PDPC Certification Mark คือกรอบการรับรองของสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (สคส.) ที่ประเมินองค์กรด้วย 128 เกณฑ์ ถ้าได้คะแนน 80% ขึ้นไปจะได้ใบรับรอง และ 90% ขึ้นไปจะได้ตราสัญลักษณ์ด้วย บทความนี้เหมาะกับ DPO ผู้บริหาร และฝ่ายกฎหมาย อ่านแล้วจะรู้ว่าตรานี้คืออะไร อะไรยังไม่ชัด และควรเริ่มเตรียมตรงไหน
ลองนึกภาพวันที่ลูกค้ารายใหญ่ส่งแบบสอบถามคู่ค้ามาถามว่า “บริษัทของคุณได้ตรารับรอง PDPA หรือยัง” ถ้าคำตอบคือยัง คู่แข่งที่มีตราอาจได้งานไป ข่าวนี้คือจุดเริ่มต้นของภาพแบบนั้นในไทย
สรุปสั้น: PDPC Certification Mark ของ สคส. ประเมิน 4 กลุ่ม 10 ด้าน 128 เกณฑ์ ผู้สมัครต้องเป็นหน่วยงานรัฐหรือนิติบุคคล ได้ 80% ขึ้นไปรับ PDPA Compliance Certificate ได้ 90% ขึ้นไปรับ PDPA Certificate พร้อมตรา อายุ 3 ปี ส่วนฐานทางกฎหมาย ค่าธรรมเนียม และวันเปิดรับสมัครยังไม่ปรากฏในข่าว องค์กรจึงควรเริ่ม gap assessment แต่รอประกาศทางการก่อนลงทุนเต็มที่
PDPC Certification Mark คืออะไร และใช้เกณฑ์อะไรประเมิน
PDPC Certification Mark คือกรอบประเมินที่ สคส. เผยในเวที Executive Talk เมื่อ 30 ก.ย. 2569 ตามรายงานของไทยโพสต์และ RYT9 ใช้ประเมิน 4 กลุ่ม 10 ด้าน รวม 128 เกณฑ์ และรายงานระบุว่ากรอบอ้างอิงมาตรฐาน ISO, GDPR, NIST และแนวปฏิบัติของ ICO สหราชอาณาจักร
ผู้สมัครต้องผ่านการประเมินตนเองตาม Privacy Maturity Model ระดับ 5 ก่อน จึงจะเข้ารับการประเมินภายนอกได้ การประเมินใช้เวลานานสุด 180 วัน และเมื่อได้รับรองแล้วมีการติดตามผลรายปี
| ประเด็น | ข้อเท็จจริงตามรายงาน |
|---|---|
| โครงสร้างเกณฑ์ | 4 กลุ่ม 10 ด้าน 128 เกณฑ์ |
| ผู้สมัคร | หน่วยงานรัฐหรือนิติบุคคล (รัฐ/เอกชน) |
| ระดับรับรอง | ≥80% PDPA Compliance Certificate · ≥90% PDPA Certificate พร้อมตรา |
| อายุและระยะประเมิน | อายุ 3 ปี ติดตามผลรายปี · ประเมินนานสุด 180 วัน |
| ผู้ผ่านเกณฑ์และพิธีมอบ | 16 หน่วยงาน (RYT9) · พิธีมอบตรา ธ.ค. 2569 (ไทยโพสต์) |
PDPC Certification Mark กระทบธุรกิจไทยอย่างไร
PDPC Certification Mark กระทบธุรกิจไทยเพราะอาจกลายเป็นเครื่องพิสูจน์ความพร้อมด้าน PDPA ที่ลูกค้าและคู่ค้าเรียกดู ทั้งในการจัดซื้อจัดจ้างและแบบสอบถามคู่ค้า ส่วนนี้เป็นการวิเคราะห์ของผู้เขียน เพราะข่าวยังไม่ได้บอกว่าตรานี้จะถูกใช้เป็นเงื่อนไขที่ใด
บริษัทที่รับงานจากองค์กรใหญ่ได้อะไรจากตรา
บริษัทที่รับงานประมวลผลข้อมูลให้องค์กรใหญ่ เช่น บริษัท call center ผู้ทำระบบ HR หรือเอเจนซีการตลาด น่าจะได้ประโยชน์มากที่สุด เพราะตราช่วยตอบคำถามเรื่องความปลอดภัยของข้อมูลได้ในหน้าเดียว แทนการกรอกแบบสอบถามยาวทุกครั้ง
หน่วยงานรัฐและองค์กรใหญ่ต้องเตรียมนานแค่ไหน
หน่วยงานรัฐและองค์กรใหญ่ควรเผื่อเวลานาน เพราะต้องประเมินตนเองตาม Privacy Maturity Model ก่อน และการประเมินภายนอกใช้เวลาได้ถึง 180 วัน ถ้าเริ่มช้า อาจไม่ทันรอบที่อยากได้ งานพื้นฐานอย่าง RoPA ตาม PDPA มาตรา 39 และการแต่งตั้ง DPO ตามมาตรา 41 น่าจะเป็นจุดที่ถูกตรวจ แต่ต้องรอเอกสารเกณฑ์ทางการเพื่อยืนยัน
อะไรที่ยังไม่ชัดเกี่ยวกับ PDPC Certification Mark
สิ่งที่ยังไม่ชัดมีสามเรื่อง คือ ฐานทางกฎหมายและเลขมาตราของโครงการ โครงการเป็นแบบสมัครใจหรือไม่ และค่าธรรมเนียมกับวันเปิดรับสมัคร ต้นทางที่อ่านไม่ระบุเรื่องเหล่านี้ องค์กรจึงไม่ควรลงทุนเต็มที่จนกว่าจะเห็นประกาศทางการ
ประกาศอื่นของ สคส. ที่มีผลแล้ว และองค์กรควรทำให้ครบก่อนคิดเรื่องตรา ดูได้ใน ประกาศ สคส. เรื่องสิทธิขอเข้าถึงและขอรับสำเนาข้อมูลมีผลแล้ว องค์กรต้องตอบใน 30 วัน คิดค่าธรรมเนียมได้แค่ไหน ปฏิเสธได้เมื่อไร ส่วนแนวโน้มต่างประเทศที่เริ่มบังคับรับรองผู้ประมวลผลข้อมูล ดูได้ใน Medyc เวชระเบียนรั่ว โปแลนด์เตรียมบังคับรับรองมาตรฐานผู้ประมวลผลข้อมูลสุขภาพ โรงพยาบาลไทยที่ใช้ HIS ภายนอกต้องระวังอะไร
ถ้าองค์กรไทยไม่ทำอะไรเลย จะเสี่ยงอะไร
ถ้าไม่ทำอะไรเลย ความเสี่ยงทางกฎหมายโดยตรงยังไม่ชัด เพราะยังไม่ยืนยันว่าตรานี้เป็นภาคบังคับ แต่ความเสี่ยงทางธุรกิจชัด คือถ้าตราถูกใช้เป็นเงื่อนไขจัดซื้อ องค์กรที่ไม่เตรียมจะต้องเร่งทำในเวลาสั้น และอาจเสียงานให้คู่แข่งที่มีตราก่อน
องค์กรไทยควรเตรียมตัวขอ PDPC Certification Mark อย่างไร
องค์กรไทยควรเตรียมตัวขอ PDPC Certification Mark โดยเริ่มจากงานที่มีประโยชน์ไม่ว่าจะขอตราหรือไม่ เพื่อไม่เสียเปล่าถ้าเงื่อนไขทางการเปลี่ยน
- 1. ทำ gap assessment เทียบ 4 กลุ่ม 10 ด้าน ใช้โครงสร้าง 128 เกณฑ์เป็นแนว แล้วปรับเมื่อได้เอกสารทางการ
- 2. ประเมินตนเองตาม Privacy Maturity Model เริ่มทำล่วงหน้า เพราะเป็นเงื่อนไขก่อนเข้ารับการประเมินภายนอก
- 3. เก็บหลักฐานพื้นฐานให้ครบ เช่น RoPA, Privacy Notice, สัญญาผู้ประมวลผล และบันทึกการแจ้งเหตุ
- 4. วางไทม์ไลน์เผื่อ 180 วัน นับย้อนจากรอบที่อยากได้ตรา และกำหนดเจ้าภาพในองค์กร
- 5. ติดตามประกาศทางการของ สคส. รอดูฐานทางกฎหมาย ค่าธรรมเนียม และวันเปิดรับสมัครก่อนตั้งงบเต็ม ติดตามได้ที่ หมวด PDPA & Privacy
ถ้าต้องการคนช่วยทำ gap assessment ดูรายละเอียดได้ที่ บริการ AI Governance และ PDPA ของ Kooru
มุมมองผู้เชี่ยวชาญ
ตราของ สคส. น่าสนใจเพราะเปลี่ยนคำถามจาก “บริษัทคุณทำ PDPA หรือยัง” เป็น “พิสูจน์ได้ไหม” ตรารับรองไม่ได้ทำให้องค์กรปลอดภัยขึ้น แต่ทำให้องค์กรต้องพิสูจน์ว่าปลอดภัยจริง จุดที่องค์กรมักพลาดคือรีบจ้างทำเอกสารให้ครบเพื่อสอบผ่าน ควรเช็กก่อนว่าเอกสารเหล่านั้นตรงกับสิ่งที่พนักงานทำจริงหรือไม่
— Phuwara Krobtaku —
LL.M. (IP & IT) | M.S. (IT) | Thai Barrister & Attorney-at-Law
คำถามที่พบบ่อยเกี่ยวกับ PDPC Certification Mark
PDPC Certification Mark ต้องได้คะแนนเท่าไร
ตามรายงาน ได้คะแนน 80% ขึ้นไปจะได้ PDPA Compliance Certificate และ 90% ขึ้นไปจะได้ PDPA Certificate พร้อมตราสัญลักษณ์ ทั้งหมดประเมินจาก 128 เกณฑ์
ใครสมัคร PDPC Certification Mark ได้บ้าง
ผู้สมัครต้องเป็นหน่วยงานรัฐหรือนิติบุคคลทั้งภาครัฐและเอกชน และต้องผ่านการประเมินตนเองตาม Privacy Maturity Model ก่อนเข้ารับการประเมินภายนอก
PDPC Certification Mark มีอายุกี่ปี
ใบรับรองมีอายุ 3 ปี และมีการติดตามผลรายปี ส่วนการประเมินแต่ละครั้งใช้เวลานานสุด 180 วัน
PDPC Certification Mark เป็นภาคบังคับไหม
ยังไม่ชัด ต้นทางที่อ่านไม่ระบุฐานทางกฎหมายหรือบอกว่าเป็นโครงการสมัครใจ ต้องรอประกาศทางการของ สคส. เพื่อยืนยัน
แหล่งอ้างอิง
- ไทยโพสต์ — (อ่านต้นฉบับ) — อ่านข่าวที่ไทยโพสต์
- RYT9 — (อ่านต้นฉบับ) — อ่านข่าวที่ RYT9
บทความนี้เป็นการสรุปข่าวและให้ข้อมูลทั่วไป ไม่ใช่คำแนะนำทางกฎหมาย หากต้องการคำปรึกษาเฉพาะกรณีของธุรกิจคุณ ควรปรึกษาผู้เชี่ยวชาญ
