ประกาศความเป็นส่วนตัว (Privacy Notice) ต้องมีอะไรบ้าง ตามมาตรา 23 PDPA ประกาศความเป็นส่วนตัว (Privacy Notice) คือสิ่งที่ผู้ควบคุมข้อมูลส่วนบุคคลต้องแจ้งเจ้าของข้อมูลก่อนหรือขณะเก็บรวบรวมข้อมูล ตามมาตรา 23 แห่ง พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ต้องมี 6 เรื่อง ได้แก่ วัตถุประสงค์ กรณีที่ต้องให้ข้อมูลและผลของการไม่ให้ ข้อมูลที่เก็บและระยะเวลาเก็บ ประเภทผู้ที่อาจได้รับข้อมูล ช่องทางติดต่อผู้ควบคุมข้อมูล (และตัวแทนหรือ DPO ถ้ามี) และสิทธิของเจ้าของข้อมูล เว้นแต่เจ้าของข้อมูลทราบรายละเอียดนั้นอยู่แล้ว
คุณเปิดร้านกาแฟสามสาขาและเพิ่งออกแอปสะสมแต้ม ลูกค้าคนหนึ่งถามที่เคาน์เตอร์ว่า “เก็บเบอร์โทรกับวันเกิดของฉันไปทำอะไร แล้วเก็บไว้นานแค่ไหน” พนักงานตอบไม่ได้ เพราะในแอปมีแค่ประโยคเดียวว่า “เราเคารพความเป็นส่วนตัวของคุณ”
สรุปสิ่งที่ต้องรู้
5 ประเด็นที่สำคัญที่สุดของเรื่องนี้ สรุปจากตัวบทและแนวปฏิบัติที่อ้างอิงไว้ท้ายคู่มือ อ่านแค่ส่วนนี้ก็ตัดสินใจขั้นต่อไปได้
- ต้องแจ้งก่อนหรือในขณะเก็บรวบรวมข้อมูล ไม่ใช่แจ้งย้อนหลัง (มาตรา 23)
- ต้องแจ้งวัตถุประสงค์ทุกข้อ รวมถึงวัตถุประสงค์ที่มาตรา 24 ให้เก็บได้โดยไม่ต้องขอความยินยอม
- ต้องระบุระยะเวลาเก็บ ถ้ากำหนดชัดไม่ได้ ให้ระบุระยะเวลาที่คาดหมายได้ตามมาตรฐานของการเก็บรวบรวม
- ถ้ามีตัวแทนหรือเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล (DPO) ต้องใส่ข้อมูลและช่องทางติดต่อของเขาด้วย
- เก็บข้อมูลจากแหล่งอื่น ต้องแจ้งเจ้าของข้อมูลโดยไม่ชักช้าแต่ไม่เกิน 30 วันนับแต่วันที่เก็บและได้รับความยินยอม เว้นแต่ได้รับยกเว้นตามมาตรา 24 หรือ 26 (มาตรา 25)
ทำตามนี้ 7 ขั้นตอน
ทำตามลำดับ 7 ขั้นนี้ได้ทันที แต่ละขั้นเขียนให้ทีมในองค์กรไทยลงมือได้จริงโดยไม่ต้องรอที่ปรึกษา และเก็บหลักฐานไว้ให้ผู้ตรวจดูได้
- สำรวจว่าเก็บข้อมูลจากใครบ้างแยกกลุ่มเจ้าของข้อมูล เช่น ลูกค้า สมาชิก พนักงาน และผู้สมัครงาน แล้วไล่ดูว่าแต่ละกลุ่มถูกเก็บข้อมูลอะไร ผ่านช่องทางไหน บันทึกรายการกิจกรรมการประมวลผล (RoPA) คือวัตถุดิบที่ดีที่สุดสำหรับขั้นนี้
- เขียนวัตถุประสงค์ให้ครบระบุว่าเก็บ ใช้ หรือเปิดเผยข้อมูลเพื่ออะไร ให้ครอบคลุมวัตถุประสงค์ที่มาตรา 24 ให้เก็บได้โดยไม่ต้องขอความยินยอมด้วย
- บอกว่าข้อมูลใดจำเป็นต้องให้ถ้าเจ้าของข้อมูลต้องให้ข้อมูลเพื่อปฏิบัติตามกฎหมายหรือสัญญา หรือจำเป็นต้องให้เพื่อเข้าทำสัญญา ให้แจ้งไว้ พร้อมผลกระทบที่อาจเกิดขึ้นถ้าไม่ให้ เช่น สมัครสมาชิกไม่ได้
- ระบุข้อมูลที่เก็บและระยะเวลาเก็บเขียนรายการข้อมูลที่เก็บจริงและเก็บนานเท่าไร ถ้ากำหนดตายตัวไม่ได้ ให้ระบุระยะเวลาที่คาดหมายได้ตามมาตรฐานของการเก็บรวบรวม แทนคำกว้าง ๆ อย่าง “ตามความจำเป็น”
- ระบุผู้รับข้อมูลและช่องทางติดต่อบอกประเภทบุคคลหรือหน่วยงานที่อาจได้รับข้อมูล ใส่ชื่อ สถานที่ติดต่อ และวิธีติดต่อผู้ควบคุมข้อมูล ถ้ามีตัวแทนหรือ DPO ให้ใส่ของเขาด้วย
- แจ้งสิทธิและวิธีใช้สิทธิระบุสิทธิของเจ้าของข้อมูลตามที่มาตรา 23 (6) อ้างถึง และให้ช่องทางยื่นคำขอที่ใช้ได้จริง เช่น ลิงก์หรือคิวอาร์โค้ด
- วางประกาศตรงจุดที่เก็บข้อมูลแสดงประกาศก่อนหรือขณะเก็บ เช่น หน้าสมัครสมาชิก แบบฟอร์มสมัครงาน หรือเคาน์เตอร์ แนวปฏิบัติที่ดีคือเก็บเลขฉบับและวันที่ประกาศไว้ เพื่อพิสูจน์ได้ว่าใครเห็นฉบับไหน
Privacy Notice ต้องแจ้งเมื่อไร?
ต้องแจ้งก่อนหรือในขณะเก็บรวบรวมข้อมูลส่วนบุคคล ตามมาตรา 23 แห่ง พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ข้อยกเว้นในมาตรานี้มีกรณีเดียว คือเจ้าของข้อมูลทราบรายละเอียดนั้นอยู่แล้ว
แนวปฏิบัติที่ดีคือวางประกาศหรือลิงก์ไปยังประกาศไว้ตรงจุดที่ข้อมูลถูกเก็บ เช่น ก่อนปุ่มสมัครสมาชิก ในแบบฟอร์มสมัครงาน หรือที่จุดลงทะเบียนหน้าร้าน การมีหน้านโยบายบนเว็บไซต์เพียงหน้าเดียวโดยไม่มีจุดเชื่อมจากช่องทางเก็บข้อมูล ทำให้พิสูจน์ได้ยากว่าแจ้งแล้ว
Privacy Notice ต้องเขียนอะไรบ้าง?
มาตรา 23 กำหนดรายละเอียด 6 เรื่องที่ผู้ควบคุมข้อมูลส่วนบุคคลต้องแจ้ง ขาดเรื่องใดเรื่องหนึ่งถือว่าแจ้งไม่ครบตามมาตรานี้
- วัตถุประสงค์ของการเก็บรวบรวม ใช้ หรือเปิดเผย รวมถึงวัตถุประสงค์ที่มาตรา 24 ให้เก็บได้โดยไม่ต้องขอความยินยอม
- กรณีที่ต้องให้ข้อมูลเพื่อปฏิบัติตามกฎหมายหรือสัญญา หรือเพื่อเข้าทำสัญญา และผลกระทบที่เป็นไปได้จากการไม่ให้ข้อมูล
- ข้อมูลที่จะเก็บและระยะเวลาเก็บ หรือระยะเวลาที่คาดหมายได้ตามมาตรฐานของการเก็บรวบรวม
- ประเภทของบุคคลหรือหน่วยงานที่ข้อมูลอาจถูกเปิดเผยให้
- ข้อมูล สถานที่ติดต่อ และวิธีติดต่อผู้ควบคุมข้อมูล รวมถึงตัวแทนหรือ DPO ถ้ามี
- สิทธิของเจ้าของข้อมูลตามมาตรา 19 วรรคห้า และวรรคหนึ่งของมาตรา 30 ถึง 34 มาตรา 36 และมาตรา 73
ได้ข้อมูลมาจากแหล่งอื่นต้องแจ้งอย่างไร?
มาตรา 25 ห้ามเก็บข้อมูลจากแหล่งอื่นที่ไม่ใช่เจ้าของข้อมูลโดยตรง เว้นแต่แจ้งการเก็บนั้นให้เจ้าของข้อมูลทราบโดยไม่ชักช้าแต่ไม่เกิน 30 วันนับแต่วันที่เก็บและได้รับความยินยอม หรือเป็นการเก็บที่ได้รับยกเว้นไม่ต้องขอความยินยอมตามมาตรา 24 หรือมาตรา 26
ในกรณีที่ต้องได้รับความยินยอม ต้องแจ้งรายละเอียดตามมาตรา 23 ภายใน 30 วันนับแต่วันที่เก็บ ถ้านำข้อมูลไปใช้ติดต่อเจ้าของข้อมูล ต้องแจ้งในการติดต่อครั้งแรก และถ้าจะนำไปเปิดเผย ต้องแจ้งก่อนเปิดเผยครั้งแรก
- ไม่ต้องแจ้ง ถ้าเจ้าของข้อมูลทราบวัตถุประสงค์ใหม่หรือรายละเอียดนั้นอยู่แล้ว
- ไม่ต้องแจ้ง ถ้าพิสูจน์ได้ว่าแจ้งไม่ได้หรือจะเป็นอุปสรรค โดยเฉพาะงานวิจัยทางวิทยาศาสตร์ ประวัติศาสตร์ หรือสถิติ แต่ต้องมีมาตรการคุ้มครองที่เหมาะสม
- ไม่ต้องแจ้ง ถ้าต้องใช้หรือเปิดเผยโดยเร่งด่วนตามที่กฎหมายกำหนด และมีมาตรการคุ้มครองที่เหมาะสม
- ไม่ต้องแจ้ง ถ้าได้ข้อมูลมาจากหน้าที่หรือวิชาชีพ และกฎหมายกำหนดให้ต้องรักษารายละเอียดนั้นเป็นความลับ
ปัญหาที่พบบ่อยและวิธีแก้
องค์กรส่วนใหญ่พลาดเรื่องนี้ใน 4 จุดเดิม ๆ ตารางด้านล่างบอกทั้งวิธีแก้ด้วยตัวเอง และวิธีที่ AIPDPA ช่วยให้เสร็จเร็วกว่าพร้อมหลักฐานครบ
| ปัญหา | วิธีแก้ |
|---|---|
| ✗ คัดลอก Privacy Notice ของเว็บอื่นมาใช้ วัตถุประสงค์และระยะเวลาเก็บจึงไม่ตรงกับที่ธุรกิจทำจริง | ✓ เริ่มจากกิจกรรมการประมวลผลของคุณเอง แล้วเขียนให้ตรงข้อเท็จจริง ใน AIPDPA ทะเบียน RoPA ตั้งต้นจากโครงสร้างองค์กรให้ และคลังเอกสารพร้อมใช้มีแม่แบบ Privacy Notice ภาษาไทยและอังกฤษ เอกสารพร้อมใช้ในไม่กี่นาที |
| ✗ เขียนระยะเวลาเก็บว่า “ตามความจำเป็น” หรือไม่เขียนเลย | ✓ มาตรา 23 (3) ให้ระบุระยะเวลา หรือระยะเวลาที่คาดหมายได้ตามมาตรฐานของการเก็บรวบรวม ใช้ตัวเลขหรือเหตุการณ์ที่วัดได้ เช่น “นับแต่สิ้นสุดสัญญา” แล้วผูกไว้กับกิจกรรมใน RoPA เพื่อให้ประกาศกับการปฏิบัติจริงตรงกัน |
| ✗ บอกว่าลูกค้ามีสิทธิ แต่ไม่บอกว่าจะใช้สิทธิผ่านช่องทางไหน | ✓ ใส่ชื่อ สถานที่ และวิธีติดต่อผู้ควบคุมข้อมูลและ DPO ตามมาตรา 23 (5) แล้วให้ช่องทางที่ใช้ได้จริง พอร์ทัล DSR ของ AIPDPA ให้ลิงก์สาธารณะและคิวอาร์โค้ดไปวางในประกาศได้ทันที พร้อมนาฬิกานับกำหนดเวลาและบันทึกคำขอทุกรายการ |
| ✗ รับรายชื่อลูกค้าจากพันธมิตรมาแล้วโทรหาเลยโดยไม่แจ้งอะไร | ✓ ตรวจก่อนว่าเข้าข้อยกเว้นตามมาตรา 24 หรือ 26 หรือไม่ ถ้าไม่เข้า ต้องแจ้งไม่เกิน 30 วันนับแต่วันที่เก็บและได้รับความยินยอม และแจ้งรายละเอียดในการติดต่อครั้งแรก บันทึกแหล่งที่มาของข้อมูลไว้ใน RoPA เพื่อตอบผู้ตรวจสอบได้ว่าได้มาจากไหน |
ออก Privacy Notice ไทย-อังกฤษพร้อมใช้ ในไม่กี่นาที
เลือกแม่แบบ Privacy Notice ไทย-อังกฤษจาก 40 แม่แบบพร้อมใช้ เติมรายละเอียดของธุรกิจคุณ แล้วออกฉบับอนุมัติที่ตรวจสอบได้ด้วยคิวอาร์โค้ด ดูบัญชีตัวอย่างได้ ไม่ต้องสมัคร
มีในทุกแพ็กเกจ เริ่มต้น 2,900 บาท/ปี · ดูบัญชีตัวอย่างได้ ไม่ต้องสมัคร
คำถามที่พบบ่อย
คำถามที่คนค้นหาบ่อยที่สุดเรื่องนี้ แต่ละคำตอบสั้น ตรงประเด็น และอ่านแยกข้อได้
Privacy Notice กับหนังสือขอความยินยอมเป็นเอกสารเดียวกันไหม?
ไม่ใช่ Privacy Notice มีไว้แจ้งให้ทราบ ไม่ได้ขออนุญาต มาตรา 23 (1) ให้แจ้งวัตถุประสงค์ทุกข้อ รวมถึงวัตถุประสงค์ที่มาตรา 24 ให้เก็บได้โดยไม่ต้องขอความยินยอม จึงต้องแจ้งแม้กิจกรรมนั้นไม่ได้อาศัยความยินยอม
ยังไม่รู้ว่าจะเก็บข้อมูลไว้นานแค่ไหน ต้องเขียนอย่างไร?
มาตรา 23 (3) ให้ระบุระยะเวลาที่อาจคาดหมายได้ตามมาตรฐานของการเก็บรวบรวม เมื่อกำหนดระยะเวลาที่ชัดเจนไม่ได้ ไม่ควรเว้นว่างหรือเขียนเพียงว่าตามความจำเป็น
บริษัทเล็กไม่มี DPO ต้องเขียนเรื่อง DPO ใน Privacy Notice ไหม?
มาตรา 23 (5) ให้ใส่ข้อมูลและช่องทางติดต่อของตัวแทนหรือ DPO ในกรณีที่มี ถ้าไม่มี ให้แจ้งข้อมูล สถานที่ติดต่อ และวิธีติดต่อผู้ควบคุมข้อมูลเองให้ชัดเจน
ได้รายชื่อลูกค้าจากบริษัทพันธมิตร ต้องแจ้งภายในกี่วัน?
มาตรา 25 กำหนดให้แจ้งโดยไม่ชักช้าแต่ไม่เกิน 30 วันนับแต่วันที่เก็บ ถ้าใช้ข้อมูลติดต่อเจ้าของข้อมูลต้องแจ้งในการติดต่อครั้งแรก และถ้าจะเปิดเผยต่อต้องแจ้งก่อนเปิดเผยครั้งแรก
ต้องทำ Privacy Notice แยกสำหรับลูกค้ากับพนักงานไหม?
มาตรา 23 กำหนดเนื้อหาที่ต้องแจ้ง ไม่ได้กำหนดจำนวนฉบับ แนวปฏิบัติที่ดีคือแยกตามกลุ่มเจ้าของข้อมูล เพราะลูกค้า พนักงาน และผู้สมัครงานถูกเก็บข้อมูลต่างกันทั้งวัตถุประสงค์ ประเภทข้อมูล และระยะเวลาเก็บ
แหล่งอ้างอิง
คู่มือนี้อ้างอิงเอกสาร 2 รายการ ตัวบทกฎหมายระบุมาตราหรือข้อไว้ชัดเจน ส่วนแนวปฏิบัติและมาตรฐานเป็นแนวทาง ไม่ใช่กฎหมาย
- พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 มาตรา 23
- พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 มาตรา 25
ตัวบทในบทความนี้อ้างอิงจากคลังกฎหมายของ AIPDPA ซึ่งถอดจากราชกิจจานุเบกษา · เนื้อหาเป็นความรู้ทั่วไป หากกรณีของคุณมีข้อเท็จจริงเฉพาะ ทีมทนายของเราช่วยดูให้ได้
เครื่องมือและบริการที่ช่วยได้ทันที
อยากทำเองให้เร็วขึ้น ใช้เครื่องมือใน AIPDPA · อยากให้ทนายดูแลให้ หรืออยากเรียนให้เป็น เลือกบริการในเครือที่ตรงกับคุณได้เลย
เอกสารพร้อมใช้ 40 แบบ ไทย/อังกฤษ ยืนยันข้อสัญญาที่ AI เขียนเพิ่มครบ 88 ข้อ กรอกจากทะเบียนให้เอง และมี QR ยืนยันฉบับที่อนุมัติ
ลงชื่อรอเปิดใช้งาน →ทะเบียนเติมจากโครงสร้างองค์กรให้เอง เลือกฐานกฎหมายพร้อมมาตรา แล้วพิมพ์รายงานตามมาตรา 39 ได้ทันที
ลงชื่อรอเปิดใช้งาน →ลิงก์และ QR ให้เจ้าของข้อมูลยื่นคำขอเอง ระบบนับกำหนดเวลา ส่งรหัสติดตาม และเก็บบันทึกคำขอให้ครบ
ลงชื่อรอเปิดใช้งาน →ทีมทนายความตรวจความพร้อมและวางระบบ PDPA ให้ครบ เหมาะกับ SME ที่ไม่มีเวลาทำเอง
ดูบริการ →
ใครรับผิดชอบเนื้อหานี้?
เรียบเรียงโดยทีมกฎหมาย AIPDPA · ผู้รับผิดชอบเนื้อหา ภูวรา ครอบตะคุ ทนายความ · เนติบัณฑิตไทย · ที่ปรึกษากฎหมายเทคโนโลยีและทรัพย์สินทางปัญญา
ใบอนุญาตทนายความ 477/2558 · เนติบัณฑิตไทย · นิติศาสตรมหาบัณฑิต กฎหมายทรัพย์สินทางปัญญาและสารสนเทศ (เหรียญทอง)
อ่านต่อ
คู่มือที่มักต้องทำต่อจากเรื่องนี้ เลือกอ่านได้ตามลำดับงานขององค์กรคุณ