จัดทำบันทึกกิจกรรมข้อมูล (RoPA)
เริ่มจากกิจกรรมธุรกิจ ไม่ใช่เพียงฐานข้อมูลหนึ่งแถวต่อระบบ แยกบทบาทผู้ควบคุมและผู้ประมวลผลก่อนเลือกแบบบันทึก และตรวจข้อยกเว้นตามกฎหมายและประกาศที่ใช้กับองค์กรจริง
ขอบเขตชัดเจน
ระบุกิจกรรม เอกสารและผู้รับผิดชอบก่อนเริ่ม
ข้อจำกัดตรวจสอบได้
แยกข้อเท็จจริงที่ยืนยันแล้วกับรายการที่ยังต้องขอเพิ่ม
เอกสารและข้อมูลก่อนเริ่มงาน
- รายการกิจกรรมและเจ้าของงาน
- ประเภทข้อมูล วัตถุประสงค์ ผู้รับและระยะเก็บ
- สัญญาผู้ให้บริการ มาตรการความปลอดภัยและรายการโอนข้อมูลต่างประเทศ
สิ่งที่ส่งมอบตามขอบเขต
- ทะเบียนกิจกรรมตามบทบาทและขอบเขตที่ตรวจ
- รายการข้อมูลที่ยังต้องยืนยันจากเจ้าของกิจกรรม
- วิธีทบทวนทะเบียนเมื่อระบบ ผู้รับข้อมูลหรือวัตถุประสงค์เปลี่ยน
ข้อกฎหมายที่ต้องตรวจ
PDPA มาตรา 39 สำหรับผู้ควบคุม และมาตรา 40 สำหรับผู้ประมวลผล พร้อมประกาศที่เกี่ยวข้อง
ข้อจำกัดและสิ่งที่ไม่รวมโดยอัตโนมัติ
ทะเบียนไม่ทดแทนประกาศความเป็นส่วนตัวหรือฐานกฎหมาย ข้อยกเว้นบางกิจการไม่ใช่ข้อยกเว้น PDPA ทั้งฉบับ และข้อมูลที่ยังไม่ตรวจต้องแสดงสถานะรอยืนยัน
ขั้นตอนการให้บริการ PDPA
- ขั้นที่ 1: แยกกิจกรรมและบทบาทขององค์กรต่อกิจกรรมนั้น
- ขั้นที่ 2: รวบรวมข้อมูลจากเจ้าของงานและหลักฐานการปฏิบัติ
- ขั้นที่ 3: ตรวจรายการบันทึกและข้อยกเว้นตามกฎหมายที่ใช้
- ขั้นที่ 4: ส่งมอบทะเบียนและกำหนดผู้รับผิดชอบการปรับปรุง
คำถามที่พบบ่อย
- บริษัทเล็กไม่ต้องทำ RoPA เสมอไปหรือไม่?
- ไม่ควรสรุปจากขนาดบริษัทอย่างเดียว ต้องตรวจประกาศเรื่องข้อยกเว้นและลักษณะการประมวลผล เช่น ความเสี่ยงและประเภทข้อมูล ก่อนยืนยันว่าข้อยกเว้นใช้ได้
- ต้องขอความยินยอมทุกครั้งหรือไม่?
- ไม่ใช่ ต้องตรวจวัตถุประสงค์และฐานกฎหมายตามกิจกรรมจริง รวมเงื่อนไขข้อมูลตามมาตรา 26 ไม่ควรเลือกความยินยอมหรือประโยชน์โดยชอบด้วยกฎหมายเพียงเพื่อให้ง่ายต่อการดำเนินงาน
- มีนโยบายบนเว็บไซต์แล้วถือว่าทำ PDPA ครบหรือไม่?
- ไม่ครบ ต้องตรวจการเก็บ ใช้ เปิดเผย ระยะเก็บ ความปลอดภัย ผู้ให้บริการและการใช้สิทธิจริง ประกาศเป็นเพียงส่วนหนึ่ง และต้องตรงกับการทำงานของระบบ
- ใช้บริการแล้วรับประกันไม่ถูกปรับหรือไม่?
- ไม่รับประกัน ผลพิจารณาขึ้นกับข้อเท็จจริงและอำนาจของหน่วยงาน งานที่ปรึกษาช่วยแยกหน้าที่ หลักฐานและแผนแก้ไขตามขอบเขตที่ตกลง ไม่ใช่การรับรองจาก สคส.
- ค่าบริการและกำหนดส่งงานประเมินจากอะไร?
- จำนวนกิจกรรม ระบบ กลุ่มบุคคล ผู้ให้บริการ ภาษา ความพร้อมเอกสารและระดับความเสี่ยง รวมงานทางเทคนิคหรือข้อพิพาทที่ต้องทำเพิ่ม ต้องยืนยันขอบเขตและกำหนดเวลาที่ตกลงก่อนเริ่ม
แหล่งกฎหมายและข้อควรตรวจ
- ตัวบท PDPA ฉบับแปลเผยแพร่โดยกระทรวงดิจิทัลฯ — เมื่อใช้ตีความ ให้ตรวจตัวบทภาษาไทยและประกาศที่มีผลใช้บังคับ
- สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (สคส.) — ตรวจประกาศและช่องทางของหน่วยงานล่าสุด
ทบทวนเนื้อหา 8 ตุลาคม 2569 · ข้อมูลทั่วไป ไม่ใช่คำวินิจฉัยเฉพาะเรื่อง และไม่รับประกันการยุติเรื่อง การลดค่าปรับ หรือผลพิจารณา
ปรึกษาขอบเขตงาน PDPA
แจ้งกิจกรรม ระบบและปัญหาที่ต้องแก้ก่อน ไม่ส่งฐานข้อมูลลูกค้าหรือข้อมูลอ่อนไหวผ่านแบบฟอร์มติดต่อทั่วไป หากเกิดเหตุ ให้ใช้ช่องทางรับเหตุขององค์กรและเก็บหลักฐานไว้ก่อน
ติดต่อประเมินขอบเขต PDPA