รีวิวโดย วิชุฑา อัตตะมัธคอน, LL.M., ใบอนุญาตประกอบวิชาชีพทนายความ 3149/2556 จาก ThaiLawOnline ซึ่งเป็นบริษัทกฎหมายในประเทศไทยที่ให้บริการด้านกฎหมายแก่ชาวต่างชาติมาตั้งแต่ปี 2006.
ปรับปรุงล่าสุดเมื่อ
พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล (พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562, the พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 (2019), บางครั้งเขียนว่า PDPA ของไทย หรือ พระราชบัญญัติการคุ้มครองข้อมูลส่วนบุคคลของประเทศไทย) เป็นกฎหมายคุ้มครองข้อมูลส่วนบุคคลทั่วไปของประเทศไทย ซึ่งจัดทำขึ้นตามแบบ GDPR ของยุโรป และมีผลบังคับใช้เต็มรูปแบบตั้งแต่วันที่ 1 มิถุนายน 2022 โดยควบคุมบุคคลใดก็ตามที่เก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลเกี่ยวกับบุคคลที่ยังมีชีวิตอยู่ซึ่งสามารถระบุตัวได้ กำหนดให้ต้องมีฐานทางกฎหมายในการดำเนินการดังกล่าว ให้สิทธิแก่เจ้าของข้อมูลเหนือข้อมูลนั้น และสนับสนุนกฎเกณฑ์ดังกล่าวด้วยค่าปรับ, ค่าเสียหาย และสำหรับข้อมูลที่ละเอียดอ่อน ถึงขั้นจำคุก ชาวต่างชาติจะพบกับกฎหมายนี้ในฐานะเจ้าของธุรกิจ นายจ้าง ผู้ให้เช่า และในฐานะผู้ที่หนังสือเดินทางของตนถูกถ่ายสำเนา.
สารบัญ
สิ่งที่พระราชบัญญัติกำหนดให้ผู้ควบคุมข้อมูลส่วนบุคคลต้องปฏิบัติ
ขอบเขต. พระราชบัญญัตินี้บังคับใช้กับผู้ควบคุมข้อมูล (ซึ่งเป็นผู้กำหนดเหตุผลและวิธีการใช้ข้อมูล) และผู้ประมวลผลข้อมูล (ซึ่งเป็นผู้ดำเนินการตามคำสั่งของผู้ควบคุมข้อมูล) ที่ตั้งอยู่ในประเทศไทย และโดยมาตรา 5 ยังบังคับใช้กับผู้ที่ตั้งอยู่ในต่างประเทศที่เสนอสินค้าหรือบริการแก่บุคคลในประเทศไทย หรือติดตามพฤติกรรมของบุคคลเหล่านั้น การใช้เพื่อประโยชน์ส่วนตัวหรือในครัวเรือนเท่านั้นอยู่นอกขอบเขตของพระราชบัญญัตินี้.
ฐานทางกฎหมายและข้อมูลที่ละเอียดอ่อน. ข้อมูลส่วนบุคคลจะเก็บรวบรวมได้เฉพาะเมื่อได้รับความยินยอมหรือมีฐานทางกฎหมายอื่นที่พระราชบัญญัติกำหนดไว้ ได้แก่ การปฏิบัติตามสัญญา การปฏิบัติตามหน้าที่ตามกฎหมาย ประโยชน์สำคัญต่อชีวิต การปฏิบัติภารกิจเพื่อประโยชน์สาธารณะ หรือประโยชน์โดยชอบด้วยกฎหมายของผู้ควบคุมข้อมูลส่วนบุคคล มาตรา 26 ถือว่าข้อมูลเกี่ยวกับเชื้อชาติ เผ่าพันธุ์ ความคิดเห็นทางการเมือง ความเชื่อทางศาสนา พฤติกรรมทางเพศ, ประวัติอาชญากรรม, ข้อมูลด้านสุขภาพ ความพิการ สมาชิกสหภาพแรงงาน ข้อมูลทางพันธุกรรมและข้อมูลชีวมิติถือเป็นข้อมูลที่ละเอียดอ่อน และต้องได้รับความยินยอมอย่างชัดแจ้ง เว้นแต่จะเข้าข้อยกเว้นที่แคบ ผู้ควบคุมข้อมูลต้องแจ้งให้ผู้คนทราบว่าข้อมูลใดที่ถูกเก็บรวบรวมและเหตุผลในการเก็บรวบรวมดังกล่าว พร้อมทั้งต้องรักษาความปลอดภัยข้อมูลดังกล่าว และแจ้งให้หน่วยงานกำกับดูแลทราบถึงกรณีการละเมิดภายใน 72 ชั่วโมง และต้องปฏิบัติตามคำขอเข้าถึง แก้ไข ลบ หรือโอนข้อมูลดังกล่าว.
เมื่อชาวต่างชาติพบกับ พ.ร.บ. คุ้มครองข้อมูลส่วนบุคคล (PDPA) ในทางปฏิบัติ
การบริหารธุรกิจ. บริษัทในประเทศไทยที่มีลูกค้า พนักงาน หรือเว็บไซต์จำเป็นต้องมีประกาศเกี่ยวกับความเป็นส่วนตัว ข้อความยินยอมสำหรับการทำการตลาด บันทึกรายการการประมวลผล (ธุรกิจขนาดเล็กได้รับการยกเว้นบางส่วน) สัญญากับผู้ประมวลผลข้อมูล เช่น ผู้ให้บริการด้านเงินเดือน และเจ้าหน้าที่คุ้มครองข้อมูล หากบริษัทมีการตรวจสอบบุคคลในวงกว้างหรือจัดการข้อมูลที่ละเอียดอ่อนเป็นกิจกรรมหลัก ตามมาตรา 28 การโอนข้อมูลไปยังต่างประเทศ รวมถึงไปยังสำนักงานใหญ่ในต่างประเทศ จำเป็นต้องมีปลายทางที่มีการคุ้มครองที่เพียงพอ เว้นแต่จะมีการยกเว้น เช่น การยินยอม การปฏิบัติตามสัญญา หรือภาระผูกพันทางกฎหมาย ส่วนมาตรา 29 ก็ยังอนุญาตให้มีการโอนข้อมูลภายใต้นโยบายคุ้มครองข้อมูลส่วนบุคคลภายในเครือกิจการที่ได้รับการรับรอง หรือมาตรการป้องกันที่เหมาะสมอื่นๆ.
ในฐานะผู้ให้เช่า เจ้าของที่พัก หรืออาคารชุด. การถ่ายสำเนาหนังสือเดินทางของผู้เช่าเพื่อยื่นแบบ ตม.30 อาศัยฐานภาระผูกพันตามกฎหมายและไม่จำเป็นต้องได้รับความยินยอม แต่การเก็บสำเนาไว้เป็นเวลาหลายปี หรือการที่ นิติบุคคลอาคารชุด เปิดเผยภาพจากกล้องวงจรปิดหรือรายชื่อผู้พักอาศัย ไม่ได้อาศัยฐานดังกล่าว ผู้กำกับดูแลคือคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล ภายใต้กระทรวงดิจิทัลเพื่อเศรษฐกิจและสังคม.
บทกำหนดโทษและความแตกต่างของ PDPA กับกฎหมายอื่นๆ
ค่าปรับทางปกครองกำหนดไว้สามระดับ คือไม่เกิน 1,000,000 บาท 3,000,000 บาท และ 5,000,000 บาท โดยระดับสูงสุดใช้กับการฝ่าฝืนที่เกี่ยวกับข้อมูลที่ละเอียดอ่อน (มาตรา 82 ถึง 84) ในการเรียกร้องทางแพ่งโดยผู้ได้รับความเสียหาย ศาลมีอำนาจสั่งให้จ่ายค่าสินไหมทดแทนเพื่อการลงโทษได้ไม่เกินสองเท่าของความเสียหายที่แท้จริง ความรับผิดทางอาญาตามมาตรา 79 เกิดขึ้นเมื่อมีการใช้หรือเปิดเผยข้อมูลที่ละเอียดอ่อนโดยไม่ชอบด้วยกฎหมาย: จำคุกไม่เกิน 6 เดือน ปรับไม่เกิน 500,000 บาท หรือทั้งจำทั้งปรับ หากการกระทำนั้นน่าจะทำให้ผู้อื่นเกิดความเสียหายหรือเสียชื่อเสียง และจำคุกไม่เกิน 1 ปี ปรับไม่เกิน 1,000,000 บาท หรือทั้งจำทั้งปรับ หากกระทำเพื่อแสวงหาประโยชน์ที่มิควรได้โดยชอบด้วยกฎหมาย ความผิดนี้เป็นความผิดอันยอมความได้ ในกรณีที่บริษัทเป็นผู้กระทำความผิด กรรมการ ผู้จัดการ หรือบุคคลอื่นผู้รับผิดชอบจะต้องรับผิดเฉพาะเมื่อความผิดนั้นเกิดจากการสั่งการหรือการกระทำของบุคคลนั้น หรือจากการไม่สั่งการหรือไม่กระทำการซึ่งเป็นหน้าที่ที่ต้องกระทำ (มาตรา 81) ไม่มีข้อสันนิษฐานความผิดต่อกรรมการ.
PDPA ไม่ใช่ พระราชบัญญัติว่าด้วยการกระทำความผิดเกี่ยวกับคอมพิวเตอร์, ซึ่งมีบทลงโทษสำหรับกิจกรรมการแฮ็กและเนื้อหาปลอมบนออนไลน์ และไม่ใช่การหมิ่นประมาท ซึ่งเกี่ยวข้องกับชื่อเสียง การรั่วไหลของรายชื่อลูกค้าถือเป็นเรื่องของ PDPA ส่วนการโพสต์ข้อความปลอมเกี่ยวกับลูกค้าถือเป็นการหมิ่นประมาท และการบุกรุกฐานข้อมูลถือเป็นอาชญากรรมทางคอมพิวเตอร์.
ปรับปรุงล่าสุด: 29 กันยายน 2569. พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 มาตรา 5, 37, 78, 79, 81 และ 82 ถึง 84 ได้อ่านจากตัวบทภาษาไทย รายการฐานทางกฎหมายในการประมวลผล รายการข้อมูลส่วนบุคคลที่มีความอ่อนไหว ข้อยกเว้นเรื่องการบันทึกรายการกิจกรรมการประมวลผล และตัวอย่าง TM30 ระบุไว้ตามที่อธิบายกันโดยทั่วไป และไม่ได้อ่านซ้ำทีละมาตราในการตรวจทานครั้งนี้.
คำถามที่พบบ่อย
PDPA บังคับใช้กับธุรกิจขนาดเล็กหรือบริษัทต่างชาติในประเทศไทยหรือไม่
ใช่ทั้งสองข้อ ธุรกิจใดๆ ในประเทศไทยที่มีข้อมูลส่วนบุคคลของลูกค้าหรือพนักงานถือเป็นผู้ควบคุมข้อมูล และมาตรา 5 ขยายการใช้บังคับของพระราชบัญญัตินี้ไปยังบริษัทต่างชาติที่ขายสินค้าหรือบริการให้แก่บุคคลในประเทศไทย หรือติดตามพฤติกรรมของบุคคลในประเทศไทย ธุรกิจขนาดเล็กได้รับการผ่อนปรนเพียงบางส่วน โดยหลักๆ คือได้รับการยกเว้นหน้าที่ในการจัดทำบันทึกรายการกิจกรรมการประมวลผล ไม่ใช่ได้รับการยกเว้นจากตัวพระราชบัญญัติเอง.
บทลงโทษตาม PDPA ของไทยมีอะไรบ้าง?
ค่าปรับทางปกครองไม่เกิน 5,000,000 บาทต่อการฝ่าฝืนแต่ละครั้ง ค่าเสียหายทางแพ่งรวมถึงค่าสินไหมทดแทนเพื่อการลงโทษไม่เกินสองเท่าของความเสียหายที่แท้จริง และสำหรับการใช้หรือเปิดเผยข้อมูลที่ละเอียดอ่อนโดยไม่ชอบด้วยกฎหมาย จำคุกไม่เกิน 6 เดือนและปรับไม่เกิน 500,000 บาท หรือจำคุกไม่เกิน 1 ปีและปรับไม่เกิน 1,000,000 บาท หากกระทำเพื่อแสวงหาประโยชน์ที่มิควรได้โดยชอบด้วยกฎหมาย กรรมการจะต้องรับผิดเป็นการส่วนตัวในความผิดของบริษัทเฉพาะเมื่อความผิดนั้นเกิดจากการสั่งการ การกระทำ หรือการละเว้นไม่กระทำการของกรรมการนั้นเอง.
ภายใต้กฎหมายคุ้มครองข้อมูลส่วนบุคคล (PDPA) ของประเทศไทย เจ้าของบ้านเช่าสามารถเก็บสำเนาหนังสือเดินทางของคุณได้หรือไม่
ผู้ให้เช่าอาจสำเนาหนังสือเดินทางเพื่อปฏิบัติตามข้อผูกพันทางกฎหมาย เช่น การแจ้ง ต.ม. 30 และเพื่อปฏิบัติตามสัญญาเช่า โดยไม่ต้องได้รับความยินยอมแยกต่างหาก การเก็บรักษาเกินกว่าวัตถุประสงค์ดังกล่าว การเปิดเผย หรือการนำไปใช้เพื่อการอื่น จำเป็นต้องมีฐานทางกฎหมาย และผู้เช่ามีสิทธิ์สอบถามถึงข้อมูลที่มีอยู่และขอให้ลบข้อมูลนั้นได้เมื่อสิ้นสุดวัตถุประสงค์แล้ว.
ดูเพิ่มเติม: พระราชบัญญัติว่าด้วยการกระทำความผิดเกี่ยวกับคอมพิวเตอร์, การหมิ่นประมาท, ตม.30, กรรมการ, ความรับผิดทางอาญาขององค์กรในประเทศไทย และ กฎหมายธุรกิจในประเทศไทย.
ข่าวสารกฎหมายไทย ฟรีทางอีเมล
อัปเดตข่าวสารเป็นภาษาอังกฤษที่เข้าใจง่ายเกี่ยวกับการเปลี่ยนแปลงของกฎหมายไทยที่ส่งผลกระทบต่อชาวต่างชาติ: อสังหาริมทรัพย์, วีซ่า, การสมรส, ธุรกิจ และพินัยกรรม จดหมายข่าวสั้นเพียงฉบับเดียวต่อเดือน จากสำนักงานกฎหมายที่ดำเนินงานมาตั้งแต่ปี 2549 ไม่มีการส่งสแปม ยกเลิกรับได้ทุกเมื่อ.