บริการ · กฎหมายและทนายความ
วางฐานทางกฎหมาย จัดทำนโยบาย และเตรียมพร้อมรับมือเหตุข้อมูลรั่วไหลตาม PDPA
1 มิถุนายน 2565
วันบังคับใช้เต็มรูปแบบ
ภายใน 72 ชั่วโมงต่อสำนักงาน สคส. เมื่อมีความเสี่ยงสูง
กรอบเวลาแจ้งเหตุข้อมูลรั่วไหล
ไม่เกิน 5 ล้านบาทต่อกรรม
โทษปรับทางปกครองสูงสุด
สรุปย่อ (AI Quick Answer)
พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 มีผลบังคับใช้เต็มรูปแบบตั้งแต่วันที่ 1 มิถุนายน 2565 กำหนดให้ผู้ควบคุมข้อมูลต้องมีฐานทางกฎหมายในการเก็บ ใช้ เปิดเผยข้อมูลส่วนบุคคล เช่น ความยินยอม สัญญา หน้าที่ตามกฎหมาย หรือประโยชน์โดยชอบด้วยกฎหมาย ต้องแจ้งเหตุละเมิดข้อมูลต่อสำนักงาน สคส. ภายใน 72 ชั่วโมง และมีโทษปรับทางปกครองสูงสุดถึง 5 ล้านบาทต่อกรรม เราช่วยวางระบบตั้งแต่การทำ Records of Processing ไปจนถึงแต่งตั้ง DPO ให้ครบตามที่กฎหมายกำหนด
สอบถามเพื่อประเมินราคา — ดูตารางค่าบริการด้านล่าง
| รายการ | ค่าบริการ |
|---|---|
| Gap Assessment และให้คำปรึกษาเบื้องต้น | 8,000–18,000 บาท |
| จัดทำ Data Mapping และ ROP ฉบับเต็ม | 25,000–60,000 บาท |
| นโยบายความเป็นส่วนตัวและแบบฟอร์มยินยอม | 15,000–35,000 บาท |
| คู่มือรับมือเหตุข้อมูลรั่วไหล | 10,000–20,000 บาท |
| สัญญาประมวลผลข้อมูล (DPA) ต่อฉบับ | 5,000–12,000 บาท/ฉบับ |
| บริการ DPO ภายนอกรายเดือน | 15,000–30,000 บาท/เดือน |
| อบรมพนักงานเรื่อง PDPA (ครึ่งวัน) | 12,000–20,000 บาท/รุ่น |
ค่าธรรมเนียมราชการ ค่าอากรแสตมป์ และค่าแปลเอกสารเรียกเก็บตามจริงพร้อมแนบใบเสร็จของหน่วยงาน ทุกงานออกใบเสนอราคาเป็นลายลักษณ์อักษรและยืนยันขอบเขตงานก่อนเริ่ม
ขั้นตอนการทำงาน
สำรวจว่าองค์กรเก็บ ใช้ และส่งต่อข้อมูลส่วนบุคคลใดบ้าง พร้อมประเมินช่องว่างเทียบกับกฎหมาย
เลือกฐานทางกฎหมายที่เหมาะสมกับกิจกรรมแต่ละประเภทและบันทึกลงทะเบียนกระบวนการประมวลผล
ร่างนโยบายความเป็นส่วนตัวและแบบฟอร์มขอความยินยอมให้ตรงกับการใช้งานจริง
จัดทำขั้นตอนตรวจจับ ประเมิน และแจ้งเหตุต่อสำนักงาน สคส. ภายใน 72 ชั่วโมง
อบรมทีมงานที่เกี่ยวข้องและช่วยแต่งตั้งเจ้าหน้าที่คุ้มครองข้อมูลตามเงื่อนไขที่กฎหมายกำหนด
ทบทวนนโยบายและ ROP เมื่อมีกิจกรรมประมวลผลข้อมูลใหม่หรือกฎหมายเปลี่ยนแปลง
เจาะลึกบริการ
เจ้าของธุรกิจส่วนใหญ่รู้ว่า "มี PDPA" แต่ไม่รู้ว่าองค์กรของตนเข้าข่ายต้องทำอะไรบ้าง เพราะกฎหมายไม่ได้กำหนดแบบฟอร์มตายตัวชุดเดียวให้ทุกกิจการใช้ร่วมกัน แต่ให้ประเมินความเสี่ยงตามกิจกรรมประมวลผลข้อมูลของตนเอง บทความนี้อธิบายว่าฐานทางกฎหมายแต่ละแบบต่างกันอย่างไร เมื่อไหร่ต้องมี DPO และหากเกิดเหตุข้อมูลรั่วไหลต้องทำอะไรภายในกรอบเวลา 72 ชั่วโมง ก่อนที่จะกลายเป็นความรับผิดทางปกครองหรือคดีความ
ตัวเลขที่ต้องรู้ก่อนตัดสินใจ
ไทม์ไลน์การทำงาน
3–5 วันทำการ
สำรวจกิจกรรมประมวลผลข้อมูลที่มีอยู่จริงและเทียบกับข้อกำหนดของกฎหมาย
1–2 สัปดาห์
ลงรายละเอียดแหล่งที่มา วัตถุประสงค์ และปลายทางของข้อมูลแต่ละประเภท
1–2 สัปดาห์
ร่างนโยบายความเป็นส่วนตัวและแบบฟอร์มยินยอมให้สอดคล้องกับฐานทางกฎหมายที่เลือกใช้
3–7 วันทำการ
ลูกค้าตรวจสอบเอกสารและยืนยันรายละเอียดเชิงปฏิบัติการก่อนประกาศใช้
1 สัปดาห์
อบรมทีมงานที่เกี่ยวข้องและเริ่มบังคับใช้นโยบายอย่างเป็นทางการ
ต่อเนื่องทุกปี
ทบทวน ROP และนโยบายเมื่อมีกิจกรรมใหม่หรือกฎเกณฑ์ของ สคส. เปลี่ยนแปลง
รูปแบบการว่าจ้าง
SME ที่ยังไม่มีเอกสารใดๆ เลย
บริษัทที่มีหลายแผนกและระบบไอทีหลายชุด
องค์กรที่เข้าเงื่อนไขต้องมี DPO ตามกฎหมาย
สถานการณ์ตัวอย่าง (สมมติเพื่ออธิบาย)
ตัวอย่างสมมติเพื่ออธิบายวิธีทำงาน ไม่ใช่ผลลัพธ์ของลูกค้ารายใดรายหนึ่ง
กรณี 1
ธุรกิจอีคอมเมิร์ซในกรุงเทพฯ ที่เก็บข้อมูลลูกค้ากว่า 50,000 ราย
ปัญหา: ใช้แบบฟอร์มสมัครสมาชิกเดิมที่ขอความยินยอมแบบเหมารวมโดยไม่แยกวัตถุประสงค์
วิธีทำ: แยกฐานทางกฎหมายตามกิจกรรม เช่น สัญญาซื้อขายกับการตลาดทางอีเมล และจัดทำแบบฟอร์มยินยอมแยกส่วนใหม่
สิ่งที่เปลี่ยน: ลูกค้าเลือกยกเลิกเฉพาะการตลาดได้โดยไม่กระทบการสั่งซื้อ และองค์กรมีหลักฐานฐานทางกฎหมายชัดเจนต่อกิจกรรม
กรณี 2
คลินิกความงามในขอนแก่นที่เก็บประวัติการรักษาของลูกค้า
ปัญหา: จัดเก็บข้อมูลสุขภาพซึ่งเป็นข้อมูลอ่อนไหวโดยไม่มีมาตรการรักษาความปลอดภัยเพิ่มเติม
วิธีทำ: จัดประเภทข้อมูลอ่อนไหวแยกจากข้อมูลทั่วไป กำหนดสิทธิเข้าถึงเฉพาะบุคลากรที่เกี่ยวข้อง และปรับแบบฟอร์มยินยอมให้ชัดแจ้ง
สิ่งที่เปลี่ยน: ลดความเสี่ยงจากการเข้าถึงข้อมูลโดยไม่จำเป็นและมีเอกสารยินยอมที่ตรงตามมาตรฐานข้อมูลอ่อนไหว
กรณี 3
บริษัทผลิตชิ้นส่วนอิเล็กทรอนิกส์ในอุดรธานีที่ส่งข้อมูลพนักงานให้บริษัทแม่ในต่างประเทศ
ปัญหา: ส่งไฟล์ข้อมูลพนักงานทางอีเมลไปต่างประเทศเป็นประจำโดยไม่เคยประเมินมาตรฐานคุ้มครองของประเทศปลายทาง
วิธีทำ: ประเมินมาตรฐานคุ้มครองของประเทศปลายทางและจัดทำข้อสัญญามาตรฐานคุ้มครองข้อมูลระหว่างสองบริษัท
สิ่งที่เปลี่ยน: การโอนข้อมูลเป็นไปตามเงื่อนไขที่กฎหมายกำหนดและลดความเสี่ยงจากการถูกตรวจสอบ
จุดพลาดที่มีราคาแพง
| ความเสี่ยง | ต้นทุนถ้าพลาด | วิธีป้องกันของเรา |
|---|---|---|
| ใช้ความยินยอมเป็นฐานทางกฎหมายสำหรับทุกกิจกรรมโดยไม่จำเป็น | ลูกค้าสามารถถอนความยินยอมได้ตลอดเวลาจนกระทบการดำเนินธุรกิจปกติ | ประเมินและเลือกฐานทางกฎหมายที่เหมาะสมกับแต่ละกิจกรรม เช่น สัญญาหรือประโยชน์โดยชอบด้วยกฎหมาย |
| ไม่มีขั้นตอนแจ้งเหตุข้อมูลรั่วไหลที่ชัดเจน | แจ้งสำนักงาน สคส. ไม่ทันภายใน 72 ชั่วโมงและถูกดำเนินการทางปกครอง | จัดทำคู่มือรับมือเหตุพร้อมกำหนดผู้รับผิดชอบและช่องทางแจ้งเหตุล่วงหน้า |
| เก็บข้อมูลเกินความจำเป็นโดยไม่มีนโยบายทำลายข้อมูล | เพิ่มความเสี่ยงหากเกิดเหตุรั่วไหลและอาจถูกตั้งคำถามเรื่อง Data Minimisation | กำหนดระยะเวลาเก็บรักษาข้อมูลแต่ละประเภทและตั้งระบบทำลายข้อมูลอัตโนมัติ |
| มอบหมายงานให้ผู้รับจ้างภายนอกโดยไม่มีสัญญาประมวลผลข้อมูล | ผู้ควบคุมข้อมูลยังต้องรับผิดหากผู้รับจ้างทำข้อมูลรั่วไหล | จัดทำ Data Processing Agreement ที่กำหนดขอบเขตและมาตรการรักษาความปลอดภัยชัดเจน |
| เข้าใจผิดว่ามีนโยบายความเป็นส่วนตัวแล้วคือปฏิบัติตาม PDPA ครบถ้วน | ขาดหลักฐาน ROP และกระบวนการภายในเมื่อถูกตรวจสอบจริง | จัดทำระบบครบวงจรตั้งแต่ ROP นโยบาย จนถึงการอบรมพนักงานอย่างต่อเนื่อง |
ทำเอง vs จ้างพนักงาน vs ใช้เรา
| หัวข้อ | ทำเอง | จ้างพนักงานประจำ | Thai Law & Accounting |
|---|---|---|---|
| การกำหนดฐานทางกฎหมาย | มักเลือกความยินยอมทุกกรณีเพราะดูปลอดภัยที่สุด | ขึ้นกับว่ามีนิติกรที่เข้าใจ PDPA เชิงลึกหรือไม่ | วิเคราะห์แต่ละกิจกรรมแยกกันและเลือกฐานที่เหมาะสมที่สุด |
| การจัดทำ ROP | มักทำแบบผิวเผินหรือไม่ได้ทำเลย | ทำได้แต่คุณภาพแปรผันตามภาระงานอื่น | จัดทำ ROP ฉบับละเอียดพร้อมปรับปรุงตามรอบตรวจสอบ |
| ความพร้อมรับมือเหตุข้อมูลรั่วไหล | ไม่มีขั้นตอนที่ซ้อมไว้ล่วงหน้า | มีแนวทางกว้างๆ แต่ไม่ผ่านการซ้อมจริง | มีคู่มือพร้อมบทบาทหน้าที่และเส้นตายที่ชัดเจนภายใน 72 ชั่วโมง |
| การโอนข้อมูลข้ามพรมแดน | มักส่งข้อมูลโดยไม่ตรวจสอบมาตรฐานประเทศปลายทาง | ต้องพึ่งความเห็นกฎหมายจากต่างประเทศเพิ่มเติม | ประเมินมาตรฐานและจัดทำข้อสัญญาคุ้มครองข้อมูลที่เหมาะสม |
| ต้นทุนการดูแลต่อเนื่อง | ต่ำในระยะสั้นแต่เสี่ยงค่าปรับสูงในระยะยาว | ต้องจ้างบุคลากรเฉพาะทางเพิ่มซึ่งมีต้นทุนคงที่สูง | จ่ายตามขอบเขตงานจริงพร้อมทีมผู้เชี่ยวชาญที่ปรับตามความจำเป็น |
มุมบัญชี–ภาษีของงานนี้
ระบบ PDPA ไม่ได้แยกขาดจากงานบัญชี เพราะข้อมูลเงินเดือน ข้อมูลลูกหนี้ และข้อมูลลูกค้าที่ฝ่ายบัญชีถืออยู่ล้วนเป็นข้อมูลส่วนบุคคลที่ต้องอยู่ภายใต้กรอบเดียวกัน
เอกสารทางบัญชีต้องเก็บอย่างน้อย 5 ปีตามประมวลรัษฎากร ต้องกำหนดนโยบายเก็บรักษาที่สอดคล้องกันทั้งสองกฎหมาย
ต้องจำกัดสิทธิเข้าถึงไฟล์เงินเดือนเฉพาะผู้ที่เกี่ยวข้องและมีสัญญาความลับกับผู้ให้บริการทำบัญชีภายนอก
เมื่อว่าจ้างสำนักงานบัญชีภายนอก ต้องมีข้อตกลงประมวลผลข้อมูลระบุขอบเขตและมาตรการรักษาความปลอดภัย
หากถูกปรับทางปกครอง ทีมบัญชีต้องบันทึกและรายงานผลกระทบทางการเงินอย่างถูกต้องในงบการเงิน
ศัพท์ที่ควรรู้
ข้อสังเกตจากพื้นที่ที่เราให้บริการ
ธุรกิจในกรุงเทพฯ มักเผชิญความซับซ้อนจากระบบไอทีหลายชุดและการโอนข้อมูลข้ามพรมแดนไปสำนักงานใหญ่ต่างประเทศ จึงต้องเน้นที่สัญญาประมวลผลข้อมูลและมาตรฐานการโอนข้อมูลระหว่างประเทศเป็นหลัก ขณะที่ลูกค้าของเราในขอนแก่น อุดรธานี และหนองคายส่วนใหญ่เป็นธุรกิจครอบครัวหรือ SME ที่เพิ่งเริ่มเก็บข้อมูลลูกค้าอย่างเป็นระบบ งานส่วนใหญ่จึงเน้นการวาง Data Mapping และแบบฟอร์มยินยอมพื้นฐานให้ใช้งานได้จริงในหน้าร้านหรือคลินิก ทีมที่สำนักงานขอนแก่นและอุดรธานีมักลงพื้นที่ตรวจสอบกระบวนการเก็บข้อมูลหน้างานร่วมกับเจ้าของกิจการโดยตรง ส่วนสำนักงานหนองคายรองรับลูกค้าที่มีการค้าชายแดนซึ่งต้องพิจารณาการส่งข้อมูลข้ามประเทศเพื่อนบ้านเพิ่มเติมจากกรอบทั่วไป
พื้นที่ให้บริการ
เราให้บริการครบ 77 จังหวัดผ่านระบบยื่นออนไลน์ ส่วนหน้าคู่มือด้านล่างเป็นจังหวัดที่เราเขียนข้อมูลเฉพาะพื้นที่ไว้จริง เช่น สำนักงานสรรพากรพื้นที่ที่ดูแล และอุตสาหกรรมหลักของจังหวัด
FAQ
บังคับใช้กับผู้ควบคุมข้อมูลทุกขนาดที่เก็บ ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลในไทย ไม่มีข้อยกเว้นตามขนาดธุรกิจ เพียงแต่ระดับความเข้มข้นของระบบอาจต่างกัน
ไม่ทุกบริษัท กฎหมายกำหนดให้ต้องมี DPO เฉพาะกรณี เช่น ประมวลผลข้อมูลจำนวนมากเป็นกิจกรรมหลัก หรือประมวลผลข้อมูลอ่อนไหวในปริมาณมาก เราช่วยประเมินว่าองค์กรของท่านเข้าเงื่อนไขหรือไม่
ข้อมูลอ่อนไหว เช่น เชื้อชาติ ศาสนา ประวัติสุขภาพ ข้อมูลชีวภาพ ต้องได้รับความยินยอมโดยชัดแจ้งในระดับที่เข้มงวดกว่าข้อมูลทั่วไป
ให้ประเมินระดับความเสี่ยงที่มีต่อเจ้าของข้อมูลก่อน หากเข้าเกณฑ์ความเสี่ยงสูงต้องรายงานสำนักงาน สคส. ให้ทันภายในกรอบเวลา 72 ชั่วโมง และหากความเสี่ยงกระทบสิทธิเสรีภาพของเจ้าของข้อมูลอย่างมีนัยสำคัญ ต้องรีบแจ้งเจ้าของข้อมูลโดยเร็วที่สุดเช่นกัน
มีทั้งโทษปรับทางปกครองสูงสุด 5 ล้านบาท โทษอาญาในบางกรณี และความรับผิดทางแพ่งรวมถึงค่าเสียหายเชิงลงโทษที่ศาลอาจสั่งเพิ่มเติมได้
ไม่จำเป็นเสมอไป หากมีฐานทางกฎหมายอื่นรองรับ เช่น การปฏิบัติตามสัญญาหรือหน้าที่ตามกฎหมาย ก็สามารถประมวลผลได้โดยไม่ต้องขอความยินยอม
ทำได้ หากประเทศปลายทางมีมาตรฐานคุ้มครองข้อมูลที่เพียงพอ หรือมีมาตรการคุ้มครองที่เหมาะสม เช่น ข้อสัญญามาตรฐานหรือความยินยอมของเจ้าของข้อมูล
ฝ่ายบัญชีและ HR มักถือข้อมูลเงินเดือนและข้อมูลส่วนบุคคลจำนวนมาก เราช่วยตรวจสอบว่าระบบบัญชีเงินเดือนและการเก็บเอกสารสอดคล้องกับหลัก Data Minimisation และระยะเวลาการเก็บรักษาที่เหมาะสม
บริการที่เกี่ยวข้อง
ร่าง ตรวจ และเจรจาสัญญาให้รัดกุม ปิดความเสี่ยงก่อนเซ็น
ดูรายละเอียดบริการที่ปรึกษากฎหมายประจำ ดูแลสัญญา ข้อพิพาท และการปฏิบัติตามกฎหมาย
ดูรายละเอียดบริการจัดทำข้อบังคับเกี่ยวกับการทำงานและวางระบบสิทธิลูกจ้างให้ถูกต้องตามกฎหมายแรงงาน
ดูรายละเอียดบริการขอคำปรึกษา 30 นาที ผ่าน LINE โทร หรืออีเมล
ติดต่อเรา