PDPA สำหรับธนาคารและ finance
เริ่มประเมินจากกิจกรรมข้อมูลของธนาคารและ finance โดยตรวจบทบาท วัตถุประสงค์ ประเภทข้อมูลและผู้รับจริงก่อนเลือกเอกสารหรือระบบ ไม่ใช่ใช้แบบฟอร์มเดียวกับทุกองค์กร

เลือกงานจากปัญหาที่ต้องแก้ก่อน
- ไม่ทราบว่าข้อมูลอยู่ที่ใด: เริ่มประเมินช่องว่างและทำแผนข้อมูล ก่อนเลือกระบบหรือแบบฟอร์ม
- เริ่มเว็บไซต์หรือใช้ผู้ให้บริการใหม่: ตรวจประกาศ ฐานกฎหมาย สัญญาและการโอนข้อมูล
- รับคำขอจากเจ้าของข้อมูล: แยกประเภทสิทธิ ยืนยันตัวตนและตรวจกรอบเวลาตามบทบัญญัติไทย
- กำลังเกิดเหตุข้อมูลรั่วไหล: ใช้ช่องทางรับเหตุขององค์กร รักษาหลักฐานและประเมินหน้าที่แจ้งโดยไม่รอแบบฟอร์มเว็บ
กิจกรรมเฉพาะอุตสาหกรรมที่ต้องสำรวจ
KYC/AML, credit scoring, BOT+PDPC dual regulator, cross-border DTC
รายการนี้เป็นจุดเริ่มสำรวจ ไม่ใช่ข้อสรุปว่าทุกกิจกรรมต้องขอความยินยอมหรืออยู่ภายใต้ข้อกำหนดเดียวกัน ต้องตรวจข้อมูล ระบบและกฎหมายเฉพาะองค์กรก่อนยืนยัน
เอกสารเริ่มต้นที่ช่วยกำหนดขอบเขต
- รายชื่อกิจกรรม ระบบและเจ้าของงาน
- ประเภทข้อมูล กลุ่มบุคคล ผู้รับและระยะเก็บ
- นโยบาย แบบฟอร์ม สัญญาผู้ให้บริการและบันทึกเหตุที่มีอยู่ โดยปกปิดข้อมูลที่ไม่จำเป็น
DPO ความยินยอมและการโอนข้อมูลไม่ใช่เรื่องเดียวกัน
การแต่งตั้ง DPO ต้องตรวจมาตรา 41–42 ความยินยอมต้องตรวจมาตรา 19 และฐานกฎหมายของแต่ละกิจกรรม การโอนต่างประเทศต้องตรวจมาตรา 28–29 การมีเอกสารหรือระบบอย่างหนึ่งไม่ทดแทนหน้าที่เรื่องอื่น
ขอบเขตผลตรวจและการติดตาม
ระบุระบบและกิจกรรมที่ตรวจ วันที่ หลักฐาน ข้อสันนิษฐาน ผู้รับผิดชอบและรายการรอยืนยัน งานทางเทคนิคและกฎหมายต่างประเทศต้องตกลงขอบเขตแยก ไม่กล่าวอ้างว่าทำเอกสารแล้วผ่าน PDPA ทุกประเด็น
ขั้นตอนการให้บริการ PDPA
- ขั้นที่ 1: ระบุบทบาท กิจกรรมข้อมูลและประเด็นที่ต้องการแก้ก่อนส่งข้อมูลละเอียด
- ขั้นที่ 2: กำหนดขอบเขต เอกสาร ผู้รับผิดชอบและช่องทางส่งหลักฐานอย่างปลอดภัย
- ขั้นที่ 3: ตรวจข้อกฎหมายกับการปฏิบัติจริงและจัดลำดับความเสี่ยง
- ขั้นที่ 4: ส่งมอบผลตรวจ ระบุรายการที่ยังไม่ยืนยันและติดตามการแก้ไข
คำถามที่พบบ่อย
- ต้องขอความยินยอมทุกครั้งหรือไม่?
- ไม่ใช่ ต้องตรวจวัตถุประสงค์และฐานกฎหมายตามกิจกรรมจริง รวมเงื่อนไขข้อมูลตามมาตรา 26 ไม่ควรเลือกความยินยอมหรือประโยชน์โดยชอบด้วยกฎหมายเพียงเพื่อให้ง่ายต่อการดำเนินงาน
- มีนโยบายบนเว็บไซต์แล้วถือว่าทำ PDPA ครบหรือไม่?
- ไม่ครบ ต้องตรวจการเก็บ ใช้ เปิดเผย ระยะเก็บ ความปลอดภัย ผู้ให้บริการและการใช้สิทธิจริง ประกาศเป็นเพียงส่วนหนึ่ง และต้องตรงกับการทำงานของระบบ
- ใช้บริการแล้วรับประกันไม่ถูกปรับหรือไม่?
- ไม่รับประกัน ผลพิจารณาขึ้นกับข้อเท็จจริงและอำนาจของหน่วยงาน งานที่ปรึกษาช่วยแยกหน้าที่ หลักฐานและแผนแก้ไขตามขอบเขตที่ตกลง ไม่ใช่การรับรองจาก สคส.
- ค่าบริการและกำหนดส่งงานประเมินจากอะไร?
- จำนวนกิจกรรม ระบบ กลุ่มบุคคล ผู้ให้บริการ ภาษา ความพร้อมเอกสารและระดับความเสี่ยง รวมงานทางเทคนิคหรือข้อพิพาทที่ต้องทำเพิ่ม ต้องยืนยันขอบเขตและกำหนดเวลาที่ตกลงก่อนเริ่ม
แหล่งกฎหมายและข้อควรตรวจ
- ตัวบท PDPA ฉบับแปลเผยแพร่โดยกระทรวงดิจิทัลฯ — เมื่อใช้ตีความ ให้ตรวจตัวบทภาษาไทยและประกาศที่มีผลใช้บังคับ
- สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (สคส.) — ตรวจประกาศและช่องทางของหน่วยงานล่าสุด
ทบทวนเนื้อหา 8 ตุลาคม 2569 · ข้อมูลทั่วไป ไม่ใช่คำวินิจฉัยเฉพาะเรื่อง และไม่รับประกันการยุติเรื่อง การลดค่าปรับ หรือผลพิจารณา
ปรึกษาขอบเขตงาน PDPA
แจ้งกิจกรรม ระบบและปัญหาที่ต้องแก้ก่อน ไม่ส่งฐานข้อมูลลูกค้าหรือข้อมูลอ่อนไหวผ่านแบบฟอร์มติดต่อทั่วไป หากเกิดเหตุ ให้ใช้ช่องทางรับเหตุขององค์กรและเก็บหลักฐานไว้ก่อน
ติดต่อประเมินขอบเขต PDPA





