PDPA สำหรับธุรกิจ: นโยบายความเป็นส่วนตัว สัญญา และ DPO

ต้องทำ เมื่อเก็บ ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลของลูกค้า พนักงาน หรือคู่ค้า กฎหมายบังคับใช้เต็มรูปแบบตั้งแต่ 1 มิ.ย. 2565 ประกาศของคณะกรรมการบางฉบับผ่อนหน้าที่บางข้อให้กิจการขนาดเล็ก เช่น การบันทึกรายการ ต้องตรวจประกาศที่ใช้กับกิจการของคุณ

ไม่ต้องทุกครั้ง มาตรา 24 ให้ใช้ฐานอื่นได้ เช่น จำเป็นเพื่อปฏิบัติตามสัญญา หน้าที่ตามกฎหมาย หรือประโยชน์โดยชอบด้วยกฎหมาย ส่วนข้อมูลอ่อนไหวตามมาตรา 26 เช่น ข้อมูลสุขภาพ ศาสนา ชีวภาพ ใช้ได้เฉพาะเมื่อได้รับความยินยอมโดยชัดแจ้งหรือเข้าข้อยกเว้นที่กฎหมายกำหนด

มาตรา 37(4) ให้แจ้ง สคส. โดยไม่ชักช้าภายใน 72 ชั่วโมงนับแต่ทราบเหตุ เว้นแต่ไม่มีความเสี่ยงที่จะกระทบสิทธิของบุคคล ถ้ามีความเสี่ยงสูงต้องแจ้งเจ้าของข้อมูลพร้อมแนวทางเยียวยาด้วย

มาตรา 41 กำหนดให้ต้องมีเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล เช่น เมื่อเป็นหน่วยงานรัฐตามที่ประกาศกำหนด หรือกิจกรรมหลักต้องติดตามตรวจสอบข้อมูลจำนวนมากอย่างสม่ำเสมอ หรือประมวลผลข้อมูลอ่อนไหวเป็นกิจกรรมหลัก กิจการที่ไม่เข้าเกณฑ์จะแต่งตั้งโดยสมัครใจก็ได้

ได้ภายใต้มาตรา 28–29 เช่น ประเทศปลายทางมีมาตรฐานเพียงพอตามที่ประกาศ หรือมีนโยบายคุ้มครองข้อมูลภายในกลุ่มบริษัทที่ได้รับการตรวจสอบ หรือมีข้อสัญญามาตรฐานและมาตรการคุ้มครองที่เหมาะสมตามประกาศของคณะกรรมการ

มีทั้งความรับผิดทางแพ่ง (ศาลสั่งค่าเสียหายเชิงลงโทษเพิ่มได้ไม่เกินสองเท่าของค่าเสียหายจริง) โทษอาญาในบางกรณี และโทษปรับทางปกครองสูงสุดตามมาตรา 90 ไม่เกิน 5 ล้านบาท ขึ้นกับประเภทความผิด