---
title: เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล (DPO)
type: concept
slug: concept-dpo
aliases:
  - เจ้าหน้าที่คุ้มครองข้อมูล
  - เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล
  - DPO
definition_source: section-41
tags: [concept, dpo]
references:
  - section-37
  - section-38
  - section-41
  - section-42
  - section-71
related_concepts:
  - ผู้ควบคุมข้อมูล
  - ผู้ประมวลผลข้อมูล
  - เจ้าของข้อมูลส่วนบุคคล
  - ข้อมูลอ่อนไหว
keywords:
  - เจ้าหน้าที่คุ้มครองข้อมูล
  - หน้าที่ DPO
  - การแต่งตั้ง DPO
  - คุณสมบัติ DPO
ingested_by: claude-opus-4.7
ingested_at: 2026-05-11
reviewed_by: null
schema_version: 0.2
---

# เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล (DPO)

## นิยาม

**DPO** ย่อมาจาก *Data Protection Officer* ในภาษาอังกฤษ — เป็นศัพท์ที่ใช้แพร่หลายในมาตรฐานสากลและในตำราภาษาไทยเรียกทับศัพท์ว่า "DPO"

**เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล** (DPO) คือบุคคลที่ผู้ควบคุมข้อมูลหรือผู้ประมวลผลข้อมูลแต่งตั้งให้ทำหน้าที่กำกับดูแลการปฏิบัติตาม พ.ร.บ. คุ้มครองข้อมูลส่วนบุคคล + ให้คำแนะนำเกี่ยวกับการคุ้มครองข้อมูล + เป็นจุดติดต่อสำหรับเจ้าของข้อมูลและสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล

พ.ร.บ. คุ้มครองข้อมูลส่วนบุคคลกำหนดข้อบังคับเกี่ยวกับ DPO ไว้ใน **[มาตรา 41](https://link.pdpalawbase.com/section/41.md)** (เงื่อนไขการแต่งตั้ง) และ **[มาตรา 42](https://link.pdpalawbase.com/section/42.md)** (หน้าที่ของ DPO)

**ลักษณะของ DPO ตาม [มาตรา 41](https://link.pdpalawbase.com/section/41.md) วรรคท้าย:**

- อาจเป็น **พนักงานในองค์กร** ของผู้ควบคุม/ผู้ประมวลผล หรือ
- อาจเป็น **ผู้รับจ้างให้บริการตามสัญญา** กับองค์กร (จ้างจากภายนอก)
- คณะกรรมการอาจประกาศกำหนดคุณสมบัติเพิ่มเติมโดยคำนึงถึงความรู้/ความเชี่ยวชาญเกี่ยวกับการคุ้มครองข้อมูล

## ตัวอย่าง

### 3 กรณีที่ต้องแต่งตั้ง DPO ตาม [มาตรา 41](https://link.pdpalawbase.com/section/41.md) วรรคหนึ่ง

1. **หน่วยงานของรัฐ** ตามที่คณะกรรมการประกาศกำหนด ([มาตรา 41](https://link.pdpalawbase.com/section/41.md) (1))
   - **ตัวอย่าง:** กระทรวง กรม รัฐวิสาหกิจ องค์กรปกครองส่วนท้องถิ่น มหาวิทยาลัยของรัฐ — ตามที่คณะกรรมการกำหนดประเภท

2. **กิจกรรมที่ต้องตรวจสอบข้อมูลส่วนบุคคลหรือระบบสม่ำเสมอ + มีข้อมูลจำนวนมาก** ([มาตรา 41](https://link.pdpalawbase.com/section/41.md) (2))
   - **ตัวอย่าง:** แพลตฟอร์มอีคอมเมิร์ซขนาดใหญ่ที่มีลูกค้าหลายล้านคน + แพลตฟอร์มสตรีมมิ่งที่ติดตามพฤติกรรมผู้ใช้ + ธนาคารหรือบริษัทประกันที่มีลูกค้ารายย่อยจำนวนมาก
   - **เงื่อนไข:** "จำนวนมาก" ตามที่คณะกรรมการกำหนดเกณฑ์

3. **กิจกรรมหลักเป็นการประมวลผลข้อมูลอ่อนไหว** ([มาตรา 41](https://link.pdpalawbase.com/section/41.md) (3))
   - **ตัวอย่าง:** โรงพยาบาล คลินิกขนาดใหญ่ ห้องปฏิบัติการตรวจสารพันธุกรรม สหภาพแรงงาน องค์กรศาสนา องค์กรการเมือง — ที่ข้อมูลอ่อนไหวเป็น "กิจกรรมหลัก" ไม่ใช่กิจกรรมรอง

### DPO ร่วมในเครือกิจการ ([มาตรา 41](https://link.pdpalawbase.com/section/41.md) วรรคสอง)

- **ตัวอย่าง:** เครือบริษัทแม่-ลูกที่มี 5 บริษัทย่อยภายใต้กลุ่มเดียวกัน — สามารถใช้ DPO ร่วมคนเดียวสำหรับทั้งกลุ่มได้ — แต่สถานที่ทำการแต่ละแห่งต้องติดต่อ DPO ได้โดยง่าย
- **ตัวอย่างหน่วยงานรัฐ:** กระทรวงขนาดใหญ่ที่มีหลายกรม — กรณีที่เป็นองค์กรขนาดใหญ่หรือมีสถานที่ทำการหลายแห่ง ([มาตรา 41](https://link.pdpalawbase.com/section/41.md) วรรคสาม)

### หน้าที่ของ DPO ตาม [มาตรา 42](https://link.pdpalawbase.com/section/42.md)

DPO มีหน้าที่อย่างน้อย:

- **ให้คำแนะนำ** แก่ผู้ควบคุม/ผู้ประมวลผล + พนักงาน เกี่ยวกับการปฏิบัติตาม พ.ร.บ.
- **ตรวจสอบ** การดำเนินงานของผู้ควบคุม/ผู้ประมวลผลให้เป็นไปตาม พ.ร.บ.
- **ประสานงานและให้ความร่วมมือ** กับสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล
- **รักษาความลับ** ของข้อมูลที่ล่วงรู้ในการปฏิบัติหน้าที่
- **เป็นจุดติดต่อ** สำหรับเจ้าของข้อมูลในการใช้สิทธิ์ตามหมวด 3

## มาตราที่เกี่ยวข้อง

**เงื่อนไขและหน้าที่:**

- [มาตรา 41](https://link.pdpalawbase.com/section/41.md) — ⭐ **มาตราหลัก:** 3 กรณีที่ต้องแต่งตั้ง DPO + DPO ร่วมในเครือกิจการ + คุณสมบัติ + ลักษณะการจ้าง (พนักงานหรือผู้รับจ้าง)
- [มาตรา 42](https://link.pdpalawbase.com/section/42.md) — หน้าที่ของ DPO 5 ข้อ + การห้ามให้ออกเพราะปฏิบัติหน้าที่

**ความสัมพันธ์กับหน้าที่อื่นของผู้ควบคุม:**

- [มาตรา 37](https://link.pdpalawbase.com/section/37.md) — หน้าที่ของผู้ควบคุมในการจัดมาตรการคุ้มครองและแจ้งเหตุละเมิด — DPO มีบทบาทประสานงานในการแจ้งเหตุละเมิด
- [มาตรา 38](https://link.pdpalawbase.com/section/38.md) — ตัวแทนของผู้ควบคุม/ผู้ประมวลผลที่อยู่ต่างประเทศ — ต่างจาก DPO (ตัวแทนตาม [มาตรา 38](https://link.pdpalawbase.com/section/38.md) รับมอบอำนาจ ขณะที่ DPO เป็นจุดติดต่อและที่ปรึกษา)

**การบังคับใช้:**

- [มาตรา 71](https://link.pdpalawbase.com/section/71.md) — ในการร้องเรียน เจ้าของข้อมูลสามารถผ่าน DPO หรือร้องตรงต่อคณะกรรมการผู้เชี่ยวชาญ

## ประกาศที่เกี่ยวข้อง

\-

## หมายเหตุ

- **DPO ≠ ตัวแทนของผู้ควบคุมต่างประเทศ:** ตัวแทนตาม [มาตรา 38](https://link.pdpalawbase.com/section/38.md) เป็นบุคคลที่ผู้ควบคุมต่างประเทศแต่งตั้งให้รับมอบอำนาจในราชอาณาจักร — DPO เป็นบทบาทกำกับดูแลและที่ปรึกษาที่ใช้กับทุกผู้ควบคุม/ผู้ประมวลผล (ไทยหรือต่างประเทศ) ที่เข้าเงื่อนไข [มาตรา 41](https://link.pdpalawbase.com/section/41.md)
- **DPO ภายในหรือภายนอก:** [มาตรา 41](https://link.pdpalawbase.com/section/41.md) วรรคท้ายให้ทางเลือกระหว่างพนักงานในองค์กรหรือผู้รับจ้างให้บริการจากภายนอก — ไม่บังคับเลือกรูปแบบใด แต่ต้องสามารถปฏิบัติหน้าที่ตาม [มาตรา 42](https://link.pdpalawbase.com/section/42.md) ได้
- **การห้ามให้ออก:** [มาตรา 42](https://link.pdpalawbase.com/section/42.md) วรรคสองห้ามผู้ควบคุม/ผู้ประมวลผลให้ DPO ออกหรือเลิกสัญญาเพราะ DPO ปฏิบัติหน้าที่ตาม พ.ร.บ. — เพื่อรักษาความเป็นอิสระของ DPO ในการตรวจสอบและรายงาน
- **หน้าที่แจ้งให้ทราบ:** [มาตรา 41](https://link.pdpalawbase.com/section/41.md) วรรคห้าบังคับให้ผู้ควบคุม/ผู้ประมวลผลแจ้งข้อมูลของ DPO + สถานที่ติดต่อ + วิธีการติดต่อ ให้เจ้าของข้อมูลและสำนักงานทราบ
- **เทียบกับ GDPR:** สอดคล้องกับ DPO ตาม GDPR Art. 37-39 — เกือบสมมาตร 1:1 ใน 3 เงื่อนไขที่ต้องแต่งตั้ง (หน่วยงานรัฐ / ตรวจสอบบุคคลขนาดใหญ่ / ประมวลผลข้อมูลอ่อนไหวขนาดใหญ่) + หน้าที่ของ DPO + การห้ามให้ออกเพราะปฏิบัติหน้าที่
- **DPO ของผู้ประมวลผล:** [มาตรา 41](https://link.pdpalawbase.com/section/41.md) บังคับ DPO ทั้งสำหรับผู้ควบคุมและผู้ประมวลผล — ผู้ประมวลผลขนาดใหญ่ที่ประมวลผลข้อมูลของลูกค้าหลายรายต้องแต่งตั้ง DPO เอง (ไม่พึ่ง DPO ของลูกค้าผู้ควบคุม)


---

## โนดที่เกี่ยวข้อง (knowledge graph)

- [มาตรา 37](https://link.pdpalawbase.com/section/37.md)
- [มาตรา 38](https://link.pdpalawbase.com/section/38.md)
- [มาตรา 41](https://link.pdpalawbase.com/section/41.md)
- [มาตรา 42](https://link.pdpalawbase.com/section/42.md)
- [มาตรา 71](https://link.pdpalawbase.com/section/71.md)
- [ผู้ควบคุมข้อมูลส่วนบุคคล](https://link.pdpalawbase.com/concept/data-controller.md)
- [ผู้ประมวลผลข้อมูลส่วนบุคคล](https://link.pdpalawbase.com/concept/data-processor.md)
- [เจ้าของข้อมูลส่วนบุคคล](https://link.pdpalawbase.com/concept/data-subject.md)
- [ข้อมูลอ่อนไหว](https://link.pdpalawbase.com/concept/sensitive-data.md)

ค้นทั้งคลัง: https://link.pdpalawbase.com/ask?q=<คำถาม> · สารบบทั้งหมด: https://link.pdpalawbase.com/