GDPR vs PDPA: สิ่งที่ร้านค้าออนไลน์ไทยต้องรู้

GDPR (EU) และ PDPA (ไทย) มีหลักการคล้ายกัน — ขอความยินยอมก่อนเก็บข้อมูล, แจ้งวัตถุประสงค์ให้ชัด, ให้สิทธิ์ลบ/แก้ไข แต่ GDPR เข้มกว่าเรื่อง DPO บังคับ และค่าปรับสูงถึง 4% ของรายได้ทั่วโลก สำหรับร้านค้าออนไลน์ไทยที่ขายให้ลูกค้า EU ต้องทำตามทั้งสองกฎหมาย

GDPR กับ PDPA คืออะไร

GDPR (General Data Protection Regulation) คือกฎหมายคุ้มครองข้อมูลส่วนบุคคลของ EU บังคับใช้ตั้งแต่ 2018 PDPA (พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล) คือกฎหมายของไทย บังคับใช้เต็มรูปแบบตั้งแต่ 2022 ทั้งสองมีเป้าหมายเดียวกัน คือให้เจ้าของข้อมูลมีสิทธิ์ควบคุมข้อมูลของตัวเอง

สำหรับร้านค้าออนไลน์ไทยที่ขายให้ลูกค้าในประเทศ ทำตาม PDPA ก็เพียงพอ แต่ถ้ามีลูกค้าใน EU หรือเก็บข้อมูลคนใน EU ต้องทำตาม GDPR ด้วย

เปรียบเทียบ GDPR vs PDPA

สิ่งที่ร้านค้าออนไลน์ต้องทำ

1. Cookie Consent Banner: ติดตั้ง consent banner ที่ให้เลือก accept/reject แต่ละประเภท cookie ไม่ใช่แค่ปุ่ม "ยอมรับ" อันเดียว
2. Privacy Policy: เขียนนโยบายความเป็นส่วนตัวที่ชัดเจน ระบุว่าเก็บข้อมูลอะไร เพื่ออะไร เก็บนานแค่ไหน ใครเข้าถึงได้
3. Consent Management: ก่อนเก็บ email, เบอร์โทร, ที่อยู่ ต้องได้ consent ที่ชัดเจน เก็บหลักฐาน consent ไว้ด้วย
4. Data Subject Rights: มีช่องทางให้ลูกค้าขอดู แก้ไข หรือลบข้อมูลของตัวเอง พร้อมกระบวนการตอบกลับภายใน 30 วัน
5. Data Security: เข้ารหัสข้อมูล, 2FA สำหรับ admin, สำรองข้อมูล, จำกัดสิทธิ์การเข้าถึง
6. Third-party Review: ตรวจสอบว่า vendor/plugin ที่ใช้ (payment gateway, analytics, email marketing) ปฏิบัติตามกฎหมายด้วย

ข้อผิดพลาดที่พบบ่อย

• Pre-checked consent: ช่อง checkbox ที่ติ๊กไว้แล้วถือว่าไม่ใช่ consent ที่ถูกต้อง ลูกค้าต้องเลือกเอง
• เก็บข้อมูลเกินจำเป็น: ถ้าแค่จะส่ง newsletter ไม่จำเป็นต้องขอที่อยู่และเบอร์โทร
• ไม่มี data retention policy: ต้องกำหนดว่าเก็บข้อมูลนานแค่ไหน แล้วลบเมื่อหมดความจำเป็น
• ลืม third-party tracking: Google Analytics, Meta Pixel, Hotjar ล้วนเก็บข้อมูล ต้องแจ้งและขอ consent ด้วย

คำถามที่พบบ่อย

ร้านค้าออนไลน์เล็กๆ ต้องทำตาม PDPA ด้วยไหม

ต้อง PDPA บังคับใช้กับทุกองค์กรไม่ว่าจะเล็กหรือใหญ่ ถ้าเก็บข้อมูลลูกค้า (ชื่อ ที่อยู่ เบอร์ อีเมล) ก็อยู่ในข่าย สิ่งที่ควรทำอย่างน้อยคือ Privacy Policy, Cookie consent, และช่องทางให้ลูกค้าขอลบข้อมูล

ถ้าขายให้ลูกค้า EU ต้องทำ GDPR เต็มรูปแบบไหม

ถ้า "ตั้งใจ" ขายให้คน EU (เช่น มีเว็บภาษาอังกฤษ รับ payment สกุล EUR รองรับที่อยู่ EU) ต้องทำตาม GDPR ถ้าแค่มีคน EU เข้ามาซื้อเป็นครั้งคราวโดยไม่ได้ target ยังเป็นเรื่อง grey area แต่ปลอดภัยที่สุดคือทำตาม GDPR ไว้เลย เพราะมาตรฐานสูงกว่าครอบคลุม PDPA อยู่แล้ว

ค่าปรับ PDPA สูงสุดเท่าไหร่

ค่าปรับทางปกครองสูงสุด 5 ล้านบาท นอกจากนั้นยังมีโทษทางอาญา (จำคุกไม่เกิน 1 ปี) และต้องชดใช้ค่าเสียหายให้เจ้าของข้อมูลด้วย ดังนั้นต้นทุนจริงอาจสูงกว่าค่าปรับมาก

บทความแนะนำ

• PDPA Website Checklist: เว็บไซต์ต้องทำอะไรบ้าง
• Privacy-First Web Design: ออกแบบเว็บที่เคารพข้อมูลผู้ใช้
• First-Party Data: ทำไมข้อมูลของคุณเองสำคัญที่สุด
• First-Party Data กับอนาคต E-commerce