---
title: "ข้อหารือที่ 20/2566 เรื่อง สำนักงานคณะกรรมการป้องกันและปราบปรามการทุจริตแห่งชาติขอหารือเกี่ยวกับการจัดทำประกาศนโยบายคุ้มครองข้อมูลส่วนบุคคล"
type: opinion
slug: opinion-20-2566

opinion_number: 20
year_be: 2566
doc_no: "20/2566"
pdpc_consultation_legacy: "PDPC-consultation-20"
subject: "สำนักงานคณะกรรมการป้องกันและปราบปรามการทุจริตแห่งชาติขอหารือเกี่ยวกับการจัดทำประกาศนโยบายคุ้มครองข้อมูลส่วนบุคคล"
subject_summary: "สำนักงาน ป.ป.ช. ออก ITA ตัวชี้วัด o10 (นโยบายคุ้มครองข้อมูลส่วนบุคคล) หารือว่า กรม/องค์การมหาชน/รัฐวิสาหกิจ ต้องจัดทำนโยบายเฉพาะของหน่วยงาน หรือใช้ภาพรวมของกระทรวงได้"
asker:
  - สำนักงานคณะกรรมการป้องกันและปราบปรามการทุจริตแห่งชาติ (สำนักงาน ป.ป.ช.)
interpreted_sections:
  - มาตรา-21
  - มาตรา-23
  - มาตรา-37
conclusion_summary: "Privacy Notice ([มาตรา 23](https://link.pdpalawbase.com/section/23.md)) vs Privacy Policy (มาตรการเชิงองค์กรตาม [มาตรา 37](https://link.pdpalawbase.com/section/37.md) (1)) = คนละเรื่อง · Privacy Notice ต้องเป็นของแต่ละหน่วยงานที่เป็นนิติบุคคล/ผู้ควบคุมข้อมูล · กระทรวงทำภาพรวมเสริมได้ แต่หน่วยงานในสังกัดยังต้องมี Privacy Notice ของตัวเองในบริบทของหน่วยงาน · ควรหลีกเลี่ยงคำว่า \"นโยบาย\" สำหรับ Privacy Notice ป้องกันสับสน · ป.ป.ช. ควรชี้แจง o10 ให้ชัด"

pdf_url: "https://www.pdpc.or.th/wp-content/uploads/2024/02/PDPC-consultation-20.pdf"
pdf_local: "public_html/raw/opinions/opinion-20-2566.pdf"
source_url: "https://www.pdpc.or.th/consultation/"
content_origin: "pdf-pymupdf"

tags:
  - ข้อหารือ
  - year-2566

references:
  - มาตรา-21
  - มาตรา-23
  - มาตรา-37

ingested_by: claude-opus-4-7
ingested_at: 2026-05-25
reviewed_by: null
schema_version: 0.4.9
---

# ข้อหารือที่ 20/2566 เรื่อง สำนักงานคณะกรรมการป้องกันและปราบปรามการทุจริตแห่งชาติขอหารือเกี่ยวกับการจัดทำประกาศนโยบายคุ้มครองข้อมูลส่วนบุคคล

## ข้อกฎหมาย

1. พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 — [มาตรา 21](https://link.pdpalawbase.com/section/21.md), [มาตรา 23](https://link.pdpalawbase.com/section/23.md) และ [มาตรา 37](https://link.pdpalawbase.com/section/37.md) (1)
2. แนวทางการดำเนินการในการแจ้งวัตถุประสงค์และรายละเอียดในการเก็บรวบรวมข้อมูลส่วนบุคคลจากเจ้าของข้อมูลส่วนบุคคล ตาม PDPA
3. ประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง มาตรการรักษาความมั่นคงปลอดภัยของผู้ควบคุมข้อมูลส่วนบุคคล พ.ศ. 2565 ข้อ 4 (2)

## ข้อหารือ

สำนักงานคณะกรรมการป้องกันและปราบปรามการทุจริตแห่งชาติ (สำนักงาน ป.ป.ช.) ขอหารือกรณีสำนักงาน ป.ป.ช. ได้ดำเนินการประเมินคุณธรรมและความโปร่งใสในการดำเนินงานของหน่วยงานของรัฐ (Integrity & Transparency Assessment : ITA) ประจำปีงบประมาณ พ.ศ. 2566 โดยในแบบวัดการเปิดเผยข้อมูลสาธารณะ (OIT) ตัวชี้วัดที่ 9 การเปิดเผยข้อมูล ตัวชี้วัดย่อยที่ 9.1 ข้อมูลพื้นฐาน ข้อ o10 นโยบายคุ้มครองข้อมูลส่วนบุคคล ได้มีการกำหนดให้หน่วยงานภาครัฐที่เข้าร่วมการประเมินต้องดำเนินการเปิดเผยข้อมูลนโยบายคุ้มครองข้อมูลส่วนบุคคลตาม PDPA

ในการนี้ จึงหารือว่า หน่วยงานที่มีฐานะเป็นนิติบุคคลในสังกัดกระทรวง เช่น กรม องค์การมหาชน รัฐวิสาหกิจ จะต้องดำเนินการจัดทำนโยบายการคุ้มครองข้อมูลส่วนบุคคลเป็นการเฉพาะของหน่วยงานหรือไม่ หรือสามารถจัดทำประกาศนโยบายคุ้มครองข้อมูลส่วนบุคคลในลักษณะภาพรวมของกระทรวงที่มีความครอบคลุมทุกหน่วยงานในสังกัดได้หรือไม่

## ความเห็น

คณะอนุกรรมการเฉพาะกิจตอบข้อหารือและให้คำแนะนำหน่วยงานของรัฐเพื่อรองรับการบังคับใช้พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ในคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลพิจารณาแล้วเห็นว่า PDPA ได้กำหนดให้หน่วยงานของรัฐที่เป็นนิติบุคคลและมีอำนาจหน้าที่ตัดสินใจเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล ถือเป็นผู้ควบคุมข้อมูลส่วนบุคคล และมีหน้าที่ต้องแจ้งวัตถุประสงค์และรายละเอียดต่าง ๆ ในการเก็บรวบรวมข้อมูลส่วนบุคคลให้เจ้าของข้อมูลส่วนบุคคลทราบก่อนหรือในขณะเก็บรวบรวมข้อมูลส่วนบุคคล ตาม [มาตรา 23](https://link.pdpalawbase.com/section/23.md) รวมทั้งต้องทำการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลตามวัตถุประสงค์ที่ได้แจ้งไว้ตามนัย [มาตรา 21](https://link.pdpalawbase.com/section/21.md)

การแจ้งวัตถุประสงค์และรายละเอียดต่าง ๆ ตาม [มาตรา 23](https://link.pdpalawbase.com/section/23.md) นั้น ในภาษาอังกฤษจะเรียกว่า **privacy notice** แต่อาจเรียกเป็นภาษาไทยแตกต่างกัน เช่น ประกาศความเป็นส่วนตัว ประกาศเกี่ยวกับการคุ้มครองข้อมูลส่วนบุคคล นโยบายความเป็นส่วนตัว (privacy policy) หรือนโยบายการคุ้มครองข้อมูลส่วนบุคคล หรืออื่น ๆ ก็ได้ เนื่องจาก PDPA มิได้กำหนดชื่อเรียกไว้เป็นการเฉพาะ และอาจมีการแจ้งเป็นหนังสือ การแจ้งทางวาจา การแจ้งทางข้อความทาง SMS อีเมล โทรศัพท์ หรือโดยวิธีการทางอิเล็กทรอนิกส์อื่นใด แต่จะต้องมีสาระสำคัญที่สอดคล้องและเป็นไปตามบทบัญญัติใน [มาตรา 23](https://link.pdpalawbase.com/section/23.md)

อย่างไรก็ดี คำว่า **"นโยบายการคุ้มครองข้อมูลส่วนบุคคล" (privacy policy หรือ personal data protection policy)** ยังมีที่ใช้ในอีกความหมายหนึ่ง คือ **นโยบายภายในองค์กรที่หน่วยงานกำหนดขึ้นเพื่อวางหลักการหรือวิธีปฏิบัติเพื่อเป็นแนวทางการดำเนินการภายในหน่วยงานเอง** (เช่นเดียวกับนโยบายในเรื่องอื่น ๆ เช่น นโยบายการอนุรักษ์พลังงาน) · PDPA ไม่ได้กำหนดให้หน่วยงานที่เป็นผู้ควบคุมข้อมูล/ผู้ประมวลผลข้อมูลกำหนดนโยบายการคุ้มครองข้อมูลส่วนบุคคลของหน่วยงานขึ้นอย่างชัดเจน แต่ [มาตรา 37](https://link.pdpalawbase.com/section/37.md) (1) กำหนดให้ผู้ควบคุมข้อมูลส่วนบุคคลมีหน้าที่จัดให้มีมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสม โดยข้อ 4 (2) ของประกาศ คคส. เรื่อง มาตรการรักษาความมั่นคงปลอดภัยฯ พ.ศ. 2565 กำหนดให้มาตรการรักษาความมั่นคงปลอดภัยอย่างน้อยต้องประกอบด้วยมาตรการเชิงองค์กร มาตรการเชิงเทคนิค (และอาจรวมมาตรการทางกายภาพ) ซึ่งนโยบายการคุ้มครองข้อมูลส่วนบุคคลภายในองค์กรอาจถือเป็นมาตรการเชิงองค์กรมาตรการหนึ่ง

นโยบายการคุ้มครองข้อมูลส่วนบุคคลที่เป็นมาตรการเชิงองค์กรดังกล่าวมีวัตถุประสงค์ในการสื่อสารแตกต่างจากการแจ้ง privacy notice ตาม [มาตรา 23](https://link.pdpalawbase.com/section/23.md) กล่าวคือ นโยบายฯ ที่เป็นมาตรการเชิงองค์กรเป็นการสื่อสารและส่งสัญญาณเชิงนโยบายภายในองค์กรระหว่างผู้บริหารและบุคลากรขององค์กร

ดังนั้น เพื่อให้การประเมิน ITA ประจำปีงบประมาณ พ.ศ. 2566 บรรลุวัตถุประสงค์ตามที่สำนักงาน ป.ป.ช. กำหนด และสอดคล้องกับหลักการในการแจ้ง privacy notice ตาม PDPA สำนักงาน ป.ป.ช. **ควรกำหนดให้หน่วยงานภาครัฐที่มีฐานะเป็นนิติบุคคล** เช่น กรม องค์การมหาชน รัฐวิสาหกิจ ซึ่งถือเป็นผู้ควบคุมข้อมูลส่วนบุคคลตาม PDPA **ต้องจัดทำเอกสารหรือประกาศแจ้ง privacy notice ของหน่วยงานนั้นเป็นการเฉพาะ** ตามที่ [มาตรา 23](https://link.pdpalawbase.com/section/23.md) กำหนดไว้

อย่างไรก็ดี ในกรณีที่เห็นสมควร **กระทรวงต้นสังกัดอาจจัดทำ privacy notice ในลักษณะภาพรวมของกระทรวงที่มีความครอบคลุมทุกหน่วยงานในสังกัดด้วยก็ได้** แต่หน่วยงานภาครัฐในสังกัดกระทรวงที่มีฐานะเป็นนิติบุคคลจะต้องมีการดำเนินการแจ้ง privacy notice ในบริบทของหน่วยงานนั้นด้วย ไม่ว่าจะใช้เอกสารของหน่วยงานเองหรือเอกสารในภาพรวมของกระทรวงก็ตาม · ในกรณีนี้ ควรพิจารณาหลีกเลี่ยงการใช้คำว่า "นโยบาย" สำหรับ privacy notice เนื่องจากอาจทำให้หน่วยงานเข้าใจคลาดเคลื่อนได้

นอกจากนี้ หากสำนักงาน ป.ป.ช. เห็นว่าควรกำหนดให้หน่วยงานภาครัฐที่เข้าร่วมการประเมินต้องดำเนินการเปิดเผยข้อมูลนโยบายของหน่วยงานเกี่ยวกับการคุ้มครองข้อมูลส่วนบุคคล (มาตรการเชิงองค์กร) ก็สามารถทำได้ แม้จะไม่ได้เป็นข้อกำหนดที่เป็นมาตรฐานขั้นต่ำตาม PDPA อย่างชัดเจนก็ตาม · ในกรณีนี้ อาจพิจารณาให้หน่วยงานที่มีฐานะเป็นนิติบุคคลในสังกัดกระทรวงกำหนดนโยบายเกี่ยวกับการคุ้มครองข้อมูลส่วนบุคคลเป็นการเฉพาะของหน่วยงาน หรือจัดทำเป็นนโยบายในลักษณะภาพรวมของกระทรวงก็ได้

เพื่อให้เกิดความชัดเจนในทางปฏิบัติ สำนักงาน ป.ป.ช. ควรจัดทำคำชี้แจงไว้เป็นหลักเกณฑ์ในแบบวัดการเปิดเผยข้อมูลสาธารณะ (OIT) และเอกสารที่เกี่ยวข้อง โดยเฉพาะในการทำความเข้าใจว่าตัวชี้วัดข้อ o10 หมายถึง privacy notice ตาม [มาตรา 23](https://link.pdpalawbase.com/section/23.md) หรือนโยบายภายในองค์กรที่เป็นมาตรการเชิงองค์กรของหน่วยงาน เพื่อจะได้ไม่เป็นปัญหาในการดำเนินการ

## เอกสารต้นฉบับ

- [PDF ต้นฉบับ (local)](../../raw/opinions/opinion-20-2566.pdf)
- [ที่มา: pdpc.or.th](https://www.pdpc.or.th/wp-content/uploads/2024/02/PDPC-consultation-20.pdf)


---

## โนดที่เกี่ยวข้อง (knowledge graph)

- [มาตรา 21](https://link.pdpalawbase.com/section/21.md)
- [มาตรา 23](https://link.pdpalawbase.com/section/23.md)
- [มาตรา 37](https://link.pdpalawbase.com/section/37.md)

ค้นทั้งคลัง: https://link.pdpalawbase.com/ask?q=<คำถาม> · สารบบทั้งหมด: https://link.pdpalawbase.com/