สารบัญ
- ค่าปรับ GDPR คำนวณอย่างไร
- ทำไมไทยต้องสนใจสูตรของยุโรป
- ค่าปรับ GDPR แบบ 5 ขั้นกระทบธุรกิจไทยอย่างไร
- แฟ้มหลักฐานลดโทษต้องมีอะไรบ้าง
- มุมมองผู้เชี่ยวชาญ
- คำถามที่พบบ่อย
ลองนึกภาพแบบนี้
เจ้าของร้านออนไลน์สองร้านทำพนักงานส่งไฟล์รายชื่อลูกค้าหลุดไปเหมือนกัน ร้านแรกโดนปรับหลักแสน ร้านที่สองโดนปรับหลักล้าน
ความผิดเหมือนกัน แต่ที่ต่างกันคือ ร้านแรกหยิบแฟ้มออกมาให้ดูได้ว่ามี DPO อบรมพนักงานมาแล้ว และแจ้งเหตุภายในเวลาที่กำหนด ส่วนร้านที่สองตอบได้อย่างเดียวว่า “ไม่รู้ว่าจะเกิดแบบนี้”
สูตรใหม่ของยุโรปคือการเอาความต่างแบบนี้มาเขียนเป็นขั้นตอนให้ชัด
ค่าปรับ GDPR คำนวณอย่างไรตามสูตร 5 ขั้นของ EDPB
ค่าปรับ GDPR ตามแนวปฏิบัติใหม่ของ EDPB คิดเป็น 5 ขั้น เริ่มจากดูว่าความผิดนั้นปรับได้ไหม ใครต้องรับผิด ทำโดยเจตนาหรือประมาท มีเหตุเพิ่มหรือลดโทษอะไร แล้วปิดท้ายด้วยการเช็กว่าตัวเลขที่ได้พอดีหรือยัง แนวปฏิบัติมีตัวอย่างประกอบ 14 กรณี
| ขั้น | คำถามที่หน่วยงานถาม | แปลเป็นภาษาธุรกิจ |
|---|---|---|
| 1 | การละเมิดนี้ลงโทษปรับได้ไหม | ความผิดนี้เข้าข่ายโดนปรับหรือเปล่า |
| 2 | ใครต้องรับผิด | บริษัทเรา บริษัทแม่ หรือผู้รับจ้างประมวลผล |
| 3 | เจตนาหรือประมาท | ตั้งใจทำ หรือแค่ไม่ระวัง |
| 4 | เหตุเพิ่มโทษหรือลดโทษ | มีอะไรที่ทำให้หนักขึ้นหรือเบาลง |
| 5 | ได้สัดส่วน มีผลจริง และยับยั้งได้ไหม | ตัวเลขนี้แรงพอให้เข็ด แต่ไม่ถึงกับเกินเหตุ |
แนวปฏิบัติเรื่องค่าปรับยังเปิดรับฟังความเห็นถึง 13 พฤศจิกายน 2569 ส่วนแนวปฏิบัติอีกฉบับที่อธิบายว่า DSA กับ GDPR ใช้ร่วมกันอย่างไร ออกเป็นฉบับสมบูรณ์แล้ว
ทำไมธุรกิจไทยต้องสนใจสูตรค่าปรับ GDPR ของยุโรป
ธุรกิจไทยต้องสนใจสูตรค่าปรับ GDPR เพราะ สคส. ของไทยยังไม่เคยประกาศวิธีคำนวณค่าปรับ PDPA ที่ผ่านมาจึงกำหนดค่าปรับเป็นรายกรณี และ PDPA ของไทยก็ลอกโครงมาจาก GDPR อยู่แล้ว ถ้าวันหนึ่ง สคส. ออกเกณฑ์ของตัวเอง สูตร 5 ขั้นของ EDPB จึงน่าจะเป็นต้นแบบที่ใกล้ที่สุด
ตอนนี้ PDPA มาตรา 90 เขียนไว้แค่กว้างๆ ว่าคณะกรรมการผู้เชี่ยวชาญต้องดูความร้ายแรงของพฤติการณ์ ขนาดกิจการ และพฤติการณ์อื่นประกอบ ไม่ได้บอกว่าอะไรมีน้ำหนักแค่ไหน ความไม่แน่นอนตรงนี้เองที่เจ้าของธุรกิจกลัวที่สุด
ค่าปรับ GDPR แบบ 5 ขั้นกระทบธุรกิจไทยอย่างไร
ค่าปรับ GDPR แบบ 5 ขั้นเปลี่ยนเรื่องค่าปรับจากการลุ้นดวงให้กลายเป็นสิ่งที่เตรียมตัวได้ ธุรกิจไทยที่เก็บหลักฐานไว้ตามขั้นที่ 3 และ 4 จะมีข้อโต้แย้งพร้อมในวันที่ถูกสอบสวน ส่วนธุรกิจที่ไม่เคยเก็บหลักฐานอะไรไว้เลย จะเหลือแค่คำอธิบายปากเปล่า
ผลกระทบในทางกฎหมาย: แม้ สคส. จะยังไม่ได้เอาสูตรนี้มาใช้ แต่ DPO และทนายสามารถยกสูตรของ EDPB ขึ้นมาเป็นกรอบในการชี้แจงได้ทันที เช่น แสดงให้เห็นว่าความผิดเกิดจากความประมาท ไม่ใช่เจตนา และแสดงเหตุลดโทษทีละข้อ คำชี้แจงแบบนี้มีน้ำหนักมากกว่าการขอความเห็นใจลอยๆ
ผลกระทบในทางธุรกิจ: ค่าปรับที่เดาไม่ได้ ทำให้ตั้งงบกันความเสี่ยงไม่ได้ พอมีสูตรให้ดู ฝ่ายบัญชีกับฝ่ายกฎหมายก็คุยกันได้ว่า ถ้าลงทุนเรื่อง PDPA ตรงไหน จะช่วยลดความเสี่ยงได้เท่าไร การลงทุนเรื่องนี้เลยเสนอต่อผู้บริหารได้ง่ายขึ้นมาก
ผลกระทบต่อ SME: ขั้นที่ 5 เน้นว่าค่าปรับต้องได้สัดส่วนกับขนาดกิจการ ร้านเล็กไม่ควรโดนปรับเท่าบริษัทใหญ่ แต่ถ้าร้านเล็กไม่มีหลักฐานว่าพยายามทำตามกฎหมายเลย ความเป็นธุรกิจเล็กก็ช่วยอะไรได้น้อย
ผลกระทบต่อคนทั่วไป: เมื่อบริษัทรู้ว่าการเตรียมตัวช่วยลดโทษได้จริง บริษัทก็มีเหตุผลที่จะลงทุนดูแลข้อมูลลูกค้าให้ดีขึ้น
แฟ้มหลักฐานลดค่าปรับ PDPA ต้องมีอะไรบ้าง
แฟ้มหลักฐานลดค่าปรับ หรือ Mitigation File คือชุดเอกสารที่พิสูจน์ได้ว่าองค์กรพยายามทำตาม PDPA มาตลอด ถ้าเรียงเอกสารตามขั้นที่ 3 และ 4 ของสูตร EDPB จะใช้ยื่นชี้แจงได้ทันทีเมื่อ สคส. ติดต่อมา
- 1. หลักฐานว่าไม่ได้เจตนา เช่น นโยบายความปลอดภัยของข้อมูล และบันทึกการอบรมพนักงานพร้อมวันที่
- 2. ROPA ที่อัปเดตล่าสุด แสดงว่าองค์กรรู้ว่าตัวเองเก็บข้อมูลอะไร และเก็บไว้ที่ไหน
- 3. บันทึกการรับมือเหตุข้อมูลรั่ว ว่าตรวจพบเมื่อไร แจ้ง สคส. เมื่อไร (PDPA กำหนดให้แจ้งภายใน 72 ชั่วโมง) และแก้ไขอะไรไปแล้วบ้าง
- 4. หลักฐานการเยียวยาผู้เสียหาย เช่น หนังสือแจ้งลูกค้า หรือมาตรการชดเชยที่ให้ไป
- 5. ประวัติการให้ความร่วมมือ เก็บอีเมลและหนังสือที่โต้ตอบกับหน่วยงานไว้ครบทุกฉบับ
มุมมองผู้เชี่ยวชาญ
“ค่าปรับไม่ได้ตัดสินกันวันที่ข้อมูลรั่ว แต่ตัดสินกันจากสิ่งที่คุณทำไว้ก่อนหน้านั้นทั้งปี วันที่เจ้าหน้าที่มาถาม คุณจะมีเวลาหยิบแฟ้มแค่ไม่กี่นาที ถ้าในแฟ้มว่างเปล่า ผมคิดว่าทนายเก่งแค่ไหนก็ช่วยได้ไม่มาก”
— Phuwara Krobtaku —
LL.M. (IP & IT) | M.S. (IT) | Thai Barrister & Attorney-at-Law
คำถามที่พบบ่อยเกี่ยวกับค่าปรับ GDPR และ PDPA
ค่าปรับ GDPR คำนวณกี่ขั้น
ค่าปรับ GDPR ตามแนวปฏิบัติของ EDPB คำนวณ 5 ขั้น ได้แก่ ความผิดนั้นปรับได้ไหม ใครต้องรับผิด เจตนาหรือประมาท มีเหตุเพิ่มหรือลดโทษอะไร และค่าปรับได้สัดส่วน มีผลจริง และยับยั้งการทำผิดได้ไหม
ไทยมีสูตรคำนวณค่าปรับ PDPA หรือยัง
ยังไม่มี สคส. ยังไม่ได้ประกาศวิธีคำนวณค่าปรับ PDPA ที่ผ่านมาค่าปรับจึงกำหนดเป็นรายกรณี
แนวปฏิบัติค่าปรับของ EDPB เปิดรับฟังความเห็นถึงเมื่อไร
แนวปฏิบัติเรื่องค่าปรับของ EDPB เปิดรับฟังความเห็นถึง 13 พฤศจิกายน 2569 และมีตัวอย่างประกอบ 14 กรณี
Mitigation File คืออะไร
Mitigation File คือแฟ้มหลักฐานลดโทษ เป็นชุดเอกสารที่พิสูจน์ได้ว่าองค์กรพยายามทำตาม PDPA มาตลอด ใช้ชี้แจงเพื่อขอลดค่าปรับเมื่อถูกสอบสวน
แหล่งอ้างอิง
- European Data Protection Board: EDPB harmonises fining methodology and adopts final DSA-GDPR guidelines (21 กันยายน 2569)
- พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 มาตรา 37 (4), 39, 90
- อ่านต่อ: ข้อมูลตำแหน่งทำ Google โดนปรับ 403 ล้านยูโร · EU KIDS Act สั่งปิด AI Chatbot สำหรับเด็ก · บริการ DPO และ PDPA ของ kooru.com
