Guides กลยุทธ์ดิจิทัล

PDPA คืออะไร? เว็บไซต์และระบบเก็บข้อมูลลูกค้าต้องเตรียมอะไรบ้าง

แนวทางเตรียมเว็บไซต์และระบบลูกค้าให้สอดคล้องกับ PDPA ตั้งแต่แผนที่ข้อมูล ฐานกฎหมาย Notice, Consent, สิทธิ์ ผู้ให้บริการ ความปลอดภัย และเหตุละเมิด

เจ้าหน้าที่สองคนกำลังตรวจแบบฟอร์มสมัครสมาชิก รายชื่อผู้ใช้ และเอกสาร Privacy Notice บนโต๊ะทำงาน

START HERE

ทำความเข้าใจหัวข้อนี้ก่อนเริ่ม

ความหมาย: ข้อมูลส่วนบุคคลตาม PDPA คือข้อมูลเกี่ยวกับบุคคลธรรมดาที่ทำให้ระบุตัวบุคคลนั้นได้โดยตรงหรือโดยอ้อม โดยนิยามในกฎหมายไม่รวมข้อมูลของผู้ถึงแก่กรรมโดยเฉพาะ ตัวอย่างในเว็บไซต์และระบบลูกค้า ได้แก่ ชื่อ เบอร์โทร อีเมล รหัสลูกค้า ประวัติการซื้อ IP Address และข้อมูลหลายรายการที่เมื่อนำมารวมกันแล้วชี้กลับไปยังบุคคลได้
อธิบายเพิ่มเติม: องค์กรอาจเป็นผู้ควบคุมข้อมูลส่วนบุคคล ซึ่งเป็นผู้ตัดสินวัตถุประสงค์และวิธีการประมวลผล หรือเป็นผู้ประมวลผลข้อมูลส่วนบุคคล ซึ่งดำเนินการตามคำสั่งของผู้ควบคุมข้อมูล บทบาท หน้าที่ และสัญญาจึงต้องอิงกิจกรรมจริง ไม่ใช่ชื่อที่คู่สัญญาตั้งไว้ งานเตรียมพร้อมเริ่มจากทำแผนที่ข้อมูล ระบุวัตถุประสงค์และฐานกฎหมาย แจ้งเจ้าของข้อมูล รองรับสิทธิ ควบคุมผู้ให้บริการ กำหนดความปลอดภัย/ระยะเก็บ และซ้อมรับเหตุละเมิด ทั้งนี้ประเด็นเสี่ยงต้องให้ผู้เชี่ยวชาญกฎหมายตรวจ
ตัวอย่าง: ตัวอย่างเช่นแบบฟอร์มติดต่ออาจขอชื่อ อีเมล บริษัท และรายละเอียดโครงการเพื่อให้ทีมตอบกลับ องค์กรต้องบันทึกวัตถุประสงค์และฐานกฎหมาย แสดงประกาศที่เกี่ยวข้อง จำกัดผู้เข้าถึง กำหนดเวลาลบ และมีช่องทางรับคำขอใช้สิทธิ หากต้องการนำอีเมลไปส่งการตลาดเพิ่มเติม ต้องประเมินกิจกรรมนั้นแยกจากการตอบคำถามเดิม

ผลลัพธ์ที่คุณจะได้

คุณจะได้แผน PDPA สำหรับเว็บไซต์และระบบลูกค้าที่เชื่อมข้อมูลจริงกับวัตถุประสงค์ ฐานกฎหมาย Notice, Consent เมื่อจำเป็น สิทธิ ผู้ประมวลผล ความปลอดภัย Retention และการตอบเหตุ โดยไม่ถือว่า Cookie banner คือการปฏิบัติตามทั้งหมด

SCOPE

ขอบเขตของคู่มือนี้

เหมาะสำหรับ

ทีมที่ต้องสำรวจและจัดระบบการประมวลผลข้อมูลส่วนบุคคลของเว็บไซต์ CRM, Lead form, Analytics, Marketing หรือบริการลูกค้า

ยังไม่เหมาะเมื่อ

ต้องตัดสินข้อกฎหมายเฉพาะคดี มีข้อมูลอ่อนไหวหรือผู้เยาว์ ความเสี่ยงสูง การโอนข้ามประเทศ หรือเกิดเหตุละเมิดแล้ว ซึ่งควรให้ DPO หรือที่ปรึกษากฎหมายตรวจโดยตรง

BEFORE YOU START

สิ่งที่ควรเตรียมให้พร้อม

ขอบเขตระบบและนิติบุคคล

กำหนด Domain, Form, CRM, Marketing, Vendor และนิติบุคคลที่เป็นผู้ควบคุมหรือผู้ประมวลผลในรอบนี้
เจ้าของธุรกิจ ข้อมูล และกฎหมาย

มีผู้ตอบเรื่องวัตถุประสงค์ กระบวนการ ระบบ และข้อกฎหมาย โดยไม่ฝากการตัดสินใจทั้งหมดไว้กับทีมเว็บไซต์
หลักฐานการทำงานจริง

เข้าถึง Form, Database fields, Cookie/Tag list, Vendor contract, Retention job และ Incident process ปัจจุบัน

STEP BY STEP

ขั้นตอนการลงมือทำ

ทำแผนที่ข้อมูลและการประมวลผล

เดินตาม Journey ตั้งแต่เก็บ ใช้ เปิดเผย เชื่อม ส่งออก เก็บ จนลบ ระบุประเภทเจ้าของข้อมูล ฟิลด์ ระบบ ประเทศ ผู้รับ และเจ้าของแต่ละกิจกรรม

ผู้รับผิดชอบ
เจ้าของข้อมูลและทีมระบบ

ผลลัพธ์ที่ต้องได้
Data flow และ Processing inventory

วิธีตรวจสอบ
สุ่มหนึ่ง Lead แล้วตามข้อมูลได้ตั้งแต่ Form ไปยังทุกระบบ ผู้รับ Retention และการลบ
กำหนดวัตถุประสงค์และฐานกฎหมาย

เขียนวัตถุประสงค์เฉพาะแต่ละกิจกรรม แยกข้อมูลจำเป็น/ทางเลือก และให้ผู้รับผิดชอบกฎหมายยืนยันฐานกฎหมาย ไม่ใช้ Consent เป็นคำตอบอัตโนมัติ

ผู้รับผิดชอบ
เจ้าของกระบวนการและ Legal/DPO

ผลลัพธ์ที่ต้องได้
Purpose and lawful-basis register

วิธีตรวจสอบ
ทุกฟิลด์และผู้รับข้อมูลเชื่อมกับวัตถุประสงค์ ฐานกฎหมาย และหลักฐานการตัดสินใจได้
ทำ Privacy Notice ให้ตรงกับระบบ

แปลง Processing inventory เป็น Notice ที่อ่านรู้เรื่อง ครอบคลุมผู้ควบคุม วัตถุประสงค์ ข้อมูล ฐาน ผู้รับ ระยะเก็บ สิทธิ ช่องทางติดต่อ และการเปลี่ยนแปลง

ผู้รับผิดชอบ
Legal/DPO และ Content owner

ผลลัพธ์ที่ต้องได้
Notice-to-processing mapping และข้อความที่อนุมัติ

วิธีตรวจสอบ
ตรวจย้อนทุกข้อความกับระบบและ Contract จริง และผู้ใช้เห็น Notice ก่อนหรือขณะเก็บตามบริบทที่เหมาะสม
ใช้ Consent และ Cookie control เมื่อจำเป็น

แยกสิ่งจำเป็นต่อบริการกับทางเลือก กำหนดข้อความ การเลือกแบบไม่บังคับ การบันทึก Version/เวลา และเส้นทางถอนหรือเปลี่ยนความยินยอมที่ส่งผลถึงระบบปลายทาง

ผู้รับผิดชอบ
Marketing, Legal/DPO และทีมเว็บไซต์

ผลลัพธ์ที่ต้องได้
Consent decision, interface และ evidence record

วิธีตรวจสอบ
ทดสอบ Accept, Reject, Partial choice และ Withdrawal แล้ว Tag/Processing ปลายทางทำงานตามการเลือก
เตรียม Workflow การใช้สิทธิ

กำหนดช่องทางรับคำขอ การยืนยันตัวตน การค้นทุกระบบ การพิจารณา ผู้อนุมัติ การตอบ และ Audit trail โดยไม่เปิดเผยข้อมูลให้ผู้ร้องผิดคน

ผู้รับผิดชอบ
DPO/Privacy coordinator

ผลลัพธ์ที่ต้องได้
Rights request runbook และ Case log

วิธีตรวจสอบ
ซ้อมคำขอตัวอย่างแล้วค้นข้อมูล ประสาน Vendor และบันทึกเหตุผล/เวลาของแต่ละขั้นได้
ควบคุมผู้ประมวลผลและการส่งต่อ

ทำรายการ Hosting, CRM, Email, Analytics และ Support vendor ระบุบทบาท คำสั่ง Security, Subprocessor, Location, Breach contact, Return/Deletion และ Exit evidence

ผู้รับผิดชอบ
Procurement, Legal และ System owner

ผลลัพธ์ที่ต้องได้
Processor register และ Contract gap list

วิธีตรวจสอบ
ผู้ให้บริการสำคัญทุกแห่งมีเจ้าของ Contract, ช่องทางเหตุ และหลักฐานคืน/ลบข้อมูลเมื่อสิ้นสุด
กำหนด Security และ Retention ตามความเสี่ยง

ใช้ Least privilege, MFA, Encryption/transport, Logging, Backup และ Vulnerability management ตามความเสี่ยง พร้อมกำหนด Trigger ลบ/ทำลาย/ทำให้ไม่ระบุตัวและจัดการสำเนา

ผู้รับผิดชอบ
Security, Data owner และ System owner

ผลลัพธ์ที่ต้องได้
Control matrix, access test และ retention schedule

วิธีตรวจสอบ
ผู้ใช้ตัวแทนเข้าถึงได้เท่าที่จำเป็น และรายการครบกำหนดถูกลบ/ทำให้ไม่ระบุตัวตาม Job พร้อม Log
เตรียมรับและประเมินเหตุละเมิด

กำหนดช่องทางแจ้งเหตุ เวลาเริ่มนับ ผู้รวบรวมข้อเท็จจริง การควบคุมเหตุ การประเมินความเสี่ยง ผู้ตัดสินใจ การแจ้งสำนักงาน/เจ้าของข้อมูลเมื่อเข้าเงื่อนไข และ Post-incident review

ผู้รับผิดชอบ
หัวหน้าทีมรับเหตุ เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล (DPO) หรือฝ่ายกฎหมาย และผู้บริหาร

ผลลัพธ์ที่ต้องได้
Breach runbook, decision log และ notification templates

วิธีตรวจสอบ
Tabletop exercise สร้าง Timeline, Risk decision, ผู้อนุมัติ และการแจ้งภายในกรอบกฎหมายโดยไม่รอข้อมูลสมบูรณ์เกินจำเป็น

IF / THEN

เงื่อนไขที่ทำให้เส้นทางเปลี่ยน

ถ้าพบข้อมูลอ่อนไหว ผู้เยาว์ การติดตามกว้าง การโอนข้ามประเทศ หรือผลกระทบสูง ให้หยุดการออกแบบทั่วไปและส่ง Legal/DPO ประเมินเพิ่มเติม ไปยังขั้นตอนที่เกี่ยวข้อง
ถ้าสงสัยว่าเกิดเหตุละเมิดแล้ว ให้เข้าสู่ Incident process ทันทีและเก็บเวลา/หลักฐาน ไม่รอให้ Data map ทั้งโครงการเสร็จ ไปยังขั้นตอนที่เกี่ยวข้อง

ข้อมูลส่วนบุคคลในเว็บไซต์และระบบลูกค้ามีอะไรบ้าง

ข้อมูลส่วนบุคคลคือข้อมูลเกี่ยวกับบุคคลธรรมดาที่ทำให้ระบุตัวบุคคลนั้นได้โดยตรงหรือโดยอ้อม โดยนิยามในกฎหมายไม่รวมข้อมูลของผู้ถึงแก่กรรมโดยเฉพาะ ตัวอย่าง ได้แก่ ชื่อ เบอร์โทร อีเมล ที่อยู่ เลขสมาชิก ประวัติการซื้อ ข้อความสนทนา ภาพ เสียง ตำแหน่ง และตัวระบุออนไลน์ เช่น IP Address หรือรหัสอุปกรณ์ เมื่อข้อมูลเหล่านี้เชื่อมกลับไปยังบุคคลได้

ข้อมูลบางประเภทมีความอ่อนไหวและมีเงื่อนไขเพิ่มเติม เช่น ข้อมูลสุขภาพ ชีวภาพ ศาสนา หรือประวัติอาชญากรรม ธุรกิจไม่ควรเก็บเพียงเพราะระบบรองรับ แต่ต้องอธิบายความจำเป็นและมาตรการที่เหมาะสมได้

ฐานกฎหมายไม่ได้มีเพียงความยินยอม

การขอความยินยอมไม่ใช่ฐานกฎหมายเดียว การประมวลผลอาจจำเป็นเพื่อทำสัญญา ปฏิบัติตามกฎหมาย ประโยชน์โดยชอบด้วยกฎหมาย หรือฐานอื่นตามข้อเท็จจริง ธุรกิจต้องเลือกฐานให้ตรงกับกิจกรรม ไม่ควรขอความยินยอมเผื่อทุกกรณี เพราะคำยินยอมต้องถอนง่ายและเมื่อถอนแล้วต้องมีวิธีหยุดกิจกรรมที่อาศัยคำยินยอมนั้น

เขียนวัตถุประสงค์ให้เฉพาะเจาะจง เช่น “ติดต่อกลับเพื่อจัดทำใบเสนอราคา” ชัดกว่า “เพื่อพัฒนาบริการ” หากต้องการใช้ข้อมูลเพื่อวัตถุประสงค์ใหม่ ต้องตรวจว่าฐานเดิมรองรับหรือไม่และต้องแจ้งหรือขอความยินยอมใหม่หรือไม่

ความยินยอมและคุกกี้: เงื่อนไขที่มักพลาด

แยก Cookies ที่จำเป็นต่อการให้บริการออกจาก Analytics, Personalization และ Advertising ตามวัตถุประสงค์จริง อย่าตั้งค่ากลุ่มที่ต้องอาศัยคำยินยอมให้ทำงานก่อนผู้ใช้เลือก ปุ่มยอมรับ ปฏิเสธ และเปลี่ยนการตั้งค่าควรเข้าถึงได้ง่ายใกล้เคียงกัน พร้อมเก็บหลักฐานว่าใครให้คำยินยอมกับข้อความเวอร์ชันใด เมื่อใด และถอนอย่างไร

กรอบเวลาและเงื่อนไขเมื่อเกิดเหตุละเมิดข้อมูล

เมื่อพบเหตุ ให้ควบคุมความเสียหาย เก็บหลักฐาน ระบุข้อมูลและบุคคลที่ได้รับผลกระทบ ประเมินความเสี่ยง และบันทึกการตัดสินใจ ตามมาตรา 37(4) ผู้ควบคุมข้อมูลต้องแจ้งสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (สคส.) โดยไม่ชักช้าภายใน 72 ชั่วโมงนับแต่ทราบเหตุเท่าที่สามารถทำได้ เว้นแต่เหตุละเมิดนั้นไม่มีความเสี่ยงที่จะมีผลกระทบต่อสิทธิและเสรีภาพของบุคคล

หากเหตุมีความเสี่ยงสูงต่อสิทธิและเสรีภาพ ต้องแจ้งเจ้าของข้อมูลโดยไม่ชักช้าพร้อมแนวทางการเยียวยาด้วย จึงควรเตรียมรายชื่อทีมตอบสนอง ผู้มีอำนาจตัดสินใจ ช่องทางติดต่อ แบบบันทึกเวลา และข้อมูลที่ต้องใช้ประเมินไว้ล่วงหน้า ไม่ควรรอให้เกิดเหตุแล้วจึงเริ่มหาว่าข้อมูลอยู่ที่ใด

ข้อผิดพลาดที่พบบ่อย

เริ่มจากคัดลอก Privacy Policy แต่ไม่สำรวจข้อมูลจริง
ขอความยินยอมทุกอย่างโดยไม่แยกฐานกฎหมาย
ติด Cookie Banner แต่เครื่องมือ Tracking ทำงานก่อนผู้ใช้เลือก
ไม่มีวิธีค้น ลบ หรือแก้ข้อมูลในระบบเชื่อมต่อและไฟล์ส่งออก
ทำสัญญากับ Vendor แต่ไม่ตรวจการตั้งค่าและสิทธิ์ที่ใช้งานจริง
มีแผนแจ้งเหตุแต่ไม่กำหนดผู้ตัดสินใจและไม่เคยซ้อม

SUCCESS SIGNALS

ตัวชี้วัดว่าทำสำเร็จ

ความครอบคลุมของ Processing map

Processing ที่อยู่ในขอบเขตทุกกิจกรรมมี Purpose, Basis, Owner, Recipient, Retention และ System ครบ

แหล่งตรวจวัด: Processing inventory

คำขอใช้สิทธิที่ซ้อมผ่าน

คำขอตัวอย่างผ่าน Intake, Verification, Search, Decision และ Response โดยไม่มีข้อมูลตกหล่นหรือเปิดเผยผิดคน

แหล่งตรวจวัด: Rights exercise record

การตัดสินเหตุละเมิดที่ตรวจย้อนกลับได้

การซ้อมมีเวลาเริ่ม ข้อเท็จจริง การประเมินความเสี่ยง ผู้อนุมัติ และเหตุผลการแจ้ง/ไม่แจ้งครบ

แหล่งตรวจวัด: Incident exercise log

COMPLETION CHECK

ตรวจว่าคู่มือนี้เสร็จสมบูรณ์

ถือว่าพร้อมเมื่อระบบและเอกสารตรงกัน การเก็บ/ใช้/ส่ง/เก็บรักษาทุกรายการมีเจ้าของและเหตุผล Consent/สิทธิทดสอบได้ และทีมซ้อมเหตุละเมิดพร้อมหลักฐานแล้ว ทั้งนี้ต้องผ่านผู้รับผิดชอบกฎหมายขององค์กร

NEXT ACTION

ขั้นตอนต่อไป

ให้เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล (Data Protection Officer: DPO) หรือผู้รับผิดชอบกฎหมายตรวจช่องว่างและการตัดสินใจที่มีความเสี่ยง จากนั้นทบทวนใหม่เมื่อเพิ่มแบบฟอร์ม ผู้ให้บริการ เครื่องมือติดตาม วัตถุประสงค์ หรือฟิลด์ข้อมูล

SOURCES / VERIFIED REFERENCES

แหล่งอ้างอิง

แหล่งข้อมูลภายนอกที่ทีมบรรณาธิการตรวจสอบและใช้ประกอบเนื้อหานี้

พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 — ราชกิจจานุเบกษา (เปิดในแท็บใหม่) Government · ตรวจสอบล่าสุด 4 ก.ย. 2569
Government Platform for PDPA Compliance — สคส. (เปิดในแท็บใหม่) Government · ตรวจสอบล่าสุด 4 ก.ย. 2569

NEXT STEP / ROADMAP

ยังไม่แน่ใจว่าธุรกิจควรเริ่มจากระบบใด?

ตอบคำถามสั้น ๆ เพื่อมองเห็นจุดเริ่มต้นและลำดับถัดไปของ Digital Roadmap ที่เหมาะกับบริบทธุรกิจของคุณ

วาง Roadmap ธุรกิจของคุณ

ทำความเข้าใจหัวข้อนี้ก่อนเริ่ม

ผลลัพธ์ที่คุณจะได้

ขอบเขตของคู่มือนี้

เหมาะสำหรับ

ยังไม่เหมาะเมื่อ

สิ่งที่ควรเตรียมให้พร้อม

ขอบเขตระบบและนิติบุคคล

เจ้าของธุรกิจ ข้อมูล และกฎหมาย

หลักฐานการทำงานจริง

ขั้นตอนการลงมือทำ

ทำแผนที่ข้อมูลและการประมวลผล

กำหนดวัตถุประสงค์และฐานกฎหมาย

ทำ Privacy Notice ให้ตรงกับระบบ

ใช้ Consent และ Cookie control เมื่อจำเป็น

เตรียม Workflow การใช้สิทธิ

ควบคุมผู้ประมวลผลและการส่งต่อ

กำหนด Security และ Retention ตามความเสี่ยง

เตรียมรับและประเมินเหตุละเมิด