# การปฏิบัติตาม PDPA ประเทศไทย

รองรับองค์กรในการปฏิบัติตาม พ.ร.บ. คุ้มครองข้อมูลส่วนบุคคล (PDPA) พ.ศ. 2562 ด้วย Security, Governance และ Data Management ที่ครอบคลุมทุกมิติ

![ManageEngine & PDPA Thailand Compliance](https://cdn.manageengine.com/sites/meweb/images/th/common-pages/images/pdpa-thailand-banner-img.webp)

## PDPA คืออะไร?

![What is the PDPA?](https://cdn.manageengine.com/sites/meweb/images/th/common-pages/images/what-is-pdpa-thailand.webp)

พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 (PDPA) คือกฎหมายคุ้มครองข้อมูลหลักของประเทศไทย ที่กำหนดแนวปฏิบัติสำหรับการเก็บรวบรวม ใช้ เปิดเผย จัดเก็บ โอน และปกป้องข้อมูลส่วนบุคคล เป้าหมายคือให้เจ้าของข้อมูลมีอำนาจควบคุมข้อมูลของตนเอง ขณะที่องค์กรต้องดำเนินงานด้วยความโปร่งใสและมีมาตรการความปลอดภัยที่แข็งแกร่ง

ManageEngine มีโซลูชัน IT management และ Security ที่ช่วยองค์กรเสริมการปกป้องข้อมูล ยกระดับ Governance และสนับสนุนการปฏิบัติตามกฎหมาย PDPA ตลอด Data Lifecycle โซลูชันของเราช่วยให้คุณควบคุมการเข้าถึง, ปกป้องข้อมูลสำคัญ, มอนิเตอร์กิจกรรมด้านข้อมูล, ทำ Compliance อัตโนมัติ และตอบสนองต่อคำร้องขอจากเจ้าของข้อมูลได้อย่างมีประสิทธิภาพ

ไม่ว่าจะเป็นการจัดการ Identity, รักษาความปลอดภัย Endpoint, มอนิเตอร์ Log, รับมือ Incident หรือปกป้องข้อมูลสำคัญ ManageEngine มีครบทุกเครื่องมือที่คุณต้องการเพื่อสร้างสภาพแวดล้อม IT ที่มั่นคงและพร้อมสำหรับ PDPA

## บทบาทสำคัญของ PDPA ในงาน IT

PDPA ส่งผลโดยตรงต่อวิธีที่องค์กรบริหารและปกป้องข้อมูลส่วนบุคคลในระบบ IT ต้ังแต่ Security Controls, Access Management, Record-keeping ไปจนถึงความโปร่งใส ที่ทีม IT ต้องออกแบบระบบที่ Secure by Design และสอดคล้องกับข้อกฎหมาย

### วางโครงสร้าง Data Governance และความรับผิดชอบ

PDPA กำหนดให้องค์กรต้องชัดเจนในทุกขั้นตอนตั้งแต่การเก็บ ใช้ จัดเก็บ จนถึงการลบข้อมูล

ทีม IT ต้องดำเนินการดังนี้:

- Data Classification
- นโยบายการเก็บรักษาข้อมูล (Data Retention)
- Audit Trail
- การกำหนดค่าระบบที่ปลอดภัย

สิ่งนี้ช่วยสร้างความโปร่งใสและความรับผิดชอบที่เหมาะสม

### เสริมความแข็งแกร่ง Security Controls และ Risk Management

IT คือแนวป้องกันหลักในการสกัด Data Breach ขององค์กร

PDPA กำหนดให้มี:

- Access Control
- Encryption
- Monitoring และ Logging
- แผนรับมือ Incident
- การโอนข้อมูลที่ปลอดภัย

สิ่งนี้ผลักดันให้ทีม IT ต้องป้องกันระบบทั้งหมดที่จัดเก็บหรือประมวลผลข้อมูลส่วนบุคคลอย่างเชิงรุก

### บังคับใช้ Access & Identity Management

PDPA ระบุว่าเฉพาะบุคคลที่ได้รับอนุญาตเท่านั้นที่สามารถเข้าถึงข้อมูล ส่วนบุคคลได้

ทีม IT ต้องเปิดใช้งาน:

- Role-Based Access Control (RBAC)
- Privileged Access Management
- การยืนยันตัวตน (Identity Verification)
- Multi-Factor Authentication (MFA)

สิ่งนี้ช่วยลดความเสี่ยงจากภัยคุกคามภายในและการเข้าถึงโดยไม่ได้รับอนุญาต

### รองรับสิทธิของเจ้าของข้อมูล

กฎหมายให้สิทธิแก่บุคคล ทั้งการเข้าถึง แก้ไข โอน และลบข้อมูล

ระบบ IT ต้องสามารถ:

- ดึงข้อมูลส่วนบุคคลได้รวดเร็ว
- อัปเดตหรือแก้ไขข้อมูลได้
- ส่งออกข้อมูลในรูปแบบที่อ่านได้
- ลบหรือทำให้ข้อมูลไม่ระบุตัวตนได้อย่างปลอดภัย

ความสามารถเหล่านี้ต้องอาศัยการออกแบบและผสานระบบที่เหมาะสม

### รับประกันการโอนข้อมูลข้ามพรมแดนที่ปลอดภัย

หากโอนข้อมูลส่วนบุคคลไปต่างประเทศ IT ต้องรับประกัน:

- มาตรการคุ้มครองที่เพียงพอ
- Encryption ระหว่างส่ง
- ปฏิบัติตามกลไกการโอนที่ได้รับอนุมัติ

### รักษา Auditability และการมอนิเตอร์

PDPA ต้องการหลักฐานการปฏิบัติตาม

ระบบ IT ต้อง:

- สร้าง Log
- ติดตามการเข้าถึงข้อมูล
- ตรวจจับความผิดปกติ
- จัดทำ Audit Report

เพื่อตอบสนองต่อการตรวจสอบของหน่วยงานกำกับดูแลและประเมินความเสี่ยงภายใน

### สนับสนุนบทบาทของเจ้าหน้าที่คุ้มครองข้อมูล (DPO)

DPO พึ่งพาระบบ IT อย่างมากเพื่อ:

- มอนิเตอร์ Compliance
- ตรวจสอบมาตรการ Security
- รับมือ Incident
- ประเมินความเสี่ยงของ Vendor
- จัดเก็บเอกสารหลักฐาน

ทีม IT คือรากฐานทางเทคนิคที่ DPO ต้องอาศัยในการทำงาน

## ManageEngine ช่วยองค์กรของคุณปฏิบัติตาม PDPA ได้อย่างไร?

### มาตรา 21

#### การจำกัดวัตถุประสงค์ (Purpose Limitation)

ข้อมูลส่วนบุคคลต้องใช้เฉพาะตามวัตถุประสงค์ที่แจ้งแก่เจ้าของข้อมูลเท่านั้น

#### ผลิตภัณฑ์ ManageEngine ที่ช่วยให้คุณปฏิบัติตามได้

##### Endpoint DLP Plus

- ควบคุมการโอนข้อมูลส่วนบุคคลเพื่อป้องกันการใช้งานนอกเหนือวัตถุประสงค์
- บันทึกการเคลื่อนย้ายข้อมูลสำคัญสำหรับการตรวจสอบและ Audit

## คำถามที่พบบ่อย

### คณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (PDPC) คืออะไร?

PDPC คือหน่วยงานกำกับดูแลที่จัดตั้งขึ้นตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ของประเทศไทย โดยทำงานผ่านสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (OPDPC)

ความรับผิดชอบหลักของ PDPC ได้แก่:

**ออกแนวปฏิบัติ:** กำหนดมาตรฐาน กฎระเบียบ และแนวปฏิบัติที่ดีที่สุดสำหรับการจัดการข้อมูลส่วนบุคคลในแต่ละอุตสาหกรรม

**กำกับดูแลและบังคับใช้:** สืบสวนและดำเนินการกับผู้ควบคุมและผู้ประมวลผลข้อมูลที่ละเมิดกฎหมาย

**รับเรื่องร้องเรียน:** รับและพิจารณาข้อร้องเรียนจากเจ้าของข้อมูลที่สิทธิ์ถูกละเมิด

**ให้คำแนะนำ:** ให้ข้อมูลและทรัพยากรเพื่อช่วยองค์กรบรรลุการปฏิบัติตามกฎหมาย

## หมายเหตุ:

การปฏิบัติตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล (PDPA) อย่างครบถ้วน จำเป็นต้องอาศัยทั้งกระบวนการกำกับดูแล นโยบาย บุคลากร ตลอดจนมาตรการด้านเทคนิคและมาตรการภายในองค์กร ฟีเจอร์และความสามารถที่อธิบายไว้ข้างต้นเป็นเพียงส่วนหนึ่งของแนวทางที่โซลูชันของเราอาจช่วยสนับสนุนองค์กรในการปฏิบัติตามข้อกำหนดบางประการของ PDPA ทั้งนี้ องค์กรควรดำเนินการประเมินด้วยตนเองอย่างเป็นอิสระ เพื่อพิจารณาว่าโซลูชันเหล่านี้สอดคล้องกับความต้องการเฉพาะขององค์กรอย่างไร และสามารถช่วยให้องค์กรปฏิบัติตามกฎหมายดังกล่าวได้อย่างไร

เนื้อหานี้จัดทำขึ้นเพื่อวัตถุประสงค์ในการให้ข้อมูลเท่านั้น และไม่ควรตีความว่าเป็นคำแนะนำทางกฎหมายหรือการรับประกันว่าองค์กรจะสามารถปฏิบัติตาม PDPA ได้อย่างครบถ้วน ManageEngine ไม่ให้การรับรองหรือการรับประกันใด ๆ ไม่ว่าโดยชัดแจ้ง โดยปริยาย หรือตามที่กฎหมายกำหนด เกี่ยวกับข้อมูลที่ระบุไว้ในเนื้อหานี้ โปรดปรึกษาที่ปรึกษากฎหมายของท่านเพื่อทำความเข้าใจว่า PDPA มีผลบังคับใช้กับองค์กรของท่านอย่างไร รวมถึงขั้นตอนที่จำเป็นเพื่อให้เป็นไปตามหน้าที่และข้อกำหนดภายใต้กฎหมายดังกล่าว