---
title: 7.3.2 กรณีมีผู้ประมวลผลข้อมูลส่วนบุคคล องค์กรต้องกำกับให้ผู้ประมวลผลจัดทำบันทึกรายการตามที่กฎหมายกำหนด
type: guideline
slug: guideline-7-3-2
guideline_number: "7.3.2"
chapter: บท-7-การจัดทำเอกสารตามเกณฑ์
dimension: 4-lawful-basis
legal_force: [มาตรา-40, มาตรา-86]
evidence_count: 2
tags: [trustmark, lawful-basis]
ingested_by: claude-opus-4-8
ingested_at: 2026-06-29
reviewed_by: null
schema_version: 0.4.8
---

# 7.3.2 กรณีมีผู้ประมวลผลข้อมูลส่วนบุคคล องค์กรต้องกำกับให้ผู้ประมวลผลจัดทำบันทึกรายการตามที่กฎหมายกำหนด

## สิ่งที่ต้องทำ

กรณีที่องค์กรมี[ผู้ประมวลผลข้อมูลส่วนบุคคล](https://link.pdpalawbase.com/concept/data-processor.md) องค์กรต้องกำกับให้ผู้ประมวลผลข้อมูลส่วนบุคคลนั้นจัดทำบันทึกรายการในส่วนที่ประมวลผลข้อมูลส่วนบุคคลตามคำสั่งให้แก่องค์กร โดยบันทึกรายการดังกล่าวต้องมีรายการที่บันทึกอย่างน้อยตามที่กฎหมายกำหนด พร้อมมีเอกสารหรือหลักฐานแสดงถึงการกำกับดังกล่าว

## หลักฐาน

1. บันทึกรายการของผู้ประมวลผลข้อมูลส่วนบุคคล
2. เอกสารหรือหลักฐานที่แสดงถึงการที่องค์กรกำกับให้ผู้ประมวลผลข้อมูลส่วนบุคคลจัดทำบันทึกรายการ

## สภาพบังคับ

[มาตรา 40](https://link.pdpalawbase.com/section/40.md) (3) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 — กำหนดหน้าที่ของผู้ประมวลผลข้อมูลส่วนบุคคลในการจัดทำและเก็บรักษาบันทึกรายการ ประกอบกับประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง หลักเกณฑ์และวิธีการในการจัดทำและเก็บรักษาบันทึกรายการของกิจกรรมการประมวลผลข้อมูลส่วนบุคคลสำหรับผู้ประมวลผลข้อมูลส่วนบุคคล พ.ศ. 2565

กรณีไม่ปฏิบัติตามมาตรา 40 มีโทษปรับทางปกครองตาม [มาตรา 86](https://link.pdpalawbase.com/section/86.md) ไม่เกิน 3 ล้านบาท

## ตัวอย่างเอกสาร

### บันทึกรายการกิจกรรมการประมวลผลข้อมูลส่วนบุคคลของผู้ประมวลผล (ROPA)

| ลำดับ | ข้อมูลส่วนบุคคลที่ประมวลผล | วัตถุประสงค์ | ผู้ควบคุมข้อมูลที่ให้คำสั่ง | ระยะเวลาเก็บรักษา | สิทธิและวิธีเข้าถึง | การใช้/เปิดเผยตามคำสั่ง | มาตรการความมั่นคงปลอดภัย |
|-------|-----------------------------|--------------|------------------------------|---------------------|----------------------|--------------------------|---------------------------|
| 1 | ชื่อ-นามสกุล, ข้อมูลการชำระเงิน | จัดการการชำระเงินตามคำสั่งของลูกค้า | บริษัท เอบีซี จำกัด (ผู้ควบคุมข้อมูล) | 3 ปีหลังสิ้นสุดการให้บริการ | เข้าถึงได้โดยผู้ควบคุมข้อมูลและเจ้าหน้าที่ที่ได้รับอนุญาต | ไม่มีการเปิดเผยแก่บุคคลภายนอก | เข้ารหัสข้อมูลและตรวจสอบสิทธิเข้าใช้งาน |
| 2 | ที่อยู่จัดส่ง, เบอร์โทรศัพท์ | จัดส่งสินค้าและบริการตามคำสั่ง | บริษัท เอบีซี จำกัด | 5 ปีตามระยะเวลาเก็บรักษาของเจ้าของ | ติดต่อผู้ควบคุมข้อมูลเพื่อแก้ไขข้อมูล | ไม่มีการเปิดเผยข้อมูล | จำกัดสิทธิเข้าถึงข้อมูลตามบทบาท |

### หนังสือแจ้งกำกับการจัดทำบันทึกรายการ (ตัวอย่าง)

- **เรื่อง:** การกำกับให้ผู้ประมวลผลข้อมูลส่วนบุคคลจัดทำบันทึกรายการตามกฎหมาย PDPA
- **เรียน:** ผู้ประมวลผลข้อมูลส่วนบุคคล

ตามที่องค์กรเป็นผู้ควบคุมข้อมูลส่วนบุคคลและได้ว่าจ้างท่านเป็นผู้ประมวลผลข้อมูลส่วนบุคคล องค์กรขอแจ้งให้ท่านจัดทำบันทึกรายการของกิจกรรมการประมวลผลข้อมูลส่วนบุคคลที่ท่านดำเนินการตามคำสั่งขององค์กร โดยบันทึกรายการดังกล่าวต้องมีรายการที่บันทึกอย่างน้อยตามที่กฎหมายคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 มาตรา 39 กำหนด และขอให้ส่งมอบบันทึกรายการแก่องค์กรอย่างสม่ำเสมอ เพื่อเป็นหลักฐานในการปฏิบัติตามกฎหมายและเพื่อการตรวจสอบ


---

## โนดที่เกี่ยวข้อง (knowledge graph)

- [มาตรา 40](https://link.pdpalawbase.com/section/40.md)
- [มาตรา 86](https://link.pdpalawbase.com/section/86.md)

ค้นทั้งคลัง: https://link.pdpalawbase.com/ask?q=<คำถาม> · สารบบทั้งหมด: https://link.pdpalawbase.com/