แต่งตั้ง DPO

เส้นทางการทำงานของกรณีนี้

จัดทำ Data Inventory → ระบุฐานการประมวลผลของแต่ละกิจกรรม → ปรับนโยบายและเอกสารแจ้ง → วางกระบวนการรับคำขอใช้สิทธิและแจ้งเหตุละเมิด → อบรมและทบทวนประจำปี

ไทม์ไลน์การทำงานทีละขั้น

สิ่งที่ต้องเตรียมก่อนเริ่มงาน

• รายการระบบและฐานข้อมูลที่จัดเก็บข้อมูลส่วนบุคคล
• นโยบายความเป็นส่วนตัวและเอกสารแจ้งวัตถุประสงค์ฉบับปัจจุบัน
• สัญญากับผู้ประมวลผลข้อมูลส่วนบุคคล (Data Processing Agreement)
• ขั้นตอนรับคำขอใช้สิทธิของเจ้าของข้อมูลและระยะเวลาตอบกลับ
• แผนรับมือเหตุละเมิดข้อมูลและช่องทางแจ้งเหตุภายใน

ขอบเขตงานของ “แต่งตั้ง DPO”

แต่งตั้ง DPO อยู่ในกลุ่มงาน PDPA และการกำกับดูแลข้อมูล ซึ่งมีฐานอำนาจตาม พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 การกำหนดขอบเขตงานให้ตรงตั้งแต่ต้นสำคัญกว่าความเร็ว เพราะหน่วยงานปลายทางเป็นผู้กำหนดว่าจะรับเอกสารหรือกระบวนการรูปแบบใด

ความยินยอมเป็นเพียงหนึ่งในฐานการประมวลผล องค์กรควรพิจารณาฐานอื่นที่เหมาะสมกว่า เช่น การปฏิบัติตามสัญญาหรือหน้าที่ตามกฎหมาย

เจ้าของข้อมูลส่วนบุคคลมีสิทธิตามกฎหมาย เช่น สิทธิเข้าถึง สิทธิขอให้ลบ สิทธิคัดค้าน และสิทธิขอให้โอนย้ายข้อมูล

กรณีเกิดเหตุละเมิดข้อมูลส่วนบุคคล ผู้ควบคุมข้อมูลต้องแจ้งสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลภายใน 72 ชั่วโมงนับแต่ทราบเหตุเท่าที่จะทำได้

สิ่งที่ต้องรู้ก่อนเริ่มดำเนินการ

การส่งข้อมูลส่วนบุคคลไปต่างประเทศต้องเป็นไปตามหลักเกณฑ์ที่กฎหมายและประกาศที่เกี่ยวข้องกำหนด

พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 มีผลบังคับใช้เต็มฉบับตั้งแต่วันที่ 1 มิถุนายน 2565

ความยินยอมเป็นเพียงหนึ่งในฐานการประมวลผล องค์กรควรพิจารณาฐานอื่นที่เหมาะสมกว่า เช่น การปฏิบัติตามสัญญาหรือหน้าที่ตามกฎหมาย

เจ้าของข้อมูลส่วนบุคคลมีสิทธิตามกฎหมาย เช่น สิทธิเข้าถึง สิทธิขอให้ลบ สิทธิคัดค้าน และสิทธิขอให้โอนย้ายข้อมูล

กรณีเกิดเหตุละเมิดข้อมูลส่วนบุคคล ผู้ควบคุมข้อมูลต้องแจ้งสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลภายใน 72 ชั่วโมงนับแต่ทราบเหตุเท่าที่จะทำได้

ลำดับขั้นตอนที่ใช้จริง

จัดทำ Data Inventory → ระบุฐานการประมวลผลของแต่ละกิจกรรม → ปรับนโยบายและเอกสารแจ้ง → วางกระบวนการรับคำขอใช้สิทธิและแจ้งเหตุละเมิด → อบรมและทบทวนประจำปี

เจ้าของข้อมูลส่วนบุคคลมีสิทธิตามกฎหมาย เช่น สิทธิเข้าถึง สิทธิขอให้ลบ สิทธิคัดค้าน และสิทธิขอให้โอนย้ายข้อมูล

กรณีเกิดเหตุละเมิดข้อมูลส่วนบุคคล ผู้ควบคุมข้อมูลต้องแจ้งสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลภายใน 72 ชั่วโมงนับแต่ทราบเหตุเท่าที่จะทำได้

การประมวลผลข้อมูลอ่อนไหว เช่น ข้อมูลสุขภาพ ศาสนา หรือประวัติอาชญากรรม มีเงื่อนไขเข้มงวดกว่าข้อมูลทั่วไป

การส่งข้อมูลส่วนบุคคลไปต่างประเทศต้องเป็นไปตามหลักเกณฑ์ที่กฎหมายและประกาศที่เกี่ยวข้องกำหนด

คำแนะนำก่อนใช้บริการ

• เริ่มจากการทำ Data Inventory ให้ครบก่อน แล้วจึงร่างนโยบาย
• กำหนดผู้รับผิดชอบและระยะเวลาตอบคำขอใช้สิทธิไว้เป็นลายลักษณ์อักษร
• ซ้อมแผนรับมือเหตุละเมิดข้อมูลอย่างน้อยปีละครั้ง
• ทบทวนสัญญากับผู้ให้บริการคลาวด์และผู้ประมวลผลภายนอกเป็นประจำ

ข้อควรระวัง

• การคัดลอกนโยบายความเป็นส่วนตัวจากองค์กรอื่นโดยไม่ตรงกับกิจกรรมจริง
• การเก็บข้อมูลไว้นานเกินความจำเป็นโดยไม่มีนโยบายระยะเวลาจัดเก็บ

สาเหตุที่งานถูกตีกลับหรือล่าช้าบ่อยที่สุด

• ใช้ความยินยอมเป็นฐานเดียวกับทุกกิจกรรม ทั้งที่บางกิจกรรมมีฐานอื่นที่เหมาะสมกว่า
• ไม่มีบันทึกรายการกิจกรรมการประมวลผลตามที่กฎหมายกำหนด
• เอกสารแจ้งวัตถุประสงค์ไม่ครอบคลุมการเปิดเผยข้อมูลให้บุคคลภายนอกจริง
• ไม่มีสัญญากับผู้ประมวลผลภายนอกที่กำหนดหน้าที่ด้านความปลอดภัย

อภิธานศัพท์ที่ใช้ในงานนี้

Apostille

การรับรองเอกสารระหว่างรัฐภาคี ซึ่งประเทศไทยมีผลใช้บังคับตั้งแต่ 22 ธันวาคม 2567

DPO

เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลที่องค์กรตามเงื่อนไขกฎหมายต้องแต่งตั้ง

ค่าชดเชย

เงินที่นายจ้างต้องจ่ายเมื่อเลิกจ้างลูกจ้างโดยลูกจ้างไม่มีความผิดตามกฎหมายคุ้มครองแรงงาน

ผู้จัดการมรดก

บุคคลที่ศาลตั้งให้มีอำนาจรวบรวมและแบ่งทรัพย์มรดกให้ทายาท

สินสมรส

ทรัพย์สินที่คู่สมรสได้มาระหว่างสมรสตามหลักในประมวลกฎหมายแพ่งและพาณิชย์ บรรพ 5

ภาระจำยอม

สิทธิเหนืออสังหาริมทรัพย์ของผู้อื่นเพื่อประโยชน์แก่ที่ดินของตน เช่น ทางเข้าออก

ROPA

บันทึกรายการกิจกรรมการประมวลผลข้อมูลส่วนบุคคลที่ผู้ควบคุมข้อมูลต้องจัดทำ

อนุญาโตตุลาการ

การระงับข้อพิพาทนอกศาลโดยผู้ชี้ขาดที่คู่พิพาทตกลงกัน ตาม พ.ร.บ.อนุญาโตตุลาการ พ.ศ. 2545

แหล่งอ้างอิงปฐมภูมิ

• พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 — สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (สคส.)
• ข้อมูลบริการประชาชนและกระบวนพิจารณาคดี — สำนักงานศาลยุติธรรม

ตรวจทานข้อมูลเมื่อ 2026-08