ประเมินช่องว่าง PDPA
เหมาะเมื่อองค์กรยังไม่ทราบว่าข้อมูลอยู่ที่ใด ใครใช้ และใช้ด้วยฐานกฎหมายอะไร เริ่มจากกิจกรรมหลัก เช่น รับสมัครงาน ขายสินค้า หรือดูแลลูกค้า ก่อนตัดสินใจซื้อระบบหรือจัดทำเอกสารทั้งชุด
ขอบเขตชัดเจน
ระบุกิจกรรม เอกสารและผู้รับผิดชอบก่อนเริ่ม
ข้อจำกัดตรวจสอบได้
แยกข้อเท็จจริงที่ยืนยันแล้วกับรายการที่ยังต้องขอเพิ่ม
เอกสารและข้อมูลก่อนเริ่มงาน
- ผังองค์กรและผู้รับผิดชอบแต่ละกิจกรรม
- รายการระบบ ช่องทางรับข้อมูลและผู้ให้บริการภายนอก
- ประกาศความเป็นส่วนตัว สัญญาและตัวอย่างแบบฟอร์มที่ปกปิดข้อมูลบุคคลแล้ว
สิ่งที่ส่งมอบตามขอบเขต
- แผนภาพการไหลข้อมูลและช่องว่างที่มีหลักฐานรองรับ
- ทะเบียนความเสี่ยง แยกประเด็นกฎหมาย ระบบและการปฏิบัติงาน
- แผนแก้ไขตามลำดับความเสี่ยง พร้อมเจ้าของงานและหลักฐานปิดประเด็น
ข้อกฎหมายที่ต้องตรวจ
พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 มาตรา 19, 23–26, 37 และ 39–40
ข้อจำกัดและสิ่งที่ไม่รวมโดยอัตโนมัติ
การประเมินเป็นภาพของระบบ ณ วันที่ตรวจ ไม่ใช่ใบรับรองจาก สคส. และไม่ยืนยันว่าทุกกิจกรรมเป็นไปตามกฎหมาย การตรวจความมั่นคงปลอดภัยเชิงเทคนิคต้องกำหนดขอบเขตต่างหาก
ขั้นตอนการให้บริการ PDPA
- ขั้นที่ 1: กำหนดกิจกรรมและระบบที่จะตรวจ พร้อมขอบเขตการเข้าถึงข้อมูล
- ขั้นที่ 2: สัมภาษณ์เจ้าของกระบวนการและเทียบการปฏิบัติจริงกับเอกสาร
- ขั้นที่ 3: จัดลำดับช่องว่างตามผลกระทบและเสนอแผนแก้ไขให้ผู้บริหารตัดสินใจ
- ขั้นที่ 4: ยืนยันงานส่งมอบ ข้อจำกัดการสุ่มตัวอย่างและรอบติดตาม
คำถามที่พบบ่อย
- ต้องมีเอกสาร PDPA ครบก่อนประเมินหรือไม่?
- ไม่จำเป็น ส่งรายการที่มีและระบุสิ่งที่ยังไม่มี การเทียบกับงานจริงช่วยแยกสิ่งที่ต้องจัดทำใหม่ออกจากสิ่งที่แก้ไขได้ โดยไม่เพิ่มแบบฟอร์มที่ไม่ตรงกิจกรรม
- ต้องขอความยินยอมทุกครั้งหรือไม่?
- ไม่ใช่ ต้องตรวจวัตถุประสงค์และฐานกฎหมายตามกิจกรรมจริง รวมเงื่อนไขข้อมูลตามมาตรา 26 ไม่ควรเลือกความยินยอมหรือประโยชน์โดยชอบด้วยกฎหมายเพียงเพื่อให้ง่ายต่อการดำเนินงาน
- มีนโยบายบนเว็บไซต์แล้วถือว่าทำ PDPA ครบหรือไม่?
- ไม่ครบ ต้องตรวจการเก็บ ใช้ เปิดเผย ระยะเก็บ ความปลอดภัย ผู้ให้บริการและการใช้สิทธิจริง ประกาศเป็นเพียงส่วนหนึ่ง และต้องตรงกับการทำงานของระบบ
- ใช้บริการแล้วรับประกันไม่ถูกปรับหรือไม่?
- ไม่รับประกัน ผลพิจารณาขึ้นกับข้อเท็จจริงและอำนาจของหน่วยงาน งานที่ปรึกษาช่วยแยกหน้าที่ หลักฐานและแผนแก้ไขตามขอบเขตที่ตกลง ไม่ใช่การรับรองจาก สคส.
- ค่าบริการและกำหนดส่งงานประเมินจากอะไร?
- จำนวนกิจกรรม ระบบ กลุ่มบุคคล ผู้ให้บริการ ภาษา ความพร้อมเอกสารและระดับความเสี่ยง รวมงานทางเทคนิคหรือข้อพิพาทที่ต้องทำเพิ่ม ต้องยืนยันขอบเขตและกำหนดเวลาที่ตกลงก่อนเริ่ม
แหล่งกฎหมายและข้อควรตรวจ
- ตัวบท PDPA ฉบับแปลเผยแพร่โดยกระทรวงดิจิทัลฯ — เมื่อใช้ตีความ ให้ตรวจตัวบทภาษาไทยและประกาศที่มีผลใช้บังคับ
- สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (สคส.) — ตรวจประกาศและช่องทางของหน่วยงานล่าสุด
ทบทวนเนื้อหา 8 ตุลาคม 2569 · ข้อมูลทั่วไป ไม่ใช่คำวินิจฉัยเฉพาะเรื่อง และไม่รับประกันการยุติเรื่อง การลดค่าปรับ หรือผลพิจารณา
ปรึกษาขอบเขตงาน PDPA
แจ้งกิจกรรม ระบบและปัญหาที่ต้องแก้ก่อน ไม่ส่งฐานข้อมูลลูกค้าหรือข้อมูลอ่อนไหวผ่านแบบฟอร์มติดต่อทั่วไป หากเกิดเหตุ ให้ใช้ช่องทางรับเหตุขององค์กรและเก็บหลักฐานไว้ก่อน
ติดต่อประเมินขอบเขต PDPA