ร้านค้าและธุรกิจเล็กต้องทำ PDPA แค่ไหน เริ่มจากงานที่ใช้จริง

PDPA ธุรกิจเล็กควรเริ่มจากรายชื่อลูกค้าในโทรศัพท์ ตารางส่งของและแฟ้มพนักงานที่ใช้อยู่จริง เจ้าของร้านไม่จำเป็นต้องเริ่มด้วยเอกสารเล่มใหญ่ที่ไม่มีใครใช้ แต่ต้องตอบให้ได้ว่าเก็บข้อมูลแต่ละอย่างเพื่ออะไร ใครเปิดดูได้ และเมื่อหมดความจำเป็นจะจัดการอย่างไร

สถานการณ์ที่ต้องแยกก่อนตัดสินใจ

กรณีต่อไปนี้เป็นตัวอย่างสมมติ ใช้อธิบายความแตกต่างของข้อเท็จจริง ไม่ใช่ข้อมูลลูกความหรือคำพิพากษา

• ร้านรับชื่อและที่อยู่เพื่อส่งสินค้าเป็นครั้งคราว ต้องตรวจหน้าที่ของงานส่งของ ไม่ถือว่าเป็นกิจกรรมส่วนตัวเพราะทำจากบ้าน
• ร้านมีระบบสมาชิกและส่งโฆษณาต่อเนื่อง ต้องตรวจเงื่อนไขที่ไม่ใช่การใช้ข้อมูลเป็นครั้งคราวก่อนอ้างยกเว้นบันทึกรายการ
• คลินิกขนาดเล็กเก็บข้อมูลสุขภาพ ขนาดกิจการเพียงอย่างเดียวไม่ทำให้ใช้ข้อยกเว้นกิจการเล็กกับข้อมูลอ่อนไหวได้

เริ่มแก้ปัญหาตามลำดับใด

ทำรายการงานที่มีข้อมูลบุคคล เลือกแก้จุดเปิดเผยเกินจำเป็นก่อน จากนั้นกำหนดฐานและคำแจ้งของแต่ละงาน ตรวจว่าต้องทำบันทึกรายการส่วนใด วางผู้รับผิดชอบคำขอและเหตุรั่ว แล้วทดสอบด้วยสถานการณ์ที่ร้านพบจริง

PDPA ธุรกิจเล็ก มีงานขั้นต่ำอะไรที่ต้องตรวจ

ข้อยกเว้นเป็นเรื่องบันทึกบางรายการ

ประกาศปี 2565 ข้อ 3 ครอบคลุมกิจการตามลักษณะที่กำหนด เช่น วิสาหกิจขนาดย่อมหรือกลางตามกฎหมายส่งเสริม SME วิสาหกิจชุมชน วิสาหกิจเพื่อสังคม สหกรณ์ องค์กรไม่แสวงหากำไร และกิจการในครัวเรือนหรือคล้ายกัน ข้อยกเว้นกล่าวถึงมาตรา 39(1)–(6) และ (8) ไม่รวมบันทึกการปฏิเสธคำขอหรือคัดค้านใน (7) ต้องตรวจนิยามที่ตนอ้าง ไม่ใช้จำนวนลูกจ้างที่คิดเองเป็นเกณฑ์

กิจการเข้าเกณฑ์ก็ยังมีข้อจำกัด

ข้อยกเว้นไม่รวมกิจกรรมที่เสี่ยงกระทบสิทธิและเสรีภาพ กิจการที่ไม่ได้เก็บ ใช้หรือเปิดเผยเป็นครั้งคราว หรือที่ดำเนินการกับข้อมูลตามมาตรา 26 นอกจากนี้มีเงื่อนไขเกี่ยวกับผู้ให้บริการที่ต้องเก็บข้อมูลจราจรคอมพิวเตอร์ โดยมีข้อยกเว้นเฉพาะร้านอินเทอร์เน็ตตามประกาศ การประเมินจึงต้องดูทั้งประเภทกิจการและงานจริง ไม่ติดป้าย SME แล้วหยุดตรวจ

ทำแผนที่ข้อมูลจากโต๊ะทำงานจริง

เริ่มจากช่องทางที่ลูกค้าส่งข้อมูล ใครคัดลอกไปไว้ในไฟล์ใด ส่งต่อขนส่งหรือบัญชีอย่างไร และสำรองไว้ที่ไหน งานเดียวอาจมีข้อมูลซ้ำหลายจุด การทำตารางง่าย ๆ ที่ระบุวัตถุประสงค์ ผู้รับและระยะเก็บช่วยจัดการได้ แม้กิจการจะเห็นว่าบางส่วนเข้าข้อยกเว้นบันทึกตามกฎหมาย ก็ยังใช้ตารางนี้เป็นเครื่องมือทำงานได้โดยไม่ต้องอ้างว่าเป็นแบบบังคับของรัฐ

แยกข้อมูลขายของออกจากข้อมูลทำโฆษณา

ชื่อและที่อยู่ที่จำเป็นต่อส่งสินค้าอาจมีฐานตามสัญญา แต่การเก็บวันเกิดเพื่อยิงโปรหรือส่งรายชื่อให้พันธมิตรต้องประเมินแยก คำแจ้งควรอยู่ก่อนหรือขณะรับข้อมูลตามหน้าที่ ไม่ซ่อนอยู่ท้ายเว็บไซต์ที่ลูกค้าสั่งผ่านแชตไม่เคยเห็น และต้องให้ทีมตอบได้ว่าลูกค้าคัดค้านการตลาดแล้วส่วนใดยังเก็บได้ด้วยเหตุอื่น

มาตรการเล็กที่ต้องทำได้จริง

เริ่มจากบัญชีแยกคน ใช้การยืนยันตัวตนเพิ่มเมื่อระบบรองรับ จำกัดการแชร์ไฟล์และถอนสิทธิเมื่อพนักงานออก จัดตู้เก็บเอกสารกับวิธีทำลายที่เหมาะสม ต้องมีผู้รับแจ้งเมื่อส่งไฟล์ผิดหรือโทรศัพท์หาย พร้อมประเมินหน้าที่เหตุละเมิดตามกฎหมาย ไม่รอให้เจ้าของร้านว่างแล้วค่อยเปิดอ่าน การซื้อซอฟต์แวร์ไม่ได้แทนการกำหนดว่าใครมีหน้าที่ทำอะไร

ข้อกฎหมายที่ใช้และเงื่อนไขที่ต้องระวัง

มาตรา 39 วรรคสามและประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่องการยกเว้นการบันทึกรายการของผู้ควบคุมข้อมูลส่วนบุคคลซึ่งเป็นกิจการขนาดเล็ก พ.ศ.2565 ลงราชกิจจานุเบกษา 20 มิถุนายน 2565 กำหนดข้อยกเว้นเฉพาะส่วน ส่วนมาตรา 22–24, 26, 37 และสิทธิของเจ้าของข้อมูลยังต้องพิจารณาตามกิจกรรม

พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ.2562 ฉบับราชกิจจานุเบกษา เป็นตัวบทหลักที่ใช้อ้างอิงในบทความนี้

รวมกฎหมายของ สคส. ที่กรมสุขภาพจิตเผยแพร่: ประกาศกิจการขนาดเล็ก หน้า 49–50 ของเล่ม

เลนส์ทนายยอดทิพย์ธรรม: ถ้าพลาดแล้วต้องรับมืออะไร

เมื่อถูกร้องเรียน คำอธิบายว่าร้านเล็กหรือไม่รู้กฎหมายไม่ตอบว่าข้อมูลถูกใช้โดยชอบหรือไม่ ทนายควรเริ่มจากหยุดจุดเสี่ยงที่ยังเกิดและจัดข้อเท็จจริงว่าใครเข้าถึงข้อมูลได้ หากมีเหตุรั่วต้องประเมินระดับความเสี่ยงและกำหนดแจ้งแยกจากแผนปรับระบบระยะยาว

หลักฐานที่ควรเก็บก่อนข้อมูลเปลี่ยนไป

• รายการงานที่ใช้ข้อมูลและฐานของแต่ละงาน
• คำแจ้งลูกค้าและพนักงานที่ใช้จริง
• เหตุผลการประเมินข้อยกเว้นบันทึกรายการถ้าอ้าง
• รายชื่อผู้มีสิทธิเข้าถึงไฟล์และผลทบทวน
• บันทึกคำขอและเหตุข้อมูลผิดปกติ

ให้เจ้าของงานระบุว่าเอกสารแต่ละฉบับใช้กับกระบวนการใด ใครเป็นผู้อนุมัติ และเริ่มใช้เมื่อใด เก็บหลักฐานการทำงานจริงประกอบแบบฟอร์ม เช่น ผลทดสอบสิทธิหรือบันทึกการส่งข้อมูล หากพบว่าเอกสารกับระบบไม่ตรงกัน ให้บันทึกช่องว่างและผู้รับผิดชอบแก้ไข ไม่เปลี่ยนบันทึกย้อนหลังให้ดูเหมือนปฏิบัติถูกต้องมาตั้งแต่ต้น

ก่อนส่งหลักฐานให้ผู้อื่น ตรวจว่ามีข้อมูลที่ไม่เกี่ยวข้องปะปนหรือไม่ สำเนาสำหรับตรวจอาจปกปิดส่วนที่ไม่จำเป็นได้ โดยรักษาต้นฉบับไว้ในพื้นที่จำกัดสิทธิ บันทึกผู้รับ วันที่ส่งและวัตถุประสงค์ หากมีข้อพิพาทต้องพิจารณาระยะเก็บและการพักทำลายเฉพาะส่วนที่เกี่ยวข้อง ไม่ใช้เหตุเตรียมคดีเป็นข้ออ้างเก็บข้อมูลทุกชุดไม่มีกำหนด

ร้านอ้างว่าเป็น SME จึงไม่ต้องมีบันทึก ควรตรวจจากอะไร

ให้ร้านระบุประเภทกิจการที่เข้าประกาศและกิจกรรมข้อมูลที่ขอยกเว้นแยกกัน ร้านที่เก็บข้อมูลลูกค้าต่อเนื่องกับร้านที่ทำเป็นครั้งคราวอาจได้ผลต่างกัน และแฟ้มสุขภาพต้องตรวจเงื่อนไขเพิ่ม แม้เข้าข้อยกเว้นบันทึกบางรายการ ก็ยังต้องหาคำตอบได้ว่าใช้ข้อมูลทำอะไร ใครได้รับและรักษาอย่างไร หากยังจำแนกไม่ได้ ให้เริ่มทำตารางงานจริงก่อน การไม่ซื้อระบบสำเร็จรูปไม่ใช่ปัญหาเท่ากับไม่มีคนรับผิดชอบคำขอหรือเหตุส่งไฟล์ผิด

แผนลงมือวันนี้ ภายใน 7 วันและ 30 วัน

ช่วงเวลานี้เป็นตัวอย่างแผนจัดงาน ไม่ใช่กำหนดตามกฎหมาย หากมีเหตุเร่งด่วน หนังสือกำหนดตอบหรืออายุความ ต้องดำเนินการตามกำหนดนั้นก่อน

ช่วงเวลา	สิ่งที่ควรทำ
วันนี้	ปิดลิงก์สาธารณะที่ไม่จำเป็นและกำหนดคนรับเรื่อง
ภายใน 7 วัน	ทำรายการข้อมูลพร้อมแก้คำแจ้งและสิทธิในไฟล์หลัก
ภายใน 30 วัน	ทดสอบคำขอหนึ่งเรื่องและเหตุส่งข้อมูลผิดหนึ่งกรณีด้วยข้อมูลสมมติ

ข้อผิดพลาดที่ควรหลีกเลี่ยง

อย่าสับสนกิจการในครัวเรือนที่อาจเข้าเกณฑ์ประกาศบันทึกกับข้อยกเว้นกิจกรรมส่วนตัวตามมาตรา 4(1) ธุรกิจขายของจากบ้านยังต้องตรวจ PDPA และอย่าคัดลอกนโยบายบริษัทใหญ่ที่ระบุระบบหรือช่องทางใช้สิทธิซึ่งร้านไม่มีจริง

อ่านต่อและเตรียมเรื่องก่อนปรึกษา

อ่านภาพรวมในPDPA Audit-Ready หลักฐานที่องค์กรต้องมีเมื่อถูกตรวจหรือร้องเรียน แล้วนำมาเทียบกับเหตุการณ์และเอกสารของตน

เรื่องที่เกี่ยวข้องโดยตรงคือเก็บข้อมูลลูกค้าใน Excel Google Sheets และ LINE ปลอดภัยพอตาม PDPA ไหม และติด CCTV ในร้านต้องมีป้ายอะไร และลูกค้าขอดูภาพได้แค่ไหน

หากต้องพิจารณาขั้นตอนที่เชื่อมกัน อ่านคู่มือจัดการคู่ค้าและ DPA สำหรับองค์กร ก่อนส่งข้อมูลจนเลิกใช้ระบบประกอบ

สำนักงานกฎหมายยอดทิพย์ธรรมช่วยแยกกิจกรรมที่เข้าข้อยกเว้น ตรวจคำแจ้งหน้าร้านและจัดลำดับงานเอกสารกับสิทธิใช้ข้อมูลที่ควรแก้ก่อนผ่านบริการกฎหมาย PDPA โดยประเด็นที่เกี่ยวข้องสามารถประเมินร่วมกับธุรกิจและสัญญา ก่อนนัดหมายปรึกษา ควรเตรียมลำดับเหตุการณ์ เอกสารที่ได้รับ และผลที่ต้องการให้อีกฝ่ายดำเนินการ เพื่อประเมินทางเลือกจากหลักฐานที่มีจริง

บทความโดยนายเอกราช ทิพย์แมม ดูข้อมูลผู้เขียนและทีมทนายความยอดทิพย์ธรรมประกอบการติดต่อ

ข้อกฎหมายที่เกี่ยวข้อง

• พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 มาตรา 39 วรรคสาม และประกาศยกเว้นการบันทึกรายการของกิจการขนาดเล็ก พ.ศ. 2565: ข้อยกเว้นมีขอบเขตและเงื่อนไขเฉพาะ
• มาตรา 39(7): ประกาศดังกล่าวไม่ได้ยกเว้นรายการบันทึกการปฏิเสธคำขอหรือการคัดค้านตามที่กฎหมายกำหนด
• มาตรา 22–24 และ 26: ความจำเป็น การแจ้งและฐานตามประเภทข้อมูลยังต้องตรวจแยก
• มาตรา 37: ขนาดกิจการไม่ใช่ข้อยกเว้นความปลอดภัยทั้งหมด

คำถามที่พบบ่อย

มีพนักงานไม่กี่คนไม่ต้องทำ PDPA ใช่ไหม

ไม่ใช่ ขนาดกิจการไม่ได้ยกเว้นทุกหน้าที่ ต้องตรวจเงื่อนไขเฉพาะเรื่องบันทึกรายการและหน้าที่ของกิจกรรมจริง การเก็บข้อมูลลูกค้าต่อเนื่องและการเก็บข้อมูลสุขภาพเป็นข้อเท็จจริงที่ต้องนำมาตรวจด้วย

ร้านเล็กไม่ต้องบันทึกการปฏิเสธคำขอใช่ไหม

ข้อยกเว้นตามประกาศไม่ได้รวมมาตรา 39(7) จึงต้องตรวจหน้าที่บันทึกเหตุปฏิเสธตามกฎหมาย ต้องบันทึกให้เชื่อมถึงคำขอ เหตุปฏิเสธและวันที่ดำเนินการตามหน้าที่ที่ใช้กับกรณีนั้น

ต้องซื้อระบบ PDPA ก่อนจึงเริ่มได้หรือไม่

ไม่จำเป็นต้องเริ่มจากซื้อระบบ ควรเริ่มจากรายการข้อมูล ฐานกฎหมาย คำแจ้งและการจำกัดสิทธิที่ทำงานได้จริง แล้วเลือกเครื่องมือให้เหมาะกับขนาดและความเสี่ยง

ผู้เขียน นายเอกราช ทิพย์แมม คดีครอบครัว มรดก และหนี้สิน

สาขาที่เชี่ยวชาญ: ครอบครัว · มรดกและพินัยกรรม · หนี้สินและบังคับคดี

ดูประวัติทีมทนายความ →

บทความนี้เป็นความรู้กฎหมายทั่วไปเพื่อความเข้าใจเบื้องต้น ไม่ใช่คำปรึกษาทางกฎหมายเฉพาะคดี ผลทางกฎหมายขึ้นอยู่กับข้อเท็จจริง เอกสาร และพยานหลักฐานของแต่ละกรณี ควรปรึกษาทนายความเพื่อประเมินเรื่องของท่านโดยเฉพาะ