องค์กรของคุณต้องแต่งตั้ง DPO หรือไม่? เช็คเกณฑ์มาตรา 41 และประกาศ พ.ศ. 2566 องค์กรต้องแต่งตั้งเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล (DPO) ใน 3 กรณีตามมาตรา 41 แห่ง พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 คือ เป็นหน่วยงานของรัฐตามที่คณะกรรมการประกาศกำหนด กิจกรรมต้องตรวจสอบข้อมูลหรือระบบอย่างสม่ำเสมอเพราะมีข้อมูลจำนวนมาก หรือกิจกรรมหลักคือการประมวลผลข้อมูลอ่อนไหวตามมาตรา 26 จำนวนพนักงานไม่ใช่เกณฑ์ สิ่งที่ใช้ตัดสินคือลักษณะของกิจกรรมหลัก
เจ้าของฟิตเนสห้าสาขามีพนักงาน 40 คน แต่มีสมาชิกที่สแกนบัตรเข้าใช้บริการกว่า 120,000 คน เขาเชื่อมาตลอดว่าธุรกิจขนาดนี้ไม่ต้องมีเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล (DPO) จนลูกค้าองค์กรรายใหญ่ขอชื่อและช่องทางติดต่อ DPO ก่อนเซ็นสัญญา
สรุปสิ่งที่ต้องรู้
5 ประเด็นที่สำคัญที่สุดของเรื่องนี้ สรุปจากตัวบทและแนวปฏิบัติที่อ้างอิงไว้ท้ายคู่มือ อ่านแค่ส่วนนี้ก็ตัดสินใจขั้นต่อไปได้
- หน้าที่ต้องมี DPO ใช้กับทั้งผู้ควบคุมและผู้ประมวลผลข้อมูลส่วนบุคคลที่เข้า 3 กรณีของมาตรา 41
- ประกาศฯ พ.ศ. 2566 บังคับให้มี DPO เมื่อกิจกรรมหลักต้องตรวจสอบข้อมูลหรือระบบอย่างสม่ำเสมอ และมีข้อมูลจำนวนมากพร้อมกัน
- กิจกรรมหลักที่มีเจ้าของข้อมูลตั้งแต่ 100,000 รายขึ้นไป ให้ถือเป็นข้อมูลจำนวนมาก
- งานสนับสนุน เช่น งานบุคคลและงานไอที ไม่นับเป็นกิจกรรมหลัก
- DPO เป็นพนักงานหรือผู้รับจ้างภายนอกก็ได้ และต้องแจ้งข้อมูลติดต่อ DPO ให้เจ้าของข้อมูลและ สคส. ทราบ
ทำตามนี้ 6 ขั้นตอน
ทำตามลำดับ 6 ขั้นนี้ได้ทันที แต่ละขั้นเขียนให้ทีมในองค์กรไทยลงมือได้จริงโดยไม่ต้องรอที่ปรึกษา และเก็บหลักฐานไว้ให้ผู้ตรวจดูได้
- ระบุกิจกรรมหลักเขียนกิจกรรมที่จำเป็นต่อเป้าหมายหลักของธุรกิจ เช่น การให้บริการลูกค้า แยกออกจากงานสนับสนุนอย่างงานบุคคลและไอที ตามนิยามในข้อ 3 ของประกาศฯ พ.ศ. 2566
- เช็คข้อมูลอ่อนไหวถ้ากิจกรรมหลักคือการเก็บ ใช้ หรือเปิดเผยข้อมูลตามมาตรา 26 ต้องมี DPO ตามมาตรา 41 (3)
- เช็คการติดตามพฤติกรรมดูว่ากิจกรรมหลักมีการติดตาม เฝ้าสังเกต หรือทำโปรไฟล์บุคคลอย่างเป็นระบบและเป็นประจำหรือไม่ หรือเข้ากรณีในข้อ 5 เช่น บัตรสมาชิก การตรวจประวัติลูกค้าก่อนทำสัญญา โฆษณาตามพฤติกรรม หรือการเฝ้าระวังเพื่อรักษาความปลอดภัย
- ประเมินว่าเป็นข้อมูลจำนวนมากหรือไม่พิจารณาจำนวนเจ้าของข้อมูล ปริมาณและประเภทข้อมูล ระยะเวลา และขอบเขตพื้นที่ตามข้อ 6 ถ้ากิจกรรมหลักมีเจ้าของข้อมูลตั้งแต่ 100,000 รายขึ้นไป ให้ถือเป็นข้อมูลจำนวนมาก
- บันทึกผลและแต่งตั้งบันทึกเหตุผลของการประเมินไว้เป็นหลักฐานแม้ผลจะออกมาว่าไม่ต้องมี ถ้าต้องมี ให้แต่งตั้งพนักงานหรือผู้รับจ้างภายนอกเป็น DPO แล้วแจ้งข้อมูลติดต่อให้เจ้าของข้อมูลและ สคส. ทราบ
- ให้ DPO ทำงานได้จริงจัดเครื่องมือและสิทธิเข้าถึงข้อมูลให้เพียงพอ เปิดช่องรายงานตรงถึงผู้บริหารสูงสุด และถ้า DPO ทำงานอื่นด้วย ต้องรับรองกับ สคส. ว่างานนั้นไม่ขัดกับหน้าที่ DPO (มาตรา 42)
ใครบ้างที่กฎหมายบังคับให้ต้องมี DPO?
มาตรา 41 บังคับให้ผู้ควบคุมข้อมูลส่วนบุคคลและผู้ประมวลผลข้อมูลส่วนบุคคลต้องมี DPO ใน 3 กรณีต่อไปนี้ และถ้าต้องแต่งตั้งตัวแทนตามมาตรา 37 (5) ให้นำหลักเดียวกันมาใช้กับตัวแทนโดยอนุโลม
- (1) เป็นหน่วยงานของรัฐตามที่คณะกรรมการคุ้มครองข้อมูลส่วนบุคคลประกาศกำหนด
- (2) การเก็บ ใช้ หรือเปิดเผยข้อมูลต้องตรวจสอบข้อมูลหรือระบบอย่างสม่ำเสมอเพราะมีข้อมูลจำนวนมาก ตามที่คณะกรรมการประกาศกำหนด
- (3) กิจกรรมหลักเป็นการเก็บ ใช้ หรือเปิดเผยข้อมูลอ่อนไหวตามมาตรา 26
'ตรวจสอบอย่างสม่ำเสมอ' และ 'ข้อมูลจำนวนมาก' วัดจากอะไร?
ประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง การจัดให้มีเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลตามมาตรา 41 (2) พ.ศ. 2566 ประกาศในราชกิจจานุเบกษาเมื่อ 14 กันยายน 2566 และใช้บังคับเมื่อพ้น 90 วันนับแต่วันประกาศ ประกาศนี้บังคับให้มี DPO เมื่อกิจกรรมหลักเข้าทั้งสองเงื่อนไขพร้อมกัน โดยข้อ 7 ให้คำนึงถึงมาตรฐานของธุรกิจและความเสี่ยงต่อเจ้าของข้อมูลประกอบด้วย
- ตรวจสอบอย่างสม่ำเสมอ (ข้อ 5): ติดตาม เฝ้าสังเกต วิเคราะห์ หรือทำนายพฤติกรรมบุคคลอย่างเป็นระบบและเป็นประจำ รวมถึงข้อมูลการใช้บัตรสมาชิกหรือบัตรโดยสาร การตรวจสถานะหรือประวัติลูกค้าก่อนทำสัญญาเพื่อประเมินความเสี่ยง โฆษณาตามพฤติกรรม ผู้ให้บริการเครือข่ายหรือโทรคมนาคม และการเฝ้าระวังเพื่อรักษาความปลอดภัยตามสถานที่
- ข้อมูลจำนวนมาก (ข้อ 6): พิจารณาจากจำนวนเจ้าของข้อมูล ปริมาณและประเภทข้อมูล ระยะเวลา และขอบเขตพื้นที่ และให้ถือเป็นข้อมูลจำนวนมากเมื่อมีเจ้าของข้อมูลตั้งแต่ 100,000 รายขึ้นไป โฆษณาตามพฤติกรรมผ่านโปรแกรมค้นหาหรือสื่อสังคมออนไลน์ที่มีผู้ใช้กว้างขวาง ข้อมูลลูกค้าของบริษัทประกันชีวิต ประกันวินาศภัย หรือสถาบันการเงิน และผู้รับใบอนุญาตโทรคมนาคมแบบที่สาม
DPO ต้องทำอะไร และองค์กรต้องสนับสนุนอย่างไร?
มาตรา 42 กำหนดให้ DPO ให้คำแนะนำแก่องค์กรและพนักงาน ตรวจสอบการดำเนินงานให้เป็นไปตามกฎหมาย ประสานงานและให้ความร่วมมือกับ สคส. และรักษาความลับของข้อมูลส่วนบุคคลที่รู้จากการทำหน้าที่
องค์กรต้องจัดเครื่องมือหรืออุปกรณ์ให้เพียงพอและอำนวยความสะดวกในการเข้าถึงข้อมูล ห้ามให้ DPO ออกจากงานหรือเลิกสัญญาจ้างด้วยเหตุที่ DPO ปฏิบัติหน้าที่ตามกฎหมาย และเมื่อมีปัญหา DPO ต้องรายงานตรงถึงผู้บริหารสูงสุดได้
ปัญหาที่พบบ่อยและวิธีแก้
องค์กรส่วนใหญ่พลาดเรื่องนี้ใน 3 จุดเดิม ๆ ตารางด้านล่างบอกทั้งวิธีแก้ด้วยตัวเอง และวิธีที่ AIPDPA ช่วยให้เสร็จเร็วกว่าพร้อมหลักฐานครบ
| ปัญหา | วิธีแก้ |
|---|---|
| ✗ คิดว่าไม่ต้องมี DPO เพราะพนักงานน้อย | ✓ ประเมินจากกิจกรรมหลักตามมาตรา 41 และประกาศฯ พ.ศ. 2566 แทนจำนวนพนักงาน ทะเบียน RoPA ของ AIPDPA รวบรวมกิจกรรมทั้งหมดไว้ในที่เดียว ทำให้เห็นว่ากิจกรรมใดเป็นกิจกรรมหลักและมีข้อมูลอ่อนไหวหรือไม่ ถ้าต้องการให้ทนายความตรวจ Kooru Data Shield ช่วยประเมินและวางระบบให้ |
| ✗ แต่งตั้ง DPO แล้ว แต่ไม่ได้แจ้งข้อมูลติดต่อ | ✓ มาตรา 41 กำหนดให้แจ้งข้อมูล DPO สถานที่ติดต่อ และวิธีการติดต่อให้เจ้าของข้อมูลและ สคส. ทราบ ใส่ข้อมูลนี้ในประกาศความเป็นส่วนตัว ซึ่ง AIPDPA มีแม่แบบพร้อมใช้ทั้งภาษาไทยและอังกฤษ |
| ✗ DPO ทำงานจริง แต่ไม่มีหลักฐานว่ารายงานผู้บริหาร | ✓ เก็บรายงานการปฏิบัติหน้าที่และบันทึกการประชุมกับผู้บริหารเป็นระยะ เครื่องมือ DPO ของ AIPDPA สร้างรายงานผลการปฏิบัติหน้าที่ของ DPO และเก็บบันทึกการประชุมคณะกรรมการไว้ในที่เดียว |
ทำงาน DPO ให้มีหลักฐานครบในที่เดียว
เครื่องมือ DPO ของ AIPDPA สร้างรายงานผลการปฏิบัติหน้าที่ของ DPO และเก็บบันทึกการประชุมคณะกรรมการไว้เป็นหลักฐาน ดูบัญชีตัวอย่างได้ ไม่ต้องสมัคร แพ็กเกจเริ่มต้น 2,900 บาทต่อปี (ไม่มี VAT บวกเพิ่ม)
มีในทุกแพ็กเกจ เริ่มต้น 2,900 บาท/ปี · ดูบัญชีตัวอย่างได้ ไม่ต้องสมัคร
คำถามที่พบบ่อย
คำถามที่คนค้นหาบ่อยที่สุดเรื่องนี้ แต่ละคำตอบสั้น ตรงประเด็น และอ่านแยกข้อได้
บริษัทมีพนักงานไม่ถึง 100 คน ต้องมี DPO ไหม?
อาจต้องมี เกณฑ์ในมาตรา 41 และประกาศฯ พ.ศ. 2566 ไม่ได้ดูจากจำนวนพนักงาน แต่ดูว่ากิจกรรมหลักต้องตรวจสอบข้อมูลหรือระบบอย่างสม่ำเสมอโดยมีข้อมูลจำนวนมาก หรือเป็นการประมวลผลข้อมูลอ่อนไหวตามมาตรา 26 หรือไม่
มีข้อมูลลูกค้าเกิน 100,000 ราย ต้องมี DPO เลยหรือไม่?
ไม่เสมอไป 100,000 รายเป็นกรณีที่ให้ถือเป็นข้อมูลจำนวนมากตามข้อ 6 แต่ประกาศฯ พ.ศ. 2566 ต้องการให้กิจกรรมหลักนั้นต้องตรวจสอบข้อมูลหรือระบบอย่างสม่ำเสมอตามข้อ 5 ด้วย ส่วนกิจกรรมหลักที่เป็นข้อมูลอ่อนไหวตามมาตรา 26 ต้องมี DPO ตามมาตรา 41 (3) แยกต่างหาก
จ้าง DPO ภายนอกได้ไหม?
ได้ มาตรา 41 ระบุว่า DPO อาจเป็นพนักงานของผู้ควบคุมหรือผู้ประมวลผลข้อมูลส่วนบุคคล หรือเป็นผู้รับจ้างให้บริการตามสัญญาก็ได้
บริษัทในเครือใช้ DPO คนเดียวกันได้ไหม?
ได้ ถ้าอยู่ในเครือกิจการหรือเครือธุรกิจเดียวกันตามที่คณะกรรมการประกาศกำหนดตามมาตรา 29 วรรคสอง โดยทุกสถานที่ทำการในเครือต้องติดต่อ DPO ได้โดยง่าย (มาตรา 41 วรรคสอง)
DPO ทำงานตำแหน่งอื่นควบด้วยได้ไหม?
ได้ แต่ผู้ควบคุมหรือผู้ประมวลผลข้อมูลส่วนบุคคลต้องรับรองกับ สคส. ว่างานอื่นนั้นไม่ขัดหรือแย้งกับหน้าที่ DPO ตามมาตรา 42 และข้อ 8 ของประกาศฯ พ.ศ. 2566
เลิกจ้าง DPO เพราะทำหน้าที่ตามกฎหมายได้ไหม?
ไม่ได้ มาตรา 42 ห้ามให้ DPO ออกจากงานหรือเลิกสัญญาจ้างด้วยเหตุที่ DPO ปฏิบัติหน้าที่ตาม พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562
แหล่งอ้างอิง
คู่มือนี้อ้างอิงเอกสาร 3 รายการ ตัวบทกฎหมายระบุมาตราหรือข้อไว้ชัดเจน ส่วนแนวปฏิบัติและมาตรฐานเป็นแนวทาง ไม่ใช่กฎหมาย
- พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 มาตรา 41
- พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 มาตรา 42
- ประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง การจัดให้มีเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลตามมาตรา 41 (2) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 พ.ศ. 2566 ข้อ 3–8
ตัวบทในบทความนี้อ้างอิงจากคลังกฎหมายของ AIPDPA ซึ่งถอดจากราชกิจจานุเบกษา · เนื้อหาเป็นความรู้ทั่วไป หากกรณีของคุณมีข้อเท็จจริงเฉพาะ ทีมทนายของเราช่วยดูให้ได้
เครื่องมือและบริการที่ช่วยได้ทันที
อยากทำเองให้เร็วขึ้น ใช้เครื่องมือใน AIPDPA · อยากให้ทนายดูแลให้ หรืออยากเรียนให้เป็น เลือกบริการในเครือที่ตรงกับคุณได้เลย
รายงานผลการปฏิบัติหน้าที่ DPO และบันทึกคณะกรรมการ พร้อมนำเสนอผู้บริหารได้ทันที
ลงชื่อรอเปิดใช้งาน →มี DPO มืออาชีพดูแลต่อเนื่องโดยไม่ต้องจ้างพนักงานประจำ
ดูแพ็กเกจ →ทีมทนายความตรวจความพร้อมและวางระบบ PDPA ให้ครบ เหมาะกับ SME ที่ไม่มีเวลาทำเอง
ดูบริการ →คอร์สเสริมทักษะ PDPA, DPO และธรรมาภิบาล AI พร้อม Digital Product ชุดเครื่องมือพร้อมใช้
ดูคอร์สและสินค้า →
ใครรับผิดชอบเนื้อหานี้?
เรียบเรียงโดยทีมกฎหมาย AIPDPA · ผู้รับผิดชอบเนื้อหา ภูวรา ครอบตะคุ ทนายความ · เนติบัณฑิตไทย · ที่ปรึกษากฎหมายเทคโนโลยีและทรัพย์สินทางปัญญา
ใบอนุญาตทนายความ 477/2558 · เนติบัณฑิตไทย · นิติศาสตรมหาบัณฑิต กฎหมายทรัพย์สินทางปัญญาและสารสนเทศ (เหรียญทอง)
อ่านต่อ
คู่มือที่มักต้องทำต่อจากเรื่องนี้ เลือกอ่านได้ตามลำดับงานขององค์กรคุณ