คำถามที่พบบ่อย
Questions And Answers
PDPA บังคับใช้กับทุกธุรกิจที่มีการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลของบุคคลที่อยู่ในประเทศไทย
องค์กรหรือหน่วยงานของคุณสามารถปฏิบัติตามข้อกำหนดของ PDPA ได้โดยเริ่มต้นจากการจัดให้มีมาตรการคุ้มครองข้อมูลส่วนบุคคลที่อยู่ในความดูแลของตนเองทั้งเชิงปฏิบัติการและเชิงเทคนิค นอกจากนี้ จะต้องปฏิบัติตามข้อกำหนดเฉพาะหลายเรื่อง เช่น การขอความยินยอมจากเจ้าของข้อมูลส่วนบุคคลเพื่อวัตถุประสงค์ในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลตามที่กฎหมายกำหนด การแต่งตั้งเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล (data protection officer: DPO) รวมถึงการแจ้งนโยบายการคุ้มครองข้อมูลส่วนบุคคลให้เจ้าของข้อมูลทราบ เป็นต้น
การไม่ปฏิบัติตามข้อกำหนดของ PDPA อาจทำให้องค์กรหรือหน่วยงานได้รับโทษทั้งทางแพ่ง ทางปกครอง และโทษอาญา เช่น หากมีเหตุละเมิดข้อมูลส่วนบุคคล (data breach) แล้วไม่รายงานสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล อาจได้รับโทษปรับ 3,000,000 บาท หรือการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลบางประเภท (sensitive personal data) อาจได้รับโทษจำคุกสูงสุดไม่เกิน 6 เดือน หรือปรับไม่เกิน 500,000 บาท หรือทั้งจำทั้งปรับ เป็นต้น
องค์กรหรือหน่วยงานของคุณสามารถปฏิบัติตามข้อกำหนดของ PDPA ได้โดยเริ่มต้นจากการจัดให้มีมาตรการคุ้มครองข้อมูลส่วนบุคคลที่อยู่ในความดูแลของตนเองทั้งเชิงปฏิบัติการและเชิงเทคนิค นอกจากนี้ จะต้องปฏิบัติตามข้อกำหนดเฉพาะหลายเรื่อง เช่น การขอความยินยอมจากเจ้าของข้อมูลส่วนบุคคลเพื่อวัตถุประสงค์ในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลตามที่กฎหมายกำหนด การแต่งตั้งเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล (data protection officer: DPO) รวมถึงการแจ้งนโยบายการคุ้มครองข้อมูลส่วนบุคคลให้เจ้าของข้อมูลทราบ เป็นต้น
เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล หรือ DPO เป็นผู้ที่มีความรู้และความเข้าใจด้านกฎหมายคุ้มครองข้อมูลส่วนบุคคล โดย PDPA มีการกำหนดหน้าที่ของ DPO ไว้ซึ่งรวมถึงหน้าที่ในการให้คำแนะนำในการปฏิบัติตาม PDPA ตรวจสอบการดำเนินงานในเรื่องที่เกี่ยวกับข้อมูลส่วนบุคคลขององค์กร และเป็นผู้ประสานงานกับสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล โดยอาจเป็นบุคคลภายในหรือภายนอกองค์กรก็ได้ ทั้งนี้ หากองค์กรที่มีลักษณะตามที่กฎหมายกำหนดให้ต้องตั้ง DPO แต่ไม่ตั้ง อาจได้รับโทษปกครองสูงสุดไม่เกิน 1,000,000 บาท
องค์กรหรือหน่วยงานสามารถเก็บและใช้ข้อมูลที่ได้เก็บรวบรวมมาก่อนวันที่ 1 มิถุนายน 2564 ได้ต่อไปตามวัตถุประสงค์เดิม อย่างไรก็ตาม จะต้องแจ้งให้เจ้าของข้อมูลส่วนบุคคลทราบว่าตนเองมีสิทธิที่จะถอนความยินยอมที่ได้เคยให้ไว้กับองค์กรหรือหน่วยงานได้ทุกเมื่อ