Q: PDPA มีโทษอย่างไร?

พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 มีความรับผิด 3 ชั้น ชั้นแรกคือโทษทางปกครองซึ่งคณะกรรมการผู้เชี่ยวชาญสั่งปรับได้สูงสุด 5,000,000 บาทตามหมวด 7 ชั้นที่สองคือโทษอาญาตามมาตรา 79 สำหรับการเปิดเผยข้อมูลอ่อนไหวโดยมิชอบซึ่งมีโทษจำคุกไม่เกิน 1 ปี หรือปรับไม่เกิน 1,000,000 บาท หรือทั้งจำทั้งปรับ และชั้นที่สามคือความรับผิดทางแพ่งตามมาตรา 77 และ 78 ซึ่งเป็นความรับผิดโดยไม่ต้องพิสูจน์ความจงใจหรือประมาทเลินเล่อ และศาลมีอำนาจสั่งค่าสินไหมทดแทนเพื่อการลงโทษเพิ่มได้ไม่เกินสองเท่าของค่าสินไหมทดแทนที่แท้จริง สอบถามแนวทางเฉพาะกิจการของท่านกับทีมกฎหมายธุรกิจของเราได้ทางโทรศัพท์ LINE หรืออีเมล

Question 1

PDPA บังคับใช้เต็มรูปแบบตั้งแต่เมื่อไร?

Accepted Answer

พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ประกาศในราชกิจจานุเบกษาเมื่อ 27 พฤษภาคม 2562 และมีผลใช้บังคับเต็มรูปแบบเมื่อ 1 มิถุนายน 2565 หลังเลื่อนโดยพระราชกฤษฎีกาหลายครั้ง ผู้ควบคุมข้อมูลต้องมีฐานทางกฎหมายตามมาตรา 24 ซึ่งความยินยอมเป็นเพียงหนึ่งในหลายฐาน ร่วมกับสัญญา หน้าที่ตามกฎหมาย ประโยชน์โดยชอบด้วยกฎหมาย ภารกิจของรัฐ ประโยชน์สำคัญต่อชีวิต และการวิจัย ข้อมูลอ่อนไหวตามมาตรา 26 เช่น เชื้อชาติ ศาสนา ประวัติอาชญากรรม สุขภาพ และข้อมูลชีวภาพ ต้องได้รับความยินยอมโดยชัดแจ้ง เว้นแต่เข้าข้อยกเว้น เหตุละเมิดข้อมูลส่วนบุคคลต้องแจ้งสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลภายใน 72 ชั่วโมงตามมาตรา 37(4) โทษปรับทางปกครองสูงสุด 5 ล้านบาท และค่าสินไหมเพื่อการลงโทษไม่เกินสองเท่าของค่าเสียหายที่แท้จริงตามมาตรา 78

ข้อมูล ณ สิงหาคม 2569 (2026) หลักเกณฑ์ตามประกาศลำดับรองเปลี่ยนแปลงได้ โปรดตรวจสอบกับ dbd.go.th, boi.go.th, ipthailand.go.th และ pdpc.or.th ก่อนดำเนินการ

Question 2

ต้องขอความยินยอมทุกครั้งหรือไม่?

Accepted Answer

ไม่ใช่ทุกครั้ง มาตรา 24 แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 กำหนดฐานทางกฎหมายอื่นนอกจากความยินยอม ได้แก่ ฐานจดหมายเหตุหรือวิจัย ฐานป้องกันอันตรายต่อชีวิต ร่างกาย หรือสุขภาพ ฐานสัญญา ฐานภารกิจของรัฐ ฐานประโยชน์โดยชอบด้วยกฎหมาย และฐานหน้าที่ตามกฎหมาย การใช้ฐานสัญญาหรือฐานหน้าที่ตามกฎหมายกับข้อมูลลูกค้าและพนักงานมักเหมาะสมกว่าการขอความยินยอม เพราะความยินยอมถอนได้ทุกเมื่อตามมาตรา 19 ส่วนข้อมูลอ่อนไหวตามมาตรา 26 เช่น เชื้อชาติ ศาสนา ประวัติอาชญากรรม ข้อมูลสุขภาพ และข้อมูลชีวภาพ ต้องใช้ความยินยอมโดยชัดแจ้งเว้นแต่เข้าข้อยกเว้นที่กฎหมายกำหนด สอบถามแนวทางเฉพาะกิจการของท่านกับทีมกฎหมายธุรกิจของเราได้ทางโทรศัพท์ LINE หรืออีเมล

Question 3

บริษัทต้องมี DPO หรือไม่?

Accepted Answer

มาตรา 41 แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 กำหนดให้ต้องจัดให้มีเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลใน 3 กรณี คือเมื่อผู้ควบคุมข้อมูลเป็นหน่วยงานของรัฐตามที่คณะกรรมการประกาศกำหนด เมื่อกิจกรรมหลักเป็นการประมวลผลข้อมูลที่ต้องตรวจสอบข้อมูลส่วนบุคคลหรือระบบอย่างสม่ำเสมอโดยเหตุที่มีข้อมูลจำนวนมาก และเมื่อกิจกรรมหลักเป็นการประมวลผลข้อมูลอ่อนไหวตามมาตรา 26 เจ้าหน้าที่คุ้มครองข้อมูลจะเป็นพนักงานหรือผู้รับจ้างภายนอกก็ได้ แต่ต้องแจ้งข้อมูลติดต่อให้เจ้าของข้อมูลและสำนักงานทราบตามมาตรา 41 วรรคท้าย สอบถามแนวทางเฉพาะกิจการของท่านกับทีมกฎหมายธุรกิจของเราได้ทางโทรศัพท์ LINE หรืออีเมล

Question 4

เกิดเหตุข้อมูลรั่วไหลต้องทำอย่างไร?

Accepted Answer

มาตรา 37 (4) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 กำหนดให้ผู้ควบคุมข้อมูลส่วนบุคคลแจ้งเหตุการละเมิดข้อมูลส่วนบุคคลแก่สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลโดยไม่ชักช้าและภายใน 72 ชั่วโมงนับแต่ทราบเหตุเท่าที่จะทำได้ เว้นแต่การละเมิดนั้นไม่มีความเสี่ยงที่จะมีผลกระทบต่อสิทธิและเสรีภาพของบุคคล และหากมีความเสี่ยงสูงต้องแจ้งเจ้าของข้อมูลพร้อมแนวทางเยียวยาด้วย ส่วนผู้ประมวลผลข้อมูลต้องแจ้งผู้ควบคุมข้อมูลเมื่อทราบเหตุ องค์กรจึงควรมีขั้นตอนรับมือเหตุละเมิดและแบบบันทึกเหตุการณ์ไว้ล่วงหน้า สอบถามแนวทางเฉพาะกิจการของท่านกับทีมกฎหมายธุรกิจของเราได้ทางโทรศัพท์ LINE หรืออีเมล

Question 5

PDPA มีโทษอย่างไร?

Accepted Answer

พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ประกาศในราชกิจจานุเบกษาเมื่อ 27 พฤษภาคม 2562 และมีผลใช้บังคับเต็มรูปแบบเมื่อ 1 มิถุนายน 2565 หลังเลื่อนโดยพระราชกฤษฎีกาหลายครั้ง ผู้ควบคุมข้อมูลต้องมีฐานทางกฎหมายตามมาตรา 24 ซึ่งความยินยอมเป็นเพียงหนึ่งในหลายฐาน ร่วมกับสัญญา หน้าที่ตามกฎหมาย ประโยชน์โดยชอบด้วยกฎหมาย ภารกิจของรัฐ ประโยชน์สำคัญต่อชีวิต และการวิจัย ข้อมูลอ่อนไหวตามมาตรา 26 เช่น เชื้อชาติ ศาสนา ประวัติอาชญากรรม สุขภาพ และข้อมูลชีวภาพ ต้องได้รับความยินยอมโดยชัดแจ้ง เว้นแต่เข้าข้อยกเว้น เหตุละเมิดข้อมูลส่วนบุคคลต้องแจ้งสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลภายใน 72 ชั่วโมงตามมาตรา 37(4) โทษปรับทางปกครองสูงสุด 5 ล้านบาท และค่าสินไหมเพื่อการลงโทษไม่เกินสองเท่าของค่าเสียหายที่แท้จริงตามมาตรา 78

ข้อมูล ณ สิงหาคม 2569 (2026) หลักเกณฑ์ตามประกาศลำดับรองเปลี่ยนแปลงได้ โปรดตรวจสอบกับ dbd.go.th, boi.go.th, ipthailand.go.th และ pdpc.or.th ก่อนดำเนินการ

Question 6

ส่งข้อมูลส่วนบุคคลไปต่างประเทศทำได้ไหม?

Accepted Answer

ทำได้ภายใต้มาตรา 28 และ 29 แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 โดยหลักประเทศปลายทางต้องมีมาตรฐานการคุ้มครองข้อมูลส่วนบุคคลที่เพียงพอตามที่คณะกรรมการประกาศกำหนด หรือเข้าข้อยกเว้น เช่น ได้รับความยินยอมโดยแจ้งให้ทราบถึงมาตรฐานที่ไม่เพียงพอแล้ว เป็นการปฏิบัติตามสัญญา หรือเพื่อป้องกันอันตรายต่อชีวิต สำหรับการส่งภายในเครือกิจการเดียวกัน มาตรา 29 เปิดให้ใช้นโยบายคุ้มครองข้อมูลส่วนบุคคลของเครือกิจการที่ได้รับการตรวจสอบและรับรองจากสำนักงาน ส่วนกรณีอื่นนิยมใช้ข้อสัญญามาตรฐานตามแนวทางที่สำนักงานประกาศ สอบถามแนวทางเฉพาะกิจการของท่านกับทีมกฎหมายธุรกิจของเราได้ทางโทรศัพท์ LINE หรืออีเมล

ทนาย Notary Public 6 ท่าน

นายจิรพันธ์

นายจิรศักดิ์

นายปฏิภาณ

นายวราวุธ

นายวิวัฒน์

นางสาวอนุตรีย์

PDPA คุ้มครองข้อมูลส่วนบุคคล

คำถามในหมวดนี้ — 6 ข้อ

คีย์เวิร์ดที่เกี่ยวข้อง

แหล่งอ้างอิงทางการ

บริการที่เกี่ยวข้อง

ยังเลือกไม่ถูก? อ่านคู่มือแนะนำบริการ