# AIPDPA
> AIPDPA is a Thai compliance platform (PDPA, AI governance, cybersecurity, IP) by The Kooru Data Tech & Law. These how-to guides are written by its legal team from statutes in its legal knowledge base, transcribed from the Royal Gazette. Content owner: Phuwara Krobtaku, Thai attorney-at-law (licence 477/2558).

When quoting, cite the guide URL and note that guides are general information, not legal advice for a specific case.

## Product
- [Demo account](https://aipdpa.com/demo): the real system with a sample company's data, view-only, no sign-up — RoPA, breach response (72-hour clock), DSR portal, cookie consent, 40 ready-to-use document templates in Thai/English (all 88 AI-added clauses confirmed), AI governance
- [Plans and pricing](https://aipdpa.com/pricing): pay yearly and use the plan in full straight away; modules depend on the plan; upgrade any time with the unused value credited
- [Free website security scan](https://aipdpa.com/scan)
- [Free AI risk check](https://aipdpa.com/ai-check)

## Articles (Thai)
- [กล้องสแกนใบหน้าพนักงาน ต้องมีเหตุผลแค่ไหนจึงใช้ได้](https://aipdpa.com/articles/ai-cctv-facial-recognition-biometrics): สแกนใบหน้าด้วยกล้อง AI ในที่ทำงาน: ข้อ 3.3 ของแนวปฏิบัติ สกมช. ว่าด้วยความจำเป็น ชีวมิติ และการติดตามคน คู่กับมาตรา 26 ของ PDPA และตารางเลือกทางที่รุกล้ำน้อยกว่า
- [อัปเดตเฟิร์มแวร์และโมเดลกล้อง AI ต้องตรวจอะไรก่อนกด](https://aipdpa.com/articles/ai-cctv-firmware-and-model-updates): กล้อง AI อัปเดตเฟิร์มแวร์หรือโมเดล ต้องระบุรุ่น ประเมิน ทดสอบ อนุมัติ และทวนสอบ ตามแนวปฏิบัติ สกมช. ข้อ 3.4 พร้อมตารางว่าเหตุแบบไหนต้องทดสอบอะไรก่อนใช้จริง
- [กล้อง AI แจ้งเตือนผิด ใครรับผิดชอบ และคนต้องดูแค่ไหน](https://aipdpa.com/articles/ai-cctv-human-oversight-and-ai-errors): กล้อง AI แจ้งเตือนผิดหรือระบุคนผิด: ข้อ 3.3.5–3.3.7 และ 4.3.5–4.3.6 ของแนวปฏิบัติ สกมช. ว่าด้วยการให้คนตรวจ ผู้รับผิดชอบ และตารางว่าใครต้องตรวจอะไรก่อนใช้ผลของ AI
- [กล้องวงจรปิดบนคลาวด์และแอปมือถือ ต้องถามอะไรก่อนใช้](https://aipdpa.com/articles/cctv-cloud-apps-and-p2p-services): กล้องวงจรปิดที่เก็บภาพบนคลาวด์ ดูผ่านแอป หรือใช้ P2P ควรถามผู้ให้บริการอะไร ตามแนวปฏิบัติ สกมช. 1.0.0 ประกาศคลาวด์ 2567 และ PDPA มาตรา 28
- [ดูกล้องวงจรปิดจากมือถือ ต้องจัดการรหัสโรงงานและ P2P ก่อน](https://aipdpa.com/articles/cctv-default-password-remote-access): รหัสผ่านโรงงาน การดูกล้องจากมือถือ และบริการ P2P ตามแนวปฏิบัติ สกมช. 2569 พร้อมตารางเลือกวิธีดูจากนอกบ้านและความเชื่อมโยงกับ PDPA มาตรา 37 (1)
- [กล้องวงจรปิดที่ติดแล้ว ทำ 7 ข้อให้ปลอดภัยได้ในหนึ่งสัปดาห์](https://aipdpa.com/articles/cctv-first-7-steps-small-business): 7 ข้อเริ่มต้นความปลอดภัยกล้องวงจรปิดตามแนวปฏิบัติ สกมช. 2569 ข้อ 3.1 เรียงเป็นแผนหนึ่งสัปดาห์สำหรับร้านและ SME พร้อมแยกส่วนที่เป็นหน้าที่ตาม PDPA
- [ภาพจากกล้องวงจรปิดหลุด ต้องทำอะไรใน 72 ชั่วโมงแรก](https://aipdpa.com/articles/cctv-footage-leak-response): ภาพกล้องวงจรปิดหลุดต้องแจ้ง สคส. ใน 72 ชั่วโมงนับแต่ทราบเหตุ ลำดับขั้นตามแนวปฏิบัติ สกมช. ข้อ 2.3.4 คู่กับมาตรา 37 (4) ประกาศ สคส. 2565
- [ใครเปิดดูภาพกล้องวงจรปิดได้ และเปิดไปเมื่อไร](https://aipdpa.com/articles/cctv-logs-access-and-audit): จัดสิทธิ์ดู ค้นหา ส่งออกภาพกล้องวงจรปิดและเก็บ log ตามข้อ 3.4–3.5 ของแนวปฏิบัติ สกมช. พร้อมตารางบทบาท และขอบเขตของ พ.ร.บ.คอมพิวเตอร์ฯ มาตรา 26
- [กล้องวงจรปิดชุดเก่า ซ่อมต่อ ชดเชย หรือเปลี่ยนทั้งชุด](https://aipdpa.com/articles/cctv-old-systems-upgrade-or-replace): ชุดกล้องวงจรปิดเก่าจะซ่อมต่อ ชดเชยหรือเปลี่ยนทั้งชุด ดูตามข้อ 3.7–3.8 ของแนวปฏิบัติ สกมช. พร้อมตารางเลือกทางและสิ่งที่ต้องทำก่อนทิ้งเครื่อง
- [ป้ายกล้องวงจรปิด ประกาศความเป็นส่วนตัว และการขอดูภาพ](https://aipdpa.com/articles/cctv-privacy-notice-signage-and-rights): ติดป้ายกล้องวงจรปิดสองชั้นอย่างไร และเมื่อมีคนขอดูภาพต้องตรวจอะไรก่อน อ่านข้อ 2.3 ของแนวปฏิบัติ สกมช. คู่กับ PDPA มาตรา 23 และ 30 พร้อมตัวอย่างป้าย
- [เก็บภาพกล้องวงจรปิดกี่วัน ต้องใช้ดิสก์เท่าไร](https://aipdpa.com/articles/cctv-retention-and-storage-sizing): เก็บภาพกล้องวงจรปิดกี่วันดี และต้องใช้ดิสก์เท่าไร อ่านข้อ 3.2.3–3.2.4 ของแนวปฏิบัติ สกมช. คู่กับ PDPA มาตรา 22 พร้อมตารางตัดสินใจและตัวอย่างคำนวณ
- [กล้องวงจรปิดของคุณอยู่ระดับ B, E หรือ H? วิธีจัดระดับ](https://aipdpa.com/articles/cctv-risk-levels-b-e-h): วิธีจัดระดับ B, E, H ตามข้อ 2.1 แนวปฏิบัติกล้องวงจรปิด สกมช. 2569: 4 มิติ แบบประเมินตนเอง ตัวอย่างสมมติ ร้านกาแฟ โรงงาน คอนโด และเหตุผลที่ไม่ใช่การจัดชั้น CII
- [สกมช. ออกแนวปฏิบัติกล้องวงจรปิด 2 เล่ม อ่านเล่มไหนก่อน](https://aipdpa.com/articles/cctv-security-guidelines-2569-explained): แนวปฏิบัติกล้องวงจรปิด 2 เล่มของ สกมช. ปี 2569 คืออะไร ไม่มีสภาพบังคับ ต่างจาก PDPA อย่างไร ระดับ B/E/H คืออะไร และตารางบอกว่าแต่ละบทบาทควรอ่านบทไหนก่อน
- [ซื้อกล้องวงจรปิดให้องค์กร สัญญาและการตรวจรับต้องมีอะไร](https://aipdpa.com/articles/cctv-vendor-procurement-checklist): ซื้อกล้องวงจรปิดให้องค์กร ควรใส่อะไรใน TOR และสัญญา ขอหลักฐานอะไร ตรวจรับอย่างไร ตามแนวปฏิบัติ สกมช. 1.0.0 พร้อมโยงเรื่องผู้ประมวลผลตาม PDPA
- [EIA กับ DPIA ทำอันไหนก่อน รวมเป็นฟอร์มเดียวได้ไหม](https://aipdpa.com/articles/ai-ethics-impact-assessment): EIA กับ DPIA ต่างกันอย่างไร ทำเมื่อไร และต่อกันอย่างไร ตามร่างคู่มือ EIA ของ สพธอ. และแนวทาง AI ของ สคส. พร้อมแบบฟอร์มประเมินรวมสำหรับโครงการ AI
- [บอร์ดต้องถามอะไร ก่อนอนุมัติโครงการ AI](https://aipdpa.com/articles/ai-governance-for-executives): ผู้บริหารควรถามอะไรก่อนอนุมัติโครงการ AI ตามแนวทาง สพธอ. สำหรับผู้บริหาร และแนวทาง AI ของ สคส. พร้อมเช็กลิสต์หน้าเดียวสำหรับวาระบอร์ด
- [ใช้ AI คัดใบสมัครหรือให้คะแนนพนักงาน ฝ่ายบุคคลต้องระวังอะไร](https://aipdpa.com/articles/ai-in-hiring-and-staff-evaluation): ใช้ AI คัดใบสมัครหรือประเมินพนักงาน ควรทำ DPIA ตามแนวทาง AI ของ สคส. แจ้งผู้สมัครตาม PDPA ม.23 ระวังข้อมูลอ่อนไหว ม.26 และ Annex III ของ EU AI Act
- [ลูกค้าขอดู ขอลบ ขอหยุดใช้ข้อมูล ตอบอย่างไรให้ทันกำหนด](https://aipdpa.com/articles/answering-data-subject-requests-30-days): เส้นตายคำขอใช้สิทธิ PDPA: ขอสำเนา 30 วัน ขอลบ 90 วัน คัดค้านการตลาดทันที พร้อมวิธียืนยันตัวตน เหตุปฏิเสธ และขั้นตอนตามมาตรา 30–36 ประกาศการลบฯ 2567 และ TDPG 4.0
- [ลูกค้าขอให้คนทบทวนผลที่ AI ตัดสิน บริษัทต้องทำอะไร](https://aipdpa.com/articles/automated-decisions-human-review): เมื่อลูกค้าขอให้คนทบทวนผลที่ระบบอัตโนมัติตัดสิน PDPA ให้สิทธิอะไร แนวทาง AI ของ สคส. แนะนำอะไร และการทบทวนแบบไหนที่นับว่าทบทวนจริง
- [ข้อมูลรั่ว ต้องทำอะไรบ้างใน 72 ชั่วโมงแรก](https://aipdpa.com/articles/breach-first-72-hours): ข้อมูลรั่วต้องทำอะไรใน 72 ชั่วโมงแรก ตาม PDPA ม.37(4) ประกาศแจ้งเหตุ 2565 ช่องทางอีเมลของ สคส. ปี 2568 พ.ร.บ.คอมฯ ม.26 และ พ.ร.บ.ไซเบอร์ฯ ม.57 พร้อมตารางเทียบ
- [จดหมายแจ้งเจ้าของข้อมูลเมื่อข้อมูลรั่ว ต้องมีอะไรบ้าง](https://aipdpa.com/articles/breach-letter-to-data-subjects): จดหมายแจ้งเจ้าของข้อมูลเมื่อข้อมูลรั่วต้องมี 4 เรื่องตามประกาศฯ 2565 ข้อ 10 พร้อมตัวอย่างจดหมายภาษาเข้าใจง่าย ช่องทางแจ้งตามข้อ 11 และข้อผิดพลาดที่พบบ่อย
- [ซ้อมรับมือข้อมูลรั่วทั้งบริษัท ครึ่งวันก็พอ](https://aipdpa.com/articles/breach-tabletop-drill): ตารางซ้อมรับมือข้อมูลรั่วแบบครึ่งวัน ผูกกับเส้นตาย 72 ชั่วโมงตาม PDPA ม.37 (4) และประกาศฯ 2565 พร้อมโจทย์จากคู่มือ สคส. และเกณฑ์วัดผล
- [ติดกล้องวงจรปิดในออฟฟิศ ร้าน คอนโด ต้องทำอะไรตาม PDPA](https://aipdpa.com/articles/cctv-in-the-workplace): กล้องวงจรปิดตาม PDPA และ TDPG 4.0: ป้ายแจ้ง 2 ชั้น ฐานประโยชน์อันชอบธรรม ระยะเก็บภาพ ผู้มีสิทธิดู การให้ภาพตำรวจ และข้อหารือ สคส. เรื่องนิติบุคคลอาคารชุด
- [พนักงานเอาข้อมูลลูกค้าใส่ ChatGPT ผิดกฎหมายข้อไหนบ้าง](https://aipdpa.com/articles/chatgpt-at-work-four-laws): พนักงานเอารายชื่อลูกค้าหรือสัญญาไปใส่ AI สาธารณะ เสี่ยงอะไรบ้างตามแนวทาง สคส. ETDA PDPA ม.28–29 และ พ.ร.บ.ความลับทางการค้า พร้อมตารางทางแก้และนโยบายตัวอย่าง
- [ข้อมูลเด็กต้องขอความยินยอมจากใคร พ่อแม่หรือตัวเด็ก](https://aipdpa.com/articles/childrens-data-and-parental-consent): ข้อมูลเด็กและผู้เยาว์ใครให้ความยินยอม: มาตรา 20 PDPA เด็กไม่เกิน 10 ปี ข้อหารือ สคส. เรื่องบัญชีเงินฝากและการตลาด ตัวอย่างโรงเรียนและแอปจาก TDPG
- [ย้ายระบบขึ้นคลาวด์ มาตรฐาน สกมช. 2567 บังคับใครบ้าง](https://aipdpa.com/articles/cloud-security-standard-2567): มาตรฐานคลาวด์ สกมช. 2567 มีผล 11 ก.ย. 2569 ใช้กับหน่วยงานรัฐ หน่วยงาน CII และผู้ให้บริการคลาวด์ของหน่วยงานเหล่านี้ สรุประดับผลกระทบ ศูนย์ข้อมูลในไทย และสิ่งที่สัญญาต้องมี
- [ขอประวัติอาชญากรรมผู้สมัครงานได้แค่ไหน ตามประกาศปี 2566](https://aipdpa.com/articles/criminal-record-checks-hiring): ประวัติอาชญากรรมเป็นข้อมูลอ่อนไหวตาม PDPA มาตรา 26 ประกาศปี 2566 ให้ตรวจได้เมื่อมีกฎหมายกำหนดหรือผู้สมัครยินยอมโดยชัดแจ้ง และเก็บต่อได้ไม่เกิน 6 เดือน
- [แชทบอทตอบลูกค้า ต้องแจ้งอะไร และเก็บบทสนทนาไว้แค่ไหน](https://aipdpa.com/articles/customer-service-chatbot-pdpa): แชทบอทบริการลูกค้าต้องบอกว่าเป็นระบบอัตโนมัติ แจ้งตาม PDPA มาตรา 23 และเก็บ log ให้พอสืบเหตุโดยไม่เก็บเกิน ตามแนวทาง AI ของ สคส.
- [ทำ Data Mapping ใน 7 วัน จนได้ RoPA ฉบับแรก](https://aipdpa.com/articles/data-mapping-in-one-week): แผน 7 วันทำ Data Mapping จนได้ RoPA ตาม PDPA มาตรา 39: ลำดับงานรายวัน แบบสอบถาม 6 ข้อ เริ่มที่ฝ่ายบุคคล และคำตอบที่ TDPG บอกว่าใช้ไม่ได้
- [ส่งอีเมลหรือไฟล์ผิดคน ต้องแจ้ง สคส. ไหม](https://aipdpa.com/articles/email-sent-to-the-wrong-person): อีเมลหรือไฟล์ส่งผิดคนเป็นเหตุละเมิดตามประกาศ 2565 ข้อ 4 (1) ดูตัวอย่างที่ 5, 9, 10 ของ สคส. ปัจจัยข้อ 12 และสิ่งที่ต้องทำใน 72 ชั่วโมง
- [ข้อมูลพนักงานตั้งแต่สมัครงานจนลาออก HR ต้องทำอะไรบ้างตาม PDPA](https://aipdpa.com/articles/employee-data-from-hire-to-exit): วงจรข้อมูลพนักงานตาม PDPA มาตรา 26 และ TDPG 4.0 บท HR: รับสมัคร ตรวจประวัติ ตรวจสุขภาพ ลายนิ้วมือ การกำกับการทำงาน การลาออก การรับรองพนักงาน และระยะเก็บรักษา
- [10 ข้อที่ EU AI Act ห้ามเด็ดขาด ธุรกิจไทยแบบไหนเข้าข่าย](https://aipdpa.com/articles/eu-ai-act-banned-practices): EU AI Act Article 5 ห้ามระบบ AI 10 แบบ ตั้งแต่จับอารมณ์พนักงานถึงสร้างภาพลามกจากคนจริง ใช้กับธุรกิจไทยเมื่อไร และวันที่ข้อห้ามใหม่เริ่มใช้
- [EU AI Act ใช้กับบริษัทไทยเมื่อไร และเมื่อไรไม่เกี่ยว](https://aipdpa.com/articles/eu-ai-act-for-thai-companies): EU AI Act ไม่ผูกพันในไทย เว้นแต่เข้า Article 2 เช่น ขาย AI ในตลาด EU หรือผลลัพธ์ถูกใช้ใน EU ดูบทบาท ชั้นความเสี่ยง และวันใหม่ 2 ธ.ค. 2027
- [ส่งข้อมูลให้บริษัทในเครือต่างประเทศ เลือก BCR หรือสัญญามาตรฐาน](https://aipdpa.com/articles/group-company-transfers-bcr): ส่งข้อมูลให้บริษัทแม่หรือบริษัทในเครือต่างประเทศ ใช้ BCR ที่ สคส. รับรอง หรือข้อสัญญามาตรฐานตามมาตรา 29 ก็ได้ เทียบขั้นตอน เวลา 180 วัน เอกสาร และข้อผิดพลาดที่พบบ่อย
- [บริษัทเราเป็น CII ไหม และหน้าที่ตาม พ.ร.บ.ไซเบอร์](https://aipdpa.com/articles/is-your-company-critical-infrastructure): ใครเป็นหน่วยงาน CII ตาม พ.ร.บ.ไซเบอร์ 2562 มาตรา 49 หน้าที่แจ้งรายชื่อใน 30 วัน ตรวจสอบและประเมินความเสี่ยงปีละครั้ง รายงานเหตุ และสิ่งที่ผู้รับจ้างต้องเตรียม
- [ISO 42001 กับ NIST AI RMF องค์กรไทยควรเริ่มอันไหนก่อน](https://aipdpa.com/articles/iso-42001-or-nist-ai-rmf): เทียบ ISO/IEC 42001 กับ NIST AI RMF แบบตรงไปตรงมา อันไหนรับรองได้ อันไหนสมัครใจ องค์กรไทยที่ซื้อ AI มาใช้ควรเริ่มตรงไหน และเมื่อไรจึงคุ้มที่จะขอใบรับรอง
- [ลูกค้าขอลบข้อมูล แต่กฎหมายสั่งเก็บ log 90 วัน ต้องทำอย่างไร](https://aipdpa.com/articles/logs-90-days-vs-erasure): PDPA มาตรา 33 ให้สิทธิขอลบ แต่ พ.ร.บ.คอมฯ มาตรา 26 สั่งเก็บข้อมูลจราจรอย่างน้อย 90 วัน ดูว่าข้อมูลแต่ละประเภทต้องเก็บหรือลบ และวางระบบ log ให้ถูกทั้งสองฉบับ
- [ส่งโปรฯ หาลูกค้าเก่า ต้องขอความยินยอมทุกครั้งไหม](https://aipdpa.com/articles/marketing-lists-and-cookies): ส่งโปรฯ ทาง LINE OA อีเมล หรือยิงโฆษณาตามคุกกี้ ใช้ฐานไหนได้ เทียบ PDPA ม.19 ม.24 ม.32 แนวปฏิบัติ TDPG 4.0 และข้อหารือ สคส. เรื่องเสนอขายลูกค้าเดิม
- [เช็กลิสต์ความปลอดภัยฉบับเดียว ตอบทั้ง สคส. และ สกมช.](https://aipdpa.com/articles/minimum-security-standard-checklist): เทียบประกาศมาตรการความปลอดภัย สคส. 2565 กับมาตรฐานขั้นต่ำและการจัดระดับ สกมช. 2566 จุดที่ตรงกัน จุดที่ต่าง และเช็กลิสต์รวมแยกระดับต่ำ กลาง สูง
- [NDA ที่ปกป้องความลับได้จริง ต้องมีอะไรบ้าง](https://aipdpa.com/articles/nda-that-actually-protects): NDA แบบไหนช่วยให้ข้อมูลยังเป็นความลับทางการค้าตามกฎหมาย มาตรการที่เหมาะสม ข้อห้ามวิศวกรรมย้อนกลับ อายุความ และข้อมูลลูกค้าตาม PDPA
- [ร้านเล็กและ SME ต้องทำ PDPA อะไรก่อน 10 เรื่องแรก](https://aipdpa.com/articles/pdpa-for-small-shops): 10 เรื่องแรกที่ร้านค้าและ SME ควรทำตาม PDPA เรียงตามลำดับ พร้อมคำตอบว่าข้อยกเว้น RoPA ของกิจการขนาดเล็กปี 2567 ช่วยได้แค่ไหน และหน้าที่ไหนไม่ได้ยกเว้น
- [เข้ารหัสแล้วยังต้องแจ้งเหตุไหม? ดู 10 ตัวอย่างที่ สคส. ตอบไว้](https://aipdpa.com/articles/pdpc-10-breach-cases-encryption): สรุป 10 ตัวอย่างในคู่มือประเมินความเสี่ยงเหตุละเมิดของ สคส. กรณีไหนต้องแจ้งใคร และทำไมการเข้ารหัสช่วยได้เฉพาะเหตุที่กระทบความลับ พร้อมตารางเทียบเหตุ
- [สคส. ตอบข้อหารือ PDPA 8 เรื่องที่บริษัทเจอบ่อย](https://aipdpa.com/articles/pdpc-answered-8-questions): สคส. ตอบข้อหารือ PDPA 8 เรื่อง: ถอนความยินยอม เสนอขายลูกค้าเดิม RoPA ของบริษัทเล็ก ของหาย ตำรวจขอเวชระเบียน ประกันกลุ่ม โพสต์ Facebook และเครื่องสแกนหน้าลงเวลา
- [สคส. ตอบอีก 8 ข้อหารือ PDPA ที่องค์กรควรรู้](https://aipdpa.com/articles/pdpc-answered-part-2): สรุปอีก 8 ข้อหารือที่ สคส. ตอบไว้ ตั้งแต่สแกนหน้าผู้เยาว์ บัตรคนพิการ หน่วยงานรัฐขอข้อมูลทางอีเมล ไปจนถึงรายชื่อสมาชิกและผู้ติดต่อคู่ค้า พร้อมถ้อยคำความเห็นที่ยกมาคำต่อคำ
- [ตำรวจขอข้อมูลลูกค้า บริษัทส่งให้ได้แค่ไหน](https://aipdpa.com/articles/police-ask-for-customer-data): ตำรวจหรือหน่วยงานรัฐขอข้อมูลลูกค้าหรือผู้ป่วย บริษัทส่งได้เมื่อไรโดยไม่ต้องขอความยินยอม ต้องส่งแค่ไหน และต้องจดอะไรไว้ ตามข้อหารือ สคส. กับ PDPA มาตรา 4 21 27
- [ประกาศความเป็นส่วนตัวที่คนอ่านจริง เขียนอย่างไร](https://aipdpa.com/articles/privacy-notice-people-actually-read): เขียนประกาศความเป็นส่วนตัว (privacy notice) ให้ครบมาตรา 23 และอ่านรู้เรื่อง แจ้งเป็นชั้น แจ้ง ณ จุดเก็บข้อมูล ใช้ QR ได้ ตามข้อหารือ สคส. และตัวอย่างใน TDPG 4.0
- [สัญญาผู้ประมวลผลข้อมูล ข้อไหนขาดไม่ได้](https://aipdpa.com/articles/processor-agreement-clauses): ข้อตกลงกับผู้ประมวลผลข้อมูลตาม PDPA มาตรา 40 ต้องมีข้อใดบ้าง เช่น ทำตามคำสั่ง มาตรการความปลอดภัย แจ้งเหตุใน 72 ชั่วโมง ลบข้อมูลเมื่อจบงาน ตามประกาศ สคส. และ TDPG 4.0
- [ผู้รับจ้างทำข้อมูลรั่ว ใครต้องแจ้งใคร ภายในกี่ชั่วโมง](https://aipdpa.com/articles/processor-breach-who-notifies): ผู้ประมวลผลทำข้อมูลรั่ว ต้องแจ้งผู้ควบคุมตาม PDPA ม.40 และภายใน 72 ชั่วโมงตามสัญญา (ประกาศฯ 2565 ข้อ 8) ส่วนผู้ควบคุมแจ้ง สคส. ตาม ม.37 (4)
- [โดนแรนซัมแวร์ กฎหมายสามฉบับสั่งให้ทำอะไร](https://aipdpa.com/articles/ransomware-what-three-laws-require): แรนซัมแวร์เป็นเหตุละเมิดความพร้อมใช้งานตามประกาศ 2565 ข้อ 4 (3) ดูว่า PDPA พ.ร.บ.ไซเบอร์ฯ พ.ร.บ.คอมฯ สั่งอะไร และข้อมูลสำรองเปลี่ยนคำตอบได้แค่ไหน
- [AI เข้ามาในงาน ฝ่ายบุคคลต้องออกแบบงานใหม่อย่างไร](https://aipdpa.com/articles/redesigning-jobs-around-ai): วิธีออกแบบงานใหม่เมื่อใช้ AI ตามคู่มือ AI Job Redesign ของ สพธอ. ระดับ AI 0–5 แผน Upskill/Reskill การสื่อสารกับพนักงาน และข้อควรระวัง PDPA เมื่อ AI ประเมินพนักงาน
- [จดเครื่องหมายการค้าก่อนเปิดแบรนด์ ใครยื่นก่อนได้เปรียบ](https://aipdpa.com/articles/register-your-brand-before-launch): จดเครื่องหมายการค้าในไทยก่อนเปิดตัวแบรนด์: อะไรจดได้ ลักษณะบ่งเฉพาะ เหตุไม่รับจด ใครยื่นก่อน อายุ 10 ปีและการต่ออายุ ตาม พ.ร.บ.เครื่องหมายการค้า พร้อมเช็กลิสต์
- [ตารางเก็บข้อมูลกี่ปี ทำอย่างไรให้ผู้ตรวจรับ](https://aipdpa.com/articles/retention-schedule-you-can-defend): วิธีทำตารางระยะเวลาเก็บข้อมูลส่วนบุคคลให้ตอบผู้ตรวจได้ ตาม PDPA มาตรา 23 (3) 37 (3) ประกาศการลบปี 2567 และลำดับการตั้งระยะเวลาใน TDPG
- [ทำ RoPA ให้เสร็จจริง และรู้ว่าเมื่อไรต้องทำ DPIA](https://aipdpa.com/articles/ropa-and-dpia-that-get-finished): มาตรา 39 PDPA บังคับให้บันทึกอะไรใน RoPA กิจการขนาดเล็กยกเว้นได้แค่ไหน และเมื่อไรต้องทำ DPIA ตามแนวปฏิบัติ TDPG 4.0 พร้อมตารางแม่แบบและข้อหารือ สคส.
- [จัดชั้นความมั่นคงปลอดภัยระบบ ทำทีละขั้นตามประกาศ 2566](https://aipdpa.com/articles/security-classification-step-by-step): วิธีจัดระดับต่ำ กลาง สูง ให้ข้อมูลและระบบสารสนเทศตามประกาศ กมช. ปี 2566 ทีละขั้น ตั้งแต่แยกประเภทข้อมูล ประเมินสามด้าน รวมระดับ จนถึงทบทวนทุก 3 ปี
- [ข้อมูลออกนอกไทยเมื่อไร ต้องผ่านมาตรา 28 ทีละขั้น](https://aipdpa.com/articles/sending-data-abroad-section-28): ใช้ SaaS ต่างประเทศ ทีมซัพพอร์ตนอกประเทศ หรือส่งรายงานให้สำนักงานใหญ่ เมื่อไรเป็นการโอนข้อมูลตามมาตรา 28 และต้องใช้ฐานไหน ไล่ตามลำดับ มาตรา 28 → 29 → ข้อยกเว้น
- [ข้อมูลอ่อนไหวที่บริษัทเก็บอยู่ทุกวันโดยไม่รู้ตัว](https://aipdpa.com/articles/sensitive-data-you-hold-without-knowing): ข้อมูลอ่อนไหวตาม PDPA มาตรา 26 ที่ซ่อนในงานประจำ: ใบรับรองแพทย์ แพ้อาหาร สแกนนิ้วลงเวลา รูปบัตรประชาชน พร้อมข้อหารือ สคส. กรณี กทพ. และแนวทาง TDPG
- [ข้อมูลพนักงานเก่า เก็บต่อได้แค่ไหน ต้องลบเมื่อไร](https://aipdpa.com/articles/staff-records-keep-or-erase): อดีตพนักงานขอลบข้อมูล บริษัทเก็บอะไรต่อได้ตาม PDPA ม.33 วรรคสอง ลบอะไรภายใน 90 วันตามประกาศ 2567 และระยะเก็บตัวอย่างใน TDPG 4.0
- [ไม่ต้องขอความยินยอมทุกเรื่อง เลือกฐาน PDPA ให้ถูกงาน](https://aipdpa.com/articles/tdpg-when-consent-not-needed): เมื่อไรต้องขอความยินยอม เมื่อไรควรใช้ฐานสัญญา หน้าที่ตามกฎหมาย หรือประโยชน์อันชอบธรรม เทียบ PDPA มาตรา 19, 24, 26 กับ TDPG 4.0 พร้อมตารางเลือกฐานรายกิจกรรม
- [พนักงานลาออกแล้วเอาลิสต์ลูกค้ากับซอร์สโค้ดไป บริษัททำอะไรได้](https://aipdpa.com/articles/trade-secrets-when-staff-leave): พนักงานลาออกพร้อมรายชื่อลูกค้าหรือซอร์สโค้ด: นิยามความลับทางการค้า การละเมิด สิทธิทางศาล ความผิดตาม พ.ร.บ.คอมฯ และหน้าที่ตาม PDPA พร้อมเช็กลิสต์วันออก
- [กฎหมาย AI ไทยและร่างแก้ PDPA ยังไม่ออก แต่เตรียมอะไรได้แล้ว](https://aipdpa.com/articles/upcoming-thai-ai-law-and-pdpa-changes): ร่างกฎหมาย AI ไทยและร่างแก้ PDPA ยังไม่ประกาศใช้ สรุปจากบันทึกของทีม AIPDPA ว่าอาจเปลี่ยนอะไร และงาน 7 อย่างที่ทำได้วันนี้ตาม PDPA ที่บังคับอยู่
- [เอารูปจากเน็ตมาลงเว็บบริษัท ผิดลิขสิทธิ์ตรงไหน ทำอย่างไรให้ถูก](https://aipdpa.com/articles/using-images-and-content-from-the-web): ใช้รูป บทความ เพลง หรือภาพหน้าจอจากอินเทอร์เน็ตบนเว็บและเพจบริษัท: ลิขสิทธิ์เกิดเมื่อไร ข้อยกเว้นที่ใช้ได้จริง การลบลายน้ำ และโทษ พร้อมตารางทำได้ ทำไม่ได้
- [ก่อนเซ็นจ้างผู้ให้บริการที่แตะข้อมูลลูกค้า ต้องเช็กอะไร](https://aipdpa.com/articles/vendor-checks-before-signing): จะจ้างคลาวด์ คอลเซ็นเตอร์ หรือสำนักงานบัญชีที่แตะข้อมูลลูกค้า ต้องเช็กอะไรก่อนเซ็น ตาม PDPA มาตรา 40 ประกาศ สคส. ปี 2565 สองฉบับ และ TDPG 4.0
- [รับงานไอทีให้ CII ต้องเตรียมอะไรก่อนเซ็นสัญญา](https://aipdpa.com/articles/vendors-of-critical-infrastructure): ผู้ให้บริการไอทีของ CII จะเจอข้อกำหนดไซเบอร์ผ่านสัญญา การรีโมต การอบรม และแผน BCP ดูทีละช่วงตามประมวลแนวทางปี 2564 และมาตรฐานขั้นต่ำปี 2566
- [ก่อนซื้อ AI ถามผู้ขายอะไร บทเรียนจากรายงานของ OECD](https://aipdpa.com/articles/what-leading-ai-developers-report-oecd): สรุปสิ่งที่ผู้พัฒนา AI รายใหญ่รายงานต่อ OECD ตามกรอบ Hiroshima AI Process แล้วแปลงเป็นคำถามสิบข้อที่องค์กรไทยควรถามผู้ขาย AI ก่อนเซ็นสัญญา
- [บริษัทไหนต้องมี DPO ตามกฎหมาย เช็กจากประกาศปี 2566](https://aipdpa.com/articles/who-must-appoint-a-dpo): ใครต้องมี DPO ตาม PDPA มาตรา 41 และประกาศปี 2566 เกณฑ์กิจกรรมหลัก การตรวจสอบสม่ำเสมอ ข้อมูลจำนวนมาก 100,000 ราย พร้อมตารางแยกตามประเภทธุรกิจ
- [งานที่ทำด้วย AI ลิขสิทธิ์เป็นของใคร](https://aipdpa.com/articles/who-owns-ai-generated-work): อ่าน พ.ร.บ.ลิขสิทธิ์ 2537 กับงานที่ใช้ Generative AI ใครเป็นผู้สร้างสรรค์ งานของพนักงานและเอเจนซีเป็นของใคร จุดที่กฎหมายไทยยังไม่ตอบ และกติกาสำหรับทีมการตลาด
- [จ้างคนนอกเขียนซอฟต์แวร์ ลิขสิทธิ์เป็นของใคร](https://aipdpa.com/articles/who-owns-outsourced-software): จ้างฟรีแลนซ์หรือบริษัทซอฟต์แวร์ทำระบบ ลิขสิทธิ์เป็นของใคร ตาม พ.ร.บ.ลิขสิทธิ์ มาตรา 9 10 11 16 17 18 และ 35 พร้อมเช็กลิสต์ข้อสัญญาก่อนจ้าง
- [ใช้อีเมลและไดรฟ์บนคลาวด์ ข้อมูลไปต่างประเทศเมื่อไร](https://aipdpa.com/articles/workspace-tools-where-data-goes): ใช้อีเมล ไดรฟ์ แชตบนคลาวด์ เมื่อไรนับเป็นการส่งข้อมูลไปต่างประเทศตาม PDPA มาตรา 28–29 แยกทีละการกระทำ พร้อมฐานที่ใช้ได้ตามประกาศ สคส. ปี 2566

## Articles (English)
- [Face-scan cameras at work: how strong a reason do you need?](https://aipdpa.com/en/articles/ai-cctv-facial-recognition-biometrics): Face-scan cameras at work: clause 3.3 of the NCSA AI-CCTV guideline on necessity, biometrics and tracking, read with PDPA Section 26, with a table of lighter options.
- [What to Check Before Updating AI Camera Firmware](https://aipdpa.com/en/articles/ai-cctv-firmware-and-model-updates): Updating AI camera firmware or models: identify, assess, test, approve and verify under NCSA guideline clause 3.4, with a decision table for each kind of change.
- [AI camera alerts that are wrong: who answers, and how much must a person check?](https://aipdpa.com/en/articles/ai-cctv-human-oversight-and-ai-errors): When AI cameras raise a false alert or misidentify someone: clauses 3.3.5-3.3.7 and 4.3.5-4.3.6 of the NCSA guideline on human oversight, owners, and who must check what.
- [CCTV in the cloud and on apps: questions to ask first](https://aipdpa.com/en/articles/cctv-cloud-apps-and-p2p-services): What to ask before putting CCTV footage in the cloud, on a mobile app or on P2P: NCSA guideline v1.0.0, the 2024 cloud standard and PDPA section 28.
- [Viewing CCTV on your phone: fix factory passwords and P2P first](https://aipdpa.com/en/articles/cctv-default-password-remote-access): Factory passwords, phone viewing and P2P under the NCSA 2026 CCTV guideline, with a decision table for remote viewing and the link to PDPA Section 37 (1).
- [CCTV already installed? Secure it in seven steps this week](https://aipdpa.com/en/articles/cctv-first-7-steps-small-business): NCSA's seven quick-start CCTV security steps (guideline item 3.1, 2026) turned into a one-week plan for shops and SMEs, with the PDPA duties kept separate.
- [CCTV Footage Leaked? What to Do in the First 72 Hours](https://aipdpa.com/en/articles/cctv-footage-leak-response): A leak of CCTV footage must reach the PDPC within 72 hours of awareness where feasible. The NCSA guideline steps, set against section 37 (4) of the PDPA.
- [Who can open CCTV footage, and who opened it when?](https://aipdpa.com/en/articles/cctv-logs-access-and-audit): Who may view and export CCTV footage and what to log under the NCSA guideline (3.4-3.5), with a role table and the limits of Computer Crime Act section 26.
- [Repair, compensate or replace an old CCTV system?](https://aipdpa.com/en/articles/cctv-old-systems-upgrade-or-replace): An old CCTV recorder: repair, compensate or replace? Sections 3.7-3.8 of the NCSA guideline, a decision table, and what to do with old footage before disposal.
- [CCTV Signs, Privacy Notices and Footage Requests](https://aipdpa.com/en/articles/cctv-privacy-notice-signage-and-rights): How to word a two-layer CCTV sign and what to check when someone asks to see footage: clause 2.3 of the NCSA guideline read with PDPA sections 23 and 30.
- [How Many Days of CCTV Footage to Keep, and How Much Disk It Takes](https://aipdpa.com/en/articles/cctv-retention-and-storage-sizing): How many days of CCTV footage to keep and how much disk you need: sections 3.2.3 and 3.2.4 of the NCSA guideline, read with PDPA section 22, plus a worked example.
- [Is your CCTV system level B, E or H? How to rate it](https://aipdpa.com/en/articles/cctv-risk-levels-b-e-h): Rating CCTV levels B, E and H under section 2.1 of the NCSA 2026 guideline: four dimensions, self-assessment, hypothetical cases, and why it is not a CII classification.
- [Two NCSA CCTV guidelines: which one to read first](https://aipdpa.com/en/articles/cctv-security-guidelines-2569-explained): NCSA's two 2026 CCTV guidelines explained: what they are, why they are not law, how they differ from the PDPA, what levels B/E/H mean, and where each role should start.
- [Buying CCTV for an organisation: contract and acceptance](https://aipdpa.com/en/articles/cctv-vendor-procurement-checklist): What to put in a CCTV tender and contract, what evidence to ask for and how to accept the system, under the NCSA guideline v1.0.0, plus the PDPA processor link.
- [EIA or DPIA: Which Comes First, and Can They Share One Form?](https://aipdpa.com/en/articles/ai-ethics-impact-assessment): How an AI ethics impact assessment (ETDA's draft EIA Playbook) and a DPIA (PDPC AI guideline) differ, when each applies, and a combined worksheet for AI projects.
- [What the Board Should Ask Before Approving an AI Project](https://aipdpa.com/en/articles/ai-governance-for-executives): What a Thai board or CEO should ask before approving AI, based on ETDA's executive AI governance guideline and the PDPC AI guideline, with a one-page checklist.
- [AI in hiring and staff evaluation: what HR must watch](https://aipdpa.com/en/articles/ai-in-hiring-and-staff-evaluation): Using AI to screen CVs or rate staff in Thailand: DPIA under the PDPC AI guideline, notice under PDPA s.23, sensitive data under s.26, and EU AI Act Annex III.
- [Access, Erasure, Objection: Answering Data Subject Requests on Time Under Thailand's PDPA](https://aipdpa.com/en/articles/answering-data-subject-requests-30-days): Thai PDPA request deadlines: 30 days for access, 90 for erasure, immediate for marketing objections, with ID checks, refusal grounds and a step-by-step playbook.
- [When a customer asks a human to review an AI decision: what Thai businesses must do](https://aipdpa.com/en/articles/automated-decisions-human-review): When customers ask for human review of an automated decision in Thailand: which PDPA rights apply, what the PDPC AI guideline recommends, and what counts as real review.
- [A Data Leak at 2 a.m.: The First 72 Hours, Hour by Hour, Under Three Thai Laws](https://aipdpa.com/en/articles/breach-first-72-hours): Hour-by-hour Thai data breach playbook: PDPA s.37(4), the 2022 PDPC breach notification, the 2025 email channel, Computer Crime Act s.26 and Cybersecurity Act s.57.
- [What the Breach Letter to Affected People Must Say](https://aipdpa.com/en/articles/breach-letter-to-data-subjects): A breach letter to affected people must cover the four items in clause 10 of the 2022 Notification. Plain-language sample, channels and common mistakes.
- [A Half-Day Data Breach Drill for the Whole Company](https://aipdpa.com/en/articles/breach-tabletop-drill): A four-hour tabletop breach drill built around the 72-hour deadline in Thai PDPA section 37(4) and the 2022 breach notification, with PDPC-based scenarios.
- [CCTV in offices, shops and condos: what the PDPA expects](https://aipdpa.com/en/articles/cctv-in-the-workplace): CCTV under Thailand's PDPA and TDPG 4.0: two-layer signs, legitimate interest, retention, who may view footage, police requests and a PDPC Office opinion on condominiums.
- [Staff Pasted Customer Data into ChatGPT: What Four Thai Rulebooks Say](https://aipdpa.com/en/articles/chatgpt-at-work-four-laws): An employee pastes customer lists or contracts into public AI. What the PDPC and ETDA guidelines, PDPA s.28–29 and the Trade Secrets Act say, with a fix table and policy.
- [Children's Data in Thailand: Whose Consent Counts, the Child's or the Parent's?](https://aipdpa.com/en/articles/childrens-data-and-parental-consent): Children's data under Thailand's PDPA: section 20, the 10-year line, PDPC answers on minors' bank accounts and marketing, and TDPG school and app examples.
- [Moving to the cloud: who Thailand's 2024 cloud security standard binds](https://aipdpa.com/en/articles/cloud-security-standard-2567): Thailand's cloud security standard binds state agencies, CII operators and their cloud providers from 11 Sep 2026. Impact levels, Thai data centres, contract checks.
- [How Far Can You Check a Job Applicant's Criminal Record? Thailand's 2023 Rules and the PDPC's Answer to the Thai Bankers' Association](https://aipdpa.com/en/articles/criminal-record-checks-hiring): Criminal records are sensitive data under PDPA s.26. 2023 rules allow checks only if a law requires one or with explicit consent, kept 6 months at most.
- [Customer-service chatbots under the PDPA: what to tell users and how long to keep chats](https://aipdpa.com/en/articles/customer-service-chatbot-pdpa): A Thai customer-service chatbot must disclose it is automated, give Section 23 PDPA notice, and keep logs that support investigations without over-keeping.
- [Data Mapping in One Week: From Nothing to Your First RoPA](https://aipdpa.com/en/articles/data-mapping-in-one-week): A seven-day plan from data mapping to a first RoPA under section 39 of Thailand's PDPA: daily tasks, six questions, start with HR, and answers TDPG rejects.
- [Sent an Email or File to the Wrong Person? When Thai Law Says You Must Report It](https://aipdpa.com/en/articles/email-sent-to-the-wrong-person): A misdirected email is a confidentiality breach under Thailand's 2022 breach rules. How the PDPC judged three wrong-recipient cases, and what to do within 72 hours.
- [Employee data from hire to exit: what HR must do under the PDPA](https://aipdpa.com/en/articles/employee-data-from-hire-to-exit): Employee data under PDPA Section 26 and TDPG 4.0's HR chapter: hiring, background checks, health checks, fingerprints, monitoring, exit, references, retention.
- [The 10 AI practices the EU AI Act bans outright, and which Thai businesses could be caught](https://aipdpa.com/en/articles/eu-ai-act-banned-practices): EU AI Act Article 5 bans 10 AI practices, from workplace emotion recognition to non-consensual intimate deepfakes. When Thai businesses are caught and the new dates.
- [When does the EU AI Act apply to a Thai company?](https://aipdpa.com/en/articles/eu-ai-act-for-thai-companies): The EU AI Act does not bind Thai firms unless Article 2 applies: placing AI on the EU market or output used in the EU. Roles, risk tiers and the new 2027 dates.
- [Sending data to group companies abroad: BCR or standard clauses?](https://aipdpa.com/en/articles/group-company-transfers-bcr): A Thai subsidiary sending data to a foreign parent can use PDPC-certified BCRs or standard clauses under PDPA s.29. Steps, the 180-day review and pitfalls.
- [Is Your Company Critical Information Infrastructure?](https://aipdpa.com/en/articles/is-your-company-critical-infrastructure): Who counts as CII under Thailand's Cybersecurity Act 2019, Section 49; the 30-day contact filing, annual audits, incident reporting, and what reaches vendors.
- [ISO 42001 or NIST AI RMF: where should a Thai company start?](https://aipdpa.com/en/articles/iso-42001-or-nist-ai-rmf): ISO/IEC 42001 vs the NIST AI RMF: which is certifiable, which is voluntary, where a Thai company buying AI should start, and when certification pays off.
- [90-Day Logs vs the Right to Erasure: When Thailand's Computer Crime Act and the PDPA Pull Apart](https://aipdpa.com/en/articles/logs-90-days-vs-erasure): A customer invokes PDPA Section 33, but Computer Crime Act Section 26 says keep traffic data for at least 90 days. A collision map and a log design that satisfies both.
- [Marketing to Existing Customers in Thailand: When You Need Consent, and When You Don't](https://aipdpa.com/en/articles/marketing-lists-and-cookies): Email, LINE OA or retargeting cookies: which lawful basis works for marketing under Thailand's PDPA, per sections 19, 24 and 32, TDPG 4.0 and a PDPC answer.
- [One Security Checklist for Both PDPC and NCSA Rules](https://aipdpa.com/en/articles/minimum-security-standard-checklist): PDPC's 2022 security measures set beside NCSA's 2023 minimum standard and impact classification: overlaps, gaps, and one checklist by low, medium and high.
- [An NDA That Actually Protects Your Trade Secrets](https://aipdpa.com/en/articles/nda-that-actually-protects): How an NDA keeps information a trade secret under Thai law: appropriate measures, a reverse-engineering ban, time limits and PDPA duties.
- [PDPA for Small Shops and SMEs: The First 10 Steps](https://aipdpa.com/en/articles/pdpa-for-small-shops): The first ten things a Thai shop or SME should do under the PDPA, in order, and how far the 2024 small-business RoPA exemption really goes.
- [10 Breaches the PDPC Has Already Assessed: How Far Does Encryption Get You?](https://aipdpa.com/en/articles/pdpc-10-breach-cases-encryption): All ten examples in the PDPC's breach risk guide: who must be notified in each, and why encryption only helps when confidentiality is at stake. Plus a decision table.
- [The PDPC Has Answered: 8 Real PDPA Questions from Thai Organisations](https://aipdpa.com/en/articles/pdpc-answered-8-questions): 8 PDPA questions the PDPC answered: consent withdrawal, marketing, small-firm RoPA, lost devices, police requests, group insurance, Facebook posts, biometric clocks.
- [Eight More PDPA Questions the PDPC Office Has Answered](https://aipdpa.com/en/articles/pdpc-answered-part-2): Eight more PDPC Office consultation answers: face scans of minors, disability ID cards, agency email requests, member lists and supplier contacts.
- [Police Want Customer Data: What a Thai Company May Hand Over](https://aipdpa.com/en/articles/police-ask-for-customer-data): When police or a Thai state agency asks for customer or patient data: when to disclose without consent, how much to send and what to log, per PDPC opinions.
- [How to Write a Privacy Notice People Actually Read](https://aipdpa.com/en/articles/privacy-notice-people-actually-read): Write a Thai privacy notice that meets PDPA Section 23 and gets read: layered notices, notice at the point of collection, QR codes, per PDPC opinion and TDPG 4.0.
- [Data Processing Agreements: The Clauses You Cannot Leave Out](https://aipdpa.com/en/articles/processor-agreement-clauses): What a data processing agreement under Thai PDPA Section 40 must cover: instructions, security, 72-hour breach notice and deletion, per PDPC rules and TDPG 4.0.
- [When a Vendor Leaks Your Data: Who Must Notify Whom, and How Fast](https://aipdpa.com/en/articles/processor-breach-who-notifies): A processor that suffers a breach must tell the controller under PDPA s.40 and within 72 hours per contract (2022 Notification cl. 8); the controller notifies the PDPC.
- [Ransomware Has Hit: What Three Thai Laws Require, and in What Order](https://aipdpa.com/en/articles/ransomware-what-three-laws-require): Ransomware is an availability breach under Thailand's 2022 breach rules. What the PDPA, Cybersecurity Act and Computer Crime Act each require, and what backups change.
- [Redesigning Jobs Around AI: A Practical Guide for HR](https://aipdpa.com/en/articles/redesigning-jobs-around-ai): Redesigning roles around AI with ETDA's AI Job Redesign Guideline: AI levels 0 to 5, upskilling, talking to staff, and PDPA duties when AI evaluates employees.
- [Register Your Trademark Before You Launch: Thai Law Rewards the First Filer](https://aipdpa.com/en/articles/register-your-brand-before-launch): Thai trademark registration before launch: what qualifies, distinctiveness, refusal grounds, first filer, the 10-year term and renewal, with a checklist.
- [A Retention Schedule an Auditor Will Accept](https://aipdpa.com/en/articles/retention-schedule-you-can-defend): How to build a personal data retention schedule that survives an audit under Thailand's PDPA sections 23(3) and 37(3), the 2024 erasure notification and TDPG.
- [Finishing a RoPA That Works, and Knowing When You Need a DPIA](https://aipdpa.com/en/articles/ropa-and-dpia-that-get-finished): What Thailand's PDPA section 39 requires in a RoPA, how far small businesses are exempt, and when TDPG 4.0 says to run a DPIA, with templates and PDPC answers.
- [Classifying systems step by step under Thailand's 2023 security classification standard](https://aipdpa.com/en/articles/security-classification-step-by-step): How to rate data and systems low, medium or high under Thailand's 2023 classification standard: data categories, three objectives, roll-up, 3-year review.
- [When data leaves Thailand: section 28, step by step](https://aipdpa.com/en/articles/sending-data-abroad-section-28): Foreign SaaS, offshore support or reports to HQ: when is it a transfer under Thai PDPA section 28, and which basis applies? A step-by-step flow: s.28, s.29, exceptions.
- [The Sensitive Data Your Company Holds Without Knowing It](https://aipdpa.com/en/articles/sensitive-data-you-hold-without-knowing): Section 26 data hidden in routine work under Thailand's PDPA: sick notes, allergies, fingerprint time clocks, ID photos, and the PDPC's answer to EXAT.
- [Former Employees' Records: What You May Keep and When You Must Erase](https://aipdpa.com/en/articles/staff-records-keep-or-erase): A former employee asks for erasure. What a Thai employer may keep under PDPA s.33(2), what must go within 90 days under the 2024 rules, and TDPG 4.0's sample periods.
- [You don't need consent for everything: pick the right PDPA basis](https://aipdpa.com/en/articles/tdpg-when-consent-not-needed): When to use consent, and when contract, legal obligation or legitimate interest fit better. PDPA Sections 19, 24 and 26 set against TDPG 4.0, with a decision table.
- [An Employee Quits and Takes the Customer List and Source Code: What Can the Company Do?](https://aipdpa.com/en/articles/trade-secrets-when-staff-leave): An employee leaves with customer data or source code: Thai trade secret law, remedies, computer crime offences and PDPA duties, with an exit checklist.
- [Thailand's AI bill and PDPA amendment: what to prepare now](https://aipdpa.com/en/articles/upcoming-thai-ai-law-and-pdpa-changes): Thailand's AI Act and PDPA amendment are still drafts. What AIPDPA team notes expect them to change, and 7 steps you can take now under the PDPA in force.
- [Using Photos, Articles and Music From the Web on a Company Site: Where Thai Copyright Law Bites](https://aipdpa.com/en/articles/using-images-and-content-from-the-web): Online photos, articles, music or screenshots on company channels: when copyright arises, usable exceptions, watermark removal, penalties, and a do/don't table.
- [Before You Sign a Vendor That Touches Customer Data: What to Check](https://aipdpa.com/en/articles/vendor-checks-before-signing): Hiring a cloud, call-centre or payroll vendor that handles customer data? What Thailand's PDPA section 40 and the 2022 PDPC notifications require before you sign.
- [Doing IT work for critical infrastructure: what to prepare before you sign](https://aipdpa.com/en/articles/vendors-of-critical-infrastructure): IT vendors to Thai critical infrastructure meet cyber rules through contracts, remote access, training and BCP. A stage-by-stage guide to the 2021 code and 2023 standard.
- [What to ask an AI vendor: lessons from the OECD reports](https://aipdpa.com/en/articles/what-leading-ai-developers-report-oecd): What leading AI developers reported to the OECD under the Hiroshima AI Process framework, turned into ten questions a Thai company should ask an AI vendor.
- [Which Thai Companies Must Appoint a DPO? The 2023 Test](https://aipdpa.com/en/articles/who-must-appoint-a-dpo): Who needs a DPO under PDPA Section 41 and the 2023 PDPC notification: core activities, regular monitoring, the 100,000 large-scale test, by business type.
- [Who owns work made with AI under Thai copyright law?](https://aipdpa.com/en/articles/who-owns-ai-generated-work): Thailand's Copyright Act B.E. 2537 applied to generative AI: who is the author, who owns employee and agency work, where the law is silent, and rules for marketing teams.
- [Outsourced Software in Thailand: Who Owns the Copyright?](https://aipdpa.com/en/articles/who-owns-outsourced-software): You hired a freelancer or software house to build a system. Who owns the copyright under Thailand's Copyright Act sections 9, 10, 11, 16, 17, 18 and 35?
- [Cloud email and shared drives: when does your data leave Thailand?](https://aipdpa.com/en/articles/workspace-tools-where-data-goes): When cloud email, drives and chat count as a transfer abroad under Sections 28-29 of the Thai PDPA, use by use, and which bases the 2023 PDPC notifications allow.

## Guides (Thai)
- [ติดกล้องวงจรปิด (CCTV) อย่างไรไม่ให้ผิด PDPA?](https://aipdpa.com/guides/cctv-pdpa): ติดกล้องวงจรปิดให้สอดคล้อง PDPA ต้องมีป้ายแจ้งก่อนเข้าพื้นที่ จำกัดมุมกล้องและระยะเก็บภาพ และคุมการเข้าถึงไฟล์ ตามแนวปฏิบัติ TDPG 4.0
- [ทำคุกกี้แบนเนอร์ให้ถูกกฎหมาย PDPA ต้องมีอะไรบ้าง](https://aipdpa.com/guides/cookie-consent-banner): คุกกี้แบนเนอร์ต้องขอความยินยอมตามมาตรา 19 ให้ชัดแจ้ง แยกประเภท ปฏิเสธได้ และถอนได้ง่าย ดูขั้นตอนตามแนวปฏิบัติ TDPG 4.0 และวิธีเก็บหลักฐาน
- [ส่งข้อมูลส่วนบุคคลไปต่างประเทศหรือใช้คลาวด์ต่างประเทศอย่างไรให้ถูก PDPA](https://aipdpa.com/guides/cross-border-transfer): ส่งข้อมูลไปต่างประเทศได้เมื่อปลายทางมีมาตรฐานเพียงพอหรือเข้าข้อยกเว้นตามมาตรา 28-29 ดูวิธีเช็กคลาวด์ บริษัทในเครือ และมาตรการคุ้มครองที่เหมาะสม
- [แจ้งเหตุละเมิดข้อมูลส่วนบุคคลภายใน 72 ชั่วโมง ต้องทำอย่างไร](https://aipdpa.com/guides/data-breach-72-hours): ข้อมูลรั่วต้องแจ้ง สคส. ภายใน 72 ชั่วโมงนับแต่ทราบเหตุตามมาตรา 37 (4) ดูขั้นตอน สิ่งที่ต้องแจ้ง ช่องทางอีเมล และวิธีรับมือเมื่อแจ้งช้า
- [ตอบคำขอใช้สิทธิของเจ้าของข้อมูล (DSR) ให้ทันใน 30 วัน ทำอย่างไร](https://aipdpa.com/guides/data-subject-requests): คำขอดูหรือขอสำเนาข้อมูลต้องตอบภายใน 30 วันตามมาตรา 30 ดูขั้นตอนตรวจตัวตน 15 วัน การขยายเวลา และเหตุปฏิเสธตามประกาศ DSR พ.ศ. 2569
- [องค์กรของคุณต้องแต่งตั้ง DPO หรือไม่? เช็คเกณฑ์มาตรา 41 และประกาศ พ.ศ. 2566](https://aipdpa.com/guides/do-we-need-a-dpo): ต้องมี DPO หรือไม่ไม่ได้ดูจากจำนวนพนักงาน แต่ดูจากกิจกรรมหลักตามมาตรา 41 และประกาศ พ.ศ. 2566 รวมถึงเกณฑ์เจ้าของข้อมูล 100,000 ราย
- [ประเมินผลกระทบด้านข้อมูลส่วนบุคคล (DPIA) ต้องทำเมื่อไรและทำอย่างไร?](https://aipdpa.com/guides/dpia-when-and-how): DPIA ควรทำก่อนเริ่มกิจกรรมเสี่ยงสูง เช่น ใช้ AI วิเคราะห์พฤติกรรมหรือสแกนใบหน้า ดูเกณฑ์ตามแนวปฏิบัติ TDPG 4.0 และขั้นตอนทำให้เสร็จพร้อมหลักฐาน
- [เลือกฐานทางกฎหมายในการประมวลผลข้อมูลตามมาตรา 24 PDPA อย่างไร](https://aipdpa.com/guides/lawful-basis): ไม่ใช่ทุกเรื่องต้องขอความยินยอม มาตรา 24 มีฐานอื่นอีก 6 ฐาน ดูวิธีเลือกฐานให้ตรงกับวัตถุประสงค์ และบันทึกเหตุผลไว้ใน RoPA ให้ผู้ตรวจเห็น
- [โทษตาม PDPA มีอะไรบ้าง: ค่าปรับทางปกครอง โทษอาญา และค่าสินไหมทดแทน](https://aipdpa.com/guides/pdpa-penalties): โทษ PDPA มี 3 ชั้น: ปรับทางปกครองไม่เกิน 5 ล้านบาท จำคุกไม่เกิน 1 ปี และค่าสินไหมที่ศาลเพิ่มได้อีก 2 เท่า ดูว่าหน้าที่ไหนเสี่ยงที่สุด
- [ประกาศความเป็นส่วนตัว (Privacy Notice) ต้องมีอะไรบ้าง ตามมาตรา 23 PDPA](https://aipdpa.com/guides/privacy-notice): Privacy Notice ต้องแจ้ง 6 เรื่องตามมาตรา 23 ก่อนหรือขณะเก็บข้อมูล ดูเช็กลิสต์ครบทุกข้อ พร้อมแม่แบบไทย-อังกฤษพร้อมใช้ ออกฉบับใช้งานได้ในไม่กี่นาที
- [ทำสัญญาประมวลผลข้อมูล (DPA) กับผู้ให้บริการภายนอกอย่างไรตามมาตรา 40?](https://aipdpa.com/guides/processor-agreement): ใช้ผู้ให้บริการภายนอกประมวลผลข้อมูลแทน ต้องมีข้อตกลงตามมาตรา 40 PDPA ดูว่า DPA ควรมีข้อใดบ้าง และวิธีคุมผู้ประมวลผลให้ทำตามคำสั่งของคุณ
- [กำหนดระยะเก็บและลบทำลายข้อมูลส่วนบุคคลอย่างไรให้ถูกต้องตาม PDPA?](https://aipdpa.com/guides/retention-and-erasure): วิธีตั้งระยะเก็บรักษาและลบข้อมูลส่วนบุคคลตามมาตรา 33 และ 37 (3) พร้อมกำหนด 90 วันและการลบที่ต้องครอบคลุมข้อมูลสำรองตามประกาศฯ พ.ศ. 2567
- [วิธีทำ RoPA บันทึกรายการกิจกรรมการประมวลผลตามมาตรา 39 ให้ครบและตรวจได้](https://aipdpa.com/guides/ropa-how-to): RoPA ตามมาตรา 39 ต้องมีอย่างน้อย 8 รายการ ดูวิธีทำทีละขั้นแบบแยกตามฝ่าย ข้อยกเว้นของกิจการขนาดเล็ก และวิธีเก็บให้พร้อมตรวจ
- [มาตรการรักษาความมั่นคงปลอดภัยขั้นต่ำตาม PDPA ต้องมีอะไรบ้าง?](https://aipdpa.com/guides/security-measures): สรุปมาตรการความปลอดภัยขั้นต่ำที่ผู้ควบคุมข้อมูลต้องมีตามมาตรา 37 (1) และประกาศคณะกรรมการฯ พ.ศ. 2565 พร้อมขั้นตอนทำจริงและหลักฐานที่ควรเก็บ
- [จัดการข้อมูลอ่อนไหว เช่น ข้อมูลสุขภาพ ประวัติอาชญากรรม ตามมาตรา 26 อย่างไร](https://aipdpa.com/guides/sensitive-personal-data): ข้อมูลสุขภาพ ลายนิ้วมือ และประวัติอาชญากรรมเป็นข้อมูลอ่อนไหวตามมาตรา 26 ต้องได้ความยินยอมโดยชัดแจ้งหรือเข้าข้อยกเว้น ดูขั้นตอนและข้อควรระวัง
- [ขอความยินยอมให้ถูกต้องตามมาตรา 19 PDPA ต้องทำอย่างไร](https://aipdpa.com/guides/valid-consent): ความยินยอมตาม PDPA ต้องชัดแจ้ง แยกจากข้อความอื่น และถอนได้ง่ายเท่ากับตอนให้ ดูวิธีขอให้ถูกต้องตามมาตรา 19 และ 20 พร้อมเก็บหลักฐานให้ครบ
- [EU AI Act กระทบธุรกิจไทยอย่างไร: ใครอยู่ในขอบเขต และต้องทำอะไรเมื่อไร](https://aipdpa.com/guides/eu-ai-act-thai-business): EU AI Act ไปถึงบริษัทไทยได้ถ้าขาย AI เข้า EU หรือผลลัพธ์ถูกใช้ใน EU ใช้บังคับทั่วไปแล้วตั้งแต่ 2 ส.ค. 2026 ดูบทบาท วันสำคัญ และสิ่งที่ต้องทำ
- [วิธีเขียนนโยบายการใช้ Generative AI ในองค์กร ตามแนวทาง ETDA](https://aipdpa.com/guides/genai-policy): นโยบาย Generative AI ต้องบอกว่าใช้ทำอะไรได้ ข้อมูลไหนห้ามป้อน ใครตรวจผลลัพธ์ และใครกำกับดูแล สรุปจากคู่มือ ETDA พร้อมขั้นตอน
- [เริ่มทำระบบบริหารจัดการ AI ตาม ISO/IEC 42001 อย่างไร ฉบับองค์กรไทย](https://aipdpa.com/guides/iso-42001-starter): เริ่ม ISO/IEC 42001 ได้โดยยังไม่ต้องขอการรับรอง: ใช้ Clause 4–10 ประเมินตนเอง ทำนโยบาย AI, SoA และประเมินผลกระทบ ทีละขั้น
- [เก็บข้อมูลจราจรทางคอมพิวเตอร์ (log) กี่วันตาม พ.ร.บ.คอมพิวเตอร์ และเก็บอย่างไร](https://aipdpa.com/guides/computer-traffic-data): ผู้ให้บริการต้องเก็บ log ไม่น้อยกว่า 90 วัน ถูกสั่งขยายได้ถึง 2 ปี ไม่ทำโทษปรับไม่เกิน 500,000 บาท สรุปมาตรา 26 และขั้นตอนเก็บ log ให้พร้อมตรวจ
- [หน่วยงานโครงสร้างพื้นฐานสำคัญทางสารสนเทศ (CII) มีหน้าที่อะไรตาม พ.ร.บ.ไซเบอร์](https://aipdpa.com/guides/cybersecurity-act-cii): หน่วยงาน CII ต้องมีประมวลแนวทางปฏิบัติ ตรวจประเมินความเสี่ยงไซเบอร์อย่างน้อยปีละครั้ง มีแผนรับมือภัยคุกคาม และแจ้งชื่อผู้ประสานงาน
- [วิธีเลือกใช้คลาวด์สาธารณะให้สอดคล้องแนวทาง NCSA เมื่อไรต้องใช้ศูนย์ข้อมูลในไทย](https://aipdpa.com/guides/public-cloud-thailand): เกณฑ์ NCSA ว่าเมื่อไรต้องใช้คลาวด์ที่มีศูนย์ข้อมูลหลักในไทย ใครต้องทำ ต้องรายงานภายในกี่วัน พร้อมขั้นตอนเลือกผู้ให้บริการคลาวด์ทีละข้อ
- [ลิขสิทธิ์ในงานที่พนักงานสร้างเป็นของใคร และนายจ้างต้องทำอะไรให้เป็นของบริษัท](https://aipdpa.com/guides/employee-copyright): ตามมาตรา 9 ลิขสิทธิ์ในงานของลูกจ้างเป็นของลูกจ้าง เว้นแต่ทำหนังสือตกลงไว้ อ่านวิธีเขียนสัญญาให้ลิขสิทธิ์เป็นของบริษัท และต่างจากงานจ้างฟรีแลนซ์อย่างไร
- [คุ้มครองความลับทางการค้าอย่างไรให้ฟ้องร้องได้จริงตาม พ.ร.บ.ความลับทางการค้า](https://aipdpa.com/guides/protect-trade-secrets): ข้อมูลจะเป็นความลับทางการค้าได้ต้องครบ 3 องค์ประกอบ รวมถึงมีมาตรการรักษาความลับที่เหมาะสม สรุปมาตรา 3, 6, 8 และขั้นตอนเตรียมหลักฐานให้พร้อมฟ้อง
- [ต่ออายุเครื่องหมายการค้าอย่างไรให้ทันกำหนด ยื่นได้เมื่อไร ถ้าเลยกำหนดทำอย่างไร](https://aipdpa.com/guides/trademark-renewal): เครื่องหมายการค้ามีอายุ 10 ปี ต้องยื่นต่ออายุภายใน 3 เดือนก่อนหมดอายุ ถ้าพลาดยังยื่นได้ใน 6 เดือนแต่จ่ายเพิ่มร้อยละ 20 สรุปมาตรา 53-54 พร้อมขั้นตอน

## Guides (English)
- [How to run CCTV in Thailand without breaching the PDPA](https://aipdpa.com/en/guides/cctv-pdpa): CCTV under Thailand's PDPA: put up a clear sign before the camera zone, limit angles and retention, and control footage access, following TDPG 4.0.
- [How to Run a Cookie Consent Banner under Thailand's PDPA](https://aipdpa.com/en/guides/cookie-consent-banner): Cookie consent under Thailand's PDPA must be express, purpose-specific, refusable and easy to withdraw (Section 19). Set up your banner the TDPG 4.0 way.
- [How to transfer personal data abroad or use overseas cloud under the PDPA](https://aipdpa.com/en/guides/cross-border-transfer): You may send data abroad if the destination is adequate or a Section 28–29 route applies. How to assess cloud services, group transfers and safeguards.
- [How to Notify a Personal Data Breach in Thailand within 72 Hours](https://aipdpa.com/en/guides/data-breach-72-hours): Thailand's PDPA gives you 72 hours from awareness to notify the PDPC Office. See the steps, what to report, the email channel and what to do if you are late.
- [How to Answer Data Subject Requests (DSR) in Thailand within 30 Days](https://aipdpa.com/en/guides/data-subject-requests): Thai PDPA access requests must be met within 30 days (Section 30). See the 15-day ID check, extensions and refusal rules in the 2026 DSR notification.
- [Does Your Organisation Need a Data Protection Officer (DPO) in Thailand?](https://aipdpa.com/en/guides/do-we-need-a-dpo): Whether you need a DPO in Thailand depends on your core activities, not headcount. Check the Section 41 tests and the 2023 notification's 100,000 threshold.
- [Data Protection Impact Assessment (DPIA) in Thailand: when and how to do one](https://aipdpa.com/en/guides/dpia-when-and-how): When Thai businesses should run a DPIA, the high-risk activities TDPG 4.0 flags, such as AI profiling and biometrics, and how to finish one with evidence.
- [How to choose a lawful basis for processing under PDPA Section 24](https://aipdpa.com/en/guides/lawful-basis): Not everything needs consent. Section 24 of the PDPA offers 6 other bases. Learn to match each purpose to the right one and record why in your RoPA.
- [PDPA penalties in Thailand: administrative fines, criminal liability and damages](https://aipdpa.com/en/guides/pdpa-penalties): Thailand's PDPA has three layers of penalty: administrative fines up to THB 5 million, jail up to 1 year, and damages a court can double.
- [What must a privacy notice contain under Thailand's PDPA (Section 23)?](https://aipdpa.com/en/guides/privacy-notice): A PDPA privacy notice must cover 6 points under Section 23, before or at collection. Get the checklist plus ready-to-use Thai and English templates.
- [How to put a data processing agreement (DPA) in place with vendors in Thailand](https://aipdpa.com/en/guides/processor-agreement): Section 40 of Thailand's PDPA requires an agreement with every data processor. See what a DPA must cover and how to keep vendors acting on your instructions.
- [How to set retention periods and erase personal data under Thailand's PDPA](https://aipdpa.com/en/guides/retention-and-erasure): Set retention periods and erase personal data under Sections 33 and 37(3), with the 90-day deadline and backup rules of the 2024 PDPC Notification.
- [How to Build a Record of Processing Activities (RoPA) under Section 39](https://aipdpa.com/en/guides/ropa-how-to): Thailand's PDPA Section 39 requires at least 8 items in your RoPA. A step-by-step guide by department, the small-business exemption and audit-ready tips.
- [What minimum security measures must a data controller have under the PDPA?](https://aipdpa.com/en/guides/security-measures): The minimum security measures Thai law sets for data controllers under Section 37(1) and the 2022 PDPC Notification, with steps and evidence to keep.
- [How to handle sensitive data such as health and criminal records (Section 26)](https://aipdpa.com/en/guides/sensitive-personal-data): Health data, fingerprints and criminal records are sensitive under PDPA Section 26. You need explicit consent or an exception. Steps, pitfalls and fixes.
- [How to obtain valid consent under Section 19 of Thailand's PDPA](https://aipdpa.com/en/guides/valid-consent): PDPA consent must be explicit, separate from other terms and as easy to withdraw as to give. How to get it right under Sections 19 and 20, with evidence.
- [How the EU AI Act affects Thai businesses: who is in scope and what to do when](https://aipdpa.com/en/guides/eu-ai-act-thai-business): The EU AI Act reaches Thai firms that sell AI into the EU or whose AI output is used there. It has applied generally since 2 August 2026.
- [How to write a Generative AI use policy for your organisation in Thailand](https://aipdpa.com/en/guides/genai-policy): A Generative AI policy must say what staff may use it for, what data they must never enter, who checks the output, and who is accountable.
- [How to start an AI management system under ISO/IEC 42001](https://aipdpa.com/en/guides/iso-42001-starter): Start ISO/IEC 42001 without certification: self-assess against Clauses 4–10, then write your AI policy, SoA and impact assessment.
- [How long must you keep computer traffic data under Thailand's Computer Crime Act?](https://aipdpa.com/en/guides/computer-traffic-data): Thai service providers must keep traffic logs for at least 90 days, up to 2 years if ordered, or face fines up to 500,000 baht. Section 26 explained.
- [What are the duties of CII organisations under Thailand's Cybersecurity Act?](https://aipdpa.com/en/guides/cybersecurity-act-cii): CII organisations must keep a cybersecurity code of practice, audit cyber risk at least once a year, plan incident response and register contacts.
- [How to choose a public cloud that meets Thailand's NCSA rules](https://aipdpa.com/en/guides/public-cloud-thailand): When must Thai public bodies and CII use a cloud with a primary data centre in Thailand? The NCSA rules, deadlines and a step-by-step checklist.
- [Who owns copyright in work created by employees in Thailand?](https://aipdpa.com/en/guides/employee-copyright): Under Thai law the employee owns copyright in work made on the job unless agreed otherwise in writing. How to fix your contracts, and how freelancers differ.
- [How to protect trade secrets in Thailand so the law will back you](https://aipdpa.com/en/guides/protect-trade-secrets): Thai law protects a trade secret only if you took reasonable steps to keep it secret. Sections 3, 6 and 8 of the Trade Secrets Act, and how to build evidence.
- [How to renew a Thai trademark on time, and what to do if you miss the deadline](https://aipdpa.com/en/guides/trademark-renewal): A Thai trademark lasts 10 years. Renew within 3 months before expiry, or within 6 months after it with a 20% surcharge. Sections 53-54 and the steps.

## Network
- [Kooru.com](https://kooru.com): lawyer-led PDPA, DPO, AI governance and IP services
- [OK Contracts](https://ok.aipdpa.com): ready-to-use Thai/English contracts by lawyers and a free contract-law knowledge base
- [TechLawNow](https://techlawnow.com): tech-law news
- [SkillNo](https://skillno.com): courses and digital products