🔥 แค่ 5 นาที เปลี่ยนมุมมองได้เลย

GDPR vs PDPA: สิ่งที่ร้านค้าออนไลน์ไทยต้องรู้เกี่ยวกับการขายในยุโรป

July 1, 2025

ยาวไป อยากเลือกอ่าน?

GDPR (สหภาพยุโรป) และ PDPA (ไทย) มีหลักการที่คล้ายกัน: ต้องมีฐานกฎหมายที่ชัดเจน, เคารพสิทธิของเจ้าของข้อมูล, แจ้งข้อมูลรั่วไหลต่อหน่วยงาน “ภายใน ~72 ชั่วโมง” และระวังการโอนข้อมูลข้ามแดน โดย eCommerce ควรใช้คุกกี้ที่ขอความยินยอมและจัดทำบันทึกการประมวลผล

GDPR vs PDPA สำหรับ eCommerce: เทียบข้อกำหนด & เช็กลิสต์ทำจริง (อัปเดต 2025)

สำหรับผู้บริหาร eCommerce, Legal/Privacy, Marketing, Tech นี่คือข้อแตกต่างและความคล้ายคลึงกันของ GDPR กับ PDPA ที่มีผลต่อร้านค้าออนไลน์โดยตรง ทั้งเรื่องฐานกฎหมาย, คุกกี้และการตลาด, cross-border transfer, และการแจ้งข้อมูลรั่วไหล “ภายใน 72 ชั่วโมง” พร้อมแผนการดำเนินการ 10 ขั้นตอน

สรุปเร็ว: อะไร “เหมือน–ต่าง” และใครต้องทำอะไร

ประเด็น	GDPR (EU)	PDPA (TH)	สิ่งที่ eCommerce ควรทำ
ฐานกฎหมาย (Lawful basis)	กำหนดในมาตรา 6 เช่น สัญญา, ความยินยอม, ประโยชน์โดยชอบฯ	โครงใกล้เคียง (สัญญา/ยินยอม/ประโยชน์โดยชอบฯ) ตาม PDPA	แยกกิจกรรม: ซื้อขาย/ชำระเงิน → สัญญา, การตลาด/คุกกี้ไม่จำเป็น → ความยินยอม
คุกกี้ & การตลาด	อาศัย GDPR+ePrivacy: คุกกี้ไม่จำเป็นต้องขอ opt-in; หลีกเลี่ยง “cookie wall”	ยังไม่มีกฎหมายคุกกี้เฉพาะ แต่ PDPA บังคับใช้เรื่อง “ยินยอมอย่างชัดเจน” สำหรับการติดตามที่ไม่จำเป็น	ทำแบนเนอร์แบบ opt-in จริง (Reject/Accept เท่าเทียม), บันทึกหลักฐานการยินยอม
แจ้งเหตุข้อมูลรั่วไหล	แจ้งหน่วยงานกำกับ “โดยไม่ชักช้า และเมื่อทำได้ ภายใน 72 ชม.”	แจ้ง PDPC “โดยไม่ชักช้า และเมื่อทำได้ ภายใน 72 ชม.” (หากเสี่ยง) มีแนวทาง/แบบฟอร์มทางการ	เตรียม Breach Runbook + ช่องทางแจ้งลูกค้าเมื่อเสี่ยงสูง, เก็บ log & หลักฐานสืบสวน
โอนข้อมูลข้ามแดน	ใช้ Adequacy/SCCs/BCRs + มาตรการเพิ่มเติมตามกฎหมาย/คำแนะนำ	PDPC ออกเกณฑ์พิจารณา “adequacy (whitelist)” ปี 2024; กรณียังไม่ผ่าน ใช้เงื่อนไขตาม PDPA ที่อนุญาต	สำรวจผู้ประมวลผล (CDP/Email/Payment/Shop Platform) → ทำ Transfer Impact Assessment + ข้อสัญญา
สิทธิของเจ้าของข้อมูล	เข้าถึง, ลบ, คัดค้าน, พกพาข้อมูล ฯลฯ	สิทธิใกล้เคียง (ขอเข้าถึง/ลบ/ระงับ/พกพา/คัดค้านการตลาดตรง)	ตั้งระบบรับคำขอ (DSAR) มี SLA ชัดเจน และยืนยันตัวตนก่อนเปิดเผยข้อมูล

ตาราง: ความเสี่ยงที่พบบ่อยในร้านค้าออนไลน์ → วิธีแก้

อาการ	ผลกระทบ	วิธีแก้ (แนะนำ)
แบนเนอร์คุกกี้ “ยอมอย่างเดียว” หรือซ่อนปุ่มปฏิเสธ	ความยินยอมไม่ถูกต้อง, เสี่ยงปรับ/คำสั่งแก้ไข	ทำ granular consent + ปุ่ม Reject/Accept เท่าเทียม + เก็บบันทึกการยินยอม
ใช้เครื่องมือการตลาดที่โอนข้อมูลไปต่างประเทศ โดยไม่มีเอกสารรองรับ	ผิดข้อกำหนดโอนข้อมูลข้ามแดน	ทำ vendor mapping, ตรวจ adequacy, ใส่ข้อสัญญา/มาตรการเสริม และทบทวนประจำปี
ไม่มี Runbook รับมือข้อมูลรั่วไหล	แจ้งล่าช้าเกิน 72 ชม., เสี่ยงค่าปรับ	เตรียม Breach Runbook...