DPO ต้องอยู่ในประเทศไทยไหม?

ไม่จำเป็น แต่ต้องมีตัวแทนในไทยที่ติดต่อได้ในเวลาราชการ (มาตรา 5)

ใช้ DPO ร่วมกับหลายบริษัทได้ไหม?

ได้ ตามประกาศ สคส. — แต่ต้องไม่มี conflict of interest และรับภาระได้จริง

เปลี่ยน DPO ต้องแจ้งลูกค้าไหม?

ควรแจ้งผ่าน Privacy Notice ภายใน 30 วัน

บริการ DPO Outsource (Data Protection Officer)

Outsourced Data Protection Officer (DPO) · § Advisory

Quick Answer

แพ็กเกจรายเดือน 25,000–75,000 บาท/เดือน — รวม hotline พนักงาน, จัดการ DSR, ตอบ สคส. inquiry, review DPIA, อบรมพนักงานปีละ 2 ครั้ง, incident-response 24 ชม.

ระยะเวลา: เริ่มงานภายใน 7 วันหลังเซ็นสัญญา — ยื่นแจ้ง DPO ต่อ สคส. ภายใน 30 วัน

ค่าธรรมเนียมทางการ: ไม่มีค่าธรรมเนียมราชการ (การแจ้ง DPO ผ่าน portal สคส. ฟรี)

ฐานทางกฎหมาย

พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล 2562 มาตรา 41–42 ประกาศ สคส. เรื่องการแต่งตั้ง DPO 2565 — DPO ต้อง independent รายงานตรงต่อผู้บริหารสูงสุด และเป็น contact point กับ สคส.

เหมาะกับใคร

องค์กรที่ประมวลผล sensitive data ขนาดใหญ่ (คลินิก โรงพยาบาล สถาบันการเงิน HR outsourcing) หรือมีการ monitor ระบบ (ประกัน โลจิสติกส์)

เอกสารที่ต้องเตรียม

หนังสือแต่งตั้ง DPO
Job description และช่องทางติดต่อ
โครงสร้างการรายงาน

ข้อควรระวัง (Pitfalls)

แต่งตั้ง HR หรือ IT manager เป็น DPO — ผิดหลัก independence (มาตรา 42(2))
ไม่มี hotline สำหรับเจ้าของข้อมูล — DSR ตกหล่น
ไม่ update สคส. เมื่อเปลี่ยน DPO

กรณีที่ลูกค้ามักใช้

โรงพยาบาลเอกชนที่ไม่มีทีม legal in-house
MNC ที่มี Group DPO แต่ต้องการ local liaison
startup ก่อน Series-B ต้องมี DPO ให้ VC due diligence

คำถามที่พบบ่อย

DPO ต้องอยู่ในประเทศไทยไหม?: ไม่จำเป็น แต่ต้องมีตัวแทนในไทยที่ติดต่อได้ในเวลาราชการ (มาตรา 5)
ใช้ DPO ร่วมกับหลายบริษัทได้ไหม?: ได้ ตามประกาศ สคส. — แต่ต้องไม่มี conflict of interest และรับภาระได้จริง
เปลี่ยน DPO ต้องแจ้งลูกค้าไหม?: ควรแจ้งผ่าน Privacy Notice ภายใน 30 วัน