานเกี่ยวกับการจัดการข้อมูลเพิ่มเติม

### 4. รายงานผลพิจารณารายงานการประเมินความเสี่ยง

- **โครงการ:** ระบบบริหารจัดการลูกค้า · **ผู้พิจารณา:** นายปกรณ์ สุขสวัสดิ์ (DPO) · **วันที่พิจารณา:** 3 มิถุนายน 2568
- **ผลการพิจารณา:** รายงาน DPIA มีความครบถ้วนและเหมาะสมกับมาตรฐานองค์กร มีการวิเคราะห์ความเสี่ยงอย่างละเอียดและมีมาตรการควบคุมที่เหมาะสม ข้อเสนอแนะเพิ่มเติมได้ถูกแจ้งให้ทีมโครงการทราบเพื่อปรับปรุงต่อไป

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/9-3-7.md

============================================================
โนด: แนวปฏิบัติ 9.4.1
ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/9-4-1.md

# 9.4.1 องค์กรมีเทมเพลต/แบบฟอร์มของ DPIA ที่เป็นมาตรฐาน มีโครงสร้างที่ชัดเจน และเป็นภาษาที่เข้าใจได้โดยง่าย

## สิ่งที่ต้องทำ

องค์กรมีเทมเพลต/แบบฟอร์มของ DPIA ที่เป็นมาตรฐาน มีโครงสร้างที่ชัดเจน และเป็นภาษาที่เข้าใจได้โดยง่าย รวมถึงมีการสนับสนุนช่วยเหลือจาก DPO

## หลักฐาน

1. นโยบายการจัดทำแบบฟอร์มการประเมินความเสี่ยง
2. แบบฟอร์มการประเมินความเสี่ยง
3. ประกาศการนัดให้คำปรึกษาหรือช่องทางให้คำปรึกษา

## สภาพบังคับ

ไม่มีกฎหมายบังคับ

## ตัวอย่างเอกสาร

### นโยบายการจัดทำแบบฟอร์มการประเมินความเสี่ยงข้อมูลส่วนบุคคล (DPIA)

**วัตถุประสงค์**

กำหนดแนวทางและมาตรฐานในการจัดทำแบบฟอร์มการประเมินความเสี่ยงข้อมูลส่วนบุคคล (DPIA) ที่มีโครงสร้างชัดเจน เข้าใจง่าย และใช้เป็นเครื่องมือในการประเมินความเสี่ยงอย่างเป็นระบบ

**ขอบเขต**

ใช้สำหรับทุกโครงการหรือกิจกรรมที่เกี่ยวข้องกับการประมวลผลข้อมูลส่วนบุคคลในองค์กร

**นโยบาย**

- องค์กรจะจัดทำและใช้งานแบบฟอร์ม DPIA ที่ได้รับการออกแบบให้มีโครงสร้างชัดเจน และภาษาที่เข้าใจง่าย
- แบบฟอร์ม DPIA ต้องครอบคลุมข้อมูลที่จำเป็นทั้งหมดตามมาตรฐานสากลและแนวทางปฏิบัติที่ดี
- DPO จะทำหน้าที่ให้คำปรึกษาและสนับสนุนในการใช้งานแบบฟอร์ม DPIA เพื่อให้การประเมินความเสี่ยงเป็นไปอย่างถูกต้องและครบถ้วน
- องค์กรจะทบทวนและปรับปรุงแบบฟอร์ม DPIA อย่างสม่ำเสมอ เพื่อให้สอดคล้องกับข้อกฎหมายและความเปลี่ยนแปลงในสภาพแวดล้อมการทำงาน

### ตัวอย่างแบบฟอร์มการประเมินความเสี่ยงข้อมูลส่วนบุคคล (DPIA)

**1. ข้อมูลทั่วไปของโครงการ**

- ชื่อโครงการ: โครงการพัฒนาระบบลงทะเบียนเข้าร่วมสัมมนาออนไลน์
- ผู้รับผิดชอบโครงการ: นายสมชาย ใจดี
- วันที่จัดทำ: 1 มิถุนายน 2568

**2. วัตถุประสงค์ของการเก็บข้อมูลส่วนบุคคล**

เพื่อรวบรวมข้อมูลผู้เข้าร่วมสัมมนาออนไลน์ ใช้สำหรับการจัดการการเข้าใช้งาน และส่งใบประกาศนียบัตรหลังจบสัมมนา

**3. ประเภทของข้อมูลส่วนบุคคลที่เกี่ยวข้อง**

- ชื่อ-นามสกุล
- อีเมล
- เบอร์โทรศัพท์
- ที่อยู่บริษัท/องค์กร
- ประวัติการเข้าร่วมสัมมนาก่อนหน้า

**4. การวิเคราะห์ความเสี่ยง**

| ความเสี่ยงที่อาจเกิดขึ้น | ระดับความเสี่ยง | มาตรการควบคุมและลดความเสี่ยง |
|---|---|---|
| ข้อมูลส่วนบุคคลรั่วไหลจากการโจมตีระบบ | สูง | ใช้ระบบรักษาความปลอดภัยระดับสูง เช่น ไฟร์วอลล์และการเข้ารหัสข้อมูล |
| การเข้าถึงข้อมูลโดยไม่ได้รับอนุญาต | ปานกลาง | กำหนดสิทธิการเข้าถึงเฉพาะเจ้าหน้าที่ที่เกี่ยวข้อง |
| ข้อมูลถูกเก็บไว้นานเกินความจำเป็น | ต่ำ | กำหนดนโยบายการเก็บรักษาข้อมูลและลบข้อมูลที่ไม่จำเป็น |
| ความผิดพลาดจากการป้อนข้อมูลหรือการจัดการข้อมูล | ต่ำ | ฝึกอบรมพนักงานและตรวจสอบความถูกต้องของข้อมูลเป็นประจำ |

**5. การปรึกษาหารือกับ DPO หรือเจ้าหน้าที่ที่เกี่ยวข้อง**

วันที่ปรึกษา: 5 มิถุนายน 2568

รายละเอียดข้อเสนอแนะ:

- แนะนำให้เพิ่มระบบยืนยันตัวตนสองขั้นตอน (2FA) เพื่อป้องกันการเข้าถึงข้อมูลโดยไม่ได้รับอนุญาต
- กำหนดระยะเวลาการเก็บรักษาข้อมูลไม่เกิน 2 ปีหลังจบโครงการ
- จัดอบรมพนักงานเกี่ยวกับมาตรการความปลอดภัยข้อมูลและนโยบายคุ้มครองข้อมูลส่วนบุคคล

**6. ข้อสรุปและข้อเสนอแนะ**

- โครงการมีความเสี่ยงที่สามารถบริหารจัดการได้ โดยการเพิ่มมาตรการความปลอดภัยตามคำแนะนำของ DPO และการทบทวนมาตรการอย่างสม่ำเสมอ
- แนะนำให้ดำเนินการตามแผนและกำหนดบทบาทความรับผิดชอบที่ชัดเจนในแต่ละส่วน

ลงชื่อผู้จัดทำ: นายสมชาย ใจดี
วันที่: 10 มิถุนายน 2568

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/9-4-1.md

============================================================
โนด: แนวปฏิบัติ 9.4.2
ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/9-4-2.md

# 9.4.2 DPIA มีรายละเอียดอย่างน้อยดังนี้ ลักษณะ ขอบเขต บริบท และวัตถุประสงค์ของการประมวลผล การประเมินความจำเป็น ความได้สัดส่วน และมาตรการการปฏิบัติตาม การระบุและประเมินความเสี่ยงต่อเจ้าของข้อมูลส่วนบุคคล และมาตรการเพื่อลดความเสี่ยงเหล่านั้น

## สิ่งที่ต้องทำ

องค์กรมีการจัดทำ DPIA และมีรายละเอียดครบถ้วนอย่างน้อยดังนี้

1. ลักษณะ ขอบเขต บริบท และวัตถุประสงค์ของการประมวลผล
2. การประเมินความจำเป็น ความได้สัดส่วน และมาตรการการปฏิบัติตาม
3. การระบุและประเมินความเสี่ยงต่อเจ้าของข้อมูลส่วนบุคคล
4. มาตรการเพื่อลดความเสี่ยงเหล่านั้น

## หลักฐาน

1. นโยบายการประเมินความเสี่ยง
2. คู่มือการจัดทำรายงานการประเมินความเสี่ยงหรือแบบประเมินความเสี่ยง
3. รายงานการประเมินความเสี่ยงหรือแบบประเมินความเสี่ยง

## สภาพบังคับ

ไม่มีกฎหมายบังคับ

## ตัวอย่างเอกสาร

### 1. นโยบายการประเมินความเสี่ยง

วัตถุประสงค์: กำหนดแนวทางและกรอบการประเมินความเสี่ยงเกี่ยวกับข้อมูลส่วนบุคคลอย่างครบถ้วน เพื่อลดผลกระทบด้านความเป็นส่วนตัวและรักษาสิทธิของเจ้าของข้อมูล ครอบคลุมการจัดทำ DPIA สำหรับทุกโครงการหรือกิจกรรมที่เกี่ยวข้องกับการประมวลผลข้อมูลส่วนบุคคล

แนวทางปฏิบัติ: จัดทำ DPIA ก่อนเริ่มโครงการหรือการเปลี่ยนแปลงที่สำคัญ ระบุลักษณะ ขอบเขต บริบท และวัตถุประสงค์ของการประมวลผล ประเมินความจำเป็นและความได้สัดส่วน ระบุและประเมินความเสี่ยงต่อสิทธิและเสรีภาพ กำหนดมาตรการลดความเสี่ยง ปรึกษา DPO ในทุกขั้นตอน และจัดเก็บรายงาน DPIA เพื่อการตรวจสอบ

### 2. คู่มือการจัดทำรายงานการประเมินความเสี่ยง

- **ส่วนที่ 1 ข้อมูลทั่วไปของโครงการ:** ชื่อโครงการ ผู้รับผิดชอบ วันที่จัดทำ และวัตถุประสงค์ของการประมวลผล
- **ส่วนที่ 2 ลักษณะ ขอบเขต บริบท และวัตถุประสงค์:** ประเภทข้อมูลที่ประมวลผล ขอบเขต หน่วยงาน/ระบบที่เกี่ยวข้อง และบริบทของโครงการ
- **ส่วนที่ 3 การประเมินความจำเป็นและความได้สัดส่วน:** เหตุผลที่จำเป็นต้องใช้ข้อมูล และความเหมาะสมในแง่สิทธิและเสรีภาพของเจ้าของข้อมูล
- **ส่วนที่ 4 การระบุและประเมินความเสี่ยง:** ระบุความเสี่ยง (การรั่วไหล การเข้าถึงโดยไม่ได้รับอนุญาต การเก็บรักษาไม่ปลอดภัย) และประเมินระดับความรุนแรง (สูง/กลาง/ต่ำ)
- **ส่วนที่ 5 มาตรการเพื่อลดความเสี่ยง:** มาตรการด้านเทคนิค (การเข้ารหัส การควบคุมการเข้าถึง) และมาตรการด้านการบริหาร (การอบรม การจัดทำนโยบาย การตรวจสอบ)
- **ส่วนที่ 6 การสรุปผลและข้อเสนอแนะ:** สรุปความเสี่ยงโดยรวม ข้อเสนอแนะ และการติดตามทบทวน DPIA

### 3. ตัวอย่างรายงานการประเมินความเสี่ยง

- **ชื่อโครงการ:** ระบบลงทะเบียนพนักงานเข้าร่วมอบรมภายในองค์กร · **ผู้รับผิดชอบ:** นางสาวปรียา สายสว่าง · **วันที่จัดทำ:** 10 มิถุนายน 2568
- **ลักษณะและวัตถุประสงค์:** เก็บข้อมูลพนักงานที่เข้าร่วมอบรมเพื่อติดตามการอบรมและออกใบรับรอง โดยเก็บชื่อ-นามสกุล เลขบัตรประชาชน อีเมล และข้อมูลการเข้าร่วมอบรม
- **การประเมินความจำเป็น:** ข้อมูลจำเป็นต่อการบริหารจัดการอบรมและยืนยันตัวตน โดยจำกัดการเข้าถึงเฉพาะเจ้าหน้าที่ฝ่ายทรัพยากรบุคคลที่เกี่ยวข้อง

| ความเสี่ยง | ระดับความเสี่ยง | มาตรการลดความเสี่ยง |
|---|---|---|
| ข้อมูลรั่วไหลจากการโจมตีระบบ | สูง | ใช้ระบบป้องกันภัยคุกคามไซเบอร์และเข้ารหัสข้อมูล |
| การเข้าถึงโดยไม่ได้รับอนุญาต | ปานกลาง | กำหนดสิทธิ์เข้าถึงและมีระบบบันทึกการใช้งาน |
| การเก็บข้อมูลเกินความจำเป็น | ต่ำ | กำหนดระยะเวลาการเก็บข้อมูลตามนโยบายขององค์กร |

มาตรการเพิ่มเติม: ใช้การยืนยันตัวตนสองชั้น จัดอบรมพนักงานด้านความปลอดภัยข้อมูล และตรวจสอบทบทวนระบบทุก 6 เดือน

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/9-4-2.md

============================================================
โนด: แนวปฏิบัติ 9.4.3
ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/9-4-3.md

# 9.4.3 DPIA กำหนดความสัมพันธ์และแสดงทิศทางการไหลเวียนของข้อมูลระหว่างผู้ควบคุมข้อมูลส่วนบุคคล ผู้ประมวลผลข้อมูลส่วนบุคคล เจ้าของข้อมูลส่วนบุคคล และระบบอย่างชัดเจน

## สิ่งที่ต้องทำ

องค์กรจัดทำ DPIA กำหนดความสัมพันธ์และแสดงทิศทางการไหลเวียนของข้อมูลระหว่างผู้ควบคุมข้อมูลส่วนบุคคล ผู้ประมวลผลข้อมูลส่วนบุคคล เจ้าของข้อมูลส่วนบุคคล และระบบอย่างชัดเจน

## หลักฐาน

1. นโยบายกำหนดความสัมพันธ์และการไหลเวียนของข้อมูลระหว่างผู้ควบคุมข้อมูลส่วนบุคคล ผู้ประมวลผลข้อมูลส่วนบุคคล เจ้าของข้อมูลส่วนบุคคล และระบบ
2. ทะเบียนจัดการความเสี่ยง
3. หนังสือรายงานความเสี่ยงที่อาจให้เกิดผลกระทบแก่เจ้าของข้อมูลส่วนบุคคล
4. หนังสือแจ้งความเสี่ยงต่อการละเมิดข้อมูลส่วนบุคคล

## สภาพบังคับ

ไม่มีกฎหมายบังคับ

## ตัวอย่างเอกสาร

### 1. นโยบายกำหนดความสัมพันธ์และการไหลเวียนของข้อมูลส่วนบุคคล

วัตถุประสงค์: กำหนดแนวทางการจัดการความสัมพันธ์และการไหลเวียนของข้อมูลส่วนบุคคลอย่างชัดเจนระหว่างผู้ควบคุมข้อมูล ผู้ประมวลผลข้อมูล เจ้าของข้อมูล และระบบที่เกี่ยวข้อง ครอบคลุมการเก็บรวบรวม การใช้ การเปิดเผย การถ่ายโอน ไปจนถึงการลบข้อมูล

แนวทางปฏิบัติ: กำหนดบทบาทและหน้าที่ของผู้ควบคุมและผู้ประมวลผลให้ชัดเจน จัดทำแผนผังแสดงทิศทางการไหลเวียนของข้อมูล กำหนดมาตรการควบคุมการเข้าถึงในแต่ละจุด บันทึกและตรวจสอบการถ่ายโอนข้อมูลให้ย้อนหลังได้ และอบรมพนักงานเกี่ยวกับการจัดการข้อมูลอย่างถูกต้อง

### 2. ทะเบียนจัดการความเสี่ยง

| ลำดับ | รายการความเสี่ยง | ผู้รับผิดชอบ | ผลกระทบต่อเจ้าของข้อมูล | มาตรการควบคุม | สถานะ |
|---|---|---|---|---|---|
| 1 | การส่งข้อมูลระหว่างหน่วยงานที่ไม่มีการเข้ารหัส | ฝ่ายเทคโนโลยีสารสนเทศ | ข้อมูลรั่วไหล | ใช้การเข้ารหัสข้อมูลในการส่ง | ดำเนินการแล้ว |
| 2 | การมอบหมายผู้ประมวลผลข้อมูลที่ไม่ผ่านการอบรม | ฝ่ายทรัพยากรบุคคล | การจัดการข้อมูลผิดพลาด | กำหนดแผนการอบรมและติดตามผล | อยู่ระหว่างดำเนินการ |
| 3 | การเข้าถึงข้อมูลโดยไม่ได้รับอนุญาตในระบบฐานข้อมูล | ฝ่ายระบบ | ข้อมูลถูกแก้ไขหรือนำไปใช้ผิดวัตถุประสงค์ | กำหนดสิทธิการเข้าถึงและตรวจสอบบันทึกการใช้งาน | ดำเนินการแล้ว |

### 3. หนังสือรายงานความเสี่ยงที่อาจให้เกิดผลกระทบแก่เจ้าของข้อมูล

ตามที่องค์กรได้จัดทำ DPIA สำหรับโครงการ พบความเสี่ยงที่อาจส่งผลกระทบต่อเจ้าของข้อมูล ได้แก่ การถ่ายโอนข้อมูลระหว่างผู้ควบคุมและผู้ประมวลผลที่อาจไม่ได้รับการป้องกันที่เหมาะสม ความไม่ชัดเจนในการกำหนดบทบาทความรับผิดชอบ และการตรวจสอบบันทึกการไหลเวียนของข้อมูลที่ยังไม่ครอบคลุม จึงรายงานเพื่อให้การจัดการข้อมูลส่วนบุคคลเป็นไปอย่างปลอดภัยและถูกต้องตามกฎหมาย

### 4. หนังสือแจ้งความเสี่ยงต่อการละเมิดข้อมูลส่วนบุคคล

แจ้งความเสี่ยงที่อาจก่อให้เกิดการละเมิดข้อมูลส่วนบุคคลในโครงการ ได้แก่ ความเสี่ยงจากการส่งข้อมูลผ่านระบบที่ไม่มีการเข้ารหัส ซึ่งอาจทำให้ข้อมูลรั่วไหลไปยังบุคคลที่ไม่เกี่ยวข้อง โดยมีมาตรการกำหนดให้เข้ารหัสข้อมูลในทุกจุดที่มีการถ่ายโอน และอบรมพนักงานเกี่ยวกับการรักษาความปลอดภัยข้อมูล จึงแจ้งให้หน่วยงานรับทราบเพื่อควบคุมและติดตามความเสี่ยงอย่างใกล้ชิด

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/9-4-3.md

============================================================
โนด: แนวปฏิบัติ 9.4.4
ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/9-4-4.md

# 9.4.4 DPIA ระบุมาตรการที่สามารถนำไปใช้เพื่อกำจัด บรรเทา หรือลดความเสี่ยงสูง

## สิ่งที่ต้องทำ

องค์กรมีการจัดทำ DPIA และระบุมาตรการที่สามารถนำไปใช้เพื่อกำจัด บรรเทา หรือลดความเสี่ยงสูง

## หลักฐาน

1. นโยบายการดำเนินมาตรการกำจัด บรรเทา หรือลดความเสี่ยงในการประเมินความเสี่ยง

## สภาพบังคับ

ไม่มีกฎหมายบังคับ

## ตัวอย่างเอกสาร

### นโยบายการจัดให้มีมาตรการกำจัด บรรเทา หรือลดความเสี่ยงสูงในการประเมินความเสี่ยง

วัตถุประสงค์: กำหนดแนวทางและมาตรการที่ชัดเจนในการกำจัด บรรเทา หรือลดความเสี่ยงสูงที่อาจเกิดขึ้นจากการประมวลผลข้อมูลส่วนบุคคล โดยมุ่งเน้นการป้องกันและลดผลกระทบที่อาจเกิดกับเจ้าของข้อมูลส่วนบุคคลให้มากที่สุด

ขอบเขต: ครอบคลุมการประเมินและบริหารจัดการความเสี่ยงด้านข้อมูลส่วนบุคคลในทุกโครงการและกิจกรรมที่เกี่ยวข้องกับการประมวลผลข้อมูลส่วนบุคคลขององค์กร

แนวทางปฏิบัติ:

- ระบุความเสี่ยงสูงที่ส่งผลกระทบต่อสิทธิและเสรีภาพของเจ้าของข้อมูลส่วนบุคคล
- กำหนดมาตรการป้องกันความเสี่ยงที่เหมาะสมและมีประสิทธิภาพ เช่น การเข้ารหัสข้อมูล การจำกัดการเข้าถึงข้อมูล การอบรมพนักงาน และการใช้เทคโนโลยีที่ปลอดภัย
- ติดตามและประเมินผลมาตรการที่นำมาใช้เป็นระยะ เพื่อให้มั่นใจว่าสามารถลดความเสี่ยงได้อย่างมีประสิทธิภาพ
- จัดทำรายงานสรุปมาตรการและผลการดำเนินงานต่อผู้บริหารและผู้เกี่ยวข้อง
- ปรับปรุงมาตรการตามผลการติดตามและการเปลี่ยนแปลงในสภาพแวดล้อมการประมวลผลข้อมูล

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/9-4-4.md

============================================================
โนด: แนวปฏิบัติ 9.4.5
ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/9-4-5.md

# 9.4.5 องค์กรมีการบันทึกการดำเนินการตาม DPIA พร้อมด้วยการควบคุมโดยเอกสารที่เหมาะสม และมีการตรวจสอบเป็นระยะ ๆ เพื่อให้แน่ใจว่ากระบวนการนั้นเป็นข้อมูลล่าสุด

## สิ่งที่ต้องทำ

องค์กรมีการตรวจสอบการปฏิบัติตามรายงานการประเมินความเสี่ยง มีการบันทึกเป็นเอกสารอย่างชัดเจน และมีการตรวจสอบเป็นระยะ ๆ เพื่อให้แน่ใจว่ากระบวนการนั้นเป็นข้อมูลล่าสุด

## หลักฐาน

1. นโยบายการบันทึกการดำเนินการตามรายงานการประเมินความเสี่ยงและการตรวจสอบการประเมินความเสี่ยง
2. บันทึกการดำเนินการตามรายงานการประเมินความเสี่ยง
3. รายงานผลการตรวจสอบการปฏิบัติตามรายงานการประเมินความเสี่ยง

## สภาพบังคับ

ไม่มีกฎหมายบังคับ

## ตัวอย่างเอกสาร

### นโยบายการบันทึกการดำเนินการตามรายงานการประเมินความเสี่ยงและการตรวจสอบการประเมินความเสี่ยง

วัตถุประสงค์: กำหนดแนวทางในการบันทึกและควบคุมเอกสารการดำเนินการตามรายงานการประเมินความเสี่ยง (DPIA) รวมถึงการตรวจสอบและทบทวนข้อมูลอย่างสม่ำเสมอ เพื่อให้มั่นใจว่ากระบวนการและข้อมูลที่เกี่ยวข้องเป็นปัจจุบันและสอดคล้องกับข้อกำหนดด้านการคุ้มครองข้อมูลส่วนบุคคล

ขอบเขต: ครอบคลุมการจัดการเอกสารและรายงานที่เกี่ยวข้องกับการประเมินความเสี่ยงและการดำเนินการตาม DPIA ในทุกหน่วยงานที่เกี่ยวข้อง

แนวทางปฏิบัติ:

- จัดให้มีระบบบันทึกข้อมูลการดำเนินการตามรายงานการประเมินความเสี่ยงในรูปแบบดิจิทัลหรือเอกสารที่ปลอดภัยและสามารถติดตามตรวจสอบได้
- กำหนดผู้รับผิดชอบในการดูแลและควบคุมเอกสารที่เกี่ยวข้องกับ DPIA ให้มีการบันทึกและเก็บรักษาอย่างเหมาะสม
- กำหนดระยะเวลาการตรวจสอบและทบทวนรายงาน DPIA อย่างน้อยปีละ 1 ครั้ง หรือเมื่อมีการเปลี่ยนแปลงกระบวนการประมวลผลข้อมูลส่วนบุคคล
- จัดทำรายงานผลการตรวจสอบการปฏิบัติตามรายงาน DPIA และจัดส่งให้ผู้บริหารและหน่วยงานที่เกี่ยวข้องเพื่อพิจารณาปรับปรุงแก้ไข
- บันทึกและจัดเก็บผลการตรวจสอบให้เป็นหลักฐานในการปฏิบัติงานและการตรวจสอบภายหลัง

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/9-4-5.md

============================================================
โนด: แนวปฏิบัติ 9.4.6
ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/9-4-6.md

# 9.4.6 องค์กรบันทึกคำแนะนำของ DPO และรายละเอียดการให้คำปรึกษาอื่น ๆ ของ DPO เกี่ยวกับ DPIA ดังกล่าว

## สิ่งที่ต้องทำ

องค์กรมีนโยบายการจัดให้มีการให้คำแนะนำและรายละเอียดการให้คำปรึกษาอื่น ๆ และมีการปฏิบัติตามนโยบายดังกล่าว รวมถึงมีเอกสารครบถ้วน

## หลักฐาน

1. นโยบายการจัดให้มีการบันทึกคำแนะนำด้านการจัดทำรายงานการประเมินความเสี่ยงของ DPO
2. บันทึกการให้คำปรึกษาด้านการจัดทำการประเมินความเสี่ยงหรือแบบฟอร์มการประเมินความเสี่ยง

## สภาพบังคับ

ไม่มีกฎหมายบังคับ

## ตัวอย่างเอกสาร

### 1. นโยบายการจัดให้มีการบันทึกคำแนะนำด้านการจัดทำรายงานการประเมินความเสี่ยงของ DPO

วัตถุประสงค์: กำหนดแนวทางการให้คำแนะนำและการบันทึกรายละเอียดการให้คำปรึกษาของเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล (DPO) เกี่ยวกับการจัดทำรายงานการประเมินความเสี่ยง (DPIA) ให้เป็นระบบและมีหลักฐานชัดเจน

แนวทางปฏิบัติ:

- DPO ต้องจัดให้มีการบันทึกรายละเอียดการให้คำปรึกษา เช่น วัน เวลา ผู้เข้ารับคำปรึกษา เนื้อหาของคำแนะนำ และข้อสังเกตที่เกี่ยวข้องกับ DPIA
- บันทึกคำปรึกษาหรือคำแนะนำต้องจัดเก็บในเอกสารที่มีความปลอดภัยและเรียกดูได้เมื่อต้องการตรวจสอบ
- ผู้รับคำปรึกษาควรลงชื่อรับทราบและยืนยันความเข้าใจในคำแนะนำของ DPO
- จัดทำรายงานสรุปคำแนะนำสำคัญที่เกี่ยวข้องกับการประเมินความเสี่ยงอย่างน้อยปีละ 1 ครั้ง และใช้ประกอบการปรับปรุงกระบวนการ
- การให้คำปรึกษาเป็นไปอย่างต่อเนื่องและครบถ้วน

### 2. แบบฟอร์มบันทึกการให้คำปรึกษาด้านการจัดทำการประเมินความเสี่ยง

| รายละเอียด | ข้อมูลตัวอย่าง |
|---|---|
| วันที่ให้คำปรึกษา | 3 มิถุนายน 2568 |
| ชื่อผู้ให้คำปรึกษา (DPO) | นางสาวทิพย์ ศรีสุข |
| ชื่อผู้เข้ารับคำปรึกษา | นายกิตติชัย นิลวงศ์ |
| ตำแหน่ง | ผู้จัดการโครงการ |
| หน่วยงาน | ฝ่ายพัฒนาระบบสารสนเทศ |
| หัวข้อคำปรึกษา | การจัดทำ DPIA สำหรับโครงการพัฒนาระบบฐานข้อมูลลูกค้า |

เนื้อหาคำแนะนำ:

1. ระบุลักษณะ ขอบเขต บริบท และวัตถุประสงค์ของโครงการให้ชัดเจน
2. ประเมินความจำเป็นและความได้สัดส่วนในการประมวลผลข้อมูล
3. แนะนำมาตรการควบคุมความปลอดภัยข้อมูล เช่น การเข้ารหัสและการควบคุมสิทธิ์เข้าถึง
4. บันทึกและติดตามผลการประเมินความเสี่ยงอย่างสม่ำเสมอ

ข้อสังเกตและคำถาม: ผู้เข้ารับคำปรึกษาสงสัยเรื่องการจัดเก็บข้อมูลจากบุคคลที่สามและการแจ้งให้เจ้าของข้อมูลทราบ

การดำเนินการที่แนะนำ: จัดทำ DPIA โดยเพิ่มรายละเอียดการจัดเก็บข้อมูลจากบุคคลที่สาม และวิธีการแจ้งเจ้าของข้อมูล พร้อมจัดประชุมชี้แจงกับทีมโครงการ

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/9-4-6.md

============================================================
โนด: แนวปฏิบัติ 9.4.7
ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/9-4-7.md

# 9.4.7 มีบุคคลที่เหมาะสมลงนามใน DPIA เช่น หัวหน้าโครงการ

## สิ่งที่ต้องทำ

องค์กรมีบุคคลที่เหมาะสมลงนามใน DPIA ตามโครงสร้างองค์กรหรือแผนการดำเนินงาน

## หลักฐาน

1. นโยบายกำหนดผู้อนุมัติรายงานการประเมินความเสี่ยง
2. รายงานผลการพิจารณารายงานการประเมินความเสี่ยง
3. โครงสร้างองค์กร
4. เอกสารหรือหลักฐานแสดงถึงผู้รับผิดชอบโครงการ

## สภาพบังคับ

ไม่มีกฎหมายบังคับ

## ตัวอย่างเอกสาร

### 1. นโยบายการกำหนดผู้อนุมัติรายงานการประเมินความเสี่ยงด้านข้อมูลส่วนบุคคล

วัตถุประสงค์: ระบุกรอบการกำหนดผู้มีอำนาจ/ผู้อนุมัติรายงาน DPIA เพื่อให้การอนุมัติเป็นไปอย่างโปร่งใส สอดคล้องกับระดับความเสี่ยง และสามารถพิสูจน์ความรับผิดชอบตามหลัก PDPA ใช้กับทุกโครงการ/ระบบ/กิจกรรมที่มีการประมวลผลข้อมูลส่วนบุคคล

องค์กรกำหนดตารางอำนาจอนุมัติตามระดับความเสี่ยง:

| ระดับความเสี่ยง | คะแนนความเสี่ยง | ผู้อนุมัติ |
|---|---|---|
| ความเสี่ยงต่ำ | น้อยกว่า 25 | หัวหน้าโครงการ |
| ความเสี่ยงปานกลาง | 25–49 | หัวหน้าโครงการ + DPO |
| ความเสี่ยงสูง | 50–74 | หัวหน้าโครงการ + DPO + หัวหน้าฝ่ายความมั่นคงปลอดภัยสารสนเทศ |
| ความเสี่ยงสูงมาก/มีนัยสำคัญ | ตั้งแต่ 75 ขึ้นไป | หัวหน้าโครงการ + DPO + ผู้บริหารระดับสูง หรือคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล |

เกณฑ์ประเมินความเสี่ยง: ใช้สูตร ความเสี่ยง = โอกาสเกิด × ผลกระทบ พร้อมพิจารณาปัจจัย เช่น ข้อมูลอ่อนไหว ปริมาณข้อมูล การเปิดเผยข้ามชาติ และความคาดหวังของเจ้าของข้อมูล

กระบวนการอนุมัติ:

- หัวหน้าโครงการยื่น DPIA พร้อมเอกสารแนบ (ผลการประเมินความเสี่ยง แผนลดความเสี่ยง) ต่อ DPO
- DPO ตรวจความสมบูรณ์เบื้องต้นภายใน 5 วันทำการ และส่งให้ผู้มีอำนาจตามตารางอำนาจอนุมัติ
- ผู้อนุมัติพิจารณาภายใน 10 วันทำการ หากมีเงื่อนไขให้ระบุชัดเจนพร้อมกรอบเวลาแก้ไขก่อนออกใบอนุมัติขั้นสุดท้าย
- ประกาศผลอนุมัติและบันทึกในระบบ (เอกสารลงนามและร่องรอยการตรวจสอบ)

การเก็บรักษาเอกสาร: DPIA ที่ได้รับอนุมัติและบันทึกการพิจารณาต้องเก็บรักษาไม่น้อยกว่า 5 ปี หรือเท่าที่กฎหมาย/นโยบายองค์กรกำหนด

### 2. ตัวอย่างรายงานผลการพิจารณารายงานการประเมินความเสี่ยง

ประกอบด้วย: หมายเลขอ้างอิง DPIA, ชื่อโครงการ, วันที่ยื่นและวันที่พิจารณา, DPO ผู้พิจารณาเบื้องต้น, สรุปสาระสำคัญของ DPIA (ขอบเขตการประมวลผล ความเสี่ยงหลัก มาตรการบรรเทาที่เสนอ), ผลการพิจารณา (อนุมัติ / อนุมัติพร้อมเงื่อนไข / ปฏิเสธ), ระดับความเสี่ยงคงเหลือหลังมาตรการ, ข้อสรุปและคำสั่งดำเนินการ พร้อมรายชื่อผู้พิจารณาและลงนาม (เจ้าของโครงการ, DPO, หัวหน้าฝ่ายความมั่นคงปลอดภัยสารสนเทศ, ผู้บริหารระดับสูงตามระดับความเสี่ยง)

### 3. โครงสร้างองค์กรแสดงผู้มีอำนาจอนุมัติ DPIA

- **คณะกรรมการบริหาร/คณะกรรมการบริษัท** — ระดับสูงสุด
- **ผู้บริหารสูงสุด** — ผู้มีอำนาจอนุมัติสูงสุด (กรณีความเสี่ยงระดับสูง)
- **คณะกรรมการคุ้มครองข้อมูลส่วนบุคคล** — ให้คำปรึกษานโยบาย
- **หัวหน้าฝ่ายความมั่นคงปลอดภัยสารสนเทศ** — รับผิดชอบด้านมาตรการทางเทคนิค
- **เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล (DPO)** — รับผิดชอบการพิจารณา DPIA และติดตามการปฏิบัติตาม
- **หัวหน้าโครงการ/ผู้จัดการโครงการ** — ยื่น DPIA และรับผิดชอบการดำเนินการตามเงื่อนไข
- **ฝ่ายกฎหมาย/ฝ่ายบริหารความเสี่ยง** — ให้คำปรึกษาด้านกฎหมายและการเงิน

### 4. เอกสารแสดงผู้รับผิดชอบโครงการ

หนังสือแต่งตั้ง/มอบหมายให้เป็นผู้รับผิดชอบโครงการ ระบุชื่อผู้ถูกแต่งตั้ง ตำแหน่ง/ฝ่าย วัตถุประสงค์โครงการ และอำนาจหน้าที่ เช่น การจัดทำและยื่นรายงาน DPIA ต่อ DPO และหน่วยงานที่เกี่ยวข้อง

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/9-4-7.md

============================================================
โนด: แนวปฏิบัติ 9.5.1
ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/9-5-1.md

# 9.5.1 องค์กรต้องไม่เริ่มการประมวลผลข้อมูลส่วนบุคคลที่มีความเสี่ยงสูงจนกว่าจะมีมาตรการบรรเทาผลกระทบตามที่กำหนดใน DPIA

## สิ่งที่ต้องทำ

องค์กรเริ่มการประมวลผลข้อมูลส่วนบุคคลที่มีความเสี่ยงสูงเมื่อมีมาตรการบรรเทาผลกระทบตามที่กำหนดใน DPIA ชัดเจน และมีเอกสารสนับสนุนครบถ้วน

## หลักฐาน

1. นโยบายการกำหนดเงื่อนไขการประมวลผลข้อมูลส่วนบุคคลหรือเริ่มโครงการ/กิจกรรม
2. รายงานการประเมินความเสี่ยง
3. เอกสารหรือหลักฐานแสดงการพิจารณามาตรการบรรเทาผลกระทบด้านการประมวลผลข้อมูลส่วนบุคคล

## สภาพบังคับ

พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 [มาตรา 37](https://link.pdpalawbase.com/section/37.md) ประกอบประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง มาตรการรักษาความมั่นคงปลอดภัยของผู้ควบคุมข้อมูลส่วนบุคคล พ.ศ. 2565 ข้อ 4 (2)

กรณีไม่ปฏิบัติตามมาตรา 37 มีโทษปรับทางปกครองไม่เกิน 3 ล้านบาท

## ตัวอย่างเอกสาร

### 1. นโยบายการกำหนดเงื่อนไขการประมวลผลข้อมูลส่วนบุคคลหรือเริ่มโครงการ/กิจกรรม

วัตถุประสงค์: กำหนดกรอบและแนวทางปฏิบัติสำหรับการเริ่มต้นการประมวลผลข้อมูลส่วนบุคคลที่อาจมีความเสี่ยงสูง โดยมุ่งเน้นการประเมินความเสี่ยงและกำหนดมาตรการบรรเทาผลกระทบก่อนเริ่มดำเนินการ

ข้อกำหนดและแนวทางปฏิบัติ:

- ก่อนเริ่มโครงการ องค์กรต้องจัดทำรายงาน DPIA และประเมินความเสี่ยงอย่างละเอียด
- กำหนดมาตรการบรรเทาผลกระทบที่เหมาะสม และตรวจสอบความเพียงพอโดย DPO และคณะกรรมการบริหารความเสี่ยง
- ห้ามเริ่มดำเนินการประมวลผลข้อมูลส่วนบุคคลที่มีความเสี่ยงสูงจนกว่าจะได้รับการอนุมัติเป็นลายลักษณ์อักษรจากผู้มีอำนาจ
- บันทึกและเก็บรักษาเอกสารที่เกี่ยวข้องไว้ในระบบจัดการเอกสารขององค์กร
- ทบทวนและปรับปรุงรายงาน DPIA อย่างน้อยปีละ 1 ครั้ง หรือเมื่อมีการเปลี่ยนแปลงที่สำคัญ

### 2. รายงานการประเมินความเสี่ยง

- **ชื่อโครงการ:** ระบบจัดการข้อมูลลูกค้าออนไลน์ · **วันที่จัดทำ:** 15 พฤษภาคม 2568 · **ผู้จัดทำ:** ฝ่ายพัฒนาระบบสารสนเทศ · **ผู้ตรวจสอบ:** DPO และฝ่ายบริหารความเสี่ยง
- **ขอบเขตและวัตถุประสงค์:** ประมวลผลข้อมูลส่วนบุคคลของลูกค้า (ชื่อ-นามสกุล ที่อยู่ หมายเลขโทรศัพท์ ข้อมูลการชำระเงิน ประวัติการสั่งซื้อ) เพื่อให้บริการจัดการบัญชีลูกค้าและติดตามคำสั่งซื้อ
- **การประเมินความเสี่ยง:** ระบุความเสี่ยง เช่น การเข้าถึงโดยไม่ได้รับอนุญาต การรั่วไหลของข้อมูล ความไม่ถูกต้องของข้อมูล หรือการถูกโจมตีจากภายนอก
- **มาตรการบรรเทาความเสี่ยง:** การเข้ารหัสข้อมูลทั้งขณะจัดเก็บและขณะส่ง, การยืนยันตัวตนหลายชั้น, การอบรมพนักงานด้านความปลอดภัยข้อมูล, การตรวจสอบและบันทึกการเข้าใช้ระบบ
- **สรุป:** มาตรการบรรเทาความเสี่ยงเหมาะสมและมีประสิทธิภาพ แนะนำให้ทบทวน DPIA ทุก 12 เดือน หรือเมื่อมีการเปลี่ยนแปลงสำคัญ

### 3. หนังสืออนุมัติมาตรการบรรเทาผลกระทบ

คณะกรรมการบริหารความเสี่ยงพิจารณาแล้วเห็นว่ามาตรการบรรเทาผลกระทบของโครงการระบบจัดการข้อมูลลูกค้าออนไลน์มีความเหมาะสมและเพียงพอที่จะลดความเสี่ยงให้อยู่ในระดับที่ยอมรับได้ จึงอนุมัติให้เริ่มดำเนินโครงการตามแผนที่เสนอ พร้อมกำชับให้มีการทบทวนและตรวจสอบความปลอดภัยอย่างต่อเนื่อง

### 4. รายงานการตรวจสอบและทบทวน DPIA

รายงานการตรวจสอบประจำปีโดยฝ่ายตรวจสอบภายในยืนยันว่าการดำเนินมาตรการตาม DPIA เป็นไปตามนโยบายและข้อกำหนด มีการบันทึกการอบรมพนักงานครบถ้วน ไม่มีเหตุการณ์รั่วไหลหรือละเมิดข้อมูลในรอบปี และแนะนำให้ทบทวนมาตรการด้านความปลอดภัยตามเทคโนโลยีและภัยคุกคามที่เปลี่ยนแปลง

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/9-5-1.md

============================================================
โนด: แนวปฏิบัติ 9.5.2
ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/9-5-2.md

# 9.5.2 องค์กรมีการกำหนดเวลาสำหรับการทบทวน DPIA เป็นประจำ หรือเมื่อลักษณะ ขอบเขต บริบท หรือวัตถุประสงค์ของการประมวลผลเปลี่ยนแปลงไป

## สิ่งที่ต้องทำ

องค์กรมีการกำหนดเวลาสำหรับการทบทวน DPIA และปฏิบัติตามอย่างเคร่งครัด หรือมีการทบทวนเมื่อลักษณะ ขอบเขต บริบท หรือวัตถุประสงค์ของการประมวลผลเปลี่ยนแปลงไป

## หลักฐาน

1. นโยบายการทบทวนการปฏิบัติตามผลการประเมินความเสี่ยงและทะเบียนจัดการความเสี่ยง
2. รายงานการปฏิบัติตามผลการประเมินความเสี่ยงและทะเบียนจัดการความเสี่ยง

## สภาพบังคับ

พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 [มาตรา 37](https://link.pdpalawbase.com/section/37.md) ประกอบประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง มาตรการรักษาความมั่นคงปลอดภัยของผู้ควบคุมข้อมูลส่วนบุคคล พ.ศ. 2565 ข้อ 4 (2) และข้อ 5

กรณีไม่ปฏิบัติตามมาตรา 37 มีโทษปรับทางปกครองไม่เกิน 3 ล้านบาท

## ตัวอย่างเอกสาร

### 1. นโยบายการทบทวน DPIA

ความสำคัญ: เนื่องจากข้อมูลส่วนบุคคลและกระบวนการประมวลผลมีการเปลี่ยนแปลงอยู่เสมอ เช่น การปรับปรุงระบบ เทคโนโลยี หรือกฎหมายที่เกี่ยวข้อง องค์กรต้องทบทวน DPIA อย่างสม่ำเสมอเพื่อให้มาตรการควบคุมและการบริหารความเสี่ยงยังคงมีประสิทธิภาพและเหมาะสมกับสถานการณ์ปัจจุบัน

แนวทางการกำหนดเวลาทบทวน:

- **การทบทวนตามรอบเวลาที่กำหนด** องค์กรกำหนดรอบเวลาการทบทวน DPIA อย่างชัดเจน เช่น ทุก 6 เดือน หรือทุก 12 เดือน ขึ้นอยู่กับระดับความเสี่ยงและลักษณะของการประมวลผลข้อมูล โดยบันทึกไว้ในนโยบายความมั่นคงปลอดภัยข้อมูลหรือคู่มือบริหารความเสี่ยง
- **การทบทวนเมื่อมีการเปลี่ยนแปลงที่สำคัญ** ทบทวนทันทีเมื่อมีการนำเทคโนโลยีใหม่เข้ามาใช้ ข้อมูลที่ประมวลผลเพิ่มขึ้นหรือเปลี่ยนประเภท เปลี่ยนผู้รับข้อมูลหรือผู้ประมวลผลภายนอก เกิดเหตุการณ์ด้านความปลอดภัย หรือเปลี่ยนแปลงกฎหมายที่เกี่ยวข้อง

ผู้รับผิดชอบ: การทบทวนดำเนินการโดย DPO ร่วมกับฝ่ายบริหารความเสี่ยง พร้อมจัดทำรายงานผลทบทวนอย่างเป็นทางการ

### 2. ทะเบียนจัดการความเสี่ยงและรายงานการทบทวน

ทะเบียนจัดการความเสี่ยงบันทึก: วันที่เริ่มต้นและวันที่กำหนดทบทวนครั้งต่อไป, สถานะการทบทวนล่าสุดและผลการทบทวน, หมายเหตุเกี่ยวกับการเปลี่ยนแปลงที่อาจกระทบต่อความเสี่ยง และรายชื่อผู้รับผิดชอบในการแก้ไขปรับปรุงมาตรการ

รายงานการทบทวน DPIA ระบุ: วันที่และเหตุผลที่ทำการทบทวน, ผลการประเมินความเสี่ยงหลังทบทวน, มาตรการใหม่หรือการปรับปรุงที่แนะนำ และผู้รับผิดชอบดำเนินการพร้อมกำหนดเวลาติดตามผล โดยผลการทบทวนและเอกสารที่เกี่ยวข้องจะถูกบันทึกและจัดเก็บในทะเบียนจัดการความเสี่ยงเพื่อการติดตามและตรวจสอบในอนาคต

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/9-5-2.md

============================================================
โนด: แนวปฏิบัติ 9.5.3
ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/9-5-3.md

# 9.5.3 องค์กรมีขั้นตอนในการปรึกษาผู้เชี่ยวชาญ หากไม่สามารถลดความเสี่ยงที่เหลืออยู่ได้

## สิ่งที่ต้องทำ

องค์กรมีขั้นตอนในการปรึกษาผู้เชี่ยวชาญ หากไม่สามารถลดความเสี่ยงที่เหลืออยู่ได้ และมีเอกสารหลักฐานสนับสนุนครบถ้วน

## หลักฐาน

1. นโยบายกำหนดขั้นตอนในการปรึกษาผู้เชี่ยวชาญ
2. สัญญาจ้างผู้เชี่ยวชาญด้านการคุ้มครองข้อมูลส่วนบุคคล

## สภาพบังคับ

ไม่มีกฎหมายบังคับ

## ตัวอย่างเอกสาร

### 1. ความสำคัญของการปรึกษาผู้เชี่ยวชาญ

ในกระบวนการบริหารความเสี่ยงตาม DPIA องค์กรต้องดำเนินมาตรการเพื่อลดความเสี่ยงให้เหลือน้อยที่สุด แต่ในบางกรณีความเสี่ยงที่เหลืออยู่ไม่สามารถบรรเทาได้ด้วยมาตรการภายในองค์กรเพียงอย่างเดียว การปรึกษาผู้เชี่ยวชาญภายนอกที่มีความรู้เฉพาะทางด้านคุ้มครองข้อมูลส่วนบุคคลจึงช่วยให้องค์กรประเมินความเสี่ยงและแนวทางจัดการได้อย่างถูกต้อง ลดโอกาสเกิดปัญหาทางกฎหมายหรือการละเมิดข้อมูลที่รุนแรง

### 2. เกณฑ์สถานการณ์ที่ต้องปรึกษาผู้เชี่ยวชาญ

- ความเสี่ยงต่อการละเมิดข้อมูลส่วนบุคคลที่มีผลกระทบรุนแรง (เช่น ข้อมูลอ่อนไหวหรือข้อมูลสุขภาพ)
- มาตรการบรรเทาความเสี่ยงที่ใช้อยู่ไม่ได้ผล หรือมีข้อจำกัดทางเทคนิคและงบประมาณ
- การเกิดเหตุการณ์ละเมิดข้อมูลซ้ำ ๆ หรือมีแนวโน้มสูง
- มีความซับซ้อนด้านเทคนิคหรือกฎหมายที่ต้องการความเห็นจากผู้เชี่ยวชาญ
- ความเสี่ยงที่มีผลต่อความเชื่อมั่นของผู้มีส่วนได้ส่วนเสียอย่างรุนแรง

### 3. ขั้นตอนการปรึกษา

1. **แจ้งเหตุและรวบรวมข้อมูล** ทีมที่รับผิดชอบทำรายงานสรุปสถานการณ์ ความเสี่ยงที่ไม่สามารถลดได้ และมาตรการที่ดำเนินการไปแล้ว
2. **เลือกผู้เชี่ยวชาญที่เหมาะสม** ผู้เชี่ยวชาญควรมีความรู้และประสบการณ์ด้านการคุ้มครองข้อมูลส่วนบุคคล กฎหมาย PDPA หรือมาตรฐานความมั่นคงปลอดภัยข้อมูล
3. **ทำสัญญาหรือข้อตกลงการให้บริการ** ระบุขอบเขตงาน การรักษาความลับข้อมูล และเงื่อนไขความรับผิดชอบ
4. **ดำเนินการปรึกษาและรับคำแนะนำ** ส่งข้อมูลและเอกสารที่เกี่ยวข้องให้ผู้เชี่ยวชาญพิจารณา พร้อมรับฟังคำแนะนำและมาตรการเสริม
5. **จัดทำรายงานผลการปรึกษา** สรุปคำแนะนำและแผนการดำเนินการ พร้อมระบุผู้รับผิดชอบและกำหนดเวลา
6. **ติดตามผลและทบทวน** ดำเนินการตามคำแนะนำและติดตามประสิทธิผล พร้อมบันทึกในทะเบียนความเสี่ยง

### 4. เอกสารหลักฐานที่ควรมี

- **นโยบายกำหนดขั้นตอนในการปรึกษาผู้เชี่ยวชาญ** ระบุหลักเกณฑ์และกระบวนการตัดสินใจว่าควรปรึกษาเมื่อใด บทบาทผู้รับผิดชอบ การจัดเก็บและรักษาความลับของข้อมูล และแนวทางจัดการคำแนะนำที่ได้รับ
- **สัญญาจ้างผู้เชี่ยวชาญด้านการคุ้มครองข้อมูลส่วนบุคคล** ระบุขอบเขตงาน ระยะเวลาการให้บริการ ข้อตกลงการรักษาความลับและความปลอดภัยของข้อมูล และเงื่อนไขการยกเลิกและความรับผิดชอบของแต่ละฝ่าย
- **รายงานการปรึกษาและคำแนะนำ** สรุปสถานการณ์และปัญหา คำแนะนำโดยละเอียดของผู้เชี่ยวชาญ แผนการดำเนินงานและมาตรการ พร้อมการตอบรับและแผนติดตามผล

หมายเหตุ: แม้กฎหมาย PDPA จะไม่ได้บังคับชัดเจนเรื่องการปรึกษาผู้เชี่ยวชาญเมื่อมีความเสี่ยงคงเหลือ แต่การมีขั้นตอนและนโยบายที่ชัดเจนถือเป็นแนวปฏิบัติที่ดีในการบริหารความเสี่ยงข้อมูลส่วนบุคคล

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/9-5-3.md

============================================================
โนด: แนวปฏิบัติ 9.5.4
ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/9-5-4.md

# 9.5.4 องค์กรบูรณาการผลลัพธ์จาก DPIA เข้ากับแผนงาน แผนปฏิบัติการโครงการ และบันทึกความเสี่ยงที่เกี่ยวข้อง รวมถึงทะเบียนจัดการความเสี่ยง

## สิ่งที่ต้องทำ

องค์กรมีการบูรณาการผลลัพธ์จาก DPIA เข้ากับแผนงาน แผนปฏิบัติการ โครงการ และบันทึกความเสี่ยงที่เกี่ยวข้อง รวมถึงทะเบียนจัดการความเสี่ยง และมีเอกสารครบถ้วน

## หลักฐาน

1. นโยบายการเผยแพร่รายงานการประเมินความเสี่ยง
2. รายงานการประเมินความเสี่ยง (ฉบับเผยแพร่ที่ปรากฏรายละเอียดเกี่ยวกับการพิจารณาผลกระทบด้านข้อมูลส่วนบุคคล)

## สภาพบังคับ

ไม่มีกฎหมายบังคับ

## ตัวอย่างเอกสาร

### 1. แนวทางและขั้นตอนการบูรณาการผลลัพธ์ DPIA

ผลลัพธ์ของ DPIA จะระบุความเสี่ยงที่มีต่อสิทธิและเสรีภาพของเจ้าของข้อมูล รวมถึงมาตรการที่องค์กรต้องดำเนินการเพื่อบรรเทาความเสี่ยง การบูรณาการผลลัพธ์เหล่านี้เข้ากับแผนงานและแผนปฏิบัติการเป็นสิ่งจำเป็นเพื่อให้มาตรการถูกนำไปปฏิบัติอย่างเป็นระบบ

- **การวางแผนบูรณาการผลลัพธ์** กำหนดกิจกรรมหรือมาตรการความปลอดภัยข้อมูลในแผนงานโครงการ กำหนดความรับผิดชอบและแผนการติดตามผล ระบุจุดที่ต้องทบทวน DPIA ซ้ำ และผนวกข้อกำหนดด้านคุ้มครองข้อมูลลงในขั้นตอนการพัฒนาและดำเนินงาน
- **การบันทึกและติดตามความเสี่ยง** นำผลลัพธ์ของ DPIA ไปบันทึกในทะเบียนจัดการความเสี่ยง จัดทำรายงานสรุปความเสี่ยงและมาตรการ รายงานต่อผู้บริหาร และกำหนดระยะเวลาทบทวนและปรับปรุงข้อมูลในทะเบียนความเสี่ยง

ตัวอย่างการบูรณาการ: หลังจากทำ DPIA สำหรับระบบสารสนเทศใหม่ ผลการประเมินที่ระบุว่าการเข้าถึงข้อมูลต้องควบคุมสิทธิ์อย่างเข้มงวด ถูกบูรณาการลงในแผนปฏิบัติการ โดยกำหนดให้ใช้ระบบยืนยันตัวตนแบบสองชั้น และบันทึกความเสี่ยงและมาตรการไว้ในทะเบียนจัดการความเสี่ยงพร้อมติดตามผลรายงานผู้บริหารเป็นระยะ

### 2. ตัวอย่างทะเบียนจัดการความเสี่ยงสำหรับ DPIA

| หมายเลข | ความเสี่ยง | ผลกระทบ | ระดับความเสี่ยง | มาตรการควบคุม | ผู้รับผิดชอบ | สถานะ |
|---|---|---|---|---|---|---|
| RR-001 | การเข้าถึงข้อมูลโดยไม่ได้รับอนุญาต | ความเสียหายทางชื่อเสียงและโทษปรับทางกฎหมาย | สูง | เพิ่มการตรวจสอบสิทธิ์ทุก 6 เดือน | ฝ่ายความมั่นคงปลอดภัยสารสนเทศ | ดำเนินการแล้ว |
| RR-002 | การรั่วไหลของข้อมูลผ่านช่องทางสื่อสาร | ความเสียหายต่อเจ้าของข้อมูลและองค์กร | ปานกลาง | ใช้การเข้ารหัสข้อมูลทั้งขณะพักและขณะส่ง | ฝ่ายพัฒนาโครงการ | อยู่ระหว่างดำเนินการ |

### 3. นโยบายการเผยแพร่รายงานการประเมินความเสี่ยง

- รายงาน DPIA ต้องได้รับการอนุมัติจากผู้บริหารที่รับผิดชอบก่อนเผยแพร่
- การเผยแพร่ควรทำในระดับที่เหมาะสมกับเนื้อหาและความลับของข้อมูล
- รายงานฉบับสมบูรณ์เก็บไว้ในระบบสารสนเทศที่มีการควบคุมการเข้าถึง
- สรุปรายงานหรือข้อเสนอแนะสำคัญเผยแพร่ให้ทีมโครงการและหน่วยงานที่เกี่ยวข้อง
- หากเผยแพร่ภายนอกองค์กรต้องได้รับอนุมัติจากฝ่ายกฎหมายและผู้บริหารระดับสูง

หมายเหตุ: การบูรณาการผลลัพธ์ DPIA สอดคล้องกับหลักการบริหารความเสี่ยงในมาตรฐานสากล และช่วยให้องค์กรปฏิบัติตามมาตรา 37 ของ PDPA ในด้านการประเมินผลกระทบและมาตรการรักษาความมั่นคงปลอดภัย

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/9-5-4.md

============================================================
โนด: แนวปฏิบัติ 9.5.5
ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/9-5-5.md

# 9.5.5 องค์กรมีขั้นตอนในการสื่อสารผลลัพธ์ของ DPIA ไปยังผู้มีส่วนได้ส่วนเสียที่เหมาะสม เช่น ผ่านรายงานสรุปอย่างเป็นทางการ

## สิ่งที่ต้องทำ

องค์กรมีขั้นตอนในการสื่อสารผลลัพธ์ของ DPIA ไปยังผู้มีส่วนได้ส่วนเสียอย่างเหมาะสม เช่น ผ่านรายงานสรุปอย่างเป็นทางการ และมีเอกสารครบถ้วน

## หลักฐาน

1. นโยบายการเผยแพร่รายงานการประเมินความเสี่ยง
2. รายงานการประเมินความเสี่ยง

## สภาพบังคับ

ไม่มีกฎหมายบังคับ

## ตัวอย่างเอกสาร

### 1. ช่องทางการสื่อสารผลลัพธ์ DPIA

องค์กรจัดให้มีขั้นตอนการสื่อสารผลลัพธ์ DPIA ไปยังผู้มีส่วนได้ส่วนเสีย โดยอาจใช้ช่องทาง:

- การจัดทำรายงานสรุปผล DPIA อย่างเป็นทางการ ซึ่งนำเสนอภาพรวมของการประเมินความเสี่ยงและมาตรการบรรเทา
- การจัดประชุมหรือเวิร์กชอปชี้แจงผลการประเมินและมาตรการควบคุมความเสี่ยง
- การส่งมอบรายงานฉบับเต็มแก่ผู้บริหารระดับสูง ฝ่ายกฎหมาย และหน่วยงานที่เกี่ยวข้อง
- การจัดเก็บข้อมูลผลลัพธ์ในระบบสารสนเทศขององค์กร พร้อมกำหนดสิทธิ์การเข้าถึงตามบทบาทหน้าที่

หลักฐานที่ต้องจัดเตรียม: นโยบายการเผยแพร่รายงานที่ระบุขั้นตอน วิธีการ และความถี่ในการสื่อสาร, รายงาน DPIA ฉบับเต็มและฉบับสรุป, บันทึกการประชุมหรือเวิร์กชอป และรายชื่อผู้รับรายงานพร้อมการยืนยันการได้รับข้อมูล

### 2. ตัวอย่างรายงานสรุป DPIA สำหรับผู้บริหาร

- **โครงการ:** พัฒนาระบบลงทะเบียนออนไลน์สำหรับงานสัมมนา · **วันที่รายงาน:** 1 มิถุนายน 2568 · **หน่วยงานรับผิดชอบ:** ฝ่ายเทคโนโลยีสารสนเทศ
- **ข้อมูลส่วนบุคคลที่เกี่ยวข้อง:** ชื่อ-นามสกุล เพศ อายุ เบอร์โทรศัพท์ อีเมล หน่วยงาน ตำแหน่งงาน

| ความเสี่ยง | ระดับความรุนแรง | ผลกระทบที่อาจเกิดขึ้น |
|---|---|---|
| การเข้าถึงข้อมูลโดยไม่ได้รับอนุญาต | สูง | การรั่วไหลของข้อมูลส่วนบุคคล กระทบความเป็นส่วนตัวและชื่อเสียงองค์กร |
| การสูญหายของข้อมูล | กลาง | ข้อมูลสำคัญสูญหาย ส่งผลให้ไม่สามารถจัดงานได้ตามแผน |
| การใช้ข้อมูลในทางที่ผิด | สูง | ข้อมูลถูกนำไปใช้ในทางการตลาดโดยไม่ได้รับความยินยอม |

มาตรการบรรเทาความเสี่ยง: กำหนดสิทธิ์เข้าถึงเฉพาะเจ้าหน้าที่ที่เกี่ยวข้อง, เข้ารหัสข้อมูลทั้งขณะส่งและจัดเก็บ, สำรองข้อมูลทุกวัน, อบรมเจ้าหน้าที่เรื่อง PDPA และขอความยินยอมจากผู้ลงทะเบียนก่อนเก็บข้อมูล

การดำเนินการถัดไป: ทบทวนมาตรการความมั่นคงปลอดภัยทุก 6 เดือน จัดประชุมชี้แจงผลการประเมินแก่ผู้บริหาร และติดตามประเมินผลการบรรเทาความเสี่ยงระหว่างดำเนินโครงการ พร้อมรายชื่อผู้รับรายงานและการลงชื่อรับทราบ

### 3. ตัวอย่างบันทึกการประชุมสื่อสารผลลัพธ์ DPIA

บันทึกการประชุมระบุ: ชื่อโครงการ วันที่ประชุม ผู้จัดประชุม (DPO) และผู้เข้าร่วม, วัตถุประสงค์การประชุม (สื่อสารผลการประเมิน รับฟังข้อเสนอแนะ วางแผนติดตามผล), เนื้อหาการประชุม (สรุปผล DPIA ข้อเสนอแนะจากผู้เข้าร่วม ข้อซักถามและคำตอบ กำหนดการติดตามผล) และข้อสรุปพร้อมการลงชื่อรับรองการประชุม โดยกำหนดให้ทบทวนมาตรการและ DPIA ทุก 6 เดือนหรือเมื่อลักษณะการประมวลผลเปลี่ยนแปลง

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/9-5-5.md

============================================================
โนด: แนวปฏิบัติ 9.5.6
ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/9-5-6.md

# 9.5.6 องค์กรเผยแพร่ผลการพิจารณา DPIA หากเป็นไปได้ โดยเปิดเผยตามกฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคล และมีรูปแบบการเผยแพร่อย่างเหมาะสม รวมถึงมีการลบรายละเอียดที่เกี่ยวกับข้อมูลความลับทางการค้าออกหากจำเป็น

## สิ่งที่ต้องทำ

องค์กรมีการเผยแพร่ผลการพิจารณา DPIA หากเป็นไปได้ โดยเปิดเผยตามกฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคล รวมถึงมีการลบรายละเอียดที่เกี่ยวข้องกับข้อมูลความลับทางการค้าออกหากจำเป็น

## หลักฐาน

1. นโยบายการเผยแพร่รายงานการประเมินความเสี่ยง
2. รายงานการประเมินความเสี่ยง (ฉบับเผยแพร่ที่ปรากฏรายละเอียดเกี่ยวกับการพิจารณาผลกระทบด้านข้อมูลส่วนบุคคล)

## สภาพบังคับ

ไม่มีกฎหมายบังคับ

## ตัวอย่างเอกสาร

### 1. นโยบายการเผยแพร่รายงาน DPIA

- องค์กรจัดทำรายงาน DPIA สำหรับโครงการที่มีการประมวลผลข้อมูลส่วนบุคคลที่มีความเสี่ยงสูง
- รายงานฉบับที่เหมาะสมจะได้รับการเผยแพร่ต่อสาธารณะในรูปแบบที่เหมาะสม เช่น ผ่านเว็บไซต์องค์กร เพื่อแสดงความโปร่งใส
- รายงานเผยแพร่จะถูกปรับแต่งโดยลบข้อมูลที่ถือเป็นความลับทางการค้าหรือข้อมูลที่อาจทำให้เกิดความเสียหายต่อองค์กรหรือบุคคลที่เกี่ยวข้อง
- การเผยแพร่ดำเนินการตามกฎหมายคุ้มครองข้อมูลส่วนบุคคล และต้องได้รับความเห็นชอบจากคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลภายในองค์กร
- องค์กรเก็บบันทึกหลักฐานการเผยแพร่ รวมถึงวันเวลาและช่องทางการเผยแพร่

ขั้นตอนการเผยแพร่: จัดทำรายงานฉบับเผยแพร่โดยคัดกรองข้อมูลความลับทางการค้าออก ขออนุมัติจากคณะกรรมการคุ้มครองข้อมูล เผยแพร่ผ่านช่องทางที่เหมาะสม จัดเก็บหลักฐานการเผยแพร่ และติดตามทบทวนเป็นระยะเพื่อให้สอดคล้องกับการเปลี่ยนแปลงของกฎหมายและนโยบาย

### 2. ตัวอย่างรายงานการประเมินความเสี่ยง (ฉบับเผยแพร่)

รายงาน DPIA โครงการพัฒนาระบบลงทะเบียนออนไลน์ ฉบับเผยแพร่ ได้คัดกรองข้อมูลที่เกี่ยวข้องกับความลับทางการค้าและข้อมูลที่อาจละเมิดสิทธิของบุคคลออก เพื่อความโปร่งใส

- **ขอบเขตและข้อมูลที่ประมวลผล:** ระบบรับข้อมูลผู้ลงทะเบียนเพื่อจัดกิจกรรมองค์กร โดยเก็บชื่อ-นามสกุล เลขบัตรประชาชน เบอร์โทรศัพท์ ที่อยู่อีเมล และข้อมูลสุขภาพบางส่วน

| ความเสี่ยง | ผลกระทบ | ระดับความเสี่ยง | มาตรการบรรเทา |
|---|---|---|---|
| การเข้าถึงข้อมูลโดยไม่ได้รับอนุญาต | ข้อมูลรั่วไหลหรือสูญหาย | สูง | ใช้การเข้ารหัสข้อมูลและระบบควบคุมสิทธิ์เข้าถึง |
| การละเมิดความเป็นส่วนตัวของเจ้าของข้อมูล | สูญเสียความเชื่อมั่น | ปานกลาง | ให้ความรู้พนักงานและมีนโยบายความเป็นส่วนตัวที่ชัดเจน |
| การโจมตีทางไซเบอร์ | ข้อมูลถูกทำลายหรือแก้ไข | ปานกลาง | มีระบบไฟร์วอลล์และการตรวจสอบช่องโหว่เป็นประจำ |

- **มาตรการบรรเทาผลกระทบ:** การเข้ารหัสข้อมูลทั้งขณะเก็บและส่งผ่าน, การกำหนดระดับการเข้าถึงตามหน้าที่, การอบรมพนักงาน, การจัดทำแผนรับมือเหตุการณ์ข้อมูลรั่วไหล และการตรวจสอบระบบความปลอดภัยอย่างสม่ำเสมอ
- **การเปิดเผยข้อมูลในรายงาน:** ลบหรือปกปิดข้อมูลความลับทางการค้าและข้อมูลที่อาจส่งผลเสียต่อองค์กร เช่น รายละเอียดทางเทคนิคของระบบรักษาความปลอดภัยและการตั้งค่าเซิร์ฟเวอร์
- **ช่องทางการเผยแพร่:** เผยแพร่ผ่านหน้าสิทธิและความเป็นส่วนตัวของเว็บไซต์องค์กร ดาวน์โหลดได้ในรูปแบบไฟล์ PDF และอัปเดตทุกปีหรือเมื่อมีการเปลี่ยนแปลงสำคัญ พร้อมบันทึกวันที่เผยแพร่และช่องทาง เพื่อใช้ในการตรวจสอบ

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/9-5-6.md

============================================================
โนด: แนวปฏิบัติ 10.1.1
ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/10-1-1.md

# 10.1.1 มีระบบ ตู้ บริเวณ หรือพื้นที่สำหรับจัดเก็บรายการข้อมูลต่าง ๆ และมีการจัดทำบัญชีทรัพย์สินสารสนเทศสำหรับใช้ในการจัดเก็บรายการข้อมูลเหล่านั้น

## สิ่งที่ต้องทำ

องค์กรต้องจัดให้มีระบบ ตู้ บริเวณ หรือพื้นที่สำหรับจัดเก็บรายการข้อมูลต่าง ๆ อย่างเป็นสัดส่วนและมีการควบคุมการเข้าถึงที่เหมาะสม และต้องจัดทำบัญชีทรัพย์สินสารสนเทศเพื่อใช้ในการจัดเก็บและกำกับดูแลรายการข้อมูลเหล่านั้นอย่างเป็นระบบ ตาม[มาตรา 37](https://link.pdpalawbase.com/section/37.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562

## หลักฐาน

1. นโยบายการจัดทำบัญชีทรัพย์สินสารสนเทศ
2. บัญชีทรัพย์สินสารสนเทศ

## สภาพบังคับ

[มาตรา 37](https://link.pdpalawbase.com/section/37.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 กำหนดให้ผู้ควบคุมข้อมูลส่วนบุคคลจัดให้มีมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสม เพื่อป้องกันการสูญหาย เข้าถึง ใช้ เปลี่ยนแปลง แก้ไข หรือเปิดเผยข้อมูลส่วนบุคคลโดยปราศจากอำนาจหรือโดยมิชอบ

ประกอบกับประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง มาตรการรักษาความมั่นคงปลอดภัยของผู้ควบคุมข้อมูลส่วนบุคคล พ.ศ. 2565 ข้อ 4 (2) (3) (4) ที่กำหนดให้มีมาตรการควบคุมการเข้าถึงข้อมูล การกำหนดสิทธิและการควบคุมการเข้าถึงพื้นที่และระบบจัดเก็บข้อมูล

กรณีไม่ปฏิบัติตามมาตรา 37 มีโทษปรับทางปกครองไม่เกิน 3 ล้านบาท

## ตัวอย่างเอกสาร

### นโยบายการจัดทำบัญชีทรัพย์สินสารสนเทศ

- **องค์กร:** [ชื่อองค์กร]
- **เรื่อง:** นโยบายการจัดทำบัญชีทรัพย์สินสารสนเทศ
- **ประกาศ ณ วันที่:** 1 เมษายน พ.ศ. 2568

**1. วัตถุประสงค์**

เพื่อกำหนดแนวทางในการจัดทำบัญชีทรัพย์สินสารสนเทศขององค์กรอย่างเป็นระบบและปลอดภัย สอดคล้องกับมาตรา 37 แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 และประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง มาตรการรักษาความมั่นคงปลอดภัยของผู้ควบคุมข้อมูลส่วนบุคคล พ.ศ. 2565

**2. ขอบเขต**

นโยบายฉบับนี้ครอบคลุมข้อมูลส่วนบุคคลที่เก็บในรูปแบบเอกสารหรือดิจิทัลทุกประเภทที่อยู่ภายใต้การควบคุมขององค์กร รวมถึงระบบจัดเก็บและเจ้าหน้าที่ที่มีหน้าที่ดูแลข้อมูล

**3. นโยบาย**

*3.1 การกำหนดพื้นที่และวิธีจัดเก็บ*

- จัดให้มีพื้นที่จัดเก็บข้อมูลอย่างเป็นสัดส่วน เช่น ห้องเก็บเอกสาร ตู้ล็อกเกอร์ ตู้เหล็กที่มีการล็อก และระบบจัดเก็บข้อมูลอิเล็กทรอนิกส์ (เช่น ระบบ Cloud ที่มีการเข้ารหัส)
- พื้นที่จัดเก็บต้องมีระบบควบคุมการเข้าถึงอย่างเหมาะสม เช่น การใช้กุญแจ การใช้บัตรผ่าน หรือรหัสผ่าน

*3.2 การจัดทำบัญชีทรัพย์สินสารสนเทศ*

หน่วยงานที่รับผิดชอบข้อมูลต้องจัดทำบัญชีทรัพย์สินสารสนเทศ ระบุรายละเอียดประกอบด้วย

- ประเภทของข้อมูล
- ที่ตั้งหรือระบบที่จัดเก็บ
- เจ้าของข้อมูล
- ความสำคัญหรือระดับความลับ
- รูปแบบการเข้าถึง

บัญชีทรัพย์สินนี้ต้องได้รับการทบทวนและปรับปรุงอย่างน้อยปีละ 1 ครั้ง

*3.3 ผู้รับผิดชอบ*

- เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล (DPO) กำกับดูแลการจัดทำบัญชีทรัพย์สินและความปลอดภัยของสถานที่จัดเก็บ
- ผู้บริหารหน่วยงานรับรองความถูกต้องของบัญชีที่จัดทำขึ้น

**4. การควบคุมและตรวจสอบ**

มีการตรวจสอบการเข้าถึงพื้นที่จัดเก็บข้อมูลอย่างสม่ำเสมอ การละเลยหรือไม่ปฏิบัติตามนโยบายนี้อาจนำไปสู่บทลงโทษทางวินัย และอาจถูกพิจารณาโทษทางปกครองตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562

### ตัวอย่างบัญชีทรัพย์สินสารสนเทศ

- **ชื่อหน่วยงาน:** กองเทคโนโลยีสารสนเทศ
- **วันที่จัดทำ:** 1 เมษายน พ.ศ. 2568

| ลำดับ | ประเภทข้อมูล | ระบบหรือพื้นที่จัดเก็บ | เจ้าของข้อมูล | ระดับความลับ | วิธีเข้าถึงข้อมูล |
|------|------------|----------------------|--------------|------------|----------------|
| 1 | ข้อมูลพนักงาน | ระบบบุคลากรออนไลน์ | ผู้อำนวยการกองบุคคล | ลับมาก | ชื่อผู้ใช้ + รหัสผ่าน (การยืนยันตัวตนสองชั้น) |
| 2 | ข้อมูลลูกค้า | ห้องเก็บแฟ้ม ชั้น 4 | ผู้อำนวยการฝ่ายขาย | ลับ | ตู้ล็อก มีรายชื่อผู้รับผิดชอบ |
| 3 | แบบฟอร์มคำขอ | ระบบเอกสารกลาง | สำนักงานเลขานุการ | ปกติ | เข้าสู่ระบบด้วยอีเมลองค์กร |
| 4 | ข้อมูลสุขภาพผู้รับบริการ | ระบบเวชระเบียนบนคลาวด์ | ผู้อำนวยการฝ่ายบริการทางการแพทย์ | ลับมาก | เข้าสู่ระบบ + รหัสผ่านครั้งเดียว ผ่านช่องทางเครือข่ายเข้ารหัส และมีการเข้ารหัสข้อมูล |

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/10-1-1.md

============================================================
โนด: แนวปฏิบัติ 10.1.2
ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/10-1-2.md

# 10.1.2 มีการเฝ้าระวังและคอยตรวจสอบข้อมูลที่เข้าออกจากระบบ ข้อมูลที่ขาดหาย หรือข้อมูลที่ไม่ถูกส่งกลับคืนมา

## สิ่งที่ต้องทำ

องค์กรต้องมีการเฝ้าระวังและคอยตรวจสอบข้อมูลที่เข้าออกจากระบบ ตลอดจนข้อมูลที่ขาดหายหรือข้อมูลที่ไม่ถูกส่งกลับคืนมา โดยมีเอกสารสนับสนุน เช่น นโยบาย บัญชีทรัพย์สินสารสนเทศ และรายงานการตรวจสอบการประมวลผลข้อมูลส่วนบุคคล ตาม[มาตรา 37](https://link.pdpalawbase.com/section/37.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562

## หลักฐาน

1. นโยบายการเฝ้าระวังและตรวจสอบข้อมูลส่วนบุคคล
2. บัญชีทรัพย์สินสารสนเทศ
3. รายงานการตรวจสอบการประมวลผลข้อมูลส่วนบุคคล

## สภาพบังคับ

[มาตรา 37](https://link.pdpalawbase.com/section/37.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 กำหนดให้ผู้ควบคุมข้อมูลส่วนบุคคลจัดให้มีมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสม เพื่อป้องกันการสูญหาย เข้าถึง ใช้ เปลี่ยนแปลง แก้ไข หรือเปิดเผยข้อมูลส่วนบุคคลโดยปราศจากอำนาจหรือโดยมิชอบ

ประกอบกับประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง มาตรการรักษาความมั่นคงปลอดภัยของผู้ควบคุมข้อมูลส่วนบุคคล พ.ศ. 2565 ข้อ 4 (2) (3) (4) ที่กำหนดให้มีมาตรการควบคุมการเข้าถึง การเฝ้าระวัง การตรวจสอบ และการบันทึกการเข้าถึงและการใช้ข้อมูลส่วนบุคคล

กรณีไม่ปฏิบัติตามมาตรา 37 มีโทษปรับทางปกครองไม่เกิน 3 ล้านบาท

## ตัวอย่างเอกสาร

### นโยบายการเฝ้าระวังและตรวจสอบข้อมูลส่วนบุคคล

- **ชื่อองค์กร:** [ชื่อองค์กร]
- **เรื่อง:** นโยบายการเฝ้าระวังและตรวจสอบข้อมูลส่วนบุคคล
- **ประกาศ ณ วันที่:** 1 เมษายน พ.ศ. 2568

**1. วัตถุประสงค์**

เพื่อกำหนดแนวทางการเฝ้าระวัง ตรวจสอบ และติดตามข้อมูลที่เข้าออกจากระบบ รวมถึงการตรวจสอบเหตุการณ์ผิดปกติ เช่น ข้อมูลที่หายหรือไม่ถูกส่งกลับคืนมา อันเป็นการป้องกันความเสี่ยงที่อาจเกิดขึ้นกับข้อมูลส่วนบุคคลที่องค์กรรับผิดชอบ

**2. ขอบเขต**

นโยบายนี้ใช้กับข้อมูลส่วนบุคคลทั้งหมดที่องค์กรควบคุม ไม่ว่าจะจัดเก็บในรูปแบบเอกสารหรือระบบดิจิทัล ทั้งภายในและภายนอกองค์กร

**3. นโยบายและแนวปฏิบัติ**

*3.1 การเฝ้าระวังข้อมูลที่เข้าและออกจากระบบ*

- ติดตั้งระบบไฟร์วอลล์ ระบบตรวจจับและป้องกันการบุกรุก และระบบป้องกันข้อมูลรั่วไหล เพื่อตรวจสอบและควบคุมข้อมูลที่เข้าและออก
- ระบบจัดทำบันทึกการใช้งานทุกกิจกรรม เช่น การดาวน์โหลด การส่งออก และการอัปโหลดข้อมูล ผ่านระบบบริหารจัดการเหตุการณ์ความมั่นคงปลอดภัยสารสนเทศ

*3.2 การตรวจสอบข้อมูลที่ขาดหายหรือไม่ถูกส่งคืน*

- เจ้าหน้าที่ผู้รับผิดชอบแต่ละหน่วยงานต้องจัดทำรายงานตรวจสอบความครบถ้วนของข้อมูล
- หากพบความผิดปกติ ต้องรายงานให้เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล (DPO) ภายใน 24 ชั่วโมง และดำเนินการแก้ไขภายใน 3 วันทำการ

*3.3 การบันทึกและรายงาน*

- ทุกการตรวจสอบต้องมีบันทึกร่องรอยการตรวจสอบ
- รายงานการประมวลผลข้อมูลต้องส่งให้คณะกรรมการ DPO อย่างน้อยไตรมาสละ 1 ครั้ง

**4. การบังคับใช้และความรับผิดชอบ**

- DPO เป็นผู้รับผิดชอบหลักในการกำกับดูแล ตรวจสอบ และรายงาน
- การละเมิดนโยบายนี้อาจถูกลงโทษทางวินัย และอาจมีความผิดทางปกครองตามมาตรา 37 แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562

### บัญชีทรัพย์สินสารสนเทศ (ฉบับเน้นระบบเฝ้าระวัง)

| ลำดับ | ระบบ/ทรัพย์สินสารสนเทศ | ข้อมูลที่จัดเก็บ | ระบบเฝ้าระวังข้อมูลเข้าออก | เจ้าของข้อมูล | หมายเหตุ |
|------|----------------------|----------------|--------------------------|--------------|----------|
| 1 | ระบบบุคลากรบนคลาวด์ | ข้อมูลพนักงาน | ระบบป้องกันข้อมูลรั่วไหล ไฟร์วอลล์ และบันทึกการเข้าถึง | ผู้อำนวยการกองบุคคล | มีรายงานการตรวจสอบรายเดือน |
| 2 | ระบบเวชระเบียน | ข้อมูลสุขภาพผู้ป่วย | ระบบบริหารเหตุการณ์ความมั่นคงปลอดภัย และระบบป้องกันการบุกรุก | ผู้อำนวยการฝ่ายการแพทย์ | ระบบแจ้งเตือนอัตโนมัติ |
| 3 | ระบบสารบรรณกลาง | หนังสือราชการ | บันทึกร่องรอยการตรวจสอบ และการเชื่อมต่อผ่านเครือข่ายเข้ารหัส | สำนักงานเลขานุการ | เข้าระบบด้วยการยืนยันตัวตนสองชั้น |

### ตัวอย่างรายงานการตรวจสอบการประมวลผลข้อมูลส่วนบุคคล

- **ชื่อรายงาน:** รายงานการตรวจสอบข้อมูลที่เข้าออกระบบ และการติดตามข้อมูลที่ขาดหาย
- **หน่วยงาน:** ฝ่ายเทคโนโลยีสารสนเทศ
- **ช่วงเวลา:** 1 – 31 มีนาคม 2568

| วันที่ | ระบบที่ตรวจสอบ | เหตุการณ์ผิดปกติ | วิธีการตรวจสอบ | ผลการดำเนินการ |
|-------|---------------|------------------|----------------|----------------|
| 5 มี.ค. | ระบบสารบรรณกลาง | พบบันทึกการใช้งานผิดปกติ: ดาวน์โหลดแฟ้มขนาดใหญ่ เวลา 03.00 น. | ตรวจสอบบันทึกการใช้งาน / ยืนยันกับผู้ใช้ | เป็นเจ้าหน้าที่ไอทีทำงานล่วงเวลา มีเอกสารยืนยัน |
| 12 มี.ค. | ระบบเวชระเบียน | ข้อมูลไม่ถูกซิงค์กลับจากคลินิกภายนอก | ตรวจสอบเครือข่ายเข้ารหัสและการเชื่อมต่อระบบ | ระบบล่มชั่วคราว แก้ไขแล้วและส่งข้อมูลคืนสำเร็จ |
| 25 มี.ค. | — | พบบันทึกของหมายเลขเครือข่ายแปลกปลอมจากภายนอกพยายามเข้าระบบ | ไฟร์วอลล์และระบบบริหารเหตุการณ์ความมั่นคงปลอดภัยแจ้งเตือน | บล็อกหมายเลขเครือข่ายและเพิ่มรายชื่ออนุญาตใหม่ |

- **ผู้จัดทำรายงาน:** นายณัฐพล อินทรสุข (เจ้าหน้าที่ความมั่นคงปลอดภัยสารสนเทศ)
- **รับรองโดย:** นางสาวกัญญ์ชลา สุวรรณกิจ (เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล)

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/10-1-2.md

============================================================
โนด: แนวปฏิบัติ 10.1.3
ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/10-1-3.md

# 10.1.3 องค์กรมีนโยบายและแนวปฏิบัติเพื่อจัดเก็บ แยกหมวดหมู่ และทำดัชนีสำหรับรายการข้อมูลส่วนบุคคลต่าง ๆ เพื่อสนับสนุนการบริหารข้อมูล การค้นหาข้อมูล และการทำลายข้อมูล

## สิ่งที่ต้องทำ

องค์กรต้องมีนโยบายหรือแนวปฏิบัติเพื่อจัดเก็บ แยกหมวดหมู่ และทำดัชนีสำหรับรายการข้อมูลส่วนบุคคลต่าง ๆ เพื่อสนับสนุนการบริหารข้อมูล การค้นหาข้อมูล และการทำลายข้อมูล พร้อมจัดทำเอกสารสนับสนุน ตาม[มาตรา 37](https://link.pdpalawbase.com/section/37.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562

## หลักฐาน

1. นโยบายและแนวปฏิบัติเพื่อจัดเก็บ แยกหมวดหมู่ และทำดัชนีสำหรับรายการข้อมูลส่วนบุคคล
2. คู่มือการจัดเก็บ แยกหมวดหมู่ และทำดัชนีข้อมูลส่วนบุคคล
3. ทะเบียนการประมวลผลข้อมูลส่วนบุคคล

## สภาพบังคับ

[มาตรา 37](https://link.pdpalawbase.com/section/37.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 กำหนดให้ผู้ควบคุมข้อมูลส่วนบุคคลจัดให้มีมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสม เพื่อป้องกันการสูญหาย เข้าถึง ใช้ เปลี่ยนแปลง แก้ไข หรือเปิดเผยข้อมูลส่วนบุคคลโดยปราศจากอำนาจหรือโดยมิชอบ

ประกอบกับประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง มาตรการรักษาความมั่นคงปลอดภัยของผู้ควบคุมข้อมูลส่วนบุคคล พ.ศ. 2565 ข้อ 4 (2) (4) ที่กำหนดให้มีมาตรการควบคุมการเข้าถึง การกำหนดหมวดหมู่ และการจัดการข้อมูลส่วนบุคคลอย่างเป็นระบบ

กรณีไม่ปฏิบัติตามมาตรา 37 มีโทษปรับทางปกครองไม่เกิน 3 ล้านบาท

## ตัวอย่างเอกสาร

### นโยบายและแนวปฏิบัติในการจัดเก็บ แยกหมวดหมู่ และทำดัชนีข้อมูลส่วนบุคคล

- **ชื่อเอกสาร:** นโยบายและแนวปฏิบัติในการจัดเก็บ แยกหมวดหมู่ และทำดัชนีข้อมูลส่วนบุคคล
- **ประกาศโดย:** [ชื่อองค์กร]
- **ประกาศ ณ วันที่:** 1 เมษายน พ.ศ. 2568

**1. วัตถุประสงค์**

เพื่อกำหนดหลักเกณฑ์ในการจัดเก็บ แยกหมวดหมู่ และจัดทำดัชนีของรายการข้อมูลส่วนบุคคลอย่างเป็นระบบ เพื่อสนับสนุนการบริหารจัดการข้อมูลที่มีประสิทธิภาพ และสอดคล้องกับหลักการคุ้มครองข้อมูลส่วนบุคคล

**2. ขอบเขต**

นโยบายนี้ครอบคลุมข้อมูลส่วนบุคคลที่จัดเก็บในระบบสารสนเทศ และเอกสารที่เป็นรูปแบบกระดาษภายในองค์กรทุกหน่วยงาน

**3. แนวปฏิบัติ**

*3.1 การจัดเก็บข้อมูล*

- ข้อมูลส่วนบุคคลต้องจัดเก็บในพื้นที่ที่กำหนด มีระบบควบคุมการเข้าถึง
- สำหรับเอกสารกระดาษ ให้จัดเก็บในตู้ที่มีการล็อกและบันทึกผู้เข้าถึง

*3.2 การแยกหมวดหมู่*

ข้อมูลต้องถูกแยกหมวดหมู่ตามประเภท เช่น

- ข้อมูลบุคคลภายในองค์กร (เช่น ข้อมูลพนักงาน)
- ข้อมูลจากบุคคลภายนอก (เช่น ลูกค้า ผู้รับบริการ)
- [ข้อมูลอ่อนไหว](https://link.pdpalawbase.com/concept/sensitive-data.md) ใช้ระบบรหัสหมวดหมู่ เช่น EMP-001, CUS-001, SENS-001

*3.3 การทำดัชนี*

ทุกรายการข้อมูลต้องมีรหัสประจำรายการและดัชนีค้นหาในระบบหรือในสมุดทะเบียน ระบบสารสนเทศต้องมีระบบค้นหาที่สามารถเข้าถึงข้อมูลตามรหัสหมวดหมู่ได้อย่างรวดเร็ว

*3.4 การบริหารจัดการข้อมูลเพื่อการค้นหาและทำลาย*

- ต้องมีคู่มือการค้นหาและจัดการข้อมูล เพื่อรองรับการใช้สิทธิของเจ้าของข้อมูล
- ข้อมูลที่หมดอายุการจัดเก็บต้องดำเนินการลบหรือทำลายตามขั้นตอนที่กำหนด

**4. ความรับผิดชอบ**

- เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล (DPO) เป็นผู้ควบคุมการใช้ดัชนีและกำกับการจัดหมวดหมู่ข้อมูล
- เจ้าหน้าที่สารสนเทศประจำหน่วยงานรับผิดชอบการจัดทำทะเบียนประมวลผลข้อมูลส่วนบุคคลให้ทันสมัย

### คู่มือการจัดเก็บ แยกหมวดหมู่ และทำดัชนีข้อมูลส่วนบุคคล

- **ประกาศโดย:** งานบริหารจัดการข้อมูล / สำนักงาน DPO

**โครงสร้างคู่มือ**

บทที่ 1: นิยามที่เกี่ยวข้อง

- ข้อมูลส่วนบุคคล / หมวดหมู่ข้อมูล / ดัชนี
- ข้อมูลที่ต้องควบคุมเป็นพิเศษ

บทที่ 2: แนวทางปฏิบัติ

- *2.1 ขั้นตอนการจัดเก็บ* — ระบุประเภทของสื่อที่ใช้ (ดิจิทัล/กระดาษ) และมาตรการการควบคุมการเข้าถึง
- *2.2 การแยกหมวดหมู่* — การจำแนกตามวัตถุประสงค์ การกำหนดชื่อหมวดและรหัสเฉพาะ
- *2.3 การสร้างดัชนี* — ตัวอย่างการจัดทำดัชนีดังตาราง
- *2.4 การทำลายข้อมูล* — ขั้นตอนการยืนยันสิ้นสุดการใช้ แบบฟอร์มขอลบข้อมูล และบันทึกการทำลายข้อมูล

ตัวอย่างการจัดทำดัชนี

| รหัส | ชื่อข้อมูล | ประเภท | เจ้าของ | วันที่เก็บ | สถานที่จัดเก็บ |
|------|----------|--------|---------|-----------|---------------|
| EMP001 | ข้อมูลพนักงาน | บุคคลภายใน | แผนกบุคคล | 1 ม.ค. 2567 | เครื่องแม่ข่ายระบบบุคลากร |

### ตัวอย่างทะเบียนการประมวลผลข้อมูลส่วนบุคคล

| ลำดับ | หมวดหมู่ข้อมูล | วัตถุประสงค์ | ระบบที่ใช้จัดเก็บ | เจ้าของข้อมูล | ระยะเวลาเก็บรักษา |
|------|---------------|------------|------------------|--------------|------------------|
| 1 | ข้อมูลพนักงาน | บริหารงานบุคคล | ระบบบุคลากรบนคลาวด์ | พนักงาน | 10 ปี |
| 2 | ข้อมูลลูกค้า | การให้บริการ | ระบบบริหารลูกค้าสัมพันธ์ | ผู้รับบริการ | 5 ปี |
| 3 | ข้อมูลอ่อนไหว | ประกันสุขภาพ | ระบบเวชระเบียน | พนักงาน/ผู้ป่วย | ตามข้อกฎหมาย |

- **ผู้รับผิดชอบ:** นายวรวิทย์ บุญธรรม (เจ้าหน้าที่คุ้มครองข้อมูล)

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/10-1-3.md

============================================================
โนด: แนวปฏิบัติ 10.1.4
ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/10-1-4.md

# 10.1.4 มีการจัดทำดัชนีสำหรับรายการข้อมูลที่จัดเก็บไว้นอกสถานที่ เพื่อให้สามารถเข้าถึงและติดตามข้อมูลได้อย่างถูกต้อง

## สิ่งที่ต้องทำ

องค์กรต้องจัดทำดัชนีสำหรับรายการข้อมูลที่จัดเก็บไว้นอกสถานที่ เพื่อให้สามารถเข้าถึงและติดตามข้อมูลได้อย่างถูกต้อง พร้อมจัดทำเอกสารให้ครบถ้วน ตาม[มาตรา 37](https://link.pdpalawbase.com/section/37.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562

## หลักฐาน

1. นโยบายการจัดทำดัชนีสำหรับรายการข้อมูลส่วนบุคคลที่จัดเก็บไว้นอกสถานที่
2. ดัชนีสำหรับรายการข้อมูลส่วนบุคคลที่จัดเก็บไว้นอกสถานที่

## สภาพบังคับ

[มาตรา 37](https://link.pdpalawbase.com/section/37.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 กำหนดให้ผู้ควบคุมข้อมูลส่วนบุคคลจัดให้มีมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสม เพื่อป้องกันการสูญหาย เข้าถึง ใช้ เปลี่ยนแปลง แก้ไข หรือเปิดเผยข้อมูลส่วนบุคคลโดยปราศจากอำนาจหรือโดยมิชอบ

ประกอบกับประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง มาตรการรักษาความมั่นคงปลอดภัยของผู้ควบคุมข้อมูลส่วนบุคคล พ.ศ. 2565 ข้อ 4 (2) (4) ที่กำหนดให้มีมาตรการควบคุมการเข้าถึงและการจัดการข้อมูลส่วนบุคคลอย่างเป็นระบบ รวมถึงข้อมูลที่จัดเก็บนอกสถานที่

กรณีไม่ปฏิบัติตามมาตรา 37 มีโทษปรับทางปกครองไม่เกิน 3 ล้านบาท

## ตัวอย่างเอกสาร

### นโยบายการจัดทำดัชนีสำหรับรายการข้อมูลส่วนบุคคลที่จัดเก็บไว้นอกสถานที่

- **ชื่อเอกสาร:** นโยบายการจัดทำดัชนีข้อมูลส่วนบุคคลที่จัดเก็บนอกสถานที่
- **ประกาศโดย:** [ชื่อองค์กร]
- **ประกาศ ณ วันที่:** [ระบุวันที่]

**1. วัตถุประสงค์**

เพื่อกำหนดแนวทางในการติดตาม ควบคุม และค้นหาข้อมูลส่วนบุคคลที่มีการจัดเก็บไว้นอกสถานที่อย่างมีประสิทธิภาพ และสอดคล้องกับข้อกำหนดของกฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคล

**2. ขอบเขต**

นโยบายนี้ครอบคลุมข้อมูลส่วนบุคคลทุกรูปแบบที่มีการจัดเก็บในสถานที่ที่อยู่นอกสำนักงานหลักขององค์กร เช่น

- พื้นที่จัดเก็บเอกสารสำรอง
- ศูนย์ข้อมูลภายนอกหรือผู้ให้บริการคลาวด์
- ระบบที่อยู่ในความดูแลของผู้ประมวลผลข้อมูล

**3. นิยาม**

- *ข้อมูลนอกสถานที่* หมายถึง ข้อมูลส่วนบุคคลที่มิได้จัดเก็บในระบบหลักขององค์กร แต่ยังอยู่ภายใต้ความรับผิดชอบของผู้ควบคุมข้อมูล
- *ดัชนี* หมายถึง การระบุรายละเอียดข้อมูลที่จัดเก็บไว้แต่ละรายการอย่างมีระบบ เพื่อให้สามารถเข้าถึงและติดตามได้

**4. แนวปฏิบัติ**

*4.1 การกำหนดดัชนี*

ต้องจัดทำทะเบียนดัชนีสำหรับข้อมูลทุกชุดที่จัดเก็บนอกสถานที่ โดยรายละเอียดในดัชนีประกอบด้วย

- รหัสข้อมูล
- ชื่อข้อมูล
- ประเภทข้อมูล
- ผู้รับผิดชอบ
- สถานที่จัดเก็บ (เช่น คลาวด์ สาขา ศูนย์จัดเก็บ)
- วันที่จัดเก็บ / วันที่สิ้นสุด
- สถานะการเข้าถึง
- ความถี่ในการสำรองข้อมูล

*4.2 การตรวจสอบ*

เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล (DPO) หรือเจ้าหน้าที่ข้อมูลต้องตรวจสอบรายการดัชนีอย่างน้อยปีละ 1 ครั้ง

*4.3 การรายงาน*

ต้องจัดทำรายงานการติดตามข้อมูลนอกสถานที่เสนอผู้บริหารอย่างน้อยทุก 6 เดือน

### ตัวอย่างดัชนีข้อมูลส่วนบุคคลที่จัดเก็บไว้นอกสถานที่

| รหัสข้อมูล | ชื่อข้อมูล | ประเภท | สถานที่จัดเก็บ | ผู้รับผิดชอบ | วันที่จัดเก็บ | วันที่หมดอายุ | หมายเหตุ |
|-----------|----------|--------|---------------|--------------|--------------|--------------|----------|
| EXT001 | ข้อมูลผู้ป่วยย้อนหลัง 10 ปี | ข้อมูลอ่อนไหว | ผู้ให้บริการจัดเก็บข้อมูลบนคลาวด์ | ฝ่ายเทคโนโลยีสารสนเทศ โรงพยาบาล | 01/01/2566 | 01/01/2576 | สัญญาจัดเก็บระยะยาว |
| EXT002 | สำเนาบัตรประชาชนผู้สมัครงาน | ข้อมูลส่วนบุคคล | สาขาพัทยา – ตู้เก็บเอกสาร | ฝ่ายบุคคลสาขา | 15/03/2567 | 15/03/2570 | ต้องลบทันทีหลังหมดอายุ |
| EXT003 | ข้อมูลแบบสอบถามลูกค้า | ข้อมูลส่วนบุคคล | ศูนย์ข้อมูลจังหวัดชลบุรี | ฝ่ายการตลาด | 01/08/2566 | 01/08/2569 | จัดเก็บพร้อมระบบสำรอง |
| EXT004 | ข้อมูลรายชื่อผู้บริจาค | ข้อมูลส่วนบุคคล | ศูนย์รับบริจาคสาขาเชียงใหม่ | แผนกกิจกรรมเพื่อสังคม | 01/10/2565 | 01/10/2568 | - |

**ข้อแนะนำเพิ่มเติม**

- ควรกำหนดเจ้าหน้าที่ประจำท้องถิ่นในแต่ละสาขาเป็น "ผู้ควบคุมดัชนี" เพื่อความพร้อมในการตรวจสอบข้อมูลจริง
- กำหนดรหัสข้อมูลไม่ซ้ำกันเพื่อการอ้างอิงที่ง่าย

**เอกสารแนบอื่น ๆ ที่แนะนำ**

- บันทึกส่งมอบ/บันทึกการจัดเก็บข้อมูลนอกสถานที่
- รายงานการตรวจสอบข้อมูลที่จัดเก็บนอกสถานที่
- สัญญาหรือข้อตกลงการให้บริการกับผู้ให้บริการจัดเก็บข้อมูล (ถ้ามี)

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/10-1-4.md

============================================================
โนด: แนวปฏิบัติ 10.2.2
ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/10-2-2.md

# 10.2.2 มีมาตรการในการทำให้การส่งหรือโอนข้อมูลนั้นมีความมั่นคงปลอดภัย รวมทั้งมีมาตรการลดการส่งหรือโอนข้อมูลออกไปยังภายนอกองค์กร

## สิ่งที่ต้องทำ

องค์กรต้องมีมาตรการในการทำให้การส่งหรือโอนข้อมูลมีความมั่นคงปลอดภัย รวมทั้งมีมาตรการลดการส่งหรือโอนข้อมูลออกไปยังภายนอกองค์กร เพื่อจำกัดความเสี่ยงที่อาจเกิดขึ้นกับข้อมูลส่วนบุคคลในระหว่างการส่งหรือโอน ตาม[มาตรา 37](https://link.pdpalawbase.com/section/37.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562

## หลักฐาน

1. นโยบายการลดการส่งหรือโอนข้อมูลส่วนบุคคลออกไปยังภายนอกองค์กร
2. นโยบายการรักษาความมั่นคงปลอดภัยของการส่งหรือโอนข้อมูลส่วนบุคคล
3. บันทึกการส่งหรือโอนข้อมูลส่วนบุคคล
4. ข้อตกลงการประมวลผลข้อมูลส่วนบุคคล
5. ข้อตกลงการส่งหรือโอนข้อมูลส่วนบุคคล
6. บันทึกข้อตกลงรักษาความลับ

## สภาพบังคับ

[มาตรา 37](https://link.pdpalawbase.com/section/37.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 กำหนดให้ผู้ควบคุมข้อมูลส่วนบุคคลจัดให้มีมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสม เพื่อป้องกันการสูญหาย เข้าถึง ใช้ เปลี่ยนแปลง แก้ไข หรือเปิดเผยข้อมูลส่วนบุคคลโดยปราศจากอำนาจหรือโดยมิชอบ ซึ่งรวมถึงความมั่นคงปลอดภัยในระหว่างการส่งหรือโอนข้อมูล

ประกอบกับประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง มาตรการรักษาความมั่นคงปลอดภัยของผู้ควบคุมข้อมูลส่วนบุคคล พ.ศ. 2565 ข้อ 4 (2) (4) ที่กำหนดให้มีมาตรการควบคุมการเข้าถึงและการจัดการข้อมูลส่วนบุคคลอย่างเป็นระบบ รวมถึงการส่งหรือโอนข้อมูล

## ตัวอย่างเอกสาร

### นโยบายการลดการส่งหรือโอนข้อมูลส่วนบุคคลออกไปยังภายนอกองค์กร

- **ชื่อเอกสาร:** นโยบายการลดการส่งหรือโอนข้อมูลส่วนบุคคลออกไปยังภายนอกองค์กร
- **ประกาศโดย:** [ชื่อองค์กร]

แนวทางหลักของนโยบาย

- กำหนดหลักการส่งหรือโอนข้อมูลส่วนบุคคลออกภายนอกเท่าที่จำเป็นต่อวัตถุประสงค์เท่านั้น
- ทบทวนความจำเป็นของการส่งหรือโอนข้อมูลก่อนดำเนินการทุกครั้ง และเลือกใช้ข้อมูลที่จำเป็นน้อยที่สุด
- ส่งเสริมการประมวลผลข้อมูลภายในองค์กรแทนการส่งออกไปยังภายนอกเมื่อทำได้

### นโยบายการรักษาความมั่นคงปลอดภัยของการส่งหรือโอนข้อมูลส่วนบุคคล

- กำหนดให้การส่งหรือโอนข้อมูลต้องผ่านช่องทางที่มีการเข้ารหัสและควบคุมการเข้าถึง
- กำหนดวิธีการยืนยันตัวตนของผู้รับข้อมูลก่อนการส่งหรือโอน
- กำหนดให้จัดทำบันทึกการส่งหรือโอนข้อมูลทุกครั้งเพื่อการตรวจสอบย้อนหลัง

### บันทึกการส่งหรือโอนข้อมูลส่วนบุคคล

| รายการ | รายละเอียดที่ต้องบันทึก |
|--------|------------------------|
| วันที่ส่ง/โอน | [ระบุวันที่] |
| ประเภทข้อมูลที่ส่ง/โอน | [ระบุประเภทข้อมูล] |
| ผู้ส่ง / ผู้รับ | [ระบุชื่อหน่วยงานหรือผู้รับผิดชอบ] |
| วัตถุประสงค์ | [ระบุวัตถุประสงค์] |
| ช่องทาง/วิธีการส่ง | [ระบุช่องทางที่มีการเข้ารหัส] |

### ข้อตกลงที่เกี่ยวข้อง

- **ข้อตกลงการประมวลผลข้อมูลส่วนบุคคล** — จัดทำกับผู้ประมวลผลข้อมูลภายนอกที่รับข้อมูลไปประมวลผลแทนองค์กร
- **ข้อตกลงการส่งหรือโอนข้อมูลส่วนบุคคล** — กำหนดสิทธิ หน้าที่ และมาตรการรักษาความปลอดภัยระหว่างผู้ส่งและผู้รับข้อมูล
- **บันทึกข้อตกลงรักษาความลับ** — ลงนามโดยผู้ที่เกี่ยวข้องกับการส่งหรือโอนข้อมูล เพื่อผูกพันให้รักษาความลับของข้อมูลส่วนบุคคล

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/10-2-2.md

============================================================
โนด: แนวปฏิบัติ 10.5.1
ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/10-5-1.md

# 10.5.1 สำหรับเอกสารที่เป็นกระดาษ มีการใช้ถังขยะที่ล็อกได้เพื่อจัดเก็บข้อมูลส่วนบุคคลไว้ และใช้การย่อยเป็นชิ้นเล็ก ๆ ในการทำลายกระดาษ หรือใช้การเผาทิ้ง

## สิ่งที่ต้องทำ

สำหรับเอกสารที่เป็นกระดาษ องค์กรต้องจัดให้มีถังขยะที่ล็อกได้เพื่อใช้จัดเก็บเอกสารที่มีข้อมูลส่วนบุคคลซึ่งรอการทำลาย และต้องทำลายเอกสารกระดาษด้วยการย่อยเป็นชิ้นเล็ก ๆ หรือใช้การเผาทิ้ง โดยวิธีการที่ทำให้ข้อมูลไม่สามารถนำกลับมาใช้ใหม่หรือระบุตัวเจ้าของข้อมูลได้อีก ตาม[มาตรา 37](https://link.pdpalawbase.com/section/37.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562

## หลักฐาน

1. นโยบายการลบข้อมูลส่วนบุคคลที่เป็นกระดาษ

## สภาพบังคับ

[มาตรา 37](https://link.pdpalawbase.com/section/37.md) (1) (3) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 กำหนดให้ผู้ควบคุมข้อมูลส่วนบุคคลจัดให้มีมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสม เพื่อป้องกันการสูญหาย เข้าถึง ใช้ เปลี่ยนแปลง แก้ไข หรือเปิดเผยข้อมูลส่วนบุคคลโดยปราศจากอำนาจหรือโดยมิชอบ ซึ่งครอบคลุมถึงหน้าที่ในการลบหรือทำลายข้อมูลที่เป็นเอกสารกระดาษอย่างมั่นคงปลอดภัย

ประกอบกับประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง มาตรการรักษาความมั่นคงปลอดภัยของผู้ควบคุมข้อมูลส่วนบุคคล พ.ศ. 2565 ข้อ 4 (2) (4) และประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง หลักเกณฑ์ในการลบหรือทำลาย หรือทำให้ข้อมูลส่วนบุคคลเป็นข้อมูลที่ไม่สามารถระบุตัวบุคคลได้ พ.ศ. 2567 ข้อ 3 และ ข้อ 9 ที่กำหนดวิธีการลบหรือทำลายข้อมูลส่วนบุคคลให้อยู่ในสภาพที่ไม่สามารถกู้คืนหรือระบุตัวเจ้าของข้อมูลได้

กรณีไม่ปฏิบัติตามมาตรา 37 มีโทษปรับทางปกครองไม่เกิน 3 ล้านบาท

## ตัวอย่างเอกสาร

### แนวนโยบายและแนวปฏิบัติในการลบหรือทำลายข้อมูลส่วนบุคคลที่เป็นเอกสารกระดาษ

**1. วัตถุประสงค์**

เพื่อกำหนดแนวนโยบายและแนวปฏิบัติที่ชัดเจนเกี่ยวกับการลบหรือทำลายข้อมูลส่วนบุคคลในรูปแบบเอกสารกระดาษอย่างปลอดภัย มีประสิทธิภาพ และเป็นมิตรกับสิ่งแวดล้อม ตลอดจนป้องกันการเข้าถึงหรือเปิดเผยข้อมูลโดยมิชอบ ซึ่งอาจก่อให้เกิดความเสียหายแก่เจ้าของข้อมูลหรือองค์กร

**2. ขอบเขตการบังคับใช้**

ใช้บังคับกับบุคลากรทุกระดับใน[ชื่อองค์กร]ที่เกี่ยวข้องกับการจัดเก็บ ใช้งาน หรือทำลายเอกสารที่มีข้อมูลส่วนบุคคลไม่ว่าโดยตรงหรือโดยอ้อม

**3. นิยามคำศัพท์ที่เกี่ยวข้อง**

- **ข้อมูลส่วนบุคคล** หมายถึง ข้อมูลเกี่ยวกับบุคคลซึ่งทำให้สามารถระบุตัวบุคคลนั้นได้ ไม่ว่าโดยทางตรงหรือทางอ้อม
- **การทำลายเอกสาร** หมายถึง การดำเนินการใด ๆ ที่ทำให้ข้อมูลไม่สามารถนำกลับมาใช้ใหม่หรือไม่สามารถระบุตัวเจ้าของข้อมูลได้อีกต่อไป
- **เจ้าหน้าที่ผู้รับผิดชอบ** หมายถึง พนักงานที่ได้รับมอบหมายในการดำเนินการทำลายข้อมูลและจัดเก็บหลักฐานการดำเนินการ

**4. ขั้นตอนการทำลายข้อมูลส่วนบุคคลในรูปแบบกระดาษ**

- เอกสารที่มีข้อมูลส่วนบุคคลที่ไม่จำเป็นต้องใช้งานอีก ต้องแยกออกจากเอกสารทั่วไป และจัดเก็บไว้ในภาชนะเฉพาะ เช่น ถังขยะที่ล็อกได้ หรือกล่องที่มีระบบปิดผนึก
- ก่อนทำลายเอกสาร ให้ผู้รับผิดชอบตรวจสอบและบันทึกรายการที่เตรียมจะทำลาย โดยระบุรายละเอียดที่จำเป็น เช่น วันที่ ชื่อผู้อนุมัติ
- การทำลายเอกสารสามารถดำเนินการได้ด้วยวิธีใดวิธีหนึ่ง ดังนี้
  - การใช้เครื่องทำลายเอกสารแบบละเอียด ซึ่งสามารถย่อยเอกสารให้เป็นเส้นขนาดไม่เกิน 5 มิลลิเมตร และไม่สามารถนำกลับมาประกอบใหม่ได้
  - การส่งต่อเอกสารไปยังผู้ให้บริการกำจัดเอกสารแบบปลอดภัย ซึ่งมีระบบควบคุมการทำลายตามมาตรฐาน ISO/IEC 21964 และมีใบรับรองการทำลาย
- ห้ามทำลายเอกสารด้วยการเผา เว้นแต่มีระบบควบคุมที่ได้รับอนุญาตจากหน่วยงานสิ่งแวดล้อม
- หลังการทำลาย ให้เจ้าหน้าที่จัดทำรายงานผลการทำลาย พร้อมลงนามรับรองโดยผู้ดำเนินการและผู้ตรวจสอบ

**5. ตารางบันทึกการทำลายเอกสารที่มีข้อมูลส่วนบุคคล**

| ลำดับ | วันที่ทำลาย | รายละเอียดเอกสาร | จำนวนหน้า | วิธีการทำลาย | ผู้ดำเนินการ | ผู้ตรวจสอบ | หมายเหตุ |
|------|-----------|----------------|----------|------------|------------|----------|---------|
| 1 | 5 มิ.ย. 2568 | ใบสมัครงาน ปี 2562 | 120 หน้า | เครื่องย่อยละเอียด | นายสมชาย ใจดี | นางสาวรัตนา มีสุข | ทำลายสำเร็จ |
| 2 | 2 มิ.ย. 2568 | แบบฟอร์มลูกค้าเก่า | 200 หน้า | บริการกำจัดจากบริษัทภายนอก | น.ส.กัญญา สายชล | นายวิทยา ตรงธรรม | แนบใบรับรองแล้ว |

**6. การอบรมและควบคุมภายใน**

- องค์กรจะจัดการอบรมอย่างน้อยปีละ 1 ครั้ง เกี่ยวกับการจัดการเอกสารที่มีข้อมูลส่วนบุคคล และวิธีการทำลายข้อมูลอย่างถูกต้อง
- ฝ่ายตรวจสอบภายในจะสุ่มตรวจการดำเนินการทำลายข้อมูลทุกไตรมาส และรายงานต่อผู้บริหารระดับสูง

**7. อ้างอิงกฎหมายและประกาศที่เกี่ยวข้อง**

- พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 มาตรา 37 (1) และ (3)
- ประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง มาตรการรักษาความมั่นคงปลอดภัยของผู้ควบคุมข้อมูลส่วนบุคคล พ.ศ. 2565 ข้อ 4 (2) (4)
- ประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง หลักเกณฑ์ในการลบหรือทำลาย หรือทำให้ข้อมูลส่วนบุคคลเป็นข้อมูลที่ไม่สามารถระบุตัวบุคคลได้ พ.ศ. 2567 ข้อ 3 และ ข้อ 9

**8. บทกำหนดโทษกรณีไม่ปฏิบัติตาม**

ผู้ควบคุมข้อมูลส่วนบุคคลที่ไม่ปฏิบัติตามมาตรา 37 อาจถูกลงโทษทางปกครองด้วยการปรับไม่เกิน 3,000,000 บาท

**9. ผู้รับผิดชอบในการดำเนินการ**

เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล (DPO) หรือผู้ที่ได้รับมอบหมายโดยผู้ควบคุมข้อมูล

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/10-5-1.md

============================================================
โนด: แนวปฏิบัติ 10.5.2
ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/10-5-2.md

# 10.5.2 สำหรับข้อมูลที่อยู่บนอุปกรณ์อิเล็กทรอนิกส์ มีการใช้วิธีการลบหรือทำลายที่มีความมั่นคงปลอดภัย หรือการทำลายสนามแม่เหล็กบนอุปกรณ์ดังกล่าว

## สิ่งที่ต้องทำ

สำหรับข้อมูลส่วนบุคคลที่อยู่บนอุปกรณ์อิเล็กทรอนิกส์ องค์กรต้องใช้วิธีการลบหรือทำลายที่มีความมั่นคงปลอดภัย หรือการทำลายสนามแม่เหล็กบนอุปกรณ์ดังกล่าว เพื่อให้ข้อมูลไม่สามารถกู้คืนหรือเข้าถึงได้อีก ตาม[มาตรา 37](https://link.pdpalawbase.com/section/37.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562

## หลักฐาน

1. นโยบายการลบข้อมูลส่วนบุคคลที่เป็นข้อมูลอิเล็กทรอนิกส์

## สภาพบังคับ

[มาตรา 37](https://link.pdpalawbase.com/section/37.md) (1) (3) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 กำหนดให้ผู้ควบคุมข้อมูลส่วนบุคคลจัดให้มีมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสม เพื่อป้องกันการสูญหาย เข้าถึง ใช้ เปลี่ยนแปลง แก้ไข หรือเปิดเผยข้อมูลส่วนบุคคลโดยปราศจากอำนาจหรือโดยมิชอบ ซึ่งครอบคลุมถึงหน้าที่ในการลบหรือทำลายข้อมูลที่จัดเก็บอยู่บนอุปกรณ์อิเล็กทรอนิกส์อย่างมั่นคงปลอดภัย

ประกอบกับประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง มาตรการรักษาความมั่นคงปลอดภัยของผู้ควบคุมข้อมูลส่วนบุคคล พ.ศ. 2565 ข้อ 4 (2) (4) และประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง หลักเกณฑ์ในการลบหรือทำลาย หรือทำให้ข้อมูลส่วนบุคคลเป็นข้อมูลที่ไม่สามารถระบุตัวบุคคลได้ พ.ศ. 2567 ข้อ 3 และ ข้อ 9 ที่กำหนดวิธีการลบหรือทำลายข้อมูลส่วนบุคคลให้อยู่ในสภาพที่ไม่สามารถกู้คืนหรือระบุตัวเจ้าของข้อมูลได้

กรณีไม่ปฏิบัติตามมาตรา 37 มีโทษปรับทางปกครองไม่เกิน 3 ล้านบาท

## ตัวอย่างเอกสาร

### นโยบายการลบหรือทำลายข้อมูลอิเล็กทรอนิกส์

นโยบายฉบับนี้มาพร้อมขั้นตอนการอนุมัติ แบบฟอร์มลงนาม และการเชื่อมโยงกับมาตรฐาน ISO/IEC 27001:2022 และ ISO/IEC 27701:2019

**1. วัตถุประสงค์**

เพื่อกำหนดแนวทางการลบหรือทำลายข้อมูลส่วนบุคคลที่จัดเก็บอยู่ในรูปแบบอิเล็กทรอนิกส์อย่างปลอดภัย ไม่สามารถกู้คืนหรือเข้าถึงข้อมูลได้อีก ทั้งนี้เพื่อให้เป็นไปตามกฎหมายคุ้มครองข้อมูลส่วนบุคคล และมาตรฐานความมั่นคงปลอดภัยของสารสนเทศ

**2. ขอบเขต**

นโยบายนี้ครอบคลุมข้อมูลส่วนบุคคลที่จัดเก็บหรือประมวลผลอยู่ในอุปกรณ์อิเล็กทรอนิกส์ทุกประเภท เช่น คอมพิวเตอร์ แล็ปท็อป เซิร์ฟเวอร์ ฮาร์ดดิสก์ แฟลชไดรฟ์ โทรศัพท์มือถือ กล้องวงจรปิด หรืออุปกรณ์เชื่อมต่ออื่นใดที่อาจมีการจัดเก็บข้อมูลส่วนบุคคล

**3. หลักการ**

- ข้อมูลส่วนบุคคลที่หมดความจำเป็นต้องใช้ตามวัตถุประสงค์หรือครบระยะเวลาการเก็บรักษา ต้องถูกลบหรือทำลายโดยวิธีที่มีความปลอดภัย
- การทำลายต้องดำเนินการโดยเจ้าหน้าที่ที่ได้รับมอบหมายหรือผู้ควบคุมข้อมูลส่วนบุคคลเท่านั้น
- ต้องมีการขออนุมัติล่วงหน้าก่อนการทำลาย และจัดเก็บหลักฐานการดำเนินการทุกครั้ง
- วิธีการลบหรือทำลายต้องสอดคล้องกับมาตรฐาน ISO/IEC 27001:2022 ข้อ A.8.10 และ ISO/IEC 27701:2019 ข้อ 7.4.6

**4. วิธีการลบหรือทำลายข้อมูล**

- การลบข้อมูลแบบปลอดภัย โดยใช้ซอฟต์แวร์ที่ได้มาตรฐาน หรือมีการเขียนทับข้อมูลอย่างน้อย 3 รอบ
- การทำลายข้อมูลด้วยวิธีการฟอร์แมตที่ไม่สามารถกู้คืนได้ เช่น การฟอร์แมตระดับลึก หรือการล้างข้อมูลแบบปลอดภัย
- การทำลายอุปกรณ์จัดเก็บข้อมูลทางกายภาพ เช่น การบด การทุบ การเจาะ หรือการใช้เครื่องทำลายฮาร์ดดิสก์โดยเฉพาะ
- ไม่แนะนำให้ใช้วิธีการทำลายโดยการเผา เนื่องจากมีผลกระทบต่อสิ่งแวดล้อม

**5. ขั้นตอนการอนุมัติการลบหรือทำลาย**

- หน่วยงานที่ต้องการลบหรือทำลายข้อมูล ยื่นคำขอโดยกรอกแบบฟอร์มอนุมัติ
- เจ้าหน้าที่ DPO หรือเจ้าหน้าที่รักษาความมั่นคงปลอดภัยของสารสนเทศพิจารณาคำขอ
- ผู้อำนวยการฝ่ายหรือผู้บริหารระดับที่กำหนดอนุมัติคำขอ
- เจ้าหน้าที่ดำเนินการลบหรือทำลายตามวิธีที่ได้รับอนุมัติ
- บันทึกผลการดำเนินการ และแนบรายงานผลการลบหรือทำลายพร้อมลายมือชื่อของผู้รับผิดชอบ

**6. ตารางบันทึกการลบหรือทำลายข้อมูล**

| ลำดับ | วันที่ดำเนินการ | รายละเอียดอุปกรณ์/ไฟล์ | วิธีที่ใช้ | ผู้ดำเนินการ | ผู้อนุมัติ | หมายเหตุ |
|------|--------------|----------------------|---------|------------|----------|---------|
| 1 | 15 ม.ค. 2567 | คอมพิวเตอร์ตั้งโต๊ะ (รหัสครุภัณฑ์ ว-001) | ล้างข้อมูลแบบปลอดภัยด้วยซอฟต์แวร์ | นายกิตติพงศ์ อินทร์ดี | น.ส.วารุณี พงษ์สุข | เครื่องเก่าหมดอายุการใช้งานแล้ว |
| 2 | 28 ก.พ. 2567 | แฟลชไดรฟ์ 1GB | ฟอร์แมตระดับลึก | น.ส.สมฤดี ทองแท้ | นายธีรชาติ คำงาม | พบข้อมูลพนักงานหมดความจำเป็นต้องใช้ |
| 3 | 10 มี.ค. 2567 | ฮาร์ดดิสก์สำรอง (เซิร์ฟเวอร์สำรอง 01) | บดทำลายด้วยเครื่องทำลายฮาร์ดดิสก์ | นายวีระพงษ์ จันทร์ใส | น.ส.ณัฐชยา วุฒิมโนโชติ | ตามรอบการหมุนเวียน 3 ปี |
| 4 | 24 เม.ย. 2567 | กล้องวงจรปิด (ระบบบันทึกภาพ) | ลบไฟล์ภาพย้อนหลัง 90 วัน ผ่านระบบบริหารจัดการกล้อง | นายธนพนธ์ หอมจันทร์ | นางสาวสุภาวดี เจริญสุข | ตามนโยบายเก็บรักษา 90 วัน |
| 5 | 5 มิ.ย. 2567 | โทรศัพท์มือถือองค์กร | ล้างข้อมูลผ่านระบบบริหารจัดการอุปกรณ์เคลื่อนที่ | นายกฤษณ์ คำใส | นายภาณุวัฒน์ ศิริพานิช | พนักงานลาออก ระบบถอนการควบคุมแล้ว |

**7. แบบฟอร์มอนุมัติการลบหรือทำลายข้อมูล (อิเล็กทรอนิกส์)**

- ชื่อผู้ยื่นคำขอ: ......................
- ตำแหน่ง: ......................
- หน่วยงาน: ......................
- รายละเอียดข้อมูลที่ต้องการลบหรือทำลาย: ......................
- วิธีการที่เสนอใช้: ......................
- เหตุผลในการลบหรือทำลาย: ......................
- ลงชื่อผู้ขอ ...................... วันที่ ............
- ความเห็นของ DPO/เจ้าหน้าที่ความมั่นคงปลอดภัยสารสนเทศ: ......................
- ลงชื่อผู้อนุมัติ ...................... วันที่ ............

**8. การเชื่อมโยงกับกฎหมายและมาตรฐาน**

- พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 มาตรา 37 (1) และ (3)
- ประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง มาตรการรักษาความมั่นคงปลอดภัย พ.ศ. 2565 ข้อ 4 (2) และ (4)
- ประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง หลักเกณฑ์ในการลบหรือทำลายข้อมูล พ.ศ. 2567 ข้อ 3 วรรคสอง
- มาตรฐาน ISO/IEC 27001:2022 ข้อ A.8.10 (การกำจัดสื่อบันทึกข้อมูล)
- มาตรฐาน ISO/IEC 27701:2019 ข้อ 7.4.6 (การกำจัดและลบข้อมูลอย่างปลอดภัย)

**9. บทลงโทษกรณีไม่ปฏิบัติตาม**

หากผู้ควบคุมข้อมูลไม่ปฏิบัติตามมาตรา 37 แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 อาจได้รับโทษปรับทางปกครองไม่เกิน 3 ล้านบาท

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/10-5-2.md

============================================================
โนด: แนวปฏิบัติ 10.5.3
ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/10-5-3.md

# 10.5.3 มีการส่งขยะที่มีข้อมูลความลับไปกำจัดนอกสถานที่โดยวิธีการที่มีความมั่นคงปลอดภัย

## สิ่งที่ต้องทำ

องค์กรต้องส่งขยะหรือวัสดุที่มีข้อมูลความลับหรือข้อมูลส่วนบุคคลไปกำจัดนอกสถานที่โดยวิธีการที่มีความมั่นคงปลอดภัย และต้องมีหลักฐานสนับสนุนการดำเนินการดังกล่าว เพื่อป้องกันการรั่วไหลของข้อมูลก่อน ระหว่าง หรือภายหลังการขนส่งและทำลาย ตาม[มาตรา 37](https://link.pdpalawbase.com/section/37.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562

## หลักฐาน

1. นโยบายการลบข้อมูลส่วนบุคคลที่เป็นกระดาษ
2. ข้อตกลงการประมวลผลข้อมูลส่วนบุคคล
3. บันทึกข้อตกลงรักษาความลับ

## สภาพบังคับ

[มาตรา 37](https://link.pdpalawbase.com/section/37.md) (1) (3) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 กำหนดให้ผู้ควบคุมข้อมูลส่วนบุคคลจัดให้มีมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสม เพื่อป้องกันการสูญหาย เข้าถึง ใช้ เปลี่ยนแปลง แก้ไข หรือเปิดเผยข้อมูลส่วนบุคคลโดยปราศจากอำนาจหรือโดยมิชอบ ซึ่งครอบคลุมถึงการส่งวัสดุที่มีข้อมูลส่วนบุคคลออกไปกำจัดนอกสถานที่อย่างมั่นคงปลอดภัย

ประกอบกับประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง มาตรการรักษาความมั่นคงปลอดภัยของผู้ควบคุมข้อมูลส่วนบุคคล พ.ศ. 2565 ข้อ 4 (2) และประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง หลักเกณฑ์ในการลบหรือทำลาย หรือทำให้ข้อมูลส่วนบุคคลเป็นข้อมูลที่ไม่สามารถระบุตัวบุคคลได้ พ.ศ. 2567 ที่กำหนดวิธีการลบหรือทำลายข้อมูลส่วนบุคคลให้อยู่ในสภาพที่ไม่สามารถกู้คืนหรือระบุตัวเจ้าของข้อมูลได้

กรณีไม่ปฏิบัติตามมาตรา 37 มีโทษปรับทางปกครองไม่เกิน 3 ล้านบาท

## ตัวอย่างเอกสาร

### การส่งขยะที่มีข้อมูลความลับไปกำจัดนอกสถานที่โดยวิธีที่มีความมั่นคงปลอดภัย

**1. วัตถุประสงค์**

เพื่อให้การกำจัดข้อมูลความลับหรือข้อมูลส่วนบุคคลที่ไม่จำเป็นต้องใช้ต่อไปแล้วเป็นไปอย่างปลอดภัย ป้องกันการรั่วไหลจากการส่งข้อมูลหรือวัสดุออกนอกสถานที่ขององค์กร โดยเฉพาะข้อมูลในรูปแบบกระดาษหรือวัสดุอื่นที่อาจสามารถระบุข้อมูลส่วนบุคคลได้

**2. แนวทางปฏิบัติ**

*2.1 การคัดแยกและบรรจุ*

- เอกสารที่มีข้อมูลความลับหรือข้อมูลส่วนบุคคลจะต้องได้รับการคัดแยกออกจากขยะทั่วไป
- บรรจุในภาชนะที่ไม่โปร่งแสง มีฉลากกำกับ "ข้อมูลส่วนบุคคล/ข้อมูลลับ – รอทำลาย"
- ภาชนะดังกล่าวจะต้องสามารถล็อกได้ หรือควบคุมไม่ให้เข้าถึงโดยไม่ได้รับอนุญาต

*2.2 การจัดส่งไปยังผู้ให้บริการภายนอก*

- ต้องดำเนินการผ่านผู้ให้บริการที่มีการประเมินความเสี่ยงแล้ว และมีข้อตกลงการประมวลผลข้อมูลส่วนบุคคล (DPA) และบันทึกข้อตกลงรักษาความลับ
- ผู้ให้บริการต้องมีนโยบายหรือมาตรการด้านความมั่นคงปลอดภัย เช่น การใช้รถขนส่งที่ล็อกได้ และการกำกับดูแลระหว่างขนส่ง

*2.3 การทำลายอย่างปลอดภัยโดยผู้รับจ้างภายนอก*

- ต้องทำลายข้อมูลโดยวิธีการที่ไม่สามารถกู้คืนหรือระบุเจ้าของข้อมูลได้อีก เช่น การย่อยละเอียดตามมาตรฐาน DIN 66399 ระดับ P-4 หรือสูงกว่า
- ภายหลังการทำลาย ต้องได้รับใบรับรองการทำลาย

**3. เอกสารและหลักฐานที่ต้องจัดเก็บ**

- สำเนาสัญญาจ้าง/ข้อตกลงการประมวลผลข้อมูลส่วนบุคคล (DPA)
- บันทึกการส่งมอบเอกสารเพื่อทำลาย
- บันทึกการตรวจสอบสถานที่และกระบวนการของผู้ให้บริการ
- ใบรับรองการทำลาย
- รายงานเหตุการณ์ กรณีมีเหตุผิดปกติระหว่างขนส่ง

**4. การเชื่อมโยงกับ ISO/IEC 27001 และ ISO/IEC 27701**

| มาตรฐาน | หมายเลขข้อ | คำอธิบายการเชื่อมโยง |
|--------|----------|--------------------|
| ISO/IEC 27001 | A.8.3.2 | การกำจัดสื่อข้อมูลอย่างปลอดภัย |
| ISO/IEC 27001 | A.13.2.1 | การจัดการกับข้อมูลที่ส่งผ่านบุคคลภายนอก |
| ISO/IEC 27701 | 7.4.6 | การว่าจ้างผู้ให้บริการภายนอกเพื่อการประมวลผลข้อมูลส่วนบุคคล |
| ISO/IEC 27701 | 7.5.7 | การลบหรือทำลายข้อมูลเมื่อหมดความจำเป็น |

**5. แบบฟอร์มบันทึกการส่งกำจัดข้อมูลนอกสถานที่**

ชื่อฟอร์ม: บันทึกการส่งข้อมูลส่วนบุคคลเพื่อกำจัดภายนอกสถานที่

| ลำดับ | วันที่ส่ง | ประเภทข้อมูล/วัสดุ | ปริมาณ | บริษัทผู้รับจ้าง | หมายเลขสัญญา DPA | ผู้รับผิดชอบ (ภายใน) | ผู้รับ (บริษัทภายนอก) | เอกสารแนบ |
|------|---------|------------------|-------|---------------|----------------|--------------------|---------------------|---------|
| 1 | 5 มี.ค. 2567 | เอกสารประวัติพนักงานหมดอายุ | 3 กล่อง | บริษัท เอ-เซิร์ฟ จำกัด | DPA/2024/HR-02 | นายเกรียงศักดิ์ สุขดี | นายสมชาติ จันทร์สว่าง | ใบส่งของ DPA ใบรับรองทำลาย |

**6. โทษกรณีไม่ปฏิบัติตาม**

ตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 มาตรา 37 ผู้ควบคุมข้อมูลต้องมีมาตรการเพื่อให้มั่นใจว่าข้อมูลจะถูกลบหรือทำลายอย่างเหมาะสม หากไม่ดำเนินการอย่างถูกต้อง อาจได้รับโทษปรับทางปกครองไม่เกิน 3 ล้านบาท

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/10-5-3.md

============================================================
โนด: แนวปฏิบัติ 10.5.4
ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/10-5-4.md

# 10.5.4 มีการจัดทำสัญญากับผู้ให้บริการภายนอกเพื่อลบหรือทำลายข้อมูลส่วนบุคคล โดยผู้ให้บริการแสดงถึงมาตรฐานที่ใช้ในการลบหรือทำลายข้อมูล หรือมีใบรับรองเพื่อแสดงถึงมาตรฐานการลบหรือทำลาย

## สิ่งที่ต้องทำ

องค์กรต้องจัดทำสัญญากับผู้ให้บริการภายนอกเพื่อลบหรือทำลายข้อมูลส่วนบุคคล โดยผู้ให้บริการต้องแสดงถึงมาตรฐานที่ใช้ในการลบหรือทำลายข้อมูล หรือมีใบรับรองเพื่อแสดงถึงมาตรฐานการลบหรือทำลาย ตาม[มาตรา 37](https://link.pdpalawbase.com/section/37.md) และ[มาตรา 40](https://link.pdpalawbase.com/section/40.md) วรรคสาม แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562

## หลักฐาน

1. นโยบายการลบข้อมูลส่วนบุคคลที่เป็นกระดาษ
2. นโยบายการลบข้อมูลส่วนบุคคลที่เป็นข้อมูลอิเล็กทรอนิกส์
3. ข้อตกลงการประมวลผลข้อมูลส่วนบุคคล
4. บันทึกข้อตกลงรักษาความลับ

## สภาพบังคับ

[มาตรา 37](https://link.pdpalawbase.com/section/37.md) ประกอบ[มาตรา 40](https://link.pdpalawbase.com/section/40.md) วรรคสาม แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 กำหนดให้ผู้ควบคุมข้อมูลส่วนบุคคลจัดให้มีมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสมในการลบหรือทำลายข้อมูล และในกรณีที่มอบหมายให้ผู้ประมวลผลข้อมูลส่วนบุคคลดำเนินการ ต้องจัดให้มีข้อตกลงเป็นลายลักษณ์อักษรอย่างชัดเจน และควบคุมให้ผู้ประมวลผลดำเนินการอย่างถูกต้องตามกฎหมาย

ประกอบกับประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง มาตรการรักษาความมั่นคงปลอดภัยของผู้ควบคุมข้อมูลส่วนบุคคล พ.ศ. 2565 ที่กำหนดให้มีมาตรการควบคุมการลบหรือทำลายข้อมูลอย่างมั่นคงปลอดภัย

กรณีไม่ปฏิบัติตามมาตรา 37 มีโทษปรับทางปกครองไม่เกิน 3 ล้านบาท

## ตัวอย่างเอกสาร

### การจัดทำสัญญากับผู้ให้บริการภายนอกเพื่อลบหรือทำลายข้อมูลส่วนบุคคล

**1. วัตถุประสงค์**

เพื่อให้การว่าจ้างบุคคลภายนอกเพื่อลบหรือทำลายข้อมูลส่วนบุคคลเป็นไปตามกฎหมายและมาตรฐานความมั่นคงปลอดภัย โดยเฉพาะในกรณีที่องค์กรไม่มีขีดความสามารถหรือเทคโนโลยีภายในที่เพียงพอสำหรับการลบหรือทำลายข้อมูลอย่างปลอดภัยและตรวจสอบได้

**2. แนวทางปฏิบัติ**

*2.1 การเลือกผู้ให้บริการที่มีคุณสมบัติ*

ผู้ให้บริการต้องมีใบรับรองมาตรฐานที่เกี่ยวข้องกับการลบหรือทำลายข้อมูล เช่น

- ISO/IEC 27001 หรือ ISO/IEC 27040 (การรักษาความมั่นคงของข้อมูลในระบบสารสนเทศ)
- ใบรับรองจากสมาคมรับรองมาตรฐานการทำลายข้อมูล
- มาตรฐาน DIN 66399 สำหรับการทำลายเอกสาร

*2.2 การจัดทำข้อตกลงและสัญญา*

- ต้องมีการทำข้อตกลงการประมวลผลข้อมูลส่วนบุคคล (DPA)
- ต้องมีบันทึกข้อตกลงรักษาความลับ
- ข้อตกลงต้องระบุอย่างชัดเจนถึง ชนิดของข้อมูลที่ส่งให้ลบหรือทำลาย วิธีการที่ใช้ มาตรฐานหรือแนวปฏิบัติที่ผู้รับจ้างอ้างอิง การรับรองว่าไม่เก็บสำเนาข้อมูลใดไว้ และการออกใบรับรองการลบหรือทำลาย

*2.3 การควบคุมและติดตามผล*

- องค์กรต้องเก็บบันทึกการลบหรือทำลายทุกครั้ง
- มีสิทธิในการตรวจสอบกระบวนการของผู้รับจ้าง
- ต้องมีช่องทางรายงานเหตุผิดปกติ

**3. ตัวอย่างมาตรฐาน/ใบรับรองจากผู้ให้บริการ**

- ใบรับรอง ISO/IEC 27001:2022 แสดงระบบการบริหารความมั่นคงปลอดภัยสารสนเทศ
- ใบรับรอง NAID AAA รับรองการทำลายข้อมูลตามมาตรฐานระดับสากล
- รายงานผลการตรวจสอบจากบริษัทอิสระว่าได้ดำเนินการทำลายข้อมูลตามมาตรฐาน DIN 66399 ระดับ P-4

**4. แบบฟอร์มที่เกี่ยวข้อง**

ชื่อฟอร์ม: แบบฟอร์มบันทึกการว่าจ้างและตรวจสอบคุณสมบัติผู้ให้บริการลบหรือทำลายข้อมูลส่วนบุคคล

| ลำดับ | วันที่ทำสัญญา | ชื่อผู้ให้บริการ | มาตรฐาน/ใบรับรองที่อ้างอิง | ประเภทข้อมูล | DPA แนบ | NDA แนบ | ใบรับรองลบ/ทำลาย | หมายเหตุ |
|------|------------|---------------|--------------------------|------------|--------|--------|----------------|---------|
| 1 | 12 เม.ย. 2567 | บริษัท ซีเคียวร์ดี พลัส จำกัด | ISO/IEC 27001, DIN 66399 | เอกสารบุคคล / ฐานข้อมูลเก่า | ✓ | ✓ | รอส่งภายใน 7 วัน | ตรวจสอบปีละ 1 ครั้ง |

**5. หลักฐานประกอบ**

- นโยบายการลบข้อมูลส่วนบุคคล (ทั้งในรูปแบบกระดาษและอิเล็กทรอนิกส์)
- ข้อตกลงการประมวลผลข้อมูลส่วนบุคคล (DPA)
- บันทึกข้อตกลงการรักษาความลับ
- ใบรับรองมาตรฐานหรือรายงานการตรวจสอบล่าสุดของผู้ให้บริการ
- ใบรับรองการทำลายข้อมูล

**6. ข้อกำหนดทางกฎหมาย**

| กฎหมาย | รายละเอียดข้อกำหนด |
|-------|------------------|
| มาตรา 37 | ผู้ควบคุมข้อมูลต้องจัดให้มีมาตรการที่เหมาะสมในการลบหรือทำลายข้อมูล |
| มาตรา 40 วรรคสาม | หากมอบหมายให้ผู้ประมวลผล ต้องมีข้อตกลงอย่างชัดเจน และต้องควบคุมให้ดำเนินการอย่างถูกต้องตามกฎหมาย |

**7. โทษหากไม่ปฏิบัติตาม**

หากไม่จัดทำสัญญา หรือไม่เลือกผู้ให้บริการที่มีมาตรฐาน อาจถือเป็นการละเลยต่อหน้าที่ของผู้ควบคุมข้อมูล ตามมาตรา 37 หากฝ่าฝืน อาจถูกปรับทางปกครองไม่เกิน 3 ล้านบาท

**8. การเชื่อมโยงกับมาตรฐานสากล**

| มาตรฐาน | ข้อที่เกี่ยวข้อง | เนื้อหาที่เชื่อมโยง |
|--------|---------------|------------------|
| ISO/IEC 27701 | A.8.3.2 | การลบหรือทำลายสื่อข้อมูลอย่างมั่นคงปลอดภัย |
| ISO/IEC 27701 | 7.2.6 | การเลือกผู้ประมวลผลข้อมูลภายนอกอย่างรัดกุม |
| ISO/IEC 27701 | 7.5.7 | การควบคุมและจัดทำหลักฐานการลบหรือทำลายข้อมูล |

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/10-5-4.md

============================================================
โนด: แนวปฏิบัติ 10.5.5
ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/10-5-5.md

# 10.5.5 มีการบันทึกไว้เป็นข้อมูลสำหรับอุปกรณ์หรือระบบที่มีข้อมูลความลับทั้งหมดที่ได้มีการส่งออกไปเพื่อกำจัดหรือทำลาย

## สิ่งที่ต้องทำ

องค์กรต้องจัดให้มีการบันทึกข้อมูลสำหรับอุปกรณ์หรือระบบที่มีข้อมูลความลับทั้งหมดที่ได้ส่งออกไปเพื่อกำจัดหรือทำลาย และต้องจัดเก็บเอกสารหลักฐานให้ครบถ้วน เพื่อให้สามารถติดตาม ตรวจสอบ และพิสูจน์ย้อนหลังได้ ตาม[มาตรา 37](https://link.pdpalawbase.com/section/37.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562

## หลักฐาน

1. นโยบายการลบ กำจัด หรือทำลายข้อมูลส่วนบุคคลที่เป็นกระดาษ
2. นโยบายการลบ กำจัด หรือทำลายข้อมูลส่วนบุคคลที่เป็นข้อมูลอิเล็กทรอนิกส์
3. ข้อตกลงการประมวลผลข้อมูลส่วนบุคคล

## สภาพบังคับ

[มาตรา 37](https://link.pdpalawbase.com/section/37.md) (1) (3) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 กำหนดให้ผู้ควบคุมข้อมูลส่วนบุคคลจัดให้มีมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสม เพื่อป้องกันการสูญหาย เข้าถึง ใช้ เปลี่ยนแปลง แก้ไข หรือเปิดเผยข้อมูลส่วนบุคคลโดยปราศจากอำนาจหรือโดยมิชอบ ซึ่งครอบคลุมถึงการจัดทำบันทึกหลักฐานสำหรับอุปกรณ์หรือสื่อที่มีข้อมูลความลับซึ่งส่งออกไปกำจัดหรือทำลาย

ประกอบกับประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง มาตรการรักษาความมั่นคงปลอดภัยของผู้ควบคุมข้อมูลส่วนบุคคล พ.ศ. 2565 ข้อ 4 (2) (4) ที่กำหนดให้มีมาตรการในการจัดเก็บ การใช้งาน และการส่งต่อข้อมูลอย่างปลอดภัย รวมถึงการบันทึกหลักฐานการลบหรือทำลายข้อมูลที่สามารถตรวจสอบย้อนหลังได้

กรณีไม่ปฏิบัติตามมาตรา 37 มีโทษปรับทางปกครองไม่เกิน 3 ล้านบาท

## ตัวอย่างเอกสาร

### การบันทึกข้อมูลอุปกรณ์หรือระบบที่ส่งออกไปกำจัดหรือทำลาย

**1. วัตถุประสงค์**

เพื่อให้องค์กรสามารถติดตาม ตรวจสอบ และพิสูจน์ย้อนหลังได้ถึงการจัดการกับอุปกรณ์หรือสื่อที่มีข้อมูลส่วนบุคคลหรือข้อมูลลับที่ถูกนำไปกำจัดหรือทำลายอย่างถูกวิธี โดยไม่มีข้อมูลหลุดรอดหรือคงอยู่ในความครอบครองของบุคคลภายนอก

**2. แนวทางปฏิบัติ**

*2.1 การจัดทำทะเบียนการส่งออกอุปกรณ์/สื่อข้อมูลเพื่อนำไปกำจัด*

จัดทำทะเบียนประจำ หรือระบบบันทึกข้อมูลอิเล็กทรอนิกส์ที่บันทึกข้อมูลดังต่อไปนี้

- ประเภทของอุปกรณ์/สื่อ เช่น ฮาร์ดดิสก์ แฟลชไดรฟ์ เครื่องพิมพ์ กระดาษสำเนา
- หมายเลขอุปกรณ์ (ถ้ามี)
- รายละเอียดข้อมูลที่อาจมีในอุปกรณ์ เช่น ข้อมูลส่วนบุคคล ข้อมูลสุขภาพ ข้อมูลทางบัญชี
- วิธีการกำจัด เช่น ลบ ทำลาย หรือรีไซเคิล
- ชื่อบริษัทหรือหน่วยงานภายนอกที่รับกำจัด
- วันที่ส่งมอบ
- ผู้อนุมัติ และผู้ดำเนินการ

*2.2 การควบคุมการเข้าถึงอุปกรณ์ก่อนกำจัด*

- จัดเก็บอุปกรณ์หรือสื่อที่รอการทำลายไว้ในพื้นที่ปลอดภัย
- จำกัดผู้เข้าถึง
- มีการล้างข้อมูลก่อนตามมาตรฐาน เช่น DoD 5220.22-M หรือ NIST SP 800-88

*2.3 การจัดเก็บเอกสารหลักฐาน*

- เอกสารการส่งมอบ
- ใบรับรองการลบหรือทำลายข้อมูล
- ภาพถ่ายการดำเนินการ (ถ้ามี)
- สำเนาสัญญาหรือบันทึกข้อตกลงกับผู้ให้บริการภายนอก

**3. แบบฟอร์มบันทึกการส่งออกอุปกรณ์เพื่อนำไปทำลาย**

ชื่อฟอร์ม: ทะเบียนการส่งออกอุปกรณ์/ขยะที่มีข้อมูลส่วนบุคคล

| ลำดับ | วันที่ส่งมอบ | ประเภทอุปกรณ์ | หมายเลข | ข้อมูลที่เกี่ยวข้อง | วิธีการทำลาย | บริษัทที่รับทำลาย | ผู้อนุมัติ | เอกสารแนบ |
|------|-----------|-------------|--------|------------------|------------|----------------|---------|---------|
| 1 | 20 มิ.ย. 2568 | ฮาร์ดดิสก์ | SN-DX10432 | ฐานข้อมูลพนักงาน | ทำลายทางกายภาพ (ย่อยละเอียด) | บจก. เอ็มเอส ดาต้าดิสทรอย | น.ส. วารี สาระ | ใบรับรองลบข้อมูล |

**4. ตัวอย่างเอกสารแนบที่ควรมี**

- นโยบายการลบ กำจัด หรือทำลายข้อมูลส่วนบุคคล (ทั้งแบบกระดาษและอิเล็กทรอนิกส์)
- ข้อตกลงการประมวลผลข้อมูลส่วนบุคคล กับผู้ให้บริการทำลายข้อมูล
- ใบรับรองการทำลาย
- บันทึกการล้างข้อมูล
- ภาพถ่ายหรือวิดีโอการทำลาย (ถ้าดำเนินการภายในองค์กร)

**5. ข้อกำหนดทางกฎหมาย**

| กฎหมาย/ข้อบังคับ | ข้อความที่เกี่ยวข้อง |
|----------------|--------------------|
| พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 มาตรา 37 | ผู้ควบคุมข้อมูลต้องจัดให้มีมาตรการป้องกันไม่ให้ข้อมูลส่วนบุคคลรั่วไหลหรือถูกเข้าถึงโดยไม่ได้รับอนุญาต รวมถึงในขั้นตอนของการกำจัดหรือทำลายข้อมูล |
| ประกาศคณะกรรมการฯ พ.ศ. 2565 ข้อ 4 (2) | ต้องมีมาตรการในการจัดเก็บ การใช้งาน และการส่งต่อข้อมูลอย่างปลอดภัย รวมถึงขั้นตอนทำลาย |
| ประกาศคณะกรรมการฯ พ.ศ. 2565 ข้อ 4 (4) | ต้องมีการบันทึกหลักฐานการลบหรือทำลายข้อมูลที่สามารถตรวจสอบย้อนหลังได้ |

**6. โทษหากไม่ปฏิบัติตาม**

หากไม่สามารถแสดงหลักฐานว่าได้ดำเนินการลบหรือทำลายข้อมูลตามกฎหมาย อาจเสี่ยงต่อการรั่วไหลของข้อมูลส่วนบุคคล และความผิดตามมาตรา 37 มีโทษปรับทางปกครองไม่เกิน 3 ล้านบาท

**7. การเชื่อมโยงกับมาตรฐาน ISO**

| มาตรฐาน | ข้อที่เกี่ยวข้อง | แนวปฏิบัติที่เชื่อมโยง |
|--------|---------------|---------------------|
| ISO/IEC 27701 | A.8.3.2 | การลบหรือทำลายข้อมูลจากสื่อจัดเก็บที่ไม่ใช้แล้ว |
| ISO/IEC 27701 | 7.4.7 | การควบคุมการทำลายข้อมูลส่วนบุคคลหลังจากสิ้นสุดวัตถุประสงค์ |
| NIST SP 800-88 | บทที่ 2-3 | แนวทางการลบข้อมูลจากสื่อเก็บข้อมูลทั้งแบบแม่เหล็กและอิเล็กทรอนิกส์ |

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/10-5-5.md

============================================================
โนด: แนวปฏิบัติ 10.6.1
ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/10-6-1.md

# 10.6.1 มีการจัดทำบัญชีทรัพย์สินสารสนเทศ โดยบัญชีดังกล่าวได้รวมถึงเจ้าของทรัพย์สิน สถานที่จัดเก็บทรัพย์สิน ระยะเวลาการจัดเก็บ และมาตรการความมั่นคงปลอดภัย (เพื่อป้องกันทรัพย์สิน)

## สิ่งที่ต้องทำ

องค์กรต้องจัดทำบัญชีทรัพย์สินสารสนเทศที่เกี่ยวข้องกับการประมวลผลข้อมูลส่วนบุคคลอย่างครบถ้วนและเป็นระบบ โดยบัญชีดังกล่าวต้องครอบคลุมรายละเอียดอย่างน้อยดังนี้ เจ้าของทรัพย์สิน สถานที่จัดเก็บทรัพย์สิน ระยะเวลาการจัดเก็บ และมาตรการความมั่นคงปลอดภัยที่นำมาใช้ เพื่อให้สามารถบริหารจัดการความเสี่ยงและป้องกันความเสียหายหรือการรั่วไหลของข้อมูลได้อย่างมีประสิทธิภาพ ตาม[มาตรา 37](https://link.pdpalawbase.com/section/37.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562

## หลักฐาน

1. นโยบายการจัดทำบัญชีทรัพย์สินสารสนเทศ
2. บัญชีทรัพย์สินสารสนเทศ

## สภาพบังคับ

[มาตรา 37](https://link.pdpalawbase.com/section/37.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 กำหนดให้ผู้ควบคุมข้อมูลส่วนบุคคลจัดให้มีมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสม รวมถึงการบริหารจัดการทรัพย์สินสารสนเทศที่เกี่ยวข้องกับการประมวลผลข้อมูลส่วนบุคคล เพื่อป้องกันการสูญหาย เข้าถึง ใช้ เปลี่ยนแปลง แก้ไข หรือเปิดเผยข้อมูลส่วนบุคคลโดยปราศจากอำนาจหรือโดยมิชอบ

ประกอบกับประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง มาตรการรักษาความมั่นคงปลอดภัยของผู้ควบคุมข้อมูลส่วนบุคคล พ.ศ. 2565 ข้อ 4 (2) (4) ที่กำหนดให้มีมาตรการควบคุมการเข้าถึงข้อมูลและการบันทึกติดตามทรัพย์สินสารสนเทศอย่างเป็นระบบ

กรณีไม่ปฏิบัติตามมาตรา 37 มีโทษปรับทางปกครองไม่เกิน 3 ล้านบาท

## ตัวอย่างเอกสาร

### นโยบายการจัดทำบัญชีทรัพย์สินสารสนเทศ

**1. วัตถุประสงค์**

เพื่อให้องค์กรมีการจัดเก็บข้อมูลทรัพย์สินสารสนเทศที่เกี่ยวข้องกับการประมวลผลข้อมูลส่วนบุคคลอย่างครบถ้วนและมีระบบ สามารถบริหารจัดการความเสี่ยง ป้องกันความเสียหายหรือการรั่วไหลของข้อมูล และสอดคล้องกับข้อกำหนดของกฎหมาย PDPA

**2. แนวทางปฏิบัติ**

*2.1 การจัดทำบัญชีทรัพย์สินสารสนเทศ*

จัดทำบัญชีทรัพย์สินสารสนเทศอย่างเป็นระบบ โดยมีข้อมูลหลักอย่างน้อยดังนี้

- ชื่อทรัพย์สินสารสนเทศ (เช่น ระบบฐานข้อมูลลูกค้า แอปพลิเคชันบริหารความสัมพันธ์ลูกค้า เซิร์ฟเวอร์เก็บข้อมูล)
- ประเภททรัพย์สิน (ฮาร์ดแวร์ ซอฟต์แวร์ ข้อมูล บุคลากร)
- เจ้าของทรัพย์สิน ผู้รับผิดชอบดูแลรักษา
- สถานที่จัดเก็บ (เช่น ห้องเซิร์ฟเวอร์ ศูนย์ข้อมูล ระบบ Cloud)
- ระยะเวลาการจัดเก็บ ตามนโยบายองค์กรและกฎหมาย
- มาตรการความมั่นคงปลอดภัยที่นำมาใช้ (เช่น การเข้ารหัสข้อมูล การสำรองข้อมูล การควบคุมการเข้าถึง)
- สถานะของทรัพย์สิน (ใช้งาน / ไม่ใช้งาน / รอทำลาย)

*2.2 การกำหนดเจ้าของทรัพย์สิน*

- กำหนดบุคคลหรือหน่วยงานที่รับผิดชอบในการดูแลรักษาทรัพย์สินสารสนเทศแต่ละรายการอย่างชัดเจน
- เจ้าของทรัพย์สินต้องประเมินความเสี่ยงและจัดทำมาตรการรักษาความมั่นคงปลอดภัย รวมถึงดูแลการใช้งานและอนุมัติการเข้าถึงข้อมูล

*2.3 การอัปเดตบัญชีทรัพย์สินสารสนเทศ*

- บัญชีต้องได้รับการทบทวนและอัปเดตอย่างสม่ำเสมอ (อย่างน้อยปีละ 1 ครั้ง หรือทุกครั้งที่มีการเปลี่ยนแปลงระบบ)
- มีการตรวจสอบและตรวจยืนยันความถูกต้องของข้อมูลโดยเจ้าของทรัพย์สินสารสนเทศ

### ตัวอย่างโครงสร้างบัญชีทรัพย์สินสารสนเทศ

| หมายเลข | ชื่อทรัพย์สินสารสนเทศ | ประเภท | เจ้าของทรัพย์สิน | สถานที่จัดเก็บ | ระยะเวลาการจัดเก็บ | มาตรการความมั่นคงปลอดภัย | สถานะ |
|------|--------------------|------|----------------|--------------|------------------|------------------------|------|
| 001 | ระบบฐานข้อมูลลูกค้า | ซอฟต์แวร์ | นายสมชาย ใจดี | ศูนย์ข้อมูลหลัก | 5 ปี | การเข้ารหัสข้อมูล ระบบยืนยันตัวตนสองชั้น | ใช้งานอยู่ |
| 002 | เซิร์ฟเวอร์จัดเก็บข้อมูลสำคัญ | ฮาร์ดแวร์ | ฝ่ายไอที | ห้องเซิร์ฟเวอร์ | ตลอดอายุการใช้งาน | การควบคุมการเข้าใช้งาน สำรองข้อมูลรายวัน | ใช้งานอยู่ |
| 003 | เอกสารประวัติพนักงาน | ข้อมูล | ฝ่ายบุคคล | ตู้เก็บเอกสารห้องบุคคล | 10 ปี | การล็อกตู้ การเข้าถึงจำกัด | รอทำลาย |

### ข้อกำหนดทางกฎหมายและข้อบังคับที่เกี่ยวข้อง

| กฎหมาย / ประกาศ | ข้อความที่เกี่ยวข้อง |
|----------------|--------------------|
| พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 มาตรา 37 | กำหนดให้ผู้ควบคุมข้อมูลส่วนบุคคลต้องจัดให้มีมาตรการรักษาความมั่นคงปลอดภัยของข้อมูลส่วนบุคคล รวมถึงการบริหารจัดการทรัพย์สินสารสนเทศที่เกี่ยวข้อง |
| ประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2565 ข้อ 4 (2) (4) | กำหนดมาตรการรักษาความมั่นคงปลอดภัยของผู้ควบคุมข้อมูล และให้มีการบันทึกและติดตามทรัพย์สินสารสนเทศอย่างมีประสิทธิภาพ |

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/10-6-1.md

============================================================
โนด: แนวปฏิบัติ 10.6.2
ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/10-6-2.md

# 10.6.2 มีการทบทวนบัญชีทรัพย์สินสารสนเทศเป็นระยะ ๆ เพื่อให้มั่นใจว่าข้อมูลมีความถูกต้องและเป็นปัจจุบัน

## สิ่งที่ต้องทำ

องค์กรต้องดำเนินการทบทวนบัญชีทรัพย์สินสารสนเทศอย่างสม่ำเสมอเป็นระยะ ๆ ตามกำหนดที่เหมาะสม อย่างน้อยปีละ 1 ครั้ง หรือบ่อยกว่านั้นตามความเหมาะสมขององค์กร เพื่อให้มั่นใจได้ว่าข้อมูลในบัญชีมีความถูกต้อง ครบถ้วน และเป็นปัจจุบัน โดยการทบทวนควรครอบคลุมการตรวจสอบข้อมูลเจ้าของทรัพย์สิน สถานที่จัดเก็บ ระยะเวลาการจัดเก็บ และมาตรการรักษาความมั่นคงปลอดภัยที่ใช้งานในปัจจุบัน นอกจากนี้ หากมีการเปลี่ยนแปลงทรัพย์สินสารสนเทศ เช่น มีการเพิ่ม ลด หรือเปลี่ยนแปลงระบบ แอปพลิเคชัน หรืออุปกรณ์ที่เกี่ยวข้องกับการประมวลผลข้อมูลส่วนบุคคล ควรมีการอัปเดตบัญชีให้สอดคล้องกันทันที

## หลักฐาน

1. นโยบายการทบทวนบัญชีทรัพย์สินสารสนเทศ
2. รายงานผลการตรวจสอบบัญชีทรัพย์สินสารสนเทศ

## สภาพบังคับ

[มาตรา 37](https://link.pdpalawbase.com/section/37.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 กำหนดให้ผู้ควบคุมข้อมูลส่วนบุคคลจัดให้มีมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสม รวมถึงการดูแลและทบทวนบัญชีทรัพย์สินสารสนเทศให้ถูกต้องและเป็นปัจจุบันอยู่เสมอ เพื่อป้องกันการสูญหาย เข้าถึง ใช้ เปลี่ยนแปลง แก้ไข หรือเปิดเผยข้อมูลส่วนบุคคลโดยปราศจากอำนาจหรือโดยมิชอบ

ประกอบกับประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง มาตรการรักษาความมั่นคงปลอดภัยของผู้ควบคุมข้อมูลส่วนบุคคล พ.ศ. 2565 ข้อ 4 (2) (4) และ ข้อ 5 ที่กำหนดให้มีมาตรการควบคุมการเข้าถึงข้อมูลและการทบทวนปรับปรุงมาตรการรักษาความมั่นคงปลอดภัยอย่างสม่ำเสมอ

กรณีไม่ปฏิบัติตามมาตรา 37 มีโทษปรับทางปกครองไม่เกิน 3 ล้านบาท

## ตัวอย่างเอกสาร

### ตัวอย่างกระบวนการทบทวนบัญชีทรัพย์สินสารสนเทศ

| ขั้นตอน | รายละเอียด | ผู้รับผิดชอบ | เอกสารประกอบ |
|--------|-----------|------------|------------|
| 1. กำหนดแผนการทบทวน | กำหนดช่วงเวลาการทบทวนบัญชีทรัพย์สินสารสนเทศประจำปี พร้อมกำหนดความถี่การทบทวนเพิ่มเติมตามความจำเป็น | ฝ่ายความมั่นคงปลอดภัยสารสนเทศ / DPO | แผนงานทบทวนบัญชีทรัพย์สินสารสนเทศประจำปี |
| 2. รวบรวมข้อมูลปัจจุบัน | รวบรวมข้อมูลบัญชีทรัพย์สินสารสนเทศฉบับล่าสุด และข้อมูลการเปลี่ยนแปลงที่เกิดขึ้นในช่วงเวลาที่ผ่านมา | ฝ่ายไอที / เจ้าของทรัพย์สิน | บัญชีทรัพย์สินสารสนเทศปัจจุบัน รายงานเปลี่ยนแปลงทรัพย์สิน |
| 3. ตรวจสอบความถูกต้อง | ตรวจสอบความครบถ้วนและความถูกต้องของข้อมูลในบัญชี เช่น ตรวจสอบเจ้าของทรัพย์สิน สถานที่จัดเก็บ มาตรการรักษาความมั่นคงปลอดภัย | ฝ่ายความมั่นคงปลอดภัยสารสนเทศ / DPO | — |
| 4. แก้ไขและปรับปรุง | แก้ไขข้อมูลในบัญชีให้เป็นปัจจุบันตามผลการตรวจสอบ รวมถึงบันทึกการเปลี่ยนแปลง | — | บัญชีทรัพย์สินสารสนเทศฉบับปรับปรุง บันทึกการเปลี่ยนแปลง |
| 5. รายงานผลการทบทวน | จัดทำรายงานสรุปผลการทบทวนบัญชีทรัพย์สินสารสนเทศ พร้อมข้อเสนอแนะ (ถ้ามี) เพื่อเสนอผู้บริหารอนุมัติ | — | รายงานผลการทบทวนบัญชีทรัพย์สินสารสนเทศ |

### ตัวอย่างรายงานผลการทบทวนบัญชีทรัพย์สินสารสนเทศ ประจำปี พ.ศ. 2568

**1. วัตถุประสงค์**

เพื่อให้มั่นใจว่าบัญชีทรัพย์สินสารสนเทศขององค์กรมีความถูกต้อง ครบถ้วน และเป็นปัจจุบัน

**2. ผลการทบทวน**

- ตรวจสอบบัญชีทรัพย์สินสารสนเทศพบว่า ข้อมูลเจ้าของทรัพย์สินและสถานที่จัดเก็บครบถ้วน
- พบว่ามีการเพิ่มระบบฐานข้อมูลลูกค้าใหม่ 1 ระบบ จึงได้บันทึกเพิ่มในบัญชีแล้ว
- มีการเปลี่ยนแปลงมาตรการความมั่นคงปลอดภัยของเซิร์ฟเวอร์หลัก (เพิ่มระบบป้องกันการบุกรุกใหม่)
- มีการลบอุปกรณ์เก่าที่เลิกใช้งานออกจากบัญชีเรียบร้อยแล้ว

**3. ข้อเสนอแนะ**

- ควรเพิ่มความถี่การทบทวนบัญชีเป็นทุก 6 เดือน เนื่องจากมีการเปลี่ยนแปลงระบบสารสนเทศบ่อย
- ส่งเสริมให้เจ้าของทรัพย์สินสารสนเทศแจ้งการเปลี่ยนแปลงข้อมูลทุกครั้งทันที

**4. สรุป**

บัญชีทรัพย์สินสารสนเทศอยู่ในสถานะที่เหมาะสมและพร้อมใช้งานในการบริหารความเสี่ยงด้านข้อมูลส่วนบุคคล

ลงชื่อ ....................................

(นายสมชาย ใจดี) เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล (DPO)

วันที่ 1 มิถุนายน 2568

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/10-6-2.md

============================================================
โนด: แนวปฏิบัติ 10.6.3
ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/10-6-3.md

# 10.6.3 มีการประเมินความเสี่ยงสำหรับทรัพย์สินที่อยู่ในรายการบัญชีทรัพย์สินสารสนเทศ มีการดำเนินการตรวจสอบทางกายภาพ เพื่อให้มั่นใจว่าทรัพย์สินในบัญชีมีความถูกต้องและครบถ้วน

## สิ่งที่ต้องทำ

องค์กรต้องดำเนินการประเมินความเสี่ยงอย่างเป็นระบบสำหรับทรัพย์สินสารสนเทศที่อยู่ในบัญชีทรัพย์สินสารสนเทศ โดยพิจารณาความเสี่ยงที่อาจเกิดขึ้น เช่น ความเสียหายจากภัยคุกคามทางกายภาพ ความลับรั่วไหล ความผิดพลาดของระบบ หรือภัยคุกคามทางไซเบอร์ นอกจากนี้ ต้องมีการตรวจสอบทางกายภาพอย่างสม่ำเสมอ เช่น การตรวจนับอุปกรณ์ และการตรวจสอบสถานที่จัดเก็บ เพื่อยืนยันว่าทรัพย์สินดังกล่าวมีอยู่จริงและอยู่ในสภาพที่ปลอดภัย ถูกต้องและครบถ้วนตามบัญชี เพื่อป้องกันการสูญหายหรือถูกเข้าถึงโดยไม่ได้รับอนุญาต

## หลักฐาน

1. นโยบายการประเมินความเสี่ยงสำหรับทรัพย์สินที่อยู่ในบัญชีทรัพย์สินสารสนเทศ
2. รายงานการประเมินความเสี่ยงสำหรับทรัพย์สินที่อยู่ในบัญชีทรัพย์สินสารสนเทศ
3. รายงานความเห็นประกอบการพิจารณารายงานการประเมินความเสี่ยงสำหรับทรัพย์สินที่อยู่ในบัญชีทรัพย์สินสารสนเทศ
4. หนังสือการพิจารณาการประเมินความเสี่ยงสำหรับทรัพย์สินที่อยู่ในบัญชีทรัพย์สินสารสนเทศ

## สภาพบังคับ

[มาตรา 37](https://link.pdpalawbase.com/section/37.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 กำหนดให้ผู้ควบคุมข้อมูลส่วนบุคคลจัดให้มีมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสม รวมถึงการประเมินความเสี่ยงและตรวจสอบทางกายภาพของทรัพย์สินสารสนเทศที่เกี่ยวข้อง เพื่อป้องกันการสูญหาย เข้าถึง ใช้ เปลี่ยนแปลง แก้ไข หรือเปิดเผยข้อมูลส่วนบุคคลโดยปราศจากอำนาจหรือโดยมิชอบ

ประกอบกับประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง มาตรการรักษาความมั่นคงปลอดภัยของผู้ควบคุมข้อมูลส่วนบุคคล พ.ศ. 2565 ข้อ 4 (2) (3) (4) ที่กำหนดให้มีมาตรการควบคุมการเข้าถึงข้อมูล การกำหนดสิทธิ และการควบคุมการเข้าถึงพื้นที่และระบบจัดเก็บข้อมูล

กรณีไม่ปฏิบัติตามมาตรา 37 มีโทษปรับทางปกครองไม่เกิน 3 ล้านบาท

## ตัวอย่างเอกสาร

### ตัวอย่างกระบวนการประเมินความเสี่ยงและตรวจสอบทางกายภาพ

| ขั้นตอน | รายละเอียด | ผู้รับผิดชอบ | เอกสารประกอบ |
|--------|-----------|------------|------------|
| 1. กำหนดกรอบและวิธีการประเมินความเสี่ยง | กำหนดแนวทางการประเมินความเสี่ยงโดยใช้เกณฑ์ความรุนแรงและโอกาสเกิดความเสี่ยง | ฝ่ายความมั่นคงปลอดภัยสารสนเทศ / DPO | นโยบายประเมินความเสี่ยง |
| 2. รวบรวมข้อมูลทรัพย์สิน | ใช้บัญชีทรัพย์สินสารสนเทศที่จัดทำไว้ เพื่อกำหนดขอบเขตการประเมิน | ฝ่ายไอที / เจ้าของทรัพย์สิน | บัญชีทรัพย์สินสารสนเทศ |
| 3. ประเมินความเสี่ยง | วิเคราะห์ความเสี่ยงที่เกี่ยวข้องกับทรัพย์สิน เช่น การถูกโจมตี สูญหาย เสียหาย | ฝ่ายความมั่นคงปลอดภัยสารสนเทศ / DPO | รายงานการประเมินความเสี่ยง |
| 4. ตรวจสอบทางกายภาพ | ดำเนินการตรวจนับและตรวจสอบสถานที่จัดเก็บ เช่น การตรวจนับอุปกรณ์คอมพิวเตอร์ เซิร์ฟเวอร์ | ฝ่ายไอที / ฝ่ายบริหารสถานที่ | รายงานตรวจสอบทางกายภาพ |
| 5. รายงานและพิจารณา | จัดทำรายงานสรุปผลการประเมินและตรวจสอบ พร้อมข้อเสนอแนะส่งผู้บริหารพิจารณา | — | รายงานความเห็นประกอบการพิจารณา หนังสืออนุมัติ |
| 6. ดำเนินมาตรการลดความเสี่ยง | ปรับปรุงมาตรการรักษาความมั่นคงปลอดภัยตามผลการประเมิน | ฝ่ายความมั่นคงปลอดภัยสารสนเทศ / ฝ่ายบริหารความเสี่ยง | บันทึกการดำเนินการ |

### ตัวอย่างรายงานการประเมินความเสี่ยงสำหรับทรัพย์สินสารสนเทศ ประจำปี พ.ศ. 2568

**1. วัตถุประสงค์**

เพื่อประเมินความเสี่ยงที่อาจเกิดขึ้นต่อทรัพย์สินสารสนเทศขององค์กร และตรวจสอบความถูกต้องของทรัพย์สินในบัญชีสารสนเทศ

**2. วิธีการประเมิน**

ใช้เกณฑ์การประเมินความรุนแรง (สูง กลาง ต่ำ) และโอกาสเกิดความเสี่ยง (บ่อย ปานกลาง น้อย) ในการวิเคราะห์

**3. ผลการประเมิน**

- พบว่าทรัพย์สินส่วนใหญ่มีความเสี่ยงในระดับต่ำถึงกลาง
- พบความเสี่ยงสูงในส่วนของเซิร์ฟเวอร์หลัก เนื่องจากตั้งอยู่ในห้องที่ไม่ได้ควบคุมการเข้าออกอย่างเข้มงวด
- ทรัพย์สินทั้งหมดได้รับการตรวจสอบทางกายภาพครบถ้วน ไม่มีทรัพย์สินสูญหาย

**4. ข้อเสนอแนะ**

- เพิ่มระบบควบคุมการเข้าห้องเซิร์ฟเวอร์ เช่น ติดตั้งระบบล็อกอิเล็กทรอนิกส์
- กำหนดตารางตรวจสอบทางกายภาพเพิ่มเป็นทุก 6 เดือน
- ให้เจ้าของทรัพย์สินรายงานการเปลี่ยนแปลงทรัพย์สินทุกครั้งที่เกิดขึ้น

**5. สรุป**

ทรัพย์สินสารสนเทศมีความถูกต้องครบถ้วนตามบัญชี และได้ดำเนินการประเมินความเสี่ยงเป็นประจำ เพื่อป้องกันและลดความเสี่ยงด้านความมั่นคงปลอดภัยของข้อมูลส่วนบุคคล

ลงชื่อ ....................................

(นายสมชาย ใจดี) เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล (DPO)

วันที่ 1 มิถุนายน 2568

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/10-6-3.md

============================================================
โนด: แนวปฏิบัติ 10.9.1
ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/10-9-1.md

# 10.9.1 มีการจำกัดการเข้าถึงระบบหรือแอปพลิเคชันที่ประมวลผลข้อมูลส่วนบุคคลโดยให้สิทธิการเข้าถึงให้น้อยที่สุดตามความจำเป็น

## สิ่งที่ต้องทำ

องค์กรต้องจำกัดการเข้าถึงระบบหรือแอปพลิเคชันที่ประมวลผลข้อมูลส่วนบุคคล โดยให้สิทธิการเข้าถึงน้อยที่สุดเท่าที่จำเป็นตามบทบาทหน้าที่จริง ตามหลักการให้สิทธิเข้าถึงน้อยที่สุดเท่าที่จำเป็น และต้องจัดทำเอกสารสนับสนุนเพื่อกำกับดูแลการกำหนดและอนุมัติสิทธิการเข้าถึงอย่างครบถ้วน ตาม[มาตรา 37](https://link.pdpalawbase.com/section/37.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562

## หลักฐาน

1. นโยบายจำกัดการเข้าถึงระบบหรือแอปพลิเคชันที่ประมวลผลข้อมูลส่วนบุคคล
2. มาตรการป้องกันการเข้าถึง การรวบรวม และการใช้งานโดยไม่ได้รับอนุญาต
3. ทะเบียนของบุคลากรที่ได้รับอนุญาตให้เข้าถึงข้อมูลส่วนบุคคล

## สภาพบังคับ

[มาตรา 37](https://link.pdpalawbase.com/section/37.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 กำหนดให้ผู้ควบคุมข้อมูลส่วนบุคคลจัดให้มีมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสม เพื่อป้องกันการสูญหาย เข้าถึง ใช้ เปลี่ยนแปลง แก้ไข หรือเปิดเผยข้อมูลส่วนบุคคลโดยปราศจากอำนาจหรือโดยมิชอบ การจำกัดสิทธิการเข้าถึงระบบให้น้อยที่สุดเท่าที่จำเป็นเป็นมาตรการควบคุมการเข้าถึงที่ลดความเสี่ยงในการรั่วไหลของข้อมูล

ประกอบกับประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง มาตรการรักษาความมั่นคงปลอดภัยของผู้ควบคุมข้อมูลส่วนบุคคล พ.ศ. 2565 ข้อ 4 (2) (4) (6) ที่กำหนดให้มีการควบคุมการเข้าถึงข้อมูลและส่วนประกอบของระบบ การกำหนดสิทธิและการบริหารจัดการสิทธิของผู้ใช้งาน และการตรวจสอบทบทวนสิทธิการเข้าถึง

กรณีไม่ปฏิบัติตามมาตรา 37 มีโทษปรับทางปกครองไม่เกิน 3 ล้านบาท

## ตัวอย่างเอกสาร

### นโยบายจำกัดการเข้าถึงระบบและแอปพลิเคชัน

- **องค์กร:** [ชื่อองค์กร]
- **เรื่อง:** นโยบายจำกัดการเข้าถึงระบบหรือแอปพลิเคชันที่ประมวลผลข้อมูลส่วนบุคคล

**1. วัตถุประสงค์**

เพื่อป้องกันการเข้าถึงข้อมูลส่วนบุคคลโดยไม่ได้รับอนุญาต และจำกัดสิทธิการเข้าถึงระบบหรือแอปพลิเคชันเฉพาะผู้ที่จำเป็นต้องใช้ตามบทบาทหน้าที่จริงเท่านั้น เพื่อลดความเสี่ยงในการรั่วไหลหรือถูกละเมิดข้อมูล

**2. การกำหนดสิทธิการเข้าถึง**

- กำหนดสิทธิการเข้าถึงโดยยึดหลักการให้สิทธิเข้าถึงน้อยที่สุดเท่าที่จำเป็น
- สิทธิการเข้าถึงจะถูกจำกัดตามบทบาทหน้าที่ หรือกำหนดแบบจำเพาะบุคคล
- ผู้ดูแลระบบต้องตรวจสอบและอนุมัติสิทธิก่อนการให้สิทธิเข้าถึงแก่บุคลากร

**3. มาตรการป้องกัน**

- ใช้ระบบยืนยันตัวตนที่มีความปลอดภัย เช่น การใช้รหัสผ่านที่รัดกุม และการยืนยันตัวตนหลายชั้น
- มีการปรับปรุงและแก้ไขช่องโหว่ในระบบอย่างสม่ำเสมอ
- ติดตั้งและปรับปรุงโปรแกรมป้องกันมัลแวร์และภัยคุกคามทางไซเบอร์
- มีระบบตรวจจับและแจ้งเตือนการเข้าถึงที่ผิดปกติ

**4. การจัดทำเอกสาร**

- จัดทำนโยบายจำกัดสิทธิการเข้าถึงระบบและแอปพลิเคชัน
- จัดทำทะเบียนบุคลากรที่ได้รับอนุญาต และปรับปรุงข้อมูลสิทธิอย่างสม่ำเสมอ
- จัดเก็บหลักฐานการกำหนดและอนุมัติสิทธิอย่างครบถ้วน

### ตัวอย่างทะเบียนบุคลากรที่ได้รับสิทธิเข้าถึงข้อมูลส่วนบุคคล

| รหัสพนักงาน | ชื่อ-นามสกุล | ตำแหน่ง | ระบบ/แอปพลิเคชันที่เข้าถึง | สิทธิการเข้าถึง | วันที่อนุมัติ | หมายเหตุ |
|------------|-------------|---------|---------------------------|----------------|--------------|----------|
| 001 | นางสาวสมศรี ดวงใจ | เจ้าหน้าที่ไอที | ระบบฐานข้อมูลลูกค้า | อ่านและแก้ไขข้อมูล | 10/01/2568 | อนุมัติโดยผู้จัดการฝ่ายไอที |
| 002 | นายสุชาติ ใจดี | ฝ่ายบัญชี | ระบบบัญชี | อ่านข้อมูลเฉพาะที่เกี่ยวข้อง | 15/02/2568 | จำกัดสิทธิเข้าถึงเฉพาะบัญชีลูกค้า |

### ตัวอย่างรายงานการอนุมัติสิทธิเข้าถึงระบบ

- **วันที่:** 10 มกราคม 2568
- **เรื่อง:** อนุมัติการให้สิทธิเข้าถึงระบบฐานข้อมูลลูกค้า
- **เรียน:** ผู้ดูแลระบบไอที

ตามที่ได้รับคำขอให้สิทธิการเข้าถึงระบบฐานข้อมูลลูกค้าแก่พนักงาน นางสาวสมศรี ดวงใจ ในตำแหน่งเจ้าหน้าที่ไอที ข้าพเจ้าในฐานะผู้จัดการฝ่ายไอทีขออนุมัติให้สิทธิเข้าถึงในระดับอ่านและแก้ไขข้อมูล ตามความจำเป็นของงาน

(ลงชื่อ) ผู้จัดการฝ่ายไอที

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/10-9-1.md

============================================================
โนด: แนวปฏิบัติ 10.9.2
ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/10-9-2.md

# 10.9.2 มีการกำหนดให้มีการตั้งรหัสผ่านให้มีความซับซ้อน รวมถึงการจำกัดจำนวนครั้งที่สามารถล็อกอินผิดพลาดในการเข้าสู่ระบบ เช่น กำหนดจำนวนครั้งที่สามารถล็อกอินผิดพลาดได้ไม่เกิน 3 ครั้ง

## สิ่งที่ต้องทำ

องค์กรต้องกำหนดให้มีการตั้งรหัสผ่านที่มีความซับซ้อน รวมถึงจำกัดจำนวนครั้งที่สามารถล็อกอินผิดพลาดในการเข้าสู่ระบบ เช่น กำหนดจำนวนครั้งที่ล็อกอินผิดพลาดได้ไม่เกิน 3 ครั้ง เพื่อป้องกันการเข้าถึงโดยไม่ได้รับอนุญาตจากการเดารหัสผ่าน ตาม[มาตรา 37](https://link.pdpalawbase.com/section/37.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562

## หลักฐาน

1. นโยบายการตั้งรหัสผ่านที่มีความซับซ้อน และจำกัดจำนวนครั้งที่สามารถล็อกอินผิดพลาดในการเข้าสู่ระบบ
2. หนังสือประกอบการอบรมความปลอดภัยด้านการคุ้มครองข้อมูลส่วนบุคคล ประเภทเทคโนโลยีสารสนเทศและการจำกัดสิทธิการเข้าถึงข้อมูลส่วนบุคคล

## สภาพบังคับ

[มาตรา 37](https://link.pdpalawbase.com/section/37.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 กำหนดให้ผู้ควบคุมข้อมูลส่วนบุคคลจัดให้มีมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสม เพื่อป้องกันการเข้าถึงข้อมูลส่วนบุคคลโดยปราศจากอำนาจหรือโดยมิชอบ การตั้งรหัสผ่านที่ซับซ้อนและการจำกัดจำนวนครั้งที่ล็อกอินผิดพลาดเป็นมาตรการยืนยันตัวตนที่ป้องกันการเข้าถึงโดยการเดารหัสผ่านหรือการโจมตีแบบสุ่มทดลองรหัสผ่าน

ประกอบกับประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง มาตรการรักษาความมั่นคงปลอดภัยของผู้ควบคุมข้อมูลส่วนบุคคล พ.ศ. 2565 ข้อ 4 (2) (4) (6) ที่กำหนดให้มีการควบคุมการเข้าถึงข้อมูล การกำหนดสิทธิและการบริหารจัดการสิทธิของผู้ใช้งาน และการตรวจสอบทบทวนสิทธิการเข้าถึง

กรณีไม่ปฏิบัติตามมาตรา 37 มีโทษปรับทางปกครองไม่เกิน 3 ล้านบาท

## ตัวอย่างเอกสาร

### นโยบายการตั้งรหัสผ่านและจำกัดจำนวนครั้งล็อกอินผิดพลาด

- **องค์กร:** [ชื่อองค์กร]
- **เรื่อง:** นโยบายการตั้งรหัสผ่านที่มีความซับซ้อนและการล็อกบัญชีผู้ใช้

**1. การตั้งรหัสผ่านที่มีความซับซ้อน**

- รหัสผ่านต้องประกอบด้วยอย่างน้อย 8 ตัวอักษร และต้องมีตัวอักษรพิมพ์ใหญ่ ตัวพิมพ์เล็ก ตัวเลข และอักขระพิเศษอย่างน้อยหนึ่งตัว
- หลีกเลี่ยงรหัสผ่านที่คาดเดาง่าย เช่น วันเดือนปีเกิด หรือคำศัพท์ทั่วไป
- เปลี่ยนรหัสผ่านใหม่ทุก 90 วัน และไม่อนุญาตให้ใช้รหัสผ่านเดิมซ้ำใน 5 รอบล่าสุด

**2. การจำกัดจำนวนครั้งล็อกอินผิดพลาด**

- กำหนดให้ล็อกอินผิดพลาดได้ไม่เกิน 3 ครั้ง หากเกินกำหนด บัญชีผู้ใช้จะถูกล็อกชั่วคราว
- การปลดล็อกบัญชีต้องผ่านการยืนยันตัวตนจากฝ่ายไอทีหรือผู้ดูแลระบบ หรือผ่านรหัสยืนยันทางอีเมลหรือโทรศัพท์
- บันทึกและตรวจสอบเหตุการณ์ล็อกอินผิดพลาดเพื่อตรวจจับความผิดปกติ และแจ้งเตือนผู้ดูแลระบบ

**3. การอบรมและสร้างความตระหนัก**

- จัดอบรมความรู้ด้านการตั้งรหัสผ่านและการรักษาความปลอดภัยข้อมูลส่วนบุคคลแก่พนักงานที่เกี่ยวข้อง
- จัดทำคู่มือการใช้งานระบบที่ชัดเจนเกี่ยวกับนโยบายรหัสผ่านและมาตรการป้องกันล็อกอินผิดพลาด

### ตัวอย่างหนังสือรายงานการอบรมความปลอดภัยข้อมูลส่วนบุคคล

- **วันที่:** 5 เมษายน 2568
- **เรื่อง:** รายงานการอบรมความปลอดภัยข้อมูลส่วนบุคคลและเทคโนโลยีสารสนเทศ
- **เรียน:** ผู้จัดการฝ่ายบุคคล

ตามที่ฝ่ายเทคโนโลยีสารสนเทศได้จัดอบรมเรื่อง "การตั้งรหัสผ่านที่มีความปลอดภัยและการป้องกันการเข้าถึงโดยไม่ได้รับอนุญาต" ให้แก่พนักงานเมื่อวันที่ 3 เมษายน 2568 จึงขอรายงานให้ทราบเพื่อเป็นหลักฐานและติดตามผล

(ลงชื่อ) เจ้าหน้าที่ฝ่ายไอที

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/10-9-2.md

============================================================
โนด: แนวปฏิบัติ 10.9.3
ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/10-9-3.md

# 10.9.3 มีการบริหารจัดการรหัสผ่านให้มีความมั่นคงปลอดภัย เช่น การเปลี่ยนรหัสผ่านที่มาจากผู้ผลิต การควบคุมการใช้รหัสผ่านที่มีการแชร์ใช้งานร่วมกัน และการจัดเก็บรหัสผ่านให้มีความมั่นคงปลอดภัย

## สิ่งที่ต้องทำ

องค์กรต้องบริหารจัดการรหัสผ่านให้มีความมั่นคงปลอดภัยอย่างครบถ้วน เช่น การเปลี่ยนรหัสผ่านเริ่มต้นที่มาจากผู้ผลิต การควบคุมการใช้รหัสผ่านที่มีการแชร์ใช้งานร่วมกัน และการจัดเก็บรหัสผ่านให้มีความมั่นคงปลอดภัย ตาม[มาตรา 37](https://link.pdpalawbase.com/section/37.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562

## หลักฐาน

1. นโยบายการจัดการรหัสผ่านให้มีความมั่นคงปลอดภัย
2. หนังสือประกอบการอบรมความปลอดภัยด้านการคุ้มครองข้อมูลส่วนบุคคล ประเภทเทคโนโลยีสารสนเทศและการจำกัดสิทธิการเข้าถึงข้อมูลส่วนบุคคล

## สภาพบังคับ

[มาตรา 37](https://link.pdpalawbase.com/section/37.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 กำหนดให้ผู้ควบคุมข้อมูลส่วนบุคคลจัดให้มีมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสม เพื่อป้องกันการเข้าถึงข้อมูลส่วนบุคคลโดยปราศจากอำนาจหรือโดยมิชอบ การบริหารจัดการรหัสผ่านอย่างมั่นคงปลอดภัย ทั้งการเปลี่ยนรหัสผ่านเริ่มต้น การห้ามใช้ร่วมกัน และการจัดเก็บที่ปลอดภัย เป็นมาตรการควบคุมการยืนยันตัวตนที่ลดความเสี่ยงในการถูกเข้าถึงโดยไม่ได้รับอนุญาต

ประกอบกับประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง มาตรการรักษาความมั่นคงปลอดภัยของผู้ควบคุมข้อมูลส่วนบุคคล พ.ศ. 2565 ข้อ 4 (2) (4) (6) ที่กำหนดให้มีการควบคุมการเข้าถึงข้อมูล การกำหนดสิทธิและการบริหารจัดการสิทธิของผู้ใช้งาน และการตรวจสอบทบทวนสิทธิการเข้าถึง

กรณีไม่ปฏิบัติตามมาตรา 37 มีโทษปรับทางปกครองไม่เกิน 3 ล้านบาท

## ตัวอย่างเอกสาร

### นโยบายการจัดการรหัสผ่านเพื่อความมั่นคงปลอดภัยของข้อมูลส่วนบุคคล

- **องค์กร:** [ชื่อองค์กร]
- **เรื่อง:** นโยบายการบริหารจัดการรหัสผ่านเพื่อความมั่นคงปลอดภัยของข้อมูลส่วนบุคคล

**1. วัตถุประสงค์และขอบเขต**

เพื่อกำหนดแนวทางและมาตรการบริหารจัดการรหัสผ่านในการเข้าถึงระบบและข้อมูลส่วนบุคคล โดยใช้บังคับกับพนักงาน เจ้าหน้าที่ และบุคคลภายนอกที่ได้รับอนุญาตให้เข้าถึงระบบหรือข้อมูลส่วนบุคคลขององค์กร

**2. การเปลี่ยนรหัสผ่านเริ่มต้น**

ผู้ใช้ต้องเปลี่ยนรหัสผ่านที่มาจากผู้ผลิตทันทีหลังจากได้รับสิทธิเข้าใช้งานครั้งแรก

**3. การควบคุมการใช้รหัสผ่านร่วมกัน**

- ห้ามใช้รหัสผ่านร่วมกันระหว่างผู้ใช้งานโดยเด็ดขาด
- รหัสผ่านต้องเป็นความลับและไม่เปิดเผยแก่บุคคลอื่น

**4. การจัดเก็บรหัสผ่าน**

- ห้ามบันทึกรหัสผ่านในรูปแบบที่สามารถเข้าถึงได้ง่าย เช่น ไฟล์ข้อความ หรือโน้ตบนโต๊ะทำงาน
- แนะนำให้ใช้โปรแกรมจัดการรหัสผ่านที่มีความปลอดภัยสูง

**5. การเปลี่ยนรหัสผ่านและการตรวจสอบ**

- เปลี่ยนรหัสผ่านอย่างสม่ำเสมอตามรอบเวลาที่กำหนด
- ฝ่ายไอทีตรวจสอบความปลอดภัยของรหัสผ่านและแจ้งเตือนเมื่อพบความเสี่ยงหรือการละเมิด

### ตัวอย่างหนังสือประกอบการอบรม

- **เรื่อง:** การบริหารจัดการรหัสผ่านเพื่อความมั่นคงปลอดภัยของข้อมูลส่วนบุคคล

ตามที่องค์กรได้กำหนดนโยบายการบริหารจัดการรหัสผ่านตามมาตรา 37 แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 และประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2565 ข้อ 4 (2) (4) (6) ในวันที่ [ระบุวันที่] ฝ่ายเทคโนโลยีสารสนเทศได้จัดการอบรมพนักงานและเจ้าหน้าที่ที่เกี่ยวข้อง โดยมีเนื้อหาสำคัญ ได้แก่

- การเปลี่ยนรหัสผ่านเริ่มต้นทันทีหลังรับสิทธิใช้งาน
- การห้ามใช้รหัสผ่านร่วมกันระหว่างผู้ใช้งาน
- การจัดเก็บและรักษารหัสผ่านอย่างปลอดภัย
- การเปลี่ยนรหัสผ่านตามรอบเวลาที่กำหนด
- แนวทางการตรวจสอบและแก้ไขปัญหาเกี่ยวกับรหัสผ่าน

การอบรมนี้มีวัตถุประสงค์เพื่อเสริมสร้างความรู้ ความเข้าใจ และการปฏิบัติที่ถูกต้องในการบริหารจัดการรหัสผ่าน เพื่อป้องกันการเข้าถึงข้อมูลส่วนบุคคลโดยไม่ได้รับอนุญาต

- **สถานที่:** [สถานที่] วันที่ [ ] เดือน [ ] พ.ศ. [ ]
- (ลงชื่อ) ........................................ ตำแหน่ง ........................................

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/10-9-3.md

============================================================
โนด: แนวปฏิบัติ 10.9.4
ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/10-9-4.md

# 10.9.4 มีการป้องกันไฟล์แนบที่มีข้อมูลส่วนบุคคลและส่งมากับอีเมล โดยใช้การเข้ารหัสข้อมูล

## สิ่งที่ต้องทำ

องค์กรต้องป้องกันไฟล์แนบที่มีข้อมูลส่วนบุคคลซึ่งส่งผ่านทางอีเมล โดยใช้การเข้ารหัสข้อมูล และจัดทำเอกสารสนับสนุนจากการพิจารณา เพื่อป้องกันการเข้าถึงข้อมูลโดยไม่ได้รับอนุญาตระหว่างการส่ง ตาม[มาตรา 37](https://link.pdpalawbase.com/section/37.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562

## หลักฐาน

1. นโยบายการคุ้มครองไฟล์ที่มีข้อมูลส่วนบุคคล
2. มาตรฐานการป้องกันการเข้าถึง การรวบรวม และการใช้งานโดยไม่ได้รับอนุญาต
3. รายงานผลการตรวจสอบข้อร้องเรียนการใช้ไฟล์ที่มีข้อมูลส่วนบุคคล

## สภาพบังคับ

[มาตรา 37](https://link.pdpalawbase.com/section/37.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 กำหนดให้ผู้ควบคุมข้อมูลส่วนบุคคลจัดให้มีมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสม เพื่อป้องกันการเข้าถึงและการเปิดเผยข้อมูลส่วนบุคคลโดยปราศจากอำนาจหรือโดยมิชอบ การเข้ารหัสไฟล์แนบที่มีข้อมูลส่วนบุคคลก่อนส่งผ่านอีเมลเป็นมาตรการป้องกันการเข้าถึงข้อมูลระหว่างการส่งโดยผู้ที่ไม่มีสิทธิ

ประกอบกับประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง มาตรการรักษาความมั่นคงปลอดภัยของผู้ควบคุมข้อมูลส่วนบุคคล พ.ศ. 2565 ข้อ 4 (2) (4) (6) ที่กำหนดให้มีการควบคุมการเข้าถึงข้อมูล การกำหนดสิทธิและการบริหารจัดการสิทธิของผู้ใช้งาน และการตรวจสอบทบทวนสิทธิการเข้าถึง

กรณีไม่ปฏิบัติตามมาตรา 37 มีโทษปรับทางปกครองไม่เกิน 3 ล้านบาท

## ตัวอย่างเอกสาร

### นโยบายการคุ้มครองไฟล์ที่มีข้อมูลส่วนบุคคลและการเข้ารหัสข้อมูล

- **องค์กร:** [ชื่อองค์กร]
- **เรื่อง:** นโยบายการป้องกันไฟล์แนบที่มีข้อมูลส่วนบุคคลด้วยการเข้ารหัสข้อมูล

**1. วัตถุประสงค์และขอบเขต**

เพื่อกำหนดแนวทางในการป้องกันไฟล์ที่มีข้อมูลส่วนบุคคลซึ่งส่งผ่านทางอีเมลด้วยมาตรการเข้ารหัสข้อมูล ครอบคลุมการส่งไฟล์แนบที่มีข้อมูลส่วนบุคคลผ่านระบบอีเมลขององค์กรโดยบุคลากรทุกคนที่เกี่ยวข้อง

**2. แนวทางปฏิบัติ**

- ไฟล์แนบที่มีข้อมูลส่วนบุคคลทุกประเภทที่ส่งทางอีเมล ต้องถูกเข้ารหัสด้วยมาตรฐานการเข้ารหัสที่ได้รับการยอมรับ
- ผู้ส่งต้องแจ้งรหัสผ่านสำหรับถอดรหัสไฟล์แนบแยกต่างหากจากการส่งอีเมล เช่น ผ่านช่องทางโทรศัพท์หรือข้อความ
- ห้ามส่งไฟล์แนบข้อมูลส่วนบุคคลโดยไม่มีการเข้ารหัสข้อมูล
- ระบบอีเมลขององค์กรจะตั้งค่าหรือใช้เครื่องมือป้องกันการส่งไฟล์แนบที่ไม่มีการเข้ารหัสตามนโยบายนี้
- ฝ่ายเทคโนโลยีสารสนเทศมีหน้าที่ตรวจสอบและบันทึกการส่งไฟล์แนบที่เข้ารหัสอย่างสม่ำเสมอ

### มาตรฐานการป้องกันการเข้าถึง การรวบรวม และการใช้งานโดยไม่ได้รับอนุญาต

- การส่งไฟล์แนบที่มีข้อมูลส่วนบุคคลผ่านช่องทางอีเมล ต้องเป็นไปตามนโยบายการเข้ารหัสไฟล์แนบ
- ห้ามเปิดเผยรหัสผ่านหรือกุญแจการถอดรหัสแก่บุคคลที่ไม่มีสิทธิ
- ต้องจัดเก็บบันทึกและตรวจสอบการส่งไฟล์แนบที่เข้ารหัสเป็นระยะ
- ฝ่ายความปลอดภัยของข้อมูลต้องรายงานการละเมิดหรือข้อร้องเรียนที่เกี่ยวข้องโดยทันที

### ตัวอย่างรายงานผลการตรวจสอบข้อร้องเรียน

- **วันที่ตรวจสอบ:** [ระบุวันที่]
- **ผู้ตรวจสอบ:** [ชื่อเจ้าหน้าที่]
- **รายละเอียดข้อร้องเรียน:** มีข้อสงสัยการส่งไฟล์ข้อมูลส่วนบุคคลผ่านอีเมลโดยไม่ได้เข้ารหัส

**ผลการตรวจสอบ**

- พบว่าผู้ส่งไฟล์แนบไม่ปฏิบัติตามนโยบายการเข้ารหัสไฟล์แนบ
- ได้ดำเนินการแจ้งเตือนและให้คำแนะนำแก่ผู้เกี่ยวข้องทันที
- ได้กำหนดมาตรการเสริมเพื่อป้องกันไม่ให้เกิดเหตุการณ์ซ้ำ เช่น การอบรมเพิ่มเติม และการตั้งค่าระบบบล็อกการส่งไฟล์ที่ไม่เข้ารหัส

**สรุป:** การปฏิบัติงานอยู่ในระหว่างการปรับปรุงเพื่อให้สอดคล้องกับนโยบายและกฎหมายที่เกี่ยวข้อง

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/10-9-4.md

============================================================
โนด: แนวปฏิบัติ 10.9.5
ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/10-9-5.md

# 10.9.5 มีการบันทึกล็อกสำหรับกิจกรรมการเข้าถึงระบบ เพื่อใช้ในการตรวจหาความผิดปกติต่าง ๆ

## สิ่งที่ต้องทำ

องค์กรต้องบันทึกล็อกสำหรับกิจกรรมการเข้าถึงระบบ เพื่อใช้ในการตรวจหาความผิดปกติต่าง ๆ และจัดทำเอกสารสนับสนุน เพื่อให้สามารถตรวจสอบและติดตามเหตุการณ์ที่อาจก่อให้เกิดความเสี่ยงต่อความมั่นคงปลอดภัยของข้อมูล ตาม[มาตรา 37](https://link.pdpalawbase.com/section/37.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562

## หลักฐาน

1. นโยบายการบันทึกล็อกสำหรับกิจกรรมการเข้าถึงระบบเทคโนโลยีสารสนเทศที่มีการประมวลผลข้อมูลส่วนบุคคล
2. ทะเบียนการประมวลผลข้อมูลส่วนบุคคลผ่านระบบเทคโนโลยีสารสนเทศ

## สภาพบังคับ

[มาตรา 37](https://link.pdpalawbase.com/section/37.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 กำหนดให้ผู้ควบคุมข้อมูลส่วนบุคคลจัดให้มีมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสม เพื่อป้องกันการเข้าถึงข้อมูลส่วนบุคคลโดยปราศจากอำนาจหรือโดยมิชอบ การบันทึกล็อกกิจกรรมการเข้าถึงระบบเป็นมาตรการตรวจสอบย้อนหลังที่ช่วยตรวจหาและสอบสวนความผิดปกติหรือการเข้าถึงโดยไม่ได้รับอนุญาต

ประกอบกับประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง มาตรการรักษาความมั่นคงปลอดภัยของผู้ควบคุมข้อมูลส่วนบุคคล พ.ศ. 2565 ข้อ 4 (2) (3) (6) ที่กำหนดให้มีการควบคุมการเข้าถึงข้อมูล การบริหารจัดการการเข้าถึงของผู้ใช้งาน และการตรวจสอบย้อนหลังการเข้าถึงและใช้งานข้อมูล

กรณีไม่ปฏิบัติตามมาตรา 37 มีโทษปรับทางปกครองไม่เกิน 3 ล้านบาท

## ตัวอย่างเอกสาร

### นโยบายการบันทึกล็อกสำหรับกิจกรรมการเข้าถึงระบบเทคโนโลยีสารสนเทศ

- **องค์กร:** [ชื่อองค์กร]
- **เรื่อง:** นโยบายการบันทึกล็อกสำหรับกิจกรรมการเข้าถึงระบบที่มีการประมวลผลข้อมูลส่วนบุคคล

**1. วัตถุประสงค์และขอบเขต**

เพื่อกำหนดแนวทางและมาตรการในการบันทึกข้อมูลกิจกรรมการเข้าถึงระบบเทคโนโลยีสารสนเทศที่เกี่ยวข้องกับการประมวลผลข้อมูลส่วนบุคคล สำหรับใช้ในการตรวจสอบและติดตามความผิดปกติ ครอบคลุมระบบเทคโนโลยีสารสนเทศทั้งหมดที่มีการประมวลผลข้อมูลส่วนบุคคลภายในองค์กร

**2. แนวทางปฏิบัติ**

- ระบบที่เกี่ยวข้องต้องบันทึกล็อกกิจกรรมการเข้าถึงระบบทุกครั้ง เช่น การเข้าสู่ระบบ การออกจากระบบ การเข้าสู่ระบบที่ล้มเหลว และการดำเนินการสำคัญอื่น ๆ ที่เกี่ยวข้อง
- ข้อมูลล็อกต้องเก็บรักษาในรูปแบบที่ปลอดภัย และสามารถเรียกดูได้เมื่อต้องการตรวจสอบ
- กำหนดระยะเวลาการเก็บรักษาข้อมูลล็อกตามข้อกำหนดทางกฎหมายหรือมาตรฐานขององค์กร
- ฝ่ายเทคโนโลยีสารสนเทศมีหน้าที่ตรวจสอบล็อกเป็นระยะเพื่อค้นหาความผิดปกติ เช่น การพยายามเข้าถึงโดยไม่ได้รับอนุญาต
- เมื่อพบความผิดปกติ ต้องจัดทำรายงานและดำเนินการแก้ไขตามขั้นตอนที่กำหนด

### ตัวอย่างทะเบียนการประมวลผลข้อมูลส่วนบุคคลผ่านระบบเทคโนโลยีสารสนเทศ

ทะเบียนต้องระบุรายละเอียดอย่างน้อยดังนี้

- รายการระบบเทคโนโลยีสารสนเทศที่มีการประมวลผลข้อมูลส่วนบุคคล
- ข้อมูลกิจกรรมที่บันทึกในล็อก เช่น เวลาเข้าถึง ผู้ใช้ และประเภทกิจกรรม
- รายงานการตรวจสอบความผิดปกติและการดำเนินการแก้ไข
- เอกสารการบำรุงรักษาและสำรองข้อมูลล็อก

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/10-9-5.md

============================================================
โนด: แนวปฏิบัติ 10.9.6
ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/10-9-6.md

# 10.9.6 มีการใช้โปรแกรมป้องกันมัลแวร์และป้องกันไวรัสกับระบบที่มีความสำคัญ

## สิ่งที่ต้องทำ

องค์กรต้องใช้โปรแกรมป้องกันมัลแวร์และป้องกันไวรัสกับระบบที่มีความสำคัญ และมีการทดสอบประสิทธิภาพของมาตรการป้องกันโดยผู้ตรวจสอบภายในหรือผู้ตรวจสอบภายนอก ตาม[มาตรา 37](https://link.pdpalawbase.com/section/37.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562

## หลักฐาน

1. นโยบายการจัดหาโปรแกรมรักษาความมั่นคงปลอดภัยแก่ระบบประมวลผลข้อมูลส่วนบุคคล
2. สัญญาจ้างบริการทดสอบการป้องกันระบบประมวลผลข้อมูลส่วนบุคคล
3. รายงานการทดสอบการป้องกันระบบประมวลผลข้อมูลส่วนบุคคล

## สภาพบังคับ

[มาตรา 37](https://link.pdpalawbase.com/section/37.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 กำหนดให้ผู้ควบคุมข้อมูลส่วนบุคคลจัดให้มีมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสม เพื่อป้องกันการสูญหายและการเข้าถึงข้อมูลส่วนบุคคลโดยปราศจากอำนาจหรือโดยมิชอบ การติดตั้งโปรแกรมป้องกันมัลแวร์และไวรัสกับระบบที่มีความสำคัญ พร้อมการทดสอบประสิทธิภาพ เป็นมาตรการทางเทคนิคที่ป้องกันระบบจากภัยคุกคามทางไซเบอร์

ประกอบกับประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง มาตรการรักษาความมั่นคงปลอดภัยของผู้ควบคุมข้อมูลส่วนบุคคล พ.ศ. 2565 ข้อ 4 (2) (3) (5) ที่กำหนดให้มีการควบคุมการเข้าถึงข้อมูล การบริหารจัดการการเข้าถึงของผู้ใช้งาน และการตรวจสอบและประเมินความมั่นคงปลอดภัยของระบบ

กรณีไม่ปฏิบัติตามมาตรา 37 มีโทษปรับทางปกครองไม่เกิน 3 ล้านบาท

## ตัวอย่างเอกสาร

### นโยบายการจัดหาโปรแกรมรักษาความมั่นคงปลอดภัยแก่ระบบประมวลผลข้อมูลส่วนบุคคล

- **องค์กร:** [ชื่อองค์กร]
- **เรื่อง:** นโยบายการจัดหาและติดตั้งโปรแกรมป้องกันมัลแวร์และไวรัส

**1. วัตถุประสงค์และขอบเขต**

เพื่อกำหนดแนวทางในการจัดหาและติดตั้งโปรแกรมป้องกันมัลแวร์และไวรัสสำหรับระบบเทคโนโลยีสารสนเทศที่มีการประมวลผลข้อมูลส่วนบุคคลที่สำคัญ ครอบคลุมทุกระบบที่ใช้ในการประมวลผลข้อมูลส่วนบุคคล โดยเฉพาะระบบที่มีความสำคัญสูงต่อการดำเนินงาน

**2. แนวทางปฏิบัติ**

- โปรแกรมป้องกันมัลแวร์และไวรัสต้องเป็นผลิตภัณฑ์ที่ได้รับการรับรองและมีประสิทธิภาพสูง
- ทุกระบบที่มีความสำคัญต้องติดตั้งโปรแกรมป้องกันมัลแวร์และไวรัสอย่างครบถ้วน
- มีการปรับปรุงโปรแกรมและฐานข้อมูลไวรัสอย่างสม่ำเสมอ
- มีการทดสอบการทำงานของโปรแกรมป้องกันอย่างน้อยปีละหนึ่งครั้งโดยผู้ตรวจสอบภายในหรือผู้ตรวจสอบภายนอกที่มีความเชี่ยวชาญ
- จัดทำรายงานผลการทดสอบและจัดเก็บเป็นหลักฐานการตรวจสอบ

### สัญญาจ้างบริการทดสอบการป้องกันระบบประมวลผลข้อมูลส่วนบุคคล

สัญญาจ้างผู้รับจ้างเพื่อทดสอบประสิทธิภาพของมาตรการป้องกันมัลแวร์และไวรัสของระบบประมวลผลข้อมูลส่วนบุคคล โดยมีสาระสำคัญดังนี้

- **ข้อ 1 วัตถุประสงค์:** ทดสอบระบบเพื่อประเมินประสิทธิภาพของมาตรการป้องกันมัลแวร์และไวรัส ให้เป็นไปตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 และประกาศที่เกี่ยวข้อง
- **ข้อ 2 ขอบเขตของงาน:** ตรวจสอบและประเมินประสิทธิภาพของโปรแกรมป้องกันมัลแวร์และไวรัส ทดสอบการสแกน การตอบสนอง และความสามารถในการป้องกันภัยคุกคาม พร้อมจัดทำรายงานผลการประเมินและจัดส่งภายใน 30 วัน
- **ข้อ 3 ความลับของข้อมูล:** ผู้รับจ้างต้องไม่เปิดเผยหรือใช้ข้อมูลของผู้ว่าจ้างโดยมิชอบ ต้องรักษาความลับอย่างเคร่งครัด และทำลายข้อมูลหลังสิ้นสุดสัญญา

### รายงานการทดสอบการป้องกันระบบประมวลผลข้อมูลส่วนบุคคล

- **ชื่อหน่วยงาน:** [ชื่อองค์กร]
- **วันที่ทดสอบ:** [ระบุวันที่]
- **ระบบที่ทดสอบ:** ฐานข้อมูลผู้ใช้บริการ ระบบบุคลากร และระบบจัดเก็บเอกสาร

**วิธีการทดสอบ**

- การสแกนเต็มระบบ
- การจำลองเหตุการณ์มัลแวร์จากตัวอย่างจริง
- การทดสอบการตอบสนองแบบเรียลไทม์
- การทดสอบช่องโหว่ของระบบ

**ผลการทดสอบ**

- การสแกนระบบ: ไม่พบมัลแวร์หรือภัยคุกคามในระบบทั้งหมด
- ฐานข้อมูลไวรัส: เป็นปัจจุบัน ณ วันที่ทดสอบ
- การป้องกันแบบเรียลไทม์: เปิดใช้งานอยู่ตลอดเวลา

**ข้อเสนอแนะ**

- ควรตั้งเวลาปรับปรุงฐานข้อมูลไวรัสแบบอัตโนมัติทุกวัน
- ควรตั้งค่าการแจ้งเตือนเมื่อพบความเสี่ยงให้ชัดเจน
- ควรทบทวนนโยบายและแนวทางการตอบสนองเมื่อเกิดภัยคุกคามเป็นประจำทุกปี

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/10-9-6.md

============================================================
โนด: แนวปฏิบัติ 10.9.7
ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/10-9-7.md

# 10.9.7 โปรแกรมป้องกันมัลแวร์และไวรัสมีการอัปเดตฐานข้อมูลให้เป็นปัจจุบันและมีการตั้งค่าโปรแกรมป้องกันไวรัสให้ทำการสแกนระบบที่มีความสำคัญอย่างสม่ำเสมอ

## สิ่งที่ต้องทำ

องค์กรต้องดูแลให้โปรแกรมป้องกันมัลแวร์และไวรัสมีการปรับปรุงฐานข้อมูลให้เป็นปัจจุบัน และตั้งค่าโปรแกรมป้องกันไวรัสให้ทำการสแกนระบบที่มีความสำคัญอย่างสม่ำเสมอ รวมถึงมีการทดสอบโดยผู้ตรวจสอบภายในหรือผู้ตรวจสอบภายนอก ตาม[มาตรา 37](https://link.pdpalawbase.com/section/37.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562

## หลักฐาน

1. นโยบายการจัดหาโปรแกรมรักษาความมั่นคงปลอดภัยแก่ระบบประมวลผลข้อมูลส่วนบุคคล
2. สัญญาจ้างบริการทดสอบการป้องกันระบบประมวลผลข้อมูลส่วนบุคคล
3. รายงานการทดสอบการป้องกันระบบประมวลผลข้อมูลส่วนบุคคล

## สภาพบังคับ

[มาตรา 37](https://link.pdpalawbase.com/section/37.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 กำหนดให้ผู้ควบคุมข้อมูลส่วนบุคคลจัดให้มีมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสม เพื่อป้องกันการสูญหายและการเข้าถึงข้อมูลส่วนบุคคลโดยปราศจากอำนาจหรือโดยมิชอบ การปรับปรุงฐานข้อมูลไวรัสให้เป็นปัจจุบันและการตั้งค่าสแกนระบบสำคัญอย่างสม่ำเสมอ พร้อมการทดสอบประสิทธิภาพ เป็นมาตรการทางเทคนิคที่รักษาประสิทธิภาพการป้องกันระบบจากภัยคุกคามทางไซเบอร์

ประกอบกับประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง มาตรการรักษาความมั่นคงปลอดภัยของผู้ควบคุมข้อมูลส่วนบุคคล พ.ศ. 2565 ข้อ 4 (2) (3) (5) ที่กำหนดให้มีการควบคุมการเข้าถึงข้อมูล การบริหารจัดการการเข้าถึงของผู้ใช้งาน และการตรวจสอบและประเมินความมั่นคงปลอดภัยของระบบ

กรณีไม่ปฏิบัติตามมาตรา 37 มีโทษปรับทางปกครองไม่เกิน 3 ล้านบาท

## ตัวอย่างเอกสาร

### นโยบายการจัดหาและใช้โปรแกรมรักษาความมั่นคงปลอดภัยแก่ระบบประมวลผลข้อมูลส่วนบุคคล

- **องค์กร:** [ชื่อองค์กร]
- **เรื่อง:** นโยบายการจัดหาและใช้โปรแกรมป้องกันมัลแวร์และไวรัส

**1. วัตถุประสงค์และขอบเขต**

เพื่อกำหนดแนวทางการจัดหาและใช้โปรแกรมป้องกันมัลแวร์และไวรัสที่มีประสิทธิภาพในระบบประมวลผลข้อมูลส่วนบุคคล ครอบคลุมระบบงาน เซิร์ฟเวอร์ อุปกรณ์ปลายทาง และระบบเครือข่ายที่เกี่ยวข้องกับการประมวลผลข้อมูลส่วนบุคคลทุกประเภทในความรับผิดชอบขององค์กร

**2. แนวทางปฏิบัติ**

1. โปรแกรมป้องกันมัลแวร์และไวรัสที่เลือกใช้ต้องสามารถปรับปรุงฐานข้อมูลไวรัสโดยอัตโนมัติและต่อเนื่องจากผู้พัฒนา
2. โปรแกรมต้องสามารถตั้งเวลาให้สแกนระบบและไฟล์ในเครื่องปลายทางและเซิร์ฟเวอร์สำคัญได้โดยอัตโนมัติ และตรวจสอบประวัติการสแกนย้อนหลังได้
3. ผู้ดูแลระบบต้องตรวจสอบสถานะการปรับปรุงและการสแกนอย่างน้อยเดือนละ 1 ครั้ง และจัดทำรายงานสรุป
4. ต้องมีการประเมินประสิทธิภาพของโปรแกรมโดยผู้ตรวจสอบภายในหรือผู้ตรวจสอบภายนอกอย่างน้อยปีละ 1 ครั้ง
5. การจัดหาโปรแกรมต้องดำเนินการตามกระบวนการจัดซื้อจัดจ้างขององค์กร และพิจารณาข้อกำหนดด้านความมั่นคงปลอดภัยเป็นสำคัญ

### สัญญาจ้างบริการทดสอบการป้องกันระบบประมวลผลข้อมูลส่วนบุคคล

สัญญาจ้างผู้รับจ้างเพื่อทดสอบการป้องกันระบบประมวลผลข้อมูลส่วนบุคคล โดยมีสาระสำคัญดังนี้

- **ข้อ 1 วัตถุประสงค์:** ทดสอบการป้องกันระบบเพื่อประเมินจุดอ่อนและความเสี่ยงด้านความมั่นคงปลอดภัย รวมถึงการสแกนมัลแวร์และไวรัส การตั้งค่าความปลอดภัย และกระบวนการจัดการความเสี่ยง
- **ข้อ 2 ขอบเขตของงาน:** ตรวจสอบระบบป้องกันมัลแวร์และไวรัส รวมถึงการปรับปรุงฐานข้อมูลไวรัสและการตั้งค่าการสแกน ดำเนินการทดสอบเจาะระบบและประเมินช่องโหว่อย่างน้อยปีละ 1 ครั้ง และจัดทำรายงานผลพร้อมข้อเสนอแนะเชิงเทคนิค
- **ข้อ 3 ความลับ:** ผู้รับจ้างต้องรักษาความลับของข้อมูลส่วนบุคคลและข้อมูลระบบของผู้ว่าจ้างทั้งหมด ห้ามนำไปเผยแพร่หรือใช้งานโดยมิได้รับอนุญาตเป็นลายลักษณ์อักษร

### รายงานการทดสอบการป้องกันระบบประมวลผลข้อมูลส่วนบุคคล

- **วันที่ดำเนินการทดสอบ:** [ระบุวันที่]
- **ผู้ดำเนินการทดสอบ:** [ชื่อบริษัท/บุคคลผู้รับจ้าง]

**ขอบเขต**

- ตรวจสอบการติดตั้งและการปรับปรุงโปรแกรมป้องกันไวรัสในเซิร์ฟเวอร์หลักและเครื่องลูกข่าย
- วิเคราะห์ช่องโหว่ระบบที่เกี่ยวข้องกับข้อมูลส่วนบุคคล รวมถึงบริการฐานข้อมูล ระบบจัดเก็บ และระบบคลาวด์
- การทดสอบเจาะระบบเบื้องต้น

**ผลการตรวจสอบ**

- ระบบป้องกันไวรัสได้รับการปรับปรุงฐานข้อมูลล่าสุด ณ วันที่ทดสอบ
- การตั้งค่าให้สแกนระบบสำคัญมีความถี่ระดับรายวัน
- ไม่พบการติดมัลแวร์หรือเหตุการณ์ต้องสงสัย ณ เวลาทดสอบ

**ข้อเสนอแนะ**

- เพิ่มระบบแจ้งเตือนอัตโนมัติเมื่อพบมัลแวร์
- ทบทวนการกำหนดสิทธิการเข้าถึงของผู้ใช้งานระดับผู้ดูแลระบบ

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/10-9-7.md


# ชุดข้อมูล: คำสั่งคณะกรรมการผู้เชี่ยวชาญ (คำวินิจฉัย/บทลงโทษ) (53 โนด)

============================================================
โนด: คำสั่ง 1/2566 (คณะ 1)
ลิงก์อ้างอิง: https://link.pdpalawbase.com/order/1-2566-committee1.md

# คำสั่งที่ 1/2566 (คณะที่ 1) — ไม่รับเรื่องร้องเรียน กรณีการขอความยินยอมในแอป Mobile Banking ที่ไม่ให้อิสระ

## เรื่องร้องเรียน

- **ผู้ร้องเรียน:** [นาย ก.]
- **ผู้ถูกร้องเรียน:** [ธนาคาร A]

คำร้องเรียนนี้ได้ความว่า ผู้ร้องเรียนได้ยื่นคำร้องเรียน [เลขที่ ครร.1] โดยร้องเรียนว่า ผู้ถูกร้องเรียนซึ่งเป็นผู้ให้บริการแอปพลิเคชัน Mobile Banking มีการขอความยินยอมที่มีลักษณะไม่ให้ความอิสระแก่ผู้ร้องเรียนในการให้ความยินยอม ซึ่งไม่เป็นไปตามบทบัญญัติ [มาตรา 19](https://link.pdpalawbase.com/section/19.md) วรรคสี่ แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ทั้งนี้ ผู้ร้องเรียนมีความประสงค์ให้ผู้ถูกร้องเรียนแก้ไขแอปพลิเคชัน Mobile Banking ดังกล่าว ให้มีการขอความยินยอมอย่างถูกต้องตามกฎหมาย และต้องการขอถอนความยินยอมที่เคยให้ไว้แก่ผู้ถูกร้องเรียนรวมถึงบริษัทในเครือที่เกี่ยวข้อง

## คำวินิจฉัย

ผู้ร้องเรียนมีความประสงค์ขอถอนคำร้องเรียน และผู้ร้องเรียนเห็นว่าผู้ถูกร้องเรียนได้มีการปรับปรุงแก้ไขรูปแบบการขอความยินยอมในการเข้าใช้งานแอปพลิเคชัน Mobile Banking ดังกล่าว ให้สอดคล้องกับข้อกำหนดของกฎหมาย และตรงตามความต้องการของผู้ร้องเรียนแล้ว คณะกรรมการผู้เชี่ยวชาญ คณะที่ 1 พิจารณาแล้วมีความเห็นว่า คำร้องเรียนนี้เป็นคำร้องเรียนที่ผู้ร้องเรียนประสงค์ขอถอนคำร้องเรียน และผู้ถูกร้องเรียนได้ปฏิบัติตามคำขอของผู้ร้องเรียนแล้ว

## คำสั่ง

อาศัยอำนาจตามความใน [มาตรา 74](https://link.pdpalawbase.com/section/74.md) วรรคหนึ่ง แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ประกอบกับความในข้อ 13 (6) ของระเบียบคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล ว่าด้วยการยื่น การไม่รับเรื่อง การยุติเรื่อง การพิจารณา และระยะเวลาในการพิจารณาคำร้องเรียน พ.ศ. 2562 คณะกรรมการผู้เชี่ยวชาญ คณะที่ 1 จึงมีคำสั่งไม่รับเรื่องร้องเรียน สำหรับคำร้องเรียน [เลขที่ ครร.1]

สั่ง ณ วันที่ 7 เมษายน พ.ศ. 2566

ประธานกรรมการผู้เชี่ยวชาญ คณะที่ 1

## เอกสารต้นฉบับ

- [PDF ต้นฉบับ (local)](../../raw/orders/order-1-2566-committee1.pdf)
- [ที่มา: pdpc.or.th](https://www.pdpc.or.th/wp-content/uploads/2024/11/PDPC-Committee1-1.66.pdf)

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/order/1-2566-committee1.md

============================================================
โนด: คำสั่ง 1/2566 (คณะ 2)
ลิงก์อ้างอิง: https://link.pdpalawbase.com/order/1-2566-committee2.md

# คำสั่งที่ 1/2566 (คณะที่ 2) — ไม่รับเรื่องร้องเรียน กรณีทะเบียนประวัติอาชญากรในความดูแลของหน่วยงานตามกฎหมายตำรวจ

## เรื่องร้องเรียน

- **ผู้ร้องเรียน:** [นาย ก.]
- **ผู้ถูกร้องเรียน:** [หน่วยงาน A]

คำร้องเรียนนี้สรุปความได้ว่า ผู้ร้องเรียนเคยต้องโทษตามคำพิพากษา [ข้อมูลเกี่ยวกับประวัติอาชญากรรม] โดยร้องเรียนว่าผู้ถูกร้องเรียนดำเนินการจัดเก็บข้อมูลส่วนบุคคลโดยไม่ได้ขอความยินยอมจากผู้ร้องเรียนซึ่งเป็นเจ้าของข้อมูลส่วนบุคคล และได้พ้นโทษตามคำพิพากษาแล้ว แต่ข้อมูลของผู้ร้องเรียนยังมีอยู่ในทะเบียนประวัติอาชญากร จึงมีความประสงค์ให้ผู้ถูกร้องเรียนลบประวัติข้อมูลอาชญากรออกจากฐานข้อมูลผู้ถูกร้องเรียน

## คำวินิจฉัย

คณะกรรมการผู้เชี่ยวชาญ คณะที่ 2 พิจารณาแล้วเห็นว่า การจัดเก็บข้อมูลเกี่ยวกับประวัติอาชญากรรมของ [หน่วยงาน A] เป็นการดำเนินการโดยใช้อำนาจตามพระราชบัญญัติตำรวจแห่งชาติ พ.ศ. 2565 และพระราชกฤษฎีกาแบ่งส่วนราชการสำนักงานตำรวจแห่งชาติ พ.ศ. 2552 ในการจัดทำทะเบียนประวัติอาชญากรของผู้กระทำผิดทั่วราชอาณาจักร อันเป็นการดำเนินงานตามกระบวนการยุติธรรมทางอาญา เพื่อรักษาความมั่นคงของรัฐและการรักษาความปลอดภัยของประชาชนภายใต้การควบคุมของหน่วยงานที่มีอำนาจตามกฎหมาย ซึ่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ไม่ใช้บังคับแก่การดำเนินการดังกล่าว ตามบทบัญญัติ [มาตรา 4](https://link.pdpalawbase.com/section/4.md) (2) และ (5) ประกอบ [มาตรา 26](https://link.pdpalawbase.com/section/26.md) วรรคสาม กรณีตามคำร้องเรียนจึงมิใช่กรณีที่ผู้ถูกร้องเรียนฝ่าฝืนหรือไม่ปฏิบัติตามกฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคล

## คำสั่ง

อาศัยอำนาจตามความใน [มาตรา 74](https://link.pdpalawbase.com/section/74.md) วรรคหนึ่ง แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ประกอบกับความในข้อ 14 (1) ของระเบียบคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล ว่าด้วยการยื่น การไม่รับเรื่อง การยุติเรื่อง การพิจารณา และระยะเวลาในการพิจารณาคำร้องเรียน พ.ศ. 2565 คณะกรรมการผู้เชี่ยวชาญ คณะที่ 2 จึงมีคำสั่งไม่รับเรื่องร้องเรียน

สั่ง ณ วันที่ 19 กรกฎาคม พ.ศ. 2566

ประธานกรรมการผู้เชี่ยวชาญ คณะที่ 2

## เอกสารต้นฉบับ

- [PDF ต้นฉบับ (local)](../../raw/orders/order-1-2566-committee2.pdf)
- [ที่มา: pdpc.or.th](https://www.pdpc.or.th/wp-content/uploads/2025/01/PDPC-committee2-1.66-L2.pdf)

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/order/1-2566-committee2.md

============================================================
โนด: คำสั่ง 1/2567 (คณะ 3)
ลิงก์อ้างอิง: https://link.pdpalawbase.com/order/1-2567-committee3.md

# คำสั่งที่ 1/2567 (คณะที่ 3) — ยุติเรื่องร้องเรียน กรณีหน่วยงานของรัฐเก็บข้อมูลจำลองลายนิ้วมือและภาพจำลองใบหน้าเพื่อระบบลงเวลาเข้า-ออก (ม.33 ประกอบ ม.95 ว.2 · หน่วยงานปฏิบัติตามคำขอลบแล้ว — ข้อ 13(6) ระเบียบ คคส. 2565)

## เรื่องร้องเรียน

- **ผู้ร้องเรียน:** [นาย ก.]
- **ผู้ถูกร้องเรียน:** [หน่วยงานของรัฐ]

เรื่องร้องเรียนนี้สรุปความได้ว่า ผู้ร้องเรียนเป็นวิศวกรชำนาญการ ใน [หน่วยงานของรัฐ] โดยผู้ถูกร้องเรียนมีการเก็บรวบรวมข้อมูลจำลองลายนิ้วมือและข้อมูลภาพจำลองใบหน้าของผู้ร้องเรียน เพื่อใช้กับระบบลงเวลาเข้า - ออก การมาปฏิบัติราชการของบุคลากรด้วยเครื่องบันทึกการลงเวลาปฏิบัติราชการแบบอัตโนมัติ จำนวน 10 เครื่อง เริ่มใช้บังคับวันที่ 1 ตุลาคม พ.ศ. 2563 ซึ่งผู้ร้องเรียนขอใช้สิทธิลบหรือทำลายข้อมูลส่วนบุคคลกับผู้ถูกร้องเรียนตาม [มาตรา 33](https://link.pdpalawbase.com/section/33.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 แต่ผู้ถูกร้องเรียนเพิกเฉยไม่ดำเนินการตามคำขอของผู้ร้องเรียน จึงเป็นเหตุให้ผู้ร้องเรียนยื่นเรื่องร้องเรียนต่อสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เพื่อให้คณะกรรมการผู้เชี่ยวชาญพิจารณาต่อไป

## คำวินิจฉัย

คณะกรรมการผู้เชี่ยวชาญ คณะที่ 3 พิจารณาแล้วเห็นว่า การกระทำของผู้ถูกร้องเรียน เป็นการเก็บรวบรวมข้อมูลจำลองลายนิ้วมือและข้อมูลภาพจำลองใบหน้าอันเป็นข้อมูลส่วนบุคคลตาม [มาตรา 26](https://link.pdpalawbase.com/section/26.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ข้อมูลส่วนบุคคลดังกล่าวผู้ถูกร้องเรียนได้เก็บรวบรวมไว้ตั้งแต่วันที่ 1 ตุลาคม พ.ศ. 2563 ซึ่งก่อนวันที่พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 จะมีผลบังคับใช้ ผู้ถูกร้องเรียนจึงสามารถเก็บรวบรวมและใช้ข้อมูลจำลองลายนิ้วมือและข้อมูลภาพจำลองใบหน้าต่อไปได้ตามวัตถุประสงค์เดิมตาม [มาตรา 95](https://link.pdpalawbase.com/section/95.md) วรรคหนึ่ง แต่อย่างไรก็ตามเมื่อผู้ร้องเรียนขอใช้สิทธิในการลบหรือทำลายข้อมูลส่วนบุคคล ผู้ถูกร้องเรียนยังมีหน้าที่ต้องปฏิบัติตามคำขอของผู้ร้องเรียนตาม [มาตรา 33](https://link.pdpalawbase.com/section/33.md) ประกอบ [มาตรา 95](https://link.pdpalawbase.com/section/95.md) วรรคสอง แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 โดยข้อเท็จจริงปรากฏว่าภายหลังผู้ถูกร้องเรียนได้ดำเนินการลบข้อมูลส่วนบุคคลตามคำขอของผู้ร้องเรียนและได้รับการยืนยันจากผู้ร้องเรียนแล้วตามความในหนังสือที่แจ้งต่อสำนักงานฯ ลงวันที่ 16 มิถุนายน พ.ศ. 2567 จึงถือว่าผู้ควบคุมข้อมูลส่วนบุคคลได้ปฏิบัติตามคำขอของผู้ร้องเรียนแล้ว ดังนั้น เรื่องร้องเรียนดังกล่าวจึงไม่เป็นกรณีที่ผู้ควบคุมข้อมูลส่วนบุคคลฝ่าฝืนหรือไม่ปฏิบัติตามกฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคล เนื่องจากผู้ควบคุมข้อมูลส่วนบุคคลได้ปฏิบัติตามคำขอของผู้ร้องเรียนแล้วตามความในข้อ 13 (6) ของระเบียบคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลว่าด้วยการยื่น การไม่รับเรื่อง การยุติเรื่อง การพิจารณา และระยะเวลาในการพิจารณาคำร้องเรียน พ.ศ. 2565

แม้เรื่องร้องเรียนดังกล่าว ไม่เป็นกรณีที่ผู้ควบคุมข้อมูลส่วนบุคคลฝ่าฝืนหรือไม่ปฏิบัติตามกฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคลก็ตาม แต่เพื่อให้เกิดความชัดเจนถึงช่องทางการใช้สิทธิของเจ้าของข้อมูลส่วนบุคคล คณะกรรมการผู้เชี่ยวชาญ คณะที่ 3 จึงมีข้อแนะนำให้ผู้ถูกร้องเรียนกำหนดวิธีการยกเลิกความยินยอมและเผยแพร่ประชาสัมพันธ์ให้เจ้าของข้อมูลส่วนบุคคลที่ไม่ประสงค์ให้ผู้ถูกร้องเรียนเก็บรวบรวมและใช้ข้อมูลส่วนบุคคลดังกล่าว สามารถยกเลิกความยินยอมได้โดยง่ายตาม [มาตรา 95](https://link.pdpalawbase.com/section/95.md) วรรคหนึ่ง รวมถึงการดำเนินการตามคำร้องขอของเจ้าของข้อมูลส่วนบุคคลตาม [มาตรา 95](https://link.pdpalawbase.com/section/95.md) วรรคสอง และให้ผู้ถูกร้องเรียนสร้างความตระหนักรู้ให้แก่บุคลากร พนักงาน เจ้าหน้าที่ที่เกี่ยวข้องกับการดำเนินการตามคำขอของเจ้าของข้อมูลส่วนบุคคล ซึ่งใช้สิทธิตามกฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคล และจัดให้มีมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสมตาม [มาตรา 37](https://link.pdpalawbase.com/section/37.md) (1) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ประกอบกับประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง มาตรการรักษาความมั่นคงปลอดภัยของผู้ควบคุมข้อมูลส่วนบุคคล พ.ศ. 2565 ข้อ 4 (7)

## คำสั่ง

อาศัยอำนาจตามความใน [มาตรา 74](https://link.pdpalawbase.com/section/74.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ประกอบกับความในข้อ 13 (6) ของระเบียบคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลว่าด้วยการยื่น การไม่รับเรื่อง การยุติเรื่อง การพิจารณา และระยะเวลาในการพิจารณาคำร้องเรียน พ.ศ. 2565 คณะกรรมการผู้เชี่ยวชาญ คณะที่ 3 จึงมีมติในคราวประชุม ครั้งที่ 7/2567 โดยมีคำสั่งยุติเรื่องร้องเรียน

สั่ง ณ วันที่ 9 กันยายน พ.ศ. 2567

ประธานกรรมการผู้เชี่ยวชาญ คณะที่ 3

## เอกสารต้นฉบับ

- [PDF ต้นฉบับ (local)](../../raw/orders/order-1-2567-committee3.pdf)
- [ที่มา: pdpc.or.th](https://www.pdpc.or.th/wp-content/uploads/2025/07/PDPC-Committee3-1.67.pdf)

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/order/1-2567-committee3.md

============================================================
โนด: คำสั่ง 1/2568 (คณะ 4)
ลิงก์อ้างอิง: https://link.pdpalawbase.com/order/1-2568-committee4.md

# คำสั่งที่ 1/2568 (คณะที่ 4) — ยุติเรื่องร้องเรียน กรณีโรงพยาบาลนำเอกสารประวัติการรักษา (ชื่อ-สกุล-ภาพใบหน้า-ผลวินิจฉัยโรค) ไปใช้เป็นถุงกระดาษบรรจุขนม (คู่กรณีไกล่เกลี่ย + ผู้ร้องถอนคำร้อง — ม.74 ว.2 ประกอบ ข้อ 13(6) ระเบียบ คคส. 2565)

## เรื่องร้องเรียน

- **ผู้ร้องเรียน:** [นาย ก.]
- **ผู้ถูกร้องเรียน:** [โรงพยาบาล A.]

ผู้ร้องเรียนยื่นคำร้องเรียนเมื่อวันที่ 9 กรกฎาคม พ.ศ. 2567 เรื่อง การเปิดเผยข้อมูลส่วนบุคคลโดยไม่ได้รับความยินยอม โดยมีรายละเอียดสรุปได้ว่า ผู้ร้องเรียนเป็นผู้ใช้บริการของผู้ถูกร้องเรียน ได้เข้ารับบริการตรวจรักษาสุขภาพกับผู้ถูกร้องเรียน ต่อมาผู้ร้องเรียนพบว่าเอกสารประวัติการรักษาของตน ซึ่งปรากฏข้อมูลชื่อตัว ชื่อสกุล ภาพถ่ายใบหน้า และผลการวินิจฉัยโรคอย่างชัดเจน ถูกนำไปใช้เป็นถุงกระดาษบรรจุขนมโตเกียว ทำให้ผู้ร้องเรียนได้รับความเสียหายต่อชื่อเสียงเป็นอย่างมาก

## คำวินิจฉัย

คณะกรรมการผู้เชี่ยวชาญ คณะที่ 4 พิจารณาแล้วเห็นว่า ภายหลังที่ผู้ร้องเรียนยื่นคำร้องเรียนต่อสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลเพื่อใช้สิทธิตามกฎหมายจากเหตุการละเมิดข้อมูลส่วนบุคคลแล้ว เมื่อวันที่ 8 พฤศจิกายน พ.ศ. 2567 ผู้ร้องเรียนและผู้ถูกร้องเรียนได้ดำเนินการเจรจาไกล่เกลี่ยกัน ณ [หน่วยงานของรัฐ] โดยทำเป็นบันทึกข้อตกลงการเจรจาไกล่เกลี่ยระหว่างกัน ซึ่งผู้ถูกร้องเรียนยินยอมชดเชยค่าเสียหายจนเป็นที่พอใจแก่ผู้ร้องเรียน และผู้ร้องเรียนไม่ติดใจในการดำเนินการตามเรื่องร้องเรียนอีกต่อไป และทั้งสองฝ่ายได้ดำเนินการตามบันทึกข้อตกลงดังกล่าวเรียบร้อยแล้ว โดยผู้ร้องเรียนได้แจ้งความประสงค์ขอถอนคำร้องเรียนต่อสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เมื่อวันที่ 11 พฤศจิกายน พ.ศ. 2567

## คำสั่ง

อาศัยอำนาจตาม [มาตรา 74](https://link.pdpalawbase.com/section/74.md) วรรคสอง แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ประกอบข้อ 13 (6) ของระเบียบคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลว่าด้วยการยื่น การไม่รับเรื่อง การยุติเรื่อง การพิจารณา และระยะเวลาในการพิจารณาคำร้องเรียน พ.ศ. 2565 คณะกรรมการผู้เชี่ยวชาญ คณะที่ 4 จึงมีคำสั่งยุติเรื่องร้องเรียน

สั่ง ณ วันที่ 3 มกราคม พ.ศ. 2568

ประธานกรรมการผู้เชี่ยวชาญ คณะที่ 4

## เอกสารต้นฉบับ

- [PDF ต้นฉบับ (local)](../../raw/orders/order-1-2568-committee4.pdf)
- [ที่มา: pdpc.or.th](https://www.pdpc.or.th/wp-content/uploads/2025/07/PDPC-Committee-4-1.68.pdf)

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/order/1-2568-committee4.md

============================================================
โนด: คำสั่ง 2/2566 (คณะ 1)
ลิงก์อ้างอิง: https://link.pdpalawbase.com/order/2-2566-committee1.md

# คำสั่งที่ 2/2566 (คณะที่ 1) — ไม่รับเรื่องร้องเรียน เนื่องจากเอกสารหลักฐานไม่ครบถ้วนและผู้ร้องเรียนไม่ติดต่อกลับ

## เรื่องร้องเรียน

- **ผู้ร้องเรียน:** [นาย ก.]
- **ผู้ถูกร้องเรียน:** [บริษัท A ที่ 1], [นาย B ที่ 2], [นาย C ที่ 3]

คำร้องเรียนนี้สรุปความได้ว่า ผู้ร้องเรียนได้ยื่นคำร้องเรียน [เลขที่ ครร.1] ว่าผู้ถูกร้องเรียนที่ 1 ซึ่งเป็นสถาบันการเงิน ใช้หรือเปิดเผยข้อมูลส่วนบุคคลโดยไม่ชอบด้วยกฎหมาย และถูกทวงถามหนี้จากผู้ถูกร้องเรียนที่ 3 ซึ่งอ้างว่าได้รับมอบอำนาจจากผู้ถูกร้องเรียนที่ 1 ในฐานะนายจ้าง โดยผู้ร้องเรียนมิได้ให้ความยินยอมในการเก็บรวบรวมและใช้ข้อมูลส่วนบุคคล ทั้งนี้ ผู้ร้องเรียนมีความประสงค์ให้ตรวจสอบผู้ถูกร้องเรียนที่ 1 - 3 และดำเนินคดีตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562

## คำวินิจฉัย

เนื่องจากผู้ร้องเรียนจัดส่งเอกสารหลักฐานไม่ครบถ้วนและไม่ได้จัดทำคำร้องเรียนตามแบบที่สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลกำหนด สำนักงานฯ จึงดำเนินการจัดส่งไปรษณีย์อิเล็กทรอนิกส์เพื่อขอเอกสารจากผู้ร้องเรียนตามที่อยู่ไปรษณีย์อิเล็กทรอนิกส์ที่ผู้ร้องเรียนได้ให้ไว้ เมื่อวันที่ 17 กุมภาพันธ์ 2566 แต่ไม่ได้รับการติดต่อกลับจากผู้ร้องเรียน สำนักงานฯ จึงจัดส่งหนังสือ [เลขที่ ดศ (สคส.)] เรื่องแจ้งให้ลงนามในแบบคำร้องเรียน ลงวันที่ 5 เมษายน 2566 ทางไปรษณีย์ด่วนพิเศษ เพื่อให้ผู้ร้องเรียนลงนามในแบบคำร้องเรียนพร้อมแนบหลักฐานประกอบการร้องเรียน และส่งกลับมาภายใน 15 วัน แต่เมื่อครบกำหนดระยะเวลาดังกล่าวแล้ว ยังไม่ได้รับการติดต่อจากผู้ร้องเรียน คณะกรรมการผู้เชี่ยวชาญ คณะที่ 1 พิจารณาแล้วมีความเห็นว่าคำร้องเรียนนี้เป็นคำร้องเรียนที่มีลักษณะ รายละเอียด และเอกสารหลักฐานไม่ถูกต้องหรือไม่ครบถ้วน

## คำสั่ง

อาศัยอำนาจตามความใน [มาตรา 74](https://link.pdpalawbase.com/section/74.md) วรรคหนึ่ง แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ประกอบกับความในข้อ 13 (1) ของระเบียบคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล ว่าด้วยการยื่น การไม่รับเรื่อง การยุติเรื่อง การพิจารณา และระยะเวลาในการพิจารณาคำร้องเรียน พ.ศ. 2562 คณะกรรมการผู้เชี่ยวชาญ คณะที่ 1 จึงมีคำสั่งไม่รับเรื่องร้องเรียน

สั่ง ณ วันที่ 15 มิถุนายน พ.ศ. 2566

ประธานกรรมการผู้เชี่ยวชาญ คณะที่ 1

## เอกสารต้นฉบับ

- [PDF ต้นฉบับ (local)](../../raw/orders/order-2-2566-committee1.pdf)
- [ที่มา: pdpc.or.th](https://www.pdpc.or.th/wp-content/uploads/2025/01/PDPC-Committee1-2.66-L2.pdf)

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/order/2-2566-committee1.md

============================================================
โนด: คำสั่ง 2/2566 (คณะ 2)
ลิงก์อ้างอิง: https://link.pdpalawbase.com/order/2-2566-committee2.md

# คำสั่งที่ 2/2566 (คณะที่ 2) — ไม่รับเรื่องร้องเรียน กรณีทะเบียนประวัติอาชญากรในความดูแลของหน่วยงานตามกฎหมายตำรวจ

## เรื่องร้องเรียน

- **ผู้ร้องเรียน:** [นาย ก.]
- **ผู้ถูกร้องเรียน:** [หน่วยงาน A]

คำร้องเรียนนี้สรุปความได้ว่า ผู้ร้องเรียนเคยต้องโทษตามคำพิพากษา [ข้อมูลเกี่ยวกับประวัติอาชญากรรม] โดยร้องเรียนว่า ผู้ถูกร้องเรียนดำเนินการจัดเก็บข้อมูลส่วนบุคคลโดยไม่ได้ขอความยินยอมจากผู้ร้องเรียนซึ่งเป็นเจ้าของข้อมูลส่วนบุคคลและได้พ้นโทษตามคำพิพากษาแล้ว แต่ข้อมูลของผู้ร้องเรียนยังมีอยู่ในทะเบียนประวัติอาชญากร จึงมีความประสงค์ให้ผู้ถูกร้องเรียนลบประวัติข้อมูลอาชญากรออกจากฐานข้อมูลผู้ถูกร้องเรียน

## คำวินิจฉัย

คณะกรรมการผู้เชี่ยวชาญ คณะที่ 2 พิจารณาแล้วเห็นว่า การจัดเก็บข้อมูลเกี่ยวกับประวัติอาชญากรรมของ [หน่วยงาน A] เป็นการดำเนินการโดยใช้อำนาจตามพระราชบัญญัติตำรวจแห่งชาติ พ.ศ. 2565 และพระราชกฤษฎีกาแบ่งส่วนราชการสำนักงานตำรวจแห่งชาติ พ.ศ. 2552 ในการจัดทำทะเบียนประวัติอาชญากรของผู้กระทำผิดทั่วราชอาณาจักร อันเป็นการดำเนินงานตามกระบวนการยุติธรรมทางอาญา เพื่อรักษาความมั่นคงของรัฐและการรักษาความปลอดภัยของประชาชน ภายใต้การควบคุมของหน่วยงานที่มีอำนาจตามกฎหมาย ซึ่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ไม่ใช้บังคับแก่การดำเนินการดังกล่าว ตามบทบัญญัติ [มาตรา 4](https://link.pdpalawbase.com/section/4.md) (2) และ (5) ประกอบ [มาตรา 26](https://link.pdpalawbase.com/section/26.md) วรรคสาม กรณีตามคำร้องเรียนจึงมิใช่กรณีที่ผู้ถูกร้องเรียนฝ่าฝืนหรือไม่ปฏิบัติตามกฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคล

## คำสั่ง

อาศัยอำนาจตามความใน [มาตรา 74](https://link.pdpalawbase.com/section/74.md) วรรคหนึ่ง แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ประกอบกับความในข้อ 14 (1) ของระเบียบคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล ว่าด้วยการยื่น การไม่รับเรื่อง การยุติเรื่อง การพิจารณา และระยะเวลาในการพิจารณาคำร้องเรียน พ.ศ. 2565 คณะกรรมการผู้เชี่ยวชาญ คณะที่ 2 จึงมีคำสั่งไม่รับเรื่องร้องเรียน

สั่ง ณ วันที่ 19 กรกฎาคม พ.ศ. 2566

ประธานกรรมการผู้เชี่ยวชาญ คณะที่ 2

## เอกสารต้นฉบับ

- [PDF ต้นฉบับ (local)](../../raw/orders/order-2-2566-committee2.pdf)
- [ที่มา: pdpc.or.th](https://www.pdpc.or.th/wp-content/uploads/2025/01/PDPC-committee2-2.66-L2.pdf)

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/order/2-2566-committee2.md

============================================================
โนด: คำสั่ง 2/2567 (คณะ 2)
ลิงก์อ้างอิง: https://link.pdpalawbase.com/order/2-2567-committee2.md

# คำสั่งที่ 2/2567 (คณะที่ 2) — ยุติเรื่องร้องเรียน กรณีกล้องวงจรปิดเพื่อนบ้านที่บ้านพักอาศัย (ม.4 (1) ประโยชน์ส่วนตน)

## เรื่องร้องเรียน

- **ผู้ร้องเรียน:** [นางสาว ข.] โดย [นาย ก. ผู้รับมอบอำนาจ]
- **ผู้ถูกร้องเรียน:** [บริษัท A ที่ 1] และ [นาย B ที่ 2]

คำร้องเรียนนี้สรุปความได้ว่า [นาย B ที่ 2] ได้มีการติดตั้งกล้องวงจรปิด (CCTV) ซึ่งมีมุมกล้องส่องเข้ามาบริเวณที่อยู่อาศัยของผู้ร้องเรียน ทำให้เห็นบริเวณที่อยู่อาศัยบางส่วนของผู้ร้องเรียน โดยไม่ได้รับความยินยอมและไม่เป็นไปตามวัตถุประสงค์โดยชอบด้วยกฎหมาย ทำให้ผู้ร้องเรียนได้รับความเสียหายและถูกละเมิดสิทธิส่วนตัว

## คำวินิจฉัย

คณะกรรมการผู้เชี่ยวชาญ คณะที่ 2 พิจารณาแล้วเห็นว่า การติดตั้งกล้องวงจรปิด (CCTV) ดังกล่าว กระทำโดย [นาย B ที่ 2] ซึ่งเป็นเจ้าของบ้านที่ตั้งอยู่ในที่ดินอันเป็นกรรมสิทธิ์ของ [บริษัท A ที่ 1] เพื่อวัตถุประสงค์ในการรักษาความปลอดภัยบริเวณที่อยู่อาศัยและพื้นที่ใกล้เคียง รวมทั้งมิได้ปรากฏหลักฐานว่ามีการนำข้อมูลจากกล้องวงจรปิดที่ได้เก็บรวบรวมไว้ไปเผยแพร่หรือใช้ในทางที่ผิดกฎหมายแต่อย่างใด กรณีนี้จึงไม่อยู่ภายใต้การบังคับใช้ตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 เนื่องจากเป็นการเก็บรวบรวมข้อมูลส่วนบุคคลเพื่อประโยชน์ส่วนตนเท่านั้น ตาม [มาตรา 4](https://link.pdpalawbase.com/section/4.md) (1) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562

## คำสั่ง

อาศัยอำนาจตามความใน [มาตรา 74](https://link.pdpalawbase.com/section/74.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 คณะกรรมการผู้เชี่ยวชาญ คณะที่ 2 จึงมีคำสั่งยุติเรื่องร้องเรียน

สั่ง ณ วันที่ 24 มกราคม พ.ศ. 2567

ประธานกรรมการผู้เชี่ยวชาญ คณะที่ 2

## เอกสารต้นฉบับ

- [PDF ต้นฉบับ (local)](../../raw/orders/order-2-2567-committee2.pdf)
- [ที่มา: pdpc.or.th](https://www.pdpc.or.th/wp-content/uploads/2025/03/PDPC-committee2-2.67.pdf)

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/order/2-2567-committee2.md

============================================================
โนด: คำสั่ง 2/2567 (คณะ 3)
ลิงก์อ้างอิง: https://link.pdpalawbase.com/order/2-2567-committee3.md

# คำสั่งที่ 2/2567 (คณะที่ 3) — ตักเตือนหน่วยงานของรัฐกรณีลูกจ้างใช้รหัสผ่านสืบค้นทะเบียนราษฎรและแอบถ่ายสูติบัตรเผยแพร่ลงสื่อสังคมออนไลน์ (ฝ่าฝืน ม.19 ประกอบ ม.27 + ม.37(1) · อาศัย ม.90 · ระเบียบ คคส. มาตรการรักษาความมั่นคงปลอดภัย 2565 ข้อ 4(7))

## เรื่องร้องเรียน

- **ผู้ร้องเรียน:** [นางสาว ก.]
- **ผู้ถูกร้องเรียน:** [หน่วยงานของรัฐ]

คำร้องเรียนนี้สรุปความได้ว่า เจ้าหน้าที่ของผู้ถูกร้องเรียน สืบค้นข้อมูลทะเบียนราษฎรของผู้ร้องเรียนและบุตรของผู้ร้องเรียน โดยผู้ร้องเรียนมิได้ยื่นคำขอหรือมอบอำนาจให้ผู้ใดยื่นคำขอเพื่อทำการสืบค้นทะเบียนราษฎรของผู้ร้องเรียนหรือบุตรของผู้ร้องเรียน ผู้ร้องเรียนได้ยื่นคำร้องขอตรวจสอบการเข้าสืบค้นข้อมูลดังกล่าวกับส่วนบูรณาการฐานข้อมูลกลางภาครัฐ สำนักบริหารการทะเบียน พบว่าผู้ถูกร้องเรียน โดยเจ้าหน้าที่ของผู้ถูกร้องเรียนได้เข้าสืบค้นข้อมูลของผู้ร้องเรียนและบุตรของผู้ร้องเรียน และเจ้าหน้าที่คนดังกล่าวได้แอบถ่ายรูปสูติบัตรของบุตรผู้ร้องเรียนจากหน้าจอคอมพิวเตอร์ที่ใช้สืบค้น ส่งให้แก่บุคคลภายนอก และบุคคลภายนอกได้นำภาพถ่ายสูติบัตรซึ่งไม่มีการระบุว่าบิดาของบุตรผู้ร้องเรียนคือผู้ใดไปเผยแพร่ลงบนสื่อสังคมออนไลน์ โดยที่ผู้ร้องเรียนไม่ได้ให้ความยินยอม จึงทำให้ผู้ร้องเรียนและบุตรของผู้ร้องเรียนถูกดูหมิ่น

## คำวินิจฉัย

คณะกรรมการผู้เชี่ยวชาญ คณะที่ 3 พิจารณาแล้วเห็นว่า ผู้ถูกร้องเรียนมีอำนาจหน้าที่ตัดสินใจเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลทะเบียนราษฎรซึ่งเป็นข้อมูลส่วนบุคคลของผู้ร้องเรียนและบุตรของผู้ร้องเรียนตาม [มาตรา 6](https://link.pdpalawbase.com/section/6.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ผู้ถูกร้องเรียนมีระเบียบและหลักเกณฑ์เกี่ยวกับการตรวจสอบข้อมูลทะเบียนราษฎร โดยผู้มีความประสงค์ขอตรวจสอบข้อมูลต้องยื่นคำร้องด้วยตนเอง หรือมีหนังสือมอบอำนาจให้บุคคลอื่นทำการแทนและต้องเป็นผู้มีส่วนได้เสียตามระเบียบสำนักทะเบียนกลางว่าด้วยการจัดทำทะเบียนราษฎร พ.ศ. 2535 และฉบับแก้ไขเพิ่มเติม ลูกจ้างซึ่งปฏิบัติหน้าที่แทนเจ้าหน้าที่เกี่ยวกับงานทะเบียนราษฎรที่ได้รับมอบหมายจากผู้ถูกร้องเรียนให้ปฏิบัติหน้าที่ในการสืบค้นทะเบียนราษฎร จึงมีหน้าที่ต้องปฏิบัติตามระเบียบและหลักเกณฑ์ที่ผู้ถูกร้องเรียนกำหนดเกี่ยวกับการสืบค้นข้อมูลทะเบียนราษฎร แต่ลูกจ้างของผู้ถูกร้องเรียนได้นำเอารหัสผ่านของเจ้าหน้าที่เข้าใช้ระบบการสืบค้นข้อมูลทะเบียนราษฎรและทำการสืบค้นข้อมูลของผู้ร้องเรียนและบุตรของผู้ร้องเรียน โดยไม่ได้มีคำขอหรือมีการมอบอำนาจจากผู้ร้องเรียนตามระเบียบ แม้ลูกจ้างของผู้ถูกร้องเรียนจะได้รับมอบหมายให้ช่วยปฏิบัติงานด้านทะเบียนราษฎรก็ตาม แต่การสืบค้นข้อมูลทะเบียนราษฎรจะต้องปฏิบัติตามระเบียบที่กำหนดไว้โดยเคร่งครัด จึงเป็นการใช้ เปิดเผยข้อมูลส่วนบุคคลที่ไม่ชอบตาม [มาตรา 19](https://link.pdpalawbase.com/section/19.md) ประกอบ [มาตรา 27](https://link.pdpalawbase.com/section/27.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 อีกทั้ง เจ้าหน้าที่ผู้มีหน้าที่ปฏิบัติเกี่ยวกับทะเบียนราษฎรเป็นผู้มีรหัสผ่านในการเข้าใช้ระบบการสืบค้นข้อมูลทะเบียนราษฎร ไม่จัดเก็บรหัสผ่านไว้เป็นความลับเพื่อป้องกันมิให้บุคคลอื่นที่ไม่มีหน้าที่นำไปใช้โดยไม่ชอบ ทำให้ลูกจ้างคนดังกล่าวสามารถนำเอารหัสผ่านไปใช้สืบค้นข้อมูลทะเบียนราษฎรของผู้ร้องเรียนและบุตรผู้ร้องเรียนและนำเอาข้อมูลดังกล่าวไปเปิดเผยต่อบุคคลอื่นโดยไม่ชอบด้วยกฎหมายจึงเป็นกรณีที่ ผู้ถูกร้องเรียนในฐานะผู้ควบคุมข้อมูลส่วนบุคคล ไม่ได้จัดให้มีมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสม เพื่อป้องกันการสูญหาย เข้าถึง ใช้ เปลี่ยนแปลง แก้ไข หรือเปิดเผยข้อมูลส่วนบุคคลโดยปราศจากอำนาจหรือโดยมิชอบตาม [มาตรา 37](https://link.pdpalawbase.com/section/37.md) (1) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562

## คำสั่ง

อาศัยอำนาจตามความใน [มาตรา 90](https://link.pdpalawbase.com/section/90.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 คณะกรรมการผู้เชี่ยวชาญ คณะที่ 3 จึงมีมติในคราวประชุม ครั้งที่ 7/2567 โดยมีคำสั่งดังต่อไปนี้

1. ตักเตือนให้ผู้ถูกร้องเรียนปฏิบัติตาม [มาตรา 19](https://link.pdpalawbase.com/section/19.md) [มาตรา 27](https://link.pdpalawbase.com/section/27.md) และ [มาตรา 37](https://link.pdpalawbase.com/section/37.md) (1) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 อย่างเคร่งครัด โดยสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลบันทึกประวัติการตักเตือนครั้งนี้ไว้ในฐานข้อมูล เพื่อเป็นปัจจัยในการพิจารณาตามข้อ 8 ของประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง หลักเกณฑ์การพิจารณาออกคำสั่งลงโทษปรับทางปกครองของคณะกรรมการผู้เชี่ยวชาญ พ.ศ. 2565 ต่อไป

2. ให้ผู้ถูกร้องเรียนจัดให้มีการสร้างเสริมความตระหนักรู้ด้านความสำคัญของการคุ้มครองข้อมูลส่วนบุคคลและการรักษาความมั่นคงปลอดภัยของข้อมูลส่วนบุคคลให้บุคลากร พนักงาน เจ้าหน้าที่ ที่เกี่ยวข้องกับการเข้าถึง เก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลทราบและถือปฏิบัติตาม [มาตรา 37](https://link.pdpalawbase.com/section/37.md) (1) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ประกอบข้อ 4 (7) ของประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง มาตรการรักษาความมั่นคงปลอดภัยของผู้ควบคุมข้อมูลส่วนบุคคล พ.ศ. 2565

3. ให้ดำเนินการตามข้อ 2 พร้อมทั้งรายงานผลการปฏิบัติต่อคณะกรรมการผู้เชี่ยวชาญ สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล ภายใน 30 วันนับแต่วันที่ได้รับคำสั่ง

สั่ง ณ วันที่ 9 กันยายน 2567

ประธานกรรมการผู้เชี่ยวชาญ คณะที่ 3

## เอกสารต้นฉบับ

- [PDF ต้นฉบับ (local)](../../raw/orders/order-2-2567-committee3.pdf)
- [ที่มา: pdpc.or.th](https://www.pdpc.or.th/wp-content/uploads/2025/07/PDPC-Committee3-2.67.pdf)

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/order/2-2567-committee3.md

============================================================
โนด: คำสั่ง 2/2568 (คณะ 4)
ลิงก์อ้างอิง: https://link.pdpalawbase.com/order/2-2568-committee4.md

# คำสั่งที่ 2/2568 (คณะที่ 4) — ยุติเรื่องร้องเรียน กรณีบุคคลภายในโรงพยาบาลเปิดเผยผลตรวจเลือดของผู้ร้องเรียนให้ญาติโดยไม่ได้รับความยินยอม (คู่กรณีไกล่เกลี่ย + บันทึกข้อตกลง — ม.74 ว.2 ประกอบ ข้อ 13(6) ระเบียบ คคส. 2565)

## เรื่องร้องเรียน

- **ผู้ร้องเรียน:** [นางสาว ก.]
- **ผู้ถูกร้องเรียน:** [โรงพยาบาล B.]

ผู้ร้องเรียนยื่นคำร้องเรียนเมื่อวันที่ 9 กรกฎาคม พ.ศ. 2567 เรื่อง การเปิดเผยข้อมูลส่วนบุคคลโดยไม่ได้รับความยินยอม โดยมีรายละเอียดสรุปได้ว่า เมื่อวันที่ 24 กุมภาพันธ์ พ.ศ. 2567 ผู้ร้องเรียนได้สนทนาเรื่องสุขภาพกับ [นาง ข.] ญาติของผู้ร้องเรียน เกี่ยวกับการรักษาสุขภาพที่โรงพยาบาลของผู้ถูกร้องเรียนเมื่อวันที่ 11 กุมภาพันธ์ พ.ศ. 2567 ซึ่งในขณะนั้น [นาง ข.] ได้ติดต่อบุคคลภายในโรงพยาบาลของผู้ถูกร้องเรียนเพื่อสอบถามชื่อแพทย์และผลการตรวจเลือดของผู้ร้องเรียน โดยที่ผู้ร้องเรียนไม่ได้ให้ความยินยอม และ [นาง ข.] ได้ส่งไฟล์ภาพผลการตรวจเลือด ลงวันที่ 11 กุมภาพันธ์ พ.ศ. 2567 ให้แก่ผู้ร้องเรียนผ่านทางแอปพลิเคชันไลน์ ซึ่งผลการตรวจเลือดดังกล่าวมีรายละเอียดตรงกับที่ผู้ร้องเรียนได้รับจากแพทย์ แต่มีความแตกต่างกันในส่วนของผู้พิมพ์ออก ด้วยเหตุดังกล่าวทำให้ผู้ร้องเรียนทราบว่าข้อมูลผลการตรวจเลือดของตนถูกเปิดเผยโดยไม่ได้รับความยินยอม

ผู้ร้องเรียนจึงติดต่อให้โรงพยาบาลของผู้ถูกร้องเรียนรับผิดชอบต่อเหตุการณ์ดังกล่าว และโรงพยาบาลของผู้ถูกร้องเรียนได้แจ้งยืนยันว่ามีการลบไฟล์ภาพผลการตรวจเลือดของผู้ร้องเรียนออกจากเครื่องสแกนของโรงพยาบาลและช่องทางการสนทนาของแอปพลิเคชันไลน์ระหว่าง [นาง ข.] กับบุคคลภายในของโรงพยาบาลแล้ว ทั้งนี้ ผู้ร้องเรียนประสงค์ให้โรงพยาบาลของผู้ถูกร้องเรียนแจ้งผลการชี้แจงดังกล่าวเป็นลายลักษณ์อักษร โดยได้ส่งจดหมายอิเล็กทรอนิกส์ถึงโรงพยาบาลของผู้ถูกร้องเรียน ซึ่งไม่ได้รับการตอบกลับแต่อย่างใด จึงได้ร้องเรียนต่อสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล

## คำวินิจฉัย

คณะกรรมการผู้เชี่ยวชาญ คณะที่ 4 พิจารณาแล้วเห็นว่า ภายหลังที่ผู้ร้องเรียนยื่นคำร้องเรียนต่อสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลเพื่อใช้สิทธิตามกฎหมายจากเหตุการละเมิดข้อมูลส่วนบุคคลแล้ว คู่กรณีมีการเจรจาไกล่เกลี่ยกันได้ โดยเมื่อวันที่ 8 มกราคม พ.ศ. 2568 ผู้ร้องเรียนและผู้ถูกร้องเรียนได้ดำเนินการเจรจาไกล่เกลี่ยกัน ณ สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล โดยทำเป็นบันทึกข้อตกลงและแจ้งความประสงค์ให้ไกล่เกลี่ยระหว่างกันว่า ผู้ถูกร้องเรียนจะเก็บรักษาความลับของข้อมูลส่วนบุคคลของผู้ร้องเรียนอย่างเคร่งครัด และไม่เปิดเผยกับบุคคลภายนอกโดยไม่ได้รับความยินยอมจากผู้ร้องเรียนอย่างเด็ดขาด รวมถึงมีข้อตกลงอื่น ๆ เพื่อหาข้อยุติร่วมกันจนเป็นที่พอใจทั้งสองฝ่าย ซึ่งทั้งสองฝ่ายได้ดำเนินการตามบันทึกข้อตกลงแล้ว และคณะกรรมการผู้เชี่ยวชาญ คณะที่ 4 ได้ตรวจสอบแล้วปรากฏการดำเนินการตามบันทึกข้อตกลงโดยครบถ้วน

## คำสั่ง

อาศัยอำนาจตาม [มาตรา 74](https://link.pdpalawbase.com/section/74.md) วรรคสอง แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ประกอบข้อ 13 (6) ของระเบียบคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลว่าด้วยการยื่น การไม่รับเรื่อง การยุติเรื่อง การพิจารณา และระยะเวลาในการพิจารณาคำร้องเรียน พ.ศ. 2565 คณะกรรมการผู้เชี่ยวชาญ คณะที่ 4 จึงมีคำสั่งยุติเรื่องร้องเรียน

สั่ง ณ วันที่ 7 มีนาคม พ.ศ. 2568

ประธานกรรมการผู้เชี่ยวชาญ คณะที่ 4

## เอกสารต้นฉบับ

- [PDF ต้นฉบับ (local)](../../raw/orders/order-2-2568-committee4.pdf)
- [ที่มา: pdpc.or.th](https://www.pdpc.or.th/wp-content/uploads/2025/07/PDPC-Committee-4-2.68.pdf)

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/order/2-2568-committee4.md

============================================================
โนด: คำสั่ง 3/2566 (คณะ 1)
ลิงก์อ้างอิง: https://link.pdpalawbase.com/order/3-2566-committee1.md

# คำสั่งที่ 3/2566 (คณะที่ 1) — ไม่รับเรื่องร้องเรียน กรณีการตรวจสอบข้อมูลการเงินในอำนาจหน้าที่ของบริษัท

## เรื่องร้องเรียน

- **ผู้ร้องเรียน:** [นาง ก.]
- **ผู้ถูกร้องเรียน:** [ธนาคาร A]

คำร้องเรียนนี้สรุปความได้ว่า ผู้ร้องเรียนได้ยื่นคำร้องเรียนว่าผู้ถูกร้องเรียนซึ่งเป็นสถาบันการเงิน เก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลโดยไม่ชอบด้วยกฎหมาย โดยการเข้าตรวจสอบข้อมูลการเงินของบัญชีคู่สัญญากับธนาคารฯ และปรากฏถึงการเชื่อมโยงการโอนเงินมายังบัญชีของผู้ร้องเรียน โดยผู้ร้องเรียนมิได้ให้ความยินยอมในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลบัญชีดังกล่าว ทั้งนี้ ผู้ร้องเรียนจึงมีความประสงค์ให้ตรวจสอบผู้ถูกร้องเรียน และดำเนินการตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562

## คำวินิจฉัย

คณะกรรมการผู้เชี่ยวชาญ คณะที่ 1 พิจารณาแล้วเห็นว่าผู้ร้องเรียนเป็นพนักงานในสังกัดผู้ถูกร้องเรียน และการกระทำของผู้ถูกร้องเรียนอยู่ในอำนาจหน้าที่ในการตรวจสอบของบริษัท เพื่อแสวงหาข้อเท็จจริงในการพิจารณาลงโทษพนักงานภายในบริษัท ซึ่งกรณีการสืบค้นข้อมูลการเงินในบัญชีของคู่สัญญา ผู้ถูกร้องเรียนได้มีการขอความยินยอมไว้ก่อนแล้ว กรณีนี้จึงไม่เป็นการกระทำที่เป็นความผิดตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ประกอบกับผู้ร้องเรียนได้แจ้งความประสงค์ขอถอนเรื่องที่ได้ร้องเรียนไว้แล้ว

## คำสั่ง

อาศัยอำนาจตามความใน [มาตรา 74](https://link.pdpalawbase.com/section/74.md) วรรคสอง แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ประกอบระเบียบคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล ว่าด้วยการยื่น การไม่รับเรื่อง การยุติเรื่อง การพิจารณา และระยะเวลาในการพิจารณาคำร้องเรียน พ.ศ. 2565 ข้อ 13 (6) คณะกรรมการผู้เชี่ยวชาญ คณะที่ 1 จึงมีคำสั่งไม่รับเรื่องร้องเรียน

สั่ง ณ วันที่ 14 กรกฎาคม พ.ศ. 2566

ประธานกรรมการผู้เชี่ยวชาญ คณะที่ 1

## เอกสารต้นฉบับ

- [PDF ต้นฉบับ (local)](../../raw/orders/order-3-2566-committee1.pdf)
- [ที่มา: pdpc.or.th](https://www.pdpc.or.th/wp-content/uploads/2026/03/PDPC-Committee1-3.66.pdf)

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/order/3-2566-committee1.md

============================================================
โนด: คำสั่ง 3/2566 (คณะ 2)
ลิงก์อ้างอิง: https://link.pdpalawbase.com/order/3-2566-committee2.md

# คำสั่งที่ 3/2566 (คณะที่ 2) — ไม่รับเรื่องร้องเรียน กรณีทะเบียนประวัติอาชญากรในความดูแลของหน่วยงานตามกฎหมายตำรวจ

## เรื่องร้องเรียน

- **ผู้ร้องเรียน:** [นาย ก.]
- **ผู้ถูกร้องเรียน:** [หน่วยงาน A]

คำร้องเรียนนี้สรุปความได้ว่า ผู้ร้องเรียนเคยต้องโทษตามคำพิพากษา [ข้อมูลเกี่ยวกับประวัติอาชญากรรม] โดยร้องเรียนว่าผู้ถูกร้องเรียนดำเนินการจัดเก็บข้อมูลส่วนบุคคลโดยไม่ได้ขอความยินยอมจากผู้ร้องเรียนซึ่งเป็นเจ้าของข้อมูลส่วนบุคคลและได้พ้นโทษตามคำพิพากษาแล้ว แต่ข้อมูลของผู้ร้องเรียนยังมีอยู่ในทะเบียนประวัติอาชญากร จึงมีความประสงค์ให้ผู้ถูกร้องเรียนลบประวัติข้อมูลอาชญากรออกจากฐานข้อมูลผู้ถูกร้องเรียน

## คำวินิจฉัย

คณะกรรมการผู้เชี่ยวชาญ คณะที่ 2 พิจารณาแล้วเห็นว่า การจัดเก็บข้อมูลเกี่ยวกับประวัติอาชญากรรมของ [หน่วยงาน A] เป็นการดำเนินการโดยใช้อำนาจตามพระราชบัญญัติตำรวจแห่งชาติ พ.ศ. 2565 และพระราชกฤษฎีกาแบ่งส่วนราชการสำนักงานตำรวจแห่งชาติ พ.ศ. 2552 ในการจัดทำทะเบียนประวัติอาชญากรของผู้กระทำผิดทั่วราชอาณาจักร อันเป็นการดำเนินงานตามกระบวนการยุติธรรมทางอาญา เพื่อรักษาความมั่นคงของรัฐและการรักษาความปลอดภัยของประชาชนภายใต้การควบคุมของหน่วยงานที่มีอำนาจตามกฎหมาย ซึ่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ไม่ใช้บังคับแก่การดำเนินการดังกล่าว ตามบทบัญญัติ [มาตรา 4](https://link.pdpalawbase.com/section/4.md) (2) และ (5) ประกอบ [มาตรา 26](https://link.pdpalawbase.com/section/26.md) วรรคสาม กรณีตามคำร้องเรียนจึงมิใช่กรณีที่ผู้ถูกร้องเรียนฝ่าฝืนหรือไม่ปฏิบัติตามกฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคล

## คำสั่ง

อาศัยอำนาจตามความใน [มาตรา 74](https://link.pdpalawbase.com/section/74.md) วรรคหนึ่ง แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ประกอบกับความในข้อ 14 (1) ของระเบียบคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล ว่าด้วยการยื่น การไม่รับเรื่อง การยุติเรื่อง การพิจารณา และระยะเวลาในการพิจารณาคำร้องเรียน พ.ศ. 2565 คณะกรรมการผู้เชี่ยวชาญ คณะที่ 2 จึงมีคำสั่งไม่รับเรื่องร้องเรียน

สั่ง ณ วันที่ 19 กรกฎาคม พ.ศ. 2566

ประธานกรรมการผู้เชี่ยวชาญ คณะที่ 2

## เอกสารต้นฉบับ

- [PDF ต้นฉบับ (local)](../../raw/orders/order-3-2566-committee2.pdf)
- [ที่มา: pdpc.or.th](https://www.pdpc.or.th/wp-content/uploads/2025/01/PDPC-committee2-3.66-L2.pdf)

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/order/3-2566-committee2.md

============================================================
โนด: คำสั่ง 3/2567 (คณะ 1)
ลิงก์อ้างอิง: https://link.pdpalawbase.com/order/3-2567-committee1.md

# คำสั่งที่ 3/2567 (คณะที่ 1) — ยุติเรื่องร้องเรียน กรณีการตลาดแบบตรงโดยอาศัยฐานประโยชน์โดยชอบด้วยกฎหมาย

## เรื่องร้องเรียน

- **ผู้ร้องเรียน:** [นาย ก.]
- **ผู้ถูกร้องเรียน:** [ธนาคาร A.]

คำร้องเรียนนี้สรุปความได้ว่า ผู้ร้องเรียนถูกละเมิดข้อมูลส่วนบุคคลด้วยการส่งข้อมูลเสนอผลิตภัณฑ์ทางการตลาดทางไปรษณีย์อิเล็กทรอนิกส์จากผู้ถูกร้องเรียนโดยไม่ได้รับความยินยอม จึงได้ทำการยกเลิกการประชาสัมพันธ์ทางการตลาดกับผู้ถูกร้องเรียน เมื่อวันที่ 6 สิงหาคม 2565 และในคราวเดียวกันได้ยื่นเรื่องร้องเรียนเข้ามายังสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เนื่องจากเห็นว่าผู้ถูกร้องเรียนละเมิดข้อมูลส่วนบุคคลตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562

## คำวินิจฉัย

คณะกรรมการผู้เชี่ยวชาญ คณะที่ 1 พิจารณาแล้วเห็นว่า ผู้ร้องเรียนได้ยื่นใบสมัครบัตรเครดิตไว้กับสถาบันทางการเงินแห่งหนึ่ง เมื่อวันที่ 22 พฤษภาคม 2565 โดยในวันยื่นเอกสารผู้ร้องเรียนไม่ได้แจ้งความประสงค์ที่จะไม่รับการติดต่อประชาสัมพันธ์ทางการตลาดไว้ จึงทำให้ผู้ถูกร้องเรียนได้มีการประชาสัมพันธ์ทางการตลาดไปยังผู้ร้องเรียน โดยอาศัยฐานประโยชน์โดยชอบด้วยกฎหมายตาม [มาตรา 24](https://link.pdpalawbase.com/section/24.md) (5) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 และเมื่อผู้ถูกร้องเรียนได้รับแจ้งความประสงค์คัดค้านการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลที่เกี่ยวกับตนเพื่อวัตถุประสงค์เกี่ยวกับการตลาดแบบตรง ผู้ถูกร้องเรียนจึงได้มีการนำรายชื่อของผู้ร้องเรียนออกจากการติดต่อประชาสัมพันธ์เพื่อวัตถุประสงค์เกี่ยวกับการตลาดแบบตรงเมื่อวันที่ 9 สิงหาคม 2565 และชี้แจงผู้ร้องเรียนทราบเมื่อวันที่ 18 สิงหาคม 2565 ว่าได้ปฏิบัติตามคำขอดังกล่าวแล้ว ประกอบกับผู้ร้องเรียนได้แจ้งความประสงค์ขอถอนคำร้องเรียนแล้ว จึงเป็นกรณีตามข้อ 13 (6) ของระเบียบคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล ว่าด้วยการยื่น การไม่รับเรื่อง การยุติเรื่อง การพิจารณา และระยะเวลาในการพิจารณาคำร้องเรียน พ.ศ. 2565

## คำสั่ง

อาศัยอำนาจตามความใน [มาตรา 74](https://link.pdpalawbase.com/section/74.md) วรรคสอง แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ประกอบกับความในข้อ 13 (3) ของระเบียบคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล ว่าด้วยการยื่น การไม่รับเรื่อง การยุติเรื่อง การพิจารณา และระยะเวลาในการพิจารณาคำร้องเรียน พ.ศ. 2565 คณะกรรมการผู้เชี่ยวชาญ คณะที่ 1 จึงมีคำสั่งยุติเรื่องร้องเรียน

สั่ง ณ วันที่ 11 มีนาคม พ.ศ. 2567

ประธานกรรมการผู้เชี่ยวชาญ คณะที่ 1

## เอกสารต้นฉบับ

- [PDF ต้นฉบับ (local)](../../raw/orders/order-3-2567-committee1.pdf)
- [ที่มา: pdpc.or.th](https://www.pdpc.or.th/wp-content/uploads/2025/03/PDPC-Committee1-3.67.pdf)

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/order/3-2567-committee1.md

============================================================
โนด: คำสั่ง 4/2566 (คณะ 2)
ลิงก์อ้างอิง: https://link.pdpalawbase.com/order/4-2566-committee2.md

# คำสั่งที่ 4/2566 (คณะที่ 2) — ไม่รับเรื่องร้องเรียน กรณีทะเบียนประวัติอาชญากรในความดูแลของหน่วยงานตามกฎหมายตำรวจ

## เรื่องร้องเรียน

- **ผู้ร้องเรียน:** [นาย ก.]
- **ผู้ถูกร้องเรียน:** [หน่วยงาน A]

คำร้องเรียนนี้สรุปความได้ว่า ผู้ร้องเรียนเคยต้องโทษตามคำพิพากษา [ข้อมูลเกี่ยวกับประวัติอาชญากรรม] โดยร้องเรียนว่าผู้ถูกร้องเรียนดำเนินการจัดเก็บข้อมูลส่วนบุคคลโดยไม่ได้ขอความยินยอมจากผู้ร้องเรียนซึ่งเป็นเจ้าของข้อมูลส่วนบุคคลตามคำพิพากษาแล้ว แต่ข้อมูลของผู้ร้องเรียนยังมีอยู่ในทะเบียนประวัติอาชญากร จึงมีความประสงค์ให้ผู้ร้องเรียนลบประวัติข้อมูลอาชญากรออกจากฐานข้อมูลผู้ถูกร้องเรียน

## คำวินิจฉัย

คณะกรรมการผู้เชี่ยวชาญ คณะที่ 2 พิจารณาแล้วเห็นว่า การจัดเก็บข้อมูลเกี่ยวกับประวัติอาชญากรรมของ [หน่วยงาน A] เป็นการดำเนินการโดยใช้อำนาจตามพระราชบัญญัติตำรวจแห่งชาติ พ.ศ. 2565 และพระราชกฤษฎีกาแบ่งส่วนราชการสำนักงานตำรวจแห่งชาติ พ.ศ. 2552 ในการจัดทำทะเบียนประวัติอาชญากรของผู้กระทำผิดทั่วราชอาณาจักร อันเป็นการดำเนินงานตามกระบวนการยุติธรรมทางอาญา เพื่อรักษาความมั่นคงของรัฐและการรักษาความปลอดภัยของประชาชนภายใต้การควบคุมของหน่วยงานที่มีอำนาจตามกฎหมาย ซึ่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ไม่ใช้บังคับแก่การดำเนินการดังกล่าว ตามบทบัญญัติ [มาตรา 4](https://link.pdpalawbase.com/section/4.md) (2) และ (5) ประกอบ [มาตรา 26](https://link.pdpalawbase.com/section/26.md) วรรคสาม กรณีตามคำร้องเรียนจึงมิใช่กรณีที่ผู้ถูกร้องเรียนฝ่าฝืนหรือไม่ปฏิบัติตามกฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคล

## คำสั่ง

อาศัยอำนาจตามความใน [มาตรา 74](https://link.pdpalawbase.com/section/74.md) วรรคหนึ่ง แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ประกอบกับความในข้อ 14 (1) ของระเบียบคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล ว่าด้วยการยื่น การไม่รับเรื่อง การยุติเรื่อง การพิจารณา และระยะเวลาในการพิจารณาคำร้องเรียน พ.ศ. 2565 คณะกรรมการผู้เชี่ยวชาญ คณะที่ 2 จึงมีคำสั่งไม่รับเรื่องร้องเรียน

สั่ง ณ วันที่ 19 กรกฎาคม พ.ศ. 2566

ประธานกรรมการผู้เชี่ยวชาญ คณะที่ 2

## เอกสารต้นฉบับ

- [PDF ต้นฉบับ (local)](../../raw/orders/order-4-2566-committee2.pdf)
- [ที่มา: pdpc.or.th](https://www.pdpc.or.th/wp-content/uploads/2025/01/PDPC-committee2-4.66-L2.pdf)

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/order/4-2566-committee2.md

============================================================
โนด: คำสั่ง 4/2567 (คณะ 1)
ลิงก์อ้างอิง: https://link.pdpalawbase.com/order/4-2567-committee1.md

# คำสั่งที่ 4/2567 (คณะที่ 1) — ตักเตือนและให้แก้ไข กรณีอดีตนายจ้างนำชื่อ-นามสกุลอดีตพนักงานไปใช้ในใบเตือนต่ออายุประกันรถยนต์

## เรื่องร้องเรียน

- **ผู้ร้องเรียน:** [นางสาว ก.]
- **ผู้ถูกร้องเรียน:** [บริษัท A.]

คำร้องเรียนนี้สรุปความได้ว่า ผู้ถูกร้องเรียน (อดีตนายจ้าง) แอบอ้างใช้ หรือเปิดเผยข้อมูลส่วนบุคคลของผู้ร้องเรียน (อดีตพนักงาน) ได้แก่ ชื่อตัว ชื่อสกุล โดยไม่ชอบด้วยกฎหมาย นำไปจัดทำเอกสารใบเตือนต่ออายุประกันรถส่งให้แก่ลูกค้าผู้ใช้บริการของบริษัทผู้ถูกร้องเรียน โดยไม่ได้ให้ความยินยอมแต่อย่างใด ทำให้ผู้ร้องเรียนได้รับความเสียหาย และทำให้ผู้ใช้บริการเกิดความสับสน

## คำวินิจฉัย

คณะกรรมการผู้เชี่ยวชาญ คณะที่ 1 พิจารณาแล้วเห็นว่า ผู้ถูกร้องเรียนในฐานะอดีตนายจ้าง มีสถานะเป็นผู้ควบคุมข้อมูลส่วนบุคคลตามมาตรา 6 การใช้ หรือเปิดเผยชื่อ นามสกุลของผู้ร้องเรียน อดีตพนักงาน ในการจัดทำใบเตือนต่ออายุประกันรถส่งแก่ลูกค้าของผู้ถูกร้องเรียน โดยไม่ได้รับความยินยอมจากผู้ร้องเรียนหรือมีฐานทางกฎหมายอื่น ๆ ในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลของผู้ร้องเรียนตามที่พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 กำหนด เป็นกรณีผู้ถูกร้องเรียนฝ่าฝืนหรือไม่ปฏิบัติตามกฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคล ตาม [มาตรา 27](https://link.pdpalawbase.com/section/27.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 และไม่ดำเนินการให้ข้อมูลส่วนบุคคลถูกต้อง เป็นปัจจุบัน สมบูรณ์ และก่อให้เกิดความเข้าใจผิด การกระทำของผู้ถูกร้องเรียนจึงฝ่าฝืนไม่ปฏิบัติตาม [มาตรา 35](https://link.pdpalawbase.com/section/35.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 อีกทั้ง ผู้ถูกร้องเรียนมีหน้าที่ตามกฎหมายต้องจัดให้มีมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสม เพื่อป้องกันการสูญหาย เข้าถึง ใช้ เปลี่ยนแปลง แก้ไข หรือเปิดเผยข้อมูลส่วนบุคคลโดยปราศจากอำนาจหรือโดยมิชอบตาม [มาตรา 37](https://link.pdpalawbase.com/section/37.md) (1) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ประกอบประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง มาตรการรักษาความมั่นคงปลอดภัยของผู้ควบคุมข้อมูลส่วนบุคคล พ.ศ. 2565 แต่เนื่องจากผู้ร้องเรียนกับผู้ถูกร้องเรียนมีการเจรจาไกล่เกลี่ยกันได้ และผู้ถูกร้องเรียนปรับแก้ไขตามความประสงค์ของผู้ร้องเรียนแล้ว ผู้ร้องเรียนจึงได้แจ้งความประสงค์ขอถอนเรื่องร้องเรียน

## คำสั่ง

อาศัยอำนาจตามความใน [มาตรา 90](https://link.pdpalawbase.com/section/90.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 คณะกรรมการผู้เชี่ยวชาญ คณะที่ 1 จึงมีคำสั่งตักเตือนและแก้ไข ดังต่อไปนี้

1. การกระทำของผู้ถูกร้องเรียนเป็นการละเมิดข้อมูลส่วนบุคคล แต่เนื่องจากไม่ปรากฏว่าเคยปฏิบัติฝ่าฝืนพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 มาก่อน จึงขอเตือนให้ผู้ถูกร้องเรียนปฏิบัติให้ถูกต้องตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 โดยสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลจะได้บันทึกการตักเตือนครั้งนี้ไว้ในฐานข้อมูล หากผู้ถูกร้องเรียนกระทำฝ่าฝืนพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 อีก คณะกรรมการผู้เชี่ยวชาญ คณะที่ 1 จะดำเนินการตามกฎหมายอย่างเข้มงวดต่อไป

2. ให้ผู้ถูกร้องเรียนจัดให้มีมาตรการที่เหมาะสมเพื่อให้ข้อมูลส่วนบุคคลถูกต้อง เป็นปัจจุบัน สมบูรณ์ และไม่ก่อให้เกิดความเข้าใจผิดตาม [มาตรา 35](https://link.pdpalawbase.com/section/35.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 โดยการปรับปรุงบุคลากร กระบวนการ หรือเทคโนโลยี ให้มีประสิทธิภาพและความเหมาะสมตามระดับความเสี่ยงต่อสิทธิและเสรีภาพของเจ้าของข้อมูลส่วนบุคคล

3. ให้ผู้ถูกร้องเรียนจัดให้มีการสร้างเสริมความตระหนักรู้ด้านความสำคัญของการคุ้มครองข้อมูลส่วนบุคคลและการรักษาความมั่นคงปลอดภัยของข้อมูลส่วนบุคคลให้บุคลากร พนักงาน เจ้าหน้าที่ ที่เกี่ยวข้องกับการเข้าถึง เก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลทราบและถือปฏิบัติตาม [มาตรา 37](https://link.pdpalawbase.com/section/37.md) (1) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ประกอบความใน ข้อ 4 (7) แห่งประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง มาตรการรักษาความมั่นคงปลอดภัยของผู้ควบคุมข้อมูลส่วนบุคคล พ.ศ. 2565

4. ให้ดำเนินการตามข้อ 2 และข้อ 3 พร้อมทั้งรายงานผลการปฏิบัติต่อคณะกรรมการผู้เชี่ยวชาญ สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล ภายใน 30 วัน นับแต่วันที่ได้รับคำสั่ง

สั่ง ณ วันที่ 11 มีนาคม พ.ศ. 2567

ประธานกรรมการผู้เชี่ยวชาญ คณะที่ 1

## เอกสารต้นฉบับ

- [PDF ต้นฉบับ (local)](../../raw/orders/order-4-2567-committee1.pdf)
- [ที่มา: pdpc.or.th](https://www.pdpc.or.th/wp-content/uploads/2025/03/PDPC-Committee1-4.67.pdf)

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/order/4-2567-committee1.md

============================================================
โนด: คำสั่ง 4/2567 (คณะ 2)
ลิงก์อ้างอิง: https://link.pdpalawbase.com/order/4-2567-committee2.md

# คำสั่งที่ 4/2567 (คณะที่ 2) — ยุติเรื่องร้องเรียน กรณีแอบอ้างชื่อส่งพัสดุ (ถอนคำร้องหลังประนอมข้อพิพาท)

## เรื่องร้องเรียน

- **ผู้ร้องเรียน:** [นาย ก.]
- **ผู้ถูกร้องเรียน:** [บริษัท A.]

คำร้องเรียนนี้สรุปความได้ว่า มีบุคคลแอบอ้างใช้ชื่อตัว ชื่อสกุล ที่อยู่ และหมายเลขโทรศัพท์ของผู้ร้องเรียน จัดส่งพัสดุเลขที่ THxxxx ของบริษัทขนส่งผู้ถูกร้องเรียนไปยังผู้ร้องเรียน ซึ่งต่อมาได้รับแจ้งทางแอปพลิเคชันของผู้ถูกร้องเรียนว่า ผู้ร้องเรียนเป็นผู้จัดส่งพัสดุทั้งที่ไม่ได้เป็นผู้ดำเนินการแต่อย่างใด จึงประสงค์ให้ดำเนินการตรวจสอบ กรณีนำข้อมูลส่วนบุคคลไปใช้โดยไม่ได้รับความยินยอม

## คำวินิจฉัย

คณะกรรมการผู้เชี่ยวชาญ คณะที่ 2 พิจารณาแล้วเห็นว่า คำร้องเรียนดังกล่าว คู่กรณีได้มีการเจรจาตกลงประนอมข้อพิพาทกันโดยเรียบร้อย และผู้ร้องเรียนได้มีหนังสือขอถอนคำร้องเรียนต่อสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เมื่อวันที่ 29 พฤศจิกายน 2566 จึงไม่มีประเด็นที่ต้องพิจารณาวินิจฉัยตามความในข้อ 13 (6) ของระเบียบคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลว่าด้วยการยื่น การไม่รับเรื่อง การยุติเรื่อง การพิจารณา และระยะเวลาในการพิจารณาคำร้องเรียน พ.ศ. 2566

## คำสั่ง

อาศัยอำนาจตามความใน [มาตรา 74](https://link.pdpalawbase.com/section/74.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 คณะกรรมการผู้เชี่ยวชาญ คณะที่ 2 จึงมีคำสั่งยุติเรื่องร้องเรียน

สั่ง ณ วันที่ 24 มกราคม พ.ศ. 2567

ประธานกรรมการผู้เชี่ยวชาญ คณะที่ 2

## เอกสารต้นฉบับ

- [PDF ต้นฉบับ (local)](../../raw/orders/order-4-2567-committee2.pdf)
- [ที่มา: pdpc.or.th](https://www.pdpc.or.th/wp-content/uploads/2025/03/PDPC-Committee2-4.67.pdf)

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/order/4-2567-committee2.md

============================================================
โนด: คำสั่ง 5/2566 (คณะ 2)
ลิงก์อ้างอิง: https://link.pdpalawbase.com/order/5-2566-committee2.md

# คำสั่งที่ 5/2566 (คณะที่ 2) — ไม่รับเรื่องร้องเรียน กรณีทะเบียนประวัติอาชญากรในความดูแลของหน่วยงานตามกฎหมายตำรวจ

## เรื่องร้องเรียน

- **ผู้ร้องเรียน:** [นาย ก.]
- **ผู้ถูกร้องเรียน:** [หน่วยงาน A]

คำร้องเรียนนี้สรุปความได้ว่า ผู้ร้องเรียนเคยต้องโทษตามคำพิพากษา [ข้อมูลเกี่ยวกับประวัติอาชญากรรม] โดยร้องเรียนว่าผู้ถูกร้องเรียนดำเนินการจัดเก็บข้อมูลส่วนบุคคลโดยไม่ได้ขอความยินยอมจากผู้ร้องเรียนซึ่งเป็นเจ้าของข้อมูลส่วนบุคคลและได้พ้นโทษตามพิพากษาแล้ว แต่ข้อมูลของผู้ร้องเรียนยังมีอยู่ในทะเบียนประวัติอาชญากร จึงมีความประสงค์ให้ผู้ถูกร้องเรียนลบประวัติข้อมูลอาชญากรออกจากฐานข้อมูลผู้ถูกร้องเรียน

## คำวินิจฉัย

คณะกรรมการผู้เชี่ยวชาญ คณะที่ 2 พิจารณาแล้วเห็นว่า การจัดเก็บข้อมูลเกี่ยวกับประวัติอาชญากรรมของ [หน่วยงาน A] เป็นการดำเนินการโดยใช้อำนาจตามพระราชบัญญัติตำรวจแห่งชาติ พ.ศ. 2565 และพระราชกฤษฎีกาแบ่งส่วนราชการสำนักงานตำรวจแห่งชาติ พ.ศ. 2552 ในการจัดทำทะเบียนประวัติอาชญากรของผู้กระทำผิดทั่วราชอาณาจักร อันเป็นการดำเนินงานตามกระบวนการยุติธรรมทางอาญา เพื่อรักษาความมั่นคงของรัฐและการรักษาความปลอดภัยของประชาชนภายใต้การควบคุมของหน่วยงานที่มีอำนาจตามกฎหมาย ซึ่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ไม่ใช้บังคับแก่การดำเนินการดังกล่าว ตามบทบัญญัติ [มาตรา 4](https://link.pdpalawbase.com/section/4.md) (2) และ (5) ประกอบ [มาตรา 26](https://link.pdpalawbase.com/section/26.md) วรรคสาม กรณีตามคำร้องเรียนจึงมิใช่กรณีที่ผู้ถูกร้องเรียนฝ่าฝืนหรือไม่ปฏิบัติตามกฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคล

## คำสั่ง

อาศัยอำนาจตามความใน [มาตรา 74](https://link.pdpalawbase.com/section/74.md) วรรคหนึ่ง แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ประกอบกับความในข้อ 14 (1) ของระเบียบคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล ว่าด้วยการยื่น การไม่รับเรื่อง การยุติเรื่อง การพิจารณา และระยะเวลาในการพิจารณาคำร้องเรียน พ.ศ. 2565 คณะกรรมการผู้เชี่ยวชาญ คณะที่ 2 จึงมีคำสั่งไม่รับเรื่องร้องเรียน

สั่ง ณ วันที่ 19 กรกฎาคม พ.ศ. 2566

ประธานกรรมการผู้เชี่ยวชาญ คณะที่ 2

## เอกสารต้นฉบับ

- [PDF ต้นฉบับ (local)](../../raw/orders/order-5-2566-committee2.pdf)
- [ที่มา: pdpc.or.th](https://www.pdpc.or.th/wp-content/uploads/2025/01/PDPC-committee2-5.66-L2.pdf)

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/order/5-2566-committee2.md

============================================================
โนด: คำสั่ง 5/2567 (คณะ 1)
ลิงก์อ้างอิง: https://link.pdpalawbase.com/order/5-2567-committee1.md

# คำสั่งที่ 5/2567 (คณะที่ 1) — ตักเตือนและให้แก้ไข กรณีอดีตนายจ้างนำชื่อ-นามสกุลอดีตพนักงานไปใช้ในใบเตือนต่ออายุประกันรถยนต์ (สำนวนคู่ขนาน)

## เรื่องร้องเรียน

- **ผู้ร้องเรียน:** [นางสาว ก.]
- **ผู้ถูกร้องเรียน:** [บริษัท A.]

คำร้องเรียนนี้สรุปความได้ว่า ผู้ถูกร้องเรียน (อดีตนายจ้าง) ได้แอบอ้างใช้ หรือเปิดเผยข้อมูลส่วนบุคคลของผู้ร้องเรียน (อดีตพนักงาน) ได้แก่ ชื่อตัว ชื่อสกุล โดยไม่ชอบด้วยกฎหมาย นำไปจัดทำเอกสารใบเตือนต่ออายุประกันรถส่งให้แก่ลูกค้าผู้ใช้บริการของบริษัทผู้ถูกร้องเรียน โดยไม่ได้ให้ความยินยอมแต่อย่างใด ทำให้ผู้ร้องเรียนได้รับความเสียหาย และทำให้ลูกค้าผู้ใช้บริการเกิดความสับสน

## คำวินิจฉัย

คณะกรรมการผู้เชี่ยวชาญ คณะที่ 1 พิจารณาแล้วเห็นว่า ผู้ถูกร้องเรียน ในฐานะอดีตนายจ้าง มีสถานะเป็นผู้ควบคุมข้อมูลส่วนบุคคลตามมาตรา 6 การใช้ หรือเปิดเผยชื่อ นามสกุลของผู้ร้องเรียน อดีตพนักงาน ในการจัดทำใบเตือนต่ออายุประกันรถ ส่งแก่ลูกค้าของผู้ถูกร้องเรียน โดยไม่ได้รับความยินยอมจากผู้ร้องเรียนหรือมีฐานทางกฎหมายอื่น ๆ ในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลของผู้ร้องเรียนตามที่พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 กำหนด เป็นกรณีผู้ถูกร้องเรียนฝ่าฝืนหรือไม่ปฏิบัติตามกฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคล ตาม [มาตรา 27](https://link.pdpalawbase.com/section/27.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 และไม่ดำเนินการให้ข้อมูลส่วนบุคคลถูกต้อง เป็นปัจจุบัน สมบูรณ์ และก่อให้เกิดความเข้าใจผิด การกระทำของผู้ถูกร้องเรียนจึงฝ่าฝืนไม่ปฏิบัติตาม [มาตรา 35](https://link.pdpalawbase.com/section/35.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 อีกทั้ง ผู้ถูกร้องเรียนมีหน้าที่ตามกฎหมายต้องจัดให้มีมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสม เพื่อป้องกันการสูญหาย เข้าถึง ใช้ เปลี่ยนแปลง แก้ไข หรือเปิดเผยข้อมูลส่วนบุคคล โดยปราศจากอำนาจหรือโดยมิชอบ ตาม [มาตรา 37](https://link.pdpalawbase.com/section/37.md) (1) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ประกอบความใน ข้อ 4 (7) แห่งประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง มาตรการรักษาความมั่นคงปลอดภัยของผู้ควบคุมข้อมูลส่วนบุคคล พ.ศ. 2565 แต่เนื่องจากผู้ร้องเรียนกับผู้ถูกร้องเรียนมีการเจรจาไกล่เกลี่ยกันได้ และผู้ถูกร้องเรียนปรับแก้ไขตามความประสงค์ของผู้ร้องเรียนแล้ว ผู้ร้องเรียนได้แจ้งความประสงค์ขอถอนเรื่องร้องเรียน

## คำสั่ง

อาศัยอำนาจตามความใน [มาตรา 90](https://link.pdpalawbase.com/section/90.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 คณะกรรมการผู้เชี่ยวชาญ คณะที่ 1 จึงมีคำสั่งตักเตือนและแก้ไข ดังต่อไปนี้

1. การกระทำของผู้ถูกร้องเรียนเป็นการละเมิดข้อมูลส่วนบุคคล แต่เนื่องจากไม่ปรากฏว่าเคยปฏิบัติฝ่าฝืนพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 มาก่อน จึงขอเตือนให้ผู้ถูกร้องเรียนปฏิบัติให้ถูกต้องตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 โดยสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลจะได้บันทึกการตักเตือนครั้งนี้ไว้ในฐานข้อมูล หากผู้ถูกร้องเรียนกระทำฝ่าฝืนพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 อีก คณะกรรมการผู้เชี่ยวชาญ คณะที่ 1 จะดำเนินการตามกฎหมายอย่างเข้มงวดต่อไป

2. ให้ผู้ถูกร้องเรียนจัดให้มีมาตรการที่เหมาะสมเพื่อให้ข้อมูลส่วนบุคคลถูกต้อง เป็นปัจจุบัน สมบูรณ์ และไม่ก่อให้เกิดความเข้าใจผิด ตาม [มาตรา 35](https://link.pdpalawbase.com/section/35.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 โดยการปรับปรุงบุคลากร กระบวนการ หรือเทคโนโลยี ให้มีประสิทธิภาพและความเหมาะสมตามระดับความเสี่ยงต่อสิทธิและเสรีภาพของเจ้าของข้อมูลส่วนบุคคล

3. ให้ผู้ถูกร้องเรียนจัดให้มีการสร้างเสริมความตระหนักรู้ด้านความสำคัญของการคุ้มครองข้อมูลส่วนบุคคลและการรักษาความมั่นคงปลอดภัยของข้อมูลส่วนบุคคลให้บุคลากร พนักงาน เจ้าหน้าที่ ที่เกี่ยวข้องกับการเข้าถึง เก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลทราบและถือปฏิบัติตาม [มาตรา 37](https://link.pdpalawbase.com/section/37.md) (1) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ประกอบความใน ข้อ 4 (7) แห่งประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง มาตรการรักษาความมั่นคงปลอดภัยของผู้ควบคุมข้อมูลส่วนบุคคล พ.ศ. 2565

4. ให้ดำเนินการตามข้อ 2 และข้อ 3 พร้อมทั้งรายงานผลการปฏิบัติต่อคณะกรรมการผู้เชี่ยวชาญ สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล ภายใน 30 วัน นับแต่วันที่ได้รับคำสั่ง

สั่ง ณ วันที่ 11 มีนาคม พ.ศ. 2567

ประธานกรรมการผู้เชี่ยวชาญ คณะที่ 1

## เอกสารต้นฉบับ

- [PDF ต้นฉบับ (local)](../../raw/orders/order-5-2567-committee1.pdf)
- [ที่มา: pdpc.or.th](https://www.pdpc.or.th/wp-content/uploads/2025/03/PDPC-Committee1-5.67.pdf)

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/order/5-2567-committee1.md

============================================================
โนด: คำสั่ง 5/2567 (คณะ 2)
ลิงก์อ้างอิง: https://link.pdpalawbase.com/order/5-2567-committee2.md

# คำสั่งที่ 5/2567 (คณะที่ 2) — ยุติเรื่องร้องเรียน กรณีเผยแพร่ภาพสัญญาเช่าและสภาพบ้านเช่าใน Facebook (ม.4 (1) ประโยชน์ส่วนตน)

## เรื่องร้องเรียน

- **ผู้ร้องเรียน:** [นาย ก.]
- **ผู้ถูกร้องเรียน:** [นางสาว A.]

คำร้องเรียนนี้สรุปความได้ว่า ผู้ร้องเรียนได้ทำสัญญาเช่าบ้านกับผู้ถูกร้องเรียน แต่อยู่ไม่ครบตามสัญญาเช่าและไม่ได้รับคืนเงินประกัน ซึ่งต่อมาผู้ถูกร้องเรียนได้ถ่ายภาพหนังสือสัญญาเช่าบ้านและสภาพบ้านเช่าหลังส่งคืน เผยแพร่ลงใน Facebook แม้ในภาพดังกล่าว ผู้ถูกร้องเรียนได้ทำการปกปิดข้อมูลของผู้ร้องเรียน เฉพาะชื่อตัว ชื่อสกุล แต่ไม่ได้ทำการปกปิดข้อมูลที่อยู่ตามทะเบียนบ้าน และที่อยู่บ้านเช่าแต่อย่างใด ทำให้ผู้ร้องเรียนได้รับความเสียหายต่อชื่อเสียง

## คำวินิจฉัย

คณะกรรมการผู้เชี่ยวชาญ คณะที่ 2 พิจารณาแล้วเห็นว่า การที่ผู้ถูกร้องเรียนทำการเผยแพร่ภาพสัญญาเช่าและสภาพบ้านเช่า ลงใน Facebook เป็นการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลที่กระทำการเพื่อประโยชน์ส่วนตน อันเป็นกรณีข้อยกเว้นตาม [มาตรา 4](https://link.pdpalawbase.com/section/4.md) (1) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 จึงไม่อยู่ภายใต้บังคับแห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 แต่เป็นเรื่องพิพาทกันระหว่างผู้ร้องเรียนกับผู้ถูกร้องเรียน ซึ่งเป็นไปตามกฎหมายอื่นที่เกี่ยวข้อง

## คำสั่ง

อาศัยอำนาจตามความใน [มาตรา 74](https://link.pdpalawbase.com/section/74.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 คณะกรรมการผู้เชี่ยวชาญ คณะที่ 2 จึงมีคำสั่งยุติเรื่องร้องเรียน

สั่ง ณ วันที่ 24 มกราคม พ.ศ. 2567

ประธานกรรมการผู้เชี่ยวชาญ คณะที่ 2

## เอกสารต้นฉบับ

- [PDF ต้นฉบับ (local)](../../raw/orders/order-5-2567-committee2.pdf)
- [ที่มา: pdpc.or.th](https://www.pdpc.or.th/wp-content/uploads/2025/03/PDPC-Committee2-5.67.pdf)

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/order/5-2567-committee2.md

============================================================
โนด: คำสั่ง 6/2566 (คณะ 2)
ลิงก์อ้างอิง: https://link.pdpalawbase.com/order/6-2566-committee2.md

# คำสั่งที่ 6/2566 (คณะที่ 2) — ไม่รับเรื่องร้องเรียน กรณีทะเบียนประวัติอาชญากรในความดูแลของหน่วยงานตามกฎหมายตำรวจ

## เรื่องร้องเรียน

- **ผู้ร้องเรียน:** [นาย ก.]
- **ผู้ถูกร้องเรียน:** [หน่วยงาน A]

คำร้องเรียนนี้สรุปความได้ว่า ผู้ร้องเรียนเคยต้องโทษตามคำพิพากษา [ข้อมูลเกี่ยวกับประวัติอาชญากรรม] โดยร้องเรียนว่า ผู้ถูกร้องเรียนดำเนินการจัดเก็บข้อมูลส่วนบุคคลโดยไม่ได้ขอความยินยอมจากผู้ร้องเรียนซึ่งเป็นเจ้าของข้อมูลส่วนบุคคลและได้พ้นโทษตามพิพากษาแล้ว แต่ข้อมูลของผู้ร้องเรียนยังมีอยู่ในทะเบียนประวัติอาชญากร จึงมีความประสงค์ให้ผู้ถูกร้องเรียนลบประวัติข้อมูลอาชญากรออกจากฐานข้อมูลผู้ถูกร้องเรียน

## คำวินิจฉัย

คณะกรรมการผู้เชี่ยวชาญ คณะที่ 2 พิจารณาแล้วเห็นว่า การจัดเก็บข้อมูลเกี่ยวกับประวัติอาชญากรรมของ [หน่วยงาน A] เป็นการดำเนินการโดยใช้อำนาจตามพระราชบัญญัติตำรวจแห่งชาติ พ.ศ. 2565 และพระราชกฤษฎีกาแบ่งส่วนราชการสำนักงานตำรวจแห่งชาติ พ.ศ. 2552 ในการจัดทำทะเบียนประวัติอาชญากรของผู้กระทำผิดทั่วราชอาณาจักร อันเป็นการดำเนินงานตามกระบวนการยุติธรรมทางอาญา เพื่อรักษาความมั่นคงของรัฐและการรักษาความปลอดภัยของประชาชนภายใต้การควบคุมของหน่วยงานที่มีอำนาจตามกฎหมาย ซึ่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ไม่ใช้บังคับแก่การดำเนินการดังกล่าว ตามบทบัญญัติ [มาตรา 4](https://link.pdpalawbase.com/section/4.md) (2) และ (5) ประกอบ [มาตรา 26](https://link.pdpalawbase.com/section/26.md) วรรคสาม กรณีตามคำร้องเรียนจึงมิใช่กรณีที่ผู้ถูกร้องเรียนฝ่าฝืนหรือไม่ปฏิบัติตามกฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคล

## คำสั่ง

อาศัยอำนาจตามความใน [มาตรา 74](https://link.pdpalawbase.com/section/74.md) วรรคหนึ่ง แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ประกอบกับความในข้อ 14 (1) ของระเบียบคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลว่าด้วยการยื่น การไม่รับเรื่อง การยุติเรื่อง การพิจารณา และระยะเวลาในการพิจารณาคำร้องเรียน พ.ศ. 2565 คณะกรรมการผู้เชี่ยวชาญ คณะที่ 2 จึงมีคำสั่งไม่รับเรื่องร้องเรียน

สั่ง ณ วันที่ 19 กรกฎาคม พ.ศ. 2566

ประธานกรรมการผู้เชี่ยวชาญ คณะที่ 2

## เอกสารต้นฉบับ

- [PDF ต้นฉบับ (local)](../../raw/orders/order-6-2566-committee2.pdf)
- [ที่มา: pdpc.or.th](https://www.pdpc.or.th/wp-content/uploads/2025/01/PDPC-committee2-6.66-L2.pdf)

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/order/6-2566-committee2.md

============================================================
โนด: คำสั่ง 6/2567 (คณะ 1)
ลิงก์อ้างอิง: https://link.pdpalawbase.com/order/6-2567-committee1.md

# คำสั่งที่ 6/2567 (คณะที่ 1) — ตักเตือนการใช้ข้อมูลเพื่อการตลาดแบบตรงโดยไม่มีฐานทางกฎหมาย

## เรื่องร้องเรียน

- **ผู้ร้องเรียน:** [นางสาว ก.]
- **ผู้ถูกร้องเรียน:** [ธนาคาร A.]

คำร้องเรียนนี้สรุปความได้ว่า ผู้ร้องเรียนได้รับการติดต่อจากผู้ถูกร้องเรียน เมื่อวันที่ 6 กรกฎาคม 2566 เพื่อนำเสนอผลิตภัณฑ์เงินฝากของผู้ถูกร้องเรียน โดยผู้ร้องเรียนไม่ได้ให้ความยินยอมไว้ ซึ่งผู้ร้องเรียนได้ทักท้วงกรณีดังกล่าว และได้รับแจ้งจากเจ้าหน้าที่ของผู้ถูกร้องเรียนว่า การไม่ให้ความยินยอมที่ผู้ร้องเรียนแจ้งนั้นมีผลบังคับใช้เป็นระยะเวลา 6 เดือนนับแต่แจ้ง และข้อมูลดังกล่าวเป็นการใช้ข้อมูลในพื้นที่เฉพาะสาขาที่ระงับเท่านั้น เมื่อพ้นระยะเวลา 6 เดือนแล้ว เจ้าหน้าที่ของผู้ถูกร้องเรียนสามารถนำมาใช้ได้ อีกประการหนึ่ง ผู้ร้องเรียนได้ติดต่อผู้ถูกร้องเรียนทางหมายเลขโทรศัพท์ที่ประกาศไว้ เพื่อร้องเรียนปัญหาดังกล่าว แต่ปรากฏว่าหมายเลขโทรศัพท์ดังกล่าวไม่สามารถติดต่อเพื่อร้องเรียนได้ ผู้ร้องเรียนเห็นว่าการกระทำของเจ้าหน้าที่ของผู้ถูกร้องเรียน เป็นการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลโดยไม่เป็นไปตามที่กฎหมายกำหนด และไม่มีช่องทางในการร้องเรียนปัญหาดังกล่าว จึงร้องเรียนมายังคณะกรรมการผู้เชี่ยวชาญเพื่อพิจารณาดำเนินการ

## คำวินิจฉัย

คณะกรรมการผู้เชี่ยวชาญ คณะที่ 1 พิจารณาแล้วเห็นว่า ผู้ถูกร้องเรียนได้ใช้ข้อมูลส่วนบุคคลโดยไม่ได้รับความยินยอมจากเจ้าของข้อมูลส่วนบุคคลและไม่มีฐานทางกฎหมายอื่น ๆ ในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลของผู้ร้องเรียนตามที่พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 กำหนด ซึ่งการกระทำดังกล่าวเป็นการฝ่าฝืนไม่ปฏิบัติตาม [มาตรา 27](https://link.pdpalawbase.com/section/27.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 แต่การกระทำของผู้ถูกร้องเรียนเป็นเหตุที่เกิดขึ้นครั้งแรก ประกอบกับได้แก้ไขตามความประสงค์ของผู้ร้องเรียนแล้ว เห็นควรมีคำสั่งตักเตือนให้ผู้ถูกร้องเรียนจัดให้มีมาตรการที่เหมาะสม โดยทำการปรับปรุงกระบวนการ หรือเทคโนโลยี ให้มีประสิทธิภาพและความเหมาะสมในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลเพื่อวัตถุประสงค์เกี่ยวกับการตลาดแบบตรง โดยอย่างน้อยต้องมีกระบวนการพิจารณาตรวจสอบความยินยอมหรือฐานทางกฎหมายที่ใช้เพื่อวัตถุประสงค์เกี่ยวกับการตลาดแบบตรง ก่อนที่จะติดต่อสื่อสารเพื่อนำเสนอผลิตภัณฑ์ทางการตลาด รวมถึงการแจ้งวัตถุประสงค์และรายละเอียดต่าง ๆ ตาม [มาตรา 23](https://link.pdpalawbase.com/section/23.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 เพื่อให้การดำเนินงานสอดคล้องตามที่พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 กำหนดไว้อย่างเคร่งครัด

## คำสั่ง

อาศัยอำนาจตามความใน [มาตรา 90](https://link.pdpalawbase.com/section/90.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 คณะกรรมการผู้เชี่ยวชาญ คณะที่ 1 จึงมีคำสั่งตักเตือนและให้ผู้ถูกร้องเรียนแก้ไขการดำเนินงานให้เป็นไปตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 โดยให้แจ้งผลการปฏิบัติตามคำสั่ง ภายใน 30 วัน นับแต่วันที่ได้รับคำสั่ง

สั่ง ณ วันที่ 11 มีนาคม พ.ศ. 2567

ประธานกรรมการผู้เชี่ยวชาญ คณะที่ 1

## เอกสารต้นฉบับ

- [PDF ต้นฉบับ (local)](../../raw/orders/order-6-2567-committee1.pdf)
- [ที่มา: pdpc.or.th](https://www.pdpc.or.th/wp-content/uploads/2025/03/PDPC-Committee1-6.67.pdf)

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/order/6-2567-committee1.md

============================================================
โนด: คำสั่ง 6/2568 (คณะ 3)
ลิงก์อ้างอิง: https://link.pdpalawbase.com/order/6-2568-committee3.md

# คำสั่งที่ 6/2568 (คณะที่ 3) — ไม่รับเรื่องร้องเรียน กรณีเจ้าหน้าที่จับกุมในที่สาธารณะตามหมายจับ (ม.4 (5) ข้อยกเว้นกระบวนการยุติธรรมทางอาญา · ม.83 ป.วิ.อาญา)

## เรื่องร้องเรียน

- **ผู้ร้องเรียน:** [นางสาว ก.] ที่ 1 และ [นาย ข.] ที่ 2
- **ผู้ถูกร้องเรียน:** [หน่วยงาน A]

เรื่องร้องเรียนนี้สรุปความได้ว่า เจ้าหน้าที่ของผู้ถูกร้องเรียน ได้เข้าจับกุมผู้ร้องเรียนทั้งสองบริเวณประตูทางเข้าอาคารของผู้ถูกร้องเรียน โดยแจ้งรายละเอียดเกี่ยวกับเหตุแห่งการจับตามที่ปรากฏในหมายจับให้ผู้ร้องเรียนทั้งสองทราบ ซึ่งขณะนั้นมีประชาชนเข้ามาใช้บริการที่หน่วยงานของผู้ถูกร้องเรียน และอยู่บริเวณใกล้เคียงเป็นจำนวนมาก รวมถึงผู้ร้องเรียนทั้งสองอ้างว่า ไม่เคยได้รับหมายเรียกและทราบมาก่อนว่าตนเป็นผู้ต้องหาตามหมายจับดังกล่าว การกระทำของเจ้าหน้าที่ของผู้ถูกร้องเรียน เป็นการเปิดเผยข้อมูลส่วนบุคคลโดยมิชอบด้วยกฎหมาย เป็นเหตุให้ผู้ร้องเรียนทั้งสองได้รับความเสียหายต่อชื่อเสียง

## คำวินิจฉัย

คณะกรรมการผู้เชี่ยวชาญ คณะที่ 3 พิจารณาแล้วเห็นว่า การที่เจ้าหน้าที่ของผู้ถูกร้องเรียน เข้าจับกุมและแจ้งข้อความที่ปรากฏในหมายจับและสิทธิต่อผู้ร้องเรียนทั้งสอง ซึ่งเป็นผู้ที่จะถูกจับทราบ เป็นการดำเนินการตามวิธีทางกฎหมายในชั้นจับกุมโดยมีหมายจับ ในกรณีที่เจ้าหน้าที่ของผู้ถูกร้องเรียน เป็นผู้จับ ตามมาตรา 83 แห่งประมวลกฎหมายวิธีพิจารณาความอาญา ซึ่งกำหนดสาระสำคัญว่า ในการจับนั้น เจ้าหน้าที่ของผู้ถูกร้องเรียนซึ่งทำการจับต้องแจ้งแก่ผู้ที่จะถูกจับนั้นว่าเขาต้องถูกจับและต้องแจ้งข้อกล่าวหาให้ผู้ถูกจับทราบ หากมีหมายจับให้แสดงต่อผู้ถูกจับ พร้อมทั้งแจ้งด้วยว่า ผู้ถูกจับมีสิทธิที่จะไม่ให้การหรือให้การก็ได้และถ้อยคำของผู้ถูกจับนั้นอาจใช้เป็นพยานหลักฐานในการพิจารณาคดีได้ โดยมาตรา 83 ดังกล่าว ไม่ได้มีข้อจำกัดในเรื่องของการแจ้งหรืออ่านข้อความที่ปรากฏในหมายจับในพื้นที่สาธารณะหรือต่อหน้าธารกำนัลแต่อย่างใด ประกอบกับเมื่อข้อเท็จจริงไม่ได้ปรากฏเป็นอย่างอื่นซึ่งจะเป็นเหตุเชื่อมโยงอันเป็นผลให้ผู้ร้องเรียนทั้งสองได้รับความเสียหายจากการกระทำของเจ้าหน้าที่ของผู้ถูกร้องเรียนแล้ว การกระทำของเจ้าหน้าที่ของผู้ถูกร้องเรียนจึงเป็นการปฏิบัติหน้าที่ตามกฎหมายในการดำเนินงานตามกระบวนการยุติธรรมทางอาญา อันเข้าข้อยกเว้นตาม [มาตรา 4](https://link.pdpalawbase.com/section/4.md) (5) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ที่ไม่อยู่ภายใต้บังคับแห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562

## คำสั่ง

อาศัยอำนาจตามความใน [มาตรา 74](https://link.pdpalawbase.com/section/74.md) วรรคหนึ่ง แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 คณะกรรมการผู้เชี่ยวชาญ คณะที่ 3 จึงมีมติในคราวประชุม ครั้งที่ 4/2568 โดยมีคำสั่งไม่รับเรื่องร้องเรียนไว้พิจารณา

สั่ง ณ วันที่ 6 มิถุนายน พ.ศ. 2568

ประธานกรรมการผู้เชี่ยวชาญ คณะที่ 3

## เอกสารต้นฉบับ

- [PDF ต้นฉบับ (local)](../../raw/orders/order-6-2568-committee3.pdf)
- [ที่มา: pdpc.or.th](https://www.pdpc.or.th/wp-content/uploads/2026/03/PDPC-Committee3-6.68.pdf)

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/order/6-2568-committee3.md

============================================================
โนด: คำสั่ง 7/2566 (คณะ 1)
ลิงก์อ้างอิง: https://link.pdpalawbase.com/order/7-2566-committee1.md

# คำสั่งที่ 7/2566 (คณะที่ 1) — ยุติเรื่องร้องเรียน กรณีหักเงินจากบัญชีตามสัญญาประนีประนอมยอมความ

## เรื่องร้องเรียน

- **ผู้ร้องเรียน:** [นาย ก.]
- **ผู้ถูกร้องเรียน:** [ธนาคาร A]

คำร้องเรียนนี้สรุปความได้ว่า ผู้ร้องเรียนถูกหักเงินจากบัญชีเงินฝากประเภทสะสมทรัพย์ [เลขที่บัญชี] กับ [ธนาคาร A] โดยผู้ถูกร้องเรียนชี้แจงว่า เป็นการดำเนินการตามประมวลกฎหมายแพ่งและพาณิชย์ ในการหักกลบลบหนี้ตามสัญญาประนีประนอมยอมความ

## คำวินิจฉัย

คณะกรรมการผู้เชี่ยวชาญ คณะที่ 1 ได้ตรวจสอบแล้วปรากฏว่า ผู้ถูกร้องเรียนมีสิทธิในการเข้าถึง หรือใช้ข้อมูลส่วนบุคคลในฐานะผู้ควบคุมข้อมูลส่วนบุคคลโดยอาศัยอำนาจตาม [มาตรา 24](https://link.pdpalawbase.com/section/24.md) (3) เพื่อความจำเป็นในการปฏิบัติตามสัญญาประนีประนอมยอมความดังกล่าว เพื่อทราบข้อมูลในการบังคับชำระหนี้ตามสัญญาฉบับนั้น ดังนั้น ผู้ถูกร้องเรียนจึงสามารถเข้าถึงและใช้ข้อมูลส่วนบุคคลของผู้ร้องเรียนได้โดยไม่ได้กระทำผิดตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562

ในกรณีที่ผู้ถูกร้องเรียนหักเงินจากบัญชีเงินฝากของผู้ร้องเรียนโดยอ้างว่ากระทำการโดยใช้สิทธิตามที่ประมวลกฎหมายแพ่งและพาณิชย์บัญญัติไว้ในเรื่องการหักกลบลบหนี้ตามสัญญาประนีประนอมยอมความ ทั้งนี้ ในสัญญาประนีประนอมยอมความดังกล่าวกำหนดว่า "หากจำเลยผิดนัดชำระหนี้งวดใดงวดหนึ่ง ถือว่าจำเลยผิดนัดในงวดอื่น ๆ ทั้งหมดและให้โจทก์บังคับคดีเอากับจำเลยได้ทันที" มิปรากฏความใดกำหนดให้หักกลบลบหนี้จากบัญชีเงินฝากของผู้ร้องเรียนแต่อย่างใด ดังนั้น ผู้ถูกร้องเรียนมีสิทธิในการเข้าถึง หรือใช้ข้อมูลส่วนบุคคลจากบัญชีเงินฝากของผู้ร้องเรียนได้ แต่ไม่มีสิทธิในการหักกลบลบหนี้จากบัญชีเงินฝากนั้น ซึ่งหากผู้ร้องเรียนมีข้อโต้แย้งประการใด สามารถติดต่อหน่วยงานที่เกี่ยวข้องเพื่อดำเนินการตามกฎหมายอื่นที่เกี่ยวข้องได้

## คำสั่ง

อาศัยอำนาจตามความใน [มาตรา 74](https://link.pdpalawbase.com/section/74.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 คณะกรรมการผู้เชี่ยวชาญ คณะที่ 1 จึงมีคำสั่งยุติเรื่องร้องเรียน

สั่ง ณ วันที่ 31 ตุลาคม พ.ศ. 2566

ประธานกรรมการผู้เชี่ยวชาญ คณะที่ 1

## เอกสารต้นฉบับ

- [PDF ต้นฉบับ (local)](../../raw/orders/order-7-2566-committee1.pdf)
- [ที่มา: pdpc.or.th](https://www.pdpc.or.th/wp-content/uploads/2024/11/PDPC-Committee1-7.66.pdf)

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/order/7-2566-committee1.md

============================================================
โนด: คำสั่ง 7/2566 (คณะ 2)
ลิงก์อ้างอิง: https://link.pdpalawbase.com/order/7-2566-committee2.md

# คำสั่งที่ 7/2566 (คณะที่ 2) — ไม่รับเรื่องร้องเรียน กรณีทะเบียนประวัติอาชญากรในความดูแลของหน่วยงานตามกฎหมายตำรวจ

## เรื่องร้องเรียน

- **ผู้ร้องเรียน:** [นาย ก.]
- **ผู้ถูกร้องเรียน:** [หน่วยงาน A]

คำร้องเรียนนี้สรุปความได้ว่า ผู้ร้องเรียนเคยต้องโทษตามคำพิพากษา [ข้อมูลเกี่ยวกับประวัติอาชญากรรม] โดยร้องเรียนว่าผู้ถูกร้องเรียนดำเนินการจัดเก็บข้อมูลส่วนบุคคลโดยไม่ได้ขอความยินยอมจากผู้ร้องเรียนซึ่งเป็นเจ้าของข้อมูลส่วนบุคคลและได้พ้นโทษตามคำพิพากษาแล้ว แต่ข้อมูลของผู้ร้องเรียนยังมีอยู่ในทะเบียนประวัติอาชญากร จึงมีความประสงค์ให้ผู้ถูกร้องเรียนลบประวัติข้อมูลอาชญากรออกจากฐานข้อมูลผู้ถูกร้องเรียน

## คำวินิจฉัย

คณะกรรมการผู้เชี่ยวชาญ คณะที่ 2 พิจารณาแล้วเห็นว่า การจัดเก็บข้อมูลเกี่ยวกับประวัติอาชญากรรมของ [หน่วยงาน A] เป็นการดำเนินการโดยใช้อำนาจตามพระราชบัญญัติตำรวจแห่งชาติ พ.ศ. 2565 และพระราชกฤษฎีกาแบ่งส่วนราชการสำนักงานตำรวจแห่งชาติ พ.ศ. 2552 ในการจัดทำทะเบียนประวัติอาชญากรของผู้กระทำผิดทั่วราชอาณาจักร อันเป็นการดำเนินงานตามกระบวนการยุติธรรมทางอาญา เพื่อรักษาความมั่นคงของรัฐและการรักษาความปลอดภัยของประชาชนภายใต้การควบคุมของหน่วยงานที่มีอำนาจตามกฎหมาย ซึ่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ไม่ใช้บังคับแก่การดำเนินการดังกล่าว ตามบทบัญญัติ [มาตรา 4](https://link.pdpalawbase.com/section/4.md) (2) และ (5) ประกอบ [มาตรา 26](https://link.pdpalawbase.com/section/26.md) วรรคสาม กรณีตามคำร้องเรียนจึงมิใช่กรณีที่ผู้ถูกร้องเรียนฝ่าฝืนหรือไม่ปฏิบัติตามกฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคล

## คำสั่ง

อาศัยอำนาจตามความใน [มาตรา 74](https://link.pdpalawbase.com/section/74.md) วรรคหนึ่ง แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ประกอบกับความในข้อ 14 (1) ของระเบียบคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล ว่าด้วยการยื่น การไม่รับเรื่อง การยุติเรื่อง การพิจารณา และระยะเวลาในการพิจารณาคำร้องเรียน พ.ศ. 2565 คณะกรรมการผู้เชี่ยวชาญ คณะที่ 2 จึงมีคำสั่งไม่รับเรื่องร้องเรียน

สั่ง ณ วันที่ 19 กรกฎาคม พ.ศ. 2566

ประธานกรรมการผู้เชี่ยวชาญ คณะที่ 2

## เอกสารต้นฉบับ

- [PDF ต้นฉบับ (local)](../../raw/orders/order-7-2566-committee2.pdf)
- [ที่มา: pdpc.or.th](https://www.pdpc.or.th/wp-content/uploads/2025/01/PDPC-committee2-7.66-L2.pdf)

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/order/7-2566-committee2.md

============================================================
โนด: คำสั่ง 7/2567 (คณะ 1)
ลิงก์อ้างอิง: https://link.pdpalawbase.com/order/7-2567-committee1.md

# คำสั่งที่ 7/2567 (คณะที่ 1) — ยุติเรื่องร้องเรียน กรณีสแกนสำเนาบัตรประชาชนเพื่อปิดบัญชีธนาคารโดยฐานประโยชน์โดยชอบด้วยกฎหมาย

## เรื่องร้องเรียน

- **ผู้ร้องเรียน:** [นาย ก.]
- **ผู้ถูกร้องเรียน:** [ธนาคาร A]

คำร้องเรียนนี้สรุปความได้ว่า ผู้ร้องเรียนได้ติดต่อผู้ถูกร้องเรียนเพื่อขอทำธุรกรรมปิดบัญชีธนาคาร และเจ้าหน้าที่ของผู้ถูกร้องเรียนได้นำบัตรประชาชนของผู้ร้องเรียนไปสแกน ซึ่งผู้ร้องเรียนกล่าวอ้างว่าเจ้าหน้าที่ของผู้ถูกร้องเรียนได้จัดเก็บสำเนาโดยปราศจากการลงนามรับรองและระบุวัตถุประสงค์การใช้เอกสาร ผู้ร้องเรียนมีความประสงค์ที่จะให้ผู้ถูกร้องเรียนลบและทำลายข้อมูลส่วนบุคคลดังกล่าว

## คำวินิจฉัย

คณะกรรมการผู้เชี่ยวชาญ คณะที่ 1 พิจารณาแล้วเห็นว่า ผู้ถูกร้องเรียนมีสถานะเป็นผู้ควบคุมข้อมูลส่วนบุคคล มาตรา 6 แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 กรณีเจ้าหน้าที่ของผู้ถูกร้องเรียนนำบัตรประชาชนของผู้ร้องเรียนไปทำสำเนาเพื่อทำการปิดบัญชีธนาคารตามคำร้องของผู้ร้องเรียนโดยปราศจากการลงนามรับรองและระบุวัตถุประสงค์การใช้เอกสาร การกระทำของผู้ถูกร้องเรียนนั้นเป็นการจำเป็นเพื่อประโยชน์โดยชอบด้วยกฎหมายของผู้ควบคุมข้อมูลส่วนบุคคล ซึ่งประโยชน์ดังกล่าวมีความสำคัญไม่น้อยกว่าสิทธิขั้นพื้นฐานในข้อมูลส่วนบุคคลของเจ้าของข้อมูลส่วนบุคคล จึงเข้าข้อยกเว้นตาม [มาตรา 24](https://link.pdpalawbase.com/section/24.md) (5) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล โดยไม่ต้องได้รับความยินยอมจากเจ้าของข้อมูลส่วนบุคคล และการดำเนินการดังกล่าวยังเป็นการปฏิบัติตามระเบียบวิธีปฏิบัติของธนาคารเป็นไปเพื่อประโยชน์โดยชอบด้วยกฎหมายของผู้ขอเปิดบัญชีอีกด้วย อีกทั้งผู้ถูกร้องเรียนได้มีการลบและทำลายข้อมูลส่วนบุคคลดังกล่าวของผู้ร้องเรียนเมื่อพ้นกำหนดระยะเวลา 7 วันนับแต่วันทำรายการปิดบัญชีเมื่อวันที่ 23 มกราคม 2566 ตามวิธีปฏิบัติงานของธนาคาร และตามความประสงค์ของผู้ร้องเรียนแล้ว ดังนั้น การเก็บรวบรวมข้อมูลดังกล่าวจึงไม่เกินกว่าความจำเป็นภายใต้วัตถุประสงค์อันชอบด้วยกฎหมายของผู้ถูกร้องเรียน และเป็นการปฏิบัติโดยชอบตาม [มาตรา 22](https://link.pdpalawbase.com/section/22.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562

## คำสั่ง

อาศัยอำนาจตามความใน [มาตรา 74](https://link.pdpalawbase.com/section/74.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 คณะกรรมการผู้เชี่ยวชาญ คณะที่ 1 จึงมีคำสั่งยุติเรื่องร้องเรียน

สั่ง ณ วันที่ 11 มีนาคม พ.ศ. 2567

ประธานกรรมการผู้เชี่ยวชาญ คณะที่ 1

## เอกสารต้นฉบับ

- [PDF ต้นฉบับ (local)](../../raw/orders/order-7-2567-committee1.pdf)
- [ที่มา: pdpc.or.th](https://www.pdpc.or.th/wp-content/uploads/2025/03/PDPC-committee1-7.67-1.pdf)

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/order/7-2567-committee1.md

============================================================
โนด: คำสั่ง 7/2568 (คณะ 3)
ลิงก์อ้างอิง: https://link.pdpalawbase.com/order/7-2568-committee3.md

# คำสั่งที่ 7/2568 (คณะที่ 3) — ไม่รับเรื่องร้องเรียน กรณีตรวจค้นทะเบียนราษฎรเมื่อสิงหาคม 2564 (เหตุการณ์เกิดก่อน PDPA บังคับใช้ + หน่วยงานของรัฐในบัญชี พ.ร.ฎ. ยกเว้น ฉบับที่ 2 พ.ศ. 2564 · ข้อ 13(3) ระเบียบ คคส. 2565)

## เรื่องร้องเรียน

- **ผู้ร้องเรียน:** [นาย ก.]
- **ผู้ถูกร้องเรียน:** [หน่วยงาน A]

คำร้องเรียนนี้สรุปความได้ว่า เมื่อวันที่ 2 สิงหาคม 2564 ผู้ถูกร้องเรียนได้ตรวจค้นฐานข้อมูลทะเบียนราษฎรของผู้ร้องเรียน และนำไปเปิดเผยต่อบุคคลอื่นโดยไม่ได้รับความยินยอม ทำให้ผู้ร้องเรียนได้รับความเสียหาย โดยผู้ร้องเรียนประสงค์ให้ผู้ถูกร้องเรียนมีมาตรการรักษาความมั่นคงปลอดภัยของข้อมูลส่วนบุคคลที่เหมาะสม เพื่อป้องกันการเข้าถึง ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลโดยมิชอบ

## คำวินิจฉัย

คณะกรรมการผู้เชี่ยวชาญ คณะที่ 3 พิจารณาแล้วเห็นว่า เหตุการละเมิดข้อมูลส่วนบุคคลเกิดขึ้นเมื่อเดือนสิงหาคม 2564 จึงเป็นกรณีที่เกิดขึ้นก่อนที่พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 มีผลใช้บังคับ ตามมาตรา 2 แห่งพระราชกฤษฎีกากำหนดหน่วยงานและกิจการที่ผู้ควบคุมข้อมูลส่วนบุคคลไม่อยู่ภายใต้บังคับแห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 พ.ศ. 2563 และพระราชกฤษฎีกากำหนดหน่วยงานและกิจการที่ผู้ควบคุมข้อมูลส่วนบุคคล ไม่อยู่ภายใต้บังคับแห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล ฉบับที่ 2 พ.ศ. 2564 ประกอบกับผู้ถูกร้องเรียนเป็นหน่วยงานของรัฐตามบัญชีท้ายพระราชกฤษฎีกาดังกล่าว ดังนั้น กรณีตามคำร้องเรียนดังกล่าวจึงไม่อยู่ภายใต้บังคับแห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562

## คำสั่ง

อาศัยอำนาจตามความใน [มาตรา 74](https://link.pdpalawbase.com/section/74.md) วรรคหนึ่ง แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ประกอบข้อ 13 (3) ของระเบียบคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล ว่าด้วยการยื่น การไม่รับเรื่อง การยุติเรื่อง การพิจารณา และระยะเวลาในการพิจารณาคำร้องเรียน พ.ศ. 2565 คณะกรรมการผู้เชี่ยวชาญ คณะที่ 3 จึงมีมติในคราวประชุม ครั้งที่ 4/2568 โดยมีคำสั่งไม่รับเรื่องร้องเรียนไว้พิจารณา

สั่ง ณ วันที่ 9 มิถุนายน พ.ศ. 2568

ประธานกรรมการผู้เชี่ยวชาญ คณะที่ 3

## เอกสารต้นฉบับ

- [PDF ต้นฉบับ (local)](../../raw/orders/order-7-2568-committee3.pdf)
- [ที่มา: pdpc.or.th](https://www.pdpc.or.th/wp-content/uploads/2026/03/PDPC-Committee3-7.68.pdf)

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/order/7-2568-committee3.md

============================================================
โนด: คำสั่ง 8/2566 (คณะ 2)
ลิงก์อ้างอิง: https://link.pdpalawbase.com/order/8-2566-committee2.md

# คำสั่งที่ 8/2566 (คณะที่ 2) — ไม่รับเรื่องร้องเรียน กรณีทะเบียนประวัติอาชญากรในความดูแลของหน่วยงานตามกฎหมายตำรวจ

## เรื่องร้องเรียน

- **ผู้ร้องเรียน:** [นาย ก.]
- **ผู้ถูกร้องเรียน:** [หน่วยงาน A]

คำร้องเรียนนี้สรุปความได้ว่า ผู้ร้องเรียนเคยต้องโทษตามคำพิพากษา [ข้อมูลเกี่ยวกับประวัติอาชญากรรม] โดยร้องเรียนว่า ผู้ถูกร้องเรียนดำเนินการจัดเก็บข้อมูลส่วนบุคคลโดยไม่ได้ขอความยินยอมจากผู้ร้องเรียน ซึ่งเป็นเจ้าของข้อมูลส่วนบุคคลและได้พ้นโทษตามคำพิพากษาแล้ว แต่ข้อมูลของผู้ร้องเรียนยังมีอยู่ในทะเบียนประวัติอาชญากร จึงมีความประสงค์ให้ผู้ถูกร้องเรียนลบประวัติข้อมูลอาชญากรออกจากฐานข้อมูลผู้ถูกร้องเรียน

## คำวินิจฉัย

คณะกรรมการผู้เชี่ยวชาญ คณะที่ 2 พิจารณาแล้วเห็นว่า การจัดเก็บข้อมูลเกี่ยวกับประวัติอาชญากรรมของ [หน่วยงาน A] เป็นการดำเนินการโดยใช้อำนาจตามพระราชบัญญัติตำรวจแห่งชาติ พ.ศ. 2565 และพระราชกฤษฎีกาแบ่งส่วนราชการสำนักงานตำรวจแห่งชาติ พ.ศ. 2552 ในการจัดทำทะเบียนประวัติอาชญากรของผู้กระทำผิดทั่วราชอาณาจักร อันเป็นการดำเนินงานตามกระบวนการยุติธรรมทางอาญา เพื่อรักษาความมั่นคงของรัฐและการรักษาความปลอดภัยของประชาชนภายใต้การควบคุมของหน่วยงานที่มีอำนาจตามกฎหมาย ซึ่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ไม่ใช้บังคับแก่การดำเนินการดังกล่าว ตามบทบัญญัติ [มาตรา 4](https://link.pdpalawbase.com/section/4.md) (2) และ (5) ประกอบ [มาตรา 26](https://link.pdpalawbase.com/section/26.md) วรรคสาม กรณีตามคำร้องเรียนจึงมิใช่กรณีที่ผู้ถูกร้องเรียนฝ่าฝืนหรือไม่ปฏิบัติตามกฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคล

## คำสั่ง

อาศัยอำนาจตามความใน [มาตรา 74](https://link.pdpalawbase.com/section/74.md) วรรคหนึ่ง แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ประกอบกับความในข้อ 14 (1) ของระเบียบคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลว่าด้วยการยื่น การไม่รับเรื่อง การยุติเรื่อง การพิจารณา และระยะเวลาในการพิจารณาคำร้องเรียน พ.ศ. 2565 คณะกรรมการผู้เชี่ยวชาญ คณะที่ 2 จึงมีคำสั่งไม่รับเรื่องร้องเรียน

สั่ง ณ วันที่ 19 กรกฎาคม พ.ศ. 2566

ประธานกรรมการผู้เชี่ยวชาญ คณะที่ 2

## เอกสารต้นฉบับ

- [PDF ต้นฉบับ (local)](../../raw/orders/order-8-2566-committee2.pdf)
- [ที่มา: pdpc.or.th](https://www.pdpc.or.th/wp-content/uploads/2025/01/PDPC-committee2-8.66-L2.pdf)

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/order/8-2566-committee2.md

============================================================
โนด: คำสั่ง 8/2567 (คณะ 1)
ลิงก์อ้างอิง: https://link.pdpalawbase.com/order/8-2567-committee1.md

# คำสั่งที่ 8/2567 (คณะที่ 1) — ให้ผู้ถูกร้องเรียนปฏิบัติตาม พ.ร.บ. คุ้มครองข้อมูลส่วนบุคคลอย่างเคร่งครัด กรณีติดต่อขายผลิตภัณฑ์หลังถอนความยินยอม

## เรื่องร้องเรียน

- **ผู้ร้องเรียน:** [นาย ก.]
- **ผู้ถูกร้องเรียน:** [ธนาคาร A]

คำร้องเรียนนี้สรุปความได้ว่า ผู้ถูกร้องเรียนได้มีการติดต่อหาผู้ร้องเรียนเพื่อชักชวนสมัครทำบัตรเครดิต ซึ่งทางผู้ร้องเรียนแจ้งว่าไม่เคยให้ความยินยอมในการติดต่อขายผลิตภัณฑ์ใด ๆ กับผู้ถูกร้องเรียนแต่อย่างใด หลังจากนั้นผู้ร้องเรียนจึงได้ยกเลิกการให้ความยินยอมข้อมูลส่วนบุคคลและผู้ถูกร้องเรียนได้ส่งข้อความกลับมายืนยันการยกเลิกดังกล่าว ต่อมาหลังจากผู้ร้องเรียนยกเลิกการให้ความยินยอมแล้ว ยังคงมีเจ้าหน้าที่ของผู้ถูกร้องเรียนติดต่อมาขายผลิตภัณฑ์เช่นเดิม จึงเชื่อว่าผู้ถูกร้องเรียนไม่ได้ปฏิบัติตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562

## คำวินิจฉัย

คณะกรรมการผู้เชี่ยวชาญ คณะที่ 1 พิจารณาแล้วเห็นว่า ผู้ถูกร้องเรียนมีสถานะเป็นผู้ควบคุมข้อมูลส่วนบุคคลตามมาตรา 6 แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 กรณีเจ้าหน้าที่ของผู้ถูกร้องเรียนได้ติดต่อไปยังผู้ร้องเรียนเพื่อชักชวนให้ทำบัตรผลิตภัณฑ์ดังกล่าว ถือเป็นการฝ่าฝืนไม่ปฏิบัติตามกฎหมาย เนื่องจากผู้ร้องเรียนถอนความยินยอมในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลไปแล้ว ผู้ถูกร้องเรียนจึงไม่มีอำนาจเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลตามกฎหมายอีกต่อไปตาม [มาตรา 19](https://link.pdpalawbase.com/section/19.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 แต่ผู้ถูกร้องเรียนยังคงติดต่อผู้ร้องเรียนเพื่อขายผลิตภัณฑ์อยู่ การกระทำดังกล่าวจึงเป็นการไม่ปฏิบัติตาม [มาตรา 27](https://link.pdpalawbase.com/section/27.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ซึ่งต่อมาผู้ถูกร้องเรียนและผู้ร้องเรียนได้ประนีประนอมยอมความกันแล้ว

## คำสั่ง

อาศัยอำนาจตามความใน [มาตรา 74](https://link.pdpalawbase.com/section/74.md) (1) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ประกอบกับความใน ข้อ 16 ของระเบียบคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล ว่าด้วยการยื่น การไม่รับเรื่อง การยุติเรื่อง การพิจารณา และระยะเวลาในการพิจารณาคำร้องเรียน พ.ศ. 2565 และความในข้อ 4 (7) แห่งประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง มาตรการรักษาความปลอดภัยของผู้ควบคุมข้อมูลส่วนบุคคล พ.ศ. 2565 คณะกรรมการผู้เชี่ยวชาญ คณะที่ 1 จึงมีคำสั่งดังนี้

1. ให้ผู้ถูกร้องเรียนจัดให้มีการสร้างเสริมความตระหนักรู้ด้านความสำคัญของการคุ้มครองข้อมูลส่วนบุคคลและการรักษาความมั่นคงปลอดภัยของข้อมูลส่วนบุคคลให้บุคลากร พนักงาน เจ้าหน้าที่ ที่เกี่ยวข้องกับการเข้าถึง เก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลทราบและถือปฏิบัติตาม [มาตรา 37](https://link.pdpalawbase.com/section/37.md) (1) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ประกอบความใน ข้อ 4 (7) แห่งประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง มาตรการรักษาความมั่นคงปลอดภัยของผู้ควบคุมข้อมูลส่วนบุคคล พ.ศ. 2565

2. ให้ปรับปรุงแก้ไขการบริหารจัดการคำร้องหรือคำขอต่าง ๆ ที่เกี่ยวข้องกับสิทธิต่าง ๆ ของเจ้าของข้อมูลส่วนบุคคลให้สอดคล้องกับกฎหมายและความคาดหวังโดยสมเหตุสมผลของเจ้าของข้อมูลส่วนบุคคล โดยเฉพาะเรื่องระยะเวลาในการดำเนินการเพื่อให้การถอนความยินยอมมีผลใช้บังคับเพื่อให้มีระยะเวลาการถอนที่รวดเร็วมากยิ่งขึ้นและมีประสิทธิภาพ

3. เมื่อได้ดำเนินการแล้วให้รายงานผลการปฏิบัติต่อคณะกรรมการผู้เชี่ยวชาญ สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล ภายใน 30 วัน นับแต่วันที่ได้รับคำสั่ง

สั่ง ณ วันที่ 11 มีนาคม พ.ศ. 2567

ประธานกรรมการผู้เชี่ยวชาญ คณะที่ 1

## เอกสารต้นฉบับ

- [PDF ต้นฉบับ (local)](../../raw/orders/order-8-2567-committee1.pdf)
- [ที่มา: pdpc.or.th](https://www.pdpc.or.th/wp-content/uploads/2025/03/PDPC-committee1-8.67.pdf)

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/order/8-2567-committee1.md

============================================================
โนด: คำสั่ง 8/2568 (คณะ 2)
ลิงก์อ้างอิง: https://link.pdpalawbase.com/order/8-2568-committee2.md

# คำสั่งที่ 8/2568 (คณะที่ 2) — ยุติเรื่องร้องเรียน กรณีบริษัทเช่าห้องพักโพสต์บัตรประชาชนผู้เช่าใน Facebook ทวงค่าเสียหาย (ฝ่าฝืน ม.27 ว.1 · ระงับเผยแพร่แล้ว)

## เรื่องร้องเรียน

- **ผู้ร้องเรียน:** [นาย ก.]
- **ผู้ถูกร้องเรียน:** [บริษัท A]

เรื่องร้องเรียนนี้สรุปความได้ว่า ผู้ร้องเรียนเข้าทำสัญญาเช่าห้องพักอาศัยกับผู้ถูกร้องเรียน ต่อมาผู้ร้องเรียนละเมิดสัญญาเช่า และไม่สามารถติดต่อได้ ผู้ถูกร้องเรียนจึงเปิดเผยข้อมูลส่วนบุคคลของผู้ร้องเรียน ได้แก่ ภาพถ่ายบัตรประจำตัวประชาชนของผู้ร้องเรียน ซึ่งปรากฏชื่อตัว ชื่อสกุล ที่อยู่ วันเดือนปีเกิด และภาพโพรไฟล์เฟซบุ๊กของผู้ร้องเรียน ผ่านช่องทางเฟซบุ๊กบัญชีผู้ใช้ชื่อ [ชื่อบัญชีผู้ใช้] เพื่อต้องการให้ผู้ร้องเรียนชำระค่าเสียหายจากการละเมิดสัญญา โดยผู้ร้องเรียนแจ้งให้ผู้ถูกร้องเรียนลบโพสต์ดังกล่าว แต่ผู้ถูกร้องเรียนเพิกเฉย ทำให้ผู้ร้องเรียนได้รับความเสื่อมเสียอับอาย จึงต้องการให้ผู้ถูกร้องเรียนดำเนินการลบหรือทำลายข้อมูลส่วนบุคคลและรับผิดชอบต่อความเสียหายที่เกิดแก่ผู้ร้องเรียน

## คำวินิจฉัย

คณะกรรมการผู้เชี่ยวชาญ คณะที่ 2 พิจารณาแล้วเห็นว่า ผู้ถูกร้องเรียนเป็นผู้ให้เช่าห้องพัก มีฐานะเป็นนิติบุคคล ซึ่งมีอำนาจหน้าที่ตัดสินใจเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล ถือว่าผู้ถูกร้องเรียนเป็นผู้ควบคุมข้อมูลส่วนบุคคลตาม [มาตรา 6](https://link.pdpalawbase.com/section/6.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 การที่ผู้ถูกร้องเรียนเก็บรวบรวมข้อมูลส่วนบุคคลจากการทำสัญญาเช่าห้องพักโดยมีวัตถุประสงค์ในการทำสัญญาและใช้สำหรับการติดต่อกับผู้ร้องเรียนเกี่ยวกับการเช่าห้องพัก เป็นการจำเป็นเพื่อการปฏิบัติตามสัญญาซึ่งเจ้าของข้อมูลส่วนบุคคลเป็นคู่สัญญาตาม [มาตรา 24](https://link.pdpalawbase.com/section/24.md) (3) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 แต่การกระทำของผู้ถูกร้องเรียนในฐานะผู้ควบคุมข้อมูลส่วนบุคคล เป็นการใช้ข้อมูลส่วนบุคคลไม่ถูกต้องตามวัตถุประสงค์แห่งสัญญาและเปิดเผยข้อมูลส่วนบุคคล โดยไม่ได้รับความยินยอมจากผู้ร้องเรียน จึงเป็นการที่ผู้ควบคุมข้อมูลส่วนบุคคลฝ่าฝืนหรือไม่ปฏิบัติตาม [มาตรา 27](https://link.pdpalawbase.com/section/27.md) วรรคหนึ่ง แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 แต่อย่างไรก็ดี ผู้ถูกร้องเรียนในฐานะผู้ควบคุมข้อมูลส่วนบุคคลได้ปฏิบัติตามคำขอของผู้ร้องเรียนแล้ว โดยระงับการเผยแพร่ข้อมูลส่วนบุคคลของผู้ร้องเรียนจากบัญชีเฟซบุ๊กดังกล่าวจึงไม่มีประเด็นที่จะต้องพิจารณาต่อไป

## คำสั่ง

อาศัยอำนาจตามความใน [มาตรา 74](https://link.pdpalawbase.com/section/74.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ประกอบกับตามความในข้อ 13 (6) ของระเบียบคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล ว่าด้วยการยื่น การไม่รับเรื่อง การยุติเรื่อง การพิจารณา และระยะเวลาในการพิจารณาคำร้องเรียน พ.ศ. 2565 คณะกรรมการผู้เชี่ยวชาญ คณะที่ 2 จึงมีคำสั่งยุติเรื่องร้องเรียน

สั่ง ณ วันที่ 24 มกราคม พ.ศ. 2568

ประธานกรรมการผู้เชี่ยวชาญ คณะที่ 2

## เอกสารต้นฉบับ

- [PDF ต้นฉบับ (local)](../../raw/orders/order-8-2568-committee2.pdf)
- [ที่มา: pdpc.or.th](https://www.pdpc.or.th/wp-content/uploads/2026/01/PDPC-Committee2-8.68.pdf)

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/order/8-2568-committee2.md

============================================================
โนด: คำสั่ง 9/2566 (คณะ 2)
ลิงก์อ้างอิง: https://link.pdpalawbase.com/order/9-2566-committee2.md

# คำสั่งที่ 9/2566 (คณะที่ 2) — ไม่รับเรื่องร้องเรียน กรณีทะเบียนประวัติอาชญากรในความดูแลของหน่วยงานตามกฎหมายตำรวจ

## เรื่องร้องเรียน

- **ผู้ร้องเรียน:** [นาย ก.]
- **ผู้ถูกร้องเรียน:** [หน่วยงาน A]

คำร้องเรียนนี้สรุปความได้ว่า ผู้ร้องเรียนเคยต้องโทษตามคำพิพากษา [ข้อมูลเกี่ยวกับประวัติอาชญากรรม] โดยร้องเรียนว่าผู้ถูกร้องเรียนดำเนินการจัดเก็บข้อมูลส่วนบุคคลโดยไม่ได้ขอความยินยอมจากผู้ร้องเรียน ซึ่งเป็นเจ้าของข้อมูลส่วนบุคคลและได้พ้นโทษตามคำพิพากษาแล้ว แต่ข้อมูลของผู้ร้องเรียนยังมีอยู่ในทะเบียนประวัติอาชญากร จึงมีความประสงค์ให้ผู้ถูกร้องเรียนลบประวัติข้อมูลอาชญากรออกจากฐานข้อมูล

## คำวินิจฉัย

คณะกรรมการผู้เชี่ยวชาญ คณะที่ 2 พิจารณาแล้วเห็นว่า การจัดเก็บข้อมูลเกี่ยวกับประวัติอาชญากรรมของ [หน่วยงาน A] เป็นการดำเนินการโดยใช้อำนาจตามพระราชบัญญัติตำรวจแห่งชาติ พ.ศ. 2565 และพระราชกฤษฎีกาแบ่งส่วนราชการสำนักงานตำรวจแห่งชาติ พ.ศ. 2552 ในการจัดทำทะเบียนประวัติอาชญากรของผู้กระทำผิดทั่วราชอาณาจักร อันเป็นการดำเนินงานตามกระบวนการยุติธรรมทางอาญา เพื่อรักษาความมั่นคงของรัฐและการรักษาความปลอดภัยของประชาชนภายใต้การควบคุมของหน่วยงานที่มีอำนาจตามกฎหมาย ซึ่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ไม่ใช้บังคับแก่การดำเนินการดังกล่าว ตามบทบัญญัติ [มาตรา 4](https://link.pdpalawbase.com/section/4.md) (2) และ (5) ประกอบ [มาตรา 26](https://link.pdpalawbase.com/section/26.md) วรรคสาม กรณีตามคำร้องเรียนจึงมิใช่กรณีที่ผู้ถูกร้องเรียนฝ่าฝืนหรือไม่ปฏิบัติตามกฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคล

## คำสั่ง

อาศัยอำนาจตามความใน [มาตรา 74](https://link.pdpalawbase.com/section/74.md) วรรคหนึ่ง แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ประกอบกับความในข้อ 14 (1) ของระเบียบคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลว่าด้วยการยื่น การไม่รับเรื่อง การยุติเรื่อง การพิจารณา และระยะเวลาในการพิจารณาคำร้องเรียน พ.ศ. 2565 คณะกรรมการผู้เชี่ยวชาญ คณะที่ 2 จึงมีคำสั่งไม่รับเรื่องร้องเรียน

สั่ง ณ วันที่ 19 กรกฎาคม พ.ศ. 2566

ประธานกรรมการผู้เชี่ยวชาญ คณะที่ 2

## เอกสารต้นฉบับ

- [PDF ต้นฉบับ (local)](../../raw/orders/order-9-2566-committee2.pdf)
- [ที่มา: pdpc.or.th](https://www.pdpc.or.th/wp-content/uploads/2025/01/PDPC-committee2-9.66-L2.pdf)

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/order/9-2566-committee2.md

============================================================
โนด: คำสั่ง 10/2567 (คณะ 2)
ลิงก์อ้างอิง: https://link.pdpalawbase.com/order/10-2567-committee2.md

# คำสั่งที่ 10/2567 (คณะที่ 2) — ยุติเรื่องร้องเรียน กรณีถ่ายภาพ/วิดีโอนักเรียนในโรงเรียน (ม.4(1) ประโยชน์ส่วนตน · ไม่อยู่ในอำนาจคณะกรรมการ)

## เรื่องร้องเรียน

- **ผู้ร้องเรียน:** [นาย ก.]
- **ผู้ถูกร้องเรียน:** [นาย A.]

คำร้องเรียนนี้สรุปความได้ว่า ผู้ร้องเรียนซึ่งเป็นบิดาและผู้ใช้อำนาจปกครองของนักเรียน ร้องเรียนว่า เมื่อวันอังคารที่ 23 มิถุนายน 2565 เวลาประมาณ 10.12 น. ผู้ถูกร้องเรียนซึ่งได้เข้ามาภายในบริเวณโรงเรียน ได้นำโทรศัพท์มือถือด้านที่มีกล้องหันไปทางนักเรียน พร้อมทั้งบันทึกภาพถ่ายและวิดีโอของนักเรียน โดยที่ผู้ร้องเรียนและนักเรียนไม่ได้ให้ความยินยอม ทำให้ได้รับความเสียหาย

## คำวินิจฉัย

คณะกรรมการผู้เชี่ยวชาญ คณะที่ 2 ได้ตรวจสอบพยานหลักฐานจากกล้องวงจรปิด (CCTV) ประกอบกับคำชี้แจงเพิ่มเติมจากพยานซึ่งเป็นบุคลากรของโรงเรียน เจ้าหน้าที่เทศกิจซึ่งอยู่ในเหตุการณ์ และการสอบถามข้อเท็จจริงเพิ่มเติมจากผู้ถูกร้องเรียน พิจารณาแล้วเห็นว่า ไม่มีพยานหลักฐานที่เป็นประจักษ์ชัดเจนว่า ผู้ถูกร้องเรียนได้กระทำความผิดตามที่ผู้ร้องเรียนกล่าวอ้าง โดยผู้ถูกร้องเรียนชี้แจงว่าได้ใช้โทรศัพท์เคลื่อนที่บันทึกภาพถ่ายและวิดีโอเจ้าหน้าที่เทศกิจซึ่งอยู่ในเหตุการณ์ ขณะปฏิบัติหน้าที่ตรวจสอบการบุกรุกลำรางสาธารณะของโรงเรียนที่มีข้อพิพาทกัน ไม่ได้มีเจตนาบันทึกภาพถ่ายและวิดีโอบุคคลอื่น และการที่บันทึกภาพถ่ายหรือวิดีโอดังกล่าว ไม่ได้นำไปเปิดเผยแต่อย่างใด กรณีดังกล่าวจึงเป็นการที่ผู้ถูกร้องเรียนได้เก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลเพื่อประโยชน์ส่วนตนตาม [มาตรา 4](https://link.pdpalawbase.com/section/4.md) (1) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ซึ่งไม่อยู่ภายใต้อำนาจการพิจารณาวินิจฉัยของคณะกรรมการผู้เชี่ยวชาญ

## คำสั่ง

อาศัยอำนาจตามความใน [มาตรา 74](https://link.pdpalawbase.com/section/74.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 คณะกรรมการผู้เชี่ยวชาญ คณะที่ 2 จึงมีคำสั่งยุติเรื่องร้องเรียน

สั่ง ณ วันที่ 23 กุมภาพันธ์ พ.ศ. 2567

ประธานกรรมการผู้เชี่ยวชาญ คณะที่ 2

## เอกสารต้นฉบับ

- [PDF ต้นฉบับ (local)](../../raw/orders/order-10-2567-committee2.pdf)
- [ที่มา: pdpc.or.th](https://www.pdpc.or.th/wp-content/uploads/2025/03/PDPC-Committee2-10.67.pdf)

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/order/10-2567-committee2.md

============================================================
โนด: คำสั่ง 11/2568 (คณะ 3)
ลิงก์อ้างอิง: https://link.pdpalawbase.com/order/11-2568-committee3.md

# คำสั่งที่ 11/2568 (คณะที่ 3) — ยุติเรื่องร้องเรียน กรณีหน่วยงานตุลาการใช้ชื่อ-สกุลผู้ร้องเรียนในที่ประชุมและแจ้งความตาม ป.อาญา ม.198/326 (ม.24(5)+(6) ประโยชน์โดยชอบ/ปฏิบัติตามกฎหมาย · ม.26(4) ก่อตั้งสิทธิเรียกร้อง — ไม่ฝ่าฝืน · ม.74 ว.2 · ข้อ 13(3) ระเบียบ คคส. 2565)

## เรื่องร้องเรียน

- **ผู้ร้องเรียน:** [นาย ก.]
- **ผู้ถูกร้องเรียน:** [หน่วยงานของรัฐ A] ที่ 1 และ [หน่วยงานของรัฐ B] ที่ 2

เรื่องร้องเรียนนี้สรุปความได้ว่า [นาย ก.] ผู้ร้องเรียน ได้ยื่นหนังสือร้องเรียนไปยัง [หน่วยงานของรัฐ B] ผู้ถูกร้องเรียนที่ 2 เกี่ยวกับกรณีข้าราชการตุลาการปฏิบัติหน้าที่โดยไม่ชอบด้วยกฎหมาย ต่อมา ผู้ร้องเรียนทราบว่า [หน่วยงานของรัฐ B] ได้มีการประชุมเพื่อพิจารณาเรื่องร้องเรียนดังกล่าว และมีการนำข้อมูลส่วนบุคคลของผู้ร้องเรียน ได้แก่ ชื่อตัวและชื่อสกุล ไปใช้และเปิดเผยในที่ประชุม ต่อมาที่ประชุมของ [หน่วยงานของรัฐ B] มีมติให้ดำเนินการแจ้งความดำเนินคดีผู้ร้องเรียนตามประมวลกฎหมายอาญา มาตรา 198 และมาตรา 326 ซึ่งผู้ร้องเรียนเห็นว่าเป็นการฝ่าฝืนประกาศคณะกรรมการตุลาการศาลยุติธรรม เรื่อง หลักเกณฑ์และวิธีการสอบสวนข้อเท็จจริงในชั้นต้น พ.ศ. 2544 ข้อ 13 ที่ห้ามมิให้เปิดเผยชื่อ ที่อยู่ หรือข้อมูลใด ๆ ของผู้ร้องเรียนแก่บุคคลอื่นที่ไม่เกี่ยวข้อง ประกอบประมวลกฎหมายอาญา มาตรา 322 ทำให้ผู้ร้องเรียนเสียหายในการถูกดำเนินคดี เป็นเหตุให้เสียค่าใช้จ่ายในการปรึกษาผู้เชี่ยวชาญด้านกฎหมาย และได้รับผลกระทบต่อสภาพจิตใจ จึงได้ยื่นคำร้องเรียนต่อสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล

## คำวินิจฉัย

คณะกรรมการผู้เชี่ยวชาญ คณะที่ 3 พิจารณาแล้วเห็นว่า ผู้ถูกร้องเรียนทั้งสองเป็นหน่วยงานของรัฐ มีฐานะเป็นนิติบุคคล ตามพระราชบัญญัติระเบียบบริหารราชการศาลยุติธรรม พ.ศ. 2543 ดังนั้น ผู้ถูกร้องเรียนทั้งสอง จึงเป็นผู้มีอำนาจตัดสินใจเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลของผู้ร้องเรียน จึงเป็นผู้ควบคุมข้อมูลส่วนบุคคล ตามความ [มาตรา 6](https://link.pdpalawbase.com/section/6.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 โดยมีประเด็นพิจารณาดังต่อไปนี้

**ประเด็นที่ 1** กรณีการนำข้อมูลส่วนบุคคลของผู้ร้องเรียน ได้แก่ ชื่อตัวและชื่อสกุล ไปใช้และเปิดเผยในที่ประชุม คณะกรรมการเห็นว่า อธิบดีผู้พิพากษาศาลแรงงานภาค 7 เป็นข้าราชการตุลาการผู้รับผิดชอบงานของศาลยุติธรรม จึงเป็นการปฏิบัติตามความในมาตรา 68 วรรคหนึ่ง แห่งพระราชบัญญัติระเบียบข้าราชการฝ่ายตุลาการศาลยุติธรรม พ.ศ. 2543 ประกอบกับประกาศคณะกรรมการตุลาการศาลยุติธรรม เรื่อง หลักเกณฑ์และวิธีการสอบสวนข้อเท็จจริงในชั้นต้น พ.ศ. 2544 จึงเป็นการดำเนินการไปตามที่จำเป็นเพื่อประโยชน์โดยชอบด้วยกฎหมายของผู้ควบคุมข้อมูลส่วนบุคคล ตาม [มาตรา 24](https://link.pdpalawbase.com/section/24.md) (5) และเป็นการดำเนินการตามกฎหมายของผู้ควบคุมข้อมูลส่วนบุคคล ตาม [มาตรา 24](https://link.pdpalawbase.com/section/24.md) (6) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 จึงไม่เป็นการฝ่าฝืนตามกฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคล

**ประเด็นที่ 2** กรณีอธิบดีผู้พิพากษาศาลแรงงานภาค 7 มอบอำนาจให้ผู้อำนวยการสำนักอำนวยการประจำศาลแรงงานภาค 7 นำข้อมูลส่วนบุคคล ได้แก่ ชื่อตัว ชื่อสกุลของผู้ร้องเรียนไปดำเนินการร้องทุกข์ต่อพนักงานสอบสวน การกระทำของ [หน่วยงานของรัฐ B] เป็นการปฏิบัติตามกฎหมายของผู้ควบคุมข้อมูลส่วนบุคคล ตาม [มาตรา 24](https://link.pdpalawbase.com/section/24.md) (6) และเป็นการจำเป็นเพื่อก่อตั้งสิทธิเรียกร้องตามกฎหมาย ตาม [มาตรา 26](https://link.pdpalawbase.com/section/26.md) (4) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 จึงไม่เป็นการฝ่าฝืนกฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคล

## คำสั่ง

อาศัยอำนาจตามความใน [มาตรา 74](https://link.pdpalawbase.com/section/74.md) วรรคสอง แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ประกอบกับระเบียบคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล ว่าด้วยการยื่น การไม่รับเรื่อง การยุติเรื่อง การพิจารณา และระยะเวลาในการพิจารณาคำร้องเรียน พ.ศ. 2565 ข้อ 13 (3) คณะกรรมการผู้เชี่ยวชาญ คณะที่ 3 จึงมีมติในการประชุม ครั้งที่ 5/2568 ให้ยุติเรื่องร้องเรียน

สั่ง ณ วันที่ 20 มิถุนายน พ.ศ. 2568

ประธานกรรมการผู้เชี่ยวชาญ คณะที่ 3

## เอกสารต้นฉบับ

- [PDF ต้นฉบับ (local)](../../raw/orders/order-11-2568-committee3.pdf)
- [ที่มา: pdpc.or.th](https://www.pdpc.or.th/wp-content/uploads/2026/03/PDPC-Committee3-11.68.pdf)

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/order/11-2568-committee3.md

============================================================
โนด: คำสั่ง 12/2567 (คณะ 1)
ลิงก์อ้างอิง: https://link.pdpalawbase.com/order/12-2567-committee1.md

# คำสั่งที่ 12/2567 (คณะที่ 1) — ยุติเรื่องร้องเรียน กรณีบริษัทประกันภัยติดต่อต่ออายุกรมธรรม์หลังขอลบหมายเลขโทรศัพท์ (ดำเนินการตามคำขอแล้ว)

## เรื่องร้องเรียน

- **ผู้ร้องเรียน:** [นางสาว ก.]
- **ผู้ถูกร้องเรียน:** [บริษัท A]

เรื่องร้องเรียนนี้สรุปความได้ว่า เจ้าหน้าที่ของผู้ถูกร้องเรียนติดต่อมาที่ผู้ร้องเรียนเพื่อแจ้งต่ออายุกรมธรรม์ประกันภัยรถยนต์ ซึ่งผู้ร้องเรียนได้แจ้งเจ้าหน้าที่ของผู้ถูกร้องเรียนว่าตนไม่ใช่เจ้าของรถยนต์คันดังกล่าว และแจ้งว่าให้ลบหมายเลขโทรศัพท์ของผู้ร้องเรียนออกจากระบบ ต่อมาเมื่อวันที่ 7 มกราคม 2566 ภายหลังจากที่แจ้งลบไปก็ยังคงได้รับข้อความแจ้งต่ออายุกรมธรรม์ประกันภัยอีกครั้ง เมื่อได้รับข้อความดังกล่าวผู้ร้องเรียนได้ติดต่อไปที่ศูนย์บริการลูกค้าของผู้ถูกร้องเรียน ขอให้ยกเลิกหมายเลขโทรศัพท์ของผู้ร้องเรียนอีกครั้ง และเมื่อวันที่ 12 มกราคม 2566 ผู้ร้องเรียนได้รับจดหมายอิเล็กทรอนิกส์ตอบกลับว่าจะนำข้อมูลส่วนบุคคลของผู้ร้องเรียนออกจากระบบ ต่อมาภายหลัง เมื่อวันที่ 1 ธันวาคม 2566 เจ้าหน้าที่ของผู้ถูกร้องเรียนติดต่อมาที่ผู้ร้องเรียนเพื่อแจ้งต่ออายุกรมธรรม์ประกันภัยรถยนต์อีกครั้งหลังจากที่แจ้งลบไปแล้ว เมื่อวันที่ 7 มกราคม 2566 ทำให้ผู้ร้องเรียนได้รับความเดือดร้อน และไม่มั่นใจในความปลอดภัยของข้อมูลส่วนบุคคล

## คำวินิจฉัย

คณะกรรมการผู้เชี่ยวชาญ คณะที่ 1 พิจารณาแล้วเห็นว่า ผู้ถูกร้องเรียนซึ่งมีสถานะเป็นผู้ควบคุมข้อมูลส่วนบุคคลตามมาตรา 6 แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ได้ดำเนินการปฏิบัติตามคำขอของผู้ร้องเรียนแล้ว ตามระเบียบคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลว่าด้วยการยื่น การไม่รับเรื่อง การยุติเรื่อง การพิจารณา และระยะเวลาในการพิจารณาคำร้องเรียน พ.ศ. 2565 ข้อ 13 (6) แต่อย่างไรก็ดี เพื่อไม่ให้เกิดเรื่องร้องเรียนในลักษณะดังกล่าวขึ้นอีก เมื่อผู้ถูกร้องเรียนดำเนินการแก้ไขตามคำขอของผู้ร้องเรียนหรือผู้ใช้บริการแล้ว ให้ผู้ถูกร้องเรียนแจ้งการดำเนินการนั้นให้ผู้ร้องเรียนหรือผู้ใช้บริการทราบโดยทันที

## คำสั่ง

อาศัยอำนาจตาม [มาตรา 74](https://link.pdpalawbase.com/section/74.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 คณะกรรมการผู้เชี่ยวชาญ คณะที่ 1 จึงมีคำสั่งยุติเรื่องร้องเรียน

สั่ง ณ วันที่ 5 กรกฎาคม พ.ศ. 2567

ประธานกรรมการผู้เชี่ยวชาญ คณะที่ 1

## เอกสารต้นฉบับ

- [PDF ต้นฉบับ (local)](../../raw/orders/order-12-2567-committee1.pdf)
- [ที่มา: pdpc.or.th](https://www.pdpc.or.th/wp-content/uploads/2026/03/PDPC-Committee2-12.67.pdf)

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/order/12-2567-committee1.md

============================================================
โนด: คำสั่ง 13/2567 (คณะ 2)
ลิงก์อ้างอิง: https://link.pdpalawbase.com/order/13-2567-committee2.md

# คำสั่งที่ 13/2567 (คณะที่ 2) — ยุติเรื่องร้องเรียน กรณีกรรมการนิติบุคคลส่งข้อความทวงค่าจอดรถใน LINE กลุ่ม 290 คน (ไม่ระบุตัวบุคคล → ไม่ใช่ข้อมูลส่วนบุคคลตาม ม.6 · แนะให้ระมัดระวัง)

## เรื่องร้องเรียน

- **ผู้ร้องเรียน:** [นาย ก.]
- **ผู้ถูกร้องเรียน:** [นิติบุคคล A.]

คำร้องเรียนนี้สรุปความได้ว่า ผู้ร้องเรียนเป็นเจ้าของห้องชุดนิติบุคคลอาคารชุดแห่งหนึ่ง และได้ร่วมเป็นสมาชิกในกลุ่มแอปพลิเคชันไลน์ใช้ชื่อว่าที่จัดตั้งขึ้นโดยเจ้าของห้องชุดของนิติบุคคล ซึ่งไม่สามารถระบุได้ว่าเป็นสมาชิกผู้ใดของอาคารชุด มีจำนวนสมาชิก 290 คน เป็นผู้จัดตั้ง เพื่อใช้ติดต่อสื่อสารในกลุ่มสมาชิก และมีกรรมการของผู้ถูกร้องเรียนร่วมเป็นสมาชิกในกลุ่มแอปพลิเคชันไลน์ดังกล่าว ในการสนทนากันระหว่างสมาชิกในกลุ่มแอปพลิเคชันไลน์ ปรากฏว่ากรรมการของผู้ถูกร้องเรียนได้กล่าวข้อความมีลักษณะเป็นการทวงถามค่าจอดรถค้างชำระ 11 เดือน ลงในกลุ่มแอปพลิเคชันไลน์ ทำให้ผู้ร้องเรียนรู้สึกอับอาย

## คำวินิจฉัย

คณะกรรมการผู้เชี่ยวชาญ คณะที่ 2 พิจารณาแล้วเห็นว่า ผู้ถูกร้องเรียนมิได้เป็นผู้จัดตั้งกลุ่มแอปพลิเคชันไลน์ ผู้ถูกร้องเรียนจึงมิใช่ผู้ควบคุมข้อมูลส่วนบุคคลสำหรับกลุ่มแอปพลิเคชันไลน์ดังกล่าว การที่กรรมการของผู้ถูกร้องเรียนส่งข้อความทวงถามค่าจอดรถที่ค้างชำระ 11 เดือนลงในกลุ่มแอปพลิเคชันไลน์ที่มีสมาชิกเป็นเจ้าของร่วมถึง 290 คน โดยไม่มีการระบุชื่อ ที่อยู่ หมายเลขห้องพัก และข้อมูลอื่นใดของผู้ร้องเรียนหรือผู้หนึ่งผู้ใดเจาะจงโดยตรง และไม่มีสมาชิกในกลุ่มแอปพลิเคชันไลน์คนใดแสดงข้อความหลังจากนั้น ข้อความตามประเด็นข้อพิพาทจึงไม่สามารถระบุถึงตัวผู้ร้องเรียนไม่ว่าทางตรงหรือทางอ้อม จึงไม่ใช่ข้อมูลส่วนบุคคลตาม [มาตรา 6](https://link.pdpalawbase.com/section/6.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 การกระทำของผู้ถูกร้องเรียนไม่เป็นการขัดต่อกฎหมาย

อย่างไรก็ตาม คณะกรรมการผู้เชี่ยวชาญ คณะที่ 2 แนะนำให้ผู้ถูกร้องเรียนควรเคร่งครัดและระมัดระวังการนำข้อมูลส่วนบุคคลของเจ้าของร่วมนิติบุคคลอาคารไปใช้หรือเปิดเผยนอกเหนือจากวัตถุประสงค์ในการจัดเก็บและไม่ได้รับความยินยอมของเจ้าของข้อมูลส่วนบุคคล อันอาจเป็นการฝ่าฝืนพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562

## คำสั่ง

อาศัยอำนาจตามความใน [มาตรา 74](https://link.pdpalawbase.com/section/74.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 คณะกรรมการผู้เชี่ยวชาญ คณะที่ 2 จึงมีคำสั่งยุติเรื่องร้องเรียน

สั่ง ณ วันที่ 30 เมษายน พ.ศ. 2567

ประธานกรรมการผู้เชี่ยวชาญ คณะที่ 2

## เอกสารต้นฉบับ

- [PDF ต้นฉบับ (local)](../../raw/orders/order-13-2567-committee2.pdf)
- [ที่มา: pdpc.or.th](https://www.pdpc.or.th/wp-content/uploads/2025/03/PDPC-Committee2-13.67.pdf)

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/order/13-2567-committee2.md

============================================================
โนด: คำสั่ง 16/2566 (คณะ 2)
ลิงก์อ้างอิง: https://link.pdpalawbase.com/order/16-2566-committee2.md

# คำสั่งที่ 16/2566 (คณะที่ 2) — ไม่รับเรื่องร้องเรียน กรณีภาพถ่ายครอบครัวบนสื่อสังคมออนไลน์ (ม.4(1) household exception)

## เรื่องร้องเรียน

- **ผู้ร้องเรียน:** [นางสาว ก.]
- **ผู้ถูกร้องเรียน:** [นางสาว A]

คำร้องเรียนนี้สรุปความได้ว่า ผู้ร้องเรียนประสงค์ให้ผู้ถูกร้องเรียนลบภาพถ่ายที่มีภาพผู้ร้องเรียนและผู้ถูกร้องเรียนพร้อมทั้งครอบครัว ที่มีการโพสต์ลงสื่อสังคมออนไลน์ของผู้ถูกร้องเรียนทุกชนิด เนื่องจากทำให้ผู้ร้องเรียนและครอบครัวได้รับความเสียหาย เสียชื่อเสียง อาจทำให้บุคคลภายนอกเข้าใจผิดว่ายังมีความสัมพันธ์เป็นครอบครัวเดียวกัน แต่ผู้ถูกร้องเรียนปฏิเสธการลบภาพถ่ายดังกล่าว

## คำวินิจฉัย

คณะกรรมการผู้เชี่ยวชาญ คณะที่ 2 พิจารณาแล้วเห็นว่า ข้อเท็จจริงในข้อร้องเรียนเข้าหลักเกณฑ์ตาม [มาตรา 4](https://link.pdpalawbase.com/section/4.md) (1) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ที่มิให้ใช้พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 บังคับแก่การเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลเพื่อกิจกรรมในครอบครัวของบุคคล กรณีนี้ จึงไม่สามารถพิจารณาวินิจฉัยในประเด็นดังกล่าวได้

## คำสั่ง

อาศัยอำนาจตามความใน [มาตรา 74](https://link.pdpalawbase.com/section/74.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 คณะกรรมการผู้เชี่ยวชาญ คณะที่ 2 จึงมีคำสั่งไม่รับเรื่องร้องเรียน

สั่ง ณ วันที่ 30 สิงหาคม พ.ศ. 2566

ประธานกรรมการผู้เชี่ยวชาญ คณะที่ 2

## เอกสารต้นฉบับ

- [PDF ต้นฉบับ (local)](../../raw/orders/order-16-2566-committee2.pdf)
- [ที่มา: pdpc.or.th](https://www.pdpc.or.th/wp-content/uploads/2024/11/PDPC-Committee2-16.66.pdf)

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/order/16-2566-committee2.md

============================================================
โนด: คำสั่ง 16/2567 (คณะ 2)
ลิงก์อ้างอิง: https://link.pdpalawbase.com/order/16-2567-committee2.md

# คำสั่งที่ 16/2567 (คณะที่ 2) — ให้แก้ไขระบบ default opt-in (pre-checked tickbox) ของแอปพลิเคชันสะสมคะแนน (ฝ่าฝืนการขอความยินยอมตาม ม.19 · อำนาจ ม.90 · ภายใน 30 วัน)

## เรื่องร้องเรียน

- **ผู้ร้องเรียน:** [นาย ก.]
- **ผู้ถูกร้องเรียน:** [บริษัท A.]

คำร้องเรียนนี้สรุปความได้ว่า ผู้ร้องเรียนได้รับการติดต่อทางโทรศัพท์ โดยอ้างว่าติดต่อจาก [บริษัท B.] เมื่อผู้ร้องเรียนสอบถามได้รับแจ้งว่าเป็นผลจากแอปพลิเคชันที่ดำเนินการโดยผู้ถูกร้องเรียน มีวัตถุประสงค์เพื่อสะสมคะแนนสมาชิกและส่งต่อข้อมูลส่วนบุคคลให้แก่บริษัทพันธมิตร โดยผู้ร้องเรียนเห็นว่ามีลักษณะบังคับให้ยอมรับข้อตกลงเงื่อนไขและนโยบายความเป็นส่วนตัว จึงจะเข้าใช้งานแอปพลิเคชันดังกล่าวได้ และมีข้อความปรากฏในลักษณะเป็นเครื่องหมายถูก (✔) ว่าผู้ร้องเรียนได้ให้ความยินยอมไว้ก่อนแล้ว ทำให้ข้อมูลส่วนบุคคลของผู้ร้องเรียนถูกเปิดเผยไปยังบุคคลอื่นโดยไม่ได้รับความยินยอมและอาจทำให้ได้รับความเสียหาย ต่อมาผู้ถูกร้องเรียนชี้แจงให้ผู้ร้องเรียนทราบเป็นหนังสือถึงการให้ความยินยอมในวัตถุประสงค์เพื่อเปิดเผยข้อมูลส่วนบุคคลไปยังพันธมิตรทางธุรกิจของผู้ถูกร้องเรียนด้วยตัวของผู้ร้องเรียนเองเป็นจำนวนสองครั้ง อีกทั้งผู้ถูกร้องเรียนยังได้ชี้แจงถึงการขอความยินยอมตามวัตถุประสงค์ ซึ่งแยกส่วนและไม่มีลักษณะบังคับในการขอความยินยอมดังกล่าว ซึ่งผู้ร้องเรียนได้ทราบถึงหนังสือชี้แจงของผู้ถูกร้องเรียนแล้ว

## คำวินิจฉัย

คณะกรรมการผู้เชี่ยวชาญ คณะที่ 2 ตรวจสอบข้อเท็จจริงแล้วเห็นว่า การที่แอปพลิเคชันที่ดำเนินการโดยผู้ถูกร้องเรียน มีการตั้งค่า (Default) โดยอัตโนมัติ ให้มีการยินยอมรับข้อตกลงเงื่อนไขการใช้บริการแอปพลิเคชัน โดยการแสดงเครื่องหมายถูก (✔) หรือ Opt-in ในช่องสี่เหลี่ยมเพื่อแสดงว่าผู้ใช้บริการได้ตกลงยอมรับเงื่อนไขการใช้ด้วยวิธีการทางอิเล็กทรอนิกส์สามารถทำได้ อย่างไรก็ตามในส่วนการให้ความยินยอมผ่านสื่ออิเล็กทรอนิกส์ โดยการแสดงเครื่องหมายถูก (✔) หรือ Opt-in เพื่อให้ [บริษัท A.] และพันธมิตรทางธุรกิจ ใช้ข้อมูลส่วนบุคคลได้ แม้มีการแยกส่วนจากการยอมรับข้อตกลงเงื่อนไขการใช้บริการ แต่เมื่อผู้ใช้บริการได้กดยอมรับข้อตกลงเงื่อนไขการใช้แอปพลิเคชันแล้ว ระบบคอมพิวเตอร์ที่ควบคุมแอปพลิเคชัน จะทำการตั้งค่าให้แสดงเครื่องหมายถูก (✔) ในช่องสี่เหลี่ยมเพื่อให้ [บริษัท A.] และพันธมิตรทางธุรกิจนำข้อมูลส่วนบุคคลไปใช้ได้ทันทีโดยอัตโนมัติ แม้ผู้ใช้บริการไม่ได้แสดงเจตนาซึ่งการดำเนินการดังกล่าว แม้เป็นการดำเนินการเพื่อความสะดวก แต่เป็นกรณีที่มีการกำหนดเงื่อนไขในเรื่องการยินยอมไว้ล่วงหน้า อันทำให้ผู้ใช้บริการแอปพลิเคชันอาจเกิดความเข้าใจผิดและดำเนินการให้ความยินยอมโดยไม่ตรงตามความเป็นจริง

คณะกรรมการผู้เชี่ยวชาญ คณะที่ 2 เห็นว่ากรณีดังกล่าว จึงอาจถือได้ว่าผู้ควบคุมข้อมูลส่วนบุคคลดำเนินการฝ่าฝืนแนวทางการดำเนินการในการขอความยินยอมจากเจ้าของข้อมูลส่วนบุคคล ตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ซึ่งประกาศโดยคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล ตาม [มาตรา 19](https://link.pdpalawbase.com/section/19.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 จึงมีคำสั่งให้ผู้ถูกร้องเรียนดำเนินการแก้ไขระบบการตั้งค่าให้ความยินยอมโดยอัตโนมัติดังกล่าว และแยกการแสดงเจตนา (Opt-in) ในการให้ความยินยอมให้ใช้ข้อมูลส่วนบุคคลของผู้ร้องเรียนโดยอิสระออกจากการตกลงใช้ ข้อกำหนดเงื่อนไขในการใช้แอปพลิเคชันให้ชัดเจน นอกจากนี้ ผู้ถูกร้องเรียนต้องดำเนินการให้เจ้าของข้อมูลส่วนบุคคลมีอิสระในการตัดสินใจและดำเนินการให้ความยินยอมด้วยตนเอง ไม่ใช่การให้ความยินยอมล่วงหน้าด้วยสื่ออิเล็กทรอนิกส์ อันก่อให้เกิดความสับสนในการให้ความยินยอมตามที่กฎหมายกำหนด

## คำสั่ง

อาศัยอำนาจตามความใน [มาตรา 90](https://link.pdpalawbase.com/section/90.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 คณะกรรมการผู้เชี่ยวชาญ คณะที่ 2 จึงมีคำสั่งให้ผู้ถูกร้องเรียนแก้ไขวิธีการหรือรูปแบบการขอความยินยอมในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล และคำนึงถึงความเป็นอิสระอย่างถึงที่สุดของเจ้าของข้อมูลส่วนบุคคล โดยห้ามมิให้ผู้ถูกร้องเรียนกำหนดการให้ความยินยอมไว้ก่อนล่วงหน้าหรือระบุเครื่องหมายอันแสดงถึงการให้ความยินยอมไว้ก่อนที่เจ้าของข้อมูลส่วนบุคคล ภายใน 30 วัน นับแต่วันที่ได้รับคำสั่ง

สั่ง ณ วันที่ 30 เมษายน พ.ศ. 2567

ประธานกรรมการผู้เชี่ยวชาญ คณะที่ 2

## เอกสารต้นฉบับ

- [PDF ต้นฉบับ (local)](../../raw/orders/order-16-2567-committee2.pdf)
- [ที่มา: pdpc.or.th](https://www.pdpc.or.th/wp-content/uploads/2025/03/PDPC-Committee2-16.67.pdf)

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/order/16-2567-committee2.md

============================================================
โนด: คำสั่ง 17/2566 (คณะ 2)
ลิงก์อ้างอิง: https://link.pdpalawbase.com/order/17-2566-committee2.md

# คำสั่งที่ 17/2566 (คณะที่ 2) — ยุติเรื่องร้องเรียน กรณีกล้องวงจรปิดเพื่อนบ้านส่องเข้าบ้าน (ผู้ถูกร้องเรียนปรับมุมแล้ว + ถอนเรื่อง)

## เรื่องร้องเรียน

- **ผู้ร้องเรียน:** [นางสาว ก.]
- **ผู้ถูกร้องเรียน:** [นาง A.]

คำร้องเรียนนี้สรุปความได้ว่า ผู้ถูกร้องเรียนติดตั้งกล้องวงจรปิด (CCTV) บริเวณหน้าบ้านของผู้ถูกร้องเรียน โดยมีมุมองศาและแสงไฟของกล้องส่องเข้ามายังบริเวณหน้าบ้านและภายในบ้านของผู้ร้องเรียน ทำให้ผู้ร้องเรียนใช้ชีวิตประจำวันไม่ปกติสุขและครอบครัวได้รับความเดือดร้อนเป็นอย่างมาก

## คำวินิจฉัย

คณะกรรมการผู้เชี่ยวชาญ คณะที่ 2 ได้ตรวจสอบแล้วเห็นว่า ผู้ถูกร้องเรียนได้แก้ไขโดยปรับมุมกล้องวงจรปิดจนไม่สร้างความเดือดร้อนแก่ผู้ร้องเรียนและสามารถตกลงกันได้ รวมทั้งผู้ร้องเรียนมีความประสงค์ขอถอนคำร้องเรียนดังกล่าว เมื่อวันที่ 19 กรกฎาคม 2566

## คำสั่ง

อาศัยอำนาจตามความใน [มาตรา 74](https://link.pdpalawbase.com/section/74.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 คณะกรรมการผู้เชี่ยวชาญ คณะที่ 2 จึงมีคำสั่งยุติเรื่องร้องเรียน

สั่ง ณ วันที่ 30 สิงหาคม พ.ศ. 2566

ประธานกรรมการผู้เชี่ยวชาญ คณะที่ 2

## เอกสารต้นฉบับ

- [PDF ต้นฉบับ (local)](../../raw/orders/order-17-2566-committee2.pdf)
- [ที่มา: pdpc.or.th](https://www.pdpc.or.th/wp-content/uploads/2024/11/PDPC-Committee2-17.66.pdf)

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/order/17-2566-committee2.md

============================================================
โนด: คำสั่ง 17/2567 (คณะ 2)
ลิงก์อ้างอิง: https://link.pdpalawbase.com/order/17-2567-committee2.md

# คำสั่งที่ 17/2567 (คณะที่ 2) — ยุติเรื่องร้องเรียน กรณีนายจ้างเผยแพร่ภาพถ่ายอดีตพนักงานบนแอปฯ ประชาสัมพันธ์ (ฐาน ม.24(3)+(5) ประกอบ ม.27 · ลบตามคำขอแล้ว ข้อ 13(6))

## เรื่องร้องเรียน

- **ผู้ร้องเรียน:** [นาย ก.]
- **ผู้ถูกร้องเรียน:** [บริษัท A.]

คำร้องเรียนนี้สรุปความได้ว่า ผู้ร้องเรียนเป็นอดีตพนักงานของผู้ถูกร้องเรียน ขณะปฏิบัติงานผู้ถูกร้องเรียนได้ทำการถ่ายภาพผู้ร้องเรียนในระหว่างการทำงานของผู้ร้องเรียน ต่อมามีการนำภาพถ่ายดังกล่าวไปเผยแพร่ลงบนแอปพลิเคชัน โดยมีพนักงานของ [บริษัท A.] เป็นเจ้าของบัญชีแอปพลิเคชัน ซึ่งผู้ร้องเรียนไม่ได้ให้ความยินยอมในการเผยแพร่ภาพถ่ายของผู้ร้องเรียน และได้ติดต่อให้ผู้ถูกร้องเรียนลบภาพถ่ายออกจากแอปพลิเคชัน แต่ผู้ถูกร้องเรียนไม่ได้ดำเนินการลบภาพถ่ายของผู้ร้องเรียน โดยเหตุเพื่อใช้ในการประชาสัมพันธ์การทำงานและผลงาน ผู้ร้องเรียนจึงประสงค์ขอให้ผู้ถูกร้องเรียนลบภาพถ่ายออกจากแอปพลิเคชัน

## คำวินิจฉัย

คณะกรรมการผู้เชี่ยวชาญ คณะที่ 2 พิจารณาแล้วเห็นว่า ผู้ถูกร้องเรียนมีสถานะเป็นนายจ้าง มีการทำสัญญาจ้างกับผู้ร้องเรียน ผู้ถูกร้องเรียนได้มีประกาศความเป็นส่วนตัวสำหรับผู้สมัครงานและพนักงาน (Privacy Notice) ในการจัดเก็บข้อมูลส่วนบุคคลของพนักงานตามวัตถุประสงค์ที่ได้แจ้งไว้ โดยประกาศดังกล่าวกำหนดการบันทึกภาพ และเสียงของเจ้าของข้อมูลส่วนบุคคลหรือผู้มาปฏิบัติงาน สมัครงาน หรือดำเนินการต่าง ๆ ที่เกี่ยวกับการสมัครงาน หรือปฏิบัติงาน ณ สำนักงานของบริษัท ผู้ถูกร้องเรียนในฐานะนายจ้างจึงมีการเก็บภาพถ่ายของผู้ร้องเรียนในขณะเป็นพนักงานและปฏิบัติงานไว้ ผู้ถูกร้องเรียนจึงเป็นผู้ควบคุมข้อมูลส่วนบุคคล ตาม [มาตรา 6](https://link.pdpalawbase.com/section/6.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 โดยการเก็บภาพถ่ายของผู้ร้องเรียนเป็นการเก็บข้อมูลส่วนบุคคลอันเป็นการจำเป็นเพื่อการปฏิบัติตามสัญญาซึ่งเจ้าของข้อมูลส่วนบุคคลเป็นคู่สัญญา และเป็นการจำเป็นเพื่อประโยชน์โดยชอบด้วยกฎหมายของผู้ถูกร้องเรียน ตาม [มาตรา 24](https://link.pdpalawbase.com/section/24.md) (3) และ (5) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562

การนำภาพถ่ายของผู้ร้องเรียนไปเผยแพร่บนแอปพลิเคชันของพนักงาน เป็นการเผยแพร่ภาพถ่ายขณะผู้ร้องเรียนปฏิบัติงานในหน้าที่ เพื่อใช้ประชาสัมพันธ์ผลงานการปฏิบัติงานที่ผู้ถูกร้องเรียนได้ดำเนินการไป ซึ่งเป็นไปตามวัตถุประสงค์ที่ผู้ถูกร้องเรียนได้แจ้งไว้ในประกาศความเป็นส่วนตัวที่ผู้ร้องเรียนรับทราบแล้ว ประกอบกับพนักงานเจ้าของบัญชีแอปพลิเคชัน เป็นพนักงานของผู้ถูกร้องเรียนที่ได้รับมอบหมายจากผู้ถูกร้องเรียน ให้ช่วยกันประชาสัมพันธ์ผลงานของผู้ร้องเรียนผ่านบัญชีแอปพลิเคชันของพนักงาน โดยบัญชีดังกล่าวล้วนปรากฏแต่ภาพถ่ายที่เกี่ยวข้องกับการปฏิบัติงาน และกิจกรรมการดำเนินงานของผู้ร้องเรียนตามวัตถุประสงค์ที่ผู้ถูกร้องเรียนแจ้งไว้

การเผยแพร่ภาพถ่ายของผู้ร้องเรียนจึงได้รับยกเว้นไม่ต้องได้รับความยินยอมจากเจ้าของข้อมูลส่วนบุคคลในการใช้ เปิดเผยตามวัตถุประสงค์เท่าที่จำเป็นในการจัดเก็บ ตาม [มาตรา 24](https://link.pdpalawbase.com/section/24.md) (3) และ (5) ประกอบ [มาตรา 27](https://link.pdpalawbase.com/section/27.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 อีกทั้ง ผู้ถูกร้องเรียนได้ดำเนินการลบภาพถ่ายของผู้ร้องเรียนจากแอปพลิเคชันตามที่ผู้ร้องเรียนร้องขอแล้ว จึงเป็นกรณีที่ผู้ถูกร้องเรียนได้ปฏิบัติตามคำขอของผู้ร้องเรียนแล้ว ตามข้อ 13 (6) ของระเบียบคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลว่าด้วยการยื่น การไม่รับเรื่อง การยุติเรื่อง การพิจารณา และระยะเวลาในการพิจารณาคำร้องเรียน พ.ศ. 2565

## คำสั่ง

อาศัยอำนาจตามความใน [มาตรา 74](https://link.pdpalawbase.com/section/74.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 คณะกรรมการผู้เชี่ยวชาญ คณะที่ 2 จึงมีคำสั่งยุติเรื่องร้องเรียน

สั่ง ณ วันที่ 30 เมษายน พ.ศ. 2567

ประธานกรรมการผู้เชี่ยวชาญ คณะที่ 2

## เอกสารต้นฉบับ

- [PDF ต้นฉบับ (local)](../../raw/orders/order-17-2567-committee2.pdf)
- [ที่มา: pdpc.or.th](https://www.pdpc.or.th/wp-content/uploads/2025/03/PDPC-Committee2-17.67.pdf)

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/order/17-2567-committee2.md

============================================================
โนด: คำสั่ง 18/2566 (คณะ 2)
ลิงก์อ้างอิง: https://link.pdpalawbase.com/order/18-2566-committee2.md

# คำสั่งที่ 18/2566 (คณะที่ 2) — ไม่รับเรื่องร้องเรียน กรณีถูกแอบอ้างใบอนุญาตประกอบวิชาชีพเวชกรรม (ไม่ยืนยันว่าผู้ถูกร้องเรียนเป็น data controller)

## เรื่องร้องเรียน

- **ผู้ร้องเรียน:** [นางสาว ก.]
- **ผู้ถูกร้องเรียน:** [นางสาว A]

คำร้องเรียนนี้สรุปความได้ว่า ผู้ร้องเรียนถูกนำชื่อและภาพใบอนุญาตประกอบวิชาชีพเวชกรรมที่ได้จากเว็บไซต์ของแพทยสภาไปใช้ในการแอบอ้างเป็นแพทย์ได้รับใบอนุญาตประกอบวิชาชีพเวชกรรม [เลขที่] ที่มีประสบการณ์ด้านการเสริมความงามและชะลอวัย ทำให้ผู้ใช้บริการและประชาชนหลงผิด จนผู้ร้องเรียนได้รับความเสียหายและเสียชื่อเสียง และเห็นว่าเป็นเหตุการละเมิดข้อมูลส่วนบุคคลที่ต้องแจ้งต่อสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล

## คำวินิจฉัย

คณะกรรมการผู้เชี่ยวชาญ คณะที่ 2 พิจารณาแล้วเห็นว่า รายละเอียดข้อเท็จจริงและข้อมูลตามคำร้องเรียนไม่สามารถยืนยันได้ว่า ผู้ถูกร้องเรียนเป็นผู้ควบคุมข้อมูลส่วนบุคคลที่มีการกระทำอันเป็นการฝ่าฝืนหรือไม่ปฏิบัติตามกฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคล จึงไม่สามารถพิจารณาวินิจฉัยได้ กรณีเป็นเหตุให้ไม่รับเรื่องร้องเรียนตามความในข้อ 8 (2) ของระเบียบคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลว่าด้วยการยื่น การไม่รับเรื่อง การยุติเรื่อง การพิจารณา และระยะเวลาในการพิจารณาคำร้องเรียน พ.ศ. 2565

## คำสั่ง

อาศัยอำนาจตามความใน [มาตรา 74](https://link.pdpalawbase.com/section/74.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 คณะกรรมการผู้เชี่ยวชาญ คณะที่ 2 จึงมีคำสั่งไม่รับเรื่องร้องเรียน

สั่ง ณ วันที่ 30 สิงหาคม พ.ศ. 2566

ประธานกรรมการผู้เชี่ยวชาญ คณะที่ 2

## เอกสารต้นฉบับ

- [PDF ต้นฉบับ (local)](../../raw/orders/order-18-2566-committee2.pdf)
- [ที่มา: pdpc.or.th](https://www.pdpc.or.th/wp-content/uploads/2025/01/PDPC-Committee2-18.66-L2.pdf)

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/order/18-2566-committee2.md

============================================================
โนด: คำสั่ง 18/2567 (คณะ 2)
ลิงก์อ้างอิง: https://link.pdpalawbase.com/order/18-2567-committee2.md

# คำสั่งที่ 18/2567 (คณะที่ 2) — ยุติเรื่องร้องเรียน กรณีพนักงานหน่วยงานนำข้อมูลบุตรของผู้ร้องไปเบิกความในคดีหมิ่นประมาท (ถอนคำร้อง)

## เรื่องร้องเรียน

- **ผู้ร้องเรียน:** [นางสาว ก.]
- **ผู้ถูกร้องเรียน:** [หน่วยงาน A. ที่ 1] และ [นางสาว B. ที่ 2]

คำร้องเรียนนี้สรุปความได้ว่า [นางสาว ก.] ผู้ร้องเรียน ในฐานะมารดาของเจ้าของข้อมูลส่วนบุคคล กล่าวอ้างว่า [นางสาว B. ที่ 2] ซึ่งเป็นพนักงานของ [หน่วยงาน A. ที่ 1] ได้นำข้อมูล ชื่อ ที่อยู่ หมายเลขโทรศัพท์ ชื่อผู้ปกครอง ใบรับสวัสดิการของบุตรผู้ร้องเรียน ที่ถูกเก็บรักษาไว้ใน [หน่วยงาน A. ที่ 1] มาเปิดเผยโดยใช้ประกอบการเบิกความต่อศาลในคดีหมิ่นประมาท ซึ่งผู้ร้องเรียนเห็นว่ามีความเสี่ยงที่จะเกิดผลกระทบต่อสิทธิและเสรีภาพของบุตรผู้ร้องเรียน ต่อมาปรากฏว่า ผู้ร้องเรียนไม่ประสงค์ร้องเรียนผู้ถูกร้องเรียนทั้งสองด้วยเหตุผลที่ผู้ร้องเรียนไม่ติดใจร้องเรียนกับผู้ถูกร้องเรียนทั้งสองอีกต่อไปและได้มีหนังสือขอถอนคำร้องเรียน เมื่อวันที่ 22 กันยายน 2566

## คำวินิจฉัย

คณะกรรมการผู้เชี่ยวชาญ คณะที่ 2 พิจารณาแล้วเห็นว่า เมื่อผู้ร้องเรียนไม่ประสงค์ร้องเรียนผู้ถูกร้องเรียนทั้งสอง และได้มีหนังสือแจ้งความประสงค์ขอถอนคำร้องเรียนแล้ว ตามข้อ 13 (6) ของระเบียบคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลว่าด้วยการยื่น การไม่รับเรื่อง การยุติเรื่อง การพิจารณา และระยะเวลาในการพิจารณาคำร้องเรียน พ.ศ. 2565 จึงไม่มีประเด็นต้องพิจารณาวินิจฉัย

## คำสั่ง

อาศัยอำนาจตามความใน [มาตรา 74](https://link.pdpalawbase.com/section/74.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 คณะกรรมการผู้เชี่ยวชาญ คณะที่ 2 จึงมีคำสั่งยุติเรื่องร้องเรียน

สั่ง ณ วันที่ 30 เมษายน พ.ศ. 2567

ประธานกรรมการผู้เชี่ยวชาญ คณะที่ 2

## เอกสารต้นฉบับ

- [PDF ต้นฉบับ (local)](../../raw/orders/order-18-2567-committee2.pdf)
- [ที่มา: pdpc.or.th](https://www.pdpc.or.th/wp-content/uploads/2025/03/PDPC-Committee2-18.67.pdf)

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/order/18-2567-committee2.md

============================================================
โนด: คำสั่ง 19/2566 (คณะ 2)
ลิงก์อ้างอิง: https://link.pdpalawbase.com/order/19-2566-committee2.md

# คำสั่งที่ 19/2566 (คณะที่ 2) — ยุติเรื่องร้องเรียน กรณีหมายเลขโทรศัพท์ลงทะเบียนด้วยบัตรประชาชนของผู้ร้อง (บริษัทยกเลิกแล้ว + ถอนเรื่อง)

## เรื่องร้องเรียน

- **ผู้ร้องเรียน:** [นางสาว ก.]
- **ผู้ถูกร้องเรียน:** [บริษัท A]

คำร้องเรียนนี้สรุปความได้ว่า ผู้ร้องเรียนได้ตรวจสอบการขึ้นทะเบียนเบอร์โทรศัพท์ของผู้ร้องเรียนโดยใช้หมายเลขบัตรประจำตัวประชาชนกรอกผ่าน Application [บริษัท A] พบมีการลงทะเบียนโดยใช้หมายเลขบัตรประจำตัวประชาชนของผู้ร้องเรียนจำนวน 3 หมายเลข มีสองเลขหมายเป็นของผู้ร้องเรียนจริง แต่อีกหนึ่งเลขหมาย [หมายเลขโทรศัพท์] ไม่ใช่ของผู้ร้องเรียน จึงประสงค์ให้ผู้ถูกร้องเรียนยกเลิกเบอร์ดังกล่าว

## คำวินิจฉัย

คณะกรรมการผู้เชี่ยวชาญ คณะที่ 2 ได้ตรวจสอบแล้วปรากฏว่าผู้ถูกร้องเรียนได้ดำเนินการยกเลิกเบอร์ดังกล่าวแล้ว และผู้ร้องเรียนได้ขอถอนเรื่องร้องเรียน เมื่อวันที่ 13 กรกฎาคม 2566

## คำสั่ง

อาศัยอำนาจตามความใน [มาตรา 74](https://link.pdpalawbase.com/section/74.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 คณะกรรมการผู้เชี่ยวชาญ คณะที่ 2 จึงมีคำสั่งยุติเรื่องร้องเรียน

สั่ง ณ วันที่ 30 สิงหาคม พ.ศ. 2566

ประธานกรรมการผู้เชี่ยวชาญ คณะที่ 2

## เอกสารต้นฉบับ

- [PDF ต้นฉบับ (local)](../../raw/orders/order-19-2566-committee2.pdf)
- [ที่มา: pdpc.or.th](https://www.pdpc.or.th/wp-content/uploads/2024/11/PDPC-Committee2-19.66.pdf)

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/order/19-2566-committee2.md

============================================================
โนด: คำสั่ง 19/2567 (คณะ 2)
ลิงก์อ้างอิง: https://link.pdpalawbase.com/order/19-2567-committee2.md

# คำสั่งที่ 19/2567 (คณะที่ 2) — ยุติเรื่องร้องเรียน กรณีโพสต์ Facebook พิพาทครอบครัวด้วยการกดสติกเกอร์ในเพจขายสินค้า (ม.4 (1) ประโยชน์ส่วนตน)

## เรื่องร้องเรียน

- **ผู้ร้องเรียน:** [นาย ก. ที่ 1], [นาง ข. ที่ 2], [เด็กหญิง ค. ที่ 3]
- **ผู้ถูกร้องเรียน:** [เพจเฟซบุ๊กบัญชีส่วนตัว ที่ 1] และ [เพจเฟซบุ๊กบัญชีส่วนตัว ที่ 2]

คำร้องเรียนนี้สรุปความได้ว่า [นาย ก. ที่ 1] เป็นบิดา [นาง ข. ที่ 2] เป็นมารดา [เด็กหญิง ค. ที่ 3] เป็นบุตร โดยผู้ร้องเรียนทั้งสามเป็นครอบครัวเดียวกัน [เพจเฟซบุ๊กบัญชีส่วนตัว ที่ 1] และ [เพจเฟซบุ๊กบัญชีส่วนตัว ที่ 2] ได้มากดสติ๊กเกอร์สัญลักษณ์แสดงความไม่พอใจหลายครั้ง ในเพจของ [นาง ข. ที่ 2] ซึ่งได้โพสต์ข้อความขายสินค้าหลายครั้ง ทำให้เกิดความเข้าใจผิดต่อผู้พบเห็น [นาย ก. ที่ 1] จึงได้ใช้เพจเฟซบุ๊กบัญชีส่วนตัวซึ่งมีภาพโปรไฟล์เป็นภาพถ่ายของผู้ร้องเรียนทั้งสาม โพสต์ข้อความทำนองสอบถามในเพจของ [เพจเฟซบุ๊กบัญชีส่วนตัว ที่ 1] เกี่ยวกับการกดสติกเกอร์สัญลักษณ์แสดงความไม่พอใจในเพจขายสินค้าดังกล่าว และมี [เพจเฟซบุ๊กบัญชีส่วนตัว ที่ 2] เข้ามาเขียนข้อความทำนองว่า [นาย ก. ที่ 1] เป็นมิจฉาชีพ และปรากฏว่า [เพจเฟซบุ๊กบัญชีส่วนตัว ที่ 1] ได้นำเอาข้อความที่ [นาย ก. ที่ 1] โพสต์สอบถามไปโพสต์ลงในเพจเฟซบุ๊กของ [เพจเฟซบุ๊กบัญชีส่วนตัว ที่ 1] โดยมีข้อความและภาพโปรไฟล์ของผู้ร้องเรียนทั้งสามปรากฏในเพจเฟซบุ๊กดังกล่าวซึ่งทำให้ผู้ร้องเรียนทั้งสามได้รับความเสียหายเสื่อมเสียชื่อเสียง

## คำวินิจฉัย

คณะกรรมการผู้เชี่ยวชาญ คณะที่ 2 พิจารณาแล้วเห็นว่า การกระทำของ [เพจเฟซบุ๊กบัญชีส่วนตัว ที่ 1] เป็นการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลที่กระทำการเพื่อประโยชน์ส่วนตน ตาม [มาตรา 4](https://link.pdpalawbase.com/section/4.md) (1) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 จึงไม่อยู่ในบังคับตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 แต่เป็นเรื่องพิพาทกันระหว่างผู้ร้องเรียนทั้งสามกับผู้ถูกร้องเรียนทั้งสอง ซึ่งต้องไปเรียกร้องตามกฎหมายอื่นที่เกี่ยวข้อง

## คำสั่ง

อาศัยอำนาจตามความใน [มาตรา 74](https://link.pdpalawbase.com/section/74.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 คณะกรรมการผู้เชี่ยวชาญ คณะที่ 2 จึงมีคำสั่งยุติเรื่องร้องเรียน

สั่ง ณ วันที่ 30 เมษายน พ.ศ. 2567

ประธานกรรมการผู้เชี่ยวชาญ คณะที่ 2

## เอกสารต้นฉบับ

- [PDF ต้นฉบับ (local)](../../raw/orders/order-19-2567-committee2.pdf)
- [ที่มา: pdpc.or.th](https://www.pdpc.or.th/wp-content/uploads/2025/03/PDPC-Committee2-19.67.pdf)

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/order/19-2567-committee2.md

============================================================
โนด: คำสั่ง 21/2566 (คณะ 2)
ลิงก์อ้างอิง: https://link.pdpalawbase.com/order/21-2566-committee2.md

# คำสั่งที่ 21/2566 (คณะที่ 2) — ยุติเรื่องร้องเรียน กรณีบริษัทไม่ลบข้อมูลผู้สมัครงานที่ไม่ผ่านทดลองงาน (บริษัทดำเนินการลบแล้ว)

## เรื่องร้องเรียน

- **ผู้ร้องเรียน:** [นางสาว ก.]
- **ผู้ถูกร้องเรียน:** [บริษัท A]

คำร้องเรียนนี้สรุปความได้ว่า ผู้ร้องเรียนได้ขอให้ผู้ถูกร้องเรียนลบและทำลายข้อมูลส่วนบุคคลของผู้ร้องเรียนขณะที่ยื่นสมัครงานแต่ไม่ผ่านการทดลองงาน เนื่องจากเห็นว่าไม่มีความจำเป็นที่จะต้องจัดเก็บและเพื่อป้องกันความเสียหายที่อาจเกิดขึ้น จึงได้ร้องขอให้ฝ่ายทรัพยากรบุคคลของผู้ถูกร้องเรียนดำเนินการเมื่อวันที่ 26 มิถุนายน 2566 แต่ยังไม่ได้รับการตอบกลับจากผู้ถูกร้องเรียน

## คำวินิจฉัย

คณะกรรมการผู้เชี่ยวชาญ คณะที่ 2 พิจารณาตรวจสอบแล้วเห็นว่า ผู้ถูกร้องเรียนได้ลบและทำลายข้อมูลส่วนบุคคลของผู้ร้องเรียน เมื่อวันที่ 18 กรกฎาคม 2566 จึงเป็นการปฏิบัติตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ที่ถูกต้องและครบถ้วนตามคำขอของผู้ร้องเรียน

## คำสั่ง

อาศัยอำนาจตามความใน [มาตรา 74](https://link.pdpalawbase.com/section/74.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ประกอบกับความในข้อ 13 (6) ของระเบียบคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล ว่าด้วยการยื่น การไม่รับเรื่อง การยุติเรื่อง การพิจารณา และระยะเวลาในการพิจารณาคำร้องเรียน พ.ศ. 2565 คณะกรรมการผู้เชี่ยวชาญ คณะที่ 2 จึงมีคำสั่งยุติเรื่องร้องเรียน

สั่ง ณ วันที่ 30 สิงหาคม พ.ศ. 2566

ประธานกรรมการผู้เชี่ยวชาญ คณะที่ 2

## เอกสารต้นฉบับ

- [PDF ต้นฉบับ (local)](../../raw/orders/order-21-2566-committee2.pdf)
- [ที่มา: pdpc.or.th](https://www.pdpc.or.th/wp-content/uploads/2024/11/new-PDPC-Committee2-21.66.pdf)

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/order/21-2566-committee2.md

============================================================
โนด: คำสั่ง 21/2567 (คณะ 1)
ลิงก์อ้างอิง: https://link.pdpalawbase.com/order/21-2567-committee1.md

# คำสั่งที่ 21/2567 (คณะที่ 1) — ยุติเรื่องร้องเรียน กรณีธนาคารตรวจสอบประวัติเครดิตบูโรของลูกค้าสินเชื่อรถยนต์ (ข้อยกเว้นมาตรา 4 (6) — ข้อมูลเครดิต)

## เรื่องร้องเรียน

- **ผู้ร้องเรียน:** [นางสาว ก.]
- **ผู้ถูกร้องเรียน:** [ธนาคาร A]

คำร้องเรียนนี้สรุปความได้ว่า เมื่อประมาณเดือนมิถุนายน 2563 ผู้ร้องเรียนเคยขอสินเชื่อรถยนต์กับผู้ถูกร้องเรียน ต่อมาช่วงประมาณเดือนตุลาคม 2566 ผู้ร้องเรียนได้ขอข้อมูลเกี่ยวกับประวัติการชำระหนี้ของลูกค้า (เครดิตบูโร) ของตนมาเพื่อตรวจสอบจากบริษัทข้อมูลเครดิตแห่งชาติ ปรากฏว่า ผู้ถูกร้องเรียนได้มีการทบทวนสินเชื่อของผู้ร้องเรียนทุกเดือน โดยที่ผู้ถูกร้องเรียนไม่เคยมีหนังสือหรือติดต่อเพื่อขอความยินยอมจากผู้ร้องเรียนแต่อย่างใด

## คำวินิจฉัย

คณะกรรมการผู้เชี่ยวชาญ คณะที่ 1 พิจารณาแล้วเห็นว่า ผู้ถูกร้องเรียนใช้ เปิดเผยข้อมูลส่วนบุคคลของผู้ร้องเรียนเพื่อวัตถุประสงค์ในการตรวจสอบประวัติการชำระสินเชื่อ ตามประกาศคณะกรรมการคุ้มครองข้อมูลเครดิต เรื่องการเปิดเผยหรือให้ข้อมูลแก่สมาชิกหรือผู้ใช้บริการและการให้ความยินยอมของเจ้าของข้อมูล การกระทำดังกล่าวของผู้ถูกร้องเรียนจึงเป็นการดำเนินการกับข้อมูลของบริษัทข้อมูลเครดิต และสมาชิกตามกฎหมายว่าด้วยการประกอบธุรกิจข้อมูลเครดิต ตาม [มาตรา 4](https://link.pdpalawbase.com/section/4.md) (6) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 การกระทำของผู้ถูกร้องเรียนจึงไม่อยู่ภายใต้บังคับตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562

## คำสั่ง

อาศัยอำนาจตาม [มาตรา 74](https://link.pdpalawbase.com/section/74.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 คณะกรรมการผู้เชี่ยวชาญ คณะที่ 1 จึงมีคำสั่งยุติเรื่องร้องเรียน

สั่ง ณ วันที่ 6 ธันวาคม พ.ศ. 2567

ประธานกรรมการผู้เชี่ยวชาญ คณะที่ 1

## เอกสารต้นฉบับ

- [PDF ต้นฉบับ (local)](../../raw/orders/order-21-2567-committee1.pdf)
- [ที่มา: pdpc.or.th](https://www.pdpc.or.th/wp-content/uploads/2026/01/PDPC-Committee1-21-2567.pdf)

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/order/21-2567-committee1.md

============================================================
โนด: คำสั่ง 24/2566 (คณะ 2)
ลิงก์อ้างอิง: https://link.pdpalawbase.com/order/24-2566-committee2.md

# คำสั่งที่ 24/2566 (คณะที่ 2) — ยุติเรื่องร้องเรียน กรณีกล้องวงจรปิดในอาคารชุดส่องหน้าห้องชุด (เป็นการดำเนินการตาม ม.24(5) PDPA)

## เรื่องร้องเรียน

- **ผู้ร้องเรียน:** [นาย ก.]
- **ผู้ถูกร้องเรียน:** [บริษัท A]

คำร้องเรียนนี้สรุปความได้ว่า ผู้ถูกร้องเรียนติดตั้งกล้องวงจรปิด (CCTV) โดยมีมุมกล้องบันทึกภาพมายังบริเวณหน้าห้องชุดของผู้ร้องเรียน ทำให้เห็นกลอนประตูดิจิทัลที่ใช้ในการกดรหัสเข้าออกห้องพักและบริเวณภายในห้องพักบางส่วนโดยไม่ได้รับความยินยอมและไม่เป็นไปตามวัตถุประสงค์โดยชอบด้วยกฎหมาย ทำให้ผู้ร้องเรียนถูกละเมิดสิทธิส่วนตัวโดยการบันทึกภาพและได้รับความเสียหาย จึงขอให้ผู้ถูกร้องเรียนปรับมุมกล้องวงจรปิดให้พ้นจากพื้นบริเวณหน้าห้องพักของผู้ร้องเรียน

## คำวินิจฉัย

คณะกรรมการผู้เชี่ยวชาญ คณะที่ 2 ได้ตรวจสอบข้อเท็จจริงแล้วเห็นว่า ผู้ถูกร้องเรียนได้ติดตั้งกล้องวงจรปิดในลักษณะและตำแหน่งเดียวกันทุกชั้น โดยออกแบบดำเนินการตามข้อบังคับและมติของเจ้าของอาคารชุด มิได้เลือกปฏิบัติต่อเจ้าของห้องพักและผู้พักอาศัยรายใด มีการติดป้ายแจ้งเจ้าของอาคารชุดและผู้อาศัยให้ทราบก่อนแล้ว ทั้งนี้ เพื่อใช้ในการรักษาความปลอดภัยภายในอาคารและพื้นที่ส่วนกลาง การบันทึกภาพและเผยแพร่ข้อมูลจากกล้องวงจรปิด ก็เป็นไปตามระเบียบของอาคารชุดที่ชอบด้วยกฎหมาย กรณีการติดตั้งกล้องวงจรปิดของผู้ถูกร้องเรียน ซึ่งอยู่ในฐานะผู้ควบคุมข้อมูลส่วนบุคคล จึงเป็นการดำเนินการตาม [มาตรา 24](https://link.pdpalawbase.com/section/24.md) (5) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 และไม่เป็นการไม่ปฏิบัติตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 อย่างไรก็ดี คณะกรรมการผู้เชี่ยวชาญ คณะที่ 2 มีข้อเสนอแนะให้ผู้ถูกร้องเรียนควรระมัดระวังในการบันทึกภาพที่อาจละเมิดข้อมูลส่วนบุคคลซึ่งไม่เกี่ยวข้องกับการรักษาความปลอดภัยภายในบริเวณพื้นที่อาคาร

## คำสั่ง

อาศัยอำนาจตามความใน [มาตรา 74](https://link.pdpalawbase.com/section/74.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 คณะกรรมการผู้เชี่ยวชาญ คณะที่ 2 จึงมีคำสั่งยุติเรื่องร้องเรียน

สั่ง ณ วันที่ 13 พฤศจิกายน พ.ศ. 2566

ประธานกรรมการผู้เชี่ยวชาญ คณะที่ 2

## เอกสารต้นฉบับ

- [PDF ต้นฉบับ (local)](../../raw/orders/order-24-2566-committee2.pdf)
- [ที่มา: pdpc.or.th](https://www.pdpc.or.th/wp-content/uploads/2024/11/PDPC-Committee2-24.66.pdf)

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/order/24-2566-committee2.md

============================================================
โนด: คำสั่ง 25/2566 (คณะ 2)
ลิงก์อ้างอิง: https://link.pdpalawbase.com/order/25-2566-committee2.md

# คำสั่งที่ 25/2566 (คณะที่ 2) — ไม่รับเรื่องร้องเรียน กรณีโพสต์รูปครอบครัวบนแฟนเพจ (เอกสารหลักฐานไม่ชัดเจน)

## เรื่องร้องเรียน

- **ผู้ร้องเรียน:** [นาง ก.]
- **ผู้ถูกร้องเรียน:** [เพจ A]

คำร้องเรียนนี้สรุปความได้ว่า ผู้ถูกร้องเรียนนำข้อมูลส่วนบุคคล ได้แก่รูปภาพครอบครัวและทัศนคติในเรื่ององค์กรและอาชีพการงานจากบัญชีส่วนบุคคลในสื่อสังคมออนไลน์ของผู้ร้องเรียนไปโพสต์ในแฟนเพจของผู้ถูกร้องเรียน โดยไม่ได้รับความยินยอม ต่อมามีการโต้ตอบความคิดเห็นกันใต้โพสต์ดังกล่าวในเชิงคุกคาม อาจทำให้เกิดความเข้าใจผิด เสื่อมเสียต่อชื่อเสียงและหน้าที่การงาน

## คำวินิจฉัย

คณะกรรมการผู้เชี่ยวชาญ คณะที่ 2 ได้ตรวจสอบข้อเท็จจริงแล้วเห็นว่า ผู้ถูกร้องเรียนเป็นเพจ A ซึ่งผู้ร้องเรียนมิได้ระบุชื่อ นามสกุลหรือสถานะบุคคล จึงเป็นกรณีที่เอกสารหลักฐานที่เกี่ยวข้องไม่มีความชัดเจนเพียงพอที่จะพิจารณาได้ ทั้งนี้ ตามระเบียบคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลว่าด้วยการยื่น การไม่รับเรื่อง การยุติเรื่อง การพิจารณาและระยะเวลาในการพิจารณาคำร้องเรียน พ.ศ. 2565

## คำสั่ง

อาศัยอำนาจตามความใน [มาตรา 74](https://link.pdpalawbase.com/section/74.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 คณะกรรมการผู้เชี่ยวชาญ คณะที่ 2 จึงมีคำสั่งไม่รับเรื่องร้องเรียน

สั่ง ณ วันที่ 13 พฤศจิกายน พ.ศ. 2566

ประธานกรรมการผู้เชี่ยวชาญ คณะที่ 2

## เอกสารต้นฉบับ

- [PDF ต้นฉบับ (local)](../../raw/orders/order-25-2566-committee2.pdf)
- [ที่มา: pdpc.or.th](https://www.pdpc.or.th/wp-content/uploads/2024/11/PDPC-Committee2-25.66.pdf)

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/order/25-2566-committee2.md

============================================================
โนด: คำสั่ง 30/2566 (คณะ 2)
ลิงก์อ้างอิง: https://link.pdpalawbase.com/order/30-2566-committee2.md

# คำสั่งที่ 30/2566 (คณะที่ 2) — ตักเตือน บริษัท A กรณีพนักงาน HR ประมาทเลินเล่อทำให้เอกสารปรับโครงสร้างเงินเดือนรั่วไหล (ฝ่าฝืน ม.27 ว.1 ประกอบ ม.83 · ปรับปรุง ม.37(1))

## เรื่องร้องเรียน

- **ผู้ร้องเรียน:** [นางสาว ก.]
- **ผู้ถูกร้องเรียน:** [บริษัท A]

คำร้องเรียนนี้สรุปความได้ว่า ผู้ร้องเรียนซึ่งเป็นอดีตพนักงานบริษัท A ของผู้ถูกร้องเรียน ถูกเพื่อนร่วมงานในบริษัทเดียวกันเปิดดูเอกสารปรับโครงสร้างเงินเดือนประจำปี 2566 เนื่องจากความประมาทเลินเล่อของเจ้าหน้าที่แผนกทรัพยากรบุคคลที่มีหน้าที่ดูแลปกป้องข้อมูลส่วนบุคคลอันเป็นความลับของพนักงานบริษัทของผู้ถูกร้องเรียน ได้ฝากส่งเอกสารผ่านบุคคลที่ไม่ได้เกี่ยวข้องโดยไม่ปิดผนึกซองจดหมายเงินเดือน และมีการเปิดเผยข้อมูลให้กับเพื่อนร่วมงานคนอื่น ทำให้ผู้ร้องเรียนได้รับความเสียหายและถูกละเมิดสิทธิส่วนบุคคล จึงขอให้ดำเนินการทางกฎหมายกับผู้ถูกร้องเรียน

## คำวินิจฉัย

คณะกรรมการผู้เชี่ยวชาญ คณะที่ 2 ได้พิจารณาตรวจสอบข้อเท็จจริงแล้วเห็นว่า ผู้ถูกร้องเรียนซึ่งเป็นผู้ควบคุมข้อมูลส่วนบุคคล ต้องมีหน้าที่ดูแลข้อมูลส่วนบุคคล ซึ่งมี ชื่อ นามสกุล และข้อมูลการปรับโครงสร้างเงินเดือนของผู้ร้องเรียน มิให้ไปเปิดเผยให้กับพนักงานอื่นนอกเหนือจากเจ้าของข้อมูลส่วนบุคคล การประมาทเลินเล่อของพนักงานบริษัทผู้ถูกร้องเรียน จนทำให้มีข้อมูลรั่วไหลโดยไม่ได้รับความยินยอมดังกล่าว จึงเป็นการกระทำที่ละเมิดข้อมูลส่วนบุคคลตาม [มาตรา 27](https://link.pdpalawbase.com/section/27.md) วรรคหนึ่ง ที่กำหนดห้ามมิให้ผู้ควบคุมข้อมูลส่วนบุคคลใช้หรือเปิดเผยข้อมูลส่วนบุคคลโดยไม่ได้รับความยินยอมจากเจ้าของข้อมูลส่วนบุคคล ประกอบ [มาตรา 83](https://link.pdpalawbase.com/section/83.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ดังนั้น เพื่อเป็นการป้องกันไม่ให้เกิดการกระทำความผิดในลักษณะดังกล่าวอีก ผู้ถูกร้องเรียนจะต้องปรับปรุงแก้ไขมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสม ตาม [มาตรา 37](https://link.pdpalawbase.com/section/37.md) (1) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 และเป็นไปตามมาตรการขั้นต่ำ ตามข้อ 4 (7) ของประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง มาตรการรักษาความมั่นคงปลอดภัยของผู้ควบคุมข้อมูลส่วนบุคคล พ.ศ. 2565

## คำสั่ง

อาศัยอำนาจตามความใน [มาตรา 90](https://link.pdpalawbase.com/section/90.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 คณะกรรมการผู้เชี่ยวชาญ คณะที่ 2 จึงมีคำสั่งตักเตือนผู้ถูกร้องเรียน และให้ดำเนินการปรับปรุงแก้ไขมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสมตาม [มาตรา 37](https://link.pdpalawbase.com/section/37.md) (1) รวมทั้งพิจารณาช่วยเหลือเยียวยาผู้ร้องเรียนอย่างเหมาะสม เป็นธรรมและมีความปลอดภัยในการทำงาน โดยให้รายงานผลต่อคณะกรรมการผู้เชี่ยวชาญ คณะที่ 2 ภายใน 30 วัน นับแต่วันที่รับคำสั่ง

สั่ง ณ วันที่ 20 ธันวาคม 2566

ประธานกรรมการผู้เชี่ยวชาญ คณะที่ 2

## เอกสารต้นฉบับ

- [PDF ต้นฉบับ (local)](../../raw/orders/order-30-2566-committee2.pdf)
- [ที่มา: pdpc.or.th](https://www.pdpc.or.th/wp-content/uploads/2025/01/PDPC-Committee2-30.66-L2.pdf)

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/order/30-2566-committee2.md

============================================================
โนด: คำสั่ง 31/2566 (คณะ 2)
ลิงก์อ้างอิง: https://link.pdpalawbase.com/order/31-2566-committee2.md

# คำสั่งที่ 31/2566 (คณะที่ 2) — ยุติเรื่องร้องเรียน กรณีนายจ้างเปิดเผยข้อมูลพนักงานต่อบริษัทตรวจสอบ (ประนอมข้อพิพาท + ถอนคำร้อง)

## เรื่องร้องเรียน

- **ผู้ร้องเรียน:** [นางสาว ก.]
- **ผู้ถูกร้องเรียน:** [บริษัท A]

คำร้องเรียนนี้สรุปความได้ว่า ผู้ถูกร้องเรียนในฐานะผู้จ้างงาน ได้เปิดเผยข้อมูลส่วนบุคคลของผู้ร้องเรียน คือ หมายเลขบัตรประจำตัวประชาชน หมายเลขโทรศัพท์ส่วนตัว ที่อยู่ของบุคคลภายในครอบครัว และข้อมูลการเข้ารับการรักษา [ข้อมูลสุขภาพ] ให้แก่ [บริษัท B] เพื่อการตรวจสอบโดยไม่ได้รับความยินยอม และ [บริษัท B] ได้นำข้อมูลส่วนบุคคลของผู้ร้องเรียน และข้อมูลคำให้การที่ได้ให้ไว้แก่เจ้าหน้าที่คุ้มครองแรงงานใช้ขู่บังคับ ทำให้ผู้ร้องเรียนได้รับความเสียหาย

## คำวินิจฉัย

คณะกรรมการผู้เชี่ยวชาญ คณะที่ 2 ได้ตรวจสอบข้อเท็จจริงแล้วปรากฏว่า คู่กรณีได้มีการเจรจาตกลงประนอมข้อพิพาทกันโดยเรียบร้อยแล้ว และผู้ร้องเรียนได้มีหนังสือขอถอนคำร้องเรียนต่อสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เมื่อวันที่ 6 ตุลาคม 2566 จึงไม่มีประเด็นต้องวินิจฉัยต่อไปตามข้อ 13 (6) ของระเบียบคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลว่าด้วยการยื่น การไม่รับเรื่อง การยุติเรื่อง การพิจารณา และระยะเวลาในการพิจารณาคำร้องเรียน พ.ศ. 2565

## คำสั่ง

อาศัยอำนาจตามความใน [มาตรา 74](https://link.pdpalawbase.com/section/74.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 คณะกรรมการผู้เชี่ยวชาญ คณะที่ 2 จึงมีคำสั่งยุติเรื่องร้องเรียน

สั่ง ณ วันที่ 20 ธันวาคม พ.ศ. 2566

ประธานกรรมการผู้เชี่ยวชาญ คณะที่ 2

## เอกสารต้นฉบับ

- [PDF ต้นฉบับ (local)](../../raw/orders/order-31-2566-committee2.pdf)
- [ที่มา: pdpc.or.th](https://www.pdpc.or.th/wp-content/uploads/2024/11/new-PDPC-Committee2-31.66.pdf)

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/order/31-2566-committee2.md

============================================================
โนด: คำสั่ง 31/2568 (คณะ 2)
ลิงก์อ้างอิง: https://link.pdpalawbase.com/order/31-2568-committee2.md

# คำสั่งที่ 31/2568 (คณะที่ 2) — ตักเตือน กรณีบริษัทมหาชนปิดป้ายประชาสัมพันธ์ประจานอดีตพนักงานพร้อมสำเนาคำฟ้องคดีแรงงาน (ฝ่าฝืน ม.27)

## เรื่องร้องเรียน

- **ผู้ร้องเรียน:** [นางสาว ก.]
- **ผู้ถูกร้องเรียน:** [บริษัท A.]

เรื่องร้องเรียนนี้สรุปความได้ว่า ผู้ร้องเรียนเคยทำงานที่บริษัทผู้ถูกร้องเรียน ต่อมาผู้ร้องเรียนได้ลาออกและไปทำงานที่บริษัทแห่งหนึ่ง ซึ่งผู้ถูกร้องเรียนเห็นว่าผู้ร้องเรียนได้ทำงานในกิจการที่ประกอบธุรกิจอย่างเดียวกันกับตน จึงดำเนินคดีแรงงานกับผู้ร้องเรียนฐานผิดสัญญาประกอบอาชีพในธุรกิจอย่างเดียวกัน ต่อมาผู้ร้องเรียนทราบว่า ผู้ถูกร้องเรียนได้ปิดประกาศที่ป้ายประชาสัมพันธ์ของบริษัท โดยปรากฏภาพถ่ายของผู้ร้องเรียน ณ ที่ทำงานแห่งใหม่ ประกอบกับหน้าเพจเฟซบุ๊กของที่ทำงานแห่งใหม่ และสำเนาคำฟ้องคดีแรงงาน แม้ประกาศดังกล่าวจะมีการปกปิดใบหน้า ชื่อตัว ชื่อสกุล และข้อมูลส่วนบุคคลอื่น แต่พนักงานของผู้ถูกร้องเรียนสามารถทราบได้ทันทีว่าบุคคลในภาพถ่ายคือผู้ร้องเรียน เนื่องจากทำงานร่วมกันเป็นเวลานานจึงสามารถจดจำรูปลักษณ์ของผู้ร้องเรียนได้ โดยมีผู้พบเห็นและลงนามรับทราบเป็นจำนวนมาก ทำให้ผู้ร้องเรียนอับอาย โดยถูกตั้งข้อรังเกียจจากบุคคลในวิชาชีพเดียวกัน และสูญเสียโอกาสในการปฏิบัติงาน

## คำวินิจฉัย

คณะกรรมการผู้เชี่ยวชาญ คณะที่ 2 พิจารณาแล้วเห็นว่า ผู้ถูกร้องเรียนเป็นนิติบุคคลประเภทบริษัทมหาชนจำกัด มีอำนาจหน้าที่ตัดสินใจเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลในกิจการของตน จึงมีสถานะเป็นผู้ควบคุมข้อมูลส่วนบุคคลตาม [มาตรา 6](https://link.pdpalawbase.com/section/6.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 การที่ผู้ถูกร้องเรียนปิดป้ายประชาสัมพันธ์ซึ่งปรากฏภาพถ่ายของผู้ร้องเรียนและสำเนาคำฟ้องคดีแรงงาน แม้จะมีการเบลอใบหน้าและปิดบังชื่อตัว ชื่อสกุล รวมถึงข้อมูลส่วนบุคคลอื่นของผู้ร้องเรียน แต่ภาพถ่ายดังกล่าวยังปรากฏรูปพรรณสัณฐานที่ทำให้บุคคลที่พบเห็นจำได้ว่าเป็นผู้ร้องเรียน จึงเป็นข้อมูลเกี่ยวกับบุคคลที่ทำให้สามารถระบุตัวผู้ร้องเรียนได้ทางอ้อมอันเป็นข้อมูลส่วนบุคคล ตาม [มาตรา 6](https://link.pdpalawbase.com/section/6.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562

เมื่อผู้ถูกร้องเรียนนำข้อมูลดังกล่าวมาใช้และเปิดเผยประกอบการบรรยายข้อห้ามกระทำการเป็นคู่แข่งทางการค้าของบริษัทและกฎหมายเกี่ยวกับการค้าแข่ง ทำให้พนักงานของผู้ถูกร้องเรียนสามารถเข้าใจได้ว่าบุคคลในภาพคือผู้ร้องเรียน อันมีลักษณะเป็นการประจานพฤติกรรมของผู้ร้องเรียน ซึ่งผู้ถูกร้องเรียนได้ใช้สิทธิฟ้องร้องผู้ร้องเรียนเป็นคดีต่อศาลแรงงานแล้ว ดังนั้น การปิดป้ายประชาสัมพันธ์ของผู้ถูกร้องเรียนจึงเป็นการกระทำที่เกินความจำเป็นเพื่อประโยชน์โดยชอบด้วยกฎหมายของผู้ควบคุมข้อมูลส่วนบุคคลและประโยชน์ดังกล่าวสำคัญน้อยกว่าสิทธิขั้นพื้นฐานในข้อมูลส่วนบุคคลของผู้ร้องเรียน จึงไม่เข้าข้อยกเว้นตาม [มาตรา 24](https://link.pdpalawbase.com/section/24.md) (5) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 เมื่อการใช้และเปิดเผยข้อมูลส่วนบุคคลดังกล่าวไม่ได้รับความยินยอมจากผู้ร้องเรียน จึงเป็นการกระทำที่ฝ่าฝืน [มาตรา 27](https://link.pdpalawbase.com/section/27.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562

## คำสั่ง

อาศัยอำนาจตามความใน [มาตรา 74](https://link.pdpalawbase.com/section/74.md) ประกอบ [มาตรา 90](https://link.pdpalawbase.com/section/90.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 คณะกรรมการผู้เชี่ยวชาญ คณะที่ 2 จึงมีคำสั่งตักเตือนให้ผู้ถูกร้องเรียนแก้ไขและปฏิบัติให้ถูกต้องตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ดังต่อไปนี้

1. ตักเตือนให้ผู้ถูกร้องเรียนปฏิบัติให้ถูกต้องตาม [มาตรา 27](https://link.pdpalawbase.com/section/27.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 อย่างเคร่งครัด

2. ให้ผู้ถูกร้องเรียนลบทำลายข้อมูลส่วนบุคคลของผู้ร้องเรียนตาม [มาตรา 33](https://link.pdpalawbase.com/section/33.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562

3. ให้ดำเนินการตามข้อ 2 พร้อมทั้งรายงานผลการปฏิบัติต่อคณะกรรมการผู้เชี่ยวชาญ สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล ภายใน 30 วันนับแต่วันที่ได้รับคำสั่ง

สั่ง ณ วันที่ 22 สิงหาคม พ.ศ. 2568

ประธานกรรมการผู้เชี่ยวชาญ คณะที่ 2

## เอกสารต้นฉบับ

- [PDF ต้นฉบับ (local)](../../raw/orders/order-31-2568-committee2.pdf)
- [ที่มา: pdpc.or.th](https://www.pdpc.or.th/wp-content/uploads/2026/01/PDPC-Committee2-31.68.pdf)

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/order/31-2568-committee2.md

============================================================
โนด: คำสั่ง 32/2566 (คณะ 2)
ลิงก์อ้างอิง: https://link.pdpalawbase.com/order/32-2566-committee2.md

# คำสั่งที่ 32/2566 (คณะที่ 2) — ยุติเรื่องร้องเรียน กรณีผู้เยาว์ขอให้โรงพยาบาลลบข้อมูลทะเบียนประวัติ (ฐานกฎหมายเฉพาะ ม.26(5)(ก) ประกอบ พ.ร.บ.สถานพยาบาล ม.35(3))

## เรื่องร้องเรียน

- **ผู้ร้องเรียน:** [นางสาว ก.]
- **ผู้ถูกร้องเรียน:** [โรงพยาบาล A]

คำร้องเรียนนี้สรุปความได้ว่า ผู้ร้องเรียนต้องการให้ผู้ถูกร้องเรียนลบข้อมูลส่วนบุคคลออกจากระบบทะเบียนประวัติทั้งหมดที่ผู้ถูกร้องเรียนได้เก็บรวบรวมไว้ตามระเบียบของโรงพยาบาล ซึ่งผู้ถูกร้องเรียนมีการแจ้งวัตถุประสงค์และได้รับความยินยอมจากมารดาของผู้ร้องเรียนในฐานะผู้แทนโดยชอบธรรมแล้ว เนื่องจากผู้ร้องเรียนยังไม่บรรลุนิติภาวะ

## คำวินิจฉัย

คณะกรรมการผู้เชี่ยวชาญ คณะที่ 2 พิจารณาแล้วเห็นว่า ผู้ถูกร้องเรียนมีฐานะเป็นผู้ควบคุมข้อมูลส่วนบุคคลตาม [มาตรา 6](https://link.pdpalawbase.com/section/6.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 และการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลของผู้ร้องเรียน เป็นเรื่องที่กฎหมายบัญญัติให้อำนาจไว้โดยเฉพาะตามมาตรา 35 (3) แห่งพระราชบัญญัติสถานพยาบาล พ.ศ. 2541 ที่กำหนดให้โรงพยาบาลจะต้องจัดเก็บข้อมูลส่วนบุคคลและข้อมูลการรักษาไว้อย่างน้อย 5 ปี อีกทั้ง เป็นการจำเป็นในการปฏิบัติหน้าที่ตามกฎหมายเพื่อให้บรรลุวัตถุประสงค์ในด้านเวชศาสตร์ป้องกันหรืออาชีวเวชศาสตร์ การวินิจฉัยโรคทางการแพทย์ การให้บริการด้านสุขภาพ การรักษาทางการแพทย์ ตาม [มาตรา 26](https://link.pdpalawbase.com/section/26.md) (5) (ก) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 การกระทำจึงไม่เป็นการฝ่าฝืนพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562

## คำสั่ง

อาศัยอำนาจตามความใน [มาตรา 74](https://link.pdpalawbase.com/section/74.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 คณะกรรมการผู้เชี่ยวชาญ คณะที่ 2 จึงมีคำสั่งยุติเรื่องร้องเรียน

สั่ง ณ วันที่ 20 ธันวาคม พ.ศ. 2566

ประธานกรรมการผู้เชี่ยวชาญ คณะที่ 2

## เอกสารต้นฉบับ

- [PDF ต้นฉบับ (local)](../../raw/orders/order-32-2566-committee2.pdf)
- [ที่มา: pdpc.or.th](https://www.pdpc.or.th/wp-content/uploads/2024/11/PDPC-Committee2-32.66.pdf)

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/order/32-2566-committee2.md

============================================================
โนด: คำสั่ง 33/2566 (คณะ 2)
ลิงก์อ้างอิง: https://link.pdpalawbase.com/order/33-2566-committee2.md

# คำสั่งที่ 33/2566 (คณะที่ 2) — ยุติเรื่องร้องเรียน กรณีบริษัท A โทรเสนอขายแพ็คเกจ (ฐานสัญญา + Privacy Notice ตาม ม.23 · ยุติการกระทำแล้ว)

## เรื่องร้องเรียน

- **ผู้ร้องเรียน:** [นาย ก.]
- **ผู้ถูกร้องเรียน:** [บริษัท A]

คำร้องเรียนนี้สรุปความได้ว่า ผู้ถูกร้องเรียนได้ใช้โทรศัพท์และส่งข้อความเสนอขายแพ็คเกจของ [บริษัท A] แก่ผู้ร้องเรียนหลายครั้ง ซึ่งเป็นการใช้ข้อมูลส่วนบุคคลโดยไม่ได้รับความยินยอม ทำให้เสียสมาธิและเป็นการรบกวนเวลา จึงขอให้ผู้ถูกร้องเรียนชี้แจงและหยุดการกระทำดังกล่าว

## คำวินิจฉัย

คณะกรรมการผู้เชี่ยวชาญ คณะที่ 2 ได้ตรวจสอบข้อเท็จจริงแล้วปรากฏว่า ผู้ถูกร้องเรียนได้เก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลของผู้ร้องเรียน โดยใช้ฐานสัญญาที่ผู้ร้องเรียนเป็นผู้ใช้บริการ ทั้งนี้ ผู้ถูกร้องเรียนมีการประกาศการคุ้มครองข้อมูลส่วนบุคคล (Privacy Notice) และนโยบายการคุ้มครองข้อมูลส่วนบุคคล (Privacy Policy) เผยแพร่อยู่บนเว็บไซต์แล้ว จึงเป็นการดำเนินการตาม [มาตรา 23](https://link.pdpalawbase.com/section/23.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ประกอบกับภายหลังที่ผู้ถูกร้องเรียนรับทราบว่าผู้ร้องเรียนไม่ประสงค์จะให้ติดต่อเพื่อแจ้งข่าวสารสิทธิประโยชน์อีก ทางบริษัทผู้ถูกร้องเรียนจึงได้ยุติการกระทำดังกล่าวทุกช่องทางตั้งแต่วันที่ 31 มีนาคม 2566 ดังนั้น จึงถือว่าผู้ถูกร้องเรียนได้ปฏิบัติตามคำขอของผู้ร้องเรียนแล้วตามข้อ 13 (6) ของระเบียบคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลว่าด้วยการยื่น การไม่รับเรื่อง การยุติเรื่อง การพิจารณา และระยะเวลาในการพิจารณาคำร้องเรียน พ.ศ. 2565

## คำสั่ง

อาศัยอำนาจตามความใน [มาตรา 74](https://link.pdpalawbase.com/section/74.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 คณะกรรมการผู้เชี่ยวชาญ คณะที่ 2 จึงมีคำสั่งยุติเรื่องร้องเรียน

สั่ง ณ วันที่ 20 ธันวาคม พ.ศ. 2566

ประธานกรรมการผู้เชี่ยวชาญ คณะที่ 2

## เอกสารต้นฉบับ

- [PDF ต้นฉบับ (local)](../../raw/orders/order-33-2566-committee2.pdf)
- [ที่มา: pdpc.or.th](https://www.pdpc.or.th/wp-content/uploads/2024/11/PDPC-Committee2-33.66.pdf)

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/order/33-2566-committee2.md

============================================================
โนด: คำสั่ง 35/2566 (คณะ 2)
ลิงก์อ้างอิง: https://link.pdpalawbase.com/order/35-2566-committee2.md

# คำสั่งที่ 35/2566 (คณะที่ 2) — ยุติเรื่องร้องเรียน กรณีติดตั้งกล้องวงจรปิดในสำนักงานโดยไม่แจ้งวัตถุประสงค์ (ถอดกล้องแล้ว)

## เรื่องร้องเรียน

- **ผู้ร้องเรียน:** [นางสาว ก.]
- **ผู้ถูกร้องเรียน:** [หน่วยงาน A]

คำร้องเรียนนี้สรุปความได้ว่า ผู้ร้องเรียนซึ่งเป็นเจ้าหน้าที่ในหน่วยงาน A ร้องเรียนว่าเจ้าหน้าที่ภายในสำนักงานฯ ของผู้ถูกร้องเรียน ได้ติดตั้งกล้องวงจรปิด (CCTV) ซึ่งเป็นกล้องที่หมุนได้รอบทิศทาง ทำให้เห็นบริเวณภายในสำนักงานฯ ชัดเจน โดยไม่ได้มีการขอความยินยอมจากผู้ร้องเรียนและบุคลากรอื่น ๆ และไม่แจ้งให้ทราบถึงวัตถุประสงค์ในการติดตั้งกล้องวงจรปิดด้วย ทำให้ผู้ร้องเรียนได้รับความเสียหาย

## คำวินิจฉัย

คณะกรรมการผู้เชี่ยวชาญ คณะที่ 2 พิจารณาแล้วเห็นว่า ผู้ถูกร้องเรียนมีสถานะเป็นผู้ควบคุมข้อมูลส่วนบุคคลตาม [มาตรา 6](https://link.pdpalawbase.com/section/6.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ที่ต้องปฏิบัติตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 การที่เจ้าหน้าที่ในสำนักงานฯ ติดตั้งกล้องวงจรปิดภายในสำนักงานฯ แม้มิได้เป็นผู้สั่งให้กระทำ ผู้ถูกร้องเรียนก็ย่อมควรรู้ และเมื่อไม่มีการแจ้งวัตถุประสงค์เพื่อการรักษาความปลอดภัยและจุดติดตั้งอย่างชัดเจน กรณีนี้จึงเป็นการละเมิดสิทธิของบุคคลอื่น

อย่างไรก็ดี ภายหลังจากที่ผู้ถูกร้องเรียนได้ทราบและให้ถอดกล้องวงจรปิดออกแล้ว ดังนั้น จึงถือว่าผู้ถูกร้องเรียนได้ปฏิบัติตามคำขอของผู้ร้องเรียนตามข้อ 13 (3) ของระเบียบคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลว่าด้วยการยื่น การไม่รับเรื่อง การยุติเรื่อง การพิจารณา และระยะเวลาในการพิจารณาคำร้องเรียน พ.ศ. 2565

## คำสั่ง

อาศัยอำนาจตามความใน [มาตรา 74](https://link.pdpalawbase.com/section/74.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 คณะกรรมการผู้เชี่ยวชาญ คณะที่ 2 จึงมีคำสั่งยุติเรื่องร้องเรียน

สั่ง ณ วันที่ 20 ธันวาคม พ.ศ. 2566

ประธานกรรมการผู้เชี่ยวชาญ คณะที่ 2

## เอกสารต้นฉบับ

- [PDF ต้นฉบับ (local)](../../raw/orders/order-35-2566-committee2.pdf)
- [ที่มา: pdpc.or.th](https://www.pdpc.or.th/wp-content/uploads/2025/01/PDPC-Committee2-35.66-L2.pdf)

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/order/35-2566-committee2.md

============================================================
โนด: คำสั่ง 38/2566 (คณะ 2)
ลิงก์อ้างอิง: https://link.pdpalawbase.com/order/38-2566-committee2.md

# คำสั่งที่ 38/2566 (คณะที่ 2) — ไม่รับเรื่องร้องเรียน กรณีบัตรสนเท่ห์ขอให้ยกเลิกการสแกนใบหน้าลงเวลาในมหาวิทยาลัย

## เรื่องร้องเรียน

- **ผู้ร้องเรียน:** ไม่ปรากฏผู้ร้องเรียน (บัตรสนเท่ห์)
- **ผู้ถูกร้องเรียน:** [มหาวิทยาลัย A]

คำร้องเรียนนี้สรุปความได้ว่า ผู้ถูกร้องเรียนได้เปลี่ยนวิธีการลงเวลาปฏิบัติงาน โดยมีการเก็บรวบรวมข้อมูลใบหน้าของเจ้าหน้าที่ในมหาวิทยาลัยเพื่อใช้ลงเวลาการปฏิบัติงาน เป็นการกระทำผิดตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 จึงขอให้ผู้ถูกร้องเรียนยกเลิกวิธีการลงเวลาการทำงานด้วยวิธีการสแกนใบหน้า ซึ่งผู้ถูกร้องเรียนแจ้งว่าการดำเนินการดังกล่าวได้รับความยินยอมจากผู้ปฏิบัติงานในมหาวิทยาลัย แต่หากเจ้าของข้อมูลส่วนบุคคลไม่ได้ให้ความยินยอม ก็สามารถขอใช้วิธีการอื่นได้ เช่น การกดรหัส เป็นต้น ซึ่งทางมหาวิทยาลัยไม่ได้ปิดกั้นสิทธิแต่อย่างใด

## คำวินิจฉัย

คณะกรรมการผู้เชี่ยวชาญ คณะที่ 2 ได้ตรวจสอบข้อเท็จจริงแล้วเห็นว่า คำร้องเรียนดังกล่าวเป็นการกล่าวอ้างด้วยวิธีส่งบัตรสนเท่ห์ที่ไม่ปรากฏชื่อตัว ชื่อสกุล ที่อยู่ หมายเลขโทรศัพท์หรือไปรษณีย์อิเล็กทรอนิกส์สำหรับการติดต่อของผู้ร้องเรียน คำร้องเรียนจึงไม่ชัดเจนและมีลักษณะรายละเอียดไม่ครบถ้วนตามข้อ 8 (1) ของระเบียบคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลว่าด้วยการยื่น การไม่รับเรื่อง การยุติเรื่อง การพิจารณา และระยะเวลาในการพิจารณาคำร้องเรียน พ.ศ. 2565

## คำสั่ง

อาศัยอำนาจตามความใน [มาตรา 74](https://link.pdpalawbase.com/section/74.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ประกอบกับความในข้อ 13 (1) ของระเบียบคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลว่าด้วยการยื่น การไม่รับเรื่อง การยุติเรื่อง การพิจารณา และระยะเวลาในการพิจารณาคำร้องเรียน พ.ศ. 2565 คณะกรรมการผู้เชี่ยวชาญ คณะที่ 2 จึงมีคำสั่งไม่รับเรื่องร้องเรียน

สั่ง ณ วันที่ 20 ธันวาคม พ.ศ. 2566

ประธานกรรมการผู้เชี่ยวชาญ คณะที่ 2

## เอกสารต้นฉบับ

- [PDF ต้นฉบับ (local)](../../raw/orders/order-38-2566-committee2.pdf)
- [ที่มา: pdpc.or.th](https://www.pdpc.or.th/wp-content/uploads/2025/01/PDPC-Committee2-38.66-L2.pdf)

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/order/38-2566-committee2.md

============================================================
โนด: คำสั่ง 55/2567 (คณะ 2)
ลิงก์อ้างอิง: https://link.pdpalawbase.com/order/55-2567-committee2.md

# คำสั่งที่ 55/2567 (คณะที่ 2) — ยุติเรื่องร้องเรียน กรณีบริษัทแจ้งสาเหตุการเลิกจ้างทางอีเมลภายในบริษัท (ม.24 (5) ข้อยกเว้น legitimate interest)

## เรื่องร้องเรียน

- **ผู้ร้องเรียน:** [นาย ก.]
- **ผู้ถูกร้องเรียน:** [บริษัท A]

เรื่องร้องเรียนนี้สรุปความได้ว่า ผู้ถูกร้องเรียนได้ส่งจดหมายอิเล็กทรอนิกส์ให้พนักงานทุกคนในบริษัททราบถึงบันทึกสาเหตุการเลิกจ้างผู้ร้องเรียนซึ่งประกอบไปด้วย ข้อมูลชื่อตัว ชื่อสกุล ตำแหน่งงาน และพฤติกรรมการกระทำความผิดตามสัญญาจ้างของผู้ร้องเรียน ทำให้ผู้ร้องเรียนได้รับความเสียหาย

## คำวินิจฉัย

คณะกรรมการผู้เชี่ยวชาญ คณะที่ 2 พิจารณาแล้วเห็นว่า บันทึกสาเหตุการเลิกจ้างนั้น เป็นข้อมูลที่สามารถระบุตัวตนของผู้ร้องเรียนได้ทางตรงและทางอ้อม จึงเป็นข้อมูลส่วนบุคคลตาม [มาตรา 6](https://link.pdpalawbase.com/section/6.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 การที่ผู้ถูกร้องเรียนซึ่งเป็นผู้ควบคุมข้อมูลส่วนบุคคลแจ้งสาเหตุการเลิกจ้างดังกล่าวเป็นการภายในบริษัทเพื่อป้องกันไม่ให้ผู้ร้องเรียนติดต่อกับพนักงานคนอื่น โดยมิได้เปิดเผยไปยังบุคคลภายนอก รวมถึงไม่ปรากฏข้อความในลักษณะที่เป็นเท็จหรือใส่ความผู้ร้องเรียน อันเป็นการกระทำตามสมควรและจำเป็นเพื่อประโยชน์ในการบริหารจัดการภายในธุรกิจของผู้ถูกร้องเรียน ซึ่งประโยชน์ดังกล่าวมีความสำคัญไม่น้อยไปกว่าสิทธิขั้นพื้นฐานในข้อมูลส่วนบุคคลของผู้ร้องเรียน โดยเป็นการกระทำที่เข้าข้อยกเว้นตาม [มาตรา 24](https://link.pdpalawbase.com/section/24.md) (5) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ด้วยเหตุนี้ ผู้ถูกร้องเรียนจึงสามารถใช้และเปิดเผยข้อมูลส่วนบุคคลของผู้ร้องเรียนดังกล่าวได้โดยไม่ต้องได้รับความยินยอมจากผู้ร้องเรียนตาม [มาตรา 27](https://link.pdpalawbase.com/section/27.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562

## คำสั่ง

อาศัยอำนาจตามความใน [มาตรา 74](https://link.pdpalawbase.com/section/74.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 คณะกรรมการผู้เชี่ยวชาญ คณะที่ 2 จึงมีคำสั่งยุติเรื่องร้องเรียน

สั่ง ณ วันที่ 14 พฤศจิกายน พ.ศ. 2567

ประธานกรรมการผู้เชี่ยวชาญ คณะที่ 2

## เอกสารต้นฉบับ

- [PDF ต้นฉบับ (local)](../../raw/orders/order-55-2567-committee2.pdf)
- [ที่มา: pdpc.or.th](https://www.pdpc.or.th/wp-content/uploads/2026/03/PDPC-Committee2-55.67.pdf)

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/order/55-2567-committee2.md


# ชุดข้อมูล: ประกาศคณะกรรมการ (กฎหมายลำดับรอง) (21 โนด)

============================================================
โนด: ประกาศ 1.1
ลิงก์อ้างอิง: https://link.pdpalawbase.com/notification/1-1.md

# ประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง มาตรการรักษาความมั่นคงปลอดภัยของผู้ควบคุมข้อมูลส่วนบุคคล พ.ศ. 2565

## ใจความสำคัญ

ประกาศหลักของหมวดความมั่นคงปลอดภัย — กำหนด "มาตรฐานขั้นต่ำ" ของมาตรการรักษาความมั่นคงปลอดภัยที่ผู้ควบคุมข้อมูลส่วนบุคคลทุกรายมีหน้าที่ต้องจัดให้มีตาม [มาตรา 37](https://link.pdpalawbase.com/section/37.md) (1) เพื่อป้องกันการสูญหาย เข้าถึง ใช้ เปลี่ยนแปลง แก้ไข หรือเปิดเผยข้อมูลส่วนบุคคลโดยปราศจากอำนาจหรือโดยมิชอบ ประกาศในราชกิจจานุเบกษาเมื่อ 20 มิถุนายน 2565 และมีผลใช้บังคับตั้งแต่ 21 มิถุนายน 2565 (วันถัดจากวันประกาศ)

- มาตรการต้องครอบคลุมข้อมูลส่วนบุคคลทุกรูปแบบ ทั้งเอกสาร อิเล็กทรอนิกส์ และรูปแบบอื่น (ข้อ 4 (1))
- ต้องมีทั้งมาตรการเชิงองค์กรและมาตรการเชิงเทคนิค ซึ่งอาจรวมมาตรการทางกายภาพที่จำเป็น โดยพิจารณาตามระดับความเสี่ยงของกิจกรรม (ข้อ 4 (2))
- ต้องครอบวงจรการรักษาความมั่นคงปลอดภัยครบทุกขั้น: ระบุความเสี่ยงของทรัพย์สินสารสนเทศ → ป้องกัน → ตรวจสอบเฝ้าระวัง → เผชิญเหตุ → รักษาและฟื้นฟูความเสียหาย (ข้อ 4 (3))
- ต้องธำรงไว้ซึ่งความลับ ความถูกต้องครบถ้วน และสภาพพร้อมใช้งานของข้อมูลส่วนบุคคล (ข้อ 4 (4))
- ระบบอิเล็กทรอนิกส์ต้องคุ้มครองทุกส่วนประกอบของระบบสารสนเทศ ตามหลักการป้องกันเชิงลึกที่มีมาตรการป้องกันหลายชั้น (ข้อ 4 (5))
- การควบคุมการเข้าถึงต้องมีอย่างน้อย 4 ด้าน: การควบคุมการเข้าถึงพร้อมการพิสูจน์ตัวตนและกำหนดสิทธิเท่าที่จำเป็น การบริหารจัดการการเข้าถึงของผู้ใช้งานตลอดวงจร การกำหนดหน้าที่ความรับผิดชอบของผู้ใช้งาน และวิธีการตรวจสอบย้อนหลัง (ข้อ 4 (6) (ก)-(ง))
- ต้องสร้างเสริมความตระหนักรู้และแจ้งนโยบาย แนวปฏิบัติ และมาตรการให้บุคลากรและผู้เกี่ยวข้องทราบและถือปฏิบัติ (ข้อ 4 (7))
- ต้องทบทวนมาตรการเมื่อมีความจำเป็นหรือเมื่อเทคโนโลยีเปลี่ยนแปลง และให้ถือว่าจำเป็นต้องทบทวนทุกครั้งที่มีเหตุการละเมิดข้อมูลส่วนบุคคล เว้นแต่การละเมิดนั้นไม่มีความเสี่ยงต่อสิทธิและเสรีภาพของบุคคล (ข้อ 5)
- ข้อตกลงระหว่างผู้ควบคุมกับผู้ประมวลผลข้อมูลส่วนบุคคล ต้องพิจารณากำหนดให้ผู้ประมวลผลจัดให้มีมาตรการตามมาตรฐานขั้นต่ำนี้ และแจ้งเหตุการละเมิดข้อมูลส่วนบุคคลให้ผู้ควบคุมทราบ (ข้อ 6)
- ผู้ควบคุมที่มีหน้าที่จัดมาตรการรักษาความมั่นคงปลอดภัยตามกฎหมายอื่นอยู่แล้ว ยังต้องทำให้ได้อย่างน้อยตามมาตรฐานขั้นต่ำของประกาศนี้ด้วย (ข้อ 7)

## ตัวบท

ข้อ 1 ประกาศนี้เรียกว่า "ประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง มาตรการรักษาความมั่นคงปลอดภัยของผู้ควบคุมข้อมูลส่วนบุคคล พ.ศ. 2565"

ข้อ 2 ประกาศนี้ให้ใช้บังคับตั้งแต่วันถัดจากวันประกาศในราชกิจจานุเบกษาเป็นต้นไป

ข้อ 3 ในประกาศนี้

"ความมั่นคงปลอดภัย" หมายความว่า การธำรงไว้ซึ่งความลับ (confidentiality) ความถูกต้องครบถ้วน (integrity) และสภาพพร้อมใช้งาน (availability) ของข้อมูลส่วนบุคคล ทั้งนี้ เพื่อป้องกันการสูญหาย เข้าถึง ใช้ เปลี่ยนแปลง แก้ไข หรือเปิดเผยข้อมูลส่วนบุคคลโดยปราศจากอำนาจหรือโดยมิชอบ

ข้อ 4 ผู้ควบคุมข้อมูลส่วนบุคคลมีหน้าที่จัดให้มีมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสม เพื่อป้องกันการสูญหาย เข้าถึง ใช้ เปลี่ยนแปลง แก้ไข หรือเปิดเผยข้อมูลส่วนบุคคลโดยปราศจากอำนาจหรือโดยมิชอบ โดยมาตรการรักษาความมั่นคงปลอดภัยดังกล่าว อย่างน้อยต้องมีการดำเนินการ ดังต่อไปนี้

(1) มาตรการรักษาความมั่นคงปลอดภัยดังกล่าว จะต้องครอบคลุมการเก็บรวบรวม ใช้ และเปิดเผยข้อมูลส่วนบุคคล ตามกฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคล ไม่ว่าข้อมูลส่วนบุคคลดังกล่าวจะอยู่ในรูปแบบเอกสารหรือในรูปแบบอิเล็กทรอนิกส์ หรือรูปแบบอื่นใดก็ตาม

(2) มาตรการรักษาความมั่นคงปลอดภัยดังกล่าว จะต้องประกอบด้วยมาตรการเชิงองค์กร (organizational measures) และมาตรการเชิงเทคนิค (technical measures) ที่เหมาะสม ซึ่งอาจรวมถึงมาตรการทางกายภาพ (physical measures) ที่จำเป็นด้วย โดยคำนึงถึงระดับความเสี่ยงตามลักษณะและวัตถุประสงค์ของการเก็บรวบรวม ใช้ และเปิดเผยข้อมูลส่วนบุคคล ตลอดจนโอกาสเกิดและผลกระทบจากเหตุการละเมิดข้อมูลส่วนบุคคล

(3) มาตรการรักษาความมั่นคงปลอดภัยดังกล่าว จะต้องคำนึงถึงการดำเนินการเกี่ยวกับการรักษาความมั่นคงปลอดภัย ตั้งแต่การระบุความเสี่ยงที่สำคัญที่อาจจะเกิดขึ้นกับทรัพย์สินสารสนเทศ (information assets) ที่สำคัญ การป้องกันความเสี่ยงที่สำคัญที่อาจจะเกิดขึ้น การตรวจสอบและเฝ้าระวังภัยคุกคามและเหตุการละเมิดข้อมูลส่วนบุคคล การเผชิญเหตุเมื่อมีการตรวจพบภัยคุกคามและเหตุการละเมิดข้อมูลส่วนบุคคล และการรักษาและฟื้นฟูความเสียหายที่เกิดจากภัยคุกคามหรือเหตุการละเมิดข้อมูลส่วนบุคคลด้วย ทั้งนี้ เท่าที่จำเป็นเหมาะสม และเป็นไปได้ตามระดับความเสี่ยง

(4) มาตรการรักษาความมั่นคงปลอดภัยดังกล่าว จะต้องคำนึงถึงความสามารถในการธำรงไว้ซึ่งความลับ (confidentiality) ความถูกต้องครบถ้วน (integrity) และสภาพพร้อมใช้งาน (availability) ของข้อมูลส่วนบุคคลไว้ได้อย่างเหมาะสมตามระดับความเสี่ยง โดยคำนึงถึงปัจจัยทางเทคโนโลยี บริบท สภาพแวดล้อม มาตรฐานที่เป็นที่ยอมรับสำหรับหน่วยงานหรือกิจการในประเภทหรือลักษณะเดียวกันหรือใกล้เคียงกัน ลักษณะและวัตถุประสงค์ของการเก็บรวบรวม ใช้ และเปิดเผยข้อมูลส่วนบุคคล ทรัพยากรที่ต้องใช้ และความเป็นไปได้ในการดำเนินการประกอบกัน

(5) สำหรับการเก็บรวบรวม ใช้ และเปิดเผยข้อมูลส่วนบุคคลในรูปแบบอิเล็กทรอนิกส์ มาตรการรักษาความมั่นคงปลอดภัยดังกล่าว จะต้องครอบคลุมส่วนประกอบต่าง ๆ ของระบบสารสนเทศที่เกี่ยวข้องกับการเก็บรวบรวม ใช้ และเปิดเผยข้อมูลส่วนบุคคล เช่น ระบบและอุปกรณ์จัดเก็บข้อมูลส่วนบุคคล เครื่องคอมพิวเตอร์แม่ข่าย (servers) เครื่องคอมพิวเตอร์ลูกข่าย (clients) และอุปกรณ์ต่าง ๆ ที่ใช้ ระบบเครือข่าย ซอฟต์แวร์และแอปพลิเคชัน อย่างเหมาะสมตามระดับความเสี่ยง โดยคำนึงถึงหลักการป้องกันเชิงลึก (defense in depth) ที่ควรประกอบด้วยมาตรการป้องกันหลายชั้น (multiple layers of security controls) เพื่อลดความเสี่ยงในกรณีที่มาตรการบางมาตรการมีข้อจำกัดในการป้องกันความมั่นคงปลอดภัยในบางสถานการณ์

(6) มาตรการรักษาความมั่นคงปลอดภัยดังกล่าว ในส่วนที่เกี่ยวกับการเข้าถึง ใช้ เปลี่ยนแปลง แก้ไข ลบ หรือเปิดเผยข้อมูลส่วนบุคคล อย่างน้อยต้องประกอบด้วยการดำเนินการดังต่อไปนี้อย่างเหมาะสมตามระดับความเสี่ยง โดยคำนึงถึงความจำเป็นในการเข้าถึงและใช้งานตามลักษณะและวัตถุประสงค์ของการเก็บรวบรวม ใช้ และเปิดเผยข้อมูลส่วนบุคคล การรักษาความมั่นคงปลอดภัยตามระดับความเสี่ยง ทรัพยากรที่ต้องใช้ และความเป็นไปได้ในการดำเนินการประกอบกัน

(ก) การควบคุมการเข้าถึงข้อมูลส่วนบุคคลและส่วนประกอบของระบบสารสนเทศที่สำคัญ (access control) ที่มีการพิสูจน์และยืนยันตัวตน (identity proofing and authentication) และการอนุญาตหรือการกำหนดสิทธิในการเข้าถึงและใช้งาน (authorization) ที่เหมาะสม โดยคำนึงถึงหลักการให้สิทธิเท่าที่จำเป็น (need-to-know basis) ตามหลักการให้สิทธิที่น้อยที่สุดเท่าที่จำเป็น (principle of least privilege)

(ข) การบริหารจัดการการเข้าถึงของผู้ใช้งาน (user access management) ที่เหมาะสม ซึ่งอาจรวมถึงการลงทะเบียนและการถอนสิทธิผู้ใช้งาน (user registration and de-registration) การจัดการสิทธิการเข้าถึงของผู้ใช้งาน (user access provisioning) การบริหารจัดการสิทธิการเข้าถึงตามสิทธิ (management of privileged access rights) การบริหารจัดการข้อมูลความลับสำหรับการพิสูจน์ตัวตนของผู้ใช้งาน (management of secret authentication information of users) การทบทวนสิทธิการเข้าถึงของผู้ใช้งาน (review of user access rights) และการถอดถอนหรือปรับปรุงสิทธิการเข้าถึง (removal or adjustment of access rights)

(ค) การกำหนดหน้าที่ความรับผิดชอบของผู้ใช้งาน (user responsibilities) เพื่อป้องกันการเข้าถึง ใช้ เปลี่ยนแปลง แก้ไข ลบ หรือเปิดเผยข้อมูลส่วนบุคคลโดยปราศจากอำนาจหรือโดยมิชอบ ซึ่งรวมถึงกรณีที่เป็นการกระทำนอกเหนือบทบาทหน้าที่ที่ได้รับมอบหมาย ตลอดจนการลักลอบทำสำเนาข้อมูลส่วนบุคคลโดยปราศจากอำนาจหรือโดยมิชอบ และการลักขโมยอุปกรณ์จัดเก็บหรือประมวลผลข้อมูลส่วนบุคคล

(ง) การจัดให้มีวิธีการเพื่อให้สามารถตรวจสอบย้อนหลังเกี่ยวกับการเข้าถึง เปลี่ยนแปลง แก้ไข หรือลบข้อมูลส่วนบุคคล (audit trails) ที่เหมาะสมกับวิธีการและสื่อที่ใช้ในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล

(7) มาตรการรักษาความมั่นคงปลอดภัยดังกล่าว จะต้องรวมถึงการสร้างเสริมความตระหนักรู้ด้านความสำคัญของการคุ้มครองข้อมูลส่วนบุคคลและการรักษาความมั่นคงปลอดภัย (privacy and security awareness) และการแจ้งนโยบาย แนวปฏิบัติ และมาตรการด้านการคุ้มครองข้อมูลส่วนบุคคลและการรักษาความมั่นคงปลอดภัยของผู้ควบคุมข้อมูลส่วนบุคคลอย่างเหมาะสม ให้บุคลากร พนักงาน ลูกจ้าง หรือบุคคลอื่นที่เป็นผู้ใช้งาน (user) หรือเกี่ยวข้องกับการเข้าถึง เก็บรวบรวม ใช้ เปลี่ยนแปลง แก้ไข ลบ หรือเปิดเผยข้อมูลส่วนบุคคล ทราบและถือปฏิบัติ รวมทั้งกรณีที่มีการปรับปรุงแก้ไขนโยบาย แนวปฏิบัติ และมาตรการดังกล่าวด้วย โดยคำนึงถึงลักษณะและวัตถุประสงค์ของการเก็บรวบรวม ใช้ และเปิดเผยข้อมูลส่วนบุคคล ระดับความเสี่ยง ทรัพยากรที่ต้องใช้ และความเป็นไปได้ในการดำเนินการประกอบกัน

ข้อ 5 ผู้ควบคุมข้อมูลส่วนบุคคลต้องทบทวนมาตรการรักษาความมั่นคงปลอดภัยตามข้อ 4 เมื่อมีความจำเป็นหรือเมื่อเทคโนโลยีเปลี่ยนแปลงไปเพื่อให้มีประสิทธิภาพในการรักษาความมั่นคงปลอดภัยที่เหมาะสม โดยคำนึงถึงระดับความเสี่ยงตามปัจจัยทางเทคโนโลยี บริบท สภาพแวดล้อม มาตรฐานที่เป็นที่ยอมรับสำหรับหน่วยงานหรือกิจการในประเภทหรือลักษณะเดียวกันหรือใกล้เคียงกัน ลักษณะและวัตถุประสงค์ของการเก็บรวบรวม ใช้ และเปิดเผยข้อมูลส่วนบุคคล ทรัพยากรที่ต้องใช้ และความเป็นไปได้ในการดำเนินการประกอบกัน

เมื่อมีเหตุการละเมิดข้อมูลส่วนบุคคล ให้ถือว่าผู้ควบคุมข้อมูลส่วนบุคคลมีความจำเป็นต้องทบทวนมาตรการรักษาความมั่นคงปลอดภัยตามวรรคหนึ่ง เว้นแต่การละเมิดดังกล่าวไม่มีความเสี่ยงที่จะมีผลกระทบต่อสิทธิและเสรีภาพของบุคคล

ข้อ 6 ในการจัดให้มีข้อตกลงระหว่างผู้ควบคุมข้อมูลส่วนบุคคลและผู้ประมวลผลข้อมูลส่วนบุคคล ให้ผู้ควบคุมข้อมูลส่วนบุคคลพิจารณากำหนดให้ผู้ประมวลผลข้อมูลส่วนบุคคลจัดให้มีมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสม เพื่อป้องกันการสูญหาย เข้าถึง ใช้ เปลี่ยนแปลง แก้ไข หรือเปิดเผยข้อมูลส่วนบุคคลโดยปราศจากอำนาจหรือโดยมิชอบ รวมทั้งแจ้งให้ผู้ควบคุมข้อมูลส่วนบุคคลทราบถึงเหตุการละเมิดข้อมูลส่วนบุคคลที่เกิดขึ้น โดยมาตรการรักษาความมั่นคงปลอดภัยดังกล่าว จะต้องเป็นไปตามมาตรฐานขั้นต่ำตามข้อ 4 โดยคำนึงถึงระดับความเสี่ยงตามลักษณะและวัตถุประสงค์ของการเก็บรวบรวม ใช้ และเปิดเผยข้อมูลส่วนบุคคล ตลอดจนโอกาสเกิดและผลกระทบจากเหตุการละเมิดข้อมูลส่วนบุคคล

ข้อ 7 ในกรณีที่ผู้ควบคุมข้อมูลส่วนบุคคลมีหน้าที่ตามกฎหมายอื่นในการจัดให้มีมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสม เพื่อป้องกันการสูญหาย เข้าถึง ใช้ เปลี่ยนแปลง แก้ไข หรือเปิดเผยข้อมูลส่วนบุคคลโดยปราศจากอำนาจหรือโดยมิชอบ ให้ผู้ควบคุมข้อมูลส่วนบุคคลดำเนินการตามกฎหมายนั้น แต่มาตรการรักษาความมั่นคงปลอดภัยดังกล่าวของผู้ควบคุมข้อมูลส่วนบุคคล จะต้องเป็นไปตามมาตรฐานขั้นต่ำที่กำหนดในประกาศนี้ด้วย

ข้อ 8 ให้ประธานกรรมการคุ้มครองข้อมูลส่วนบุคคลเป็นผู้รักษาการตามประกาศนี้

ประกาศ ณ วันที่ 10 มิถุนายน พ.ศ. 2565

เธียรชัย ณ นคร

ประธานกรรมการคุ้มครองข้อมูลส่วนบุคคล

## เหตุผลและฐานอำนาจ

โดยที่เป็นการสมควรกำหนดให้ผู้ควบคุมข้อมูลส่วนบุคคลมีหน้าที่จัดให้มีมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสม เพื่อป้องกันการสูญหาย เข้าถึง ใช้ เปลี่ยนแปลง แก้ไข หรือเปิดเผยข้อมูลส่วนบุคคลโดยปราศจากอำนาจหรือโดยมิชอบ โดยให้เป็นไปตามมาตรฐานขั้นต่ำที่คณะกรรมการคุ้มครองข้อมูลส่วนบุคคลประกาศกำหนด เพื่อให้การคุ้มครองข้อมูลส่วนบุคคลในระยะแรกที่กฎหมายมีผลใช้บังคับมีความเหมาะสม

อาศัยอำนาจตามความใน [มาตรา 16](https://link.pdpalawbase.com/section/16.md) (4) และ [มาตรา 37](https://link.pdpalawbase.com/section/37.md) (1) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 คณะกรรมการคุ้มครองข้อมูลส่วนบุคคล จึงออกประกาศไว้เป็นมาตรฐานขั้นต่ำของมาตรการรักษาความมั่นคงปลอดภัยของผู้ควบคุมข้อมูลส่วนบุคคล

## เอกสารต้นฉบับ

- [PDF ต้นฉบับ (local)](../../raw/notifications/notification-1.1.pdf)
- [ที่มา: pdpc.or.th](https://www.pdpc.or.th/2971/)

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/notification/1-1.md

============================================================
โนด: ประกาศ 1.2
ลิงก์อ้างอิง: https://link.pdpalawbase.com/notification/1-2.md

# ประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง มาตรฐานการรักษาความมั่นคงปลอดภัยของข้อมูลส่วนบุคคลของผู้ควบคุมข้อมูลส่วนบุคคลซึ่งได้รับการยกเว้นไม่ให้นำพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 มาใช้บังคับ พ.ศ. 2566

## ใจความสำคัญ

แม้ผู้ควบคุมข้อมูลส่วนบุคคลบางกลุ่มจะได้รับการยกเว้นไม่ให้นำ พ.ร.บ. คุ้มครองข้อมูลส่วนบุคคลฯ มาใช้บังคับ (ตาม [มาตรา 4](https://link.pdpalawbase.com/section/4.md) วรรคหนึ่ง (2)-(6) หรือตามพระราชกฤษฎีกาที่ออกตามมาตรา 4 วรรคสอง) แต่ [มาตรา 4](https://link.pdpalawbase.com/section/4.md) วรรคสาม ยังบังคับให้ต้องจัดให้มีการรักษาความมั่นคงปลอดภัยของข้อมูลส่วนบุคคลตามมาตรฐานที่คณะกรรมการกำหนด — ประกาศฉบับนี้คือมาตรฐานดังกล่าว ประกาศในราชกิจจานุเบกษาเมื่อ 8 ธันวาคม 2566 และมีผลใช้บังคับเมื่อพ้นกำหนด 90 วันนับแต่วันประกาศ คือตั้งแต่ 7 มีนาคม 2567

- ขอบเขตผู้ถูกบังคับ: ผู้ควบคุมข้อมูลส่วนบุคคลที่ได้รับการยกเว้นตามมาตรา 4 วรรคหนึ่ง (2) (3) (4) (5) และ (6) — เช่น หน่วยงานด้านความมั่นคงของรัฐ — และที่ได้รับยกเว้นทั้งหมดหรือบางส่วนตามพระราชกฤษฎีกาที่ออกตามมาตรา 4 วรรคสอง (ข้อ 3)
- มาตรฐาน 8 ข้อในข้อ 4 มีโครงเดียวกับมาตรฐานขั้นต่ำของ[ประกาศคณะกรรมการฯ เรื่อง มาตรการรักษาความมั่นคงปลอดภัยของผู้ควบคุมข้อมูลส่วนบุคคล พ.ศ. 2565](https://link.pdpalawbase.com/notification/1-1.md) (ฉบับ 1.1 ของหมวดนี้): ครอบคลุมทุกรูปแบบข้อมูล มาตรการเชิงองค์กร/เทคนิค/กายภาพ วงจรการรักษาความมั่นคงปลอดภัย การธำรงความลับ-ความถูกต้อง-สภาพพร้อมใช้งาน การคุ้มครองระบบสารสนเทศแบบป้องกันเชิงลึก การควบคุมการเข้าถึง 4 ด้าน และการสร้างความตระหนักรู้
- ข้อที่เพิ่มจากฉบับ 1.1: มาตรการ "ควรรวมถึง" การทำให้ข้อมูลไม่สามารถระบุตัวบุคคลได้ การแฝงข้อมูล หรือการเข้ารหัสข้อมูล อย่างเหมาะสมตามระดับความเสี่ยง หากสามารถกระทำได้ (ข้อ 4 (8))
- นิยาม "การละเมิดข้อมูลส่วนบุคคล" ระบุเหตุที่นับเป็นการละเมิดไว้กว้าง: เจตนา ประมาทเลินเล่อ การกระทำความผิดเกี่ยวกับคอมพิวเตอร์ ภัยคุกคามทางไซเบอร์ ข้อผิดพลาดหรืออุบัติเหตุ (ข้อ 3)
- ต้องทบทวนมาตรการเมื่อจำเป็นหรือเทคโนโลยีเปลี่ยน และถือว่าจำเป็นต้องทบทวนเมื่อมีเหตุการละเมิดข้อมูลส่วนบุคคล (ข้อ 5)
- ครอบคลุมถึงกรณีมีผู้ประมวลผลข้อมูลส่วนบุคคล หรือบุคคล/นิติบุคคลอื่นที่ดำเนินการตามคำสั่งหรือในนามของผู้ควบคุม: ต้องพิจารณากำหนดให้มีมาตรการตามมาตรฐานข้อ 4 และแจ้งเหตุการละเมิดให้ผู้ควบคุมทราบโดยไม่ชักช้า (ข้อ 6)
- ผู้ควบคุมที่มีหน้าที่ตามกฎหมายอื่นยังต้องปฏิบัติให้ได้ตามมาตรฐานของประกาศนี้ด้วย (ข้อ 7)

## ตัวบท

ข้อ 1 ประกาศนี้เรียกว่า "ประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง มาตรฐานการรักษาความมั่นคงปลอดภัยของข้อมูลส่วนบุคคลของผู้ควบคุมข้อมูลส่วนบุคคลซึ่งได้รับการยกเว้นไม่ให้นำพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 มาใช้บังคับ พ.ศ. 2566"

ข้อ 2 ประกาศนี้ให้ใช้บังคับเมื่อพ้นกำหนดเก้าสิบวันนับแต่วันประกาศในราชกิจจานุเบกษาเป็นต้นไป

ข้อ 3 ในประกาศนี้

"ความมั่นคงปลอดภัย" หมายความว่า การธำรงไว้ซึ่งความลับ (confidentiality) ความถูกต้องครบถ้วน (integrity) และสภาพพร้อมใช้งาน (availability) ของข้อมูลส่วนบุคคล ทั้งนี้ เพื่อป้องกันการสูญหาย เข้าถึง ใช้ เปลี่ยนแปลง แก้ไข หรือเปิดเผยข้อมูลส่วนบุคคลโดยปราศจากอำนาจหรือโดยมิชอบ

"การละเมิดข้อมูลส่วนบุคคล" หมายความว่า การละเมิดมาตรการรักษาความมั่นคงปลอดภัยที่ทำให้เกิดการสูญหาย เข้าถึง ใช้ เปลี่ยนแปลง แก้ไข หรือเปิดเผยข้อมูลส่วนบุคคลโดยปราศจากอำนาจหรือโดยมิชอบ ไม่ว่าจะเกิดจากเจตนา ความจงใจ ความประมาทเลินเล่อ การกระทำโดยปราศจากอำนาจหรือโดยมิชอบ การกระทำความผิดเกี่ยวกับคอมพิวเตอร์ ภัยคุกคามทางไซเบอร์ ข้อผิดพลาดบกพร่องหรืออุบัติเหตุ หรือเหตุอื่นใด

"ผู้ควบคุมข้อมูลส่วนบุคคล" หมายความว่า ผู้ควบคุมข้อมูลส่วนบุคคลที่ได้รับการยกเว้นไม่ให้นำพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 มาใช้บังคับตาม [มาตรา 4](https://link.pdpalawbase.com/section/4.md) วรรคหนึ่ง (2) (3) (4) (5) และ (6) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 และผู้ควบคุมข้อมูลส่วนบุคคลที่ได้รับยกเว้นไม่ให้นำบทบัญญัติแห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ทั้งหมดหรือแต่บางส่วนมาใช้บังคับตามที่กำหนดในพระราชกฤษฎีกาตามมาตรา 4 วรรคสอง แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562

ข้อ 4 ผู้ควบคุมข้อมูลส่วนบุคคลมีหน้าที่ต้องจัดให้มีการรักษาความมั่นคงปลอดภัยของข้อมูลส่วนบุคคลที่เหมาะสม เพื่อป้องกันการสูญหาย เข้าถึง ใช้ เปลี่ยนแปลง แก้ไข หรือเปิดเผยข้อมูลส่วนบุคคลโดยปราศจากอำนาจหรือโดยมิชอบ โดยจะต้องมีมาตรการรักษาความมั่นคงปลอดภัยที่เป็นไปตามมาตรฐาน ดังต่อไปนี้

(1) มาตรการรักษาความมั่นคงปลอดภัยดังกล่าว จะต้องครอบคลุมการเก็บรวบรวม ใช้ และเปิดเผยข้อมูลส่วนบุคคล ไม่ว่าข้อมูลส่วนบุคคลดังกล่าวจะอยู่ในรูปแบบเอกสารหรือในรูปแบบอิเล็กทรอนิกส์ หรือรูปแบบอื่นใดก็ตาม

(2) มาตรการรักษาความมั่นคงปลอดภัยดังกล่าว จะต้องประกอบด้วยมาตรการเชิงองค์กร (organizational measures) และมาตรการเชิงเทคนิค (technical measures) ที่เหมาะสม ซึ่งอาจรวมถึงมาตรการทางกายภาพ (physical measures) ที่จำเป็นด้วย โดยคำนึงถึงระดับความเสี่ยงตามลักษณะและวัตถุประสงค์ของการเก็บรวบรวม ใช้ และเปิดเผยข้อมูลส่วนบุคคล ตลอดจนโอกาสเกิดและผลกระทบจากเหตุการละเมิดข้อมูลส่วนบุคคล

(3) มาตรการรักษาความมั่นคงปลอดภัยดังกล่าว จะต้องคำนึงถึงการดำเนินการเกี่ยวกับการรักษาความมั่นคงปลอดภัย ตั้งแต่การระบุความเสี่ยงที่สำคัญที่อาจจะเกิดขึ้นกับทรัพย์สินสารสนเทศ (information assets) ที่สำคัญ การป้องกันความเสี่ยงที่สำคัญที่อาจจะเกิดขึ้น การตรวจสอบและเฝ้าระวังภัยคุกคามและเหตุการละเมิดข้อมูลส่วนบุคคล การเผชิญเหตุเมื่อมีการตรวจพบภัยคุกคามและเหตุการละเมิดข้อมูลส่วนบุคคล และการรักษาและฟื้นฟูความเสียหายที่เกิดจากภัยคุกคามหรือเหตุการละเมิดข้อมูลส่วนบุคคลด้วย ทั้งนี้ เท่าที่จำเป็นเหมาะสม และเป็นไปได้ตามระดับความเสี่ยง

(4) มาตรการรักษาความมั่นคงปลอดภัยดังกล่าว จะต้องคำนึงถึงความสามารถในการธำรงไว้ซึ่งความลับ (confidentiality) ความถูกต้องครบถ้วน (integrity) และสภาพพร้อมใช้งาน (availability) ของข้อมูลส่วนบุคคลไว้ได้อย่างเหมาะสมตามระดับความเสี่ยง โดยคำนึงถึงปัจจัยทางเทคโนโลยี บริบท สภาพแวดล้อม มาตรฐานที่เป็นที่ยอมรับสำหรับหน่วยงานหรือกิจการในประเภทหรือลักษณะเดียวกันหรือใกล้เคียงกัน ลักษณะและวัตถุประสงค์ของการเก็บรวบรวม ใช้ และเปิดเผยข้อมูลส่วนบุคคล ทรัพยากรที่ต้องใช้ และความเป็นไปได้ในการดำเนินการประกอบกัน

(5) สำหรับการเก็บรวบรวม ใช้ และเปิดเผยข้อมูลส่วนบุคคลในรูปแบบอิเล็กทรอนิกส์ มาตรการรักษาความมั่นคงปลอดภัยดังกล่าว จะต้องครอบคลุมส่วนประกอบต่าง ๆ ของระบบสารสนเทศที่เกี่ยวข้องกับการเก็บรวบรวม ใช้ และเปิดเผยข้อมูลส่วนบุคคล เช่น ระบบและอุปกรณ์จัดเก็บข้อมูลส่วนบุคคล เครื่องคอมพิวเตอร์แม่ข่าย (servers) เครื่องคอมพิวเตอร์ลูกข่าย (clients) และอุปกรณ์ต่าง ๆ ที่ใช้ ระบบเครือข่าย ซอฟต์แวร์และแอปพลิเคชัน อย่างเหมาะสมตามระดับความเสี่ยง โดยคำนึงถึงหลักการป้องกันเชิงลึก (defense in depth) ที่ควรประกอบด้วยมาตรการป้องกันหลายชั้น (multiple layers of security controls) เพื่อลดความเสี่ยงในกรณีที่มาตรการบางมาตรการมีข้อจำกัดในการป้องกันความมั่นคงปลอดภัยในบางสถานการณ์

(6) มาตรการรักษาความมั่นคงปลอดภัยดังกล่าว ในส่วนที่เกี่ยวกับการเข้าถึง ใช้ เปลี่ยนแปลง แก้ไข ลบ หรือเปิดเผยข้อมูลส่วนบุคคล อย่างน้อยต้องประกอบด้วยการดำเนินการดังต่อไปนี้อย่างเหมาะสมตามระดับความเสี่ยง โดยคำนึงถึงความจำเป็นในการเข้าถึงและใช้งานตามลักษณะและวัตถุประสงค์ของการเก็บรวบรวม ใช้ และเปิดเผยข้อมูลส่วนบุคคล การรักษาความมั่นคงปลอดภัยตามระดับความเสี่ยง ทรัพยากรที่ต้องใช้ และความเป็นไปได้ในการดำเนินการประกอบกัน

(ก) การควบคุมการเข้าถึงข้อมูลส่วนบุคคลและส่วนประกอบของระบบสารสนเทศที่สำคัญ (access control) ที่มีการพิสูจน์และยืนยันตัวตน (identity proofing and authentication) และการอนุญาตหรือการกำหนดสิทธิในการเข้าถึงและใช้งาน (authorization) ที่เหมาะสม โดยคำนึงถึงหลักการให้สิทธิเท่าที่จำเป็น (need-to-know basis) ตามหลักการให้สิทธิที่น้อยที่สุดเท่าที่จำเป็น (principle of least privilege)

(ข) การบริหารจัดการการเข้าถึงของผู้ใช้งาน (user access management) ที่เหมาะสม ซึ่งอาจรวมถึงการลงทะเบียนและการถอนสิทธิผู้ใช้งาน (user registration and de-registration) การจัดการสิทธิการเข้าถึงของผู้ใช้งาน (user access provisioning) การบริหารจัดการสิทธิการเข้าถึงตามสิทธิ (management of privileged access rights) การบริหารจัดการข้อมูลความลับสำหรับการพิสูจน์ตัวตนของผู้ใช้งาน (management of secret authentication information of users) การทบทวนสิทธิการเข้าถึงของผู้ใช้งาน (review of user access rights) และการถอดถอนหรือปรับปรุงสิทธิการเข้าถึง (removal or adjustment of access rights)

(ค) การกำหนดหน้าที่ความรับผิดชอบของผู้ใช้งาน (user responsibilities) เพื่อป้องกันการเข้าถึง ใช้ เปลี่ยนแปลง แก้ไข ลบ หรือเปิดเผยข้อมูลส่วนบุคคลโดยปราศจากอำนาจหรือโดยมิชอบ ซึ่งรวมถึงกรณีที่เป็นการกระทำนอกเหนือบทบาทหน้าที่ที่ได้รับมอบหมาย ตลอดจนการลักลอบทำสำเนาข้อมูลส่วนบุคคลโดยปราศจากอำนาจหรือโดยมิชอบ และการลักขโมยอุปกรณ์จัดเก็บหรือประมวลผลข้อมูลส่วนบุคคล

(ง) การจัดให้มีวิธีการเพื่อให้สามารถตรวจสอบย้อนหลังเกี่ยวกับการเข้าถึง เปลี่ยนแปลง แก้ไข หรือลบข้อมูลส่วนบุคคล (audit trails) ที่เหมาะสมกับวิธีการและสื่อที่ใช้ในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล

(7) มาตรการรักษาความมั่นคงปลอดภัยดังกล่าว จะต้องรวมถึงการสร้างเสริมความตระหนักรู้ด้านความสำคัญของการคุ้มครองข้อมูลส่วนบุคคลและการรักษาความมั่นคงปลอดภัย (privacy and security awareness) และการแจ้งนโยบาย แนวปฏิบัติ และมาตรการด้านการคุ้มครองข้อมูลส่วนบุคคลและการรักษาความมั่นคงปลอดภัยของผู้ควบคุมข้อมูลส่วนบุคคลอย่างเหมาะสม ให้บุคลากร พนักงาน ลูกจ้าง หรือบุคคลอื่นที่เป็นผู้ใช้งาน (user) หรือเกี่ยวข้องกับการเข้าถึง เก็บรวบรวม ใช้ เปลี่ยนแปลง แก้ไข ลบ หรือเปิดเผยข้อมูลส่วนบุคคล ทราบและถือปฏิบัติ รวมทั้งกรณีที่มีการปรับปรุงแก้ไขนโยบาย แนวปฏิบัติ และมาตรการดังกล่าวด้วย โดยคำนึงถึงลักษณะและวัตถุประสงค์ของการเก็บรวบรวม ใช้ และเปิดเผยข้อมูลส่วนบุคคล ระดับความเสี่ยง ทรัพยากรที่ต้องใช้ และความเป็นไปได้ในการดำเนินการประกอบกัน

(8) มาตรการรักษาความมั่นคงปลอดภัยดังกล่าว ควรรวมถึงมาตรการที่ทำให้ข้อมูลส่วนบุคคลเป็นข้อมูลที่ไม่สามารถระบุตัวบุคคลที่เป็นเจ้าของข้อมูลส่วนบุคคลได้ หรือมีการแฝงข้อมูล (pseudonymization) เพื่อลดความเสี่ยงในการระบุตัวบุคคลที่เป็นเจ้าของข้อมูลส่วนบุคคล หรือมีการเข้ารหัสข้อมูล (encryption) หรือมาตรการอื่นในลักษณะเดียวกัน อย่างเหมาะสมตามระดับความเสี่ยง หากสามารถกระทำได้ โดยคำนึงถึงปัจจัยทางเทคโนโลยี บริบท สภาพแวดล้อม มาตรฐานที่เป็นที่ยอมรับสำหรับหน่วยงานหรือกิจการในประเภทหรือลักษณะเดียวกันหรือใกล้เคียงกัน ลักษณะและวัตถุประสงค์ของการเก็บรวบรวม ใช้ และเปิดเผยข้อมูลส่วนบุคคล ทรัพยากรที่ต้องใช้ และความเป็นไปได้ในการดำเนินการประกอบกัน

ข้อ 5 ผู้ควบคุมข้อมูลส่วนบุคคลต้องทบทวนมาตรการรักษาความมั่นคงปลอดภัยตามข้อ 4 เมื่อมีความจำเป็นหรือเมื่อเทคโนโลยีเปลี่ยนแปลงไปเพื่อให้มีประสิทธิภาพในการรักษาความมั่นคงปลอดภัยที่เหมาะสม โดยคำนึงถึงระดับความเสี่ยงตามปัจจัยทางเทคโนโลยี บริบท สภาพแวดล้อม มาตรฐานที่เป็นที่ยอมรับสำหรับหน่วยงานหรือกิจการในประเภทหรือลักษณะเดียวกันหรือใกล้เคียงกัน ลักษณะและวัตถุประสงค์ของการเก็บรวบรวม ใช้ และเปิดเผยข้อมูลส่วนบุคคล ทรัพยากรที่ต้องใช้ และความเป็นไปได้ในการดำเนินการประกอบกัน

เมื่อมีเหตุการละเมิดข้อมูลส่วนบุคคล ให้ถือว่าผู้ควบคุมข้อมูลส่วนบุคคลมีความจำเป็นต้องทบทวนมาตรการรักษาความมั่นคงปลอดภัยตามวรรคหนึ่ง เว้นแต่การละเมิดดังกล่าวไม่มีความเสี่ยงที่จะมีผลกระทบต่อสิทธิและเสรีภาพของบุคคล

ข้อ 6 ในกรณีที่ผู้ควบคุมข้อมูลส่วนบุคคลมีผู้ประมวลผลข้อมูลส่วนบุคคล หรือบุคคลหรือนิติบุคคลอื่นที่ไม่เป็นผู้ควบคุมข้อมูลส่วนบุคคล ซึ่งดำเนินการเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลตามคำสั่งหรือในนามของผู้ควบคุมข้อมูลส่วนบุคคล ให้ผู้ควบคุมข้อมูลส่วนบุคคลพิจารณากำหนดให้ผู้ประมวลผลข้อมูลส่วนบุคคลหรือบุคคลหรือนิติบุคคลนั้นจัดให้มีมาตรการรักษาความมั่นคงปลอดภัยของข้อมูลส่วนบุคคลที่เหมาะสม เพื่อป้องกันการสูญหาย เข้าถึง ใช้ เปลี่ยนแปลง แก้ไข หรือเปิดเผยข้อมูลส่วนบุคคลโดยปราศจากอำนาจหรือโดยมิชอบ รวมทั้งแจ้งให้ผู้ควบคุมข้อมูลส่วนบุคคลทราบถึงเหตุการละเมิดข้อมูลส่วนบุคคลที่เกิดขึ้นโดยไม่ชักช้าเท่าที่จะสามารถกระทำได้ โดยมาตรการรักษาความมั่นคงปลอดภัยดังกล่าว จะต้องเป็นไปตามมาตรฐานตามข้อ 4 โดยคำนึงถึงระดับความเสี่ยงตามลักษณะและวัตถุประสงค์ของการเก็บรวบรวม ใช้ และเปิดเผยข้อมูลส่วนบุคคล ตลอดจนโอกาสเกิดและผลกระทบจากเหตุการละเมิดข้อมูลส่วนบุคคล

ข้อ 7 ในกรณีที่ผู้ควบคุมข้อมูลส่วนบุคคลมีหน้าที่ตามกฎหมายอื่นในการจัดให้มีมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสม เพื่อป้องกันการสูญหาย เข้าถึง ใช้ เปลี่ยนแปลง แก้ไข หรือเปิดเผยข้อมูลส่วนบุคคลโดยปราศจากอำนาจหรือโดยมิชอบ ให้ผู้ควบคุมข้อมูลส่วนบุคคลดำเนินการตามกฎหมายนั้น แต่มาตรการรักษาความมั่นคงปลอดภัยดังกล่าวของผู้ควบคุมข้อมูลส่วนบุคคล จะต้องเป็นไปตามมาตรฐานที่กำหนดในประกาศนี้ด้วย

ข้อ 8 ให้ประธานกรรมการคุ้มครองข้อมูลส่วนบุคคลเป็นผู้รักษาการตามประกาศนี้

ประกาศ ณ วันที่ 1 ธันวาคม พ.ศ. 2566

เธียรชัย ณ นคร

ประธานกรรมการคุ้มครองข้อมูลส่วนบุคคล

## เหตุผลและฐานอำนาจ

โดยที่ [มาตรา 4](https://link.pdpalawbase.com/section/4.md) วรรคสาม แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ประกอบมาตรา 5 แห่งพระราชกฤษฎีกากำหนดลักษณะ กิจการ หรือหน่วยงานที่ได้รับการยกเว้นไม่ให้นำพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 บางส่วนมาใช้บังคับ พ.ศ. 2566 กำหนดให้ผู้ควบคุมข้อมูลส่วนบุคคลที่ได้รับการยกเว้นไม่ให้นำพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 มาใช้บังคับ ต้องจัดให้มีการรักษาความมั่นคงปลอดภัยของข้อมูลส่วนบุคคลให้เป็นไปตามมาตรฐานที่คณะกรรมการคุ้มครองข้อมูลส่วนบุคคลประกาศกำหนด

อาศัยอำนาจตามความใน [มาตรา 4](https://link.pdpalawbase.com/section/4.md) วรรคสาม แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ประกอบมาตรา 5 วรรคสอง แห่งพระราชกฤษฎีกากำหนดลักษณะ กิจการ หรือหน่วยงานที่ได้รับการยกเว้นไม่ให้นำพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 บางส่วนมาใช้บังคับ พ.ศ. 2566 คณะกรรมการคุ้มครองข้อมูลส่วนบุคคล จึงออกประกาศกำหนดมาตรฐานการรักษาความมั่นคงปลอดภัยสำหรับผู้ควบคุมข้อมูลส่วนบุคคลกลุ่มที่ได้รับการยกเว้น

## เอกสารต้นฉบับ

- [PDF ต้นฉบับ (local)](../../raw/notifications/notification-1.2.pdf)
- [ที่มา: pdpc.or.th](https://www.pdpc.or.th/2271/)

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/notification/1-2.md

============================================================
โนด: ประกาศ 2
ลิงก์อ้างอิง: https://link.pdpalawbase.com/notification/2.md

# ประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง หลักเกณฑ์เกี่ยวกับมาตรการคุ้มครองสำหรับการเก็บรวบรวมข้อมูลส่วนบุคคลเกี่ยวกับประวัติอาชญากรรมที่มิได้กระทำภายใต้การควบคุมของหน่วยงานที่มีอำนาจหน้าที่ตามกฎหมาย พ.ศ. 2566

## ใจความสำคัญ

ข้อมูลประวัติอาชญากรรมเป็นข้อมูลอ่อนไหวตาม [มาตรา 26](https://link.pdpalawbase.com/section/26.md) ซึ่งวรรคสามกำหนดว่าการเก็บรวบรวมต้องกระทำภายใต้การควบคุมของหน่วยงานที่มีอำนาจหน้าที่ตามกฎหมาย หรือมีมาตรการคุ้มครองตามหลักเกณฑ์ที่คณะกรรมการกำหนด — ประกาศฉบับนี้คือหลักเกณฑ์สำหรับกรณีหลัง (การเก็บรวบรวมที่ "มิได้" อยู่ใต้การควบคุมของหน่วยงานรัฐ เช่น นายจ้างเอกชนตรวจประวัติผู้สมัครงาน) ประกาศในราชกิจจานุเบกษาเมื่อ 8 มกราคม 2567 และมีผลใช้บังคับเมื่อพ้นกำหนด 90 วันนับแต่วันประกาศ คือตั้งแต่ 7 เมษายน 2567

- "ข้อมูลส่วนบุคคลเกี่ยวกับประวัติอาชญากรรม" ครอบคลุมข้อมูลการสืบสวนสอบสวน การดำเนินคดีอาญา และการรับโทษทางอาญา ที่เป็นข้อมูลทางการหรือรับรองโดยหน่วยงานรัฐ ไม่ว่าคดีถึงที่สุดแล้วหรือไม่ (ข้อ 3)
- เก็บรวบรวมได้เฉพาะ 2 ฐาน: มีบทบัญญัติแห่งกฎหมายให้ต้องตรวจสอบประวัติอาชญากรรม/คุณสมบัติ/ลักษณะต้องห้าม หรือได้รับความยินยอมโดยชัดแจ้งจากเจ้าของข้อมูล (ข้อ 5 วรรคหนึ่ง)
- และต้องอยู่ในวัตถุประสงค์ 3 กลุ่มเท่านั้น: (1) การพิจารณารับบุคคลเข้าทำงานหรือพิจารณาความเหมาะสมในการดำรงตำแหน่ง (2) การตรวจสอบคุณสมบัติในกระบวนการอนุญาต ทะเบียน สวัสดิการ หรือบริการ โดยหน่วยงานรัฐหรือผู้ได้รับมอบหมายให้ใช้อำนาจแทนหน่วยงานรัฐ (3) การตรวจสอบทำนองเดียวกันโดยผู้ควบคุมข้อมูลส่วนบุคคลอื่น (ข้อ 5 (1)-(3))
- ถ้าการเก็บประวัติอาชญากรรมสำคัญและจำเป็นต่อการดำเนินการ ต้องแจ้งความจำเป็นตั้งแต่ขั้นตอนประกาศรับสมัคร สรรหา หรือรับเรื่อง (ข้อ 5 วรรคสอง)
- กรณีใช้ฐานความยินยอม ต้องแจ้งผลกระทบของการไม่ให้หรือถอนความยินยอมด้วย (ข้อ 6)
- ต้องมีมาตรการเชิงองค์กรและเชิงเทคนิค (อาจรวมทางกายภาพ) เพื่อคุมให้การเก็บรวบรวม ใช้ เปิดเผย เป็นไปเท่าที่จำเป็นภายใต้วัตถุประสงค์อันชอบด้วยกฎหมาย (ข้อ 7) และมาตรการรักษาความมั่นคงปลอดภัยตามมาตรฐานขั้นต่ำที่คณะกรรมการประกาศกำหนดตาม [มาตรา 37](https://link.pdpalawbase.com/section/37.md) (1) (ข้อ 8)
- เพดานการเก็บรักษา: เมื่อภารกิจตามข้อ 5 วรรคหนึ่งเสร็จสิ้นและไม่มีกฎหมายเฉพาะ/ความจำเป็นอื่น เก็บต่อได้ไม่เกิน 6 เดือนต่อเจ้าของข้อมูลแต่ละราย เว้นแต่ได้รับความยินยอมโดยชัดแจ้งเป็นอย่างอื่น เมื่อพ้นระยะหรือหมดความจำเป็นต้องลบ ทำลาย หรือทำให้ระบุตัวบุคคลไม่ได้ (ข้อ 9)

## ตัวบท

ข้อ 1 ประกาศนี้เรียกว่า "ประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง หลักเกณฑ์เกี่ยวกับมาตรการคุ้มครองสำหรับการเก็บรวบรวมข้อมูลส่วนบุคคลเกี่ยวกับประวัติอาชญากรรมที่มิได้กระทำภายใต้การควบคุมของหน่วยงานที่มีอำนาจหน้าที่ตามกฎหมาย พ.ศ. 2566"

ข้อ 2 ประกาศนี้ให้ใช้บังคับเมื่อพ้นกำหนดเก้าสิบวันนับแต่วันประกาศในราชกิจจานุเบกษาเป็นต้นไป

ข้อ 3 ในประกาศนี้

"ข้อมูลส่วนบุคคลเกี่ยวกับประวัติอาชญากรรม" หมายความว่า ข้อมูลส่วนบุคคลเกี่ยวกับการสืบสวนสอบสวนการกระทำความผิดอาญา การดำเนินคดีอาญา หรือการรับโทษทางอาญา ที่เป็นข้อมูลที่เป็นทางการหรือรับรองโดยหน่วยงานของรัฐที่มีอำนาจหน้าที่ตามกฎหมายเกี่ยวกับการดำเนินการดังกล่าว ทั้งนี้ ไม่ว่าการดำเนินการนั้นจะถึงที่สุดแล้วหรือไม่ก็ตาม

ข้อ 4 ประกาศนี้ให้ใช้บังคับแก่การเก็บรวบรวมข้อมูลส่วนบุคคลเกี่ยวกับประวัติอาชญากรรมที่มิได้กระทำภายใต้การควบคุมของหน่วยงานที่มีอำนาจหน้าที่ตามกฎหมายตาม [มาตรา 26](https://link.pdpalawbase.com/section/26.md) วรรคสาม แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562

ข้อ 5 ผู้ควบคุมข้อมูลส่วนบุคคลจะเก็บรวบรวมข้อมูลส่วนบุคคลเกี่ยวกับประวัติอาชญากรรมได้เฉพาะเมื่อมีบทบัญญัติแห่งกฎหมายบัญญัติให้ต้องตรวจสอบประวัติอาชญากรรมหรือตรวจสอบคุณสมบัติหรือลักษณะต้องห้ามเกี่ยวกับการกระทำความผิดอาญาหรือการรับโทษทางอาญา หรือได้รับความยินยอมโดยชัดแจ้งจากเจ้าของข้อมูลส่วนบุคคลเท่านั้น สำหรับกรณีที่เป็นไปเพื่อวัตถุประสงค์ดังต่อไปนี้

(1) การพิจารณารับบุคคลเข้าทำงาน หรือการตรวจสอบคุณสมบัติ ลักษณะต้องห้าม หรือพิจารณาความเหมาะสมของบุคคลที่จะให้ดำรงตำแหน่งใด

(2) การตรวจสอบคุณสมบัติหรือลักษณะต้องห้ามของบุคคลในการอนุญาต ออกใบอนุญาต อนุมัติ จดทะเบียน ขึ้นทะเบียน รับแจ้ง รับจดแจ้ง ออกอาชญาบัตร รับรอง เห็นชอบ ให้ความเห็น พิจารณา พิจารณาอุทธรณ์ ร้องทุกข์ หรือร้องเรียน ดำเนินการ จ่ายเงิน ให้ได้รับสวัสดิการ หรือให้บริการอื่นแก่บุคคล โดยหน่วยงานของรัฐหรือผู้ควบคุมข้อมูลส่วนบุคคลที่ได้รับมอบหมายให้ปฏิบัติหน้าที่ในการใช้อำนาจแทนหน่วยงานของรัฐ

(3) การตรวจสอบคุณสมบัติหรือลักษณะต้องห้ามของบุคคลในการอนุญาต อนุมัติ รับรอง เห็นชอบ ให้ความเห็น พิจารณา พิจารณาอุทธรณ์ ร้องทุกข์ หรือร้องเรียน ดำเนินการ จ่ายเงิน ให้ได้รับสวัสดิการ หรือให้บริการอื่นแก่บุคคล โดยผู้ควบคุมข้อมูลส่วนบุคคลอื่นนอกเหนือจากที่กำหนดใน (2)

ในกรณีที่การเก็บรวบรวมข้อมูลส่วนบุคคลเกี่ยวกับประวัติอาชญากรรมมีความสำคัญอย่างยิ่งและมีความจำเป็นต่อการดำเนินการตามวรรคหนึ่ง ให้ผู้ควบคุมข้อมูลส่วนบุคคลแจ้งความจำเป็นในการเก็บรวบรวมข้อมูลส่วนบุคคลเกี่ยวกับประวัติอาชญากรรมดังกล่าวตั้งแต่ขั้นตอนการประกาศหรือประชาสัมพันธ์การรับสมัคร การสรรหา การเสนอชื่อ หรือการรับเรื่องสำหรับการดำเนินการเช่นว่านั้น

ข้อ 6 ในกรณีที่ผู้ควบคุมข้อมูลส่วนบุคคลขอความยินยอมในการเก็บรวบรวมข้อมูลส่วนบุคคลเกี่ยวกับประวัติอาชญากรรมจากเจ้าของข้อมูลส่วนบุคคล ผู้ควบคุมข้อมูลส่วนบุคคลจะต้องแจ้งผลกระทบของการไม่ให้ความยินยอมหรือการถอนความยินยอม ในการขอความยินยอมจากเจ้าของข้อมูลส่วนบุคคลด้วย

ข้อ 7 ผู้ควบคุมข้อมูลส่วนบุคคลจะต้องจัดให้มีมาตรการเชิงองค์กร (organizational measures) และมาตรการเชิงเทคนิค (technical measures) ที่เหมาะสม ซึ่งอาจรวมถึงมาตรการทางกายภาพ (physical measures) ที่จำเป็นด้วย เพื่อควบคุมให้การเก็บรวบรวม ใช้ และเปิดเผยข้อมูลส่วนบุคคลตามประกาศนี้ เป็นไปเท่าที่จำเป็นภายใต้วัตถุประสงค์อันชอบด้วยกฎหมายของผู้ควบคุมข้อมูลส่วนบุคคล

ข้อ 8 ในการเก็บรวบรวมข้อมูลส่วนบุคคลตามประกาศนี้ ผู้ควบคุมข้อมูลส่วนบุคคลจะต้องจัดให้มีมาตรการรักษาความมั่นคงปลอดภัยให้เหมาะสมกับความเสี่ยงที่มีต่อสิทธิและเสรีภาพของบุคคล ซึ่งจะต้องเป็นไปตามมาตรฐานขั้นต่ำที่คณะกรรมการคุ้มครองข้อมูลส่วนบุคคลประกาศกำหนดตาม [มาตรา 37](https://link.pdpalawbase.com/section/37.md) (1)

ข้อ 9 ในกรณีที่ไม่มีบทบัญญัติแห่งกฎหมายใดบัญญัติไว้เป็นการเฉพาะ และไม่มีความจำเป็นตามกฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคล ในการเก็บรวบรวมข้อมูลส่วนบุคคลเกี่ยวกับประวัติอาชญากรรมเพื่อการดำเนินการตามข้อ 5 วรรคหนึ่ง เมื่อการดำเนินการดังกล่าวเสร็จสิ้นแล้ว ให้ผู้ควบคุมข้อมูลส่วนบุคคลเก็บรวบรวมข้อมูลส่วนบุคคลเกี่ยวกับประวัติอาชญากรรมนั้นไว้ได้อีกไม่เกินหกเดือนนับแต่วันที่การดำเนินการดังกล่าวเสร็จสิ้นสำหรับเจ้าของข้อมูลส่วนบุคคลแต่ละราย ตามวัตถุประสงค์และความจำเป็นในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล เว้นแต่จะได้รับความยินยอมโดยชัดแจ้งจากเจ้าของข้อมูลส่วนบุคคลเป็นอย่างอื่น

เมื่อสิ้นสุดระยะเวลาในการเก็บรวบรวมข้อมูลส่วนบุคคลเกี่ยวกับประวัติอาชญากรรมตามวรรคหนึ่ง หรือหมดความจำเป็นในการเก็บรักษาไว้ตามวัตถุประสงค์ในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล ให้ผู้ควบคุมข้อมูลส่วนบุคคลลบหรือทำลาย หรือทำให้ข้อมูลส่วนบุคคลดังกล่าวเป็นข้อมูลที่ไม่สามารถระบุตัวบุคคลที่เป็นเจ้าของข้อมูลส่วนบุคคลได้ ด้วยวิธีการที่เหมาะสม

ข้อ 10 ให้ประธานกรรมการคุ้มครองข้อมูลส่วนบุคคลเป็นผู้รักษาการตามประกาศนี้

ประกาศ ณ วันที่ 28 ธันวาคม พ.ศ. 2566

เธียรชัย ณ นคร

ประธานกรรมการคุ้มครองข้อมูลส่วนบุคคล

## เหตุผลและฐานอำนาจ

โดยที่ [มาตรา 26](https://link.pdpalawbase.com/section/26.md) วรรคสาม แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 บัญญัติว่าการเก็บรวบรวมข้อมูลส่วนบุคคลเกี่ยวกับประวัติอาชญากรรมต้องกระทำภายใต้การควบคุมของหน่วยงานที่มีอำนาจหน้าที่ตามกฎหมาย หรือได้จัดให้มีมาตรการคุ้มครองข้อมูลส่วนบุคคลตามหลักเกณฑ์ที่คณะกรรมการคุ้มครองข้อมูลส่วนบุคคลประกาศกำหนด

อาศัยอำนาจตามความใน [มาตรา 16](https://link.pdpalawbase.com/section/16.md) (4) และ [มาตรา 26](https://link.pdpalawbase.com/section/26.md) วรรคสาม แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 คณะกรรมการคุ้มครองข้อมูลส่วนบุคคล จึงออกประกาศกำหนดหลักเกณฑ์เกี่ยวกับมาตรการคุ้มครองสำหรับการเก็บรวบรวมข้อมูลส่วนบุคคลเกี่ยวกับประวัติอาชญากรรมที่มิได้กระทำภายใต้การควบคุมของหน่วยงานที่มีอำนาจหน้าที่ตามกฎหมาย

## เอกสารต้นฉบับ

- [PDF ต้นฉบับ (local)](../../raw/notifications/notification-2.pdf)
- [ที่มา: pdpc.or.th](https://www.pdpc.or.th/2564/)

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/notification/2.md

============================================================
โนด: ประกาศ 3.1
ลิงก์อ้างอิง: https://link.pdpalawbase.com/notification/3-1.md

# ประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง ผู้ควบคุมข้อมูลส่วนบุคคลและผู้ประมวลผลข้อมูลส่วนบุคคลที่เป็นหน่วยงานของรัฐ ซึ่งต้องจัดให้มีเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2566

## ใจความสำคัญ

ประกาศฉบับนี้เป็นประกาศฉบับแรกที่คณะกรรมการคุ้มครองข้อมูลส่วนบุคคลใช้อำนาจตาม [มาตรา 41](https://link.pdpalawbase.com/section/41.md) (1) กำหนดตัวผู้ควบคุมข้อมูลส่วนบุคคลและผู้ประมวลผลข้อมูลส่วนบุคคลที่เป็น "หน่วยงานของรัฐ" ซึ่งต้องจัดให้มีเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลของตน โดยระยะแรกกำหนดเฉพาะหน่วยงานของรัฐที่มีความพร้อมและมีลักษณะที่จำเป็นก่อน และจะกำหนดหน่วยงานของรัฐแห่งอื่นเพิ่มเติมตามความเหมาะสมต่อไป

- หน่วยงานของรัฐที่ต้องจัดให้มีเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล: **66 รายการตามบัญชีท้ายประกาศ** ครอบคลุมหน่วยงานในสังกัดสำนักนายกรัฐมนตรีและ 12 กระทรวง (31 รายการ) กับหน่วยงานอื่นของรัฐ เช่น กรุงเทพมหานคร ธนาคารของรัฐ รัฐวิสาหกิจ องค์การมหาชน และหน่วยงานกำกับดูแล (35 รายการ)
- หน้าที่เกิดขึ้นนับแต่วันที่ประกาศมีผลใช้บังคับ (ข้อ 3)
- เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลของหน่วยงานของรัฐอาจปฏิบัติหน้าที่หรือภารกิจอื่นได้ แต่หน่วยงานต้องรับรองกับสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลว่าหน้าที่หรือภารกิจนั้นไม่ขัดหรือแย้งต่อการปฏิบัติหน้าที่ตามกฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคล (ข้อ 4)
- ประกาศในราชกิจจานุเบกษา เล่ม 140 ตอนพิเศษ 174 ง วันที่ 18 กรกฎาคม 2566 · ใช้บังคับเมื่อพ้นกำหนด 90 วัน = **มีผลใช้บังคับ 16 ตุลาคม 2566**
- ต่อมามี[ประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง ผู้ควบคุมข้อมูลส่วนบุคคลและผู้ประมวลผลข้อมูลส่วนบุคคลที่เป็นหน่วยงานของรัฐ ซึ่งต้องจัดให้มีเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล (ฉบับที่ 2) พ.ศ. 2568](https://link.pdpalawbase.com/notification/3-2.md) กำหนดหน่วยงานราชการส่วนภูมิภาคและส่วนท้องถิ่นบางรูปแบบเพิ่มเติม

## ตัวบท

ข้อ 1 ประกาศนี้เรียกว่า "ประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง ผู้ควบคุมข้อมูลส่วนบุคคลและผู้ประมวลผลข้อมูลส่วนบุคคลที่เป็นหน่วยงานของรัฐ ซึ่งต้องจัดให้มีเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2566"

ข้อ 2 ประกาศนี้ให้ใช้บังคับเมื่อพ้นกำหนดเก้าสิบวันนับแต่วันประกาศในราชกิจจานุเบกษาเป็นต้นไป

ข้อ 3 เพื่อประโยชน์ในการคุ้มครองข้อมูลส่วนบุคคล ให้ผู้ควบคุมข้อมูลส่วนบุคคลและผู้ประมวลผลข้อมูลส่วนบุคคลที่เป็นหน่วยงานของรัฐ ตามที่ระบุไว้ในบัญชีท้ายประกาศนี้ จัดให้มีเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลของตนนับแต่วันที่ประกาศนี้มีผลใช้บังคับ

ข้อ 4 เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลของหน่วยงานของรัฐอาจปฏิบัติหน้าที่หรือภารกิจอื่นได้ แต่ผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคลที่เป็นหน่วยงานของรัฐต้องรับรองกับสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลว่าหน้าที่หรือภารกิจดังกล่าวต้องไม่ขัดหรือแย้งต่อการปฏิบัติหน้าที่ตามกฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคล

ข้อ 5 ให้ประธานกรรมการคุ้มครองข้อมูลส่วนบุคคลเป็นผู้รักษาการตามประกาศนี้

ประกาศ ณ วันที่ 27 มิถุนายน พ.ศ. 2566

เธียรชัย ณ นคร
ประธานกรรมการคุ้มครองข้อมูลส่วนบุคคล

**บัญชีท้ายประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง ผู้ควบคุมข้อมูลส่วนบุคคลและผู้ประมวลผลข้อมูลส่วนบุคคลที่เป็นหน่วยงานของรัฐ ซึ่งต้องจัดให้มีเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2566**

1. สำนักนายกรัฐมนตรี
   - 1.1 สำนักงานคณะกรรมการข้าราชการพลเรือน
2. กระทรวงการคลัง
   - 2.1 กรมบัญชีกลาง
   - 2.2 สำนักงานเศรษฐกิจการคลัง
3. กระทรวงการต่างประเทศ
   - 3.1 กรมการกงสุล
4. กระทรวงการท่องเที่ยวและกีฬา
   - 4.1 กรมการท่องเที่ยว
5. กระทรวงการพัฒนาสังคมและความมั่นคงของมนุษย์
   - 5.1 สำนักงานปลัดกระทรวง
   - 5.2 กรมกิจการเด็กและเยาวชน
   - 5.3 กรมส่งเสริมและพัฒนาคุณภาพชีวิตคนพิการ
6. กระทรวงเกษตรและสหกรณ์
   - 6.1 กรมส่งเสริมการเกษตร
   - 6.2 สำนักงานการปฏิรูปที่ดินเพื่อเกษตรกรรม
7. กระทรวงคมนาคม
   - 7.1 กรมการขนส่งทางบก
   - 7.2 กรมท่าอากาศยาน
8. กระทรวงดิจิทัลเพื่อเศรษฐกิจและสังคม
   - 8.1 สำนักงานคณะกรรมการดิจิทัลเพื่อเศรษฐกิจและสังคมแห่งชาติ
   - 8.2 สำนักงานสถิติแห่งชาติ
9. กระทรวงพาณิชย์
   - 9.1 กรมทรัพย์สินทางปัญญา
   - 9.2 กรมพัฒนาธุรกิจการค้า
10. กระทรวงมหาดไทย
    - 10.1 กรมการปกครอง
    - 10.2 กรมการพัฒนาชุมชน
    - 10.3 กรมที่ดิน
11. กระทรวงแรงงาน
    - 11.1 กรมการจัดหางาน
    - 11.2 กรมพัฒนาฝีมือแรงงาน
    - 11.3 สำนักงานประกันสังคม
12. กระทรวงศึกษาธิการ
    - 12.1 สำนักงานปลัดกระทรวง
    - 12.2 สำนักงานคณะกรรมการการศึกษาขั้นพื้นฐาน
    - 12.3 สำนักงานคณะกรรมการการอาชีวศึกษา
13. กระทรวงสาธารณสุข
    - 13.1 สำนักงานปลัดกระทรวง
    - 13.2 กรมการแพทย์
    - 13.3 กรมควบคุมโรค
    - 13.4 กรมวิทยาศาสตร์การแพทย์
    - 13.5 กรมสุขภาพจิต
    - 13.6 กรมอนามัย
14. หน่วยงานอื่นของรัฐ
    - 14.1 กรุงเทพมหานคร
    - 14.2 กองทุนการออมแห่งชาติ
    - 14.3 กองทุนเงินให้กู้ยืมเพื่อการศึกษา
    - 14.4 กองทุนบำเหน็จบำนาญข้าราชการ
    - 14.5 การทางพิเศษแห่งประเทศไทย
    - 14.6 การประปานครหลวง
    - 14.7 การประปาส่วนภูมิภาค
    - 14.8 การไฟฟ้านครหลวง
    - 14.9 การไฟฟ้าส่วนภูมิภาค
    - 14.10 การรถไฟแห่งประเทศไทย
    - 14.11 คุรุสภา
    - 14.12 ธนาคารกรุงไทย จำกัด (มหาชน)
    - 14.13 ธนาคารพัฒนาวิสาหกิจขนาดกลางและขนาดย่อมแห่งประเทศไทย
    - 14.14 ธนาคารเพื่อการเกษตรและสหกรณ์การเกษตร
    - 14.15 ธนาคารเพื่อการส่งออกและนำเข้าแห่งประเทศไทย
    - 14.16 ธนาคารแห่งประเทศไทย
    - 14.17 ธนาคารออมสิน
    - 14.18 ธนาคารอาคารสงเคราะห์
    - 14.19 ธนาคารอิสลามแห่งประเทศไทย
    - 14.20 บริษัท ขนส่ง จำกัด
    - 14.21 บริษัท โทรคมนาคมแห่งชาติ จำกัด (มหาชน)
    - 14.22 บริษัท ไปรษณีย์ไทย จำกัด
    - 14.23 มหาวิทยาลัยและสถาบันอุดมศึกษาของรัฐที่มีสถานพยาบาลในสังกัด
    - 14.24 สถาบันการแพทย์ฉุกเฉินแห่งชาติ
    - 14.25 สถาบันข้อมูลขนาดใหญ่ (องค์การมหาชน)
    - 14.26 สถาบันคุณวุฒิวิชาชีพ (องค์การมหาชน)
    - 14.27 สถาบันคุ้มครองเงินฝาก
    - 14.28 สถาบันทดสอบทางการศึกษาแห่งชาติ (องค์การมหาชน)
    - 14.29 สำนักงานคณะกรรมการการเลือกตั้ง
    - 14.30 สำนักงานคณะกรรมการกำกับและส่งเสริมการประกอบธุรกิจประกันภัย
    - 14.31 สำนักงานคณะกรรมการกำกับหลักทรัพย์และตลาดหลักทรัพย์
    - 14.32 สำนักงานคณะกรรมการกิจการกระจายเสียง กิจการโทรทัศน์ และกิจการโทรคมนาคมแห่งชาติ
    - 14.33 สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล
    - 14.34 สำนักงานพัฒนาวิทยาศาสตร์และเทคโนโลยีแห่งชาติ
    - 14.35 สำนักงานหลักประกันสุขภาพแห่งชาติ

## เหตุผลและฐานอำนาจ

โดยที่เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลเป็นกลไกสำคัญที่จะช่วยให้ผู้ควบคุมข้อมูลส่วนบุคคลและผู้ประมวลผลข้อมูลส่วนบุคคลดำเนินการให้เป็นไปตามกฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคลอย่างมีประสิทธิภาพ สมควรกำหนดให้ผู้ควบคุมข้อมูลส่วนบุคคลและผู้ประมวลผลข้อมูลส่วนบุคคลที่เป็นหน่วยงานของรัฐต้องจัดให้มีเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลของตน โดยในระยะแรกเห็นควรกำหนดให้หน่วยงานของรัฐที่มีความพร้อมและมีลักษณะที่จำเป็นต้องจัดให้มีเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล ซึ่งจะได้กำหนดหน่วยงานของรัฐแห่งอื่นเพิ่มเติมตามความเหมาะสมต่อไป

อาศัยอำนาจตามความใน [มาตรา 16](https://link.pdpalawbase.com/section/16.md) (4) ประกอบ [มาตรา 41](https://link.pdpalawbase.com/section/41.md) (1) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 คณะกรรมการคุ้มครองข้อมูลส่วนบุคคล จึงออกประกาศไว้

## เอกสารต้นฉบับ

- [PDF ต้นฉบับ (local)](../../raw/notifications/notification-3.1.pdf)
- [ที่มา: pdpc.or.th](https://www.pdpc.or.th/2398/)

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/notification/3-1.md

============================================================
โนด: ประกาศ 3.2
ลิงก์อ้างอิง: https://link.pdpalawbase.com/notification/3-2.md

# ประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง ผู้ควบคุมข้อมูลส่วนบุคคลและผู้ประมวลผลข้อมูลส่วนบุคคลที่เป็นหน่วยงานของรัฐ ซึ่งต้องจัดให้มีเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล (ฉบับที่ 2) พ.ศ. 2568

## ใจความสำคัญ

ประกาศฉบับนี้เป็นการขยายผลจาก[ประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง ผู้ควบคุมข้อมูลส่วนบุคคลและผู้ประมวลผลข้อมูลส่วนบุคคลที่เป็นหน่วยงานของรัฐ ซึ่งต้องจัดให้มีเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2566](https://link.pdpalawbase.com/notification/3-1.md) (ฉบับแรก) โดยกำหนดให้หน่วยงานของรัฐใน "ราชการส่วนภูมิภาคและราชการส่วนท้องถิ่นบางรูปแบบ" ต้องจัดให้มีเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลของตนเป็นการเพิ่มเติม ตามอำนาจใน [มาตรา 41](https://link.pdpalawbase.com/section/41.md) (1)

- หน่วยงานที่เพิ่มจากบัญชีท้ายประกาศฉบับแรก 4 ประเภท (ข้อ 4): **จังหวัด · องค์การบริหารส่วนจังหวัด · เทศบาลนคร · เมืองพัทยา**
- แต่ละประเภทนิยามโดยอิงกฎหมายจัดตั้งของตน เช่น จังหวัดตามกฎหมายว่าด้วยระเบียบบริหารราชการแผ่นดิน เทศบาลนครตามกฎหมายว่าด้วยเทศบาล (ข้อ 3)
- เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลตามประกาศนี้อาจปฏิบัติหน้าที่หรือภารกิจอื่นได้ แต่หน่วยงานต้องรับรองต่อสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลว่าหน้าที่นั้นไม่ขัดหรือแย้งต่อการปฏิบัติหน้าที่ตามกฎหมาย (ข้อ 5 — หลักการเดียวกับฉบับแรก)
- ประกาศในราชกิจจานุเบกษา เล่ม 142 ตอนพิเศษ 329 ง วันที่ 9 ตุลาคม 2568 · ใช้บังคับเมื่อพ้นกำหนด 60 วัน = **มีผลใช้บังคับ 8 ธันวาคม 2568**

## ตัวบท

ข้อ 1 ประกาศนี้เรียกว่า "ประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง ผู้ควบคุมข้อมูลส่วนบุคคลและผู้ประมวลผลข้อมูลส่วนบุคคลที่เป็นหน่วยงานของรัฐ ซึ่งต้องจัดให้มีเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล (ฉบับที่ 2) พ.ศ. 2568"

ข้อ 2 ประกาศนี้ให้ใช้บังคับเมื่อพ้นกำหนดหกสิบวันนับแต่วันประกาศในราชกิจจานุเบกษาเป็นต้นไป

ข้อ 3 ในประกาศนี้

"จังหวัด" หมายความว่า จังหวัดตามกฎหมายว่าด้วยระเบียบบริหารราชการแผ่นดิน

"องค์การบริหารส่วนจังหวัด" หมายความว่า องค์การบริหารส่วนจังหวัดตามกฎหมายว่าด้วยองค์การบริหารส่วนจังหวัด

"เทศบาลนคร" หมายความว่า เทศบาลนครตามกฎหมายว่าด้วยเทศบาล

"เมืองพัทยา" หมายความว่า เมืองพัทยาตามกฎหมายว่าด้วยระเบียบบริหารราชการเมืองพัทยา

ข้อ 4 นอกเหนือจากผู้ควบคุมข้อมูลส่วนบุคคลและผู้ประมวลผลข้อมูลส่วนบุคคลที่เป็นหน่วยงานของรัฐ ตามบัญชีท้ายประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง ผู้ควบคุมข้อมูลส่วนบุคคลและผู้ประมวลผลข้อมูลส่วนบุคคลที่เป็นหน่วยงานของรัฐ ซึ่งต้องจัดให้มีเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2566 แล้ว ให้ผู้ควบคุมข้อมูลส่วนบุคคลและผู้ประมวลผลข้อมูลส่วนบุคคลของหน่วยงานของรัฐดังต่อไปนี้ จัดให้มีเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลของตน นับแต่วันที่ประกาศนี้มีผลใช้บังคับ

(1) จังหวัด

(2) องค์การบริหารส่วนจังหวัด

(3) เทศบาลนคร

(4) เมืองพัทยา

ข้อ 5 เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลของหน่วยงานของรัฐตามประกาศนี้อาจปฏิบัติหน้าที่หรือภารกิจอื่นได้ แต่ผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคลตามประกาศนี้ต้องรับรองต่อสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลว่าหน้าที่หรือภารกิจดังกล่าวไม่ขัดหรือแย้งต่อการปฏิบัติหน้าที่ตามกฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคล

ข้อ 6 ให้ประธานกรรมการคุ้มครองข้อมูลส่วนบุคคลเป็นผู้รักษาการตามประกาศนี้

ประกาศ ณ วันที่ 1 ตุลาคม พ.ศ. 2568

เธียรชัย ณ นคร
ประธานกรรมการคุ้มครองข้อมูลส่วนบุคคล

## เหตุผลและฐานอำนาจ

โดยที่เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลเป็นกลไกสำคัญที่จะช่วยให้ผู้ควบคุมข้อมูลส่วนบุคคลและผู้ประมวลผลข้อมูลส่วนบุคคลดำเนินการให้เป็นไปตามกฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคลได้อย่างมีประสิทธิภาพ สมควรกำหนดให้ผู้ควบคุมข้อมูลส่วนบุคคลและผู้ประมวลผลข้อมูลส่วนบุคคลที่เป็นหน่วยงานของรัฐในราชการส่วนภูมิภาคและราชการส่วนท้องถิ่นบางรูปแบบต้องจัดให้มีเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลของตนเป็นการเพิ่มเติม

อาศัยอำนาจตามความใน [มาตรา 16](https://link.pdpalawbase.com/section/16.md) (4) ประกอบ [มาตรา 41](https://link.pdpalawbase.com/section/41.md) (1) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 คณะกรรมการคุ้มครองข้อมูลส่วนบุคคล จึงออกประกาศไว้

## เอกสารต้นฉบับ

- [PDF ต้นฉบับ (local)](../../raw/notifications/notification-3.2.pdf)
- [ที่มา: ratchakitcha.soc.go.th](https://ratchakitcha.soc.go.th/documents/88831.pdf)

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/notification/3-2.md

============================================================
โนด: ประกาศ 3.3
ลิงก์อ้างอิง: https://link.pdpalawbase.com/notification/3-3.md

# ประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง การจัดให้มีเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลตามมาตรา 41 (2) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 พ.ศ. 2566

## ใจความสำคัญ

ประกาศฉบับนี้วางหลักเกณฑ์ตีความเงื่อนไขของ [มาตรา 41](https://link.pdpalawbase.com/section/41.md) (2) ว่าผู้ควบคุมข้อมูลส่วนบุคคลและผู้ประมวลผลข้อมูลส่วนบุคคลรายใด (ภาคเอกชนรวมอยู่ด้วย — ไม่จำกัดเฉพาะหน่วยงานของรัฐ) มีหน้าที่ต้องจัดให้มีเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล เพราะการดำเนินกิจกรรมหลักของตน "จำเป็นต้องตรวจสอบข้อมูลส่วนบุคคลหรือระบบอย่างสม่ำเสมอ โดยเหตุที่มีข้อมูลส่วนบุคคลเป็นจำนวนมาก"

- **เกณฑ์ที่ 1 — ตรวจสอบอย่างสม่ำเสมอ (ข้อ 5):** กิจกรรมหลักที่มีการติดตาม เฝ้าสังเกต วิเคราะห์ หรือทำนายพฤติกรรม ทัศนคติ หรือลักษณะเฉพาะของบุคคล อย่างเป็นระบบและเป็นประจำ · กรณีที่ถือว่าเข้าเกณฑ์โดยอัตโนมัติ เช่น บัตรสมาชิก/บัตรโดยสารที่ตรวจสอบการใช้งานได้ การตรวจสอบสถานะลูกค้าก่อนทำสัญญา (เช่น การให้คะแนนเครดิต การพิจารณาเบี้ยประกัน) การโฆษณาตามพฤติกรรม ผู้ให้บริการเครือข่ายคอมพิวเตอร์/โทรคมนาคม และกล้องวงจรปิดเพื่อรักษาความปลอดภัยสถานที่
- **เกณฑ์ที่ 2 — ข้อมูลจำนวนมาก (ข้อ 6):** พิจารณาจากจำนวน/สัดส่วนเจ้าของข้อมูล ปริมาณและประเภทข้อมูล ระยะเวลาความคงอยู่ และขอบเขตพื้นที่ · กรณีที่ถือว่าเข้าเกณฑ์โดยอัตโนมัติ เช่น กิจกรรมหลักที่มีเจ้าของข้อมูล**ตั้งแต่ 100,000 รายขึ้นไป** การโฆษณาตามพฤติกรรมผ่านโปรแกรมค้นหา/สื่อสังคมออนไลน์ที่มีผู้ใช้กว้างขวาง ธุรกิจประกันชีวิต/ประกันวินาศภัย/สถาบันการเงิน และผู้รับใบอนุญาตโทรคมนาคมแบบที่สาม
- ผู้ที่เข้าทั้งสองเกณฑ์ (ข้อ 4) ต้องจัดให้มีเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลของตน โดยการพิจารณาให้คำนึงถึงมาตรฐานและแนวปฏิบัติของธุรกิจนั้น ๆ ตลอดจนความเสี่ยงและผลกระทบต่อเจ้าของข้อมูลด้วย (ข้อ 7)
- เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลอาจปฏิบัติหน้าที่หรือภารกิจอื่นได้ แต่ต้องรับรองกับสำนักงานว่าไม่ขัดหรือแย้งต่อการปฏิบัติหน้าที่ตามกฎหมาย (ข้อ 8)
- ประกาศในราชกิจจานุเบกษา เล่ม 140 ตอนพิเศษ 226 ง วันที่ 14 กันยายน 2566 · ใช้บังคับเมื่อพ้นกำหนด 90 วัน = **มีผลใช้บังคับ 13 ธันวาคม 2566**

## ตัวบท

ข้อ 1 ประกาศนี้เรียกว่า "ประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง การจัดให้มีเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลตาม [มาตรา 41](https://link.pdpalawbase.com/section/41.md) (2) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 พ.ศ. 2566"

ข้อ 2 ประกาศนี้ให้ใช้บังคับเมื่อพ้นกำหนดเก้าสิบวันนับแต่วันประกาศในราชกิจจานุเบกษาเป็นต้นไป

ข้อ 3 ในประกาศนี้

"การดำเนินกิจกรรม" หมายความว่า การดำเนินการใด ๆ ของผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคลในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล ไม่ว่าจะเกี่ยวกับกิจกรรมหลัก (core activities) หรือกิจกรรมเสริมก็ตาม

"กิจกรรมหลัก (core activities)" หมายความว่า การดำเนินการที่จำเป็นและมีความสำคัญเพื่อบรรลุวัตถุประสงค์หรือเป้าหมายหลักในการดำเนินงานในกิจการหรือภารกิจของผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคล เช่น การเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลของลูกค้าเพื่อการให้บริการแก่ลูกค้าและการบันทึกข้อมูลการรับบริการของลูกค้า ซึ่งเป็นการดำเนินการที่จำเป็นและมีความสำคัญสำหรับการให้บริการรับจ้างขนส่งสินค้า หรือการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลจากกล้องวงจรปิด ซึ่งเป็นการดำเนินการที่จำเป็นและมีความสำคัญสำหรับการรับจ้างรักษาความปลอดภัยให้กับสถานที่ต่าง ๆ แต่ไม่รวมถึงกิจกรรมเสริมที่เป็นเพียงงานสนับสนุนในการดำเนินงานของผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคล ซึ่งไม่ใช่การดำเนินการที่จำเป็นและมีความสำคัญเพื่อบรรลุวัตถุประสงค์หรือเป้าหมายหลักในการดำเนินงานในกิจการหรือภารกิจของผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคล เช่น งานสนับสนุนด้านบุคลากรและเทคโนโลยีสารสนเทศ ซึ่งเป็นเพียงงานสนับสนุนสำหรับการให้บริการรับจ้างขนส่งสินค้าหรือการรับจ้างรักษาความปลอดภัยให้กับสถานที่ต่าง ๆ

"สื่อสังคมออนไลน์ (social media)" หมายความว่า สื่อหรือช่องทางในการติดต่อสื่อสารหรือแลกเปลี่ยนข้อมูลระหว่างบุคคลโดยใช้เทคโนโลยีสารสนเทศ หรือเครือข่ายอินเทอร์เน็ต (Internet intermediary) ที่เน้นการสร้างหรือเผยแพร่เนื้อหาระหว่างผู้ใช้งานด้วยกัน (creation and exchange of user-generated content) หรือสนับสนุนการสื่อสารสองทาง หรือการนำเสนอและเผยแพร่เนื้อหาในวงกว้างได้ด้วยตนเอง ซึ่งรวมถึงแต่ไม่จำกัดเฉพาะ โปรแกรมคอมพิวเตอร์ ซอฟต์แวร์ แอปพลิเคชัน กระดานข่าว เครือข่ายสังคมออนไลน์ สื่อสำหรับการเผยแพร่และแลกเปลี่ยนเนื้อหาที่เป็นข้อมูลคอมพิวเตอร์ ข้อมูลอิเล็กทรอนิกส์ ภาพนิ่ง เสียง วีดิทัศน์ หรือแฟ้มข้อมูล หรือให้บริการเนื้อที่เก็บข้อมูลบนอินเทอร์เน็ต บล็อก (blogs) เว็บไซต์สำหรับการสร้างและแก้ไขเนื้อหาร่วมกัน เกมออนไลน์หรือโลกเสมือนที่มีผู้ใช้งานหลายคน หรือสื่ออิเล็กทรอนิกส์หรือสื่อออนไลน์อื่นในลักษณะเดียวกันหรือคล้ายคลึงกันที่เปิดให้ใช้งาน เพื่อเป็นช่องทางสื่อสารระหว่างบุคคล ระหว่างกลุ่มบุคคล หรือกับสาธารณะ

"สำนักงาน" หมายความว่า สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล

ข้อ 4 เพื่อประโยชน์ในการคุ้มครองข้อมูลส่วนบุคคล ให้ผู้ควบคุมข้อมูลส่วนบุคคลและผู้ประมวลผลข้อมูลส่วนบุคคลที่การดำเนินกิจกรรมในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล ซึ่งเป็นส่วนหนึ่งของกิจกรรมหลัก (core activities) จำเป็นต้องตรวจสอบข้อมูลส่วนบุคคลหรือระบบอย่างสม่ำเสมอ โดยเหตุที่มีข้อมูลส่วนบุคคลเป็นจำนวนมาก (on a large scale) ตามข้อ 5 และข้อ 6 ของประกาศนี้ ต้องจัดให้มีเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลของตน

ข้อ 5 การดำเนินกิจกรรมของผู้ควบคุมข้อมูลส่วนบุคคลและผู้ประมวลผลข้อมูลส่วนบุคคล ซึ่งเป็นส่วนหนึ่งของกิจกรรมหลัก (core activities) ที่มีการติดตาม (track) เฝ้าสังเกต (monitor) วิเคราะห์ หรือทำนายพฤติกรรม ทัศนคติ หรือลักษณะเฉพาะของบุคคล (profile) ซึ่งโดยทั่วไปจะมีการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลอย่างเป็นระบบ (systematic) และเกิดขึ้นเป็นประจำหรือเป็นปกติธุระ (regular) ให้ถือว่าการดำเนินกิจกรรมนั้นมีความจำเป็นต้องตรวจสอบข้อมูลส่วนบุคคลหรือระบบอย่างสม่ำเสมอ

การเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลในกรณีดังต่อไปนี้ ให้ถือเป็นกรณีที่มีความจำเป็นต้องตรวจสอบข้อมูลส่วนบุคคลหรือระบบอย่างสม่ำเสมอตามวรรคหนึ่งด้วย

(1) การเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลเกี่ยวกับการใช้งานของผู้ถือบัตรสมาชิก บัตรโดยสารสาธารณะ บัตรอิเล็กทรอนิกส์ หรือบัตรอื่นใดในลักษณะเดียวกันซึ่งผู้ให้บริการบัตรหรือบุคคลอื่นใดสามารถตรวจสอบรายละเอียดข้อมูลการใช้งานบัตรได้

(2) การเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลของลูกค้าหรือผู้รับบริการซึ่งเกิดขึ้นเป็นประจำหรือเป็นปกติธุระ ที่มีการตรวจสอบสถานะ ประวัติ หรือคุณสมบัติของลูกค้าหรือผู้รับบริการก่อนเข้าทำสัญญาหรือให้บริการในลักษณะเดียวกันเพื่อประเมินความเสี่ยงด้านต่าง ๆ ที่เกี่ยวข้อง เช่น การให้คะแนนเครดิต (credit scoring) การพิจารณาเบี้ยประกัน การป้องกันการโกงหรือฉ้อฉล (fraud prevention) ทั้งนี้ ไม่รวมถึงการดำเนินการกับข้อมูลของบริษัทข้อมูลเครดิตและสมาชิกตามกฎหมายว่าด้วยการประกอบธุรกิจข้อมูลเครดิต

(3) การเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลเพื่อวัตถุประสงค์ด้านการโฆษณาตามพฤติกรรม (behavioral advertising)

(4) การเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลของลูกค้าหรือผู้รับบริการโดยผู้ให้บริการระบบเครือข่ายคอมพิวเตอร์หรือผู้ประกอบกิจการโทรคมนาคม

(5) การเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลเพื่อการเฝ้าระวังและรักษาความปลอดภัยตามสถานที่ต่าง ๆ

(6) กรณีอื่นตามที่คณะกรรมการคุ้มครองข้อมูลส่วนบุคคลกำหนด

ข้อ 6 การดำเนินกิจกรรมของผู้ควบคุมข้อมูลส่วนบุคคลและผู้ประมวลผลข้อมูลส่วนบุคคล ซึ่งเป็นส่วนหนึ่งของกิจกรรมหลัก (core activities) ที่มีข้อมูลส่วนบุคคลเป็นจำนวนมาก (on a large scale) ให้พิจารณาจากปัจจัย ดังต่อไปนี้

(1) จำนวนเจ้าของข้อมูลส่วนบุคคลที่เกี่ยวข้อง หรือสัดส่วนของจำนวนเจ้าของข้อมูลส่วนบุคคลที่มีการเก็บรวบรวม ใช้ หรือเปิดเผย เมื่อเทียบกับจำนวนเจ้าของข้อมูลส่วนบุคคลทั้งหมดที่อาจเป็นไปได้

(2) ปริมาณ ประเภท หรือลักษณะของข้อมูลส่วนบุคคลที่มีการเก็บรวบรวม ใช้ หรือเปิดเผย

(3) ระยะเวลา (duration) หรือความคงอยู่ (permanence) ของการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลเพื่อประโยชน์ในการดำเนินกิจกรรมหลัก (core activities) ของผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคล

(4) ขอบเขตการใช้ข้อมูลส่วนบุคคลขององค์กร หรือตามขนาดพื้นที่หรือจำนวนประเทศที่เกี่ยวข้องกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล

การเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลในกรณีดังต่อไปนี้ ให้ถือเป็นกรณีที่มีข้อมูลส่วนบุคคลเป็นจำนวนมาก (on a large scale) ตามวรรคหนึ่งด้วย

(1) การเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล ซึ่งเป็นส่วนหนึ่งของกิจกรรมหลัก (core activities) โดยมีจำนวนเจ้าของข้อมูลส่วนบุคคลที่มีการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล ตั้งแต่ 100,000 รายขึ้นไป

(2) การเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลเพื่อวัตถุประสงค์ด้านการโฆษณาตามพฤติกรรม (behavioral advertising) ผ่านโปรแกรมค้นหา (search engine) หรือสื่อสังคมออนไลน์ (social media) ที่มีผู้ใช้งานอย่างกว้างขวาง

(3) การเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลของลูกค้าหรือผู้รับบริการตามการดำเนินงานปกติโดยบริษัทตามกฎหมายว่าด้วยประกันชีวิต บริษัทตามกฎหมายว่าด้วยประกันวินาศภัย ผู้ประกอบธุรกิจสถาบันการเงินตามกฎหมายว่าด้วยธุรกิจสถาบันการเงิน ทั้งนี้ ไม่รวมถึงการดำเนินการกับข้อมูลของบริษัทข้อมูลเครดิตและสมาชิกตามกฎหมายว่าด้วยการประกอบธุรกิจข้อมูลเครดิต

(4) การเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลของลูกค้าหรือผู้รับบริการโดยผู้รับใบอนุญาตประกอบกิจการโทรคมนาคมแบบที่สามตามกฎหมายว่าด้วยการประกอบกิจการโทรคมนาคม

(5) กรณีอื่นตามที่คณะกรรมการคุ้มครองข้อมูลส่วนบุคคลกำหนด

ข้อ 7 ในการพิจารณาหลักเกณฑ์ตามข้อ 5 และข้อ 6 ให้คำนึงถึงมาตรฐานและแนวปฏิบัติของธุรกิจหรือกิจการนั้น ๆ ตลอดจนความเสี่ยงและผลกระทบต่อเจ้าของข้อมูลส่วนบุคคลด้วย

ข้อ 8 เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลของผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคลตามประกาศนี้อาจปฏิบัติหน้าที่หรือภารกิจอื่นได้ แต่ผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคลตามประกาศนี้ต้องรับรองกับสำนักงานว่าหน้าที่หรือภารกิจดังกล่าวต้องไม่ขัดหรือแย้งต่อการปฏิบัติหน้าที่ตามกฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคล

ข้อ 9 ให้ประธานกรรมการคุ้มครองข้อมูลส่วนบุคคลเป็นผู้รักษาการตามประกาศนี้

ประกาศ ณ วันที่ 31 สิงหาคม พ.ศ. 2566

เธียรชัย ณ นคร
ประธานกรรมการคุ้มครองข้อมูลส่วนบุคคล

## เหตุผลและฐานอำนาจ

โดยที่เป็นการสมควรกำหนดผู้ควบคุมข้อมูลส่วนบุคคลและผู้ประมวลผลข้อมูลส่วนบุคคล ซึ่งต้องจัดให้มีเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลของตน ในกรณีที่การดำเนินกิจกรรมในการเก็บรวบรวม ใช้ หรือเปิดเผย จำเป็นต้องตรวจสอบข้อมูลส่วนบุคคลหรือระบบอย่างสม่ำเสมอ โดยเหตุที่มีข้อมูลส่วนบุคคลเป็นจำนวนมาก

อาศัยอำนาจตามความใน [มาตรา 16](https://link.pdpalawbase.com/section/16.md) (4) ประกอบ [มาตรา 41](https://link.pdpalawbase.com/section/41.md) (2) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 คณะกรรมการคุ้มครองข้อมูลส่วนบุคคล จึงออกประกาศไว้

## เอกสารต้นฉบับ

- [PDF ต้นฉบับ (local)](../../raw/notifications/notification-3.3.pdf)
- [ที่มา: pdpc.or.th](https://www.pdpc.or.th/2384/)

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/notification/3-3.md

============================================================
โนด: ประกาศ 4.1
ลิงก์อ้างอิง: https://link.pdpalawbase.com/notification/4-1.md

# ประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง หลักเกณฑ์และวิธีการในการจัดทำและเก็บรักษาบันทึกรายการของกิจกรรมการประมวลผลข้อมูลส่วนบุคคลสำหรับผู้ประมวลผลข้อมูลส่วนบุคคล พ.ศ. 2565

## ใจความสำคัญ

ประกาศฉบับนี้กำหนดหลักเกณฑ์และวิธีการจัดทำและเก็บรักษา "บันทึกรายการของกิจกรรมการประมวลผลข้อมูลส่วนบุคคล" (ROPA) ฝั่ง**ผู้ประมวลผลข้อมูลส่วนบุคคล** ตามหน้าที่ใน [มาตรา 40](https://link.pdpalawbase.com/section/40.md) วรรคหนึ่ง (3) — เป็นคู่ขนานของบันทึกรายการฝั่งผู้ควบคุมข้อมูลส่วนบุคคลตาม [มาตรา 39](https://link.pdpalawbase.com/section/39.md)

- ผู้ประมวลผลข้อมูลส่วนบุคคลต้องจัดทำบันทึกรายการ**แยกตามประเภทกิจกรรม** โดยมีรายละเอียดอย่างน้อย 6 รายการ: ชื่อ/ข้อมูลผู้ประมวลผลและตัวแทน · ชื่อ/ข้อมูลผู้ควบคุมที่ตนรับดำเนินการให้และตัวแทน · เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล (ถ้าจัดให้มี) · ประเภทหรือลักษณะการเก็บรวบรวม ใช้ เปิดเผยตามที่ได้รับมอบหมาย · ประเภทผู้รับข้อมูลกรณีส่งหรือโอนไปต่างประเทศ · คำอธิบายมาตรการรักษาความมั่นคงปลอดภัยตาม [มาตรา 40](https://link.pdpalawbase.com/section/40.md) วรรคหนึ่ง (2)
- รูปแบบ: จัดทำเป็นหนังสือหรือรูปแบบอิเล็กทรอนิกส์ก็ได้ แต่ต้อง**เข้าถึงได้ง่าย**และแสดงให้สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล ผู้ควบคุมข้อมูลส่วนบุคคล หรือบุคคลที่ได้รับมอบหมาย ตรวจสอบได้อย่างรวดเร็วเมื่อมีการร้องขอ
- ใช้บังคับเมื่อพ้นกำหนด 180 วันนับแต่วันประกาศในราชกิจจานุเบกษา (ประกาศ 20 มิถุนายน 2565) — มีผล 17 ธันวาคม 2565
- ผู้ประมวลผลข้อมูลส่วนบุคคลซึ่งเป็นกิจการขนาดเล็กได้รับยกเว้นหน้าที่นี้ตามเงื่อนไขใน [ประกาศการยกเว้นการจัดทำบันทึกรายการของผู้ประมวลผลซึ่งเป็นกิจการขนาดเล็ก พ.ศ. 2567](https://link.pdpalawbase.com/notification/4-3.md)

## ตัวบท

ข้อ 1 ประกาศนี้เรียกว่า "ประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง หลักเกณฑ์และวิธีการในการจัดทำและเก็บรักษาบันทึกรายการของกิจกรรมการประมวลผลข้อมูลส่วนบุคคลสำหรับผู้ประมวลผลข้อมูลส่วนบุคคล พ.ศ. 2565"

ข้อ 2 ประกาศนี้ให้ใช้บังคับเมื่อพ้นกำหนดหนึ่งร้อยแปดสิบวันนับแต่วันประกาศในราชกิจจานุเบกษาเป็นต้นไป

ข้อ 3 ผู้ประมวลผลข้อมูลส่วนบุคคลต้องจัดทำและเก็บรักษาบันทึกรายการของกิจกรรมการประมวลผลข้อมูลส่วนบุคคลของแต่ละประเภทกิจกรรมไว้ โดยมีรายละเอียดอย่างน้อย ดังต่อไปนี้

(1) ชื่อและข้อมูลเกี่ยวกับผู้ประมวลผลข้อมูลส่วนบุคคล และตัวแทนของผู้ประมวลผลข้อมูลส่วนบุคคลในกรณีที่มีการแต่งตั้งตัวแทน

(2) ชื่อและข้อมูลเกี่ยวกับผู้ควบคุมข้อมูลส่วนบุคคลที่ผู้ประมวลผลข้อมูลส่วนบุคคลดำเนินการตามคำสั่งหรือในนามของผู้ควบคุมข้อมูลส่วนบุคคลนั้น และตัวแทนของผู้ควบคุมข้อมูลส่วนบุคคลในกรณีที่มีการแต่งตั้งตัวแทน

(3) ชื่อและข้อมูลเกี่ยวกับเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล รวมถึงสถานที่ติดต่อและวิธีการติดต่อ ในกรณีที่ผู้ประมวลผลข้อมูลส่วนบุคคลจัดให้มีเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล

(4) ประเภทหรือลักษณะของการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลที่ผู้ประมวลผลข้อมูลส่วนบุคคลดำเนินการตามคำสั่งหรือในนามของผู้ควบคุมข้อมูลส่วนบุคคล ซึ่งรวมถึงข้อมูลส่วนบุคคลและวัตถุประสงค์ของการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลตามที่ได้รับมอบหมายจากผู้ควบคุมข้อมูลส่วนบุคคล

(5) ประเภทของบุคคลหรือหน่วยงานที่ได้รับข้อมูลส่วนบุคคล ในกรณีที่มีการส่งหรือโอนข้อมูลส่วนบุคคลไปยังต่างประเทศ

(6) คำอธิบายเกี่ยวกับมาตรการรักษาความมั่นคงปลอดภัยตาม [มาตรา 40](https://link.pdpalawbase.com/section/40.md) วรรคหนึ่ง (2)

ผู้ประมวลผลข้อมูลส่วนบุคคลต้องจัดทำและเก็บรักษาบันทึกรายการของกิจกรรมการประมวลผลข้อมูลส่วนบุคคลตามวรรคหนึ่งเป็นลายลักษณ์อักษร โดยจะจัดทำเป็นหนังสือหรือในรูปแบบอิเล็กทรอนิกส์ก็ได้ ทั้งนี้ บันทึกรายการของกิจกรรมการประมวลผลข้อมูลส่วนบุคคลดังกล่าวจะต้องเข้าถึงได้ง่าย และสามารถแสดงให้สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล ผู้ควบคุมข้อมูลส่วนบุคคล หรือบุคคลที่สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลหรือผู้ควบคุมข้อมูลส่วนบุคคลมอบหมายตรวจสอบได้อย่างรวดเร็วเมื่อมีการร้องขอ

ข้อ 4 ให้ประธานกรรมการคุ้มครองข้อมูลส่วนบุคคลเป็นผู้รักษาการตามประกาศนี้

ประกาศ ณ วันที่ 10 มิถุนายน พ.ศ. 2565

เธียรชัย ณ นคร

ประธานกรรมการคุ้มครองข้อมูลส่วนบุคคล

## เหตุผลและฐานอำนาจ

โดยที่เป็นการสมควรกำหนดหลักเกณฑ์และวิธีการในการจัดทำและเก็บรักษาบันทึกรายการของกิจกรรมการประมวลผลข้อมูลส่วนบุคคลสำหรับผู้ประมวลผลข้อมูลส่วนบุคคล

อาศัยอำนาจตามความใน [มาตรา 16](https://link.pdpalawbase.com/section/16.md) (4) และ [มาตรา 40](https://link.pdpalawbase.com/section/40.md) วรรคหนึ่ง (3) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 คณะกรรมการคุ้มครองข้อมูลส่วนบุคคล จึงออกประกาศไว้

## เอกสารต้นฉบับ

- [PDF ต้นฉบับ (local)](../../raw/notifications/notification-4.1.pdf)
- [ที่มา: pdpc.or.th](https://www.pdpc.or.th/2968/)

(ประกาศในราชกิจจานุเบกษา เล่ม 139 ตอนพิเศษ 140 ง หน้า 26-27 วันที่ 20 มิถุนายน 2565 · วันมีผลใช้บังคับคำนวณจากวันประกาศ + 180 วัน = 17 ธันวาคม 2565)

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/notification/4-1.md

============================================================
โนด: ประกาศ 4.2
ลิงก์อ้างอิง: https://link.pdpalawbase.com/notification/4-2.md

# ประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง การยกเว้นการบันทึกรายการของผู้ควบคุมข้อมูลส่วนบุคคลซึ่งเป็นกิจการขนาดเล็ก พ.ศ. 2567

## ใจความสำคัญ

ประกาศฉบับนี้ปรับปรุงหลักเกณฑ์การยกเว้นหน้าที่บันทึกรายการ (ROPA) ตาม [มาตรา 39](https://link.pdpalawbase.com/section/39.md) วรรคหนึ่ง สำหรับ**ผู้ควบคุมข้อมูลส่วนบุคคลซึ่งเป็นกิจการขนาดเล็ก** โดย**ยกเลิก**ฉบับเดิม [ประกาศการยกเว้นการบันทึกรายการฯ พ.ศ. 2565](https://link.pdpalawbase.com/notification/4-4.md) ทั้งฉบับ

- ขอบเขตการยกเว้น: ไม่ต้องบันทึกรายการตาม [มาตรา 39](https://link.pdpalawbase.com/section/39.md) วรรคหนึ่ง (1) (2) (3) (4) (5) (6) และ (8) — รายการ (7) บันทึกการปฏิเสธคำขอหรือการคัดค้าน ไม่อยู่ในขอบเขตที่ยกเว้นได้ เพราะ [มาตรา 39](https://link.pdpalawbase.com/section/39.md) วรรคสามเปิดให้ยกเว้นเฉพาะ (1)-(6) และ (8)
- นิยาม "กิจการขนาดเล็ก" 8 ประเภท (ข้อ 4): วิสาหกิจขนาดย่อม/ขนาดกลาง · วิสาหกิจชุมชนหรือเครือข่ายวิสาหกิจชุมชน · วิสาหกิจเพื่อสังคมหรือกลุ่มกิจการเพื่อสังคม · สหกรณ์ ชุมนุมสหกรณ์ หรือกลุ่มเกษตรกร · มูลนิธิ สมาคม องค์กรศาสนา หรือองค์กรเอกชนที่ไม่แสวงหากำไร · นิติบุคคลอาคารชุดหรือนิติบุคคลหมู่บ้านจัดสรร · กิจการในครัวเรือนหรือกิจการอื่นในลักษณะเดียวกัน · กิจการที่ดำเนินการโดยผู้ควบคุมข้อมูลส่วนบุคคลที่เป็นบุคคลธรรมดา — สองประเภทหลัง (นิติบุคคลอาคารชุด/หมู่บ้านจัดสรร และบุคคลธรรมดา) เป็นส่วนขยายจากฉบับ พ.ศ. 2565
- เงื่อนไขใหม่ (ข้อ 5 วรรคหนึ่ง): ผู้ที่จะได้รับยกเว้นต้อง**ไม่มีหน้าที่จัดให้มีเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล**ตาม [มาตรา 41](https://link.pdpalawbase.com/section/41.md) (1) (2) หรือ (3) — แทนเงื่อนไขเดิมเรื่องผู้ให้บริการที่ต้องเก็บข้อมูลจราจรทางคอมพิวเตอร์ซึ่งถูกตัดออก
- ข้อจำกัดการยกเว้น (ข้อ 5 วรรคสอง): แม้เข้าข่ายกิจการขนาดเล็ก ยังต้องบันทึกรายการเต็มตาม [มาตรา 39](https://link.pdpalawbase.com/section/39.md) วรรคหนึ่ง (1) ถึง (8) หากการประมวลผลมีลักษณะใดลักษณะหนึ่ง: มีความเสี่ยงกระทบสิทธิและเสรีภาพของเจ้าของข้อมูล · มิใช่การประมวลผลเป็นครั้งคราว · เป็นข้อมูลส่วนบุคคลตาม [มาตรา 26](https://link.pdpalawbase.com/section/26.md) (ข้อมูลอ่อนไหว)
- ใช้บังคับเมื่อพ้นกำหนด 90 วันนับแต่วันประกาศในราชกิจจานุเบกษา (8 มกราคม 2568) — มีผล 8 เมษายน 2568

## ตัวบท

ข้อ 1 ประกาศนี้เรียกว่า "ประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง การยกเว้นการบันทึกรายการของผู้ควบคุมข้อมูลส่วนบุคคลซึ่งเป็นกิจการขนาดเล็ก พ.ศ. 2567"

ข้อ 2 ประกาศนี้ให้ใช้บังคับเมื่อพ้นกำหนดเก้าสิบวันนับแต่วันประกาศในราชกิจจานุเบกษาเป็นต้นไป

ข้อ 3 ให้ยกเลิกประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง การยกเว้นการบันทึกรายการของผู้ควบคุมข้อมูลส่วนบุคคลซึ่งเป็นกิจการขนาดเล็ก พ.ศ. 2565

ข้อ 4 ผู้ควบคุมข้อมูลส่วนบุคคลซึ่งเป็นกิจการขนาดเล็ก ที่ได้รับยกเว้นไม่ต้องบันทึกรายการตาม [มาตรา 39](https://link.pdpalawbase.com/section/39.md) วรรคหนึ่ง (1) (2) (3) (4) (5) (6) และ (8) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 จะต้องมีลักษณะอย่างใดอย่างหนึ่ง ดังต่อไปนี้

(1) เป็นวิสาหกิจขนาดย่อมหรือวิสาหกิจขนาดกลางตามกฎหมายว่าด้วยการส่งเสริมวิสาหกิจขนาดกลางและขนาดย่อม

(2) เป็นวิสาหกิจชุมชนหรือเครือข่ายวิสาหกิจชุมชนตามกฎหมายว่าด้วยการส่งเสริมวิสาหกิจชุมชน

(3) เป็นวิสาหกิจเพื่อสังคมหรือกลุ่มกิจการเพื่อสังคมตามกฎหมายว่าด้วยการส่งเสริมวิสาหกิจเพื่อสังคม

(4) เป็นสหกรณ์ ชุมนุมสหกรณ์ หรือกลุ่มเกษตรกรตามกฎหมายว่าด้วยสหกรณ์

(5) เป็นมูลนิธิ สมาคม องค์กรศาสนา หรือองค์กรเอกชนที่ไม่แสวงหากำไร

(6) เป็นนิติบุคคลอาคารชุดตามกฎหมายว่าด้วยอาคารชุด หรือนิติบุคคลหมู่บ้านจัดสรรตามกฎหมายว่าด้วยการจัดสรรที่ดิน

(7) เป็นกิจการในครัวเรือนหรือกิจการอื่นในลักษณะเดียวกัน

(8) เป็นกิจการที่ดำเนินการโดยผู้ควบคุมข้อมูลส่วนบุคคลที่เป็นบุคคลธรรมดา

ข้อ 5 ผู้ควบคุมข้อมูลส่วนบุคคลซึ่งเป็นกิจการขนาดเล็กที่ได้รับยกเว้นตามข้อ 4 จะต้องไม่เป็นผู้ควบคุมข้อมูลส่วนบุคคลที่มีหน้าที่จัดให้มีเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลของตน ตาม [มาตรา 41](https://link.pdpalawbase.com/section/41.md) (1) (2) หรือ (3) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562

ผู้ควบคุมข้อมูลส่วนบุคคลซึ่งเป็นกิจการขนาดเล็กที่ได้รับยกเว้นตามข้อ 4 จะต้องบันทึกรายการตาม [มาตรา 39](https://link.pdpalawbase.com/section/39.md) วรรคหนึ่ง (1) ถึง (8) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 เฉพาะกรณีที่มีการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลที่มีลักษณะใดลักษณะหนึ่ง ดังต่อไปนี้

(1) มีความเสี่ยงที่จะมีผลกระทบต่อสิทธิและเสรีภาพของเจ้าของข้อมูลส่วนบุคคล

(2) มิใช่กิจการที่เก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลเป็นครั้งคราว (occasional collection, use, or disclosure of personal data)

(3) เป็นข้อมูลส่วนบุคคลตาม [มาตรา 26](https://link.pdpalawbase.com/section/26.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562

ข้อ 6 ให้ประธานกรรมการคุ้มครองข้อมูลส่วนบุคคลเป็นผู้รักษาการตามประกาศนี้

ประกาศ ณ วันที่ 26 ธันวาคม พ.ศ. 2567

เธียรชัย ณ นคร

ประธานกรรมการคุ้มครองข้อมูลส่วนบุคคล

## เหตุผลและฐานอำนาจ

โดยที่เป็นการสมควรปรับปรุงหลักเกณฑ์การยกเว้นการบันทึกรายการของผู้ควบคุมข้อมูลส่วนบุคคลซึ่งเป็นกิจการขนาดเล็ก

อาศัยอำนาจตามความใน [มาตรา 16](https://link.pdpalawbase.com/section/16.md) (4) และ [มาตรา 39](https://link.pdpalawbase.com/section/39.md) วรรคสาม แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 คณะกรรมการคุ้มครองข้อมูลส่วนบุคคล จึงออกประกาศไว้

## เอกสารต้นฉบับ

- [PDF ต้นฉบับ (local)](../../raw/notifications/notification-4.2.pdf)
- [ที่มา: pdpc.or.th](https://www.pdpc.or.th/10095/)

(ประกาศในราชกิจจานุเบกษา เล่ม 142 ตอนพิเศษ 5 ง หน้า 19-20 วันที่ 8 มกราคม 2568 · วันมีผลใช้บังคับคำนวณจากวันประกาศ + 90 วัน = 8 เมษายน 2568 · ข้อความในตัวบทถอดจาก PDF ด้วย glyph map ระดับ glyph ID เพราะฟอนต์ฝังของไฟล์ให้ข้อความเพี้ยน — ตรวจทานกับภาพเอกสารจริงแล้ว)

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/notification/4-2.md

============================================================
โนด: ประกาศ 4.3
ลิงก์อ้างอิง: https://link.pdpalawbase.com/notification/4-3.md

# ประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง การยกเว้นการจัดทำและเก็บรักษาบันทึกรายการของกิจกรรมการประมวลผลข้อมูลส่วนบุคคลของผู้ประมวลผลข้อมูลส่วนบุคคลซึ่งเป็นกิจการขนาดเล็ก พ.ศ. 2567

## ใจความสำคัญ

ประกาศฉบับนี้ยกเว้นหน้าที่จัดทำและเก็บรักษาบันทึกรายการกิจกรรมการประมวลผล (ROPA) ตาม [มาตรา 40](https://link.pdpalawbase.com/section/40.md) วรรคหนึ่ง (3) ให้แก่**ผู้ประมวลผลข้อมูลส่วนบุคคลซึ่งเป็นกิจการขนาดเล็ก** — เป็นข้อยกเว้นของหน้าที่ตาม [ประกาศหลักเกณฑ์การจัดทำบันทึกรายการของผู้ประมวลผล พ.ศ. 2565](https://link.pdpalawbase.com/notification/4-1.md) และเป็นคู่ขนานฝั่งผู้ประมวลผลของ [ประกาศการยกเว้นการบันทึกรายการของผู้ควบคุมซึ่งเป็นกิจการขนาดเล็ก พ.ศ. 2567](https://link.pdpalawbase.com/notification/4-2.md) ที่ออกพร้อมกัน

- นิยาม "กิจการขนาดเล็ก" 8 ประเภทเดียวกับฝั่งผู้ควบคุม (ข้อ 3): วิสาหกิจขนาดย่อม/ขนาดกลาง · วิสาหกิจชุมชนหรือเครือข่ายวิสาหกิจชุมชน · วิสาหกิจเพื่อสังคมหรือกลุ่มกิจการเพื่อสังคม · สหกรณ์ ชุมนุมสหกรณ์ หรือกลุ่มเกษตรกร · มูลนิธิ สมาคม องค์กรศาสนา หรือองค์กรเอกชนที่ไม่แสวงหากำไร · นิติบุคคลอาคารชุดหรือนิติบุคคลหมู่บ้านจัดสรร · กิจการในครัวเรือน · กิจการที่ดำเนินการโดยผู้ประมวลผลข้อมูลส่วนบุคคลที่เป็นบุคคลธรรมดา
- เงื่อนไข (ข้อ 4 วรรคหนึ่ง): ต้อง**ไม่มีหน้าที่จัดให้มีเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล**ของตนตาม [มาตรา 41](https://link.pdpalawbase.com/section/41.md) (1) (2) หรือ (3) — มาตรานี้กำหนดหน้าที่จัดให้มี DPO กับผู้ประมวลผลข้อมูลส่วนบุคคลโดยตรงเช่นเดียวกับผู้ควบคุม
- ข้อจำกัดการยกเว้น (ข้อ 4 วรรคสอง): ยังต้องจัดทำบันทึกรายการเฉพาะกรณีที่การเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลมีลักษณะใดลักษณะหนึ่ง: มีความเสี่ยงกระทบสิทธิและเสรีภาพของเจ้าของข้อมูล · มิใช่การประมวลผลเป็นครั้งคราว · เป็นข้อมูลส่วนบุคคลตาม [มาตรา 26](https://link.pdpalawbase.com/section/26.md) (ข้อมูลอ่อนไหว)
- ใช้บังคับตั้งแต่วันถัดจากวันประกาศในราชกิจจานุเบกษา (8 มกราคม 2568) — มีผล 9 มกราคม 2568 (ต่างจากฝั่งผู้ควบคุมที่มีระยะเปลี่ยนผ่าน 90 วัน)

## ตัวบท

ข้อ 1 ประกาศนี้เรียกว่า "ประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง การยกเว้นการจัดทำและเก็บรักษาบันทึกรายการของกิจกรรมการประมวลผลข้อมูลส่วนบุคคลของผู้ประมวลผลข้อมูลส่วนบุคคลซึ่งเป็นกิจการขนาดเล็ก พ.ศ. 2567"

ข้อ 2 ประกาศนี้ให้ใช้บังคับตั้งแต่วันถัดจากวันประกาศในราชกิจจานุเบกษาเป็นต้นไป

ข้อ 3 ผู้ประมวลผลข้อมูลส่วนบุคคลซึ่งเป็นกิจการขนาดเล็ก ที่ได้รับยกเว้นไม่ต้องจัดทำและเก็บรักษาบันทึกรายการของกิจกรรมการประมวลผลข้อมูลส่วนบุคคลตาม [มาตรา 40](https://link.pdpalawbase.com/section/40.md) วรรคหนึ่ง (3) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 จะต้องมีลักษณะอย่างใดอย่างหนึ่ง ดังต่อไปนี้

(1) เป็นวิสาหกิจขนาดย่อมหรือวิสาหกิจขนาดกลางตามกฎหมายว่าด้วยการส่งเสริมวิสาหกิจขนาดกลางและขนาดย่อม

(2) เป็นวิสาหกิจชุมชนหรือเครือข่ายวิสาหกิจชุมชนตามกฎหมายว่าด้วยการส่งเสริมวิสาหกิจชุมชน

(3) เป็นวิสาหกิจเพื่อสังคมหรือกลุ่มกิจการเพื่อสังคมตามกฎหมายว่าด้วยการส่งเสริมวิสาหกิจเพื่อสังคม

(4) เป็นสหกรณ์ ชุมนุมสหกรณ์ หรือกลุ่มเกษตรกรตามกฎหมายว่าด้วยสหกรณ์

(5) เป็นมูลนิธิ สมาคม องค์กรศาสนา หรือองค์กรเอกชนที่ไม่แสวงหากำไร

(6) เป็นนิติบุคคลอาคารชุดตามกฎหมายว่าด้วยอาคารชุด หรือนิติบุคคลหมู่บ้านจัดสรรตามกฎหมายว่าด้วยการจัดสรรที่ดิน

(7) เป็นกิจการในครัวเรือนหรือกิจการอื่นในลักษณะเดียวกัน

(8) เป็นกิจการที่ดำเนินการโดยผู้ประมวลผลข้อมูลส่วนบุคคลที่เป็นบุคคลธรรมดา

ข้อ 4 ผู้ประมวลผลข้อมูลส่วนบุคคลซึ่งเป็นกิจการขนาดเล็กที่ได้รับยกเว้นตามข้อ 3 จะต้องไม่เป็นผู้ประมวลผลข้อมูลส่วนบุคคลที่มีหน้าที่จัดให้มีเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลของตน ตาม [มาตรา 41](https://link.pdpalawbase.com/section/41.md) (1) (2) หรือ (3) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562

ผู้ประมวลผลข้อมูลส่วนบุคคลซึ่งเป็นกิจการขนาดเล็กที่ได้รับยกเว้นตามข้อ 3 จะต้องจัดทำและเก็บรักษาบันทึกรายการของกิจกรรมการประมวลผลข้อมูลส่วนบุคคลตาม [มาตรา 40](https://link.pdpalawbase.com/section/40.md) วรรคหนึ่ง (3) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 เฉพาะกรณีที่มีการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลที่มีลักษณะใดลักษณะหนึ่ง ดังต่อไปนี้

(1) มีความเสี่ยงที่จะมีผลกระทบต่อสิทธิและเสรีภาพของเจ้าของข้อมูลส่วนบุคคล

(2) มิใช่กิจการที่เก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลเป็นครั้งคราว (occasional collection, use, or disclosure of personal data)

(3) เป็นข้อมูลส่วนบุคคลตาม [มาตรา 26](https://link.pdpalawbase.com/section/26.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562

ข้อ 5 ให้ประธานกรรมการคุ้มครองข้อมูลส่วนบุคคลเป็นผู้รักษาการตามประกาศนี้

ประกาศ ณ วันที่ 26 ธันวาคม พ.ศ. 2567

เธียรชัย ณ นคร

ประธานกรรมการคุ้มครองข้อมูลส่วนบุคคล

## เหตุผลและฐานอำนาจ

โดยที่เป็นการสมควรกำหนดหลักเกณฑ์การยกเว้นการจัดทำและเก็บรักษาบันทึกรายการของกิจกรรมการประมวลผลข้อมูลส่วนบุคคลของผู้ประมวลผลข้อมูลส่วนบุคคลซึ่งเป็นกิจการขนาดเล็ก

อาศัยอำนาจตามความใน [มาตรา 16](https://link.pdpalawbase.com/section/16.md) (4) และ [มาตรา 40](https://link.pdpalawbase.com/section/40.md) วรรคสี่ แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 คณะกรรมการคุ้มครองข้อมูลส่วนบุคคล จึงออกประกาศไว้

## เอกสารต้นฉบับ

- [PDF ต้นฉบับ (local)](../../raw/notifications/notification-4.3.pdf)
- [ที่มา: pdpc.or.th](https://www.pdpc.or.th/10102/)

(ประกาศในราชกิจจานุเบกษา เล่ม 142 ตอนพิเศษ 5 ง หน้า 21-22 วันที่ 8 มกราคม 2568 · มีผลวันถัดจากวันประกาศ = 9 มกราคม 2568 · ข้อความในตัวบทถอดจาก PDF ด้วย glyph map ระดับ glyph ID เพราะฟอนต์ฝังของไฟล์ให้ข้อความเพี้ยน — ตรวจทานกับภาพเอกสารจริงแล้ว)

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/notification/4-3.md

============================================================
โนด: ประกาศ 4.4
ลิงก์อ้างอิง: https://link.pdpalawbase.com/notification/4-4.md

# ประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง การยกเว้นการบันทึกรายการของผู้ควบคุมข้อมูลส่วนบุคคลซึ่งเป็นกิจการขนาดเล็ก พ.ศ. 2565

## ใจความสำคัญ

⚠️ **ประกาศฉบับนี้ถูกยกเลิกทั้งฉบับแล้ว** โดยข้อ 3 ของ [ประกาศการยกเว้นการบันทึกรายการของผู้ควบคุมข้อมูลส่วนบุคคลซึ่งเป็นกิจการขนาดเล็ก พ.ศ. 2567](https://link.pdpalawbase.com/notification/4-2.md) ซึ่งมีผลใช้บังคับตั้งแต่วันที่ 8 เมษายน 2568 — หน้านี้คงไว้เพื่อการอ้างอิงทางประวัติ (เคยใช้บังคับระหว่าง 21 มิถุนายน 2565 ถึง 7 เมษายน 2568)

- เป็นหลักเกณฑ์ฉบับแรกที่ยกเว้นหน้าที่บันทึกรายการ (ROPA) ตาม [มาตรา 39](https://link.pdpalawbase.com/section/39.md) วรรคหนึ่ง (1) (2) (3) (4) (5) (6) และ (8) ให้ผู้ควบคุมข้อมูลส่วนบุคคลซึ่งเป็นกิจการขนาดเล็ก
- นิยาม "กิจการขนาดเล็ก" 6 ประเภท (ข้อ 3): วิสาหกิจขนาดย่อม/ขนาดกลาง · วิสาหกิจชุมชนหรือเครือข่ายวิสาหกิจชุมชน · วิสาหกิจเพื่อสังคมหรือกลุ่มกิจการเพื่อสังคม · สหกรณ์ ชุมนุมสหกรณ์ หรือกลุ่มเกษตรกร · มูลนิธิ สมาคม องค์กรศาสนา หรือองค์กรที่ไม่แสวงหากำไร · กิจการในครัวเรือนหรือกิจการอื่นในลักษณะเดียวกัน (ฉบับ พ.ศ. 2567 ขยายเป็น 8 ประเภท)
- เงื่อนไขพิเศษ (ข้อ 3 วรรคสอง): ต้องไม่เป็นผู้ให้บริการที่ต้องเก็บรักษาข้อมูลจราจรทางคอมพิวเตอร์ตามกฎหมายว่าด้วยการกระทำความผิดเกี่ยวกับคอมพิวเตอร์ เว้นแต่เป็นผู้ให้บริการร้านอินเทอร์เน็ต (เงื่อนไขนี้ถูกแทนที่ในฉบับ พ.ศ. 2567 ด้วยเงื่อนไขไม่มีหน้าที่จัดให้มีเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล)
- ขอบเขตการยกเว้น (ข้อ 3 วรรคสาม): ไม่ครอบคลุมการประมวลผลที่มีความเสี่ยงกระทบสิทธิและเสรีภาพของเจ้าของข้อมูล · ที่มิใช่เป็นครั้งคราว · หรือที่เป็นข้อมูลส่วนบุคคลตาม [มาตรา 26](https://link.pdpalawbase.com/section/26.md) (ข้อมูลอ่อนไหว)
- ใช้บังคับตั้งแต่วันถัดจากวันประกาศในราชกิจจานุเบกษา (20 มิถุนายน 2565) — มีผล 21 มิถุนายน 2565

## ตัวบท

ข้อ 1 ประกาศนี้เรียกว่า "ประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง การยกเว้นการบันทึกรายการของผู้ควบคุมข้อมูลส่วนบุคคลซึ่งเป็นกิจการขนาดเล็ก พ.ศ. 2565"

ข้อ 2 ประกาศนี้ให้ใช้บังคับตั้งแต่วันถัดจากวันประกาศในราชกิจจานุเบกษาเป็นต้นไป

ข้อ 3 ผู้ควบคุมข้อมูลส่วนบุคคลซึ่งเป็นกิจการขนาดเล็ก ที่ได้รับยกเว้นไม่ต้องดำเนินการตาม [มาตรา 39](https://link.pdpalawbase.com/section/39.md) วรรคหนึ่ง (1) (2) (3) (4) (5) (6) และ (8) จะต้องมีลักษณะอย่างใดอย่างหนึ่ง ดังต่อไปนี้

(1) เป็นวิสาหกิจขนาดย่อมหรือวิสาหกิจขนาดกลางตามกฎหมายว่าด้วยการส่งเสริมวิสาหกิจขนาดกลางและขนาดย่อม

(2) เป็นวิสาหกิจชุมชนหรือเครือข่ายวิสาหกิจชุมชนตามกฎหมายว่าด้วยการส่งเสริมวิสาหกิจชุมชน

(3) เป็นวิสาหกิจเพื่อสังคมหรือกลุ่มกิจการเพื่อสังคมตามกฎหมายว่าด้วยการส่งเสริมวิสาหกิจเพื่อสังคม

(4) เป็นสหกรณ์ ชุมนุมสหกรณ์ หรือกลุ่มเกษตรกรตามกฎหมายว่าด้วยสหกรณ์

(5) เป็นมูลนิธิ สมาคม องค์กรศาสนา หรือองค์กรที่ไม่แสวงหากำไร

(6) เป็นกิจการในครัวเรือนหรือกิจการอื่นในลักษณะเดียวกัน

ผู้ควบคุมข้อมูลส่วนบุคคลซึ่งเป็นกิจการขนาดเล็กที่ได้รับยกเว้นตามวรรคหนึ่ง จะต้องไม่เป็นผู้ให้บริการที่ต้องเก็บรักษาข้อมูลจราจรทางคอมพิวเตอร์ตามกฎหมายว่าด้วยการกระทำความผิดเกี่ยวกับคอมพิวเตอร์ เว้นแต่จะเป็นผู้ให้บริการประเภทผู้ให้บริการร้านอินเทอร์เน็ต ให้ได้รับยกเว้นตามวรรคหนึ่ง

การเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลของผู้ควบคุมข้อมูลส่วนบุคคลซึ่งเป็นกิจการขนาดเล็กที่ได้รับยกเว้นตามวรรคหนึ่ง ไม่รวมถึงกรณีที่มีการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลที่มีความเสี่ยงที่จะมีผลกระทบต่อสิทธิและเสรีภาพของเจ้าของข้อมูลส่วนบุคคล หรือมิใช่กิจการที่เก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลเป็นครั้งคราว หรือมีการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลตาม [มาตรา 26](https://link.pdpalawbase.com/section/26.md)

ข้อ 4 ให้ประธานกรรมการคุ้มครองข้อมูลส่วนบุคคลเป็นผู้รักษาการตามประกาศนี้

ประกาศ ณ วันที่ 10 มิถุนายน พ.ศ. 2565

เธียรชัย ณ นคร

ประธานกรรมการคุ้มครองข้อมูลส่วนบุคคล

## เหตุผลและฐานอำนาจ

โดยที่เป็นการสมควรกำหนดหลักเกณฑ์การยกเว้นการบันทึกรายการของผู้ควบคุมข้อมูลส่วนบุคคลซึ่งเป็นกิจการขนาดเล็ก

อาศัยอำนาจตามความใน [มาตรา 16](https://link.pdpalawbase.com/section/16.md) (4) และ [มาตรา 39](https://link.pdpalawbase.com/section/39.md) วรรคสาม แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 คณะกรรมการคุ้มครองข้อมูลส่วนบุคคล จึงออกประกาศไว้

## เอกสารต้นฉบับ

- [PDF ต้นฉบับ (local)](../../raw/notifications/notification-4.4.pdf)
- [ที่มา: pdpc.or.th](https://www.pdpc.or.th/2964/)

(ประกาศในราชกิจจานุเบกษา เล่ม 139 ตอนพิเศษ 140 ง หน้า 24-25 วันที่ 20 มิถุนายน 2565 · มีผลวันถัดจากวันประกาศ = 21 มิถุนายน 2565 · ถูกยกเลิกโดยฉบับ พ.ศ. 2567 ตั้งแต่ 8 เมษายน 2568)

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/notification/4-4.md

============================================================
โนด: ประกาศ 5.1
ลิงก์อ้างอิง: https://link.pdpalawbase.com/notification/5-1.md

# ประกาศสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง ช่องทางอิเล็กทรอนิกส์ในการแจ้งเหตุการละเมิดข้อมูลส่วนบุคคลสำหรับผู้ควบคุมข้อมูลส่วนบุคคล พ.ศ. 2568

## ใจความสำคัญ

ประกาศของสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (ฉบับปรับปรุง ใช้แทนฉบับ พ.ศ. 2566) กำหนดช่องทางอิเล็กทรอนิกส์สำหรับผู้ควบคุมข้อมูลส่วนบุคคลในการแจ้งเหตุการละเมิดข้อมูลส่วนบุคคลแก่สำนักงาน — เป็นกฎหมายลำดับรองชั้นปฏิบัติของหน้าที่แจ้งเหตุตาม [มาตรา 37](https://link.pdpalawbase.com/section/37.md) (4) ซึ่งวางหลักเกณฑ์ไว้ใน [ประกาศ เรื่อง หลักเกณฑ์และวิธีการในการแจ้งเหตุการละเมิดข้อมูลส่วนบุคคล พ.ศ. 2565](https://link.pdpalawbase.com/notification/5-2.md)

- ยกเลิกประกาศฉบับเดิม พ.ศ. 2566 ลงวันที่ 10 มกราคม 2566 (ข้อ 1)
- ช่องทางแจ้งเหตุ: ไปรษณีย์อิเล็กทรอนิกส์ saraban@pdpc.or.th โดยระบุชื่อเรื่อง "[การแจ้งเหตุการละเมิดข้อมูลส่วนบุคคล]...(ชื่อผู้ควบคุมข้อมูลส่วนบุคคล)..." (ข้อ 2)
- สาระสำคัญที่ต้องระบุในการแจ้ง ให้เป็นไปตามข้อ 6 ของประกาศหลักเกณฑ์และวิธีการฯ พ.ศ. 2565 เท่าที่จะสามารถกระทำได้ (ข้อ 3)
- สอบถามเพิ่มเติมได้ในวันและเวลาราชการ โทร 0 2111 8800 ต่อ 3 หรือ 08 1245 5414 (ข้อ 4)

## ตัวบท

ประกาศสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง ช่องทางอิเล็กทรอนิกส์ในการแจ้งเหตุการละเมิดข้อมูลส่วนบุคคลสำหรับผู้ควบคุมข้อมูลส่วนบุคคล พ.ศ. 2568

โดยที่เป็นการสมควรปรับปรุงประกาศสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง ช่องทางอิเล็กทรอนิกส์ในการแจ้งเหตุการละเมิดข้อมูลส่วนบุคคล สำหรับผู้ควบคุมข้อมูลส่วนบุคคล พ.ศ. 2566 ลงวันที่ 10 มกราคม 2566 ให้ถูกต้องเหมาะสมและเป็นการอำนวยความสะดวกให้แก่ผู้ควบคุมข้อมูลส่วนบุคคล รวมทั้ง เพื่อความรวดเร็วและเพิ่มประสิทธิภาพในการแจ้งเหตุการละเมิดข้อมูลส่วนบุคคลโดยวิธีการทางอิเล็กทรอนิกส์ผ่านเว็บไซต์ของสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล ดังนั้น เพื่อให้การแจ้งเหตุการละเมิดข้อมูลส่วนบุคคลสำหรับผู้ควบคุมข้อมูลส่วนบุคคล มีความคล่องตัว รวดเร็ว ง่าย และสะดวกมากขึ้น อาศัยอำนาจตามข้อ 6 แห่งประกาศคณะกรรมการคุ้มครองข้อมูลส่วนลุคคล เรื่อง หลักเกณฑ์และวิธีการในการแจ้งเหตุการละเมิดข้อมูลส่วนบุคคล พ.ศ. 2565 จึงออกประกาศไว้ ดังต่อไปนี้

ข้อ 1 ให้ยกเลิกประกาศสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง ช่องทางอิเล็กทรอนิกส์ในการแจ้งเหตุการละเมิดข้อมูลส่วนบุคคลสำหรับผู้ควบคุมข้อมูลส่วนบุคคล พ.ศ. 2566 พ.ศ. 2566 ลงวันที่ 10 มกราคม 2566

ข้อ 2 วิธีการแจ้งเหตุการละเมิดข้อมูลส่วนบุคคลแก่สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลผ่านช่องทางอิเล็กทรกนิกส์ ให้ยื่นผ่านไปรษณีย์อิเล็กทรอนิกส์: saraban@pdpc.or.th โดยระบุชื่อ "[การแจ้งเหตุการละเมิดข้อมูลส่วนบุคคล]"...(ชื่อผู้ควบคุมข้อมูลส่วนบุคคล)..."

ข้อ 3 การแจ้งเหตุการละเมิดข้อมูลส่วนบุคคลแก่สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วน ให้ระบุสาระสำคัญเท่าที่จะสามารถกระทำได้ ตามข้อ 6 แห่งประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง หลักเกณฑ์และวิธีการในการแจ้งเหตุการละเมิดข้อมูลส่วนบุคคล พ.ศ. 2565

ข้อ 4 ในกรณีที่ผู้ควบคุมข้อมูลส่วนบุคคลได้มีการแจ้งเหตุการละเมิดข้อมูลส่วนบุคคล มาทางช่องทางอิเล็กทรอนิกส์ หากประสงค์จะสอบถามข้อมูลเพิ่มเติมจากสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล ให้สอบถามในวันและเวลาราชการได้ที่หมายเลขโทรศัพท์ 0 2111 8800 ต่อ 3 หรือ 08 1245 5414

ประกาศ ณ วันที่ 15 มกราคม พ.ศ. 2568

(นายเวทางค์ พ่วงทรัพย์)

เลขาธิการคณะกรรมการดิจิทัลเพื่อเศรษฐกิจและสังคมแห่งชาติ รักษาการแทน

เลขาธิการคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล

## เหตุผลและฐานอำนาจ

เหตุผลตามอารัมภบท: เพื่อปรับปรุงประกาศฉบับ พ.ศ. 2566 ให้ถูกต้องเหมาะสม อำนวยความสะดวกแก่ผู้ควบคุมข้อมูลส่วนบุคคล และเพิ่มความรวดเร็วและประสิทธิภาพในการแจ้งเหตุการละเมิดข้อมูลส่วนบุคคลโดยวิธีการทางอิเล็กทรอนิกส์

ฐานอำนาจ: อาศัยอำนาจตามข้อ 6 แห่งประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง หลักเกณฑ์และวิธีการในการแจ้งเหตุการละเมิดข้อมูลส่วนบุคคล พ.ศ. 2565 ([ประกาศ 5.2](https://link.pdpalawbase.com/notification/5-2.md)) — ฐานอำนาจเป็นข้อกำหนดในประกาศคณะกรรมการ ไม่ใช่มาตราของพระราชบัญญัติโดยตรง (`legal_basis` จึงว่าง)

## เอกสารต้นฉบับ

- [PDF ต้นฉบับ (local)](../../raw/notifications/notification-5.1.pdf)
- [ที่มา: pdpc.or.th](https://www.pdpc.or.th/9953/)

หมายเหตุการถอดความ: ตัวบทคงตามต้นฉบับราชการซึ่งมีจุดพิมพ์คลาดเคลื่อนในต้นฉบับเอง ได้แก่ "ข้อมูลส่วนลุคคล" (อารัมภบท) · "อิเล็กทรกนิกส์" (ข้อ 2) · "พ.ศ. 2566 พ.ศ. 2566" ซ้ำ (ข้อ 1) · ข้อ 3 ตกคำว่า "บุคคล" ("...ข้อมูลส่วน ให้ระบุ...") — ตรวจเทียบภาพต้นฉบับแล้ว ไม่ใช่ความคลาดเคลื่อนจากการคัดลอก · ฉบับนี้ไม่มีข้อกำหนดวันใช้บังคับ `effective_date` จึงใช้วันที่ประกาศ (15 มกราคม 2568) เป็นค่าแทนตามแบบแผน

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/notification/5-1.md

============================================================
โนด: ประกาศ 5.2
ลิงก์อ้างอิง: https://link.pdpalawbase.com/notification/5-2.md

# ประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง หลักเกณฑ์และวิธีการในการแจ้งเหตุการละเมิดข้อมูลส่วนบุคคล พ.ศ. 2565

## ใจความสำคัญ

ประกาศแม่บทของหน้าที่แจ้งเหตุการละเมิดข้อมูลส่วนบุคคลตาม [มาตรา 37](https://link.pdpalawbase.com/section/37.md) (4) — กำหนดนิยามและประเภทของการละเมิด ขั้นตอนที่ผู้ควบคุมข้อมูลส่วนบุคคลต้องดำเนินการเมื่อทราบเหตุ สาระสำคัญที่ต้องแจ้ง เงื่อนไขการแจ้งล่าช้า ข้อยกเว้น และปัจจัยประเมินความเสี่ยง มีผลใช้บังคับตั้งแต่วันประกาศในราชกิจจานุเบกษา (15 ธันวาคม 2565)

- นิยาม "การละเมิดข้อมูลส่วนบุคคล" = การละเมิดมาตรการรักษาความมั่นคงปลอดภัยที่ทำให้เกิดการสูญหาย เข้าถึง ใช้ เปลี่ยนแปลง แก้ไข หรือเปิดเผยข้อมูลส่วนบุคคลโดยปราศจากอำนาจหรือโดยมิชอบ ไม่ว่าจะเกิดจากเหตุใด (ข้อ 3) · แบ่ง 3 ประเภท: การละเมิดความลับ / การละเมิดความถูกต้องครบถ้วน / การละเมิดความพร้อมใช้งานของข้อมูลส่วนบุคคล (ข้อ 4)
- เมื่อทราบเหตุหรือได้รับแจ้ง: ตรวจสอบข้อเท็จจริงและประเมินความเสี่ยงโดยไม่ชักช้า → ถ้าพบความเสี่ยงสูงให้ป้องกัน ระงับ หรือแก้ไขโดยทันที → ถ้ามีเหตุอันควรเชื่อว่ามีการละเมิดจริง แจ้งสำนักงานภายใน 72 ชั่วโมงนับแต่ทราบเหตุ เว้นแต่ไม่มีความเสี่ยงต่อสิทธิและเสรีภาพของบุคคล → ถ้าความเสี่ยงสูง ต้องแจ้งเจ้าของข้อมูลส่วนบุคคลพร้อมแนวทางการเยียวยาด้วย (ข้อ 5)
- สาระสำคัญที่ต้องแจ้งสำนักงาน 4 รายการ: ลักษณะการละเมิด / ผู้ประสานงาน / ผลกระทบ / มาตรการแก้ไข (ข้อ 6) · สาระที่ต้องแจ้งเจ้าของข้อมูลส่วนบุคคลกรณีความเสี่ยงสูง (ข้อ 10) · ถ้าแจ้งรายบุคคลไม่ได้ แจ้งเป็นกลุ่มหรือผ่านสื่อสาธารณะได้ (ข้อ 11)
- แจ้งล่าช้ากว่า 72 ชั่วโมง: ขอให้สำนักงานพิจารณายกเว้นความผิดได้โดยชี้แจงเหตุจำเป็น และต้องแจ้งโดยเร็วไม่เกิน 15 วันนับแต่ทราบเหตุ (ข้อ 7)
- ข้อตกลงหรือสัญญากับผู้ประมวลผลข้อมูลส่วนบุคคลต้องกำหนดให้ผู้ประมวลผลแจ้งเหตุแก่ผู้ควบคุมภายใน 72 ชั่วโมงนับแต่ทราบเหตุเช่นกัน (ข้อ 8)
- ผู้ควบคุมยกข้อยกเว้นไม่แจ้งได้ หากพิสูจน์ได้ว่าการละเมิดนั้นไม่มีความเสี่ยงต่อสิทธิและเสรีภาพของบุคคล เช่น ข้อมูลระบุตัวบุคคลไม่ได้ (ข้อ 9)
- ปัจจัยประเมินความเสี่ยง 8 ข้อ เช่น ลักษณะและปริมาณข้อมูล สถานะของเจ้าของข้อมูล (ผู้เยาว์/บุคคลเปราะบาง) ความร้ายแรงของผลกระทบ และมาตรการรักษาความมั่นคงปลอดภัยที่เกี่ยวข้อง (ข้อ 12)

## ตัวบท

ประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง หลักเกณฑ์และวิธีการในการแจ้งเหตุการละเมิดข้อมูลส่วนบุคคล พ.ศ. 2565

อาศัยอำนาจตามความใน [มาตรา 16](https://link.pdpalawbase.com/section/16.md) (4) ประกอบ[มาตรา 37](https://link.pdpalawbase.com/section/37.md) (4) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 คณะกรรมการคุ้มครองข้อมูลส่วนบุคคล จึงออกประกาศไว้ ดังต่อไปนี้

ข้อ 1 ประกาศฉบับนี้เรียกว่า "ประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง หลักเกณฑ์และวิธีการในการแจ้งเหตุการละเมิดข้อมูลส่วนบุคคล พ.ศ. 2565"

ข้อ 2 ประกาศนี้ให้ใช้บังคับนับแต่วันประกาศในราชกิจจานุเบกษาเป็นต้นไป

ข้อ 3 ในประกาศนี้

"การละเมิดข้อมูลส่วนบุคคล" หมายความว่า การละเมิดมาตรการรักษาความมั่นคงปลอดภัยที่ทำให้เกิดการสูญหาย เข้าถึง ใช้ เปลี่ยนแปลง แก้ไข หรือเปิดเผยข้อมูลส่วนบุคคลโดยปราศจากอำนาจหรือโดยมิชอบ ไม่ว่าจะเกิดจากเจตนา ความจงใจ ความประมาทเลินเล่อ การกระทำโดยปราศจากอำนาจหรือโดยมิชอบ การกระทำความผิดเกี่ยวกับคอมพิวเตอร์ ภัยคุกคามทางไซเบอร์ ข้อผิดพลาดบกพร่องหรืออุบัติเหตุ หรือเหตุอื่นใด

"สำนักงาน" หมายความว่า สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล

"คณะกรรมการ" หมายความว่า คณะกรรมการคุ้มครองข้อมูลส่วนบุคคล

ข้อ 4 เหตุการละเมิดข้อมูลส่วนบุคคลที่ผู้ควบคุมข้อมูลส่วนบุคคลมีหน้าที่ต้องแจ้งแก่สำนักงานหรือเจ้าของข้อมูลส่วนบุคคลตามกฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคล ประกอบด้วยเหตุที่เกิดจากการละเมิดมาตรการรักษาความมั่นคงปลอดภัย ที่ทำให้เกิดการสูญหาย เข้าถึง ใช้ เปลี่ยนแปลง แก้ไข หรือเปิดเผยข้อมูลส่วนบุคคลโดยปราศจากอำนาจหรือโดยมิชอบ ไม่ว่าจะเกิดจากเจตนา ความจงใจ ความประมาทเลินเล่อ การกระทำโดยปราศจากอำนาจหรือโดยมิชอบ การกระทำความผิดเกี่ยวกับคอมพิวเตอร์ ภัยคุกคามทางไซเบอร์ ข้อผิดพลาดบกพร่องหรืออุบัติเหตุ หรือเหตุอื่นใด ซึ่งอาจเกิดจากการกระทำของผู้ควบคุมข้อมูลส่วนบุคคลนั้นเอง ผู้ประมวลผลข้อมูลส่วนบุคคลที่ดำเนินการเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลตามคำสั่งหรือในนามของผู้ควบคุมข้อมูลส่วนบุคคลนั้น ตลอดจนพนักงาน ลูกจ้าง ผู้รับจ้าง ตัวแทน หรือบุคคลที่เกี่ยวข้องของผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคลดังกล่าว หรือบุคคลอื่น หรือเหตุปัจจัยอื่น โดยเหตุการละเมิดข้อมูลส่วนบุคคลแต่ละเหตุอาจเกี่ยวข้องกับการละเมิดประเภทใดประเภทหนึ่งหรือหลายประเภท ดังต่อไปนี้

(1) การละเมิดความลับของข้อมูลส่วนบุคคล (Confidentiality Breach) ซึ่งมีการเข้าถึงหรือเปิดเผยข้อมูลส่วนบุคคล โดยปราศจากอำนาจหรือโดยมิชอบ หรือเกิดจากข้อผิดพลาดบกพร่องหรืออุบัติเหตุ

(2) การละเมิดความถูกต้องครบถ้วนของข้อมูลส่วนบุคคล (Integrity Breach) ซึ่งมีการเปลี่ยนแปลง แก้ไขข้อมูลส่วนบุคคลให้ไม่ถูกต้อง ไม่สมบูรณ์ หรือไม่ครบถ้วน โดยปราศจากอำนาจหรือโดยมิชอบ หรือเกิดจากข้อผิดพลาดบกพร่องหรืออุบัติเหตุ

(3) การละเมิดความพร้อมใช้งานของข้อมูลส่วนบุคคล (Availability Breach) ซึ่งทำให้ไม่สามารถเข้าถึงข้อมูลส่วนบุคคลได้ หรือมีการทำลายข้อมูลส่วนบุคคล ทำให้ข้อมูลส่วนบุคคลไม่อยู่ในสภาพที่พร้อมใช้งานได้ตามปกติ

ข้อ 5 เมื่อผู้ควบคุมข้อมูลส่วนบุคคลได้รับแจ้งข้อมูลในเบื้องต้นจากผู้ใด ไม่ว่าโดยทางวาจา เป็นหนังสือ หรือวิธีการอื่นทางอิเล็กทรอนิกส์ หรือผู้ควบคุมข้อมูลส่วนบุคคลทราบเอง ว่ามีหรือน่าจะมีเหตุการละเมิดข้อมูลส่วนบุคคล ผู้ควบคุมข้อมูลส่วนบุคคลต้องดำเนินการ ดังต่อไปนี้

(1) ประเมินความน่าเชื่อถือของข้อมูลดังกล่าว และตรวจสอบข้อเท็จจริงเกี่ยวกับการละเมิดข้อมูลส่วนบุคคลในเบื้องต้นโดยไม่ชักช้าเท่าที่จะสามารถกระทำได้ ว่ามีเหตุอันควรเชื่อได้ว่ามีการละเมิดข้อมูลส่วนบุคคลหรือไม่ โดยผู้ควบคุมข้อมูลส่วนบุคคลพึงดำเนินการตรวจสอบมาตรการรักษาความมั่นคงปลอดภัยของข้อมูลส่วนบุคคล ทั้งมาตรการเชิงองค์กร (organizational measures) และมาตรการเชิงเทคนิค (technical measures) ซึ่งอาจรวมถึงมาตรการทางกายภาพ (physical measures) ที่เกี่ยวข้องกับข้อมูลส่วนบุคคลดังกล่าว ทั้งในส่วนที่เกี่ยวกับผู้ควบคุมข้อมูลส่วนบุคคลนั้นเอง ผู้ประมวลผลข้อมูลส่วนบุคคลที่ดำเนินการเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลตามคำสั่งหรือในนามของผู้ควบคุมข้อมูลส่วนบุคคลนั้น ตลอดจนพนักงาน ลูกจ้าง ผู้รับจ้าง ตัวแทน หรือบุคคลที่เกี่ยวข้องของผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคลดังกล่าว เพื่อให้ผู้ควบคุมข้อมูลส่วนบุคคลสามารถยืนยันได้ว่ามีการละเมิดข้อมูลส่วนบุคคลเกิดขึ้นหรือไม่ ทั้งนี้ ผู้ควบคุมข้อมูลส่วนบุคคลต้องพิจารณารายละเอียดจากข้อเท็จจริงที่เกี่ยวข้อง รวมทั้งประเมินความเสี่ยงที่การละเมิดข้อมูลส่วนบุคคลดังกล่าวจะมีผลกระทบต่อสิทธิและเสรีภาพของบุคคล

(2) หากระหว่างการตรวจสอบข้อเท็จจริงเกี่ยวกับการละเมิดข้อมูลส่วนบุคคลตาม (1) พบว่ามีความเสี่ยงสูงที่จะมีผลกระทบต่อสิทธิและเสรีภาพของบุคคล ให้ผู้ควบคุมข้อมูลส่วนบุคคลดำเนินการด้วยตนเองหรือสั่งการให้ผู้ประมวลผลข้อมูลส่วนบุคคลหรือผู้เกี่ยวข้องดำเนินการป้องกัน ระงับ หรือแก้ไข เพื่อให้การละเมิดข้อมูลส่วนบุคคลสิ้นสุดหรือไม่ให้การละเมิดข้อมูลส่วนบุคคลส่งผลกระทบเพิ่มเติมโดยทันทีเท่าที่จะสามารถกระทำได้ ทั้งนี้ อาจใช้มาตรการทางบุคลากร กระบวนการ หรือเทคโนโลยีที่จำเป็นและเหมาะสม

(3) เมื่อพิจารณาจากข้อเท็จจริงตาม (1) แล้วเห็นว่า มีเหตุอันควรเชื่อว่ามีการละเมิดข้อมูลส่วนบุคคลจริง ให้ผู้ควบคุมข้อมูลส่วนบุคคลแจ้งเหตุการละเมิดแก่สำนักงานโดยไม่ชักช้าภายในเจ็ดสิบสองชั่วโมงนับแต่ทราบเหตุเท่าที่จะสามารถกระทำได้ เว้นแต่การละเมิดดังกล่าวไม่มีความเสี่ยงที่จะมีผลกระทบต่อสิทธิและเสรีภาพของบุคคล

(4) ในกรณีที่การละเมิดข้อมูลส่วนบุคคลดังกล่าวมีความเสี่ยงสูงที่จะมีผลกระทบต่อสิทธิและเสรีภาพของบุคคล ให้ผู้ควบคุมข้อมูลส่วนบุคคลแจ้งเหตุการละเมิดให้เจ้าของข้อมูลส่วนบุคคลทราบพร้อมกับแนวทางการเยียวยาโดยไม่ชักช้าด้วย

(5) ดำเนินการตามมาตรการที่จำเป็นและเหมาะสมเพื่อระงับ ตอบสนอง แก้ไข หรือฟื้นฟูสภาพจากเหตุการละเมิดข้อมูลส่วนบุคคลดังกล่าว รวมทั้งป้องกันและลดผลกระทบจากการเกิดเหตุการละเมิดข้อมูลส่วนบุคคลในลักษณะเดียวกันในอนาคต ซึ่งรวมถึงการทบทวนมาตรการรักษาความมั่นคงปลอดภัยเพื่อให้มีประสิทธิภาพในการรักษาความมั่นคงปลอดภัยที่เหมาะสม โดยคำนึงถึงระดับความเสี่ยงตามปัจจัยทางเทคโนโลยี บริบท สภาพแวดล้อม มาตรฐานที่เป็นที่ยอมรับสำหรับหน่วยงานหรือกิจการในประเภทหรือลักษณะเดียวกันหรือใกล้เคียงกัน ลักษณะและวัตถุประสงค์ของการเก็บรวบรวม ใช้ และเปิดเผยข้อมูลส่วนบุคคล ทรัพยากรที่ต้องใช้ และความเป็นไปได้ในการดำเนินการประกอบกัน

ข้อ 6 ในการแจ้งเหตุการละเมิดข้อมูลส่วนบุคคลแก่สำนักงาน ผู้ควบคุมข้อมูลส่วนบุคคลต้องดำเนินการแจ้งเหตุการละเมิดข้อมูลส่วนบุคคลเป็นลายลักษณ์อักษร หรือแจ้งผ่านโดยวิธีการทางอิเล็กทรอนิกส์หรือวิธีการอื่นใดตามที่สำนักงานกำหนด โดยในการแจ้งเหตุการละเมิดข้อมูลส่วนบุคคลต้องระบุสาระสำคัญดังต่อไปนี้เท่าที่จะสามารถกระทำได้

(1) ข้อมูลโดยสังเขปเท่าที่จะสามารถระบุได้เกี่ยวกับลักษณะและประเภทของการละเมิดข้อมูลส่วนบุคคล โดยอาจบรรยายถึงลักษณะและจำนวนเจ้าของข้อมูลส่วนบุคคลหรือลักษณะและจำนวนรายการ (records) ของข้อมูลส่วนบุคคลที่เกี่ยวข้องกับการละเมิด

(2) ชื่อ สถานที่ติดต่อ และวิธีการติดต่อของเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลในกรณีที่มีเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล หรือชื่อ สถานที่ติดต่อ และวิธีการติดต่อของบุคคลที่ผู้ควบคุมข้อมูลส่วนบุคคลมอบหมายให้ทำหน้าที่ประสานงานและให้ข้อมูลเพิ่มเติม

(3) ข้อมูลเกี่ยวกับผลกระทบที่อาจเกิดขึ้นจากเหตุการละเมิดข้อมูลส่วนบุคคล

(4) ข้อมูลเกี่ยวกับมาตรการที่ผู้ควบคุมข้อมูลส่วนบุคคลใช้หรือจะใช้เพื่อป้องกัน ระงับ หรือแก้ไขเหตุการละเมิดข้อมูลส่วนบุคคล หรือเยียวยาความเสียหาย โดยอาจใช้มาตรการทางบุคลากร กระบวนการ หรือเทคโนโลยี หรือมาตรการอื่นใดที่จำเป็นและเหมาะสม

ข้อ 7 ในกรณีที่มีเหตุจำเป็นที่ทำให้แจ้งเหตุการละเมิดข้อมูลส่วนบุคคลล่าช้ากว่าเจ็ดสิบสองชั่วโมงนับแต่ทราบเหตุ ไม่ว่าจะเกิดจากการตรวจสอบข้อมูลในเบื้องต้น การดำเนินการป้องกัน ระงับ หรือแก้ไขเหตุการละเมิดข้อมูลส่วนบุคคลที่จำเป็น หรือมีเหตุจำเป็นอื่นอันไม่อาจก้าวล่วงได้ ผู้ควบคุมข้อมูลส่วนบุคคลอาจขอให้สำนักงานพิจารณายกเว้นความผิดจากการแจ้งเหตุการละเมิดข้อมูลส่วนบุคคลล่าช้าได้ โดยให้ผู้ควบคุมข้อมูลส่วนบุคคลชี้แจงเหตุผลความจำเป็นและรายละเอียดที่เกี่ยวข้องเพื่อแสดงให้เห็นว่ามีเหตุจำเป็นที่ไม่อาจหลีกเลี่ยงได้ที่ทำให้แจ้งเหตุการละเมิดข้อมูลส่วนบุคคลล่าช้า โดยจะต้องแจ้งแก่สำนักงานโดยเร็ว ทั้งนี้ ต้องไม่เกินสิบห้าวันนับแต่ทราบเหตุ

สำนักงานอาจแจ้งให้ผู้ควบคุมข้อมูลส่วนบุคคลชี้แจงเหตุผลหรือข้อเท็จจริงเพิ่มเติมภายหลังได้ และหากสำนักงานพิจารณาแล้วเห็นควรให้ยกเว้นความผิดจากการแจ้งเหตุการละเมิดข้อมูลส่วนบุคคลล่าช้า เนื่องจากมีเหตุจำเป็น ให้ถือว่าผู้ควบคุมข้อมูลส่วนบุคคลได้รับยกเว้นการดำเนินการแจ้งเหตุการละเมิดข้อมูลส่วนบุคคลแก่สำนักงานตามกำหนดเวลาใน[มาตรา 37](https://link.pdpalawbase.com/section/37.md) (4)

การแจ้งเหตุการละเมิดข้อมูลส่วนบุคคลแก่สำนักงานไม่เป็นเหตุยกเว้นหน้าที่หรือความรับผิดของผู้ควบคุมข้อมูลส่วนบุคคลตามกฎหมายเฉพาะที่เกี่ยวข้องกับกิจการนั้นหรือกฎหมายอื่น

ข้อ 8 ในกรณีที่ผู้ควบคุมข้อมูลส่วนบุคคลมีข้อตกลงกับผู้ประมวลผลข้อมูลส่วนบุคคล เพื่อควบคุมการดำเนินงานตามหน้าที่ของผู้ประมวลผลข้อมูลส่วนบุคคลให้เป็นไปตามกฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคล หรือมอบหมายหรือสั่งการให้ผู้ประมวลผลข้อมูลส่วนบุคคลดำเนินการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลตามคำสั่งหรือในนามของตนเอง ผู้ควบคุมข้อมูลส่วนบุคคลจะต้องระบุไว้ในข้อตกลงหรือในสัญญาที่เกี่ยวข้องให้ผู้ประมวลผลข้อมูลส่วนบุคคลมีหน้าที่แจ้งเหตุการละเมิดข้อมูลส่วนบุคคลแก่ผู้ควบคุมข้อมูลส่วนบุคคลโดยไม่ชักช้าภายในเจ็ดสิบสองชั่วโมงนับแต่ผู้ประมวลผลข้อมูลส่วนบุคคลทราบเหตุเท่าที่จะสามารถกระทำได้เช่นกัน

ข้อ 9 ผู้ควบคุมข้อมูลส่วนบุคคลอาจยกข้อยกเว้นการแจ้งเหตุการละเมิดข้อมูลส่วนบุคคลแก่สำนักงานเพื่อประกอบการพิจารณาได้ หากผู้ควบคุมข้อมูลส่วนบุคคลพิสูจน์ได้ว่าเหตุการละเมิดข้อมูลส่วนบุคคลนั้น ไม่มีความเสี่ยงที่จะมีผลกระทบต่อสิทธิและเสรีภาพของบุคคล ซึ่งรวมถึงกรณีที่ข้อมูลส่วนบุคคลตามเหตุการละเมิดข้อมูลส่วนบุคคลนั้น เป็นข้อมูลที่ไม่สามารถระบุตัวบุคคลที่เป็นเจ้าของข้อมูลส่วนบุคคลได้ หรือข้อมูลส่วนบุคคลนั้นไม่อยู่ในสภาพที่ใช้งานได้เนื่องจากมีมาตรการทางเทคโนโลยีที่เพียงพอ หรือเหตุอื่นใดที่เชื่อถือได้

ในการยกข้อยกเว้นดังกล่าว ผู้ควบคุมข้อมูลส่วนบุคคลมีหน้าที่ให้ข้อมูลหรือส่งเอกสารหรือหลักฐานเกี่ยวกับเหตุที่ควรได้รับการยกเว้น ซึ่งรวมถึงรายละเอียดเกี่ยวกับมาตรการรักษาความมั่นคงปลอดภัยของข้อมูลส่วนบุคคลหรือข้อมูลอื่นใด ให้สำนักงานพิจารณา

ข้อ 10 เมื่อมีเหตุการละเมิดข้อมูลส่วนบุคคลและผู้ควบคุมข้อมูลส่วนบุคคลได้แจ้งเหตุการละเมิดแก่สำนักงานแล้วหรืออยู่ระหว่างการเตรียมการเพื่อแจ้งสำนักงาน หากผู้ควบคุมข้อมูลส่วนบุคคลได้ตรวจสอบข้อเท็จจริงแล้วพบว่า การละเมิดข้อมูลส่วนบุคคลดังกล่าวมีความเสี่ยงสูงที่จะมีผลกระทบต่อสิทธิและเสรีภาพของบุคคล ให้ผู้ควบคุมข้อมูลส่วนบุคคลแจ้งเหตุการละเมิดข้อมูลส่วนบุคคลพร้อมสาระสำคัญดังต่อไปนี้ให้เจ้าของข้อมูลส่วนบุคคลที่ได้รับผลกระทบทราบเท่าที่จะสามารถกระทำได้โดยไม่ชักช้า

(1) ข้อมูลโดยสังเขปเกี่ยวกับลักษณะของการละเมิดข้อมูลส่วนบุคคล

(2) ชื่อ สถานที่ติดต่อ และวิธีการติดต่อของเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลหรือบุคคลที่ผู้ควบคุมข้อมูลส่วนบุคคลมอบหมายให้ทำหน้าที่ประสานงาน

(3) ข้อมูลเกี่ยวกับผลกระทบที่อาจเกิดขึ้นกับเจ้าของข้อมูลส่วนบุคคลจากเหตุการละเมิดข้อมูลส่วนบุคคล

(4) แนวทางการเยียวยาความเสียหายของเจ้าของข้อมูลส่วนบุคคล และข้อมูลโดยสังเขปเกี่ยวกับมาตรการที่ผู้ควบคุมข้อมูลส่วนบุคคลใช้หรือจะใช้เพื่อป้องกัน ระงับ หรือแก้ไขเหตุการละเมิดข้อมูลส่วนบุคคล โดยอาจใช้มาตรการทางบุคลากร กระบวนการ หรือเทคโนโลยี หรือมาตรการอื่นใดที่จำเป็นและเหมาะสม รวมถึงข้อแนะนำเกี่ยวกับมาตรการที่เจ้าของข้อมูลส่วนบุคคลอาจดำเนินการเพิ่มเติมเพื่อป้องกัน ระงับ หรือแก้ไขเหตุการละเมิดข้อมูลส่วนบุคคล หรือเยียวยาความเสียหาย

ข้อ 11 ในการแจ้งเหตุการละเมิดข้อมูลส่วนบุคคลให้เจ้าของข้อมูลส่วนบุคคลที่ได้รับผลกระทบทราบ หากโดยสภาพไม่สามารถดำเนินการแจ้งเป็นรายบุคคลเป็นหนังสือหรือโดยวิธีการทางอิเล็กทรอนิกส์ได้เนื่องจากไม่มีวิธีการติดต่อ หรือโดยเหตุจำเป็นอื่นใด ผู้ควบคุมข้อมูลส่วนบุคคลอาจแจ้งเหตุการละเมิดแก่เจ้าของข้อมูลส่วนบุคคลเป็นกลุ่ม หรือแจ้งเป็นการทั่วไปผ่านสื่อสาธารณะ สื่อสังคมออนไลน์ หรือโดยวิธีการทางอิเล็กทรอนิกส์หรือวิธีการอื่นใดที่เจ้าของข้อมูลส่วนบุคคลที่ได้รับผลกระทบหรือบุคคลทั่วไปสามารถเข้าถึงการแจ้งดังกล่าวได้

การแจ้งเหตุการละเมิดแก่เจ้าของข้อมูลส่วนบุคคลเป็นกลุ่ม หรือแจ้งเป็นการทั่วไป จะต้องไม่ก่อให้เกิดความเสียหายหรือผลกระทบต่อเจ้าของข้อมูลส่วนบุคคล

ข้อ 12 ในการประเมินความเสี่ยงสำหรับการละเมิดข้อมูลส่วนบุคคล ว่ามีความเสี่ยงที่จะมีผลกระทบต่อสิทธิและเสรีภาพของบุคคลเพียงใด ผู้ควบคุมข้อมูลส่วนบุคคลอาจพิจารณาจากปัจจัยดังต่อไปนี้

(1) ลักษณะและประเภทของการละเมิดข้อมูลส่วนบุคคล

(2) ลักษณะหรือประเภทของข้อมูลส่วนบุคคลที่เกี่ยวข้องกับการละเมิด

(3) ปริมาณของข้อมูลส่วนบุคคลที่เกี่ยวข้องกับการละเมิด ซึ่งอาจพิจารณาจากจำนวนเจ้าของข้อมูลส่วนบุคคลหรือจำนวนรายการ (records) ของข้อมูลส่วนบุคคลที่เกี่ยวข้องกับการละเมิด

(4) ลักษณะ ประเภท หรือสถานะของเจ้าของข้อมูลส่วนบุคคลที่ได้รับผลกระทบ รวมถึงข้อเท็จจริงว่าเจ้าของข้อมูลส่วนบุคคลที่ได้รับผลกระทบ ประกอบด้วยผู้เยาว์ ผู้พิการ ผู้ไร้ความสามารถ ผู้เสมือนไร้ความสามารถ หรือบุคคลเปราะบาง (vulnerable persons) ที่ขาดความสามารถในการปกป้องสิทธิและประโยชน์ของตนเนื่องจากข้อจำกัดต่าง ๆ ด้วยหรือไม่ เพียงใด

(5) ความร้ายแรงของผลกระทบและความเสียหายที่เกิดขึ้นหรืออาจเกิดขึ้นกับเจ้าของข้อมูลส่วนบุคคลจากการละเมิดข้อมูลส่วนบุคคล และประสิทธิผลของมาตรการที่ผู้ควบคุมข้อมูลส่วนบุคคลใช้หรือจะใช้เพื่อป้องกัน ระงับ หรือแก้ไขเหตุการละเมิดข้อมูลส่วนบุคคล หรือเยียวยาความเสียหาย ต่อการบรรเทาผลกระทบและความเสียหายที่เกิดขึ้นหรืออาจเกิดขึ้นกับเจ้าของข้อมูลส่วนบุคคล

(6) ผลกระทบในวงกว้างต่อธุรกิจหรือการดำเนินการของผู้ควบคุมข้อมูลส่วนบุคคลหรือต่อสาธารณะจากเหตุการละเมิดข้อมูลส่วนบุคคล

(7) ลักษณะของระบบการจัดเก็บข้อมูลส่วนบุคคลที่เกี่ยวข้องกับการละเมิด และมาตรการรักษาความมั่นคงปลอดภัยที่เกี่ยวข้องของผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคล ทั้งที่เป็นมาตรการเชิงองค์กร (organizational measures) และมาตรการเชิงเทคนิค (technical measures) รวมถึงมาตรการทางกายภาพ (physical measures)

(8) สถานะทางกฎหมายของผู้ควบคุมข้อมูลส่วนบุคคลว่าเป็นบุคคลธรรมดาหรือนิติบุคคล รวมทั้งขนาดและลักษณะของกิจการของผู้ควบคุมข้อมูลส่วนบุคคล

ข้อ 13 ให้ประธานกรรมการคุ้มครองข้อมูลส่วนบุคคลเป็นผู้รักษาการตามประกาศนี้

ประกาศ ณ วันที่ 6 ธันวาคม พ.ศ. 2565

เธียรชัย ณ นคร

ประธานกรรมการคุ้มครองข้อมูลส่วนบุคคล

## เหตุผลและฐานอำนาจ

ฉบับนี้ไม่มีย่อหน้าเหตุผล ("โดยที่...") ใน preamble — ระบุเฉพาะฐานอำนาจ: อาศัยอำนาจตามความใน [มาตรา 16](https://link.pdpalawbase.com/section/16.md) (4) ประกอบ[มาตรา 37](https://link.pdpalawbase.com/section/37.md) (4) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 คณะกรรมการคุ้มครองข้อมูลส่วนบุคคลจึงออกประกาศ

## เอกสารต้นฉบับ

- [PDF ต้นฉบับ (local)](../../raw/notifications/notification-5.2.pdf)
- [ที่มา: pdpc.or.th](https://www.pdpc.or.th/2405/)

ประกาศในราชกิจจานุเบกษา เล่ม 139 ตอนพิเศษ 292 ง วันที่ 15 ธันวาคม 2565 (= วันที่มีผลใช้บังคับตามข้อ 2)

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/notification/5-2.md

============================================================
โนด: ประกาศ 6.1
ลิงก์อ้างอิง: https://link.pdpalawbase.com/notification/6-1.md

# ประกาศสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง ช่องทางการยื่นคำร้องเรียนผ่านช่องทางอิเล็กทรอนิกส์และแบบคำร้องเรียน พ.ศ. 2568

## ใจความสำคัญ

ประกาศของสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (ฉบับปรับปรุง ใช้แทนฉบับ พ.ศ. 2566) กำหนดช่องทางอิเล็กทรอนิกส์และแบบฟอร์มสำหรับเจ้าของข้อมูลส่วนบุคคลยื่นคำร้องเรียนต่อสำนักงาน — เป็นกฎหมายลำดับรองชั้นปฏิบัติของกระบวนการร้องเรียนตาม [มาตรา 73](https://link.pdpalawbase.com/section/73.md) ซึ่งวางหลักเกณฑ์ไว้ใน[ระเบียบคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลว่าด้วยการยื่น การไม่รับเรื่อง การยุติเรื่อง การพิจารณา และระยะเวลาในการพิจารณาคำร้องเรียน พ.ศ. 2565](https://link.pdpalawbase.com/notification/6-2.md)

- ยกเลิกประกาศฉบับเดิม พ.ศ. 2566 ลงวันที่ 6 มกราคม 2566 (ข้อ 1)
- ช่องทางยื่นคำร้องเรียนอิเล็กทรอนิกส์: เว็บไซต์ www.pdpc.or.th (ข้อ 2)
- คำร้องเรียนต้องจัดทำเป็นหนังสือหรือรูปแบบอิเล็กทรอนิกส์ที่เชื่อถือได้ ตามแบบคำร้องเรียน (ครร. 1) แนบท้ายประกาศ (ข้อ 3)
- สอบถามหรือขอคำยืนยันการรับคำร้องเรียน: โทร 0 2111 8800 กด 2 ในวันและเวลาราชการ (ข้อ 4)
- แบบ ครร. 1 ให้ผู้ร้องเรียนระบุ 7 ส่วน: ข้อมูลผู้ร้องเรียน (รวมผู้รับมอบอำนาจ) / ข้อมูลผู้ถูกร้องเรียน / เรื่องร้องเรียน (รายการการฝ่าฝืน เช่น เก็บรวบรวมเกินจำเป็น ไม่มีฐานทางกฎหมาย ละเมิดข้อมูลอ่อนไหว ไม่ปฏิบัติตามคำขอใช้สิทธิของเจ้าของข้อมูล) / ลักษณะความเสียหาย / เอกสารหลักฐาน / วัตถุประสงค์ของผู้ร้องเรียน / การดำเนินการอื่นก่อนการร้องเรียน

## ตัวบท

ประกาศสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง ช่องทางการยื่นคำร้องเรียนผ่านช่องทางอิเล็กทรอนิกส์และแบบคำร้องเรียน พ.ศ. 2568

โดยที่เป็นการสมควรปรับปรุงประกาศสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง ช่องทางการยื่นคำร้องเรียนผ่านช่องทางอิเล็กทรอนิกส์และแบบคำร้องเรียน พ.ศ. 2566 ลงวันที่ 6 มกราคม 2566 ให้มีความเหมาะสมแก่การอำนวยความสะดวกและลดภาระแก่ประชาชน รวมทั้งเพิ่มประสิทธิภาพในการปฏิบัติงานโดยวิธีการทางอิเล็กทรอนิกส์ผ่านเว็บไซต์ของสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เพื่อให้คำร้องเรียนมีรายละเอียดครบถ้วนและยื่นได้โดยสะดวกมากยิ่งขึ้น

อาศัยอำนาจตามความในข้อ 7 (3) และข้อ 8 วรรคสอง แห่งระเบียบคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลว่าด้วยการยื่น การไม่รับเรื่อง การยุติเรื่อง การพิจารณา และระยะเวลาในการพิจารณาคำร้องเรียน พ.ศ. 2565 เลขาธิการคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล จึงออกประกาศไว้ ดังต่อไปนี้

ข้อ 1 ให้ยกเลิกประกาศสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง ช่องทางการยื่นคำร้องเรียนผ่านช่องทางอิเล็กทรอนิกส์และแบบคำร้องเรียน พ.ศ. 2566 ลงวันที่ 6 มกราคม 2566

ข้อ 2 วิธีการยื่นคำร้องเรียนผ่านช่องทางอิเล็กทรอนิกส์ ให้ยื่นผ่าน เว็บไซต์: www.pdpc.or.th

ข้อ 3 คำร้องเรียนที่ยื่นต่อสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลให้จัดทำเป็นหนังสือหรือรูปแบบอิเล็กทรอนิกส์ที่เชื่อถือได้ ตามแบบคำร้องเรียนแนบท้ายประกาศนี้

ข้อ 4 ในกรณีที่ผู้ยื่นคำร้องเรียนมาทางช่องทางตามข้อ 1 ประสงค์จะสอบถาม หรือขอรับคำยืนยันจากสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลว่าได้รับคำร้องเรียนแล้ว ให้สอบถามในวันและเวลาราชการได้ที่หมายเลขโทรศัพท์ 0 2111 8800 กด 2

ประกาศ ณ วันที่ 15 มกราคม พ.ศ. 2568

(นายเวทางค์ พ่วงทรัพย์)

เลขาธิการคณะกรรมการดิจิทัลเพื่อเศรษฐกิจและสังคมแห่งชาติ รักษาการแทน

เลขาธิการคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล

เอกสารแนบท้ายประกาศ: แบบคำร้องเรียน (ครร. 1) จำนวน 7 หน้า — โครงสร้าง 7 ส่วน ได้แก่ 1. ข้อมูลผู้ร้องเรียน 2. ข้อมูลผู้ถูกร้องเรียน 3. เรื่องร้องเรียน 4. ลักษณะความเสียหาย 5. เอกสารหลักฐานที่เกี่ยวข้อง 6. วัตถุประสงค์ของผู้ร้องเรียน 7. การดำเนินการอื่น ๆ ก่อนการร้องเรียน พร้อมคำรับรองความเป็นจริงและลายมือชื่อผู้ร้องเรียน (แบบฟอร์มเต็มดูได้จาก PDF ต้นฉบับ)

## เหตุผลและฐานอำนาจ

เหตุผลตามอารัมภบท: เพื่อปรับปรุงประกาศฉบับ พ.ศ. 2566 ให้เหมาะสมแก่การอำนวยความสะดวกและลดภาระแก่ประชาชน เพิ่มประสิทธิภาพการปฏิบัติงานโดยวิธีการทางอิเล็กทรอนิกส์ผ่านเว็บไซต์ของสำนักงาน และให้คำร้องเรียนมีรายละเอียดครบถ้วนยื่นได้โดยสะดวกยิ่งขึ้น

ฐานอำนาจ: อาศัยอำนาจตามความในข้อ 7 (3) และข้อ 8 วรรคสอง แห่งระเบียบคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลว่าด้วยการยื่น การไม่รับเรื่อง การยุติเรื่อง การพิจารณา และระยะเวลาในการพิจารณาคำร้องเรียน พ.ศ. 2565 ([ประกาศ 6.2](https://link.pdpalawbase.com/notification/6-2.md)) — ฐานอำนาจเป็นข้อกำหนดในระเบียบคณะกรรมการ ไม่ใช่มาตราของพระราชบัญญัติโดยตรง (`legal_basis` จึงว่าง) โดยตัวระเบียบดังกล่าวออกตามความใน [มาตรา 73](https://link.pdpalawbase.com/section/73.md) วรรคสอง

## เอกสารต้นฉบับ

- [PDF ต้นฉบับ (local)](../../raw/notifications/notification-6.1.pdf)
- [ที่มา: pdpc.or.th](https://www.pdpc.or.th/9948/)

หมายเหตุการถอดความ: ข้อ 4 ของต้นฉบับอ้าง "ช่องทางตามข้อ 1" ตามตัวอักษร (ตรวจเทียบภาพต้นฉบับแล้ว) ทั้งที่ช่องทางอิเล็กทรอนิกส์ถูกกำหนดไว้ในข้อ 2 — ถอดความคงตามต้นฉบับ · ฉบับนี้ไม่มีข้อกำหนดวันใช้บังคับ `effective_date` จึงใช้วันที่ประกาศ (15 มกราคม 2568) เป็นค่าแทนตามแบบแผน

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/notification/6-1.md

============================================================
โนด: ประกาศ 6.2
ลิงก์อ้างอิง: https://link.pdpalawbase.com/notification/6-2.md

# ระเบียบคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล ว่าด้วยการยื่น การไม่รับเรื่อง การยุติเรื่อง การพิจารณา และระยะเวลาในการพิจารณาคำร้องเรียน พ.ศ. 2565

## ใจความสำคัญ

ระเบียบฉบับนี้วางขั้นตอนทั้งกระบวนการของการร้องเรียนตามหมวด 5 ของพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 — ตั้งแต่การยื่นคำร้องเรียนของเจ้าของข้อมูลส่วนบุคคล การตรวจสอบและวิเคราะห์เบื้องต้นโดยพนักงานเจ้าหน้าที่ การจ่ายเรื่องโดยเลขาธิการ ไปจนถึงการพิจารณา การไกล่เกลี่ย และการออกคำสั่งของคณะกรรมการผู้เชี่ยวชาญ พร้อมกรอบเวลาที่ชัดเจนในแต่ละชั้น

- ยื่นคำร้องเรียนได้ 3 ช่องทาง (ข้อ 7): ยื่นโดยตรงต่อสำนักงาน ยื่นทางไปรษณีย์ หรือยื่นผ่านช่องทางอิเล็กทรอนิกส์ตามที่สำนักงานประกาศกำหนด
- คำร้องเรียนต้องสุภาพ ชัดเจน และมีรายละเอียดอย่างน้อย 6 รายการ (ข้อ 8): ตัวตนและช่องทางติดต่อของผู้ร้องเรียน ข้อเท็จจริงของการฝ่าฝืน ความเดือดร้อนเสียหาย เอกสารหลักฐาน คำขอ และคำรับรองว่าข้อความเป็นความจริง
- พนักงานเจ้าหน้าที่ตรวจความครบถ้วนภายใน 15 วันนับแต่ได้รับคำร้องเรียน (ข้อ 9) และตรวจสอบวิเคราะห์เบื้องต้นให้เสร็จภายใน 15 วันนับแต่ออกใบรับ (ข้อ 10) โดยอาจใช้อำนาจตาม [มาตรา 76](https://link.pdpalawbase.com/section/76.md) รวบรวมข้อเท็จจริงเพิ่มก่อนเสนอเรื่องได้
- คณะกรรมการผู้เชี่ยวชาญมีดุลยพินิจสั่งไม่รับเรื่องหรือยุติเรื่องได้ 6 กรณี (ข้อ 13) เช่น เรื่องที่เคยพิจารณายุติแล้ว เรื่องที่มีผู้มีอำนาจตามกฎหมายอื่น หรือผู้ร้องเรียนถอนเรื่อง
- เรื่องที่อาจไกล่เกลี่ยได้ ให้สอบถามคู่กรณีก่อน หากไกล่เกลี่ยไม่สำเร็จจึงดำเนินการตาม [มาตรา 74](https://link.pdpalawbase.com/section/74.md) วรรคสามและวรรคสี่ ต่อไป (ข้อ 14) · หากพยานหลักฐานไม่พอ ใช้อำนาจตาม [มาตรา 72](https://link.pdpalawbase.com/section/72.md) และ[มาตรา 75](https://link.pdpalawbase.com/section/75.md) หรือสั่งให้พนักงานเจ้าหน้าที่ใช้อำนาจตาม [มาตรา 76](https://link.pdpalawbase.com/section/76.md) ได้ (ข้อ 15)
- หากคำร้องเรียนมีมูลและพยานหลักฐานชัดเจน ให้ลงโทษปรับทางปกครองตามหลักเกณฑ์ที่คณะกรรมการกำหนดตาม [มาตรา 90](https://link.pdpalawbase.com/section/90.md) วรรคสอง (ข้อ 16) — หลักเกณฑ์ดังกล่าวปัจจุบันคือ [ประกาศ เรื่อง หลักเกณฑ์การพิจารณาออกคำสั่งลงโทษปรับทางปกครองของคณะกรรมการผู้เชี่ยวชาญ พ.ศ. 2568](https://link.pdpalawbase.com/notification/6-3.md)
- กรอบเวลาพิจารณา: ให้แล้วเสร็จภายใน 90 วันนับแต่การประชุมครั้งแรก ขยายได้ไม่เกิน 2 ครั้ง ครั้งละไม่เกิน 60 วัน โดยต้องขออนุมัติจากคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลและแจ้งผู้ร้องเรียน (ข้อ 20)
- คำสั่ง "ไม่รับเรื่องร้องเรียน" และ "ยุติเรื่องร้องเรียน" ของคณะกรรมการผู้เชี่ยวชาญที่เผยแพร่บนเว็บไซต์สำนักงานฯ ล้วนออกภายใต้กรอบของระเบียบฉบับนี้

## ตัวบท

ข้อ 1 ระเบียบนี้เรียกว่า "ระเบียบคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลว่าด้วยการยื่น การไม่รับเรื่อง การยุติเรื่อง การพิจารณา และระยะเวลาในการพิจารณาคำร้องเรียน พ.ศ. 2565"

ข้อ 2 ระเบียบนี้ให้ใช้บังคับตั้งแต่วันถัดจากวันประกาศในราชกิจจานุเบกษาเป็นต้นไป

ข้อ 3 ในระเบียบนี้

"คณะกรรมการผู้เชี่ยวชาญ" หมายความว่า คณะกรรมการผู้เชี่ยวชาญตามกฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคล

"ผู้ร้องเรียน" หมายความว่า เจ้าของข้อมูลส่วนบุคคลที่ใช้สิทธิร้องเรียนในกรณีที่ผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคล รวมทั้งลูกจ้างหรือผู้รับจ้างของผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคล ฝ่าฝืนหรือไม่ปฏิบัติตามกฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคลหรือประกาศที่ออกตามกฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคล

"เรื่องร้องเรียน" หมายความว่า เรื่องร้องเรียนของเจ้าของข้อมูลส่วนบุคคลในกรณีที่ผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคล รวมทั้งลูกจ้างหรือผู้รับจ้างของผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคล ฝ่าฝืนหรือไม่ปฏิบัติตามกฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคลหรือประกาศที่ออกตามกฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคล

"เจ้าหน้าที่" หมายความว่า พนักงานของสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล

"พนักงานเจ้าหน้าที่" หมายความว่า ผู้ซึ่งรัฐมนตรีแต่งตั้งให้ปฏิบัติการตามกฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคล

"สำนักงาน" หมายความว่า สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล

"เลขาธิการ" หมายความว่า เลขาธิการคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล

ข้อ 4 ในการดำเนินการหรือพิจารณาออกคำสั่งตามระเบียบนี้ นอกจากที่กำหนดไว้ในระเบียบนี้ ให้นำกฎหมายว่าด้วยวิธีปฏิบัติราชการทางปกครองมาใช้บังคับโดยอนุโลม

ข้อ 5 การใดที่ไม่ได้กำหนดไว้ในระเบียบนี้ ให้คณะกรรมการผู้เชี่ยวชาญใช้ดุลยพินิจในการพิจารณาดำเนินการด้วยความเหมาะสม เพื่อให้การดำเนินการเป็นไปด้วยความเป็นธรรมและความรวดเร็ว

ข้อ 6 ให้ประธานกรรมการคุ้มครองข้อมูลส่วนบุคคลเป็นผู้รักษาการตามระเบียบนี้

**หมวด 1 การยื่นคำร้องเรียน**

ข้อ 7 ในกรณีที่ผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคล รวมทั้งลูกจ้างหรือผู้รับจ้างของผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคล ฝ่าฝืนหรือไม่ปฏิบัติตามกฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคลหรือประกาศที่ออกตามกฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคล เจ้าของข้อมูลส่วนบุคคลที่เกี่ยวข้องมีสิทธิร้องเรียนต่อคณะกรรมการผู้เชี่ยวชาญ โดยให้ยื่นคำร้องเรียนโดยวิธีการใดวิธีการหนึ่ง ดังต่อไปนี้

(1) ยื่นโดยตรงต่อสำนักงาน

(2) ยื่นผ่านทางไปรษณีย์มายังสำนักงาน

(3) ยื่นผ่านทางช่องทางอิเล็กทรอนิกส์หรือช่องทางอื่นใดตามที่สำนักงานประกาศกำหนด

ข้อ 8 คำร้องเรียนที่ยื่นต่อสำนักงาน ต้องมีความชัดเจน สามารถทำความเข้าใจได้ ใช้ถ้อยคำสุภาพ ไม่หยาบคาย ไม่มีลักษณะเป็นการกรรโชก ข่มขู่ ไม่ว่าจะโดยตรงหรือโดยอ้อม และต้องมีรายละเอียดและเอกสารหลักฐานอย่างน้อย ดังต่อไปนี้

(1) ชื่อตัว ชื่อสกุล ของผู้ร้องเรียน และที่อยู่ หมายเลขโทรศัพท์ หรือจดหมายอิเล็กทรอนิกส์ของผู้ร้องเรียนหรือผู้รับมอบอำนาจสำหรับการติดต่อ พร้อมแสดงบัตรประจำตัวประชาชน หนังสือเดินทาง หรือเอกสารประจำตัวอื่นของผู้ร้องเรียนซึ่งออกโดยราชการ โดยในกรณีที่เป็นการมอบอำนาจให้ร้องเรียนแทน จะต้องแนบหนังสือมอบอำนาจให้ร้องเรียนแทนที่มีรายละเอียดเรื่องที่มอบอำนาจและติดอากรแสตมป์ที่ถูกต้องครบถ้วน และลงนามโดยผู้ร้องเรียนและผู้รับมอบอำนาจ พร้อมแนบสำเนาบัตรประจำตัวประชาชน สำเนาหนังสือเดินทาง หรือสำเนาเอกสารประจำตัวอื่นของผู้มอบอำนาจซึ่งออกโดยราชการซึ่งรับรองสำเนาถูกต้องโดยผู้มอบอำนาจ สำหรับผู้รับมอบอำนาจให้แสดงบัตรประจำตัวประชาชน หนังสือเดินทาง หรือเอกสารประจำตัวอื่นซึ่งออกโดยราชการต่อเจ้าหน้าที่

(2) รายละเอียดข้อเท็จจริงและข้อมูลที่เกี่ยวข้องว่า ผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคล หรือลูกจ้างหรือผู้รับจ้างของผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคล กระทำการฝ่าฝืนหรือไม่ปฏิบัติตามกฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคลหรือประกาศที่ออกตามกฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคลอย่างไร

(3) รายละเอียดความเดือดร้อนเสียหายหรือผลกระทบต่อผู้ร้องเรียน

(4) เอกสารหลักฐานที่เกี่ยวข้องกับเรื่องร้องเรียน เช่น พยานเอกสาร พยานวัตถุ หรือถ้อยคำของพยานบุคคลที่สนับสนุนเรื่องร้องเรียนที่มีความชัดเจนเพียงพอที่จะพิจารณาได้

(5) คำขอที่ผู้ร้องเรียนต้องการให้ผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคลดำเนินการ

(6) คำรับรองว่าข้อความที่ร้องเรียนเป็นความจริง

คำร้องเรียนตามวรรคหนึ่ง ต้องจัดทำเป็นหนังสือหรือในรูปแบบอิเล็กทรอนิกส์ที่เชื่อถือได้ตามที่สำนักงานประกาศกำหนด โดยระบุรายละเอียดครบถ้วนตามวรรคหนึ่ง และมีการลงลายมือชื่อของผู้ร้องเรียนหรือผู้รับมอบอำนาจ และให้เจ้าหน้าที่ออกใบรับคำร้องเรียนให้แก่ผู้ร้องเรียน

ให้เจ้าหน้าที่ให้คำแนะนำ ช่วยเหลือ และอำนวยความสะดวกแก่ผู้ร้องเรียนในการยื่นคำร้องเรียน

ในการยื่นคำร้องเรียนตามข้อ 7 (1) หากเจ้าหน้าที่มีความจำเป็นต้องเก็บสำเนาบัตรประจำตัวประชาชน สำเนาหนังสือเดินทาง หรือสำเนาเอกสารประจำตัวอื่นของผู้ร้องเรียนหรือผู้รับมอบอำนาจ ซึ่งออกโดยราชการ ให้เจ้าหน้าที่เป็นผู้จัดทำสำเนาเอง

**หมวด 2 การไม่รับเรื่อง การยุติเรื่อง การพิจารณา และระยะเวลาในการพิจารณาคำร้องเรียน**

**ส่วนที่ 1 การดำเนินการเกี่ยวกับเรื่องร้องเรียนโดยพนักงานเจ้าหน้าที่**

ข้อ 9 เมื่อพนักงานเจ้าหน้าที่ได้รับคำร้องเรียนตามข้อ 7 แล้ว ให้พนักงานเจ้าหน้าที่ตรวจสอบรายละเอียดคำร้องเรียนว่า มีลักษณะ รายละเอียด และเอกสารหลักฐานถูกต้องครบถ้วนตามข้อ 8 หรือไม่โดยเร็ว ทั้งนี้ ต้องไม่เกินสิบห้าวันนับแต่ได้รับคำร้องเรียน หากถูกต้องครบถ้วนให้พนักงานเจ้าหน้าที่ออกใบรับคำร้องเรียน โดยระบุวันที่ที่รับคำร้องเรียนและรหัสอ้างอิงในการรับคำร้องเรียน ให้แก่ผู้ร้องเรียนหรือผู้รับมอบอำนาจ

ในกรณีที่คำร้องเรียนมีลักษณะ รายละเอียด และเอกสารหลักฐานไม่ถูกต้องหรือไม่ครบถ้วน ให้พนักงานเจ้าหน้าที่แจ้งผู้ร้องเรียนหรือผู้รับมอบอำนาจทราบโดยเร็ว พร้อมทั้งให้คำแนะนำในการแก้ไขคำร้องเรียน และแจ้งให้ทราบว่า คำร้องเรียนดังกล่าวจะยังไม่มีผลสมบูรณ์และไม่ได้รับการพิจารณาจากคณะกรรมการผู้เชี่ยวชาญจนกว่าจะได้แก้ไขให้ถูกต้องครบถ้วนตามที่กำหนดในข้อ 8

ข้อ 10 เมื่อพนักงานเจ้าหน้าที่ดำเนินการตามข้อ 9 แล้ว ให้พนักงานเจ้าหน้าที่เสนอเรื่องร้องเรียนผ่านเลขาธิการเพื่อให้คณะกรรมการผู้เชี่ยวชาญพิจารณา โดยให้พนักงานเจ้าหน้าที่ตรวจสอบและวิเคราะห์รายละเอียดของเรื่องร้องเรียนเบื้องต้นในประเด็น ดังต่อไปนี้

(1) เป็นการกระทำที่เป็นการฝ่าฝืนหรือไม่ปฏิบัติตามกฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคลหรือประกาศที่ออกตามกฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคลหรือไม่

(2) เรื่องร้องเรียนมีมูล เป็นสาระสำคัญ และสมเหตุสมผลที่จะร้องเรียนหรือไม่

(3) เรื่องร้องเรียนอยู่ในหน้าที่และอำนาจของคณะกรรมการผู้เชี่ยวชาญหรือไม่ และหน้าที่และอำนาจในการพิจารณาเป็นไปตามกฎหมายอื่นหรือเป็นของหน่วยงานอื่นหรือไม่

ให้พนักงานเจ้าหน้าที่ดำเนินการตามวรรคหนึ่งให้เสร็จภายในสิบห้าวัน นับแต่ได้ออกใบรับคำร้องเรียนตามข้อ 9 วรรคหนึ่ง เว้นแต่มีเหตุสุดวิสัยหรือเหตุจำเป็นอื่นที่ทำให้ไม่สามารถดำเนินการได้ในกำหนดเวลา ให้ดำเนินการให้เสร็จโดยเร็ว

ในการดำเนินการวรรคหนึ่ง หากพนักงานเจ้าหน้าที่พิจารณาแล้วเห็นว่า ข้อเท็จจริงและพยานหลักฐานที่นำมาประกอบการยื่นคำร้องเรียนไม่เพียงพอต่อการพิจารณา พนักงานเจ้าหน้าที่อาจใช้อำนาจตาม [มาตรา 76](https://link.pdpalawbase.com/section/76.md) ก่อนเสนอให้คณะกรรมการผู้เชี่ยวชาญพิจารณาก็ได้

ข้อ 11 ในกรณีที่มีคณะกรรมการผู้เชี่ยวชาญหลายคณะ ให้เลขาธิการเป็นผู้พิจารณาว่าจะให้เสนอเรื่องร้องเรียนดังกล่าวให้คณะกรรมการผู้เชี่ยวชาญคณะใดพิจารณา โดยคำนึงถึงหน้าที่และอำนาจตามที่ได้รับการแต่งตั้งจากความเชี่ยวชาญและประสบการณ์ของคณะกรรมการผู้เชี่ยวชาญในแต่ละคณะ ตลอดจนปริมาณงานและความเร่งด่วนของงาน

ในกรณีที่เรื่องร้องเรียนที่พิจารณา เป็นประเด็นที่มีความสำคัญ หรือมีความซับซ้อนต้องการความเชี่ยวชาญเฉพาะในหลายด้านหรือต้องการความรอบคอบในการพิจารณาเรื่องร้องเรียนเรื่องใดเรื่องหนึ่ง เลขาธิการอาจเสนอเรื่องร้องเรียนนั้นให้คณะกรรมการผู้เชี่ยวชาญมากกว่าหนึ่งคณะมาประชุมปรึกษาหารือร่วมกันเป็นกรณีพิเศษก็ได้

ในกรณีที่มีเหตุอันทำให้คณะกรรมการผู้เชี่ยวชาญที่ได้รับมอบหมายตามวรรคหนึ่งไม่สามารถพิจารณาเรื่องร้องเรียนต่อไปได้ไม่ว่าด้วยเหตุใดก็ตาม ให้เลขาธิการเป็นผู้พิจารณาว่าจะให้โอนเรื่องร้องเรียนดังกล่าวให้คณะกรรมการผู้เชี่ยวชาญคณะใดพิจารณาแทน

**ส่วนที่ 2 การดำเนินการเกี่ยวกับเรื่องร้องเรียนโดยคณะกรรมการผู้เชี่ยวชาญ**

ข้อ 12 เมื่อเลขาธิการส่งเรื่องร้องเรียนให้คณะกรรมการผู้เชี่ยวชาญแล้ว ให้ประธานกรรมการผู้เชี่ยวชาญเรียกประชุมคณะกรรมการผู้เชี่ยวชาญเพื่อพิจารณาเรื่องร้องเรียนดังกล่าวโดยเร็ว

ข้อ 13 คณะกรรมการผู้เชี่ยวชาญอาจใช้ดุลยพินิจโดยมีคำสั่งไม่รับเรื่องหรือสั่งยุติเรื่องร้องเรียนที่มีลักษณะดังต่อไปนี้ก็ได้

(1) คำร้องเรียนมีลักษณะ รายละเอียด และเอกสารหลักฐานไม่ถูกต้องหรือไม่ครบถ้วนตามข้อ 8

(2) เรื่องร้องเรียนที่มีคู่กรณี ข้อเท็จจริง และประเด็นที่อาศัยมูลเหตุเดียวกันที่เคยยื่นต่อสำนักงานตามระเบียบนี้และคณะกรรมการผู้เชี่ยวชาญได้มีการพิจารณาเรื่องร้องเรียนจนเป็นที่ยุติแล้ว

(3) เรื่องร้องเรียนที่ไม่ใช่กรณีที่ผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคล หรือลูกจ้างหรือผู้รับจ้างของผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคล ฝ่าฝืนหรือไม่ปฏิบัติตามกฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคลหรือประกาศที่ออกตามกฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคล

(4) เรื่องร้องเรียนที่มีผู้มีอำนาจพิจารณาในเรื่องนั้นอยู่แล้วตามกฎหมายอื่น

(5) เรื่องร้องเรียนที่ผู้ร้องเรียนไม่ได้เกี่ยวข้องโดยตรงกับการฝ่าฝืนหรือไม่ปฏิบัติตามกฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคลหรือประกาศที่ออกตามกฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคล

(6) เรื่องร้องเรียนที่ผู้ร้องเรียนขอถอนคำร้องเรียน หรือผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคลได้ปฏิบัติตามคำขอของผู้ร้องเรียนแล้ว

ข้อ 14 ในการพิจารณาเรื่องร้องเรียน ของคณะกรรมการผู้เชี่ยวชาญ ให้ดำเนินการดังต่อไปนี้

(1) หากคณะกรรมการผู้เชี่ยวชาญพิจารณาเรื่องร้องเรียนแล้วรับฟังได้ว่า เรื่องร้องเรียนนั้นเข้าลักษณะตามข้อ 13 คณะกรรมการผู้เชี่ยวชาญจะมีคำสั่งไม่รับเรื่องหรือสั่งยุติเรื่องก็ได้ และให้ส่งเรื่องร้องเรียนดังกล่าวคืนให้แก่พนักงานเจ้าหน้าที่เพื่อแจ้งผลการพิจารณาให้ผู้ร้องเรียนทราบ

(2) หากคณะกรรมการผู้เชี่ยวชาญพิจารณาเรื่องร้องเรียนแล้วรับฟังได้ว่า เรื่องร้องเรียนนั้นไม่มีมูล ให้คณะกรรมการผู้เชี่ยวชาญมีคำสั่งยุติเรื่อง และส่งเรื่องร้องเรียนดังกล่าวคืนให้แก่พนักงานเจ้าหน้าที่เพื่อแจ้งผลการพิจารณาให้ผู้ร้องเรียนทราบ

(3) หากคณะกรรมการผู้เชี่ยวชาญพิจารณาเรื่องร้องเรียนแล้วรับฟังได้ว่า เรื่องร้องเรียนนั้นเป็นกรณีซึ่งอาจไกล่เกลี่ยได้ ให้คณะกรรมการผู้เชี่ยวชาญสั่งการให้พนักงานเจ้าหน้าที่สอบถามคู่กรณีว่าประสงค์จะให้ไกล่เกลี่ยหรือไม่ หากคู่กรณีทั้งสองฝ่ายประสงค์จะให้ไกล่เกลี่ย ให้คณะกรรมการผู้เชี่ยวชาญดำเนินการไกล่เกลี่ยโดยเร็ว แต่หากเรื่องร้องเรียนนั้นไม่อาจไกล่เกลี่ยได้ หรือไกล่เกลี่ยไม่สำเร็จ ให้คณะกรรมการผู้เชี่ยวชาญดำเนินการตาม [มาตรา 74](https://link.pdpalawbase.com/section/74.md) วรรคสามและวรรคสี่ และดำเนินการพิจารณาเรื่องร้องเรียนตามระเบียบนี้ต่อไป

ข้อ 15 ในการดำเนินการตามข้อ 14 หากคณะกรรมการผู้เชี่ยวชาญพิจารณาแล้วเห็นว่า ข้อเท็จจริงและพยานหลักฐานที่นำมาประกอบการยื่นคำร้องเรียนไม่เพียงพอต่อการพิจารณา ให้คณะกรรมการผู้เชี่ยวชาญใช้อำนาจตาม [มาตรา 72](https://link.pdpalawbase.com/section/72.md) และ[มาตรา 75](https://link.pdpalawbase.com/section/75.md) หรือสั่งการให้พนักงานเจ้าหน้าที่ใช้อำนาจตาม [มาตรา 76](https://link.pdpalawbase.com/section/76.md)

ข้อ 16 ในกรณีที่คณะกรรมการผู้เชี่ยวชาญเห็นว่า คำร้องเรียนมีมูลและมีพยานหลักฐานชัดเจนว่าผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคล หรือลูกจ้างหรือผู้รับจ้างของผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคล ฝ่าฝืนหรือไม่ปฏิบัติตามกฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคลหรือประกาศที่ออกตามกฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคลจริง ให้คณะกรรมการผู้เชี่ยวชาญลงโทษปรับทางปกครองตามหลักเกณฑ์การพิจารณาออกคำสั่งลงโทษปรับทางปกครองที่คณะกรรมการคุ้มครองข้อมูลส่วนบุคคลกำหนดตาม [มาตรา 90](https://link.pdpalawbase.com/section/90.md) วรรคสอง

ข้อ 17 ในกรณีที่คณะกรรมการผู้เชี่ยวชาญเห็นว่า การพิจารณาเรื่องร้องเรียนเรื่องใดมีประเด็นข้อกฎหมายหรือปัญหาที่เกิดจากการบังคับใช้กฎหมายที่สำคัญและจำเป็นต้องมีการตีความหรือวินิจฉัยชี้ขาดโดยคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลก่อน ให้คณะกรรมการผู้เชี่ยวชาญพักการพิจารณาเรื่องร้องเรียนดังกล่าวไว้ชั่วคราว และส่งเรื่องให้เลขาธิการมีหนังสือไปยังคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลเพื่อพิจารณาตีความและวินิจฉัยชี้ขาด แล้วจึงนำไปประกอบการพิจารณาเรื่องร้องเรียนดังกล่าวต่อไป

ข้อ 18 ในกรณีที่มีเรื่องร้องเรียนโดยผู้ร้องเรียนหลายรายในเรื่องเดียวกันหรือเกี่ยวเนื่องกันอยู่ในการพิจารณาของคณะกรรมการผู้เชี่ยวชาญคณะเดียวกัน หากคณะกรรมการผู้เชี่ยวชาญเห็นเอง หรือผู้ร้องเรียนร้องขอ คณะกรรมการผู้เชี่ยวชาญอาจมีคำสั่งให้รวมการพิจารณาเรื่องร้องเรียนเหล่านั้นและพิจารณาไปพร้อมกันก็ได้

การรวมการพิจารณาเรื่องร้องเรียนที่อยู่ในการพิจารณาของคณะกรรมการผู้เชี่ยวชาญต่างคณะกัน ให้เสนอต่อเลขาธิการ เพื่อพิจารณาดำเนินการ

ข้อ 19 คู่กรณีอาจเสนอข้อเท็จจริงหรือข้อมูลที่เกี่ยวข้องโดยทำเป็นหนังสือต่อคณะกรรมการผู้เชี่ยวชาญที่พิจารณาเรื่องร้องเรียนเพื่อประกอบการพิจารณาก่อนมีคำสั่งได้

ข้อ 20 ให้คณะกรรมการผู้เชี่ยวชาญพิจารณาเรื่องร้องเรียนให้แล้วเสร็จภายในเวลาเก้าสิบวันนับแต่วันที่มีการประชุมครั้งแรก เว้นแต่มีเหตุสุดวิสัยหรือเหตุจำเป็นอื่นที่ทำให้ไม่สามารถดำเนินการได้ในกำหนดเวลา

ในกรณีที่ไม่สามารถพิจารณาเรื่องที่ร้องเรียนให้แล้วเสร็จภายในเวลาที่กำหนดในวรรคหนึ่ง ให้คณะกรรมการผู้เชี่ยวชาญรายงานปัญหาและอุปสรรคที่ทำให้การพิจารณาเรื่องร้องเรียนไม่แล้วเสร็จต่อคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลและขออนุมัติขยายเวลาพิจารณาออกไปอีกไม่เกินสองครั้ง ครั้งละไม่เกินหกสิบวัน ภายหลังการได้รับอนุมัติให้ขยายเวลา คณะกรรมการผู้เชี่ยวชาญต้องรีบสั่งการให้พนักงานเจ้าหน้าที่แจ้งผู้ร้องเรียนถึงเหตุสุดวิสัยหรือเหตุขัดข้องดังกล่าวให้ผู้ร้องเรียนทราบโดยไม่ชักช้า

ข้อ 21 ในการดำเนินการตามระเบียบนี้ เมื่อผลการพิจารณาเป็นประการใด ให้คณะกรรมการผู้เชี่ยวชาญแจ้งให้ผู้ร้องเรียนทราบพร้อมด้วยเหตุผล และในกรณีที่ไม่รับเรื่องร้องเรียนหรือยุติเรื่องที่มีผู้มีอำนาจพิจารณาในเรื่องนั้นอยู่แล้วตามกฎหมายอื่น ให้แจ้งผู้ร้องเรียนทราบ หากผู้ร้องเรียนประสงค์จะให้ส่งเรื่องให้ผู้มีอำนาจพิจารณาในเรื่องนั้นตามกฎหมายอื่น ให้ดำเนินการตามความประสงค์ดังกล่าว และให้ถือว่าผู้มีอำนาจพิจารณาได้รับเรื่องร้องเรียนนับแต่วันที่คณะกรรมการผู้เชี่ยวชาญได้รับเรื่องร้องเรียนนั้น

ประกาศ ณ วันที่ 29 มิถุนายน พ.ศ. 2565

เธียรชัย ณ นคร

ประธานกรรมการคุ้มครองข้อมูลส่วนบุคคล

## เหตุผลและฐานอำนาจ

ระเบียบฉบับนี้ไม่มีย่อหน้าเหตุผล ("โดยที่...") ใน preamble — ออกโดยอาศัยอำนาจตามความใน [มาตรา 16](https://link.pdpalawbase.com/section/16.md) (4) และ [มาตรา 73](https://link.pdpalawbase.com/section/73.md) วรรคสอง แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 คณะกรรมการคุ้มครองข้อมูลส่วนบุคคลจึงออกระเบียบไว้

## เอกสารต้นฉบับ

- [PDF ต้นฉบับ (local)](../../raw/notifications/notification-6.2.pdf)
- [ที่มา: pdpc.or.th](https://www.pdpc.or.th/1375/)
- [PDF ราชกิจจานุเบกษา (เล่ม 139 ตอนพิเศษ 165 ง, 11 กรกฎาคม 2565)](https://www.pdpc.or.th/wp-content/uploads/2022/06/pdpc-2565-regularity65.pdf)

หมายเหตุการคัดลอกตัวบท: ตัวบทในหน้านี้ถอดจาก PDF ฉบับราชกิจจานุเบกษา (ลิงก์ที่ 3) ซึ่งเป็นฉบับทางการ — ไฟล์ PDF local เป็นฉบับแปลงจากเอกสารทีมงานซึ่งมีข้อความสลับบรรทัดในข้อ 10

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/notification/6-2.md

============================================================
โนด: ประกาศ 6.3
ลิงก์อ้างอิง: https://link.pdpalawbase.com/notification/6-3.md

# ประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง หลักเกณฑ์การพิจารณาออกคำสั่งลงโทษปรับทางปกครองของคณะกรรมการผู้เชี่ยวชาญ พ.ศ. 2568

## ใจความสำคัญ

ประกาศฉบับนี้คือหลักเกณฑ์กลางที่คณะกรรมการผู้เชี่ยวชาญต้องใช้เมื่อจะออกคำสั่งลงโทษปรับทางปกครองตาม [มาตรา 90](https://link.pdpalawbase.com/section/90.md) — เป็นฉบับปรับปรุงที่ยกเลิกหลักเกณฑ์เดิมทั้งฉบับ พ.ศ. 2565 และฉบับที่ 2 พ.ศ. 2567 แล้ววางกระบวนการใหม่ทั้งชุด ตั้งแต่ปัจจัยที่ต้องชั่งน้ำหนัก ระดับการลงโทษ รูปแบบคำสั่ง ไปจนถึงการบังคับชำระค่าปรับ

- ยกเลิกประกาศหลักเกณฑ์โทษปรับทางปกครองฉบับ พ.ศ. 2565 และ (ฉบับที่ 2) พ.ศ. 2567 (ข้อ 3) โดยมีบทเฉพาะกาลรองรับคำสั่งและการดำเนินการที่ค้างอยู่ (ข้อ 18-20)
- นิยามคำสำคัญของกระบวนการบังคับทางปกครอง: ค่าปรับ ยึด อายัด การขายทอดตลาด และ "เจ้าพนักงานบังคับทางปกครอง" ซึ่งเลขาธิการแต่งตั้งจากพนักงานหรือลูกจ้างของสำนักงานฯ (ข้อ 4)
- การแจ้งคำสั่งและกำหนดนัดทำเป็นหนังสือหรือรูปแบบอิเล็กทรอนิกส์ที่เชื่อถือได้ กรณีฉุกเฉินหรือคู่กรณีแสดงความจำนงไว้ แจ้งทางโทรสารหรือไปรษณีย์อิเล็กทรอนิกส์ได้ (ข้อ 6-7)
- การพิจารณาออกคำสั่งต้องคำนึงถึงปัจจัย 14 ข้อ (ข้อ 9) เช่น เจตนาหรือความประมาทเลินเล่ออย่างร้ายแรง ความร้ายแรงของพฤติกรรม ขนาดกิจการ มูลค่าความเสียหาย ประวัติการถูกลงโทษ การเยียวยาเมื่อทราบเหตุ และการชดใช้ค่าสินไหมทดแทน
- การลงโทษแบ่ง 2 ระดับ (ข้อ 10): **กรณีไม่ร้ายแรง** ให้สั่งแก้ไขหรือตักเตือนก่อน — ตักเตือน/สั่งให้แก้ไขภายในเวลาที่กำหนด สั่งห้ามกระทำการที่ก่อความเสียหาย หรือสั่งจำกัดการเก็บรวบรวม ใช้ เปิดเผยข้อมูล · **กรณีร้ายแรงหรือคำสั่งแรกไม่เป็นผล** ให้ลงโทษปรับทางปกครอง โดยจะสั่งมาตรการข้างต้นควบคู่ด้วยก็ได้
- คำสั่งลงโทษปรับต้องทำเป็นหนังสือ ระบุข้อเท็จจริง ข้อกฎหมาย ข้อพิจารณาการใช้ดุลพินิจ และรายละเอียดการปฏิบัติตามคำสั่ง (ข้อ 11-12)
- ไม่ชำระค่าปรับ: เจ้าพนักงานบังคับทางปกครองมีหนังสือเตือน (ไม่น้อยกว่า 7 วัน) แล้วบังคับตามกฎหมายว่าด้วยวิธีปฏิบัติราชการทางปกครอง รวมถึงยึด อายัด ขายทอดตลาดทรัพย์สิน หากบังคับไม่ได้ให้ฟ้องศาลปกครองเพื่อบังคับชำระ (ข้อ 13)
- คำสั่งของคณะกรรมการผู้เชี่ยวชาญตามประกาศนี้ **เป็นที่สุด** (ข้อ 14)
- ประกาศนี้ทำงานคู่กับ [ระเบียบว่าด้วยการยื่น การไม่รับเรื่อง การยุติเรื่อง การพิจารณา และระยะเวลาในการพิจารณาคำร้องเรียน พ.ศ. 2565](https://link.pdpalawbase.com/notification/6-2.md) (หมวดเดียวกัน) ซึ่งข้อ 16 ของระเบียบดังกล่าวส่งให้ลงโทษปรับทางปกครองตามหลักเกณฑ์ฉบับนี้

## ตัวบท

ข้อ 1 ประกาศนี้เรียกว่า "ประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง หลักเกณฑ์การพิจารณาออกคำสั่งลงโทษปรับทางปกครองของคณะกรรมการผู้เชี่ยวชาญ พ.ศ. 2568"

ข้อ 2 ประกาศนี้ให้ใช้บังคับตั้งแต่วันถัดจากวันประกาศในราชกิจจานุเบกษาเป็นต้นไป

ข้อ 3 ให้ยกเลิก

(1) ประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง หลักเกณฑ์การพิจารณาออกคำสั่งลงโทษปรับทางปกครองของคณะกรรมการผู้เชี่ยวชาญ พ.ศ. 2565

(2) ประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง หลักเกณฑ์การพิจารณาออกคำสั่งลงโทษปรับทางปกครองของคณะกรรมการผู้เชี่ยวชาญ (ฉบับที่ 2) พ.ศ. 2567

ข้อ 4 ในประกาศนี้

"การพิจารณาออกคำสั่งลงโทษปรับทางปกครอง" หมายความว่า การดำเนินการที่เกี่ยวกับการพิจารณาสั่งลงโทษปรับทางปกครองกับผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคล หรือบุคคลใดที่ฝ่าฝืนหรือไม่ปฏิบัติตามกฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคล หรือคำสั่งของคณะกรรมการผู้เชี่ยวชาญ

"ค่าปรับ" หมายความว่า เงินค่าปรับทางปกครองที่คณะกรรมการผู้เชี่ยวชาญออกคำสั่งลงโทษปรับทางปกครองตามประกาศนี้

"ยึด" หมายความว่า การกระทำใด ๆ ต่อทรัพย์สินของผู้ถูกลงโทษปรับทางปกครอง เพื่อให้ทรัพย์สินนั้นได้เข้ามาอยู่ในความควบคุมหรือครอบครองของเจ้าพนักงานบังคับทางปกครอง

"อายัด" หมายความว่า การสั่งมิให้ผู้ถูกลงโทษปรับทางปกครองหรือบุคคลอื่นดำเนินการจำหน่ายจ่ายโอนหรือกระทำนิติกรรมใด ๆ เกี่ยวกับทรัพย์สิน หรือสิทธิเรียกร้องที่ได้สั่งอายัดไว้ รวมตลอดถึงการสั่งมิให้บุคคลภายนอกส่งมอบทรัพย์สิน หรือชำระหนี้แก่ผู้ถูกลงโทษปรับทางปกครอง แต่ให้ส่งมอบทรัพย์สินหรือชำระหนี้ต่อเจ้าพนักงานบังคับทางปกครอง ณ ที่ซึ่งเจ้าพนักงานบังคับทางปกครองกำหนด

"การขายทอดตลาด" หมายความว่า การนำทรัพย์สินของผู้ถูกลงโทษปรับทางปกครองออกขายโดยวิธีให้สู้ราคากันโดยเปิดเผย

"เจ้าพนักงานบังคับทางปกครอง" หมายความว่า พนักงานหรือลูกจ้างของสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลที่เลขาธิการคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลแต่งตั้งเป็นเจ้าพนักงานบังคับทางปกครองตามกฎหมายว่าด้วยวิธีปฏิบัติราชการทางปกครอง

"คณะกรรมการผู้เชี่ยวชาญ" หมายความว่า คณะกรรมการผู้เชี่ยวชาญตามกฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคล

"พนักงานเจ้าหน้าที่" หมายความว่า ผู้ซึ่งรัฐมนตรีแต่งตั้งให้ปฏิบัติการตามกฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคล

ข้อ 5 ในการพิจารณาออกคำสั่งลงโทษปรับทางปกครอง และการยึด อายัด หรือขายทอดตลาดที่เป็นส่วนหนึ่งของมาตรการบังคับทางปกครอง นอกจากที่กำหนดไว้ในประกาศนี้ ให้นำกฎหมายว่าด้วยวิธีปฏิบัติราชการทางปกครองมาใช้บังคับโดยอนุโลม

ข้อ 6 การแจ้งมาตรการบังคับทางปกครองและคำสั่งลงโทษปรับทางปกครอง การแจ้งกำหนดนัด หรือการดำเนินการอย่างอื่นภายใต้ประกาศนี้ ให้กระทำเป็นหนังสือหรือในรูปแบบอิเล็กทรอนิกส์ที่เชื่อถือได้

ข้อ 7 ในกรณีมีเหตุฉุกเฉินหรือจำเป็นเร่งด่วน หรือในกรณีที่ผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคลหรือบุคคลอื่นที่เกี่ยวข้องได้แสดงความจำนงไว้ก่อนล่วงหน้าว่าให้แจ้งด้วยวิธีอื่นได้ การแจ้งมูลความผิด การแจ้งกำหนดนัด การแจ้งคำสั่งลงโทษปรับทางปกครองหรือคำสั่งอื่นของคณะกรรมการผู้เชี่ยวชาญ การแจ้งผลการพิจารณา หรือการดำเนินการอย่างอื่นตามประกาศนี้ จะใช้วิธีการแจ้งทางโทรสาร ไปรษณีย์อิเล็กทรอนิกส์ หรือวิธีอื่นตามที่ผู้นั้นได้แจ้งความจำนงไว้ก็ได้ แต่ต้องมีหลักฐานการแจ้งเป็นลายลักษณ์อักษรหรือในรูปแบบอิเล็กทรอนิกส์ที่เชื่อถือได้

ให้ถือว่าผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคลหรือบุคคลอื่นที่เกี่ยวข้องได้รับแจ้งตามวันและเวลาที่ปรากฏในหลักฐานการส่งโทรสาร ไปรษณีย์อิเล็กทรอนิกส์ หรือวิธีอื่นนั้นโดยทันที เว้นแต่จะสามารถพิสูจน์ได้ในภายหลังว่าผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคลหรือบุคคลอื่นที่เกี่ยวข้องไม่ได้รับแจ้งตามวิธีการดังกล่าว

ข้อ 8 เมื่อคณะกรรมการผู้เชี่ยวชาญที่รับผิดชอบทราบจากพนักงานเจ้าหน้าที่ว่า ผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคลหรือบุคคลอื่นที่เกี่ยวข้องฝ่าฝืนหรือไม่ปฏิบัติตามกฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคล หรือคำสั่งของคณะกรรมการผู้เชี่ยวชาญตาม [มาตรา 74](https://link.pdpalawbase.com/section/74.md) ให้คณะกรรมการผู้เชี่ยวชาญดำเนินการออกคำสั่งลงโทษปรับทางปกครองหรือใช้มาตรการบังคับทางปกครองตามที่ระบุในประกาศนี้ต่อไป

ข้อ 9 ในการพิจารณาออกคำสั่งลงโทษปรับทางปกครองหรือใช้มาตรการบังคับทางปกครองหรือการดำเนินการอื่นใดตามประกาศนี้ ให้คณะกรรมการผู้เชี่ยวชาญคำนึงถึงปัจจัย ดังต่อไปนี้

(1) รายละเอียดการกระทำผิดที่เกิดขึ้น โดยเฉพาะกรณีที่เป็นการกระทำผิดโดยเจตนาหรือจงใจ หรือประมาทเลินเล่ออย่างร้ายแรง หรือขาดความระมัดระวังตามสมควร

(2) ความร้ายแรงของพฤติกรรมที่กระทำผิด

(3) ขนาดกิจการของผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคล

(4) ผลของมาตรการลงโทษปรับทางปกครองที่จะบังคับว่าจะได้ช่วยบรรเทาความเสียหายหรือความเดือดร้อนแก่เจ้าของข้อมูลส่วนบุคคลหรือไม่ เพียงใด

(5) ประโยชน์ที่เจ้าของข้อมูลส่วนบุคคลจะได้รับจากมาตรการลงโทษปรับทางปกครอง และผลกระทบต่อผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคลและผลกระทบในวงกว้างต่อธุรกิจหรือกิจการอื่นที่เกี่ยวข้อง

(6) มูลค่าความเสียหายและความร้ายแรงที่เกิดจากการกระทำผิดนั้น

(7) ระดับโทษปรับทางปกครองและมาตรการบังคับทางปกครองที่เคยใช้กับผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคลรายอื่นในความผิดทำนองเดียวกัน (ถ้ามี)

(8) ประวัติการถูกลงโทษปรับทางปกครองและใช้มาตรการบังคับทางปกครองของผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคล และในกรณีที่ผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคลเป็นนิติบุคคล ให้หมายความรวมถึงประวัติการถูกลงโทษปรับทางปกครองของบุคคลที่เกี่ยวข้องกับการกระทำของนิติบุคคลนั้นด้วย

(9) ระดับความรับผิดชอบและมาตรฐานของผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคลในขณะที่มีการกระทำความผิด

(10) การดำเนินการตามประมวลจริยธรรม แนวปฏิบัติทางธุรกิจ หรือมาตรฐานในการรักษาความมั่นคงปลอดภัยของข้อมูลส่วนบุคคลของผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคลในขณะที่มีการกระทำความผิด

(11) การเยียวยาและบรรเทาความเสียหายของผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคลเมื่อทราบเหตุที่กระทำความผิด

(12) การชดใช้ค่าสินไหมทดแทนเพื่อเยียวยาความเสียหายให้แก่เจ้าของข้อมูลส่วนบุคคล

(13) เหตุผล ข้อจำกัด มาตรฐานการดำเนินงาน และพฤติการณ์อื่นที่เกี่ยวข้องของผู้ที่กระทำการฝ่าฝืนหรือไม่ปฏิบัติตามกฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคล หรือคำสั่งของคณะกรรมการผู้เชี่ยวชาญ

(14) ข้อเท็จจริงอื่น ๆ ที่เกี่ยวข้อง

ข้อ 10 ในการพิจารณาออกคำสั่งลงโทษปรับทางปกครอง ให้คณะกรรมการผู้เชี่ยวชาญพิจารณาออกคำสั่งตามระดับของความร้ายแรงของการกระทำความผิดและความเหมาะสมในการปรับใช้มาตรการลงโทษ ดังนี้

(1) กรณีไม่ร้ายแรง

ให้คณะกรรมการผู้เชี่ยวชาญมีคำสั่งให้ผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคลหรือบุคคลอื่นที่เกี่ยวข้องแก้ไขหรือตักเตือนในเบื้องต้นก่อน โดยอาจดำเนินการ ดังนี้

(ก) ตักเตือนหรือสั่งให้ปฏิบัติหรือดำเนินการแก้ไข หยุด ระงับ ละเว้น หรืองดเว้นการกระทำที่ฝ่าฝืนหรือไม่ปฏิบัติตามกฎหมายให้ถูกต้องภายในระยะเวลาที่กำหนด โดยคำสั่งดังกล่าวต้องมีรายละเอียด เหตุผล และวัตถุประสงค์ของคำสั่งอย่างชัดเจนว่าจะต้องแก้ไขและดำเนินการให้ถูกต้องตามกฎหมายอย่างไร

(ข) สั่งห้ามกระทำการที่ก่อให้เกิดความเสียหายแก่เจ้าของข้อมูลส่วนบุคคลหรือให้กระทำการใดเพื่อระงับความเสียหายนั้นภายในระยะเวลาที่กำหนด

(ค) สั่งจำกัดการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลที่มีการกระทำผิดไว้เพื่อระงับความเสียหายนั้นภายในระยะเวลาที่กำหนด

คำสั่งตาม (ก) (ข) หรือ (ค) อาจกำหนดเงื่อนไขหรือวิธีการปรับปรุงบุคลากร กระบวนการ หรือเทคโนโลยี ให้มีประสิทธิภาพและความเหมาะสมตามที่คณะกรรมการผู้เชี่ยวชาญเห็นสมควร

(2) กรณีร้ายแรง หรือคำสั่งตาม (1) ไม่เป็นผล

ให้คณะกรรมการผู้เชี่ยวชาญมีคำสั่งลงโทษปรับทางปกครองแก่ผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคลหรือบุคคลอื่นที่เกี่ยวข้อง โดยคำนึงถึงความร้ายแรงและพฤติการณ์อื่นในการลงโทษปรับทางปกครองตามที่เห็นสมควร และอาจมีคำสั่งตาม (1) (ก) (ข) หรือ (ค) ด้วยก็ได้

ข้อ 11 คำสั่งลงโทษปรับทางปกครองของคณะกรรมการผู้เชี่ยวชาญในข้อ 10 ให้ทำเป็นหนังสือโดยระบุวัน เดือน ปี ที่ออกคำสั่งลงโทษปรับทางปกครอง และให้ประธานกรรมการผู้เชี่ยวชาญเป็นผู้ลงนามแทน

ข้อ 12 คำสั่งลงโทษปรับทางปกครองตามข้อ 10 ต้องมีรายละเอียดการพิจารณาและเหตุผลที่มีคำสั่ง โดยอย่างน้อยต้องประกอบด้วย

(1) ข้อเท็จจริงอันเป็นสาระสำคัญในการกระทำผิด

(2) ข้อกฎหมายที่เกี่ยวข้อง

(3) ข้อพิจารณาและข้อสนับสนุนในการใช้ดุลพินิจ

(4) รายละเอียดของการปฏิบัติตามคำสั่ง

ข้อ 13 เมื่อถึงกำหนดให้ชำระค่าปรับตามคำสั่งลงโทษปรับทางปกครองแล้ว หากผู้ถูกลงโทษปรับทางปกครองไม่ดำเนินการชำระค่าปรับโดยถูกต้องครบถ้วนตามคำสั่งของคณะกรรมการผู้เชี่ยวชาญ ให้สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลส่งเรื่องให้เจ้าพนักงานบังคับทางปกครอง เพื่อมีหนังสือเตือนให้ผู้ถูกลงโทษปรับทางปกครองชำระค่าปรับภายในเวลาที่กำหนดแต่ต้องไม่น้อยกว่าเจ็ดวัน

เมื่อครบกำหนดเวลาให้นำเงินมาชำระค่าปรับตามหนังสือแจ้งเตือนแล้ว หากผู้ถูกลงโทษปรับทางปกครองไม่ชำระค่าปรับหรือชำระค่าปรับไม่ครบถ้วน ให้เจ้าพนักงานบังคับทางปกครองนำบทบัญญัติเกี่ยวกับการบังคับทางปกครองตามกฎหมายว่าด้วยวิธีปฏิบัติราชการทางปกครองมาใช้บังคับโดยอนุโลม ทั้งนี้ ในกรณีที่ต้องมีการยึด อายัด หรือขายทอดตลาดทรัพย์สินของผู้ถูกลงโทษปรับทางปกครองเพื่อบังคับตามหลักเกณฑ์ที่กำหนดไว้ในกฎหมายว่าด้วยวิธีปฏิบัติราชการทางปกครอง ให้คณะกรรมการผู้เชี่ยวชาญสั่งยึด อายัด หรือขายทอดตลาดทรัพย์สินเพื่อการนั้น

ในกรณีที่ไม่มีเจ้าหน้าที่ดำเนินการบังคับตามคำสั่ง หรือมีแต่ไม่สามารถดำเนินการบังคับทางปกครองได้ ให้คณะกรรมการผู้เชี่ยวชาญฟ้องคดีต่อศาลปกครองเพื่อบังคับชำระค่าปรับ

ข้อ 14 คำสั่งของคณะกรรมการผู้เชี่ยวชาญตามประกาศนี้ให้เป็นที่สุด

ข้อ 15 การรับเงิน การนำส่งเงิน การเก็บรักษาเงินและการเบิกจ่ายเงินจากการขายทอดตลาดทรัพย์สิน ให้ดำเนินการตามระเบียบที่กระทรวงการคลังกำหนด

ข้อ 16 เงินที่ได้จากการขายทอดตลาดทรัพย์สินให้หักชำระค่าธรรมเนียม ค่าใช้จ่ายในการยึด อายัด และขายทอดตลาดทรัพย์สินก่อนนำมาชำระเป็นเงินค่าปรับที่ผู้ถูกลงโทษปรับทางปกครองต้องชำระ กรณีที่มีเงินเหลือให้คืนเงินที่เหลือนั้นให้แก่ผู้มีสิทธิรับเงินดังกล่าวตามกฎหมาย

ข้อ 17 ในการดำเนินการตามประกาศนี้ ให้คณะกรรมการผู้เชี่ยวชาญ พนักงานเจ้าหน้าที่ และเจ้าพนักงานบังคับทางปกครองใช้ความระมัดระวังในการใช้อำนาจตามประกาศนี้ โดยคำนึงถึงพยานหลักฐานที่เกี่ยวข้อง พยานแวดล้อม ประมวลจริยธรรม มาตรฐานวิชาชีพ แนวปฏิบัติของธุรกิจ หรือกิจการแต่ละประเภทกฎหมายที่ผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคลพึงกระทำตามหน้าที่ ผลกระทบในวงกว้างทั้งต่อเจ้าของข้อมูลส่วนบุคคล และธุรกิจหรือการดำเนินการของผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคลเป็นสำคัญ

ข้อ 18 บรรดาประกาศ คำสั่ง หรือมติ ตลอดจนการดำเนินการใดที่อ้างถึงเจ้าหน้าที่บังคับโทษปรับทางปกครองตามประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง หลักเกณฑ์การพิจารณาออกคำสั่งลงโทษปรับทางปกครองของคณะกรรมการผู้เชี่ยวชาญ พ.ศ. 2565 ซึ่งแก้ไขเพิ่มเติมโดยประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง หลักเกณฑ์การพิจารณาออกคำสั่งลงโทษปรับทางปกครองของคณะกรรมการผู้เชี่ยวชาญ (ฉบับที่ 2) พ.ศ. 2567 ให้ถือว่าอ้างถึงเจ้าพนักงานบังคับทางปกครองตามประกาศนี้

ข้อ 19 คำสั่งของคณะกรรมการผู้เชี่ยวชาญที่ออกตามประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง หลักเกณฑ์การพิจารณาออกคำสั่งลงโทษปรับทางปกครองของคณะกรรมการผู้เชี่ยวชาญ พ.ศ. 2565 ซึ่งแก้ไขเพิ่มเติมโดยประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง หลักเกณฑ์การพิจารณาออกคำสั่งลงโทษปรับทางปกครองของคณะกรรมการผู้เชี่ยวชาญ (ฉบับที่ 2) พ.ศ. 2567 ก่อนวันที่ประกาศนี้ใช้บังคับ ให้ถือว่าเป็นคำสั่งของคณะกรรมการผู้เชี่ยวชาญตามประกาศนี้ และให้ดำเนินการตามที่ระบุไว้ในคำสั่งของคณะกรรมการผู้เชี่ยวชาญนั้นต่อไป

ข้อ 20 การใดที่ได้ดำเนินการไปตามประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง หลักเกณฑ์การพิจารณาออกคำสั่งลงโทษปรับทางปกครองของคณะกรรมการผู้เชี่ยวชาญ พ.ศ. 2565 ซึ่งแก้ไขเพิ่มเติมโดยประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง หลักเกณฑ์การพิจารณาออกคำสั่งลงโทษปรับทางปกครองของคณะกรรมการผู้เชี่ยวชาญ (ฉบับที่ 2) พ.ศ. 2567 ก่อนวันที่ประกาศนี้ใช้บังคับและยังดำเนินการไม่แล้วเสร็จ ให้ดำเนินการต่อไปตามประกาศนี้

ข้อ 21 ให้ประธานกรรมการคุ้มครองข้อมูลส่วนบุคคลเป็นผู้รักษาการตามประกาศนี้

ประกาศ ณ วันที่ 10 เมษายน พ.ศ. 2568

เธียรชัย ณ นคร

ประธานกรรมการคุ้มครองข้อมูลส่วนบุคคล

## เหตุผลและฐานอำนาจ

โดยที่เป็นการสมควรปรับปรุงหลักเกณฑ์การพิจารณาออกคำสั่งลงโทษปรับทางปกครองของคณะกรรมการผู้เชี่ยวชาญให้มีความเหมาะสมยิ่งขึ้น

อาศัยอำนาจตามความใน [มาตรา 16](https://link.pdpalawbase.com/section/16.md) (4) และ [มาตรา 90](https://link.pdpalawbase.com/section/90.md) วรรคสอง แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 คณะกรรมการคุ้มครองข้อมูลส่วนบุคคล จึงออกประกาศไว้ดังต่อไปนี้

## เอกสารต้นฉบับ

- [PDF ต้นฉบับ (local)](../../raw/notifications/notification-6.3.pdf)
- [ที่มา: ratchakitcha.soc.go.th](https://ratchakitcha.soc.go.th/documents/67805.pdf)

ประกาศในราชกิจจานุเบกษา เล่ม 142 ตอนพิเศษ 173 ง วันที่ 23 เมษายน 2568

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/notification/6-3.md

============================================================
โนด: ประกาศ 7.1
ลิงก์อ้างอิง: https://link.pdpalawbase.com/notification/7-1.md

# ประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง หลักเกณฑ์การให้ความคุ้มครองข้อมูลส่วนบุคคลที่ส่งหรือโอนไปยังต่างประเทศตามมาตรา 28 แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 พ.ศ. 2566

## ใจความสำคัญ

ประกาศฉบับนี้วางหลักเกณฑ์รองรับ [มาตรา 28](https://link.pdpalawbase.com/section/28.md) ว่าประเทศปลายทางหรือองค์การระหว่างประเทศที่รับข้อมูลส่วนบุคคลจากประเทศไทยต้อง "มีมาตรฐานการคุ้มครองข้อมูลส่วนบุคคลที่เพียงพอ" หมายถึงอะไร พิจารณาอย่างไร และใครเป็นผู้วินิจฉัย ใช้กับผู้ควบคุมข้อมูลส่วนบุคคลทุกรายที่ส่งหรือโอนข้อมูลส่วนบุคคลไปยังต่างประเทศ มีผลใช้บังคับตั้งแต่วันที่ 24 มีนาคม 2567 (พ้นกำหนด 90 วันนับแต่วันประกาศในราชกิจจานุเบกษา 25 ธันวาคม 2566)

- นิยาม "ส่งหรือโอนข้อมูลส่วนบุคคล" ให้ชัดเจน — ไม่รวมกรณีที่เป็นเพียงสื่อกลางส่งผ่านข้อมูล (data transit) หรือการเก็บพักข้อมูล (data storage) ที่ไม่มีบุคคลภายนอกเข้าถึง เช่น การส่งผ่านระบบของผู้ให้บริการระบบคลาวด์ที่มีมาตรการทางเทคนิครองรับ (ข้อ 3)
- การส่งหรือโอนไปยังประเทศปลายทางต้องเป็นไปตามหลักเกณฑ์มาตรฐานที่เพียงพอ เว้นแต่เข้าข้อยกเว้น 6 กรณี เช่น เป็นการปฏิบัติตามกฎหมาย ได้รับความยินยอมโดยแจ้งความเสี่ยงแล้ว จำเป็นตามสัญญา หรือป้องกันอันตรายต่อชีวิต (ข้อ 4)
- มาตรฐานที่เพียงพอพิจารณาจาก 2 ปัจจัย: มีมาตรการ/กลไกทางกฎหมายคุ้มครองข้อมูลส่วนบุคคลที่สอดคล้องกับกฎหมายไทย และมีหน่วยงานบังคับใช้กฎหมายในประเทศปลายทาง (ข้อ 5)
- คณะกรรมการคุ้มครองข้อมูลส่วนบุคคลเป็นผู้วินิจฉัยตาม [มาตรา 28](https://link.pdpalawbase.com/section/28.md) วรรคสาม — วินิจฉัยรายกรณี หรือกำหนดรายชื่อประเทศ/องค์การระหว่างประเทศที่ถือว่ามีมาตรฐานเพียงพอ (adequacy list) ก็ได้ โดยสำนักงานเป็นผู้รวบรวมเรื่องและจัดทำรายงานเสนอ และขอทบทวนคำวินิจฉัยได้เมื่อมีหลักฐานใหม่ (ข้อ 6-7)
- ฉบับคู่กันสำหรับกลไกตามมาตรา 29 (BCR และมาตรการคุ้มครองที่เหมาะสม) คือ [ประกาศหลักเกณฑ์ตามมาตรา 29 พ.ศ. 2566](https://link.pdpalawbase.com/notification/7-2.md)

## ตัวบท

ข้อ 1 ประกาศนี้เรียกว่า "ประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง หลักเกณฑ์การให้ความคุ้มครองข้อมูลส่วนบุคคลที่ส่งหรือโอนไปยังต่างประเทศตาม[มาตรา 28](https://link.pdpalawbase.com/section/28.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 พ.ศ. 2566"

ข้อ 2 ประกาศนี้ให้ใช้บังคับเมื่อพ้นกำหนดเก้าสิบวันนับแต่วันประกาศในราชกิจจานุเบกษาเป็นต้นไป

ข้อ 3 ในประกาศนี้

"ผู้ให้บริการระบบคลาวด์ (cloud computing service provider)" หมายความว่า ผู้ให้บริการเก็บรักษาข้อมูลหรือเก็บพักข้อมูลแก่บุคคลอื่นในรูปแบบชั่วคราวหรือถาวร โดยมีระบบที่บริหารจัดการข้อมูลบนอินเทอร์เน็ต โดยอาจให้บริการในรูปแบบต่าง ๆ เช่น ผู้ให้บริการโครงสร้างพื้นฐานหลัก (Infrastructure as a Service : IaaS) ผู้ให้บริการแพลตฟอร์ม (Platform as a Service : PaaS) ผู้ให้บริการซอฟต์แวร์ (Software as a Service : SaaS) ผู้ให้บริการระบบจัดเก็บข้อมูล (Data Storage as a Service : DSaaS) และผู้ให้บริการระบบบริหารจัดการข้อมูลแบบ Serverless Computing หรือผู้ให้บริการฟังก์ชัน (Function as a Service : FaaS) เป็นต้น

"ส่งหรือโอนข้อมูลส่วนบุคคล" หมายความว่า ส่งหรือโอนข้อมูลส่วนบุคคลโดยผู้ส่งหรือโอนข้อมูลส่วนบุคคล ไม่ว่าจะเป็นการส่งหรือโอนข้อมูลโดยทางกายภาพ หรือผ่านระบบคอมพิวเตอร์หรือระบบเครือข่าย ให้แก่ผู้รับข้อมูลส่วนบุคคล แต่มิให้หมายความรวมถึงการส่งและรับข้อมูลส่วนบุคคลในลักษณะที่เป็นเพียงสื่อกลาง (intermediary) ในการส่งผ่านข้อมูล (data transit) ระหว่างระบบคอมพิวเตอร์หรือระบบเครือข่ายหรือการเก็บพักข้อมูล (data storage) ในรูปแบบชั่วคราวหรือถาวรที่ไม่มีบุคคลภายนอกเข้าถึงข้อมูลส่วนบุคคลดังกล่าว นอกเหนือจากผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคลที่เป็นผู้ส่งข้อมูลส่วนบุคคลนั้น หรือบุคลากร พนักงาน หรือลูกจ้างของผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคลนั้น เช่น กรณีการส่งข้อมูลผ่านระบบเครือข่ายในต่างประเทศ หรือการส่งข้อมูลผ่านระบบของผู้ให้บริการระบบคลาวด์ (cloud computing service provider) ที่ไม่มีบุคคลใดนอกจากผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคลที่เป็นผู้ส่งข้อมูลส่วนบุคคลนั้น หรือบุคลากร พนักงาน หรือลูกจ้าง เข้าถึงข้อมูลส่วนบุคคล เนื่องจากมีมาตรการทางเทคนิคหรือเงื่อนไขทางกฎหมายรองรับ

"คณะกรรมการ" หมายถึง คณะกรรมการคุ้มครองข้อมูลส่วนบุคคล

"สำนักงาน" หมายถึง สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล

ข้อ 4 ในกรณีที่ผู้ควบคุมข้อมูลส่วนบุคคลส่งหรือโอนข้อมูลส่วนบุคคลไปยังต่างประเทศ ประเทศปลายทางหรือองค์การระหว่างประเทศที่รับข้อมูลส่วนบุคคลต้องมีมาตรฐานการคุ้มครองข้อมูลส่วนบุคคลที่เพียงพอ โดยต้องเป็นไปตามหลักเกณฑ์การให้ความคุ้มครองข้อมูลส่วนบุคคลตามประกาศนี้ เว้นแต่

(1) เป็นการปฏิบัติตามกฎหมาย

(2) ได้รับความยินยอมจากเจ้าของข้อมูลส่วนบุคคลโดยได้แจ้งให้เจ้าของข้อมูลส่วนบุคคลทราบถึงมาตรฐานการคุ้มครองข้อมูลส่วนบุคคลที่ไม่เพียงพอของประเทศปลายทางหรือองค์การระหว่างประเทศที่รับข้อมูลส่วนบุคคลแล้ว

(3) เป็นการจำเป็นเพื่อการปฏิบัติตามสัญญาซึ่งเจ้าของข้อมูลส่วนบุคคลเป็นคู่สัญญาหรือเพื่อใช้ในการดำเนินการตามคำขอของเจ้าของข้อมูลส่วนบุคคลก่อนเข้าทำสัญญานั้น

(4) เป็นการกระทำตามสัญญาระหว่างผู้ควบคุมข้อมูลส่วนบุคคลกับบุคคลหรือนิติบุคคลอื่นเพื่อประโยชน์ของเจ้าของข้อมูลส่วนบุคคล

(5) เพื่อป้องกันหรือระงับอันตรายต่อชีวิต ร่างกาย หรือสุขภาพของเจ้าของข้อมูลส่วนบุคคลหรือบุคคลอื่น เมื่อเจ้าของข้อมูลส่วนบุคคลไม่สามารถให้ความยินยอมในขณะนั้นได้

(6) เป็นการจำเป็นเพื่อการดำเนินภารกิจเพื่อประโยชน์สาธารณะที่สำคัญ

ข้อ 5 หลักเกณฑ์การให้ความคุ้มครองข้อมูลส่วนบุคคล ซึ่งประเทศปลายทางหรือองค์การระหว่างประเทศที่รับข้อมูลส่วนบุคคลต้องมีมาตรฐานการคุ้มครองข้อมูลส่วนบุคคลที่เพียงพอตามข้อ 4 ให้พิจารณาจากข้อเท็จจริงเกี่ยวกับความเพียงพอของปัจจัย ดังต่อไปนี้

(1) มีมาตรการหรือกลไกทางกฎหมายเกี่ยวกับการคุ้มครองข้อมูลส่วนบุคคลของประเทศปลายทางหรือองค์การระหว่างประเทศที่สอดคล้องกับกฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคลของประเทศไทย โดยเฉพาะหน้าที่ของผู้ควบคุมข้อมูลส่วนบุคคลในการจัดให้มีมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสม มาตรการคุ้มครองข้อมูลส่วนบุคคลที่เหมาะสมและสามารถบังคับตามสิทธิของเจ้าของข้อมูลส่วนบุคคลได้ และมาตรการเยียวยาทางกฎหมายที่มีประสิทธิภาพ

(2) มีหน่วยงานหรือองค์กรที่มีหน้าที่และอำนาจในการบังคับใช้กฎหมายและกฎระเบียบเกี่ยวกับการคุ้มครองข้อมูลส่วนบุคคลในประเทศปลายทางหรือองค์การระหว่างประเทศ

ข้อ 6 ในการเสนอปัญหาเกี่ยวกับมาตรฐานการคุ้มครองข้อมูลส่วนบุคคลที่เพียงพอของประเทศปลายทางหรือองค์การระหว่างประเทศที่รับข้อมูลส่วนบุคคลต่อคณะกรรมการเป็นผู้วินิจฉัยตาม[มาตรา 28](https://link.pdpalawbase.com/section/28.md) วรรคสาม สำนักงานอาจรับเรื่องที่มีผู้ควบคุมข้อมูลส่วนบุคคลเสนอให้มีการวินิจฉัย หรือสำนักงานอาจรวบรวมข้อมูลและเสนอโดยสำนักงานเองก็ได้ โดยคณะกรรมการอาจพิจารณาวินิจฉัยเป็นรายกรณี หรือพิจารณากำหนดรายชื่อประเทศปลายทางหรือองค์การระหว่างประเทศที่รับข้อมูลส่วนบุคคล ซึ่งถือว่ามีมาตรฐานการคุ้มครองข้อมูลส่วนบุคคลที่เพียงพอก็ได้

สำนักงานอาจขอให้คณะกรรมการทบทวนคำวินิจฉัยได้เมื่อมีหลักฐานใหม่ทำให้เชื่อได้ว่าประเทศปลายทางหรือองค์การระหว่างประเทศที่รับข้อมูลส่วนบุคคลมีการพัฒนาจนมีมาตรฐานการคุ้มครองข้อมูลส่วนบุคคลที่เพียงพอ หรือกรณีอื่นที่เห็นสมควร

ข้อ 7 ในการดำเนินการเพื่อเสนอเรื่องให้คณะกรรมการวินิจฉัยตามข้อ 6 ให้สำนักงานจัดทำเป็นรายงานมาตรฐานการคุ้มครองข้อมูลส่วนบุคคลของประเทศปลายทางหรือองค์การระหว่างประเทศ โดยสำนักงานอาจจัดทำเองหรือเสนอรายงานของหน่วยงานอื่นก็ได้

ข้อ 8 ให้ประธานกรรมการคุ้มครองข้อมูลส่วนบุคคลเป็นผู้รักษาการตามประกาศนี้

ประกาศ ณ วันที่ 25 ธันวาคม พ.ศ. 2566

เธียรชัย ณ นคร

ประธานกรรมการคุ้มครองข้อมูลส่วนบุคคล

## เหตุผลและฐานอำนาจ

อาศัยอำนาจตามความใน[มาตรา 16](https://link.pdpalawbase.com/section/16.md) (4) และ (5) ประกอบ[มาตรา 28](https://link.pdpalawbase.com/section/28.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 คณะกรรมการคุ้มครองข้อมูลส่วนบุคคล จึงออกประกาศไว้ดังต่อไปนี้ (ประกาศฉบับนี้ไม่มีย่อหน้าเหตุผล "โดยที่..." ใน preamble)

## เอกสารต้นฉบับ

- [PDF ต้นฉบับ (local)](../../raw/notifications/notification-7.1.pdf)
- [ที่มา: pdpc.or.th](https://www.pdpc.or.th/2500/)

หมายเหตุ: วันที่มีผลใช้บังคับ (24 มีนาคม 2567) คำนวณจากวันประกาศในราชกิจจานุเบกษา 25 ธันวาคม 2566 + 90 วัน ตามข้อ 2 ของประกาศ

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/notification/7-1.md

============================================================
โนด: ประกาศ 7.2
ลิงก์อ้างอิง: https://link.pdpalawbase.com/notification/7-2.md

# ประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง หลักเกณฑ์การให้ความคุ้มครองข้อมูลส่วนบุคคลที่ส่งหรือโอนไปยังต่างประเทศ ตามมาตรา 29 แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 พ.ศ. 2566

## ใจความสำคัญ

ประกาศฉบับนี้วางกลไกตาม [มาตรา 29](https://link.pdpalawbase.com/section/29.md) ให้ผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคลส่งหรือโอนข้อมูลส่วนบุคคลไปยังต่างประเทศได้ 2 ช่องทางหลัก คือ (1) นโยบายคุ้มครองข้อมูลส่วนบุคคลในเครือกิจการหรือเครือธุรกิจเดียวกัน (binding corporate rules — BCR) ที่สำนักงานตรวจสอบและรับรอง และ (2) มาตรการคุ้มครองที่เหมาะสม (appropriate safeguards) เมื่อยังไม่มีคำวินิจฉัยความเพียงพอของประเทศปลายทาง มีผลใช้บังคับตั้งแต่วันที่ 24 มีนาคม 2567 (พ้นกำหนด 90 วันนับแต่วันประกาศในราชกิจจานุเบกษา 25 ธันวาคม 2566)

- หมวด 1 (ข้อ 5-7): การส่งหรือโอนภายในเครือกิจการเดียวกันทำได้เมื่อมี BCR ที่สำนักงานรับรองแล้ว — ยื่นได้โดยตรง ทางไปรษณีย์ หรือช่องทางอิเล็กทรอนิกส์ โดยสำนักงานตรวจ 3 หลักเกณฑ์: สภาพบังคับทางกฎหมาย / ข้อกำหนดรับรองสิทธิเจ้าของข้อมูลและการร้องเรียน / มาตรการคุ้มครองและความมั่นคงปลอดภัยตามมาตรฐานขั้นต่ำ (ขั้นตอนปฏิบัติโดยละเอียดดู [ระเบียบ BCR พ.ศ. 2568](https://link.pdpalawbase.com/notification/7-3.md))
- หมวด 2 (ข้อ 8-14): หากยังไม่มี adequacy decision ตาม [มาตรา 28](https://link.pdpalawbase.com/section/28.md) และไม่มี BCR — ส่งหรือโอนได้เมื่อจัดให้มีมาตรการคุ้มครองที่เหมาะสม 3 รูปแบบ: ข้อสัญญาในการส่งหรือโอนที่เป็นที่ยอมรับ / การรับรอง (certification) / ตราสารผูกพันระหว่างหน่วยงานรัฐไทยกับหน่วยงานรัฐต่างประเทศ
- ข้อสัญญาต้นแบบต่างประเทศที่ใช้ได้: ASEAN Model Contractual Clauses และ EU Standard Contractual Clauses ตาม GDPR (ข้อ 10 (2)) โดยต้องครอบคลุมเนื้อหา 7 เรื่องตามข้อ 11 และแก้ไขได้เฉพาะส่วนที่ไม่ใช่สาระสำคัญ (ข้อ 12)
- ข้อสัญญาที่คู่สัญญาจัดทำเองต้องมีข้อกำหนดขั้นต่ำ เช่น ผู้รับข้อมูลที่เป็นผู้ประมวลผลต้องประมวลผลตามคำสั่งเท่านั้น และต้องแจ้งเหตุการละเมิดข้อมูลส่วนบุคคลแก่ผู้ส่งภายใน 72 ชั่วโมงนับแต่ทราบเหตุ (ข้อ 10 (1))
- ฉบับคู่กันสำหรับหลักเกณฑ์มาตรฐานความเพียงพอของประเทศปลายทางตามมาตรา 28 คือ [ประกาศหลักเกณฑ์ตามมาตรา 28 พ.ศ. 2566](https://link.pdpalawbase.com/notification/7-1.md)

## ตัวบท

ข้อ 1 ประกาศนี้เรียกว่า "ประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง หลักเกณฑ์การให้ความคุ้มครองข้อมูลส่วนบุคคลที่ส่งหรือโอนไปยังต่างประเทศ ตาม[มาตรา 29](https://link.pdpalawbase.com/section/29.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 พ.ศ. 2566"

ข้อ 2 ประกาศนี้ให้ใช้บังคับเมื่อพ้นกำหนดเก้าสิบวันนับแต่วันประกาศในราชกิจจานุเบกษาเป็นต้นไป

ข้อ 3 ในประกาศนี้

"เครือกิจการหรือเครือธุรกิจเดียวกัน" หมายความว่า กิจการที่ผู้ประกอบกิจการมีอำนาจควบคุมหรือบริหารจัดการเหนือกิจการอื่น หรือกิจการที่ถูกควบคุมโดยผู้ประกอบกิจการที่มีอำนาจเหนือกิจการอื่น ในรูปแบบบริษัทใหญ่ บริษัทย่อย หรือบริษัทร่วม รวมทั้งบุคคลธรรมดาหรือนิติบุคคลที่มีความเกี่ยวข้องกันทางกฎหมายหรือเกี่ยวข้องกันเนื่องจากประกอบกิจการหรือธุรกิจร่วมกัน โดยใช้หลักเกณฑ์การพิจารณาตามกฎหมายที่เกี่ยวข้องและมาตรฐานทางบัญชีอันเป็นที่ยอมรับโดยทั่วไป

"ผู้ส่งหรือโอนข้อมูลส่วนบุคคล" หมายความว่า ผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคลที่ส่งหรือโอนข้อมูลส่วนบุคคลไปยังผู้รับข้อมูลส่วนบุคคลที่อยู่ต่างประเทศ

"ผู้รับข้อมูลส่วนบุคคล" หมายความว่า ผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคลที่อยู่ต่างประเทศ ที่รับข้อมูลส่วนบุคคลจากผู้ส่งหรือโอนข้อมูลส่วนบุคคลเพื่อการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล

"ผู้ให้บริการระบบคลาวด์ (cloud computing service provider)" หมายความว่า ผู้ให้บริการเก็บรักษาข้อมูลหรือเก็บพักข้อมูลแก่บุคคลอื่นในรูปแบบชั่วคราวหรือถาวร โดยมีระบบที่บริหารจัดการข้อมูลบนอินเทอร์เน็ต โดยอาจให้บริการในรูปแบบต่าง ๆ เช่น ผู้ให้บริการโครงสร้างพื้นฐานหลัก (Infrastructure as a Service : IaaS) ผู้ให้บริการแพลตฟอร์ม (Platform as a Service : PaaS) ผู้ให้บริการซอฟต์แวร์ (Software as a Service : SaaS) ผู้ให้บริการระบบจัดเก็บข้อมูล (Data Storage as a Service : DSaaS) และผู้ให้บริการระบบบริหารจัดการข้อมูลแบบ Serverless Computing หรือผู้ให้บริการฟังก์ชัน (Function as a Service : FaaS) เป็นต้น

"ส่งหรือโอนข้อมูลส่วนบุคคล" หมายความว่า ส่งหรือโอนข้อมูลส่วนบุคคลโดยผู้ส่งหรือโอนข้อมูลส่วนบุคคล ไม่ว่าจะเป็นการส่งหรือโอนข้อมูลโดยทางกายภาพ หรือผ่านระบบคอมพิวเตอร์หรือระบบเครือข่าย ให้แก่ผู้รับข้อมูลส่วนบุคคล แต่มิให้หมายความรวมถึงการส่งและรับข้อมูลส่วนบุคคลในลักษณะที่เป็นเพียงสื่อกลาง (intermediary) ในการส่งผ่านข้อมูล (data transit) ระหว่างระบบคอมพิวเตอร์หรือระบบเครือข่ายหรือการเก็บพักข้อมูล (data storage) ในรูปแบบชั่วคราวหรือถาวรที่ไม่มีบุคคลภายนอกเข้าถึงข้อมูลส่วนบุคคลดังกล่าว นอกเหนือจากผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคลที่เป็นผู้ส่งข้อมูลส่วนบุคคลนั้น หรือบุคลากร พนักงาน หรือลูกจ้างของผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคลนั้น เช่น กรณีการส่งข้อมูลผ่านระบบเครือข่ายในต่างประเทศ หรือการส่งข้อมูลผ่านระบบของผู้ให้บริการระบบคลาวด์ (cloud computing service provider) ที่ไม่มีบุคคลใดนอกจากผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคลที่เป็นผู้ส่งข้อมูลส่วนบุคคลนั้น หรือบุคลากร พนักงาน หรือลูกจ้าง เข้าถึงข้อมูลส่วนบุคคล เนื่องจากมีมาตรการทางเทคนิคหรือเงื่อนไขทางกฎหมายรองรับ

"นโยบายในการคุ้มครองข้อมูลส่วนบุคคลในเครือกิจการหรือเครือธุรกิจเดียวกัน (binding corporate rules)" หมายความว่า นโยบายหรือข้อตกลงในการคุ้มครองข้อมูลส่วนบุคคลที่ผู้ส่งหรือโอนข้อมูลส่วนบุคคลและผู้รับข้อมูลส่วนบุคคลตกลงร่วมกันและมีผลผูกพัน เพื่อกำหนดมาตรการคุ้มครองข้อมูลส่วนบุคคลที่เหมาะสมระหว่างเครือกิจการหรือเครือธุรกิจเดียวกัน

"คณะกรรมการ" หมายความว่า คณะกรรมการคุ้มครองข้อมูลส่วนบุคคล

"สำนักงาน" หมายความว่า สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล

ข้อ 4 ให้ประธานกรรมการคุ้มครองข้อมูลส่วนบุคคลเป็นผู้รักษาการตามประกาศนี้

**หมวด 1 นโยบายในการคุ้มครองข้อมูลส่วนบุคคลเพื่อการส่งหรือโอนข้อมูลส่วนบุคคลไปยังผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคลซึ่งอยู่ต่างประเทศและอยู่ในเครือกิจการหรือเครือธุรกิจเดียวกันเพื่อการประกอบกิจการหรือธุรกิจร่วมกัน**

ข้อ 5 ผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคลซึ่งอยู่ในราชอาณาจักร อาจส่งหรือโอนข้อมูลส่วนบุคคลไปยังผู้รับข้อมูลส่วนบุคคลซึ่งอยู่ต่างประเทศและอยู่ในเครือกิจการหรือเครือธุรกิจเดียวกันได้ตาม[มาตรา 29](https://link.pdpalawbase.com/section/29.md) วรรคหนึ่งแห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 หากผู้ส่งหรือโอนข้อมูลส่วนบุคคลและผู้รับข้อมูลส่วนบุคคลดังกล่าวได้มีการกำหนดนโยบายในการคุ้มครองข้อมูลส่วนบุคคลในเครือกิจการหรือเครือธุรกิจเดียวกัน (binding corporate rules) เพื่อการประกอบกิจการหรือธุรกิจร่วมกันที่ได้รับการตรวจสอบและรับรองจากสำนักงานแล้ว

ข้อ 6 ผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคลที่จะส่งหรือโอนข้อมูลส่วนบุคคลไปยังผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคลซึ่งอยู่ต่างประเทศและอยู่ในเครือกิจการหรือเครือธุรกิจเดียวกัน สามารถเสนอนโยบายในการคุ้มครองข้อมูลส่วนบุคคลในเครือกิจการหรือเครือธุรกิจเดียวกัน (binding corporate rules) เพื่อการประกอบกิจการหรือธุรกิจร่วมกันตามข้อ 5 เพื่อให้สำนักงานตรวจสอบและรับรองตามประกาศนี้ได้ โดยให้ยื่นนโยบายดังกล่าวโดยวิธีการใดวิธีการหนึ่ง ดังต่อไปนี้

(1) ยื่นโดยตรงต่อสำนักงาน

(2) ยื่นผ่านทางไปรษณีย์มายังสำนักงาน

(3) ยื่นผ่านทางช่องทางอิเล็กทรอนิกส์หรือช่องทางอื่นใดตามที่สำนักงานกำหนด

ข้อ 7 ให้สำนักงานตรวจสอบและรับรองนโยบายในการคุ้มครองข้อมูลส่วนบุคคลในเครือกิจการหรือเครือธุรกิจเดียวกัน (binding corporate rules) เพื่อการประกอบกิจการหรือธุรกิจร่วมกันที่ได้มีการยื่นตามข้อ 6 ตามหลักเกณฑ์และมาตรฐานการคุ้มครองข้อมูลส่วนบุคคลที่ระบุไว้ในกฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคล และกฎหมายลำดับรองและประกาศที่เกี่ยวข้อง โดยให้ตรวจสอบเนื้อหาสาระของนโยบายในการคุ้มครองข้อมูลส่วนบุคคล ว่าต้องเป็นไปตามหลักเกณฑ์ ดังต่อไปนี้

(1) การมีผลและสภาพบังคับในทางกฎหมายของนโยบายในการคุ้มครองข้อมูลส่วนบุคคลดังกล่าวกับนิติบุคคลหรือบุคคลธรรมดาในเครือกิจการหรือเครือธุรกิจเดียวกัน ตลอดจนผู้ประมวลผลข้อมูลส่วนบุคคลที่เกี่ยวข้อง ผู้ส่งหรือโอนข้อมูลส่วนบุคคล และผู้รับข้อมูลส่วนบุคคลที่อยู่ในเครือกิจการหรือเครือธุรกิจเดียวกันของผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคลที่เสนอนโยบายให้สำนักงานตรวจสอบและรับรอง ทั้งนี้ นโยบายดังกล่าวต้องสอดคล้องกับกฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคล และต้องมีผลผูกพันต่อบุคลากร พนักงาน ลูกจ้าง หรือบุคคลที่เกี่ยวข้องกับผู้ส่งหรือโอนข้อมูลส่วนบุคคลและผู้รับข้อมูลส่วนบุคคล และการส่งหรือโอนข้อมูลส่วนบุคคลและการรับข้อมูลส่วนบุคคลของผู้ควบคุมข้อมูลส่วนบุคคลและผู้ประมวลผลข้อมูลส่วนบุคคลในเครือกิจการหรือเครือธุรกิจเดียวกันด้วย

(2) ข้อกำหนดที่รับรองการคุ้มครองข้อมูลส่วนบุคคล สิทธิของเจ้าของข้อมูลส่วนบุคคล และการร้องเรียน สำหรับข้อมูลส่วนบุคคลที่ถูกส่งหรือโอนไปยังต่างประเทศ

(3) มีมาตรการในการคุ้มครองข้อมูลส่วนบุคคลและมาตรการรักษาความมั่นคงปลอดภัยที่สอดคล้องกับกฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคล โดยมาตรการรักษาความมั่นคงปลอดภัยจะต้องเป็นไปตามมาตรฐานขั้นต่ำตามที่กฎหมายกำหนดด้วย

**หมวด 2 มาตรการคุ้มครองที่เหมาะสม (Appropriate Safeguards)**

ข้อ 8 ในกรณีที่ยังไม่มีคำวินิจฉัยเกี่ยวกับมาตรฐานการคุ้มครองข้อมูลส่วนบุคคลที่เพียงพอของประเทศปลายทางหรือองค์การระหว่างประเทศที่รับข้อมูลส่วนบุคคลของคณะกรรมการตาม[มาตรา 28](https://link.pdpalawbase.com/section/28.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 หรือยังไม่มีนโยบายในการคุ้มครองข้อมูลส่วนบุคคลตามข้อ 5 ผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคลอาจส่งหรือโอนข้อมูลส่วนบุคคลไปยังต่างประเทศได้โดยได้รับยกเว้นไม่ต้องปฏิบัติตาม[มาตรา 28](https://link.pdpalawbase.com/section/28.md) เมื่อได้จัดให้มีมาตรการคุ้มครองที่เหมาะสม (appropriate safeguards) ซึ่งสามารถบังคับตามสิทธิของเจ้าของข้อมูลส่วนบุคคลได้ และมีมาตรการเยียวยาทางกฎหมายที่มีประสิทธิภาพ

มาตรการคุ้มครองที่เหมาะสมตามวรรคหนึ่ง อาจอยู่ในรูปแบบ ดังนี้

(1) ข้อสัญญาที่เป็นไปตามข้อสัญญาในการส่งหรือโอนข้อมูลส่วนบุคคลที่เป็นที่ยอมรับ ซึ่งเป็นข้อสัญญาในการคุ้มครองข้อมูลส่วนบุคคล ในส่วนที่เกี่ยวกับการส่งหรือโอนข้อมูลส่วนบุคคลข้ามพรมแดน หรือการส่งหรือโอนข้อมูลส่วนบุคคลระหว่างประเทศ ที่คณะกรรมการกำหนดให้ผู้ส่งหรือโอนข้อมูลส่วนบุคคลและผู้รับข้อมูลส่วนบุคคลใช้เพื่อกำหนดหน้าที่และเงื่อนไขของคู่สัญญา เพื่อให้มีมาตรการคุ้มครองข้อมูลส่วนบุคคลที่เหมาะสม

(2) การรับรอง (certification) เกี่ยวกับการเก็บรวบรวม ใช้ และเปิดเผยข้อมูลส่วนบุคคลของผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคล ในส่วนที่เกี่ยวกับการส่งหรือโอนข้อมูลส่วนบุคคลข้ามพรมแดน หรือการส่งหรือโอนข้อมูลส่วนบุคคลระหว่างประเทศ ว่ามีมาตรการคุ้มครองข้อมูลส่วนบุคคลที่เหมาะสม โดยเป็นไปตามมาตรฐานที่เป็นที่ยอมรับ

(3) ข้อกำหนดมาตรการคุ้มครองข้อมูลส่วนบุคคลในตราสารหรือข้อตกลงที่มีผลผูกพันทางกฎหมายและสามารถใช้บังคับได้ระหว่างหน่วยงานของรัฐของประเทศไทยกับหน่วยงานของรัฐของประเทศอื่น ในกรณีการส่งหรือโอนข้อมูลส่วนบุคคลระหว่างหน่วยงานของรัฐของประเทศไทยกับหน่วยงานของรัฐของประเทศอื่นนั้น

ข้อ 9 มาตรการคุ้มครองที่เหมาะสมตามข้อ 8 ต้องเป็นไปตามหลักเกณฑ์ ดังต่อไปนี้

(1) การมีผลและสภาพบังคับในทางกฎหมายของมาตรการคุ้มครองข้อมูลส่วนบุคคลและมาตรการเยียวยาทางกฎหมายกับนิติบุคคลหรือบุคคลธรรมดาที่เป็นผู้ส่งหรือโอนข้อมูลส่วนบุคคลและผู้รับข้อมูลส่วนบุคคล ตลอดจนผู้ประมวลผลข้อมูลส่วนบุคคลที่เกี่ยวข้อง ไม่ว่าผู้ส่งหรือโอนข้อมูลส่วนบุคคลและผู้รับข้อมูลส่วนบุคคลนั้นจะเป็นผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคลก็ตาม ทั้งนี้ มาตรการคุ้มครองที่เหมาะสมดังกล่าวต้องสอดคล้องกับกฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคล และต้องมีผลผูกพันต่อบุคลากร พนักงาน ลูกจ้าง หรือบุคคลที่เกี่ยวข้องกับผู้ส่งหรือโอนข้อมูลส่วนบุคคลและผู้รับข้อมูลส่วนบุคคลด้วย

(2) ข้อกำหนดที่รับรองการคุ้มครองข้อมูลส่วนบุคคล สิทธิของเจ้าของข้อมูลส่วนบุคคล และการร้องเรียน สำหรับข้อมูลส่วนบุคคลที่ถูกส่งหรือโอนไปยังต่างประเทศ

(3) มีมาตรการในการคุ้มครองข้อมูลส่วนบุคคลและมาตรการรักษาความมั่นคงปลอดภัยที่สอดคล้องกับกฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคล โดยมาตรการรักษาความมั่นคงปลอดภัยจะต้องเป็นไปตามมาตรฐานขั้นต่ำตามกฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคลด้วย

ข้อ 10 ภายใต้บังคับข้อ 9 ข้อสัญญาในเรื่องการส่งหรือโอนข้อมูลส่วนบุคคลตามข้อ 8 วรรคสอง (1) จะต้องมีลักษณะอย่างใดอย่างหนึ่ง ดังต่อไปนี้

(1) ข้อสัญญาที่คู่สัญญาจัดทำขึ้นและมีผลผูกพันที่มีเนื้อหาและข้อกำหนดที่เกี่ยวข้องกับการคุ้มครองข้อมูลส่วนบุคคล ดังนี้

(ก) การเก็บรวบรวม ใช้ และเปิดเผยข้อมูลส่วนบุคคล รวมถึงการส่งหรือโอนข้อมูลส่วนบุคคลไปยังผู้รับข้อมูลส่วนบุคคล ต้องเป็นไปตามกฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคล

(ข) ผู้ส่งหรือโอนข้อมูลส่วนบุคคลและผู้รับข้อมูลส่วนบุคคลต้องจัดให้มีมาตรการรักษาความมั่นคงปลอดภัย โดยต้องเป็นไปตามมาตรฐานขั้นต่ำตามกฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคล

(ค) กรณีผู้รับข้อมูลส่วนบุคคลเป็นผู้ประมวลผลข้อมูลส่วนบุคคล

1) ผู้รับข้อมูลส่วนบุคคลต้องเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลตามคำสั่งหรือในนามของผู้ส่งหรือโอนข้อมูลส่วนบุคคล และตามวัตถุประสงค์ที่ผู้ส่งหรือโอนข้อมูลส่วนบุคคลกำหนดไว้เท่านั้น

2) ผู้รับข้อมูลส่วนบุคคลจะต้องติดต่อผู้ส่งหรือโอนข้อมูลส่วนบุคคลในโอกาสแรกที่ทำได้ หากเจ้าของข้อมูลส่วนบุคคลขอใช้สิทธิของเจ้าของข้อมูลส่วนบุคคล ตามกฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคล เว้นแต่ผู้ส่งหรือโอนข้อมูลส่วนบุคคลจะมอบหมายให้ผู้รับข้อมูลส่วนบุคคลดำเนินการตามคำขอใช้สิทธิดังกล่าวแทนผู้ส่งหรือโอนข้อมูลส่วนบุคคล

3) ผู้รับข้อมูลส่วนบุคคลต้องส่งคืนข้อมูลส่วนบุคคลตามข้อสัญญาแก่ผู้ส่งหรือโอนข้อมูลส่วนบุคคล หรือลบหรือทำลายข้อมูลส่วนบุคคล หรือทำให้ข้อมูลส่วนบุคคลเป็นข้อมูลที่ไม่สามารถระบุตัวบุคคลที่เป็นเจ้าของข้อมูลส่วนบุคคลได้ โดยวิธีการที่เหมาะสม ตามหลักเกณฑ์และเงื่อนไขที่ผู้ส่งหรือโอนข้อมูลส่วนบุคคลกำหนด และผู้รับข้อมูลส่วนบุคคลจะต้องยืนยันเป็นลายลักษณ์อักษรต่อผู้ส่งหรือโอนข้อมูลส่วนบุคคลเมื่อมีการดำเนินการดังกล่าวแล้ว

4) ผู้รับข้อมูลส่วนบุคคลต้องแจ้งเหตุการละเมิดข้อมูลส่วนบุคคลตามกฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคลแก่ผู้ส่งหรือโอนข้อมูลส่วนบุคคลโดยไม่ชักช้าภายในเจ็ดสิบสองชั่วโมงนับแต่ทราบเหตุเท่าที่จะสามารถกระทำได้

(ง) กรณีผู้รับข้อมูลส่วนบุคคลเป็นผู้ควบคุมข้อมูลส่วนบุคคล ผู้รับข้อมูลส่วนบุคคลต้องแจ้งเหตุการละเมิดข้อมูลส่วนบุคคลตามกฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคลแก่ผู้ส่งหรือโอนข้อมูลส่วนบุคคลด้วยในกรณีที่ผู้ส่งหรือโอนข้อมูลส่วนบุคคลเป็นผู้ควบคุมข้อมูลส่วนบุคคล ซึ่งต้องแจ้งโดยไม่ชักช้าภายในเจ็ดสิบสองชั่วโมงนับแต่ทราบเหตุเท่าที่จะสามารถกระทำได้ เว้นแต่การละเมิดดังกล่าวไม่มีความเสี่ยงที่จะมีผลกระทบต่อสิทธิและเสรีภาพของบุคคล

(จ) ต้องมีมาตรการเยียวยาทางกฎหมายแก่เจ้าของข้อมูลส่วนบุคคลหรือสิทธิของเจ้าของข้อมูลส่วนบุคคลที่จะได้รับการเยียวยาตามกฎหมายที่มีประสิทธิภาพ (effective legal remedies)

(2) ข้อสัญญาที่คู่สัญญาจัดทำขึ้นตามกฎหมายของต่างประเทศ หรือจัดทำโดยองค์การระหว่างประเทศ และมีเนื้อหาและข้อกำหนดที่เกี่ยวข้องกับการคุ้มครองข้อมูลส่วนบุคคล โดยใช้ข้อสัญญาต้นแบบอย่างใดอย่างหนึ่ง ดังนี้

(ก) ข้อสัญญาต้นแบบของอาเซียนสำหรับการไหลเวียนข้อมูลข้ามพรมแดน (ASEAN Model Contractual Clauses for Cross Border Data Flows)

(ข) ข้อสัญญามาตรฐานสำหรับการโอนข้อมูลส่วนบุคคลไปยังต่างประเทศ (Standard Contractual Clauses for the Transfer of Personal Data to Third Countries) ที่ออกตามความใน Article 46 (1) ประกอบ Article 46 (2) (c) และ Article 28 (7) ของกฎหมาย Regulation (EU) 2016/679 ของสหภาพยุโรป (European Union) หรือ General Data Protection Regulation (GDPR)

(ค) ข้อสัญญามาตรฐานสำหรับการส่งหรือโอนข้อมูลส่วนบุคคลไปยังต่างประเทศของหน่วยงาน หรือองค์การระหว่างประเทศอื่นตามที่คณะกรรมการประกาศกำหนด

ข้อ 11 ข้อสัญญาตามข้อ 10 (2) ต้องมีเนื้อหาเกี่ยวกับการคุ้มครองข้อมูลส่วนบุคคลในเรื่องดังต่อไปนี้

(1) มาตรการแจ้งการส่งหรือโอนข้อมูลส่วนบุคคลให้เจ้าของข้อมูลส่วนบุคคลทราบ

(2) มาตรการจำกัดการส่งหรือโอนข้อมูลส่วนบุคคลให้เป็นไปเท่าที่จำเป็นและเกี่ยวข้องกับการเก็บรวบรวม ใช้ และเปิดเผยข้อมูลส่วนบุคคลเท่านั้น

(3) มาตรการทางเลือกแก่เจ้าของข้อมูลส่วนบุคคล ในการใช้สิทธิยกเลิกการส่งหรือโอนข้อมูลส่วนบุคคลไปยังบุคคลภายนอกหรือยกเลิกการใช้ข้อมูลส่วนบุคคลนอกขอบเขตวัตถุประสงค์

(4) มาตรการกำหนดความรับผิดชอบในการส่งหรือโอนข้อมูลส่วนบุคคลไว้ในสัญญาเพื่อกำหนดมาตรการคุ้มครองข้อมูลส่วนบุคคลที่เหมาะสม รวมถึงการคุ้มครองการส่งหรือโอนข้อมูลส่วนบุคคลไปยังบุคคลภายนอก

(5) มาตรการรักษาความมั่นคงปลอดภัยในการส่งหรือโอนข้อมูลส่วนบุคคลเพื่อมิให้เกิดการละเมิดข้อมูลส่วนบุคคล

(6) มาตรการในการกำหนดสิทธิการเข้าถึงข้อมูลส่วนบุคคล การดำเนินการให้ข้อมูลส่วนบุคคลนั้นถูกต้อง เป็นปัจจุบัน สมบูรณ์ และไม่ก่อให้เกิดความเข้าใจผิด และการลบหรือทำลายหรือทำให้ข้อมูลส่วนบุคคลเป็นข้อมูลที่ไม่สามารถระบุตัวบุคคลที่เป็นเจ้าของข้อมูลส่วนบุคคลได้

(7) มาตรการเยียวยาความเสียหายในทางกฎหมายที่มีประสิทธิภาพ การบังคับใช้กฎหมาย และการกำหนดความรับผิด อันเกิดจากการส่งหรือโอนข้อมูลส่วนบุคคลโดยมิชอบ

ข้อ 12 ในกรณีที่มีการใช้ข้อสัญญาตามข้อ 10 (2) หากมีการอ้างอิงกฎหมายที่ใช้บังคับ การแก้ไขเพิ่มเติมเนื้อหาเรื่องอื่นในข้อสัญญา หรือเพิ่มเติมมาตรการคุ้มครองข้อมูลส่วนบุคคลที่เหมาะสม หรือการแก้ไขเพิ่มเติมเนื้อหาในส่วนที่ไม่ใช่สาระสำคัญ ซึ่งไม่ขัดต่อหลักการตามข้อ 11 และไม่มีผลกระทบต่อสิทธิและเสรีภาพของเจ้าของข้อมูลส่วนบุคคล ให้สามารถกระทำได้

ข้อ 13 ให้สำนักงานเผยแพร่ข้อมูลและรายละเอียดของข้อสัญญาต้นแบบตามข้อ 10 (2) ผ่านเว็บไซต์ของสำนักงานด้วย

ข้อ 14 การรับรอง (certification) เกี่ยวกับการเก็บรวบรวม ใช้ และเปิดเผยข้อมูลส่วนบุคคลของผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคล ในส่วนที่เกี่ยวกับการส่งหรือโอนข้อมูลส่วนบุคคลข้ามพรมแดน หรือการส่งหรือโอนข้อมูลส่วนบุคคลระหว่างประเทศ ว่ามีมาตรการคุ้มครองข้อมูลส่วนบุคคลที่เหมาะสม (appropriate safeguards) โดยเป็นไปตามมาตรฐานที่เป็นที่ยอมรับ ตามข้อ 8 วรรคสอง (2) ให้เป็นไปตามที่คณะกรรมการประกาศกำหนด ซึ่งจะต้องมีเนื้อหาตามข้อ 11 ด้วย

ประกาศ ณ วันที่ 12 ธันวาคม พ.ศ. 2566

เธียรชัย ณ นคร

ประธานกรรมการคุ้มครองข้อมูลส่วนบุคคล

## เหตุผลและฐานอำนาจ

อาศัยอำนาจตามความใน[มาตรา 16](https://link.pdpalawbase.com/section/16.md) (4) และ (5) ประกอบ[มาตรา 29](https://link.pdpalawbase.com/section/29.md) วรรคสองและวรรคสาม แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 คณะกรรมการคุ้มครองข้อมูลส่วนบุคคล จึงออกประกาศไว้ ดังต่อไปนี้ (ประกาศฉบับนี้ไม่มีย่อหน้าเหตุผล "โดยที่..." ใน preamble)

## เอกสารต้นฉบับ

- [PDF ต้นฉบับ (local)](../../raw/notifications/notification-7.2.pdf)
- [ที่มา: pdpc.or.th](https://www.pdpc.or.th/2507/)

หมายเหตุ: วันที่มีผลใช้บังคับ (24 มีนาคม 2567) คำนวณจากวันประกาศในราชกิจจานุเบกษา 25 ธันวาคม 2566 + 90 วัน ตามข้อ 2 ของประกาศ — วันประกาศราชกิจจาฯ ต่างจากวันลงนาม (ประกาศ ณ วันที่ 12 ธันวาคม 2566) ฉบับนี้ลงราชกิจจาฯ พร้อมประกาศฉบับมาตรา 28 ในวันเดียวกัน

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/notification/7-2.md

============================================================
โนด: ประกาศ 7.3
ลิงก์อ้างอิง: https://link.pdpalawbase.com/notification/7-3.md

# ระเบียบสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล ว่าด้วยการตรวจสอบและรับรองนโยบายในการคุ้มครองข้อมูลส่วนบุคคลในเครือกิจการหรือเครือธุรกิจเดียวกัน พ.ศ. 2568

## ใจความสำคัญ

ระเบียบฉบับนี้เป็นกฎหมายลำดับรองชั้นปฏิบัติการที่ออกโดย**สำนักงาน**คณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (ต่างจากประกาศส่วนใหญ่ในชุดนี้ที่ออกโดยคณะกรรมการ) วางขั้นตอนการตรวจสอบและรับรองนโยบายในการคุ้มครองข้อมูลส่วนบุคคลในเครือกิจการหรือเครือธุรกิจเดียวกัน (Binding Corporate Rules — BCR) ซึ่งเป็นเครื่องมือส่งหรือโอนข้อมูลส่วนบุคคลไปต่างประเทศตาม [มาตรา 29](https://link.pdpalawbase.com/section/29.md) ที่ [ประกาศหลักเกณฑ์ตามมาตรา 29 พ.ศ. 2566](https://link.pdpalawbase.com/notification/7-2.md) กำหนดไว้ในข้อ 5-7 ใช้บังคับตั้งแต่วันประกาศ (29 กันยายน 2568)

- แยก BCR เป็น 2 ประเภท: BCR for Controllers (BCR-C) และ BCR for Processors (BCR-P) พร้อมนิยามกลไกผูกพัน — สมาชิกของนโยบาย, สมาชิกของนโยบายผู้รับผิด (Liable BCR Member ที่ตั้งในไทยและรับผิดชดใช้แทนสมาชิกนอกราชอาณาจักร), ข้อตกลงระหว่างเครือกิจการ (IGA) และสิทธิของบุคคลภายนอกผู้รับประโยชน์ (ข้อ 3, ข้อ 6)
- ผู้ยื่นคำขอต้องเป็นสมาชิกของเครือกิจการที่จัดตั้งตามกฎหมายไทย — เป็นสำนักงานใหญ่ในราชอาณาจักร หรือสมาชิกที่ได้รับมอบหมายด้านคุ้มครองข้อมูล และต้องเป็นนิติบุคคลเดียวกับสมาชิกของนโยบายผู้รับผิด (ข้อ 7)
- เอกสารประกอบคำขอเป็นภาษาไทยอย่างน้อย 8 รายการ เช่น ตัวนโยบายฉบับสมบูรณ์ เครื่องมือกำหนดสภาพบังคับ (IGA) และตารางตรวจสอบองค์ประกอบ (Referential Checklist) (ข้อ 8)
- มีกระบวนการพิเศษ (fast track) สำหรับ BCR ที่ได้รับการรับรองจากหน่วยงานกำกับดูแลของ EU / UK GDPR หรือประเทศที่คณะกรรมการกำหนดตาม [มาตรา 28](https://link.pdpalawbase.com/section/28.md) แล้ว — ยื่นหลักฐานการรับรอง + สำเนานโยบาย + เอกสาร "ข้อกำหนดเพิ่มเติมสำหรับประเทศไทย" (Thai BCR Addendum) แทนเอกสารเต็มชุดได้ (ข้อ 11)
- สำนักงานพิจารณาเนื้อหา 6 ด้าน: สภาพบังคับทางกฎหมาย / การบังคับใช้อย่างมีประสิทธิผล / หน้าที่ให้ความร่วมมือกับสำนักงาน / ข้อกำหนดรับรองสิทธิและการร้องเรียน / มาตรการคุ้มครองและความมั่นคงปลอดภัยขั้นต่ำ / กลไกความรับผิดชอบ เช่น ROPA (ข้อ 12)
- กรอบเวลา: ตรวจความครบถ้วนของเอกสาร 15 วัน (ข้อ 13) พิจารณาเนื้อหาให้เสร็จภายใน 180 วัน (ข้อ 16) ผลพิจารณา 3 แบบ — รับรอง / รับรองโดยมีเงื่อนไข / ไม่รับรอง (ข้อ 15) การรับรองไม่มีวันหมดอายุ (ข้อ 17) อุทธรณ์ได้ตามกฎหมายวิธีปฏิบัติราชการทางปกครอง (ข้อ 18) และไม่มีค่าธรรมเนียม (ข้อ 19)
- บทเฉพาะกาลรองรับคำขอที่ยื่น/ตรวจสอบ/รับรองไว้ก่อนระเบียบใช้บังคับให้เดินหน้าต่อได้ (ข้อ 20-21)

## ตัวบท

ข้อ 1 ระเบียบนี้เรียกว่า "ระเบียบสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลว่าด้วยการตรวจสอบและรับรองนโยบายในการคุ้มครองข้อมูลส่วนบุคคลในเครือกิจการหรือเครือธุรกิจเดียวกัน พ.ศ. 2568"

ข้อ 2 ระเบียบนี้ให้ใช้บังคับตั้งแต่วันประกาศเป็นต้นไป

ข้อ 3 ในระเบียบนี้

"นโยบายในการคุ้มครองข้อมูลส่วนบุคคลในเครือกิจการหรือเครือธุรกิจเดียวกัน (Binding Corporate Rules หรือ BCR)" หมายความว่า นโยบายหรือข้อตกลงในการคุ้มครองข้อมูลส่วนบุคคลที่ผู้ส่งหรือโอนข้อมูลส่วนบุคคลและผู้รับข้อมูลส่วนบุคคลตกลงร่วมกันและมีผลผูกพัน เพื่อกำหนดมาตรการคุ้มครองข้อมูลส่วนบุคคลที่เหมาะสมระหว่างเครือกิจการหรือเครือธุรกิจเดียวกัน

"นโยบายในการคุ้มครองข้อมูลส่วนบุคคลในเครือกิจการหรือเครือธุรกิจเดียวกันสำหรับผู้ควบคุมข้อมูลส่วนบุคคล (BCR for Controllers หรือ BCR-C)" หมายความว่า นโยบายหรือข้อตกลงในการคุ้มครองข้อมูลส่วนบุคคลที่ผู้ส่งหรือโอนข้อมูลส่วนบุคคลและผู้รับข้อมูลส่วนบุคคลตกลงร่วมกันและมีผลผูกพัน เพื่อกำหนดมาตรการคุ้มครองข้อมูลส่วนบุคคลที่เหมาะสมระหว่างเครือกิจการหรือเครือธุรกิจเดียวกันที่ใช้บังคับในกรณีที่สมาชิกของนโยบายทำการส่งหรือโอนและประมวลผลข้อมูลส่วนบุคคลในฐานะผู้ควบคุมข้อมูลส่วนบุคคล

"นโยบายในการคุ้มครองข้อมูลส่วนบุคคลในเครือกิจการหรือเครือธุรกิจเดียวกันสำหรับผู้ประมวลผลข้อมูลส่วนบุคคล (BCR for Processors หรือ BCR-P)" หมายความว่า นโยบายหรือข้อตกลงในการคุ้มครองข้อมูลส่วนบุคคลที่ผู้ส่งหรือโอนข้อมูลส่วนบุคคลและผู้รับข้อมูลส่วนบุคคลตกลงร่วมกันและมีผลผูกพัน เพื่อกำหนดมาตรการคุ้มครองข้อมูลส่วนบุคคลที่เหมาะสมระหว่างเครือกิจการหรือเครือธุรกิจเดียวกันที่ใช้บังคับในกรณีที่สมาชิกของนโยบายทำการส่งหรือโอนข้อมูลส่วนบุคคลในฐานะผู้ประมวลผลข้อมูลส่วนบุคคลตามคำสั่งหรือในนามของผู้ควบคุมข้อมูลส่วนบุคคลซึ่งเป็นบุคคลภายนอก

"เครือกิจการหรือเครือธุรกิจเดียวกัน" หมายความว่า กิจการที่ผู้ประกอบกิจการมีอำนาจควบคุมหรือบริหารจัดการเหนือกิจการอื่น หรือกิจการที่ถูกควบคุมโดยผู้ประกอบกิจการที่มีอำนาจเหนือกิจการอื่น ในรูปแบบบริษัทใหญ่ บริษัทย่อย หรือบริษัทร่วม รวมทั้งบุคคลธรรมดาหรือนิติบุคคลที่มีความเกี่ยวข้องกันทางกฎหมายหรือเกี่ยวข้องกันเนื่องจากประกอบกิจการหรือธุรกิจร่วมกัน โดยใช้หลักเกณฑ์การพิจารณาตามกฎหมายที่เกี่ยวข้องและมาตรฐานทางบัญชีอันเป็นที่ยอมรับโดยทั่วไป

"สมาชิกของนโยบาย (BCR Member)" หมายความว่า นิติบุคคลภายในเครือกิจการหรือเครือธุรกิจเดียวกันที่ตกลงผูกพันตนตามข้อกำหนดของนโยบายในการคุ้มครองข้อมูลส่วนบุคคลในเครือกิจการหรือเครือธุรกิจเดียวกัน

"สมาชิกของนโยบายผู้รับผิด (Liable BCR Member)" หมายความว่า สมาชิกของนโยบายที่จัดตั้งขึ้นในราชอาณาจักรและมีสำนักงานอยู่ในราชอาณาจักรที่ได้รับการระบุไว้อย่างชัดแจ้งในนโยบายในการคุ้มครองข้อมูลส่วนบุคคลในเครือกิจการหรือเครือธุรกิจเดียวกันว่าตกลงยอมรับผิดและรับผิดชอบในการชดใช้ค่าสินไหมทดแทนสำหรับความเสียหายใด ๆ ที่เกิดจากการละเมิดนโยบายโดยสมาชิกของนโยบายรายอื่นที่อยู่นอกราชอาณาจักร เพื่อเป็นหลักประกันว่าเจ้าของข้อมูลส่วนบุคคลในราชอาณาจักรจะมีช่องทางที่เข้าถึงกระบวนการร้องเรียนได้อย่างมีประสิทธิภาพ และได้รับการเยียวยาความเสียหายผ่านกระบวนการร้องเรียนหรือการใช้สิทธิทางศาลในราชอาณาจักรได้

"ข้อตกลงระหว่างเครือกิจการหรือเครือธุรกิจเดียวกัน (Intra-Group Agreement - IGA)" หมายความว่า สัญญาหรือข้อตกลงที่เป็นลายลักษณ์อักษรซึ่งจัดทำขึ้นระหว่างสมาชิกของนโยบาย เพื่อกำหนดสภาพบังคับทางกฎหมายภายในเครือกิจการหรือเครือธุรกิจเดียวกันให้นโยบายในการคุ้มครองข้อมูลส่วนบุคคลในเครือกิจการหรือเครือธุรกิจเดียวกันมีผลผูกพันกับสมาชิกทุกราย

"สิทธิของบุคคลภายนอกผู้รับประโยชน์ (Third-Party Beneficiary Rights)" หมายความว่า สิทธิที่นโยบายในการคุ้มครองข้อมูลส่วนบุคคลในเครือกิจการหรือเครือธุรกิจเดียวกันกำหนดขึ้นอย่างชัดแจ้งโดยไม่มีเงื่อนไข เพื่อให้เจ้าของข้อมูลส่วนบุคคลสามารถใช้สิทธิตามนโยบาย หรือฟ้องร้องบังคับคดีตามข้อกำหนดในนโยบายได้โดยตรงต่อสมาชิกของนโยบายเสมือนหนึ่งเป็นคู่สัญญา

"สำนักงาน" หมายความว่า สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล

"เลขาธิการ" หมายความว่า เลขาธิการคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล

"พนักงาน" หมายความว่า บุคคลผู้ที่สำนักงานบรรจุและแต่งตั้งเป็นพนักงาน โดยมีการกำหนดเงื่อนไขการจ้างตามที่ระบุในสัญญาการปฏิบัติงานหรือข้อตกลงการจ้าง

"พนักงานผู้รับผิดชอบ (Case Officer)" หมายความว่า พนักงานที่ผู้อำนวยการสำนักตรวจสอบและกำกับดูแลมอบหมายให้พิจารณาเนื้อหาของนโยบายในการคุ้มครองข้อมูลส่วนบุคคลในเครือกิจการหรือเครือธุรกิจเดียวกัน พร้อมจัดทำความเห็นเสนอผู้บังคับบัญชาตามลำดับ

**หมวด 1 บททั่วไป**

**ส่วนที่ 1 ขอบเขตการบังคับใช้**

ข้อ 4 ระเบียบนี้ให้ใช้เป็นแนวทางในการพิจารณาการยื่นคำขอ การพิจารณา การตรวจสอบและรับรอง และการกำกับดูแลนโยบายในการคุ้มครองข้อมูลส่วนบุคคลในเครือกิจการหรือเครือธุรกิจเดียวกัน สำหรับการส่งหรือโอนข้อมูลส่วนบุคคลจากประเทศไทยโดยผู้ส่งหรือโอนข้อมูลส่วนบุคคลซึ่งอยู่ในราชอาณาจักรไปยังผู้รับข้อมูลส่วนบุคคลซึ่งอยู่ต่างประเทศและอยู่ในเครือกิจการหรือเครือธุรกิจเดียวกันเพื่อการประกอบกิจการหรือธุรกิจร่วมกัน โดยประเทศปลายทางนั้นอาจมีหรือไม่มีมาตรฐานการคุ้มครองข้อมูลส่วนบุคคลที่เพียงพอตามที่คณะกรรมการคุ้มครองข้อมูลส่วนบุคคลประกาศกำหนดก็ได้

ระเบียบนี้ครอบคลุมนโยบายในการคุ้มครองข้อมูลส่วนบุคคลในเครือกิจการหรือเครือธุรกิจเดียวกัน ทั้งสองประเภท ได้แก่ นโยบายในการคุ้มครองข้อมูลส่วนบุคคลในเครือกิจการหรือเครือธุรกิจเดียวกันสำหรับผู้ควบคุมข้อมูลส่วนบุคคล (BCR for Controllers หรือ BCR-C) และนโยบายในการคุ้มครองข้อมูลส่วนบุคคลในเครือกิจการหรือเครือธุรกิจเดียวกันสำหรับผู้ประมวลผลข้อมูลส่วนบุคคล (BCR for Processors หรือ BCR-P)

**หมวด 2 หลักการพื้นฐานและประเภทของนโยบายในการคุ้มครองข้อมูลส่วนบุคคลในเครือกิจการหรือเครือธุรกิจเดียวกัน**

**ส่วนที่ 1 สถานะทางกฎหมายของนโยบาย**

ข้อ 5 นโยบายในการคุ้มครองข้อมูลส่วนบุคคลในเครือกิจการหรือเครือธุรกิจเดียวกันที่ได้รับการตรวจสอบและรับรองตามระเบียบนี้ เป็นหนึ่งในเครื่องมือในการส่งหรือโอนข้อมูลส่วนบุคคลไปยังต่างประเทศตาม[มาตรา 29](https://link.pdpalawbase.com/section/29.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562

**ส่วนที่ 2 การจำแนกประเภทของนโยบาย**

ข้อ 6 ประเภทของนโยบายในการคุ้มครองข้อมูลส่วนบุคคลในเครือกิจการหรือเครือธุรกิจเดียวกัน อาจจำแนกได้สองประเภท ได้แก่ นโยบายในการคุ้มครองข้อมูลส่วนบุคคลในเครือกิจการหรือเครือธุรกิจเดียวกันสำหรับผู้ควบคุมข้อมูลส่วนบุคคล (BCR for Controllers หรือ BCR-C) หรือนโยบายในการคุ้มครองข้อมูลส่วนบุคคลในเครือกิจการหรือเครือธุรกิจเดียวกันสำหรับผู้ประมวลผลข้อมูลส่วนบุคคล (BCR for Processors หรือ BCR-P)

**หมวด 3 การยื่นคำขอตรวจสอบและรับรองนโยบายในการคุ้มครองข้อมูลส่วนบุคคลในเครือกิจการหรือเครือธุรกิจเดียวกัน**

**ส่วนที่ 1 การพิจารณาคุณสมบัติของผู้ยื่นคำขอตรวจสอบและรับรอง**

ข้อ 7 ผู้ยื่นคำขอต้องเป็นสมาชิกของเครือกิจการหรือเครือธุรกิจเดียวกัน ในการพิจารณาคำขอตรวจสอบและรับรองนโยบาย ให้สำนักงานพิจารณาว่าผู้ยื่นคำขอนั้นได้จัดตั้งขึ้นตามกฎหมายไทยและมีสถานประกอบการในราชอาณาจักรหรือไม่ โดยสำนักงานอาจพิจารณาจากลักษณะอย่างใดอย่างหนึ่ง ดังต่อไปนี้

(1) เป็นสำนักงานใหญ่ของเครือกิจการหรือเครือธุรกิจเดียวกันในราชอาณาจักร

(2) ในกรณีที่เครือกิจการหรือเครือธุรกิจเดียวกันไม่มีสำนักงานใหญ่ในราชอาณาจักร ผู้ยื่นคำขอต้องเป็นสมาชิกที่ได้รับมอบหมายให้มีหน้าที่รับผิดชอบด้านการคุ้มครองข้อมูลส่วนบุคคลในราชอาณาจักร

นิติบุคคลผู้ยื่นคำขอตามวรรคหนึ่ง ต้องเป็นนิติบุคคลเดียวกับที่ถูกกำหนดให้เป็นสมาชิกของนโยบายผู้รับผิด

**ส่วนที่ 2 การตรวจเอกสารประกอบคำขอตรวจสอบและรับรอง**

ข้อ 8 ให้ผู้ยื่นคำขอจัดทำคำขอและเอกสารประกอบคำขอตรวจสอบและรับรองเป็นภาษาไทย โดยสำนักงานอาจกำหนดแบบสำหรับการยื่นคำขอเพื่ออำนวยความสะดวกก็ได้ กรณีที่เอกสารประกอบคำขอเป็นภาษาต่างประเทศ เพื่อความสะดวกรวดเร็วและสอดคล้องกับกฎหมายว่าด้วยวิธีปฏิบัติราชการทางปกครอง ผู้ยื่นคำขอควรจัดทำคำแปลเป็นภาษาไทยที่มีการรับรองความถูกต้องมาพร้อมด้วย ซึ่งประกอบด้วยเอกสารอย่างน้อย ดังต่อไปนี้

(1) คำขอให้ตรวจสอบและรับรองนโยบายในการคุ้มครองข้อมูลส่วนบุคคลในเครือกิจการหรือเครือธุรกิจเดียวกันตามประเภทที่ถูกต้อง (BCR-C หรือ BCR-P) โดยต้องมีรายละเอียดสำคัญถูกต้องครบถ้วนตามที่กำหนดไว้ในข้อ 7 ของประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง หลักเกณฑ์การให้ความคุ้มครองข้อมูลส่วนบุคคลที่ส่งหรือโอนไปยังต่างประเทศตาม[มาตรา 29](https://link.pdpalawbase.com/section/29.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 พ.ศ. 2566

(2) เอกสารนโยบายในการคุ้มครองข้อมูลส่วนบุคคลในเครือกิจการหรือเครือธุรกิจเดียวกัน ฉบับสมบูรณ์พร้อมภาคผนวกของนโยบายนั้นทั้งหมด เช่น รายชื่อสมาชิกของนโยบายที่ผูกพันตามนโยบาย

(3) เครื่องมือทางกฎหมายที่ใช้กำหนดสภาพบังคับ (Binding Instrument) เช่น ร่างข้อตกลงระหว่างเครือกิจการ (Intra-Group Agreement - IGA)

(4) เพื่อประโยชน์ในการพิจารณาคำขอให้เป็นไปอย่างรวดเร็วและมีประสิทธิภาพ ผู้ยื่นคำขออาจนำส่งตารางตรวจสอบองค์ประกอบและหลักการ (Referential Checklist) ตามประเภทของนโยบายที่ถูกต้อง (BCR-C หรือ BCR-P) เพื่อใช้ในการประกอบการพิจารณาคำขอให้ตรวจสอบและรับรองนโยบายในการคุ้มครองข้อมูลส่วนบุคคลในเครือกิจการหรือเครือธุรกิจเดียวกัน โดยตารางตรวจสอบองค์ประกอบและหลักการดังกล่าวควรมีการอ้างอิงข้อกำหนดแต่ละข้อตามระเบียบนี้ไปยังเนื้อหาส่วนที่เกี่ยวข้องในเอกสารนโยบายในการคุ้มครองข้อมูลส่วนบุคคลในเครือกิจการหรือเครือธุรกิจเดียวกัน และเครื่องมือทางกฎหมายที่ใช้กำหนดสภาพบังคับ

(5) เอกสารประกอบอื่น ๆ ที่มีการอ้างอิงถึงในนโยบาย (ถ้ามี) เช่น นโยบายการคุ้มครองข้อมูลส่วนบุคคลฉบับเต็ม ระเบียบปฏิบัติด้านการตรวจสอบ หรือเอกสารการฝึกอบรม

(6) หนังสือรับรองความเป็นนิติบุคคลที่รับรองโดยหน่วยงานของรัฐในราชอาณาจักรที่มีอำนาจ

(7) หนังสือมอบอำนาจให้ยื่นคำขอตรวจสอบและรับรองแทนที่มีรายละเอียดเรื่องที่มอบอำนาจและติดอากรแสตมป์ที่ถูกต้องครบถ้วน และลงนามโดยผู้มอบอำนาจและผู้รับมอบอำนาจ พร้อมแนบสำเนาบัตรประจำตัวประชาชน สำเนาหนังสือเดินทาง หรือสำเนาเอกสารประจำตัวอื่นของผู้มอบอำนาจและผู้รับมอบอำนาจ ซึ่งออกโดยราชการซึ่งรับรองสำเนาถูกต้องโดยผู้มอบอำนาจและผู้รับมอบอำนาจ กรณีที่มีการมอบอำนาจให้ยื่นคำขอตรวจสอบและรับรองแทน

(8) เอกสารประกอบอื่น ๆ (ถ้ามี)

การรับรองคำแปลตามวรรคหนึ่ง ให้กระทำโดยทนายความผู้ได้รับใบอนุญาตให้รับรองลายมือชื่อและเอกสาร (Notary Public) หรือบุคคลตามที่ระบุไว้ในกฎกระทรวง (พ.ศ. 2540) ออกตามความในพระราชบัญญัติวิธีปฏิบัติราชการทางปกครอง พ.ศ. 2539 มาตรา 26 วรรคสอง

**ส่วนที่ 3 ช่องทางสำหรับยื่นคำขอตรวจสอบและรับรอง**

ข้อที่ 9 ให้สำนักงานจัดให้มีช่องทางสำหรับยื่นคำขอตรวจสอบและรับรอง ดังต่อไปนี้

(1) ยื่นโดยตรงต่อสำนักงาน

(2) ยื่นผ่านทางไปรษณีย์มายังสำนักงาน

(3) ยื่นผ่านทางไปรษณีย์อิเล็กทรอนิกส์

(4) ยื่นผ่านทางช่องทางอื่นใดตามที่สำนักงานกำหนด

ผู้ยื่นคำขอต้องยื่นคำขอตรวจสอบและรับรองผ่านช่องทางใดช่องทางหนึ่งตามวรรคหนึ่งเพียงช่องทางเดียวเท่านั้น

**ส่วนที่ 4 ขั้นตอนการยื่นคำขอตรวจสอบและรับรอง**

ข้อ 10 เมื่อสำนักงานได้รับคำขอแล้ว ให้ดำเนินการตามขั้นตอน ดังนี้

(1) การรับคำขอและการตรวจสอบความสมบูรณ์ (Application Receipt & Administrative Check) สำนักงานจะตรวจสอบความถูกต้องครบถ้วนของเอกสารตามข้อ 8 หากถูกต้องครบถ้วน ให้พนักงานออกใบรับคำขอ โดยระบุวันที่รับคำขอและรหัสอ้างอิงในการรับคำขอให้แก่ผู้ยื่นคำขอ หากเอกสารไม่ครบถ้วนจะแจ้งให้ผู้ยื่นคำขอจัดส่งเพิ่มเติมภายในระยะเวลาที่กำหนด

(2) การประเมินเบื้องต้นและการมอบหมายผู้รับผิดชอบ (Preliminary Assessment & Assignment) เมื่อเอกสารครบถ้วน สำนักงานจะทำการประเมินเบื้องต้นเพื่อทำความเข้าใจภาพรวมและจำแนกประเภทของนโยบายในการคุ้มครองข้อมูลส่วนบุคคลในเครือกิจการหรือเครือธุรกิจเดียวกัน พร้อมทั้งมอบหมายให้พนักงานผู้รับผิดชอบ (Case Officer) เป็นผู้ดำเนินการพิจารณาในขั้นตอนต่อไป

**ส่วนที่ 5 กระบวนการพิเศษสำหรับนโยบายในการคุ้มครองข้อมูลส่วนบุคคลในเครือกิจการหรือเครือธุรกิจเดียวกันที่ได้รับการรับรองจากหน่วยงานกำกับดูแลอื่น**

ข้อ 11 นโยบายในการคุ้มครองข้อมูลส่วนบุคคลในเครือกิจการหรือเครือธุรกิจเดียวกันที่ได้รับการตรวจสอบและรับรองตามกฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคลของสหภาพยุโรป (Regulation (EU) 2016/679 of the European Parliament and of the Council of 27 April 2016 on the protection of natural persons with regard to the processing of personal data and on the free movement of such data, and repealing Directive 95/46/EC (General Data Protection Regulation)) หรือกฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคลของสหราชอาณาจักร (UK GDPR) หรือจากประเทศตามที่คณะกรรมการคุ้มครองข้อมูลส่วนบุคคลประกาศกำหนดตาม[มาตรา 28](https://link.pdpalawbase.com/section/28.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 แล้ว ผู้ยื่นคำขออาจยื่นคำขอตรวจสอบและรับรองตามกระบวนการพิเศษได้ตามที่กำหนดไว้ในส่วนนี้

ผู้ยื่นคำขอตามวรรคหนึ่ง อาจยื่นเอกสารดังต่อไปนี้แทนเอกสารประกอบคำขอตามข้อ 8 กรณีที่เอกสารประกอบคำขอเป็นภาษาต่างประเทศ เพื่อความสะดวกรวดเร็วและสอดคล้องกับกฎหมายว่าด้วยวิธีปฏิบัติราชการทางปกครอง ผู้ยื่นคำขอควรจัดทำคำแปลเป็นภาษาไทยที่มีการรับรองความถูกต้องมาพร้อมด้วย

(1) หลักฐานที่แสดงว่านโยบายในการคุ้มครองข้อมูลส่วนบุคคลในเครือกิจการหรือเครือธุรกิจเดียวกันได้รับการรับรองจากหน่วยงานกำกับดูแล (Supervisory Authority) ที่มีอำนาจของสหภาพยุโรปหรือสหราชอาณาจักร หรือจากประเทศตามที่คณะกรรมการคุ้มครองข้อมูลส่วนบุคคลประกาศกำหนดตาม[มาตรา 28](https://link.pdpalawbase.com/section/28.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562

(2) สำเนาเอกสารนโยบายในการคุ้มครองข้อมูลส่วนบุคคลในเครือกิจการหรือเครือธุรกิจเดียวกันฉบับที่ได้รับการรับรองดังกล่าว

(3) เอกสาร "ข้อกำหนดเพิ่มเติมสำหรับประเทศไทย" (Thai BCR Addendum) ซึ่งควรมีเนื้อหาอย่างน้อย ดังต่อไปนี้

(ก) การระบุชื่อสมาชิกของนโยบายผู้รับผิดที่จัดตั้งขึ้นในประเทศไทย

(ข) การยืนยันว่าเจ้าของข้อมูลส่วนบุคคลในประเทศไทยมีสิทธิของบุคคลภายนอกผู้รับประโยชน์ที่สามารถร้องเรียน และฟ้องร้องบังคับคดีตามนโยบายในการคุ้มครองข้อมูลส่วนบุคคลในเครือกิจการหรือเครือธุรกิจเดียวกันได้ในราชอาณาจักร

(ค) การยอมรับอำนาจกำกับดูแลของสำนักงานและเขตอำนาจศาลไทยในประเด็นที่เกี่ยวข้องกับนโยบายในการคุ้มครองข้อมูลส่วนบุคคลในเครือกิจการหรือเครือธุรกิจเดียวกัน

(ง) การชี้แจงหรือเพิ่มเติมข้อกำหนดอื่นใดเพื่อให้สอดคล้องกับพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 อนุบัญญัติที่เกี่ยวข้อง และระเบียบนี้

ให้นำความในข้อ 8 วรรคสอง มาใช้กับการรับรองตามข้อนี้โดยอนุโลม

**หมวด 4 องค์ประกอบและหลักการสำคัญของนโยบายในการคุ้มครองข้อมูลส่วนบุคคลในเครือกิจการหรือเครือธุรกิจเดียวกัน**

ข้อ 12 ในการรับรองนโยบายในการคุ้มครองข้อมูลส่วนบุคคลในเครือกิจการหรือเครือธุรกิจเดียวกันที่ยื่นขอรับการตรวจสอบและรับรอง ให้สำนักงานพิจารณาเนื้อหาและหลักการสำคัญ ดังต่อไปนี้

(1) การมีผลและสภาพบังคับในทางกฎหมาย โดยนโยบายในการคุ้มครองข้อมูลส่วนบุคคลในเครือกิจการหรือเครือธุรกิจเดียวกันแสดงให้เห็นอย่างเหมาะสมถึงกลไกที่สร้างสภาพบังคับทางกฎหมายทั้งภายในและภายนอกเครือกิจการหรือเครือธุรกิจเดียวกัน

(2) การบังคับใช้อย่างมีประสิทธิผล นโยบายในการคุ้มครองข้อมูลส่วนบุคคลในเครือกิจการหรือเครือธุรกิจเดียวกันแสดงให้เห็นอย่างเหมาะสมถึงกลไกที่สามารถตรวจสอบได้เพื่อให้แน่ใจว่ามีการปฏิบัติตามนโยบายในทางปฏิบัติอย่างแท้จริง

(3) หน้าที่ในการให้ความร่วมมือ นโยบายในการคุ้มครองข้อมูลส่วนบุคคลในเครือกิจการหรือเครือธุรกิจเดียวกันมีข้อความที่ระบุอย่างชัดแจ้งและมีเงื่อนไขว่าสมาชิกของนโยบายทุกรายตกลงที่จะให้ความร่วมมือกับสำนักงานในการปฏิบัติหน้าที่ ยอมรับการตรวจสอบจากสำนักงาน และปฏิบัติตามคำแนะนำและคำสั่งของสำนักงานในประเด็นที่เกี่ยวข้องกับนโยบาย สำหรับนโยบายในการคุ้มครองข้อมูลส่วนบุคคลในเครือกิจการหรือเครือธุรกิจเดียวกันสำหรับผู้ประมวลผลข้อมูลส่วนบุคคล (BCR-P) ควรมีข้อกำหนดเพิ่มเติมเกี่ยวกับหน้าที่ในการให้ความร่วมมือและช่วยเหลือผู้ควบคุมข้อมูลส่วนบุคคลซึ่งเป็นบุคคลภายนอกในการปฏิบัติตามกฎหมาย

(4) ข้อกำหนดที่รับรองการคุ้มครองข้อมูลส่วนบุคคล นโยบายในการคุ้มครองข้อมูลส่วนบุคคลในเครือกิจการหรือเครือธุรกิจเดียวกันได้กำหนดสิทธิของเจ้าของข้อมูลส่วนบุคคลและการร้องเรียนสำหรับข้อมูลส่วนบุคคลที่ถูกส่งหรือโอนไปยังต่างประเทศในเครือกิจการหรือเครือธุรกิจเดียวกัน

(5) มาตรการคุ้มครองข้อมูลส่วนบุคคล นโยบายในการคุ้มครองข้อมูลส่วนบุคคลในเครือกิจการหรือเครือธุรกิจเดียวกันแสดงให้เห็นอย่างเหมาะสมถึงหลักการคุ้มครองข้อมูลส่วนบุคคลตามกฎหมายเข้าไว้เป็นส่วนหนึ่งของข้อผูกพัน ซึ่งอย่างน้อยต้องประกอบด้วยหลักการพื้นฐานด้านการคุ้มครองข้อมูลส่วนบุคคล มาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสมซึ่งต้องเป็นไปตามมาตรฐานขั้นต่ำตามที่กฎหมายกำหนด

(6) ความรับผิดชอบและกลไกสนับสนุนอื่น ๆ นโยบายในการคุ้มครองข้อมูลส่วนบุคคลในเครือกิจการหรือเครือธุรกิจเดียวกันควรแสดงให้เห็นถึงกลไกความรับผิดชอบ (Accountability) อื่น ๆ เช่น การจัดทำและเก็บรักษาบันทึกรายการกิจกรรมการประมวลผลข้อมูลส่วนบุคคล (Record of Processing Activities หรือ ROPA) และแนวทางการประเมินความเสี่ยง เป็นต้น

**หมวด 5 กระบวนการพิจารณาและการรับรองของสำนักงาน**

**ส่วนที่ 1 การตรวจสอบความสมบูรณ์ของคำขอ**

ข้อ 13 สำนักงานจะดำเนินการตรวจสอบความถูกต้องครบถ้วนของเอกสารประกอบคำขอตรวจสอบและรับรองตามที่กำหนดในข้อ 8 ภายใน 15 วัน นับแต่วันที่ได้รับคำขอ หากถูกต้องครบถ้วน ให้พนักงานออกใบรับคำขอ โดยระบุวันที่รับคำขอและรหัสอ้างอิงในการรับคำขอให้แก่ผู้ยื่นคำขอ หากพบว่าไม่ถูกต้องหรือไม่ครบถ้วน ให้สำนักงานแจ้งให้ผู้ยื่นคำขอดำเนินการแก้ไขหรือจัดส่งเอกสารประกอบคำขอเพิ่มเติมภายในระยะเวลาที่เหมาะสม

**ส่วนที่ 2 การพิจารณาเชิงเนื้อหา**

ข้อ 14 หากคำขอตรวจสอบและรับรองมีความครบถ้วนสมบูรณ์ตามข้อ 13 แล้ว ให้พนักงานผู้รับผิดชอบ (Case Officer) ดำเนินการพิจารณาเนื้อหาของนโยบายในการคุ้มครองข้อมูลส่วนบุคคลในเครือกิจการหรือเครือธุรกิจเดียวกันและเอกสารประกอบโดยละเอียด

ในระหว่างการพิจารณา สำนักงานอาจมีหนังสือร้องขอข้อมูลเพิ่มเติมหรือหนังสือร้องขอให้แก้ไขไปยังผู้ยื่นคำขอหรือผู้รับมอบอำนาจเพื่อขอให้ชี้แจงประเด็นที่ยังไม่ชัดเจน หรือแก้ไขเนื้อหาส่วนที่ยังไม่สอดคล้องกับหลักเกณฑ์ตามประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง หลักเกณฑ์การให้ความคุ้มครองข้อมูลส่วนบุคคลที่ส่งหรือโอนไปยังต่างประเทศตาม[มาตรา 29](https://link.pdpalawbase.com/section/29.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 พ.ศ. 2566

**ส่วนที่ 3 การจัดทำความเห็นและการพิจารณา**

ข้อ 15 เมื่อได้รับข้อมูลหรือเอกสารฉบับแก้ไขที่ครบถ้วนสมบูรณ์จากผู้ยื่นคำขอและกระบวนการพิจารณาเชิงเนื้อหาเสร็จสิ้นแล้ว ให้พนักงานผู้รับผิดชอบ (Case Officer) จัดทำรายงานสรุปผลการพิจารณาพร้อมความเห็นเสนอผู้บังคับบัญชาตามลำดับ ก่อนเสนอเลขาธิการพิจารณานโยบายในการคุ้มครองข้อมูลส่วนบุคคลในเครือกิจการหรือเครือธุรกิจเดียวกัน ตามผลการพิจารณา ดังต่อไปนี้

(1) รับรอง หากนโยบายมีองค์ประกอบและหลักการครบถ้วนตามที่กำหนดในประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง หลักเกณฑ์การให้ความคุ้มครองข้อมูลส่วนบุคคลที่ส่งหรือโอนไปยังต่างประเทศตาม[มาตรา 29](https://link.pdpalawbase.com/section/29.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 พ.ศ. 2566

(2) รับรองโดยมีเงื่อนไข หากนโยบายมีความสอดคล้องในสาระสำคัญ แต่อาจต้องมีการแก้ไขข้อความหรือดำเนินการบางประการให้แล้วเสร็จภายในระยะเวลาที่กำหนดก่อนที่การรับรองจะมีผลสมบูรณ์

(3) ไม่รับรอง หากนโยบายไม่สอดคล้องกับประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง หลักเกณฑ์การให้ความคุ้มครองข้อมูลส่วนบุคคลที่ส่งหรือโอนไปยังต่างประเทศตาม[มาตรา 29](https://link.pdpalawbase.com/section/29.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 พ.ศ. 2566

กรณีผลการพิจารณาเป็นไปตามข้อ 15 (1) ให้สำนักงานออกหนังสือรับรองตามแบบที่กำหนดในภาคผนวก ก - ง ท้ายระเบียบนี้ หากผลการพิจารณาเป็นไปตามข้อ 15 (2) หรือ (3) ให้สำนักงานมีหนังสือแจ้งผลการพิจารณาไปยังผู้ยื่นคำขอทราบ

**ส่วนที่ 4 ระยะเวลาการพิจารณา**

ข้อ 16 สำนักงานจะดำเนินการพิจารณาเนื้อหาของนโยบายในการคุ้มครองข้อมูลส่วนบุคคลในเครือกิจการหรือเครือธุรกิจเดียวกันให้แล้วเสร็จภายในระยะเวลา 180 วัน นับแต่วันที่เอกสารประกอบคำขอตรวจสอบและรับรองถูกต้องครบถ้วนตามข้อ 8 ทั้งนี้ หากพ้นกำหนดระยะเวลาดังกล่าวแล้วยังพิจารณาไม่แล้วเสร็จด้วยเหตุจำเป็นอื่นอันไม่อาจก้าวล่วงได้ ให้พนักงานผู้รับผิดชอบ (Case Officer) พิจารณาเนื้อหาของนโยบายให้แล้วเสร็จโดยเร็วพร้อมรายงานเหตุขัดข้องต่อผู้บังคับบัญชาตามลำดับจนถึงเลขาธิการ ทั้งนี้ ระยะเวลาการพิจารณาขึ้นอยู่กับความซับซ้อนของโครงสร้างองค์กร ลักษณะของข้อมูล และความสมบูรณ์ของเอกสารที่ผู้ยื่นคำขอได้จัดทำมา

**ส่วนที่ 5 ระยะเวลาการมีผลและการทบทวนการรับรอง**

ข้อ 17 การรับรองนโยบายในการคุ้มครองข้อมูลส่วนบุคคลในเครือกิจการหรือเครือธุรกิจเดียวกันที่ออกโดยสำนักงานไม่มีกำหนดระยะเวลาสิ้นสุด และจะยังคงมีผลบังคับใช้ตราบเท่าที่ยังไม่มีการแก้ไขเปลี่ยนแปลง หรือเพิกถอนโดยสำนักงาน

**หมวด 6 การอุทธรณ์**

ข้อ 18 กรณีที่ผู้ยื่นคำขอไม่เห็นด้วยกับผลการพิจารณาตามข้อ 15 (2) หรือ (3) ผู้ยื่นคำขอสามารถยื่นอุทธรณ์ผลการพิจารณาได้ เว้นแต่บทบัญญัติแห่งกฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคลจะกำหนดไว้เป็นอย่างอื่น การอุทธรณ์และวิธีพิจารณาอุทธรณ์ ให้ผู้ยื่นคำขอและสำนักงานนำกฎหมายว่าด้วยวิธีปฏิบัติราชการทางปกครองมาใช้โดยอนุโลม

**ค่าธรรมเนียมหรือค่าบริการ**

ข้อ 19 การดำเนินการตามระเบียบนี้ไม่มีการเรียกเก็บค่าธรรมเนียมหรือค่าบริการ

**บทเฉพาะกาล**

ข้อ 20 กรณีที่ผู้ยื่นคำขอได้ยื่นนโยบายในการคุ้มครองข้อมูลส่วนบุคคลในเครือกิจการหรือเครือธุรกิจเดียวกันให้สำนักงาน และสำนักงานได้ดำเนินการตรวจสอบเรียบร้อยแล้วก่อนระเบียบนี้ประกาศ ให้สำนักงานดำเนินการรับรอง โดยผู้ยื่นคำขอไม่ต้องยื่นคำขอตรวจสอบและรับรองหรือเอกสารประกอบการพิจารณาใหม่ เว้นแต่มีเหตุอันสมควรที่ต้องขอเอกสารประกอบการพิจารณาเพิ่มเติม

นโยบายในการคุ้มครองข้อมูลส่วนบุคคลในเครือกิจการหรือเครือธุรกิจเดียวกันที่สำนักงานยังไม่ได้ดำเนินการตรวจสอบให้แล้วเสร็จ หรืออยู่ระหว่างดำเนินการ ให้สำนักงานดำเนินการต่อไปได้ภายใต้ระเบียบนี้ ทั้งนี้ สำนักงานอาจขอเอกสารประกอบคำขอตรวจสอบและรับรองเพิ่มเติมได้

ข้อ 21 ในกรณีที่สำนักงานได้ตรวจสอบและรับรองนโยบายในการคุ้มครองข้อมูลส่วนบุคคลในเครือกิจการหรือเครือธุรกิจเดียวกันไปก่อนวันที่ระเบียบฉบับนี้จะมีผลใช้บังคับ ให้นโยบายนั้นยังมีสภาพบังคับต่อไปตามที่ได้รับการรับรองไว้ และให้ถือว่าเป็นนโยบายที่ได้รับการรับรองภายใต้ระเบียบนี้ โดยสมาชิกของนโยบายผู้รับผิดมีหน้าที่ในการปฏิบัติตามเงื่อนไขต่าง ๆ ของระเบียบนี้

ประกาศ ณ วันที่ 29 กันยายน พ.ศ. 2568

พันตำรวจเอก สุรพงศ์ เปล่งขำ

เลขาธิการคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล

ภาคผนวก

(1) ภาคผนวก ก แบบหนังสือรับรองฉบับภาษาไทย

(2) ภาคผนวก ข แบบหนังสือรับรองฉบับภาษาอังกฤษ

(3) ภาคผนวก ค แบบประกาศนียบัตรฉบับภาษาไทย

(4) ภาคผนวก ง แบบประกาศนียบัตรฉบับภาษาอังกฤษ

## เหตุผลและฐานอำนาจ

โดยที่เป็นการสมควรกำหนดระเบียบสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลว่าด้วยการตรวจสอบและรับรองนโยบายในการคุ้มครองข้อมูลส่วนบุคคลในเครือกิจการหรือเครือธุรกิจเดียวกัน พ.ศ. 2568 เพื่อใช้เป็นแนวทางในการปฏิบัติสำหรับสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลและหน่วยงานที่ประสงค์ยื่นคำขอให้ตรวจสอบและรับรองนโยบายในการคุ้มครองข้อมูลส่วนบุคคลในเครือกิจการหรือเครือธุรกิจเดียวกัน ให้สอดคล้องกับประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง หลักเกณฑ์การให้ความคุ้มครองข้อมูลส่วนบุคคลที่ส่งหรือโอนไปยังต่างประเทศตาม[มาตรา 28](https://link.pdpalawbase.com/section/28.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 พ.ศ. 2566

อาศัยอำนาจตามความใน[มาตรา 29](https://link.pdpalawbase.com/section/29.md) วรรคสอง [มาตรา 44](https://link.pdpalawbase.com/section/44.md) (3) และ[มาตรา 63](https://link.pdpalawbase.com/section/63.md) (2) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ประกอบข้อ 5 ข้อ 6 และ ข้อ 7 ของประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง หลักเกณฑ์การให้ความคุ้มครองข้อมูลส่วนบุคคลที่ส่งหรือโอนไปยังต่างประเทศตาม[มาตรา 29](https://link.pdpalawbase.com/section/29.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 พ.ศ. 2566 เลขาธิการคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลจึงวางระเบียบไว้ ดังต่อไปนี้

(ประกาศที่อ้างถึงใน preamble: ฉบับมาตรา 28 = [notification-7-1](https://link.pdpalawbase.com/notification/7-1.md) · ฉบับมาตรา 29 = [notification-7-2](https://link.pdpalawbase.com/notification/7-2.md))

## เอกสารต้นฉบับ

- [PDF ต้นฉบับ (local)](../../raw/notifications/notification-7.3.pdf)
- [ที่มา: pdpc.or.th](https://www.pdpc.or.th/17272/)

หมายเหตุการตรวจทานกับต้นฉบับ pdpc.or.th: (1) "ข้อที่ 9" (ไม่ใช่ "ข้อ 9") และหัวข้อ "ค่าธรรมเนียมหรือค่าบริการ" ที่ไม่มีเลขหมวดกำกับ เป็นไปตามต้นฉบับจริง — คงไว้ตามนั้น (2) ชื่อผู้ลงนามใช้ "สุรพงศ์ เปล่งขำ" ตาม PDF ต้นฉบับ (เอกสารพิมพ์ของทีมสะกด "สุรพงษ์" — แก้ให้ตรงต้นฉบับแล้ว) (3) วันที่มีผลใช้บังคับ = วันประกาศ (29 กันยายน 2568) ตามข้อ 2 — ระเบียบนี้ไม่ได้ลงราชกิจจานุเบกษา

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/notification/7-3.md

============================================================
โนด: ประกาศ 8
ลิงก์อ้างอิง: https://link.pdpalawbase.com/notification/8.md

# ประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง หลักเกณฑ์ในการลบหรือทำลาย หรือทำให้ข้อมูลส่วนบุคคลเป็นข้อมูลที่ไม่สามารถระบุตัวบุคคลที่เป็นเจ้าของข้อมูลส่วนบุคคลได้ พ.ศ. 2567

## ใจความสำคัญ

ประกาศฉบับนี้วางหลักเกณฑ์การปฏิบัติตามสิทธิขอให้ลบหรือทำลายข้อมูลส่วนบุคคลตาม [มาตรา 33](https://link.pdpalawbase.com/section/33.md) — กำหนดกรอบเวลา ขอบเขตที่ต้องครอบคลุมถึงข้อมูลสำเนาและข้อมูลสำรอง วิธีการทำให้ข้อมูลเป็นข้อมูลนิรนามที่ป้องกันการย้อนกลับมาระบุตัวบุคคลได้ และข้อจำกัดว่ากรณีใดต้องลบจริงเท่านั้น

- เมื่อเจ้าของข้อมูลใช้สิทธิตาม [มาตรา 33](https://link.pdpalawbase.com/section/33.md) และไม่เข้าข้อยกเว้นตามวรรคสอง ผู้ควบคุมข้อมูลต้องดำเนินการโดยไม่ชักช้า **ไม่เกิน 90 วันนับแต่ได้รับคำขอ** และต้องครอบคลุมถึงสำเนาและข้อมูลสำรอง (ถ้ามี) พร้อมทำให้แน่ใจว่าไม่มีผู้ใดกู้คืนหรือทำให้ข้อมูลย้อนกลับมาระบุตัวบุคคลได้ (ข้อ 3)
- หากลบให้เสร็จตามกำหนดไม่ได้ด้วยเหตุผลทางเทคนิค (เช่น รอการบันทึกทับข้อมูล) ต้องทำให้ข้อมูลอยู่ในรูปแบบที่เข้าถึงและใช้งานได้ยาก ด้วยมาตรการเชิงองค์กร เชิงเทคนิค และทางกายภาพที่เหมาะสม ตามหลักเกณฑ์ 5 ข้อ — ไม่มีเจตนาใช้ต่อ ใช้ตัดสินใจเกี่ยวกับเจ้าของข้อมูลไม่ได้ ป้องกันการเข้าถึง มีมาตรการความมั่นคงปลอดภัยตามระดับความเสี่ยง และต้องลบจริงทันทีที่ทำได้ (ข้อ 4)
- ข้อมูลที่ลบไม่ได้เพราะเหตุจำเป็นสำคัญ เช่น กระทบสิทธิหรือประโยชน์ของบุคคลอื่น ได้รับยกเว้นจากกรอบข้อ 3 แต่ต้องแจ้งและชี้แจงเหตุผลแก่เจ้าของข้อมูล (ข้อ 5)
- การทำข้อมูลนิรนามต้องทำ 2 ชั้น (ข้อ 6): ลบตัวระบุทางตรง 10 รายการ เช่น ชื่อ เลขประจำตัว รหัสบัญชี เบอร์โทรศัพท์ อีเมล ทะเบียนรถ ภาพใบหน้า ข้อมูลชีวภาพ แล้วต้องพิจารณาเพิ่มเติมเพื่อกันการระบุตัวซ้ำจากตัวระบุทางอ้อม เช่น วันเกิด ตำแหน่งงาน ที่อยู่ เลขที่อยู่ไอพี ให้โอกาสระบุตัวอยู่ในระดับต่ำเพียงพอ โดยอาจใช้การแฝงข้อมูลช่วย
- กรณีข้อมูลถูกเก็บรวบรวม ใช้ หรือเปิดเผยโดยไม่ชอบด้วยกฎหมายตาม [มาตรา 33](https://link.pdpalawbase.com/section/33.md) (4) **ต้องลบหรือทำลายเท่านั้น** จะใช้การทำข้อมูลนิรนามแทนไม่ได้ (ข้อ 7)
- ดำเนินการแล้วต้องแจ้งเจ้าของข้อมูล หากทำไม่ได้ต้องแจ้งพร้อมเหตุผล (ข้อ 8)
- นอกจากกรณีเจ้าของข้อมูลใช้สิทธิ ผู้ควบคุมข้อมูลยังมีหน้าที่จัดให้มีระบบการตรวจสอบเพื่อลบหรือทำลายข้อมูลตาม [มาตรา 37](https://link.pdpalawbase.com/section/37.md) (3) โดยใช้หลักเกณฑ์ชุดเดียวกันโดยอนุโลม (ข้อ 9)
- มีผลใช้บังคับวันที่ 11 พฤศจิกายน 2567 (พ้นกำหนด 90 วันนับแต่ประกาศในราชกิจจานุเบกษา 13 สิงหาคม 2567)

## ตัวบท

ข้อ 1 ประกาศนี้เรียกว่า "ประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง หลักเกณฑ์ในการลบหรือทำลาย หรือทำให้ข้อมูลส่วนบุคคลเป็นข้อมูลที่ไม่สามารถระบุตัวบุคคลที่เป็นเจ้าของข้อมูลส่วนบุคคลได้ พ.ศ. 2567"

ข้อ 2 ประกาศนี้ให้ใช้บังคับเมื่อพ้นกำหนดเก้าสิบวันนับแต่วันประกาศในราชกิจจานุเบกษาเป็นต้นไป

ข้อ 3 เมื่อเจ้าของข้อมูลส่วนบุคคลใช้สิทธิตาม [มาตรา 33](https://link.pdpalawbase.com/section/33.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ขอให้ผู้ควบคุมข้อมูลส่วนบุคคลดำเนินการลบหรือทำลาย หรือทำให้ข้อมูลส่วนบุคคลเป็นข้อมูลที่ไม่สามารถระบุตัวบุคคลที่เป็นเจ้าของข้อมูลส่วนบุคคลได้ และไม่ใช่กรณีที่ได้รับยกเว้นการใช้บังคับตาม [มาตรา 33](https://link.pdpalawbase.com/section/33.md) วรรคสอง ให้ผู้ควบคุมข้อมูลส่วนบุคคลดำเนินการตามที่เจ้าของข้อมูลส่วนบุคคลร้องขอโดยไม่ชักช้า แต่ต้องไม่เกินเก้าสิบวันนับแต่วันที่ได้รับคำขอ

การดำเนินการตามวรรคหนึ่ง จะต้องดำเนินการให้ครอบคลุมถึงข้อมูลส่วนบุคคลที่ทำสำเนาหรือสำรองไว้ด้วย (ถ้ามี) และจะต้องทำให้แน่ใจว่าไม่มีผู้ใดสามารถกระทำการด้วยวิธีการใด ๆ ที่อาจคาดหมายได้ตามสมควร เพื่อกู้คืนข้อมูลส่วนบุคคลหรือทำให้ข้อมูลนั้นย้อนกลับมาสามารถระบุตัวบุคคลที่เป็นเจ้าของข้อมูลส่วนบุคคลได้ไม่ว่าทางตรงหรือทางอ้อม

ในกรณีที่เจ้าของข้อมูลส่วนบุคคลใช้สิทธิขอให้ผู้ควบคุมข้อมูลส่วนบุคคลดำเนินการลบหรือทำลาย หรือทำให้ข้อมูลส่วนบุคคลเป็นข้อมูลที่ไม่สามารถระบุตัวบุคคลที่เป็นเจ้าของข้อมูลส่วนบุคคลได้ เพียงอย่างใดอย่างหนึ่ง ผู้ควบคุมข้อมูลส่วนบุคคลอาจดำเนินการลบหรือทำลาย หรือทำให้ข้อมูลส่วนบุคคลเป็นข้อมูลที่ไม่สามารถระบุตัวบุคคลที่เป็นเจ้าของข้อมูลส่วนบุคคลได้ ด้วยวิธีการอย่างอื่นตามประกาศนี้ ซึ่งอาจแตกต่างจากที่เจ้าของข้อมูลส่วนบุคคลร้องขอก็ได้ โดยผู้ควบคุมข้อมูลส่วนบุคคลมีหน้าที่แจ้งให้เจ้าของข้อมูลส่วนบุคคลที่ใช้สิทธิทราบด้วย เว้นแต่จะเป็นกรณีตามข้อ 7

ข้อ 4 ในการลบหรือทำลาย หรือทำให้ข้อมูลส่วนบุคคลเป็นข้อมูลที่ไม่สามารถระบุตัวบุคคลที่เป็นเจ้าของข้อมูลส่วนบุคคลได้ตามข้อ 3 หากไม่สามารถดำเนินการดังกล่าวได้ตามระยะเวลาที่กำหนดในข้อ 3 เช่น กรณีข้อมูลส่วนบุคคลที่อยู่ในรูปแบบอิเล็กทรอนิกส์ ยังคงถูกเก็บบันทึกไว้ชั่วคราวระหว่างที่รอให้ถูกบันทึกทับหรือแทนที่โดยข้อมูลอื่น (to be overwritten by other data) เนื่องจากเหตุผลทางเทคนิค ผู้ควบคุมข้อมูลส่วนบุคคลต้องทำให้ข้อมูลส่วนบุคคลนั้นอยู่ในรูปแบบที่การเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลดังกล่าวเป็นไปได้ยาก จนกว่าจะดำเนินการตามข้อ 3 แล้วเสร็จ โดยต้องจัดให้มีมาตรการเชิงองค์กร (organizational measures) และมาตรการเชิงเทคนิค (technical measures) ที่เหมาะสม ซึ่งอาจรวมถึงมาตรการทางกายภาพ (physical measures) ที่จำเป็นด้วย โดยคำนึงถึงปัจจัยทางเทคโนโลยี บริบท สภาพแวดล้อม มาตรฐานที่เป็นที่ยอมรับสำหรับหน่วยงานหรือกิจการในประเภทหรือลักษณะเดียวกันหรือใกล้เคียงกัน ลักษณะหรือประเภทของข้อมูลส่วนบุคคล ลักษณะ ประเภท หรือสถานะของเจ้าของข้อมูลส่วนบุคคล ทรัพยากรที่ต้องใช้ และความเป็นไปได้ในการดำเนินการประกอบกัน ทั้งนี้ เพื่อให้เป็นไปตามหลักเกณฑ์ ดังต่อไปนี้

(1) ผู้ควบคุมข้อมูลส่วนบุคคลและผู้ประมวลผลข้อมูลส่วนบุคคลที่เกี่ยวข้องไม่มีเจตนาที่จะเข้าถึง หรือนำข้อมูลส่วนบุคคลดังกล่าวมาใช้หรือเปิดเผยอีกต่อไป แม้จะยังมีข้อมูลดังกล่าวอยู่ก็ตาม

(2) ผู้ควบคุมข้อมูลส่วนบุคคลและผู้ประมวลผลข้อมูลส่วนบุคคลที่เกี่ยวข้องไม่สามารถนำข้อมูลส่วนบุคคลดังกล่าวมาใช้หรือเปิดเผย เพื่อให้บริการหรือมีผลต่อการตัดสินใจหรือดำเนินการใด ๆ เกี่ยวกับเจ้าของข้อมูลส่วนบุคคล หรือในลักษณะที่จะส่งผลกระทบต่อบุคคลในทางใดทางหนึ่งได้

(3) ผู้ควบคุมข้อมูลส่วนบุคคลและผู้ประมวลผลข้อมูลส่วนบุคคลที่เกี่ยวข้องต้องป้องกันมิให้ผู้ใดสามารถเข้าถึง ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลดังกล่าวได้

(4) ผู้ควบคุมข้อมูลส่วนบุคคลและผู้ประมวลผลข้อมูลส่วนบุคคลที่เกี่ยวข้องต้องจัดให้มีมาตรการรักษาความมั่นคงปลอดภัยของข้อมูลดังกล่าวอย่างเหมาะสมตามระดับความเสี่ยง

(5) ผู้ควบคุมข้อมูลส่วนบุคคลและผู้ประมวลผลข้อมูลส่วนบุคคลที่เกี่ยวข้องจะต้องทำการลบหรือทำลาย หรือทำให้ข้อมูลส่วนบุคคลเป็นข้อมูลที่ไม่สามารถระบุตัวบุคคลที่เป็นเจ้าของข้อมูลส่วนบุคคลได้ตามประกาศนี้ เมื่อสามารถกระทำได้โดยไม่ชักช้า

ข้อ 5 ความในข้อ 3 มิให้นำมาใช้บังคับกับข้อมูลส่วนบุคคลที่ไม่อาจลบหรือทำลาย หรือทำให้ข้อมูลส่วนบุคคลเป็นข้อมูลที่ไม่สามารถระบุตัวบุคคลที่เป็นเจ้าของข้อมูลส่วนบุคคลได้ เนื่องจากเหตุผลความจำเป็นที่สำคัญ เช่น กรณีที่การลบหรือทำลาย หรือทำให้ข้อมูลส่วนบุคคลเป็นข้อมูลที่ไม่สามารถระบุตัวบุคคลที่เป็นเจ้าของข้อมูลส่วนบุคคลได้นั้น อาจส่งผลกระทบในทางลบต่อสิทธิในข้อมูลส่วนบุคคลหรือประโยชน์ของบุคคลอื่น ทั้งนี้ ผู้ควบคุมข้อมูลส่วนบุคคลมีหน้าที่แจ้งให้เจ้าของข้อมูลส่วนบุคคลที่ใช้สิทธิทราบพร้อมชี้แจงหรือแสดงให้เห็นถึงเหตุผลความจำเป็นที่สำคัญดังกล่าวแก่เจ้าของข้อมูลส่วนบุคคลด้วย

ข้อ 6 ในการทำให้ข้อมูลส่วนบุคคลเป็นข้อมูลที่ไม่สามารถระบุตัวบุคคลที่เป็นเจ้าของข้อมูลส่วนบุคคลได้ หรือการทำให้เป็นข้อมูลนิรนาม (anonymization) ผู้ควบคุมข้อมูลส่วนบุคคลจะต้องดำเนินการให้เป็นไปตามหลักเกณฑ์ ดังต่อไปนี้

(1) จะต้องมีกระบวนการลบหรือทำให้ปราศจากข้อมูลใด ๆ ที่เป็นตัวระบุทางตรง (direct identifiers) ของเจ้าของข้อมูลส่วนบุคคลในข้อมูลส่วนบุคคลดังกล่าว (de-identification) ซึ่งรวมถึงข้อมูลดังต่อไปนี้

(ก) ชื่อตัว ชื่อรอง หรือชื่อสกุลของบุคคล

(ข) เลขประจำตัวประชาชน เลขที่หนังสือเดินทาง เลขประจำตัวผู้เสียภาษีของบุคคล เลขที่บัตรประกันสังคม ตลอดจนเลขที่ หมายเลข หรือรหัสของบัตรประจำตัวอื่นใดของบุคคล

(ค) เลขที่ หมายเลข หรือรหัสสมาชิก ลูกค้า ผู้รับบริการ หรือบุคลากร ตลอดจนเลขที่ หมายเลข หรือรหัสของบัญชี สัญญา หรือสิ่งอื่นใดที่เป็นของเฉพาะตัวของบุคคล

(ง) หมายเลขโทรศัพท์ หมายเลขโทรสาร หรือหมายเลขติดต่อเฉพาะตัวของบุคคล

(จ) ที่อยู่ไปรษณีย์อิเล็กทรอนิกส์ (e-mail address) เฉพาะตัวของบุคคล

(ฉ) หมายเลขทะเบียนรถของบุคคล

(ช) ภาพใบหน้าของบุคคลที่ทำให้สามารถระบุตัวบุคคลได้

(ซ) ข้อมูลชีวภาพ (biometric data) ของบุคคลที่ทำให้สามารถระบุตัวบุคคลได้

(ฌ) ชื่อหรือรหัสบัญชีผู้ใช้งานในระบบสารสนเทศ แอปพลิเคชัน หรือบริการต่าง ๆ ที่เป็นของเฉพาะตัวของบุคคล

(ญ) ข้อมูลอื่นใดที่เป็นสิ่งเฉพาะตัวของบุคคลที่ทำให้สามารถระบุตัวบุคคลได้โดยตรง

(2) หลังจากการดำเนินการตาม (1) จะต้องมีกระบวนการพิจารณาดำเนินการเพิ่มเติม เพื่อให้แน่ใจว่าข้อมูลดังกล่าวเป็นข้อมูลที่ไม่สามารถระบุตัวบุคคลที่เป็นเจ้าของข้อมูลส่วนบุคคลได้ทางอ้อม โดยมีโอกาสในการระบุตัวบุคคลที่เป็นเจ้าของข้อมูลส่วนบุคคลได้ในระดับที่ต่ำเพียงพอ ทั้งนี้ เพื่อป้องกันการทำให้ข้อมูลนั้นย้อนกลับมาสามารถระบุตัวบุคคลที่เป็นเจ้าของข้อมูลส่วนบุคคลได้ (re-identification) โดยอาจพิจารณาทำการแฝงข้อมูล (pseudonymization) หรือดำเนินการอย่างหนึ่งอย่างใดต่อข้อมูลทั้งหมดหรือบางส่วน เพื่อลดโอกาสในการระบุตัวบุคคลที่เป็นเจ้าของข้อมูลส่วนบุคคลจากข้อมูลที่เป็นตัวระบุทางอ้อม (indirect identifiers) เช่น วันเดือนปีเกิด อายุ ตำแหน่งงาน สังกัด วันเดือนปีที่เข้ารับบริการ ที่อยู่สำหรับพักอาศัยหรือสถานที่ทำงาน เลขที่อยู่ไอพี (Internet Protocol address หรือ IP address) หรือข้อมูลอื่นใดที่มีลักษณะคล้ายกัน ให้อยู่ในระดับที่ต่ำเพียงพอ

ในการดำเนินการตาม (2) ให้ผู้ควบคุมข้อมูลส่วนบุคคลพิจารณาดำเนินการโดยคำนึงถึงปัจจัยทางเทคโนโลยี บริบท สภาพแวดล้อม มาตรฐานที่เป็นที่ยอมรับสำหรับหน่วยงานหรือกิจการในประเภทหรือลักษณะเดียวกันหรือใกล้เคียงกัน ลักษณะหรือประเภทของข้อมูลส่วนบุคคล ลักษณะ ประเภท หรือสถานะของเจ้าของข้อมูลส่วนบุคคล ทรัพยากรที่ต้องใช้ และความเป็นไปได้ในการดำเนินการ ตลอดจนความเสี่ยง แรงจูงใจ และความสามารถของบุคคลที่อาจประสงค์จะทำให้ข้อมูลนั้นย้อนกลับมาสามารถระบุตัวบุคคลที่เป็นเจ้าของข้อมูลส่วนบุคคลได้ (re-identification) ประกอบกัน

ข้อ 7 ในกรณีที่เจ้าของข้อมูลส่วนบุคคลใช้สิทธิขอให้ผู้ควบคุมข้อมูลส่วนบุคคลดำเนินการลบหรือทำลาย หรือทำให้ข้อมูลส่วนบุคคลเป็นข้อมูลที่ไม่สามารถระบุตัวบุคคลที่เป็นเจ้าของข้อมูลส่วนบุคคลได้ เนื่องจากเป็นกรณีที่ข้อมูลส่วนบุคคลได้ถูกเก็บรวบรวม ใช้ หรือเปิดเผยโดยไม่ชอบด้วยกฎหมายตาม [มาตรา 33](https://link.pdpalawbase.com/section/33.md) (4) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 และไม่ใช่กรณีที่ได้รับยกเว้นการใช้บังคับตาม [มาตรา 33](https://link.pdpalawbase.com/section/33.md) วรรคสอง หรือกรณีอื่นที่ผู้ควบคุมข้อมูลส่วนบุคคลอาจปฏิเสธคำขอได้ตามกฎหมาย ผู้ควบคุมข้อมูลส่วนบุคคลจะต้องดำเนินการลบหรือทำลายข้อมูลส่วนบุคคลเท่านั้น โดยไม่อาจดำเนินการทำให้ข้อมูลส่วนบุคคลเป็นข้อมูลที่ไม่สามารถระบุตัวบุคคลที่เป็นเจ้าของข้อมูลส่วนบุคคลได้ตามข้อ 6 แทนได้

ข้อ 8 เมื่อผู้ควบคุมข้อมูลส่วนบุคคลดำเนินการลบหรือทำลาย หรือทำให้ข้อมูลส่วนบุคคลเป็นข้อมูลที่ไม่สามารถระบุตัวบุคคลที่เป็นเจ้าของข้อมูลส่วนบุคคลได้ ตามคำขอใช้สิทธิของเจ้าของข้อมูลส่วนบุคคลแล้ว ให้ผู้ควบคุมข้อมูลส่วนบุคคลแจ้งให้เจ้าของข้อมูลส่วนบุคคลที่ใช้สิทธิทราบ

ในกรณีที่การดำเนินการตามวรรคหนึ่ง เป็นการทำให้ข้อมูลส่วนบุคคลเป็นข้อมูลที่ไม่สามารถระบุตัวบุคคลที่เป็นเจ้าของข้อมูลส่วนบุคคลได้ตามข้อ 6 ให้ผู้ควบคุมข้อมูลส่วนบุคคลแจ้งรายละเอียดในการดำเนินการดังกล่าวให้เจ้าของข้อมูลส่วนบุคคลทราบตามสมควร เว้นแต่เจ้าของข้อมูลส่วนบุคคลได้ทราบถึงรายละเอียดนั้นอยู่แล้ว

ในกรณีที่ผู้ควบคุมข้อมูลส่วนบุคคลไม่อาจดำเนินการตามคำขอใช้สิทธิตามวรรคหนึ่งได้ ให้ผู้ควบคุมข้อมูลส่วนบุคคลแจ้งให้เจ้าของข้อมูลส่วนบุคคลที่ใช้สิทธิทราบพร้อมเหตุผล

ข้อ 9 นอกจากการดำเนินการตามที่เจ้าของข้อมูลส่วนบุคคลใช้สิทธิตาม [มาตรา 33](https://link.pdpalawbase.com/section/33.md) วรรคหนึ่ง แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ผู้ควบคุมข้อมูลส่วนบุคคลมีหน้าที่จัดให้มีระบบการตรวจสอบเพื่อดำเนินการลบหรือทำลายข้อมูลส่วนบุคคลตาม [มาตรา 37](https://link.pdpalawbase.com/section/37.md) (3) ด้วย โดยให้นำข้อ 3 วรรคสองและวรรคสาม ข้อ 4 ข้อ 5 และข้อ 6 ของประกาศนี้มาใช้บังคับโดยอนุโลม

ข้อ 10 ให้ประธานกรรมการคุ้มครองข้อมูลส่วนบุคคลเป็นผู้รักษาการตามประกาศนี้

ประกาศ ณ วันที่ 31 กรกฎาคม พ.ศ. 2567

เธียรชัย ณ นคร

ประธานกรรมการคุ้มครองข้อมูลส่วนบุคคล

## เหตุผลและฐานอำนาจ

โดยที่ [มาตรา 33](https://link.pdpalawbase.com/section/33.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 กำหนดให้เจ้าของข้อมูลส่วนบุคคลมีสิทธิขอให้ผู้ควบคุมข้อมูลส่วนบุคคลดำเนินการลบหรือทำลาย หรือทำให้ข้อมูลส่วนบุคคลเป็นข้อมูลที่ไม่สามารถระบุตัวบุคคลที่เป็นเจ้าของข้อมูลส่วนบุคคลได้ ซึ่งคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลอาจกำหนดหลักเกณฑ์ในการดำเนินการดังกล่าวก็ได้ เพื่อให้เกิดความชัดเจนในการดำเนินการของผู้ควบคุมข้อมูลส่วนบุคคล

อาศัยอำนาจตามความใน [มาตรา 16](https://link.pdpalawbase.com/section/16.md) (4) ประกอบ [มาตรา 33](https://link.pdpalawbase.com/section/33.md) วรรคห้า แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 คณะกรรมการคุ้มครองข้อมูลส่วนบุคคล จึงออกประกาศไว้ ดังต่อไปนี้

## เอกสารต้นฉบับ

- [PDF ต้นฉบับ (local)](../../raw/notifications/notification-8.pdf)
- [ที่มา: pdpc.or.th](https://www.pdpc.or.th/7020/)

ประกาศในราชกิจจานุเบกษา เล่ม 141 ตอนพิเศษ 217 ง วันที่ 13 สิงหาคม 2567 · วันมีผลใช้บังคับ (11 พฤศจิกายน 2567) คำนวณจาก "พ้นกำหนดเก้าสิบวันนับแต่วันประกาศในราชกิจจานุเบกษา" โดยนับวันประกาศเป็นวันแรก · ตัวบทถอดจาก PDF ที่ฟอนต์ฝังทำให้อักขระเพี้ยน โดยใช้ตารางแทนค่าอักขระรายไฟล์ — ดู `notes/notifications.6_extracted/`

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/notification/8.md

============================================================
โนด: ประกาศ 9.1
ลิงก์อ้างอิง: https://link.pdpalawbase.com/notification/9-1.md

# ประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง มาตรการที่เหมาะสมสำหรับการเก็บรวบรวมข้อมูลส่วนบุคคลเพื่อให้บรรลุวัตถุประสงค์ที่เกี่ยวกับการศึกษาวิจัยหรือสถิติตามมาตรา 24 (1) และการศึกษาวิจัยทางวิทยาศาสตร์ ประวัติศาสตร์ หรือสถิติ หรือประโยชน์สาธารณะอื่นตามมาตรา 26 (5) (ง) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 พ.ศ. 2566

## ใจความสำคัญ

ประกาศของคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล กำหนดมาตรการที่ผู้ควบคุมข้อมูลส่วนบุคคลต้องจัดให้มี เมื่ออาศัยข้อยกเว้นความยินยอมเพื่อการศึกษาวิจัยหรือสถิติ — เป็นกฎหมายลำดับรองที่เติมเต็มเงื่อนไขท้ายของ [มาตรา 24](https://link.pdpalawbase.com/section/24.md) (1) (ข้อมูลส่วนบุคคลทั่วไป — ต้องมี "มาตรการปกป้องที่เหมาะสม") และ [มาตรา 26](https://link.pdpalawbase.com/section/26.md) (5) (ง) (ข้อมูลอ่อนไหว — ต้องมี "มาตรการที่เหมาะสม" เพื่อคุ้มครองสิทธิขั้นพื้นฐาน) ซึ่งทั้งสองมาตราให้คณะกรรมการประกาศกำหนด

- ฐาน [มาตรา 24](https://link.pdpalawbase.com/section/24.md) (1) — เก็บรวบรวมข้อมูลส่วนบุคคลเพื่อการศึกษาวิจัยหรือสถิติโดยไม่ขอความยินยอม: ต้องมีมาตรการตามข้อ 4 (มาตรการเชิงองค์กร/เชิงเทคนิค/ทางกายภาพ เท่าที่จำเป็น + ความมั่นคงปลอดภัยตามมาตรฐานขั้นต่ำ + กำกับดูแลตามมาตรฐานจริยธรรม)
- ฐาน [มาตรา 26](https://link.pdpalawbase.com/section/26.md) (5) (ง) — เก็บรวบรวมข้อมูลอ่อนไหวที่จำเป็นในการปฏิบัติตามกฎหมายเพื่อการศึกษาวิจัยทางวิทยาศาสตร์ ประวัติศาสตร์ สถิติ หรือประโยชน์สาธารณะอื่น โดยไม่ได้รับความยินยอมโดยชัดแจ้ง: มาตรการตามข้อ 5 เข้มกว่า — ต้องพิจารณาเหตุผลความจำเป็น (ข้อ 5 (1)) และต้องมี**คณะกรรมการจริยธรรมการศึกษาวิจัยในคน**ที่ไม่มีผู้มีส่วนได้เสีย อนุมัติ/รับรองก่อนเริ่มและกำกับการวิจัย โดยอ้างอิงมาตรฐานสากล Belmont Report · ICH GCP · CIOMS/WHO (ข้อ 5 (4))
- ข้อ 6 มาตรการร่วมทั้งสองฐาน: (1) ต้องขอความยินยอมในการเข้าร่วมการศึกษาวิจัย (informed consent for research participation) จากผู้เข้าร่วม เว้นแต่ 3 กรณียกเว้น (เก็บจากแหล่งอื่นและทำตาม [มาตรา 25](https://link.pdpalawbase.com/section/25.md)/[มาตรา 27](https://link.pdpalawbase.com/section/27.md) แล้ว · การขอความยินยอมทำให้วิจัยไม่ได้/เสี่ยงเกินสมควรและความเสี่ยงไม่เกินขั้นต่ำ · ได้ waiver ตามมาตรฐานจริยธรรม) (2) เก็บจากเจ้าของข้อมูลโดยตรงต้องแจ้งรายละเอียดการวิจัยพร้อมข้อมูลตาม [มาตรา 23](https://link.pdpalawbase.com/section/23.md) ห้ามปกปิด/หลอกลวง (3) จำกัดสิทธิเข้าถึง/ขอสำเนาได้ชั่วคราวกรณี allocation concealment / blinding ใน clinical trials แต่ต้องแจ้งข้อจำกัดล่วงหน้า
- มาตรฐานขั้นต่ำด้านความมั่นคงปลอดภัยที่อ้างใน ข้อ 4 (2) และ ข้อ 5 (3) คือมาตรฐานตาม [มาตรา 37](https://link.pdpalawbase.com/section/37.md) (1) — ดู [ประกาศ เรื่อง มาตรการรักษาความมั่นคงปลอดภัยของผู้ควบคุมข้อมูลส่วนบุคคล พ.ศ. 2565](https://link.pdpalawbase.com/notification/1-1.md)
- ฉบับคู่กันของหมวดวิจัย/จดหมายเหตุ: [ประกาศ เรื่อง มาตรการปกป้องที่เหมาะสมสำหรับการจัดทำเอกสารประวัติศาสตร์หรือจดหมายเหตุเพื่อประโยชน์สาธารณะ พ.ศ. 2566](https://link.pdpalawbase.com/notification/9-2.md)
- ใช้บังคับเมื่อพ้นกำหนด 90 วันนับแต่วันประกาศในราชกิจจานุเบกษา (8 มกราคม 2567) = ตั้งแต่ 7 เมษายน 2567

## ตัวบท

ประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง มาตรการที่เหมาะสมสำหรับการเก็บรวบรวมข้อมูลส่วนบุคคลเพื่อให้บรรลุวัตถุประสงค์ที่เกี่ยวกับการศึกษาวิจัยหรือสถิติตาม[มาตรา 24](https://link.pdpalawbase.com/section/24.md) (1) และการศึกษาวิจัยทางวิทยาศาสตร์ ประวัติศาสตร์ หรือสถิติ หรือประโยชน์สาธารณะอื่นตาม[มาตรา 26](https://link.pdpalawbase.com/section/26.md) (5) (ง) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 พ.ศ. 2566

โดยที่[มาตรา 24](https://link.pdpalawbase.com/section/24.md) (1) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 บัญญัติให้การเก็บรวบรวมข้อมูลส่วนบุคคลโดยไม่ได้รับความยินยอมจากเจ้าของข้อมูลส่วนบุคคล อาจกระทำได้หากเป็นการเก็บรวบรวมข้อมูลส่วนบุคคลเพื่อให้บรรลุวัตถุประสงค์ที่เกี่ยวกับการศึกษาวิจัยหรือสถิติ ซึ่งได้จัดให้มีมาตรการปกป้องที่เหมาะสมเพื่อคุ้มครองสิทธิและเสรีภาพของเจ้าของข้อมูลส่วนบุคคลตามที่คณะกรรมการคุ้มครองข้อมูลส่วนบุคคลประกาศกำหนด และ[มาตรา 26](https://link.pdpalawbase.com/section/26.md) (5) (ง) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 บัญญัติให้การเก็บรวบรวมข้อมูลส่วนบุคคลเกี่ยวกับเชื้อชาติ เผ่าพันธุ์ ความคิดเห็นทางการเมือง ความเชื่อในลัทธิ ศาสนาหรือปรัชญา พฤติกรรมทางเพศ ประวัติอาชญากรรม ข้อมูลสุขภาพ ความพิการ ข้อมูลสหภาพแรงงาน ข้อมูลพันธุกรรม ข้อมูลชีวภาพ หรือข้อมูลอื่นใดซึ่งกระทบต่อเจ้าของข้อมูลส่วนบุคคลในทำนองเดียวกันตามที่คณะกรรมการคุ้มครองข้อมูลส่วนบุคคลประกาศกำหนด โดยไม่ได้รับความยินยอมโดยชัดแจ้งจากเจ้าของข้อมูลส่วนบุคคล อาจกระทำได้หากเป็นการเก็บรวบรวมข้อมูลส่วนบุคคลที่เป็นการจำเป็นในการปฏิบัติตามกฎหมายเพื่อให้บรรลุวัตถุประสงค์เกี่ยวกับการศึกษาวิจัยทางวิทยาศาสตร์ ประวัติศาสตร์ หรือสถิติ หรือประโยชน์สาธารณะอื่น ทั้งนี้ ต้องกระทำเพื่อให้บรรลุวัตถุประสงค์ดังกล่าวเพียงเท่าที่จำเป็นเท่านั้น และได้จัดให้มีมาตรการที่เหมาะสมเพื่อคุ้มครองสิทธิขั้นพื้นฐานและประโยชน์ของเจ้าของข้อมูลส่วนบุคคล ตามที่คณะกรรมการคุ้มครองข้อมูลส่วนบุคคลประกาศกำหนด

อาศัยอำนาจตามความใน[มาตรา 16](https://link.pdpalawbase.com/section/16.md) (4) ประกอบ[มาตรา 24](https://link.pdpalawbase.com/section/24.md) (1) และ[มาตรา 26](https://link.pdpalawbase.com/section/26.md) (5) (ง) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 คณะกรรมการคุ้มครองข้อมูลส่วนบุคคล จึงออกประกาศไว้ ดังต่อไปนี้

ข้อ 1 ประกาศนี้เรียกว่า "ประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง มาตรการที่เหมาะสมสำหรับการเก็บรวบรวมข้อมูลส่วนบุคคลเพื่อให้บรรลุวัตถุประสงค์ที่เกี่ยวกับการศึกษาวิจัยหรือสถิติตาม[มาตรา 24](https://link.pdpalawbase.com/section/24.md) (1) และการศึกษาวิจัยทางวิทยาศาสตร์ ประวัติศาสตร์ หรือสถิติ หรือประโยชน์สาธารณะอื่นตาม[มาตรา 26](https://link.pdpalawbase.com/section/26.md) (5) (ง) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 พ.ศ. 2566"

ข้อ 2 ประกาศนี้ให้ใช้บังคับเมื่อพ้นกำหนดเก้าสิบวันนับแต่วันประกาศในราชกิจจานุเบกษาเป็นต้นไป

ข้อ 3 ในประกาศนี้

"การศึกษาวิจัย" หมายความว่า การดำเนินการเกี่ยวกับการศึกษาค้นคว้า การวิเคราะห์ การทดลอง การทดสอบ หรือการประเมินผลอย่างเป็นระบบ เพื่อให้ได้มาซึ่งความรู้ใหม่หรือหลักการทางวิชาการในสาขาวิชาที่เกี่ยวข้อง รวมถึงการเผยแพร่ความรู้หรือหลักการทางวิชาการนั้น ทั้งที่เป็นการดำเนินการในระดับพื้นฐาน (fundamental or basic) และระดับประยุกต์ (applied) และรวมถึงการพัฒนาเทคโนโลยีและนวัตกรรมจากความรู้หรือหลักการทางวิชาการดังกล่าวด้วย

"สถิติ" หมายความว่า การดำเนินการเกี่ยวกับการเก็บรวบรวม การสำรวจ การประมวลผล การวิเคราะห์ และการสรุปผลจากข้อมูล ตลอดจนการแสดงผลหรือเผยแพร่ผลจากการดำเนินการดังกล่าว ทั้งนี้ เพื่อการเปรียบเทียบหรืออ้างอิงในภาพรวม โดยไม่ได้มุ่งหมายที่จะนำข้อมูลหรือผลจากการดำเนินการดังกล่าวมามีผลต่อการตัดสินใจหรือดำเนินการใดเกี่ยวกับเจ้าของข้อมูลส่วนบุคคลผู้ใดผู้หนึ่ง และให้หมายความรวมถึงการดำเนินงานทางสถิติและการสำรวจตามกฎหมายว่าด้วยสถิติด้วย

"ความเสี่ยงขั้นต่ำ" หมายความว่า ความเสี่ยงที่อาจจะเกิดอันตรายต่อผู้เข้าร่วมการศึกษาวิจัยในระดับต่ำ (minimal risk) ซึ่งอาจเทียบได้กับความเสี่ยงที่จะเกิดอันตรายที่อาจเกิดขึ้นได้โดยทั่วไปในชีวิตประจำวันต่อผู้ที่มีสุขภาพดีในสภาพแวดล้อมปกติทั่วไป หรือในการตรวจหรือการทดสอบสุขภาพทางกายภาพหรือทางจิตใจโดยทั่วไป (routine physical or psychological examinations or tests)

ข้อ 4 ในการเก็บรวบรวมข้อมูลส่วนบุคคลโดยไม่ได้รับความยินยอมจากเจ้าของข้อมูลส่วนบุคคล เพื่อให้บรรลุวัตถุประสงค์ที่เกี่ยวกับการศึกษาวิจัยหรือสถิติ ตาม[มาตรา 24](https://link.pdpalawbase.com/section/24.md) (1) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ผู้ควบคุมข้อมูลส่วนบุคคลจะต้องจัดให้มีมาตรการปกป้องที่เหมาะสมเพื่อคุ้มครองสิทธิและเสรีภาพของเจ้าของข้อมูลส่วนบุคคล ดังต่อไปนี้

(1) ผู้ควบคุมข้อมูลส่วนบุคคลจะต้องจัดให้มีมาตรการเชิงองค์กร (organizational measures) และมาตรการเชิงเทคนิค (technical measures) ที่เหมาะสม ซึ่งอาจรวมถึงมาตรการทางกายภาพ (physical measures) ที่จำเป็นด้วย เพื่อควบคุมให้การเก็บรวบรวมข้อมูลส่วนบุคคลดังกล่าว เป็นไปเท่าที่จำเป็นภายใต้วัตถุประสงค์ที่เกี่ยวกับการศึกษาวิจัยหรือสถิติ โดยคำนึงถึงหลักการทางวิชาการที่เกี่ยวข้องประกอบด้วย

(2) ผู้ควบคุมข้อมูลส่วนบุคคลจะต้องจัดให้มีมาตรการรักษาความมั่นคงปลอดภัยให้เหมาะสมกับความเสี่ยงที่มีต่อสิทธิและเสรีภาพของบุคคล ซึ่งจะต้องเป็นไปตามมาตรฐานขั้นต่ำที่คณะกรรมการคุ้มครองข้อมูลส่วนบุคคลประกาศกำหนดตาม[มาตรา 37](https://link.pdpalawbase.com/section/37.md) (1) และครอบคลุมถึงการดำเนินการในขั้นตอนต่าง ๆ ของผู้ดำเนินการในการศึกษาวิจัยหรือสถิติที่เกี่ยวข้องทั้งหมด

(3) ผู้ควบคุมข้อมูลส่วนบุคคลจะต้องจัดให้มีมาตรการที่เหมาะสม เพื่อควบคุมและกำกับดูแลให้การเก็บรวบรวมข้อมูลส่วนบุคคลเพื่อให้บรรลุวัตถุประสงค์ที่เกี่ยวกับการศึกษาวิจัยหรือสถิติดังกล่าว เป็นไปตามมาตรฐานทางจริยธรรมที่เกี่ยวข้อง โดยไม่ขัดต่อกฎหมาย โดยคำนึงถึงระดับความเสี่ยง และกฎหมายและมาตรฐานทางจริยธรรมที่เกี่ยวข้องสำหรับการศึกษาวิจัยหรือสถิติในประเภทหรือลักษณะเดียวกันหรือใกล้เคียงกัน

ในการดำเนินการตาม (1) และ (2) ผู้ควบคุมข้อมูลส่วนบุคคลอาจพิจารณาดำเนินการทำให้ข้อมูลส่วนบุคคลเป็นข้อมูลที่ไม่สามารถระบุตัวบุคคลที่เป็นเจ้าของข้อมูลส่วนบุคคลได้ หรือทำการแฝงข้อมูล (pseudonymization) เพื่อลดความเสี่ยงในการระบุตัวบุคคลที่เป็นเจ้าของข้อมูลส่วนบุคคล หรือทำการเข้ารหัสข้อมูล (encryption) หรือใช้มาตรการอื่นในลักษณะเดียวกัน อย่างเหมาะสมตามระดับความเสี่ยงได้ โดยคำนึงถึงปัจจัยทางเทคโนโลยี บริบท สภาพแวดล้อม มาตรฐานที่เป็นที่ยอมรับสำหรับหน่วยงานหรือกิจการในประเภทหรือลักษณะเดียวกันหรือใกล้เคียงกัน ลักษณะและวัตถุประสงค์ของการเก็บรวบรวม ใช้ และเปิดเผยข้อมูลส่วนบุคคล ทรัพยากรที่ต้องใช้ และความเป็นไปได้ในการดำเนินการประกอบกัน หากสามารถทำให้บรรลุวัตถุประสงค์ที่เกี่ยวกับการศึกษาวิจัยหรือสถิติได้

ข้อ 5 ในการเก็บรวบรวมข้อมูลส่วนบุคคลเกี่ยวกับเชื้อชาติ เผ่าพันธุ์ ความคิดเห็นทางการเมือง ความเชื่อในลัทธิ ศาสนาหรือปรัชญา พฤติกรรมทางเพศ ประวัติอาชญากรรม ข้อมูลสุขภาพ ความพิการ ข้อมูลสหภาพแรงงาน ข้อมูลพันธุกรรม ข้อมูลชีวภาพ หรือข้อมูลอื่นใดซึ่งกระทบต่อเจ้าของข้อมูลส่วนบุคคลในทำนองเดียวกันตามที่คณะกรรมการคุ้มครองข้อมูลส่วนบุคคลประกาศกำหนด โดยไม่ได้รับความยินยอมโดยชัดแจ้งจากเจ้าของข้อมูลส่วนบุคคล ที่เป็นการจำเป็นในการปฏิบัติตามกฎหมายเพื่อให้บรรลุวัตถุประสงค์เกี่ยวกับการศึกษาวิจัยทางวิทยาศาสตร์ ประวัติศาสตร์ หรือสถิติ หรือประโยชน์สาธารณะอื่น ตาม[มาตรา 26](https://link.pdpalawbase.com/section/26.md) (5) (ง) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ผู้ควบคุมข้อมูลส่วนบุคคลจะต้องจัดให้มีมาตรการที่เหมาะสมเพื่อคุ้มครองสิทธิขั้นพื้นฐานและประโยชน์ของเจ้าของข้อมูลส่วนบุคคล ดังต่อไปนี้

(1) ผู้ควบคุมข้อมูลส่วนบุคคลจะต้องพิจารณาเหตุผลความจำเป็นแล้วเห็นว่า การเก็บรวบรวมข้อมูลส่วนบุคคลเพื่อให้บรรลุวัตถุประสงค์เกี่ยวกับการศึกษาวิจัยทางวิทยาศาสตร์ ประวัติศาสตร์ หรือสถิติ หรือประโยชน์สาธารณะอื่นดังกล่าว เป็นกรณีที่มีความจำเป็น โดยอาจเป็นความจำเป็นตามที่กฎหมายบัญญัติ ความจำเป็นเพื่อการปฏิบัติหน้าที่ในการดำเนินภารกิจเพื่อประโยชน์สาธารณะของผู้ควบคุมข้อมูลส่วนบุคคล หรือปฏิบัติหน้าที่ในการใช้อำนาจรัฐที่ได้มอบให้แก่ผู้ควบคุมข้อมูลส่วนบุคคล ความจำเป็นตามวัตถุประสงค์ ภารกิจ หรือบทบาทหน้าที่ของผู้ควบคุมข้อมูลส่วนบุคคล ความจำเป็นเพื่อประโยชน์ในการได้มาซึ่งความรู้ใหม่หรือหลักการทางวิชาการในสาขาวิชาที่เกี่ยวข้อง รวมถึงการเผยแพร่ความรู้หรือหลักการทางวิชาการนั้น ความจำเป็นในการพัฒนาเทคโนโลยีและนวัตกรรมจากความรู้หรือหลักการทางวิชาการดังกล่าว หรือความจำเป็นในการดำเนินงานทางสถิติเพื่อประโยชน์อย่างใดอย่างหนึ่งก็ได้

(2) ผู้ควบคุมข้อมูลส่วนบุคคลจะต้องจัดให้มีมาตรการเชิงองค์กร (organizational measures) และมาตรการเชิงเทคนิค (technical measures) ที่เหมาะสม ซึ่งอาจรวมถึงมาตรการทางกายภาพ (physical measures) ที่จำเป็นด้วย เพื่อควบคุมให้การเก็บรวบรวมข้อมูลส่วนบุคคลดังกล่าว เป็นไปเท่าที่จำเป็นภายใต้วัตถุประสงค์ที่เกี่ยวกับการศึกษาวิจัยทางวิทยาศาสตร์ ประวัติศาสตร์ หรือสถิติ หรือประโยชน์สาธารณะอื่น โดยคำนึงถึงหลักการทางวิชาการที่เกี่ยวข้องประกอบด้วย

(3) ผู้ควบคุมข้อมูลส่วนบุคคลจะต้องจัดให้มีมาตรการรักษาความมั่นคงปลอดภัยให้เหมาะสมกับความเสี่ยงที่มีต่อสิทธิและเสรีภาพของบุคคล ซึ่งจะต้องเป็นไปตามมาตรฐานขั้นต่ำที่คณะกรรมการคุ้มครองข้อมูลส่วนบุคคลประกาศกำหนดตาม[มาตรา 37](https://link.pdpalawbase.com/section/37.md) (1) และครอบคลุมถึงการดำเนินการในขั้นตอนต่าง ๆ ของผู้ดำเนินการในการศึกษาวิจัยทางวิทยาศาสตร์ ประวัติศาสตร์ หรือสถิติ หรือประโยชน์สาธารณะอื่นที่เกี่ยวข้องทั้งหมด

(4) ผู้ควบคุมข้อมูลส่วนบุคคลจะต้องจัดให้มีมาตรการที่เหมาะสม เพื่อควบคุมและกำกับดูแลให้การเก็บรวบรวมข้อมูลส่วนบุคคลเพื่อให้บรรลุวัตถุประสงค์ที่เกี่ยวกับการศึกษาวิจัยทางวิทยาศาสตร์ ประวัติศาสตร์ หรือสถิติ เป็นไปตามมาตรฐานทางจริยธรรมที่เกี่ยวข้องและเป็นที่ยอมรับ โดยไม่ขัดต่อกฎหมาย โดยคำนึงถึงระดับความเสี่ยง และกฎหมายและมาตรฐานทางจริยธรรมที่เกี่ยวข้องสำหรับการศึกษาวิจัยทางวิทยาศาสตร์ ประวัติศาสตร์ หรือสถิติ ในประเภทหรือลักษณะเดียวกันหรือใกล้เคียงกัน โดยมีคณะกรรมการจริยธรรมการศึกษาวิจัยในคนหรือคณะบุคคลในลักษณะเดียวกัน ซึ่งอาจเป็นคณะกรรมการหรือคณะบุคคลภายในสังกัดของผู้ควบคุมข้อมูลส่วนบุคคลหรือภายนอกก็ได้ แต่ต้องไม่มีผู้ดำเนินการในการศึกษาวิจัยที่จะมีส่วนได้เสียในการศึกษาวิจัยเรื่องนั้นอยู่ด้วย เป็นผู้พิจารณาอนุมัติหรือรับรองก่อนเริ่มการศึกษาวิจัยนั้น และควบคุมและกำกับดูแลการศึกษาวิจัยนั้นให้เป็นไปตามมาตรฐานทางจริยธรรมที่เกี่ยวข้อง ทั้งนี้ มาตรฐานทางจริยธรรมที่เกี่ยวข้องและเป็นที่ยอมรับดังกล่าว ให้หมายความรวมถึงเนื้อหาตามเอกสาร ดังต่อไปนี้

(ก) The Belmont Report: Ethical Principles and Guidelines for the Protection of Human Subjects of Research, Report of the National Commission for the Protection of Human Subjects of Biomedical and Behavioral Research โดย Department of Health, Education, and Welfare ประเทศสหรัฐอเมริกา เมื่อวันที่ 18 เมษายน ค.ศ. 1979 (พ.ศ. 2522)

(ข) Good Clinical Practice (GCP) โดย The International Council for Harmonisation of Technical Requirements for Pharmaceuticals for Human Use (ICH) ฉบับที่มีการประกาศใช้ล่าสุดในขณะที่ทำการเก็บรวบรวมข้อมูลส่วนบุคคล

(ค) International Ethical Guidelines for Health-related Research Involving Humans โดย Council for International Organizations of Medical Sciences (CIOMS) ร่วมกับองค์การอนามัยโลก (World Health Organization: WHO) ฉบับที่มีการประกาศใช้ล่าสุดในขณะที่ทำการเก็บรวบรวมข้อมูลส่วนบุคคล

ในการดำเนินการตาม (2) และ (3) ผู้ควบคุมข้อมูลส่วนบุคคลควรพิจารณาดำเนินการทำให้ข้อมูลส่วนบุคคลเป็นข้อมูลที่ไม่สามารถระบุตัวบุคคลที่เป็นเจ้าของข้อมูลส่วนบุคคลได้ หรือทำการแฝงข้อมูล (pseudonymization) เพื่อลดความเสี่ยงในการระบุตัวบุคคลที่เป็นเจ้าของข้อมูลส่วนบุคคล หรือทำการเข้ารหัสข้อมูล (encryption) หรือใช้มาตรการอื่นในลักษณะเดียวกัน อย่างเหมาะสมตามระดับความเสี่ยง โดยคำนึงถึงปัจจัยทางเทคโนโลยี บริบท สภาพแวดล้อม มาตรฐานที่เป็นที่ยอมรับสำหรับหน่วยงานหรือกิจการในประเภทหรือลักษณะเดียวกันหรือใกล้เคียงกัน ลักษณะและวัตถุประสงค์ของการเก็บรวบรวม ใช้ และเปิดเผยข้อมูลส่วนบุคคล ทรัพยากรที่ต้องใช้ และความเป็นไปได้ในการดำเนินการประกอบกัน หากสามารถทำให้บรรลุวัตถุประสงค์ที่เกี่ยวกับการศึกษาวิจัยทางวิทยาศาสตร์ ประวัติศาสตร์ หรือสถิติ หรือประโยชน์สาธารณะอื่นได้

ข้อ 6 ภายใต้บังคับข้อ 4 และข้อ 5 ในการเก็บรวบรวมข้อมูลส่วนบุคคลเพื่อให้บรรลุวัตถุประสงค์ที่เกี่ยวกับการศึกษาวิจัยหรือสถิติ ตาม[มาตรา 24](https://link.pdpalawbase.com/section/24.md) (1) หรือเพื่อให้บรรลุวัตถุประสงค์เกี่ยวกับการศึกษาวิจัยทางวิทยาศาสตร์ ประวัติศาสตร์ หรือสถิติ ตาม[มาตรา 26](https://link.pdpalawbase.com/section/26.md) (5) (ง) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ให้ผู้ควบคุมข้อมูลส่วนบุคคลจัดให้มีมาตรการดังต่อไปนี้ด้วย

(1) แม้การเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลเพื่อให้บรรลุวัตถุประสงค์ดังกล่าว จะได้รับยกเว้นไม่ต้องขอความยินยอมจากเจ้าของข้อมูลส่วนบุคคล แต่ผู้ควบคุมข้อมูลส่วนบุคคลจะต้องกำกับดูแลให้ผู้ดำเนินการในการศึกษาวิจัยหรือสถิติตาม[มาตรา 24](https://link.pdpalawbase.com/section/24.md) (1) หรือผู้ดำเนินการในการศึกษาวิจัยทางวิทยาศาสตร์ ประวัติศาสตร์ หรือสถิติตาม[มาตรา 26](https://link.pdpalawbase.com/section/26.md) (5) (ง) ทำการขอความยินยอมในการเข้าร่วมการศึกษาวิจัย (informed consent for research participation) จากผู้เข้าร่วมการศึกษาวิจัย (research subject) เว้นแต่จะเป็นกรณีใดกรณีหนึ่ง ต่อไปนี้

(ก) การศึกษาวิจัยหรือสถิติตาม[มาตรา 24](https://link.pdpalawbase.com/section/24.md) (1) หรือการศึกษาวิจัยทางวิทยาศาสตร์ ประวัติศาสตร์ หรือสถิติตาม[มาตรา 26](https://link.pdpalawbase.com/section/26.md) (5) (ง) ที่มีการเก็บรวบรวมข้อมูลส่วนบุคคลจากแหล่งอื่นที่ไม่ใช่เจ้าของข้อมูลส่วนบุคคลโดยตรง หรือที่ใช้ข้อมูลส่วนบุคคลที่เก็บรวบรวมตามวัตถุประสงค์อื่น และผู้ควบคุมข้อมูลส่วนบุคคลได้ดำเนินการให้เป็นไปตาม[มาตรา 25](https://link.pdpalawbase.com/section/25.md) และ[มาตรา 27](https://link.pdpalawbase.com/section/27.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 แล้ว

(ข) การศึกษาวิจัยหรือสถิติตาม[มาตรา 24](https://link.pdpalawbase.com/section/24.md) (1) หรือการศึกษาวิจัยทางวิทยาศาสตร์ ประวัติศาสตร์ หรือสถิติตาม[มาตรา 26](https://link.pdpalawbase.com/section/26.md) (5) (ง) นั้นจะไม่สามารถดำเนินการได้หากต้องขอความยินยอม หรือการขอความยินยอมหรือการบันทึกการให้ความยินยอมเป็นหนังสือจะยิ่งทำให้เกิดความเสี่ยงต่อสิทธิและเสรีภาพของเจ้าของข้อมูลส่วนบุคคลที่เป็นผู้เข้าร่วมการศึกษาวิจัยเกินสมควร ประกอบกับการศึกษาวิจัยทางวิทยาศาสตร์ ประวัติศาสตร์ หรือสถิตินั้นมีคุณค่าที่สำคัญต่อสังคม และมีความเสี่ยงไม่เกินความเสี่ยงขั้นต่ำ (no more than minimal risks) ต่อผู้เข้าร่วมการศึกษาวิจัย

(ค) กรณีที่ได้รับยกเว้นไม่ต้องขอความยินยอมในการเข้าร่วมการศึกษาวิจัย (waiver of informed consent for research participation) ตามมาตรฐานทางจริยธรรมที่เกี่ยวข้องและเป็นที่ยอมรับ โดยไม่ขัดต่อกฎหมาย หรือตามที่คณะกรรมการจริยธรรมการศึกษาวิจัยในคนหรือคณะบุคคลตามข้อ 5 (4) กำหนด

(2) ในการเก็บรวบรวมข้อมูลส่วนบุคคลเพื่อให้บรรลุวัตถุประสงค์ที่เกี่ยวกับการศึกษาวิจัยหรือสถิติตาม[มาตรา 24](https://link.pdpalawbase.com/section/24.md) (1) หรือเพื่อให้บรรลุวัตถุประสงค์เกี่ยวกับการศึกษาวิจัยทางวิทยาศาสตร์ ประวัติศาสตร์ หรือสถิติตาม[มาตรา 26](https://link.pdpalawbase.com/section/26.md) (5) (ง) จากเจ้าของข้อมูลส่วนบุคคลโดยตรง ผู้ควบคุมข้อมูลส่วนบุคคลจะต้องแจ้งให้เจ้าของข้อมูลส่วนบุคคลดังกล่าวทราบถึงข้อมูลเกี่ยวกับวัตถุประสงค์ของการศึกษาวิจัย รายละเอียดของการศึกษาวิจัยโดยสังเขป ข้อมูลส่วนบุคคลที่จะเก็บรวบรวมในการศึกษาวิจัย ประโยชน์ที่จะได้รับจากการศึกษาวิจัย ความเสี่ยงหรือผลกระทบที่อาจเกิดขึ้นต่อผู้เข้าร่วมการศึกษาวิจัยจากการศึกษาวิจัยนั้น และสิทธิของผู้นั้นในการศึกษาวิจัยดังกล่าว (หากมี) พร้อมทั้งแจ้งให้เจ้าของข้อมูลส่วนบุคคลทราบรายละเอียดตาม[มาตรา 23](https://link.pdpalawbase.com/section/23.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ด้วย และจะต้องไม่มีการปกปิดข้อมูลดังกล่าว (withholding information) แก่ผู้เข้าร่วมการศึกษาวิจัย หรือทำการหลอกลวงผู้เข้าร่วมการศึกษาวิจัย (deception) เว้นแต่จะเป็นกรณีที่สามารถกระทำได้ภายใต้กรอบและเงื่อนไขตามมาตรฐานทางจริยธรรมที่เกี่ยวข้องและเป็นที่ยอมรับ โดยไม่ขัดต่อกฎหมาย หรือตามที่คณะกรรมการจริยธรรมการศึกษาวิจัยในคนหรือคณะบุคคลตามข้อ 5 (4) กำหนด

(3) ในการเก็บรวบรวมข้อมูลส่วนบุคคลเพื่อให้บรรลุวัตถุประสงค์ที่เกี่ยวกับการศึกษาวิจัยหรือสถิติตาม[มาตรา 24](https://link.pdpalawbase.com/section/24.md) (1) หรือเพื่อให้บรรลุวัตถุประสงค์เกี่ยวกับการศึกษาวิจัยทางวิทยาศาสตร์ ประวัติศาสตร์ หรือสถิติตาม[มาตรา 26](https://link.pdpalawbase.com/section/26.md) (5) (ง) ซึ่งการใช้สิทธิขอเข้าถึงหรือขอรับสำเนาข้อมูลส่วนบุคคลที่เกี่ยวกับเจ้าของข้อมูลส่วนบุคคลที่เป็นผู้เข้าร่วมการศึกษาวิจัยอาจทำให้การศึกษาวิจัยดังกล่าวไม่สามารถบรรลุผลได้ เช่น กรณีผู้ดำเนินการในการศึกษาวิจัยจำเป็นต้องทำการปกปิดการจัดสรรผู้เข้าร่วมการศึกษาวิจัย (allocation concealment) หรือทำการปกปิดข้อมูลเกี่ยวกับการทดลอง (blinding) ในการทดลองทางคลินิก (clinical trials) เพื่อให้ผลการศึกษาวิจัยมีความเที่ยงตรง (valid) ลดอคติ (bias) และน่าเชื่อถือ ผู้ควบคุมข้อมูลส่วนบุคคลจะต้องกำกับดูแลให้ผู้ดำเนินการในการศึกษาวิจัยแจ้งให้เจ้าของข้อมูลส่วนบุคคลที่เป็นผู้เข้าร่วมการศึกษาวิจัยทราบถึงข้อจำกัดในการขอเข้าถึงหรือขอรับสำเนาข้อมูลส่วนบุคคลดังกล่าวในการขอความยินยอมในการเข้าร่วมการศึกษาวิจัยตาม (1) หรือการแจ้งข้อมูลตาม (2) (หากมี) หรือก่อนเริ่มขั้นตอนการศึกษาวิจัยที่เกี่ยวข้อง จนกว่าการศึกษาวิจัยจะเสร็จสิ้นหรืออยู่ในขั้นตอนที่สามารถให้เจ้าของข้อมูลส่วนบุคคลเข้าถึงหรือรับสำเนาข้อมูลดังกล่าวได้โดยไม่เสียวัตถุประสงค์ดังกล่าว และในกรณีที่คณะกรรมการจริยธรรมการศึกษาวิจัยในคนหรือคณะบุคคลตามข้อ 5 (4) กำหนดเป็นอย่างอื่น ให้ปฏิบัติตามที่กำหนด

ข้อ 7 ในกรณีที่ผู้ควบคุมข้อมูลส่วนบุคคลมีหน้าที่ตามกฎหมายอื่นที่เกี่ยวกับการศึกษาวิจัยหรือสถิติตาม[มาตรา 24](https://link.pdpalawbase.com/section/24.md) (1) หรือการศึกษาวิจัยทางวิทยาศาสตร์ ประวัติศาสตร์ หรือสถิติ หรือประโยชน์สาธารณะอื่นตาม[มาตรา 26](https://link.pdpalawbase.com/section/26.md) (5) (ง) ให้ผู้ควบคุมข้อมูลส่วนบุคคลดำเนินการตามกฎหมายนั้น แต่มาตรการเพื่อคุ้มครองสิทธิ เสรีภาพ และประโยชน์ของเจ้าของข้อมูลส่วนบุคคลที่เป็นผู้เข้าร่วมการศึกษาวิจัยหรือสถิติ หรือการศึกษาวิจัยทางวิทยาศาสตร์ ประวัติศาสตร์ หรือสถิติ หรือประโยชน์สาธารณะอื่นดังกล่าว จะต้องเป็นไปตามที่กำหนดในประกาศนี้ด้วย

ข้อ 8 ให้ประธานกรรมการคุ้มครองข้อมูลส่วนบุคคลเป็นผู้รักษาการตามประกาศนี้

ประกาศ ณ วันที่ 28 ธันวาคม พ.ศ. 2566

เธียรชัย ณ นคร

ประธานกรรมการคุ้มครองข้อมูลส่วนบุคคล

## เหตุผลและฐานอำนาจ

เหตุผลตามอารัมภบท: [มาตรา 24](https://link.pdpalawbase.com/section/24.md) (1) และ [มาตรา 26](https://link.pdpalawbase.com/section/26.md) (5) (ง) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 เปิดให้เก็บรวบรวมข้อมูลส่วนบุคคล (และข้อมูลอ่อนไหว) โดยไม่ได้รับความยินยอมเพื่อวัตถุประสงค์การศึกษาวิจัยหรือสถิติได้ ต่อเมื่อได้จัดให้มี "มาตรการปกป้องที่เหมาะสม" / "มาตรการที่เหมาะสม" ตามที่คณะกรรมการคุ้มครองข้อมูลส่วนบุคคลประกาศกำหนด — ประกาศฉบับนี้คือการกำหนดมาตรการดังกล่าว

ฐานอำนาจ: อาศัยอำนาจตามความใน [มาตรา 16](https://link.pdpalawbase.com/section/16.md) (4) ประกอบ [มาตรา 24](https://link.pdpalawbase.com/section/24.md) (1) และ [มาตรา 26](https://link.pdpalawbase.com/section/26.md) (5) (ง) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562

## เอกสารต้นฉบับ

- [PDF ต้นฉบับ (local)](../../raw/notifications/notification-9.1.pdf)
- [ที่มา: pdpc.or.th](https://www.pdpc.or.th/2557/)

หมายเหตุการถอดความ: ประกาศในราชกิจจานุเบกษา เล่ม 141 ตอนพิเศษ 7 ง หน้า 21-27 วันที่ 8 มกราคม 2567 (PDF local = สำเนาฉบับราชกิจจาฯ) · `effective_date` 7 เมษายน 2567 คำนวณจาก ข้อ 2 "พ้นกำหนดเก้าสิบวันนับแต่วันประกาศในราชกิจจานุเบกษา" นับวันประกาศเป็นวันแรก (แบบเดียวกับหมวด 7 ที่ยืนยันกับ commentary ภายนอกแล้ว) · ตัวบทถอดจาก team docx เทียบภาพ PDF ราชกิจจาฯ ครบทุกหน้า พบ docx คลาดจากต้นฉบับ 4 จุด แก้ตาม PDF ทั้งหมด: (1) ข้อ 5 (4) docx สลับลำดับวลี "ซึ่งอาจเป็น/แต่ต้องไม่มี" (2) ข้อ 5 วรรคท้าย docx วางคำ "ลักษณะ" ผิดตำแหน่ง (3) ข้อ 6 (1) (ค) docx พิมพ์ "ข้อ 5 (5)" ต้นฉบับเป็น "ข้อ 5 (4)" (4) ข้อ 6 (2) docx สลับตำแหน่ง "โดยไม่ขัดต่อกฎหมาย" · วงเล็บภาษาอังกฤษทั้งหมด — organizational measures, informed consent, allocation concealment ฯลฯ — และรายการเอกสาร Belmont Report / ICH GCP / CIOMS เป็นข้อความในตัวบทต้นฉบับ verbatim

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/notification/9-1.md

============================================================
โนด: ประกาศ 9.2
ลิงก์อ้างอิง: https://link.pdpalawbase.com/notification/9-2.md

# ประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง มาตรการปกป้องที่เหมาะสมเพื่อคุ้มครองสิทธิและเสรีภาพของเจ้าของข้อมูลส่วนบุคคล สำหรับการเก็บรวบรวมข้อมูลส่วนบุคคลเพื่อให้บรรลุวัตถุประสงค์ที่เกี่ยวกับการจัดทำเอกสารประวัติศาสตร์หรือจดหมายเหตุเพื่อประโยชน์สาธารณะ พ.ศ. 2566

## ใจความสำคัญ

ประกาศของคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล กำหนดมาตรการปกป้องที่เหมาะสมที่ผู้ควบคุมข้อมูลส่วนบุคคลต้องจัดให้มี เมื่อเก็บรวบรวมข้อมูลส่วนบุคคลโดยไม่ได้รับความยินยอมเพื่อให้บรรลุวัตถุประสงค์ที่เกี่ยวกับ**การจัดทำเอกสารประวัติศาสตร์หรือจดหมายเหตุเพื่อประโยชน์สาธารณะ** ตามข้อยกเว้นใน [มาตรา 24](https://link.pdpalawbase.com/section/24.md) (1) — เป็นฉบับคู่กับ [ประกาศมาตรการที่เหมาะสมสำหรับการศึกษาวิจัยหรือสถิติ พ.ศ. 2566](https://link.pdpalawbase.com/notification/9-1.md) ซึ่งครอบคลุมด้านการศึกษาวิจัย/สถิติของมาตราเดียวกัน

- นิยาม "วัตถุประสงค์ที่เกี่ยวกับการจัดทำเอกสารประวัติศาสตร์หรือจดหมายเหตุเพื่อประโยชน์สาธารณะ" = การรักษาความมีอยู่ของบันทึกเหตุการณ์ เรื่องราว เอกสาร หลักฐาน หรือข้อมูล สำหรับวัตถุประสงค์ปัจจุบันหรืออนาคต เพื่อประโยชน์สาธารณะ รวมถึงการดำเนินการตามกฎหมายว่าด้วยจดหมายเหตุแห่งชาติ (ข้อ 3)
- มาตรการบังคับ 2 ข้อ (ข้อ 4): (1) มาตรการเชิงองค์กร เชิงเทคนิค และทางกายภาพที่จำเป็น เพื่อจำกัดการเก็บรวบรวมให้เท่าที่จำเป็นภายใต้วัตถุประสงค์ (2) มาตรการรักษาความมั่นคงปลอดภัยตามมาตรฐานขั้นต่ำที่ประกาศกำหนดตาม [มาตรา 37](https://link.pdpalawbase.com/section/37.md) (1) — ดู [ประกาศ เรื่อง มาตรการรักษาความมั่นคงปลอดภัยของผู้ควบคุมข้อมูลส่วนบุคคล พ.ศ. 2565](https://link.pdpalawbase.com/notification/1-1.md)
- แนะนำให้พิจารณาทำให้ระบุตัวบุคคลไม่ได้ / แฝงข้อมูล (pseudonymization) / เข้ารหัส (encryption) ตามระดับความเสี่ยง หากยังบรรลุวัตถุประสงค์ได้ (ข้อ 4 วรรคท้าย)
- ใช้บังคับเมื่อพ้นกำหนด 90 วันนับแต่วันประกาศในราชกิจจานุเบกษา (8 ธันวาคม 2566) = ตั้งแต่ 7 มีนาคม 2567

## ตัวบท

ประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง มาตรการปกป้องที่เหมาะสมเพื่อคุ้มครองสิทธิและเสรีภาพของเจ้าของข้อมูลส่วนบุคคล สำหรับการเก็บรวบรวมข้อมูลส่วนบุคคลเพื่อให้บรรลุวัตถุประสงค์ที่เกี่ยวกับการจัดทำเอกสารประวัติศาสตร์หรือจดหมายเหตุเพื่อประโยชน์สาธารณะ พ.ศ. 2566

โดยที่เป็นการสมควรกำหนดมาตรการปกป้องที่เหมาะสมเพื่อคุ้มครองสิทธิและเสรีภาพของเจ้าของข้อมูลส่วนบุคคล สำหรับการเก็บรวบรวมข้อมูลส่วนบุคคลเพื่อให้บรรลุวัตถุประสงค์ที่เกี่ยวกับการจัดทำเอกสารประวัติศาสตร์หรือจดหมายเหตุเพื่อประโยชน์สาธารณะ

อาศัยอำนาจตามความใน[มาตรา 16](https://link.pdpalawbase.com/section/16.md) (4) ประกอบ[มาตรา 24](https://link.pdpalawbase.com/section/24.md) (1) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 คณะกรรมการคุ้มครองข้อมูลส่วนบุคคล จึงออกประกาศไว้ ดังต่อไปนี้

ข้อ 1 ประกาศนี้เรียกว่า "ประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง มาตรการปกป้องที่เหมาะสมเพื่อคุ้มครองสิทธิและเสรีภาพของเจ้าของข้อมูลส่วนบุคคล สำหรับการเก็บรวบรวมข้อมูลส่วนบุคคลเพื่อให้บรรลุวัตถุประสงค์ที่เกี่ยวกับการจัดทำเอกสารประวัติศาสตร์หรือจดหมายเหตุเพื่อประโยชน์สาธารณะ พ.ศ. 2566"

ข้อ 2 ประกาศนี้ให้ใช้บังคับเมื่อพ้นกำหนดเก้าสิบวันนับแต่วันประกาศในราชกิจจานุเบกษาเป็นต้นไป

ข้อ 3 ในประกาศนี้

"วัตถุประสงค์ที่เกี่ยวกับการจัดทำเอกสารประวัติศาสตร์หรือจดหมายเหตุเพื่อประโยชน์สาธารณะ" หมายความว่า การดำเนินการเพื่อรักษาความมีอยู่ของบันทึกเหตุการณ์ เรื่องราว เอกสาร หลักฐาน หรือข้อมูล สำหรับวัตถุประสงค์ในปัจจุบันหรือวัตถุประสงค์ที่อาจเป็นไปได้ในอนาคต ทั้งนี้ โดยเป็นไปเพื่อประโยชน์สาธารณะ และให้หมายความรวมถึงการดำเนินการเกี่ยวกับเอกสารจดหมายเหตุตามกฎหมายว่าด้วยจดหมายเหตุแห่งชาติด้วย

ข้อ 4 ในการเก็บรวบรวมข้อมูลส่วนบุคคลโดยไม่ได้รับความยินยอมจากเจ้าของข้อมูลส่วนบุคคล เพื่อให้บรรลุวัตถุประสงค์ที่เกี่ยวกับการจัดทำเอกสารประวัติศาสตร์หรือจดหมายเหตุเพื่อประโยชน์สาธารณะ ตาม[มาตรา 24](https://link.pdpalawbase.com/section/24.md) (1) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ผู้ควบคุมข้อมูลส่วนบุคคลจะต้องจัดให้มีมาตรการปกป้องที่เหมาะสมเพื่อคุ้มครองสิทธิและเสรีภาพของเจ้าของข้อมูลส่วนบุคคล ดังต่อไปนี้

(1) ผู้ควบคุมข้อมูลส่วนบุคคลจะต้องจัดให้มีมาตรการเชิงองค์กร (organizational measures) และมาตรการเชิงเทคนิค (technical measures) ที่เหมาะสม ซึ่งอาจรวมถึงมาตรการทางกายภาพ (physical measures) ที่จำเป็นด้วย เพื่อควบคุมให้การเก็บรวบรวมข้อมูลส่วนบุคคลดังกล่าว เป็นไปเท่าที่จำเป็นภายใต้วัตถุประสงค์ที่เกี่ยวกับการจัดทำเอกสารประวัติศาสตร์หรือจดหมายเหตุเพื่อประโยชน์สาธารณะ

(2) ผู้ควบคุมข้อมูลส่วนบุคคลจะต้องจัดให้มีมาตรการรักษาความมั่นคงปลอดภัยให้เหมาะสมกับความเสี่ยงที่มีต่อสิทธิและเสรีภาพของบุคคล ซึ่งจะต้องเป็นไปตามมาตรฐานขั้นต่ำที่คณะกรรมการคุ้มครองข้อมูลส่วนบุคคลประกาศกำหนดตาม[มาตรา 37](https://link.pdpalawbase.com/section/37.md) (1)

ในการดำเนินการตาม (1) และ (2) ผู้ควบคุมข้อมูลส่วนบุคคลอาจพิจารณาดำเนินการทำให้ข้อมูลส่วนบุคคลเป็นข้อมูลที่ไม่สามารถระบุตัวบุคคลที่เป็นเจ้าของข้อมูลส่วนบุคคลได้ หรือทำการแฝงข้อมูล (pseudonymization) เพื่อลดความเสี่ยงในการระบุตัวบุคคลที่เป็นเจ้าของข้อมูลส่วนบุคคล หรือทำการเข้ารหัสข้อมูล (encryption) หรือใช้มาตรการอื่นในลักษณะเดียวกัน อย่างเหมาะสมตามระดับความเสี่ยงได้ โดยคำนึงถึงปัจจัยทางเทคโนโลยี บริบท สภาพแวดล้อม มาตรฐานที่เป็นที่ยอมรับสำหรับหน่วยงานหรือกิจการในประเภทหรือลักษณะเดียวกันหรือใกล้เคียงกัน ลักษณะและวัตถุประสงค์ของการเก็บรวบรวม ใช้ และเปิดเผยข้อมูลส่วนบุคคล ทรัพยากรที่ต้องใช้ และความเป็นไปได้ในการดำเนินการประกอบกัน หากสามารถทำให้บรรลุวัตถุประสงค์ที่เกี่ยวกับการจัดทำเอกสารประวัติศาสตร์หรือจดหมายเหตุเพื่อประโยชน์สาธารณะได้

ข้อ 5 ให้ประธานกรรมการคุ้มครองข้อมูลส่วนบุคคลเป็นผู้รักษาการตามประกาศนี้

ประกาศ ณ วันที่ 1 ธันวาคม พ.ศ. 2566

เธียรชัย ณ นคร

ประธานกรรมการคุ้มครองข้อมูลส่วนบุคคล

## เหตุผลและฐานอำนาจ

เหตุผลตามอารัมภบท: เป็นการสมควรกำหนดมาตรการปกป้องที่เหมาะสมเพื่อคุ้มครองสิทธิและเสรีภาพของเจ้าของข้อมูลส่วนบุคคล สำหรับการเก็บรวบรวมข้อมูลส่วนบุคคลเพื่อให้บรรลุวัตถุประสงค์ที่เกี่ยวกับการจัดทำเอกสารประวัติศาสตร์หรือจดหมายเหตุเพื่อประโยชน์สาธารณะ — เติมเต็มเงื่อนไข "มาตรการปกป้องที่เหมาะสมตามที่คณะกรรมการประกาศกำหนด" ของข้อยกเว้นความยินยอมใน [มาตรา 24](https://link.pdpalawbase.com/section/24.md) (1)

ฐานอำนาจ: อาศัยอำนาจตามความใน [มาตรา 16](https://link.pdpalawbase.com/section/16.md) (4) ประกอบ [มาตรา 24](https://link.pdpalawbase.com/section/24.md) (1) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562

## เอกสารต้นฉบับ

- [PDF ต้นฉบับ (local)](../../raw/notifications/notification-9.2.pdf)
- [ที่มา: pdpc.or.th](https://www.pdpc.or.th/2264/)

หมายเหตุการถอดความ: ประกาศในราชกิจจานุเบกษา เล่ม 140 ตอนพิเศษ 309 ง หน้า 79-80 วันที่ 8 ธันวาคม 2566 (PDF local = สำเนาฉบับราชกิจจาฯ) · `effective_date` 7 มีนาคม 2567 คำนวณจาก ข้อ 2 "พ้นกำหนดเก้าสิบวันนับแต่วันประกาศในราชกิจจานุเบกษา" นับวันประกาศเป็นวันแรก (แบบเดียวกับหมวด 7 ที่ยืนยันกับ commentary ภายนอกแล้ว) · ตัวบทถอดจาก team docx เทียบภาพ PDF ราชกิจจาฯ ครบทั้ง 2 หน้า — ตรงกันทุกจุด ไม่พบความคลาดเคลื่อน · วงเล็บภาษาอังกฤษ — organizational measures, pseudonymization, encryption ฯลฯ — เป็นข้อความในตัวบทต้นฉบับ verbatim

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/notification/9-2.md