PDPA คืออะไร ใครต้องทำตาม: สรุป พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล ฉบับธุรกิจเล็กถึงใหญ่

• ผู้ควบคุมข้อมูลส่วนบุคคล (Data Controller): ผู้ตัดสินใจว่าจะเก็บข้อมูลอะไร เพื่ออะไร เช่น ร้านค้าที่เก็บข้อมูลลูกค้า
• ผู้ประมวลผลข้อมูลส่วนบุคคล (Data Processor): ผู้ทำงานตามคำสั่งของผู้ควบคุม เช่น บริษัทรับทำระบบ CRM ผู้ให้บริการคลาวด์ ผู้ส่งอีเมลการตลาด

ความยินยอมเป็นเพียงฐานหนึ่ง กฎหมายยังมีฐานอื่น (มาตรา 24) เช่น

• จำเป็นเพื่อปฏิบัติตามสัญญากับเจ้าของข้อมูล (เช่น ที่อยู่สำหรับส่งของ)
• ปฏิบัติตามกฎหมาย (เช่น เก็บข้อมูลภาษี)
• ประโยชน์โดยชอบด้วยกฎหมาย (Legitimate Interest) ที่ไม่ขัดกับสิทธิของเจ้าของข้อมูล
• ป้องกันอันตรายต่อชีวิต ร่างกาย สุขภาพ
• ภารกิจเพื่อประโยชน์สาธารณะ และการศึกษาวิจัย/สถิติ

• แจ้งประกาศความเป็นส่วนตัว (Privacy Notice) ก่อนหรือขณะเก็บข้อมูล (มาตรา 23)
• จัดทำบันทึกรายการกิจกรรมการประมวลผล (RoPA) (มาตรา 39)
• รักษาความมั่นคงปลอดภัยที่เหมาะสม และแจ้งเหตุละเมิดภายใน 72 ชั่วโมง (มาตรา 37)
• รองรับคำขอใช้สิทธิของเจ้าของข้อมูล
• แต่งตั้ง DPO หากเข้าเงื่อนไข (มาตรา 41)
• ดูแลการส่งข้อมูลไปต่างประเทศ (มาตรา 28–29)

• ทางแพ่ง: ชดใช้ค่าเสียหายที่แท้จริง และศาลอาจสั่งค่าสินไหมทดแทนเพื่อการลงโทษเพิ่มได้ไม่เกิน 2 เท่าของค่าเสียหายจริง (มาตรา 77–78)
• ทางอาญา: กรณีข้อมูลอ่อนไหวที่ใช้หรือเปิดเผยโดยมิชอบจนน่าจะเกิดความเสียหาย จำคุกไม่เกิน 6 เดือน หรือปรับไม่เกิน 500,000 บาท และหากทำเพื่อแสวงหาประโยชน์โดยมิชอบ จำคุกไม่เกิน 1 ปี หรือปรับไม่เกิน 1,000,000 บาท (มาตรา 79)
• ทางปกครอง: ปรับสูงสุดได้ถึง 1, 3 หรือ 5 ล้านบาท แล้วแต่ฐานความผิด (มาตรา 82–90)