โทษตาม PDPA มีอะไรบ้าง: ค่าปรับทางปกครอง โทษอาญา และค่าสินไหมทดแทน PDPA มีโทษ 3 ประเภทที่เกิดพร้อมกันได้ ได้แก่ ค่าสินไหมทดแทนทางแพ่งตามมาตรา 77 ซึ่งศาลสั่งเพิ่มเพื่อการลงโทษได้อีกไม่เกิน 2 เท่าของค่าเสียหายจริงตามมาตรา 78 โทษอาญาตามมาตรา 79 จำคุกไม่เกิน 1 ปีหรือปรับไม่เกิน 1,000,000 บาท และค่าปรับทางปกครองตามมาตรา 82–89 สูงสุดไม่เกิน 5,000,000 บาท ซึ่งคณะกรรมการผู้เชี่ยวชาญเป็นผู้สั่งตามมาตรา 90
เช้าวันจันทร์ เจ้าของคลินิกความงามแห่งหนึ่งได้รับข้อความจากลูกค้าว่าประวัติการรักษาของเธอถูกพนักงานส่งผิดเข้ากลุ่มไลน์ ลูกค้าบอกว่าจะร้องเรียนและฟ้องเรียกค่าเสียหาย คืนนั้นเจ้าของคลินิกค้นคำว่า “PDPA ปรับเท่าไร” ทั้งคืน แต่ทุกเว็บให้ตัวเลขไม่ตรงกันเลย
สรุปสิ่งที่ต้องรู้
6 ประเด็นที่สำคัญที่สุดของเรื่องนี้ สรุปจากตัวบทและแนวปฏิบัติที่อ้างอิงไว้ท้ายคู่มือ อ่านแค่ส่วนนี้ก็ตัดสินใจขั้นต่อไปได้
- ค่าปรับทางปกครองของผู้ควบคุมข้อมูลส่วนบุคคลมี 3 ระดับ คือไม่เกิน 1 ล้านบาท (มาตรา 82) 3 ล้านบาท (มาตรา 83) และ 5 ล้านบาท (มาตรา 84)
- ผู้ประมวลผลข้อมูลส่วนบุคคลถูกปรับได้ในระดับ 1, 3 และ 5 ล้านบาทเช่นกัน (มาตรา 85–87)
- ความรับผิดทางแพ่งเกิดได้ไม่ว่าจะจงใจหรือประมาทเลินเล่อหรือไม่ เว้นแต่พิสูจน์ข้อยกเว้นในมาตรา 77 ได้ เช่น เหตุสุดวิสัย
- โทษอาญาตามมาตรา 79 เกี่ยวกับข้อมูลอ่อนไหวตามมาตรา 26 และเป็นความผิดอันยอมความได้
- กรรมการหรือผู้จัดการที่สั่งการหรือละเว้นหน้าที่จนนิติบุคคลกระทำความผิด ต้องรับโทษสำหรับความผิดนั้นด้วย (มาตรา 81)
- คณะกรรมการผู้เชี่ยวชาญพิจารณาความร้ายแรง ขนาดกิจการ และพฤติการณ์ และจะสั่งให้แก้ไขหรือตักเตือนก่อนก็ได้ (มาตรา 90)
ทำตามนี้ 6 ขั้นตอน
ทำตามลำดับ 6 ขั้นนี้ได้ทันที แต่ละขั้นเขียนให้ทีมในองค์กรไทยลงมือได้จริงโดยไม่ต้องรอที่ปรึกษา และเก็บหลักฐานไว้ให้ผู้ตรวจดูได้
- ไล่หน้าที่ที่มีค่าปรับกำกับเทียบงานขององค์กรกับหน้าที่ที่มาตรา 82–84 อ้างถึง เช่น การแจ้งรายละเอียดตอนเก็บข้อมูลตามมาตรา 23 การบันทึกรายการตามมาตรา 39 การจัดให้มีเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล (DPO) ตามมาตรา 41 และหน้าที่ตามมาตรา 37 แล้วทำเครื่องหมายข้อที่ยังไม่มีหลักฐาน
- ตรวจข้อมูลอ่อนไหวเป็นอันดับแรกข้อมูลตามมาตรา 26 เช่น ข้อมูลสุขภาพ ประวัติอาชญากรรม และข้อมูลชีวภาพ อยู่ในชั้นค่าปรับสูงสุด 5 ล้านบาท และเป็นข้อมูลที่มาตรา 79 มีโทษอาญากำกับ จึงควรตรวจฐานการเก็บและการส่งต่อของข้อมูลกลุ่มนี้ก่อน
- ตรวจการส่งข้อมูลไปต่างประเทศการส่งหรือโอนข้อมูลที่ไม่เป็นไปตามมาตรา 29 มีค่าปรับไม่เกิน 3 ล้านบาท และไม่เกิน 5 ล้านบาทถ้าเป็นข้อมูลอ่อนไหว ทั้งฝั่งผู้ควบคุมและผู้ประมวลผล ให้ทำรายการว่าข้อมูลใดออกนอกประเทศผ่านระบบหรือคลาวด์ใดบ้าง
- ผูกหน้าที่ผู้ประมวลผลไว้ในสัญญาผู้ประมวลผลที่ไม่ปฏิบัติตามมาตรา 40 โดยไม่มีเหตุอันควรมีค่าปรับไม่เกิน 3 ล้านบาทตามมาตรา 86 การเขียนหน้าที่ไว้ในสัญญาประมวลผลข้อมูลช่วยให้ทั้งสองฝ่ายรู้ขอบเขตความรับผิดของตัวเอง
- บันทึกว่าใครรับผิดชอบและสั่งการอะไรเพราะมาตรา 81 ให้กรรมการหรือผู้จัดการรับโทษด้วยเมื่อสั่งการหรือละเว้นหน้าที่ แนวปฏิบัติที่ดีคือมีหนังสือมอบหมายผู้รับผิดชอบ และบันทึกการประชุมที่แสดงว่าผู้บริหารได้สั่งการเรื่องข้อมูลส่วนบุคคลแล้ว
- ตอบคำสั่งคณะกรรมการผู้เชี่ยวชาญให้ทันการไม่ปฏิบัติตามคำสั่งหรือไม่มาชี้แจงข้อเท็จจริงตามมาตรา 75 มีค่าปรับทางปกครองไม่เกิน 500,000 บาทตามมาตรา 89 เตรียมแฟ้มหลักฐานไว้ให้เปิดได้ทันทีที่มีหนังสือเรียก
ค่าปรับทางปกครอง PDPA สูงสุดเท่าไร?
ค่าปรับทางปกครองสูงสุดคือไม่เกิน 5,000,000 บาท สำหรับความผิดที่เกี่ยวกับข้อมูลอ่อนไหวตามมาตรา 26 (มาตรา 84 และ 87) ระดับรองลงมาคือไม่เกิน 3,000,000 บาท และไม่เกิน 1,000,000 บาท ขึ้นกับว่าฝ่าฝืนหน้าที่ข้อใด
- ไม่เกิน 1 ล้านบาท (มาตรา 82): ผู้ควบคุมข้อมูลไม่ปฏิบัติตามมาตรา 23, มาตรา 30 วรรคสี่, มาตรา 39 วรรคหนึ่ง, มาตรา 41 วรรคหนึ่ง หรือมาตรา 42 วรรคสองหรือวรรคสาม หรือไม่ขอความยินยอมตามแบบที่คณะกรรมการกำหนด หรือไม่แจ้งผลกระทบจากการถอนความยินยอม
- ไม่เกิน 3 ล้านบาท (มาตรา 83): ผู้ควบคุมข้อมูลฝ่าฝืนมาตรา 21, 22, 24, 25 วรรคหนึ่ง, 27, 28, 32 วรรคสอง หรือ 37 ขอความยินยอมโดยหลอกลวง หรือส่งข้อมูลไปต่างประเทศโดยไม่เป็นไปตามมาตรา 29
- ไม่เกิน 5 ล้านบาท (มาตรา 84): ผู้ควบคุมข้อมูลฝ่าฝืนมาตรา 26 วรรคหนึ่งหรือวรรคสาม หรือฝ่าฝืนมาตรา 27, 28 หรือ 29 ในส่วนที่เกี่ยวกับข้อมูลอ่อนไหว
- ผู้ประมวลผลข้อมูล (มาตรา 85–87): ไม่เกิน 1 ล้านบาทเรื่อง DPO ตามมาตรา 41–42 ไม่เกิน 3 ล้านบาทเรื่องมาตรา 40 หรือการส่งข้อมูลไปต่างประเทศ และไม่เกิน 5 ล้านบาทถ้าส่งข้อมูลอ่อนไหว
- ตัวแทนของผู้ควบคุมหรือผู้ประมวลผลข้อมูล ไม่เกิน 1 ล้านบาท (มาตรา 88) และผู้ไม่ปฏิบัติตามคำสั่งคณะกรรมการผู้เชี่ยวชาญ ไม่เกิน 500,000 บาท (มาตรา 89)
PDPA มีโทษจำคุกไหม?
มี มาตรา 79 กำหนดโทษจำคุกไม่เกิน 6 เดือน หรือปรับไม่เกิน 500,000 บาท หรือทั้งจำทั้งปรับ เมื่อผู้ควบคุมข้อมูลฝ่าฝืนมาตรา 27 หรือมาตรา 28 เกี่ยวกับข้อมูลอ่อนไหวตามมาตรา 26 โดยประการที่น่าจะทำให้ผู้อื่นเสียหาย เสียชื่อเสียง ถูกดูหมิ่น ถูกเกลียดชัง หรือได้รับความอับอาย ถ้าทำเพื่อแสวงหาประโยชน์ที่มิควรได้โดยชอบด้วยกฎหมาย โทษเพิ่มเป็นจำคุกไม่เกิน 1 ปี หรือปรับไม่เกิน 1,000,000 บาท หรือทั้งจำทั้งปรับ
ความผิดตามมาตรา 79 เป็นความผิดอันยอมความได้ ส่วนมาตรา 80 ลงโทษผู้ที่ล่วงรู้ข้อมูลส่วนบุคคลของผู้อื่นจากการปฏิบัติหน้าที่ตามพระราชบัญญัตินี้แล้วนำไปเปิดเผย ด้วยโทษจำคุกไม่เกิน 6 เดือน หรือปรับไม่เกิน 500,000 บาท หรือทั้งจำทั้งปรับ เว้นแต่เป็นการเปิดเผยตามหน้าที่ เพื่อการสอบสวนหรือพิจารณาคดี หรือได้รับความยินยอมเป็นหนังสือเฉพาะครั้ง เป็นต้น
ถ้านิติบุคคลกระทำความผิดเพราะการสั่งการหรือการกระทำของกรรมการ ผู้จัดการ หรือผู้รับผิดชอบการดำเนินงาน หรือเพราะบุคคลนั้นละเว้นไม่สั่งการทั้งที่มีหน้าที่ ผู้นั้นต้องรับโทษตามที่บัญญัติไว้สำหรับความผิดนั้นด้วยตามมาตรา 81
เจ้าของข้อมูลฟ้องเรียกค่าเสียหายตาม PDPA ได้เท่าไร?
เจ้าของข้อมูลเรียกค่าสินไหมทดแทนได้ตามความเสียหายจริง รวมค่าใช้จ่ายที่จำเป็นเพื่อป้องกันหรือระงับความเสียหายตามมาตรา 77 และศาลสั่งค่าสินไหมทดแทนเพื่อการลงโทษเพิ่มได้อีกไม่เกิน 2 เท่าของค่าสินไหมที่แท้จริงตามมาตรา 78
ผู้ควบคุมหรือผู้ประมวลผลข้อมูลต้องรับผิดไม่ว่าจะจงใจหรือประมาทเลินเล่อหรือไม่ เว้นแต่พิสูจน์ได้ว่าความเสียหายเกิดจากเหตุสุดวิสัย เกิดจากการกระทำหรือละเว้นของเจ้าของข้อมูลเอง หรือเป็นการปฏิบัติตามคำสั่งของเจ้าหน้าที่ซึ่งปฏิบัติการตามหน้าที่และอำนาจตามกฎหมาย
สิทธิเรียกร้องค่าเสียหายขาดอายุความเมื่อพ้น 3 ปีนับแต่ผู้เสียหายรู้ถึงความเสียหายและรู้ตัวผู้ต้องรับผิด หรือเมื่อพ้น 10 ปีนับแต่วันที่มีการละเมิดข้อมูลส่วนบุคคล
- ศาลกำหนดค่าสินไหมเพื่อการลงโทษโดยดูความร้ายแรงของความเสียหาย
- ผลประโยชน์ที่ผู้ควบคุมหรือผู้ประมวลผลข้อมูลได้รับ
- สถานะทางการเงินของผู้ควบคุมหรือผู้ประมวลผลข้อมูล
- การบรรเทาความเสียหาย และการที่เจ้าของข้อมูลมีส่วนก่อความเสียหายด้วย
คณะกรรมการผู้เชี่ยวชาญพิจารณาค่าปรับจากอะไร?
มาตรา 90 ให้คณะกรรมการผู้เชี่ยวชาญคำนึงถึงความร้ายแรงแห่งพฤติกรรม ขนาดกิจการของผู้ควบคุมหรือผู้ประมวลผลข้อมูล และพฤติการณ์ต่าง ๆ ตามหลักเกณฑ์ที่คณะกรรมการกำหนด และในกรณีที่เห็นสมควรจะสั่งให้แก้ไขหรือตักเตือนก่อนก็ได้
ถ้าผู้ถูกลงโทษไม่ชำระค่าปรับ จะใช้การบังคับทางปกครองตามกฎหมายว่าด้วยวิธีปฏิบัติราชการทางปกครอง และคณะกรรมการผู้เชี่ยวชาญมีอำนาจฟ้องศาลปกครองเพื่อให้ยึดหรืออายัดทรัพย์สินขายทอดตลาดชำระค่าปรับได้
องค์กรที่เปิดหลักฐานได้ทันทีว่ามีบันทึกรายการ มีประกาศความเป็นส่วนตัว มีมาตรการความปลอดภัย และแก้ไขทันทีเมื่อพบปัญหา จะอธิบายพฤติการณ์ของตัวเองต่อคณะกรรมการได้ชัดกว่าองค์กรที่ไม่มีอะไรเป็นลายลักษณ์อักษร
ปัญหาที่พบบ่อยและวิธีแก้
องค์กรส่วนใหญ่พลาดเรื่องนี้ใน 3 จุดเดิม ๆ ตารางด้านล่างบอกทั้งวิธีแก้ด้วยตัวเอง และวิธีที่ AIPDPA ช่วยให้เสร็จเร็วกว่าพร้อมหลักฐานครบ
| ปัญหา | วิธีแก้ |
|---|---|
| ✗ เข้าใจว่าทุกความผิดเสี่ยงค่าปรับ 5 ล้านบาท จนไม่รู้จะเริ่มแก้ตรงไหน | ✓ ค่าปรับแบ่งตามประเภทหน้าที่ เริ่มจากหน้าที่ที่ทำได้เร็ว เช่น ประกาศความเป็นส่วนตัวตามมาตรา 23 และบันทึกรายการตามมาตรา 39 แล้วไล่ไปที่ข้อมูลอ่อนไหว AIPDPA แสดงคะแนนความพร้อมแยกตามโซน ให้เห็นทันทีว่าช่องไหนยังว่างและควรปิดอะไรก่อน |
| ✗ ทำเอกสารครั้งเดียวตอนเริ่มแล้วไม่เคยอัปเดต พอถูกร้องเรียนก็หาฉบับล่าสุดไม่เจอ | ✓ ตั้งรอบทบทวนและเก็บเอกสารไว้ที่เดียว ใน AIPDPA ทะเบียน RoPA ดึงข้อมูลจากโครงสร้างองค์กร มีตัวเลือกฐานทางกฎหมายที่อ้างมาตรา 24 และ 26 และพิมพ์รายงานตามมาตรา 39 ได้ทุกเมื่อ |
| ✗ ผู้บริหารคิดว่าความรับผิดเป็นของบริษัท ไม่เกี่ยวกับตัวเอง | ✓ มาตรา 81 ให้กรรมการหรือผู้จัดการที่สั่งการหรือละเว้นหน้าที่รับโทษด้วย จึงควรมีหลักฐานการมอบหมายและการรายงาน เครื่องมือ DPO ใน AIPDPA ออกรายงานหน้าที่ DPO และเก็บบันทึกการประชุมคณะกรรมการไว้ให้ตรวจย้อนหลังได้ |
รู้ว่าช่องโหว่ไหนมีค่าปรับกำกับ ก่อนมีคนร้องเรียน
AIPDPA ให้คะแนนความพร้อมแยกตามโซน ตั้งแต่ RoPA ข้อมูลอ่อนไหว มาตรการความปลอดภัย ไปจนถึง DPO พร้อมเอกสารพร้อมใช้ไทย-อังกฤษ ดูบัญชีตัวอย่างได้ ไม่ต้องสมัคร
มีในทุกแพ็กเกจ เริ่มต้น 2,900 บาท/ปี · ดูบัญชีตัวอย่างได้ ไม่ต้องสมัคร
คำถามที่พบบ่อย
คำถามที่คนค้นหาบ่อยที่สุดเรื่องนี้ แต่ละคำตอบสั้น ตรงประเด็น และอ่านแยกข้อได้
PDPA ปรับสูงสุดกี่บาท?
ค่าปรับทางปกครองสูงสุดไม่เกิน 5,000,000 บาท สำหรับความผิดเกี่ยวกับข้อมูลอ่อนไหวตามมาตรา 84 และ 87 ส่วนโทษปรับทางอาญาตามมาตรา 79 สูงสุดไม่เกิน 1,000,000 บาท และค่าสินไหมทางแพ่งคิดจากความเสียหายจริงซึ่งศาลเพิ่มได้อีกไม่เกิน 2 เท่า
ไม่แต่งตั้ง DPO โดนปรับเท่าไร?
ผู้ควบคุมข้อมูลที่ไม่ปฏิบัติตามมาตรา 41 วรรคหนึ่ง มีค่าปรับทางปกครองไม่เกิน 1,000,000 บาทตามมาตรา 82 และผู้ประมวลผลข้อมูลมีค่าปรับเท่ากันตามมาตรา 85 แต่ไม่ใช่ทุกองค์กรที่ต้องมี DPO ต้องดูกรณีที่มาตรา 41 กำหนดก่อน
ข้อมูลรั่วโดยไม่ได้ตั้งใจ ยังต้องจ่ายค่าเสียหายไหม?
อาจต้องจ่าย ถ้าเหตุนั้นเกิดจากการไม่ปฏิบัติตาม PDPA และทำให้เจ้าของข้อมูลเสียหาย เพราะมาตรา 77 ให้รับผิดไม่ว่าจะจงใจหรือประมาทเลินเล่อหรือไม่ เว้นแต่พิสูจน์ได้ว่าเป็นเหตุสุดวิสัย เกิดจากเจ้าของข้อมูลเอง หรือเป็นการปฏิบัติตามคำสั่งเจ้าหน้าที่ตามกฎหมาย
กรรมการบริษัทต้องรับผิดส่วนตัวตาม PDPA ไหม?
ต้องรับ ถ้าความผิดของนิติบุคคลเกิดจากการสั่งการหรือการกระทำของกรรมการหรือผู้จัดการ หรือเกิดเพราะบุคคลนั้นละเว้นไม่สั่งการทั้งที่มีหน้าที่ ผู้นั้นต้องรับโทษสำหรับความผิดนั้นด้วยตามมาตรา 81
ถูกร้องเรียนแล้วจะโดนปรับทันทีหรือเปล่า?
ไม่จำเป็น มาตรา 90 ให้คณะกรรมการผู้เชี่ยวชาญสั่งให้แก้ไขหรือตักเตือนก่อนได้ในกรณีที่เห็นสมควร โดยพิจารณาความร้ายแรง ขนาดกิจการ และพฤติการณ์ประกอบ
ฟ้องเรียกค่าเสียหาย PDPA มีอายุความกี่ปี?
3 ปีนับแต่ผู้เสียหายรู้ถึงความเสียหายและรู้ตัวผู้ต้องรับผิด หรือ 10 ปีนับแต่วันที่มีการละเมิดข้อมูลส่วนบุคคล ตามมาตรา 78 วรรคสอง
แหล่งอ้างอิง
คู่มือนี้อ้างอิงเอกสาร 14 รายการ ตัวบทกฎหมายระบุมาตราหรือข้อไว้ชัดเจน ส่วนแนวปฏิบัติและมาตรฐานเป็นแนวทาง ไม่ใช่กฎหมาย
- พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 มาตรา 77
- พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 มาตรา 78
- พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 มาตรา 79
- พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 มาตรา 80
- พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 มาตรา 81
- พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 มาตรา 82
- พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 มาตรา 83
- พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 มาตรา 84
- พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 มาตรา 85
- พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 มาตรา 86
- พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 มาตรา 87
- พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 มาตรา 88
- พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 มาตรา 89
- พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 มาตรา 90
ตัวบทในบทความนี้อ้างอิงจากคลังกฎหมายของ AIPDPA ซึ่งถอดจากราชกิจจานุเบกษา · เนื้อหาเป็นความรู้ทั่วไป หากกรณีของคุณมีข้อเท็จจริงเฉพาะ ทีมทนายของเราช่วยดูให้ได้
เครื่องมือและบริการที่ช่วยได้ทันที
อยากทำเองให้เร็วขึ้น ใช้เครื่องมือใน AIPDPA · อยากให้ทนายดูแลให้ หรืออยากเรียนให้เป็น เลือกบริการในเครือที่ตรงกับคุณได้เลย
เห็นคะแนนความพร้อมรายโซน และรู้ว่าต้องแก้อะไรก่อน
ลงชื่อรอเปิดใช้งาน →ทะเบียนเติมจากโครงสร้างองค์กรให้เอง เลือกฐานกฎหมายพร้อมมาตรา แล้วพิมพ์รายงานตามมาตรา 39 ได้ทันที
ลงชื่อรอเปิดใช้งาน →รายงานผลการปฏิบัติหน้าที่ DPO และบันทึกคณะกรรมการ พร้อมนำเสนอผู้บริหารได้ทันที
ลงชื่อรอเปิดใช้งาน →ทีมทนายความตรวจความพร้อมและวางระบบ PDPA ให้ครบ เหมาะกับ SME ที่ไม่มีเวลาทำเอง
ดูบริการ →มี DPO มืออาชีพดูแลต่อเนื่องโดยไม่ต้องจ้างพนักงานประจำ
ดูแพ็กเกจ →
ใครรับผิดชอบเนื้อหานี้?
เรียบเรียงโดยทีมกฎหมาย AIPDPA · ผู้รับผิดชอบเนื้อหา ภูวรา ครอบตะคุ ทนายความ · เนติบัณฑิตไทย · ที่ปรึกษากฎหมายเทคโนโลยีและทรัพย์สินทางปัญญา
ใบอนุญาตทนายความ 477/2558 · เนติบัณฑิตไทย · นิติศาสตรมหาบัณฑิต กฎหมายทรัพย์สินทางปัญญาและสารสนเทศ (เหรียญทอง)
อ่านต่อ
คู่มือที่มักต้องทำต่อจากเรื่องนี้ เลือกอ่านได้ตามลำดับงานขององค์กรคุณ