โทษทางแพ่ง: จ่ายสินไหมไม่เกิน 2 เท่าของสินไหมที่แท้จริง

โทษทางอาญา: จำคุกไม่เกิน 1 ปีหรือปรับไม่เกิน 1 ล้านบาท หรือทั้งจำทั้งปรับ

โทษทางอาญา: ปรับไม่เกิน 5 ล้านบาท

ทุกธุรกิจหรือเว็บไซต์ที่ที่มีการเก็บรวมรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลของผู้ใช้งาน

ตัวอย่างธุรกิจที่ต้องมี Privacy Policy

เตรียมพร้อมไว้ก่อนดีกว่า การจัดทำ Privacy Policy เป็นหนึ่งในหลายรายการที่ต้องทำเพื่อปฏิบัติตาม PDPA อ่าน 10 ขั้นตอนเตรียมความพร้อมรับ PDPA ผู้ประกอบการควรเตรียมพร้อมก่อนดำเนินการในขั้นถัดไป ก่อนการบังคับใช้กฎหมาย PDPA แบบเต็มรูปแบบในวันที่ 1 มิถุนายน 2565

การเลือกจัดทำ Privacy Policy ที่ครอบคลุม PDPA, GDPR หรือ CCPA นั้นขึ้นอยู่กับว่าคุณขายสินค้าหรือบริการให้กับกลุ่มลูกค้าในโซนใด

แต่ถ้าหากบริษัทของคุณจดทะเบียนในประเทศไทยคุณต้องทำตาม PDPA

Privacy Policy (นโยบายความเป็นส่วนตัว)

คือ คำชี้แจงเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลของผู้ใช้งาน เหมาะกับทุกธุรกิจที่มีการประมวลผลข้อมูลส่วนบุคคลของลูกค้าหรือผู้ใช้งาน เช่น ชื่อ ที่อยู่ เบอร์โทรศัพท์ เป็นต้น

HR Privacy Policy (นโยบายความเป็นส่วนตัวสำหรับพนักงาน)

คือ คำชี้แจงเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลของพนักงาน เหมาะกับทุกธุรกิจที่มีการจ้างงานและเก็บรวบรวมข้อมูลพนักงานภายในองค์กร เช่น ชื่อ ที่อยู่ บัตรประชาชน ข้อมูลสุภาพ ประวัติอาชญากรรม เป็นต้น

Cookies Policy (นโยบายการใช้คุกกี้)

คือ คำชี้แจงเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลของผู้ใช้งานบนเว็บไซต์ เหมาะกับเว็บไซต์ที่ใช้คุกกี้เพื่อเก็บข้อมูลทางเทคนิค เช่น ข้อมูลการล็อกอิน หรือ พฤติกรรมการใช้งานเว็บไซต์ เป็นต้น

ไม่จำเป็นหากบริษัทสามารถอ้างอิงถึงฐานกฎหมายอันชอบธรรมในการเก็บรวบรวมและประมวลผลข้อมูลส่วนบุคคลดังกล่าวได้ตามมาตรา 24 และ 26 ของ พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 แต่อย่างไรก็ตาม บริษัทจำเป็นต้องมีการแจ้งให้เจ้าของข้อมูลรับทราบถึงการเก็บข้อมูลและวัตถุประสงค์ในการเก็บรวบรวมให้เจ้าของข้อมูลรับทราบ

ไม่จำเป็น โดยอ้างอิงจากมาตรา 95 ในพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 กำหนดให้ผู้ควบคุมสามารถใช้ข้อมูลส่วนบุคคลที่เก็บรวบรวมไว้แล้วต่อไปได้ตามวัตถุประสงค์เดิมที่มีการใช้งานก่อนกฎหมายบังคับใช้ แต่ต้องมีช่องทางในการแจ้งให้เจ้าของข้อมูลรับทราบถึงวัตถุประสงค์และข้อมูลส่วนบุคคลที่มีการจัดเก็บและมีช่องทางในการให้เจ้าของข้อมูลสามารถถอนคำยินยอมได้

โดยปกติผู้ให้บริการที่เป็นระบบ Cloud มักจะมีการประกาศ Data Processing Addendum ซึ่งเป็นเงื่อนไขในการประมวลผลข้อมูลส่วนบุคคลของผู้ให้บริการ โดยบริษัทสามารถตรวจสอบรายละเอียดการประมวลผลข้อมูลส่วนบุคคลและมาตรฐานความปลอดภัยของผู้ให้บริการได้จากเอกสารดังกล่าวแทนการจัดทำข้อตกลงการประมวลผลข้อมูลส่วนบุคคล

ข้อมูลของนิติบุคคล เช่น เลขทะเบียนนิติบุคคลนั้นไม่ถือว่าเป็นข้อมูลส่วนบุคคล เนื่องจาก พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ให้ความคุ้มครองแก่ข้อมูลส่วนบุคคลของบุคคลธรรมดาที่ยังไม่ถึงแก่กรรมเท่านั้น

ไม่จำเป็นหากไม่เข้าเงื่อนไขตามมาตรา 41 ของ พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 เนื่องจาก มาตรา 41 กำหนดให้ผู้ควบคุมและผู้ประมวลผลข้อมูลส่วนบุคคลต้องจัดให้มีเจ้าหน้าที่ DPO ในกรณีดังต่อไปนี้

ได้ เนื่องจาก พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 มาตรา 41 ได้ระบุว่าเจ้าหน้าที่ DPO สามารถเป็นผู้ให้บริการรับจ้างตามสัญญากับผู้ควบคุมหรือผู้ประมวลผลได้