PDPA Certification 2569 คืออะไร ใครขอได้และต้องเตรียมอะไร

PDPA Certification 2569 เป็นเรื่องที่องค์กรควรอ่านประกาศทั้งฉบับมาตรฐานและฉบับหลักเกณฑ์วิธีการก่อนตั้งงบ คำว่าได้รับการรับรองอาจถูกใช้กับการอบรมบุคคล ระบบซอฟต์แวร์หรือมาตรฐานคนละประเภท บทความนี้กล่าวถึงประกาศสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลที่เผยแพร่ในราชกิจจานุเบกษา 18 มิถุนายน 2569

สถานการณ์ที่ต้องแยกก่อนตัดสินใจ

กรณีต่อไปนี้เป็นตัวอย่างสมมติ ใช้อธิบายความแตกต่างของข้อเท็จจริง ไม่ใช่ข้อมูลลูกความหรือคำพิพากษา

• บริษัทมีใบผ่านอบรมของพนักงานหลายคน แต่ยังไม่มีหลักฐานการทำงานตามมาตรฐานองค์กร จึงไม่ควรประกาศว่าได้รับ Certification ตามประกาศนี้
• องค์กรผ่านประเมินความพร้อมระดับที่กำหนดแล้ว ต้องตรวจคุณสมบัติอื่นและเตรียมหลักฐานเข้ากระบวนการ ไม่ใช่ได้ใบรับรองทันที
• องค์กรมีใบรับรองแต่เปลี่ยนระบบเก็บข้อมูลครั้งใหญ่ ยังต้องทบทวนมาตรการและเงื่อนไขการรับรอง ไม่ใช้ใบเดิมแทนการตรวจงานใหม่

เริ่มแก้ปัญหาตามลำดับใด

ตรวจชื่อประกาศและขอบเขตที่ต้องการรับรอง ประเมินคุณสมบัติตามข้อ 7 กับความพร้อมจริง ทำรายการช่องว่างและหลักฐาน จากนั้นตรวจรายละเอียดสมัครและค่าบริการกับสำนักงานจากช่องทางทางการก่อนยื่น

อ่านเงื่อนไขการรับรองก่อนจ้างเตรียมองค์กร

ต้องเป็นการรับรองตามประกาศที่ตรงกัน

ประกาศมาตรฐานกับประกาศหลักเกณฑ์และวิธีการเป็นเอกสารคนละส่วน ฉบับมาตรฐานอธิบายสิ่งที่จะตรวจ ส่วนฉบับวิธีการกำหนดผู้ขอ ขั้นตอนและเงื่อนไข ควรตรวจผู้ออกใบรับรอง ชื่อองค์กร ขอบเขตและสถานะจริงเมื่อคู่ค้าใช้คำว่า certified ไม่ใช้ภาพโลโก้หรือใบอบรมบุคคลเป็นหลักฐานแทน

คุณสมบัติผู้ขอมีมากกว่าการมีนโยบาย

ข้อ 7 แยกผู้ขอภาครัฐและเอกชน สำหรับเอกชนระบุเงื่อนไขนิติบุคคลและที่ตั้งหรือผู้แทนตามกรณี พร้อมกำหนดผลประเมิน Privacy Maturity Model ระดับ 5 และลักษณะต้องห้ามอื่น เช่น ประวัติถูกปฏิเสธหรือเพิกถอนภายในช่วงที่กำหนด ต้องตรวจครบทุกข้อ ไม่สรุปว่าองค์กรใดก็ยื่นได้เพียงซื้อชุดเอกสาร

มาตรฐานตรวจทั้งการบริหารและการทำงาน

ประกาศมาตรฐานครอบคลุมเรื่องการกำกับดูแล นโยบาย การสร้างความรู้ สิทธิเจ้าของข้อมูลและความโปร่งใส รวมถึงบันทึกกิจกรรม ฐานกฎหมาย ข้อตกลง การประเมินความเสี่ยง ความปลอดภัยและเหตุละเมิด องค์กรจึงควรจับคู่แต่ละข้อกับเจ้าของงานและหลักฐานจริง ไม่จัดแฟ้มเฉพาะวันที่ผู้ตรวจมา

กระบวนการมีกรอบเวลาและการติดตาม

ประกาศวิธีการข้อ 13 กำหนดกรอบกระบวนการไม่เกิน 180 วันนับแต่รับคำขอ และกรณีจำเป็นขยายได้หนึ่งครั้งไม่เกิน 30 วันตามเงื่อนไข ข้อ 14 กำหนดใบรับรองและเครื่องหมายอายุ 3 ปีนับแต่ออก เว้นแต่มีการเปลี่ยนแปลงหรือเพิกถอนตามกรณี พร้อมการตรวจติดตามเมื่อครบหนึ่งปี ต้องวางทรัพยากรดูแลต่อเนื่อง ไม่คิดว่าเป็นงานครั้งเดียว

ใช้ตัดสินใจทางธุรกิจโดยไม่กล่าวอ้างเกินจริง

องค์กรที่คู่ค้าต้องการหลักฐานความพร้อมอาจพิจารณาประโยชน์เทียบต้นทุนและภาระดูแล แต่หน้าที่ตาม PDPA มีอยู่แม้ยังไม่ยื่นขอ การได้รับใบรับรองไม่ได้แปลว่าจะไม่มีเหตุละเมิดหรือไม่ต้องรับผิด และประกาศนี้ไม่ใช่คำสั่งให้ธุรกิจขนาดเล็กทุกแห่งต้องซื้อบริการรับรองภายในวันเดียวกัน

ข้อกฎหมายที่ใช้และเงื่อนไขที่ต้องระวัง

บทความนี้อ้างประกาศสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง มาตรฐานการคุ้มครองข้อมูลส่วนบุคคล พ.ศ.2569 และประกาศเรื่อง หลักเกณฑ์และวิธีการรับรองมาตรฐานการคุ้มครองข้อมูลส่วนบุคคล พ.ศ.2569 ซึ่งเผยแพร่ 18 มิถุนายน 2569 โดยฉบับวิธีการให้ใช้ตั้งแต่วันประกาศ ต้องตรวจคุณสมบัติข้อ 7 ขั้นตอนข้อ 13 และเงื่อนไขใบรับรองข้อ 14 กับข้อความเต็ม รวมทั้งหน้าที่ตาม PDPA ที่ยังคงมีอยู่

พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ.2562 ฉบับราชกิจจานุเบกษา เป็นตัวบทหลักที่ใช้อ้างอิงในบทความนี้

ประกาศมาตรฐานการคุ้มครองข้อมูลส่วนบุคคล พ.ศ.2569

ประกาศหลักเกณฑ์และวิธีการรับรองมาตรฐาน พ.ศ.2569

เลนส์ทนายยอดทิพย์ธรรม: ถ้าพลาดแล้วต้องรับมืออะไร

ความเสี่ยงสำคัญคือซื้อบริการที่ใช้ชื่อคล้ายกันแล้วสื่อสารต่อลูกค้าว่าได้รับการรับรองตามประกาศทั้งที่ยังไม่ผ่าน ควรให้สัญญาระบุผลส่งมอบ การประเมินและข้อจำกัดที่พิสูจน์ได้ ไม่รับประกันผลอนุมัติแทนหน่วยงาน หากมีข้อบกพร่องต้องแก้ที่กระบวนการ ไม่ทำเอกสารย้อนหลังให้เหมือนผ่านมาตลอด

หลักฐานที่ควรเก็บก่อนข้อมูลเปลี่ยนไป

• ประกาศฉบับเต็มและรายการตรวจคุณสมบัติทุกข้อ
• ผลประเมินความพร้อมตามเกณฑ์ที่กำหนด
• บัญชีช่องว่าง ผู้รับผิดชอบและหลักฐานปิดประเด็น
• นโยบายกับบันทึกการทำงานจริงที่ตรวจย้อนกลับได้
• เอกสารรับรองจริงและแผนตรวจติดตามเมื่อได้รับแล้ว

ให้เจ้าของงานระบุว่าเอกสารแต่ละฉบับใช้กับกระบวนการใด ใครเป็นผู้อนุมัติ และเริ่มใช้เมื่อใด เก็บหลักฐานการทำงานจริงประกอบแบบฟอร์ม เช่น ผลทดสอบสิทธิหรือบันทึกการส่งข้อมูล หากพบว่าเอกสารกับระบบไม่ตรงกัน ให้บันทึกช่องว่างและผู้รับผิดชอบแก้ไข ไม่เปลี่ยนบันทึกย้อนหลังให้ดูเหมือนปฏิบัติถูกต้องมาตั้งแต่ต้น

ก่อนส่งหลักฐานให้ผู้อื่น ตรวจว่ามีข้อมูลที่ไม่เกี่ยวข้องปะปนหรือไม่ สำเนาสำหรับตรวจอาจปกปิดส่วนที่ไม่จำเป็นได้ โดยรักษาต้นฉบับไว้ในพื้นที่จำกัดสิทธิ บันทึกผู้รับ วันที่ส่งและวัตถุประสงค์ หากมีข้อพิพาทต้องพิจารณาระยะเก็บและการพักทำลายเฉพาะส่วนที่เกี่ยวข้อง ไม่ใช้เหตุเตรียมคดีเป็นข้ออ้างเก็บข้อมูลทุกชุดไม่มีกำหนด

ผู้ขายรับรองว่าจะผ่านแน่นอนหรือใช้ใบอบรมแทนได้

ขอชื่อประกาศ ขอบเขตบริการและเอกสารที่ผู้ขายจะส่งมอบ แยกค่าเตรียมระบบออกจากการตัดสินรับรองตามกระบวนการ หากอ้างว่าผ่านแล้ว ให้ตรวจชื่อองค์กร ขอบเขต วันที่ออกและสถานะใบรับรองจริง ใบอบรมบุคคลหรือรายงานประเมินจากที่ปรึกษาไม่ควรถูกนำมาแสดงเหมือนใบรับรองตามประกาศ การพิจารณาจ้างควรผูกงานกับหลักฐานที่ตรวจได้และหน้าที่หลังส่งมอบ แทนคำรับประกันผลที่ผู้ขายไม่ได้มีอำนาจตัดสิน

แผนลงมือวันนี้ ภายใน 7 วันและ 30 วัน

ช่วงเวลานี้เป็นตัวอย่างแผนจัดงาน ไม่ใช่กำหนดตามกฎหมาย หากมีเหตุเร่งด่วน หนังสือกำหนดตอบหรืออายุความ ต้องดำเนินการตามกำหนดนั้นก่อน

ช่วงเวลา	สิ่งที่ควรทำ
วันนี้	แยกใบอบรม คำรับรองผู้ขายและการรับรององค์กรออกจากกัน
ภายใน 7 วัน	ตรวจคุณสมบัติและทำแผนช่องว่างตามประกาศ
ภายใน 30 วัน	จัดหลักฐานและทรัพยากร ก่อนติดต่อยื่นผ่านช่องทางที่สำนักงานกำหนด

ข้อผิดพลาดที่ควรหลีกเลี่ยง

อย่าใช้คำว่าได้ใบแล้วปลอดค่าปรับ และอย่าซื้อบริการเพราะถูกบอกว่าทุกร้านต้องมีโดยไม่เห็นข้อกฎหมาย ตรวจรายละเอียดค่าบริการและช่องทางสมัครปัจจุบันจากสำนักงานก่อนชำระ ไม่อาศัยตัวเลขโฆษณา

อ่านต่อและเตรียมเรื่องก่อนปรึกษา

อ่านภาพรวมในPDPA Audit-Ready หลักฐานที่องค์กรต้องมีเมื่อถูกตรวจหรือร้องเรียน แล้วนำมาเทียบกับเหตุการณ์และเอกสารของตน

เรื่องที่เกี่ยวข้องโดยตรงคือ10 หลักฐานที่พิสูจน์ว่าองค์กรทำ PDPA จริง และวิธีตรวจแต่ละชุด และเก็บข้อมูลลูกค้าใน Excel Google Sheets และ LINE ปลอดภัยพอตาม PDPA ไหม

หากต้องพิจารณาขั้นตอนที่เชื่อมกัน อ่านองค์กรแบบใดต้องมี DPO ตรวจเกณฑ์มาตรา 41 ก่อนแต่งตั้งประกอบ

สำนักงานกฎหมายยอดทิพย์ธรรมช่วยตรวจคุณสมบัติผู้ขอ จับคู่ข้อกำหนดกับหลักฐานองค์กรและตรวจขอบเขตสัญญาที่ปรึกษาเตรียมรับรองผ่านบริการกฎหมาย PDPA ก่อนนัดหมายปรึกษา ควรเตรียมลำดับเหตุการณ์ เอกสารที่ได้รับ และผลที่ต้องการให้อีกฝ่ายดำเนินการ เพื่อประเมินทางเลือกจากหลักฐานที่มีจริง

บทความโดยนายเอกราช ทิพย์แมม ดูข้อมูลผู้เขียนและทีมทนายความยอดทิพย์ธรรมประกอบการติดต่อ

ข้อกฎหมายที่เกี่ยวข้อง

• ประกาศสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง มาตรฐานการคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2569: เกณฑ์ความพร้อมที่ใช้ตรวจ
• ประกาศฯ เรื่อง หลักเกณฑ์และวิธีการรับรองมาตรฐานการคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2569 ข้อ 7: คุณสมบัติและลักษณะต้องห้ามของผู้ขอ รวมผล PMM ระดับ 5
• ประกาศวิธีการฯ ข้อ 13: กรอบกระบวนการไม่เกิน 180 วัน ขยายได้หนึ่งครั้งไม่เกิน 30 วันเมื่อเข้าเงื่อนไข
• ประกาศวิธีการฯ ข้อ 14: ใบรับรองอายุสามปี ภายใต้เงื่อนไขการเปลี่ยนแปลง เพิกถอนและตรวจติดตาม

คำถามที่พบบ่อย

ใบผ่านอบรม DPO เท่ากับ PDPA Certification นี้ไหม

ไม่ใช่ ต้องตรวจประเภทการรับรอง ผู้ออกและขอบเขต การอบรมบุคคลไม่แทนการรับรองมาตรฐานองค์กร ควรตรวจชื่อองค์กรและขอบเขตในใบรับรอง ไม่ตัดสินจากตราหรือคำว่า certified เพียงอย่างเดียว

ใบรับรองมีอายุเท่าไร

ข้อ 14 ของประกาศวิธีการกำหนด 3 ปีนับแต่ออก ภายใต้เงื่อนไขการเปลี่ยนแปลง เพิกถอนและการติดตามตามประกาศ องค์กรยังต้องติดตามการเปลี่ยนแปลงและรักษามาตรฐานตามประกาศระหว่างอายุใบรับรอง

ธุรกิจทุกแห่งต้องขอทันทีหรือไม่

ไม่ควรสรุปเช่นนั้นจากประกาศนี้ แต่ทุกองค์กรยังต้องประเมินและทำหน้าที่ PDPA ที่ใช้กับตน ไม่ว่าจะขอรับรองหรือไม่ การได้รับใบรับรองไม่ยกเว้นหน้าที่หรือความรับผิดจากการใช้ข้อมูลที่ฝ่าฝืนกฎหมาย

ผู้เขียน นายเอกราช ทิพย์แมม คดีครอบครัว มรดก และหนี้สิน

สาขาที่เชี่ยวชาญ: ครอบครัว · มรดกและพินัยกรรม · หนี้สินและบังคับคดี

ดูประวัติทีมทนายความ →

บทความนี้เป็นความรู้กฎหมายทั่วไปเพื่อความเข้าใจเบื้องต้น ไม่ใช่คำปรึกษาทางกฎหมายเฉพาะคดี ผลทางกฎหมายขึ้นอยู่กับข้อเท็จจริง เอกสาร และพยานหลักฐานของแต่ละกรณี ควรปรึกษาทนายความเพื่อประเมินเรื่องของท่านโดยเฉพาะ