PDPA 2026 — บังคับใช้จริงจัง ค่าปรับจริง กรณีจริง ธุรกิจไทยต้องปรับตัวอย่างไร
1 สิงหาคม 2568 ถือเป็นจุดเปลี่ยนสำคัญของ landscape การคุ้มครองข้อมูลส่วนบุคคลในประเทศไทย เมื่อสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (PDPC) ประกาศคำสั่งปรับทางปกครองครั้งใหญ่ — รวมค่าปรับกว่า 21.5 ล้านบาท ใน 5 คดี 8 บทลงโทษ ครอบคลุมทั้งหน่วยงานภาครัฐและเอกชน
ยุคของการ "เตือน" และ "ให้เวลาปรับตัว" สิ้นสุดลงแล้ว ตอนนี้ PDPC พร้อมบังคับใช้กฎหมายอย่างจริงจัง และธุรกิจไทยที่ยังไม่พร้อมกำลังเผชิญความเสี่ยงที่จับต้องได้
สถานการณ์ปัจจุบัน: จากกฎหมายบนกระดาษสู่การบังคับใช้จริง
พ.ร.บ. คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 (PDPA) มีผลบังคับใช้เต็มรูปแบบตั้งแต่เดือนมิถุนายน 2565 แต่ในช่วง 2-3 ปีแรก PDPC เน้นการสร้างความรู้ความเข้าใจมากกว่าการลงโทษ ทำให้หลายองค์กรยังอยู่ในโหมด "รอดู" ว่าจะเข้มจริงหรือไม่
คำตอบมาแล้ว — เข้มจริง
การประกาศคำสั่งปรับในเดือนสิงหาคม 2568 ส่งสัญญาณชัดเจนว่า PDPC กำลังเปลี่ยนจาก "ผู้ให้ความรู้" เป็น "ผู้บังคับใช้กฎหมาย" อย่างเต็มตัว และไม่มีองค์กรไหนจะได้รับการยกเว้น ไม่ว่าจะเป็นภาครัฐหรือเอกชน
กรณีจริง: 5 คดีที่ธุรกิจไทยต้องเรียนรู้
คดีที่ 1: หน่วยงานรัฐ — ข้อมูลรั่ว 200,000 รายการ
เว็บแอปพลิเคชันของหน่วยงานรัฐถูกโจมตีทางไซเบอร์ ทำให้ข้อมูลส่วนบุคคล 200,000 รายการรั่วไหล ทั้งหน่วยงานเจ้าของข้อมูลและผู้พัฒนาระบบถูกปรับรวม 153,120 บาท สาเหตุหลักคือ:
- ไม่มีมาตรการ Privacy-by-Design ในการพัฒนาระบบ
- ขาดโปรโตคอลป้องกันและตอบสนองเหตุละเมิด
- ไม่แจ้ง PDPC และเจ้าของข้อมูลภายในเวลาที่กำหนด
บทเรียน: แม้จะเป็นหน่วยงานรัฐก็ไม่ได้รับการยกเว้น และ ผู้พัฒนาระบบในฐานะ Data Processor ก็ถูกปรับด้วย
คดีที่ 2: บริษัทขายสินค้าไอที — ปรับ 7 ล้านบาท
บริษัทค้าปลีกสินค้าไอทีถูกปรับ 7 ล้านบาท หลังข้อมูลลูกค้ารั่วไหลและถูกนำไปใช้ในขบวนการคอลเซ็นเตอร์หลอกลวง ความผิดพลาดที่สำคัญ:
- ไม่แต่งตั้ง Data Protection Officer (DPO) ทั้งที่มีข้อมูลจำนวนมาก
- ไม่รายงานเหตุละเมิดข้อมูล
- มาตรการรักษาความปลอดภัยไม่เพียงพอ
บทเรียน: การไม่แต่งตั้ง DPO เมื่อกฎหมายกำหนดถือเป็นความผิดร้ายแรง และค่าปรับสูงถึงหลักล้าน
คดีที่ 3: บริษัทเครื่องสำอาง — ปรับ 2.5 ล้านบาท
บริษัทเครื่องสำอางถูกปรับ 2.5 ล้านบาท จากการไม่ดำเนินมาตรการรักษาความปลอดภัยที่เหมาะสม และไม่แจ้ง PDPC เมื่อเกิดเหตุข้อมูลรั่วไหล
บทเรียน: ไม่ว่าจะเป็นธุรกิจขนาดใดก็ตาม หากจัดการข้อมูลส่วนบุคคลของลูกค้าจำนวนมาก ต้องมีมาตรการรักษาความปลอดภัยที่ได้มาตรฐาน
คดีที่ 4: บริษัทของเล่นและ Data Processor — ปรับรวม 3.5 ล้านบาท
บริษัทของเล่นและผู้ประมวลผลข้อมูล (Data Processor) ถูกปรับ 500,000 บาท และ 3 ล้านบาท ตามลำดับ หลังระบบจองออนไลน์ถูกเจาะ ส่งผลกระทบต่อข้อมูลกว่า 200,000 รายการ
ที่น่าสนใจคือ Data Processor ถูกปรับหนักกว่า Data Controller เพราะ:
- ไม่แจ้ง Controller เมื่อพบเหตุละเมิด
- ไม่ดำเนินมาตรการแก้ไขอย่างทันท่วงที
- ขาดความรับผิดชอบในฐานะผู้ประมวลผลข้อมูล
บทเรียน: Vendor และ outsourced partner ที่เป็น Data Processor มีความรับผิดชอบทางกฎหมายโดยตรง
กฎ Cross-Border Data Transfer: เข้มขึ้นอย่างมีนัยสำคัญ
สิ่งที่เปลี่ยนไป
ในปี 2568 PDPC ได้ออกกฎระเบียบใหม่เกี่ยวกับการถ่ายโอนข้อมูลข้ามพรมแดนที่สำคัญหลายฉบับ:
1. กรอบ Binding Corporate Rules (BCRs)
PDPC ประกาศระเบียบว่าด้วยการตรวจสอบและรับรอง BCRs (พ.ศ. 2568) เมื่อ 29 กันยายน 2568 โดยมีบริษัท 2 แห่งแรกที่ได้รับการอนุมัติ BCRs ในวันถัดมา ถือเป็นก้าวสำคัญจากทฤษฎีสู่การปฏิบัติจริง
2. ช่องทางการส่งข้อมูลที่ถูกกฎหมาย
- Adequacy Route (มาตรา 28): ส่งข้อมูลไปยังประเทศที่ PDPC รับรองว่ามีมาตรฐานเพียงพอ — แต่ ยังไม่มีรายชื่อประเทศที่ได้รับการรับรอง ณ ปัจจุบัน
- Appropriate Safeguards (มาตรา 29): ใช้ BCRs หรือ Standard Contractual Clauses (SCCs) ตามแบบ ASEAN หรือ EU
3. ผลกระทบต่อธุรกิจ
เนื่องจาก PDPC ยังไม่ประกาศรายชื่อประเทศที่มีมาตรฐานเพียงพอ หมายความว่า การส่งข้อมูลไปต่างประเทศทุกครั้งต้องถือว่าส่งไปยังประเทศที่ไม่ผ่านเกณฑ์ จึงต้องมีมาตรการคุ้มครองที่เหมาะสมทุกกรณี
สิ่งที่ธุรกิจต้องทำ
- ทบทวนการใช้ Cloud Services ที่มี server อยู่ต่างประเทศ
- จัดทำ Data Flow Mapping ว่าข้อมูลไหลไปที่ไหนบ้าง
- เตรียม SCCs หรือสมัคร BCRs สำหรับ intra-group transfers
- ตรวจสอบ vendor agreements ว่ามีเงื่อนไข data protection เพียงพอ
PDPA vs GDPR: เปรียบเทียบอัปเดต 2026
ธุรกิจที่ดำเนินงานข้ามพรมแดนจำเป็นต้องเข้าใจความแตกต่างระหว่าง PDPA กับ GDPR เพื่อวางแผนการปฏิบัติตามกฎหมายอย่างครอบคลุม
ความแตกต่างสำคัญ
| หัวข้อ | PDPA (ไทย) | GDPR (EU) |
|---|---|---|
| ค่าปรับสูงสุด | 5 ล้านบาท (~€130,000) ต่อกรณี | €20 ล้าน หรือ 4% ของรายได้ทั่วโลก |
| โทษอาญา | มี — จำคุกสูงสุด 1 ปี | ไม่มีในระดับ EU |
| Consent | อนุญาต Implied Consent บางกรณี | ต้อง Explicit Consent เสมอ |
| Right to Data Portability | มีในกฎหมาย แต่ยังไม่มีแนวปฏิบัติชัด | มีและบังคับใช้เข้มงวด |
| DPO Requirement | ตามเงื่อนไข PDPC กำหนด | ตามลักษณะการประมวลผล |
| Breach Notification | 72 ชั่วโมง (ต่อ PDPC) | 72 ชั่วโมง (ต่อ Supervisory Authority) |
| Cross-Border Transfer | กำลังพัฒนา ยังไม่มี Adequacy List | มี Adequacy Decisions หลายประเทศ |
