เมื่อวันคุ้มครองข้อมูลส่วนบุคคลของประเทศไทย (Data Privacy Day 2026) สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (สคส./PDPC) ได้เปิดเผยตัวเลขที่สะท้อนภาพรวมของการบังคับใช้ พ.ร.บ. คุ้มครองข้อมูลส่วนบุคคล (PDPA) อย่างชัดเจน — มีเรื่องร้องเรียนสะสมถึง 2,672 เรื่อง ณ เดือนมกราคม 2569
ตัวเลขนี้ไม่ใช่แค่สถิติ แต่เป็นสัญญาณว่า PDPA ไม่ได้เป็นแค่กฎหมายบนกระดาษอีกต่อไป องค์กรที่ยังมองว่า "คงไม่โดน" อาจต้องคิดใหม่
ภาพรวมการบังคับใช้ PDPA ที่เปลี่ยนไป
ในช่วง 2-3 ปีแรกหลัง PDPA มีผลบังคับใช้เต็มรูปแบบเมื่อปี 2565 หลายองค์กรมองว่าการบังคับใช้ยังไม่เข้มข้น เน้นการตักเตือนมากกว่าการลงโทษ แต่ในปี 2568-2569 ภาพนี้เปลี่ยนไปอย่างสิ้นเชิง
สคส. ได้ประกาศโทษปรับทางปกครอง 8 กรณี ใน 5 คดี เมื่อวันที่ 1 สิงหาคม 2568 รวมมูลค่ากว่า 21.5 ล้านบาท ครอบคลุมทั้งภาครัฐและเอกชน ตั้งแต่หน่วยงานราชการ โรงพยาบาลเอกชน บริษัทค้าปลีก ไปจนถึงธุรกิจ SME และ e-Commerce
ที่สำคัญคือรูปแบบการละเมิดที่พบซ้ำ ๆ ล้วนเป็นเรื่องพื้นฐานที่องค์กรทุกขนาดสามารถป้องกันได้
4 การละเมิดที่พบบ่อยที่สุด
1. มาตรการรักษาความปลอดภัยไม่เพียงพอ
นี่คือสาเหตุอันดับหนึ่งของโทษปรับ ตัวอย่างที่ชัดเจน ได้แก่
- หน่วยงานรัฐ ถูกโจมตีทางไซเบอร์ เปิดเผยข้อมูลเกือบ 200,000 รายการ เพราะใช้รหัสผ่านที่อ่อนแอและไม่มีการประเมินความเสี่ยงด้านความปลอดภัย — ปรับ 153,120 บาท
- บริษัทเครื่องสำอาง มีมาตรการรักษาความปลอดภัยไม่เพียงพอจนเกิดเหตุข้อมูลรั่วไหล — ปรับ 2.5 ล้านบาท
- บริษัทจำหน่ายคอมพิวเตอร์ ถูกมิจฉาชีพแอบอ้างเป็น Call Center โดยใช้ข้อมูลลูกค้าที่หลุดออกไป — ปรับ 7 ล้านบาท (สูงสุดจนถึงปัจจุบัน)
2. ไม่แต่งตั้ง DPO (Data Protection Officer)
หลายองค์กรยังไม่ได้แต่งตั้งเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล (DPO) ทั้งที่กฎหมายกำหนดให้ต้องมี สคส. ถือว่าการไม่มี DPO เป็น "ปัจจัยเพิ่มความรุนแรง" ของโทษ ไม่ใช่แค่ข้อแนะนำ (Best Practice) อีกต่อไป แต่เป็นข้อบังคับ (Core Compliance) ที่ต้องปฏิบัติ
3. ไม่แจ้งเหตุการณ์ข้อมูลรั่วไหลภายใน 72 ชั่วโมง
กฎหมายกำหนดให้ผู้ควบคุมข้อมูลต้องแจ้ง สคส. ภายใน 72 ชั่วโมง หลังทราบว่ามีเหตุข้อมูลรั่วไหลที่มีความเสี่ยงต่อสิทธิและเสรีภาพของบุคคล แต่ในหลายกรณีที่ถูกลงโทษ องค์กรไม่ได้แจ้งเหตุเลย หรือแจ้งล่าช้าจนเกินกำหนด
- โรงพยาบาลเอกชน ปล่อยให้ผู้รับจ้างทำลายเอกสารผู้ป่วยกว่า 1,000 ชุดอย่างไม่เหมาะสม จนเอกสารรั่วไหล — ปรับ 1.21 ล้านบาท
- บริษัทจำหน่ายของเล่นสะสม ผู้ให้บริการระบบจองไม่สามารถควบคุมเหตุการณ์ได้ — ปรับ 500,000 บาท (บริษัท) และ 3 ล้านบาท (ผู้ประมวลผลข้อมูล)
4. ไม่มีสัญญาประมวลผลข้อมูล (DPA) กับผู้ประมวลผล
จุดที่น่าสนใจคือ สคส. เริ่มลงโทษ ผู้ประมวลผลข้อมูล (Data Processor) ด้วย ไม่ใช่แค่ผู้ควบคุมข้อมูล (Data Controller) เพียงฝ่ายเดียว องค์กรที่จ้าง Vendor หรือ Outsource โดยไม่มีสัญญาประมวลผลข้อมูล (Data Processing Agreement) ที่ชัดเจน ถือว่ามีความเสี่ยงสูง
กรณี Worldcoin — บทเรียนด้านข้อมูลชีวภาพ
กรณีที่สร้างความสั่นสะเทือนมากที่สุดในปี 2568-2569 คือคำสั่งของ สคส. ต่อ World Network (เดิมชื่อ Worldcoin) ซึ่งเป็นโครงการที่ใช้การสแกนม่านตา (Iris Scan) เพื่อยืนยันตัวตนแลกกับโทเคนดิจิทัล
สิ่งที่เกิดขึ้น:
- World Network เก็บข้อมูลชีวภาพ (Biometric Data) จากผู้ใช้ในไทยกว่า 1.2 ล้านคน
- สคส. พบว่าโครงการนี้ละเมิด PDPA ในหลายประเด็น ได้แก่ การไม่ให้ข้อมูลที่เพียงพอแก่ผู้ใช้ (Transparency), ความยินยอมที่ได้มาไม่ถือว่า "ให้อย่างอิสระ" เพราะใช้โทเคนเป็นสิ่งจูงใจ, และไม่ปฏิบัติตามข้อกำหนดการส่งข้อมูลข้ามประเทศ
- สคส. สั่งให้ ระงับการเก็บข้อมูลชีวภาพในไทย และ ลบข้อมูลม่านตาทั้งหมด ภายในระยะเวลาที่กำหนด
บทเรียนสำคัญ:
กรณีนี้ส่งสัญญาณชัดเจนว่า สคส. พร้อมใช้อำนาจกับบริษัทเทคโนโลยีระดับโลก ไม่ใช่แค่ธุรกิจท้องถิ่น และข้อมูลชีวภาพ (Biometric Data) ซึ่งเป็นข้อมูลอ่อนไหว (Sensitive Data) ตาม PDPA จะถูกตรวจสอบอย่างเข้มงวดเป็นพิเศษ
จาก "Policy on Paper" สู่ "Privacy in Action"
สิ่งที่ สคส. สื่อสารชัดเจนในงาน Data Privacy Day 2026 คือการเปลี่ยนจุดเน้นจาก การมีนโยบาย (Policy-Level Compliance) ไปสู่ การปฏิบัติจริง (Operational Readiness)
หมายความว่าการมีเอกสาร Privacy Policy บนเว็บไซต์ หรือมี Consent Form ให้ลูกค้ากดยินยอม ไม่เพียงพออีกต่อไป สคส. ต้องการเห็นว่าองค์กรมีกระบวนการทำงานจริงที่สอดคล้องกับ PDPA
