PDPA สำหรับร้านเล็กและ SME คือหน้าที่ชุดเดียวกับบริษัทใหญ่ ทั้งการแจ้งลูกค้า ฐานทางกฎหมาย ความปลอดภัย และการตอบคำขอ ที่ผ่อนให้มีเพียงการบันทึกรายการบางส่วน บทความนี้เหมาะกับเจ้าของร้านและผู้จัดการ SME ได้ 10 เรื่องแรกเรียงตามลำดับ และขอบเขตจริงของข้อยกเว้นปี 2567
- ร้านที่เก็บข้อมูลลูกค้าเพื่อค้าขาย ไม่เข้าข้อยกเว้น “ใช้ส่วนตัว” ตามมาตรา 4 (1) จึงอยู่ใต้ PDPA เต็มตัว
- ประกาศยกเว้นปี 2567 ยกเว้นเฉพาะการบันทึกรายการบางข้อ ตามที่ TDPG ข้อ D15–D17 สรุป ไม่ยกเว้นหน้าที่อื่น
- ข้อยกเว้นหายไปถ้าประมวลผลเป็นประจำ มีความเสี่ยง หรือมีข้อมูลอ่อนไหวตามมาตรา 26 และการปฏิเสธคำขอยังต้องบันทึก
- ส่งของตามออเดอร์ใช้ฐานสัญญามาตรา 24 (3) ไม่ต้องขอความยินยอม แต่ส่งโปรฯ มักต้องขอแยกต่างหาก
- ลูกค้าขอดูข้อมูลต้องตอบภายใน 30 วัน (มาตรา 30) ข้อมูลรั่วต้องแจ้ง สคส. ภายใน 72 ชั่วโมงเมื่อมีความเสี่ยง (มาตรา 37 (4))
เจ้าของร้านจำนวนมากคิดว่า PDPA เป็นเรื่องของธนาคาร โรงพยาบาล หรือบริษัทมหาชน แต่ร้านที่จดชื่อและเบอร์ลูกค้าไว้ส่งของ มีกลุ่ม LINE ลูกค้าประจำ หรือติดกล้องหน้าร้าน ล้วนเก็บข้อมูลส่วนบุคคลทั้งสิ้น
บทความนี้ไม่ได้ไล่ทุกมาตรา แต่เรียง 10 เรื่องที่ร้านเล็กควรทำก่อน โดยเริ่มจากเรื่องที่ทำครั้งเดียวแล้วใช้ได้ทั้งร้าน และอธิบายตรง ๆ ว่าข้อยกเว้นสำหรับกิจการขนาดเล็กช่วยได้แค่ไหน
ร้านเล็กต้องทำ PDPA ด้วยหรือ?
ต้องทำ ข้อยกเว้นเรื่องใช้ส่วนตัวในมาตรา 4 (1) แคบกว่าที่หลายคนคิด กฎหมายเขียนไว้ว่าเป็นการเก็บเพื่อประโยชน์ส่วนตนหรือกิจกรรมในครอบครัว “เท่านั้น”
(1) การเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลของบุคคลที่ทำการเก็บรวบรวมข้อมูลส่วนบุคคลเพื่อประโยชน์ส่วนตนหรือเพื่อกิจกรรมในครอบครัวของบุคคลนั้นเท่านั้น
สคส. เคยอธิบายเส้นแบ่งนี้ไว้ในข้อหารือของสถานีตำรวจ D เรื่องคนโพสต์ใบหย่าลง TikTok ความเห็นบอกว่ากฎหมายมุ่งใช้กับผู้ที่เก็บ ใช้ หรือเปิดเผยข้อมูลอย่างเป็นระบบหรือเป็นประจำเพื่อวัตถุประสงค์ของตน
จึงเห็นได้ว่า บทบัญญัติและเจตนารมณ์แห่งกฎหมายดังกล่าวมุ่งประสงค์จะใช้บังคับแก่บุคคลธรรมดาหรือนิติบุคคลที่มีการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลอย่างเป็นระบบหรือเป็นประจำสม่ำเสมอเพื่อวัตถุประสงค์อย่างใดอย่างหนึ่งขององค์กรหรือของบุคคลนั้น
ร้านที่จดเบอร์ลูกค้าทุกวันเพื่อส่งของ หรือเก็บรายชื่อสมาชิกสะสมแต้ม ทำอย่างเป็นประจำเพื่อการค้า ไม่ใช่เรื่องในครอบครัว เจ้าของร้านที่เป็นบุคคลธรรมดาก็เป็นผู้ควบคุมข้อมูลส่วนบุคคลได้ ไม่ต้องจดทะเบียนบริษัทก่อน
ข้อยกเว้นของกิจการขนาดเล็กปี 2567 ยกเว้นอะไรบ้าง?
ยกเว้นน้อยกว่าที่เล่าต่อกันมา ฐานของข้อยกเว้นคือมาตรา 39 วรรคสาม ซึ่งให้คณะกรรมการยกเว้นการบันทึกรายการ (RoPA) บางข้อให้กิจการขนาดเล็กได้ ไม่ได้ยกเว้นหน้าที่อื่นใน PDPA เลย
ความใน (1) (2) (3) (4) (5) (6) และ (8) อาจยกเว้นมิให้นำมาใช้บังคับกับผู้ควบคุมข้อมูลส่วนบุคคลซึ่งเป็นกิจการขนาดเล็กตามหลักเกณฑ์ที่คณะกรรมการประกาศกำหนด เว้นแต่มีการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลที่มีความเสี่ยงที่จะมีผลกระทบต่อสิทธิและเสรีภาพของเจ้าของข้อมูลส่วนบุคคล หรือมิใช่กิจการที่เก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลเป็นครั้งคราว หรือมีการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลตามมาตรา 26
ประกาศที่ใช้อยู่คือประกาศคณะกรรมการฯ เรื่องการยกเว้นการบันทึกรายการของผู้ควบคุมข้อมูลส่วนบุคคลซึ่งเป็นกิจการขนาดเล็ก พ.ศ. 2567 ซึ่งยกเลิกฉบับ 2565 แล้ว รายละเอียดเรื่องวันประกาศและการยกเลิกอยู่ในบทความ ทำ RoPA ให้เสร็จจริง ตัวประกาศเองยังไม่อยู่ในคลังตัวบทของเรา ส่วนนี้จึงอ้างตามที่ TDPG 4.0 ข้อ D15 ถึง D17 สรุปไว้
| กลุ่ม | ตัวอย่างที่ร้านเล็กพบบ่อย |
|---|---|
| วิสาหกิจขนาดย่อมหรือขนาดกลางตามกฎหมายส่งเสริม SME | ร้านค้าปลีก ร้านบริการ โรงงานเล็ก ที่การจ้างงานและรายได้อยู่ในเกณฑ์ของกฎกระทรวง |
| วิสาหกิจชุมชน วิสาหกิจเพื่อสังคม | กลุ่มแปรรูปสินค้าชุมชน |
| สหกรณ์ กลุ่มเกษตรกร มูลนิธิ สมาคม องค์กรศาสนา องค์กรไม่แสวงหากำไร | สหกรณ์ร้านค้า สมาคมศิษย์เก่า |
| นิติบุคคลอาคารชุด นิติบุคคลหมู่บ้านจัดสรร | นิติบุคคลคอนโดเล็ก |
| กิจการครัวเรือน | ร้านขายของหน้าบ้าน |
| กิจการที่ผู้ควบคุมข้อมูลเป็นบุคคลธรรมดา | แม่ค้าออนไลน์ที่ไม่ได้จดเป็นนิติบุคคล |
TDPG ข้อ D16 เพิ่มเงื่อนไขว่าผู้ได้ยกเว้นต้องไม่ใช่ผู้ที่ต้องแต่งตั้งเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล (DPO) ตามมาตรา 41 (1) (2) หรือ (3) และข้อ D17 บอกว่าแม้อยู่ในกลุ่มข้างต้น ก็ยังต้องทำบันทึกรายการถ้าเข้าลักษณะใดลักษณะหนึ่งต่อไปนี้
D17 อย่างไรก็ตาม ผู้ควบคุมข้อมูลส่วนบุคคลซึ่งเป็นกิจการขนาดเล็กเล็กที่ได้รับการยกเว้นข้างต้นยังคงต้องจัดทำบันทึกรายการกิจกรรมการประมวลผลข้อมูลส่วนบุคคลอยู่ หากปรากฏว่ามีการประมวลผลข้อมูลส่วนบุคคลในลักษณะ ดังต่อไปนี้
เงื่อนไข “เป็นประจำ” คือจุดที่ร้านส่วนใหญ่หลุดจากข้อยกเว้น ร้านออนไลน์ที่รับออเดอร์ทุกวันพร้อมชื่อและที่อยู่ลูกค้า หรือร้านที่จ่ายเงินเดือนพนักงานทุกเดือน ยากจะอ้างว่าทำเป็นครั้งคราว ร้านขายยาหรือคลินิกเล็กที่เก็บข้อมูลสุขภาพก็ติดเงื่อนไขข้อมูลอ่อนไหวตั้งแต่ต้น
ทางปฏิบัติที่ปลอดภัยกว่าคือทำบันทึกรายการแบบสั้นไว้เลย TDPG ข้อ D14 บอกว่าจะทำเป็นกระดาษหรือสเปรดชีตก็ได้ ร้านเล็กมักมีกิจกรรมไม่กี่แถว ใช้เวลาไม่นาน และยังใช้เป็นจุดตั้งต้นให้ทำอีกเก้าเรื่องที่เหลือได้เร็วขึ้น
10 เรื่องแรกที่ร้านเล็กควรทำ เรียงอย่างไร?
เรียงจากงานที่ทำครั้งเดียวแล้วใช้ได้ทั้งร้าน ไปสู่งานที่ทำเมื่อมีเหตุ ตารางนี้เป็นภาพรวม รายละเอียดของข้อที่คนพลาดบ่อยอยู่ในหัวข้อถัดไป
| ลำดับ | ทำอะไร | ตัวบทที่เกี่ยว | ผลลัพธ์ที่ควรมี |
|---|---|---|---|
| 1 | จดว่าเก็บข้อมูลอะไร จากใคร เก็บไว้ที่ไหน | มาตรา 39 · มาตรา 22 | รายการกิจกรรมสั้น ๆ |
| 2 | ตัดข้อมูลที่ไม่จำเป็นออกจากแบบฟอร์ม | มาตรา 22 | แบบฟอร์มที่สั้นลง |
| 3 | ทำประกาศความเป็นส่วนตัว | มาตรา 23 | ป้ายหน้าร้าน ลิงก์ในเพจหรือเว็บ |
| 4 | เลือกฐานทางกฎหมายให้แต่ละกิจกรรม | มาตรา 24 · 26 | ฐานกำกับทุกแถว |
| 5 | ขอความยินยอมเฉพาะเรื่องที่ต้องขอ เช่น ส่งโปรฯ | มาตรา 19 | ช่องติ๊กแยก ถอนได้ง่าย |
| 6 | ล็อกโทรศัพท์ บัญชี และสมุดจด | มาตรา 37 (1) | รหัสผ่านไม่ใช้ร่วมกัน |
| 7 | ทำข้อตกลงกับผู้รับจ้างที่แตะข้อมูล | มาตรา 40 | ข้อตกลงกับสำนักงานบัญชี ผู้ส่งของ ผู้ดูแลเว็บ |
| 8 | กำหนดว่าจะเก็บนานเท่าไร แล้วลบจริง | มาตรา 37 (3) | ตารางระยะเวลาเก็บสั้น ๆ |
| 9 | เตรียมรับคำขอของลูกค้า | มาตรา 30 · 33 · 39 (7) | ช่องทางรับคำขอและบันทึกการปฏิเสธ |
| 10 | รู้ว่าข้อมูลรั่วต้องทำอะไร | มาตรา 37 (4) | เบอร์ติดต่อและขั้นตอนหนึ่งหน้า |
ข้อไหนที่ร้านเล็กพลาดบ่อยที่สุด?
ข้อ 3 และ 4: ประกาศความเป็นส่วนตัว กับฐานทางกฎหมาย
ร้านเล็กไม่จำเป็นต้องมีประกาศยาวหลายหน้า มาตรา 23 กำหนดหัวข้อไว้หกเรื่อง เช่น เก็บไปทำอะไร เก็บอะไรและนานเท่าไร เปิดเผยให้ใคร ติดต่อร้านได้ทางไหน และสิทธิของลูกค้า ป้ายหนึ่งแผ่นกับลิงก์หนึ่งหน้าก็ครบได้ ดูวิธีเขียนใน คู่มือประกาศความเป็นส่วนตัว
ความเข้าใจผิดที่พบบ่อยคือคิดว่าต้องขอความยินยอมทุกครั้งที่จดเบอร์ลูกค้า การจดชื่อ ที่อยู่ และเบอร์เพื่อส่งของที่ลูกค้าสั่ง เป็นสิ่งจำเป็นต่อการทำตามสัญญาซื้อขาย มาตรา 24 (3) รองรับไว้แล้ว
(3) เป็นการจำเป็นเพื่อการปฏิบัติตามสัญญาซึ่งเจ้าของข้อมูลส่วนบุคคลเป็นคู่สัญญาหรือเพื่อใช้ในการดำเนินการตามคำขอของเจ้าของข้อมูลส่วนบุคคลก่อนเข้าทำสัญญานั้น
ข้อ 5: ส่งโปรโมชันต้องขอแยก
เบอร์ที่ได้มาเพื่อส่งของ จะเอาไปส่งโปรฯ ต่อเลยไม่ได้ ถ้าการตลาดไม่สอดคล้องกับฐานอื่น ก็ต้องขอความยินยอม และมาตรา 19 วางเงื่อนไขไว้ว่าต้องขอชัดแจ้งและแยกจากข้อความอื่น ถอนก็ต้องง่ายเหมือนตอนให้ รายละเอียดเรื่องลูกค้าเก่าและฐานประโยชน์โดยชอบด้วยกฎหมายอยู่ใน ส่งโปรฯ หาลูกค้าเก่า
การขอความยินยอมต้องทำโดยชัดแจ้ง เป็นหนังสือหรือทำโดยผ่านระบบอิเล็กทรอนิกส์ เว้นแต่โดยสภาพไม่อาจขอความยินยอมด้วยวิธีการดังกล่าวได้
ข้อ 6: โทรศัพท์เครื่องเดียวที่ทั้งร้านใช้
ร้านเล็กหลายร้านให้พนักงานทุกคนใช้โทรศัพท์หรือบัญชี LINE ของร้านด้วยรหัสเดียวกัน มาตรา 37 (1) ให้มีมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสม คำว่าเหมาะสมสำหรับร้านเล็กเริ่มจากเรื่องง่าย ล็อกหน้าจอ แยกบัญชีพนักงาน เปลี่ยนรหัสเมื่อมีคนลาออก และเก็บสมุดจดไว้ในที่ที่ลูกค้าเดินผ่านแล้วอ่านไม่ได้
(1) จัดให้มีมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสม เพื่อป้องกันการสูญหาย เข้าถึง ใช้ เปลี่ยนแปลง แก้ไข หรือเปิดเผยข้อมูลส่วนบุคคลโดยปราศจากอำนาจหรือโดยมิชอบ
ข้อ 7: สำนักงานบัญชีและคนส่งของ
สำนักงานบัญชีที่ทำเงินเดือนให้ หรือคนที่ดูแลเว็บร้านให้ มักทำหน้าที่ผู้ประมวลผลข้อมูลส่วนบุคคล มาตรา 40 วรรคสามให้ผู้ควบคุมข้อมูลจัดให้มีข้อตกลงควบคุมการทำงานของผู้ประมวลผล ไม่จำเป็นต้องเป็นสัญญายาว แต่ควรบอกให้ชัดว่าใช้ข้อมูลได้แค่ไหนและต้องแจ้งเมื่อข้อมูลรั่ว ดู ข้อตกลงกับผู้ประมวลผล
ข้อ 9: ลูกค้าขอดูข้อมูลของตัวเอง
ร้านเล็กได้รับคำขอไม่บ่อย จึงไม่ค่อยเตรียมไว้ พอมีมาจริงมักไม่รู้ว่ามีกำหนดเวลา มาตรา 30 วรรคสี่ให้ทำตามคำขอเข้าถึงและขอรับสำเนาโดยไม่ชักช้า และไม่เกิน 30 วันนับแต่ได้รับคำขอ
เมื่อเจ้าของข้อมูลส่วนบุคคลมีคำขอตามวรรคหนึ่งและเป็นกรณีที่ไม่อาจปฏิเสธคำขอได้ตามวรรคสอง ให้ผู้ควบคุมข้อมูลส่วนบุคคลดำเนินการตามคำขอโดยไม่ชักช้า แต่ต้องไม่เกินสามสิบวันนับแต่วันที่ได้รับคำขอ
ข้อ 10: โทรศัพท์หาย บัญชีถูกแฮก
สำหรับร้านเล็ก ข้อมูลรั่วมักไม่ได้มาจากแฮกเกอร์ แต่มาจากโทรศัพท์ร้านหาย สมุดหาย หรือส่งรายชื่อลูกค้าผิดกลุ่ม มาตรา 37 (4) ให้แจ้ง สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (สคส.) โดยไม่ชักช้าภายใน 72 ชั่วโมงนับแต่ทราบเหตุเท่าที่จะทำได้ เว้นแต่ไม่มีความเสี่ยงต่อสิทธิและเสรีภาพ ถ้าเสี่ยงสูงต้องแจ้งลูกค้าด้วย ขั้นตอนเต็มอยู่ใน ข้อมูลรั่ว 72 ชั่วโมงแรก
ทำทั้ง 10 เรื่องใช้เวลานานแค่ไหน?
สำหรับร้านที่มีพนักงานไม่กี่คน ทำได้ภายในหนึ่งเดือนถ้าแบ่งเป็นสัปดาห์ ลำดับข้างล่างเป็นข้อเสนอของเรา ไม่ใช่กำหนดตามกฎหมาย
- สัปดาห์ที่ 1จดรายการกิจกรรม (ข้อ 1) และตัดช่องที่ไม่จำเป็นออกจากแบบฟอร์มและใบรับออเดอร์ (ข้อ 2)มาตรา 22 · 39
- สัปดาห์ที่ 2ทำประกาศความเป็นส่วนตัว (ข้อ 3) ใส่ฐานทางกฎหมายทุกแถว (ข้อ 4) แยกช่องขอความยินยอมเรื่องโปรฯ (ข้อ 5)มาตรา 19 · 23 · 24
- สัปดาห์ที่ 3ตั้งรหัสและแยกบัญชีพนักงาน (ข้อ 6) ส่งข้อตกลงให้สำนักงานบัญชีและผู้รับจ้าง (ข้อ 7)มาตรา 37 (1) · 40
- สัปดาห์ที่ 4ตั้งระยะเวลาเก็บและลบของเก่า (ข้อ 8) เตรียมช่องทางรับคำขอ (ข้อ 9) และขั้นตอนเมื่อข้อมูลรั่ว (ข้อ 10)มาตรา 30 · 37 (3) (4)
ร้านเล็กต้องมี DPO ไหม?
ร้านทั่วไปมักไม่ต้องมี มาตรา 41 บังคับในสามกรณี คือเป็นหน่วยงานรัฐตามที่ประกาศ ต้องตรวจสอบข้อมูลหรือระบบอย่างสม่ำเสมอเพราะมีข้อมูลจำนวนมากตามที่ประกาศกำหนด หรือกิจกรรมหลักคือข้อมูลอ่อนไหวตามมาตรา 26
กรณีที่สามคือจุดที่ร้านเล็กบางประเภทต้องระวัง เช่น คลินิกหรือร้านที่งานหลักคือข้อมูลสุขภาพ ถ้าเข้ามาตรา 41 (3) ก็ต้องแต่งตั้ง DPO และตาม TDPG ข้อ D16 ยังหลุดจากข้อยกเว้นการบันทึกรายการด้วย อ่านเกณฑ์เต็มใน ใครต้องแต่งตั้ง DPO
คำถามที่พบบ่อย
แม่ค้าออนไลน์ที่ไม่ได้จดบริษัทต้องทำ PDPA ไหม?
ต้องทำ ข้อยกเว้นตามมาตรา 4 (1) ใช้กับการเก็บเพื่อประโยชน์ส่วนตนหรือในครอบครัวเท่านั้น การจดชื่อที่อยู่ลูกค้าเพื่อขายของเป็นการค้า ผู้ขายที่เป็นบุคคลธรรมดาจึงเป็นผู้ควบคุมข้อมูลได้ แต่อาจได้ยกเว้นการบันทึกรายการบางข้อตามประกาศปี 2567
ได้ยกเว้น RoPA แล้ว ไม่ต้องทำอะไรเลยใช่ไหม?
ไม่ใช่ ข้อยกเว้นตามมาตรา 39 วรรคสามยกเว้นเฉพาะการบันทึกรายการบางข้อ หน้าที่แจ้งลูกค้า ฐานทางกฎหมาย ความปลอดภัย การตอบคำขอ และการแจ้งเหตุข้อมูลรั่วยังอยู่ครบ และการปฏิเสธคำขอยังต้องบันทึก
จดเบอร์ลูกค้าไว้ส่งของ ต้องให้ลูกค้าเซ็นยินยอมไหม?
โดยทั่วไปไม่ต้อง การใช้ข้อมูลเพื่อส่งของที่ลูกค้าสั่งเป็นการจำเป็นเพื่อปฏิบัติตามสัญญาตามมาตรา 24 (3) แต่ยังต้องแจ้งตามมาตรา 23 และถ้าจะเอาเบอร์ไปส่งโปรฯ ให้พิจารณาฐานใหม่ ซึ่งมักต้องขอความยินยอม
กล้องวงจรปิดหน้าร้านต้องทำอะไร?
ติดป้ายแจ้ง กำหนดว่าเก็บภาพกี่วัน และจำกัดคนดูภาพ TDPG ข้อ G7.4 ยกตัวอย่างว่าร้านอาหารเก็บภาพสั้นกว่าธนาคารได้ เว้นแต่มีเหตุที่แจ้งตำรวจแล้ว รายละเอียดอยู่ในคู่มือ กล้องวงจรปิด
ร้านเล็กทำผิด PDPA จะโดนอะไร?
PDPA มีทั้งความรับผิดทางแพ่ง โทษอาญาในบางมาตรา และโทษปรับทางปกครอง ขนาดของร้านไม่ได้ทำให้พ้นความรับผิด ดูภาพรวมใน คู่มือโทษตาม PDPA
ตัวบทและแหล่งอ้างอิง
- พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 — มาตรา 4 (1) · 19 · 22 · 23 · 24 (3) · 26 · 30 · 37 (1) (3) (4) · 39 · 40 · 41
- แนวปฏิบัติ TDPG 4.0 (Thailand Data Protection Guidelines) — แนวปฏิบัติ ไม่ใช่กฎหมาย — ข้อ D14 · D15–D17 (สรุปประกาศยกเว้นการบันทึกรายการของกิจการขนาดเล็ก พ.ศ. 2567)
- สำเนาสรุปการตอบข้อหารือ ตาม พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 (สคส.) — ข้อหารือ สถานีตำรวจ D (ความหมายของผู้ควบคุมข้อมูล และข้อยกเว้นมาตรา 4 (1))
ตัวบทที่ยกมาในกรอบ "ตัวบท" คัดคำต่อคำจากคลังกฎหมายของ AIPDPA ซึ่งถอดจากราชกิจจานุเบกษาและเอกสารของหน่วยงานรัฐ แล้วระบบตรวจทุกครั้งที่แก้บทความว่าตรงกับคลังทุกตัวอักษร · บทความนี้เป็นความรู้ทั่วไป ไม่ใช่คำปรึกษากฎหมายสำหรับกรณีใดกรณีหนึ่ง
ลงมือในระบบได้ที่
ใครรับผิดชอบเนื้อหานี้?
เรียบเรียงโดยทีมกฎหมาย AIPDPA · ผู้รับผิดชอบเนื้อหา ภูวรา ครอบตะคุ ทนายความ · เนติบัณฑิตไทย · ที่ปรึกษากฎหมายเทคโนโลยีและทรัพย์สินทางปัญญา
ใบอนุญาตทนายความ 477/2558 · เนติบัณฑิตไทย · นิติศาสตรมหาบัณฑิต กฎหมายทรัพย์สินทางปัญญาและสารสนเทศ (เหรียญทอง)