Knowledge Link — คลังความรู้กฎหมาย PDPA ไทย
ชุดข้อมูล: พ.ร.บ. คุ้มครองข้อมูลส่วนบุคคล — มาตรา (96 โนด)
สร้างเมื่อ: 2026-08-10 · แหล่งทางการ: https://link.pdpalawbase.com (อัปเดตล่าสุดดูที่เว็บ)

กติกาเมื่อใช้ไฟล์นี้ตอบคำถาม:
- อ้าง "ชื่อโนด + ลิงก์อ้างอิง" (บรรทัด ลิงก์อ้างอิง:) ของทุกประเด็นที่ใช้
- ถ้าไม่พบคำตอบในคลัง ให้บอกว่าไม่พบ อย่าเดา อย่าแต่งเลขมาตรา
- เพื่อการศึกษา ไม่ใช่คำแนะนำทางกฎหมาย

============================================================
โนด: มาตรา 1
ลิงก์อ้างอิง: https://link.pdpalawbase.com/section/1.md

# มาตรา 1

## ตัวบท

> มาตรา 1 พระราชบัญญัตินี้เรียกว่า "พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562"

## สรุป

มาตรานี้กำหนด **ชื่อย่อของพระราชบัญญัติ** — ใช้ชื่อ "พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562" เป็นชื่อทางการ. ในวงการมักเรียกย่อว่า **PDPA**

## มาตราที่อ้างอิง

- [มาตรา 2](https://link.pdpalawbase.com/section/2.md) — กำหนดวันบังคับใช้

## หมายเหตุ

- พ.ศ. 2562 = ค.ศ. 2019 (พ.ศ. = ค.ศ. + 543)
- กำหนดเวลาบังคับใช้กำหนดใน [มาตรา 2](https://link.pdpalawbase.com/section/2.md)
- คำย่อในวงการ: "PDPA" — ไม่มีคำย่อทางการในภาษาไทย

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/section/1.md

============================================================
โนด: มาตรา 2
ลิงก์อ้างอิง: https://link.pdpalawbase.com/section/2.md

# มาตรา 2

## ตัวบท

> มาตรา 2 พระราชบัญญัตินี้ให้ใช้บังคับตั้งแต่วันถัดจากวันประกาศในราชกิจจานุเบกษาเป็นต้นไป เว้นแต่บทบัญญัติในหมวด 2 หมวด 3 หมวด 5 หมวด 6 หมวด 7 และความใน [มาตรา 95](https://link.pdpalawbase.com/section/95.md) และ [มาตรา 96](https://link.pdpalawbase.com/section/96.md) ให้ใช้บังคับเมื่อพ้นกำหนดหนึ่งปีนับแต่วันประกาศในราชกิจจานุเบกษาเป็นต้นไป

## สรุป

มาตรานี้กำหนด **ระยะเวลาก่อนกฎหมายมีผล** — แบ่งเป็น 2 ระดับ: (1) บทบัญญัติทั่วไป มีผลตั้งแต่วันถัดจากวันประกาศในราชกิจจานุเบกษา, (2) บทบัญญัติเชิงปฏิบัติการสำคัญ (หมวด 2-3, 5-7 และ [มาตรา 95](https://link.pdpalawbase.com/section/95.md) และ [มาตรา 96](https://link.pdpalawbase.com/section/96.md)) ให้รอ **1 ปี** เพื่อให้ผู้เกี่ยวข้องเตรียมตัว

## องค์ประกอบสำคัญ

- **กลุ่มที่ 1 — มีผลทันที** (วันถัดจากวันประกาศในราชกิจจานุเบกษา):
  - ทุกบทบัญญัติที่ไม่อยู่ในกลุ่มที่ 2 (เช่น บททั่วไป, หมวด 1 คณะกรรมการ, หมวด 4 สำนักงาน)
- **กลุ่มที่ 2 — รอ 1 ปี** หลังวันประกาศในราชกิจจานุเบกษา:
  - หมวด 2 (การคุ้มครองข้อมูลส่วนบุคคล)
  - หมวด 3 (สิทธิของเจ้าของข้อมูลส่วนบุคคล)
  - หมวด 5 (การร้องเรียน)
  - หมวด 6 (ความรับผิดทางแพ่ง)
  - หมวด 7 (บทกำหนดโทษ)
  - [มาตรา 95](https://link.pdpalawbase.com/section/95.md) (บทเฉพาะกาล — ข้อมูลเก่าก่อน พ.ร.บ.)
  - [มาตรา 96](https://link.pdpalawbase.com/section/96.md) (พระราชกฤษฎีกาเลื่อนการบังคับใช้)
- **เหตุผลของระยะเวลาผ่อนผัน 1 ปี:** ให้เวลาผู้ควบคุมข้อมูลเตรียมการปฏิบัติตามกฎหมาย (DPO, ROPA, ขั้นตอนการขอความยินยอม) ก่อนถูกบังคับใช้จริง

## มาตราที่อ้างอิง

- [มาตรา 95](https://link.pdpalawbase.com/section/95.md) — บทเฉพาะกาล (สำหรับข้อมูลที่เก็บก่อน พ.ร.บ. มีผล)
- [มาตรา 96](https://link.pdpalawbase.com/section/96.md) — อำนาจ ครม. ออกพระราชกฤษฎีกาเลื่อนเวลาบังคับใช้

## หมายเหตุ

- **กลุ่มที่ 2 มีผลล่าช้า** ตามอำนาจ [มาตรา 96](https://link.pdpalawbase.com/section/96.md) ที่ให้ ครม. ออกพระราชกฤษฎีกาเลื่อนเวลาบังคับใช้
- **vacatio legis 2 ระดับ** เป็นรูปแบบการร่างกฎหมายที่ให้ผู้บังคับใช้เตรียมความพร้อม (เปรียบกับ GDPR ที่มี 2 ปี ระยะเวลาผ่อนผัน)

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/section/2.md

============================================================
โนด: มาตรา 3
ลิงก์อ้างอิง: https://link.pdpalawbase.com/section/3.md

# มาตรา 3

## ตัวบท

> มาตรา 3 ในกรณีที่มีกฎหมายว่าด้วยการใดบัญญัติเกี่ยวกับการคุ้มครองข้อมูลส่วนบุคคลในลักษณะใด กิจการใด หรือหน่วยงานใดไว้โดยเฉพาะแล้ว ให้บังคับตามบทบัญญัติแห่งกฎหมายว่าด้วยการนั้น เว้นแต่
>
> (1) บทบัญญัติเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล และบทบัญญัติเกี่ยวกับสิทธิของเจ้าของข้อมูลส่วนบุคคล รวมทั้งบทกำหนดโทษที่เกี่ยวข้อง ให้บังคับตามบทบัญญัติแห่งพระราชบัญญัตินี้เป็นการเพิ่มเติม ไม่ว่าจะซ้ำกับบทบัญญัติแห่งกฎหมายว่าด้วยการนั้นหรือไม่ก็ตาม
>
> (2) บทบัญญัติเกี่ยวกับการร้องเรียน บทบัญญัติที่ให้อำนาจแก่คณะกรรมการผู้เชี่ยวชาญออกคำสั่งเพื่อคุ้มครองเจ้าของข้อมูลส่วนบุคคล และบทบัญญัติเกี่ยวกับอำนาจหน้าที่ของพนักงานเจ้าหน้าที่ รวมทั้งบทกำหนดโทษที่เกี่ยวข้อง ให้บังคับตามบทบัญญัติแห่งพระราชบัญญัตินี้ ในกรณีดังต่อไปนี้
>
> (ก) ในกรณีที่กฎหมายว่าด้วยการนั้นไม่มีบทบัญญัติเกี่ยวกับการร้องเรียน
>
> (ข) ในกรณีที่กฎหมายว่าด้วยการนั้นมีบทบัญญัติที่ให้อำนาจแก่เจ้าหน้าที่ผู้มีอำนาจพิจารณาเรื่องร้องเรียนตามกฎหมายดังกล่าวออกคำสั่งเพื่อคุ้มครองเจ้าของข้อมูลส่วนบุคคล แต่ไม่เพียงพอเท่ากับอำนาจของคณะกรรมการผู้เชี่ยวชาญตามพระราชบัญญัตินี้และเจ้าหน้าที่ผู้มีอำนาจตามกฎหมายดังกล่าวร้องขอต่อคณะกรรมการผู้เชี่ยวชาญหรือเจ้าของข้อมูลส่วนบุคคลผู้เสียหายยื่นคำร้องเรียนต่อคณะกรรมการผู้เชี่ยวชาญตามพระราชบัญญัตินี้ แล้วแต่กรณี

## สรุป

มาตรานี้กำหนด **กฎหมายเฉพาะเรื่องมีผลแทน พ.ร.บ. นี้** — ถ้ามีกฎหมายอื่นบัญญัติเรื่องคุ้มครองข้อมูลส่วนบุคคลไว้โดยเฉพาะ ให้บังคับตามกฎหมายนั้น **เว้นแต่ 2 ประเภทบทบัญญัติที่ พ.ร.บ. นี้มีผลแทนกลับ** — เรื่องการประมวลผลข้อมูล/สิทธิเจ้าของ (ตาม (1)) และเรื่องการร้องเรียน/อำนาจกรรมการผู้เชี่ยวชาญ (ตาม (2))

## องค์ประกอบสำคัญ

**หลักทั่วไป:** กฎหมายเฉพาะเรื่องมีผลแทน พ.ร.บ. นี้

**ข้อยกเว้นที่ พ.ร.บ. นี้มีผลแทน:**

- **(1) บทบัญญัติเกี่ยวกับการเก็บรวบรวม ใช้ เปิดเผยข้อมูล + สิทธิของเจ้าของข้อมูล + บทลงโทษ** → ใช้ พ.ร.บ. นี้ **เป็นการเพิ่มเติม** (มีผลแทนกฎหมายอื่น แม้จะซ้ำกัน)
- **(2) บทบัญญัติเกี่ยวกับการร้องเรียน + อำนาจคณะกรรมการผู้เชี่ยวชาญ + อำนาจพนักงานเจ้าหน้าที่** → ใช้ พ.ร.บ. นี้ในกรณี:
  - **(ก)** กฎหมายอื่นไม่มีบทบัญญัติเกี่ยวกับการร้องเรียน
  - **(ข)** กฎหมายอื่นมีบทบัญญัติให้อำนาจ แต่อำนาจไม่เพียงพอเท่ากับคณะกรรมการผู้เชี่ยวชาญตาม พ.ร.บ. นี้

## มาตราที่อ้างอิง

_ไม่มี — มาตรานี้เป็นกฎที่กำหนดความสัมพันธ์ระหว่าง พ.ร.บ. นี้ กับกฎหมายอื่น (ไม่อ้างมาตราภายใน พ.ร.บ.)_

## หมายเหตุ

- **lex specialis** เป็นหลักกฎหมายโรมัน — กฎหมายเฉพาะเรื่องมีผลแทนกฎหมายทั่วไปเมื่อขัดแย้ง — มาตรานี้ใช้หลักนั้นเป็นหลักทั่วไป แต่พลิกกลับใน 2 เรื่องข้างต้น
- **ในทางปฏิบัติ:** องค์กรในธุรกิจที่มีกฎหมายเฉพาะของตน ต้องตรวจสอบทั้ง PDPA + กฎหมายเฉพาะ — ถ้าซ้อน → ใช้กฎหมายเฉพาะเรื่อง (เว้น (1)(2))
- **หลักความเป็นกฎหมายเฉพาะของรัฐสมาชิก:** GDPR ใช้แนวคิดคล้ายกัน — เคารพกฎหมายเฉพาะของรัฐสมาชิก EU ในเรื่องที่ EU ไม่ปรับเป็นมาตรฐานกลางเต็มที่

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/section/3.md

============================================================
โนด: มาตรา 4
ลิงก์อ้างอิง: https://link.pdpalawbase.com/section/4.md

# มาตรา 4

## ตัวบท

> มาตรา 4 พระราชบัญญัตินี้ไม่ใช้บังคับแก่
>
> (1) การเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลของบุคคลที่ทำการเก็บรวบรวมข้อมูลส่วนบุคคลเพื่อประโยชน์ส่วนตนหรือเพื่อกิจกรรมในครอบครัวของบุคคลนั้นเท่านั้น
>
> (2) การดำเนินการของหน่วยงานของรัฐที่มีหน้าที่ในการรักษาความมั่นคงของรัฐ ซึ่งรวมถึงความมั่นคงทางการคลังของรัฐ หรือการรักษาความปลอดภัยของประชาชน รวมทั้งหน้าที่เกี่ยวกับการป้องกันและปราบปรามการฟอกเงิน นิติวิทยาศาสตร์ หรือการรักษาความมั่นคงปลอดภัยไซเบอร์
>
> (3) บุคคลหรือนิติบุคคลซึ่งใช้หรือเปิดเผยข้อมูลส่วนบุคคลที่ทำการเก็บรวบรวมไว้เฉพาะเพื่อกิจการสื่อมวลชน งานศิลปกรรม หรืองานวรรณกรรมอันเป็นไปตามจริยธรรมแห่งการประกอบวิชาชีพหรือเป็นประโยชน์สาธารณะเท่านั้น
>
> (4) สภาผู้แทนราษฎร วุฒิสภา และรัฐสภา รวมถึงคณะกรรมาธิการที่แต่งตั้งโดยสภาดังกล่าว ซึ่งเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลในการพิจารณาตามหน้าที่และอำนาจของสภาผู้แทนราษฎร วุฒิสภา รัฐสภา หรือคณะกรรมาธิการ แล้วแต่กรณี
>
> (5) การพิจารณาพิพากษาคดีของศาลและการดำเนินงานของเจ้าหน้าที่ในกระบวนการพิจารณาคดี การบังคับคดี และการวางทรัพย์ รวมทั้งการดำเนินงานตามกระบวนการยุติธรรมทางอาญา
>
> (6) การดำเนินการกับข้อมูลของบริษัทข้อมูลเครดิตและสมาชิกตามกฎหมายว่าด้วยการประกอบธุรกิจข้อมูลเครดิต
>
> การยกเว้นไม่ให้นำบทบัญญัติแห่งพระราชบัญญัตินี้ทั้งหมดหรือแต่บางส่วนมาใช้บังคับแก่ผู้ควบคุมข้อมูลส่วนบุคคลในลักษณะใด กิจการใด หรือหน่วยงานใดทำนองเดียวกับผู้ควบคุมข้อมูลส่วนบุคคลตามวรรคหนึ่ง หรือเพื่อประโยชน์สาธารณะอื่นใด ให้ตราเป็นพระราชกฤษฎีกา
>
> ผู้ควบคุมข้อมูลส่วนบุคคลตามวรรคหนึ่ง (2) (3) (4) (5) และ (6) และผู้ควบคุมข้อมูลส่วนบุคคลของหน่วยงานที่ได้รับยกเว้นตามที่กำหนดในพระราชกฤษฎีกาตามวรรคสอง ต้องจัดให้มีการรักษาความมั่นคงปลอดภัยของข้อมูลส่วนบุคคลให้เป็นไปตามมาตรฐานด้วย

## สรุป

มาตรานี้กำหนด **ขอบเขตที่ พ.ร.บ. นี้ไม่ใช้บังคับ** — มี 6 ประเภทกิจกรรม/หน่วยงานที่ได้รับยกเว้น เปิดทางให้ออกพระราชกฤษฎีกาเพื่อยกเว้นเพิ่มเติม และยังบังคับให้ผู้ที่ได้รับยกเว้นใน (2)-(6) ต้องมีมาตรการความมั่นคงปลอดภัยข้อมูลตามมาตรฐาน

## องค์ประกอบสำคัญ

**6 ประเภทที่ได้รับยกเว้น (วรรคหนึ่ง):**

- **(1)** การใช้ข้อมูลเพื่อ**ประโยชน์ส่วนตนหรือกิจกรรมในครอบครัว**
- **(2)** **หน่วยงานของรัฐ** ที่มีหน้าที่รักษาความมั่นคง (รวมถึงความมั่นคงทางการคลัง การปราบปรามการฟอกเงิน นิติวิทยาศาสตร์ ความมั่นคงปลอดภัยไซเบอร์)
- **(3)** **สื่อมวลชน งานศิลปกรรม งานวรรณกรรม** ตามจริยธรรมวิชาชีพ หรือเพื่อประโยชน์สาธารณะ
- **(4)** **สภาผู้แทนราษฎร วุฒิสภา รัฐสภา** และคณะกรรมาธิการ ในการปฏิบัติหน้าที่
- **(5)** **การพิจารณาพิพากษาของศาล** กระบวนการบังคับคดี และกระบวนการยุติธรรมทางอาญา
- **(6)** **บริษัทข้อมูลเครดิต** ตามกฎหมายว่าด้วยการประกอบธุรกิจข้อมูลเครดิต

**กลไกขยาย (วรรคสอง):** ครม. สามารถออก**พระราชกฤษฎีกา**เพื่อยกเว้นเพิ่มเติม สำหรับผู้ควบคุมข้อมูลในลักษณะคล้ายกับ (1)-(6) หรือเพื่อประโยชน์สาธารณะอื่นใด

**ข้อจำกัด (วรรคสาม):** แม้ได้รับยกเว้นใน (2)-(6) หรือยกเว้นเพิ่มเติมตามพระราชกฤษฎีกา → **ยังต้องจัดให้มีการรักษาความมั่นคงปลอดภัยข้อมูลส่วนบุคคลตามมาตรฐาน** ((1) การใช้ส่วนตัว/ครอบครัว ไม่อยู่ภายใต้หน้าที่นี้)

## มาตราที่อ้างอิง

_ไม่มี — มาตรานี้กำหนดขอบเขตยกเว้นจากการบังคับใช้ พ.ร.บ. นี้ (ไม่อ้างมาตราภายใน พ.ร.บ.)_

## หมายเหตุ

- **เหตุผลของยกเว้น:** แต่ละข้อสะท้อนหลักการสำคัญที่ขัดกับการใช้บังคับ พ.ร.บ. คุ้มครองข้อมูลทั่วไป — เช่น ความมั่นคงของรัฐ (2), เสรีภาพสื่อ (3), เอกสิทธิ์รัฐสภา (4), ความเป็นอิสระของศาล (5), หรือกฎหมายเฉพาะของบริษัทข้อมูลเครดิต (6)
- **ยกเว้น ≠ ไม่มีหน้าที่ใดเลย:** วรรคสามบังคับว่าผู้ที่ได้รับยกเว้นใน (2)-(6) ยังต้องมีมาตรการความมั่นคงปลอดภัยข้อมูล — แม้ไม่ต้องปฏิบัติตามบทบัญญัติอื่นของ พ.ร.บ. นี้
- **(1) การใช้ส่วนตัว/ในครอบครัว ได้รับยกเว้นแบบเต็ม** เพราะการใช้ข้อมูลในครอบครัวอยู่นอกขอบเขตที่กฎหมายควรเข้าไปกำกับ — สอดคล้องกับ GDPR (กฎหมายคุ้มครองข้อมูลของ EU) ที่มีหลักการคล้ายกัน
- **กลไกพระราชกฤษฎีกา (วรรคสอง)** ทำให้ ครม. สามารถปรับขอบเขตยกเว้นได้ตามสถานการณ์ โดยไม่ต้องแก้ไข พ.ร.บ. — ลดความเสี่ยงของกฎหมายล้าสมัย

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/section/4.md

============================================================
โนด: มาตรา 5
ลิงก์อ้างอิง: https://link.pdpalawbase.com/section/5.md

# มาตรา 5

## ตัวบท

> มาตรา 5 พระราชบัญญัตินี้ให้ใช้บังคับแก่การเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลโดยผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคลซึ่งอยู่ในราชอาณาจักร ไม่ว่าการเก็บรวบรวม ใช้ หรือเปิดเผยนั้น ได้กระทำในหรือนอกราชอาณาจักรก็ตาม
>
> ในกรณีที่ผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคลอยู่นอกราชอาณาจักร พระราชบัญญัตินี้ให้ใช้บังคับแก่การเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลของเจ้าของข้อมูลส่วนบุคคลซึ่งอยู่ในราชอาณาจักรโดยการดำเนินกิจกรรมของผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคลดังกล่าว เมื่อเป็นกิจกรรม ดังต่อไปนี้
>
> (1) การเสนอสินค้าหรือบริการให้แก่เจ้าของข้อมูลส่วนบุคคลซึ่งอยู่ในราชอาณาจักร ไม่ว่าจะมีการชำระเงินของเจ้าของข้อมูลส่วนบุคคลหรือไม่ก็ตาม
>
> (2) การเฝ้าติดตามพฤติกรรมของเจ้าของข้อมูลส่วนบุคคลที่เกิดขึ้นในราชอาณาจักร

## สรุป

มาตรานี้กำหนด **ขอบเขตเชิงพื้นที่ของ พ.ร.บ. นี้** — บังคับใช้ทั้ง (1) ผู้ควบคุม/ประมวลผลข้อมูลที่อยู่**ในประเทศไทย** (ไม่ว่าจะประมวลผลในหรือนอกประเทศก็ตาม) และ (2) ผู้ควบคุม/ประมวลผลที่อยู่**ต่างประเทศ** แต่เก็บข้อมูลของผู้ที่อยู่ในประเทศไทย ผ่านการเสนอสินค้า/บริการ หรือการเฝ้าติดตามพฤติกรรม

## องค์ประกอบสำคัญ

**กรณีที่ 1 — ผู้ควบคุม/ประมวลผลอยู่ในประเทศไทย (วรรคหนึ่ง):**

บังคับใช้ครอบคลุม **ทั้งหมด** ไม่ว่าการประมวลผลจะกระทำในหรือนอกราชอาณาจักร

→ **หลักการ: "สถานที่ตั้งของผู้ควบคุม"** เป็นเกณฑ์

**กรณีที่ 2 — ผู้ควบคุม/ประมวลผลอยู่นอกประเทศไทย (วรรคสอง):**

บังคับใช้เฉพาะกรณีที่ผู้ควบคุม/ประมวลผลต่างประเทศทำกิจกรรมต่อ**ผู้ที่อยู่ในประเทศไทย** ผ่าน:

- **(1)** การเสนอ**สินค้าหรือบริการ** ให้กับผู้ที่อยู่ในประเทศไทย (ไม่ว่าจะคิดเงินหรือไม่)
- **(2)** การ**เฝ้าติดตามพฤติกรรม**ของผู้ที่อยู่ในประเทศไทย

→ **หลักการ: "มุ่งเป้าไปที่เจ้าของข้อมูล"** เป็นเกณฑ์

## มาตราที่อ้างอิง

_ไม่มี — มาตรานี้กำหนดขอบเขตเชิงพื้นที่ของการบังคับใช้ พ.ร.บ. นี้ (ไม่อ้างมาตราภายใน พ.ร.บ.)_

## หมายเหตุ

- **ขอบเขตคู่:** มาตรานี้บังคับใช้บนหลัก 2 ระบบ — "สถานที่ตั้งของผู้ควบคุม" (วรรคหนึ่ง) และ "มุ่งเป้าไปที่เจ้าของข้อมูล" (วรรคสอง) — ครอบคลุมทั้งกรณีในประเทศและข้ามประเทศ
- **กรณีที่ 1 ครอบคลุมการประมวลผลข้ามชายแดน:** ผู้ควบคุมในไทยที่ใช้เซิร์ฟเวอร์ต่างประเทศ หรือว่าจ้างบริษัทต่างประเทศประมวลผลข้อมูล → ยังบังคับใช้ พ.ร.บ. นี้
- **กรณีที่ 2 ครอบคลุมบริษัทต่างประเทศที่ไม่มีสำนักงานในไทย:** เช่น แพลตฟอร์มออนไลน์ต่างประเทศที่ให้บริการคนไทย หรือระบบวิเคราะห์ข้อมูลที่ติดตามพฤติกรรมคนไทย → อยู่ใต้ พ.ร.บ. นี้
- **"(1) ไม่ว่าจะคิดเงินหรือไม่" ครอบคลุมบริการฟรี** เช่น โซเชียลมีเดีย เครื่องมือออนไลน์ — แม้ไม่มีการชำระเงิน
- **สอดคล้องกับ GDPR (กฎหมายคุ้มครองข้อมูลของ EU)** ใน Article 3 (ข้อ 3) กำหนดขอบเขตเชิงพื้นที่คล้ายกัน — รูปแบบ "อาณาเขต + การมุ่งเป้า" นี้เป็นมาตรฐานของกฎหมายคุ้มครองข้อมูลสมัยใหม่

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/section/5.md

============================================================
โนด: มาตรา 6
ลิงก์อ้างอิง: https://link.pdpalawbase.com/section/6.md

# มาตรา 6

## ตัวบท

> มาตรา 6 ในพระราชบัญญัตินี้
>
> "ข้อมูลส่วนบุคคล" หมายความว่า ข้อมูลเกี่ยวกับบุคคลซึ่งทำให้สามารถระบุตัวบุคคลนั้นได้ ไม่ว่าทางตรงหรือทางอ้อม แต่ไม่รวมถึงข้อมูลของผู้ถึงแก่กรรมโดยเฉพาะ
>
> "ผู้ควบคุมข้อมูลส่วนบุคคล" หมายความว่า บุคคลหรือนิติบุคคลซึ่งมีอำนาจหน้าที่ตัดสินใจเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล
>
> "ผู้ประมวลผลข้อมูลส่วนบุคคล" หมายความว่า บุคคลหรือนิติบุคคลซึ่งดำเนินการเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลตามคำสั่งหรือในนามของผู้ควบคุมข้อมูลส่วนบุคคล ทั้งนี้ บุคคลหรือนิติบุคคลซึ่งดำเนินการดังกล่าวไม่เป็นผู้ควบคุมข้อมูลส่วนบุคคล
>
> "บุคคล" หมายความว่า บุคคลธรรมดา
>
> "คณะกรรมการ" หมายความว่า คณะกรรมการคุ้มครองข้อมูลส่วนบุคคล
>
> "พนักงานเจ้าหน้าที่" หมายความว่า ผู้ซึ่งรัฐมนตรีแต่งตั้งให้ปฏิบัติการตามพระราชบัญญัตินี้
>
> "สำนักงาน" หมายความว่า สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล
>
> "เลขาธิการ" หมายความว่า เลขาธิการคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล
>
> "รัฐมนตรี" หมายความว่า รัฐมนตรีผู้รักษาการตามพระราชบัญญัตินี้

## สรุป

มาตรานี้กำหนด **บทนิยาม** ของคำสำคัญ 9 คำที่ใช้ในพระราชบัญญัตินี้ — ครอบคลุมตั้งแต่นิยามของ "ข้อมูลส่วนบุคคล" และ "ผู้ควบคุม/ประมวลผลข้อมูล" ที่เป็นหัวใจของกฎหมาย ไปจนถึงนิยามของหน่วยงาน (คณะกรรมการ สำนักงาน) และตำแหน่งทางราชการ (เลขาธิการ รัฐมนตรี)

## องค์ประกอบสำคัญ

นิยาม 9 คำที่ปรากฏซ้ำตลอด พ.ร.บ.:

- **"ข้อมูลส่วนบุคคล"** — ข้อมูลที่ระบุตัวบุคคลได้ (ทางตรง/ทางอ้อม) ยกเว้นข้อมูลผู้เสียชีวิต
- **"ผู้ควบคุมข้อมูลส่วนบุคคล"** — บุคคล/นิติบุคคลที่ตัดสินใจเก็บ ใช้ เปิดเผย
- **"ผู้ประมวลผลข้อมูลส่วนบุคคล"** — บุคคล/นิติบุคคลที่ดำเนินการตามคำสั่งของผู้ควบคุม (ไม่ใช่ผู้ควบคุมเอง)
- **"บุคคล"** — บุคคลธรรมดาเท่านั้น (ไม่รวมนิติบุคคล)
- **"คณะกรรมการ"** — คณะกรรมการคุ้มครองข้อมูลส่วนบุคคล
- **"พนักงานเจ้าหน้าที่"** — ผู้ที่รัฐมนตรีแต่งตั้ง
- **"สำนักงาน"** — สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล
- **"เลขาธิการ"** — เลขาธิการของสำนักงาน
- **"รัฐมนตรี"** — รัฐมนตรีผู้รักษาการ (ตาม [มาตรา 7](https://link.pdpalawbase.com/section/7.md))

## มาตราที่อ้างอิง

- [มาตรา 7](https://link.pdpalawbase.com/section/7.md) — กำหนดผู้รักษาการ (ที่นิยาม "รัฐมนตรี" อ้างถึง)

## หมายเหตุ

- **หัวใจของ พ.ร.บ.:** นิยามของ "ข้อมูลส่วนบุคคล" + "ผู้ควบคุม/ประมวลผล" คือพื้นฐานในการตีความทุกบทบัญญัติที่ตามมา
- **"บุคคล" = บุคคลธรรมดาเท่านั้น:** พ.ร.บ. นี้คุ้มครองข้อมูลของบุคคลธรรมดา ไม่ใช่ของนิติบุคคล
- **ข้อมูลผู้เสียชีวิต:** ไม่อยู่ใต้ พ.ร.บ. นี้ (ตามนิยาม "ข้อมูลส่วนบุคคล")

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/section/6.md

============================================================
โนด: มาตรา 7
ลิงก์อ้างอิง: https://link.pdpalawbase.com/section/7.md

# มาตรา 7

## ตัวบท

> มาตรา 7 ให้รัฐมนตรีว่าการกระทรวงดิจิทัลเพื่อเศรษฐกิจและสังคมรักษาการตามพระราชบัญญัตินี้ และให้มีอำนาจแต่งตั้งพนักงานเจ้าหน้าที่ เพื่อปฏิบัติการตามพระราชบัญญัตินี้

## สรุป

มาตรานี้กำหนด **ผู้รักษาการ พ.ร.บ.** คือ **รัฐมนตรีว่าการกระทรวงดิจิทัลเพื่อเศรษฐกิจและสังคม** และให้รัฐมนตรีมีอำนาจแต่งตั้ง "พนักงานเจ้าหน้าที่" เพื่อปฏิบัติการตามพระราชบัญญัตินี้

## องค์ประกอบสำคัญ

- **ผู้รักษาการ:** รัฐมนตรีว่าการกระทรวงดิจิทัลเพื่อเศรษฐกิจและสังคม
- **อำนาจของรัฐมนตรี:** แต่งตั้งพนักงานเจ้าหน้าที่ตาม [มาตรา 6](https://link.pdpalawbase.com/section/6.md) (นิยาม "พนักงานเจ้าหน้าที่")

## มาตราที่อ้างอิง

- [มาตรา 6](https://link.pdpalawbase.com/section/6.md) — บทนิยาม "พนักงานเจ้าหน้าที่" ที่อ้างถึงในมาตรานี้

## หมายเหตุ

- มาตรานี้คือกลไกแต่งตั้ง "พนักงานเจ้าหน้าที่" (ตามนิยามใน [มาตรา 6](https://link.pdpalawbase.com/section/6.md)) — ไม่ใช่แค่กำหนดชื่อตำแหน่งรักษาการ

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/section/7.md

============================================================
โนด: มาตรา 8
ลิงก์อ้างอิง: https://link.pdpalawbase.com/section/8.md

# มาตรา 8

## ตัวบท

> มาตรา 8 ให้มีคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล ประกอบด้วย
>
> (1) ประธานกรรมการ ซึ่งสรรหาและแต่งตั้งจากผู้มีความรู้ ความเชี่ยวชาญ และประสบการณ์เป็นที่ประจักษ์ในด้านการคุ้มครองข้อมูลส่วนบุคคล ด้านการคุ้มครองผู้บริโภค ด้านเทคโนโลยีสารสนเทศและการสื่อสาร ด้านสังคมศาสตร์ ด้านกฎหมาย ด้านสุขภาพ ด้านการเงิน หรือด้านอื่น ทั้งนี้ ต้องเกี่ยวข้องและเป็นประโยชน์ต่อการคุ้มครองข้อมูลส่วนบุคคล
>
> (2) ปลัดกระทรวงดิจิทัลเพื่อเศรษฐกิจและสังคม เป็นรองประธานกรรมการ
>
> (3) กรรมการโดยตำแหน่ง จำนวนห้าคน ได้แก่ ปลัดสำนักนายกรัฐมนตรี เลขาธิการคณะกรรมการกฤษฎีกา เลขาธิการคณะกรรมการคุ้มครองผู้บริโภค อธิบดีกรมคุ้มครองสิทธิและเสรีภาพ และอัยการสูงสุด
>
> (4) กรรมการผู้ทรงคุณวุฒิ จำนวนเก้าคน ซึ่งสรรหาและแต่งตั้งจากผู้มีความรู้ ความเชี่ยวชาญ และประสบการณ์เป็นที่ประจักษ์ในด้านการคุ้มครองข้อมูลส่วนบุคคล ด้านการคุ้มครองผู้บริโภค ด้านเทคโนโลยีสารสนเทศและการสื่อสาร ด้านสังคมศาสตร์ ด้านกฎหมาย ด้านสุขภาพ ด้านการเงิน หรือด้านอื่น ทั้งนี้ ต้องเกี่ยวข้องและเป็นประโยชน์ต่อการคุ้มครองข้อมูลส่วนบุคคล
>
> ให้เลขาธิการเป็นกรรมการและเลขานุการ และให้เลขาธิการแต่งตั้งพนักงานของสำนักงานเป็นผู้ช่วยเลขานุการได้ไม่เกินสองคน
>
> หลักเกณฑ์และวิธีการสรรหาบุคคลเพื่อแต่งตั้งเป็นประธานกรรมการและกรรมการผู้ทรงคุณวุฒิ รวมทั้งการสรรหาประธานกรรมการและกรรมการผู้ทรงคุณวุฒิเพื่อดำรงตำแหน่งแทนผู้ที่พ้นจากตำแหน่งก่อนวาระตาม[มาตรา 13](https://link.pdpalawbase.com/section/13.md) ให้เป็นไปตามที่คณะรัฐมนตรีประกาศกำหนด ทั้งนี้ ต้องคำนึงถึงความโปร่งใสและความเป็นธรรมในการสรรหา

## สรุป

มาตรานี้กำหนด **องค์ประกอบของคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล** — ประกอบด้วยประธาน 1 คน (สรรหา), รองประธาน 1 คน (ปลัดกระทรวงดิจิทัล), กรรมการโดยตำแหน่ง 5 คน, และกรรมการผู้ทรงคุณวุฒิ 9 คน (สรรหา) รวม 16 คน — โดยมีเลขาธิการเป็นกรรมการและเลขานุการ

## องค์ประกอบสำคัญ

- **(1) ประธานกรรมการ** — สรรหาจากผู้มีความรู้/ประสบการณ์ในด้านที่เกี่ยวข้อง
- **(2) รองประธานกรรมการ** — ปลัดกระทรวงดิจิทัลเพื่อเศรษฐกิจและสังคม
- **(3) กรรมการโดยตำแหน่ง 5 คน** — ปลัดสำนักนายกฯ + เลขาธิการกฤษฎีกา + เลขาธิการคุ้มครองผู้บริโภค + อธิบดีกรมคุ้มครองสิทธิและเสรีภาพ + อัยการสูงสุด
- **(4) กรรมการผู้ทรงคุณวุฒิ 9 คน** — สรรหาจากผู้มีความรู้/ประสบการณ์ในด้านที่เกี่ยวข้อง
- **เลขาธิการ** — เป็นกรรมการและเลขานุการ + แต่งตั้งผู้ช่วยเลขานุการได้ไม่เกิน 2 คน
- **กลไกสรรหา** — คณะรัฐมนตรีกำหนดหลักเกณฑ์ + ต้องคำนึงถึงความโปร่งใส; กรณีพ้นจากตำแหน่งก่อนวาระตาม [มาตรา 13](https://link.pdpalawbase.com/section/13.md)

## มาตราที่อ้างอิง

- [มาตรา 13](https://link.pdpalawbase.com/section/13.md) — เหตุพ้นจากตำแหน่งก่อนวาระ (ที่ส่งผลต่อการสรรหาแทน)

## หมายเหตุ

- **โครงสร้างคณะกรรมการ:** 1 + 1 + 5 + 9 = 16 คน + เลขาธิการ (กรรมการและเลขานุการ)

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/section/8.md

============================================================
โนด: มาตรา 9
ลิงก์อ้างอิง: https://link.pdpalawbase.com/section/9.md

# มาตรา 9

## ตัวบท

> มาตรา 9 ให้มีคณะกรรมการสรรหาคณะหนึ่งจำนวนแปดคนทำหน้าที่คัดเลือกบุคคลที่สมควรได้รับการแต่งตั้งเป็นประธานกรรมการตาม[มาตรา 8](https://link.pdpalawbase.com/section/8.md) (1) หรือกรรมการผู้ทรงคุณวุฒิ ตาม[มาตรา 8](https://link.pdpalawbase.com/section/8.md) (4) ประกอบด้วย
>
> (1) บุคคลซึ่งนายกรัฐมนตรีแต่งตั้งจำนวนสองคน
>
> (2) บุคคลซึ่งประธานรัฐสภาแต่งตั้งจำนวนสองคน
>
> (3) บุคคลซึ่งผู้ตรวจการแผ่นดินแต่งตั้งจำนวนสองคน และ
>
> (4) บุคคลซึ่งคณะกรรมการสิทธิมนุษยชนแห่งชาติแต่งตั้งจำนวนสองคน
>
> ในกรณีที่ผู้มีอำนาจแต่งตั้งตาม (2) (3) หรือ (4) ไม่สามารถแต่งตั้งกรรมการสรรหาในส่วนของตนได้ภายในสี่สิบห้าวันนับแต่วันที่ได้รับแจ้งจากสำนักงาน ให้สำนักงานเสนอชื่อให้นายกรัฐมนตรีพิจารณาแต่งตั้งบุคคลที่เหมาะสมเป็นกรรมการสรรหาแทนผู้มีอำนาจแต่งตั้งนั้น
>
> ให้คณะกรรมการสรรหาเลือกกรรมการสรรหาคนหนึ่งเป็นประธานกรรมการสรรหาและเลือกกรรมการสรรหาอีกคนหนึ่งเป็นเลขานุการคณะกรรมการสรรหา และให้สำนักงานปฏิบัติหน้าที่เป็นหน่วยธุรการของคณะกรรมการสรรหา
>
> ในกรณีที่ตำแหน่งกรรมการสรรหาว่างลง ให้ดำเนินการเพื่อให้มีกรรมการสรรหาแทนในตำแหน่งนั้นโดยเร็ว ในระหว่างที่ยังไม่ได้กรรมการสรรหาใหม่ ให้คณะกรรมการสรรหาประกอบด้วยกรรมการสรรหาเท่าที่มีอยู่
>
> กรรมการสรรหาไม่มีสิทธิได้รับการเสนอชื่อเป็นประธานกรรมการตาม[มาตรา 8](https://link.pdpalawbase.com/section/8.md) (1) หรือกรรมการผู้ทรงคุณวุฒิตาม[มาตรา 8](https://link.pdpalawbase.com/section/8.md) (4)

## สรุป

มาตรานี้กำหนด **คณะกรรมการสรรหา** จำนวน 8 คน ทำหน้าที่คัดเลือกประธานกรรมการและกรรมการผู้ทรงคุณวุฒิตาม [มาตรา 8](https://link.pdpalawbase.com/section/8.md) — ประกอบด้วย 4 องค์กรที่แต่งตั้ง องค์กรละ 2 คน (นายกรัฐมนตรี, ประธานรัฐสภา, ผู้ตรวจการแผ่นดิน, คณะกรรมการสิทธิมนุษยชนแห่งชาติ)

## องค์ประกอบสำคัญ

- **โครงสร้างคณะกรรมการสรรหา 8 คน:**
  - **(1)** นายกรัฐมนตรีแต่งตั้ง 2 คน
  - **(2)** ประธานรัฐสภาแต่งตั้ง 2 คน
  - **(3)** ผู้ตรวจการแผ่นดินแต่งตั้ง 2 คน
  - **(4)** คณะกรรมการสิทธิมนุษยชนแห่งชาติแต่งตั้ง 2 คน
- **กรณีแต่งตั้งไม่ทันใน 45 วัน:** สำนักงานเสนอชื่อให้นายกฯ แต่งตั้งแทน
- **โครงสร้างภายใน:** เลือกกันเอง 1 คนเป็นประธาน + 1 คนเป็นเลขานุการ; สำนักงานเป็นหน่วยธุรการ
- **ข้อห้าม:** กรรมการสรรหาไม่มีสิทธิได้รับเสนอชื่อเป็นกรรมการที่ตนเองสรรหา (ป้องกันผลประโยชน์ทับซ้อน)

## มาตราที่อ้างอิง

- [มาตรา 8](https://link.pdpalawbase.com/section/8.md) — องค์ประกอบคณะกรรมการ (ที่คณะกรรมการสรรหานี้ทำหน้าที่คัดเลือก)

## หมายเหตุ

- **หลักการแบ่งแต่งตั้ง 4 องค์กร:** กระจายอำนาจการสรรหาให้องค์กรอิสระหลายแห่ง — ลดอิทธิพลของฝ่ายบริหารเดียวต่อการเลือกกรรมการ

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/section/9.md

============================================================
โนด: มาตรา 10
ลิงก์อ้างอิง: https://link.pdpalawbase.com/section/10.md

# มาตรา 10

## ตัวบท

> มาตรา 10 ในการสรรหาประธานกรรมการตาม[มาตรา 8](https://link.pdpalawbase.com/section/8.md) (1) หรือกรรมการผู้ทรงคุณวุฒิ ตาม[มาตรา 8](https://link.pdpalawbase.com/section/8.md) (4) ให้คณะกรรมการสรรหาคัดเลือกบุคคลผู้มีคุณสมบัติตาม[มาตรา 8](https://link.pdpalawbase.com/section/8.md) (1) หรือตาม[มาตรา 8](https://link.pdpalawbase.com/section/8.md) (4) แล้วแต่กรณี รวมทั้งมีคุณสมบัติและไม่มีลักษณะต้องห้ามตาม[มาตรา 11](https://link.pdpalawbase.com/section/11.md) และยินยอมให้เสนอชื่อเข้ารับคัดเลือกเท่ากับจำนวนประธานกรรมการตาม[มาตรา 8](https://link.pdpalawbase.com/section/8.md) (1) หรือกรรมการผู้ทรงคุณวุฒิตาม[มาตรา 8](https://link.pdpalawbase.com/section/8.md) (4) ที่จะได้รับแต่งตั้ง
>
> เมื่อได้คัดเลือกบุคคลเป็นประธานกรรมการตาม[มาตรา 8](https://link.pdpalawbase.com/section/8.md) (1) หรือกรรมการผู้ทรงคุณวุฒิ ตาม[มาตรา 8](https://link.pdpalawbase.com/section/8.md) (4) ครบจำนวนแล้ว ให้คณะกรรมการสรรหาแจ้งรายชื่อประธานกรรมการตาม[มาตรา 8](https://link.pdpalawbase.com/section/8.md) (1) หรือกรรมการผู้ทรงคุณวุฒิตาม[มาตรา 8](https://link.pdpalawbase.com/section/8.md) (4) พร้อมหลักฐานแสดงคุณสมบัติและการไม่มีลักษณะต้องห้าม รวมทั้งความยินยอมของบุคคลดังกล่าวต่อคณะรัฐมนตรีเพื่อแต่งตั้งเป็นประธานกรรมการตาม[มาตรา 8](https://link.pdpalawbase.com/section/8.md) (1) หรือกรรมการผู้ทรงคุณวุฒิตาม[มาตรา 8](https://link.pdpalawbase.com/section/8.md) (4)
>
> ให้นายกรัฐมนตรีประกาศรายชื่อประธานกรรมการตาม[มาตรา 8](https://link.pdpalawbase.com/section/8.md) (1) หรือกรรมการผู้ทรงคุณวุฒิ ตาม[มาตรา 8](https://link.pdpalawbase.com/section/8.md) (4) ซึ่งได้รับแต่งตั้งจากคณะรัฐมนตรีในราชกิจจานุเบกษา

## สรุป

มาตรานี้กำหนด **กระบวนการสรรหา** ประธานกรรมการและกรรมการผู้ทรงคุณวุฒิตาม [มาตรา 8](https://link.pdpalawbase.com/section/8.md) — ต้องผ่าน 3 ขั้นตอน: (1) คัดเลือกผู้มีคุณสมบัติ + ไม่มีลักษณะต้องห้ามตาม [มาตรา 11](https://link.pdpalawbase.com/section/11.md), (2) แจ้งรายชื่อต่อ ครม. แต่งตั้ง, (3) นายกรัฐมนตรีประกาศในราชกิจจานุเบกษา

## องค์ประกอบสำคัญ

- **ขั้นที่ 1 — คัดเลือก:** คณะกรรมการสรรหาคัดเลือกบุคคลผู้มี
  - คุณสมบัติตาม [มาตรา 8](https://link.pdpalawbase.com/section/8.md) (1) หรือ (4)
  - คุณสมบัติและไม่มีลักษณะต้องห้ามตาม [มาตรา 11](https://link.pdpalawbase.com/section/11.md)
  - ความยินยอมเข้ารับคัดเลือก
- **ขั้นที่ 2 — เสนอ ครม.:** แจ้งรายชื่อ + หลักฐาน + ความยินยอม ต่อคณะรัฐมนตรี
- **ขั้นที่ 3 — ประกาศ:** นายกรัฐมนตรีประกาศในราชกิจจานุเบกษา

## มาตราที่อ้างอิง

- [มาตรา 8](https://link.pdpalawbase.com/section/8.md) — องค์ประกอบคณะกรรมการ (ที่ระบุคุณสมบัติประธานและกรรมการผู้ทรงคุณวุฒิ)
- [มาตรา 11](https://link.pdpalawbase.com/section/11.md) — คุณสมบัติและลักษณะต้องห้าม

## หมายเหตุ

_(ไม่มี)_

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/section/10.md

============================================================
โนด: มาตรา 11
ลิงก์อ้างอิง: https://link.pdpalawbase.com/section/11.md

# มาตรา 11

## ตัวบท

> มาตรา 11 ประธานกรรมการและกรรมการผู้ทรงคุณวุฒิต้องมีคุณสมบัติและไม่มีลักษณะต้องห้าม ดังต่อไปนี้
>
> (1) มีสัญชาติไทย
>
> (2) ไม่เป็นบุคคลล้มละลายหรือเคยเป็นบุคคลล้มละลายทุจริต
>
> (3) ไม่เป็นคนไร้ความสามารถหรือคนเสมือนไร้ความสามารถ
>
> (4) ไม่เคยต้องคำพิพากษาถึงที่สุดให้จำคุกไม่ว่าจะได้รับโทษจำคุกจริงหรือไม่ เว้นแต่เป็นโทษสำหรับความผิดที่ได้กระทำโดยประมาทหรือความผิดลหุโทษ
>
> (5) ไม่เคยถูกไล่ออก ปลดออก หรือให้ออกจากราชการ หน่วยงานของรัฐ หรือรัฐวิสาหกิจ หรือจากหน่วยงานของเอกชน เพราะทุจริตต่อหน้าที่หรือประพฤติชั่วอย่างร้ายแรง
>
> (6) ไม่เคยถูกถอดถอนออกจากตำแหน่งตามกฎหมาย
>
> (7) ไม่เป็นผู้ดำรงตำแหน่งทางการเมือง สมาชิกสภาท้องถิ่น หรือผู้บริหารท้องถิ่น กรรมการหรือผู้ดำรงตำแหน่งซึ่งรับผิดชอบการบริหารพรรคการเมือง ที่ปรึกษาพรรคการเมือง หรือเจ้าหน้าที่พรรคการเมือง

## สรุป

มาตรานี้กำหนด **คุณสมบัติและลักษณะต้องห้าม** ของประธานกรรมการและกรรมการผู้ทรงคุณวุฒิ — มี 7 ข้อ ครอบคลุมตั้งแต่สัญชาติ ฐานะทางการเงิน ความสามารถทางกฎหมาย ประวัติอาชญากรรม ประวัติการทำงาน และความเป็นกลางทางการเมือง

## องค์ประกอบสำคัญ

- **(1) สัญชาติไทย** (คุณสมบัติเชิงบวกเดียว)
- **(2) ไม่เคยล้มละลายทุจริต**
- **(3) ไม่เป็นคนไร้ความสามารถ**
- **(4) ไม่เคยต้องโทษจำคุก** (เว้นแต่ความผิดประมาท/ลหุโทษ)
- **(5) ไม่เคยถูกไล่ออก/ปลดออก** เพราะทุจริต/ประพฤติชั่วร้ายแรง
- **(6) ไม่เคยถูกถอดถอนออกจากตำแหน่งตามกฎหมาย**
- **(7) ไม่เป็นผู้ดำรงตำแหน่งทางการเมือง** (รวมถึงผู้บริหารพรรคการเมือง)

## มาตราที่อ้างอิง

_ไม่มี — มาตรานี้คือรายการคุณสมบัติเอง_

## หมายเหตุ

- **โครงสร้างแบบรายการข้อห้าม:** 6 จาก 7 ข้อเป็นข้อห้าม (ลักษณะต้องห้าม) มีเพียงข้อ (1) ที่เป็นคุณสมบัติเชิงบวก (สัญชาติไทย)

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/section/11.md

============================================================
โนด: มาตรา 12
ลิงก์อ้างอิง: https://link.pdpalawbase.com/section/12.md

# มาตรา 12

## ตัวบท

> มาตรา 12 ประธานกรรมการและกรรมการผู้ทรงคุณวุฒิมีวาระการดำรงตำแหน่งคราวละสี่ปี เมื่อครบกำหนดตามวาระในวรรคหนึ่ง หากยังมิได้มีการแต่งตั้งประธานกรรมการหรือกรรมการผู้ทรงคุณวุฒิขึ้นใหม่ ให้ประธานกรรมการหรือกรรมการผู้ทรงคุณวุฒิซึ่งพ้นจากตำแหน่งตามวาระนั้น อยู่ในตำแหน่งเพื่อดำเนินงานต่อไปจนกว่าประธานกรรมการหรือกรรมการผู้ทรงคุณวุฒิซึ่งได้รับแต่งตั้งใหม่เข้ารับหน้าที่
>
> ประธานกรรมการและกรรมการผู้ทรงคุณวุฒิซึ่งพ้นจากตำแหน่งตามวาระอาจได้รับแต่งตั้งอีกได้ แต่จะดำรงตำแหน่งเกินสองวาระไม่ได้

## สรุป

มาตรานี้กำหนด **วาระการดำรงตำแหน่ง** ของประธานกรรมการและกรรมการผู้ทรงคุณวุฒิ — คราวละ 4 ปี + รักษาการต่อไปได้จนกว่ามีคนใหม่ + แต่งตั้งซ้ำได้แต่ไม่เกิน 2 วาระ (รวม 8 ปีสูงสุด)

## องค์ประกอบสำคัญ

- **วาระ 4 ปี ต่อครั้ง**
- **รักษาการชั่วคราว:** ถ้ายังไม่ได้แต่งตั้งคนใหม่ คนเดิมอยู่ต่อจนกว่าคนใหม่เข้ารับหน้าที่
- **เพดาน 2 วาระ:** แต่งตั้งซ้ำได้ แต่ไม่เกิน 2 วาระ (รวมสูงสุด 8 ปี)

## มาตราที่อ้างอิง

_ไม่มี — มาตรานี้กำหนดวาระเอง_

## หมายเหตุ

_(ไม่มี)_

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/section/12.md

============================================================
โนด: มาตรา 13
ลิงก์อ้างอิง: https://link.pdpalawbase.com/section/13.md

# มาตรา 13

## ตัวบท

> มาตรา 13 นอกจากการพ้นจากตำแหน่งตามวาระตาม[มาตรา 12](https://link.pdpalawbase.com/section/12.md) ประธานกรรมการและกรรมการผู้ทรงคุณวุฒิพ้นจากตำแหน่ง เมื่อ
>
> (1) ตาย
>
> (2) ลาออก
>
> (3) คณะรัฐมนตรีให้ออก เพราะบกพร่องต่อหน้าที่ มีความประพฤติเสื่อมเสีย หรือหย่อนความสามารถ
>
> (4) ขาดคุณสมบัติหรือมีลักษณะต้องห้ามตาม[มาตรา 11](https://link.pdpalawbase.com/section/11.md)
>
> ในกรณีที่ประธานกรรมการหรือกรรมการผู้ทรงคุณวุฒิพ้นจากตำแหน่งก่อนวาระ ให้ผู้ที่ได้รับแต่งตั้งแทนตำแหน่งที่ว่างนั้นดำรงตำแหน่งได้เท่ากับวาระที่เหลืออยู่ของประธานกรรมการหรือกรรมการผู้ทรงคุณวุฒิซึ่งตนแทน เว้นแต่วาระที่เหลืออยู่ไม่ถึงเก้าสิบวันจะไม่แต่งตั้งประธานกรรมการหรือกรรมการผู้ทรงคุณวุฒิแทนก็ได้
>
> ในกรณีที่ประธานกรรมการหรือกรรมการผู้ทรงคุณวุฒิพ้นจากตำแหน่งก่อนวาระ ให้คณะกรรมการประกอบด้วยกรรมการทั้งหมดเท่าที่มีอยู่จนกว่าจะมีการแต่งตั้งประธานกรรมการหรือกรรมการผู้ทรงคุณวุฒิตามวรรคสอง และในกรณีที่ประธานกรรมการพ้นจากตำแหน่งก่อนวาระ ให้รองประธานกรรมการทำหน้าที่ประธานกรรมการเป็นการชั่วคราว

## สรุป

มาตรานี้กำหนด **เหตุพ้นจากตำแหน่งก่อนวาระ** ของประธานกรรมการและกรรมการผู้ทรงคุณวุฒิ — มี 4 เหตุ (ตาย, ลาออก, ครม. ให้ออก, ขาดคุณสมบัติตาม [มาตรา 11](https://link.pdpalawbase.com/section/11.md)) + กลไกแต่งตั้งแทน + รักษาการชั่วคราวกรณีประธานพ้นจากตำแหน่ง

## องค์ประกอบสำคัญ

- **4 เหตุพ้นจากตำแหน่งก่อนวาระ:**
  - **(1)** ตาย
  - **(2)** ลาออก
  - **(3)** คณะรัฐมนตรีให้ออก (บกพร่องหน้าที่/ประพฤติเสื่อมเสีย/หย่อนความสามารถ)
  - **(4)** ขาดคุณสมบัติหรือมีลักษณะต้องห้ามตาม [มาตรา 11](https://link.pdpalawbase.com/section/11.md)
- **กลไกแต่งตั้งแทน:** ดำรงตำแหน่งเท่าวาระที่เหลือ — เว้นแต่เหลือไม่ถึง 90 วัน ไม่ต้องแต่งตั้งแทนก็ได้
- **รักษาการชั่วคราว:** ถ้าประธานกรรมการพ้นจากตำแหน่ง รองประธานทำหน้าที่ประธานชั่วคราว
- **คณะกรรมการในระหว่างนั้น:** ประกอบด้วยกรรมการเท่าที่มีอยู่ จนกว่าจะมีการแต่งตั้งใหม่

## มาตราที่อ้างอิง

- [มาตรา 12](https://link.pdpalawbase.com/section/12.md) — กำหนดวาระการดำรงตำแหน่ง (ที่มาตรานี้เพิ่มเติม "นอกจาก...")
- [มาตรา 11](https://link.pdpalawbase.com/section/11.md) — คุณสมบัติและลักษณะต้องห้าม (ที่ใช้เกณฑ์ใน (4))

## หมายเหตุ

_(ไม่มี)_

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/section/13.md

============================================================
โนด: มาตรา 14
ลิงก์อ้างอิง: https://link.pdpalawbase.com/section/14.md

# มาตรา 14

## ตัวบท

> มาตรา 14 การประชุมคณะกรรมการ ต้องมีกรรมการมาประชุมไม่น้อยกว่ากึ่งหนึ่งของจำนวนกรรมการที่มีอยู่ จึงจะเป็นองค์ประชุม
>
> ให้ประธานกรรมการเป็นประธานในที่ประชุม ในกรณีที่ประธานกรรมการไม่มาประชุมหรือไม่อาจปฏิบัติหน้าที่ได้ ให้รองประธานกรรมการทำหน้าที่เป็นประธานในที่ประชุม ในกรณีที่ประธานกรรมการและรองประธานกรรมการไม่มาประชุมหรือไม่อาจปฏิบัติหน้าที่ได้ ให้กรรมการซึ่งมาประชุมเลือกกรรมการคนหนึ่งเป็นประธานในที่ประชุม
>
> การวินิจฉัยชี้ขาดของที่ประชุมให้ถือเสียงข้างมาก กรรมการคนหนึ่งให้มีเสียงหนึ่งในการลงคะแนน ถ้าคะแนนเสียงเท่ากัน ให้ประธานในที่ประชุมออกเสียงเพิ่มขึ้นอีกเสียงหนึ่งเป็นเสียงชี้ขาด
>
> การประชุมของคณะกรรมการอาจกระทำได้โดยวิธีการทางอิเล็กทรอนิกส์หรือวิธีการอื่นได้ตามที่คณะกรรมการกำหนด

## สรุป

มาตรานี้กำหนด **กฎการประชุมคณะกรรมการ** — องค์ประชุมต้องไม่น้อยกว่ากึ่งหนึ่ง, ลำดับผู้ทำหน้าที่ประธาน (ประธาน → รองประธาน → กรรมการเลือก), เสียงข้างมากตัดสิน + ประธานออกเสียงชี้ขาดถ้าเสียงเท่ากัน, ประชุมทางอิเล็กทรอนิกส์ได้

## องค์ประกอบสำคัญ

- **องค์ประชุม:** ≥ กึ่งหนึ่งของจำนวนกรรมการที่มีอยู่
- **ลำดับประธานที่ประชุม:**
  1. ประธานกรรมการ
  2. รองประธานกรรมการ (ถ้าประธานไม่มา)
  3. กรรมการเลือกกันเอง (ถ้าทั้งคู่ไม่มา)
- **การลงคะแนน:** เสียงข้างมาก / กรรมการคนละ 1 เสียง / ประธานออกเสียงชี้ขาดถ้าเสียงเท่ากัน
- **รูปแบบการประชุม:** ปกติ หรือทางอิเล็กทรอนิกส์ (ตามที่คณะกรรมการกำหนด)

## มาตราที่อ้างอิง

_ไม่มี — มาตรานี้กำหนดกฎการประชุมเอง_

## หมายเหตุ

_(ไม่มี)_

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/section/14.md

============================================================
โนด: มาตรา 15
ลิงก์อ้างอิง: https://link.pdpalawbase.com/section/15.md

# มาตรา 15

## ตัวบท

> มาตรา 15 กรรมการผู้ใดมีส่วนได้เสียไม่ว่าโดยตรงหรือโดยอ้อมในเรื่องที่ที่ประชุมพิจารณา ให้แจ้งการมีส่วนได้เสียของตนให้คณะกรรมการทราบล่วงหน้าก่อนการประชุม และห้ามมิให้ผู้นั้นเข้าร่วมประชุมพิจารณาในเรื่องดังกล่าว

## สรุป

มาตรานี้กำหนด **หลักการป้องกันผลประโยชน์ทับซ้อน** ของกรรมการ — กรรมการที่มีส่วนได้เสีย (ทางตรง/ทางอ้อม) ในเรื่องที่ประชุมพิจารณา ต้องแจ้งล่วงหน้า + ห้ามเข้าร่วมประชุมในเรื่องนั้น

## องค์ประกอบสำคัญ

- **ขอบเขต:** ส่วนได้เสีย "ทางตรงหรือทางอ้อม" ในเรื่องที่ประชุมพิจารณา
- **หน้าที่ 2 ข้อ:**
  - แจ้งคณะกรรมการ **ล่วงหน้าก่อนการประชุม**
  - ห้ามเข้าร่วมประชุมพิจารณาในเรื่องนั้น

## มาตราที่อ้างอิง

_ไม่มี — มาตรานี้กำหนดหลักการเอง_

## หมายเหตุ

_(ไม่มี)_

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/section/15.md

============================================================
โนด: มาตรา 16
ลิงก์อ้างอิง: https://link.pdpalawbase.com/section/16.md

# มาตรา 16

## ตัวบท

> มาตรา 16 คณะกรรมการมีหน้าที่และอำนาจ ดังต่อไปนี้
>
> (1) จัดทำแผนแม่บทการดำเนินงานด้านการส่งเสริม และการคุ้มครองข้อมูลส่วนบุคคล ที่สอดคล้องกับนโยบาย ยุทธศาสตร์ชาติ และแผนระดับชาติที่เกี่ยวข้อง เพื่อเสนอต่อคณะกรรมการดิจิทัลเพื่อเศรษฐกิจและสังคมแห่งชาติตามกฎหมายว่าด้วยการพัฒนาดิจิทัลเพื่อเศรษฐกิจและสังคม
>
> (2) ส่งเสริมและสนับสนุนหน่วยงานของรัฐและภาคเอกชน ดำเนินกิจกรรมตามแผนแม่บทตาม (1) รวมทั้งจัดให้มีการประเมินผลการดำเนินงานตามแผนแม่บทดังกล่าว
>
> (3) กำหนดมาตรการหรือแนวทางการดำเนินการเกี่ยวกับการคุ้มครองข้อมูลส่วนบุคคลเพื่อให้เป็นไปตามพระราชบัญญัตินี้
>
> (4) ออกประกาศหรือระเบียบเพื่อให้การดำเนินการเป็นไปตามพระราชบัญญัตินี้
>
> (5) ประกาศกำหนดหลักเกณฑ์การให้ความคุ้มครองข้อมูลส่วนบุคคลที่ส่งหรือโอนไปยังต่างประเทศ
>
> (6) ประกาศกำหนดข้อปฏิบัติในการคุ้มครองข้อมูลส่วนบุคคลเป็นแนวทางให้ผู้ควบคุมข้อมูลส่วนบุคคลและผู้ประมวลผลข้อมูลส่วนบุคคลปฏิบัติ
>
> (7) เสนอแนะต่อคณะรัฐมนตรีให้มีการตราหรือปรับปรุงกฎหมายหรือกฎที่ใช้บังคับอยู่ในส่วนที่เกี่ยวข้องกับการคุ้มครองข้อมูลส่วนบุคคล
>
> (8) เสนอแนะต่อคณะรัฐมนตรีในการตราพระราชกฤษฎีกาหรือทบทวนความเหมาะสมของพระราชบัญญัตินี้อย่างน้อยทุกรอบห้าปี
>
> (9) ให้คำแนะนำและคำปรึกษาเกี่ยวกับการดำเนินการใด ๆ เพื่อให้ความคุ้มครองข้อมูลส่วนบุคคลของหน่วยงานของรัฐและภาคเอกชนในการปฏิบัติตามพระราชบัญญัตินี้
>
> (10) ตีความและวินิจฉัยชี้ขาดปัญหาที่เกิดจากการบังคับใช้พระราชบัญญัตินี้
>
> (11) ส่งเสริมและสนับสนุนให้เกิดทักษะการเรียนรู้และความเข้าใจเกี่ยวกับการคุ้มครองข้อมูลส่วนบุคคลให้แก่ประชาชน
>
> (12) ส่งเสริมและสนับสนุนการวิจัย เพื่อพัฒนาเทคโนโลยีที่เกี่ยวข้องกับการคุ้มครองข้อมูลส่วนบุคคล
>
> (13) ปฏิบัติการอื่นใดตามที่พระราชบัญญัตินี้หรือกฎหมายอื่นกำหนดให้เป็นหน้าที่และอำนาจของคณะกรรมการ

## สรุป

มาตรานี้กำหนด **13 หน้าที่และอำนาจ** ของคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล — ครอบคลุมตั้งแต่การจัดทำแผนแม่บท ออกประกาศ/ระเบียบ ส่งเสริม/สนับสนุน เสนอแนะกฎหมาย ตีความปัญหา ไปจนถึงการให้ความรู้ประชาชนและส่งเสริมการวิจัย

## องค์ประกอบสำคัญ

**กลุ่มงานวางแผน/นโยบาย:**

- **(1)** จัดทำแผนแม่บท + เสนอคณะกรรมการดิจิทัลแห่งชาติ
- **(2)** ส่งเสริม/สนับสนุนหน่วยงานรัฐ-เอกชนดำเนินการตามแผนแม่บท + ประเมินผล

**กลุ่มงานออกกฎ:**

- **(3)** กำหนดมาตรการ/แนวทางการคุ้มครองข้อมูล
- **(4)** ออกประกาศ/ระเบียบเพื่อบังคับใช้ พ.ร.บ.
- **(5)** ประกาศหลักเกณฑ์การส่ง/โอนข้อมูลไปต่างประเทศ
- **(6)** ประกาศข้อปฏิบัติเป็นแนวทางให้ผู้ควบคุม/ประมวลผล

**กลุ่มงานเสนอแนะ:**

- **(7)** เสนอแนะ ครม. ในการตรา/ปรับปรุงกฎหมาย
- **(8)** เสนอแนะ ครม. ในการตราพระราชกฤษฎีกา + ทบทวน พ.ร.บ. ทุก 5 ปี

**กลุ่มงานบริการ:**

- **(9)** ให้คำแนะนำ/คำปรึกษาแก่หน่วยงานรัฐ-เอกชน
- **(10)** ตีความและวินิจฉัยปัญหาจากการบังคับใช้

**กลุ่มงานส่งเสริม:**

- **(11)** ส่งเสริมความรู้ความเข้าใจให้ประชาชน
- **(12)** ส่งเสริมการวิจัยเทคโนโลยีคุ้มครองข้อมูล
- **(13)** ปฏิบัติการอื่นตามที่ พ.ร.บ. หรือกฎหมายอื่นกำหนด

## มาตราที่อ้างอิง

_ไม่มี — มาตรานี้คือรายการอำนาจหน้าที่ของคณะกรรมการ_

## หมายเหตุ

- **ทบทวน พ.ร.บ. ทุก 5 ปี** ตาม (8) เป็นกลไกป้องกันกฎหมายล้าสมัย

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/section/16.md

============================================================
โนด: มาตรา 17
ลิงก์อ้างอิง: https://link.pdpalawbase.com/section/17.md

# มาตรา 17

## ตัวบท

> มาตรา 17 ให้ประธานกรรมการ รองประธานกรรมการ และกรรมการได้รับเบี้ยประชุมและประโยชน์ตอบแทนอื่นตามหลักเกณฑ์ที่คณะรัฐมนตรีกำหนด
>
> ประธานอนุกรรมการ อนุกรรมการ ประธานกรรมการผู้เชี่ยวชาญ และกรรมการผู้เชี่ยวชาญที่คณะกรรมการแต่งตั้ง ให้ได้รับเบี้ยประชุมและประโยชน์ตอบแทนอื่นตามหลักเกณฑ์ที่คณะกรรมการกำหนดโดยความเห็นชอบของกระทรวงการคลัง

## สรุป

มาตรานี้กำหนด **เบี้ยประชุมและค่าตอบแทน** ของคณะกรรมการและคณะอนุกรรมการ — กรรมการหลัก (ประธาน รองประธาน กรรมการ) ตามหลักเกณฑ์ของ ครม.; ส่วนอนุกรรมการและกรรมการผู้เชี่ยวชาญ ตามหลักเกณฑ์ของคณะกรรมการเองโดยความเห็นชอบของกระทรวงการคลัง

## องค์ประกอบสำคัญ

- **กรรมการหลัก** (ประธาน + รองประธาน + กรรมการ): ค่าตอบแทนตามหลักเกณฑ์ของ **คณะรัฐมนตรี**
- **อนุกรรมการ + กรรมการผู้เชี่ยวชาญ**: ค่าตอบแทนตามหลักเกณฑ์ของ **คณะกรรมการเอง** โดยความเห็นชอบของ **กระทรวงการคลัง**

## มาตราที่อ้างอิง

_ไม่มี — มาตรานี้กำหนดหลักเกณฑ์ค่าตอบแทนเอง_

## หมายเหตุ

_(ไม่มี)_

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/section/17.md

============================================================
โนด: มาตรา 18
ลิงก์อ้างอิง: https://link.pdpalawbase.com/section/18.md

# มาตรา 18

## ตัวบท

> มาตรา 18 คณะกรรมการมีอำนาจแต่งตั้งคณะอนุกรรมการเพื่อพิจารณาหรือปฏิบัติการอย่างใดอย่างหนึ่งตามที่คณะกรรมการมอบหมายได้
>
> การประชุมคณะอนุกรรมการ ให้นำความใน[มาตรา 14](https://link.pdpalawbase.com/section/14.md) และ[มาตรา 15](https://link.pdpalawbase.com/section/15.md) มาใช้บังคับโดยอนุโลม

## สรุป

มาตรานี้กำหนด **อำนาจแต่งตั้งคณะอนุกรรมการ** ของคณะกรรมการ — เพื่อพิจารณา/ปฏิบัติการเฉพาะเรื่องตามที่คณะกรรมการมอบหมาย และให้กฎการประชุม ([มาตรา 14](https://link.pdpalawbase.com/section/14.md)) + ผลประโยชน์ทับซ้อน ([มาตรา 15](https://link.pdpalawbase.com/section/15.md)) นำมาใช้บังคับโดยอนุโลม

## องค์ประกอบสำคัญ

- **อำนาจแต่งตั้งอนุกรรมการ:** คณะกรรมการแต่งตั้งได้ตามที่มอบหมาย (เพื่อพิจารณา/ปฏิบัติการเฉพาะเรื่อง)
- **กฎการประชุมอนุกรรมการ:** ใช้กฎการประชุมคณะกรรมการ ([มาตรา 14](https://link.pdpalawbase.com/section/14.md)) และกฎผลประโยชน์ทับซ้อน ([มาตรา 15](https://link.pdpalawbase.com/section/15.md)) โดยอนุโลม

## มาตราที่อ้างอิง

- [มาตรา 14](https://link.pdpalawbase.com/section/14.md) — กฎการประชุมคณะกรรมการ (นำมาใช้กับอนุกรรมการโดยอนุโลม)
- [มาตรา 15](https://link.pdpalawbase.com/section/15.md) — กฎผลประโยชน์ทับซ้อน (นำมาใช้กับอนุกรรมการโดยอนุโลม)

## หมายเหตุ

_(ไม่มี)_

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/section/18.md

============================================================
โนด: มาตรา 19
ลิงก์อ้างอิง: https://link.pdpalawbase.com/section/19.md

# มาตรา 19

## ตัวบท

> มาตรา 19 ผู้ควบคุมข้อมูลส่วนบุคคลจะกระทำการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลไม่ได้ หากเจ้าของข้อมูลส่วนบุคคลไม่ได้ให้ความยินยอมไว้ก่อนหรือในขณะนั้น เว้นแต่บทบัญญัติแห่งพระราชบัญญัตินี้หรือกฎหมายอื่นบัญญัติให้กระทำได้
>
> การขอความยินยอมต้องทำโดยชัดแจ้ง เป็นหนังสือหรือทำโดยผ่านระบบอิเล็กทรอนิกส์ เว้นแต่โดยสภาพไม่อาจขอความยินยอมด้วยวิธีการดังกล่าวได้
>
> ในการขอความยินยอมจากเจ้าของข้อมูลส่วนบุคคล ผู้ควบคุมข้อมูลส่วนบุคคลต้องแจ้งวัตถุประสงค์ของการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลไปด้วย และการขอความยินยอมนั้นต้องแยกส่วนออกจากข้อความอื่นอย่างชัดเจน มีแบบหรือข้อความที่เข้าถึงได้ง่ายและเข้าใจได้ รวมทั้งใช้ภาษาที่อ่านง่าย และไม่เป็นการหลอกลวงหรือทำให้เจ้าของข้อมูลส่วนบุคคลเข้าใจผิดในวัตถุประสงค์ดังกล่าว ทั้งนี้ คณะกรรมการจะให้ผู้ควบคุมข้อมูลส่วนบุคคลขอความยินยอมจากเจ้าของข้อมูลส่วนบุคคลตามแบบและข้อความที่คณะกรรมการประกาศกำหนดก็ได้
>
> ในการขอความยินยอมจากเจ้าของข้อมูลส่วนบุคคล ผู้ควบคุมข้อมูลส่วนบุคคลต้องคำนึงอย่างถึงที่สุดในความเป็นอิสระของเจ้าของข้อมูลส่วนบุคคลในการให้ความยินยอม ทั้งนี้ ในการเข้าทำสัญญาซึ่งรวมถึงการให้บริการใด ๆ ต้องไม่มีเงื่อนไขในการให้ความยินยอมเพื่อเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลที่ไม่มีความจำเป็นหรือเกี่ยวข้องสำหรับการเข้าทำสัญญาซึ่งรวมถึงการให้บริการนั้น ๆ
>
> เจ้าของข้อมูลส่วนบุคคลจะถอนความยินยอมเสียเมื่อใดก็ได้ โดยจะต้องถอนความยินยอมได้ง่ายเช่นเดียวกับการให้ความยินยอม เว้นแต่มีข้อจำกัดสิทธิในการถอนความยินยอมโดยกฎหมายหรือสัญญาที่ให้ประโยชน์แก่เจ้าของข้อมูลส่วนบุคคล ทั้งนี้ การถอนความยินยอมย่อมไม่ส่งผลกระทบต่อการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลที่เจ้าของข้อมูลส่วนบุคคลได้ให้ความยินยอมไปแล้วโดยชอบตามที่กำหนดไว้ในหมวดนี้
>
> ในกรณีที่การถอนความยินยอมส่งผลกระทบต่อเจ้าของข้อมูลส่วนบุคคลในเรื่องใด ผู้ควบคุมข้อมูลส่วนบุคคลต้องแจ้งให้เจ้าของข้อมูลส่วนบุคคลทราบถึงผลกระทบจากการถอนความยินยอมนั้น
>
> การขอความยินยอมจากเจ้าของข้อมูลส่วนบุคคลที่ไม่เป็นไปตามที่กำหนดไว้ในหมวดนี้ ไม่มีผลผูกพันเจ้าของข้อมูลส่วนบุคคล และไม่ทำให้ผู้ควบคุมข้อมูลส่วนบุคคลสามารถทำการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลได้

## สรุป

มาตรานี้คือ **หลักการความยินยอม** — รากฐานของการคุ้มครองข้อมูลส่วนบุคคลตาม พ.ร.บ. นี้: ผู้ควบคุมข้อมูลห้ามเก็บ/ใช้/เปิดเผยข้อมูลโดยไม่ได้รับความยินยอมจากเจ้าของข้อมูล เว้นแต่กฎหมายบัญญัติให้กระทำได้ — และกำหนดเงื่อนไขการขอความยินยอม รูปแบบ ความเป็นอิสระในการให้ความยินยอม สิทธิถอนความยินยอม รวมถึงผลทางกฎหมายของการขอความยินยอมที่ไม่ถูกต้อง

## องค์ประกอบสำคัญ

- **หลักการพื้นฐาน (วรรค 1):** ห้ามเก็บ/ใช้/เปิดเผยข้อมูลโดยไม่มีความยินยอม เว้นแต่ พ.ร.บ. นี้หรือกฎหมายอื่นบัญญัติ
- **รูปแบบการขอความยินยอม (วรรค 2):** ต้องชัดแจ้ง — เป็นหนังสือ หรือทางอิเล็กทรอนิกส์ เว้นแต่สภาพทำไม่ได้
- **เงื่อนไขการขอความยินยอม (วรรค 3):**
  - ต้องแจ้งวัตถุประสงค์ของการประมวลผล
  - แยกส่วนจากข้อความอื่นอย่างชัดเจน
  - แบบเข้าถึงได้ง่าย เข้าใจได้ ใช้ภาษาที่อ่านง่าย
  - ไม่หลอกลวงหรือทำให้เข้าใจผิดในวัตถุประสงค์
  - คณะกรรมการอาจประกาศกำหนดแบบและข้อความได้
- **ความเป็นอิสระในการให้ความยินยอม (วรรค 4):**
  - ผู้ควบคุมต้องคำนึง "อย่างถึงที่สุด" ในความเป็นอิสระของเจ้าของข้อมูล
  - ห้ามผูกการให้ความยินยอมเข้ากับการเข้าทำสัญญา/การให้บริการ ที่ไม่จำเป็นหรือไม่เกี่ยวข้องกับสัญญานั้น
- **สิทธิถอนความยินยอม (วรรค 5):**
  - ถอนได้เมื่อใดก็ได้ — และต้องถอน "ได้ง่าย" เช่นเดียวกับการให้ความยินยอม
  - ข้อจำกัด: เฉพาะที่กฎหมายหรือสัญญาที่ให้ประโยชน์แก่เจ้าของข้อมูลกำหนด
  - ผลของการถอน: ไม่ย้อนหลัง — ไม่กระทบต่อการประมวลผลที่กระทำไปแล้วโดยชอบ
- **หน้าที่แจ้งผลกระทบ (วรรค 6):** ในกรณีการถอนความยินยอมส่งผลกระทบ ผู้ควบคุมต้องแจ้งให้เจ้าของข้อมูลทราบ
- **ผลทางกฎหมายของการขอความยินยอมที่ไม่ถูกต้อง (วรรค 7):**
  - ความยินยอมที่ขอไม่เป็นไปตามหมวดนี้ — **ไม่มีผลผูกพัน** เจ้าของข้อมูล
  - ผู้ควบคุมไม่ได้สิทธิประมวลผล แม้ว่าเจ้าของข้อมูลจะ "ลงนามยินยอม" แล้วก็ตาม

## มาตราที่อ้างอิง

ตัวบทมาตรานี้ไม่ได้อ้างอิงมาตราอื่นโดยตรง แต่เป็นรากฐานที่ถูกอ้างอิงจากหลายมาตรา (อ้างกลับ):

- [มาตรา 20](https://link.pdpalawbase.com/section/20.md) — ขยายความสำหรับเจ้าของข้อมูลที่เป็นผู้เยาว์/คนไร้ความสามารถ/คนเสมือนไร้ความสามารถ (ใครเป็นผู้ให้ความยินยอมแทน)
- [มาตรา 23](https://link.pdpalawbase.com/section/23.md) — ใน (6) แจ้งสิทธิเจ้าของข้อมูลรวมถึงสิทธิถอนความยินยอมตามวรรคห้าของมาตรานี้
- [มาตรา 24](https://link.pdpalawbase.com/section/24.md) — ฐานทางกฎหมาย 6 ข้อยกเว้นที่ไม่ต้องขอความยินยอมในการเก็บรวบรวม
- [มาตรา 25](https://link.pdpalawbase.com/section/25.md) — การเก็บข้อมูลจากแหล่งอื่นที่ไม่ใช่เจ้าของข้อมูลโดยตรง — อิงหลักความยินยอมของมาตรานี้
- [มาตรา 26](https://link.pdpalawbase.com/section/26.md) — ฐานสำหรับข้อมูลอ่อนไหวที่ต้อง "ความยินยอมโดยชัดแจ้ง" (เข้มกว่าความยินยอมทั่วไปในมาตรานี้)

## หมายเหตุ

- **หลักห้ามผูกความยินยอมกับสัญญาที่ไม่เกี่ยวข้อง (วรรค 4):** ห้ามผูกความยินยอมเข้ากับการเข้าทำสัญญา/การให้บริการที่ไม่เกี่ยวข้อง — ป้องกันการบังคับให้เจ้าของข้อมูลต้องยอมรับการประมวลผลที่ไม่จำเป็นเพื่อจะได้ใช้บริการ
- **สิทธิถอนความยินยอมต้อง "ได้ง่ายเช่นเดียวกับการให้" (วรรค 5):** หลักความเท่าเทียมระหว่างการให้และการถอน — ถ้าให้ความยินยอมด้วยการคลิก 1 ครั้ง การถอนต้องไม่ยุ่งยากกว่านั้น (ในแนวปฏิบัติคือ ต้องมีช่องทางถอนความยินยอมที่มองเห็นได้และทำได้ทันที)
- **ผลย้อนหลังของการถอน (วรรค 5):** การถอนความยินยอม **ไม่ลบล้าง** การประมวลผลที่ทำไปแล้ว — ดังนั้นเจ้าของข้อมูลที่ต้องการลบข้อมูลย้อนหลังต้องใช้สิทธิอื่น (เช่น สิทธิขอลบ) แยกต่างหาก
- **ความสัมพันธ์กับมาตราอื่นในหมวด 2:** มาตรานี้เป็น **หลักทั่วไป** ของการประมวลผลด้วยความยินยอม; [มาตรา 20](https://link.pdpalawbase.com/section/20.md) = ผู้ให้ความยินยอมแทนสำหรับผู้เยาว์/คนไร้ความสามารถ/คนเสมือนไร้ความสามารถ; [มาตรา 24](https://link.pdpalawbase.com/section/24.md) = ฐานข้อยกเว้นที่ไม่ต้องขอความยินยอม; [มาตรา 26](https://link.pdpalawbase.com/section/26.md) = ฐานข้อมูลอ่อนไหวที่เข้มกว่า

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/section/19.md

============================================================
โนด: มาตรา 20
ลิงก์อ้างอิง: https://link.pdpalawbase.com/section/20.md

# มาตรา 20

## ตัวบท

> มาตรา 20 ในกรณีที่เจ้าของข้อมูลส่วนบุคคลเป็นผู้เยาว์ซึ่งยังไม่บรรลุนิติภาวะโดยการสมรสหรือไม่มีฐานะเสมือนดังบุคคลซึ่งบรรลุนิติภาวะแล้วตามมาตรา 27 แห่งประมวลกฎหมายแพ่งและพาณิชย์ การขอความยินยอมจากเจ้าของข้อมูลส่วนบุคคลดังกล่าว ให้ดำเนินการ ดังต่อไปนี้
>
> (1) ในกรณีที่การให้ความยินยอมของผู้เยาว์ไม่ใช่การใด ๆ ซึ่งผู้เยาว์อาจให้ความยินยอมโดยลำพังได้ตามที่บัญญัติไว้ในมาตรา 22 มาตรา 23 หรือมาตรา 24 แห่งประมวลกฎหมายแพ่งและพาณิชย์ ต้องได้รับความยินยอมจากผู้ใช้อำนาจปกครองที่มีอำนาจกระทำการแทนผู้เยาว์ด้วย
>
> (2) ในกรณีที่ผู้เยาว์มีอายุไม่เกินสิบปี ให้ขอความยินยอมจากผู้ใช้อำนาจปกครองที่มีอำนาจกระทำการแทนผู้เยาว์
>
> ในกรณีที่เจ้าของข้อมูลส่วนบุคคลเป็นคนไร้ความสามารถ การขอความยินยอมจากเจ้าของข้อมูลส่วนบุคคลดังกล่าว ให้ขอความยินยอมจากผู้อนุบาลที่มีอำนาจกระทำการแทนคนไร้ความสามารถ
>
> ในกรณีที่เจ้าของข้อมูลส่วนบุคคลเป็นคนเสมือนไร้ความสามารถ การขอความยินยอมจากเจ้าของข้อมูลส่วนบุคคลดังกล่าว ให้ขอความยินยอมจากผู้พิทักษ์ที่มีอำนาจกระทำการแทนคนเสมือนไร้ความสามารถ
>
> ให้นำความในวรรคหนึ่ง วรรคสอง และวรรคสาม มาใช้บังคับกับการถอนความยินยอมของเจ้าของข้อมูลส่วนบุคคล การแจ้งให้เจ้าของข้อมูลส่วนบุคคลทราบ การใช้สิทธิของเจ้าของข้อมูลส่วนบุคคล การร้องเรียนของเจ้าของข้อมูลส่วนบุคคล และการอื่นใดตามพระราชบัญญัตินี้ในกรณีที่เจ้าของข้อมูลส่วนบุคคลเป็นผู้เยาว์ คนไร้ความสามารถ หรือคนเสมือนไร้ความสามารถ โดยอนุโลม

## สรุป

มาตรานี้ขยายความ [มาตรา 19](https://link.pdpalawbase.com/section/19.md) **สำหรับเจ้าของข้อมูลที่เป็นผู้เยาว์ คนไร้ความสามารถ หรือคนเสมือนไร้ความสามารถ** — กำหนดว่าใครเป็นผู้ให้ความยินยอมแทน (ผู้ใช้อำนาจปกครอง / ผู้อนุบาล / ผู้พิทักษ์) ตามสถานะของเจ้าของข้อมูล รวมถึงให้กฎเดียวกันใช้กับการถอนความยินยอม การแจ้ง การใช้สิทธิ และการร้องเรียน โดยอนุโลม

## องค์ประกอบสำคัญ

- **ผู้เยาว์ (วรรคหนึ่ง):** เจ้าของข้อมูลที่ยังไม่บรรลุนิติภาวะตามประมวลกฎหมายแพ่งและพาณิชย์ (ป.พ.พ.) — ทั้งโดยอายุและโดยฐานะ
  - **(1) กรณีทั่วไป:** ต้องได้รับความยินยอมจากผู้ใช้อำนาจปกครองด้วย — ยกเว้นกรณีที่ผู้เยาว์ให้ความยินยอมโดยลำพังได้ตาม ป.พ.พ. (ดูในตัวบทข้างต้น)
  - **(2) ผู้เยาว์อายุไม่เกิน 10 ปี:** ขอความยินยอมจากผู้ใช้อำนาจปกครองโดยตรง (ไม่ขอจากผู้เยาว์เลย)
- **คนไร้ความสามารถ (วรรคสอง):** ขอความยินยอมจาก **ผู้อนุบาล** ที่มีอำนาจกระทำการแทน
- **คนเสมือนไร้ความสามารถ (วรรคสาม):** ขอความยินยอมจาก **ผู้พิทักษ์** ที่มีอำนาจกระทำการแทน
- **ขอบเขตการบังคับใช้โดยอนุโลม (วรรคสี่):** กฎข้างต้น (ผู้ให้ความยินยอมแทน) ใช้บังคับกับเรื่องอื่น ๆ ตาม พ.ร.บ. นี้ ด้วย:
  - การถอนความยินยอม
  - การแจ้งให้เจ้าของข้อมูลทราบ
  - การใช้สิทธิของเจ้าของข้อมูล (เช่น [มาตรา 30](https://link.pdpalawbase.com/section/30.md) สิทธิเข้าถึง, [มาตรา 36](https://link.pdpalawbase.com/section/36.md) สิทธิแก้ไข)
  - การร้องเรียน
  - การอื่นใดตาม พ.ร.บ. นี้

## มาตราที่อ้างอิง

- [มาตรา 19](https://link.pdpalawbase.com/section/19.md) — หลักทั่วไปของความยินยอม (มาตรานี้เป็นส่วนขยายสำหรับผู้เยาว์/คนไร้ความสามารถ/คนเสมือนไร้ความสามารถ)
- [มาตรา 30](https://link.pdpalawbase.com/section/30.md) — สิทธิเข้าถึงข้อมูลของเจ้าของข้อมูล (กฎผู้ให้ความยินยอมแทนใช้กับการใช้สิทธินี้ด้วย)
- [มาตรา 36](https://link.pdpalawbase.com/section/36.md) — สิทธิแก้ไขข้อมูลของเจ้าของข้อมูล (กฎผู้ให้ความยินยอมแทนใช้กับการใช้สิทธินี้ด้วย)

## หมายเหตุ

- **กฎ ป.พ.พ. ที่อ้างถึงในตัวบท:** ตัวบทข้างต้นอ้าง 4 บทบัญญัติของ **ประมวลกฎหมายแพ่งและพาณิชย์** (ดูเลขมาตราเฉพาะในตัวบทข้างต้น) — ทั้งหมดเป็นกฎเรื่อง **ความสามารถของผู้เยาว์ในการทำนิติกรรม** ใน ป.พ.พ. (ไม่ใช่มาตราของ พ.ร.บ. PDPA นี้)
- **อายุ 10 ปี เป็นเส้นแบ่ง (วรรคหนึ่ง (2)):** ต่ำกว่านี้ขอจากผู้ปกครองโดยตรง — เป็นการคุ้มครองเด็กเล็กที่ยังตัดสินใจให้ความยินยอมไม่ได้
- **ผู้อนุบาล vs ผู้พิทักษ์:** เป็นบุคคลที่ศาลแต่งตั้งตาม ป.พ.พ. — ผู้อนุบาลทำแทน "คนไร้ความสามารถ" ทุกอย่าง; ผู้พิทักษ์ให้ความยินยอมแก่ "คนเสมือนไร้ความสามารถ" สำหรับกิจการบางประเภทตามที่กฎหมายกำหนด — ความเข้มของอำนาจต่างกัน
- **ขอบเขตวรรคสี่ขยายกว้าง:** "การอื่นใดตามพระราชบัญญัตินี้" — รวมการใช้สิทธิทุกข้อในหมวด 3 (สิทธิของเจ้าของข้อมูล) และการร้องเรียนในหมวด 5 — ผู้แทนต้องดำเนินการในนามของเจ้าของข้อมูล

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/section/20.md

============================================================
โนด: มาตรา 21
ลิงก์อ้างอิง: https://link.pdpalawbase.com/section/21.md

# มาตรา 21

## ตัวบท

> มาตรา 21 ผู้ควบคุมข้อมูลส่วนบุคคลต้องทำการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลตามวัตถุประสงค์ที่ได้แจ้งเจ้าของข้อมูลส่วนบุคคลไว้ก่อนหรือในขณะที่เก็บรวบรวม
>
> การเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลที่แตกต่างไปจากวัตถุประสงค์ที่ได้แจ้งไว้ตามวรรคหนึ่งจะกระทำมิได้ เว้นแต่
>
> (1) ได้แจ้งวัตถุประสงค์ใหม่นั้นให้เจ้าของข้อมูลส่วนบุคคลทราบและได้รับความยินยอมก่อนเก็บรวบรวม ใช้ หรือเปิดเผยแล้ว
>
> (2) บทบัญญัติแห่งพระราชบัญญัตินี้หรือกฎหมายอื่นบัญญัติให้กระทำได้

## สรุป

มาตรานี้คือ **หลักจำกัดวัตถุประสงค์** — ผู้ควบคุมข้อมูลต้องประมวลผลข้อมูลตามวัตถุประสงค์ที่ "ได้แจ้งไว้" ก่อนหรือในขณะเก็บรวบรวมเท่านั้น; การประมวลผลเพื่อวัตถุประสงค์ใหม่ที่ต่างจากเดิมทำไม่ได้ ยกเว้น (1) แจ้งวัตถุประสงค์ใหม่และได้รับความยินยอมก่อน หรือ (2) มีกฎหมายบัญญัติให้กระทำได้

## องค์ประกอบสำคัญ

- **หลักการ (วรรคหนึ่ง):** การเก็บ/ใช้/เปิดเผยข้อมูล ต้องเป็นไปตาม **วัตถุประสงค์ที่ได้แจ้ง** ก่อนหรือในขณะเก็บรวบรวม
- **ข้อห้าม (วรรคสอง):** การประมวลผลที่แตกต่างจากวัตถุประสงค์ที่แจ้งไว้ — ห้ามกระทำ ยกเว้นเข้าข้อยกเว้น
- **ข้อยกเว้น 2 กรณี:**
  - **(1) ความยินยอมใหม่:** แจ้งวัตถุประสงค์ใหม่ให้เจ้าของข้อมูลทราบ + ได้รับความยินยอม **ก่อน** เริ่มประมวลผล
  - **(2) กฎหมายบัญญัติ:** พ.ร.บ. นี้หรือกฎหมายอื่นกำหนดให้กระทำได้

## มาตราที่อ้างอิง

ตัวบทมาตรานี้ไม่ได้อ้างอิงมาตราอื่นโดยตรง แต่เป็นหลักที่เชื่อมโยงกับมาตราอื่น:

- [มาตรา 23](https://link.pdpalawbase.com/section/23.md) — วัตถุประสงค์ที่ "ได้แจ้ง" ตามมาตรานี้ คือสิ่งที่ผู้ควบคุมข้อมูลต้องระบุในการแจ้งการประมวลผลข้อมูลตาม [มาตรา 23](https://link.pdpalawbase.com/section/23.md) (1)
- [มาตรา 25](https://link.pdpalawbase.com/section/25.md) — การเก็บข้อมูลจากแหล่งอื่น (วรรค 3) อ้างกลับมาที่หลัก "การแจ้งวัตถุประสงค์ใหม่" ของมาตรานี้สำหรับข้อมูลที่เก็บมาแล้ว

## หมายเหตุ

- **หลักจำกัดวัตถุประสงค์** เป็น 1 ในหลักการพื้นฐานของการคุ้มครองข้อมูลส่วนบุคคล — ป้องกันการขยายวัตถุประสงค์เดิมไปเรื่อย ๆ โดยไม่บอกเจ้าของข้อมูล
- **ความสำคัญของ "ก่อนหรือในขณะเก็บรวบรวม":** วัตถุประสงค์ต้องประกาศไว้ "ตั้งแต่ต้น" — ผู้ควบคุมจะมาคิดวัตถุประสงค์ใหม่หลังเก็บไปแล้วโดยไม่ขอความยินยอมไม่ได้
- **ความเชื่อมโยงกับ [มาตรา 23](https://link.pdpalawbase.com/section/23.md) (การแจ้งการประมวลผล):** ในแนวปฏิบัติ — การแจ้งการประมวลผลต้องระบุวัตถุประสงค์ครอบคลุมตามที่จะใช้จริง; ไม่ใช่ระบุกว้าง ๆ "เพื่อใช้ตามที่บริษัทเห็นสมควร" ซึ่งจะถือว่าไม่ "ได้แจ้งไว้" ตามมาตรานี้
- **ผลของการละเมิด:** ถ้าผู้ควบคุมประมวลผลข้อมูลเพื่อวัตถุประสงค์ใหม่โดยไม่เข้าข้อยกเว้น (1) หรือ (2) — ถือว่าเป็นการประมวลผลโดยไม่ชอบด้วยกฎหมาย; เจ้าของข้อมูลสามารถใช้สิทธิคัดค้านและร้องเรียนได้

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/section/21.md

============================================================
โนด: มาตรา 22
ลิงก์อ้างอิง: https://link.pdpalawbase.com/section/22.md

# มาตรา 22

## ตัวบท

> มาตรา 22 การเก็บรวบรวมข้อมูลส่วนบุคคล ให้เก็บรวบรวมได้เท่าที่จำเป็นภายใต้วัตถุประสงค์อันชอบด้วยกฎหมายของผู้ควบคุมข้อมูลส่วนบุคคล

## สรุป

มาตรานี้คือ **หลักความจำเป็น** — เปิดส่วนที่ 2 (การเก็บรวบรวมข้อมูลส่วนบุคคล) ของหมวด 2: ผู้ควบคุมข้อมูลเก็บรวบรวมได้ "เท่าที่จำเป็น" ภายใต้ "วัตถุประสงค์อันชอบด้วยกฎหมาย" เท่านั้น — ไม่เก็บเกินกว่าที่จำเป็นและไม่เก็บเพื่อวัตถุประสงค์ที่ขัดกฎหมาย

## องค์ประกอบสำคัญ

- **เกณฑ์ที่ 1 — เท่าที่จำเป็น:** ปริมาณ ประเภท และรายละเอียดของข้อมูลที่เก็บ ต้องไม่เกินกว่าที่จำเป็นต่อการบรรลุวัตถุประสงค์ — ห้ามเก็บข้อมูล "เผื่อไว้" หรือ "เก็บไว้ก่อนเพราะอาจมีประโยชน์"
- **เกณฑ์ที่ 2 — วัตถุประสงค์อันชอบด้วยกฎหมาย:** วัตถุประสงค์ของการเก็บต้องไม่ขัดกฎหมาย — ต้องเข้าฐานทางกฎหมายตาม [มาตรา 24](https://link.pdpalawbase.com/section/24.md) หรือมีความยินยอมตาม [มาตรา 19](https://link.pdpalawbase.com/section/19.md)
- **ขอบเขตของมาตรานี้:** ใช้กับการ "เก็บรวบรวม" — การ "ใช้" และ "เปิดเผย" มีกฎเพิ่มเติมในมาตราต่อ ๆ ไป (โดยเฉพาะส่วนที่ 3 ของหมวด 2)

## มาตราที่อ้างอิง

ตัวบทมาตรานี้ไม่ได้อ้างอิงมาตราอื่นโดยตรง แต่เชื่อมโยงกับ:

- [มาตรา 19](https://link.pdpalawbase.com/section/19.md) — หลักความยินยอมที่ต้องมีก่อนเก็บ (เว้นแต่เข้าข้อยกเว้น)
- [มาตรา 24](https://link.pdpalawbase.com/section/24.md) — ฐานทางกฎหมาย 6 ข้อยกเว้นที่ไม่ต้องขอความยินยอม

## หมายเหตุ

- **เปิดส่วนที่ 2 ของหมวด 2:** ส่วนที่ 2 ครอบคลุมมาตรานี้ถึง [มาตรา 26](https://link.pdpalawbase.com/section/26.md) — เน้นกฎเฉพาะของการ "เก็บรวบรวม" (ก่อนการใช้/เปิดเผยที่อยู่ในส่วนที่ 3)
- **หลักการเก็บข้อมูลเท่าที่จำเป็น** เป็นหลักการพื้นฐานสากลของการคุ้มครองข้อมูล — ป้องกันการสะสมข้อมูลส่วนเกินที่ไม่จำเป็น ลดผลกระทบเมื่อเกิดเหตุละเมิด
- **"อันชอบด้วยกฎหมาย":** ครอบคลุม 2 มิติ — (ก) ฐานในการประมวลผลที่ถูกต้องตาม [มาตรา 24](https://link.pdpalawbase.com/section/24.md) หรือ [มาตรา 19](https://link.pdpalawbase.com/section/19.md) (ข) วัตถุประสงค์ที่ไม่ขัดกฎหมายอื่น (เช่น ไม่เก็บข้อมูลเพื่อใช้ในการกระทำผิด)
- **การปฏิบัติจริง:** ผู้ควบคุมข้อมูลควรกำหนดวัตถุประสงค์ของการเก็บไว้ล่วงหน้า แล้วเก็บเฉพาะข้อมูลที่จำเป็นต่อวัตถุประสงค์นั้น — ใช้หลัก "เก็บน้อย ใช้น้อย" เป็นแนวคิดในการออกแบบกระบวนการ

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/section/22.md

============================================================
โนด: มาตรา 23
ลิงก์อ้างอิง: https://link.pdpalawbase.com/section/23.md

# มาตรา 23

## ตัวบท

> มาตรา 23 ในการเก็บรวบรวมข้อมูลส่วนบุคคล ผู้ควบคุมข้อมูลส่วนบุคคลจะต้องแจ้งให้เจ้าของข้อมูลส่วนบุคคลทราบก่อนหรือในขณะเก็บรวบรวมข้อมูลส่วนบุคคลถึงรายละเอียดดังต่อไปนี้ เว้นแต่เจ้าของข้อมูลส่วนบุคคลได้ทราบถึงรายละเอียดนั้นอยู่แล้ว
>
> (1) วัตถุประสงค์ของการเก็บรวบรวมเพื่อการนำข้อมูลส่วนบุคคลไปใช้หรือเปิดเผยซึ่งรวมถึงวัตถุประสงค์ตามที่[มาตรา 24](https://link.pdpalawbase.com/section/24.md)ให้อำนาจในการเก็บรวบรวมได้โดยไม่ได้รับความยินยอมจากเจ้าของข้อมูลส่วนบุคคล
>
> (2) แจ้งให้ทราบถึงกรณีที่เจ้าของข้อมูลส่วนบุคคลต้องให้ข้อมูลส่วนบุคคลเพื่อปฏิบัติตามกฎหมายหรือสัญญาหรือมีความจำเป็นต้องให้ข้อมูลส่วนบุคคลเพื่อเข้าทำสัญญา รวมทั้งแจ้งถึงผลกระทบที่เป็นไปได้จากการไม่ให้ข้อมูลส่วนบุคคล
>
> (3) ข้อมูลส่วนบุคคลที่จะมีการเก็บรวบรวมและระยะเวลาในการเก็บรวบรวมไว้ ทั้งนี้ ในกรณีที่ไม่สามารถกำหนดระยะเวลาดังกล่าวได้ชัดเจน ให้กำหนดระยะเวลาที่อาจคาดหมายได้ตามมาตรฐานของการเก็บรวบรวม
>
> (4) ประเภทของบุคคลหรือหน่วยงานซึ่งข้อมูลส่วนบุคคลที่เก็บรวบรวมอาจจะถูกเปิดเผย
>
> (5) ข้อมูลเกี่ยวกับผู้ควบคุมข้อมูลส่วนบุคคล สถานที่ติดต่อ และวิธีการติดต่อ ในกรณีที่มีตัวแทนหรือเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล ให้แจ้งข้อมูล สถานที่ติดต่อ และวิธีการติดต่อของตัวแทนหรือเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลด้วย
>
> (6) สิทธิของเจ้าของข้อมูลส่วนบุคคลตาม[มาตรา 19](https://link.pdpalawbase.com/section/19.md) วรรคห้า [มาตรา 30](https://link.pdpalawbase.com/section/30.md) วรรคหนึ่ง [มาตรา 31](https://link.pdpalawbase.com/section/31.md) วรรคหนึ่ง [มาตรา 32](https://link.pdpalawbase.com/section/32.md) วรรคหนึ่ง [มาตรา 33](https://link.pdpalawbase.com/section/33.md) วรรคหนึ่ง [มาตรา 34](https://link.pdpalawbase.com/section/34.md) วรรคหนึ่ง [มาตรา 36](https://link.pdpalawbase.com/section/36.md) วรรคหนึ่ง และ[มาตรา 73](https://link.pdpalawbase.com/section/73.md) วรรคหนึ่ง

## สรุป

มาตรานี้กำหนด **หน้าที่ของผู้ควบคุมข้อมูลในการแจ้งข้อมูล** (การแจ้งความเป็นส่วนตัว) ให้เจ้าของข้อมูลทราบก่อนหรือในขณะเก็บรวบรวมข้อมูลส่วนบุคคล โดยต้องแจ้ง 6 รายละเอียดสำคัญ ได้แก่ วัตถุประสงค์ เงื่อนไขการให้ข้อมูล ระยะเวลาเก็บ ผู้รับข้อมูล ข้อมูลผู้ควบคุม/DPO และสิทธิของเจ้าของข้อมูล — เว้นแต่เจ้าของข้อมูลทราบรายละเอียดเหล่านั้นแล้ว

## องค์ประกอบสำคัญ

- **เวลาที่ต้องแจ้ง:** "ก่อนหรือในขณะเก็บรวบรวม" — ไม่ใช่หลังเก็บแล้ว
- **ข้อยกเว้น:** ไม่ต้องแจ้งหากเจ้าของข้อมูลทราบรายละเอียดอยู่แล้ว
- **6 รายละเอียดที่ต้องแจ้ง:**
  1. วัตถุประสงค์ — รวมถึงวัตถุประสงค์ตาม [มาตรา 24](https://link.pdpalawbase.com/section/24.md) ที่ไม่ต้องขอความยินยอม
  2. เงื่อนไขการให้ข้อมูล — กรณีที่จำเป็นเพื่อสัญญา/กฎหมาย + ผลกระทบหากไม่ให้
  3. ประเภทข้อมูลและระยะเวลาการเก็บ
  4. ผู้รับข้อมูล (ประเภทบุคคล/หน่วยงานที่อาจได้รับ)
  5. ข้อมูลติดต่อผู้ควบคุมและ DPO
  6. สิทธิของเจ้าของข้อมูล — อ้างอิง 9 มาตราด้านสิทธิ

## มาตราที่อ้างอิง

- [มาตรา 24](https://link.pdpalawbase.com/section/24.md) — ฐานในการเก็บรวบรวมโดยไม่ต้องขอความยินยอม (อ้างใน (1))
- [มาตรา 19](https://link.pdpalawbase.com/section/19.md) วรรคห้า — สิทธิเพิกถอนความยินยอม
- [มาตรา 30](https://link.pdpalawbase.com/section/30.md) — สิทธิขอเข้าถึงข้อมูล
- [มาตรา 31](https://link.pdpalawbase.com/section/31.md) — สิทธิให้โอนย้ายข้อมูล (สิทธิย้ายข้อมูลข้ามผู้ให้บริการ)
- [มาตรา 32](https://link.pdpalawbase.com/section/32.md) — สิทธิคัดค้านการประมวลผล
- [มาตรา 33](https://link.pdpalawbase.com/section/33.md) — สิทธิขอลบข้อมูล (สิทธิที่จะถูกลืม)
- [มาตรา 34](https://link.pdpalawbase.com/section/34.md) — สิทธิระงับการใช้ข้อมูล
- [มาตรา 36](https://link.pdpalawbase.com/section/36.md) — สิทธิขอแก้ไขข้อมูล
- [มาตรา 73](https://link.pdpalawbase.com/section/73.md) — สิทธิร้องเรียน

## หมายเหตุ

- **เทียบ GDPR:** มาตรานี้สอดคล้องกับ Article 13-14 ของ GDPR (ข้อมูลที่ต้องแจ้งเมื่อเก็บข้อมูลส่วนบุคคล)
- **แนวปฏิบัติที่ดี:** ผู้ควบคุมข้อมูลมักจัดทำ "นโยบายความเป็นส่วนตัว" หรือ "ประกาศการคุ้มครองข้อมูลส่วนบุคคล" ที่ครอบคลุม 6 รายการนี้และเผยแพร่บนเว็บไซต์/แอปพลิเคชัน
- **กรณี DPO:** หากองค์กรมีเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล ([มาตรา 41](https://link.pdpalawbase.com/section/41.md)) ต้องแจ้งข้อมูลติดต่อ DPO ตาม (5) ด้วย

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/section/23.md

============================================================
โนด: มาตรา 24
ลิงก์อ้างอิง: https://link.pdpalawbase.com/section/24.md

# มาตรา 24

## ตัวบท

> มาตรา 24 ห้ามมิให้ผู้ควบคุมข้อมูลส่วนบุคคลทำการเก็บรวบรวมข้อมูลส่วนบุคคลโดยไม่ได้รับความยินยอมจากเจ้าของข้อมูลส่วนบุคคล เว้นแต่
>
> (1) เพื่อให้บรรลุวัตถุประสงค์ที่เกี่ยวกับการจัดทำเอกสารประวัติศาสตร์หรือจดหมายเหตุเพื่อประโยชน์สาธารณะ หรือที่เกี่ยวกับการศึกษาวิจัยหรือสถิติซึ่งได้จัดให้มีมาตรการปกป้องที่เหมาะสมเพื่อคุ้มครองสิทธิและเสรีภาพของเจ้าของข้อมูลส่วนบุคคล ทั้งนี้ ตามที่คณะกรรมการประกาศกำหนด
>
> (2) เพื่อป้องกันหรือระงับอันตรายต่อชีวิต ร่างกาย หรือสุขภาพของบุคคล
>
> (3) เป็นการจำเป็นเพื่อการปฏิบัติตามสัญญาซึ่งเจ้าของข้อมูลส่วนบุคคลเป็นคู่สัญญาหรือเพื่อใช้ในการดำเนินการตามคำขอของเจ้าของข้อมูลส่วนบุคคลก่อนเข้าทำสัญญานั้น
>
> (4) เป็นการจำเป็นเพื่อการปฏิบัติหน้าที่ในการดำเนินภารกิจเพื่อประโยชน์สาธารณะของผู้ควบคุมข้อมูลส่วนบุคคล หรือปฏิบัติหน้าที่ในการใช้อำนาจรัฐที่ได้มอบให้แก่ผู้ควบคุมข้อมูลส่วนบุคคล
>
> (5) เป็นการจำเป็นเพื่อประโยชน์โดยชอบด้วยกฎหมายของผู้ควบคุมข้อมูลส่วนบุคคล หรือของบุคคลหรือนิติบุคคลอื่นที่ไม่ใช่ผู้ควบคุมข้อมูลส่วนบุคคล เว้นแต่ประโยชน์ดังกล่าวมีความสำคัญน้อยกว่าสิทธิขั้นพื้นฐานในข้อมูลส่วนบุคคลของเจ้าของข้อมูลส่วนบุคคล
>
> (6) เป็นการปฏิบัติตามกฎหมายของผู้ควบคุมข้อมูลส่วนบุคคล

## สรุป

มาตรานี้คือ **หัวใจของฐานทางกฎหมายในการเก็บรวบรวมข้อมูล** กำหนดว่าโดยหลักการแล้ว ผู้ควบคุมข้อมูลต้องได้รับ **ความยินยอม** จากเจ้าของข้อมูลก่อนเก็บรวบรวม — แต่มีข้อยกเว้น 6 ข้อที่อนุญาตให้เก็บได้โดยไม่ต้องขอความยินยอม

## องค์ประกอบสำคัญ

- **หลักการพื้นฐาน:** ห้ามเก็บข้อมูลโดยไม่ได้รับความยินยอม
- **6 ข้อยกเว้น (ฐานทางกฎหมาย):**
  1. **วิจัย/สถิติ/จดหมายเหตุ** — ต้องมีมาตรการปกป้องตามที่คณะกรรมการกำหนด
  2. **ประโยชน์อันสำคัญยิ่ง** — ป้องกันอันตรายต่อชีวิต/ร่างกาย/สุขภาพ
  3. **สัญญา** — จำเป็นเพื่อปฏิบัติตามสัญญา หรือก่อนเข้าทำสัญญา
  4. **ภารกิจสาธารณะ** — ปฏิบัติหน้าที่เพื่อประโยชน์สาธารณะ หรือใช้อำนาจรัฐ
  5. **ประโยชน์โดยชอบด้วยกฎหมาย** — ของผู้ควบคุมหรือบุคคลที่สาม โดยมีการชั่งน้ำหนักกับสิทธิของเจ้าของข้อมูล
  6. **การปฏิบัติตามกฎหมาย** — ผู้ควบคุมต้องปฏิบัติตามกฎหมาย
- **ความสำคัญ:** ฐานเหล่านี้เป็น "หลักทั่วไป" สำหรับข้อมูลทั่วไป — ข้อมูลอ่อนไหวมีกฎเข้มกว่าตาม [มาตรา 26](https://link.pdpalawbase.com/section/26.md)

## มาตราที่อ้างอิง

มาตรานี้ไม่ได้อ้างอิงมาตราอื่นในตัวบท แต่ถูกอ้างอิงจากหลายมาตรา (อ้างกลับ):

- [มาตรา 23](https://link.pdpalawbase.com/section/23.md) — แจ้งวัตถุประสงค์ตามฐานใน (1)-(6)
- [มาตรา 26](https://link.pdpalawbase.com/section/26.md) — ฐานสำหรับข้อมูลอ่อนไหว (เป็นข้อยกเว้นเฉพาะ ต่างจากมาตราทั่วไปนี้)
- [มาตรา 27](https://link.pdpalawbase.com/section/27.md) — ฐานในการใช้/เปิดเผย อ้างกลับมาที่มาตรานี้

## หมายเหตุ

- **เทียบ GDPR:** สอดคล้องกับ Article 6 ของ GDPR (ความชอบด้วยกฎหมายของการประมวลผล) — ทั้ง 6 ข้อใน PDPA สอดคล้องกับ 6 ฐานทางกฎหมายของ GDPR
- **การเทียบฐาน:**
  - PDPA (1) = GDPR Art. 6(1)(e) + Art. 89 (วิจัย)
  - PDPA (2) = GDPR Art. 6(1)(d) (ประโยชน์อันสำคัญยิ่ง)
  - PDPA (3) = GDPR Art. 6(1)(b) (สัญญา)
  - PDPA (4) = GDPR Art. 6(1)(e) (ภารกิจสาธารณะ)
  - PDPA (5) = GDPR Art. 6(1)(f) (ประโยชน์โดยชอบด้วยกฎหมาย)
  - PDPA (6) = GDPR Art. 6(1)(c) (การปฏิบัติตามกฎหมาย)
- **ข้อ (5) ประโยชน์โดยชอบด้วยกฎหมาย:** เป็นฐานที่ใช้บ่อยในภาคธุรกิจ แต่ต้องทำ **การชั่งน้ำหนัก** เปรียบเทียบประโยชน์กับสิทธิของเจ้าของข้อมูล
- **ความยินยอมเป็น "ฐานที่ 7":** หากไม่เข้าข้อยกเว้นใดเลย ผู้ควบคุมต้องขอความยินยอมตาม [มาตรา 19](https://link.pdpalawbase.com/section/19.md)

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/section/24.md

============================================================
โนด: มาตรา 25
ลิงก์อ้างอิง: https://link.pdpalawbase.com/section/25.md

# มาตรา 25

## ตัวบท

> มาตรา 25 ห้ามมิให้ผู้ควบคุมข้อมูลส่วนบุคคลทำการเก็บรวบรวมข้อมูลส่วนบุคคลจากแหล่งอื่นที่ไม่ใช่จากเจ้าของข้อมูลส่วนบุคคลโดยตรง เว้นแต่
>
> (1) ได้แจ้งถึงการเก็บรวบรวมข้อมูลส่วนบุคคลจากแหล่งอื่นให้แก่เจ้าของข้อมูลส่วนบุคคลทราบโดยไม่ชักช้า แต่ต้องไม่เกินสามสิบวันนับแต่วันที่เก็บรวบรวมและได้รับความยินยอมจากเจ้าของข้อมูลส่วนบุคคล
>
> (2) เป็นการเก็บรวบรวมข้อมูลส่วนบุคคลที่ได้รับยกเว้นไม่ต้องขอความยินยอมตาม[มาตรา 24](https://link.pdpalawbase.com/section/24.md) หรือ[มาตรา 26](https://link.pdpalawbase.com/section/26.md)
>
> ให้นำบทบัญญัติเกี่ยวกับการแจ้งวัตถุประสงค์ใหม่ตาม[มาตรา 21](https://link.pdpalawbase.com/section/21.md) และการแจ้งรายละเอียดตาม[มาตรา 23](https://link.pdpalawbase.com/section/23.md) มาใช้บังคับกับการเก็บรวบรวมข้อมูลส่วนบุคคลที่ต้องได้รับความยินยอมตามวรรคหนึ่ง โดยอนุโลม เว้นแต่กรณีดังต่อไปนี้
>
> (1) เจ้าของข้อมูลส่วนบุคคลทราบวัตถุประสงค์ใหม่หรือรายละเอียดนั้นอยู่แล้ว
>
> (2) ผู้ควบคุมข้อมูลส่วนบุคคลพิสูจน์ได้ว่าการแจ้งวัตถุประสงค์ใหม่หรือรายละเอียดดังกล่าวไม่สามารถทำได้หรือจะเป็นอุปสรรคต่อการใช้หรือเปิดเผยข้อมูลส่วนบุคคล โดยเฉพาะอย่างยิ่งเพื่อให้บรรลุวัตถุประสงค์เกี่ยวกับการศึกษาวิจัยทางวิทยาศาสตร์ ประวัติศาสตร์ หรือสถิติ ในกรณีนี้ผู้ควบคุมข้อมูลส่วนบุคคลต้องจัดให้มีมาตรการที่เหมาะสมเพื่อคุ้มครองสิทธิ เสรีภาพ และประโยชน์ของเจ้าของข้อมูลส่วนบุคคล
>
> (3) การใช้หรือการเปิดเผยข้อมูลส่วนบุคคลต้องกระทำโดยเร่งด่วนตามที่กฎหมายกำหนด ซึ่งได้จัดให้มีมาตรการที่เหมาะสมเพื่อคุ้มครองประโยชน์ของเจ้าของข้อมูลส่วนบุคคล
>
> (4) เมื่อผู้ควบคุมข้อมูลส่วนบุคคลเป็นผู้ซึ่งล่วงรู้หรือได้มาซึ่งข้อมูลส่วนบุคคลจากหน้าที่หรือจากการประกอบอาชีพหรือวิชาชีพและต้องรักษาวัตถุประสงค์ใหม่หรือรายละเอียดบางประการตาม[มาตรา 23](https://link.pdpalawbase.com/section/23.md) ไว้เป็นความลับตามที่กฎหมายกำหนด
>
> การแจ้งรายละเอียดตามวรรคสอง ผู้ควบคุมข้อมูลส่วนบุคคลต้องแจ้งให้เจ้าของข้อมูลส่วนบุคคลทราบภายในสามสิบวันนับแต่วันที่เก็บรวบรวมตามมาตรานี้ เว้นแต่กรณีที่นำข้อมูลส่วนบุคคลไปใช้เพื่อการติดต่อกับเจ้าของข้อมูลส่วนบุคคลต้องแจ้งในการติดต่อครั้งแรก และกรณีที่จะนำข้อมูลส่วนบุคคลไปเปิดเผย ต้องแจ้งก่อนที่จะนำข้อมูลส่วนบุคคลไปเปิดเผยเป็นครั้งแรก

## สรุป

มาตรานี้กำหนด **กฎพิเศษสำหรับการเก็บข้อมูลจากแหล่งอื่นที่ไม่ใช่เจ้าของข้อมูลโดยตรง** — โดยหลักการห้าม ยกเว้น (1) แจ้งและขอความยินยอมจากเจ้าของข้อมูลภายใน 30 วัน หรือ (2) เข้าฐานข้อยกเว้นตาม [มาตรา 24](https://link.pdpalawbase.com/section/24.md) หรือ [มาตรา 26](https://link.pdpalawbase.com/section/26.md) — และกำหนดเงื่อนไขเพิ่มเติมในการแจ้งรายละเอียด พร้อมข้อยกเว้นการแจ้ง 4 กรณี

## องค์ประกอบสำคัญ

- **หลักการ (วรรคหนึ่ง):** ห้ามเก็บข้อมูลจากแหล่งอื่นที่ไม่ใช่เจ้าของข้อมูลโดยตรง — เช่น ซื้อรายชื่อจากผู้ให้บริการข้อมูล รับมาจากพันธมิตรธุรกิจ หรือดึงจากแหล่งสาธารณะ
- **ข้อยกเว้น 2 กรณี (วรรคหนึ่ง (1)-(2)):**
  - **(1) แจ้ง + ขอความยินยอม:** แจ้งภายในไม่ชักช้า แต่ไม่เกิน **30 วัน** นับจากวันที่เก็บ + ได้รับความยินยอม
  - **(2) เข้าฐานข้อยกเว้น:** ตาม [มาตรา 24](https://link.pdpalawbase.com/section/24.md) (ข้อมูลทั่วไป) หรือ [มาตรา 26](https://link.pdpalawbase.com/section/26.md) (ข้อมูลอ่อนไหว)
- **กฎเสริมสำหรับการแจ้งรายละเอียด (วรรคสอง):**
  - ใช้กฎ [มาตรา 21](https://link.pdpalawbase.com/section/21.md) (วัตถุประสงค์ใหม่) + [มาตรา 23](https://link.pdpalawbase.com/section/23.md) (การแจ้งรายละเอียด) มาบังคับโดยอนุโลม — เฉพาะกรณีต้องขอความยินยอมตามวรรคหนึ่ง
- **ข้อยกเว้นการแจ้ง 4 กรณี (วรรคสอง (1)-(4)):**
  - **(1) เจ้าของข้อมูลทราบอยู่แล้ว** — ไม่ต้องแจ้งซ้ำ
  - **(2) ทำไม่ได้ในทางปฏิบัติหรือเป็นอุปสรรค** — โดยเฉพาะการศึกษาวิจัย/ประวัติศาสตร์/สถิติ ต้องมีมาตรการคุ้มครองทดแทน
  - **(3) ความเร่งด่วนตามกฎหมาย** — มีมาตรการคุ้มครองทดแทน
  - **(4) หน้าที่รักษาความลับ** — ผู้ควบคุมเป็นผู้ที่ต้องรักษาความลับตามวิชาชีพ/หน้าที่
- **ระยะเวลาการแจ้งรายละเอียด (วรรคสาม):**
  - **30 วัน** เป็นค่าเริ่มต้น
  - **ก่อนการติดต่อครั้งแรก** หากนำไปใช้ติดต่อ
  - **ก่อนการเปิดเผยครั้งแรก** หากนำไปเปิดเผย

## มาตราที่อ้างอิง

- [มาตรา 21](https://link.pdpalawbase.com/section/21.md) — หลักจำกัดวัตถุประสงค์ (ใช้บังคับกับการแจ้งวัตถุประสงค์ใหม่ในการเก็บจากแหล่งอื่น)
- [มาตรา 23](https://link.pdpalawbase.com/section/23.md) — การแจ้งรายละเอียด 6 ข้อ (บังคับใช้โดยอนุโลม)
- [มาตรา 24](https://link.pdpalawbase.com/section/24.md) — ฐานข้อยกเว้นไม่ต้องขอความยินยอม สำหรับข้อมูลทั่วไป
- [มาตรา 26](https://link.pdpalawbase.com/section/26.md) — ฐานข้อยกเว้นไม่ต้องขอความยินยอมโดยชัดแจ้ง สำหรับข้อมูลอ่อนไหว

## หมายเหตุ

- **กรอบเวลา 30 วัน:** เป็นเส้นแบ่งสำคัญในแนวปฏิบัติ — ผู้ควบคุมข้อมูลที่ซื้อรายชื่อหรือรับข้อมูลจากพันธมิตรธุรกิจ ต้องวางกระบวนการแจ้งภายใน 30 วันให้ทันเวลา ไม่งั้นการเก็บไม่ชอบด้วยกฎหมาย
- **ข้อยกเว้นการแจ้ง (4) "หน้าที่รักษาความลับ":** ครอบคลุมวิชาชีพที่มีหน้าที่รักษาความลับตามกฎหมาย เช่น ทนาย แพทย์ ผู้สอบบัญชี เจ้าหน้าที่รัฐบางประเภท — ในกรณีเหล่านี้ การแจ้งอาจขัดกับหน้าที่รักษาความลับ
- **เชื่อมโยงกับการประมวลผลที่ทำต่อ:** เมื่อเก็บถูกต้องตามมาตรานี้แล้ว การใช้/เปิดเผยข้อมูลที่เก็บมา ยังต้องเป็นไปตามวัตถุประสงค์ที่แจ้งและฐานทางกฎหมายตามมาตราอื่นในหมวดนี้

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/section/25.md

============================================================
โนด: มาตรา 26
ลิงก์อ้างอิง: https://link.pdpalawbase.com/section/26.md

# มาตรา 26

## ตัวบท

> มาตรา 26 ห้ามมิให้เก็บรวบรวมข้อมูลส่วนบุคคลเกี่ยวกับเชื้อชาติ เผ่าพันธุ์ ความคิดเห็นทางการเมือง ความเชื่อในลัทธิ ศาสนาหรือปรัชญา พฤติกรรมทางเพศ ประวัติอาชญากรรม ข้อมูลสุขภาพ ความพิการ ข้อมูลสหภาพแรงงาน ข้อมูลพันธุกรรม ข้อมูลชีวภาพ หรือข้อมูลอื่นใดซึ่งกระทบต่อเจ้าของข้อมูลส่วนบุคคลในทำนองเดียวกันตามที่คณะกรรมการประกาศกำหนด โดยไม่ได้รับความยินยอมโดยชัดแจ้งจากเจ้าของข้อมูลส่วนบุคคล เว้นแต่
>
> (1) เพื่อป้องกันหรือระงับอันตรายต่อชีวิต ร่างกาย หรือสุขภาพของบุคคลซึ่งเจ้าของข้อมูลส่วนบุคคลไม่สามารถให้ความยินยอมได้ ไม่ว่าด้วยเหตุใดก็ตาม
>
> (2) เป็นการดำเนินกิจกรรมโดยชอบด้วยกฎหมายที่มีการคุ้มครองที่เหมาะสมของมูลนิธิ สมาคม หรือองค์กรที่ไม่แสวงหากำไรที่มีวัตถุประสงค์เกี่ยวกับการเมือง ศาสนา ปรัชญา หรือสหภาพแรงงาน ให้แก่สมาชิก ผู้ซึ่งเคยเป็นสมาชิก หรือผู้ซึ่งมีการติดต่ออย่างสม่ำเสมอกับมูลนิธิ สมาคม หรือองค์กรที่ไม่แสวงหากำไรตามวัตถุประสงค์ดังกล่าวโดยไม่ได้เปิดเผยข้อมูลส่วนบุคคลนั้นออกไปภายนอกมูลนิธิ สมาคม หรือองค์กรที่ไม่แสวงหากำไรนั้น
>
> (3) เป็นข้อมูลที่เปิดเผยต่อสาธารณะด้วยความยินยอมโดยชัดแจ้งของเจ้าของข้อมูลส่วนบุคคล
>
> (4) เป็นการจำเป็นเพื่อการก่อตั้งสิทธิเรียกร้องตามกฎหมาย การปฏิบัติตามหรือการใช้สิทธิเรียกร้องตามกฎหมาย หรือการยกขึ้นต่อสู้สิทธิเรียกร้องตามกฎหมาย
>
> (5) เป็นการจำเป็นในการปฏิบัติตามกฎหมายเพื่อให้บรรลุวัตถุประสงค์เกี่ยวกับ
>
> (ก) เวชศาสตร์ป้องกันหรืออาชีวเวชศาสตร์ การประเมินความสามารถในการทำงานของลูกจ้าง การวินิจฉัยโรคทางการแพทย์ การให้บริการด้านสุขภาพหรือด้านสังคม การรักษาทางการแพทย์ การจัดการด้านสุขภาพ หรือระบบและการให้บริการด้านสังคมสงเคราะห์ ทั้งนี้ ในกรณีที่ไม่ใช่การปฏิบัติตามกฎหมายและข้อมูลส่วนบุคคลนั้นอยู่ในความรับผิดชอบของผู้ประกอบอาชีพหรือวิชาชีพหรือผู้มีหน้าที่รักษาข้อมูลส่วนบุคคลนั้นไว้เป็นความลับตามกฎหมาย ต้องเป็นการปฏิบัติตามสัญญาระหว่างเจ้าของข้อมูลส่วนบุคคลกับผู้ประกอบวิชาชีพทางการแพทย์
>
> (ข) ประโยชน์สาธารณะด้านการสาธารณสุข เช่น การป้องกันด้านสุขภาพจากโรคติดต่ออันตรายหรือโรคระบาดที่อาจติดต่อหรือแพร่เข้ามาในราชอาณาจักร หรือการควบคุมมาตรฐานหรือคุณภาพของยา เวชภัณฑ์ หรือเครื่องมือแพทย์ ซึ่งได้จัดให้มีมาตรการที่เหมาะสมและเจาะจงเพื่อคุ้มครองสิทธิและเสรีภาพของเจ้าของข้อมูลส่วนบุคคลโดยเฉพาะการรักษาความลับของข้อมูลส่วนบุคคลตามหน้าที่หรือตามจริยธรรมแห่งวิชาชีพ
>
> (ค) การคุ้มครองแรงงาน การประกันสังคม หลักประกันสุขภาพแห่งชาติ สวัสดิการเกี่ยวกับการรักษาพยาบาลของผู้มีสิทธิตามกฎหมาย การคุ้มครองผู้ประสบภัยจากรถ หรือการคุ้มครองทางสังคม ซึ่งการเก็บรวบรวมข้อมูลส่วนบุคคลเป็นสิ่งจำเป็นในการปฏิบัติตามสิทธิหรือหน้าที่ของผู้ควบคุมข้อมูลส่วนบุคคลหรือเจ้าของข้อมูลส่วนบุคคล โดยได้จัดให้มีมาตรการที่เหมาะสมเพื่อคุ้มครองสิทธิขั้นพื้นฐานและประโยชน์ของเจ้าของข้อมูลส่วนบุคคล
>
> (ง) การศึกษาวิจัยทางวิทยาศาสตร์ ประวัติศาสตร์ หรือสถิติ หรือประโยชน์สาธารณะอื่น ทั้งนี้ ต้องกระทำเพื่อให้บรรลุวัตถุประสงค์ดังกล่าวเพียงเท่าที่จำเป็นเท่านั้น และได้จัดให้มีมาตรการที่เหมาะสมเพื่อคุ้มครองสิทธิขั้นพื้นฐานและประโยชน์ของเจ้าของข้อมูลส่วนบุคคล ตามที่คณะกรรมการประกาศกำหนด
>
> (จ) ประโยชน์สาธารณะที่สำคัญ โดยได้จัดให้มีมาตรการที่เหมาะสมเพื่อคุ้มครองสิทธิขั้นพื้นฐานและประโยชน์ของเจ้าของข้อมูลส่วนบุคคล
>
> ข้อมูลชีวภาพตามวรรคหนึ่งให้หมายถึงข้อมูลส่วนบุคคลที่เกิดจากการใช้เทคนิคหรือเทคโนโลยีที่เกี่ยวข้องกับการนำลักษณะเด่นทางกายภาพหรือทางพฤติกรรมของบุคคลมาใช้ทำให้สามารถยืนยันตัวตนของบุคคลนั้นที่ไม่เหมือนกับบุคคลอื่นได้ เช่น ข้อมูลภาพจำลองใบหน้า ข้อมูลจำลองม่านตา หรือข้อมูลจำลองลายนิ้วมือ
>
> ในกรณีที่เป็นการเก็บรวบรวมข้อมูลส่วนบุคคลเกี่ยวกับประวัติอาชญากรรมต้องกระทำภายใต้การควบคุมของหน่วยงานที่มีอำนาจหน้าที่ตามกฎหมาย หรือได้จัดให้มีมาตรการคุ้มครองข้อมูลส่วนบุคคลตามหลักเกณฑ์ที่คณะกรรมการประกาศกำหนด

## สรุป

มาตรานี้คือ **หลักการห้ามเก็บข้อมูลอ่อนไหว** เป็นกฎเข้มกว่าข้อมูลทั่วไปตาม [มาตรา 24](https://link.pdpalawbase.com/section/24.md) โดยห้ามเก็บข้อมูลอ่อนไหวเกี่ยวกับเชื้อชาติ ศาสนา การเมือง สุขภาพ พันธุกรรม ฯลฯ โดยไม่ได้รับ **ความยินยอมโดยชัดแจ้ง** (เข้มกว่าความยินยอมทั่วไป) — เว้นแต่เข้าข้อยกเว้น 5 ข้อในมาตรานี้

## องค์ประกอบสำคัญ

- **ประเภทของข้อมูลอ่อนไหว** ที่ระบุชัดในมาตรา:
  1. เชื้อชาติ เผ่าพันธุ์
  2. ความคิดเห็นทางการเมือง
  3. ความเชื่อในลัทธิ ศาสนา หรือปรัชญา
  4. พฤติกรรมทางเพศ
  5. ประวัติอาชญากรรม
  6. ข้อมูลสุขภาพ ความพิการ
  7. ข้อมูลสหภาพแรงงาน
  8. ข้อมูลพันธุกรรม
  9. ข้อมูลชีวภาพ (เช่น ใบหน้า ม่านตา ลายนิ้วมือ)
  10. ข้อมูลอื่นใดที่คณะกรรมการประกาศกำหนด
- **มาตรฐานความยินยอม:** ต้อง **"ชัดแจ้ง"** — เข้มกว่าความยินยอมทั่วไป
- **5 ข้อยกเว้นที่อนุญาตเก็บโดยไม่ต้องขอความยินยอมโดยชัดแจ้ง:**
  1. ป้องกันอันตรายต่อชีวิต/ร่างกาย/สุขภาพ เมื่อเจ้าของให้ความยินยอมไม่ได้
  2. กิจกรรมขององค์กรไม่แสวงหากำไรเกี่ยวกับศาสนา/การเมือง/สหภาพ
  3. ข้อมูลที่เจ้าของเปิดเผยต่อสาธารณะโดยชัดแจ้ง
  4. การก่อตั้ง/ใช้/ต่อสู้สิทธิเรียกร้องตามกฎหมาย
  5. การปฏิบัติตามกฎหมายในด้านการแพทย์/สาธารณสุข/แรงงาน/วิจัย/ประโยชน์สาธารณะ
- **กรณีพิเศษ ประวัติอาชญากรรม:** ต้องอยู่ใต้การควบคุมของหน่วยงานที่มีอำนาจ หรือมีมาตรการตามที่คณะกรรมการกำหนด

## มาตราที่อ้างอิง

- [มาตรา 24](https://link.pdpalawbase.com/section/24.md) — มาตราทั่วไปสำหรับข้อมูลทั่วไป (มาตรานี้เป็น **กฎเฉพาะเรื่อง** ของข้อมูลอ่อนไหว ใช้แทนเมื่อเป็นข้อมูลอ่อนไหว)

## หมายเหตุ

- **เทียบ GDPR Article 9:** มาตรานี้สอดคล้องกับ "ข้อมูลประเภทพิเศษ" ใน GDPR
  - **PDPA กว้างกว่า GDPR:** PDPA ระบุ "ประวัติอาชญากรรม" ในมาตรานี้ ขณะที่ GDPR แยกเป็น Article 10 ต่างหาก
  - **PDPA ระบุ "ความพิการ"** ขณะที่ GDPR ไม่ระบุชัด
- **ความยินยอมโดยชัดแจ้ง vs ทั่วไป:** ความแตกต่างอยู่ที่ "รูปแบบของการให้ความยินยอม" — ชัดแจ้งต้อง:
  - แยกออกจากความยินยอมทั่วไป (ไม่รวมกับเรื่องอื่น)
  - ระบุประเภทข้อมูลและวัตถุประสงค์ชัดเจน
  - มีหลักฐานที่ตรวจสอบได้
- **กรณีธุรกิจขนาดเล็กต้องระวัง:**
  - ภาพถ่ายจับใบหน้า → ข้อมูลชีวภาพ → ต้องขอความยินยอมโดยชัดแจ้ง
  - แบบสมัครงานถามสุขภาพ/ศาสนา → ข้อมูลอ่อนไหว
  - ข้อมูลสมาชิกสหภาพแรงงาน → ข้อมูลอ่อนไหว
- **ภาพจำลองใบหน้า (การรู้จำใบหน้า):** ตัวบทยืนยันชัดเจนว่าเป็น "ข้อมูลชีวภาพ" — กระทบการใช้งานปัญญาประดิษฐ์และกล้องวงจรปิดมาก

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/section/26.md

============================================================
โนด: มาตรา 27
ลิงก์อ้างอิง: https://link.pdpalawbase.com/section/27.md

# มาตรา 27

## ตัวบท

> มาตรา 27 ห้ามมิให้ผู้ควบคุมข้อมูลส่วนบุคคลใช้หรือเปิดเผยข้อมูลส่วนบุคคล โดยไม่ได้รับความยินยอมจากเจ้าของข้อมูลส่วนบุคคล เว้นแต่เป็นข้อมูลส่วนบุคคลที่เก็บรวบรวมได้โดยได้รับยกเว้นไม่ต้องขอความยินยอมตาม[มาตรา 24](https://link.pdpalawbase.com/section/24.md)หรือ[มาตรา 26](https://link.pdpalawbase.com/section/26.md)
>
> บุคคลหรือนิติบุคคลที่ได้รับข้อมูลส่วนบุคคลมาจากการเปิดเผยตามวรรคหนึ่ง จะต้องไม่ใช้หรือเปิดเผยข้อมูลส่วนบุคคลเพื่อวัตถุประสงค์อื่นนอกเหนือจากวัตถุประสงค์ที่ได้แจ้งไว้กับผู้ควบคุมข้อมูลส่วนบุคคลในการขอรับข้อมูลส่วนบุคคลนั้น
>
> ในกรณีที่ผู้ควบคุมข้อมูลส่วนบุคคลใช้หรือเปิดเผยข้อมูลส่วนบุคคลที่ได้รับยกเว้นไม่ต้องขอความยินยอมตามวรรคหนึ่ง ผู้ควบคุมข้อมูลส่วนบุคคลต้องบันทึกการใช้หรือเปิดเผยนั้นไว้ในรายการตาม[มาตรา 39](https://link.pdpalawbase.com/section/39.md)

## สรุป

มาตรานี้ขยายหลักการของ [มาตรา 24](https://link.pdpalawbase.com/section/24.md) (ที่กำกับการ "เก็บรวบรวม") มาที่ขั้น **"ใช้หรือเปิดเผย"** ข้อมูลส่วนบุคคล โดยห้ามใช้/เปิดเผยโดยไม่ได้รับความยินยอม เว้นแต่เป็นข้อมูลที่เก็บมาได้โดยฐานยกเว้นตาม [มาตรา 24](https://link.pdpalawbase.com/section/24.md) (ข้อมูลทั่วไป) หรือ [มาตรา 26](https://link.pdpalawbase.com/section/26.md) (ข้อมูลอ่อนไหว) — และผู้รับข้อมูลเองก็ผูกพันกับวัตถุประสงค์เดิม

## องค์ประกอบสำคัญ

- **หลักการ (วรรค 1):** ห้ามใช้/เปิดเผยข้อมูลโดยไม่ได้รับความยินยอม เว้นแต่ข้อมูลถูกเก็บมาโดยฐานยกเว้นใน [มาตรา 24](https://link.pdpalawbase.com/section/24.md) หรือ [มาตรา 26](https://link.pdpalawbase.com/section/26.md)
- **ข้อจำกัดของผู้รับข้อมูล (วรรค 2):** บุคคล/นิติบุคคลที่ได้รับข้อมูลต้อง:
  - ไม่ใช้/เปิดเผยเพื่อวัตถุประสงค์อื่น
  - ผูกพันตามวัตถุประสงค์ที่แจ้งไว้กับผู้ควบคุมข้อมูลตอนขอข้อมูล
  - หลัก **จำกัดวัตถุประสงค์** — วัตถุประสงค์ของผู้รับขยายเพิ่มเองไม่ได้
- **หน้าที่บันทึก (วรรค 3):** กรณีใช้/เปิดเผยโดยฐานยกเว้น ผู้ควบคุมต้องบันทึกใน **ROPA** (รายการกิจกรรมประมวลผลตาม [มาตรา 39](https://link.pdpalawbase.com/section/39.md))

## มาตราที่อ้างอิง

- [มาตรา 24](https://link.pdpalawbase.com/section/24.md) — ฐานในการเก็บรวบรวมข้อมูลทั่วไป (วรรค 1 อ้างฐานที่อนุญาตให้เก็บโดยไม่ต้องขอความยินยอม → ใช้/เปิดเผยตามฐานเดิม)
- [มาตรา 26](https://link.pdpalawbase.com/section/26.md) — ฐานในการเก็บข้อมูลอ่อนไหว (เช่นเดียวกับ[มาตรา 24](https://link.pdpalawbase.com/section/24.md) แต่สำหรับข้อมูลอ่อนไหว)
- [มาตรา 39](https://link.pdpalawbase.com/section/39.md) — บันทึกรายการกิจกรรมประมวลผล (ROPA)

## หมายเหตุ

- **โครงสร้างของ "วงจรชีวิตข้อมูล" ใน PDPA:**
  - **เก็บรวบรวม:** [มาตรา 24](https://link.pdpalawbase.com/section/24.md) (ทั่วไป) + [มาตรา 26](https://link.pdpalawbase.com/section/26.md) (อ่อนไหว)
  - **ใช้/เปิดเผย:** มาตรานี้ — ใช้ฐานที่อ้างถึงตอนเก็บได้
  - **โอนต่างประเทศ:** [มาตรา 28](https://link.pdpalawbase.com/section/28.md) - [มาตรา 29](https://link.pdpalawbase.com/section/29.md)
- **เทียบ GDPR:** สอดคล้องกับ Article 5(1)(b) (จำกัดวัตถุประสงค์) + Article 6 (ความชอบด้วยกฎหมายของการประมวลผล)
- **ข้อสังเกตของ ROPA (วรรค 3):**
  - บังคับเฉพาะกรณีใช้ฐานยกเว้น (ไม่ขอความยินยอม)
  - การใช้ที่มีความยินยอม ก็ควรบันทึก ROPA แต่ไม่ใช่ตามมาตรานี้ (แต่เพราะ [มาตรา 39](https://link.pdpalawbase.com/section/39.md) เอง)
- **ผู้รับข้อมูลผูกพันการจำกัดวัตถุประสงค์:**
  - กรณีบริษัทแบ่งข้อมูลให้ผู้ให้บริการภายนอก — ผู้ให้บริการต้องปฏิบัติตามวัตถุประสงค์เดิม
  - กรณีถ่ายโอนข้อมูลภายในกลุ่มบริษัท — บริษัทรับยังต้องปฏิบัติตามวัตถุประสงค์เดิม
- **กรณีธุรกิจขนาดเล็กที่ต้องระวัง:**
  - การตลาดผ่านอีเมลใช้ข้อมูลลูกค้าที่เก็บมาเพื่อ "การซื้อสินค้า" → เป็นการใช้นอกวัตถุประสงค์
  - รายชื่อลูกค้าให้บริษัทในเครือ → บริษัทในเครือต้องไม่ใช้นอกวัตถุประสงค์เดิม

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/section/27.md

============================================================
โนด: มาตรา 28
ลิงก์อ้างอิง: https://link.pdpalawbase.com/section/28.md

# มาตรา 28

## ตัวบท

> มาตรา 28 ในกรณีที่ผู้ควบคุมข้อมูลส่วนบุคคลส่งหรือโอนข้อมูลส่วนบุคคลไปยังต่างประเทศ ประเทศปลายทางหรือองค์การระหว่างประเทศที่รับข้อมูลส่วนบุคคลต้องมีมาตรฐานการคุ้มครองข้อมูลส่วนบุคคลที่เพียงพอ ทั้งนี้ ต้องเป็นไปตามหลักเกณฑ์การให้ความคุ้มครองข้อมูลส่วนบุคคลตามที่คณะกรรมการประกาศกำหนดตาม[มาตรา 16](https://link.pdpalawbase.com/section/16.md) (5) เว้นแต่
>
> (1) เป็นการปฏิบัติตามกฎหมาย
>
> (2) ได้รับความยินยอมจากเจ้าของข้อมูลส่วนบุคคลโดยได้แจ้งให้เจ้าของข้อมูลส่วนบุคคลทราบถึงมาตรฐานการคุ้มครองข้อมูลส่วนบุคคลที่ไม่เพียงพอของประเทศปลายทางหรือองค์การระหว่างประเทศที่รับข้อมูลส่วนบุคคลแล้ว
>
> (3) เป็นการจำเป็นเพื่อการปฏิบัติตามสัญญาซึ่งเจ้าของข้อมูลส่วนบุคคลเป็นคู่สัญญาหรือเพื่อใช้ในการดำเนินการตามคำขอของเจ้าของข้อมูลส่วนบุคคลก่อนเข้าทำสัญญานั้น
>
> (4) เป็นการกระทำตามสัญญาระหว่างผู้ควบคุมข้อมูลส่วนบุคคลกับบุคคลหรือนิติบุคคลอื่น เพื่อประโยชน์ของเจ้าของข้อมูลส่วนบุคคล
>
> (5) เพื่อป้องกันหรือระงับอันตรายต่อชีวิต ร่างกาย หรือสุขภาพของเจ้าของข้อมูลส่วนบุคคลหรือบุคคลอื่น เมื่อเจ้าของข้อมูลส่วนบุคคลไม่สามารถให้ความยินยอมในขณะนั้นได้
>
> (6) เป็นการจำเป็นเพื่อการดำเนินภารกิจเพื่อประโยชน์สาธารณะที่สำคัญ
>
> ในกรณีที่มีปัญหาเกี่ยวกับมาตรฐานการคุ้มครองข้อมูลส่วนบุคคลที่เพียงพอของประเทศปลายทางหรือองค์การระหว่างประเทศที่รับข้อมูลส่วนบุคคล ให้เสนอต่อคณะกรรมการเป็นผู้วินิจฉัย ทั้งนี้ คำวินิจฉัยของคณะกรรมการอาจขอให้ทบทวนได้เมื่อมีหลักฐานใหม่ทำให้เชื่อได้ว่าประเทศปลายทางหรือองค์การระหว่างประเทศที่รับข้อมูลส่วนบุคคลมีการพัฒนาจนมีมาตรฐานการคุ้มครองข้อมูลส่วนบุคคลที่เพียงพอ

## สรุป

มาตรานี้คือ **กฎการส่งข้อมูลส่วนบุคคลไปต่างประเทศ** — โดยหลักการ ประเทศปลายทาง/องค์การระหว่างประเทศที่รับข้อมูลต้องมี **"มาตรฐานการคุ้มครองข้อมูลที่เพียงพอ"** ตามหลักเกณฑ์ที่คณะกรรมการประกาศ ([มาตรา 16](https://link.pdpalawbase.com/section/16.md) (5)) — เว้นแต่เข้าข้อยกเว้น 6 ข้อ — และให้คณะกรรมการเป็นผู้วินิจฉัยกรณีปัญหา

## องค์ประกอบสำคัญ

- **หลักการ (วรรคหนึ่ง):** การส่งข้อมูลไปต่างประเทศต้องไปยังประเทศ/องค์การที่ "มีมาตรฐานการคุ้มครองที่เพียงพอ" ตามหลักเกณฑ์ของคณะกรรมการ ([มาตรา 16](https://link.pdpalawbase.com/section/16.md) (5))
- **ข้อยกเว้น 6 กรณี:**
  - **(1) ปฏิบัติตามกฎหมาย** — กฎหมายไทยหรือกฎหมายอื่นกำหนด
  - **(2) ความยินยอมโดยรับทราบ:** เจ้าของข้อมูลรู้ว่าประเทศปลายทาง/องค์การไม่มีมาตรฐานเพียงพอแล้วยังยินยอม
  - **(3) จำเป็นเพื่อสัญญา:** เจ้าของข้อมูลเป็นคู่สัญญา หรือก่อนเข้าทำสัญญา
  - **(4) สัญญากับบุคคลที่สามเพื่อประโยชน์เจ้าของข้อมูล:** ผู้ควบคุมทำสัญญากับบุคคลที่สามเพื่อประโยชน์ของเจ้าของข้อมูล
  - **(5) อันตรายต่อชีวิต/ร่างกาย/สุขภาพ** เมื่อเจ้าของข้อมูลให้ความยินยอมในขณะนั้นไม่ได้
  - **(6) ภารกิจเพื่อประโยชน์สาธารณะที่สำคัญ**
- **กลไกการวินิจฉัย (วรรคสอง):**
  - เมื่อมีปัญหาเรื่องมาตรฐานเพียงพอ → เสนอ **คณะกรรมการ** เป็นผู้วินิจฉัย
  - คำวินิจฉัยทบทวนได้เมื่อมีหลักฐานใหม่ (เช่น ประเทศปลายทางออกกฎหมายคุ้มครองข้อมูลที่เข้มขึ้น)

## มาตราที่อ้างอิง

- [มาตรา 16](https://link.pdpalawbase.com/section/16.md) (5) — อำนาจคณะกรรมการในการประกาศหลักเกณฑ์การส่งข้อมูลต่างประเทศ
- [มาตรา 29](https://link.pdpalawbase.com/section/29.md) — ข้อยกเว้นเพิ่มเติมสำหรับการส่งภายในเครือกิจการ/เครือธุรกิจที่มีนโยบายคุ้มครองข้อมูล (เทียบเท่า BCR)

## หมายเหตุ

- **"มาตรฐานการคุ้มครองข้อมูลที่เพียงพอ":** เป็นแนวคิดมาตรฐาน — ประเทศปลายทางต้องมีระบบกฎหมายและกลไกบังคับใช้ที่ให้การคุ้มครองในระดับใกล้เคียงกับ พ.ร.บ. นี้ การประเมินขึ้นอยู่กับหลักเกณฑ์ที่คณะกรรมการประกาศ
- **ข้อยกเว้น (2) ต้องเป็นความยินยอมโดยรับทราบ:** ไม่ใช่ความยินยอมทั่วไป — ต้องแจ้งโดยเฉพาะเจาะจงว่าประเทศปลายทาง/องค์การไม่มีมาตรฐานเพียงพอ ก่อนขอความยินยอม
- **เชื่อมโยงกับ [มาตรา 29](https://link.pdpalawbase.com/section/29.md):** ผู้ควบคุมที่มี "นโยบายในการคุ้มครองข้อมูลส่วนบุคคล" สำหรับเครือกิจการที่ได้รับการรับรองจากสำนักงาน → ส่งข้อมูลไปต่างประเทศได้โดย **ยกเว้น** ม.28 (เป็นทางเลือกอีกทางสำหรับการส่งข้อมูลข้ามประเทศ)
- **กรณีปฏิบัติจริง:** องค์กรที่ใช้บริการคลาวด์จากต่างประเทศ (เช่น AWS, Google Cloud, Azure) ต้องตรวจว่าเขตที่ตั้งของเซิร์ฟเวอร์อยู่ในประเทศที่มีมาตรฐานเพียงพอ หรือเข้าข้อยกเว้นใดข้อหนึ่ง หรือใช้ ม.29

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/section/28.md

============================================================
โนด: มาตรา 29
ลิงก์อ้างอิง: https://link.pdpalawbase.com/section/29.md

# มาตรา 29

## ตัวบท

> มาตรา 29 ในกรณีที่ผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคลซึ่งอยู่ในราชอาณาจักรได้กำหนดนโยบายในการคุ้มครองข้อมูลส่วนบุคคลเพื่อการส่งหรือโอนข้อมูลส่วนบุคคลไปยังผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคลซึ่งอยู่ต่างประเทศและอยู่ในเครือกิจการหรือเครือธุรกิจเดียวกันเพื่อการประกอบกิจการหรือธุรกิจร่วมกัน หากนโยบายในการคุ้มครองข้อมูลส่วนบุคคลดังกล่าวได้รับการตรวจสอบและรับรองจากสำนักงาน การส่งหรือโอนข้อมูลส่วนบุคคลไปยังต่างประเทศที่เป็นไปตามนโยบายในการคุ้มครองข้อมูลส่วนบุคคลที่ได้รับการตรวจสอบและรับรองดังกล่าว ให้สามารถกระทำได้โดยได้รับยกเว้นไม่ต้องปฏิบัติตาม[มาตรา 28](https://link.pdpalawbase.com/section/28.md)
>
> นโยบายในการคุ้มครองข้อมูลส่วนบุคคล ลักษณะของเครือกิจการหรือเครือธุรกิจเดียวกันเพื่อการประกอบกิจการหรือธุรกิจร่วมกัน และหลักเกณฑ์และวิธีการตรวจสอบและรับรองตามวรรคหนึ่ง ให้เป็นไปตามที่คณะกรรมการประกาศกำหนด
>
> ในกรณีที่ยังไม่มีคำวินิจฉัยของคณะกรรมการตาม[มาตรา 28](https://link.pdpalawbase.com/section/28.md) หรือยังไม่มีนโยบายในการคุ้มครองข้อมูลส่วนบุคคลตามวรรคหนึ่ง ผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคลอาจส่งหรือโอนข้อมูลส่วนบุคคลไปยังต่างประเทศได้โดยได้รับยกเว้นไม่ต้องปฏิบัติตาม[มาตรา 28](https://link.pdpalawbase.com/section/28.md) เมื่อผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคลได้จัดให้มีมาตรการคุ้มครองที่เหมาะสมสามารถบังคับตามสิทธิของเจ้าของข้อมูลส่วนบุคคลได้ รวมทั้งมีมาตรการเยียวยาทางกฎหมายที่มีประสิทธิภาพ ตามหลักเกณฑ์และวิธีการที่คณะกรรมการประกาศกำหนด

## สรุป

มาตรานี้กำหนด **2 ทางเลือกสำหรับการส่งข้อมูลไปต่างประเทศที่ยกเว้น [มาตรา 28](https://link.pdpalawbase.com/section/28.md):**

1. **นโยบายคุ้มครองข้อมูลภายในเครือกิจการ** — ผู้ควบคุม/ผู้ประมวลผลในไทยกำหนดนโยบายคุ้มครองข้อมูลสำหรับการส่งข้อมูลไปยังเครือกิจการ/เครือธุรกิจในต่างประเทศ ที่ได้รับการรับรองจากสำนักงาน → ส่งได้ตามนโยบายนั้น
2. **มาตรการคุ้มครองที่เหมาะสมเฉพาะกรณี** (กรณียังไม่มีคำวินิจฉัยและไม่มีนโยบาย) — ต้องจัดมาตรการคุ้มครองที่บังคับสิทธิและเยียวยาทางกฎหมายได้ ตามหลักเกณฑ์ของคณะกรรมการ

## องค์ประกอบสำคัญ

- **ทางเลือกที่ 1 — นโยบายภายในเครือกิจการ (วรรคหนึ่ง):**
  - **ใคร:** ผู้ควบคุมข้อมูล/ผู้ประมวลผลข้อมูลในไทย
  - **ส่งไปไหน:** ผู้ควบคุม/ผู้ประมวลผลในต่างประเทศที่อยู่ใน **เครือกิจการหรือเครือธุรกิจเดียวกัน**
  - **เพื่ออะไร:** การประกอบกิจการ/ธุรกิจร่วมกัน
  - **เงื่อนไข:** นโยบายต้องได้รับการ **ตรวจสอบและรับรองจากสำนักงาน**
  - **ผล:** ส่งข้อมูลได้โดย**ยกเว้น** [มาตรา 28](https://link.pdpalawbase.com/section/28.md)
- **กลไกของนโยบาย (วรรคสอง):** รายละเอียดของนโยบาย ลักษณะของเครือกิจการ และหลักเกณฑ์การตรวจสอบ → ตามประกาศคณะกรรมการ
- **ทางเลือกที่ 2 — มาตรการเฉพาะกรณี (วรรคสาม):**
  - **เมื่อใด:** ยังไม่มีคำวินิจฉัยของคณะกรรมการตาม [มาตรา 28](https://link.pdpalawbase.com/section/28.md) (กรณีปัญหา) **หรือ** ยังไม่มีนโยบายตามวรรคหนึ่ง
  - **เงื่อนไข:** ผู้ควบคุม/ผู้ประมวลผลต้องจัดให้มี:
    - มาตรการคุ้มครองที่ **บังคับสิทธิของเจ้าของข้อมูลได้**
    - มาตรการ **เยียวยาทางกฎหมายที่มีประสิทธิภาพ**
  - **เป็นไปตาม:** หลักเกณฑ์และวิธีการที่คณะกรรมการประกาศ

## มาตราที่อ้างอิง

- [มาตรา 28](https://link.pdpalawbase.com/section/28.md) — กฎทั่วไปการส่งข้อมูลต่างประเทศ (มาตรานี้เป็นข้อยกเว้น 2 ทาง)

## หมายเหตุ

- **เปรียบเทียบกับมาตรฐานสากล:** ทางเลือกที่ 1 ใกล้เคียงกับแนวคิด **BCR** ในกฎหมายคุ้มครองข้อมูลของ EU — เป็นนโยบายภายในกลุ่มบริษัทที่ผูกพันสมาชิกในเครือทุกประเทศ
- **เครือกิจการ/เครือธุรกิจเดียวกัน:** เป็นนิยามที่ต้องดูประกาศคณะกรรมการ — ในแนวปฏิบัติทั่วไปครอบคลุมบริษัทแม่/บริษัทลูก, บริษัทในเครือที่ถือหุ้นข้ามกัน, และบริษัทร่วมทุนที่มีโครงสร้างกำกับร่วม
- **ทางเลือกที่ 2 เป็นทางเลือกสำรอง:** สำหรับกรณีที่ยังไม่ได้รับการรับรองนโยบาย หรือยังไม่มีคำวินิจฉัยเรื่องประเทศปลายทาง — ผู้ควบคุมต้องวางมาตรการคุ้มครองเทียบเท่าด้วยตนเอง โดยเน้น 2 องค์ประกอบ: บังคับสิทธิได้ + มีมาตรการเยียวยาที่มีประสิทธิภาพ
- **ในแนวปฏิบัติ:** องค์กรข้ามชาติมักเลือก **ทางเลือกที่ 1** เพราะให้ความแน่นอนทางกฎหมาย; องค์กรขนาดเล็กที่ส่งข้อมูลครั้งคราวมักใช้ **ความยินยอมโดยรับทราบ** ตาม [มาตรา 28](https://link.pdpalawbase.com/section/28.md) (2) แทน

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/section/29.md

============================================================
โนด: มาตรา 30
ลิงก์อ้างอิง: https://link.pdpalawbase.com/section/30.md

# มาตรา 30

## ตัวบท

> มาตรา 30 เจ้าของข้อมูลส่วนบุคคลมีสิทธิขอเข้าถึงและขอรับสำเนาข้อมูลส่วนบุคคลที่เกี่ยวกับตนซึ่งอยู่ในความรับผิดชอบของผู้ควบคุมข้อมูลส่วนบุคคล หรือขอให้เปิดเผยถึงการได้มาซึ่งข้อมูลส่วนบุคคลดังกล่าวที่ตนไม่ได้ให้ความยินยอม
>
> ผู้ควบคุมข้อมูลส่วนบุคคลต้องปฏิบัติตามคำขอตามวรรคหนึ่ง จะปฏิเสธคำขอได้เฉพาะในกรณีที่เป็นการปฏิเสธตามกฎหมายหรือคำสั่งศาล และการเข้าถึงและขอรับสำเนาข้อมูลส่วนบุคคลนั้นจะส่งผลกระทบที่อาจก่อให้เกิดความเสียหายต่อสิทธิและเสรีภาพของบุคคลอื่น
>
> ในกรณีที่ผู้ควบคุมข้อมูลส่วนบุคคลปฏิเสธคำขอตามวรรคหนึ่ง ให้ผู้ควบคุมข้อมูลส่วนบุคคลบันทึกการปฏิเสธคำขอดังกล่าวพร้อมด้วยเหตุผลไว้ในรายการตาม[มาตรา 39](https://link.pdpalawbase.com/section/39.md)
>
> เมื่อเจ้าของข้อมูลส่วนบุคคลมีคำขอตามวรรคหนึ่งและเป็นกรณีที่ไม่อาจปฏิเสธคำขอได้ตามวรรคสอง ให้ผู้ควบคุมข้อมูลส่วนบุคคลดำเนินการตามคำขอโดยไม่ชักช้า แต่ต้องไม่เกินสามสิบวันนับแต่วันที่ได้รับคำขอ
>
> คณะกรรมการอาจกำหนดหลักเกณฑ์เกี่ยวกับการเข้าถึงและการขอรับสำเนาตามวรรคหนึ่ง รวมทั้งการขยายระยะเวลาตามวรรคสี่หรือหลักเกณฑ์อื่นตามความเหมาะสมก็ได้

## สรุป

มาตรานี้ให้ **สิทธิเข้าถึงข้อมูล** แก่เจ้าของข้อมูลส่วนบุคคล โดยมีสิทธิ 2 ทาง: (1) ขอเข้าถึงและขอรับสำเนาข้อมูลที่ผู้ควบคุมเก็บไว้ และ (2) ขอให้เปิดเผยที่มาของข้อมูลที่ตนไม่ได้ให้ความยินยอม ผู้ควบคุมต้องดำเนินการภายใน 30 วัน เว้นแต่ปฏิเสธได้ตามกฎหมาย/คำสั่งศาลและการเปิดเผยจะกระทบสิทธิเสรีภาพของบุคคลอื่น

## องค์ประกอบสำคัญ

- **สิทธิ 2 ทาง (วรรค 1):**
  - **ขอเข้าถึงและขอรับสำเนา** ข้อมูลส่วนบุคคลที่เกี่ยวกับตนซึ่งอยู่ในความรับผิดชอบของผู้ควบคุม
  - **ขอเปิดเผยที่มาของข้อมูล** ที่ตนไม่ได้ให้ความยินยอม (รู้ว่าผู้ควบคุมได้ข้อมูลมาจากแหล่งใด)
- **เงื่อนไขการปฏิเสธ (วรรค 2):** ปฏิเสธได้ต่อเมื่อมีครบทั้ง 2 องค์ประกอบ:
  - การปฏิเสธเป็นไปตามกฎหมายหรือคำสั่งศาล **และ**
  - การให้เข้าถึง/สำเนาจะกระทบสิทธิและเสรีภาพของบุคคลอื่น
- **หน้าที่บันทึก (วรรค 3):** กรณีปฏิเสธ — ผู้ควบคุมต้องบันทึกการปฏิเสธพร้อมเหตุผลไว้ในรายการตาม [มาตรา 39](https://link.pdpalawbase.com/section/39.md) (ROPA)
- **กรอบเวลา (วรรค 4):** ดำเนินการโดยไม่ชักช้า แต่**ไม่เกิน 30 วัน** นับแต่วันที่ได้รับคำขอ
- **อำนาจของคณะกรรมการ (วรรค 5):** ออกหลักเกณฑ์การเข้าถึง/สำเนา รวมทั้งหลักเกณฑ์การขยายระยะเวลา 30 วัน

## มาตราที่อ้างอิง

- [มาตรา 39](https://link.pdpalawbase.com/section/39.md) — บันทึกรายการกิจกรรมประมวลผล (ROPA) — รวมการบันทึกการปฏิเสธคำขอเข้าถึงตามมาตรานี้

## หมายเหตุ

- **เทียบ GDPR:** สอดคล้องกับ Article 15 (สิทธิเข้าถึง) — เป็นรากฐานของ **กระบวนการคำขอเข้าถึงข้อมูลส่วนบุคคล**
- **ขอบเขตของสิทธิ:** ครอบคลุมเฉพาะข้อมูลที่อยู่ "ในความรับผิดชอบของผู้ควบคุม" — ไม่ครอบคลุมข้อมูลที่ผู้ประมวลผลถือไว้แทนผู้ควบคุมรายอื่น (เจ้าของข้อมูลต้องไปขอจากผู้ควบคุมตัวจริง)
- **2 รูปแบบของคำขอ:**
  - **เข้าถึง:** ดูข้อมูล อาจให้ผ่านระบบออนไลน์ของผู้ควบคุมหรือส่งดูทางอีเมล
  - **สำเนา:** ได้รับสำเนาเอกสารกระดาษหรือไฟล์ดิจิทัล (เพื่อใช้/ตรวจสอบ/นำไปเสนอผู้อื่น)
- **การได้มาซึ่งข้อมูล:** เจ้าของข้อมูลมีสิทธิรู้ว่าข้อมูลที่ตนไม่ได้ให้ความยินยอมมาจากไหน เช่น แหล่งสาธารณะ การซื้อจากผู้ให้บริการรายอื่น หรือการเก็บอัตโนมัติ
- **ข้อจำกัด "สิทธิและเสรีภาพของบุคคลอื่น":** ตัวอย่างเช่น ภาพถ่ายกลุ่มที่มีบุคคลอื่นปะปน หรืออีเมลที่กล่าวถึงบุคคลที่ 3 — ผู้ควบคุมอาจปฏิเสธหรือปกปิดเฉพาะส่วนที่กระทบ
- **แนวปฏิบัติ:** องค์กรมักจัดทำช่องทางออนไลน์สำหรับรับคำขอเข้าถึงข้อมูล หรือกำหนดอีเมลเฉพาะสำหรับรับคำขอ + แบบฟอร์มขอข้อมูล + ขั้นตอนยืนยันตัวตนของผู้ขอ ก่อนเปิดเผยข้อมูล
- **ความเชื่อมโยงกับ [มาตรา 23](https://link.pdpalawbase.com/section/23.md):** ผู้ควบคุมต้องแจ้งสิทธิตามมาตรานี้ในการแจ้งความเป็นส่วนตัว ([มาตรา 23](https://link.pdpalawbase.com/section/23.md) (6))

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/section/30.md

============================================================
โนด: มาตรา 31
ลิงก์อ้างอิง: https://link.pdpalawbase.com/section/31.md

# มาตรา 31

## ตัวบท

> มาตรา 31 เจ้าของข้อมูลส่วนบุคคลมีสิทธิขอรับข้อมูลส่วนบุคคลที่เกี่ยวกับตนจากผู้ควบคุมข้อมูลส่วนบุคคลได้ ในกรณีที่ผู้ควบคุมข้อมูลส่วนบุคคลได้ทำให้ข้อมูลส่วนบุคคลนั้นอยู่ในรูปแบบที่สามารถอ่านหรือใช้งานโดยทั่วไปได้ด้วยเครื่องมือหรืออุปกรณ์ที่ทำงานได้โดยอัตโนมัติและสามารถใช้หรือเปิดเผยข้อมูลส่วนบุคคลได้ด้วยวิธีการอัตโนมัติ รวมทั้งมีสิทธิ ดังต่อไปนี้
>
> (1) ขอให้ผู้ควบคุมข้อมูลส่วนบุคคลส่งหรือโอนข้อมูลส่วนบุคคลในรูปแบบดังกล่าวไปยังผู้ควบคุมข้อมูลส่วนบุคคลอื่นเมื่อสามารถทำได้ด้วยวิธีการอัตโนมัติ
>
> (2) ขอรับข้อมูลส่วนบุคคลที่ผู้ควบคุมข้อมูลส่วนบุคคลส่งหรือโอนข้อมูลส่วนบุคคลในรูปแบบดังกล่าวไปยังผู้ควบคุมข้อมูลส่วนบุคคลอื่นโดยตรง เว้นแต่โดยสภาพทางเทคนิคไม่สามารถทำได้
>
> ข้อมูลส่วนบุคคลตามวรรคหนึ่งต้องเป็นข้อมูลส่วนบุคคลที่เจ้าของข้อมูลส่วนบุคคลได้ให้ความยินยอมในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลตามหลักเกณฑ์แห่งพระราชบัญญัตินี้ หรือเป็นข้อมูลส่วนบุคคลที่ได้รับยกเว้นไม่ต้องขอความยินยอมตาม[มาตรา 24](https://link.pdpalawbase.com/section/24.md) (3) หรือเป็นข้อมูลส่วนบุคคลอื่นที่กำหนดใน[มาตรา 24](https://link.pdpalawbase.com/section/24.md) ตามที่คณะกรรมการประกาศกำหนด
>
> การใช้สิทธิของเจ้าของข้อมูลส่วนบุคคลตามวรรคหนึ่งจะใช้กับการส่งหรือโอนข้อมูลส่วนบุคคลของผู้ควบคุมข้อมูลส่วนบุคคลซึ่งเป็นการปฏิบัติหน้าที่เพื่อประโยชน์สาธารณะหรือเป็นการปฏิบัติหน้าที่ตามกฎหมายไม่ได้ หรือการใช้สิทธินั้นต้องไม่ละเมิดสิทธิหรือเสรีภาพของบุคคลอื่น ทั้งนี้ ในกรณีที่ผู้ควบคุมข้อมูลส่วนบุคคลปฏิเสธคำขอด้วยเหตุผลดังกล่าว ให้ผู้ควบคุมข้อมูลส่วนบุคคลบันทึกการปฏิเสธคำขอพร้อมด้วยเหตุผลไว้ในรายการตาม[มาตรา 39](https://link.pdpalawbase.com/section/39.md)

## สรุป

มาตรานี้ให้ **สิทธิในการโอนย้ายข้อมูล** แก่เจ้าของข้อมูล โดยมีสิทธิ: (1) ขอรับข้อมูลของตนในรูปแบบที่อ่าน/ใช้งานได้โดยอัตโนมัติ (2) ขอให้ส่งข้อมูลไปยังผู้ควบคุมรายอื่นโดยตรง สิทธินี้ใช้ได้เฉพาะข้อมูลที่เก็บโดยฐานความยินยอมหรือฐานสัญญาตาม [มาตรา 24](https://link.pdpalawbase.com/section/24.md) (3) และไม่สามารถใช้กับการประมวลผลเพื่อประโยชน์สาธารณะหรือตามกฎหมาย

## องค์ประกอบสำคัญ

- **เงื่อนไขเบื้องต้น (วรรค 1):** ข้อมูลต้องอยู่ในรูปแบบ:
  - **อ่านหรือใช้งานได้ทั่วไป** ด้วยเครื่องมือ/อุปกรณ์อัตโนมัติ
  - **ใช้หรือเปิดเผยได้ด้วยวิธีอัตโนมัติ**
- **สิทธิ 3 ทาง:**
  - **ขอรับข้อมูลในรูปแบบที่ใช้ได้ทั่วไป** (วรรค 1 ส่วนแรก) — ส่งกลับให้เจ้าของข้อมูลโดยตรง
  - **ขอให้ส่ง/โอนไปผู้ควบคุมอื่นโดยอัตโนมัติ** ((1)) — เมื่อทำได้ด้วยวิธีอัตโนมัติ
  - **ขอรับข้อมูลที่ส่งให้ผู้ควบคุมอื่นโดยตรง** ((2)) — เว้นแต่สภาพทางเทคนิคไม่อาจทำได้
- **ข้อมูลที่ใช้สิทธิได้ (วรรค 2):**
  - ข้อมูลที่ให้ความยินยอมในการเก็บ ใช้ เปิดเผย
  - ข้อมูลที่ได้รับยกเว้นตาม [มาตรา 24](https://link.pdpalawbase.com/section/24.md) (3) (ฐานสัญญา)
  - ข้อมูลอื่นใน [มาตรา 24](https://link.pdpalawbase.com/section/24.md) ตามที่คณะกรรมการประกาศกำหนด
- **ข้อจำกัด (วรรค 3):**
  - **ไม่ใช้กับ:** การประมวลผลเพื่อประโยชน์สาธารณะ หรือการปฏิบัติหน้าที่ตามกฎหมาย
  - **ต้องไม่ละเมิดสิทธิ/เสรีภาพของบุคคลอื่น**
  - **กรณีปฏิเสธ:** บันทึกการปฏิเสธ + เหตุผลไว้ในรายการตาม [มาตรา 39](https://link.pdpalawbase.com/section/39.md)

## มาตราที่อ้างอิง

- [มาตรา 24](https://link.pdpalawbase.com/section/24.md) — ฐานในการเก็บรวบรวมโดยไม่ต้องขอความยินยอม — สิทธิตามมาตรานี้ใช้ได้เฉพาะกับข้อมูลที่เก็บโดยความยินยอม หรือฐานสัญญา [มาตรา 24](https://link.pdpalawbase.com/section/24.md) (3) เท่านั้น
- [มาตรา 39](https://link.pdpalawbase.com/section/39.md) — บันทึกรายการกิจกรรมประมวลผล (ROPA) — รวมการบันทึกการปฏิเสธคำขอตามมาตรานี้

## หมายเหตุ

- **เทียบ GDPR:** สอดคล้องกับ Article 20 (สิทธิโอนย้ายข้อมูล) — แนวคิดมาจากความต้องการลดการล็อกอินข้อมูลในผู้ให้บริการรายเดียว
- **ข้อจำกัดทางฐานในการประมวลผล:** สิทธินี้**ไม่ครอบคลุมทั้งหมด** — ใช้ได้เฉพาะข้อมูลที่เก็บภายใต้:
  - ความยินยอม **หรือ**
  - ฐานสัญญาตาม [มาตรา 24](https://link.pdpalawbase.com/section/24.md) (3)
  - ข้อมูลที่เก็บภายใต้ฐานอื่น (เช่น ประโยชน์สาธารณะ ปฏิบัติตามกฎหมาย ประโยชน์โดยชอบด้วยกฎหมาย) **ไม่ใช้สิทธินี้ได้**
- **รูปแบบ "ใช้งานได้ทั่วไป":** มาตรฐานเปิด เช่น CSV, JSON, XML — ไม่ใช่รูปแบบเฉพาะที่ต้องใช้ซอฟต์แวร์เฉพาะของผู้ให้บริการเดิมเปิด
- **ตัวอย่างในทางปฏิบัติ:**
  - ขอย้ายข้อมูลรูปภาพจากบริการเก็บข้อมูลออนไลน์รายหนึ่งไปยังอีกราย
  - ขอย้ายประวัติการซื้อจากร้านค้าออนไลน์รายหนึ่งไปอีกราย
  - ขอย้ายข้อมูลสุขภาพจากแอปพลิเคชันหนึ่งไปอีกแอป
- **ข้อจำกัดทางเทคนิคของ (2):** ผู้ควบคุมเดิมต้องส่งโดยตรงไปยังผู้ควบคุมใหม่ — แต่หากสองระบบเข้ากันไม่ได้ ก็เป็นเหตุยกเว้นได้ (สภาพทางเทคนิคไม่อาจทำได้)
- **ความเชื่อมโยงกับ [มาตรา 23](https://link.pdpalawbase.com/section/23.md):** ผู้ควบคุมต้องแจ้งสิทธิตามมาตรานี้ในการแจ้งความเป็นส่วนตัว ([มาตรา 23](https://link.pdpalawbase.com/section/23.md) (6))

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/section/31.md

============================================================
โนด: มาตรา 32
ลิงก์อ้างอิง: https://link.pdpalawbase.com/section/32.md

# มาตรา 32

## ตัวบท

> มาตรา 32 เจ้าของข้อมูลส่วนบุคคลมีสิทธิคัดค้านการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลที่เกี่ยวกับตนเมื่อใดก็ได้ ดังต่อไปนี้
>
> (1) กรณีที่เป็นข้อมูลส่วนบุคคลที่เก็บรวบรวมได้โดยได้รับยกเว้นไม่ต้องขอความยินยอมตาม[มาตรา 24](https://link.pdpalawbase.com/section/24.md) (4) หรือ (5) เว้นแต่ผู้ควบคุมข้อมูลส่วนบุคคลพิสูจน์ได้ว่า
>
> (ก) การเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลนั้น ผู้ควบคุมข้อมูลส่วนบุคคลได้แสดงให้เห็นถึงเหตุอันชอบด้วยกฎหมายที่สำคัญยิ่งกว่า
>
> (ข) การเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลนั้นเป็นไปเพื่อก่อตั้งสิทธิเรียกร้องตามกฎหมาย การปฏิบัติตามหรือการใช้สิทธิเรียกร้องตามกฎหมาย หรือการยกขึ้นต่อสู้สิทธิเรียกร้องตามกฎหมาย
>
> (2) กรณีที่เป็นการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลเพื่อวัตถุประสงค์เกี่ยวกับการตลาดแบบตรง
>
> (3) กรณีที่เป็นการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลเพื่อวัตถุประสงค์เกี่ยวกับการศึกษาวิจัยทางวิทยาศาสตร์ ประวัติศาสตร์ หรือสถิติ เว้นแต่เป็นการจำเป็นเพื่อการดำเนินภารกิจเพื่อประโยชน์สาธารณะของผู้ควบคุมข้อมูลส่วนบุคคล
>
> ในกรณีที่เจ้าของข้อมูลส่วนบุคคลใช้สิทธิคัดค้านตามวรรคหนึ่ง ผู้ควบคุมข้อมูลส่วนบุคคลไม่สามารถเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลนั้นต่อไปได้ ทั้งนี้ ผู้ควบคุมข้อมูลส่วนบุคคลต้องปฏิบัติโดยแยกส่วนออกจากข้อมูลอื่นอย่างชัดเจนในทันทีเมื่อเจ้าของข้อมูลส่วนบุคคลได้แจ้งการคัดค้านให้ผู้ควบคุมข้อมูลส่วนบุคคลทราบ
>
> ในกรณีที่ผู้ควบคุมข้อมูลส่วนบุคคลปฏิเสธการคัดค้านด้วยเหตุผลตาม (1) (ก) หรือ (ข) หรือ (3) ให้ผู้ควบคุมข้อมูลส่วนบุคคลบันทึกการปฏิเสธการคัดค้านพร้อมด้วยเหตุผลไว้ในรายการตาม[มาตรา 39](https://link.pdpalawbase.com/section/39.md)

## สรุป

มาตรานี้ให้ **สิทธิคัดค้านการประมวลผล** แก่เจ้าของข้อมูล ใน 3 กรณีหลัก: (1) ข้อมูลที่เก็บโดยฐานประโยชน์สาธารณะ ([มาตรา 24](https://link.pdpalawbase.com/section/24.md) (4)) หรือฐานประโยชน์โดยชอบด้วยกฎหมาย ([มาตรา 24](https://link.pdpalawbase.com/section/24.md) (5)) (2) การตลาดแบบตรง (ไม่มีข้อยกเว้น — คัดค้านได้เสมอ) (3) การวิจัยทางวิทยาศาสตร์/ประวัติศาสตร์/สถิติ ผลของการคัดค้าน คือ ผู้ควบคุมต้องหยุดประมวลผลและแยกข้อมูลออกทันที

## องค์ประกอบสำคัญ

- **3 กรณีที่คัดค้านได้ (วรรค 1):**
  - **(1) ฐานประโยชน์สาธารณะ/ประโยชน์โดยชอบด้วยกฎหมาย** ([มาตรา 24](https://link.pdpalawbase.com/section/24.md) (4) หรือ (5)) — แต่ผู้ควบคุมยกเว้นได้ถ้าพิสูจน์ได้:
    - **(ก)** มีเหตุอันชอบด้วยกฎหมายที่**สำคัญยิ่งกว่า** **หรือ**
    - **(ข)** เพื่อก่อตั้ง/ใช้/ยกขึ้นต่อสู้สิทธิเรียกร้องตามกฎหมาย
  - **(2) การตลาดแบบตรง** — คัดค้านได้เสมอ ไม่มีข้อยกเว้น (สิทธิเด็ดขาด)
  - **(3) การวิจัย/ประวัติศาสตร์/สถิติ** — เว้นแต่ผู้ควบคุมจำเป็นต้องดำเนินการเพื่อภารกิจประโยชน์สาธารณะ
- **ผลของการคัดค้าน (วรรค 2):**
  - ผู้ควบคุม **ไม่สามารถเก็บ ใช้ เปิดเผย** ข้อมูลนั้นต่อไปได้
  - ต้อง **แยกส่วนข้อมูลที่คัดค้านออกจากข้อมูลอื่นอย่างชัดเจน ในทันที** เมื่อได้รับการแจ้ง
- **หน้าที่บันทึก (วรรค 3):** กรณีปฏิเสธการคัดค้านด้วยเหตุผลตาม (1) (ก) หรือ (ข) หรือ (3) — บันทึกการปฏิเสธ + เหตุผลใน [มาตรา 39](https://link.pdpalawbase.com/section/39.md)

## มาตราที่อ้างอิง

- [มาตรา 24](https://link.pdpalawbase.com/section/24.md) — ฐานในการเก็บรวบรวมโดยไม่ต้องขอความยินยอม — มาตรานี้ระบุว่าฐานใดบ้างที่คัดค้านได้ ((4) ประโยชน์สาธารณะ และ (5) ประโยชน์โดยชอบด้วยกฎหมาย)
- [มาตรา 39](https://link.pdpalawbase.com/section/39.md) — บันทึกรายการกิจกรรมประมวลผล (ROPA) — รวมการบันทึกการปฏิเสธคัดค้านตามมาตรานี้

## หมายเหตุ

- **เทียบ GDPR:** สอดคล้องกับ Article 21 (สิทธิคัดค้าน) — โดยเฉพาะการคัดค้านการตลาดแบบตรงที่เป็นสิทธิเด็ดขาด
- **(2) เป็นสิทธิเด็ดขาด:** การตลาดแบบตรง — เจ้าของข้อมูลคัดค้านได้เสมอ ไม่ต้องอาศัยฐานใดและไม่มีข้อยกเว้น
- **"การตลาดแบบตรง":** ครอบคลุมการส่งข้อความเชิงพาณิชย์ตรงไปยังผู้รับ เช่น อีเมลโปรโมชัน, ข้อความสั้นโฆษณา, การโทรเสนอขายสินค้า, การส่งจดหมายโฆษณา
- **เกณฑ์ "เหตุอันชอบด้วยกฎหมายที่สำคัญยิ่งกว่า":** ภาระการพิสูจน์อยู่ที่**ผู้ควบคุม** — ต้องแสดงให้เห็นว่าประโยชน์ของผู้ควบคุม/บุคคลที่ 3 มีน้ำหนักเหนือกว่าสิทธิและเสรีภาพของเจ้าของข้อมูล
- **"แยกส่วนในทันที":** กรณีฐานข้อมูล — อาจใช้การติดป้ายหรือเครื่องหมายเพื่อแยกข้อมูลที่ถูกคัดค้านไม่ให้นำมาประมวลผลเดิม โดยไม่ต้องลบทิ้ง (ลบเป็นกระบวนการแยกตาม [มาตรา 33](https://link.pdpalawbase.com/section/33.md))
- **เชื่อมโยงกับ [มาตรา 33](https://link.pdpalawbase.com/section/33.md):** หากคัดค้านสำเร็จและไม่มีฐานทางกฎหมายให้เก็บไว้ต่อ → เจ้าของข้อมูลสามารถใช้สิทธิให้ลบตาม [มาตรา 33](https://link.pdpalawbase.com/section/33.md) ต่อได้
- **ความเชื่อมโยงกับ [มาตรา 23](https://link.pdpalawbase.com/section/23.md):** ผู้ควบคุมต้องแจ้งสิทธิตามมาตรานี้ในการแจ้งความเป็นส่วนตัว ([มาตรา 23](https://link.pdpalawbase.com/section/23.md) (6))

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/section/32.md

============================================================
โนด: มาตรา 33
ลิงก์อ้างอิง: https://link.pdpalawbase.com/section/33.md

# มาตรา 33

## ตัวบท

> มาตรา 33 เจ้าของข้อมูลส่วนบุคคลมีสิทธิขอให้ผู้ควบคุมข้อมูลส่วนบุคคลดำเนินการลบหรือทำลาย หรือทำให้ข้อมูลส่วนบุคคลเป็นข้อมูลที่ไม่สามารถระบุตัวบุคคลที่เป็นเจ้าของข้อมูลส่วนบุคคลได้ ในกรณีดังต่อไปนี้
>
> (1) เมื่อข้อมูลส่วนบุคคลหมดความจำเป็นในการเก็บรักษาไว้ตามวัตถุประสงค์ในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล
>
> (2) เมื่อเจ้าของข้อมูลส่วนบุคคลถอนความยินยอมในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลและผู้ควบคุมข้อมูลส่วนบุคคลไม่มีอำนาจตามกฎหมายที่จะเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลนั้นได้ต่อไป
>
> (3) เมื่อเจ้าของข้อมูลส่วนบุคคลคัดค้านการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลตาม[มาตรา 32](https://link.pdpalawbase.com/section/32.md) (1) และผู้ควบคุมข้อมูลส่วนบุคคลไม่อาจปฏิเสธคำขอตาม[มาตรา 32](https://link.pdpalawbase.com/section/32.md) (1) (ก) หรือ (ข) ได้ หรือเป็นการคัดค้านตาม[มาตรา 32](https://link.pdpalawbase.com/section/32.md) (2)
>
> (4) เมื่อข้อมูลส่วนบุคคลได้ถูกเก็บรวบรวม ใช้ หรือเปิดเผยโดยไม่ชอบด้วยกฎหมายตามที่กำหนดไว้ในหมวดนี้
>
> ความในวรรคหนึ่งมิให้นำมาใช้บังคับกับการเก็บรักษาไว้เพื่อวัตถุประสงค์ในการใช้เสรีภาพในการแสดงความคิดเห็น การเก็บรักษาไว้เพื่อวัตถุประสงค์ตาม[มาตรา 24](https://link.pdpalawbase.com/section/24.md) (1) หรือ (4) หรือ[มาตรา 26](https://link.pdpalawbase.com/section/26.md) (5) (ก) หรือ (ข) การใช้เพื่อการก่อตั้งสิทธิเรียกร้องตามกฎหมาย การปฏิบัติตามหรือการใช้สิทธิเรียกร้องตามกฎหมาย หรือการยกขึ้นต่อสู้สิทธิเรียกร้องตามกฎหมาย หรือเพื่อการปฏิบัติตามกฎหมาย
>
> ในกรณีที่ผู้ควบคุมข้อมูลส่วนบุคคลได้ทำให้ข้อมูลส่วนบุคคลเป็นข้อมูลที่เปิดเผยต่อสาธารณะ และผู้ควบคุมข้อมูลส่วนบุคคลถูกขอให้ลบหรือทำลายหรือทำให้ข้อมูลส่วนบุคคลเป็นข้อมูลที่ไม่สามารถระบุตัวบุคคลที่เป็นเจ้าของข้อมูลส่วนบุคคลได้ตามวรรคหนึ่ง ผู้ควบคุมข้อมูลส่วนบุคคลต้องเป็นผู้รับผิดชอบดำเนินการทั้งในทางเทคโนโลยีและค่าใช้จ่ายเพื่อให้เป็นไปตามคำขอนั้น โดยแจ้งผู้ควบคุมข้อมูลส่วนบุคคลอื่น ๆ เพื่อให้ได้รับคำตอบในการดำเนินการให้เป็นไปตามคำขอ
>
> กรณีผู้ควบคุมข้อมูลส่วนบุคคลไม่ดำเนินการตามวรรคหนึ่งหรือวรรคสาม เจ้าของข้อมูลส่วนบุคคลมีสิทธิร้องเรียนต่อคณะกรรมการผู้เชี่ยวชาญเพื่อสั่งให้ผู้ควบคุมข้อมูลส่วนบุคคลดำเนินการได้
>
> คณะกรรมการอาจประกาศกำหนดหลักเกณฑ์ในการลบหรือทำลาย หรือทำให้ข้อมูลส่วนบุคคลเป็นข้อมูลที่ไม่สามารถระบุตัวบุคคลที่เป็นเจ้าของข้อมูลส่วนบุคคลตามวรรคหนึ่งก็ได้

## สรุป

มาตรานี้ให้ **สิทธิให้ลบ ทำลาย หรือทำให้ระบุตัวบุคคลไม่ได้** ใน 4 กรณี: หมดความจำเป็น, ถอนความยินยอม, คัดค้านสำเร็จ, หรือเก็บโดยไม่ชอบด้วยกฎหมาย โดยมีข้อยกเว้นสำคัญหากเก็บเพื่อเสรีภาพแสดงความคิดเห็น/วัตถุประสงค์ตาม [มาตรา 24](https://link.pdpalawbase.com/section/24.md)/[มาตรา 26](https://link.pdpalawbase.com/section/26.md) บางประการ/หรือเพื่อสิทธิเรียกร้องตามกฎหมาย กรณีข้อมูลที่เปิดเผยสาธารณะ ผู้ควบคุมต้องรับผิดชอบทั้งทางเทคนิคและค่าใช้จ่ายและแจ้งผู้ควบคุมรายอื่น

## องค์ประกอบสำคัญ

- **4 กรณีที่ขอให้ลบได้ (วรรค 1):**
  - **(1) หมดความจำเป็น** ตามวัตถุประสงค์เดิม
  - **(2) ถอนความยินยอม** + ผู้ควบคุมไม่มีอำนาจตามกฎหมายให้เก็บต่อ
  - **(3) คัดค้านสำเร็จ:** คัดค้านตาม [มาตรา 32](https://link.pdpalawbase.com/section/32.md) (1) และผู้ควบคุมปฏิเสธไม่ได้ หรือคัดค้านตาม [มาตรา 32](https://link.pdpalawbase.com/section/32.md) (2) (การตลาดแบบตรง)
  - **(4) เก็บ ใช้ เปิดเผย** โดยไม่ชอบด้วยกฎหมายตามหมวดนี้
- **3 รูปแบบของการดำเนินการ:**
  - **ลบ** — ลบข้อมูลออกจากระบบ
  - **ทำลาย** — ทำลายเอกสารกระดาษหรือสื่อบันทึกที่จับต้องได้
  - **ทำให้ไม่ระบุตัวบุคคลได้** — แปลงข้อมูลให้ไม่สามารถเชื่อมโยงกลับไปถึงบุคคลใดบุคคลหนึ่งได้
- **ข้อยกเว้นที่ไม่ต้องลบ (วรรค 2):**
  - การใช้เสรีภาพในการแสดงความคิดเห็น
  - วัตถุประสงค์ตาม [มาตรา 24](https://link.pdpalawbase.com/section/24.md) (1) (ป้องกันอันตรายชีวิต) หรือ (4) (ภารกิจประโยชน์สาธารณะ)
  - วัตถุประสงค์ตาม [มาตรา 26](https://link.pdpalawbase.com/section/26.md) (5) (ก) หรือ (ข) (เวชศาสตร์/การวิจัยข้อมูลอ่อนไหว)
  - การใช้เพื่อก่อตั้ง/ใช้/ยกขึ้นต่อสู้สิทธิเรียกร้องตามกฎหมาย
  - การปฏิบัติตามกฎหมาย
- **กรณีข้อมูลที่เปิดเผยสาธารณะ (วรรค 3):**
  - ผู้ควบคุมต้องรับผิดชอบ**ทางเทคโนโลยีและค่าใช้จ่ายทั้งหมด**
  - ต้อง**แจ้งผู้ควบคุมรายอื่น** ที่ได้รับข้อมูลไป เพื่อให้ดำเนินการตามคำขอด้วย
- **สิทธิร้องเรียน (วรรค 4):** ผู้ควบคุมไม่ดำเนินการ → เจ้าของข้อมูลร้องเรียนต่อคณะกรรมการผู้เชี่ยวชาญเพื่อสั่งให้ดำเนินการ
- **อำนาจของคณะกรรมการ (วรรค 5):** ออกหลักเกณฑ์การลบ/ทำลาย/ทำให้ไม่ระบุตัวได้

## มาตราที่อ้างอิง

- [มาตรา 24](https://link.pdpalawbase.com/section/24.md) — ฐานเก็บรวบรวมข้อมูลทั่วไป — ข้อยกเว้นที่ไม่ต้องลบครอบคลุมการเก็บเพื่อ (1) ป้องกันอันตรายชีวิต และ (4) ภารกิจประโยชน์สาธารณะ
- [มาตรา 26](https://link.pdpalawbase.com/section/26.md) — ฐานเก็บรวบรวมข้อมูลอ่อนไหว — ข้อยกเว้นครอบคลุม (5) (ก) เวชศาสตร์ป้องกัน/อาชีวอนามัย และ (ข) ประโยชน์สาธารณะด้านสาธารณสุข
- [มาตรา 32](https://link.pdpalawbase.com/section/32.md) — สิทธิคัดค้าน — กรณีที่ (3) ของมาตรานี้อ้างถึง

## หมายเหตุ

- **เทียบ GDPR:** สอดคล้องกับ Article 17 (สิทธิให้ลบ / "สิทธิที่จะถูกลืม") — โดยเฉพาะวรรค 3 ที่ครอบคลุม "หน้าที่แจ้งผู้ควบคุมรายอื่น" ในกรณีข้อมูลที่เปิดเผยสาธารณะ
- **ความสมดุลของสิทธิ:** มาตรานี้สมดุลระหว่างสิทธิของเจ้าของข้อมูลกับเสรีภาพในการแสดงความคิดเห็น/ประโยชน์สาธารณะ — สื่อมวลชน/นักวิชาการสามารถอ้างข้อยกเว้นได้
- **3 รูปแบบเลือกตามบริบท:**
  - **ลบ:** ใช้กับข้อมูลที่ไม่จำเป็นเลย
  - **ทำลาย:** สื่อกายภาพ (เช่น เอกสาร, ฮาร์ดดิสก์เสีย)
  - **ทำให้ไม่ระบุตัวได้:** กรณีต้องเก็บข้อมูลรวมเพื่อสถิติแต่ไม่ต้องการเชื่อมโยงกับบุคคล (เช่น ลบรหัสระบุตัวตน เก็บเฉพาะข้อมูลรวม)
- **"ข้อมูลที่เปิดเผยสาธารณะ" (วรรค 3):** เน้นความรับผิดชอบขยายของผู้ควบคุม — เช่น โพสต์บนสื่อสังคมที่เครื่องมือค้นหาเก็บข้อมูลไป → ต้องแจ้งเครื่องมือค้นหาด้วย
- **ภาระค่าใช้จ่าย:** ผู้ควบคุมเป็นผู้รับ — เจ้าของข้อมูลไม่ต้องจ่ายค่าใช้สิทธิที่จะถูกลืม
- **กลไกร้องเรียน:** ไม่ใช่ฟ้องศาลทันที — ขั้นแรกร้องเรียนต่อคณะกรรมการผู้เชี่ยวชาญ (มีกระบวนการทางปกครอง)
- **ความเชื่อมโยงกับ [มาตรา 23](https://link.pdpalawbase.com/section/23.md):** ผู้ควบคุมต้องแจ้งสิทธิตามมาตรานี้ในการแจ้งความเป็นส่วนตัว ([มาตรา 23](https://link.pdpalawbase.com/section/23.md) (6))

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/section/33.md

============================================================
โนด: มาตรา 34
ลิงก์อ้างอิง: https://link.pdpalawbase.com/section/34.md

# มาตรา 34

## ตัวบท

> มาตรา 34 เจ้าของข้อมูลส่วนบุคคลมีสิทธิขอให้ผู้ควบคุมข้อมูลส่วนบุคคลระงับการใช้ข้อมูลส่วนบุคคลได้ ในกรณีดังต่อไปนี้
>
> (1) เมื่อผู้ควบคุมข้อมูลส่วนบุคคลอยู่ในระหว่างการตรวจสอบตามที่เจ้าของข้อมูลส่วนบุคคลร้องขอให้ดำเนินการตาม[มาตรา 36](https://link.pdpalawbase.com/section/36.md)
>
> (2) เมื่อเป็นข้อมูลส่วนบุคคลที่ต้องลบหรือทำลายตาม[มาตรา 33](https://link.pdpalawbase.com/section/33.md) (4) แต่เจ้าของข้อมูลส่วนบุคคลขอให้ระงับการใช้แทน
>
> (3) เมื่อข้อมูลส่วนบุคคลหมดความจำเป็นในการเก็บรักษาไว้ตามวัตถุประสงค์ในการเก็บรวบรวมข้อมูลส่วนบุคคล แต่เจ้าของข้อมูลส่วนบุคคลมีความจำเป็นต้องขอให้เก็บรักษาไว้เพื่อใช้ในการก่อตั้งสิทธิเรียกร้องตามกฎหมาย การปฏิบัติตามหรือการใช้สิทธิเรียกร้องตามกฎหมาย หรือการยกขึ้นต่อสู้สิทธิเรียกร้องตามกฎหมาย
>
> (4) เมื่อผู้ควบคุมข้อมูลส่วนบุคคลอยู่ในระหว่างการพิสูจน์ตาม[มาตรา 32](https://link.pdpalawbase.com/section/32.md) (1) หรือตรวจสอบตาม[มาตรา 32](https://link.pdpalawbase.com/section/32.md) (3) เพื่อปฏิเสธการคัดค้านของเจ้าของข้อมูลส่วนบุคคลตาม[มาตรา 32](https://link.pdpalawbase.com/section/32.md) วรรคสาม
>
> กรณีผู้ควบคุมข้อมูลส่วนบุคคลไม่ดำเนินการตามวรรคหนึ่ง เจ้าของข้อมูลส่วนบุคคลมีสิทธิร้องเรียนต่อคณะกรรมการผู้เชี่ยวชาญเพื่อสั่งให้ผู้ควบคุมข้อมูลส่วนบุคคลดำเนินการได้
>
> คณะกรรมการอาจประกาศกำหนดหลักเกณฑ์ในการระงับการใช้ตามวรรคหนึ่งก็ได้

## สรุป

มาตรานี้ให้ **สิทธิระงับการใช้ข้อมูล** — ใช้แทนการลบในกรณีที่ผู้ควบคุมยังต้องเก็บข้อมูลไว้แต่ไม่ควรนำมาใช้ใน 4 กรณี: (1) อยู่ระหว่างตรวจสอบความถูกต้องตาม [มาตรา 36](https://link.pdpalawbase.com/section/36.md) (2) ต้องลบตาม [มาตรา 33](https://link.pdpalawbase.com/section/33.md) (4) แต่ขอระงับแทน (3) หมดความจำเป็นแต่เจ้าของข้อมูลต้องการเก็บไว้เพื่อสิทธิเรียกร้องตามกฎหมาย (4) อยู่ระหว่างพิสูจน์/ตรวจสอบเพื่อปฏิเสธการคัดค้านตาม [มาตรา 32](https://link.pdpalawbase.com/section/32.md)

## องค์ประกอบสำคัญ

- **4 กรณีที่ระงับได้ (วรรค 1):**
  - **(1) ระหว่างตรวจสอบความถูกต้อง** — ผู้ควบคุมกำลังตรวจสอบหลังเจ้าของข้อมูลร้องขอตาม [มาตรา 36](https://link.pdpalawbase.com/section/36.md)
  - **(2) ต้องลบตาม [มาตรา 33](https://link.pdpalawbase.com/section/33.md) (4) แต่ขอระงับแทน** — กรณีข้อมูลถูกเก็บโดยไม่ชอบด้วยกฎหมาย เจ้าของข้อมูลเลือกระงับ (เพื่อใช้เป็นหลักฐานต่อไป) แทนการลบ
  - **(3) หมดความจำเป็นแต่ต้องเก็บเพื่อสิทธิเรียกร้อง** — เจ้าของข้อมูลขอเก็บไว้เพื่อก่อตั้ง/ใช้/ยกขึ้นต่อสู้สิทธิเรียกร้องตามกฎหมาย
  - **(4) ระหว่างพิสูจน์/ตรวจสอบ** เพื่อปฏิเสธการคัดค้านตาม [มาตรา 32](https://link.pdpalawbase.com/section/32.md) (1) หรือ (3)
- **สิทธิร้องเรียน (วรรค 2):** ผู้ควบคุมไม่ดำเนินการ → ร้องเรียนต่อคณะกรรมการผู้เชี่ยวชาญ
- **อำนาจของคณะกรรมการ (วรรค 3):** ออกหลักเกณฑ์การระงับการใช้

## มาตราที่อ้างอิง

- [มาตรา 32](https://link.pdpalawbase.com/section/32.md) — สิทธิคัดค้าน — กรณี (4) เชื่อมโยงกับช่วงที่ผู้ควบคุมพิสูจน์/ตรวจสอบเพื่อปฏิเสธคัดค้าน
- [มาตรา 33](https://link.pdpalawbase.com/section/33.md) — สิทธิให้ลบ — กรณี (2) ระบุว่าเจ้าของข้อมูลอาจขอระงับแทนกรณีตาม [มาตรา 33](https://link.pdpalawbase.com/section/33.md) (4)
- [มาตรา 36](https://link.pdpalawbase.com/section/36.md) — สิทธิให้แก้ไข — กรณี (1) เชื่อมโยงกับช่วงที่ผู้ควบคุมตรวจสอบความถูกต้อง

## หมายเหตุ

- **เทียบ GDPR:** สอดคล้องกับ Article 18 (สิทธิให้ระงับการประมวลผล) — เป็นทางเลือกระหว่าง "ลบ" กับ "ใช้ต่อ" ในระหว่างที่ยังตัดสินใจไม่ได้
- **ความหมายของ "ระงับการใช้":** ผู้ควบคุมยัง**เก็บข้อมูลได้** แต่ไม่นำมาใช้ในกระบวนการประมวลผลปกติ — เช่น เก็บไว้ในคลังเก็บถาวรแยก ติดเครื่องหมายห้ามอ่าน หรือเข้ารหัสแล้วเก็บกุญแจถอดรหัสแยก
- **กลไกในเชิงการดำเนินงาน:**
  - **(1):** ระหว่างที่ผู้ควบคุมตรวจสอบว่าข้อมูลถูกต้องหรือไม่ — ห้ามใช้ข้อมูลที่อาจไม่ถูกต้อง
  - **(2):** เจ้าของข้อมูลเลือกระงับแทนการลบ — มักใช้เมื่อต้องการเก็บข้อมูลเป็นหลักฐานในการดำเนินคดี
  - **(3):** กรณีคล้ายการระงับเพื่อรอคดี — ต้องเก็บข้อมูลเพื่อต่อสู้หรือใช้สิทธิเรียกร้องตามกฎหมาย แม้หมดวัตถุประสงค์เดิม
  - **(4):** ระหว่างที่ผู้ควบคุมยังพิสูจน์ "เหตุอันชอบด้วยกฎหมายที่สำคัญยิ่งกว่า" ตาม [มาตรา 32](https://link.pdpalawbase.com/section/32.md) (1) (ก) — ต้องระงับเพื่อรอข้อสรุป
- **ไม่ปรากฏข้อกำหนดเรื่องบันทึกการปฏิเสธ:** ต่างจาก [มาตรา 30](https://link.pdpalawbase.com/section/30.md), [มาตรา 31](https://link.pdpalawbase.com/section/31.md), [มาตรา 32](https://link.pdpalawbase.com/section/32.md), [มาตรา 36](https://link.pdpalawbase.com/section/36.md) — มาตรานี้ไม่ระบุให้บันทึกใน [มาตรา 39](https://link.pdpalawbase.com/section/39.md) เพราะกลไกบังคับเป็นการร้องเรียนต่อคณะกรรมการผู้เชี่ยวชาญแทน
- **ความเชื่อมโยงกับ [มาตรา 23](https://link.pdpalawbase.com/section/23.md):** ผู้ควบคุมต้องแจ้งสิทธิตามมาตรานี้ในการแจ้งความเป็นส่วนตัว ([มาตรา 23](https://link.pdpalawbase.com/section/23.md) (6))

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/section/34.md

============================================================
โนด: มาตรา 35
ลิงก์อ้างอิง: https://link.pdpalawbase.com/section/35.md

# มาตรา 35

## ตัวบท

> มาตรา 35 ผู้ควบคุมข้อมูลส่วนบุคคลต้องดำเนินการให้ข้อมูลส่วนบุคคลนั้นถูกต้อง เป็นปัจจุบัน สมบูรณ์ และไม่ก่อให้เกิดความเข้าใจผิด

## สรุป

มาตรานี้เป็น **หน้าที่ดูแลคุณภาพข้อมูล** ของผู้ควบคุม — ต้องรักษาให้ข้อมูลส่วนบุคคลที่ตนเก็บไว้มีคุณสมบัติ 4 ด้าน: ถูกต้อง, เป็นปัจจุบัน, สมบูรณ์, และไม่ก่อให้เกิดความเข้าใจผิด มาตรานี้เป็นพื้นฐานของกลไกการขอแก้ไขข้อมูลใน [มาตรา 36](https://link.pdpalawbase.com/section/36.md)

## องค์ประกอบสำคัญ

- **ผู้มีหน้าที่:** ผู้ควบคุมข้อมูลส่วนบุคคล
- **คุณสมบัติ 4 ด้านของข้อมูลที่ต้องรักษา:**
  - **ถูกต้อง** — ตรงตามความเป็นจริง ไม่มีข้อผิดพลาด
  - **เป็นปัจจุบัน** — สะท้อนสถานะล่าสุด ไม่ล้าสมัยจนทำให้ตัดสินใจผิด
  - **สมบูรณ์** — ครบถ้วนตามที่จำเป็นต่อวัตถุประสงค์
  - **ไม่ก่อให้เกิดความเข้าใจผิด** — แม้แต่ละชิ้นถูกต้อง แต่รวมแล้วต้องไม่สื่อความผิดเพี้ยน
- **ลักษณะของหน้าที่:** เชิงรุก — ผู้ควบคุมต้อง "ดำเนินการ" ให้เป็นไปตามคุณสมบัตินี้ ไม่ใช่รอให้เจ้าของข้อมูลร้องขอเท่านั้น

## มาตราที่อ้างอิง

(ไม่มีการอ้างอิงตรงในตัวบท แต่เชื่อมโยงเชิงระบบกับ [มาตรา 36](https://link.pdpalawbase.com/section/36.md) ที่เป็นกลไกในกรณีผู้ควบคุมไม่ดำเนินการ)

## หมายเหตุ

- **เทียบ GDPR:** สอดคล้องกับ Article 5(1)(d) — "ความถูกต้อง" — หนึ่งในหลักการคุ้มครองข้อมูลของ GDPR
- **โครงสร้างเชิงระบบ:**
  - **มาตรานี้ ([มาตรา 35](https://link.pdpalawbase.com/section/35.md)):** กำหนด**หน้าที่ของผู้ควบคุม**
  - **[มาตรา 36](https://link.pdpalawbase.com/section/36.md):** กลไกเมื่อ**เจ้าของข้อมูล**ร้องขอให้แก้ไข — และผู้ควบคุมไม่ดำเนินการ
- **ตัวอย่างในทางปฏิบัติ:**
  - **ที่อยู่ของลูกค้าเปลี่ยน** → ต้องอัปเดตเพื่อความเป็นปัจจุบัน
  - **เลขประจำตัวผู้เสียภาษีพิมพ์ผิด** → ต้องแก้ไขเพื่อความถูกต้อง
  - **ข้อมูลทางการแพทย์เก่า** → ต้องเพิ่มข้อมูลใหม่เพื่อความสมบูรณ์
  - **คะแนนเครดิต**ที่ไม่ได้สะท้อนการชำระล่าสุด → อาจก่อให้เกิดความเข้าใจผิด
- **กลไกควบคุมคุณภาพข้อมูล:** ผู้ควบคุมควรกำหนดกระบวนการตรวจสอบเป็นระยะ ไม่ใช่รอจน [มาตรา 36](https://link.pdpalawbase.com/section/36.md) ถูกใช้
- **เกณฑ์ตามวัตถุประสงค์:** "สมบูรณ์" และ "เป็นปัจจุบัน" พิจารณา**ตามวัตถุประสงค์**ในการเก็บ — ข้อมูลที่ไม่จำเป็นไม่ต้องเก็บให้สมบูรณ์/อัปเดต (เน้นหลักความจำเป็น)

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/section/35.md

============================================================
โนด: มาตรา 36
ลิงก์อ้างอิง: https://link.pdpalawbase.com/section/36.md

# มาตรา 36

## ตัวบท

> มาตรา 36 ในกรณีที่เจ้าของข้อมูลส่วนบุคคลร้องขอให้ผู้ควบคุมข้อมูลส่วนบุคคลดำเนินการตาม[มาตรา 35](https://link.pdpalawbase.com/section/35.md) หากผู้ควบคุมข้อมูลส่วนบุคคลไม่ดำเนินการตามคำร้องขอ ผู้ควบคุมข้อมูลส่วนบุคคลต้องบันทึกคำร้องขอของเจ้าของข้อมูลส่วนบุคคลพร้อมด้วยเหตุผลไว้ในรายการตาม[มาตรา 39](https://link.pdpalawbase.com/section/39.md)
>
> ให้นำความใน[มาตรา 34](https://link.pdpalawbase.com/section/34.md) วรรคสอง มาใช้บังคับโดยอนุโลม

## สรุป

มาตรานี้เป็น **กลไกเมื่อเจ้าของข้อมูลร้องขอให้แก้ไขข้อมูล** ตามหน้าที่คุณภาพข้อมูลใน [มาตรา 35](https://link.pdpalawbase.com/section/35.md) หากผู้ควบคุมไม่ดำเนินการ ต้องบันทึกคำร้องขอ + เหตุผลใน [มาตรา 39](https://link.pdpalawbase.com/section/39.md) (ROPA) และเจ้าของข้อมูลสามารถร้องเรียนต่อคณะกรรมการผู้เชี่ยวชาญได้ ([มาตรา 34](https://link.pdpalawbase.com/section/34.md) วรรคสอง โดยอนุโลม)

## องค์ประกอบสำคัญ

- **เงื่อนไข (วรรค 1):**
  - เจ้าของข้อมูลร้องขอให้ผู้ควบคุมดำเนินการตาม [มาตรา 35](https://link.pdpalawbase.com/section/35.md) (ทำให้ถูกต้อง/เป็นปัจจุบัน/สมบูรณ์/ไม่ก่อให้เกิดความเข้าใจผิด) **และ**
  - ผู้ควบคุมไม่ดำเนินการ
- **หน้าที่บันทึก:** ผู้ควบคุมต้องบันทึกคำร้องขอ + เหตุผลที่ไม่ดำเนินการไว้ในรายการตาม [มาตรา 39](https://link.pdpalawbase.com/section/39.md) (ROPA)
- **กลไกร้องเรียน (วรรค 2):** ให้นำ [มาตรา 34](https://link.pdpalawbase.com/section/34.md) วรรคสอง มาใช้บังคับโดยอนุโลม → เจ้าของข้อมูลร้องเรียนต่อคณะกรรมการผู้เชี่ยวชาญเพื่อสั่งให้ผู้ควบคุมดำเนินการได้

## มาตราที่อ้างอิง

- [มาตรา 34](https://link.pdpalawbase.com/section/34.md) — สิทธิระงับการใช้ — มาตรานี้นำวรรคสอง (กลไกร้องเรียนต่อคณะกรรมการผู้เชี่ยวชาญ) มาใช้บังคับโดยอนุโลม
- [มาตรา 35](https://link.pdpalawbase.com/section/35.md) — หน้าที่ผู้ควบคุมในการรักษาคุณภาพข้อมูล — เป็นต้นทางของคำร้องขอตามมาตรานี้
- [มาตรา 39](https://link.pdpalawbase.com/section/39.md) — บันทึกรายการกิจกรรมประมวลผล (ROPA) — รวมการบันทึกคำร้องขอที่ไม่ดำเนินการตามมาตรานี้

## หมายเหตุ

- **เทียบ GDPR:** สอดคล้องกับ Article 16 (สิทธิแก้ไข) — สิทธิแก้ไขข้อมูลให้ถูกต้อง
- **โครงสร้างเชิงระบบ:**
  - **[มาตรา 35](https://link.pdpalawbase.com/section/35.md):** หน้าที่เชิงรุกของผู้ควบคุม
  - **มาตรานี้ ([มาตรา 36](https://link.pdpalawbase.com/section/36.md)):** กลไกเมื่อเจ้าของข้อมูลใช้สิทธิร้องขอ
- **เนื้อหาของคำร้องขอ:** ครอบคลุมทั้ง 4 ด้านของคุณภาพข้อมูลตาม [มาตรา 35](https://link.pdpalawbase.com/section/35.md) — เจ้าของข้อมูลอาจขอให้:
  - **แก้ไข** ข้อมูลที่ไม่ถูกต้อง
  - **ปรับปรุง** ข้อมูลที่ล้าสมัย
  - **เพิ่ม** ข้อมูลที่ขาดหายไป
  - **ปรับบริบท** ที่ก่อให้เกิดความเข้าใจผิด
- **"นำ [มาตรา 34](https://link.pdpalawbase.com/section/34.md) วรรคสอง มาใช้บังคับโดยอนุโลม":** หมายความว่ากลไกร้องเรียนต่อคณะกรรมการผู้เชี่ยวชาญ (ที่ใช้กับสิทธิระงับใน [มาตรา 34](https://link.pdpalawbase.com/section/34.md)) ใช้กับสิทธิแก้ไขใน [มาตรา 36](https://link.pdpalawbase.com/section/36.md) ด้วย
- **"โดยอนุโลม":** ปรับใช้บทบัญญัติของมาตราอื่นกับบริบทใหม่ โดยปรับถ้อยคำเท่าที่จำเป็น
- **เชื่อมโยงกับ [มาตรา 34](https://link.pdpalawbase.com/section/34.md) (1):** ในระหว่างที่ผู้ควบคุมตรวจสอบคำร้องขอตามมาตรานี้ เจ้าของข้อมูลสามารถใช้สิทธิระงับการใช้ตาม [มาตรา 34](https://link.pdpalawbase.com/section/34.md) (1) ได้ด้วย
- **ความเชื่อมโยงกับ [มาตรา 23](https://link.pdpalawbase.com/section/23.md):** ผู้ควบคุมต้องแจ้งสิทธิตามมาตรานี้ในการแจ้งความเป็นส่วนตัว ([มาตรา 23](https://link.pdpalawbase.com/section/23.md) (6))

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/section/36.md

============================================================
โนด: มาตรา 37
ลิงก์อ้างอิง: https://link.pdpalawbase.com/section/37.md

# มาตรา 37

## ตัวบท

> มาตรา 37 ผู้ควบคุมข้อมูลส่วนบุคคลมีหน้าที่ ดังต่อไปนี้
>
> (1) จัดให้มีมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสม เพื่อป้องกันการสูญหาย เข้าถึง ใช้ เปลี่ยนแปลง แก้ไข หรือเปิดเผยข้อมูลส่วนบุคคลโดยปราศจากอำนาจหรือโดยมิชอบ และต้องทบทวนมาตรการดังกล่าวเมื่อมีความจำเป็นหรือเมื่อเทคโนโลยีเปลี่ยนแปลงไปเพื่อให้มีประสิทธิภาพในการรักษาความมั่นคงปลอดภัยที่เหมาะสม ทั้งนี้ ให้เป็นไปตามมาตรฐานขั้นต่ำที่คณะกรรมการประกาศกำหนด
>
> (2) ในกรณีที่ต้องให้ข้อมูลส่วนบุคคลแก่บุคคลหรือนิติบุคคลอื่นที่ไม่ใช่ผู้ควบคุมข้อมูลส่วนบุคคล ต้องดำเนินการเพื่อป้องกันมิให้ผู้นั้นใช้หรือเปิดเผยข้อมูลส่วนบุคคลโดยปราศจากอำนาจหรือโดยมิชอบ
>
> (3) จัดให้มีระบบการตรวจสอบเพื่อดำเนินการลบหรือทำลายข้อมูลส่วนบุคคลเมื่อพ้นกำหนดระยะเวลาการเก็บรักษา หรือที่ไม่เกี่ยวข้องหรือเกินความจำเป็นตามวัตถุประสงค์ในการเก็บรวบรวมข้อมูลส่วนบุคคลนั้น หรือตามที่เจ้าของข้อมูลส่วนบุคคลร้องขอ หรือที่เจ้าของข้อมูลส่วนบุคคลได้ถอนความยินยอม เว้นแต่เก็บรักษาไว้เพื่อวัตถุประสงค์ในการใช้เสรีภาพในการแสดงความคิดเห็น การเก็บรักษาไว้เพื่อวัตถุประสงค์ตาม[มาตรา 24](https://link.pdpalawbase.com/section/24.md) (1) หรือ (4) หรือ[มาตรา 26](https://link.pdpalawbase.com/section/26.md) (5) (ก) หรือ (ข) การใช้เพื่อการก่อตั้งสิทธิเรียกร้องตามกฎหมาย การปฏิบัติตามหรือการใช้สิทธิเรียกร้องตามกฎหมาย หรือการยกขึ้นต่อสู้สิทธิเรียกร้องตามกฎหมาย หรือเพื่อการปฏิบัติตามกฎหมาย ทั้งนี้ ให้นำความใน[มาตรา 33](https://link.pdpalawbase.com/section/33.md) วรรคห้า มาใช้บังคับกับการลบหรือทำลายข้อมูลส่วนบุคคลโดยอนุโลม
>
> (4) แจ้งเหตุการละเมิดข้อมูลส่วนบุคคลแก่สำนักงานโดยไม่ชักช้าภายในเจ็ดสิบสองชั่วโมงนับแต่ทราบเหตุเท่าที่จะสามารถกระทำได้ เว้นแต่การละเมิดดังกล่าวไม่มีความเสี่ยงที่จะมีผลกระทบต่อสิทธิและเสรีภาพของบุคคล ในกรณีที่การละเมิดมีความเสี่ยงสูงที่จะมีผลกระทบต่อสิทธิและเสรีภาพของบุคคล ให้แจ้งเหตุการละเมิดให้เจ้าของข้อมูลส่วนบุคคลทราบพร้อมกับแนวทางการเยียวยาโดยไม่ชักช้าด้วย ทั้งนี้ การแจ้งดังกล่าวและข้อยกเว้นให้เป็นไปตามหลักเกณฑ์และวิธีการที่คณะกรรมการประกาศกำหนด
>
> (5) ในกรณีที่เป็นผู้ควบคุมข้อมูลส่วนบุคคลตาม[มาตรา 5](https://link.pdpalawbase.com/section/5.md) วรรคสอง ต้องแต่งตั้งตัวแทนของผู้ควบคุมข้อมูลส่วนบุคคลเป็นหนังสือซึ่งตัวแทนต้องอยู่ในราชอาณาจักรและตัวแทนต้องได้รับมอบอำนาจให้กระทำการแทนผู้ควบคุมข้อมูลส่วนบุคคลโดยไม่มีข้อจำกัดความรับผิดใด ๆ ที่เกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลตามวัตถุประสงค์ของผู้ควบคุมข้อมูลส่วนบุคคล

## สรุป

มาตรานี้กำหนด **5 หน้าที่หลักของผู้ควบคุมข้อมูล:** (1) มาตรการความมั่นคงปลอดภัยที่เหมาะสม (2) ป้องกันบุคคลที่ 3 ใช้/เปิดเผยข้อมูลโดยมิชอบ (3) ระบบลบข้อมูลเมื่อหมดความจำเป็น (4) **แจ้งเหตุละเมิดต่อสำนักงานภายใน 72 ชั่วโมง** + แจ้งเจ้าของข้อมูลในกรณีเสี่ยงสูง (5) ผู้ควบคุมต่างประเทศตาม [มาตรา 5](https://link.pdpalawbase.com/section/5.md) วรรคสอง ต้องแต่งตั้งตัวแทนในราชอาณาจักร

## องค์ประกอบสำคัญ

- **(1) มาตรการความมั่นคงปลอดภัย:**
  - ป้องกัน: สูญหาย เข้าถึง ใช้ เปลี่ยนแปลง แก้ไข เปิดเผยโดยปราศจากอำนาจ/มิชอบ
  - ต้อง**ทบทวน**เมื่อจำเป็นหรือเทคโนโลยีเปลี่ยน
  - ตามมาตรฐานขั้นต่ำที่คณะกรรมการประกาศ
- **(2) ป้องกันบุคคลที่ 3:** เมื่อต้องส่งข้อมูลให้บุคคล/นิติบุคคลอื่น ต้องดำเนินการป้องกันการใช้/เปิดเผยมิชอบ (ผ่านสัญญา/มาตรการอื่น)
- **(3) ระบบลบข้อมูล:** ต้องมีระบบตรวจสอบเพื่อลบ/ทำลายข้อมูลใน 4 กรณี:
  - พ้นกำหนดระยะเวลาเก็บ
  - ไม่เกี่ยวข้องหรือเกินความจำเป็น
  - เจ้าของข้อมูลร้องขอ
  - เจ้าของข้อมูลถอนความยินยอม
  - **ข้อยกเว้น:** เสรีภาพแสดงความคิดเห็น, [มาตรา 24](https://link.pdpalawbase.com/section/24.md) (1)/(4), [มาตรา 26](https://link.pdpalawbase.com/section/26.md) (5) (ก)/(ข), สิทธิเรียกร้อง, ปฏิบัติตามกฎหมาย
  - **กลไกของคณะกรรมการ:** [มาตรา 33](https://link.pdpalawbase.com/section/33.md) วรรคห้า ใช้บังคับโดยอนุโลม
- **(4) แจ้งเหตุละเมิด:**
  - **ต่อสำนักงาน:** ภายใน **72 ชั่วโมง** นับแต่ทราบเหตุ (เว้นแต่ไม่มีความเสี่ยงต่อสิทธิเสรีภาพ)
  - **ต่อเจ้าของข้อมูล:** ในกรณีความเสี่ยง**สูง** — แจ้ง + แนวทางการเยียวยา โดยไม่ชักช้า
  - หลักเกณฑ์ + ข้อยกเว้นเป็นไปตามประกาศคณะกรรมการ
- **(5) ตัวแทนของผู้ควบคุมต่างประเทศ:**
  - กรณี: ผู้ควบคุมตาม [มาตรา 5](https://link.pdpalawbase.com/section/5.md) วรรคสอง (ผู้ควบคุมต่างประเทศที่กฎหมายไทยคุ้มถึง)
  - ต้องแต่งตั้งตัวแทน**เป็นหนังสือ** + **อยู่ในราชอาณาจักร**
  - ตัวแทนได้รับมอบอำนาจ**โดยไม่มีข้อจำกัดความรับผิด**

## มาตราที่อ้างอิง

- [มาตรา 5](https://link.pdpalawbase.com/section/5.md) — ขอบเขตการบังคับใช้กฎหมาย — วรรคสองคือกรณีผู้ควบคุมต่างประเทศที่กฎหมายไทยบังคับถึง ที่ต้องแต่งตั้งตัวแทนตาม (5)
- [มาตรา 24](https://link.pdpalawbase.com/section/24.md) — ฐานเก็บข้อมูลทั่วไป — (1) ป้องกันอันตรายชีวิต และ (4) ภารกิจประโยชน์สาธารณะ คือข้อยกเว้นในการลบ
- [มาตรา 26](https://link.pdpalawbase.com/section/26.md) — ฐานเก็บข้อมูลอ่อนไหว — (5) (ก) เวชศาสตร์ป้องกัน และ (ข) ประโยชน์สาธารณะด้านสาธารณสุข คือข้อยกเว้นในการลบ
- [มาตรา 33](https://link.pdpalawbase.com/section/33.md) — สิทธิให้ลบ — วรรคห้า (อำนาจคณะกรรมการกำหนดหลักเกณฑ์การลบ) ใช้บังคับโดยอนุโลม

## หมายเหตุ

- **เทียบ GDPR:**
  - (1) → Article 32 (มาตรการความมั่นคงปลอดภัยของการประมวลผล)
  - (4) → Article 33 (แจ้งภายใน 72 ชั่วโมง) + Article 34 (แจ้งเจ้าของข้อมูล)
  - (5) → Article 27 (ตัวแทนของผู้ควบคุม/ผู้ประมวลผลที่ไม่อยู่ใน EU)
- **72 ชั่วโมงเป็นกำหนดเวลาที่เคร่งครัด:** สอดคล้องกับ GDPR — ผู้ควบคุมต้องวางกระบวนการรับมือเหตุละเมิดให้พร้อม (การตรวจจับ การประเมิน ทีมแจ้งเหตุ)
- **การแจ้ง 2 ชั้น:**
  - **ต่อสำนักงาน:** เสมอ (เว้นแต่ไม่มีความเสี่ยง) — เป็นการรายงานต่อหน่วยงานกำกับดูแล
  - **ต่อเจ้าของข้อมูล:** เฉพาะกรณี**ความเสี่ยงสูง** — เป็นการสื่อสารกับเจ้าของข้อมูลพร้อมแนวทางเยียวยา
- **มาตรการความมั่นคงปลอดภัย "ที่เหมาะสม":** ขึ้นอยู่กับความเสี่ยง — ข้อมูลอ่อนไหว/จำนวนมาก/มีค่าทางเศรษฐกิจสูง → มาตรการต้องเข้มข้นกว่า
- **"ระบบการตรวจสอบ" ใน (3):** ต้องเป็นระบบอัตโนมัติและเป็นระบบ — ไม่ใช่การตรวจสอบเฉพาะกิจ; เชื่อมโยงกับนโยบายระยะเวลาเก็บและการจัดการวงจรชีวิตข้อมูล
- **ตัวแทน vs DPO ([มาตรา 41](https://link.pdpalawbase.com/section/41.md)):** ต่างกัน — ตัวแทน = นิติฐานะ + รับผิดแทนผู้ควบคุมต่างประเทศ; DPO = หน้าที่ให้คำแนะนำ + ตรวจสอบ
- **ผู้ควบคุมต่างประเทศที่กฎหมายไทยบังคับถึง ([มาตรา 5](https://link.pdpalawbase.com/section/5.md) วรรคสอง):** ผู้ควบคุมต่างประเทศที่เสนอสินค้า/บริการแก่เจ้าของข้อมูลในไทย หรือเฝ้าติดตามพฤติกรรมในไทย — ต้องแต่งตั้งตัวแทนเป็นจุดติดต่อตามกฎหมาย
- **ความเชื่อมโยงกับ [มาตรา 39](https://link.pdpalawbase.com/section/39.md) (8):** มาตรการตาม (1) ของมาตรานี้ต้องบันทึกใน ROPA ([มาตรา 39](https://link.pdpalawbase.com/section/39.md) (8))
- **ข้อยกเว้นการแต่งตั้งตัวแทน (5):** ดู [มาตรา 38](https://link.pdpalawbase.com/section/38.md) — หน่วยงานของรัฐ + กิจการเล็กที่ไม่เกี่ยวกับ [มาตรา 26](https://link.pdpalawbase.com/section/26.md)

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/section/37.md

============================================================
โนด: มาตรา 38
ลิงก์อ้างอิง: https://link.pdpalawbase.com/section/38.md

# มาตรา 38

## ตัวบท

> มาตรา 38 บทบัญญัติเกี่ยวกับการแต่งตั้งตัวแทนตาม[มาตรา 37](https://link.pdpalawbase.com/section/37.md) (5) มิให้นำมาใช้บังคับแก่ผู้ควบคุมข้อมูลส่วนบุคคล ดังต่อไปนี้
>
> (1) ผู้ควบคุมข้อมูลส่วนบุคคลซึ่งเป็นหน่วยงานของรัฐตามที่คณะกรรมการประกาศกำหนด
>
> (2) ผู้ควบคุมข้อมูลส่วนบุคคลซึ่งประกอบอาชีพหรือธุรกิจในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลที่ไม่มีลักษณะตาม[มาตรา 26](https://link.pdpalawbase.com/section/26.md) และไม่มีข้อมูลส่วนบุคคลเป็นจำนวนมากตามที่คณะกรรมการประกาศกำหนดตาม[มาตรา 41](https://link.pdpalawbase.com/section/41.md) (2)
>
> ในกรณีที่ผู้ควบคุมข้อมูลส่วนบุคคลตาม[มาตรา 5](https://link.pdpalawbase.com/section/5.md) วรรคสอง มีผู้ประมวลผลข้อมูลส่วนบุคคล ให้นำความใน[มาตรา 37](https://link.pdpalawbase.com/section/37.md) (5) และความในวรรคหนึ่ง มาใช้บังคับแก่ผู้ประมวลผลข้อมูลส่วนบุคคลนั้นโดยอนุโลม

## สรุป

มาตรานี้กำหนด **ข้อยกเว้นการแต่งตั้งตัวแทน** ตาม [มาตรา 37](https://link.pdpalawbase.com/section/37.md) (5) — ไม่ต้องแต่งตั้งตัวแทนใน 2 กรณี: (1) หน่วยงานของรัฐที่คณะกรรมการประกาศกำหนด และ (2) กิจการเล็กที่ไม่เก็บข้อมูลอ่อนไหวและไม่เก็บข้อมูลจำนวนมาก ส่วนผู้ประมวลผลของผู้ควบคุมต่างประเทศก็ต้องแต่งตั้งตัวแทนเช่นกัน (ใช้บังคับโดยอนุโลม)

## องค์ประกอบสำคัญ

- **2 กรณีที่ยกเว้นไม่ต้องแต่งตั้งตัวแทน (วรรค 1):**
  - **(1) หน่วยงานของรัฐ** ตามที่คณะกรรมการประกาศกำหนด
  - **(2) กิจการเล็ก** ที่มี 2 องค์ประกอบ:
    - **ไม่เก็บข้อมูลอ่อนไหว** ตาม [มาตรา 26](https://link.pdpalawbase.com/section/26.md)
    - **ไม่เก็บข้อมูลจำนวนมาก** ตามที่คณะกรรมการประกาศตาม [มาตรา 41](https://link.pdpalawbase.com/section/41.md) (2)
- **ผู้ประมวลผลของผู้ควบคุมต่างประเทศ (วรรค 2):**
  - กรณี: ผู้ควบคุมตาม [มาตรา 5](https://link.pdpalawbase.com/section/5.md) วรรคสอง (ผู้ควบคุมต่างประเทศที่กฎหมายไทยบังคับถึง) มี**ผู้ประมวลผล**
  - ผู้ประมวลผลก็ต้องแต่งตั้งตัวแทนตาม [มาตรา 37](https://link.pdpalawbase.com/section/37.md) (5) **โดยอนุโลม**
  - ข้อยกเว้น (1) (2) ของมาตรานี้ก็ใช้กับผู้ประมวลผลโดยอนุโลม

## มาตราที่อ้างอิง

- [มาตรา 5](https://link.pdpalawbase.com/section/5.md) — ขอบเขตการบังคับใช้ — วรรคสองคือกรณีผู้ควบคุมต่างประเทศที่กฎหมายไทยบังคับถึง อันเป็นต้นทางของหน้าที่แต่งตั้งตัวแทน
- [มาตรา 26](https://link.pdpalawbase.com/section/26.md) — ฐานเก็บข้อมูลอ่อนไหว — กิจการที่เก็บข้อมูลตาม [มาตรา 26](https://link.pdpalawbase.com/section/26.md) ไม่ได้รับยกเว้น (ต้องแต่งตั้งตัวแทน)
- [มาตรา 37](https://link.pdpalawbase.com/section/37.md) — หน้าที่ผู้ควบคุม — มาตรานี้ระงับการบังคับใช้ของ (5)
- [มาตรา 41](https://link.pdpalawbase.com/section/41.md) — DPO — (2) อ้างถึงเกณฑ์ "ข้อมูลจำนวนมาก" ที่คณะกรรมการประกาศกำหนด

## หมายเหตุ

- **เทียบ GDPR:** สอดคล้องกับ Article 27(2) — ข้อยกเว้นการแต่งตั้งตัวแทน
- **เกณฑ์ "กิจการเล็ก":** ต้องครบทั้ง 2 องค์ประกอบ — ไม่เก็บข้อมูลอ่อนไหว **และ** ไม่เก็บข้อมูลจำนวนมาก; กิจการเล็กที่เก็บข้อมูลอ่อนไหว (เช่น คลินิกแพทย์) **ยังคงต้อง**แต่งตั้งตัวแทน
- **"จำนวนมาก" ตาม [มาตรา 41](https://link.pdpalawbase.com/section/41.md) (2):** เกณฑ์เดียวกับการต้องมี DPO — กำหนดโดยประกาศคณะกรรมการ ไม่ใช่ตัวเลขในกฎหมายโดยตรง
- **ความสมเหตุสมผล:** ตัวแทนเป็นภาระของ (1) ต้นทุนการดำเนินงาน (ต้องอยู่ในไทย) และ (2) เกราะรับผิดสำหรับเจ้าของข้อมูล — กิจการเล็กที่ความเสี่ยงต่ำได้รับยกเว้นเพื่อลดภาระ
- **ผู้ประมวลผลก็ต้องแต่งตั้งตัวแทน:** วรรค 2 อุดช่องว่าง — ห้ามดำเนินงานผ่านผู้ประมวลผลต่างประเทศโดยไม่มีจุดติดต่อในไทย
- **"โดยอนุโลม":** ปรับใช้บทบัญญัติในบริบทใหม่โดยปรับถ้อยคำเท่าที่จำเป็น — เช่น "ผู้ควบคุม" → "ผู้ประมวลผล"
- **ข้อยกเว้นไม่กระทบหน้าที่อื่น:** ผู้ควบคุมที่ได้รับยกเว้นการแต่งตั้งตัวแทนตามมาตรานี้ **ยังต้องปฏิบัติตามหน้าที่อื่น**ทุกข้อใน [มาตรา 37](https://link.pdpalawbase.com/section/37.md) (1)-(4)

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/section/38.md

============================================================
โนด: มาตรา 39
ลิงก์อ้างอิง: https://link.pdpalawbase.com/section/39.md

# มาตรา 39

## ตัวบท

> มาตรา 39 ให้ผู้ควบคุมข้อมูลส่วนบุคคลบันทึกรายการ อย่างน้อยดังต่อไปนี้ เพื่อให้เจ้าของข้อมูลส่วนบุคคลและสำนักงานสามารถตรวจสอบได้ โดยจะบันทึกเป็นหนังสือหรือระบบอิเล็กทรอนิกส์ก็ได้
>
> (1) ข้อมูลส่วนบุคคลที่มีการเก็บรวบรวม
>
> (2) วัตถุประสงค์ของการเก็บรวบรวมข้อมูลส่วนบุคคลแต่ละประเภท
>
> (3) ข้อมูลเกี่ยวกับผู้ควบคุมข้อมูลส่วนบุคคล
>
> (4) ระยะเวลาการเก็บรักษาข้อมูลส่วนบุคคล
>
> (5) สิทธิและวิธีการเข้าถึงข้อมูลส่วนบุคคล รวมทั้งเงื่อนไขเกี่ยวกับบุคคลที่มีสิทธิเข้าถึงข้อมูลส่วนบุคคลและเงื่อนไขในการเข้าถึงข้อมูลส่วนบุคคลนั้น
>
> (6) การใช้หรือเปิดเผยตาม[มาตรา 27](https://link.pdpalawbase.com/section/27.md) วรรคสาม
>
> (7) การปฏิเสธคำขอหรือการคัดค้านตาม[มาตรา 30](https://link.pdpalawbase.com/section/30.md) วรรคสาม [มาตรา 31](https://link.pdpalawbase.com/section/31.md) วรรคสาม [มาตรา 32](https://link.pdpalawbase.com/section/32.md) วรรคสาม และ[มาตรา 36](https://link.pdpalawbase.com/section/36.md) วรรคหนึ่ง
>
> (8) คำอธิบายเกี่ยวกับมาตรการรักษาความมั่นคงปลอดภัยตาม[มาตรา 37](https://link.pdpalawbase.com/section/37.md) (1)
>
> ความในวรรคหนึ่งให้นำมาใช้บังคับกับตัวแทนของผู้ควบคุมข้อมูลส่วนบุคคลตาม[มาตรา 5](https://link.pdpalawbase.com/section/5.md) วรรคสอง โดยอนุโลม
>
> ความใน (1) (2) (3) (4) (5) (6) และ (8) อาจยกเว้นมิให้นำมาใช้บังคับกับผู้ควบคุมข้อมูลส่วนบุคคลซึ่งเป็นกิจการขนาดเล็กตามหลักเกณฑ์ที่คณะกรรมการประกาศกำหนด เว้นแต่มีการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลที่มีความเสี่ยงที่จะมีผลกระทบต่อสิทธิและเสรีภาพของเจ้าของข้อมูลส่วนบุคคล หรือมิใช่กิจการที่เก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลเป็นครั้งคราว หรือมีการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลตาม[มาตรา 26](https://link.pdpalawbase.com/section/26.md)

## สรุป

มาตรานี้กำหนดให้ผู้ควบคุมข้อมูล**บันทึกรายการกิจกรรมประมวลผล** (ROPA) ที่ครอบคลุม 8 องค์ประกอบ — เพื่อให้เจ้าของข้อมูลและสำนักงานตรวจสอบได้ บันทึกเป็นหนังสือหรือระบบอิเล็กทรอนิกส์ก็ได้ ตัวแทนของผู้ควบคุมต่างประเทศ ([มาตรา 5](https://link.pdpalawbase.com/section/5.md) วรรคสอง) ก็ต้องบันทึกโดยอนุโลม กิจการเล็กอาจได้รับยกเว้นบางส่วน — แต่หากเก็บข้อมูลอ่อนไหวหรือมีความเสี่ยง ต้องบันทึกเต็มรูปแบบ

## องค์ประกอบสำคัญ

- **8 รายการที่ต้องบันทึก (วรรค 1):**
  - **(1)** ข้อมูลส่วนบุคคลที่เก็บรวบรวม
  - **(2)** วัตถุประสงค์ของการเก็บแต่ละประเภท
  - **(3)** ข้อมูลเกี่ยวกับผู้ควบคุม
  - **(4)** ระยะเวลาเก็บรักษา
  - **(5)** สิทธิและวิธีเข้าถึง + เงื่อนไขผู้มีสิทธิเข้าถึง
  - **(6)** การใช้/เปิดเผยตาม [มาตรา 27](https://link.pdpalawbase.com/section/27.md) วรรคสาม (กรณีฐานยกเว้น)
  - **(7)** การปฏิเสธคำขอ/คัดค้านตาม:
    - [มาตรา 30](https://link.pdpalawbase.com/section/30.md) วรรคสาม (ปฏิเสธสิทธิเข้าถึง)
    - [มาตรา 31](https://link.pdpalawbase.com/section/31.md) วรรคสาม (ปฏิเสธสิทธิโอนย้ายข้อมูล)
    - [มาตรา 32](https://link.pdpalawbase.com/section/32.md) วรรคสาม (ปฏิเสธคัดค้าน)
    - [มาตรา 36](https://link.pdpalawbase.com/section/36.md) วรรคหนึ่ง (ปฏิเสธแก้ไข)
  - **(8)** คำอธิบายมาตรการความมั่นคงปลอดภัยตาม [มาตรา 37](https://link.pdpalawbase.com/section/37.md) (1)
- **รูปแบบของการบันทึก:** หนังสือหรือระบบอิเล็กทรอนิกส์
- **วัตถุประสงค์:** ให้**เจ้าของข้อมูลและสำนักงาน**ตรวจสอบได้
- **ตัวแทนของผู้ควบคุมต่างประเทศ (วรรค 2):** ใช้บังคับกับตัวแทนตาม [มาตรา 5](https://link.pdpalawbase.com/section/5.md) วรรคสอง โดยอนุโลม
- **ข้อยกเว้นกิจการเล็ก (วรรค 3):**
  - ยกเว้น (1)(2)(3)(4)(5)(6)(8) **(แต่ไม่ยกเว้น (7))** — กิจการเล็กตามที่คณะกรรมการประกาศ
  - **เว้นแต่:** มีความเสี่ยงต่อสิทธิและเสรีภาพ **หรือ** ไม่ใช่กิจการที่เก็บข้อมูลเป็นครั้งคราว **หรือ** เก็บข้อมูลอ่อนไหวตาม [มาตรา 26](https://link.pdpalawbase.com/section/26.md)

## มาตราที่อ้างอิง

- [มาตรา 5](https://link.pdpalawbase.com/section/5.md) — ขอบเขตการบังคับใช้ — วรรคสอง (กรณีนอกราชอาณาจักร) ที่ตัวแทนของผู้ควบคุมต่างประเทศต้องบันทึก ROPA โดยอนุโลม
- [มาตรา 26](https://link.pdpalawbase.com/section/26.md) — ฐานเก็บข้อมูลอ่อนไหว — กิจการเล็กที่เก็บข้อมูลตามนี้ไม่ได้รับยกเว้น
- [มาตรา 27](https://link.pdpalawbase.com/section/27.md) — การใช้/เปิดเผย — วรรคสาม (กรณีใช้ฐานยกเว้น) เป็นรายการ (6)
- [มาตรา 30](https://link.pdpalawbase.com/section/30.md) — สิทธิเข้าถึง — การปฏิเสธตามวรรคสามต้องบันทึกใน (7)
- [มาตรา 31](https://link.pdpalawbase.com/section/31.md) — สิทธิให้โอนย้ายข้อมูล — การปฏิเสธตามวรรคสามต้องบันทึกใน (7)
- [มาตรา 32](https://link.pdpalawbase.com/section/32.md) — สิทธิคัดค้าน — การปฏิเสธคัดค้านตามวรรคสามต้องบันทึกใน (7)
- [มาตรา 36](https://link.pdpalawbase.com/section/36.md) — สิทธิแก้ไข — คำร้องขอที่ไม่ดำเนินการตามวรรคหนึ่งต้องบันทึกใน (7)
- [มาตรา 37](https://link.pdpalawbase.com/section/37.md) — หน้าที่ผู้ควบคุม — (1) มาตรการความมั่นคงปลอดภัย เป็นรายการ (8)

## หมายเหตุ

- **เทียบ GDPR:** สอดคล้องกับ Article 30 (บันทึกรายการกิจกรรมประมวลผล) — โครงสร้างคล้ายแต่รายละเอียดต่างกันบ้าง (PDPA เน้นการบันทึกการปฏิเสธสิทธิด้วยใน (7))
- **ความสำคัญของ ROPA:**
  - **หลักความรับผิดชอบ:** ผู้ควบคุมต้องสามารถ**แสดงให้เห็น**การปฏิบัติตาม PDPA — ROPA คือหลักฐาน
  - **เครื่องมือสำหรับ DPIA:** ROPA เป็นข้อมูลพื้นฐานในการประเมินความเสี่ยง
  - **เครื่องมือสำหรับการตรวจสอบ:** สำนักงานใช้ตรวจสอบเมื่อมีการตรวจสอบหรือสอบสวน
- **(7) ยังต้องทำเสมอ:** ข้อยกเว้นกิจการเล็กยกเว้นเฉพาะ (1)-(6) + (8) — การปฏิเสธสิทธิยังต้องบันทึก เพื่อให้เจ้าของข้อมูลตรวจสอบได้
- **เกณฑ์ "กิจการเล็ก":** ต้องดูประกาศคณะกรรมการ — ในแนวปฏิบัติทั่วไปอาจอ้างเกณฑ์ของกิจการขนาดกลางและขนาดย่อม (จำนวนพนักงาน/รายได้)
- **3 กรณีที่ยังต้องบันทึกแม้เป็นกิจการเล็ก:**
  - **มีความเสี่ยงต่อสิทธิและเสรีภาพ** เช่น การวิเคราะห์ข้อมูลขนาดใหญ่ การจัดทำโพรไฟล์ การเฝ้าติดตาม
  - **ไม่ใช่ครั้งคราว** เช่น การประมวลผลเป็นกิจกรรมหลักของกิจการ
  - **ข้อมูลอ่อนไหวตาม [มาตรา 26](https://link.pdpalawbase.com/section/26.md)** — เช่น กิจการสุขภาพ คลินิกแพทย์
- **รูปแบบบันทึกในทางปฏิบัติ:**
  - **ตารางคำนวณหรือฐานข้อมูล** สำหรับองค์กรขนาดกลาง-ใหญ่
  - **เอกสารประมวลผลคำ** สำหรับองค์กรเล็ก
  - **ระบบกำกับดูแลความเสี่ยงและการปฏิบัติตามกฎเกณฑ์เฉพาะทาง** สำหรับองค์กรใหญ่/ที่มี DPO
- **ความเชื่อมโยงในระบบ PDPA:** ROPA เป็นจุดศูนย์กลางที่หลายมาตราอ้างถึง — เห็นได้ว่ามาตราต่างๆ ใน หมวด 3 ที่ระบุ "บันทึกใน [มาตรา 39](https://link.pdpalawbase.com/section/39.md)" สะท้อนความเป็นกลไกหลักของการตรวจสอบความรับผิด

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/section/39.md

============================================================
โนด: มาตรา 40
ลิงก์อ้างอิง: https://link.pdpalawbase.com/section/40.md

# มาตรา 40

## ตัวบท

> มาตรา 40 ผู้ประมวลผลข้อมูลส่วนบุคคลมีหน้าที่ ดังต่อไปนี้
>
> (1) ดำเนินการเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลตามคำสั่งที่ได้รับจากผู้ควบคุมข้อมูลส่วนบุคคลเท่านั้น เว้นแต่คำสั่งนั้นขัดต่อกฎหมายหรือบทบัญญัติในการคุ้มครองข้อมูลส่วนบุคคลตามพระราชบัญญัตินี้
>
> (2) จัดให้มีมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสม เพื่อป้องกันการสูญหาย เข้าถึง ใช้ เปลี่ยนแปลง แก้ไข หรือเปิดเผยข้อมูลส่วนบุคคลโดยปราศจากอำนาจหรือโดยมิชอบ รวมทั้งแจ้งให้ผู้ควบคุมข้อมูลส่วนบุคคลทราบถึงเหตุการละเมิดข้อมูลส่วนบุคคลที่เกิดขึ้น
>
> (3) จัดทำและเก็บรักษาบันทึกรายการของกิจกรรมการประมวลผลข้อมูลส่วนบุคคลไว้ตามหลักเกณฑ์และวิธีการที่คณะกรรมการประกาศกำหนด
>
> ผู้ประมวลผลข้อมูลส่วนบุคคลซึ่งไม่ปฏิบัติตาม (1) สำหรับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลใด ให้ถือว่าผู้ประมวลผลข้อมูลส่วนบุคคลเป็นผู้ควบคุมข้อมูลส่วนบุคคลสำหรับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลนั้น
>
> การดำเนินงานตามหน้าที่ของผู้ประมวลผลข้อมูลส่วนบุคคลตามที่ได้รับมอบหมายจากผู้ควบคุมข้อมูลส่วนบุคคลตามวรรคหนึ่ง ผู้ควบคุมข้อมูลส่วนบุคคลต้องจัดให้มีข้อตกลงระหว่างกัน เพื่อควบคุมการดำเนินงานตามหน้าที่ของผู้ประมวลผลข้อมูลส่วนบุคคลให้เป็นไปตามพระราชบัญญัตินี้
>
> ความใน (3) อาจยกเว้นมิให้นำมาใช้บังคับกับผู้ประมวลผลข้อมูลส่วนบุคคลซึ่งเป็นกิจการขนาดเล็กตามหลักเกณฑ์ที่คณะกรรมการประกาศกำหนด เว้นแต่มีการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลที่มีความเสี่ยงที่จะมีผลกระทบต่อสิทธิและเสรีภาพของเจ้าของข้อมูลส่วนบุคคล หรือมิใช่กิจการที่เก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลเป็นครั้งคราว หรือมีการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลตาม[มาตรา 26](https://link.pdpalawbase.com/section/26.md)

## สรุป

มาตรานี้กำหนด **3 หน้าที่ของผู้ประมวลผลข้อมูล:** (1) ดำเนินการตามคำสั่งของผู้ควบคุมเท่านั้น (เว้นแต่คำสั่งขัดกฎหมาย) (2) มาตรการความมั่นคงปลอดภัย + แจ้งผู้ควบคุมเหตุละเมิด (3) บันทึกรายการกิจกรรมประมวลผล (ROPA ของฝั่งผู้ประมวลผล) ผลของการไม่ปฏิบัติตาม (1) คือ ถูกถือเป็นผู้ควบคุม นอกจากนี้กำหนดให้ต้องมี **ข้อตกลงระหว่างผู้ควบคุม-ผู้ประมวลผล**

## องค์ประกอบสำคัญ

- **3 หน้าที่ของผู้ประมวลผล (วรรค 1):**
  - **(1) ดำเนินการตามคำสั่งของผู้ควบคุมเท่านั้น** — เว้นแต่คำสั่งขัดกฎหมาย/บทบัญญัติคุ้มครองข้อมูล
  - **(2) มาตรการความมั่นคงปลอดภัย** + **แจ้งผู้ควบคุม** เหตุการละเมิด
  - **(3) บันทึกรายการกิจกรรมประมวลผล** (ROPA ของฝั่งผู้ประมวลผล) — ตามหลักเกณฑ์ของคณะกรรมการ
- **ผลของการไม่ปฏิบัติตาม (1) — หลักยกระดับเป็นผู้ควบคุม (วรรค 2):**
  - ผู้ประมวลผลที่ดำเนินการนอกคำสั่ง → **ถือว่าเป็นผู้ควบคุม** สำหรับการประมวลผลนั้น
  - ผลทางกฎหมาย: ต้องรับภาระทุกหน้าที่ของผู้ควบคุม (รวม [มาตรา 37](https://link.pdpalawbase.com/section/37.md) ทั้งหมด, [มาตรา 39](https://link.pdpalawbase.com/section/39.md) ROPA, ฯลฯ)
- **ข้อตกลงระหว่างผู้ควบคุมและผู้ประมวลผล (วรรค 3):**
  - ผู้ควบคุม**ต้องจัด**ให้มีข้อตกลงเป็นหนังสือ
  - วัตถุประสงค์: ควบคุมการดำเนินงานของผู้ประมวลผลให้เป็นไปตามพระราชบัญญัตินี้
- **ข้อยกเว้นกิจการเล็ก (วรรค 4):**
  - ยกเว้น **(3)** เท่านั้น (หน้าที่ ROPA) — กิจการเล็กที่คณะกรรมการประกาศ
  - **เว้นแต่:** มีความเสี่ยง **หรือ** ไม่ใช่ครั้งคราว **หรือ** เก็บข้อมูลอ่อนไหวตาม [มาตรา 26](https://link.pdpalawbase.com/section/26.md)

## มาตราที่อ้างอิง

- [มาตรา 26](https://link.pdpalawbase.com/section/26.md) — ฐานเก็บข้อมูลอ่อนไหว — ผู้ประมวลผลที่ประมวลข้อมูลตามนี้ไม่ได้รับยกเว้น (3)

## หมายเหตุ

- **เทียบ GDPR:**
  - (1) → Article 28(3)(a) "ประมวลผลข้อมูลส่วนบุคคลตามคำสั่งเป็นลายลักษณ์อักษรของผู้ควบคุมเท่านั้น"
  - (2) → Article 32 (มาตรการความมั่นคงปลอดภัย) + Article 33(2) (แจ้งผู้ควบคุม)
  - (3) → Article 30(2) (บันทึกของผู้ประมวลผล)
  - วรรค 2 → Article 28(10) "ให้ถือว่าเป็นผู้ควบคุม"
  - วรรค 3 → Article 28(3) (สัญญา / ข้อตกลงประมวลผลข้อมูล)
- **โครงสร้างความสัมพันธ์ผู้ควบคุม vs ผู้ประมวลผล:**
  - **ผู้ควบคุม:** ตัดสิน "วัตถุประสงค์" และ "วิธีการ" — รับผิดต่อเจ้าของข้อมูล
  - **ผู้ประมวลผล:** ดำเนินการแทนตามคำสั่ง — รับผิดต่อผู้ควบคุม และมีความเสี่ยงตามพระราชบัญญัตินี้
- **หลักยกระดับเป็นผู้ควบคุม (วรรค 2) สำคัญมาก:**
  - ป้องกันการ "ซ่อน" ความรับผิดของผู้ประมวลผลเมื่อใช้ข้อมูลเพื่อวัตถุประสงค์ของตน
  - ตัวอย่าง: ผู้ให้บริการคลาวด์ที่ใช้ข้อมูลลูกค้าไปฝึกระบบปัญญาประดิษฐ์ของตนเอง → ถือเป็นผู้ควบคุมสำหรับการประมวลผลในการฝึกระบบนั้น
- **เนื้อหาของข้อตกลงประมวลผลข้อมูลโดยทั่วไป:**
  - วัตถุประสงค์และระยะเวลาของการประมวลผล
  - ประเภทของข้อมูลและเจ้าของข้อมูล
  - หน้าที่ของผู้ประมวลผล (ตาม (1)-(3))
  - กลไกการแจ้งเหตุละเมิด
  - สิทธิของผู้ควบคุมในการตรวจสอบ
  - การอนุมัติให้ใช้ผู้ประมวลผลย่อย
  - ข้อกำหนดเมื่อสิ้นสุดสัญญา (ลบ/ส่งคืนข้อมูล)
- **กรณีผู้ประมวลผลย่อย:** ผู้ประมวลผลใช้ผู้ประมวลผลย่อย → ต้องได้รับอนุญาตจากผู้ควบคุม + ผูกพันด้วยข้อตกลงประมวลผลแบบเดียวกัน (โดยอนุโลม)
- **ความเชื่อมโยงกับ [มาตรา 37](https://link.pdpalawbase.com/section/37.md) (2):** ผู้ควบคุมที่ส่งข้อมูลให้ผู้ประมวลผล มีหน้าที่ "ป้องกันมิให้ผู้นั้นใช้/เปิดเผยข้อมูลโดยมิชอบ" ซึ่งข้อตกลงประมวลผลตามมาตรานี้คือกลไกหลัก
- **ความเชื่อมโยงกับ [มาตรา 41](https://link.pdpalawbase.com/section/41.md):** ผู้ประมวลผลก็มีหน้าที่แต่งตั้ง DPO ในกรณีตามเงื่อนไขของ [มาตรา 41](https://link.pdpalawbase.com/section/41.md)

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/section/40.md

============================================================
โนด: มาตรา 41
ลิงก์อ้างอิง: https://link.pdpalawbase.com/section/41.md

# มาตรา 41

## ตัวบท

> มาตรา 41 ผู้ควบคุมข้อมูลส่วนบุคคลและผู้ประมวลผลข้อมูลส่วนบุคคลต้องจัดให้มีเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลของตน ในกรณีดังต่อไปนี้
>
> (1) ผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคลเป็นหน่วยงานของรัฐตามที่คณะกรรมการประกาศกำหนด
>
> (2) การดำเนินกิจกรรมของผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคลในการเก็บรวบรวม ใช้ หรือเปิดเผย จำเป็นต้องตรวจสอบข้อมูลส่วนบุคคลหรือระบบอย่างสม่ำเสมอโดยเหตุที่มีข้อมูลส่วนบุคคลเป็นจำนวนมากตามที่คณะกรรมการประกาศกำหนด
>
> (3) กิจกรรมหลักของผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคลเป็นการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลตาม[มาตรา 26](https://link.pdpalawbase.com/section/26.md)
>
> ในกรณีที่ผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคลอยู่ในเครือกิจการหรือเครือธุรกิจเดียวกันเพื่อการประกอบกิจการหรือธุรกิจร่วมกันตามที่คณะกรรมการประกาศกำหนดตาม[มาตรา 29](https://link.pdpalawbase.com/section/29.md) วรรคสอง ผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคลดังกล่าวอาจจัดให้มีเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลร่วมกันได้ ทั้งนี้ สถานที่ทำการแต่ละแห่งของผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคลที่อยู่ในเครือกิจการหรือเครือธุรกิจเดียวกันดังกล่าวต้องสามารถติดต่อกับเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลได้โดยง่าย
>
> ความในวรรคสองให้นำมาใช้บังคับแก่ผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคลซึ่งเป็นหน่วยงานของรัฐตาม (1) ซึ่งมีขนาดใหญ่หรือมีสถานที่ทำการหลายแห่งโดยอนุโลม
>
> ในกรณีที่ผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคลตามวรรคหนึ่งต้องแต่งตั้งตัวแทนตาม[มาตรา 37](https://link.pdpalawbase.com/section/37.md) (5) ให้นำความในวรรคหนึ่งมาใช้บังคับแก่ตัวแทนโดยอนุโลม
>
> ผู้ควบคุมข้อมูลส่วนบุคคลและผู้ประมวลผลข้อมูลส่วนบุคคลมีหน้าที่ต้องแจ้งข้อมูลเกี่ยวกับเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล สถานที่ติดต่อ และวิธีการติดต่อให้เจ้าของข้อมูลส่วนบุคคลและสำนักงานทราบ ทั้งนี้ เจ้าของข้อมูลส่วนบุคคลสามารถติดต่อเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลและการใช้สิทธิของเจ้าของข้อมูลส่วนบุคคลตามพระราชบัญญัตินี้ได้
>
> คณะกรรมการอาจประกาศกำหนดคุณสมบัติของเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลได้ โดยคำนึงถึงความรู้หรือความเชี่ยวชาญเกี่ยวกับการคุ้มครองข้อมูลส่วนบุคคล
>
> เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลอาจเป็นพนักงานของผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคลหรือเป็นผู้รับจ้างให้บริการตามสัญญากับผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคลก็ได้

## สรุป

มาตรานี้กำหนด **3 กรณีที่ผู้ควบคุม/ผู้ประมวลผลต้องแต่งตั้งเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล (DPO):** (1) หน่วยงานของรัฐ (2) กิจกรรมต้องตรวจสอบข้อมูลจำนวนมากเป็นประจำ (3) กิจกรรมหลักคือการประมวลผลข้อมูลอ่อนไหวตาม [มาตรา 26](https://link.pdpalawbase.com/section/26.md) เครือกิจการเดียวกันใช้ DPO ร่วมได้ ตัวแทนตาม [มาตรา 37](https://link.pdpalawbase.com/section/37.md) (5) ก็ใช้บังคับ DPO มีสิทธิเป็นพนักงานในองค์กรหรือผู้รับจ้างภายนอกก็ได้

## องค์ประกอบสำคัญ

- **3 กรณีที่ต้องมี DPO (วรรค 1):**
  - **(1) หน่วยงานของรัฐ** ตามที่คณะกรรมการประกาศ
  - **(2) การติดตามตรวจสอบข้อมูลขนาดใหญ่อย่างสม่ำเสมอ** — กิจกรรมจำเป็นต้องตรวจสอบข้อมูลส่วนบุคคล/ระบบอย่างสม่ำเสมอ โดยมีข้อมูลจำนวนมากตามที่คณะกรรมการประกาศ
  - **(3) ข้อมูลอ่อนไหวเป็นกิจกรรมหลัก** — กิจกรรมหลักเป็นการเก็บ ใช้ เปิดเผยข้อมูลตาม [มาตรา 26](https://link.pdpalawbase.com/section/26.md)
- **DPO ร่วมในเครือกิจการ (วรรค 2):**
  - กรณี: เครือกิจการ/ธุรกิจเดียวกันตาม [มาตรา 29](https://link.pdpalawbase.com/section/29.md) วรรคสอง
  - แต่ละสาขาต้องสามารถ**ติดต่อ DPO ได้โดยง่าย**
- **DPO ร่วมในหน่วยงานของรัฐ (วรรค 3):** หน่วยงานของรัฐขนาดใหญ่/หลายแห่งใช้ DPO ร่วมได้โดยอนุโลม
- **ตัวแทนตาม [มาตรา 37](https://link.pdpalawbase.com/section/37.md) (5) (วรรค 4):** ผู้ควบคุมต่างประเทศที่แต่งตั้งตัวแทน → ใช้บังคับ DPO กับตัวแทนโดยอนุโลม
- **หน้าที่แจ้งข้อมูลติดต่อ DPO (วรรค 5):**
  - แจ้งให้**เจ้าของข้อมูล**และ**สำนักงาน**ทราบ
  - เจ้าของข้อมูลสามารถติดต่อ DPO เกี่ยวกับการประมวลผล + การใช้สิทธิตาม PDPA
- **คุณสมบัติของ DPO (วรรค 6):** คณะกรรมการอาจประกาศกำหนด — เน้นความรู้/ความเชี่ยวชาญด้านคุ้มครองข้อมูล
- **รูปแบบของ DPO (วรรค 7):**
  - **พนักงานในองค์กร** **หรือ**
  - **ผู้รับจ้างให้บริการตามสัญญา (DPO ภายนอก)**

## มาตราที่อ้างอิง

- [มาตรา 26](https://link.pdpalawbase.com/section/26.md) — ฐานเก็บข้อมูลอ่อนไหว — กิจกรรมหลักที่ประมวลผลข้อมูลตามนี้ต้องมี DPO ((3))
- [มาตรา 29](https://link.pdpalawbase.com/section/29.md) — การส่งข้อมูลภายในเครือกิจการ — วรรคสอง (เครือกิจการเดียวกัน) เป็นเกณฑ์ของ DPO ร่วมในเครือกิจการ
- [มาตรา 37](https://link.pdpalawbase.com/section/37.md) — หน้าที่ผู้ควบคุม — (5) (ตัวแทนของผู้ควบคุมต่างประเทศ) ก็ต้องบังคับ DPO โดยอนุโลม

## หมายเหตุ

- **เทียบ GDPR:** สอดคล้องกับ Article 37 (การแต่งตั้ง), Article 38 (สถานะ), Article 39 (หน้าที่) — โครงสร้างใกล้เคียง
- **คำว่า "เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล" = DPO** — กฎหมายไทยใช้คำเต็ม แต่อุตสาหกรรมเรียกย่อ DPO เป็นมาตรฐาน
- **3 ปัจจัยที่ใช้วิเคราะห์ว่าต้องมี DPO หรือไม่:**
  - **ภาครัฐ** — เปลี่ยนเป็นเรื่องอำนาจรัฐ
  - **การติดตามตรวจสอบข้อมูลจำนวนมากเป็นประจำ** — เช่น ธนาคาร โทรคมนาคม การโฆษณาออนไลน์
  - **ข้อมูลอ่อนไหวเป็นกิจการหลัก** — เช่น โรงพยาบาล องค์กรศาสนา บริการที่ใช้ข้อมูลชีวภาพ
- **(2) "ข้อมูลจำนวนมาก":** ไม่มีตัวเลขในกฎหมาย — ขึ้นกับประกาศคณะกรรมการ; ในแนวปฏิบัติของ EU พิจารณา:
  - จำนวนเจ้าของข้อมูลที่กระทบ
  - ปริมาณข้อมูล / ความหลากหลาย
  - ระยะเวลาที่ประมวลผล
  - ขอบเขตทางภูมิศาสตร์
- **(3) "กิจกรรมหลัก":** ไม่ใช่ "กิจกรรมรอง" — เช่น โรงพยาบาล (สุขภาพคือกิจกรรมหลัก), งานบุคคลของบริษัทผลิต (งานบุคคลไม่ใช่กิจกรรมหลักของบริษัทผลิต)
- **DPO พนักงานในองค์กร vs ผู้รับจ้างภายนอก:**
  - **พนักงานในองค์กร:** เข้าใจองค์กรลึก แต่ความเป็นอิสระอาจถูกท้าทาย (รายงานต่อใคร?)
  - **ผู้รับจ้างภายนอก:** ความเป็นอิสระสูงกว่า แต่อาจไม่เข้าใจบริบทองค์กร — เหมาะกับกิจการขนาดกลางและขนาดย่อม
- **ความเป็นอิสระของ DPO:** ดูใน [มาตรา 42](https://link.pdpalawbase.com/section/42.md) วรรค 3 — ห้ามไล่ออกเพราะปฏิบัติหน้าที่ + รายงานต่อผู้บริหารสูงสุดได้
- **DPO ร่วมในเครือกิจการข้ามประเทศ:** กรณีบริษัทแม่ที่ต่างประเทศ + บริษัทลูกในไทย → ต้องแน่ใจว่า DPO ติดต่อได้สะดวกกับสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล และเจ้าของข้อมูลในไทย
- **เกณฑ์ "จำนวนมาก" เดียวกับ [มาตรา 38](https://link.pdpalawbase.com/section/38.md) (2):** ทั้ง [มาตรา 38](https://link.pdpalawbase.com/section/38.md) (2) (ข้อยกเว้นตัวแทน) และ [มาตรา 41](https://link.pdpalawbase.com/section/41.md) (2) (ต้องมี DPO) อ้างถึงเกณฑ์ "ข้อมูลจำนวนมาก" ของคณะกรรมการ — เป็นเกณฑ์เดียวกัน

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/section/41.md

============================================================
โนด: มาตรา 42
ลิงก์อ้างอิง: https://link.pdpalawbase.com/section/42.md

# มาตรา 42

## ตัวบท

> มาตรา 42 เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลมีหน้าที่ ดังต่อไปนี้
>
> (1) ให้คำแนะนำแก่ผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคล รวมทั้งลูกจ้างหรือผู้รับจ้างของผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคลเกี่ยวกับการปฏิบัติตามพระราชบัญญัตินี้
>
> (2) ตรวจสอบการดำเนินงานของผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคล รวมทั้งลูกจ้างหรือผู้รับจ้างของผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคลเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลเพื่อให้เป็นไปตามพระราชบัญญัตินี้
>
> (3) ประสานงานและให้ความร่วมมือกับสำนักงานในกรณีที่มีปัญหาเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลของผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคล รวมทั้งลูกจ้างหรือผู้รับจ้างของผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคลในการปฏิบัติตามพระราชบัญญัตินี้
>
> (4) รักษาความลับของข้อมูลส่วนบุคคลที่ตนล่วงรู้หรือได้มาเนื่องจากการปฏิบัติหน้าที่ตามพระราชบัญญัตินี้
>
> ผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคลต้องสนับสนุนการปฏิบัติหน้าที่ของเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลโดยจัดหาเครื่องมือหรืออุปกรณ์อย่างเพียงพอ รวมทั้งอำนวยความสะดวกในการเข้าถึงข้อมูลส่วนบุคคลเพื่อการปฏิบัติหน้าที่
>
> ผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคลจะให้เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลออกจากงานหรือเลิกสัญญาการจ้างด้วยเหตุที่เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลปฏิบัติหน้าที่ตามพระราชบัญญัตินี้ไม่ได้ ทั้งนี้ ในกรณีที่มีปัญหาในการปฏิบัติหน้าที่ เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลต้องสามารถรายงานไปยังผู้บริหารสูงสุดของผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคลโดยตรงได้
>
> เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลอาจปฏิบัติหน้าที่หรือภารกิจอื่นได้ แต่ผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคลต้องรับรองกับสำนักงานว่าหน้าที่หรือภารกิจดังกล่าวต้องไม่ขัดหรือแย้งต่อการปฏิบัติหน้าที่ตามพระราชบัญญัตินี้

## สรุป

มาตรานี้กำหนด **4 หน้าที่หลักของ DPO:** (1) ให้คำแนะนำแก่ผู้ควบคุม/ผู้ประมวลผล + ลูกจ้าง/ผู้รับจ้าง (2) ตรวจสอบการปฏิบัติตามกฎหมาย (3) ประสานงาน/ให้ความร่วมมือกับสำนักงาน (4) รักษาความลับ พร้อมหลักประกัน 3 ด้านของความเป็นอิสระ: สนับสนุนทรัพยากร, **ห้ามไล่ออกเพราะปฏิบัติหน้าที่**, รายงานต่อผู้บริหารสูงสุดได้ DPO ปฏิบัติหน้าที่อื่นได้ แต่ห้ามขัดแย้งกับหน้าที่ตามกฎหมายนี้ ([มาตรา 41](https://link.pdpalawbase.com/section/41.md))

## องค์ประกอบสำคัญ

- **4 หน้าที่หลักของ DPO (วรรค 1):**
  - **(1) ให้คำแนะนำ** — แก่ผู้ควบคุม/ผู้ประมวลผล + ลูกจ้าง/ผู้รับจ้าง เกี่ยวกับการปฏิบัติตามกฎหมาย
  - **(2) ตรวจสอบ** — การดำเนินงานเกี่ยวกับการเก็บ ใช้ เปิดเผย ให้เป็นไปตามกฎหมาย
  - **(3) ประสานงาน** — กับสำนักงานในกรณีมีปัญหาเกี่ยวกับการประมวลผล
  - **(4) รักษาความลับ** — ของข้อมูลส่วนบุคคลที่ล่วงรู้จากการปฏิบัติหน้าที่
- **หน้าที่สนับสนุนของผู้ควบคุม/ผู้ประมวลผล (วรรค 2):**
  - **เครื่องมือ/อุปกรณ์** อย่างเพียงพอ
  - **อำนวยความสะดวก**ในการเข้าถึงข้อมูลส่วนบุคคล
- **หลักประกันความเป็นอิสระ (วรรค 3):**
  - **ห้ามไล่ออก/เลิกสัญญา** ด้วยเหตุที่ DPO ปฏิบัติหน้าที่ตามกฎหมาย
  - DPO ต้องสามารถ**รายงานตรง**ต่อผู้บริหารสูงสุดในกรณีมีปัญหา
- **DPO ปฏิบัติหน้าที่อื่นได้ (วรรค 4):**
  - DPO อาจมีบทบาทอื่น (เช่น ทำคู่กับงานที่ปรึกษากฎหมาย / กำกับการปฏิบัติตามกฎเกณฑ์ / ความปลอดภัยทางสารสนเทศ)
  - **เงื่อนไข:** ผู้ควบคุม/ผู้ประมวลผลต้อง**รับรองต่อสำนักงาน**ว่าไม่ขัด/แย้งกับหน้าที่ DPO

## มาตราที่อ้างอิง

- [มาตรา 41](https://link.pdpalawbase.com/section/41.md) — เงื่อนไขการแต่งตั้ง DPO — มาตรานี้กำหนดหน้าที่ของ DPO ที่ต้องแต่งตั้งตาม [มาตรา 41](https://link.pdpalawbase.com/section/41.md)

## หมายเหตุ

- **เทียบ GDPR:** สอดคล้องกับ Article 38 (สถานะ) + Article 39 (หน้าที่) — Article 39 ครอบคลุมหน้าที่ของ DPO
- **3 หลักประกันความเป็นอิสระสำคัญมาก:**
  - **ทรัพยากร:** ทรัพยากรเพียงพอ (เครื่องมือ + เข้าถึงข้อมูล)
  - **ความมั่นคงในตำแหน่ง:** ห้ามไล่ออกเพราะ "ตักเตือน" หรือ "รายงาน" ที่ฝ่ายบริหารไม่ชอบ
  - **ช่องทางรายงานตรง:** รายงานตรงผู้บริหารสูงสุด — ข้ามผู้บังคับบัญชาระดับกลางได้หากเกิดความขัดแย้ง
- **(1) "ลูกจ้าง/ผู้รับจ้าง" รวมในหน้าที่ DPO:** สำคัญ — DPO ต้องมีอำนาจให้คำแนะนำพนักงานทั่วทั้งองค์กร ไม่ใช่เฉพาะผู้บริหาร
- **(4) การรักษาความลับ:** DPO เห็นข้อมูลส่วนบุคคลทั่วทั้งองค์กร — มีหน้าที่รักษาความลับโดยปริยาย
- **ผลประโยชน์ทับซ้อน (วรรค 4):** DPO ไม่ควรมีบทบาทที่ตัดสินใจวิธีการประมวลผลเอง (เช่น ผู้บริหารสูงสุด หรือหัวหน้าฝ่ายการตลาด) — เพราะจะต้อง "ตรวจสอบตัวเอง"
  - **บทบาทที่ปกติเข้ากันได้:** เจ้าหน้าที่กำกับดูแลการปฏิบัติตามกฎหมาย, ผู้ตรวจสอบภายใน, ที่ปรึกษากฎหมาย, เจ้าหน้าที่ความปลอดภัยทางไอที (ไม่ใช่ผู้กำหนดวิธีการประมวลผล)
  - **บทบาทที่ขัดแย้ง:** ผู้บริหารสูงสุด, ผู้บริหารฝ่ายปฏิบัติการ, ผู้บริหารฝ่ายการเงิน, ผู้บริหารฝ่ายการตลาด, ผู้บริหารฝ่ายเทคโนโลยี, หัวหน้าฝ่ายบุคคล
- **DPO ผู้รับจ้างภายนอก + การรับรองต่อสำนักงาน:** กรณีจ้างภายนอก — บริษัทรับจ้างอาจมีลูกค้าหลายราย → ต้องรับรองว่าไม่ขัดแย้งกัน
- **DPO กับการคุ้มครองผู้แจ้งเบาะแส:** การห้ามไล่ออกเป็นการคุ้มครองในลักษณะเดียวกับผู้แจ้งเบาะแส — แต่ครอบคลุมเฉพาะการ "ปฏิบัติหน้าที่ตาม PDPA" (ไม่ใช่การประพฤติผิดอื่น)
- **ความเชื่อมโยงกับ [มาตรา 41](https://link.pdpalawbase.com/section/41.md):**
  - **[มาตรา 41](https://link.pdpalawbase.com/section/41.md):** ใครต้องมี DPO + การแต่งตั้ง + คุณสมบัติ
  - **มาตรานี้ ([มาตรา 42](https://link.pdpalawbase.com/section/42.md)):** หน้าที่ + ความเป็นอิสระ + การคุ้มครอง
- **บทบาท DPO ในการดำเนินคดี:** เป็นจุดติดต่อหลักของสำนักงานในฐานะหน่วยงานกำกับดูแล — กรณีมีการตรวจสอบ/สอบสวน/เหตุละเมิด — ตามวรรค 1 (3)

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/section/42.md

============================================================
โนด: มาตรา 43
ลิงก์อ้างอิง: https://link.pdpalawbase.com/section/43.md

# มาตรา 43

## ตัวบท

> มาตรา 43 ให้มีสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลมีวัตถุประสงค์เกี่ยวกับการคุ้มครองข้อมูลส่วนบุคคล รวมทั้งส่งเสริมและสนับสนุนให้เกิดการพัฒนาด้านการคุ้มครองข้อมูลส่วนบุคคลของประเทศ
>
> สำนักงานเป็นหน่วยงานของรัฐมีฐานะเป็นนิติบุคคล และไม่เป็นส่วนราชการตามกฎหมายว่าด้วยระเบียบบริหารราชการแผ่นดิน หรือรัฐวิสาหกิจตามกฎหมายว่าด้วยวิธีการงบประมาณหรือกฎหมายอื่น
>
> กิจการของสำนักงานไม่อยู่ภายใต้บังคับแห่งกฎหมายว่าด้วยการคุ้มครองแรงงาน กฎหมายว่าด้วยแรงงานสัมพันธ์ กฎหมายว่าด้วยแรงงานรัฐวิสาหกิจสัมพันธ์ กฎหมายว่าด้วยการประกันสังคม และกฎหมายว่าด้วยเงินทดแทน แต่พนักงานและลูกจ้างของสำนักงานต้องได้รับประโยชน์ตอบแทนไม่น้อยกว่าที่กำหนดไว้ในกฎหมายว่าด้วยการคุ้มครองแรงงาน กฎหมายว่าด้วยการประกันสังคม และกฎหมายว่าด้วยเงินทดแทน
>
> ให้สำนักงานเป็นหน่วยงานของรัฐตามกฎหมายว่าด้วยความรับผิดทางละเมิดของเจ้าหน้าที่

## สรุป

มาตรานี้จัดตั้ง **สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล** ในฐานะหน่วยงานของรัฐที่เป็นนิติบุคคล แต่ไม่เป็นส่วนราชการและไม่เป็นรัฐวิสาหกิจ มีวัตถุประสงค์ในการคุ้มครองข้อมูลส่วนบุคคลและส่งเสริมการพัฒนาด้านนี้ของประเทศ ไม่อยู่ภายใต้กฎหมายแรงงานหลายฉบับโดยตรง แต่พนักงานต้องได้รับประโยชน์ตอบแทนไม่น้อยกว่าที่กฎหมายแรงงานกำหนด และเป็นหน่วยงานของรัฐตามกฎหมายความรับผิดทางละเมิดของเจ้าหน้าที่

## องค์ประกอบสำคัญ

- **วัตถุประสงค์ของสำนักงาน (วรรค 1):**
  - คุ้มครองข้อมูลส่วนบุคคล
  - ส่งเสริมและสนับสนุนการพัฒนาด้านการคุ้มครองข้อมูลส่วนบุคคลของประเทศ
- **สถานะทางกฎหมาย (วรรค 2):**
  - เป็น **หน่วยงานของรัฐ** ที่มีฐานะเป็น **นิติบุคคล**
  - **ไม่ใช่** ส่วนราชการตามกฎหมายระเบียบบริหารราชการแผ่นดิน
  - **ไม่ใช่** รัฐวิสาหกิจตามกฎหมายวิธีการงบประมาณหรือกฎหมายอื่น
- **กฎหมายแรงงานที่ไม่บังคับใช้ (วรรค 3):**
  - กฎหมายคุ้มครองแรงงาน
  - กฎหมายแรงงานสัมพันธ์
  - กฎหมายแรงงานรัฐวิสาหกิจสัมพันธ์
  - กฎหมายประกันสังคม
  - กฎหมายเงินทดแทน
  - **แต่:** พนักงานและลูกจ้างต้องได้รับประโยชน์ตอบแทน**ไม่น้อยกว่า**ที่กำหนดในกฎหมายคุ้มครองแรงงาน ประกันสังคม และเงินทดแทน
- **ความรับผิดทางละเมิด (วรรค 4):** เป็นหน่วยงานของรัฐตามกฎหมายความรับผิดทางละเมิดของเจ้าหน้าที่ — ผู้เสียหายฟ้องสำนักงานได้โดยตรง (ไม่ต้องฟ้องเจ้าหน้าที่รายบุคคล)

## มาตราที่อ้างอิง

(ไม่มีการอ้างอิงมาตราอื่นในตัวบท)

## หมายเหตุ

- **โครงสร้างหน่วยงานของรัฐแบบอิสระ:** สำนักงานเป็น "หน่วยงานของรัฐที่ไม่ใช่ส่วนราชการและไม่ใช่รัฐวิสาหกิจ" ซึ่งเป็นรูปแบบที่ใช้กับองค์กรกำกับดูแลหลายแห่งในไทย เช่น กสทช., กลต., สภาพยาบาล
- **ความเป็นอิสระจากระบบราชการ:** การไม่อยู่ภายใต้ระเบียบบริหารราชการแผ่นดิน เปิดทางให้สำนักงานบริหารงานคุ้มครองข้อมูลส่วนบุคคลโดยไม่ขึ้นกับโครงสร้างราชการประจำ
- **เหตุที่ไม่ใช้กฎหมายแรงงานตรง:** เนื่องจากสถานะกึ่งราชการ-กึ่งเอกชน → จึงต้องออกแบบระบบบริหารพนักงานเฉพาะ (ดู [มาตรา 44](https://link.pdpalawbase.com/section/44.md) และ [มาตรา 45](https://link.pdpalawbase.com/section/45.md)) แต่กฎหมายผูกมัดให้ค่าตอบแทนต้องไม่ต่ำกว่ามาตรฐานของกฎหมายแรงงาน
- **ภาระความรับผิดทางละเมิด:** ผู้เสียหายฟ้องสำนักงานได้โดยตรง โดยไม่ต้องฟ้องเจ้าหน้าที่รายบุคคล — ลดความเสี่ยงที่เจ้าหน้าที่จะถูกฟ้องเป็นการส่วนตัวจากการปฏิบัติหน้าที่
- **ความเชื่อมโยงกับโครงสร้างคณะกรรมการ:** สำนักงานเป็นหน่วยปฏิบัติงานสนับสนุนคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล ที่จัดตั้งตาม [มาตรา 8](https://link.pdpalawbase.com/section/8.md) (หมวด 1) — ทำหน้าที่ทางวิชาการ ธุรการ และดำเนินการตามที่คณะกรรมการมอบหมาย

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/section/43.md

============================================================
โนด: มาตรา 44
ลิงก์อ้างอิง: https://link.pdpalawbase.com/section/44.md

# มาตรา 44

## ตัวบท

> มาตรา 44 นอกจากหน้าที่และอำนาจในการดำเนินการให้เป็นไปตามวัตถุประสงค์ตาม[มาตรา 43](https://link.pdpalawbase.com/section/43.md) วรรคหนึ่ง ให้สำนักงานมีหน้าที่ปฏิบัติงานวิชาการและงานธุรการให้แก่คณะกรรมการ คณะกรรมการกำกับสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล คณะกรรมการผู้เชี่ยวชาญ และคณะอนุกรรมการ รวมทั้งให้มีหน้าที่และอำนาจ ดังต่อไปนี้
>
> (1) จัดทำร่างแผนแม่บทการดำเนินงานด้านการส่งเสริม และการคุ้มครองข้อมูลส่วนบุคคลที่สอดคล้องกับนโยบาย ยุทธศาสตร์ชาติ และแผนระดับชาติที่เกี่ยวข้อง รวมทั้งร่างแผนแม่บทและมาตรการแก้ไขปัญหาอุปสรรคการปฏิบัติการตามนโยบาย ยุทธศาสตร์ชาติ และแผนระดับชาติดังกล่าว เพื่อเสนอต่อคณะกรรมการ
>
> (2) ส่งเสริมและสนับสนุนการวิจัย เพื่อพัฒนาเทคโนโลยีที่เกี่ยวข้องกับการคุ้มครองข้อมูลส่วนบุคคล
>
> (3) วิเคราะห์และรับรองความสอดคล้องและความถูกต้องตามมาตรฐานหรือตามมาตรการหรือกลไกการกำกับดูแลที่เกี่ยวข้องกับการคุ้มครองข้อมูลส่วนบุคคล รวมทั้งตรวจสอบและรับรองนโยบายในการคุ้มครองข้อมูลส่วนบุคคลตาม[มาตรา 29](https://link.pdpalawbase.com/section/29.md)
>
> (4) สำรวจ เก็บรวบรวมข้อมูล ติดตามความเคลื่อนไหวของสถานการณ์ด้านการคุ้มครองข้อมูลส่วนบุคคล และแนวโน้มการเปลี่ยนแปลงด้านการคุ้มครองข้อมูลส่วนบุคคล รวมทั้งวิเคราะห์และวิจัยประเด็นทางด้านการคุ้มครองข้อมูลส่วนบุคคลที่มีผลต่อการพัฒนาประเทศเพื่อเสนอต่อคณะกรรมการ
>
> (5) ประสานงานกับส่วนราชการ รัฐวิสาหกิจ ราชการส่วนท้องถิ่น องค์การมหาชน หรือหน่วยงานอื่นของรัฐเกี่ยวกับการคุ้มครองข้อมูลส่วนบุคคล
>
> (6) ให้คำปรึกษาแก่หน่วยงานของรัฐและหน่วยงานของเอกชนเกี่ยวกับการปฏิบัติตามพระราชบัญญัตินี้
>
> (7) เป็นศูนย์กลางในการให้บริการทางวิชาการหรือให้บริการที่เกี่ยวกับการคุ้มครองข้อมูลส่วนบุคคลแก่หน่วยงานของรัฐ หน่วยงานของเอกชน และประชาชน รวมทั้งเผยแพร่และให้ความรู้ความเข้าใจในเรื่องการคุ้มครองข้อมูลส่วนบุคคล
>
> (8) กำหนดหลักสูตรและฝึกอบรมการปฏิบัติหน้าที่ของผู้ควบคุมข้อมูลส่วนบุคคล ผู้ประมวลผลข้อมูลส่วนบุคคล เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล ลูกจ้าง ผู้รับจ้าง หรือประชาชนทั่วไป
>
> (9) ทำความตกลงและร่วมมือกับองค์การหรือหน่วยงานทั้งในประเทศและต่างประเทศในกิจการที่เกี่ยวกับการดำเนินการตามหน้าที่และอำนาจของสำนักงาน เมื่อได้รับความเห็นชอบจากคณะกรรมการ
>
> (10) ติดตามและประเมินผลการปฏิบัติตามพระราชบัญญัตินี้
>
> (11) ปฏิบัติหน้าที่อื่นตามที่คณะกรรมการ คณะกรรมการกำกับสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล คณะกรรมการผู้เชี่ยวชาญ หรือคณะอนุกรรมการมอบหมาย หรือตามที่กฎหมายกำหนด

## สรุป

มาตรานี้กำหนด **หน้าที่และอำนาจของสำนักงาน** 11 ข้อ — ครอบคลุมทั้งงานวิชาการและธุรการสนับสนุนคณะกรรมการชุดต่าง ๆ และหน้าที่เชิงรุก ได้แก่ จัดทำแผนแม่บท ส่งเสริมการวิจัย วิเคราะห์/รับรองมาตรฐาน สำรวจสถานการณ์ ประสานงานกับหน่วยงานรัฐ ให้คำปรึกษา ฝึกอบรม ทำความตกลงในและต่างประเทศ ติดตามประเมินผล นอกเหนือจากวัตถุประสงค์ตาม [มาตรา 43](https://link.pdpalawbase.com/section/43.md) วรรคหนึ่ง

## องค์ประกอบสำคัญ

- **หน้าที่ด้านธุรการ-วิชาการ (วรรคนำ):** สนับสนุนคณะกรรมการ + คณะกรรมการกำกับสำนักงาน + คณะกรรมการผู้เชี่ยวชาญ + คณะอนุกรรมการ
- **หน้าที่และอำนาจ 11 ข้อ:**
  - **(1) จัดทำแผนแม่บท** — ส่งเสริมและคุ้มครองข้อมูลส่วนบุคคล + มาตรการแก้ไขปัญหา → เสนอต่อคณะกรรมการ
  - **(2) ส่งเสริมการวิจัย** — พัฒนาเทคโนโลยีที่เกี่ยวข้อง
  - **(3) วิเคราะห์และรับรองมาตรฐาน** — รวมการตรวจสอบนโยบายตาม [มาตรา 29](https://link.pdpalawbase.com/section/29.md) (สำหรับการส่งข้อมูลภายในเครือกิจการต่างประเทศ)
  - **(4) สำรวจและติดตามสถานการณ์** — วิจัยประเด็นที่มีผลต่อการพัฒนาประเทศ
  - **(5) ประสานงาน** — ส่วนราชการ รัฐวิสาหกิจ ท้องถิ่น องค์การมหาชน หน่วยงานรัฐอื่น
  - **(6) ให้คำปรึกษา** — ทั้งภาครัฐและเอกชน
  - **(7) ศูนย์กลางบริการวิชาการ** — สำหรับรัฐ เอกชน ประชาชน + เผยแพร่ความรู้
  - **(8) หลักสูตรฝึกอบรม** — ผู้ควบคุมข้อมูล ผู้ประมวลผล เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล ลูกจ้าง ผู้รับจ้าง ประชาชน
  - **(9) ความตกลงในและต่างประเทศ** — เมื่อได้รับความเห็นชอบจากคณะกรรมการ
  - **(10) ติดตามและประเมินผล** การปฏิบัติตามพระราชบัญญัติ
  - **(11) หน้าที่อื่น** ตามที่คณะกรรมการ/คณะกรรมการกำกับ/คณะกรรมการผู้เชี่ยวชาญ/คณะอนุกรรมการมอบหมาย หรือตามกฎหมาย

## มาตราที่อ้างอิง

- [มาตรา 29](https://link.pdpalawbase.com/section/29.md) — การส่งข้อมูลส่วนบุคคลไปต่างประเทศโดยใช้นโยบายเครือกิจการ — สำนักงานเป็นหน่วยตรวจสอบและรับรองนโยบายตาม (3)
- [มาตรา 43](https://link.pdpalawbase.com/section/43.md) — การจัดตั้งสำนักงาน — มาตรานี้ขยายหน้าที่นอกเหนือวัตถุประสงค์ตาม [มาตรา 43](https://link.pdpalawbase.com/section/43.md) วรรคหนึ่ง

## หมายเหตุ

- **บทบาทหลัก 4 ขา:** หน้าที่ของสำนักงานครอบคลุม 4 ด้านสำคัญ:
  - **ด้านนโยบาย** — (1) แผนแม่บท + (4) สำรวจสถานการณ์
  - **ด้านการกำกับดูแล** — (3) รับรองมาตรฐาน + (10) ติดตามประเมินผล
  - **ด้านการสนับสนุน** — (5) ประสานงาน + (6) ให้คำปรึกษา + (9) ความตกลงระหว่างประเทศ
  - **ด้านการเผยแพร่** — (7) ศูนย์กลางบริการ + (8) ฝึกอบรม + (2) ส่งเสริมการวิจัย
- **ความสำคัญของ (3) ต่อภาคธุรกิจ:** การ "ตรวจสอบและรับรองนโยบายตาม [มาตรา 29](https://link.pdpalawbase.com/section/29.md)" คือกระบวนการที่บริษัทข้ามชาติต้องผ่าน เพื่อย้ายข้อมูลไปยังเครือกิจการในต่างประเทศ — สำนักงานเป็นหน่วยรับรอง
- **(8) ฝึกอบรมเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล:** ตอบโจทย์ของ [มาตรา 41](https://link.pdpalawbase.com/section/41.md) ที่ต้องมีเจ้าหน้าที่คุ้มครองข้อมูล — สำนักงานช่วยพัฒนาบุคลากรให้พอเพียงต่อความต้องการของกิจการที่ต้องตั้งตำแหน่งนี้
- **(9) ความตกลงต่างประเทศ:** เปิดทางให้ทำบันทึกข้อตกลงความร่วมมือกับองค์กรกำกับดูแลของประเทศอื่น เพื่อสนับสนุนการคุ้มครองข้ามพรมแดน — แต่ต้องผ่านความเห็นชอบของคณะกรรมการก่อน
- **(11) เป็นข้อปลายเปิด:** เปิดให้คณะกรรมการ/คณะกรรมการกำกับ/คณะกรรมการผู้เชี่ยวชาญ/คณะอนุกรรมการ มอบหมายงานเพิ่มเติมได้ตามสถานการณ์
- **อำนาจทั่วไปของสำนักงาน** ดูเพิ่มที่ [มาตรา 45](https://link.pdpalawbase.com/section/45.md) (ถือกรรมสิทธิ์ ทำนิติกรรม เก็บค่าธรรมเนียม ฯลฯ)

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/section/44.md

============================================================
โนด: มาตรา 45
ลิงก์อ้างอิง: https://link.pdpalawbase.com/section/45.md

# มาตรา 45

## ตัวบท

> มาตรา 45 ในการดำเนินงานของสำนักงาน นอกจากหน้าที่และอำนาจตามที่บัญญัติใน[มาตรา 44](https://link.pdpalawbase.com/section/44.md) แล้ว ให้สำนักงานมีหน้าที่และอำนาจทั่วไป ดังต่อไปนี้ด้วย
>
> (1) ถือกรรมสิทธิ์ มีสิทธิครอบครอง และมีทรัพยสิทธิต่าง ๆ
>
> (2) ก่อตั้งสิทธิ หรือทำนิติกรรมทุกประเภทผูกพันทรัพย์สิน ตลอดจนทำนิติกรรมอื่นใดเพื่อประโยชน์ในการดำเนินกิจการของสำนักงาน
>
> (3) จัดให้มีและให้ทุนเพื่อสนับสนุนการดำเนินกิจการของสำนักงาน
>
> (4) เรียกเก็บค่าธรรมเนียม ค่าบำรุง ค่าตอบแทน หรือค่าบริการในการดำเนินงานต่าง ๆ ตามวัตถุประสงค์ของสำนักงาน ทั้งนี้ ตามหลักเกณฑ์และอัตราที่สำนักงานกำหนดโดยความเห็นชอบของคณะกรรมการกำกับสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล
>
> (5) ปฏิบัติการอื่นใดที่กฎหมายกำหนดให้เป็นหน้าที่และอำนาจของสำนักงาน หรือตามที่คณะกรรมการ คณะกรรมการกำกับสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล คณะกรรมการผู้เชี่ยวชาญ หรือคณะอนุกรรมการมอบหมาย

## สรุป

มาตรานี้กำหนด **อำนาจทั่วไปของสำนักงาน** 5 ข้อ ซึ่งเป็นอำนาจรองรับการบริหารจัดการในฐานะนิติบุคคล นอกเหนือจากหน้าที่เฉพาะตาม [มาตรา 44](https://link.pdpalawbase.com/section/44.md) ได้แก่ ถือกรรมสิทธิ์/ทรัพยสิทธิ ทำนิติกรรม จัดหาและให้ทุน เรียกเก็บค่าธรรมเนียมตามหลักเกณฑ์ที่กำหนดโดยความเห็นชอบของคณะกรรมการกำกับสำนักงาน และปฏิบัติการอื่นตามที่กฎหมายหรือคณะกรรมการที่เกี่ยวข้องมอบหมาย

## องค์ประกอบสำคัญ

- **อำนาจทรัพย์สิน (1):** ถือกรรมสิทธิ์ + สิทธิครอบครอง + ทรัพยสิทธิต่าง ๆ
- **อำนาจทำนิติกรรม (2):**
  - ก่อตั้งสิทธิ/ทำนิติกรรมผูกพันทรัพย์สิน
  - ทำนิติกรรมอื่นใดเพื่อประโยชน์ในการดำเนินกิจการ
- **อำนาจให้ทุน (3):** จัดหาและให้ทุนเพื่อสนับสนุนกิจการของสำนักงาน
- **อำนาจเรียกเก็บค่าธรรมเนียม (4):**
  - ประเภทรายได้: ค่าธรรมเนียม ค่าบำรุง ค่าตอบแทน ค่าบริการ
  - **เงื่อนไข:** ตามหลักเกณฑ์และอัตราที่สำนักงานกำหนด **โดยความเห็นชอบของคณะกรรมการกำกับสำนักงาน**
- **อำนาจอื่นที่กฎหมายมอบ (5):** ปฏิบัติการอื่นใดตามที่กฎหมายกำหนด หรือตามที่คณะกรรมการ/คณะกรรมการกำกับ/คณะกรรมการผู้เชี่ยวชาญ/คณะอนุกรรมการมอบหมาย

## มาตราที่อ้างอิง

- [มาตรา 44](https://link.pdpalawbase.com/section/44.md) — หน้าที่และอำนาจของสำนักงาน — มาตรานี้ขยายเพิ่ม "อำนาจทั่วไป" นอกเหนือจากหน้าที่ใน [มาตรา 44](https://link.pdpalawbase.com/section/44.md)

## หมายเหตุ

- **อำนาจในฐานะนิติบุคคล:** (1) (2) (3) สะท้อนสถานะนิติบุคคลตาม [มาตรา 43](https://link.pdpalawbase.com/section/43.md) วรรคสอง — สำนักงานสามารถมีทรัพย์สิน ทำสัญญา ก่อหนี้ และดำเนินคดีในนามของตนเอง
- **(4) ค่าธรรมเนียมและบริการ:** สำนักงานมีอำนาจเก็บรายได้จากบริการของตน เช่น
  - การออกใบรับรองมาตรฐาน/นโยบายคุ้มครองข้อมูล
  - หลักสูตรฝึกอบรมตาม [มาตรา 44](https://link.pdpalawbase.com/section/44.md) (8)
  - บริการให้คำปรึกษาแก่เอกชน
  - **อัตราต้องผ่านการอนุมัติของคณะกรรมการกำกับสำนักงาน** — ป้องกันการเก็บค่าธรรมเนียมโดยไม่เหมาะสม
- **กลไกควบคุม:** อำนาจตาม (4) ต้องผ่านความเห็นชอบของคณะกรรมการกำกับสำนักงาน — ดูองค์ประกอบของคณะกรรมการกำกับสำนักงานที่ [มาตรา 48](https://link.pdpalawbase.com/section/48.md)
- **(5) เป็นข้อปลายเปิด:** ออกแบบเผื่อกฎหมายอื่นในอนาคตที่มอบหมายงานให้สำนักงาน หรือคณะกรรมการชุดต่าง ๆ มอบหมายเฉพาะกิจ
- **ที่มาของรายได้และทุน** ดูเพิ่มที่ [มาตรา 46](https://link.pdpalawbase.com/section/46.md) (ทุนและทรัพย์สินของสำนักงาน)

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/section/45.md

============================================================
โนด: มาตรา 46
ลิงก์อ้างอิง: https://link.pdpalawbase.com/section/46.md

# มาตรา 46

## ตัวบท

> มาตรา 46 ทุนและทรัพย์สินในการดำเนินงานของสำนักงานประกอบด้วย
>
> (1) ทุนประเดิมที่รัฐบาลจัดสรรให้ตาม[มาตรา 94](https://link.pdpalawbase.com/section/94.md) วรรคหนึ่ง
>
> (2) เงินอุดหนุนทั่วไปที่รัฐบาลจัดสรรให้ตามความเหมาะสมเป็นรายปี
>
> (3) เงินอุดหนุนจากหน่วยงานของรัฐทั้งในประเทศและต่างประเทศ หรือองค์การระหว่างประเทศระดับรัฐบาล
>
> (4) ค่าธรรมเนียม ค่าบำรุง ค่าตอบแทน ค่าบริการ หรือรายได้อันเกิดจากการดำเนินการตามหน้าที่และอำนาจของสำนักงาน
>
> (5) ดอกผลของเงินหรือรายได้จากทรัพย์สินของสำนักงาน
>
> เงินและทรัพย์สินของสำนักงานตามวรรคหนึ่ง ต้องนำส่งคลังเป็นรายได้แผ่นดิน

## สรุป

มาตรานี้กำหนด **5 แหล่งที่มาของทุนและทรัพย์สินของสำนักงาน** ได้แก่ ทุนประเดิมจากรัฐบาล เงินอุดหนุนทั่วไปรายปี เงินอุดหนุนจากหน่วยงานในและต่างประเทศ ค่าธรรมเนียม/ค่าบริการ และดอกผล/รายได้จากทรัพย์สิน วรรคสองกำหนดให้เงินและทรัพย์สินดังกล่าวต้อง**นำส่งคลังเป็นรายได้แผ่นดิน** ซึ่งเป็นข้อจำกัดทางการคลังที่กระทบต่อความเป็นอิสระทางการเงินของสำนักงาน

## องค์ประกอบสำคัญ

- **5 แหล่งที่มาของทุนและทรัพย์สิน (วรรค 1):**
  - **(1) ทุนประเดิม** — รัฐบาลจัดสรรครั้งแรกตาม [มาตรา 94](https://link.pdpalawbase.com/section/94.md) วรรคหนึ่ง (อยู่ในหมวดบทเฉพาะกาล)
  - **(2) เงินอุดหนุนทั่วไป** — รัฐบาลจัดสรรเป็นรายปีตามความเหมาะสม
  - **(3) เงินอุดหนุนจากหน่วยงานของรัฐและต่างประเทศ** — ทั้งในประเทศ ต่างประเทศ หรือองค์การระหว่างประเทศระดับรัฐบาล
  - **(4) รายได้จากการดำเนินการ** — ค่าธรรมเนียม ค่าบำรุง ค่าตอบแทน ค่าบริการ ตามหน้าที่และอำนาจ
  - **(5) ดอกผลและรายได้จากทรัพย์สิน** — ดอกเบี้ย เงินปันผล รายได้จากการใช้ประโยชน์ทรัพย์สิน
- **การนำส่งคลัง (วรรค 2):** เงินและทรัพย์สินตามวรรค 1 ต้องนำส่งคลังเป็นรายได้แผ่นดิน

## มาตราที่อ้างอิง

- [มาตรา 94](https://link.pdpalawbase.com/section/94.md) — บทเฉพาะกาลว่าด้วยทุนประเดิม — รัฐบาลต้องจัดสรรทุนประเดิมให้สำนักงานตามวรรคหนึ่ง

## หมายเหตุ

- **โครงสร้างรายได้:**
  - **รายได้จากภาครัฐ** — (1) ทุนประเดิม + (2) เงินอุดหนุนรายปี
  - **รายได้จากความร่วมมือ** — (3) ทุนจากหน่วยงานในและต่างประเทศ
  - **รายได้จากการดำเนินงานเอง** — (4) ค่าธรรมเนียมและบริการ + (5) ดอกผล
- **ทุนประเดิม:** เป็นเงินก้อนแรกในการจัดตั้งองค์กร ตาม [มาตรา 94](https://link.pdpalawbase.com/section/94.md) (บทเฉพาะกาลของพระราชบัญญัตินี้)
- **(2) เงินอุดหนุนรายปี:** เป็นกลไกหลักที่รัฐบาลให้งบประมาณดำเนินงานต่อเนื่อง — ต่างจากส่วนราชการที่ได้งบประมาณรายปีตามมาตรฐานของหน่วยราชการ; สำนักงานในฐานะหน่วยงานของรัฐแบบอิสระ ได้รับเป็น "เงินอุดหนุน"
- **(4) ค่าธรรมเนียมและบริการ:** อัตราต้องเป็นไปตามหลักเกณฑ์ที่ผ่านการอนุมัติของคณะกรรมการกำกับสำนักงาน ตาม [มาตรา 45](https://link.pdpalawbase.com/section/45.md) (4)
- **(5) ดอกผลและรายได้จากทรัพย์สิน:** ครอบคลุมดอกเบี้ยจากเงินฝาก/พันธบัตร และรายได้จากการให้เช่าหรือใช้ประโยชน์อสังหาริมทรัพย์ของสำนักงาน (ดู [มาตรา 47](https://link.pdpalawbase.com/section/47.md))
- **เงินอุดหนุนจากต่างประเทศ:** เปิดทางให้รับการสนับสนุนจากหน่วยงานคุ้มครองข้อมูลของประเทศอื่นหรือองค์การระหว่างประเทศ — ตอบโจทย์ความร่วมมือข้ามพรมแดน
- **⚠️ ข้อจำกัดทางการคลังของสำนักงาน (วรรค 2):**
  - กฎหมายกำหนดให้เงินและทรัพย์สินตามวรรคหนึ่ง**ต้องนำส่งคลังเป็นรายได้แผ่นดิน**
  - ผลทางปฏิบัติ: รายได้จากค่าธรรมเนียม/บริการ ((4)) และดอกผล/รายได้จากทรัพย์สิน ((5)) ที่สำนักงานหามาได้เอง ก็ต้องนำส่งคลังเช่นกัน — สำนักงาน**ไม่สามารถเก็บไว้ใช้เอง**ในการดำเนินงาน
  - หมายความว่าสำนักงานต้องพึ่งพาเงินอุดหนุนจากรัฐบาลเป็นรายปี ((2)) เป็นกลไกหลัก
  - **ข้อจำกัดนี้แตกต่างจากหน่วยงานของรัฐแบบอิสระบางแห่ง** ที่กฎหมายจัดตั้งระบุให้เก็บรายได้ของตนไว้ใช้ดำเนินงานได้ (เช่น กสทช., กลต.) — ทำให้ความเป็นอิสระทางการเงินของสำนักงานคุ้มครองข้อมูลส่วนบุคคลถูกจำกัดมากกว่า

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/section/46.md

============================================================
โนด: มาตรา 47
ลิงก์อ้างอิง: https://link.pdpalawbase.com/section/47.md

# มาตรา 47

## ตัวบท

> มาตรา 47 บรรดาอสังหาริมทรัพย์ที่สำนักงานได้มาจากการซื้อหรือแลกเปลี่ยนจากรายได้ของสำนักงานตาม[มาตรา 46](https://link.pdpalawbase.com/section/46.md) (4) หรือ (5) ให้เป็นกรรมสิทธิ์ของสำนักงาน

## สรุป

มาตรานี้กำหนดให้ **อสังหาริมทรัพย์ที่สำนักงานซื้อหรือแลกเปลี่ยนด้วยรายได้ของตน** (ตาม [มาตรา 46](https://link.pdpalawbase.com/section/46.md) (4) ค่าธรรมเนียมและบริการ หรือ (5) ดอกผลและรายได้จากทรัพย์สิน) เป็นกรรมสิทธิ์ของสำนักงานเอง — ไม่ใช่ของแผ่นดินหรือหน่วยราชการอื่น

## องค์ประกอบสำคัญ

- **ขอบเขต:** อสังหาริมทรัพย์ที่สำนักงานได้มาโดย:
  - **การซื้อ** หรือ
  - **การแลกเปลี่ยน**
- **แหล่งเงินที่ใช้:** ต้องเป็นรายได้ของสำนักงานตาม:
  - [มาตรา 46](https://link.pdpalawbase.com/section/46.md) **(4)** — ค่าธรรมเนียม ค่าบำรุง ค่าตอบแทน ค่าบริการ
  - [มาตรา 46](https://link.pdpalawbase.com/section/46.md) **(5)** — ดอกผลของเงิน หรือรายได้จากทรัพย์สิน
- **ผล:** เป็น **กรรมสิทธิ์ของสำนักงาน** (ไม่ใช่กรรมสิทธิ์ของแผ่นดินหรือหน่วยงานอื่น)

## มาตราที่อ้างอิง

- [มาตรา 46](https://link.pdpalawbase.com/section/46.md) — ทุนและทรัพย์สินของสำนักงาน — มาตรานี้ใช้กับอสังหาริมทรัพย์ที่ได้มาจากรายได้ตาม [มาตรา 46](https://link.pdpalawbase.com/section/46.md) (4) หรือ (5) เท่านั้น

## หมายเหตุ

- **ความหมายของ "เป็นกรรมสิทธิ์ของสำนักงาน":** สำนักงานในฐานะนิติบุคคลตาม [มาตรา 43](https://link.pdpalawbase.com/section/43.md) วรรคสอง สามารถถือกรรมสิทธิ์ได้ตาม [มาตรา 45](https://link.pdpalawbase.com/section/45.md) (1) — มาตรานี้ยืนยันชัดเจนว่าอสังหาริมทรัพย์ที่ได้มาจากรายได้ของตน เป็นกรรมสิทธิ์ของนิติบุคคลสำนักงาน
- **เหตุที่จำกัดเฉพาะรายได้ตาม (4) และ (5):**
  - **(1) ทุนประเดิม** และ **(2) เงินอุดหนุนรายปีจากรัฐบาล** เป็นเงินภาครัฐที่อาจมีเงื่อนไขเฉพาะ — มาตรานี้ไม่ครอบคลุม
  - **(3) เงินอุดหนุนจากต่างประเทศ** อาจมีเงื่อนไขจากผู้ให้ทุน — มาตรานี้ไม่ครอบคลุม
  - **(4) (5)** เป็นรายได้ที่สำนักงานหามาเอง → จึงเป็นทรัพย์สินของสำนักงานเต็มที่
- **กรณีอสังหาริมทรัพย์ที่ได้มาด้วยทุนรัฐบาล:** ไม่อยู่ในขอบเขตของมาตรานี้ — ต้องพิจารณาตามเงื่อนไขของแหล่งเงินนั้น (เช่น ที่ดินที่รัฐโอนให้อาจมีข้อจำกัดในการขายต่อ)
- **ตัวอย่างในทางปฏิบัติ:**
  - สำนักงานเก็บค่าธรรมเนียมจากการรับรองมาตรฐาน → ซื้ออาคารสำนักงานด้วยเงินที่เก็บได้ → อาคารเป็นกรรมสิทธิ์ของสำนักงาน
  - ดอกเบี้ยจากเงินฝากของสำนักงาน → ลงทุนในอสังหาริมทรัพย์ → เป็นกรรมสิทธิ์ของสำนักงาน
- **ความเชื่อมโยงกับ [มาตรา 45](https://link.pdpalawbase.com/section/45.md):** อำนาจถือกรรมสิทธิ์ของสำนักงานทั่วไปอยู่ที่ [มาตรา 45](https://link.pdpalawbase.com/section/45.md) (1) — มาตรานี้เป็นการกำหนดเฉพาะสำหรับอสังหาริมทรัพย์ที่ได้มาจากรายได้ของสำนักงานเอง

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/section/47.md

============================================================
โนด: มาตรา 48
ลิงก์อ้างอิง: https://link.pdpalawbase.com/section/48.md

# มาตรา 48

## ตัวบท

> มาตรา 48 ให้มีคณะกรรมการกำกับสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล ประกอบด้วยประธานกรรมการซึ่งสรรหาและแต่งตั้งจากผู้มีความรู้ ความเชี่ยวชาญ และประสบการณ์ในด้านการคุ้มครองข้อมูลส่วนบุคคล ปลัดกระทรวงดิจิทัลเพื่อเศรษฐกิจและสังคม และเลขาธิการคณะกรรมการดิจิทัลเพื่อเศรษฐกิจและสังคมแห่งชาติ เป็นกรรมการ และกรรมการผู้ทรงคุณวุฒิจำนวนหกคนซึ่งสรรหาและแต่งตั้งจากผู้มีความรู้ ความเชี่ยวชาญ และประสบการณ์ในด้านการคุ้มครองข้อมูลส่วนบุคคลอย่างน้อยสามคน และด้านอื่นที่เกี่ยวข้องอันเป็นประโยชน์ต่อการดำเนินงานของสำนักงาน
>
> ให้เลขาธิการเป็นกรรมการและเลขานุการ และให้เลขาธิการแต่งตั้งพนักงานของสำนักงานเป็นผู้ช่วยเลขานุการได้ไม่เกินสองคน
>
> ให้นำความใน[มาตรา 11](https://link.pdpalawbase.com/section/11.md) และ[มาตรา 13](https://link.pdpalawbase.com/section/13.md) มาใช้บังคับกับประธานกรรมการและกรรมการผู้ทรงคุณวุฒิโดยอนุโลม

## สรุป

มาตรานี้กำหนดให้มี **คณะกรรมการกำกับสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล** ประกอบด้วยประธานกรรมการ (สรรหาจากผู้เชี่ยวชาญด้านการคุ้มครองข้อมูล) ปลัดกระทรวงดิจิทัลเพื่อเศรษฐกิจและสังคม เลขาธิการคณะกรรมการดิจิทัลเพื่อเศรษฐกิจและสังคมแห่งชาติ และกรรมการผู้ทรงคุณวุฒิ 6 คน (อย่างน้อย 3 คนเชี่ยวชาญด้านการคุ้มครองข้อมูล) โดยมีเลขาธิการสำนักงานเป็นกรรมการและเลขานุการ คุณสมบัติและลักษณะต้องห้ามของประธานและกรรมการผู้ทรงคุณวุฒิให้นำ [มาตรา 11](https://link.pdpalawbase.com/section/11.md) และ [มาตรา 13](https://link.pdpalawbase.com/section/13.md) มาใช้โดยอนุโลม

## องค์ประกอบสำคัญ

- **องค์ประกอบของคณะกรรมการกำกับสำนักงาน (วรรค 1):**
  - **ประธานกรรมการ 1 คน** — สรรหาจากผู้มีความรู้ ความเชี่ยวชาญ และประสบการณ์ด้านการคุ้มครองข้อมูลส่วนบุคคล
  - **กรรมการโดยตำแหน่ง 2 คน:**
    - ปลัดกระทรวงดิจิทัลเพื่อเศรษฐกิจและสังคม
    - เลขาธิการคณะกรรมการดิจิทัลเพื่อเศรษฐกิจและสังคมแห่งชาติ
  - **กรรมการผู้ทรงคุณวุฒิ 6 คน** — สรรหาจาก:
    - **อย่างน้อย 3 คน** เชี่ยวชาญด้านการคุ้มครองข้อมูลส่วนบุคคล
    - คนที่เหลือเชี่ยวชาญด้านอื่นที่เกี่ยวข้องและเป็นประโยชน์ต่อการดำเนินงาน
- **เลขาธิการในฐานะกรรมการและเลขานุการ (วรรค 2):**
  - เลขาธิการสำนักงานเป็น **กรรมการและเลขานุการ**
  - แต่งตั้งพนักงานของสำนักงานเป็นผู้ช่วยเลขานุการได้ไม่เกิน 2 คน
- **คุณสมบัติและลักษณะต้องห้าม (วรรค 3):**
  - นำ [มาตรา 11](https://link.pdpalawbase.com/section/11.md) (คุณสมบัติของกรรมการผู้ทรงคุณวุฒิในคณะกรรมการคุ้มครองข้อมูล) มาใช้โดยอนุโลม
  - นำ [มาตรา 13](https://link.pdpalawbase.com/section/13.md) (ลักษณะต้องห้าม) มาใช้โดยอนุโลม

## มาตราที่อ้างอิง

- [มาตรา 11](https://link.pdpalawbase.com/section/11.md) — คุณสมบัติของกรรมการผู้ทรงคุณวุฒิในคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล — ใช้กับประธานและกรรมการผู้ทรงคุณวุฒิของคณะกรรมการกำกับสำนักงาน โดยอนุโลม
- [มาตรา 13](https://link.pdpalawbase.com/section/13.md) — ลักษณะต้องห้ามของกรรมการผู้ทรงคุณวุฒิ — ใช้โดยอนุโลม

## หมายเหตุ

- **ความแตกต่างระหว่าง "คณะกรรมการคุ้มครองข้อมูลส่วนบุคคล" และ "คณะกรรมการกำกับสำนักงาน":**
  - **คณะกรรมการคุ้มครองข้อมูลส่วนบุคคล** ([มาตรา 8](https://link.pdpalawbase.com/section/8.md)) — กำหนดนโยบายและทิศทางการคุ้มครองข้อมูลของประเทศ + ออกประกาศและกฎเกณฑ์
  - **คณะกรรมการกำกับสำนักงาน** (มาตรานี้) — กำกับดูแล**การบริหารงาน**ของสำนักงานในฐานะองค์กร เช่น งบประมาณ บริหารบุคคล ระเบียบภายใน
- **กรรมการโดยตำแหน่ง 2 คน:** ปลัดกระทรวงดิจิทัลฯ และเลขาธิการคณะกรรมการดิจิทัลฯ — ให้การเชื่อมโยงระหว่างสำนักงานกับนโยบายดิจิทัลของประเทศ
- **องค์ประกอบรวม 9 คน + เลขาธิการ:**
  - 1 ประธาน + 2 กรรมการโดยตำแหน่ง + 6 ผู้ทรงคุณวุฒิ = 9 กรรมการ
  - + เลขาธิการสำนักงานในฐานะกรรมการและเลขานุการ
- **สัดส่วนผู้เชี่ยวชาญด้านการคุ้มครองข้อมูล:** อย่างน้อย 1 (ประธาน) + อย่างน้อย 3 (จาก 6 ผู้ทรงคุณวุฒิ) = อย่างน้อย 4 จาก 10 ที่มีความเชี่ยวชาญตรง
- **กระบวนการสรรหา:** ดูที่ [มาตรา 49](https://link.pdpalawbase.com/section/49.md) (คณะกรรมการสรรหา) ที่กำหนดวิธีคัดเลือกประธานและกรรมการผู้ทรงคุณวุฒิ
- **ความเป็นอิสระจากการเมือง:** การใช้ [มาตรา 13](https://link.pdpalawbase.com/section/13.md) (ลักษณะต้องห้าม) โดยอนุโลม → ห้ามผู้ดำรงตำแหน่งทางการเมือง สมาชิกพรรคการเมือง ฯลฯ

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/section/48.md

============================================================
โนด: มาตรา 49
ลิงก์อ้างอิง: https://link.pdpalawbase.com/section/49.md

# มาตรา 49

## ตัวบท

> มาตรา 49 ให้มีคณะกรรมการสรรหาคณะหนึ่งประกอบด้วยบุคคลซึ่งคณะกรรมการแต่งตั้งจำนวนแปดคนทำหน้าที่คัดเลือกบุคคลที่สมควรได้รับการแต่งตั้งเป็นประธานกรรมการและกรรมการผู้ทรงคุณวุฒิตาม[มาตรา 48](https://link.pdpalawbase.com/section/48.md)
>
> ให้คณะกรรมการสรรหาเลือกกรรมการสรรหาคนหนึ่งเป็นประธานกรรมการสรรหาและเลือกกรรมการสรรหาอีกคนหนึ่งเป็นเลขานุการคณะกรรมการสรรหา และให้สำนักงานปฏิบัติหน้าที่เป็นหน่วยธุรการของคณะกรรมการสรรหา
>
> ในกรณีที่ตำแหน่งกรรมการสรรหาว่างลง ให้ดำเนินการเพื่อให้มีกรรมการสรรหาแทนในตำแหน่งนั้นโดยเร็ว ในระหว่างที่ยังไม่ได้กรรมการสรรหาใหม่ ให้คณะกรรมการสรรหาประกอบด้วยกรรมการสรรหาเท่าที่มีอยู่
>
> กรรมการสรรหาไม่มีสิทธิได้รับการเสนอชื่อเป็นประธานกรรมการและกรรมการผู้ทรงคุณวุฒิตาม[มาตรา 48](https://link.pdpalawbase.com/section/48.md)
>
> หลักเกณฑ์และวิธีการสรรหาให้เป็นไปตามที่คณะกรรมการกำหนด ทั้งนี้ ต้องคำนึงถึงความโปร่งใสและความเป็นธรรมในการสรรหา

## สรุป

มาตรานี้กำหนดให้มี **คณะกรรมการสรรหา 8 คน** ที่คณะกรรมการคุ้มครองข้อมูลส่วนบุคคลแต่งตั้ง เพื่อคัดเลือกบุคคลที่จะดำรงตำแหน่งประธานและกรรมการผู้ทรงคุณวุฒิของคณะกรรมการกำกับสำนักงานตาม [มาตรา 48](https://link.pdpalawbase.com/section/48.md) โดยกรรมการสรรหาเลือกประธานและเลขานุการกันเอง สำนักงานทำหน้าที่ธุรการ และกรรมการสรรหาห้ามเสนอชื่อตนเองเข้ารับการคัดเลือก หลักเกณฑ์การสรรหาต้องโปร่งใสและเป็นธรรม

## องค์ประกอบสำคัญ

- **คณะกรรมการสรรหา (วรรค 1):**
  - จำนวน **8 คน** ซึ่งคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (ตาม [มาตรา 8](https://link.pdpalawbase.com/section/8.md)) แต่งตั้ง
  - **หน้าที่:** คัดเลือกบุคคลเป็นประธานและกรรมการผู้ทรงคุณวุฒิตาม [มาตรา 48](https://link.pdpalawbase.com/section/48.md)
- **โครงสร้างภายใน (วรรค 2):**
  - กรรมการสรรหา**เลือกกันเอง**ให้คนหนึ่งเป็นประธานกรรมการสรรหา
  - **เลือกอีกคนหนึ่งเป็นเลขานุการ**
  - **สำนักงานเป็นหน่วยธุรการ** ของคณะกรรมการสรรหา
- **กรณีตำแหน่งว่าง (วรรค 3):**
  - ดำเนินการแต่งตั้งกรรมการสรรหาแทนโดยเร็ว
  - ระหว่างนั้น คณะกรรมการสรรหาประกอบด้วยกรรมการเท่าที่มีอยู่ (ยังทำหน้าที่ต่อได้)
- **ข้อห้ามเสนอชื่อตนเอง (วรรค 4):** กรรมการสรรหา**ไม่มีสิทธิ**ได้รับการเสนอชื่อเป็นประธานหรือกรรมการผู้ทรงคุณวุฒิตาม [มาตรา 48](https://link.pdpalawbase.com/section/48.md) (ป้องกันผลประโยชน์ทับซ้อน)
- **หลักเกณฑ์การสรรหา (วรรค 5):**
  - ให้คณะกรรมการกำหนด
  - ต้องคำนึงถึง **ความโปร่งใส** และ **ความเป็นธรรม**

## มาตราที่อ้างอิง

- [มาตรา 48](https://link.pdpalawbase.com/section/48.md) — คณะกรรมการกำกับสำนักงาน — มาตรานี้กำหนดกระบวนการสรรหาประธานและกรรมการผู้ทรงคุณวุฒิของคณะกรรมการกำกับสำนักงานตาม [มาตรา 48](https://link.pdpalawbase.com/section/48.md)

## หมายเหตุ

- **ห่วงโซ่การสรรหา:** มี 3 ระดับขององค์กร:
  - **คณะกรรมการคุ้มครองข้อมูลส่วนบุคคล** ([มาตรา 8](https://link.pdpalawbase.com/section/8.md)) ← จัดตั้งโดยกฎหมาย
  - แต่งตั้ง → **คณะกรรมการสรรหา** (มาตรานี้)
  - คัดเลือก → **คณะกรรมการกำกับสำนักงาน** ([มาตรา 48](https://link.pdpalawbase.com/section/48.md))
- **ขนาด 8 คน:** จำนวนคู่ — กรณีลงคะแนนอาจเสมอกัน → ปกติประธานคณะกรรมการสรรหาจะเป็นเสียงชี้ขาดในทางปฏิบัติ
- **กลไกป้องกันผลประโยชน์ทับซ้อน:**
  - กรรมการสรรหาห้ามเสนอชื่อตนเอง (วรรค 4)
  - การกำหนดหลักเกณฑ์ต้องคำนึงถึงความโปร่งใสและความเป็นธรรม (วรรค 5)
- **สำนักงานเป็นหน่วยธุรการ:** ในระหว่างกระบวนการสรรหาประธานและกรรมการผู้ทรงคุณวุฒิ — สำนักงานทำหน้าที่ธุรการ (รับใบสมัคร จัดประชุม รวบรวมเอกสาร) แม้จะเป็นองค์กรที่กำลังจะถูกกำกับโดยคณะกรรมการที่กำลังสรรหา
- **คณะกรรมการสรรหาทำงานต่อเนื่องได้แม้ตำแหน่งว่าง:** กลไกในวรรค 3 ป้องกันการหยุดชะงักของกระบวนการสรรหา หากกรรมการสรรหาออกระหว่างกระบวนการ
- **กระบวนการคัดเลือกในรายละเอียด:** ดูที่หมวดต่อไป (ม.50-52) ที่กำหนดวิธีการคัดเลือก วาระการดำรงตำแหน่ง และการพ้นจากตำแหน่งก่อนวาระ

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/section/49.md

============================================================
โนด: มาตรา 50
ลิงก์อ้างอิง: https://link.pdpalawbase.com/section/50.md

# มาตรา 50

## ตัวบท

> มาตรา 50 ในการสรรหาประธานกรรมการและกรรมการผู้ทรงคุณวุฒิตาม[มาตรา 48](https://link.pdpalawbase.com/section/48.md) ให้คณะกรรมการสรรหาคัดเลือกบุคคลผู้มีคุณสมบัติตาม[มาตรา 48](https://link.pdpalawbase.com/section/48.md) วรรคหนึ่ง รวมทั้งมีคุณสมบัติและไม่มีลักษณะต้องห้ามตาม[มาตรา 48](https://link.pdpalawbase.com/section/48.md) วรรคสาม และยินยอมให้เสนอชื่อเข้ารับคัดเลือกเท่ากับจำนวนประธานกรรมการและกรรมการผู้ทรงคุณวุฒิตาม[มาตรา 48](https://link.pdpalawbase.com/section/48.md) ที่จะได้รับแต่งตั้ง
>
> เมื่อได้คัดเลือกบุคคลเป็นประธานกรรมการและกรรมการผู้ทรงคุณวุฒิตาม[มาตรา 48](https://link.pdpalawbase.com/section/48.md) ครบจำนวนแล้ว ให้คณะกรรมการสรรหาแจ้งรายชื่อประธานกรรมการและกรรมการผู้ทรงคุณวุฒิตาม[มาตรา 48](https://link.pdpalawbase.com/section/48.md) พร้อมหลักฐานแสดงคุณสมบัติและการไม่มีลักษณะต้องห้าม รวมทั้งความยินยอมของบุคคลดังกล่าวต่อคณะกรรมการเพื่อแต่งตั้งเป็นประธานกรรมการและกรรมการผู้ทรงคุณวุฒิตาม[มาตรา 48](https://link.pdpalawbase.com/section/48.md)
>
> ให้คณะกรรมการประกาศรายชื่อประธานกรรมการและกรรมการผู้ทรงคุณวุฒิตาม[มาตรา 48](https://link.pdpalawbase.com/section/48.md) ซึ่งได้รับแต่งตั้งในราชกิจจานุเบกษา

## สรุป

มาตรานี้กำหนด **ขั้นตอนการสรรหา** ประธานและกรรมการผู้ทรงคุณวุฒิของคณะกรรมการกำกับสำนักงาน ([มาตรา 48](https://link.pdpalawbase.com/section/48.md)) โดย **คณะกรรมการสรรหา** ([มาตรา 49](https://link.pdpalawbase.com/section/49.md)) คัดเลือกบุคคลที่มีคุณสมบัติครบ ไม่มีลักษณะต้องห้าม และ**ยินยอม**ให้เสนอชื่อ ครบจำนวนตามที่ต้องแต่งตั้ง จากนั้นแจ้งรายชื่อพร้อมหลักฐานต่อคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล ([มาตรา 8](https://link.pdpalawbase.com/section/8.md)) เพื่อแต่งตั้ง และประกาศในราชกิจจานุเบกษา

## องค์ประกอบสำคัญ

- **ขั้นตอนการคัดเลือก (วรรค 1):**
  - ผู้คัดเลือก: คณะกรรมการสรรหา ([มาตรา 49](https://link.pdpalawbase.com/section/49.md))
  - เกณฑ์: มีคุณสมบัติตาม [มาตรา 48](https://link.pdpalawbase.com/section/48.md) วรรคหนึ่ง + ไม่มีลักษณะต้องห้ามตาม [มาตรา 48](https://link.pdpalawbase.com/section/48.md) วรรคสาม
  - **ต้องได้รับความยินยอม**ของผู้ถูกเสนอชื่อ (ป้องกันการเสนอชื่อโดยไม่สมัครใจ)
  - **คัดเลือกเท่ากับจำนวน**ที่จะแต่งตั้ง (ไม่เกิน ไม่ขาด)
- **การส่งรายชื่อต่อคณะกรรมการ (วรรค 2):**
  - คณะกรรมการสรรหาส่งรายชื่อต่อ**คณะกรรมการคุ้มครองข้อมูลส่วนบุคคล** ([มาตรา 8](https://link.pdpalawbase.com/section/8.md))
  - ต้องมี: หลักฐานคุณสมบัติ + หลักฐานการไม่มีลักษณะต้องห้าม + หลักฐานความยินยอม
  - คณะกรรมการเป็นผู้ออกคำสั่งแต่งตั้ง
- **การประกาศ (วรรค 3):**
  - คณะกรรมการประกาศรายชื่อผู้ที่ได้รับแต่งตั้งใน**ราชกิจจานุเบกษา**

## มาตราที่อ้างอิง

- [มาตรา 48](https://link.pdpalawbase.com/section/48.md) — คณะกรรมการกำกับสำนักงาน — กำหนดคุณสมบัติและลักษณะต้องห้ามที่ใช้ในการคัดเลือก
- [มาตรา 49](https://link.pdpalawbase.com/section/49.md) — คณะกรรมการสรรหา — เป็นผู้ดำเนินการคัดเลือกตามมาตรานี้

## หมายเหตุ

- **บทบาทของ 3 องค์กรในกระบวนการสรรหา:**
  1. **คณะกรรมการสรรหา** ([มาตรา 49](https://link.pdpalawbase.com/section/49.md)) — คัดเลือก
  2. **คณะกรรมการคุ้มครองข้อมูลส่วนบุคคล** ([มาตรา 8](https://link.pdpalawbase.com/section/8.md)) — แต่งตั้ง + ประกาศ
  3. **คณะกรรมการกำกับสำนักงาน** ([มาตรา 48](https://link.pdpalawbase.com/section/48.md)) — เป็นผลลัพธ์
- **กลไกถ่วงดุล:** ผู้คัดเลือก ≠ ผู้แต่งตั้ง — ลดความเสี่ยงผูกขาดในการเลือกบุคคล
- **หลัก "เท่ากับจำนวน":** ไม่ใช่การส่งรายชื่อหลายคนให้เลือก — คณะกรรมการสรรหาต้องส่งรายชื่อตรงตามจำนวนที่จะแต่งตั้ง คณะกรรมการคุ้มครองข้อมูลส่วนบุคคลจึงไม่มีดุลพินิจปฏิเสธรายชื่อใดเป็นรายบุคคลในขั้นตอนนี้ (ต่างจากระบบที่ส่งรายชื่อ 2-3 คนต่อ 1 ตำแหน่งให้ผู้แต่งตั้งคัดเลือกเอง)
- **ความยินยอมเป็นเงื่อนไขเริ่มต้น:** ต่างจากการเสนอชื่อแบบ "ลับ" — มาตรานี้กำหนดให้ผู้ถูกเสนอต้องยินยอม **ก่อน**คัดเลือก
- **ราชกิจจานุเบกษา = การประกาศตำแหน่ง:** การแต่งตั้งจะมีผลทางกฎหมายต่อบุคคลภายนอกเมื่อประกาศในราชกิจจานุเบกษา (เป็นกฎเกณฑ์ทั่วไปของการแต่งตั้งกรรมการในองค์กรของรัฐ)

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/section/50.md

============================================================
โนด: มาตรา 51
ลิงก์อ้างอิง: https://link.pdpalawbase.com/section/51.md

# มาตรา 51

## ตัวบท

> มาตรา 51 ประธานกรรมการและกรรมการผู้ทรงคุณวุฒิตาม[มาตรา 48](https://link.pdpalawbase.com/section/48.md) มีวาระการดำรงตำแหน่งคราวละสี่ปี
>
> เมื่อครบกำหนดตามวาระในวรรคหนึ่ง ให้ดำเนินการแต่งตั้งประธานกรรมการและกรรมการผู้ทรงคุณวุฒิขึ้นใหม่ภายในหกสิบวัน ในระหว่างที่ยังมิได้มีการแต่งตั้งประธานกรรมการหรือกรรมการผู้ทรงคุณวุฒิขึ้นใหม่ ให้ประธานกรรมการหรือกรรมการผู้ทรงคุณวุฒิซึ่งพ้นจากตำแหน่งตามวาระนั้นอยู่ในตำแหน่งเพื่อดำเนินงานต่อไปจนกว่าประธานกรรมการหรือกรรมการผู้ทรงคุณวุฒิซึ่งได้รับแต่งตั้งใหม่เข้ารับหน้าที่
>
> ประธานกรรมการและกรรมการผู้ทรงคุณวุฒิซึ่งพ้นจากตำแหน่งตามวาระอาจได้รับแต่งตั้งอีกได้ แต่จะดำรงตำแหน่งเกินสองวาระไม่ได้

## สรุป

มาตรานี้กำหนด **วาระ 4 ปี** สำหรับประธานและกรรมการผู้ทรงคุณวุฒิของคณะกรรมการกำกับสำนักงาน ([มาตรา 48](https://link.pdpalawbase.com/section/48.md)) โดยมีกลไก **อยู่รักษาการต่อ** จนกว่าผู้ที่ได้รับแต่งตั้งใหม่จะเข้ารับหน้าที่ (ต้องแต่งตั้งใหม่ภายใน 60 วัน) และ**จำกัดไม่เกิน 2 วาระ** เพื่อป้องกันการผูกขาดอำนาจ

## องค์ประกอบสำคัญ

- **วาระ 4 ปี (วรรค 1):** ประธานและกรรมการผู้ทรงคุณวุฒิตาม [มาตรา 48](https://link.pdpalawbase.com/section/48.md) ดำรงตำแหน่งคราวละ 4 ปี
- **กลไกการเปลี่ยนผ่านเมื่อครบวาระ (วรรค 2):**
  - ต้องแต่งตั้งคนใหม่**ภายใน 60 วัน** หลังครบวาระ
  - ระหว่างรอผู้ใหม่: ผู้ที่พ้นวาระ**อยู่รักษาการต่อ** จนกว่าผู้ใหม่จะเข้ารับหน้าที่
  - ป้องกัน**ช่องว่างของอำนาจ**ในการกำกับสำนักงาน
- **จำกัด 2 วาระ (วรรค 3):**
  - ผู้พ้นวาระอาจได้รับแต่งตั้งอีกได้ — แต่ห้ามเกิน **2 วาระ** (สูงสุด 8 ปี)
  - หลักการป้องกันการผูกขาดอำนาจในระยะยาว

## มาตราที่อ้างอิง

- [มาตรา 48](https://link.pdpalawbase.com/section/48.md) — คณะกรรมการกำกับสำนักงาน — กรรมการประเภทที่อยู่ภายใต้วาระตามมาตรานี้
- [มาตรา 50](https://link.pdpalawbase.com/section/50.md) — วิธีการแต่งตั้ง — กระบวนการที่ใช้ในการสรรหาและแต่งตั้งใหม่ในวรรค 2

## หมายเหตุ

- **ขอบเขตของมาตรานี้:** ใช้กับ **ประธาน + กรรมการผู้ทรงคุณวุฒิ** ของคณะกรรมการกำกับสำนักงาน ([มาตรา 48](https://link.pdpalawbase.com/section/48.md) วรรคหนึ่ง (1) และ (2)) เท่านั้น — ไม่ใช้กับ **กรรมการโดยตำแหน่ง** (ปลัดกระทรวงดิจิทัล + เลขาธิการคณะกรรมการคุ้มครองฯ) ซึ่งดำรงตำแหน่งตราบที่ยังเป็นผู้ดำรงตำแหน่งราชการนั้น
- **เปรียบเทียบกับคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล ([มาตรา 15](https://link.pdpalawbase.com/section/15.md)):**
  - ประธานและกรรมการผู้ทรงคุณวุฒิของคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล ก็มีวาระ 4 ปี + ห้ามเกิน 2 วาระ เช่นกัน — สอดคล้องกัน
- **กลไกผู้รักษาการ (วรรค 2):**
  - ลักษณะ: รักษาการเฉพาะการดำเนินงาน "ปกติ" — ป้องกันสภาวะที่คณะกรรมการตัดสินใจไม่ได้
  - ความเสี่ยง: ถ้าการแต่งตั้งใหม่ล่าช้าเกินสมควร อำนาจในมือผู้รักษาการอาจขยายโดยพฤติการณ์ — มาตรานี้กำหนด 60 วันเป็นกรอบเวลาเร่งให้แต่งตั้ง (แต่ไม่ได้บังคับเด็ดขาดให้ต้องเสร็จภายใน 60 วัน)
- **เปรียบเทียบ "วาระ" กับ "ก่อนวาระ":** [มาตรา 51](https://link.pdpalawbase.com/section/51.md) = ครบวาระ; [มาตรา 52](https://link.pdpalawbase.com/section/52.md) = พ้นจากตำแหน่ง**ก่อน**วาระ (เสียชีวิต ลาออก ขาดคุณสมบัติ ฯลฯ)
- **2 วาระ = สูงสุด 8 ปี:** หลังครบ 8 ปี ผู้นั้นจะไม่สามารถดำรงตำแหน่งเดียวกันได้อีก แต่ไม่ได้ห้ามดำรงตำแหน่งอื่นในองค์กร (เช่น เปลี่ยนจากกรรมการผู้ทรงคุณวุฒิเป็นเลขาธิการ ถ้ามีคุณสมบัติครบตาม [มาตรา 58](https://link.pdpalawbase.com/section/58.md))

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/section/51.md

============================================================
โนด: มาตรา 52
ลิงก์อ้างอิง: https://link.pdpalawbase.com/section/52.md

# มาตรา 52

## ตัวบท

> มาตรา 52 ในกรณีที่ประธานกรรมการหรือกรรมการผู้ทรงคุณวุฒิตาม[มาตรา 48](https://link.pdpalawbase.com/section/48.md) พ้นจากตำแหน่งก่อนวาระ ให้คณะกรรมการกำกับสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลประกอบด้วยกรรมการทั้งหมดเท่าที่มีอยู่จนกว่าจะมีการแต่งตั้งประธานกรรมการหรือกรรมการผู้ทรงคุณวุฒิแทน และในกรณีที่ประธานกรรมการพ้นจากตำแหน่งก่อนวาระ ให้ปลัดกระทรวงดิจิทัลเพื่อเศรษฐกิจและสังคมทำหน้าที่ประธานกรรมการเป็นการชั่วคราว
>
> ให้ดำเนินการแต่งตั้งประธานกรรมการหรือกรรมการผู้ทรงคุณวุฒิแทนตำแหน่งที่ว่างภายในหกสิบวันนับแต่วันที่ตำแหน่งว่างลง และให้ผู้ที่ได้รับแต่งตั้งให้ดำรงตำแหน่งแทนอยู่ในตำแหน่งเท่ากับวาระที่เหลืออยู่ของผู้ซึ่งตนแทน เว้นแต่วาระของประธานกรรมการหรือกรรมการผู้ทรงคุณวุฒิเหลือไม่ถึงเก้าสิบวันจะไม่แต่งตั้งประธานกรรมการหรือกรรมการผู้ทรงคุณวุฒิแทนก็ได้

## สรุป

มาตรานี้กำหนดกลไกเมื่อ **ประธานหรือกรรมการผู้ทรงคุณวุฒิพ้นจากตำแหน่งก่อนวาระ** — คณะกรรมการกำกับสำนักงาน ([มาตรา 48](https://link.pdpalawbase.com/section/48.md)) ทำงานต่อด้วยกรรมการเท่าที่มีอยู่ ถ้า**ประธาน**พ้นวาระ → **ปลัดกระทรวงดิจิทัลเพื่อเศรษฐกิจและสังคม** ทำหน้าที่ประธานชั่วคราว ต้องแต่งตั้งคนใหม่**ภายใน 60 วัน** ผู้ที่แต่งตั้งใหม่อยู่ตำแหน่งเท่ากับวาระที่เหลือของผู้ที่ตนแทน เว้นแต่**วาระเหลือน้อยกว่า 90 วัน** จะไม่แต่งตั้งแทนก็ได้

## องค์ประกอบสำคัญ

- **กรณีกรรมการ (ไม่ใช่ประธาน) พ้นวาระ:**
  - คณะกรรมการกำกับสำนักงานทำงานต่อด้วยกรรมการ**เท่าที่มีอยู่** จนกว่าจะแต่งตั้งคนแทน
- **กรณีประธาน พ้นวาระก่อนกำหนด:**
  - **ปลัดกระทรวงดิจิทัลเพื่อเศรษฐกิจและสังคม** ทำหน้าที่ประธานชั่วคราว
  - หมายเหตุ: ปลัดกระทรวงดิจิทัลฯ เป็น**กรรมการโดยตำแหน่ง**อยู่แล้วใน [มาตรา 48](https://link.pdpalawbase.com/section/48.md) วรรคหนึ่ง (3) — มาตรานี้ยกระดับให้เป็นประธานชั่วคราวเพิ่มเติม
- **กำหนดเวลาแต่งตั้งใหม่ (วรรค 2):**
  - **ภายใน 60 วัน** นับแต่วันที่ตำแหน่งว่างลง
- **วาระของผู้ที่แต่งตั้งใหม่:**
  - อยู่ใน**วาระที่เหลือ**ของผู้ซึ่งตนแทน (ไม่ใช่ 4 ปีใหม่)
  - หลักการ "อยู่ตามวาระเดิมที่เหลือ" — ป้องกันการขยายวาระโดยพฤติการณ์
- **ข้อยกเว้น 90 วัน:**
  - ถ้าวาระเหลือ**น้อยกว่า 90 วัน** → **ไม่ต้องแต่งตั้ง**ก็ได้
  - หลักการได้สัดส่วน — หลีกเลี่ยงต้นทุนกระบวนการสรรหาที่ไม่คุ้มกับเวลาดำรงตำแหน่งสั้น

## มาตราที่อ้างอิง

- [มาตรา 48](https://link.pdpalawbase.com/section/48.md) — คณะกรรมการกำกับสำนักงาน — โครงสร้างองค์กรที่อยู่ภายใต้กลไกของมาตรานี้
- [มาตรา 50](https://link.pdpalawbase.com/section/50.md) — วิธีการแต่งตั้ง — กระบวนการที่ใช้แต่งตั้งคนแทนในวรรค 2
- [มาตรา 51](https://link.pdpalawbase.com/section/51.md) — วาระ 4 ปี — [มาตรา 52](https://link.pdpalawbase.com/section/52.md) เป็นกลไกพ้น**ก่อน**วาระ ส่วน [มาตรา 51](https://link.pdpalawbase.com/section/51.md) เป็นกลไกพ้น**ตาม**วาระ

## หมายเหตุ

- **ความแตกต่างระหว่าง [มาตรา 51](https://link.pdpalawbase.com/section/51.md) และ [มาตรา 52](https://link.pdpalawbase.com/section/52.md):**
  - [มาตรา 51](https://link.pdpalawbase.com/section/51.md) วรรคสอง: พ้นตามวาระ → ผู้พ้นรักษาการต่อจนคนใหม่เข้ารับหน้าที่
  - [มาตรา 52](https://link.pdpalawbase.com/section/52.md) วรรคหนึ่ง: พ้นก่อนวาระ → คณะกรรมการทำงานต่อด้วยจำนวนเท่าที่มีอยู่ + ปลัดกระทรวงดิจิทัลฯ ทำหน้าที่ประธานถ้าจำเป็น (ผู้พ้นไม่รักษาการ — เพราะอาจพ้นเพราะขาดคุณสมบัติ ทุพพลภาพ ฯลฯ)
- **ทำไมเป็นปลัดกระทรวงดิจิทัลฯ:**
  - กระทรวงดิจิทัลเพื่อเศรษฐกิจและสังคมเป็นกระทรวงต้นสังกัดที่ดูแลภารกิจคุ้มครองข้อมูลส่วนบุคคลในเชิงนโยบาย — ปลัดเป็นข้าราชการระดับสูงที่ใกล้ชิดกับงานนี้
  - กรรมการโดยตำแหน่งอีกคน (เลขาธิการคณะกรรมการคุ้มครองฯ) เป็นเจ้าหน้าที่ของสำนักงานที่อยู่ภายใต้การกำกับของคณะกรรมการกำกับ — จึงเป็นไปไม่ได้ในเชิงโครงสร้างที่จะให้กำกับตนเอง
- **เกณฑ์ "ไม่ถึง 90 วัน" + "ภายใน 60 วัน":**
  - ถ้าวาระเหลือ 91-150 วัน → ต้องแต่งตั้งแทนภายใน 60 วัน + ผู้ที่แต่งตั้งใหม่อาจอยู่ตำแหน่งเพียง 31-90 วัน
  - ถ้าวาระเหลือ ≤90 วัน → อาจปล่อยตำแหน่งว่างไปจนครบวาระ
- **ความหมายของ "เท่าที่มีอยู่":** องค์ประชุม ([มาตรา 53](https://link.pdpalawbase.com/section/53.md)) คำนวณจาก**กรรมการที่มีอยู่จริง** ไม่ใช่จำนวนเต็มของคณะกรรมการ — กรรมการที่เหลือยังตัดสินใจในกิจการของสำนักงานต่อได้

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/section/52.md

============================================================
โนด: มาตรา 53
ลิงก์อ้างอิง: https://link.pdpalawbase.com/section/53.md

# มาตรา 53

## ตัวบท

> มาตรา 53 การประชุมคณะกรรมการกำกับสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลต้องมีกรรมการมาประชุมไม่น้อยกว่ากึ่งหนึ่งของจำนวนกรรมการที่มีอยู่ จึงจะเป็นองค์ประชุม
>
> ให้ประธานกรรมการเป็นประธานในที่ประชุม ถ้าประธานกรรมการไม่มาประชุมหรือไม่อาจปฏิบัติหน้าที่ได้ ให้กรรมการซึ่งมาประชุมเลือกกรรมการคนหนึ่งเป็นประธานในที่ประชุม
>
> การวินิจฉัยชี้ขาดของที่ประชุมให้ถือเสียงข้างมาก กรรมการคนหนึ่งให้มีเสียงหนึ่งในการลงคะแนน ถ้าคะแนนเสียงเท่ากัน ให้ประธานในที่ประชุมออกเสียงเพิ่มขึ้นอีกเสียงหนึ่งเป็นเสียงชี้ขาด
>
> กรรมการที่มีส่วนได้เสียในเรื่องที่มีการพิจารณาจะเข้าร่วมประชุมมิได้
>
> การประชุมของคณะกรรมการกำกับสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลอาจกระทำโดยวิธีการทางอิเล็กทรอนิกส์ตามที่คณะกรรมการกำหนดก็ได้

## สรุป

มาตรานี้กำหนด **กฎการประชุม** ของคณะกรรมการกำกับสำนักงาน ([มาตรา 48](https://link.pdpalawbase.com/section/48.md)): องค์ประชุม **ไม่น้อยกว่ากึ่งหนึ่ง** ของจำนวนกรรมการที่มีอยู่; ประธานในที่ประชุม = ประธานกรรมการ (หรือเลือกกันเองถ้าประธานไม่มา); วินิจฉัยด้วย **เสียงข้างมาก** + ประธานมี **เสียงชี้ขาด** เมื่อเสียงเท่ากัน; กรรมการที่ **มีส่วนได้เสีย** ห้ามเข้าร่วม; ประชุม **ทางอิเล็กทรอนิกส์** ได้ตามที่คณะกรรมการคุ้มครองข้อมูลส่วนบุคคล ([มาตรา 8](https://link.pdpalawbase.com/section/8.md)) กำหนด

## องค์ประกอบสำคัญ

- **องค์ประชุม (วรรค 1):** ไม่น้อยกว่า**กึ่งหนึ่ง**ของกรรมการที่มีอยู่ (เช่น ถ้ามีกรรมการ 6 คน → ต้องมาอย่างน้อย 3 คน)
  - ฐานคำนวณ = "ที่มีอยู่" — ไม่ใช่จำนวนเต็มตามกฎหมาย → ถ้าตำแหน่งว่าง องค์ประชุมก็ลดตามจริง
- **ประธานในที่ประชุม (วรรค 2):**
  - ปกติ = ประธานกรรมการ ([มาตรา 48](https://link.pdpalawbase.com/section/48.md) วรรคหนึ่ง (1))
  - กรณีประธานไม่มา/ไม่อาจปฏิบัติหน้าที่ได้ → กรรมการที่มาประชุม**เลือกกันเอง**ให้คนหนึ่งเป็นประธานในที่ประชุมเฉพาะคราว
- **การวินิจฉัย (วรรค 3):**
  - **เสียงข้างมาก**
  - **กรรมการ 1 คน = 1 เสียง**
  - กรณีเสียงเท่า → **ประธานออกเสียงเพิ่มอีก 1 เสียงเป็นเสียงชี้ขาด**
- **ห้ามผู้มีส่วนได้เสียเข้าประชุม (วรรค 4):**
  - กรรมการที่มีส่วนได้เสียในเรื่องที่จะพิจารณา**ห้ามเข้าร่วมประชุม**
  - ป้องกันผลประโยชน์ทับซ้อน
- **การประชุมทางอิเล็กทรอนิกส์ (วรรค 5):**
  - ทำได้ตามหลักเกณฑ์ที่**คณะกรรมการคุ้มครองข้อมูลส่วนบุคคล** ([มาตรา 8](https://link.pdpalawbase.com/section/8.md)) กำหนด

## มาตราที่อ้างอิง

- [มาตรา 48](https://link.pdpalawbase.com/section/48.md) — คณะกรรมการกำกับสำนักงาน — เป็นองค์กรที่ใช้กฎการประชุมตามมาตรานี้

## หมายเหตุ

- **[มาตรา 53](https://link.pdpalawbase.com/section/53.md) ใช้กับ "คณะกรรมการกำกับสำนักงาน" เท่านั้น** — ไม่ใช่ **"คณะกรรมการคุ้มครองข้อมูลส่วนบุคคล"** ([มาตรา 8](https://link.pdpalawbase.com/section/8.md)) ที่มีกฎการประชุมแยกใน [มาตรา 13](https://link.pdpalawbase.com/section/13.md)
- **ใช้บังคับโดยอนุโลมกับคณะอนุกรรมการ:** [มาตรา 55](https://link.pdpalawbase.com/section/55.md) วรรคท้าย กำหนดให้นำ [มาตรา 53](https://link.pdpalawbase.com/section/53.md) มาใช้กับการประชุมของคณะอนุกรรมการที่คณะกรรมการกำกับสำนักงานแต่งตั้งด้วย
- **เหตุผลของกลไกเสียงชี้ขาดของประธาน:**
  - คณะกรรมการกำกับมีกรรมการ 6 คน ([มาตรา 48](https://link.pdpalawbase.com/section/48.md)) — เลขคู่ → เสียงเท่ากันได้ในทางคณิตศาสตร์
  - กลไกนี้ป้องกันสภาวะที่ที่ประชุมตัดสินใจไม่ได้
- **"ส่วนได้เสีย" — ตัวอย่างที่ควรงดเข้าร่วม:**
  - กรรมการที่เป็นที่ปรึกษา/ผู้บริหารของบริษัทที่อยู่ในการพิจารณาออกข้อบังคับเฉพาะกลุ่ม
  - กรรมการที่ครอบครัวมีผลประโยชน์ในการอนุมัติงบประมาณรายการใดรายการหนึ่ง
  - กรรมการที่เป็นผู้ถูกร้องเรียนในเรื่องที่พิจารณา
- **การประชุมทางอิเล็กทรอนิกส์:**
  - หลักการรองรับการประชุมระยะไกล (โดยเฉพาะหลังโควิด-19) — แต่ต้องเป็นไปตามหลักเกณฑ์ที่คณะกรรมการคุ้มครองข้อมูลส่วนบุคคลกำหนด เพื่อรักษามาตรฐาน (เช่น การยืนยันตัวตน การบันทึกการประชุม การคุ้มครองข้อมูลที่หารือกัน)
- **องค์ประชุม "ที่มีอยู่" vs "ตามกฎหมาย":** ถ้าคณะกรรมการกำกับมีตำแหน่งว่าง 1 ตำแหน่ง (5 คนจาก 6) → องค์ประชุม = 3 คน (กึ่งหนึ่งของ 5) ไม่ใช่ 3 คน (กึ่งหนึ่งของ 6) — กลไกนี้ทำให้คณะกรรมการ**ทำงานต่อได้**แม้มีตำแหน่งว่าง (สอดคล้องกับ [มาตรา 52](https://link.pdpalawbase.com/section/52.md) วรรค 1)

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/section/53.md

============================================================
โนด: มาตรา 54
ลิงก์อ้างอิง: https://link.pdpalawbase.com/section/54.md

# มาตรา 54

## ตัวบท

> มาตรา 54 คณะกรรมการกำกับสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลมีหน้าที่และอำนาจ ดังต่อไปนี้
>
> (1) กำหนดนโยบายการบริหารงาน และให้ความเห็นชอบแผนการดำเนินงานของสำนักงาน
>
> (2) ออกข้อบังคับว่าด้วยการจัดองค์กร การเงิน การบริหารงานบุคคล การบริหารงานทั่วไป การตรวจสอบภายใน รวมตลอดทั้งการสงเคราะห์และสวัสดิการต่าง ๆ ของสำนักงาน
>
> (3) อนุมัติแผนการดำเนินงาน แผนการใช้จ่ายเงินและงบประมาณรายจ่ายประจำปีของสำนักงาน
>
> (4) ควบคุมการบริหารงานและการดำเนินการของสำนักงานและเลขาธิการให้เป็นไปตามพระราชบัญญัตินี้และกฎหมายอื่นที่เกี่ยวข้อง
>
> (5) แต่งตั้งคณะกรรมการสรรหาเลขาธิการ
>
> (6) วินิจฉัยอุทธรณ์คำสั่งทางปกครองของเลขาธิการในส่วนที่เกี่ยวกับการบริหารงานของสำนักงาน
>
> (7) ประเมินผลการดำเนินการของสำนักงาน และการปฏิบัติงานของเลขาธิการ
>
> (8) ปฏิบัติหน้าที่อื่นตามที่พระราชบัญญัตินี้หรือกฎหมายอื่นกำหนดให้เป็นหน้าที่และอำนาจของคณะกรรมการกำกับสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลหรือตามที่คณะกรรมการหรือคณะรัฐมนตรีมอบหมาย
>
> ข้อบังคับตาม (2) ถ้ามีการจำกัดอำนาจเลขาธิการในการทำนิติกรรมกับบุคคลภายนอก ให้ประกาศในราชกิจจานุเบกษา

## สรุป

มาตรานี้เป็น **บทบัญญัติสำคัญที่กำหนดบทบาทของคณะกรรมการกำกับสำนักงาน** ([มาตรา 48](https://link.pdpalawbase.com/section/48.md)) ในฐานะองค์กรที่กำกับดูแลการบริหารของ**สำนักงาน** ([มาตรา 43](https://link.pdpalawbase.com/section/43.md)) — มี 8 หน้าที่/อำนาจ: กำหนดนโยบาย, ออกข้อบังคับภายใน, อนุมัติงบประมาณ, ควบคุมการบริหาร, แต่งตั้งคณะกรรมการสรรหาเลขาธิการ, วินิจฉัยอุทธรณ์, ประเมินผล, และอื่น ๆ ตามที่คณะกรรมการคุ้มครองข้อมูลส่วนบุคคล ([มาตรา 8](https://link.pdpalawbase.com/section/8.md)) หรือคณะรัฐมนตรีมอบหมาย

## องค์ประกอบสำคัญ

- **(1) กำหนดนโยบายและให้ความเห็นชอบแผน:**
  - กำหนด**นโยบายการบริหารงาน** ของสำนักงาน
  - ให้ความเห็นชอบ**แผนการดำเนินงาน** (เลขาธิการเป็นผู้จัดทำ ตาม [มาตรา 63](https://link.pdpalawbase.com/section/63.md) (1))
- **(2) ออกข้อบังคับภายใน:**
  - การจัดองค์กร, การเงิน, **การบริหารงานบุคคล** (ที่ต่างจากระเบียบราชการพลเรือน), การบริหารงานทั่วไป, การตรวจสอบภายใน, การสงเคราะห์/สวัสดิการ
  - หมายเหตุ: ข้อบังคับเหล่านี้ใช้ภายในสำนักงาน — ไม่ใช่ข้อบังคับที่บังคับใช้กับเอกชนภายนอก (อันนั้นเป็นอำนาจของ**คณะกรรมการคุ้มครองข้อมูลส่วนบุคคล** ตาม [มาตรา 16](https://link.pdpalawbase.com/section/16.md))
- **(3) อนุมัติงบประมาณประจำปี:** แผนการดำเนินงาน + แผนใช้จ่ายเงิน + งบประมาณรายจ่ายประจำปี
- **(4) ควบคุมการดำเนินการของสำนักงานและเลขาธิการ:**
  - ให้เป็นไปตาม พรบ. นี้ + กฎหมายอื่นที่เกี่ยวข้อง
  - หลักการกำกับดูแล — เลขาธิการเป็นผู้บริหาร แต่คณะกรรมการกำกับเป็นผู้กำกับ
- **(5) แต่งตั้งคณะกรรมการสรรหาเลขาธิการ:** กระบวนการสรรหาเลขาธิการเริ่มที่นี่ (ผลลัพธ์ = แต่งตั้งเลขาธิการตาม [มาตรา 57](https://link.pdpalawbase.com/section/57.md))
- **(6) วินิจฉัยอุทธรณ์:**
  - อุทธรณ์**คำสั่งทางปกครอง**ของเลขาธิการ
  - **เฉพาะส่วนที่เกี่ยวกับการบริหารงานของสำนักงาน** (เช่น คำสั่งบุคคลภายในสำนักงาน คำสั่งจัดซื้อจัดจ้าง)
  - **ไม่ใช่**อุทธรณ์ในเรื่องการบังคับใช้ พรบ. คุ้มครองข้อมูลส่วนบุคคลต่อบุคคลภายนอก
- **(7) ประเมินผล:**
  - การดำเนินการของสำนักงานในภาพรวม
  - การปฏิบัติงานของเลขาธิการเป็นรายบุคคล
- **(8) อื่น ๆ:** หน้าที่ที่ พรบ. นี้ + กฎหมายอื่นกำหนด หรือที่**คณะกรรมการคุ้มครองข้อมูลส่วนบุคคล** ([มาตรา 8](https://link.pdpalawbase.com/section/8.md)) / **คณะรัฐมนตรี** มอบหมาย
- **ข้อจำกัดในการทำนิติกรรม (วรรคท้าย):**
  - ถ้าข้อบังคับตาม (2) **จำกัดอำนาจเลขาธิการ**ในการทำนิติกรรมกับบุคคลภายนอก
  - ต้อง**ประกาศในราชกิจจานุเบกษา** — เพื่อให้บุคคลภายนอกรู้ขอบเขตอำนาจของเลขาธิการ (รับผิดชอบสาธารณะ)

## มาตราที่อ้างอิง

- [มาตรา 43](https://link.pdpalawbase.com/section/43.md) — สำนักงาน — องค์กรที่อยู่ภายใต้การกำกับตามมาตรานี้
- [มาตรา 48](https://link.pdpalawbase.com/section/48.md) — คณะกรรมการกำกับสำนักงาน — ผู้ใช้อำนาจตามมาตรานี้
- [มาตรา 55](https://link.pdpalawbase.com/section/55.md) — คณะอนุกรรมการ — กลไกที่คณะกรรมการกำกับใช้แบ่งงานเฉพาะด้าน
- [มาตรา 57](https://link.pdpalawbase.com/section/57.md) — เลขาธิการ — ผู้ถูกกำกับ/ประเมินตามมาตรานี้

## หมายเหตุ

- **เปรียบเทียบบทบาท: คณะกรรมการคุ้มครองข้อมูลส่วนบุคคล vs คณะกรรมการกำกับสำนักงาน:**
  - **คณะกรรมการคุ้มครองข้อมูลส่วนบุคคล** ([มาตรา 8](https://link.pdpalawbase.com/section/8.md), [มาตรา 16](https://link.pdpalawbase.com/section/16.md)): กำกับ**การบังคับใช้กฎหมายต่อสาธารณะ** — ออกประกาศ ออกหลักเกณฑ์ ลงโทษทางปกครอง
  - **คณะกรรมการกำกับสำนักงาน** (มาตรานี้): กำกับ**การบริหารภายในของสำนักงาน** — งบประมาณ บุคคล นโยบายการดำเนินงาน
- **โครงสร้างของระบบคุ้มครองข้อมูลส่วนบุคคล:** สำนักงาน ([มาตรา 43](https://link.pdpalawbase.com/section/43.md)) เป็นหน่วยงานของรัฐที่ทำหน้าที่**ฝ่ายปฏิบัติการ** — มีคณะกรรมการกำกับสำนักงานเป็น "บอร์ดบริหารองค์กร" + คณะกรรมการคุ้มครองข้อมูลส่วนบุคคลเป็น "ผู้กำกับนโยบายและกำหนดมาตรฐาน"
- **(2) "ข้อบังคับว่าด้วยการบริหารงานบุคคล":** ทำให้สำนักงานมีระบบบุคลากรแยกจากระบบราชการพลเรือนทั่วไป — สอดคล้องกับ [มาตรา 43](https://link.pdpalawbase.com/section/43.md) วรรคสอง ที่กำหนดให้สำนักงานเป็น**หน่วยงานของรัฐที่มีฐานะเป็นนิติบุคคล** (ไม่เป็นส่วนราชการตามพระราชบัญญัติระเบียบบริหารราชการแผ่นดิน)
- **(6) "อุทธรณ์คำสั่งทางปกครอง":**
  - ฐาน: พระราชบัญญัติวิธีปฏิบัติราชการทางปกครอง พ.ศ. 2539
  - กลไก: ผู้ได้รับผลกระทบจากคำสั่งของเลขาธิการ → อุทธรณ์ต่อคณะกรรมการกำกับสำนักงาน → คำวินิจฉัยของคณะกรรมการกำกับเป็นที่สุดในชั้นปกครองภายใน + อาจฟ้องศาลปกครองต่อได้
- **วรรคท้าย "ประกาศในราชกิจจานุเบกษา":**
  - หลักการแจ้งสาธารณะให้ทราบทั่วกัน — บุคคลภายนอกที่จะเข้าทำนิติกรรมกับสำนักงานต้องสามารถตรวจสอบได้ว่าเลขาธิการมีอำนาจทำนิติกรรมประเภทใดได้บ้าง
  - ป้องกันข้อพิพาทเรื่องอำนาจในภายหลัง (ผู้ทำนิติกรรมโดยสุจริตได้รับการคุ้มครอง)

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/section/54.md

============================================================
โนด: มาตรา 55
ลิงก์อ้างอิง: https://link.pdpalawbase.com/section/55.md

# มาตรา 55

## ตัวบท

> มาตรา 55 คณะกรรมการกำกับสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลมีอำนาจแต่งตั้งคณะอนุกรรมการ เพื่อปฏิบัติหน้าที่หรือกระทำการอย่างหนึ่งอย่างใดตามที่คณะกรรมการกำกับสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลมอบหมายได้
>
> คณะกรรมการกำกับสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลอาจแต่งตั้งบุคคลซึ่งมีความเชี่ยวชาญหรือประสบการณ์ที่จะเป็นประโยชน์ในการปฏิบัติหน้าที่ของคณะกรรมการกำกับสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เป็นที่ปรึกษาคณะกรรมการกำกับสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลได้
>
> การปฏิบัติหน้าที่และจำนวนของคณะอนุกรรมการตามวรรคหนึ่งหรือบุคคลตามวรรคสอง ให้เป็นไปตามที่คณะกรรมการกำกับสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลกำหนด
>
> การประชุมคณะอนุกรรมการ ให้นำความใน[มาตรา 53](https://link.pdpalawbase.com/section/53.md) มาใช้บังคับโดยอนุโลม

## สรุป

มาตรานี้ให้อำนาจ**คณะกรรมการกำกับสำนักงาน** ([มาตรา 48](https://link.pdpalawbase.com/section/48.md)) แต่งตั้ง 2 ประเภทของกลไกสนับสนุน: (1) **คณะอนุกรรมการ** เพื่อทำงานเฉพาะเรื่องตามมอบหมาย; (2) **ที่ปรึกษา** ซึ่งเป็นบุคคลผู้มีความเชี่ยวชาญหรือประสบการณ์ — โดยจำนวนและการปฏิบัติหน้าที่ให้เป็นไปตามที่คณะกรรมการกำกับสำนักงานกำหนด การประชุมของคณะอนุกรรมการให้นำกฎการประชุมตาม [มาตรา 53](https://link.pdpalawbase.com/section/53.md) มาใช้บังคับโดยอนุโลม

## องค์ประกอบสำคัญ

- **คณะอนุกรรมการ (วรรค 1):**
  - ผู้แต่งตั้ง: คณะกรรมการกำกับสำนักงาน ([มาตรา 48](https://link.pdpalawbase.com/section/48.md))
  - บทบาท: ปฏิบัติหน้าที่หรือกระทำการ**ตามที่ได้รับมอบหมาย**
  - มีจำนวนและขอบเขตงานตามที่คณะกรรมการกำกับสำนักงานกำหนด
- **ที่ปรึกษา (วรรค 2):**
  - ผู้แต่งตั้ง: คณะกรรมการกำกับสำนักงาน
  - คุณสมบัติ: บุคคล**ผู้มีความเชี่ยวชาญหรือประสบการณ์** ที่เป็นประโยชน์
  - บทบาท: ให้คำปรึกษา (ไม่มีอำนาจวินิจฉัยหรือตัดสินใจแทนกรรมการ)
- **การปฏิบัติหน้าที่และจำนวน (วรรค 3):**
  - ทั้งคณะอนุกรรมการและที่ปรึกษา → ให้เป็นไปตามที่คณะกรรมการกำกับสำนักงานกำหนด
  - หลักการ: คณะกรรมการกำกับสำนักงานมีดุลพินิจกำหนดได้ตามภารกิจ
- **การประชุมโดยอนุโลม (วรรค 4):**
  - คณะอนุกรรมการใช้กฎตาม [มาตรา 53](https://link.pdpalawbase.com/section/53.md) (องค์ประชุมกึ่งหนึ่ง / ประธาน / เสียงข้างมาก / เสียงชี้ขาดของประธานเมื่อเสียงเท่า / ห้ามผู้มีส่วนได้เสีย / อิเล็กทรอนิกส์ได้)
  - คำว่า "**โดยอนุโลม**" — ปรับใช้ตามบริบท แต่ไม่จำเป็นต้องตรงทุกตัวอักษร

## มาตราที่อ้างอิง

- [มาตรา 48](https://link.pdpalawbase.com/section/48.md) — คณะกรรมการกำกับสำนักงาน — ผู้แต่งตั้งคณะอนุกรรมการ/ที่ปรึกษาตามมาตรานี้
- [มาตรา 53](https://link.pdpalawbase.com/section/53.md) — กฎการประชุมคณะกรรมการกำกับ — นำมาใช้กับคณะอนุกรรมการโดยอนุโลม

## หมายเหตุ

- **คณะอนุกรรมการ vs ที่ปรึกษา — ความแตกต่าง:**
  - **คณะอนุกรรมการ:** มีอำนาจปฏิบัติงาน (ตามที่ได้รับมอบหมาย) — มีองค์ประชุม + ลงมติได้
  - **ที่ปรึกษา:** ให้คำปรึกษาเท่านั้น — ไม่มีอำนาจตัดสินใจ; อาจเข้าร่วมประชุมคณะกรรมการกำกับเพื่อให้ข้อมูลแต่ไม่มีสิทธิออกเสียง
- **บทบัญญัติคล้ายกันใน [มาตรา 14](https://link.pdpalawbase.com/section/14.md):** คณะกรรมการคุ้มครองข้อมูลส่วนบุคคลก็แต่งตั้งคณะอนุกรรมการได้ — [มาตรา 55](https://link.pdpalawbase.com/section/55.md) เป็นกลไกคล้ายกันสำหรับคณะกรรมการกำกับสำนักงาน
- **กรณีตัวอย่างของคณะอนุกรรมการ:** อาจใช้สำหรับ
  - การพิจารณาอุทธรณ์ตาม [มาตรา 54](https://link.pdpalawbase.com/section/54.md) (6) ที่ต้องใช้ความเชี่ยวชาญเฉพาะ
  - การตรวจสอบการใช้งบประมาณภายใน
  - การประเมินผลเลขาธิการตาม [มาตรา 54](https://link.pdpalawbase.com/section/54.md) (7) + [มาตรา 61](https://link.pdpalawbase.com/section/61.md)
- **ค่าตอบแทนของคณะอนุกรรมการและที่ปรึกษา:** กำหนดใน [มาตรา 56](https://link.pdpalawbase.com/section/56.md) (เบี้ยประชุม/ค่าตอบแทนตามหลักเกณฑ์ที่คณะกรรมการคุ้มครองข้อมูลส่วนบุคคลกำหนด โดยความเห็นชอบของกระทรวงการคลัง)
- **"โดยอนุโลม" ในวรรค 4:** ตัวอย่างที่ต้องปรับ — ถ้าคณะอนุกรรมการมีจำนวนน้อย (เช่น 3 คน) → องค์ประชุม "กึ่งหนึ่ง" = 2 คน (ปัดขึ้นโดยพฤติการณ์); หรือถ้าหัวข้อเฉพาะที่มีบุคคลภายนอกร่วมเป็นที่ปรึกษา → กฎห้ามมีส่วนได้เสียยิ่งสำคัญ

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/section/55.md

============================================================
โนด: มาตรา 56
ลิงก์อ้างอิง: https://link.pdpalawbase.com/section/56.md

# มาตรา 56

## ตัวบท

> มาตรา 56 ให้ประธานกรรมการและกรรมการกำกับสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล ที่ปรึกษาคณะกรรมการกำกับสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล ประธานอนุกรรมการและอนุกรรมการที่คณะกรรมการกำกับสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลแต่งตั้ง ได้รับเบี้ยประชุมหรือค่าตอบแทนตามหลักเกณฑ์ที่คณะกรรมการกำหนดโดยความเห็นชอบของกระทรวงการคลัง

## สรุป

มาตรานี้กำหนด **เบี้ยประชุม/ค่าตอบแทน** สำหรับ 4 กลุ่ม: (1) ประธานคณะกรรมการกำกับสำนักงาน, (2) กรรมการกำกับสำนักงาน, (3) ที่ปรึกษาคณะกรรมการกำกับสำนักงาน, (4) ประธานและอนุกรรมการที่คณะกรรมการกำกับสำนักงานแต่งตั้ง — ตามหลักเกณฑ์ที่ **คณะกรรมการคุ้มครองข้อมูลส่วนบุคคล** ([มาตรา 8](https://link.pdpalawbase.com/section/8.md)) กำหนด **โดยความเห็นชอบของกระทรวงการคลัง**

## องค์ประกอบสำคัญ

- **ผู้มีสิทธิได้รับ (4 กลุ่ม):**
  1. **ประธานกรรมการกำกับสำนักงาน** ([มาตรา 48](https://link.pdpalawbase.com/section/48.md) วรรคหนึ่ง (1))
  2. **กรรมการกำกับสำนักงาน** (กรรมการผู้ทรงคุณวุฒิ + กรรมการโดยตำแหน่ง)
  3. **ที่ปรึกษาคณะกรรมการกำกับสำนักงาน** ([มาตรา 55](https://link.pdpalawbase.com/section/55.md) วรรคสอง)
  4. **ประธานคณะอนุกรรมการ + อนุกรรมการ** ที่แต่งตั้งตาม [มาตรา 55](https://link.pdpalawbase.com/section/55.md) วรรคหนึ่ง
- **ผู้กำหนดหลักเกณฑ์:** **คณะกรรมการคุ้มครองข้อมูลส่วนบุคคล** ([มาตรา 8](https://link.pdpalawbase.com/section/8.md)) — ไม่ใช่คณะกรรมการกำกับสำนักงานเอง (ป้องกันการกำหนดค่าตอบแทนของตนเอง)
- **เงื่อนไขเพิ่มเติม:** ต้องได้รับ**ความเห็นชอบของกระทรวงการคลัง** — ฐานทางคลัง

## มาตราที่อ้างอิง

- [มาตรา 8](https://link.pdpalawbase.com/section/8.md) — คณะกรรมการคุ้มครองข้อมูลส่วนบุคคล — ผู้กำหนดหลักเกณฑ์ค่าตอบแทน
- [มาตรา 48](https://link.pdpalawbase.com/section/48.md) — คณะกรรมการกำกับสำนักงาน — ผู้ได้รับเบี้ยประชุม
- [มาตรา 55](https://link.pdpalawbase.com/section/55.md) — คณะอนุกรรมการและที่ปรึกษา — ผู้ได้รับเบี้ยประชุม

## หมายเหตุ

- **กลไกถ่วงดุลในการกำหนดค่าตอบแทน:**
  - ผู้กำหนดหลักเกณฑ์ ([มาตรา 8](https://link.pdpalawbase.com/section/8.md)) ≠ ผู้รับ (กำกับสำนักงาน) — ป้องกันการขึ้นเบี้ยตนเอง
  - ความเห็นชอบของ**กระทรวงการคลัง** — ป้องกันการตั้งค่าตอบแทนสูงเกินมาตรฐานราชการ
- **เปรียบเทียบกับเลขาธิการ:** เลขาธิการมี**อัตราเงินเดือน/ผลตอบแทน**แยกต่างหากตาม [มาตรา 65](https://link.pdpalawbase.com/section/65.md) — ไม่ได้รับเบี้ยประชุมตามมาตรานี้
- **ข้อสังเกต — ที่มาของเงิน:** เบี้ยประชุม/ค่าตอบแทนจ่ายจากเงินของสำนักงาน — ขณะที่สำนักงานต้องนำส่งรายได้เข้าคลังเป็นรายได้แผ่นดินตาม [มาตรา 46](https://link.pdpalawbase.com/section/46.md) วรรคสอง → จึงพึ่งเงินอุดหนุนจากรัฐบาลตาม [มาตรา 44](https://link.pdpalawbase.com/section/44.md) (1) เป็นหลัก ทำให้การกำหนดค่าตอบแทนต้องสมดุลกับเงินอุดหนุนที่ได้รับจริง
- **กรณีที่ไม่ได้รับ:**
  - **กรรมการโดยตำแหน่ง** (ปลัดกระทรวงดิจิทัล + เลขาธิการคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล ตาม [มาตรา 48](https://link.pdpalawbase.com/section/48.md) วรรคหนึ่ง (3)) อาจได้รับเบี้ยประชุมหรือไม่ขึ้นกับหลักเกณฑ์ — ในทางปฏิบัติทั่วไป ข้าราชการประจำที่เป็นกรรมการโดยตำแหน่งอาจมีข้อจำกัดเรื่องการรับเบี้ยประชุมตามระเบียบกระทรวงการคลัง
  - **กรรมการสรรหา** ตาม [มาตรา 49](https://link.pdpalawbase.com/section/49.md) **ไม่ได้กล่าวถึงใน [มาตรา 56](https://link.pdpalawbase.com/section/56.md)** — ถ้าจะให้เบี้ยประชุม ต้องอาศัยกลไกอื่นหรือหลักเกณฑ์ทั่วไปของคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (ข้อสังเกต: อาจเป็นช่องว่างของกฎหมาย)

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/section/56.md

============================================================
โนด: มาตรา 57
ลิงก์อ้างอิง: https://link.pdpalawbase.com/section/57.md

# มาตรา 57

## ตัวบท

> มาตรา 57 ให้สำนักงานมีเลขาธิการคนหนึ่งซึ่งคณะกรรมการกำกับสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลแต่งตั้ง มีหน้าที่บริหารกิจการของสำนักงาน
>
> การแต่งตั้งเลขาธิการตามวรรคหนึ่ง ให้เป็นไปตามหลักเกณฑ์และวิธีการสรรหาตามที่คณะกรรมการกำกับสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลกำหนด

## สรุป

มาตรานี้จัดตั้งตำแหน่ง **เลขาธิการ** เป็น**ผู้บริหารกิจการของสำนักงาน** ([มาตรา 43](https://link.pdpalawbase.com/section/43.md)) — มีคนเดียวต่อสำนักงาน แต่งตั้งโดย**คณะกรรมการกำกับสำนักงาน** ([มาตรา 48](https://link.pdpalawbase.com/section/48.md)) ตามหลักเกณฑ์และวิธีการสรรหาที่คณะกรรมการกำกับสำนักงานกำหนดเอง

## องค์ประกอบสำคัญ

- **เลขาธิการมีคนเดียว:** "**เลขาธิการคนหนึ่ง**" — ไม่ใช่ตำแหน่งหลายคน
- **บทบาท:** **บริหารกิจการของสำนักงาน** — ผู้บริหารสูงสุดในเชิงปฏิบัติงาน
- **ผู้แต่งตั้ง:** คณะกรรมการกำกับสำนักงาน ([มาตรา 48](https://link.pdpalawbase.com/section/48.md)) — สอดคล้องกับ [มาตรา 54](https://link.pdpalawbase.com/section/54.md) (5) ที่ให้อำนาจแต่งตั้ง**คณะกรรมการสรรหา**เลขาธิการ
- **หลักเกณฑ์การสรรหา:**
  - กำหนดโดยคณะกรรมการกำกับสำนักงานเอง
  - ไม่ได้อยู่ในตัวบทของพระราชบัญญัติ — เปิดให้คณะกรรมการกำกับฯ มีดุลพินิจในการออกระเบียบ

## มาตราที่อ้างอิง

- [มาตรา 43](https://link.pdpalawbase.com/section/43.md) — สำนักงาน — องค์กรที่เลขาธิการเป็นผู้บริหาร
- [มาตรา 48](https://link.pdpalawbase.com/section/48.md) — คณะกรรมการกำกับสำนักงาน — ผู้แต่งตั้งและกำหนดหลักเกณฑ์การสรรหา
- [มาตรา 54](https://link.pdpalawbase.com/section/54.md) — หน้าที่และอำนาจของคณะกรรมการกำกับสำนักงาน — มี (5) แต่งตั้งคณะกรรมการสรรหาเลขาธิการ + (4) ควบคุมการดำเนินการของเลขาธิการ + (7) ประเมินผลเลขาธิการ

## หมายเหตุ

- **โครงสร้างการบริหารของสำนักงาน — 2 ระดับ:**
  - **คณะกรรมการกำกับสำนักงาน** ([มาตรา 48](https://link.pdpalawbase.com/section/48.md)) — ระดับนโยบายและกำกับดูแล
  - **เลขาธิการ** (มาตรานี้) — ระดับปฏิบัติการและบริหารกิจการ
- **เปรียบเทียบ "เลขาธิการ" 2 คนใน พรบ. นี้:**
  - **เลขาธิการคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล** = **เลขาธิการของสำนักงาน** (มาตรานี้) — เป็นผู้เดียวกัน คนละตำแหน่งกับเลขานุการคณะกรรมการคุ้มครองฯ
  - กรณีที่อยู่ใน [มาตรา 48](https://link.pdpalawbase.com/section/48.md) วรรคหนึ่ง (3) — เลขาธิการเป็น**กรรมการโดยตำแหน่ง**ในคณะกรรมการกำกับสำนักงาน
  - แต่ใน [มาตรา 12](https://link.pdpalawbase.com/section/12.md) เลขาธิการก็เป็น**เลขานุการของคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล** ([มาตรา 8](https://link.pdpalawbase.com/section/8.md)) — รับสองบทบาทในคนเดียวกัน
- **ความสัมพันธ์ของอำนาจ:**
  - เลขาธิการ = ผู้บริหาร — แต่อยู่ภายใต้การควบคุม/กำกับของคณะกรรมการกำกับสำนักงาน ([มาตรา 54](https://link.pdpalawbase.com/section/54.md) (4))
  - เลขาธิการมีอำนาจตาม [มาตรา 63](https://link.pdpalawbase.com/section/63.md) (รายละเอียดหน้าที่และอำนาจของเลขาธิการ)
  - คำสั่งทางปกครองของเลขาธิการอาจถูกอุทธรณ์ต่อคณะกรรมการกำกับ ตาม [มาตรา 54](https://link.pdpalawbase.com/section/54.md) (6)
- **ทำไมหลักเกณฑ์การสรรหาไม่อยู่ในพระราชบัญญัติ:**
  - เปิดให้ปรับเปลี่ยนได้ตามบริบทของสำนักงานในแต่ละยุค (ผู้สมัครที่เหมาะสม / มาตรฐานการสรรหาที่เปลี่ยนแปลง)
  - แต่คุณสมบัติพื้นฐาน + ลักษณะต้องห้ามถูกกำหนดในพระราชบัญญัติแล้ว ([มาตรา 58](https://link.pdpalawbase.com/section/58.md) + [มาตรา 59](https://link.pdpalawbase.com/section/59.md))

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/section/57.md

============================================================
โนด: มาตรา 58
ลิงก์อ้างอิง: https://link.pdpalawbase.com/section/58.md

# มาตรา 58

## ตัวบท

> มาตรา 58 ผู้ที่จะได้รับการแต่งตั้งเป็นเลขาธิการต้องมีคุณสมบัติ ดังต่อไปนี้
>
> (1) มีสัญชาติไทย
>
> (2) อายุไม่ต่ำกว่าสามสิบห้าปีแต่ไม่เกินหกสิบปี
>
> (3) เป็นผู้มีความรู้ ความสามารถ และประสบการณ์ในด้านที่เกี่ยวกับภารกิจของสำนักงานและการบริหารจัดการ

## สรุป

มาตรานี้กำหนด **คุณสมบัติพื้นฐาน** ของผู้ที่จะแต่งตั้งเป็น**เลขาธิการ** ([มาตรา 57](https://link.pdpalawbase.com/section/57.md)): (1) **สัญชาติไทย**, (2) **อายุ 35-60 ปี**, (3) **ความรู้ + ความสามารถ + ประสบการณ์** ทั้งในด้านภารกิจของสำนักงาน (การคุ้มครองข้อมูลส่วนบุคคล) และด้านการบริหารจัดการ

## องค์ประกอบสำคัญ

- **(1) สัญชาติไทย:**
  - ต้องเป็น**คนไทยโดยสัญชาติ** — ตำแหน่งบริหารหน่วยงานของรัฐ
- **(2) อายุ 35-60 ปี:**
  - **ขั้นต่ำ 35 ปี** — เพื่อให้มีประสบการณ์เพียงพอ
  - **ไม่เกิน 60 ปี** ณ วันแต่งตั้ง — เกี่ยวข้องกับวาระ 4 ปีของเลขาธิการ ([มาตรา 60](https://link.pdpalawbase.com/section/60.md)) → อายุสูงสุดที่จะอยู่ในตำแหน่งครบวาระ = 64 ปี
- **(3) ความรู้/ความสามารถ/ประสบการณ์ — 2 ด้าน:**
  - **ภารกิจของสำนักงาน** — ความเชี่ยวชาญด้านเนื้อหางานคุ้มครองข้อมูลส่วนบุคคล
  - **การบริหารจัดการ** — ความสามารถในการบริหารองค์กรขนาดใหญ่

## มาตราที่อ้างอิง

- [มาตรา 57](https://link.pdpalawbase.com/section/57.md) — เลขาธิการ — ตำแหน่งที่อยู่ภายใต้คุณสมบัติของมาตรานี้

## หมายเหตุ

- **เปรียบเทียบกับลักษณะต้องห้าม:** [มาตรา 58](https://link.pdpalawbase.com/section/58.md) = คุณสมบัติเชิงบวก (ต้องมี); [มาตรา 59](https://link.pdpalawbase.com/section/59.md) = ลักษณะต้องห้าม (ต้องไม่มี) — ผู้สมัครต้องผ่านทั้ง 2 ด่าน
- **ไม่ได้กำหนดวุฒิการศึกษา:**
  - ไม่ระบุระดับปริญญา (ตรี/โท/เอก) — เปิดให้คณะกรรมการกำกับสำนักงานกำหนดในหลักเกณฑ์การสรรหาตาม [มาตรา 57](https://link.pdpalawbase.com/section/57.md) วรรคสอง
  - หลัก: "**ความรู้ ความสามารถ และประสบการณ์**" — เน้นที่เนื้อหา ไม่ใช่ใบปริญญา
- **เพดานอายุ 60 ปี — ผลในทางปฏิบัติ:**
  - ผู้มีอายุ 56-60 ปี ณ วันแต่งตั้ง → อยู่ครบวาระ 4 ปีอาจอายุเกิน 60 ปี (ถึง 64 ปี) — แต่ไม่เป็นปัญหาเพราะ 60 ปีคือเพดาน "ณ วันแต่งตั้ง" ไม่ใช่ "ระหว่างดำรงตำแหน่ง"
  - ผู้มีอายุเกิน 60 ปี → ไม่สามารถสมัครได้ แม้จะมีประสบการณ์มากก็ตาม
- **"ภารกิจของสำนักงาน" เป็นหลักการกว้าง:**
  - การคุ้มครองข้อมูลส่วนบุคคลในเชิงเทคนิค (ทั้งด้านกฎหมาย ระบบเทคโนโลยีสารสนเทศ และความมั่นคงปลอดภัยของข้อมูล)
  - การกำกับดูแลภาคเอกชน
  - การประสานความร่วมมือระหว่างประเทศเรื่องการส่งข้อมูลข้ามพรมแดน
  - **การบริหารจัดการ** เป็นด้านที่สอง — สะท้อนว่าตำแหน่งนี้ไม่ใช่นักวิชาการเฉย ๆ แต่ต้องเป็นผู้บริหารองค์กรได้
- **ไม่ห้ามถือสัญชาติคู่:** ตัวบทใช้คำว่า "**มีสัญชาติไทย**" — ไม่ได้ห้ามมีสัญชาติอื่นร่วมด้วย ต่างจากบางตำแหน่งของรัฐที่ห้ามถือสัญชาติอื่น

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/section/58.md

============================================================
โนด: มาตรา 59
ลิงก์อ้างอิง: https://link.pdpalawbase.com/section/59.md

# มาตรา 59

## ตัวบท

> มาตรา 59 ผู้มีลักษณะอย่างใดอย่างหนึ่งดังต่อไปนี้ ต้องห้ามมิให้เป็นเลขาธิการ
>
> (1) เป็นบุคคลล้มละลายหรือเคยเป็นบุคคลล้มละลายทุจริต
>
> (2) เป็นคนไร้ความสามารถหรือคนเสมือนไร้ความสามารถ
>
> (3) เคยต้องคำพิพากษาถึงที่สุดให้จำคุกไม่ว่าจะได้รับโทษจำคุกจริงหรือไม่ เว้นแต่เป็นโทษสำหรับความผิดที่ได้กระทำโดยประมาทหรือความผิดลหุโทษ
>
> (4) เป็นข้าราชการ พนักงาน หรือลูกจ้าง ของส่วนราชการหรือรัฐวิสาหกิจหรือหน่วยงานอื่นของรัฐหรือของราชการส่วนท้องถิ่น
>
> (5) เป็นหรือเคยเป็นข้าราชการการเมือง ผู้ดำรงตำแหน่งทางการเมือง สมาชิกสภาท้องถิ่น หรือผู้บริหารท้องถิ่น เว้นแต่จะได้พ้นจากตำแหน่งมาแล้วไม่น้อยกว่าหนึ่งปี
>
> (6) เป็นหรือเคยเป็นกรรมการหรือผู้ดำรงตำแหน่งอื่นในพรรคการเมืองหรือเจ้าหน้าที่ของพรรคการเมือง เว้นแต่จะได้พ้นจากตำแหน่งมาแล้วไม่น้อยกว่าหนึ่งปี
>
> (7) เคยถูกไล่ออก ปลดออก หรือให้ออกจากราชการ หรือออกจากงานจากหน่วยงานที่เคยปฏิบัติหน้าที่ เพราะทุจริตต่อหน้าที่หรือประพฤติชั่วอย่างร้ายแรง หรือเคยถูกถอดถอนจากตำแหน่ง
>
> (8) เคยถูกให้ออกเพราะไม่ผ่านการประเมินผลการปฏิบัติงานตาม[มาตรา 62](https://link.pdpalawbase.com/section/62.md) (4)
>
> (9) เป็นผู้มีส่วนได้เสียในกิจการที่เกี่ยวข้องกับสำนักงานไม่ว่าโดยทางตรงหรือทางอ้อม

## สรุป

มาตรานี้กำหนด **9 ลักษณะต้องห้าม** ของเลขาธิการ — ผู้สมัครต้อง**ไม่มี**ลักษณะใดเลย จึงจะมีสิทธิเข้ารับการแต่งตั้งตาม [มาตรา 57](https://link.pdpalawbase.com/section/57.md) ครอบคลุม: ความสามารถทางกฎหมาย (ล้มละลาย/ไร้ความสามารถ/เคยต้องโทษ), ความซ้อนตำแหน่ง (ข้าราชการประจำ/การเมือง/พรรคการเมือง), ประวัติด่างพร้อย (ถูกไล่ออก/ถูกถอดถอน/ไม่ผ่านประเมิน), และผลประโยชน์ทับซ้อน (มีส่วนได้เสียในกิจการที่เกี่ยวข้องกับสำนักงาน)

## องค์ประกอบสำคัญ

- **กลุ่ม A — ความสามารถทางกฎหมายและประวัติอาญา:**
  - **(1) ล้มละลาย:** เป็นบุคคลล้มละลาย**ในปัจจุบัน** หรือ**เคย**ล้มละลายทุจริต (ถ้าเคยล้มละลาย "ปกติ" ที่พ้นแล้วไม่ใช่ทุจริต ไม่ห้าม)
  - **(2) ไร้ความสามารถ/เสมือนไร้ความสามารถ:** บุคคลที่ศาลสั่งให้เป็นคนไร้ความสามารถหรือเสมือนไร้ความสามารถตามประมวลกฎหมายแพ่งและพาณิชย์
  - **(3) ต้องคำพิพากษาจำคุก:**
    - **คำพิพากษาถึงที่สุด** (ไม่ใช่ระหว่างอุทธรณ์/ฎีกา)
    - ห้ามแม้ไม่ได้รับโทษจริง (รอลงอาญา = ห้าม)
    - **ข้อยกเว้น:** ความผิดโดยประมาท + ความผิดลหุโทษ
- **กลุ่ม B — ความซ้อนตำแหน่ง:**
  - **(4) ข้าราชการ/พนักงาน/ลูกจ้างปัจจุบัน** ของรัฐ — ต้องลาออกจากตำแหน่งราชการก่อน (ดู [มาตรา 66](https://link.pdpalawbase.com/section/66.md) วรรคหนึ่ง สำหรับกลไกการยืมตัวชั่วคราวที่ต่างกัน)
  - **(5) นักการเมือง:** **เป็น** หรือ **เคยเป็น** (ภายใน 1 ปี) ข้าราชการการเมือง / สส / สว / สมาชิกสภาท้องถิ่น / ผู้บริหารท้องถิ่น
  - **(6) สมาชิก/เจ้าหน้าที่พรรคการเมือง:** **เป็น** หรือ **เคยเป็น** (ภายใน 1 ปี) — เพื่อรักษาความเป็นกลางทางการเมือง
- **กลุ่ม C — ประวัติด่างพร้อย:**
  - **(7) ถูกไล่ออก/ปลดออก/ถูกถอดถอน:** เพราะทุจริตต่อหน้าที่หรือประพฤติชั่วร้ายแรง — ใช้ได้ตลอดชีวิต (ไม่มีระยะเวลาฟื้นฟู)
  - **(8) ไม่ผ่านการประเมิน:** เคยถูกให้ออกตาม [มาตรา 62](https://link.pdpalawbase.com/section/62.md) (4) (ฐานเดียวกับเลขาธิการที่อยู่ในตำแหน่ง)
- **กลุ่ม D — ผลประโยชน์ทับซ้อน:**
  - **(9) ส่วนได้เสีย:** ในกิจการที่เกี่ยวข้องกับสำนักงาน — **ทางตรง** (เป็นเจ้าของกิจการที่อยู่ภายใต้การกำกับ) หรือ **ทางอ้อม** (มีคู่สมรส/บุตร/หุ้น)

## มาตราที่อ้างอิง

- [มาตรา 58](https://link.pdpalawbase.com/section/58.md) — คุณสมบัติเลขาธิการ — มาตรานี้คู่กัน (คุณสมบัติเชิงบวก vs ลักษณะต้องห้าม)
- [มาตรา 62](https://link.pdpalawbase.com/section/62.md) — การพ้นจากตำแหน่งของเลขาธิการ — (4) เป็นฐานของ ม.59 (8)

## หมายเหตุ

- **ความเชื่อมโยงกับ [มาตรา 58](https://link.pdpalawbase.com/section/58.md):** ผู้สมัครต้องผ่านทั้ง [มาตรา 58](https://link.pdpalawbase.com/section/58.md) (มี 3 คุณสมบัติเชิงบวก) **และไม่มี** 9 ลักษณะต้องห้ามใน [มาตรา 59](https://link.pdpalawbase.com/section/59.md) นี้
- **ความเชื่อมโยงกับ [มาตรา 62](https://link.pdpalawbase.com/section/62.md):** ลักษณะต้องห้ามใน [มาตรา 59](https://link.pdpalawbase.com/section/59.md) เป็นฐานให้พ้นจากตำแหน่งระหว่างดำรงตำแหน่งด้วย — [มาตรา 62](https://link.pdpalawbase.com/section/62.md) (3) ระบุว่าหากเลขาธิการที่ดำรงตำแหน่งอยู่ "ขาดคุณสมบัติตาม [มาตรา 58](https://link.pdpalawbase.com/section/58.md) หรือมีลักษณะต้องห้ามตาม [มาตรา 59](https://link.pdpalawbase.com/section/59.md)" ให้พ้นจากตำแหน่ง
- **(3) คำพิพากษาจำคุก — ขอบเขต:**
  - ครอบคลุม**ทุกฐานความผิดอาญา** ที่ต้องโทษจำคุก (ลักทรัพย์ ฉ้อโกง เมาแล้วขับที่ถึงโทษจำคุก ฯลฯ)
  - ข้อยกเว้น **"โดยประมาท"** เช่น ขับรถโดยประมาทเป็นเหตุให้ผู้อื่นถึงแก่ความตาย — ไม่ห้าม (เพราะไม่มีเจตนาทุจริต)
  - ข้อยกเว้น **"ลหุโทษ"** = โทษเล็กน้อย เช่น ส่งเสียงดังรบกวน ทิ้งขยะ — ไม่ห้าม
- **(4) vs (5):** (4) ห้าม**ปัจจุบัน**ของข้าราชการ — ผู้สมัครที่เคยเป็นข้าราชการประจำที่ลาออกแล้วไม่ห้าม; (5) ห้าม**ทั้งปัจจุบันและเคยเป็น 1 ปี**ของนักการเมือง — เข้มงวดกว่า เพราะการเมืองมีความเสี่ยงต่อความเป็นกลางมากกว่า
- **(6) ผู้สนับสนุนพรรค vs สมาชิกพรรค:** เน้นที่ "**กรรมการหรือผู้ดำรงตำแหน่งอื่น**" + "**เจ้าหน้าที่ของพรรคการเมือง**" — ดังนั้น สมาชิกพรรคทั่วไปที่ไม่ได้ดำรงตำแหน่งใดในพรรค **ไม่ต้องห้าม** (ตัวบทแคบกว่าที่อาจคิด)
- **(7) "ทุจริตต่อหน้าที่" vs "ประพฤติชั่วร้ายแรง":** 2 ฐานต่างกัน
  - **ทุจริตต่อหน้าที่** = ใช้อำนาจหน้าที่หาประโยชน์ส่วนตัว
  - **ประพฤติชั่วร้ายแรง** = พฤติกรรมที่กระทบต่อภาพลักษณ์ของหน่วยงาน เช่น ล่วงละเมิดทางเพศ ทำร้ายผู้อื่น
- **(9) ส่วนได้เสีย — ขอบเขตกว้าง:**
  - "**กิจการที่เกี่ยวข้องกับสำนักงาน**" หมายถึงกิจการที่อยู่ภายใต้การกำกับของ พรบ. คุ้มครองข้อมูลส่วนบุคคล (ผู้ควบคุมข้อมูล/ผู้ประมวลผลข้อมูล)
  - **ทางตรง** = เป็นกรรมการ/ผู้ถือหุ้น/ที่ปรึกษาของบริษัทที่อยู่ภายใต้การกำกับ
  - **ทางอ้อม** = ครอบครัวใกล้ชิด (บิดา-มารดา-คู่สมรส-บุตร) มีส่วนได้เสียในลักษณะข้างต้น
  - แทบทุกบริษัทขนาดใหญ่ในไทยเป็นผู้ควบคุมข้อมูลตาม พรบ. — เลขาธิการที่จะรับตำแหน่งจึงต้อง**สละผลประโยชน์** ในธุรกิจที่ตนถือหุ้นใหญ่ก่อน

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/section/59.md

============================================================
โนด: มาตรา 60
ลิงก์อ้างอิง: https://link.pdpalawbase.com/section/60.md

# มาตรา 60

## ตัวบท

> มาตรา 60 เลขาธิการมีวาระการดำรงตำแหน่งคราวละสี่ปี และอาจได้รับแต่งตั้งอีกได้ แต่จะดำรงตำแหน่งเกินสองวาระไม่ได้
>
> ก่อนครบกำหนดตามวาระการดำรงตำแหน่งของเลขาธิการเป็นเวลาไม่น้อยกว่าสามสิบวันแต่ไม่เกินหกสิบวัน หรือภายในสามสิบวันนับแต่วันที่เลขาธิการพ้นจากตำแหน่งก่อนครบวาระ ให้คณะกรรมการกำกับสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลแต่งตั้งคณะกรรมการสรรหาเพื่อสรรหาเลขาธิการคนใหม่ ทั้งนี้ ให้คณะกรรมการสรรหาเสนอรายชื่อบุคคลที่เหมาะสมไม่เกินสามคนต่อคณะกรรมการกำกับสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล

## สรุป

มาตรานี้กำหนด **วาระเลขาธิการ 4 ปี** + **ห้ามเกิน 2 วาระ** + กลไกการสรรหาคนใหม่: **คณะกรรมการกำกับสำนักงาน** ([มาตรา 48](https://link.pdpalawbase.com/section/48.md)) ต้องแต่งตั้ง**คณะกรรมการสรรหา** ก่อนครบวาระ 30-60 วัน หรือ ภายใน 30 วันหลังพ้นก่อนวาระ → คณะกรรมการสรรหาเสนอ **รายชื่อไม่เกิน 3 คน** ต่อคณะกรรมการกำกับสำนักงานเพื่อเลือก

## องค์ประกอบสำคัญ

- **วาระ 4 ปี (วรรค 1):** ดำรงตำแหน่งคราวละ 4 ปี
- **จำกัด 2 วาระ:** อาจได้รับแต่งตั้งอีกได้ — แต่ห้ามเกิน 2 วาระ (สูงสุด 8 ปี)
- **กลไกการสรรหาคนใหม่ (วรรค 2):**
  - **กรอบเวลา:**
    - ก่อนครบวาระ: 30-60 วัน → ตั้งคณะกรรมการสรรหา
    - พ้นก่อนวาระ: ภายใน 30 วัน → ตั้งคณะกรรมการสรรหา
  - **ผู้แต่งตั้งคณะกรรมการสรรหา:** คณะกรรมการกำกับสำนักงาน ([มาตรา 48](https://link.pdpalawbase.com/section/48.md)) — สอดคล้องกับ [มาตรา 54](https://link.pdpalawbase.com/section/54.md) (5)
  - **ผลลัพธ์ของคณะกรรมการสรรหา:** เสนอรายชื่อ**ไม่เกิน 3 คน** ต่อคณะกรรมการกำกับสำนักงาน

## มาตราที่อ้างอิง

- [มาตรา 48](https://link.pdpalawbase.com/section/48.md) — คณะกรรมการกำกับสำนักงาน — ผู้แต่งตั้งคณะกรรมการสรรหาเลขาธิการ
- [มาตรา 57](https://link.pdpalawbase.com/section/57.md) — เลขาธิการ — ตำแหน่งที่อยู่ภายใต้วาระตามมาตรานี้

## หมายเหตุ

- **เปรียบเทียบกระบวนการสรรหา 2 องค์กร:**
  - **กรรมการกำกับสำนักงานผู้ทรงคุณวุฒิ ([มาตรา 50](https://link.pdpalawbase.com/section/50.md)):** คณะกรรมการสรรหาเสนอรายชื่อ**เท่ากับจำนวนที่จะแต่งตั้ง** — ผู้แต่งตั้งไม่มีดุลพินิจปฏิเสธรายบุคคล
  - **เลขาธิการ (มาตรานี้):** คณะกรรมการสรรหาเสนอรายชื่อ**ไม่เกิน 3 คน** — คณะกรรมการกำกับสำนักงานเลือก**1 คนจาก 3 คน** (มีดุลพินิจ)
  - เหตุผล: เลขาธิการเป็นตำแหน่งบริหารคนเดียวที่ขึ้นตรงต่อคณะกรรมการกำกับ ([มาตรา 63](https://link.pdpalawbase.com/section/63.md) วรรคท้าย) → ผู้แต่งตั้งควรเลือกได้
- **2 วาระ = สูงสุด 8 ปี:** หลังครบ 8 ปี ผู้นั้นจะไม่สามารถดำรงตำแหน่งเลขาธิการได้อีก แต่ไม่ห้ามดำรงตำแหน่งอื่น (เช่น เป็นที่ปรึกษาคณะกรรมการกำกับสำนักงานตาม [มาตรา 55](https://link.pdpalawbase.com/section/55.md))
- **กรอบเวลา 30-60 วัน "ก่อนครบวาระ":**
  - **ขั้นต่ำ 30 วัน:** ป้องกันการรีบสรรหาในวินาทีสุดท้าย (ที่อาจไม่รอบคอบ)
  - **ขั้นสูง 60 วัน:** ป้องกันการสรรหาเร็วเกินไป (ที่อาจเกิด**ลดอำนาจ**ของเลขาธิการคนปัจจุบันก่อนหมดวาระ)
- **กรณีเลขาธิการพ้นก่อนวาระ — ใครรักษาการ?:**
  - [มาตรา 60](https://link.pdpalawbase.com/section/60.md) ไม่ได้ระบุว่าใครรักษาการระหว่างที่สรรหาเลขาธิการคนใหม่ (ตรงข้ามกับ [มาตรา 51](https://link.pdpalawbase.com/section/51.md) ที่กรรมการกำกับสำนักงานครบวาระอยู่รักษาการต่อ และ [มาตรา 52](https://link.pdpalawbase.com/section/52.md) ที่ปลัดกระทรวงดิจิทัลฯ ทำหน้าที่ประธานชั่วคราว)
  - ในทางปฏิบัติ คณะกรรมการกำกับสำนักงานน่าจะอาศัย [มาตรา 63](https://link.pdpalawbase.com/section/63.md) (4) ที่ให้เลขาธิการแต่งตั้ง**รองเลขาธิการ** — รองเลขาธิการอาจรักษาการ (โดยอนุโลม) แต่ตัวบทไม่ชัดเจน
- **"ไม่เกิน 3 คน":** ตัวบทใช้ "**ไม่เกิน**" ดังนั้น คณะกรรมการสรรหาอาจเสนอ 1, 2 หรือ 3 คน — กรณีที่มีผู้สมัครเหมาะสมเพียง 1 คน ก็เสนอ 1 คนได้ (ไม่ต้องเติมให้ครบ 3)

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/section/60.md

============================================================
โนด: มาตรา 61
ลิงก์อ้างอิง: https://link.pdpalawbase.com/section/61.md

# มาตรา 61

## ตัวบท

> มาตรา 61 ในแต่ละปีให้มีการประเมินผลการปฏิบัติงานของเลขาธิการ ทั้งนี้ ให้เป็นไปตามระยะเวลาและวิธีการที่คณะกรรมการกำกับสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลกำหนด

## สรุป

มาตรานี้กำหนดให้มี **การประเมินผลการปฏิบัติงานของเลขาธิการเป็นรายปี** — โดยระยะเวลาและวิธีการให้เป็นไปตามที่ **คณะกรรมการกำกับสำนักงาน** ([มาตรา 48](https://link.pdpalawbase.com/section/48.md)) กำหนด

## องค์ประกอบสำคัญ

- **ความถี่:** **ทุกปี** ("ในแต่ละปี")
- **ผู้ถูกประเมิน:** เลขาธิการ
- **ผู้กำหนดระยะเวลาและวิธีการ:** คณะกรรมการกำกับสำนักงาน ([มาตรา 48](https://link.pdpalawbase.com/section/48.md)) — สอดคล้องกับ [มาตรา 54](https://link.pdpalawbase.com/section/54.md) (7)
- **ผลของการประเมิน:** ตัวบทไม่ระบุไว้โดยตรง — แต่เชื่อมกับ [มาตรา 62](https://link.pdpalawbase.com/section/62.md) (4) ที่ให้คณะกรรมการกำกับสำนักงาน**ให้ออก**ได้ถ้าไม่ผ่านการประเมิน

## มาตราที่อ้างอิง

- [มาตรา 48](https://link.pdpalawbase.com/section/48.md) — คณะกรรมการกำกับสำนักงาน — ผู้กำหนดระยะเวลาและวิธีการประเมิน
- [มาตรา 54](https://link.pdpalawbase.com/section/54.md) — หน้าที่และอำนาจของคณะกรรมการกำกับสำนักงาน — (7) ประเมินผลเลขาธิการ (มาตรานี้เสริม)
- [มาตรา 62](https://link.pdpalawbase.com/section/62.md) — การพ้นจากตำแหน่งของเลขาธิการ — (4) ผลของการไม่ผ่านการประเมิน

## หมายเหตุ

- **การประเมินรายปี vs การประเมินตอนพ้นวาระ:**
  - [มาตรา 61](https://link.pdpalawbase.com/section/61.md) = ประเมิน**ทุกปี**ระหว่างดำรงตำแหน่ง
  - คณะกรรมการกำกับสำนักงานอาจใช้ผลการประเมินรายปีเป็นฐานในการพิจารณาแต่งตั้งใหม่ตอนครบวาระ ([มาตรา 60](https://link.pdpalawbase.com/section/60.md)) หรือการให้ออกก่อนวาระ ([มาตรา 62](https://link.pdpalawbase.com/section/62.md) (4))
- **กลไกการประเมินที่อาจใช้:** ตัวบทไม่กำหนดวิธีการเฉพาะ — คณะกรรมการกำกับสำนักงานอาจใช้:
  - **ตัวชี้วัดผลสัมฤทธิ์** ตามแผนการดำเนินงานที่ [มาตรา 54](https://link.pdpalawbase.com/section/54.md) (3) อนุมัติ
  - **การประเมิน 360 องศา** จากผู้ใต้บังคับบัญชา/เพื่อนร่วมงาน/ผู้ถูกกำกับ
  - **การประเมินโดยบุคคลภายนอก** (เปรียบเทียบกับ [มาตรา 70](https://link.pdpalawbase.com/section/70.md) วรรคสาม ที่ให้บุคคลภายนอกประเมินผลการดำเนินงานของสำนักงาน)
- **ความเสี่ยงของการประเมินที่ไม่ชัดเจน:**
  - ตัวบทเปิดให้คณะกรรมการกำกับสำนักงานกำหนดวิธีการเอง → เปิดช่องให้ใช้การประเมินเป็น**เครื่องมือทางการเมือง**ในการให้เลขาธิการออกก่อนวาระตาม [มาตรา 62](https://link.pdpalawbase.com/section/62.md) (4)
  - การออกระเบียบประเมินที่**โปร่งใส โพ้นกาล** + **ใช้กับเลขาธิการทุกคนเหมือนกัน** จะลดความเสี่ยงนี้
- **เลขาธิการเป็นตำแหน่งเดียวที่ต้องประเมินทุกปีตามมาตราเฉพาะ:** กรรมการกำกับสำนักงานผู้ทรงคุณวุฒิที่มีวาระ 4 ปี ([มาตรา 51](https://link.pdpalawbase.com/section/51.md)) ไม่มีกลไกประเมินรายปีในตัวบทเฉพาะ — สะท้อนว่าเลขาธิการเป็น**ตำแหน่งบริหารปฏิบัติการ**ที่ต้องการการกำกับใกล้ชิดกว่า

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/section/61.md

============================================================
โนด: มาตรา 62
ลิงก์อ้างอิง: https://link.pdpalawbase.com/section/62.md

# มาตรา 62

## ตัวบท

> มาตรา 62 นอกจากการพ้นจากตำแหน่งตามวาระตาม[มาตรา 60](https://link.pdpalawbase.com/section/60.md) เลขาธิการพ้นจากตำแหน่ง เมื่อ
>
> (1) ตาย
>
> (2) ลาออก
>
> (3) ขาดคุณสมบัติตาม[มาตรา 58](https://link.pdpalawbase.com/section/58.md) หรือมีลักษณะต้องห้ามตาม[มาตรา 59](https://link.pdpalawbase.com/section/59.md)
>
> (4) คณะกรรมการกำกับสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลให้ออก เพราะไม่ผ่านการประเมินผลการปฏิบัติงาน มีความประพฤติเสื่อมเสีย บกพร่องหรือไม่สุจริตต่อหน้าที่ หรือหย่อนความสามารถ

## สรุป

มาตรานี้กำหนด **4 เหตุที่ทำให้เลขาธิการพ้นจากตำแหน่ง** (เพิ่มเติมจากการพ้นตามวาระตาม [มาตรา 60](https://link.pdpalawbase.com/section/60.md)): (1) **ตาย**; (2) **ลาออก**; (3) **ขาดคุณสมบัติหรือมีลักษณะต้องห้าม** ตาม [มาตรา 58](https://link.pdpalawbase.com/section/58.md) / [มาตรา 59](https://link.pdpalawbase.com/section/59.md); (4) **ถูกคณะกรรมการกำกับสำนักงานให้ออก** เพราะไม่ผ่านประเมิน / ประพฤติเสื่อมเสีย / บกพร่อง-ไม่สุจริต / หย่อนความสามารถ

## องค์ประกอบสำคัญ

- **(1) ตาย:** อัตโนมัติ — ไม่ต้องมีคำสั่งใด
- **(2) ลาออก:** การลาออกของเลขาธิการ — ตัวบทไม่ระบุว่าต้องลาออกต่อใคร แต่ในทางปฏิบัติ ลาออกต่อคณะกรรมการกำกับสำนักงาน ([มาตรา 48](https://link.pdpalawbase.com/section/48.md)) ในฐานะผู้แต่งตั้ง
- **(3) ขาดคุณสมบัติ/มีลักษณะต้องห้าม:**
  - ขาดคุณสมบัติตาม [มาตรา 58](https://link.pdpalawbase.com/section/58.md) — สัญชาติไทย / อายุ 35-60 / ความรู้-ความสามารถ-ประสบการณ์
  - มีลักษณะต้องห้ามตาม [มาตรา 59](https://link.pdpalawbase.com/section/59.md) (9 ข้อ) — ล้มละลาย ไร้ความสามารถ ต้องโทษจำคุก ฯลฯ
  - **ระหว่างดำรงตำแหน่ง** ถ้าเกิดสถานการณ์ใดสถานการณ์หนึ่ง → พ้นทันที (เช่น ถูกศาลพิพากษาจำคุกถึงที่สุด → พ้นจากตำแหน่งโดยอัตโนมัติ)
- **(4) ถูกให้ออก:** ผู้สั่ง = คณะกรรมการกำกับสำนักงาน — มี 4 ฐาน:
  - **ไม่ผ่านการประเมิน** ([มาตรา 61](https://link.pdpalawbase.com/section/61.md))
  - **ประพฤติเสื่อมเสีย** — พฤติกรรมส่วนตัวที่กระทบต่อภาพลักษณ์
  - **บกพร่องหรือไม่สุจริตต่อหน้าที่** — ความบกพร่องในการทำหน้าที่ + ไม่ซื่อสัตย์
  - **หย่อนความสามารถ** — ไม่สามารถปฏิบัติหน้าที่ได้ดีพอ (อาจจากเจ็บป่วยเรื้อรัง เก่าแก่ ฯลฯ)

## มาตราที่อ้างอิง

- [มาตรา 58](https://link.pdpalawbase.com/section/58.md) — คุณสมบัติเลขาธิการ — (3) อ้างถึง
- [มาตรา 59](https://link.pdpalawbase.com/section/59.md) — ลักษณะต้องห้ามเลขาธิการ — (3) อ้างถึง
- [มาตรา 60](https://link.pdpalawbase.com/section/60.md) — วาระเลขาธิการ — มาตรานี้เริ่มด้วย "นอกจากการพ้นตามวาระตาม [มาตรา 60](https://link.pdpalawbase.com/section/60.md)"
- [มาตรา 61](https://link.pdpalawbase.com/section/61.md) — การประเมินผล — (4) ใช้เป็นฐาน

## หมายเหตุ

- **โครงสร้างของเส้นทางการพ้น 5 เส้นทาง (รวม [มาตรา 60](https://link.pdpalawbase.com/section/60.md)):**
  1. **ครบวาระ** ([มาตรา 60](https://link.pdpalawbase.com/section/60.md) วรรค 1) — เกิดขึ้นเองตามวาระ
  2. **ตาย** ([มาตรา 62](https://link.pdpalawbase.com/section/62.md) (1)) — เกิดขึ้นเองตามข้อเท็จจริง
  3. **ลาออก** ((2)) — ตามความสมัครใจของเลขาธิการ
  4. **ขาดคุณสมบัติ/มีลักษณะต้องห้าม** ((3)) — เกิดขึ้นเองเมื่อเข้าเงื่อนไข
  5. **ถูกให้ออก** ((4)) — ขึ้นกับดุลพินิจของคณะกรรมการกำกับสำนักงาน
- **(4) "ให้ออก" — กลไกป้องกันการใช้อำนาจในทางที่ผิด:**
  - ตัวบทไม่ระบุ**ขั้นตอน**ของการให้ออก — แต่เป็น**คำสั่งทางปกครอง** จึงต้อง:
    - ให้โอกาสเลขาธิการชี้แจงตามหลักความเป็นธรรมในกระบวนการพิจารณา
    - มีเหตุผลรองรับ
    - บันทึกในมติที่ประชุมคณะกรรมการกำกับสำนักงาน
  - เลขาธิการอาจอุทธรณ์คำสั่งของคณะกรรมการกำกับสำนักงานต่อ**ศาลปกครอง**ได้
- **(4) ผลถาวร:** [มาตรา 59](https://link.pdpalawbase.com/section/59.md) (8) ระบุว่าผู้ที่เคยถูกให้ออกตาม [มาตรา 62](https://link.pdpalawbase.com/section/62.md) (4) (เพราะไม่ผ่านการประเมิน) ถูกห้ามเป็นเลขาธิการในอนาคต — เป็นโทษเพิ่มเติมที่ติดตัว
- **(3) "ขาดคุณสมบัติ" vs "ลักษณะต้องห้าม":**
  - **ขาดคุณสมบัติ** = สิ่งที่**ต้องมี**กลับไม่มี (เช่น สัญชาติไทย — กรณีที่สละสัญชาติไทยระหว่างดำรงตำแหน่ง)
  - **ลักษณะต้องห้าม** = สิ่งที่**ต้องไม่มี**กลับมี (เช่น ถูกศาลสั่งให้เป็นคนไร้ความสามารถ ระหว่างดำรงตำแหน่ง)
- **อายุ 60 ปี — ไม่ทำให้พ้นตำแหน่ง:**
  - [มาตรา 58](https://link.pdpalawbase.com/section/58.md) (2) กำหนดอายุ "**ไม่เกิน 60 ปี**" สำหรับ**ผู้ที่จะได้รับการแต่งตั้ง** — ไม่ใช่ผู้ที่ดำรงตำแหน่งอยู่
  - ดังนั้น เลขาธิการที่อายุ 56-60 ปี ณ วันแต่งตั้ง อาจดำรงตำแหน่งจนถึงอายุ 64 ปี (ครบวาระ 4 ปี) → ไม่เป็นการขาดคุณสมบัติ

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/section/62.md

============================================================
โนด: มาตรา 63
ลิงก์อ้างอิง: https://link.pdpalawbase.com/section/63.md

# มาตรา 63

## ตัวบท

> มาตรา 63 ให้เลขาธิการมีหน้าที่และอำนาจ ดังต่อไปนี้
>
> (1) บริหารงานของสำนักงานให้เกิดผลสัมฤทธิ์ตามภารกิจของสำนักงาน และตามนโยบายและแผนระดับชาติ แผนยุทธศาสตร์ นโยบายของคณะรัฐมนตรี คณะกรรมการ และคณะกรรมการกำกับสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล และระเบียบ ข้อบังคับหรือมติของคณะกรรมการกำกับสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล
>
> (2) วางระเบียบเกี่ยวกับการดำเนินงานของสำนักงานโดยไม่ขัดหรือแย้งกับกฎหมาย มติของคณะรัฐมนตรี และระเบียบ ข้อบังคับ ข้อกำหนด นโยบาย มติ หรือประกาศที่คณะกรรมการกำกับสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลกำหนด
>
> (3) เป็นผู้บังคับบัญชาพนักงานและลูกจ้างของสำนักงาน และประเมินผลการปฏิบัติงานของพนักงานและลูกจ้างของสำนักงานตามระเบียบหรือข้อบังคับของสำนักงาน
>
> (4) แต่งตั้งรองเลขาธิการและผู้ช่วยเลขาธิการโดยความเห็นชอบของคณะกรรมการกำกับสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลเพื่อเป็นผู้ช่วยปฏิบัติงานของเลขาธิการตามที่เลขาธิการมอบหมาย
>
> (5) บรรจุ แต่งตั้ง เลื่อน ลด ตัดเงินเดือนหรือค่าจ้าง ลงโทษทางวินัยพนักงาน และลูกจ้างของสำนักงาน ตลอดจนให้พนักงานและลูกจ้างของสำนักงานออกจากตำแหน่ง ทั้งนี้ ตามระเบียบหรือข้อบังคับที่คณะกรรมการกำกับสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลกำหนด
>
> (6) ปฏิบัติการอื่นใดตามระเบียบ ข้อบังคับ ข้อกำหนด นโยบาย มติ หรือประกาศของคณะกรรมการกำกับสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล
>
> ให้เลขาธิการรับผิดชอบในการบริหารงานของสำนักงานขึ้นตรงต่อคณะกรรมการกำกับสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล

## สรุป

มาตรานี้กำหนด **6 หน้าที่และอำนาจของเลขาธิการ** + ระบุว่าเลขาธิการ**รับผิดชอบขึ้นตรงต่อคณะกรรมการกำกับสำนักงาน** ([มาตรา 48](https://link.pdpalawbase.com/section/48.md)) — ครอบคลุมงานบริหาร, การวางระเบียบภายใน, การบังคับบัญชาผู้ใต้บังคับ, การแต่งตั้งรองเลขาธิการ, การบรรจุ-เลื่อน-ลงโทษพนักงาน, และงานอื่นตามที่คณะกรรมการกำกับสำนักงานมอบหมาย

## องค์ประกอบสำคัญ

- **(1) บริหารงานให้เกิดผลสัมฤทธิ์:**
  - ตาม**ภารกิจของสำนักงาน** ([มาตรา 44](https://link.pdpalawbase.com/section/44.md))
  - ตาม**นโยบายและแผนระดับชาติ + แผนยุทธศาสตร์**
  - ตาม**นโยบายของคณะรัฐมนตรี + คณะกรรมการคุ้มครองข้อมูลส่วนบุคคล** ([มาตรา 8](https://link.pdpalawbase.com/section/8.md)) **+ คณะกรรมการกำกับสำนักงาน** ([มาตรา 48](https://link.pdpalawbase.com/section/48.md))
- **(2) วางระเบียบการดำเนินงานภายใน:**
  - **ขอบเขต:** ไม่ขัดหรือแย้งกับกฎหมาย / มติ ครม. / ระเบียบและข้อบังคับของคณะกรรมการกำกับสำนักงาน
  - หมายเหตุ: ระเบียบของเลขาธิการ ≠ ข้อบังคับของคณะกรรมการกำกับสำนักงาน — ระเบียบของเลขาธิการเป็น**ระเบียบภายใน** (เช่น คู่มือปฏิบัติงาน) ที่อยู่ใต้กรอบของข้อบังคับ
- **(3) ผู้บังคับบัญชาและประเมินพนักงาน-ลูกจ้าง:**
  - เลขาธิการเป็น**ผู้บังคับบัญชา**ของพนักงานและลูกจ้างทั้งหมดของสำนักงาน
  - มีอำนาจ**ประเมินผลการปฏิบัติงาน**ของผู้ใต้บังคับบัญชา (สอดคล้องกับ (5) ที่ให้อำนาจลงโทษ)
- **(4) แต่งตั้งรองเลขาธิการและผู้ช่วยเลขาธิการ:**
  - **ผู้แต่งตั้ง:** เลขาธิการ
  - **ต้องได้รับความเห็นชอบ**จากคณะกรรมการกำกับสำนักงาน — กลไกถ่วงดุล (เลขาธิการเลือก แต่คณะกรรมการกำกับฯ ตรวจสอบ)
  - บทบาท: ช่วยปฏิบัติงานตามที่เลขาธิการมอบหมาย
- **(5) บริหารงานบุคคล (ครอบจักรวาล):**
  - **บรรจุ-แต่งตั้ง-เลื่อน-ลด-ตัดเงินเดือน/ค่าจ้าง-ลงโทษทางวินัย-ให้ออกจากตำแหน่ง**
  - ตามระเบียบ/ข้อบังคับที่คณะกรรมการกำกับสำนักงานกำหนด ([มาตรา 54](https://link.pdpalawbase.com/section/54.md) (2))
- **(6) ปฏิบัติการอื่น:** ตามระเบียบ ข้อบังคับ ข้อกำหนด นโยบาย มติ หรือประกาศของคณะกรรมการกำกับสำนักงาน
- **เส้นรับผิดชอบ (วรรคท้าย):** เลขาธิการรับผิดชอบ**ขึ้นตรงต่อคณะกรรมการกำกับสำนักงาน** — ไม่ขึ้นตรงต่อคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล ([มาตรา 8](https://link.pdpalawbase.com/section/8.md)) แม้ว่าเลขาธิการจะเป็นเลขานุการของคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลตาม [มาตรา 12](https://link.pdpalawbase.com/section/12.md)

## มาตราที่อ้างอิง

- [มาตรา 43](https://link.pdpalawbase.com/section/43.md) — สำนักงาน — องค์กรที่เลขาธิการบริหาร
- [มาตรา 48](https://link.pdpalawbase.com/section/48.md) — คณะกรรมการกำกับสำนักงาน — ผู้บังคับบัญชาของเลขาธิการ
- [มาตรา 54](https://link.pdpalawbase.com/section/54.md) — หน้าที่และอำนาจของคณะกรรมการกำกับสำนักงาน — กำหนดข้อบังคับที่กรอบหน้าที่ของเลขาธิการ

## หมายเหตุ

- **เปรียบเทียบบทบาท: เลขาธิการ vs คณะกรรมการกำกับสำนักงาน:**
  - **คณะกรรมการกำกับสำนักงาน** ([มาตรา 54](https://link.pdpalawbase.com/section/54.md)): **กำหนด**นโยบาย/อนุมัติงบประมาณ/ออกข้อบังคับ — ระดับ**ยุทธศาสตร์**
  - **เลขาธิการ** (มาตรานี้): **บริหาร**ตามนโยบาย/วางระเบียบภายใน/บังคับบัญชาพนักงาน — ระดับ**ปฏิบัติการ**
- **(2) "ระเบียบของเลขาธิการ" — ขอบเขตที่จำกัด:**
  - ไม่ใช่ระเบียบที่บังคับใช้กับเอกชนภายนอก (อันนั้นเป็นอำนาจของคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล)
  - ไม่ใช่ข้อบังคับสำคัญ (อันนั้นเป็นอำนาจของคณะกรรมการกำกับสำนักงานตาม [มาตรา 54](https://link.pdpalawbase.com/section/54.md) (2))
  - เป็นเพียง**ระเบียบภายในเชิงปฏิบัติ** (เช่น ขั้นตอนการเบิกจ่าย คู่มือการประชุม รหัสจริยธรรมพนักงาน)
- **(4) เปรียบเทียบกับการแต่งตั้งคณะอนุกรรมการ:**
  - **รองเลขาธิการ/ผู้ช่วยเลขาธิการ** (มาตรานี้): เลขาธิการแต่งตั้ง + คณะกรรมการกำกับสำนักงานเห็นชอบ
  - **คณะอนุกรรมการ** ([มาตรา 55](https://link.pdpalawbase.com/section/55.md)): คณะกรรมการกำกับสำนักงานแต่งตั้งโดยตรง
  - ความแตกต่าง: รองเลขาธิการเป็น**ผู้ช่วยของเลขาธิการ**ในการบริหารปฏิบัติการ; คณะอนุกรรมการเป็น**ผู้ช่วยของคณะกรรมการกำกับ**ในการกำกับเชิงนโยบาย
- **(5) อำนาจลงโทษทางวินัย:**
  - คำสั่งของเลขาธิการเป็น**คำสั่งทางปกครอง** — พนักงานที่ถูกลงโทษอาจอุทธรณ์ต่อคณะกรรมการกำกับสำนักงาน ตาม [มาตรา 54](https://link.pdpalawbase.com/section/54.md) (6)
- **วรรคท้าย "ขึ้นตรงต่อคณะกรรมการกำกับสำนักงาน":**
  - เลขาธิการต้อง**รายงาน**ต่อคณะกรรมการกำกับสำนักงาน (ไม่ใช่ต่อรัฐมนตรีหรือคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล)
  - หลักการ — สำนักงานเป็นนิติบุคคลแยกต่างหากจากกระทรวง ([มาตรา 43](https://link.pdpalawbase.com/section/43.md) วรรคสาม) — เลขาธิการจึงไม่ขึ้นตรงต่อกระทรวงดิจิทัลเพื่อเศรษฐกิจและสังคม

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/section/63.md

============================================================
โนด: มาตรา 64
ลิงก์อ้างอิง: https://link.pdpalawbase.com/section/64.md

# มาตรา 64

## ตัวบท

> มาตรา 64 ในกิจการของสำนักงานที่เกี่ยวกับบุคคลภายนอก ให้เลขาธิการเป็นผู้แทนของสำนักงาน เพื่อการนี้ เลขาธิการจะมอบอำนาจให้บุคคลใดปฏิบัติงานเฉพาะอย่างแทนก็ได้ แต่ต้องเป็นไปตามข้อบังคับที่คณะกรรมการกำกับสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลกำหนด

## สรุป

มาตรานี้กำหนดให้ **เลขาธิการเป็นผู้แทนของสำนักงาน** ([มาตรา 43](https://link.pdpalawbase.com/section/43.md)) ในกิจการที่เกี่ยวกับบุคคลภายนอก — เลขาธิการอาจ**มอบอำนาจ**ให้บุคคลอื่นปฏิบัติงานเฉพาะอย่างแทนได้ แต่ต้องเป็นไปตาม**ข้อบังคับ**ที่คณะกรรมการกำกับสำนักงาน ([มาตรา 48](https://link.pdpalawbase.com/section/48.md)) กำหนด

## องค์ประกอบสำคัญ

- **เลขาธิการ = ผู้แทนของสำนักงาน:**
  - "**กิจการที่เกี่ยวกับบุคคลภายนอก**" — การลงนามสัญญา / การทำนิติกรรม / การฟ้องคดี / ตอบโต้ในคดี
  - สำนักงานเป็นนิติบุคคล ([มาตรา 43](https://link.pdpalawbase.com/section/43.md) วรรคสาม) → ต้องมีผู้แทนทำการแทน — เลขาธิการเป็นผู้แทนนั้น
- **อำนาจมอบหมาย:**
  - เลขาธิการ**อาจมอบอำนาจ**ให้บุคคลอื่นปฏิบัติงาน**เฉพาะอย่าง**แทนได้
  - การมอบอำนาจต้อง**เป็นไปตามข้อบังคับ**ของคณะกรรมการกำกับสำนักงาน
  - "**เฉพาะอย่าง**" → ไม่ใช่การมอบอำนาจทั่วไป — ต้องระบุเรื่องเฉพาะ

## มาตราที่อ้างอิง

- [มาตรา 43](https://link.pdpalawbase.com/section/43.md) — สำนักงาน — นิติบุคคลที่เลขาธิการเป็นผู้แทน
- [มาตรา 48](https://link.pdpalawbase.com/section/48.md) — คณะกรรมการกำกับสำนักงาน — ผู้กำหนดข้อบังคับการมอบอำนาจ
- [มาตรา 54](https://link.pdpalawbase.com/section/54.md) — หน้าที่และอำนาจของคณะกรรมการกำกับสำนักงาน — วรรคท้ายระบุว่าข้อบังคับที่จำกัดอำนาจเลขาธิการในการทำนิติกรรมกับบุคคลภายนอกต้องประกาศในราชกิจจานุเบกษา

## หมายเหตุ

- **เลขาธิการเป็นผู้แทนตามกฎหมาย — ไม่ต้องมีหนังสือมอบอำนาจ:**
  - เนื่องจากตัวบทกำหนดให้เลขาธิการเป็นผู้แทนของสำนักงานโดยตรง — ในการทำนิติกรรมกับบุคคลภายนอก เลขาธิการลงนามแทนสำนักงานได้โดยไม่ต้องมีหนังสือมอบอำนาจจากใคร
  - คล้ายกับกรรมการผู้จัดการในบริษัทจำกัด (ตามข้อบังคับบริษัท)
- **ข้อจำกัดของอำนาจเลขาธิการ — ตามข้อบังคับ:**
  - คณะกรรมการกำกับสำนักงานอาจ**จำกัดอำนาจ**เลขาธิการในการทำนิติกรรมประเภทใดประเภทหนึ่ง (เช่น ห้ามทำสัญญาเกินวงเงินที่กำหนดโดยไม่ผ่านอนุมัติคณะกรรมการกำกับ)
  - ตาม [มาตรา 54](https://link.pdpalawbase.com/section/54.md) วรรคท้าย — ข้อจำกัดเหล่านี้ต้อง**ประกาศในราชกิจจานุเบกษา** เพื่อให้บุคคลภายนอกตรวจสอบได้
- **การมอบอำนาจ — ใครเป็นผู้รับมอบ?:**
  - ตัวบทใช้ "**บุคคลใด**" — ไม่ได้จำกัดไว้ที่พนักงานของสำนักงาน — ในทางปฏิบัติทั่วไปมอบให้รองเลขาธิการ ([มาตรา 63](https://link.pdpalawbase.com/section/63.md) (4)) หรือผู้อำนวยการกอง
  - การมอบให้บุคคลภายนอกอาจทำได้ในกรณีพิเศษ (เช่น มอบให้ทนายความว่าจ้างเฉพาะคดี) — แต่ต้องอยู่ในกรอบของข้อบังคับ
- **"เฉพาะอย่าง" vs "ทั่วไป":**
  - การมอบอำนาจต้อง**เฉพาะอย่าง** — เช่น "มอบอำนาจให้นาย ก. ลงนามในสัญญาเช่าอาคาร" (เฉพาะอย่าง)
  - **ห้ามมอบอำนาจทั่วไป** — เช่น "มอบให้นาย ก. ทำนิติกรรมแทนเลขาธิการในทุกเรื่อง" (ทั่วไป — ห้ามตามตัวบทนี้)
- **ผลของการเกินอำนาจ:**
  - ถ้าเลขาธิการทำนิติกรรมเกินขอบเขตของข้อบังคับ → อาจต้องรับผิดชอบเป็นการส่วนตัว
  - แต่ถ้าบุคคลภายนอกทำธุรกรรมโดยสุจริต (ไม่ทราบข้อจำกัด ที่ไม่ประกาศในราชกิจจานุเบกษา) — สำนักงานอาจต้องผูกพันตามนิติกรรม (กลไกคุ้มครองบุคคลภายนอก)

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/section/64.md

============================================================
โนด: มาตรา 65
ลิงก์อ้างอิง: https://link.pdpalawbase.com/section/65.md

# มาตรา 65

## ตัวบท

> มาตรา 65 ให้คณะกรรมการกำกับสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลเป็นผู้กำหนดอัตราเงินเดือนและประโยชน์ตอบแทนอื่นของเลขาธิการตามหลักเกณฑ์ที่คณะรัฐมนตรีกำหนด

## สรุป

มาตรานี้กำหนดให้ **คณะกรรมการกำกับสำนักงาน** ([มาตรา 48](https://link.pdpalawbase.com/section/48.md)) เป็นผู้กำหนด **อัตราเงินเดือนและประโยชน์ตอบแทนอื่นของเลขาธิการ** ([มาตรา 57](https://link.pdpalawbase.com/section/57.md)) ตามหลักเกณฑ์ที่ **คณะรัฐมนตรี** กำหนด

## องค์ประกอบสำคัญ

- **ผู้กำหนด:** คณะกรรมการกำกับสำนักงาน ([มาตรา 48](https://link.pdpalawbase.com/section/48.md))
- **สิ่งที่กำหนด:** อัตราเงินเดือน + ประโยชน์ตอบแทนอื่น (สวัสดิการ ค่ารักษาพยาบาล รถประจำตำแหน่ง ฯลฯ)
- **กรอบที่ต้องปฏิบัติตาม:** หลักเกณฑ์ที่**คณะรัฐมนตรี**กำหนด
- **บุคคลที่ได้รับ:** เลขาธิการ ([มาตรา 57](https://link.pdpalawbase.com/section/57.md)) เพียงคนเดียว — ไม่รวมรองเลขาธิการ/ผู้ช่วยเลขาธิการ ([มาตรา 63](https://link.pdpalawbase.com/section/63.md) (4)) ที่อยู่ใต้ระเบียบบุคลากรของสำนักงาน

## มาตราที่อ้างอิง

- [มาตรา 48](https://link.pdpalawbase.com/section/48.md) — คณะกรรมการกำกับสำนักงาน — ผู้กำหนดอัตราเงินเดือน
- [มาตรา 56](https://link.pdpalawbase.com/section/56.md) — เบี้ยประชุมและค่าตอบแทน — มาตราคู่กัน (ค่าตอบแทนของกรรมการกำกับ/ที่ปรึกษา/อนุกรรมการ)
- [มาตรา 57](https://link.pdpalawbase.com/section/57.md) — เลขาธิการ — ผู้รับเงินเดือนตามมาตรานี้

## หมายเหตุ

- **เปรียบเทียบกับ [มาตรา 56](https://link.pdpalawbase.com/section/56.md):**
  - **[มาตรา 56](https://link.pdpalawbase.com/section/56.md):** ค่าตอบแทนของ**กรรมการกำกับ + ที่ปรึกษา + อนุกรรมการ** กำหนดโดย**คณะกรรมการคุ้มครองข้อมูลส่วนบุคคล** ([มาตรา 8](https://link.pdpalawbase.com/section/8.md)) ตามความเห็นชอบของกระทรวงการคลัง
  - **[มาตรา 65](https://link.pdpalawbase.com/section/65.md) (มาตรานี้):** เงินเดือนของ**เลขาธิการ** กำหนดโดย**คณะกรรมการกำกับสำนักงาน** ([มาตรา 48](https://link.pdpalawbase.com/section/48.md)) ตามหลักเกณฑ์ของ**คณะรัฐมนตรี**
  - ความแตกต่าง: ผู้กำหนดและผู้ตรวจสอบเป็นคนละองค์กรกัน — สะท้อนว่าเลขาธิการเป็นพนักงานเต็มเวลา (ต่างจากกรรมการที่ทำงานเป็นครั้งคราว)
- **กลไกถ่วงดุล:**
  - คณะกรรมการกำกับสำนักงานเป็นผู้บังคับบัญชาของเลขาธิการ → ไม่ควรกำหนดเงินเดือนเลขาธิการเอง**โดยอิสระ** (ป้องกันการขึ้นเงินเดือนผูกพันเลขาธิการให้พึ่งพิง)
  - หลักเกณฑ์ของ**คณะรัฐมนตรี** = เพดานทั่วไปสำหรับองค์กรของรัฐที่มีฐานะคล้ายคลึงกัน → คณะกรรมการกำกับสำนักงานมีดุลพินิจกำหนดภายในกรอบนั้น
- **"ประโยชน์ตอบแทนอื่น" — ครอบจักรวาล:**
  - สวัสดิการรักษาพยาบาล
  - บำเหน็จบำนาญ (ถ้ามี)
  - รถประจำตำแหน่ง / ค่าน้ำมัน
  - ค่าเดินทางต่างประเทศ
  - ที่พัก (ถ้ามี)
- **เลขาธิการเป็นพนักงานของสำนักงาน — ไม่ใช่ข้าราชการ:**
  - ตาม [มาตรา 43](https://link.pdpalawbase.com/section/43.md) วรรคสาม — สำนักงานเป็นหน่วยงานของรัฐที่ไม่เป็นส่วนราชการ
  - เลขาธิการจึงไม่ใช่ข้าราชการ — ใช้ระบบเงินเดือนของสำนักงาน (ไม่ใช่ระบบข้าราชการพลเรือน)
  - แต่ระบบบำเหน็จบำนาญอาจมีข้อตกลงพิเศษถ้าเดิมเป็นข้าราชการ ([มาตรา 66](https://link.pdpalawbase.com/section/66.md))

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/section/65.md

============================================================
โนด: มาตรา 66
ลิงก์อ้างอิง: https://link.pdpalawbase.com/section/66.md

# มาตรา 66

## ตัวบท

> มาตรา 66 เพื่อประโยชน์ในการบริหารงานของสำนักงาน เลขาธิการอาจขอให้ข้าราชการ พนักงาน เจ้าหน้าที่ หรือลูกจ้างของส่วนราชการ หน่วยงานของรัฐ รัฐวิสาหกิจ ราชการส่วนท้องถิ่น องค์การมหาชน หรือหน่วยงานอื่นของรัฐ มาปฏิบัติงานเป็นพนักงานหรือลูกจ้างเป็นการชั่วคราวได้ ทั้งนี้ เมื่อได้รับอนุมัติจากผู้บังคับบัญชาหรือนายจ้างของผู้นั้น และมีข้อตกลงที่ทำไว้ในการอนุมัติ และในกรณีที่เจ้าหน้าที่ของรัฐได้รับอนุมัติให้มาปฏิบัติงานเป็นพนักงานหรือลูกจ้างเป็นการชั่วคราว ให้ถือว่าเป็นการได้รับอนุญาตให้ออกจากราชการหรือออกจากงานไปปฏิบัติงานใด ๆ
>
> เมื่อสิ้นสุดระยะเวลาที่ได้รับอนุมัติให้มาปฏิบัติงานในสำนักงาน ให้เจ้าหน้าที่ของรัฐตามวรรคหนึ่งมีสิทธิได้รับการบรรจุและแต่งตั้งให้ดำรงตำแหน่งและรับเงินเดือนในส่วนราชการหรือหน่วยงานเดิมไม่ต่ำกว่าตำแหน่งและเงินเดือนเดิมตามข้อตกลงที่ทำไว้ในการอนุมัติ
>
> ในกรณีที่เจ้าหน้าที่ของรัฐผู้นั้นกลับมาบรรจุและได้รับแต่งตั้งในส่วนราชการหรือหน่วยงานเดิมตามวรรคสองแล้ว ให้นับระยะเวลาของเจ้าหน้าที่ของรัฐผู้นั้นระหว่างที่มาปฏิบัติงานในสำนักงานสำหรับการคำนวณบำเหน็จบำนาญหรือประโยชน์ตอบแทนอื่นทำนองเดียวกันเสมือนอยู่ปฏิบัติราชการหรือปฏิบัติงานเต็มเวลาดังกล่าว แล้วแต่กรณี

## สรุป

มาตรานี้สร้าง **กลไกการยืมตัวข้าราชการ/เจ้าหน้าที่ของรัฐ** มาปฏิบัติงานชั่วคราวที่สำนักงาน ([มาตรา 43](https://link.pdpalawbase.com/section/43.md)) — เลขาธิการ ([มาตรา 57](https://link.pdpalawbase.com/section/57.md)) เป็นผู้ขอ → ผู้บังคับบัญชาเดิมอนุมัติ → ทำข้อตกลง → เจ้าหน้าที่ของรัฐมาทำงานที่สำนักงาน — เมื่อสิ้นสุด **มีสิทธิกลับสู่ตำแหน่งและเงินเดือนไม่ต่ำกว่าเดิม** + **นับเวลาที่ทำงานในสำนักงานเป็นบำเหน็จบำนาญ**ของหน่วยงานเดิม

## องค์ประกอบสำคัญ

- **วรรค 1 — ขอข้าราชการ/เจ้าหน้าที่ของรัฐมาทำงานชั่วคราว:**
  - **ผู้ขอ:** เลขาธิการ
  - **ขอบเขตของผู้ที่ขอได้:** ข้าราชการ/พนักงาน/เจ้าหน้าที่/ลูกจ้างของ
    - ส่วนราชการ
    - หน่วยงานของรัฐ
    - รัฐวิสาหกิจ
    - ราชการส่วนท้องถิ่น
    - องค์การมหาชน
    - หน่วยงานอื่นของรัฐ
  - **เงื่อนไข:** ต้องได้รับอนุมัติจาก**ผู้บังคับบัญชา/นายจ้าง**ของผู้นั้น + มี**ข้อตกลง**ทำไว้
  - **สถานะระหว่างทำงานที่สำนักงาน:** "**เป็นพนักงานหรือลูกจ้างชั่วคราว**" + "**ถือว่าได้รับอนุญาตให้ออกจากราชการ**" — รักษาความต่อเนื่องของสถานะ
- **วรรค 2 — สิทธิกลับสู่ตำแหน่งเดิม:**
  - เมื่อสิ้นสุดระยะเวลา → มีสิทธิ**บรรจุ + แต่งตั้ง**กลับสู่ตำแหน่งเดิม
  - เงินเดือน**ไม่ต่ำกว่าเดิม**
  - ตามข้อตกลงที่ทำไว้
- **วรรค 3 — นับเวลาเป็นอายุราชการ:**
  - เวลาที่ทำงานที่สำนักงานนับเป็น**ระยะเวลาราชการ**สำหรับการคำนวณ:
    - บำเหน็จบำนาญ
    - ประโยชน์ตอบแทนทำนองเดียวกัน
  - **เสมือนอยู่ปฏิบัติราชการเต็มเวลา**

## มาตราที่อ้างอิง

- [มาตรา 43](https://link.pdpalawbase.com/section/43.md) — สำนักงาน — ผู้ที่ขอข้าราชการมาทำงาน
- [มาตรา 63](https://link.pdpalawbase.com/section/63.md) — หน้าที่และอำนาจของเลขาธิการ — มาตรานี้เสริมอำนาจในการสรรหาบุคลากรของเลขาธิการ

## หมายเหตุ

- **[มาตรา 66](https://link.pdpalawbase.com/section/66.md) vs [มาตรา 59](https://link.pdpalawbase.com/section/59.md) (4):**
  - [มาตรา 59](https://link.pdpalawbase.com/section/59.md) (4) **ห้าม**ข้าราชการประจำเป็น**เลขาธิการ** (ลักษณะต้องห้าม)
  - [มาตรา 66](https://link.pdpalawbase.com/section/66.md) **อนุญาต**ข้าราชการประจำเป็น**พนักงานชั่วคราว**ของสำนักงาน (กลไกการยืมตัว)
  - ความแตกต่าง: เลขาธิการเป็น**ตำแหน่งบริหารถาวร** ที่ต้องตัดสายราชการเดิม; พนักงานชั่วคราวเป็น**การยืมตัวที่กลับได้**
- **เหตุผลของกลไกนี้:**
  - สำนักงานเป็นองค์กรใหม่ ([มาตรา 43](https://link.pdpalawbase.com/section/43.md) เริ่มมีผลบังคับใช้ พ.ศ. 2562) → ขาดบุคลากรที่มีประสบการณ์
  - การยืมตัวข้าราชการ/เจ้าหน้าที่ของหน่วยงานอื่น (เช่น สำนักงาน กสทช., สำนักงาน คปภ., ก.พ.ร., ฯลฯ) ช่วย**เร่งความพร้อม** ในการดำเนินงาน
- **สิทธิกลับสู่ตำแหน่งเดิม — เป็นแรงจูงใจ:**
  - ข้าราชการที่มาทำงานที่สำนักงานไม่เสียสิทธิราชการ → กลับได้
  - เงินเดือน**ไม่ต่ำกว่าเดิม** → ไม่เสียโอกาสทางการเงิน
  - **นับเวลาเป็นอายุราชการ** → ไม่เสียประโยชน์บำเหน็จบำนาญ
- **"ข้อตกลงที่ทำไว้ในการอนุมัติ" — สาระสำคัญ:**
  - ระยะเวลาการยืมตัว (เช่น 2 ปี)
  - ตำแหน่งและเงินเดือนที่จะได้รับเมื่อกลับ (โดยทั่วไป = เดิม + การปรับเลื่อนตามวาระ)
  - การประเมินผลปฏิบัติงานในสำนักงาน — ใช้กับการพิจารณาเลื่อนขั้นเดิมหรือไม่
- **ความแตกต่างกับ [มาตรา 67](https://link.pdpalawbase.com/section/67.md):**
  - [มาตรา 66](https://link.pdpalawbase.com/section/66.md): ข้าราชการ → ทำงานที่สำนักงานชั่วคราว → กลับ
  - [มาตรา 67](https://link.pdpalawbase.com/section/67.md): ข้าราชการ**ที่อยู่ระหว่างชดใช้ทุน**ย้ายมาสำนักงานถาวร — ให้นับเวลาที่สำนักงานเป็นการชดใช้ทุน

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/section/66.md

============================================================
โนด: มาตรา 67
ลิงก์อ้างอิง: https://link.pdpalawbase.com/section/67.md

# มาตรา 67

## ตัวบท

> มาตรา 67 ข้าราชการหรือเจ้าหน้าที่ของรัฐซึ่งอยู่ระหว่างการปฏิบัติงานชดใช้ทุนการศึกษาที่ได้รับจากส่วนราชการหรือหน่วยงานของรัฐ ที่ได้ย้ายมาปฏิบัติหน้าที่ที่สำนักงานโดยได้รับความเห็นชอบจากผู้บังคับบัญชาต้นสังกัด ให้ถือเป็นการชดใช้ทุนตามสัญญา และให้นับระยะเวลาการปฏิบัติงานในสำนักงานเป็นระยะเวลาในการชดใช้ทุน
>
> ในกรณีที่หน่วยงานของรัฐแห่งใดประสงค์จะขอให้พนักงานของสำนักงานซึ่งอยู่ระหว่างการปฏิบัติงานชดใช้ทุนการศึกษาที่ได้รับจากสำนักงานไปเป็นข้าราชการหรือเจ้าหน้าที่ของรัฐในหน่วยงานของรัฐแห่งนั้น ต้องได้รับความเห็นชอบจากเลขาธิการก่อน และให้ถือว่าการไปปฏิบัติงานในหน่วยงานของรัฐแห่งนั้นเป็นการชดใช้ทุนตามสัญญา และให้นับระยะเวลาการปฏิบัติงานในหน่วยงานของรัฐแห่งนั้นเป็นระยะเวลาในการชดใช้ทุน

## สรุป

มาตรานี้กำหนด **กลไกการโอนย้ายระหว่างสำนักงาน ([มาตรา 43](https://link.pdpalawbase.com/section/43.md)) กับหน่วยงานของรัฐอื่น** สำหรับเจ้าหน้าที่ที่อยู่ระหว่าง**ชดใช้ทุนการศึกษา**: (วรรค 1) ข้าราชการ/เจ้าหน้าที่ของรัฐที่ย้ายมาทำงานที่สำนักงาน (โดยได้รับความเห็นชอบจากผู้บังคับบัญชาเดิม) → ถือเป็นการชดใช้ทุนตามสัญญา; (วรรค 2) พนักงานของสำนักงานที่อยู่ระหว่างชดใช้ทุนของสำนักงาน ย้ายไปหน่วยงานรัฐอื่น (โดยเลขาธิการเห็นชอบ) → ถือเป็นการชดใช้ทุนเช่นกัน

## องค์ประกอบสำคัญ

- **วรรค 1 — เข้าสู่สำนักงาน:**
  - **บุคคลที่ครอบคลุม:** ข้าราชการหรือเจ้าหน้าที่ของรัฐที่อยู่ระหว่าง**ชดใช้ทุนการศึกษา**ของส่วนราชการ/หน่วยงานของรัฐเดิม
  - **เงื่อนไข:** ได้รับความเห็นชอบจาก**ผู้บังคับบัญชาต้นสังกัด**
  - **ผลทางกฎหมาย:**
    - การทำงานที่สำนักงาน = "**เป็นการชดใช้ทุนตามสัญญา**"
    - ระยะเวลาทำงานที่สำนักงาน = **นับเป็นระยะเวลาชดใช้ทุน**
- **วรรค 2 — ออกจากสำนักงานไปหน่วยงานรัฐอื่น:**
  - **บุคคลที่ครอบคลุม:** พนักงานของสำนักงานที่อยู่ระหว่าง**ชดใช้ทุน**ของสำนักงาน
  - **เงื่อนไข:** หน่วยงานรัฐอื่นต้องการตัว → ต้องได้รับ**ความเห็นชอบจากเลขาธิการ**
  - **ผลทางกฎหมาย:**
    - การทำงานที่หน่วยงานรัฐอื่น = เป็นการชดใช้ทุนตามสัญญา (ของสำนักงาน)
    - ระยะเวลาทำงานที่หน่วยงานรัฐอื่น = นับเป็นระยะเวลาชดใช้ทุน

## มาตราที่อ้างอิง

- [มาตรา 43](https://link.pdpalawbase.com/section/43.md) — สำนักงาน — องค์กรที่เกี่ยวข้องกับการโอนย้าย
- [มาตรา 66](https://link.pdpalawbase.com/section/66.md) — การยืมตัวข้าราชการ — มาตราคู่ขนาน ([มาตรา 66](https://link.pdpalawbase.com/section/66.md) = ยืมตัวชั่วคราว, [มาตรา 67](https://link.pdpalawbase.com/section/67.md) = ย้ายถาวรพร้อมโอนสัญญาทุน)

## หมายเหตุ

- **เปรียบเทียบ [มาตรา 66](https://link.pdpalawbase.com/section/66.md) vs [มาตรา 67](https://link.pdpalawbase.com/section/67.md):**
  - **[มาตรา 66](https://link.pdpalawbase.com/section/66.md):** ข้าราชการ → **ปฏิบัติงานชั่วคราว**ที่สำนักงาน → **กลับสู่หน่วยงานเดิม** (สถานะข้าราชการคงอยู่ที่หน่วยงานเดิม)
  - **[มาตรา 67](https://link.pdpalawbase.com/section/67.md) วรรค 1:** ข้าราชการ → **ย้ายมาเป็นพนักงานสำนักงานถาวร** → ภาระชดใช้ทุนติดตัวมา (ใช้สำเร็จด้วยการทำงานที่สำนักงาน)
  - **[มาตรา 67](https://link.pdpalawbase.com/section/67.md) วรรค 2:** พนักงานสำนักงาน → **ย้ายไปหน่วยงานรัฐอื่นถาวร** → ภาระชดใช้ทุนของสำนักงานติดตัวไป
- **ทำไมต้องมีกลไกนี้:**
  - ข้าราชการที่ได้รับทุนการศึกษาจากรัฐ (เช่น ทุน ก.พ., ทุนกระทรวงต่างประเทศ) มี**สัญญาชดใช้ทุน** (ปกติ = ทำงานราชการ 2-3 เท่าของเวลาเรียนทุน)
  - ถ้าผู้นั้นต้องการมาทำงานที่สำนักงาน (ที่ไม่ใช่ส่วนราชการ — [มาตรา 43](https://link.pdpalawbase.com/section/43.md)) — โดยปกติจะ**ผิดสัญญาชดใช้ทุน** (เพราะไม่ได้ทำงานราชการ) → ต้องคืนเงินทุน
  - [มาตรา 67](https://link.pdpalawbase.com/section/67.md) วรรค 1 ขจัดอุปสรรคนี้ — ทำให้ข้าราชการที่มีทุนผูกพันสามารถมาทำงานที่สำนักงานได้โดยไม่ต้องคืนทุน
- **"ความเห็นชอบจากผู้บังคับบัญชาต้นสังกัด" (วรรค 1):**
  - หน่วยงานที่ให้ทุนเดิมต้องเห็นชอบ — ป้องกันการสูญเสียบุคลากรที่มีคุณค่าซึ่งหน่วยงานเดิมต้องการตัวอยู่
  - ปกติเป็นการเจรจาระหว่างหน่วยงาน
- **"ความเห็นชอบจากเลขาธิการ" (วรรค 2):**
  - เลขาธิการ ([มาตรา 57](https://link.pdpalawbase.com/section/57.md)) เป็น**ผู้บังคับบัญชา**ของพนักงานสำนักงาน ([มาตรา 63](https://link.pdpalawbase.com/section/63.md) (3))
  - มีอำนาจอนุญาตหรือไม่ให้พนักงานย้ายไปหน่วยงานอื่น
- **กรอบการทำงานที่ครอบคลุม:**
  - **เข้า** → สำนักงานสามารถดึงดูดข้าราชการที่มีทุนผูกพันได้
  - **ออก** → พนักงานของสำนักงานสามารถย้ายไปหน่วยงานรัฐอื่นได้ (ไม่ใช่เส้นทางตันของอาชีพ)
  - กลไกนี้ส่งเสริม**การหมุนเวียนบุคลากร**ระหว่างหน่วยงานของรัฐ

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/section/67.md

============================================================
โนด: มาตรา 68
ลิงก์อ้างอิง: https://link.pdpalawbase.com/section/68.md

# มาตรา 68

## ตัวบท

> มาตรา 68 การบัญชีของสำนักงานให้จัดทำตามหลักสากล ตามแบบและหลักเกณฑ์ที่คณะกรรมการกำกับสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลกำหนด

## สรุป

มาตรานี้กำหนดให้ **การบัญชีของสำนักงาน** ([มาตรา 43](https://link.pdpalawbase.com/section/43.md)) จัดทำตาม **หลักสากล** + ตาม **แบบและหลักเกณฑ์** ที่ **คณะกรรมการกำกับสำนักงาน** ([มาตรา 48](https://link.pdpalawbase.com/section/48.md)) กำหนด

## องค์ประกอบสำคัญ

- **หลักสากล:** มาตรฐานบัญชีที่ใช้กันทั่วโลก (เช่น มาตรฐานการรายงานทางการเงินไทยที่อิงกับมาตรฐานสากล)
- **ผู้กำหนดแบบและหลักเกณฑ์เฉพาะ:** คณะกรรมการกำกับสำนักงาน ([มาตรา 48](https://link.pdpalawbase.com/section/48.md)) — สอดคล้องกับ [มาตรา 54](https://link.pdpalawbase.com/section/54.md) (2) ที่ให้อำนาจออกข้อบังคับว่าด้วยการเงิน
- **ขอบเขต:** การบัญชีของสำนักงาน — ไม่รวมการบัญชีของผู้ควบคุมข้อมูลภายนอก (ที่อยู่ภายใต้การกำกับของ พรบ. คุ้มครองข้อมูลส่วนบุคคลแต่บัญชีของตนเองเป็นไปตามมาตรฐานทั่วไป)

## มาตราที่อ้างอิง

- [มาตรา 43](https://link.pdpalawbase.com/section/43.md) — สำนักงาน — องค์กรที่อยู่ภายใต้มาตรฐานบัญชีตามมาตรานี้
- [มาตรา 48](https://link.pdpalawbase.com/section/48.md) — คณะกรรมการกำกับสำนักงาน — ผู้กำหนดแบบและหลักเกณฑ์
- [มาตรา 54](https://link.pdpalawbase.com/section/54.md) — หน้าที่และอำนาจของคณะกรรมการกำกับสำนักงาน — (2) ออกข้อบังคับว่าด้วยการเงิน

## หมายเหตุ

- **"หลักสากล" — ขอบเขตในทางปฏิบัติ:**
  - มาตรฐานบัญชีไทยที่ออกโดยสภาวิชาชีพบัญชี (เช่น มาตรฐานการรายงานทางการเงินสำหรับกิจการที่ไม่มีส่วนได้เสียสาธารณะ)
  - หลักการบัญชีของรัฐที่กระทรวงการคลังกำหนด (ถ้าใช้ได้)
- **"แบบและหลักเกณฑ์ที่คณะกรรมการกำกับสำนักงานกำหนด" — ส่วนเสริม:**
  - คณะกรรมการกำกับสำนักงานออก**ข้อบังคับว่าด้วยการบัญชี** ตาม [มาตรา 54](https://link.pdpalawbase.com/section/54.md) (2)
  - กำหนด:
    - ปีบัญชีของสำนักงาน
    - รูปแบบงบการเงิน
    - การจำแนกประเภทรายได้/รายจ่าย
    - ระบบบัญชีคู่ ฯลฯ
- **เชื่อมต่อกับ [มาตรา 69](https://link.pdpalawbase.com/section/69.md):** หลังจากจัดทำบัญชีตาม [มาตรา 68](https://link.pdpalawbase.com/section/68.md) → ส่งผู้สอบบัญชีตาม [มาตรา 69](https://link.pdpalawbase.com/section/69.md)
- **เชื่อมต่อกับ [มาตรา 46](https://link.pdpalawbase.com/section/46.md) วรรค 2:** สำนักงานต้องนำส่งรายได้เข้าคลังเป็นรายได้แผ่นดิน — การบัญชีต้อง**แยกประเภทรายได้**ที่ต้องนำส่งคลังออกจากเงินอุดหนุนที่ใช้ดำเนินงาน

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/section/68.md

============================================================
โนด: มาตรา 69
ลิงก์อ้างอิง: https://link.pdpalawbase.com/section/69.md

# มาตรา 69

## ตัวบท

> มาตรา 69 ให้สำนักงานจัดทำงบการเงินและบัญชี แล้วส่งผู้สอบบัญชีภายในหนึ่งร้อยยี่สิบวันนับแต่วันสิ้นปีบัญชี
>
> ให้สำนักงานการตรวจเงินแผ่นดินหรือผู้สอบบัญชีรับอนุญาตที่สำนักงานการตรวจเงินแผ่นดินให้ความเห็นชอบเป็นผู้สอบบัญชีของสำนักงาน และประเมินผลการใช้จ่ายเงินและทรัพย์สินของสำนักงานทุกรอบปีแล้วทำรายงานผลการสอบบัญชีเสนอต่อคณะกรรมการกำกับสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลเพื่อรับรอง

## สรุป

มาตรานี้กำหนดให้ **สำนักงาน** ([มาตรา 43](https://link.pdpalawbase.com/section/43.md)) จัดทำ**งบการเงินและบัญชี** + ส่งผู้สอบบัญชี**ภายใน 120 วัน**นับจากวันสิ้นปีบัญชี — ผู้สอบบัญชี = **สำนักงานการตรวจเงินแผ่นดิน** หรือ **ผู้สอบบัญชีรับอนุญาตที่ สตง. เห็นชอบ** — ผู้สอบบัญชีต้อง**ประเมินผลการใช้จ่ายเงินและทรัพย์สิน** ทุกรอบปี + **เสนอรายงานต่อคณะกรรมการกำกับสำนักงาน** ([มาตรา 48](https://link.pdpalawbase.com/section/48.md)) เพื่อรับรอง

## องค์ประกอบสำคัญ

- **กำหนดเวลาส่งผู้สอบบัญชี:** **ภายใน 120 วัน** (4 เดือน) นับแต่วันสิ้นปีบัญชี
- **ตัวเลือกผู้สอบบัญชี:**
  - **สำนักงานการตรวจเงินแผ่นดิน (สตง.)** — องค์กรอิสระตามรัฐธรรมนูญที่ตรวจสอบหน่วยงานของรัฐ; หรือ
  - **ผู้สอบบัญชีรับอนุญาต**ที่ สตง. ให้ความเห็นชอบ — ทางเลือกเอกชน (กรณี สตง. ไม่สามารถดำเนินการเองได้ทัน)
- **หน้าที่ของผู้สอบบัญชี:**
  - **สอบบัญชี** — ตรวจความถูกต้องของงบการเงิน
  - **ประเมินผลการใช้จ่ายเงินและทรัพย์สิน** — ตรวจประสิทธิภาพการใช้เงิน (ไม่ใช่แค่ความถูกต้อง)
  - **ทำรายงานผลการสอบบัญชี** เสนอต่อคณะกรรมการกำกับสำนักงาน
- **บทบาทของคณะกรรมการกำกับสำนักงาน:** **รับรอง**รายงานผลการสอบบัญชี

## มาตราที่อ้างอิง

- [มาตรา 43](https://link.pdpalawbase.com/section/43.md) — สำนักงาน — องค์กรที่อยู่ภายใต้การสอบบัญชี
- [มาตรา 48](https://link.pdpalawbase.com/section/48.md) — คณะกรรมการกำกับสำนักงาน — ผู้รับรองรายงาน
- [มาตรา 68](https://link.pdpalawbase.com/section/68.md) — การบัญชี — ฐานในการจัดทำงบการเงินที่จะส่งสอบบัญชี
- [มาตรา 70](https://link.pdpalawbase.com/section/70.md) — รายงานประจำปี — ใช้รายงานสอบบัญชีเป็นส่วนประกอบ

## หมายเหตุ

- **3 รอบของกระบวนการตรวจสอบรายปี:**
  1. **[มาตรา 68](https://link.pdpalawbase.com/section/68.md):** จัดทำการบัญชีตามหลักสากล
  2. **[มาตรา 69](https://link.pdpalawbase.com/section/69.md) (มาตรานี้):** จัดทำงบการเงินและสอบบัญชีโดย สตง. หรือผู้รับอนุญาต
  3. **[มาตรา 70](https://link.pdpalawbase.com/section/70.md):** จัดทำรายงานประจำปี (ที่รวมงบการเงินที่สอบแล้ว) เสนอต่อคณะกรรมการกำกับสำนักงานและรัฐมนตรี + เผยแพร่สาธารณะ
- **บทบาทของ สตง.:**
  - สตง. ตรวจสอบทุกหน่วยงานของรัฐตามรัฐธรรมนูญ — [มาตรา 69](https://link.pdpalawbase.com/section/69.md) เพียงแต่เน้นว่า สตง. เป็นผู้สอบบัญชีของสำนักงาน
  - กรณีที่ สตง. ภาระงานล้น → สามารถมอบหมายให้ผู้สอบบัญชีรับอนุญาตเอกชน — แต่ต้องผ่านความเห็นชอบของ สตง. เพื่อรักษามาตรฐาน
- **"ประเมินผลการใช้จ่ายเงินและทรัพย์สิน" — ขอบเขตที่กว้างกว่าการสอบบัญชีทั่วไป:**
  - การสอบบัญชีทั่วไป = ตรวจความถูกต้องของงบการเงินและการบันทึกบัญชี
  - การประเมินตามมาตรานี้ = ตรวจ**ประสิทธิภาพ**ของการใช้เงิน (เช่น โครงการอบรมจัดอย่างคุ้มค่าหรือไม่)
- **กำหนด 120 วัน — ต้นทุนการดำเนินการ:**
  - ปีบัญชีของหน่วยงานรัฐมักสิ้นสุด 30 กันยายน → ส่งผู้สอบบัญชีภายใน 28 มกราคม
  - หลังสอบบัญชีแล้ว ต้องเขียนรายงานประจำปี ([มาตรา 70](https://link.pdpalawbase.com/section/70.md) กำหนด 180 วัน = 31 มีนาคม) → กรอบเวลาแน่น (เพียง 60 วันสำหรับการสอบบัญชี + เขียนรายงาน)
- **การรับรองโดยคณะกรรมการกำกับสำนักงาน — ไม่ใช่การเปลี่ยนแปลงผลการสอบบัญชี:**
  - คณะกรรมการกำกับสำนักงานรับรอง = อนุมัติ**ตามที่เป็น** (รับทราบและให้ผ่าน)
  - ถ้ารายงานสอบบัญชีพบความผิดปกติ → คณะกรรมการกำกับสำนักงานต้องดำเนินการตามที่เห็นสมควร (เช่น สอบสวนข้อเท็จจริง ลงโทษ ถอดถอน)

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/section/69.md

============================================================
โนด: มาตรา 70
ลิงก์อ้างอิง: https://link.pdpalawbase.com/section/70.md

# มาตรา 70

## ตัวบท

> มาตรา 70 ให้สำนักงานจัดทำรายงานการดำเนินงานประจำปีเสนอคณะกรรมการกำกับสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลและรัฐมนตรีภายในหนึ่งร้อยแปดสิบวันนับแต่วันสิ้นปีบัญชี และเผยแพร่รายงานนี้ต่อสาธารณชน
>
> รายงานการดำเนินงานประจำปีตามวรรคหนึ่ง ให้แสดงรายละเอียดของงบการเงินที่ผู้สอบบัญชีให้ความเห็นแล้ว พร้อมทั้งผลงานของสำนักงานและรายงานการประเมินผลการดำเนินงานของสำนักงานในปีที่ล่วงมาแล้ว
>
> การประเมินผลการดำเนินงานของสำนักงานตามวรรคสอง จะต้องดำเนินการโดยบุคคลภายนอกที่คณะกรรมการกำกับสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลให้ความเห็นชอบ

## สรุป

มาตรานี้กำหนดให้ **สำนักงาน** ([มาตรา 43](https://link.pdpalawbase.com/section/43.md)) จัดทำ **รายงานการดำเนินงานประจำปี** เสนอ**คณะกรรมการกำกับสำนักงาน** ([มาตรา 48](https://link.pdpalawbase.com/section/48.md)) **และรัฐมนตรี** ภายใน **180 วัน**นับจากวันสิ้นปีบัญชี + **เผยแพร่ต่อสาธารณชน** — รายงานต้องประกอบด้วย: (1) งบการเงินที่ผู้สอบบัญชีให้ความเห็นแล้ว ([มาตรา 69](https://link.pdpalawbase.com/section/69.md)); (2) ผลงาน; (3) **รายงานการประเมินผลที่ดำเนินการโดยบุคคลภายนอก**

## องค์ประกอบสำคัญ

- **วรรค 1 — กรอบเวลาและผู้รับรายงาน:**
  - **กำหนดเวลา:** ภายใน **180 วัน** (6 เดือน) นับแต่วันสิ้นปีบัญชี
  - **ผู้รับรายงาน 2 ฝ่าย:**
    - คณะกรรมการกำกับสำนักงาน ([มาตรา 48](https://link.pdpalawbase.com/section/48.md)) — ผู้บังคับบัญชาตามโครงสร้าง
    - **รัฐมนตรี** (เจ้ากระทรวงดิจิทัลเพื่อเศรษฐกิจและสังคม) — เพราะสำนักงานอยู่ในกำกับของกระทรวง
  - **ต้องเผยแพร่ต่อสาธารณชน** — หลักความโปร่งใส
- **วรรค 2 — เนื้อหาของรายงาน 3 ส่วน:**
  1. **งบการเงินที่ผู้สอบบัญชีให้ความเห็นแล้ว** — เชื่อมกับ [มาตรา 69](https://link.pdpalawbase.com/section/69.md)
  2. **ผลงานของสำนักงาน** — กิจกรรม/ผลลัพธ์ของปีที่ผ่านมา
  3. **รายงานการประเมินผลการดำเนินงาน** — ประเมินภาพรวม
- **วรรค 3 — เงื่อนไขการประเมิน:**
  - การประเมินตามวรรค 2 (3) ต้องดำเนินการโดย**บุคคลภายนอก** — ไม่ใช่พนักงานของสำนักงานประเมินตนเอง
  - บุคคลภายนอกต้องได้รับ**ความเห็นชอบจากคณะกรรมการกำกับสำนักงาน**

## มาตราที่อ้างอิง

- [มาตรา 43](https://link.pdpalawbase.com/section/43.md) — สำนักงาน — องค์กรที่ต้องจัดทำรายงาน
- [มาตรา 48](https://link.pdpalawbase.com/section/48.md) — คณะกรรมการกำกับสำนักงาน — ผู้รับรายงาน + ผู้เห็นชอบบุคคลภายนอกที่ประเมิน
- [มาตรา 54](https://link.pdpalawbase.com/section/54.md) — หน้าที่และอำนาจของคณะกรรมการกำกับสำนักงาน — (7) ประเมินผลการดำเนินการของสำนักงาน (มาตรานี้เสริม)
- [มาตรา 69](https://link.pdpalawbase.com/section/69.md) — งบการเงินและการสอบบัญชี — เป็นส่วนหนึ่งของรายงาน

## หมายเหตุ

- **3 ระดับของการประเมิน:**
  - **[มาตรา 61](https://link.pdpalawbase.com/section/61.md):** ประเมินเลขาธิการเป็นรายบุคคลโดยคณะกรรมการกำกับสำนักงาน
  - **[มาตรา 69](https://link.pdpalawbase.com/section/69.md):** สอบบัญชีโดย สตง. หรือผู้สอบบัญชีรับอนุญาต — เน้นการเงินและการใช้จ่าย
  - **[มาตรา 70](https://link.pdpalawbase.com/section/70.md) (มาตรานี้):** ประเมินผลการดำเนินงานในภาพรวมโดยบุคคลภายนอก — เน้นประสิทธิผลของภารกิจ
- **กลไกความโปร่งใส 3 ชั้น:**
  - **ชั้น 1:** สำนักงานรายงานต่อคณะกรรมการกำกับสำนักงาน (ภายใน)
  - **ชั้น 2:** สำนักงานรายงานต่อรัฐมนตรี (ผู้กำกับฝ่ายบริหาร)
  - **ชั้น 3:** **เผยแพร่ต่อสาธารณชน** (ความโปร่งใสต่อสังคม)
- **เปรียบเทียบ "บุคคลภายนอก" ในวรรค 3 vs ผู้สอบบัญชีใน [มาตรา 69](https://link.pdpalawbase.com/section/69.md):**
  - **ผู้สอบบัญชี ([มาตรา 69](https://link.pdpalawbase.com/section/69.md)):** สตง. หรือผู้สอบบัญชีรับอนุญาต — เน้นความถูกต้องทางบัญชี
  - **บุคคลภายนอกที่ประเมิน (วรรค 3):** ตัวบทไม่ระบุคุณสมบัติเฉพาะ → คณะกรรมการกำกับสำนักงานเห็นชอบ; อาจเป็น
    - ที่ปรึกษาที่เป็นบริษัทประเมินอิสระ
    - นักวิชาการ/อาจารย์มหาวิทยาลัย
    - หน่วยงานวิชาการของรัฐอื่น
- **180 วัน — กรอบเวลาที่ยืดหยุ่นกว่า [มาตรา 69](https://link.pdpalawbase.com/section/69.md):**
  - [มาตรา 69](https://link.pdpalawbase.com/section/69.md) = 120 วัน (สอบบัญชี)
  - [มาตรา 70](https://link.pdpalawbase.com/section/70.md) = 180 วัน (รายงานประจำปี)
  - ส่วนต่าง 60 วัน = เวลาที่สำนักงานใช้:
    - รวบรวมผลการสอบบัญชี
    - ดำเนินการประเมินโดยบุคคลภายนอก (ที่อาจใช้เวลา 1-2 เดือน)
    - เขียนและเรียบเรียงรายงานประจำปี
    - เผยแพร่ผ่านช่องทางสาธารณะ
- **การเปิดเผยต่อสาธารณชน — ผลในเชิงประชาธิปไตย:**
  - เป็น**ฐานข้อมูล**ที่ประชาชนใช้ตรวจสอบสำนักงาน
  - สื่อมวลชนใช้รายงานนี้วิเคราะห์ผลงานของสำนักงาน
  - ภาคประชาสังคมใช้เปรียบเทียบกับเป้าหมายที่ประกาศไว้

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/section/70.md

============================================================
โนด: มาตรา 71
ลิงก์อ้างอิง: https://link.pdpalawbase.com/section/71.md

# มาตรา 71

## ตัวบท

> มาตรา 71 ให้คณะกรรมการแต่งตั้งคณะกรรมการผู้เชี่ยวชาญขึ้นคณะหนึ่งหรือหลายคณะก็ได้ ตามความเชี่ยวชาญในแต่ละเรื่องหรือตามที่คณะกรรมการเห็นสมควร
>
> คุณสมบัติและลักษณะต้องห้าม วาระการดำรงตำแหน่ง การพ้นจากตำแหน่ง และการดำเนินงานอื่นของคณะกรรมการผู้เชี่ยวชาญให้เป็นไปตามที่คณะกรรมการประกาศกำหนด

## สรุป

มาตรานี้เปิดหมวด 5 (การร้องเรียน) โดยให้**คณะกรรมการคุ้มครองข้อมูลส่วนบุคคล** ([มาตรา 8](https://link.pdpalawbase.com/section/8.md)) เป็นผู้แต่งตั้ง **คณะกรรมการผู้เชี่ยวชาญ** ขึ้น **คณะหนึ่งหรือหลายคณะ** ตามความเชี่ยวชาญในแต่ละเรื่อง — รายละเอียดคุณสมบัติ ลักษณะต้องห้าม วาระ และการดำเนินงาน **ปล่อยให้คณะกรรมการประกาศกำหนด**

## องค์ประกอบสำคัญ

- **วรรค 1 — โครงสร้างและจำนวน:**
  - **ผู้แต่งตั้ง:** คณะกรรมการ ([มาตรา 8](https://link.pdpalawbase.com/section/8.md))
  - **องค์กรที่แต่งตั้ง:** คณะกรรมการผู้เชี่ยวชาญ — เป็นองค์กรกึ่งตุลาการที่พิจารณาเรื่องร้องเรียน
  - **จำนวน:** **คณะหนึ่งหรือหลายคณะ** — ยืดหยุ่นตามภาระงานและประเภทเรื่อง
  - **เกณฑ์การจัดคณะ:** ตามความเชี่ยวชาญในแต่ละเรื่อง หรือตามที่คณะกรรมการเห็นสมควร
- **วรรค 2 — เรื่องที่ปล่อยให้ประกาศกำหนด (4 หัวข้อ):**
  1. **คุณสมบัติและลักษณะต้องห้าม** — ใครเป็นได้ ใครเป็นไม่ได้
  2. **วาระการดำรงตำแหน่ง** — ระยะเวลาดำรงตำแหน่ง
  3. **การพ้นจากตำแหน่ง** — กรณีพ้นตำแหน่ง
  4. **การดำเนินงานอื่น** — กระบวนการประชุม การลงมติ ฯลฯ

## มาตราที่อ้างอิง

- [มาตรา 8](https://link.pdpalawbase.com/section/8.md) — องค์ประกอบของคณะกรรมการ — ผู้มีอำนาจแต่งตั้งคณะกรรมการผู้เชี่ยวชาญ
- [มาตรา 72](https://link.pdpalawbase.com/section/72.md) — หน้าที่และอำนาจของคณะกรรมการผู้เชี่ยวชาญ — มาตราถัดไปที่กำหนดบทบาท

## หมายเหตุ

- **เหตุใดจึงต้องมีคณะกรรมการผู้เชี่ยวชาญ:**
  - คณะกรรมการ ([มาตรา 8](https://link.pdpalawbase.com/section/8.md)) มีหน้าที่กำหนดนโยบายภาพรวม ([มาตรา 16](https://link.pdpalawbase.com/section/16.md)) — ไม่เหมาะที่จะลงมาพิจารณาเรื่องร้องเรียนเป็นรายกรณี
  - การพิจารณาเรื่องร้องเรียนต้องการ **ความเชี่ยวชาญเฉพาะด้าน** (เช่น เทคนิค การแพทย์ การเงิน) ที่กรรมการไม่ครอบคลุมทุกด้าน
  - การแยกองค์กรช่วย**กระจายงาน** และให้คณะกรรมการมุ่งเน้นกำกับนโยบาย
- **โมเดล "คณะหนึ่งหรือหลายคณะ":**
  - ในระยะเริ่มแรกอาจมีเพียงคณะเดียว
  - เมื่อปริมาณเรื่องเพิ่มขึ้นหรือเรื่องมีความเฉพาะทางมาก สามารถตั้งคณะเพิ่ม เช่น
    - คณะที่เชี่ยวชาญข้อมูลสุขภาพ
    - คณะที่เชี่ยวชาญข้อมูลทางการเงิน
    - คณะที่เชี่ยวชาญข้อมูลของหน่วยงานรัฐ
- **การมอบให้ออกประกาศกำหนด — เปรียบเทียบกับมาตราอื่น:**
  - [มาตรา 8](https://link.pdpalawbase.com/section/8.md) (โครงสร้างคณะกรรมการ): กำหนดในตัวบทตรง ๆ
  - [มาตรา 71](https://link.pdpalawbase.com/section/71.md) (โครงสร้างคณะกรรมการผู้เชี่ยวชาญ): ปล่อยให้ประกาศกำหนด — เพราะต้องยืดหยุ่นตามภาระงาน
- **ลำดับการแต่งตั้งและทำงาน:**
  - คณะกรรมการชุดแรก → ตั้งตาม [มาตรา 91](https://link.pdpalawbase.com/section/91.md) (บทเฉพาะกาล)
  - คณะกรรมการ ([มาตรา 8](https://link.pdpalawbase.com/section/8.md)) ต้องประกาศกำหนดคุณสมบัติ ฯลฯ ก่อน
  - แล้วจึงแต่งตั้งคณะกรรมการผู้เชี่ยวชาญตามมาตรานี้
- **ความสัมพันธ์กับคณะกรรมการกำกับสำนักงาน ([มาตรา 48](https://link.pdpalawbase.com/section/48.md)):**
  - คณะกรรมการกำกับสำนักงาน — กำกับ**ฝ่ายเลขาฯ** (สำนักงาน) ในเชิงบริหาร
  - คณะกรรมการผู้เชี่ยวชาญ — พิจารณา**เรื่องร้องเรียน** (กึ่งตุลาการ)
  - 2 องค์กรนี้ทำหน้าที่คนละด้าน ไม่ทับซ้อนกัน

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/section/71.md

============================================================
โนด: มาตรา 72
ลิงก์อ้างอิง: https://link.pdpalawbase.com/section/72.md

# มาตรา 72

## ตัวบท

> มาตรา 72 คณะกรรมการผู้เชี่ยวชาญมีหน้าที่และอำนาจ ดังต่อไปนี้
>
> (1) พิจารณาเรื่องร้องเรียนตามพระราชบัญญัตินี้
>
> (2) ตรวจสอบการกระทำใด ๆ ของผู้ควบคุมข้อมูลส่วนบุคคล หรือผู้ประมวลผลข้อมูลส่วนบุคคล รวมทั้งลูกจ้างหรือผู้รับจ้างของผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคล เกี่ยวกับข้อมูลส่วนบุคคลที่ก่อให้เกิดความเสียหายแก่เจ้าของข้อมูลส่วนบุคคล
>
> (3) ไกล่เกลี่ยข้อพิพาทเกี่ยวกับข้อมูลส่วนบุคคล
>
> (4) ปฏิบัติการอื่นใดตามที่พระราชบัญญัตินี้กำหนดให้เป็นหน้าที่และอำนาจของคณะกรรมการผู้เชี่ยวชาญหรือตามที่คณะกรรมการมอบหมาย

## สรุป

มาตรานี้กำหนด **หน้าที่และอำนาจ 4 ประการ** ของคณะกรรมการผู้เชี่ยวชาญ ([มาตรา 71](https://link.pdpalawbase.com/section/71.md)) ได้แก่ (1) **พิจารณาเรื่องร้องเรียน**; (2) **ตรวจสอบการกระทำ**ของผู้ควบคุม/ผู้ประมวลผล รวมทั้งลูกจ้าง/ผู้รับจ้าง; (3) **ไกล่เกลี่ยข้อพิพาท**; (4) **ปฏิบัติการอื่น**ตามที่ พ.ร.บ. กำหนดหรือคณะกรรมการมอบหมาย — เป็นโครงสร้างกึ่งตุลาการที่รวมการพิจารณา การสืบสวน และการระงับข้อพิพาทไว้ในองค์กรเดียว

## องค์ประกอบสำคัญ

- **(1) พิจารณาเรื่องร้องเรียน:**
  - กระบวนการพิจารณารายละเอียดอยู่ใน [มาตรา 74](https://link.pdpalawbase.com/section/74.md)
  - เกณฑ์การรับเรื่อง/ไม่รับเรื่อง อยู่ใน [มาตรา 73](https://link.pdpalawbase.com/section/73.md) วรรค 2 (ระเบียบที่คณะกรรมการประกาศกำหนด)
- **(2) ตรวจสอบการกระทำ:**
  - **บุคคลที่ถูกตรวจสอบได้:**
    - ผู้ควบคุมข้อมูลส่วนบุคคล
    - ผู้ประมวลผลข้อมูลส่วนบุคคล
    - **ลูกจ้างหรือผู้รับจ้างของผู้ควบคุม/ผู้ประมวลผล** — ขยายขอบเขตการตรวจสอบไปถึงระดับบุคลากร
  - **เกณฑ์:** การกระทำที่**ก่อให้เกิดความเสียหายแก่เจ้าของข้อมูลส่วนบุคคล**
  - อำนาจสั่งให้ส่งเอกสาร/ชี้แจง อยู่ใน [มาตรา 75](https://link.pdpalawbase.com/section/75.md)
- **(3) ไกล่เกลี่ยข้อพิพาท:**
  - กลไกระงับข้อพิพาททางเลือกในกฎหมายข้อมูลส่วนบุคคล
  - กระบวนการอยู่ใน [มาตรา 74](https://link.pdpalawbase.com/section/74.md) วรรค 3 — ใช้ก่อนออกคำสั่ง
  - ลดภาระคดีในศาลและระงับข้อพิพาทอย่างรวดเร็ว
- **(4) ปฏิบัติการอื่น:**
  - **2 แหล่งที่มา:**
    - ตามที่ พ.ร.บ. นี้กำหนดให้เป็นหน้าที่และอำนาจ — เช่น สั่งโทษทางปกครอง ([มาตรา 90](https://link.pdpalawbase.com/section/90.md))
    - ตามที่คณะกรรมการ ([มาตรา 8](https://link.pdpalawbase.com/section/8.md)) มอบหมาย — รับงานจากคณะกรรมการชุดใหญ่
  - บทเปิดที่ให้ความยืดหยุ่นในการเพิ่มภารกิจ

## มาตราที่อ้างอิง

- [มาตรา 71](https://link.pdpalawbase.com/section/71.md) — โครงสร้างคณะกรรมการผู้เชี่ยวชาญ — ที่มาขององค์กรที่ใช้อำนาจตามมาตรานี้
- [มาตรา 73](https://link.pdpalawbase.com/section/73.md) — สิทธิร้องเรียน + ระเบียบการรับเรื่อง — ทำงานร่วมกับ (1)
- [มาตรา 74](https://link.pdpalawbase.com/section/74.md) — กระบวนการพิจารณาคำร้องเรียน — ขยาย (1) + (3)
- [มาตรา 75](https://link.pdpalawbase.com/section/75.md) — อำนาจสั่งให้ส่งเอกสาร/ชี้แจง — เครื่องมือสนับสนุน (2)
- [มาตรา 90](https://link.pdpalawbase.com/section/90.md) — อำนาจสั่งโทษทางปกครอง — กรณีของ (4) ที่กำหนดไว้ใน พ.ร.บ.

## หมายเหตุ

- **บทบาท 4 มิติของคณะกรรมการผู้เชี่ยวชาญ:**
  - **มิติตุลาการ (1):** พิจารณาคำร้องเรียน — เหมือนผู้พิพากษาในเรื่องเล็ก
  - **มิติสืบสวน (2):** ตรวจสอบ — เหมือนพนักงานสอบสวน
  - **มิติคนกลาง (3):** ไกล่เกลี่ย — เหมือนผู้ประนีประนอม
  - **มิติบริหาร (4):** รับงานมอบหมาย — เหมือนหน่วยปฏิบัติการ
- **ขอบเขตการตรวจสอบ — ทำไมต้องรวมลูกจ้าง/ผู้รับจ้าง:**
  - ในทางปฏิบัติ ผู้ก่อความเสียหายมักเป็น**บุคลากรระดับปฏิบัติ** (เช่น พนักงานที่ขายข้อมูล, ผู้รับจ้างที่ทำข้อมูลรั่ว)
  - ถ้าตรวจสอบเฉพาะนิติบุคคล จะ**พลาดผู้กระทำผิดที่แท้จริง**
  - ขยายขอบเขตทำให้สามารถสืบหาความจริงได้ครบ
- **เปรียบเทียบ "ตรวจสอบ" (2) vs "พิจารณา" (1):**
  - **พิจารณา (1):** เริ่มจาก**คำร้องเรียน** — รอให้มีผู้ร้องก่อน
  - **ตรวจสอบ (2):** สามารถเริ่มได้**โดยไม่มีคำร้องเรียน** — เชิงรุกตามที่ทราบเหตุ
- **ไกล่เกลี่ย (3) — ขั้นตอนใน [มาตรา 74](https://link.pdpalawbase.com/section/74.md):**
  - คณะกรรมการผู้เชี่ยวชาญพิจารณาว่าเรื่อง**อาจไกล่เกลี่ยได้** + **คู่กรณีประสงค์**ไกล่เกลี่ย
  - ถ้าไกล่เกลี่ยสำเร็จ → ระงับข้อพิพาท
  - ถ้าไม่สำเร็จ → ออกคำสั่งบังคับ ([มาตรา 74](https://link.pdpalawbase.com/section/74.md) วรรค 3)
- **ความสัมพันธ์กับคณะกรรมการ ([มาตรา 8](https://link.pdpalawbase.com/section/8.md)):**
  - คณะกรรมการ = นโยบายและกำหนดเกณฑ์ ([มาตรา 16](https://link.pdpalawbase.com/section/16.md))
  - คณะกรรมการผู้เชี่ยวชาญ = ใช้บังคับเป็นรายกรณี
  - การมอบหมายตาม (4) เป็นกลไกให้คณะกรรมการเสริมงานเฉพาะเรื่องได้

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/section/72.md

============================================================
โนด: มาตรา 73
ลิงก์อ้างอิง: https://link.pdpalawbase.com/section/73.md

# มาตรา 73

## ตัวบท

> มาตรา 73 เจ้าของข้อมูลส่วนบุคคลมีสิทธิร้องเรียนในกรณีที่ผู้ควบคุมข้อมูลส่วนบุคคล หรือผู้ประมวลผลข้อมูลส่วนบุคคล รวมทั้งลูกจ้างหรือผู้รับจ้างของผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคล ฝ่าฝืนหรือไม่ปฏิบัติตามพระราชบัญญัติหรือประกาศที่ออกตามพระราชบัญญัตินี้
>
> การยื่น การไม่รับเรื่อง การยุติเรื่อง การพิจารณา และระยะเวลาในการพิจารณาคำร้องเรียน ให้เป็นไปตามระเบียบที่คณะกรรมการประกาศกำหนดโดยคำนึงถึงการกำหนดให้ไม่รับเรื่องร้องเรียนหรือยุติเรื่องในกรณีที่มีผู้มีอำนาจพิจารณาในเรื่องนั้นอยู่แล้วตามกฎหมายอื่นด้วย

## สรุป

มาตรานี้ให้**สิทธิแก่เจ้าของข้อมูลส่วนบุคคล**ในการ**ร้องเรียน**กรณีที่ผู้ควบคุม/ผู้ประมวลผล รวมทั้งลูกจ้าง/ผู้รับจ้าง ฝ่าฝืน พ.ร.บ. หรือประกาศ — รายละเอียดกระบวนการ (การยื่น การไม่รับเรื่อง การยุติ การพิจารณา และระยะเวลา) **ปล่อยให้คณะกรรมการประกาศกำหนด** โดยต้องคำนึงถึงหลัก**ไม่ซ้ำซ้อน** — ไม่รับเรื่องที่มีผู้มีอำนาจพิจารณาตามกฎหมายอื่นอยู่แล้ว

## องค์ประกอบสำคัญ

- **วรรค 1 — สิทธิร้องเรียน:**
  - **ผู้มีสิทธิ:** เจ้าของข้อมูลส่วนบุคคล
  - **ผู้ถูกร้องเรียน:**
    - ผู้ควบคุมข้อมูลส่วนบุคคล
    - ผู้ประมวลผลข้อมูลส่วนบุคคล
    - **ลูกจ้างหรือผู้รับจ้าง**ของผู้ควบคุม/ผู้ประมวลผล
  - **เหตุที่ร้องเรียนได้:** ฝ่าฝืนหรือไม่ปฏิบัติตาม
    - **พ.ร.บ. นี้** — บทบัญญัติทั้งหมด
    - **ประกาศที่ออกตาม พ.ร.บ. นี้** — เช่น ประกาศของคณะกรรมการ
- **วรรค 2 — ระเบียบที่คณะกรรมการประกาศกำหนด (5 หัวข้อ):**
  1. **การยื่นคำร้องเรียน** — รูปแบบ ช่องทาง เอกสารประกอบ
  2. **การไม่รับเรื่อง** — เกณฑ์ที่ไม่รับพิจารณา
  3. **การยุติเรื่อง** — เหตุผลที่ยุติเรื่องระหว่างทาง
  4. **การพิจารณา** — ขั้นตอนการพิจารณา
  5. **ระยะเวลาในการพิจารณา** — กำหนดเวลาที่ต้องพิจารณาเสร็จ
- **เงื่อนไขพิเศษ — กลไกไม่ซ้ำซ้อน:**
  - ระเบียบต้อง**คำนึง**ถึงการ**ไม่รับเรื่อง / ยุติเรื่อง** ในกรณีที่
    - มีผู้มีอำนาจพิจารณาในเรื่องนั้นอยู่แล้วตามกฎหมายอื่น

## มาตราที่อ้างอิง

- [มาตรา 30](https://link.pdpalawbase.com/section/30.md) — สิทธิเข้าถึงข้อมูล — สิทธิอื่นของเจ้าของข้อมูลที่อาจเชื่อมโยงกับการร้องเรียน
- [มาตรา 72](https://link.pdpalawbase.com/section/72.md) — หน้าที่และอำนาจของคณะกรรมการผู้เชี่ยวชาญ — (1) พิจารณาเรื่องร้องเรียนตามมาตรานี้
- [มาตรา 74](https://link.pdpalawbase.com/section/74.md) — กระบวนการพิจารณาคำร้องเรียน — ใช้ระเบียบที่ออกตามมาตรานี้

## หมายเหตุ

- **เหตุที่กฎหมายไม่กำหนดกระบวนการในตัวบท แต่ปล่อยให้ประกาศกำหนด:**
  - กระบวนการต้องการ**รายละเอียด**มาก (แบบฟอร์ม ช่องทาง ฯลฯ) — ไม่เหมาะกับ พ.ร.บ.
  - การประกาศกำหนดยืดหยุ่น สามารถปรับตามประสบการณ์ใช้งานจริง
  - ให้คณะกรรมการ ([มาตรา 8](https://link.pdpalawbase.com/section/8.md)) เป็นผู้พิจารณาตามความเหมาะสม
- **กลไก "ไม่ซ้ำซ้อน" — ตัวอย่างผู้มีอำนาจตามกฎหมายอื่น:**
  - **ธปท. (ธนาคารแห่งประเทศไทย)** — กรณีข้อมูลของลูกค้าธนาคาร
  - **กสทช.** — กรณีข้อมูลของผู้ใช้บริการโทรคมนาคม
  - **ก.ล.ต.** — กรณีข้อมูลในตลาดทุน
  - **คปภ.** — กรณีข้อมูลในธุรกิจประกัน
  - **กระทรวงสาธารณสุข** — กรณีข้อมูลของผู้ป่วย
  - **กกต.** — กรณีข้อมูลในการเลือกตั้ง
  - **ผู้ตรวจการแผ่นดิน** — กรณีหน่วยงานรัฐละเมิด
- **เปรียบเทียบกับสิทธิอื่นในหมวด 3:**
  - [มาตรา 30](https://link.pdpalawbase.com/section/30.md)-[มาตรา 36](https://link.pdpalawbase.com/section/36.md) เป็นสิทธิที่**ใช้กับผู้ควบคุมข้อมูลโดยตรง** (สิทธิเรียกร้อง)
  - [มาตรา 73](https://link.pdpalawbase.com/section/73.md) เป็นสิทธิที่**ใช้กับองค์กรกำกับ** (สิทธิร้องเรียน) — เป็น**ทางเลือกสุดท้าย**เมื่อสิทธิอื่นไม่ได้รับการตอบสนอง
- **บุคคลอื่นนอกเหนือเจ้าของข้อมูล:**
  - ตัวบทระบุเฉพาะ "เจ้าของข้อมูลส่วนบุคคล" — บุคคลอื่น (เช่น คู่กรณี ผู้พบเห็น) **ไม่มีสิทธิร้องเรียน**โดยตรง
  - แต่บุคคลอื่นสามารถ**แจ้งเหตุ**ให้คณะกรรมการผู้เชี่ยวชาญทราบ ซึ่งคณะกรรมการอาจใช้อำนาจ**ตรวจสอบ**ตาม [มาตรา 72](https://link.pdpalawbase.com/section/72.md) (2) ได้
- **ลูกจ้าง/ผู้รับจ้าง — เหตุที่ร้องเรียนเป็นรายบุคคลได้:**
  - ผู้ควบคุมข้อมูลอาจไม่รู้/ไม่ได้สั่งการ — แต่ลูกจ้างกระทำผิดเอง
  - การเปิดทางให้ร้องเรียนถึงตัวบุคคลทำให้สามารถลงโทษเฉพาะผู้กระทำได้
  - สอดคล้องกับ [มาตรา 77](https://link.pdpalawbase.com/section/77.md) (ความรับผิดทางแพ่งของผู้ควบคุม) ที่ผู้ควบคุมยังต้องรับผิดในฐานะนายจ้างด้วย

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/section/73.md

============================================================
โนด: มาตรา 74
ลิงก์อ้างอิง: https://link.pdpalawbase.com/section/74.md

# มาตรา 74

## ตัวบท

> มาตรา 74 ในกรณีที่ผู้ร้องเรียนไม่ได้ปฏิบัติให้ถูกต้องตามระเบียบที่กำหนดไว้ในมาตรา 73 วรรคสอง หรือเป็นเรื่องร้องเรียนที่ระเบียบนั้นได้กำหนดไม่ให้รับไว้พิจารณา ให้คณะกรรมการผู้เชี่ยวชาญไม่รับเรื่องร้องเรียนไว้พิจารณา
>
> เมื่อคณะกรรมการผู้เชี่ยวชาญพิจารณาเรื่องร้องเรียนตามมาตรา 72 (1) หรือตรวจสอบการกระทำใด ๆ ตามมาตรา 72 (2) แล้วรับฟังได้ว่า เรื่องร้องเรียนหรือการกระทำนั้นไม่มีมูล ให้คณะกรรมการผู้เชี่ยวชาญมีคำสั่งยุติเรื่อง
>
> ในกรณีที่คณะกรรมการผู้เชี่ยวชาญพิจารณาหรือตรวจสอบตามวรรคสองแล้วรับฟังได้ว่า เรื่องร้องเรียนหรือการกระทำนั้นเป็นกรณีซึ่งอาจไกล่เกลี่ยได้และคู่กรณีประสงค์จะให้ไกล่เกลี่ย ให้คณะกรรมการผู้เชี่ยวชาญดำเนินการไกล่เกลี่ย แต่หากเรื่องร้องเรียนหรือการกระทำนั้นไม่อาจไกล่เกลี่ยได้ หรือไกล่เกลี่ยไม่สำเร็จ ให้คณะกรรมการผู้เชี่ยวชาญมีอำนาจออกคำสั่ง ดังต่อไปนี้
>
> (1) สั่งให้ผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคลปฏิบัติหรือดำเนินการแก้ไขการกระทำของตนให้ถูกต้องภายในระยะเวลาที่กำหนด
>
> (2) สั่งห้ามผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคลกระทำการที่ก่อให้เกิดความเสียหายแก่เจ้าของข้อมูลส่วนบุคคลหรือให้กระทำการใดเพื่อระงับความเสียหายนั้นภายในระยะเวลาที่กำหนด
>
> ในกรณีที่ผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคลไม่ยอมดำเนินการตามคำสั่งตามวรรคสาม (1) หรือ (2) ให้นำบทบัญญัติเกี่ยวกับการบังคับทางปกครองตามกฎหมายว่าด้วยวิธีปฏิบัติราชการทางปกครองมาใช้บังคับโดยอนุโลม ทั้งนี้ ในกรณีที่ต้องมีการยึด อายัด หรือขายทอดตลาดทรัพย์สินของผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคลเพื่อบังคับตามหลักเกณฑ์ที่กำหนดไว้ในกฎหมายว่าด้วยวิธีปฏิบัติราชการทางปกครอง ให้คณะกรรมการผู้เชี่ยวชาญเป็นผู้มีอำนาจสั่งยึด อายัด หรือขายทอดตลาดทรัพย์สินเพื่อการนั้น
>
> การจัดทำคำสั่งตามวรรคหนึ่ง วรรคสอง หรือวรรคสาม (1) หรือ (2) ให้เป็นไปตามหลักเกณฑ์และวิธีการที่คณะกรรมการประกาศกำหนด
>
> คำสั่งของคณะกรรมการผู้เชี่ยวชาญ ให้ประธานกรรมการผู้เชี่ยวชาญเป็นผู้ลงนามแทน
>
> คำสั่งของคณะกรรมการผู้เชี่ยวชาญตามมาตรานี้ให้เป็นที่สุด
>
> ในการดำเนินการตามมาตรานี้ เมื่อผลการพิจารณาเป็นประการใด ให้คณะกรรมการผู้เชี่ยวชาญแจ้งให้ผู้ร้องเรียนทราบพร้อมด้วยเหตุผล และในกรณีที่ไม่รับเรื่องร้องเรียนหรือยุติเรื่องที่มีผู้มีอำนาจพิจารณาในเรื่องนั้นอยู่แล้วตามกฎหมายอื่น ให้แจ้งผู้ร้องเรียนทราบ หากผู้ร้องเรียนประสงค์จะให้ส่งเรื่องให้ผู้มีอำนาจพิจารณาในเรื่องนั้นตามกฎหมายอื่น ให้ดำเนินการตามความประสงค์ดังกล่าว และให้ถือว่าผู้มีอำนาจพิจารณาได้รับเรื่องร้องเรียนนับแต่วันที่คณะกรรมการผู้เชี่ยวชาญได้รับเรื่องร้องเรียนนั้น

## สรุป

มาตรานี้เป็น**กลไกหลักในการพิจารณาเรื่องร้องเรียน**ของคณะกรรมการผู้เชี่ยวชาญ ([มาตรา 71](https://link.pdpalawbase.com/section/71.md)) ครอบคลุม **5 ขั้น**: (1) **ไม่รับเรื่อง** — ผิดระเบียบ; (2) **ยุติเรื่อง** — ไม่มีมูล; (3) **ไกล่เกลี่ย** — ถ้าทำได้และคู่กรณีประสงค์; (4) **ออกคำสั่ง** — ให้แก้ไข/ห้ามกระทำ ภายในเวลาที่กำหนด; (5) **บังคับทางปกครอง** — ยึด/อายัด/ขายทอดตลาด ถ้าไม่ปฏิบัติตามคำสั่ง — **คำสั่งเป็นที่สุด** + **ส่งต่อให้ผู้มีอำนาจตามกฎหมายอื่น**ได้ตามคำขอของผู้ร้องเรียน

## องค์ประกอบสำคัญ

- **วรรค 1 — ไม่รับเรื่องร้องเรียน:**
  - **เหตุ 2 ประการ:**
    1. ผู้ร้องเรียนไม่ปฏิบัติตามระเบียบ ([มาตรา 73](https://link.pdpalawbase.com/section/73.md) วรรค 2)
    2. เรื่องที่ระเบียบกำหนดไม่ให้รับ
- **วรรค 2 — ยุติเรื่อง:**
  - **เหตุ:** พิจารณาตาม [มาตรา 72](https://link.pdpalawbase.com/section/72.md) (1) หรือตรวจสอบตาม [มาตรา 72](https://link.pdpalawbase.com/section/72.md) (2) แล้ว**ไม่มีมูล**
  - คณะกรรมการผู้เชี่ยวชาญมีคำสั่งยุติเรื่อง
- **วรรค 3 — ไกล่เกลี่ย:**
  - **เงื่อนไข 2 ข้อ:**
    1. เรื่องนั้นเป็นกรณีที่**อาจไกล่เกลี่ยได้**
    2. **คู่กรณีประสงค์**จะให้ไกล่เกลี่ย
  - **ผลของการไกล่เกลี่ย:**
    - **สำเร็จ:** ระงับข้อพิพาท
    - **ไม่อาจไกล่เกลี่ยได้ / ไม่สำเร็จ:** ออกคำสั่ง 2 ประเภท
      - **(1) คำสั่งให้แก้ไข** — สั่งให้ผู้ควบคุม/ผู้ประมวลผลแก้ไขให้ถูกต้องภายในเวลาที่กำหนด
      - **(2) คำสั่งห้ามกระทำ + สั่งให้กระทำเพื่อระงับ** — ห้ามการกระทำที่ก่อความเสียหาย หรือสั่งให้กระทำการใดเพื่อระงับ
- **วรรค 4 — บังคับทางปกครอง:**
  - **กรณี:** ไม่ปฏิบัติตามคำสั่งวรรค 3 (1) หรือ (2)
  - **กลไก:** ใช้บทบัญญัติตามกฎหมายว่าด้วยวิธีปฏิบัติราชการทางปกครอง**โดยอนุโลม**
  - **กรณีต้องยึด/อายัด/ขายทอดตลาด:** คณะกรรมการผู้เชี่ยวชาญ**เป็นผู้มีอำนาจสั่ง**
- **วรรค 5 — รูปแบบคำสั่ง:**
  - คำสั่งวรรค 1, 2, 3 (1), (2) ต้องเป็นไปตามหลักเกณฑ์และวิธีการที่คณะกรรมการ ([มาตรา 8](https://link.pdpalawbase.com/section/8.md)) ประกาศกำหนด
- **วรรค 6 — ผู้ลงนาม:**
  - ประธานกรรมการผู้เชี่ยวชาญลงนามแทนคณะ
- **วรรค 7 — ความเป็นที่สุด:**
  - คำสั่งตามมาตรานี้**เป็นที่สุด** — ไม่อุทธรณ์ในชั้นปกครองได้
- **วรรค 8 — การแจ้งและการส่งต่อ:**
  - ต้องแจ้งผู้ร้องเรียน**ทุกผลการพิจารณา**พร้อมเหตุผล
  - กรณีไม่รับ/ยุติเพราะมีผู้มีอำนาจตามกฎหมายอื่น → ผู้ร้องอาจขอให้**ส่งต่อ**
  - ส่งต่อแล้ว**นับวันที่คณะกรรมการผู้เชี่ยวชาญได้รับเรื่อง**เป็นวันที่ผู้มีอำนาจตามกฎหมายอื่นได้รับ — รักษาผลทางกฎหมาย เช่น อายุความ

## มาตราที่อ้างอิง

- [มาตรา 71](https://link.pdpalawbase.com/section/71.md) — โครงสร้างคณะกรรมการผู้เชี่ยวชาญ — องค์กรที่ใช้อำนาจตามมาตรานี้
- [มาตรา 72](https://link.pdpalawbase.com/section/72.md) — หน้าที่และอำนาจ 4 ประการ — มาตรานี้ใช้ขยาย (1), (2), (3)
- [มาตรา 73](https://link.pdpalawbase.com/section/73.md) — สิทธิร้องเรียน + ระเบียบ — ระเบียบในวรรค 2 ของ [มาตรา 73](https://link.pdpalawbase.com/section/73.md) เป็นเกณฑ์การไม่รับ/ยุติเรื่อง
- [มาตรา 90](https://link.pdpalawbase.com/section/90.md) — อำนาจสั่งโทษทางปกครอง — เชื่อมกับมาตรานี้ผ่านวรรค 4 และวรรค 6 ([มาตรา 90](https://link.pdpalawbase.com/section/90.md) วรรค 4 อ้างถึง [มาตรา 74](https://link.pdpalawbase.com/section/74.md) วรรค 4 และ 6)

## หมายเหตุ

- **5 ขั้นตอน — แสดงเป็นแผนผัง:**
  ```
  รับคำร้องเรียน
      ↓
  ผิดระเบียบ? ──── ใช่ ──→ ไม่รับเรื่อง (วรรค 1)
      ↓ ไม่
  มีมูล? ──── ไม่ ──→ ยุติเรื่อง (วรรค 2)
      ↓ ใช่
  ไกล่เกลี่ยได้ + คู่กรณีประสงค์? ──── ใช่ ──→ ไกล่เกลี่ย (วรรค 3)
      ↓ ไม่ / ไม่สำเร็จ
  ออกคำสั่ง (1) แก้ไข หรือ (2) ห้าม/ระงับ (วรรค 3)
      ↓
  ปฏิบัติตามคำสั่ง? ──── ไม่ ──→ บังคับทางปกครอง (วรรค 4)
                              ── ยึด/อายัด/ขายทอดตลาด
  ```
- **ความเป็นที่สุดของคำสั่ง — ผลในเชิงระบบ:**
  - **ไม่อุทธรณ์ในชั้นปกครองได้** (เช่น ไม่ส่งต่อคณะกรรมการ)
  - **ฟ้องต่อศาลปกครองได้** — ความเป็นที่สุดในชั้นปกครองไม่ตัดสิทธิทางตุลาการ
  - หลักการทั่วไป: คำสั่งทางปกครองที่เป็นที่สุดยังคงอยู่ภายใต้การควบคุมของศาลปกครอง
- **เปรียบเทียบกระบวนการในมาตรานี้ vs ความรับผิดทางแพ่ง ([มาตรา 77](https://link.pdpalawbase.com/section/77.md)):**
  - **มาตรานี้:** เครื่องมือทางปกครอง — บังคับให้ผู้ควบคุมแก้ไข + บังคับทางปกครอง
  - [มาตรา 77](https://link.pdpalawbase.com/section/77.md): เครื่องมือทางแพ่ง — เจ้าของข้อมูลฟ้องเรียกค่าเสียหาย
  - 2 ระบบนี้**คู่ขนาน** — เจ้าของข้อมูลใช้ทั้ง 2 ทางได้
- **การส่งต่อตามวรรค 8 — ทำไมต้องนับเวลาย้อน:**
  - เพื่อ**รักษาอายุความ** — ผู้ร้องเรียนไม่เสียสิทธิเพราะคณะกรรมการผู้เชี่ยวชาญใช้เวลาพิจารณา
  - ตัวอย่าง: เรื่องของ ธปท. → ถ้านับวันใหม่ตอนส่งต่อ อาจขาดอายุความตาม กม.ของ ธปท.
- **ไกล่เกลี่ย — ข้อพิจารณาเชิงปฏิบัติ:**
  - **ข้อดี:** ระงับเร็ว, รักษาความสัมพันธ์ทางธุรกิจ, ลดภาระคดี
  - **ข้อจำกัด:** ต้อง**คู่กรณีประสงค์** — ทั้งสองฝ่าย; ฝ่ายเดียวประสงค์ไม่พอ
  - คณะกรรมการผู้เชี่ยวชาญทำหน้าที่**ผู้ไกล่เกลี่ย** ไม่ใช่**ตัดสิน**
- **เหตุที่ต้องให้คณะกรรมการผู้เชี่ยวชาญสั่ง "ยึด อายัด ขายทอดตลาด" เอง (วรรค 4):**
  - กฎหมายว่าด้วยวิธีปฏิบัติราชการทางปกครองโดยทั่วไปมอบให้**เจ้าหน้าที่ผู้ออกคำสั่ง**บังคับ
  - แต่คณะกรรมการผู้เชี่ยวชาญเป็น**คณะ** — ไม่ใช่เจ้าหน้าที่บุคคลคนเดียว
  - มาตรานี้จึงต้องระบุให้ชัดว่า**คณะ**มีอำนาจสั่งยึด/อายัด/ขายทอดตลาดได้

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/section/74.md

============================================================
โนด: มาตรา 75
ลิงก์อ้างอิง: https://link.pdpalawbase.com/section/75.md

# มาตรา 75

## ตัวบท

> มาตรา 75 คณะกรรมการผู้เชี่ยวชาญมีอำนาจสั่งให้บุคคลใดส่งเอกสารหรือข้อมูลเกี่ยวกับเรื่องที่มีผู้ร้องเรียน หรือเรื่องอื่นใดที่เกี่ยวกับการคุ้มครองข้อมูลส่วนบุคคลตามพระราชบัญญัตินี้ รวมทั้งจะสั่งให้บุคคลใดมาชี้แจงข้อเท็จจริงด้วยก็ได้

## สรุป

มาตรานี้ให้**อำนาจสืบสวนหาข้อเท็จจริง**แก่คณะกรรมการผู้เชี่ยวชาญ ([มาตรา 71](https://link.pdpalawbase.com/section/71.md)) โดยสั่งให้**บุคคลใด** (1) ส่ง**เอกสารหรือข้อมูล** หรือ (2) **มาชี้แจงข้อเท็จจริง** เกี่ยวกับเรื่องที่ร้องเรียน หรือเรื่องอื่นใดที่เกี่ยวกับการคุ้มครองข้อมูลส่วนบุคคล — เป็นเครื่องมือสนับสนุนการพิจารณาตาม [มาตรา 72](https://link.pdpalawbase.com/section/72.md) และ [มาตรา 74](https://link.pdpalawbase.com/section/74.md)

## องค์ประกอบสำคัญ

- **ผู้มีอำนาจ:** คณะกรรมการผู้เชี่ยวชาญ ([มาตรา 71](https://link.pdpalawbase.com/section/71.md))
- **ผู้ถูกสั่ง:** **บุคคลใด** — ขอบเขตกว้าง ครอบคลุม
  - ผู้ควบคุม/ผู้ประมวลผลข้อมูลส่วนบุคคล
  - ลูกจ้าง/ผู้รับจ้าง
  - บุคคลที่ 3 ที่อาจมีข้อมูลเกี่ยวข้อง (เช่น พยาน คู่ค้า)
- **2 ประเภทของคำสั่ง:**
  1. **ส่งเอกสารหรือข้อมูล**
  2. **มาชี้แจงข้อเท็จจริง**
- **ขอบเขตของเรื่อง 2 ประเภท:**
  1. **เรื่องที่มีผู้ร้องเรียน** — เชื่อมกับ [มาตรา 72](https://link.pdpalawbase.com/section/72.md) (1)
  2. **เรื่องอื่นใดที่เกี่ยวกับการคุ้มครองข้อมูลส่วนบุคคล** — เปิดให้ใช้กับการตรวจสอบเชิงรุก ([มาตรา 72](https://link.pdpalawbase.com/section/72.md) (2))

## มาตราที่อ้างอิง

- [มาตรา 72](https://link.pdpalawbase.com/section/72.md) — หน้าที่และอำนาจของคณะกรรมการผู้เชี่ยวชาญ — มาตรานี้เป็นเครื่องมือสนับสนุน (1) และ (2)
- [มาตรา 89](https://link.pdpalawbase.com/section/89.md) — โทษทางปกครองสำหรับผู้ไม่ปฏิบัติตามคำสั่ง — บังคับให้ปฏิบัติตามคำสั่งตามมาตรานี้

## หมายเหตุ

- **บทลงโทษถ้าไม่ปฏิบัติตามคำสั่ง:**
  - [มาตรา 89](https://link.pdpalawbase.com/section/89.md) กำหนดโทษทางปกครอง**ปรับไม่เกิน 5 แสนบาท** สำหรับผู้ไม่ปฏิบัติตามคำสั่งของคณะกรรมการผู้เชี่ยวชาญหรือไม่มาชี้แจงตามมาตรานี้
  - บทลงโทษนี้ทำให้คำสั่งตามมาตรานี้**มีน้ำหนัก** — ไม่ใช่คำขอเชิงสมัครใจ
- **ขอบเขตกว้างของ "บุคคลใด" — เปรียบเทียบกับ [มาตรา 76](https://link.pdpalawbase.com/section/76.md):**
  - **มาตรานี้:** คณะกรรมการผู้เชี่ยวชาญสั่ง — ผ่านหนังสือ/คำสั่ง
  - [มาตรา 76](https://link.pdpalawbase.com/section/76.md): พนักงานเจ้าหน้าที่ลงพื้นที่ตรวจสอบ — สามารถเข้าสถานที่ + ยึดอายัดด้วย (ต้องมีคำสั่งศาล)
  - 2 มาตรานี้เป็น**เครื่องมือเสริมกัน** — มาตรานี้เน้นการเรียก, [มาตรา 76](https://link.pdpalawbase.com/section/76.md) เน้นการลงพื้นที่
- **เปรียบเทียบกับอำนาจในกระบวนการยุติธรรมทางอาญา:**
  - **พนักงานสอบสวน (ป.วิ.อาญา):** มีอำนาจเรียกพยาน/เอกสาร — แต่ในคดีอาญาเท่านั้น
  - **มาตรานี้:** ใช้ในชั้นพิจารณาเรื่องร้องเรียน — เป็นอำนาจทางปกครอง
- **ข้อจำกัดในเชิงสิทธิเสรีภาพ:**
  - มาตรานี้ไม่กำหนดวิธีคุ้มครองข้อมูลที่เป็น**ความลับทางการค้า**ของผู้ส่งเอกสาร
  - คณะกรรมการผู้เชี่ยวชาญและพนักงานต้องเก็บข้อมูลเป็นความลับ — ผูกพันโดย [มาตรา 80](https://link.pdpalawbase.com/section/80.md) (ห้ามเปิดเผยข้อมูลที่ล่วงรู้จากการปฏิบัติหน้าที่)
- **บุคคลที่อ้างเอกสิทธิ์:**
  - มาตรานี้ไม่ระบุข้อยกเว้น เช่น เอกสิทธิ์ของทนายความ-ลูกความ
  - ในทางปฏิบัติต้องตีความให้สอดคล้องกับหลักทั่วไปในการอ้างเอกสิทธิ์

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/section/75.md

============================================================
โนด: มาตรา 76
ลิงก์อ้างอิง: https://link.pdpalawbase.com/section/76.md

# มาตรา 76

## ตัวบท

> มาตรา 76 ในการปฏิบัติการตามพระราชบัญญัตินี้ พนักงานเจ้าหน้าที่มีหน้าที่และอำนาจ ดังต่อไปนี้
>
> (1) มีหนังสือแจ้งให้ผู้ควบคุมข้อมูลส่วนบุคคล ผู้ประมวลผลข้อมูลส่วนบุคคล หรือผู้ใดมาให้ข้อมูลหรือส่งเอกสารหรือหลักฐานใด ๆ เกี่ยวกับการดำเนินการหรือการกระทำความผิดตามพระราชบัญญัตินี้
>
> (2) ตรวจสอบและรวบรวมข้อเท็จจริง แล้วรายงานต่อคณะกรรมการผู้เชี่ยวชาญ ในกรณีที่ผู้ควบคุมข้อมูลส่วนบุคคล ผู้ประมวลผลข้อมูลส่วนบุคคล หรือผู้ใดได้กระทำผิดหรือทำให้เกิดความเสียหายเพราะฝ่าฝืนหรือไม่ปฏิบัติตามพระราชบัญญัติหรือประกาศที่ออกตามพระราชบัญญัตินี้
>
> ในการดำเนินการตาม (2) หากมีความจำเป็นเพื่อคุ้มครองประโยชน์ของเจ้าของข้อมูลส่วนบุคคลหรือเพื่อประโยชน์สาธารณะ ให้พนักงานเจ้าหน้าที่ยื่นคำร้องต่อศาลที่มีเขตอำนาจเพื่อมีคำสั่งอนุญาตให้พนักงานเจ้าหน้าที่เข้าไปในสถานที่ของผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ใดเกี่ยวกับการกระทำความผิดตามพระราชบัญญัตินี้ ในระหว่างเวลาพระอาทิตย์ขึ้นถึงพระอาทิตย์ตกหรือในเวลาทำการของสถานที่นั้น เพื่อตรวจสอบและรวบรวมข้อเท็จจริง ยึดหรืออายัดเอกสารหลักฐาน หรือสิ่งอื่นใดที่เกี่ยวกับการกระทำความผิด หรือมีเหตุอันควรเชื่อได้ว่ามีไว้หรือใช้เพื่อกระทำความผิด
>
> ในการแต่งตั้งพนักงานเจ้าหน้าที่ ให้รัฐมนตรีพิจารณาแต่งตั้งจากข้าราชการหรือเจ้าหน้าที่อื่นของรัฐซึ่งดำรงตำแหน่งไม่ต่ำกว่าข้าราชการพลเรือนระดับปฏิบัติการหรือเทียบเท่าและมีคุณสมบัติตามที่คณะกรรมการประกาศกำหนด
>
> ในการปฏิบัติหน้าที่ของพนักงานเจ้าหน้าที่ตามมาตรานี้ ต้องแสดงบัตรประจำตัวต่อผู้ที่เกี่ยวข้องและให้ผู้ที่เกี่ยวข้องอำนวยความสะดวกตามสมควร
>
> บัตรประจำตัวพนักงานเจ้าหน้าที่ ให้เป็นไปตามแบบที่คณะกรรมการประกาศกำหนด

## สรุป

มาตรานี้กำหนด**หน้าที่และอำนาจของพนักงานเจ้าหน้าที่** 2 ประการ: (1) มีหนังสือแจ้งให้บุคคลส่งเอกสารหรือมาให้ข้อมูล; (2) ตรวจสอบและรวบรวมข้อเท็จจริงแล้วรายงานคณะกรรมการผู้เชี่ยวชาญ — กรณีจำเป็นต้อง**เข้าสถานที่/ยึด/อายัด** ต้องมี**คำสั่งศาล**ก่อน เฉพาะระหว่าง**พระอาทิตย์ขึ้นถึงพระอาทิตย์ตก** หรือในเวลาทำการ — รัฐมนตรี**แต่งตั้ง**จากข้าราชการระดับปฏิบัติการหรือเทียบเท่า — ในการปฏิบัติหน้าที่ต้อง**แสดงบัตรประจำตัว**

## องค์ประกอบสำคัญ

- **วรรค 1 — หน้าที่และอำนาจ 2 ประการ:**
  - **(1) เรียกเอกสาร/ข้อมูล:**
    - มี**หนังสือแจ้ง**ให้บุคคลมาให้ข้อมูลหรือส่งเอกสาร/หลักฐาน
    - ขอบเขต: เกี่ยวกับการดำเนินการหรือการกระทำความผิดตาม พ.ร.บ.
  - **(2) ตรวจสอบและรวบรวมข้อเท็จจริง:**
    - **รายงานต่อคณะกรรมการผู้เชี่ยวชาญ** ([มาตรา 71](https://link.pdpalawbase.com/section/71.md))
    - ขอบเขต: กรณีที่มีการฝ่าฝืน พ.ร.บ. หรือประกาศ
- **วรรค 2 — เข้าสถานที่ + ยึดอายัด (ต้องมีคำสั่งศาล):**
  - **เงื่อนไข:** มีความจำเป็นเพื่อ
    - คุ้มครองประโยชน์ของเจ้าของข้อมูลส่วนบุคคล หรือ
    - ประโยชน์สาธารณะ
  - **กระบวนการ:** ยื่นคำร้องต่อ**ศาลที่มีเขตอำนาจ**
  - **เวลาที่เข้าได้:**
    - ระหว่างพระอาทิตย์ขึ้นถึงพระอาทิตย์ตก หรือ
    - ในเวลาทำการของสถานที่นั้น
  - **อำนาจหลังคำสั่งศาล:**
    - เข้าสถานที่
    - ตรวจสอบและรวบรวมข้อเท็จจริง
    - ยึดหรืออายัดเอกสาร/หลักฐาน/สิ่งอื่นใด
      - ที่เกี่ยวกับการกระทำความผิด
      - มีเหตุอันควรเชื่อว่ามีไว้/ใช้กระทำความผิด
- **วรรค 3 — การแต่งตั้ง:**
  - **ผู้แต่งตั้ง:** รัฐมนตรีดิจิทัลเพื่อเศรษฐกิจและสังคม
  - **คุณสมบัติขั้นต่ำ:** ข้าราชการ/เจ้าหน้าที่อื่นของรัฐ ระดับ**ปฏิบัติการหรือเทียบเท่า**ขึ้นไป
  - **คุณสมบัติเพิ่มเติม:** ตามที่คณะกรรมการ ([มาตรา 8](https://link.pdpalawbase.com/section/8.md)) ประกาศกำหนด
- **วรรค 4 — บัตรประจำตัว:**
  - ต้อง**แสดงบัตร**ต่อผู้ที่เกี่ยวข้อง
  - ผู้ที่เกี่ยวข้องต้อง**อำนวยความสะดวกตามสมควร**
- **วรรค 5 — แบบบัตร:**
  - ตามที่คณะกรรมการประกาศกำหนด

## มาตราที่อ้างอิง

- [มาตรา 72](https://link.pdpalawbase.com/section/72.md) — หน้าที่ของคณะกรรมการผู้เชี่ยวชาญ — รับรายงานจากพนักงานเจ้าหน้าที่ตาม (2)
- [มาตรา 89](https://link.pdpalawbase.com/section/89.md) — โทษทางปกครองสำหรับผู้ไม่ปฏิบัติตาม (1) หรือไม่อำนวยความสะดวกตามวรรค 4

## หมายเหตุ

- **3 ระดับของอำนาจ — แสดงเป็นชั้น:**
  ```
  ระดับ 1: เรียกเอกสารผ่านหนังสือ (วรรค 1 (1))
       ↓ ผู้ฝ่าฝืนถูกปรับทางปกครองตาม [[มาตรา-89]]
  ระดับ 2: ตรวจสอบและรายงาน (วรรค 1 (2))
       ↓ ถ้าไม่ได้ผล หรือมีเหตุจำเป็นเพิ่มเติม
  ระดับ 3: ยื่นคำร้องต่อศาล → เข้าสถานที่ + ยึด/อายัด (วรรค 2)
  ```
- **เหตุผลที่ต้องมีคำสั่งศาล:**
  - **คุ้มครองสิทธิตามรัฐธรรมนูญ** — สิทธิในความเป็นส่วนตัว + เสรีภาพในเคหสถาน
  - การให้ศาลทบทวนเป็นกลไกถ่วงดุลอำนาจ — ป้องกันการใช้อำนาจเกินขอบเขต
  - สอดคล้องกับ **ป.วิ.อาญา ม.92** (การค้น) ที่ต้องมีหมายค้น
- **เหตุที่จำกัดเวลา "พระอาทิตย์ขึ้นถึงพระอาทิตย์ตก":**
  - หลักการคุ้มครองสิทธิในเคหสถาน — ห้ามค้นเวลากลางคืน เว้นแต่กรณีพิเศษ
  - สอดคล้องกับ **ป.วิ.อาญา ม.96** (การค้นในเคหสถาน)
  - ทางเลือก: ในเวลาทำการของสถานที่ — เพราะธุรกิจบางแห่งทำงานช่วงบ่าย/เย็น
- **เปรียบเทียบ [มาตรา 75](https://link.pdpalawbase.com/section/75.md) vs [มาตรา 76](https://link.pdpalawbase.com/section/76.md):**
  - **[มาตรา 75](https://link.pdpalawbase.com/section/75.md) (สั่งโดยคณะกรรมการผู้เชี่ยวชาญ):**
    - เรียกบุคคล**มา**ให้ข้อมูล/เอกสาร
    - ไม่มีอำนาจเข้าสถานที่
  - **[มาตรา 76](https://link.pdpalawbase.com/section/76.md) (สั่งโดยพนักงานเจ้าหน้าที่):**
    - เรียกผ่านหนังสือ + **ลงพื้นที่**ได้ (มีคำสั่งศาล)
    - มีอำนาจ**ยึด/อายัด**
  - 2 มาตรานี้เสริมกัน — [มาตรา 75](https://link.pdpalawbase.com/section/75.md) = ใช้กับเรื่องที่ผู้ครอบครองข้อมูลร่วมมือ; [มาตรา 76](https://link.pdpalawbase.com/section/76.md) = ใช้เมื่อต้องการสืบสวนเชิงรุก
- **คุณสมบัติพนักงานเจ้าหน้าที่ — เหตุที่ต้องเป็นข้าราชการ:**
  - ผูกพันด้วย**ระเบียบทางวินัย**ของข้าราชการ — ป้องกันการละเมิดอำนาจ
  - มีกลไก**ลงโทษ**กรณีปฏิบัติหน้าที่มิชอบ
  - ระดับปฏิบัติการขึ้นไป — เพื่อให้มีวุฒิภาวะและประสบการณ์
- **อำนาจสั่งให้บุคคลมาให้ข้อมูล (วรรค 1 (1)) vs สั่งให้บุคคลมาชี้แจง ([มาตรา 75](https://link.pdpalawbase.com/section/75.md)):**
  - 2 มาตรามีอำนาจคล้ายกัน แต่**ผู้สั่ง**ต่างกัน
  - **พนักงานเจ้าหน้าที่:** ระดับปฏิบัติ — ออกหนังสือเรียก
  - **คณะกรรมการผู้เชี่ยวชาญ:** ระดับองค์กร — ออกคำสั่งเป็นทางการ
- **บัตรประจำตัว — เหตุผลทางกฎหมาย:**
  - การแสดงบัตรเป็น**เงื่อนไข**ของการใช้อำนาจ — ไม่แสดงบัตร = ใช้อำนาจมิชอบ
  - คุ้มครองประชาชนจากผู้แอบอ้างเป็นเจ้าหน้าที่
  - สอดคล้องกับ**กฎหมายว่าด้วยวิธีปฏิบัติราชการทางปกครอง**

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/section/76.md

============================================================
โนด: มาตรา 77
ลิงก์อ้างอิง: https://link.pdpalawbase.com/section/77.md

# มาตรา 77

## ตัวบท

> มาตรา 77 ผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคลซึ่งดำเนินการใด ๆ เกี่ยวกับข้อมูลส่วนบุคคลอันเป็นการฝ่าฝืนหรือไม่ปฏิบัติตามบทบัญญัติแห่งพระราชบัญญัตินี้ทำให้เกิดความเสียหายต่อเจ้าของข้อมูลส่วนบุคคล ต้องชดใช้ค่าสินไหมทดแทนเพื่อการนั้นแก่เจ้าของข้อมูลส่วนบุคคล ไม่ว่าการดำเนินการนั้นจะเกิดจากการกระทำโดยจงใจหรือประมาทเลินเล่อหรือไม่ก็ตาม เว้นแต่ผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคลนั้นจะพิสูจน์ได้ว่า
>
> (1) ความเสียหายนั้นเกิดจากเหตุสุดวิสัย หรือเกิดจากการกระทำหรือละเว้นการกระทำของเจ้าของข้อมูลส่วนบุคคลนั้นเอง
>
> (2) เป็นการปฏิบัติตามคำสั่งของเจ้าหน้าที่ซึ่งปฏิบัติการตามหน้าที่และอำนาจตามกฎหมาย
>
> ค่าสินไหมทดแทนตามวรรคหนึ่ง ให้หมายความรวมถึงค่าใช้จ่ายทั้งหมดที่เจ้าของข้อมูลส่วนบุคคลได้ใช้จ่ายไปตามความจำเป็นในการป้องกันความเสียหายที่กำลังจะเกิดขึ้นหรือระงับความเสียหายที่เกิดขึ้นแล้วด้วย

## สรุป

มาตรานี้เปิดหมวด 6 (ความรับผิดทางแพ่ง) ด้วยหลัก**ความรับผิดเด็ดขาด** — ผู้ควบคุม/ผู้ประมวลผลที่ฝ่าฝืน พ.ร.บ. และก่อความเสียหายแก่เจ้าของข้อมูล**ต้องชดใช้ค่าสินไหมทดแทน** **โดยไม่ต้องพิสูจน์เจตนาหรือประมาท** — มี**ข้อยกเว้น 2 ประการ**ที่ผู้ควบคุม/ผู้ประมวลผลพิสูจน์ได้: (1) **เหตุสุดวิสัย** หรือเกิดจากเจ้าของข้อมูลเอง; (2) **ปฏิบัติตามคำสั่งเจ้าหน้าที่** — ค่าสินไหมรวม**ค่าใช้จ่ายในการป้องกัน/ระงับ**ความเสียหายของเจ้าของข้อมูลด้วย

## องค์ประกอบสำคัญ

- **วรรค 1 — หลักความรับผิดเด็ดขาด:**
  - **ผู้รับผิด:**
    - ผู้ควบคุมข้อมูลส่วนบุคคล
    - ผู้ประมวลผลข้อมูลส่วนบุคคล
  - **เหตุที่รับผิด:** ดำเนินการเกี่ยวกับข้อมูลส่วนบุคคลโดย**ฝ่าฝืน**หรือ**ไม่ปฏิบัติตาม** พ.ร.บ. + เกิดความเสียหายต่อเจ้าของข้อมูล
  - **ขอบเขตความรับผิด:** ชดใช้ค่าสินไหมทดแทน
  - **หลักความรับผิดเด็ดขาด:** **ไม่ต้องพิสูจน์เจตนาหรือประมาท** — ภาระการพิสูจน์ตกแก่ผู้ควบคุม/ผู้ประมวลผลในการพิสูจน์ข้อยกเว้น
- **ข้อยกเว้น (1) — เหตุสุดวิสัย / เจ้าของข้อมูลเอง:**
  - **เหตุสุดวิสัย** — ตามนิยามใน ป.พ.พ. ม.8 (เหตุที่ป้องกันไม่ได้แม้ใช้ความระมัดระวังตามสมควร)
  - **กระทำหรือละเว้นโดยเจ้าของข้อมูลเอง** — เช่น เจ้าของข้อมูลใส่รหัสผ่านอ่อน → ถูกแฮก
- **ข้อยกเว้น (2) — ปฏิบัติตามคำสั่งเจ้าหน้าที่:**
  - **เจ้าหน้าที่**ที่ปฏิบัติการตามหน้าที่และอำนาจตามกฎหมาย
  - เช่น พนักงานเจ้าหน้าที่ตาม [มาตรา 76](https://link.pdpalawbase.com/section/76.md) สั่งให้ส่งข้อมูล → ผู้ควบคุมส่งตามคำสั่ง → ไม่รับผิด
- **วรรค 2 — ขอบเขตค่าสินไหมทดแทน:**
  - รวม**ค่าใช้จ่ายตามความจำเป็น**ในการ
    - **ป้องกันความเสียหายที่กำลังจะเกิดขึ้น**
    - **ระงับความเสียหายที่เกิดขึ้นแล้ว**

## มาตราที่อ้างอิง

- [มาตรา 78](https://link.pdpalawbase.com/section/78.md) — ค่าสินไหมทดแทนเพื่อการลงโทษ + อายุความ — ขยายมาตรานี้เรื่องจำนวนและกรอบเวลา

## หมายเหตุ

- **เหตุที่ใช้หลักความรับผิดเด็ดขาด — ไม่ใช่ความรับผิดเพราะประมาท:**
  - **ความไม่เท่าเทียมกันของข้อมูล** — ผู้ควบคุมเก็บข้อมูลของเจ้าของ; เจ้าของไม่เห็นกระบวนการภายใน
  - การพิสูจน์**ประมาทเลินเล่อ**ของผู้ควบคุมเป็นภาระที่หนักเกินไปสำหรับเจ้าของข้อมูล
  - ผู้ควบคุมเป็นผู้**ได้ประโยชน์**จากข้อมูล → ควรรับ**ความเสี่ยง**ที่มาด้วย
  - สอดคล้องกับ **GDPR Art. 82** ที่ใช้หลักความรับผิดเด็ดขาดเช่นกัน
- **เปรียบเทียบกับ ป.พ.พ. ม.420 (ละเมิดทั่วไป):**
  - **ป.พ.พ. ม.420:** ต้องพิสูจน์**จงใจหรือประมาท** + ความเสียหาย + ความสัมพันธ์เชิงเหตุผล
  - **มาตรานี้:** **ไม่ต้องพิสูจน์**จงใจหรือประมาท — เพียงพิสูจน์การฝ่าฝืน พ.ร.บ. + ความเสียหาย + ความสัมพันธ์เชิงเหตุผล
- **ภาระการพิสูจน์ — เปรียบเทียบ:**
  - **เจ้าของข้อมูล (โจทก์):** พิสูจน์
    - ผู้ควบคุม/ผู้ประมวลผลฝ่าฝืน พ.ร.บ.
    - ความเสียหายเกิดขึ้น
    - ความสัมพันธ์เชิงเหตุผลระหว่างการฝ่าฝืนกับความเสียหาย
  - **ผู้ควบคุม/ผู้ประมวลผล (จำเลย):** พิสูจน์**ข้อยกเว้น** (1) หรือ (2) เพื่อให้พ้นความรับผิด
- **ข้อยกเว้น (2) — เหตุที่รับผิดไม่ได้:**
  - การกระทำตามคำสั่งเจ้าหน้าที่ที่ชอบด้วยกฎหมาย ไม่ใช่ความผิดของผู้ควบคุม/ผู้ประมวลผล
  - ตัวอย่าง: ตำรวจมีหมายขอข้อมูล → ผู้ควบคุมต้องส่งให้ — ไม่ควรต้องชดใช้ค่าเสียหาย
  - แต่ถ้าคำสั่ง**ไม่ชอบด้วยกฎหมาย** (เช่น ไม่มีหมาย) → ข้อยกเว้นนี้ไม่ใช้ — ผู้ควบคุมยังต้องรับผิด
- **ค่าใช้จ่ายป้องกัน/ระงับ — ตัวอย่าง:**
  - **ป้องกัน:** เจ้าของข้อมูลรู้ว่าข้อมูลรั่ว → จ้างที่ปรึกษาช่วยเปลี่ยนรหัสผ่าน, ตรวจสอบบัญชีต่าง ๆ
  - **ระงับ:** เจ้าของข้อมูลรู้ว่ามีการขโมยตัวตน → ค่าใช้จ่ายในการ**แจ้งความ**, ขอคืนเงินจากบัตรเครดิต, แก้ไขรายงานเครดิต
  - การรวมค่าใช้จ่ายเหล่านี้สะท้อนหลัก**คืนสภาพเดิม**ของกฎหมายแพ่ง
- **ความสัมพันธ์ระหว่างผู้ควบคุมกับลูกจ้าง — เปรียบเทียบกับ ป.พ.พ. ม.425:**
  - **ป.พ.พ. ม.425:** นายจ้างรับผิดในการกระทำของลูกจ้างที่ทำในทางการที่จ้าง
  - **มาตรานี้:** ผู้ควบคุมรับผิดในการดำเนินการเกี่ยวกับข้อมูล — รวมการกระทำของลูกจ้าง/ผู้รับจ้างที่ดำเนินการในนามผู้ควบคุม
- **กลไกระงับข้อพิพาท — 2 ทางคู่ขนาน:**
  - **ทางปกครอง:** ร้องเรียนต่อคณะกรรมการผู้เชี่ยวชาญ ([มาตรา 73](https://link.pdpalawbase.com/section/73.md), [มาตรา 74](https://link.pdpalawbase.com/section/74.md))
  - **ทางแพ่ง:** ฟ้องเรียกค่าเสียหายตามมาตรานี้
  - 2 ทางใช้พร้อมกันได้ — เจ้าของข้อมูลไม่ต้องเลือก

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/section/77.md

============================================================
โนด: มาตรา 78
ลิงก์อ้างอิง: https://link.pdpalawbase.com/section/78.md

# มาตรา 78

## ตัวบท

> มาตรา 78 ให้ศาลมีอำนาจสั่งให้ผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคลจ่ายค่าสินไหมทดแทนเพื่อการลงโทษเพิ่มขึ้นจากจำนวนค่าสินไหมทดแทนที่แท้จริงที่ศาลกำหนดได้ตามที่ศาลเห็นสมควร แต่ไม่เกินสองเท่าของค่าสินไหมทดแทนที่แท้จริงนั้น ทั้งนี้ โดยคำนึงถึงพฤติการณ์ต่าง ๆ เช่น ความร้ายแรงของความเสียหายที่เจ้าของข้อมูลส่วนบุคคลได้รับ ผลประโยชน์ที่ผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคลได้รับ สถานะทางการเงินของผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคล การที่ผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคลได้บรรเทาความเสียหายที่เกิดขึ้น หรือการที่เจ้าของข้อมูลส่วนบุคคลมีส่วนในการก่อให้เกิดความเสียหายด้วย
>
> สิทธิเรียกร้องค่าเสียหายอันเกิดจากการละเมิดข้อมูลส่วนบุคคลตามพระราชบัญญัตินี้เป็นอันขาดอายุความเมื่อพ้นสามปีนับแต่วันที่ผู้เสียหายรู้ถึงความเสียหายและรู้ตัวผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคลที่ต้องรับผิด หรือเมื่อพ้นสิบปีนับแต่วันที่มีการละเมิดข้อมูลส่วนบุคคล

## สรุป

มาตรานี้ขยาย [มาตรา 77](https://link.pdpalawbase.com/section/77.md) ใน 2 มิติ: **(1) ค่าสินไหมทดแทนเพื่อการลงโทษ** — ศาลมีอำนาจสั่งให้จ่ายเพิ่ม**ไม่เกินสองเท่า**ของค่าสินไหมที่แท้จริง โดยพิจารณาจากความร้ายแรง ผลประโยชน์ที่ได้รับ สถานะการเงิน การบรรเทา และส่วนของเจ้าของข้อมูล; **(2) อายุความ** — **3 ปีนับแต่รู้ถึงความเสียหายและรู้ตัวผู้รับผิด** หรือ **10 ปีนับแต่วันละเมิด** (แล้วแต่ระยะเวลาใดถึงก่อน)

## องค์ประกอบสำคัญ

- **วรรค 1 — ค่าสินไหมทดแทนเพื่อการลงโทษ:**
  - **ผู้มีอำนาจสั่ง:** ศาล (ศาลที่มีเขตอำนาจ — ศาลแพ่งทั่วไป)
  - **ผู้ต้องจ่าย:** ผู้ควบคุม/ผู้ประมวลผล
  - **เพดาน:** ไม่เกิน**สองเท่า**ของค่าสินไหมทดแทนที่แท้จริง
  - **เป็นอำนาจดุลพินิจ — ศาลพิจารณาตามเห็นสมควร**
  - **พฤติการณ์ที่ศาลคำนึงถึง 5 ประการ:**
    1. **ความร้ายแรง**ของความเสียหายที่เจ้าของข้อมูลได้รับ
    2. **ผลประโยชน์**ที่ผู้ควบคุม/ผู้ประมวลผลได้รับ
    3. **สถานะทางการเงิน**ของผู้ควบคุม/ผู้ประมวลผล
    4. **การบรรเทาความเสียหาย**โดยผู้ควบคุม/ผู้ประมวลผล
    5. **ส่วนของเจ้าของข้อมูล**ในการก่อให้เกิดความเสียหาย
- **วรรค 2 — อายุความ (กฎ 3+10):**
  - **อายุความระยะสั้น (3 ปี):** นับแต่วันที่ผู้เสียหายรู้
    - **ความเสียหาย** + **ตัวผู้ที่ต้องรับผิด** (รู้**ทั้งสอง**)
  - **อายุความระยะยาว (10 ปี):** นับแต่วันที่**มีการละเมิด**
  - **อายุความขาดเมื่อถึงระยะเวลาใดก่อน** — แล้วแต่ระยะเวลาใดถึงก่อน

## มาตราที่อ้างอิง

- [มาตรา 77](https://link.pdpalawbase.com/section/77.md) — ความรับผิดทางแพ่ง — มาตรานี้ขยายเรื่อง**จำนวน**และ**กรอบเวลา**

## หมายเหตุ

- **ค่าสินไหมทดแทนเพื่อการลงโทษ — แนวคิดและบทบาท:**
  - **แนวคิด:** เป็น**บทลงโทษ**เพิ่มเติมจากการชดใช้ความเสียหาย
  - **เป้าประสงค์:**
    - **ป้องปราม** — ทำให้การละเมิดข้อมูลส่วนบุคคล**ไม่คุ้มค่า**ในเชิงเศรษฐกิจ
    - **ลงโทษ** — สำหรับการกระทำที่จงใจหรือประมาทเลินเล่ออย่างร้ายแรง
  - แตกต่างจากค่าสินไหมทดแทน**ทั่วไป**ที่มุ่งคืนสภาพเดิม
- **เปรียบเทียบกับกฎหมายของประเทศอื่น:**
  - **GDPR Art. 83** (โทษปรับทางปกครอง) — สูงสุด 20 ล้านยูโร หรือ 4% ของยอดขายรวมทั่วโลก
  - **PDPA สิงคโปร์:** ปรับสูงสุด 10% ของยอดขายรายปีในสิงคโปร์
  - **PDPA ไทย (มาตรานี้):** ค่าสินไหมเพื่อการลงโทษไม่เกิน 2 เท่า + ปรับทางปกครองสูงสุด 5 ล้าน ([มาตรา 84](https://link.pdpalawbase.com/section/84.md), [มาตรา 87](https://link.pdpalawbase.com/section/87.md))
- **เพดาน "สองเท่า" — เปรียบเทียบกับกฎหมายไทยอื่น:**
  - **กฎหมายว่าด้วยความรับผิดต่อความเสียหายที่เกิดจากสินค้าที่ไม่ปลอดภัย ม.11:** ไม่เกินสองเท่าของค่าเสียหายที่แท้จริง
  - **กฎหมายคุ้มครองผู้บริโภคไทย:** หลายฉบับใช้เพดานสองเท่า
  - มาตรานี้ใช้เกณฑ์เดียวกัน — สอดคล้องกับแนวทางของกฎหมายคุ้มครองสิทธิอื่น
- **5 พฤติการณ์ — แสดงถึงการชั่งน้ำหนักทุกฝ่าย:**
  - 3 ปัจจัยแรกเน้น**พฤติกรรมของผู้กระทำ** (ความเสียหาย ผลประโยชน์ สถานะการเงิน)
  - **การบรรเทา** ส่งเสริมให้ผู้กระทำแก้ไขความเสียหาย
  - **ส่วนของเจ้าของข้อมูล** สอดคล้องกับหลัก**ความผิดของผู้เสียหายเอง**ตามกฎหมายแพ่ง
- **อายุความ — เปรียบเทียบกับ ป.พ.พ. ม.448:**
  - **ป.พ.พ. ม.448 (ละเมิดทั่วไป):** 1 ปีจากรู้ตัว / 10 ปีจากวันละเมิด
  - **มาตรานี้:** **3 ปี**จากรู้ตัว / 10 ปีจากวันละเมิด
  - มาตรานี้ให้**เวลาเพิ่ม 2 ปี**สำหรับเจ้าของข้อมูลในการรู้ตัวก่อนฟ้อง — เพราะ
    - การละเมิดข้อมูลตรวจสอบยาก เจ้าของข้อมูลอาจรู้ช้า
    - ต้องใช้เวลารวบรวมหลักฐาน (เช่น ขอข้อมูลจากผู้ควบคุม)
- **"รู้ถึงความเสียหายและรู้ตัวผู้รับผิด" — เกณฑ์ที่เข้มงวด:**
  - ต้องรู้**ทั้งสอง**อย่าง (รู้ว่าเสียหาย + รู้ว่าใครต้องรับผิด)
  - ถ้าเจ้าของข้อมูลรู้ว่าข้อมูลรั่ว แต่ไม่รู้ว่าใครเป็นต้นเหตุ → อายุความยังไม่เริ่ม (3 ปี)
  - แต่หลัง 10 ปีจากวันละเมิด → ไม่ว่าจะรู้หรือไม่ → อายุความขาด (เพดานสุดท้าย)
- **ความเชื่อมโยงกับค่าสินไหมทดแทนเพื่อการลงโทษและอายุความ:**
  - การที่ผู้ควบคุม/ผู้ประมวลผลฝ่าฝืน พ.ร.บ. แล้วเจ้าของข้อมูลฟ้องภายใน 3/10 ปี → ศาลพิจารณา**สั่งจ่ายค่าสินไหมเพื่อการลงโทษ**ได้
  - ทำให้กฎหมายมีน้ำหนักทั้ง**ความรับผิด**และ**บทลงโทษ**ในระบบเดียวกัน

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/section/78.md

============================================================
โนด: มาตรา 79
ลิงก์อ้างอิง: https://link.pdpalawbase.com/section/79.md

# มาตรา 79

## ตัวบท

> มาตรา 79 ผู้ควบคุมข้อมูลส่วนบุคคลผู้ใดฝ่าฝืนมาตรา 27 วรรคหนึ่งหรือวรรคสอง หรือไม่ปฏิบัติตามมาตรา 28 อันเกี่ยวกับข้อมูลส่วนบุคคลตามมาตรา 26 โดยประการที่น่าจะทำให้ผู้อื่นเกิดความเสียหาย เสียชื่อเสียง ถูกดูหมิ่น ถูกเกลียดชัง หรือได้รับความอับอาย ต้องระวางโทษจำคุกไม่เกินหกเดือน หรือปรับไม่เกินห้าแสนบาท หรือทั้งจำทั้งปรับ
>
> ผู้ควบคุมข้อมูลส่วนบุคคลผู้ใดฝ่าฝืนมาตรา 27 วรรคหนึ่งหรือวรรคสอง หรือไม่ปฏิบัติตามมาตรา 28 อันเกี่ยวกับข้อมูลส่วนบุคคลตามมาตรา 26 เพื่อแสวงหาประโยชน์ที่มิควรได้โดยชอบด้วยกฎหมายสำหรับตนเองหรือผู้อื่น ต้องระวางโทษจำคุกไม่เกินหนึ่งปี หรือปรับไม่เกินหนึ่งล้านบาท หรือทั้งจำทั้งปรับ
>
> ความผิดตามมาตรานี้เป็นความผิดอันยอมความได้

## สรุป

มาตรานี้เปิดส่วนที่ 1 (โทษอาญา) ของหมวด 7 ด้วย**โทษอาญาที่หนักที่สุด**ใน พ.ร.บ. — สำหรับผู้ควบคุมที่ฝ่าฝืน [มาตรา 27](https://link.pdpalawbase.com/section/27.md) วรรค 1/2 (การใช้/เปิดเผย) หรือไม่ปฏิบัติ [มาตรา 28](https://link.pdpalawbase.com/section/28.md) (ส่งต่างประเทศ) **เกี่ยวกับข้อมูลอ่อนไหว** ([มาตรา 26](https://link.pdpalawbase.com/section/26.md)) — มี **2 ระดับโทษ**: (1) **6 เดือน หรือ 5 แสน** — น่าจะทำให้ผู้อื่นเสียหาย/เสียชื่อเสียง/ดูหมิ่น/เกลียดชัง/อับอาย; (2) **1 ปี หรือ 1 ล้าน** — เพื่อแสวงหาประโยชน์โดยมิชอบ — เป็น**ความผิดอันยอมความได้**

## องค์ประกอบสำคัญ

- **วรรค 1 — โทษพื้นฐาน:**
  - **ผู้ต้องรับผิด:** ผู้ควบคุมข้อมูลส่วนบุคคล
  - **การกระทำ:**
    - ฝ่าฝืน [มาตรา 27](https://link.pdpalawbase.com/section/27.md) วรรค 1 หรือวรรค 2 — ใช้/เปิดเผยโดยไม่มีความยินยอม / ไม่เป็นไปตามวัตถุประสงค์
    - หรือไม่ปฏิบัติ [มาตรา 28](https://link.pdpalawbase.com/section/28.md) — ส่งหรือโอนไปต่างประเทศโดยไม่มีฐานที่ชอบ
  - **เงื่อนไขจำกัด:** เกี่ยวกับ**ข้อมูลส่วนบุคคลตาม [มาตรา 26](https://link.pdpalawbase.com/section/26.md)** (ข้อมูลอ่อนไหว)
  - **ผลที่คาดได้:** **น่าจะ**ทำให้ผู้อื่น
    - เกิดความเสียหาย
    - เสียชื่อเสียง
    - ถูกดูหมิ่น
    - ถูกเกลียดชัง
    - ได้รับความอับอาย
  - **โทษ:** จำคุกไม่เกิน **6 เดือน** หรือปรับไม่เกิน **5 แสนบาท** หรือทั้งจำทั้งปรับ
- **วรรค 2 — โทษเมื่อแสวงหาประโยชน์:**
  - การกระทำ + เงื่อนไขข้อมูลอ่อนไหวเหมือนวรรค 1
  - **เจตนาเฉพาะ:** เพื่อ**แสวงหาประโยชน์ที่มิควรได้โดยชอบด้วยกฎหมาย**สำหรับตนเองหรือผู้อื่น
  - **โทษ:** จำคุกไม่เกิน **1 ปี** หรือปรับไม่เกิน **1 ล้านบาท** หรือทั้งจำทั้งปรับ
- **วรรค 3 — ลักษณะความผิด:**
  - **ความผิดอันยอมความได้** — ผู้เสียหายเป็นผู้เริ่มคดี + ถอนฟ้องได้

## มาตราที่อ้างอิง

- [มาตรา 26](https://link.pdpalawbase.com/section/26.md) — ข้อมูลอ่อนไหว — ขอบเขตของความผิดมาตรานี้
- [มาตรา 27](https://link.pdpalawbase.com/section/27.md) — การใช้/เปิดเผยข้อมูลส่วนบุคคล — เป็นการฝ่าฝืนที่นำไปสู่โทษ
- [มาตรา 28](https://link.pdpalawbase.com/section/28.md) — การส่งหรือโอนข้อมูลไปต่างประเทศ — เป็นการไม่ปฏิบัติที่นำไปสู่โทษ

## หมายเหตุ

- **ทำไมโทษอาญาจึงสงวนไว้สำหรับข้อมูลอ่อนไหว ([มาตรา 26](https://link.pdpalawbase.com/section/26.md)) เท่านั้น:**
  - ข้อมูลอ่อนไหว (เชื้อชาติ ศาสนา ข้อมูลทางการแพทย์ ฯลฯ) มี**ผลกระทบรุนแรง**ต่อสิทธิเสรีภาพและศักดิ์ศรีของบุคคลถ้าถูกเปิดเผย
  - ข้อมูลทั่วไป (ที่ไม่ใช่ข้อมูลอ่อนไหว) มี**โทษทางปกครอง**เท่านั้น ([มาตรา 83](https://link.pdpalawbase.com/section/83.md))
  - หลักการ**โทษเรียงตามความรุนแรงของผลกระทบ**
- **เปรียบเทียบ 2 ระดับโทษ:**
  - **วรรค 1 (โทษพื้นฐาน):** การกระทำที่**น่าจะ**ทำให้เกิดผลร้ายแรง — ไม่ต้องเกิดผลจริง (เพียง "น่าจะ")
  - **วรรค 2 (โทษเพิ่ม):** การกระทำเพื่อ**แสวงหาประโยชน์** — เป็นความผิดที่มีโทษหนักขึ้น
  - การที่กฎหมายมี 2 ระดับ → ทำให้ศาลพิจารณาตามเจตนาผู้กระทำได้ละเอียดขึ้น
- **"ประโยชน์ที่มิควรได้โดยชอบด้วยกฎหมาย" — ตีความ:**
  - ครอบคลุม**ผลประโยชน์ทางการเงิน** (ขายข้อมูล) และ**ผลประโยชน์อื่น** (ใช้ขู่เข็ญ ฯลฯ)
  - ไม่จำเป็นต้องได้ประโยชน์จริง — การกระทำ**เพื่อ**แสวงหาก็เพียงพอ
- **"น่าจะ" — มาตรฐานการพิสูจน์:**
  - **ไม่ต้องเกิดผลจริง** — เพียงพิสูจน์ว่าการกระทำ**น่าจะ**ทำให้เกิดผล
  - คล้ายกับมาตรฐานในความผิดเกี่ยวกับเสรีภาพและชื่อเสียง ใน ป.อาญา ม.326 (หมิ่นประมาท)
- **ความผิดอันยอมความได้ — ผลในเชิงปฏิบัติ:**
  - ผู้เสียหาย (เจ้าของข้อมูล)**ต้องร้องทุกข์**ภายใน 3 เดือนนับแต่รู้เรื่องและรู้ตัวผู้กระทำ (ป.อาญา ม.96)
  - ผู้เสียหาย**ถอนคำร้องทุกข์**ได้ — สอดคล้องกับ [มาตรา 78](https://link.pdpalawbase.com/section/78.md) ที่ให้สิทธิเรียกค่าเสียหายทางแพ่ง
  - ตำรวจไม่สามารถสอบสวนได้เองโดยไม่มีคำร้องทุกข์
  - เปิดทางให้**ไกล่เกลี่ยและประนีประนอม** — สอดคล้องกับนโยบายลดคดีในศาล
- **เปรียบเทียบกับ [มาตรา 80](https://link.pdpalawbase.com/section/80.md):**
  - **มาตรานี้:** ผู้**ควบคุม**ฝ่าฝืน + เกี่ยวกับ**ข้อมูลอ่อนไหว** + ผลร้ายแรง
  - [มาตรา 80](https://link.pdpalawbase.com/section/80.md): **ผู้ใด**ที่ล่วงรู้ข้อมูลตามหน้าที่ พ.ร.บ. แล้วเปิดเผย — **ขอบเขตกว้างกว่า**
- **เปรียบเทียบกับโทษทางปกครอง [มาตรา 84](https://link.pdpalawbase.com/section/84.md):**
  - **ม.84 (ปกครอง):** ผู้ควบคุมฝ่าฝืนเกี่ยวกับข้อมูลอ่อนไหว → ปรับ 5 ล้าน
  - **มาตรานี้ (อาญา):** + ผลร้ายแรง → จำคุก 6 เดือน-1 ปี + ปรับ 5 แสน-1 ล้าน
  - **2 บทลงโทษคู่ขนาน** — ใช้พร้อมกันได้ (โทษทางปกครองสำหรับนิติบุคคล + โทษอาญาสำหรับบุคคลที่กระทำ)
- **ความเชื่อมโยงกับ [มาตรา 81](https://link.pdpalawbase.com/section/81.md):**
  - ถ้านิติบุคคลกระทำผิดตามมาตรานี้ → กรรมการ/ผู้จัดการ/ผู้รับผิดชอบ**ต้องรับโทษด้วย**ตาม [มาตรา 81](https://link.pdpalawbase.com/section/81.md)

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/section/79.md

============================================================
โนด: มาตรา 80
ลิงก์อ้างอิง: https://link.pdpalawbase.com/section/80.md

# มาตรา 80

## ตัวบท

> มาตรา 80 ผู้ใดล่วงรู้ข้อมูลส่วนบุคคลของผู้อื่นเนื่องจากการปฏิบัติหน้าที่ตามพระราชบัญญัตินี้ ถ้าผู้นั้นนำไปเปิดเผยแก่ผู้อื่น ต้องระวางโทษจำคุกไม่เกินหกเดือน หรือปรับไม่เกินห้าแสนบาท หรือทั้งจำทั้งปรับ
>
> ความในวรรคหนึ่ง มิให้นำมาใช้บังคับแก่การเปิดเผย ในกรณีดังต่อไปนี้
>
> (1) การเปิดเผยตามหน้าที่
>
> (2) การเปิดเผยเพื่อประโยชน์แก่การสอบสวน หรือการพิจารณาคดี
>
> (3) การเปิดเผยแก่หน่วยงานของรัฐในประเทศหรือต่างประเทศที่มีอำนาจหน้าที่ตามกฎหมาย
>
> (4) การเปิดเผยที่ได้รับความยินยอมเป็นหนังสือเฉพาะครั้งจากเจ้าของข้อมูลส่วนบุคคล
>
> (5) การเปิดเผยข้อมูลส่วนบุคคลที่เกี่ยวกับการฟ้องร้องคดีต่าง ๆ ที่เปิดเผยต่อสาธารณะ

## สรุป

มาตรานี้เป็น**ข้อห้ามการเปิดเผยข้อมูล**สำหรับผู้ที่**ล่วงรู้**ข้อมูลของผู้อื่นเนื่องจากการ**ปฏิบัติหน้าที่ตาม พ.ร.บ. นี้** — มี**โทษจำคุกไม่เกิน 6 เดือน หรือปรับ 5 แสนบาท** — มี**ข้อยกเว้น 5 ประการ**ที่เปิดเผยได้ชอบด้วยกฎหมาย: (1) ตามหน้าที่; (2) เพื่อการสอบสวน/พิจารณาคดี; (3) ให้หน่วยงานของรัฐที่มีอำนาจ; (4) มีความยินยอมเป็นหนังสือเฉพาะครั้ง; (5) ข้อมูลคดีที่เปิดเผยต่อสาธารณะแล้ว

## องค์ประกอบสำคัญ

- **วรรค 1 — บทลงโทษ:**
  - **ผู้ต้องรับผิด:** **ผู้ใด** — ขอบเขตกว้างมาก ไม่จำกัดเฉพาะผู้ควบคุม/ผู้ประมวลผล
    - กรรมการ ([มาตรา 8](https://link.pdpalawbase.com/section/8.md))
    - คณะกรรมการกำกับสำนักงาน ([มาตรา 48](https://link.pdpalawbase.com/section/48.md))
    - คณะกรรมการผู้เชี่ยวชาญ ([มาตรา 71](https://link.pdpalawbase.com/section/71.md))
    - เลขาธิการ ([มาตรา 58](https://link.pdpalawbase.com/section/58.md))
    - พนักงานสำนักงาน
    - พนักงานเจ้าหน้าที่ ([มาตรา 76](https://link.pdpalawbase.com/section/76.md))
  - **เงื่อนไข:**
    - **ล่วงรู้**ข้อมูลส่วนบุคคลของผู้อื่น
    - เนื่องจาก**การปฏิบัติหน้าที่ตาม พ.ร.บ. นี้**
    - **นำไปเปิดเผย**แก่ผู้อื่น
  - **โทษ:** จำคุกไม่เกิน **6 เดือน** หรือปรับไม่เกิน **5 แสนบาท** หรือทั้งจำทั้งปรับ
- **วรรค 2 — ข้อยกเว้น 5 ประการ:**
  1. **การเปิดเผยตามหน้าที่** — เช่น เลขาธิการรายงานต่อคณะกรรมการ
  2. **เพื่อประโยชน์แก่การสอบสวน หรือการพิจารณาคดี** — ตัวอย่าง: ตำรวจขอข้อมูลคดีอาญา
  3. **เปิดเผยแก่หน่วยงานของรัฐในประเทศหรือต่างประเทศ**ที่มีอำนาจหน้าที่ตามกฎหมาย — เช่น แลกเปลี่ยนข้อมูลกับ DPA ของอียู
  4. **มีความยินยอมเป็นหนังสือเฉพาะครั้ง**จากเจ้าของข้อมูล — มาตรฐานสูงกว่าความยินยอมทั่วไป
  5. **ข้อมูลที่เกี่ยวกับการฟ้องร้องคดีที่เปิดเผยต่อสาธารณะ**แล้ว — ข้อมูลที่อยู่ในชั้นศาลและเปิดเผยอยู่แล้ว

## มาตราที่อ้างอิง

(ไม่มีการอ้างอิงมาตราภายใน พ.ร.บ. ตรง — มาตรานี้เป็นข้อห้ามทั่วไปสำหรับผู้ปฏิบัติหน้าที่)

## หมายเหตุ

- **ขอบเขตของ "ผู้ใด" — เปรียบเทียบกับ [มาตรา 79](https://link.pdpalawbase.com/section/79.md):**
  - **มาตรานี้:** "ผู้ใด" — ครอบคลุมทั้ง**บุคคลภายในระบบ พ.ร.บ.** (กรรมการ พนักงาน) และบุคคลภายนอกที่ล่วงรู้ตามหน้าที่
  - [มาตรา 79](https://link.pdpalawbase.com/section/79.md): เฉพาะ "ผู้ควบคุมข้อมูลส่วนบุคคล"
  - 2 มาตรานี้ครอบคลุมการรั่วของข้อมูลจาก**คนละด้าน**
- **ความสัมพันธ์กับ [มาตรา 75](https://link.pdpalawbase.com/section/75.md) และ [มาตรา 76](https://link.pdpalawbase.com/section/76.md):**
  - คณะกรรมการผู้เชี่ยวชาญและพนักงานเจ้าหน้าที่มีอำนาจ**ล่วงรู้**ข้อมูลในการปฏิบัติหน้าที่
  - มาตรานี้คือ**บทลงโทษ**ถ้าใช้อำนาจแล้วเปิดเผยข้อมูลโดยมิชอบ
  - ทำให้อำนาจของคณะกรรมการ/พนักงานเจ้าหน้าที่อยู่ภายใต้**กรอบความรับผิดชอบ**
- **ข้อยกเว้น (1) "การเปิดเผยตามหน้าที่" — ขอบเขต:**
  - **ตามหน้าที่ที่ พ.ร.บ. หรือกฎหมายอื่นกำหนด** — เช่น
    - เลขาธิการเสนอรายงานประจำปีตาม [มาตรา 70](https://link.pdpalawbase.com/section/70.md)
    - คณะกรรมการผู้เชี่ยวชาญส่งต่อให้ผู้มีอำนาจตามกฎหมายอื่นตาม [มาตรา 74](https://link.pdpalawbase.com/section/74.md) วรรค 8
  - ไม่ใช่ "หน้าที่" ที่ตีความเอง — ต้องมีฐานทางกฎหมายชัดเจน
- **ข้อยกเว้น (3) "หน่วยงานของรัฐ...ในประเทศหรือต่างประเทศ":**
  - **ในประเทศ:** เช่น แลกเปลี่ยนข้อมูลกับสำนักงานตำรวจ, ผู้ตรวจการแผ่นดิน
  - **ต่างประเทศ:** กลไกความร่วมมือระหว่าง DPA — สอดคล้องกับ GDPR Art. 50
  - ข้อจำกัด: **มีอำนาจหน้าที่ตามกฎหมาย** — ไม่ใช่หน่วยงานเอกชน
- **ข้อยกเว้น (4) "ความยินยอมเป็นหนังสือ**เฉพาะครั้ง**":**
  - **มาตรฐานสูงกว่า** [มาตรา 19](https://link.pdpalawbase.com/section/19.md) (ความยินยอมทั่วไป)
  - ต้องเป็น**ลายลักษณ์อักษร**
  - **เฉพาะครั้ง** — ไม่ใช่ความยินยอมแบบกว้าง ๆ ใช้ได้หลายครั้ง
  - ออกแบบให้เจ้าของข้อมูล**เห็นชัด**ว่าจะมีการเปิดเผย
- **ข้อยกเว้น (5) "ข้อมูลที่เกี่ยวกับการฟ้องร้องคดี":**
  - คำพิพากษา/คำฟ้องที่**เปิดเผยต่อสาธารณะแล้ว**
  - ตามหลักการ**เปิดเผยกระบวนการยุติธรรม** (ป.วิ.อาญา ม.149 ทวิ)
- **ความเชื่อมโยงกับหลักการคุ้มครองข้อมูลทั่วไป:**
  - มาตรานี้คือกลไกบังคับ**หน้าที่รักษาความลับ**ของผู้ปฏิบัติหน้าที่ตาม พ.ร.บ.
  - คล้ายกับหน้าที่รักษาความลับใน GDPR ที่ผูกพัน DPA และเจ้าหน้าที่
  - สอดคล้องกับหลัก**ความน่าเชื่อถือของระบบ** — ถ้าเจ้าของข้อมูลไม่เชื่อว่าหน่วยงานคุ้มครองจะเก็บความลับ → จะไม่ใช้สิทธิร้องเรียน
- **เปรียบเทียบกับโทษทางปกครอง:**
  - มาตรานี้เป็น**โทษอาญา** — เนื่องจากผู้กระทำเป็น**บุคคล**ที่ปฏิบัติหน้าที่
  - ไม่มีโทษทางปกครองคู่ขนาน — เพราะการลงโทษทางปกครองเหมาะกับผู้ควบคุม/ผู้ประมวลผล (นิติบุคคล/องค์กร) มากกว่า
- **อายุความ:**
  - โทษจำคุกไม่เกิน 6 เดือน → อายุความ 5 ปี (ป.อาญา ม.95)
  - ไม่ใช่ความผิดอันยอมความได้ (ตัวบทไม่ระบุ) — ต่างจาก [มาตรา 79](https://link.pdpalawbase.com/section/79.md)

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/section/80.md

============================================================
โนด: มาตรา 81
ลิงก์อ้างอิง: https://link.pdpalawbase.com/section/81.md

# มาตรา 81

## ตัวบท

> มาตรา 81 ในกรณีที่ผู้กระทำความผิดตามพระราชบัญญัตินี้เป็นนิติบุคคล ถ้าการกระทำความผิดของนิติบุคคลนั้นเกิดจากการสั่งการหรือการกระทำของกรรมการหรือผู้จัดการ หรือบุคคลใดซึ่งรับผิดชอบในการดำเนินงานของนิติบุคคลนั้น หรือในกรณีที่บุคคลดังกล่าวมีหน้าที่ต้องสั่งการหรือกระทำการและละเว้นไม่สั่งการหรือไม่กระทำการจนเป็นเหตุให้นิติบุคคลนั้นกระทำความผิด ผู้นั้นต้องรับโทษตามที่บัญญัติไว้สำหรับความผิดนั้น ๆ ด้วย

## สรุป

มาตรานี้กำหนดให้**กรรมการ ผู้จัดการ หรือผู้รับผิดชอบในการดำเนินงาน**ของนิติบุคคล**ต้องรับโทษ**ตาม พ.ร.บ. นี้**ด้วย**ในกรณีที่นิติบุคคลกระทำความผิด ครอบคลุม **2 ลักษณะ**: (1) **การสั่งการหรือการกระทำ** ที่นำไปสู่ความผิด; (2) **การละเว้น**ไม่สั่งการ/ไม่กระทำการที่ตน**มีหน้าที่**ต้องทำ — เป็นกลไกที่ทำให้**ผู้บริหารระดับสูง**ของนิติบุคคลรับผิดทางอาญาเช่นเดียวกับนิติบุคคล

## องค์ประกอบสำคัญ

- **เงื่อนไขเปิดมาตรา:**
  - **ผู้กระทำความผิดเป็นนิติบุคคล** — บริษัท/มูลนิธิ/หน่วยงานของรัฐ/ฯลฯ
  - **ความผิดตาม พ.ร.บ. นี้** — ครอบคลุมโทษอาญาทั้งหมดในส่วนที่ 1
- **บุคคลที่อาจรับโทษด้วย 3 ประเภท:**
  - **กรรมการ** — สมาชิกคณะกรรมการบริษัท
  - **ผู้จัดการ** — ผู้บริหารระดับสูง
  - **บุคคลใดซึ่งรับผิดชอบในการดำเนินงาน**ของนิติบุคคล — ขอบเขตเปิด
- **2 ลักษณะการกระทำที่นำไปสู่ความรับผิด:**
  - **(1) การสั่งการหรือการกระทำ:**
    - **เชิงรุก** — สั่ง/กระทำให้นิติบุคคลกระทำความผิด
  - **(2) การละเว้น:**
    - **เชิงละเว้น** — มีหน้าที่ต้องสั่งการ/กระทำ แต่**ละเว้น**
    - **เป็นเหตุ**ให้นิติบุคคลกระทำความผิด
- **ผลทางกฎหมาย:**
  - บุคคลดังกล่าว**ต้องรับโทษ**ตามที่บัญญัติสำหรับความผิดนั้น ๆ **ด้วย**
  - ความรับผิดของบุคคล + ความรับผิดของนิติบุคคล**คู่ขนาน**

## มาตราที่อ้างอิง

- [มาตรา 79](https://link.pdpalawbase.com/section/79.md) — โทษอาญาสำหรับผู้ควบคุมที่ฝ่าฝืน [มาตรา 27](https://link.pdpalawbase.com/section/27.md)/[มาตรา 28](https://link.pdpalawbase.com/section/28.md) เกี่ยวกับข้อมูลอ่อนไหว — ถ้าผู้ควบคุมเป็นนิติบุคคล มาตรานี้ใช้
- [มาตรา 80](https://link.pdpalawbase.com/section/80.md) — โทษอาญาสำหรับผู้ล่วงรู้ข้อมูลตามหน้าที่ พ.ร.บ. แล้วเปิดเผย — ถ้าผู้กระทำเป็นนิติบุคคล มาตรานี้ใช้

## หมายเหตุ

- **เหตุที่ต้องมีบทลงโทษกรรมการ/ผู้จัดการ:**
  - นิติบุคคลเป็น**สมมติบุคคล** — ไม่สามารถจำคุกได้
  - การลงโทษ**ปรับนิติบุคคล**อย่างเดียวอาจไม่เพียงพอที่จะป้องปราม
  - การ**ระบุตัวบุคคลที่รับผิดชอบ**ทำให้บทลงโทษมีน้ำหนัก
- **เปรียบเทียบกับ ป.อาญา ม.84 (แห่งบทลงโทษการกระทำของลูกจ้าง):**
  - **ป.อาญา ม.84:** ผู้ใช้ให้ผู้อื่นกระทำความผิด → รับโทษเสมือนเป็นตัวการ
  - **มาตรานี้:** ลักษณะเฉพาะของความรับผิดของผู้บริหารนิติบุคคล — ครอบคลุมทั้งการกระทำและการละเว้น
- **เปรียบเทียบกับกฎหมายไทยอื่นที่มีบทลงโทษคู่ขนานทำนองนี้:**
  - **พ.ร.บ. ว่าด้วยการกระทำความผิดเกี่ยวกับคอมพิวเตอร์ ม.16:** ลักษณะเดียวกัน
  - **พ.ร.บ. คุ้มครองผู้บริโภค ม.59:** ลักษณะเดียวกัน
  - **พ.ร.บ. หลักทรัพย์ ม.300:** ครอบคลุมกรรมการบริษัทจดทะเบียน
- **"ผู้รับผิดชอบในการดำเนินงาน" — ขอบเขต:**
  - **ไม่จำกัดเฉพาะตำแหน่งทางการ** — ไม่ใช่ "กรรมการ" หรือ "ผู้จัดการ" เท่านั้น
  - ครอบคลุม**บุคคลที่มีอำนาจตัดสินใจในการดำเนินงาน** — เช่น ผู้บริหารฝ่ายการเงิน ผู้บริหารฝ่ายปฏิบัติการ ผู้บริหารฝ่ายเทคโนโลยีสารสนเทศ
  - **DPO** ([มาตรา 41](https://link.pdpalawbase.com/section/41.md)) อาจเข้าข่ายถ้าเป็นผู้รับผิดชอบในการดำเนินงานเกี่ยวกับการคุ้มครองข้อมูล
- **การละเว้น — เกณฑ์การพิจารณา:**
  - **ต้องมีหน้าที่ต้องสั่งการ/กระทำการ** — เช่น
    - กรรมการมีหน้าที่กำกับดูแลการปฏิบัติตาม พ.ร.บ.
    - DPO มีหน้าที่ตรวจสอบและให้คำแนะนำตาม [มาตรา 42](https://link.pdpalawbase.com/section/42.md)
  - **ละเว้น**ไม่ทำหน้าที่ — เช่น ไม่ตั้ง DPO, ไม่ทำ DPIA, ไม่จัดทำ ROPA
  - **เป็นเหตุ**ให้นิติบุคคลกระทำความผิด
- **ภาระการพิสูจน์:**
  - **อัยการ/โจทก์:** พิสูจน์
    - การกระทำความผิดของนิติบุคคล
    - การสั่งการ/กระทำ/ละเว้นของบุคคลที่อ้างว่ารับผิด
    - ความสัมพันธ์เชิงเหตุผล
  - **บุคคลผู้ถูกกล่าวหา:** อาจอ้างว่า
    - ไม่ได้สั่งการ/กระทำ/ละเว้น
    - ไม่มีหน้าที่ตามที่อ้าง
- **กรณีคณะกรรมการมีมติเป็นกลุ่ม:**
  - **กรรมการที่ลงคะแนนเห็นชอบ** — อาจเข้าข่ายมาตรานี้
  - **กรรมการที่คัดค้านและบันทึกในรายงานการประชุม** — อาจอ้างว่าไม่ได้ "สั่งการ"
  - หลักการนี้สอดคล้องกับ ป.พ.พ. ม.1170 (ความรับผิดของกรรมการบริษัท)

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/section/81.md

============================================================
โนด: มาตรา 82
ลิงก์อ้างอิง: https://link.pdpalawbase.com/section/82.md

# มาตรา 82

## ตัวบท

> มาตรา 82 ผู้ควบคุมข้อมูลส่วนบุคคลผู้ใดไม่ปฏิบัติตามมาตรา 23 มาตรา 30 วรรคสี่ มาตรา 39 วรรคหนึ่ง มาตรา 41 วรรคหนึ่ง หรือมาตรา 42 วรรคสองหรือวรรคสาม หรือไม่ขอความยินยอมตามแบบหรือข้อความที่คณะกรรมการประกาศกำหนดตามมาตรา 19 วรรคสาม หรือไม่แจ้งผลกระทบจากการถอนความยินยอมตามมาตรา 19 วรรคหก หรือไม่ปฏิบัติตามมาตรา 23 ซึ่งได้นำมาใช้บังคับโดยอนุโลมตามมาตรา 25 วรรคสอง ต้องระวางโทษปรับทางปกครองไม่เกินหนึ่งล้านบาท

## สรุป

มาตรานี้เปิดส่วนที่ 2 (โทษทางปกครอง) ของหมวด 7 — กำหนด**โทษปรับทางปกครองไม่เกิน 1 ล้านบาท**สำหรับผู้ควบคุมที่**ไม่ปฏิบัติตามหน้าที่พื้นฐาน 7 ข้อ**: (1) [มาตรา 23](https://link.pdpalawbase.com/section/23.md) (แจ้งวัตถุประสงค์); (2) [มาตรา 30](https://link.pdpalawbase.com/section/30.md) วรรค 4 (สิทธิเข้าถึงข้อมูล); (3) [มาตรา 39](https://link.pdpalawbase.com/section/39.md) วรรค 1 (จัดทำ ROPA); (4) [มาตรา 41](https://link.pdpalawbase.com/section/41.md) วรรค 1 (ตั้ง DPO/ตัวแทน); (5) [มาตรา 42](https://link.pdpalawbase.com/section/42.md) วรรค 2/3 (หน้าที่ DPO); (6) [มาตรา 19](https://link.pdpalawbase.com/section/19.md) วรรค 3 (รูปแบบความยินยอม); (7) [มาตรา 19](https://link.pdpalawbase.com/section/19.md) วรรค 6 (แจ้งผลกระทบการถอนความยินยอม)

## องค์ประกอบสำคัญ

- **ผู้ต้องรับผิด:** ผู้ควบคุมข้อมูลส่วนบุคคล
- **โทษ:** ปรับทางปกครอง**ไม่เกิน 1 ล้านบาท**
- **การกระทำที่นำไปสู่โทษ:**
  - ไม่ปฏิบัติตาม [มาตรา 23](https://link.pdpalawbase.com/section/23.md) — แจ้งให้เจ้าของข้อมูลทราบก่อน/ขณะเก็บรวบรวม
  - ไม่ปฏิบัติตาม [มาตรา 30](https://link.pdpalawbase.com/section/30.md) วรรค 4 — ไม่ตอบสนองคำขอเข้าถึงข้อมูล
  - ไม่ปฏิบัติตาม [มาตรา 39](https://link.pdpalawbase.com/section/39.md) วรรค 1 — ไม่จัดทำบันทึกรายการ (ROPA)
  - ไม่ปฏิบัติตาม [มาตรา 41](https://link.pdpalawbase.com/section/41.md) วรรค 1 — ไม่แต่งตั้งตัวแทน/เจ้าหน้าที่คุ้มครองข้อมูล (DPO)
  - ไม่ปฏิบัติตาม [มาตรา 42](https://link.pdpalawbase.com/section/42.md) วรรค 2 หรือ 3 — ไม่สนับสนุน DPO หรือไม่เปิดเผยช่องทางติดต่อ DPO
  - ไม่ขอความยินยอมตามแบบที่คณะกรรมการประกาศกำหนดตาม [มาตรา 19](https://link.pdpalawbase.com/section/19.md) วรรค 3
  - ไม่แจ้งผลกระทบจากการถอนความยินยอมตาม [มาตรา 19](https://link.pdpalawbase.com/section/19.md) วรรค 6
  - ไม่ปฏิบัติตาม [มาตรา 23](https://link.pdpalawbase.com/section/23.md) อนุโลมจาก [มาตรา 25](https://link.pdpalawbase.com/section/25.md) วรรค 2 (ข้อมูลจากแหล่งอื่น)

## มาตราที่อ้างอิง

- [มาตรา 19](https://link.pdpalawbase.com/section/19.md) — การขอความยินยอม — วรรค 3 (รูปแบบ) + วรรค 6 (แจ้งผลกระทบการถอน)
- [มาตรา 23](https://link.pdpalawbase.com/section/23.md) — แจ้งวัตถุประสงค์ก่อน/ขณะเก็บ
- [มาตรา 25](https://link.pdpalawbase.com/section/25.md) — การเก็บข้อมูลจากแหล่งอื่น — วรรค 2 อนุโลม [มาตรา 23](https://link.pdpalawbase.com/section/23.md)
- [มาตรา 30](https://link.pdpalawbase.com/section/30.md) — สิทธิเข้าถึงข้อมูล — วรรค 4 (ตอบสนองคำขอภายในเวลา)
- [มาตรา 39](https://link.pdpalawbase.com/section/39.md) — บันทึกรายการการประมวลผล (ROPA) — วรรค 1
- [มาตรา 41](https://link.pdpalawbase.com/section/41.md) — การตั้งตัวแทน/DPO — วรรค 1
- [มาตรา 42](https://link.pdpalawbase.com/section/42.md) — สนับสนุน DPO + ช่องทางติดต่อ — วรรค 2-3

## หมายเหตุ

- **โทษ 1 ล้าน — เกณฑ์ระดับที่ 1 ของ 3 ระดับ:**
  - **1 ล้าน:** หน้าที่พื้นฐาน — แจ้ง/ตั้งคน/ตอบสนอง ([มาตรา 82](https://link.pdpalawbase.com/section/82.md))
  - **3 ล้าน:** หน้าที่ใจกลาง — ฐานในการประมวลผล/วัตถุประสงค์ ([มาตรา 83](https://link.pdpalawbase.com/section/83.md))
  - **5 ล้าน:** ข้อมูลอ่อนไหว ([มาตรา 84](https://link.pdpalawbase.com/section/84.md))
- **เหตุที่หน้าที่ในมาตรานี้ปรับเพียง 1 ล้าน:**
  - เป็น**หน้าที่ปฏิบัติ**มากกว่า**หน้าที่ใจกลาง**
  - การละเลยทำให้กระบวนการ**ไม่โปร่งใส** แต่ไม่กระทบ**ฐาน**ในการประมวลผล
  - การแก้ไขทำได้ทันที (ไม่จำเป็นต้องลบข้อมูล)
- **เปรียบเทียบกับ [มาตรา 83](https://link.pdpalawbase.com/section/83.md):**
  - **มาตรานี้ ([มาตรา 82](https://link.pdpalawbase.com/section/82.md)):** ไม่แจ้ง/ไม่ตั้งคน/ไม่ตอบสนอง → ปรับ 1 ล้าน
  - [มาตรา 83](https://link.pdpalawbase.com/section/83.md): ฝ่าฝืน**ฐานในการประมวลผล** ([มาตรา 24](https://link.pdpalawbase.com/section/24.md) เป็นต้น) → ปรับ 3 ล้าน
  - 2 มาตราเป็น**ลำดับขั้น**ของความรุนแรง
- **ภาวะความรับผิด — เปรียบเทียบกับ [มาตรา 77](https://link.pdpalawbase.com/section/77.md):**
  - **[มาตรา 77](https://link.pdpalawbase.com/section/77.md) (ความรับผิดทางแพ่ง):** ใช้หลักความรับผิดเด็ดขาด — ผู้ควบคุมรับผิดเสมอ เว้นแต่พิสูจน์ข้อยกเว้น 2 ข้อ
  - **มาตรานี้ (โทษทางปกครอง):** ใช้หลักความผิดทั่วไปของกฎหมายทางปกครอง — ผู้ควบคุมต้องมี**ความผิด** (จงใจหรือประมาทเลินเล่อ) แต่ภาระการพิสูจน์เบากว่ามาตรฐานทางอาญา
- **การพิจารณาจำนวนเงินค่าปรับ:**
  - คณะกรรมการผู้เชี่ยวชาญพิจารณาตาม [มาตรา 90](https://link.pdpalawbase.com/section/90.md)
  - **5 พฤติการณ์:** ความร้ายแรง / ขนาดกิจการ / พฤติการณ์อื่น (ต่อ [มาตรา 90](https://link.pdpalawbase.com/section/90.md) วรรค 2)
  - อาจ**สั่งให้แก้ไขหรือตักเตือน**ก่อนปรับ ([มาตรา 90](https://link.pdpalawbase.com/section/90.md) วรรค 1)
- **ความเชื่อมโยงกับ [มาตรา 85](https://link.pdpalawbase.com/section/85.md) (ผู้ประมวลผล):**
  - **มาตรานี้:** ผู้**ควบคุม**ไม่ปฏิบัติ [มาตรา 41](https://link.pdpalawbase.com/section/41.md) ว.1, [มาตรา 42](https://link.pdpalawbase.com/section/42.md) ว.2/3 → 1 ล้าน
  - [มาตรา 85](https://link.pdpalawbase.com/section/85.md): ผู้**ประมวลผล**ไม่ปฏิบัติ [มาตรา 41](https://link.pdpalawbase.com/section/41.md) ว.1, [มาตรา 42](https://link.pdpalawbase.com/section/42.md) ว.2/3 → 1 ล้าน
  - **ระดับโทษเท่ากัน** — เพราะหน้าที่เหมือนกัน เพียงแต่ผู้รับผิดต่างกัน

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/section/82.md

============================================================
โนด: มาตรา 83
ลิงก์อ้างอิง: https://link.pdpalawbase.com/section/83.md

# มาตรา 83

## ตัวบท

> มาตรา 83 ผู้ควบคุมข้อมูลส่วนบุคคลผู้ใดฝ่าฝืนหรือไม่ปฏิบัติตามมาตรา 21 มาตรา 22 มาตรา 24 มาตรา 25 วรรคหนึ่ง มาตรา 27 วรรคหนึ่งหรือวรรคสอง มาตรา 28 มาตรา 32 วรรคสอง หรือมาตรา 37 หรือขอความยินยอมโดยการหลอกลวงหรือทำให้เจ้าของข้อมูลส่วนบุคคลเข้าใจผิดในวัตถุประสงค์ หรือไม่ปฏิบัติตามมาตรา 21 ซึ่งได้นำมาใช้บังคับโดยอนุโลมตามมาตรา 25 วรรคสอง หรือส่งหรือโอนข้อมูลส่วนบุคคลโดยไม่เป็นไปตามมาตรา 29 วรรคหนึ่งหรือวรรคสาม ต้องระวางโทษปรับทางปกครองไม่เกินสามล้านบาท

## สรุป

มาตรานี้กำหนด**โทษปรับทางปกครองไม่เกิน 3 ล้านบาท** — ระดับกลางในส่วนที่ 2 — สำหรับผู้ควบคุมที่ฝ่าฝืน**หน้าที่ใจกลาง 9 ข้อ**: [มาตรา 21](https://link.pdpalawbase.com/section/21.md) (ใช้ตามวัตถุประสงค์); [มาตรา 22](https://link.pdpalawbase.com/section/22.md) (เก็บเท่าที่จำเป็น); [มาตรา 24](https://link.pdpalawbase.com/section/24.md) (ฐานเก็บข้อมูล); [มาตรา 25](https://link.pdpalawbase.com/section/25.md) (เก็บจากแหล่งอื่น); [มาตรา 27](https://link.pdpalawbase.com/section/27.md) (ใช้/เปิดเผยข้อมูลทั่วไป); [มาตรา 28](https://link.pdpalawbase.com/section/28.md) (ส่งต่างประเทศ); [มาตรา 32](https://link.pdpalawbase.com/section/32.md) วรรค 2 (สิทธิคัดค้าน); [มาตรา 37](https://link.pdpalawbase.com/section/37.md) (หน้าที่รักษาความปลอดภัย); [มาตรา 29](https://link.pdpalawbase.com/section/29.md) วรรค 1/3 (ส่งโอนข้อมูล) — รวมทั้ง**การหลอกลวง**ในการขอความยินยอม

## องค์ประกอบสำคัญ

- **ผู้ต้องรับผิด:** ผู้ควบคุมข้อมูลส่วนบุคคล
- **โทษ:** ปรับทางปกครอง**ไม่เกิน 3 ล้านบาท**
- **การกระทำ 3 กลุ่ม:**
  - **กลุ่ม 1 — ฝ่าฝืนหน้าที่ใจกลาง:**
    - [มาตรา 21](https://link.pdpalawbase.com/section/21.md) — ต้องใช้ข้อมูลตามวัตถุประสงค์ที่แจ้ง
    - [มาตรา 22](https://link.pdpalawbase.com/section/22.md) — เก็บเท่าที่จำเป็น
    - [มาตรา 24](https://link.pdpalawbase.com/section/24.md) — ฐานในการเก็บข้อมูล (ความยินยอม + 6 ฐานอื่น)
    - [มาตรา 25](https://link.pdpalawbase.com/section/25.md) วรรค 1 — เก็บจากแหล่งอื่นต้องมีฐาน
    - [มาตรา 27](https://link.pdpalawbase.com/section/27.md) วรรค 1 หรือ 2 — ใช้/เปิดเผยตามฐาน + วัตถุประสงค์
    - [มาตรา 28](https://link.pdpalawbase.com/section/28.md) — ส่งต่างประเทศ
    - [มาตรา 32](https://link.pdpalawbase.com/section/32.md) วรรค 2 — เคารพสิทธิคัดค้านการประมวลผล
    - [มาตรา 37](https://link.pdpalawbase.com/section/37.md) — มาตรการรักษาความปลอดภัย
  - **กลุ่ม 2 — การหลอกลวง:**
    - **ขอความยินยอมโดยการหลอกลวง** หรือ
    - **ทำให้เจ้าของข้อมูลเข้าใจผิดในวัตถุประสงค์**
    - หรือไม่ปฏิบัติ [มาตรา 21](https://link.pdpalawbase.com/section/21.md) อนุโลมจาก [มาตรา 25](https://link.pdpalawbase.com/section/25.md) วรรค 2
  - **กลุ่ม 3 — การส่งโอน:**
    - ส่ง/โอนข้อมูลโดยไม่เป็นไปตาม [มาตรา 29](https://link.pdpalawbase.com/section/29.md) วรรค 1 หรือ 3

## มาตราที่อ้างอิง

- [มาตรา 21](https://link.pdpalawbase.com/section/21.md) — ใช้ข้อมูลตามวัตถุประสงค์
- [มาตรา 22](https://link.pdpalawbase.com/section/22.md) — เก็บเท่าที่จำเป็น
- [มาตรา 24](https://link.pdpalawbase.com/section/24.md) — ฐานในการเก็บข้อมูลทั่วไป
- [มาตรา 25](https://link.pdpalawbase.com/section/25.md) — การเก็บจากแหล่งอื่น
- [มาตรา 27](https://link.pdpalawbase.com/section/27.md) — การใช้และเปิดเผย
- [มาตรา 28](https://link.pdpalawbase.com/section/28.md) — การส่งหรือโอนไปต่างประเทศ
- [มาตรา 29](https://link.pdpalawbase.com/section/29.md) — ฐานสำหรับการส่งหรือโอน
- [มาตรา 32](https://link.pdpalawbase.com/section/32.md) — สิทธิคัดค้าน
- [มาตรา 37](https://link.pdpalawbase.com/section/37.md) — มาตรการรักษาความปลอดภัย

## หมายเหตุ

- **เหตุที่ปรับ 3 ล้าน — สูงกว่า [มาตรา 82](https://link.pdpalawbase.com/section/82.md):**
  - หน้าที่ใน [มาตรา 82](https://link.pdpalawbase.com/section/82.md) เป็น**ปฏิบัติ** — ไม่แจ้ง/ไม่ตั้งคน/ไม่ตอบ
  - หน้าที่ในมาตรานี้เป็น**ใจกลาง** — ฐาน/วัตถุประสงค์/ความปลอดภัย
  - การละเลยกระทบ**สิทธิของเจ้าของข้อมูลโดยตรง**
- **3 ระดับโทษทางปกครองสำหรับผู้ควบคุม:**
  - **1 ล้าน:** หน้าที่ปฏิบัติ ([มาตรา 82](https://link.pdpalawbase.com/section/82.md))
  - **3 ล้าน:** หน้าที่ใจกลาง (มาตรานี้) — ข้อมูลทั่วไป
  - **5 ล้าน:** ข้อมูลอ่อนไหว ([มาตรา 84](https://link.pdpalawbase.com/section/84.md))
- **การหลอกลวงในการขอความยินยอม — ลักษณะเฉพาะ:**
  - ความยินยอมต้อง**ชัดเจน เข้าใจได้** ตาม [มาตรา 19](https://link.pdpalawbase.com/section/19.md)
  - การหลอกลวงทำให้ความยินยอม**ไม่สมบูรณ์** — เจ้าของข้อมูลตัดสินใจโดยไม่รู้ความจริง
  - มาตรานี้กำหนดโทษ**โดยตรง**ต่อการหลอกลวง — เพิ่มความเข้มข้นของหลักการความยินยอม
- **เปรียบเทียบ [มาตรา 27](https://link.pdpalawbase.com/section/27.md) ในมาตรานี้ vs [มาตรา 79](https://link.pdpalawbase.com/section/79.md):**
  - **มาตรานี้ ([มาตรา 83](https://link.pdpalawbase.com/section/83.md)) — โทษทางปกครอง:** ฝ่าฝืน [มาตรา 27](https://link.pdpalawbase.com/section/27.md) ว.1/2 (ข้อมูลทั่วไป) → 3 ล้าน
  - [มาตรา 79](https://link.pdpalawbase.com/section/79.md) — โทษอาญา: ฝ่าฝืน [มาตรา 27](https://link.pdpalawbase.com/section/27.md) ว.1/2 + เกี่ยวกับข้อมูลอ่อนไหว ([มาตรา 26](https://link.pdpalawbase.com/section/26.md)) + ผลร้ายแรง → จำคุก/ปรับ
  - **2 บทลงโทษคู่ขนาน** — แยกตามประเภทข้อมูลและผลกระทบ
- **กลไกป้องกันการหลีกเลี่ยง:**
  - มาตรานี้ครอบคลุมทั้ง**ฝ่าฝืน**และ**ไม่ปฏิบัติ**
  - ครอบคลุม [มาตรา 21](https://link.pdpalawbase.com/section/21.md) อนุโลมจาก [มาตรา 25](https://link.pdpalawbase.com/section/25.md) วรรค 2 — ปิดช่องที่ผู้ควบคุมจะหลีกเลี่ยงโดยเก็บจากแหล่งอื่น
- **เปรียบเทียบกับ [มาตรา 86](https://link.pdpalawbase.com/section/86.md) (ผู้ประมวลผล):**
  - **มาตรานี้:** ผู้ควบคุม → 3 ล้าน
  - [มาตรา 86](https://link.pdpalawbase.com/section/86.md): ผู้ประมวลผล → 3 ล้าน
  - ระดับเท่ากันแต่หน้าที่ต่างกัน — สอดคล้องกับ**ความรับผิดร่วม**ของผู้ควบคุมและผู้ประมวลผล

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/section/83.md

============================================================
โนด: มาตรา 84
ลิงก์อ้างอิง: https://link.pdpalawbase.com/section/84.md

# มาตรา 84

## ตัวบท

> มาตรา 84 ผู้ควบคุมข้อมูลส่วนบุคคลผู้ใดฝ่าฝืนมาตรา 26 วรรคหนึ่งหรือวรรคสาม หรือฝ่าฝืนมาตรา 27 วรรคหนึ่งหรือวรรคสอง หรือมาตรา 28 อันเกี่ยวกับข้อมูลส่วนบุคคลตามมาตรา 26 หรือส่งหรือโอนข้อมูลส่วนบุคคลตามมาตรา 26 โดยไม่เป็นไปตามมาตรา 29 วรรคหนึ่งหรือวรรคสาม ต้องระวางโทษปรับทางปกครองไม่เกินห้าล้านบาท

## สรุป

มาตรานี้กำหนด**โทษปรับทางปกครองสูงสุด 5 ล้านบาท** — ระดับสูงสุดในส่วนที่ 2 — สำหรับผู้ควบคุมที่ฝ่าฝืนเกี่ยวกับ**ข้อมูลอ่อนไหว** ([มาตรา 26](https://link.pdpalawbase.com/section/26.md)) ใน 4 กรณี: (1) [มาตรา 26](https://link.pdpalawbase.com/section/26.md) วรรค 1/3 (ฐานเก็บข้อมูลอ่อนไหว); (2) [มาตรา 27](https://link.pdpalawbase.com/section/27.md) วรรค 1/2 เกี่ยวกับข้อมูลอ่อนไหว (ใช้/เปิดเผย); (3) [มาตรา 28](https://link.pdpalawbase.com/section/28.md) เกี่ยวกับข้อมูลอ่อนไหว (ส่งต่างประเทศ); (4) ส่ง/โอนข้อมูลอ่อนไหวไม่ตาม [มาตรา 29](https://link.pdpalawbase.com/section/29.md) วรรค 1/3

## องค์ประกอบสำคัญ

- **ผู้ต้องรับผิด:** ผู้ควบคุมข้อมูลส่วนบุคคล
- **โทษ:** ปรับทางปกครอง**ไม่เกิน 5 ล้านบาท**
- **เงื่อนไขร่วม:** ทุกการกระทำเกี่ยวข้องกับ**ข้อมูลอ่อนไหว** ([มาตรา 26](https://link.pdpalawbase.com/section/26.md))
- **การกระทำ 4 กรณี:**
  - **(1)** ฝ่าฝืน [มาตรา 26](https://link.pdpalawbase.com/section/26.md) วรรค 1 หรือ 3 — ฐานในการเก็บข้อมูลอ่อนไหว (ความยินยอมโดยชัดแจ้ง + 6 ฐานข้อยกเว้น) / การจัดการข้อมูลที่กฎหมายอื่นกำหนด
  - **(2)** ฝ่าฝืน [มาตรา 27](https://link.pdpalawbase.com/section/27.md) วรรค 1 หรือ 2 — ใช้/เปิดเผย — เกี่ยวกับข้อมูลอ่อนไหว
  - **(3)** ฝ่าฝืน [มาตรา 28](https://link.pdpalawbase.com/section/28.md) — ส่งหรือโอนไปต่างประเทศ — เกี่ยวกับข้อมูลอ่อนไหว
  - **(4)** ส่งหรือโอนข้อมูลอ่อนไหวโดยไม่เป็นไปตาม [มาตรา 29](https://link.pdpalawbase.com/section/29.md) วรรค 1 หรือ 3

## มาตราที่อ้างอิง

- [มาตรา 26](https://link.pdpalawbase.com/section/26.md) — ข้อมูลอ่อนไหว — ขอบเขตของความผิดทุกกรณีในมาตรานี้
- [มาตรา 27](https://link.pdpalawbase.com/section/27.md) — การใช้/เปิดเผยข้อมูล — กรณี (2)
- [มาตรา 28](https://link.pdpalawbase.com/section/28.md) — การส่งไปต่างประเทศ — กรณี (3)
- [มาตรา 29](https://link.pdpalawbase.com/section/29.md) — ฐานสำหรับการส่งหรือโอน — กรณี (4)

## หมายเหตุ

- **โทษ 5 ล้าน — โทษปรับทางปกครองสูงสุดใน พ.ร.บ.:**
  - ใช้กับ**ข้อมูลอ่อนไหว**เท่านั้น — สอดคล้องกับหลักการคุ้มครองพิเศษของข้อมูลอ่อนไหว
  - **ความรุนแรงของผลกระทบ** หากข้อมูลอ่อนไหวรั่วไหล (เช่น ข้อมูลทางการแพทย์, รสนิยมทางเพศ, เชื้อชาติ) → ผลร้ายแรง
- **3 ระดับโทษทางปกครองของผู้ควบคุม — สรุป:**
  - **1 ล้าน ([มาตรา 82](https://link.pdpalawbase.com/section/82.md)):** หน้าที่ปฏิบัติ
  - **3 ล้าน ([มาตรา 83](https://link.pdpalawbase.com/section/83.md)):** หน้าที่ใจกลาง — ข้อมูลทั่วไป
  - **5 ล้าน (มาตรานี้):** ข้อมูลอ่อนไหว
- **เปรียบเทียบกับ [มาตรา 79](https://link.pdpalawbase.com/section/79.md) (โทษอาญา):**
  - **มาตรานี้ (โทษทางปกครอง):** ฝ่าฝืน [มาตรา 27](https://link.pdpalawbase.com/section/27.md) เกี่ยวกับข้อมูลอ่อนไหว → 5 ล้าน — ใช้กับ**ทุกการฝ่าฝืน**
  - [มาตรา 79](https://link.pdpalawbase.com/section/79.md) (โทษอาญา): ฝ่าฝืน [มาตรา 27](https://link.pdpalawbase.com/section/27.md) เกี่ยวกับข้อมูลอ่อนไหว + **ผลร้ายแรง** ([มาตรา 79](https://link.pdpalawbase.com/section/79.md) ว.1) หรือ **เพื่อแสวงหาประโยชน์** (ว.2) → จำคุก + ปรับ
  - **ใช้คู่กันได้** — โทษทางปกครองสำหรับนิติบุคคล + โทษอาญาสำหรับบุคคลที่กระทำ
- **เปรียบเทียบกับ [มาตรา 87](https://link.pdpalawbase.com/section/87.md) (ผู้ประมวลผล):**
  - **มาตรานี้:** ผู้ควบคุมเกี่ยวกับข้อมูลอ่อนไหว → 5 ล้าน
  - [มาตรา 87](https://link.pdpalawbase.com/section/87.md): ผู้ประมวลผล**ส่งหรือโอน**ข้อมูลอ่อนไหว → 5 ล้าน
  - ระดับเท่ากัน แต่ขอบเขตของผู้ประมวลผลแคบกว่า (เฉพาะการส่ง/โอน)
- **เปรียบเทียบกับ GDPR Art. 83 (2):**
  - **GDPR:** ปรับสูงสุด 20 ล้านยูโร หรือ 4% ของยอดขายรวมทั่วโลก (ราว 800 ล้านบาท หรือมากกว่า)
  - **มาตรานี้:** เพดาน 5 ล้านบาท — สูงกว่ากฎหมายไทยทั่วไปแต่ต่ำกว่า GDPR
  - **ผลในเชิงปฏิบัติ:** บริษัทไทยที่ส่งข้อมูลให้บริษัทในยุโรปอาจรับโทษทั้ง 2 ระบบพร้อมกัน
- **การพิจารณาจำนวนเงิน — ตาม [มาตรา 90](https://link.pdpalawbase.com/section/90.md):**
  - คณะกรรมการผู้เชี่ยวชาญพิจารณาตาม
    - ความร้ายแรงแห่งพฤติกรรม
    - ขนาดกิจการของผู้ควบคุม
    - พฤติการณ์อื่น ๆ
  - อาจ**สั่งให้แก้ไขหรือตักเตือน**ก่อนปรับ
- **เหตุที่ฝ่าฝืน [มาตรา 26](https://link.pdpalawbase.com/section/26.md) วรรคสามรับโทษด้วย:**
  - [มาตรา 26](https://link.pdpalawbase.com/section/26.md) วรรค 3 = การจัดการข้อมูลที่กฎหมายอื่น (เช่น กฎหมายแรงงาน) อนุญาตให้เก็บ
  - การไม่ปฏิบัติตามเงื่อนไขที่กฎหมายอื่นกำหนด → กระทบสิทธิของเจ้าของข้อมูลอ่อนไหวเช่นกัน
- **ฐานในการพิจารณาขนาดกิจการ:**
  - **กิจการขนาดเล็ก** (เช่น คลินิกเดี่ยว) — โทษ 5 ล้านอาจสูงเกินไป → คณะกรรมการผู้เชี่ยวชาญอาจปรับน้อยกว่า
  - **กิจการขนาดใหญ่** (เช่น โรงพยาบาลเครือข่าย) — โทษ 5 ล้านอาจไม่เพียงพอที่จะป้องปราม → ใช้เพดานเต็ม
  - หลักการนี้สอดคล้องกับ [มาตรา 90](https://link.pdpalawbase.com/section/90.md) วรรค 2

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/section/84.md

============================================================
โนด: มาตรา 85
ลิงก์อ้างอิง: https://link.pdpalawbase.com/section/85.md

# มาตรา 85

## ตัวบท

> มาตรา 85 ผู้ประมวลผลข้อมูลส่วนบุคคลผู้ใดไม่ปฏิบัติตามมาตรา 41 วรรคหนึ่ง หรือมาตรา 42 วรรคสองหรือวรรคสาม ต้องระวางโทษปรับทางปกครองไม่เกินหนึ่งล้านบาท

## สรุป

มาตรานี้กำหนด**โทษปรับทางปกครองไม่เกิน 1 ล้านบาท**สำหรับ**ผู้ประมวลผล**ที่ไม่ปฏิบัติ: (1) [มาตรา 41](https://link.pdpalawbase.com/section/41.md) วรรค 1 — ไม่แต่งตั้ง**ตัวแทน/DPO**; (2) [มาตรา 42](https://link.pdpalawbase.com/section/42.md) วรรค 2 หรือ 3 — ไม่สนับสนุน DPO หรือไม่เปิดเผยช่องทางติดต่อ DPO — ขนานกับ [มาตรา 82](https://link.pdpalawbase.com/section/82.md) (ผู้ควบคุม) ในเรื่องการตั้ง DPO และการสนับสนุน DPO

## องค์ประกอบสำคัญ

- **ผู้ต้องรับผิด:** ผู้ประมวลผลข้อมูลส่วนบุคคล
- **โทษ:** ปรับทางปกครอง**ไม่เกิน 1 ล้านบาท**
- **การกระทำ:**
  - **(1)** ไม่ปฏิบัติตาม [มาตรา 41](https://link.pdpalawbase.com/section/41.md) วรรค 1 — ไม่แต่งตั้งตัวแทน/DPO
  - **(2)** ไม่ปฏิบัติตาม [มาตรา 42](https://link.pdpalawbase.com/section/42.md) วรรค 2 — ไม่สนับสนุน DPO
  - **(3)** ไม่ปฏิบัติตาม [มาตรา 42](https://link.pdpalawbase.com/section/42.md) วรรค 3 — ไม่เปิดเผยช่องทางติดต่อ DPO

## มาตราที่อ้างอิง

- [มาตรา 41](https://link.pdpalawbase.com/section/41.md) — การตั้งตัวแทน/DPO — วรรค 1
- [มาตรา 42](https://link.pdpalawbase.com/section/42.md) — สนับสนุน DPO + ช่องทางติดต่อ — วรรค 2-3

## หมายเหตุ

- **เหตุที่ผู้ประมวลผลต้องตั้ง DPO:**
  - แม้ผู้ประมวลผลไม่ใช่เจ้าของข้อมูลโดยตรง แต่เป็นผู้ที่จัดการข้อมูลในนามของผู้ควบคุม
  - การตั้ง DPO ในผู้ประมวลผลทำให้มี**ผู้ตรวจสอบภายใน**ของผู้ประมวลผลเอง
  - สอดคล้องกับ GDPR Art. 37 ที่กำหนดให้ทั้งผู้ควบคุมและผู้ประมวลผลต้องตั้ง DPO ในกรณีที่กฎหมายกำหนด
- **เปรียบเทียบกับ [มาตรา 82](https://link.pdpalawbase.com/section/82.md) (ผู้ควบคุม):**
  - **มาตรานี้:** ผู้**ประมวลผล** → 1 ล้าน
  - [มาตรา 82](https://link.pdpalawbase.com/section/82.md): ผู้**ควบคุม** → 1 ล้าน
  - **ระดับโทษเท่ากัน** สำหรับการละเลยการตั้ง DPO
  - แต่[มาตรา 82](https://link.pdpalawbase.com/section/82.md)ครอบคลุมหน้าที่อื่น ๆ ของผู้ควบคุมเพิ่มเติม (แจ้ง [มาตรา 23](https://link.pdpalawbase.com/section/23.md), ROPA [มาตรา 39](https://link.pdpalawbase.com/section/39.md) ฯลฯ)
- **เหตุที่ผู้ประมวลผลมีหน้าที่น้อยกว่าผู้ควบคุม:**
  - ผู้ประมวลผล**ทำงานตามคำสั่ง**ของผู้ควบคุม
  - หน้าที่หลัก (เช่น ฐานในการเก็บข้อมูล, แจ้งเจ้าของข้อมูล) อยู่ที่ผู้ควบคุม
  - ผู้ประมวลผลมีหน้าที่เพียง**ปฏิบัติตามสัญญา**กับผู้ควบคุม + **ตั้ง DPO** + **ส่งโอนตามฐาน**
- **3 บทลงโทษทางปกครองของผู้ประมวลผล:**
  - **1 ล้าน (มาตรานี้):** ไม่ตั้ง DPO / ไม่สนับสนุน DPO
  - **3 ล้าน ([มาตรา 86](https://link.pdpalawbase.com/section/86.md)):** ไม่ปฏิบัติตามคำสั่งผู้ควบคุม ([มาตรา 40](https://link.pdpalawbase.com/section/40.md)) / ส่งโอนผิด
  - **5 ล้าน ([มาตรา 87](https://link.pdpalawbase.com/section/87.md)):** ส่งโอนข้อมูลอ่อนไหวผิด
- **ความเชื่อมโยงกับ [มาตรา 88](https://link.pdpalawbase.com/section/88.md) (ตัวแทน):**
  - **มาตรานี้:** ผู้ประมวลผลโดยตรง — ไม่ตั้ง DPO
  - [มาตรา 88](https://link.pdpalawbase.com/section/88.md): **ตัวแทนของผู้ประมวลผล** — ไม่ปฏิบัติ [มาตรา 41](https://link.pdpalawbase.com/section/41.md) อนุโลม
  - 2 มาตรานี้ครอบคลุมห่วงโซ่ความรับผิดชอบของผู้ประมวลผล
- **ภาวะความรับผิด — ลักษณะของโทษทางปกครอง:**
  - **ไม่ต้องพิสูจน์เจตนา** — เพียงพิสูจน์การไม่ปฏิบัติ
  - แต่ผู้ประมวลผลอาจ**แก้ตัว**ได้ (เช่น ภาระงานน้อย ไม่จำเป็นต้องตั้ง DPO ตาม [มาตรา 41](https://link.pdpalawbase.com/section/41.md) (1)-(3))
  - คณะกรรมการผู้เชี่ยวชาญพิจารณาตาม [มาตรา 90](https://link.pdpalawbase.com/section/90.md)

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/section/85.md

============================================================
โนด: มาตรา 86
ลิงก์อ้างอิง: https://link.pdpalawbase.com/section/86.md

# มาตรา 86

## ตัวบท

> มาตรา 86 ผู้ประมวลผลข้อมูลส่วนบุคคลผู้ใดไม่ปฏิบัติตามมาตรา 40 โดยไม่มีเหตุอันควร หรือส่งหรือโอนข้อมูลส่วนบุคคลโดยไม่เป็นไปตามมาตรา 29 วรรคหนึ่งหรือวรรคสาม หรือไม่ปฏิบัติตามมาตรา 37 (5) ซึ่งได้นำมาใช้บังคับโดยอนุโลมตามมาตรา 38 วรรคสอง ต้องระวางโทษปรับทางปกครองไม่เกินสามล้านบาท

## สรุป

มาตรานี้กำหนด**โทษปรับทางปกครองไม่เกิน 3 ล้านบาท**สำหรับ**ผู้ประมวลผล**ใน 3 กรณี: (1) ไม่ปฏิบัติ [มาตรา 40](https://link.pdpalawbase.com/section/40.md) **โดยไม่มีเหตุอันควร** — ไม่ปฏิบัติตามคำสั่งผู้ควบคุม/ไม่จัดทำบันทึก/ไม่ทำมาตรการรักษาความปลอดภัย/ไม่ลบเมื่อสิ้นสุด; (2) ส่ง/โอนข้อมูลไม่เป็นไปตาม [มาตรา 29](https://link.pdpalawbase.com/section/29.md) วรรค 1/3; (3) ไม่ปฏิบัติ [มาตรา 37](https://link.pdpalawbase.com/section/37.md) (5) — ไม่แจ้งเหตุละเมิด — อนุโลมจาก [มาตรา 38](https://link.pdpalawbase.com/section/38.md) วรรค 2

## องค์ประกอบสำคัญ

- **ผู้ต้องรับผิด:** ผู้ประมวลผลข้อมูลส่วนบุคคล
- **โทษ:** ปรับทางปกครอง**ไม่เกิน 3 ล้านบาท**
- **การกระทำ 3 กรณี:**
  - **(1) ไม่ปฏิบัติ [มาตรา 40](https://link.pdpalawbase.com/section/40.md) โดยไม่มีเหตุอันควร:**
    - หน้าที่ใน [มาตรา 40](https://link.pdpalawbase.com/section/40.md) — 4 หน้าที่หลักของผู้ประมวลผล (ปฏิบัติตามคำสั่ง / จัดทำบันทึก / รักษาความปลอดภัย / ลบเมื่อสิ้นสุด)
    - **เงื่อนไข:** "โดยไม่มีเหตุอันควร" — เปิดให้ผู้ประมวลผลพิสูจน์เหตุผลที่ไม่ปฏิบัติได้
  - **(2) ส่งหรือโอนโดยไม่เป็นไปตาม [มาตรา 29](https://link.pdpalawbase.com/section/29.md) วรรค 1 หรือ 3:**
    - ไม่มีฐานสำหรับส่งไปต่างประเทศ
  - **(3) ไม่ปฏิบัติ [มาตรา 37](https://link.pdpalawbase.com/section/37.md) (5) อนุโลมจาก [มาตรา 38](https://link.pdpalawbase.com/section/38.md) วรรค 2:**
    - ไม่แจ้งเหตุละเมิดข้อมูลภายในเวลาที่กำหนด

## มาตราที่อ้างอิง

- [มาตรา 29](https://link.pdpalawbase.com/section/29.md) — ฐานสำหรับการส่งหรือโอน
- [มาตรา 37](https://link.pdpalawbase.com/section/37.md) — มาตรการรักษาความปลอดภัย — (5) แจ้งเหตุละเมิด
- [มาตรา 38](https://link.pdpalawbase.com/section/38.md) — หน้าที่อนุโลมของผู้ประมวลผล — วรรค 2
- [มาตรา 40](https://link.pdpalawbase.com/section/40.md) — หน้าที่ของผู้ประมวลผล — 4 หน้าที่หลัก

## หมายเหตุ

- **"โดยไม่มีเหตุอันควร" — ลักษณะเฉพาะของมาตรานี้:**
  - มาตรานี้เป็นมาตราเดียวในส่วนที่ 2 ที่ใช้คำนี้
  - **เหตุที่กฎหมายให้ผ่อนผันแก่ผู้ประมวลผล:**
    - ผู้ประมวลผลทำงาน**ตามคำสั่ง**ของผู้ควบคุม
    - บางครั้งผู้ควบคุมไม่ได้ระบุชัดเจนหรือคำสั่งขัดกัน
    - ผู้ประมวลผลอาจ**ไม่สามารถ**ปฏิบัติได้จริง (เช่น ไม่มีข้อมูลครบ)
  - ผู้ประมวลผลอาจ**พิสูจน์เหตุผล**เพื่อพ้นจากโทษ
- **เปรียบเทียบกับผู้ควบคุม [มาตรา 83](https://link.pdpalawbase.com/section/83.md):**
  - **มาตรานี้:** ผู้**ประมวลผล** → 3 ล้าน — เน้นการปฏิบัติตามคำสั่ง + การส่งโอน + การแจ้งเหตุละเมิด
  - [มาตรา 83](https://link.pdpalawbase.com/section/83.md): ผู้**ควบคุม** → 3 ล้าน — เน้นฐานในการประมวลผลและวัตถุประสงค์
  - 2 มาตราเป็น**ภาพสะท้อน**ของแต่ละบทบาท
- **3 ระดับโทษทางปกครองของผู้ประมวลผล — สรุป:**
  - **1 ล้าน ([มาตรา 85](https://link.pdpalawbase.com/section/85.md)):** ไม่ตั้ง DPO / ไม่สนับสนุน DPO
  - **3 ล้าน (มาตรานี้):** ไม่ปฏิบัติตามคำสั่ง / ส่งโอนผิด / ไม่แจ้งเหตุละเมิด
  - **5 ล้าน ([มาตรา 87](https://link.pdpalawbase.com/section/87.md)):** ส่งโอนข้อมูลอ่อนไหวผิด
- **เหตุที่การไม่แจ้งเหตุละเมิด ([มาตรา 37](https://link.pdpalawbase.com/section/37.md) (5)) อยู่ในระดับ 3 ล้าน:**
  - การไม่แจ้งเหตุละเมิด → ทำให้เจ้าของข้อมูลไม่สามารถ**ป้องกันตนเอง**ได้ทัน
  - กระทบ**สิทธิของเจ้าของข้อมูลโดยตรง**
  - มาตรฐานสากล (GDPR Art. 33) ก็มีบทลงโทษหนักสำหรับการไม่แจ้งภายใน 72 ชั่วโมง
- **ความเชื่อมโยงกับ [มาตรา 38](https://link.pdpalawbase.com/section/38.md) วรรค 2:**
  - [มาตรา 38](https://link.pdpalawbase.com/section/38.md) วรรค 2 = ผู้ประมวลผลต้องปฏิบัติหน้าที่ตาม [มาตรา 37](https://link.pdpalawbase.com/section/37.md) (5) อนุโลม
  - มาตรานี้ทำให้การไม่ปฏิบัติตามมีโทษทางปกครอง — สอดคล้องกับการบังคับใช้
- **เปรียบเทียบกับโทษอาญา:**
  - ผู้ประมวลผล**ไม่มี**โทษอาญาตรง ๆ ในส่วนที่ 1 — เพราะ [มาตรา 79](https://link.pdpalawbase.com/section/79.md) ใช้กับ"ผู้ควบคุม"เท่านั้น
  - แต่ผู้ประมวลผลอาจรับโทษอาญาตาม [มาตรา 80](https://link.pdpalawbase.com/section/80.md) (ล่วงรู้ข้อมูลแล้วเปิดเผย) ถ้าเข้าข่าย

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/section/86.md

============================================================
โนด: มาตรา 87
ลิงก์อ้างอิง: https://link.pdpalawbase.com/section/87.md

# มาตรา 87

## ตัวบท

> มาตรา 87 ผู้ประมวลผลข้อมูลส่วนบุคคลผู้ใดส่งหรือโอนข้อมูลส่วนบุคคลตามมาตรา 26 วรรคหนึ่งหรือวรรคสาม โดยไม่เป็นไปตามมาตรา 29 วรรคหนึ่งหรือวรรคสาม ต้องระวางโทษปรับทางปกครองไม่เกินห้าล้านบาท

## สรุป

มาตรานี้กำหนด**โทษปรับทางปกครองสูงสุด 5 ล้านบาท** — ระดับสูงสุดสำหรับผู้ประมวลผล — กรณีผู้ประมวลผล**ส่งหรือโอนข้อมูลอ่อนไหว** ([มาตรา 26](https://link.pdpalawbase.com/section/26.md) วรรค 1/3) **โดยไม่เป็นไปตาม [มาตรา 29](https://link.pdpalawbase.com/section/29.md) วรรค 1/3** (ฐานในการส่งไปต่างประเทศ) — เป็นภาพสะท้อนของ [มาตรา 84](https://link.pdpalawbase.com/section/84.md) (ผู้ควบคุม)

## องค์ประกอบสำคัญ

- **ผู้ต้องรับผิด:** ผู้ประมวลผลข้อมูลส่วนบุคคล
- **โทษ:** ปรับทางปกครอง**ไม่เกิน 5 ล้านบาท**
- **การกระทำ:** ส่งหรือโอน**ข้อมูลอ่อนไหว** ([มาตรา 26](https://link.pdpalawbase.com/section/26.md) วรรค 1 หรือ 3) **โดยไม่เป็นไปตาม** [มาตรา 29](https://link.pdpalawbase.com/section/29.md) วรรค 1 หรือ 3 (ไม่มีฐานสำหรับส่งไปต่างประเทศ)

## มาตราที่อ้างอิง

- [มาตรา 26](https://link.pdpalawbase.com/section/26.md) — ข้อมูลอ่อนไหว — ขอบเขตของการกระทำ
- [มาตรา 29](https://link.pdpalawbase.com/section/29.md) — ฐานสำหรับการส่งหรือโอน — วรรค 1 (ส่งต่างประเทศที่ไม่มีระดับการคุ้มครองที่เพียงพอ) + วรรค 3 (ส่งภายในเครือบริษัทข้ามชาติ)

## หมายเหตุ

- **เหตุที่ผู้ประมวลผลได้รับโทษสูงสุด 5 ล้านเฉพาะการส่งโอนข้อมูลอ่อนไหว:**
  - การส่งไปต่างประเทศ → กระทบสิทธิเจ้าของข้อมูล**ข้ามเขตอำนาจ**
  - ข้อมูลอ่อนไหว → ผลกระทบหนักกว่าข้อมูลทั่วไป
  - ผู้ประมวลผลควบคุมการส่ง → มีอำนาจเลือกปฏิบัติตาม [มาตรา 29](https://link.pdpalawbase.com/section/29.md) หรือไม่ก็ได้
- **เปรียบเทียบกับ [มาตรา 84](https://link.pdpalawbase.com/section/84.md) (ผู้ควบคุม):**
  - **มาตรานี้:** ผู้**ประมวลผล**ส่งโอนข้อมูลอ่อนไหวผิด → 5 ล้าน
  - [มาตรา 84](https://link.pdpalawbase.com/section/84.md): ผู้**ควบคุม**ฝ่าฝืนเกี่ยวกับข้อมูลอ่อนไหว (4 กรณี — รวมการส่งโอน) → 5 ล้าน
  - **ระดับเท่ากัน** แต่ผู้ประมวลผลรับโทษ**เฉพาะการส่งโอน**เท่านั้น (มาตรานี้แคบกว่า)
- **เหตุที่ผู้ประมวลผลไม่รับโทษ 5 ล้านในกรณีอื่น:**
  - ผู้ประมวลผลไม่ใช่ผู้ตัดสินใจ**ฐาน**ในการเก็บข้อมูล — เป็นบทบาทของผู้ควบคุม
  - การ**ใช้/เปิดเผย**ข้อมูล — ผู้ประมวลผลทำตามคำสั่งผู้ควบคุม → ผู้ควบคุมรับผิดตาม [มาตรา 84](https://link.pdpalawbase.com/section/84.md)
  - ผู้ประมวลผลรับโทษ**เฉพาะกรณีตัดสินใจส่งโอนเอง** — ซึ่งเป็นการตัดสินใจที่อยู่นอกคำสั่งผู้ควบคุม
- **3 ระดับโทษทางปกครองของผู้ประมวลผล — สรุปเปรียบเทียบกับผู้ควบคุม:**
  ```
  ระดับ              ผู้ควบคุม           ผู้ประมวลผล
  ─────────────────────────────────────────────────
  1 ล้าน           [[มาตรา-82]]         [[มาตรา-85]]
                  (หน้าที่ปฏิบัติ)        (DPO)
  3 ล้าน           [[มาตรา-83]]         [[มาตรา-86]]
                  (ฐานข้อมูลทั่วไป)       (ตามคำสั่ง+ส่งโอน+แจ้งละเมิด)
  5 ล้าน           [[มาตรา-84]]         [[มาตรา-87]]
                  (ข้อมูลอ่อนไหว — กว้าง)  (ส่งโอนข้อมูลอ่อนไหว — เฉพาะ)
  ```
- **ความเชื่อมโยงกับ [มาตรา 86](https://link.pdpalawbase.com/section/86.md):**
  - [มาตรา 86](https://link.pdpalawbase.com/section/86.md) = ผู้ประมวลผลส่งโอน**ข้อมูลทั่วไป** ผิด → 3 ล้าน
  - **มาตรานี้:** ผู้ประมวลผลส่งโอน**ข้อมูลอ่อนไหว** ผิด → 5 ล้าน
  - **ความต่างของระดับโทษ = ส่วนต่าง 2 ล้าน** สะท้อนความรุนแรงของผลกระทบของข้อมูลอ่อนไหว

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/section/87.md

============================================================
โนด: มาตรา 88
ลิงก์อ้างอิง: https://link.pdpalawbase.com/section/88.md

# มาตรา 88

## ตัวบท

> มาตรา 88 ตัวแทนผู้ควบคุมข้อมูลส่วนบุคคลหรือตัวแทนผู้ประมวลผลข้อมูลส่วนบุคคลผู้ใดไม่ปฏิบัติตามมาตรา 39 วรรคหนึ่ง ซึ่งได้นำมาใช้บังคับโดยอนุโลมตามมาตรา 39 วรรคสอง และมาตรา 41 วรรคหนึ่ง ซึ่งได้นำมาใช้บังคับโดยอนุโลมตามมาตรา 41 วรรคสี่ ต้องระวางโทษปรับทางปกครองไม่เกินหนึ่งล้านบาท

## สรุป

มาตรานี้กำหนด**โทษปรับทางปกครองไม่เกิน 1 ล้านบาท**สำหรับ**ตัวแทน**ของผู้ควบคุม/ผู้ประมวลผล (กรณีผู้ควบคุม/ผู้ประมวลผลอยู่ต่างประเทศ) ที่ไม่ปฏิบัติ: (1) [มาตรา 39](https://link.pdpalawbase.com/section/39.md) วรรค 1 อนุโลมจาก [มาตรา 39](https://link.pdpalawbase.com/section/39.md) วรรค 2 — ไม่จัดทำ ROPA; (2) [มาตรา 41](https://link.pdpalawbase.com/section/41.md) วรรค 1 อนุโลมจาก [มาตรา 41](https://link.pdpalawbase.com/section/41.md) วรรค 4 — ไม่ตั้ง DPO — ปิดห่วงโซ่ความรับผิดชอบของกลไกการคุ้มครองข้อมูลข้ามประเทศ

## องค์ประกอบสำคัญ

- **ผู้ต้องรับผิด:** **ตัวแทน**ของผู้ควบคุม/ผู้ประมวลผลข้อมูลส่วนบุคคล
- **โทษ:** ปรับทางปกครอง**ไม่เกิน 1 ล้านบาท**
- **การกระทำ:**
  - **(1)** ไม่จัดทำ ROPA — [มาตรา 39](https://link.pdpalawbase.com/section/39.md) วรรค 1 อนุโลมจาก [มาตรา 39](https://link.pdpalawbase.com/section/39.md) วรรค 2
  - **(2)** ไม่ตั้ง DPO — [มาตรา 41](https://link.pdpalawbase.com/section/41.md) วรรค 1 อนุโลมจาก [มาตรา 41](https://link.pdpalawbase.com/section/41.md) วรรค 4

## มาตราที่อ้างอิง

- [มาตรา 39](https://link.pdpalawbase.com/section/39.md) — บันทึกรายการการประมวลผล (ROPA) — วรรค 1 (หน้าที่จัดทำ) + วรรค 2 (อนุโลมให้ตัวแทน)
- [มาตรา 41](https://link.pdpalawbase.com/section/41.md) — การตั้งตัวแทน/DPO — วรรค 1 (หน้าที่ตั้ง DPO) + วรรค 4 (อนุโลมให้ตัวแทน)

## หมายเหตุ

- **เหตุที่ต้องมี "ตัวแทน":**
  - ผู้ควบคุม/ผู้ประมวลผลที่อยู่**ต่างประเทศ**แต่ประมวลผลข้อมูลของเจ้าของข้อมูลในไทย → ต้องตั้งตัวแทนในไทย
  - ตัวแทนเป็น**จุดติดต่อ**สำหรับเจ้าของข้อมูลและคณะกรรมการ
  - คล้ายกับ "ตัวแทนใน EU" ตาม GDPR Art. 27
- **บทบาทของตัวแทน:**
  - **ปฏิบัติหน้าที่แทน**ผู้ควบคุม/ผู้ประมวลผลในไทย
  - รวมถึงการจัดทำ ROPA และการตั้ง DPO
  - **รับผิดทางกฎหมาย**แทน
- **เหตุที่ตัวแทนรับโทษเพียง 1 ล้าน:**
  - หน้าที่ของตัวแทน = **กรอบขั้นต่ำ** (ROPA + DPO) ไม่ครอบคลุมหน้าที่ใจกลาง (ฐานในการประมวลผล)
  - ผู้ควบคุม/ผู้ประมวลผลตัวจริง (ในต่างประเทศ) อาจรับโทษเต็มจาก [มาตรา 82](https://link.pdpalawbase.com/section/82.md)/[มาตรา 83](https://link.pdpalawbase.com/section/83.md)/[มาตรา 84](https://link.pdpalawbase.com/section/84.md) ตาม
- **ความเชื่อมโยงกับห่วงโซ่ความรับผิดชอบ:**
  - **ผู้ควบคุมตัวจริง:** อยู่ต่างประเทศ — รับโทษทางปกครอง [มาตรา 82](https://link.pdpalawbase.com/section/82.md)/[มาตรา 83](https://link.pdpalawbase.com/section/83.md)/[มาตรา 84](https://link.pdpalawbase.com/section/84.md) ได้ (กฎหมายมีผลข้ามประเทศตามขอบเขตของ [มาตรา 5](https://link.pdpalawbase.com/section/5.md))
  - **ตัวแทนในไทย:** รับโทษมาตรานี้ — เพราะเป็นจุดติดต่อในประเทศ
  - **DPO ที่ตัวแทนตั้ง:** อาจรับโทษอาญาตาม [มาตรา 80](https://link.pdpalawbase.com/section/80.md) ถ้าเปิดเผยข้อมูลตามหน้าที่
- **ปัญหาในเชิงปฏิบัติ — การติดตามผู้กระทำผิดต่างประเทศ:**
  - การปรับผู้ควบคุมในต่างประเทศอาจ**บังคับยาก** — ขึ้นกับการบังคับคำสั่งข้ามประเทศ
  - การตั้งตัวแทนในไทย → ทำให้คณะกรรมการ**บังคับโทษได้ในประเทศ**
  - ตัวแทน**ในไทย**มีทรัพย์สินในไทย → สามารถยึด/อายัดได้ตาม [มาตรา 90](https://link.pdpalawbase.com/section/90.md) วรรค 3
- **เปรียบเทียบกับ [มาตรา 82](https://link.pdpalawbase.com/section/82.md):**
  - **[มาตรา 82](https://link.pdpalawbase.com/section/82.md):** ผู้ควบคุม → 1 ล้าน — ไม่ปฏิบัติ ROPA + DPO + หน้าที่อื่น
  - **มาตรานี้:** ตัวแทน → 1 ล้าน — ไม่ปฏิบัติ ROPA + DPO เท่านั้น (ขอบเขตแคบกว่า)
- **การเลือกตัวแทน:**
  - ตัวแทนต้อง**ผูกพันด้วยสัญญา**กับผู้ควบคุม/ผู้ประมวลผล
  - มักเป็น**บริษัทที่ปรึกษากฎหมาย**หรือ**สำนักงานกฎหมาย**ในไทย
  - การเลือกตัวแทนที่**ขาดความรู้**อาจทำให้ตัวแทนต้องรับโทษ → ผู้ควบคุมต่างประเทศควรเลือกอย่างระมัดระวัง

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/section/88.md

============================================================
โนด: มาตรา 89
ลิงก์อ้างอิง: https://link.pdpalawbase.com/section/89.md

# มาตรา 89

## ตัวบท

> มาตรา 89 ผู้ใดไม่ปฏิบัติตามคำสั่งของคณะกรรมการผู้เชี่ยวชาญหรือไม่มาชี้แจงข้อเท็จจริงตามมาตรา 75 หรือไม่ปฏิบัติตามมาตรา 76 (1) หรือไม่อำนวยความสะดวกแก่พนักงานเจ้าหน้าที่ตามมาตรา 76 วรรคสี่ ต้องระวางโทษปรับทางปกครองไม่เกินห้าแสนบาท

## สรุป

มาตรานี้กำหนด**โทษปรับทางปกครองไม่เกิน 5 แสนบาท** — โทษทางปกครองที่ต่ำที่สุดในส่วนที่ 2 — สำหรับ**ผู้ใด** (ขอบเขตกว้าง) ที่: (1) ไม่ปฏิบัติตามคำสั่งของคณะกรรมการผู้เชี่ยวชาญ; (2) ไม่มาชี้แจงข้อเท็จจริงตาม [มาตรา 75](https://link.pdpalawbase.com/section/75.md); (3) ไม่ปฏิบัติตาม [มาตรา 76](https://link.pdpalawbase.com/section/76.md) (1) — เรียกเอกสาร; (4) ไม่อำนวยความสะดวกแก่พนักงานเจ้าหน้าที่ตาม [มาตรา 76](https://link.pdpalawbase.com/section/76.md) วรรค 4 — เป็น**กลไกบังคับ**ให้กระบวนการพิจารณาเรื่องร้องเรียนและการตรวจสอบดำเนินไปได้

## องค์ประกอบสำคัญ

- **ผู้ต้องรับผิด:** **ผู้ใด** — ขอบเขตกว้าง ครอบคลุมผู้ควบคุม/ผู้ประมวลผล/ลูกจ้าง/บุคคลที่ 3
- **โทษ:** ปรับทางปกครอง**ไม่เกิน 5 แสนบาท**
- **การกระทำ 4 ลักษณะ:**
  - **(1) ไม่ปฏิบัติตามคำสั่งของคณะกรรมการผู้เชี่ยวชาญ** — คำสั่งใด ๆ ตาม [มาตรา 72](https://link.pdpalawbase.com/section/72.md), [มาตรา 74](https://link.pdpalawbase.com/section/74.md), [มาตรา 75](https://link.pdpalawbase.com/section/75.md)
  - **(2) ไม่มาชี้แจงข้อเท็จจริง**ตาม [มาตรา 75](https://link.pdpalawbase.com/section/75.md) — เมื่อคณะกรรมการผู้เชี่ยวชาญสั่ง
  - **(3) ไม่ปฏิบัติตาม [มาตรา 76](https://link.pdpalawbase.com/section/76.md) (1)** — เมื่อพนักงานเจ้าหน้าที่มีหนังสือแจ้งให้ส่งเอกสาร/ข้อมูล
  - **(4) ไม่อำนวยความสะดวกแก่พนักงานเจ้าหน้าที่**ตาม [มาตรา 76](https://link.pdpalawbase.com/section/76.md) วรรค 4 — เมื่อพนักงานเจ้าหน้าที่ปฏิบัติหน้าที่

## มาตราที่อ้างอิง

- [มาตรา 75](https://link.pdpalawbase.com/section/75.md) — อำนาจสั่งให้ส่งเอกสาร/ชี้แจง — มาตรานี้บังคับให้ปฏิบัติ
- [มาตรา 76](https://link.pdpalawbase.com/section/76.md) — พนักงานเจ้าหน้าที่ — (1) เรียกเอกสาร + วรรค 4 อำนวยความสะดวก

## หมายเหตุ

- **เหตุที่โทษเพียง 5 แสน — ต่ำที่สุดในส่วนที่ 2:**
  - การกระทำเป็น**การไม่ปฏิบัติตามขั้นตอน** — ไม่ใช่การละเมิดสิทธิเจ้าของข้อมูลโดยตรง
  - กระทบ**กระบวนการบังคับใช้กฎหมาย** ไม่กระทบ**สาระของการคุ้มครอง**
  - แต่ยังต้องมีโทษ — เพราะถ้าไม่มี กระบวนการสืบสวนจะ**ไม่มีน้ำหนัก**
- **เปรียบเทียบกับมาตราอื่นในส่วนที่ 2:**
  - **มาตรานี้ ([มาตรา 89](https://link.pdpalawbase.com/section/89.md)):** **ผู้ใด** → 5 แสน — ไม่ร่วมมือกับการสืบสวน
  - [มาตรา 82](https://link.pdpalawbase.com/section/82.md)-[มาตรา 87](https://link.pdpalawbase.com/section/87.md): เฉพาะผู้ควบคุม/ผู้ประมวลผล/ตัวแทน → 1-5 ล้าน — ฝ่าฝืนหน้าที่
  - **มาตรานี้กว้างที่สุด** ในแง่ผู้รับผิด แต่**ต่ำที่สุด** ในแง่จำนวนโทษ
- **กลไกบังคับเชิงระบบ — มาตรานี้สนับสนุนหมวด 5:**
  - **[มาตรา 72](https://link.pdpalawbase.com/section/72.md)-[มาตรา 76](https://link.pdpalawbase.com/section/76.md)** = อำนาจคณะกรรมการผู้เชี่ยวชาญ + พนักงานเจ้าหน้าที่
  - **มาตรานี้** = บทลงโทษกรณีไม่ร่วมมือ
  - 2 มาตราเสริมกัน — อำนาจที่ไม่มีบทลงโทษย่อมไร้น้ำหนัก
- **การไม่ปฏิบัติตามคำสั่งของคณะกรรมการผู้เชี่ยวชาญ — ตัวอย่าง:**
  - คำสั่งให้แก้ไขตาม [มาตรา 74](https://link.pdpalawbase.com/section/74.md) วรรค 3 (1) — ผู้ควบคุมเพิกเฉย
  - คำสั่งห้ามกระทำตาม [มาตรา 74](https://link.pdpalawbase.com/section/74.md) วรรค 3 (2) — ผู้ควบคุมยังคงทำ
  - **ผลซ้ำ:** ผู้ควบคุม**รับโทษทั้ง**มาตรานี้ + โทษทางปกครองตาม [มาตรา 82](https://link.pdpalawbase.com/section/82.md)-[มาตรา 87](https://link.pdpalawbase.com/section/87.md) (ถ้าเข้าข่าย) + บังคับทางปกครองตาม [มาตรา 74](https://link.pdpalawbase.com/section/74.md) วรรค 4 (ยึด/อายัด)
- **การอำนวยความสะดวก — ขอบเขต:**
  - **ตามสมควร** ([มาตรา 76](https://link.pdpalawbase.com/section/76.md) วรรค 4) — ไม่ใช่ทุกอย่างที่พนักงานเจ้าหน้าที่ขอ
  - ตัวอย่าง: เปิดประตูให้เข้า, ให้ข้อมูลพื้นฐาน, ไม่ขัดขวางการตรวจสอบ
  - ตัวอย่างที่**ไม่ใช่**หน้าที่: ให้ข้อมูลที่อยู่ในเอกสิทธิ์รักษาความลับของทนายความ
- **ความเชื่อมโยงกับ [มาตรา 90](https://link.pdpalawbase.com/section/90.md):**
  - คณะกรรมการผู้เชี่ยวชาญสั่งโทษทางปกครองตามมาตรานี้ผ่านอำนาจใน [มาตรา 90](https://link.pdpalawbase.com/section/90.md)
  - **อาจสั่งให้แก้ไขหรือตักเตือน**ก่อน → ให้โอกาสผู้กระทำปฏิบัติตามก่อนปรับ
- **ผู้ใดที่กว้าง — ครอบคลุมหลายบุคคลพร้อมกัน:**
  - ผู้ควบคุมข้อมูล (นิติบุคคล) — รับโทษมาตรานี้
  - กรรมการ/ผู้จัดการของผู้ควบคุม — อาจรับโทษด้วยตาม [มาตรา 81](https://link.pdpalawbase.com/section/81.md) (ถ้าเป็นโทษอาญา) แต่มาตรานี้เป็นโทษทางปกครอง — ใช้ [มาตรา 81](https://link.pdpalawbase.com/section/81.md) อย่างไรต้องตีความ
  - บุคคลที่ 3 ที่มีข้อมูล (เช่น พยาน) — รับโทษมาตรานี้โดยตรง
- **เหตุที่กฎหมายเลือกโทษทางปกครอง — ไม่ใช่อาญา:**
  - การไม่ร่วมมือเป็น**ความบกพร่องเชิงบริหาร** — ไม่ใช่อาชญากรรม
  - คณะกรรมการผู้เชี่ยวชาญสั่งได้เร็ว — ไม่ต้องผ่านศาล
  - การลงโทษเร็วเป็นหลักของการบังคับใช้ที่มีประสิทธิผล

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/section/89.md

============================================================
โนด: มาตรา 90
ลิงก์อ้างอิง: https://link.pdpalawbase.com/section/90.md

# มาตรา 90

## ตัวบท

> มาตรา 90 คณะกรรมการผู้เชี่ยวชาญมีอำนาจสั่งลงโทษปรับทางปกครองตามที่กำหนดไว้ในส่วนนี้ ทั้งนี้ ในกรณีที่เห็นสมควรคณะกรรมการผู้เชี่ยวชาญจะสั่งให้แก้ไขหรือตักเตือนก่อนก็ได้
>
> ในการพิจารณาออกคำสั่งลงโทษปรับทางปกครอง ให้คณะกรรมการผู้เชี่ยวชาญคำนึงถึงความร้ายแรงแห่งพฤติกรรมที่กระทำผิด ขนาดกิจการของผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคล หรือพฤติการณ์ต่าง ๆ ประกอบด้วย ทั้งนี้ ตามหลักเกณฑ์ที่คณะกรรมการกำหนด
>
> ในกรณีที่ผู้ถูกลงโทษปรับทางปกครองไม่ยอมชำระค่าปรับทางปกครอง ให้นำบทบัญญัติเกี่ยวกับการบังคับทางปกครองตามกฎหมายว่าด้วยวิธีปฏิบัติราชการทางปกครองมาใช้บังคับโดยอนุโลม และในกรณีที่ไม่มีเจ้าหน้าที่ดำเนินการบังคับตามคำสั่ง หรือมีแต่ไม่สามารถดำเนินการบังคับทางปกครองได้ ให้คณะกรรมการผู้เชี่ยวชาญมีอำนาจฟ้องคดีต่อศาลปกครองเพื่อบังคับชำระค่าปรับ ในการนี้ ถ้าศาลปกครองเห็นว่าคำสั่งให้ชำระค่าปรับนั้นชอบด้วยกฎหมาย ให้ศาลปกครองมีอำนาจพิจารณาพิพากษา และบังคับให้มีการยึดหรืออายัดทรัพย์สินขายทอดตลาดเพื่อชำระค่าปรับได้
>
> คำสั่งลงโทษปรับทางปกครองและคำสั่งในการบังคับทางปกครอง ให้นำความในมาตรา 74 วรรคหก มาใช้บังคับโดยอนุโลม และให้นำความในมาตรา 74 วรรคสี่ มาใช้บังคับกับการบังคับทางปกครองตามวรรคสามโดยอนุโลม

## สรุป

มาตรานี้ปิดส่วนที่ 2 (โทษทางปกครอง) ด้วยการกำหนด**กลไกการสั่งและบังคับโทษทางปกครอง**: (1) **คณะกรรมการผู้เชี่ยวชาญสั่งลงโทษ** ตาม [มาตรา 82](https://link.pdpalawbase.com/section/82.md)-[มาตรา 89](https://link.pdpalawbase.com/section/89.md) — อาจ**สั่งแก้ไข/ตักเตือน**ก่อนก็ได้; (2) **เกณฑ์การพิจารณา** = ความร้ายแรง + ขนาดกิจการ + พฤติการณ์อื่น; (3) **บังคับทางปกครอง** ผ่านกฎหมายว่าด้วยวิธีปฏิบัติราชการทางปกครอง — กรณีไม่ชำระ คณะกรรมการ**ฟ้องศาลปกครอง**ได้; (4) **อนุโลม** [มาตรา 74](https://link.pdpalawbase.com/section/74.md) วรรค 4 และ 6 — ประธานลงนาม + ยึด/อายัด/ขายทอดตลาด

## องค์ประกอบสำคัญ

- **วรรค 1 — อำนาจสั่งลงโทษ:**
  - **ผู้มีอำนาจ:** คณะกรรมการผู้เชี่ยวชาญ ([มาตรา 71](https://link.pdpalawbase.com/section/71.md))
  - **ขอบเขต:** สั่งลงโทษปรับทางปกครองตามที่กำหนดในส่วนที่ 2 ของหมวด 7 ([มาตรา 82](https://link.pdpalawbase.com/section/82.md) ถึง [มาตรา 89](https://link.pdpalawbase.com/section/89.md))
  - **ทางเลือก:** อาจ**สั่งให้แก้ไข**หรือ**ตักเตือน**ก่อนก็ได้ — ก่อนปรับ
- **วรรค 2 — เกณฑ์การพิจารณา:**
  - **ความร้ายแรงแห่งพฤติกรรมที่กระทำผิด**
  - **ขนาดกิจการ**ของผู้ควบคุม/ผู้ประมวลผล
  - **พฤติการณ์อื่น ๆ**
  - **ตามหลักเกณฑ์ที่คณะกรรมการ ([มาตรา 8](https://link.pdpalawbase.com/section/8.md)) กำหนด**
- **วรรค 3 — การบังคับทางปกครอง:**
  - **กรณี:** ผู้ถูกลงโทษไม่ยอมชำระค่าปรับ
  - **กลไก:** ใช้บทบัญญัติตามกฎหมายว่าด้วยวิธีปฏิบัติราชการทางปกครอง**โดยอนุโลม**
  - **กรณีพิเศษ:** ไม่มีเจ้าหน้าที่ดำเนินการ หรือมีแต่ไม่สามารถ
    - คณะกรรมการผู้เชี่ยวชาญ**ฟ้องศาลปกครอง**ได้
    - ศาลปกครองพิจารณา → ถ้าคำสั่งชอบด้วยกฎหมาย → ศาล**ยึด/อายัด/ขายทอดตลาด**ทรัพย์สิน
- **วรรค 4 — การอนุโลม:**
  - คำสั่งลงโทษ + คำสั่งบังคับ → ใช้ [มาตรา 74](https://link.pdpalawbase.com/section/74.md) วรรค 6 อนุโลม (ประธานคณะกรรมการผู้เชี่ยวชาญลงนาม)
  - การบังคับทางปกครองตามวรรค 3 → ใช้ [มาตรา 74](https://link.pdpalawbase.com/section/74.md) วรรค 4 อนุโลม (ยึด/อายัด/ขายทอดตลาด)

## มาตราที่อ้างอิง

- [มาตรา 71](https://link.pdpalawbase.com/section/71.md) — โครงสร้างคณะกรรมการผู้เชี่ยวชาญ — ผู้มีอำนาจตามมาตรานี้
- [มาตรา 74](https://link.pdpalawbase.com/section/74.md) — กระบวนการพิจารณาคำร้องเรียน — วรรค 4 (บังคับทางปกครอง) + วรรค 6 (ประธานลงนาม) อนุโลม
- [มาตรา 82](https://link.pdpalawbase.com/section/82.md) ถึง [มาตรา 89](https://link.pdpalawbase.com/section/89.md) — บทลงโทษทางปกครองทั้ง 8 มาตรา — มาตรานี้บังคับใช้

## หมายเหตุ

- **3 ระดับการตอบสนองของคณะกรรมการผู้เชี่ยวชาญ:**
  ```
  ระดับ 1: ตักเตือน — เตือนให้ปฏิบัติ ไม่มีโทษ
       ↓
  ระดับ 2: สั่งให้แก้ไข — ภายในเวลาที่กำหนด
       ↓
  ระดับ 3: ปรับทางปกครอง — ตาม [[มาตรา-82]]-[[มาตรา-89]]
       ↓ ถ้าไม่ชำระ
  ระดับ 4: บังคับทางปกครอง — ยึด/อายัด/ขายทอดตลาด
       ↓ ถ้าไม่มีเจ้าหน้าที่ดำเนินการ
  ระดับ 5: ฟ้องศาลปกครอง — ศาลตัดสิน + บังคับยึด/อายัด
  ```
- **เหตุที่ให้คณะกรรมการผู้เชี่ยวชาญ "สั่งให้แก้ไขหรือตักเตือนก่อนก็ได้":**
  - ส่งเสริม**การปฏิบัติตามแบบสมัครใจ**
  - ลด**ภาระคดี**ในระบบ
  - ช่วยให้ผู้ควบคุม/ผู้ประมวลผล**เรียนรู้และปรับตัว** — ไม่ลงโทษเป็นด่านแรก
  - แต่**เป็นทางเลือก** — ไม่ใช่หน้าที่ — กรณีร้ายแรงสามารถปรับได้ทันที
- **เกณฑ์ "ขนาดกิจการ" — สำคัญในเชิงปฏิบัติ:**
  - กิจการขนาดเล็ก (เช่น คลินิกเดี่ยว วิสาหกิจขนาดย่อม) → โทษเต็มเพดานอาจทำให้ล้มละลาย
  - กิจการขนาดใหญ่ (เช่น ธนาคาร, ค้าปลีก) → โทษเต็มเพดานอาจไม่เพียงพอที่จะป้องปราม
  - หลักการ**สัดส่วน**ของโทษ
- **เปรียบเทียบกับ GDPR Art. 83 (2):**
  - **GDPR:** มีรายการ 11 ปัจจัยที่ต้องพิจารณา — ละเอียดมาก
  - **มาตรานี้:** 3 ปัจจัย + พฤติการณ์อื่น — ยืดหยุ่น แต่อาจให้ดุลพินิจมากกว่า
  - หลักเกณฑ์ที่คณะกรรมการกำหนด → อาจขยายปัจจัยเพิ่มเติมได้
- **กลไกการฟ้องศาลปกครอง — เปรียบเทียบกับ [มาตรา 74](https://link.pdpalawbase.com/section/74.md):**
  - **[มาตรา 74](https://link.pdpalawbase.com/section/74.md) (เรื่องร้องเรียน):** คณะกรรมการผู้เชี่ยวชาญ**สั่งยึด/อายัด/ขายทอดตลาดเอง** — ไม่ผ่านศาล
  - **มาตรานี้ (โทษปกครอง):** ก่อนอื่นใช้กลไกบังคับทางปกครอง — กรณีไม่ได้ผล**ฟ้องศาลปกครอง**
  - 2 มาตราเสริมกัน — [มาตรา 74](https://link.pdpalawbase.com/section/74.md) = เร็วกว่า แต่จำกัดเฉพาะคำสั่งให้แก้ไข/ห้ามกระทำ; มาตรานี้ = ช้ากว่า แต่ทรัพย์สินอาจเพียงพอที่จะชำระค่าปรับ
- **ความเป็นที่สุดของคำสั่ง — ข้อพิจารณา:**
  - คำสั่งของคณะกรรมการผู้เชี่ยวชาญตาม [มาตรา 74](https://link.pdpalawbase.com/section/74.md) = **เป็นที่สุด**ในชั้นปกครอง
  - คำสั่งลงโทษทางปกครองตามมาตรานี้ — ตัวบทไม่ระบุชัดว่าเป็นที่สุด → อาจอุทธรณ์ได้ในชั้นปกครอง
  - ทั้ง 2 คำสั่งสามารถ**ฟ้องศาลปกครอง**ได้ — เป็นกลไกควบคุมโดยศาล
- **การอนุโลม [มาตรา 74](https://link.pdpalawbase.com/section/74.md) วรรค 4:**
  - [มาตรา 74](https://link.pdpalawbase.com/section/74.md) วรรค 4 = ใช้บทบัญญัติเกี่ยวกับการบังคับทางปกครองโดยอนุโลม + คณะกรรมการผู้เชี่ยวชาญสั่งยึด/อายัด/ขายทอดตลาด
  - มาตรานี้นำมาใช้ — ทำให้คณะกรรมการผู้เชี่ยวชาญสามารถ**ยึด/อายัด/ขายทอดตลาด**ในการบังคับชำระค่าปรับได้
- **การอนุโลม [มาตรา 74](https://link.pdpalawbase.com/section/74.md) วรรค 6:**
  - [มาตรา 74](https://link.pdpalawbase.com/section/74.md) วรรค 6 = ประธานคณะกรรมการผู้เชี่ยวชาญลงนามแทนคณะ
  - มาตรานี้นำมาใช้ — ทำให้คำสั่งลงโทษทางปกครองและคำสั่งบังคับใช้รูปแบบเดียวกัน
- **เปรียบเทียบกับโทษทางอาญาในส่วนที่ 1:**
  - **โทษอาญา ([มาตรา 79](https://link.pdpalawbase.com/section/79.md)-[มาตรา 81](https://link.pdpalawbase.com/section/81.md)):** ผ่าน**ศาลยุติธรรม** — กระบวนการตามประมวลกฎหมายวิธีพิจารณาความอาญา
  - **โทษทางปกครอง (มาตรานี้):** ผ่าน**คณะกรรมการผู้เชี่ยวชาญ** — กระบวนการเร็วกว่า + **ศาลปกครอง**ทบทวนได้
- **กลไกการบังคับใช้ — สรุปครบวงจร:**
  - คณะกรรมการผู้เชี่ยวชาญสั่ง → ผู้ถูกลงโทษไม่ชำระ → ใช้ระบบบังคับทางปกครอง → ถ้าไม่ได้ → ฟ้องศาลปกครอง → ศาลบังคับยึด/อายัด/ขายทอดตลาด
  - กลไกนี้ครบถ้วน — ไม่มีช่องโหว่ที่ผู้กระทำผิดจะหลีกเลี่ยงโทษได้

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/section/90.md

============================================================
โนด: มาตรา 91
ลิงก์อ้างอิง: https://link.pdpalawbase.com/section/91.md

# มาตรา 91

## ตัวบท

> มาตรา 91 ในวาระเริ่มแรก ให้คณะกรรมการประกอบด้วยกรรมการตามมาตรา 8 (2) (3) และให้เลขาธิการคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลเป็นกรรมการและเลขานุการ เพื่อปฏิบัติหน้าที่เท่าที่จำเป็นไปพลางก่อนแต่ไม่เกินเก้าสิบวันนับแต่วันที่พระราชบัญญัตินี้ใช้บังคับ และให้รองประธานกรรมการทำหน้าที่ประธานกรรมการเป็นการชั่วคราว
>
> ให้สำนักงานดำเนินการให้มีการแต่งตั้งประธานกรรมการตามมาตรา 8 (1) และกรรมการผู้ทรงคุณวุฒิตามมาตรา 8 (4) ภายในเก้าสิบวันนับแต่วันที่พระราชบัญญัตินี้ใช้บังคับ

## สรุป

มาตรานี้เปิดบทเฉพาะกาล — กำหนด**กลไกชั่วคราว**สำหรับวาระเริ่มแรกของ พ.ร.บ.: (1) คณะกรรมการชุดแรกประกอบด้วย**กรรมการโดยตำแหน่ง** ([มาตรา 8](https://link.pdpalawbase.com/section/8.md) (2)+(3)) + **เลขาธิการเป็นกรรมการและเลขานุการ** — ปฏิบัติหน้าที่ไม่เกิน **90 วัน**; (2) **รองประธาน**ทำหน้าที่ประธานชั่วคราว; (3) สำนักงานต้องดำเนินการแต่งตั้ง**ประธาน** ([มาตรา 8](https://link.pdpalawbase.com/section/8.md) (1)) + **กรรมการผู้ทรงคุณวุฒิ** ([มาตรา 8](https://link.pdpalawbase.com/section/8.md) (4)) ภายใน 90 วัน

## องค์ประกอบสำคัญ

- **วรรค 1 — คณะกรรมการชุดเริ่มแรก:**
  - **องค์ประกอบ:**
    - กรรมการตาม [มาตรา 8](https://link.pdpalawbase.com/section/8.md) (2) — กรรมการโดยตำแหน่ง (ปลัดกระทรวงฯ ฯลฯ)
    - กรรมการตาม [มาตรา 8](https://link.pdpalawbase.com/section/8.md) (3) — กรรมการโดยตำแหน่งอื่น
    - เลขาธิการ (ในวาระนี้ = ผู้ทำหน้าที่เลขาธิการตาม [มาตรา 93](https://link.pdpalawbase.com/section/93.md) วรรค 2) เป็น**กรรมการและเลขานุการ**
  - **ระยะเวลา:** ไม่เกิน **90 วัน** นับแต่วันที่ พ.ร.บ. ใช้บังคับ
  - **บทบาท:** ปฏิบัติหน้าที่**เท่าที่จำเป็นไปพลางก่อน**
  - **ประธานชั่วคราว:** รองประธานกรรมการทำหน้าที่ประธาน
- **วรรค 2 — กรอบเวลาการแต่งตั้ง:**
  - **ผู้ดำเนินการ:** สำนักงาน
  - **ที่ต้องแต่งตั้ง:**
    - ประธานกรรมการตาม [มาตรา 8](https://link.pdpalawbase.com/section/8.md) (1)
    - กรรมการผู้ทรงคุณวุฒิตาม [มาตรา 8](https://link.pdpalawbase.com/section/8.md) (4)
  - **กรอบเวลา:** **90 วัน**นับแต่วันที่ พ.ร.บ. ใช้บังคับ

## มาตราที่อ้างอิง

- [มาตรา 8](https://link.pdpalawbase.com/section/8.md) — องค์ประกอบของคณะกรรมการ — มาตรานี้อ้างถึง (1), (2), (3), (4)

## หมายเหตุ

- **เหตุที่ต้องมีบทเฉพาะกาล:**
  - คณะกรรมการตาม [มาตรา 8](https://link.pdpalawbase.com/section/8.md) ต้องการ**การสรรหาและแต่งตั้ง** — ใช้เวลา
  - แต่ พ.ร.บ. ต้อง**มีผลใช้บังคับ**ทันที
  - ช่องว่างนี้ต้องอุดด้วย**คณะกรรมการชั่วคราว**ที่ปฏิบัติหน้าที่จำกัด
- **เหตุที่ไม่รวมกรรมการตาม [มาตรา 8](https://link.pdpalawbase.com/section/8.md) (1) และ (4):**
  - **(1) ประธาน** — ต้องสรรหาเป็นการเฉพาะ ใช้เวลามากที่สุด
  - **(4) ผู้ทรงคุณวุฒิ** — ต้องสรรหาคุณสมบัติเฉพาะด้าน (วิชาการ/อิสระ)
  - **(2) และ (3)** = กรรมการโดยตำแหน่ง — มีอยู่แล้วในตำแหน่งของรัฐ → พร้อมทำหน้าที่ทันที
- **บทบาท "เท่าที่จำเป็นไปพลางก่อน":**
  - ไม่ใช่อำนาจเต็ม — จำกัดเฉพาะกรณีจำเป็น
  - ไม่ควรกำหนดนโยบายระยะยาว
  - เน้นการ**ตั้งสำนักงาน**และ**สรรหาคณะกรรมการชุดถาวร**
- **กรอบเวลา 90 วัน — ความเป็นจริงและความท้าทาย:**
  - **ในทางทฤษฎี:** สำนักงานต้องสรรหาประธาน + ผู้ทรงคุณวุฒิภายใน 90 วัน
  - **ในทางปฏิบัติ:** การสรรหาผู้ทรงคุณวุฒิระดับสูงอาจใช้เวลามากกว่า 90 วัน
  - การที่ตัวบทใช้ "ภายใน" → ตั้งความคาดหวัง แต่ไม่มีบทลงโทษหากเกิน 90 วัน
- **เปรียบเทียบกับการจัดตั้งสำนักงานตาม [มาตรา 93](https://link.pdpalawbase.com/section/93.md):**
  - **มาตรานี้:** คณะกรรมการชั่วคราว 90 วัน
  - [มาตรา 93](https://link.pdpalawbase.com/section/93.md): สำนักงานจัดตั้งภายใน 1 ปี
  - 2 มาตราคู่กัน — คณะกรรมการเริ่มก่อน เพื่อกำกับการจัดตั้งสำนักงาน
- **ความสัมพันธ์กับ [มาตรา 92](https://link.pdpalawbase.com/section/92.md):**
  - มาตรานี้ — คณะกรรมการ
  - [มาตรา 92](https://link.pdpalawbase.com/section/92.md) — คณะกรรมการกำกับสำนักงาน + เลขาธิการ
  - ลำดับ: ตั้งคณะกรรมการ → คณะกรรมการตั้งคณะกรรมการกำกับสำนักงาน → คณะกรรมการกำกับฯ คัดเลือกเลขาธิการ
- **เลขาธิการ "ชั่วคราว" ในวาระเริ่มแรก:**
  - ในมาตรานี้ "เลขาธิการคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล" = **ผู้ทำหน้าที่เลขาธิการ**ตาม [มาตรา 93](https://link.pdpalawbase.com/section/93.md) วรรค 2
  - = รองปลัดกระทรวงดิจิทัลเพื่อเศรษฐกิจและสังคมที่รัฐมนตรีแต่งตั้ง
  - ทำหน้าที่จนกว่าจะมีการแต่งตั้งเลขาธิการตาม [มาตรา 92](https://link.pdpalawbase.com/section/92.md) วรรค 2
- **ประวัติการบังคับใช้ในเชิงปฏิบัติ:**
  - พ.ร.บ. คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ประกาศ 27 พ.ค. 2562
  - ส่วนใหญ่มีผลบังคับ 27 พ.ค. 2563 (เลื่อน 2 ครั้งเป็น 1 มิ.ย. 2565)
  - คณะกรรมการชุดแรก (ตามมาตรานี้) แต่งตั้ง 18 พ.ค. 2565
  - บทเฉพาะกาลทำให้ระบบรองรับการบังคับใช้ทันทีเมื่อ พ.ร.บ. มีผล

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/section/91.md

============================================================
โนด: มาตรา 92
ลิงก์อ้างอิง: https://link.pdpalawbase.com/section/92.md

# มาตรา 92

## ตัวบท

> มาตรา 92 ให้ดำเนินการเพื่อให้มีคณะกรรมการกำกับสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลภายในเก้าสิบวันนับแต่วันที่ได้มีการแต่งตั้งประธานกรรมการ และกรรมการผู้ทรงคุณวุฒิตามมาตรา 91
>
> ให้ดำเนินการแต่งตั้งเลขาธิการคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลตามพระราชบัญญัตินี้ให้แล้วเสร็จภายในเก้าสิบวันนับแต่วันที่จัดตั้งสำนักงานแล้วเสร็จตามมาตรา 93

## สรุป

มาตรานี้กำหนดกรอบเวลา 2 ระยะสำหรับการจัดตั้งโครงสร้างถาวร: (1) **คณะกรรมการกำกับสำนักงาน** ([มาตรา 48](https://link.pdpalawbase.com/section/48.md)) ภายใน **90 วัน**นับจากวันแต่งตั้งประธานกรรมการและกรรมการผู้ทรงคุณวุฒิตาม [มาตรา 91](https://link.pdpalawbase.com/section/91.md); (2) **เลขาธิการ** ([มาตรา 58](https://link.pdpalawbase.com/section/58.md)) ภายใน **90 วัน**นับจากวันที่จัดตั้งสำนักงานแล้วเสร็จตาม [มาตรา 93](https://link.pdpalawbase.com/section/93.md) — เป็นการกำหนดลำดับการเปลี่ยนผ่านจากกลไกชั่วคราวสู่กลไกถาวร

## องค์ประกอบสำคัญ

- **วรรค 1 — คณะกรรมการกำกับสำนักงาน:**
  - **ดำเนินการให้มี**คณะกรรมการกำกับสำนักงาน
  - **กรอบเวลา:** **90 วัน** นับแต่วันแต่งตั้งประธานกรรมการ + กรรมการผู้ทรงคุณวุฒิตาม [มาตรา 91](https://link.pdpalawbase.com/section/91.md)
  - = หลังจากวรรค 2 ของ [มาตรา 91](https://link.pdpalawbase.com/section/91.md) บรรลุผล
- **วรรค 2 — เลขาธิการ:**
  - **ดำเนินการแต่งตั้งเลขาธิการ**คณะกรรมการคุ้มครองข้อมูลส่วนบุคคลตาม พ.ร.บ. นี้
  - **กรอบเวลา:** **90 วัน**นับแต่วันที่**จัดตั้งสำนักงานแล้วเสร็จ**ตาม [มาตรา 93](https://link.pdpalawbase.com/section/93.md)

## มาตราที่อ้างอิง

- [มาตรา 91](https://link.pdpalawbase.com/section/91.md) — บทเฉพาะกาล: คณะกรรมการชุดเริ่มแรก — เป็นเงื่อนไขเริ่มต้นของวรรค 1
- [มาตรา 93](https://link.pdpalawbase.com/section/93.md) — บทเฉพาะกาล: การจัดตั้งสำนักงาน — เป็นเงื่อนไขเริ่มต้นของวรรค 2

## หมายเหตุ

- **ลำดับการเปลี่ยนผ่าน — กรอบเวลา:**
  ```
  วันที่ พ.ร.บ. ใช้บังคับ (T0)
       ↓ ภายใน 90 วัน
  ตั้งประธาน + ผู้ทรงคุณวุฒิ ([[มาตรา-91]] วรรค 2) (T1)
       ↓ ภายใน 90 วันจาก T1
  ตั้งคณะกรรมการกำกับสำนักงาน (มาตรานี้ วรรค 1)
  
  วันที่ พ.ร.บ. ใช้บังคับ (T0)
       ↓ ภายใน 1 ปี
  จัดตั้งสำนักงานแล้วเสร็จ ([[มาตรา-93]]) (T2)
       ↓ ภายใน 90 วันจาก T2
  ตั้งเลขาธิการตาม พ.ร.บ. (มาตรานี้ วรรค 2)
  ```
- **เหตุที่คณะกรรมการกำกับสำนักงานต้องมีก่อนเลขาธิการ:**
  - **คณะกรรมการกำกับสำนักงาน** ([มาตรา 54](https://link.pdpalawbase.com/section/54.md)) มีหน้าที่**คัดเลือกเลขาธิการ**
  - ถ้าไม่มีคณะกรรมการกำกับสำนักงาน → ไม่สามารถสรรหาเลขาธิการตาม พ.ร.บ. ได้
  - ดังนั้นต้องตั้งคณะกรรมการกำกับสำนักงานก่อน
- **เลขาธิการ 2 ประเภทในช่วงเปลี่ยนผ่าน:**
  - **เลขาธิการชั่วคราว** ([มาตรา 93](https://link.pdpalawbase.com/section/93.md) วรรค 2): รองปลัดกระทรวงดิจิทัลฯ ที่รัฐมนตรีแต่งตั้ง
  - **เลขาธิการตาม พ.ร.บ.** (มาตรานี้ วรรค 2): สรรหาตาม [มาตรา 58](https://link.pdpalawbase.com/section/58.md)
  - การเปลี่ยนผ่านเกิดขึ้นเมื่อ**สำนักงานจัดตั้งแล้วเสร็จ + ตั้งเลขาธิการตาม พ.ร.บ.**
- **กรอบเวลารวม — ตั้งแต่ พ.ร.บ. ใช้บังคับถึงโครงสร้างถาวรเสร็จ:**
  - **คณะกรรมการ:** สูงสุด 90 วัน ([มาตรา 91](https://link.pdpalawbase.com/section/91.md))
  - **คณะกรรมการกำกับสำนักงาน:** สูงสุด 90 วัน หลังจากตั้งประธาน
  - **สำนักงาน:** สูงสุด 1 ปี ([มาตรา 93](https://link.pdpalawbase.com/section/93.md))
  - **เลขาธิการ:** สูงสุด 90 วัน หลังจากจัดตั้งสำนักงาน
  - **รวม:** สูงสุดประมาณ 1 ปี 90 วัน
- **บทบาทของคณะกรรมการกำกับสำนักงานในวาระเริ่มแรก:**
  - กำหนดกรอบการจัดตั้งสำนักงาน
  - สรรหาเลขาธิการคนแรกตาม พ.ร.บ.
  - ออกระเบียบเกี่ยวกับการเงิน บัญชี การจ้างงาน
- **เปรียบเทียบกับการจัดตั้งหน่วยงานอื่น:**
  - **กสทช.:** บทเฉพาะกาลให้ใช้ระบบเดิมจน กสทช. ตั้งเสร็จ
  - **กกต.:** การเปลี่ยนผ่านที่ใช้คณะกรรมการเดิมก่อน
  - มาตรานี้ใช้รูปแบบคล้ายกัน — **ตั้งคณะกรรมการ → ตั้งโครงสร้างปฏิบัติการ**
- **ลักษณะของกรอบเวลา "90 วัน":**
  - **ภายใน 90 วัน** — เป็นกรอบสุดท้าย ไม่ได้เร็วกว่านั้นต้องห้าม
  - **ไม่มีบทลงโทษ**ถ้าเกิน 90 วัน — เป็นกรอบเชิงนโยบาย
  - แต่การล่าช้า → กระทบความน่าเชื่อถือของรัฐ + การปฏิบัติตาม พ.ร.บ. โดยภาคเอกชน

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/section/92.md

============================================================
โนด: มาตรา 93
ลิงก์อ้างอิง: https://link.pdpalawbase.com/section/93.md

# มาตรา 93

## ตัวบท

> มาตรา 93 ให้ดำเนินการจัดตั้งสำนักงานให้แล้วเสร็จเพื่อปฏิบัติงานตามพระราชบัญญัตินี้ภายในหนึ่งปีนับแต่วันที่พระราชบัญญัตินี้ใช้บังคับ
>
> ในระหว่างที่การดำเนินการจัดตั้งสำนักงานยังไม่แล้วเสร็จ ให้สำนักงานปลัดกระทรวงดิจิทัลเพื่อเศรษฐกิจและสังคมทำหน้าที่สำนักงานตามพระราชบัญญัตินี้ และให้รัฐมนตรีแต่งตั้งรองปลัดกระทรวงดิจิทัลเพื่อเศรษฐกิจและสังคมคนหนึ่งทำหน้าที่เลขาธิการจนกว่าจะมีการแต่งตั้งเลขาธิการตามมาตรา 92 วรรคสอง

## สรุป

มาตรานี้กำหนดกรอบเวลาและกลไกชั่วคราวสำหรับการจัดตั้งสำนักงาน: (1) **จัดตั้งสำนักงาน**ตาม [มาตรา 43](https://link.pdpalawbase.com/section/43.md) ให้แล้วเสร็จภายใน **1 ปี**นับแต่วันที่ พ.ร.บ. ใช้บังคับ; (2) ในระหว่างนั้น **สำนักงานปลัดกระทรวงดิจิทัลเพื่อเศรษฐกิจและสังคม** ทำหน้าที่แทน + **รองปลัดกระทรวง**คนหนึ่งที่รัฐมนตรีแต่งตั้งทำหน้าที่เลขาธิการ จนกว่าจะมีการแต่งตั้งเลขาธิการตาม [มาตรา 92](https://link.pdpalawbase.com/section/92.md) วรรค 2

## องค์ประกอบสำคัญ

- **วรรค 1 — กรอบเวลาการจัดตั้งสำนักงาน:**
  - **ผู้ดำเนินการ:** (ไม่ระบุชัด — ในทางปฏิบัติคือ คณะกรรมการ + คณะกรรมการกำกับสำนักงาน + รัฐบาล)
  - **เป้าหมาย:** จัดตั้งสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล ([มาตรา 43](https://link.pdpalawbase.com/section/43.md))
  - **กรอบเวลา:** **1 ปี** นับแต่วันที่ พ.ร.บ. ใช้บังคับ
- **วรรค 2 — กลไกชั่วคราว:**
  - **หน่วยงานที่ทำหน้าที่แทน:** **สำนักงานปลัดกระทรวงดิจิทัลเพื่อเศรษฐกิจและสังคม**
  - **เลขาธิการชั่วคราว:**
    - **ผู้แต่งตั้ง:** รัฐมนตรี
    - **ที่มา:** รองปลัดกระทรวงดิจิทัลฯ คนหนึ่ง
    - **ระยะเวลา:** จนกว่าจะมีการแต่งตั้งเลขาธิการตาม [มาตรา 92](https://link.pdpalawbase.com/section/92.md) วรรค 2

## มาตราที่อ้างอิง

- [มาตรา 43](https://link.pdpalawbase.com/section/43.md) — การจัดตั้งสำนักงาน — มาตรานี้กำหนดกรอบเวลาในการบรรลุ
- [มาตรา 92](https://link.pdpalawbase.com/section/92.md) — บทเฉพาะกาล: คณะกรรมการกำกับสำนักงาน + เลขาธิการ — เลขาธิการชั่วคราวอยู่จน [มาตรา 92](https://link.pdpalawbase.com/section/92.md) วรรค 2 บรรลุ

## หมายเหตุ

- **เหตุที่กระทรวงดิจิทัลฯ ทำหน้าที่แทน:**
  - กระทรวงดิจิทัลฯ มี**ภารกิจใกล้เคียง** — กำกับเทคโนโลยีและข้อมูลดิจิทัล
  - มี**โครงสร้างองค์กร**พร้อมรองรับ
  - ไม่ต้องสร้างใหม่จากศูนย์
  - **รัฐมนตรี**ที่กำกับ พ.ร.บ. นี้ = รัฐมนตรีว่าการกระทรวงดิจิทัลฯ
- **กรอบเวลา 1 ปี — ความเป็นจริง:**
  - การจัดตั้งหน่วยงานใหม่ใช้เวลามาก:
    - การออก**ระเบียบบุคลากร** + **โครงสร้างองค์กร**
    - การ**โอนหรือคัดเลือกบุคลากร** ([มาตรา 94](https://link.pdpalawbase.com/section/94.md))
    - การ**จัดสถานที่ + ระบบงาน + งบประมาณ**
  - 1 ปีเป็นกรอบที่**กระชับ** — ในทางปฏิบัติอาจล่าช้า
- **บทบาทของรองปลัดในฐานะเลขาธิการชั่วคราว:**
  - มีอำนาจตาม [มาตรา 63](https://link.pdpalawbase.com/section/63.md) (หน้าที่และอำนาจของเลขาธิการ) เท่าที่จำเป็น
  - แต่**ไม่ผ่านกระบวนการสรรหา**ตาม [มาตรา 58](https://link.pdpalawbase.com/section/58.md) → ไม่ใช่เลขาธิการตาม พ.ร.บ. ในทางการ
  - การ**ถ่ายโอน**สู่เลขาธิการตาม [มาตรา 92](https://link.pdpalawbase.com/section/92.md) วรรค 2 → ทำให้โครงสร้างเป็นทางการ
- **ความเชื่อมโยงกับ [มาตรา 94](https://link.pdpalawbase.com/section/94.md) (การโอนข้าราชการ):**
  - มาตรานี้กำหนดว่าใครทำหน้าที่ในช่วงเปลี่ยนผ่าน
  - [มาตรา 94](https://link.pdpalawbase.com/section/94.md) = กลไกการ**โอนข้าราชการ**จากสำนักงานปลัดกระทรวงดิจิทัลฯ มาเป็นพนักงานสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล
  - 2 มาตราเสริมกันในการเปลี่ยนผ่านบุคลากร
- **การจัดตั้งสำนักงาน "แล้วเสร็จ" — ตีความ:**
  - มี**สถานที่ทำการ**
  - มี**โครงสร้างองค์กร**ที่ชัดเจน
  - มี**บุคลากร**ที่เพียงพอที่จะปฏิบัติงาน
  - มี**งบประมาณ**ที่ใช้ได้
  - **ไม่จำเป็นต้องครบสมบูรณ์ทุกหน้าที่** — การจัดตั้งแล้วเสร็จเป็นจุดเริ่มต้น ไม่ใช่จุดสิ้นสุด
- **บทบาทของสำนักงานปลัดกระทรวงดิจิทัลฯ ในช่วงเปลี่ยนผ่าน:**
  - รับเรื่องร้องเรียน
  - สนับสนุนการประชุมคณะกรรมการ
  - เก็บเอกสารและบันทึก
  - ทำหน้าที่ฝ่ายเลขานุการของคณะกรรมการ
- **กรณีจัดตั้งล่าช้า — ผลในทางกฎหมาย:**
  - พ.ร.บ. ยังคง**บังคับใช้**ทุกประการ
  - กลไกชั่วคราวยังคงทำหน้าที่
  - **ไม่มีโทษ**ต่อรัฐบาลกรณีล่าช้า — เป็นกรอบเชิงนโยบาย
  - แต่กระทบ**ความน่าเชื่อถือ**และ**ประสิทธิผล**ของการบังคับใช้
- **ประวัติการจัดตั้งสำนักงานในเชิงปฏิบัติ:**
  - พ.ร.บ. ประกาศ พ.ค. 2562 → มีผลส่วนใหญ่ มิ.ย. 2565
  - สำนักงาน (สคส.) จัดตั้ง 19 ก.ค. 2565
  - ใช้เวลาประมาณ 1.5 เดือนหลัง พ.ร.บ. มีผล — เร็วกว่ากรอบ 1 ปี
  - แต่**บทเฉพาะกาล**ครอบคลุมช่วงระหว่างนั้น

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/section/93.md

============================================================
โนด: มาตรา 94
ลิงก์อ้างอิง: https://link.pdpalawbase.com/section/94.md

# มาตรา 94

## ตัวบท

> มาตรา 94 ในวาระเริ่มแรก ให้คณะรัฐมนตรีจัดสรรทุนประเดิมให้แก่สำนักงานตามความจำเป็น
>
> ให้รัฐมนตรีเสนอต่อคณะรัฐมนตรีเพื่อพิจารณาให้ข้าราชการ พนักงาน เจ้าหน้าที่ หรือผู้ปฏิบัติงานอื่นใดในหน่วยงานของรัฐ มาปฏิบัติงานเป็นพนักงานของสำนักงานเป็นการชั่วคราวภายในระยะเวลาที่คณะรัฐมนตรีกำหนด
>
> ให้ถือว่าข้าราชการ พนักงาน เจ้าหน้าที่ หรือผู้ปฏิบัติงานอื่นใดในหน่วยงานของรัฐที่มาปฏิบัติงานในสำนักงานเป็นการชั่วคราวตามวรรคสองไม่ขาดจากสถานภาพเดิมและคงได้รับเงินเดือนหรือค่าจ้าง แล้วแต่กรณี จากสังกัดเดิม ทั้งนี้ คณะกรรมการอาจกำหนดค่าตอบแทนพิเศษให้แก่ข้าราชการ พนักงาน เจ้าหน้าที่ หรือผู้ปฏิบัติงานอื่นใดในหน่วยงานของรัฐตามวรรคสอง ในระหว่างปฏิบัติงานในสำนักงานด้วยก็ได้
>
> ภายในหนึ่งร้อยแปดสิบวันนับแต่วันที่จัดตั้งสำนักงานแล้วเสร็จ ให้สำนักงานดำเนินการคัดเลือกข้าราชการ พนักงาน เจ้าหน้าที่ หรือผู้ปฏิบัติงานอื่นใดในหน่วยงานของรัฐตามวรรคสองเพื่อบรรจุเป็นพนักงานของสำนักงานต่อไป
>
> ข้าราชการ พนักงาน เจ้าหน้าที่ หรือผู้ปฏิบัติงานอื่นใดในหน่วยงานของรัฐผู้ใดได้รับการคัดเลือกและบรรจุตามวรรคสี่ ให้มีสิทธินับระยะเวลาทำงานที่เคยทำงานอยู่ในสังกัดเดิมต่อเนื่องรวมกับระยะเวลาทำงานในสำนักงานตามพระราชบัญญัตินี้

## สรุป

มาตรานี้กำหนด**กลไกการเงินและบุคลากร**สำหรับการตั้งสำนักงานในวาระเริ่มแรก: (1) **คณะรัฐมนตรีจัดสรรทุนประเดิม**ให้สำนักงาน; (2) **โอนข้าราชการชั่วคราว**จากหน่วยงานของรัฐมาปฏิบัติงานในสำนักงาน — ไม่ขาดจากสถานภาพเดิม + ได้รับเงินเดือนจากสังกัดเดิม + อาจมี**ค่าตอบแทนพิเศษ**; (3) ภายใน **180 วัน**หลังจัดตั้งสำนักงาน → **คัดเลือกและบรรจุ**ข้าราชการที่ปฏิบัติงานชั่วคราวเป็นพนักงานสำนักงาน; (4) **นับระยะเวลาทำงานต่อเนื่อง**

## องค์ประกอบสำคัญ

- **วรรค 1 — ทุนประเดิม:**
  - **ผู้จัดสรร:** คณะรัฐมนตรี
  - **ผู้รับ:** สำนักงาน
  - **เกณฑ์:** ตามความจำเป็น (ไม่ระบุจำนวน)
- **วรรค 2 — การโอนชั่วคราว:**
  - **ผู้เสนอ:** รัฐมนตรี (กระทรวงดิจิทัลฯ)
  - **ผู้พิจารณา:** คณะรัฐมนตรี
  - **บุคคลที่โอน:** ข้าราชการ พนักงาน เจ้าหน้าที่ หรือผู้ปฏิบัติงานอื่นใดในหน่วยงานของรัฐ
  - **ลักษณะ:** ปฏิบัติงาน**เป็นการชั่วคราว**
  - **ระยะเวลา:** ตามที่คณะรัฐมนตรีกำหนด
- **วรรค 3 — สถานะระหว่างปฏิบัติงานชั่วคราว:**
  - **ไม่ขาดจากสถานภาพเดิม** — ยังเป็นข้าราชการ/พนักงานของสังกัดเดิม
  - **เงินเดือน:** จากสังกัดเดิม
  - **ค่าตอบแทนพิเศษ:** คณะกรรมการ ([มาตรา 8](https://link.pdpalawbase.com/section/8.md)) อาจกำหนดเพิ่ม
- **วรรค 4 — การคัดเลือกและบรรจุถาวร:**
  - **กรอบเวลา:** **180 วัน**นับแต่วันที่จัดตั้งสำนักงานแล้วเสร็จ ([มาตรา 93](https://link.pdpalawbase.com/section/93.md))
  - **ผู้ดำเนินการ:** สำนักงาน
  - **เป้าหมาย:** คัดเลือก**ข้าราชการที่ปฏิบัติงานชั่วคราว**ตามวรรค 2 → **บรรจุเป็นพนักงานของสำนักงาน**
- **วรรค 5 — สิทธิประโยชน์ทางการทำงาน:**
  - **นับระยะเวลาทำงานในสังกัดเดิม + สำนักงาน** = ต่อเนื่อง
  - สิทธิประโยชน์ (เช่น บำเหน็จบำนาญ ฯลฯ) ไม่ถูกตัดขาด

## มาตราที่อ้างอิง

- [มาตรา 46](https://link.pdpalawbase.com/section/46.md) — รายได้และเงินสนับสนุนสำนักงาน — (1) เงินอุดหนุนของรัฐ — รวมถึงทุนประเดิมตามมาตรานี้
- [มาตรา 93](https://link.pdpalawbase.com/section/93.md) — บทเฉพาะกาล: การจัดตั้งสำนักงาน — เป็นจุดเริ่มต้นของกรอบเวลา 180 วันในวรรค 4

## หมายเหตุ

- **ทุนประเดิม — ที่มาและจำนวน:**
  - คณะรัฐมนตรีจัดสรร**ตามความจำเป็น** — เป็นดุลพินิจ
  - ในทางปฏิบัติประมาณการ**หลายร้อยล้านถึงพันล้านบาท**สำหรับการตั้งสำนักงานแห่งใหม่
  - เชื่อมโยงกับ [มาตรา 46](https://link.pdpalawbase.com/section/46.md) (1) — เงินอุดหนุนทั่วไปจากรัฐ
- **เหตุที่ใช้กลไกการ "ปฏิบัติงานชั่วคราว":**
  - **เร็ว** — ไม่ต้องสรรหาบุคลากรใหม่ทั้งหมด
  - **ยืดหยุ่น** — ข้าราชการเลือกได้ว่าจะอยู่หรือกลับ
  - **มีประสบการณ์** — ข้าราชการรู้จักระบบราชการอยู่แล้ว
  - **ลดต้นทุนเริ่มต้น** — ไม่ต้องจ่ายเงินเดือนเอง (จ่ายโดยสังกัดเดิม) + อาจให้ค่าตอบแทนพิเศษเสริม
- **ค่าตอบแทนพิเศษ — ลักษณะ:**
  - **ดุลพินิจของคณะกรรมการ** — ไม่ใช่หน้าที่บังคับ
  - **เป็นแรงจูงใจ** — เพื่อดึงดูดข้าราชการที่มีคุณภาพ
  - **ระหว่างปฏิบัติงานในสำนักงาน** — ไม่ใช่ตลอดไป
  - ไม่มีเพดานในตัวบท — ขึ้นกับการกำหนดของคณะกรรมการ
- **การคัดเลือกถาวรภายใน 180 วัน — กลไก:**
  - สำนักงานต้อง**ออกระเบียบ**เกี่ยวกับการคัดเลือก
  - การคัดเลือกใช้เกณฑ์**ความสามารถและประสบการณ์**
  - ผู้ที่**ไม่ผ่านการคัดเลือก** → กลับสู่สังกัดเดิม
  - ผู้ที่**ผ่านการคัดเลือก** → เลือกได้ระหว่างเป็นพนักงานสำนักงานหรือกลับสู่สังกัดเดิม
- **การนับระยะเวลาทำงาน — สิทธิประโยชน์:**
  - **บำเหน็จบำนาญ** — รวมระยะเวลาทำงานทั้ง 2 สังกัด
  - **สิทธิวันลา** — บางครั้งคำนวณตามอายุงาน
  - **สิทธิเลื่อนตำแหน่ง** — อาจใช้อายุงานเป็นเกณฑ์
- **ความเชื่อมโยงกับ [มาตรา 66](https://link.pdpalawbase.com/section/66.md) (กลไกการยืมตัว):**
  - **มาตรานี้:** บทเฉพาะกาล — ใช้ครั้งเดียวในวาระเริ่มแรก
  - [มาตรา 66](https://link.pdpalawbase.com/section/66.md): กลไกถาวร — ใช้ตลอดไปสำหรับการยืมตัว
  - 2 มาตราเสริมกัน — มาตรานี้ตั้งระบบให้พร้อม, [มาตรา 66](https://link.pdpalawbase.com/section/66.md) รักษาระบบในระยะยาว
- **ความเชื่อมโยงกับ [มาตรา 67](https://link.pdpalawbase.com/section/67.md) (การโอนระหว่างสำนักงาน):**
  - **มาตรานี้:** โอน**เข้า**สำนักงาน (จากหน่วยงานรัฐ → สำนักงาน)
  - [มาตรา 67](https://link.pdpalawbase.com/section/67.md): โอนระหว่างสำนักงานกับหน่วยงานรัฐอื่น (สองทาง)
  - มาตรานี้เน้นช่วง**ตั้ง** ส่วน [มาตรา 67](https://link.pdpalawbase.com/section/67.md) เน้นการ**ดูแล**ในระยะยาว
- **ผลกระทบในเชิงปฏิบัติ:**
  - สำนักงานสามารถ**เริ่มทำงาน**ได้แม้ไม่มีพนักงานถาวร
  - บุคลากรที่**ผ่าน**การคัดเลือกได้รับ**ความก้าวหน้า** (เพราะอาจได้รับเงินเดือนสูงกว่าในสังกัดเดิม)
  - บุคลากรที่**ไม่ผ่าน**กลับสู่สังกัดเดิม**โดยไม่ขาดจากสถานภาพ**

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/section/94.md

============================================================
โนด: มาตรา 95
ลิงก์อ้างอิง: https://link.pdpalawbase.com/section/95.md

# มาตรา 95

## ตัวบท

> มาตรา 95 ข้อมูลส่วนบุคคลที่ผู้ควบคุมข้อมูลส่วนบุคคลได้เก็บรวบรวมไว้ก่อนวันที่พระราชบัญญัตินี้ใช้บังคับ ให้ผู้ควบคุมข้อมูลส่วนบุคคลสามารถเก็บรวมรวมและใช้ข้อมูลส่วนบุคคลนั้นต่อไปได้ตามวัตถุประสงค์เดิม ทั้งนี้ ผู้ควบคุมข้อมูลส่วนบุคคลต้องกำหนดวิธีการยกเลิกความยินยอมและเผยแพร่ประชาสัมพันธ์ให้เจ้าของข้อมูลส่วนบุคคลที่ไม่ประสงค์ให้ผู้ควบคุมข้อมูลส่วนบุคคลเก็บรวมรวมและใช้ข้อมูลส่วนบุคคลดังกล่าวสามารถแจ้งยกเลิกความยินยอมได้โดยง่าย
>
> การเปิดเผยและการดำเนินการอื่นที่มิใช่การเก็บรวบรวมและการใช้ข้อมูลส่วนบุคคลตามวรรคหนึ่ง ให้เป็นไปตามบทบัญญัติแห่งพระราชบัญญัตินี้

## สรุป

มาตรานี้เป็นมาตราที่มี**ผลกระทบในเชิงปฏิบัติสูงที่สุด**ในบทเฉพาะกาล — กำหนดให้ผู้ควบคุมที่**เก็บรวบรวมข้อมูลก่อน พ.ร.บ. ใช้บังคับ** สามารถ: (1) **เก็บรวบรวมและใช้ข้อมูลต่อไป**ตาม**วัตถุประสงค์เดิม**โดยไม่ต้องขอความยินยอมใหม่ — แต่ต้อง**กำหนดวิธีการยกเลิกความยินยอม + ประชาสัมพันธ์**ให้เจ้าของข้อมูลถอนความยินยอมได้โดยง่าย; (2) **การเปิดเผยและการดำเนินการอื่น** (ที่ไม่ใช่เก็บ/ใช้) ต้องเป็นไปตาม พ.ร.บ. ทุกประการ

## องค์ประกอบสำคัญ

- **วรรค 1 — ข้อมูลที่เก็บก่อน พ.ร.บ.:**
  - **ขอบเขต:** ข้อมูลส่วนบุคคลที่ผู้ควบคุมเก็บรวบรวมไว้**ก่อนวันที่ พ.ร.บ. ใช้บังคับ**
  - **สิทธิที่ได้รับ 2 ประการ:**
    1. **เก็บรวบรวมต่อไป**ได้
    2. **ใช้**ข้อมูลส่วนบุคคลนั้นได้
  - **ขอบเขต:** ตาม**วัตถุประสงค์เดิม**เท่านั้น — ไม่ใช่เพื่อวัตถุประสงค์ใหม่
  - **เงื่อนไข 2 ประการ:**
    1. **กำหนดวิธีการยกเลิกความยินยอม**
    2. **เผยแพร่ประชาสัมพันธ์**ให้เจ้าของข้อมูลทราบและสามารถ**แจ้งยกเลิกได้โดยง่าย**
- **วรรค 2 — การกระทำอื่น:**
  - **ขอบเขต:** การเปิดเผย + การดำเนินการอื่นที่**มิใช่**การเก็บรวบรวมและการใช้
  - **กฎที่ใช้:** ต้องเป็นไปตาม**บทบัญญัติแห่ง พ.ร.บ. นี้** — ทุกประการ

## มาตราที่อ้างอิง

- [มาตรา 19](https://link.pdpalawbase.com/section/19.md) — การขอความยินยอม — กลไกการยกเลิกความยินยอมในมาตรานี้สอดคล้องกับ [มาตรา 19](https://link.pdpalawbase.com/section/19.md) วรรค 5 (สิทธิถอนความยินยอม)

## หมายเหตุ

- **ทำไมมาตรานี้สำคัญ — ผลกระทบเชิงปฏิบัติ:**
  - **ผู้ควบคุมข้อมูล**ที่มีฐานข้อมูลขนาดใหญ่ก่อน พ.ร.บ. ใช้บังคับ (ธนาคาร, ค้าปลีก, โรงพยาบาล, สถานศึกษา) ไม่ต้อง**ขอความยินยอมใหม่**ทุกราย
  - ถ้าไม่มีบทเฉพาะกาลนี้ → ฐานข้อมูลทั้งหมดอาจกลายเป็น**ผิดกฎหมาย**ทันที
  - มาตรานี้เป็นทางออกที่**สมดุล** — ระหว่างคุ้มครองสิทธิเจ้าของข้อมูลกับการดำเนินธุรกิจ
- **ขอบเขตของ "วัตถุประสงค์เดิม":**
  - **เดิม** หมายถึง วัตถุประสงค์ที่**แจ้งหรือทราบกัน**ในเวลาที่เก็บข้อมูล
  - ตัวอย่าง: ธนาคารเก็บข้อมูลเพื่อ**บริการบัญชีเงินฝาก** → ใช้ต่อไปได้เพื่อบริการนั้น
  - ถ้าธนาคารต้องการใช้เพื่อ**การตลาด** (วัตถุประสงค์ใหม่) → ต้อง**ขอความยินยอมใหม่**ตาม [มาตรา 19](https://link.pdpalawbase.com/section/19.md)
- **เงื่อนไข "ยกเลิกความยินยอมโดยง่าย":**
  - **ช่องทางการยกเลิก:** เช่น เว็บไซต์, อีเมล, จดหมาย, เคาน์เตอร์
  - **ไม่มีค่าใช้จ่าย** — สอดคล้องกับ [มาตรา 19](https://link.pdpalawbase.com/section/19.md) วรรค 5
  - **เร็วและสะดวก** — ไม่ใช่กระบวนการที่ซับซ้อน
- **กลไก "เผยแพร่ประชาสัมพันธ์":**
  - **เผยแพร่กว้างขวาง** — ให้เจ้าของข้อมูลทราบว่าตนมีสิทธิ
  - **ช่องทาง:** เว็บไซต์, อีเมล, แอปพลิเคชัน, สื่อมวลชน
  - **เนื้อหา:** วิธีการยกเลิก + เหตุผล
- **กลไกป้องกันการหลีกเลี่ยง — วรรค 2:**
  - ถ้าผู้ควบคุมต้องการ**เปิดเผย**ข้อมูลให้บุคคลที่ 3 → ต้องปฏิบัติตาม [มาตรา 27](https://link.pdpalawbase.com/section/27.md) เต็มรูปแบบ
  - ถ้าต้องการ**ส่งไปต่างประเทศ** → ต้องปฏิบัติตาม [มาตรา 28](https://link.pdpalawbase.com/section/28.md) / [มาตรา 29](https://link.pdpalawbase.com/section/29.md)
  - มาตรานี้**เปิดทางเฉพาะการเก็บและใช้** — ไม่เปิดทางการเปิดเผยหรือการประมวลผลใหม่
- **ตีความ "ก่อนวันที่ พ.ร.บ. ใช้บังคับ":**
  - ในทางปฏิบัติ = ก่อน 1 มิ.ย. 2565 (วันที่ พ.ร.บ. ใช้บังคับเต็มรูปแบบ)
  - ผู้ควบคุมต้องสามารถ**พิสูจน์**ว่าเก็บข้อมูลก่อนวันนั้น
  - ข้อมูลที่เก็บ**หลังจาก**วันที่บังคับ → ต้องปฏิบัติตาม พ.ร.บ. เต็มรูปแบบ
- **ความท้าทายในเชิงปฏิบัติ:**
  - ผู้ควบคุมต้อง**แยกข้อมูล**ที่เก็บก่อน vs หลัง พ.ร.บ. — ในระบบเดียวกันอาจซับซ้อน
  - การ**ตามรอย**ว่าวัตถุประสงค์เดิมคืออะไร — ในกรณีที่ไม่ได้บันทึก
  - การ**สื่อสาร**ให้เจ้าของข้อมูลเข้าใจสิทธิและช่องทางการยกเลิก
- **เปรียบเทียบกับ GDPR Art. 99:**
  - **GDPR:** ใช้บังคับกับข้อมูลทั้งหมดทันที — ไม่มีบทเฉพาะกาลแบบนี้
  - **PDPA ไทย (มาตรานี้):** มีบทเฉพาะกาลเพื่อให้ภาคเอกชนปรับตัวได้
  - PDPA ไทย ผ่อนผันมากกว่า GDPR ในจุดนี้ — สอดคล้องกับสภาพเศรษฐกิจของไทยที่ภาคเอกชนยังไม่พร้อม
- **ผลในเชิงสิทธิของเจ้าของข้อมูล:**
  - **ยังคงมี**สิทธิเข้าถึงข้อมูล ([มาตรา 30](https://link.pdpalawbase.com/section/30.md)), สิทธิแก้ไข ([มาตรา 36](https://link.pdpalawbase.com/section/36.md)), สิทธิลบ ([มาตรา 33](https://link.pdpalawbase.com/section/33.md)), สิทธิคัดค้าน ([มาตรา 32](https://link.pdpalawbase.com/section/32.md))
  - ทุกสิทธิเหล่านี้ใช้ได้กับข้อมูลที่เก็บก่อน พ.ร.บ. — มาตรานี้ไม่จำกัด
  - มาตรานี้**ผ่อนผัน**เฉพาะ**ฐานในการประมวลผล** ([มาตรา 19](https://link.pdpalawbase.com/section/19.md)) สำหรับการเก็บและใช้

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/section/95.md

============================================================
โนด: มาตรา 96
ลิงก์อ้างอิง: https://link.pdpalawbase.com/section/96.md

# มาตรา 96

## ตัวบท

> มาตรา 96 การดำเนินการออกระเบียบ และประกาศตามพระราชบัญญัตินี้ ให้ดำเนินการให้แล้วเสร็จภายในหนึ่งปีนับแต่วันที่พระราชบัญญัตินี้ใช้บังคับ หากไม่สามารถดำเนินการได้ให้รัฐมนตรีรายงานเหตุผลที่ไม่อาจดำเนินการได้ต่อคณะรัฐมนตรีเพื่อทราบ

## สรุป

มาตรานี้ปิด พ.ร.บ. ด้วยกรอบเวลาทั่วไปสำหรับ**ระเบียบและประกาศ**ที่ออกตาม พ.ร.บ.: ให้ดำเนินการให้แล้วเสร็จภายใน **1 ปี**นับแต่วันที่ พ.ร.บ. ใช้บังคับ — กรณีไม่สามารถดำเนินการได้ **รัฐมนตรีต้องรายงานเหตุผล**ต่อคณะรัฐมนตรีเพื่อทราบ — เป็น**กลไกความรับผิดชอบ**ที่ทำให้รัฐบาลรายงานความล่าช้าในการบังคับใช้กฎหมาย

## องค์ประกอบสำคัญ

- **กรอบเวลา:**
  - **ที่ต้องดำเนินการ:** การออก**ระเบียบ**และ**ประกาศ**ตาม พ.ร.บ. นี้
  - **กรอบ:** **1 ปี**นับแต่วันที่ พ.ร.บ. ใช้บังคับ
- **กรณีไม่สามารถดำเนินการได้:**
  - **ผู้รับผิดชอบ:** รัฐมนตรี
  - **หน้าที่:** รายงานเหตุผลที่ไม่อาจดำเนินการได้
  - **ผู้รับรายงาน:** คณะรัฐมนตรี
  - **ลักษณะของการรายงาน:** เพื่อทราบ — ไม่ใช่เพื่อขออนุมัติ

## มาตราที่อ้างอิง

(ไม่มีการอ้างอิงมาตราเฉพาะ — มาตรานี้ใช้ทั่วทุกบทบัญญัติของ พ.ร.บ. ที่กำหนดให้ออกระเบียบ/ประกาศ)

## หมายเหตุ

- **ขอบเขตของ "ระเบียบและประกาศ" ใน พ.ร.บ.:**
  - ตัวอย่างของระเบียบ/ประกาศที่ต้องออก:
    - **ประกาศของคณะกรรมการ** ([มาตรา 16](https://link.pdpalawbase.com/section/16.md)) — แบบและข้อความความยินยอม ([มาตรา 19](https://link.pdpalawbase.com/section/19.md) วรรค 3)
    - **ประกาศ**กำหนดข้อมูลอ่อนไหวเพิ่มเติม ([มาตรา 26](https://link.pdpalawbase.com/section/26.md))
    - **ประกาศ**กำหนดมาตรฐานการคุ้มครองสำหรับการส่งต่างประเทศ ([มาตรา 28](https://link.pdpalawbase.com/section/28.md) วรรค 4)
    - **ระเบียบ**การยื่นและพิจารณาคำร้องเรียน ([มาตรา 73](https://link.pdpalawbase.com/section/73.md) วรรค 2)
    - **ประกาศ**คุณสมบัติของคณะกรรมการผู้เชี่ยวชาญ ([มาตรา 71](https://link.pdpalawbase.com/section/71.md) วรรค 2)
    - **ประกาศ**คุณสมบัติของพนักงานเจ้าหน้าที่ + แบบบัตร ([มาตรา 76](https://link.pdpalawbase.com/section/76.md))
    - **ระเบียบ**การลงโทษทางปกครอง ([มาตรา 90](https://link.pdpalawbase.com/section/90.md) วรรค 2)
- **เหตุที่กฎหมายใหม่ต้องออกระเบียบ/ประกาศจำนวนมาก:**
  - พ.ร.บ. กำหนด**กรอบหลัก** — ปล่อยให้รายละเอียดอยู่ในระเบียบ/ประกาศ
  - กลไกนี้**ยืดหยุ่น** — ปรับเปลี่ยนได้ตามสถานการณ์โดยไม่ต้องแก้ พ.ร.บ.
  - แต่ทำให้การบังคับใช้**ขึ้นกับการออกระเบียบ/ประกาศ** — ถ้าไม่ออก พ.ร.บ. อาจ**บังคับใช้ไม่ได้เต็มรูปแบบ**
- **กรอบเวลา 1 ปี — เปรียบเทียบกับมาตราอื่น:**
  - **[มาตรา 91](https://link.pdpalawbase.com/section/91.md):** คณะกรรมการ — 90 วัน
  - **[มาตรา 93](https://link.pdpalawbase.com/section/93.md):** สำนักงาน — 1 ปี
  - **มาตรานี้:** ระเบียบและประกาศ — 1 ปี
  - กรอบเวลาคู่ขนาน — ทั้ง**โครงสร้างองค์กร**และ**กรอบกฎเกณฑ์**ควรพร้อมในเวลาเดียวกัน
- **ผลของการรายงานต่อคณะรัฐมนตรี:**
  - **เป็นเพื่อทราบ** — ไม่ต้องอนุมัติให้ขยายเวลา
  - แต่ทำให้**คณะรัฐมนตรีตระหนัก**ถึงความล่าช้า
  - อาจกระตุ้นให้**ครม. กดดัน**กระทรวงดิจิทัลฯ + สำนักงานให้เร่งทำงาน
- **ผลทางการเมืองของการล่าช้า:**
  - การที่รัฐมนตรีต้องรายงานเหตุผล → ทำให้เห็น**ผู้รับผิดชอบ**
  - ฝ่ายค้าน/สื่อสามารถใช้เป็น**ประเด็นการเมือง**
  - กลไกนี้สร้าง**แรงจูงใจ**ให้รัฐมนตรีเร่งทำงาน
- **ประวัติการออกระเบียบและประกาศในเชิงปฏิบัติ:**
  - หลัง พ.ร.บ. ใช้บังคับ มิ.ย. 2565 → คณะกรรมการเริ่มออกประกาศตั้งแต่ ก.ค. 2565
  - ภายในปีแรก ออกประกาศหลัก เช่น
    - ประกาศหลักเกณฑ์มาตรการรักษาความปลอดภัย ([มาตรา 37](https://link.pdpalawbase.com/section/37.md))
    - ประกาศการแจ้งเหตุละเมิด
    - ประกาศการขอความยินยอม
  - บางประกาศ (เช่น เกณฑ์การประเมินผลกระทบ DPIA) ออกหลัง 1 ปี — รัฐมนตรีต้องรายงานต่อ ครม.
- **ความสัมพันธ์กับการบังคับใช้ พ.ร.บ.:**
  - หลายบทบัญญัติของ พ.ร.บ. **ขึ้นกับ**การมีระเบียบ/ประกาศ
  - ตัวอย่าง: [มาตรา 19](https://link.pdpalawbase.com/section/19.md) วรรค 3 (แบบความยินยอม) ต้องรอประกาศ → ในระหว่างรอ ผู้ควบคุมใช้แบบเดิมได้
  - กลไกนี้**ป้องกันการใช้ พ.ร.บ. แบบไม่สามารถปฏิบัติได้** — ให้เวลาแก่ภาคเอกชนปรับตัว
- **มาตรานี้เป็น "บทปิด" ของ พ.ร.บ.:**
  - [มาตรา 96](https://link.pdpalawbase.com/section/96.md) = มาตราสุดท้ายของ พ.ร.บ.
  - หลังจากนี้ มี**หมายเหตุท้ายพระราชบัญญัติ** อธิบายเหตุผลในการประกาศใช้
  - ครอบคลุม**ทุกบทบัญญัติ**ของ พ.ร.บ. — ทำให้บทเฉพาะกาลครบวงจร

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/section/96.md