ค่าปรับ GDPR ตามร่างแนวทางใหม่ของ EDPB คือกรอบที่บอกหน่วยงานกำกับในยุโรปว่าเมื่อไรควรปรับเงิน และเมื่อไรควรใช้มาตรการอื่นอย่างคำเตือนหรือคำสั่งแทน โดยต้องดูก่อนว่าองค์กรมีเจตนาหรือประมาทหรือไม่ บทความนี้เหมาะกับบริษัทไทยที่มีลูกค้าหรือผู้ใช้ในยุโรป อ่านแล้วจะรู้ว่าต้องเตรียมหลักฐานอะไรไว้ลดความเสี่ยง
ลองนึกภาพโรงพยาบาลเอกชนในกรุงเทพฯ ที่รับคนไข้จากเยอรมนี หรือร้านออนไลน์ที่ส่งสินค้าไปฝรั่งเศส วันหนึ่งผู้ให้บริการระบบทำข้อมูลลูกค้าหลุด คำถามแรกที่หน่วยงานยุโรปจะถามตามร่างแนวทางนี้ไม่ใช่ “ข้อมูลหลุดกี่ราย” แต่คือ “คุณพยายามป้องกันแค่ไหน”
สรุปสั้น: EDPB ออกร่าง Guidelines 04/2026 ประกาศเมื่อ 21 ก.ย. 2569 วางขั้นตอน 5 ข้อก่อนตัดสินใจปรับตาม GDPR รวมถึงการตรวจว่ามีเจตนาหรือประมาท มีตัวอย่างจริง 14 กรณี และเปิดรับความเห็นถึง 13 พ.ย. 2569 สำหรับบริษัทไทยที่เข้าเขต GDPR เอกสารแสดงความพยายามป้องกัน เช่น RoPA และ DPIA จะกลายเป็นหลักฐานสำคัญที่ช่วยลดความเสี่ยงค่าปรับ
ค่าปรับ GDPR ตามแนวทาง EDPB 04/2026 คืออะไร
ค่าปรับ GDPR ตามแนวทาง EDPB 04/2026 คือขั้นตอนตัดสินใจว่าจะใช้อำนาจปรับเงินทางปกครอง หรือใช้อำนาจแก้ไขอื่น เช่น คำเตือน การตักเตือน หรือคำสั่งให้แก้ไข ร่างนี้ใช้ร่วมกับแนวทางคำนวณจำนวนเงินค่าปรับเดิม (Guidelines 04/2022) ไม่ได้มาแทน
ตามประกาศของ EDPB ขั้นตอน 5 ข้อมีดังนี้ (1) ตรวจว่าปรับได้หรือไม่ (2) ใครเป็นผู้รับผิด (3) มีเจตนาหรือประมาทหรือไม่ (4) มีปัจจัยเพิ่มหรือลดโทษอะไร (5) ถ้าปรับแล้วจะมีประสิทธิผล สมเหตุสมผล และยับยั้งได้หรือไม่
| ประเด็น | ข้อเท็จจริงตามข่าว |
|---|---|
| เอกสาร | EDPB Guidelines 04/2026 (ร่าง) |
| วันที่ประกาศ | 21 ก.ย. 2569 ตาม EDPB (Hunton ระบุวันรับรอง 17 ก.ย.) |
| ขั้นตอน | 5 ข้อ ตั้งแต่ปรับได้ไหม ถึงปรับแล้วได้ผลไหม |
| ตัวอย่างในแนวทาง | กรณีจริง 14 กรณี |
| รับฟังความเห็น | ถึง 13 พ.ย. 2569 |
บริษัทไทยโดนค่าปรับ GDPR ได้หรือไม่
ได้ ถ้าบริษัทไทยให้บริการลูกค้าใน EU หรือเฝ้าติดตามพฤติกรรมของคนใน EU บริษัทอาจเข้าเขต GDPR ตามหลักการบังคับใช้นอกอาณาเขต แม้ไม่มีสาขาในยุโรปเลย กลุ่มที่ควรสนใจที่สุดคือผู้ส่งออกที่ขายตรงถึงผู้บริโภค ธุรกิจท่องเที่ยว และโรงพยาบาลที่รับคนไข้ยุโรป
ค่าปรับ GDPR แนวทางใหม่กระทบธุรกิจไทยอย่างไร
ค่าปรับ GDPR ตามร่างใหม่ทำให้ “หลักฐานว่าเราไม่ประมาท” มีน้ำหนักมากขึ้น ส่วนนี้เป็นการวิเคราะห์ของผู้เขียน แยกตามกลุ่ม
ทำไมเอกสาร RoPA และ DPIA ถึงสำคัญขึ้น
เมื่อขั้นตอนที่ 3 ต้องตรวจว่ามีเจตนาหรือประมาท องค์กรที่มีบันทึกรายการประมวลผล (RoPA) และผลประเมินผลกระทบ (DPIA, GDPR Art.35) ที่ทำจริงและอัปเดต จะมีหลักฐานแสดงว่าได้ใช้ความระมัดระวังแล้ว องค์กรที่ไม่มีเอกสารเลยจะอธิบายได้ยากว่าไม่ได้ประมาท เอกสารเหล่านี้จึงเป็นมากกว่างานธุรการ
บริษัทไทยที่จ้างผู้ประมวลผลรับผิดแทนได้ไหม
Pinsent Masons รายงานว่าร่างแนวทางระบุว่าผู้ควบคุมข้อมูลยังรับผิดต่อการละเมิดของผู้ประมวลผลได้ในบางกรณี สำหรับบริษัทไทยที่ใช้คลาวด์ ระบบจองห้องพัก หรือผู้รับทำการตลาด แปลว่าการจ้างคนอื่นทำไม่ได้ย้ายความเสี่ยงออกไปทั้งหมด สัญญาที่เขียนขอบเขตคำสั่งไว้ชัดจะช่วยแยกได้ว่าใครทำนอกคำสั่ง
ผู้ให้บริการไทยที่เป็นผู้ประมวลผลให้ลูกค้ายุโรป
ผู้ให้บริการไทยที่รับจ้างประมวลผลให้ลูกค้ายุโรป เช่น บริษัท outsource คอลเซ็นเตอร์หรือพัฒนาซอฟต์แวร์ จะถูกลูกค้าขอหลักฐานมากขึ้น เพราะลูกค้ายุโรปก็ต้องพิสูจน์ว่าเลือกผู้ประมวลผลอย่างระมัดระวัง ตัวอย่างสมมติ: บริษัทซอฟต์แวร์ไทย 20 คนที่ดูแลระบบสมาชิกให้แบรนด์ฝรั่งเศส อาจถูกขอให้ส่งนโยบายความปลอดภัยและ log การเข้าถึงทุกไตรมาส
ถ้าไม่ทำอะไรเลย จะเสี่ยงอะไร
ถ้าไม่ทำอะไรเลย เมื่อเกิดเหตุ องค์กรจะเสี่ยงค่าปรับ GDPR เพราะไม่มีหลักฐานแสดงว่าไม่ได้ประมาท ทำให้เสี่ยงถูกเลือกใช้มาตรการปรับเงินแทนคำเตือน ความเสี่ยงที่สองคือถูกลูกค้ายุโรปตัดออกจากรายชื่อผู้ขาย เพราะส่งหลักฐาน accountability ไม่ได้
บริษัทไทยที่มีลูกค้ายุโรปควรทำอะไรตอนนี้
บริษัทไทยที่มีลูกค้ายุโรปควรลดความเสี่ยงค่าปรับ GDPR โดยเริ่มรวบรวมหลักฐานความพยายามป้องกันตั้งแต่วันนี้ เพราะหลักฐานที่ทำย้อนหลังหลังเกิดเหตุมีน้ำหนักน้อย
- 1. ตรวจว่าเข้าเขต GDPR หรือไม่ ดูว่าขายหรือให้บริการถึงคนใน EU หรือติดตามพฤติกรรมคนใน EU ผ่านเว็บหรือแอป
- 2. ทำ RoPA ให้ครบและอัปเดต ระบุข้อมูลอะไร ใช้ทำอะไร ส่งให้ใคร เก็บนานแค่ไหน ใช้ร่วมกับ PDPA มาตรา 39 ได้
- 3. ทำ DPIA สำหรับงานเสี่ยงสูง เช่น ข้อมูลสุขภาพ การติดตามพฤติกรรม หรือระบบอัตโนมัติ
- 4. เขียนขอบเขตคำสั่งในสัญญาผู้ประมวลผล ระบุว่าทำอะไรได้ ทำอะไรไม่ได้ และต้องแจ้งเหตุภายในกี่ชั่วโมง
- 5. เก็บหลักฐานการอบรมและการตรวจสอบ บันทึกวันที่อบรมพนักงาน ผลตรวจสิทธิ์เข้าถึง และการแก้ไขที่ทำแล้ว
ถ้าต้องการคนช่วยวางเอกสาร accountability ให้ใช้ได้ทั้ง GDPR และ PDPA ดูได้ที่ บริการ AI Governance และ PDPA ของ Kooru อ่านตัวอย่างค่าปรับจริงได้ใน Uber โดนปรับ GDPR €825 ล้าน เพราะระบบอัตโนมัติปิดบัญชีคนขับโดยไม่มีคนตรวจ แพลตฟอร์มไรเดอร์และแอปเรียกรถไทยต้องมีคนตรวจแบบไหน และ DPC ไอร์แลนด์ปรับ Google 403 ล้านยูโร คดีข้อมูลตำแหน่ง แอปเดลิเวอรี เรียกรถ และค้าปลีกไทยที่เก็บ location ต้องเช็กอะไร ส่วนเรื่องความรับผิดเมื่อผู้ขายทำพลาด อ่านต่อใน 44 รัฐสหรัฐฯ ปรับ Labcorp $2.3M เพราะ vendor ทำข้อมูลรั่ว บทเรียน Vendor Governance ที่ธุรกิจไทยใช้ได้ทันที
มุมมองผู้เชี่ยวชาญ
ร่างแนวทางนี้บอกเราว่าหน่วยงานกำกับยุโรปไม่ได้อยากปรับทุกเคส แต่อยากเห็นว่าองค์กรตั้งใจดูแลข้อมูลจริง เอกสารที่คุณทำวันนี้ คือคำให้การของคุณในวันที่เกิดเหตุ จุดที่องค์กรมักพลาดคือทำ RoPA ครั้งเดียวแล้วไม่เคยเปิดอีก ซึ่งในวันที่ต้องพิสูจน์ว่าไม่ประมาท เอกสารเก่าสองปีอาจกลายเป็นหลักฐานว่าประมาทเสียเอง บริษัทไทยที่ทำ PDPA ดีอยู่แล้วต่อยอดไป GDPR ได้ไม่ยาก
— Phuwara Krobtaku —
LL.M. (IP & IT) | M.S. (IT) | Thai Barrister & Attorney-at-Law
คำถามที่พบบ่อยเกี่ยวกับค่าปรับ GDPR
ร่างแนวทาง EDPB 04/2026 มีผลบังคับแล้วหรือยัง
ยังเป็นร่างที่เปิดรับฟังความเห็นสาธารณะถึง 13 พ.ย. 2569 หลังจากนั้น EDPB จะพิจารณาความเห็นก่อนออกฉบับสุดท้าย บริษัทที่ได้รับผลกระทบสามารถส่งความเห็นได้ก่อนวันปิดรับ
ค่าปรับ GDPR ต้องมีเจตนาเสมอหรือไม่
ไม่จำเป็นต้องเจตนา ตามรายงานของ Pinsent Masons ร่างแนวทางระบุว่าต้องมีเจตนาหรือประมาทอย่างใดอย่างหนึ่งก่อนจึงปรับได้ ความประมาทจึงเพียงพอ องค์กรต้องมีหลักฐานแสดงว่าใช้ความระมัดระวังแล้ว
แนวทางนี้เปลี่ยนวิธีคำนวณจำนวนค่าปรับไหม
ไม่เปลี่ยน ร่างแนวทาง 04/2026 ใช้ตัดสินว่าจะปรับหรือใช้มาตรการอื่น ส่วนการคำนวณจำนวนเงินยังใช้ Guidelines 04/2022 ทั้งสองฉบับใช้ร่วมกัน
บริษัทไทยที่ทำ PDPA แล้วต้องทำอะไรเพิ่มสำหรับ GDPR
บริษัทไทยที่ทำ PDPA แล้วมีฐานที่ดี เพราะ RoPA และมาตรการความปลอดภัยคล้ายกัน สิ่งที่ควรเพิ่มคือตรวจว่าเข้าเขต GDPR หรือไม่ ทำ DPIA สำหรับงานเสี่ยงสูง และทบทวนสัญญาผู้ประมวลผลให้ระบุขอบเขตคำสั่งชัด
แหล่งอ้างอิง
- EDPB — (อ่านต้นฉบับ) — อ่านประกาศที่ EDPB
- Hunton Andrews Kurth — (อ่านต้นฉบับ) — อ่านบทความที่ Hunton Andrews Kurth
บทความนี้เป็นการสรุปข่าวและให้ข้อมูลทั่วไป ไม่ใช่คำแนะนำทางกฎหมาย หากต้องการคำปรึกษาเฉพาะกรณีของธุรกิจคุณ ควรปรึกษาผู้เชี่ยวชาญ
