PDPA · Cybersecurity · กฎหมายคุ้มครองข้อมูลส่วนบุคคล

PDPA (พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล 2562) มีผลบังคับเต็มรูปแบบตั้งแต่ **1 มิถุนายน 2565** บังคับใช้กับ **ทุกองค์กร** ที่เก็บ/ใช้/เปิดเผยข้อมูลส่วนบุคคล — ไม่มีข้อยกเว้นตามขนาด · รวมถึง: (1) บริษัท/นิติบุคคล (2) ห้างหุ้นส่วน (3) มูลนิธิ/สมาคม (4) ร้านค้า/SME (5) Freelancer ที่เก็บข้อมูลลูกค้า (6) แม่ค้าออนไลน์ที่มี Customer Database · มี **Extraterritorial Effect** เหมือน GDPR — บริษัทต่างชาติที่ขายของ/บริการให้คนในไทยก็ต้องปฏิบัติตาม · ข้อยกเว้นจริงๆ มีน้อยมาก เช่น เก็บข้อมูลในครอบครัวล้วนๆ, นักข่าว/นักวิจัย (มีเงื่อนไข), หน่วยงานความมั่นคง · โทษไม่ทำ: (A) **ปกครอง** สูงสุด ฿5M (B) **อาญา** จำคุก ≤ 1 ปี + ปรับ ≤ ฿1M (C) **แพ่ง** ค่าเสียหายเชิงลงโทษ 2 เท่า (D) **ชื่อเสีย** สคส. ประกาศชื่อบริษัท · เริ่มต้นแค่ ฿85,000 สำหรับ SME

DPO ต้องตั้งใน 3 กรณีตาม ม.41 PDPA + ประกาศ สคส.: (1) **หน่วยงานรัฐ** ทุกแห่ง (2) **Core Activity = Large-scale Systematic Monitoring** (ห้างใหญ่ที่ติด CCTV ทุกชั้น, แพลตฟอร์มออนไลน์, Telecom, ธนาคาร, ประกัน, โรงพยาบาล) (3) **Core Activity = Large-scale Sensitive Data** (โรงพยาบาล, แล็บ, HR Outsource, สหภาพ) · DPO ต้อง: (A) มีความรู้กฎหมาย PDPA + Cybersecurity (B) **เป็นอิสระ** — ห้ามรายงานตรงต่อ CEO/CMO/HR Director (มี Conflict) (C) **รายงานต่อ Board โดยตรง** (D) มี Resource เพียงพอ · **Outsource ได้ตามกฎหมาย** — ที่นิยมที่สุด เพราะ: ประหยัด 60-80%, ได้ผู้เชี่ยวชาญหลายคน, ไม่มี Conflict, มีประกันความรับผิด ฿50M+ · ทีมเราเป็น DPO Outsourced ให้ 95+ บริษัท (รวมมหาชน 22 แห่ง) · ค่าบริการ ฿180,000-฿850,000/ปี

Data Breach Notification ตาม ม.37(4) + ประกาศ สคส.: **(1) แจ้ง สคส. ภายใน 72 ชั่วโมง** นับแต่รู้เหตุ (ยกเว้นไม่มีผลกระทบสิทธิ Data Subject) **(2) แจ้ง Data Subject โดยไม่ชักช้า** หากมี High Risk เช่น Identity Theft, Financial Loss, Discrimination · **เนื้อหาที่ต้องแจ้ง**: ลักษณะการรั่ว · ประเภท/จำนวน Data Subject · ผลกระทบที่อาจเกิด · มาตรการเยียวยา · ข้อมูลติดต่อ DPO · กรณี Cross-border ต้องแจ้ง Supervisory Authority ทุกประเทศที่กระทบ (EU GDPR ICO/CNIL/DPA) · **ขั้นตอน 4-72 ชม.**: (A) 0-4 ชม. — Containment + Forensic Engagement (B) 4-24 ชม. — Impact Assessment + Legal Privilege Setup (C) 24-48 ชม. — Draft Notification + Internal Approval (D) 48-72 ชม. — File สคส. + Notify Subjects + PR Statement · **ค่าใช้จ่าย Breach เฉลี่ย**: ฿42M-฿285M/incident (IBM Cost of Data Breach 2024) · ทีมเรา 24/7 Hotline · จัดการ 67 Breach Incidents · ค่าบริการ ฿85,000-฿650,000 + Retainer

DPIA บังคับทำตาม ม.39 + ประกาศ สคส. สำหรับ **High-risk Processing** 9 ประเภท: (1) **Profiling** ที่ส่งผลทางกฎหมาย/สำคัญ (Credit Scoring, Hiring Algorithm) (2) **Sensitive Data ขนาดใหญ่** (สุขภาพ, เชื้อชาติ, ความเห็นการเมือง, ศาสนา, พฤติกรรมทางเพศ, Biometric, พันธุกรรม) (3) **Systematic Monitoring** ในที่สาธารณะ (CCTV ห้าง/สถานี/สนามบิน) (4) **Children Data** (5) **New Technology** (AI, IoT, Facial Recognition, Drone) (6) **Cross-border Transfer ไปประเทศไม่มี Adequacy** (7) **Combination of Datasets** (Data Lake, Data Broker) (8) **Vulnerable Subjects** (ผู้ป่วย, ผู้ลี้ภัย, ลูกจ้าง) (9) **Public-facing Processing** ที่ขัดขวางการใช้บริการ · DPIA ต้องประเมิน 11 มิติ + Mitigation + Residual Risk · ถ้า Risk ยังสูง → **Prior Consultation กับ สคส.** (สคส. ตอบใน 60 วัน) · ไม่ทำ DPIA + เกิด Breach = โทษเพิ่ม 2 เท่า · ค่าบริการ ฿45,000-฿250,000/โปรเจกต์

ส่งออกได้ตาม ม.28-29 PDPA โดยมี **6 Legal Basis**: (1) **Adequacy Decision** — สคส. ประกาศประเทศที่คุ้มครองเพียงพอ (ปัจจุบันยังไม่มี ต่างจาก EU ที่มี 16 ประเทศ) (2) **Appropriate Safeguards** — Standard Contractual Clauses (สคส. กำลังร่าง · ปัจจุบันใช้ EU SCC 2021 ได้) · Binding Corporate Rules (BCR) · Code of Conduct · Certification (3) **Explicit Consent** — Data Subject ยินยอมเป็นลายลักษณ์อักษร โดยรู้ความเสี่ยง (4) **Contract Performance** — จำเป็นในการปฏิบัติสัญญา (5) **Vital Interest** — ปกป้องชีวิต (6) **Public Interest** · **กลุ่ม EU** ต้องใช้ EU SCC 2021 (Module 1-4) + Transfer Impact Assessment (TIA) หลัง Schrems II · **กลุ่ม UK** ใช้ UK IDTA หรือ EU SCC + UK Addendum · **US** ใช้ EU-US Data Privacy Framework (DPF) ตั้งแต่ ก.ค. 2566 · ทีมเราทำ Cross-border Agreement 280+ ฉบับ · ค่าบริการ ฿85,000-฿650,000

PDPA โทษมี 3 ระดับ: **(1) ปกครอง (ม.83-89)** — สูงสุด ฿5M/ครั้ง + อาจสะสมหลายข้อหา · เคสจริงในไทย: บริษัทประกันแห่งหนึ่ง — รั่วข้อมูลลูกค้า 17,000 ราย — ปรับ ฿7M (2566) · แพลตฟอร์ม E-commerce — ไม่มี Consent — ปรับ ฿3M · โรงพยาบาลเอกชน — รั่วข้อมูลสุขภาพ — ปรับ ฿5M + คำสั่งปรับปรุง 6 เดือน **(2) อาญา (ม.79-81)** — จำคุก ≤ 1 ปี + ปรับ ≤ ฿1M สำหรับการเปิดเผยข้อมูล Sensitive โดยไม่ได้รับอนุญาต **(3) แพ่ง (ม.77-78)** — ค่าเสียหาย + **ค่าเสียหายเชิงลงโทษ 2 เท่า** + Class Action ได้ · **ในต่างประเทศ**: Meta โดน CNIL ปรับ €390M (2566) · TikTok โดน ICO ปรับ £12.7M (2566) · Amazon โดน Luxembourg ปรับ €746M (2564) · ทีมเราสู้คดี PDPA Defense 34 คดี · ลด Administrative Fine เฉลี่ย **78%** · Win Rate 84%

Cookie Consent มี Framework ตาม PDPA + EU ePrivacy Directive: **(1) Strict Necessary Cookies** — ใช้ได้โดยไม่ต้องขอ Consent (Session, CSRF, Load Balancer) **(2) Preference/Analytics/Marketing Cookies** — ต้อง **Opt-in Explicit Consent** ก่อนวาง Cookie · ห้าม Pre-ticked Box · ห้าม Cookie Wall (Force Consent) · ห้าม Dark Pattern · **มาตรฐาน Compliant Banner**: (A) Reject All ต้องเด่นเท่า Accept All (B) Granular Choice (Per Category) (C) Withdraw Consent ง่ายเท่าให้ Consent (D) แสดง Third-party Cookies List ครบ (E) Banner ไม่บัง Content (Sticky Top/Bottom OK) (F) Re-consent ทุก 6-12 เดือน · **CMP แนะนำ**: OneTrust (Enterprise), Cookiebot (Mid-market), TrustArc, Usercentrics, Iubenda (SME) · **เคสฟ้อง CNIL**: Google ปรับ €150M, Facebook €60M, Microsoft €60M (2566) — ทั้งหมดเพราะ Reject All ไม่เด่นเท่า Accept All · ทีมเรา Implement CMP 180+ เว็บไซต์ · ค่าบริการ ฿65,000-฿450,000

ISO Standards คู่หู Privacy + Security: **(1) ISO 27001:2022** — Information Security Management System (ISMS) · 93 Controls (Annex A) ใน 4 หมวด: Organizational, People, Physical, Technological · เน้น CIA Triad (Confidentiality, Integrity, Availability) · **ระยะเวลา 6-9 เดือน + ค่าใช้จ่าย ฿1.5-3.5M** · **(2) ISO 27701:2019** — Privacy Information Management System (PIMS) · **Extension** ของ ISO 27001 (ต้องทำ 27001 ก่อน) · เพิ่ม 49 Controls สำหรับ PII Controller + 32 Controls สำหรับ PII Processor · **Map กับ GDPR + PDPA ตรง 100%** · **ระยะเวลา 3-6 เดือน เพิ่มเติม + ค่าใช้จ่าย ฿0.8-2M** · **(3) ISO 22301** — Business Continuity (BCP/DRP) สำหรับ Critical Operations · **บริษัทควรทำ**: (A) Cloud/SaaS — ลูกค้า Enterprise/Government ต้องการ (B) Fintech/Bank — ธปท./ก.ล.ต. แนะนำ (C) Healthcare — HIPAA Mapping (D) Telecom — กสทช. ต้องการ (E) Government Vendor — ก.พ.อ./EGA ต้องการ (F) Public Listed Company — SET CG Code · ทีมเราเป็น Consultant ISO 27001/27701 — 65+ บริษัทผ่าน Certification

**2 กฎหมายแยกกันชัดเจน**: **(1) PDPA 2562 (สคส.)** — คุ้มครอง 'ข้อมูลส่วนบุคคล' · ทุกองค์กรต้องปฏิบัติ · เน้นสิทธิ Data Subject · **(2) พ.ร.บ.ไซเบอร์ 2562 (สกมช./NCSA)** — รักษา 'ความมั่นคงปลอดภัยไซเบอร์ของประเทศ' · เฉพาะ **CII (Critical Information Infrastructure)** 8 ภาคส่วน: (A) Telecom (B) Public Service (C) Banking & Finance (D) Insurance (E) Healthcare (F) Government Service (G) Transportation & Logistics (H) Energy & Public Utility · **หน้าที่ CII**: (1) จดทะเบียนกับ สกมช. (2) แต่งตั้ง Cybersecurity Officer (3) Risk Assessment ทุก 2 ปี (4) BCP/DRP + Annual Drill (5) **Incident Reporting ภายใน 24 ชม.** (6) Vulnerability Patching ตาม Severity (Critical 24 ชม.) (7) Pen-test ทุกปี (8) Audit โดย Auditor ที่ สกมช. ขึ้นทะเบียน · **โทษ**: ปรับสูงสุด ฿500K + จำคุก 1-3 ปี · **ระดับเหตุการณ์**: Level 1 (Significant) → Level 2 (Crisis) → Level 3 (National Emergency — นายกฯ สั่งได้) · ทีมเราช่วย CII Compliance 38 องค์กร · ค่าบริการ ฿180,000-฿1.5M

Ransomware เป็น Cybercrime #1 ของโลก (4,500+ Attacks/วัน ทั่วโลก) — ค่าไถ่เฉลี่ย $1.85M (2567) **ห้ามจ่ายโดยตรงโดยพลการ**: (1) **OFAC Sanctions** — กลุ่ม Hacker หลายกลุ่ม (Conti, REvil, LockBit, BlackCat) อยู่ใน OFAC SDN List · จ่ายให้ = ละเมิด US Sanctions = ปรับสูงสุด $20M + อาญา (2) **AMLO ปปง.** — อาจเข้าข่ายฟอกเงิน ม.5 พ.ร.บ.ปปง. (3) **PDPA ม.40** — ต้องแจ้ง สคส. 72 ชม. แม้จะจ่ายค่าไถ่แล้วก็ตาม (4) **70% ของผู้จ่าย ถูกโจมตีซ้ำใน 12 เดือน** (Sophos 2024) (5) **เครื่องมือถอดรหัสเสีย** — 30% ของ Decryptor ทำลายข้อมูลเพิ่ม · **กระบวนการจัดการที่ถูกต้อง**: (A) **0-1 ชม.** — Isolate + Activate IR Team + Engage Negotiator + Forensic (B) **1-24 ชม.** — OFAC Screening + Crypto Wallet Tracing (Chainalysis, TRM) + Legal Privilege (C) **24-72 ชม.** — Notification (สคส./ICO/CNIL ตามที่กระทบ) + Insurance Claim + FBI/Interpol Report (D) **Decision Tree**: หาก Backup ดี → Restore · หาก Backup เสีย + Critical Data → Consider Pay (โดย Negotiator มืออาชีพ ลดได้ 40-70%) · ทีมเรามี Ransomware Response Team 24/7 · จัดการ 23 Incidents · Recovery Rate 87% · ค่าบริการ ฿450,000-฿2.8M

AI Governance + PDPA เป็นเรื่องใหม่ที่ สคส. ออก **Guideline AI & PDPA (2567)**: **(1) Training Data** — ห้ามใช้ Personal Data ที่ไม่มี Consent หรือ Lawful Basis · กรณี Scrape Web ต้องมี LIA (Legitimate Interest Assessment) **(2) ROPA ต้องรวม AI Processing** — ระบุ Algorithm Type, Input/Output, Decision Logic, Bias Testing **(3) DPIA บังคับ** สำหรับ Automated Decision-making ที่ส่งผลทางกฎหมาย/สำคัญ (Hiring, Credit, Insurance Underwriting, Healthcare Diagnosis) **(4) Subject Right ม.30 — Right to Explanation** + Right to Human Review + Right to Object Automated Decision **(5) Sensitive Data** ต้องมี Explicit Consent (Biometric Face Recognition, Voice Analysis, Emotion Detection) **(6) Cross-border** — ถ้าใช้ OpenAI/Google/Anthropic (US) ต้องมี SCC + TIA + ข้อตกลง DPA · **EU AI Act (มีผล ก.พ. 2568)** — Prohibited AI (Social Scoring, Real-time Biometric ในที่สาธารณะ) · High-risk AI (Hiring, Education, Critical Infra) ต้อง Conformity Assessment · บริษัทไทยที่ขาย AI ให้ EU ต้องตาม · **Internal Policy แนะนำ**: (A) AI Acceptable Use Policy (B) ห้ามใส่ Customer/Employee Data ใน Public ChatGPT (ใช้ Enterprise/Private Deployment) (C) Disclosure Policy เวลา AI ตอบลูกค้า (D) AI Bias Audit ทุก 6 เดือน · ทีมเราช่วย AI Governance 28 องค์กร · ค่าบริการ ฿250,000-฿1.5M

PDPA copy GDPR มา **80%** แต่ต่างกัน 20% สำคัญ: (1) **Extraterritorial Scope** — GDPR ใช้กับใครก็ตามที่ Offer Goods/Services ให้คนใน EU หรือ Monitor พฤติกรรมคนใน EU · บริษัทไทยที่ขาย E-commerce, SaaS, ท่องเที่ยว ให้คนยุโรป **ต้องตาม GDPR** + ตั้ง **EU Representative** (ม.27) (2) **โทษหนักกว่ามาก** — GDPR ปรับสูงสุด **€20M หรือ 4% ของ Global Revenue** (PDPA ฿5M/ครั้ง) (3) **Consent เข้มกว่า** — ต้อง Freely Given, Specific, Informed, Unambiguous · ห้าม Bundle Consent · Withdraw ง่ายเท่าให้ (4) **Subject Rights มากกว่า** — GDPR มี Right to Portability + Right to Object Profiling + Right not to be subject to Automated Decision (PDPA ม.30 มีแต่จำกัดกว่า) (5) **DPO** — GDPR บังคับสำหรับ Public Authority + Core Activity Large-scale (PDPA เพิ่ม Large-scale Systematic Monitoring) (6) **Data Breach Notification** — เหมือนกัน 72 ชม. (7) **Cross-border** — GDPR มี Adequacy 16 ประเทศ + EU-US DPF · PDPA ยังไม่มี · **Compliance Strategy บริษัทไทยส่งออก EU**: (A) GDPR + PDPA Dual Compliance Program (B) EU Representative ใน Ireland/Netherlands (C) Privacy Policy 2 ภาษา (D) Cookie Banner ตาม EU Standard (E) SCC 2021 ทุก Vendor · ทีมเราเป็น GDPR Advisor 48 บริษัทส่งออก EU · ค่าบริการ ฿250,000-฿1.8M