SME เล็กๆ ต้องมี DPO ไหม?

ไม่จำเป็นเว้นแต่ core activity คือประมวลผลข้อมูล sensitive จำนวนมาก (มาตรา 41) — เช่น คลินิก โรงพยาบาล หรือ HR outsourcing

โทษปรับสูงสุดเท่าไหร่?

ปรับทางปกครองสูงสุด 5,000,000 บาท (มาตรา 83) ปรับอาญาสูงสุด 1,000,000 บาท + จำคุก 1 ปี (มาตรา 79) และค่าเสียหายเชิงลงโทษ 2 เท่า (มาตรา 78)

ใช้กล้อง CCTV ต้องขอ consent ไหม?

ไม่ต้อง — ใช้ legitimate interest (มาตรา 24(5)) แต่ต้องติดป้ายแจ้งเตือนและกำหนด retention ไม่เกิน 30 วัน

ตรวจสอบความพร้อม PDPA (Compliance Audit)

PDPA Compliance Audit & Gap Assessment · § Advisory

Quick Answer

Gap-assessment report 2–3 สัปดาห์เริ่ม 60,000 บาท — สัมภาษณ์ 5 ฝ่าย (IT, HR, Marketing, Legal, Ops) ตรวจ ROPA + Privacy Notice + Consent form + Vendor DPA พร้อมส่ง Remediation roadmap 30/60/90 วัน และ Priority-risk heat map

ระยะเวลา: Kick-off 3 วัน · Fieldwork 7–10 วัน · Draft report 5 วัน · Presentation 2 วัน — รวม 2–3 สัปดาห์

ค่าธรรมเนียมทางการ: ไม่มีค่าธรรมเนียมราชการ — ค่าใช้จ่ายเป็นค่าที่ปรึกษาและค่าเดินทางเท่านั้น

ฐานทางกฎหมาย

พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล 2562 (PDPA) มาตรา 37–42 ประกาศคณะกรรมการฯ เรื่องมาตรการรักษาความมั่นคงปลอดภัย 2565 และแนวปฏิบัติของสำนักงาน สคส. — ประเมิน 12 domain: lawful basis, ROPA, notice, consent, DSR, breach, DPO, DPIA, retention, cross-border, vendor, security controls

เหมาะกับใคร

SME ที่เก็บข้อมูลลูกค้า/พนักงาน, ecommerce, คลินิก โรงพยาบาล โรงเรียน HR outsourcing บริษัทข้ามชาติที่ต้อง align กับ GDPR/APPI

เอกสารที่ต้องเตรียม

โครงสร้างองค์กร + จำนวนพนักงาน
ระบบ IT ที่เก็บข้อมูลส่วนบุคคล (CRM, HRIS, POS)
Privacy Notice / Consent form ปัจจุบัน (ถ้ามี)
รายชื่อ vendor ที่รับ-ส่งข้อมูล (payment, cloud, HR outsource)
รายงาน incident หรือ complaint ย้อนหลัง 2 ปี

ข้อควรระวัง (Pitfalls)

ใช้ template consent จากเน็ตโดยไม่ tailor lawful basis — ทำให้ consent ใช้ไม่ได้
ลืม cross-border transfer เมื่อใช้ SaaS ต่างประเทศ (Google Workspace, AWS US)
ROPA ไม่ update เมื่อเพิ่ม vendor ใหม่

กรณีที่ลูกค้ามักใช้

คลินิกความงาม 50 สาขาต้องทำ audit ก่อน CID inspection
startup fintech ต้อง evidence PDPA ก่อน Series-A due diligence
โรงเรียนนานาชาติ align PDPA + GDPR สำหรับผู้ปกครองยุโรป

คำถามที่พบบ่อย

SME เล็กๆ ต้องมี DPO ไหม?: ไม่จำเป็นเว้นแต่ core activity คือประมวลผลข้อมูล sensitive จำนวนมาก (มาตรา 41) — เช่น คลินิก โรงพยาบาล หรือ HR outsourcing
โทษปรับสูงสุดเท่าไหร่?: ปรับทางปกครองสูงสุด 5,000,000 บาท (มาตรา 83) ปรับอาญาสูงสุด 1,000,000 บาท + จำคุก 1 ปี (มาตรา 79) และค่าเสียหายเชิงลงโทษ 2 เท่า (มาตรา 78)
ใช้กล้อง CCTV ต้องขอ consent ไหม?: ไม่ต้อง — ใช้ legitimate interest (มาตรา 24(5)) แต่ต้องติดป้ายแจ้งเตือนและกำหนด retention ไม่เกิน 30 วัน