PDPA กับการส่งไฟล์ข้อมูลส่วนบุคคล: สิ่งที่กฎหมายกำหนด

การส่งไฟล์ที่มีข้อมูลส่วนบุคคลตาม PDPA คือการส่งเฉพาะข้อมูลที่จำเป็น ด้วยมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสม เช่น การเข้ารหัสและรหัสผ่าน เปิดให้เข้าถึงเท่าที่ผู้รับต้องใช้ มีข้อตกลงกับผู้ให้บริการที่ประมวลผลข้อมูลแทนคุณ และรู้ว่าต้องแจ้งเหตุละเมิดภายใน 72 ชั่วโมงเมื่อไฟล์ไปถึงคนผิดและมีความเสี่ยง PDPA ไม่ได้รับรองเครื่องมือใด แต่กำหนดหน้าที่ให้องค์กรที่ส่งข้อมูล

บทความนี้สรุปบทบัญญัติของ PDPA และประกาศของคณะกรรมการที่เกี่ยวกับการส่งไฟล์ เช่น ใบสมัครงาน สลิปเงินเดือน ผลตรวจสุขภาพ สำเนาบัตรประชาชน หรือรายชื่อลูกค้า เป็นเช็กลิสต์ พร้อมเทียบกับ GDPR ของสหภาพยุโรป เนื้อหาเป็นข้อมูลทั่วไป ณ เดือนตุลาคม 2026 (พ.ศ. 2569) ไม่ใช่คำปรึกษาทางกฎหมาย สำหรับกรณีของคุณ ให้ยืนยันกับเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล (DPO) หรือนักกฎหมาย

PDPA คืออะไร ย่อมาจากอะไร

PDPA ย่อมาจาก Personal Data Protection Act คือ พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ประกาศในราชกิจจานุเบกษา เล่ม 136 ตอนที่ 69 ก เมื่อวันที่ 27 พฤษภาคม 2562 และมีผลใช้บังคับเต็มรูปแบบตั้งแต่วันที่ 1 มิถุนายน 2565 (ค.ศ. 2022) หน่วยงานที่ดูแลคือคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล และสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (PDPC) ซึ่งเผยแพร่ตัวบทและประกาศต่าง ๆ ไว้ที่ pdpc.or.th

ตามมาตรา 6 “ข้อมูลส่วนบุคคล” คือข้อมูลเกี่ยวกับบุคคลที่ทำให้ระบุตัวบุคคลนั้นได้ ไม่ว่าทางตรงหรือทางอ้อม แต่ไม่รวมข้อมูลของผู้ถึงแก่กรรม สัญญาที่มีชื่อและที่อยู่ ไฟล์ Excel รายชื่อลูกค้า สำเนาบัตร หรือรูปที่จำหน้าคนได้ จึงเป็นข้อมูลส่วนบุคคลทั้งหมด การส่งไฟล์เหล่านี้คือการ “เปิดเผย” ข้อมูล และการที่บริการส่งไฟล์เก็บไฟล์ไว้ชั่วคราวก็ถือเป็นการประมวลผลเช่นกัน

มาตรา 5 ให้กฎหมายใช้กับผู้ควบคุมและผู้ประมวลผลข้อมูลที่อยู่ในไทย และกับผู้ที่อยู่นอกประเทศที่เสนอสินค้าหรือบริการ หรือเฝ้าติดตามพฤติกรรมของคนที่อยู่ในไทย

PDPA มีอะไรบ้าง ที่เกี่ยวกับการส่งไฟล์

PDPA ครอบคลุมตั้งแต่ความยินยอมและเหตุที่ใช้ประมวลผลข้อมูลได้ ข้อมูลอ่อนไหว การส่งข้อมูลไปต่างประเทศ สิทธิของเจ้าของข้อมูล (หมวด 3) เช่น สิทธิขอเข้าถึง ขอสำเนา หรือขอให้ลบข้อมูล หน้าที่ของผู้ควบคุมและผู้ประมวลผลข้อมูล ความรับผิดทางแพ่ง และบทกำหนดโทษ (หมวด 7) มาตราที่เกี่ยวกับการส่งไฟล์โดยตรงมีดังนี้

PDPA ข้อมูลอ่อนไหว มีอะไรบ้าง

มาตรา 26 ระบุข้อมูลเกี่ยวกับเชื้อชาติ เผ่าพันธุ์ ความคิดเห็นทางการเมือง ความเชื่อในลัทธิ ศาสนาหรือปรัชญา พฤติกรรมทางเพศ ประวัติอาชญากรรม ข้อมูลสุขภาพ ความพิการ ข้อมูลสหภาพแรงงาน ข้อมูลพันธุกรรม ข้อมูลชีวภาพ และข้อมูลอื่นที่คณะกรรมการประกาศกำหนด ไฟล์อย่างใบรับรองแพทย์หรือผลตรวจสุขภาพก่อนเข้าทำงานจึงควรส่งด้วยรหัสผ่าน วันหมดอายุสั้น และการเข้ารหัสแบบ end to end

มาตรการรักษาความมั่นคงปลอดภัย ต้องทำแค่ไหน

ประกาศคณะกรรมการ เรื่อง มาตรการรักษาความมั่นคงปลอดภัยของผู้ควบคุมข้อมูลส่วนบุคคล พ.ศ. 2565 วางหลักขั้นต่ำไว้ เช่น ครอบคลุมทั้งเอกสารกระดาษและข้อมูลอิเล็กทรอนิกส์ มีมาตรการเชิงองค์กร เชิงเทคนิค และทางกายภาพตามระดับความเสี่ยง ควบคุมการเข้าถึงตามหลักให้สิทธิเท่าที่จำเป็น มีการตรวจสอบย้อนหลัง (audit trails) และสร้างความตระหนักรู้ให้บุคลากร ประกาศไม่ได้บังคับเทคโนโลยีใดเป็นการเฉพาะ แต่การเข้ารหัสแบบ end to end ที่แม้แต่ผู้ให้บริการก็อ่านไม่ได้เป็นรูปแบบที่ป้องกันได้มากที่สุด ดูการเข้ารหัสแบบ end to end คืออะไร

บริการส่งไฟล์คือผู้ประมวลผลข้อมูล: ทำข้อตกลงให้ถูก

เมื่อบริการส่งไฟล์เก็บไฟล์ไว้แทนคุณ บริการนั้นเป็นผู้ประมวลผลข้อมูลส่วนบุคคล มาตรา 40 กำหนดให้ผู้ประมวลผลทำตามคำสั่งของผู้ควบคุมข้อมูลเท่านั้น มีมาตรการความปลอดภัยที่เหมาะสม แจ้งเหตุละเมิดให้ผู้ควบคุมทราบ และให้ผู้ควบคุมจัดให้มีข้อตกลงระหว่างกัน ประกาศเรื่องการแจ้งเหตุละเมิด พ.ศ. 2565 ข้อ 8 ยังให้ระบุในข้อตกลงว่าผู้ประมวลผลต้องแจ้งเหตุต่อผู้ควบคุมภายใน 72 ชั่วโมงนับแต่ทราบเหตุ สำหรับธุรกิจ ให้ตรวจว่าผู้ให้บริการมีเงื่อนไขการประมวลผลข้อมูลและรายชื่อผู้ประมวลผลช่วง

ส่งไฟล์ผิดคน ต้องแจ้งเหตุภายใน 72 ชั่วโมงไหม

มาตรา 37 (4) กำหนดให้ผู้ควบคุมข้อมูลแจ้งเหตุการละเมิดข้อมูลส่วนบุคคลแก่สำนักงานโดยไม่ชักช้าภายใน 72 ชั่วโมงนับแต่ทราบเหตุเท่าที่ทำได้ เว้นแต่การละเมิดนั้นไม่มีความเสี่ยงที่จะมีผลกระทบต่อสิทธิและเสรีภาพของบุคคล และถ้ามีความเสี่ยงสูง ต้องแจ้งเจ้าของข้อมูลพร้อมแนวทางเยียวยาโดยไม่ชักช้าด้วย ประกาศคณะกรรมการ เรื่อง หลักเกณฑ์และวิธีการในการแจ้งเหตุการละเมิดข้อมูลส่วนบุคคล พ.ศ. 2565 ลงรายละเอียดไว้ดังนี้

• การละเมิดมี 3 แบบ คือ ละเมิดความลับ (เช่น ไฟล์ถูกเปิดเผยหรือส่งผิดคน) ละเมิดความถูกต้องครบถ้วน และละเมิดสภาพพร้อมใช้งาน (เช่น ข้อมูลถูกทำลายหรือเข้าถึงไม่ได้) ไม่ว่าจะเกิดจากความตั้งใจ ความประมาท ภัยไซเบอร์ หรืออุบัติเหตุ
• ตรวจสอบและประเมินความเสี่ยงก่อน แล้วระงับหรือแก้ไขทันทีถ้าพบความเสี่ยงสูง
• เนื้อหาที่ต้องแจ้งสำนักงาน ได้แก่ ลักษณะของการละเมิด ผู้ติดต่อหรือ DPO ผลกระทบที่อาจเกิดขึ้น และมาตรการที่ใช้หรือจะใช้
• แจ้งช้ากว่า 72 ชั่วโมง ทำได้เมื่อมีเหตุจำเป็น โดยขอให้สำนักงานพิจารณายกเว้นพร้อมชี้แจงเหตุผล และต้องแจ้งไม่เกิน 15 วันนับแต่ทราบเหตุ

ส่งข้อมูลไปต่างประเทศ ใช้บริการที่เก็บไฟล์นอกไทยได้ไหม

มาตรา 28 กำหนดว่า เมื่อผู้ควบคุมข้อมูลส่งหรือโอนข้อมูลส่วนบุคคลไปต่างประเทศ ประเทศปลายทางต้องมีมาตรฐานการคุ้มครองข้อมูลที่เพียงพอตามหลักเกณฑ์ที่คณะกรรมการประกาศ เว้นแต่เข้าข้อยกเว้น เช่น ปฏิบัติตามกฎหมาย ได้รับความยินยอมหลังแจ้งให้เจ้าของข้อมูลทราบว่ามาตรฐานปลายทางไม่เพียงพอ หรือจำเป็นเพื่อปฏิบัติตามสัญญาที่เจ้าของข้อมูลเป็นคู่สัญญา ส่วนมาตรา 29 เปิดทางให้ส่งได้ภายใต้นโยบายคุ้มครองข้อมูลในเครือกิจการที่สำนักงานตรวจสอบและรับรองแล้ว หรือเมื่อมีมาตรการคุ้มครองที่เหมาะสมตามหลักเกณฑ์ที่คณะกรรมการประกาศ

ประกาศคณะกรรมการตามมาตรา 28 พ.ศ. 2566 มีคำนิยามที่สำคัญต่อการใช้คลาวด์ คือ “การส่งหรือโอนข้อมูลส่วนบุคคล” ไม่รวมการเป็นเพียงสื่อกลางในการส่งผ่านข้อมูล หรือการเก็บพักข้อมูลที่ไม่มีบุคคลภายนอกเข้าถึงได้นอกจากผู้ส่งและบุคลากรของผู้ส่ง เช่น การเก็บผ่านระบบของผู้ให้บริการคลาวด์ที่ไม่มีใครอื่นเข้าถึงข้อมูลได้ เพราะมีมาตรการทางเทคนิคหรือเงื่อนไขทางกฎหมายรองรับ กรณีของคุณเข้าข่ายหรือไม่ควรปรึกษาผู้เชี่ยวชาญ แต่คำถาม “ใครเข้าถึงไฟล์ได้บ้าง” จึงสำคัญพอ ๆ กับ “ไฟล์เก็บอยู่ที่ไหน”

PDPA โทษ มีอะไรบ้าง

มาตรา 90 ให้คณะกรรมการผู้เชี่ยวชาญสั่งแก้ไขหรือตักเตือนก่อนได้ และให้คำนึงถึงความร้ายแรงของพฤติกรรมและขนาดกิจการเมื่อกำหนดค่าปรับ ส่วนผู้ประมวลผลข้อมูลก็มีโทษปรับทางปกครองของตัวเองเช่นกัน เช่น มาตรา 85 ที่กำหนดโทษปรับไม่เกิน 1 ล้านบาท

GDPR ต่างกับ PDPA อย่างไร

GDPR คือกฎหมายคุ้มครองข้อมูลของสหภาพยุโรป (Regulation (EU) 2016/679) ซึ่งมีโครงสร้างคล้าย PDPA มาก ธุรกิจไทยที่เสนอสินค้าหรือบริการให้คนในสหภาพยุโรปอาจต้องทำตาม GDPR ด้วย

ฝั่งยุโรปมีข้อเสนอ “Digital Omnibus” ของคณะกรรมาธิการยุโรป (พฤศจิกายน 2025) ที่จะขยายกำหนดแจ้งเหตุเป็น 96 ชั่วโมง แต่ยังไม่ได้รับการรับรอง ณ เดือนตุลาคม 2026

ส่งข้อมูลส่วนบุคคลทางอีเมลหรือ LINE ได้ไหม

กฎหมายไม่ได้ห้าม แต่ต้องมีมาตรการที่เหมาะสม ไฟล์แนบอีเมลค้างอยู่ในกล่องจดหมายและส่งต่อได้ในคลิกเดียว ส่วนไฟล์ในแชท LINE อยู่ในประวัติแชทโดยไม่มีวันหมดอายุ และศูนย์ช่วยเหลือของ LINE ระบุว่าไฟล์บางประเภทอาจไม่ถูกเข้ารหัสด้วย Letter Sealing ขึ้นอยู่กับเวอร์ชันแอป ลิงก์ที่มีรหัสผ่านและวันหมดอายุ โดยบอกรหัสทางโทรศัพท์หรือ SMS ช่วยให้ทำตามหลักการลบข้อมูลเมื่อหมดความจำเป็นได้ง่ายกว่า ดูลิงก์ใส่รหัสผ่านและวันหมดอายุ

เช็กลิสต์: เลือกบริการส่งไฟล์ที่เหมาะกับ PDPA

• นโยบายความเป็นส่วนตัวและเงื่อนไขการประมวลผลข้อมูลที่ชัดเจน พร้อมรายชื่อผู้ประมวลผลช่วง
• ระบุตำแหน่งจัดเก็บไฟล์ และบอกได้ว่าใครเข้าถึงไฟล์ได้
• การเข้ารหัสระหว่างส่งและขณะจัดเก็บ และการเข้ารหัสแบบ end to end สำหรับไฟล์อ่อนไหว
• วันหมดอายุ การลบอัตโนมัติ รหัสผ่าน จำกัดดาวน์โหลด และลบการส่งได้ทันทีเมื่อส่งผิดคน

รายละเอียดฟีเจอร์ของ Transfr อยู่ในหน้าส่งไฟล์อย่างปลอดภัย และส่งไฟล์ด้วยการเข้ารหัสแบบ end to end

ขั้นตอนส่งไฟล์ข้อมูลส่วนบุคคลให้สอดคล้องกับ PDPA

1. 1

   ขั้นตอนที่ 1

   ส่งให้น้อยที่สุด

   ส่งเฉพาะเอกสารและข้อมูลที่ผู้รับต้องใช้ ส่วนที่เหลือให้ตัดออกหรือปิดทับ

2. 2

   ขั้นตอนที่ 2

   ป้องกัน

   ใส่รหัสผ่านที่ส่งแยกช่องทาง และใช้การเข้ารหัสแบบ end to end กับข้อมูลอ่อนไหวหรือเอกสารยืนยันตัวตน

3. 3

   ขั้นตอนที่ 3

   จำกัดเวลา

   ตั้งวันหมดอายุสั้น และจำกัดจำนวนดาวน์โหลดให้เท่ากับจำนวนผู้รับ

4. 4

   ขั้นตอนที่ 4

   ตรวจผู้รับ

   ตรวจอีเมลทีละตัวอักษร การส่งผิดคนเป็นสาเหตุคลาสสิกของเหตุละเมิด

5. 5

   ขั้นตอนที่ 5

   ล้างสำเนา

   ลบสำเนาในเครื่องและไฟล์แนบที่ส่งไปแล้วเมื่อไม่ต้องใช้

6. 6

   ขั้นตอนที่ 6

   บันทึกและเขียนกติกา

   บันทึกเครื่องมือที่ใช้ และทำกติกาภายในให้สั้นและทุกคนรู้

ถ้าส่งไฟล์ไปถึงคนผิด ทำอย่างไร

ปิดลิงก์ทันที (ลบการส่งหรือย่นวันหมดอายุ) ตรวจว่าไฟล์ถูกดาวน์โหลดไปหรือยัง แล้วประเมินความเสี่ยงต่อเจ้าของข้อมูลตามปัจจัยในประกาศปี 2565 เช่น ประเภทและปริมาณข้อมูล และผู้ได้รับผลกระทบเป็นผู้เยาว์หรือไม่ ถ้ามีความเสี่ยง ให้แจ้งสำนักงานภายใน 72 ชั่วโมงนับแต่ทราบเหตุ และถ้าความเสี่ยงสูง ให้แจ้งเจ้าของข้อมูลพร้อมแนวทางเยียวยาด้วย ควรเก็บบันทึกการประเมินไว้ด้วย แม้จะสรุปว่าไม่ต้องแจ้ง ถ้ามีข้อมูลของคนในสหภาพยุโรปด้วย ให้ตรวจกติกา 72 ชั่วโมงของ GDPR เพิ่มเติม วิธีป้องกันตั้งแต่ต้นอยู่ในเช็กลิสต์ส่งไฟล์อย่างปลอดภัย

สถานการณ์ที่พบบ่อยและการตั้งค่าที่แนะนำ