บทนำ
ประเทศไทยกำลังส่งสัญญาณว่าแนวคิดเรื่อง PDPA กำลังขยับจากการเน้น “ขอความยินยอม” ไปสู่การพิสูจน์ว่าองค์กรใช้ข้อมูลด้วยเหตุผลอะไรและมีหลักฐานรองรับหรือไม่ หลัง PDPC เผยแพร่ร่างแนวทางเรื่องฐานทางกฎหมายและการตลาดในเดือนกรกฎาคม ขณะที่มีร่างแก้ไข PDPA ที่เสนอให้ปรับโครงสร้างฐานการประมวลผลครั้งใหญ่
สำหรับธุรกิจไทย เรื่องนี้ไม่ใช่เพียงข่าวกฎหมาย เพราะมันอาจกระทบวิธีออกแบบ CRM, Marketing Automation, Privacy Notice, ROPA ไปจนถึงการใช้ AI กับข้อมูลลูกค้าโดยตรง
“Consent” อาจไม่ใช่คำตอบแรกอีกต่อไป
ลองนึกภาพบริษัทหนึ่งเก็บชื่อ เบอร์โทรศัพท์ และประวัติการซื้อของลูกค้า
วิธีคิดแบบเดิมอาจเป็นว่า “ข้อมูลนี้ต้องใช้ Consent หรือเปล่า?”
แต่ทิศทางใหม่กำลังบังคับให้องค์กรถามละเอียดกว่านั้นว่า
“เรากำลังทำอะไรกับข้อมูลนี้?”
“ทำไปเพื่ออะไร?”
“ต้องใช้ข้อมูลเท่านี้จริงหรือไม่?”
“ฐานทางกฎหมายที่เหมาะสมคืออะไร?”
และที่สำคัญที่สุด
“ถ้าวันหนึ่งมีคนถาม เรามีหลักฐานอธิบายการตัดสินใจนี้หรือไม่?”
ร่างแนวทางของ PDPC เสนอขั้นตอน 5 เรื่อง ตั้งแต่การระบุกิจกรรมประมวลผล เลือกฐานทางกฎหมาย ประเมินความจำเป็น ไปจนถึงการทำ LIA เมื่ออาศัย Legitimate Interests และการทำให้ข้อมูลเหล่านี้โปร่งใสผ่าน Privacy Notice
นั่นหมายความว่า PDPA ไม่ได้กำลังถามแค่ว่า “มีเอกสาร Consent หรือยัง” แต่กำลังถามว่า “กระบวนการทั้งหมดสมเหตุสมผลและพิสูจน์ได้หรือไม่”
สิ่งที่กำลังเปลี่ยนในระดับกฎหมาย
ร่างแก้ไข PDPA ที่ถูกเสนอเข้าสู่กระบวนการปรึกษาหารือ มีแนวคิดสำคัญคือการปรับมาตรา 24 จากโครงสร้างที่วาง Consent เป็นจุดตั้งต้น ไปสู่ระบบที่มีฐานทางกฎหมายหลายรูปแบบ โดยระบุ 7 ฐาน ได้แก่ การเก็บเพื่อการวิจัย/สถิติหรือการเก็บถาวรเพื่อประโยชน์สาธารณะ, ภารกิจเพื่อประโยชน์สาธารณะหรือการใช้อำนาจรัฐ, การคุ้มครองชีวิตหรือสุขภาพ, การปฏิบัติตามสัญญา, ประโยชน์โดยชอบด้วยกฎหมาย, หน้าที่ตามกฎหมาย และ Consent
จุดนี้สำคัญมาก เพราะมันเปลี่ยน “Consent” จากช่องทางหลักเพียงทางเดียว มาเป็นหนึ่งในหลายฐานที่องค์กรสามารถเลือกใช้ตามสถานการณ์จริง
อย่างไรก็ตาม ต้องแยกให้ออกว่าเรื่องนี้ยังเป็น “ร่าง” ไม่ใช่กฎหมายที่ประกาศใช้แล้ว แหล่งข้อมูลของ Tilleke & Gibbins ระบุว่าช่วงรับฟังความคิดเห็นของร่างแก้ไขดังกล่าวอยู่ระหว่าง 16 กรกฎาคมถึง 15 สิงหาคม 2569 และหากผ่านเป็นกฎหมายจึงจะมีผลตามขั้นตอนที่กำหนด
ณ วันที่ 27 สิงหาคม 2569 จากแหล่งข้อมูลที่ตรวจสอบ ยังไม่พบประกาศยืนยันว่าร่างดังกล่าวกลายเป็นกฎหมายฉบับใหม่แล้ว ดังนั้นองค์กรไม่ควรสื่อสารภายในว่า “PDPA เปลี่ยนแล้ว” แต่ควรมองสิ่งที่เกิดขึ้นเป็นสัญญาณสำคัญสำหรับการเตรียมตัว
แล้วทำไมเรื่อง “การตลาด” ถึงน่าจับตากว่าที่คิด
ร่างแนวทางของ PDPC ไม่ได้หยุดอยู่ที่ฐานทางกฎหมาย แต่ลงไปถึงวิธีที่บริษัทใช้ข้อมูลเพื่อทำการตลาด ทั้ง Direct Marketing, Digital Marketing, Profiling และการตลาดที่ใช้ AI
แนวคิดสำคัญคือ Consent สำหรับ Marketing ควรแยกออกจากความสัมพันธ์ของบริการหลัก องค์กรไม่ควรบังคับให้ลูกค้าต้องยอมรับการตลาดเพียงเพื่อแลกกับการใช้บริการ และไม่ควรออกแบบหน้าจอที่ทำให้การปฏิเสธ Consent เป็นเรื่องยาก เช่น การติ๊กช่องไว้ล่วงหน้าหรือรวมหลายวัตถุประสงค์ไว้ในคำขอเดียว
ยิ่งไปกว่านั้น แนวทางยังพูดถึงข้อมูลจาก Affiliate, Partner, Data Broker รวมถึง Profiling และ AI-driven Marketing ซึ่งเป็นจุดที่หลายองค์กรอาจมองข้าม เพราะไม่ได้เก็บข้อมูลจากลูกค้าโดยตรงแต่ยังนำข้อมูลนั้นมาวิเคราะห์หรือใช้เพื่อการตลาดได้
ผลกระทบต่อธุรกิจในประเทศไทย
ผลกระทบที่ใหญ่ที่สุดอาจไม่ได้อยู่ที่การแก้ Privacy Policy หนึ่งหน้า แต่อยู่ที่ “ระบบหลังบ้าน” ของบริษัท
สำหรับ SME เรื่องนี้อาจเริ่มจาก CRM และระบบยิงโฆษณา บริษัทต้องรู้ว่าข้อมูลลูกค้าที่นำเข้าไปในระบบมาจากไหน ใช้เพื่อวัตถุประสงค์อะไร และมีฐานทางกฎหมายอะไร ไม่ใช่เพียงอาศัยข้อความกว้างๆ ว่า “ลูกค้ายินยอมแล้ว”
สำหรับองค์กรขนาดใหญ่ ความซับซ้อนจะสูงขึ้น เพราะข้อมูลหนึ่งชุดอาจเดินทางผ่านหลายระบบ ทั้งเว็บไซต์ CRM Marketing Platform Cloud Service ผู้รับจ้างภายนอก และเครื่องมือ AI หากฐานทางกฎหมายที่บันทึกไว้ใน ROPA ไม่ตรงกับวิธีใช้งานจริง ความเสี่ยงจะเกิดเป็น “ช่องว่างระหว่างเอกสารกับระบบ” ซึ่งแก้ยากกว่าการแก้แบบฟอร์มมาก
ส่วนธุรกิจที่ใช้ AI ต้องระวังมากเป็นพิเศษ เพราะการนำข้อมูลลูกค้ามาสร้าง Segment, ทำ Scoring, คาดการณ์พฤติกรรม หรือปรับข้อความโฆษณาเฉพาะบุคคล อาจทำให้กิจกรรมที่เคยถูกมองว่าเป็น “การตลาดทั่วไป” กลายเป็นกิจกรรมที่ต้องพิจารณาเรื่อง Profiling, ความโปร่งใส และความเสี่ยงเพิ่มขึ้น
ดังนั้น สิ่งที่ธุรกิจควรเริ่มทำไม่ใช่การลบ Consent แต่คือการเลิกใช้ Consent เป็นคำตอบแบบอัตโนมัติทุกกรณี และสร้างระบบที่ตอบได้ว่า “ข้อมูลแต่ละรายการถูกใช้เพื่ออะไร และใช้บนฐานอะไร”
นี่คือจุดที่การทำ ROPA, Lawful Basis Assessment, LIA และ Privacy Notice เชื่อมกันเป็นระบบเดียว ไม่ใช่เอกสารคนละชิ้นที่ต่างฝ่ายต่างทำ
อีกเรื่องที่ควรจับตาคือร่างแก้ไข PDPA ยังเสนอการนิยาม “หน่วยงานของรัฐ” ให้ชัดเจนขึ้น และขยายข้อยกเว้นบางด้านของภาครัฐ รวมถึงงานป้องกันและปราบปรามการทุจริต ซึ่งสะท้อนว่าการปรับ PDPA ครั้งนี้ไม่ได้แตะเฉพาะบริษัทเอกชน แต่กำลังพยายามจัดโครงสร้างกฎหมายใหม่ในระดับระบบด้วย
สิ่งที่ควรทำต่อ
- ไล่รายการกิจกรรมที่บริษัทใช้ข้อมูลส่วนบุคคลจริง แล้วระบุ Lawful Basis ของแต่ละกิจกรรมใหม่ อย่าเริ่มจากคำถามว่า “มี Consent หรือยัง”
- ตรวจ CRM, Email Marketing, Ads Platform และเครื่องมือ AI ว่ามีการใช้ข้อมูลเกินวัตถุประสงค์ที่แจ้งไว้หรือไม่
- แยก Marketing Consent ออกจากการสมัครหรือการใช้บริการหลัก และตรวจว่าหน้าจอไม่มีการบังคับหรือออกแบบให้ลูกค้ายอมโดยไม่รู้ตัว
- ตรวจข้อมูลที่ได้รับจาก Partner, Affiliate หรือ Data Broker ว่ารู้แหล่งที่มา วัตถุประสงค์ และฐานทางกฎหมายเพียงพอหรือไม่
- ทำให้ ROPA, Privacy Notice, Consent Record และการประเมินฐานทางกฎหมายเล่าเรื่องเดียวกันกับสิ่งที่ระบบทำจริง
แหล่งอ้างอิง
Tilleke & Gibbins, “Thailand Releases New Draft PDPA Guidance On Lawful Bases And Marketing,” เผยแพร่ 16 กรกฎาคม 2569 ผ่าน Mondaq. อ่านต้นฉบับบน Mondaq
Tilleke & Gibbins, “Thailand Proposes Significant Amendments To The Personal Data Protection Act,” เผยแพร่ 4 สิงหาคม 2569 ผ่าน Mondaq. อ่านต้นฉบับบน Mondaq
แหล่งข่าวต้นทางทั้งสองบทความจัดทำโดย Tilleke & Gibbins และเผยแพร่ซ้ำผ่าน Mondaq
