บทนำ
วันที่ 18 มิถุนายน 2026 สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (สคส.) ออกประกาศ 2 ฉบับในราชกิจจานุเบกษา เพื่อสร้างระบบรับรองมาตรฐานการคุ้มครองข้อมูลส่วนบุคคลอย่างเป็นทางการเป็นครั้งแรกของไทย โดยระบบนี้ยังเป็น การสมัครใจ และ ไม่ได้สร้างหน้าที่ทางกฎหมายใหม่ให้ทุกองค์กรต้องขอใบรับรอง
แต่จุดที่ธุรกิจไทยควรสนใจจริงๆ ไม่ใช่เรื่อง “จะสมัครใบรับรองหรือไม่” เท่านั้น คำถามสำคัญกว่า คือ บริษัทของคุณสามารถพิสูจน์ได้หรือยังว่า PDPA ที่เขียนไว้ในเอกสาร ถูกนำไปใช้จริงในองค์กร
วิเคราะห์ประเด็น
1. ประเด็นนี้กระทบใครในไทยบ้าง
กระทบมากที่สุดกับองค์กรที่มีลูกค้าองค์กรขนาดใหญ่ อยู่ในห่วงโซ่อุปทานของบริษัทข้ามชาติ อยู่ในอุตสาหกรรมที่ต้องผ่านการตรวจสอบจำนวนมาก รวมถึงบริษัทที่ต้องตอบแบบสอบถามด้าน privacy/security จากลูกค้าและคู่ค้าเป็นประจำ
สำหรับ SME ผลกระทบอาจยังไม่ใช่ “ต้องไปขอใบรับรองทันที” แต่มีโอกาสเห็นแรงกดดันจากคู่ค้าได้เร็วกว่าแรงบังคับจากกฎหมาย เพราะใบรับรองสามารถกลายเป็นหลักฐานประกอบการประเมิน vendor หรือ procurement ได้
2. ถ้าไม่ทำอะไรเลย คุณจะเสี่ยงกับอะไร
ความเสี่ยงหลักไม่ใช่การถูกลงโทษเพียงเพราะยังไม่มีใบรับรอง เพราะระบบนี้เป็นแบบสมัครใจ แต่คือ การค้นพบว่าองค์กรมีเอกสารอยู่มาก แต่ไม่มีหลักฐานว่าใช้งานจริง
เมื่อกรอบประเมินครอบคลุมถึงธรรมาภิบาล บุคลากร กระบวนการ สิทธิของเจ้าของข้อมูล ฐานกฎหมาย การจัดทำบันทึกการประมวลผล การประเมินความเสี่ยง การจัดการผู้รับจ้าง มาตรการความปลอดภัย และการรับมือเหตุข้อมูลรั่วไหล ช่องว่างระหว่าง “เขียนนโยบายไว้” กับ “ทำได้จริง” จะเห็นได้ชัดขึ้น
3. มุมที่สื่ออื่นยังไม่ได้พูดถึงคืออะไร
มุมที่ต่างคือ PDPA Certification อาจไม่ได้เปลี่ยนกฎหมายมากเท่ากับที่มันกำลังเปลี่ยนวิธีที่ตลาดพิสูจน์ความน่าเชื่อถือขององค์กร
ใบรับรองยังสมัครใจ แต่ถ้าลูกค้ารายใหญ่เริ่มถามหา คู่ค้าเริ่มใส่ใน vendor questionnaire หรือ procurement เริ่มใช้เป็นหนึ่งในหลักฐานประกอบการคัดเลือก สิ่งที่วันนี้เป็น “ทางเลือก” อาจค่อย ๆ กลายเป็น “ข้อได้เปรียบทางการค้า” และบางอุตสาหกรรมอาจพัฒนาไปถึงขั้นเป็นเงื่อนไขในการแข่งขัน
เรื่องที่เปลี่ยนจริง ๆ ไม่ใช่ใบรับรอง แต่คือ “วิธีพิสูจน์ความพร้อม”
ลองนึกภาพบริษัทหนึ่งที่มี Privacy Notice ครบ มีนโยบาย Data Protection มีแบบฟอร์มสำหรับใช้สิทธิ และเคยอบรมพนักงานเรื่อง PDPA มาแล้ว
ในอดีต แค่นี้อาจทำให้ผู้บริหารรู้สึกว่า “บริษัทเราน่าจะพร้อมแล้ว” แต่กรอบรับรองใหม่กำลังผลักคำถามไปอีกขั้นว่า ถ้ามีคนขอตรวจ บริษัทแสดงหลักฐานได้ไหมว่าเอกสารเหล่านั้นถูกนำไปใช้จริง?
เช่น เมื่อเจ้าของข้อมูลขอใช้สิทธิ ใครรับเรื่อง ใครตรวจสอบตัวตน ใช้เวลากี่วัน และมีหลักฐานอะไรเหลืออยู่ หรือเมื่อเกิดเหตุข้อมูลรั่วไหล บริษัทมีขั้นตอนตอบสนองจริงหรือมีเพียง Incident Response Policy อยู่ในโฟลเดอร์
นี่คือการเปลี่ยนจาก document-based compliance ไปสู่ evidence-based compliance มากขึ้น
ข้อเท็จจริง
กรอบรับรองที่ออกโดย สคส. มีผลตามประกาศราชกิจจานุเบกษาเมื่อวันที่ 18 มิถุนายน 2026 และเป็นระบบรับรองโดยสมัครใจสำหรับหน่วยงานที่เข้าเกณฑ์
องค์กรที่ต้องการเข้าสู่กระบวนการรับรองต้องผ่านเกณฑ์ Privacy Maturity Model ระดับ 5 ก่อน ซึ่งเป็นระดับสูงสุดของโมเดล และต้องเข้าสู่การประเมินตามกรอบรวม 128 ข้อ ใน 4 กลุ่มและ 10 ด้าน
สาระของการประเมินไม่ได้อยู่เฉพาะฝ่ายกฎหมาย แต่ครอบคลุมตั้งแต่การกำกับดูแลและนโยบาย การพัฒนาบุคลากร กระบวนการดำเนินงาน ไปจนถึงมาตรการทางเทคนิคและการรับมือเหตุละเมิดข้อมูล
ผลการประเมินมี 2 ระดับหลัก หากปฏิบัติตามข้อกำหนดทางกฎหมายที่ถูกประเมินครบและได้คะแนนตั้งแต่ 80% ถึง 89.9% สามารถได้รับ PDPA Compliance Certificate ส่วนระดับ 90% ขึ้นไป พร้อมผ่านเงื่อนไขที่เกี่ยวข้อง จะได้รับ PDPA Certificate พร้อม Certification Mark
ใบรับรองมีอายุ 3 ปี และกระบวนการพิจารณามีกรอบเวลาสูงสุด 180 วัน โดยอาจขยายได้อีกตามเงื่อนไขที่กำหนด
จุดสำคัญอีกข้อคือ ใบรับรองไม่ได้หมายความว่าองค์กรได้รับ “ภูมิคุ้มกัน” จากภาระหน้าที่ตาม PDPA แต่เป็นหลักฐานว่าผ่านกรอบการประเมินที่กำหนดไว้
ผลกระทบต่อธุรกิจในประเทศไทย
สำหรับธุรกิจไทย เรื่องนี้ไม่ควรถูกมองว่าเป็นเพียงตลาดใหม่ของ “คอร์สอบรม PDPA” เพราะสิ่งที่กำลังเกิดขึ้นใหญ่กว่านั้น
เมื่อเกณฑ์มีถึง 128 ข้อ บริษัทจะเริ่มมอง PDPA เป็นระบบงานที่ต้องเชื่อมหลายฝ่าย ไม่ใช่งานของ DPO หรือฝ่ายกฎหมายเพียงคนเดียว ฝ่าย HR ต้องมีหลักฐานเรื่องการอบรมและความตระหนักของพนักงาน ฝ่าย IT และ Security ต้องตอบเรื่องมาตรการป้องกันและการรับมือเหตุการณ์ ฝ่าย Procurement ต้องจัดการสัญญากับผู้ประมวลผลข้อมูลและคู่ค้า ฝ่ายธุรกิจต้องรู้ว่าแต่ละกระบวนการใช้ข้อมูลเพื่ออะไรและอาศัยฐานกฎหมายใด
ผลทางธุรกิจที่น่าสนใจที่สุดจึงอยู่ที่ vendor due diligence และ procurement ในอนาคต
บริษัทขนาดใหญ่ที่จ้างผู้ให้บริการ SaaS, BPO, HR Tech, Marketing, Cloud หรือบริษัทที่เข้าถึงข้อมูลลูกค้า อาจต้องการหลักฐานที่ตรวจสอบได้มากขึ้น เมื่อมีใบรับรองที่ออกภายใต้กรอบของรัฐ ใบรับรองนี้จึงมีโอกาสถูกนำไปใช้เป็น “trust signal” ในการคัดเลือกคู่ค้า แม้กฎหมายจะไม่ได้บังคับให้ทุกคู่ค้าต้องมีใบรับรองก็ตาม
สำหรับ SME นี่เป็นทั้งโอกาสและความเสี่ยง เพราะ SME อาจไม่ได้แข่งกับบริษัทใหญ่ด้วยราคาอย่างเดียวอีกต่อไป แต่อาจต้องแข่งด้วยความสามารถในการ พิสูจน์ว่าจัดการข้อมูลลูกค้าได้อย่างน่าเชื่อถือ
ขณะเดียวกัน ตลาดฝึกอบรม PDPA ก็ต้องเปลี่ยนเช่นกัน หลักสูตรที่สอนเพียงความรู้พื้นฐานว่า “PDPA คืออะไร” อาจไม่เพียงพออีกต่อไป คุณค่าของการอบรมจะเริ่มอยู่ที่การช่วยองค์กรให้ตอบได้ว่า แต่ละข้อกำหนดมีเจ้าของงาน ใครต้องทำ ต้องทำเมื่อไร และต้องเก็บหลักฐานอะไรเพื่อพิสูจน์ว่าทำจริง
ดังนั้นโอกาสของตลาดไม่ได้อยู่แค่ “คอร์สเตรียมสอบ” แต่คือบริการที่เชื่อม Training → Gap Assessment → Evidence → Mock Audit → Certification Readiness
นี่คือเหตุผลที่ผมมองว่า การเปลี่ยนแปลงครั้งนี้น่าสนใจกว่าการมีใบรับรองอีกหนึ่งใบ เพราะมันกำลังเปลี่ยน “มาตรฐานความพร้อม” ขององค์กรจากการตอบว่า เรามีนโยบายไหม ไปเป็น เราพิสูจน์การทำงานจริงได้ไหม
สิ่งที่ควรทำต่อ
- นำกรอบ 128 ข้อมาทำ Gap Assessment กับระบบ PDPA ที่มีอยู่ แทนการเริ่มจากการซื้อคอร์สอบรมใหม่ทันที
- ตรวจว่าองค์กรผ่าน Privacy Maturity Model Level 5 แล้วหรือยัง และช่องว่างอยู่ตรงไหน
- แยก “เอกสารที่มี” ออกจาก “หลักฐานการใช้งานจริง” เช่น บันทึกการอบรม ROPA การจัดการคำขอใช้สิทธิ การประเมินความเสี่ยง และบันทึกเหตุละเมิด
- ให้ HR, Legal, IT/Security, Procurement และฝ่ายธุรกิจร่วมกันดูเกณฑ์เดียวกัน เพราะการประเมินครอบคลุมหลายทีม
- เริ่มทำ Mock Audit ก่อนคิดเรื่องการยื่นขอใบรับรอง เพื่อดูว่าบริษัทสามารถตอบคำถามและหยิบหลักฐานได้จริงหรือไม่
แหล่งอ้างอิง
Tilleke & Gibbins — “Thailand Introduces Certification Framework for Personal Data Protection Standards”
เผยแพร่ 25 มิถุนายน 2026 โดยอธิบายกรอบการรับรองใหม่ของไทย รวมถึง 4 กลุ่ม 10 ด้าน 128 เกณฑ์ กระบวนการประเมิน และอายุใบรับรอง
