Knowledge Link — คลังความรู้กฎหมาย PDPA ไทย
ชุดข้อมูล: ประกาศคณะกรรมการ (กฎหมายลำดับรอง) (21 โนด)
สร้างเมื่อ: 2026-08-10 · แหล่งทางการ: https://link.pdpalawbase.com (อัปเดตล่าสุดดูที่เว็บ)

กติกาเมื่อใช้ไฟล์นี้ตอบคำถาม:
- อ้าง "ชื่อโนด + ลิงก์อ้างอิง" (บรรทัด ลิงก์อ้างอิง:) ของทุกประเด็นที่ใช้
- ถ้าไม่พบคำตอบในคลัง ให้บอกว่าไม่พบ อย่าเดา อย่าแต่งเลขมาตรา
- เพื่อการศึกษา ไม่ใช่คำแนะนำทางกฎหมาย

============================================================
โนด: ประกาศ 1.1
ลิงก์อ้างอิง: https://link.pdpalawbase.com/notification/1-1.md

# ประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง มาตรการรักษาความมั่นคงปลอดภัยของผู้ควบคุมข้อมูลส่วนบุคคล พ.ศ. 2565

## ใจความสำคัญ

ประกาศหลักของหมวดความมั่นคงปลอดภัย — กำหนด "มาตรฐานขั้นต่ำ" ของมาตรการรักษาความมั่นคงปลอดภัยที่ผู้ควบคุมข้อมูลส่วนบุคคลทุกรายมีหน้าที่ต้องจัดให้มีตาม [มาตรา 37](https://link.pdpalawbase.com/section/37.md) (1) เพื่อป้องกันการสูญหาย เข้าถึง ใช้ เปลี่ยนแปลง แก้ไข หรือเปิดเผยข้อมูลส่วนบุคคลโดยปราศจากอำนาจหรือโดยมิชอบ ประกาศในราชกิจจานุเบกษาเมื่อ 20 มิถุนายน 2565 และมีผลใช้บังคับตั้งแต่ 21 มิถุนายน 2565 (วันถัดจากวันประกาศ)

- มาตรการต้องครอบคลุมข้อมูลส่วนบุคคลทุกรูปแบบ ทั้งเอกสาร อิเล็กทรอนิกส์ และรูปแบบอื่น (ข้อ 4 (1))
- ต้องมีทั้งมาตรการเชิงองค์กรและมาตรการเชิงเทคนิค ซึ่งอาจรวมมาตรการทางกายภาพที่จำเป็น โดยพิจารณาตามระดับความเสี่ยงของกิจกรรม (ข้อ 4 (2))
- ต้องครอบวงจรการรักษาความมั่นคงปลอดภัยครบทุกขั้น: ระบุความเสี่ยงของทรัพย์สินสารสนเทศ → ป้องกัน → ตรวจสอบเฝ้าระวัง → เผชิญเหตุ → รักษาและฟื้นฟูความเสียหาย (ข้อ 4 (3))
- ต้องธำรงไว้ซึ่งความลับ ความถูกต้องครบถ้วน และสภาพพร้อมใช้งานของข้อมูลส่วนบุคคล (ข้อ 4 (4))
- ระบบอิเล็กทรอนิกส์ต้องคุ้มครองทุกส่วนประกอบของระบบสารสนเทศ ตามหลักการป้องกันเชิงลึกที่มีมาตรการป้องกันหลายชั้น (ข้อ 4 (5))
- การควบคุมการเข้าถึงต้องมีอย่างน้อย 4 ด้าน: การควบคุมการเข้าถึงพร้อมการพิสูจน์ตัวตนและกำหนดสิทธิเท่าที่จำเป็น การบริหารจัดการการเข้าถึงของผู้ใช้งานตลอดวงจร การกำหนดหน้าที่ความรับผิดชอบของผู้ใช้งาน และวิธีการตรวจสอบย้อนหลัง (ข้อ 4 (6) (ก)-(ง))
- ต้องสร้างเสริมความตระหนักรู้และแจ้งนโยบาย แนวปฏิบัติ และมาตรการให้บุคลากรและผู้เกี่ยวข้องทราบและถือปฏิบัติ (ข้อ 4 (7))
- ต้องทบทวนมาตรการเมื่อมีความจำเป็นหรือเมื่อเทคโนโลยีเปลี่ยนแปลง และให้ถือว่าจำเป็นต้องทบทวนทุกครั้งที่มีเหตุการละเมิดข้อมูลส่วนบุคคล เว้นแต่การละเมิดนั้นไม่มีความเสี่ยงต่อสิทธิและเสรีภาพของบุคคล (ข้อ 5)
- ข้อตกลงระหว่างผู้ควบคุมกับผู้ประมวลผลข้อมูลส่วนบุคคล ต้องพิจารณากำหนดให้ผู้ประมวลผลจัดให้มีมาตรการตามมาตรฐานขั้นต่ำนี้ และแจ้งเหตุการละเมิดข้อมูลส่วนบุคคลให้ผู้ควบคุมทราบ (ข้อ 6)
- ผู้ควบคุมที่มีหน้าที่จัดมาตรการรักษาความมั่นคงปลอดภัยตามกฎหมายอื่นอยู่แล้ว ยังต้องทำให้ได้อย่างน้อยตามมาตรฐานขั้นต่ำของประกาศนี้ด้วย (ข้อ 7)

## ตัวบท

ข้อ 1 ประกาศนี้เรียกว่า "ประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง มาตรการรักษาความมั่นคงปลอดภัยของผู้ควบคุมข้อมูลส่วนบุคคล พ.ศ. 2565"

ข้อ 2 ประกาศนี้ให้ใช้บังคับตั้งแต่วันถัดจากวันประกาศในราชกิจจานุเบกษาเป็นต้นไป

ข้อ 3 ในประกาศนี้

"ความมั่นคงปลอดภัย" หมายความว่า การธำรงไว้ซึ่งความลับ (confidentiality) ความถูกต้องครบถ้วน (integrity) และสภาพพร้อมใช้งาน (availability) ของข้อมูลส่วนบุคคล ทั้งนี้ เพื่อป้องกันการสูญหาย เข้าถึง ใช้ เปลี่ยนแปลง แก้ไข หรือเปิดเผยข้อมูลส่วนบุคคลโดยปราศจากอำนาจหรือโดยมิชอบ

ข้อ 4 ผู้ควบคุมข้อมูลส่วนบุคคลมีหน้าที่จัดให้มีมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสม เพื่อป้องกันการสูญหาย เข้าถึง ใช้ เปลี่ยนแปลง แก้ไข หรือเปิดเผยข้อมูลส่วนบุคคลโดยปราศจากอำนาจหรือโดยมิชอบ โดยมาตรการรักษาความมั่นคงปลอดภัยดังกล่าว อย่างน้อยต้องมีการดำเนินการ ดังต่อไปนี้

(1) มาตรการรักษาความมั่นคงปลอดภัยดังกล่าว จะต้องครอบคลุมการเก็บรวบรวม ใช้ และเปิดเผยข้อมูลส่วนบุคคล ตามกฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคล ไม่ว่าข้อมูลส่วนบุคคลดังกล่าวจะอยู่ในรูปแบบเอกสารหรือในรูปแบบอิเล็กทรอนิกส์ หรือรูปแบบอื่นใดก็ตาม

(2) มาตรการรักษาความมั่นคงปลอดภัยดังกล่าว จะต้องประกอบด้วยมาตรการเชิงองค์กร (organizational measures) และมาตรการเชิงเทคนิค (technical measures) ที่เหมาะสม ซึ่งอาจรวมถึงมาตรการทางกายภาพ (physical measures) ที่จำเป็นด้วย โดยคำนึงถึงระดับความเสี่ยงตามลักษณะและวัตถุประสงค์ของการเก็บรวบรวม ใช้ และเปิดเผยข้อมูลส่วนบุคคล ตลอดจนโอกาสเกิดและผลกระทบจากเหตุการละเมิดข้อมูลส่วนบุคคล

(3) มาตรการรักษาความมั่นคงปลอดภัยดังกล่าว จะต้องคำนึงถึงการดำเนินการเกี่ยวกับการรักษาความมั่นคงปลอดภัย ตั้งแต่การระบุความเสี่ยงที่สำคัญที่อาจจะเกิดขึ้นกับทรัพย์สินสารสนเทศ (information assets) ที่สำคัญ การป้องกันความเสี่ยงที่สำคัญที่อาจจะเกิดขึ้น การตรวจสอบและเฝ้าระวังภัยคุกคามและเหตุการละเมิดข้อมูลส่วนบุคคล การเผชิญเหตุเมื่อมีการตรวจพบภัยคุกคามและเหตุการละเมิดข้อมูลส่วนบุคคล และการรักษาและฟื้นฟูความเสียหายที่เกิดจากภัยคุกคามหรือเหตุการละเมิดข้อมูลส่วนบุคคลด้วย ทั้งนี้ เท่าที่จำเป็นเหมาะสม และเป็นไปได้ตามระดับความเสี่ยง

(4) มาตรการรักษาความมั่นคงปลอดภัยดังกล่าว จะต้องคำนึงถึงความสามารถในการธำรงไว้ซึ่งความลับ (confidentiality) ความถูกต้องครบถ้วน (integrity) และสภาพพร้อมใช้งาน (availability) ของข้อมูลส่วนบุคคลไว้ได้อย่างเหมาะสมตามระดับความเสี่ยง โดยคำนึงถึงปัจจัยทางเทคโนโลยี บริบท สภาพแวดล้อม มาตรฐานที่เป็นที่ยอมรับสำหรับหน่วยงานหรือกิจการในประเภทหรือลักษณะเดียวกันหรือใกล้เคียงกัน ลักษณะและวัตถุประสงค์ของการเก็บรวบรวม ใช้ และเปิดเผยข้อมูลส่วนบุคคล ทรัพยากรที่ต้องใช้ และความเป็นไปได้ในการดำเนินการประกอบกัน

(5) สำหรับการเก็บรวบรวม ใช้ และเปิดเผยข้อมูลส่วนบุคคลในรูปแบบอิเล็กทรอนิกส์ มาตรการรักษาความมั่นคงปลอดภัยดังกล่าว จะต้องครอบคลุมส่วนประกอบต่าง ๆ ของระบบสารสนเทศที่เกี่ยวข้องกับการเก็บรวบรวม ใช้ และเปิดเผยข้อมูลส่วนบุคคล เช่น ระบบและอุปกรณ์จัดเก็บข้อมูลส่วนบุคคล เครื่องคอมพิวเตอร์แม่ข่าย (servers) เครื่องคอมพิวเตอร์ลูกข่าย (clients) และอุปกรณ์ต่าง ๆ ที่ใช้ ระบบเครือข่าย ซอฟต์แวร์และแอปพลิเคชัน อย่างเหมาะสมตามระดับความเสี่ยง โดยคำนึงถึงหลักการป้องกันเชิงลึก (defense in depth) ที่ควรประกอบด้วยมาตรการป้องกันหลายชั้น (multiple layers of security controls) เพื่อลดความเสี่ยงในกรณีที่มาตรการบางมาตรการมีข้อจำกัดในการป้องกันความมั่นคงปลอดภัยในบางสถานการณ์

(6) มาตรการรักษาความมั่นคงปลอดภัยดังกล่าว ในส่วนที่เกี่ยวกับการเข้าถึง ใช้ เปลี่ยนแปลง แก้ไข ลบ หรือเปิดเผยข้อมูลส่วนบุคคล อย่างน้อยต้องประกอบด้วยการดำเนินการดังต่อไปนี้อย่างเหมาะสมตามระดับความเสี่ยง โดยคำนึงถึงความจำเป็นในการเข้าถึงและใช้งานตามลักษณะและวัตถุประสงค์ของการเก็บรวบรวม ใช้ และเปิดเผยข้อมูลส่วนบุคคล การรักษาความมั่นคงปลอดภัยตามระดับความเสี่ยง ทรัพยากรที่ต้องใช้ และความเป็นไปได้ในการดำเนินการประกอบกัน

(ก) การควบคุมการเข้าถึงข้อมูลส่วนบุคคลและส่วนประกอบของระบบสารสนเทศที่สำคัญ (access control) ที่มีการพิสูจน์และยืนยันตัวตน (identity proofing and authentication) และการอนุญาตหรือการกำหนดสิทธิในการเข้าถึงและใช้งาน (authorization) ที่เหมาะสม โดยคำนึงถึงหลักการให้สิทธิเท่าที่จำเป็น (need-to-know basis) ตามหลักการให้สิทธิที่น้อยที่สุดเท่าที่จำเป็น (principle of least privilege)

(ข) การบริหารจัดการการเข้าถึงของผู้ใช้งาน (user access management) ที่เหมาะสม ซึ่งอาจรวมถึงการลงทะเบียนและการถอนสิทธิผู้ใช้งาน (user registration and de-registration) การจัดการสิทธิการเข้าถึงของผู้ใช้งาน (user access provisioning) การบริหารจัดการสิทธิการเข้าถึงตามสิทธิ (management of privileged access rights) การบริหารจัดการข้อมูลความลับสำหรับการพิสูจน์ตัวตนของผู้ใช้งาน (management of secret authentication information of users) การทบทวนสิทธิการเข้าถึงของผู้ใช้งาน (review of user access rights) และการถอดถอนหรือปรับปรุงสิทธิการเข้าถึง (removal or adjustment of access rights)

(ค) การกำหนดหน้าที่ความรับผิดชอบของผู้ใช้งาน (user responsibilities) เพื่อป้องกันการเข้าถึง ใช้ เปลี่ยนแปลง แก้ไข ลบ หรือเปิดเผยข้อมูลส่วนบุคคลโดยปราศจากอำนาจหรือโดยมิชอบ ซึ่งรวมถึงกรณีที่เป็นการกระทำนอกเหนือบทบาทหน้าที่ที่ได้รับมอบหมาย ตลอดจนการลักลอบทำสำเนาข้อมูลส่วนบุคคลโดยปราศจากอำนาจหรือโดยมิชอบ และการลักขโมยอุปกรณ์จัดเก็บหรือประมวลผลข้อมูลส่วนบุคคล

(ง) การจัดให้มีวิธีการเพื่อให้สามารถตรวจสอบย้อนหลังเกี่ยวกับการเข้าถึง เปลี่ยนแปลง แก้ไข หรือลบข้อมูลส่วนบุคคล (audit trails) ที่เหมาะสมกับวิธีการและสื่อที่ใช้ในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล

(7) มาตรการรักษาความมั่นคงปลอดภัยดังกล่าว จะต้องรวมถึงการสร้างเสริมความตระหนักรู้ด้านความสำคัญของการคุ้มครองข้อมูลส่วนบุคคลและการรักษาความมั่นคงปลอดภัย (privacy and security awareness) และการแจ้งนโยบาย แนวปฏิบัติ และมาตรการด้านการคุ้มครองข้อมูลส่วนบุคคลและการรักษาความมั่นคงปลอดภัยของผู้ควบคุมข้อมูลส่วนบุคคลอย่างเหมาะสม ให้บุคลากร พนักงาน ลูกจ้าง หรือบุคคลอื่นที่เป็นผู้ใช้งาน (user) หรือเกี่ยวข้องกับการเข้าถึง เก็บรวบรวม ใช้ เปลี่ยนแปลง แก้ไข ลบ หรือเปิดเผยข้อมูลส่วนบุคคล ทราบและถือปฏิบัติ รวมทั้งกรณีที่มีการปรับปรุงแก้ไขนโยบาย แนวปฏิบัติ และมาตรการดังกล่าวด้วย โดยคำนึงถึงลักษณะและวัตถุประสงค์ของการเก็บรวบรวม ใช้ และเปิดเผยข้อมูลส่วนบุคคล ระดับความเสี่ยง ทรัพยากรที่ต้องใช้ และความเป็นไปได้ในการดำเนินการประกอบกัน

ข้อ 5 ผู้ควบคุมข้อมูลส่วนบุคคลต้องทบทวนมาตรการรักษาความมั่นคงปลอดภัยตามข้อ 4 เมื่อมีความจำเป็นหรือเมื่อเทคโนโลยีเปลี่ยนแปลงไปเพื่อให้มีประสิทธิภาพในการรักษาความมั่นคงปลอดภัยที่เหมาะสม โดยคำนึงถึงระดับความเสี่ยงตามปัจจัยทางเทคโนโลยี บริบท สภาพแวดล้อม มาตรฐานที่เป็นที่ยอมรับสำหรับหน่วยงานหรือกิจการในประเภทหรือลักษณะเดียวกันหรือใกล้เคียงกัน ลักษณะและวัตถุประสงค์ของการเก็บรวบรวม ใช้ และเปิดเผยข้อมูลส่วนบุคคล ทรัพยากรที่ต้องใช้ และความเป็นไปได้ในการดำเนินการประกอบกัน

เมื่อมีเหตุการละเมิดข้อมูลส่วนบุคคล ให้ถือว่าผู้ควบคุมข้อมูลส่วนบุคคลมีความจำเป็นต้องทบทวนมาตรการรักษาความมั่นคงปลอดภัยตามวรรคหนึ่ง เว้นแต่การละเมิดดังกล่าวไม่มีความเสี่ยงที่จะมีผลกระทบต่อสิทธิและเสรีภาพของบุคคล

ข้อ 6 ในการจัดให้มีข้อตกลงระหว่างผู้ควบคุมข้อมูลส่วนบุคคลและผู้ประมวลผลข้อมูลส่วนบุคคล ให้ผู้ควบคุมข้อมูลส่วนบุคคลพิจารณากำหนดให้ผู้ประมวลผลข้อมูลส่วนบุคคลจัดให้มีมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสม เพื่อป้องกันการสูญหาย เข้าถึง ใช้ เปลี่ยนแปลง แก้ไข หรือเปิดเผยข้อมูลส่วนบุคคลโดยปราศจากอำนาจหรือโดยมิชอบ รวมทั้งแจ้งให้ผู้ควบคุมข้อมูลส่วนบุคคลทราบถึงเหตุการละเมิดข้อมูลส่วนบุคคลที่เกิดขึ้น โดยมาตรการรักษาความมั่นคงปลอดภัยดังกล่าว จะต้องเป็นไปตามมาตรฐานขั้นต่ำตามข้อ 4 โดยคำนึงถึงระดับความเสี่ยงตามลักษณะและวัตถุประสงค์ของการเก็บรวบรวม ใช้ และเปิดเผยข้อมูลส่วนบุคคล ตลอดจนโอกาสเกิดและผลกระทบจากเหตุการละเมิดข้อมูลส่วนบุคคล

ข้อ 7 ในกรณีที่ผู้ควบคุมข้อมูลส่วนบุคคลมีหน้าที่ตามกฎหมายอื่นในการจัดให้มีมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสม เพื่อป้องกันการสูญหาย เข้าถึง ใช้ เปลี่ยนแปลง แก้ไข หรือเปิดเผยข้อมูลส่วนบุคคลโดยปราศจากอำนาจหรือโดยมิชอบ ให้ผู้ควบคุมข้อมูลส่วนบุคคลดำเนินการตามกฎหมายนั้น แต่มาตรการรักษาความมั่นคงปลอดภัยดังกล่าวของผู้ควบคุมข้อมูลส่วนบุคคล จะต้องเป็นไปตามมาตรฐานขั้นต่ำที่กำหนดในประกาศนี้ด้วย

ข้อ 8 ให้ประธานกรรมการคุ้มครองข้อมูลส่วนบุคคลเป็นผู้รักษาการตามประกาศนี้

ประกาศ ณ วันที่ 10 มิถุนายน พ.ศ. 2565

เธียรชัย ณ นคร

ประธานกรรมการคุ้มครองข้อมูลส่วนบุคคล

## เหตุผลและฐานอำนาจ

โดยที่เป็นการสมควรกำหนดให้ผู้ควบคุมข้อมูลส่วนบุคคลมีหน้าที่จัดให้มีมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสม เพื่อป้องกันการสูญหาย เข้าถึง ใช้ เปลี่ยนแปลง แก้ไข หรือเปิดเผยข้อมูลส่วนบุคคลโดยปราศจากอำนาจหรือโดยมิชอบ โดยให้เป็นไปตามมาตรฐานขั้นต่ำที่คณะกรรมการคุ้มครองข้อมูลส่วนบุคคลประกาศกำหนด เพื่อให้การคุ้มครองข้อมูลส่วนบุคคลในระยะแรกที่กฎหมายมีผลใช้บังคับมีความเหมาะสม

อาศัยอำนาจตามความใน [มาตรา 16](https://link.pdpalawbase.com/section/16.md) (4) และ [มาตรา 37](https://link.pdpalawbase.com/section/37.md) (1) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 คณะกรรมการคุ้มครองข้อมูลส่วนบุคคล จึงออกประกาศไว้เป็นมาตรฐานขั้นต่ำของมาตรการรักษาความมั่นคงปลอดภัยของผู้ควบคุมข้อมูลส่วนบุคคล

## เอกสารต้นฉบับ

- [PDF ต้นฉบับ (local)](../../raw/notifications/notification-1.1.pdf)
- [ที่มา: pdpc.or.th](https://www.pdpc.or.th/2971/)

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/notification/1-1.md

============================================================
โนด: ประกาศ 1.2
ลิงก์อ้างอิง: https://link.pdpalawbase.com/notification/1-2.md

# ประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง มาตรฐานการรักษาความมั่นคงปลอดภัยของข้อมูลส่วนบุคคลของผู้ควบคุมข้อมูลส่วนบุคคลซึ่งได้รับการยกเว้นไม่ให้นำพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 มาใช้บังคับ พ.ศ. 2566

## ใจความสำคัญ

แม้ผู้ควบคุมข้อมูลส่วนบุคคลบางกลุ่มจะได้รับการยกเว้นไม่ให้นำ พ.ร.บ. คุ้มครองข้อมูลส่วนบุคคลฯ มาใช้บังคับ (ตาม [มาตรา 4](https://link.pdpalawbase.com/section/4.md) วรรคหนึ่ง (2)-(6) หรือตามพระราชกฤษฎีกาที่ออกตามมาตรา 4 วรรคสอง) แต่ [มาตรา 4](https://link.pdpalawbase.com/section/4.md) วรรคสาม ยังบังคับให้ต้องจัดให้มีการรักษาความมั่นคงปลอดภัยของข้อมูลส่วนบุคคลตามมาตรฐานที่คณะกรรมการกำหนด — ประกาศฉบับนี้คือมาตรฐานดังกล่าว ประกาศในราชกิจจานุเบกษาเมื่อ 8 ธันวาคม 2566 และมีผลใช้บังคับเมื่อพ้นกำหนด 90 วันนับแต่วันประกาศ คือตั้งแต่ 7 มีนาคม 2567

- ขอบเขตผู้ถูกบังคับ: ผู้ควบคุมข้อมูลส่วนบุคคลที่ได้รับการยกเว้นตามมาตรา 4 วรรคหนึ่ง (2) (3) (4) (5) และ (6) — เช่น หน่วยงานด้านความมั่นคงของรัฐ — และที่ได้รับยกเว้นทั้งหมดหรือบางส่วนตามพระราชกฤษฎีกาที่ออกตามมาตรา 4 วรรคสอง (ข้อ 3)
- มาตรฐาน 8 ข้อในข้อ 4 มีโครงเดียวกับมาตรฐานขั้นต่ำของ[ประกาศคณะกรรมการฯ เรื่อง มาตรการรักษาความมั่นคงปลอดภัยของผู้ควบคุมข้อมูลส่วนบุคคล พ.ศ. 2565](https://link.pdpalawbase.com/notification/1-1.md) (ฉบับ 1.1 ของหมวดนี้): ครอบคลุมทุกรูปแบบข้อมูล มาตรการเชิงองค์กร/เทคนิค/กายภาพ วงจรการรักษาความมั่นคงปลอดภัย การธำรงความลับ-ความถูกต้อง-สภาพพร้อมใช้งาน การคุ้มครองระบบสารสนเทศแบบป้องกันเชิงลึก การควบคุมการเข้าถึง 4 ด้าน และการสร้างความตระหนักรู้
- ข้อที่เพิ่มจากฉบับ 1.1: มาตรการ "ควรรวมถึง" การทำให้ข้อมูลไม่สามารถระบุตัวบุคคลได้ การแฝงข้อมูล หรือการเข้ารหัสข้อมูล อย่างเหมาะสมตามระดับความเสี่ยง หากสามารถกระทำได้ (ข้อ 4 (8))
- นิยาม "การละเมิดข้อมูลส่วนบุคคล" ระบุเหตุที่นับเป็นการละเมิดไว้กว้าง: เจตนา ประมาทเลินเล่อ การกระทำความผิดเกี่ยวกับคอมพิวเตอร์ ภัยคุกคามทางไซเบอร์ ข้อผิดพลาดหรืออุบัติเหตุ (ข้อ 3)
- ต้องทบทวนมาตรการเมื่อจำเป็นหรือเทคโนโลยีเปลี่ยน และถือว่าจำเป็นต้องทบทวนเมื่อมีเหตุการละเมิดข้อมูลส่วนบุคคล (ข้อ 5)
- ครอบคลุมถึงกรณีมีผู้ประมวลผลข้อมูลส่วนบุคคล หรือบุคคล/นิติบุคคลอื่นที่ดำเนินการตามคำสั่งหรือในนามของผู้ควบคุม: ต้องพิจารณากำหนดให้มีมาตรการตามมาตรฐานข้อ 4 และแจ้งเหตุการละเมิดให้ผู้ควบคุมทราบโดยไม่ชักช้า (ข้อ 6)
- ผู้ควบคุมที่มีหน้าที่ตามกฎหมายอื่นยังต้องปฏิบัติให้ได้ตามมาตรฐานของประกาศนี้ด้วย (ข้อ 7)

## ตัวบท

ข้อ 1 ประกาศนี้เรียกว่า "ประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง มาตรฐานการรักษาความมั่นคงปลอดภัยของข้อมูลส่วนบุคคลของผู้ควบคุมข้อมูลส่วนบุคคลซึ่งได้รับการยกเว้นไม่ให้นำพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 มาใช้บังคับ พ.ศ. 2566"

ข้อ 2 ประกาศนี้ให้ใช้บังคับเมื่อพ้นกำหนดเก้าสิบวันนับแต่วันประกาศในราชกิจจานุเบกษาเป็นต้นไป

ข้อ 3 ในประกาศนี้

"ความมั่นคงปลอดภัย" หมายความว่า การธำรงไว้ซึ่งความลับ (confidentiality) ความถูกต้องครบถ้วน (integrity) และสภาพพร้อมใช้งาน (availability) ของข้อมูลส่วนบุคคล ทั้งนี้ เพื่อป้องกันการสูญหาย เข้าถึง ใช้ เปลี่ยนแปลง แก้ไข หรือเปิดเผยข้อมูลส่วนบุคคลโดยปราศจากอำนาจหรือโดยมิชอบ

"การละเมิดข้อมูลส่วนบุคคล" หมายความว่า การละเมิดมาตรการรักษาความมั่นคงปลอดภัยที่ทำให้เกิดการสูญหาย เข้าถึง ใช้ เปลี่ยนแปลง แก้ไข หรือเปิดเผยข้อมูลส่วนบุคคลโดยปราศจากอำนาจหรือโดยมิชอบ ไม่ว่าจะเกิดจากเจตนา ความจงใจ ความประมาทเลินเล่อ การกระทำโดยปราศจากอำนาจหรือโดยมิชอบ การกระทำความผิดเกี่ยวกับคอมพิวเตอร์ ภัยคุกคามทางไซเบอร์ ข้อผิดพลาดบกพร่องหรืออุบัติเหตุ หรือเหตุอื่นใด

"ผู้ควบคุมข้อมูลส่วนบุคคล" หมายความว่า ผู้ควบคุมข้อมูลส่วนบุคคลที่ได้รับการยกเว้นไม่ให้นำพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 มาใช้บังคับตาม [มาตรา 4](https://link.pdpalawbase.com/section/4.md) วรรคหนึ่ง (2) (3) (4) (5) และ (6) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 และผู้ควบคุมข้อมูลส่วนบุคคลที่ได้รับยกเว้นไม่ให้นำบทบัญญัติแห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ทั้งหมดหรือแต่บางส่วนมาใช้บังคับตามที่กำหนดในพระราชกฤษฎีกาตามมาตรา 4 วรรคสอง แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562

ข้อ 4 ผู้ควบคุมข้อมูลส่วนบุคคลมีหน้าที่ต้องจัดให้มีการรักษาความมั่นคงปลอดภัยของข้อมูลส่วนบุคคลที่เหมาะสม เพื่อป้องกันการสูญหาย เข้าถึง ใช้ เปลี่ยนแปลง แก้ไข หรือเปิดเผยข้อมูลส่วนบุคคลโดยปราศจากอำนาจหรือโดยมิชอบ โดยจะต้องมีมาตรการรักษาความมั่นคงปลอดภัยที่เป็นไปตามมาตรฐาน ดังต่อไปนี้

(1) มาตรการรักษาความมั่นคงปลอดภัยดังกล่าว จะต้องครอบคลุมการเก็บรวบรวม ใช้ และเปิดเผยข้อมูลส่วนบุคคล ไม่ว่าข้อมูลส่วนบุคคลดังกล่าวจะอยู่ในรูปแบบเอกสารหรือในรูปแบบอิเล็กทรอนิกส์ หรือรูปแบบอื่นใดก็ตาม

(2) มาตรการรักษาความมั่นคงปลอดภัยดังกล่าว จะต้องประกอบด้วยมาตรการเชิงองค์กร (organizational measures) และมาตรการเชิงเทคนิค (technical measures) ที่เหมาะสม ซึ่งอาจรวมถึงมาตรการทางกายภาพ (physical measures) ที่จำเป็นด้วย โดยคำนึงถึงระดับความเสี่ยงตามลักษณะและวัตถุประสงค์ของการเก็บรวบรวม ใช้ และเปิดเผยข้อมูลส่วนบุคคล ตลอดจนโอกาสเกิดและผลกระทบจากเหตุการละเมิดข้อมูลส่วนบุคคล

(3) มาตรการรักษาความมั่นคงปลอดภัยดังกล่าว จะต้องคำนึงถึงการดำเนินการเกี่ยวกับการรักษาความมั่นคงปลอดภัย ตั้งแต่การระบุความเสี่ยงที่สำคัญที่อาจจะเกิดขึ้นกับทรัพย์สินสารสนเทศ (information assets) ที่สำคัญ การป้องกันความเสี่ยงที่สำคัญที่อาจจะเกิดขึ้น การตรวจสอบและเฝ้าระวังภัยคุกคามและเหตุการละเมิดข้อมูลส่วนบุคคล การเผชิญเหตุเมื่อมีการตรวจพบภัยคุกคามและเหตุการละเมิดข้อมูลส่วนบุคคล และการรักษาและฟื้นฟูความเสียหายที่เกิดจากภัยคุกคามหรือเหตุการละเมิดข้อมูลส่วนบุคคลด้วย ทั้งนี้ เท่าที่จำเป็นเหมาะสม และเป็นไปได้ตามระดับความเสี่ยง

(4) มาตรการรักษาความมั่นคงปลอดภัยดังกล่าว จะต้องคำนึงถึงความสามารถในการธำรงไว้ซึ่งความลับ (confidentiality) ความถูกต้องครบถ้วน (integrity) และสภาพพร้อมใช้งาน (availability) ของข้อมูลส่วนบุคคลไว้ได้อย่างเหมาะสมตามระดับความเสี่ยง โดยคำนึงถึงปัจจัยทางเทคโนโลยี บริบท สภาพแวดล้อม มาตรฐานที่เป็นที่ยอมรับสำหรับหน่วยงานหรือกิจการในประเภทหรือลักษณะเดียวกันหรือใกล้เคียงกัน ลักษณะและวัตถุประสงค์ของการเก็บรวบรวม ใช้ และเปิดเผยข้อมูลส่วนบุคคล ทรัพยากรที่ต้องใช้ และความเป็นไปได้ในการดำเนินการประกอบกัน

(5) สำหรับการเก็บรวบรวม ใช้ และเปิดเผยข้อมูลส่วนบุคคลในรูปแบบอิเล็กทรอนิกส์ มาตรการรักษาความมั่นคงปลอดภัยดังกล่าว จะต้องครอบคลุมส่วนประกอบต่าง ๆ ของระบบสารสนเทศที่เกี่ยวข้องกับการเก็บรวบรวม ใช้ และเปิดเผยข้อมูลส่วนบุคคล เช่น ระบบและอุปกรณ์จัดเก็บข้อมูลส่วนบุคคล เครื่องคอมพิวเตอร์แม่ข่าย (servers) เครื่องคอมพิวเตอร์ลูกข่าย (clients) และอุปกรณ์ต่าง ๆ ที่ใช้ ระบบเครือข่าย ซอฟต์แวร์และแอปพลิเคชัน อย่างเหมาะสมตามระดับความเสี่ยง โดยคำนึงถึงหลักการป้องกันเชิงลึก (defense in depth) ที่ควรประกอบด้วยมาตรการป้องกันหลายชั้น (multiple layers of security controls) เพื่อลดความเสี่ยงในกรณีที่มาตรการบางมาตรการมีข้อจำกัดในการป้องกันความมั่นคงปลอดภัยในบางสถานการณ์

(6) มาตรการรักษาความมั่นคงปลอดภัยดังกล่าว ในส่วนที่เกี่ยวกับการเข้าถึง ใช้ เปลี่ยนแปลง แก้ไข ลบ หรือเปิดเผยข้อมูลส่วนบุคคล อย่างน้อยต้องประกอบด้วยการดำเนินการดังต่อไปนี้อย่างเหมาะสมตามระดับความเสี่ยง โดยคำนึงถึงความจำเป็นในการเข้าถึงและใช้งานตามลักษณะและวัตถุประสงค์ของการเก็บรวบรวม ใช้ และเปิดเผยข้อมูลส่วนบุคคล การรักษาความมั่นคงปลอดภัยตามระดับความเสี่ยง ทรัพยากรที่ต้องใช้ และความเป็นไปได้ในการดำเนินการประกอบกัน

(ก) การควบคุมการเข้าถึงข้อมูลส่วนบุคคลและส่วนประกอบของระบบสารสนเทศที่สำคัญ (access control) ที่มีการพิสูจน์และยืนยันตัวตน (identity proofing and authentication) และการอนุญาตหรือการกำหนดสิทธิในการเข้าถึงและใช้งาน (authorization) ที่เหมาะสม โดยคำนึงถึงหลักการให้สิทธิเท่าที่จำเป็น (need-to-know basis) ตามหลักการให้สิทธิที่น้อยที่สุดเท่าที่จำเป็น (principle of least privilege)

(ข) การบริหารจัดการการเข้าถึงของผู้ใช้งาน (user access management) ที่เหมาะสม ซึ่งอาจรวมถึงการลงทะเบียนและการถอนสิทธิผู้ใช้งาน (user registration and de-registration) การจัดการสิทธิการเข้าถึงของผู้ใช้งาน (user access provisioning) การบริหารจัดการสิทธิการเข้าถึงตามสิทธิ (management of privileged access rights) การบริหารจัดการข้อมูลความลับสำหรับการพิสูจน์ตัวตนของผู้ใช้งาน (management of secret authentication information of users) การทบทวนสิทธิการเข้าถึงของผู้ใช้งาน (review of user access rights) และการถอดถอนหรือปรับปรุงสิทธิการเข้าถึง (removal or adjustment of access rights)

(ค) การกำหนดหน้าที่ความรับผิดชอบของผู้ใช้งาน (user responsibilities) เพื่อป้องกันการเข้าถึง ใช้ เปลี่ยนแปลง แก้ไข ลบ หรือเปิดเผยข้อมูลส่วนบุคคลโดยปราศจากอำนาจหรือโดยมิชอบ ซึ่งรวมถึงกรณีที่เป็นการกระทำนอกเหนือบทบาทหน้าที่ที่ได้รับมอบหมาย ตลอดจนการลักลอบทำสำเนาข้อมูลส่วนบุคคลโดยปราศจากอำนาจหรือโดยมิชอบ และการลักขโมยอุปกรณ์จัดเก็บหรือประมวลผลข้อมูลส่วนบุคคล

(ง) การจัดให้มีวิธีการเพื่อให้สามารถตรวจสอบย้อนหลังเกี่ยวกับการเข้าถึง เปลี่ยนแปลง แก้ไข หรือลบข้อมูลส่วนบุคคล (audit trails) ที่เหมาะสมกับวิธีการและสื่อที่ใช้ในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล

(7) มาตรการรักษาความมั่นคงปลอดภัยดังกล่าว จะต้องรวมถึงการสร้างเสริมความตระหนักรู้ด้านความสำคัญของการคุ้มครองข้อมูลส่วนบุคคลและการรักษาความมั่นคงปลอดภัย (privacy and security awareness) และการแจ้งนโยบาย แนวปฏิบัติ และมาตรการด้านการคุ้มครองข้อมูลส่วนบุคคลและการรักษาความมั่นคงปลอดภัยของผู้ควบคุมข้อมูลส่วนบุคคลอย่างเหมาะสม ให้บุคลากร พนักงาน ลูกจ้าง หรือบุคคลอื่นที่เป็นผู้ใช้งาน (user) หรือเกี่ยวข้องกับการเข้าถึง เก็บรวบรวม ใช้ เปลี่ยนแปลง แก้ไข ลบ หรือเปิดเผยข้อมูลส่วนบุคคล ทราบและถือปฏิบัติ รวมทั้งกรณีที่มีการปรับปรุงแก้ไขนโยบาย แนวปฏิบัติ และมาตรการดังกล่าวด้วย โดยคำนึงถึงลักษณะและวัตถุประสงค์ของการเก็บรวบรวม ใช้ และเปิดเผยข้อมูลส่วนบุคคล ระดับความเสี่ยง ทรัพยากรที่ต้องใช้ และความเป็นไปได้ในการดำเนินการประกอบกัน

(8) มาตรการรักษาความมั่นคงปลอดภัยดังกล่าว ควรรวมถึงมาตรการที่ทำให้ข้อมูลส่วนบุคคลเป็นข้อมูลที่ไม่สามารถระบุตัวบุคคลที่เป็นเจ้าของข้อมูลส่วนบุคคลได้ หรือมีการแฝงข้อมูล (pseudonymization) เพื่อลดความเสี่ยงในการระบุตัวบุคคลที่เป็นเจ้าของข้อมูลส่วนบุคคล หรือมีการเข้ารหัสข้อมูล (encryption) หรือมาตรการอื่นในลักษณะเดียวกัน อย่างเหมาะสมตามระดับความเสี่ยง หากสามารถกระทำได้ โดยคำนึงถึงปัจจัยทางเทคโนโลยี บริบท สภาพแวดล้อม มาตรฐานที่เป็นที่ยอมรับสำหรับหน่วยงานหรือกิจการในประเภทหรือลักษณะเดียวกันหรือใกล้เคียงกัน ลักษณะและวัตถุประสงค์ของการเก็บรวบรวม ใช้ และเปิดเผยข้อมูลส่วนบุคคล ทรัพยากรที่ต้องใช้ และความเป็นไปได้ในการดำเนินการประกอบกัน

ข้อ 5 ผู้ควบคุมข้อมูลส่วนบุคคลต้องทบทวนมาตรการรักษาความมั่นคงปลอดภัยตามข้อ 4 เมื่อมีความจำเป็นหรือเมื่อเทคโนโลยีเปลี่ยนแปลงไปเพื่อให้มีประสิทธิภาพในการรักษาความมั่นคงปลอดภัยที่เหมาะสม โดยคำนึงถึงระดับความเสี่ยงตามปัจจัยทางเทคโนโลยี บริบท สภาพแวดล้อม มาตรฐานที่เป็นที่ยอมรับสำหรับหน่วยงานหรือกิจการในประเภทหรือลักษณะเดียวกันหรือใกล้เคียงกัน ลักษณะและวัตถุประสงค์ของการเก็บรวบรวม ใช้ และเปิดเผยข้อมูลส่วนบุคคล ทรัพยากรที่ต้องใช้ และความเป็นไปได้ในการดำเนินการประกอบกัน

เมื่อมีเหตุการละเมิดข้อมูลส่วนบุคคล ให้ถือว่าผู้ควบคุมข้อมูลส่วนบุคคลมีความจำเป็นต้องทบทวนมาตรการรักษาความมั่นคงปลอดภัยตามวรรคหนึ่ง เว้นแต่การละเมิดดังกล่าวไม่มีความเสี่ยงที่จะมีผลกระทบต่อสิทธิและเสรีภาพของบุคคล

ข้อ 6 ในกรณีที่ผู้ควบคุมข้อมูลส่วนบุคคลมีผู้ประมวลผลข้อมูลส่วนบุคคล หรือบุคคลหรือนิติบุคคลอื่นที่ไม่เป็นผู้ควบคุมข้อมูลส่วนบุคคล ซึ่งดำเนินการเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลตามคำสั่งหรือในนามของผู้ควบคุมข้อมูลส่วนบุคคล ให้ผู้ควบคุมข้อมูลส่วนบุคคลพิจารณากำหนดให้ผู้ประมวลผลข้อมูลส่วนบุคคลหรือบุคคลหรือนิติบุคคลนั้นจัดให้มีมาตรการรักษาความมั่นคงปลอดภัยของข้อมูลส่วนบุคคลที่เหมาะสม เพื่อป้องกันการสูญหาย เข้าถึง ใช้ เปลี่ยนแปลง แก้ไข หรือเปิดเผยข้อมูลส่วนบุคคลโดยปราศจากอำนาจหรือโดยมิชอบ รวมทั้งแจ้งให้ผู้ควบคุมข้อมูลส่วนบุคคลทราบถึงเหตุการละเมิดข้อมูลส่วนบุคคลที่เกิดขึ้นโดยไม่ชักช้าเท่าที่จะสามารถกระทำได้ โดยมาตรการรักษาความมั่นคงปลอดภัยดังกล่าว จะต้องเป็นไปตามมาตรฐานตามข้อ 4 โดยคำนึงถึงระดับความเสี่ยงตามลักษณะและวัตถุประสงค์ของการเก็บรวบรวม ใช้ และเปิดเผยข้อมูลส่วนบุคคล ตลอดจนโอกาสเกิดและผลกระทบจากเหตุการละเมิดข้อมูลส่วนบุคคล

ข้อ 7 ในกรณีที่ผู้ควบคุมข้อมูลส่วนบุคคลมีหน้าที่ตามกฎหมายอื่นในการจัดให้มีมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสม เพื่อป้องกันการสูญหาย เข้าถึง ใช้ เปลี่ยนแปลง แก้ไข หรือเปิดเผยข้อมูลส่วนบุคคลโดยปราศจากอำนาจหรือโดยมิชอบ ให้ผู้ควบคุมข้อมูลส่วนบุคคลดำเนินการตามกฎหมายนั้น แต่มาตรการรักษาความมั่นคงปลอดภัยดังกล่าวของผู้ควบคุมข้อมูลส่วนบุคคล จะต้องเป็นไปตามมาตรฐานที่กำหนดในประกาศนี้ด้วย

ข้อ 8 ให้ประธานกรรมการคุ้มครองข้อมูลส่วนบุคคลเป็นผู้รักษาการตามประกาศนี้

ประกาศ ณ วันที่ 1 ธันวาคม พ.ศ. 2566

เธียรชัย ณ นคร

ประธานกรรมการคุ้มครองข้อมูลส่วนบุคคล

## เหตุผลและฐานอำนาจ

โดยที่ [มาตรา 4](https://link.pdpalawbase.com/section/4.md) วรรคสาม แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ประกอบมาตรา 5 แห่งพระราชกฤษฎีกากำหนดลักษณะ กิจการ หรือหน่วยงานที่ได้รับการยกเว้นไม่ให้นำพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 บางส่วนมาใช้บังคับ พ.ศ. 2566 กำหนดให้ผู้ควบคุมข้อมูลส่วนบุคคลที่ได้รับการยกเว้นไม่ให้นำพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 มาใช้บังคับ ต้องจัดให้มีการรักษาความมั่นคงปลอดภัยของข้อมูลส่วนบุคคลให้เป็นไปตามมาตรฐานที่คณะกรรมการคุ้มครองข้อมูลส่วนบุคคลประกาศกำหนด

อาศัยอำนาจตามความใน [มาตรา 4](https://link.pdpalawbase.com/section/4.md) วรรคสาม แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ประกอบมาตรา 5 วรรคสอง แห่งพระราชกฤษฎีกากำหนดลักษณะ กิจการ หรือหน่วยงานที่ได้รับการยกเว้นไม่ให้นำพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 บางส่วนมาใช้บังคับ พ.ศ. 2566 คณะกรรมการคุ้มครองข้อมูลส่วนบุคคล จึงออกประกาศกำหนดมาตรฐานการรักษาความมั่นคงปลอดภัยสำหรับผู้ควบคุมข้อมูลส่วนบุคคลกลุ่มที่ได้รับการยกเว้น

## เอกสารต้นฉบับ

- [PDF ต้นฉบับ (local)](../../raw/notifications/notification-1.2.pdf)
- [ที่มา: pdpc.or.th](https://www.pdpc.or.th/2271/)

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/notification/1-2.md

============================================================
โนด: ประกาศ 2
ลิงก์อ้างอิง: https://link.pdpalawbase.com/notification/2.md

# ประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง หลักเกณฑ์เกี่ยวกับมาตรการคุ้มครองสำหรับการเก็บรวบรวมข้อมูลส่วนบุคคลเกี่ยวกับประวัติอาชญากรรมที่มิได้กระทำภายใต้การควบคุมของหน่วยงานที่มีอำนาจหน้าที่ตามกฎหมาย พ.ศ. 2566

## ใจความสำคัญ

ข้อมูลประวัติอาชญากรรมเป็นข้อมูลอ่อนไหวตาม [มาตรา 26](https://link.pdpalawbase.com/section/26.md) ซึ่งวรรคสามกำหนดว่าการเก็บรวบรวมต้องกระทำภายใต้การควบคุมของหน่วยงานที่มีอำนาจหน้าที่ตามกฎหมาย หรือมีมาตรการคุ้มครองตามหลักเกณฑ์ที่คณะกรรมการกำหนด — ประกาศฉบับนี้คือหลักเกณฑ์สำหรับกรณีหลัง (การเก็บรวบรวมที่ "มิได้" อยู่ใต้การควบคุมของหน่วยงานรัฐ เช่น นายจ้างเอกชนตรวจประวัติผู้สมัครงาน) ประกาศในราชกิจจานุเบกษาเมื่อ 8 มกราคม 2567 และมีผลใช้บังคับเมื่อพ้นกำหนด 90 วันนับแต่วันประกาศ คือตั้งแต่ 7 เมษายน 2567

- "ข้อมูลส่วนบุคคลเกี่ยวกับประวัติอาชญากรรม" ครอบคลุมข้อมูลการสืบสวนสอบสวน การดำเนินคดีอาญา และการรับโทษทางอาญา ที่เป็นข้อมูลทางการหรือรับรองโดยหน่วยงานรัฐ ไม่ว่าคดีถึงที่สุดแล้วหรือไม่ (ข้อ 3)
- เก็บรวบรวมได้เฉพาะ 2 ฐาน: มีบทบัญญัติแห่งกฎหมายให้ต้องตรวจสอบประวัติอาชญากรรม/คุณสมบัติ/ลักษณะต้องห้าม หรือได้รับความยินยอมโดยชัดแจ้งจากเจ้าของข้อมูล (ข้อ 5 วรรคหนึ่ง)
- และต้องอยู่ในวัตถุประสงค์ 3 กลุ่มเท่านั้น: (1) การพิจารณารับบุคคลเข้าทำงานหรือพิจารณาความเหมาะสมในการดำรงตำแหน่ง (2) การตรวจสอบคุณสมบัติในกระบวนการอนุญาต ทะเบียน สวัสดิการ หรือบริการ โดยหน่วยงานรัฐหรือผู้ได้รับมอบหมายให้ใช้อำนาจแทนหน่วยงานรัฐ (3) การตรวจสอบทำนองเดียวกันโดยผู้ควบคุมข้อมูลส่วนบุคคลอื่น (ข้อ 5 (1)-(3))
- ถ้าการเก็บประวัติอาชญากรรมสำคัญและจำเป็นต่อการดำเนินการ ต้องแจ้งความจำเป็นตั้งแต่ขั้นตอนประกาศรับสมัคร สรรหา หรือรับเรื่อง (ข้อ 5 วรรคสอง)
- กรณีใช้ฐานความยินยอม ต้องแจ้งผลกระทบของการไม่ให้หรือถอนความยินยอมด้วย (ข้อ 6)
- ต้องมีมาตรการเชิงองค์กรและเชิงเทคนิค (อาจรวมทางกายภาพ) เพื่อคุมให้การเก็บรวบรวม ใช้ เปิดเผย เป็นไปเท่าที่จำเป็นภายใต้วัตถุประสงค์อันชอบด้วยกฎหมาย (ข้อ 7) และมาตรการรักษาความมั่นคงปลอดภัยตามมาตรฐานขั้นต่ำที่คณะกรรมการประกาศกำหนดตาม [มาตรา 37](https://link.pdpalawbase.com/section/37.md) (1) (ข้อ 8)
- เพดานการเก็บรักษา: เมื่อภารกิจตามข้อ 5 วรรคหนึ่งเสร็จสิ้นและไม่มีกฎหมายเฉพาะ/ความจำเป็นอื่น เก็บต่อได้ไม่เกิน 6 เดือนต่อเจ้าของข้อมูลแต่ละราย เว้นแต่ได้รับความยินยอมโดยชัดแจ้งเป็นอย่างอื่น เมื่อพ้นระยะหรือหมดความจำเป็นต้องลบ ทำลาย หรือทำให้ระบุตัวบุคคลไม่ได้ (ข้อ 9)

## ตัวบท

ข้อ 1 ประกาศนี้เรียกว่า "ประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง หลักเกณฑ์เกี่ยวกับมาตรการคุ้มครองสำหรับการเก็บรวบรวมข้อมูลส่วนบุคคลเกี่ยวกับประวัติอาชญากรรมที่มิได้กระทำภายใต้การควบคุมของหน่วยงานที่มีอำนาจหน้าที่ตามกฎหมาย พ.ศ. 2566"

ข้อ 2 ประกาศนี้ให้ใช้บังคับเมื่อพ้นกำหนดเก้าสิบวันนับแต่วันประกาศในราชกิจจานุเบกษาเป็นต้นไป

ข้อ 3 ในประกาศนี้

"ข้อมูลส่วนบุคคลเกี่ยวกับประวัติอาชญากรรม" หมายความว่า ข้อมูลส่วนบุคคลเกี่ยวกับการสืบสวนสอบสวนการกระทำความผิดอาญา การดำเนินคดีอาญา หรือการรับโทษทางอาญา ที่เป็นข้อมูลที่เป็นทางการหรือรับรองโดยหน่วยงานของรัฐที่มีอำนาจหน้าที่ตามกฎหมายเกี่ยวกับการดำเนินการดังกล่าว ทั้งนี้ ไม่ว่าการดำเนินการนั้นจะถึงที่สุดแล้วหรือไม่ก็ตาม

ข้อ 4 ประกาศนี้ให้ใช้บังคับแก่การเก็บรวบรวมข้อมูลส่วนบุคคลเกี่ยวกับประวัติอาชญากรรมที่มิได้กระทำภายใต้การควบคุมของหน่วยงานที่มีอำนาจหน้าที่ตามกฎหมายตาม [มาตรา 26](https://link.pdpalawbase.com/section/26.md) วรรคสาม แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562

ข้อ 5 ผู้ควบคุมข้อมูลส่วนบุคคลจะเก็บรวบรวมข้อมูลส่วนบุคคลเกี่ยวกับประวัติอาชญากรรมได้เฉพาะเมื่อมีบทบัญญัติแห่งกฎหมายบัญญัติให้ต้องตรวจสอบประวัติอาชญากรรมหรือตรวจสอบคุณสมบัติหรือลักษณะต้องห้ามเกี่ยวกับการกระทำความผิดอาญาหรือการรับโทษทางอาญา หรือได้รับความยินยอมโดยชัดแจ้งจากเจ้าของข้อมูลส่วนบุคคลเท่านั้น สำหรับกรณีที่เป็นไปเพื่อวัตถุประสงค์ดังต่อไปนี้

(1) การพิจารณารับบุคคลเข้าทำงาน หรือการตรวจสอบคุณสมบัติ ลักษณะต้องห้าม หรือพิจารณาความเหมาะสมของบุคคลที่จะให้ดำรงตำแหน่งใด

(2) การตรวจสอบคุณสมบัติหรือลักษณะต้องห้ามของบุคคลในการอนุญาต ออกใบอนุญาต อนุมัติ จดทะเบียน ขึ้นทะเบียน รับแจ้ง รับจดแจ้ง ออกอาชญาบัตร รับรอง เห็นชอบ ให้ความเห็น พิจารณา พิจารณาอุทธรณ์ ร้องทุกข์ หรือร้องเรียน ดำเนินการ จ่ายเงิน ให้ได้รับสวัสดิการ หรือให้บริการอื่นแก่บุคคล โดยหน่วยงานของรัฐหรือผู้ควบคุมข้อมูลส่วนบุคคลที่ได้รับมอบหมายให้ปฏิบัติหน้าที่ในการใช้อำนาจแทนหน่วยงานของรัฐ

(3) การตรวจสอบคุณสมบัติหรือลักษณะต้องห้ามของบุคคลในการอนุญาต อนุมัติ รับรอง เห็นชอบ ให้ความเห็น พิจารณา พิจารณาอุทธรณ์ ร้องทุกข์ หรือร้องเรียน ดำเนินการ จ่ายเงิน ให้ได้รับสวัสดิการ หรือให้บริการอื่นแก่บุคคล โดยผู้ควบคุมข้อมูลส่วนบุคคลอื่นนอกเหนือจากที่กำหนดใน (2)

ในกรณีที่การเก็บรวบรวมข้อมูลส่วนบุคคลเกี่ยวกับประวัติอาชญากรรมมีความสำคัญอย่างยิ่งและมีความจำเป็นต่อการดำเนินการตามวรรคหนึ่ง ให้ผู้ควบคุมข้อมูลส่วนบุคคลแจ้งความจำเป็นในการเก็บรวบรวมข้อมูลส่วนบุคคลเกี่ยวกับประวัติอาชญากรรมดังกล่าวตั้งแต่ขั้นตอนการประกาศหรือประชาสัมพันธ์การรับสมัคร การสรรหา การเสนอชื่อ หรือการรับเรื่องสำหรับการดำเนินการเช่นว่านั้น

ข้อ 6 ในกรณีที่ผู้ควบคุมข้อมูลส่วนบุคคลขอความยินยอมในการเก็บรวบรวมข้อมูลส่วนบุคคลเกี่ยวกับประวัติอาชญากรรมจากเจ้าของข้อมูลส่วนบุคคล ผู้ควบคุมข้อมูลส่วนบุคคลจะต้องแจ้งผลกระทบของการไม่ให้ความยินยอมหรือการถอนความยินยอม ในการขอความยินยอมจากเจ้าของข้อมูลส่วนบุคคลด้วย

ข้อ 7 ผู้ควบคุมข้อมูลส่วนบุคคลจะต้องจัดให้มีมาตรการเชิงองค์กร (organizational measures) และมาตรการเชิงเทคนิค (technical measures) ที่เหมาะสม ซึ่งอาจรวมถึงมาตรการทางกายภาพ (physical measures) ที่จำเป็นด้วย เพื่อควบคุมให้การเก็บรวบรวม ใช้ และเปิดเผยข้อมูลส่วนบุคคลตามประกาศนี้ เป็นไปเท่าที่จำเป็นภายใต้วัตถุประสงค์อันชอบด้วยกฎหมายของผู้ควบคุมข้อมูลส่วนบุคคล

ข้อ 8 ในการเก็บรวบรวมข้อมูลส่วนบุคคลตามประกาศนี้ ผู้ควบคุมข้อมูลส่วนบุคคลจะต้องจัดให้มีมาตรการรักษาความมั่นคงปลอดภัยให้เหมาะสมกับความเสี่ยงที่มีต่อสิทธิและเสรีภาพของบุคคล ซึ่งจะต้องเป็นไปตามมาตรฐานขั้นต่ำที่คณะกรรมการคุ้มครองข้อมูลส่วนบุคคลประกาศกำหนดตาม [มาตรา 37](https://link.pdpalawbase.com/section/37.md) (1)

ข้อ 9 ในกรณีที่ไม่มีบทบัญญัติแห่งกฎหมายใดบัญญัติไว้เป็นการเฉพาะ และไม่มีความจำเป็นตามกฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคล ในการเก็บรวบรวมข้อมูลส่วนบุคคลเกี่ยวกับประวัติอาชญากรรมเพื่อการดำเนินการตามข้อ 5 วรรคหนึ่ง เมื่อการดำเนินการดังกล่าวเสร็จสิ้นแล้ว ให้ผู้ควบคุมข้อมูลส่วนบุคคลเก็บรวบรวมข้อมูลส่วนบุคคลเกี่ยวกับประวัติอาชญากรรมนั้นไว้ได้อีกไม่เกินหกเดือนนับแต่วันที่การดำเนินการดังกล่าวเสร็จสิ้นสำหรับเจ้าของข้อมูลส่วนบุคคลแต่ละราย ตามวัตถุประสงค์และความจำเป็นในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล เว้นแต่จะได้รับความยินยอมโดยชัดแจ้งจากเจ้าของข้อมูลส่วนบุคคลเป็นอย่างอื่น

เมื่อสิ้นสุดระยะเวลาในการเก็บรวบรวมข้อมูลส่วนบุคคลเกี่ยวกับประวัติอาชญากรรมตามวรรคหนึ่ง หรือหมดความจำเป็นในการเก็บรักษาไว้ตามวัตถุประสงค์ในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล ให้ผู้ควบคุมข้อมูลส่วนบุคคลลบหรือทำลาย หรือทำให้ข้อมูลส่วนบุคคลดังกล่าวเป็นข้อมูลที่ไม่สามารถระบุตัวบุคคลที่เป็นเจ้าของข้อมูลส่วนบุคคลได้ ด้วยวิธีการที่เหมาะสม

ข้อ 10 ให้ประธานกรรมการคุ้มครองข้อมูลส่วนบุคคลเป็นผู้รักษาการตามประกาศนี้

ประกาศ ณ วันที่ 28 ธันวาคม พ.ศ. 2566

เธียรชัย ณ นคร

ประธานกรรมการคุ้มครองข้อมูลส่วนบุคคล

## เหตุผลและฐานอำนาจ

โดยที่ [มาตรา 26](https://link.pdpalawbase.com/section/26.md) วรรคสาม แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 บัญญัติว่าการเก็บรวบรวมข้อมูลส่วนบุคคลเกี่ยวกับประวัติอาชญากรรมต้องกระทำภายใต้การควบคุมของหน่วยงานที่มีอำนาจหน้าที่ตามกฎหมาย หรือได้จัดให้มีมาตรการคุ้มครองข้อมูลส่วนบุคคลตามหลักเกณฑ์ที่คณะกรรมการคุ้มครองข้อมูลส่วนบุคคลประกาศกำหนด

อาศัยอำนาจตามความใน [มาตรา 16](https://link.pdpalawbase.com/section/16.md) (4) และ [มาตรา 26](https://link.pdpalawbase.com/section/26.md) วรรคสาม แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 คณะกรรมการคุ้มครองข้อมูลส่วนบุคคล จึงออกประกาศกำหนดหลักเกณฑ์เกี่ยวกับมาตรการคุ้มครองสำหรับการเก็บรวบรวมข้อมูลส่วนบุคคลเกี่ยวกับประวัติอาชญากรรมที่มิได้กระทำภายใต้การควบคุมของหน่วยงานที่มีอำนาจหน้าที่ตามกฎหมาย

## เอกสารต้นฉบับ

- [PDF ต้นฉบับ (local)](../../raw/notifications/notification-2.pdf)
- [ที่มา: pdpc.or.th](https://www.pdpc.or.th/2564/)

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/notification/2.md

============================================================
โนด: ประกาศ 3.1
ลิงก์อ้างอิง: https://link.pdpalawbase.com/notification/3-1.md

# ประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง ผู้ควบคุมข้อมูลส่วนบุคคลและผู้ประมวลผลข้อมูลส่วนบุคคลที่เป็นหน่วยงานของรัฐ ซึ่งต้องจัดให้มีเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2566

## ใจความสำคัญ

ประกาศฉบับนี้เป็นประกาศฉบับแรกที่คณะกรรมการคุ้มครองข้อมูลส่วนบุคคลใช้อำนาจตาม [มาตรา 41](https://link.pdpalawbase.com/section/41.md) (1) กำหนดตัวผู้ควบคุมข้อมูลส่วนบุคคลและผู้ประมวลผลข้อมูลส่วนบุคคลที่เป็น "หน่วยงานของรัฐ" ซึ่งต้องจัดให้มีเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลของตน โดยระยะแรกกำหนดเฉพาะหน่วยงานของรัฐที่มีความพร้อมและมีลักษณะที่จำเป็นก่อน และจะกำหนดหน่วยงานของรัฐแห่งอื่นเพิ่มเติมตามความเหมาะสมต่อไป

- หน่วยงานของรัฐที่ต้องจัดให้มีเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล: **66 รายการตามบัญชีท้ายประกาศ** ครอบคลุมหน่วยงานในสังกัดสำนักนายกรัฐมนตรีและ 12 กระทรวง (31 รายการ) กับหน่วยงานอื่นของรัฐ เช่น กรุงเทพมหานคร ธนาคารของรัฐ รัฐวิสาหกิจ องค์การมหาชน และหน่วยงานกำกับดูแล (35 รายการ)
- หน้าที่เกิดขึ้นนับแต่วันที่ประกาศมีผลใช้บังคับ (ข้อ 3)
- เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลของหน่วยงานของรัฐอาจปฏิบัติหน้าที่หรือภารกิจอื่นได้ แต่หน่วยงานต้องรับรองกับสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลว่าหน้าที่หรือภารกิจนั้นไม่ขัดหรือแย้งต่อการปฏิบัติหน้าที่ตามกฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคล (ข้อ 4)
- ประกาศในราชกิจจานุเบกษา เล่ม 140 ตอนพิเศษ 174 ง วันที่ 18 กรกฎาคม 2566 · ใช้บังคับเมื่อพ้นกำหนด 90 วัน = **มีผลใช้บังคับ 16 ตุลาคม 2566**
- ต่อมามี[ประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง ผู้ควบคุมข้อมูลส่วนบุคคลและผู้ประมวลผลข้อมูลส่วนบุคคลที่เป็นหน่วยงานของรัฐ ซึ่งต้องจัดให้มีเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล (ฉบับที่ 2) พ.ศ. 2568](https://link.pdpalawbase.com/notification/3-2.md) กำหนดหน่วยงานราชการส่วนภูมิภาคและส่วนท้องถิ่นบางรูปแบบเพิ่มเติม

## ตัวบท

ข้อ 1 ประกาศนี้เรียกว่า "ประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง ผู้ควบคุมข้อมูลส่วนบุคคลและผู้ประมวลผลข้อมูลส่วนบุคคลที่เป็นหน่วยงานของรัฐ ซึ่งต้องจัดให้มีเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2566"

ข้อ 2 ประกาศนี้ให้ใช้บังคับเมื่อพ้นกำหนดเก้าสิบวันนับแต่วันประกาศในราชกิจจานุเบกษาเป็นต้นไป

ข้อ 3 เพื่อประโยชน์ในการคุ้มครองข้อมูลส่วนบุคคล ให้ผู้ควบคุมข้อมูลส่วนบุคคลและผู้ประมวลผลข้อมูลส่วนบุคคลที่เป็นหน่วยงานของรัฐ ตามที่ระบุไว้ในบัญชีท้ายประกาศนี้ จัดให้มีเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลของตนนับแต่วันที่ประกาศนี้มีผลใช้บังคับ

ข้อ 4 เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลของหน่วยงานของรัฐอาจปฏิบัติหน้าที่หรือภารกิจอื่นได้ แต่ผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคลที่เป็นหน่วยงานของรัฐต้องรับรองกับสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลว่าหน้าที่หรือภารกิจดังกล่าวต้องไม่ขัดหรือแย้งต่อการปฏิบัติหน้าที่ตามกฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคล

ข้อ 5 ให้ประธานกรรมการคุ้มครองข้อมูลส่วนบุคคลเป็นผู้รักษาการตามประกาศนี้

ประกาศ ณ วันที่ 27 มิถุนายน พ.ศ. 2566

เธียรชัย ณ นคร
ประธานกรรมการคุ้มครองข้อมูลส่วนบุคคล

**บัญชีท้ายประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง ผู้ควบคุมข้อมูลส่วนบุคคลและผู้ประมวลผลข้อมูลส่วนบุคคลที่เป็นหน่วยงานของรัฐ ซึ่งต้องจัดให้มีเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2566**

1. สำนักนายกรัฐมนตรี
   - 1.1 สำนักงานคณะกรรมการข้าราชการพลเรือน
2. กระทรวงการคลัง
   - 2.1 กรมบัญชีกลาง
   - 2.2 สำนักงานเศรษฐกิจการคลัง
3. กระทรวงการต่างประเทศ
   - 3.1 กรมการกงสุล
4. กระทรวงการท่องเที่ยวและกีฬา
   - 4.1 กรมการท่องเที่ยว
5. กระทรวงการพัฒนาสังคมและความมั่นคงของมนุษย์
   - 5.1 สำนักงานปลัดกระทรวง
   - 5.2 กรมกิจการเด็กและเยาวชน
   - 5.3 กรมส่งเสริมและพัฒนาคุณภาพชีวิตคนพิการ
6. กระทรวงเกษตรและสหกรณ์
   - 6.1 กรมส่งเสริมการเกษตร
   - 6.2 สำนักงานการปฏิรูปที่ดินเพื่อเกษตรกรรม
7. กระทรวงคมนาคม
   - 7.1 กรมการขนส่งทางบก
   - 7.2 กรมท่าอากาศยาน
8. กระทรวงดิจิทัลเพื่อเศรษฐกิจและสังคม
   - 8.1 สำนักงานคณะกรรมการดิจิทัลเพื่อเศรษฐกิจและสังคมแห่งชาติ
   - 8.2 สำนักงานสถิติแห่งชาติ
9. กระทรวงพาณิชย์
   - 9.1 กรมทรัพย์สินทางปัญญา
   - 9.2 กรมพัฒนาธุรกิจการค้า
10. กระทรวงมหาดไทย
    - 10.1 กรมการปกครอง
    - 10.2 กรมการพัฒนาชุมชน
    - 10.3 กรมที่ดิน
11. กระทรวงแรงงาน
    - 11.1 กรมการจัดหางาน
    - 11.2 กรมพัฒนาฝีมือแรงงาน
    - 11.3 สำนักงานประกันสังคม
12. กระทรวงศึกษาธิการ
    - 12.1 สำนักงานปลัดกระทรวง
    - 12.2 สำนักงานคณะกรรมการการศึกษาขั้นพื้นฐาน
    - 12.3 สำนักงานคณะกรรมการการอาชีวศึกษา
13. กระทรวงสาธารณสุข
    - 13.1 สำนักงานปลัดกระทรวง
    - 13.2 กรมการแพทย์
    - 13.3 กรมควบคุมโรค
    - 13.4 กรมวิทยาศาสตร์การแพทย์
    - 13.5 กรมสุขภาพจิต
    - 13.6 กรมอนามัย
14. หน่วยงานอื่นของรัฐ
    - 14.1 กรุงเทพมหานคร
    - 14.2 กองทุนการออมแห่งชาติ
    - 14.3 กองทุนเงินให้กู้ยืมเพื่อการศึกษา
    - 14.4 กองทุนบำเหน็จบำนาญข้าราชการ
    - 14.5 การทางพิเศษแห่งประเทศไทย
    - 14.6 การประปานครหลวง
    - 14.7 การประปาส่วนภูมิภาค
    - 14.8 การไฟฟ้านครหลวง
    - 14.9 การไฟฟ้าส่วนภูมิภาค
    - 14.10 การรถไฟแห่งประเทศไทย
    - 14.11 คุรุสภา
    - 14.12 ธนาคารกรุงไทย จำกัด (มหาชน)
    - 14.13 ธนาคารพัฒนาวิสาหกิจขนาดกลางและขนาดย่อมแห่งประเทศไทย
    - 14.14 ธนาคารเพื่อการเกษตรและสหกรณ์การเกษตร
    - 14.15 ธนาคารเพื่อการส่งออกและนำเข้าแห่งประเทศไทย
    - 14.16 ธนาคารแห่งประเทศไทย
    - 14.17 ธนาคารออมสิน
    - 14.18 ธนาคารอาคารสงเคราะห์
    - 14.19 ธนาคารอิสลามแห่งประเทศไทย
    - 14.20 บริษัท ขนส่ง จำกัด
    - 14.21 บริษัท โทรคมนาคมแห่งชาติ จำกัด (มหาชน)
    - 14.22 บริษัท ไปรษณีย์ไทย จำกัด
    - 14.23 มหาวิทยาลัยและสถาบันอุดมศึกษาของรัฐที่มีสถานพยาบาลในสังกัด
    - 14.24 สถาบันการแพทย์ฉุกเฉินแห่งชาติ
    - 14.25 สถาบันข้อมูลขนาดใหญ่ (องค์การมหาชน)
    - 14.26 สถาบันคุณวุฒิวิชาชีพ (องค์การมหาชน)
    - 14.27 สถาบันคุ้มครองเงินฝาก
    - 14.28 สถาบันทดสอบทางการศึกษาแห่งชาติ (องค์การมหาชน)
    - 14.29 สำนักงานคณะกรรมการการเลือกตั้ง
    - 14.30 สำนักงานคณะกรรมการกำกับและส่งเสริมการประกอบธุรกิจประกันภัย
    - 14.31 สำนักงานคณะกรรมการกำกับหลักทรัพย์และตลาดหลักทรัพย์
    - 14.32 สำนักงานคณะกรรมการกิจการกระจายเสียง กิจการโทรทัศน์ และกิจการโทรคมนาคมแห่งชาติ
    - 14.33 สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล
    - 14.34 สำนักงานพัฒนาวิทยาศาสตร์และเทคโนโลยีแห่งชาติ
    - 14.35 สำนักงานหลักประกันสุขภาพแห่งชาติ

## เหตุผลและฐานอำนาจ

โดยที่เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลเป็นกลไกสำคัญที่จะช่วยให้ผู้ควบคุมข้อมูลส่วนบุคคลและผู้ประมวลผลข้อมูลส่วนบุคคลดำเนินการให้เป็นไปตามกฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคลอย่างมีประสิทธิภาพ สมควรกำหนดให้ผู้ควบคุมข้อมูลส่วนบุคคลและผู้ประมวลผลข้อมูลส่วนบุคคลที่เป็นหน่วยงานของรัฐต้องจัดให้มีเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลของตน โดยในระยะแรกเห็นควรกำหนดให้หน่วยงานของรัฐที่มีความพร้อมและมีลักษณะที่จำเป็นต้องจัดให้มีเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล ซึ่งจะได้กำหนดหน่วยงานของรัฐแห่งอื่นเพิ่มเติมตามความเหมาะสมต่อไป

อาศัยอำนาจตามความใน [มาตรา 16](https://link.pdpalawbase.com/section/16.md) (4) ประกอบ [มาตรา 41](https://link.pdpalawbase.com/section/41.md) (1) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 คณะกรรมการคุ้มครองข้อมูลส่วนบุคคล จึงออกประกาศไว้

## เอกสารต้นฉบับ

- [PDF ต้นฉบับ (local)](../../raw/notifications/notification-3.1.pdf)
- [ที่มา: pdpc.or.th](https://www.pdpc.or.th/2398/)

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/notification/3-1.md

============================================================
โนด: ประกาศ 3.2
ลิงก์อ้างอิง: https://link.pdpalawbase.com/notification/3-2.md

# ประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง ผู้ควบคุมข้อมูลส่วนบุคคลและผู้ประมวลผลข้อมูลส่วนบุคคลที่เป็นหน่วยงานของรัฐ ซึ่งต้องจัดให้มีเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล (ฉบับที่ 2) พ.ศ. 2568

## ใจความสำคัญ

ประกาศฉบับนี้เป็นการขยายผลจาก[ประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง ผู้ควบคุมข้อมูลส่วนบุคคลและผู้ประมวลผลข้อมูลส่วนบุคคลที่เป็นหน่วยงานของรัฐ ซึ่งต้องจัดให้มีเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2566](https://link.pdpalawbase.com/notification/3-1.md) (ฉบับแรก) โดยกำหนดให้หน่วยงานของรัฐใน "ราชการส่วนภูมิภาคและราชการส่วนท้องถิ่นบางรูปแบบ" ต้องจัดให้มีเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลของตนเป็นการเพิ่มเติม ตามอำนาจใน [มาตรา 41](https://link.pdpalawbase.com/section/41.md) (1)

- หน่วยงานที่เพิ่มจากบัญชีท้ายประกาศฉบับแรก 4 ประเภท (ข้อ 4): **จังหวัด · องค์การบริหารส่วนจังหวัด · เทศบาลนคร · เมืองพัทยา**
- แต่ละประเภทนิยามโดยอิงกฎหมายจัดตั้งของตน เช่น จังหวัดตามกฎหมายว่าด้วยระเบียบบริหารราชการแผ่นดิน เทศบาลนครตามกฎหมายว่าด้วยเทศบาล (ข้อ 3)
- เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลตามประกาศนี้อาจปฏิบัติหน้าที่หรือภารกิจอื่นได้ แต่หน่วยงานต้องรับรองต่อสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลว่าหน้าที่นั้นไม่ขัดหรือแย้งต่อการปฏิบัติหน้าที่ตามกฎหมาย (ข้อ 5 — หลักการเดียวกับฉบับแรก)
- ประกาศในราชกิจจานุเบกษา เล่ม 142 ตอนพิเศษ 329 ง วันที่ 9 ตุลาคม 2568 · ใช้บังคับเมื่อพ้นกำหนด 60 วัน = **มีผลใช้บังคับ 8 ธันวาคม 2568**

## ตัวบท

ข้อ 1 ประกาศนี้เรียกว่า "ประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง ผู้ควบคุมข้อมูลส่วนบุคคลและผู้ประมวลผลข้อมูลส่วนบุคคลที่เป็นหน่วยงานของรัฐ ซึ่งต้องจัดให้มีเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล (ฉบับที่ 2) พ.ศ. 2568"

ข้อ 2 ประกาศนี้ให้ใช้บังคับเมื่อพ้นกำหนดหกสิบวันนับแต่วันประกาศในราชกิจจานุเบกษาเป็นต้นไป

ข้อ 3 ในประกาศนี้

"จังหวัด" หมายความว่า จังหวัดตามกฎหมายว่าด้วยระเบียบบริหารราชการแผ่นดิน

"องค์การบริหารส่วนจังหวัด" หมายความว่า องค์การบริหารส่วนจังหวัดตามกฎหมายว่าด้วยองค์การบริหารส่วนจังหวัด

"เทศบาลนคร" หมายความว่า เทศบาลนครตามกฎหมายว่าด้วยเทศบาล

"เมืองพัทยา" หมายความว่า เมืองพัทยาตามกฎหมายว่าด้วยระเบียบบริหารราชการเมืองพัทยา

ข้อ 4 นอกเหนือจากผู้ควบคุมข้อมูลส่วนบุคคลและผู้ประมวลผลข้อมูลส่วนบุคคลที่เป็นหน่วยงานของรัฐ ตามบัญชีท้ายประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง ผู้ควบคุมข้อมูลส่วนบุคคลและผู้ประมวลผลข้อมูลส่วนบุคคลที่เป็นหน่วยงานของรัฐ ซึ่งต้องจัดให้มีเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2566 แล้ว ให้ผู้ควบคุมข้อมูลส่วนบุคคลและผู้ประมวลผลข้อมูลส่วนบุคคลของหน่วยงานของรัฐดังต่อไปนี้ จัดให้มีเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลของตน นับแต่วันที่ประกาศนี้มีผลใช้บังคับ

(1) จังหวัด

(2) องค์การบริหารส่วนจังหวัด

(3) เทศบาลนคร

(4) เมืองพัทยา

ข้อ 5 เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลของหน่วยงานของรัฐตามประกาศนี้อาจปฏิบัติหน้าที่หรือภารกิจอื่นได้ แต่ผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคลตามประกาศนี้ต้องรับรองต่อสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลว่าหน้าที่หรือภารกิจดังกล่าวไม่ขัดหรือแย้งต่อการปฏิบัติหน้าที่ตามกฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคล

ข้อ 6 ให้ประธานกรรมการคุ้มครองข้อมูลส่วนบุคคลเป็นผู้รักษาการตามประกาศนี้

ประกาศ ณ วันที่ 1 ตุลาคม พ.ศ. 2568

เธียรชัย ณ นคร
ประธานกรรมการคุ้มครองข้อมูลส่วนบุคคล

## เหตุผลและฐานอำนาจ

โดยที่เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลเป็นกลไกสำคัญที่จะช่วยให้ผู้ควบคุมข้อมูลส่วนบุคคลและผู้ประมวลผลข้อมูลส่วนบุคคลดำเนินการให้เป็นไปตามกฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคลได้อย่างมีประสิทธิภาพ สมควรกำหนดให้ผู้ควบคุมข้อมูลส่วนบุคคลและผู้ประมวลผลข้อมูลส่วนบุคคลที่เป็นหน่วยงานของรัฐในราชการส่วนภูมิภาคและราชการส่วนท้องถิ่นบางรูปแบบต้องจัดให้มีเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลของตนเป็นการเพิ่มเติม

อาศัยอำนาจตามความใน [มาตรา 16](https://link.pdpalawbase.com/section/16.md) (4) ประกอบ [มาตรา 41](https://link.pdpalawbase.com/section/41.md) (1) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 คณะกรรมการคุ้มครองข้อมูลส่วนบุคคล จึงออกประกาศไว้

## เอกสารต้นฉบับ

- [PDF ต้นฉบับ (local)](../../raw/notifications/notification-3.2.pdf)
- [ที่มา: ratchakitcha.soc.go.th](https://ratchakitcha.soc.go.th/documents/88831.pdf)

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/notification/3-2.md

============================================================
โนด: ประกาศ 3.3
ลิงก์อ้างอิง: https://link.pdpalawbase.com/notification/3-3.md

# ประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง การจัดให้มีเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลตามมาตรา 41 (2) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 พ.ศ. 2566

## ใจความสำคัญ

ประกาศฉบับนี้วางหลักเกณฑ์ตีความเงื่อนไขของ [มาตรา 41](https://link.pdpalawbase.com/section/41.md) (2) ว่าผู้ควบคุมข้อมูลส่วนบุคคลและผู้ประมวลผลข้อมูลส่วนบุคคลรายใด (ภาคเอกชนรวมอยู่ด้วย — ไม่จำกัดเฉพาะหน่วยงานของรัฐ) มีหน้าที่ต้องจัดให้มีเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล เพราะการดำเนินกิจกรรมหลักของตน "จำเป็นต้องตรวจสอบข้อมูลส่วนบุคคลหรือระบบอย่างสม่ำเสมอ โดยเหตุที่มีข้อมูลส่วนบุคคลเป็นจำนวนมาก"

- **เกณฑ์ที่ 1 — ตรวจสอบอย่างสม่ำเสมอ (ข้อ 5):** กิจกรรมหลักที่มีการติดตาม เฝ้าสังเกต วิเคราะห์ หรือทำนายพฤติกรรม ทัศนคติ หรือลักษณะเฉพาะของบุคคล อย่างเป็นระบบและเป็นประจำ · กรณีที่ถือว่าเข้าเกณฑ์โดยอัตโนมัติ เช่น บัตรสมาชิก/บัตรโดยสารที่ตรวจสอบการใช้งานได้ การตรวจสอบสถานะลูกค้าก่อนทำสัญญา (เช่น การให้คะแนนเครดิต การพิจารณาเบี้ยประกัน) การโฆษณาตามพฤติกรรม ผู้ให้บริการเครือข่ายคอมพิวเตอร์/โทรคมนาคม และกล้องวงจรปิดเพื่อรักษาความปลอดภัยสถานที่
- **เกณฑ์ที่ 2 — ข้อมูลจำนวนมาก (ข้อ 6):** พิจารณาจากจำนวน/สัดส่วนเจ้าของข้อมูล ปริมาณและประเภทข้อมูล ระยะเวลาความคงอยู่ และขอบเขตพื้นที่ · กรณีที่ถือว่าเข้าเกณฑ์โดยอัตโนมัติ เช่น กิจกรรมหลักที่มีเจ้าของข้อมูล**ตั้งแต่ 100,000 รายขึ้นไป** การโฆษณาตามพฤติกรรมผ่านโปรแกรมค้นหา/สื่อสังคมออนไลน์ที่มีผู้ใช้กว้างขวาง ธุรกิจประกันชีวิต/ประกันวินาศภัย/สถาบันการเงิน และผู้รับใบอนุญาตโทรคมนาคมแบบที่สาม
- ผู้ที่เข้าทั้งสองเกณฑ์ (ข้อ 4) ต้องจัดให้มีเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลของตน โดยการพิจารณาให้คำนึงถึงมาตรฐานและแนวปฏิบัติของธุรกิจนั้น ๆ ตลอดจนความเสี่ยงและผลกระทบต่อเจ้าของข้อมูลด้วย (ข้อ 7)
- เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลอาจปฏิบัติหน้าที่หรือภารกิจอื่นได้ แต่ต้องรับรองกับสำนักงานว่าไม่ขัดหรือแย้งต่อการปฏิบัติหน้าที่ตามกฎหมาย (ข้อ 8)
- ประกาศในราชกิจจานุเบกษา เล่ม 140 ตอนพิเศษ 226 ง วันที่ 14 กันยายน 2566 · ใช้บังคับเมื่อพ้นกำหนด 90 วัน = **มีผลใช้บังคับ 13 ธันวาคม 2566**

## ตัวบท

ข้อ 1 ประกาศนี้เรียกว่า "ประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง การจัดให้มีเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลตาม [มาตรา 41](https://link.pdpalawbase.com/section/41.md) (2) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 พ.ศ. 2566"

ข้อ 2 ประกาศนี้ให้ใช้บังคับเมื่อพ้นกำหนดเก้าสิบวันนับแต่วันประกาศในราชกิจจานุเบกษาเป็นต้นไป

ข้อ 3 ในประกาศนี้

"การดำเนินกิจกรรม" หมายความว่า การดำเนินการใด ๆ ของผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคลในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล ไม่ว่าจะเกี่ยวกับกิจกรรมหลัก (core activities) หรือกิจกรรมเสริมก็ตาม

"กิจกรรมหลัก (core activities)" หมายความว่า การดำเนินการที่จำเป็นและมีความสำคัญเพื่อบรรลุวัตถุประสงค์หรือเป้าหมายหลักในการดำเนินงานในกิจการหรือภารกิจของผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคล เช่น การเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลของลูกค้าเพื่อการให้บริการแก่ลูกค้าและการบันทึกข้อมูลการรับบริการของลูกค้า ซึ่งเป็นการดำเนินการที่จำเป็นและมีความสำคัญสำหรับการให้บริการรับจ้างขนส่งสินค้า หรือการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลจากกล้องวงจรปิด ซึ่งเป็นการดำเนินการที่จำเป็นและมีความสำคัญสำหรับการรับจ้างรักษาความปลอดภัยให้กับสถานที่ต่าง ๆ แต่ไม่รวมถึงกิจกรรมเสริมที่เป็นเพียงงานสนับสนุนในการดำเนินงานของผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคล ซึ่งไม่ใช่การดำเนินการที่จำเป็นและมีความสำคัญเพื่อบรรลุวัตถุประสงค์หรือเป้าหมายหลักในการดำเนินงานในกิจการหรือภารกิจของผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคล เช่น งานสนับสนุนด้านบุคลากรและเทคโนโลยีสารสนเทศ ซึ่งเป็นเพียงงานสนับสนุนสำหรับการให้บริการรับจ้างขนส่งสินค้าหรือการรับจ้างรักษาความปลอดภัยให้กับสถานที่ต่าง ๆ

"สื่อสังคมออนไลน์ (social media)" หมายความว่า สื่อหรือช่องทางในการติดต่อสื่อสารหรือแลกเปลี่ยนข้อมูลระหว่างบุคคลโดยใช้เทคโนโลยีสารสนเทศ หรือเครือข่ายอินเทอร์เน็ต (Internet intermediary) ที่เน้นการสร้างหรือเผยแพร่เนื้อหาระหว่างผู้ใช้งานด้วยกัน (creation and exchange of user-generated content) หรือสนับสนุนการสื่อสารสองทาง หรือการนำเสนอและเผยแพร่เนื้อหาในวงกว้างได้ด้วยตนเอง ซึ่งรวมถึงแต่ไม่จำกัดเฉพาะ โปรแกรมคอมพิวเตอร์ ซอฟต์แวร์ แอปพลิเคชัน กระดานข่าว เครือข่ายสังคมออนไลน์ สื่อสำหรับการเผยแพร่และแลกเปลี่ยนเนื้อหาที่เป็นข้อมูลคอมพิวเตอร์ ข้อมูลอิเล็กทรอนิกส์ ภาพนิ่ง เสียง วีดิทัศน์ หรือแฟ้มข้อมูล หรือให้บริการเนื้อที่เก็บข้อมูลบนอินเทอร์เน็ต บล็อก (blogs) เว็บไซต์สำหรับการสร้างและแก้ไขเนื้อหาร่วมกัน เกมออนไลน์หรือโลกเสมือนที่มีผู้ใช้งานหลายคน หรือสื่ออิเล็กทรอนิกส์หรือสื่อออนไลน์อื่นในลักษณะเดียวกันหรือคล้ายคลึงกันที่เปิดให้ใช้งาน เพื่อเป็นช่องทางสื่อสารระหว่างบุคคล ระหว่างกลุ่มบุคคล หรือกับสาธารณะ

"สำนักงาน" หมายความว่า สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล

ข้อ 4 เพื่อประโยชน์ในการคุ้มครองข้อมูลส่วนบุคคล ให้ผู้ควบคุมข้อมูลส่วนบุคคลและผู้ประมวลผลข้อมูลส่วนบุคคลที่การดำเนินกิจกรรมในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล ซึ่งเป็นส่วนหนึ่งของกิจกรรมหลัก (core activities) จำเป็นต้องตรวจสอบข้อมูลส่วนบุคคลหรือระบบอย่างสม่ำเสมอ โดยเหตุที่มีข้อมูลส่วนบุคคลเป็นจำนวนมาก (on a large scale) ตามข้อ 5 และข้อ 6 ของประกาศนี้ ต้องจัดให้มีเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลของตน

ข้อ 5 การดำเนินกิจกรรมของผู้ควบคุมข้อมูลส่วนบุคคลและผู้ประมวลผลข้อมูลส่วนบุคคล ซึ่งเป็นส่วนหนึ่งของกิจกรรมหลัก (core activities) ที่มีการติดตาม (track) เฝ้าสังเกต (monitor) วิเคราะห์ หรือทำนายพฤติกรรม ทัศนคติ หรือลักษณะเฉพาะของบุคคล (profile) ซึ่งโดยทั่วไปจะมีการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลอย่างเป็นระบบ (systematic) และเกิดขึ้นเป็นประจำหรือเป็นปกติธุระ (regular) ให้ถือว่าการดำเนินกิจกรรมนั้นมีความจำเป็นต้องตรวจสอบข้อมูลส่วนบุคคลหรือระบบอย่างสม่ำเสมอ

การเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลในกรณีดังต่อไปนี้ ให้ถือเป็นกรณีที่มีความจำเป็นต้องตรวจสอบข้อมูลส่วนบุคคลหรือระบบอย่างสม่ำเสมอตามวรรคหนึ่งด้วย

(1) การเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลเกี่ยวกับการใช้งานของผู้ถือบัตรสมาชิก บัตรโดยสารสาธารณะ บัตรอิเล็กทรอนิกส์ หรือบัตรอื่นใดในลักษณะเดียวกันซึ่งผู้ให้บริการบัตรหรือบุคคลอื่นใดสามารถตรวจสอบรายละเอียดข้อมูลการใช้งานบัตรได้

(2) การเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลของลูกค้าหรือผู้รับบริการซึ่งเกิดขึ้นเป็นประจำหรือเป็นปกติธุระ ที่มีการตรวจสอบสถานะ ประวัติ หรือคุณสมบัติของลูกค้าหรือผู้รับบริการก่อนเข้าทำสัญญาหรือให้บริการในลักษณะเดียวกันเพื่อประเมินความเสี่ยงด้านต่าง ๆ ที่เกี่ยวข้อง เช่น การให้คะแนนเครดิต (credit scoring) การพิจารณาเบี้ยประกัน การป้องกันการโกงหรือฉ้อฉล (fraud prevention) ทั้งนี้ ไม่รวมถึงการดำเนินการกับข้อมูลของบริษัทข้อมูลเครดิตและสมาชิกตามกฎหมายว่าด้วยการประกอบธุรกิจข้อมูลเครดิต

(3) การเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลเพื่อวัตถุประสงค์ด้านการโฆษณาตามพฤติกรรม (behavioral advertising)

(4) การเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลของลูกค้าหรือผู้รับบริการโดยผู้ให้บริการระบบเครือข่ายคอมพิวเตอร์หรือผู้ประกอบกิจการโทรคมนาคม

(5) การเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลเพื่อการเฝ้าระวังและรักษาความปลอดภัยตามสถานที่ต่าง ๆ

(6) กรณีอื่นตามที่คณะกรรมการคุ้มครองข้อมูลส่วนบุคคลกำหนด

ข้อ 6 การดำเนินกิจกรรมของผู้ควบคุมข้อมูลส่วนบุคคลและผู้ประมวลผลข้อมูลส่วนบุคคล ซึ่งเป็นส่วนหนึ่งของกิจกรรมหลัก (core activities) ที่มีข้อมูลส่วนบุคคลเป็นจำนวนมาก (on a large scale) ให้พิจารณาจากปัจจัย ดังต่อไปนี้

(1) จำนวนเจ้าของข้อมูลส่วนบุคคลที่เกี่ยวข้อง หรือสัดส่วนของจำนวนเจ้าของข้อมูลส่วนบุคคลที่มีการเก็บรวบรวม ใช้ หรือเปิดเผย เมื่อเทียบกับจำนวนเจ้าของข้อมูลส่วนบุคคลทั้งหมดที่อาจเป็นไปได้

(2) ปริมาณ ประเภท หรือลักษณะของข้อมูลส่วนบุคคลที่มีการเก็บรวบรวม ใช้ หรือเปิดเผย

(3) ระยะเวลา (duration) หรือความคงอยู่ (permanence) ของการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลเพื่อประโยชน์ในการดำเนินกิจกรรมหลัก (core activities) ของผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคล

(4) ขอบเขตการใช้ข้อมูลส่วนบุคคลขององค์กร หรือตามขนาดพื้นที่หรือจำนวนประเทศที่เกี่ยวข้องกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล

การเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลในกรณีดังต่อไปนี้ ให้ถือเป็นกรณีที่มีข้อมูลส่วนบุคคลเป็นจำนวนมาก (on a large scale) ตามวรรคหนึ่งด้วย

(1) การเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล ซึ่งเป็นส่วนหนึ่งของกิจกรรมหลัก (core activities) โดยมีจำนวนเจ้าของข้อมูลส่วนบุคคลที่มีการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล ตั้งแต่ 100,000 รายขึ้นไป

(2) การเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลเพื่อวัตถุประสงค์ด้านการโฆษณาตามพฤติกรรม (behavioral advertising) ผ่านโปรแกรมค้นหา (search engine) หรือสื่อสังคมออนไลน์ (social media) ที่มีผู้ใช้งานอย่างกว้างขวาง

(3) การเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลของลูกค้าหรือผู้รับบริการตามการดำเนินงานปกติโดยบริษัทตามกฎหมายว่าด้วยประกันชีวิต บริษัทตามกฎหมายว่าด้วยประกันวินาศภัย ผู้ประกอบธุรกิจสถาบันการเงินตามกฎหมายว่าด้วยธุรกิจสถาบันการเงิน ทั้งนี้ ไม่รวมถึงการดำเนินการกับข้อมูลของบริษัทข้อมูลเครดิตและสมาชิกตามกฎหมายว่าด้วยการประกอบธุรกิจข้อมูลเครดิต

(4) การเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลของลูกค้าหรือผู้รับบริการโดยผู้รับใบอนุญาตประกอบกิจการโทรคมนาคมแบบที่สามตามกฎหมายว่าด้วยการประกอบกิจการโทรคมนาคม

(5) กรณีอื่นตามที่คณะกรรมการคุ้มครองข้อมูลส่วนบุคคลกำหนด

ข้อ 7 ในการพิจารณาหลักเกณฑ์ตามข้อ 5 และข้อ 6 ให้คำนึงถึงมาตรฐานและแนวปฏิบัติของธุรกิจหรือกิจการนั้น ๆ ตลอดจนความเสี่ยงและผลกระทบต่อเจ้าของข้อมูลส่วนบุคคลด้วย

ข้อ 8 เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลของผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคลตามประกาศนี้อาจปฏิบัติหน้าที่หรือภารกิจอื่นได้ แต่ผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคลตามประกาศนี้ต้องรับรองกับสำนักงานว่าหน้าที่หรือภารกิจดังกล่าวต้องไม่ขัดหรือแย้งต่อการปฏิบัติหน้าที่ตามกฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคล

ข้อ 9 ให้ประธานกรรมการคุ้มครองข้อมูลส่วนบุคคลเป็นผู้รักษาการตามประกาศนี้

ประกาศ ณ วันที่ 31 สิงหาคม พ.ศ. 2566

เธียรชัย ณ นคร
ประธานกรรมการคุ้มครองข้อมูลส่วนบุคคล

## เหตุผลและฐานอำนาจ

โดยที่เป็นการสมควรกำหนดผู้ควบคุมข้อมูลส่วนบุคคลและผู้ประมวลผลข้อมูลส่วนบุคคล ซึ่งต้องจัดให้มีเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลของตน ในกรณีที่การดำเนินกิจกรรมในการเก็บรวบรวม ใช้ หรือเปิดเผย จำเป็นต้องตรวจสอบข้อมูลส่วนบุคคลหรือระบบอย่างสม่ำเสมอ โดยเหตุที่มีข้อมูลส่วนบุคคลเป็นจำนวนมาก

อาศัยอำนาจตามความใน [มาตรา 16](https://link.pdpalawbase.com/section/16.md) (4) ประกอบ [มาตรา 41](https://link.pdpalawbase.com/section/41.md) (2) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 คณะกรรมการคุ้มครองข้อมูลส่วนบุคคล จึงออกประกาศไว้

## เอกสารต้นฉบับ

- [PDF ต้นฉบับ (local)](../../raw/notifications/notification-3.3.pdf)
- [ที่มา: pdpc.or.th](https://www.pdpc.or.th/2384/)

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/notification/3-3.md

============================================================
โนด: ประกาศ 4.1
ลิงก์อ้างอิง: https://link.pdpalawbase.com/notification/4-1.md

# ประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง หลักเกณฑ์และวิธีการในการจัดทำและเก็บรักษาบันทึกรายการของกิจกรรมการประมวลผลข้อมูลส่วนบุคคลสำหรับผู้ประมวลผลข้อมูลส่วนบุคคล พ.ศ. 2565

## ใจความสำคัญ

ประกาศฉบับนี้กำหนดหลักเกณฑ์และวิธีการจัดทำและเก็บรักษา "บันทึกรายการของกิจกรรมการประมวลผลข้อมูลส่วนบุคคล" (ROPA) ฝั่ง**ผู้ประมวลผลข้อมูลส่วนบุคคล** ตามหน้าที่ใน [มาตรา 40](https://link.pdpalawbase.com/section/40.md) วรรคหนึ่ง (3) — เป็นคู่ขนานของบันทึกรายการฝั่งผู้ควบคุมข้อมูลส่วนบุคคลตาม [มาตรา 39](https://link.pdpalawbase.com/section/39.md)

- ผู้ประมวลผลข้อมูลส่วนบุคคลต้องจัดทำบันทึกรายการ**แยกตามประเภทกิจกรรม** โดยมีรายละเอียดอย่างน้อย 6 รายการ: ชื่อ/ข้อมูลผู้ประมวลผลและตัวแทน · ชื่อ/ข้อมูลผู้ควบคุมที่ตนรับดำเนินการให้และตัวแทน · เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล (ถ้าจัดให้มี) · ประเภทหรือลักษณะการเก็บรวบรวม ใช้ เปิดเผยตามที่ได้รับมอบหมาย · ประเภทผู้รับข้อมูลกรณีส่งหรือโอนไปต่างประเทศ · คำอธิบายมาตรการรักษาความมั่นคงปลอดภัยตาม [มาตรา 40](https://link.pdpalawbase.com/section/40.md) วรรคหนึ่ง (2)
- รูปแบบ: จัดทำเป็นหนังสือหรือรูปแบบอิเล็กทรอนิกส์ก็ได้ แต่ต้อง**เข้าถึงได้ง่าย**และแสดงให้สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล ผู้ควบคุมข้อมูลส่วนบุคคล หรือบุคคลที่ได้รับมอบหมาย ตรวจสอบได้อย่างรวดเร็วเมื่อมีการร้องขอ
- ใช้บังคับเมื่อพ้นกำหนด 180 วันนับแต่วันประกาศในราชกิจจานุเบกษา (ประกาศ 20 มิถุนายน 2565) — มีผล 17 ธันวาคม 2565
- ผู้ประมวลผลข้อมูลส่วนบุคคลซึ่งเป็นกิจการขนาดเล็กได้รับยกเว้นหน้าที่นี้ตามเงื่อนไขใน [ประกาศการยกเว้นการจัดทำบันทึกรายการของผู้ประมวลผลซึ่งเป็นกิจการขนาดเล็ก พ.ศ. 2567](https://link.pdpalawbase.com/notification/4-3.md)

## ตัวบท

ข้อ 1 ประกาศนี้เรียกว่า "ประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง หลักเกณฑ์และวิธีการในการจัดทำและเก็บรักษาบันทึกรายการของกิจกรรมการประมวลผลข้อมูลส่วนบุคคลสำหรับผู้ประมวลผลข้อมูลส่วนบุคคล พ.ศ. 2565"

ข้อ 2 ประกาศนี้ให้ใช้บังคับเมื่อพ้นกำหนดหนึ่งร้อยแปดสิบวันนับแต่วันประกาศในราชกิจจานุเบกษาเป็นต้นไป

ข้อ 3 ผู้ประมวลผลข้อมูลส่วนบุคคลต้องจัดทำและเก็บรักษาบันทึกรายการของกิจกรรมการประมวลผลข้อมูลส่วนบุคคลของแต่ละประเภทกิจกรรมไว้ โดยมีรายละเอียดอย่างน้อย ดังต่อไปนี้

(1) ชื่อและข้อมูลเกี่ยวกับผู้ประมวลผลข้อมูลส่วนบุคคล และตัวแทนของผู้ประมวลผลข้อมูลส่วนบุคคลในกรณีที่มีการแต่งตั้งตัวแทน

(2) ชื่อและข้อมูลเกี่ยวกับผู้ควบคุมข้อมูลส่วนบุคคลที่ผู้ประมวลผลข้อมูลส่วนบุคคลดำเนินการตามคำสั่งหรือในนามของผู้ควบคุมข้อมูลส่วนบุคคลนั้น และตัวแทนของผู้ควบคุมข้อมูลส่วนบุคคลในกรณีที่มีการแต่งตั้งตัวแทน

(3) ชื่อและข้อมูลเกี่ยวกับเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล รวมถึงสถานที่ติดต่อและวิธีการติดต่อ ในกรณีที่ผู้ประมวลผลข้อมูลส่วนบุคคลจัดให้มีเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล

(4) ประเภทหรือลักษณะของการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลที่ผู้ประมวลผลข้อมูลส่วนบุคคลดำเนินการตามคำสั่งหรือในนามของผู้ควบคุมข้อมูลส่วนบุคคล ซึ่งรวมถึงข้อมูลส่วนบุคคลและวัตถุประสงค์ของการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลตามที่ได้รับมอบหมายจากผู้ควบคุมข้อมูลส่วนบุคคล

(5) ประเภทของบุคคลหรือหน่วยงานที่ได้รับข้อมูลส่วนบุคคล ในกรณีที่มีการส่งหรือโอนข้อมูลส่วนบุคคลไปยังต่างประเทศ

(6) คำอธิบายเกี่ยวกับมาตรการรักษาความมั่นคงปลอดภัยตาม [มาตรา 40](https://link.pdpalawbase.com/section/40.md) วรรคหนึ่ง (2)

ผู้ประมวลผลข้อมูลส่วนบุคคลต้องจัดทำและเก็บรักษาบันทึกรายการของกิจกรรมการประมวลผลข้อมูลส่วนบุคคลตามวรรคหนึ่งเป็นลายลักษณ์อักษร โดยจะจัดทำเป็นหนังสือหรือในรูปแบบอิเล็กทรอนิกส์ก็ได้ ทั้งนี้ บันทึกรายการของกิจกรรมการประมวลผลข้อมูลส่วนบุคคลดังกล่าวจะต้องเข้าถึงได้ง่าย และสามารถแสดงให้สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล ผู้ควบคุมข้อมูลส่วนบุคคล หรือบุคคลที่สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลหรือผู้ควบคุมข้อมูลส่วนบุคคลมอบหมายตรวจสอบได้อย่างรวดเร็วเมื่อมีการร้องขอ

ข้อ 4 ให้ประธานกรรมการคุ้มครองข้อมูลส่วนบุคคลเป็นผู้รักษาการตามประกาศนี้

ประกาศ ณ วันที่ 10 มิถุนายน พ.ศ. 2565

เธียรชัย ณ นคร

ประธานกรรมการคุ้มครองข้อมูลส่วนบุคคล

## เหตุผลและฐานอำนาจ

โดยที่เป็นการสมควรกำหนดหลักเกณฑ์และวิธีการในการจัดทำและเก็บรักษาบันทึกรายการของกิจกรรมการประมวลผลข้อมูลส่วนบุคคลสำหรับผู้ประมวลผลข้อมูลส่วนบุคคล

อาศัยอำนาจตามความใน [มาตรา 16](https://link.pdpalawbase.com/section/16.md) (4) และ [มาตรา 40](https://link.pdpalawbase.com/section/40.md) วรรคหนึ่ง (3) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 คณะกรรมการคุ้มครองข้อมูลส่วนบุคคล จึงออกประกาศไว้

## เอกสารต้นฉบับ

- [PDF ต้นฉบับ (local)](../../raw/notifications/notification-4.1.pdf)
- [ที่มา: pdpc.or.th](https://www.pdpc.or.th/2968/)

(ประกาศในราชกิจจานุเบกษา เล่ม 139 ตอนพิเศษ 140 ง หน้า 26-27 วันที่ 20 มิถุนายน 2565 · วันมีผลใช้บังคับคำนวณจากวันประกาศ + 180 วัน = 17 ธันวาคม 2565)

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/notification/4-1.md

============================================================
โนด: ประกาศ 4.2
ลิงก์อ้างอิง: https://link.pdpalawbase.com/notification/4-2.md

# ประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง การยกเว้นการบันทึกรายการของผู้ควบคุมข้อมูลส่วนบุคคลซึ่งเป็นกิจการขนาดเล็ก พ.ศ. 2567

## ใจความสำคัญ

ประกาศฉบับนี้ปรับปรุงหลักเกณฑ์การยกเว้นหน้าที่บันทึกรายการ (ROPA) ตาม [มาตรา 39](https://link.pdpalawbase.com/section/39.md) วรรคหนึ่ง สำหรับ**ผู้ควบคุมข้อมูลส่วนบุคคลซึ่งเป็นกิจการขนาดเล็ก** โดย**ยกเลิก**ฉบับเดิม [ประกาศการยกเว้นการบันทึกรายการฯ พ.ศ. 2565](https://link.pdpalawbase.com/notification/4-4.md) ทั้งฉบับ

- ขอบเขตการยกเว้น: ไม่ต้องบันทึกรายการตาม [มาตรา 39](https://link.pdpalawbase.com/section/39.md) วรรคหนึ่ง (1) (2) (3) (4) (5) (6) และ (8) — รายการ (7) บันทึกการปฏิเสธคำขอหรือการคัดค้าน ไม่อยู่ในขอบเขตที่ยกเว้นได้ เพราะ [มาตรา 39](https://link.pdpalawbase.com/section/39.md) วรรคสามเปิดให้ยกเว้นเฉพาะ (1)-(6) และ (8)
- นิยาม "กิจการขนาดเล็ก" 8 ประเภท (ข้อ 4): วิสาหกิจขนาดย่อม/ขนาดกลาง · วิสาหกิจชุมชนหรือเครือข่ายวิสาหกิจชุมชน · วิสาหกิจเพื่อสังคมหรือกลุ่มกิจการเพื่อสังคม · สหกรณ์ ชุมนุมสหกรณ์ หรือกลุ่มเกษตรกร · มูลนิธิ สมาคม องค์กรศาสนา หรือองค์กรเอกชนที่ไม่แสวงหากำไร · นิติบุคคลอาคารชุดหรือนิติบุคคลหมู่บ้านจัดสรร · กิจการในครัวเรือนหรือกิจการอื่นในลักษณะเดียวกัน · กิจการที่ดำเนินการโดยผู้ควบคุมข้อมูลส่วนบุคคลที่เป็นบุคคลธรรมดา — สองประเภทหลัง (นิติบุคคลอาคารชุด/หมู่บ้านจัดสรร และบุคคลธรรมดา) เป็นส่วนขยายจากฉบับ พ.ศ. 2565
- เงื่อนไขใหม่ (ข้อ 5 วรรคหนึ่ง): ผู้ที่จะได้รับยกเว้นต้อง**ไม่มีหน้าที่จัดให้มีเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล**ตาม [มาตรา 41](https://link.pdpalawbase.com/section/41.md) (1) (2) หรือ (3) — แทนเงื่อนไขเดิมเรื่องผู้ให้บริการที่ต้องเก็บข้อมูลจราจรทางคอมพิวเตอร์ซึ่งถูกตัดออก
- ข้อจำกัดการยกเว้น (ข้อ 5 วรรคสอง): แม้เข้าข่ายกิจการขนาดเล็ก ยังต้องบันทึกรายการเต็มตาม [มาตรา 39](https://link.pdpalawbase.com/section/39.md) วรรคหนึ่ง (1) ถึง (8) หากการประมวลผลมีลักษณะใดลักษณะหนึ่ง: มีความเสี่ยงกระทบสิทธิและเสรีภาพของเจ้าของข้อมูล · มิใช่การประมวลผลเป็นครั้งคราว · เป็นข้อมูลส่วนบุคคลตาม [มาตรา 26](https://link.pdpalawbase.com/section/26.md) (ข้อมูลอ่อนไหว)
- ใช้บังคับเมื่อพ้นกำหนด 90 วันนับแต่วันประกาศในราชกิจจานุเบกษา (8 มกราคม 2568) — มีผล 8 เมษายน 2568

## ตัวบท

ข้อ 1 ประกาศนี้เรียกว่า "ประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง การยกเว้นการบันทึกรายการของผู้ควบคุมข้อมูลส่วนบุคคลซึ่งเป็นกิจการขนาดเล็ก พ.ศ. 2567"

ข้อ 2 ประกาศนี้ให้ใช้บังคับเมื่อพ้นกำหนดเก้าสิบวันนับแต่วันประกาศในราชกิจจานุเบกษาเป็นต้นไป

ข้อ 3 ให้ยกเลิกประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง การยกเว้นการบันทึกรายการของผู้ควบคุมข้อมูลส่วนบุคคลซึ่งเป็นกิจการขนาดเล็ก พ.ศ. 2565

ข้อ 4 ผู้ควบคุมข้อมูลส่วนบุคคลซึ่งเป็นกิจการขนาดเล็ก ที่ได้รับยกเว้นไม่ต้องบันทึกรายการตาม [มาตรา 39](https://link.pdpalawbase.com/section/39.md) วรรคหนึ่ง (1) (2) (3) (4) (5) (6) และ (8) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 จะต้องมีลักษณะอย่างใดอย่างหนึ่ง ดังต่อไปนี้

(1) เป็นวิสาหกิจขนาดย่อมหรือวิสาหกิจขนาดกลางตามกฎหมายว่าด้วยการส่งเสริมวิสาหกิจขนาดกลางและขนาดย่อม

(2) เป็นวิสาหกิจชุมชนหรือเครือข่ายวิสาหกิจชุมชนตามกฎหมายว่าด้วยการส่งเสริมวิสาหกิจชุมชน

(3) เป็นวิสาหกิจเพื่อสังคมหรือกลุ่มกิจการเพื่อสังคมตามกฎหมายว่าด้วยการส่งเสริมวิสาหกิจเพื่อสังคม

(4) เป็นสหกรณ์ ชุมนุมสหกรณ์ หรือกลุ่มเกษตรกรตามกฎหมายว่าด้วยสหกรณ์

(5) เป็นมูลนิธิ สมาคม องค์กรศาสนา หรือองค์กรเอกชนที่ไม่แสวงหากำไร

(6) เป็นนิติบุคคลอาคารชุดตามกฎหมายว่าด้วยอาคารชุด หรือนิติบุคคลหมู่บ้านจัดสรรตามกฎหมายว่าด้วยการจัดสรรที่ดิน

(7) เป็นกิจการในครัวเรือนหรือกิจการอื่นในลักษณะเดียวกัน

(8) เป็นกิจการที่ดำเนินการโดยผู้ควบคุมข้อมูลส่วนบุคคลที่เป็นบุคคลธรรมดา

ข้อ 5 ผู้ควบคุมข้อมูลส่วนบุคคลซึ่งเป็นกิจการขนาดเล็กที่ได้รับยกเว้นตามข้อ 4 จะต้องไม่เป็นผู้ควบคุมข้อมูลส่วนบุคคลที่มีหน้าที่จัดให้มีเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลของตน ตาม [มาตรา 41](https://link.pdpalawbase.com/section/41.md) (1) (2) หรือ (3) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562

ผู้ควบคุมข้อมูลส่วนบุคคลซึ่งเป็นกิจการขนาดเล็กที่ได้รับยกเว้นตามข้อ 4 จะต้องบันทึกรายการตาม [มาตรา 39](https://link.pdpalawbase.com/section/39.md) วรรคหนึ่ง (1) ถึง (8) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 เฉพาะกรณีที่มีการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลที่มีลักษณะใดลักษณะหนึ่ง ดังต่อไปนี้

(1) มีความเสี่ยงที่จะมีผลกระทบต่อสิทธิและเสรีภาพของเจ้าของข้อมูลส่วนบุคคล

(2) มิใช่กิจการที่เก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลเป็นครั้งคราว (occasional collection, use, or disclosure of personal data)

(3) เป็นข้อมูลส่วนบุคคลตาม [มาตรา 26](https://link.pdpalawbase.com/section/26.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562

ข้อ 6 ให้ประธานกรรมการคุ้มครองข้อมูลส่วนบุคคลเป็นผู้รักษาการตามประกาศนี้

ประกาศ ณ วันที่ 26 ธันวาคม พ.ศ. 2567

เธียรชัย ณ นคร

ประธานกรรมการคุ้มครองข้อมูลส่วนบุคคล

## เหตุผลและฐานอำนาจ

โดยที่เป็นการสมควรปรับปรุงหลักเกณฑ์การยกเว้นการบันทึกรายการของผู้ควบคุมข้อมูลส่วนบุคคลซึ่งเป็นกิจการขนาดเล็ก

อาศัยอำนาจตามความใน [มาตรา 16](https://link.pdpalawbase.com/section/16.md) (4) และ [มาตรา 39](https://link.pdpalawbase.com/section/39.md) วรรคสาม แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 คณะกรรมการคุ้มครองข้อมูลส่วนบุคคล จึงออกประกาศไว้

## เอกสารต้นฉบับ

- [PDF ต้นฉบับ (local)](../../raw/notifications/notification-4.2.pdf)
- [ที่มา: pdpc.or.th](https://www.pdpc.or.th/10095/)

(ประกาศในราชกิจจานุเบกษา เล่ม 142 ตอนพิเศษ 5 ง หน้า 19-20 วันที่ 8 มกราคม 2568 · วันมีผลใช้บังคับคำนวณจากวันประกาศ + 90 วัน = 8 เมษายน 2568 · ข้อความในตัวบทถอดจาก PDF ด้วย glyph map ระดับ glyph ID เพราะฟอนต์ฝังของไฟล์ให้ข้อความเพี้ยน — ตรวจทานกับภาพเอกสารจริงแล้ว)

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/notification/4-2.md

============================================================
โนด: ประกาศ 4.3
ลิงก์อ้างอิง: https://link.pdpalawbase.com/notification/4-3.md

# ประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง การยกเว้นการจัดทำและเก็บรักษาบันทึกรายการของกิจกรรมการประมวลผลข้อมูลส่วนบุคคลของผู้ประมวลผลข้อมูลส่วนบุคคลซึ่งเป็นกิจการขนาดเล็ก พ.ศ. 2567

## ใจความสำคัญ

ประกาศฉบับนี้ยกเว้นหน้าที่จัดทำและเก็บรักษาบันทึกรายการกิจกรรมการประมวลผล (ROPA) ตาม [มาตรา 40](https://link.pdpalawbase.com/section/40.md) วรรคหนึ่ง (3) ให้แก่**ผู้ประมวลผลข้อมูลส่วนบุคคลซึ่งเป็นกิจการขนาดเล็ก** — เป็นข้อยกเว้นของหน้าที่ตาม [ประกาศหลักเกณฑ์การจัดทำบันทึกรายการของผู้ประมวลผล พ.ศ. 2565](https://link.pdpalawbase.com/notification/4-1.md) และเป็นคู่ขนานฝั่งผู้ประมวลผลของ [ประกาศการยกเว้นการบันทึกรายการของผู้ควบคุมซึ่งเป็นกิจการขนาดเล็ก พ.ศ. 2567](https://link.pdpalawbase.com/notification/4-2.md) ที่ออกพร้อมกัน

- นิยาม "กิจการขนาดเล็ก" 8 ประเภทเดียวกับฝั่งผู้ควบคุม (ข้อ 3): วิสาหกิจขนาดย่อม/ขนาดกลาง · วิสาหกิจชุมชนหรือเครือข่ายวิสาหกิจชุมชน · วิสาหกิจเพื่อสังคมหรือกลุ่มกิจการเพื่อสังคม · สหกรณ์ ชุมนุมสหกรณ์ หรือกลุ่มเกษตรกร · มูลนิธิ สมาคม องค์กรศาสนา หรือองค์กรเอกชนที่ไม่แสวงหากำไร · นิติบุคคลอาคารชุดหรือนิติบุคคลหมู่บ้านจัดสรร · กิจการในครัวเรือน · กิจการที่ดำเนินการโดยผู้ประมวลผลข้อมูลส่วนบุคคลที่เป็นบุคคลธรรมดา
- เงื่อนไข (ข้อ 4 วรรคหนึ่ง): ต้อง**ไม่มีหน้าที่จัดให้มีเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล**ของตนตาม [มาตรา 41](https://link.pdpalawbase.com/section/41.md) (1) (2) หรือ (3) — มาตรานี้กำหนดหน้าที่จัดให้มี DPO กับผู้ประมวลผลข้อมูลส่วนบุคคลโดยตรงเช่นเดียวกับผู้ควบคุม
- ข้อจำกัดการยกเว้น (ข้อ 4 วรรคสอง): ยังต้องจัดทำบันทึกรายการเฉพาะกรณีที่การเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลมีลักษณะใดลักษณะหนึ่ง: มีความเสี่ยงกระทบสิทธิและเสรีภาพของเจ้าของข้อมูล · มิใช่การประมวลผลเป็นครั้งคราว · เป็นข้อมูลส่วนบุคคลตาม [มาตรา 26](https://link.pdpalawbase.com/section/26.md) (ข้อมูลอ่อนไหว)
- ใช้บังคับตั้งแต่วันถัดจากวันประกาศในราชกิจจานุเบกษา (8 มกราคม 2568) — มีผล 9 มกราคม 2568 (ต่างจากฝั่งผู้ควบคุมที่มีระยะเปลี่ยนผ่าน 90 วัน)

## ตัวบท

ข้อ 1 ประกาศนี้เรียกว่า "ประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง การยกเว้นการจัดทำและเก็บรักษาบันทึกรายการของกิจกรรมการประมวลผลข้อมูลส่วนบุคคลของผู้ประมวลผลข้อมูลส่วนบุคคลซึ่งเป็นกิจการขนาดเล็ก พ.ศ. 2567"

ข้อ 2 ประกาศนี้ให้ใช้บังคับตั้งแต่วันถัดจากวันประกาศในราชกิจจานุเบกษาเป็นต้นไป

ข้อ 3 ผู้ประมวลผลข้อมูลส่วนบุคคลซึ่งเป็นกิจการขนาดเล็ก ที่ได้รับยกเว้นไม่ต้องจัดทำและเก็บรักษาบันทึกรายการของกิจกรรมการประมวลผลข้อมูลส่วนบุคคลตาม [มาตรา 40](https://link.pdpalawbase.com/section/40.md) วรรคหนึ่ง (3) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 จะต้องมีลักษณะอย่างใดอย่างหนึ่ง ดังต่อไปนี้

(1) เป็นวิสาหกิจขนาดย่อมหรือวิสาหกิจขนาดกลางตามกฎหมายว่าด้วยการส่งเสริมวิสาหกิจขนาดกลางและขนาดย่อม

(2) เป็นวิสาหกิจชุมชนหรือเครือข่ายวิสาหกิจชุมชนตามกฎหมายว่าด้วยการส่งเสริมวิสาหกิจชุมชน

(3) เป็นวิสาหกิจเพื่อสังคมหรือกลุ่มกิจการเพื่อสังคมตามกฎหมายว่าด้วยการส่งเสริมวิสาหกิจเพื่อสังคม

(4) เป็นสหกรณ์ ชุมนุมสหกรณ์ หรือกลุ่มเกษตรกรตามกฎหมายว่าด้วยสหกรณ์

(5) เป็นมูลนิธิ สมาคม องค์กรศาสนา หรือองค์กรเอกชนที่ไม่แสวงหากำไร

(6) เป็นนิติบุคคลอาคารชุดตามกฎหมายว่าด้วยอาคารชุด หรือนิติบุคคลหมู่บ้านจัดสรรตามกฎหมายว่าด้วยการจัดสรรที่ดิน

(7) เป็นกิจการในครัวเรือนหรือกิจการอื่นในลักษณะเดียวกัน

(8) เป็นกิจการที่ดำเนินการโดยผู้ประมวลผลข้อมูลส่วนบุคคลที่เป็นบุคคลธรรมดา

ข้อ 4 ผู้ประมวลผลข้อมูลส่วนบุคคลซึ่งเป็นกิจการขนาดเล็กที่ได้รับยกเว้นตามข้อ 3 จะต้องไม่เป็นผู้ประมวลผลข้อมูลส่วนบุคคลที่มีหน้าที่จัดให้มีเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลของตน ตาม [มาตรา 41](https://link.pdpalawbase.com/section/41.md) (1) (2) หรือ (3) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562

ผู้ประมวลผลข้อมูลส่วนบุคคลซึ่งเป็นกิจการขนาดเล็กที่ได้รับยกเว้นตามข้อ 3 จะต้องจัดทำและเก็บรักษาบันทึกรายการของกิจกรรมการประมวลผลข้อมูลส่วนบุคคลตาม [มาตรา 40](https://link.pdpalawbase.com/section/40.md) วรรคหนึ่ง (3) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 เฉพาะกรณีที่มีการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลที่มีลักษณะใดลักษณะหนึ่ง ดังต่อไปนี้

(1) มีความเสี่ยงที่จะมีผลกระทบต่อสิทธิและเสรีภาพของเจ้าของข้อมูลส่วนบุคคล

(2) มิใช่กิจการที่เก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลเป็นครั้งคราว (occasional collection, use, or disclosure of personal data)

(3) เป็นข้อมูลส่วนบุคคลตาม [มาตรา 26](https://link.pdpalawbase.com/section/26.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562

ข้อ 5 ให้ประธานกรรมการคุ้มครองข้อมูลส่วนบุคคลเป็นผู้รักษาการตามประกาศนี้

ประกาศ ณ วันที่ 26 ธันวาคม พ.ศ. 2567

เธียรชัย ณ นคร

ประธานกรรมการคุ้มครองข้อมูลส่วนบุคคล

## เหตุผลและฐานอำนาจ

โดยที่เป็นการสมควรกำหนดหลักเกณฑ์การยกเว้นการจัดทำและเก็บรักษาบันทึกรายการของกิจกรรมการประมวลผลข้อมูลส่วนบุคคลของผู้ประมวลผลข้อมูลส่วนบุคคลซึ่งเป็นกิจการขนาดเล็ก

อาศัยอำนาจตามความใน [มาตรา 16](https://link.pdpalawbase.com/section/16.md) (4) และ [มาตรา 40](https://link.pdpalawbase.com/section/40.md) วรรคสี่ แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 คณะกรรมการคุ้มครองข้อมูลส่วนบุคคล จึงออกประกาศไว้

## เอกสารต้นฉบับ

- [PDF ต้นฉบับ (local)](../../raw/notifications/notification-4.3.pdf)
- [ที่มา: pdpc.or.th](https://www.pdpc.or.th/10102/)

(ประกาศในราชกิจจานุเบกษา เล่ม 142 ตอนพิเศษ 5 ง หน้า 21-22 วันที่ 8 มกราคม 2568 · มีผลวันถัดจากวันประกาศ = 9 มกราคม 2568 · ข้อความในตัวบทถอดจาก PDF ด้วย glyph map ระดับ glyph ID เพราะฟอนต์ฝังของไฟล์ให้ข้อความเพี้ยน — ตรวจทานกับภาพเอกสารจริงแล้ว)

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/notification/4-3.md

============================================================
โนด: ประกาศ 4.4
ลิงก์อ้างอิง: https://link.pdpalawbase.com/notification/4-4.md

# ประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง การยกเว้นการบันทึกรายการของผู้ควบคุมข้อมูลส่วนบุคคลซึ่งเป็นกิจการขนาดเล็ก พ.ศ. 2565

## ใจความสำคัญ

⚠️ **ประกาศฉบับนี้ถูกยกเลิกทั้งฉบับแล้ว** โดยข้อ 3 ของ [ประกาศการยกเว้นการบันทึกรายการของผู้ควบคุมข้อมูลส่วนบุคคลซึ่งเป็นกิจการขนาดเล็ก พ.ศ. 2567](https://link.pdpalawbase.com/notification/4-2.md) ซึ่งมีผลใช้บังคับตั้งแต่วันที่ 8 เมษายน 2568 — หน้านี้คงไว้เพื่อการอ้างอิงทางประวัติ (เคยใช้บังคับระหว่าง 21 มิถุนายน 2565 ถึง 7 เมษายน 2568)

- เป็นหลักเกณฑ์ฉบับแรกที่ยกเว้นหน้าที่บันทึกรายการ (ROPA) ตาม [มาตรา 39](https://link.pdpalawbase.com/section/39.md) วรรคหนึ่ง (1) (2) (3) (4) (5) (6) และ (8) ให้ผู้ควบคุมข้อมูลส่วนบุคคลซึ่งเป็นกิจการขนาดเล็ก
- นิยาม "กิจการขนาดเล็ก" 6 ประเภท (ข้อ 3): วิสาหกิจขนาดย่อม/ขนาดกลาง · วิสาหกิจชุมชนหรือเครือข่ายวิสาหกิจชุมชน · วิสาหกิจเพื่อสังคมหรือกลุ่มกิจการเพื่อสังคม · สหกรณ์ ชุมนุมสหกรณ์ หรือกลุ่มเกษตรกร · มูลนิธิ สมาคม องค์กรศาสนา หรือองค์กรที่ไม่แสวงหากำไร · กิจการในครัวเรือนหรือกิจการอื่นในลักษณะเดียวกัน (ฉบับ พ.ศ. 2567 ขยายเป็น 8 ประเภท)
- เงื่อนไขพิเศษ (ข้อ 3 วรรคสอง): ต้องไม่เป็นผู้ให้บริการที่ต้องเก็บรักษาข้อมูลจราจรทางคอมพิวเตอร์ตามกฎหมายว่าด้วยการกระทำความผิดเกี่ยวกับคอมพิวเตอร์ เว้นแต่เป็นผู้ให้บริการร้านอินเทอร์เน็ต (เงื่อนไขนี้ถูกแทนที่ในฉบับ พ.ศ. 2567 ด้วยเงื่อนไขไม่มีหน้าที่จัดให้มีเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล)
- ขอบเขตการยกเว้น (ข้อ 3 วรรคสาม): ไม่ครอบคลุมการประมวลผลที่มีความเสี่ยงกระทบสิทธิและเสรีภาพของเจ้าของข้อมูล · ที่มิใช่เป็นครั้งคราว · หรือที่เป็นข้อมูลส่วนบุคคลตาม [มาตรา 26](https://link.pdpalawbase.com/section/26.md) (ข้อมูลอ่อนไหว)
- ใช้บังคับตั้งแต่วันถัดจากวันประกาศในราชกิจจานุเบกษา (20 มิถุนายน 2565) — มีผล 21 มิถุนายน 2565

## ตัวบท

ข้อ 1 ประกาศนี้เรียกว่า "ประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง การยกเว้นการบันทึกรายการของผู้ควบคุมข้อมูลส่วนบุคคลซึ่งเป็นกิจการขนาดเล็ก พ.ศ. 2565"

ข้อ 2 ประกาศนี้ให้ใช้บังคับตั้งแต่วันถัดจากวันประกาศในราชกิจจานุเบกษาเป็นต้นไป

ข้อ 3 ผู้ควบคุมข้อมูลส่วนบุคคลซึ่งเป็นกิจการขนาดเล็ก ที่ได้รับยกเว้นไม่ต้องดำเนินการตาม [มาตรา 39](https://link.pdpalawbase.com/section/39.md) วรรคหนึ่ง (1) (2) (3) (4) (5) (6) และ (8) จะต้องมีลักษณะอย่างใดอย่างหนึ่ง ดังต่อไปนี้

(1) เป็นวิสาหกิจขนาดย่อมหรือวิสาหกิจขนาดกลางตามกฎหมายว่าด้วยการส่งเสริมวิสาหกิจขนาดกลางและขนาดย่อม

(2) เป็นวิสาหกิจชุมชนหรือเครือข่ายวิสาหกิจชุมชนตามกฎหมายว่าด้วยการส่งเสริมวิสาหกิจชุมชน

(3) เป็นวิสาหกิจเพื่อสังคมหรือกลุ่มกิจการเพื่อสังคมตามกฎหมายว่าด้วยการส่งเสริมวิสาหกิจเพื่อสังคม

(4) เป็นสหกรณ์ ชุมนุมสหกรณ์ หรือกลุ่มเกษตรกรตามกฎหมายว่าด้วยสหกรณ์

(5) เป็นมูลนิธิ สมาคม องค์กรศาสนา หรือองค์กรที่ไม่แสวงหากำไร

(6) เป็นกิจการในครัวเรือนหรือกิจการอื่นในลักษณะเดียวกัน

ผู้ควบคุมข้อมูลส่วนบุคคลซึ่งเป็นกิจการขนาดเล็กที่ได้รับยกเว้นตามวรรคหนึ่ง จะต้องไม่เป็นผู้ให้บริการที่ต้องเก็บรักษาข้อมูลจราจรทางคอมพิวเตอร์ตามกฎหมายว่าด้วยการกระทำความผิดเกี่ยวกับคอมพิวเตอร์ เว้นแต่จะเป็นผู้ให้บริการประเภทผู้ให้บริการร้านอินเทอร์เน็ต ให้ได้รับยกเว้นตามวรรคหนึ่ง

การเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลของผู้ควบคุมข้อมูลส่วนบุคคลซึ่งเป็นกิจการขนาดเล็กที่ได้รับยกเว้นตามวรรคหนึ่ง ไม่รวมถึงกรณีที่มีการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลที่มีความเสี่ยงที่จะมีผลกระทบต่อสิทธิและเสรีภาพของเจ้าของข้อมูลส่วนบุคคล หรือมิใช่กิจการที่เก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลเป็นครั้งคราว หรือมีการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลตาม [มาตรา 26](https://link.pdpalawbase.com/section/26.md)

ข้อ 4 ให้ประธานกรรมการคุ้มครองข้อมูลส่วนบุคคลเป็นผู้รักษาการตามประกาศนี้

ประกาศ ณ วันที่ 10 มิถุนายน พ.ศ. 2565

เธียรชัย ณ นคร

ประธานกรรมการคุ้มครองข้อมูลส่วนบุคคล

## เหตุผลและฐานอำนาจ

โดยที่เป็นการสมควรกำหนดหลักเกณฑ์การยกเว้นการบันทึกรายการของผู้ควบคุมข้อมูลส่วนบุคคลซึ่งเป็นกิจการขนาดเล็ก

อาศัยอำนาจตามความใน [มาตรา 16](https://link.pdpalawbase.com/section/16.md) (4) และ [มาตรา 39](https://link.pdpalawbase.com/section/39.md) วรรคสาม แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 คณะกรรมการคุ้มครองข้อมูลส่วนบุคคล จึงออกประกาศไว้

## เอกสารต้นฉบับ

- [PDF ต้นฉบับ (local)](../../raw/notifications/notification-4.4.pdf)
- [ที่มา: pdpc.or.th](https://www.pdpc.or.th/2964/)

(ประกาศในราชกิจจานุเบกษา เล่ม 139 ตอนพิเศษ 140 ง หน้า 24-25 วันที่ 20 มิถุนายน 2565 · มีผลวันถัดจากวันประกาศ = 21 มิถุนายน 2565 · ถูกยกเลิกโดยฉบับ พ.ศ. 2567 ตั้งแต่ 8 เมษายน 2568)

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/notification/4-4.md

============================================================
โนด: ประกาศ 5.1
ลิงก์อ้างอิง: https://link.pdpalawbase.com/notification/5-1.md

# ประกาศสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง ช่องทางอิเล็กทรอนิกส์ในการแจ้งเหตุการละเมิดข้อมูลส่วนบุคคลสำหรับผู้ควบคุมข้อมูลส่วนบุคคล พ.ศ. 2568

## ใจความสำคัญ

ประกาศของสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (ฉบับปรับปรุง ใช้แทนฉบับ พ.ศ. 2566) กำหนดช่องทางอิเล็กทรอนิกส์สำหรับผู้ควบคุมข้อมูลส่วนบุคคลในการแจ้งเหตุการละเมิดข้อมูลส่วนบุคคลแก่สำนักงาน — เป็นกฎหมายลำดับรองชั้นปฏิบัติของหน้าที่แจ้งเหตุตาม [มาตรา 37](https://link.pdpalawbase.com/section/37.md) (4) ซึ่งวางหลักเกณฑ์ไว้ใน [ประกาศ เรื่อง หลักเกณฑ์และวิธีการในการแจ้งเหตุการละเมิดข้อมูลส่วนบุคคล พ.ศ. 2565](https://link.pdpalawbase.com/notification/5-2.md)

- ยกเลิกประกาศฉบับเดิม พ.ศ. 2566 ลงวันที่ 10 มกราคม 2566 (ข้อ 1)
- ช่องทางแจ้งเหตุ: ไปรษณีย์อิเล็กทรอนิกส์ saraban@pdpc.or.th โดยระบุชื่อเรื่อง "[การแจ้งเหตุการละเมิดข้อมูลส่วนบุคคล]...(ชื่อผู้ควบคุมข้อมูลส่วนบุคคล)..." (ข้อ 2)
- สาระสำคัญที่ต้องระบุในการแจ้ง ให้เป็นไปตามข้อ 6 ของประกาศหลักเกณฑ์และวิธีการฯ พ.ศ. 2565 เท่าที่จะสามารถกระทำได้ (ข้อ 3)
- สอบถามเพิ่มเติมได้ในวันและเวลาราชการ โทร 0 2111 8800 ต่อ 3 หรือ 08 1245 5414 (ข้อ 4)

## ตัวบท

ประกาศสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง ช่องทางอิเล็กทรอนิกส์ในการแจ้งเหตุการละเมิดข้อมูลส่วนบุคคลสำหรับผู้ควบคุมข้อมูลส่วนบุคคล พ.ศ. 2568

โดยที่เป็นการสมควรปรับปรุงประกาศสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง ช่องทางอิเล็กทรอนิกส์ในการแจ้งเหตุการละเมิดข้อมูลส่วนบุคคล สำหรับผู้ควบคุมข้อมูลส่วนบุคคล พ.ศ. 2566 ลงวันที่ 10 มกราคม 2566 ให้ถูกต้องเหมาะสมและเป็นการอำนวยความสะดวกให้แก่ผู้ควบคุมข้อมูลส่วนบุคคล รวมทั้ง เพื่อความรวดเร็วและเพิ่มประสิทธิภาพในการแจ้งเหตุการละเมิดข้อมูลส่วนบุคคลโดยวิธีการทางอิเล็กทรอนิกส์ผ่านเว็บไซต์ของสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล ดังนั้น เพื่อให้การแจ้งเหตุการละเมิดข้อมูลส่วนบุคคลสำหรับผู้ควบคุมข้อมูลส่วนบุคคล มีความคล่องตัว รวดเร็ว ง่าย และสะดวกมากขึ้น อาศัยอำนาจตามข้อ 6 แห่งประกาศคณะกรรมการคุ้มครองข้อมูลส่วนลุคคล เรื่อง หลักเกณฑ์และวิธีการในการแจ้งเหตุการละเมิดข้อมูลส่วนบุคคล พ.ศ. 2565 จึงออกประกาศไว้ ดังต่อไปนี้

ข้อ 1 ให้ยกเลิกประกาศสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง ช่องทางอิเล็กทรอนิกส์ในการแจ้งเหตุการละเมิดข้อมูลส่วนบุคคลสำหรับผู้ควบคุมข้อมูลส่วนบุคคล พ.ศ. 2566 พ.ศ. 2566 ลงวันที่ 10 มกราคม 2566

ข้อ 2 วิธีการแจ้งเหตุการละเมิดข้อมูลส่วนบุคคลแก่สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลผ่านช่องทางอิเล็กทรกนิกส์ ให้ยื่นผ่านไปรษณีย์อิเล็กทรอนิกส์: saraban@pdpc.or.th โดยระบุชื่อ "[การแจ้งเหตุการละเมิดข้อมูลส่วนบุคคล]"...(ชื่อผู้ควบคุมข้อมูลส่วนบุคคล)..."

ข้อ 3 การแจ้งเหตุการละเมิดข้อมูลส่วนบุคคลแก่สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วน ให้ระบุสาระสำคัญเท่าที่จะสามารถกระทำได้ ตามข้อ 6 แห่งประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง หลักเกณฑ์และวิธีการในการแจ้งเหตุการละเมิดข้อมูลส่วนบุคคล พ.ศ. 2565

ข้อ 4 ในกรณีที่ผู้ควบคุมข้อมูลส่วนบุคคลได้มีการแจ้งเหตุการละเมิดข้อมูลส่วนบุคคล มาทางช่องทางอิเล็กทรอนิกส์ หากประสงค์จะสอบถามข้อมูลเพิ่มเติมจากสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล ให้สอบถามในวันและเวลาราชการได้ที่หมายเลขโทรศัพท์ 0 2111 8800 ต่อ 3 หรือ 08 1245 5414

ประกาศ ณ วันที่ 15 มกราคม พ.ศ. 2568

(นายเวทางค์ พ่วงทรัพย์)

เลขาธิการคณะกรรมการดิจิทัลเพื่อเศรษฐกิจและสังคมแห่งชาติ รักษาการแทน

เลขาธิการคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล

## เหตุผลและฐานอำนาจ

เหตุผลตามอารัมภบท: เพื่อปรับปรุงประกาศฉบับ พ.ศ. 2566 ให้ถูกต้องเหมาะสม อำนวยความสะดวกแก่ผู้ควบคุมข้อมูลส่วนบุคคล และเพิ่มความรวดเร็วและประสิทธิภาพในการแจ้งเหตุการละเมิดข้อมูลส่วนบุคคลโดยวิธีการทางอิเล็กทรอนิกส์

ฐานอำนาจ: อาศัยอำนาจตามข้อ 6 แห่งประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง หลักเกณฑ์และวิธีการในการแจ้งเหตุการละเมิดข้อมูลส่วนบุคคล พ.ศ. 2565 ([ประกาศ 5.2](https://link.pdpalawbase.com/notification/5-2.md)) — ฐานอำนาจเป็นข้อกำหนดในประกาศคณะกรรมการ ไม่ใช่มาตราของพระราชบัญญัติโดยตรง (`legal_basis` จึงว่าง)

## เอกสารต้นฉบับ

- [PDF ต้นฉบับ (local)](../../raw/notifications/notification-5.1.pdf)
- [ที่มา: pdpc.or.th](https://www.pdpc.or.th/9953/)

หมายเหตุการถอดความ: ตัวบทคงตามต้นฉบับราชการซึ่งมีจุดพิมพ์คลาดเคลื่อนในต้นฉบับเอง ได้แก่ "ข้อมูลส่วนลุคคล" (อารัมภบท) · "อิเล็กทรกนิกส์" (ข้อ 2) · "พ.ศ. 2566 พ.ศ. 2566" ซ้ำ (ข้อ 1) · ข้อ 3 ตกคำว่า "บุคคล" ("...ข้อมูลส่วน ให้ระบุ...") — ตรวจเทียบภาพต้นฉบับแล้ว ไม่ใช่ความคลาดเคลื่อนจากการคัดลอก · ฉบับนี้ไม่มีข้อกำหนดวันใช้บังคับ `effective_date` จึงใช้วันที่ประกาศ (15 มกราคม 2568) เป็นค่าแทนตามแบบแผน

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/notification/5-1.md

============================================================
โนด: ประกาศ 5.2
ลิงก์อ้างอิง: https://link.pdpalawbase.com/notification/5-2.md

# ประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง หลักเกณฑ์และวิธีการในการแจ้งเหตุการละเมิดข้อมูลส่วนบุคคล พ.ศ. 2565

## ใจความสำคัญ

ประกาศแม่บทของหน้าที่แจ้งเหตุการละเมิดข้อมูลส่วนบุคคลตาม [มาตรา 37](https://link.pdpalawbase.com/section/37.md) (4) — กำหนดนิยามและประเภทของการละเมิด ขั้นตอนที่ผู้ควบคุมข้อมูลส่วนบุคคลต้องดำเนินการเมื่อทราบเหตุ สาระสำคัญที่ต้องแจ้ง เงื่อนไขการแจ้งล่าช้า ข้อยกเว้น และปัจจัยประเมินความเสี่ยง มีผลใช้บังคับตั้งแต่วันประกาศในราชกิจจานุเบกษา (15 ธันวาคม 2565)

- นิยาม "การละเมิดข้อมูลส่วนบุคคล" = การละเมิดมาตรการรักษาความมั่นคงปลอดภัยที่ทำให้เกิดการสูญหาย เข้าถึง ใช้ เปลี่ยนแปลง แก้ไข หรือเปิดเผยข้อมูลส่วนบุคคลโดยปราศจากอำนาจหรือโดยมิชอบ ไม่ว่าจะเกิดจากเหตุใด (ข้อ 3) · แบ่ง 3 ประเภท: การละเมิดความลับ / การละเมิดความถูกต้องครบถ้วน / การละเมิดความพร้อมใช้งานของข้อมูลส่วนบุคคล (ข้อ 4)
- เมื่อทราบเหตุหรือได้รับแจ้ง: ตรวจสอบข้อเท็จจริงและประเมินความเสี่ยงโดยไม่ชักช้า → ถ้าพบความเสี่ยงสูงให้ป้องกัน ระงับ หรือแก้ไขโดยทันที → ถ้ามีเหตุอันควรเชื่อว่ามีการละเมิดจริง แจ้งสำนักงานภายใน 72 ชั่วโมงนับแต่ทราบเหตุ เว้นแต่ไม่มีความเสี่ยงต่อสิทธิและเสรีภาพของบุคคล → ถ้าความเสี่ยงสูง ต้องแจ้งเจ้าของข้อมูลส่วนบุคคลพร้อมแนวทางการเยียวยาด้วย (ข้อ 5)
- สาระสำคัญที่ต้องแจ้งสำนักงาน 4 รายการ: ลักษณะการละเมิด / ผู้ประสานงาน / ผลกระทบ / มาตรการแก้ไข (ข้อ 6) · สาระที่ต้องแจ้งเจ้าของข้อมูลส่วนบุคคลกรณีความเสี่ยงสูง (ข้อ 10) · ถ้าแจ้งรายบุคคลไม่ได้ แจ้งเป็นกลุ่มหรือผ่านสื่อสาธารณะได้ (ข้อ 11)
- แจ้งล่าช้ากว่า 72 ชั่วโมง: ขอให้สำนักงานพิจารณายกเว้นความผิดได้โดยชี้แจงเหตุจำเป็น และต้องแจ้งโดยเร็วไม่เกิน 15 วันนับแต่ทราบเหตุ (ข้อ 7)
- ข้อตกลงหรือสัญญากับผู้ประมวลผลข้อมูลส่วนบุคคลต้องกำหนดให้ผู้ประมวลผลแจ้งเหตุแก่ผู้ควบคุมภายใน 72 ชั่วโมงนับแต่ทราบเหตุเช่นกัน (ข้อ 8)
- ผู้ควบคุมยกข้อยกเว้นไม่แจ้งได้ หากพิสูจน์ได้ว่าการละเมิดนั้นไม่มีความเสี่ยงต่อสิทธิและเสรีภาพของบุคคล เช่น ข้อมูลระบุตัวบุคคลไม่ได้ (ข้อ 9)
- ปัจจัยประเมินความเสี่ยง 8 ข้อ เช่น ลักษณะและปริมาณข้อมูล สถานะของเจ้าของข้อมูล (ผู้เยาว์/บุคคลเปราะบาง) ความร้ายแรงของผลกระทบ และมาตรการรักษาความมั่นคงปลอดภัยที่เกี่ยวข้อง (ข้อ 12)

## ตัวบท

ประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง หลักเกณฑ์และวิธีการในการแจ้งเหตุการละเมิดข้อมูลส่วนบุคคล พ.ศ. 2565

อาศัยอำนาจตามความใน [มาตรา 16](https://link.pdpalawbase.com/section/16.md) (4) ประกอบ[มาตรา 37](https://link.pdpalawbase.com/section/37.md) (4) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 คณะกรรมการคุ้มครองข้อมูลส่วนบุคคล จึงออกประกาศไว้ ดังต่อไปนี้

ข้อ 1 ประกาศฉบับนี้เรียกว่า "ประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง หลักเกณฑ์และวิธีการในการแจ้งเหตุการละเมิดข้อมูลส่วนบุคคล พ.ศ. 2565"

ข้อ 2 ประกาศนี้ให้ใช้บังคับนับแต่วันประกาศในราชกิจจานุเบกษาเป็นต้นไป

ข้อ 3 ในประกาศนี้

"การละเมิดข้อมูลส่วนบุคคล" หมายความว่า การละเมิดมาตรการรักษาความมั่นคงปลอดภัยที่ทำให้เกิดการสูญหาย เข้าถึง ใช้ เปลี่ยนแปลง แก้ไข หรือเปิดเผยข้อมูลส่วนบุคคลโดยปราศจากอำนาจหรือโดยมิชอบ ไม่ว่าจะเกิดจากเจตนา ความจงใจ ความประมาทเลินเล่อ การกระทำโดยปราศจากอำนาจหรือโดยมิชอบ การกระทำความผิดเกี่ยวกับคอมพิวเตอร์ ภัยคุกคามทางไซเบอร์ ข้อผิดพลาดบกพร่องหรืออุบัติเหตุ หรือเหตุอื่นใด

"สำนักงาน" หมายความว่า สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล

"คณะกรรมการ" หมายความว่า คณะกรรมการคุ้มครองข้อมูลส่วนบุคคล

ข้อ 4 เหตุการละเมิดข้อมูลส่วนบุคคลที่ผู้ควบคุมข้อมูลส่วนบุคคลมีหน้าที่ต้องแจ้งแก่สำนักงานหรือเจ้าของข้อมูลส่วนบุคคลตามกฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคล ประกอบด้วยเหตุที่เกิดจากการละเมิดมาตรการรักษาความมั่นคงปลอดภัย ที่ทำให้เกิดการสูญหาย เข้าถึง ใช้ เปลี่ยนแปลง แก้ไข หรือเปิดเผยข้อมูลส่วนบุคคลโดยปราศจากอำนาจหรือโดยมิชอบ ไม่ว่าจะเกิดจากเจตนา ความจงใจ ความประมาทเลินเล่อ การกระทำโดยปราศจากอำนาจหรือโดยมิชอบ การกระทำความผิดเกี่ยวกับคอมพิวเตอร์ ภัยคุกคามทางไซเบอร์ ข้อผิดพลาดบกพร่องหรืออุบัติเหตุ หรือเหตุอื่นใด ซึ่งอาจเกิดจากการกระทำของผู้ควบคุมข้อมูลส่วนบุคคลนั้นเอง ผู้ประมวลผลข้อมูลส่วนบุคคลที่ดำเนินการเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลตามคำสั่งหรือในนามของผู้ควบคุมข้อมูลส่วนบุคคลนั้น ตลอดจนพนักงาน ลูกจ้าง ผู้รับจ้าง ตัวแทน หรือบุคคลที่เกี่ยวข้องของผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคลดังกล่าว หรือบุคคลอื่น หรือเหตุปัจจัยอื่น โดยเหตุการละเมิดข้อมูลส่วนบุคคลแต่ละเหตุอาจเกี่ยวข้องกับการละเมิดประเภทใดประเภทหนึ่งหรือหลายประเภท ดังต่อไปนี้

(1) การละเมิดความลับของข้อมูลส่วนบุคคล (Confidentiality Breach) ซึ่งมีการเข้าถึงหรือเปิดเผยข้อมูลส่วนบุคคล โดยปราศจากอำนาจหรือโดยมิชอบ หรือเกิดจากข้อผิดพลาดบกพร่องหรืออุบัติเหตุ

(2) การละเมิดความถูกต้องครบถ้วนของข้อมูลส่วนบุคคล (Integrity Breach) ซึ่งมีการเปลี่ยนแปลง แก้ไขข้อมูลส่วนบุคคลให้ไม่ถูกต้อง ไม่สมบูรณ์ หรือไม่ครบถ้วน โดยปราศจากอำนาจหรือโดยมิชอบ หรือเกิดจากข้อผิดพลาดบกพร่องหรืออุบัติเหตุ

(3) การละเมิดความพร้อมใช้งานของข้อมูลส่วนบุคคล (Availability Breach) ซึ่งทำให้ไม่สามารถเข้าถึงข้อมูลส่วนบุคคลได้ หรือมีการทำลายข้อมูลส่วนบุคคล ทำให้ข้อมูลส่วนบุคคลไม่อยู่ในสภาพที่พร้อมใช้งานได้ตามปกติ

ข้อ 5 เมื่อผู้ควบคุมข้อมูลส่วนบุคคลได้รับแจ้งข้อมูลในเบื้องต้นจากผู้ใด ไม่ว่าโดยทางวาจา เป็นหนังสือ หรือวิธีการอื่นทางอิเล็กทรอนิกส์ หรือผู้ควบคุมข้อมูลส่วนบุคคลทราบเอง ว่ามีหรือน่าจะมีเหตุการละเมิดข้อมูลส่วนบุคคล ผู้ควบคุมข้อมูลส่วนบุคคลต้องดำเนินการ ดังต่อไปนี้

(1) ประเมินความน่าเชื่อถือของข้อมูลดังกล่าว และตรวจสอบข้อเท็จจริงเกี่ยวกับการละเมิดข้อมูลส่วนบุคคลในเบื้องต้นโดยไม่ชักช้าเท่าที่จะสามารถกระทำได้ ว่ามีเหตุอันควรเชื่อได้ว่ามีการละเมิดข้อมูลส่วนบุคคลหรือไม่ โดยผู้ควบคุมข้อมูลส่วนบุคคลพึงดำเนินการตรวจสอบมาตรการรักษาความมั่นคงปลอดภัยของข้อมูลส่วนบุคคล ทั้งมาตรการเชิงองค์กร (organizational measures) และมาตรการเชิงเทคนิค (technical measures) ซึ่งอาจรวมถึงมาตรการทางกายภาพ (physical measures) ที่เกี่ยวข้องกับข้อมูลส่วนบุคคลดังกล่าว ทั้งในส่วนที่เกี่ยวกับผู้ควบคุมข้อมูลส่วนบุคคลนั้นเอง ผู้ประมวลผลข้อมูลส่วนบุคคลที่ดำเนินการเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลตามคำสั่งหรือในนามของผู้ควบคุมข้อมูลส่วนบุคคลนั้น ตลอดจนพนักงาน ลูกจ้าง ผู้รับจ้าง ตัวแทน หรือบุคคลที่เกี่ยวข้องของผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคลดังกล่าว เพื่อให้ผู้ควบคุมข้อมูลส่วนบุคคลสามารถยืนยันได้ว่ามีการละเมิดข้อมูลส่วนบุคคลเกิดขึ้นหรือไม่ ทั้งนี้ ผู้ควบคุมข้อมูลส่วนบุคคลต้องพิจารณารายละเอียดจากข้อเท็จจริงที่เกี่ยวข้อง รวมทั้งประเมินความเสี่ยงที่การละเมิดข้อมูลส่วนบุคคลดังกล่าวจะมีผลกระทบต่อสิทธิและเสรีภาพของบุคคล

(2) หากระหว่างการตรวจสอบข้อเท็จจริงเกี่ยวกับการละเมิดข้อมูลส่วนบุคคลตาม (1) พบว่ามีความเสี่ยงสูงที่จะมีผลกระทบต่อสิทธิและเสรีภาพของบุคคล ให้ผู้ควบคุมข้อมูลส่วนบุคคลดำเนินการด้วยตนเองหรือสั่งการให้ผู้ประมวลผลข้อมูลส่วนบุคคลหรือผู้เกี่ยวข้องดำเนินการป้องกัน ระงับ หรือแก้ไข เพื่อให้การละเมิดข้อมูลส่วนบุคคลสิ้นสุดหรือไม่ให้การละเมิดข้อมูลส่วนบุคคลส่งผลกระทบเพิ่มเติมโดยทันทีเท่าที่จะสามารถกระทำได้ ทั้งนี้ อาจใช้มาตรการทางบุคลากร กระบวนการ หรือเทคโนโลยีที่จำเป็นและเหมาะสม

(3) เมื่อพิจารณาจากข้อเท็จจริงตาม (1) แล้วเห็นว่า มีเหตุอันควรเชื่อว่ามีการละเมิดข้อมูลส่วนบุคคลจริง ให้ผู้ควบคุมข้อมูลส่วนบุคคลแจ้งเหตุการละเมิดแก่สำนักงานโดยไม่ชักช้าภายในเจ็ดสิบสองชั่วโมงนับแต่ทราบเหตุเท่าที่จะสามารถกระทำได้ เว้นแต่การละเมิดดังกล่าวไม่มีความเสี่ยงที่จะมีผลกระทบต่อสิทธิและเสรีภาพของบุคคล

(4) ในกรณีที่การละเมิดข้อมูลส่วนบุคคลดังกล่าวมีความเสี่ยงสูงที่จะมีผลกระทบต่อสิทธิและเสรีภาพของบุคคล ให้ผู้ควบคุมข้อมูลส่วนบุคคลแจ้งเหตุการละเมิดให้เจ้าของข้อมูลส่วนบุคคลทราบพร้อมกับแนวทางการเยียวยาโดยไม่ชักช้าด้วย

(5) ดำเนินการตามมาตรการที่จำเป็นและเหมาะสมเพื่อระงับ ตอบสนอง แก้ไข หรือฟื้นฟูสภาพจากเหตุการละเมิดข้อมูลส่วนบุคคลดังกล่าว รวมทั้งป้องกันและลดผลกระทบจากการเกิดเหตุการละเมิดข้อมูลส่วนบุคคลในลักษณะเดียวกันในอนาคต ซึ่งรวมถึงการทบทวนมาตรการรักษาความมั่นคงปลอดภัยเพื่อให้มีประสิทธิภาพในการรักษาความมั่นคงปลอดภัยที่เหมาะสม โดยคำนึงถึงระดับความเสี่ยงตามปัจจัยทางเทคโนโลยี บริบท สภาพแวดล้อม มาตรฐานที่เป็นที่ยอมรับสำหรับหน่วยงานหรือกิจการในประเภทหรือลักษณะเดียวกันหรือใกล้เคียงกัน ลักษณะและวัตถุประสงค์ของการเก็บรวบรวม ใช้ และเปิดเผยข้อมูลส่วนบุคคล ทรัพยากรที่ต้องใช้ และความเป็นไปได้ในการดำเนินการประกอบกัน

ข้อ 6 ในการแจ้งเหตุการละเมิดข้อมูลส่วนบุคคลแก่สำนักงาน ผู้ควบคุมข้อมูลส่วนบุคคลต้องดำเนินการแจ้งเหตุการละเมิดข้อมูลส่วนบุคคลเป็นลายลักษณ์อักษร หรือแจ้งผ่านโดยวิธีการทางอิเล็กทรอนิกส์หรือวิธีการอื่นใดตามที่สำนักงานกำหนด โดยในการแจ้งเหตุการละเมิดข้อมูลส่วนบุคคลต้องระบุสาระสำคัญดังต่อไปนี้เท่าที่จะสามารถกระทำได้

(1) ข้อมูลโดยสังเขปเท่าที่จะสามารถระบุได้เกี่ยวกับลักษณะและประเภทของการละเมิดข้อมูลส่วนบุคคล โดยอาจบรรยายถึงลักษณะและจำนวนเจ้าของข้อมูลส่วนบุคคลหรือลักษณะและจำนวนรายการ (records) ของข้อมูลส่วนบุคคลที่เกี่ยวข้องกับการละเมิด

(2) ชื่อ สถานที่ติดต่อ และวิธีการติดต่อของเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลในกรณีที่มีเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล หรือชื่อ สถานที่ติดต่อ และวิธีการติดต่อของบุคคลที่ผู้ควบคุมข้อมูลส่วนบุคคลมอบหมายให้ทำหน้าที่ประสานงานและให้ข้อมูลเพิ่มเติม

(3) ข้อมูลเกี่ยวกับผลกระทบที่อาจเกิดขึ้นจากเหตุการละเมิดข้อมูลส่วนบุคคล

(4) ข้อมูลเกี่ยวกับมาตรการที่ผู้ควบคุมข้อมูลส่วนบุคคลใช้หรือจะใช้เพื่อป้องกัน ระงับ หรือแก้ไขเหตุการละเมิดข้อมูลส่วนบุคคล หรือเยียวยาความเสียหาย โดยอาจใช้มาตรการทางบุคลากร กระบวนการ หรือเทคโนโลยี หรือมาตรการอื่นใดที่จำเป็นและเหมาะสม

ข้อ 7 ในกรณีที่มีเหตุจำเป็นที่ทำให้แจ้งเหตุการละเมิดข้อมูลส่วนบุคคลล่าช้ากว่าเจ็ดสิบสองชั่วโมงนับแต่ทราบเหตุ ไม่ว่าจะเกิดจากการตรวจสอบข้อมูลในเบื้องต้น การดำเนินการป้องกัน ระงับ หรือแก้ไขเหตุการละเมิดข้อมูลส่วนบุคคลที่จำเป็น หรือมีเหตุจำเป็นอื่นอันไม่อาจก้าวล่วงได้ ผู้ควบคุมข้อมูลส่วนบุคคลอาจขอให้สำนักงานพิจารณายกเว้นความผิดจากการแจ้งเหตุการละเมิดข้อมูลส่วนบุคคลล่าช้าได้ โดยให้ผู้ควบคุมข้อมูลส่วนบุคคลชี้แจงเหตุผลความจำเป็นและรายละเอียดที่เกี่ยวข้องเพื่อแสดงให้เห็นว่ามีเหตุจำเป็นที่ไม่อาจหลีกเลี่ยงได้ที่ทำให้แจ้งเหตุการละเมิดข้อมูลส่วนบุคคลล่าช้า โดยจะต้องแจ้งแก่สำนักงานโดยเร็ว ทั้งนี้ ต้องไม่เกินสิบห้าวันนับแต่ทราบเหตุ

สำนักงานอาจแจ้งให้ผู้ควบคุมข้อมูลส่วนบุคคลชี้แจงเหตุผลหรือข้อเท็จจริงเพิ่มเติมภายหลังได้ และหากสำนักงานพิจารณาแล้วเห็นควรให้ยกเว้นความผิดจากการแจ้งเหตุการละเมิดข้อมูลส่วนบุคคลล่าช้า เนื่องจากมีเหตุจำเป็น ให้ถือว่าผู้ควบคุมข้อมูลส่วนบุคคลได้รับยกเว้นการดำเนินการแจ้งเหตุการละเมิดข้อมูลส่วนบุคคลแก่สำนักงานตามกำหนดเวลาใน[มาตรา 37](https://link.pdpalawbase.com/section/37.md) (4)

การแจ้งเหตุการละเมิดข้อมูลส่วนบุคคลแก่สำนักงานไม่เป็นเหตุยกเว้นหน้าที่หรือความรับผิดของผู้ควบคุมข้อมูลส่วนบุคคลตามกฎหมายเฉพาะที่เกี่ยวข้องกับกิจการนั้นหรือกฎหมายอื่น

ข้อ 8 ในกรณีที่ผู้ควบคุมข้อมูลส่วนบุคคลมีข้อตกลงกับผู้ประมวลผลข้อมูลส่วนบุคคล เพื่อควบคุมการดำเนินงานตามหน้าที่ของผู้ประมวลผลข้อมูลส่วนบุคคลให้เป็นไปตามกฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคล หรือมอบหมายหรือสั่งการให้ผู้ประมวลผลข้อมูลส่วนบุคคลดำเนินการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลตามคำสั่งหรือในนามของตนเอง ผู้ควบคุมข้อมูลส่วนบุคคลจะต้องระบุไว้ในข้อตกลงหรือในสัญญาที่เกี่ยวข้องให้ผู้ประมวลผลข้อมูลส่วนบุคคลมีหน้าที่แจ้งเหตุการละเมิดข้อมูลส่วนบุคคลแก่ผู้ควบคุมข้อมูลส่วนบุคคลโดยไม่ชักช้าภายในเจ็ดสิบสองชั่วโมงนับแต่ผู้ประมวลผลข้อมูลส่วนบุคคลทราบเหตุเท่าที่จะสามารถกระทำได้เช่นกัน

ข้อ 9 ผู้ควบคุมข้อมูลส่วนบุคคลอาจยกข้อยกเว้นการแจ้งเหตุการละเมิดข้อมูลส่วนบุคคลแก่สำนักงานเพื่อประกอบการพิจารณาได้ หากผู้ควบคุมข้อมูลส่วนบุคคลพิสูจน์ได้ว่าเหตุการละเมิดข้อมูลส่วนบุคคลนั้น ไม่มีความเสี่ยงที่จะมีผลกระทบต่อสิทธิและเสรีภาพของบุคคล ซึ่งรวมถึงกรณีที่ข้อมูลส่วนบุคคลตามเหตุการละเมิดข้อมูลส่วนบุคคลนั้น เป็นข้อมูลที่ไม่สามารถระบุตัวบุคคลที่เป็นเจ้าของข้อมูลส่วนบุคคลได้ หรือข้อมูลส่วนบุคคลนั้นไม่อยู่ในสภาพที่ใช้งานได้เนื่องจากมีมาตรการทางเทคโนโลยีที่เพียงพอ หรือเหตุอื่นใดที่เชื่อถือได้

ในการยกข้อยกเว้นดังกล่าว ผู้ควบคุมข้อมูลส่วนบุคคลมีหน้าที่ให้ข้อมูลหรือส่งเอกสารหรือหลักฐานเกี่ยวกับเหตุที่ควรได้รับการยกเว้น ซึ่งรวมถึงรายละเอียดเกี่ยวกับมาตรการรักษาความมั่นคงปลอดภัยของข้อมูลส่วนบุคคลหรือข้อมูลอื่นใด ให้สำนักงานพิจารณา

ข้อ 10 เมื่อมีเหตุการละเมิดข้อมูลส่วนบุคคลและผู้ควบคุมข้อมูลส่วนบุคคลได้แจ้งเหตุการละเมิดแก่สำนักงานแล้วหรืออยู่ระหว่างการเตรียมการเพื่อแจ้งสำนักงาน หากผู้ควบคุมข้อมูลส่วนบุคคลได้ตรวจสอบข้อเท็จจริงแล้วพบว่า การละเมิดข้อมูลส่วนบุคคลดังกล่าวมีความเสี่ยงสูงที่จะมีผลกระทบต่อสิทธิและเสรีภาพของบุคคล ให้ผู้ควบคุมข้อมูลส่วนบุคคลแจ้งเหตุการละเมิดข้อมูลส่วนบุคคลพร้อมสาระสำคัญดังต่อไปนี้ให้เจ้าของข้อมูลส่วนบุคคลที่ได้รับผลกระทบทราบเท่าที่จะสามารถกระทำได้โดยไม่ชักช้า

(1) ข้อมูลโดยสังเขปเกี่ยวกับลักษณะของการละเมิดข้อมูลส่วนบุคคล

(2) ชื่อ สถานที่ติดต่อ และวิธีการติดต่อของเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลหรือบุคคลที่ผู้ควบคุมข้อมูลส่วนบุคคลมอบหมายให้ทำหน้าที่ประสานงาน

(3) ข้อมูลเกี่ยวกับผลกระทบที่อาจเกิดขึ้นกับเจ้าของข้อมูลส่วนบุคคลจากเหตุการละเมิดข้อมูลส่วนบุคคล

(4) แนวทางการเยียวยาความเสียหายของเจ้าของข้อมูลส่วนบุคคล และข้อมูลโดยสังเขปเกี่ยวกับมาตรการที่ผู้ควบคุมข้อมูลส่วนบุคคลใช้หรือจะใช้เพื่อป้องกัน ระงับ หรือแก้ไขเหตุการละเมิดข้อมูลส่วนบุคคล โดยอาจใช้มาตรการทางบุคลากร กระบวนการ หรือเทคโนโลยี หรือมาตรการอื่นใดที่จำเป็นและเหมาะสม รวมถึงข้อแนะนำเกี่ยวกับมาตรการที่เจ้าของข้อมูลส่วนบุคคลอาจดำเนินการเพิ่มเติมเพื่อป้องกัน ระงับ หรือแก้ไขเหตุการละเมิดข้อมูลส่วนบุคคล หรือเยียวยาความเสียหาย

ข้อ 11 ในการแจ้งเหตุการละเมิดข้อมูลส่วนบุคคลให้เจ้าของข้อมูลส่วนบุคคลที่ได้รับผลกระทบทราบ หากโดยสภาพไม่สามารถดำเนินการแจ้งเป็นรายบุคคลเป็นหนังสือหรือโดยวิธีการทางอิเล็กทรอนิกส์ได้เนื่องจากไม่มีวิธีการติดต่อ หรือโดยเหตุจำเป็นอื่นใด ผู้ควบคุมข้อมูลส่วนบุคคลอาจแจ้งเหตุการละเมิดแก่เจ้าของข้อมูลส่วนบุคคลเป็นกลุ่ม หรือแจ้งเป็นการทั่วไปผ่านสื่อสาธารณะ สื่อสังคมออนไลน์ หรือโดยวิธีการทางอิเล็กทรอนิกส์หรือวิธีการอื่นใดที่เจ้าของข้อมูลส่วนบุคคลที่ได้รับผลกระทบหรือบุคคลทั่วไปสามารถเข้าถึงการแจ้งดังกล่าวได้

การแจ้งเหตุการละเมิดแก่เจ้าของข้อมูลส่วนบุคคลเป็นกลุ่ม หรือแจ้งเป็นการทั่วไป จะต้องไม่ก่อให้เกิดความเสียหายหรือผลกระทบต่อเจ้าของข้อมูลส่วนบุคคล

ข้อ 12 ในการประเมินความเสี่ยงสำหรับการละเมิดข้อมูลส่วนบุคคล ว่ามีความเสี่ยงที่จะมีผลกระทบต่อสิทธิและเสรีภาพของบุคคลเพียงใด ผู้ควบคุมข้อมูลส่วนบุคคลอาจพิจารณาจากปัจจัยดังต่อไปนี้

(1) ลักษณะและประเภทของการละเมิดข้อมูลส่วนบุคคล

(2) ลักษณะหรือประเภทของข้อมูลส่วนบุคคลที่เกี่ยวข้องกับการละเมิด

(3) ปริมาณของข้อมูลส่วนบุคคลที่เกี่ยวข้องกับการละเมิด ซึ่งอาจพิจารณาจากจำนวนเจ้าของข้อมูลส่วนบุคคลหรือจำนวนรายการ (records) ของข้อมูลส่วนบุคคลที่เกี่ยวข้องกับการละเมิด

(4) ลักษณะ ประเภท หรือสถานะของเจ้าของข้อมูลส่วนบุคคลที่ได้รับผลกระทบ รวมถึงข้อเท็จจริงว่าเจ้าของข้อมูลส่วนบุคคลที่ได้รับผลกระทบ ประกอบด้วยผู้เยาว์ ผู้พิการ ผู้ไร้ความสามารถ ผู้เสมือนไร้ความสามารถ หรือบุคคลเปราะบาง (vulnerable persons) ที่ขาดความสามารถในการปกป้องสิทธิและประโยชน์ของตนเนื่องจากข้อจำกัดต่าง ๆ ด้วยหรือไม่ เพียงใด

(5) ความร้ายแรงของผลกระทบและความเสียหายที่เกิดขึ้นหรืออาจเกิดขึ้นกับเจ้าของข้อมูลส่วนบุคคลจากการละเมิดข้อมูลส่วนบุคคล และประสิทธิผลของมาตรการที่ผู้ควบคุมข้อมูลส่วนบุคคลใช้หรือจะใช้เพื่อป้องกัน ระงับ หรือแก้ไขเหตุการละเมิดข้อมูลส่วนบุคคล หรือเยียวยาความเสียหาย ต่อการบรรเทาผลกระทบและความเสียหายที่เกิดขึ้นหรืออาจเกิดขึ้นกับเจ้าของข้อมูลส่วนบุคคล

(6) ผลกระทบในวงกว้างต่อธุรกิจหรือการดำเนินการของผู้ควบคุมข้อมูลส่วนบุคคลหรือต่อสาธารณะจากเหตุการละเมิดข้อมูลส่วนบุคคล

(7) ลักษณะของระบบการจัดเก็บข้อมูลส่วนบุคคลที่เกี่ยวข้องกับการละเมิด และมาตรการรักษาความมั่นคงปลอดภัยที่เกี่ยวข้องของผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคล ทั้งที่เป็นมาตรการเชิงองค์กร (organizational measures) และมาตรการเชิงเทคนิค (technical measures) รวมถึงมาตรการทางกายภาพ (physical measures)

(8) สถานะทางกฎหมายของผู้ควบคุมข้อมูลส่วนบุคคลว่าเป็นบุคคลธรรมดาหรือนิติบุคคล รวมทั้งขนาดและลักษณะของกิจการของผู้ควบคุมข้อมูลส่วนบุคคล

ข้อ 13 ให้ประธานกรรมการคุ้มครองข้อมูลส่วนบุคคลเป็นผู้รักษาการตามประกาศนี้

ประกาศ ณ วันที่ 6 ธันวาคม พ.ศ. 2565

เธียรชัย ณ นคร

ประธานกรรมการคุ้มครองข้อมูลส่วนบุคคล

## เหตุผลและฐานอำนาจ

ฉบับนี้ไม่มีย่อหน้าเหตุผล ("โดยที่...") ใน preamble — ระบุเฉพาะฐานอำนาจ: อาศัยอำนาจตามความใน [มาตรา 16](https://link.pdpalawbase.com/section/16.md) (4) ประกอบ[มาตรา 37](https://link.pdpalawbase.com/section/37.md) (4) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 คณะกรรมการคุ้มครองข้อมูลส่วนบุคคลจึงออกประกาศ

## เอกสารต้นฉบับ

- [PDF ต้นฉบับ (local)](../../raw/notifications/notification-5.2.pdf)
- [ที่มา: pdpc.or.th](https://www.pdpc.or.th/2405/)

ประกาศในราชกิจจานุเบกษา เล่ม 139 ตอนพิเศษ 292 ง วันที่ 15 ธันวาคม 2565 (= วันที่มีผลใช้บังคับตามข้อ 2)

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/notification/5-2.md

============================================================
โนด: ประกาศ 6.1
ลิงก์อ้างอิง: https://link.pdpalawbase.com/notification/6-1.md

# ประกาศสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง ช่องทางการยื่นคำร้องเรียนผ่านช่องทางอิเล็กทรอนิกส์และแบบคำร้องเรียน พ.ศ. 2568

## ใจความสำคัญ

ประกาศของสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (ฉบับปรับปรุง ใช้แทนฉบับ พ.ศ. 2566) กำหนดช่องทางอิเล็กทรอนิกส์และแบบฟอร์มสำหรับเจ้าของข้อมูลส่วนบุคคลยื่นคำร้องเรียนต่อสำนักงาน — เป็นกฎหมายลำดับรองชั้นปฏิบัติของกระบวนการร้องเรียนตาม [มาตรา 73](https://link.pdpalawbase.com/section/73.md) ซึ่งวางหลักเกณฑ์ไว้ใน[ระเบียบคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลว่าด้วยการยื่น การไม่รับเรื่อง การยุติเรื่อง การพิจารณา และระยะเวลาในการพิจารณาคำร้องเรียน พ.ศ. 2565](https://link.pdpalawbase.com/notification/6-2.md)

- ยกเลิกประกาศฉบับเดิม พ.ศ. 2566 ลงวันที่ 6 มกราคม 2566 (ข้อ 1)
- ช่องทางยื่นคำร้องเรียนอิเล็กทรอนิกส์: เว็บไซต์ www.pdpc.or.th (ข้อ 2)
- คำร้องเรียนต้องจัดทำเป็นหนังสือหรือรูปแบบอิเล็กทรอนิกส์ที่เชื่อถือได้ ตามแบบคำร้องเรียน (ครร. 1) แนบท้ายประกาศ (ข้อ 3)
- สอบถามหรือขอคำยืนยันการรับคำร้องเรียน: โทร 0 2111 8800 กด 2 ในวันและเวลาราชการ (ข้อ 4)
- แบบ ครร. 1 ให้ผู้ร้องเรียนระบุ 7 ส่วน: ข้อมูลผู้ร้องเรียน (รวมผู้รับมอบอำนาจ) / ข้อมูลผู้ถูกร้องเรียน / เรื่องร้องเรียน (รายการการฝ่าฝืน เช่น เก็บรวบรวมเกินจำเป็น ไม่มีฐานทางกฎหมาย ละเมิดข้อมูลอ่อนไหว ไม่ปฏิบัติตามคำขอใช้สิทธิของเจ้าของข้อมูล) / ลักษณะความเสียหาย / เอกสารหลักฐาน / วัตถุประสงค์ของผู้ร้องเรียน / การดำเนินการอื่นก่อนการร้องเรียน

## ตัวบท

ประกาศสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง ช่องทางการยื่นคำร้องเรียนผ่านช่องทางอิเล็กทรอนิกส์และแบบคำร้องเรียน พ.ศ. 2568

โดยที่เป็นการสมควรปรับปรุงประกาศสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง ช่องทางการยื่นคำร้องเรียนผ่านช่องทางอิเล็กทรอนิกส์และแบบคำร้องเรียน พ.ศ. 2566 ลงวันที่ 6 มกราคม 2566 ให้มีความเหมาะสมแก่การอำนวยความสะดวกและลดภาระแก่ประชาชน รวมทั้งเพิ่มประสิทธิภาพในการปฏิบัติงานโดยวิธีการทางอิเล็กทรอนิกส์ผ่านเว็บไซต์ของสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เพื่อให้คำร้องเรียนมีรายละเอียดครบถ้วนและยื่นได้โดยสะดวกมากยิ่งขึ้น

อาศัยอำนาจตามความในข้อ 7 (3) และข้อ 8 วรรคสอง แห่งระเบียบคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลว่าด้วยการยื่น การไม่รับเรื่อง การยุติเรื่อง การพิจารณา และระยะเวลาในการพิจารณาคำร้องเรียน พ.ศ. 2565 เลขาธิการคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล จึงออกประกาศไว้ ดังต่อไปนี้

ข้อ 1 ให้ยกเลิกประกาศสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง ช่องทางการยื่นคำร้องเรียนผ่านช่องทางอิเล็กทรอนิกส์และแบบคำร้องเรียน พ.ศ. 2566 ลงวันที่ 6 มกราคม 2566

ข้อ 2 วิธีการยื่นคำร้องเรียนผ่านช่องทางอิเล็กทรอนิกส์ ให้ยื่นผ่าน เว็บไซต์: www.pdpc.or.th

ข้อ 3 คำร้องเรียนที่ยื่นต่อสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลให้จัดทำเป็นหนังสือหรือรูปแบบอิเล็กทรอนิกส์ที่เชื่อถือได้ ตามแบบคำร้องเรียนแนบท้ายประกาศนี้

ข้อ 4 ในกรณีที่ผู้ยื่นคำร้องเรียนมาทางช่องทางตามข้อ 1 ประสงค์จะสอบถาม หรือขอรับคำยืนยันจากสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลว่าได้รับคำร้องเรียนแล้ว ให้สอบถามในวันและเวลาราชการได้ที่หมายเลขโทรศัพท์ 0 2111 8800 กด 2

ประกาศ ณ วันที่ 15 มกราคม พ.ศ. 2568

(นายเวทางค์ พ่วงทรัพย์)

เลขาธิการคณะกรรมการดิจิทัลเพื่อเศรษฐกิจและสังคมแห่งชาติ รักษาการแทน

เลขาธิการคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล

เอกสารแนบท้ายประกาศ: แบบคำร้องเรียน (ครร. 1) จำนวน 7 หน้า — โครงสร้าง 7 ส่วน ได้แก่ 1. ข้อมูลผู้ร้องเรียน 2. ข้อมูลผู้ถูกร้องเรียน 3. เรื่องร้องเรียน 4. ลักษณะความเสียหาย 5. เอกสารหลักฐานที่เกี่ยวข้อง 6. วัตถุประสงค์ของผู้ร้องเรียน 7. การดำเนินการอื่น ๆ ก่อนการร้องเรียน พร้อมคำรับรองความเป็นจริงและลายมือชื่อผู้ร้องเรียน (แบบฟอร์มเต็มดูได้จาก PDF ต้นฉบับ)

## เหตุผลและฐานอำนาจ

เหตุผลตามอารัมภบท: เพื่อปรับปรุงประกาศฉบับ พ.ศ. 2566 ให้เหมาะสมแก่การอำนวยความสะดวกและลดภาระแก่ประชาชน เพิ่มประสิทธิภาพการปฏิบัติงานโดยวิธีการทางอิเล็กทรอนิกส์ผ่านเว็บไซต์ของสำนักงาน และให้คำร้องเรียนมีรายละเอียดครบถ้วนยื่นได้โดยสะดวกยิ่งขึ้น

ฐานอำนาจ: อาศัยอำนาจตามความในข้อ 7 (3) และข้อ 8 วรรคสอง แห่งระเบียบคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลว่าด้วยการยื่น การไม่รับเรื่อง การยุติเรื่อง การพิจารณา และระยะเวลาในการพิจารณาคำร้องเรียน พ.ศ. 2565 ([ประกาศ 6.2](https://link.pdpalawbase.com/notification/6-2.md)) — ฐานอำนาจเป็นข้อกำหนดในระเบียบคณะกรรมการ ไม่ใช่มาตราของพระราชบัญญัติโดยตรง (`legal_basis` จึงว่าง) โดยตัวระเบียบดังกล่าวออกตามความใน [มาตรา 73](https://link.pdpalawbase.com/section/73.md) วรรคสอง

## เอกสารต้นฉบับ

- [PDF ต้นฉบับ (local)](../../raw/notifications/notification-6.1.pdf)
- [ที่มา: pdpc.or.th](https://www.pdpc.or.th/9948/)

หมายเหตุการถอดความ: ข้อ 4 ของต้นฉบับอ้าง "ช่องทางตามข้อ 1" ตามตัวอักษร (ตรวจเทียบภาพต้นฉบับแล้ว) ทั้งที่ช่องทางอิเล็กทรอนิกส์ถูกกำหนดไว้ในข้อ 2 — ถอดความคงตามต้นฉบับ · ฉบับนี้ไม่มีข้อกำหนดวันใช้บังคับ `effective_date` จึงใช้วันที่ประกาศ (15 มกราคม 2568) เป็นค่าแทนตามแบบแผน

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/notification/6-1.md

============================================================
โนด: ประกาศ 6.2
ลิงก์อ้างอิง: https://link.pdpalawbase.com/notification/6-2.md

# ระเบียบคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล ว่าด้วยการยื่น การไม่รับเรื่อง การยุติเรื่อง การพิจารณา และระยะเวลาในการพิจารณาคำร้องเรียน พ.ศ. 2565

## ใจความสำคัญ

ระเบียบฉบับนี้วางขั้นตอนทั้งกระบวนการของการร้องเรียนตามหมวด 5 ของพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 — ตั้งแต่การยื่นคำร้องเรียนของเจ้าของข้อมูลส่วนบุคคล การตรวจสอบและวิเคราะห์เบื้องต้นโดยพนักงานเจ้าหน้าที่ การจ่ายเรื่องโดยเลขาธิการ ไปจนถึงการพิจารณา การไกล่เกลี่ย และการออกคำสั่งของคณะกรรมการผู้เชี่ยวชาญ พร้อมกรอบเวลาที่ชัดเจนในแต่ละชั้น

- ยื่นคำร้องเรียนได้ 3 ช่องทาง (ข้อ 7): ยื่นโดยตรงต่อสำนักงาน ยื่นทางไปรษณีย์ หรือยื่นผ่านช่องทางอิเล็กทรอนิกส์ตามที่สำนักงานประกาศกำหนด
- คำร้องเรียนต้องสุภาพ ชัดเจน และมีรายละเอียดอย่างน้อย 6 รายการ (ข้อ 8): ตัวตนและช่องทางติดต่อของผู้ร้องเรียน ข้อเท็จจริงของการฝ่าฝืน ความเดือดร้อนเสียหาย เอกสารหลักฐาน คำขอ และคำรับรองว่าข้อความเป็นความจริง
- พนักงานเจ้าหน้าที่ตรวจความครบถ้วนภายใน 15 วันนับแต่ได้รับคำร้องเรียน (ข้อ 9) และตรวจสอบวิเคราะห์เบื้องต้นให้เสร็จภายใน 15 วันนับแต่ออกใบรับ (ข้อ 10) โดยอาจใช้อำนาจตาม [มาตรา 76](https://link.pdpalawbase.com/section/76.md) รวบรวมข้อเท็จจริงเพิ่มก่อนเสนอเรื่องได้
- คณะกรรมการผู้เชี่ยวชาญมีดุลยพินิจสั่งไม่รับเรื่องหรือยุติเรื่องได้ 6 กรณี (ข้อ 13) เช่น เรื่องที่เคยพิจารณายุติแล้ว เรื่องที่มีผู้มีอำนาจตามกฎหมายอื่น หรือผู้ร้องเรียนถอนเรื่อง
- เรื่องที่อาจไกล่เกลี่ยได้ ให้สอบถามคู่กรณีก่อน หากไกล่เกลี่ยไม่สำเร็จจึงดำเนินการตาม [มาตรา 74](https://link.pdpalawbase.com/section/74.md) วรรคสามและวรรคสี่ ต่อไป (ข้อ 14) · หากพยานหลักฐานไม่พอ ใช้อำนาจตาม [มาตรา 72](https://link.pdpalawbase.com/section/72.md) และ[มาตรา 75](https://link.pdpalawbase.com/section/75.md) หรือสั่งให้พนักงานเจ้าหน้าที่ใช้อำนาจตาม [มาตรา 76](https://link.pdpalawbase.com/section/76.md) ได้ (ข้อ 15)
- หากคำร้องเรียนมีมูลและพยานหลักฐานชัดเจน ให้ลงโทษปรับทางปกครองตามหลักเกณฑ์ที่คณะกรรมการกำหนดตาม [มาตรา 90](https://link.pdpalawbase.com/section/90.md) วรรคสอง (ข้อ 16) — หลักเกณฑ์ดังกล่าวปัจจุบันคือ [ประกาศ เรื่อง หลักเกณฑ์การพิจารณาออกคำสั่งลงโทษปรับทางปกครองของคณะกรรมการผู้เชี่ยวชาญ พ.ศ. 2568](https://link.pdpalawbase.com/notification/6-3.md)
- กรอบเวลาพิจารณา: ให้แล้วเสร็จภายใน 90 วันนับแต่การประชุมครั้งแรก ขยายได้ไม่เกิน 2 ครั้ง ครั้งละไม่เกิน 60 วัน โดยต้องขออนุมัติจากคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลและแจ้งผู้ร้องเรียน (ข้อ 20)
- คำสั่ง "ไม่รับเรื่องร้องเรียน" และ "ยุติเรื่องร้องเรียน" ของคณะกรรมการผู้เชี่ยวชาญที่เผยแพร่บนเว็บไซต์สำนักงานฯ ล้วนออกภายใต้กรอบของระเบียบฉบับนี้

## ตัวบท

ข้อ 1 ระเบียบนี้เรียกว่า "ระเบียบคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลว่าด้วยการยื่น การไม่รับเรื่อง การยุติเรื่อง การพิจารณา และระยะเวลาในการพิจารณาคำร้องเรียน พ.ศ. 2565"

ข้อ 2 ระเบียบนี้ให้ใช้บังคับตั้งแต่วันถัดจากวันประกาศในราชกิจจานุเบกษาเป็นต้นไป

ข้อ 3 ในระเบียบนี้

"คณะกรรมการผู้เชี่ยวชาญ" หมายความว่า คณะกรรมการผู้เชี่ยวชาญตามกฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคล

"ผู้ร้องเรียน" หมายความว่า เจ้าของข้อมูลส่วนบุคคลที่ใช้สิทธิร้องเรียนในกรณีที่ผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคล รวมทั้งลูกจ้างหรือผู้รับจ้างของผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคล ฝ่าฝืนหรือไม่ปฏิบัติตามกฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคลหรือประกาศที่ออกตามกฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคล

"เรื่องร้องเรียน" หมายความว่า เรื่องร้องเรียนของเจ้าของข้อมูลส่วนบุคคลในกรณีที่ผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคล รวมทั้งลูกจ้างหรือผู้รับจ้างของผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคล ฝ่าฝืนหรือไม่ปฏิบัติตามกฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคลหรือประกาศที่ออกตามกฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคล

"เจ้าหน้าที่" หมายความว่า พนักงานของสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล

"พนักงานเจ้าหน้าที่" หมายความว่า ผู้ซึ่งรัฐมนตรีแต่งตั้งให้ปฏิบัติการตามกฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคล

"สำนักงาน" หมายความว่า สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล

"เลขาธิการ" หมายความว่า เลขาธิการคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล

ข้อ 4 ในการดำเนินการหรือพิจารณาออกคำสั่งตามระเบียบนี้ นอกจากที่กำหนดไว้ในระเบียบนี้ ให้นำกฎหมายว่าด้วยวิธีปฏิบัติราชการทางปกครองมาใช้บังคับโดยอนุโลม

ข้อ 5 การใดที่ไม่ได้กำหนดไว้ในระเบียบนี้ ให้คณะกรรมการผู้เชี่ยวชาญใช้ดุลยพินิจในการพิจารณาดำเนินการด้วยความเหมาะสม เพื่อให้การดำเนินการเป็นไปด้วยความเป็นธรรมและความรวดเร็ว

ข้อ 6 ให้ประธานกรรมการคุ้มครองข้อมูลส่วนบุคคลเป็นผู้รักษาการตามระเบียบนี้

**หมวด 1 การยื่นคำร้องเรียน**

ข้อ 7 ในกรณีที่ผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคล รวมทั้งลูกจ้างหรือผู้รับจ้างของผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคล ฝ่าฝืนหรือไม่ปฏิบัติตามกฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคลหรือประกาศที่ออกตามกฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคล เจ้าของข้อมูลส่วนบุคคลที่เกี่ยวข้องมีสิทธิร้องเรียนต่อคณะกรรมการผู้เชี่ยวชาญ โดยให้ยื่นคำร้องเรียนโดยวิธีการใดวิธีการหนึ่ง ดังต่อไปนี้

(1) ยื่นโดยตรงต่อสำนักงาน

(2) ยื่นผ่านทางไปรษณีย์มายังสำนักงาน

(3) ยื่นผ่านทางช่องทางอิเล็กทรอนิกส์หรือช่องทางอื่นใดตามที่สำนักงานประกาศกำหนด

ข้อ 8 คำร้องเรียนที่ยื่นต่อสำนักงาน ต้องมีความชัดเจน สามารถทำความเข้าใจได้ ใช้ถ้อยคำสุภาพ ไม่หยาบคาย ไม่มีลักษณะเป็นการกรรโชก ข่มขู่ ไม่ว่าจะโดยตรงหรือโดยอ้อม และต้องมีรายละเอียดและเอกสารหลักฐานอย่างน้อย ดังต่อไปนี้

(1) ชื่อตัว ชื่อสกุล ของผู้ร้องเรียน และที่อยู่ หมายเลขโทรศัพท์ หรือจดหมายอิเล็กทรอนิกส์ของผู้ร้องเรียนหรือผู้รับมอบอำนาจสำหรับการติดต่อ พร้อมแสดงบัตรประจำตัวประชาชน หนังสือเดินทาง หรือเอกสารประจำตัวอื่นของผู้ร้องเรียนซึ่งออกโดยราชการ โดยในกรณีที่เป็นการมอบอำนาจให้ร้องเรียนแทน จะต้องแนบหนังสือมอบอำนาจให้ร้องเรียนแทนที่มีรายละเอียดเรื่องที่มอบอำนาจและติดอากรแสตมป์ที่ถูกต้องครบถ้วน และลงนามโดยผู้ร้องเรียนและผู้รับมอบอำนาจ พร้อมแนบสำเนาบัตรประจำตัวประชาชน สำเนาหนังสือเดินทาง หรือสำเนาเอกสารประจำตัวอื่นของผู้มอบอำนาจซึ่งออกโดยราชการซึ่งรับรองสำเนาถูกต้องโดยผู้มอบอำนาจ สำหรับผู้รับมอบอำนาจให้แสดงบัตรประจำตัวประชาชน หนังสือเดินทาง หรือเอกสารประจำตัวอื่นซึ่งออกโดยราชการต่อเจ้าหน้าที่

(2) รายละเอียดข้อเท็จจริงและข้อมูลที่เกี่ยวข้องว่า ผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคล หรือลูกจ้างหรือผู้รับจ้างของผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคล กระทำการฝ่าฝืนหรือไม่ปฏิบัติตามกฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคลหรือประกาศที่ออกตามกฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคลอย่างไร

(3) รายละเอียดความเดือดร้อนเสียหายหรือผลกระทบต่อผู้ร้องเรียน

(4) เอกสารหลักฐานที่เกี่ยวข้องกับเรื่องร้องเรียน เช่น พยานเอกสาร พยานวัตถุ หรือถ้อยคำของพยานบุคคลที่สนับสนุนเรื่องร้องเรียนที่มีความชัดเจนเพียงพอที่จะพิจารณาได้

(5) คำขอที่ผู้ร้องเรียนต้องการให้ผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคลดำเนินการ

(6) คำรับรองว่าข้อความที่ร้องเรียนเป็นความจริง

คำร้องเรียนตามวรรคหนึ่ง ต้องจัดทำเป็นหนังสือหรือในรูปแบบอิเล็กทรอนิกส์ที่เชื่อถือได้ตามที่สำนักงานประกาศกำหนด โดยระบุรายละเอียดครบถ้วนตามวรรคหนึ่ง และมีการลงลายมือชื่อของผู้ร้องเรียนหรือผู้รับมอบอำนาจ และให้เจ้าหน้าที่ออกใบรับคำร้องเรียนให้แก่ผู้ร้องเรียน

ให้เจ้าหน้าที่ให้คำแนะนำ ช่วยเหลือ และอำนวยความสะดวกแก่ผู้ร้องเรียนในการยื่นคำร้องเรียน

ในการยื่นคำร้องเรียนตามข้อ 7 (1) หากเจ้าหน้าที่มีความจำเป็นต้องเก็บสำเนาบัตรประจำตัวประชาชน สำเนาหนังสือเดินทาง หรือสำเนาเอกสารประจำตัวอื่นของผู้ร้องเรียนหรือผู้รับมอบอำนาจ ซึ่งออกโดยราชการ ให้เจ้าหน้าที่เป็นผู้จัดทำสำเนาเอง

**หมวด 2 การไม่รับเรื่อง การยุติเรื่อง การพิจารณา และระยะเวลาในการพิจารณาคำร้องเรียน**

**ส่วนที่ 1 การดำเนินการเกี่ยวกับเรื่องร้องเรียนโดยพนักงานเจ้าหน้าที่**

ข้อ 9 เมื่อพนักงานเจ้าหน้าที่ได้รับคำร้องเรียนตามข้อ 7 แล้ว ให้พนักงานเจ้าหน้าที่ตรวจสอบรายละเอียดคำร้องเรียนว่า มีลักษณะ รายละเอียด และเอกสารหลักฐานถูกต้องครบถ้วนตามข้อ 8 หรือไม่โดยเร็ว ทั้งนี้ ต้องไม่เกินสิบห้าวันนับแต่ได้รับคำร้องเรียน หากถูกต้องครบถ้วนให้พนักงานเจ้าหน้าที่ออกใบรับคำร้องเรียน โดยระบุวันที่ที่รับคำร้องเรียนและรหัสอ้างอิงในการรับคำร้องเรียน ให้แก่ผู้ร้องเรียนหรือผู้รับมอบอำนาจ

ในกรณีที่คำร้องเรียนมีลักษณะ รายละเอียด และเอกสารหลักฐานไม่ถูกต้องหรือไม่ครบถ้วน ให้พนักงานเจ้าหน้าที่แจ้งผู้ร้องเรียนหรือผู้รับมอบอำนาจทราบโดยเร็ว พร้อมทั้งให้คำแนะนำในการแก้ไขคำร้องเรียน และแจ้งให้ทราบว่า คำร้องเรียนดังกล่าวจะยังไม่มีผลสมบูรณ์และไม่ได้รับการพิจารณาจากคณะกรรมการผู้เชี่ยวชาญจนกว่าจะได้แก้ไขให้ถูกต้องครบถ้วนตามที่กำหนดในข้อ 8

ข้อ 10 เมื่อพนักงานเจ้าหน้าที่ดำเนินการตามข้อ 9 แล้ว ให้พนักงานเจ้าหน้าที่เสนอเรื่องร้องเรียนผ่านเลขาธิการเพื่อให้คณะกรรมการผู้เชี่ยวชาญพิจารณา โดยให้พนักงานเจ้าหน้าที่ตรวจสอบและวิเคราะห์รายละเอียดของเรื่องร้องเรียนเบื้องต้นในประเด็น ดังต่อไปนี้

(1) เป็นการกระทำที่เป็นการฝ่าฝืนหรือไม่ปฏิบัติตามกฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคลหรือประกาศที่ออกตามกฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคลหรือไม่

(2) เรื่องร้องเรียนมีมูล เป็นสาระสำคัญ และสมเหตุสมผลที่จะร้องเรียนหรือไม่

(3) เรื่องร้องเรียนอยู่ในหน้าที่และอำนาจของคณะกรรมการผู้เชี่ยวชาญหรือไม่ และหน้าที่และอำนาจในการพิจารณาเป็นไปตามกฎหมายอื่นหรือเป็นของหน่วยงานอื่นหรือไม่

ให้พนักงานเจ้าหน้าที่ดำเนินการตามวรรคหนึ่งให้เสร็จภายในสิบห้าวัน นับแต่ได้ออกใบรับคำร้องเรียนตามข้อ 9 วรรคหนึ่ง เว้นแต่มีเหตุสุดวิสัยหรือเหตุจำเป็นอื่นที่ทำให้ไม่สามารถดำเนินการได้ในกำหนดเวลา ให้ดำเนินการให้เสร็จโดยเร็ว

ในการดำเนินการวรรคหนึ่ง หากพนักงานเจ้าหน้าที่พิจารณาแล้วเห็นว่า ข้อเท็จจริงและพยานหลักฐานที่นำมาประกอบการยื่นคำร้องเรียนไม่เพียงพอต่อการพิจารณา พนักงานเจ้าหน้าที่อาจใช้อำนาจตาม [มาตรา 76](https://link.pdpalawbase.com/section/76.md) ก่อนเสนอให้คณะกรรมการผู้เชี่ยวชาญพิจารณาก็ได้

ข้อ 11 ในกรณีที่มีคณะกรรมการผู้เชี่ยวชาญหลายคณะ ให้เลขาธิการเป็นผู้พิจารณาว่าจะให้เสนอเรื่องร้องเรียนดังกล่าวให้คณะกรรมการผู้เชี่ยวชาญคณะใดพิจารณา โดยคำนึงถึงหน้าที่และอำนาจตามที่ได้รับการแต่งตั้งจากความเชี่ยวชาญและประสบการณ์ของคณะกรรมการผู้เชี่ยวชาญในแต่ละคณะ ตลอดจนปริมาณงานและความเร่งด่วนของงาน

ในกรณีที่เรื่องร้องเรียนที่พิจารณา เป็นประเด็นที่มีความสำคัญ หรือมีความซับซ้อนต้องการความเชี่ยวชาญเฉพาะในหลายด้านหรือต้องการความรอบคอบในการพิจารณาเรื่องร้องเรียนเรื่องใดเรื่องหนึ่ง เลขาธิการอาจเสนอเรื่องร้องเรียนนั้นให้คณะกรรมการผู้เชี่ยวชาญมากกว่าหนึ่งคณะมาประชุมปรึกษาหารือร่วมกันเป็นกรณีพิเศษก็ได้

ในกรณีที่มีเหตุอันทำให้คณะกรรมการผู้เชี่ยวชาญที่ได้รับมอบหมายตามวรรคหนึ่งไม่สามารถพิจารณาเรื่องร้องเรียนต่อไปได้ไม่ว่าด้วยเหตุใดก็ตาม ให้เลขาธิการเป็นผู้พิจารณาว่าจะให้โอนเรื่องร้องเรียนดังกล่าวให้คณะกรรมการผู้เชี่ยวชาญคณะใดพิจารณาแทน

**ส่วนที่ 2 การดำเนินการเกี่ยวกับเรื่องร้องเรียนโดยคณะกรรมการผู้เชี่ยวชาญ**

ข้อ 12 เมื่อเลขาธิการส่งเรื่องร้องเรียนให้คณะกรรมการผู้เชี่ยวชาญแล้ว ให้ประธานกรรมการผู้เชี่ยวชาญเรียกประชุมคณะกรรมการผู้เชี่ยวชาญเพื่อพิจารณาเรื่องร้องเรียนดังกล่าวโดยเร็ว

ข้อ 13 คณะกรรมการผู้เชี่ยวชาญอาจใช้ดุลยพินิจโดยมีคำสั่งไม่รับเรื่องหรือสั่งยุติเรื่องร้องเรียนที่มีลักษณะดังต่อไปนี้ก็ได้

(1) คำร้องเรียนมีลักษณะ รายละเอียด และเอกสารหลักฐานไม่ถูกต้องหรือไม่ครบถ้วนตามข้อ 8

(2) เรื่องร้องเรียนที่มีคู่กรณี ข้อเท็จจริง และประเด็นที่อาศัยมูลเหตุเดียวกันที่เคยยื่นต่อสำนักงานตามระเบียบนี้และคณะกรรมการผู้เชี่ยวชาญได้มีการพิจารณาเรื่องร้องเรียนจนเป็นที่ยุติแล้ว

(3) เรื่องร้องเรียนที่ไม่ใช่กรณีที่ผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคล หรือลูกจ้างหรือผู้รับจ้างของผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคล ฝ่าฝืนหรือไม่ปฏิบัติตามกฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคลหรือประกาศที่ออกตามกฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคล

(4) เรื่องร้องเรียนที่มีผู้มีอำนาจพิจารณาในเรื่องนั้นอยู่แล้วตามกฎหมายอื่น

(5) เรื่องร้องเรียนที่ผู้ร้องเรียนไม่ได้เกี่ยวข้องโดยตรงกับการฝ่าฝืนหรือไม่ปฏิบัติตามกฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคลหรือประกาศที่ออกตามกฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคล

(6) เรื่องร้องเรียนที่ผู้ร้องเรียนขอถอนคำร้องเรียน หรือผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคลได้ปฏิบัติตามคำขอของผู้ร้องเรียนแล้ว

ข้อ 14 ในการพิจารณาเรื่องร้องเรียน ของคณะกรรมการผู้เชี่ยวชาญ ให้ดำเนินการดังต่อไปนี้

(1) หากคณะกรรมการผู้เชี่ยวชาญพิจารณาเรื่องร้องเรียนแล้วรับฟังได้ว่า เรื่องร้องเรียนนั้นเข้าลักษณะตามข้อ 13 คณะกรรมการผู้เชี่ยวชาญจะมีคำสั่งไม่รับเรื่องหรือสั่งยุติเรื่องก็ได้ และให้ส่งเรื่องร้องเรียนดังกล่าวคืนให้แก่พนักงานเจ้าหน้าที่เพื่อแจ้งผลการพิจารณาให้ผู้ร้องเรียนทราบ

(2) หากคณะกรรมการผู้เชี่ยวชาญพิจารณาเรื่องร้องเรียนแล้วรับฟังได้ว่า เรื่องร้องเรียนนั้นไม่มีมูล ให้คณะกรรมการผู้เชี่ยวชาญมีคำสั่งยุติเรื่อง และส่งเรื่องร้องเรียนดังกล่าวคืนให้แก่พนักงานเจ้าหน้าที่เพื่อแจ้งผลการพิจารณาให้ผู้ร้องเรียนทราบ

(3) หากคณะกรรมการผู้เชี่ยวชาญพิจารณาเรื่องร้องเรียนแล้วรับฟังได้ว่า เรื่องร้องเรียนนั้นเป็นกรณีซึ่งอาจไกล่เกลี่ยได้ ให้คณะกรรมการผู้เชี่ยวชาญสั่งการให้พนักงานเจ้าหน้าที่สอบถามคู่กรณีว่าประสงค์จะให้ไกล่เกลี่ยหรือไม่ หากคู่กรณีทั้งสองฝ่ายประสงค์จะให้ไกล่เกลี่ย ให้คณะกรรมการผู้เชี่ยวชาญดำเนินการไกล่เกลี่ยโดยเร็ว แต่หากเรื่องร้องเรียนนั้นไม่อาจไกล่เกลี่ยได้ หรือไกล่เกลี่ยไม่สำเร็จ ให้คณะกรรมการผู้เชี่ยวชาญดำเนินการตาม [มาตรา 74](https://link.pdpalawbase.com/section/74.md) วรรคสามและวรรคสี่ และดำเนินการพิจารณาเรื่องร้องเรียนตามระเบียบนี้ต่อไป

ข้อ 15 ในการดำเนินการตามข้อ 14 หากคณะกรรมการผู้เชี่ยวชาญพิจารณาแล้วเห็นว่า ข้อเท็จจริงและพยานหลักฐานที่นำมาประกอบการยื่นคำร้องเรียนไม่เพียงพอต่อการพิจารณา ให้คณะกรรมการผู้เชี่ยวชาญใช้อำนาจตาม [มาตรา 72](https://link.pdpalawbase.com/section/72.md) และ[มาตรา 75](https://link.pdpalawbase.com/section/75.md) หรือสั่งการให้พนักงานเจ้าหน้าที่ใช้อำนาจตาม [มาตรา 76](https://link.pdpalawbase.com/section/76.md)

ข้อ 16 ในกรณีที่คณะกรรมการผู้เชี่ยวชาญเห็นว่า คำร้องเรียนมีมูลและมีพยานหลักฐานชัดเจนว่าผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคล หรือลูกจ้างหรือผู้รับจ้างของผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคล ฝ่าฝืนหรือไม่ปฏิบัติตามกฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคลหรือประกาศที่ออกตามกฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคลจริง ให้คณะกรรมการผู้เชี่ยวชาญลงโทษปรับทางปกครองตามหลักเกณฑ์การพิจารณาออกคำสั่งลงโทษปรับทางปกครองที่คณะกรรมการคุ้มครองข้อมูลส่วนบุคคลกำหนดตาม [มาตรา 90](https://link.pdpalawbase.com/section/90.md) วรรคสอง

ข้อ 17 ในกรณีที่คณะกรรมการผู้เชี่ยวชาญเห็นว่า การพิจารณาเรื่องร้องเรียนเรื่องใดมีประเด็นข้อกฎหมายหรือปัญหาที่เกิดจากการบังคับใช้กฎหมายที่สำคัญและจำเป็นต้องมีการตีความหรือวินิจฉัยชี้ขาดโดยคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลก่อน ให้คณะกรรมการผู้เชี่ยวชาญพักการพิจารณาเรื่องร้องเรียนดังกล่าวไว้ชั่วคราว และส่งเรื่องให้เลขาธิการมีหนังสือไปยังคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลเพื่อพิจารณาตีความและวินิจฉัยชี้ขาด แล้วจึงนำไปประกอบการพิจารณาเรื่องร้องเรียนดังกล่าวต่อไป

ข้อ 18 ในกรณีที่มีเรื่องร้องเรียนโดยผู้ร้องเรียนหลายรายในเรื่องเดียวกันหรือเกี่ยวเนื่องกันอยู่ในการพิจารณาของคณะกรรมการผู้เชี่ยวชาญคณะเดียวกัน หากคณะกรรมการผู้เชี่ยวชาญเห็นเอง หรือผู้ร้องเรียนร้องขอ คณะกรรมการผู้เชี่ยวชาญอาจมีคำสั่งให้รวมการพิจารณาเรื่องร้องเรียนเหล่านั้นและพิจารณาไปพร้อมกันก็ได้

การรวมการพิจารณาเรื่องร้องเรียนที่อยู่ในการพิจารณาของคณะกรรมการผู้เชี่ยวชาญต่างคณะกัน ให้เสนอต่อเลขาธิการ เพื่อพิจารณาดำเนินการ

ข้อ 19 คู่กรณีอาจเสนอข้อเท็จจริงหรือข้อมูลที่เกี่ยวข้องโดยทำเป็นหนังสือต่อคณะกรรมการผู้เชี่ยวชาญที่พิจารณาเรื่องร้องเรียนเพื่อประกอบการพิจารณาก่อนมีคำสั่งได้

ข้อ 20 ให้คณะกรรมการผู้เชี่ยวชาญพิจารณาเรื่องร้องเรียนให้แล้วเสร็จภายในเวลาเก้าสิบวันนับแต่วันที่มีการประชุมครั้งแรก เว้นแต่มีเหตุสุดวิสัยหรือเหตุจำเป็นอื่นที่ทำให้ไม่สามารถดำเนินการได้ในกำหนดเวลา

ในกรณีที่ไม่สามารถพิจารณาเรื่องที่ร้องเรียนให้แล้วเสร็จภายในเวลาที่กำหนดในวรรคหนึ่ง ให้คณะกรรมการผู้เชี่ยวชาญรายงานปัญหาและอุปสรรคที่ทำให้การพิจารณาเรื่องร้องเรียนไม่แล้วเสร็จต่อคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลและขออนุมัติขยายเวลาพิจารณาออกไปอีกไม่เกินสองครั้ง ครั้งละไม่เกินหกสิบวัน ภายหลังการได้รับอนุมัติให้ขยายเวลา คณะกรรมการผู้เชี่ยวชาญต้องรีบสั่งการให้พนักงานเจ้าหน้าที่แจ้งผู้ร้องเรียนถึงเหตุสุดวิสัยหรือเหตุขัดข้องดังกล่าวให้ผู้ร้องเรียนทราบโดยไม่ชักช้า

ข้อ 21 ในการดำเนินการตามระเบียบนี้ เมื่อผลการพิจารณาเป็นประการใด ให้คณะกรรมการผู้เชี่ยวชาญแจ้งให้ผู้ร้องเรียนทราบพร้อมด้วยเหตุผล และในกรณีที่ไม่รับเรื่องร้องเรียนหรือยุติเรื่องที่มีผู้มีอำนาจพิจารณาในเรื่องนั้นอยู่แล้วตามกฎหมายอื่น ให้แจ้งผู้ร้องเรียนทราบ หากผู้ร้องเรียนประสงค์จะให้ส่งเรื่องให้ผู้มีอำนาจพิจารณาในเรื่องนั้นตามกฎหมายอื่น ให้ดำเนินการตามความประสงค์ดังกล่าว และให้ถือว่าผู้มีอำนาจพิจารณาได้รับเรื่องร้องเรียนนับแต่วันที่คณะกรรมการผู้เชี่ยวชาญได้รับเรื่องร้องเรียนนั้น

ประกาศ ณ วันที่ 29 มิถุนายน พ.ศ. 2565

เธียรชัย ณ นคร

ประธานกรรมการคุ้มครองข้อมูลส่วนบุคคล

## เหตุผลและฐานอำนาจ

ระเบียบฉบับนี้ไม่มีย่อหน้าเหตุผล ("โดยที่...") ใน preamble — ออกโดยอาศัยอำนาจตามความใน [มาตรา 16](https://link.pdpalawbase.com/section/16.md) (4) และ [มาตรา 73](https://link.pdpalawbase.com/section/73.md) วรรคสอง แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 คณะกรรมการคุ้มครองข้อมูลส่วนบุคคลจึงออกระเบียบไว้

## เอกสารต้นฉบับ

- [PDF ต้นฉบับ (local)](../../raw/notifications/notification-6.2.pdf)
- [ที่มา: pdpc.or.th](https://www.pdpc.or.th/1375/)
- [PDF ราชกิจจานุเบกษา (เล่ม 139 ตอนพิเศษ 165 ง, 11 กรกฎาคม 2565)](https://www.pdpc.or.th/wp-content/uploads/2022/06/pdpc-2565-regularity65.pdf)

หมายเหตุการคัดลอกตัวบท: ตัวบทในหน้านี้ถอดจาก PDF ฉบับราชกิจจานุเบกษา (ลิงก์ที่ 3) ซึ่งเป็นฉบับทางการ — ไฟล์ PDF local เป็นฉบับแปลงจากเอกสารทีมงานซึ่งมีข้อความสลับบรรทัดในข้อ 10

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/notification/6-2.md

============================================================
โนด: ประกาศ 6.3
ลิงก์อ้างอิง: https://link.pdpalawbase.com/notification/6-3.md

# ประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง หลักเกณฑ์การพิจารณาออกคำสั่งลงโทษปรับทางปกครองของคณะกรรมการผู้เชี่ยวชาญ พ.ศ. 2568

## ใจความสำคัญ

ประกาศฉบับนี้คือหลักเกณฑ์กลางที่คณะกรรมการผู้เชี่ยวชาญต้องใช้เมื่อจะออกคำสั่งลงโทษปรับทางปกครองตาม [มาตรา 90](https://link.pdpalawbase.com/section/90.md) — เป็นฉบับปรับปรุงที่ยกเลิกหลักเกณฑ์เดิมทั้งฉบับ พ.ศ. 2565 และฉบับที่ 2 พ.ศ. 2567 แล้ววางกระบวนการใหม่ทั้งชุด ตั้งแต่ปัจจัยที่ต้องชั่งน้ำหนัก ระดับการลงโทษ รูปแบบคำสั่ง ไปจนถึงการบังคับชำระค่าปรับ

- ยกเลิกประกาศหลักเกณฑ์โทษปรับทางปกครองฉบับ พ.ศ. 2565 และ (ฉบับที่ 2) พ.ศ. 2567 (ข้อ 3) โดยมีบทเฉพาะกาลรองรับคำสั่งและการดำเนินการที่ค้างอยู่ (ข้อ 18-20)
- นิยามคำสำคัญของกระบวนการบังคับทางปกครอง: ค่าปรับ ยึด อายัด การขายทอดตลาด และ "เจ้าพนักงานบังคับทางปกครอง" ซึ่งเลขาธิการแต่งตั้งจากพนักงานหรือลูกจ้างของสำนักงานฯ (ข้อ 4)
- การแจ้งคำสั่งและกำหนดนัดทำเป็นหนังสือหรือรูปแบบอิเล็กทรอนิกส์ที่เชื่อถือได้ กรณีฉุกเฉินหรือคู่กรณีแสดงความจำนงไว้ แจ้งทางโทรสารหรือไปรษณีย์อิเล็กทรอนิกส์ได้ (ข้อ 6-7)
- การพิจารณาออกคำสั่งต้องคำนึงถึงปัจจัย 14 ข้อ (ข้อ 9) เช่น เจตนาหรือความประมาทเลินเล่ออย่างร้ายแรง ความร้ายแรงของพฤติกรรม ขนาดกิจการ มูลค่าความเสียหาย ประวัติการถูกลงโทษ การเยียวยาเมื่อทราบเหตุ และการชดใช้ค่าสินไหมทดแทน
- การลงโทษแบ่ง 2 ระดับ (ข้อ 10): **กรณีไม่ร้ายแรง** ให้สั่งแก้ไขหรือตักเตือนก่อน — ตักเตือน/สั่งให้แก้ไขภายในเวลาที่กำหนด สั่งห้ามกระทำการที่ก่อความเสียหาย หรือสั่งจำกัดการเก็บรวบรวม ใช้ เปิดเผยข้อมูล · **กรณีร้ายแรงหรือคำสั่งแรกไม่เป็นผล** ให้ลงโทษปรับทางปกครอง โดยจะสั่งมาตรการข้างต้นควบคู่ด้วยก็ได้
- คำสั่งลงโทษปรับต้องทำเป็นหนังสือ ระบุข้อเท็จจริง ข้อกฎหมาย ข้อพิจารณาการใช้ดุลพินิจ และรายละเอียดการปฏิบัติตามคำสั่ง (ข้อ 11-12)
- ไม่ชำระค่าปรับ: เจ้าพนักงานบังคับทางปกครองมีหนังสือเตือน (ไม่น้อยกว่า 7 วัน) แล้วบังคับตามกฎหมายว่าด้วยวิธีปฏิบัติราชการทางปกครอง รวมถึงยึด อายัด ขายทอดตลาดทรัพย์สิน หากบังคับไม่ได้ให้ฟ้องศาลปกครองเพื่อบังคับชำระ (ข้อ 13)
- คำสั่งของคณะกรรมการผู้เชี่ยวชาญตามประกาศนี้ **เป็นที่สุด** (ข้อ 14)
- ประกาศนี้ทำงานคู่กับ [ระเบียบว่าด้วยการยื่น การไม่รับเรื่อง การยุติเรื่อง การพิจารณา และระยะเวลาในการพิจารณาคำร้องเรียน พ.ศ. 2565](https://link.pdpalawbase.com/notification/6-2.md) (หมวดเดียวกัน) ซึ่งข้อ 16 ของระเบียบดังกล่าวส่งให้ลงโทษปรับทางปกครองตามหลักเกณฑ์ฉบับนี้

## ตัวบท

ข้อ 1 ประกาศนี้เรียกว่า "ประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง หลักเกณฑ์การพิจารณาออกคำสั่งลงโทษปรับทางปกครองของคณะกรรมการผู้เชี่ยวชาญ พ.ศ. 2568"

ข้อ 2 ประกาศนี้ให้ใช้บังคับตั้งแต่วันถัดจากวันประกาศในราชกิจจานุเบกษาเป็นต้นไป

ข้อ 3 ให้ยกเลิก

(1) ประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง หลักเกณฑ์การพิจารณาออกคำสั่งลงโทษปรับทางปกครองของคณะกรรมการผู้เชี่ยวชาญ พ.ศ. 2565

(2) ประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง หลักเกณฑ์การพิจารณาออกคำสั่งลงโทษปรับทางปกครองของคณะกรรมการผู้เชี่ยวชาญ (ฉบับที่ 2) พ.ศ. 2567

ข้อ 4 ในประกาศนี้

"การพิจารณาออกคำสั่งลงโทษปรับทางปกครอง" หมายความว่า การดำเนินการที่เกี่ยวกับการพิจารณาสั่งลงโทษปรับทางปกครองกับผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคล หรือบุคคลใดที่ฝ่าฝืนหรือไม่ปฏิบัติตามกฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคล หรือคำสั่งของคณะกรรมการผู้เชี่ยวชาญ

"ค่าปรับ" หมายความว่า เงินค่าปรับทางปกครองที่คณะกรรมการผู้เชี่ยวชาญออกคำสั่งลงโทษปรับทางปกครองตามประกาศนี้

"ยึด" หมายความว่า การกระทำใด ๆ ต่อทรัพย์สินของผู้ถูกลงโทษปรับทางปกครอง เพื่อให้ทรัพย์สินนั้นได้เข้ามาอยู่ในความควบคุมหรือครอบครองของเจ้าพนักงานบังคับทางปกครอง

"อายัด" หมายความว่า การสั่งมิให้ผู้ถูกลงโทษปรับทางปกครองหรือบุคคลอื่นดำเนินการจำหน่ายจ่ายโอนหรือกระทำนิติกรรมใด ๆ เกี่ยวกับทรัพย์สิน หรือสิทธิเรียกร้องที่ได้สั่งอายัดไว้ รวมตลอดถึงการสั่งมิให้บุคคลภายนอกส่งมอบทรัพย์สิน หรือชำระหนี้แก่ผู้ถูกลงโทษปรับทางปกครอง แต่ให้ส่งมอบทรัพย์สินหรือชำระหนี้ต่อเจ้าพนักงานบังคับทางปกครอง ณ ที่ซึ่งเจ้าพนักงานบังคับทางปกครองกำหนด

"การขายทอดตลาด" หมายความว่า การนำทรัพย์สินของผู้ถูกลงโทษปรับทางปกครองออกขายโดยวิธีให้สู้ราคากันโดยเปิดเผย

"เจ้าพนักงานบังคับทางปกครอง" หมายความว่า พนักงานหรือลูกจ้างของสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลที่เลขาธิการคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลแต่งตั้งเป็นเจ้าพนักงานบังคับทางปกครองตามกฎหมายว่าด้วยวิธีปฏิบัติราชการทางปกครอง

"คณะกรรมการผู้เชี่ยวชาญ" หมายความว่า คณะกรรมการผู้เชี่ยวชาญตามกฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคล

"พนักงานเจ้าหน้าที่" หมายความว่า ผู้ซึ่งรัฐมนตรีแต่งตั้งให้ปฏิบัติการตามกฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคล

ข้อ 5 ในการพิจารณาออกคำสั่งลงโทษปรับทางปกครอง และการยึด อายัด หรือขายทอดตลาดที่เป็นส่วนหนึ่งของมาตรการบังคับทางปกครอง นอกจากที่กำหนดไว้ในประกาศนี้ ให้นำกฎหมายว่าด้วยวิธีปฏิบัติราชการทางปกครองมาใช้บังคับโดยอนุโลม

ข้อ 6 การแจ้งมาตรการบังคับทางปกครองและคำสั่งลงโทษปรับทางปกครอง การแจ้งกำหนดนัด หรือการดำเนินการอย่างอื่นภายใต้ประกาศนี้ ให้กระทำเป็นหนังสือหรือในรูปแบบอิเล็กทรอนิกส์ที่เชื่อถือได้

ข้อ 7 ในกรณีมีเหตุฉุกเฉินหรือจำเป็นเร่งด่วน หรือในกรณีที่ผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคลหรือบุคคลอื่นที่เกี่ยวข้องได้แสดงความจำนงไว้ก่อนล่วงหน้าว่าให้แจ้งด้วยวิธีอื่นได้ การแจ้งมูลความผิด การแจ้งกำหนดนัด การแจ้งคำสั่งลงโทษปรับทางปกครองหรือคำสั่งอื่นของคณะกรรมการผู้เชี่ยวชาญ การแจ้งผลการพิจารณา หรือการดำเนินการอย่างอื่นตามประกาศนี้ จะใช้วิธีการแจ้งทางโทรสาร ไปรษณีย์อิเล็กทรอนิกส์ หรือวิธีอื่นตามที่ผู้นั้นได้แจ้งความจำนงไว้ก็ได้ แต่ต้องมีหลักฐานการแจ้งเป็นลายลักษณ์อักษรหรือในรูปแบบอิเล็กทรอนิกส์ที่เชื่อถือได้

ให้ถือว่าผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคลหรือบุคคลอื่นที่เกี่ยวข้องได้รับแจ้งตามวันและเวลาที่ปรากฏในหลักฐานการส่งโทรสาร ไปรษณีย์อิเล็กทรอนิกส์ หรือวิธีอื่นนั้นโดยทันที เว้นแต่จะสามารถพิสูจน์ได้ในภายหลังว่าผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคลหรือบุคคลอื่นที่เกี่ยวข้องไม่ได้รับแจ้งตามวิธีการดังกล่าว

ข้อ 8 เมื่อคณะกรรมการผู้เชี่ยวชาญที่รับผิดชอบทราบจากพนักงานเจ้าหน้าที่ว่า ผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคลหรือบุคคลอื่นที่เกี่ยวข้องฝ่าฝืนหรือไม่ปฏิบัติตามกฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคล หรือคำสั่งของคณะกรรมการผู้เชี่ยวชาญตาม [มาตรา 74](https://link.pdpalawbase.com/section/74.md) ให้คณะกรรมการผู้เชี่ยวชาญดำเนินการออกคำสั่งลงโทษปรับทางปกครองหรือใช้มาตรการบังคับทางปกครองตามที่ระบุในประกาศนี้ต่อไป

ข้อ 9 ในการพิจารณาออกคำสั่งลงโทษปรับทางปกครองหรือใช้มาตรการบังคับทางปกครองหรือการดำเนินการอื่นใดตามประกาศนี้ ให้คณะกรรมการผู้เชี่ยวชาญคำนึงถึงปัจจัย ดังต่อไปนี้

(1) รายละเอียดการกระทำผิดที่เกิดขึ้น โดยเฉพาะกรณีที่เป็นการกระทำผิดโดยเจตนาหรือจงใจ หรือประมาทเลินเล่ออย่างร้ายแรง หรือขาดความระมัดระวังตามสมควร

(2) ความร้ายแรงของพฤติกรรมที่กระทำผิด

(3) ขนาดกิจการของผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคล

(4) ผลของมาตรการลงโทษปรับทางปกครองที่จะบังคับว่าจะได้ช่วยบรรเทาความเสียหายหรือความเดือดร้อนแก่เจ้าของข้อมูลส่วนบุคคลหรือไม่ เพียงใด

(5) ประโยชน์ที่เจ้าของข้อมูลส่วนบุคคลจะได้รับจากมาตรการลงโทษปรับทางปกครอง และผลกระทบต่อผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคลและผลกระทบในวงกว้างต่อธุรกิจหรือกิจการอื่นที่เกี่ยวข้อง

(6) มูลค่าความเสียหายและความร้ายแรงที่เกิดจากการกระทำผิดนั้น

(7) ระดับโทษปรับทางปกครองและมาตรการบังคับทางปกครองที่เคยใช้กับผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคลรายอื่นในความผิดทำนองเดียวกัน (ถ้ามี)

(8) ประวัติการถูกลงโทษปรับทางปกครองและใช้มาตรการบังคับทางปกครองของผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคล และในกรณีที่ผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคลเป็นนิติบุคคล ให้หมายความรวมถึงประวัติการถูกลงโทษปรับทางปกครองของบุคคลที่เกี่ยวข้องกับการกระทำของนิติบุคคลนั้นด้วย

(9) ระดับความรับผิดชอบและมาตรฐานของผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคลในขณะที่มีการกระทำความผิด

(10) การดำเนินการตามประมวลจริยธรรม แนวปฏิบัติทางธุรกิจ หรือมาตรฐานในการรักษาความมั่นคงปลอดภัยของข้อมูลส่วนบุคคลของผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคลในขณะที่มีการกระทำความผิด

(11) การเยียวยาและบรรเทาความเสียหายของผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคลเมื่อทราบเหตุที่กระทำความผิด

(12) การชดใช้ค่าสินไหมทดแทนเพื่อเยียวยาความเสียหายให้แก่เจ้าของข้อมูลส่วนบุคคล

(13) เหตุผล ข้อจำกัด มาตรฐานการดำเนินงาน และพฤติการณ์อื่นที่เกี่ยวข้องของผู้ที่กระทำการฝ่าฝืนหรือไม่ปฏิบัติตามกฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคล หรือคำสั่งของคณะกรรมการผู้เชี่ยวชาญ

(14) ข้อเท็จจริงอื่น ๆ ที่เกี่ยวข้อง

ข้อ 10 ในการพิจารณาออกคำสั่งลงโทษปรับทางปกครอง ให้คณะกรรมการผู้เชี่ยวชาญพิจารณาออกคำสั่งตามระดับของความร้ายแรงของการกระทำความผิดและความเหมาะสมในการปรับใช้มาตรการลงโทษ ดังนี้

(1) กรณีไม่ร้ายแรง

ให้คณะกรรมการผู้เชี่ยวชาญมีคำสั่งให้ผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคลหรือบุคคลอื่นที่เกี่ยวข้องแก้ไขหรือตักเตือนในเบื้องต้นก่อน โดยอาจดำเนินการ ดังนี้

(ก) ตักเตือนหรือสั่งให้ปฏิบัติหรือดำเนินการแก้ไข หยุด ระงับ ละเว้น หรืองดเว้นการกระทำที่ฝ่าฝืนหรือไม่ปฏิบัติตามกฎหมายให้ถูกต้องภายในระยะเวลาที่กำหนด โดยคำสั่งดังกล่าวต้องมีรายละเอียด เหตุผล และวัตถุประสงค์ของคำสั่งอย่างชัดเจนว่าจะต้องแก้ไขและดำเนินการให้ถูกต้องตามกฎหมายอย่างไร

(ข) สั่งห้ามกระทำการที่ก่อให้เกิดความเสียหายแก่เจ้าของข้อมูลส่วนบุคคลหรือให้กระทำการใดเพื่อระงับความเสียหายนั้นภายในระยะเวลาที่กำหนด

(ค) สั่งจำกัดการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลที่มีการกระทำผิดไว้เพื่อระงับความเสียหายนั้นภายในระยะเวลาที่กำหนด

คำสั่งตาม (ก) (ข) หรือ (ค) อาจกำหนดเงื่อนไขหรือวิธีการปรับปรุงบุคลากร กระบวนการ หรือเทคโนโลยี ให้มีประสิทธิภาพและความเหมาะสมตามที่คณะกรรมการผู้เชี่ยวชาญเห็นสมควร

(2) กรณีร้ายแรง หรือคำสั่งตาม (1) ไม่เป็นผล

ให้คณะกรรมการผู้เชี่ยวชาญมีคำสั่งลงโทษปรับทางปกครองแก่ผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคลหรือบุคคลอื่นที่เกี่ยวข้อง โดยคำนึงถึงความร้ายแรงและพฤติการณ์อื่นในการลงโทษปรับทางปกครองตามที่เห็นสมควร และอาจมีคำสั่งตาม (1) (ก) (ข) หรือ (ค) ด้วยก็ได้

ข้อ 11 คำสั่งลงโทษปรับทางปกครองของคณะกรรมการผู้เชี่ยวชาญในข้อ 10 ให้ทำเป็นหนังสือโดยระบุวัน เดือน ปี ที่ออกคำสั่งลงโทษปรับทางปกครอง และให้ประธานกรรมการผู้เชี่ยวชาญเป็นผู้ลงนามแทน

ข้อ 12 คำสั่งลงโทษปรับทางปกครองตามข้อ 10 ต้องมีรายละเอียดการพิจารณาและเหตุผลที่มีคำสั่ง โดยอย่างน้อยต้องประกอบด้วย

(1) ข้อเท็จจริงอันเป็นสาระสำคัญในการกระทำผิด

(2) ข้อกฎหมายที่เกี่ยวข้อง

(3) ข้อพิจารณาและข้อสนับสนุนในการใช้ดุลพินิจ

(4) รายละเอียดของการปฏิบัติตามคำสั่ง

ข้อ 13 เมื่อถึงกำหนดให้ชำระค่าปรับตามคำสั่งลงโทษปรับทางปกครองแล้ว หากผู้ถูกลงโทษปรับทางปกครองไม่ดำเนินการชำระค่าปรับโดยถูกต้องครบถ้วนตามคำสั่งของคณะกรรมการผู้เชี่ยวชาญ ให้สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลส่งเรื่องให้เจ้าพนักงานบังคับทางปกครอง เพื่อมีหนังสือเตือนให้ผู้ถูกลงโทษปรับทางปกครองชำระค่าปรับภายในเวลาที่กำหนดแต่ต้องไม่น้อยกว่าเจ็ดวัน

เมื่อครบกำหนดเวลาให้นำเงินมาชำระค่าปรับตามหนังสือแจ้งเตือนแล้ว หากผู้ถูกลงโทษปรับทางปกครองไม่ชำระค่าปรับหรือชำระค่าปรับไม่ครบถ้วน ให้เจ้าพนักงานบังคับทางปกครองนำบทบัญญัติเกี่ยวกับการบังคับทางปกครองตามกฎหมายว่าด้วยวิธีปฏิบัติราชการทางปกครองมาใช้บังคับโดยอนุโลม ทั้งนี้ ในกรณีที่ต้องมีการยึด อายัด หรือขายทอดตลาดทรัพย์สินของผู้ถูกลงโทษปรับทางปกครองเพื่อบังคับตามหลักเกณฑ์ที่กำหนดไว้ในกฎหมายว่าด้วยวิธีปฏิบัติราชการทางปกครอง ให้คณะกรรมการผู้เชี่ยวชาญสั่งยึด อายัด หรือขายทอดตลาดทรัพย์สินเพื่อการนั้น

ในกรณีที่ไม่มีเจ้าหน้าที่ดำเนินการบังคับตามคำสั่ง หรือมีแต่ไม่สามารถดำเนินการบังคับทางปกครองได้ ให้คณะกรรมการผู้เชี่ยวชาญฟ้องคดีต่อศาลปกครองเพื่อบังคับชำระค่าปรับ

ข้อ 14 คำสั่งของคณะกรรมการผู้เชี่ยวชาญตามประกาศนี้ให้เป็นที่สุด

ข้อ 15 การรับเงิน การนำส่งเงิน การเก็บรักษาเงินและการเบิกจ่ายเงินจากการขายทอดตลาดทรัพย์สิน ให้ดำเนินการตามระเบียบที่กระทรวงการคลังกำหนด

ข้อ 16 เงินที่ได้จากการขายทอดตลาดทรัพย์สินให้หักชำระค่าธรรมเนียม ค่าใช้จ่ายในการยึด อายัด และขายทอดตลาดทรัพย์สินก่อนนำมาชำระเป็นเงินค่าปรับที่ผู้ถูกลงโทษปรับทางปกครองต้องชำระ กรณีที่มีเงินเหลือให้คืนเงินที่เหลือนั้นให้แก่ผู้มีสิทธิรับเงินดังกล่าวตามกฎหมาย

ข้อ 17 ในการดำเนินการตามประกาศนี้ ให้คณะกรรมการผู้เชี่ยวชาญ พนักงานเจ้าหน้าที่ และเจ้าพนักงานบังคับทางปกครองใช้ความระมัดระวังในการใช้อำนาจตามประกาศนี้ โดยคำนึงถึงพยานหลักฐานที่เกี่ยวข้อง พยานแวดล้อม ประมวลจริยธรรม มาตรฐานวิชาชีพ แนวปฏิบัติของธุรกิจ หรือกิจการแต่ละประเภทกฎหมายที่ผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคลพึงกระทำตามหน้าที่ ผลกระทบในวงกว้างทั้งต่อเจ้าของข้อมูลส่วนบุคคล และธุรกิจหรือการดำเนินการของผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคลเป็นสำคัญ

ข้อ 18 บรรดาประกาศ คำสั่ง หรือมติ ตลอดจนการดำเนินการใดที่อ้างถึงเจ้าหน้าที่บังคับโทษปรับทางปกครองตามประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง หลักเกณฑ์การพิจารณาออกคำสั่งลงโทษปรับทางปกครองของคณะกรรมการผู้เชี่ยวชาญ พ.ศ. 2565 ซึ่งแก้ไขเพิ่มเติมโดยประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง หลักเกณฑ์การพิจารณาออกคำสั่งลงโทษปรับทางปกครองของคณะกรรมการผู้เชี่ยวชาญ (ฉบับที่ 2) พ.ศ. 2567 ให้ถือว่าอ้างถึงเจ้าพนักงานบังคับทางปกครองตามประกาศนี้

ข้อ 19 คำสั่งของคณะกรรมการผู้เชี่ยวชาญที่ออกตามประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง หลักเกณฑ์การพิจารณาออกคำสั่งลงโทษปรับทางปกครองของคณะกรรมการผู้เชี่ยวชาญ พ.ศ. 2565 ซึ่งแก้ไขเพิ่มเติมโดยประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง หลักเกณฑ์การพิจารณาออกคำสั่งลงโทษปรับทางปกครองของคณะกรรมการผู้เชี่ยวชาญ (ฉบับที่ 2) พ.ศ. 2567 ก่อนวันที่ประกาศนี้ใช้บังคับ ให้ถือว่าเป็นคำสั่งของคณะกรรมการผู้เชี่ยวชาญตามประกาศนี้ และให้ดำเนินการตามที่ระบุไว้ในคำสั่งของคณะกรรมการผู้เชี่ยวชาญนั้นต่อไป

ข้อ 20 การใดที่ได้ดำเนินการไปตามประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง หลักเกณฑ์การพิจารณาออกคำสั่งลงโทษปรับทางปกครองของคณะกรรมการผู้เชี่ยวชาญ พ.ศ. 2565 ซึ่งแก้ไขเพิ่มเติมโดยประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง หลักเกณฑ์การพิจารณาออกคำสั่งลงโทษปรับทางปกครองของคณะกรรมการผู้เชี่ยวชาญ (ฉบับที่ 2) พ.ศ. 2567 ก่อนวันที่ประกาศนี้ใช้บังคับและยังดำเนินการไม่แล้วเสร็จ ให้ดำเนินการต่อไปตามประกาศนี้

ข้อ 21 ให้ประธานกรรมการคุ้มครองข้อมูลส่วนบุคคลเป็นผู้รักษาการตามประกาศนี้

ประกาศ ณ วันที่ 10 เมษายน พ.ศ. 2568

เธียรชัย ณ นคร

ประธานกรรมการคุ้มครองข้อมูลส่วนบุคคล

## เหตุผลและฐานอำนาจ

โดยที่เป็นการสมควรปรับปรุงหลักเกณฑ์การพิจารณาออกคำสั่งลงโทษปรับทางปกครองของคณะกรรมการผู้เชี่ยวชาญให้มีความเหมาะสมยิ่งขึ้น

อาศัยอำนาจตามความใน [มาตรา 16](https://link.pdpalawbase.com/section/16.md) (4) และ [มาตรา 90](https://link.pdpalawbase.com/section/90.md) วรรคสอง แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 คณะกรรมการคุ้มครองข้อมูลส่วนบุคคล จึงออกประกาศไว้ดังต่อไปนี้

## เอกสารต้นฉบับ

- [PDF ต้นฉบับ (local)](../../raw/notifications/notification-6.3.pdf)
- [ที่มา: ratchakitcha.soc.go.th](https://ratchakitcha.soc.go.th/documents/67805.pdf)

ประกาศในราชกิจจานุเบกษา เล่ม 142 ตอนพิเศษ 173 ง วันที่ 23 เมษายน 2568

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/notification/6-3.md

============================================================
โนด: ประกาศ 7.1
ลิงก์อ้างอิง: https://link.pdpalawbase.com/notification/7-1.md

# ประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง หลักเกณฑ์การให้ความคุ้มครองข้อมูลส่วนบุคคลที่ส่งหรือโอนไปยังต่างประเทศตามมาตรา 28 แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 พ.ศ. 2566

## ใจความสำคัญ

ประกาศฉบับนี้วางหลักเกณฑ์รองรับ [มาตรา 28](https://link.pdpalawbase.com/section/28.md) ว่าประเทศปลายทางหรือองค์การระหว่างประเทศที่รับข้อมูลส่วนบุคคลจากประเทศไทยต้อง "มีมาตรฐานการคุ้มครองข้อมูลส่วนบุคคลที่เพียงพอ" หมายถึงอะไร พิจารณาอย่างไร และใครเป็นผู้วินิจฉัย ใช้กับผู้ควบคุมข้อมูลส่วนบุคคลทุกรายที่ส่งหรือโอนข้อมูลส่วนบุคคลไปยังต่างประเทศ มีผลใช้บังคับตั้งแต่วันที่ 24 มีนาคม 2567 (พ้นกำหนด 90 วันนับแต่วันประกาศในราชกิจจานุเบกษา 25 ธันวาคม 2566)

- นิยาม "ส่งหรือโอนข้อมูลส่วนบุคคล" ให้ชัดเจน — ไม่รวมกรณีที่เป็นเพียงสื่อกลางส่งผ่านข้อมูล (data transit) หรือการเก็บพักข้อมูล (data storage) ที่ไม่มีบุคคลภายนอกเข้าถึง เช่น การส่งผ่านระบบของผู้ให้บริการระบบคลาวด์ที่มีมาตรการทางเทคนิครองรับ (ข้อ 3)
- การส่งหรือโอนไปยังประเทศปลายทางต้องเป็นไปตามหลักเกณฑ์มาตรฐานที่เพียงพอ เว้นแต่เข้าข้อยกเว้น 6 กรณี เช่น เป็นการปฏิบัติตามกฎหมาย ได้รับความยินยอมโดยแจ้งความเสี่ยงแล้ว จำเป็นตามสัญญา หรือป้องกันอันตรายต่อชีวิต (ข้อ 4)
- มาตรฐานที่เพียงพอพิจารณาจาก 2 ปัจจัย: มีมาตรการ/กลไกทางกฎหมายคุ้มครองข้อมูลส่วนบุคคลที่สอดคล้องกับกฎหมายไทย และมีหน่วยงานบังคับใช้กฎหมายในประเทศปลายทาง (ข้อ 5)
- คณะกรรมการคุ้มครองข้อมูลส่วนบุคคลเป็นผู้วินิจฉัยตาม [มาตรา 28](https://link.pdpalawbase.com/section/28.md) วรรคสาม — วินิจฉัยรายกรณี หรือกำหนดรายชื่อประเทศ/องค์การระหว่างประเทศที่ถือว่ามีมาตรฐานเพียงพอ (adequacy list) ก็ได้ โดยสำนักงานเป็นผู้รวบรวมเรื่องและจัดทำรายงานเสนอ และขอทบทวนคำวินิจฉัยได้เมื่อมีหลักฐานใหม่ (ข้อ 6-7)
- ฉบับคู่กันสำหรับกลไกตามมาตรา 29 (BCR และมาตรการคุ้มครองที่เหมาะสม) คือ [ประกาศหลักเกณฑ์ตามมาตรา 29 พ.ศ. 2566](https://link.pdpalawbase.com/notification/7-2.md)

## ตัวบท

ข้อ 1 ประกาศนี้เรียกว่า "ประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง หลักเกณฑ์การให้ความคุ้มครองข้อมูลส่วนบุคคลที่ส่งหรือโอนไปยังต่างประเทศตาม[มาตรา 28](https://link.pdpalawbase.com/section/28.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 พ.ศ. 2566"

ข้อ 2 ประกาศนี้ให้ใช้บังคับเมื่อพ้นกำหนดเก้าสิบวันนับแต่วันประกาศในราชกิจจานุเบกษาเป็นต้นไป

ข้อ 3 ในประกาศนี้

"ผู้ให้บริการระบบคลาวด์ (cloud computing service provider)" หมายความว่า ผู้ให้บริการเก็บรักษาข้อมูลหรือเก็บพักข้อมูลแก่บุคคลอื่นในรูปแบบชั่วคราวหรือถาวร โดยมีระบบที่บริหารจัดการข้อมูลบนอินเทอร์เน็ต โดยอาจให้บริการในรูปแบบต่าง ๆ เช่น ผู้ให้บริการโครงสร้างพื้นฐานหลัก (Infrastructure as a Service : IaaS) ผู้ให้บริการแพลตฟอร์ม (Platform as a Service : PaaS) ผู้ให้บริการซอฟต์แวร์ (Software as a Service : SaaS) ผู้ให้บริการระบบจัดเก็บข้อมูล (Data Storage as a Service : DSaaS) และผู้ให้บริการระบบบริหารจัดการข้อมูลแบบ Serverless Computing หรือผู้ให้บริการฟังก์ชัน (Function as a Service : FaaS) เป็นต้น

"ส่งหรือโอนข้อมูลส่วนบุคคล" หมายความว่า ส่งหรือโอนข้อมูลส่วนบุคคลโดยผู้ส่งหรือโอนข้อมูลส่วนบุคคล ไม่ว่าจะเป็นการส่งหรือโอนข้อมูลโดยทางกายภาพ หรือผ่านระบบคอมพิวเตอร์หรือระบบเครือข่าย ให้แก่ผู้รับข้อมูลส่วนบุคคล แต่มิให้หมายความรวมถึงการส่งและรับข้อมูลส่วนบุคคลในลักษณะที่เป็นเพียงสื่อกลาง (intermediary) ในการส่งผ่านข้อมูล (data transit) ระหว่างระบบคอมพิวเตอร์หรือระบบเครือข่ายหรือการเก็บพักข้อมูล (data storage) ในรูปแบบชั่วคราวหรือถาวรที่ไม่มีบุคคลภายนอกเข้าถึงข้อมูลส่วนบุคคลดังกล่าว นอกเหนือจากผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคลที่เป็นผู้ส่งข้อมูลส่วนบุคคลนั้น หรือบุคลากร พนักงาน หรือลูกจ้างของผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคลนั้น เช่น กรณีการส่งข้อมูลผ่านระบบเครือข่ายในต่างประเทศ หรือการส่งข้อมูลผ่านระบบของผู้ให้บริการระบบคลาวด์ (cloud computing service provider) ที่ไม่มีบุคคลใดนอกจากผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคลที่เป็นผู้ส่งข้อมูลส่วนบุคคลนั้น หรือบุคลากร พนักงาน หรือลูกจ้าง เข้าถึงข้อมูลส่วนบุคคล เนื่องจากมีมาตรการทางเทคนิคหรือเงื่อนไขทางกฎหมายรองรับ

"คณะกรรมการ" หมายถึง คณะกรรมการคุ้มครองข้อมูลส่วนบุคคล

"สำนักงาน" หมายถึง สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล

ข้อ 4 ในกรณีที่ผู้ควบคุมข้อมูลส่วนบุคคลส่งหรือโอนข้อมูลส่วนบุคคลไปยังต่างประเทศ ประเทศปลายทางหรือองค์การระหว่างประเทศที่รับข้อมูลส่วนบุคคลต้องมีมาตรฐานการคุ้มครองข้อมูลส่วนบุคคลที่เพียงพอ โดยต้องเป็นไปตามหลักเกณฑ์การให้ความคุ้มครองข้อมูลส่วนบุคคลตามประกาศนี้ เว้นแต่

(1) เป็นการปฏิบัติตามกฎหมาย

(2) ได้รับความยินยอมจากเจ้าของข้อมูลส่วนบุคคลโดยได้แจ้งให้เจ้าของข้อมูลส่วนบุคคลทราบถึงมาตรฐานการคุ้มครองข้อมูลส่วนบุคคลที่ไม่เพียงพอของประเทศปลายทางหรือองค์การระหว่างประเทศที่รับข้อมูลส่วนบุคคลแล้ว

(3) เป็นการจำเป็นเพื่อการปฏิบัติตามสัญญาซึ่งเจ้าของข้อมูลส่วนบุคคลเป็นคู่สัญญาหรือเพื่อใช้ในการดำเนินการตามคำขอของเจ้าของข้อมูลส่วนบุคคลก่อนเข้าทำสัญญานั้น

(4) เป็นการกระทำตามสัญญาระหว่างผู้ควบคุมข้อมูลส่วนบุคคลกับบุคคลหรือนิติบุคคลอื่นเพื่อประโยชน์ของเจ้าของข้อมูลส่วนบุคคล

(5) เพื่อป้องกันหรือระงับอันตรายต่อชีวิต ร่างกาย หรือสุขภาพของเจ้าของข้อมูลส่วนบุคคลหรือบุคคลอื่น เมื่อเจ้าของข้อมูลส่วนบุคคลไม่สามารถให้ความยินยอมในขณะนั้นได้

(6) เป็นการจำเป็นเพื่อการดำเนินภารกิจเพื่อประโยชน์สาธารณะที่สำคัญ

ข้อ 5 หลักเกณฑ์การให้ความคุ้มครองข้อมูลส่วนบุคคล ซึ่งประเทศปลายทางหรือองค์การระหว่างประเทศที่รับข้อมูลส่วนบุคคลต้องมีมาตรฐานการคุ้มครองข้อมูลส่วนบุคคลที่เพียงพอตามข้อ 4 ให้พิจารณาจากข้อเท็จจริงเกี่ยวกับความเพียงพอของปัจจัย ดังต่อไปนี้

(1) มีมาตรการหรือกลไกทางกฎหมายเกี่ยวกับการคุ้มครองข้อมูลส่วนบุคคลของประเทศปลายทางหรือองค์การระหว่างประเทศที่สอดคล้องกับกฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคลของประเทศไทย โดยเฉพาะหน้าที่ของผู้ควบคุมข้อมูลส่วนบุคคลในการจัดให้มีมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสม มาตรการคุ้มครองข้อมูลส่วนบุคคลที่เหมาะสมและสามารถบังคับตามสิทธิของเจ้าของข้อมูลส่วนบุคคลได้ และมาตรการเยียวยาทางกฎหมายที่มีประสิทธิภาพ

(2) มีหน่วยงานหรือองค์กรที่มีหน้าที่และอำนาจในการบังคับใช้กฎหมายและกฎระเบียบเกี่ยวกับการคุ้มครองข้อมูลส่วนบุคคลในประเทศปลายทางหรือองค์การระหว่างประเทศ

ข้อ 6 ในการเสนอปัญหาเกี่ยวกับมาตรฐานการคุ้มครองข้อมูลส่วนบุคคลที่เพียงพอของประเทศปลายทางหรือองค์การระหว่างประเทศที่รับข้อมูลส่วนบุคคลต่อคณะกรรมการเป็นผู้วินิจฉัยตาม[มาตรา 28](https://link.pdpalawbase.com/section/28.md) วรรคสาม สำนักงานอาจรับเรื่องที่มีผู้ควบคุมข้อมูลส่วนบุคคลเสนอให้มีการวินิจฉัย หรือสำนักงานอาจรวบรวมข้อมูลและเสนอโดยสำนักงานเองก็ได้ โดยคณะกรรมการอาจพิจารณาวินิจฉัยเป็นรายกรณี หรือพิจารณากำหนดรายชื่อประเทศปลายทางหรือองค์การระหว่างประเทศที่รับข้อมูลส่วนบุคคล ซึ่งถือว่ามีมาตรฐานการคุ้มครองข้อมูลส่วนบุคคลที่เพียงพอก็ได้

สำนักงานอาจขอให้คณะกรรมการทบทวนคำวินิจฉัยได้เมื่อมีหลักฐานใหม่ทำให้เชื่อได้ว่าประเทศปลายทางหรือองค์การระหว่างประเทศที่รับข้อมูลส่วนบุคคลมีการพัฒนาจนมีมาตรฐานการคุ้มครองข้อมูลส่วนบุคคลที่เพียงพอ หรือกรณีอื่นที่เห็นสมควร

ข้อ 7 ในการดำเนินการเพื่อเสนอเรื่องให้คณะกรรมการวินิจฉัยตามข้อ 6 ให้สำนักงานจัดทำเป็นรายงานมาตรฐานการคุ้มครองข้อมูลส่วนบุคคลของประเทศปลายทางหรือองค์การระหว่างประเทศ โดยสำนักงานอาจจัดทำเองหรือเสนอรายงานของหน่วยงานอื่นก็ได้

ข้อ 8 ให้ประธานกรรมการคุ้มครองข้อมูลส่วนบุคคลเป็นผู้รักษาการตามประกาศนี้

ประกาศ ณ วันที่ 25 ธันวาคม พ.ศ. 2566

เธียรชัย ณ นคร

ประธานกรรมการคุ้มครองข้อมูลส่วนบุคคล

## เหตุผลและฐานอำนาจ

อาศัยอำนาจตามความใน[มาตรา 16](https://link.pdpalawbase.com/section/16.md) (4) และ (5) ประกอบ[มาตรา 28](https://link.pdpalawbase.com/section/28.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 คณะกรรมการคุ้มครองข้อมูลส่วนบุคคล จึงออกประกาศไว้ดังต่อไปนี้ (ประกาศฉบับนี้ไม่มีย่อหน้าเหตุผล "โดยที่..." ใน preamble)

## เอกสารต้นฉบับ

- [PDF ต้นฉบับ (local)](../../raw/notifications/notification-7.1.pdf)
- [ที่มา: pdpc.or.th](https://www.pdpc.or.th/2500/)

หมายเหตุ: วันที่มีผลใช้บังคับ (24 มีนาคม 2567) คำนวณจากวันประกาศในราชกิจจานุเบกษา 25 ธันวาคม 2566 + 90 วัน ตามข้อ 2 ของประกาศ

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/notification/7-1.md

============================================================
โนด: ประกาศ 7.2
ลิงก์อ้างอิง: https://link.pdpalawbase.com/notification/7-2.md

# ประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง หลักเกณฑ์การให้ความคุ้มครองข้อมูลส่วนบุคคลที่ส่งหรือโอนไปยังต่างประเทศ ตามมาตรา 29 แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 พ.ศ. 2566

## ใจความสำคัญ

ประกาศฉบับนี้วางกลไกตาม [มาตรา 29](https://link.pdpalawbase.com/section/29.md) ให้ผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคลส่งหรือโอนข้อมูลส่วนบุคคลไปยังต่างประเทศได้ 2 ช่องทางหลัก คือ (1) นโยบายคุ้มครองข้อมูลส่วนบุคคลในเครือกิจการหรือเครือธุรกิจเดียวกัน (binding corporate rules — BCR) ที่สำนักงานตรวจสอบและรับรอง และ (2) มาตรการคุ้มครองที่เหมาะสม (appropriate safeguards) เมื่อยังไม่มีคำวินิจฉัยความเพียงพอของประเทศปลายทาง มีผลใช้บังคับตั้งแต่วันที่ 24 มีนาคม 2567 (พ้นกำหนด 90 วันนับแต่วันประกาศในราชกิจจานุเบกษา 25 ธันวาคม 2566)

- หมวด 1 (ข้อ 5-7): การส่งหรือโอนภายในเครือกิจการเดียวกันทำได้เมื่อมี BCR ที่สำนักงานรับรองแล้ว — ยื่นได้โดยตรง ทางไปรษณีย์ หรือช่องทางอิเล็กทรอนิกส์ โดยสำนักงานตรวจ 3 หลักเกณฑ์: สภาพบังคับทางกฎหมาย / ข้อกำหนดรับรองสิทธิเจ้าของข้อมูลและการร้องเรียน / มาตรการคุ้มครองและความมั่นคงปลอดภัยตามมาตรฐานขั้นต่ำ (ขั้นตอนปฏิบัติโดยละเอียดดู [ระเบียบ BCR พ.ศ. 2568](https://link.pdpalawbase.com/notification/7-3.md))
- หมวด 2 (ข้อ 8-14): หากยังไม่มี adequacy decision ตาม [มาตรา 28](https://link.pdpalawbase.com/section/28.md) และไม่มี BCR — ส่งหรือโอนได้เมื่อจัดให้มีมาตรการคุ้มครองที่เหมาะสม 3 รูปแบบ: ข้อสัญญาในการส่งหรือโอนที่เป็นที่ยอมรับ / การรับรอง (certification) / ตราสารผูกพันระหว่างหน่วยงานรัฐไทยกับหน่วยงานรัฐต่างประเทศ
- ข้อสัญญาต้นแบบต่างประเทศที่ใช้ได้: ASEAN Model Contractual Clauses และ EU Standard Contractual Clauses ตาม GDPR (ข้อ 10 (2)) โดยต้องครอบคลุมเนื้อหา 7 เรื่องตามข้อ 11 และแก้ไขได้เฉพาะส่วนที่ไม่ใช่สาระสำคัญ (ข้อ 12)
- ข้อสัญญาที่คู่สัญญาจัดทำเองต้องมีข้อกำหนดขั้นต่ำ เช่น ผู้รับข้อมูลที่เป็นผู้ประมวลผลต้องประมวลผลตามคำสั่งเท่านั้น และต้องแจ้งเหตุการละเมิดข้อมูลส่วนบุคคลแก่ผู้ส่งภายใน 72 ชั่วโมงนับแต่ทราบเหตุ (ข้อ 10 (1))
- ฉบับคู่กันสำหรับหลักเกณฑ์มาตรฐานความเพียงพอของประเทศปลายทางตามมาตรา 28 คือ [ประกาศหลักเกณฑ์ตามมาตรา 28 พ.ศ. 2566](https://link.pdpalawbase.com/notification/7-1.md)

## ตัวบท

ข้อ 1 ประกาศนี้เรียกว่า "ประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง หลักเกณฑ์การให้ความคุ้มครองข้อมูลส่วนบุคคลที่ส่งหรือโอนไปยังต่างประเทศ ตาม[มาตรา 29](https://link.pdpalawbase.com/section/29.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 พ.ศ. 2566"

ข้อ 2 ประกาศนี้ให้ใช้บังคับเมื่อพ้นกำหนดเก้าสิบวันนับแต่วันประกาศในราชกิจจานุเบกษาเป็นต้นไป

ข้อ 3 ในประกาศนี้

"เครือกิจการหรือเครือธุรกิจเดียวกัน" หมายความว่า กิจการที่ผู้ประกอบกิจการมีอำนาจควบคุมหรือบริหารจัดการเหนือกิจการอื่น หรือกิจการที่ถูกควบคุมโดยผู้ประกอบกิจการที่มีอำนาจเหนือกิจการอื่น ในรูปแบบบริษัทใหญ่ บริษัทย่อย หรือบริษัทร่วม รวมทั้งบุคคลธรรมดาหรือนิติบุคคลที่มีความเกี่ยวข้องกันทางกฎหมายหรือเกี่ยวข้องกันเนื่องจากประกอบกิจการหรือธุรกิจร่วมกัน โดยใช้หลักเกณฑ์การพิจารณาตามกฎหมายที่เกี่ยวข้องและมาตรฐานทางบัญชีอันเป็นที่ยอมรับโดยทั่วไป

"ผู้ส่งหรือโอนข้อมูลส่วนบุคคล" หมายความว่า ผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคลที่ส่งหรือโอนข้อมูลส่วนบุคคลไปยังผู้รับข้อมูลส่วนบุคคลที่อยู่ต่างประเทศ

"ผู้รับข้อมูลส่วนบุคคล" หมายความว่า ผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคลที่อยู่ต่างประเทศ ที่รับข้อมูลส่วนบุคคลจากผู้ส่งหรือโอนข้อมูลส่วนบุคคลเพื่อการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล

"ผู้ให้บริการระบบคลาวด์ (cloud computing service provider)" หมายความว่า ผู้ให้บริการเก็บรักษาข้อมูลหรือเก็บพักข้อมูลแก่บุคคลอื่นในรูปแบบชั่วคราวหรือถาวร โดยมีระบบที่บริหารจัดการข้อมูลบนอินเทอร์เน็ต โดยอาจให้บริการในรูปแบบต่าง ๆ เช่น ผู้ให้บริการโครงสร้างพื้นฐานหลัก (Infrastructure as a Service : IaaS) ผู้ให้บริการแพลตฟอร์ม (Platform as a Service : PaaS) ผู้ให้บริการซอฟต์แวร์ (Software as a Service : SaaS) ผู้ให้บริการระบบจัดเก็บข้อมูล (Data Storage as a Service : DSaaS) และผู้ให้บริการระบบบริหารจัดการข้อมูลแบบ Serverless Computing หรือผู้ให้บริการฟังก์ชัน (Function as a Service : FaaS) เป็นต้น

"ส่งหรือโอนข้อมูลส่วนบุคคล" หมายความว่า ส่งหรือโอนข้อมูลส่วนบุคคลโดยผู้ส่งหรือโอนข้อมูลส่วนบุคคล ไม่ว่าจะเป็นการส่งหรือโอนข้อมูลโดยทางกายภาพ หรือผ่านระบบคอมพิวเตอร์หรือระบบเครือข่าย ให้แก่ผู้รับข้อมูลส่วนบุคคล แต่มิให้หมายความรวมถึงการส่งและรับข้อมูลส่วนบุคคลในลักษณะที่เป็นเพียงสื่อกลาง (intermediary) ในการส่งผ่านข้อมูล (data transit) ระหว่างระบบคอมพิวเตอร์หรือระบบเครือข่ายหรือการเก็บพักข้อมูล (data storage) ในรูปแบบชั่วคราวหรือถาวรที่ไม่มีบุคคลภายนอกเข้าถึงข้อมูลส่วนบุคคลดังกล่าว นอกเหนือจากผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคลที่เป็นผู้ส่งข้อมูลส่วนบุคคลนั้น หรือบุคลากร พนักงาน หรือลูกจ้างของผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคลนั้น เช่น กรณีการส่งข้อมูลผ่านระบบเครือข่ายในต่างประเทศ หรือการส่งข้อมูลผ่านระบบของผู้ให้บริการระบบคลาวด์ (cloud computing service provider) ที่ไม่มีบุคคลใดนอกจากผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคลที่เป็นผู้ส่งข้อมูลส่วนบุคคลนั้น หรือบุคลากร พนักงาน หรือลูกจ้าง เข้าถึงข้อมูลส่วนบุคคล เนื่องจากมีมาตรการทางเทคนิคหรือเงื่อนไขทางกฎหมายรองรับ

"นโยบายในการคุ้มครองข้อมูลส่วนบุคคลในเครือกิจการหรือเครือธุรกิจเดียวกัน (binding corporate rules)" หมายความว่า นโยบายหรือข้อตกลงในการคุ้มครองข้อมูลส่วนบุคคลที่ผู้ส่งหรือโอนข้อมูลส่วนบุคคลและผู้รับข้อมูลส่วนบุคคลตกลงร่วมกันและมีผลผูกพัน เพื่อกำหนดมาตรการคุ้มครองข้อมูลส่วนบุคคลที่เหมาะสมระหว่างเครือกิจการหรือเครือธุรกิจเดียวกัน

"คณะกรรมการ" หมายความว่า คณะกรรมการคุ้มครองข้อมูลส่วนบุคคล

"สำนักงาน" หมายความว่า สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล

ข้อ 4 ให้ประธานกรรมการคุ้มครองข้อมูลส่วนบุคคลเป็นผู้รักษาการตามประกาศนี้

**หมวด 1 นโยบายในการคุ้มครองข้อมูลส่วนบุคคลเพื่อการส่งหรือโอนข้อมูลส่วนบุคคลไปยังผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคลซึ่งอยู่ต่างประเทศและอยู่ในเครือกิจการหรือเครือธุรกิจเดียวกันเพื่อการประกอบกิจการหรือธุรกิจร่วมกัน**

ข้อ 5 ผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคลซึ่งอยู่ในราชอาณาจักร อาจส่งหรือโอนข้อมูลส่วนบุคคลไปยังผู้รับข้อมูลส่วนบุคคลซึ่งอยู่ต่างประเทศและอยู่ในเครือกิจการหรือเครือธุรกิจเดียวกันได้ตาม[มาตรา 29](https://link.pdpalawbase.com/section/29.md) วรรคหนึ่งแห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 หากผู้ส่งหรือโอนข้อมูลส่วนบุคคลและผู้รับข้อมูลส่วนบุคคลดังกล่าวได้มีการกำหนดนโยบายในการคุ้มครองข้อมูลส่วนบุคคลในเครือกิจการหรือเครือธุรกิจเดียวกัน (binding corporate rules) เพื่อการประกอบกิจการหรือธุรกิจร่วมกันที่ได้รับการตรวจสอบและรับรองจากสำนักงานแล้ว

ข้อ 6 ผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคลที่จะส่งหรือโอนข้อมูลส่วนบุคคลไปยังผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคลซึ่งอยู่ต่างประเทศและอยู่ในเครือกิจการหรือเครือธุรกิจเดียวกัน สามารถเสนอนโยบายในการคุ้มครองข้อมูลส่วนบุคคลในเครือกิจการหรือเครือธุรกิจเดียวกัน (binding corporate rules) เพื่อการประกอบกิจการหรือธุรกิจร่วมกันตามข้อ 5 เพื่อให้สำนักงานตรวจสอบและรับรองตามประกาศนี้ได้ โดยให้ยื่นนโยบายดังกล่าวโดยวิธีการใดวิธีการหนึ่ง ดังต่อไปนี้

(1) ยื่นโดยตรงต่อสำนักงาน

(2) ยื่นผ่านทางไปรษณีย์มายังสำนักงาน

(3) ยื่นผ่านทางช่องทางอิเล็กทรอนิกส์หรือช่องทางอื่นใดตามที่สำนักงานกำหนด

ข้อ 7 ให้สำนักงานตรวจสอบและรับรองนโยบายในการคุ้มครองข้อมูลส่วนบุคคลในเครือกิจการหรือเครือธุรกิจเดียวกัน (binding corporate rules) เพื่อการประกอบกิจการหรือธุรกิจร่วมกันที่ได้มีการยื่นตามข้อ 6 ตามหลักเกณฑ์และมาตรฐานการคุ้มครองข้อมูลส่วนบุคคลที่ระบุไว้ในกฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคล และกฎหมายลำดับรองและประกาศที่เกี่ยวข้อง โดยให้ตรวจสอบเนื้อหาสาระของนโยบายในการคุ้มครองข้อมูลส่วนบุคคล ว่าต้องเป็นไปตามหลักเกณฑ์ ดังต่อไปนี้

(1) การมีผลและสภาพบังคับในทางกฎหมายของนโยบายในการคุ้มครองข้อมูลส่วนบุคคลดังกล่าวกับนิติบุคคลหรือบุคคลธรรมดาในเครือกิจการหรือเครือธุรกิจเดียวกัน ตลอดจนผู้ประมวลผลข้อมูลส่วนบุคคลที่เกี่ยวข้อง ผู้ส่งหรือโอนข้อมูลส่วนบุคคล และผู้รับข้อมูลส่วนบุคคลที่อยู่ในเครือกิจการหรือเครือธุรกิจเดียวกันของผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคลที่เสนอนโยบายให้สำนักงานตรวจสอบและรับรอง ทั้งนี้ นโยบายดังกล่าวต้องสอดคล้องกับกฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคล และต้องมีผลผูกพันต่อบุคลากร พนักงาน ลูกจ้าง หรือบุคคลที่เกี่ยวข้องกับผู้ส่งหรือโอนข้อมูลส่วนบุคคลและผู้รับข้อมูลส่วนบุคคล และการส่งหรือโอนข้อมูลส่วนบุคคลและการรับข้อมูลส่วนบุคคลของผู้ควบคุมข้อมูลส่วนบุคคลและผู้ประมวลผลข้อมูลส่วนบุคคลในเครือกิจการหรือเครือธุรกิจเดียวกันด้วย

(2) ข้อกำหนดที่รับรองการคุ้มครองข้อมูลส่วนบุคคล สิทธิของเจ้าของข้อมูลส่วนบุคคล และการร้องเรียน สำหรับข้อมูลส่วนบุคคลที่ถูกส่งหรือโอนไปยังต่างประเทศ

(3) มีมาตรการในการคุ้มครองข้อมูลส่วนบุคคลและมาตรการรักษาความมั่นคงปลอดภัยที่สอดคล้องกับกฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคล โดยมาตรการรักษาความมั่นคงปลอดภัยจะต้องเป็นไปตามมาตรฐานขั้นต่ำตามที่กฎหมายกำหนดด้วย

**หมวด 2 มาตรการคุ้มครองที่เหมาะสม (Appropriate Safeguards)**

ข้อ 8 ในกรณีที่ยังไม่มีคำวินิจฉัยเกี่ยวกับมาตรฐานการคุ้มครองข้อมูลส่วนบุคคลที่เพียงพอของประเทศปลายทางหรือองค์การระหว่างประเทศที่รับข้อมูลส่วนบุคคลของคณะกรรมการตาม[มาตรา 28](https://link.pdpalawbase.com/section/28.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 หรือยังไม่มีนโยบายในการคุ้มครองข้อมูลส่วนบุคคลตามข้อ 5 ผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคลอาจส่งหรือโอนข้อมูลส่วนบุคคลไปยังต่างประเทศได้โดยได้รับยกเว้นไม่ต้องปฏิบัติตาม[มาตรา 28](https://link.pdpalawbase.com/section/28.md) เมื่อได้จัดให้มีมาตรการคุ้มครองที่เหมาะสม (appropriate safeguards) ซึ่งสามารถบังคับตามสิทธิของเจ้าของข้อมูลส่วนบุคคลได้ และมีมาตรการเยียวยาทางกฎหมายที่มีประสิทธิภาพ

มาตรการคุ้มครองที่เหมาะสมตามวรรคหนึ่ง อาจอยู่ในรูปแบบ ดังนี้

(1) ข้อสัญญาที่เป็นไปตามข้อสัญญาในการส่งหรือโอนข้อมูลส่วนบุคคลที่เป็นที่ยอมรับ ซึ่งเป็นข้อสัญญาในการคุ้มครองข้อมูลส่วนบุคคล ในส่วนที่เกี่ยวกับการส่งหรือโอนข้อมูลส่วนบุคคลข้ามพรมแดน หรือการส่งหรือโอนข้อมูลส่วนบุคคลระหว่างประเทศ ที่คณะกรรมการกำหนดให้ผู้ส่งหรือโอนข้อมูลส่วนบุคคลและผู้รับข้อมูลส่วนบุคคลใช้เพื่อกำหนดหน้าที่และเงื่อนไขของคู่สัญญา เพื่อให้มีมาตรการคุ้มครองข้อมูลส่วนบุคคลที่เหมาะสม

(2) การรับรอง (certification) เกี่ยวกับการเก็บรวบรวม ใช้ และเปิดเผยข้อมูลส่วนบุคคลของผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคล ในส่วนที่เกี่ยวกับการส่งหรือโอนข้อมูลส่วนบุคคลข้ามพรมแดน หรือการส่งหรือโอนข้อมูลส่วนบุคคลระหว่างประเทศ ว่ามีมาตรการคุ้มครองข้อมูลส่วนบุคคลที่เหมาะสม โดยเป็นไปตามมาตรฐานที่เป็นที่ยอมรับ

(3) ข้อกำหนดมาตรการคุ้มครองข้อมูลส่วนบุคคลในตราสารหรือข้อตกลงที่มีผลผูกพันทางกฎหมายและสามารถใช้บังคับได้ระหว่างหน่วยงานของรัฐของประเทศไทยกับหน่วยงานของรัฐของประเทศอื่น ในกรณีการส่งหรือโอนข้อมูลส่วนบุคคลระหว่างหน่วยงานของรัฐของประเทศไทยกับหน่วยงานของรัฐของประเทศอื่นนั้น

ข้อ 9 มาตรการคุ้มครองที่เหมาะสมตามข้อ 8 ต้องเป็นไปตามหลักเกณฑ์ ดังต่อไปนี้

(1) การมีผลและสภาพบังคับในทางกฎหมายของมาตรการคุ้มครองข้อมูลส่วนบุคคลและมาตรการเยียวยาทางกฎหมายกับนิติบุคคลหรือบุคคลธรรมดาที่เป็นผู้ส่งหรือโอนข้อมูลส่วนบุคคลและผู้รับข้อมูลส่วนบุคคล ตลอดจนผู้ประมวลผลข้อมูลส่วนบุคคลที่เกี่ยวข้อง ไม่ว่าผู้ส่งหรือโอนข้อมูลส่วนบุคคลและผู้รับข้อมูลส่วนบุคคลนั้นจะเป็นผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคลก็ตาม ทั้งนี้ มาตรการคุ้มครองที่เหมาะสมดังกล่าวต้องสอดคล้องกับกฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคล และต้องมีผลผูกพันต่อบุคลากร พนักงาน ลูกจ้าง หรือบุคคลที่เกี่ยวข้องกับผู้ส่งหรือโอนข้อมูลส่วนบุคคลและผู้รับข้อมูลส่วนบุคคลด้วย

(2) ข้อกำหนดที่รับรองการคุ้มครองข้อมูลส่วนบุคคล สิทธิของเจ้าของข้อมูลส่วนบุคคล และการร้องเรียน สำหรับข้อมูลส่วนบุคคลที่ถูกส่งหรือโอนไปยังต่างประเทศ

(3) มีมาตรการในการคุ้มครองข้อมูลส่วนบุคคลและมาตรการรักษาความมั่นคงปลอดภัยที่สอดคล้องกับกฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคล โดยมาตรการรักษาความมั่นคงปลอดภัยจะต้องเป็นไปตามมาตรฐานขั้นต่ำตามกฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคลด้วย

ข้อ 10 ภายใต้บังคับข้อ 9 ข้อสัญญาในเรื่องการส่งหรือโอนข้อมูลส่วนบุคคลตามข้อ 8 วรรคสอง (1) จะต้องมีลักษณะอย่างใดอย่างหนึ่ง ดังต่อไปนี้

(1) ข้อสัญญาที่คู่สัญญาจัดทำขึ้นและมีผลผูกพันที่มีเนื้อหาและข้อกำหนดที่เกี่ยวข้องกับการคุ้มครองข้อมูลส่วนบุคคล ดังนี้

(ก) การเก็บรวบรวม ใช้ และเปิดเผยข้อมูลส่วนบุคคล รวมถึงการส่งหรือโอนข้อมูลส่วนบุคคลไปยังผู้รับข้อมูลส่วนบุคคล ต้องเป็นไปตามกฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคล

(ข) ผู้ส่งหรือโอนข้อมูลส่วนบุคคลและผู้รับข้อมูลส่วนบุคคลต้องจัดให้มีมาตรการรักษาความมั่นคงปลอดภัย โดยต้องเป็นไปตามมาตรฐานขั้นต่ำตามกฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคล

(ค) กรณีผู้รับข้อมูลส่วนบุคคลเป็นผู้ประมวลผลข้อมูลส่วนบุคคล

1) ผู้รับข้อมูลส่วนบุคคลต้องเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลตามคำสั่งหรือในนามของผู้ส่งหรือโอนข้อมูลส่วนบุคคล และตามวัตถุประสงค์ที่ผู้ส่งหรือโอนข้อมูลส่วนบุคคลกำหนดไว้เท่านั้น

2) ผู้รับข้อมูลส่วนบุคคลจะต้องติดต่อผู้ส่งหรือโอนข้อมูลส่วนบุคคลในโอกาสแรกที่ทำได้ หากเจ้าของข้อมูลส่วนบุคคลขอใช้สิทธิของเจ้าของข้อมูลส่วนบุคคล ตามกฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคล เว้นแต่ผู้ส่งหรือโอนข้อมูลส่วนบุคคลจะมอบหมายให้ผู้รับข้อมูลส่วนบุคคลดำเนินการตามคำขอใช้สิทธิดังกล่าวแทนผู้ส่งหรือโอนข้อมูลส่วนบุคคล

3) ผู้รับข้อมูลส่วนบุคคลต้องส่งคืนข้อมูลส่วนบุคคลตามข้อสัญญาแก่ผู้ส่งหรือโอนข้อมูลส่วนบุคคล หรือลบหรือทำลายข้อมูลส่วนบุคคล หรือทำให้ข้อมูลส่วนบุคคลเป็นข้อมูลที่ไม่สามารถระบุตัวบุคคลที่เป็นเจ้าของข้อมูลส่วนบุคคลได้ โดยวิธีการที่เหมาะสม ตามหลักเกณฑ์และเงื่อนไขที่ผู้ส่งหรือโอนข้อมูลส่วนบุคคลกำหนด และผู้รับข้อมูลส่วนบุคคลจะต้องยืนยันเป็นลายลักษณ์อักษรต่อผู้ส่งหรือโอนข้อมูลส่วนบุคคลเมื่อมีการดำเนินการดังกล่าวแล้ว

4) ผู้รับข้อมูลส่วนบุคคลต้องแจ้งเหตุการละเมิดข้อมูลส่วนบุคคลตามกฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคลแก่ผู้ส่งหรือโอนข้อมูลส่วนบุคคลโดยไม่ชักช้าภายในเจ็ดสิบสองชั่วโมงนับแต่ทราบเหตุเท่าที่จะสามารถกระทำได้

(ง) กรณีผู้รับข้อมูลส่วนบุคคลเป็นผู้ควบคุมข้อมูลส่วนบุคคล ผู้รับข้อมูลส่วนบุคคลต้องแจ้งเหตุการละเมิดข้อมูลส่วนบุคคลตามกฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคลแก่ผู้ส่งหรือโอนข้อมูลส่วนบุคคลด้วยในกรณีที่ผู้ส่งหรือโอนข้อมูลส่วนบุคคลเป็นผู้ควบคุมข้อมูลส่วนบุคคล ซึ่งต้องแจ้งโดยไม่ชักช้าภายในเจ็ดสิบสองชั่วโมงนับแต่ทราบเหตุเท่าที่จะสามารถกระทำได้ เว้นแต่การละเมิดดังกล่าวไม่มีความเสี่ยงที่จะมีผลกระทบต่อสิทธิและเสรีภาพของบุคคล

(จ) ต้องมีมาตรการเยียวยาทางกฎหมายแก่เจ้าของข้อมูลส่วนบุคคลหรือสิทธิของเจ้าของข้อมูลส่วนบุคคลที่จะได้รับการเยียวยาตามกฎหมายที่มีประสิทธิภาพ (effective legal remedies)

(2) ข้อสัญญาที่คู่สัญญาจัดทำขึ้นตามกฎหมายของต่างประเทศ หรือจัดทำโดยองค์การระหว่างประเทศ และมีเนื้อหาและข้อกำหนดที่เกี่ยวข้องกับการคุ้มครองข้อมูลส่วนบุคคล โดยใช้ข้อสัญญาต้นแบบอย่างใดอย่างหนึ่ง ดังนี้

(ก) ข้อสัญญาต้นแบบของอาเซียนสำหรับการไหลเวียนข้อมูลข้ามพรมแดน (ASEAN Model Contractual Clauses for Cross Border Data Flows)

(ข) ข้อสัญญามาตรฐานสำหรับการโอนข้อมูลส่วนบุคคลไปยังต่างประเทศ (Standard Contractual Clauses for the Transfer of Personal Data to Third Countries) ที่ออกตามความใน Article 46 (1) ประกอบ Article 46 (2) (c) และ Article 28 (7) ของกฎหมาย Regulation (EU) 2016/679 ของสหภาพยุโรป (European Union) หรือ General Data Protection Regulation (GDPR)

(ค) ข้อสัญญามาตรฐานสำหรับการส่งหรือโอนข้อมูลส่วนบุคคลไปยังต่างประเทศของหน่วยงาน หรือองค์การระหว่างประเทศอื่นตามที่คณะกรรมการประกาศกำหนด

ข้อ 11 ข้อสัญญาตามข้อ 10 (2) ต้องมีเนื้อหาเกี่ยวกับการคุ้มครองข้อมูลส่วนบุคคลในเรื่องดังต่อไปนี้

(1) มาตรการแจ้งการส่งหรือโอนข้อมูลส่วนบุคคลให้เจ้าของข้อมูลส่วนบุคคลทราบ

(2) มาตรการจำกัดการส่งหรือโอนข้อมูลส่วนบุคคลให้เป็นไปเท่าที่จำเป็นและเกี่ยวข้องกับการเก็บรวบรวม ใช้ และเปิดเผยข้อมูลส่วนบุคคลเท่านั้น

(3) มาตรการทางเลือกแก่เจ้าของข้อมูลส่วนบุคคล ในการใช้สิทธิยกเลิกการส่งหรือโอนข้อมูลส่วนบุคคลไปยังบุคคลภายนอกหรือยกเลิกการใช้ข้อมูลส่วนบุคคลนอกขอบเขตวัตถุประสงค์

(4) มาตรการกำหนดความรับผิดชอบในการส่งหรือโอนข้อมูลส่วนบุคคลไว้ในสัญญาเพื่อกำหนดมาตรการคุ้มครองข้อมูลส่วนบุคคลที่เหมาะสม รวมถึงการคุ้มครองการส่งหรือโอนข้อมูลส่วนบุคคลไปยังบุคคลภายนอก

(5) มาตรการรักษาความมั่นคงปลอดภัยในการส่งหรือโอนข้อมูลส่วนบุคคลเพื่อมิให้เกิดการละเมิดข้อมูลส่วนบุคคล

(6) มาตรการในการกำหนดสิทธิการเข้าถึงข้อมูลส่วนบุคคล การดำเนินการให้ข้อมูลส่วนบุคคลนั้นถูกต้อง เป็นปัจจุบัน สมบูรณ์ และไม่ก่อให้เกิดความเข้าใจผิด และการลบหรือทำลายหรือทำให้ข้อมูลส่วนบุคคลเป็นข้อมูลที่ไม่สามารถระบุตัวบุคคลที่เป็นเจ้าของข้อมูลส่วนบุคคลได้

(7) มาตรการเยียวยาความเสียหายในทางกฎหมายที่มีประสิทธิภาพ การบังคับใช้กฎหมาย และการกำหนดความรับผิด อันเกิดจากการส่งหรือโอนข้อมูลส่วนบุคคลโดยมิชอบ

ข้อ 12 ในกรณีที่มีการใช้ข้อสัญญาตามข้อ 10 (2) หากมีการอ้างอิงกฎหมายที่ใช้บังคับ การแก้ไขเพิ่มเติมเนื้อหาเรื่องอื่นในข้อสัญญา หรือเพิ่มเติมมาตรการคุ้มครองข้อมูลส่วนบุคคลที่เหมาะสม หรือการแก้ไขเพิ่มเติมเนื้อหาในส่วนที่ไม่ใช่สาระสำคัญ ซึ่งไม่ขัดต่อหลักการตามข้อ 11 และไม่มีผลกระทบต่อสิทธิและเสรีภาพของเจ้าของข้อมูลส่วนบุคคล ให้สามารถกระทำได้

ข้อ 13 ให้สำนักงานเผยแพร่ข้อมูลและรายละเอียดของข้อสัญญาต้นแบบตามข้อ 10 (2) ผ่านเว็บไซต์ของสำนักงานด้วย

ข้อ 14 การรับรอง (certification) เกี่ยวกับการเก็บรวบรวม ใช้ และเปิดเผยข้อมูลส่วนบุคคลของผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคล ในส่วนที่เกี่ยวกับการส่งหรือโอนข้อมูลส่วนบุคคลข้ามพรมแดน หรือการส่งหรือโอนข้อมูลส่วนบุคคลระหว่างประเทศ ว่ามีมาตรการคุ้มครองข้อมูลส่วนบุคคลที่เหมาะสม (appropriate safeguards) โดยเป็นไปตามมาตรฐานที่เป็นที่ยอมรับ ตามข้อ 8 วรรคสอง (2) ให้เป็นไปตามที่คณะกรรมการประกาศกำหนด ซึ่งจะต้องมีเนื้อหาตามข้อ 11 ด้วย

ประกาศ ณ วันที่ 12 ธันวาคม พ.ศ. 2566

เธียรชัย ณ นคร

ประธานกรรมการคุ้มครองข้อมูลส่วนบุคคล

## เหตุผลและฐานอำนาจ

อาศัยอำนาจตามความใน[มาตรา 16](https://link.pdpalawbase.com/section/16.md) (4) และ (5) ประกอบ[มาตรา 29](https://link.pdpalawbase.com/section/29.md) วรรคสองและวรรคสาม แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 คณะกรรมการคุ้มครองข้อมูลส่วนบุคคล จึงออกประกาศไว้ ดังต่อไปนี้ (ประกาศฉบับนี้ไม่มีย่อหน้าเหตุผล "โดยที่..." ใน preamble)

## เอกสารต้นฉบับ

- [PDF ต้นฉบับ (local)](../../raw/notifications/notification-7.2.pdf)
- [ที่มา: pdpc.or.th](https://www.pdpc.or.th/2507/)

หมายเหตุ: วันที่มีผลใช้บังคับ (24 มีนาคม 2567) คำนวณจากวันประกาศในราชกิจจานุเบกษา 25 ธันวาคม 2566 + 90 วัน ตามข้อ 2 ของประกาศ — วันประกาศราชกิจจาฯ ต่างจากวันลงนาม (ประกาศ ณ วันที่ 12 ธันวาคม 2566) ฉบับนี้ลงราชกิจจาฯ พร้อมประกาศฉบับมาตรา 28 ในวันเดียวกัน

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/notification/7-2.md

============================================================
โนด: ประกาศ 7.3
ลิงก์อ้างอิง: https://link.pdpalawbase.com/notification/7-3.md

# ระเบียบสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล ว่าด้วยการตรวจสอบและรับรองนโยบายในการคุ้มครองข้อมูลส่วนบุคคลในเครือกิจการหรือเครือธุรกิจเดียวกัน พ.ศ. 2568

## ใจความสำคัญ

ระเบียบฉบับนี้เป็นกฎหมายลำดับรองชั้นปฏิบัติการที่ออกโดย**สำนักงาน**คณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (ต่างจากประกาศส่วนใหญ่ในชุดนี้ที่ออกโดยคณะกรรมการ) วางขั้นตอนการตรวจสอบและรับรองนโยบายในการคุ้มครองข้อมูลส่วนบุคคลในเครือกิจการหรือเครือธุรกิจเดียวกัน (Binding Corporate Rules — BCR) ซึ่งเป็นเครื่องมือส่งหรือโอนข้อมูลส่วนบุคคลไปต่างประเทศตาม [มาตรา 29](https://link.pdpalawbase.com/section/29.md) ที่ [ประกาศหลักเกณฑ์ตามมาตรา 29 พ.ศ. 2566](https://link.pdpalawbase.com/notification/7-2.md) กำหนดไว้ในข้อ 5-7 ใช้บังคับตั้งแต่วันประกาศ (29 กันยายน 2568)

- แยก BCR เป็น 2 ประเภท: BCR for Controllers (BCR-C) และ BCR for Processors (BCR-P) พร้อมนิยามกลไกผูกพัน — สมาชิกของนโยบาย, สมาชิกของนโยบายผู้รับผิด (Liable BCR Member ที่ตั้งในไทยและรับผิดชดใช้แทนสมาชิกนอกราชอาณาจักร), ข้อตกลงระหว่างเครือกิจการ (IGA) และสิทธิของบุคคลภายนอกผู้รับประโยชน์ (ข้อ 3, ข้อ 6)
- ผู้ยื่นคำขอต้องเป็นสมาชิกของเครือกิจการที่จัดตั้งตามกฎหมายไทย — เป็นสำนักงานใหญ่ในราชอาณาจักร หรือสมาชิกที่ได้รับมอบหมายด้านคุ้มครองข้อมูล และต้องเป็นนิติบุคคลเดียวกับสมาชิกของนโยบายผู้รับผิด (ข้อ 7)
- เอกสารประกอบคำขอเป็นภาษาไทยอย่างน้อย 8 รายการ เช่น ตัวนโยบายฉบับสมบูรณ์ เครื่องมือกำหนดสภาพบังคับ (IGA) และตารางตรวจสอบองค์ประกอบ (Referential Checklist) (ข้อ 8)
- มีกระบวนการพิเศษ (fast track) สำหรับ BCR ที่ได้รับการรับรองจากหน่วยงานกำกับดูแลของ EU / UK GDPR หรือประเทศที่คณะกรรมการกำหนดตาม [มาตรา 28](https://link.pdpalawbase.com/section/28.md) แล้ว — ยื่นหลักฐานการรับรอง + สำเนานโยบาย + เอกสาร "ข้อกำหนดเพิ่มเติมสำหรับประเทศไทย" (Thai BCR Addendum) แทนเอกสารเต็มชุดได้ (ข้อ 11)
- สำนักงานพิจารณาเนื้อหา 6 ด้าน: สภาพบังคับทางกฎหมาย / การบังคับใช้อย่างมีประสิทธิผล / หน้าที่ให้ความร่วมมือกับสำนักงาน / ข้อกำหนดรับรองสิทธิและการร้องเรียน / มาตรการคุ้มครองและความมั่นคงปลอดภัยขั้นต่ำ / กลไกความรับผิดชอบ เช่น ROPA (ข้อ 12)
- กรอบเวลา: ตรวจความครบถ้วนของเอกสาร 15 วัน (ข้อ 13) พิจารณาเนื้อหาให้เสร็จภายใน 180 วัน (ข้อ 16) ผลพิจารณา 3 แบบ — รับรอง / รับรองโดยมีเงื่อนไข / ไม่รับรอง (ข้อ 15) การรับรองไม่มีวันหมดอายุ (ข้อ 17) อุทธรณ์ได้ตามกฎหมายวิธีปฏิบัติราชการทางปกครอง (ข้อ 18) และไม่มีค่าธรรมเนียม (ข้อ 19)
- บทเฉพาะกาลรองรับคำขอที่ยื่น/ตรวจสอบ/รับรองไว้ก่อนระเบียบใช้บังคับให้เดินหน้าต่อได้ (ข้อ 20-21)

## ตัวบท

ข้อ 1 ระเบียบนี้เรียกว่า "ระเบียบสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลว่าด้วยการตรวจสอบและรับรองนโยบายในการคุ้มครองข้อมูลส่วนบุคคลในเครือกิจการหรือเครือธุรกิจเดียวกัน พ.ศ. 2568"

ข้อ 2 ระเบียบนี้ให้ใช้บังคับตั้งแต่วันประกาศเป็นต้นไป

ข้อ 3 ในระเบียบนี้

"นโยบายในการคุ้มครองข้อมูลส่วนบุคคลในเครือกิจการหรือเครือธุรกิจเดียวกัน (Binding Corporate Rules หรือ BCR)" หมายความว่า นโยบายหรือข้อตกลงในการคุ้มครองข้อมูลส่วนบุคคลที่ผู้ส่งหรือโอนข้อมูลส่วนบุคคลและผู้รับข้อมูลส่วนบุคคลตกลงร่วมกันและมีผลผูกพัน เพื่อกำหนดมาตรการคุ้มครองข้อมูลส่วนบุคคลที่เหมาะสมระหว่างเครือกิจการหรือเครือธุรกิจเดียวกัน

"นโยบายในการคุ้มครองข้อมูลส่วนบุคคลในเครือกิจการหรือเครือธุรกิจเดียวกันสำหรับผู้ควบคุมข้อมูลส่วนบุคคล (BCR for Controllers หรือ BCR-C)" หมายความว่า นโยบายหรือข้อตกลงในการคุ้มครองข้อมูลส่วนบุคคลที่ผู้ส่งหรือโอนข้อมูลส่วนบุคคลและผู้รับข้อมูลส่วนบุคคลตกลงร่วมกันและมีผลผูกพัน เพื่อกำหนดมาตรการคุ้มครองข้อมูลส่วนบุคคลที่เหมาะสมระหว่างเครือกิจการหรือเครือธุรกิจเดียวกันที่ใช้บังคับในกรณีที่สมาชิกของนโยบายทำการส่งหรือโอนและประมวลผลข้อมูลส่วนบุคคลในฐานะผู้ควบคุมข้อมูลส่วนบุคคล

"นโยบายในการคุ้มครองข้อมูลส่วนบุคคลในเครือกิจการหรือเครือธุรกิจเดียวกันสำหรับผู้ประมวลผลข้อมูลส่วนบุคคล (BCR for Processors หรือ BCR-P)" หมายความว่า นโยบายหรือข้อตกลงในการคุ้มครองข้อมูลส่วนบุคคลที่ผู้ส่งหรือโอนข้อมูลส่วนบุคคลและผู้รับข้อมูลส่วนบุคคลตกลงร่วมกันและมีผลผูกพัน เพื่อกำหนดมาตรการคุ้มครองข้อมูลส่วนบุคคลที่เหมาะสมระหว่างเครือกิจการหรือเครือธุรกิจเดียวกันที่ใช้บังคับในกรณีที่สมาชิกของนโยบายทำการส่งหรือโอนข้อมูลส่วนบุคคลในฐานะผู้ประมวลผลข้อมูลส่วนบุคคลตามคำสั่งหรือในนามของผู้ควบคุมข้อมูลส่วนบุคคลซึ่งเป็นบุคคลภายนอก

"เครือกิจการหรือเครือธุรกิจเดียวกัน" หมายความว่า กิจการที่ผู้ประกอบกิจการมีอำนาจควบคุมหรือบริหารจัดการเหนือกิจการอื่น หรือกิจการที่ถูกควบคุมโดยผู้ประกอบกิจการที่มีอำนาจเหนือกิจการอื่น ในรูปแบบบริษัทใหญ่ บริษัทย่อย หรือบริษัทร่วม รวมทั้งบุคคลธรรมดาหรือนิติบุคคลที่มีความเกี่ยวข้องกันทางกฎหมายหรือเกี่ยวข้องกันเนื่องจากประกอบกิจการหรือธุรกิจร่วมกัน โดยใช้หลักเกณฑ์การพิจารณาตามกฎหมายที่เกี่ยวข้องและมาตรฐานทางบัญชีอันเป็นที่ยอมรับโดยทั่วไป

"สมาชิกของนโยบาย (BCR Member)" หมายความว่า นิติบุคคลภายในเครือกิจการหรือเครือธุรกิจเดียวกันที่ตกลงผูกพันตนตามข้อกำหนดของนโยบายในการคุ้มครองข้อมูลส่วนบุคคลในเครือกิจการหรือเครือธุรกิจเดียวกัน

"สมาชิกของนโยบายผู้รับผิด (Liable BCR Member)" หมายความว่า สมาชิกของนโยบายที่จัดตั้งขึ้นในราชอาณาจักรและมีสำนักงานอยู่ในราชอาณาจักรที่ได้รับการระบุไว้อย่างชัดแจ้งในนโยบายในการคุ้มครองข้อมูลส่วนบุคคลในเครือกิจการหรือเครือธุรกิจเดียวกันว่าตกลงยอมรับผิดและรับผิดชอบในการชดใช้ค่าสินไหมทดแทนสำหรับความเสียหายใด ๆ ที่เกิดจากการละเมิดนโยบายโดยสมาชิกของนโยบายรายอื่นที่อยู่นอกราชอาณาจักร เพื่อเป็นหลักประกันว่าเจ้าของข้อมูลส่วนบุคคลในราชอาณาจักรจะมีช่องทางที่เข้าถึงกระบวนการร้องเรียนได้อย่างมีประสิทธิภาพ และได้รับการเยียวยาความเสียหายผ่านกระบวนการร้องเรียนหรือการใช้สิทธิทางศาลในราชอาณาจักรได้

"ข้อตกลงระหว่างเครือกิจการหรือเครือธุรกิจเดียวกัน (Intra-Group Agreement - IGA)" หมายความว่า สัญญาหรือข้อตกลงที่เป็นลายลักษณ์อักษรซึ่งจัดทำขึ้นระหว่างสมาชิกของนโยบาย เพื่อกำหนดสภาพบังคับทางกฎหมายภายในเครือกิจการหรือเครือธุรกิจเดียวกันให้นโยบายในการคุ้มครองข้อมูลส่วนบุคคลในเครือกิจการหรือเครือธุรกิจเดียวกันมีผลผูกพันกับสมาชิกทุกราย

"สิทธิของบุคคลภายนอกผู้รับประโยชน์ (Third-Party Beneficiary Rights)" หมายความว่า สิทธิที่นโยบายในการคุ้มครองข้อมูลส่วนบุคคลในเครือกิจการหรือเครือธุรกิจเดียวกันกำหนดขึ้นอย่างชัดแจ้งโดยไม่มีเงื่อนไข เพื่อให้เจ้าของข้อมูลส่วนบุคคลสามารถใช้สิทธิตามนโยบาย หรือฟ้องร้องบังคับคดีตามข้อกำหนดในนโยบายได้โดยตรงต่อสมาชิกของนโยบายเสมือนหนึ่งเป็นคู่สัญญา

"สำนักงาน" หมายความว่า สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล

"เลขาธิการ" หมายความว่า เลขาธิการคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล

"พนักงาน" หมายความว่า บุคคลผู้ที่สำนักงานบรรจุและแต่งตั้งเป็นพนักงาน โดยมีการกำหนดเงื่อนไขการจ้างตามที่ระบุในสัญญาการปฏิบัติงานหรือข้อตกลงการจ้าง

"พนักงานผู้รับผิดชอบ (Case Officer)" หมายความว่า พนักงานที่ผู้อำนวยการสำนักตรวจสอบและกำกับดูแลมอบหมายให้พิจารณาเนื้อหาของนโยบายในการคุ้มครองข้อมูลส่วนบุคคลในเครือกิจการหรือเครือธุรกิจเดียวกัน พร้อมจัดทำความเห็นเสนอผู้บังคับบัญชาตามลำดับ

**หมวด 1 บททั่วไป**

**ส่วนที่ 1 ขอบเขตการบังคับใช้**

ข้อ 4 ระเบียบนี้ให้ใช้เป็นแนวทางในการพิจารณาการยื่นคำขอ การพิจารณา การตรวจสอบและรับรอง และการกำกับดูแลนโยบายในการคุ้มครองข้อมูลส่วนบุคคลในเครือกิจการหรือเครือธุรกิจเดียวกัน สำหรับการส่งหรือโอนข้อมูลส่วนบุคคลจากประเทศไทยโดยผู้ส่งหรือโอนข้อมูลส่วนบุคคลซึ่งอยู่ในราชอาณาจักรไปยังผู้รับข้อมูลส่วนบุคคลซึ่งอยู่ต่างประเทศและอยู่ในเครือกิจการหรือเครือธุรกิจเดียวกันเพื่อการประกอบกิจการหรือธุรกิจร่วมกัน โดยประเทศปลายทางนั้นอาจมีหรือไม่มีมาตรฐานการคุ้มครองข้อมูลส่วนบุคคลที่เพียงพอตามที่คณะกรรมการคุ้มครองข้อมูลส่วนบุคคลประกาศกำหนดก็ได้

ระเบียบนี้ครอบคลุมนโยบายในการคุ้มครองข้อมูลส่วนบุคคลในเครือกิจการหรือเครือธุรกิจเดียวกัน ทั้งสองประเภท ได้แก่ นโยบายในการคุ้มครองข้อมูลส่วนบุคคลในเครือกิจการหรือเครือธุรกิจเดียวกันสำหรับผู้ควบคุมข้อมูลส่วนบุคคล (BCR for Controllers หรือ BCR-C) และนโยบายในการคุ้มครองข้อมูลส่วนบุคคลในเครือกิจการหรือเครือธุรกิจเดียวกันสำหรับผู้ประมวลผลข้อมูลส่วนบุคคล (BCR for Processors หรือ BCR-P)

**หมวด 2 หลักการพื้นฐานและประเภทของนโยบายในการคุ้มครองข้อมูลส่วนบุคคลในเครือกิจการหรือเครือธุรกิจเดียวกัน**

**ส่วนที่ 1 สถานะทางกฎหมายของนโยบาย**

ข้อ 5 นโยบายในการคุ้มครองข้อมูลส่วนบุคคลในเครือกิจการหรือเครือธุรกิจเดียวกันที่ได้รับการตรวจสอบและรับรองตามระเบียบนี้ เป็นหนึ่งในเครื่องมือในการส่งหรือโอนข้อมูลส่วนบุคคลไปยังต่างประเทศตาม[มาตรา 29](https://link.pdpalawbase.com/section/29.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562

**ส่วนที่ 2 การจำแนกประเภทของนโยบาย**

ข้อ 6 ประเภทของนโยบายในการคุ้มครองข้อมูลส่วนบุคคลในเครือกิจการหรือเครือธุรกิจเดียวกัน อาจจำแนกได้สองประเภท ได้แก่ นโยบายในการคุ้มครองข้อมูลส่วนบุคคลในเครือกิจการหรือเครือธุรกิจเดียวกันสำหรับผู้ควบคุมข้อมูลส่วนบุคคล (BCR for Controllers หรือ BCR-C) หรือนโยบายในการคุ้มครองข้อมูลส่วนบุคคลในเครือกิจการหรือเครือธุรกิจเดียวกันสำหรับผู้ประมวลผลข้อมูลส่วนบุคคล (BCR for Processors หรือ BCR-P)

**หมวด 3 การยื่นคำขอตรวจสอบและรับรองนโยบายในการคุ้มครองข้อมูลส่วนบุคคลในเครือกิจการหรือเครือธุรกิจเดียวกัน**

**ส่วนที่ 1 การพิจารณาคุณสมบัติของผู้ยื่นคำขอตรวจสอบและรับรอง**

ข้อ 7 ผู้ยื่นคำขอต้องเป็นสมาชิกของเครือกิจการหรือเครือธุรกิจเดียวกัน ในการพิจารณาคำขอตรวจสอบและรับรองนโยบาย ให้สำนักงานพิจารณาว่าผู้ยื่นคำขอนั้นได้จัดตั้งขึ้นตามกฎหมายไทยและมีสถานประกอบการในราชอาณาจักรหรือไม่ โดยสำนักงานอาจพิจารณาจากลักษณะอย่างใดอย่างหนึ่ง ดังต่อไปนี้

(1) เป็นสำนักงานใหญ่ของเครือกิจการหรือเครือธุรกิจเดียวกันในราชอาณาจักร

(2) ในกรณีที่เครือกิจการหรือเครือธุรกิจเดียวกันไม่มีสำนักงานใหญ่ในราชอาณาจักร ผู้ยื่นคำขอต้องเป็นสมาชิกที่ได้รับมอบหมายให้มีหน้าที่รับผิดชอบด้านการคุ้มครองข้อมูลส่วนบุคคลในราชอาณาจักร

นิติบุคคลผู้ยื่นคำขอตามวรรคหนึ่ง ต้องเป็นนิติบุคคลเดียวกับที่ถูกกำหนดให้เป็นสมาชิกของนโยบายผู้รับผิด

**ส่วนที่ 2 การตรวจเอกสารประกอบคำขอตรวจสอบและรับรอง**

ข้อ 8 ให้ผู้ยื่นคำขอจัดทำคำขอและเอกสารประกอบคำขอตรวจสอบและรับรองเป็นภาษาไทย โดยสำนักงานอาจกำหนดแบบสำหรับการยื่นคำขอเพื่ออำนวยความสะดวกก็ได้ กรณีที่เอกสารประกอบคำขอเป็นภาษาต่างประเทศ เพื่อความสะดวกรวดเร็วและสอดคล้องกับกฎหมายว่าด้วยวิธีปฏิบัติราชการทางปกครอง ผู้ยื่นคำขอควรจัดทำคำแปลเป็นภาษาไทยที่มีการรับรองความถูกต้องมาพร้อมด้วย ซึ่งประกอบด้วยเอกสารอย่างน้อย ดังต่อไปนี้

(1) คำขอให้ตรวจสอบและรับรองนโยบายในการคุ้มครองข้อมูลส่วนบุคคลในเครือกิจการหรือเครือธุรกิจเดียวกันตามประเภทที่ถูกต้อง (BCR-C หรือ BCR-P) โดยต้องมีรายละเอียดสำคัญถูกต้องครบถ้วนตามที่กำหนดไว้ในข้อ 7 ของประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง หลักเกณฑ์การให้ความคุ้มครองข้อมูลส่วนบุคคลที่ส่งหรือโอนไปยังต่างประเทศตาม[มาตรา 29](https://link.pdpalawbase.com/section/29.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 พ.ศ. 2566

(2) เอกสารนโยบายในการคุ้มครองข้อมูลส่วนบุคคลในเครือกิจการหรือเครือธุรกิจเดียวกัน ฉบับสมบูรณ์พร้อมภาคผนวกของนโยบายนั้นทั้งหมด เช่น รายชื่อสมาชิกของนโยบายที่ผูกพันตามนโยบาย

(3) เครื่องมือทางกฎหมายที่ใช้กำหนดสภาพบังคับ (Binding Instrument) เช่น ร่างข้อตกลงระหว่างเครือกิจการ (Intra-Group Agreement - IGA)

(4) เพื่อประโยชน์ในการพิจารณาคำขอให้เป็นไปอย่างรวดเร็วและมีประสิทธิภาพ ผู้ยื่นคำขออาจนำส่งตารางตรวจสอบองค์ประกอบและหลักการ (Referential Checklist) ตามประเภทของนโยบายที่ถูกต้อง (BCR-C หรือ BCR-P) เพื่อใช้ในการประกอบการพิจารณาคำขอให้ตรวจสอบและรับรองนโยบายในการคุ้มครองข้อมูลส่วนบุคคลในเครือกิจการหรือเครือธุรกิจเดียวกัน โดยตารางตรวจสอบองค์ประกอบและหลักการดังกล่าวควรมีการอ้างอิงข้อกำหนดแต่ละข้อตามระเบียบนี้ไปยังเนื้อหาส่วนที่เกี่ยวข้องในเอกสารนโยบายในการคุ้มครองข้อมูลส่วนบุคคลในเครือกิจการหรือเครือธุรกิจเดียวกัน และเครื่องมือทางกฎหมายที่ใช้กำหนดสภาพบังคับ

(5) เอกสารประกอบอื่น ๆ ที่มีการอ้างอิงถึงในนโยบาย (ถ้ามี) เช่น นโยบายการคุ้มครองข้อมูลส่วนบุคคลฉบับเต็ม ระเบียบปฏิบัติด้านการตรวจสอบ หรือเอกสารการฝึกอบรม

(6) หนังสือรับรองความเป็นนิติบุคคลที่รับรองโดยหน่วยงานของรัฐในราชอาณาจักรที่มีอำนาจ

(7) หนังสือมอบอำนาจให้ยื่นคำขอตรวจสอบและรับรองแทนที่มีรายละเอียดเรื่องที่มอบอำนาจและติดอากรแสตมป์ที่ถูกต้องครบถ้วน และลงนามโดยผู้มอบอำนาจและผู้รับมอบอำนาจ พร้อมแนบสำเนาบัตรประจำตัวประชาชน สำเนาหนังสือเดินทาง หรือสำเนาเอกสารประจำตัวอื่นของผู้มอบอำนาจและผู้รับมอบอำนาจ ซึ่งออกโดยราชการซึ่งรับรองสำเนาถูกต้องโดยผู้มอบอำนาจและผู้รับมอบอำนาจ กรณีที่มีการมอบอำนาจให้ยื่นคำขอตรวจสอบและรับรองแทน

(8) เอกสารประกอบอื่น ๆ (ถ้ามี)

การรับรองคำแปลตามวรรคหนึ่ง ให้กระทำโดยทนายความผู้ได้รับใบอนุญาตให้รับรองลายมือชื่อและเอกสาร (Notary Public) หรือบุคคลตามที่ระบุไว้ในกฎกระทรวง (พ.ศ. 2540) ออกตามความในพระราชบัญญัติวิธีปฏิบัติราชการทางปกครอง พ.ศ. 2539 มาตรา 26 วรรคสอง

**ส่วนที่ 3 ช่องทางสำหรับยื่นคำขอตรวจสอบและรับรอง**

ข้อที่ 9 ให้สำนักงานจัดให้มีช่องทางสำหรับยื่นคำขอตรวจสอบและรับรอง ดังต่อไปนี้

(1) ยื่นโดยตรงต่อสำนักงาน

(2) ยื่นผ่านทางไปรษณีย์มายังสำนักงาน

(3) ยื่นผ่านทางไปรษณีย์อิเล็กทรอนิกส์

(4) ยื่นผ่านทางช่องทางอื่นใดตามที่สำนักงานกำหนด

ผู้ยื่นคำขอต้องยื่นคำขอตรวจสอบและรับรองผ่านช่องทางใดช่องทางหนึ่งตามวรรคหนึ่งเพียงช่องทางเดียวเท่านั้น

**ส่วนที่ 4 ขั้นตอนการยื่นคำขอตรวจสอบและรับรอง**

ข้อ 10 เมื่อสำนักงานได้รับคำขอแล้ว ให้ดำเนินการตามขั้นตอน ดังนี้

(1) การรับคำขอและการตรวจสอบความสมบูรณ์ (Application Receipt & Administrative Check) สำนักงานจะตรวจสอบความถูกต้องครบถ้วนของเอกสารตามข้อ 8 หากถูกต้องครบถ้วน ให้พนักงานออกใบรับคำขอ โดยระบุวันที่รับคำขอและรหัสอ้างอิงในการรับคำขอให้แก่ผู้ยื่นคำขอ หากเอกสารไม่ครบถ้วนจะแจ้งให้ผู้ยื่นคำขอจัดส่งเพิ่มเติมภายในระยะเวลาที่กำหนด

(2) การประเมินเบื้องต้นและการมอบหมายผู้รับผิดชอบ (Preliminary Assessment & Assignment) เมื่อเอกสารครบถ้วน สำนักงานจะทำการประเมินเบื้องต้นเพื่อทำความเข้าใจภาพรวมและจำแนกประเภทของนโยบายในการคุ้มครองข้อมูลส่วนบุคคลในเครือกิจการหรือเครือธุรกิจเดียวกัน พร้อมทั้งมอบหมายให้พนักงานผู้รับผิดชอบ (Case Officer) เป็นผู้ดำเนินการพิจารณาในขั้นตอนต่อไป

**ส่วนที่ 5 กระบวนการพิเศษสำหรับนโยบายในการคุ้มครองข้อมูลส่วนบุคคลในเครือกิจการหรือเครือธุรกิจเดียวกันที่ได้รับการรับรองจากหน่วยงานกำกับดูแลอื่น**

ข้อ 11 นโยบายในการคุ้มครองข้อมูลส่วนบุคคลในเครือกิจการหรือเครือธุรกิจเดียวกันที่ได้รับการตรวจสอบและรับรองตามกฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคลของสหภาพยุโรป (Regulation (EU) 2016/679 of the European Parliament and of the Council of 27 April 2016 on the protection of natural persons with regard to the processing of personal data and on the free movement of such data, and repealing Directive 95/46/EC (General Data Protection Regulation)) หรือกฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคลของสหราชอาณาจักร (UK GDPR) หรือจากประเทศตามที่คณะกรรมการคุ้มครองข้อมูลส่วนบุคคลประกาศกำหนดตาม[มาตรา 28](https://link.pdpalawbase.com/section/28.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 แล้ว ผู้ยื่นคำขออาจยื่นคำขอตรวจสอบและรับรองตามกระบวนการพิเศษได้ตามที่กำหนดไว้ในส่วนนี้

ผู้ยื่นคำขอตามวรรคหนึ่ง อาจยื่นเอกสารดังต่อไปนี้แทนเอกสารประกอบคำขอตามข้อ 8 กรณีที่เอกสารประกอบคำขอเป็นภาษาต่างประเทศ เพื่อความสะดวกรวดเร็วและสอดคล้องกับกฎหมายว่าด้วยวิธีปฏิบัติราชการทางปกครอง ผู้ยื่นคำขอควรจัดทำคำแปลเป็นภาษาไทยที่มีการรับรองความถูกต้องมาพร้อมด้วย

(1) หลักฐานที่แสดงว่านโยบายในการคุ้มครองข้อมูลส่วนบุคคลในเครือกิจการหรือเครือธุรกิจเดียวกันได้รับการรับรองจากหน่วยงานกำกับดูแล (Supervisory Authority) ที่มีอำนาจของสหภาพยุโรปหรือสหราชอาณาจักร หรือจากประเทศตามที่คณะกรรมการคุ้มครองข้อมูลส่วนบุคคลประกาศกำหนดตาม[มาตรา 28](https://link.pdpalawbase.com/section/28.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562

(2) สำเนาเอกสารนโยบายในการคุ้มครองข้อมูลส่วนบุคคลในเครือกิจการหรือเครือธุรกิจเดียวกันฉบับที่ได้รับการรับรองดังกล่าว

(3) เอกสาร "ข้อกำหนดเพิ่มเติมสำหรับประเทศไทย" (Thai BCR Addendum) ซึ่งควรมีเนื้อหาอย่างน้อย ดังต่อไปนี้

(ก) การระบุชื่อสมาชิกของนโยบายผู้รับผิดที่จัดตั้งขึ้นในประเทศไทย

(ข) การยืนยันว่าเจ้าของข้อมูลส่วนบุคคลในประเทศไทยมีสิทธิของบุคคลภายนอกผู้รับประโยชน์ที่สามารถร้องเรียน และฟ้องร้องบังคับคดีตามนโยบายในการคุ้มครองข้อมูลส่วนบุคคลในเครือกิจการหรือเครือธุรกิจเดียวกันได้ในราชอาณาจักร

(ค) การยอมรับอำนาจกำกับดูแลของสำนักงานและเขตอำนาจศาลไทยในประเด็นที่เกี่ยวข้องกับนโยบายในการคุ้มครองข้อมูลส่วนบุคคลในเครือกิจการหรือเครือธุรกิจเดียวกัน

(ง) การชี้แจงหรือเพิ่มเติมข้อกำหนดอื่นใดเพื่อให้สอดคล้องกับพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 อนุบัญญัติที่เกี่ยวข้อง และระเบียบนี้

ให้นำความในข้อ 8 วรรคสอง มาใช้กับการรับรองตามข้อนี้โดยอนุโลม

**หมวด 4 องค์ประกอบและหลักการสำคัญของนโยบายในการคุ้มครองข้อมูลส่วนบุคคลในเครือกิจการหรือเครือธุรกิจเดียวกัน**

ข้อ 12 ในการรับรองนโยบายในการคุ้มครองข้อมูลส่วนบุคคลในเครือกิจการหรือเครือธุรกิจเดียวกันที่ยื่นขอรับการตรวจสอบและรับรอง ให้สำนักงานพิจารณาเนื้อหาและหลักการสำคัญ ดังต่อไปนี้

(1) การมีผลและสภาพบังคับในทางกฎหมาย โดยนโยบายในการคุ้มครองข้อมูลส่วนบุคคลในเครือกิจการหรือเครือธุรกิจเดียวกันแสดงให้เห็นอย่างเหมาะสมถึงกลไกที่สร้างสภาพบังคับทางกฎหมายทั้งภายในและภายนอกเครือกิจการหรือเครือธุรกิจเดียวกัน

(2) การบังคับใช้อย่างมีประสิทธิผล นโยบายในการคุ้มครองข้อมูลส่วนบุคคลในเครือกิจการหรือเครือธุรกิจเดียวกันแสดงให้เห็นอย่างเหมาะสมถึงกลไกที่สามารถตรวจสอบได้เพื่อให้แน่ใจว่ามีการปฏิบัติตามนโยบายในทางปฏิบัติอย่างแท้จริง

(3) หน้าที่ในการให้ความร่วมมือ นโยบายในการคุ้มครองข้อมูลส่วนบุคคลในเครือกิจการหรือเครือธุรกิจเดียวกันมีข้อความที่ระบุอย่างชัดแจ้งและมีเงื่อนไขว่าสมาชิกของนโยบายทุกรายตกลงที่จะให้ความร่วมมือกับสำนักงานในการปฏิบัติหน้าที่ ยอมรับการตรวจสอบจากสำนักงาน และปฏิบัติตามคำแนะนำและคำสั่งของสำนักงานในประเด็นที่เกี่ยวข้องกับนโยบาย สำหรับนโยบายในการคุ้มครองข้อมูลส่วนบุคคลในเครือกิจการหรือเครือธุรกิจเดียวกันสำหรับผู้ประมวลผลข้อมูลส่วนบุคคล (BCR-P) ควรมีข้อกำหนดเพิ่มเติมเกี่ยวกับหน้าที่ในการให้ความร่วมมือและช่วยเหลือผู้ควบคุมข้อมูลส่วนบุคคลซึ่งเป็นบุคคลภายนอกในการปฏิบัติตามกฎหมาย

(4) ข้อกำหนดที่รับรองการคุ้มครองข้อมูลส่วนบุคคล นโยบายในการคุ้มครองข้อมูลส่วนบุคคลในเครือกิจการหรือเครือธุรกิจเดียวกันได้กำหนดสิทธิของเจ้าของข้อมูลส่วนบุคคลและการร้องเรียนสำหรับข้อมูลส่วนบุคคลที่ถูกส่งหรือโอนไปยังต่างประเทศในเครือกิจการหรือเครือธุรกิจเดียวกัน

(5) มาตรการคุ้มครองข้อมูลส่วนบุคคล นโยบายในการคุ้มครองข้อมูลส่วนบุคคลในเครือกิจการหรือเครือธุรกิจเดียวกันแสดงให้เห็นอย่างเหมาะสมถึงหลักการคุ้มครองข้อมูลส่วนบุคคลตามกฎหมายเข้าไว้เป็นส่วนหนึ่งของข้อผูกพัน ซึ่งอย่างน้อยต้องประกอบด้วยหลักการพื้นฐานด้านการคุ้มครองข้อมูลส่วนบุคคล มาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสมซึ่งต้องเป็นไปตามมาตรฐานขั้นต่ำตามที่กฎหมายกำหนด

(6) ความรับผิดชอบและกลไกสนับสนุนอื่น ๆ นโยบายในการคุ้มครองข้อมูลส่วนบุคคลในเครือกิจการหรือเครือธุรกิจเดียวกันควรแสดงให้เห็นถึงกลไกความรับผิดชอบ (Accountability) อื่น ๆ เช่น การจัดทำและเก็บรักษาบันทึกรายการกิจกรรมการประมวลผลข้อมูลส่วนบุคคล (Record of Processing Activities หรือ ROPA) และแนวทางการประเมินความเสี่ยง เป็นต้น

**หมวด 5 กระบวนการพิจารณาและการรับรองของสำนักงาน**

**ส่วนที่ 1 การตรวจสอบความสมบูรณ์ของคำขอ**

ข้อ 13 สำนักงานจะดำเนินการตรวจสอบความถูกต้องครบถ้วนของเอกสารประกอบคำขอตรวจสอบและรับรองตามที่กำหนดในข้อ 8 ภายใน 15 วัน นับแต่วันที่ได้รับคำขอ หากถูกต้องครบถ้วน ให้พนักงานออกใบรับคำขอ โดยระบุวันที่รับคำขอและรหัสอ้างอิงในการรับคำขอให้แก่ผู้ยื่นคำขอ หากพบว่าไม่ถูกต้องหรือไม่ครบถ้วน ให้สำนักงานแจ้งให้ผู้ยื่นคำขอดำเนินการแก้ไขหรือจัดส่งเอกสารประกอบคำขอเพิ่มเติมภายในระยะเวลาที่เหมาะสม

**ส่วนที่ 2 การพิจารณาเชิงเนื้อหา**

ข้อ 14 หากคำขอตรวจสอบและรับรองมีความครบถ้วนสมบูรณ์ตามข้อ 13 แล้ว ให้พนักงานผู้รับผิดชอบ (Case Officer) ดำเนินการพิจารณาเนื้อหาของนโยบายในการคุ้มครองข้อมูลส่วนบุคคลในเครือกิจการหรือเครือธุรกิจเดียวกันและเอกสารประกอบโดยละเอียด

ในระหว่างการพิจารณา สำนักงานอาจมีหนังสือร้องขอข้อมูลเพิ่มเติมหรือหนังสือร้องขอให้แก้ไขไปยังผู้ยื่นคำขอหรือผู้รับมอบอำนาจเพื่อขอให้ชี้แจงประเด็นที่ยังไม่ชัดเจน หรือแก้ไขเนื้อหาส่วนที่ยังไม่สอดคล้องกับหลักเกณฑ์ตามประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง หลักเกณฑ์การให้ความคุ้มครองข้อมูลส่วนบุคคลที่ส่งหรือโอนไปยังต่างประเทศตาม[มาตรา 29](https://link.pdpalawbase.com/section/29.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 พ.ศ. 2566

**ส่วนที่ 3 การจัดทำความเห็นและการพิจารณา**

ข้อ 15 เมื่อได้รับข้อมูลหรือเอกสารฉบับแก้ไขที่ครบถ้วนสมบูรณ์จากผู้ยื่นคำขอและกระบวนการพิจารณาเชิงเนื้อหาเสร็จสิ้นแล้ว ให้พนักงานผู้รับผิดชอบ (Case Officer) จัดทำรายงานสรุปผลการพิจารณาพร้อมความเห็นเสนอผู้บังคับบัญชาตามลำดับ ก่อนเสนอเลขาธิการพิจารณานโยบายในการคุ้มครองข้อมูลส่วนบุคคลในเครือกิจการหรือเครือธุรกิจเดียวกัน ตามผลการพิจารณา ดังต่อไปนี้

(1) รับรอง หากนโยบายมีองค์ประกอบและหลักการครบถ้วนตามที่กำหนดในประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง หลักเกณฑ์การให้ความคุ้มครองข้อมูลส่วนบุคคลที่ส่งหรือโอนไปยังต่างประเทศตาม[มาตรา 29](https://link.pdpalawbase.com/section/29.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 พ.ศ. 2566

(2) รับรองโดยมีเงื่อนไข หากนโยบายมีความสอดคล้องในสาระสำคัญ แต่อาจต้องมีการแก้ไขข้อความหรือดำเนินการบางประการให้แล้วเสร็จภายในระยะเวลาที่กำหนดก่อนที่การรับรองจะมีผลสมบูรณ์

(3) ไม่รับรอง หากนโยบายไม่สอดคล้องกับประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง หลักเกณฑ์การให้ความคุ้มครองข้อมูลส่วนบุคคลที่ส่งหรือโอนไปยังต่างประเทศตาม[มาตรา 29](https://link.pdpalawbase.com/section/29.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 พ.ศ. 2566

กรณีผลการพิจารณาเป็นไปตามข้อ 15 (1) ให้สำนักงานออกหนังสือรับรองตามแบบที่กำหนดในภาคผนวก ก - ง ท้ายระเบียบนี้ หากผลการพิจารณาเป็นไปตามข้อ 15 (2) หรือ (3) ให้สำนักงานมีหนังสือแจ้งผลการพิจารณาไปยังผู้ยื่นคำขอทราบ

**ส่วนที่ 4 ระยะเวลาการพิจารณา**

ข้อ 16 สำนักงานจะดำเนินการพิจารณาเนื้อหาของนโยบายในการคุ้มครองข้อมูลส่วนบุคคลในเครือกิจการหรือเครือธุรกิจเดียวกันให้แล้วเสร็จภายในระยะเวลา 180 วัน นับแต่วันที่เอกสารประกอบคำขอตรวจสอบและรับรองถูกต้องครบถ้วนตามข้อ 8 ทั้งนี้ หากพ้นกำหนดระยะเวลาดังกล่าวแล้วยังพิจารณาไม่แล้วเสร็จด้วยเหตุจำเป็นอื่นอันไม่อาจก้าวล่วงได้ ให้พนักงานผู้รับผิดชอบ (Case Officer) พิจารณาเนื้อหาของนโยบายให้แล้วเสร็จโดยเร็วพร้อมรายงานเหตุขัดข้องต่อผู้บังคับบัญชาตามลำดับจนถึงเลขาธิการ ทั้งนี้ ระยะเวลาการพิจารณาขึ้นอยู่กับความซับซ้อนของโครงสร้างองค์กร ลักษณะของข้อมูล และความสมบูรณ์ของเอกสารที่ผู้ยื่นคำขอได้จัดทำมา

**ส่วนที่ 5 ระยะเวลาการมีผลและการทบทวนการรับรอง**

ข้อ 17 การรับรองนโยบายในการคุ้มครองข้อมูลส่วนบุคคลในเครือกิจการหรือเครือธุรกิจเดียวกันที่ออกโดยสำนักงานไม่มีกำหนดระยะเวลาสิ้นสุด และจะยังคงมีผลบังคับใช้ตราบเท่าที่ยังไม่มีการแก้ไขเปลี่ยนแปลง หรือเพิกถอนโดยสำนักงาน

**หมวด 6 การอุทธรณ์**

ข้อ 18 กรณีที่ผู้ยื่นคำขอไม่เห็นด้วยกับผลการพิจารณาตามข้อ 15 (2) หรือ (3) ผู้ยื่นคำขอสามารถยื่นอุทธรณ์ผลการพิจารณาได้ เว้นแต่บทบัญญัติแห่งกฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคลจะกำหนดไว้เป็นอย่างอื่น การอุทธรณ์และวิธีพิจารณาอุทธรณ์ ให้ผู้ยื่นคำขอและสำนักงานนำกฎหมายว่าด้วยวิธีปฏิบัติราชการทางปกครองมาใช้โดยอนุโลม

**ค่าธรรมเนียมหรือค่าบริการ**

ข้อ 19 การดำเนินการตามระเบียบนี้ไม่มีการเรียกเก็บค่าธรรมเนียมหรือค่าบริการ

**บทเฉพาะกาล**

ข้อ 20 กรณีที่ผู้ยื่นคำขอได้ยื่นนโยบายในการคุ้มครองข้อมูลส่วนบุคคลในเครือกิจการหรือเครือธุรกิจเดียวกันให้สำนักงาน และสำนักงานได้ดำเนินการตรวจสอบเรียบร้อยแล้วก่อนระเบียบนี้ประกาศ ให้สำนักงานดำเนินการรับรอง โดยผู้ยื่นคำขอไม่ต้องยื่นคำขอตรวจสอบและรับรองหรือเอกสารประกอบการพิจารณาใหม่ เว้นแต่มีเหตุอันสมควรที่ต้องขอเอกสารประกอบการพิจารณาเพิ่มเติม

นโยบายในการคุ้มครองข้อมูลส่วนบุคคลในเครือกิจการหรือเครือธุรกิจเดียวกันที่สำนักงานยังไม่ได้ดำเนินการตรวจสอบให้แล้วเสร็จ หรืออยู่ระหว่างดำเนินการ ให้สำนักงานดำเนินการต่อไปได้ภายใต้ระเบียบนี้ ทั้งนี้ สำนักงานอาจขอเอกสารประกอบคำขอตรวจสอบและรับรองเพิ่มเติมได้

ข้อ 21 ในกรณีที่สำนักงานได้ตรวจสอบและรับรองนโยบายในการคุ้มครองข้อมูลส่วนบุคคลในเครือกิจการหรือเครือธุรกิจเดียวกันไปก่อนวันที่ระเบียบฉบับนี้จะมีผลใช้บังคับ ให้นโยบายนั้นยังมีสภาพบังคับต่อไปตามที่ได้รับการรับรองไว้ และให้ถือว่าเป็นนโยบายที่ได้รับการรับรองภายใต้ระเบียบนี้ โดยสมาชิกของนโยบายผู้รับผิดมีหน้าที่ในการปฏิบัติตามเงื่อนไขต่าง ๆ ของระเบียบนี้

ประกาศ ณ วันที่ 29 กันยายน พ.ศ. 2568

พันตำรวจเอก สุรพงศ์ เปล่งขำ

เลขาธิการคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล

ภาคผนวก

(1) ภาคผนวก ก แบบหนังสือรับรองฉบับภาษาไทย

(2) ภาคผนวก ข แบบหนังสือรับรองฉบับภาษาอังกฤษ

(3) ภาคผนวก ค แบบประกาศนียบัตรฉบับภาษาไทย

(4) ภาคผนวก ง แบบประกาศนียบัตรฉบับภาษาอังกฤษ

## เหตุผลและฐานอำนาจ

โดยที่เป็นการสมควรกำหนดระเบียบสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลว่าด้วยการตรวจสอบและรับรองนโยบายในการคุ้มครองข้อมูลส่วนบุคคลในเครือกิจการหรือเครือธุรกิจเดียวกัน พ.ศ. 2568 เพื่อใช้เป็นแนวทางในการปฏิบัติสำหรับสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลและหน่วยงานที่ประสงค์ยื่นคำขอให้ตรวจสอบและรับรองนโยบายในการคุ้มครองข้อมูลส่วนบุคคลในเครือกิจการหรือเครือธุรกิจเดียวกัน ให้สอดคล้องกับประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง หลักเกณฑ์การให้ความคุ้มครองข้อมูลส่วนบุคคลที่ส่งหรือโอนไปยังต่างประเทศตาม[มาตรา 28](https://link.pdpalawbase.com/section/28.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 พ.ศ. 2566

อาศัยอำนาจตามความใน[มาตรา 29](https://link.pdpalawbase.com/section/29.md) วรรคสอง [มาตรา 44](https://link.pdpalawbase.com/section/44.md) (3) และ[มาตรา 63](https://link.pdpalawbase.com/section/63.md) (2) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ประกอบข้อ 5 ข้อ 6 และ ข้อ 7 ของประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง หลักเกณฑ์การให้ความคุ้มครองข้อมูลส่วนบุคคลที่ส่งหรือโอนไปยังต่างประเทศตาม[มาตรา 29](https://link.pdpalawbase.com/section/29.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 พ.ศ. 2566 เลขาธิการคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลจึงวางระเบียบไว้ ดังต่อไปนี้

(ประกาศที่อ้างถึงใน preamble: ฉบับมาตรา 28 = [notification-7-1](https://link.pdpalawbase.com/notification/7-1.md) · ฉบับมาตรา 29 = [notification-7-2](https://link.pdpalawbase.com/notification/7-2.md))

## เอกสารต้นฉบับ

- [PDF ต้นฉบับ (local)](../../raw/notifications/notification-7.3.pdf)
- [ที่มา: pdpc.or.th](https://www.pdpc.or.th/17272/)

หมายเหตุการตรวจทานกับต้นฉบับ pdpc.or.th: (1) "ข้อที่ 9" (ไม่ใช่ "ข้อ 9") และหัวข้อ "ค่าธรรมเนียมหรือค่าบริการ" ที่ไม่มีเลขหมวดกำกับ เป็นไปตามต้นฉบับจริง — คงไว้ตามนั้น (2) ชื่อผู้ลงนามใช้ "สุรพงศ์ เปล่งขำ" ตาม PDF ต้นฉบับ (เอกสารพิมพ์ของทีมสะกด "สุรพงษ์" — แก้ให้ตรงต้นฉบับแล้ว) (3) วันที่มีผลใช้บังคับ = วันประกาศ (29 กันยายน 2568) ตามข้อ 2 — ระเบียบนี้ไม่ได้ลงราชกิจจานุเบกษา

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/notification/7-3.md

============================================================
โนด: ประกาศ 8
ลิงก์อ้างอิง: https://link.pdpalawbase.com/notification/8.md

# ประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง หลักเกณฑ์ในการลบหรือทำลาย หรือทำให้ข้อมูลส่วนบุคคลเป็นข้อมูลที่ไม่สามารถระบุตัวบุคคลที่เป็นเจ้าของข้อมูลส่วนบุคคลได้ พ.ศ. 2567

## ใจความสำคัญ

ประกาศฉบับนี้วางหลักเกณฑ์การปฏิบัติตามสิทธิขอให้ลบหรือทำลายข้อมูลส่วนบุคคลตาม [มาตรา 33](https://link.pdpalawbase.com/section/33.md) — กำหนดกรอบเวลา ขอบเขตที่ต้องครอบคลุมถึงข้อมูลสำเนาและข้อมูลสำรอง วิธีการทำให้ข้อมูลเป็นข้อมูลนิรนามที่ป้องกันการย้อนกลับมาระบุตัวบุคคลได้ และข้อจำกัดว่ากรณีใดต้องลบจริงเท่านั้น

- เมื่อเจ้าของข้อมูลใช้สิทธิตาม [มาตรา 33](https://link.pdpalawbase.com/section/33.md) และไม่เข้าข้อยกเว้นตามวรรคสอง ผู้ควบคุมข้อมูลต้องดำเนินการโดยไม่ชักช้า **ไม่เกิน 90 วันนับแต่ได้รับคำขอ** และต้องครอบคลุมถึงสำเนาและข้อมูลสำรอง (ถ้ามี) พร้อมทำให้แน่ใจว่าไม่มีผู้ใดกู้คืนหรือทำให้ข้อมูลย้อนกลับมาระบุตัวบุคคลได้ (ข้อ 3)
- หากลบให้เสร็จตามกำหนดไม่ได้ด้วยเหตุผลทางเทคนิค (เช่น รอการบันทึกทับข้อมูล) ต้องทำให้ข้อมูลอยู่ในรูปแบบที่เข้าถึงและใช้งานได้ยาก ด้วยมาตรการเชิงองค์กร เชิงเทคนิค และทางกายภาพที่เหมาะสม ตามหลักเกณฑ์ 5 ข้อ — ไม่มีเจตนาใช้ต่อ ใช้ตัดสินใจเกี่ยวกับเจ้าของข้อมูลไม่ได้ ป้องกันการเข้าถึง มีมาตรการความมั่นคงปลอดภัยตามระดับความเสี่ยง และต้องลบจริงทันทีที่ทำได้ (ข้อ 4)
- ข้อมูลที่ลบไม่ได้เพราะเหตุจำเป็นสำคัญ เช่น กระทบสิทธิหรือประโยชน์ของบุคคลอื่น ได้รับยกเว้นจากกรอบข้อ 3 แต่ต้องแจ้งและชี้แจงเหตุผลแก่เจ้าของข้อมูล (ข้อ 5)
- การทำข้อมูลนิรนามต้องทำ 2 ชั้น (ข้อ 6): ลบตัวระบุทางตรง 10 รายการ เช่น ชื่อ เลขประจำตัว รหัสบัญชี เบอร์โทรศัพท์ อีเมล ทะเบียนรถ ภาพใบหน้า ข้อมูลชีวภาพ แล้วต้องพิจารณาเพิ่มเติมเพื่อกันการระบุตัวซ้ำจากตัวระบุทางอ้อม เช่น วันเกิด ตำแหน่งงาน ที่อยู่ เลขที่อยู่ไอพี ให้โอกาสระบุตัวอยู่ในระดับต่ำเพียงพอ โดยอาจใช้การแฝงข้อมูลช่วย
- กรณีข้อมูลถูกเก็บรวบรวม ใช้ หรือเปิดเผยโดยไม่ชอบด้วยกฎหมายตาม [มาตรา 33](https://link.pdpalawbase.com/section/33.md) (4) **ต้องลบหรือทำลายเท่านั้น** จะใช้การทำข้อมูลนิรนามแทนไม่ได้ (ข้อ 7)
- ดำเนินการแล้วต้องแจ้งเจ้าของข้อมูล หากทำไม่ได้ต้องแจ้งพร้อมเหตุผล (ข้อ 8)
- นอกจากกรณีเจ้าของข้อมูลใช้สิทธิ ผู้ควบคุมข้อมูลยังมีหน้าที่จัดให้มีระบบการตรวจสอบเพื่อลบหรือทำลายข้อมูลตาม [มาตรา 37](https://link.pdpalawbase.com/section/37.md) (3) โดยใช้หลักเกณฑ์ชุดเดียวกันโดยอนุโลม (ข้อ 9)
- มีผลใช้บังคับวันที่ 11 พฤศจิกายน 2567 (พ้นกำหนด 90 วันนับแต่ประกาศในราชกิจจานุเบกษา 13 สิงหาคม 2567)

## ตัวบท

ข้อ 1 ประกาศนี้เรียกว่า "ประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง หลักเกณฑ์ในการลบหรือทำลาย หรือทำให้ข้อมูลส่วนบุคคลเป็นข้อมูลที่ไม่สามารถระบุตัวบุคคลที่เป็นเจ้าของข้อมูลส่วนบุคคลได้ พ.ศ. 2567"

ข้อ 2 ประกาศนี้ให้ใช้บังคับเมื่อพ้นกำหนดเก้าสิบวันนับแต่วันประกาศในราชกิจจานุเบกษาเป็นต้นไป

ข้อ 3 เมื่อเจ้าของข้อมูลส่วนบุคคลใช้สิทธิตาม [มาตรา 33](https://link.pdpalawbase.com/section/33.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ขอให้ผู้ควบคุมข้อมูลส่วนบุคคลดำเนินการลบหรือทำลาย หรือทำให้ข้อมูลส่วนบุคคลเป็นข้อมูลที่ไม่สามารถระบุตัวบุคคลที่เป็นเจ้าของข้อมูลส่วนบุคคลได้ และไม่ใช่กรณีที่ได้รับยกเว้นการใช้บังคับตาม [มาตรา 33](https://link.pdpalawbase.com/section/33.md) วรรคสอง ให้ผู้ควบคุมข้อมูลส่วนบุคคลดำเนินการตามที่เจ้าของข้อมูลส่วนบุคคลร้องขอโดยไม่ชักช้า แต่ต้องไม่เกินเก้าสิบวันนับแต่วันที่ได้รับคำขอ

การดำเนินการตามวรรคหนึ่ง จะต้องดำเนินการให้ครอบคลุมถึงข้อมูลส่วนบุคคลที่ทำสำเนาหรือสำรองไว้ด้วย (ถ้ามี) และจะต้องทำให้แน่ใจว่าไม่มีผู้ใดสามารถกระทำการด้วยวิธีการใด ๆ ที่อาจคาดหมายได้ตามสมควร เพื่อกู้คืนข้อมูลส่วนบุคคลหรือทำให้ข้อมูลนั้นย้อนกลับมาสามารถระบุตัวบุคคลที่เป็นเจ้าของข้อมูลส่วนบุคคลได้ไม่ว่าทางตรงหรือทางอ้อม

ในกรณีที่เจ้าของข้อมูลส่วนบุคคลใช้สิทธิขอให้ผู้ควบคุมข้อมูลส่วนบุคคลดำเนินการลบหรือทำลาย หรือทำให้ข้อมูลส่วนบุคคลเป็นข้อมูลที่ไม่สามารถระบุตัวบุคคลที่เป็นเจ้าของข้อมูลส่วนบุคคลได้ เพียงอย่างใดอย่างหนึ่ง ผู้ควบคุมข้อมูลส่วนบุคคลอาจดำเนินการลบหรือทำลาย หรือทำให้ข้อมูลส่วนบุคคลเป็นข้อมูลที่ไม่สามารถระบุตัวบุคคลที่เป็นเจ้าของข้อมูลส่วนบุคคลได้ ด้วยวิธีการอย่างอื่นตามประกาศนี้ ซึ่งอาจแตกต่างจากที่เจ้าของข้อมูลส่วนบุคคลร้องขอก็ได้ โดยผู้ควบคุมข้อมูลส่วนบุคคลมีหน้าที่แจ้งให้เจ้าของข้อมูลส่วนบุคคลที่ใช้สิทธิทราบด้วย เว้นแต่จะเป็นกรณีตามข้อ 7

ข้อ 4 ในการลบหรือทำลาย หรือทำให้ข้อมูลส่วนบุคคลเป็นข้อมูลที่ไม่สามารถระบุตัวบุคคลที่เป็นเจ้าของข้อมูลส่วนบุคคลได้ตามข้อ 3 หากไม่สามารถดำเนินการดังกล่าวได้ตามระยะเวลาที่กำหนดในข้อ 3 เช่น กรณีข้อมูลส่วนบุคคลที่อยู่ในรูปแบบอิเล็กทรอนิกส์ ยังคงถูกเก็บบันทึกไว้ชั่วคราวระหว่างที่รอให้ถูกบันทึกทับหรือแทนที่โดยข้อมูลอื่น (to be overwritten by other data) เนื่องจากเหตุผลทางเทคนิค ผู้ควบคุมข้อมูลส่วนบุคคลต้องทำให้ข้อมูลส่วนบุคคลนั้นอยู่ในรูปแบบที่การเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลดังกล่าวเป็นไปได้ยาก จนกว่าจะดำเนินการตามข้อ 3 แล้วเสร็จ โดยต้องจัดให้มีมาตรการเชิงองค์กร (organizational measures) และมาตรการเชิงเทคนิค (technical measures) ที่เหมาะสม ซึ่งอาจรวมถึงมาตรการทางกายภาพ (physical measures) ที่จำเป็นด้วย โดยคำนึงถึงปัจจัยทางเทคโนโลยี บริบท สภาพแวดล้อม มาตรฐานที่เป็นที่ยอมรับสำหรับหน่วยงานหรือกิจการในประเภทหรือลักษณะเดียวกันหรือใกล้เคียงกัน ลักษณะหรือประเภทของข้อมูลส่วนบุคคล ลักษณะ ประเภท หรือสถานะของเจ้าของข้อมูลส่วนบุคคล ทรัพยากรที่ต้องใช้ และความเป็นไปได้ในการดำเนินการประกอบกัน ทั้งนี้ เพื่อให้เป็นไปตามหลักเกณฑ์ ดังต่อไปนี้

(1) ผู้ควบคุมข้อมูลส่วนบุคคลและผู้ประมวลผลข้อมูลส่วนบุคคลที่เกี่ยวข้องไม่มีเจตนาที่จะเข้าถึง หรือนำข้อมูลส่วนบุคคลดังกล่าวมาใช้หรือเปิดเผยอีกต่อไป แม้จะยังมีข้อมูลดังกล่าวอยู่ก็ตาม

(2) ผู้ควบคุมข้อมูลส่วนบุคคลและผู้ประมวลผลข้อมูลส่วนบุคคลที่เกี่ยวข้องไม่สามารถนำข้อมูลส่วนบุคคลดังกล่าวมาใช้หรือเปิดเผย เพื่อให้บริการหรือมีผลต่อการตัดสินใจหรือดำเนินการใด ๆ เกี่ยวกับเจ้าของข้อมูลส่วนบุคคล หรือในลักษณะที่จะส่งผลกระทบต่อบุคคลในทางใดทางหนึ่งได้

(3) ผู้ควบคุมข้อมูลส่วนบุคคลและผู้ประมวลผลข้อมูลส่วนบุคคลที่เกี่ยวข้องต้องป้องกันมิให้ผู้ใดสามารถเข้าถึง ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลดังกล่าวได้

(4) ผู้ควบคุมข้อมูลส่วนบุคคลและผู้ประมวลผลข้อมูลส่วนบุคคลที่เกี่ยวข้องต้องจัดให้มีมาตรการรักษาความมั่นคงปลอดภัยของข้อมูลดังกล่าวอย่างเหมาะสมตามระดับความเสี่ยง

(5) ผู้ควบคุมข้อมูลส่วนบุคคลและผู้ประมวลผลข้อมูลส่วนบุคคลที่เกี่ยวข้องจะต้องทำการลบหรือทำลาย หรือทำให้ข้อมูลส่วนบุคคลเป็นข้อมูลที่ไม่สามารถระบุตัวบุคคลที่เป็นเจ้าของข้อมูลส่วนบุคคลได้ตามประกาศนี้ เมื่อสามารถกระทำได้โดยไม่ชักช้า

ข้อ 5 ความในข้อ 3 มิให้นำมาใช้บังคับกับข้อมูลส่วนบุคคลที่ไม่อาจลบหรือทำลาย หรือทำให้ข้อมูลส่วนบุคคลเป็นข้อมูลที่ไม่สามารถระบุตัวบุคคลที่เป็นเจ้าของข้อมูลส่วนบุคคลได้ เนื่องจากเหตุผลความจำเป็นที่สำคัญ เช่น กรณีที่การลบหรือทำลาย หรือทำให้ข้อมูลส่วนบุคคลเป็นข้อมูลที่ไม่สามารถระบุตัวบุคคลที่เป็นเจ้าของข้อมูลส่วนบุคคลได้นั้น อาจส่งผลกระทบในทางลบต่อสิทธิในข้อมูลส่วนบุคคลหรือประโยชน์ของบุคคลอื่น ทั้งนี้ ผู้ควบคุมข้อมูลส่วนบุคคลมีหน้าที่แจ้งให้เจ้าของข้อมูลส่วนบุคคลที่ใช้สิทธิทราบพร้อมชี้แจงหรือแสดงให้เห็นถึงเหตุผลความจำเป็นที่สำคัญดังกล่าวแก่เจ้าของข้อมูลส่วนบุคคลด้วย

ข้อ 6 ในการทำให้ข้อมูลส่วนบุคคลเป็นข้อมูลที่ไม่สามารถระบุตัวบุคคลที่เป็นเจ้าของข้อมูลส่วนบุคคลได้ หรือการทำให้เป็นข้อมูลนิรนาม (anonymization) ผู้ควบคุมข้อมูลส่วนบุคคลจะต้องดำเนินการให้เป็นไปตามหลักเกณฑ์ ดังต่อไปนี้

(1) จะต้องมีกระบวนการลบหรือทำให้ปราศจากข้อมูลใด ๆ ที่เป็นตัวระบุทางตรง (direct identifiers) ของเจ้าของข้อมูลส่วนบุคคลในข้อมูลส่วนบุคคลดังกล่าว (de-identification) ซึ่งรวมถึงข้อมูลดังต่อไปนี้

(ก) ชื่อตัว ชื่อรอง หรือชื่อสกุลของบุคคล

(ข) เลขประจำตัวประชาชน เลขที่หนังสือเดินทาง เลขประจำตัวผู้เสียภาษีของบุคคล เลขที่บัตรประกันสังคม ตลอดจนเลขที่ หมายเลข หรือรหัสของบัตรประจำตัวอื่นใดของบุคคล

(ค) เลขที่ หมายเลข หรือรหัสสมาชิก ลูกค้า ผู้รับบริการ หรือบุคลากร ตลอดจนเลขที่ หมายเลข หรือรหัสของบัญชี สัญญา หรือสิ่งอื่นใดที่เป็นของเฉพาะตัวของบุคคล

(ง) หมายเลขโทรศัพท์ หมายเลขโทรสาร หรือหมายเลขติดต่อเฉพาะตัวของบุคคล

(จ) ที่อยู่ไปรษณีย์อิเล็กทรอนิกส์ (e-mail address) เฉพาะตัวของบุคคล

(ฉ) หมายเลขทะเบียนรถของบุคคล

(ช) ภาพใบหน้าของบุคคลที่ทำให้สามารถระบุตัวบุคคลได้

(ซ) ข้อมูลชีวภาพ (biometric data) ของบุคคลที่ทำให้สามารถระบุตัวบุคคลได้

(ฌ) ชื่อหรือรหัสบัญชีผู้ใช้งานในระบบสารสนเทศ แอปพลิเคชัน หรือบริการต่าง ๆ ที่เป็นของเฉพาะตัวของบุคคล

(ญ) ข้อมูลอื่นใดที่เป็นสิ่งเฉพาะตัวของบุคคลที่ทำให้สามารถระบุตัวบุคคลได้โดยตรง

(2) หลังจากการดำเนินการตาม (1) จะต้องมีกระบวนการพิจารณาดำเนินการเพิ่มเติม เพื่อให้แน่ใจว่าข้อมูลดังกล่าวเป็นข้อมูลที่ไม่สามารถระบุตัวบุคคลที่เป็นเจ้าของข้อมูลส่วนบุคคลได้ทางอ้อม โดยมีโอกาสในการระบุตัวบุคคลที่เป็นเจ้าของข้อมูลส่วนบุคคลได้ในระดับที่ต่ำเพียงพอ ทั้งนี้ เพื่อป้องกันการทำให้ข้อมูลนั้นย้อนกลับมาสามารถระบุตัวบุคคลที่เป็นเจ้าของข้อมูลส่วนบุคคลได้ (re-identification) โดยอาจพิจารณาทำการแฝงข้อมูล (pseudonymization) หรือดำเนินการอย่างหนึ่งอย่างใดต่อข้อมูลทั้งหมดหรือบางส่วน เพื่อลดโอกาสในการระบุตัวบุคคลที่เป็นเจ้าของข้อมูลส่วนบุคคลจากข้อมูลที่เป็นตัวระบุทางอ้อม (indirect identifiers) เช่น วันเดือนปีเกิด อายุ ตำแหน่งงาน สังกัด วันเดือนปีที่เข้ารับบริการ ที่อยู่สำหรับพักอาศัยหรือสถานที่ทำงาน เลขที่อยู่ไอพี (Internet Protocol address หรือ IP address) หรือข้อมูลอื่นใดที่มีลักษณะคล้ายกัน ให้อยู่ในระดับที่ต่ำเพียงพอ

ในการดำเนินการตาม (2) ให้ผู้ควบคุมข้อมูลส่วนบุคคลพิจารณาดำเนินการโดยคำนึงถึงปัจจัยทางเทคโนโลยี บริบท สภาพแวดล้อม มาตรฐานที่เป็นที่ยอมรับสำหรับหน่วยงานหรือกิจการในประเภทหรือลักษณะเดียวกันหรือใกล้เคียงกัน ลักษณะหรือประเภทของข้อมูลส่วนบุคคล ลักษณะ ประเภท หรือสถานะของเจ้าของข้อมูลส่วนบุคคล ทรัพยากรที่ต้องใช้ และความเป็นไปได้ในการดำเนินการ ตลอดจนความเสี่ยง แรงจูงใจ และความสามารถของบุคคลที่อาจประสงค์จะทำให้ข้อมูลนั้นย้อนกลับมาสามารถระบุตัวบุคคลที่เป็นเจ้าของข้อมูลส่วนบุคคลได้ (re-identification) ประกอบกัน

ข้อ 7 ในกรณีที่เจ้าของข้อมูลส่วนบุคคลใช้สิทธิขอให้ผู้ควบคุมข้อมูลส่วนบุคคลดำเนินการลบหรือทำลาย หรือทำให้ข้อมูลส่วนบุคคลเป็นข้อมูลที่ไม่สามารถระบุตัวบุคคลที่เป็นเจ้าของข้อมูลส่วนบุคคลได้ เนื่องจากเป็นกรณีที่ข้อมูลส่วนบุคคลได้ถูกเก็บรวบรวม ใช้ หรือเปิดเผยโดยไม่ชอบด้วยกฎหมายตาม [มาตรา 33](https://link.pdpalawbase.com/section/33.md) (4) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 และไม่ใช่กรณีที่ได้รับยกเว้นการใช้บังคับตาม [มาตรา 33](https://link.pdpalawbase.com/section/33.md) วรรคสอง หรือกรณีอื่นที่ผู้ควบคุมข้อมูลส่วนบุคคลอาจปฏิเสธคำขอได้ตามกฎหมาย ผู้ควบคุมข้อมูลส่วนบุคคลจะต้องดำเนินการลบหรือทำลายข้อมูลส่วนบุคคลเท่านั้น โดยไม่อาจดำเนินการทำให้ข้อมูลส่วนบุคคลเป็นข้อมูลที่ไม่สามารถระบุตัวบุคคลที่เป็นเจ้าของข้อมูลส่วนบุคคลได้ตามข้อ 6 แทนได้

ข้อ 8 เมื่อผู้ควบคุมข้อมูลส่วนบุคคลดำเนินการลบหรือทำลาย หรือทำให้ข้อมูลส่วนบุคคลเป็นข้อมูลที่ไม่สามารถระบุตัวบุคคลที่เป็นเจ้าของข้อมูลส่วนบุคคลได้ ตามคำขอใช้สิทธิของเจ้าของข้อมูลส่วนบุคคลแล้ว ให้ผู้ควบคุมข้อมูลส่วนบุคคลแจ้งให้เจ้าของข้อมูลส่วนบุคคลที่ใช้สิทธิทราบ

ในกรณีที่การดำเนินการตามวรรคหนึ่ง เป็นการทำให้ข้อมูลส่วนบุคคลเป็นข้อมูลที่ไม่สามารถระบุตัวบุคคลที่เป็นเจ้าของข้อมูลส่วนบุคคลได้ตามข้อ 6 ให้ผู้ควบคุมข้อมูลส่วนบุคคลแจ้งรายละเอียดในการดำเนินการดังกล่าวให้เจ้าของข้อมูลส่วนบุคคลทราบตามสมควร เว้นแต่เจ้าของข้อมูลส่วนบุคคลได้ทราบถึงรายละเอียดนั้นอยู่แล้ว

ในกรณีที่ผู้ควบคุมข้อมูลส่วนบุคคลไม่อาจดำเนินการตามคำขอใช้สิทธิตามวรรคหนึ่งได้ ให้ผู้ควบคุมข้อมูลส่วนบุคคลแจ้งให้เจ้าของข้อมูลส่วนบุคคลที่ใช้สิทธิทราบพร้อมเหตุผล

ข้อ 9 นอกจากการดำเนินการตามที่เจ้าของข้อมูลส่วนบุคคลใช้สิทธิตาม [มาตรา 33](https://link.pdpalawbase.com/section/33.md) วรรคหนึ่ง แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ผู้ควบคุมข้อมูลส่วนบุคคลมีหน้าที่จัดให้มีระบบการตรวจสอบเพื่อดำเนินการลบหรือทำลายข้อมูลส่วนบุคคลตาม [มาตรา 37](https://link.pdpalawbase.com/section/37.md) (3) ด้วย โดยให้นำข้อ 3 วรรคสองและวรรคสาม ข้อ 4 ข้อ 5 และข้อ 6 ของประกาศนี้มาใช้บังคับโดยอนุโลม

ข้อ 10 ให้ประธานกรรมการคุ้มครองข้อมูลส่วนบุคคลเป็นผู้รักษาการตามประกาศนี้

ประกาศ ณ วันที่ 31 กรกฎาคม พ.ศ. 2567

เธียรชัย ณ นคร

ประธานกรรมการคุ้มครองข้อมูลส่วนบุคคล

## เหตุผลและฐานอำนาจ

โดยที่ [มาตรา 33](https://link.pdpalawbase.com/section/33.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 กำหนดให้เจ้าของข้อมูลส่วนบุคคลมีสิทธิขอให้ผู้ควบคุมข้อมูลส่วนบุคคลดำเนินการลบหรือทำลาย หรือทำให้ข้อมูลส่วนบุคคลเป็นข้อมูลที่ไม่สามารถระบุตัวบุคคลที่เป็นเจ้าของข้อมูลส่วนบุคคลได้ ซึ่งคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลอาจกำหนดหลักเกณฑ์ในการดำเนินการดังกล่าวก็ได้ เพื่อให้เกิดความชัดเจนในการดำเนินการของผู้ควบคุมข้อมูลส่วนบุคคล

อาศัยอำนาจตามความใน [มาตรา 16](https://link.pdpalawbase.com/section/16.md) (4) ประกอบ [มาตรา 33](https://link.pdpalawbase.com/section/33.md) วรรคห้า แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 คณะกรรมการคุ้มครองข้อมูลส่วนบุคคล จึงออกประกาศไว้ ดังต่อไปนี้

## เอกสารต้นฉบับ

- [PDF ต้นฉบับ (local)](../../raw/notifications/notification-8.pdf)
- [ที่มา: pdpc.or.th](https://www.pdpc.or.th/7020/)

ประกาศในราชกิจจานุเบกษา เล่ม 141 ตอนพิเศษ 217 ง วันที่ 13 สิงหาคม 2567 · วันมีผลใช้บังคับ (11 พฤศจิกายน 2567) คำนวณจาก "พ้นกำหนดเก้าสิบวันนับแต่วันประกาศในราชกิจจานุเบกษา" โดยนับวันประกาศเป็นวันแรก · ตัวบทถอดจาก PDF ที่ฟอนต์ฝังทำให้อักขระเพี้ยน โดยใช้ตารางแทนค่าอักขระรายไฟล์ — ดู `notes/notifications.6_extracted/`

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/notification/8.md

============================================================
โนด: ประกาศ 9.1
ลิงก์อ้างอิง: https://link.pdpalawbase.com/notification/9-1.md

# ประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง มาตรการที่เหมาะสมสำหรับการเก็บรวบรวมข้อมูลส่วนบุคคลเพื่อให้บรรลุวัตถุประสงค์ที่เกี่ยวกับการศึกษาวิจัยหรือสถิติตามมาตรา 24 (1) และการศึกษาวิจัยทางวิทยาศาสตร์ ประวัติศาสตร์ หรือสถิติ หรือประโยชน์สาธารณะอื่นตามมาตรา 26 (5) (ง) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 พ.ศ. 2566

## ใจความสำคัญ

ประกาศของคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล กำหนดมาตรการที่ผู้ควบคุมข้อมูลส่วนบุคคลต้องจัดให้มี เมื่ออาศัยข้อยกเว้นความยินยอมเพื่อการศึกษาวิจัยหรือสถิติ — เป็นกฎหมายลำดับรองที่เติมเต็มเงื่อนไขท้ายของ [มาตรา 24](https://link.pdpalawbase.com/section/24.md) (1) (ข้อมูลส่วนบุคคลทั่วไป — ต้องมี "มาตรการปกป้องที่เหมาะสม") และ [มาตรา 26](https://link.pdpalawbase.com/section/26.md) (5) (ง) (ข้อมูลอ่อนไหว — ต้องมี "มาตรการที่เหมาะสม" เพื่อคุ้มครองสิทธิขั้นพื้นฐาน) ซึ่งทั้งสองมาตราให้คณะกรรมการประกาศกำหนด

- ฐาน [มาตรา 24](https://link.pdpalawbase.com/section/24.md) (1) — เก็บรวบรวมข้อมูลส่วนบุคคลเพื่อการศึกษาวิจัยหรือสถิติโดยไม่ขอความยินยอม: ต้องมีมาตรการตามข้อ 4 (มาตรการเชิงองค์กร/เชิงเทคนิค/ทางกายภาพ เท่าที่จำเป็น + ความมั่นคงปลอดภัยตามมาตรฐานขั้นต่ำ + กำกับดูแลตามมาตรฐานจริยธรรม)
- ฐาน [มาตรา 26](https://link.pdpalawbase.com/section/26.md) (5) (ง) — เก็บรวบรวมข้อมูลอ่อนไหวที่จำเป็นในการปฏิบัติตามกฎหมายเพื่อการศึกษาวิจัยทางวิทยาศาสตร์ ประวัติศาสตร์ สถิติ หรือประโยชน์สาธารณะอื่น โดยไม่ได้รับความยินยอมโดยชัดแจ้ง: มาตรการตามข้อ 5 เข้มกว่า — ต้องพิจารณาเหตุผลความจำเป็น (ข้อ 5 (1)) และต้องมี**คณะกรรมการจริยธรรมการศึกษาวิจัยในคน**ที่ไม่มีผู้มีส่วนได้เสีย อนุมัติ/รับรองก่อนเริ่มและกำกับการวิจัย โดยอ้างอิงมาตรฐานสากล Belmont Report · ICH GCP · CIOMS/WHO (ข้อ 5 (4))
- ข้อ 6 มาตรการร่วมทั้งสองฐาน: (1) ต้องขอความยินยอมในการเข้าร่วมการศึกษาวิจัย (informed consent for research participation) จากผู้เข้าร่วม เว้นแต่ 3 กรณียกเว้น (เก็บจากแหล่งอื่นและทำตาม [มาตรา 25](https://link.pdpalawbase.com/section/25.md)/[มาตรา 27](https://link.pdpalawbase.com/section/27.md) แล้ว · การขอความยินยอมทำให้วิจัยไม่ได้/เสี่ยงเกินสมควรและความเสี่ยงไม่เกินขั้นต่ำ · ได้ waiver ตามมาตรฐานจริยธรรม) (2) เก็บจากเจ้าของข้อมูลโดยตรงต้องแจ้งรายละเอียดการวิจัยพร้อมข้อมูลตาม [มาตรา 23](https://link.pdpalawbase.com/section/23.md) ห้ามปกปิด/หลอกลวง (3) จำกัดสิทธิเข้าถึง/ขอสำเนาได้ชั่วคราวกรณี allocation concealment / blinding ใน clinical trials แต่ต้องแจ้งข้อจำกัดล่วงหน้า
- มาตรฐานขั้นต่ำด้านความมั่นคงปลอดภัยที่อ้างใน ข้อ 4 (2) และ ข้อ 5 (3) คือมาตรฐานตาม [มาตรา 37](https://link.pdpalawbase.com/section/37.md) (1) — ดู [ประกาศ เรื่อง มาตรการรักษาความมั่นคงปลอดภัยของผู้ควบคุมข้อมูลส่วนบุคคล พ.ศ. 2565](https://link.pdpalawbase.com/notification/1-1.md)
- ฉบับคู่กันของหมวดวิจัย/จดหมายเหตุ: [ประกาศ เรื่อง มาตรการปกป้องที่เหมาะสมสำหรับการจัดทำเอกสารประวัติศาสตร์หรือจดหมายเหตุเพื่อประโยชน์สาธารณะ พ.ศ. 2566](https://link.pdpalawbase.com/notification/9-2.md)
- ใช้บังคับเมื่อพ้นกำหนด 90 วันนับแต่วันประกาศในราชกิจจานุเบกษา (8 มกราคม 2567) = ตั้งแต่ 7 เมษายน 2567

## ตัวบท

ประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง มาตรการที่เหมาะสมสำหรับการเก็บรวบรวมข้อมูลส่วนบุคคลเพื่อให้บรรลุวัตถุประสงค์ที่เกี่ยวกับการศึกษาวิจัยหรือสถิติตาม[มาตรา 24](https://link.pdpalawbase.com/section/24.md) (1) และการศึกษาวิจัยทางวิทยาศาสตร์ ประวัติศาสตร์ หรือสถิติ หรือประโยชน์สาธารณะอื่นตาม[มาตรา 26](https://link.pdpalawbase.com/section/26.md) (5) (ง) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 พ.ศ. 2566

โดยที่[มาตรา 24](https://link.pdpalawbase.com/section/24.md) (1) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 บัญญัติให้การเก็บรวบรวมข้อมูลส่วนบุคคลโดยไม่ได้รับความยินยอมจากเจ้าของข้อมูลส่วนบุคคล อาจกระทำได้หากเป็นการเก็บรวบรวมข้อมูลส่วนบุคคลเพื่อให้บรรลุวัตถุประสงค์ที่เกี่ยวกับการศึกษาวิจัยหรือสถิติ ซึ่งได้จัดให้มีมาตรการปกป้องที่เหมาะสมเพื่อคุ้มครองสิทธิและเสรีภาพของเจ้าของข้อมูลส่วนบุคคลตามที่คณะกรรมการคุ้มครองข้อมูลส่วนบุคคลประกาศกำหนด และ[มาตรา 26](https://link.pdpalawbase.com/section/26.md) (5) (ง) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 บัญญัติให้การเก็บรวบรวมข้อมูลส่วนบุคคลเกี่ยวกับเชื้อชาติ เผ่าพันธุ์ ความคิดเห็นทางการเมือง ความเชื่อในลัทธิ ศาสนาหรือปรัชญา พฤติกรรมทางเพศ ประวัติอาชญากรรม ข้อมูลสุขภาพ ความพิการ ข้อมูลสหภาพแรงงาน ข้อมูลพันธุกรรม ข้อมูลชีวภาพ หรือข้อมูลอื่นใดซึ่งกระทบต่อเจ้าของข้อมูลส่วนบุคคลในทำนองเดียวกันตามที่คณะกรรมการคุ้มครองข้อมูลส่วนบุคคลประกาศกำหนด โดยไม่ได้รับความยินยอมโดยชัดแจ้งจากเจ้าของข้อมูลส่วนบุคคล อาจกระทำได้หากเป็นการเก็บรวบรวมข้อมูลส่วนบุคคลที่เป็นการจำเป็นในการปฏิบัติตามกฎหมายเพื่อให้บรรลุวัตถุประสงค์เกี่ยวกับการศึกษาวิจัยทางวิทยาศาสตร์ ประวัติศาสตร์ หรือสถิติ หรือประโยชน์สาธารณะอื่น ทั้งนี้ ต้องกระทำเพื่อให้บรรลุวัตถุประสงค์ดังกล่าวเพียงเท่าที่จำเป็นเท่านั้น และได้จัดให้มีมาตรการที่เหมาะสมเพื่อคุ้มครองสิทธิขั้นพื้นฐานและประโยชน์ของเจ้าของข้อมูลส่วนบุคคล ตามที่คณะกรรมการคุ้มครองข้อมูลส่วนบุคคลประกาศกำหนด

อาศัยอำนาจตามความใน[มาตรา 16](https://link.pdpalawbase.com/section/16.md) (4) ประกอบ[มาตรา 24](https://link.pdpalawbase.com/section/24.md) (1) และ[มาตรา 26](https://link.pdpalawbase.com/section/26.md) (5) (ง) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 คณะกรรมการคุ้มครองข้อมูลส่วนบุคคล จึงออกประกาศไว้ ดังต่อไปนี้

ข้อ 1 ประกาศนี้เรียกว่า "ประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง มาตรการที่เหมาะสมสำหรับการเก็บรวบรวมข้อมูลส่วนบุคคลเพื่อให้บรรลุวัตถุประสงค์ที่เกี่ยวกับการศึกษาวิจัยหรือสถิติตาม[มาตรา 24](https://link.pdpalawbase.com/section/24.md) (1) และการศึกษาวิจัยทางวิทยาศาสตร์ ประวัติศาสตร์ หรือสถิติ หรือประโยชน์สาธารณะอื่นตาม[มาตรา 26](https://link.pdpalawbase.com/section/26.md) (5) (ง) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 พ.ศ. 2566"

ข้อ 2 ประกาศนี้ให้ใช้บังคับเมื่อพ้นกำหนดเก้าสิบวันนับแต่วันประกาศในราชกิจจานุเบกษาเป็นต้นไป

ข้อ 3 ในประกาศนี้

"การศึกษาวิจัย" หมายความว่า การดำเนินการเกี่ยวกับการศึกษาค้นคว้า การวิเคราะห์ การทดลอง การทดสอบ หรือการประเมินผลอย่างเป็นระบบ เพื่อให้ได้มาซึ่งความรู้ใหม่หรือหลักการทางวิชาการในสาขาวิชาที่เกี่ยวข้อง รวมถึงการเผยแพร่ความรู้หรือหลักการทางวิชาการนั้น ทั้งที่เป็นการดำเนินการในระดับพื้นฐาน (fundamental or basic) และระดับประยุกต์ (applied) และรวมถึงการพัฒนาเทคโนโลยีและนวัตกรรมจากความรู้หรือหลักการทางวิชาการดังกล่าวด้วย

"สถิติ" หมายความว่า การดำเนินการเกี่ยวกับการเก็บรวบรวม การสำรวจ การประมวลผล การวิเคราะห์ และการสรุปผลจากข้อมูล ตลอดจนการแสดงผลหรือเผยแพร่ผลจากการดำเนินการดังกล่าว ทั้งนี้ เพื่อการเปรียบเทียบหรืออ้างอิงในภาพรวม โดยไม่ได้มุ่งหมายที่จะนำข้อมูลหรือผลจากการดำเนินการดังกล่าวมามีผลต่อการตัดสินใจหรือดำเนินการใดเกี่ยวกับเจ้าของข้อมูลส่วนบุคคลผู้ใดผู้หนึ่ง และให้หมายความรวมถึงการดำเนินงานทางสถิติและการสำรวจตามกฎหมายว่าด้วยสถิติด้วย

"ความเสี่ยงขั้นต่ำ" หมายความว่า ความเสี่ยงที่อาจจะเกิดอันตรายต่อผู้เข้าร่วมการศึกษาวิจัยในระดับต่ำ (minimal risk) ซึ่งอาจเทียบได้กับความเสี่ยงที่จะเกิดอันตรายที่อาจเกิดขึ้นได้โดยทั่วไปในชีวิตประจำวันต่อผู้ที่มีสุขภาพดีในสภาพแวดล้อมปกติทั่วไป หรือในการตรวจหรือการทดสอบสุขภาพทางกายภาพหรือทางจิตใจโดยทั่วไป (routine physical or psychological examinations or tests)

ข้อ 4 ในการเก็บรวบรวมข้อมูลส่วนบุคคลโดยไม่ได้รับความยินยอมจากเจ้าของข้อมูลส่วนบุคคล เพื่อให้บรรลุวัตถุประสงค์ที่เกี่ยวกับการศึกษาวิจัยหรือสถิติ ตาม[มาตรา 24](https://link.pdpalawbase.com/section/24.md) (1) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ผู้ควบคุมข้อมูลส่วนบุคคลจะต้องจัดให้มีมาตรการปกป้องที่เหมาะสมเพื่อคุ้มครองสิทธิและเสรีภาพของเจ้าของข้อมูลส่วนบุคคล ดังต่อไปนี้

(1) ผู้ควบคุมข้อมูลส่วนบุคคลจะต้องจัดให้มีมาตรการเชิงองค์กร (organizational measures) และมาตรการเชิงเทคนิค (technical measures) ที่เหมาะสม ซึ่งอาจรวมถึงมาตรการทางกายภาพ (physical measures) ที่จำเป็นด้วย เพื่อควบคุมให้การเก็บรวบรวมข้อมูลส่วนบุคคลดังกล่าว เป็นไปเท่าที่จำเป็นภายใต้วัตถุประสงค์ที่เกี่ยวกับการศึกษาวิจัยหรือสถิติ โดยคำนึงถึงหลักการทางวิชาการที่เกี่ยวข้องประกอบด้วย

(2) ผู้ควบคุมข้อมูลส่วนบุคคลจะต้องจัดให้มีมาตรการรักษาความมั่นคงปลอดภัยให้เหมาะสมกับความเสี่ยงที่มีต่อสิทธิและเสรีภาพของบุคคล ซึ่งจะต้องเป็นไปตามมาตรฐานขั้นต่ำที่คณะกรรมการคุ้มครองข้อมูลส่วนบุคคลประกาศกำหนดตาม[มาตรา 37](https://link.pdpalawbase.com/section/37.md) (1) และครอบคลุมถึงการดำเนินการในขั้นตอนต่าง ๆ ของผู้ดำเนินการในการศึกษาวิจัยหรือสถิติที่เกี่ยวข้องทั้งหมด

(3) ผู้ควบคุมข้อมูลส่วนบุคคลจะต้องจัดให้มีมาตรการที่เหมาะสม เพื่อควบคุมและกำกับดูแลให้การเก็บรวบรวมข้อมูลส่วนบุคคลเพื่อให้บรรลุวัตถุประสงค์ที่เกี่ยวกับการศึกษาวิจัยหรือสถิติดังกล่าว เป็นไปตามมาตรฐานทางจริยธรรมที่เกี่ยวข้อง โดยไม่ขัดต่อกฎหมาย โดยคำนึงถึงระดับความเสี่ยง และกฎหมายและมาตรฐานทางจริยธรรมที่เกี่ยวข้องสำหรับการศึกษาวิจัยหรือสถิติในประเภทหรือลักษณะเดียวกันหรือใกล้เคียงกัน

ในการดำเนินการตาม (1) และ (2) ผู้ควบคุมข้อมูลส่วนบุคคลอาจพิจารณาดำเนินการทำให้ข้อมูลส่วนบุคคลเป็นข้อมูลที่ไม่สามารถระบุตัวบุคคลที่เป็นเจ้าของข้อมูลส่วนบุคคลได้ หรือทำการแฝงข้อมูล (pseudonymization) เพื่อลดความเสี่ยงในการระบุตัวบุคคลที่เป็นเจ้าของข้อมูลส่วนบุคคล หรือทำการเข้ารหัสข้อมูล (encryption) หรือใช้มาตรการอื่นในลักษณะเดียวกัน อย่างเหมาะสมตามระดับความเสี่ยงได้ โดยคำนึงถึงปัจจัยทางเทคโนโลยี บริบท สภาพแวดล้อม มาตรฐานที่เป็นที่ยอมรับสำหรับหน่วยงานหรือกิจการในประเภทหรือลักษณะเดียวกันหรือใกล้เคียงกัน ลักษณะและวัตถุประสงค์ของการเก็บรวบรวม ใช้ และเปิดเผยข้อมูลส่วนบุคคล ทรัพยากรที่ต้องใช้ และความเป็นไปได้ในการดำเนินการประกอบกัน หากสามารถทำให้บรรลุวัตถุประสงค์ที่เกี่ยวกับการศึกษาวิจัยหรือสถิติได้

ข้อ 5 ในการเก็บรวบรวมข้อมูลส่วนบุคคลเกี่ยวกับเชื้อชาติ เผ่าพันธุ์ ความคิดเห็นทางการเมือง ความเชื่อในลัทธิ ศาสนาหรือปรัชญา พฤติกรรมทางเพศ ประวัติอาชญากรรม ข้อมูลสุขภาพ ความพิการ ข้อมูลสหภาพแรงงาน ข้อมูลพันธุกรรม ข้อมูลชีวภาพ หรือข้อมูลอื่นใดซึ่งกระทบต่อเจ้าของข้อมูลส่วนบุคคลในทำนองเดียวกันตามที่คณะกรรมการคุ้มครองข้อมูลส่วนบุคคลประกาศกำหนด โดยไม่ได้รับความยินยอมโดยชัดแจ้งจากเจ้าของข้อมูลส่วนบุคคล ที่เป็นการจำเป็นในการปฏิบัติตามกฎหมายเพื่อให้บรรลุวัตถุประสงค์เกี่ยวกับการศึกษาวิจัยทางวิทยาศาสตร์ ประวัติศาสตร์ หรือสถิติ หรือประโยชน์สาธารณะอื่น ตาม[มาตรา 26](https://link.pdpalawbase.com/section/26.md) (5) (ง) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ผู้ควบคุมข้อมูลส่วนบุคคลจะต้องจัดให้มีมาตรการที่เหมาะสมเพื่อคุ้มครองสิทธิขั้นพื้นฐานและประโยชน์ของเจ้าของข้อมูลส่วนบุคคล ดังต่อไปนี้

(1) ผู้ควบคุมข้อมูลส่วนบุคคลจะต้องพิจารณาเหตุผลความจำเป็นแล้วเห็นว่า การเก็บรวบรวมข้อมูลส่วนบุคคลเพื่อให้บรรลุวัตถุประสงค์เกี่ยวกับการศึกษาวิจัยทางวิทยาศาสตร์ ประวัติศาสตร์ หรือสถิติ หรือประโยชน์สาธารณะอื่นดังกล่าว เป็นกรณีที่มีความจำเป็น โดยอาจเป็นความจำเป็นตามที่กฎหมายบัญญัติ ความจำเป็นเพื่อการปฏิบัติหน้าที่ในการดำเนินภารกิจเพื่อประโยชน์สาธารณะของผู้ควบคุมข้อมูลส่วนบุคคล หรือปฏิบัติหน้าที่ในการใช้อำนาจรัฐที่ได้มอบให้แก่ผู้ควบคุมข้อมูลส่วนบุคคล ความจำเป็นตามวัตถุประสงค์ ภารกิจ หรือบทบาทหน้าที่ของผู้ควบคุมข้อมูลส่วนบุคคล ความจำเป็นเพื่อประโยชน์ในการได้มาซึ่งความรู้ใหม่หรือหลักการทางวิชาการในสาขาวิชาที่เกี่ยวข้อง รวมถึงการเผยแพร่ความรู้หรือหลักการทางวิชาการนั้น ความจำเป็นในการพัฒนาเทคโนโลยีและนวัตกรรมจากความรู้หรือหลักการทางวิชาการดังกล่าว หรือความจำเป็นในการดำเนินงานทางสถิติเพื่อประโยชน์อย่างใดอย่างหนึ่งก็ได้

(2) ผู้ควบคุมข้อมูลส่วนบุคคลจะต้องจัดให้มีมาตรการเชิงองค์กร (organizational measures) และมาตรการเชิงเทคนิค (technical measures) ที่เหมาะสม ซึ่งอาจรวมถึงมาตรการทางกายภาพ (physical measures) ที่จำเป็นด้วย เพื่อควบคุมให้การเก็บรวบรวมข้อมูลส่วนบุคคลดังกล่าว เป็นไปเท่าที่จำเป็นภายใต้วัตถุประสงค์ที่เกี่ยวกับการศึกษาวิจัยทางวิทยาศาสตร์ ประวัติศาสตร์ หรือสถิติ หรือประโยชน์สาธารณะอื่น โดยคำนึงถึงหลักการทางวิชาการที่เกี่ยวข้องประกอบด้วย

(3) ผู้ควบคุมข้อมูลส่วนบุคคลจะต้องจัดให้มีมาตรการรักษาความมั่นคงปลอดภัยให้เหมาะสมกับความเสี่ยงที่มีต่อสิทธิและเสรีภาพของบุคคล ซึ่งจะต้องเป็นไปตามมาตรฐานขั้นต่ำที่คณะกรรมการคุ้มครองข้อมูลส่วนบุคคลประกาศกำหนดตาม[มาตรา 37](https://link.pdpalawbase.com/section/37.md) (1) และครอบคลุมถึงการดำเนินการในขั้นตอนต่าง ๆ ของผู้ดำเนินการในการศึกษาวิจัยทางวิทยาศาสตร์ ประวัติศาสตร์ หรือสถิติ หรือประโยชน์สาธารณะอื่นที่เกี่ยวข้องทั้งหมด

(4) ผู้ควบคุมข้อมูลส่วนบุคคลจะต้องจัดให้มีมาตรการที่เหมาะสม เพื่อควบคุมและกำกับดูแลให้การเก็บรวบรวมข้อมูลส่วนบุคคลเพื่อให้บรรลุวัตถุประสงค์ที่เกี่ยวกับการศึกษาวิจัยทางวิทยาศาสตร์ ประวัติศาสตร์ หรือสถิติ เป็นไปตามมาตรฐานทางจริยธรรมที่เกี่ยวข้องและเป็นที่ยอมรับ โดยไม่ขัดต่อกฎหมาย โดยคำนึงถึงระดับความเสี่ยง และกฎหมายและมาตรฐานทางจริยธรรมที่เกี่ยวข้องสำหรับการศึกษาวิจัยทางวิทยาศาสตร์ ประวัติศาสตร์ หรือสถิติ ในประเภทหรือลักษณะเดียวกันหรือใกล้เคียงกัน โดยมีคณะกรรมการจริยธรรมการศึกษาวิจัยในคนหรือคณะบุคคลในลักษณะเดียวกัน ซึ่งอาจเป็นคณะกรรมการหรือคณะบุคคลภายในสังกัดของผู้ควบคุมข้อมูลส่วนบุคคลหรือภายนอกก็ได้ แต่ต้องไม่มีผู้ดำเนินการในการศึกษาวิจัยที่จะมีส่วนได้เสียในการศึกษาวิจัยเรื่องนั้นอยู่ด้วย เป็นผู้พิจารณาอนุมัติหรือรับรองก่อนเริ่มการศึกษาวิจัยนั้น และควบคุมและกำกับดูแลการศึกษาวิจัยนั้นให้เป็นไปตามมาตรฐานทางจริยธรรมที่เกี่ยวข้อง ทั้งนี้ มาตรฐานทางจริยธรรมที่เกี่ยวข้องและเป็นที่ยอมรับดังกล่าว ให้หมายความรวมถึงเนื้อหาตามเอกสาร ดังต่อไปนี้

(ก) The Belmont Report: Ethical Principles and Guidelines for the Protection of Human Subjects of Research, Report of the National Commission for the Protection of Human Subjects of Biomedical and Behavioral Research โดย Department of Health, Education, and Welfare ประเทศสหรัฐอเมริกา เมื่อวันที่ 18 เมษายน ค.ศ. 1979 (พ.ศ. 2522)

(ข) Good Clinical Practice (GCP) โดย The International Council for Harmonisation of Technical Requirements for Pharmaceuticals for Human Use (ICH) ฉบับที่มีการประกาศใช้ล่าสุดในขณะที่ทำการเก็บรวบรวมข้อมูลส่วนบุคคล

(ค) International Ethical Guidelines for Health-related Research Involving Humans โดย Council for International Organizations of Medical Sciences (CIOMS) ร่วมกับองค์การอนามัยโลก (World Health Organization: WHO) ฉบับที่มีการประกาศใช้ล่าสุดในขณะที่ทำการเก็บรวบรวมข้อมูลส่วนบุคคล

ในการดำเนินการตาม (2) และ (3) ผู้ควบคุมข้อมูลส่วนบุคคลควรพิจารณาดำเนินการทำให้ข้อมูลส่วนบุคคลเป็นข้อมูลที่ไม่สามารถระบุตัวบุคคลที่เป็นเจ้าของข้อมูลส่วนบุคคลได้ หรือทำการแฝงข้อมูล (pseudonymization) เพื่อลดความเสี่ยงในการระบุตัวบุคคลที่เป็นเจ้าของข้อมูลส่วนบุคคล หรือทำการเข้ารหัสข้อมูล (encryption) หรือใช้มาตรการอื่นในลักษณะเดียวกัน อย่างเหมาะสมตามระดับความเสี่ยง โดยคำนึงถึงปัจจัยทางเทคโนโลยี บริบท สภาพแวดล้อม มาตรฐานที่เป็นที่ยอมรับสำหรับหน่วยงานหรือกิจการในประเภทหรือลักษณะเดียวกันหรือใกล้เคียงกัน ลักษณะและวัตถุประสงค์ของการเก็บรวบรวม ใช้ และเปิดเผยข้อมูลส่วนบุคคล ทรัพยากรที่ต้องใช้ และความเป็นไปได้ในการดำเนินการประกอบกัน หากสามารถทำให้บรรลุวัตถุประสงค์ที่เกี่ยวกับการศึกษาวิจัยทางวิทยาศาสตร์ ประวัติศาสตร์ หรือสถิติ หรือประโยชน์สาธารณะอื่นได้

ข้อ 6 ภายใต้บังคับข้อ 4 และข้อ 5 ในการเก็บรวบรวมข้อมูลส่วนบุคคลเพื่อให้บรรลุวัตถุประสงค์ที่เกี่ยวกับการศึกษาวิจัยหรือสถิติ ตาม[มาตรา 24](https://link.pdpalawbase.com/section/24.md) (1) หรือเพื่อให้บรรลุวัตถุประสงค์เกี่ยวกับการศึกษาวิจัยทางวิทยาศาสตร์ ประวัติศาสตร์ หรือสถิติ ตาม[มาตรา 26](https://link.pdpalawbase.com/section/26.md) (5) (ง) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ให้ผู้ควบคุมข้อมูลส่วนบุคคลจัดให้มีมาตรการดังต่อไปนี้ด้วย

(1) แม้การเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลเพื่อให้บรรลุวัตถุประสงค์ดังกล่าว จะได้รับยกเว้นไม่ต้องขอความยินยอมจากเจ้าของข้อมูลส่วนบุคคล แต่ผู้ควบคุมข้อมูลส่วนบุคคลจะต้องกำกับดูแลให้ผู้ดำเนินการในการศึกษาวิจัยหรือสถิติตาม[มาตรา 24](https://link.pdpalawbase.com/section/24.md) (1) หรือผู้ดำเนินการในการศึกษาวิจัยทางวิทยาศาสตร์ ประวัติศาสตร์ หรือสถิติตาม[มาตรา 26](https://link.pdpalawbase.com/section/26.md) (5) (ง) ทำการขอความยินยอมในการเข้าร่วมการศึกษาวิจัย (informed consent for research participation) จากผู้เข้าร่วมการศึกษาวิจัย (research subject) เว้นแต่จะเป็นกรณีใดกรณีหนึ่ง ต่อไปนี้

(ก) การศึกษาวิจัยหรือสถิติตาม[มาตรา 24](https://link.pdpalawbase.com/section/24.md) (1) หรือการศึกษาวิจัยทางวิทยาศาสตร์ ประวัติศาสตร์ หรือสถิติตาม[มาตรา 26](https://link.pdpalawbase.com/section/26.md) (5) (ง) ที่มีการเก็บรวบรวมข้อมูลส่วนบุคคลจากแหล่งอื่นที่ไม่ใช่เจ้าของข้อมูลส่วนบุคคลโดยตรง หรือที่ใช้ข้อมูลส่วนบุคคลที่เก็บรวบรวมตามวัตถุประสงค์อื่น และผู้ควบคุมข้อมูลส่วนบุคคลได้ดำเนินการให้เป็นไปตาม[มาตรา 25](https://link.pdpalawbase.com/section/25.md) และ[มาตรา 27](https://link.pdpalawbase.com/section/27.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 แล้ว

(ข) การศึกษาวิจัยหรือสถิติตาม[มาตรา 24](https://link.pdpalawbase.com/section/24.md) (1) หรือการศึกษาวิจัยทางวิทยาศาสตร์ ประวัติศาสตร์ หรือสถิติตาม[มาตรา 26](https://link.pdpalawbase.com/section/26.md) (5) (ง) นั้นจะไม่สามารถดำเนินการได้หากต้องขอความยินยอม หรือการขอความยินยอมหรือการบันทึกการให้ความยินยอมเป็นหนังสือจะยิ่งทำให้เกิดความเสี่ยงต่อสิทธิและเสรีภาพของเจ้าของข้อมูลส่วนบุคคลที่เป็นผู้เข้าร่วมการศึกษาวิจัยเกินสมควร ประกอบกับการศึกษาวิจัยทางวิทยาศาสตร์ ประวัติศาสตร์ หรือสถิตินั้นมีคุณค่าที่สำคัญต่อสังคม และมีความเสี่ยงไม่เกินความเสี่ยงขั้นต่ำ (no more than minimal risks) ต่อผู้เข้าร่วมการศึกษาวิจัย

(ค) กรณีที่ได้รับยกเว้นไม่ต้องขอความยินยอมในการเข้าร่วมการศึกษาวิจัย (waiver of informed consent for research participation) ตามมาตรฐานทางจริยธรรมที่เกี่ยวข้องและเป็นที่ยอมรับ โดยไม่ขัดต่อกฎหมาย หรือตามที่คณะกรรมการจริยธรรมการศึกษาวิจัยในคนหรือคณะบุคคลตามข้อ 5 (4) กำหนด

(2) ในการเก็บรวบรวมข้อมูลส่วนบุคคลเพื่อให้บรรลุวัตถุประสงค์ที่เกี่ยวกับการศึกษาวิจัยหรือสถิติตาม[มาตรา 24](https://link.pdpalawbase.com/section/24.md) (1) หรือเพื่อให้บรรลุวัตถุประสงค์เกี่ยวกับการศึกษาวิจัยทางวิทยาศาสตร์ ประวัติศาสตร์ หรือสถิติตาม[มาตรา 26](https://link.pdpalawbase.com/section/26.md) (5) (ง) จากเจ้าของข้อมูลส่วนบุคคลโดยตรง ผู้ควบคุมข้อมูลส่วนบุคคลจะต้องแจ้งให้เจ้าของข้อมูลส่วนบุคคลดังกล่าวทราบถึงข้อมูลเกี่ยวกับวัตถุประสงค์ของการศึกษาวิจัย รายละเอียดของการศึกษาวิจัยโดยสังเขป ข้อมูลส่วนบุคคลที่จะเก็บรวบรวมในการศึกษาวิจัย ประโยชน์ที่จะได้รับจากการศึกษาวิจัย ความเสี่ยงหรือผลกระทบที่อาจเกิดขึ้นต่อผู้เข้าร่วมการศึกษาวิจัยจากการศึกษาวิจัยนั้น และสิทธิของผู้นั้นในการศึกษาวิจัยดังกล่าว (หากมี) พร้อมทั้งแจ้งให้เจ้าของข้อมูลส่วนบุคคลทราบรายละเอียดตาม[มาตรา 23](https://link.pdpalawbase.com/section/23.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ด้วย และจะต้องไม่มีการปกปิดข้อมูลดังกล่าว (withholding information) แก่ผู้เข้าร่วมการศึกษาวิจัย หรือทำการหลอกลวงผู้เข้าร่วมการศึกษาวิจัย (deception) เว้นแต่จะเป็นกรณีที่สามารถกระทำได้ภายใต้กรอบและเงื่อนไขตามมาตรฐานทางจริยธรรมที่เกี่ยวข้องและเป็นที่ยอมรับ โดยไม่ขัดต่อกฎหมาย หรือตามที่คณะกรรมการจริยธรรมการศึกษาวิจัยในคนหรือคณะบุคคลตามข้อ 5 (4) กำหนด

(3) ในการเก็บรวบรวมข้อมูลส่วนบุคคลเพื่อให้บรรลุวัตถุประสงค์ที่เกี่ยวกับการศึกษาวิจัยหรือสถิติตาม[มาตรา 24](https://link.pdpalawbase.com/section/24.md) (1) หรือเพื่อให้บรรลุวัตถุประสงค์เกี่ยวกับการศึกษาวิจัยทางวิทยาศาสตร์ ประวัติศาสตร์ หรือสถิติตาม[มาตรา 26](https://link.pdpalawbase.com/section/26.md) (5) (ง) ซึ่งการใช้สิทธิขอเข้าถึงหรือขอรับสำเนาข้อมูลส่วนบุคคลที่เกี่ยวกับเจ้าของข้อมูลส่วนบุคคลที่เป็นผู้เข้าร่วมการศึกษาวิจัยอาจทำให้การศึกษาวิจัยดังกล่าวไม่สามารถบรรลุผลได้ เช่น กรณีผู้ดำเนินการในการศึกษาวิจัยจำเป็นต้องทำการปกปิดการจัดสรรผู้เข้าร่วมการศึกษาวิจัย (allocation concealment) หรือทำการปกปิดข้อมูลเกี่ยวกับการทดลอง (blinding) ในการทดลองทางคลินิก (clinical trials) เพื่อให้ผลการศึกษาวิจัยมีความเที่ยงตรง (valid) ลดอคติ (bias) และน่าเชื่อถือ ผู้ควบคุมข้อมูลส่วนบุคคลจะต้องกำกับดูแลให้ผู้ดำเนินการในการศึกษาวิจัยแจ้งให้เจ้าของข้อมูลส่วนบุคคลที่เป็นผู้เข้าร่วมการศึกษาวิจัยทราบถึงข้อจำกัดในการขอเข้าถึงหรือขอรับสำเนาข้อมูลส่วนบุคคลดังกล่าวในการขอความยินยอมในการเข้าร่วมการศึกษาวิจัยตาม (1) หรือการแจ้งข้อมูลตาม (2) (หากมี) หรือก่อนเริ่มขั้นตอนการศึกษาวิจัยที่เกี่ยวข้อง จนกว่าการศึกษาวิจัยจะเสร็จสิ้นหรืออยู่ในขั้นตอนที่สามารถให้เจ้าของข้อมูลส่วนบุคคลเข้าถึงหรือรับสำเนาข้อมูลดังกล่าวได้โดยไม่เสียวัตถุประสงค์ดังกล่าว และในกรณีที่คณะกรรมการจริยธรรมการศึกษาวิจัยในคนหรือคณะบุคคลตามข้อ 5 (4) กำหนดเป็นอย่างอื่น ให้ปฏิบัติตามที่กำหนด

ข้อ 7 ในกรณีที่ผู้ควบคุมข้อมูลส่วนบุคคลมีหน้าที่ตามกฎหมายอื่นที่เกี่ยวกับการศึกษาวิจัยหรือสถิติตาม[มาตรา 24](https://link.pdpalawbase.com/section/24.md) (1) หรือการศึกษาวิจัยทางวิทยาศาสตร์ ประวัติศาสตร์ หรือสถิติ หรือประโยชน์สาธารณะอื่นตาม[มาตรา 26](https://link.pdpalawbase.com/section/26.md) (5) (ง) ให้ผู้ควบคุมข้อมูลส่วนบุคคลดำเนินการตามกฎหมายนั้น แต่มาตรการเพื่อคุ้มครองสิทธิ เสรีภาพ และประโยชน์ของเจ้าของข้อมูลส่วนบุคคลที่เป็นผู้เข้าร่วมการศึกษาวิจัยหรือสถิติ หรือการศึกษาวิจัยทางวิทยาศาสตร์ ประวัติศาสตร์ หรือสถิติ หรือประโยชน์สาธารณะอื่นดังกล่าว จะต้องเป็นไปตามที่กำหนดในประกาศนี้ด้วย

ข้อ 8 ให้ประธานกรรมการคุ้มครองข้อมูลส่วนบุคคลเป็นผู้รักษาการตามประกาศนี้

ประกาศ ณ วันที่ 28 ธันวาคม พ.ศ. 2566

เธียรชัย ณ นคร

ประธานกรรมการคุ้มครองข้อมูลส่วนบุคคล

## เหตุผลและฐานอำนาจ

เหตุผลตามอารัมภบท: [มาตรา 24](https://link.pdpalawbase.com/section/24.md) (1) และ [มาตรา 26](https://link.pdpalawbase.com/section/26.md) (5) (ง) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 เปิดให้เก็บรวบรวมข้อมูลส่วนบุคคล (และข้อมูลอ่อนไหว) โดยไม่ได้รับความยินยอมเพื่อวัตถุประสงค์การศึกษาวิจัยหรือสถิติได้ ต่อเมื่อได้จัดให้มี "มาตรการปกป้องที่เหมาะสม" / "มาตรการที่เหมาะสม" ตามที่คณะกรรมการคุ้มครองข้อมูลส่วนบุคคลประกาศกำหนด — ประกาศฉบับนี้คือการกำหนดมาตรการดังกล่าว

ฐานอำนาจ: อาศัยอำนาจตามความใน [มาตรา 16](https://link.pdpalawbase.com/section/16.md) (4) ประกอบ [มาตรา 24](https://link.pdpalawbase.com/section/24.md) (1) และ [มาตรา 26](https://link.pdpalawbase.com/section/26.md) (5) (ง) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562

## เอกสารต้นฉบับ

- [PDF ต้นฉบับ (local)](../../raw/notifications/notification-9.1.pdf)
- [ที่มา: pdpc.or.th](https://www.pdpc.or.th/2557/)

หมายเหตุการถอดความ: ประกาศในราชกิจจานุเบกษา เล่ม 141 ตอนพิเศษ 7 ง หน้า 21-27 วันที่ 8 มกราคม 2567 (PDF local = สำเนาฉบับราชกิจจาฯ) · `effective_date` 7 เมษายน 2567 คำนวณจาก ข้อ 2 "พ้นกำหนดเก้าสิบวันนับแต่วันประกาศในราชกิจจานุเบกษา" นับวันประกาศเป็นวันแรก (แบบเดียวกับหมวด 7 ที่ยืนยันกับ commentary ภายนอกแล้ว) · ตัวบทถอดจาก team docx เทียบภาพ PDF ราชกิจจาฯ ครบทุกหน้า พบ docx คลาดจากต้นฉบับ 4 จุด แก้ตาม PDF ทั้งหมด: (1) ข้อ 5 (4) docx สลับลำดับวลี "ซึ่งอาจเป็น/แต่ต้องไม่มี" (2) ข้อ 5 วรรคท้าย docx วางคำ "ลักษณะ" ผิดตำแหน่ง (3) ข้อ 6 (1) (ค) docx พิมพ์ "ข้อ 5 (5)" ต้นฉบับเป็น "ข้อ 5 (4)" (4) ข้อ 6 (2) docx สลับตำแหน่ง "โดยไม่ขัดต่อกฎหมาย" · วงเล็บภาษาอังกฤษทั้งหมด — organizational measures, informed consent, allocation concealment ฯลฯ — และรายการเอกสาร Belmont Report / ICH GCP / CIOMS เป็นข้อความในตัวบทต้นฉบับ verbatim

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/notification/9-1.md

============================================================
โนด: ประกาศ 9.2
ลิงก์อ้างอิง: https://link.pdpalawbase.com/notification/9-2.md

# ประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง มาตรการปกป้องที่เหมาะสมเพื่อคุ้มครองสิทธิและเสรีภาพของเจ้าของข้อมูลส่วนบุคคล สำหรับการเก็บรวบรวมข้อมูลส่วนบุคคลเพื่อให้บรรลุวัตถุประสงค์ที่เกี่ยวกับการจัดทำเอกสารประวัติศาสตร์หรือจดหมายเหตุเพื่อประโยชน์สาธารณะ พ.ศ. 2566

## ใจความสำคัญ

ประกาศของคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล กำหนดมาตรการปกป้องที่เหมาะสมที่ผู้ควบคุมข้อมูลส่วนบุคคลต้องจัดให้มี เมื่อเก็บรวบรวมข้อมูลส่วนบุคคลโดยไม่ได้รับความยินยอมเพื่อให้บรรลุวัตถุประสงค์ที่เกี่ยวกับ**การจัดทำเอกสารประวัติศาสตร์หรือจดหมายเหตุเพื่อประโยชน์สาธารณะ** ตามข้อยกเว้นใน [มาตรา 24](https://link.pdpalawbase.com/section/24.md) (1) — เป็นฉบับคู่กับ [ประกาศมาตรการที่เหมาะสมสำหรับการศึกษาวิจัยหรือสถิติ พ.ศ. 2566](https://link.pdpalawbase.com/notification/9-1.md) ซึ่งครอบคลุมด้านการศึกษาวิจัย/สถิติของมาตราเดียวกัน

- นิยาม "วัตถุประสงค์ที่เกี่ยวกับการจัดทำเอกสารประวัติศาสตร์หรือจดหมายเหตุเพื่อประโยชน์สาธารณะ" = การรักษาความมีอยู่ของบันทึกเหตุการณ์ เรื่องราว เอกสาร หลักฐาน หรือข้อมูล สำหรับวัตถุประสงค์ปัจจุบันหรืออนาคต เพื่อประโยชน์สาธารณะ รวมถึงการดำเนินการตามกฎหมายว่าด้วยจดหมายเหตุแห่งชาติ (ข้อ 3)
- มาตรการบังคับ 2 ข้อ (ข้อ 4): (1) มาตรการเชิงองค์กร เชิงเทคนิค และทางกายภาพที่จำเป็น เพื่อจำกัดการเก็บรวบรวมให้เท่าที่จำเป็นภายใต้วัตถุประสงค์ (2) มาตรการรักษาความมั่นคงปลอดภัยตามมาตรฐานขั้นต่ำที่ประกาศกำหนดตาม [มาตรา 37](https://link.pdpalawbase.com/section/37.md) (1) — ดู [ประกาศ เรื่อง มาตรการรักษาความมั่นคงปลอดภัยของผู้ควบคุมข้อมูลส่วนบุคคล พ.ศ. 2565](https://link.pdpalawbase.com/notification/1-1.md)
- แนะนำให้พิจารณาทำให้ระบุตัวบุคคลไม่ได้ / แฝงข้อมูล (pseudonymization) / เข้ารหัส (encryption) ตามระดับความเสี่ยง หากยังบรรลุวัตถุประสงค์ได้ (ข้อ 4 วรรคท้าย)
- ใช้บังคับเมื่อพ้นกำหนด 90 วันนับแต่วันประกาศในราชกิจจานุเบกษา (8 ธันวาคม 2566) = ตั้งแต่ 7 มีนาคม 2567

## ตัวบท

ประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง มาตรการปกป้องที่เหมาะสมเพื่อคุ้มครองสิทธิและเสรีภาพของเจ้าของข้อมูลส่วนบุคคล สำหรับการเก็บรวบรวมข้อมูลส่วนบุคคลเพื่อให้บรรลุวัตถุประสงค์ที่เกี่ยวกับการจัดทำเอกสารประวัติศาสตร์หรือจดหมายเหตุเพื่อประโยชน์สาธารณะ พ.ศ. 2566

โดยที่เป็นการสมควรกำหนดมาตรการปกป้องที่เหมาะสมเพื่อคุ้มครองสิทธิและเสรีภาพของเจ้าของข้อมูลส่วนบุคคล สำหรับการเก็บรวบรวมข้อมูลส่วนบุคคลเพื่อให้บรรลุวัตถุประสงค์ที่เกี่ยวกับการจัดทำเอกสารประวัติศาสตร์หรือจดหมายเหตุเพื่อประโยชน์สาธารณะ

อาศัยอำนาจตามความใน[มาตรา 16](https://link.pdpalawbase.com/section/16.md) (4) ประกอบ[มาตรา 24](https://link.pdpalawbase.com/section/24.md) (1) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 คณะกรรมการคุ้มครองข้อมูลส่วนบุคคล จึงออกประกาศไว้ ดังต่อไปนี้

ข้อ 1 ประกาศนี้เรียกว่า "ประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง มาตรการปกป้องที่เหมาะสมเพื่อคุ้มครองสิทธิและเสรีภาพของเจ้าของข้อมูลส่วนบุคคล สำหรับการเก็บรวบรวมข้อมูลส่วนบุคคลเพื่อให้บรรลุวัตถุประสงค์ที่เกี่ยวกับการจัดทำเอกสารประวัติศาสตร์หรือจดหมายเหตุเพื่อประโยชน์สาธารณะ พ.ศ. 2566"

ข้อ 2 ประกาศนี้ให้ใช้บังคับเมื่อพ้นกำหนดเก้าสิบวันนับแต่วันประกาศในราชกิจจานุเบกษาเป็นต้นไป

ข้อ 3 ในประกาศนี้

"วัตถุประสงค์ที่เกี่ยวกับการจัดทำเอกสารประวัติศาสตร์หรือจดหมายเหตุเพื่อประโยชน์สาธารณะ" หมายความว่า การดำเนินการเพื่อรักษาความมีอยู่ของบันทึกเหตุการณ์ เรื่องราว เอกสาร หลักฐาน หรือข้อมูล สำหรับวัตถุประสงค์ในปัจจุบันหรือวัตถุประสงค์ที่อาจเป็นไปได้ในอนาคต ทั้งนี้ โดยเป็นไปเพื่อประโยชน์สาธารณะ และให้หมายความรวมถึงการดำเนินการเกี่ยวกับเอกสารจดหมายเหตุตามกฎหมายว่าด้วยจดหมายเหตุแห่งชาติด้วย

ข้อ 4 ในการเก็บรวบรวมข้อมูลส่วนบุคคลโดยไม่ได้รับความยินยอมจากเจ้าของข้อมูลส่วนบุคคล เพื่อให้บรรลุวัตถุประสงค์ที่เกี่ยวกับการจัดทำเอกสารประวัติศาสตร์หรือจดหมายเหตุเพื่อประโยชน์สาธารณะ ตาม[มาตรา 24](https://link.pdpalawbase.com/section/24.md) (1) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ผู้ควบคุมข้อมูลส่วนบุคคลจะต้องจัดให้มีมาตรการปกป้องที่เหมาะสมเพื่อคุ้มครองสิทธิและเสรีภาพของเจ้าของข้อมูลส่วนบุคคล ดังต่อไปนี้

(1) ผู้ควบคุมข้อมูลส่วนบุคคลจะต้องจัดให้มีมาตรการเชิงองค์กร (organizational measures) และมาตรการเชิงเทคนิค (technical measures) ที่เหมาะสม ซึ่งอาจรวมถึงมาตรการทางกายภาพ (physical measures) ที่จำเป็นด้วย เพื่อควบคุมให้การเก็บรวบรวมข้อมูลส่วนบุคคลดังกล่าว เป็นไปเท่าที่จำเป็นภายใต้วัตถุประสงค์ที่เกี่ยวกับการจัดทำเอกสารประวัติศาสตร์หรือจดหมายเหตุเพื่อประโยชน์สาธารณะ

(2) ผู้ควบคุมข้อมูลส่วนบุคคลจะต้องจัดให้มีมาตรการรักษาความมั่นคงปลอดภัยให้เหมาะสมกับความเสี่ยงที่มีต่อสิทธิและเสรีภาพของบุคคล ซึ่งจะต้องเป็นไปตามมาตรฐานขั้นต่ำที่คณะกรรมการคุ้มครองข้อมูลส่วนบุคคลประกาศกำหนดตาม[มาตรา 37](https://link.pdpalawbase.com/section/37.md) (1)

ในการดำเนินการตาม (1) และ (2) ผู้ควบคุมข้อมูลส่วนบุคคลอาจพิจารณาดำเนินการทำให้ข้อมูลส่วนบุคคลเป็นข้อมูลที่ไม่สามารถระบุตัวบุคคลที่เป็นเจ้าของข้อมูลส่วนบุคคลได้ หรือทำการแฝงข้อมูล (pseudonymization) เพื่อลดความเสี่ยงในการระบุตัวบุคคลที่เป็นเจ้าของข้อมูลส่วนบุคคล หรือทำการเข้ารหัสข้อมูล (encryption) หรือใช้มาตรการอื่นในลักษณะเดียวกัน อย่างเหมาะสมตามระดับความเสี่ยงได้ โดยคำนึงถึงปัจจัยทางเทคโนโลยี บริบท สภาพแวดล้อม มาตรฐานที่เป็นที่ยอมรับสำหรับหน่วยงานหรือกิจการในประเภทหรือลักษณะเดียวกันหรือใกล้เคียงกัน ลักษณะและวัตถุประสงค์ของการเก็บรวบรวม ใช้ และเปิดเผยข้อมูลส่วนบุคคล ทรัพยากรที่ต้องใช้ และความเป็นไปได้ในการดำเนินการประกอบกัน หากสามารถทำให้บรรลุวัตถุประสงค์ที่เกี่ยวกับการจัดทำเอกสารประวัติศาสตร์หรือจดหมายเหตุเพื่อประโยชน์สาธารณะได้

ข้อ 5 ให้ประธานกรรมการคุ้มครองข้อมูลส่วนบุคคลเป็นผู้รักษาการตามประกาศนี้

ประกาศ ณ วันที่ 1 ธันวาคม พ.ศ. 2566

เธียรชัย ณ นคร

ประธานกรรมการคุ้มครองข้อมูลส่วนบุคคล

## เหตุผลและฐานอำนาจ

เหตุผลตามอารัมภบท: เป็นการสมควรกำหนดมาตรการปกป้องที่เหมาะสมเพื่อคุ้มครองสิทธิและเสรีภาพของเจ้าของข้อมูลส่วนบุคคล สำหรับการเก็บรวบรวมข้อมูลส่วนบุคคลเพื่อให้บรรลุวัตถุประสงค์ที่เกี่ยวกับการจัดทำเอกสารประวัติศาสตร์หรือจดหมายเหตุเพื่อประโยชน์สาธารณะ — เติมเต็มเงื่อนไข "มาตรการปกป้องที่เหมาะสมตามที่คณะกรรมการประกาศกำหนด" ของข้อยกเว้นความยินยอมใน [มาตรา 24](https://link.pdpalawbase.com/section/24.md) (1)

ฐานอำนาจ: อาศัยอำนาจตามความใน [มาตรา 16](https://link.pdpalawbase.com/section/16.md) (4) ประกอบ [มาตรา 24](https://link.pdpalawbase.com/section/24.md) (1) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562

## เอกสารต้นฉบับ

- [PDF ต้นฉบับ (local)](../../raw/notifications/notification-9.2.pdf)
- [ที่มา: pdpc.or.th](https://www.pdpc.or.th/2264/)

หมายเหตุการถอดความ: ประกาศในราชกิจจานุเบกษา เล่ม 140 ตอนพิเศษ 309 ง หน้า 79-80 วันที่ 8 ธันวาคม 2566 (PDF local = สำเนาฉบับราชกิจจาฯ) · `effective_date` 7 มีนาคม 2567 คำนวณจาก ข้อ 2 "พ้นกำหนดเก้าสิบวันนับแต่วันประกาศในราชกิจจานุเบกษา" นับวันประกาศเป็นวันแรก (แบบเดียวกับหมวด 7 ที่ยืนยันกับ commentary ภายนอกแล้ว) · ตัวบทถอดจาก team docx เทียบภาพ PDF ราชกิจจาฯ ครบทั้ง 2 หน้า — ตรงกันทุกจุด ไม่พบความคลาดเคลื่อน · วงเล็บภาษาอังกฤษ — organizational measures, pseudonymization, encryption ฯลฯ — เป็นข้อความในตัวบทต้นฉบับ verbatim

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/notification/9-2.md