ถ้าทำเว็บไซต์ ร้านค้าออนไลน์ หรือเพจขายของที่เก็บข้อมูลลูกค้า เช่น ชื่อ ที่อยู่ เบอร์โทร อีเมล ต้องรู้จัก PDPA ไว้ เพราะตอนนี้หน่วยงานกำกับดูแลเข้มงวดขึ้นมากและเริ่มมีการปรับจริงแล้ว บทความนี้สรุปสิ่งที่เจ้าของเว็บไซต์/ร้านค้าออนไลน์ต้องทำเป็นอันดับแรกแบบเข้าใจง่าย
PDPA คืออะไร
PDPA ย่อมาจาก พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 เป็นกฎหมายที่กำหนดว่าองค์กร/ธุรกิจที่เก็บ ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลของคนอื่น ต้องทำอย่างถูกต้องและได้รับความยินยอมจากเจ้าของข้อมูลก่อน มีแนวทางใกล้เคียงกับ GDPR ของยุโรป
ใครต้องทำตาม PDPA บ้าง
ถ้าเว็บไซต์หรือเพจของคุณมีการเก็บข้อมูลต่อไปนี้แม้แต่อย่างใดอย่างหนึ่ง ก็อยู่ในข่ายต้องทำตาม PDPA:
- ฟอร์มสมัครสมาชิก/ฟอร์มติดต่อที่เก็บชื่อ อีเมล เบอร์โทร
- ระบบสั่งซื้อสินค้าที่เก็บที่อยู่จัดส่งและข้อมูลการชำระเงิน
- คุกกี้ที่ใช้ติดตามพฤติกรรมผู้เข้าชมเว็บไซต์ (เช่น Google Analytics, Facebook Pixel)
- ฐานข้อมูลลูกค้าที่ใช้ส่งอีเมล/ข้อความการตลาด
สิ่งที่ต้องทำเป็นอันดับแรก
- มีหน้า Privacy Policy (นโยบายความเป็นส่วนตัว) บนเว็บไซต์ — ระบุว่าเก็บข้อมูลอะไรบ้าง เก็บไปทำไม เก็บนานแค่ไหน และเจ้าของข้อมูลมีสิทธิ์อะไรบ้าง
- ขอความยินยอม (Consent) ก่อนเก็บข้อมูลเสมอ — ต้องเป็นการยินยอมที่ชัดเจนเฉพาะเจาะจงแต่ละวัตถุประสงค์ ไม่ใช่ติ๊กช่องเดียวครอบคลุมทุกอย่างแบบเหมารวม และห้ามติ๊กช่องยินยอมไว้ล่วงหน้าให้ผู้ใช้เอง (ต้องให้ผู้ใช้ติ๊กเองเท่านั้น)
- แจ้งวัตถุประสงค์การใช้คุกกี้และมี Cookie Consent Banner ถ้าเว็บไซต์ใช้คุกกี้ติดตามพฤติกรรม (เช่น สำหรับโฆษณาหรือวิเคราะห์การใช้งาน)
- เก็บข้อมูลเท่าที่จำเป็นเท่านั้น อย่าเก็บข้อมูลเกินความจำเป็นต่อการให้บริการ
- มีมาตรการรักษาความปลอดภัยของข้อมูล เช่น ใช้ SSL/HTTPS, จำกัดคนที่เข้าถึงฐานข้อมูลลูกค้าได้
- เตรียมช่องทางให้เจ้าของข้อมูลใช้สิทธิ์ เช่น ขอเข้าถึง แก้ไข หรือขอให้ลบข้อมูลของตัวเอง (ผ่านหน้าติดต่อเราหรืออีเมลที่ระบุไว้)
ถ้าไม่ทำตามจะเป็นอย่างไร
หน่วยงานกำกับดูแล (คณะกรรมการคุ้มครองข้อมูลส่วนบุคคล) ผ่านช่วงผ่อนผันมานานแล้วและเริ่มบังคับใช้จริงจังขึ้นเรื่อยๆ โทษมีทั้งทางปกครอง (ปรับเงิน) ทางแพ่ง และทางอาญาในกรณีร้ายแรง ขึ้นอยู่กับลักษณะความผิด — ธุรกิจขนาดเล็กก็มีความเสี่ยงถูกร้องเรียนได้เช่นกัน โดยเฉพาะถ้าเก็บข้อมูลลูกค้าโดยไม่มี Privacy Policy หรือไม่ขอความยินยอมเลย
เคล็ดลับทำให้ครบแบบไม่ต้องจ้างที่ปรึกษาแพง
- ใช้ปลั๊กอิน Cookie Consent สำเร็จรูปสำหรับ WordPress (มีทั้งฟรีและเสียเงิน) แทนการเขียนระบบเอง
- ใช้เทมเพลต Privacy Policy จากแหล่งที่น่าเชื่อถือมาปรับให้ตรงกับสิ่งที่เว็บไซต์ตัวเองเก็บข้อมูลจริง อย่า copy มาทั้งดุ้นโดยไม่แก้ไข
- ถ้าธุรกิจมีขนาดใหญ่ขึ้นหรือเก็บข้อมูลอ่อนไหว (เช่น ข้อมูลสุขภาพ) ควรปรึกษาผู้เชี่ยวชาญกฎหมายโดยเฉพาะ
สรุป
ถ้าเว็บไซต์หรือร้านค้าออนไลน์เก็บข้อมูลลูกค้าแม้เพียงชื่อกับเบอร์โทร ก็ต้องทำตาม PDPA แล้ว สิ่งที่ต้องมีขั้นต่ำคือหน้า Privacy Policy ที่ชัดเจน ระบบขอความยินยอมก่อนเก็บข้อมูล และช่องทางให้ลูกค้าใช้สิทธิ์เกี่ยวกับข้อมูลของตัวเองได้ เริ่มทำให้ครบตั้งแต่วันแรกจะปลอดภัยกว่าการแก้ทีหลังตอนถูกร้องเรียน
คำถามที่พบบ่อย (FAQ)
Q: PDPA ย่อมาจากอะไร?
A: PDPA ย่อมาจากพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 เป็นกฎหมายที่กำหนดว่าองค์กร/ธุรกิจที่เก็บ ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลของคนอื่น ต้องทำอย่างถูกต้องและได้รับความยินยอมจากเจ้าของข้อมูลก่อน
Q: เว็บไซต์ร้านค้าออนไลน์ขนาดเล็กที่เก็บแค่ชื่อกับเบอร์โทร ต้องทำตาม PDPA ด้วยไหม?
A: ต้องทำ เพราะถ้าเว็บไซต์หรือเพจมีการเก็บข้อมูล เช่น ชื่อ อีเมล เบอร์โทร แม้แต่อย่างใดอย่างหนึ่ง ก็อยู่ในข่ายต้องทำตาม PDPA แล้ว ไม่ได้จำกัดเฉพาะธุรกิจขนาดใหญ่
Q: สิ่งที่ต้องทำเป็นอันดับแรกให้เว็บไซต์ไม่ผิด PDPA คืออะไร?
A: อย่างน้อยต้องมีหน้า Privacy Policy ที่ชัดเจน มีระบบขอความยินยอม (Consent) ก่อนเก็บข้อมูลทุกครั้ง และมี Cookie Consent Banner ถ้าเว็บไซต์ใช้คุกกี้ติดตามพฤติกรรม
Q: ถ้าไม่ทำตาม PDPA จะเกิดอะไรขึ้น?
A: หน่วยงานกำกับดูแลเริ่มบังคับใช้จริงจังขึ้นเรื่อยๆ โทษมีทั้งทางปกครอง (ปรับเงิน) ทางแพ่ง และทางอาญาในกรณีร้ายแรง ขึ้นอยู่กับลักษณะความผิด ธุรกิจขนาดเล็กก็มีความเสี่ยงถูกร้องเรียนได้เช่นกัน รายละเอียดของแต่ละกรณีต่างกัน หากมีข้อสงสัยเฉพาะเจาะจงควรปรึกษาผู้เชี่ยวชาญด้าน PDPA
Q: ทำ Privacy Policy และ Cookie Consent เองได้ไหม โดยไม่ต้องจ้างที่ปรึกษา?
A: ทำได้ในเบื้องต้น เช่น ใช้ปลั๊กอิน Cookie Consent สำเร็จรูปสำหรับ WordPress และใช้เทมเพลต Privacy Policy จากแหล่งที่น่าเชื่อถือมาปรับให้ตรงกับข้อมูลที่เก็บจริง แต่ถ้าธุรกิจมีขนาดใหญ่ขึ้นหรือเก็บข้อมูลอ่อนไหว (เช่น ข้อมูลสุขภาพ) ควรปรึกษาผู้เชี่ยวชาญกฎหมายโดยเฉพาะ
บทความนี้เป็นข้อมูลทั่วไปเพื่อความเข้าใจเบื้องต้น ไม่ใช่คำแนะนำทางกฎหมาย หากมีกรณีเฉพาะที่ซับซ้อนหรือมีความเสี่ยงสูง ควรปรึกษานักกฎหมายหรือผู้เชี่ยวชาญด้าน PDPA โดยตรง ข้อมูลอ้างอิง ณ เดือนกรกฎาคม 2026 กฎหมายและแนวปฏิบัติอาจมีการปรับปรุงเพิ่มเติม
แหล่งอ้างอิง: OneTrust – Thai PDPA Compliance Guide, Cookie Information – Thailand PDPA 2026 Guide, Moore GSIA – Navigating PDPA in Thailand 2026