ข้อมูลและความเป็นส่วนตัว: ไทย (2026)
ประเทศไทยมีระบบคุ้มครองข้อมูลส่วนบุคคลที่ครบถ้วนและคล้ายกับ GDPR ตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 (2019) ซึ่งมีผลบังคับใช้อย่างเต็มรูปแบบตั้งแต่วันที่ 1 มิถุนายน 2565 ระบบนี้ได้รับการบริหารจัดการและบังคับใช้โดยคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (PDPC) และสำนักงานของคณะกรรมการ ซึ่งออกกฎระเบียบรอง และตั้งแต่เดือนสิงหาคม พ.ศ. 2568 ได้เริ่มกำหนดค่าปรับทางปกครองในจำนวนที่มาก หลังจากผ่านช่วงระยะเวลาสร้างความตระหนักรู้เบื้องต้น
โครงสร้างหลัก
พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 (2019) ("PDPA") ซึ่งอยู่ภายใต้การกำกับดูแลของคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล / สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล
ประเด็นสำคัญ
กฎหมายรวมที่ครอบคลุมทุกด้าน
พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล (พ.ศ. 2562/2019) เป็นกฎหมายว่าด้วยข้อมูลส่วนบุคคลฉบับเดียวที่ครอบคลุมทั้งระบบเศรษฐกิจ ซึ่งจัดทำขึ้นตามแบบอย่างของ GDPR ของสหภาพยุโรป กฎหมายนี้ได้รับการประกาศใช้เมื่อวันที่ 28 พฤษภาคม 2562 และบทบัญญัติหลักที่มีผลบังคับใช้ได้เริ่มมีผลบังคับใช้อย่างเต็มรูปแบบเมื่อวันที่ 1 มิถุนายน 2565 หลังจากมีการขยายเวลาหลายครั้ง
หน่วยงานกำกับดูแล (PDPC)
คณะกรรมการคุ้มครองข้อมูลส่วนบุคคลและสำนักงาน (PDPC) เป็นหน่วยงานกำกับดูแล ซึ่งได้รับการจัดตั้งอย่างเป็นทางการในเดือนมกราคม 2565 มีหน้าที่ออกกฎระเบียบและแนวทางปฏิบัติระดับรอง โดยมีประธานและสมาชิกจากภาครัฐและผู้เชี่ยวชาญในตำแหน่งเกียรติยศ เว็บไซต์อย่างเป็นทางการ: pdpc.or.th.
หน้าที่หลักของผู้ควบคุม
ผู้ควบคุมข้อมูลต้องกำหนดฐานทางกฎหมาย (มักเป็นความยินยอม) และแจ้งให้เจ้าของข้อมูลทราบถึงวัตถุประสงค์การประมวลผลข้อมูล ดำเนินการตามมาตรการความปลอดภัยที่เหมาะสม เก็บบันทึกการประมวลผลข้อมูล แต่งตั้งเจ้าหน้าที่คุ้มครองข้อมูล (DPO) ในกรณีที่กิจกรรมหลักเกี่ยวข้องกับการประมวลผลข้อมูลในวงกว้าง (กฎเกี่ยวกับ DPO มีผลบังคับใช้ตั้งแต่เดือนธันวาคม 2023) และแจ้งให้ PDPC ทราบเกี่ยวกับการละเมิดข้อมูลภายใน 72 ชั่วโมง
สิทธิของผู้ให้ข้อมูล
พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล (PDPA) ให้สิทธิแก่ผู้เกี่ยวข้องในการได้รับข้อมูล การเข้าถึงข้อมูล การแก้ไขข้อมูล การลบข้อมูล/การลบข้อมูลส่วนบุคคล การจำกัดการประมวลผลข้อมูล การคัดค้าน การถอนความยินยอม การโอนย้ายข้อมูล และสิทธิในการยื่นคำร้องต่อคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (PDPC) ซึ่งสอดคล้องกับสิทธิตามกฎระเบียบทั่วไปว่าด้วยการคุ้มครองข้อมูลส่วนบุคคล (GDPR) อย่างใกล้ชิด
กฎการโอนเงินข้ามพรมแดน
กฎการโอนข้อมูลตามมาตรา 29 (ประกาศของ PDPC ปี 2023 มีผลบังคับใช้ตั้งแต่เดือนมีนาคม 2024) กำหนดว่าประเทศปลายทางต้องมีมาตรการคุ้มครองที่เพียงพอ หรือได้รับการคุ้มครองโดยกลไกที่ได้รับการอนุมัติ เช่น กฎบริษัทที่มีผลผูกพัน (Binding Corporate Rules) หรือข้อกำหนดสัญญาแบบมาตรฐาน (Standard Contractual Clauses) จนถึงปี 2025 ยังไม่มีรายชื่อประเทศที่ได้รับการรับรองความเพียงพอในการคุ้มครองข้อมูลส่วนบุคคล จึงการโอนข้อมูลโดยทั่วไปจำเป็นต้องมีมาตรการคุ้มครองดังกล่าว
การลงโทษและการบังคับใช้กฎหมายอย่างเคร่งครัด
พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล (PDPA) กำหนดโทษปรับทางปกครองสูงสุด 5 ล้าน baht ค่าเสียหายทางแพ่ง/ค่าเสียหายเชิงลงโทษ และโทษทางอาญา (จำคุกสูงสุด 1 ปี และ/หรือปรับสูงสุด 1 ล้าน baht) สำหรับความผิดบางประเภท ในเดือนสิงหาคม 2568 คณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (PDPC) ได้ออกคำสั่งปรับ 8 กรณีใน 5 คดี รวมเป็นเงินประมาณ 21.5 ล้าน baht ซึ่งถือเป็นจุดเปลี่ยนสู่การบังคับใช้กฎหมายอย่างจริงจัง
หน้านี้เป็นการแปลเพื่อความสะดวกเท่านั้น; เวอร์ชันภาษาอังกฤษเป็นเวอร์ชันที่มีผลบังคับใช้อย่างเป็นทางการ และไม่ใช่คำปรึกษาทางกฎหมาย