ต้องมี DPO ไหม และ RoPA คืออะไร: เอกสารภายในที่ PDPA บังคับ

SEC // 01

ใครต้องตั้ง DPO (มาตรา 41)

หน่วยงานของรัฐตามที่คณะกรรมการประกาศ
กิจกรรมหลักต้องเฝ้าติดตามข้อมูลหรือระบบอย่างสม่ำเสมอ เพราะมีข้อมูลจำนวนมาก (เช่น แพลตฟอร์มที่วิเคราะห์พฤติกรรมผู้ใช้จำนวนมาก)
กิจกรรมหลักคือการประมวลผลข้อมูลอ่อนไหว (เช่น โรงพยาบาล บริษัทประกันสุขภาพ)

DPO จะเป็นพนักงานหรือผู้รับจ้างภายนอกก็ได้ และองค์กรห้ามเลิกจ้างเพราะเหตุที่ DPO ปฏิบัติหน้าที่

SEC // 02

ผู้ประมวลผลข้อมูลก็ต้องจัดทำบันทึกของตนเองด้วย (มาตรา 40)

SEC // 03

ทำ RoPA ตามแผนก (HR, การตลาด, ขาย, IT) แล้วไล่ว่าข้อมูลเข้าจากไหน เก็บที่ไหน ส่งต่อให้ใคร จะเห็นจุดเสี่ยงและนำไปเขียน Privacy Notice ได้ตรงความจริง

STATUTE_REF // กฎหมายที่อ้างอิง

ข้อมูล ณ วันที่ 11 ตุลาคม 2569

ตรวจสอบตัวบทและประกาศล่าสุดได้ที่

เนื้อหานี้เป็นข้อมูลทั่วไปเพื่อการศึกษา ไม่ใช่คำแนะนำทางกฎหมายสำหรับกรณีของคุณ กฎหมายและประกาศลำดับรองอาจเปลี่ยนแปลง โปรดตรวจสอบฉบับล่าสุด

ADVISORY // LAWSLANE

เรื่องของคุณซับซ้อนหรือมีความเสี่ยงทางกฎหมาย? ให้ทนายความที่ผ่านการยืนยันตัวตนบน Lawslane ช่วยดูให้

อ่านต่อ

PDPA ใช้กับทุกคนที่เก็บ ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลในไทย ตั้งแต่ร้านออนไลน์ไปจนถึงองค์กรใหญ่ รู้บทบาทผู้ควบคุม/ผู้ประมวลผล ฐานทางกฎหมาย และโทษ

อ่าน 6 นาที

เมื่อเกิดเหตุข้อมูลรั่ว องค์กรต้องแจ้ง สคส. โดยไม่ชักช้าภายใน 72 ชั่วโมงนับแต่ทราบเหตุ และแจ้งเจ้าของข้อมูลหากมีความเสี่ยงสูง พร้อมเช็กลิสต์รับมือ

อ่าน 4 นาที