บทนำ
ช่วงแรกของ PDPA ไทย ธุรกิจจำนวนมากโฟกัสกับ Privacy Notice, Consent, ROPA และเอกสารสัญญาต่าง ๆ เพื่อให้ “มีระบบ” ตามกฎหมาย
แต่ภาพของปี 2025 สะท้อนว่ากติกากำลังเปลี่ยนไปแล้ว
จากข้อมูลในรายงาน Chambers and Partners: Data Protection & Privacy 2026 – Thailand การบังคับใช้กฎหมายเริ่มเห็นรูปแบบที่ชัดขึ้น ทั้งการลงโทษทางปกครอง การตรวจสอบเชิงรุก การจับตาข้อมูลชีวมิติ การควบคุม Vendor และการพัฒนาเครื่องมือสำหรับการโอนข้อมูลข้ามประเทศ
สิ่งที่ธุรกิจควรถามในปี 2026 จึงไม่ใช่แค่ “เรามีเอกสาร PDPA ครบหรือยัง?” แต่คือ “ถ้าวันนี้มีคนมาตรวจ เราพิสูจน์ได้หรือไม่ว่าข้อมูลทุกก้อนอยู่ภายใต้การควบคุมของเรา?”
ข้อเท็จจริง — สิ่งที่เปลี่ยน คือ วิธีที่ PDPC มอง “ความรับผิดชอบ”
จากเหตุข้อมูลรั่ว สู่คำถามว่า “องค์กรควบคุมข้อมูลดีพอหรือยัง”
ในปี 2025 มีการประกาศบทลงโทษทางปกครอง 8 คำสั่ง จาก 5 กรณี ครอบคลุมทั้งหน่วยงานรัฐ บริษัทเอกชน และผู้ประมวลผลข้อมูล โดยยอดค่าปรับสะสมที่มีการรายงานอยู่ที่ประมาณ 21.5 ล้านบาท
แต่ตัวเลขที่น่าสนใจกว่าคือ “รูปแบบของความผิด”
กรณีหนึ่งเกี่ยวข้องกับหน่วยงานรัฐที่ถูกโจมตีทางไซเบอร์จนข้อมูลประมาณ 200,000 รายรั่วไหล การตรวจสอบไม่ได้หยุดแค่ถามว่า “ใครเป็นคนแฮ็ก” แต่ยังพิจารณาถึงการตั้งรหัสผ่าน การประเมินความเสี่ยง การทบทวนมาตรการ และการมีข้อตกลงกับผู้พัฒนาระบบหรือไม่
อีกกรณีคือโรงพยาบาลเอกชนที่จ้างบุคคลภายนอกทำลายเอกสารเวชระเบียน แต่เอกสารถูกนำไปใช้ผิดวัตถุประสงค์จนข้อมูลผู้ป่วยถูกเปิดเผย โรงพยาบาลถูกปรับ 1.21 ล้านบาท ขณะที่ผู้รับจ้างถูกปรับ 16,940 บาท
นี่กำลังบอกธุรกิจอย่างชัดเจนว่า
ข้อมูลไม่ได้หยุดเสี่ยงตอนอยู่ในระบบของบริษัท แต่ยังเสี่ยงตอนบริษัทส่งข้อมูลออกไปให้คนอื่นทำงานแทน
และนี่คือเหตุผลที่ Vendor Governance และ Data Processing Agreement หรือ DPA เริ่มมีความสำคัญในระดับเดียวกับมาตรการด้าน IT
Vendor ไม่ใช่ข้ออ้างว่า “เขาเป็นคนทำ”
อีกกรณีหนึ่ง บริษัทจำหน่ายสินค้าใช้ระบบจองที่ดำเนินการโดย Data Processor และระบบถูกโจมตีจนมีการแก้ไขข้อมูลจำนวนมาก แม้เหตุการณ์จะเกิดขึ้นในช่วงเวลาสั้น ๆ แต่ทั้ง Controller และ Processor ต่างถูกลงโทษ โดย Processor ถูกปรับถึง 3 ล้านบาท
ประเด็นนี้สำคัญมากสำหรับธุรกิจไทย เพราะวันนี้แทบไม่มีองค์กรไหนทำทุกอย่างเอง
บริษัทหนึ่งอาจมี
Website → Cloud → CRM → Call Center → Payment Provider → Marketing Platform → Outsource → AI Tool
ข้อมูลเดินทางผ่านหลายมือมากขึ้นเรื่อย ๆ
ดังนั้นคำถามในปี 2026 จึงไม่ใช่แค่
“เรามี DPA หรือยัง?”
แต่ต้องถามต่อว่า
“Vendor ทำตาม DPA จริงหรือไม่ และเราตรวจสอบได้อย่างไร?”
PDPC ไม่จำเป็นต้องรอให้ลูกค้าร้องเรียนก่อน
อีกการเปลี่ยนแปลงที่ธุรกิจไม่ควรมองข้ามคือ PDPC Eagle Eye
รายงานระบุว่า PDPC มีหน่วยงานที่ใช้เทคโนโลยีติดตามและตรวจหาข้อมูลส่วนบุคคลที่ถูกเปิดเผยทางออนไลน์ รวมถึงแหล่งข้อมูลบนอินเทอร์เน็ตและ Dark Web ทำให้การตรวจจับความเสี่ยงไม่จำเป็นต้องเริ่มต้นจากคำร้องของเจ้าของข้อมูลเสมอไป นี่ทำให้สมการความเสี่ยงเปลี่ยนไปอย่างชัดเจน
เมื่อก่อน
ข้อมูลรั่ว → ผู้เสียหายพบ → ร้องเรียน → หน่วยงานตรวจสอบ
แต่วันนี้
ข้อมูลรั่ว → ระบบตรวจพบ → หน่วยงานอาจเข้าตรวจสอบ → องค์กรต้องอธิบาย
ดังนั้น “ไม่มีใครร้องเรียน” ไม่ได้แปลว่า “ไม่มีความเสี่ยง”
Biometric และ “Consent” กำลังกลายเป็นโจทย์ธุรกิจ ไม่ใช่แค่โจทย์กฎหมาย
กรณี World ซึ่งเกี่ยวข้องกับการสแกนม่านตาแลกสิทธิประโยชน์ในรูปแบบ
คริปโต เป็นตัวอย่างสำคัญของการที่ รูปแบบธุรกิจเองสามารถกลายเป็นประเด็นด้าน PDPA
รายงานระบุว่าในช่วงปลายปี 2025 มีการรายงานคำสั่งให้หยุดบริการและลบข้อมูลชีวมิติของผู้ใช้ในไทยประมาณ 1.2 ล้านราย โดยข้อกังวลรวมถึงลักษณะของข้อมูลชีวมิติ ความสมัครใจในการให้ความยินยอม และความชัดเจนเรื่องวัตถุประสงค์การใช้ข้อมูล
จุดที่ธุรกิจควรเรียนรู้ไม่ใช่เพียงว่า “ม่านตาเป็นข้อมูลอ่อนไหว”
แต่คือ การออกแบบ Product กับการออกแบบ Privacy ต้องคิดพร้อมกันตั้งแต่ต้น
เพราะเมื่อบริษัทสร้างผลิตภัณฑ์ที่ใช้
ใบหน้า / ลายนิ้วมือ / ม่านตา / ข้อมูลสุขภาพ / Digital ID
คำถามไม่ได้มีเพียง “ขอ Consent แล้วหรือยัง”
แต่ต้องถามว่า
“คนให้ข้อมูลมีทางเลือกจริงหรือไม่?”
“เขารู้หรือไม่ว่าข้อมูลจะถูกนำไปทำอะไร?”
“ถ้าข้อมูลหลุด เราแก้ความเสียหายได้แค่ไหน?”
ข้อมูลชีวมิติแตกต่างจากรหัสผ่านตรงที่ หากรหัสผ่านรั่ว เรายังเปลี่ยนรหัสใหม่ได้ แต่ข้อมูลอย่างม่านตาหรือใบหน้าไม่ได้เปลี่ยนได้ง่ายในลักษณะเดียวกัน
PDPA กำลังเดินเข้าสู่ “ระยะที่สอง”
อีกชั้นหนึ่งที่ต้องจับตาคือการหารือแก้ไข PDPA
รายงาน Chambers ระบุว่าในช่วงปลายปี 2025 มีการเปิดรับฟังความคิดเห็นเกี่ยวกับร่างแก้ไข PDPA โดยประเด็นที่ถูกหยิบขึ้นมาพิจารณา ได้แก่ นิยาม Controller และ Processor, ขอบเขตข้อมูลอ่อนไหว และหลักเกณฑ์เรื่อง Consent
นั่นหมายความว่า PDPA กำลังเดินจากช่วง “ทำความรู้จักกฎหมาย” เข้าสู่ช่วง “ทำให้กฎหมายทำงานได้จริงในระบบธุรกิจ” และสิ่งที่ธุรกิจต้องจับตาไม่ใช่เพียงตัวบทฉบับใหม่ แต่รวมถึง แนวปฏิบัติ คำสั่ง และแบบอย่างจากการบังคับใช้จริง
Trust Mark และ BCR: จาก “ทำให้ถูก” สู่ “ทำให้เห็นว่าถูก”
ด้านหนึ่งที่สะท้อนการโตขึ้นของระบบ PDPA คือการสร้างเครื่องมือให้บริษัทแสดงระดับการกำกับดูแลข้อมูลของตัวเอง
PDPC กำลังพัฒนา Trust Mark เพื่อให้ธุรกิจสามารถแสดงให้เห็นว่ามีมาตรฐานด้านการคุ้มครองข้อมูล โดยรายงานระบุว่าคาดว่าจะมีความคืบหน้าเกี่ยวกับแบบสอบถามในช่วงไตรมาส 2 หรือ 3 ของปี 2026
หากในอนาคต Trust Mark ถูกนำไปใช้ในการจัดซื้อ การคัดเลือก Vendor หรือสร้างความเชื่อมั่นให้ลูกค้า สิ่งนี้อาจทำให้ PDPA เปลี่ยนจาก
“ต้นทุนด้าน Compliance”
ไปเป็น
“คะแนนความน่าเชื่อถือทางธุรกิจ”
ส่วนบริษัทข้ามชาติ ปี 2025 มีความคืบหน้าชัดเจนเรื่อง Binding Corporate Rules หรือ BCR
เมื่อวันที่ 29 กันยายน 2025 มีการออกกฎเกี่ยวกับการยื่น ตรวจสอบ และรับรอง BCR และในวันที่ 30 กันยายนมีการอนุมัติ BCR ให้บริษัทที่ดำเนินงานในไทย 2 แห่ง ซึ่งถือเป็นพัฒนาการสำคัญต่อการโอนข้อมูลภายในกลุ่มบริษัทข้ามประเทศ
กรอบดังกล่าวแยกเป็น BCR สำหรับ Controller และ Processor และกำหนดกระบวนการพิจารณาที่ชัดเจนขึ้น รวมถึงกรอบเวลาการตรวจสอบที่อาจใช้เวลาถึงประมาณ 180 วันหลังเอกสารครบ
ผลกระทบต่อธุรกิจในประเทศไทย — PDPA กำลังย้ายจาก “งานฝ่ายกฎหมาย” ไปเป็น “งานของทั้งบริษัท”
สิ่งที่น่าสนใจที่สุดจากพัฒนาการทั้งหมดนี้คือ PDPA กำลังกลายเป็น Enterprise Risk Management หรือระบบบริหารความเสี่ยงของทั้งองค์กร ไม่ใช่งานเฉพาะของฝ่ายกฎหมายหรือ DPO อีกต่อไป
ลองนึกภาพบริษัทหนึ่งมีลูกค้า 500,000 ราย
ฝ่ายกฎหมายบอกว่า Privacy Notice ครบแล้ว
ฝ่าย IT บอกว่ามี Firewall แล้ว
ฝ่ายจัดซื้อบอกว่าทำสัญญากับ Vendor แล้ว
แต่เมื่อเกิดเหตุจริงกลับพบว่า Vendor ใช้สิทธิ์เข้าถึงข้อมูลเกินความจำเป็น, ไม่มีการทบทวนบัญชีผู้ใช้, ไม่มีการซ้อม Incident Response และไม่มีใครตอบได้ว่าต้องแจ้งใครภายในกี่ชั่วโมง
นี่คือจุดที่ “มีเอกสาร” กับ “ควบคุมความเสี่ยงได้จริง” กลายเป็นคนละเรื่อง
สำหรับ SME ความเสี่ยงอาจเกิดจากการพึ่งพาบริการสำเร็จรูป เช่น Cloud, CRM, HR Platform หรือบริษัทภายนอก โดยองค์กรอาจคิดว่า “ระบบเป็นของ Vendor” จึงไม่จำเป็นต้องลงรายละเอียดมาก แต่แนวโน้มการบังคับใช้กลับชี้ว่าการเลือก Vendor และการกำหนดหน้าที่ของ Processor เป็นส่วนหนึ่งของความรับผิดชอบขององค์กรด้วย
สำหรับองค์กรขนาดใหญ่ ปัญหาจะซับซ้อนกว่า เพราะข้อมูลหนึ่งชุดอาจไหลผ่านหลายระบบและหลายประเทศ สิ่งที่ต้องลงทุนจึงไม่ใช่แค่ Privacy Policy แต่คือ Data Flow ที่ตามได้, ROPA ที่ตรงกับของจริง, สิทธิ์เข้าถึงที่ตรวจสอบย้อนหลังได้, ระบบแจ้งเหตุ และหลักฐานการควบคุม Vendor
ส่วนธุรกิจที่ใช้ AI, Biometrics, Digital ID หรือข้อมูลสุขภาพ ควรคิดเรื่อง Privacy ตั้งแต่ขั้นออกแบบ Product เพราะการแก้ปัญหาหลังเปิดระบบแล้วอาจมีต้นทุนสูงกว่าการออกแบบให้ถูกตั้งแต่ต้นอย่างมาก
ในภาพใหญ่ เราอาจมองการเปลี่ยนแปลงนี้เป็นสมการง่าย ๆ:
PDPA 2022 = “เรามีระบบหรือยัง?”
PDPA 2026 = “ระบบนั้นทำงานจริง และเราพิสูจน์ได้หรือยัง?”
นี่จึงเป็นเหตุผลว่าทำไมบริษัทที่รอดจากการตรวจสอบในยุคต่อไปอาจไม่ใช่บริษัทที่มีเอกสารมากที่สุด แต่คือบริษัทที่ รู้ว่าข้อมูลอยู่ที่ไหน ใครแตะได้ ทำไมถึงแตะได้ และเมื่อหมดความจำเป็นแล้วข้อมูลหายไปอย่างไร
สิ่งที่ควรทำต่อ — Checklist สำหรับองค์กรในปี 2026
1. ซ้อม Data Breach จริง
อย่าหยุดที่ Incident Response Policy ให้จำลองเหตุการณ์จริงว่า หากข้อมูลรั่ววันนี้ ใครเป็นคนตัดสินใจ ใครแจ้ง DPO ใครคุยกับ Vendor และใครเตรียมข้อมูลส่ง PDPC
2. ตรวจ Vendor ที่แตะข้อมูลทั้งหมด
โดยเฉพาะ Cloud, Hosting, CRM, HR Platform, Call Center, Marketing และบริษัทรับทำลายเอกสาร ตรวจว่า DPA ครอบคลุมหน้าที่รักษาความปลอดภัย การแจ้งเหตุ และสิทธิ์ในการตรวจสอบหรือไม่
3. ทำ Data Flow Audit
ไล่ข้อมูลตั้งแต่ เก็บ → ใช้ → ส่งต่อ → เก็บรักษา → ลบ/ทำลาย แล้วถามทุกจุดว่า ใครเป็นเจ้าของ ใครเข้าถึง และมีหลักฐานอะไร
4. ยกระดับโครงการที่ใช้ข้อมูลเสี่ยงสูง
หากใช้ Biometrics, Health Data หรือ Digital ID ต้องประเมินความจำเป็น ความสมัครใจ ระยะเวลาการเก็บ และเส้นทางการส่งข้อมูลตั้งแต่ก่อนเปิดใช้จริง
5. บริษัทข้ามชาติควรประเมิน BCR
หากมีการโอนข้อมูลภายในกลุ่มบริษัทเป็นประจำ ควรประเมินว่า BCR เหมาะกับโครงสร้างองค์กรหรือไม่ แทนการจัดการการโอนข้อมูลแบบครั้งต่อครั้งเพียงอย่างเดียว
มุมมองผู้เชี่ยวชาญ
“ผมมองว่า PDPA ปี 2026 ไม่ได้ถามแล้วว่า บริษัทมี Privacy Policy หรือยัง แต่กำลังถามว่า เวลาข้อมูลวิ่งผ่านทั้งองค์กร เราคุมมันได้จริงไหม เพราะตอนเกิดปัญหา เอกสารช่วยเราไม่ได้ ถ้าเราอธิบายไม่ได้ว่าใครเข้าถึงข้อมูล ทำไมถึงเข้าถึง และเราแก้เหตุการณ์อย่างไร”
— Phuwara Krobtaku —
LL.M. (IP & IT) | M.S. (IT) | Thai Barrister & Attorney-at-Law
แหล่งอ้างอิง
ต้นฉบับหลัก: Chambers and Partners — Data Protection & Privacy 2026: Thailand, Trends and Developments อัปเดตล่าสุด 10 มีนาคม 2026 โดยบทความจัดทำโดยทีม Chandler Mori Hamada Limited
อ่านต้นฉบับ Chambers and Partners — Data Protection & Privacy 2026: Thailand
แหล่งประกอบที่ใช้ตรวจสอบประเด็นสำคัญ ได้แก่ข้อมูลจากหน่วยงานภาครัฐเกี่ยวกับการทำงานของ PDPC Eagle Eye และการบังคับใช้ PDPA รวมถึงข้อมูลด้านกรอบ BCR ที่เผยแพร่โดย Tilleke & Gibbins
