PDPC Study on Guidelines and Comparative Law

edpc สคส.

ประชุมสัมมนาหารือและแลกเปลี่ยนข้อมูล ความคิดเห็น

โครงการพัฒนากฎหมายด้านการคุ้มครองข้อมูลส่วนบุคคลของประเทศ ภายใต้ กิจกรรมที่ 1 การพัฒนากฎหมายหลักเกณฑ์และมาตรฐานการคุ้มครองข้อมูล ส่วนบุคคลเพื่อส่งเสริมธุรกิจดิจิทัล

2 เมษายน 2569

Page 2

สารบัญ

วัตถุประสงค์โครงการ, แผนการดำเนินโครงการ
คู่มือ/แนวปฏิบัติ เรื่อง ฐานทางกฎหมายในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล
คู่มือ/แนวปฏิบัติ เรื่อง มาตรการรักษาความมั่นคงปลอดภัยและการแจ้งเหตุการละเมิดข้อมูลส่วนบุคคล
คู่มือ/แนวปฏิบัติ เรื่อง เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล (Data Protection Officers: DPO)
คู่มือ/แนวปฏิบัติ เรื่อง การเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลเพื่อวัตถุประสงค์เกี่ยวกับการตลาดและการตลาดแบบตรง
คู่มือ/แนวปฏิบัติ เรื่อง การบันทึกรายการของผู้ควบคุมข้อมูลส่วนบุคคล และการจัดทำบันทึกรายการของกิจกรรมการประมวลผลข้อมูลส่วนบุคคลของผู้ประมวลผลข้อมูลส่วนบุคคล (Records of Processing Activities: ROPA)
คู่มือ/แนวปฏิบัติ เรื่อง การคุ้มครองข้อมูลส่วนบุคคลของหมู่บ้านจัดสรรและอาคารชุด

วัตถุประสงค์โครงการ

TIME
CONSULTING

Page 4

วัตถุประสงค์หลัก คือ 1) ดำเนินการศึกษาแนวทางของต่างประเทศ 2) สำรวจปัญหา อุปสรรค ความต้องการ ของผู้ควบคุมข้อมูลส่วนบุคคล 3) จัดทำคู่มือ 4) สร้างความรู้ ความเข้าใจ และ 5) เพื่อให้หน่วยงานปฏิบัติตามกฎหมาย

ดำเนินการศึกษากฎเกณฑ์ แนวทาง แนวปฏิบัติ คำแนะนำ และคำอธิบาย ของประเทศต่าง ๆ เช่น สิงคโปร์ อังกฤษ สหภาพยุโรป หรือประเทศ หรือเขต การปกครองที่มีกฎหมายคุ้มครองข้อมูล ส่วนบุคคลที่ได้รับการยอมรับในระดับสากล
สำรวจปัญหา อุปสรรค ความต้องการ ของผู้ควบคุมข้อมูลส่วนบุคคล ผู้ประมวลผลข้อมูลส่วนบุคคล และ ประชาชน ซึ่งเป็นเจ้าของข้อมูลส่วนบุคคล และรวบรวมข้อมูลเพื่อจัดทำคู่มือ หรือคำแนะนำเกี่ยวกับ การปฏิบัติตามกฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคลของหน่วยงานภาครัฐ และหน่วยงานภาคเอกชน และการคุ้มครองข้อมูลส่วนบุคคลของประชาชน
จัดทำคู่มือ หรือคำแนะนำเกี่ยวกับการปฏิบัติตามกฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคลของหน่วยงานภาครัฐและหน่วยงานภาคเอกชน และการคุ้มครองข้อมูลส่วนบุคคลของประชาชน
เพื่อสร้างความรู้ ความเข้าใจ และสร้างความตระหนักรู้เกี่ยวกับการคุ้มครองข้อมูล ส่วนบุคคล ให้กับหน่วยงานภาครัฐ และหน่วยงานภาคเอกชน ตลอดจนให้ประชาชนสามารถรักษาสิทธิของตนเองตามกฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคล
เพื่อให้หน่วยงานภาครัฐ และหน่วยงานภาคเอกชน ปฏิบัติตามกฎหมายว่าด้วย การคุ้มครองข้อมูลส่วนบุคคลได้อย่างมีประสิทธิภาพ และให้ความคุ้มครองสิทธิ และเสรีภาพของประชาชน ซึ่งเป็นเจ้าของข้อมูลส่วนบุคคลได้อย่างเหมาะสม

cdooc

คู่มือ/แนวปฏิบัติ เรื่อง ฐานทางกฎหมายในการเก็บรวบรวม ใช้หรือเปิดเผยข้อมูลส่วนบุคคล

Page 7
Copyright © 2025 TIME Consulting Co., Ltd., Strictly Confidential

Page 8

1. บทนำ ฐานทางกฎหมายในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล (Lawful Basis)

ข้อกำหนดที่เกี่ยวข้องของ PDPA ของประเทศไทย

ฐานทางกฎหมายในการเก็บรวบรวมข้อมูลส่วนบุคคล (ม.24)
ฐานทางกฎหมายในการเก็บรวบรวมข้อมูลส่วนบุคคลที่อ่อนไหว (ม.26)
ฐานทางกฎหมายในการใช้หรือเปิดเผยข้อมูลส่วนบุคคล (ม.27) (ใช้กับทั้งข้อมูลส่วนบุคคลตาม ม.24 และ ม.26)

ความสำคัญของฐานทางกฎหมาย

ในการคุ้มครองข้อมูลส่วนบุคคล DC ต้องมีฐานทางกฎหมายในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลในกิจกรรมที่หน่วยงานดำเนินการเพื่อให้การเก็บรวบรวมใช้ หรือเปิดเผยข้อมูลส่วนบุคคลนั้นมีความชอบธรรม และคุ้มครองสิทธิในข้อมูลส่วนบุคคลของเจ้าของข้อมูลส่วนบุคคล

อุปสรรคและความท้าทาย

DC ไม่แน่ใจว่าใช้ฐานทางกฎหมายกับกิจกรรมการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลได้อย่างถูกต้องหรือไม่
ปัจจุบันยังขาดแนวปฏิบัติและตัวอย่างที่ชัดเจนในเรื่องฐานทางกฎหมาย นำไปสู่ความลักลั่นในการปฏิบัติ เช่น ปัญหาเรื่องกิจกรรมทำการตลาดแบบตรง (Direct Marketing) ที่มีลักษณะแตกต่างกันไปในแต่ละอุตสาหกรรมเป็นกิจกรรมที่มีฐานกฎหมายใดรองรับ

edpc
European Union

ฐานทางกฎหมายในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล (Lawful Basis) ตาม พ.ร.บ. คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562

การเก็บรวบรวมข้อมูลส่วนบุคคล (ม. 24)

ม. 24 Consent – ความยินยอม¹
ม. 24 (1) Archiving, research, statistics – การจัดทำเอกสารประวัติศาสตร์หรือจดหมายเหตุเพื่อประโยชน์สาธารณะหรือการศึกษาวิจัยหรือสถิติ²
ม. 24 (2) Vital Interest - การป้องกันหรือระงับอันตรายต่อชีวิต ร่างกาย หรือสุขภาพของบุคคล
ม. 24 (3) Contract - ความจำเป็นเพื่อปฏิบัติตามสัญญา ซึ่งเจ้าของข้อมูลส่วนบุคคลเป็นคู่สัญญา
ม. 24 (4) Public Task - ความจำเป็นเพื่อปฏิบัติหน้าที่ในการดำเนินการกิจเพื่อประโยชน์สาธารณะหรือปฏิบัติหน้าที่ในการใช้อำนาจรัฐ
ม. 24 (5) Legitimate Interest - ความจำเป็นเพื่อประโยชน์โดยชอบด้วยกฎหมาย
ม. 24 (6) Legal Obligation - การปฏิบัติตามกฎหมายของผู้ควบคุมข้อมูลส่วนบุคคล

¹ มีแนวทางอธิบายรายละเอียด ได้แก่ แนวทางการดำเนินการในการขอความยินยอมจากเจ้าของข้อมูลส่วนบุคคลตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562
² มีประกาศ กคส. อธิบายรายละเอียด ได้แก่
(1) ประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง มาตรการปกป้องที่เหมาะสมเพื่อคุ้มครองสิทธิและเสรีภาพของเจ้าของข้อมูลส่วนบุคคล สำหรับการเก็บรวบรวมข้อมูลส่วนบุคคลเพื่อให้บรรลุวัตถุประสงค์ที่เกี่ยวกับการจัดทำเอกสารประวัติศาสตร์หรือจดหมายเหตุเพื่อประโยชน์สาธารณะ พ.ศ. 2566 และ
(2) ประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง มาตรการที่เหมาะสมสำหรับการเก็บรวบรวมข้อมูลส่วนบุคคลเพื่อให้บรรลุวัตถุประสงค์ที่เกี่ยวกับการศึกษาวิจัยหรือสถิติตามมาตรา 24 (1) และการศึกษาวิจัยทางวิทยาศาสตร์ ประวัติศาสตร์ หรือสถิติ หรือประโยชน์สาธารณะอื่นตามมาตรา 26 (5) (ง) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 พ.ศ. 2566

Page 9

ฐานทางกฎหมายในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล (Lawful Basis) ตาม พ.ร.บ. คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562

การเก็บรวบรวมข้อมูลส่วนบุคคลที่อ่อนไหว (ม. 26)

ม. 26 Explicit consent – ความยินยอมโดยชัดแจ้ง¹

ม. 26 (1) Vital interests - ป้องกันหรือระงับอันตรายต่อชีวิต ร่างกาย หรือสุขภาพของบุคคล ซึ่งเจ้าของข้อมูลส่วนบุคคลไม่สามารถให้ความยินยอมได้

ม. 26 (2) Not-for-profit bodies with a political, philosophical, religious or trade union - ดำเนินกิจกรรมที่ชอบด้วยกฎหมายที่มีการคุ้มครองที่เหมาะสมของมูลนิธิ สมาคม องค์กรไม่แสวงหากำไร ที่มีวัตถุประสงค์เกี่ยวกับเรื่องการเมือง ศาสนา ปรัชญา สหภาพแรงงาน

ม. 26 (3) Made public by the data subject - ข้อมูลที่เปิดเผยต่อสาธารณะด้วยความยินยอมโดยชัดแจ้งของเจ้าของข้อมูลส่วนบุคคล

ม. 26 (4) Legal claims and judicial acts - ก่อตั้งสิทธิเรียกร้องตามกฎหมาย การปฏิบัติตามหรือการใช้สิทธิเรียกร้องตามกฎหมาย หรือการยกขึ้นต่อสู้สิทธิเรียกร้องตามกฎหมาย

เป็นการจำเป็นในการปฏิบัติตามกฎหมายเพื่อให้บรรลุวัตถุประสงค์ เกี่ยวกับ

ม. 26 (5) (ก) Health or social care - เวชศาสตร์ป้องกันหรืออาชีวเวชศาสตร์
ม. 26 (5) (ข) Public health - ประโยชน์สาธารณะด้านการสาธารณสุข
ม. 26 (5) (ค) Employment, social security and social protection law - การคุ้มครองแรงงาน
ม. 26 (5) (ง) Archiving, research and statistics – การศึกษาวิจัยทางวิทยาศาสตร์ หรือสถิติ เพื่อประโยชน์สาธารณะ²
ม. 26 (5) (จ) Substantial public interest - ประโยชน์สาธารณะที่สำคัญ

¹ มีแนวทางอธิบายรายละเอียด ได้แก่ แนวทางการดำเนินการในการขอความยินยอมจากเจ้าของข้อมูลส่วนบุคคลตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562
² มีประกาศ กคส. อธิบายรายละเอียด ได้แก่
(1) ประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง มาตรการปกป้องที่เหมาะสมเพื่อคุ้มครองสิทธิและเสรีภาพของเจ้าของข้อมูลส่วนบุคคล สำหรับการเก็บรวบรวมข้อมูลส่วนบุคคลเพื่อให้บรรลุวัตถุประสงค์ที่เกี่ยวกับการจัดทำเอกสารประวัติศาสตร์หรืองดหมายเหตุเพื่อประโยชน์สาธารณะ พ.ศ. 2566 และ
(2) ประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง มาตรการที่เหมาะสมสำหรับการเก็บรวบรวมข้อมูลส่วนบุคคลเพื่อให้บรรลุวัตถุประสงค์ที่เกี่ยวกับการศึกษาวิจัยหรือสถิติตามมาตรา 24 (1) และการศึกษาวิจัยทางวิทยาศาสตร์ ประวัติศาสตร์ หรือสถิติ หรือประโยชน์สาธารณะอื่นตามมาตรา 26 (5) (ข) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 พ.ศ. 2566

2. การศึกษากฎเกณฑ์ แนวทาง แนวปฏิบัติ คำแนะนำ และคำอธิบาย เกี่ยวกับเรื่อง ฐานทางกฎหมายในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล

	สหภาพยุโรป	ประเทศสิงคโปร์	ประเทศญี่ปุ่น	สหราชอาณาจักร
กฎเกณฑ์	Regulation (EU) 2016/679 (GDPR) ➤ Article 6 (Lawfulness of processing) ➤ Article 9 (Processing of special categories of personal data)	PDPA ➤ Article 13 (Consent obligation) ➤ Article 147 (Exceptions to the Consent Obligation)	APPI ➤ Article 17 (Specifying the Purpose of Use) ➤ Article 18 (Restriction Due to Purpose of use) ➤ Article 19 (Prohibition of Inappropriate Use)	Data (Use and Access) Act 2025 (DUAA) and UK GDPR ➤ Lawfulness of processing (Art.6 UK GDPR/ Section 68-70 DUAA) ➤ Processing of special categories of personal data (Art. 9 UK GDPR/ Section 74 DUAA)
แนวทางและ แนวปฏิบัติ	➤ Guidelines 1/2024 on processing of personal data based on Article 6(1)(f) GDPR ➤ Guidelines 2/2019 on the processing of personal data under Article 6(1)(b) GDPR in the context of the provision of online services to data subjects ➤ Guidelines 05/2020 on consent under Regulation 2016/679	➤ Advisory Guidelines on Key Concepts in the PDPA (pp.38-78) ➤ Advisory Guidelines on Requiring Consent on Marketing Purpose (2015)	➤ General guidelines on the APPI (เป็นภาพรวมเนื่องจากไม่มีแนวปฏิบัติในเรื่อง Lawful Basis ญี่ปุ่นใช้หลัก Purpose of Use และ Consent ในกรณีที่กิจกรรมมีความเสี่ยง	➤ A Guide to lawful basis
คำแนะนำ และ คำอธิบาย	➤ Guidelines มีการอธิบายข้อกฎหมายพร้อมกับตัวอย่าง	➤ Guidelines มีการอธิบายข้อกฎหมายพร้อมกับตัวอย่าง	➤ Guidelines เป็นการอธิบายข้อกฎหมาย	➤ Guidelines มีการอธิบายข้อกฎหมายพร้อมกับตัวอย่าง ➤ มีการทำ Interactive Tools แนะนำหน่วยงานที่สงสัยว่าใช้ Lawful basis ถูกหรือไม่

Page 12
Copyright © 2024 TWE Consulting Co., Ltd., Sticky Confidential

Consent: ตัวอย่างกรณีศึกษา หรือ แนวปฏิบัติที่ทำให้หน่วยงานสามารถปฏิบัติตามเรื่อง ฐานทางกฎหมายในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล

EU: Consent (Guidelines 05/2020 on consent under Regulation 2016/679)
UK: ICO - A Guide to lawful basis (Consent Part)
SG:
Advisory Guidelines on Key Concepts in the PDPA (pp.38-78)
Advisory Guidelines on Requiring Consent on Marketing Purpose (2015)

Page 13

Consent: ตัวอย่างกรณีศึกษา หรือ แนวปฏิบัติที่ทำให้หน่วยงานสามารถปฏิบัติตามเรื่อง ฐานทางกฎหมายในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล

EU/UK Specifics

Common Ground (All Regions)

✓ informed (ได้รับแจ้ง) : ทราบถึงตัวตนขององค์กรและวัตถุประสงค์
✓ Specific (เฉพาะเจาะจง) : ทราบว่าจะนำข้อมูลไปทำอะไรบ้าง
✓ Freely Given (ให้อย่างอิสระ) : มีทางเลือกที่แท้จริง ไม่ถูกบังคับ

Unambiguous Indication (แสดงเจตนาขัดเจน) : ต้องมีการกระทำที่ยืนยันชัดเจน

(Clear affirmative action) เช่น การทำเครื่องหมายในช่อง หรือการแถลงการณ์

! ความเงียบ (silence) หรือการเพิกเฉย (Inactivity) ≠ ความยินยอม

Consent: ตัวอย่างกรณีศึกษา หรือ แนวปฏิบัติที่ทำให้หน่วยงานสามารถปฏิบัติตามเรื่อง ฐานทางกฎหมายในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล

siapore

Page 15

ความเจาะจงและข้อห้ามการผูกมัดเงื่อนไข (Bunding)

คุณสามารถบังคับให้ผู้ใช้กด ยอมรับ เงื่อนไขข้อมูล เพื่อแลกกับการใช้บริการได้หรือไม่

ห้ามผู้มัดเด็ดขาด (Strictly Prohibited)

ความยินยอมจะถือว่าไม่เป็นอิสระ ทันที หากการให้บริการถูกผูกมัดกับการขอความยินยอมที่ไม่จำเป็นต่อบริการนั้น
ข้อปฏิบัติ ต้องแยกคำขอความยินยอมออกจากข้อตกลงและเงื่อนไข (T&Cs) ทั่วไปอย่างชัดเจน

อนุโลมได้ภายใต้ความสมเหตุสมผล (Reasonableness Caveat)

องค์กรไม่สามารถบังคับขอข้อมูลเกินความจำเป็นในการให้บริการได้
แต่ สามารถทำได้หากเงื่อนไขมีความสมเหตุสมผลและสอดคล้องกับบริการ เช่น การขอ location data สำหรับแอปฯ เรียกรถ

ความยินยอมเพื่อการตลาดแบบมีเงื่อนไข (The Park Loophole)

คุณสามารถให้สิทธิประโยชน์ เช่น คูปอง, WI-FI ฟรี เพื่อแลกกับการขอความยินยอมรับข่าวสารการตลาดได้หรือไม่?

สถานะเป็นโมฆะ (Invalid)

เหตุผล – ถือว่าความยินยอมไม่เป็นอิสระ (not freely given)

ผู้ใช้ต้องไม่ถูกลดรอบสิทธิ์หรือเสียผลประโยชน์ หากการปฏิเสธการรับข่าวสารการตลาด

สถานะทำได้ (valid)

เหตุผล – PDPC อนุญาตให้องค์กรเสนอส่วนลดสิทธิ์งับรางวัล หรือบริการฟรี แบบมีเงื่อนไขผูกกับการตลาดได้ ตราบใดที่ผู้ใช้มีทางเลือกที่จะปฏิเสธสิทธิประโยชน์นั้น เช่น ยอมจ่ายเงินซื้อแอปฯ เวอร์ชั่นเต็มแทน

pdpc
Page 16

Page 17

แม้สิงคโปร์จะมีความยืดหยุ่นในข้อมูลทั่วไป แต่สำหรับการตลาดทางตรงกฎหมายทั่วโลกเป็นไปในทิศทางเดียวกัน

EU/UK Rules

ช่องที่ทำเครื่องหมายไว้ล่วงหน้า (Pre-ticked boxes) ผิดกฎหมาย
การไม่ปฏิเสธ (Inactivity) ไม่นับเป็นการยินยอม

Singapore Rules

ข้อกำหนด DNC บังคับว่าต้องได้รับความยินยอมที่ชัดเจนและปราศจากข้อสงสัย (Clear and unambiguous consent)
PDPC ระบุชัดเจนการใช้ช่องที่ทำเครื่องหมายไว้ล่วงหน้า (Opt-out method) ไม่เหมาะสมสำหรับการตลาด

ทั่วโลกเห็นตรงกัน Pre-ticked boxes are dead

Consent: ตัวอย่างกรณีศึกษา หรือ แนวปฏิบัติที่ทำให้หน่วยงานสามารถปฏิบัติตามเรื่อง ฐานทางกฎหมายในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล

ตารางวิเคราะห์ กลไกการขอความยินยอมทั่วไป (General Consent Matrix)

กลไกทางกฎหมาย	EU GDPR	UK GDPR	SG PDPA
มาตรฐานขั้นต่ำ	☑ ยืนยันชัดเจน (Active opt-in)	☑ ยืนยันชัดเจน (Active opt-in)	☑ ครอบคลุมถึงความยินยอมโดยปริยาย (Deemed Cosent)
การอนุมานจากพฤติกรรม	❌ ผิดกฎหมาย	❌ ผิดกฎหมาย	☑ ทำได้ (Deemed by consent)
ผูกมัดเงื่อนไขกับบริการ (Bunding)	❌ ผิดกฎหมาย	❌ ผิดกฎหมาย	⚠️ ทำได้หากสมเหตุสมผล
ข้อมูลอ่อนไหว (Sensitive Data)	ต้องระบุชัดแจ้ง (Explicit/written)	ต้องระบุชัดแจ้ง (Explicit/written)	ใช้มาตรฐานทั่วไป แต่เพิ่มระดับการแจ้งเตือน
การะการพิสูจน์	องค์กรต้องพิสูจน์ได้ 100%	องค์กรต้องพิสูจน์ได้ 100%	องค์กรต้องมีหลักฐานชัดเจน

Page 19

กลไกทางกฎหมาย	EU GDPR + ePrivacy	UK GDPR + PECR	SG (PDPA+DNC)
ช่องทำเครื่องหมายล่วงหน้า (Pre-ticked)	❌ ผิดกฎหมาย	❌ ผิดกฎหมาย	❌ ไม่สามารถใช้ได้กับ DNC
การตลาดแบบ Opt-Out (ผู้ใช้ไม่ต้องทำอะไร)	❌ ผิดกฎหมาย	❌ ผิดกฎหมาย	❌ ไม่ถือเป็นความยินยอมที่ชัดเจน
แลกข้อมูลกับสิทธิประโยชน์ (Perks)	❌ ผิดกฎหมาย (Consent ไม่เป็นอิสระ)	❌ ผิดกฎหมาย	☑ ทำได้ (ผู้ใช้มีสิทธิปฏิเสธ Perks)
การถอนความยินยอม (Opt-out)	ง่ายเท่ากับตอนสมัคร, มีผลทันที	ง่ายเท่ากับตอนสมัคร, มีผลทันที	มีกระบวนการได้, แจ้งผลกระทบก่อนถอน
ต้องเช็คทะเบียนห้ามโทร (Do not call)	ไม่มีระบบส่วนกลาง (ใช้นโยบายองค์กร)	มีระบบของรัฐ (TPS)	☑ มีข้อบังคับเข้มงวด (DNC Registry)

DDC DRAFT

Contract: ตัวอย่างกรณีศึกษา หรือ แนวปฏิบัติที่ทำให้หน่วยงานสามารถปฏิบัติตามเรื่อง ฐานทางกฎหมายในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล

แผนผังวินิจฉัยความจำเป็น (The Necessity Decision tree)

คำแถบทำการใช้ฐานสัญญา

Page 21

3. Contract: ตัวอย่างกรณีศึกษา หรือ แนวปฏิบัติที่ทำให้หน่วยงานสามารถปฏิบัติตามเรื่อง ฐานทางกฎหมายในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล

วงจรชีวิตของฐานสัญญา (The Lifecycle of Article 6(1)(b))

Phase 1 ขั้นตอนก่อนการทำสัญญา

Trigger – ข้อมูลที่ผู้ใช้ร้องขอก่อนเกิดสัญญา เช่น ขอใบเสนอราคา

Condition ต้องริเริ่มจากลูกค้าไม่ใช่แคมเปญการตลาดของบริษัท

Phase 2 ระหว่างสัญญามีผล

Trigger – การประมวลผลเพื่อส่งมอบสินค้า หรือบริการ หรือการรับชำระเงิน

Phase 3 เมื่อสิ้นสุดสัญญา

Rule – ฐานสัญญาจะสิ้นสุดลงทันทีไม่สามารถใช้เป็นฐานสัญญาในการเก็บข้อมูลต่อได้ (ต้องทำการ Handoff)

edpc
European Business Centre

Page 22

3. Contract: ตัวอย่างกรณีศึกษา หรือ แนวปฏิบัติที่ทำให้หน่วยงานสามารถปฏิบัติตามเรื่อง ฐานทางกฎหมายในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล

การส่งมอบข้อมูลหลังสิ้นสุดสัญญา (The lawful Basis Handoff)

คุณ

คุณสมบัติ

Requirement ต้องแจ้งผู้ใช้ให้ทราบล่วงหน้าตั้งแต่ตอนเซ็นสัญญา ว่าจะมีการเปลี่ยนฐานการเก็บข้อมูลเมื่อสัญญาสิ้นสุดลง (Transparency)

Page 23

Public Task: ตัวอย่างกรณีศึกษา หรือ แนวปฏิบัติที่ทำให้หน่วยงานสามารถปฏิบัติตามเรื่อง ฐานทางกฎหมายในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล

UK: ICO - A Guide to lawful basis (Public Task Part)

2 เสาหลักของฐาน Public Task

สามารถใช้ฐานนี้ได้ หากเข้าเงื่อนไขข้อใดข้อหนึ่ง

Public Task (Article 6(1)(e))

Public Task: ตัวอย่างกรณีศึกษา หรือ แนวปฏิบัติที่ทำให้หน่วยงานสามารถปฏิบัติตามเรื่อง ฐานทางกฎหมายในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล

กำหนดไว้ตามกฎหมาย หมายถึงอะไร?

จำเป็นต้องมีกฎหมายอนุญาตให้ประมวลผลข้อมูลโดยตรง สิ่งสำคัญคือ เป้าหมายภาพรวมของภารกิจต้องมีกฎหมายรองรับ

ครอบคลุมมากกว่ากฎหมายลายลักษณ์อักษร รวมถึง Common law หรือระเบียบที่ชัดเจนและคาดการณ์ได้ (Clear and Foreseeable)

Page 24

Page 25

Public Task: ตัวอย่างกรณีศึกษา หรือ แนวปฏิบัติที่ทำให้หน่วยงานสามารถปฏิบัติตามเรื่อง ฐานทางกฎหมายในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล

Checklist การสร้างความรับผิดชอบและความโปร่งใส (Accountability)

☑ จัดทำเอกสารบันทึก (Document Decisions)
บันทึกเหตุผลที่ยืนยันว่าการประมวลผลมีความจำเป็นต่อการปฏิบัติภารกิจหรือใช้อำนาจรัญ

☑ ระบุฐานอำนาจตามกฎหมาย (Identify the Law)
ระบุชื่อภารกิจและอ้างอิงแหล่งที่มาของอำนาจ (Statute หรือ Common Law) ให้ชัดเจน

☑ ตรวจสอบความรุกล้ำ (Review Intrusiveness)
ยืนยันว่าไม่มีทางเลือกอื่นที่รบกวนสิทธิส่วนบุคคลน้อยกว่านี้อีกแล้ว

☑ ประกาศใน Privacy Notice (Transparency)
ระบุรายละเอียดของวัตถุประสงค์และฐานทางกฎหมาย Public Task ให้ประชาชนรับทราบอย่างชัดเจน

edpc
European Union
2023

Page 26

Legitimate Interest: ตัวอย่างกรณีศึกษา หรือ แนวปฏิบัติที่ทำให้หน่วยงานสามารถปฏิบัติตามเรื่อง ฐานทางกฎหมายในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล

EU: Legitimate Interest (Guidelines 1/2024 on processing of personal data based on Article 6(1)(f) GDPR)
UK: ICO - A Guide to lawful basis (Legitimate Interest Part)
SG: Advisory Guidelines on Key Concepts in the PDPA (pp.38-78)

Page 27

3. Legitimate Interest: ตัวอย่างกรณีศึกษา หรือ แนวปฏิบัติที่ทำให้หน่วยงานสามารถปฏิบัติตามเรื่อง ฐานทางกฎหมายในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล

The Standard 3-part test (EU & UK Legitimate Interest)

Purpose Test
วัตถุประสงค์
ประโยชน์ต้องชอบด้วยกฎหมาย ชัดเจน และเกิดขึ้นจริง (Lawful, Clearly articulated, present) ห้ามเป็นการคาดเดา ล่วงหน้า
Necessity Test
ความจำเป็น
ต้องจำเป็นอย่างยิ่ง (Strict requirement) และสอดคล้องกับหลัก Data Minimisation หากมีวิธีนี้ที่กระทบสิทธิ น้อยกว่าจะใช้ฐานนี้ไม่ได้
Balancing Test
การชั่งน้ำหนัก
สิทธิขององค์กรต้องไปละเมิดสิทธิชั้นพื้นฐาน เสรีภาพ และความคาดหวังที่สมเหตุสมผล (Reasonable expectations) ของเจ้าของข้อมูล

Lawful Basis

edpc
European Union

3. Legitimate Interest: ตัวอย่างกรณีศึกษา หรือ แนวปฏิบัติที่ทำให้หน่วยงานสามารถปฏิบัติตามเรื่อง ฐานทางกฎหมายในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล

Deep Dive UK Recognized legitimate Interest (RLI)

The Big Difference:
กฎหมายชั่งน้ำหนักมาให้แล้ว
ผู้ควบคุมข้อมูลไปต้องทำ Balancing Test
อีก แต่ยังต้องพิสูจน์ความจำเป็น
(Necessity)

Concept วัตถุประสงค์ที่กฎหมาย
(Annex 1 of UK GDPR)
อนุมัติล่วงหน้าแล้วว่าเป็นประโยชน์ต่อสาธารณะ

the 5 pre-approved Conditions (เงื่อนไขที่ได้รับการรับรอง)

การเปิดเผยข้อมูลเพื่องานสาธารณะ
(Public task disclosure)
ความมั่นคงของชาติและความปลอดภัย
สาธารณะ (National/Public Security)
เหตุฉุกเฉิน (Emergency)
การป้องกันและปราบปรามอาชญากรรม
(Crime condition)
การคุ้มครองกลุ่มเปราะบาง
(Safeguarding vulnerable individuals)

Page 29

3. Legitimate Interest: ตัวอย่างกรณีศึกษา หรือ แนวปฏิบัติที่ทำให้หน่วยงานสามารถปฏิบัติตามเรื่อง ฐานทางกฎหมายในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล

SYNTHESIS: The Core Mechanics Comparison Matrix

Default Process (กระบวนการหลัก)	EU LI	UK LI	UK RLI	Singapore LIE
	3-part test	3-part test	Condition matched + Necessity	Assess + Mitigate + Balance
Balancing Test Required? (ต้องชั่งน้ำหนักหรือไม่)	☑ Yes	☑ Yes	❌ No (กฎหมายรับรองแล้ว)	⚠️ Yes (เฉพาะ Residual effects)
Explicit Mitigation Pre-balancing? (บังคับลดความเสี่ยงก่อนชั่งน้ำหนัก)	แนะนำ (ส่วนหนึ่งของการประเมิน)	แนะนำ (ส่วนหนึ่งของการประเมิน)	N/A	☑ Yes (บังคับตามกฎหมาย)
Applicability to Public Authorities (หน่วยงานรัฐใช้ได้หรือไม่)	❌ No (สำหรับการปฏิบัติหน้าที่ปกติ)	❌ No (สำหรับการปฏิบัติหน้าที่ปกติ)	❌ No (ต้องใช้ฐาน Public Task)	Specific PDPA Exemptions apply

edpc
JUNE 2019

Page 30

Legitimate Interest: ตัวอย่างกรณีศึกษา หรือ แนวปฏิบัติที่ทำให้หน่วยงานสามารถปฏิบัติตามเรื่อง ฐานทางกฎหมายในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล

Diagnostic Case Study 1: Direc Marketing (การตลาดแบบตรง)

Proceed with Caution
ใช้ได้ แต่ต้องผ่าน Balancing test อย่างเข้มงวด และต้องปฏิบัติตาม กฎหมาย ePrivacy Directive

Proceed with Caution (UK LI)
ใช้ได้ ภายใต้เงื่อนไข PECR เช่น กฎ soft opt-in สำหรับลูกค้าเก่าเท่านั้น

Strictly Prohibited (UK RLI)
ใช้ไม่ได้ ไม่อยู่ใน 5 เงื่อนไขที่ได้รับ การรับรองส่วนหน้าเพื่อประโยชน์ สาธารณะ

Strictly Prohibited
ใช้ไม่ได้เด็ดขาด! กฎหมายระบุชัดเจนห้ามใช้ LIE สำหรับ Direct Marketing ต้องพึ่งพา Consent หรือปฏิบัติตาม Do not Call provision เท่านั้น

pdpc
2016-03-01

3. Legitimate Interest: ตัวอย่างกรณีศึกษา หรือ แนวปฏิบัติที่ทำให้หน่วยงานสามารถปฏิบัติตามเรื่อง ฐานทางกฎหมายในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล

Diagnostic Case study 2: Fraud Prevention & Security

EU LI: High Applicability

ได้รับการยอมรับชัดเจนตาม Recital 47 ว่าเป็น LI แต่ต้องยึดหลักความจำเป็นอย่างยิ่ง (Strict necessity) และ Data Minimisation

UK RLI: Fast-Tracked

ใช้งานได้ในทำนองเดียวกับกรอบของ EU โดยต้องผ่านกระบวนการ LIA

Singapore LIE: Classic Use Case

หากเข้าข่าย Crime condition สามารถ เลี่ยง Balancing test ได้เลย แต่ยังต้องพิสูจน์ความจำเป็น

ตัวอย่างคลาสิกของ PDPA เช่น การแชร์ Blacklist ระหว่างองค์กร หรือสร้าง Fraud detection model อนุญาตให้ทำได้หาก ประโยชน์คุ้มค่ากว่าผลกระทบส่วนบุคคล

pdpc
Page 31

Page 32

3. Legal Obligation: ตัวอย่างกรณีศึกษา หรือ แนวปฏิบัติที่ทำให้หน่วยงานสามารถปฏิบัติตามเรื่อง ฐานทางกฎหมายในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล

UK: ICO - A Guide to lawful basis (Legal Obligation Part)

The Lawful basis triage matrix: การแยกแยะฐานทางกฎหมาย

ฐานการประมวลผล	แหล่งที่มาของหน้าที่	มีดุลยพินิจในการประมวลผลหรือไม่	สามารถยกเว้นด้วยสัญญาได้หรือไม่
Legal Obligation (ฐานหน้าที่ตามกฎหมาย)	กฎหมายลายลักษณ์อักษร	ไม่มี (ต้องทำตามกฎหมาย)	ไม่ได้ (You cannot contract out)
Contract obligation (ฐานสัญญา)	ข้อตกลงระหว่างคู่สัญญา	มี (ขึ้นอยู่กับการตกลง)	ได้ (ปรับเปลี่ยนตามสัญญา)
Legitimate Interests (ฐานประโยชน์โดยชอบด้วยกฎหมาย)	ความจำเป็นทางธุรกิจขององค์กรหรือบุคคลที่สาม	มีสูง (ต้องประเมินความได้สัดส่วน)	ได้

⚠️ ข้อควรระวัง การะหน้าที่ตามสัญญา (Contractual Obligation) ไม่ถือเป็นหน้าที่ตามกฎหมายในบริบทนี้ หากเป็นเรื่องสัญญาต้องพิจารณาใช้ฐานสัญญาหรือฐานประโยชน์โดยชอบด้วยกฎหมายแทน

3. Legal Obligation: ตัวอย่างกรณีศึกษา หรือ แนวปฏิบัติที่ทำให้หน่วยงานสามารถปฏิบัติตามเรื่อง ฐานทางกฎหมายในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล

The Compliance flowchart: แผนผังประเมินความจำเป็น

pdpoc
TWG

3. Legal Obligation: ตัวอย่างกรณีศึกษา หรือ แนวปฏิบัติที่ทำให้หน่วยงานสามารถปฏิบัติตามเรื่อง ฐานทางกฎหมายในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล

การบังคับใช้สถานการณ์จริง (Real-world Applications)

หน้าที่นายจ้างด้านภาษีและแรงงาน (Employment Duty)

บริบท: การส่งข้อมูลพนักงานให้หน่วยงานรัง

Case Study : นายจ้างประมวลผลข้อมูลเงินเดือนเพื่อส่งให้กรมสรรพากร (อ้างอิง HMRC) โดยอ้างอิงข้อกำหนดจากเว็บไซต์ของหน่วยงานได้โดนตรง

การป้องกันอาชญากรรมทางการเงิน (Criminal/Financial Regulation)

บริบท: การตรวจสอบและรายงานธุรกรรมต้องสงสัย

Case Study : สถาบันการเงินส่งรายงาน Suspicious Activity Report ให้หน่วยงานบังคับใช้กฎหมายเมื่อพบเหตุต้องสงสัยการฟอกเงิน (อ้างอิง : Proceeds of Crime Act 2002)

การปฏิบัติตามคำสั่งศาลและหน่วยงานกำกับดูแล (Statutory/Court Orders)

บริบท: การดำเนินงานตามอำนาจหน้าที่ของรัง

Case Study : บริษัทพลังงานส่งมอบข้อมูลลูกค้าให้หน่วยงานกำกับดูแล เพื่อแก้ไขผลกระทบด้านการแข่งขันทางการค้าตามคำสั่ง (อ้างอิง : CMA's Enterprise Act/Court orders)

Page 34

Page 35

3. Lawful Basis - Sensitive Data ตัวอย่างกรณีศึกษา หรือ แนวปฏิบัติที่ทำให้หน่วยงานสามารถปฏิบัติตาม เรื่อง ฐานทางกฎหมายในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล

ทางออกเมื่อความยินยอมไม่ใช่คำตอบ

ข้อมูลส่วนบุคคลที่มีความอ่อนไหว (Special category Data) มีความเสี่ยงสูงและกฎหมายคุ้มครองอย่างเข้มงวดโดยทั่วไปต้องใช้ความยินยอมโดยชัดแจ้ง แต่ในโลกการทำงานจริง การขอความยินยอมอาจเป็นอุปสรรคต่อเป้าหมายที่สำคัญ

กฎหมาย (อ้างอิง Article 9(2)(g) และ DPA 2018 Schedule 1) เปิดช่องทางให้ประมวลผลข้อมูลได้ หากมีเป้าหมายเพื่อประโยชน์สาธารณะที่สำคัญ (Substantial Public interest) โดยต้องปฏิบัติตามเงื่อนไขที่กำหนดอย่างเคร่งครัด

pdpoc 2006 - 2012

3. Lawful Basis - Sensitive Data ตัวอย่างกรณีศึกษา หรือ แนวปฏิบัติที่ทำให้หน่วยงานสามารถปฏิบัติตามเรื่อง ฐานทางกฎหมายในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล

What substantial public interest conditions are available?

The 23 conditions are set out in paragraphs 6 to 28 of Schedule 1 of the DPA 2018:

Statutory and government purposes
Administration of justice and parliamentary purposes
Equality of opportunity or treatment
Racial and ethnic diversity at senior levels
Preventing or detecting unlawful acts
Protecting the public
Regulatory requirements
Journalism, academia, art and literature
Preventing fraud
Suspicion of terrorist financing or money laundering
Support for individuals with a particular disability or medical condition
Counselling
Safeguarding of children and individuals at risk
Safeguarding of economic well-being of certain individuals
Insurance
Occupational pensions
Political parties
Elected representatives responding to requests
Disclosure to elected representatives
Informing elected representatives about prisoners
Publication of legal judgments
Anti-doping in sport
Standards of behaviour in sport

Page 36

Page 37

3. Lawful Basis - Sensitive Data ตัวอย่างกรณีศึกษา หรือ แนวปฏิบัติที่ทำให้หน่วยงานสามารถปฏิบัติตามเรื่อง ฐานทางกฎหมายในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล

สรุปเส้นทางการปฏิบัติ (The 4 pillars of SPI Compliance)

ระบุเงื่อนไข (Identify)
เลือก 1 ใน 23 เงื่อนไขจาก Schedule 1 ที่สอดคล้องกับวัตถุประสงค์องค์กรมากที่สุด
พิสูจน์ประโยชน์ (Prove)
ตรวจสอบว่าต้องเขียนแสดงเหตุผลเรื่องประโยชน์สาธารณะ เน้นกว้าง/เชิงลึก เพิ่มเติมหรือไม่
ยืนยันสิทธิ (Document Consent limits)
บันทึกเหตุผลทางกฎหมายหรืออุปสรรคเชิงปฏิบัติที่ไม่สามารถขอความยินยอมจากเจ้าของข้อมูลได้
จัดทำนโยบาย (Draft APD)
Appropriate Policy Document
ร่างเอกสาร APD ระบุวิธีปฏิบัติและระยะเวลาจัดเก็บข้อมูล พร้อมอัปเดตเข้าสู่ระบบเอกสารกลางขององค์กร

pdpoc
JAYTEE

Page 38

(โครงร่าง) คู่มือ/แนวปฏิบัติ เรื่อง ฐานทางกฎหมายในการเก็บรวบรวม ใช้ หรือเปิดเผย ข้อมูลส่วนบุคคล (Lawful Basis)

บทที่ 1 บทนำ

ทำไมฐานทางกฎหมายจึงสำคัญ
ความหมายของคำว่า "จำเป็น" (Necessary): การประมวลผลต้องมีความจำเป็นและได้สัดส่วนต่อวัตถุประสงค์ หากมีวิธีอื่นที่บรรลุผลได้โดยกระทบสิทธิความเป็นส่วนตัวน้อยกว่า จะไม่สามารถอ้างฐานทางกฎหมายนั้นได้
วิธีการเลือกฐานทางกฎหมายที่เหมาะสม: แนวทางการพิจารณาวัตถุประสงค์ บริบท และความสัมพันธ์ระหว่างองค์กรกับเจ้าของข้อมูล
การเปลี่ยนแปลงฐานทางกฎหมายและวัตถุประสงค์ใหม่: หลักการที่ไม่ควรเปลี่ยนฐานทางกฎหมายในภายหลังหากเลือกผิดตั้งแต่แรก และสิ่งที่ต้องทำเมื่อมีวัตถุประสงค์ใหม่เกิดขึ้น
การจัดทำเอกสารและการแจ้งเจ้าของข้อมูล: หน้าที่ในการบันทึกฐานทางกฎหมาย (Record of Processing Activities - RoPA) และการระบุฐานทางกฎหมายในนโยบายความเป็นส่วนตัว (Privacy Notice)

Page 39

(โครงร่าง) คู่มือ/แนวปฏิบัติ เรื่อง ฐานทางกฎหมายในการเก็บรวบรวม ใช้ หรือเปิดเผย ข้อมูลส่วนบุคคล (Lawful Basis)

บทที่ 2 ฐานทางกฎหมายสำหรับการเก็บรวบรวมข้อมูลส่วนบุคคล (ตามมาตรา 24)

ม. 24 Consent – ความยินยอม
ม. 24 (1) Archiving, research, statistics – การจัดทำเอกสารประวัติศาสตร์หรือจดหมายเหตุเพื่อประโยชน์สาธารณะหรือการศึกษาวิจัยหรือสถิติ
ม. 24 (2) Vital Interest - การป้องกันหรือระงับอันตรายต่อชีวิต ร่างกาย หรือสุขภาพของบุคคล
ม. 24 (3) Contract - ความจำเป็นเพื่อปฏิบัติตามสัญญา ซึ่งเจ้าของข้อมูลส่วนบุคคลเป็นคู่สัญญา
ม. 24 (4) Public Task - ความจำเป็นเพื่อปฏิบัติหน้าที่ในการดำเนินการกิจเพื่อประโยชน์สาธารณะหรือปฏิบัติหน้าที่ในการใช้อำนาจรัฐ
ม. 24 (5) Legitimate Interest - ความจำเป็นเพื่อประโยชน์โดยชอบด้วยกฎหมาย
ม. 24 (6) Legal Obligation - การปฏิบัติตามกฎหมายของผู้ควบคุมข้อมูลส่วนบุคคล

บทที่ 3 ฐานทางกฎหมายสำหรับการเก็บรวบรวมข้อมูลส่วนบุคคลที่อ่อนไหว (ตามมาตรา 26)

ม. 26 Explicit consent – ความยินยอมโดยชัดแจ้ง
ม. 26 (1) Vital interests - ป้องกันหรือระงับอันตรายต่อชีวิต ร่างกาย หรือสุขภาพของบุคคล ซึ่งเจ้าของข้อมูลส่วนบุคคลไม่สามารถให้ความยินยอมได้
ม. 26 (2) Not-for-profit bodies with a political, philosophical, religious or trade union - ดำเนินกิจกรรมที่ชอบด้วยกฎหมายที่มีการคุ้มครองที่เหมาะสมของมูลนิธิ สมาคม องค์กรไม่แสวงหากำไร ที่มีวัตถุประสงค์เกี่ยวกับเรื่องการเมือง ศาสนา ปรัชญา สหภาพแรงงาน
ม. 26 (3) Made public by the data subject - ข้อมูลที่เปิดเผยต่อสาธารณะด้วยความยินยอมโดยชัดแจ้งของเจ้าของข้อมูลส่วนบุคคล
ม. 26 (4) Legal claims and judicial acts - ก่อตั้งสิทธิเรียกร้องตามกฎหมาย การปฏิบัติตามหรือการใช้สิทธิเรียกร้องตามกฎหมาย หรือการยกขึ้นต่อสู้สิทธิเรียกร้องตามกฎหมาย

Page 41
Copyright © 2024 TWX Consulting Co., Ltd., Storby Conferences

(โครงร่าง) คู่มือ/แนวปฏิบัติ เรื่อง ฐานทางกฎหมายในการเก็บรวบรวม ใช้ หรือเปิดเผย ข้อมูลส่วนบุคคล (Lawful Basis)

บทที่ 3 ฐานทางกฎหมายสำหรับการเก็บรวบรวมข้อมูลส่วนบุคคลที่อ่อนไหว (ตามมาตรา 26) (ต่อ)

ความจำเป็นในการปฏิบัติตามกฎหมายเพื่อให้บรรลุวัตถุประสงค์ เกี่ยวกับ:

ม. 26 (5) (ก) Health or social care - เวชศาสตร์ป้องกันหรืออาชีวเวชศาสตร์
ม. 26 (5) (ข) Public health – ประโยชน์สาธารณะด้านการสาธารณสุข
ม. 26 (5) (ค) Employment, social security and social protection law - การคุ้มครองแรงงาน
ม. 26 (5) (ง) Archiving, research and statistics – การศึกษาวิจัยทางวิทยาศาสตร์ หรือสถิติ เพื่อ ประโยชน์สาธารณะ
ม. 26 (5) (จ) Substantial public interest - ประโยชน์สาธารณะที่สำคัญ

บทที่ 4 สรุปข้อปฏิบัติ (Checklist)

องค์กรได้ทบทวนวัตถุประสงค์และเลือกฐานทางกฎหมายที่เหมาะสมที่สุดแล้ว
องค์กรตรวจสอบแล้วว่าการประมวลผลนั้น "จำเป็น" และไม่มีวิธีอื่นที่กระทบสิทธิบ่อยกว่า
องค์กรได้บันทึกการตัดสินใจเลือกฐานทางกฎหมายเพื่อใช้แสดงความรับผิดชอบ (Accountability)
องค์กรได้ระบุข้อมูลวัตถุประสงค์และฐานทางกฎหมายไว้ใน Privacy Notice อย่างครบถ้วน

บทที่ 5 FAQ

คู่มือ/แนวปฏิบัติ เรื่อง มาตรการรักษาความมั่นคงปลอดภัยและการแจ้งเหตุการละเมิดข้อมูลส่วนบุคคล

Page 43
Copyright © 2025 TIME Consulting Co., Ltd., Strictly Confidential

Page 44

1. บทนำ

ข้อกำหนดที่เกี่ยวข้องกับมาตรการรักษาความมั่นคงปลอดภัยของข้อมูลส่วนบุคคลของไทย

DC และ DP มีหน้าที่จัดให้มีมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสม เพื่อป้องกันการสูญหาย เข้าถึงใช้ เปลี่ยนแปลง แก้ไข หรือเปิดเผยข้อมูลส่วนบุคคลโดยปราศจากอำนาจหรือโดยมิชอบ
DC ต้องทบทวนมาตรการดังกล่าวเมื่อมีความจำเป็น หรือเมื่อเทคโนโลยีเปลี่ยนแปลงไป
“ความมั่นคงปลอดภัย” ของข้อมูลส่วนบุคคล ได้แก่ การธำรงไว้ซึ่งความลับ (Confidentiality) ความถูกต้องครบถ้วน (Integrity) และสภาพพร้อมใช้งาน (availability)
มาตรการรักษาความมั่นคงปลอดภัย ประกอบด้วย มาตรการด้านการบริหารจัดการ (Administrative Measures) มาตรการด้านเทคนิค (Technical Measures) และมาตรการด้านกายภาพ (Physical Measures)

ข้อกำหนดที่เกี่ยวข้องกับการแจ้งเหตุการละเมิดข้อมูลส่วนบุคคลของไทย

DC ต้องแจ้งเหตุการละเมิดข้อมูลส่วนบุคคลแก่สำนักงานโดยไม่ชักช้าภายใน 72 ชั่วโมงนับแต่ทราบเหตุ
ในกรณีที่การละเมิดมีความเสี่ยงสูงที่จะมีผลกระทบต่อสิทธิและเสรีภาพของบุคคล ให้แจ้งเหตุการละเมิดให้เจ้าของข้อมูลส่วนบุคคลทราบพร้อมกับแนวทางการเยียวยาโดยไม่ชักช้า

dpc

2. การศึกษากฎเกณฑ์ แนวทาง แนวปฏิบัติ คำแนะนำ และคำอธิบาย เกี่ยวกับเรื่อง มาตรการรักษาความมั่นคงปลอดภัย และการแจ้งเหตุการละเมิดข้อมูลส่วนบุคคล

	สหภาพยุโรป	ประเทศสิงคโปร์	ประเทศญี่ปุ่น	สหราชอาณาจักร
กฎเกณฑ์	Regulation (EU) 2016/679 (GDPR) ➢ Article 25 (Privacy by Design / Privacy by Default) ➢ Article 32 (Security of Processing) ➢ Article 33 (Notification to the Supervisory Authority) ➢ Article 34 (Communication to the Data Subject) ➢ Article 35 Data Protection Impact Assessment	PDPA ➢ Article 24 (Protection of Personal Data) ➢ Article 26C (Duty to Conduct Assessment of Data Breach) ➢ Article 26D (Notification to Commission) ➢ Article 26E (Notification to Affected Individuals)	APPI ➢ Article 23 (Security Control Measures) ➢ Article 26 (Reporting Leaks)	UK GDPR ➢ Article 25 (Privacy by Design / Privacy by Default) ➢ Article 32 (Security of Processing) ➢ Article 33 (Notification to the Supervisory Authority) ➢ Article 34 (Communication to the Data Subject) ➢ Article 35 Data Protection Impact Assessment DPA 2018 ➢ Article 28 and Schedule 1 (Special Category Data)
แนวทางและแนวปฏิบัติ	➢ Guidelines on Data Protection Impact Assessment (DPIA) ➢ Handbook on Security of Personal Data Processing ➢ Guidelines 01/2021 on Examples Regarding Data Breach Notification ➢ Guidelines on Data Protection Impact Assessment (DPIA)	➢ Advisory Guidelines on Key Concepts in the PDPA ➢ Guide to Data Protection Practices for ICT Systems (DPP Guide) Handbook on How to Guard Against Common Types of Data Breaches ➢ Guide on Managing and Notifying Data Breaches under the PDPA	➢ Guidelines for Protection of Personal Information ➢ PPC Guidelines — Data Breach Notification	➢ ICO guide to data security ➢ ICO Accountability Framework
คำแนะนำและคำอธิบาย	➢ Recommendations on Pseudonymisation	➢ Guide to Basic Anonymization ➢ Guide to Data Protection Impact Assessments	➢ Explanation on the Guidelines for Protection of Personal Information	➢ Explanatory Notes on Data Protection Act 2018 (DPA 2018) ➢ Sector-Specific and Technology-Specific Recommendations

Page 46

3. ตัวอย่างกรณีศึกษา หรือ แนวปฏิบัติที่ทำให้หน่วยงานสามารถปฏิบัติตาม เรื่อง มาตรการรักษาความมั่นคงปลอดภัย และการแจ้งเหตุการละเมิดข้อมูลส่วนบุคคล

1. สหภาพยุโรป

มาตรการรักษาความมั่นคงปลอดภัย

> Security by Design / Default: DC ต้องออกแบบระบบรักษาความมั่นคงปลอดภัยของข้อมูลส่วนบุคคล โดยคำนึงถึงการคุ้มครองข้อมูลตั้งแต่ต้น (by design) และตั้งค่าเริ่มต้นให้ประมวลผลข้อมูลน้อยที่สุดเท่าที่จำเป็น (by default) เช่น การเข้ารหัส, การจำกัดสิทธิเข้าถึง

> Risk-Based Approach: DC และ DP ต้องใช้มาตรการรักษาความปลอดภัยที่เหมาะสมตามความเสี่ยง เช่น การทำ Pseudonymization และ Encryption การทำให้ระบบมี Confidentiality, Integrity, Availability และ Resilience การกู้คืนระบบหลังเกิดเหตุ (Restore access) การทดสอบและประเมินมาตรการเป็นระยะ (Regular testing) ทั้งนี้ไม่มีการกำหนดมาตรฐานแบบตายตัว แต่ต้องพิจารณาตามระดับเทคโนโลยีในปัจจุบัน ต้นทุนในการดำเนินการ ลักษณะ ขอบเขต บริบทของการประมวลผล รวมถึงความเสี่ยงต่อสิทธิและเสรีภาพของบุคคล

edpc
European Union

Page 47

3. ตัวอย่างกรณีศึกษา หรือ แนวปฏิบัติที่ทำให้หน่วยงานสามารถปฏิบัติตาม เรื่อง มาตรการรักษาความมั่นคงปลอดภัย และการแจ้งเหตุการละเมิดข้อมูลส่วนบุคคล

การแจ้งเหตุการละเมิดข้อมูลส่วนบุคคล

การแจ้งหน่วยงานกำกับดูแล: เมื่อเกิดการละเมิดข้อมูลส่วนบุคคลที่มีความเสี่ยงต่อสิทธิและเสรีภาพของบุคคล DC ต้องแจ้งหน่วยงานกำกับดูแลภายใน 72 ชั่วโมง นับจากทราบเรื่อง โดยต้องระบุ 1) ลักษณะของการละเมิด 2) จำนวนและประเภทของผู้ได้รับผลกระทบ 3) ผลที่อาจเกิดขึ้น 4) มาตรการที่ได้ดำเนินการ ทั้งนี้ หากแจ้งไม่ทันใน 72 ชม. ต้องระบุเหตุผลของความล่าช้าด้วย
การแจ้งเจ้าของข้อมูลส่วนบุคคล: ในกรณีที่การละเมิดก่อให้เกิดความเสี่ยงสูงต่อสิทธิและเสรีภาพของบุคคล DC ต้องแจ้งเจ้าของข้อมูลโดยไม่ชักช้า พร้อมอธิบายลักษณะของการละเมิดและคำแนะนำในการลดความเสียหาย ยกเว้นกรณีที่ข้อมูลได้รับการเข้ารหัสอย่างเหมาะสมแล้ว หรือได้ดำเนินมาตรการลดความเสี่ยงจนไม่มีความเสี่ยงสูงแล้ว
การบันทึกการละเมิดข้อมูล: DC ต้องจัดทำและเก็บรักษา บันทึกการละเมิดข้อมูล (Breach Log) ทุกกรณีไม่ว่าจะต้องแจ้งหน่วยงานกำกับดูแลหรือไม่ก็ตาม โดยบันทึกต้องครอบคลุมข้อเท็จจริง, ผลกระทบ และมาตรการที่ดำเนินการ เพื่อให้หน่วยงานกำกับดูแลตรวจสอบได้ในภายหลัง

ตัวอย่างกรณีศึกษา หรือ แนวปฏิบัติที่ทำให้หน่วยงานสามารถปฏิบัติตาม เรื่อง มาตรการรักษาความมั่นคงปลอดภัย และการแจ้งเหตุการละเมิดข้อมูลส่วนบุคคล

DPIA

> กรณีที่การประมวลผลข้อมูลมีความเสี่ยงสูง (เช่น การใช้ Profiling ขนาดใหญ่ การประมวลผล Biometric Data) DC ต้องจัดทำ DPIA ก่อนเริ่มประมวลผล โดย DPIA ต้องระบุความเสี่ยงและมาตรการบรรเทา ทั้งนี้ หากความเสี่ยงยังสูงอยู่ ต้องขอ Prior Consultation จากหน่วยงานกำกับดูแล

การพิจารณาจัดทำ DPIA

☐ การประเมินหรือให้คะแนน รวมถึงการทำโปรไฟล์สิ่ง (Profiling)
☐ การตัดสินใจอัตโนมัติที่มีผลทางกฎหมายหรือผลกระทบสำคัญ
☐ การเฝ้าระวังอย่างเป็นระบบ
☐ การประมวลผลข้อมูลส่วนบุคคลที่อ่อนไหว
☐ การประมวลผลข้อมูลจำนวนมาก
☐ การจับคู่หรือการผสมผสานชุดข้อมูล
☐ ข้อมูลของเจ้าของข้อมูลกลุ่มเปราะบาง
☐ การใช้โซลูชันทางเทคโนโลยีหรือองค์กรที่ล้ำสมัย
☐ การประมวลผลที่ขัดขวางการใช้สิทธิ หรือการใช้บริการตามสัญญา

หากการประมวลผลเข้าข่ายตามเกณฑ์ข้างต้นตั้งแต่ 2 ข้อขึ้นไป ควรจัดทำ DPIA

edpc
TWG

3. ตัวอย่างกรณีศึกษา หรือ แนวปฏิบัติที่ทำให้หน่วยงานสามารถปฏิบัติตาม เรื่อง มาตรการรักษาความมั่นคงปลอดภัย และการแจ้งเหตุการละเมิดข้อมูลส่วนบุคคล

ตัวอย่าง บริษัท A ต้องการนำ AI มาวิเคราะห์พฤติกรรมและประสิทธิภาพของพนักงาน 5,000 คนทั่วยุโรป โดยเก็บข้อมูลการเข้าออกงาน ผลงาน การสื่อสารในระบบ และสุขภาพ

ขั้นที่ 1 Screening (ต้องทำ DPIA หรือไม่)
บริษัท A ใช้ AI ประเมินพนักงาน + ข้อมูลสุขภาพ (เข้าเกณฑ์ 2 ข้อ) ต้องทำ DPIA

ขั้นที่ 2 Data Mapping (ข้อมูลอะไร อยู่ที่ไหน ไปที่ไหน)
เช่น ข้อมูลสุขภาพ (วันลาป่วย) ถูกส่งไปยัง AI vendor ใน สหรัฐอเมริกา

ขั้นที่ 3 Necessity & Proportionality (จำเป็นและได้สัดส่วน หรือไม่)
ข้อมูลสุขภาพจำเป็นหรือไม่ ฐานทางกฎหมายคืออะไร มีทางเลือก อื่นหรือไม่

3. ตัวอย่างกรณีศึกษา หรือ แนวปฏิบัติที่ทำให้หน่วยงานสามารถปฏิบัติตาม เรื่อง มาตรการรักษาความมั่นคงปลอดภัย และการแจ้งเหตุการละเมิดข้อมูลส่วนบุคคล

ขั้นที่ 4 Risk Assessment (ระบุและประเมินความเสี่ยง)

ประเมินความน่าจะเป็นและระดับความรุนแรง เพื่อหาระดับความเสี่ยง

ประเมินความเสี่ยง	ความน่าจะเป็น	ความรุนแรง	ระดับความเสี่ยง
AI ตัดสินใจไล่ออกโดยอัตโนมัติ	สูง	สูงมาก	สูงมาก
ข้อมูลรั่วไหลไปยัง vendor ต่างประเทศ	กลาง	สูง	สูง
การเลือกปฏิบัติจาก algorithmic bias	กลาง	สูง	สูง

ขั้นที่ 5 Mitigation (กำหนดมาตรการบรรเทาความเสี่ยง)

เช่น ห้าม AI ตัดสินใจแต่เพียงผู้เดียว (ต้องมีมนุษย์อนุมัติ) จัดทำข้อมูลแฝง จัดทำ algorithmic audit ทุกไตรมาส

ขั้นที่ 6 Residual Risk (ความเสี่ยงที่เหลืออยู่ ยอมรับได้หรือไม่)

หลังจากกำหนดมาตรการบรรเทาแล้ว หากความเสี่ยงที่เหลือส่วนใหญ่ ลดลงอยู่ในระดับ medium ถือว่ายอมรับได้ แต่หากความเสี่ยงที่เหลือ ยังสูงอยู่ จะต้องทำ Prior Consultation กับหน่วยงานกำกับดูแล

Page 51

3. ตัวอย่างกรณีศึกษา หรือ แนวปฏิบัติที่ทำให้หน่วยงานสามารถปฏิบัติตาม เรื่อง มาตรการรักษาความมั่นคงปลอดภัย และการแจ้งเหตุการละเมิดข้อมูลส่วนบุคคล

2. สิ่งคโปร์

มาตรการรักษาความมั่นคงปลอดภัย

องค์กรที่ครอบครองหรือควบคุมข้อมูลส่วนบุคคล ต้องใช้มาตรการรักษาความปลอดภัยที่ สมเหตุสมผล เพื่อป้องกันการเข้าถึงโดยไม่ได้รับอนุญาต การรวบรวม การใช้ การเปิดเผย การคัดลอก การแก้ไข การทำลาย หรือความเสี่ยงอื่นที่คล้ายกัน

การแจ้งเหตุการละเมิดข้อมูลส่วนบุคคล

เมื่อเกิดการละเมิดข้อมูลที่มีความเสี่ยงต่อความเสียหายต่อเจ้าของข้อมูล เช่น ความเสียหายทางการเงิน ความเสียหายต่อชื่อเสียง การเลือกปฏิบัติ ต้องแจ้ง PDPC ภายใน 3 วันทำการ นับจากวันที่องค์กรประเมินได้ว่าเป็นการละเมิดข้อมูลที่เข้าข่ายต้องแจ้ง
เมื่อเกิดการละเมิดข้อมูลที่มีความเสี่ยงสูงต่อความเสียหายต่อเจ้าของข้อมูล องค์กรต้องแจ้งเจ้าของข้อมูลโดยไม่ชักช้า พร้อมระบุลักษณะการละเมิด ข้อมูลที่ถูกละเมิด มาตรการที่ดำเนินการ และช่องทางติดต่อ DPO

edpc

Page 52

3. ตัวอย่างกรณีศึกษา หรือ แนวปฏิบัติที่ทำให้หน่วยงานสามารถปฏิบัติตาม เรื่อง มาตรการรักษาความมั่นคงปลอดภัย และการแจ้งเหตุการละเมิดข้อมูลส่วนบุคคล

การแจ้งเหตุการละเมิดข้อมูลส่วนบุคคล

> PDPC ได้กำหนด กระบวนการประเมินและตอบสนองต่อการละเมิดข้อมูลส่วนบุคคลไว้ใน Guide to Data Breach Management ประกอบด้วย 4 ขั้นตอน ได้แก่
> - ☐ Contain หยุดยั้งการรั่วไหลและจำกัดความเสียหายทันที
> - ☐ Assess ประเมินว่าการละเมิดข้อมูลเข้าข่ายต้องแจ้งหรือไม่ โดยประเมินความน่าจะเป็นของการเกิดความเสียหาย และจำนวนผู้ได้รับผลกระทบ
> - ☐ Notify แจ้ง PDPC และ/หรือเข้าของข้อมูลตามเงื่อนไข
> - ☐ Evaluate ทบทวนและปรับปรุงมาตรการป้องกันเพื่อไม่ให้เกิดซ้ำ

> องค์กรต้องจัดเก็บ บันทึกการละเมิดข้อมูลทุกกรณี ไม่ว่าจะเข้าข่ายต้องแจ้งหรือไม่ก็ตาม เพื่อให้ PDPC สามารถตรวจสอบการประเมินขององค์กรได้ว่าเหตุใดจึงสรุปว่าไม่ต้องแจ้ง บันทึกต้องเก็บรักษาไว้อย่างน้อย 3 ปี นับจากวันที่เกิดเหตุ หรือนับจากวันที่แจ้ง PDPC (แล้วแต่วันใดจะหลังกว่า)

edpc
European Business

Page 53

3. ตัวอย่างกรณีศึกษา หรือ แนวปฏิบัติที่ทำให้หน่วยงานสามารถปฏิบัติตาม เรื่อง มาตรการรักษาความมั่นคงปลอดภัย และการแจ้งเหตุการละเมิดข้อมูลส่วนบุคคล

3. ญี่ปุ่น

มาตรการรักษาความมั่นคงปลอดภัย

> องค์กรที่ครอบครองข้อมูลส่วนบุคคลมีหน้าที่พื้นฐานในการใช้มาตรการรักษาความปลอดภัยข้อมูลส่วนบุคคลที่เหมาะสม โดยต้องกำหนดมาตรการ ดังนี้

☐ Organizational safety measures เช่น กำหนดบุคคลรับผิดชอบ จัดตั้งระบบรายงานภายใน ทำ risk assessment เป็นระยะ
☐ Human safety measures เช่น อบรมพนักงาน กำหนดข้อผูกพันด้าน data protection ในสัญญาจ้าง
☐ Physical safety measures เช่น ควบคุมการเข้าถึงสถานที่ จัดการอุปกรณ์จัดเก็บข้อมูล ทำลายข้อมูล อย่างปลอดภัย
☐ Technical safety measures เช่น Access control, Authentication, Encryption, Monitoring
☐ Extra-territorial measures (เมื่อมีการส่งข้อมูลออกนอกประเทศ) เช่น ตรวจสอบสถานะการดูแล ข้อมูลส่วนบุคคลของผู้รับข้อมูลเป็นระยะ กำหนดมาตรการในกรณีที่เกิดปัญหาอย่างเหมาะสม

3. ตัวอย่างกรณีศึกษา หรือ แนวปฏิบัติที่ทำให้หน่วยงานสามารถปฏิบัติตาม เรื่อง มาตรการรักษาความมั่นคงปลอดภัย และการแจ้งเหตุการละเมิดข้อมูลส่วนบุคคล

การแจ้งเหตุการละเมิดข้อมูลส่วนบุคคล

องค์กรต้องรายงาน PPC เมื่อเกิดการละเมิดข้อมูลส่วนบุคคล เช่น การรั่วไหลของข้อมูลอ่อนไหว (เช่น เชื้อชาติ ศาสนา ประวัติการรักษา ประวัติอาชญากรรม) การรั่วไหลจากอาชญากรรมทางไซเบอร์ การรั่วไหลที่กระทบต่อผู้มีสิทธิ 1,000 คนขึ้นไป และกรณีที่อาจก่อให้เกิดความเสียหายอย่างมีนัยสำคัญแก่ Data Subject
ญี่ปุ่นใช้ระบบ Two-stage Notification ได้แก่
☐ Preliminary Report ต้องรายงานต่อ PPC ภายใน 3–5 วันทำการนับจากที่รับรู้ถึงเหตุการณ์ เนื้อหาในระยะนี้เป็นการรายงานเบื้องต้นที่ทราบ ณ ขณะนั้น ไม่จำเป็นต้องครบถ้วน
☐ Full Report ต้องรายงานรายละเอียดครบถ้วนต่อ PPC ภายใน 30 วัน นับจากรับรู้เหตุการณ์ รายงาน ต้องระบุ ข้อเท็จจริงของเหตุการณ์, สาเหตุ, จำนวนและประเภทข้อมูลที่กระทบ, มาตรการที่ดำเนินการ และแผนป้องกัน
องค์กรต้องแจ้งเจ้าของข้อมูลโดยไม่ชักช้า เมื่อเกิดเหตุละเมิดมีความเสี่ยงสูงที่จะสร้างความเสียหายต่อ เจ้าของข้อมูล โดยระบุประเภทของข้อมูลที่รั่วไหล ลักษณะของเหตุการณ์ และมาตรการที่ดำเนินการแล้ว

Page 54

Page 55

3. ตัวอย่างกรณีศึกษา หรือ แนวปฏิบัติที่ทำให้หน่วยงานสามารถปฏิบัติตาม เรื่อง มาตรการรักษาความมั่นคงปลอดภัย และการแจ้งเหตุการละเมิดข้อมูลส่วนบุคคล

4. สหราชอาณาจักร

หลังจาก UK ออกจาก EU เมื่อวันที่ 1 มกราคม 2021 UK ยังคงนำหลักการของ EU GDPR มาใส่ไว้ในกฎหมาย ภายในประเทศ เรียกว่า UK GDPR (เนื้อหาคล้ายกับ EU GDPR) แต่อยู่ภายใต้การกำกับดูแลของ ICO และมี บทบัญญัติเฉพาะบางส่วนที่ปรับให้เข้ากับบริบทของ UK ผ่าน Data Protection Act 2018 (DPA 2018)

มาตรการรักษาความมั่นคงปลอดภัย

Security by Design and by Default
DC และ DP ต้องใช้มาตรการรักษาความปลอดภัยที่เหมาะสมตามความเสี่ยง
ICO ได้พัฒนา Security Outcomes Framework (2023) เพิ่มเติม ซึ่งกำหนด 7 Security Outcomes ที่องค์กรควรบรรลุ ได้แก่ Manage security risk, Protect personal data against cyber-attack, Protect personal data against internal threats, Manage access to personal data, Detect events that put personal data at risk, Respond effectively to incidents, Minimise the impact of incidents

edpc
European Union
European Union

Page 56

3. ตัวอย่างกรณีศึกษา หรือ แนวปฏิบัติที่ทำให้หน่วยงานสามารถปฏิบัติตาม เรื่อง มาตรการรักษาความมั่นคงปลอดภัย และการแจ้งเหตุการละเมิดข้อมูลส่วนบุคคล

การแจ้งเหตุการละเมิดข้อมูลส่วนบุคคล

การแจ้งหน่วยงานกำกับดูแล: เมื่อเกิดการละเมิดข้อมูลส่วนบุคคลที่มีความเสี่ยงต่อสิทธิและเสรีภาพของบุคคล DC ต้องแจ้งหน่วยงานกำกับดูแลภายใน 72 ชั่วโมง นับจากทราบเรื่อง โดยแจ้งผ่าน ICO’s online reporting tool โดยตรง และ ICO มีการใช้ Breach Self-Assessment Tool สำหรับองค์กรที่ไม่แน่ใจว่าต้องรายงานหรือไม่ (แบบคำถามเพื่อประเมินความเสี่ยงจากการละเมิด)
การแจ้งเจ้าของข้อมูลส่วนบุคคล: หากการละเมิดก่อให้เกิดความเสี่ยง สูง ต่อสิทธิและเสรีภาพของเจ้าของข้อมูล Controller ต้องแจ้งเจ้าของข้อมูล โดยไม่ชักช้า ด้วยภาษาที่เข้าใจง่ายและชัดเจน ICO เน้นว่าควรแจ้งผ่านช่องทางที่เจ้าของข้อมูลใช้ประจำ
การบันทึกการละเมิดข้อมูล: DC ต้องจัดทำและรักษาบันทึกการละเมิดข้อมูลส่วนบุคคลทุกกรณี ไม่ว่าจะต้องแจ้ง ICO หรือไม่ก็ตาม บันทึกต้องระบุข้อเท็จจริง, ผลกระทบ และมาตรการที่ดำเนินการ เพื่อให้ ICO สามารถตรวจสอบได้ว่าองค์กรได้ประเมินถูกต้องว่าเหตุใดจึงไม่แจ้ง (หากไม่แจ้ง)
การทำ DPIA: ICO ได้เผยแพร่ List of Processing Operations Requiring DPIA ซึ่งรวมถึงการใช้ Biometrics ในการยืนยันตัวตน, Systematic profiling, การประมวลผลข้อมูลเด็กเป็นจำนวนมาก เป็นต้น หากผลการประเมินยังพบความเสี่ยงสูงที่แก้ไขไม่ได้ ต้องขอ Prior Consultation จาก ICO ก่อน

e 57

3. ตัวอย่างกรณีศึกษา หรือ แนวปฏิบัติที่ทำให้หน่วยงานสามารถปฏิบัติตาม เรื่อง มาตรการรักษาความมั่นคงปลอดภัย และการแจ้งเหตุการละเมิดข้อมูลส่วนบุคคล

ประเด็นการเปรียบเทียบ	ไทย		สหภาพยุโรป		สิงคโปร์		ญี่ปุ่น		สหราชอาณาจักร
	กฎหมาย	แนวปฏิบัติ	กฎหมาย	แนวปฏิบัติ	กฎหมาย	แนวปฏิบัติ	กฎหมาย	แนวปฏิบัติ	กฎหมาย	แนวปฏิบัติ
หลักการและกรอบกฎหมายด้านความมั่นคงปลอดภัย
Security/Protection Principle	☑		☑	☑	☑	☑	☑	☑	☑	☑
Risk-Based Approach	☑		☑	☑	☑	☑	☑	☑	☑	☑
Privacy by Design & by Default			☑	☑		☑			☑	☑
Accountability	☑		☑	☑	☑	☑	☑	☑	☑	☑
มาตรการความมั่นคงปลอดภัยที่กำหนด
Organisational Measures	☑		☑	☑	☑	☑	☑	☑	☑	☑
Human/Personnel Security Measures	☑		☑	☑	☑	☑	☑	☑	☑	☑
Physical Security Measures	☑		☑	☑	☑	☑	☑	☑	☑	☑
Technical Security Measures	☑		☑	☑	☑	☑	☑	☑	☑	☑
Encryption & Pseudonymisation			☑	☑		☑		☑	☑	☑
CIA	☑		☑	☑		☑		☑	☑	☑
Regular Testing & Evaluation	☑		☑	☑		☑		☑	☑	☑
Recovery & Business Continuity			☑	☑		☑		☑	☑	☑
Third-Party / Vendor Management	☑		☑	☑	☑	☑	☑	☑	☑	☑
Cross-Border Data Transfer	☑	☑	☑	☑	☑	☑	☑	☑	☑	☑

e 57

Page 58

3. ตัวอย่างกรณีศึกษา หรือ แนวปฏิบัติที่ทำให้หน่วยงานสามารถปฏิบัติตาม เรื่อง มาตรการรักษาความมั่นคงปลอดภัย และการแจ้งเหตุการละเมิดข้อมูลส่วนบุคคล

ปัจจัยในการเปรียบเทียบ	ไทย		สหภาพยุโรป		สิงคโปร์		ญี่ปุ่น		สหราชอาณาจักร
	กฎหมาย	แนวปฏิบัติ	กฎหมาย	แนวปฏิบัติ	กฎหมาย	แนวปฏิบัติ	กฎหมาย	แนวปฏิบัติ	กฎหมาย	แนวปฏิบัติ
การแจ้งเหตุการละเมิดข้อมูลส่วนบุคคล (Data Breach Notification)
Mandatory Notification	☑		☑	☑	☑	☑	☑	☑	☑	☑
Regulator Notification Timeline	☑		☑	☑	☑	☑	☑	☑	☑	☑
Threshold for Regulator Notification	☑		☑	☑	☑	☑	☑	☑	☑	☑
Notification to Data Subjects)	☑		☑	☑	☑	☑	☑	☑	☑	☑
Designated Content to Notify	☑		☑	☑		☑	☑	☑	☑	☑
Incident Log / Documentation	☑		☑	☑		☑	☑	☑	☑	☑
Incident Response Framework	☑		☑	☑	☑	☑	☑	☑	☑	☑
กลไกกำกับดูแลเชิงรุกและเครื่องมือสนับสนุน
DPIA			☑	☑		☑		☑	☑	☑
DPO	☑		☑	☑	☑	☑		☑	☑	☑
Certification Scheme	☑	☑	☑	☑	☑	☑	☑	☑	☑	☑
Prior Consultation			☑	☑					☑	☑

pdpoc

Page 59

4. บทสรุป

ทุกประเทศที่เลือกศึกษาใช้ Risk-Based Approach โดยกำหนดให้ต้องมีมาตรการรักษาความปลอดภัยของข้อมูลที่สอดคล้องกับระดับความเสี่ยงของการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล และบริบทขององค์กร
ทุกประเทศที่เลือกศึกษามีบทบัญญัติการแจ้งเหตุละเมิดข้อมูล โดยกำหนดให้แจ้งหน่วยงานกำกับดูแล ภายในกรอบเวลา 3 วัน (72 ชั่วโมง) และการแจ้งเจ้าของข้อมูลที่ได้รับผลกระทบ
จุดเด่นของสหภาพยุโรป และสหราชอาณาจักร คือ มีการจัดทำคู่มือและแนวปฏิบัติที่ครอบคลุมเรื่องมาตรการรักษาความมั่นคงปลอดภัย (เช่น Pseudonymisation, Encryption, Regular Testing) และการแจ้งเหตุการละเมิดข้อมูลส่วนบุคคล ในประเด็นสำคัญอย่างครบถ้วน
จุดเด่นของสิงคโปร์ คือ DPTM ซึ่งเป็นระบบรับรองมาตรฐานการคุ้มครองข้อมูลส่วนบุคคล (Certification) และมีการใช้ระบบตอบสนองเหตุละเมิดที่ปฏิบัติได้จริง
จุดเด่นของญี่ปุ่น คือ มีการกำหนดมาตรการรักษาความมั่นคงปลอดภัยที่ครอบคลุม 5 ด้าน ได้แก่ มาตรการทางองค์กร มาตรการด้านบุคลากร มาตรการทางกายภาพ มาตรการทางเทคนิค และการทำความเข้าใจสภาพแวดล้อมภายนอก
กฎหมายของไทยได้กำหนดประเด็นที่เกี่ยวข้องกับมาตรการรักษาความมั่นคงปลอดภัย และการแจ้งเหตุการละเมิดข้อมูลส่วนบุคคลอย่างครบถ้วนในกฎหมายลำดับรอง (ยกเว้นบางเรื่องที่ไม่ได้บังคับให้องค์กรต้องทำ เช่น Privacy by Design/Default, DPIA) แต่ยังไม่มีการจัดทำคู่มือหรือแนวปฏิบัติเฉพาะเรื่องดังกล่าว

5. (ร่าง) คู่มือ/แนวปฏิบัติ เรื่อง มาตรการรักษาความมั่นคงปลอดภัยและการแจ้งเหตุการละเมิดข้อมูลส่วนบุคคล

บทที่ 1: บทนำ

วัตถุประสงค์ของคู่มือ
ขอบเขตการใช้คู่มือ
คำนิยามและศัพท์เฉพาะ

บทที่ 2: การดำเนินการเพื่อรักษาความมั่นคงปลอดภัยของข้อมูลส่วนบุคคล

การรักษาไว้ซึ่งความลับ ความถูกต้องครบถ้วน และสภาพพร้อมใช้งาน
การระบุความเสี่ยงที่อาจเกิดขึ้น
การกำหนดมาตรการป้องกันความเสี่ยงที่อาจเกิดขึ้น
การตรวจสอบและเฝ้าระวังภัยคุกคามและเหตุการละเมิดข้อมูลส่วนบุคคล
การเผชิญเหตุเมื่อมีการตรวจพบภัยคุกคามและเหตุการละเมิดข้อมูลส่วนบุคคล
การรักษาและฟื้นฟูความเสียหายที่เกิดจากภัยคุกคามหรือเหตุการละเมิดข้อมูลส่วนบุคคล
การทบทวนมาตรการรักษาความมั่นคงปลอดภัย

Page 61
Copyright © 2024 TWX Consulting Co., Ltd., Stovby Conferences

5. (ร่าง) คู่มือ/แนวปฏิบัติ เรื่อง มาตรการรักษาความมั่นคงปลอดภัยและการแจ้งเหตุการละเมิดข้อมูลส่วนบุคคล

บทที่ 3: มาตรการทางเทคนิค (Technical Measures)

การควบคุมการเข้าถึงข้อมูลส่วนบุคคล (เช่น การพิสูจน์ยืนยันตัวตน การเข้ารหัสข้อมูล)
การบันทึกประวัติการเข้าถึงข้อมูล และการตรวจสอบย้อนหลังเกี่ยวกับการเข้าถึง เปลี่ยนแปลง หรือลบข้อมูลส่วนบุคคล
การรักษาความมั่นคงปลอดภัยของระบบ (เช่น Firewall, Data Loss Prevention)
การจัดการช่องโหว่และอัปเดตระบบ (เช่น การทดสอบเจาะระบบ)
มาตรการลดการระบุตัวตน (เช่น Anonymization, Pseudonymization, Data Masking)
การลบทำลายข้อมูลส่วนบุคคลในรูปแบบดิจิทัล

5. (ร่าง) คู่มือ/แนวปฏิบัติ เรื่อง มาตรการรักษาความมั่นคงปลอดภัยและการแจ้งเหตุการละเมิดข้อมูลส่วนบุคคล

บทที่ 4: มาตรการทางบริหารจัดการ (Administrative Measures)

การกำหนดนโยบายและระเบียบปฏิบัติขององค์กร (เช่น Access Control Policy, Remote Working & BYOD Policy)
บทบาทหน้าที่ของผู้ที่เกี่ยวข้องในการดูแลความมั่นคงปลอดภัยของข้อมูลส่วนบุคคล
การประเมินและจัดการความเสี่ยงด้านความมั่นคงปลอดภัยของข้อมูลส่วนบุคคล
การบริหารจัดการการเข้าถึงข้อมูลส่วนบุคคล (เช่น การอนุญาตหรือกำหนดสิทธิในการเข้าถึง การลงทะเบียนและการถอนสิทธิผู้ใช้งาน การจัดการสิทธิการเข้าถึงของผู้ใช้งาน การทบทวนสิทธิการเข้าถึงของผู้ใช้งาน)
การฝึกอบรมและสร้างความตระหนักรู้

บทที่ 5: มาตรการทางกายภาพ (Physical Measures)

การควบคุมการเข้าถึงพื้นที่กายภาพ (เช่น การสแกนบัตรพนักงาน การบันทึกการเข้าออก กล้องวงจรปิด)
การรักษาความปลอดภัยของอุปกรณ์และเอกสารบันทึกข้อมูลส่วนบุคคล (เช่น การล็อคตู้เก็บเอกสาร)
การป้องกันภัยคุกคามจากสิ่งแวดล้อม (เช่น ระบบป้องกันอัคคีภัย)
การจัดการเอกสารที่เกี่ยวข้องกับข้อมูลส่วนบุคคล
การทำลายข้อมูลเอกสาร

Page 62

5. (ร่าง) คู่มือ/แนวปฏิบัติ เรื่อง มาตรการรักษาความมั่นคงปลอดภัยและการแจ้งเหตุการละเมิดข้อมูลส่วนบุคคล

บทที่ 6: การประเมินผลกระทบด้านการคุ้มครองข้อมูลส่วนบุคคล (Data Protection Impact Assessment: DPIA)

การพิจารณาว่าต้องทำ DPIA หรือไม่
การกำแพงที่ข้อมูล
การพิจารณาความจำเป็นและทางเลือก
การระบุและประเมินความเสี่ยง
การจัดทำมาตรการบรรเทาความเสี่ยง
การพิจารณาความเสี่ยงที่เหลืออยู่

บทที่ 7: การบริหารความเสี่ยงจากบุคคลภายนอก

การเข้าถึงข้อมูลส่วนบุคคลจากบุคคลภายนอก
การโอนข้อมูลส่วนบุคคลไปยังบุคคลภายนอก (การโอนข้อมูลไปยังผู้ประมวลผลข้อมูล / ผู้ควบคุมข้อมูล)
การบริหารจัดการบุคคลภายนอก (เช่น การกำหนดให้ผู้ประมวลผลจัดให้มีมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสม)
การติดตามความเสี่ยงจากบุคคลภายนอก

Page 63

Page 64

5. (ร่าง) คู่มือ/แนวปฏิบัติ เรื่อง มาตรการรักษาความมั่นคงปลอดภัยและการแจ้งเหตุการละเมิดข้อมูลส่วนบุคคล

บทที่ 8: การละเมิดข้อมูลส่วนบุคคล

ความหมายและขอบเขตของการละเมิดข้อมูลส่วนบุคคล (การละเมิดความลับ ความถูกต้อง และความพร้อมใช้งาน)
การประเมินเหตุการละเมิดข้อมูลส่วนบุคคล (เช่น พิจารณาความน่าเชื่อถือของข้อมูล ตรวจสอบข้อเท็จจริง)
การประเมินความเสี่ยงสำหรับการละเมิดข้อมูลส่วนบุคคล (เช่น พิจารณาลักษณะและประเภทของการละเมิด ลักษณะและประเภทของข้อมูล ปริมาณข้อมูลที่เกี่ยวข้อง สถานะของเจ้าของข้อมูล ความร้ายแรงของผลกระทบ)
ตัวอย่าง: เหตุการละเมิดข้อมูลส่วนบุคคลที่ไม่ต้องแจ้งต่อ สคส.
ตัวอย่าง: เหตุการละเมิดข้อมูลส่วนบุคคลที่ต้องแจ้งต่อ สคส. (มีความเสี่ยงที่จะกระทบต่อสิทธิและเสรีภาพของเจ้าของข้อมูล)
ตัวอย่าง: เหตุการละเมิดข้อมูลส่วนบุคคลที่ต้องแจ้งต่อ สคส. และเจ้าของข้อมูลส่วนบุคคล (มีความเสี่ยงสูงที่จะกระทบต่อสิทธิและเสรีภาพของเจ้าของข้อมูล)

5. (ร่าง) คู่มือ/แนวปฏิบัติ เรื่อง มาตรการรักษาความมั่นคงปลอดภัยและการแจ้งเหตุการละเมิดข้อมูลส่วนบุคคล

บทที่ 9: การจัดการเหตุการละเมิดข้อมูลส่วนบุคคล

แผนการตอบสนองต่อเหตุการณ์
ทีมตอบสนองต่อเหตุการณ์
กระบวนการตอบสนองต่อเหตุการณ์
เนื้อหาที่ต้องแจ้ง (เช่น ข้อมูลที่สามารถระบุลักษณะและประเภทของการละเมิด ผลกระทบที่อาจเกิดขึ้น มาตรการแก้ไข / เยียวยาความเสียหาย)
กรอบระยะเวลาในการแจ้ง (แจ้ง สดส. ภายใน 72 ชม. / แจ้งเจ้าของข้อมูลโดยไม่ชักช้า)
ช่องทางในการแจ้ง (เช่น แจ้งทางเอกสาร แจ้งทางอิเล็กทรอนิกส์ แจ้งเป็นกลุ่มผ่านสื่อสังคมออนไลน์)
การบันทึกการละเมิดข้อมูลส่วนบุคคล

บทที่ 10 FAQ

คู่มือ/แนวปฏิบัติ เรื่อง เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล (Data Protection Officers: DPO)

Page 66
Copyright © 2025 TIME Consulting Co., Ltd., Strictly Confidential

Page 67

1. บทนำ

ข้อกำหนดที่เกี่ยวข้องของ PDPA ของประเทศไทย

DC หรือ DP ที่ต้องจัดให้มี DPO (ม.41)
หน้าที่ของ DPO (ม.42)
ให้คำแนะนำ DC หรือ DP รวมทั้งลูกจ้างหรือผู้รับจ้างเกี่ยวกับการปฏิบัติตาม PDPA
ตรวจสอบการดำเนินงานของ DC หรือ DP รวมทั้งลูกจ้างหรือผู้รับจ้างเพื่อให้เป็นไปตาม PDPA
ประสานงานและให้ความร่วมมือกับ สคส. รวมทั้งลูกจ้างหรือผู้รับจ้างในการการปฏิบัติตาม PDPA
รักษาความลับที่ตนล่วงรู้หรือได้มาจากการปฏิบัติตาม PDPA
หน้าที่ของ DC หรือ DP ในการสนับสนุนการปฏิบัติงานของ DPO (ม. 42 ว. 2, 3)

อุปสรรคและความท้าทาย

ขาดแนวทางเรื่องการปฏิบัติหน้าที่อื่นของ DPO ที่ต้องไม่ขัดแย้งต่อการปฏิบัติหน้าที่ตาม PDPA (Conflict of interest)
ขาดแนวทางเรื่องคุณสมบัติ และ career path ของ DPO
ขาดแนวทางเรื่องการกำหนดรายละเอียดของการสนับสนุนที่ DC หรือ DP ต้องมีต่อ DPO

Page 68
Copyright © 2024 TAKI Consulting Co., Ltd., Strictly Confidential

2. การศึกษากฎเกณฑ์ แนวทาง แนวปฏิบัติ คำแนะนำ และคำอธิบาย เกี่ยวกับเรื่อง เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล (Data Protection Officers: DPO)

	สหภาพยุโรป	ประเทศสิงคโปร์	ประเทศญี่ปุ่น	สหราชอาณาจักร
กฎเกณฑ์	Regulation (EU) 2016/679 (GDPR) ➤ Article 37 (Designation of the DPO) ➤ Article 38 (Position of the DPO) ➤ Article 39 (Tasks of DPO)	PDPA ➤ Article 11 (Compliance with the Act)	APPI ➤ Organizational Security Control Measures (Responsible person)	UK GDPR ➤ Article 37 (Designation of the DPO) ➤ Article 38 (Position of the DPO) ➤ Article 39 (Tasks of DPO)
แนวทางและ แนวปฏิบัติ	➤ Guidelines on Data Protection Officers ('DPOs') - WP 243 rev.01 (revised 2017)	➤ Advisory Guidelines on Key Concepts in the PDPA (pp.151-153) ➤ DPO Competency Framework and Training Roadmap	➤ General guidelines on the APPI	➤ Guide to accountability and governance (data protection officers)
คำแนะนำและ คำอธิบาย	➤ Guidelines มีการอธิบายข้อกฎหมายพร้อมกับตัวอย่าง	➤ Guidelines มีการอธิบายข้อกฎหมายพร้อมกับตัวอย่าง	➤ Guidelines เป็นการอธิบายข้อกฎหมาย	➤ Guidelines มีการอธิบายข้อกฎหมายพร้อมกับตัวอย่างและมี Checklists

3. ตัวอย่างกรณีศึกษา หรือ แนวปฏิบัติที่ทำให้หน่วยงานสามารถปฏิบัติตามเรื่อง เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล (Data Protection Officers: DPO)

The Shift to Accountability : ทิศทางของ DPO ในเวทีโลก

Page 70

3. ตัวอย่างกรณีศึกษา หรือ แนวปฏิบัติที่ทำให้หน่วยงานสามารถปฏิบัติตามเรื่อง เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล (Data Protection Officers: DPO)

The Master Matrix: โครงสร้างและข้อกำหนดเบื้องต้น

ชื่อเรียกตำแหน่ง (Terminology)	EU/UK	Singapore (SG)	Japan (JP)
	Data Protection officer (DPO)	Data Protection officer (DPO)	บุคคลผู้รับผิดชอบ (Responsible person)
ข้อบังคับแต่งตั้ง (mandate)	บังคับเฉพาะบางเงื่อนไข (ตาม Article 37)	บังคับทุกองค์กรธุรกิจ	แนะนำ/บังคับทางอ้อมผ่าน security Guideline และการ แชร์ข้อมูล (Joint Use)
ความรับผิดชอบทางกฎหมาย (Liability)	DPO ไม่ต้องรับผิดชอบเป็นการส่วนตัวจากการปฏิบัติหน้าที่
รูปแบบการทำงาน (Format)	รองรับพนักงานประจำในองค์กร การจ้างหน่วยงานภายนอก (Outsource), หรือการแชร์ ตำแหน่งระหว่างบริษัทในเครือ

3. ตัวอย่างกรณีศึกษา หรือ แนวปฏิบัติที่ทำให้หน่วยงานสามารถปฏิบัติตามเรื่อง เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล (Data Protection Officers: DPO)

The independence shield การรับประกันความเป็นอิสระ (EU & UK GDPR) กฎหมาย 4 ข้อ ที่องค์กรต้องปฏิบัติตาม เพื่อให้ DPO ทำงานได้อย่างอิสระ

Direct Reporting
ต้องรายงานตรงต่อผู้บริหารระดับสูงสุด (Highest management level) เพื่อให้ข้อเสนอแนะถูกรับฟัง

Page 71

Page 72
Copyright © 2024 TWG Consulting Co., Ltd., Stovby, Conferences

3. ตัวอย่างกรณีศึกษา หรือ แนวปฏิบัติที่ทำให้หน่วยงานสามารถปฏิบัติตามเรื่อง เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล (Data Protection Officers: DPO)

The 9 core competencies ทักษะที่ DPO ต้องมี

Core Data Protection

Data Protection Management
Business risk Management
Cyber & Breach incident Management

Options & Auditing

Stakeholder Management
Audit & Compliance

Data Innovation (จุดเด่นของสิงคโปร์)

Data governance
Data Ethics
Data sharing
Design thinking practice

Beyond Data Protection

DPO ที่สมบูรณ์แบบจำเป็นต้องมีทักษะการบริหารคน (HR) และการบริหารองค์กร (Org Management) ควบคู่ไปด้วย

3. ตัวอย่างกรณีศึกษา หรือ แนวปฏิบัติที่ทำให้หน่วยงานสามารถปฏิบัติตาม เรื่องเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล (Data Protection Officers: DPO)

The SG Training Roadmap จากฝ่ายจับผิด สู่ฝ่ายสร้างมูลค่า (Value generator)

Track 2
Data Innovation-related (สำหรับ Regional DPO)

Al&Ethics
กรอบการทำงานด้าน
Data Ethics และ AI Governance

Data Sharing
การนำนโยบายแชร์
ข้อมูลมาใช้เพื่อสร้าง
มูลค่าทางธุรกิจ

Track 1
Data Protection-related (ฐานราคความปลอดภัย)

Executive
พื้นฐาน PDPA การ
ระบุความเสี่ยง
เทคนิคการ Audit

DPO
การสร้าง DPMP
ประกาศนียบัตรระดับสากล
(CIPM, CIPP/E, CIPP/A)

DPO 1900 1976

Insight โครงสร้างของสิงคโปร์เป็นผู้นำในการผลักดันให้ DPO
ก้าวข้ามขอบเขตของการเป็นแค่คนกุมกฎ ไปสู่การเป็นสถาปนิกด้านข้อมูลขององค์กร
Page 73

Page 74

3. ตัวอย่างกรณีศึกษา หรือ แนวปฏิบัติที่ทำให้หน่วยงานสามารถปฏิบัติตามเรื่อง เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล (Data Protection Officers: DPO)

Resourcing the DPO การสนับสนุนที่องค์กรต้องมีให้

องค์กรจะปล่อย DPO ทำงานโดดเดี่ยวไม่ได้ (อ้างอิง : WP29 และ PDPA)

Activity Support (การสนับสนุนเชิงรุก) บอร์ดบริหารและ C-level ต้องสื่อสารการตั้ง DPO ให้ ทั้งองค์กรรับทราบและรับ ฟังข้อเสนอแนะอย่างจริงจัง	Sufficient Time (เวลาที่เพียงพอ) หากเป็น Part-time DPO ต้องกำหนดเปอร์เซ็นเวลา ทำงานให้ชัดเจนเพื่อไม่ให้ งานหลักกระทบงาน DPO	Infestructure&Budget (โครงสร้างและงบประมาณ) ต้องมีงบประมาณ ทีมงาน (หากเป็นองค์กรใหญ่) สิทธิ เข้าถึงข้อมูล และการ ฝึกอบรมอย่างต่อเนื่อง (Continuous training)	Early Involvement (การมีส่วนร่วมตั้งแต่ต้น) ต้องตั้ง DPO เข้ามามีส่วน ร่วมตั้งแต่เริ่มโปรเจค (Privacy by Design) ไม่ใช่ การเรียกมาเซ็นรับรองตอน จบ

pdpo
DPO 2004-10001

Page 75

(โครงร่าง) คู่มือ/แนวปฏิบัติ เรื่อง เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล (Data Protection Officers: DPO)

บทที่ 1 บทนำ

เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล (DPO) ถือเป็นหัวใจสำคัญของกรอบการทำงานตามหลักความรับผิดชอบ (Accountability) ภายในองค์กร
หน้าที่หลักของ DPO คือการตรวจสอบการปฏิบัติตามกฎหมายภายในองค์กร การให้คำแนะนำ และการเป็นจุดติดต่อสำหรับเจ้าของข้อมูลและหน่วยงานกำกับดูแล
DPO จะต้องปฏิบัติหน้าที่ด้วยความเป็นอิสระ มีความเชี่ยวชาญด้านกฎหมายคุ้มครองข้อมูลส่วนบุคคล ได้รับการสนับสนุนทรัพยากรอย่างเพียงพอ และสามารถรายงานตรงต่อผู้บริหารระดับสูงสุดได้
DPO ไม่ต้องรับผิดชอบเป็นการส่วนตัวหากองค์กรไม่ปฏิบัติตามกฎหมาย เพราะความรับผิดชอบยังคงเป็นของผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคล
องค์กรสามารถแต่งตั้งพนักงานที่มีอยู่แล้วเป็น DPO (Internal) หรือใช้บริการจากผู้เชี่ยวชาญภายนอก (External contract) ก็ได้

doc

Page 76

(โครงร่าง) คู่มือ/แนวปฏิบัติ เรื่อง เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล (Data Protection Officers: DPO)

บทที่ 2 รายการตรวจสอบสำหรับองค์กร (Checklists)

การแต่งตั้ง DPO (Appointing a DPO):
องค์กรของเราได้ประเมินแล้วว่าเข้าเงื่อนไขที่กฎหมายบังคับให้ต้องแต่งตั้ง DPO หรือไม่
แต่งตั้ง DPO โดยพิจารณาจากคุณวุฒิวิชาชีพ ความรู้ความเชี่ยวชาญด้านกฎหมาย และแนวปฏิบัติด้านการคุ้มครองข้อมูลส่วนบุคคล
สถานะและการสนับสนุน DPO (Position of the DPO):
รายงานตรงต่อผู้บริหารระดับสูงสุด และได้รับความเป็นอิสระในการทำงาน
มีส่วนร่วมอย่างเหมาะสมและทันท่วงทีในทุกประเด็นที่เกี่ยวข้องกับการคุ้มครองข้อมูลส่วนบุคคล
ได้รับการสนับสนุนทรัพยากรที่จำเป็นอย่างเพียงพอ (เช่น เวลา งบประมาณ เครื่องมือ และทีมงาน)
ไม่มีนโยบายลงโทษหรือเลิกจ้าง DPO อันเนื่องมาจากการปฏิบัติหน้าที่
ตรวจสอบแล้วว่าหน้าที่หรือตำแหน่งอื่นๆ ที่ DPO ได้รับมอบหมาย ไม่ก่อให้เกิดความขัดแย้งทางผลประโยชน์ (Conflict of interests) กับบทบาท DPO
ความสามารถในการติดต่อ (Accessibility of the DPO):
พนักงาน เจ้าของข้อมูล และสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (สคส.) สามารถติดต่อ DPO ได้โดยง่าย

DPO 24144610984

Page 77

(โครงร่าง) คู่มือ/แนวปฏิบัติ เรื่อง เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล (Data Protection Officers: DPO)

บทที่ 3 เรื่องไซเบิลและหลักเกณฑ์การแต่งตั้ง

หน่วยงานใดบ้างต้องมี DPO:
การแต่งตั้ง DPO ร่วม (Single DPO):
เครือบริษัท (Group of undertakings) หรือหน่วยงานของรัฐหลายแห่ง สามารถแต่งตั้ง DPO ร่วมกันได้ โดยมีเงื่อนไขว่า DPO ต้องสามารถเข้าถึงได้โดยง่ายจากทุกสาขาหรือทุกหน่วยงาน
คุณสมบัติและทักษะ:
ระดับความเชี่ยวชาญของ DPO ต้องสอดคล้องและสมน้ำสมเนื้อกับความซับซ้อน ปริมาณ และความอ่อนไหวของข้อมูลที่องค์กรประมวลผลอยู่ พนักงาน เจ้าของข้อมูลส่วนบุคคล และสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (สคส.) สามารถติดต่อ DPO ได้โดยง่าย

doc

Page 78

(โครงร่าง) คู่มือ/แนวปฏิบัติ เรื่อง เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล
(Data Protection Officers: DPO)

บทที่ 4 บทบาท หน้าที่ และสถานะของ DPO

หน้าที่ความรับผิดชอบตามกฎหมาย (Tasks of the DPO)
แนวทางประเมินความเสี่ยง (Risk-based approach)
ความเป็นอิสระและข้อห้าม (Independence)
ความขัดแย้งทางผลประโยชน์ (Conflict of interests)
การรักษาความลับ

บทที่ 5 FAQ

edpc
European Business Forms

QR Code

แสตงกราม
คิดเห็นเพิ่มเติม

pdpc

Page 79

หารือและแลกเปลี่ยนข้อมูลความคิดเห็น

Page 80
Copyright © 2025 TIME Consulting Co., Ltd., Strictly Confidential

คู่มือ/แนวปฏิบัติ เรื่อง การเก็บรวบรวม ใช้ หรือ เปิดเผยข้อมูลส่วนบุคคล เพื่อวัตถุประสงค์เกี่ยวกับการตลาดและการตลาดแบบตรง

Page 81
Copyright © 2025 TIME Consulting Co., Ltd., Strictly Confidential

Page 82

บทนำ

คำนิยามของการตลาด (Marketing)

กิจกรรมที่องค์กรดำเนินการเพื่อส่งเสริมการขายสินค้า บริการ สิทธิประโยชน์ หรือภาพลักษณ์ขององค์กร โดยอาศัยการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล ไม่ว่าในรูปแบบออนไลน์หรือออฟไลน์

ตัวอย่างกิจกรรมการตลาด

ส่งอีเมลประชาสัมพันธ์สินค้าและบริการ
SMS / Push notification เสนอโปรโมชั่น
โฆษณาเฉพาะบุคคล (Targeted Advertising)
วิเคราะห์พฤติกรรมผู้ใช้ (Profiling)
การใช้ Cookies และ Tracking Technologies

edpc
2006 - 2010

ความหมายของการตลาดแบบจรจร (Direct Marketing) อ้างอิง: ICO Direct Marketing Guidance

ICO ให้คำนิยาม:

การสื่อสารในรูปแบบใดก็ตามที่มุ่งตรงไปยังบุคคลเฉพาะเจาะจง เพื่อเสนอขาย เชิญชวน หรือประชาสัมพันธ์ สินค้า บริการ หรือแนวคิด ครอบคลุมทั้งภาคพาณิชย์ การระดมทุน การรณรงค์ทางการเมือง และการเผยแพร่อุดมการณ์

Email / SMS
ส่งตรงถึงกล่องข้อความ

โทรศัพท์
Telemarketing / Cold call

โปรษณีย์
Direct mail / แคตตาล็อก

แอปพลิเคชัน
Push notification

Messaging
WhatsApp / LINE / DM

Page 83

ภาพรวมฐานทางกฎหมายในกิจกรรมการตลาดและการตลาดแบบตรง

ฐานประโยชน์โดยชอบด้วยกฎหมาย (Legitimate Interests)

ใช้ได้กับลูกค้าปัจจุบัน / ความสัมพันธ์ที่มีอยู่
ต้องผ่าน Balancing Test (LIA)
เจ้าของข้อมูลมีสิทธิคัดค้านได้ทันที (Right to Object)

จำเป็นสำหรับลูกค้าใหม่ / e-marketing / Cookies
ต้องเป็น Freely Given + Specific + Informed + Unambiguous
สามารถก่อนความยินยอมได้ตลอดเวลา

GDPR มาตรา 21(2): เจ้าของข้อมูลส่วนบุคคลมีสิทธิคัดค้านการตลาดทางตรงได้ทุกเมื่อ โดยไม่ต้องให้เหตุผล — สิทธิเด็ดขาด ไม่มีข้อยกเว้น

ขอบเขตที่ครอบคลุม:

Cookies & Tracking	Targeted Advertising	Profiling & AI	E-marketing	Direct Mail	Social Media

การศึกษากฎเกณฑ์ แนวทาง แนวปฏิบัติ คำแนะนำ และคำอธิบาย เกี่ยวกับเรื่อง การเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลเพื่อวัตถุประสงค์เกี่ยวกับการตลาดและการตลาดแบบตรง

	สหภาพยุโรป	ประเทศสิงคโปร์	ประเทศญี่ปุ่น	สหราชอาณาจักร
กฎเกณฑ์	- ePrivacy Directive - Digital Service Act		- Act on the Protection of Personal Information (APPI) - Act on Regulation of Transmission of Specified Electronic Mail - Act on Specified Commercial Transactions	- Privacy and Electronic Communications Regulations - PECR) PECR
แนวทางและแนวปฏิบัติ	- Guidelines 1/2024 on processing of personal data protection based on Article 6(1)(f) - Targeting of Social media providers - EDPB Guidelines 2/2013 (WP direct marketing legacy from WP29) — Direct Marketing under Legitimate Interests	Do Not Call Registry - DNC	- Guidelines on the Act on the Regulation of Transmission of Specified Electronic Mail	- Direct Marketing and Online Tracking Guidance - Direct marketing and the public sector
คำแนะนำและคำอธิบาย				- Explaining Decisions Made with AI

Page 86

สหภาพยุโรป: กฎเกณฑ์และแนวปฏิบัติหลัก

GDPR · ePrivacy Directive · EDPB Guidelines

GDPR มาตรา 6(1)(ฉ) Legitimate Interests — ใช้ได้กับการตลาดทางตรง แต่ต้องผ่าน Balancing Test และเปิดสิทธิคัดค้าน	GDPR มาตรา 21(2) Right to Object — เด็ดขาด ไม่มีข้อยกเว้น องค์กรต้องหยุดการส่งสาร Direct Marketing ทันที
ePrivacy Directive / PECR การส่ง e-marketing และการใช้ cookies ต้องได้รับความยินยอมล่วงหน้า (Prior Consent) ทุกกรณี	EDPB Guidelines 1/2024 ประเมิน Legitimate Interests Assessment (LIA) แบบ 3 ขั้น: Purpose Test → Necessity Test → Balancing Test
EDPB Guidelines 8/2020 Social Media Targeting: ผู้ลงโฆษณาและแพลตฟอร์มเป็น Joint Controllers ต้องมีข้อตกลงตาม GDPR Art.26	EDPB Rec. 2/2013 (WP29) Direct Marketing ภายใต้ Legitimate Interests: จำกัด เฉพาะผลิตภัณฑ์/บริการที่เกี่ยวข้องกับสิ่งที่ลูกค้าซื้อแล้วเท่านั้น

edpc
European Business

Page 87

สหภาพยุโรป: Cookies, Profiling และ Targeted Advertising

EDPB Guidelines 8/2020 · EDPB WP 203 · GDPR Art.22

Cookies & Online Tracking

ต้องได้รับ Prior Consent ที่ชัดแจ้งก่อนติดตั้ง cookies
ห้ามใช้ pre-ticked boxes หรือ cookie walls
ผู้ใช้ต้องสามารถ withdraw consent ได้ง่าย

การตัดสินใจอัตโนมัติที่มีผลกระทบสำคัญต้องแจ้ง
เจ้าของข้อมูล
ต้องมีสิทธิขอให้มีการตรวจสอบโดยมนุษย์ (Human Review)
ต้อง DPIA เมื่อมีความเสี่ยงสูง

การ 'target' ผู้ใช้โดยใช้ cookies, pixel หรือการวิเคราะห์พฤติกรรม = การประมวลผลข้อมูลส่วนบุคคล
ทั้งนักการตลาดและแพลตฟอร์มเป็น Joint Controllers ต้องมีข้อตกลงตาม Art.26
ต้องมี Lawful Basis ที่เหมาะสม + แจ้งสิทธิ Right to Object อย่างโปร่งใส

✓ ต้องบันทึก LIA (Legitimate Interests Assessment) เป็นลายลักษณ์อักษรเพื่อแสดง Accountability — EDPB Guidelines 1/2024

edpc
2020

สหภาพยุโรป

สาระสำคัญ

Recital 47 ระบุว่า direct marketing “อาจ” เป็น legitimate interests ได้ แต่EDPB 1/2024 ย้ำว่าไม่ใช่สิทธิอัตโนมัติ ต้องผ่าน 3-part test และดู reasonable expectations

email / SMS / MMS และการใช้ cookies หรือ tracking เพื่อการตลาด มักต้องขอ prior consent ภายใต้ ePrivacy

กำหนดสิทธิคัดค้าน Direct Marketing ไว้อย่างเด็ดขาด (Art.21(2)) โดยให้สิทธิคัดค้าน direct marketing ได้ตลอดเวลา และเมื่อคัดค้านต้องหยุดประมวลผลเพื่อวัตถุประสงค์นี้

ระบบ Joint Controller สำหรับ Social Media Targeting ชัดเจน

ข้อสรุปเชิงปฏิบัติ

กรณี intrusive marketing เช่น cookies, cross-site tracking หรือ targeted ads มักต้องพึ่ง consent

ต้องเตรียม notice และช่องทาง objection/opt-out ที่ใช้งานได้จริง

ข้อกำหนด DPIA สำหรับ AI/Profiling ที่มีความเสี่ยงสูง

เด็กได้รับความคุ้มครองพิเศษ และการ profiling เพื่อการตลาดกับเด็กมีความเสี่ยงสูงมาก

edpc
Page 88

Page 89

สาราชอาณาจักร: กฎเกณฑ์และแนวปฏิบัติ ICO

UK GDPR · PECR · ICO Direct Marketing Guidance · Data (Use & Access) Act 2025

UK GDPR มาตรา 6(1)(ฉ) Legitimate Interests ใช้ได้กับ Direct Marketing กับลูกค้าปัจจุบัน แต่ต้องผ่าน LIA และ Soft Opt-in	PECR (Privacy & Electronic Communications Regs) E-marketing ต้องได้รับ Consent ก่อน ยกเว้น Soft Opt-in สำหรับลูกค้าปัจจุบันในสินค้าที่เกี่ยวข้อง
Data (Use & Access) Act 2025 (DUAA) อัปเดตล่าสุด: วิธีการขอ Consent ในการกำจังัยและ Legitimate Interests Assessment ที่ทันสมัยขึ้น	ICO Direct Marketing Guidance แนวปฏิบัติละเอียด: Online Tracking, B2B Marketing, Charities, Political Parties, และ Automated Calls
ICO Interactive Tool เครื่องมือออนไลน์ช่วยองค์กรตรวจสอบว่าใช้ Lawful Basis ถูกต้องหรือไม่ — ตัวอย่างที่น่าน้ำมาประยุกต์ใช้	ICO Direct Marketing & Public Sector แนวปฏิบัติเฉพาะสำหรับหน่วยงานรัฐ การระดมทุน องค์กรไม่แสวงผลกำไร และพรรคการเมือง

edpc

Page 90

สหราชอาณาจักร:

ICO

ฐานที่พบบ่อยที่สุดคือ consent และ legitimate interests
ต้องกำหนด lawful basis ตั้งแต่ก่อนเริ่ม campaign
หาก PECR กำหนดให้ต้องมี consent ก็ไม่ควรย้อนกลับไปอ้าง legitimate interests ภายหลัง

ผลต่อช่องทางสื่อสาร

อีเมล/ข้อความ: มักต้องดู PECR ก่อน โดยทั่วไปต้องมี consent หรือเข้าเงื่อนไข soft opt-in
ไปรษณีย์: มักยืดหยุ่นกว่า แต่ถ้าใช้ข้อมูลระบุตัวบุคคลยังต้องมี lawful basis
cookies/technologies: PECR มักผลักให้ consent เป็นจุดตั้งต้น

ข้อปฏิบัติที่ควรซ้ำ

บันทึกฐานกฎหมายและเหตุผลให้สอดคล้องกับแต่ละช่องทาง
ทำ unsubscribe/opt-out ให้เด่นและง่าย
วางแผนตั้งแต่ต้นเพื่อให้ GDPR และ PECR ไปด้วยกัน ไม่ใช่แก้ภายหลัง

edpc

Page 91

สหราชอาณาจักร: Soft Opt-in และ Online Tracking Guidance

PECR · ICO Online Tracking Guidance

หลัก Soft Opt-in (PECR)

เจื่อนไขครบ 4 ข้อ:

ได้รับข้อมูลติดต่อขณะซื้อสินค้า/บริการ
ส่งเฉพาะสินค้า/บริการที่คล้ายกัน
ให้โอกาส Opt-out ชัดเจนตั้งแต่แรก
เปิดโอกาส Opt-out ในทุกข้อความ

(ไม่ใช้กับ B2B Individual Subscribers ทุกราย)

Online Tracking Guidance (ICO 2023)

Cookies & Tracking Technologies:

ต้องมี Consent สำหรับ Non-Essential Cookies
ห้าม Cookie Walls และ Pre-ticked Boxes
Legitimate Interests ใช้ไม่ได้กับ Tracking

Fingerprinting:

ICO ถือว่าเป็นการ Tracking ประเภทหนึ่ง
ต้องมี Consent เช่นเดียวกับ Cookies

> ICO Guidance 'Explaining Decisions Made with AI': หากใช้ AI ในการ Profiling เพื่อการตลาด ต้องสามารถอธิบายเหตุผลการตัดสินใจให้เจ้าของข้อมูลทราบได้ และต้องมีสิทธิขอ Human Review

edpc

สิ่งคโปร์: กฎเกณฑ์และแนวปฏิบัติ PDPC

PDPA (Singapore) · Do Not Call Registry · PDPC Advisory Guidelines

PDPA มาตรา 13 — Consent Obligation
หลักการ: ต้องได้รับความยินยอมก่อนเก็บ ใช้ หรือเปิดเผยข้อมูล เพื่อวัตถุประสงค์ทางการตลาด

PDPA มาตรา 17 — Business Contact Info
ข้อยกเว้น: ข้อมูลติดต่อทางธุรกิจ (ชื่อ ตำแหน่ง บริษัท เบอร์โทรงาน) ไม่ต้องขอ Consent สำหรับ B2B

Do Not Call (DNC) Registry
ผู้บริโภคสามารถลงทะเบียนปฏิเสธ Telemarketing / SMS / Fax Marketing ได้ องค์กรต้องตรวจ DNC ก่อนส่ง

Deemed Consent (มาตรา 15A)
Deemed Consent by Notification: แจ้งวัตถุประสงค์ล่วงหน้าและให้โอกาส Opt-out — ไม่ต้องขอ Consent โดยตรง

PDPC Advisory Guidelines on Key Concepts
อธิบายวิธีการขอ Consent อย่างถูกต้อง พร้อมตัวอย่างในบริบทการตลาด ทั้งออนไลน์และออฟไลน์

PDPC Guidelines: Photography & Recording
การใช้ภาพหรือวิดีโอของบุคคลในสื่อการตลาดต้องได้รับ Consent เฉพาะกรณีจากเจ้าของข้อมูล

PDPC
Page 92

สิ่งคโปร์ PDPA : เน้น consent + กฎ Do Not Call (DNC)

โครงสร้างกฎหมาย

PDPA มีกรอบ consent/notification ทั่วไป และมีกฎเฉพาะเรื่อง DNC สำหรับ telemarketing
Specified message ครอบคลุมการเสนอขาย โฆษณา หรือส่งเสริมสินค้า/ บริการ/ผลประโยชน์บาง ประเภท
การส่งข้อความการตลาดไปยัง Singapore telephone number ต้องดู DNC Register หรือมี clear and unambiguous consent

ข้อจำกัดสำคัญ

PDPC ระบุว่า legitimate interests exception ใช้ส่ง direct marketing ไม่ได้
business improvement exception ก็ใช้ส่ง direct marketing ไม่ได้เช่นกัน
การขอ consent เพื่อการตลาดต้องแยกให้ชัด ไม่ผูกเกินจำเป็นกับบริการหลัก

ข้อสรุปเชิงนโยบาย

สิ่งคโปร์อยู่ผ่านที่ค่อนข้างเคร่ง สำหรับ direct marketing ผ่านโทรศัพท์/SMS
องค์กรควรบันทึก consent, หลักฐานการตรวจ DNC และกระบวนการ opt-out ให้ชัดเจน
หากเป็นการพัฒนาธุรกิจหรือ analytics ยังอาจมีข้อยกเว้นอื่น แต่ไม่ควรนำมาใช้แทน consent สำหรับ direct marketing

Page 93

สิ่งคโปร์: DNC Registry และ Deemed Consenta

PDPA Part IXA · PDPC FAQ

Do Not Call (DNC) Registry

ครอบคลุม 3 ทะเบียน:

No Voice Call Registry
No Text Message Registry
No Fax Registry

องค์กรต้อง Check DNC ก่อนส่งทุกครั้ง
ยกเว้น: เคยมีความสัมพันธ์ทางธุรกิจภายใน 12 เดือน
และมี Opt-out ชัดเจนในทุกข้อความ

เงื่อนไข Deemed Consent:

แจ้งวัตถุประสงค์อย่างชัดแจ้ง
เปิดช่องทาง Opt-out ที่ชัดเจน
วัตถุประสงค์ต้องสมเหตุสมผล
นิยมใช้ในบริบท:

ระบบ Loyalty Program
B2B Direct Marketing
Event-based Marketing

จุดเด่นเฉพาะของสิ่งคโปร์:

DNC Registry เป็นระบบที่ใช้งานได้จริงและมีบทลงโทษชัดเจน | B2B Marketing มีข้อยกเว้นกว้างกว่า EU/UK | Deemed Consent ยึดหยุ่นสำหรับธุรกิจ

Page 94

Page 95

ญี่ปุ่น: กฎเกณฑ์และแนวปฏิบัติหลัก

APPI · Act on Specified Electronic Mail (Opt-in Law) · Act on Specified Commercial Transactions

APPI มาตรา 17–19: Purpose of Use ต้องกำหนดวัตถุประสงค์ให้ชัดเจนก่อนเก็บข้อมูล ห้ามใช้เกินขอบเขตที่แจ้ง (Purpose Limitation)	APPI มาตรา 27: Third-Party Transfer ห้ามส่งข้อมูลให้บุคคลที่สามโดยไม่ได้รับ Consent ยกเว้น Opt-out Notification ที่แจ้งต่อ PPC
Act on Specified Electronic Mail (Opt-in) กฎหมายเฉพาะ: ห้ามส่ง Commercial Email โดยไม่ได้รับ Prior Consent (Opt-in) เด็ดขาด	Act on Specified Commercial Transactions ควบคุมการตลาดทางโทรศัพท์และไปรษณีย์: ต้องระบุตัวตนผู้ส่ง ห้าม Misleading Claims
PPC Guidelines on APPI (General Rules) แนวปฏิบัติอธิบายวิธีกำหนด Purpose of Use และการขอ Consent ในสถานการณ์ต่าง ๆ	Guidelines on Specified Electronic Mail อธิบายเงื่อนไข Opt-in, วิธีบันทึก Consent, ข้อยกเว้นสำหรับลูกค้าปัจจุบัน (ใน 1 ปี)

ญี่ปุ่น: Opt-in Email Law และ Third-Party Transfer

Act on Specified Electronic Mail · APPI Art.27

Opt-in สำหรับ E-mail Marketing

เข้มงวดที่สุดในกลุ่ม 4 ประเทศ:

ห้ามส่ง Commercial Email โดยไม่มี Prior Consent
ต้องบันทึก Consent ไว้เป็นหลักฐาน
ต้องระบุชื่อ-ที่อยู่ผู้ส่งชัดเจน
ต้องมีวิธี Unsubscribe ที่ชัดเจน

ยกเว้น: เคยซื้อสินค้าและ Consent ภายใน 1 ปี

Third-Party Transfer (APPI Art.27)

ต้องมี Consent ก่อนส่งข้อมูลให้บุคคลที่สาม

ทางเลือก: Opt-out System

แจ้งต่อ PPC (Personal Information Protection Commission)
แจ้งให้เจ้าของข้อมูลทราบ
เปิด Opt-out ตลอดเวลา

ญี่ปุ่นไม่ได้ใช้คำว่า “lawful basis” แบบ EU/UK แต่ใช้กรอบ purpose limitation + consent + third-party controls

ถ้าจะนำข้อมูลไปใช้เพื่อการตลาดเพิ่มจาก purpose เดิม ต้องตรวจสอบการแจ้ง purpose และการขอ consent ใหม่อย่างรอบคอบ

สำหรับ email ads ต้องผสาน APPI กับกฎหมายเฉพาะเรื่องอีเมลควบคู่กัน

Page 96

Page 97

(โครงร่าง) คู่มือ/แนวเรื่อง การเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลเพื่อวัตถุประสงค์เกี่ยวกับการตลาดและการตลาดแบบตรง

บทที่ 1 บทนำ
บทที่ 2 หลักกฎหมายและแนวคิดพื้นฐาน
บทที่ 3 ประเภทกิจกรรมการตลาดที่มีการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล
บทที่ 4 แนวปฏิบัติสำหรับองค์กร
บทที่ 5 กรณีศึกษา
คำถามที่พบบ่อย (FAQ)
ภาคผนวก

บทนำและหลักคิดพื้นฐาน

บทที่ 1 บทนำ
ที่มาและความสำคัญ
ความหมาย ขอบเขต ของการตลาดและการตลาดแบบตรง
วัตถุประสงค์ของคู่มือ
บทที่ 2 หลักกฎหมาย และแนวคิดพื้นฐาน
หลักคุ้มครองข้อมูลที่เกี่ยวกับงานการตลาด (เช่น purpose limitation, data minimization)
ฐานทางกฎหมายที่เกี่ยวข้อง (consent, legitimate interest ภาครัฐบางกรณีเกี่ยวกับ public task)
สิทธิของเจ้าของข้อมูลส่วนบุคคล (right to object, withdraw consent, access, erasure, not to be subjected or automated decision)

Page 98

บทที่ 3, 4: แนวปฏิบัติสำหรับองค์กร

บทที่ 3 ประเภทกิจกรรมการตลาดที่มีการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล
การตลาดแบบตรง (เช่น email, sms, โทรศัพท์)
การตลาดดิจิทัลและการติดตามออนไลน์ (เช่น cookies, targeted marketing)
Profiling, การใช้ AI ในการทำการตลาด
Social media targeting (platform add, banners)

บทที่ 4 แนวปฏิบัติสำหรับองค์กร

การออกแบบ privacy notice, consent form(freely given)
ช่องทางการถอน consent (opt-out)
การใช้ vendor platform และ data sharing
การใช้ฐานประโยชน์โดยชอบธรรม
การใช้ข้อมูลส่วนบุคคลจากแหล่งอื่น เช่น partner, third party
Targeted marketing เด็กและกลุ่มเปราะบาง

Page 99

Page 100

บทที่ 5 กรณีศึกษา
ธุรกิจค้าปลีก (เช่น sms โปรโมชั่น, การสมัครสมาชิกหน้าร้าน)
e-commerce (cookie, banner, custom audience)
ธุรกิจการเงิน/ประกันภัย (telemarketing, profiling ความสนใจ)
โรงพยาบาล/wellness (ส่งโปรโมชั่นตรวจสุขภาพ, ความเสี่ยงเกี่ยวกับข้อมูลอ่อนไหว)
ภาครัฐ/องค์กรไม่แสวงหากำไร (public campaign, การระดมทุน)
FAQ
เช่น
ทุกกิจกรรมการตลาดต้องขอ consent หรือไม่
ใช้ข้อมูลลูกค้าเดิมทำการตลาดได้หรือไม่
เมื่อไรใช้ legitimate interests ได้
balancing test ควรพิจารณาอะไร
การแชร์ข้อมูลกับ agency หรือ platform ทำให้องค์กรยังรับผิดอยู่หรือไม่
ซื้อ lead หรือใช้ข้อมูลจาก partner / data broker ได้ภายใต้เงื่อนไขใด
ภาคผนวก
ตัวอย่างข้อความ consent
ตัวอย่างข้อความ consent
LIA template สำหรับ direct marketing

คู่มือ/แนวปฏิบัติ เรื่อง การบันทึกรายการของผู้ควบคุมข้อมูลส่วนบุคคล และการจัดทำบันทึกรายการของกิจกรรมการประมวลผลข้อมูลส่วนบุคคลของผู้ประมวลผลข้อมูลส่วนบุคคล (Records of Processing Activities: ROPA)

pclpc

Page 101

Page 102
Copyright © 2025 TIME Consulting Co., Ltd., Stitchy Confidential

บทนำ

ROPA คืออะไร?

เอกสารที่ผู้ควบคุมข้อมูลส่วนบุคคล (DC) และผู้ประมวลผลข้อมูลส่วนบุคคล (DP) ต้องจัดทำเพื่อบันทึกรายละเอียดว่ามีการเก็บใช้ หรือเปิดเผยข้อมูลส่วนบุคคลอะไรบ้าง วัตถุประสงค์คืออะไร เก็บไว้ที่ไหน และนานแค่ไหน
เป็นเอกสารสำคัญที่องค์กรต้องจัดทำและรักษาไว้ เพื่อบันทึกว่าองค์กรประมวลผลข้อมูลส่วนบุคคลอย่างไร เพื่อวัตถุประสงค์ใด และมีมาตรการคุ้มครองอะไรบ้าง

เครื่องมือ Accountability	Checklist สำหรับ DC/DP	จัดการความเสี่ยง/รองรับการตรวจสอบ
แสดงให้เห็นว่าองค์กรปฏิบัติตามกฎหมายคุ้มครองข้อมูลส่วนบุคคลอย่างมีความรับผิดชอบ	ระบุและทบทวนว่ากิจกรรมใช้ข้อมูลส่วนบุคคล มีฐานกฎหมายรองรับ และใครเป็น DC/DP	-เมื่อเกิดเหตุละเมิด องค์กรสามารถตรวจสอบและจัดการตามกฎหมายได้ทันที - ระบุความเสี่ยงได้อย่างมีประสิทธิภาพ - รองรับการตรวจสอบจากหน่วยงานกำกับดูแล

ROPA : ความสำคัญ

ROPA ไม่ใช่แค่ “ตารางรายการข้อมูล” แต่เป็นระบบบันทึกที่ทำให้องค์กรตอบคำถามสำคัญได้ว่ากำลังประมวลผลข้อมูลอะไร เพื่ออะไร บนฐานใด และใครรับผิดชอบ

แสดงรายละเอียดการเก็บ ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล รวมถึงวัตถุประสงค์ สถานที่เก็บ และระยะเวลาเก็บรักษา
ใช้เป็น checklist ให้ controller และ processor ทบทวนฐานกฎหมาย แหล่งที่มา และบทบาทของตนในแต่ละกิจกรรม
ช่วยให้ตรวจสอบย้อนหลังได้เร็วขึ้นเมื่อเกิด incident หรือเมื่อหน่วยงานกำกับขอให้แสดงเอกสาร

ทำให้องค์กรทราบว่ามีการบริหารจัดการข้อมูลส่วนบุคคลอย่างไร

Page 103

รายการที่ผู้ควบคุมข้อมูลส่วนบุคคลต้องบันทึกใน ROPA

ตามมาตรา 39 พ.ร.บ. คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562

1 ข้อมูลส่วนบุคคลที่เก็บรวบรวม ระบุประเภทข้อมูล เช่น ชื่อ ที่อยู่เบอร์โทรศัพท์ ข้อมูลสุขภาพ	2 วัตถุประสงค์การเก็บรวบรวม บอกเหตุผลที่ชัดเจนสำหรับข้อมูลแต่ละประเภท พร้อมฐานทางกฎหมาย	3 ข้อมูลผู้ควบคุมข้อมูล และ DPO ชื่อองค์กร ที่อยู่ ข้อมูลติดต่อ รวมถึงเจ้าหน้าที่คุ้มครองข้อมูล	4 ระยะเวลาการเก็บรักษาข้อมูล กำหนดอายุการเก็บสำหรับแต่ละประเภทข้อมูลตามความจำเป็น
5 สิทธิและวิธีการเข้าถึงข้อมูล ระบุว่าใครมีสิทธิเข้าถึง และมีเงื่อนไขอะไรบ้าง	6 การใช้/เปิดเผยที่ได้รับยกเว้น บันทึกกรณีที่ไม่ต้องขอความยินยอม ตามมาตรา 27 วรรคสาม	7 การปฏิเสธคำขอ/การคัดค้าน บันทึกกรณีปฏิเสธพร้อมเหตุผล ตามมาตรา 30, 31, 32, 36	8 มาตรการรักษาความมั่นคงปลอดภัย อธิบายมาตรการทางเทคนิคและองค์กรที่ใช้ป้องกันข้อมูล

Page 104

Page 105
Copyright © 2025 TIME Consulting Co., Ltd., Strictly Confidential

รายการที่ผู้ประมวลผลข้อมูลส่วนบุคคลต้องบันทึกใน ROPA

มาตรา 40 — ผู้ประมวลผลข้อมูลส่วนบุคคล

ชื่อและข้อมูลของผู้ควบคุมข้อมูลที่รับคำสั่ง
ประเภท/ลักษณะกิจกรรมประมวลผลตามคำสั่ง
ข้อมูลส่วนบุคคลและวัตถุประสงค์ที่ได้รับมอบหมาย
ประเภทของผู้รับข้อมูล (กรณีโอนไปต่างประเทศ)
มาตรการรักษาความมั่นคงปลอดภัย
แจ้งผู้ควบคุมเมื่อเกิดเหตุละเมิดข้อมูล

edpc
2025

การศึกษากฎเกณฑ์ แนวทาง แนวปฏิบัติ คำแนะนำ และคำอธิบาย เกี่ยวกับเรื่องการบันทึกรายการของผู้ควบคุมข้อมูลส่วนบุคคล และการจัดทำบันทึกรายการของกิจกรรมการประมวลผลข้อมูลส่วนบุคคลของผู้ประมวลผลข้อมูลส่วนบุคคล (Records of Processing Activities: ROPA)

	สหภาพยุโรป	ประเทศสิงคโปร์	ประเทศญี่ปุ่น	สหราชอาณาจักร
กฎเกณฑ์	Regulation (EU) 2016/679 (GDPR) ➤ DC: Article 30(1)-(5) ➤ DP: Article 30(2)-(5)	PDPA ➤ DC:มีการกำหนด accountability, policies and practices, process documentation ใน section 11-12 ➤ ไม่มี DP แต่มี data intermediary ใน section 4(2), 4(3), 11, 12	APPI ➤ DC:มีบันทึกเฉพาะ third-party disclosure / receipt ใน Article 29-30 ➤ DP:มี entrustment / outsourcing ใน Article 25, Article 27(5)(i)	UK GDPR ➤ DC:Article 30(1)-(5) + Data Protection Act 2018, Schedule 1, paragraph 41 (ในบางกรณี) ➤ DP:Article 30(2)-(5)
แนวทางและแนวปฏิบัติ	➤ Guidelines 07/2020 on the concepts of controller and processor	➤ Advisory Guidelines on Key Concepts in the PDPA	➤ Guidelines for the Act on the Protection of Personal Information (General Rules Edition)	➤ Guide to the UK GDPR - Documentation
คำแนะนำและคำอธิบาย	➤ มีการออก "Sector-specific Guidelines" เช่น สำหรับกิจกรรมเพทย์/ข้อมูลสุขภาพ	➤ Guide to Data Protection Management Programme (DPMP)	➤ มี "Q&A on the Act on the Protection of Personal Information"	➤ มีการทำ Interactive Tools บนหน้าเว็บ เช่น "Does my organization need a RoPA?" . "How do we document our lawful basis?"

Page 106

สหภาพยุโรป: ROPA เป็นกลไก accountability โดยตรง

จุดเด่นของ EU คือการวาง ROPA ไว้ในตัวบทกฎหมายโดยตรง และใช้เป็นเอกสารที่ต้องพร้อมแสดงต่อหน่วยงานกำกับ

ฐานกฎหมาย

GDPR Article 30

Controller: Art.30(1)-(5)
Processor: Art.30(2)-(5)
EDPB มองว่า ROPA คือเครื่องมือแสดง accountability ไม่ใช่การเอกสารเชิงพิธีการ
หน่วยงานรัฐต้องจัดทำเสมอ และไม่อยู่ในกลุ่มยกเว้น ตามที่เอกสารแนบสรุปไว้
ควรทำในรูปแบบดิจิทัล อัปเดตสม่ำเสมอ และพร้อมแสดงต่อ DPA ได้ทันที

รายการข้อมูลขั้นต่ำที่ควรมีใน ROPA

ผู้ควบคุม / ผู้แทน / DPO	วัตถุประสงค์การประมวลผล
หมวดเจ้าของข้อมูล	หมวดข้อมูลส่วนบุคคล
ผู้รับข้อมูล	การโอนไปต่างประเทศ + safeguard
ระยะเวลาลบข้อมูล	มาตรการความมั่นคงปลอดภัย

ประเทศไทยกำหนดโครงสร้างใน ROPA จากโครงสร้างแบบ EU เพราะให้ทั้งฐานกฎหมายและรายการช่องข้อมูลที่ครบถ้วน

edpc
เอกสารแนบ หน้า 32-34
Page 107

EU MODEL

หน้าที่ตามกฎหมาย

Controller และ processor ต้องเก็บบันทึกกิจกรรมการประมวลผลภายใต้ความรับผิดชอบของตน

รูปแบบ

ต้องทำเป็น written/electronic form และพร้อมแสดงต่อ supervisory authority เมื่อร้องขอ

ประเด็นที่น่าสนใจ

ข้อยกเว้นสำหรับองค์กรต่ำกว่า 250 คน “จำกัดมาก” — ใช้ได้เฉพาะกรณีที่การประมวลผลเป็นครั้งคราว ไม่เสี่ยง และไม่เกี่ยวกับข้อมูลอ่อนไหว/คดีอาญา
ROPA ถูกใช้เป็นเครื่องมือกลางที่เชื่อมกับ transparency, สิทธิของเจ้าของข้อมูล, DPIA และการกำกับดูแลภายใน
แนวคิดของ EDPB สะท้อนว่า แม้มีการหารือเรื่อง simplification แต่ record of processing ยังเป็นเครื่องมือสำคัญของ accountability

Page 108

ลักษณะเด่น: หน้าที่ตาม Article 30 เช่นเดียวกับ EU และมี guidance/template เชิงปฏิบัติของ ICO

ใครต้องจัดทำ

องค์กรส่วนใหญ่ต้องบันทึกกิจกรรมการประมวลผล โดย controller ต้องเก็บข้อมูลมากกว่า processor

ข้อยกเว้นสำหรับองค์กรเล็ก

หากมีลูกจ้างน้อยกว่า 250 คน จะยกเว้นได้เฉพาะบางกรณีเท่านั้น เช่น ไม่ใช้การประมวลผลเป็นประจำ มีความเสี่ยง หรือเกี่ยวกับข้อมูลอ่อนไหว/ คดีอาญา

แนวปฏิบัติเด่นของ ICO

มี template สำหรับ controller และ processor แต่ไม่ได้บังคับให้ใช้รูปแบบเดียว
เปิดให้องค์กรใช้วิธีการที่เหมาะสมกับขนาด ปริมาณข้อมูล และความซับซ้อนของการประมวลผล
สนับสนุนให้บันทึกข้อมูลเพิ่มเติมนอกเหนือจากขั้นต่ำตาม Article 30 ถ้ามีประโยชน์ต่อการกำกับดูแล
ทำให้ ROPA ในทางปฏิบัติกลายเป็นเอกสาร “ใช้งานได้จริง” มากกว่าเพียงทะเบียนทางกฎหมาย

บทเรียนจาก UK: ควรมี “template กลาง” และยอมรับว่ารูปแบบเอกสารอาจหลากหลายได้ หากสาระครบและตรวจสอบได้

Page 109

สหราชอาณาจักร:

ICO แนะนำให้เริ่มจากการทำ data mapping ทั้งองค์กร
ใช้แบบสอบถามภายในเพื่อเก็บรายละเอียดกิจกรรมประมวลผล
เชื่อมข้อมูลกับ DPIA, privacy policy และ retention policy
สร้างเป็นไฟล์อิเล็กทรอนิกส์ที่ formal, documented, comprehensive และ accurate

Page 110

สิ่งคโปร์: PDPA ไม่ใช้คำว่า ROPA โดยตรง แต่ผลักดัน “data inventory + accountability” อย่างชัดเจน

สิ่งที่กฎหมาย/PDPC กำหนดหรือคาดหวัง

องค์กรต้องมี policies and practices เพื่อให้สอดคล้องกับ PDPA
ต้องกำหนดผู้รับผิดชอบด้านการคุ้มครองข้อมูล (DPO)
ต้องเปิดเผยข้อมูลนโยบาย/แนวปฏิบัติและช่องทางร้องเรียน
PDPC แนะนำชัดเจนให้ทำ personal data inventory และ map วงจรชีวิตข้อมูล

สิ่งที่ PDPC แนะนำให้ inventory

ที่มาและสถานที่เก็บข้อมูล • วิธีได้มาซึ่ง consent • วัตถุประสงค์การเก็บ • วิธีการใช้ข้อมูล • การจัดทำดัชนี/ตรวจสอบ inventory

การตีความเชิงนโยบาย

แม้ไม่ใช่ ROPA แบบ Article 30 แต่ “data inventory” ของสิ่งคโปร์ทำหน้าที่ใกล้เคียง ROPA มาก และเหมาะสมกับองค์กรทุกขนาด

ข้อสังเกตที่น่าสนใจ

โมเดลของสิ่งคโปร์ยืดหยุ่นกว่า EU/UK: เริ่มจาก accountability programme และค่อยแปลงเป็นเครื่องมือ inventory ที่เชื่อมกับการดำเนินงานจริง

edpc
Page 111

สิ่งคโปร์: Personal Data Protection Commission (PDPC) — แนวทาง Accountability-Based

จุดเด่นของแนวทาง Singapore

ไม่บังคับจัดทำ ROPA โดยตรง แต่ใช้หลัก Accountability Obligation

PDPA ไม่ได้กำหนดให้ต้องจัดทำ ROPA เหมือน GDPR อย่างเป็นทางการ แต่ PDPC กำหนดให้องค์กรต้อง:

มีนโยบายและแนวปฏิบัติต้านการคุ้มครองข้อมูลเป็นลายลักษณ์อักษร
แต่งตั้ง Data Protection Officer (DPO) และจดทะเบียนกับ PDPC
บันทึกคำขอเข้าถึงข้อมูล (Access Requests) อย่างครบถ้วน
ประเมินและบันทึกความเสี่ยงจากการประมวลผลข้อมูล
มีหลักฐานแสดงการปฏิบัติตามหลักการ 11 ข้อของ PDPA

แนวปฏิบัติที่ดีของ PDPC แนะนำให้ทำ Data Inventory และ Data Mapping เหมือนกับ ROPA ตาม GDPR เพื่อความพร้อมในการตรวจสอบ

11 หน้าที่ภายใต้ PDPA ที่ ROPA สนับสนุน

Accountability — ความรับผิดชอบ
Data Protection Policies — นโยบายคุ้มครองข้อมูล

Purpose Limitation — จำกัดวัตถุประสงค์
Notification — การแจ้ง
Consent — การขอความยินยอม
Access & Correction — การเข้าถึงและแก้ไข
Accuracy — ความถูกต้อง
Protection — การปกป้องข้อมูล
Retention Limitation — การจำกัดระยะเวลา
Transfer Limitation — การจำกัดการโอน
Data Breach Notification — การแจ้งเมื่อรั่วไหล

pdpc
PDPC
Page 112

ญี่ปุ่น: APPI แบ้น “record of third-party provision/receipt” และมาตรการควบคุม

ลักษณะเด่น: ภาคบังคับเจาะจงที่การให้/รับข้อมูลจากบุคคลที่สาม และการควบคุมความปลอดภัย

ภาระบันทึกที่กฎหมายกำหนด

เมื่อให้ personal data แก่บุคคลที่สามต้องจัดทำบันทึกเกี่ยวกับวันให้ข้อมูล ชื่อผู้รับ และรายละเอียดที่กฎหมายลำดับรองกำหนด

ภาระเมื่อรับข้อมูลจากบุคคลที่สาม

ต้องยืนยันข้อมูลของผู้ให้และ background ของการได้มาซึ่งข้อมูล แล้วเก็บบันทึกการยืนยันดังกล่าว

สำหรับโอนต่างประเทศ

ต้องให้ข้อมูลแก่เจ้าของข้อมูลและติดตาม equivalent measures ของผู้รับในต่างประเทศ

ข้อสังเคราะห์เชิงเปรียบเทียบ

APPI ไม่มีบทบัญญัติเดียวที่สั่งให้ทำ “ROPA ครบทุกกิจกรรม” แบบ Article 30 ของ EU/UK
แต่กฎหมายญี่ปุ่นให้ความสำคัญสูงกับ “traceability” ของการให้/รับข้อมูลจากบุคคลที่สาม
ควบคู่กับหน้าที่เรื่อง security control, การกำกับพนักงาน/ผู้รับจ้าง และเงื่อนไขการโอนข้อมูลไปต่างประเทศ

Page 113

(โครงร่าง) คู่มือ/แนวปฏิบัติการบันทึกรายการของผู้ควบคุมข้อมูลส่วนบุคคล และการจัดทำบันทึกรายการของกิจกรรมการประมวลผลข้อมูลส่วนบุคคล (ROPA)

บทที่ 1 บทนำ
บทที่ 2 หลักกฎหมายและแนวคิดพื้นฐานของ ROPA
บทที่ 3 ขอบเขตและหน้าที่ของผู้มีหน้าที่จัดทำ ROPA
บทที่ 4 องค์ประกอบของ ROPA
บทที่ 5 วิธีการจัดทำ ROPA
บทที่ 6 การกรอก ROPA
บทที่ 7 ตัวอย่างการกรอก ROPA
บทที่ 8 คำถามที่พบบ่อย (FAQ)
ภาคผนวก

edpc
ITAL Consulting

บทนำและหลักคิดพื้นฐาน

บทที่ 1 บทนำ
ที่มาและความสำคัญของ ROPA
วัตถุประสงค์ของคู่มือ
ขอบเขตการใช้กับ controller / processor
หน้าที่ตาม มาตรา 39, 40
กฎหมายลำดับรองที่เกี่ยวข้อง
บทที่ 2 หลักกฎหมาย และแนวคิดพื้นฐาน
Accountability, transparency, purpose limitation
เหตุผลที่ ROPA เป็น “evidence of compliance”

Page 115

บทที่ 3, 4: ผู้มีหน้าที่บันทึกและรายละเอียดที่ต้องบันทึก

บทที่ 3 ขอบเขตและหน้าที่ของผู้มีหน้าที่จัดทำ ROPA
Controller:
Processor:
บทบาท DPO, legal, IT และ business unit
บทที่ 4 องค์ประกอบของ ROPA ของ Data Controller และ Data Processor ตามกฎหมายคุ้มครองข้อมูลส่วนบุคคล
purpose, categories of data subjects, categories of personal data
recipients, international transfers, retention period, security measures
lawful basis, source of data, system/location, owner

Page 116

บทที่ 5–7: วิธีการจัดทำและตัวอย่าง

1 กำหนดขอบเขต	2 สำรวจ process / system	3 ระบุ processing activities	4 เติม field ให้ครบ	5 review / approve / update

บทที่ 5 วิธีการจัดทำ ROPA
scoping และเก็บข้อมูลจากหน่วยงาน
owner / review cycle / trigger events
บทที่ 6 การกรอก ROPA
อธิบายวิธีกรอกแต่ละช่อง
ตัวอย่างการกรอกที่ชัดเจน
ข้อผิดพลาดที่พบบ่อย
บทที่ 7 ตัวอย่างการกรอก ROPA
HR / recruitment / customer
cloud / payroll / call center / IT vendor
CCTV

cdope
Page 117

บทที่ 8 FAQ และภาพผนวก

FAQ เช่น

ทุกองค์กรต้องมี ROPA หรือไม่ และ update บ่อยแค่ไหน
ต้องแยก ROPA ระหว่าง controller ROPA และ processor ROPA หรือไม่ อย่างไร?
หากมี vendor / sub-processor หลายราย ควรบันทึกแบบใด?
ROPA เชื่อมกับ DPIA, DSAR, breach response อย่างไร

ภาคผนวก

Template: controller ROPA / processor ROPA
แบบสอบถามเก็บข้อมูลจากหน่วยงานภายใน
Checklist ตรวจสอบความครบถ้วน

Page 118

คู่มือ/แนวปฏิบัติ เรื่อง การคุ้มครองข้อมูลส่วนบุคคลของหมู่บ้านจัดสรรและอาคารชุด

pclpc

Page 120

บทนำ

การคุ้มครองข้อมูลส่วนบุคคลในธุรกิจหมู่บ้านจัดสรรและอาคารชุด

ธุรกิจหมู่บ้านจัดสรรและอาคารชุดเป็นภาคธุรกิจที่มีการเก็บรวบรวม ใช้ และเปิดเผยข้อมูลส่วนบุคคลอย่างต่อเนื่อง ตลอดวงจรชีวิตของลูกค้าและผู้อยู่อาศัย ตั้งแต่ก่อนการซื้อ การเข้าอยู่อาศัย ไปจนถึงการบริหารจัดการชุมชน และการรักษาความปลอดภัย โดยข้อมูลที่เกี่ยวข้องมีทั้งข้อมูลทั่วไป (เช่น ชื่อ เบอร์ติดต่อ ทะเบียน รถ) และข้อมูลที่มีความอ่อนไหวหรือมีความเสี่ยงสูง (เช่น ข้อมูลชีวภาพจากระบบสแกนใบหน้า ภาพจากกล้อง วงจรปิด)
จากการศึกษาข้อมูล พบว่า กิจกรรมในธุรกิจดังกล่าวมีความซับซ้อนและเกี่ยวข้องกับหลายฝ่าย เช่น นิติบุคคล หมู่บ้าน/อาคารชุด บริษัทบริหารทรัพย์สิน บริษัทรักษาความปลอดภัย ผู้พัฒนาระบบ IT และหน่วยงานภายนอก (เช่น ตำรวจหรือบริษัทประกัน) ส่งผลให้เกิดความเสี่ยงต่อการละเมิดข้อมูลส่วนบุคคลหรือการใช้ข้อมูลเกินวัตถุประสงค์ หากไม่มีแนวปฏิบัติที่ชัดเจนและสอดคล้องกับกฎหมายคุ้มครองข้อมูลส่วนบุคคล
ดังนั้น การศึกษากฎเกณฑ์ แนวทาง และแนวปฏิบัติของต่างประเทศ เช่น สหภาพยุโรป สหราชอาณาจักร สิงคโปร์ และญี่ปุ่น จึงมีความสำคัญ เพื่อใช้เป็นต้นแบบในการพัฒนาแนวทางที่เหมาะสมกับบริบทของประเทศไทยต่อไป

DPC
PMA | PMA

Page 121
บันทึกรายการกิจกรรมการประมวลผลข้อมูลส่วนบุคคล (ROPA)

กิจกรรมที่เกี่ยวข้องกับข้อมูลส่วนบุคคลในหมู่บ้านจัดสรรและอาคารชุด กรณีศึกษาต่างประเทศ

1 ระบบแลกบัตรเข้าออก (Visitor Management) การบันทึกข้อมูลผู้มาติดต่อ เช่น ชื่อ เบอร์ติดต่อ ทะเบียนรถ เวลา เข้า-ออก หรือการแลกบัตร ประจำตัว ซึ่งอาจมีความเสี่ยงหากมีการเก็บข้อมูลเกินความจำเป็น เช่น การถ่ายสำเนาบัตรประชาชน	2 ระบบเข้าออกด้วย Biometrics การใช้ข้อมูลชีวภาพ เช่น ลายนิ้วมือ หรือการสแกนในหน้า เพื่อควบคุมการเข้าออกอาคาร ซึ่งเป็นข้อมูลอ่อนไหวที่ต้องมี มาตรการคุ้มครองเป็นพิเศษ	3 ระบบกล้องวงจรปิด (CCTV / Video Surveillance) การบันทึกภาพบุคคลในพื้นที่ ส่วนกลางเพื่อความปลอดภัย ซึ่งต้องคำนึงถึงความจำเป็น ขอบเขตการบันทึก และระยะเวลา การจัดเก็บข้อมูล	4 การบันทึกทะเบียนรถ และระบบ ANPR/LPR การเก็บข้อมูลทะเบียนรถเพื่อ ควบคุมการเข้าออกหรือบริหาร ที่จอดรถ ซึ่งสามารถเชื่อมโยง ถึงตัวบุคคลได้
5 แอปของลูกบ้าน (Residential Portal) การจัดเก็บและใช้ข้อมูลผู้อยู่อาศัยผ่านระบบดิจิทัล เช่น การ แจ้งซ่อม การร้องเรียน หรือการ จัดการผู้มาติดต่อ ซึ่งต้อง ควบคุมสิทธิการเข้าถึงข้อมูล	6 การส่งข้อมูลให้ผู้ ให้บริการภายนอก การเปิดเผยข้อมูลให้บริษัท รปภ. บริษัทบริหารทรัพย์สิน หรือผู้ ให้บริการระบบ IT ซึ่งต้องมีการ กำหนดบทบาทและขอบเขตการ ใช้ข้อมูลอย่างชัดเจน	7 การแชร์ข้อมูลกับ บุคคลภายนอก การเปิดเผยข้อมูลให้ตำรวจ บริษัทประกัน หรือบุคคลอื่นใน กรณีเกิดเหตุการณ์ ซึ่งต้อง พิจารณาจานกฎหมายและความ จำเป็นเป็นรายกรณี	- Risk Heat Map - Medium = Standard Security Risk - Medium-High = Behavioral Tracking Risk - High = Sensitive Data / Data Disclosure Risk

บันทึกรายการกิจกรรมการประมวลผลข้อมูลส่วนบุคคล (ROPA)

Activity	Lawful Basis	Risk Level
Visitor Management	Legitimate Interest	Medium
Biometrics Access	Consent + Sensitive Data	High
CCTV Surveillance	Legitimate Interest	Medium
ANPR / LPR	Legitimate Interest	Medium-High
Residential Portal	Contract + Legitimate Interest	Medium
Vendor Data Sharing	Contract + Legitimate Interest	Medium
Sharing with Police/Others	Legal Obligation / Consent	High

pdpc
Page 122

7 Critical Data Risks in Residential Projects: Global Best Practices & Thailand Adaptation

หัวข้อ	ประเทศที่เหมาะกับไทย
Visitor	Singapore
Biometrics	UK
CCTV	EU
ANPR	EU + UK
Resident App	EU
Vendor	EU
Data Sharing	Japan

Page 123

1. Visitor Management (ระบบแลกบัตรเข้าออก)

Singapore MODEL

แนวทางกำกับดูแล

ห้ามเก็บข้อมูลเกินจำเป็น (Data Minimization)
ไม่สนับสนุนการเก็บ/ถ่ายสำเนาบัตรประจำตัว (NRIC)
ใช้วิธี “verification ทางเลือก” เช่น ชื่อ/ทะเบียนรถ
ต้องแจ้งวัตถุประสงค์ก่อนเก็บข้อมูล (Purpose Notification)

มาตรการสำคัญ

Consent ไม่ใช่ฐานหลัก → ใช้ “Reasonableness”
องค์กรต้องพิสูจน์ว่าจำเป็นจริง
ต้องมีมาตรการป้องกันการเข้าถึงข้อมูลโดยไม่ได้รับอนุญาต

Page 124

1. Visitor Management (ระบบแลกบัตรเข้าออก) (ต่อ)

Singapore MODEL

ไทยควร adopt “No ID copy as default” และใช้ risk-based verification

ประเด็นที่น่าสนใจ

เน้น Data Minimization อย่างเข้มงวด (ไม่เก็บ NRIC เดิมรูปแบบโดยไม่จำเป็น)
ส่งเสริม “วิธีการที่กระทบสิทธิให้น้อยที่สุด” เช่น ใช้ชื่อ/ กะเบียนรถแทนสำเนาบัตร
เหมาะกับบริบทไทยที่มี “Guard-based system” เป็นหลัก

edpc
Page 125

Page 126

2. Biometrics เข้าออกอาคาร

UK MODEL

แนวทางกำกับดูแล

Biometrics = ข้อมูลอ่อนไหว (Special Category Data)
ต้องมี Explicit Consent + เงื่อนไข ตามกฎหมาย
ต้องทำ Data Protection Impact Assessment (DPIA)

มาตรการสำคัญ

ต้องมี “Alternative” (เช่น keycard)
ใช้ได้เฉพาะกรณีจำเป็นจริง (Necessity test)
ต้องมีมาตรการความปลอดภัยสูง (Encryption / Access control)

Biometrics เข้าออกอาคาร

UK MODEL

ไทยควรกำหนด
“Biometric = high-risk processing” และ
ต้องมี opt-out เสมอ

ประเด็นที่น่าสนใจ

จัด biometrics เป็น special category data
ต้องมีทั้ง: lawful basis + special condition
บังคับ “ต้องมีทางเลือก” (alternative เช่น keycard)

Page 127

Page 128

3. CCTV / Video Surveillance

EU MODEL

แนวทางกำกับดูแล

ต้องผ่าน 3 test:
☐ Necessity
☐ Proportionality
☐ Legitimate Purpose
ต้องมี Notice ชัดเจน

มาตรการสำคัญ

ห้ามบันทึกเกินขอบเขต (เช่น ภายในบ้าน)
จำกัด retention period
จำกัดการเข้าถึงข้อมูล (Access Control)

Page 129

3. CCTV / Video Surveillance

EU MODEL

ไทยควรใช้ “3-layer test” (จำเป็น-ได้สัดส่วน-ไม่มีทางเลือกอื่น)

ประเด็นที่น่าสนใจ

EDPB วาง framework ชัด:
☐ necessity
☐ proportionality
☐ purpose limitation
ควบคุมกิ่งระดับ:
☐ มุมกล้อง
☐ retention period
☐ access control

4. ANPR / LPR (ทะเบียนรถ)

EU + UK Model

แนวทางกำกับดูแล

ห้ามใช้เพื่อ profiling โดยไม่มีฐานกฎหมาย
ต้องมี transparency
ต้องกำหนด retention และ access control

มาตรการสำคัญ

ทะเบียนรถ = ข้อมูลส่วนบุคคล (หากระบุตัวบุคคลได้)
ต้องจำกัดวัตถุประสงค์อย่างเข้มงวด

Page 130

4. ANPR / LPR (ทะเบียนรถ)

EU + UK Model

ไทยควร “ห้าม reuse data” เช่น เอาไปวิเคราะห์พฤติกรรม

ประเด็นที่น่าสนใจ

ระบุชัดว่า “ทะเบียนรถ = personal data (เมื่อระบุตัวบุคคลได้)”
ห้ามใช้เพื่อ profiling โดยไม่มีฐานกฎหมาย
จำกัดวัตถุประสงค์อย่างเข้ม

edpc
Page 131

5. Residential Portal (แอปของลูกบ้าน)

EU Model

แนวทางกำกับดูแล

ห้ามใช้เพื่อ profiling โดยไม่มีฐานกฎหมาย
ต้องมี transparency
ต้องกำหนด retention และ access control

มาตรการสำคัญ

กะเบียนรถ = ข้อมูลส่วนบุคคล (หากระบุตัวบุคคลได้)
ต้องจำกัดวัตถุประสงค์อย่างเข้มงวด

Page 132

5. Residential Portal (แอปของลูกบ้าน)

EU Model

ไทยควรกำหนด “App = controlled environment ไม่ใช่ social platform”

ประเด็นที่น่าสนใจ

ใช้หลัก Privacy by Design & Default
บังคับ:
☐ role-based access
☐ default privacy setting
☐ audit log

Page 134

6. การส่งข้อมูลให้ Vendor (Security Company)

EU Model

แนวทางกำกับดูแล

ต้องใช้ Privacy by Design & Default
ใช้ Contract + Legitimate Interest เป็นฐานหลัก

มาตรการสำคัญ

Role-based access control
Default privacy setting (ไม่เปิดเผยข้อมูลเกินจำเป็น)
ต้องมี audit log

6. การส่งข้อมูลให้ Vendor (Security Company)

EU Model

ไทยควร “บังคับ DPA (Data Processing Agreement)” ทุก vendor

ประเด็นที่น่าสนใจ

แยกบทบาท Controller / Processor ขัด
GDPR Art.28 กำหนดสัญญาอย่างละเอียด
มี audit right + sub-processor control

Page 135

การแชร์ข้อมูลกับตำรวจ/บุคคลอื่น (ตำรวจ บริษัทประกัน ผู้เสียหาย หรือเพื่อนบ้าน)

Japan Model

แนวทางกำกับดูแล

ต้องมี Consent ก่อนเปิดเผย (หลักทั่วไป)
มีข้อยกเว้นเฉพาะ (เช่น กฎหมาย / ความปลอดภัย ชีวิต)

มาตรการสำคัญ

ต้องจัดทำ “Third-party disclosure record”
จำกัดการแชร์กับบุคคลภายนอก
ต้องตรวจสอบวัตถุประสงค์ทุกครั้ง

Page 136

การแชร์ข้อมูลกับตำรวจ/บุคคลอื่น (ตำรวจ บริษัทประกัน ผู้เสียหาย หรือเพื่อนบ้าน)

Japan Model

ไทยควรใช้ “case-by-case + logging system”

ประเด็นที่น่าสนใจ

ต้องมี consent เว้นแต่เข้า exception
เน้น “third-party disclosure log”
คุมข้มการแชร์กับบุคคลทั่วไป (เช่น เพื่อนบ้าน)

Page 138

สรุปกรณีศึกษาต่างประเทศสำหรับธุรกิจบ้านจัดสรรและคอนโด

สำหรับองค์กรในประเทศไทย

Visitor	Biometrics	CCTV
Singapore MODEL • วัตถุประสงค์: ความปลอดภัย • ข้อมูล: ชื่อ/ทะเบียนรถ • หลีกเลี่ยง: สำเนาบัตร	UK MODEL • ต้อง consent + DPIA • ต้องมีทางเลือก	EU MODEL • ต้องมี notice • จำกัดพื้นที่

ANPR	Resident App	Vendor	Data Sharing
EU/UK MODEL • ใช้เพื่อ security เท่านั้น • ห้าม profiling	EU MODEL • Role-based access • Privacy default	EU MODEL • ต้องมี DPA • audit ได้	Japan MODEL • ต้องมี lawful basis • ต้องมี disclosure log

โครงสร้างคู่มือ/แนวปฏิบัติ เรื่อง การคุ้มครองข้อมูลส่วนบุคคลของหมู่บ้านจัดสรร และอาคารชุด (6 หัวข้อ)

วัตถุประสงค์และขอบเขตของแนวปฏิบัติ
กำหนดว่าแนวปฏิบัตินี้ใช้กับหน่วยงานใด บุคลากรกลุ่มใด และครอบคลุมข้อมูลของบุคคลประเภทใดบ้าง เช่น ผู้ซื้อ ผู้อยู่อาศัย ผู้มาติดต่อ ผู้เช่า ผู้รับเหมา และผู้ที่ปรากฏในระบบรักษาความปลอดภัย
นิยามและการกำหนดบทบาทตาม PDPA
อธิบายบทบาทของผู้ควบคุมข้อมูล ผู้ประมวลผลข้อมูล และผู้ควบคุมร่วมในแต่ละกิจกรรม เพื่อให้รู้ว่าใครมีหน้าที่รับผิดชอบตามกฎหมายในแต่ละส่วนของธุรกิจ
หลักการกำกับดูแลระดับองค์กร
กำหนดโครงสร้างควบคุมการใช้ข้อมูลส่วนบุคคลในองค์กร เช่น การจัดทำ data inventory, data flow, lawful basis matrix, privacy notice, security measures, vendor management, การตอบสนองสิทธิ และการกำหนดระยะเวลาเก็บรักษาข้อมูล

Page 139

โครงสร้างคู่มือ/แนวปฏิบัติ เรื่อง การคุ้มครองข้อมูลส่วนบุคคลของหมู่บ้านจัดสรร และอาคารชุด (6 หัวข้อ)

4. วงจรข้อมูลส่วนบุคคลในธุรกิจบ้านจัดสรรและคอนโด

อธิบายการใช้ข้อมูลตลอดวงจรธุรกิจ ตั้งแต่การตลาด การเข้าชมโครงการ การจองและโอน การเข้าอยู่อาศัย การบริหารชุมชน การจัดการเหตุพิพาท จนถึงการสิ้นสุดความสัมพันธ์

5. ประเด็นสำคัญที่ธุรกิจบ้านจัดสรรและคอนโดควรทราบครอบคลุมหัวข้อเฉพาะที่มีความเสี่ยงสูง ได้แก่

5.1 Visitor Management (ระบบแลกบัตรเข้าออก)
5.2 Biometrics เข้าออกอาคาร
5.3 CCTV / Video Surveillance
5.4 ANPR / LPR (ทะเบียนรถ)
5.5 Resident Portal (ลูกบ้านแอป)
5.6 การส่งข้อมูลให้ Vendor (Security Company) / Property Manager / IT Vendor
5.7 การแชร์ข้อมูลกับตำรวจ/บุคคลอื่น (ตำรวจ บริษัทประกัน ผู้เสียหาย หรือเพื่อนบ้าน)

โดยแต่ละหัวข้อควรระบุวัตถุประสงค์ ประเภทข้อมูล ฐานกฎหมาย ข้อบฏิบัติ และจุดเสี่ยงที่ต้องควบคุม

6) FAQ หลักปฏิบัติสำหรับธุรกิจบ้านจัดสรรและคอนโด

Page 140

Page 141

1. วัตถุประสงค์และขอบเขตของแนวปฏิบัติ

วัตถุประสงค์

กำหนดแนวทางคุ้มครองข้อมูลส่วนบุคคลในธุรกิจหมู่บ้านจัดสรรและอาคารชุด
ลดความเสี่ยง PDPA และสร้างมาตรฐานเดียวกันทั้งอุตสาหกรรม

ขอบเขตการใช้

ใช้กับ: นิติบุคคลหมู่บ้าน / คอนโด Developer / Property Manager / Security / IT Vendor
กลุ่มบุคคลที่ครอบคลุมผู้ซื้อ / ผู้เช่า / ผู้อยู่อาศัยผู้มาติดต่อ (Visitor)ผู้รับเหมา / Supplierบุคคลที่ปรากฏใน CCTV / ระบบความปลอดภัย

2. หลักการกำกับดูแลระดับองค์กร

แนวคิดหลัก

Privacy by Design
Accountability

เครื่องมือที่ต้องมี

Data Inventory + Data Flow Mapping	Vendor Management (DPA + Audit)
Lawful Basis Matrix (U.24 / U.26 / U.27)	Data Subject Rights Process
Privacy Notice	Retention Policy
Security Measures (Technical + Organizational)

Page 143

3. นิยามและการกำหนดบทบาทตาม PDPA

บทบาทตามกฎหมาย

Data Controller (DC)
→ นิติบุคคลหมู่บ้าน / Developer
Data Processor (DP)
→ รปภ. / IT Vendor / Property Manager
Joint Controller
→ เช่น Developer + นิติบุคคล (ช่วงโอนโครงการ)

หลักสำคัญ

ต้องกำหนดบทบาท “รายกิจกรรม”
ต้องมีสัญญา (DPA) สำหรับ Processor

4. วงจรข้อมูล (Data Lifecycle)

Page 144

ประเด็นสำคัญที่ธุรกิจบ้านจัดสรรและคอนโดควรทราบครอบคลุมหัวข้อเฉพาะที่มีความเสี่ยงสูง

กิจกรรม	ฐานกฎหมาย	จุดเสี่ยง
Visitor	Legitimate Interest	เก็บเกินจำเป็น
Biometrics	Consent (Sensitive)	misuse
CCTV	Legitimate Interest	surveillance เกิน
ANPR	Legitimate Interest	tracking
App	Contract	data leakage
Vendor	Contract	control ไม่ได้
Sharing	Legal/Legitimate	disclosure

Page 146

คู่มือการคุ้มครองข้อมูลส่วนบุคคลของหมู่บ้านจัดสรรและอาคารชุด : แนวปฏิบัติรายหัวข้อ

หลักการพื้นฐาน (Core Principles)

เก็บเท่าที่จำเป็น (Data Minimization)
ใช้ตามวัตถุประสงค์ (Purpose Limitation)
แยก Security vs Commercial Use
ใช้ Consent เฉพาะกรณีจำเป็นHigh-risk data (Biometric) ต้องคุมเข้ม

(1) Visitor Management

✗️ ห้ามเก็บสำเนาบัตรประชาชนเป็น default
📍 เก็บ:

ชื่อ
กะเบียนรถ
เวลาเข้าออก
📍 ต้องมี notice หน้า gate

(2) Biometrics

📍 ใช้ได้เมื่อ: มี necessity จริง
📍 ต้องมี: alternative (card/PIN)
📍 ต้องทำ: DPIA (แนะนำ)

(3) CCTV

📍 ต้องมี: ป้ายแจ้ง (notice)
✗️ ห้าม: ส่องพื้นที่ private (ในบ้าน/หน้าต่าง)
📍 retention: 7–30 วัน (recommended)

edpc
www.edpc.com

Page 147

คู่มือการคุ้มครองข้อมูลส่วนบุคคลของหมู่บ้านจัดสรรและอาคารชุด : แนวปฏิบัติรายหัวข้อ

(4) ANPR/LPR

☑ ใช้เพื่อ: ควบคุมเข้าออกเท่านั้น
❌ ห้าม:

profiling
tracking behavior

(6) Vendor Management

☑ ต้องมี: Data Processing Agreement (DPA)
☑ ต้องกำหนด:

purpose
security
deletion policy
☑ ต้อง audit vendor

(5) Residential Portal

☑ ต้องมี:

Role-based access
Login security (2FA แนะนำ)
❌ ห้าม:
ลูกบ้านเห็นข้อมูลกันเอง

กรณีต่าง: ☑ เปิดเผยได้ตามกฎหมาย
กรณีประกัน/ผู้เสียหาย: ☑ ต้องพิจารณาเป็น case-by-case
❌ ห้าม:
แชร์ใน LINE / Facebook

คู่มือการคุ้มครองข้อมูลส่วนบุคคลของหมู่บ้านจัดสรรและอาคารชุด : แนวปฏิบัติรายหัวข้อ

6) FAQ หลักปฏิบัติสำหรับธุรกิจบ้านจัดสรรและคอนโด ครอบคลุมเรื่อง

เก็บเท่าที่จำเป็น
ใช้ให้ตรงวัตถุประสงค์
แยก security purpose ออกจาก marketing purpose
ใช้ consent เฉพาะเมื่อเหมาะสม
ข้อมูลชีวภาพต้องควบคุมเข้มเป็นพิเศษ
CCTV/ANPR/visitor log ต้องมี notice และ access control
การแชร์ข้อมูลเหตุพิพาทต้องมี case review และ disclosure log
Vendor ทุกเจ้าที่แตะข้อมูลต้องผ่านสัญญาและ assessment
ลูกบ้านต้องใช้สิทธิได้จริง
ห้ามนำข้อมูลไปประจานหรือเผยแพร่ในกลุ่มไลน์/โซเชียล

Page 148

ประชุมสัมมนาหารือและแลกเปลี่ยนข้อมูล ความคิดเห็น

สารบัญ

วัตถุประสงค์โครงการ

คู่มือ/แนวปฏิบัติ เรื่อง ฐานทางกฎหมายในการเก็บรวบรวม ใช้หรือเปิดเผยข้อมูลส่วนบุคคล

1. บทนำ ฐานทางกฎหมายในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล (Lawful Basis)

ข้อกำหนดที่เกี่ยวข้องของ PDPA ของประเทศไทย

ความสำคัญของฐานทางกฎหมาย

อุปสรรคและความท้าทาย

ฐานทางกฎหมายในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล (Lawful Basis) ตาม พ.ร.บ. คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562

การเก็บรวบรวมข้อมูลส่วนบุคคล (ม. 24)

ฐานทางกฎหมายในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล (Lawful Basis) ตาม พ.ร.บ. คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562

การเก็บรวบรวมข้อมูลส่วนบุคคลที่อ่อนไหว (ม. 26)

ความเจาะจงและข้อห้ามการผูกมัดเงื่อนไข (Bunding)

ห้ามผู้มัดเด็ดขาด (Strictly Prohibited)

อนุโลมได้ภายใต้ความสมเหตุสมผล (Reasonableness Caveat)

ความยินยอมเพื่อการตลาดแบบมีเงื่อนไข (The Park Loophole)

สถานะเป็นโมฆะ (Invalid)

สถานะทำได้ (valid)

กฎหมายของการตลาด : ต้องเลือกตอบรับ (Active Opt-in) เท่านั้น (Consent Elikoponic Data)

EU/UK Rules

Singapore Rules

ตารางวิเคราะห์ กลไกการขอความยินยอมเพื่อการตลาด (Marketing Consent Matrix)

แผนผังวินิจฉัยความจำเป็น (The Necessity Decision tree)

การส่งมอบข้อมูลหลังสิ้นสุดสัญญา (The lawful Basis Handoff)

Deep Dive UK Recognized legitimate Interest (RLI)

the 5 pre-approved Conditions (เงื่อนไขที่ได้รับการรับรอง)

Diagnostic Case study 2: Fraud Prevention & Security

การบังคับใช้สถานการณ์จริง (Real-world Applications)

หน้าที่นายจ้างด้านภาษีและแรงงาน (Employment Duty)

การป้องกันอาชญากรรมทางการเงิน (Criminal/Financial Regulation)

การปฏิบัติตามคำสั่งศาลและหน่วยงานกำกับดูแล (Statutory/Court Orders)

ทางออกเมื่อความยินยอมไม่ใช่คำตอบ

What substantial public interest conditions are available?

สรุปเส้นทางการปฏิบัติ (The 4 pillars of SPI Compliance)

(โครงร่าง) คู่มือ/แนวปฏิบัติ เรื่อง ฐานทางกฎหมายในการเก็บรวบรวม ใช้ หรือเปิดเผย ข้อมูลส่วนบุคคล (Lawful Basis)

บทที่ 1 บทนำ

(โครงร่าง) คู่มือ/แนวปฏิบัติ เรื่อง ฐานทางกฎหมายในการเก็บรวบรวม ใช้ หรือเปิดเผย ข้อมูลส่วนบุคคล (Lawful Basis)

บทที่ 3 ฐานทางกฎหมายสำหรับการเก็บรวบรวมข้อมูลส่วนบุคคลที่อ่อนไหว (ตามมาตรา 26) (ต่อ)

คู่มือ/แนวปฏิบัติ เรื่อง มาตรการรักษาความมั่นคงปลอดภัยและการแจ้งเหตุการละเมิดข้อมูลส่วนบุคคล

1. บทนำ

ข้อกำหนดที่เกี่ยวข้องกับมาตรการรักษาความมั่นคงปลอดภัยของข้อมูลส่วนบุคคลของไทย

ข้อกำหนดที่เกี่ยวข้องกับการแจ้งเหตุการละเมิดข้อมูลส่วนบุคคลของไทย

1. สหภาพยุโรป

มาตรการรักษาความมั่นคงปลอดภัย

การแจ้งเหตุการละเมิดข้อมูลส่วนบุคคล

ขั้นที่ 4 Risk Assessment (ระบุและประเมินความเสี่ยง)

ขั้นที่ 5 Mitigation (กำหนดมาตรการบรรเทาความเสี่ยง)

ขั้นที่ 6 Residual Risk (ความเสี่ยงที่เหลืออยู่ ยอมรับได้หรือไม่)

2. สิ่งคโปร์

มาตรการรักษาความมั่นคงปลอดภัย

การแจ้งเหตุการละเมิดข้อมูลส่วนบุคคล

การแจ้งเหตุการละเมิดข้อมูลส่วนบุคคล

3. ญี่ปุ่น

มาตรการรักษาความมั่นคงปลอดภัย

การแจ้งเหตุการละเมิดข้อมูลส่วนบุคคล

4. สหราชอาณาจักร

มาตรการรักษาความมั่นคงปลอดภัย

การแจ้งเหตุการละเมิดข้อมูลส่วนบุคคล

4. บทสรุป

5. (ร่าง) คู่มือ/แนวปฏิบัติ เรื่อง มาตรการรักษาความมั่นคงปลอดภัยและการแจ้งเหตุการละเมิดข้อมูลส่วนบุคคล

บทที่ 1: บทนำ

บทที่ 2: การดำเนินการเพื่อรักษาความมั่นคงปลอดภัยของข้อมูลส่วนบุคคล

5. (ร่าง) คู่มือ/แนวปฏิบัติ เรื่อง มาตรการรักษาความมั่นคงปลอดภัยและการแจ้งเหตุการละเมิดข้อมูลส่วนบุคคล

บทที่ 3: มาตรการทางเทคนิค (Technical Measures)

5. (ร่าง) คู่มือ/แนวปฏิบัติ เรื่อง มาตรการรักษาความมั่นคงปลอดภัยและการแจ้งเหตุการละเมิดข้อมูลส่วนบุคคล

บทที่ 4: มาตรการทางบริหารจัดการ (Administrative Measures)

บทที่ 5: มาตรการทางกายภาพ (Physical Measures)

5. (ร่าง) คู่มือ/แนวปฏิบัติ เรื่อง มาตรการรักษาความมั่นคงปลอดภัยและการแจ้งเหตุการละเมิดข้อมูลส่วนบุคคล

บทที่ 6: การประเมินผลกระทบด้านการคุ้มครองข้อมูลส่วนบุคคล (Data Protection Impact Assessment: DPIA)

บทที่ 7: การบริหารความเสี่ยงจากบุคคลภายนอก

5. (ร่าง) คู่มือ/แนวปฏิบัติ เรื่อง มาตรการรักษาความมั่นคงปลอดภัยและการแจ้งเหตุการละเมิดข้อมูลส่วนบุคคล

บทที่ 8: การละเมิดข้อมูลส่วนบุคคล

5. (ร่าง) คู่มือ/แนวปฏิบัติ เรื่อง มาตรการรักษาความมั่นคงปลอดภัยและการแจ้งเหตุการละเมิดข้อมูลส่วนบุคคล

บทที่ 9: การจัดการเหตุการละเมิดข้อมูลส่วนบุคคล

บทที่ 10 FAQ

คู่มือ/แนวปฏิบัติ เรื่อง เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล (Data Protection Officers: DPO)

1. บทนำ

ข้อกำหนดที่เกี่ยวข้องของ PDPA ของประเทศไทย

อุปสรรคและความท้าทาย

The 9 core competencies ทักษะที่ DPO ต้องมี